iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 5篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 14:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

駭客利用Google OAuth端點刼持帳號，即使用戶變更密碼或登出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員發現一個之前不為人所知的Google端點，可被駭客用來恢復原本失效的連線或重覆產生cookies，即使用戶變更了密碼，藉此劫持用戶Google帳號。</p> <p><a href="https://www.ithome.com.tw/news/160011" target="_blank">11月資安廠商發現</a>一個Lumma竊資軟體服務，其開發人員宣稱其軟體能從受害電腦竊取與Google服務有關的cookie，之後可用以劫持Google帳號，強調使用者就算登出、更換密碼，原本的cookie依然能用。不過該軟體成功讓cookies「復活」的方法仍不得而知。但另一家資安業者CloudSEK揭露其中原理，發現和Google一個名為MultiLogin的端點有關。</p> <p><a href="https://www.cloudsek.com/blog/compromising-google-accounts-malwares-exploiting-undocumented-oauth2-functionality-for-session-hijacking" target="_blank">CloudSEK</a>研究團隊2023年10月發現一個名為PRISMA的駭客在Telegram頻道上，宣傳一個零時差攻擊的解決方案以招攬客戶。他宣稱其方法可以長時間維持有效連線（session），即使帳號變更了密碼，也可以產生cookies以便連線中斷後能再登入受害者帳號。</p> <p>研究人員表示，11月底流傳的數項竊資軟體都包含這方案，顯然為其「客戶」，包括Lumma、Rhadamanthys、Risepro、Meduza、Stealc Stealer等。而Eternity Stealer也正在開發包含本技術的更新版。</p> <p>CloudSEK研究人員透過逆向工程，揭露出本方案的運作方式。竊資軟體是鎖定Chrome的WebData檔中的Token_service表，目前在擷取GAIA ID，以及加密用的token，後者又是利用儲存於UserData資料夾的Chrome Local State的加密金鑰來解密。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0102-chrome%20Token_service%20image%20by%20CloudSEK.png" style="width: 600px;" /></p> <p><span style="font-size: 14px; color: rgb(105, 105, 105);">圖片來源_</span><a href="https://www.cloudsek.com/blog/compromising-google-accounts-malwares-exploiting-undocumented-oauth2-functionality-for-session-hijacking" style="font-size: 14px;" target="_blank"><span style="color: rgb(105, 105, 105);">CloudSEK</span></a></p> <p>但另一關鍵在於Google端點MultiLogin。這個端點雖然被用於駭客的方案中，但卻未明載於Google文件。MultiLogin端點是Google OAuth系統很重要的環節，可利用帳號ID和auth-login token實現同步連線或在使用者多個用戶資料檔（user profile）之間無縫切換。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0102-chrome%20Reverse%20Engineered%20Exploit%20code.png" style="width: 543px;" /></p> <p><span style="font-size: 14px; color: rgb(105, 105, 105);">圖片來源_</span><a href="https://www.cloudsek.com/blog/compromising-google-accounts-malwares-exploiting-undocumented-oauth2-functionality-for-session-hijacking" style="font-size: 14px;" target="_blank"><span style="color: rgb(105, 105, 105);">CloudSEK</span></a></p> <p>竊資軟體Lumma的方法就是結合使用Google Chrome取得的GAIA ID/token及MultiLogin端點，得以重新產生Google服務cookies。Lumma的創新在於以私有金鑰加密GAIA ID/Token。這可以避免其技巧被其他惡意組織模仿，也能防範被網路安全軟體偵測到MultiLogin端點和外部惡意程式C2伺服器的連線，而曝露行蹤。不過Lumma之後使用SOCKS代理伺服器迴避Google防範重新產生cookies的作法，無意間洩露其蹤跡。</p> <p>Lumma可以持續重新產生Google服務的cookies，即使用戶重設密碼，允許駭客能不斷存取用戶Google帳號而不被發現，而且加密token的行為，也突顯網路攻擊手法日漸高明。</p> </div></div></div>
2024/1/2 08:44作者林妍溱https://www.ithome.com.tw/news/160629
傾斜PC螢幕模式可滿足寫程式需求，但只有Linux支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電腦專業使用者想方設法在有限螢幕面積顯示出最多內容。一名玩家及開發人員測試發現，只有Linux能滿足螢幕不同傾斜角度的執行需求。</p> <p><a href="https://sprocketfox.io/xssfox/2021/12/02/xrandr/" target="_blank">一名電腦玩家xssfox近日測試</a>有別於傳統直式（Portrait）或橫式（Landscape）螢幕模式執行應用程式，並且找出執行何種任務下，螢幕擺出何種角度能看到最多內容。他是利用xrandr（X Resize and Rotate）這個工具。xrandr是Linux官方的螢幕設定拓展工具，可用以設定螢幕模式、調整解析度、旋轉角度等行為。</p> <p>不過xssfox指出，xrandr在macOS和Windows上有點難操作，事實上他在自己的MacBook上就無法執行xrandr，但在Linux上，想要傾斜幾度都沒問題。</p> <p>至於要傾斜多少角度才能提供最好的體驗，則要取決於使用情境。根據這名用戶測試，橫式適合多種情境，也相當適合看影片，但看網頁或文件就會浪費旁邊的空間。反之，直式適合看文件，尤其是多頁數文件，看影片時觀影畫面受限，也有視角問題。</p> <p>而在對角線螢幕模式（diagonal monitor mode，即以螢幕對角線為畫面水平線）能看到比直式更多畫面。雖然45度是正方形的對角線，但不適合現有長寬比（如16:9或更寬）的螢幕。這名用戶在其21:9螢幕上測試出最佳的傾斜角度為22度，能提供最長寬度，而不需擔心寫程式視野受限，唯一缺點是外接的web cam可能會滑下來。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0102-Ideal%20monitor%20rotation%20for%20programmers-image%20by%20xssfox-600.jpg" style="width: 600px;" /></p> <p><a href="http://sprocketfox.io/xssfox/2021/12/02/xrandr/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_xssfox</span></span></a></p> <p>這位開發人員也分享了一支Javascript計算程式，可為不同螢幕產生xrandr的角度及設定指令。</p> </div></div></div>
2024/1/2 09:19作者林妍溱https://www.ithome.com.tw/news/160630
Ruby 3.3.0採用Prism作為預設解析器並改進YJIT效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ruby開發團隊今年也按聖誕節當天發表更新的慣例釋出<a href="https://www.ruby-lang.org/en/news/2023/12/25/ruby-3-3-0-released/">Ruby 3.3.</a>0，該版本增加了一個名為Prism的新解析器，並且使用Lrama解析器生成器替換Bison，在編譯器更新上改進YJIT的效能，也加入開發團隊最近正在實驗的純Ruby JIT編譯器RJIT。</p> <p>Prism解析器是一個專為Ruby程式語言設計的遞迴下降解析器（Recursive Descent Parser），具有可移植、容錯和可維護等特性，作為Ripper的替代工具，提供更加現代且靈活的解析解決方案，已經可在生產環境中使用。</p> <p>遞迴下降解析器是一種程式語言解析演算法，能夠基於文法規則將程式碼轉換成特定形式的結構，像是抽象語法樹（AST）等。Prism既是CRuby內部使用的C函式庫，也可供任何需要解析Ruby程式碼工具使用的Ruby套件（Gem），而現在Prism解析器為Ruby 3.3.0的預設套件（Gem），方便開發者在Ruby環境中執行程式碼解析。</p> <p>而Ruby 3.3.0中用來代替傳統Bison的Lrama解析器生成器，主要用於Ruby程式語言的解析。Bison一直以來都是解析器生成的非常受歡迎工具，但Bison的文法限制和錯誤恢復的能力有限，再加上使用的複雜性，在部分情況下可能成為開發障礙，相較之下，Lrama是一種更為靈活的解析生成工具，特別適用於Ruby程式語言。</p> <p>Lrama主要優勢在於可維護性和可擴展性，像是支援參數化規則，在Ruby的parse.y中就非常有用。支援參數化規則使得解析器可以更容易地處理複雜語言結構，提高解析器的靈活性和適應性。此外，Lrama內部的解析器被替換成為由Racc生成的LR解析器，進一步提升可維護性。這些改進都是在替Ruby的未來發展鋪路，有助於使Ruby語言解析過程更加高效精確。</p> <p>Ruby 3.1初次加入的程序內編譯器YJIT，在Ruby 3.2成為正式功能，而後開發團隊繼續改進，在Ruby 3.3.0中YJIT的效能獲得提升。YJIT在記憶體使用上，相較於Ruby 3.2有明顯的改進，編譯程式碼的後設資料使用更少的記憶體，並且添加新的閾值配置來提升效能。</p> <p>針對Arm64架構，YJIT生成更加緊湊的程式碼，另外，程式碼垃圾回收現在預設停用，開發者需要手動啟用。YJIT在執行時的啟動功能也獲得強化，開發者可以在執行時啟用YJIT，因此像是Ruby on Rails 7.2也可以在預設情況下啟用YJIT。YJIT預設提供更多統計資料，增加新的效能分析功能，例如—yjit-perf和—yjit-trace-exits。官方也提到，這個版本的YJIT經過更全面的測試，已修復多個錯誤，進一步提升了穩定性和可靠性。</p> <p>Ruby 3.3.0還加入了全新純Ruby語言實作的即時編譯器RJIT來取代MJIT，RJIT與MJIT不同，在執行時不需要C編譯器，這個重要特性可以降低使用JIT的複雜性，並提高在不同環境中的可用性。RJIT目前仍是一個實驗性質的專案，僅支援Unix平臺上的x86-64架構，官方建議在生產環境還是先使用更成熟，且支援多種架構與平臺的YJIT。</p> </div></div></div>
2024/1/1 11:52作者李建興https://www.ithome.com.tw/news/160618
【資安週報】2023年12月25日到12月29日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>時至2023年最後一星期，適逢歐美各國聖誕連假，各大資安媒體雖然大多暫停發布新聞，期間仍有零時差漏洞攻擊的揭露。在12月24日，資安業者Barracuda Networks發布資安公告，指出中國駭客UNC4841再次鎖定他們的產品發起零時差漏洞攻擊，導致部分郵件安全閘道（ESG）植入惡意軟體Seaspy及Saltwater的新型變種，該公司已於21日派送自動軟體更新修補，並指出該漏洞CVE-2023-7102存在於ESG產品中，Amavis病毒掃描程式元件的第三方程式庫Spreadsheet::ParseExcel。這項消息呼應我們先前報導，當時我們提醒大家注意零時差漏洞攻擊出現鎖定底層元件進行濫用的狀況，而上述事件無疑再次反映此一態勢。</p> <p>還有兩個漏洞修補消息值得重視，首先，Apache基金會在12月先後修補旗下ERP系統OFBiz的2個CVSS風險評分9.8分的重大漏洞，分別是：CVE-2023-49070、CVE-2023-51467。值得注意的是，資安業者已發現攻擊者掃描存在漏洞的系統，再加上有不少系統將之整合或採用，因此影響範圍預估不小，像是Atlassian的JIRA就包含了OFBiz，企業須注意相關後續修補動向；另一是英商Canonical針對Ubuntu作業系統修補了文字編輯器Vim的15個漏洞，其中4個為CVSS風險評分7.8分的高風險層級。</p> <p>此外，關於半年前攻擊者針對iOS發起的Operation Triangulation攻擊行動，最近卡巴斯基揭露相關細節之外，還指出攻擊者所利用4個零時差漏洞中，仍有一個漏洞的濫用方式不明。</p> <p>在威脅態勢方面，SSH安全問題在這星期幾篇資安新聞當中均提及，例如，先前有大學研究人員揭露Terrapin攻擊手法與3個漏洞，最近韓國資安業者AhnLab提出警告，指出發現攻擊者鎖定執行Linux作業系統的SSH伺服器，並針對缺乏相關安全設置的主機發動攻擊。</p> <p>而從產業面來看，這星期我們看到網路訂房與飯店業，以及遊戲業的狀況較多，各有兩篇資安新聞。</p> <p>首先是旅館業者的服務生態鏈，例如，這幾個月持續有駭客鎖定Booking.com用戶詐騙的揭露，如今又有資安業者指出這是一種B2B2C形式的手法，先針對飯店員工網釣下手，在以飯店業者帳號登入Booking.com去詐騙客戶；另一是竊資軟體RedLine、Vidar的攻擊行動，同樣是駭客假借客人投訴與訂房為由，引誘飯店人員點擊釣魚郵件。</p> <p>遊戲業者的資安事故方面，這段期間各大資安媒體均報導下列兩則消息，一是法國遊戲開發商Ubisoft遭駭客入侵48小時，所幸公司管理員察覺異常、險些遇害的揭露；另一是傳出俠盜獵車手V（GTA 5）原始碼外流的情況，根據後續的情報表示這是2022年RockStar Games遭駭時流出。</p> <p>在防禦態勢方面，2023年全球資安界均相當關注生成式AI資安應用的現況，而我們最近發布的封面故事也特別以此為題進行報導，當中可以看出<a href="https://www.ithome.com.tw/news/160608">不少全球大型IT與資安廠商已經實際付諸行動</a>，也出現<a href="https://www.ithome.com.tw/news/160610">臺灣資安業者及早布局、累績發展設類新技術的經驗</a>，原因在於他們看重生成式AI能分析龐大資料的能力，用自然語言輸入來提示與回答，大幅提升資安事件處理效率，預料未來會有更多廠商跟進，將開啟<a href="https://www.ithome.com.tw/article/160614">2024年AI資安的新格局</a>。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/160527"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月25日】駭客集團UAC-0099鎖定烏克蘭組織並利用WinRAR漏洞植入惡意程式LonePage</span></strong></a></h3> <p style="margin: 0px;">駭客近期利用WinRAR漏洞CVE-2023-38831的情況，有越來越頻繁的趨勢，而且有不少是國家級駭客組織從事相關攻擊。攻擊者利用該漏洞最重要的原因之一，就是此壓縮軟體並未內建自動更新機制，使用者若不手動升級新版軟體，就會持續曝露在這項漏洞當中，而使得對方有機會成功利用。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">最近有研究人員針對駭客組織UAC-0099的攻擊行動進行調查，結果發現，這些駭客散布惡意軟體的管道，其中一種就是這項WinRAR漏洞。</p> <h3><a href="https://www.ithome.com.tw/news/160548"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月26日】有人入侵遊戲開發商Ubisoft並企圖竊取《虹彩六號：圍攻行動》的內部資料</span></strong></a></h3> <p style="margin: 0px;">今年有多起鎖定遊戲公司的攻擊行動，從年初電玩遊戲開發商Riot Games證實遭駭，旗下《英雄聯盟》及防作弊系統的原始碼遭竊，到最近Sony旗下電玩業者Insomniac Games遭勒索軟體Rhysida入侵，偷走處於開發狀態的電玩遊戲《金鋼狼》相關資料，這類資安事故有越來越頻繁的情況。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">而在本日的資安新聞裡，傳出有人對電玩開發商Ubisoft發動攻擊，該公司在兩天之內察覺有異，並做出處理，使得受害情況得到控制，但攻擊者身分仍不得而知。</p> <p><a href="https://www.ithome.com.tw/news/160564"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月27日】有人散布《俠盜獵車手V》原始碼並向甫遭判決的駭客組織Lapsus$成員致敬</span></strong></a></p> <p style="margin: 0px;">近期歐美國家取締網路犯罪組織的執法行動大有斬獲，例如，1月破壞勒索軟體Hive的基礎設施，8月摧毀70萬臺電腦組成的QBot殭屍網路等，駭客因此元氣大傷、消聲匿跡一段時日。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">12月19日再度傳出美國FBI宣布奪下勒索軟體駭客組織BlackCat網站，但對方在一天內又取回網站，顯然這次執法行動受到阻礙。駭客表示，只要是在獨立國家國協以外的企業組織，都可能是他們的目標。</p> <h3><a href="https://www.ithome.com.tw/news/160596"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月28日】別以為使用SSH連線就會比較安全！採用容易猜到的帳密有可能將Linux伺服器拱手送給駭客</span></strong></a></h3> <p>透過SSH連線遠端管理Linux伺服器的方法相當普遍，但若是使用極為容易猜到的帳號和弱密碼，小心！很有可能成為下手的目標，而成為駭客擺布的對象。</p> <p>這樣的現象，資安業者AhnLab今年多次提出警告，而這次他們指出駭客對其部署挖礦程式、DDoS機器人，同時還有可能植入各式的惡意軟體來上下其手。</p> <h3><a href="https://www.ithome.com.tw/news/160616"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月29日】Booking.com合作旅館、房客面臨網釣攻擊且外洩個資出現轉交其他團體兜售現象</span></strong></a></h3> <p>今年駭客針對Booking.com房客發動攻擊的情況不時傳出，其特別之處在於，駭客並非直接對房客下手，而是先對旅館發動網釣攻擊，再假借這些旅館的名義對房客行騙，房客一不注意對方提供的網址是假冒的就點進去查看，很容易上當。</p> <p>值得留意的是，這樣的情況日益惡化，甚至已經在網路犯罪圈發展成上下游分工的情況──有人專門收集旅館的Booking.com帳密供打手運用。</p> </div></div></div>
2023/12/31 21:10作者羅正漢https://www.ithome.com.tw/news/160628
替雲服務榨出更多運算資源，英特爾推出首款ASIC架構IPU
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/intel_ipu_e-2000_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於全球三大公有雲服務供應商（CSP）而言，這幾年陸續揭露本身IT基礎架構進行改良的技術發展。以AWS為例，2013年開始研發<a href="https://www.ithome.com.tw/news/141770">Nitro系統架構</a>，2017年正式公開，如今已開展出Nitro Cards、Nitro Security Chip、Nitro Hypervisor、Nitro Enclaves、NitroTPM等多項技術。</p> <p>其他雲端服務業者也急起直追。例如，微軟在2018年3月發表論文，揭露2015年開始部署基於FPGA晶片而成的訂製型SmartNIC，以此建置加速網路環境<a href="https://learn.microsoft.com/en-us/azure/virtual-network/accelerated-networking-overview?tabs=redhat">Azure Accelerated Networking（AccelNet）</a>，並提及他們打造的兩代Azure SmartNIC，後續升級採用Intel Arria 10 FPGA技術。到了2023年，7月下半微軟預告將推出全新的系統架構Azure Boost，11月中正式上線。根據微軟目前公開的文件指出，此架構可將網路、儲存、伺服器管理等傳統由Hypervisor與作業系統處理的工作，卸載到專屬設計的硬體與為此進行調校的軟體執行，整體配置包含多種元件，目前已知有網路卡Microsoft Azure Network Adapter（MANA）、固態硬碟Azure Boost SSD、Azure Boost系統單晶片（SoC）、Azure Boost FPGA晶片，以及Cerberus硬體信任根晶片、SELinux作業系統（不過，他們並未透露與Azure既有加速網路環境的差異）。</p> <p>Google Cloud這兩年也開始公開相關的技術進展，像是2022年10月他們發表C3系列運算服務，除了標榜採用即將上市的英特爾第四代Xeon Scalable處理器，也提到裡面將搭配為其量身打造、由Google Cloud與英特爾共同設計的基礎設施處理器（IPU），以及區塊儲存服務Hyperdisk，相較於上一代運算服務C2，效能增長20％。2023年5月C3正式推出，Google Cloud提到IPU主要負責網路處理的卸載（Offload），8月底更揭露他們發展的系統架構Titanium system，等於正式宣告邁入以硬體加速IT基礎架構的新紀元，也突顯運用專屬系統架構來分攤底層資源管理負擔的作法躍居主流，成為大型資料中心環境強化整體IT服務性能的必備技術。</p> <p><a href="https://s4.itho.me/sites/default/files/images/IPU-2022-10-X.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IPU-2022-10-X.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>從FPGA延伸至基礎設施處理器，英特爾確立兩種路線</strong></span></h3> <p>隨著SmartNIC與DPU這類I/O加速產品被拱上檯面，英特爾在2021年6月正式提出基礎設施處理器的產品概念，當中囊括基於FPGA的加速運算卡與專屬ASIC，而在8月舉行的英特爾架構日活動，他們正式公布IPU產品陣容，的確區隔如上述的兩大類，並將第一類細分為IPU平臺與SmartNIC，代表的產品分別是<a href="https://www.ithome.com.tw/review/160260">代號為Oak Springs Canyon的參考平臺（FPGA搭配Xeon／英特爾架構（IA））</a>，以及<a href="https://www.ithome.com.tw/review/152317">代號為Arrow Creek的加速開發平臺N6000</a>，第二類則是代號為Mount Evans的ASIC架構IPU，當時英特爾大方公布這款晶片的元件組成，我們在同年9月的封面故事<a href="https://www.ithome.com.tw/tech/146525">《2022 Intel運算架構大公開！》</a>，也整理他們初步揭露的幾項特色，像是包含運算與網路兩大部分，前者內建16顆Arm Neoverse N1核心、英特爾QAT密碼學與壓縮處理加速技術，以及用於管理的專屬處理器，後者則內建封包處理引擎、NVMe、200GbE網路、RDMA等技術。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel ASIC IPU-2021-08.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20ASIC%20IPU-2021-08.jpg" style="width: 600px;" /></a></p> <p>2021年10月舉行的Innovation年度用戶大會，英特爾表示，關於Mount Evans的運用，將與公有雲業者Google Cloud展開深層合作，設計與發展支援P4程式語言，以及基礎架構程式設計師開發套件（IPDK）的開放解決方案，以便簡化開發者存取Google Cloud資料中心的方式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU-GCP-2021-10-1.png" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Intel IPU-GCP-2021-10-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU-GCP-2021-10-3.png" style="width: 298px;" /></a></p> <p>到了2022年5月舉行的上半年用戶大會，英特爾默默將Mount Evans定名為IPU E2000，並預告這一年開始出貨給Google與其他服務供應商，2023年可望廣泛部署。