iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 23:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

駭客正濫用OAuth應用以自動化攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/12/12/threat-actors-misuse-oauth-applications-to-automate-financially-driven-attacks/" target="_blank">微軟於本周警告</a>，駭客正在濫用各種OAuth應用來展開經濟動機的自動化攻擊，包括濫用使用者的資源進行挖礦，執行商業電子郵件詐騙（BEC），或是寄送大量垃圾郵件等，且就算駭客失去了存取最初危害帳號的權限，也能透過OAuth來維持對各種應用的存取權。</p> <p>OAuth是個開放身分驗證標準，允許第三方服務在未取得使用者的憑證下，存取特定使用者資源以進行身分驗證，例如允許A應用存取B應用的使用者資源以取得授權，進而登入服務、存取API或存取雲端服務等。</p> <p>然而，近來微軟威脅情報中心（Threat Intelligence Center）發現，有駭客發動網釣及密碼潑灑攻擊，以危害那些未使用強大身分驗證機制的使用者帳號，且這些帳號擁有建立或修改OAuth應用的權限。接著駭客濫用了這些具備高權限的OAuth應用來部署虛擬機器以開挖加密貨幣，或是在執行BEC攻擊之後建立了長駐能力，亦用來展開大規模的垃圾郵件發送活動。</p> <p>上述惡意行動來自不同的駭客組織，其中，Storm-1283使用一個遭到危害的使用者帳號來建立OAuth應用，並部署專門用來挖礦的虛擬機器。該名駭客透過VPN登入了盜來的使用者帳號後，於Microsoft Entra ID中建立了一個OAuth應用，由於該帳號具備Azure訂閱的所有權角色，讓駭客得以利用他人的資源部署虛擬機器來挖礦，所使用的運算資源費用介於1萬到1.5萬美元之間。</p> <p>另有些駭客組織則是藉由寄送網釣郵件以執行AiTM中間人攻擊，來竊取會話令牌，再以該令牌來執行會話Cookie重放。之後有的駭客會在危害使用者帳號之後，進入其Outlook信箱以尋找BEC攻擊機會；有的則會透過新增憑證至OAuth應用來維持長駐能力，接著存取Microsoft Graph API資源，來存取郵件或寄送大量垃圾郵件。</p> <p>根據統計，在今年的7月至11月間，駭客使用了許多被危害的帳號，在不同的租戶中建立了約1.7萬個多租戶OAuth應用。這些惡意OAuth應用總計發送了逾92.7萬封的網釣郵件，這些惡意的OAuth應用皆已被微軟移除。</p> <p>還有一個被命名為Storm-1286的駭客組織專門濫用OAuth應用來發送垃圾郵件，Storm-1286主要透過密碼潑灑攻擊來取得使用者憑證，且大多數受害者並未啟用雙因素身分驗證。</p> <p>微軟針對相關攻擊提出了防範建議，包括啟用雙因素身分驗證，啟用條件式存取策略，啟用持續存取評估，啟用安全預設值，啟用Microsoft Defender的自動攻擊中斷，審核程式與同意的許可權，以及保護Azure雲端資源等。</p> </div></div></div>
2023/12/13 16:50作者陳曉莉https://www.ithome.com.tw/news/160308
烏克蘭最大電信業者Kyivstar遭網路攻擊，估計波及數百萬用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.facebook.com/kyivstar/posts/pfbid0dbzBFFW84LFeiqUodzxeDHFPL8vAdeSwL3WD97HqaVH5jw9S2EH9WQ7TjgBSYUAQl" target="_blank">烏克蘭最大電信業者Kyivstar周二（12/12）上午</a>傳出遭到大規模的網路攻擊，相關攻擊導致了技術上的故障，使得Kyivstar的行動通訊及網路服務全都暫時中斷，雖然Kyivstar尚未公布影響規模，不過身為烏克蘭最大電信業者的Kyivstar在當地約有2,400萬名訂閱用戶。</p> <p>根據Kyivstar在當地時間12日晚上8點的<a href="https://twitter.com/TwiyKyivstar/status/1734647770085020004" target="_blank">訊息更新</a>，部分固網已恢復服務，也正努力復原其它服務，計畫在13日恢復正常。</p> <p>其實在俄羅斯入侵烏克蘭初期，<a href="https://www.ithome.com.tw/news/149956" target="_blank">俄羅斯便鎖定當地的通訊基礎設施發動攻擊</a>，摧毀不少基地臺，促使烏克蘭三大電信業者Kyivstar、Vodafone Ukraine與Lifecell結盟並推出全國漫遊服務，只要任一家業者的用戶收不到訊號，就能直接切換至其它兩家業者的基地臺。</p> <p>然而，此次的Kyivstar服務中斷源自於網路攻擊，內部系統受到干擾導致用戶完全無法存取服務，更遑論切換至其它服務。<a href="https://therecord.media/kyivstar-cyberattack-telecom-shutdown-ukraine" target="_blank">《Recorded Future News》</a>則報導，受到波及的Kyivstar用戶只能排隊購買Vodafone與Lifecell的預付卡，也造成這兩家業者的服務變慢，其中，Vodafone的網路負載直接增加了3成。</p> <p>Kyivstar指出，目前尚未發現用戶的個資外洩，正與烏克蘭的執法機構密切合作以展開調查，亦將採取額外的安全措施以避免相關意外再度發生。</p> </div></div></div>
2023/12/13 17:11作者陳曉莉https://www.ithome.com.tw/news/160309
CyberArk開拓雲端安全存取應用，落實JIT存取與最低權限
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cyberark_sca-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年7月舉行的全球年度用戶大會期間，以特權帳號管理系統著稱的CyberArk，在雲端特權安全應用的產品線當中，包含<a href="https://www.ithome.com.tw/review/153383">Cloud Entitlements Manager（CEM）</a>，也預告將推出新的解決方案Secure Cloud Access（SCA），可協助企業在公有雲管理主控臺、命令列與各種系統服務當中，建立僅限於當下（Just-in-Time，JIT）、開放最低權限（least privilege）的存取方式，落實零信任的防護概念，以此降低DevOps與雲端維運團隊在高權限狀態下的連線過程風險（一旦這些人員的特權存取遭駭，仍能減少因此造成的傷害）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyberArk Impact22-SCA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Impact22-SCA.jpg" style="width: 600px;" /></a></p> <p>CyberArk表示，有了這套解決方案，高權限連線階段的建立，只會根據工作任務本身需要的許可來進行，能夠預防瀏覽器遭到綁架，並且提供操作過程畫面的錄影存證，以協助後續的稽核與法規遵循的查驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SCA-Recording.jpg" style="width: 600px;" /></p> <p>到了今年5月，SCA正式上線，月初CyberArk公告兩大特色，一是可針對終端使用者提供隨選存取（On-demand access），能在針對每天存取服務、套用常規存取政策的使用者之餘，也能涵蓋到意外或需要立即處理的重大問題等偶發狀況——這類使用者可提出在特定期間存取某個工作區的請求，經過批准之後再開放，能讓企業與組織減少過度授權所導致的非必要暴露，並且能僅根據實際需要來批准許可的限量擴增。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SCA Policy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCA%20Policy.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SCA Access Policy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCA%20Access%20Policy.jpg" style="width: 600px;" /></a> </p> <p>另一是支援Azure AD，SCA針對微軟Azure AD角色，提供僅限當下的存取與提升的權限，可藉此改善資安態勢，並透過給予最低權限，以及運用SCA政策管制每天作業用到的Azure AD角色、提供隨選存取等方式，以減少風險。對於雲端安全管理者而言，能夠就租戶的層級來批准這類臨時存取的請求，而對於使用者而言，可依據這樣的方式經由Azure管理入口或Azure CLI命令列介面，存取Azure雲端環境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Cloud%20Privilege%20Security-SCA-1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/CyberArk Cloud Privilege Security-SCA-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Cloud%20Privilege%20Security-SCA-3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CyberArk Cloud Privilege Security-SCA-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Cloud%20Privilege%20Security-SCA-5.jpg" style="width: 298px;" /></a></p> <p>而在5月底的年度用戶大會上，CyberArk強調SCA可協助企業與組織達到零常設存取的權限配置（Zero Standing Privileges），因為這套解決方案能建立僅限當下、授予最低權限的公有雲服務存取方式，未來將支援聚焦在身分的組態設定錯誤政策遵循度偵測，協助雲端安全團隊掌握多雲環境的能見度與前後脈絡。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Cloud%20Privilege%20Security-Pri-Standing.jpg" style="width: 198px;" /> <a href="https://s4.itho.me/sites/default/files/images/CyberArk Cloud Privilege Security-Pri-JIT.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Cloud%20Privilege%20Security-Pri-JIT.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CyberArk Cloud Privilege Security-Pri-Least.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Cloud%20Privilege%20Security-Pri-Least.jpg" style="width: 198px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CyberArk Cloud Privilege Security-Pri-Zero Standing.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Cloud%20Privilege%20Security-Pri-Zero%20Standing.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CyberArk Cloud Privilege Security-SCA-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Cloud%20Privilege%20Security-SCA-2.jpg" style="width: 298px;" /></a></p> <p>後續SCA也持續更新功能與服務，例如，8月能夠整合三大公有雲業者的身分識別供應機制（IdP），讓用戶繼續運用這些既有的身分管理體系，結合SCA的防護技術、到雲端服務的管理主控臺強制實施零常設的特權存取管理。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SCA Role Details.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCA%20Role%20Details.jpg" style="width: 600px;" /></a> </p> <p><a href="https://s4.itho.me/sites/default/files/images/SCA-Create a recurrung Access Polciy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCA-Create%20a%20recurrung%20Access%20Polciy.jpg" style="width: 600px;" /></a></p> <p>10月則是總結SCA近期新增的5大功能。首先，SCA能在多雲環境當中，偵測身分存取管理系統（IAM）的組態設定錯誤風險；第二，針對高風險的雲端服務存取，SCA新設置基於前後脈絡、支援自動批准許可的工作流程，CyberArk自認他們是第一家提供這類功能的身分安全廠商。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SCA_20workflow_20diagram-WEB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCA_20workflow_20diagram-WEB.jpg" style="width: 600px;" /></a></p> <p>用戶可透過CyberArk平臺提供的無程式碼（no-code）身分調度指揮機制，輕鬆自定流程內容，以符合資安治理的目標；當中也能緊密整合IT服務管理（ITSM）與ChatOps的工具，以便進一步提升工程師的採用意願，而雲端服務團隊若遇上系統停擺的狀態，對於處理時間相當敏感的存取請求，同樣可依此快速、安全地進行批准。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyberArk Cloud Privilege Security-SCA-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Cloud%20Privilege%20Security-SCA-4.jpg" style="width: 600px;" /></a></p> <p>第三，對於系統管理權限的降級，SCA可提供額外的支援，例如，可根據團隊或部門的層級來許可。此處特別整合了CyberArk Vendor Privileged Access Manager，允許第三方廠商也能安全存取雲端服務，實現零常設特權的防護作法。</p> <p>第四，擴充可臨時存取的公有雲類型，SCA支援Google Cloud短期存在的基礎架構工作負載，以此涵蓋多雲的部署需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-05-CyberArk SCA Access Policy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-05-CyberArk%20SCA%20Access%20Policy.jpg" style="width: 600px;" /></a></p> <p>第五，增加更多區域資料中心的涵蓋範圍，SCA除了原本僅針對美國（維吉尼亞）設置資料中心服務，之後已陸續增加澳洲、英國與愛爾蘭（8月底）、加拿大（9月底）、德國法蘭克福與中歐地區（10月初）、印度等國家的資料中心，以因應當地的雲服務存取控管需求，</p> <p>到了12月初，CyberArk也宣告SCA在新加坡設置資料中心，就近服務亞太地區的市場需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SCA_20architecture-WEB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCA_20architecture-WEB.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>CyberArk Secure Cloud Access</strong><br /> ●原廠：CyberArk<br /> ●建議售價：廠商未提供<br /> ●解決方案供應形式：SaaS雲端服務<br /> ●所屬平臺：CyberArk Identity Security Platform<br /> ●可進行協同合作的服務：Cloud Entitlements Manager、Identity Flows、Secure Web Sessions<br /> ●共用服務：Identity Administration、Audit<br /> ●控管架構：無代理程式、雲端原生<br /> ●整合第三方身分識別提供者：AWS、微軟Azure、Google Cloud</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/13 12:04作者李宗翰https://www.ithome.com.tw/review/160282
【資安月報】2023年11月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年11月的資安新聞，最讓我們印象深刻的就是，看到防詐議題逐漸升格成為需要獨立看待的威脅。</p> <p>更關鍵的是，從2019年我們報導深度偽冒Deepfake與AI語音技術門檻降低的情形，現在2023年，許多專家已開始呼籲與提醒，真偽難辨的AI詐騙已是現在進行式。</p> <p>近期我們注意到有兩大事件，都與這方面的議題相關，包括：</p> <p>（一）11月下旬，第一屆亞洲防詐高峰會（ASAS）在臺舉行，不僅公布了亞洲10國最常見的詐騙場景，第一嚴重是「身分盜用（含個資盜用/盜刷）」，其次是「購物詐騙」，第三為「投資詐騙」，現場多位專家更是指出，AI詐騙時代已來臨，不肖份子已將文字轉語音、以及一些Deepfake技術用於詐騙，因此，個人與企業的防詐態度也必須調整。</p> <p>（二）<a href="https://services.google.com/fh/files/misc/google-cloud-cybersecurity-forecast-2024.pdf">Google Cloud在11月9日，發布2024年網路安全預測報告</a>，當中一項預測就是指出，隨著惡意生成式AI興起，如FraudGPT和WormGPT等，將使網釣內容更逼真，減少過去拼寫或語法錯誤的問題，或是缺乏文化背景的情況。甚至虛假內容的深度偽造照片與影片，將延伸至主流新聞平臺，降低公眾資訊的信任，未來，企業或政府要與其受眾進行交流，可能會變得越來越困難。其實還有多家資安業者都在2024年度資安預測中，提及這方面的議題。</p> <h3><strong>近期資安業者揭露2023年中國駭客網路攻擊的社交工程新樣態</strong></h3> <p>回顧過去十多年，不只是臺灣社會新聞，有非常多的網路詐騙案件報導，在國際間，像是美國FBI旗下網路犯罪投訴中心（IC3）每年也會公布各類詐騙案件與損失金額，尤其是商業電子郵件詐騙，因其詐騙金額之高，企業頻頻受害，屢屢登上資安新聞版面。</p> <p>在許多網釣攻擊事件中，很多也包含了與身分冒用、社交工程有關的詐騙伎倆。事實上，社交工程就是利用人類心理與人際關係的攻擊手法，會運用欺騙或誘導的伎倆。</p> <p>以針對企業組織人員的社交工程手法而言，近期我們也得知，現在的網釣行動，正採用更多一般詐騙會慣用的伎倆。12月1日我們參加安碁資訊的活動時，看到他們介紹了2023年看到的社交工程新攻擊樣態，當中說明了兩起中國駭客組織BlackTech的攻擊手法。</p> <p>第一起事件，其釣魚郵件的名義是假借活動邀請，並在郵件中提供惡意超連結，若使用者不上當，則會再次發信提醒受害者參加。簡單來說，攻擊者是透過日常溝通方式，設法降低人員的戒心。</p> <p>第二起事件，則是攻擊者偽裝成一般民眾，先發送正常的內容至民眾服務信箱，詢問政府相關法規事宜，以降低政府人員警覺，並取得信任，等政府人員回覆後，攻擊者再接續詢問，但此時會在郵件中夾帶惡意連結。</p> <p>這樣的手法，其實跟往年常見的愛情詐騙的過程十分相似，邏輯幾乎相同，一開始先正常交友對話，後面才用其他藉口，來達到其騙錢的意圖，而這裡的目的則是要騙使用者去點擊惡意連結。</p> <p>可惜的是，一般民眾對於上述這類消息仍然相當陌生。</p> <p>即便是對於民眾的詐騙手法，到了2023年，有些民眾也是知之甚少。</p> <p>以解除分期詐騙來說，過去七八年來，警方一再公布這類詐騙手法，駭客會假冒電商或品牌客服人員來電，再假冒金融業者客服來電，不只是新聞報導，還有許多接到詐騙的民眾在網路上分享自身經驗，指出對方知道自己的購物內容，疑似電商發生資料外洩。</p> <p>但是，有些民眾仍只知道詐騙很多，並不太關心這方面問題。像是最近有受害民眾在網路上分享受害經驗，他表示自己接到電話時，認為應該是詐騙，但等到對方客服跟他確認個人資料與訂單資料後，他又相信了對方，因此聽從對方而造成金錢受騙。</p> <p>這也意味著，該民眾之前可能沒有深入了解這些警方呼籲的內容，以及新聞或網友分享的這方面的內容，因此不太知道實際網路威脅現況，例如，詐騙者知道你的訂單記錄與個資已是常態，對方會雙重假冒客服及銀行人員，ATM不提供取消分期功能，種種資訊落差造成受害者無法了解為何要再透過第二管道確認。</p> <p>他們更沒想過的是：這些詐騙都是濫用合法管道去散布，我們與他人用一些常見的管道溝通，詐騙集團也會用同樣管道、假冒名義來跟你溝通。</p> <h3><strong>國際間已有AI詐騙實例，臺灣民眾防詐觀念必須轉變</strong></h3> <p>更重要的是，面對AI詐騙的新興威脅，全球也在設法應對，並示警這類威脅已經實際發生。</p> <p>例如，今年<a href="https://www.ftc.gov/news-events/news/press-releases/2023/11/ftc-announces-exploratory-challenge-prevent-harms-ai-enabled-voice-cloning">11月16日，美國聯邦貿易委員會（FTC）宣布舉辦一項挑戰賽，目的是防止AI語音複製的危害</a>，當中提到他們今年曾示警，詐騙者正將AI技術用於親人緊急詐騙。</p> <p>FTC指出，這些AI詐騙，可能使詐騙者更容易冒充家人、朋友或企業主管。因此，聲音也將變得不能相信。最好的方式就是查證與核實情況，從自己知道的號碼回撥，或透過其他家庭成員朋友幫助聯繫，透過第二管道來確認。此外，之前不少執法單位與資安界人士也表示，雙方可能要擁有彼此之間的通關密語，透過更多方式來確認。</p> <p>值得我們警惕的是，國際間已經開始有此狀況，臺灣雖然少有聽聞，但民眾應該先要知道這件事。</p> <p><span style="color:#0066ff;"><strong>過去可能大家會注意，文字式的即時通訊，網路另一端可能不是真正的對方，除非我們看得到影像、聽得到聲音，才相信是對方是真正的對方。</strong></span></p> <p><span style="color:#0066ff;"><strong>但是現在，在AI詐騙興起之下，首先要扭轉的觀念就是，即便看到對方影像、聽到對方聲音，都沒有問題，但是，現在不只要想到對方是否可能被要脅，也要預先設想對方是否並非本人，特別是當對方說出異於平時的要求時。</strong></span></p> <p>企業更要擔心的是，過去帶來極大損失的商業電子郵件詐騙（BEC），若是也在AI詐騙加持之下，假冒自家老闆來電或視訊，通知財務人員匯款至另一帳戶，將可能使BEC詐騙問題變得更嚴重。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/159646"><span style="color: rgb(178, 34, 34);">【資安週報】2023年10月30日到11月3日</span></a></strong></h2> <p>在這一週漏洞利用消息中，有兩個新揭露的已知漏洞隨即遭攻擊者鎖定的消息，持續提醒企業及時修補的重要性。</p> <p>（一）Apache軟體基金會的訊息導向中介軟體ActiveMQ，在10月25日釋出新版修補CVSS風險高達10分的漏洞CVE-2023-46604。相隔兩日，資安業者發現勒索軟體HelloKitty的駭客開始鎖定此一已知漏洞，針對尚未修補該漏洞的企業發起攻擊行動。<br /> （二）F5在10月27日針對應用程式交付平臺BIG-IP修補兩個漏洞，分別是CVE-2023-46747與CVE-2023-46748，到了10月30日，F5更新公告指出，修補釋出後發現開始有攻擊者在攻擊行動中利用這兩個已知漏洞。</p> <p>其他重要漏洞修補消息中，包括適用於K8s環境的Nginx Ingress控制器有多個漏洞修補，以及Atlassian針對DevOps協作平臺Confluence的重大漏洞修補，已有研究人員與業者示警應盡速修補。</p> <p>在資安防禦進展上，本週我們關注到有多個焦點，統整為以下五大範疇：漏洞評分標準、攻擊手法解析、勒索軟體防範、AI安全法規推動，以及科技大廠宣布調整資安應對策略。<br /> ●FIRST推出新版漏洞風險評分系統CVSS 4.0：這是2019年6月CVSS 3.1版推出後的重大改版，新版分數呈現上不只有列出基本分數的CVSS-B，還加上威脅評分的CVSS-BT、加上環境評分的CVSS-BE，以及統合3種分數的CVSS-BTE。<br /> ●MITRE發布第14版ATT&CK：當中指出隨著攻擊者不斷發展對人性弱點（human vulnerabilities）的利用，因此這次版本擴大到這類非技術攻擊面，例如：T1657的金融竊盜、T1656的模擬冒充、T1598.004的魚叉式網路釣魚語音。<br /> ●AI安全持續受全球政府關切：10月30日美國總統拜登簽署首個AI行政命令，11月1日英國號召的首屆AI安全高峰會（AI Safety Summit）舉行，多國簽署布萊切利宣言，並就人工智慧最前線（Frontier AI）所帶來的機會與風險達成共識。<br /> ●對抗勒索軟體威脅仰賴全球合作：美國主導的國際反勒索軟體高峰會（CRI）今年邁入第3屆，制訂首個CRI聯合政策聲明，成員數目亦達到50個，新增國際刑警組織，以及埃及、希臘、約旦等12國。<br /> ●面對持續升溫的網路威脅，微軟宣布即日起將採新應對措施：該公司提出Secure Future Initiative（SFI）的未來安全倡議，將從三大方面著手，發展基於AI的安全防禦、落實安全軟體開發，以及呼籲制定更全面性的國際資安規範。</p> <p>在威脅事件焦點方面，近日有兩起受關注，一是航空製造業龍頭波音證實遭遇網路攻擊，導致零件配送網站服務中斷，另一是身分驗證解決方案業者Okta再傳資料外洩，起因為第三方供應商遭駭。</p> <p>我們也特別注意到一個新的威脅態勢，近期有資安業者揭露網路犯罪供應鏈的分工是越來越細緻，不只是前幾年常提到的「初始入侵管道掮客（Initial Access Broker）」，就連攻擊者使用的短網址也有專門供應商服務，並指出這樣的組織至少已存在4年之久，註冊上萬網域來提供攻擊行動的短網址服務。</p> <p>另一個無法忽略的狀況是，今年早先發生的資安事件，至今仍持續有相關消息傳出，顯示後續影響仍大。例如，近期有多家業者傳出的資安事件，起因公布是先前MOVEit Transfer零時差漏洞攻擊所導致；有加密貨幣竊盜事故，研究人員指出起因疑與先前密碼管理解決方案LastPass資料外洩有關；此外，針對2020年SolarWinds供應鏈攻擊事故，美國證券交易委員指控該公司蓄意隱瞞。</p> <h2><strong><a href="https://www.ithome.com.tw/news/159285"><span style="color: rgb(178, 34, 34);">【資安週報】2023年11月6日到11月10日</span></a></strong></h2> <p>在這一週漏洞利用消息中，今年5月曾發動MOVEit Transfer零時差漏洞攻擊的駭客組織，近期有了新的目標，成為最大關注焦點，還有兩個已知漏洞遭攻擊者鎖定利用的情形也必須留意。</p> <p>（一）IT服務管理軟體供應商SysAid在11月8日修補已遭利用的零時差漏洞CVE-2023-47246，並說明微軟威脅情報團隊已確定幕後攻擊者是勒索軟體駭客組織Lace Tempest（亦稱Clop、TA505），由於該組織在今年5月底曾發動MOVEit Transfer零時差漏洞攻擊，因此格外引發關注。目前，已陸續有資安業者說明，在10月30日、11月2日就發現該漏洞被利用於攻擊行動的跡象。<br /> （二）Atlassian在10月31日修補旗下DevOps協作平臺Confluence重大漏洞CVE-2023-22518，有資安業者發現11月5日該漏洞正開始被用於攻擊行動，並造成Confluence伺服器感染勒索軟體Cerber。<br /> （三）我們新發現這一周資安日報未提及的漏洞利用消息，是關於今年4月底資安業者揭露服務定位協定（Service Location Protocol，SLP）的高風險漏洞CVE-2023-29552，當時指出駭客可藉此漏洞發動DoS攻擊，並警告存在此漏洞的裝置種類與數量都多，包括許多美國財富1000強的企業，在最近11月8日，該漏洞發現被攻擊者實際利用於攻擊行動。</p> <p>本周其他重要的漏洞修補消息方面，包括：威聯通修補旗下NAS作業系統2個重大漏洞，Veeam針對旗下IT監控解決方案Veeam ONE修補兩個重大漏洞。此外，ZDI本周公開4個Exchange零時差漏洞，呼籲用戶採取緩解，並說明9月已通報微軟，微軟則說明其中之一在8月已修補，其餘則評估沒有立即修補必要。</p> <p>在威脅事件焦點方面，我們看到持續有不同產業遭遇資安事件的情形，例如：<br /> ●雲端SIEM平臺業者Sumo Logic公告資安事故，察覺自家使用的雲端服務遭駭。<br /> ●跨國聯鎖五金零售業者Ace Hardware公告發生資安事故，大部分的IT系統皆面臨中斷或暫停運作的情況。<br /> ●樂高市集BrickLink遭網路攻擊，有少部分帳號遭未經授權存取並被用來行騙。<br /> ●印度政府機關遭駭客組織SideCopy利用WinRAR漏洞攻擊被資安業者揭露<br /> ●柬埔寨政府遭中國駭客使用基礎設施偽裝成雲端備份服務的方式攻擊被資安業者揭露</p> <p>另一關注焦點在於，10月下旬Okta客戶支援系統遭駭，有了後續消息。該公司在11月初揭露調查結果，指出駭客存取的資料影響了134家客戶，並指出攻擊者利用Okta系統之間溝通的Service Account，執行攻擊行動，我們也特別注意到，Okta所公布的事件起因，值得企業警惕：他們認為這起事件可能與員工Google帳號遭駭有關，因為該員工曾在公司筆電上登入個人Google帳號，導致公司的服務帳戶帳密儲存到個人Google帳戶。</p> <p>在新興威脅態勢上，有惡意程式開發者宣稱，Google Calendar的事件描述可被轉換成C2加以濫用，這類隱密攻擊手法，引起資安界的討論與關注。其他一些惡意活動被揭露的消息，也不容輕忽，包括：透過PyPI套件散布惡意軟體BlazeStealer的情形，透過企業臉書帳號發布惡意廣告散布NodeStealer竊資，透過WordPress網站下達攻擊命令的惡意程式GootLoader變種，以及名為Socks5Systemz的代理伺服器殭屍網路被揭露等。</p> <h2><strong><a href="https://www.ithome.com.tw/news/159907"><span style="color: rgb(178, 34, 34);">【資安週報】2023年11月13日到11月17日</span></a></strong></h2> <p>在這一星期有微軟、SAP等每月例行安全更新修補釋出需要注意，特別要關切的是，當中包含5個零時差漏洞修補，同時還有更多已知漏洞遭利用的情形，我們持續提醒企業修補要及時，別成為受害者。</p> <p>（一）有3個已遭利用零時差漏洞，以及2個細節已公開的零時差漏洞。狀態如下：<br /> 微軟發布11月例行更新，修補63個漏洞中，有5個零時差漏洞，其中3個修補發布時已遭鎖定利用，包括：位於桌面視窗管理員（DWM）核心程式庫的漏洞CVE-2023-36033，涉及Windows SmartScreen安全功能繞過的漏洞CVE-2023-36025，檔案系統驅動程式CldFlt的漏洞CVE-2023-36036，另2個零時差漏洞相關細節已被公開，幸好修補釋出前沒有被利用的消息。</p> <p>（二）有多個已知漏洞，近期確認有遭攻擊者利用的消息，是我們整理這星期內容時新發現、資安日報尚未提及，在此補上。<br /> ●微軟上個月10月修補涉及MOTW安全功能繞過的漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-36584">CVE-2023-36584</a><br /> ●Juniper今年9月修補EX、SRX產品的5個可串聯漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-36844">CVE-2023-36844</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-36845">CVE-2023-36845</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-36846">CVE-2023-36846</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-36847">CVE-2023-36847</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-36851">CVE-2023-36851</a><br /> ●Sophos今年4月修補上網安全閘道系統Web Appliance漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-1671">CVE-2023-1671</a><br /> ●甲骨文在2020年修補Oracle Fusion Middleware的漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2020-14750">CVE-2020-14750</a></p> <p>在國內，有兩大事件成為焦點，都與上市公司有關。首先，是化工業上市公司<a href="https://s4.itho.me/sites/default/files/images/2023-11-17_104822.jpg">「中華化」在11月12日發布資安事件重大訊息</a>，說明在11日發生部份資訊系統遭受駭客網路攻擊的情況：另一起事件雖是常見的臉書粉專被盜，本週iThome資安日報未報導，因受害的泰山企業是上市櫃公司並涉及對方要求付錢贖回粉專的勒索行為，也引起大眾關注——<a href="https://s4.itho.me/sites/default/files/images/%E6%B3%B0%E5%B1%B1%E7%B2%89%E5%B0%88%E8%A2%AB%E7%9B%9C.jpg">16日下午5點半，我們得知上市食品工業泰山的臉書粉專在一小時前被盜用的消息</a>，劫持粉專者將粉專名稱改為2607，並公開張貼一則訊息：「給我錢，我會返回頁面」，當日晚間10點<a href="https://s4.itho.me/sites/default/files/images/2023-11-17_104951.jpg">泰山也發重大訊息針對媒體報導說明</a>。</p> <p>在資安威脅與事件方面，我們認為有下列5起事件值得留意：<br /> ●物流業者杜拜環球港務集團（DP World）近日遭網路攻擊，並導致澳洲多個港口運作受到衝擊，迫使該公司暫停營運三天，特別的是，研究人員指出，除了DP World，近期還有中國工商銀行美國子公司等多起事件，原因都是未修補已知Citrix Bleed漏洞導致。（該漏洞10月10日揭露與修補，10月18日已警告有攻擊者鎖定利用情形）<br /> ●駭客行徑更為囂張，惡人先告狀！像是勒索軟體集團AlphV發動攻擊後，近期公開表示他們到美國證交所（SEC）網站填寫資料，聲稱已舉報受害公司並未依規定揭露遭到網路攻擊。<br /> ●日本數位廳提出警告，表示有攻擊者假借入境通關線上表單Visit Japan Web名義的App。由於疫情後國內前往日本旅遊暴增，務必防範此事發生。<br /> ●丹麥關鍵基礎設施今年5月遭遇俄羅斯駭客大規模攻擊，當地SektorCERT揭露，起因是當地多家經營能源關鍵基礎設施業者的資安工作未落實，因為他們所用的兆勤科技（Zyxel）防火牆有漏洞，廠商在4月底已公告相關消息，這些業者卻遲遲未修補而遭駭。<br /> ●勒索軟體Hive疑似重起爐灶，改名Hunters International，特別的是，本期日報未提及的是，近日<a href="https://twitter.com/FalconFeedsio/status/1724046526870331569">傳出Hunters International將國內上櫃生技醫療業「大江」列為受害者</a>的消息。</p> <p>其他最新網路威脅動向，我們認為可留意下列消息，包括：Docker容器環境遭殭屍網路OracleIV鎖定的情形，MySQL伺服器遭中國殭屍網路Ddostf攻擊行動鎖定，以及惡意軟體Ducktail近期將危害目標是時尚產業。</p> <h2><strong><a href="https://www.ithome.com.tw/news/160012"><span style="color: rgb(178, 34, 34);">【資安週報】2023年11月20日到11月24日</span></a></strong></h2> <p>在這一星期的漏洞消息中，有兩大漏洞修補需重視，包括江森自控修補旗下工業冷凍系統重大漏洞、Fortinet修補旗下FortiSIEM重大漏洞，此外，還有視訊監控影像錄製設備（NVR）與路由器被駭客發現新零時差漏洞、並利用於散布Mirai變種病毒JenX的嚴重威脅，目前揭露此事的Akamai先示警並通知相關製造商，預計12月有新版修補釋出。</p> <p>另外，10月初我們曾報導GNU C函式庫緩衝區溢位漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-4911">CVE-2023-4911</a>（Looney Tunables），近日發現攻擊者開始利用這個已知漏洞的跡象，這星期資安日報新聞尚未提及，我們在此補上。</p> <p>國內方面，有多起資安事件成為焦點，都與上市櫃公司有關，我們整理如下：<br /> （一）首度出現一日內兩起資安事件重訊：在11月20日，旅遊業「<a href="https://s4.itho.me/sites/default/files/images/2023-11-20_231240_%E9%9B%84%E7%8D%85.jpg">雄獅</a>」與塑膠工業「<a href="https://s4.itho.me/sites/default/files/images/2023-11-20_231222_%E4%B8%AD%E7%9F%B3%E5%8C%96.jpg">中石化</a>」先後發布資安事件重大訊息，說明遭受駭客網路攻擊事件。其中雄獅提及提醒旅客反詐騙警語，可能有顧客資料外洩情事發生，並是該公司是這兩年來第二次公告遭駭，中石化的揭露相當有限，對於企業與組織聯防，無法提供具體有用的情報。<br /> （二）<a href="https://s4.itho.me/sites/default/files/images/2023-11-27_131341_%E5%A4%A7%E6%B1%9F.jpg">大江生醫發布資安事件重大訊息，證實資訊系統遭受網路攻擊</a>：上期資安週報於20日發布之際，我們率先報導了生技業「大江」疑似傳出在15日被Hunters International勒索軟體組織列為受害者的消息，其他媒體22日跟進報導這項消息，我們也再去電詢問大江仍未獲得回應，直到11月24日（週五傍晚）為止，大江終於公告他們遭受網路攻擊事件。<br /> （三）訊連科技被微軟揭露遭駭，北韓駭客Lazarus對這家公司發動供應鏈攻擊，他們的Promeo產品新用戶遭鎖定：此事曝光的同一天，訊連在網站發布公告，說明其產品「Promeo」的安裝程式中發現惡意軟體，他們已經移除問題，後續並將更新軟體安全憑證。<br /> 此外，這一星期國內還有中心綜合醫院傳出掛號系統無法使用、預約資料消失，疑遭網路攻擊的消息，以及司法院針對判決資料外洩事故做出新的說明。</p> <p>在資安威脅與事件方面，勒索軟體的威脅與動向最值得關注，有4項消息揭露，我們整理如下：<br /> ●對於Rhysida勒索軟體的危害，美國CISA、FBI與MS-ISAC聯合發布警告，說明其攻擊主要鎖定教育、醫療、製造、資訊業與政府部門。這份公開消息揭露該勒索軟體採用的TTP與IoC，供企業了解其攻擊策略與手法，以及各種緩解措施。<br /> ●關於勒索軟體BlackCat的新動向，有資安業者指出近期新手段是在Google刊出廣告，假借提供知名的應用程式（如Advanced IP Scanner、Slack、WinSCP），引誘網路使用者連至釣魚網站，下載被植入惡意程式Nitrogen的軟體。<br /> ●勒索軟體Phobos再度出沒，資安研究人員揭露近期出現他們鎖定資安社群VX-Underground的情形。<br /> ●勒索軟體駭客組織Play威脅恐加劇，近日有資安人員揭露該組織打出將其工具提供出租的旗號，欲吸引更多打手加入的狀況。</p> <p>在新興攻擊手法與其他重要威脅態勢方面，我們認為竊資軟體Lumma的新手法，利用壓縮檔發動攻擊的現況，最值得留意。<br /> ●竊資軟體Lumma為了規避偵測，利用測量滑鼠軌跡來識別真人操作，才執行該竊資軟體；另一資安研究人員更是揭露，Lumma開發者聲稱能復原Google帳號的連線階段，挾持受害者帳號。<br /> ●關於利用壓縮檔散布惡意的態勢需要留意，本週有三起相關事件，首先是大使館人員要注意，俄羅斯駭客APT29鎖定歐洲多國大使館網攻，發動WinRAR漏洞攻擊，接著是加密貨幣用戶要注意，駭客組織DarkCasino針對這些用戶利用WinRAR漏洞發動攻擊，還有竊資軟體Agent Tesla新利用ZPAQ格式，將1 GB的大型檔案縮為僅有6 KB的壓縮檔，可能是要規避防毒掃描。<br /> ●Python開發人員也要注意，有資安業者揭露近半年有駭客上架了模仿知名套件的27個PyPI套件，同時還會利用PNG圖檔埋藏攻擊意圖。</p> <p>最後，還有兩個國家級駭客攻擊動向的揭露，值得警惕，包括：中國駭客組織Mustang Panda鎖定東南亞國家軍事單位下手，駭客假借提供Solid PDF Creator、印尼防毒軟體Smadav的名義，藉由這些應用程式來側載惡意軟體；以及俄羅斯駭客Gamaredon鎖定烏克蘭組織，散布USB蠕蟲LitterDrifter。</p> <h2><strong><a href="https://www.ithome.com.tw/news/160142"><span style="color: rgb(178, 34, 34);">【資安週報】2023年11月27日到12月01日</span></a></strong></h2> <p>在這一星期的漏洞消息中，有4起漏洞利用情況須優先關注，其中以Google修補瀏覽器漏洞的影響需要特別重視：</p> <p>（一）Google在28日修補已遭利用的Chrome瀏覽器零時差漏洞CVE-2023-6345，值得關注的是，該漏洞存在於Skia繪圖引擎，又是涉及底層，因此可能影響範圍還包括了Android、ChromeOS、Firefox OS、Firefox/Thunderbird、Flutter、Avalonia及LibreOffice等。<br /> （二）蘋果在30日修補兩個已遭到攻擊的零時差漏洞，分別是CVE-2023-42916、CVE-2023-42917），由於這些漏洞是Google威脅分析團隊（TAG）通報，且Google前兩日才修補Chrome零時差漏洞，這些漏洞是否可能同一起攻擊活動所利用，有待後續更多消息揭露。<br /> （三）檔案共享平臺ownCloud在11月21日修補3個重大漏洞，其中CVSS滿分的漏洞CVE-2023-49103，本身並不複雜，修補發布後已快速遭攻擊者用於攻擊行動，用戶需盡速進行緩解或補強。<br /> （四）資料分析系統Qlik Sense有3個已知重大漏洞（CVE-2023-41266、CVE-2023-41265和CVE-2023-48365）被用於攻擊行動，駭客鎖定這些漏洞進而發動勒索軟體Cactus攻擊。</p> <p>其他可留意的漏洞消息，包括：兆勤修補旗下NAS設備的6個重大漏洞，以及AI框架Ray被揭露存在重大漏洞，但開發商Anyscale目前未有修補打算。</p> <p>在國內，有兩大事件成為焦點，都與上市公司有關，首先是上海商銀發生1.4萬客戶資料外洩事件，由於事件發生後竟缺乏相關資訊可追查，成為金管會開罰重點，依據銀行法開罰1千萬元；關於中石化在11月中旬發布資安事件重大訊息，說明遭受駭客網路攻擊事件，近期有後續消息傳出，疑為勒索軟體駭客組織BlackCat所為，該組織聲稱取得41.9 GB資料。</p> <p>另一起事件也與臺灣有關，是即時通訊軟體Line的母公司發布資安通告，說明發生44萬用戶、合作夥伴、員工個資恐外洩事件，而當中有100筆資料屬於臺灣用戶，而目前Line已說明初步調查結果，是承包商員工的電腦感染惡意軟體。</p> <p>在資安威脅與事件方面，我們認為有下列4起事件值得留意：</p> <p>●先前10月身分驗證管理業者Okta資料外洩事故有新的調查結果，該公司指出所有曾經存取客戶支援系統的用戶都受波及，影響範圍比之前公布的更大。<br /> ●荷蘭半導體業者恩智浦（NXP）驚傳前幾年遭駭，當地新聞媒體NRC報導指出，中國駭客組織Chimera自2017年到2020年初滲透該公司網路環境，並竊得與晶片設計相關的智慧財產。而臺灣資安業者奧義智慧之前也曾揭露，臺灣在2018年及2019年至少7家半導體業者曾遭到中國駭客集團Group Chimera鎖定。<br /> ●北韓駭客發動供應鏈攻擊的事件，英國NCSC與韓國NIS提出警告，駭客先挖掘出韓國資安業者Dream Security開發的身分驗證系統MagicLine4NX的零時差漏洞，作為攻擊跳板，再利用另一連網系統的零時差漏洞來入侵特定目標。韓國資安業者AhnLab指出，這起事件是駭客組織Lazarus所為。<br /> ●財星500大企業中有數百個曝露了Kubernetes機敏資料，揭露此事的資安業者指出，他們主要針對dockercfg、dockerconfigjson這兩種類型的機敏資料進行調查所發現。</p> <p>此外，我們還看到，近日國際間持續有多家大型業者遭遇網路攻擊的消息，受害企業與組織遍及研究單位、醫療、關鍵CI等領域，包括：日本航太研究機構JAXA的AD伺服器遭非法存取，美國醫療保健業者Henry Schein傳出遭遇勒索軟體BlackCat攻擊，以及美國賓州自來水公司的工業控制系統傳出遭駭客劫持，斯洛維尼亞大型能源供應商HSE遭遇勒索軟體攻擊等。還有駭客聲稱竊取了奇異（General Electric）的資料，當中並包含大量美國DARPA的軍事資料。</p> <p>關於資安防護進展方面，有一項消息值得AI系統開發人員注意——英國NCSC與美國CISA在11月26日共同發布全球首份「安全AI系統開發指南」，當中將AI系統開發生命周期分四大階段，包括：安全設計、安全開發、安全部署及安全維運，主要提供AI系統開發的必要建議，確保每個階段都讓開發者有適當的安全措施可遵循。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/159582">2023年10月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159207">2023年9月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158650">2023年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158096">2023年7月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/157613">2023年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/157226">2023年5月資安月報</a></h3> <p> </p> </div></div></div>
2023/12/13 11:15作者羅正漢https://www.ithome.com.tw/news/160289
MIT調查揭露資料洩漏事件以驚人速度增加又創新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple委託MIT研究人員，針對個人資料洩漏狀況進行<a href="https://www.apple.com/newsroom/pdfs/The-Continued-Threat-to-Personal-Data-Key-Factors-Behind-the-2023-Increase.pdf">研究</a>，發現資料洩漏的事件正在急速增加。從2013年到2022年，資料外洩的事件數量成長到了3倍，而且光過去兩年，就有26億條個人資料紀錄遭洩漏。這份報告的結論強調，組織需要重新思考所收集的未加密資料量，並採用諸如端到端加密這類資料保護措施，來應對日益嚴重的個人資料威脅。</p> <p>以美國組織為例，資料洩漏現在正處於歷史高峰，截至2023年9月的紀錄，在美國所發生的資料洩漏事件，就比2022年一整年還要多出20％，而世界各地的組織也面臨類似的趨勢。這類攻擊的影響也越來越大，因為企業、政府和各類型的組織收集更多的個人資料，而網路犯罪者在竊取這些私密資料後，能夠被利用甚至出售以獲取鉅額利潤。</p> <p>報告指出，個資威脅增加有主要兩個原因，第一是勒索軟體攻擊增加且危險性提高，勒索軟體攻擊的數量和複雜性已與過去不同，網路犯罪者更有組織，經常以團隊的形式行動，並且鎖定擁有敏感資料的組織，諸如政府、大眾市場基因檢測公司或是醫療機構。過去網路犯罪者會加密公司資料，直到公司付款為止，但現在網路犯罪者有更高的機率洩漏企業和消費者資料。</p> <p>此外，研究人員也發現針對供應商的攻擊增加，網路犯罪者會利用供應商的漏洞，來攻擊相依於這些供應商的組織。在當前組織間高度相連的現況，幾乎所有組織都相依於各種供應商和軟體，這樣的相依性使得網路犯罪者，只需要利用第三方軟體或是供應商系統中的漏洞，就能存取其他組織的資料。報告顯示，高達98％的組織在過去兩年內，與經歷過資料洩漏的供應商有業務來往。</p> <p>雖然組織也投入資源，防範網路犯罪者的入侵，但是只要組織不斷收集大量未加密的個人資料，則網路犯罪者便會不斷尋找新方法取得這些資料，使得個人資料被竊取、濫用和暴露的風險持續存在。資料洩漏不僅會傷害個人隱私，還可能對受害者造成重大的現實後果，像是財務損失、身分被盜用等。</p> <p>對組織來說，確保個人資料安全成為非常重要的工作，但即便如此，在當前網路犯罪者攻擊更加複雜和創新的現況，供應商系統中一個漏洞，就可能使數百甚至數千組織還有其用戶面臨風險。</p> <p>研究人員指出，組織的安全性取決於其最不安全的環節。而在這種形勢下，報告建議組織必須重新思考所收集的資料量，特別是限制未加密的資料量。而這是越來越多科技公司產品採用端到端加密保護客戶資料的原因，透過採用端到端加密方法，確保只有發送者和接受者可以存取和修改資料。</p> </div></div></div>
2023/12/13 08:32作者李建興https://www.ithome.com.tw/news/160293
VS Code 1.85添加浮動編輯器視窗新功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟最新推出<a href="https://code.visualstudio.com/updates/v1_85#_preview-features">VS Code 1.85</a>版本，加入了多項實用新功能，其中包括浮動編輯器視窗，開發者現在可以將編輯器拖曳到桌面，提高開發工作的方便性。此外，該版本還增強對擴充套件更新的控制，並且使開發者能以視覺化方式，查看JavaScript記憶體物件圖。GitHub Copilot也進行了更新，不只改進內嵌聊天的體驗，也增加對Rust程式碼解釋的能力。</p> <p>浮動編輯器視窗更新增加了開發的便利性，讓開發者能夠將編輯器拖曳出主視窗，形成獨立的輕量級視窗，如此開發者便可以將編輯器視窗分散到不同的顯示器或是桌面空間，透過善用螢幕空間進而提高程式開發效率，讓開發者能快速在多個編輯視窗間切換。而且因為終端機和搜尋結果也能夠以編輯器開啟，因此開發者也可以在獨立的視窗使用這些功能。</p> <p>VS Code 1.85的JavaScript除錯器加入視覺化V8堆快照（Heap Snapshot）功能，讓開發者可以更直覺地理解和分析JavaScript程式的記憶體使用情況。堆快照能夠在特定時刻，捕捉應用程式記憶體布局的完整副本，有助於開發者以視覺化的方式，檢測記憶體洩漏和最佳化記憶體使用（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/heap-snapshot.png" style="width: 580px;" /></p> <p>人工智慧程式開發助理GitHub Copilot在VS Code的使用更為便利，微軟改進了Copilot內嵌聊天使用者介面，聊天歷史紀錄現在能夠跨VS Code會話（Session）保留，也就是在開發者關閉VS Code並重新開啟VS Code之後，仍然可以看到內嵌聊天的提示歷史紀錄。</p> <p>此外，當用戶安裝像是rust-analyzer等Rust語言服務擴充套件，就能夠透過Copilot Chat解釋Rust程式碼。VS Code 1.85還提供更精細的擴充套件自動更新控制，允許用戶選擇想要進行自動更新的擴充套件。</p> <p>在預覽功能方面，樹狀檢視圖新增了黏性滾動（Sticky Scroll）功能，當專案樹等樹狀檢視圖的元素在滾動時，仍然可以維持可見狀態，開發者可以自行定義黏性顯示的元素數量，這將有助於改善檢視圖瀏覽體驗。另一個預覽功能則是多檔案差異編輯器，可供開發者簡單檢視本地、階段和拉取請求等各種變更，不過官方也提醒該功能尚未完善，還無法良好地處理所有情況。</p> </div></div></div>
2023/12/13 08:35作者李建興https://www.ithome.com.tw/news/160303
Mistral AI開源採用SMoE架構的Mixtral 8x7B模型，整體效能超越Llama 2 70B與GPT-3…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mistral AI發表了最新的<a href="http://mistral.ai/news/mixtral-of-experts/" target="_blank">Mixtral 8x7B</a><a href="https://mistral.ai/news/mixtral-of-experts/">模型</a>，這個模型是一個具有開放權重的稀疏混合專家模型（Sparse Mixture of Experts Model，SMoE），能夠處理32,000個Token上下文，大多數基準測試表現都優於Llama 2 70B（700億參數）和GPT 3.5模型，並採用Apache 2.0授權開源。</p> <p>Mixtral 8x7B屬於稀疏混合專家模型，而稀疏混合專家模型是一種深度學習架構，適合用於建置大型且高效的神經網路。專家系統是這類模型的重要概念，指的是網路中特定子模組或是子網路，每個專家都擅長處理特定類型的輸入資料或是任務。</p> <p>而稀疏混合專家模型中的稀疏性，則是指每次輸入僅會觸發一小部分專家，也就是說，並非每一個輸入都需要經過所有專家處理，因此可有效降低運算成本。稀疏混合專家模型中經過訓練的路由器，能夠根據輸入資料的特性，分配任務給最適合的專家，而在Mixtral 8x7B模型中，路由器會根據收到的任務決定2個最相關的專家，在2個專家各自處理完輸入後，專家輸出會被整合成最終的輸出。</p> <p>稀疏混合專家模型透過結合不同專家的知識和技能，以稀疏的方式處理資料，提高大型神經網路的效率和效能，在處理大量參數和資料的同時，將計算成本維持在合理範圍。</p> <p>Mixtral 8x7B模型總共擁有467億個參數，雖然總參數數量很大，但在處理每個Token時，模型只會選擇並使用其中的129億個參數，而這便是稀疏性的體現，Mixtral 8x7B模型並不會每次都啟動所有參數。而也因為模型每次只使用部分參數，使得處理速度和運算成本，相當於一個僅有129億個參數的模型。</p> <p>根據官方的資料，相比同為開源的Llama 2 70B模型，Mixtral 8x7B在多數基準測試表現更好，推理速度更是Llama 2 70B的6倍，而且Mixtral 8x7B在大多數標準基準測試中，表現也都與GPT3.5相當甚至超越。在幻覺（Hallucination）和偏見（Bias）方面，比起Llama 2，Mixtral表現更加真實，並且呈現較少的偏見。</p> <p>目前Mixtral 8x7B能夠處理英文、法文、義大利文、德文和西班牙文，其生成程式碼的能力很出色。Mixtral 8x7B經過微調後的指令跟隨模型Mixtral 8x7B Instruct，在MT-Bench獲得8.3分，成為目前最佳的開源指令跟隨模型，效能與GPT 3.5相當。</p> </div></div></div>
2023/12/13 08:16作者李建興https://www.ithome.com.tw/news/160291
內建2個100GbE，英特爾推出基於FPGA的IPU加速卡
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/intel_fpga_ipu_f2000x-pl_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於基礎設施處理器（IPU）／資料處理器（DPU）這類技術應用，英特爾目前分為兩大產品線，一個是ASIC架構的解決方案，首款代號為Mount Evans的產品E2000於2022年10月登場，另一個則是FPGA搭配x86架構處理器的解決方案，代號為Oak Springs Canyon，英特爾定名為C6000X，在2022年之後則以F2000X取代。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Vision-2022-05-IPU-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision-2022-05-IPU-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2022-06-Intel IPU FPGA overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-Intel%20IPU%20FPGA%20overview.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-08-Oak%20Springs%20Canyon.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Intel IPU Roadmap.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20IPU%20Roadmap.jpg" style="width: 600px;" /></a></p> <p>若對照英特爾公開的FPGA產品型錄的22.2版與22.4版、23.1版，可看出C6000X-PL、F2000X-PL這兩個參考設計平臺的規格幾乎雷同。</p> <p><a href="https://s4.itho.me/sites/default/files/images/22_2 C6000X.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/22_2%20C6000X.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/23_1-Intel IPU F2000X-PL.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/23_1-Intel%20IPU%20F2000X-PL.jpg" style="width: 198px;" /></a></p> <p>在實際產品的供應上，今年2月，有一家可程式化網路卡供應商Napatech預告，將基於F2000X-PL平臺推出IPU產品，<a href="https://www.napatech.com/media/press-releases/napatech-leaps-into-market-for-data-center-infrastructure-processing-units/">到了9月，他們發表F2070X IPU</a>，英特爾也宣布第一款基於F2000X IPU的商用等級加速卡正式登場。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Intel FPGA overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20FPGA%20overview.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU%20Portfolio-2023.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/F2000X_C5000X Comparison.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F2000X_C5000X%20Comparison.jpg" style="width: 298px;" /></a></p> <p>這款產品支援200Gbps吞吐量，可改善雲端服務與網路應用系統環境的總體持有成本（TCO），Napatech強調是專為雲端、企業、電信等多種資料中心環境而設計，適用於混合雲、多雲，以及邊緣運算架構，能夠支援虛擬化（虛擬機器）、雲端原生（容器）、裸機，以及微服務型態的應用程式，預計今年第四季開放訂購。</p> <p><a href="https://s4.itho.me/sites/default/files/images/F2070X IPU overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F2070X%20IPU%20overview.jpg" style="width: 298px;" /></a><a href="https://s4.itho.me/sites/default/files/images/F2070X-Top-Figure-863.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F2070X-Top-Figure-863.jpg" style="width: 298px;" /></a></p> <p>在硬體運算架構方面，F2070X IPU搭配系統單晶片（SoC）中央處理器Xeon D-1736（採用10奈米製程、Ice Lake微架構），以及Agilex 7系列FPGA晶片（採用10-nm SuperFin製程的F系列）；在記憶體組態上，均支援錯誤修正處理（ECC），系統單晶片（SoC）處理器搭配2個8GB的DDR4（72位元，2,900 MT/s），FPGA晶片搭配4個4GB的DDR4（40位元，2,666 MT/s）。至於I/O介面，無論是IPU的中央處理器到伺服器，或是中央處理器與FPGA之間，都是PCIe 4.0 x16，頻寬為16 Gbps。</p> <p>而所謂的200 Gbps，是指這款加速卡提供2個網路埠，可設置為10GbE、25GbE或100GbE。Napatech表示，他們可提供多種版本，搭配不同的系統單晶片處理器、FPGA晶片，以及記憶體規格，以支援標準型或大型伺服器的應用需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Napatech 200 Gb IPU.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Napatech%20200%20Gb%20IPU.jpg" style="width: 600px;" /></a></p> <p>關於軟體應用方面，F2070X IPU能夠搭配Napatech開發的多功能軟體，例如：Link-Storage、Link-Security、Link-Virtualization，可透過網路介面，實現<a href="https://www.intel.com/content/www/us/en/products/docs/programmable/ipus-reduce-cpu-overhead-in-storage-workload.html">儲存（NVMe over TCP）</a>、資安（TLS）、網路（Open vSwitch）等繁重工作處理的卸載與加速。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Napatech-security-offload-solution-fig-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Napatech-security-offload-solution-fig-2.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Napatech-network-offload-solution-fig-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Napatech-network-offload-solution-fig-2.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Napatech-storage-offload-solution-fig-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Napatech-storage-offload-solution-fig-2.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Napatech FX2000.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Napatech%20FX2000.jpg" style="width: 148px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Napatech IPU type.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Napatech%20IPU%20type.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Intel FPGA IPU F2000X-PL</strong><br /> ●原廠：英特爾<br /> ●建議售價：廠商未提供<br /> ●外形：全高、3/4長介面卡<br /> ●處理器：Intel Xeon D-1736（8核心16執行緒）<br /> ●FPGA晶片：Intel Agilex 7 FPGA F-Series AGFC023<br /> ●記憶體：DDR4，16 GB用於處理器，16 GB用於FPGA<br /> ●I/O介面：PCIe 4.0 x16<br /> ●傳輸介面：2個QSFP28或QSFP56埠（可支援100 GbE）<br /> ●熱設計功耗：150瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/12 19:15作者李宗翰https://www.ithome.com.tw/review/160260
【資安日報】12月12日，北韓駭客組織Lazarus利用兩年前的重大漏洞Log4Shell，攻擊VMware桌面虛擬化…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著南北韓的關係越來越緊張，北韓駭客組織的動作頻頻，其中又以駭客組織Lazarus的攻擊行動相當受到研究人員的關注。</p> <p>例如，在其中一起名為Operation Blacksmith的攻擊行動裡，這些駭客使用了兩種相當罕見的手法，首先，他們在入侵受害組織的管道裡，利用了近期鮮少駭客利用的重大漏洞Log4Shell，再者，則是在打造作案工具的程式語言，他們採用的是D語言，目前幾乎沒有其他駭客以此開發惡意程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.talosintelligence.com/lazarus_new_rats_dlang_and_telegram/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織Lazarus利用Log4Shell漏洞散布RAT木馬程式</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Operation Blacksmith.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Operation%20Blacksmith.jpg" style="width: 300px; float: right;" /></a>思科旗下的威脅情報團隊Talos揭露北韓駭客組織Lazarus最新一波的攻擊行動Operation Blacksmith，這些駭客透過較少人使用的D語言，打造兩款RAT木馬程式NineRAT、DLRAT，以及惡意程式下載工具BottomLoader，主要目標是製造業、農業、保全業者。</p> <p>研究人員針對這些惡意程式進行分析，NineRAT採用即時通訊軟體Telegram的API與C2進行通訊，接收攻擊者下達的命令，然後從受害電腦竊取指定的資料，為了迴避偵測，攻擊者可指定此木馬程式休眠時間，以及向Telegram頻道查詢命令的間隔；另一個木馬程式DLRAT，則是在受害電腦啟動時會先收集系統基本資訊，如：作業系統、MAC位址等，傳送到C2伺服器，以便攻擊者下達命令，在受害電腦載入其他惡意軟體並執行；至於BottomLoader，則是使用PowerShell取得URL，並下載惡意酬載至受害電腦並執行。</p> <p>值得留意的是，這起攻擊行動駭客入侵目標組織的手段，是兩年前被揭露的日誌框架系統Log4j重大漏洞CVE-2021-44228（Log4Shell），他們針對曝露於網際網路的VMware Horizon伺服器發動攻擊，從而進入組織內部環境。</p> <p><a href="https://www.sentinelone.com/labs/sandman-apt-china-based-adversaries-embrace-lua/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Sandman可能與中國駭客互通有無，共用基礎設施及資源</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Sandman2_3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sandman2_3.png" style="width: 300px; float: right;" /></a>9月底資安業者SentinelOne、QGroup聯手，揭露針對中東、西歐、南亞次大陸的電信業者發動攻擊的駭客組織Sandman，該組織利用Lua程式語言打造的後門程式LuaDream來竊取目標系統及使用者資訊，近期研究人員又找到新的證據。</p> <p>SentinelOne、微軟、PwC威脅情報人員聯手，發現遭到LuaDream攻擊的受害組織當中，也存在另一款名為Keyplug的惡意程式，但使用這兩隻惡意程式的駭客並未出現競爭的情況。</p> <p>有數個中國駭客組織使用Keyplug從事攻擊行動，研究人員進一步追查，其中名為Storm-0866（亦稱Red Dev 40）的中國駭客組織，與Sandman共用基礎設施的控管原則，像是挑選主機代管供應商、網域命名的轉換等，再加上LuaDream和Keyplug有許多功能與設計重疊，研究人員推測，兩組人馬很有可能共用惡意程式開發資源。</p> <p><a href="https://www.trendmicro.com/vinfo/us/security/research-and-analysis/predictions/critical-scalability-trend-micro-security-predictions-for-2024"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">趨勢科技針對2024資安態勢提出預測，雲端原生蠕蟲將成為新興威脅</span></strong></a></p> <p></p> <p>資安業者趨勢科技公布2024年資安態勢的預測，當中特別提及駭客會針對雲端環境組態配置不當的情況，發展雲端原生的蠕蟲（Cloud-native Worms），用於建置大型C2基礎設施、濫用雲端運算資源挖礦、自動化收集機敏資料，或是從事大規模DDoS攻擊。</p> <p>研究人員指出，攻擊者很可能只需成功利用其中1個漏洞，或是找出Kubernetes 、Docker、Weaya Scope的API組態設定錯誤，就有機會突破防線，並在雲端環境迅速展開攻勢。</p> <p>由於蠕蟲具備自動橫向擴散的能力，而成為駭客用來發動攻擊的工具首選，此外，他們也會利用自動化指令碼進行偵查、漏洞攻擊，並藉由Rootkit來在雲端環境立足。再者，駭客也會濫用受害組織雲端環境現成的資源，進行寄生攻擊，來達到隱匿攻擊行動的目的。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/apache-patches-critical-rce-vulnerability-in-struts-2/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Apache基金會修補Java應用框架Struts漏洞</span></strong></a></p> <p></p> <p>12月9日Apache基金會發布資安公告，指出Java應用程式框架Struts存在路徑穿越漏洞CVE-2023-50164，影響2.0.0至6.3.0等多個版本，攻擊者可藉由操縱檔案上傳的參數來觸發漏洞，造成路徑穿越的情況，甚至有機會透過上傳惡意檔案達到遠端執行任意程式碼（RCE）的目的。該基金會發布2.5.33版、6.3.0.2版Struts予以修補。</p> <p><a href="https://www.akamai.com/blog/security-research/spoofing-dns-by-abusing-dhcp"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟DHCP動態更新機制有可能被濫用，駭客可偽造DNS資料發動進一步攻擊</span></strong></a></p> <p></p> <p>資安業者Akamai揭露濫用微軟DHCP伺服器的攻擊手法，攻擊者可在不需要授權的情況下，利用DHCP伺服器預設配置來偽造DNS紀錄，藉以竊取敏感資訊，甚至完全控制AD網域，而由於微軟DHCP伺服器相當普遍，因此有不少組織都暴露在風險之中。</p> <p>在這種攻擊手法裡，駭客濫用DHCP的動態更新功能，來欺騙DNS紀錄，使得在特定的組態配置下，因為DHCP存在弱點，導致DNS可能接受任意來源及請求。</p> <p>研究人員指出，這種攻擊手法的危險性，在於駭客可偽造各種類型的DNS紀錄，例如，網域控制器IP位址、用戶電腦名稱及IP位址、網站或應用系統的IP位址等，從而竊取帳密資料或是財務資訊、執行惡意程式碼、中斷網路服務，甚至能將網域控制器IP位址指向惡意網站。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/toyota-warns-customers-of-data-breach-exposing-personal-financial-info/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本汽車大廠Toyota證實金融子公司資料外洩</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/apple/apple-emergency-updates-fix-recent-zero-days-on-older-iphones/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果發布iOS 16.7.3、iPadOS 16.7.3、watchOS 10.2，修補舊裝置WebKit零時差漏洞</span></span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/google-patches-chromecast-vulnerabilities-exploited-at-hacking-contest/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google修補Chromecast的高風險漏洞</span></span></strong></a></p> <p></p> <p><a href="https://securityaffairs.com/155588/hacking/android-14-13-lock-screen-bypass.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露繞過安卓手機鎖定螢幕的弱點，最新版作業系統也無法倖免</span></span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/160280"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為解決中小企業、非政府組織資安疑難雜症，資安院設立服務團隊、診療所等咨詢管道</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160267"><strong>【12月11日】蘋果裝置、Linux主機、安卓裝置恐曝露於藍牙鍵盤注入漏洞風險，攻擊者藉由配對假的鍵盤裝置進行控制</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160235"><strong>【12月8日】五眼聯盟針對俄羅斯駭客Star Blizzard大規模網釣攻擊採取法律行動，祭出千萬美元獎金緝捕兩名駭客</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160208"><strong>【12月7日】研究人員揭露針對iPhone的新型態攻擊手法，啟動假的封閉模式，從而暗中偷渡惡意程式持續於背景執行</strong></a></p> </div></div></div>
2023/12/12 16:54作者周峻佑https://www.ithome.com.tw/news/160290
Martech雙周報第45期：Salesforce與AWS進行多項CRM功能整合，要用各自軟硬體支援AI應用於顧客關係…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(1126~1209)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AWS</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Salesforce</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CRM</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AIOps</span></span><br /> Salesforce與AWS打通多種CRM相關服務，包括行銷用生成式AI應用管理及跨環境數據存取等</strong></p> <p><a href="https://press.aboutamazon.com/2023/11/salesforce-and-aws-expand-partnership-for-customers-to-more-easily-build-trusted-ai-apps-deliver-seamless-crm-experiences-and-bring-salesforce-products-to-aws-marketplace">CRM巨頭Salesforce和AWS宣布雙向深化服務整合</a>，打通多種CRM及雲端基礎建設服務。這些整合內容大多與應用AI於顧客關係經營作業有關，預計於2024年推出。</p> <p>第一個重要整合是數據服務。強化Salesforce Data Cloud和AWS S3等數據服務間的共享及管理功能，未來企業將能透過0-ETL的方式，統一管理跨平臺和服務數據。企業還能於Data Cloud利用AWS EC2、EKS、Lambda等不同運算環境及服務來執行複雜數據處理。</p> <p>第二是整合AI開發服務整合<span style="color:#FF0000;">，</span>整合Salesforce AI平臺Einstein及AWS SageMaker、Bedrock等AI服務。企業將能把部署於AWS的AI模型和服務導入Salesforce App中，也能於Einstein進一步微調這些基礎模型。</p> <p>第三是客服功能整合，Salesforce Service Cloud將支援AWS客服工具Amazon Connect的對話、客服工作量預測及規畫等功能。另外，還有利用生成式AI來提供客戶洞察等，用於輔助客服人員及客服管理者的功能。</p> <p>第四是各式開發功能整合，AWS會利用其基礎建設來強化Salesforce旗下雲端PaaS產品Heroku，使後者能支援機器學習及AI應用開發。Heroku還預計支援AWS程式碼生成服務CodeWhisperer。另外，企業還能用Einstein Copilot Studio設計並執行<span style="color:#000000;">Salesforce及AWS上不同App和服務的自動化工作流程腳本。</span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#後Cookie時代</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#隱私權沙盒</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#興趣標籤</span></span><br /> Lytics推出Chrome隱私權沙盒措施<span style="color:#000000;">Protected Audience API的興趣標籤管理功能</span></strong></p> <p>CDP廠商Lytics推出<a href="https://developers.google.com/privacy-sandbox/relevance/protected-audience?hl=zh-tw">Google隱私權沙盒Protected Audience API</a>的<a href="https://www.lytics.com/blog/transforming-advertising-lytics-google-protected-audience-api/">輔助功能</a>，可以連結廣告主不同通路，統一管理複雜興趣標籤及分類，來簡化興趣導向廣告投放作業。</p> <p>廣告主可以串聯自家網站、App等通路到Lytic輔助工具統一管理興趣標籤，並交叉比對從第一方顧客數據觀察出的特性來優化管理。也就是說，廣告主可以統一分析跨通路顧客互動數據及既有顧客數據，來整理Protected Audience API的興趣群組，並藉此來更有效投放廣告。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Martech版圖</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#內容生成科技</span></span><br /> 生成式AI浪潮帶動Martech產品半年增加近1,500款，最大宗是內容行銷工具</strong></p> <p>根據Martech之父Scott Brinker及知名Martech研究者Frans Riemersma<a href="https://chiefmartec.com/2023/12/major-trends-in-martech-for-2024-the-real-changes-underway-in-a-99-platitude-free-report/">研究</a>，全球Martech產品從2023年5月到11月間暴增18.5%（2,042款），總數目來到13,080。其中，有73%（1,498款）是生成式AI相關商品。最大宗是產生行銷用圖文的內容行銷工具，高達34%，次多的影音行銷只有不到5%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PNG13080-martech-tools-768x500.png" style="width: 600px;" /></p> <p>不只這些新工具，既有Martech廠商及廣告平臺於2023年也都相繼增加了生成式AI行銷素材生成工具，大至Google、Amazon、Adobe，小至地方型Martech廠商，都不例外。雖然市場上產品增加未必能直接反映企業需求，不過對中小企業來說，行銷預算不足以製作大量行銷素材確實是常見難題。這波內容行銷類Martech浪潮，意味著這些企業將有許多利用生成式AI來補上行銷素材缺口的選項。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#短影音行銷</span></span><br /> Meta推出生成式AI行銷功能，可以模仿創作者語氣建議互動回覆內容</strong></p> <p>Meta推出<a href="https://about.fb.com/news/2023/12/meta-ai-updates/">2個行銷相關的生成式AI功能</a>。第一個是粉絲互動回覆內容建議。AI不是只會根據近期對話內容，還會參考創作者過往語氣來產生回覆建議。這意味著，Meta推出此工具不只鎖定語氣較為就事論事的客服情境，更希望能支援注重個人化互動的粉絲互動情境。</p> <p>另一個行銷相關的生成式AI功能是Meta聊天機器人新增站內Reels短影音搜尋功能，使用者可以對聊天機器人提出搜尋問題，機器人除了生成文字回覆、搜尋公開網路資料，現在還有能力即時搜尋相關Reels。這也意味著短影音行銷又多了一個曝光管道，與Meta近一年持續推廣短影音策略相符。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RPNG.png" style="width: 450px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Martech認證</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AWS生態系</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Martech採購</span></span><br /> AWS推出廣告與行銷科技能力背書機制，意圖扮演第三方Martech認證機構</strong></p> <p><a href="https://aws.amazon.com/tw/blogs/apn/maximize-customer-acquisition-retention-and-lifetime-value-with-aws-advertising-and-marketing-technology-competency-partners/">AWS推出廣告與行銷科技能力背書機制</a>，審查Martech廠商的交付模式、技術認證及客戶績效後，將該廠商列入夥伴清單，由AWS背書其能力。不過，AWS並未透露具體審查標準。AWS背書的Martech廠商有5種產品分類，分別是行銷客群及顧客數據管理、具隱私機制的數據共享協作、廣告投放平臺、廣告成效追蹤及分析，以及數位顧客體驗。</p> <p>目前，Martech業界沒有被廣泛承認的產品或廠商認證機制。不過，許多Martech是部署在三大公有雲的SaaS服務。其中，GCP已經有菁英合作夥伴認證機制，要求廣告投放績效達到基本門檻，且客戶數量及客戶預算績效前3%。如今AWS也推出背書機制，至少意味著企業採購Martech時多了一家CSP的推薦名單可以參考。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://www.nielsen.com/news-center/2023/gracenote-launches-advanced-automotive-data-platform-enabling-innovative-cross-media-experiences-in-connected-cars/">尼爾森子公司Gracenote推出跨平臺汽車娛樂內容元數據平臺，支援車內內容行銷</a></p> <p>2. <a href="https://www.yahooinc.com/press/introducing-yahoo-blueprint-a-new-ai-powered-suite-for-better-ad-performance-and-optimization">Yahoo也用AI技術升級自家DSP</a></p> <p>3. <a href="https://business.pinterest.com/en-au/blog/direct-links-are-here-for-holiday-campaigns/">Pinterest廣告功能終於從需要二次點擊升級到可以單次點擊就跳轉到外部連結，降低跳轉摩擦力</a></p> <p>4. <a href="https://www.linkedin.com/business/marketing/blog/linkedin-ads/new-ways-to-get-even-more-out-of-your-linkedin-ad">LinkedIn新增Conversion API功能，從第三方Cookie改為用API串接來拋轉行銷相關數據</a></p> <p>資料來源：iThome整理，2023年12月</p> <p>圖片來源：Chief Martec、Meta</p> <p>責任編輯：郭又華</p> <p> </p> </div></div></div>
2023/12/12 17:48作者郭又華https://www.ithome.com.tw/news/160279