</p> <p>他們也公布2022至2025年IPU發展藍圖，其中先上陣的產品，就是先前介紹的Oak Springs Canyon（原本稱為FPGA IPU C6000X-PL，現改名為IPU Platform F2000X-PL），以及代號為Mount Evans的IPU E2000，將它們定調為第二代IPU，可支援200 Gb/s網路環境；2023至2024年將推出第三代IPU，分別是代號為Hot Springs Canyon的FPGA+IA平臺，以及代號為Mount Morgan的ASIC架構IPU，可支援400 Gb/s網路環境；2025年以後將推出第四代IPU，FPGA+IA平臺與ASIC架構IPU都將有新一代產品，可支援800 Gb/s網路環境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IPU-2022-05-2023-04-26_234944.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/IPU-2022-05-2023-04-26_235256.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IPU-2022-05-2023-04-26_235256.jpg" style="width: 600px;" /></a></p> <p>在此同時，他們還特別揭露了ASIC架構IPU的效能。以採用第四代Xeon Scalable處理器的伺服器為基準，搭配Mount Morgan之後，效能改善幅度為30％，在低於5毫秒的延遲要求之下，可支援的用戶端數量可從600臺增加到1,200臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Xeon performance improvement1-2022-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Xeon%20performance%20improvement1-2022-05.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Xeon With IPU E2000 performance improvement-2022-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Xeon%20With%20IPU%20E2000%20performance%20improvement-2022-05.jpg" style="width: 298px;" /></a></p> <p>英特爾2022年9月底舉行的下半年Innovation全球用戶大會，也展示Intel IPU E2000的儲存負載卸載成效，顯示儲存系統搬移到搭配IPU的系統時，處理器運算循環週期可節省至少2倍，並且能因應耗用大量頻寬需求的儲存解決方案使用，提供等同於網路線速（linespeed）的傳輸能力。</p> <p>透過儲存系統的測試上，英特爾試圖證明IPU系統所需的網路頻寬較低。在他們設置的環境中，搭配E810網卡的伺服器連上Lightbits公司的軟體定義NVMe/TCP儲存叢集系統LightOS，網路流量為93.8 Gbps，而搭配IPU E2000的系統連接這套儲存系統時，網路流量為90.8 Gbps；</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel IPU E2000 Storage-2022-09-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU%20E2000%20Storage-2022-09-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/IPU-2022-10-2023-04-27_001712.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IPU-2022-10-2023-04-27_001712.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/E2000-2022-09-CLI.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/E2000-2022-09-CLI.jpg" style="width: 298px;" /></a></p> <p>關於CPU資源的耗用上，搭配英特爾第四代Xeon Scalable處理器與E810網卡的系統，CPU核心會使用到14.3顆之多，至於搭配Intel IPU E2000的系統，由於可將儲存系統發起端（initiator）的邏輯處理交由IPU負責（從CPU卸載至IPU），因此，CPU只需要用到2.7顆核心，並且維持網路吞吐量與運算效能，等於可節省11.6顆核心。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel IPU E2000-Demo-2022-09-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU%20E2000-Demo-2022-09-1.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>Google是英特爾ASIC架構IPU的最大支持者</strong></span></h3> <p>相隔幾週之後，Google Cloud在2022年的Next用戶大會發表新的執行個體（虛擬機器）服務C3，開放用戶進行封閉預覽測試，這系列鎖定一般用途的雲端運算服務，預計將採用英特爾第四代Xeon Scalable處理器，以及他們與英特爾共同設計的訂製型ASIC架構IPU，而這款元件也就是Intel IPU E2000，Google Cloud會將可程式化的封包處理負擔從CPU端釋出，轉交IPU E2000處理，並以安全的方式運作，提供200Gb/s線速與低延遲的網路傳輸能力——當中將會支援Google Cloudy在2022年開放原始碼的PSP安全協定（PSP Security Protocol），以此提供硬體卸載大規模密碼學處理的機制，做到以線速進行的網路傳送過程加密（In-transit encryption），他們用於正式環境的Linux核心、網路虛擬化堆疊Andromeda，以及主機網路系統Snap，都已支援PSP。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP-C3-2022-10-X.jpg" style="width: 600px;" /></p> <p>2023年5月，<a href="https://www.ithome.com.tw/review/158470">C3正式上線</a>，Google Cloud對於IPU的運用，特別提到幾個特色。首先是IPU內含兩個元件，一個是將工作負載卸載至IPU的網路虛擬化堆疊Andromeda，另一個是可程式化封包處理引擎，能實現更高階的網路連線效能供應、隔離，以及安全控管功能；第二，IPU能讓C3支援更大規模的虛擬機器組態，可減少用戶工作負載與應用程式網路I/O對其造成的干擾；第三，C3系列的虛擬機器可使用200 Gbps的低延遲網路連線，提供兩倍於前代虛擬機器的連線效能，更適合用於緊耦合架構的分散式運算、高效能運算，以及網路密集型工作負載。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2019-06-GCP-andromeda_max.png" style="width: 400px;" /></p> <p>除此之外，Google Cloud的區塊儲存服務Hyperdisk，也能利用IPU技術，讓虛擬機器能夠將原本綑綁的儲存處理進行解耦，提供更強大的效能、彈性與效率，而在C3搭配的區塊儲存Hyperdisk，相較於前一代虛擬機器C2，可提供4倍的儲存吞吐量，以及10倍的IOPS效能。</p> <p>而在同一時間，<a href="https://www.ithome.com.tw/review/160499">他們也發表新一代GPU運算服務A3</a>，比起上一代的同類虛擬機器服務A2，網路頻寬可提升10倍，提供高度穩定與低度尾延遲（low tail latencies）的表現，原因在於採用他們訂製的200 Gbps傳輸能力IPU，並搭配特製的跨伺服器GPU通訊堆疊，以及支援Nvidia集結通訊程式庫（NCCL）最佳化處理，促使GPU之間資料的傳輸，可透過不經由伺服器CPU的直接I/O路徑進行，並且可在個別的網路介面遞送其他虛擬機器的網路連線與資料流量。</p> <p>8月初Google Cloud發表鎖定運算最佳化用途的運算服務H3，當中繼續採用他們訂製的IPU，而這類元件包含卸載網路堆疊Andromeda、可程式化封包處理引擎，提供高人一等的網路效能、隔離設置，以及安全防護機制，更適合緊密耦合的分散式運算，以及網路密集型工作負載，可支援緊緻型設置（compact placements），並且部署在大型、密集的IT資源池，可減少延遲與網路流量抖動，改善高效能運算應用的規模擴展程度。</p> <p>到了2023年8月底舉行的Next年度用戶大會，Google Cloud在介紹C3、A3、H3等第三代Compute Engine運算服務，以及新一代區塊儲存服務Hyperdisk時，特別提到這些服務之所以能產生更大的效能、廣泛支援多種工作負載，是因為底層IT架構採用他們發展的<a href="https://cloud.google.com/titanium?hl=en">Titanium system</a>，而上述訂製型IPU也是此系統平臺的重要元件。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Titanium-2023-08-keynote.jpg" style="width: 600px;" /></p> <p>Titanium結合多種Google內部開發的多種技術，目前包含三大元件：卸載卡Titanium adaptor、卸載處理器Titanium offload processors，以及硬體信任根晶片Titan security microcontrollers，可用於擴展執行規模與效能，以及多種雲端服務環境的使用場景。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20223-08-Titanium_web.jpg" style="width: 600px;" /></p> <p>舉例來說，若要在雲端環境以橫向擴展的方式執行大規模的現代化工作負載，有了Titanium，不僅能延伸整個架構，增添伺服器內部的卸載處理，也能在伺服器外部執行、可橫向擴展執行規模的卸載層（scale-out offload tier）處理。而這樣的卸載系統架構能夠廣泛進行部署，並且對於需持續提供最佳效能的工作負載，也能進行動態調整。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP Titanium-2023-08-31-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Titanium-2023-08-31-1.jpg" style="width: 600px;" /></a></p> <p>Titanium目前可用於區塊儲存與網路路由等兩種類型的IT資源調度，執行橫向擴展規模的卸載處理。以前者而言，Hyperdisk區塊儲存透過Titanium將工作交給伺服器的IPU處理，之後搭配Titanium的橫向擴展卸載層，將I/O分散到Google的大型叢集檔案系統Colossus；而在網路方面，位於IPU這種卸載裝置上面的虛擬網路堆疊Andromeda，對於未將路由設為Hoverboard閘道（本身是獨立軟體交換器，也是某些網路流向預設的路由器）的端點之間的通訊，可負責傳送所有的網路封包，因為Hoverboard閘道已掌握虛擬網路全部的封包轉送資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Titanium_Infra-2023-08.jpg" style="width: 600px;" /></p> <p>除了強化雲端服務基礎架構的效能，英特爾與Google Cloud合作發展ASIC架構IPU，也針對建置大規模AI基礎架構的交織網路環境提供解方。在2023年10月下半舉行的OCP全球高峰會，Google公開他們發展的高可靠、低延遲的硬體網路傳輸架構Falcon，並且率先用在Intel IPU E2000系列產品，並展現過去10年在效能、延遲度、流量控制等層面的進展，以及表達他們持續精進乙太網路技術的努力，使其成為可用於超大規模環境、提供高效能、低延遲的交織網路環境。 </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-2_Falcon_web.jpg" style="width: 600px;" /></p> <p>英特爾表示，這樣的搭配，可示範乙太網路傳輸也能增添低延遲與大規模的網路壅塞處理，而身為Ultra Ethernet Consortium聯盟的主要成員，他們希望將乙太網路環境提升至足以因應高效能AI工作負載的程度，並計畫將基於標準而成的各種強化機制，部署到未來的IPU與乙太網路產品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU%20E2000-Google%20Falcon-2023-10-31-Intel%20Networking%20for%20AI%20with%20Naru%20Sundar_Source_Intel_TFD.jpg" style="width: 600px;" /></p> <h3><span style="color:#0000FF;"><strong>2024年將推出獨立IPU加速卡</strong></span></h3> <p>除了Google Cloud陸續釋出採用Intel IPU E2000的消息，英特爾在2023年9月舉行的Innovation年度用戶大會期間，也悄悄揭露這款產品的最新效能表現與發展動向。</p> <p>舉例來說，在英特爾彙整旗下產品效能數據的公開網站Performance Index上，特別列出Innovation大會IPU專場演講引用8月底出爐的測試結果，當中提到伺服器若是搭配IPU，實測的傳輸率為134Mpps，可用於工作負載的運算資源為100％；若是伺服器不使用IPU，用到8顆CPU核心時，網路接收到的資料量為29.75 Mpps，封包傳輸率為22％，意味著可用於工作負載的運算資源超過60％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel IPU E2100-Demo-2023-08-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU%20E2100-Demo-2023-08-1.png" style="width: 500px;" /></a></p> <p>這裡有兩個組態值得注意，一是他們為此建置專門提供基礎架構網路功能服務的環境，當中設置VxLAN、NAT，以及網路傳輸狀態測量系統，而且搭配以P4程式語言寫成、實作VxLAN termination、NAT的軟體系統，以及結合P4-DPDK外掛的DPDK套件版本，另一是使用的IPU產品是名為IPU E2100的加速卡。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel IPU E2100-performance index-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU%20E2100-performance%20index-1.jpg" style="width: 400px;" /></a></p> <p>而根據我們後來向英特爾索取這場演講簡報的內容來看，2024年他們針對ASIC架構的IPU產品，會有兩種形式的提供。</p> <p>一是他們營運管理的開發者雲端服務DevCloud，將會提供搭配IPU E2100的執行個體，而且會成為此服務預設的底層基礎架構；另一則是會正式推出獨立的加速卡產品IPU E2100，研發代號為Dayton Peak。而在12月19日舉行的Intel Innovation大會中國場，也重申這方面的消息。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel IPU Product-2023-12-china.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU%20Product-2023-12-china.jpg" style="width: 600px;" /></a></p> <p>其實，Intel IPU E2100這個名字去年就已出現。我們以Intel IPU E2100作為關鍵字到網路上搜尋，發現<a href="https://doc.dpdk.org/guides/rel_notes/release_22_11.html">DPDK在2022年推出的22.11版，已針對Intel IPU E210增添網路驅動程式</a>，而針對DPU、IPU這類產品搭配的軟體開發套件IPDK，在2023年7月發布的<a href="https://ipdk.io/news/2023/07/19/23-23-07-Release/">23.07版</a>也支援Intel IPU E2100這款產品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel IPU Stack1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU%20Stack1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel IPU Stack2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU%20Stack2.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Intel IPU E-2000</strong><br /> ●原廠：英特爾<br /> ●建議售價：廠商未提供<br /> ●外形：未公開規格<br /> ●晶片架構：ASIC<br /> ●網路介面：2個100GbE埠或1個200GbE埠<br /> ●I/O介面：PCIe 4.0 x16<br /> ●搭配處理器與記憶體：16顆Arm Neoverse N1核心（Armv8.2），48 GB LP-DDR4記憶體（3個通道）<br /> ●加速或卸載引擎：封包處理引擎、NVMe裝置模擬器／Optane NVMe控制器、密碼學與壓縮處理加速引擎<br /> ●支援的軟體開發套件：IPDK、DPDK、SPDK</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/30 18:03作者李宗翰https://www.ithome.com.tw/review/157336
【資安日報】12月29日，Booking.com合作旅館、房客面臨網釣攻擊且外洩個資出現轉交其他團體兜售現象
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年駭客針對Booking.com房客發動攻擊的情況不時傳出，其特別之處在於，駭客並非直接對房客下手，而是先對旅館發動網釣攻擊，再假借這些旅館的名義對房客行騙，房客一不注意對方提供的網址是假冒的就點進去查看，很容易上當。</p> <p>值得留意的是，這樣的情況日益惡化，甚至已經在網路犯罪圈發展成上下游分工的情況──有人專門收集旅館的Booking.com帳密供打手運用。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.kaspersky.com/blog/booking-com-hacked-hotel-accounts-scam-customers/50109/"><strong style="font-size: 22px;">駭客持續針對Booking.com房客展開攻擊，地下論壇已開始兜售旅館帳密資料</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/booking-com-hacked-hotel-accounts-scam-customers-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/booking-com-hacked-hotel-accounts-scam-customers-4.jpg" style="width: 300px; float: right;" /></a>近期在線上訂房服務Booking.com找住宿的旅客，傳出頻頻遭到網路攻擊而受害的事件，不只BBC、衛報多家媒體接獲民眾投訴，Akamai、Secureworks等資安業者也針對這樣的現象提出警告，如今有研究人員指出，駭客開始兜售竊得的旅館帳密資料。</p> <p>資安業者卡巴斯基指出，駭客先是冒充旅館的客人，鎖定與Booking.com合作的旅館下手，散布竊資軟體取得相關帳密資料，從而利用旅館的Booking.com發送訊息給旅客。在其中一起攻擊行動中，駭客聲稱在旅館遺失護照，要求協助尋找，並在電子郵件裡附上護照照片檔案連結，然而旅館員工一旦照做，電腦就有可能被植入竊資軟體，駭客再藉由取得的帳密資料存取Booking.com，並研究目前訂房情況，向房客發送訊息，聲稱訂房過程提供的付款資料有誤，若不重新提供相關資料訂房將被取消。而對於接收到這些訊息的房客而言，如果依照駭客所偽造的內容去點選上面的網址連結，他們就會被帶往冒牌的Booking.com，而該網站竟然能顯示正確的房客姓名、飯店資訊、日期、價格，並強調這些日期的住宿需求很大、至少有10家類似的旅館已無法預訂，藉此催促房客盡快提供信用卡資料訂房。</p> <p>針對這一連串複雜的攻擊流程，研究人員稱為「B2B2C」，他們也看到駭客將不同工作指派其他人進行，例如，會有專人在駭客論壇負責兜售旅館的Booking.com帳密資料。對此，Booking.com強調是合作旅館遭駭，該公司系統並未遭到攻擊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/apache-ofbiz-rce-flaw-exploited-to-find-vulnerable-confluence-servers/"><strong style="font-size: 22px;">駭客掃描ERP系統Apache OFBiz重大漏洞，意圖對採用此軟體的Atlassian Confluence伺服器下手</strong></a></p> <p></p> <p>Apache基金會本月先後修補旗下ERP系統OFBiz的重大漏洞CVE-2023-49070、CVE-2023-51467（CVSS風險評分皆為9.8），攻擊者一旦利用上述漏洞，就能繞過身分驗證流程。由於該ERP系統受到不少知名軟體採用、整合到他們的系統當中，因此影響可能相當廣泛。</p> <p>12月28日Shadowserver基金會提出警告，他們看到駭客利用公開的概念性驗證程式（PoC），掃描存在CVE-2023-49070的伺服器，預期接下來也會對CVE-2023-51467下手。該基金會向資安新聞網站Bleeping Computer透露，這些攻擊者嘗試觸發漏洞的方法，是強制目標主機連線到oast.online的特定網址來進行，他們企圖攻陷的對象是DevOps協作平臺Confluence。由於Atlassian的JIRA包含OFBiz，而JIRA又是許多公司採用的商用專案管理與開發問題追蹤軟體系統，因此，這個開放原始碼專案的任何瑕疵都會繼承到Atlassian的產品。</p>  <p>資料來源</p> <p>1. <a href="https://twitter.com/shadowserver/status/1740317678257218036">https://twitter.com/shadowserver/status/1740317678257218036</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/apache-ofbiz-rce-flaw-exploited-to-find-vulnerable-confluence-servers/">https://www.bleepingcomputer.com/news/security/apache-ofbiz-rce-flaw-exploited-to-find-vulnerable-confluence-servers/</a></p> <p><a href="https://www.ithome.com.tw/news/160605"><strong style="font-size: 22px;">松下透露2022年12月發生的資料外洩事故</strong></a></p> <p></p> <p>專門提供飛機資訊娛樂系統、從事網路通訊設備系統整合業務的松下子公司Panasonic Avionics，在2022年底傳出網路遭駭，導致部分員工及客戶個資外洩。該公司向美國加州檢察長辦公室通報的資料裡提及，他們在2022年12月30日察覺公司網路環境部分系統遭到異常存取的跡象，駭客疑似於12月14日前後入侵，洩露的資料包括姓名、電子郵件、住家地址、電話，生日、醫療及健康資訊、銀行帳號、公司聘僱狀態、社會安全號碼，但究竟有多少人受到影響？該公司並未透露。</p> <p>該公司發言人向資安新聞網站Bleeping Computer表示，這起事故僅影響少數員工及商務客戶，至於飛機資訊娛樂系統、通訊系統、數位解決方案，他們並未發現受到影響的跡象。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/panasonic-discloses-data-breach-after-december-2022-cyberattack/">https://www.bleepingcomputer.com/news/security/panasonic-discloses-data-breach-after-december-2022-cyberattack/</a><br /> 2. <a href="https://www.documentcloud.org/documents/24238563-panasonic-avionics-corporation-consumer-notice-letter">https://www.documentcloud.org/documents/24238563-panasonic-avionics-corporation-consumer-notice-letter</a></p> <p><a href="https://www.nccgroup.com/us/newsroom/ncc-group-monthly-threat-pulse-november-2023/"><strong style="font-size: 22px;">金融木馬Carbanak東山再起，被用於勒索軟體攻擊行動</strong></a></p> <p></p> <p>資安業者NCC Group揭露上個月勒索軟體態勢的分析，指出整個月攻擊達到442件，較10月341起增加3成，累計2023年攻擊事故達到4,276件，其中影響最嚴重的是工業部門，本月有146件資安事故，相當於每3件就有1件就與工業部門有關，其次則是消費性產業、醫療照護領域，分別有78件、50件。</p> <p>從受害組織的分布地區來看，有219件發生在北美，135件發生在歐洲，亞洲則有46件位居第3。至於最猖獗的駭客組織，依序是LockBit、BlackCat（Alphv）、Play。</p> <p>值得留意的是，研究人員發現11月金融木馬Carbanak捲土重來的跡象，駭客將其用於勒索軟體攻擊，並假借CRM平臺HubSpot、資料管理軟體 Veeam、會計軟體Xero的名義散布。