微軟與美國最大聯合工會AFL-CIO結盟以討論AI的使用及影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你擔心工作被人工智慧（AI）取代嗎？由60個美國及國際工會組成的美國勞工及產業組織聯合會（American Federation of Labor and Congress of Industrial Organizations，AFL-CIO）及微軟在周一（12/11）<a href="https://news.microsoft.com/2023/12/11/afl-cio-and-microsoft-announce-new-tech-labor-partnership-on-ai-and-the-future-of-the-workforce/" target="_blank">宣布建立新的合作夥伴關係</a>，將共同討論AI如何預測勞工的需求，並將在AI的發展與實施程序中納入勞工的聲音。</p> <p>微軟指出，此一結盟為勞工組織與科技業者之間，首次專注於AI的合作，預期實現三大目標，包括與勞工及勞工領袖分享有關AI技術趨勢的深入資訊，在AI技術的發展中融入勞工的觀點與專業知識，以及協助制定可支援前線勞工需求與技術技能的公共政策。</p> <p>AFL-CIO主席Liz Shuler說明，此一合作夥伴關係反映出對勞工在AI與相關技術的開發、部署及監管中，可發揮關鍵作用的認同，期待與微軟合作以擴大勞工於AI時代的角色。微軟總裁Brad Smith則說，直接與勞工領袖合作將能確保AI替勞工服務，於技術開發期間取得建議，並協助微軟提供人們在AI時代不可或缺的技能。</p> <p>不管是微軟或AFL-CIO都認為，倘若AI是用來增加工作，而非削弱勞工的作用或責任，那麼AI將可建立一個可強化工作品質的能力。事實上，根據AFL-CIO的調查，有7成的勞工擔心被AI取代，另一項由微軟針對勞工所進行的調查則顯示，有7成的勞工會儘量委由AI執行任務來減輕工作量，這使得雙方認為，在轉移至由AI輔助的未來時，必須以勞工的聲音為中心。</p> <p>AFL-CIO與微軟結盟的具體實踐，將涵蓋由微軟提供AI最新及未來發展的學習機會予勞工及學生，透過與勞工組織及學術組織合作來舉辦各種學習研討會；雙方也會建立一個機制，以讓勞工直接與開發AI技術的開發者分享經驗與見解；並推動讓勞工可於AI時代具備基本技能、知識及經濟支援的各種政策。</p> <p>依據國際勞工組織（International Labour Organization，ILO）<a href="https://ilo.org/global/about-the-ilo/newsroom/news/WCMS_890740/lang--en/index.htm" target="_blank">今年8月所發表的報告</a>，最容易受到生成式AI影響的工作為文書工作，有接近1/4的任務被視為高度風險，超過一半屬於中度風險，管理人員、專業或技術人員則僅有一小部分屬於高度風險，中度風險則占了1/4。</p> <p>然而，由於大多數的工作或領域只有部分風險，更可能透過AI來增強而非取代，使得該研究認為生成式AI的最大影響或許不是破壞了既有的工作，而是替工作品質帶來變化。</p> <p>除了工作類別之外，生成式AI對於不同的性別或是國家發展水平，也會帶來不同的影響，例如在高收入國家，有5.5%的就業人口可能受到AI波及，但低收入國家則僅有0.4%會受到影響，其結論之一是，倘若政策得當，此一新的技術變革可能會替發展中國家帶來重大利益。</p> </div></div></div>
2023/12/12 14:29作者陳曉莉https://www.ithome.com.tw/news/160285
蘋果針對旗下平臺進行安全更新，推出全新日誌程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周一（12/11）針對macOS、iOS、iPadOS、tvOS、watchOS與Safari等眾多平臺<a href="https://support.apple.com/en-us/HT201222" target="_blank">展開了安全更新</a>，同時於iPhone上推出了全新的<a href="https://www.apple.com/newsroom/2023/12/apple-launches-journal-app-a-new-app-for-reflecting-on-everyday-moments/" target="_blank">日誌（Journal）程式</a>，並針對iPhone 15 Pro提供<a href="https://www.apple.com/newsroom/2023/12/apple-introduces-spatial-video-capture-on-iphone-15-pro/" target="_blank">空間影片（Spatial Video）拍攝</a>功能，以替預計於明年上半年上市的空間運算設備<a href="https://www.ithome.com.tw/news/157200" target="_blank">Apple Vision Pro</a>熱身。</p> <p>本周釋出的macOS Sonoma 14.2、macOS Ventura 13.6.3、macOS Monterey 12.7.2、iOS 17.2/ iPadOS 17.2、iOS 16.7.3/iPadOS 16.7.3、Safari 17.2、tvOS 17.2與watchOS 10.2全都修補了安全漏洞，有些版本則有功能上的更新。</p> <p>例如<a href="https://support.apple.com/en-us/HT213895" target="_blank">macOS Sonoma 14.2</a>中的自動填入功能可辨識PDF檔案中的欄位，可依照使用者的通訊錄填入資料，亦改善天氣功能，得以預測未來10天內的雨雪狀態，可以同時建立多個計時器並替它們命名，提供新的Shazam Music Recognition音樂辨識工具，以讓使用者辨識來自網路或四周播放的音樂。</p> <p>iOS 17.2則有新的日誌程式，該程式就是用來寫日記用的，支援文字、照片、影片、位置、錄音，也能加入來自其它程式的新聞、音樂或播客，並寫上心得。使用者亦可替日誌加上標籤以方便檢視，也可透過裝置密碼、Face ID或Touch ID鎖住日誌。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1212-Apple%20Journal%20app-600.png" style="width: 403px;" /></p> <p>蘋果還提供了Journaling Suggestions API，讓開發者將其嵌在自己的程式中，知名日記程式《Day One》便嵌入了該API。</p> <p>全新的空間影片拍攝功能目前僅支援最新的iPhone 15 Pro，包括iPhone 15 Pro與iPhone 15 Pro Max，同樣隨著iOS 17.2出爐。使用者只要開啟相機程式，點選影片，轉至橫向再進入空間影片，點選錄製就能開始拍攝空間影片，屆時iPhone將同時利用主相機及超廣角相機錄製影片，再將超廣角相機的視野縮放至與主相機一致，再將內容存放至單一影片中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1212-iPhone%2015%20Pro-Spatial%20videos-Apple%20Vision%20Pro-2.jpg" style="width: 400px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1212-iPhone%2015%20Pro-Spatial%20videos-Apple%20Vision%20Pro-600-1.png" style="width: 527px;" /></p> <p>以一般裝置觀看空間影片時，它會以2D呈現，但若是透過蘋果即將開賣的Apple Vision Pro觀看，它便能呈現出栩栩如生的空間感。</p> <p>Apple Vision Pro被視為迄今最高階的混合實境（MR）頭戴式裝置，定價高達3,499美元，除了價格之外，<a href="https://www.ithome.com.tw/news/157260" target="_blank">其效能獲得許多測試者的推崇</a>，該裝置將於明年上半年率先於美國市場銷售。</p> </div></div></div>
2023/12/12 13:26作者陳曉莉https://www.ithome.com.tw/news/160284
Akamai發現微軟DHCP動態更新機制可被濫用於偽造DNS紀錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Akamai資安研究人員<a href="https://www.akamai.com/blog/security-research/spoofing-dns-by-abusing-dhcp">發現</a>了一種濫用微軟DHCP（Dynamic Host Configuration Protocol）伺服器，偽造DNS紀錄（DNS Spoofing）的攻擊手法。攻擊者可在不需要授權的情況下，利用DHCP伺服器預設配置來偽造DNS紀錄，藉以竊取敏感資訊，甚至完全控制Active Directory網域，而由於微軟DHCP伺服器廣受採用，因此有不少組織都暴露在風險之中。</p> <p>微軟的目錄服務Active Directory提供網路資源的集中式身分驗證和授權，其運作極高度依賴DNS，每個網域都需要DNS，託管一個被稱為Active Directory整合DNS（Active Directory Integrated DNS，ADIDNS）區域的特殊區域，ADIDNS區域託管了所有加入網域的電腦和Active Directory不同服務的DNS紀錄，而此攻擊的目標便是ADIDNS中的DNS紀錄。</p> <p>該攻擊利用DHCP動態更新功能來欺騙DNS紀錄。DHCP動態更新功能是DHCP和DNS之間進行協作的機制，該功能允許DHCP伺服器自動更新DNS紀錄，因此當有一個裝置連接到網路中，向DHCP伺服器請求IP地址時，DHCP伺服器會分配一個IP地址給裝置，與此同時向DNS發送包含修改資料的更新請求，以確保DNS紀錄可以即時反映新分配的IP地址。</p> <p>在特定的配置下，動態更新存在安全性問題，DNS可能會接受任意來源請求。在使用安全更新的環境中，DNS更新請求會包含電腦網路授權協定Kerberos票證，使客戶端和伺服器端能夠進行雙向認證，但是當攻擊者以特定方式獲取或是偽造票證，便可以欺騙DNS接受偽造DNS更新。</p> <p>但由於有存取控制列表（ACL）的保護，一般來說DNS紀錄不會被覆寫。覆寫通常發生在DHCP伺服器為管理紀錄的擁有者時。例如，當一臺非網域內的Ubuntu伺服器要求DHCP伺服器代為註冊DNS紀錄時，該紀錄才會由DHCP伺服器的機器帳戶擁有。這種攻擊只影響由DHCP創建的管理紀錄，對於客戶端紀錄影響有限，因為ACL限制了這類覆寫。</p> <p>對於無法自行註冊DNS紀錄的非Windows客戶端和舊版Windows客戶端，這種攻擊就可能發揮效果。攻擊者可以利用微軟DHCP伺服器，在任何ADIDNS區域中覆寫客戶端紀錄，因為當DHCP伺服器安裝在網域控制器上時，便可以覆寫網域控制器自己的紀錄。此外，由於網域控制器機器帳戶在DNS更新時具有對所有紀錄寫入的權限，因此攻擊者也可以利用這一點，覆寫Active Directory整合區域中的任何DNS紀錄。</p> <p>此類攻擊的危險性在於，攻擊者可偽造各種類型的DNS紀錄，包括網域控制器的IP地址、用戶電腦名稱和IP，以及網站和服務的IP地址。透過偽造的DNS紀錄，攻擊者可以竊取諸如登入憑證和財務資料等敏感資訊，執行惡意程式碼，甚至是中斷網路服務等。還能將網域控制器的IP指向惡意網站，在使用者嘗試連接網域控制器時，被導向惡意網站。</p> <p>由於微軟DHCP伺服器是一個常見的選擇，根據Akamai的估計，約有40％的資料中心網路使用微軟DHCP伺服器。研究人員提到，雖然微軟在其文件中告知了這類風險。但是這類配置風險在微軟DHCP伺服器網路中很常見，且預設情況下就容易被攻擊。</p> </div></div></div>
2023/12/12 08:17作者李建興https://www.ithome.com.tw/news/160281
Meta開源旗下臉書、Instagram等產品都在使用的網頁介面樣式系統StyleX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta開源自家產品所使用的網頁介面樣式系統<a href="https://stylexjs.com/blog/introducing-stylex/">StyleX</a>，其結合了CSS-in-JS函式庫的開發體驗，和靜態CSS的效能和可擴展性。官方指出，StyleX經過精心設計，並解決之前團隊無法封裝和擴展樣式元件的問題。</p> <p>StyleX支援CSS的表達性子集，避免使用複雜的選擇器，確保生成的CSS不會出現特定衝突。StyleX並不全面支援CSS的功能（Feature），而是專注於對大型應用程式和元件函式庫中最有用，被認為具有表達力，且易於管理和維護的功能。</p> <p>而且StyleX將樣式轉換與組織成為原子CSS類別名稱，使用者不需要學習或是管理實用類別名稱函式庫。也就是說，StyleX的樣式經過最佳化，拆分成更小、更具體的部分，每一個原子類別對應一個具體的樣式規則，像是一個類別僅代表邊距大小或是字體顏色，透過減少重複的CSS程式碼，使樣式更加一致可預測。</p> <p>在傳統的CSS框架中，開發者會需要學習和使用大量的實用類別，雖然這些類別替常見樣式提供方便的使用方法，但StyleX自動將樣式轉換成為更精細的類別，僅需要專注於樣式的實際應用，不需要開發者額外學習和管理這些類別。</p> <p>此外，StyleX允許樣式在文件和元件邊界間進行合併，這代表開發者可以在多個元件和檔案中共享和重複使用樣式規則。這對於建立自定義元件函式庫特別有用，因為開發者可在整個應用程式中一致地應用和修改樣式，同時保持程式碼的乾淨。</p> <p>完全型別化的StyleX提供型別工具，讓開發者以型別安全的方式來定義和使用樣式。開發者可以精確控制元件可接受的屬性和值，像是當定義一個元件樣式時，開發者可以指定有效的CSS屬性，以及這些屬性可以接受的值。而這種機制將有助於減少錯誤，確保樣式的一致性和可維護性，能夠以更結構化和安全的方式管理大型和複雜應用程式的樣式。</p> <p>開源JavaScript編譯器Babel是StyleX最重要的部分，Babel會尋找程式碼中定義的所有樣式，並在編譯時將其轉換成為原子類別名稱，同時也會把重複的部分刪除，經過排序之後寫入CSS檔案中。StyleX支援各種靜態模式，會透過使用本地常數和表達式定義樣式。除了Babel之外，StyleX還包含小型執行時函式庫，以及ESlint擴充套件。</p> <p>StyleX的快速優勢，主要源於編譯的高效率以及執行時的高效能，Babel在轉換時不會明顯減慢建置速度，並且避免JavaScript在執行時插入樣式的成本，StyleX只會在需要的時候，高效組合類別名稱字串。StyleX所生成的CSS也針對大小進行最佳化，即便是大型網站的樣式，瀏覽器也可以快速解析。</p> <p>Meta一再強調StyleX適用於大型且複雜的應用程式開發，StyleX透過生成精細的原子CSS類別名稱，最小化CSS捆綁包的大小，而且隨著應用程式中元件的數量增加，CSS套件的大小會逐漸趨於穩定，開發者不需手動最佳化或是延遲載入CSS檔案。</p> <p>此外，Babel擴充套件也能在編譯階段，利用原子建構和檔案級快取功能，處理大量元件中的樣式。官方還提到，由於StyleX的目的在於封裝樣式，所以能夠用於單獨開發新檔案，並且即便在其他元件重複使用，也能夠以可預測的方式呈現。</p> <p>Meta大量在旗下產品，包括臉書、WhatsApp、Instagram、Workplace和Threads中使用StyleX。目前，Meta在GitHub上開源的正式公司內部所使用的StyleX版本，StyleX開發工作主要在GitHub上進行，Meta會將新版本同步回內部使用。</p> </div></div></div>
2023/12/12 08:20作者李建興https://www.ithome.com.tw/news/160283
Fintech周報第224期：永豐金證券將在證券App導入即時交易數據分析工具，且要以生成式AI摘要每日新聞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">2023/12/4~12/8金融科技精選新聞</span></span></h3> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永豐金證券 </span></strong></span></h1> <h3>永豐金證券將在證券App導入即時交易數據分析工具，且要以生成式AI摘要每日新聞</h3> <p>永豐金證券近日舉辦發表會，除了發布股票下單App新功能，也揭露未來將上線的功能。其中，有兩個亮點，分別是即時交易數據分析工具，和以生成式AI製作新聞摘要。永豐金證券表示，他們近年投入近億元建構數據團隊，建立交易所實時分析資料庫，匯入每日約四千萬筆的委託回報數據，再以分析引擎視覺化呈現投資資訊，例如市場上強弱勢產業、各股漲跌排名。</p> <p>另外，他們也將在App中導入生成式AI，處理每日新聞資訊，生成300字新聞摘要。永豐金證券表示，這項功能目前正在合規驗證中，目標12月底前上線。他們也表示，自家證券戶線上開戶數在四年內成長五倍，App使用人數已超過60萬人次。</p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子支付</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span></h1> <h3>6家電支機構將於明年六月前加入跨機構平臺購物功能</h3> <p>今年十月，電子支付跨機構共用平臺的「購物」服務正式上線，首波加入的業者包括37家臺灣Pay金融機構，還有全盈支付、橘子支、歐付寶3家電子支付機構。金管會近期在例行記者會上表示，其他六家電支專營機構將在明年六月前加入跨機構平臺購物功能。</p> <p>隨著跨機構平臺購物功能上線，多家支付業者也開始發展跨境金融服務的生態圈。金管會表示，目前已核准五家電支機構與境外機構合作推跨境金融服務，分別為歐付寶、一卡通、悠遊卡、簡單付和街口，另有一家業者正在申請中。金管會表示，電支機構合作的境外業者主要為日本為主，其他則包括新加坡、韓國和泰國。</p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融監管</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CTP業者 </span></strong></span></h1> <h3>英國金融監理機構聯合提案，要求監管關鍵第三方供應商提供給金融機構的服務</h3> <p>英國央行、英國審慎監理總署（PRA）和英國金融行為監理總署（FCA）近期聯合提案，要求監管關鍵第三方供應商（CTP）提供給金融機構的服務。他們認為，隨著金融業越來越依賴第三方科技業者提供的服務，一旦服務發生問題，例如機房故障或遭到破壞，可能影響英國整體的金融穩定性。他們也認為，管理這項風險已超出了一般企業或金融機構能負擔的能力，因此，需要由監理機構進行直接監管。</p> <p>該提案目前公布諮詢文件（CP）徵求外界回饋，文件中包含，要求關鍵第三方供應商向監管機構提供保證書，包括提交年度自評書、情境測試報告等。此外，該提案並非納管CTP業者，而是要針對CTP業者提供的服務進行監管。</p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CBDC </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 央行 </span></strong></span></h1> <h3>央行揭露CBDC進展，目前CBDC雛型平臺交易量能每秒可達2萬筆</h3> <p>央行副總裁朱美麗近期出席財經公司活動中，揭露了CBDC目前進展。朱美麗表示，央行已完成「批發型CBDC可行性技術研究」和「通用型CBDC試驗計畫」，正在進行意見調查和精進CBDC雛形平臺。目前，CBDC雛型平臺的交易處理量能為每秒2萬筆，相當於今年發放普發現金時的量能。</p> <p>去年六月，央行完成第二階段的通用型CBDC試驗計劃，與財金公司、外部技術團隊打造一套CBDC雛型平臺，並邀請5家銀行參與設計和模擬。該平臺可提供多種零售交易服務，像是以CBDC來購物、繳費，或是以CBDC可程式化設計發放數位券，又或是存款帳戶或現金兌換CBDC，以及以CBDC供移工跨境小額匯款等應用。</p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI應用</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> KYC </span></strong></span></h1> <h3>澳洲金融科技業者Airwallex測試結果顯示，生成式AI能協助加速KYC流程</h3> <p>近期，澳洲金融科技業者Airwallex分享將生成式AI應用於KYC的測試結果，結果顯示，生成式AI能在KYC進行時幫助減少約一半的誤判通知，此外，KYC全自動化，不需要人工干預的案例也增加了20%。</p> <p>這家業者是一間具有相當規模的跨國公司，在全球擁有超過10萬家企業。過去主要運用NLP技術打造KYC工具，雖然能幫助客戶偵測網站中的高風險關鍵字，但同時會產生許多誤判通知，拖長了KYC的處理時間。導入生成式AI後，該工具對關鍵字和脈絡更加靈敏，例如，能精準到區分出商品是零售商或批發商販售，也能分辨出非法販售的物品。</p> <h1 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 監管 </span></strong></span></h1> <h3>歐盟就全球首部AI法案達成共識，保險業和銀行業適用於強制進行基本權利影響評估的規範</h3> <p>歐洲議會與歐盟理事會近期就全球首個人工智慧法案達成臨時協議，可用來規範企業組織如何使用AI，或規範供應商如何開發AI系統。AI法案將AI系統依風險程度分類，分為禁用型、高風險管制型、通用型和無責任型。</p> <p>這個法案對金融業的影響在於，歐盟特別點出，使用高風險管制型AI系統需要強制進行基本權利影響評估，保險業和銀行業尤其適用這項規定。高風險管制型AI系統包含生物辨識與分類系統、關鍵基礎設施、執法或公領域系統等。這些系統必須遵守嚴格要求，例如具備風險緩解系統、資料集、活動紀錄、詳細的文件、及人工監督等。未遵守AI法案的業者將被罰款，最高款項為3,500萬歐元或年營收的7%。</p> <p>其他Fintech新聞:</p> <p>1.新加坡與中國開啟跨境數位人民幣試點計畫，將允許兩國旅客使用數位人民幣進行消費</p> <p>2.金管會認為4家看盤軟體App與券商進行的異業合作，恐涉及資安疑慮</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">責任編輯／李昀璇</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／永豐證券</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2023年12月</p> <p></p> </div></div></div>
2023/12/11 10:44作者李昀璇https://www.ithome.com.tw/news/160264
臺灣資安計畫打造資安服務團和資安診療所提供資安諮詢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <p><span>日前，Google.org捐贈一百萬美金給資通安全研究院（以下簡稱資安院），希望可以協助臺灣的中小企業、微型企業和非政府組織，提升相關的資安意識和資安防護能力。</span></p> <p><span>負責資安人才培訓業務的資安院副院長林盈達表示，資安院分兩年執行「NICS臺灣資安計畫」，會分成研究調查、培訓教練和實際輔導等三個階段執行該專案，最終目標除了會開發培訓課程的教材外，最終會培養超過二百名已上的種子教師，提供超過三千中中小企業、微型企業和非政府組織相關的資安諮詢服務。</span></p> <h2><strong><span>資安服務團鎖定中小企業和非營利組織，資安診療所則以微型企業為主</span></strong></h2> <p><span>林盈達表示，首先，資安院會先花六個月的時間，並採用文獻分析、深度訪談和焦點座談等社會科學方法，先去了解臺灣中小企業、微型企業和非營利組織的資安防護困難與需求。</span></p> <p><span>他說，第一件事就是去調查中小企業面對資安威脅等方面，需要的是什麼樣的協助。目前臺灣針對中小企業的定義就是：公司員工200人以下或資本額1億元以下；微型企業是員工人數5人或是10人以下。</span></p> <p><span>至於社會企業或者是非營利組織的規模大小落差比較大，有一些較大單位、成員接近200人，比較小的單位人數可能只有5個人。他認為，透過各種調查方式，然後更實際知道他們不同層次的需求，就可以提出各種相關的資安解決方案。</span></p> <p><span>接下來，資安院會提供相關的組織指引，協助改善中小企業、微型企業和非營利組織既有的資安議題，並對未來潛在的資安問題，具有自我診斷和應對的能力，林盈達指出，資安院也將開發實體和線上的培訓教材，以培養更多的資安資安講師。</span></p> <p><span>最後，則是會建立輔導培訓機制。林盈達指出，資安服務團將服務中小企業與非營利組織，資安診療所則會鎖定微型企業。</span></p> <p><span>他進一步解釋，資安服務團會由資安院工程師和資安公司的工程師合作，會開放三十家的中小企業申請輔導，優先協助非營利組織和中小企業，盤點組織資安現況，並提供相關資安技術和顧問服務，同時給予深度防護訓練和維護建議；同時，資安服務團則會以兩個月的時間提供實地服務，觀察中小企業對於資料、系統、網路、電子郵件的保護狀況，實際優化系統架構和提高安全性。</span></p> <p><span>至於資安診療所則是借鑑美國大學資安健診所聯盟（Consortium of Cybersecurity Clinics，CCC）計畫，引進相關教材並與簽署合作備忘錄（MOU）大專院校教師優先合作，讓接受資安培訓的學生於之後的實習階段，先於鄰近社區中提供資安諮詢服務，並優先服務微型企業和非政府組織，預計提供資安諮詢服務的微型企業達三千家。</span></p> <p><span>林盈達表示，臺灣資安計畫最終的目標則是，不僅希望可以產出指引報告，更希望可以接觸超過三千家中小企業、微型企業和非營利組織等單位，並提供上述組織資安教育培訓的資源，增強微型企業資安防護；關鍵是，要訓練二百名以上的種子教師（Train the trainers），包括訓練在職人士或在學學生，去提供相關的資安諮詢服務。</span></p> <p><span>他指出，在職人士主要會針對規模略大、人數接近二百人的中小企業，提供諮詢服務；在學學生則會鎖定鄰近社區的微型企業提供諮詢服務，大小不同規模的總數要超過三千個。</span></p> <h2><strong><span>協助打造業界現況最佳實務，作為其他中小企業參考</span></strong></h2> <p><span>林盈達表示，接受培訓的資訊相關科系的在學學生，會在學校就近的社區中的微型企業，提供資安諮詢服務。面對中小企業多元的服務樣態和所使用的各類資訊服務，為了協助在學學生可以儘快上手，會先把這些中小企業歸納出幾種樣態，並針對幾類業務樣態打造出資安服務的BCP（Best Current Practice，現況最佳實務），進而作為其他中小企業的參考。</span></p> <p><span>資安院人才培力中心主任鄭瑋表示，當初在寫Google.org的捐贈計畫時就有立定一個目標，至少50％以上要鎖定非營利組織，另外，也希望針對相關中小企業的業務性質，如果會涉及處理機敏資訊的公司，更是資安院可以提供服務的對象。</span></p> <p><span>另外，鄭瑋也說，資安診療所培訓所使用的教材，是美國柏克萊大學所編纂的內容，資安院也會予以中文化，但是原汁原味的直譯，還是部分中文化而已，還需要授課老師和教學團隊一起討論，但未來該份中文化的教材，也將會回饋給Google.org成為中文版本的內容。</span></p> <p><span>林盈達補充表示，資安服務團服務的三十家企業，一半是非營利組織外，剩下的就是看資安院歸納出的產業類別數量，一個類別至少會有一家代表企業；至於另外三千家的微型企業，則會考慮開放報名，並參考美國資安診療所的經驗，降低不必要的摸索時間。</span></p> <p><audio id="haloword-audio"> </audio></p> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div id="gtx-trans" style="position: absolute; left: -9px; top: 128.042px;"> <div class="gtx-trans-icon"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2023/12/11 18:49作者黃彥棻https://www.ithome.com.tw/news/160280
【資安週報】2023年12月04日到12月08日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一星期的漏洞消息中，以高通晶片的多個漏洞修補最受注目，該公司在12月4日修補了涉及多款晶片的3個零時差漏洞，都已遭到成功利用，包括CVE-2023-33107、CVE-2023-33106、CVE-2023-33063，在此同時，去年高通修補的CVE-2022-22071，近期也發現遭利用的情況，本期週報尚未提及，我們在此補上。</p> <p>此外，在上一期的資安週報中，我們曾提到，蘋果修補2個零時差漏洞，以及資料分析系統Qlik Sense的漏洞，都出現已遭成功利用的情形，到了這一星期，CISA也將這些漏洞列入KEV清單，再次提醒用戶應盡速修補因應。</p> <p>特別的是，近期我們看到一些新的漏洞研究公布，有3項消息值得資安圈的重視，我們整理如下：<br /> （一）歐洲黑帽大會於12月4日到7日舉行，有研究人員揭露一項涉及UEFI開機、韌體圖像解析器的LogoFAIL漏洞，當中針對Insyde、AMI、Phoenix等韌體分析，指出開機啟動自訂商標圖案的客製功能出現破口，並找到29種攻擊手法。<br /> （二）AI模型資源平臺Hugging Face存在API漏洞被揭露，一旦其API驗證Token被竊取，將引發企業資料外洩，或是訓練資料集被污染變成惡意的AI模型。研究人員警告，只要控制這些程式碼儲存庫，就能發動多種攻擊，尤其是供應鏈攻擊。<br /> （三）藍牙技術底層漏洞CVE-2023-24023、新型態藍牙攻擊手法Bluffs的揭露，該漏洞與Session金鑰的解密、交換資料過程有關，將破壞藍牙連線的保密性，研究人員共公布6種攻擊手法。目前Bluetooth SIG已收到通報，並發布緩解措施。</p> <p>在AI與資安方面的議題，本星期有兩大焦點消息，一方面是使用AI工具幫助資安管理，一方面是使用AI工具的安全議題。<br /> ●思科在12月6日開始舉行亞太區年度用戶大會Cisco Live!，並在大會上宣布推出全新AI助手（Cisco AI Assistant），首先公布的應用場景是簡化防火牆規則管理，讓用戶可透過自然語言提問，就能讓防火牆的查詢、設定等操作都變更容易。<br /> ●資安業者Snyk發布2023年度AI程式碼安全報告，指出現在已有相當多軟體工程師及資安團隊使用AI程式碼工具，但多數開發人員並未因此在流程中採用更多安全掃描。而且，高達8成開發者為了使用AI工具，而無視公司資安政策。</p> <p>對於Go開發者而言，有一項需要慎防的威脅要注意。有資安業者警告GitHub上有1.5萬個Go程式套件模組，恐存在遭到儲存庫挾持（Repojacking）攻擊的風險。原因在於原專案使用者名稱變更，或是GitHub、Bitbucket帳號刪除，導致帳號名稱因棄用而被釋放出，進而讓攻擊者得以註冊這樣的帳號並濫用。</p> <p>還有一些惡意活動的揭露，我們認為可留意下列消息，包括：WordPress網站管理者也要注意，有駭客假借WordPress名義，聲稱偵測到網站存在漏洞要用戶套用修補程式，但其實是引誘用戶安裝由駭客提供的外掛程式，以在用戶網站植入後門程式；殭屍網路P2Pinfect的新一起攻擊行動，是鎖定採用MIPS架構的物聯網裝置，利用SSH連線存取目標裝置，再透過弱密碼嘗試入侵。其他還包括後門程式Agent Racoon、竊資軟體Lumma，也有最新攻擊行動，資安業者目前已揭露這類消息。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/160152"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月4日】研究人員揭露竊資軟體Lumma攻擊行動，駭客佯裝金融服務業者寄送發票，將用戶導向不存在的網頁迴避偵測</span></strong></a></h3> <p>使用竊資軟體Lumma的駭客組織近期動作相當頻繁，其攻擊行動經常會使用較為罕見的招式，例如：利用三角量測判斷所處的是真實使用者操作環境，或是研究人員分析用的沙箱；再者，這些駭客前陣子<a href="https://www.ithome.com.tw/news/160011">聲稱能恢復使用者的連線階段，挾持他們的Google帳號</a>。</p> <p>而在新一波的攻擊行動中，駭客則是在網路釣魚攻擊運用了另一種不尋常的手法，他們寄送的郵件會提供吸引使用者容易點選的按鈕，卻是將他們導引到實際上不存在的URL網址，讓收信者點選另一個URL，希望能夠藉此避開只檢查第一次點選網址的資安防護措施。</p> <h3><a href="https://www.ithome.com.tw/news/160172"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月5日】美國航太組織遭到駭客組織AeroBlade鎖定，對其發動兩波攻擊，採用隱匿手法從事網路間諜行動</span></strong></a></h3> <p>隨著國際局勢日益緊張，航太設施的重要性變得越來越重要，與這個領域有關的企業與組織也成為駭客竊取機密的重要目標，甚至有專門鎖定航太機構的駭客組織出現。</p> <p>有資安業者揭露專門針對航太產業從事網路間諜行動的駭客組織AeroBlade，並指出這些駭客在1年內僅進行兩波攻擊，而且他們採用了多種手法藏匿行蹤，使得受害組織難以察覺有異。</p> <h3><a href="https://www.ithome.com.tw/news/160190"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月6日】駭客謊稱要修補實際並不存在的漏洞，對WordPress網站管理者進行詐騙，宣稱提供更新散布惡意軟體</span></strong></a></h3> <p>鎖定WordPress網站的攻擊行動不時傳出，大多是針對外掛程式的漏洞而來，藉此入侵網站，並植入惡意程式進行控制，但最近有一起攻擊行動相當不同，駭客將計就計，反過來以此引誘管理者上當，他們謊稱網站有漏洞，要管理者儘快套用「修補程式」。</p> <p>值得留意的是，雖然駭客煞有其事地指出網站漏洞CVE編號，但其實是完全不存在的漏洞，對方也未提供進一步的細節，留下破綻；然而若是網站管理者一時不察，還是很有可能落入圈套，被誘騙安裝惡意軟體。</p> <h3><a href="https://www.ithome.com.tw/news/160208"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月7日】研究人員揭露針對iPhone的新型態攻擊手法，啟動假的封閉模式，從而暗中偷渡惡意程式持續於背景執行</span></strong></a></h3> <p>利用商業間諜軟體針對特定人士行動裝置下手的攻擊事件頻傳，蘋果後來也加入名為封閉模式（Lockdown Mode）的功能限制，降低用戶遭到攻擊的情形，然而，傳出可偽造類似此種保護模式的作法，導致用戶誤以為已啟動該模式。</p> <p>有研究人員揭露讓iPhone呈現這樣狀態的手法，使得用戶啟動後，手機並未套用相關限制，而使得攻擊者照樣能從事有關攻擊行動。</p> <h3><a href="https://www.ithome.com.tw/news/160235"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月8日】五眼聯盟針對俄羅斯駭客Star Blizzard大規模網釣攻擊採取法律行動，祭出千萬美元獎金緝捕兩名駭客</span></strong></a></h3> <p>俄羅斯國家級駭客鎖定歐美國家的攻擊行動頻傳，其中一個組織Star Blizzard最近被大國盯上，引發全球關注，因為近期五眼聯盟提出警告，並開始採取法律行動，通緝兩名該組織的成員。</p> <p>值得注意的是，五眼聯盟握有相關情報，這些駭客聽令於俄羅斯軍情單位聯邦安全局（FSB），且曾經企圖干預選舉，危害不容小覷。參與調查的<a href="https://www.microsoft.com/en-us/security/blog/2023/12/07/star-blizzard-increases-sophistication-and-evasion-in-ongoing-attacks/">微軟也公布相關調查結果</a>，呼籲使用者提高警覺。</p> <p style="margin: 0px;"> </p> <p> </p> </div></div></div>
2023/12/11 10:26作者羅正漢https://www.ithome.com.tw/news/160263
歐盟就AI Act達成共識，可望成為全球範本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/IP_23_6473" target="_blank">歐盟執委會（European Commission，EC）上周六（12/9）宣布</a>，歐洲議會與歐盟理事會（European Council）已就人工智慧法案AI Act達成政治協議，這是全球首個AI綜合法令框架，將用來規範AI系統的供應商，以及使用AI的組織，亦可望成為全球制定AI法令的基準。</p> <p>EC主席Ursula von der Leyen表示，AI Act的監管重點為可辨識的風險，藉由保障個人與企業的安全及基本權利，於歐盟支援可靠的AI發展，並將對AI的全球規則作出重大貢獻。</p> <p>AI Act將AI系統分類成最小風險、高風險、不可接受的風險，以及透明度風險。大多數的AI系統屬於最小風險，諸如推薦系統或垃圾郵件過濾機制等，相關供應商將不必承擔義務。高風險系統則涵蓋關鍵基礎設施、執法或公領域系統、生物辨識與情緒辨識系統等，它們必須遵守嚴格的要求，例如具備風險緩解系統、資料集、活動紀錄、詳細的文件、及人工監督等。至於不可接受的風險指的是可操縱人類行為以規避自由意志的系統或程式，也將在某些應用中禁止生物辨識。透明度風險要求人們必須能夠辨識與之交流的對象或內容是否源自AI。</p> <p>未遵守AI Act的業者將被罰款，最高款項為3,500萬歐元或年營收的7%。</p> <p>AI Act也對通用AI模型特別祭出規定，對於那些可能帶來系統性風險的超強大模型，提出了額外的約束性義務，涉及風險的管理、意外的監控、模型的評估，以及對抗性測試等。</p> <p>除了歐盟各國的市場監督機構之外，未來EC亦準備成立一個新的歐洲AI辦公室（European AI Office）來協調AI Act的法規遵循。</p> <p>在達成政治協議後，歐盟將著手撰寫取得共識的AI Act版本，理論上可於本月底通過正式法令，並於兩年後生效。在生效之前，<a href="https://digital-strategy.ec.europa.eu/en/policies/ai-pact" target="_blank">EC計畫推出AI Pact</a>，號召全球的AI開發人員自願提前遵循AI Act。</p> </div></div></div>
2023/12/11 14:56作者陳曉莉https://www.ithome.com.tw/news/160266
【資安日報】12月11日，蘋果裝置、Linux主機、安卓裝置恐曝露於藍牙鍵盤注入漏洞風險，攻擊者藉由配對假的鍵盤裝置進…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電腦、行動裝置搭配各式藍牙配備，已是相當普遍，但這種裝置配對機制存在弱點的情況，近期有多名研究人員公布相關研究，希望敦促裝置開發者儘速改善這類問題。</p> <p>最近有研究人員公布新的漏洞CVE-2023-45866，並指出攻擊者可藉此配對「假鍵盤」，從而操作目標裝置，影響macOS、iOS、Linux、安卓作業系統的電腦或行動裝置，值得留意的是，研究人員今年8月通報後，蘋果目前尚未對此漏洞進行修補。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://westernpeople.ie/news/hackers-hit-erris-water-in-stance-over-israel_arid-4982.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">愛爾蘭自來水公司傳出遭到攻擊，被迫中斷供水2天</span></strong></a></p> <p></p> <p>繼美國發生多起水力設施的攻擊事故，且傳出起因可能是伊朗駭客鎖定採用以色列工控系統的設備下手，現在也有其他國家出現資安事故。根據愛爾蘭媒體Western People報導，有人針對Erris地區的自來水公司發動攻擊，導致上週四、五（12月7日、8日）無法供水，目前已知有Binghamstown、Drum這兩個鎮約180人受到影響。</p> <p>駭客以Eurotronics的水泵系統為目標，並留下恐嚇訊息，指出他們發動攻擊的原因，是這套系統由以色列製造。對此，這家自來水廠表示，攻擊者能夠得逞的原因，很有可能是因為防火牆不夠強大，而能入侵並破壞系統。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/12/07/star-blizzard-increases-sophistication-and-evasion-in-ongoing-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客組織Star Blizzard使用新型態的帳密竊盜手法</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3_-Example-of-victim-redirection-chain-using-initial-HubSpot-URL.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3_-Example-of-victim-redirection-chain-using-initial-HubSpot-URL.png" style="width: 300px; float: right;" /></a>五眼聯盟上星期針對俄羅斯駭客Star Blizzard（亦稱Seaborgium、TA446、ColdRiver）全球網釣攻擊行動，提出警告，指出從去年開始，這些駭客的攻擊目標，擴及國防工業與能源設施，參與調查的微軟也揭露相關的攻擊手法。</p> <p>根據微軟的觀察，這些駭客自今年4月以來採用新型態的迴避手法，而使得攻擊行動更難被察覺，其中包含：</p> <p>（一）在伺服器利用指令碼來避免Evilginx網釣基礎設施曝光，這種指令碼會在將連線階段（Session）導向Evilginx伺服器前，執行JavaScript程式碼檢查使用者的瀏覽器；<br /> （二）濫用電子郵件行銷平臺來埋藏寄件來源；<br /> （三）濫用DNS服務隱匿他們虛擬專用伺服器（VPS）的IP位址；<br /> （四）濫用雲端檔案共享平臺存放當作誘餌的PDF檔案；<br /> （五）將使用者導向惡意網域的過程中，採用更為隨機的網域產生演算法（DGA）。</p> <p><a href="https://www.veracode.com/blog/research/state-log4j-vulnerabilities-how-much-did-log4shell-change"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Log4Shell公布2年，企業組織仍有近4成Log4j元件曝險</span></strong></a></p> <p></p> <p>2年前Apache發布日誌框架系統Log4j 2.15，當中修補<a href="https://www.ithome.com.tw/news/148337">CVSS風險評分達到滿分的重大漏洞CVE-2021-44228（Log4Shell）</a>，其漏洞影響範圍極為廣泛，當時資安業者Veracode推測近九成企業組織都採用Log4j而可能曝險，美國國土安全部（DHS）評估可能需要10年才能完全修補，近年研究人員再度公布套用緩解措施的情形。</p> <p>資安業者Veracode根據8月15日至11月15日的掃描資料，針對3,866個採用Log4j的企業組織進行調查，這些組織總共於38,278個應用程式上採用該元件，結果發現，約有38%的Log4j曝露於已知漏洞，或是採用生命週期已經結束（EOL）的版本。</p> <p>值得留意的是，僅有2.8%採用2.0-beta9至2.15.0版本的Log4j，而曝露在Log4Shell的風險，大部分曝險的其實是使用過時的1.2版（2015年8月生命週期結束），占32%；另一個引起研究人員關注的是，採用已完全修補Log4Shell的2.17版達到3.8%，但這些應用系統曝露於CVE-2021-44832。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://github.com/skysafe/reblog/tree/main/cve-2023-45866"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果裝置、多家Linux作業系統存在藍牙鍵盤注入漏洞</span></strong></a></p> <p></p> <p>資安業者SkySafe軟體工程師Marc Newlin揭露藍牙鍵盤注入漏洞CVE-2023-45866，這項漏洞影響執行macOS、iOS、Linux、Android作業系統的電腦與行動裝置，允許攻擊者在無需用戶確認的情況下，連線至目標裝置並注入按鍵指令，也就是代表攻擊者從遠端執行各式工作，如同在目標裝置操作鍵盤，例如：安裝應用程式、執行任意命令、轉發訊息，以及其他惡意行為。</p> <p>這種漏洞並非單純的實作錯誤，亦包含藍牙協定本身的設計缺陷，其原理是能欺騙作業系統藍牙晶片的狀態，從而與假鍵盤進行配對。研究人員先是從蘋果電腦與行動裝置找到這項漏洞，並發現就算是使用者啟用了封閉模式（Lockdown Mode），還是無法防堵攻擊者藉此控制裝置。</p> <p>後來他也在Linux電腦、安卓裝置也發現相同弱點，並指出雖然Linux基金會曾在修補CVE-2020-0556就予以處理，但大部分版本Linux預設並未啟用，僅有ChromeOS不受影響；安卓裝置一旦啟用藍牙功能就有可能曝險，研究人發現Google在2012年推出的4.2.2版就存在該漏洞，目前該公司在12月例行更新當中，對於11版以上的安卓作業系統進行修補。</p> <p><a href="https://www.vusec.net/projects/slam/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">新型態攻擊手法SLAM鎖定AMD處理器而來，即將問世的Intel、Arm處理器也可能曝險</span></strong></a></p> <p></p> <p>阿姆斯特丹自由大學系統與網路安全小組（VUSec）揭露針對處理器的新型態攻擊手法SLAM，這是結合推測執行（Spectre Execution）與Intel的Linear Address Masking（LAM）安全功能結合的攻擊手法，研究人員在執行Ubuntu作業系統的電腦來驗證其可行性，他們利用未遮罩的小工具，使得使用者區域（Userland）處理程序觸發漏洞，曝露任意的ASCII編碼核心資料。</p> <p>雖然這項漏洞是以Intel推出的LAM命名，但AMD、Arm也在較新的處理器提供類似功能，分別命名為Upper Address Ignore（UAI）、Top Byte Ignore（TBI），因此這些廠牌的處理器晶片也同樣可能曝險。比較特別的是，除了AMD處理器，這種漏洞有可能影響尚未推出的新世代產品。</p> <p>對此，Linux開發團隊推出更新來預設停用LAM；Intel打算日後推出具備LAM功能的處理器之前，先提供軟體開發指引；Arm對於支援TBI的處理器，將發布相關的指引；至於AMD，他們表示，現有的Spectre v2緩解措施已能緩解SLAM弱點。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315" src="https://www.youtube.com/embed/y4wZ-tREaNk?si=kztSVL4wIik60ZCL" title="YouTube video player" width="560"></iframe></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-5ghoul-attack-impacts-5g-phones-with-qualcomm-mediatek-chips/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">高通、聯發科5G晶片存在5Ghoul漏洞，700款蘋果、安卓手機曝險</span></span></strong></a></p> <p></p> <p><a href="https://claroty.com/team82/research/dicom-demystified-exploring-the-underbelly-of-medical-imaging"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">醫療影像DICOM系統元件曝露重大漏洞，攻擊者恐用來發動RCE攻擊</span></span></strong></a></p> <p></p> <p><a href="https://thehackernews.com/2023/12/russias-ai-powered-disinformation.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯透過AI針對烏克蘭、美國、德國散布假訊息</span></span></strong></a></p> <p></p> <p><a href="https://www.intruder.io/research/we-hacked-ourselves-with-dns-rebinding"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露利用DNS重新綁定攻擊手法，取得AWS帳密資料</span></span></strong></a></p> <p></p> <p><a href="https://www.group-ib.com/blog/krasue-rat/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">RAT木馬Krasue透過嵌入rootkit在Linux伺服器上隱匿行蹤</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160235"><strong>【12月8日】五眼聯盟針對俄羅斯駭客Star Blizzard大規模網釣攻擊採取法律行動，祭出千萬美元獎金緝捕兩名駭客</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160208"><strong>【12月7日】研究人員揭露針對iPhone的新型態攻擊手法，啟動假的封閉模式，從而暗中偷渡惡意程式持續於背景執行</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160190"><strong>【12月6日】駭客謊稱要修補實際並不存在的漏洞，對WordPress網站管理者進行詐騙，宣稱提供更新散布惡意軟體</strong></a></p> </div></div></div>
2023/12/11 15:26作者周峻佑https://www.ithome.com.tw/news/160267
英美打算調查微軟與OpenAI的合作是否危及競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在OpenAI結束了受到全球矚目的<a href="https://www.ithome.com.tw/news/159962" target="_blank">高層變動事件</a>之後，英國競爭與市場管理局（Competition and Markets Authority，<a href="https://www.gov.uk/government/news/cma-seeks-views-on-microsofts-partnership-with-openai" target="_blank">CMA）上周五（12/8）宣布</a>，將檢視OpenAI與微軟之間的合作關係及可能衍生的合併，是否會危及市場競爭，並已邀請外界提出意見。另根據<a href="https://www.ft.com/content/c3e8acee-536a-47c2-9322-464d14c51053" target="_blank">《金融時報》</a>（Financial Times ，FT）、<a href="https://www.bloomberg.com/news/articles/2023-12-08/ftc-makes-preliminary-antitrust-queries-into-microsoft-openai" target="_blank">《彭博社》</a>（Bloomberg）的報導，美國聯邦交易委員會（FTC）也正在調查OpenAI及微軟是否違反美國的反壟斷法，目前看來雙方皆僅處於初步調查階段，而FTC則拒絕回應此事。</p> <p>促使CMA及FTC展開調查的起因與日前的事件有關。OpenAI董事會在11月17日<a href="https://www.ithome.com.tw/news/159901" target="_blank">開除</a>OpenAI共同創辦人暨執行長Sam Altman，同時也將Altman及另一名共同創辦人暨董事會主席Greg Brockman逐出董事會，就在外界不明究裡之際，微軟伸出了援手，微軟執行長Satya Nadella於19日<a href="https://www.ithome.com.tw/news/159922" target="_blank">宣布</a>將成立一家新的AI公司並交由Altman與Brockman負責，接著有超過9成的OpenAI員工<a href="https://www.ithome.com.tw/news/159926" target="_blank">連署</a>，誓言追隨Altman。</p> <p>灰頭土臉的OpenAI董事會最後宣布解散並重組，Altman於21日宣布<a href="https://www.ithome.com.tw/news/159962" target="_blank">重返</a>OpenAI。</p> <p>CMA指出，強大基礎模型（FM）的進步是AI發展的關鍵，而AI開發者之間必須維持競爭才能促使該領域繼續創新、成長及負責任地實踐，且FM的下游部署也必須維持開放及有效競爭。有鑑於此，CMA一直密切關注可能削弱FM競爭的合作關係，例如OpenAI與微軟。</p> <p>迄今微軟對OpenAI的投資已超過130億美元，亦正將OpenAI的技術整合到所有的微軟產品中，外傳微軟已取得49%的OpenAI控制權。</p> <p>CMA表示，近日OpenAI的治理產生了一些變化，有部分涉及微軟，它們想知道微軟與OpenAI之間的合作，是否已經導致合併現象，倘若答案是肯定的，那麼對競爭可能造成的潛在影響為何。簡單地說，CMA企圖釐清現在的微軟是否握有對OpenAI的控制權。</p> <p>另一方面，根據美國的併購法令，投資非營利組織是不需要報備的，因此微軟從未向FTC報告過對OpenAI的投資，不過，《金融時報》與《彭博社》相繼引述消息來源報導，FTC正在考慮是否對雙方的關係展開反壟斷調查，惟目前僅止於檢視階段，尚未展開正式調查。</p> <p>剛經歷劇變的OpenAI在解散了原本的董事會之後，現在只有3 名初始董事，舊有的董事成員僅有Quora執行長Adam D’Angelo留任，兩名新董事分別是曾為Salesforce執行長的Bret Taylor，以及曾為美國財政部長的Larry Summers，並由Taylor擔任董事會主席。</p> </div></div></div>
2023/12/11 11:48作者陳曉莉https://www.ithome.com.tw/news/160265
Kotlin後設程式開發工具KSP2預覽，支援新Kotlin編譯器與原始碼生成器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布<a href="https://android-developers.googleblog.com/2023/12/ksp2-preview-kotlin-k2-standalone.html">KSP2</a>（Kotlin Symbol Processing）預覽的消息，KSP2支援代號為K2的新Kotlin編譯器，同時還會新加入一個獨立原始碼生成器，相比目前的Kotlin編譯器擴充套件，這個獨立的原始碼生成器將提供更多的功能以及靈活性。</p> <p>KSP是一個用於Kotlin後設程式開發（Meta-Programming）的高階API。後設程式開發是一種程式開發技術，供開發者編寫能夠操作或是改變其他程式碼的程式碼，也就是說，在後設程式開發中，程式碼不僅僅是完成特定功能的指令，還能夠對程式碼進行分析、修改、生成和轉換。</p> <p>由於KSP提供後設程式開發的功能，因此許多Kotlin開發工具都是建立在KSP之上，讓Kotlin程式碼在編譯的時候生成。例如Google的Jetpack Room就是KSP的衍伸工具，能夠根據開發者提供的介面，產生存取資料庫的程式碼。</p> <p>而雖然KSP已經成為Kotlin後設程式開發的核心基礎，但是Google提到，KSP與當前的一些實作還存在一些差距，因此希望透過新的KSP2架構來解決。KSP2支援使用目前正在開發，預計在Kotlin 2.0正式發布時成為預設的K2編譯器。</p> <p>過去KSP1可以理解為Kotlin 1.x編譯器的擴充套件版本，使用KSP1需要執行編譯器，並指定KSP及其擴充套件選項。在Gradle中，KSP的任務是客製編譯任務，在預設情況中，這些任務實際會分派給KotlinCompileDaemon執行，但因為KotlinCompileDaemon在其自己的程序中運作，位於Gradle的外部，因此讓KSP除錯和測試變得困難。</p> <p>而在KSP2被實作成帶有主要進入點的函式庫，這代表建置系統和工具，不需要配置編譯器，可以透過這個進入點呼叫KSP2，這種方法使得程式化呼叫KS2變得很簡單，特別是在除錯和測試上特別有用。開發者將可以在KSP Processor元件設置中斷點，大幅簡化除錯過程。</p> <p>Google同時也調整了部分KSP2 API的行為，讓開發人員的工作效率更好，也提供更好的可除錯性和錯誤恢復能力，例如在解析Map<String, NonExistentType>時，在KSP1的時候僅會回傳錯誤型別，到了KSP2則會回傳Map<String, ErrorType>。</p> <p>KSP2在多平臺處理方案（Processing Scheme）也將會更新，處理共用程式碼將會更有效率。在之前的版本，當開發者有一個多平臺Kotlin專案，共用的程式碼會依據個別目標平臺，被重複處理和編譯多次，這樣雖然可以確保共用程式碼都能正確被處理，但卻是效率不彰的方法。儘管KSP2多平臺處理方案的細節尚未完全公開，但是預期將會以更有效的方式處理共用程式碼，以減少重複工作並提高編譯效率。</p> </div></div></div>
2023/12/11 08:31作者李建興https://www.ithome.com.tw/news/160237
Google承認Gemini示範影片不是真的，股價應聲下跌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周公布Bard底層最新多模態AI模型<a href="https://www.ithome.com.tw/news/160193" target="_blank">Gemini</a>，不過在媒體記者質疑後，Google承認一段Gemini超神奇表現的影片，其實是編造的結果。</p> <p>在上周一段名為<a href="https://www.youtube.com/watch?v=UIZAiXYceBI" target="_blank">Hands-on with Gemini: Interacting with multimodal AI</a>的影片中，展示Gemini能理解影片中事物或活動，並與使用者流暢對話，也顯示Gemini想超越OpenAI的GPT-4的企圖心。</p> <p class="rtecenter"><a href="https://www.youtube.com/watch?v=UIZAiXYceBI&t=102s" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1211-gemini-600-1.jpg" style="width: 450px;" /></a></p> <p>在影片中，Gemini能隨著用戶筆順猜出鴨子、理解拳頭、指頭比出2和5是「剪頭、石頭、布」的遊戲，並正確猜出紙團藏在哪個倒扣的杯子下、也能指出太陽、地球和土星的正確順序。影片顯示Gemini能接受文字、圖片、聲音、影片和程式碼的多模態輸入，且具備近乎人類的推論與對話能力，還能正確說出「鴨子」的中文。Google說，這支影片突顯了他們最喜歡和Gemini之間的互動，但為示範效果之故，減少了AI的延遲性、也精簡了Gemini的輸出。</p> <p>Gemini實在太神奇，或許神奇得不像真的。<a href="https://www.bloomberg.com/opinion/articles/2023-12-07/google-s-gemini-ai-model-looks-remarkable-but-it-s-still-behind-openai-s-gpt-4" target="_blank">《彭博》報導</a>，Google承認，這段影片中Gemini其實並非「看到」影片的即時回應，而是以原始影片的靜態影格剪接而成，再配上文字提示。</p> <p>報導指出，雖然Google有說明影片為了效果而經過優化，但仍然誤導觀眾相信Gemini可看懂影片，並和人類之間可以即時產生流暢對話。</p> <p>Google向<a href="https://www.theverge.com/2023/12/7/23992737/google-gemini-misrepresentation-ai-accusation" target="_blank">《The Verge》</a>說明，影片旨在向開發人員展示Gemini會產生什麼多模態使用者體驗，他們並且重申並非造假，團隊真的有提供Gemini圖像及文字提示，讓它回應預測下一步為何。</p> <p>報導或許會讓Google丟掉好不容易掙回的面子。在OpenAI宣布ChatGPT後感到不安的Google宣布以Bard急起直追，不料展示大會上卻被爆Bard找來的James Webb太空望遠鏡影像是另一座望遠鏡照片的張冠李戴，致使外界認為Google AI技術還不成熟。</p> <p>上周Gemini的展示原希望能一掃Google Bard出糗的恥辱，正面的媒體評價也讓Google股價上揚5%。不過在《彭博》、《The Verge》、<a href="https://techcrunch.com/2023/12/07/googles-best-gemini-demo-was-faked/" target="_blank">《Techcrunch》</a>報導後，再度引發市場對Google是否能趕上OpenAI ChatGPT的疑慮，致使<a href="https://www.youtube.com/watch?v=lm-LIGtUtmQ" target="_blank">股價</a>再度由升轉跌，一度超過2%。</p> </div></div></div>
2023/12/11 08:41作者林妍溱https://www.ithome.com.tw/news/160261
OpenAI說將解決ChatGPT變懶惰的問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/ChatGPTapp/status/1732979491071549792" target="_blank">OpenAI上周承認</a>，GPT4.0變懶惰了，但也承諾將解決此事。</p> <p>OpenAI說聽到使用者對GPT4變懶惰的反饋意見了，該公司解釋原因在於他們從11月11日就未再更新模型，這「當然不是故意的」。GPT模型可能因此變得不可預測，OpenAI也正在著手修復問題。</p> <p>使用者抱怨GPT 4「變懶惰」是指，這模型在11月底前後開始不再確實執行用戶的指令。例如<a href="https://www.digitaltrends.com/computing/heres-why-people-are-saying-gpt-4-is-getting-lazy/" target="_blank">《Digitaltrend》</a>報導，一名<a href="https://twitter.com/krishnanrohit/status/1729353613498261597" target="_blank">ChatGPT Plus用戶指出</a>ChatGPT說檔案太長無法轉檔，撰寫表格只填了3欄、拒絕讀取連結、也無法讀取Python檔，或是叫它使用程式碼解釋器，它卻用了圖片生成模型。另一名用戶叫ChatGPT列出特定二個時間點之間的日期，它卻要求提供更多資訊，例如這個期間有幾個禮拜。</p> <p>OpenAI說明，模型未更新讓GPT模型行為出現細微的變化，但只有很少部份提示效果變差，因此使用者和公司員工要好一段時間才會發現並解決問題。</p> <p><a href="https://twitter.com/ChatGPTapp/status/1733329176479039558" target="_blank">OpenAI並指出</a>，在發布新模型前，他們會做徹底的離線評估和線上A/B測試，而在所有測試後，會根據數據判定新模型對真實使用者而言是否優於前一代，同時OpenAI也鼓勵使用者持續給予回饋意見。</p> <p>不過ChatGPT某些行為似乎是刻意設定的。<a href="https://www.businessinsider.com/chatgpt-ai-refuse-to-respond-prompt-asking-repeat-word-forever-2023-12" target="_blank">例如上周有用戶發現</a>，當用戶要求「永遠」重複某個字詞（例如computer）時，ChatGPT拒絕執行無限重覆某個字。ChatGPT給的理由是技術限制、沒有意義，以及對使用者體驗沒有幫助。</p> <p>至於GPT4的更新工作何以中斷，OpenAI並未說明，不過可能與11月的人事動盪有關。OpenAI舉行首次開發者大會宣布GPT 4.0及多項更新後，旋即發生CEO Sam Altman一度遭董事會開除，後者還接連任命2任CEO，Altman及總裁Greg Brockman還曾短暫加入微軟。</p> <p>雖然5天後Altman重回原職，但組織一陣混亂，又碰上時值歐美市場的年底假期，OpenAI的日常事務已遭到耽擱。除了GPT 4.0的更新外，原預定12月初上線供開發人員分享客製化模型的GPT Store，因為某事讓他們忙得不可開交，<a href="https://www.ithome.com.tw/news/160165" target="_blank">將延遲到2024年初才會開張</a>。</p> </div></div></div>
2023/12/11 09:17作者林妍溱https://www.ithome.com.tw/news/160262
AI趨勢周報第235期：Mamba架構橫空出世，克服Transformer運算效率缺陷還具5倍吞吐量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1201～1207)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Mamba </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 運算資源 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Mamba橫空出世引起AI社群關注，克服Transformer運算缺陷還具5倍吞吐量</strong></span></p> <p>自2017年Google釋出Transformer架構以來，它就成為大模型的主流架構，不只是BERT、T5，就連GPT系列模型、Gemini等大型語言模型（LLM）都以Transformer為基礎。但最近，來自卡內基美隆（CMU）大學和Together AI的專家Albert Gu和Tri Dao共同打造Mamba架構，克服了Transformer的運算效率缺陷，挑戰Transformer的霸權地位。</p> <p>這是因為，Transformer模型中的自我注意力機制，其運算資源會隨上下文長度增加而呈平方倍增長，比如上下文增加20倍，所需的運算資源就會達到400倍，非常龐大。也因此，<a href="https://twitter.com/tri_dao/status/1731728602230890895?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1731782599935205463%7Ctwgr%5E152ccc5c82ce0d2409eb8bda4fab7183e50074e7%7Ctwcon%5Es3_&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fmamba-is-here-to-mark-the-end-of-transformers%2F">Tri Dao表示</a>，Transformer的注意力機制難以擴展到長序列任務。為克服這個問題，至今有不少專家提出高效能注意力機制改善方法，但通常伴隨模型表現不如原本的代價。</p> <p>而Mamba採用結構化狀態空間模型（SSM），所需運算量可隨序列增加而呈線性增長，可處理數百萬個Token的長序列上下文運算，解決Transformer的運算效率低下問題，還能實現5倍吞吐量。Mamba可作為通用序列模型的骨幹模型，團隊測試，Mamba在語言、音訊和基因組學等多種任務中達到高階（SOTA）性能，特別是在語言建模部分，Mamba-3B模型表現不只比同參數量的Transformer好，還與2倍規模的Transformer相當。<a href="https://github.com/state-spaces/mamba">（詳全文）</a></p> <p><img alt="" src="https://pbs.twimg.com/media/GAhV2yOacAASvaj?format=jpg&name=900x900" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gemini </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-4V </span></strong></span></p> <p><span style="font-size: 22px;"><strong>GPT-4V最強對手來了，Google多模態Gemini模型登場</strong></span></p> <p>Google正式推出原生的多模態大型語言模型Gemini，可同時支援文字、圖片和聲音的輸入。在32項AI測試中，有30項的評分超越了OpenAI的GPT-4V。Google預計推出3種Gemini版本，包括模型最大的Ultra版、通用性最廣的Pro版，以及可在手機裝置上運作的Nano版。</p> <p>Google展示一段實測影片，來呈現Gemini多模態的回答能力。他們讓Gemini一邊看影片，一邊解讀畫面內容，包括展示人員即時手繪，Gemini能給出每一個動作所對應的意義，如這是隻鴨子，現在在水上游泳，有藍色外觀。當展示人員拿出實體玩具鴨子按壓發生聲音時，AI甚至打趣的說，真的拿出了呱呱叫的鴨子，AI還能糾正展示人員對於「鴨子」中文發音的重音位置錯誤。</p> <p>不只能同時分辨和理解文字、圖片和聲音，Gemini還能分辨、解釋幾種熱門開發語言，包括Python、Java、C++和Go語言。Google也用Gemini打造了新版的程式碼生成系統AlphaCode 2，比2年前的第一代進步許多，可解決兩倍的問題。<a href="https://deepmind.google/technologies/gemini/#introduction">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/UIZAiXYceBI?si=jJTbjWfMdi2ItBF3&controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI聯盟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開源 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta、IBM等巨頭合組開源AI聯盟</strong></span></p> <p>Meta聯手IBM，在12月5日宣布與英特爾、AMD、Linux基金會等組織跨界合組AI聯盟，推動AI開源碼技術的開發和共享，來推動負責任AI的發展。這個組織創始成員除了Meta、IBM，還有50多個組織成員，包括英特爾、AMD、Dell、Stability AI、Hugging Face、甲骨文、Red Hat、Sony、ServiceNow、Linux基金會等業者，美國航太總署（NASA）、歐洲核子研究組織（CERN）、醫學中心Cleveland Clinic，以及哈佛大學、耶魯大學、洛桑聯邦理工學院、加州大學柏克萊分校、東京大學等，但Google、微軟、OpenAI和AWS等並未加入。</p> <p>AI聯盟的目的是，藉由公開和分享，來避免如ChatGPT這類封閉式AI引發的偏見、假資訊、幻覺和漏洞等風險。該聯盟的開發計畫包括打造安全工具與標準，像是建立AI安全與信任的工具型錄，並協助將這些工具推廣到廠商，再來是打造解決氣候、教育等問題的多模態、多語言的科學模型，此外還要建置強大的AI硬體加速器，並協助全球性的AI技術養成。另外也要開發AI教育、規範內容，並推動負責任AI開發的宣導活動。<a href="https://ai.meta.com/blog/ai-alliance/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> TPU </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 超級電腦架構 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資源管理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google發表新一代TPU和超級電腦架構</strong></span></p> <p>12月7日，Google發表了最新張量處理器Cloud TPU v5p、超級電腦架構AI Hypercomputer以及資源管理工具<a href="https://cloud.google.com/blog/products/compute/introducing-dynamic-workload-scheduler">Dynamic Workload Scheduler</a>，來加速AI任務的執行和處理。進一步來說，今年11月，Google才推出Cloud TPU v5e，最近發表Cloud TPU v5p，前者強調成本效益，後者則號稱是目前最強大的TPU。每個TPU v5p pod具備8,960個晶片，晶片間的互連速度達4,800 Gbps，相較於上一代的TPU v4，提供了2倍的FLOPS和3倍的高頻寬記憶體（HBM）。</p> <p>至於AI Hypercomputer架構，整合了最佳化效能的硬體、開源軟體、主流機器學習框架，比如JAX、TensorFlow、PyTorch等開源機器學習框架，或Multislice Training、Multihost Inferencing等軟體，且還整合GKE與Google Compute Engine。就資源管理工具Dynamic Workload Scheduler來說，它支援Cloud TPU與Nvidia GPU，可同時調度所需的加速器，其中的Flex Start還能用來微調模型、實驗、較短的訓練任務、蒸餾、離線推理和批次任務，並在準備執行請求GPU與TPU容量，是一種相對經濟的選擇。<a href="https://cloud.google.com/blog/products/ai-machine-learning/introducing-cloud-tpu-v5p-and-ai-hypercomputer/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蘋果 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MLX </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Apple Silicon </span></strong></span></p> <p><span style="font-size:22px;"><strong>蘋果公布Apple Silicon平臺專用AI框架MLX</strong></span></p> <p>在微軟和英特爾等業者大肆宣傳AI PC概念的同時，向來較沈默的蘋果也公布了AI框架MLX，可在Apple Silicon平臺上執行。MLX類似Python常用框架NumPy的陣列框架，能提高在Apple Silicon平臺上執行ML任務的效率和彈性。</p> <p>蘋果指出，MLX的設計靈感來自PyTorch、Jax和ArrayFire等框架，MLX陣列位於共享記憶體中，因此可執行在任何支援的裝置上，如GPU和CPU，無需複製資料。MLX有功能完整的C++ API，且有3大特點，如在自動微分、自動矢量化和運算圖表優化部分，具有可組合函式轉換，再來是MLX的運算為惰性求值，第3個特點是多裝置支援，可在支援的CPU、GPU上執行運算。目前，開發者可從GitHub網頁下載MLX。<a href="https://ml-explore.github.io/mlx/build/html/index.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 思科 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 防火牆 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 規則管理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>思科推AI助理，簡化防火牆規則管理</strong></span></p> <p>思科最近推出資安AI助理（Cisco AI Assistant for Security），能提供自動化規則配置、協助用戶分析和決策，來強化企業防火牆管理。企業防火牆的用意是保護網路免受惡意流量侵害，但防火牆規則卻不好管理，比如普通防火牆就有數千條規則和處理流量，其中許多規則過時、冗餘甚至矛盾。於是Cisco打造LLM防火牆規則管理助理，用戶可以自然語言管理防火牆，如排除故障和配置設定、找出可疑活動等。思科這款助理具多種功能，主要能在Cisco雲端防火牆管理中心與Cisco Defense Orchestrator（CDO）發揮作用，解決設定和維護複雜政策和防火牆規則的挑戰。</p> <p>此外，Cisco還推出適用於所有防火牆模型的AI加密能見度引擎，經數十億個樣本訓練而成，不需解密流量，就能判斷流量是由哪一個作業系統以及客戶端應用程式產生，直接從加密流量找出惡意軟體傳輸。<a href="https://blogs.cisco.com/security/give-your-firewall-admins-superpowers-with-cisco-ai-assistant-for-security">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/blogs-images/ciscoblogs/1/2023/12/firewall_ai_assistant_policy_screenshot-1.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IDE </span></strong></span></p> <p><span style="font-size:22px;"><strong>AWS新推擴充套件，用AI簡化雲端程式架構設計流程</strong></span></p> <p>AWS正式推出Application Composer整合開發環境的擴充套件，可讓開發者直接在IDE使用Application Composer功能，以視覺化操作方法，更有效地設計和部署雲端應用程式，還簡化開發流程。</p> <p>AWS在2022年推出視覺化工具Application Composer，讓開發者透過拖放操作，連接和分組AWS服務，更簡單地設計和開發應用程式架構。這次新推出的擴充套件，則能讓開發者在熟悉的IDE工具中，運用相同的視覺化拖放操作體驗，快速建立想法原型。而且，新擴充套件還能和IDE中的各種工具整合，提供即時生成的程式碼模板，以及AWS無伺服器應用模型整合，方便管理和部署無伺服器應用程式。Application Composer擴充套件還整合生成式AI，能即時生成程式碼建議，來加速開發工作。<a href="https://aws.amazon.com/tw/blogs/aws/ide-extension-for-aws-application-composer-enhances-visual-modern-applications-development-with-ai-generated-iac/">（詳全文）</a></p> <p><img alt="" src="https://d2908q01vomqb2.cloudfront.net/da4b9237bacccdf19c0760cab7aec4a8359010b0/2023/11/07/2023-app-composer-quickpreview.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> JetBrains </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IDE </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式開發 </span></strong></span></p> <p><span style="font-size:22px;"><strong>JetBrains新AI程式開發助理整合自家IDE</strong></span></p> <p>擁有IntelliJ IDEA、PyCharm等多款旗下IDE產品的JetBrains，最近推出程式開發AI助理，要提高開發者軟體開發的效率和品質。JetBrains AI助理能解釋程式碼、回答程式碼相關問題，也能生成文件或轉換程式語言等工作。</p> <p>JetBrains透過將AI助理融入使用者工作流程，善用IDE對開發者程式碼的理解，掌握整體開發上下文和專案結構，來對AI助理底層語言模型提供詳細資訊。而且，開發者能以開放式聊天介面和AI助理對話，查詢特定函式功能，或編寫、除錯程式碼。此外，AI助理也能在重構任務幫上忙，雖然JetBrains IDE本身也有重構功能，但AI助理能進一步提供潛在程式碼的重構建議，並解釋原因。目前，該AI助理為訂閱服務，可在IntelliJ IDEA、PyCharm、PhpStorm、ReSharper、Fleet等JetBrains IDE中使用。<a href="https://blog.jetbrains.com/blog/2023/12/06/introducing-jetbrains-ai-and-the-in-ide-ai-assistant/">（詳全文）</a></p> <p><img alt="" src="https://blog.jetbrains.com/wp-content/uploads/2023/12/ai-chat-option-2.png" /></p> <p>圖片來源／Albert Gu和Tri Dao、Google、思科、AWS、GetBrains</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 微軟Copilot升級至DALL-E 3與GPT-4 Turbo</strong></p> <p><strong>2. 群創用AI改造智能超市，導入智慧購物車、即時分群廣告推播及互動式酒促客服體驗</strong></p> <p><strong>3. Meta強化Meta AI、推出AI圖片生成網頁版、研發浮水印</strong></p> <p>資料來源：iThome整理，2023年12月</p> </div></div></div>
2023/12/10 00:16作者王若樸https://www.ithome.com.tw/news/160256
駭客假冒WordPress名義寄送資安公告，意圖推送後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定WordPress網站的攻擊行動不時傳出，大多是針對外掛程式的漏洞而來，藉此入侵網站，並植入惡意程式進行控制，但最近有一起攻擊行動相當不同，駭客將計就計，反過來以此引誘管理者上當，他們謊稱網站有漏洞，要管理者儘快套用「修補程式」。</p> <p>值得留意的是，雖然駭客煞有其事地指出網站漏洞CVE編號，但其實是完全不存在的漏洞，對方也未提供進一步的細節，留下破綻；然而若是網站管理者一時不察，還是很有可能落入圈套，被誘騙安裝惡意軟體。</p> <h3><strong>聲稱網站有漏洞，並列出CVE編號</strong></h3> <p>資安業者<a href="https://www.wordfence.com/blog/2023/12/psa-fake-cve-2023-45124-phishing-scam-tricks-users-into-installing-backdoor-plugin/">Wordfence</a>、<a href="https://patchstack.com/articles/fake-cve-phishing-campaign-tricks-wordpress-users-to-install-malware/">PatchStack</a>提出警告，他們發現駭客鎖定WordPress網站的管理者，寄送釣魚郵件，聲稱偵測到網站存在漏洞，有可能讓攻擊者遠端執行任意程式碼（RCE），導致網站及使用者的資料外流，呼籲管理者套用CVE-2023-45124的修補程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Fake-wordpress-org.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fake-wordpress-org.png" style="width: 580px;" /></a></p> <p>收信人若一時不察，未驗證此資訊的可信度，就傻傻地依此指示點選下載外掛程式（Plugin）的按鈕，就會被帶往冒牌WordPress網站en-gb-wordpress[.]org，若是管理者將駭客提供的外掛程式部署於網站上，該外掛程式將會新增惡意管理員帳號wpsecuritypatch，並將網站URL及密碼打包回傳C2，然後於網站植入後門程式wpgate[.]zip，使得駭客能持續控制受害網站。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2023-45124-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2023-45124-1.png" style="width: 580px;" /></a></p> <p>值得留意的是，上述外掛程式會隱匿惡意管理者帳號，網站管理員難以察覺其蹤跡。PatchStack研究人員發現，駭客為了取信網站管理者，在外掛程式的留言區列出了多則假評論，並且將Automattic公司的知名人士列為開發人員。</p> <h3><strong>擁有看似正常安裝流程的「修補程式」</strong></h3> <p>PatchStack對於駭客提供的「修補程式」進行分析，一旦網站管理者從該網站下載，將會取得帶有CVE編號名稱的ZIP壓縮檔（如cve-2023-45124.zip），但研究人員指出，根據駭客使用的釣魚網域不同，他們也看到其他檔案名稱的ZIP檔。</p> <p>網站管理者若是將其在網站上安裝並啟用，WordPress的管理介面便會顯示「CVE-2023-45124已成功修補」的訊息，駭客還「呼籲」管理者，與其他可能受到該漏洞影響人士分享「修補程式」，希望藉由上當的管理者來進一步散布惡意軟體。</p> <p>但在上述的過程背後，這個惡意外掛先是建立具有管理員權限的帳號wpsecuritypatch，並為設置隨機密碼；接著向攻擊者的伺服器發送HTTP GET請求，在其中一起攻擊行動裡，對方利用包含Base64編碼資料的wpgate[.]zip/wpapi，並搭配網站查詢參數，傳送網址、前述建立的管理員帳號及密碼。</p> <p>攻擊者再向wpgate[.]zip/runscan發送HTTP GET請求，並得到Base64編碼的資料回傳，然後在惡意外掛程式裡進行解碼，企圖將其內容植入名為wp-autoload.php的檔案。最終此外掛程式將自己隱藏起來，並將上述產生的管理者帳號也進行隱匿。</p> <p>研究人員分析了惡意程式碼的內容，並指出駭客在註解說明了其中的用途。</p> <p>經過前述的步驟，駭客已製作名為wp-autoload.php的後門程式，並能將其用於後續的攻擊行動，而有可能在網站上注入廣告、將使用者重新導向惡意網站、集結其他被植入後門程式的網站發動DDoS攻擊、竊取帳務資訊，或是讓駭客向管理者勒索。</p> </div></div></div>
2023/12/10 14:54作者周峻佑https://www.ithome.com.tw/news/160247
俄羅斯駭客APT28鎖定Outlook零時差漏洞，意圖挾持Exchange電子郵件信箱帳號，主要目標是北約組織成員國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在今年3月的例行更新（Patch Tuesday）當中，修補Outlook零時差漏洞CVE-2023-23397（CVSS風險評分為9.8），當時透露與俄羅斯軍情單位GRU有關的駭客，在去年4月中旬到12月將其用於攻擊行動。如今研究人員透露更多細節。</p> <p>由於這項漏洞利用的難度並不高，攻擊者可透過發送特製的電子郵件來觸發漏洞，導致收信程式Outlook搜尋和處理的過程中就有可能中招，甚至有可能在預覽窗格呈現之前就觸發。</p> <p>更進一步來說，攻擊者發送的惡意郵件當中，會帶有延伸的MAPI屬性，當中帶有通用命名規範（Universal Naming Convention，UNC）路徑，連至攻擊者控制的SMB共享資料夾（即TCP的445埠）。</p> <p>上述連線至遠端SMB伺服器的過程裡，會發送使用者的NTLM交握訊息，從而導致攻擊者能在其他支援NTLM身分驗證的系統上進行身分驗證的重放攻擊。</p> <h3><strong>漏洞修補後，俄羅斯駭客組織APT28仍持續利用</strong></h3> <p>針對這項漏洞利用攻擊，12月4日<a href="https://twitter.com/msftsecintel/status/1731626192300634585">微軟威脅情報團隊提出警告</a>，俄羅斯駭客組織APT28（亦稱Fancy Bear、Strontium、Forest Blizzard）近期積極利用今年3月修補的漏洞CVE-2023-23397，企圖存取Exchange伺服器上的電子郵件信箱帳號，目標是美國、歐洲、中東的政府機關、運輸業、非政府組織。</p> <p>這項漏洞最初是由微軟與烏克蘭電腦網路危機處理小組（CERT-UA）共同發現，為權限提升漏洞，攻擊者可傳送帶有特定MAPI屬性的惡意郵件觸發漏洞，收信人連向駭客控制的SMB共享資料夾，導致駭客能夠取得Net-NTLMv2的雜湊值，進而執行NTLM重放攻擊（NTLM Relay）。</p> <p>而在這一波漏洞攻擊行動裡，微軟發現駭客不光利用CVE-2023-23397，<a href="https://www.microsoft.com/en-us/security/blog/2023/03/24/guidance-for-investigating-attacks-using-cve-2023-23397/">還可能會搭配其他已知漏洞</a>，例如：WinRAR漏洞CVE-2023-38831，或是瀏覽器排版引擎MSHTML排版引擎漏洞CVE-2021-40444。其他也有可能遭到利用的漏洞包括：CVE-2021-42292、CVE-2021-42321、CVE-2021-34473、CVE-2020-17144、CVE-2020-0688等。</p> <p>波蘭網路司令部（Polish Cyber Command，DKWOC）<a href="https://www.wojsko-polskie.pl/woc/articles/aktualnosci-w/detecting-malicious-activity-against-microsoft-exchange-servers/">也在當地察覺類似的攻擊行動</a>，並提供工具讓IT人員來檢查Exchange伺服器是否受害。</p> <p>DKWOC提出以下5個防範措施</p> <p>（一）修補CVE-2023-23397，以及此漏洞的繞過漏洞CVE-2023-29324；<br /> （二）利用微軟提供的指令碼檢查Exchange伺服器；<br /> （三）對於遭到入侵的使用者重設密碼；對於所有使用者啟用多因素驗證（MFA）；<br /> （四）封鎖來自外部IP位址的135埠、445埠流量；<br /> （五）停用NTLM。</p> <h3><strong>受害組織主要來自北約組織成員國，遍布14個國、30個組織</strong></h3> <p>在微軟對這群駭客利用Outlook零時差漏洞發動攻擊提出警告，並指出他們的目的是從Exchange伺服器盜取電子郵件帳號，目前也有其他研究人員揭露更多調查結果。</p> <p>例如，<a href="https://unit42.paloaltonetworks.com/russian-apt-fighting-ursa-exploits-cve-2023-233397/">資安業者Palo Alto Networks就揭露這些駭客攻擊行動的規模</a>。這些駭客約在20個月裡發動3波攻擊行動，針對14個國家、逾30個企業組織而來。</p> <p>這些駭客從俄羅斯對烏克蘭進行軍事行動之後，在2022年3月就開始利用這項漏洞攻擊烏克蘭移民署；同年4月中旬至12月，該組織將其用於入侵歐洲15國政府、軍事單位、能源組織、交通單位的網路環境，竊取俄羅斯入侵烏克蘭有關的軍事情報電子郵件。</p> <p>而在微軟今年3月修補漏洞後，這些駭客仍舊透過這項漏洞竊取帳密資料，進行第2波攻擊行動，從而於受害組織進行橫向移動，相關的攻擊行動在5月另一個MSHTML漏洞CVE-2023-29324（CVSS風險評分6.5）公布後顯著增加。</p> <p>而在今年的9月至10月，這些駭客從事第三波攻擊行動，研究人員確認目標至少涵蓋7個國家的9個組織。</p> <p>Palo Alto Networks的研究人員指出，遭到這些駭客攻擊的國家，除了烏克蘭、約旦、阿拉伯聯合大公國（UAE），其餘皆為北約組織（NATO）會員國，且有北約快速部署兵團遭到鎖定。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-Fighting-Ursa-F2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Fighting-Ursa-F2.png" style="width: 580px;" /></a></p> </div></div></div>