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://thehackernews.com/2023/12/google-cloud-resolves-privilege.html"><strong style="font-size: 22px;">GKE容器服務傳出有漏洞，可能讓使用者在K8s服務提升權限並完全控制叢集</strong></a></p> <p></p> <p>資安業者Palo Alto Networks發現Google Kubernetes Engine（GKE）存在弱點，並指出一旦攻擊者將其串連，就有機會讓已經能夠存取Kubernetes叢集的攻擊者進行權限提升。</p> <p>其中一個弱點是GKE事件記錄代理程式FluentBit的預設組態，所有叢集預設都有執行此代理程式，另一個弱點則是存在於附加功能Anthos Service Mesh（ASM）的預設權限。研究人員指出，如果攻擊者設法在FluentBit容器裡取得執行的能力，且Kubernetes叢集部署了ASM，他們就有機會發動極具威力的攻擊鏈，取得該叢集完整的控制權，從而進行資料盜竊、部署惡意pod，甚至中斷叢集運作。Google獲報後於12月14日予以修補。</p>  <p>資料來源</p> <p>1. <a href="https://unit42.paloaltonetworks.com/google-kubernetes-engine-privilege-escalation-fluentbit-anthos/">https://unit42.paloaltonetworks.com/google-kubernetes-engine-privilege-escalation-fluentbit-anthos/</a><br /> 2. <a href="https://cloud.google.com/anthos/clusters/docs/security-bulletins#gcp-2023-047">https://cloud.google.com/anthos/clusters/docs/security-bulletins#gcp-2023-047</a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/160604"><strong style="font-size: 22px;">Mozilla改變對Trusted Types防護技術的立場，計畫在瀏覽器導入</strong></a></p> <p></p> <p>為防範以文件物件模型為基礎的跨網站指令碼攻擊（DOM-based XSS，DOM XSS），Google於2020年在Chrome 83導入名為Trusted Types防護機制，現在傳出另一瀏覽器陣營Firefox也將跟進。</p> <p>根據新聞網站The Register的報導，Mozilla基金會Firefox資安工程師Frederik Braun指出，他們已針對Trusted Types完成相關的調查，認為這項技術確實能有效防範DOM XSS攻擊，他們將積極為瀏覽器導入這項技術，但目前實作面臨一些難題，例如，對於getPropertyType、getAttributeType等部分Trusted Types功能，仍不清楚實際用途，再者是他們發現Chrome有部分實作功能超出標準的範圍，希望相關功能予以標準化，使Firefox導入這種防護過程能有參考規範。</p> <p>資料來源</p> <p>1. <a href="https://www.theregister.com/2023/12/21/mozilla_decides_trusted_types_is/">https://www.theregister.com/2023/12/21/mozilla_decides_trusted_types_is/</a><br /> 2. <a href="https://github.com/mozilla/standards-positions/issues/20#issuecomment-1853427823">https://github.com/mozilla/standards-positions/issues/20#issuecomment-1853427823</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/russian-military-hackers-target-ukraine-with-new-masepie-malware/"><strong><span style="font-size: 20px;">烏克蘭遭到俄羅斯駭客APT28鎖定，散布惡意程式Masepie</span></strong></a></p> <p></p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/12/28/financially-motivated-threat-actors-misusing-app-installer/"><strong><span style="font-size: 20px;">多組駭客濫用微軟市集App的URI協定，散布惡意軟體</span></strong></a></p> <p></p> <p><a href="https://therecord.media/trinidad-and-tobago-government-agency-hit-with-post-christmas-cyberattack"><strong><span style="font-size: 20px;">特立尼達和多巴哥社會福利機構遭勒索軟體攻擊</span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/cyberattack-targets-albanian-parliaments-data-system-halting-its-work/"><strong><span style="font-size: 20px;">阿爾巴尼亞議會傳出遭到網路攻擊，導致部分服務暫停</span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/article/160614"><strong><span style="font-size: 20px;">【生成式AI開啟資安新變革】AI資安2024</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160596"><strong>【12月28日】別以為使用SSH連線就會比較安全！採用容易猜到的帳密有可能將Linux伺服器拱手送給駭客</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160564"><strong>【12月27日】有人散布《俠盜獵車手V》原始碼並向甫遭判決的駭客組織Lapsus$成員致敬</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160548"><strong>【12月26日】有人入侵遊戲開發商Ubisoft並企圖竊取《虹彩六號：圍攻行動》的內部資料</strong></a></p> </div></div></div>
2023/12/29 14:58作者周峻佑https://www.ithome.com.tw/news/160616
微軟再度預設關閉ms-appinstaller協定處理器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於遭到不同駭客組織的濫用，<a href="https://www.microsoft.com/en-us/security/blog/2023/12/28/financially-motivated-threat-actors-misusing-app-installer/" target="_blank">微軟再度於周四（12/28）宣布</a>，於預設值中關閉MSIX的ms-appinstaller協定處理器。</p> <p>MSIX為一Windows程式的套件格式，可替所有Windows程式提供現代化的封裝經驗，它除了支援對Win32、WPF 與Windows Forms 程式的現代化封裝及部署功能，也保留了現有程式套件與安裝檔案的功能，以讓用戶更容易將程式維持在最新狀態，同時確保流暢的安裝經驗。</p> <p>而ms-appinstaller協定處理器的功用，則是允許使用者只要簡單地點選網站上的連結就能安裝應用程式，不必下載整個MSIX套件，是個非常受歡迎的經驗。</p> <p>然而，根據微軟的觀察，自今年11月中旬以來，包括Storm-0569、Storm-1113、Sangria Tempest與Storm-1674等駭客組織，都利用了ms-appinstaller URI協定來散布惡意程式，為了避免客戶受到相關攻擊的影響，再加上微軟正在調查攻擊行動使用App Installer的狀況，決定於預設關閉ms-appinstaller協定處理器。</p> <p>調查顯示，駭客對ms-appinstaller協定處理器的濫用可能造成勒索軟體攻擊，許多駭客組織甚至已開始銷售濫用MSIX檔案格式與ms-appinstaller協定處理器的惡意程式套件即服務，它們於合法熱門軟體上張貼惡意廣告，並於廣告所連結的網站上散布惡意的MSIX應用程式套件。</p> <p>此外，駭客之所以選擇ms-appinstaller協定處理器來展開攻擊，或許是因為它能繞過Microsoft Defender SmartScreen，以及在下載執行檔時瀏覽器會跳出警告等安全機制。</p> <p>2022年2月時，微軟也曾因為ms-appinstaller協定處理器遭到駭客濫用，<a href="https://www.ithome.com.tw/news/149240" target="_blank">而暫時關閉該功能</a>。</p> <p>值得注意的是，一旦關閉該處理器，App Installer便無法再直接自網頁伺服器安裝程式，而必須先下載該程式。網站管理員應先移除'ms-appinstaller:?source='，以讓使用者下載MSIX套件或.appinstaller檔案，再藉由App Installer安裝套件。</p> </div></div></div>
2023/12/29 15:34作者陳曉莉https://www.ithome.com.tw/news/160617
Nvidia探討用生成式AI強化資安的3種方式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>用生成式AI幫助資安，是2023年相當火熱的議題，我們看到微軟、Google等多家資安業者，積極打造AI助理幫助資安人員，不過，資安問題不僅於此，還有GitHub Copilot新發展的AI漏洞過濾系統，將能用於幫助開發人員，可在開發階段就及時阻擋不安全程式碼的寫法，包括寫死憑證、SQL注入與路徑注入等。</p> <p>對於一般企業、非資安公司而言，我們又可以如何設想生成式AI的應用，幫助企業內部的資安強化呢？</p> <p>最近2023年底，我們看到有企業公開說明相關應用，特別的是，這家公司就是以GPU聞名全球、因AI晶片再度成為市場焦點的Nvidia。該公司資安長David Reber Jr.特別發表專文介紹，闡述3種應用生成式AI加強資安的方式。</p> <p>儘管Nvidia公司並非資安產業，但他們是從自身企業角度去設想，加上本身對於生成式AI的理解，並實際提出企業可發展與關注的方向，也相當值得借鏡。</p> <p>David Reber Jr.首先強調的是，資安攻擊速度與複雜性的逐漸增加，已經讓人類分析師無法有效應對，因為資料量過大，無法手動篩選。面對這樣的時局，他指出，當今最具變革性的工具──就是生成式AI。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>如何用生成式AI加強資安？</strong></span></span></p> <p>第一種方式，從開發人員開始，首先，要給開發人員一個安全開發的副駕駛。</p> <p>David Reber Jr指出，每個人都在安全中扮演一個角色，但不是每個人都是安全專家。因此，這個開始是最具戰略性的意義，以指導開發人員撰寫的程式碼，都遵循安全最佳實踐。而Nvidia本身也正於工作流程中建立這樣安全副駕駛，他們認為，資安助手是將生成式AI應用於網路安全的第一步。</p> <p>第二，使用生成式人工智慧來幫助分析漏洞，尤其是已知漏洞。畢竟每個程式碼的背後，可能根植於數十甚至數千種不同的軟體分支和開源項目中。而Nvidia也測試了這個概念，像是讀取公司所使用的軟體，及其支援的功能與API政策，而幫助識別修補的結果，將加快人類分析師的速度，最多可提升4倍。</p> <p>第三，用LLM填補不斷增長的資料缺口，這裡的情況是指，少有用戶分享資料外洩資訊，所以很難預測攻擊，此時可借助生成式AI建立合成資料，模擬未曾見過的攻擊模式，或填補訓練資料的空白，讓機器學習系統在實際攻擊發生之前，可以學會如何防禦。</p> <p>特別的是，Nvidia展示一項實證結果，是改進魚叉式網路釣魚（Spear Phishing）的偵測，在 Morpheus應用框架與生成式AI的搭配之下，比起既有解決方案成效更好，可從70%提升至90%。</p> <p>綜合而言，企業除了看到生成式AI逐漸融入資安產品的趨勢，對於企業自身而言，在內部的資安強化上，是否也想過運用生成式AI來解決一些資安風險問題，無論是打造或採用開發人員適用的安全助手，促進漏洞問題可以更早被解決，以及應對漏洞管理的挑戰，藉助生成式AI之力來幫助識別修補，都將是企業在2024年可以思考的議題，甚至從中衍生出更多元的應用發想情境，讓我們可以更好因應層出不窮的資安挑戰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%8B%E7%AF%87%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89Nvidia%E7%94%A8%E7%94%9F%E6%88%90%E5%BC%8FAI%E5%B9%AB%E5%8A%A9%E8%B3%87%E5%AE%89.jpg" style="width: 600px;" /></p> <blockquote><p><span style="color:#696969;"><strong><span style="font-size:18px;">Nvidia用生成式AI找CVE漏洞<br /> 對於使用大型語言模型（LLM）引擎於資安，Nvidia展示找出容器中CVE漏洞可利用性的情境，並說明設計架構與運作流程。例如，當我們提問：「這個CVE在我的容器中是否可利用？」事實上，要解答這樣的問題，背後需要知道的資訊很多，在LLM引擎運作之下，經由提示生成器、LLM Clinet到任務生成器，只問一次並不足以得到答案，總共是經過四次執行後，才得到結論。</span></strong></span></p> </blockquote> <p><span style="font-size: 18px;"><span style="background-color: rgb(51, 153, 255);"> </span></span><a href="https://www.ithome.com.tw/article/160614" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 18px;"><strong><span style="background-color: rgb(51, 153, 255);">相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1162-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=RnGtx2Ba" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/12/29 14:32作者羅正漢https://www.ithome.com.tw/news/160613
AI資安2024
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1162-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=RnGtx2Ba" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在生成式AI應用的大勢之下，使得偽造新聞與精準網路釣魚造成嚴重危害，但同時也為資安防禦帶來不同的新面貌，甚至成為扭轉攻防不對稱態勢的新利器</p> </div></div></div>
2023/12/29 14:42作者羅正漢https://www.ithome.com.tw/article/160614
面對AI詐騙，更要有網路風險基本認知
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著2023年生成式AI的興起，駭客利用這類新技術升級網路攻擊，成為資安界與社會關注焦點。例如，近期Google發布2024年網路安全預測報告指出，隨著FraudGPT和WormGPT等惡意生成式AI興起，將使網釣內容更逼真，減少過去語法錯誤或是缺乏文化背景的問題。AI深度學習偽造（Deepfake）的照片與影片將更普遍，並延伸至主流新聞平臺，降低公共資訊的可信度，企業、政府將更難與民眾交流。</p> <p>事實上，早在2019年，就出現Deepfake與AI語音詐騙門檻降低的現象，如今在AI技術突飛猛進的浪潮之下，國際間已有AI詐騙實例，資安界呼籲要特別關注這樣的問題。</p> <p>雖然臺灣目前較少聽聞AI詐騙案例，但我們必須意識到，這類技術已經變得相當容易應用，不僅政府、金融、執法單位，以及跨國合作要更積極，民眾自身的防詐觀念也必須轉變，不能認為事不關己。</p> <p>過去，<a href="https://www.ithome.com.tw/tags/%E8%A9%90%E9%A8%99" target="_blank">iThome曾報導相當多詐騙與社交工程的網路攻擊</a>，<a href="https://www.ithome.com.tw/article/144116" target="_blank">我個人也整理生活中的資安意識觀念</a>，卻還是看到社會上很多人缺乏基本觀念，導致已呼籲多年的詐騙手法，至今依然可以一再奏效。</p> <p>這也讓我重新思考：為何自己能夠識別詐騙問題，有些人卻不容易識別詐騙？最近，在整理基本資安意識與防詐簡報的過程中，找到一些答案。</p> <p>對於防詐意識不足的民眾，我們認為，政府與企業在教育宣導上，應該重視兩大層面：（一）教育大眾了解網路文化，才能懂得基本網路社交風險；（二）促進大眾認識並深入了解生活中常見的詐騙活動情資，重視網域名稱的認知教育。</p> <p>第一點我認為相當重要，卻鮮少被提及。為了幫助大家了解網路文化，我想以20年前玩線上遊戲的經驗來舉例說明。早年上網的人少，玩家多半都知道遊戲中接觸的人，多數都是不認識的網友，所以大家都具有網路社交風險的概念，對於不認識的人，不會輕信對方的言詞。</p> <p>而且，當時大家普遍能夠體認到：網路上的身分使用暱稱是常態，設立多個角色分身、不同帳號分身是常態，加上網路遊戲交易詐騙樣態也多，在這樣的網路文化薰陶與經驗之下，多半已培養警覺，設想網路背後另一方可能不是原本接觸的那個人。</p> <p>但現在身處於全民網路時代，所有人都在上網，當大家使用社群平臺、即時通訊時，對於網路社交風險概念反而缺乏。</p> <p>例如，今年很多人都看到類似假冒知名人物的網路廣告詐騙新聞。例如，一般民眾使用臉書時，看到名稱是公眾人物並放上他或她的照片，難道就真的代表本人嗎？因此，這需要從根本認知上去改變。</p> <p>同時，現代人雖然懂得享受社群平臺的便利，但從比例來看，多數人可能都對不同線上服務的互動方式不夠瞭解，像是不會積極辨識特定臉書帳號是否為本人，如檢視過去貼文、識別個人檔案掛上藍勾勾的臉書官方認證標示等，有些人則是對臉書動態牆認知很有限，不清楚當中呈現的內容涵蓋朋友、追蹤的粉絲專頁所發布的動態消息之餘，也有自動推薦的網站內容與線上廣告等。</p> <p>再舉一例，如果我們手機收到簡訊自稱是某某銀行或水公司，這些真的是對方發送的訊息嗎？若你此時產生疑慮，其實就會呼應上述我提到的第二點建議，因為有可能你早已知道方面的威脅情資，或是很早就認知到有「來電號碼」與「郵件寄件者」的偽冒與竄改情況，接著就會知道要先查證，或是向朋友確認這是否為詐騙，並能理解透過其他管道驗證的必要。例如，重新尋找與確認對方的聯絡方式，再打電話與其驗證是否真有其事。</p> <p>當然，假冒名義的話術百百種，以釣魚簡訊（或釣魚郵件）內容來看，如何識破釣魚網址更是一大關鍵。我認為，國內最缺乏的上網安全教育工作，就是「網域識別」及「知道查證」。為了避免這樣的問題，我們至少要試著讓社會大眾多了解相關資訊，懂得「網域」是在整個網址的其中一個部分。</p> <p>大家可以想像，網路世界的門牌號碼就是要認清「網域」，一旦走錯，就不會走到原本要到的地方，很多釣魚網站只是大門的布置很像，實際門牌號碼根本不同，但如果我們充分具備識別真偽的能力，就不會上當。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/ai%E8%A9%90%E9%A8%99">AI詐騙</a></div><div class="field-item even"><a href="/tags/%E7%A4%BE%E4%BA%A4%E5%B7%A5%E7%A8%8B">社交工程</a></div><div class="field-item odd"><a href="/tags/deepfake">Deepfake</a></div><div class="field-item even"><a href="/tags/%E9%87%A3%E9%AD%9A">釣魚</a></div></div></div>
2023/12/29 14:47作者羅正漢https://www.ithome.com.tw/voice/160615
用生成式AI幫助資安蔚為風潮，臺灣有資安業者已跟上技術主流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>用生成式AI幫助資安應用，不只是微軟與Google的一舉一動受廣大關注，在邁向2024年之際，我們更是可以發現，已有幾家臺灣資安業者率先投入發展，並且實際端出可應用的產品。這不僅突顯臺灣資安業者的技術實力，也顯示他們及早布局、持續關注之餘，也累積實作經驗，才能在技術浪潮的一開始，就有了相關成果與進展。</p> <p>有哪些臺灣業者行動最積極？早在2023年5月臺灣資安大會，也就是微軟預告推出Security Copilot沒多久，知名資安新創奧義智慧就展示，將AI虛擬分析助手導入新的XCockpit平臺，能提供中文案情摘要與處置建議，7月上線。</p> <p>接下來是趨勢科技，6月宣布Trend Vision One整合式資安平臺，將提供自然語言聊天介面的AI助手Companion，7月開放部分客戶使用，最近11月27日，已正式向所有客戶開放這項應用。</p> <p>另外，資安監控委外服務商安碁資訊在本月舉行的年度媒體資安講堂，也首度透露，他們要用ChatGPT幫助資安服務與資安工作，並制訂3大發展方向，目前發展進度已達到7成。</p> <p>顯然，在許多資安業者都高喊AI資安，以及國際大廠陸續用生成式AI幫助資安之下，我們確實看到臺灣已有資安業者，同樣看好新技術帶來的創新與機會，並在2023年已積極展開相關行動，未來2024年，我們也期盼更多臺灣資安業者能夠需與時俱進，善用特性以提升效率。畢竟，在駭客積極利用生成式AI的狀況之下，如果國內資安業者沒有善用AI自動化的做法，很有可能更無法跟上日益加劇的威脅態勢。</p> <p>基於廠商公開展示與揭露這些功能的時機都在2023年的條件限制，這次探討AI資安的封面故事，我們特別選擇奧義智慧、趨勢科技、安碁資訊這3家業者，與他們一起探討最新的發展態勢。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>與工作流程整合是關鍵，從解決用戶問題的角度出發</strong></span></span></p> <p>關於用生成式AI幫助資安這件事，奧義智慧有很深刻的想法，該公司創辦人邱銘彰特別說明了他們的發展策略。</p> <p>他指出，應從解決前線人員問題的目標開始設想。因為，目前資安人員使用資安系統時，面對各種警示，通常會看到介面上有相當多的資料需要解讀，因此，這裡的最大挑戰在於，未完成充足訓練的人員根本看不懂，即便廠商培養這方面的人才，也很容易被挖角。</p> <p>所以，現在如果能在資安領域善用生成式AI技術，可以快速產生事件摘要、建議措施，將能直接解決使用者的需求。更重要的是，可藉此大幅減少平均偵測時間（MTTD）、平均調查時間（MTTI），並且使事件本身的解讀更有意義。</p> <p>同時，這也將改變資安團隊運作效率的量測。而在奧義智慧自家的XCockpit介面上，已經將這兩項指標直接顯示於首頁儀表板，作為重要觀測指標。</p> <p>關於生成式AI在操作體驗上帶來的簡化，其實我們陸續從各家廠商發展看到例子，並認為可能帶來新的變革，像是可藉由一問一答方式查詢，也能點擊AI給出的建議按鈕執行，還有AI自動建議通知的形式，讓相關設定與操作變得更簡化與不同。</p> <p>邱銘彰也有同樣看法，他認為，最大的變化就是發生在使用者體驗，他預見資安系統UI介面將朝向更簡潔發展，因為過往資安系統的介面很複雜，需要顯示相當多的資料，但從用戶角度而言，只要能夠解決問題就好，這才是根本。</p> <p>此見解可從奧義智慧展示的XCockpit平臺介面得到印證，我們發現，當中並未特別設計自然語言輸入的對話框。</p> <p>邱銘彰表示，他們的工單管理系統已能自動整併案件，使用者只需要點擊，就可以看到自動化調查的結果，包括手法、攻擊來源與出建議等，即便一段Base 64編碼的內容、命令列的指令內容的分析，也只要點擊選項，就會提供簡顯易懂的說明。</p> <p>他並以近期向客戶展示的經驗為例，當時他們進行紅藍隊演練，AI資安系統可以做到「當偵測到攻擊發生到哪，針對攻擊的解說也就可以到哪」，這樣的呈現方式彷彿遊戲直播。</p> <p>邱銘彰強調，現在很多業者的生成式AI應用，都是產生威脅情資的輔助說明，但整合在工作流程才是關鍵，並且要讓生成式AI能做資安決策，並不只是單純提供操作輔助，如同自駕車Level 2與Level 3的差異。他認為，這是臺灣資安廠商發展AI功能時可以思考的方向。</p> <p>如此看來，奧義智慧已設想將生成式AI與工作流程深度整合。不過，對於交由AI來進行決策，我們也憂心這麼做真的可行嗎？邱銘彰表示，用於資安是可以的，但與人命相關的請不要交給AI。</p> <p>另一個我們好奇的問題是：過往資安業者就已經在使用AI/ML模型，與生成式AI相比，究竟有何具體差異？</p> <p>邱銘彰解釋，以奧義智慧而言，他們過去開發三個AI小模型，以此來讓案情分析做到更準確，第一個AI模型幫助挑出重要的事件，第二個AI模型可組成案情結構並將事件軸串起，第三個AI模型能將案情解說成中文並產生建議，而他們的CyCraftGPT，目前版本是基於可商用LLM模型Mistral而打造，當中還有以臺灣習慣用語來訓練。</p> <p>總合而言，CyCraftGPT與先前AI模型的使用並不衝突，而是可以更好將多個AI模型的效果串聯起來。</p> <p>另外，邱銘彰也預測，不僅資安系統UI會朝向簡潔設計，還會出現很多聊天機器人，這就如同ChatGPT服務，介面其實就只是對話框的形式，並沒有複雜的UI設計。