2023/12/10 10:45作者周峻佑https://www.ithome.com.tw/news/160246
【資安日報】12月8日，五眼聯盟針對俄羅斯駭客Star Blizzard大規模網釣攻擊採取法律行動，祭出千萬美元獎金緝…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯國家級駭客鎖定歐美國家的攻擊行動頻傳，其中一個組織Star Blizzard最近被大國盯上，引發全球關注，因為近期五眼聯盟提出警告，並開始採取法律行動，通緝兩名該組織的成員。</p> <p>值得注意的是，五眼聯盟握有相關情報，這些駭客聽令於俄羅斯軍情單位聯邦安全局（FSB），且曾經企圖干預選舉，危害不容小覷。參與調查的<a href="https://www.microsoft.com/en-us/security/blog/2023/12/07/star-blizzard-increases-sophistication-and-evasion-in-ongoing-attacks/">微軟也公布相關調查結果</a>，呼籲使用者提高警覺。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/160227"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">五眼聯盟指控俄羅斯駭客Star Blizzard全球網釣攻擊行動，兩名嫌犯遭起訴</span></strong></a></p> <p></p> <p>12月7日五眼聯盟指控，俄羅斯駭客組織Star Blizzard（亦稱Seaborgium、TA446、ColdRiver）自2019年開始，相準學術界、國防、政府機關、非政府組織、智庫、政治人物展開網釣攻擊，主要目標為美國與英國，北約國家，但俄羅斯的鄰國也有受害者。到了2022年，Star Blizzard的攻擊活動進一步擴大到國防工業及美國能源部的設施。</p> <p>這些駭客先調查目標對象的興趣及網路活動，再冒充各種類型的專家，透過社群媒體等網路平臺與其進行交流，並以會議或活動邀約為誘餌，使用Outlook、Gmail、Yahoo! Mail、Proton等電子郵件平臺發動攻擊。</p> <p>五眼聯盟指控，該駭客組織隸屬俄羅斯聯邦安全局（FSB），英國特別表明這些駭客曾干預該國選舉，而美國目前已起訴兩名駭客Ruslan Aleksandrovich Peretyatko、Andrey Stanislavovich Korinets，並指出其中一名的身分是FSB官員，懸賞1千萬美元、抓拿這些駭客。</p> <p>資料來源</p> <p>1. <a href="https://www.ncsc.gov.uk/news/star-blizzard-continues-spear-phishing-campaigns">https://www.ncsc.gov.uk/news/star-blizzard-continues-spear-phishing-campaigns</a><br /> 2. <a href="https://www.justice.gov/opa/pr/two-russian-nationals-working-russias-federal-security-service-charged-global-computer">https://www.justice.gov/opa/pr/two-russian-nationals-working-russias-federal-security-service-charged-global-computer</a><br /> 3. <a href="https://home.treasury.gov/news/press-releases/jy1962">https://home.treasury.gov/news/press-releases/jy1962</a></p> <p><a href="https://unit42.paloaltonetworks.com/russian-apt-fighting-ursa-exploits-cve-2023-233397/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT28利用Outlook零時差漏洞發動攻擊，主要目標是北約組織會員國</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-131555-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-131555-1.png" style="width: 300px; float: right;" /></a>別名為Fancy Bear、Strontium、Fighting Ursa的俄羅斯駭客組織APT28，最近又犯案了！微軟對這群駭客利用Outlook零時差漏洞CVE-2023-23397（CVSS風險評分9.8）發動攻擊提出警告，<a href="https://www.ithome.com.tw/news/160172#CVE-2023-23397">並指出他們的目的是從Exchange伺服器盜取電子郵件帳號</a>，目前也有其他研究人員揭露更多調查結果。</p> <p>例如，資安業者Palo Alto Networks就揭露這些駭客攻擊行動的規模。這些駭客約在20個月裡發動3波攻擊行動，針對14個國家、逾30個企業組織而來。這些駭客從俄羅斯對烏克蘭進行軍事行動之後，在2022年3月就開始利用這項漏洞攻擊烏克蘭移民署；同年4月中旬至12月，該組織將其用於入侵歐洲15國政府、軍事單位、能源組織、交通單位的網路環境，竊取俄羅斯入侵烏克蘭有關的軍事情報電子郵件；而在微軟今年3月修補漏洞後，這些駭客仍舊透過這項漏洞竊取帳密資料，從而於受害組織進行橫向移動，相關的攻擊行動在5月另一個MSHTML漏洞CVE-2023-29324（CVSS風險評分6.5）公布後顯著增加。</p> <p>Palo Alto Networks的研究人員指出，遭到這些駭客攻擊的國家，除了烏克蘭、約旦、阿拉伯聯合大公國（UAE），其餘皆為北約組織（NATO）會員國，且有北約快速部署兵團遭到鎖定。</p> <p><a href="https://www.ithome.com.tw/news/160209"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google、蘋果證實多國政府向其調閱行動裝置應用程式推播資料</span></strong></a></p> <p></p> <p>12月6日美國參議員Ron Wyden寄信給司法部（DOJ），要求Google、蘋果這兩大科技公司，公開各國政府向他們調閱行動裝置推播通知（Mobile Push Notification）的情況。</p> <p>這項要求源於Ron Wyden在2022年接獲的消息，得知有許多美國以外的國家，向Google、蘋果要求相關資料的記錄，該名參議員展開調查，發現是美國政府禁止這些IT業者公布相關資訊，從而得知許多國家會利用這種資料的情況。值得留意的是，這種行動裝置推播的功能，並非直接從程式開發者傳送至手機，而是中間透過作業系統的服務來進行傳遞的工作，意即過程裡Google、蘋果扮演仲介的角色。</p> <p>對此，這兩家業者向科技新聞網站TechCrunch證實，Google表示已發布透明度報告揭露政府請求的各式用戶資料；蘋果也表明將在透明度報告公布相關資訊。</p> <p>資料來源</p> <p>1. <a href="https://www.wyden.senate.gov/imo/media/doc/wyden_smartphone_push_notification_surveillance_letter.pdf">https://www.wyden.senate.gov/imo/media/doc/wyden_smartphone_push_notification_surveillance_letter.pdf</a><br /> 2. <a href="https://techcrunch.com/2023/12/06/us-senator-warns-governments-spying-apple-google-smartphone-users-via-push-notifications/">https://techcrunch.com/2023/12/06/us-senator-warns-governments-spying-apple-google-smartphone-users-via-push-notifications/</a></p> <p><a href="https://www.jamf.com/blog/fake-lockdown-mode/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露針對iPhone的新型態攻擊手法，假借啟動封閉模式降低用戶戒心</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/lockdown-mode-toggle.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockdown-mode-toggle.png" style="width: 300px; float: right;" /></a>為了針對特定人士提供較為嚴謹的防護，防範間諜軟體等目標式攻擊，蘋果自去年9月，對旗下的行動裝置、電腦、穿戴裝置作業系統：iOS 16、iPadOS 16、watchOS 10、macOS Ventura，開始提供封閉模式（Lockdown Mode）的機制，但現在研究人員發現，攻擊者也可以反向操作，讓受害者以為自己的蘋果裝置執行這種模式而降低警戒。</p> <p>資安業者Jamf提出警告，這種模式雖然能大幅降低攻擊面，不過，一旦裝置遭駭之後，就算啟用封閉模式也無法阻止惡意軟體運作，他們揭露一種後利用的竄改手法，駭客一旦成功滲透到目標設備中，就有可能藉由竄改特定C語言程式碼的函式內容，讓受害者以為裝置啟動了封閉模式。</p> <p>研究人員指出，在執行iOS 16.5的手機上，封閉模式仍是在使用者空間的虛擬記憶體當中運作，系統核心並不知道這樣的行為，使用者啟用、停用該模式也無需重開機，他們便試圖讓系統看起來重新啟動，使得他們注入的惡意程式碼可持續在背景運作、監視受害者。</p> <p><a href="http://www.welivesecurity.com/en/eset-research/beware-predatory-fintech-loan-sharks-use-android-apps-reach-new-depths/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體SpyLoan假借提供個人貸款吸金，被從Google Play市集下載逾1,200萬次</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure-3-apps-that-were-available-on-official-stores-for-ios-and-android-in-2020.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-3-apps-that-were-available-on-official-stores-for-ios-and-android-in-2020.png" style="width: 300px; float: right;" /></a>資安業者ESET提出警告，他們發現今年初假借提供快速貸款的惡意應用程式SpyLoan顯著增加，這些App偽裝成提供個人信用貸款服務的軟體，號稱可讓使用者快速、輕鬆取得資金，但實際上駭客將其誘騙使用者接受高利貸，並向其進行勒索。</p> <p>研究人員指出，光是今年駭客上架於Google Play市集的惡意程式，就有18款，總共被下載超過1,200萬次，但這些App駭客也透過其他第三方市集、惡意網站散布，受害情況可能遠超過這樣的規模。研究人員通報後，Google已下架其中17款。根據研究人員偵測的資料，這種威脅在墨西哥、印度、泰國、印尼、奈及利亞、菲律賓、埃及、越南、新加坡、肯亞、哥倫比亞、秘魯特別嚴重。</p> <p><a href="https://snyk.io/reports/ai-code-security/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為了使用AI工具，高達八成開發人員無視公司資安政策</span></strong></a></p> <p></p> <p>開發人員大量採用人工智慧工具輔助開發的情況與日俱增，根據軟體業者JetBrains的調查，<a href="https://www.ithome.com.tw/news/160023">77％開發人員用ChatGPT，46％用GitHub Copilot</a>，但這種情況對企業組織的資訊安全也帶來新的挑戰。</p> <p>資安業者Synk針對537名軟體工程師及資安團隊成員進行調查，這些受訪者所屬的企業組織幾乎（96%）已在軟體供應鏈當中，採用了AI程式碼工具。但有80%的開發人員坦承，他們為了使用人工智慧程式開發輔助工具，必須繞過所屬組織的資安政策。另一方面，僅有不到十分之一的組織，對程式碼導入自動化安全掃描機制。</p> <p>研究人員指出，這樣的情況不只影響組織的資安，甚至還左右開源工具鏈的生態，73.2%開發人員曾貢獻程式碼，但只有24.6％採用軟體組成分析（Software Composition Analysis，SCA）工具，驗證人工智慧生成的建議程式碼。這樣的情況會因為開發團隊導入AI加速開發，使得組織更容易採用不安全的開源元件，同時人工智慧開發工具也使用開源程式碼作為訓練資料，從而習得不安全的程式碼，導致惡性循環。值得留意的是，雖然開發人員採用相關工具的情況非常普遍，但高達86%對於這類工具安全性存在疑慮。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://about.fb.com/news/2023/12/default-end-to-end-encryption-on-messenger/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Meta宣布Messenger正式啟用全程加密</span></strong></a></p> <p></p> <p>2016年Meta宣布為Messenger加入全程加密（E2EE）的功能，但直到最近該公司才在相關服務預設啟用這項機制。12月6日Meta宣布，所有的Messenger通訊會直接開啟E2EE，使用者不需手動開啟相關功能，該公司表示這是Messenger有史以來規模最大的功能升級。</p> <p>但為何Messenger預設啟用E2EE需耗費長達7年的時間？Meta指出，他們的工程師、密碼學專家、設計師、政策專家、產品專家重新打造Messenger，引入新的安全性及控制功能，並與外部專家、學者、政府機關密切合作，找出潛在風險並制訂緩解措施，來達到隱私及安全需求。此外，過程中他們也面臨兒童保護團體的施壓，擔心採用E2EE後，會令Meta無法偵測到虐待兒童事件。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://android-developers.googleblog.com/2023/12/virtual-machines-as-core-android-primitive.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為強化Android虛擬化支援與安全性，Google推出AVF工具包簡化隔離應用開發</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/nissan-is-investigating-cyberattack-and-potential-data-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Atlassian修補DevOps協作平臺、缺陷跟蹤管理系統等多項產品的重大漏洞</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-slam-attack-steals-sensitive-data-from-amd-future-intel-cpus/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">新型態攻擊手法Slam鎖定AMD處理器而來，即將問世的Intel、Arm處理器也可能曝險</span></span></strong></a></p> <p></p> <p><a href="https://redcanary.com/blog/aws-sts/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">AWS安全存取服務STS有可能被濫用，攻擊者藉此冒充使用者身分</span></span></strong></a></p> <p></p> <p><a href="https://www.websiteplanet.com/news/wala-breach-report/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">國際犬類繁殖組織WALA伺服器不設防，曝露25 GB資料</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160208"><strong>【12月7日】研究人員揭露針對iPhone的新型態攻擊手法，啟動假的封閉模式，從而暗中偷渡惡意程式持續於背景執行</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160190"><strong>【12月6日】駭客謊稱要修補實際並不存在的漏洞，對WordPress網站管理者進行詐騙，宣稱提供更新散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160172"><strong>【12月5日】美國航太組織遭到駭客組織AeroBlade鎖定，對其發動兩波攻擊，採用隱匿手法從事網路間諜行動</strong></a></p> </div></div></div>
2023/12/8 18:26作者周峻佑https://www.ithome.com.tw/news/160235
Apple與部分Linux作業系統尚未修補已公開的藍牙鍵盤注入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SkySafe軟體工程師Marc Newlin<a href="https://github.com/skysafe/reblog/tree/main/cve-2023-45866">發現</a>了一個新的藍牙安全漏洞CVE-2023-45866，涉及未經認證的藍牙鍵盤注入攻擊，影響的系統包括Android、Linux、macOS和iOS。資安人員提到，這個漏洞看起來包含協定的設計缺陷，而非單純的實作錯誤。</p> <p>Marc Newlin發現多個藍牙堆疊實作具有可以繞過身分驗證的漏洞CVE-2023-45866，允許攻擊者在無需用戶確認的情況下，連接到目標主機，並且注入按鍵指令。這代表攻擊者可以從遠端執行各種操作，就像是使用受害者裝置上的鍵盤一樣，執行應用程式安裝、任意命令、轉發訊息，以及其他惡意行為都沒問題。該攻擊行動不需要複雜的硬體，只需要一臺配備有藍牙連接器的Linux電腦就可以完成。</p> <p>Marc Newlin最先在Apple裝置的macOS和iOS中，發現這個未經授權的藍牙按鍵注入漏洞，兩者都可以在裝置封閉模式（Lockdown Mode）下被濫用。Marc Newlin之後又在Linux和Android中找到類似的漏洞。</p> <p>Marc Newlin解釋，這些漏洞的運作原理，是能夠在未經用戶確認的情況下，欺騙藍牙主機狀態機和假鍵盤配對。由於藍牙規範中定義了底層未經身分驗證的配對機制，而實作錯誤便會將其暴露給攻擊者，導致無論是Android、Linux、macOS還是iOS，在特定狀態都容易受到攻擊。</p> <p>Android裝置只要一啟用藍牙，就容易受到攻擊，而Linux則是在藍牙進入可探索狀態時，才容易被攻擊，iOS和macOS則是要在啟用藍牙，並且巧控鍵盤已經與手機或是電腦配對時，容易遭受惡意攻擊。一旦攻擊者和目標裝置配對完成，便可以執行按鍵注入攻擊，以受害者身分執行任意操作，而且這些操作不需要經過密碼或是生物識別身分驗證。</p> <p>CVE-2023-45866是一個存在時間有點久的漏洞，Marc Newlin甚至可以在2012年發布的Android 4.2.2上重現藍牙按鍵注入攻擊。目前Google已經在12月5日的安全更新，對Android 11以上版本提供修復該漏洞的程式，但是並未修復Android 4.2.2-10版本。</p> <p>Linux系統漏洞則在2020年修補CVE-2020-0556漏洞時，修掉這個藍牙按鍵注入漏洞，但該修補預設不啟用，Marc Newlin指出，ChromeOS是唯一已知啟用該修補的Linux作業系統，Google也回應ChromeOS不受CVE-2023-45866漏洞影響。官方Linux藍牙協定堆疊BlueZ則是在2020年修補該漏洞，並預設為啟用，因此只要更新BlueZ版本將會自動啟用該修補，可以保護Linux系統免受這類藍牙漏洞影響。</p> <p>Marc Newlin測試了macOS 13.3.3、macOS 12.6.7和iOS 16.6版本，皆存在CVE-2023-45866漏洞，而且即便用戶啟用封閉模式也無法避免攻擊者濫用該漏洞，Marc Newlin在2023年8月的時候向Apple回報了這項漏洞，目前尚未有更新釋出。</p> </div></div></div>
2023/12/8 19:28作者李建興https://www.ithome.com.tw/news/160236
Meta發布Purple Llama專案推動開源可信的生成式AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.meta.com/blog/purple-llama-open-trust-safety-generative-ai/">Purple Llama</a>是一個由Meta推出的新專案，目的在於提供開放信任且安全的評估標準與工具，使得開發者可以在遵守最佳實踐的指引下，負責任地部署生成式人工智慧模型與應用程式。Purple Llama目前提供CyberSec Eval評估標準，和Llama Guard輸入輸出安全分類器，之後會有更多的工具加入。</p> <p>Meta推出Llama語言模型，總下載量已經超過1億次，支援著各種人工智慧應用的發展，而Meta的新一階段任務，是要推動發展負責任的人工智慧研究和應用，因此推出Purple Llama專案。之所以是紫色（Purple），Meta借用資安領域的紫隊概念，紫隊是攻擊紅隊和防禦藍隊的結合，在生成式人工智慧中評估和緩解潛在威脅，而官方也提到，這代表他們投資Purple Llama全面發展，兼顧攻擊和防禦策略。</p> <p>Purple Llama在網路安全方面，著重在建立安全評估基準，包括量化大型語言模型網路安全風險的指標，以及評估不安全程式碼建議頻率的工具，還有讓生成惡意程式碼，或是協助網路攻擊更加困難的大型語言評估工具。官方提到，目前研究結果顯示，大型語言模型的確存在推薦不安全程式碼，以及在應對惡意請求方面存在明顯的安全風險。</p> <p>在過濾輸出和輸入方面，Purple Llama提供了一個稱為Llama Guard的分類器，事實上Llama Guard是一個開放模型，可用於檢查和過濾大型語言模型的輸入和輸出，以符合特定應用的內容指導原則，防止大型語言模型生成具有潛在風險的輸出。Llama Guard使用公開的資料集訓練，以偵測常見的潛在風險和違規內容，用戶可以自定義模型，以支援特定用例。</p> <p>除了發布Purple Llama，Meta也與包括AI聯盟、AMD、AWS、CloudFlare、Google雲端、Hugging Face、英特爾、微軟和Nvidia等各大科技公司合作，共同推動開放信任和安全的人工智慧生態系，同時，Meta也與Papers With Code、HELM的合作夥伴以及MLCommons AI安全工作小組合作，讓Purple Llama評估工具整合進他們的基準之中。</p> </div></div></div>
2023/12/8 17:33作者李建興https://www.ithome.com.tw/news/160234
Messenger終於落實端對端加密，支援訊息編輯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/108879" target="_blank">在2016年即支援端對端加密</a>（end to end encryption，E2EE）的Messenger，終於在本周三（12/6）全面落實了，<a href="https://about.fb.com/news/2023/12/default-end-to-end-encryption-on-messenger/" target="_blank">Meta將開始</a>於全球的Messenger服務中預設即部署E2EE，新版亦將支援訊息編輯、快速播放語音訊息，以及可持續24小時的訊息消失等新功能。</p> <p>端對端加密代表只有參與通訊的雙方得以讀取訊息，當Messenger在2016年支援E2EE功能時，必須由使用者主動啟用，當時Meta即計畫要讓E2EE成為預設功能，卻花了7年才達成。其中的原因不僅包含技術問題，也涉及Meta遭到兒童保護團體的施壓，擔心此舉會令Meta無法再偵測到該平臺的虐待兒童事件。</p> <p>不過，最終還是使用者的隱私獲勝了。Meta本周宣布，已開始於Messenger及Facebook平臺上的訊息與通話功能，部署預設的端對端加密。</p> <p>Meta也說，於傳訊及通話的預設值中啟用E2EE，原本就需要數年的時間才能實現，包括工程師、密碼學家、設計師、策略專家與產品經理都必須重建Messenger，並在這期間導入了新的隱私、安全與控制功能，也與外部的學者、專家及政府組織討論各種風險及緩解措施，以平衡隱私及安全的需求。</p> <p>預設啟用E2EE之後，僅有傳訊的雙方可存取訊息，Meta只有在收到使用者檢舉時才能存取相關內容。</p> <p>另有許多新功能將伴隨著E2EE出現，例如終於可以編輯寫錯的訊息了，新版Messenger將支援使用者於送出訊息的15分鐘內編輯它；而原本關掉聊天視窗即自動消失的訊息，現在最久可持續24小時；允許使用者取消已讀回條以減輕回覆訊息的壓力；對於冗長或枯燥的語音訊息，新版Messenger支援1.5倍或2倍的播放速度，而且還可隨時從中斷之處聽取。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1208-meta-message%20edit.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1208-Disappearing%20Messages-meta.png" style="width: 453px;" /></p> <p>而為了保障使用者的安全，Messenger用戶在收到不當的訊息時，不管是經過編輯的訊息，或者是可自動消失的訊息，都可向Meta舉報。</p> </div></div></div>
2023/12/8 15:25作者陳曉莉https://www.ithome.com.tw/news/160232
微軟推出幫助視障者「聽」東西的Seeing AI App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周推出<a href="https://blogs.microsoft.com/accessibility/seeing-ai-app-launches-on-android-including-new-and-updated-features-and-new-languages/" target="_blank">Android版App Seeing AI</a>，可結合AI能力協助視障人士「聽」到東西。</p> <p>Seeing AI是微軟於2017年推出協助視障或弱視者的AI應用，其原理是利用手機攝影機識別人、文字和物體，並以聲音說給使用者聽。它會以聲音提示引導用戶將鏡頭對到目標物。Seeing AI能描述信件或書等文件、光線、顏色、相片風景、人物、貨幣（美元、英鎊、歐元及加幣）、筆跡等對象，也可以掃產品條碼後聽其描述產品名或包裝資訊。Seeing AI一直只有iOS版，直到最新才公佈Android版。</p> <p>新版本也加入了iOS版最新整合的生成式AI功能，包括更豐富的相片描述，以及對Seeing AI詢問問題，例如詢問菜單、餐點價格，或叫它摘錄重點。</p> <p>Android版目前已<a href="https://play.google.com/store/apps/details?id=com.microsoft.seeingai&hl=en_US" target="_blank">在Google Play Store上架</a>。Seeing AI目前支援18種語言（尚不包含中文），微軟計畫2024年擴充到36種。</p> </div></div></div>
2023/12/8 16:03作者林妍溱https://www.ithome.com.tw/news/160233
Google解決Drive檔案消失問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/drive/thread/245861992/drive-for-desktop-v84-0-0-0-84-0-4-0-sync-issue?hl=en&sjid=11808964904095919549-AP" target="_blank">Google本周表示</a>，已經解決上個月Google Drive 檔案無故消失的問題。</p> <p><a href="https://ithome.com.tw/news/160041" target="_blank">上個月多名用戶反映</a>其Google Drive設定回到5月，不僅檔案結果退回那時的狀態，Drive活動紀錄也只有5月份的資訊，那時以後的檔案皆消失不見，垃圾桶找不到，也沒有手動刪除檔案的紀錄。用戶依據Google提供的復原程序也未能救回檔案。</p> <p>Google經過調查，11月29日表示已找出原因，並說只影響桌機版Drive 84版少部份用戶，且只影響未同步到Drive的本機檔案變更。已經同步的檔案變更則可從Drive App或Drive Web版UI看到。但有600多名用戶受到影響，涵括Windows及macOS版本。</p> <p>本周稍早Google說已經釋出解決方案，協助回復受影響用戶的檔案。同時該討論串也已被軟性封鎖，僅產品專家及原po可以回應。</p> <p class="rtecenter"><a href="https://support.google.com/drive/thread/245861992/drive-for-desktop-v84-0-0-0-84-0-4-0-sync-issue?hl=en&sjid=11808964904095919549-AP" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1208-google%20drive-600.png" style="width: 600px;" /></a></p> <p><a href="https://support.google.com/drive/answer/14286582?sjid=11808964904095919549-AP&visit_id=638375948806670869-4162325573&p=DFDSyncIssue&rd=1#zipp[…]-app" target="_blank">根據Google提供的指示</a>，檔案回復方法是長按Shift鍵再按「設定」，點選「由備份恢復」。回復程序開始後，用戶會看到指示回復啟動（有備份）或未發現備份的訊息。如果用戶有備份的話，Drive會開始倒回檔案，並在之後顯示「恢復完成」。用戶也可使用指示行介面（CLI）指示想要的復原路徑。若看到「磁碟空間不足」的訊息，用戶必須刪除或清出空間重覆這個動作。復原完成後，電腦桌面會出現名為「Google Drive恢復」的新檔案夾。若過程中用戶遇到問題，可以標註#DFD84傳送回饋意見。在此之前，用戶需下載安裝最新Windows 或macOS版Google Drive 85.0.13版以上。</p> </div></div></div>
2023/12/8 12:30作者林妍溱https://www.ithome.com.tw/news/160228
Meta強化Meta AI、推出AI圖片生成網頁版、研發浮水印
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta周四（12/7）<a href="https://about.fb.com/news/2023/12/meta-ai-updates/" target="_blank">公布Meta AI聊天機器人新功能</a>，包括搜尋、群組創作圖片，並推出專門生成圖片的網頁版本，未來幾周將開始使用隱形浮水印於AI生成的圖片，也說明正在臉書、IG測試中的AI功能。</p> <p>Meta AI是<a href="https://ithome.com.tw/news/159021" target="_blank">Meta 9月間公布的聊天機器人</a>，能和用戶互動或生成圖片。Meta AI的文字及圖片生成能力分別以Meta的LLM Llama2及圖片生成模型Emu為基礎。</p> <p>二個月以來Meta強化了Meta AI的底層模型，賦予它新功能。首先，用戶可在其App新訊息中選擇「create an AI chat」或在群組聊天功能輸入「@MetaAI」，或是聲控說「Hey Meta」來叫出這個聊天機器人。此外，Meta AI底層模型也改版了，使之具備聊天以外的功能；它可以建議用戶貼文內容、社團聊天主題，網頁搜尋，甚至可美化Facebook/IG上的Shops上架產品外觀。另外，用戶也可叫Meta AI建議影片，例如旅遊地圖的影片，然後加到即時動態上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1208-meta%20ai-600-1.png" style="width: 398px;" /></p> <p>在圖片生成功能部份則有2項新增功能。一是推出生成圖片的專屬網站<a href="https://imagine.meta.com/" target="_blank">Imaging with Meta AI</a>。9月份推出時MetaAI是整合在WhatsApp、IG或Facebook Messenger的一部份，用戶必須先開啟App才能和Meta AI互動。Imagine with Meta AI則是將Meta AI生成圖片的功能獨立成網頁版，開啟瀏覽器即可使用。在Imagine with Meta AI上，只要在Meta AI聊天機器人提示列以自然語言描述想要的圖片，即可獲得由Meta AI生成的結果。不過使用者仍必須以Facebook或IG帳號登入，或以註冊臉書的電子郵件登入。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1208-meta%20ai-600-2.png" style="width: 600px;" /></p> <p>其次，原有整合在FB Messenger或IG App的Meta AI圖片生成部份，也加入名為reimagine的新功能。在群聊過程中，用戶以Meta AI生成圖片分享給群組，其他人則可長按圖片，在提示框加入文字以編修圖片，由Meta AI完成最後圖像。</p> <p>Meta預告，未來幾周將為Meta AI生成的圖片加入隱形浮水印。這個浮水印不受圖片剪切、變色/調亮度、螢幕擷圖等手法影響。浮水印配合深度學習模型運作，人眼看不見，但可被模型偵測。長遠而言這項功能將會應用到多項Meta服務中。</p> <p>為了強化AI安全，Meta今年稍早推出MART（Multi-Round Automatic Red-Teaming）框架，以紅隊演練手法測試LLM的安全性，Meta預告，正在將MART整合到其AI產品中，以強化AI的安全。</p> <p>其他方面，Meta也預告正在測試由Meta AI強化多項臉書或IG功能，如建議個人資料頁、或給友人訊息（如生日祝福）內容、IG私訊內容、以AI呈現「社團」中最相關的資訊、建議「Marketplace」中相關產品、以及改善在臉友搜尋、粉絲專頁、社團及Marketplace的搜尋能力。</p> </div></div></div>
2023/12/8 12:43作者林妍溱https://www.ithome.com.tw/news/160229
【如何管理跨雲甚至多雲費用】臺灣企業跨雲費用管理有新平臺工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「3年預算，沒想到2年就用完了！」<a href="https://www.ithome.com.tw/news/159391" target="_blank">國泰金控資訊長吳建興最近一次接受iThome的採訪時</a>透露，原先為了大規模正式上雲，而與雲端業者簽約3年，沒想到到了去年，才推動上雲計畫2年就耗盡了3年的預算，迫使他們一度將系統先下雲，重新調整架構後再上雲。從這次國泰金控的例子凸顯了企業在雲端成本控管面臨的挑戰，比預期的更大。</p> <p>國泰金控上雲費用超支僅僅是眾多企業上雲費用管理的其中一個案例。許多早早上雲的國內企業，在近年來都有遇到類似的情形，迫使他們必須更加重視上雲費用的管控問題。尤其，許多國外企業，這兩年對於上雲費用的爆增更有感。</p> <p>Linux基金會旗下FinOps基金會在2022年中調查了1,056家國外企業上雲遇到的維運財務管理現況，超過36.5%的企業每年需支付數百萬美元給雲端業者，甚至有52％的企業每年的雲端費用超過了1,000萬美元，甚至今年有少數業者一年更燒掉超過10億美元，相比3年前的調查，當時只有25%的企業面臨這樣的支出壓力。如此驚人的數字，也難怪越來越多的企業，要尋找更有效的雲端維運管理作法，以重新調整或優化其雲端支出。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1159-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87-600-1.png" style="text-align: center; width: 600px;" /></p> <p>臺灣企業在雲端花費金額雖不及國外企業，但隨著逐年擴大上雲規模，雲端費用也隨之增長。根據iThome歷年CIO大調查，臺灣企業在2020年上雲平均花費了643萬元，3年後，到了2023年成長38%，達到886萬元。企業今年內部應用上雲比重超過22％，並有兩成多的企業開始採用多雲混合雲，這些都是雲端費用快速攀升的原因。</p> <p>近兩年，由於越來越多企業擴大上雲規模，使得上雲費用的控管成了重要議題。尤其，雲用量越高的企業更是斤斤計較，只要能多省1%，長期累積就能省下一筆龐大費用。</p> <p>在臺灣，像電商、遊戲、影音串流等雲用量相對高的企業，往往是最早採用雲原生技術的行業，一開始就完全使用雲端環境建立自己的平臺。這些雲原生企業在雲端技術層面或服務運用上擁有豐富的經驗，不只使用各種不同雲服務，用量也很大，因此，雲端費用相對較高。如何在維持現有服務水平，降低雲端維運費用，一直都是這些雲原生企業的重要課題。</p> <p>不僅僅是這些雲原生企業需要重視雲端成本管控，近幾年開始積極上雲的金融業、製造業等，也因雲端用量逐年增加，有時甚至超過原本的預算，因此需要開始注重雲端費用的管理。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>管理上雲成本常見兩大做法</strong></span></span></p> <p>目前企業控管上雲費用主要有兩大做法，一方面，在編列IT預算時，會先估算明年上雲成本，根據過去的帳單和未來規畫進行綜合考量，訂出未來一年夠用的雲端用量的預算；另一方面，企業也會透過各種監測和追蹤工具，持續對於雲端用量進行監控和管理，避免因為雲端用量爆增而導致費用超支。</p> <p>但是，不像傳統伺服器，就算24小時運作還是固定成本，系統一但上了公雲，就像按下碼錶開始計算費用，用越多種雲端服務，使用時間越長，費用就越高。</p> <p>就算確定了未來一年雲端預算，企業無法確保其與實際在雲端的花費相符，還有不少不確定性因素，導致雲用量突然增加，使得雲端費用超過企業預期。因此，持續追蹤和有效控管雲端費用就很關鍵。</p> <p>針對雲端費用的管理，各家公雲服務業者目前均提供相應的雲端費用管理工具，讓企業用戶可以透過主控臺介面檢視和管理其在雲端的花費。以GCP為例，透過帳務報表工具，可以快速查看當期費用變化趨勢，和相關細項列表，包含SKU、服務、用量、費用及折扣等資訊，此外，還加入了預算告警工具，當雲端用量超過一定程度時，就會以郵件通知相關人員來處理。或是能根據專案、服務、SKU或位置進行分組，以更細緻的畫分來了解在不同維度的雲端用量情況。</p> <p>多年來，各家公雲在雲端費用管理機制的發展更為成熟，不只對費用數據的監控可以天為單位，同時針對各個資源也能夠做到單一資源的用量追蹤與控管，例如，一臺機器或是一次請求，來提供更細緻的費用管理。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-MileLync-%E5%9C%961%20-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8D%E8%90%AC%E9%87%8C%E9%9B%B2.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>整體來看，臺灣目前主要幾家雲端代理商推出的雲端管理平臺，大多僅支援2到3家雲端供應商的費用匯整，主要集中在三大公雲，並且只能在管理介面中提供對整體和個別公雲費用總覽，尚未能夠針對不同公雲的服務細項提供更詳細的費用資訊。</strong><span style="font-size:14px;">圖片來源／萬里雲</span></span></p> <p><strong style="font-size: 28px; color: rgb(51, 153, 255);">多租戶分帳和資源單位不一致是跨雲費用管理的兩大挑戰</strong></p> <p>可是，一旦開始採用2朵雲或3朵雲時，企業所要面對的費用管理複雜度與單一朵雲的情境截然不同。</p> <p>因為不同雲端供應商所提供的雲端服務各有不同，業者各自的計價方式相當多元，再加上多數雲端服務常按用量計價，會有不同的折扣，甚至是競價折扣的做法，各種複雜的雲端計費方式，使得跨雲費用的管理，比只使用單一朵雲還要更加複雜。</p> <p>更大的挑戰是，跨雲多租戶費用分帳。iKala雲端事業部技術總監林士翔指出，在多租戶的情境下，通常需要能夠追蹤和管理不同團隊在雲端環境中的花費情況，當一朵雲情況下，在同一環境中，不同的部門在使用，只有1對多的多租戶情境，費用管理相對容易，可是，「用三朵雲，公司有N個部門，複雜度就是3乘以N的倍數。」他說。</p> <p>不僅如此，雲端資源使用單位不一致，也是企業在跨雲費用管理上面臨的另一個重要挑戰。林士翔指出，跨雲費用管理最難的地方在於每家雲端供應商對資源定義的方式都不一樣，計費方式可能也有所不同，有些是按分鐘、有些按秒計費，由於使用單位的不一致，進一步增加了管理整合的難度。</p> <p>例如GCP中有SKU（不同服務定價的基本單元）的概念，但是AWS並未使用此概念，各家底層取資料的邏輯也有不同，甚至資料更新頻率和服務項目的定義也存有差異。例如Google帳單中可以用標籤鍵（Label Key ）、標籤值（Label Value）查看各臺主機成本，但AWS是用標籤（Tag）項目來表示，這些微小但重要的差異，都使得跨雲費用資訊整合，變得更具挑戰。</p> <p>隨著企業上雲比重不斷提升，所用的雲端環境變得越來越複雜，不只是採用本地端機房和一朵公雲的混合雲架構，更多企業開始走向多雲策略，也就更容易採用跨雲或多雲的方式，來部署他們的應用和服務。</p> <p>企業為何想要採用多雲？一來避免將所有系統都放在一朵公雲，避免被特定雲端供應商綁定；二來，考慮到每個公雲各有不同的特色和優勢，如GCP的強項是資料檢索及分析，企業可以根據各個雲提供商的強項，選擇採用不同雲端服務，形成一個多雲的策略。</p> <p>又以企業服務場景來看，比如ERP系統或數據分析系統，也有可能部署到不同雲端平臺上。尤其在雲原生環境中，微服務應用越來越多、業務場景越來越複雜，使得一個服務可能涉及到多套系統，並被分散到不同的雲端上，例如金融業借貸服務就可能是如此。伊雲谷數位科技台灣區技術總監陳昱中表示：「企業若要了解每個場景的業務會產生多少費用，就需要跨雲進行資料的蒐集，否則可能會得到不完整的資訊。」</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>三大公雲現階段並不具有跨雲費用管理功能</strong></span></span></p> <p>但不論是GCP、AWS還是Azure，目前僅提供企業用戶在自家公雲上花費的相關資訊，僅用於記錄和管理用戶使用雲端服務的費用，並不具備跨雲或多雲費用的管理功能。</p> <p>如果要查看這朵雲外的其他公雲費用，企業必須從其他公有雲平臺進行查詢。換句話說，若同時使用三家雲端服務，企業必須依序登入每家公雲的帳戶，才能獲得在雲端上的所有費用。隨著使用的公雲數量越多，登入帳號的數目也越多，角色權限管理也更複雜，加上每家公雲的管理介面各有不同，資訊呈現方式也有差異，企業因此很難在同一個管理介面中來呈現不同公雲的費用資訊，使得整體管理缺乏一致性。</p> <p>對於原本雲端費用很高的企業，可以選擇自行建置多雲費用管理平臺，將不同雲端供應商的原始數據匯入到該平臺中，來提供更細緻化的費用檢視和管理，但對雲端費用還沒那麼高，卻開始採用跨雲或多雲策略的企業來說，自行建置一套管理平臺，可能不太符合成本效益。</p> <p>因此，針對跨雲費用的管理，目前在國外有不少廠商，如Flexera、Morpheus Data等，在自家的雲端管理平臺中開始增加了不同家公雲費用管理支援能力。在臺灣，一些本土雲端服務代理商也紛紛加入。主要代表廠商，有像是iKala、伊雲谷、以及萬里雲等。</p> <p>雖然萬里雲和伊雲谷幾年前就已推出各自的雲端管理平臺，直到近1~2年才開始支援多雲費用的管理。而iKala在今年推出雲端管理平臺時，也一併提供了這項能力。</p> <p>整體來看，目前這三家提供的雲端管理平臺，大多僅支援2到3家雲端供應商的費用匯整，主要集中在三大公雲，並且只能在同一個管理介面中提供對整體和個別公雲費用總覽，尚未能夠針對不同公雲的服務細項提供更詳細的費用資訊。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>本土跨雲SI： iKala</strong></span></span></p> <p>iKala是Google在臺灣第一家本土的雲端代理商。iKala在2015年開始負責GCP在臺服務的經銷。6年來主力提供GCP雲服務的iKala，受到多雲趨勢影響，在2021年開始也正式支援AWS。</p> <p>近幾年， iKala聚焦發展多雲服務，並在今年初正式推出了自己的雲端管理平臺AIOps。在多雲費用管理方面，該平臺已能夠匯入GCP和AWS的用量資料，呈現各自的費用情況，但一次只能查看單雲的費用，尚未實現在同一報表中合併呈現GCP和AWS的整體費用成本。目前採用一天更新4次的頻率，與公雲的費用數據進行同步。</p> <p>另外，在管理介面中，還提供了包括費用總覽、報告、比較等功能，也包含了效能、資安、使用者自定義（帳務分群）、告警（費用預警、效能預警及資安預警）和CloudGPT等功能，協助用戶對雲端費用進行管理、監控。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>本土跨雲SI：伊雲谷</strong></span></span></p> <p>伊雲谷是在三家業者中最早代理AWS公雲的本土代理商。早在2014年就開始負責AWS臺灣的經銷業務，往後幾年，伊雲谷更擴大到更多跨國公雲在臺灣雲端服務，包括Azure、 GCP、OCI等。</p> <p>除了代理三大公雲服務，伊雲谷還包辦了如SAP雲端ERP、Salesforce雲端CRM在臺的雲端應用服務。此外，也有推出自己的雲端託管服務、雲端搬遷服務以及邊緣運算服務。</p> <p>伊雲谷在2017年推出了自己的雲端管理平臺Atlas，截至目前，Atlas平臺可以支援AWS、Azure、 GCP上的帳單數據，使用者可以在平臺中查看各別雲端費用。在雲端費用的同步更新上，目前是每天更新一次。</p> <p>Atlas平臺中還包含了帳務管理、自動化帳務告警、成本優化報告及技術支援、帳單分帳等功能。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>本土跨雲SI：萬里雲</strong></span></span></p> <p>稍晚加入的萬里雲，在2017年成立後成為了GCP在臺的主要雲端代理商之一，隨後發展成集團，擴大支援更多跨國公雲平臺在本地的雲端服務，包括AWS、Azure 、阿里雲。</p> <p>萬里雲在3年前推出了雲端維運管理平臺MileLync，最初僅提供對GCP雲端費用的管理服務，不過今年9月，該平臺擴大支援AWS費用的管理，進一步開始提供了跨雲成本管理服務。</p> <p>就跨雲費用資訊整合而言，透過MileLync平臺，企業已經能夠在同一總覽儀表板中查看在GCP和AWS花費的整體和各自費用，並每天更新3次費用數據。MileLync平臺中提供了各種雲端成本瀏覽及管控工具，包括了成本儀表板、費用管理（含歷始帳單、成本分析、預算管理）、 IAM權限與角色管理，以及支援中心等。</p> <p>萬里雲解決方案架構師梁文典表示，透過雲端管理平臺，可以有效解決企業跨雲費用無法整合的難題，使企業可以透過同一個管理介面查看不同公有雲上的費用，而無需反覆登入不同公雲的帳戶。同時，在費用管理方面，也能夠實現一致性管理，包括介面與操作體驗的一致、統一權限管理和費用檢視分析方式，使得企業可以用一致標準來評估和比較不同公雲的支出情況。</p> <p>在單一雲端的費用管理方面，加入更多的視覺化圖表和互動元素，方便IT、財會等不同部門的人來運用。此外，還具備了更高度客製彈性，允許使用者自定義，呈現不同維度的費用報告資訊，來符合多租戶的管理情境。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>國外FinOps新思維崛起，臺灣發展仍在起步階段</strong></span></span></p> <p>除了根據公雲上的費用變化調整或優化雲端用量，以降低雲端花費外，企業還能透過各種方法達到節費的效果，例如使用Right-sizing工具合理調整VM大小，也能透過承諾一定的用量來獲得相對應的折扣，以降低費用。</p> <p>甚至為了應付企業雲用量爆增，以及越來越複雜的雲端環境，國外企業近年來開始重視雲端財務管理的FinOps（Cloud Financial Operations）做法與新思維，也在國外開始掀起了一股雲端省錢新風潮。</p> <p>針對臺灣在FinOps發展上，梁文典認為，跟其他歐美國家相比，臺灣FinOps發展目前還在起步階段，尚未形成一股風潮的態勢，多數企業仍在了解產品的定價模式，還有如何透過工具對每個費用項目的監控，至於已經將FinOps整合的內部流程的企業，仍較少見。</p> <p>一段時間的發展，目前在國外，越來越多企業在推動FinOps發展過程中，不再僅僅將其視為是IT的工作，而是需要與財務、法務以及業務部門共同合作，形成一個跨部門的團隊，才能真正FinOps實踐。</p> <p>從應用工具來看，三大公雲服務商也有推出自家FinOps工具，協助企業管理雲端成本，例如AWS的Cost Explorer、Azure的Cost Management，以及Google Cloud的GCP Cost Tools等。</p> <p>梁文典指出，擁有最原始用戶上雲數據是公雲FinOps工具優勢，提供更細緻分析，只不過目前公雲較難跨雲，所以即使可以增加應用深度，但廣度卻不夠。他說，這是在公雲FinOps工具使用上的瓶頸。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Linux基金會力推跨雲費用統一管理新標準</strong></span></span></p> <p><strong>因應FinOps的發展，Linux基金會最近也釋出跨雲費用統一管理的FOCUS 1.0新標準，希望透過這個新標準，讓企業不僅更容易追蹤和管控跨雲成本，還能用於未來支出的預測，甚至更要用來建立統一且一致的標準，徹底解決因為資料集格式的差異，導致不同公雲服務計費數據難以互通的問題。不過，目前該標準還是預覽版，正式版的推出還需再等等。</strong></p> <p><strong>FinOps基金會是Linux基金會成立的子機構，推廣FinOps的發展。其成員逾1,500家企業，亞馬遜AWS、微軟Azure、GCP三大公雲都是其主要成員。在FinOps基金會贊助下，Linux基金會在今年5月公布了FinOps開放成本和使用規範（ FinOps Open Cost and Usage Specification,FOCUS），並在11月下旬釋出1.0版。</strong></p> <p><strong>在這分長達70頁的FOCUS標準規範中，定義了如何建構雲端計費資訊的通用規則，例如在帳單數據的schema中，明確定義了各種維度和指標，如Billed Cost、ResourceID和ServiceName等。同時，在數據屬性規範中則詳細定義了日期時間格式、費用數據格式等，統一不同公雲計費資料格式之間的差異，使其標準化。</strong></p> <p><strong>此外，在FOCUS標準中還建立了統一的資料術語（如承諾使用折扣等），以確保這些專業用語能夠與FinOps框架對齊。</strong></p> <p><strong>除了技術改進之外，1.0版還包含了各種FinOps應用範本，並提供了40多分教學指南，示範如何將該標準應用於常見的雲端財務場景。</strong></p> <p><strong>FinOps基金會表示，透過FOCUS新標準，企業不僅更容易取得不同公雲平臺的計費數據，還能夠支援整合來自軟體即服務應用程式的計費數據，並透過其提供的開源元件，在資料匯入財務平臺之前檢查其準確性。</strong></p> </div></div></div>
2023/12/8 11:00作者余至浩https://www.ithome.com.tw/news/160222
從6張圖表看上雲成本管理：以雲端費用控管工具舉例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size: 28px; color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> 作法1 </span> </strong></span><span style="font-size: 28px; color: rgb(51, 153, 255);"><strong>在單一畫面檢視多雲的總成本</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1159-%E4%BD%9C%E6%B3%951%EF%BC%8D%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8D%E8%90%AC%E9%87%8C%E9%9B%B2.png" style="width: 600px;" /></p> <p><span style="font-size:22px;"><strong>在MileLync總表中，可以提供整合式的帳單儀表板，好處是可以將多雲的總成本列在同一個儀表板，來提供整體的費用檢視，除了可以查看最新一期帳單、平均月成本、較月均花費、月增減率等趨勢數據，也能呈現每月費用趨勢，以及目前的花費與預期月底的花費。不過，目前還沒辦法針對個別雲端服務細項提供更詳細的費用資訊。</strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／萬里雲</span></span></p> <p> </p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> 作法2 </span> </strong><strong><span style="color:#3399ff;"><span style="font-size:28px;">建立自定義群組迅速篩選指定的費用報表</span></span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1159-%E4%BD%9C%E6%B3%952%EF%BC%8D%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8DiKala.png" style="width: 597px;" /></p> <p><span style="font-size:22px;"><strong>除了預設的費用報表，還可以自行建立不同群組，快速篩選出符合其需求的費用報表。群組建立方式也相當彈性，而且能夠在單一畫面中隨時調整時間區隔和群組的設定，根據指定的子帳戶、組織、部門、專案、服務、SKU等條件，調整報表的呈現內容，提供給不同使用者單位檢視。</strong></span><span style="color:#696969;"><span style="font-size:14px;">圖片來源／iKala</span></span></p> <p> </p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> 作法3 </span> </strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>靠一站式儀表板全面檢視多維度的雲支出</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1159-%E4%BD%9C%E6%B3%953-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8D%E4%BC%8A%E9%9B%B2%E8%B0%B7.png" style="width: 600px;" /></p> <p><span style="font-size:22px;"><strong>Atlas平臺提供一種方便的一站式儀表板工具，可以用4種圖全面呈現費用支出的多維度資訊，不只能夠追蹤雲端帳號每月雲端花費成本的變化趨勢，還能以天為單位進行詳細檢視。此外，還可從圓餅圖中迅速掌握常用服務成本分布，同時盤點雲端資源的使用狀況，包括運算、資安、網路、儲存及IAM使用者人數等。</strong></span><span style="color:#696969;"><span style="font-size:14px;">圖片來源／伊雲谷</span></span></p> <p> </p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> 作法4 </span> </strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>用熱點圖追蹤各專案預算超支程度</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1159-%E4%BD%9C%E6%B3%954-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-iKala%20(1).png" style="width: 600px;" /></p> <p><span style="font-size:22px;"><strong>在AIOps中，有一種雲端費用熱點圖工具，可以用熱點來追蹤各專案費用的變化，來判斷是否有預算超支的情況。這種熱圖能夠呈現不同專案的時序變化，按照每周花費的變化，以不同顏色深淺來區分增減的狀態，例如，紅色代表當周費用增加，綠色表示費用減少。深紅色則代表花費更多，有可能出現費用超支的情形。有助於快速辨別費用變動的趨勢，讓企業更有效的管理雲端費用。</strong></span><span style="color:#696969;"><span style="font-size:14px;">圖片來源／iKala</span></span></p> <p> </p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> 作法5 </span> </strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>用條件設定追蹤當前的預算超支情形</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1159-%E4%BD%9C%E6%B3%955-MileLync%EF%BC%8D%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8D%E8%90%AC%E9%87%8C%E9%9B%B2.png" style="width: 600px;" /></p> <p><span style="font-size:22px;"><strong>追蹤預算超支還有另一種方式，是可以用設定條件來追蹤。這種做法和熱點圖不同，而是根據你設定的專案、服務、標籤鍵值等指標，追蹤當前的花費與預算的情況，還可以不同顏色來區分，例如當花費超過預算的75%時就會出現紅色的警示，反之則顯示綠色，讓使用者能根據預算警示變化的情況早一步採取行動。</strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／萬里雲</span></span></p> <p> </p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> 作法6 </span> </strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>用互動式儀表板主動檢測雲端異常花費</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1159-%E4%BD%9C%E6%B3%956-MileLync%EF%BC%8D%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8D%E8%90%AC%E9%87%8C%E9%9B%B2.png" style="width: 600px;" /></p> <p><span style="font-size:22px;"><strong>除了一站式儀表板，還有另一種互動式儀表板呈現方式，能及時反應雲端費用在不同狀態下的支出資訊，不只能夠追蹤每日費用的變化趨勢，同時還可以主動檢測異常情況，並用紅色警示符號來代表偵測到異常花費，讓使用者可以進一步查看詳細費用比較資訊。此外，還可以快速掌握按服務類別畫分的費用分布和實際花費的排名，以及盤點各項服務費用的組成與總費用。</strong></span><span style="font-size:14px;">圖片來源／萬里雲</span></p> </div></div></div>
2023/12/8 11:02作者余至浩https://www.ithome.com.tw/news/160223
重度上雲如何省錢？迪士尼集團FinOps實戰經驗大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>迪士尼集團是全球最大的娛樂媒體集團，也是高度雲端化的企業。早在十年前就積極展開數位轉型，發展各種數位應用和產品，全集團一年相關軟體支出超過11億美元（約臺幣330億元）。隨著數位服務和產品占比越高，暴漲的雲端費用，成了迪士尼營運團隊近2年來越來越頭痛的挑戰。</p> <p>光是2017年推出的影音串流服務Disney+，統計到2022年底，在AWS上的資料量超過20PB，開了上百個AWS帳號，使用超過50項雲端服務，來支援超過1.6億訂戶的影音串流所需。迪士尼開發者生產力團隊所打造的雲端容器部署平臺，光在2017到2020年間，就為了串流平臺部署了超過7百隻AP。2020年底時，每個月部署次數近2萬次，平均一天6百多次，天天要啟動4萬個ECS容器服務任務。</p> <p>不只影音串流服務上雲，迪士尼集團旗下還包括了全球各地的主題樂園和酒店、生產相關周邊商品和活動的體驗與消費品事業，提供影視內容的媒體和娛樂發行部門，像是ESPN運動頻道、abc電視臺、國家地理頻道、漫威電影工作室、迪士尼動畫工作室、遊戲等。各事業部門也大力倚重雲端。而且不只用一朵雲，例如迪士尼就和微軟簽了5年合約，要用Azure來創作和派送各種多媒體和影音內容。</p> <p>除了事業群，迪士尼集團旗下設有不同企業部門來支援不同事業群的營運，例如雲端數據轉型工程團隊，就是負責支援各事業群順利取得和運用各種雲端資源和工具，從簽約、付費到優化對外提供的服務，也會與不同事業群各部門的工程師跨部門合作。</p> <p>迪士尼集團雲端數據轉型工程團隊資深產品工程師Alee Whitman，日前就分享了過去一年，迪士尼推動FinOps的經驗。</p> <p>FinOps（Cloud Financial Operations的簡稱）是這幾年興起的雲端費用管理優化新浪潮，隨著上雲企業越來越多，用量越來越大，國外甚至有企業一年上雲費用高達10億美元之多，如何節省上雲開銷成了雲端維運的新顯學。</p> <p>Alee Whitman原本是AWS旗下打造雲端維運費用儀表板CUDOS的團隊成員之一，一年前進入了Disney集團擔任FinOps工程師。</p> <p>Alee指出，想要知道能不能省錢，第一步要掌握數據，「數據就是力量，但也往往代表了複雜度。」</p> <p>迪士尼是一家跨雲組織，雲端費用和各種使用行為資訊，分散在不同的公雲平臺上。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>迪士尼雲端帳務資料處理流程</strong></span></span></p> <p>迪士尼有一套雲端帳務資料的處理流程，在收集階段，包括兩類資料搜集流程，第一類是外部雲端費用和使用數據，會將不同雲端供應商上不同帳單帳戶的費用資料，以及產生這些費用背後的使用紀錄，集中到物件儲存資料庫中。</p> <p>第二類資料則是內部資料，將迪士尼集團內部大量與上雲帳務有關的資訊整合。內部資料還可再細分為兩個子類，第一子類是雲端帳戶經理需要的資料，包括了內部雲端資源的調度紀錄、相關治理資訊、管理紀錄、各種雲端相關的分類定義等。Alee強調，這一類資料需要進行迪士尼化（Disney-ified）。</p> <p>「所謂的迪士尼化，是將這些雲端供應商的費用和使用數據，轉換成迪士尼的費用和使用數據，讓數據具有迪士尼特質，但不對數據進行任何修改。」她解釋。</p> <p>以娛樂事業團隊來舉例，得讓這個團隊可以看到他們自己完整、詳細的雲端供應商的費用和使用數據，讓團隊成員按照自己的業務需求，重新劃分和組合這些資料，這就是將資料迪士尼化，讓自己的團隊重新定義資料，Alee和雲端數據轉型工程團隊也會和業務團隊成員一起進行這個重新定義的過程。</p> <p>第二種內部資料子類，則是用於迪士尼產品定價或帳務計算時用的數據。這一類數據需要即時提供給其他系統，而且會因為定價策略或分帳規則的改變，需要事後調整分類或帳務認列方式，重新產生新的帳單報表。這一類資料則會寫入到物件資料庫中方便再利用。</p> <p>將雲端帳務相關的外部與內部資料集中後，接著會進行正規化轉換，迪士尼會將這些雲端帳務資料，按照資料品質分為三級，搜集整合後的原始資料屬於銅級資料，這包括了歷史資料的紀錄。第二集則是銀級資料，這些是在數據層級進行篩選處理後的乾淨資料，甚至需要補強（例如修正錯誤或補齊資訊）的資料。最後一級金級資料，這些是依據業務目的或需求重新彙整或分類後的資料，具有更明確的業務價值或意義的資料。將不同來源和類型的雲端相關費用資料集中和分級處理之後，就可以建立一個統整的迪士尼雲端資料來源。</p> <p>「建立雲端資料單一來源，才能實際了解真正的成本，也才能思考如何找出省錢節費的機會。」Alee表示。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>經費節省的三種定義</strong></span></span></p> <p>Alee剛開始推動FinOps時發現，工程團隊與財務部門，雙方對於「節省」的理解有很大的不同，這也讓他們重新思考這個詞的定義。</p> <p>Alee更進一步細分出三種「節省」概念，第一種是真的「省錢」，這是指實際支出和預算的差額，也就是手上預算沒用完後，而剩下來的金額，如果沒有預算，也無法省錢。</p> <p>第二種是「減少開銷」的節省。這是指因為採取了優化作為，可以降低費用或降低運轉率（run rate）。不是所有的開銷減少都能省錢，工程團隊口中的「節省」，多半就是指這種採取了種種改善、優化作為之後，讓費用比原本更低的情況。可是，對財務團隊來說，這個開銷減少後的費用，可能跟預算相當，而沒有真正省到錢。</p> <p>第三種則是成本避免（Cost Avoidance），這是指因為採取行動而避免了產生這些成本，如果不行動就需要負擔。這是一種未來式的成本。「如果一開始就做對了，就不需要負擔這一類可避免的成本。」Alee解釋。</p> <p>舉例來說，有團隊在部署時，配置了過多的雲端資源，很快就發現且修正了配置，可能只增加了幾天費用，但是不是一個月或1年的費用，不會看到成本的降低，但的確避免了不必要的成本開銷。</p> <p>這是三種迪士尼實踐FinOps時思考節省的思維，而迪士尼高層希望先聚焦在第一種的「省錢」，因此，先從雲端預算的訂定著手。</p> <p>省錢效果來自預算的落差，預算浮報的省錢，不是真的節省，迪士尼編列雲端預算時，會深入分析過往的使用趨勢，從計費數據中了解每一個雲端帳戶實際情況，也要掌握這些數據所代表的營運意義。</p> <p>掌握過往趨勢後，Alee指出，確定業務優先目標是預算編列的關鍵，還得確定工程團隊知道這些優先目標，也清楚這些目標在業務面實際的意義。</p> <p>訂定預算還得找來正確的人員，例如除了工程團隊主管，還得找來SRE主管，了解一項新服務的實際成本，尤其大規模部署後的成本。</p> <p>迪士尼會從四個角度來思考雲端預算的編列，包括了增加必要性、減少必要性、季節性影響、運轉率（run rate）。</p> <p>增加必要性例如新建置的成本，執行的成本，業務目標變動後帶來的預算追加需求，用戶規模成長的影響等。而減少必要性則像是，AP淘汰、雲端帳戶關閉、計畫精簡等。另外，季節性因素也會大大影響迪士尼的業務，不能忽略每個時期各種節慶活動的影響，尤其要觀察是否出現新的季節性因素。</p> <p>最後一項，Alee指出，迪士尼最重要的預算編列考量面向是運轉率的思考。運轉率是一種財務管理術語，是指用一年尺度來計算費用的作法。若一個月平均用量10萬元，一年運轉率就是120萬元，若平均用量20萬元，一年運轉率就提高到240萬元，以此類推。迪士尼會每個月檢視當前花費，所代表的整年度運轉率的變化。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>高層每月檢視省錢追蹤總表</strong></span></span></p> <p>在迪士尼，由各事業單位先編列出各自未來一年的雲端預算之後，彙整到財務部門，再由高層統一訂出省錢目標（不是先訂省錢目標再編預算），統一訂出要「減少多少百分比花費」作為年度省錢目標，將各部門預算按這個比例來計算該部門得想辦法達成的減少額度，例如不分部門今年要節省5%預算，相當於百萬元預算就要減少5萬元開銷。</p> <p>為了確保營運過程可以落實這些節省，迪士尼財務部門會製作一張雲端預算執行追蹤總表，彙整了全集團各事業部門的雲端費用執行情況，提供給高層每月檢視之用。</p> <p>這張表主要提供四類數據，一開始的年度雲端預算，表定省錢額度（今年目標要減少多少開銷），目前執行狀態（預估可節省的金額），和最終實際節省的金額。</p> <p>其中目前執行狀態會提供兩個數據，一個是目前運轉率（以當前平均花費來預測的整年支出金額），另一個是這個運轉率與預算的落差，也就是按照目前運轉率最後能節省的預估金額（沒有到年底，不「節省金額」，而是用「預估節省金額」來衡量）。</p> <p>這張總表會按照每一個部門，都列出這四類數據，迪士尼高層每個月都會認真檢視和檢討，每一個部門當前雲端預算的執行情況。</p> <p>除了第一類的「省錢」，迪士尼也很重視第二類因為優化而「減少開銷」的成果，另外還有一張追蹤優化專案的成效表，來掌握每項優化專案帶來對運轉率的影響，了解每個團隊的優化進展，目前在迪士尼有高達數百項優化專案正在進行。更關鍵的是，這些優化成效的紀錄，是由負責優化專案的每一個工程團隊負責記錄，最後再從優化專案列表中，找出戰略性專案的運轉率數據，提供給高層，而不是將所有數據都列出。</p> <p>從過去一年FinOps經驗中，Alee認為，省錢不需要做到每一件事，而要聚焦。更要找出企業自己對「省錢」的定義和期望，最後是保持開放態度，正面看待犯錯的可能性。</p> </div></div></div>
2023/12/8 11:27作者王宏仁https://www.ithome.com.tw/news/160224
雲端費用爆增怎麼管
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1159-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=OPqQ_NNd" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近兩年，雲端用量爆增，許多企業對上雲費用超支很有感，隨著企業大舉上雲，要管理的雲端費用，不再僅限於單朵雲，而是可能有２朵、３朵雲，使得跨雲成本管理變得更複雜，企業必須更加重視雲端費用的控管，也促使FinOps雲端財務管理成為新顯學。</p> </div></div></div>
2023/12/8 11:29未署名https://www.ithome.com.tw/article/160225
GAI帶來企業跨雲維運新課題
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI（或簡稱GAI）的競賽到了年底，依舊是熱鬧滾滾。12月初，AWS在年度大會上，終於揭曉了自己的生成式AI戰略和產品布局，包括了生成式AI架構，從基礎設施、工具到應用程式等三個層級的產品策略，還首度發表了<a href="https://www.ithome.com.tw/news/160064" target="_blank">商務型AI聊天機器人Amazon Q</a>。</p> <p>雖然AWS自己也有發展自己的LLM模型Titan，但是，不同於微軟和Google以主力LLM模型為主打的策略，AWS更偏向打造企業需要的GAI工具鏈。AWS打造GAI工具鏈有一個特色是，格外講究企業導入GAI過程的使用體驗。</p> <p>舉例來說，AWS 也和其他雲端業者一樣，都提供了LLM模型生成內容的把關機制，來避免生成企業不希望出現的內容。其他業者的把關機制是由企業自行訂定過濾規則或判斷條件來控管，而AWS的作法則是讓企業IT人員，直接用一段話（自然語言）來描述想要控管或避免呈現的內容，再由LLM模型產生用來把關的條件，雖然有可能無法第一時間精準的產生所有想要過濾的規則，但是卻可以涵蓋到定義模糊或難以定義的過濾範圍，另外，對管理人員來說，這也是一個更容易操作，建立過濾規則的介面。</p> <p>不只AWS揭露全套GAI產品策略，Google也在12月6日，發表了最新也是他們有史以來最強的<a href="https://www.ithome.com.tw/news/160193" target="_blank">多模態GAI模型Gemini</a>，提供三個版本，參數最多的Ultra版，通用性最廣的Pro版，以及一款參數量較少但可以在手機裝置上運作的Nano版模型。不過，目前會先上線後兩款模型，Ultra版則還在測試，得等到明年才會推出。</p> <p>Gemini除了在32項AI標準測試中，有30項評分打敗了GPT-4V之外，我覺得最大亮點是推出了可以在手機上執行，而且是不用連結網路，也能運作的Nano版。目前只支援Pixel系列手機。錄音App可以在不連網情況下，使用手機上的TPU晶片來執行Nano版Gemini模型，從會議錄音檔中摘要整理出文字紀錄，也將會支援Gboard的智慧回覆，在通訊軟體中用口說來輸入回覆文字。</p> <p>既然Nano版都可以離線執行，我在記者會上提問，Gemini版有沒有可能釋出可以部署在企業內部的落地版本，Google沒有鬆口，只說目前只能透過API存取雲端LLM模型。</p> <p>不只Google，就連微軟Azure也沒有自家LLM模型的落地部署版本，而AWS自家最新推出的Amazon Q商務對話機器人，也是只有雲端版本。</p> <p>因為LLM模型具有獨占性，一但企業使用了某一套模型，想要轉換底層基礎LLM模型，得重新訓練或微調模型，代價很高，因此，企業一開始選定了哪一個模型，後續多半會繼續使用。雲端業者看上的就是，企業選擇了某一款業者LLM模型，就得連帶使用這個模型相關的雲端服務。</p> <p>我有次採訪中信金控科技長賈景光時，他強調：「生成式AI是上雲的殺手級應用，讓上雲成了非走不可的一條路。」</p> <p>為了善用不同LLM的能力，雲端業者不斷強調要提供更多模型來支援不同的任務需求，企業勢必得使用越來越多種雲端LLM和相關的雲端服務，甚至是來自不同雲端供應商的服務。</p> <p>上雲越深，越久，按用量計價的雲端費用就越暴增，當企業使用了愈多不同供應商、不同雲端服務業者的LLM服務，就越會面臨各種不同雲端計價方式、費用管理的複雜管理課題。</p> <p>也因如此，國外近年興起了一股雲端費用管理優化新浪潮FinOps（Cloud Financial Operations的簡稱）。隨著上雲企業越來越多，用量越來越大，國外甚至有企業一年上雲費用高達10億美元之多，如何節省上雲開銷成了企業上雲的新顯學。</p> <p>生成式AI浪潮迫使企業得更積極上雲，但也讓企業面臨了更複雜的上雲費用管理挑戰，這將是臺灣企業CIO接下來的新課題。</p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/160064" target="_blank">Amazon公布企業用AI聊天機器人Amazon Q</a></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/160193" target="_blank">GPT-4V最強對手來了，Google多模態Gemini模型登場</a></strong></span></p> <p><a href="https://www.ithome.com.tw/article/160225" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1159-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=OPqQ_NNd" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/gai">GAI</a></div><div class="field-item even"><a href="/tags/amazon-q">Amazon Q</a></div><div class="field-item odd"><a href="/tags/gemini">Gemini</a></div><div class="field-item even"><a href="/tags/google">google</a></div><div class="field-item odd"><a href="/tags/finops">FinOps</a></div><div class="field-item even"><a href="/tags/%E9%9B%B2%E7%AB%AF%E8%B2%BB%E7%94%A8">雲端費用</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E7%AB%AF%E6%94%AF%E5%87%BA">雲端支出</a></div></div></div>
2023/12/8 11:37作者王宏仁https://www.ithome.com.tw/voice/160226
五眼聯盟指控俄羅斯駭客Star Blizzard於全球展開網釣攻擊，兩名嫌犯遭美國起訴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ncsc.gov.uk/news/star-blizzard-continues-spear-phishing-campaigns" target="_blank">五眼聯盟及微軟本周大動作地指控</a>俄羅斯駭客Star Blizzard於全球展開網釣攻擊，<a href="https://www.justice.gov/opa/pr/two-russian-nationals-working-russias-federal-security-service-charged-global-computer" target="_blank">美國更制裁與起訴</a>了兩名參與攻擊的俄羅斯駭客Ruslan Aleksandrovich Peretyatko與Andrey Stanislavovich Korinets。</p> <p>英國國家網路安全中心（National Cyber Security Centre，NCSC）指出，Star Blizzard自2019年來便相準學術界、國防、政府組織、非政府組織、智庫及政治家展開攻擊，最大的受害者為美國與英國，亦有其它受害者散布在北約國家與俄羅斯鄰國。到了2022年，Star Blizzard的攻擊活動進一步擴大到國防工業及美國能源部的設施。</p> <p>Star Blizzard主要採用魚叉式網釣攻擊，先研究目標對象的興趣及網路活動，再透過社交媒體或專業網路平臺來與受害目標進行交流，他們建立虛假的社交媒體資料，冒充各類專家，再以會議或活動邀約為誘餌，於Outlook、Gmail、Yahoo或Proton郵件平臺，建立假冒為對方感興趣的電子郵件帳號。</p> <p>為了以假亂真，Star Blizzard還會建立以各式合法組織為名的惡意網域。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/12/07/star-blizzard-increases-sophistication-and-evasion-in-ongoing-attacks/" target="_blank">微軟則揭露了</a>Star Blizzard所使用的技術細節。指出Star Blizzard自2022年以來便專注於竊取電子郵件憑證，只要是與政府或外交、專門研究俄羅斯國防政策及國際關係，以及與援助烏克蘭有關的個人，都可能是Star Blizzard鎖定的攻擊對象。</p> <p>在企圖取得受害者信任後，駭客即會寄出含有PDF檔的電子郵件，但這卻是一封引導受害者輸入郵件憑證的郵件。</p> <p>根據美國、英國、加拿大、澳洲及紐西蘭等五眼聯盟的調查，它們幾乎可以確定Star Blizzard隸屬於俄羅斯聯邦安全局（FSB），透過魚叉式網釣攻擊長期監控特定對象，<a href="https://www.gov.uk/government/news/uk-exposes-attempted-russian-cyber-interference-in-politics-and-democratic-processes" target="_blank">英國則說</a>Star Blizzard也企圖干預該國選舉，並已制裁參與攻擊行動的個人，甚至因此召見俄羅斯大使。</p> <p>周四美國則起訴了兩名Star Blizzard駭客Peretyatko與Korinets，指控他們代表俄羅斯政府入侵美國、英國及其它北大西洋公約組織的成員國，以及烏克蘭的電腦網路，宣稱Star Blizzard至少自2016年10月至2022年10月間，針對美國情報界、國防部、國務院、國防承包商及能源部的現任與前任雇員展開攻擊。</p> <p><a href="https://home.treasury.gov/news/press-releases/jy1962" target="_blank">根據美國財政部所公布的資訊</a>，Peretyatko為FSB的官員，Korinets則是俄羅斯的IT工作人員。美國亦宣布制裁Peretyatko與Korinets，並祭出1000萬美元的獎勵來懸賞這兩名駭客的行蹤。</p> </div></div></div>
2023/12/8 12:07作者陳曉莉https://www.ithome.com.tw/news/160227
JetBrains新AI程式開發助理深度整合自家IDE，可生成更具相關性的建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>旗下擁有IntelliJ IDEA、PyCharm等多款IDE產品的JetBrains，<a href="https://blog.jetbrains.com/blog/2023/12/06/introducing-jetbrains-ai-and-the-in-ide-ai-assistant/">推出了程式開發專用的人工智慧助理</a>，以提高開發者軟體開發的效率和品質。JetBrains 人工智慧助理能夠解釋程式碼，並回答程式碼相關問題，也能生成文件或是進行程式語言轉換等工作。</p> <p>JetBrains推出人工智慧助理的目的，是要解決開發人員日常工作遇到的各種問題，包括在編寫程式碼時需要查閱文件和搜尋檔案等工作，而人工智慧助理可以透過理解開發人員的上下文，協助程式開發提升效率。JetBrains透過將人工智慧助理融入使用者工作流程，善用IDE對開發者程式碼的理解，掌握整體開發上下文和專案結構，對人工智慧助理底層語言模型提供詳細資訊。</p> <p>人工智慧助理可以強化JetBrains開發環境的功能，開發者現在能以開放式聊天介面和人工智慧助理對話，查詢特定函式功能，或是編寫和除錯程式碼。當開發者提問的時候，人工智慧助理會考量專案深層上下文資訊，不僅是把當前的文件當作提示的一部分，包括語言、相依項目、最近使用的文件和專案不同部分之間的關係，都會納入生成結果的考量，使開發者獲得具針對性和高度相關的答案。</p> <p>JetBrains人工智慧助理不只可以根據專案上下文、插入符號位置以及提示詞產生程式碼。同時也可以編寫文件，代勞這件普遍不受開發者歡迎的工作。開發者在AI Actions的選單選擇編寫文件選項，人工智慧助理便會根據所選函式和類別，產生豐富經格式化的文件。</p> <p>編寫提交訊息同樣是一件繁瑣的工作，人工智慧助理也能夠總結程式碼差異和相關的內容，自動產生提交訊息範本，以自然語言解釋更改的內容，開發者可以調整模板，更精確地描述提交資訊。</p> <p>此外，人工智慧助理也可以在重構任務幫上忙，雖然JetBrains IDE本身也具有重構功能，但人工智慧助理能夠進一步地提供潛在程式碼的重構建議，並且解釋原因，官方提到，人工智慧助理所提供的重構建議會涵蓋上下文，考量當前專案的限制。當用戶決定採納人工智慧助理的建議，可以簡單地將更新插入到當前檔案中，並查看更改的內容。</p> <p>人工智慧助理主要採用JetBrains和OpenAI的模型輸出結果，目前該人工智慧助理為訂閱服務，可以在IntelliJ IDEA、PyCharm、PhpStorm、ReSharper、Fleet等JetBrains IDE中使用。</p> </div></div></div>
2023/12/8 08:23作者李建興https://www.ithome.com.tw/news/160212
網頁應用框架Django 5.0添加多項新功能強化資料庫操作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源Python網頁應用框架Django推出最新第5個主要版本，這個版本更新集中在資料庫功能上，支援資料庫運算預設值，以及資料庫生成模型欄位，讓資料庫自動處理資料欄的內容，並且還在模板系統加入欄位群組的概念，簡化表單欄位渲染。</p> <p><a href="https://www.djangoproject.com/weblog/2023/dec/04/django-50-released/">Django 5.0</a>中的資料庫運算預設值功能，允許開發者在模型欄位中，設定由資料庫運算的預設值。這項功能可以解決需要資料庫自動生成特定資料的問題，像是當前時間戳記或是運算結果。不只可以提高資料處理的效率和準確性，也可以在更多場景自動化資料生成任務。</p> <p>官方還擴展Django框架核心元件ORM（Object-Relational Mapping），加入新資料庫生成模型欄位功能，允許開發者創建由資料庫生成資料的欄位。該欄位可以用於所有支援的資料庫後端，創建一個由其他欄位計算出來的欄位值。以正方形的面積欄位舉例來說，正方形面積將會由兩個邊長欄位的值相乘獲得。</p> <p>這樣的功能可以讓資料庫層級自動計算並儲存結果，也同樣能提高資料處理效率，並減少應用程式的計算負擔。Django ORM核心元件讓開發者，不需要使用SQL，而是以Python程式碼定義資料庫中的資料結構，如此開發者便可以用物件導向的方法處理資料庫，提高程式碼的可讀性和可維護性。Django ORM支援多種資料庫系統，能夠查詢和操作資料，是一個高效的資料存取方法。</p> <p>另外，模板系統欄位群組也是Django 5.0的新功能，能夠簡化Django表單欄位，像是標籤、輸入框和錯誤訊息等相關元素的渲染過程。過去這些元素都是個別獨立渲染，現在透過as_field_group()方法，開發者可以將相關元素以整體進行渲染，大幅降低模板的複雜性。不只是程式碼更簡潔，也提高開發效率。</p> <p>隨著Django 5.0的發布，Django 4.2也結束主流支援，最後一個次要錯誤修補版本是已經發布的4.2.8版本。不過Django 4.2是一個長期支援版本，因此會持續接收安全性和資料丟失修補。另外，更早的Django 4.1版本的延伸支援已經結束，最後一個更新版本是11月1日所釋出的4.1.13版本，官方呼籲Django 4.1用戶應該升級到Django 4.2以上版本。</p> </div></div></div>
2023/12/8 08:25作者李建興https://www.ithome.com.tw/news/160213
Snyk調查發現，高達80％開發者為使用AI開發工具，繞過公司安全政策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧程式開發輔助工具已經大量參與開發人員的日常工作，<a href="https://www.ithome.com.tw/news/160023">Jetbrains的2023開發者大調查</a>佐證了這個現況，77％受訪者都使用ChatGPT，GitHub Copilot也有46％的開發者使用。雖然人工智慧程式開發輔助工具可以幫助開發人員更有效率地編寫程式碼，不過，也對組織帶來了一些安全挑戰。</p> <p>資安公司Snyk對537名軟體工程和安全團隊成員進行調查，並在其<a href="https://snyk.io/reports/ai-code-security/">2023年人工智慧程式碼安全報告</a>中指出，企業過於忽視人工智慧程式開發輔助工具所帶來的安全問題。</p> <p>96％的受訪者團隊已使用人工智慧程式開發輔助工具，但有56.4％的受訪者表示經常從人工智慧程式碼建議中發現安全問題，也有高達80％的開發人員承認，為了使用人工智慧程式開發輔助工具而繞過組織安全政策。即便開發人員已大量應用人工智慧編寫程式碼，但是Snyk表示，少有團隊相對應調整安全流程，只有不到10％的組織，對大部分程式碼執行自動化安全掃描。</p> <p>人工智慧程式開發輔助工具所產生的安全問題不只存在於組織內，也正影響著開源工具鏈的安全，73.2%的受訪者曾對開源專案貢獻程式碼，代表即便他們皆具備開源專案的知識，也理解人工智慧可能提供不安全的程式碼，但是只有24.6％的組織，使用軟體組成分析（Software composition analysis，SCA）工具驗證人工智慧的程式碼建議。Snyk解釋，更快的開發速度可能使得組織更容易接受不安全的開源元件，而人工智慧工具使用開源程式碼作為訓練資料集，可能因此學習不安全的程式碼寫法，導致惡性循環產生更多不安全的建議。</p> <p>高達55.1％的受訪者都表示組織已經將人工智慧工具，視為軟體供應鏈的一部分，不過，Snyk認為大多數組織並未對這種情況採取足夠應對，最常採取的行動是增加安全掃描，但實行的組織也只有18.4％。針對這樣的現象，Snyk猜測，可能來自於人們錯誤認為人工智慧生成的程式碼建議，比人類編寫的程式碼更安全。有75％的受訪者認為人工智慧生成的程式碼較人類安全。</p> <p>有趣的是，大多數受訪者不信任人工智慧，有86％的受訪者對人工智慧程式開發輔助工具的安全性存在顧慮，Snyk提到，之所以有這種認知失調的狀況出現，可能來自於從眾心理，開發人員說服自己其他人也在使用人工智慧工具，則這些工具勢必值得信任。小部分的組織限制人工智慧程式開發輔助工具的使用，主要原因包括57％擔憂程式碼的安全性，其次有53.8％的組織顧慮資料隱私，還有46.4%的組織在意程式品質（下圖）。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/2096%20-%20Snyk's%202023%20AI-Generated%20Code%20Security%20Report%20-%20Snyk%20-%20snyk_io.png" style="width: 580px;" /></p> <p>開發人員因為人工智慧程式開發輔助工具的協助，使得生產力增加，因而加快了程式碼編寫速度，而這也對應用程式安全團隊帶來更多的壓力，有五分之一的團隊在跟上軟體開發的腳步存在挑戰。</p> <p>雖然已有<a href="https://arxiv.org/abs/2211.03622">研究</a>顯示人工智慧生成的程式碼建議並沒有比較安全，Snyk提到，但人們現在普遍相信人工智慧程式開發輔助工具出錯機率比人類更低，因此組織應該透過教育糾正這樣的錯誤觀念，並且採用安全工具保護人工智慧所生成的程式碼。</p> </div></div></div>