</p> <p>他還透露，公司目前最想解決的兩個問題：一是用於產品手冊與說明書的查詢；另一是國外資安情資新聞的彙整，這將能幫助資安長更好理解，也是改進資安服務的體驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96A%EF%BC%89%E8%87%BA%E7%81%A3%E7%94%9F%E6%88%90%E5%BC%8FAI%E8%B3%87%E5%AE%89%E6%87%89%E7%94%A8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7.png" style="width: 600px;" /></p> <blockquote><p><span style="color:#696969;"><span style="font-size:18px;"><strong>奧義智慧推資安新平臺，將AI虛擬分析師融合到資安事件的處理流程<br /> 臺灣資安新創奧義智慧今年7月正式推出XCockpit平臺，當中內建AI虛擬分析助手應用，強調工作流程才是關鍵，可做到自動化案件管理，AI自動化鑑識，以及提供建議措施，直接解決使用者的需求。這也大幅減少平均偵測時間（MTTD）、平均調查時間（MTTI），讓資安團隊運作可量測且更有效率。</strong></span></span><span style="color: rgb(105, 105, 105); font-family: Georgia, Times, "Times New Roman", serif; font-size: 14px; font-style: italic;">圖片來源／奧義智慧</span></p></blockquote> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96B%EF%BC%89%E8%87%BA%E7%81%A3%E7%94%9F%E6%88%90%E5%BC%8FAI%E8%B3%87%E5%AE%89%E6%87%89%E7%94%A8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7.png" style="width: 600px;" /></p> <blockquote><p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>XCockpit平臺上的AI虛擬分析師，能提供中文案情摘要，也能針對一段Base 64編碼、命令列的指令內容分析，並提供處置建議。</strong><span style="font-size: 14px;">圖片來源／奧義智慧</span></span></span></p> </blockquote> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>建構高度彈性的介面，資安的新手、老手，以及資安長都可受益</strong></span></span></p> <p>很早就從臺灣躍上國際資安舞臺的趨勢科技，他們的資安產品線可說是相當龐大，因此，他們在2021年就打造Trend Vision One整合式資安平臺，當中以XDR為核心，並結合更多產品功能，隨著2023年AI資安助手Trend Companion的推出，將能夠帶來哪些助益？</p> <p>他們表示，Trend Companion是利用自然語言的聊天介面提供服務，這個AI助手可以帶來很多幫助，不論是事件摘要與分析報告、解釋攻擊警報與關聯攻擊戰術與技巧，並可清晰呈現影響範圍等，還能幫助識別利用合法工具的寄生攻擊（LotL），並產生讓人員可以易於理解的解釋內容。</p> <p>同時，趨勢科技也闡釋了這些幫助所帶來的效益，不僅是擴大並加速資安維運工作，更大意義就是，能夠幫助每個不同角色，使得每個人都能有效利用趨勢科技的服務，而其背後的關鍵就是，AI助手Trend Companion帶來的高度彈性介面。</p> <p>例如，不只是讓資深分析師在面對複雜環境時，可以快速追蹤威脅，也能為資安新進人員帶來幫助，甚至無論是資安長或事件處理專員，每個人都將可以根據自己的需求，獲取定制化的資訊。</p> <p>由於生成式AI的特性，就是能夠分析龐大的資料集，並能理解與摘要資訊的內容，還能產生新的內容，因此，趨勢科技明確指出，生成式AI與傳統AI/ML最大的差異，就是在於其高度的彈性和能力，以及用自然語言來接受命令和回答問題。</p> <p>而這樣的特性，對於處理資安事件尤其重要。因為這些事件，通常涉及廣泛的知識和繁瑣的查詢工作，如今有了AI自動助手，將能快速生成查詢腳本，解釋複雜事件，並且調用LLM內部的知識，這將大幅提高使用者的工作效率。</p> <p>對於不同AI技術的優勢，趨勢科技認為，以傳統的機器學習（ML）而言，在準確性方面表現良好，主要用在偵測惡意程式方面，尤其對變種惡意程式；而生成式AI對於理解惡意程式的意圖，以及威脅入侵事件處理，應用是更加合適。因此，他們預期，生成式AI資安的應用還會持續擴張。例如，未來在XDR平臺的搭配之下，經過長時間的學習，將可對跨不同資安產品之間的事件，提供資安處理建議。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%87%BA%E7%81%A3%E7%94%9F%E6%88%90%E5%BC%8FAI%E8%B3%87%E5%AE%89%E6%87%89%E7%94%A8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80.png" style="width: 600px;" /></p> <blockquote><p><strong><span style="color:#696969;"><span style="font-size:18px;">趨勢科技推AI助手，讓多種角色都能易於使用<br /> 資安大廠趨勢科技在Trend Vision One平臺上，加入Trend Companion這項AI助手功能，以說明以自然語言的聊天介面提供服務的好處，可讓資深的資安專家、剛入行的新手、資安長還是事件處理專員，這些不同角色都可根據自己的需求，獲取定制化的資訊，這種高度彈性的介面，將使每個人都能有效利用他們的服務。</span></span></strong><span style="color: rgb(105, 105, 105); font-family: Georgia, Times, "Times New Roman", serif; font-size: 14px; font-style: italic;">圖片來源／趨勢科技</span></p> </blockquote> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961B%EF%BC%89%E8%87%BA%E7%81%A3%E7%94%9F%E6%88%90%E5%BC%8FAI%E8%B3%87%E5%AE%89%E6%87%89%E7%94%A8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80.png" style="width: 600px;" /></p> <blockquote><p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>在Trend Vision One平臺的介面上，設計了Companion可解釋命令列的功能選項，可解析一段PowerShell腳本的目的與運作，幫助識別利用合法工具的寄生攻擊（LotL）。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／趨勢科技</span></p> </blockquote> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>聚焦自動化工具開發，以及資安知識庫與問題諮詢的應用面</strong></span></span></p> <p>另一家資安監控委外服務商安碁資訊，其應用雖然不是針對資安產品面，但他們年底向臺灣媒體揭露公司發展近況時，特別提到借助ChatGPT幫助資安服務與資安工作，預計發展三大方向。</p> <p>該公司技術副總黃瓊瑩表示，這些面向分別是：自動化檢測工具開發、資安文件知識庫建立，以及資安實務問題諮詢。上述應用的發展都將基於生成式AI，其核心為GPT-4，不過，因為這些用在公司內部，他先要強調遵循三大原則：「不輸入公司內部敏感資訊」、「不輸入客戶相關機密資訊」、「不將對話用作大型語言模型的訓練資料」。</p> <p>關於具體應用場景，黃瓊瑩表示，以自動化工具開發為例，工程師在整理使用者開發需求時，可透過LLM協助，生成初步架構、程式碼語法，有效降低溝通與開發成本。同時，LLM能協助撰寫單元測試，降低正式運行時的錯誤發生率。</p> <p>再者，LLM的應用有助於建立資安知識庫，提升內容的正確性並減少編寫弱點範本的時間；至於資安實務問題諮詢的應用，由於LLM能分析客戶提問，提供相關資訊，這將加速回應客戶的速度。</p> <p>不只是生成式AI技術，黃瓊瑩也提及公司應用其他AI技術的最新進展。他指出，深度學習與生成式AI的概念不同，生成式AI是有創作（造）力的，會依其訓練模型而產出相對的資訊。</p> <p>以安碁資訊2023年導入的Auto Encoder技術而言，此一深度學習是學習從輸入到輸出的複雜映射關係，並依此建立特定行為模型，當新資料輸入將可判斷與以往不同的行為；此外，2024年安碁資訊還將發展用AI引擎決策判斷資安事件，可透過每月蒐集大量資料，結合現有已知資安事件的處理經驗，進行監督式學習，其成果將是：僅需新接收到的特定日誌紀錄，即可由監督式學習的結果，判定是否為資安事件。</p> <p>換言之，每個資安事件判定不需要都預先設計好規則，如此可降低人力的投入。此外，這些巨量資料也同樣與機器學習結合，產生異常偵測、預測分析以及歸類等模型，使其更具效率。這項AI引擎計畫目前也已在進行中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%87%BA%E7%81%A3%E7%94%9F%E6%88%90%E5%BC%8FAI%E8%B3%87%E5%AE%89%E6%87%89%E7%94%A8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p><strong><span style="color:#696969;"><span style="font-size:18px;">安碁資訊看好ChatGPT應用，聚焦三大發展面向<br /> 對於ChatGPT的應用，資安監控委外服務商安碁資訊同樣看重相關效益，該公司在2023年12月揭露他們聚焦三大方向，包括：自動化檢測工具開發、資安文件知識庫建立，以及資安實務問題諮詢。例如，應用LLM建立資安知識庫，將提升內容的正確性，同時也能減少編寫弱點範本的時間。他們並表示，這些項目都已經在進行，目前完成度大約是7成。</span></span></strong><span style="color:#696969;"><span style="font-size:18px;"><span style="font-size:14px;">攝影／羅正漢</span></span></span></p> </blockquote> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>生成式AI資安應用也擴及開發人員</strong></span></span></p> <p>綜觀此一發展態勢，不論是中小資安業者或是國際資安大廠，對於生成式AI資安的發展，已經找出適用面向並付諸行動，這些都會是相當重要的訊號。</p> <p>對於其他臺灣資安產業而言，應該也要設法積極採取行動。畢竟，當攻擊者都在用生成式AI讓攻擊伎倆大幅進化，防禦者若是完全沒有任何想與因應動作，或是仍未察覺新技術所帶來的各種改變，恐怕會面臨相當危險的局面。</p> <p>無論如何，過去幾年我們在談AI資安時，資安界期望在很多面向都能用AI來助攻，包括：內容過濾、未知漏洞檢測、密碼安全、惡意程式分析、異常偵測、釣魚偵測、事件應變訓練等。如今隨著生成式AI的市場應用已然成形，也將帶來更多應用發想。</p> <p>儘管大家都知道，科技發展一直是雙面刃，我們預期AI將升級既有威脅手法與破壞規模，或是帶來新的威脅，但在許多防護層面的實踐作為上，我們也能設法善用其特性，有機會做到更自動化的偵測，以及更快速的反應。</p> <p>而且，AI能幫助資安的層面，不只是資安產業，軟體開發領域也能受惠。像是提升開發人員寫程式生產力的GitHub Copilot，在2023年就新增一項功能，是基於LLM的AI漏洞過濾系統，能在開發者撰寫程式碼之際，避免寫出不安全的程式碼，這也是應用方式之一。</p> </div></div></div>
2023/12/29 14:01作者羅正漢https://www.ithome.com.tw/news/160610
第一線對抗勒索軟體的無名英雄
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960_le_suo_ruan_ti_shou_lie_tuan_tu_pian_lai_yuan_wei_cheng_chu_ban_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">衛城出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>二○一三年四月，莎拉祖父的電腦被惡意軟體感染，為了尋找解決方法，她找到嗶嗶電腦，利用站上提供的工具掃描硬碟把檔案修好。網站上有一名熱心人士自願幫她清理電腦。「哇喔！這感覺挺酷的！」莎拉心想：「要不我也試著加入看看？」</p> <p>不久之後，她就開始參加嗶嗶電腦的訓練計劃。他們安排她閱讀資安相關的資料並讓她練習。每天莎拉放學回家就會在論壇待上幾個小時，學著怎麼移除惡意軟體。她說：「我當時對此充滿熱情。」到最後一關，指導員在一台虛擬機器中灌入名為「ZeroAccess」的惡意軟體。這款惡意軟體曾滲透過數百萬台電腦系統，通常是在受害者打開受感染檔案或連結時入侵。莎拉通過測試移除了ZeroAccess，完成她為期十一個月的訓練課程。二○一四年，她以這項訓練計畫中最年輕的畢業生身分，加入嗶嗶電腦的惡意軟體應變小組。</p> <p>莎拉還在實習階段就開始參與討論惡意軟體的群組，在群組中有一位不常發言的成員名叫「法沃」（法比恩）。某天，法比恩終於加入討論，他的評論激起莎拉的興趣。她決定接觸法比恩這號人物。</p> <p>莎拉和法比恩很快就發現兩人有共同興趣，漸漸地，法比恩開始依賴莎拉的建議。莎拉跟他說希望能以消滅惡意軟體為志業，法比恩便為她安排兩個在Emsisoft的實習機會。只要莎拉發現有勒索軟體開始不受控制地蔓延，就會催促法比恩集中火力處理。</p> <p>法比恩和莎拉在推特上，也開始追蹤一位神祕的匈牙利研究員，對方以「惡意軟體狩獵團」（MalwareHunterTeam）稱號在網路世界行動。</p> <p>丹尼爾．加拉格爾（Daniel Gallagher）在資安產業工作，他在推特上認識麥克和法比恩後，也開始協助他們。丹尼爾很罕見地獲得惡意軟體狩獵團的信任跟友誼，他表示，惡意軟體狩獵團在對「惡意軟體進行逆向工程與了解惡意軟體如何運作上，是一位非常傑出的人。他能從程式碼中找到隱蔽的細節，並且全年無休地追殺惡意軟體。」</p> <p>幾年前，丹尼爾在細讀惡意軟體狩獵團的推特貼文時，發現這位朋友正面臨財務困境。他提議資助對方，但惡意軟體狩獵團一再拒絕他。後來，丹尼爾終於說服他收下一筆現金。法比恩也伸出援手，他聘請惡意軟體狩獵團在Emsisoft兼職擔任軟體分析師。</p> <p>另一名來自東歐化名為「血腥多莉」（BloodDolly）的研究人員，發現特斯拉病毒在保護密鑰上的關鍵缺陷。當時，勞倫斯召集的特種部隊正在研究這款病毒。特斯拉軟體的開發人員透過常見的質數相乘方式產生對應密鑰。</p> <p>但特斯拉病毒犯了一個錯，它意外用了非質數的數字產生密鑰。此外，相較於標準程序中系統會用兩個極大的質數相乘，產生受保護密鑰，有一些特斯拉病毒的受害者密鑰是以許多較小的質數產生，相比之下比較容易被破解。有鑒於此，血腥多莉能用一種稱為「數域篩選」（number sieve）的演算法縮小質數範圍，這套演算法在分解較小整數時很有效率。接著，他只要有足夠運算能力，就能找出特斯拉密碼的密鑰並解鎖被加密檔案。</p> <p>血腥多莉實際上是一位名叫伊戈．卡比納（Igor Kabina）的斯洛伐克人，他在一間防毒公司擔任「偵測工程師」（detection engineer）。二○一五年五月，血腥多莉在嗶嗶電腦上貼了一個連結，公開他的「特斯拉解碼器」（TeslaDecoder），並寫道：「我希望這對某些人有幫助。」文末他還附上一個微笑的表情符號。</p> <p>不過後來他發現，特斯拉密碼幕後的勒索集團也會看他張貼的對應措施，藉此改寫軟體進行除錯。從此血腥多莉不再直接貼出解鎖檔案的教學文章給受害者。但他仍會和勞倫斯的特種部隊分享更新後的解鎖工具。勞倫斯則在他的網站上將特斯拉密碼標記為可被破解的病毒，但盡可能避免描述如何破解，以免勒索集團針對弱點進行修補強化。</p> <p><span style="font-size:28px;"><strong>為每位受害者算出專屬密鑰</strong></span></p> <p>麥克跟血腥多莉在嗶嗶電腦上聯繫。他從這名斯洛伐克研究員身上吸收所有破解特斯拉密碼與解救受害者的知識。血腥多莉回憶當他們開始合作時，麥克「還在嘗試用暴力破解方式解決問題」，因為他使用的是比較慢的程式語言，血腥多莉向他展示如何加速他的程式碼。</p> <p>麥克運用血腥多莉的工具，為塞勒姆青年學校與另一位同樣遭受特斯拉密碼攻擊的客戶取得密鑰。</p> <p>當時，法比恩正在處理不同品系的勒索軟體，因此把新的特斯拉密碼受害者都轉介給麥克。受害者會提供被加密檔案，麥克則將檔案放進血腥多莉的解碼工具分析。他不分日夜趕工，很快為受害者算出專屬密鑰，並同時用到公司與家裡電腦。</p> <p>有的密鑰只需要用筆記型電腦花上幾分鐘就能破解，但有的可能得花一整個禮拜，而且還要用高效能的伺服器運算。每天整支特種部隊能幫助十到十五名受害者。「你必須幫每一位受害者都運算一輪，」麥克說：「不是只要有一個主密鑰就能解開所有人的檔案。」</p> <p>有的密鑰以比較長的字串組成，如果要在預計時間內算出來，就需要更多運算能力，有的甚至超出麥克手邊能用的電腦的運算極限。在機緣巧合下，北卡羅來納州的「使命健康連鎖醫療集團」（Mission Health）新買兩台高效能的伺服器。丹尼爾．加拉格爾正是這間公司的資安主管，他在首席資安技術長同意下，將這兩台伺服器用來支援特種部隊。</p> <p>丹尼爾回想當時他傳訊息給其他成員，說道：「嘿，我手上有一台價值萬元的伺服器，現在剛好空著沒人用，我們來使用它吧。」</p> <p>麥克把握機會，把一套腳本（script）寄給丹尼爾。「開啟這個檔案，」麥克跟丹尼爾說：「我只需要用到中央處理器的運算力。」</p> <p>「這我辦得到。」丹尼爾回答。兩人開始合力設法取得密鑰。</p> <p>麥克陸續救了很多特斯拉密碼的受害者，當人數超過一百人後，他已經懶得去記到底幫助多少人。勞倫斯在嗶嗶電腦網站上特別感謝「所有犧牲寶貴時間來幫助特斯拉密碼受害者的人。」並特別提到血腥多莉和狩魔335的貢獻。</p> <p>有時，勞倫斯會代表受害者與特斯拉密碼背後的駭客談判。某次他告訴對方，他們搶走的是一位母親手上僅存的兒子照片，她的兒子是在戰場上陣亡的美軍，對方於是免費給勞倫斯密鑰。</p> <p>二○一六年五月，血腥多莉發現特斯拉密碼在暗網上的網站似乎關閉了。眼見機不可失，他要求勒索集團釋出主密鑰，讓受害者都能取回他們的檔案。過了一天半，對方宣布他們將終止活動，並把最新的一組主密鑰提供給他。「計畫終止，」特斯拉密碼在暗網上寫道：「我們很抱歉！」</p> <p><span style="font-size:28px;"><strong>獵人聚首</strong></span></p> <p>當時狩獵團隊還沒正式成立，獵人們在對抗「加密鎖櫃」、「特斯拉密碼」或其他病毒時，都是透過嗶嗶電腦的私訊功能與推特聯繫。他們的對話紀錄散落在不同平台上，內容因此變得零碎沒有組織。</p> <p>勞倫斯說：「到了某個階段，我心想：為什麼我們還要透過論壇上的私訊功能解決問題？」</p> <p>是時候讓獵人們聚集在一起了。二○一六年五月，當特斯拉密碼的攻擊者退場時，一名來自西班牙巴塞隆納的惡意軟體分析師兼樂團鼓手馬可．里維拉．洛佩茲（Marc Rivero López），提出一個打破溝通藩籬的構想。</p> <p>馬可是一位積極和善的人，過去他就曾和勞倫斯、丹尼爾、惡意軟體狩獵團和麥克合作過，會幫助他們分析新的威脅。但他一直對團隊缺乏整合這件事感到困擾。馬可說：「我看到大家都各忙各的。我心想：拜託，這樣稱不上是在一起工作，我們來創個私人社群吧。」</p> <p>馬可著手建立Slack，勒索軟體狩獵團從此成軍。<strong><span style="color:#696969;">（本文摘錄整理自《勒索軟體狩獵團》第三章，衛城出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E7%8B%A9%E7%8D%B5%E5%9C%98_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%A1%9B%E5%9F%8E%E5%87%BA%E7%89%88.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_衛城出版</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 勒索軟體狩獵團：一群無名駭客如何拯救數位時代的資安危機？（The Ransomware Hunting Team）</strong></p> <p>芮妮．杜德利（Renee Dudley）、丹尼爾．戈爾登（Daniel Golden）／著；劉家安／譯</p> <p>衛城出版</p> <p>定價：550元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E7%8B%A9%E7%8D%B5%E5%9C%98_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 150px;" /></p> <p>芮妮．杜德利（Renee Dudley）</p> <p>ProPublica科技記者，曾任職於南卡羅萊納州查爾斯頓郵報、紐約彭博社與路透社。二○一一年獲選為南卡羅萊納州新聞協會年度記者，曾獲頒美國專業新聞記者協會普莉亞姆獎，並被提名入圍普立茲獎決選。二○一九年，杜德利發表一系列追蹤勒索軟體的報導，榮獲二○一九年SABEW技術報導獎，與二○二○年TRACE調查報導獎。<a href="https://www.amazon.com/stores/author/B0B995C762/about?ingress=0&visitId=fe8169a5-7f38-4e5f-9e2b-54e4b2a0619d&store_ref=ap_rdr&ref_=ap_rdr" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Amazon</span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E7%8B%A9%E7%8D%B5%E5%9C%98_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 150px;" /></p> <p>丹尼爾．戈爾登（Daniel Golden）</p> <p>作家、ProPublica資深編輯與記者，曾任職於《波士頓環球報》、《華爾街日報》與紐約彭博社，獲頒普立茲獎、喬治．波克新聞獎、全國頭條新聞評論獎等大獎。<a href="https://www.amazon.com/stores/author/B0BC253VR3/about?ingress=0&visitId=1cbf0bd8-2ec6-430d-b7a2-0b183067d273&store_ref=ap_rdr&ref_=ap_rdr" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Amazon</span></a></p> </div></div></div>
2023/12/29 12:00未署名https://www.ithome.com.tw/article/160561