2023/12/8 08:32作者李建興https://www.ithome.com.tw/news/160221
群創用AI改造智能超市，導入智慧購物車、即時分群廣告推播及互動式酒促客服體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>群創光電用自家AM miniLED顯示技術及AI來驅動多種零售科技，來改造全家便利商店東森一號店，期望一方面降低店員人力負荷，另一方面透過豐富消費者體驗來增加營收。這些科技包括智慧購物車、即時分群廣告推播及互動式酒促客服等。此店的地主東森購物總經理彭鴻珷預期，這些科技帶來20%營收成長。</p> <p><strong>搭載影像辨識及重量感應能力的智慧購物車</strong></p> <p>第一項科技是智慧購物車。消費者在購物車上登入全家會員後，購物車會進入購物模式，自動辨認放入車內的商品。消費者直接於購物車用全家支付工具結帳後，便能取走商品離店。</p> <p>此購物車搭載鏡頭及重量感測器，透過AI影像辨識及秤重來判斷消費者放進購物車的商品品項及數量。商品3D模型、商品種類、重量及重量容許誤差範圍由群創自行開發的CMS（內容管理系統）來管理，並串接到全家ERP。另外，此購物車也設有條碼掃描器。</p> <p>群創光電自動化資深副理林青輝解釋，鏡頭會持續照向購物車內，以判斷商品品項，搭配重量感測器，來判斷放入商品數量。當辨識系統發現異常狀態，例如視覺辨識與重量感測到的商品內容有出入，便會鎖定購物車操作，觸發店內監視器系統特別標註此時段，同時通知店員到場解除鎖定狀態。</p> <p>用秤重來輔助商品辨識的一個常見問題是，有些商品個體重量差異大，容易造成誤判。為了避免頻繁觸發假警報，群創根據不同商品類別設定了不同重量容許誤差範圍，如麵包、水果等，就會容許更大範圍的重量浮動。</p> <p>選擇辨認消費者「放入購物車」，而非「從貨架拿起」的商品，雖然硬體成本較低，卻伴隨著較高誤判風險。林青煇坦言，購物車商品辨識機制仍有漏洞可鑽。重量感測器誤差範圍只有3公克，已經可以辨識大部分商品重量。不過，此購物車允許一次放入多個商品，因此可以搭配不同重量誤差範圍來鑽漏洞。例如，將超小商品隱藏在重量容許誤差範圍大的大型商品下方，阻擋視覺辨識同時，誘使系統將小商品重量視為大商品重量誤差。反之，一般拿了就走（Grab and go）類型店面，會追蹤消費者從每一個貨架拿起的商品，盜竊風險較低。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11(9).png" style="width: 600px;" /></p> <p><strong>用人臉辨識來判斷廣告投放內容的推播螢幕</strong></p> <p>此店內有部分廣告推播螢幕，會根據人臉辨識結果來推播不同廣告。群創光電專案經理戴世府說明，推播螢幕附近會有攝影鏡頭負責捕捉人流及人臉，以判斷消費者性別、年齡、拿取商品等資訊。</p> <p>推播螢幕後臺會根據消費者分群、門市地域、當下促銷活動等因素，來推播不同廣告。AI推論行為由額外設置的專用地端電腦負責，因此可以在1秒內完成辨識及推播。戴世府表示，此電腦設置成本約5萬元。</p> <p>用AI來進行人臉辨識，難免會有AI歧視及隱私侵犯疑慮。戴世府強調，便利商店消費者族群多元，為避免AI誤判消費者特徵，導致AI歧視疑慮，目前此推播系統只會推播食品等，不容易因誤推廣告而引起消費者反感的商品廣告。</p> <p>私方面，他說，人臉辨識只會紀錄去識別化消費者特徵值，例如到店時間、推測年齡與性別、拿取商品種類等，不會記錄消費者面部影像。這些特徵值每7天會由地端電腦拋轉到雲端，進行紀錄與進一步分析。例如，比對消費者特徵、推播廣告與實際拿取商品之間的關聯，以調整廣告推播或整體行銷策略。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/26.jpg" style="width: 600px;" /></p> <blockquote><p>冰櫃上的螢幕一旁有攝影鏡頭，當消費者走近，曲面螢幕就會在1秒內根據消費者分群推播對應廣告。圖-郭又華攝</p> </blockquote> <p><strong>即時生成酒類行銷文案的互動式酒促客服</strong></p> <p>另一個AI店內行銷科技是互動式酒促客服，以安裝在酒架上的互動式螢幕呈現。酒促客服會引導消費者順著行銷腳本來認識不同酒類。或者，消費者也可以用語音輸入的方式指定飲酒情境，要求酒促客服推薦適合酒類。</p> <p>此酒促客服串接ChatGPT，可以根據商品目錄中的資訊及消費者輸入內容，即時生成行銷文案，來提供互動式體驗。為避免酒促客服不當發言，它被限制只能回答酒類促銷問題，且會遵守相關飲酒法規。例如，若詢問今天天氣如何，它會拒絕回答。如果要求它推薦適合開車喝的酒，它也不會回答，並警告消費者喝酒不開車。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_2023127_231207_14.jpg" style="width: 600px;" /></p> <blockquote><p>酒架上的透明酒櫃有一個螢幕，作為互動式酒促客服，會引導消費者認識酒類商品。消費者可用語音輸入指令，要求客服推薦適合酒款。</p> </blockquote> <p>聯播螢幕和酒促客服螢幕都是採用群創自家AM miniLED顯示技術。他們強調，此技術省電，且不刺眼、可形變，一方面能控制能源消耗，另一方面也能用來強化消費者互動體驗，例如聯播螢幕就彎曲成S形，以期達到吸睛和立體視覺效果。</p> <p> </p> </div></div></div>
2023/12/7 17:19作者郭又華https://www.ithome.com.tw/news/160211
【資安日報】12月7日，研究人員揭露針對iPhone的新型態攻擊手法，啟動假的封閉模式，從而暗中偷渡惡意程式持續於背景…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用商業間諜軟體針對特定人士行動裝置下手的攻擊事件頻傳，蘋果後來也加入名為封閉模式（Lockdown Mode）的功能限制，降低用戶遭到攻擊的情形，然而，傳出可偽造類似此種保護模式的作法，導致用戶誤以為已啟動該模式。</p> <p>有研究人員揭露讓iPhone呈現這樣狀態的手法，使得用戶啟動後，手機並未套用相關限制，而使得攻擊者照樣能從事有關攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-339a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe ColdFusion重大漏洞已被用於攻擊美國政府機關</span></strong></a></p> <p></p> <p>美國網路安全暨基礎設施安全局（CISA）發布資安公告，Adobe今年3月修補的應用程式開發平臺ColdFusion已知漏洞CVE-2023-26360（CVSS風險評分為9.8），在今年6月至7月被用於攻擊該國的聯邦行政部門（FCEB），駭客藉此入侵了2臺曝露於網際網路的ColdFusion伺服器，而且，這些設備所用的ColdFusion版本都很老舊（2016.0.0.3版、2021.0.0.2版）。</p> <p>一旦成功入侵這些伺服器，駭客就藉此取得初期立足受害組織的據點，從而進行後續的攻擊。在其中一起攻擊行動裡，駭客先是列出所有網頁伺服器執行的處理程序，並設法穿越（traversing）檔案系統，然後將多種作案工具上傳至伺服器。駭客利用公用程式Certutil解密純文字檔案，並將其還原成名為config.jsp的Web Shell，接著企圖利用attrib.exe埋藏其蹤跡；他們也對ColdFusion預設組態檔案config.cfm插入惡意程式碼，並用來發出HTTP POST請求。</p> <p>在另一起攻擊行動當中，駭客在成功利用CVE-2023-26360之後，列出所有受信任的網域來尋求橫向移動的機會，並進行偵察工作，收集伺服器與網域管理員帳號資料，然後利用8種惡意工具投放純文字檔案d.txt並解碼為d.jsp，此JSP檔案為RAT木馬程式，從駭客控制的伺服器接收命令並執行。</p> <p><a href="https://binarly.io/posts/finding_logofail_the_dangers_of_image_parsing_during_system_boot/index.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露LogoFAIL漏洞，藉由電腦UEFI開機的商標圖片解析元件執行惡意酬載</span></strong></a></p> <p></p> <p><a href="/sites/default/files/images/5a00c91a-997e-4144-9775-a80ee0355619"><img alt="" src="/sites/default/files/images/5a00c91a-997e-4144-9775-a80ee0355619" style="width: 300px; float: right;" /></a>專精韌體安全的資安業者Binarly在歐洲黑帽大會上揭露名為LogoFAIL的漏洞，並指出這種漏洞影響整個UEFI的韌體生態系統，幾乎所有x86及Arm設備的主要製造商都曝露於這種漏洞當中，研究人員指出，這種漏洞主要出現在韌體的圖像解析器，韌體開發商提供了自訂開機啟動的商標圖案的客製功能，允許設備廠商換上自己的商標，然而，這項彈性可能危害韌體安全。</p> <p>研究人員針對Insyde、AMI、Phoenix的韌體圖像解析器進行分析，照理來說，這些商標圖片的檔案是從韌體磁區載入，此種磁區通常會受到Intel Boot Guard、AMD Hardware-Validated Boot、ARM TrustZone等硬體啟動驗證機制保護，攻擊者無從下手，然而，研究人員發現，攻擊者可藉由OEM客製化的功能進行滲透。</p> <p>由於客製商標通常會從EFI系統磁區（ESP）載入，並有特定路徑，因此攻擊者可先透過應用程式未修補的漏洞下手，然後透過管理者權限進一步替換韌體的商標檔案，之後等到裝置開機、載入驅動執行環境（DXE）的過程當中，就會執行攻擊者在UEFI植入的程式碼，以便他們進行後續的攻擊行動。研究人員總共找到29種攻擊手法，其中有15種可讓攻擊者執行任意程式碼。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/160192"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為中小企業、非營利組織資安紮根，資安院推動「NICS臺灣資安計畫」</span></strong></a></p> <p></p> <p>為數眾多的中小企業與非政府組織，是臺灣創新的重要動力，為了確保這些中小型企業的資訊安全，數位發展部所屬行政法人資通安全研究院（資安院）接受Google旗下慈善組織Google.org的100萬美元捐贈，將推動為期兩年的「NICS臺灣資安計畫」，這是資安院成立以來，首度與國際單位合作的計畫。</p> <p>數位發展部部長唐鳳表示，數位部在11月經過公開徵選，挑出80個在地組織、在全臺灣19個縣市成立數位服務據點，作為提供在地民眾諮詢以及資安宣導的據點。資安院院長何全德指出，臺灣資安計畫將會進行科學的調查分析，了解民間的需求，並製作通用的資訊教材，提供資安服務團的服務，並在臺灣各地培訓更多的資安教練，預計花兩年時間，培養出50名以上種子講師與訓練200名以上的學生成為諮詢人員。未來他們也希望藉由這樣的經驗，讓臺灣成為亞太區重要資安人才培訓基地。</p> <p><a href="https://www.ithome.com.tw/news/160194"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科推出AI助理，用生成式AI幫助企業IT人員做好防火牆管理</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）Cisco Live Melbourne_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Cisco%20Live%20Melbourne_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 300px; float: right;" /></a>12月5日思科宣布推出資安人工智慧助理Cisco AI Assistant for Security，這項技術他們第一波將用於強化企業防火牆管理，其功能包括進行自動化規則配置，並協助用戶分析和決策，提高資安團隊的效率與生產力。資安團隊可以使用自然語言來找到配置不當的政策，並且快速獲得規則建議，Cisco人工智慧助理可以消除重複規則、錯誤配置的政策，並簡化複雜的工作流程，加速故障排除和防火牆配置工作。</p> <p>該公司也於澳洲墨爾本市召開的亞太區年度用戶大會Cisco Live!上，展示相關功能，思科執行副總裁暨網路安全及協作業務總經理Jeetu Patel展示藉由對話的方式，找出控管特定類型應用系統的防火牆規則，並予以更新，他也指出該助理還會主動提供建議，例如，彈出對於防火牆規則分析的通知訊息，並告知管理員發現重複的規則，詢問是否停用或是刪除。</p> <p>資料來源</p> <p>1. <a href="https://investor.cisco.com/news/news-details/2023/Cisco-Redefines-Cybersecurity-Defense-with-Powerful-Portfolio-Wide-Artificial-Intelligence-Capabilities/default.aspx">https://investor.cisco.com/news/news-details/2023/Cisco-Redefines-Cybersecurity-Defense-with-Powerful-Portfolio-Wide-Artificial-Intelligence-Capabilities/default.aspx</a><br /> 2. <a href="https://blogs.cisco.com/security/give-your-firewall-admins-superpowers-with-cisco-ai-assistant-for-security">https://blogs.cisco.com/security/give-your-firewall-admins-superpowers-with-cisco-ai-assistant-for-security</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/navy-contractor-austal-usa-confirms-cyberattack-after-data-leak/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國防部、國土安全部承包商造船業者Austal證實遭遇網路攻擊，傳出是勒索軟體駭客組織Hunters International所為</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/nissan-is-investigating-cyberattack-and-potential-data-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本汽車製造商Nissan調查澳洲、紐西蘭資料外洩的事故</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/htc-global-services-confirms-cyberattack-after-data-leaked-online/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">業務流程服務供應商HTC Global Services傳出遭到勒索軟體BlackCat攻擊</span></span></strong></a></p> <p></p> <p><a href="https://chromereleases.googleblog.com/2023/12/stable-channel-update-for-desktop.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布Chrome 120，修補10個漏洞</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/160188"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">倒數2年Windows 10生命週期將要結束，微軟公布付費延伸安全更新方案</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160172"><strong>【12月5日】美國航太組織遭到駭客組織AeroBlade鎖定，對其發動兩波攻擊，採用隱匿手法從事網路間諜行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160152"><strong>【12月4日】研究人員揭露竊資軟體Lumma攻擊行動，駭客佯裝金融服務業者寄送發票，將用戶導向不存在的網頁迴避偵測</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160108"><strong>【12月1日】美國賓州水利設施遭伊朗駭客攻擊，CISA呼籲管理者應修改設備預設密碼、採用雙因素驗證，強化基本防護力</strong></a></p> </div></div></div>
2023/12/7 15:42作者周峻佑https://www.ithome.com.tw/news/160208
臺北榮總自建超級電腦北榮一號雲，採32張A100 GPU要加速發展智慧醫院
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺北榮總昨日（12/6）亮相自家超級電腦「北榮一號雲」，由4節點共32片A100 GPU組成，要來加速北榮的精準醫療和智慧醫療發展，如基因序列資料分析、數位病理和智能藥物開發等。同時，北榮一號雲還用來訓練醫院專屬的大型語言模型（LLM），要在安全環境中，提供生成式AI應用給醫院使用者。接下來，他們將視超級電腦算力用量，來持續擴充。另一方面，臺北榮總也揭露其他智慧醫療成果，如啟用智慧科技加護病房、重粒子中心完成100例患者治療，以及達文西手術累積完成5,000例。</p> <p><span style="font-size:24px;"><strong>參考Nvidia DGX A100架構，自建4節點超級電腦</strong></span></p> <p>臺北榮總資訊室主任郭振宗表示，北榮一號雲的建置，參考了Nvidia的AI超級電腦DGX A100架構，由4節點共32張A100 GPU、NVLink和超高速網路交換器組成，是一套能提供強大算力的叢集運算平臺，來加速北榮精準醫療和智慧醫療發展，包括疾病預後預測、基因序列資料分析、數位病理診斷、智能藥物開發、術前模擬、自然語言處理或語音平臺建置，甚至還有AR／VR的3D模型訓練等領域。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8C%97%E6%A6%AE%E8%B6%85%E7%B4%9A%E9%9B%BB%E8%85%A6.jpg" /><br /> 北榮一號雲。圖片來源：臺北榮總</p> </blockquote> <p>同時，北榮還有全方位的資料中心、創新的運算架構和多功能軟體工具，來一起推動發展時下熱門的新技術應用，如生成式AI和LLM在醫學領域的創新應用，要來提高診斷精確性，還要加快各種疾病的個人化治療策略制定。郭振宗補充，未來北榮將視超級電腦的算力用量，超過80%就會展開擴充工作，再添新主機來提高算力。</p> <p><span style="font-size:24px;"><strong>啟用智慧科技加護病房、重粒子中心完成100例患者治療</strong></span></p> <p>除了算力進展，北榮也在昨日啟用智慧科技加護病房，來因應未來新興傳染病。這是北榮投資將近1億元新建的15間智慧負壓隔離加護病床，位於科技大樓，能與主要的住院大樓分艙分流。</p> <p>他們還在病房中導入商用和自行研發的多種科技應用，包括AI防護衣穿脫魔鏡、溼洗手監測系統，以及能進行影像監視與呼吸器遠端調控的衛星護理站，以利於傳染病照護。此外，他們設置智慧電視與三方視訊系統，同時導入機器人來協助護理師傳送物資、減少人員暴觸風險。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%E9%98%B2%E8%AD%B7%E8%A1%A3%E7%A9%BF%E8%84%AB%E9%AD%94%E9%8F%A1.jpg" /></p> <p>AI防護衣穿脫魔鏡，可用來協助醫護穿脫防護衣。圖片來源：臺北榮總</p> </blockquote> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%A7%91%E6%8A%80%E5%8A%A0%E8%AD%B7%E7%97%85%E6%88%BF%E5%90%84%E7%97%85%E5%AE%A4%E5%A4%96%E8%A1%9B%E6%98%9F%E8%AD%B7%E7%90%86%E7%AB%99.jpg" /></p> <p>科技加護病房各病室外衛星護理站。圖片來源：臺北榮總</p> </blockquote> <p>這些病房可在疫情發生時，提供最高防疫標準的負壓隔離重症治療，平時則可作為一般呼吸系統重症加護病房，達到「病毒擋得住、訊號出得來、治療進得去、夥伴找得到、家屬看得見」的目標，大幅提高重症醫療照護品質。</p> <p>另一方面，北榮還揭露，在今年5月15日正式營運的重粒子中心，至12月5日已服務了100例病患治療，包括本來被認為無法治療的胰臟癌，經重粒子治療後和化療後已可手術切除，其他如攝護腺癌、肺癌、肝癌、骨肉癌、頭頸癌、婦科癌症等癌症治療也獲得病人極高滿意度。北榮指出，治療過程順利且病人復原良好，目前持續追蹤治療成效中，也有多人在等候重粒子中心治療。</p> <p>北榮還有一項成就是完成了5,000例達文西手術，其中許多案例是困難的癌症手術，如胰臟癌、壺腹周圍癌和腎臟癌部份腎臟切除，北榮的達文西手術病例數都居全國之冠。</p> <p></p> </div></div></div>
2023/12/7 15:22作者王若樸https://www.ithome.com.tw/news/160207
Google與蘋果證實各國政府可向它們請求來自App的推播通知內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你知道行動程式的推播通知必須藉由行動平臺發送嗎？<a href="https://www.wyden.senate.gov/imo/media/doc/wyden_smartphone_push_notification_surveillance_letter.pdf" target="_blank">美國參議員Ron Wyden本周寄出一封信件</a>予美國司法部（Department of Justice，DOJ），要求DOJ批准蘋果及Google透明化各國政府對使用者行動推播通知（Mobile Push Notification）的請求數據，才令外界得知原來連通知都可以被監控，且蘋果與Google也已對外證實了此事。</p> <p>Wyden說，他的辦公室在2022年收到了一個消息，顯示許多國外的政府機構向蘋果與Google提出調用智慧型手機推播通知紀綠的請求，於是展開調查，結果發現原來是美國政府禁止業者公布相關的資料請求。</p> <p>推播通知為一行動程式用來提醒使用者的功能，例如收到新訊息或是更新了新聞，不過，它們並非直接由程式開發者送至手機上，而是需要透過行動作業系統上的服務來遞送，像是蘋果的Push Notification Service，或是Google的Firebase Cloud Messaging，意味著蘋果與Google在此一程序中扮演了仲介的角色。</p> <p>Wyden指出，如同蘋果與Google所儲存的其它各種用戶資料，各國政府可能會要求業者提供使用者的推播通知紀錄，另一方面，開發者並沒有太多選擇，因為如果想要可靠地送通知予使用者，就必須透過蘋果或Google的平臺。而業者所能提供的紀錄則包括元資料、哪款程式在何時所傳送的通知、通知內容，以及與該通知有關的蘋果/Google帳號。</p> <p><a href="https://techcrunch.com/2023/12/06/us-senator-warns-governments-spying-apple-google-smartphone-users-via-push-notifications/" target="_blank">《TechCrunch》</a>取得了蘋果與Google的回應，其中，蘋果表示，過去美國聯邦政府禁止該公司對外分享相關資訊，但如今此一方法已被公開，未來將會更新其透明度報告並揭露相關的資訊請求。Google則說，它們是第一家出版透明度報告的大型業者，揭露政府所請求的各種使用者資料，包括Wyden所提的資料在內。</p> <p>總之，Wyden認為，蘋果與Google應該被允許透明化它們所收到的法律請求，特別是來自外國政府的請求，就像它們過去會在收到政府請求時通知使用者一樣。</p> </div></div></div>
2023/12/7 15:51作者陳曉莉https://www.ithome.com.tw/news/160209
歐盟投入12億歐元支援推動雲端及邊緣運算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_23_6246" target="_blank">歐盟周三（12/6）宣布</a>將投入12億歐元，協同民間業者打造歐洲自有的雲端基礎架構及邊緣運算技術，以推動歐盟國家資料安全、以及實現綠色運算。</p> <p>歐盟在重要共同利益專案（Important Project of Common European Interest，IPCEI）下通過的最新專案，也是IPCEI雲端及邊緣運算領域的第一項計畫，名為IPCEI次世代雲端基礎架構及服務（IPCEI CIS），由7個會員國包括法、德、匈牙利、義大利、荷蘭、波蘭及西班牙共同參與。IPCEI CIS目的在發展歐盟第一個共通及可開放存取的資料處理架構，可相容多種民間雲端及邊緣資料處理技術及服務。</p> <p>除了歐盟會員國政府出資的12億公共基金外，IPCEI CIS也預計尋求民間企業投入14億歐元，參與廠商有中小型企業19家。參與這項技術的業者將分別負責19項創新計畫，分別落在4個分群（workstream），包括雲端－邊緣連續體基礎架構、雲端－邊緣能力、進階智慧資料運算工具及服務、以及進階應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1207-IPCEI%20CIS-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-European%20Commission.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／歐盟執委會（European Commission）</span></span></p> <p>參與廠商的任務將是開發開源軟體以執行即時、低延遲性（僅幾毫秒內）的邊緣運算服務，藉此減少由集中化伺服器傳送大量資料所需的運算資源。每項計畫都要包含整個邊緣運算堆疊，包括基礎架構軟體、協助設立雲端/邊緣系統的共通參考架構、可部署於各網路之上的進階雲端及邊緣服務，以及產業別應用，如能源、健康或軍事業。集結所有計畫，這些業者將開發第一個全歐盟的多廠商雲端到邊緣全方位服務。</p> <p><a href="https://www.theregister.com/2023/12/06/europe_cloud_project_funding/" target="_blank">The Register分析</a>，透過在歐盟打造雲端基礎架構，有助支持歐洲業者以及減少資料跨洲（特別是到北美）儲存產生的資料與隱私風險。</p> <p>這些廠商包括德國SAP、法國Orange電信與系統整合商Atos、德意志電信、西門子，以及義大利、波蘭及西班牙業者等。</p> <p>這些計畫將在2023到2031年之間開發及首次部署，詳細時程依各專案而定。第一個IPCEI預定在2027年底完成，也可望創造1000個以上直接或間接職位，等商轉後還會再增加。</p> </div></div></div>
2023/12/7 12:37作者林妍溱https://www.ithome.com.tw/news/160204
蘋果公布Apple Silicon平臺專用AI框架MLX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在微軟及英特爾等業者大肆宣傳AI PC概念的同時，向來較沈默的蘋果也公布執行在Apple Silicon平臺的AI框架MLX。</p> <p><a href="https://ml-explore.github.io/mlx/build/html/index.html" target="_blank">根據蘋果在GitHub資源網頁上的說明</a>，MLX是蘋果機器學習研究中心的開發成果，它是類似Python常用框架之一NumPy的陣列框架，目的在Apple Silicon平臺上高效率而彈性地執行機器學習。</p> <p>蘋果指出，MLX的設計靈感來自PyTorch、Jax及ArrayFire等框架，MLX和這些框架最大差別在於「統合記憶體模型」。MLX陣列是位於共享記憶體中，因此可以執行在任何支援的裝置上，而無需複製資料。目前支援的裝置類型為CPU和GPU。</p> <p>蘋果說，Python API和NumPy十分相似，MLX有功能完整的C++ API，後者也和Python API相近。MLX和NumPy只有幾處不同，MLX和NumPy主要差別有三（意思是相較NumPy的優點）。一是在自動微分、自動矢量化及運算圖表（computation graph）優化具有可組合函式轉換（composable function transformation），二是MLX的運算為惰性求值（lazy computation），第三則是多裝置支援，可在「支援的CPU、GPU」上執行運算。</p> <p>現在開發人員已可以在<a href="https://ml-explore.github.io/mlx/build/html/index.html" target="_blank">GitHub網頁</a>下載，該網頁也提供相關指引及文件。</p> </div></div></div>
2023/12/7 12:48作者林妍溱https://www.ithome.com.tw/news/160205
Google發表Cloud TPU v5p與超級電腦架構AI Hypercomputer
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/ai-machine-learning/introducing-cloud-tpu-v5p-and-ai-hypercomputer/" target="_blank">Google周四（12/7）發表</a>了新的張量處理器（Tensor Processing Unit）Cloud TPU v5p、超級電腦架構AI Hypercomputer，以及資源管理工具<a href="https://cloud.google.com/blog/products/compute/introducing-dynamic-workload-scheduler" target="_blank">Dynamic Workload Scheduler</a>，以協助組織執行與處理AI任務。</p> <p>Google甫於今年11月推出Cloud TPU v5e，再於本周發表Cloud TPU v5p，前者強調的是成本效益，後者號稱是迄今最強大的TPU。每個TPU v5p pod具備8,960個晶片，晶片間的互連速度達4,800 Gbps，相較於上一代的TPU v4，Cloud TPU v5p提供了2倍的FLOPS與3倍的高頻寬記憶體（HBM）。</p> <p>由於Cloud TPU v5p是效能取向，因此在訓練大型LLM模型時的速度，比TPU v4快了2.8倍，在第二代 SparseCores的助益下，TPU v5p訓練嵌入式密集模型的速度，也比TPU v4快了1.9倍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1207-Google%20cloud-Cloud%20TPU%20v5-600-1.jpg" style="width: 600px;" /></p> <p>至於AI Hypercomputer則是個超級電腦架構，它整合了最佳化效能的硬體、開源軟體、主要的各種機器學習框架，以及靈活的消費模式。Google解釋，傳統上通常藉由強化分散的元件來處理嚴苛要求的AI任務，然而，AI Hypercomputer則是利用系統上的協同設計來提高AI在訓練、微調與服務上的效率及生產力。</p> <p>在硬體效能的最佳化上，AI Hypercomputer具備基於超大規模資料中心基礎設施在運算、儲存與網路設備的最佳化設計；亦允許開發者透過開源軟體來存取相關硬體，以微調與管理AI任務，包括支援JAX、TensorFlow與PyTorch等機器學習框架，以及Multislice Training與Multihost Inferencing等軟體，並深度整合了Google Kubernetes Engine（GKE）與Google Compute Engine。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1207-Google%20AI%20Hypercomputer.png" style="width: 600px;" /></p> <p>AI Hypercomputer提供了更靈活的消費模式，除了特定用量的折扣（Committed Use Discounts，CUD），以及隨選（On-Demand）與競價（Spot）之外，AI Hypercomputer也藉由全新的Dynamic Workload Scheduler，來提供專為AI任務設計的兩種消費模式，Flex Start與Calendar。</p> <p>Dynamic Workload Scheduler為一資源管理及任務調度平臺，它支援Cloud TPU與Nvidia GPU，可同時調度所需的所有加速器來協助用戶最佳化支出。其中的Flex Start主要用來微調模型、實驗、較短的訓練任務、蒸餾、離線推理及批次任務，並在準備執行請求GPU與TPU容量，是一種相對經濟的選擇。</p> <p>而Calendar模式則可替AI任務預留開始時間，適用於需要精確開始時間，與特定持續期間的訓練及實驗性任務，可於此一固定時間的區域中請求GPU容量，所持續的期間可以是7天或14天，最早可提前8周購買。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google Cloud</span></span></p> </div></div></div>
2023/12/7 13:17作者陳曉莉https://www.ithome.com.tw/news/160206
Google強化Android虛擬化支援與安全性，推出AVF工具包簡化隔離應用開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Android 13首次引入的Android虛擬化框架（Android Virtualization Framework，AVF），現在將在更多的Android 14裝置上<a href="https://android-developers.googleblog.com/2023/12/virtual-machines-as-core-android-primitive.html">提供</a>。在Android 14中，Google還新增了一套新的工具包，讓開發者能夠更好地使用AVF及其元件。</p> <p>Google由於要強化Android裝置的安全性，因此在Android 13加入了AVF。AVF是一個在Android裝置上執行虛擬機器的技術，該架構的主要作用是隔離應用程式與系統之間的資料和操作，AVF讓虛擬機器成為Android作業系統的核心元件，類似Android利用Linux程序的方式。</p> <p>AVF提供單向隔離與雙向隔離兩種隔離等級，單向隔離讓Android系統可以控制和檢查虛擬機器中的內容，最常用於沙盒（Sandboxing）與分離（Separation）技術，使多個作業系統能夠在單一裝置上運作，並由Android控制和監視其他所有作業系統主機。而雙向隔離則是指Android和虛擬機器（Isolated VM）彼此完全隔離，隔離的虛擬機器將可用於處理或是儲存敏感資料，由於Android和虛擬機器都無法相互存取，因此需要透過特定通道才能溝通。</p> <p>在部分情況，AVF成了可替代Android Trustzone的機制，TrustZone是一種在Arm架構處理器上實現的安全技術，提供了安全的執行環境與硬體層級的隔離保護。而Google表示，運用AVF的雙向隔離，開發者可以在Android中執行需要隔離，但是不需要提升特權的用例。也就是說，AVF提供的隔離虛擬機器可以在不增加系統特權的情況下，對應用程式資料進行安全隔離，這樣的隔離機制特別適用於保護敏感資料和執行重要操作。</p> <p>AVF還具有可移植性的優勢，Google提到，虛擬機器和其中執行的應用程式，比可信任小程式（Trusted Applet）還更具可移植性，官方舉例，具有Linux應用程式負載的Linux虛擬機器，能夠在所有支援AVF裝置上的執行。這代表開發者只需要建置一次應用程式，就能夠部署到其他地方，這與移植到Trustzone作業系統相比，藉由虛擬機器的方式，還可以簡單地移植現有Linux應用程式。</p> <p>在效能方面，AVF設計上講究高效且靈活，虛擬機器可以非常迷你，小至單獨的C程式，也可以大到作業系統規模，虛擬機器可以根據需求設計成持續或是間歇運作，也能根據整體系統健康狀態和資源分配，並遵守Android調度提示和低記憶體警告，與作業系統良好地協作。</p> <p>Google在Android 14擴大AVF的可用性，讓AVF能夠在更多的裝置上可用，同時對AVF開了Android系統API，允許特權應用程式使用虛擬機器，執行需要隔離的重要工作負載。開發者也可以透過虛擬機器管理程式DevEx工具包，追蹤監控虛擬機器的運作，更方便地進行除錯。</p> <p>Google的合作夥伴也可以使用虛擬機器管理程式供應商模組，自訂Google虛擬機器管理程式（pKVM）滿足特定需求。AVF在Android 14的運作效能也更好，基於microdroid的虛擬機器啟動速度是Android 13的2倍，記憶體使用只有一半，能夠更好地支援特權應用程式和平臺開發。</p> </div></div></div>
2023/12/7 08:21作者李建興https://www.ithome.com.tw/news/160189
Cisco推AI助理簡化防火牆規則管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科（Cisco）<a href="https://blogs.cisco.com/security/give-your-firewall-admins-superpowers-with-cisco-ai-assistant-for-security">推出</a>資安用人工智慧助理（Cisco AI Assistant for Security），要透過運用人工智慧技術，強化企業防火牆管理，其功能包括進行自動化規則配置，並協助用戶分析和決策，提高資安團隊的效率與生產力。</p> <p>企業防火牆用於保護網路免受惡意流量侵害，但是資安人員在管理防火牆規則，卻存在很大的挑戰，Cisco提到，普通防火牆就有數千條規則管理和處理流量，其中許多規則過時、冗餘甚至是矛盾。管理防火牆規則的挑戰不僅是複雜性的問題，同時也存在安全風險。</p> <p>Cisco試圖借助大型語言模型解決防火牆規則管理挑戰，提供生成式人工智慧助理，供用戶以自然語言操作防火牆。Cisco人工智慧助理具多樣化功能，主要是在Cisco雲端防火牆管理中心與Cisco Defense Orchestrator（CDO）發揮作用，解決設定和維護複雜政策和防火牆規則的挑戰。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/blogs-images/ciscoblogs/1/2023/12/firewall_ai_assistant_policy_anaysis_optimization_screenshot.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_思科</span></span></p> <p>資安團隊現在可以使用自然語言來發現政策，並且快速獲得規則建議，Cisco人工智慧助理可以消除重複規則、錯誤配置的政策，並簡化複雜的工作流程，加速故障排除和防火牆配置工作。使用情境包括快速解決防火牆的資安事件，像是當資安團隊發現特定應用程式出現疑似資料外洩的可疑活動，想要阻擋該應用程式所有流出流量，便可以透過Cisco人工智慧助理查詢現有防火牆規則，並且獲得規則建議，以阻擋該應用程式流出流量。</p> <p>官方還舉例，當特定防火牆規則引擎因未知原因不斷重新啟動，則Cisco人工智慧助理可以偵測相關問題並且推薦解決步驟，像是提供更新漏洞資料庫等建議。由於Cisco人工智慧助理採取主動故障排除行動，不只降低資安團隊需要搜尋文件的麻煩，也減少尋求原廠協助的時間。</p> <p>此外，Cisco還<a href="https://investor.cisco.com/news/news-details/2023/Cisco-Redefines-Cybersecurity-Defense-with-Powerful-Portfolio-Wide-Artificial-Intelligence-Capabilities/default.aspx">推出</a>可用於所有防火牆模型，採用人工智慧技術的加密能見度引擎。官方提到，現在所有資料中心的流量皆加密，因此防火牆無法檢查加密流量成為一個重要的資安問題。而且解密流量檢查內容，又存在操作、隱私和法遵問題。而加密能見度引擎的人工智慧技術，經過數十億個樣本訓練，不需要解密流量，就可以判斷流量是由哪一個作業系統以及客戶端應用程式產生，進而直接從加密流量發現惡意軟體傳輸。</p> </div></div></div>
2023/12/7 08:29作者李建興https://www.ithome.com.tw/news/160195