DevOps快報第1期：2千企業用Backstage打造內部開發者平臺，多種開發AI助手現身，從程式碼AI到DevOp…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2023/12/1～12/28 精選DevOps相關新聞</strong></p> <h3><strong><span style="color:#FF8C00;">#平臺工程 #IDP</span><br /> 開源IDP專案Backstage獲2300家企業採用，Spotify揭露明年發展方向</strong></h3> <p>根據Spotify統計，他們開源釋出的開發者平臺專案Backstage 在2023年9月時，全球已經有2300家企業採用，用來打造內部開發者平臺（IDP），包括歐洲快時尚Zalando、全球影音龍頭Netflix、美國航空、HBO MAX聯播網、加拿大Telus電信、英國體育臺DAZN，甚至連老牌軟體公司3D引擎巨頭Unity等。Spotify最近舉辦了第一次的Backstage技術日活動，揭露了Backstage未來的發展方向。</p> <p>Backstage原本就有一個開源外掛目錄，已有超過150個Backstage的第三方解決方案。因此，Spotify在今年9月底時啟用了Backstage商用市集目前是Beta版，會提供經過Spotify驗證的商用外掛產品，目前包括紅帽、VMware、CircleCI、Weaveworks、synk、PagerDuty都成為認證的合作廠商。</p> <p>Spotify也設立了Backstage產品主管Meg Watson指出，未來優先聚焦三大發展方向，要強化平臺核心、移除導入障礙、探索更多延伸產品和服務。舉例來說，過去需要70個步驟才能完成安裝，Backstage 將在2024年初推出一項新的「快速啟動（Quickstart）」功能，可以精簡到3個步驟，就能安裝好整套平臺。</p> <h3><strong><span style="color:#FF8C00;">#開發者AI #14種語言</span><br /> GitLab年終改版時出16.7，寫註解就能生成程式碼的AI助手正式上線</strong></h3> <p>年底時，GitLab釋出了16.7改版，包括了30多項強化，其中，最大新特熱是先前發布的程式碼AI助手Duo Code Suggestions正式上線。這款開發AI助手，可以支援多款開發IDE工具和14種語言，包括C++、C#、GO、Java、JavaScript、PHP、Python、Swift等，10秒內自動協助完成所轉寫程式碼區塊的其餘程式碼，也可以自動生成測試程式碼等。甚至，開發者可以先輸入程式碼的註解文字後，AI助手再自動依據這段註解產生對應的程式碼，開發者可以不斷輸入人類容易理解註解，就靠AI助手將這一隻功能的程式完成。GitLab開放企業在2024年2月中前可以免費試用這項功能。</p> <p>其他新版功能包括了用來分類快速尋找各種元件的CI/CD目錄功能，進入Beta版。另外在除錯分析報告新增加細節報表展開功能，方便進行更深入的分析。在合併請求變更檢視模式也多了同時檢視程式碼靜態掃描結果的選項。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GitLabAI.png" /></p> <h3><strong><span style="color:#FF8C00;">#開發者AI #Duet AI #20種語言</span><br /> Google雲端正式推出開發者AI助理，聯手開發工具鏈廠商打群架</strong></h3> <p>Google雲端日前正式推出了開發者AI助理Duet AI，進軍AI開發者生產力工具的競爭，來與GitHub Copilot開發者AI競爭。目前開發者Duet AI可以在Cloud Shell Editor、Cloud Workstations、IntelliJ、PyCharm和VS Code等IDE中使用，支援C、C++、Go、Java、JavaScript和Python等20多種程式語言。另外也整合了GCP的Cloud Logging雲端維運服務，可用AI摘要日誌摘要和錯誤的解釋，來輔助故障排除。開發者Duet AI也內建了專用端點、VPC服務控制和精細IAM權限存取控制等安全功能。 </p> <p>不只如此，開發者Duet AI也聯手了不同的開發者工具鏈和生態圈，包括了知識型合作夥伴，可以提供各自名產品文件和知識庫，包括了Datadog、JetBrains、Langchain。可以回答常見產品問題、弱點修補、自動化測試等問題。另外也整合了開發類工具包括了Confluent、HashiCorp、MongoDB、Redis、Elastic、Grafana Labs等，可以協助產生這類開發工具鏈產品的程式碼、範例程式碼或除錯建議。</p> <h3><strong><span style="color:#FF8C00;">#開發者AI #重構建議</span><br /> IDE工具商JetBrains也推出自家AI助理，還可以協助程式碼重構</strong></h3> <p>擁有IntelliJ IDEA、PyCharm等多款IDE產品的工具商JetBrains，最近也發表了自己的開發AI助理，不只可以解釋程式碼，回答程式碼相關問題，也能生成文件或是進行程式語言轉換等工作。JetBrains採用OpenAI的模型來打造這款人工智慧助理，不只可以根據專案上下文、插入符號位置以及提示詞產生程式碼。同時也可以生成說明文件，代勞這件普遍不受開發者歡迎的工作。開發者在AI Actions的選單選擇編寫文件選項，人工智慧助理便會根據所選函式和類別，產生豐富經格式化的文件。這款AI助理特色之一是可以提供潛在程式碼的重構建議，不只考慮程式脈絡，也會考量當前專案的限制，並且還能解釋重構建議的原因，也讓開發者接受建議後，直接將生成的程式碼插入專案中。</p> <h3><strong><span style="color:#FF8C00;">#開發者AI #Salesforce開發平臺</span><br /> Salesforce的DevOps平臺工具商Copado用ChatGPT打造DevOps助手</strong></h3> <p>主攻Salesforce開發生態圈的DevOps平臺工具商Copado，最近發表了用ChatGPT打造的DevOps助手CopadoGPT測試版。這款DevOps助手使用了Copado累積十年的DevOps實務的資料來優化，可以自動生成機器人自渡化測試的測試腳本，也能用來強化用戶故事的細節，自動產生更容易理解的版本發布說明，也能用來提供Salesforce應用開發的最佳實知識。</p> <h3><strong><span style="color:#FF8C00;">#開發者AI #DevOps助手</span><br /> Jira開發平臺正式推出DevOps的AI助手，協助DevOps團隊管理工作流程</strong></h3> <p>Atlassian在四月發表的DevOps開發AI助手Atlassian Intelligence現在正式上線了，先支援Jira軟體、Confluence、Jira服務管理平臺，後續也會支援CI/CD平臺產品Bitbucket。這是一款使用Atlassian過去20年軟體開發知識所訓練的AI助手，主要用於開發流程的人機協作輔助。</p> <p>在測試階段，已有26萬人試用，最常見的用法是從Jira軟體工單自動產生用戶故事，自動產生SQL指令，也會用來修正Jira服務管理平臺上對顧客的回應語氣，Confluence文件自動摘要、或是透過提示語快速建立工作流程或是建立新的測試計畫。另外Confluence先開始支援用自然語言搜尋企業內部自己獨特的縮寫、術語或簡稱，來加快新手上手的速度，Jira也很快會支援這項NLP搜尋功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/jira%E5%8A%A9%E7%90%86.png" /></p> <h3><strong><span style="color:#FF8C00;">#DevOps #AI應用開發</span><br /> CircleCI將DevOps流程延伸到AI應用開發工具</strong></h3> <p>DevOps工具商CircleCI最近宣布將自家CI/CD平臺延伸到AI應用的開發流程，可以存取AWS上的GPU實例、透過內建Webhook機制快速連結到Hugging Face上的AI模型服務，也能整合LangChain團隊所開發的生成式AI應用除錯工具LangSmith，以及整合到AWS的SageMaker，讓DevOps流程更容易套用到AI應用的開發，減少開發人員設定外部第三方AI開發工具的麻煩。</p> <h3><strong><span style="color:#FF8C00;">#COBOL #大型主機現代化</span><br /> ML也能幫忙重構COBOL程式，BMC推出大型主機現代化新工具</strong></h3> <p>大型主機商軟公司BMC最近推出一款新的大型主機現代化工具AMI DevX Code Insights，可以利用機器學習演算法，繪製出大型主機的龐大單體式應用架構圖，可以用來分析資料和協助百萬行等級大型主機程式碼的除錯，也能透過runtime模擬器來了解COBOL程式如何運作，方便移除老舊用不到的死亡程式碼，或者用來協助分析COBOL程式碼的邏輯，拆解出不同功能的小型程式碼，來進行程式碼重構。</p> <h3><strong><span style="color:#FF8C00;">#Python開發框架 #資料庫操作</span><br /> 網頁應用框架Django發布5.0，大幅強化資料庫操作能力</strong></h3> <p>Python網頁應用框架Django這次改版主要聚焦在資料庫功能強化，像是支援資料庫運算預設值，以及資料庫生成模型欄位，讓資料庫自動處理資料欄的內容，並且還在模板系統加入欄位群組的概念，簡化表單欄位渲染等。5.0版開始支援資料庫生成資料的欄位，可以用由其他欄位計算出來的結果，來建立一個新欄位的值。這個功能能在資料庫層級自動計算並儲存結果，不只提高資料處理效率，也減少網頁端程式的計算負擔。隨著5.0的發布，Django 4.2也結束主流支援，後續只提供安全性和資料丟失的修補。</p> <h3><strong><span style="color:#FF8C00;">#Java開發 #IDE開發工具</span><br /> VS Code推出實用的浮動編輯器，也再次強化Java擴充套件功能</strong></h3> <p>在12月時，VS Code有不少更新，先是發布了1.85新版，增加了多項實用的新功能，例如浮動編輯器視窗，開發者現在可以將編輯器拖曳到桌面，方便將編輯器視窗分散到不同的顯示器或是桌面空間，來提高開發效率。JavaScript除錯器則加入視覺化V8堆快照（Heap Snapshot）功能，開發者可以更直覺地理解和分析JavaScript程式的記憶體使用情況。還提供更精細的擴充套件自動更新控制，允許用戶選擇想要進行自動更新的擴充套件。</p> <p>12月底時，更小幅更新Java擴充套件，也改善多項開發者體驗，例如Java擴充套件繁多的設定，現在會按類別和用途分類，方便開發者尋找。創建Java檔案的流程也更直覺，新增時會列出包含各種Java檔案類型列表，方便開發者選擇。在測試功能改善上，這次改版增加了新的測試覆蓋率API，當開發者在VS Code Insiders中執行Java測試時，能夠直接查看覆蓋率結果。Spring Boot擴充套件也有不少新功能和效能提升更新，例如採用了開源自動化重構工具OpenRewrite，可將現有Spring專案自動升級至Spring Boot 3.2。</p> <h3><strong><span style="color:#FF8C00;">#Visual Studio #C++開發體驗</span><br /> Visual Studio 2022年終更新版加強C++開發體驗，能更視覺化地檢視記憶體運用</strong></h3> <p>微軟在12月也小幅更新Visual Studio 2022，主要針對C++開發體驗的優化。C++開發者現在可以更有效率地檢視資料結構的記憶體占用量，以及記憶體的對齊方式。滑鼠移到識別碼（Identifier）上，就能查看快速資訊工具提示，即時檢查類別、結構和聯合的大小和對齊狀況，來了解複雜程式中的記憶體布局。另外也增加了記憶體布局檢視圖，可以用視覺化的方式來呈現類別、結構和聯合的記憶體排列方式，對於最佳化記憶體布局工作特別有用。開發者現在可以更直覺地查看類別中所有資料成員的填充、偏移和大小。另外，Visual Studio 2022從17.9版本也會開始直接支援Unreal Engine專案，可以直接在Visual Studio開啟來開發相關遊戲程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VS2022-%E8%A8%98%E6%86%B6%E9%AB%94%E5%B8%83%E5%B1%80%E5%9C%96.png" /></p> <h3><strong><span style="color:#FF8C00;">#Mac操作環境 #Linux</span><br /> Fedora Linux終於可以支援Apple Silicon處理器了，先支援M1和M2</strong></h3> <p>Asahi Linux與Fedora合作，終於在年底釋出了第一個支援Apple Silicon的Linux版本Fedora Asahi Remix，比原定8月釋出晚了4個月。該版本支援M1和M2系列的MacBook、Mac Mini、Mac Studio和iMac裝置，Mac Pro則還需要再等等。這個版本提供KDE Plasma以及GNOME桌面環境，操作體驗可以達到如同macOS般的流暢，不會有任何撕裂感或是故障。KDE Plasma還支援HiDPI，甚至可同時跨多個不同比例的螢幕顯示。</p> <h3><strong><span style="color:#FF8C00;">#程式碼掃描 #防止機密外洩</span><br /> Soanr程式碼品管工具新增加了機密內容偵測能力，可以快速找出不小心留在原始碼中的機密資訊</strong></h3> <p>程式碼品管工具商Sonar最近宣布旗下產品開始支援機密內容的偵測能力，包括SonarLint、SonarQube和SonarCloud都支援。這項功能可以用來偵測不小心遺留在程式碼中的機密資訊，避免系統遭駭時或而外流了這些機敏資料，常見不小心忘記移除的機密資訊類型包括了密碼、API金鑰、加密金鑰、權杖或是資料庫憑證等。這項工具透過語意分析和複雜規則來對程式碼儲存庫進行掃描，可以整合到DevOps流程中，而SonarLint則是可以更提前一步整合到企業所用的IDE開發工具中，來避免這類機密資料外流到合作廠商。</p> <h3><strong><span style="color:#FF8C00;">#平臺工程 #雲端成本分析</span><br /> 雲端成本分析新工具！新興平臺工具商Massdriver開始提供雲端成本追蹤工具</strong></h3> <p>隨著平臺工程越來越火紅，也開始出現專門鎖定企業內部開發者平臺的工具商，Massdriver就是其中一家。最近他們釋出了一個可以用來追蹤雲端成本的工具，能夠產生雲端基礎架構的成分分析表，稱為Cloud IBOM（Cloud Infrastructure bill of materials），並且能整合到企業內部的開發者平臺，在平臺工程的工作流程中提供成本分析的參考。</p> <p>使用者可以快速點選幾個按鈕，就可以產生一份雲端架構成分表，可以畫製出不同類型雲端資源的架構圖，也能涵蓋到資料庫、機器學習工作流程、無伺服器運算框架的架構。在這個架構圖上，除了呈現出不同雲端資源之間的關係，也會一一標記出每一項雲端資源的啟動時間，上個月的費用總額，相關通知警報（例如上個月超過設定的預算額度），讓平臺工程團隊更清楚地從工作流程來檢視，可以找出最花錢的流程和工具。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/massdriver-IBOM.png" /></p> <h3><strong>更多新聞</strong></h3> <ul> <li>Deno 1.39重新支援WebGPU，並持續強化Node.js相容性</li> <li>HashiCorp創辦人Michel Hashimoto離開了創辦的公司</li> <li>iPaaS平臺商Digibee也用LLM打造整合助手，可以將程式碼自動轉譯成JSON</li> </ul> <p> </p> <p>@資料來源：iThome整理，2023年12月</p> <p>責任編輯：王宏仁</p> </div></div></div>
2023/12/29 12:00作者王宏仁https://www.ithome.com.tw/news/160607
生成式AI對資安前線人員的兩大效益
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>將生成式AI技術帶入資安產品，2023年開始有科技大廠提出相關規畫，展示這類功能的預覽效果，到了年底，我們更是看到資安業者宣布對話式AI助手正式推出。像是：趨勢科技11月27日正式推出Trend Companion，以及Google在12月15日宣布Duet AI in Security Operations上線，而不僅止於提供預覽版或公開測試版。臺廠也響應這股技術浪潮，例如奧義智慧先發展出AI虛擬助手，後續在2023年7月上線的XCockpit平臺，也整合生成式AI技術。</p> <p>從多家科技大廠的應用說明來看，現階段，我們已經可以進一步解析其效益，簡單分成下列兩大層面：</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>效益一：提升資安監控、偵測與回應的效率</strong></span></span></p> <p>以往彙整大量資料來源與分析，可能需要耗費數天，因此前幾年資安界就已開始重視用AI/ML模型輔助分析監控的作法，如今在生成式AI的協助下，不僅能夠提供具備情境感知的大量資料與事件關聯分析，只要透過提示或是自然語言的查詢，可以帶來下列5種助益。</p> <p>（1）針對資安事件或異常的警示，快速提供事件摘要；（2）大幅加速分析查詢與調查效率，資安人員透過自然語言的文字敘述表達，即可快速從大量日誌與其他資料搜尋到關鍵資訊：（3）快速分析腳本與程式碼，給出簡單易懂的解釋；（4）很快給予使用者因應上的建議，或是直接產生回應的自動化腳本，（5）提示或詢問後也能給予選單提示按鈕，將簡化使用者操作與設定流程，讓使用者點擊確認後就能自動執行。</p> <p>換言之，這將提升SIEM系統、偵測與回應系統，以及安全維運中心（SOC）的效率。而識別潛在威脅能力提升的好處很明顯，意味著減少平均偵測時間（MTTD）、平均回應時間（MMTR），對企業而言，應變速度越快，資安狀況相對會越好。</p> <p>甚至我們看到有些業者強調生成式AI的好處，認為這種技術將帶來前所未見的效率。</p> <p>例如，Fortinet表示，AI可將辨識和控制威脅的處理時間，從超過20天之久大幅縮短至不到1小時，以及將資安威脅調查和回應緩解措施所需的時間，從超過18小時，縮短至15分鐘或更短。奧義智慧也有同樣觀察，他們表示，警示建單時間可縮短至3分鐘，案情調查時間（MTTI）也只需要15分鐘。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>效益二：可簡化資安產品查詢與操作，甚至帶來新變革</strong></span></span></p> <p>過往資安產品若是操作遇到問題，或是遇到不熟悉的警示事件，通常人員需要查找操作手冊，或是聯繫原廠請求技術支援，現在有了對話式的AI助理，將帶來完全不同的操作體驗，這是因為，現在可透過自然語言，以一問一答的方式來查詢資料，並獲得設定的建議，甚至更簡便，完全不用提問，讓使用者點選預設好的功能按鈕項目，也就能直接得到答案。</p> <p>更關鍵的是，不僅僅是可以在資安管理與大量資料查詢上帶來效益，在資安事件因應上帶來輔助決策或AI決策的效益，從操作面來看，更是完全簡化人員的相關操作流程。</p> <p>這樣的操作體驗變革，不僅對於新進人員帶來幫助，對於資深研究員同樣有助益，因為這樣的效率提升，可讓資安人員專注於更具戰略性與複雜性的任務。</p> <p>而這些技術突破，不僅可促使大型資安團隊更有效率，對於人力不充沛的中小企業而言，在這方面獲得的助益可能是更大。</p> <p>除此之外，過去幾年全球資安界常探討如何解決資安技能落差，以及資安人力不足等困境，而當時就已經期盼，AI資安發展能緩解人力的問題，同時也減輕資安人員的工作負擔，如今在生成式AI帶動下，確實替資安應用帶來新的轉機。</p> <p>綜合來看，讓資安人員可專注於更重要的任務，是相當務實的改變。我們甚至期盼，資安培訓工具未來也能融入生成式AI，讓人員更容易學習不同領域的資安知識。</p> </div></div></div>
2023/12/29 12:31作者羅正漢https://www.ithome.com.tw/news/160609
Mozilla改變立場，相信Trusted Types防範Web-based跨站攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla近日表示，相信Trusted Types安全技術可以防範DOM-based跨站攻擊，強化網頁端的安全防護，但認為還不到實作於Firefox的時候。</p> <p>Mozilla成員指出，經過徹底的規格檢視後，Mozilla相信信任類型在防範文件物件模型（DOM-based）跨站腳本程式（Cross Site Scripting，XSS）攻擊的能力，過往在保護知名網站有優異成果。</p> <p>DOM-based XSS是攻擊者在URL中輸入DOM物件，利用JavaScript產生完整網頁，卻沒有檢查輸入資料的漏洞，讓瀏覽器瀏覽網頁的過程，帶入惡意程式碼。網站及瀏覽器支援信任類型（Trusted Types）可以防範這類攻擊。Google在2020年的<a href="https://www.ithome.com.tw/news/138989" target="_blank">Chrome 83</a>已經加入支援，微軟Edge、Opera也已加入。但是Mozilla Firefox及蘋果Safari則仍未支援。</p> <p>雖然Mozilla對這項技術開始認同，但在將之實作到Firefox推向所有用戶之前，Mozilla對Trusted Types仍然有些疑慮。其中包括是否會影響瀏覽器的XSS過濾器，以及其配置方法。和Google小組的討論讓他們對該技術在Web上的有效性及用途仍有「不清楚」的地方。他們也發現Chrome實作有某些功能是超出標準化的範疇，他們相信可能也還會有變動。</p> <p><a href="https://www.theregister.com/2023/12/21/mozilla_decides_trusted_types_is/" target="_blank">《The Register》</a>分析，在Chrome支援Trusted Types後，有助XSS攻擊的減少，報導引述專家人士說，相信最後主要瀏覽器業者最後都會支援這項安全技術。</p> </div></div></div>
2023/12/29 10:44作者林妍溱https://www.ithome.com.tw/news/160604
Panasonic旗下航空電子公司揭露去年遭駭外洩個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Panasonic旗下開發飛機上資訊娛樂設備的<a href="https://www.documentcloud.org/documents/24238563-panasonic-avionics-corporation-consumer-notice-letter" target="_blank">Panasonic Avionics本周揭露2022年底遭駭</a>，導致數量不明的員工及客戶個資外洩。</p> <p>Panasonic Avionics是Panasonic旗下專門提供機上資訊娛樂系統、網路通訊設備的系統整合及相關資料服務的子公司。設備安裝於全球超過1.5萬架商用飛機上，客戶包括空中巴士、波音及龐巴迪等。Panasonic Avionics也是Panasonic在北美的主要子公司。</p> <p>根據Panasonic Avionics本周向所在地的加州檢察長辦公室的申報文件，事件大約發生在2022年12月14日前後，一名不明非授權人士存取了該公司網路上某些系統，並存取了特定人士的資訊。Panasonic Avionics因而向受到影響的人員發函通知。這些資訊來自該公司提供服務時蒐集到的個人、僱主以及其他人。受影響人數不明。</p> <p>外洩資訊包含上述人士的姓名、電子郵件、住家地址及電話，生日、醫療及健康資訊、銀行帳號、公司聘僱狀態、以及社會安全號碼等。</p> <p>該公司向<a href="https://www.bleepingcomputer.com/news/security/panasonic-discloses-data-breach-after-december-2022-cyberattack/" target="_blank">Bleeping Computer</a>表示，外洩的是少數員工和商務客戶資料。</p> <p>Panasonic Avionics表示事件發生後，已找來專業資安業者進行調查，強調沒有證據顯示這些資訊已被濫用發動攻擊。該公司並對受影響人士提供身分資料及信用監控服務，也呼籲留心帳號任何可疑活動。</p> <p>這起事件是Panasonic二年來最新一起資安事件。這家日本電子及家電大廠2021年11月也曾被人駭入，存取客戶及公司網路架構資訊。去年春天，一名駭客宣稱以Conti勒索程式取得了Panasonic加拿大分公司2.6GB資料。</p> </div></div></div>
2023/12/29 11:16作者林妍溱https://www.ithome.com.tw/news/160605
Nvidia在中國發表少11%效能的GeForce RTX 4090 D晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著美國持續要求業者不得出口AI晶片至中國，<a href="https://wccftech.com/us-adds-more-nvidia-gpus-to-china-ban-list-rtx-6000-ada-rtx-a6000-l4/" target="_blank">迄今Nvidia已經有十多款GPU被禁售至中國</a>，不過，Nvidia本周在中國市場發表了GeForce RTX 4090 D，效能約比正版的GeForce RTX 4090少了11%。</p> <p>GeForce RTX 4090為GeForce 40系列迄今最新也最高階的繪圖處理器（GPU），該系列是Nvidia專為玩家及創作者所設計的顯示卡，GeForce RTX 4090標榜在效能、效率及AI繪圖上有大幅的增長，可讓使用者體驗更栩栩如生的虛擬世界。其基本款售價為1,599美元，上一代的GeForce RTX 4080則是1,199美元。由於它屬於消費性產品，先前並未在美國的禁售之列，但國外媒體卻在11月時發現，原本存在於Nvidia中國官網上的GeForce RTX 4090被下架了，本周重新上架的則是降級版的GeForce RTX 4090 D。</p> <p>比較Nvidia<a href="https://www.nvidia.com/en-us/geforce/graphics-cards/40-series/" target="_blank">美國</a>官網與<a href="https://www.nvidia.cn/geforce/graphics-cards/40-series/" target="_blank">中國</a>官網在GeForce RTX 4090及GeForce RTX 4090 D的規格，雙方皆採用24GB的GDDR6X記憶體，加速時脈皆為2.52 GHz，但GeForce RTX 4090擁有16,384個Nvidia CUDA核心，而GeForce RTX 4090 D的Nvidia CUDA核心數量只有14,592個，比GeForce RTX 4090少了10.9%。</p> <p>根據<a href="https://www.theregister.com/2023/12/28/nvidia_4090_returns_to_china/" target="_blank">《The Register》</a>的報導，GeForce RTX 4090是美國在今年10月祭出嚴格出口管制後，唯一被禁止出口至中國的消費級GPU，原因是它的效能剛好超過規定，使得Nvidia只好減少它的核心數量，不僅是CUDA核心，其Tensor核心也從512個減少到456個。</p> <p>不過，目前Nvidia中國官網只提供了GeForce RTX 4090 D的規格，尚未公布它的價格或銷售管道。</p> </div></div></div>
2023/12/29 11:42作者陳曉莉https://www.ithome.com.tw/news/160606
生成式AI崛起，是強化資安的大好機會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這些年網路威脅加劇，資安人力卻總是補不滿，如何翻轉攻防不對稱的局勢是資安發展重心，而AI應用正是大家期待已久的技術。</p> <p>回顧2023年生成式AI應用成形與爆發，資安界憂心攻擊者的技術門檻大幅降低，能發動更大規模且複雜的攻擊。但水能覆舟，亦能載舟，生成式AI同樣有助於資安，催生出新的防護作法。</p> <p>儘管通用生成式AI問題持續受探討，AI監理規範也正持續發展，像是建立AI風險驗測方法，評估AI生命週期的資訊與資料安全需求，以及2023年下半的種種指引與立法，雖然確保生成式AI安全很重要，不過，鎖定領域專屬的局部應用，已是重要發展方向。</p> <p>基本上，資安業者採用AI/ML提升本身產品與服務的能力，並非新鮮事，甚至不少廠商強調，資安解決方案要以AI為中樞，在GPT-4、PaLM 2、Llama 2等多個大型語言模型（LLM）引領之下，不僅帶動生成式AI興起，也再次掀起AI資安浪潮。</p> <p>因此，這一年來生成式AI的應用，不僅微軟與Google一舉一動受熱烈關注，許多資安大廠態度也很積極，令人驚喜的是，臺灣多家資安業者也不落人後。</p> <p>在2024年可以預見的是，對資安領域而言，生成式AI可望帶來完全不同的新面貌，也有資安專家盼望這能成為資安人員的救星，幫助縮短攻防不對稱的嚴峻態勢。</p> <p>因此不論企業規模大小，勢必都要了解當前的生成式AI發展概況，才能更好設想未來如何提升資安防護。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>微軟敲響AI資安助手第一鐘，大量推出的新應用都與生成式AI有關</strong></span></span></p> <p>早在2014年，我們就看到美國一家名為Tanium的新創公司，發展資安軟體結合自然語言，使用者透過口語化文字輸入提問，就能盤查企業電腦網路。到了2016年，對話機器人（Chatbot）開始步入主流，但當時仍處於自然語言理解階段，還需改進對話管理與自然語言生成；在2018年，GPT-1誕生，促成新一波AI應用。</p> <p>到了2023年，基於LLM的生成式AI技術不僅爆紅，其資安領域上的應用潛力，也有目共睹。</p> <p>首先，3月29日微軟發表整合GPT-4大型語言模型的Security Copilot，目標是協助資安人員工作，相隔一個月之後，Google發布整合自家Sec-PaLM大型語言模型的Security AI Workbench平臺。</p> <p>這些產品新功能的預告，意味著新時代來臨──將生成式AI技術整合至各種資安產品和服務。</p> <p>接下來幾個月，這兩家大廠宣布將生成式AI的技術，擴大至眾多產品線。以雲端服務為例，像是Microsoft 365 Copilot、Duet AI for Google Workspace等，而這些輔助生產力工具的AI助理，吸引許多用戶目光。在端點裝置，例如個人電腦與手機，微軟針對Windows系統，預計提供Copilot in Windows輔助功能，最新Google Pixel手機的相片魔術橡皮擦、提高解析度功能，背後也是導入了生成式AI。</p> <p>更重要的是，還有各式資安產品，也都將擁抱這股新浪潮，包括微軟的Microsoft Defender XDR、Sentinel、Intune，以及Google的Chronicle等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E5%A4%9A%E5%AE%B6%E5%A4%A7%E5%BB%A0%E5%B0%87%E7%94%9F%E6%88%90%E5%BC%8FAI%E6%95%B4%E5%90%88%E6%96%BC%E8%B3%87%E5%AE%89%E7%94%A2%E5%93%81_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></p> <blockquote><p><strong><span style="color:#696969;"><span style="font-size:18px;">資安結合生成式AI，微軟帶頭掀起風潮<br /> 微軟2023年3月29日預告，將推出全新Security Copilot，掀起資安領域結合生成式AI的旋風，他們指出該應用將成為資安人員的AI助手，後續並公布Security Copilot的運作架構，說明資安人只要送出指示（prompt）、接收答覆，背後運作全由這個AI助手負責，而且，旗下多項資安產品都將支援Security Copilot。</span></span></strong><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> </blockquote> <p class="rtecenter"><span style="color:#696969;"><span style="font-size:14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%A4%9A%E5%AE%B6%E5%A4%A7%E5%BB%A0%E5%B0%87%E7%94%9F%E6%88%90%E5%BC%8FAI%E6%95%B4%E5%90%88%E6%96%BC%E8%B3%87%E5%AE%89%E7%94%A2%E5%93%81_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></span></span></p> <blockquote><p><span style="color:#696969;"><strong><span style="font-size:18px;">微軟將生成式AI整合至旗下資安產品<br /> 根據微軟Microsoft Defender XDR初步試用計畫資料，可看出Security Copilot嵌在網頁介面右側，幫助快速總結事件，分析腳本與程式碼，提供建議行動，以及撰寫報告。</span></strong><span style="font-size:18px;"><span style="font-size:14px;">圖片來源／微軟</span></span></span></p> </blockquote> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>微軟、Google兩家雲端巨擘率先引領風潮</strong></span></span></p> <p>究竟生成式AI的出現，會讓各類資安產品帶來哪些改變？</p> <p>以微軟為例，在2023年11月公布的Microsoft Defender XDR預覽版當中，企業將可藉助嵌入的Security Copilot功能，達到多項應用效益，例如：不需撰寫複雜的查詢指令，可節省時間並減少發生錯誤的機率，可幫助快速摘要事件、分析腳本與程式碼，能提供引導式回應機制，幫助操作人員對事件採取動作，同時，還能用自然語言產生Kusto查詢語言（KQL），以及能夠讓撰寫事件報告變得更有效率。</p> <p>而且，幾日後微軟表示，將Microsoft Defender XDR/Sentinel，以及Security Copilot，整合至同一管理平臺。</p> <p>Google在12月也宣布Duet AI in Security Operations正式上線，這是適用於資安維運的生成式AI助理，供所有Chronicle用戶使用，可簡化威脅偵測並給予回應，協助歸納與分類威脅資訊，將自然語言輸入轉換為查詢指令並執行複雜分析，提供案例資料與警報的自動摘要，以及提供後續步驟建議，以改善事件回應時間等。</p> <p>同時Google還預告，未來幾週，所有的Duet AI服務，都將包含新的多模態模型Gemini，這也顯示出，近年生成式AI能力，其實是會快速地提升與進步。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>多家資安業者同樣擁抱生成式AI，臺廠也趕上這股熱潮</strong></span></span></p> <p>不只是微軟與Google，事實上，短短幾個月之內，有多家資安廠商紛紛跟上這股風潮，顯然都是看重生成式AI在資安應用的潛力與優勢。</p> <p>如微軟一發表Security Copilot之後，網路威脅情報業者Recorded Future的動作很迅速，在2023年4月11日宣布，在自家威脅情資（CTI）平臺整合OpenAI GPT，強調可幫助企業整理龐大資料，並緩解網路安全技能短缺的情形。</p> <p>接著，是資安風險管理業者Security Scorecard，他們在4月25日宣布，其服務將整合OpenAI的GPT-4，可用自然語言回答網路風險問題，像是：找出評分最低的10家供應商，顯示過去一年有哪些重要供應商遭入侵等，讓用戶在風險管理決策上可以更有效率，並可針對需要優先處理的網路安全風險，提出緩解的建議。</p> <p>資安業者SentinelOne也跟進，在4月26日公布整合生成式AI的Purple AI，強調對話式AI可以讓威脅獵捕變得容易，讓威脅分析變得簡單，當中說明了Purple AI的應用特性。例如，當分析人員想要搜尋特定威脅時，可以使用環境是否感染SmoothOpreator的語句，而不需建立以入侵指標（IoC）形式的手動查詢，在此同時，指出Purple AI對資料蒐集與網路安全領域的理解，使它能夠快速確定事件鏈，並向分析師總結出潛在的複雜威脅情況。</p> <p>特別的是，臺灣有資安業者更快發展生成式AI，並且早於上述公司。例如，前幾年參與MITRE ATT&CK評估計畫、受國際關注的奧義智慧，於微軟Security Copilot發表後，在4月6日這天，該公司就宣布將推出「XCockpit」自動化資安威脅管理平臺，並會導入AI虛擬分析助手於其中。</p> <p>該平臺不僅整合既有EDR與鑑識調查的產品，日後還將增加AD安全與ASM的功能模組，更關鍵的是，他們強調，該平臺是依循AI-Assistant-as-a-Service概念而打造，可建構AI自動化的事件應變流程，協助第一線SOC資安人員及資安團隊，讓事件處理精準度與速度大幅提升。而這個XCockpit平臺，已在2023年7月上線。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>趨勢科技對話式AI資安助手11月正式上線</strong></span></span></p> <p>2023年底，也就是最近一個多月以來，有更多資安大廠發布了相關消息，我們看到趨勢科技、思科、Fortinet都有應用生成式AI的進展。這也意味，其實還有更多廠商已經在進行，並且陸續對外發表，此一新技術的應用漸成主流。</p> <p>尤其是臺灣出身發展到全球知名的趨勢科技，先是在2023年6月發表生成式AI資安助手Companion，7月提供部分客戶使用，並在11月27日正式推出Trend Companion，開放所有客戶使用。</p> <p>因此，以正式推出時間來看，這個能以自然語言聊天的Trend Companion，甚至領先於更早預告的Google與微軟。</p> <p>基本上，趨勢科技這項功能整合於自家Trend Vision One整合式資安平臺，可透過自然語言的聊天介面提供服務，該助手不僅提供事件摘要與全面分析報告，還能解釋攻擊警報，關聯攻擊戰術與技巧，並清晰展示影響範圍。它還能將簡單語言轉換成正式的查詢語法，提高事件查詢的精準度。</p> <p>值得注意的是，他們還提到令我們印象深刻的應用情境，那就是：幫助識別利用合法工具的寄生攻擊（LotL），例如，能解析一段PowerShell腳本的目的與運作，並產生人員能夠容易理解的解釋內容。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%A4%9A%E5%AE%B6%E5%A4%A7%E5%BB%A0%E5%B0%87%E7%94%9F%E6%88%90%E5%BC%8FAI%E6%95%B4%E5%90%88%E6%96%BC%E8%B3%87%E5%AE%89%E7%94%A2%E5%93%81_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80.png" style="width: 600px;" /></p> <blockquote><p><span style="color:#696969;"><span style="font-size:18px;"><strong>趨勢科技AI助手在2023年底正式上線<br /> 趨勢科技打造的Trend Vision One平臺AI資安助手Trend Companion，2023年6月發表，在11月27日正式推出。根據他們展示的介面，這個AI助手不僅能夠提供事件摘要與分析報告，也可幫助快速分析攻擊腳本，並將結果以口語方式說明，讓資安人員與團隊更快了解威脅。</strong><span style="font-size:14px;">圖片來源／趨勢科技</span></span></span></p> </blockquote> <p>另一家網路與資安大廠思科，也有這方面的功能進展，我們在12月6日參加他們的墨爾本亞太區年度用戶大會時，看到他們現場發表全新AI助手Cisco AI Assistant，而且首先強調的應用場景是在防火牆規則管理，包括：可用自然語言簡化相關查詢與操作，並能主動提供規則分析，以及改進的建議，像是清除重複或多餘的規則，藉此強化企業防火牆管理，以降低防火牆規則因設定複雜可能帶來的安全風險與挑戰。</p> <p>當時，我們看到這方面的實機展示，在Cisco Defense Orchestrator雲端管理介面上，用戶可以叫出AI Assistant Beta版來對話，另外在Cisco防火牆管理中心介面上，也同樣能有此應用。思科表示，這個AI助理之後也將擴及該公司旗下各產品線。</p> <p>還有一家資安業者Fortinet，12月15日也宣布推出生成式AI助理，他們將此功能命名為Fortinet Advisor，並表示已在FortiSIEM、FortiSOAR產品開放公開預覽版、供用戶使用，其特色包含：可幫助解析資安威脅告警事件，提供事件分析摘要，當中將包含情境說明，以及潛在影響解釋的內容，並且提供緩解措施指南與回應Playbook的範本，並可用自然語言輸入提問，就能向Fortinet Advisor諮詢資安建議。</p> <p>值得我們注意的是，綜觀Advisor這一命名，其實也意味著，生成式AI不只是化身助手，也可視為一個虛擬諮詢顧問般的存在。未來這項功能應用也將擴大，預計擴展至40多個AI驅動的解決方案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fix-%EF%BC%88%E5%9C%963%EF%BC%89%E5%A4%9A%E5%AE%B6%E5%A4%A7%E5%BB%A0%E5%B0%87%E7%94%9F%E6%88%90%E5%BC%8FAI%E6%95%B4%E5%90%88%E6%96%BC%E8%B3%87%E5%AE%89%E7%94%A2%E5%93%81_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p><span style="color:#696969;"><span style="font-size:18px;"><strong>思科展示用AI助理簡化網路防火牆規則管理<br /> 2023年12月6日思科揭露AI助手功能，在思科Cisco Defense Orchestrator管理介面，將可叫出Cisco AI Assistant Beta的功能，以自然語言聊天方式，查詢防火牆政策，詢問如何建立防火牆資安政策，並快速獲得規則建議。</strong><span style="font-size:14px;">攝影／羅正漢</span></span></span></p> </blockquote> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>已有研究顯示，資安研究人員正積極使用生成式AI</strong></span></span></p> <p>除了上述資安業者的動向，對於資安研究人員而言，在他們目前的工作領域，也呈現積極應用生成式AI的情況。</p> <p>漏洞懸賞平臺HackerOne於2023年10月，公布《駭客驅動安全報告（Hacker-Powered Security Report）》，調查結果特別列出幾個必須重視的態勢。他們發現有6成資安研究人員，正利用生成式AI（GenAI）來開發各種駭客工具，以用來發現更多的漏洞，也有66％的研究人員表示，正在或準備利用生成式AI來撰寫報告。</p> <p>無論如何，用AI幫助資安早已是大勢所趨，生成式AI技術更是最新的利器。儘管現在只是這項技術爆發的第一年，還有很多進步空間與創新擴展，但我們可以預期的是，生成式AI資安的潛力相當被看重，尤其是能夠快速處理大量資料的能力，以及用自然語言進行交流的能力。</p> <p>整體而言，隨著2024年的到來，企業可能要意識到，當生成式AI逐漸融入資安產品，預料將成為資安團隊未來的一份子，甚至期盼是企業資安的神隊友，但AI也將會讓那些沒有道德底線的攻擊者，發展更多自動化攻擊的武器，並且會讓社交工程問題加劇，這些新挑戰，我們同樣需要積極因應，因為，新的AI時代已經來臨。</p> </div></div></div>
2023/12/29 12:14作者羅正漢https://www.ithome.com.tw/news/160608
LinkedIn開源開發者生產力與幸福框架，助團隊永續成長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>LinkedIn<a href="https://engineering.linkedin.com/blog/2023/practical-magic--improving-productivity-and-happiness-for-softwa">開源</a><a href="https://linkedin.github.io/dph-framework/">開發者生產力與幸福感（Developer Productivity & Happiness，DPH）框架</a>，這是一個專用於軟體開發，協助組織創建高效且令人滿意的工作環境，進而提升開發效率、開發者滿意度，最終達成長期可持續的框架。除了提出框架本身，LinkedIn也分享內部使用框架的經驗，助組織更好地設計指標與回饋系統。</p> <p>LinkedIn創建DPH框架的原因，源自於當今開發領域面臨的各種挑戰，特別是在生成式人工智慧興盛發展的時代背景下，LinkedIn認為開發團隊必須具備迅速適應，並且有效運用新技術的能力，而DPH框架提供了一套系統、流程、指標和回饋系統，協助開發團隊克服面臨的新興挑戰。</p> <p>DPH框架經過4年的開發，其核心目標是要協助開發團隊工作時更幸福、更有效率。LinkedIn設計框架的工作從高層次哲學思考開始，並落實到最佳實踐工作管線。</p> <p>DPH框架以目標、訊號和指標3部分為基礎，這3個元素共同解答了衡量和評估過程中，組織會遇到的重要問題「如何選擇要測量的內容？」組織可以根據這3個元素確定具體的目標和訊號。而框架也討論了Developer Personas，這是一個依據開發者的工作流程，將其分類到不同群組的系統，框架提供有關建立Developer Personas系統的資訊，包括透過自願者了解開發者的工作流程和遭遇的痛點。</p> <p>Developer Personas系統的重要性在於提供軟體開發和團隊管理，一種結構化和個人化的方法，藉以更理解開發者需求，進而提升工作效率，範疇涵蓋個人職涯發展、團隊溝通合作，促進更有效的資源分配，但這些最終的目的，都是要支持組織達到更好的產品設計和開發。LinkedIn也在框架中提供重要原則，避免組織建立出後續需要大幅修改的系統，包括討論資料和見解（Insight）之間的區別，以及使用定量和定性資料推動決策的方法。</p> <p>組織所收集的資料，可轉換成為具體指標、報告和視覺化圖示，框架除了提供設計指標的關鍵原則之外，也提醒了指標設計的陷阱，點出將指標匯總為分數，存在許多潛在問題，而且解釋輸出總量並不是作為軟體工程師最佳績效指標的原因。</p> <p>另外，框架也強調回饋系統的重要性，使開發者能夠表達他們的需求和挑戰，進而創建一個更具支持性和滿足的工作環境。</p> <p>LinkedIn指出兩個衡量開發者生產力的重要概念，分別是迭代時間（Iteration Time）和上下文切換（Context Switching），迭代時間是指工程師從觀察到問題，到最終執行解決方案的時間，迭代工作的類型多樣，但整體來說，加速迭代過程會讓整個開發過程更快。</p> <p>而上下文切換則是指開發者在等待某項工作，會轉而進行其他活動的過程，長時間的中斷開發者會需要花費10到15分鐘重新回到原本工作的上下文，而短暫中斷也會浪費開發者的時間，甚至導致開發者忘記重要工作內容而出現錯誤。因此降低迭代時間並避免上下文切換，是提高軟體開發效率和減少錯誤的重點。</p> <p>LinkedIn也提供了數個他們內部實際使用的指標，這些指標分為全公司工程指標，以及開發者平臺團隊指標，全公司工程指標有開發者建置時間（Developer Build Time）、合併後CI時長（Post-Merge CI Duration）以及程式碼審查者回應時間等，而開發者平臺團隊指標則有CI可靠性、部署可靠性，還有服務水準目標（SLO）的見解指標數量等。</p> <p>LinkedIn藉由DPH框架提供了一系列指南和最佳實踐，協助其他組織、團隊設計和實施框架。目前框架文件已經在GitHub上，供任何人取用。</p> </div></div></div>
2023/12/29 08:33作者李建興https://www.ithome.com.tw/news/160598
金管會發布金融業運用AI指引草案，提供AI系統生命周期4階段落實核心原則的作法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>既今年10月發布金融業運用AI的六大核心原則，金管會今日趕在年底公布「金融業運用AI指引」草案，分別敘述金融業落實核心原則的建議作法。建議作法的主要架構是將AI系統生命周期分為4個階段，分別是系統規畫及設計、資料蒐集及輸入、模型建立及驗證，和系統佈署及監控，建議業者在各個階段落實核心原則的作法。</p> <p>金管會在10月中正式發布金融業運用AI的六大核心原則，分別為建立治理及問責機制、重視公平性及以人為本的價值觀、保護隱私及客戶權益、確保系統穩健性與安全性、落實透明性與可解釋性，和促進永續發展。當時僅訂定出原則方向，並未敘述導入AI應留意的實務作法。</p> <p>而今日發布的金融業運用AI指引草案，則主要涉及實務作業的操作細節，類似一份操作建議書，分別說明了業者在導入AI時，如何在四個階段中落實公平性、隱私保護及資料治理、系統穩定性、系統安全性、透明性和可解釋性。例如，在導入AI落實公平性的建議作法中，指引草案分別描述了業者從系統規畫及設計階段、資料蒐集及輸入階段、模型建立及驗證階段，到系統佈署及監控階段時，各階段可採取的措施。其他的核心原則也同樣依據這個方式說明建議作法。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__51920985_0.jpg" style="width: 600px;" /></p> <blockquote><p>金管會發布的金融業運用AI指引類似一本操作書。以落實公平性為例，指引草案從系統規畫及設計，到系統部署及監控，分階段提供落實原則的建議作法，供業者參考。</p> </blockquote> <p>此外，指引草案也因應永續發展提出導入AI的建議作法，包括建議業者優化AI系統的演算法，減少模型的複雜度與計算需求，也建議業者借重能源效能監控系統，監測AI系統的能源消耗與效能表現，並選擇能效較高的硬體設備，優化硬體設施的配置與管理。</p> <p>金管會強調，這份草案是為了鼓勵金融業在風險可控的情況下導入、使用及管理AI，性質屬於行政指導，不具法律拘束力。金管會也建議，金融業相關公會如有訂定運用AI的自律規範，可以參考這份草案納入相關重點和措施。若公會尚未訂定相關自律規範，則建議參考草案導入、使用及管理AI系統。目前草案已發布至「眾開講」，對外開放60天徵詢意見。金管會綜合規劃處處長胡則華表示，日後會再參採外界建議修正指引內容。</p> <p>指引草案發布前，業者對部分建議較有疑慮，包括建立AI系統的問責機制，及保護隱私及客戶資料的方式。胡則華說明，原先指引草案建議業者建立組織架構問責機制時，應指定跨部門業務的高階主管負責監督整體AI系統應用，不過，部分業者反映高階主管未必能擔任全權督導角色，因此新增成立委員會的選項，讓業者能以委員會的形式建立問責機制。</p> <p>另外，針對保護隱私及客戶權益這項原則，指引草案建議業者以資料最小化原則蒐集和處理必要的客戶資料，胡則華說明，「最小化」意旨業者應盡量以最少量的客戶資料訓練AI模型，假設模型僅需要10項客戶資料就能運作順暢，業者就不應向客戶要求15項資料。</p> <p></p> </div></div></div>
2023/12/28 18:27作者李昀璇https://www.ithome.com.tw/news/160599
GovTech月報第25期：桃園市用生成式AI提高市民專線客服回覆效率，平均縮減20秒通話時間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1126~1225)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">桃園市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">生成式AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>桃園市政府導入生成式AI，提高1999市民專線回覆效率</strong></span></p> <p>看準生成式AI提高人機協作效率，桃園市政府研考會近期導入生成式AI，以提高1999市民專線話務人員回覆效率，經測試，平均通話時間約可節省20秒。</p> <p>桃園市政府1999市民專線，平均每月約有2萬通電話，市民來電詢問各種市政問題，造成市民專線服務人員龐大的工作負擔，因此桃園市政府研考會在2023年下半年嘗試利用生成式AI，在話務人員的問答知識庫導入Open AI，開發人機協作系統，話務人員可經由對話輸入問題，該系統可以協助話務人員迅速查詢、整理市政問題的答覆。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(8).jpg" style="width: 600px; height: 400px;" /></p> <p>桃園市政府研考會也以「人厲害，還是AI厲害」為題，挑選4位話務人員實際使用系統進行實驗專案，近1個月的資料收集及比較，發現整體通話時間平均縮短了20.75秒，節省了10.2%的時間。特別的是，資深人員使用該系統，節省的時間超過較資淺者，顯示人的「經驗」會引導AI產出品質。另外，不同問題類型，系統產生的效果也有不同，問題情境複雜問題，例如社會福利類的問題，AI產出品質及縮減時間比較有限，甚至不佳。</p> <p>桃園市政府認為，AI並非萬靈丹，並非所有事都可以交給AI執行，人機協作，由人引導AI產出結果為，提升服務品質的關鍵。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">身分</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臉部辨識</span></font></strong></p> <p><span style="font-size:22px;"><strong>日本羽田機場將試辦掃描QR Code、臉部辨識簡化入境程序</strong></span></p> <p>對於出差或旅行的旅客而言，辦理入境程序常因為旅客眾多而大排長龍。為方便旅客入境，日本政府計畫在2024年起，在羽田機場試辦簡化入境程序的新做法，旅客入境只要掃描QR Code，進行臉部辨識就能完成入境手續。</p> <p>根據日本政府觀光局統計資料，2023年1月到11月止，遊日旅客突破2,200萬人次，為疫後赴日遊客首次重返2千萬人次，因此日本政府簡化入境審查、海關申報程序，新做法是旅客事先在網入填寫資料後，之後在入境審查僅需掃描1次QR Code，海關申報時再完成臉部辨識就能通過。新措施將在2024年1月起，先在羽田機場試行，日本政府再依據試行的結果，如果成效良好，則於2024年4月推廣到全國的機場。</p> <p>事實上，在COVID-19疫情期間，為降低旅客與工作人員面對面的接觸，日本政府曾在2021年於羽田、成田兩個機場運用臉部辨識技術，讓旅客自行通關，並強調旅客註冊的資料、臉部影像，並強調旅客在註冊24小時內自動刪除相關資料。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">歐盟</span></font></strong></p> <p><span style="font-size:22px;"><strong>歐盟就AI法案監管重點達成協議，下一步著手擬定法案</strong></span></p> <p>AI應用發展相當迅速，各國積極研究建立法規予以規範，以降低不良的影響。近期歐盟在立法上取得新進展，歐盟各國對未來AI法案監管的重點已達成協商共識，下一步將撰寫法案，預期通過法令後，2年後生效。以歐盟在全球的政經影響力，未來立法框架將成為各國的參考依據。</p> <p>歐盟規畫的AI Act法案，涵蓋AI系統供應商、使用組織，歐盟執委會表示，監管重點為辨識風險，以保障個人及企業的基本權利，在歐盟支援可靠的AI研發，對全球的AI規則提供貢獻。</p> <p>根據達成的共識，歐盟將AI風險予以分類，最小風險、高風險、不可接受風險、透明度風險。最小風險如推薦系統或垃圾郵件過濾機制，供應商不需承擔風險；高風險為關鍵基礎設施、執法或公領域系統、生物辨識與情緒辨識系統等，受到嚴格要求，需具備風險緩解、詳細紀錄、受人工監督等措施；不可接受風險為操縱人類行為避開自由意志，在某些應用中禁止生物辨識；透明度風險要求必須能夠讓人們辨識互動的對象或內容是否來自AI。</p> <p>歐盟也祭出罰則，違反AI Act的業者，最高將可處罰3,500萬歐元或年營收的7%。未來將成立歐洲AI辦公室，敦促法規的執行。