思科推出Cisco AI Assistant，防火牆安全管理先行，用生成式AI幫助企業人員做好資安防禦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【澳洲墨爾本現場報導】今年生成式AI技術的爆發，無疑是全球最關注的焦點，這一年內，開始有多家科技大廠積極應用，尤其是在幫助資安工作的面向，包括微軟與Google等公司，而思科也不例外。</p> <p>思科亞太區年度用戶大會Cisco Live!今日（12月6日）於澳洲墨爾本市召開，為期兩天，當中最受關注的議題是推動生成式AI驅動的安全，早先他們曾透露有這樣的發展，到了今日上午的主題演講給出更具體的答案。</p> <h2><strong>思科宣布推出全新Cisco AI Assistant</strong></h2> <p>在第一天的大會上，思科執行副總裁暨網路安全及協作業務總經理Jeetu Patel說明這方面的最新發展，他們推出了全新的Cisco AI Assistant，可幫助用戶在網路安全的使用操作上，透過AI助手來幫助人員工作。</p> <p>這樣的生成式AI，對思科現有產品用戶有何效益？Jeetu Patel向大家示範這項AI助手的功能特色。</p> <p>首先，在思科防火牆管理中心（Cisco Firewall Management Center）的情境之下，Cisco AI Assistant提供一個有如ChatGPT的介面，下方會有對話輸入框讓使用者提問。</p> <p>例如，當你提問：「我需要更新我們的防火牆政策。目前有哪些規則設置是控制SalesApp？」這個AI Assistant將會列出相關規則與狀態，當你繼續再輸入：「新增一個名為Application_Access的規則，阻止從SalesApp發出的對外流量。」這時，AI Assistant除了給出具體建議，同時還會反問使用者，是否要建立這條規則，並給出「Yes」與「No」的選項按鈕。一旦你點擊「Yes」，新的防火牆規則就自動成功建立。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）Cisco Live Melbourne_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Cisco%20Live%20Melbourne_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）Cisco Live Melbourne_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Cisco%20Live%20Melbourne_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖3）Cisco Live Melbourne_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Cisco%20Live%20Melbourne_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 295px;" /></a></p> <p>不僅如此，AI Assistant也會主動提供建議。例如，跳出一個關於規則分析與優化的通知訊息，當中告訴你已掃描到多少條防火牆規則，並指出有重複的規則，同時還給出「停用全部」或「刪除全部」的建議處置動作。一旦你點擊「停用全部」，還會接續問你，是否要將此規則部署到相關裝置。</p> <p>從上述的一來一往的互動過程中，我們可以看到這樣的AI助手顯然可讓網管或資安人員更專注在資訊判斷上，並且能以自然語言進行溝通，透過更主動、簡便的文字交談，協助人員完成原本複雜的工作流程。</p> <p>還有哪些產品也能應用Cisco AI Assistant？不只是防火牆產品，在Cisco現場簡報畫面中，我們還看到在Webex Control Hub的管理介面，以及Cisco Observability Platform的介面，也都將有Cisco AI Assistant的身影。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）Cisco Live Melbourne_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89Cisco%20Live%20Melbourne_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>以Webex Control Hub而言，你可以查詢過去與同事的會議細節，AI助手將能提供相關會議連結，並將該同事發言的片段標示出來，若是你進一步詢問網路路徑，AI助手也能提供由思科網路監控產品ThousandEyes的資訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）Cisco Live Melbourne_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89Cisco%20Live%20Melbourne_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>以Cisco Observability Platform而言，你可以詢問某應用程式的效能，或是檢視相關Pod的排程，AI助手可以提供相關圖表報告，或給出進一步建議資訊。</p> <p>顯然，用生成式AI幫助資安工作已經成為主流，Jeetu Patel在大會上也明確指出這樣的態勢。而現場這些展示，也顯現出思科正在利用生成式AI來幫助簡化操作，以及增強使用者體驗。</p> <h2><strong>持續強化AI資安、多種安全技術整合，以及SSE與零信任網路應用</strong></h2> <p>面對不斷演進的威脅態勢，在這場會議中，思科也說明了他們近期在資安產品面的一些重要進展，我們主要重視的焦點有3項。</p> <p>首先，不只是前述提到思科在生成式AI的資安應用，可為全球企業面對資安人力或專業不足的現況帶來幫助，在其他使用AI技術幫助資安的發展上，思科特別提到近期有一項已實現的目標，就是針對加密流量無法檢測的隱憂，如何用AI發現藏匿其中的資安威脅，如今他們已經提供網路加密透視引擎（Encrypted Visibility Engine，EVE），可借助AI技術且無須額外解密的方式，來辨別加密流量是否正在傳輸惡意程式，分辨流量來自哪個系統及客戶端應用程式。</p> <p>其次，Jeetu Patel提到思科三個月前新發表了XDR的解決方案，由於今年9月，思科宣布買下大數據資安業者Splunk，成為今年資安圈中最受矚目的併購消息，也創下思科併購史上的新紀錄。因此，我們對於思科XDR與Splunk是否將有更多互相搭配與整合，也感到好奇。</p> <p>對此，Jeetu Patel在會後接受我們採訪時表示，目前他還不能夠透露太多，主要是還在併購階段，但他認為，不只是思科旗下的威脅情報組織Talos，在SIEM、SOAR、UEBA與XDR的這些技術搭配之下，將可以更進一步幫助企業及早發現威脅。</p> <p>第三，關於今年6月Cisco Live! US大會揭露的思科安全服務邊緣（SSE）解決方案Cisco Secure Access，以及思科在零信任網路安全上的發展，思科SSE團隊產品管理副總經理Jeff Scheaffer表示，思科遵循零信任原則來實現安全存取，對於思科而言，簡單來說，SD-WAN加上雲端安全SSE，就是所謂的SASE，而SSE的重要性也相當明顯，將幫助用戶從VPN登入遷移到ZTNA環境。此外，此應用最重要的精髓在於，要讓使用者「無感」，讓使用者不會刻意察覺到安全登入的存在。</p> <p>綜觀思科的種種進展，已顯現出該公司在資安產品方面有更積極的態勢。事實上，過去，思科在資安上的布局已經很多年，除了網路設備、防火牆與視訊會議軟硬體相當廣為知名，還有像是該公司很早就併購了IronPort，進而演變為Cisco Email Security與Cisco Web Security，以及併購Sourcefire後所演變出的AMP for Endpoints，到了近年，還有2018年併購雙因素驗證服務供應商Duo Security。如今，我們可以看到思科的資安產品線，所涉及的領域，確實已經是越來越廣。</p> </div></div></div>
2023/12/6 23:00作者羅正漢https://www.ithome.com.tw/news/160194
GPT-4V最強對手來了，Google多模態Gemini模型登場，手機不連網也能從錄音檔摘要會議紀錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google正式推出了原生多模態的大型語言模型Gemini，可以同時支援文字、圖片和影音的輸入。在32項AI測試中，有30項的評分超越了OpenAI的GPT-4V。Google執行長Sundar Pichai強調，Gemini是Google有史以來最強大也是最通用的模型。Gemini預計推出三種版本，包括了模型最大的Ultra版、通用性最廣的Pro版，以及可以在手機裝置上運作的Nano版。</p> <p>Google展示了一段讓人驚訝的實測影片，來呈現Gemini多模態的回答能力，讓Gemini一邊看著（輸入）影片來解讀影片中畫面的內容。例如Gemini可以一邊解讀影片中，展示人員用手即時畫圖過程，每一個動作所對應的意義，這是隻鴨子，現在在水上游泳，有藍色外觀。當展示人員拿出實體玩具鴨子按壓發生聲音時，AI甚至打趣的說，真的拿出了呱呱叫的鴨子，AI還能糾正展示人員對於「鴨子」中文發音的重音位置錯誤。 AI能分辨人手勢代表的意義，也能分辨不同物體的異同，例如都是食物，或都是圓體。看影片還能推理出哪個杯子藏了硬幣，彷彿就像人邊看影片邊解說的行為。</p> <p>Gemini可以同時分辨和理解文字、圖片和聲音，也可以用來分辨和解釋幾種熱門開發語言，包括Python、Java、C++和Go語言，可以理解跨開發語言來推論複雜訊息。Google也用了Gemini打造了新版的程式碼生成系統AlphaCode 2，比2年前的第一代改進很多，可以解決兩倍的問題。</p> <p>Gemini使用了Google自行開發的晶片TPU訓練而成，而且使中了v4和v5e版TPU。Google同時宣布了新版TPU v5p，可用來加速Gemini模型的開發，供企業用來客製化訓練自己的LLM模型。TPU v5p單一叢集可支援到8,960顆TPU，和TPU v4相比，能夠提供2倍FLOPS的算力，記憶體頻寬也提高了3倍。</p> <p>Google目前先在Bard中使用一個微調過的Gemini Pro版本，可提供推理和計畫的回答能力。目前先釋出英語版，可再全球170個國家和地區使用，預計近期會支援更多語言。</p> <p>Gemini另一個新特色是推出了一款可以在手機上執行的Nano版Gemini模型，Google表示，甚至不需要連上網路，單靠手機上的TPU晶片也能運作，目前先支援Pixel系列手機，Pixel 8 Pro手機會是第一款。不需要連上網路，也能在手機上用Gemini來整理會議錄音檔的開會摘要內容。Nano版Gemini另外也會先用來強化Gboard的自動語音回覆輸入能力，將率先支援WhatsApp的輸入，明年計畫支援更多App。</p> <p>Google透露，目前Gemini Nano只能支援TPU晶片，未來希望能進一步跨大支援到其他手機上的AI晶片，來擴大可支援的手機類型，但Google沒有透露時間表。</p> <p>Bard從今天（12/6）已經開始使用Gemini Pro來提供回答，而Google預計從12月13日開始，在GCP Vertex AI或Google AI Studio上，開放企業透過APi存取Gemini Pro模型。</p> <p>Google目前正在進行Ultra版的信任和安全測試，包括採取外部紅隊演練，與使用RLHF進行模型優化。目前將挑選特定企業用戶或開發者進行Ultra版試用，預計明年初可以正式推出Ultra版，也會同步推出採用Ultra版的Bard進階版。不過，Google沒有透露Ultra版更明確的釋出時間。</p> <p>雖然Nano版可以離線在手機上執行，目前，企業只能透過API存取雲端Gemini模型來使用，Google沒有透露，是否未來會提供落地在企業內部部署執行的Gemini版本。</p> <p> </p> </div></div></div>
2023/12/6 23:02作者王宏仁https://www.ithome.com.tw/news/160193
資安院推動「NICS臺灣資安計畫」，為三千家中小企業和非營利組織資安扎根
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative; left: -7px; top: -9px;"> <div id="haloword-title"> <p>臺灣的中小企業企業數量超過一百萬家，加上許多資源不足的非營利組織（NPO），都是相對缺乏資源投入資安防護的企業。因為為數眾多的中小企業與非政府組織，是臺灣創新的重要動力，為了確保這些中小型企業的資訊安全，數位發展部所屬行政法人資通安全研究院（簡稱資安院）日前接受Google旗下慈善組織Google.org的一百萬美元捐贈，將推動為期兩年的「NICS臺灣資安計畫」，藉由培訓更多資安教練，為臺灣中小企業和非政府組織的資安扎根。</p> <p>中小企業和許多非營利組織是臺灣重要的創新動力，但因為資源不足，對於資安防護能力，相對於其他中大型企業顯得更弱。資安院院長何全德表示，資安院成立最重要任務之一就是人才培育，這次推動的「NICS臺灣資安計畫」，不僅要產出十份以上的教材，也要培育五十名以上的種子教師，和訓練二百名以上的學生成為諮詢人員，並協助至少三千家中小企業和非營利組織做好資安防護的工作。</p> <h3><span style="color:#FF0000;"><strong>Google.org以公益方式捐贈一百萬美元，支持臺灣資安計畫</strong></span></h3> <p>Google臺灣總經理林雅芳表示，Google5年前推出「智慧臺灣」的計畫之後，也希望能夠持續地把全世界相關的資源引進臺灣，以滿足臺灣的需要。</p> <p>舉例而言，關於各界關切的假訊息防護部分，林雅芳說，Google.org也和臺灣的「事實查核中心」合作打擊假訊息，除了在媒體事務上面的賦能，也推動相關的教育工作，像是透過學校和社區大學培養相關種子教師，協助臺灣民眾提升數位素養。</p> <p>她指出，臺灣是Google在全球少數打造實體資料中心和雲端中心的地方，也投資四條連結到臺灣的跨國海底電纜，對於相關的網路基礎建設和各種雲端服務的安全性，都必須做到最高規格的安全和備援機制，也要加強網路基礎建設的數位韌性，而資安更是數位韌性中非常重要的環節。</p> <p>林雅芳表示，Google.org透過捐助經費的方式，協助資安院推出NICS臺灣資安計畫，不只是協助強化臺灣的資訊安全，也要和臺灣各界一起建構一個永續安全的網路生態系。</p> <p>行政院副院長兼資安長鄭文燦表示，Google.org以公益方式支持臺灣資安計畫，這次鎖定對象以中小企業、微型企業和非營利組織為主，要協助上述單位組織提高資安防護等級，不只要做到資安在地化，還要做到實用化和套裝化。</p> <p>他指出，中小、微型企業相較大企業更容易受到網路攻擊、遭到損害，最基本的零信任架構和多因素認證（MFA）也無法齊備，加上有越來越多政府和民間企業發生個資外洩事件，資安院協同刑事局扮演威脅追蹤診斷的角色，代表整體社會資安意識提高，而數位部下設的資安院，更從資安培力、人才養成、技術生根、資安產業成形等層面努力，其中，數位韌性和數位永續更是面對淨零轉型和數位轉型中的兩大挑戰。</p> <h3><span style="color:#FF0000;"><strong>亞太區面臨更多網路攻擊，資安人才缺口大</strong></span></h3> <p>Google臺灣政府事務及公共政策副總經理陳幼臻表示，亞太區面臨的資安挑戰特別嚴峻，根據一份數據顯示，2022年全世界網路攻擊中，亞太區就占了31％，比歐美和全球其他區域都高。</p> <p>而Google面對亞太區的資安挑戰，則會透過三個面向協助亞太區的國家，包括：培育更多人才、分享更多資源和幫助更多的單位。在人才部分，她引述ISC2的調查，亞太區網路安全人才缺口高達267萬人，為了縮小這樣的缺口，Google也推出Google Cyber Security Certificate，提供為期六個月的線上課程，取得證書後，就可以投入相關的網路安全的工作領域。</p> <p>第二個是所謂資源的分享，陳幼臻表示，透過相互分享情報和資源，可以讓整個網路世界更安全。所以Google在2020年提出了軟體供應鏈安全框架（SLSA），這是一個安全指引，讓開發人員在開發軟體的時候，所有用的工具都是安全的。此外，因應AI的發展越來越快，Google也在今年6月，推出AI安全框架</p> <p>（Security AI Framework），主要是能夠確保AI產品的安全性，除了確保產品的組成都是安全以外，同時用這個工具可以指出 AI 系統最容易遭遇到攻擊的漏洞在哪裡。她說，Google希望這樣的產品可以讓產官學界都能夠使用，確保AI的發展能夠做到持續安全的為大家帶來更多的幫助。</p> <p>陳幼臻指出，Google注意到，在中小規模的機構往往沒有足夠的資安防護資源，</p> <p>特別在亞太區，遭受到資安的攻擊比例，比美洲或者是歐洲還高，因此，希望跟更多的非營利組織合作，協助增加這些機構的數位韌性。</p> <p>因此 Google.org今年在亞太區提供1,500萬美金給亞洲基金會（Asia Foundation），希望在亞太區服務30萬個資源比較不足的中小企業、非營利組織以及社會企業等，訓練在地的資安人才。</p> <p>她說，類似的資源這次也帶到了臺灣，提供安全的產品跟服務之餘，也希望訓練更多的種子教師、培育更多的資安人才，同時提供像資安健檢等協助，持續協助的更多單位。這個動機也促成Google.org決定在今年投入100萬美元給臺灣資安院，推動為期兩年的臺灣資安計畫，持續協助中小型企業及微型企業和非營利組織，加強他們的資安能力、提升臺灣的數位韌性，擴大臺灣的資安資源、培育更多的資安人才，建構安全且永續的資安生態系。</p> <h3><span style="color:#FF0000;"><strong>為期兩年，培訓二百位種子教師服務三千家組織</strong></span></h3> <p>數位發展部部長唐鳳表示，臺灣資安計畫是資安院成立以來，首度與國際單位合作的計畫，會透過教材和訓練種子教師的方式，為臺灣中小企業、微型企業和非政府組織等單位，帶來資安意識和升級資安技術，持續推動全民數位韌性，並感謝資安院同仁主動爭取、掌握提案機會，才能有臺灣資安計畫。</p> <p>她說，數位部在11月，經過公開徵選，選出80個在地組織、在全臺灣19個縣市成立數位服務據點，作為提供在地民眾諮詢以及資安宣導的據點，她認為，在地的資安也會跟數位服務據點達到相輔相成的目標。</p> <p>何全德指出，資安院成立後最重要的任務之一就是人才培育，有人才、有技術，才能把事情做好。所以，這次接受Google.org捐贈一百萬美元的「NICS臺灣資安計畫」，就會鎖定中小企業、微型企業和非營利組織等單位，提供資安防護服務。</p> <p>他進一步解釋，臺灣資安計畫不僅會進行科學的調查分析，了解民間的需求，也會製作大家共用的資訊教材，提供資安服務團的服務，並在臺灣各地培訓更多的資安教練，預計花兩年時間，培養出50名以上種子講師與訓練200名以上的學生成為諮詢人員。</p> <p>何全德認為，這樣的培訓經驗，也希望可以讓臺灣成為亞太區、甚至國際間的重要資安人才培訓基地。</p></div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2023/12/6 19:25作者黃彥棻https://www.ithome.com.tw/news/160192
【資安日報】12月6日，駭客謊稱要修補實際並不存在的漏洞，對WordPress網站管理者進行詐騙，宣稱提供更新散布惡意…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定WordPress網站的攻擊行動不時傳出，大多是針對外掛程式的漏洞而來，藉此入侵網站，並植入惡意程式進行控制，但最近有一起攻擊行動相當不同，駭客將計就計，反過來以此引誘管理者上當，他們謊稱網站有漏洞，要管理者儘快套用「修補程式」。</p> <p>值得留意的是，雖然駭客煞有其事地指出網站漏洞CVE編號，但其實是完全不存在的漏洞，對方也未提供進一步的細節，留下破綻；然而若是網站管理者一時不察，還是很有可能落入圈套，被誘騙安裝惡意軟體。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/fake-wordpress-security-advisory-pushes-backdoor-plugin/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假冒WordPress名義寄送資安公告，意圖推送後門程式</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2023-45124-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2023-45124-1.png" style="width: 300px; float: right;" /></a>資安業者Wordfence、PatchStack提出警告，他們發現駭客鎖定WordPress網站的管理者，寄送釣魚郵件，聲稱偵測到網站存在漏洞，有可能讓攻擊者遠端執行任意程式碼（RCE），導致網站及使用者的資料外流，呼籲管理者套用CVE-2023-45124的修補程式。</p> <p>收信人若一時不察，未驗證此資訊的可信度，就傻傻地依此指示點選下載外掛程式（Plugin）的按鈕，就會被帶往冒牌WordPress網站en-gb-wordpress[.]org，若是管理者將駭客提供的外掛程式部署於網站上，該外掛程式將會新增惡意管理員帳號wpsecuritypatch，並將網站URL及密碼打包回傳C2，然後於網站植入後門程式wpgate[.]zip，使得駭客能持續控制受害網站。</p> <p>值得留意的是，上述外掛程式會隱匿惡意管理者帳號，網站管理員難以察覺其蹤跡。PatchStack研究人員發現，駭客為了取信網站管理者，在外掛程式的留言區列出了多則假評論，並且將Automattic公司的知名人士列為開發人員。</p> <p>資料來源</p> <p>1. <a href="https://patchstack.com/articles/fake-cve-phishing-campaign-tricks-wordpress-users-to-install-malware/">https://patchstack.com/articles/fake-cve-phishing-campaign-tricks-wordpress-users-to-install-malware/</a><br /> 2. <a href="https://www.wordfence.com/blog/2023/12/psa-fake-cve-2023-45124-phishing-scam-tricks-users-into-installing-backdoor-plugin/">https://www.wordfence.com/blog/2023/12/psa-fake-cve-2023-45124-phishing-scam-tricks-users-into-installing-backdoor-plugin/</a></p> <p><a href="https://therecord.media/florida-water-agency-ransomware-cisa-warning-utilities"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國佛州水務局證實遭遇網路攻擊，疑為國家級駭客所為</span></strong></a></p> <p></p> <p>根據資安新聞網站The Record的報導，美國佛羅里達州自來水公司St. Johns River Water Management District遭到國家級駭客攻擊，其發言人表示他們的IT環境出現可疑活動，他們祭出遏止措施因應，負責監督飲用水的美國佛羅里達州水務局也證實此事。這起事故被發現，是有勒索軟體駭客組織於12月1日聲稱攻擊這家自來水公司，並公布部分竊得資料，但究竟有多少資料流出？仍有待進一步調查。</p> <p>美國水利設施近期遭到攻擊的情況已有數起，其中一起是11月26日傳出賓州阿里奎帕市水務局（MWAA）遭受網路攻擊，伊朗駭客組織Cyber Av3ngers宣稱是他們所為，揚言對所有採用以色列廠商Unitronics可程式化邏輯控制器（PLC）的系統下手；11月29日，駭客組織Daixin Team聲稱攻擊了北德克薩斯市水務局（NTMWD），竊得3.3萬個含有客戶資訊的檔案；12月1日有知情人士透露，美國政府得知多家同樣部署上述廠牌PLC系統的自來水公司，也遭到網路攻擊。</p> <p>資料來源</p> <p>1. <a href="https://therecord.media/florida-water-agency-ransomware-cisa-warning-utilities">https://therecord.media/florida-water-agency-ransomware-cisa-warning-utilities</a><br /> 2. <a href="https://therecord.media/north-texas-water-utility-cyberattack">https://therecord.media/north-texas-water-utility-cyberattack</a><br /> 3. <a href="https://edition.cnn.com/2023/12/01/politics/us-water-utilities-hack/index.html">https://edition.cnn.com/2023/12/01/politics/us-water-utilities-hack/index.html</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/tipalti-investigates-claims-of-data-stolen-in-ransomware-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國金融科技業者Tipalti傳出遭到勒索軟體駭客組織BlackCat攻擊，外流256 GB資料</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/blackcat-tipalti.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/blackcat-tipalti.jpg" style="width: 300px; float: right;" /></a>上週末勒索軟體駭客組織BlackCat（Alphv）聲稱入侵美國金融科技業者Tipalti，取得256 GB內部資料，這些駭客表明從9月8日就能夠存取多個Tipalti，取得的資料包含了影音串流服務平臺Twitch、線上遊戲業者Roblox等客戶的資料，並揚言週一（12月4日）開市後要向Twitch、Roblox聯繫。</p> <p>對此，Tipalti也於12月4日向資安新聞網站Bleeping Computer提出說明，他們正在著手調查駭客的說法；Roblox發言人表示正與Tipalti合作調查此事，該公司系統並未受到影響，此外，他們也沒有收到駭客的通知。</p> <p>值得留意的是，這次駭客在向受害組織進行勒索之前，先行公布組織名稱，這樣的做法相當不尋常。駭客聲稱這麼做的原因，在於Tipalti的資安險保單並未涵蓋贖金，而且，他們認為該公司不會付錢。這些駭客也打算對Tipalti其他客戶進行勒索，但沒透露掌握那些公司的資料。</p> <p><a href="https://www.cadosecurity.com/p2pinfect-new-variant-targets-mips-devices/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">MIPS架構IoT設備遭殭屍網路P2Pinfect鎖定</span></strong></a></p> <p></p> <p>資安業者Cado揭露最新一波殭屍網路P2Pinfect的攻擊行動，這次駭客鎖定的是採用MIPS架構的物聯網裝置，利用SSH連線存取目標裝置，並透過弱密碼嘗試入侵，得逞後使用SFTP及SCP協定下載MIPS可執行檔案，但研究人員也看到利用名為redis-server的OpenWRT套件散布殭屍網路病毒的情況。</p> <p>研究人員分析該病毒，指出是32位元的ELF可執行檔，但駭客也嵌入了64位元的Windows動態連結程式庫（DLL），目的是用來當作Redis的載入模組，執行Shell命令。</p> <p>這個病毒採用多種躲避分析的手法，例如：針對處理程序執行檔的TracerPid參數進行檢查，找出可能在追蹤惡意軟體的資安工具並予以終止；為了避免留下事件記錄，該病毒使用系統呼叫的方式，停用Linux系統核心的輸出功能，以免記憶體內容讓攻擊活動曝光；至於前述的嵌入DLL檔案，被查出具有迴避虛擬機器（VM）的功能。</p> <p><a href="https://vulncheck.com/blog/go-repojacking"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">GitHub有1.5萬個Go程式套件模組拉警報！存在儲存庫可能遭挾持攻擊的風險</span></strong></a></p> <p></p> <p>今年6月，資安業者Aqua Security提出警告，GitHub多達數百萬個軟體專案可能面臨儲存庫挾持（Repojacking）的威脅，他們呼籲曾經更換儲存庫名稱的企業組織要特別防範，如今有新的調查指出，以Go語言開發的套件模組特別容易成為目標。</p> <p>資安業者VulnCheck針對逾8萬個Go模組的GitHub儲存庫進行調查，結果發現至少有1.5萬個面臨儲存庫挾持的風險，其中有9千個是因為更換了GitHub使用者名稱，6千個是GitHub帳號已經刪除而曝險。</p> <p>研究人員指出，採用Go語言打造的套件特別容易受到這種攻擊，原因是這類套件不像NPM、PyPI有專屬的套件儲存庫，Go開發者大多透過GitHub或Bitbucket進行程式碼管理、版本控制，然而，任何人都有可能使用Go Module Mirror或pkg.go.dev暫存、同步複製這些套件的資料，開發人員一旦變更原本專案的使用者名稱或是刪除GitHub、Bitbucket帳號，導致帳號名稱遭到棄用而被釋放出來，後續攻擊者一旦註冊這個名稱，就能奪得原本被棄用的軟體專案，再進行濫用，例如，上傳新的惡意套件，並透過前述的同步複製系統散布。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.jamf.com/blog/fake-lockdown-mode/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露針對iPhone的新型態攻擊手法，假借啟動封閉模式降低用戶戒心</span></span></strong></a></p> <p></p> <p><a href="https://twitter.com/MsftSecIntel/status/1730383711437283757"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織DanaBot透過惡意廣告散布勒索軟體Cactus</span></span></strong></a></p> <p><a href="https://www.securityweek.com/hackers-hijack-industrial-control-system-at-us-water-utility/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"></span></span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/new-relic-says-hackers-accessed-internal-environment-using-stolen-credentials/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">網路基礎設施監控業者New Relic遭遇網路攻擊，駭客透過社交工程手法竊得員工帳密得逞</span></span></strong></a></p> <p></p> <p><a href="https://www.secureworks.com/blog/vidar-infostealer-steals-booking-com-credentials-in-fraud-scam"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借提供操作手冊的名義，對訂房網站Booking.com的用戶散布竊資軟體Vidar</span></span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/unpatched-loytec-building-automation-flaws-disclosed-2-years-after-discovery/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">台達電旗下大樓自動化業者Loytec控制設備存在漏洞</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160172"><strong>【12月5日】美國航太組織遭到駭客組織AeroBlade鎖定，對其發動兩波攻擊，採用隱匿手法從事網路間諜行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160152"><strong>【12月4日】研究人員揭露竊資軟體Lumma攻擊行動，駭客佯裝金融服務業者寄送發票，將用戶導向不存在的網頁迴避偵測</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160108"><strong>【12月1日】美國賓州水利設施遭伊朗駭客攻擊，CISA呼籲管理者應修改設備預設密碼、採用雙因素驗證，強化基本防護力</strong></a></p> </div></div></div>
2023/12/6 18:18作者周峻佑https://www.ithome.com.tw/news/160190
微軟公布Windows 10的付費延伸安全更新方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Windows 10最後一個版本Windows 10 22H2於2022年10月釋出後，微軟已決定要在2025年10月14日，正式終止Windows 10的生命周期，為了那些非得使用Windows 10的客戶，<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/plan-for-windows-10-eos-with-windows-11-windows-365-and-esu/ba-p/4000414" target="_blank">微軟周二（12/5）公布</a>了Windows 10的付費延伸安全更新方案（Extended Security Update，ESU）方案，最多可再取得3年的安全更新。</p> <p>Windows 10生命周期的終止，意味著微軟將不再提供各種問題的臭蟲修復，不再修補安全漏洞，不再更新時區，也不再提供任何技術支援。此一終止涉及所有版本的 Windows 10，但並不包括Windows 10 IoT Enterprise LTSE與Windows 10 IoT Enterprise。</p> <p>其實微軟相對希望用戶升級到Windows 11以獲得更好的安全保障，也能充分利用新功能，但對於無法及時升級的用戶，微軟則提供了許多選項，其中之一是付費訂閱延伸安全更新方案，該方案每年一約，可訂3年，由微軟提供Windows 10的每月安全更新，包括重大（Critical）與重要（Important）更新，但僅止於此，既沒有新功能，也沒有非安全更新，無設計變更，也不提供安全更新以外的技術支援。</p> <p>另外兩個選項則是針對既有用戶的免費服務。Windows 365客戶的Windows 10裝置可透過連結至執行Windows 11的Cloud PC，免費取得延伸安全更新，若是在Azure Virtual Desktop上執行的Windows 10實例，也能免費取得延伸安全更新。</p> </div></div></div>
2023/12/6 15:10作者陳曉莉https://www.ithome.com.tw/news/160188
中信金控首度公開自行研發的生成式AI智能助理，以擬真客服人員提供信用卡產品諮詢和財管建議服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI爆紅後，這股風潮也吹入臺灣金融業，不少業者表示正在評估這項技術，金管會也因應AI技術發展，在十月中發布了金融業運用AI的核心原則，更會在今年年底前，發布依6項原則訂定的「金融業運用AI指引」，作為金融業發展生成式AI應用的規範指引。</p> <p>近期，臺灣也有金融業者對外展示了生成式AI打造的客服助理，中國信託銀行是其中一家金融機構，他們公開展示了內部實驗專案，藉GPT模型打造AI智能助理，提供財富管理建議和信用卡產品諮詢服務。這個工具是由中信內部團隊自行研發的生成式AI應用。</p> <p>在信用卡產品諮詢服務上，使用者可以選取建議問題或自行提問，智能助理就會生成信用卡建議，例如，提問出國玩最適合刷哪張卡，助理會提供三張卡片建議，依序說明卡片一般回饋、特定回饋和年費資訊。使用者可以進一步向助理要求比較特定兩張信用卡的優惠資訊，並追問特定信用卡的詳細介紹，了解更多優惠資訊。</p> <p>在財富管理服務上，雖然現場展示的AI助理僅能讓民眾以選項來獲得理財建議，但中信表示，未來也會以自行提問的方式，針對使用者的年齡、投資經驗和存錢目標，來提供投資建議。不過，中信金控科技長賈景光也表示，考量生成式AI仍有生成錯誤回應的風險，且相關法規尚未發佈，中信明年上半年會優先推內部使用生成式AI，待確定技術穩定，再向一般顧客推出。</p> <p>中信銀行表示，他們目前實驗生成式AI的方式會採用地端和雲端模型，不會僅用單一模型。中信銀模型選用的考量主要有三點，第一項考量，是需要根據模型專長和業務情境來選擇合適的模型，不同模型的專長領域有所差異；第二項則會考量速度，例如使用部署在雲端的模型，可能要根據上雲規範向主管機關進行報部，需要等待程序的時間，而使用地端模型時，雖然可以直接操作，卻可能需要額外購買硬體設備。最後一項則是成本考量，例如使用地端模型所需的硬體設備，和使用雲端模型所需的雲端服務費用。</p> <h3>三年前曾用GPT2.0打造行銷文案輔助工具</h3> <p>其實，早在生成式AI尚未爆紅前，中信就曾開始實驗生成式AI。三年前，他們內部曾試用GPT2.0打造一個名為「AI張愛玲」的文案工具，目的是協助內部PM製作行銷文案。隨著GPT3.5推出，他們進一步使用GPT3.5來升級文案工具，改名為「AI妙花筆」，目前已實際開放給內部PM人員輔助書寫行銷文案。</p> <p>選擇以生成式AI開發顧客智能助理，也對應到中信的科技發展策略。五年前，中信創立數據研發中心（現升級為數據暨科技研發處），作為研發科技應用的單位，以AI作為技術發展重點，並喊出要以虛擬行員來打造創新的金融商業模式。隨著生成式AI崛起，讓中信更專注發展虛擬行員，顧客智能助理正是其中一項應用。</p> <p></p> </div></div></div>
2023/12/5 16:20作者李昀璇https://www.ithome.com.tw/news/160169
微軟Copilot升級至DALL-E 3與GPT-4 Turbo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周二（12/5）為了慶祝Copilot上線一周年，推出整合所有Copilot服務的Microsoft Copilot網站，<a href="https://blogs.microsoft.com/blog/2023/12/05/celebrating-the-first-year-of-copilot-with-significant-new-innovations/" target="_blank">同時宣布</a>升級底層技術至新版DALL-E 3與GPT-4 Turbo，也準備支援結合搜尋的多模態能力，直接改寫網路內容，程式碼解釋工具及深度搜尋等功能。</p> <p>Copilot是個整合Bing搜尋與GPT的聊天機器人，上線兩周的<a href="https://copilot.microsoft.com/" target="_blank">Microsoft Copilot</a>讓用戶可使用各種Copilot服務，從聊天、建立表格、比較產品、購物、笑話、寫作到文字生成圖像等，等於是Copilot的入口網站。</p> <p>文字生成圖像模型DALL-E可透過bing.com/create或Microsoft Copilot使用，相較於舊版的DALL-E 3，新版可帶來更高品質且更符合提示的圖像，目前已經上線。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1206-microsoft%20copilot-New%20DALL-E%203%20Model.jpg" style="width: 600px;" /></p> <p>即將上線的GPT-4 Turbo為OpenAI所開發的最新模型，可處理更複雜與更長的任務，例如撰寫程式碼等，此一功能目前正在進行封閉測試，預計未來幾周就會整合至Copilot。</p> <p>微軟還打算讓Microsoft Edge用戶可於所造訪的網站上，圈選網頁上的文字後直接利用Copilot改寫；至於多模態功能則是整合GPT-4 with Vision與Bing搜尋，讓使用者更能理解圖像內容，由於結合了搜尋，因此將能夠提供更詳細的背景資訊；另一個新功能是利用AI來協助使用者理解影片內容。當使用者於Microsoft Edge中觀看YouTube影片時，可以請Copilot協助摘錄影片內容。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1206-Video%20understanding%20and%20Q%26A%20%E2%80%93%20Copilot%20in%20Edge-600-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1206-Video%20understanding%20and%20Q%26A%20%E2%80%93%20Copilot%20in%20Edge-600.png" style="width: 600px;" /></a></p> <p>微軟亦透露正在開發一項新的AI能力，以讓使用者執行更複雜的任務，涵蓋精確計算、撰寫程式碼、資料分析、視覺化或數學等，未來Copilot將可撰寫程式來回應使用者的請求，於沙箱環境中執行程式，亦允許使用者上傳檔案至Copilot或自Copilot匯出檔案。</p> <p><a href="https://blogs.bing.com/search-quality-insights/december-2023/Introducing-Deep-Search" target="_blank">深度搜尋</a>主要建立在Bing既有的網頁索引及排名系統上，並利用GPT-4 加以強化。簡單地說，GPT-4 將會把使用者的簡單查詢轉為更全面的描述，以期產生更有用且詳細的結果。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1206-Microsoft%20Bing-GPT-4-Deep%20Search(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> </div></div></div>
2023/12/6 13:22作者陳曉莉https://www.ithome.com.tw/news/160187
Meta、IBM等合組開源AI聯盟，與OpenAI、Google等別苗頭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.meta.com/blog/ai-alliance/" target="_blank">Meta、IBM周二（12/5）宣布</a>偕同英特爾、AMD、Linux基金會等企業與研究、學術單位合組AI聯盟，推動AI開源碼技術的開發及共享，以促進負責任AI的發展。</p> <p>這個組織創始成員除了Meta、IBM外，還包括英特爾、AMD、Dell、Stability AI、Hugging Face、甲骨文、Red Hat、Sony、ServiceNow、Linux基金會等業者，美國航太總署（NASA）、歐洲核子研究組織（CERN）、醫學中心Cleveland Clinic，以及哈佛大學、耶魯大學、洛桑聯邦理工學院、加州大學柏克萊分校、東京大學等50多個組織單位。</p> <p>AI聯盟指出，為提供AI研究人員、開發人員及使用者必要的工具來駕馭AI，實現安全、多元、商機及效益，開放與透明為關鍵，透過協同及資訊分享以加速創新，發現並且預防AI風險。為此，AI聯盟聚集開發人員、科學家、新創公司、企業、學術單位等，提供一個平臺匯集資源，以提供符合各個角色需求的解決方案。其目的是，藉由公開和分享，避免如ChatGPT這類封閉式AI引發的偏見、假資訊、AI幻覺、漏洞等疑慮。</p> <p>AI聯盟的開發計畫包括，支援大規模AI的負責任開發及使用的安全工具及標準，像是建立AI安全及信任的工具型錄（catalog），也將協助這些工具在開發商之間的傳布；解決氣候、教育等問題的多模態、多語的科學模型；強大的AI硬體加速器；協助全球性的AI技術養成；開發AI教育、規範的教育內容，以及推動負責任AI開發的宣導活動。</p> <p>接下來AI聯盟將依據上述主題組成工作小組、成立治理委員會及技術審查委員會，並且建立專案標準與指引。而除了AI界的產、學、研界外，AI聯盟也計畫和政府、非營利機構與公益組織的現行計畫合作。</p> <p>值得一提的是，一些知名AI模型如Llama、Stable Diffusion、StarCoder、Bloom等開發商，像是Meta、Stability AI、ServiceNow、Hugging Face等，以及雲端業者如IBM、甲骨文都在創始成員之列，獨缺微軟、Google、OpenAI及Amazon/AWS等，明顯集結開源碼業者之力，與專屬AI模型陣營分庭抗禮。</p> </div></div></div>
2023/12/6 12:29作者林妍溱https://www.ithome.com.tw/news/160186
AWS推出Application Composer擴充套件，運用AI簡化雲端程式架構設計流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS推出了<a href="https://aws.amazon.com/tw/blogs/aws/ide-extension-for-aws-application-composer-enhances-visual-modern-applications-development-with-ai-generated-iac/">Application Composer整合開發環境的擴充套件</a>，開發者可以直接在IDE中取用Application Composer的功能，以視覺化操作方法，更有效率地設計和部署雲端應用程式，在提升效率的同時，還能減少開發複雜性。開發者現在已經可以在VS Code中安裝最新的AWS Toolkit擴充套件，開始使用Application Composer。</p> <p>AWS在2022年推出了Application Composer，這是一個視覺化工具，讓開發人員可以透過拖放操作，連接和分組AWS服務，更簡單地設計和開發應用程式架構。而Application Composer會根據根據開發者的基礎設施配置，即時生成基礎設施即程式碼（IaC）模板。</p> <p>而新推出的Application Composer擴充套件，讓開發者可以在熟悉的IDE工具中，用到與Application Composer相同的視覺化拖放操作體驗，快速地建立想法原型，並把重點擺在編寫程式碼上。作為IDE的擴充套件，還能夠和IDE中的各種工具整合，提供即時生成IaC模板，以及AWS無伺服器應用模型整合，方便管理和部署無伺服器應用程式。</p> <p>Application Composer擴充套件還會運用生成式人工智慧，在CloudFormation模板中即時生成程式碼建議，透過減少開發者手動編寫程式碼以提高生產力。開發者在Application Composer擴充套件視覺化畫布上所做的任何更新，都會即時反映在IaC模板中，而透過使用IaC模板，便可以簡化使用AWS無伺服器應用模型（Serverless Application Model，SAM）命令列工具管理應用程式的工作，並促進持續整合和持續交付工作流程。</p> <p>此外，Application Composer新功能還會使用人工智慧生成程式碼建議，協助開發人員快速設定和使用AWS雲端資源，像是修改訊息佇列服務Amazon MQ等CloudFormation資源配置，進而簡化IaC資源的整合。這不只提升了開發速度，也減少開發者在上下文間切換的需求。目前Application Composer擴充套件僅適用於VS Code，作為免費功能提供，用戶不需要登入AWS帳戶就可以使用。</p> </div></div></div>
2023/12/6 09:52作者李建興https://www.ithome.com.tw/news/160173