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">澳洲</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位政府</span></font></strong></p> <p><strong><span style="font-size:22px;">澳洲政府擬強化myGov數位政府服務，導入FIDO 2確保身分安全</span></strong></p> <p>澳洲政府近期表示將改善myGov數位政府服務平臺，其中提出的建議做法中，包括導入FIDO 2，降低釣魚詐騙的手法，同時該國也將擴大myGov的應用範圍。</p> <p>myGov為澳洲政府的數位身分及政府服務平臺，民眾可以數位身分登入後，就能瀏覽政府資訊、使用各項政府服務，並提供電子錢包以儲存數位卡片或證件。不過，myGov因遭到盜用、詐騙，導致澳洲政府損失數十億美元，因此澳洲政府提出myGov改善建議，盼能降低詐騙、濫用風險。</p> <p>其中一項改善做法是採用FIDO 2技術的金鑰，根據澳洲政府先前的說法，採用FIDO 2身分驗證技術，讓澳洲民眾能以指紋、臉部辨識等生物特徵，或使用PIN碼登入服務，以避免遭到網釣詐騙。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">馬來西亞</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font></strong></p> <p><span style="font-size:22px;"><strong>馬來西亞推數位身分系統，2024年第1季估1千萬人使用</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/myDigital%20ID.jpg" style="width: 600px; height: 396px;" /></p> <p>馬來西亞近期推動數位身分系統MyDigital ID，以作為民眾身分識別、商業及交易使用，或是用於取得政府的服務，預期2024年第1季將有1千萬人註冊使用。</p> <p>馬來西亞原本就有身分證件MyKad，新的數位身分MyDigital ID並不是取代MyKad，強調具有高度安全性的ID，具有原先MyKad的功能，包括取得多項公共服務。馬來西亞政府將分4個階段推動MyDigital ID，首先開放內閣成員，其次是公務人員、政府受益人（獲政府補助），最後才是廣大的公眾。</p> <p>該國計畫在2024年7月開放公眾使用MyDigital ID。目前約有1,700多項政府服務可使用MyDigital ID，未來將增加至2,000多項服務。未來透過4個階段逐步開放使用，為MyDigital ID建立一定規模的使用者，以吸引民間企業服務採用新的數位身分識別。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">衛星</span></font></strong></p> <p><span style="font-size:22px;"><strong>數位部模擬光纖網路中斷，驗證以衛星建立北高連線</strong></span></p> <p>數位發展部為強化我國通訊服務韌性，驗證非同步軌道衛星在緊急狀態下作為備援網路的可行性，近期模擬光纖網路中斷，透過中軌道衛星建立臺北與高雄之間的連線。</p> <p>媒體報導，數位部已在臺北的部本部頂樓架設接收裝置，同時在電信技術中心，在高雄路竹架設接收站，模擬光纖網路中斷，驗證以點對點加密通訊，透過中軌道衛星讓臺北、高雄兩地連線。</p> <p>不只是中軌道衛星，未來也會驗證低軌道衛星強化通訊韌性的可能性，中華電信日前已和OneWeb取得臺灣獨家代理，配合數位部「應變或戰時應用新興科技強化通訊網路數位韌性」計畫，未來也會國內700個站點，以及國外3個LEO衛星終端站點，驗證在緊急狀態導致地面通訊中斷，透過衛星通訊立連線。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺南市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font></strong></p> <p><span style="font-size:22px;"><strong>臺南市以無人機從空中監測工業區空氣品質，輔助環保稽查</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/drone(1).jpg" style="width: 600px; height: 450px;" /></p> <p>經濟發展與環境保護如何兼顧，臺南市政府近期提供示範。今年6月開發完成的柳營科技工業區暨環保園區，目的為迎合臺商回流，促進當地的經濟發展，為兼顧環境保護，臺南市政府利用無人機，從空中巡查監測工業區的空氣品質。</p> <p>臺南市政府是在今年開始運用無人機，結合工業區的3D立體空間管理，加強對工業區空氣品質監控，由柳營區公所、警察局新營分局柳營分駐所利用夜間，操控無人機執行空氣品質監測任務，監測結果作為廠商輔導，以及對廠商的稽查參考。</p> <p>無人機上搭載感測器，可蒐集PM2.5、PM10、揮發性有機物、臭氧、溫溼度等空氣品質數據。另外，也透過搭載高解析度鏡頭及紅外線熱顯像，從空中巡查園區，透過空中作業補足地面管理的不足，協助園區管理。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">環保</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AIoT</span></font></strong></p> <p><span style="font-size: 22px;"><b>環境部與地方政府聯手，利用AIoT找出空污源頭</b></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%9D%A3%E5%AF%9F%E4%BA%BA%E5%93%A1%E7%AB%8B%E5%8D%B3%E8%92%90%E8%AD%89%E7%B2%92%E7%8B%80%E6%B1%A1%E6%9F%93%E7%89%A9%E6%B1%A1%E6%9F%93%E7%A9%BA%E6%B0%A3.JPG" style="width: 600px; height: 338px;" /></p> <p>環境部近期利用AIoT人工智慧物聯網，偵測到部分地區出現異常警示，進一步與臺南市環保局合作，依周遭環境、大氣擴散條件等分析，鎖定重點查核熱區，找出空污的源頭，針對違反空污法的業者舉發。</p> <p>根據環境部與地方政府的查核，確認造成空氣污染的源頭來自一家鋼鐵業者，該業者融化廢鐵煉製的過程，雖然設有抽氣設備，但白色粒狀空氣污染物從廠內向廠外擴散，查核人員現場蒐證，依法告發。</p> <p>環境部表示，未來將和地方政府的環保局合作，透過智慧物聯網辦理空污監察工作，以管控高污染潛勢熱區事業，維護空氣品質。</p> <p> </p> <p>圖片來源／桃園市政府、Mimos、臺南市政府、環境部</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.2024年開始桃園將啟動100處科技執法，靠AI取締交通違規</strong></p> <p><strong>2.日本研擬AI方針10項原則，涵蓋人權、虛假訊息應對</strong></p> <p>資料來源：iThome整理，2023年12月</p> </div></div></div>
2023/12/28 18:56作者蘇文彬https://www.ithome.com.tw/news/160562
【資安日報】12月28日，別以為使用SSH連線就會比較安全！採用容易猜到的帳密有可能將Linux伺服器拱手送給駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過SSH連線遠端管理Linux伺服器的方法相當普遍，但若是使用極為容易猜到的帳號和弱密碼，小心！很有可能成為下手的目標，而成為駭客擺布的對象。</p> <p>這樣的現象，資安業者AhnLab今年多次提出警告，而這次他們指出駭客對其部署挖礦程式、DDoS機器人，同時還有可能植入各式的惡意軟體來上下其手。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://asec.ahnlab.com/en/59972/"><strong style="font-size: 22px;">啟用SSH遠端登入、資安防護卻不足的Linux系統，淪為挖礦、發動DDoS攻擊利器</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/linux-ssh-image-50.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/linux-ssh-image-50.png" style="width: 300px; float: right;" /></a>資安業者AhnLab針對執行Linux作業系統的SSH伺服器提出警告，攻擊者鎖定缺乏相關安全設置的主機發動攻擊，透過IP位址掃描的方式尋找提供SSH服務或開放22埠的伺服器，發動暴力破解或是字典攻擊，從而得到帳號及密碼，假如得逞，攻擊者就能部署挖礦軟體和DDoS機器人，藉由其運算資源牟利。</p> <p>但除了挖礦及發動DDoS攻擊，研究人員指出，駭客往往也會對其部署惡意程式，其中比例最高的是ShellBot，比例接近三分之二（63.5％），再者則是Tsunami、Mirai，分別占13.9%、5.9%。</p> <p>值得留意的是，也有駭客得逞後植入連接埠掃描工具，並出售受害主機的IP位址與SSH帳密資料，這種掃描工具能為駭客尋找開發22埠的伺服器，以便挖堀更多能夠下手的目標。</p> <p><a href="https://www.hackread.com/ringgo-parkmobile-easypark-data-breach-data-stolen/"><strong style="font-size: 22px;">歐洲大型停車應用程式服務集團EasyPark傳出資料外洩</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/ringgo-parkmobile-easypark-data-breach-data-stolen-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ringgo-parkmobile-easypark-data-breach-data-stolen-2.jpg" style="width: 300px; float: right;" /></a>根據衛報、HackRead等媒體的報導，歐洲大型停車應用程式服務商EasyPark發布資安公告，指出他們在12月10日察覺資料外洩的情況，並通知受到影響的客戶。該公司也通報多個歐洲執法單位，包含歐洲資料保護委員會（EDPB）、瑞典及英國的資訊專員辦公室，以及瑞士國家資料保護局。</p> <p>此次外洩資料，涵蓋姓名、電話號碼、地址、電子郵件信箱、信用卡號碼，對於金融資料涉及國際銀行帳戶號碼（IBAN）或是信用卡號，該公司強調這些資料無法直接拿來刷卡、消費。</p> <p>目前尚未出現相關資料遭到利用或外洩的跡象，EasyPark向衛報透露，他們在美國擁有5千萬名用戶的應用程式ParkMobile未受波及，但該公司發言人向HackRead指出，他們的應用程式RingGo在英國約950名客戶可能受到影響。</p> <p>資料來源</p> <p>1. <a href="https://www.easypark.com/en-nl/comm">https://www.easypark.com/en-nl/comm</a><br /> 2. <a href="https://www.theguardian.com/technology/2023/dec/26/hackers-steal-customer-data-europe-parking-app-easypark-ringgo-parkmobile">https://www.theguardian.com/technology/2023/dec/26/hackers-steal-customer-data-europe-parking-app-easypark-ringgo-parkmobile</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://securelist.com/operation-triangulation-the-last-hardware-mystery/111669/"><strong style="font-size: 22px;">卡巴斯基揭露間諜軟體攻擊Operation Triangulation更多細節，駭客至少利用4個零時差漏洞</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/trng_final_mystery_en_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/trng_final_mystery_en_01.png" style="width: 300px; float: right;" /></a>今年6月資安業者卡巴斯基揭露鎖定iOS裝置的攻擊行動Operation Triangulation，當時發現駭客的攻擊手段，是將帶有附件的iMessage訊息傳送到目標裝置，以此從遠端發動零點擊攻擊，10月他們公布駭客迴避資安人員調查的手法，而到了12月27日舉行的Chaos Communication Congress大會，該公司的研究人員公布新的調查結果，透露更為完整的攻擊鏈。</p> <p>關於整個攻擊過程，研究人員指出，駭客至少利用4個零時差漏洞。對方傳送的iMessage訊息當中，其附件利用了遠端任意程式碼執行（RCE）漏洞CVE-2023-41990，執行JavaScript指令碼擴張權限，而這項漏洞，存在於蘋果獨有的ADJUST TrueType字型命令。接著，駭客利用作業系統核心的整數溢位漏洞CVE-2023-32434，取得讀取及寫入記憶體的權限，並透過記憶體映射輸入輸出（MMIO）暫存器漏洞CVE-2023-38606，繞過分頁保護層（Page Protection Layer，PPL），從而完全控制受害裝置。接下來，駭客利用Safari的漏洞CVE-2023-32435執行Shell Code，該程式碼運作的過程，也會利用前述的CVE-2023-32434和CVE-2023-38606。</p> <p>值得留意的是，研究人員指出，這些駭客能夠將資料寫入晶片韌體未使用的暫存器，並繞過記憶體防護機制，但駭客如何得知存在這種未使用的硬體資源？他們推測，可能是因為硬體設備在提供工廠或蘋果工程師測試，或是除錯使用的過程而曝光。</p> <p><a href="https://blog.sonicwall.com/en-us/2023/12/sonicwall-discovers-critical-apache-ofbiz-zero-day-authbiz/"><strong style="font-size: 22px;">ERP系統Apache OfBiz存在重大漏洞，恐被用於繞過身分驗證防護</strong></a></p> <p></p> <p>資安業者SonicWall在Apache基金會維護的ERP系統OfBiz發現身分驗證繞過漏洞CVE-2023-51467，這項漏洞之所以被找到，是因為Apache在12月10日發布的18.12.10版OfBiz當中，修補與預先身分驗證有關的RCE漏洞CVE-2023-49070（CVSS風險評分為9.8），卻被發現存在修補不全的情形而衍生這個弱點。</p> <p>攻擊者若是利用CVE-2023-49070，就有機會完全控制ERP伺服器並監聽敏感資料，當時的開發團隊認為，這是不再繼續維護的XML PRC元件所引發的弱點，因此他們的處理方式便是將相關程式碼移除；但後續研究人員著手調查時發現：實際上造成CVE-2023-49070發生的問題，根本原因在該系統的登入功能，於是，他們將分析重點放在名為LoginWorker.java的檔案，了解此系統身分驗證過程的各種函數功能，以及過程的資料流。為了驗證他們的發現，研究人員嘗試輸入空白、無效的帳密資料進行測試，並在URI帶入requirePasswordChange=Y的參數，發現這麼做居然仍能通過LoginWorker.java的身分驗證流程，回傳登入成功的訊息。</p> <p>值得留意的是，雖然企業直接部署這套ERP系統的情況並不常見，但有不少知名軟體採用、整合到他們的系統當中，其中一款是Atlassian缺陷跟蹤管理系統JIRA，一旦上述的漏洞遭到利用，影響可能相當廣泛。</p> <p><a href="https://www.barracuda.com/company/legal/esg-vulnerability"><strong style="font-size: 22px;">Barracuda郵件安全閘道遭到中國駭客鎖定，利用零時差漏洞對其下手</strong></a></p> <p></p> <p>12月24日資安業者Barracuda發布資安公告，指出中國駭客UNC4841利用任意程式碼執行（ACE）漏洞CVE-2023-7102，對部分郵件安全閘道（ESG）植入惡意軟體Seaspy及Saltwater的新型變種。而這是UNC4841在5月利用CVE-2023-2868發動攻擊之後，第二波鎖定該廠牌郵件安全閘道的零時差漏洞攻擊。</p> <p>這項漏洞發生於該系統採用的第三方程式庫Spreadsheet::ParseExcel，此為Amavis病毒掃描程式元件，該公司於21日摸所有ESG系統派送該漏洞的更新軟體並自動套用，而對於遭到植入上述惡意軟體的設備，22日Barracuda使用另一個更新軟體進行修復工作。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-disrupts-emergency-care-at-german-hospitals/"><strong><span style="font-size: 20px;">德國醫療體系KHO遭遇勒索軟體LockBit攻擊，旗下3家醫院IT系統資料被加密</span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/ohio-lottery-hit-by-cyberattack-claimed-by-dragonforce-ransomware/"><strong><span style="font-size: 20px;">彩券公司Ohio Lottery傳出遭勒索軟體DragonForce攻擊，被迫關閉部分系統</span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/yakult-australia-confirms-cyber-incident-after-95-gb-data-leak/"><strong><span style="font-size: 20px;">養樂多澳洲分公司傳出資料外洩，95 GB檔案流出</span></strong></a></p> <p><a href="https://oag.ca.gov/ecrime/databreach/reports/sb24-578391"><strong><span style="font-size: 20px;">松下透露2022年12月發生的資料外洩事故</span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/mortgage-firm-loancare-warns-13-million-people-of-data-breach/"><strong><span style="font-size: 20px;">抵押貸款業者LoanCare母公司資料外洩，130萬借款人受到影響</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160564"><strong>【12月27日】有人散布《俠盜獵車手V》原始碼並向甫遭判決的駭客組織Lapsus$成員致敬</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160548"><strong>【12月26日】有人入侵遊戲開發商Ubisoft並企圖竊取《虹彩六號：圍攻行動》的內部資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160527"><strong>【12月25日】駭客集團UAC-0099鎖定烏克蘭組織並利用WinRAR漏洞植入惡意程式LonePage</strong></a></p> </div></div></div>
2023/12/28 16:36作者周峻佑https://www.ithome.com.tw/news/160596
駭客持續針對Booking.com用戶展開攻擊，駭客論壇已開始兜售登入憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年以來持續有資安業者揭露鎖定Booking.com用戶的詐騙活動，也有不少受害者紛紛向媒體投訴，<a href="https://www.kaspersky.com/blog/booking-com-hacked-hotel-accounts-scam-customers/50109/" target="_blank">最近卡巴斯基（Kaspersky）更發現</a>，駭客已開始於駭客論壇中兜售admin.booking.com的登入憑證。</p> <p>研究人員將相關攻擊形容為B2B2C，因為駭客是先針對與Booking.com合作的飯店員工展開攻擊，冒充曾是該飯店的客人，請飯店幫忙尋找在飯店中遺失的護照，並於電子郵件中夾帶了宣稱連至護照照片的連結，結果員工下載的是憑證竊取程式。也有駭客使用被駭的客人帳號與飯店聯繫，同樣將飯店員工引導至下載憑證竊取程式。</p> <p>在取得飯店的憑證後，由於Booking.com並未採用雙因素身分驗證，因此駭客可輕易地利用飯店的帳號登入，利用Booking.com的內部傳訊系統發送訊息予未來的客人，指出他們在預訂時提供的支付卡資訊出現錯誤，要求客人重新輸入，否則預訂便會被取消。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1228-booking%20dot%20com%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Perception%20Point.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><a href="https://perception-point.io/blog/booking-com-customers-hit-by-phishing-campaign-delivered-via-compromised-hotels-accounts/" target="_blank"><span style="color:#696969;">圖片來源_Perception Point</span></a></span></p> <p><a href="https://www.theguardian.com/money/2023/nov/21/more-bookingcom-customers-come-forward-about-scam-confirmation-emails" target="_blank">《衛報》</a>及<a href="https://www.bbc.com/news/technology-67591310" target="_blank">《BBC》</a>皆已收到許多使用者的投訴，證實被詐騙。</p> <p>由於這樣的詐騙形式很容易取信於使用者，各大駭客論壇都可看到兜售大量admin.booking.com憑證的廣告。不過，Booking.com持續強調該公司的系統並未被駭，被駭的是合作飯店，但Booking.com也未針對被詐騙的用戶提供解決方案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1228-admin%20booking%20com-Source-Secureworks-600-1.png" style="width: 600px;" /></p> <p><a href="https://www.secureworks.com/blog/vidar-infostealer-steals-booking-com-credentials-in-fraud-scam" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Secureworks</span></span></a></p> <p>研究人員建議使用者不要將密碼存放於瀏覽器中，而應使用專門的密碼管理工具，業務用的裝置必須安裝防護機制，特別是那些用來與陌生人交流的裝置，因為它們更有可能成為駭客的攻擊目標。</p> </div></div></div>
2023/12/28 17:50作者陳曉莉https://www.ithome.com.tw/news/160597
卡巴斯基公布鎖定iMessage的Operation Triangulation複雜攻擊鏈細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者卡巴斯基（Kaspersky）<a href="https://securelist.com/operation-triangulation/109842/" target="_blank">在今年6月揭露</a>了一個以iOS裝置為目標的攻擊行動Operation Triangulation，當時僅說駭客可藉由傳送一個帶有附件的iMessage訊息予受害者，就能觸發遠端程式攻擊漏洞，並未公布漏洞細節，<a href="https://securelist.com/operation-triangulation-the-last-hardware-mystery/111669/" target="_blank">但本周卡巴斯基公開了Operation Triangulation所使用的4個零時差漏洞</a>，還說這是他們自蘋果、微軟、Adobe及Google等產品中所發現的逾30個零時差漏洞中，所見過最複雜的攻擊鏈，其中的CVE-2023-38606到底是如何被濫用的，迄今仍是個謎團。</p> <p>Operation Triangulation利用了4個零時差漏洞，分別是位於FontParser中的遠端程式攻擊漏洞<a href="https://support.apple.com/en-us/HT213842" target="_blank">CVE-2023-41990</a>，核心中的整數溢位漏洞<a href="https://support.apple.com/en-us/103837" target="_blank">CVE-2023-32434</a>，核心中的可用來繞過頁面保護層的<a href="https://support.apple.com/en-us/HT213841" target="_blank">CVE-2023-38606</a>漏洞，以及存在於WebKit中可造成任意程式執行的記憶體毀損漏洞<a href="https://support.apple.com/en-us/HT213676" target="_blank">CVE-2023-32435</a>。</p> <p>值得注意的是，卡巴斯基發現Operation Triangulation最古老的感染痕跡發生在2019年，所適用的最新iOS版本為 iOS 16.2，而蘋果一直到今年6月才修補它們，意謂著駭客早已偷偷滲透iMessage超過4年。</p> <p>分析顯示，駭客先是藉由傳送惡意的iMessage附件來利用CVE-2023-41990漏洞，以執行一個以JavaScript撰寫的權限擴張攻擊程式，接著再利用CVE-2023-32434 漏洞取得記憶體的讀寫權限，再以CVE-2023-38606漏洞繞過頁面保護層（Page Protection Layer），在成功攻擊上述3個漏洞之後，駭客即可對裝置執行任何操作，包括執行間諜軟體，然而，駭客卻選擇了注入一個酬載，並清除所有攻擊痕跡，再於隱形模式執行了一個Safari程序，以驗證受害者，檢查通過之後才繼續利用下一個位於WebKit中的CVE-2023-32435漏洞以執行Shellcode，接著駭客即重複透過先前的漏洞來載入惡意程式。</p> <p>這除了是卡巴斯基團隊所見過的最複雜的攻擊鏈之外，即使該團隊Operation Triangulation已有數月之久，但仍無法解開有關CVE-2023-38606漏洞的謎團。</p> <p>研究人員解釋，最近的iPhone針對核心記憶體的敏感區域採用了基於硬體的安全保護，以讓駭客就算能夠讀寫核心記憶體，也無法控制整個裝置，然而，CVE-2023-38606漏洞的存在是因為駭客利用了蘋果系統單晶片上的另一個硬體功能來繞過此一基於硬體的安全保護。</p> <p>具體而言，當駭客將資料、位址及資料雜湊寫入該晶片上未被韌體使用的硬體暫存器時，就能在寫入資料至特定的位址時，繞過基於硬體的記憶體保護。因為相關的硬體暫存器並未受到韌體的監管或保護。</p> <p>研究人員的疑惑在於，此一硬體功能從何而來？如果蘋果的韌體都未使用它，駭客又如何得知怎麼操控它？最可能的解釋是它可能是工廠或蘋果工程師用來測試或除錯的，或許先前曾不小心出現在韌體中，之後又被移除。</p> <p>卡巴斯基認為，CVE-2023-38606漏洞彰顯了一件事，這些基於硬體的先進保護機制，只要有硬體功能得以繞過，在面臨尖端駭客時也是沒用的。此外，硬體安全往往仰賴於隱蔽的安全，使得它的逆向工程比軟體更難，但這是一種有缺陷的方式，因為所有的秘密遲早都會被揭露，藉由隱蔽所實現的安全永遠不可能真正安全。</p> </div></div></div>
2023/12/28 15:02作者陳曉莉https://www.ithome.com.tw/news/160590
紐約時報控告OpenAI、微軟擅自使用網站內容訓練AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nytco-assets.nytimes.com/2023/12/NYT_Complaint_Dec2023.pdf" target="_blank">《紐約時報》</a>昨（27）日向紐約地方法院控告OpenAI及微軟未經其同意使用網站新聞內容來訓練AI聊天機器人的底層AI模型，侵害其聲譽及營運獲利能力。</p> <p>紐時指出，OpenAI及微軟為訓練生成式AI助理ChatGPT及Copilot的底層大型語言模型（LLM），未經其同意複製及使用數百萬新聞文章、深度調查、社論、產品評價、指引等內容，免費提供給用戶，紐時內容還經過加權使用。此外，除了非法使用內容，紐時也批評ChatGPT及Copilot模仿紐時新聞報導風格撰寫報導，有時還將假消息來源指向紐時，傷害其與讀者關係及聲譽。</p> <p>AI業者擷取網路文章的行為引發媒體出版商反彈，《紐時》、《CNN》、《BBC》等媒體已經封鎖AI的爬蟲。紐時曾試圖和OpenAI、微軟（以及提供新聞內容的Google、蘋果及Meta）洽談付費授權，但兩家公司以「合理使用」為由拒絕付費。紐時指出，兩家業者未經同意使用媒體內容產生的內容，又反過來和媒體競爭用戶流量，損及其訂閱、授權、廣告及合作收費制的獲利能力。</p> <p>這次控告，紐時並未尋求特定金額賠償，但他們估計因被告濫用其內容造成的損害上看數十億美元。這家媒體龍頭也要求OpenAI及微軟摧毁使用其內容訓練出的AI模型及訓練資料集。</p> <p>紐時是第一家對OpenAI或微軟提出侵害訴訟的主流媒體。但此前<a href="https://www.nytimes.com/2023/09/20/books/authors-openai-lawsuit-chatgpt-copyright.html" target="_blank">美國作者公會</a>及<a href="https://www.theguardian.com/books/2023/jul/05/authors-file-a-lawsuit-against-openai-for-unlawfully-ingesting-their-books" target="_blank">個別作家</a>也曾控告OpenAI侵權。</p> <p><a href="https://www.reuters.com/legal/transactional/ny-times-sues-openai-microsoft-infringing-copyrighted-work-2023-12-27/" target="_blank">OpenAI發出聲明稿指出</a>，該公司尊重創作者及所有人，該公司和紐時的對話已有相當進展及成果，因此這番控告感到驚訝與失望。微軟則尚未回應。</p> <p>為解決資料擷取的爭議，<a href="https://www.ithome.com.tw/news/159723" target="_blank">OpenAI 11月啟動合作夥伴計畫</a>，以便能合法取得AI訓練資料集。OpenAI及另一AI大廠Google都提供爬蟲工具，允許網路出版商退出被擷取資料的行列。</p> </div></div></div>
2023/12/28 13:16作者林妍溱https://www.ithome.com.tw/news/160589
Container快報第156期：K8s年終新版移除雲端供應商標籤，Datadog公布2023年十大容器趨勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2023/12/1～12/25 精選容器新聞：</p> <h3><strong><span style="color:#0000FF;">#k8s核心 #新版</span><br /> K8s年終最後一更1.29版新增49項強化，重大變革是K8s原始碼移除雲端供應商標籤</strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/k8s-1_29(1).png" style="float: left;" />趕在2023年底，K8s釋出了1.29版，這次有49項強化，包括了11項穩定版功能、19項Beta版功能和19項新增的Alpha版功能。這個版本有三項重要的穩定版功能，新增了第四種存取永久儲存空間的方式，可以使用ReadWriteOncePod，來指定一整個Pod叢集的可讀可寫狀態，在1.22版之前只能針對單一節點來指定，現在可以一次針對整個Pod來設定。另一個重點也是儲存類功能，CSI驅動程式可以支援機密資料區的擴充操作。另外，金鑰管理服務KMS v2也進入穩定版，可以提供比v1更好的效能，而且v1版從1.29版開始預設為進用，強制改用v2版KMS。</p> <p>另外一個值得注意的1.29版重大改變是，這個版本移除了K8s原始碼中的雲端供應商的標籤（flag），包括了Azure、GCE、vSphere、AWS和OpenStack，kube API、Kube控制器管理機制或kubelet元件從1.29版開始不會再支援這類標籤，企業若使用這些標籤來操作相關K8s指令，要升級到1.29版前，需要全盤檢視原有配置和程式，避免升級後無法運作。企業若Azure、GCE、vSphere、AWS和OpenStack這五家雲端供應商的產品，就得留意是否使用了K8s中的雲端供應商標籤。其餘雲端供應商的名稱沒有出現在K8s原始碼中，因此不會受到影響。</p> <h3><strong><span style="color:#0000FF;">#Serverless #24億容器趨勢分析</span><br /> Datadog分析數萬企業24億個容器，公布2023最新企業容器十大趨勢</strong></h3> <p>雲端監控服務商Datadog每年都會公布了年度容器報告，從它所監控的容器遙測數據，歸納出當年的容器技術採用趨勢。日前Datagod公布了從數萬家企業所用的24億個容器監控數據的分析結果，歸納出10大年度容器發展趨勢。</p> <p>今年大趨勢是，企業為了發展AI應用使用了大量GPU運算，也讓企業更加重用Serverless容器來減輕開發者的管理負擔，也採用更多便宜的ARM實例來維持用戶體驗。Serverless容器採用率從2年前的31%，今年提高到了46%，幾乎每兩家擁抱容器的企業，就有一家會採用全託管的Serverless型容器服務。每家公雲的Serverless容器採用率都有提高，但Cloud Cloud旗下顧客的採用率提高最多，從2年前的35%，今年翻了一倍增加到68%。</p> <p>所有容器實例採用GPU運算的時間，今年也大暴增，一口氣比去年同期增加了58%。非GPU運算的容器實例只有增加了25%，這也反映出容器用於AI應用的需求，在今年大暴增。不過，多數容器的CPU利用率還是偏低，超過65%的容器的CPU利用率不到一半，同樣地，也有超過65%的容器只用了不到一半的記憶體用量，其餘都是閒置。這兩個數據反映出，企業容器優化還有很大的改善空間。</p> <p>以應用類型來說，資料庫和Web伺服器是多數容器要支援的工作量。容器所用開發語言的排名上，今年依舊是Node.js居冠，超過4成容器使用，其次才是Java、Python和Go。目前，多數企業採用的K8s版本，以1.24版最多，超過3成。其次是1.25版，升級到1.26、1.26版的容器都約1成而已。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/datadog-k8s%E7%89%88%E6%9C%AC.png" /></p> <h3><strong><span style="color:#0000FF;">#K8s碳排追蹤 #Kepler</span><br /> 企業如何追蹤K8s中每一個容器的碳排？CNCF力推Kepler碳足跡追蹤新工具</strong></h3> <p>企業IT維運如何實現永續，持續量測IT基礎架構運作的碳足跡是關鍵一步，CNCF技術監督委員會成員之一的蘋果資深工程師Katie Gamanji近日在一場活動中，特別推薦Kepler專案。這是由IBM和紅帽在2022年2月發起，2023年5月加入CNCF沙盒的專案。這是一個用eBPF來取得相關系統狀態資訊再輸出成Prometheus效能矩陣的工具。Kepler這項碳排追蹤工具會在每個節點中，部署一個Kepler探索器，來搜集到容器層級和節點層級的資訊，主要透過eBPF追蹤CPU 效能計數器和Linux核心Tracepoint機制，來搜集能耗和資源利用率的資訊，再進一步計算出每個容器或節點所消耗的kWh能耗資訊，乘上碳排放參數來換算出所這個能耗對產生的碳排放量。預設採用的碳排放參數來自美國能源資訊管理局，以煤、天然氣和石油的碳排數值組合而成。企業也可以用公雲業者提供的資料中心碳排參數來計算更具體的碳排放量。再將資訊整合成Prometheus矩陣，提供給Gafana用來產生視覺化的圖表，例如可以詳細產生每一個容器或每一個Namespace每一天的碳排放量，作為企業改善碳排的參考數據。</p> <h3><strong><span style="color:#0000FF;">#eBPF #可觀察性</span><br /> 思科買下用eBPF打造出Cilium的瑞士新創，要將網路安全產品力延伸到作業系統核心</strong></h3> <p>Cisco近日宣布買下Isovalent，希望透過eBPF打造的Cilium專案，將自家網路和安全產品功能的處理能力，從Hypervisor層延伸到作業系統核心層。瑞士資安業者Isovalent在2017年推出Cilium開源專案，後來捐給了CNCF。這是一款用eBPF打造的網路安全與K8s可觀察性監測工具，也是不少公雲的K8s託管服務的內建工具，包括GKE、EKS等。 eBPF可以在不修改Linux核心的情況下，將一段偵測程式放入到核心執行，從底層來監控核心的各種運作狀態。Cilium正是以此特性打造出各種K8s叢集的可觀測性機制。</p> <h3><strong><span style="color:#0000FF;">#API管理 #GitOps</span><br /> 雲原生NoCode平臺Jetic推出雲原生整合服務iPaaS，數百款API整合更簡單</strong></h3> <p>Jetic推出了一款用Apache Camel軟體打造無伺服器服務，也同樣稱為Jetic，提供了數百款預先建置的連結器和設計模式，讓開發者快速串接到自己的API。這款Jetic服務可以用於不同的整合場景的自動化串接，例如即時整合，API管理、無伺服器服務整合、事件串流處理、資料捕捉、資料轉換等作業流程，也可以支援Git標準，來串接到企業的GitOps流程。另外，Jetic也提供了這些整合服務的監測和可觀察性數據。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetic-scaled.jpg" /></p> <h3><strong><span style="color:#0000FF;">#容器測試 #Testcontainers</span><br /> Docker公司併購了容器測試工具新創AtomicJar，擴大開發者內部迴圈戰略到測試段</strong></h3> <p>近日Docker公司宣布併購了容器自動化測試工具新創AtomicJar。Docker公司執行長Scott Johnston指出，AtomicJar所建立的開源測試框架Testcontainers，已經成了容器測試的業界標準框架，可以支援6種語言，包括Java、NET、Go語言、Node.js等的測試任務。Docker近年專注於企業開發流程市場的布局，產品戰略瞄準了開發者內部迴圈，從布建、驗證、執行、除錯到分享等，每個階段的工具。AtomicJar可以將這個內部迴圈擴大到測試階段的能力。</p> <h3><strong><span style="color:#0000FF;">#SBOM #容器安全</span><br /> 資安態勢管理工具Kubescape開始支援漏洞資訊交換格式VEX，提高K8s物件SBOM資訊透明度</strong></h3> <p>為了提高軟體供應鏈安全的資訊透明度發展，美國國家電信暨資訊管理局（NTIA）和美國網路安全及基礎設施安全局（CISA）聯手制定了一套用於漏洞資訊交換的格式VEX。VEX定義了一套資安弱點通報的標準格式，可供機器閱讀之用。Linux基金會也推出了支援此格式的漏洞通報工具OpenVEX。資安態勢管理工具Kubescape社群和Linux基金會聯手，打造出了OpenVEX的K8s環境版本。建立Kubescape專案的資安新創ARMO指出，Kubescape現在可以讀取或建立VEX文件的SBOM資訊，在掃描K8s物件後，依據這些物件接觸到弱點的可能性，產生VEX格式文件，標記這個物件是否會受到漏洞的影響，來供IT團隊參考。</p> <h3><strong><span style="color:#0000FF;">#計價模式變革 #Tanzu</span><br /> VMware宣布將全面改採訂閱制銷售，但還沒揭露詳細計價細節引起熱議</strong></h3> <p>博通在11月下旬完成VMware收購之後，最近VMware一場宣布引起軒然大坡，未來將全面終止買斷授權，所有產品改為訂閱制，從宣布當日起，不再提供永久授權、有效支援與訂閱服務 (Support and Subscription，SnS）續訂，以及混合與訂閱購買計畫(HPP/SPP) 點數在內的銷售模式。新政策影響VMware產品，涵蓋了VMware Cloud Foundation、vSphere、vSAN、NSX、SRM、HCX、vCloud套件及VMware Aria套件產品等。<br /> 原有擁有授權購買的產品可以繼續使用，但在技術支援到期後，企業得改用訂閱軟體或定期授權，才能繼續取得支援。雖然VMware預告，VCF訂閱方案將降價50%，同時加強對啟動解決方案和生命周期管理的支援。不過，VMware還沒有揭露更多未來訂閱制計價細節，以及現有產品如何轉換到訂閱制的說明。資訊不足也引起企業抱怨連連，引起各界熱議。不過，博通表示，除了繼續投資和發展VMware Cloud Foundation核心產品，會持續發展雲原生平臺VMware Tanzu，還包括應用程式網路和進階安全性服務，以及針對電信和企業邊緣的VMware軟體定義邊緣的相關發展。在併購案完成後，VMware執行長Raghu Raghuram也立即宣布辭職，目前尚未宣布新任執行長人選。</p> <h3><strong><span style="color:#0000FF;">#GAI #K8s發展策略</span><br /> K8s發展戰略從底層轉到應用層，支援GAI運算將是未來2年重要方向</strong></h3> <p>早從2015年就加入K8s專案的Google主任工程師Janet Kuo是第一代K8s團隊推手，日前她來臺參加Kubernetes summit時透露：「K8s的發展已經從運算資源的調度，開始延伸思考到應用目標，」Janet強調：「這是K8s發展戰略上很大的改變，從底層轉到應用層。」K8s開始針對特定情境的應用，尤其是未來非常重要的應用，例如GAI運算的支援，將是K8s未來2年的重要方向。</p> <p>例如在Janet所領導的Application小組正在規畫，如何調整K8s的Jobs API，讓ML工作量在K8s執行得更順利。例如考慮在K8s底層，提供Jobs之間的狀態傳遞能力，讓K8s更容易支援AI/ML工作流程，或是支援不斷迭代的AI訓練方式。另一個支援AI/ML運算的K8s優化方向是，考慮增加Jobs底層的Log機制，讓K8s維運人員更容易搜集這些Jobs的執行數據來優化效能，可以用來支援特別講究效能的AI任務。「K8s希望讓AI工作量更有效率地在K8s上執行，也想讓Jobs API支援各種AI工作量的需求。」不過，Janet坦言，K8s核心不會引進生成式AI技術，而是，她認為，GAI可以協助來產生更有效率的k8s配置，也很適合用於學習K8s。「不少人抱怨K8s太難學了，我希望GAI可以降低K8s的上手門檻。」</p> <h3><strong><span style="color:#0000FF;">#基礎架構程式碼化 #AI助手</span><br /> 更多IaC維運AI助手出現，HashiCorp、Grafana Lab都將導入Duet AI</strong></h3> <p>隨著Google發表自家最強LLM模型Gemini同時，也宣布與多家開發工具商合作，將Duet AI導入到不同開發工具或資料庫軟體中，其中一家就是HashiCorp。HashiCopr預計將AI助手Duet AI導入到自家IaC工具Terraform中，來協助撰寫基礎架構調度的配置檔。使用者未來可以直接要求AI助理，提供相關Terraform的原始文件、各種學習教材，也能要求AI助理用HCL語法撰寫不同用途或需求的IaC配置檔範例，來提高維運人員配置設定工作的效率。另一家業者Grafana Lab則是基礎架構維運常用的開源可觀察性平臺業者，也將在自家產品中導入Duet AI，可以用來查詢各種產品文件，也能協助開發者設計Grafana儀表板，提供如何設計視覺化圖表、查詢設計，甚至是如何分析資料的建議。使用者也可以詢問如何用Grafana來進行除錯等提高AP可靠性的問題。</p> <p><strong>更多新聞</strong></p> <p>小紅書等中國企業聯手打造的跨雲K8s管理專案Karmada進入CNCF專案孵化階段</p> <p>資任編輯：王宏仁</p> </div></div></div>
2023/12/28 12:22作者王宏仁https://www.ithome.com.tw/news/160587
禁售令被暫停，蘋果可暫時重啟銷售Apple Watch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在華盛頓聯邦巡迴上訴法院核准暫停禁售令後，蘋果昨天暫時獲准銷售Apple Watch 9及Ultra 2。</p> <p>基於專利侵權理由，美國國際貿易委員會（ITC）10月發出的Apple Watch 禁止輸入及銷售令，在12月26日生效。蘋果昨日向聯邦巡迴上訴法院提出暫停的緊急命令，也在同一天內獲准，暫停ITC命令。</p> <p><a href="https://www.pacermonitor.com/view/I6WOXQI/Apple_Inc_v_ITC__cafc-24-01285__0019.0.pdf?mcid=tGE3TEOA" target="_blank">上訴巡迴法院昨日判決</a>，准許蘋果提出的聲請動議，在美國海關暨邊境防護局（Customs and Border Protection，CBC）決定蘋果對Apple Watch的變更是否有助於解決Masimo的侵權疑慮前，暫停銷售令執行。CBD需在2024年1月12日前做出決定。</p> <p><a href="https://www.theverge.com/2023/12/27/24016684/apple-watch-on-sale-again-import-sales-bans-paused" target="_blank">蘋果公司向媒體證實</a>二款具血氧量測功能的Apple Watch，將在美東時間12月28日下午3:00起恢復銷售。</p> <p>這道命令讓原本蘋果已經主動停售的Apple Watch，包括Series 9及Ultra 2得以重新在美銷售。蘋果分別於12月21日及24日，暫停二款產品在Apple.com及Apple Store的銷售。</p> <p>至於蘋果會怎麼變更以解決專利侵權問題，蘋果可能會修改硬體，只是時程至少需三個月。《彭博》上周報導，蘋果目前已在趕工軟體更新，以繞過侵害裝置業者Masimo的專利權的問題。</p> <p>同時間ITC向上訴巡迴法院的聲請也獲准。ITC要求將回覆蘋果聲請動議的時間，由2024年1月5日延後到1月10日。因此，明年一開年，美國政府和蘋果將再一次就Apple Watch專利侵權是否停售事宜進行攻防。</p> </div></div></div>
2023/12/28 12:43作者林妍溱https://www.ithome.com.tw/news/160588
開發者終於可於Safari技術預覽版測試WebGPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Webkit開發團隊釋出<a href="https://webkit.org/blog/14879/webgpu-now-available-for-testing-in-safari-technology-preview/">Safari技術預覽185版本</a>，讓開發者能夠啟用WebGPU，並且進行早期測試和開發。想要搶先試用WebGPU的用戶，需要從偏好設定中啟用WebGPU、GPU Process:DOM Rendering以及GPU Process:Canvas Rendering功能旗標。</p> <p>目前Chromium、Firefox與Safari這3個主要瀏覽器都開始支援WebGPU，不過<a href="https://github.com/gpuweb/gpuweb/wiki/Implementation-Status">進度各有不同</a>，Chrome與Edge在今年4月所發布的113版本，已經預設啟用WebGPU。而Firefox也已經在Nightly版本預設啟用WebGPU，目前GitHub上<a href="https://github.com/gfx-rs/wgpu/milestone/8">WebGPU規格V1實作的完成度為29%</a>。Safari則是從技術預覽185版本開始，開發者才能進行測試。</p> <p>WebGPU是用來代替WebGL（Web Graphics Library）的新繪圖API，可供開發者在網頁上實現高效能3D圖形和通用運算。過去開發者使用WebGL開發網頁圖形應用程式，WebGL是以OpenGL ES 2.0為基礎，供開發者在無需額外套件的情況下，直接在瀏覽器中使用GPU渲染複雜特效和圖形。</p> <p>但是WebGL存在一些問題，除了其著色器語言GLSL學習曲線陡，需要進階的圖學程式開發知識之外，相比於WebGPU，WebGL在GPU功能支援方面有限，WebGL主要用於繪製圖形以及渲染工作，對於通用GPU運算的支援度不足。隨著3D圖形應用對效能與渲染功能的要求越來越高，WebGL的限制逐漸浮現。</p> <p>而WebGPU是比WebGL更先進的技術，不僅提供更高效的3D圖形渲染，還支援更廣泛地運算功能，使開發者能夠有效發揮現代GPU的能力。WebGPU提供了一個更新更低階的API，可以良好地支援現代GPU架構，進而提高運算效能和和效率。</p> <p>而WebGPU Shading Language（WGSL）是專為WebGPU設計的著色器語言，目的是可在網頁環境中支援3D圖形和通用運算，具有跨平臺的特性，開發者同樣也可以在Safari技術預覽185版本中嘗試進行網頁圖形開發。</p> </div></div></div>
2023/12/28 09:01作者李建興https://www.ithome.com.tw/news/160576
VS Code新版Java擴充套件採用新測試覆蓋率API，可在測試時直接查看結果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/java/java-on-visual-studio-code-update-december-2023/">更新</a>VS Code的Java擴充套件，新版本已經可以顯示測試覆蓋率，並且改進開發體驗，另外，Spring Boot擴充套件也有諸多更新，包括Spring Boot版本的升級以及執行效能，都獲得強化。</p> <p>在之前的Java擴充套件版本，開發者在執行測試時無法看到測試覆蓋率，而測試覆蓋率是一個測試案例對程式碼覆蓋程度的重要指標。在這個新版本加入新的測試覆蓋率API，當開發者在VS Code Insiders中執行Java測試時，能夠直接查看覆蓋率結果。</p> <p>而新版Java擴充套件對創建Java檔案的體驗也有所改進，過去開發者反應，創建Java類別、介面和其他型別的流程，與其他Java IDE相比不夠直覺。而現在微軟在新版本中調整流程，當開發者嘗試創建Java檔案時，Java擴充套件會立即顯示一個包含各種Java檔案類型列表，諸如類別和介面等，供開發者可以從中選擇適合的類型進行創建。這項改進使創建特定類型的Java檔案變得更便捷。</p> <p>隨著VS Code中Java擴充套件功能的增加，相關的設定選項也越來越多，過去所有Java相關的設定都擺在一起，讓開發者難以找到特定的選項，而在新版中，設定項目會按類別和用途分類，使得開發者能夠方便找到需要的設定。</p> <p>過去當開發者要將具有多模組的專案匯入到VS Code時，擴充套件會自動將所有內容匯入到工作區，但如果模組數量過多將會耗費大量的時間。現在當java.import.projectSelection選項被設定為manual時，開發者可以在專案匯入到工作區時，選擇要匯入的子專案，進而跳過不需要匯入的模組，大幅減少整體專案匯入時間。</p> <p>此外，Spring Boot擴充套件也有一系列新功能和效能提升更新。Spring Boot擴充套件採用開源自動化重構工具OpenRewrite，可將現有Spring專案自動升級至Spring Boot 3.2，這項更新強化了現有的升級支援，可協助開發者將專案從Spring Boot 2.x搬遷至Spring Boot 3.0或更高版本。</p> <p>而application.properties或application.yml檔案中的程式碼完成速度，在新版擴充套件也獲得大幅提升，官方指出，首次呼叫的速度較以前的版本快10倍。這次更新還整合了一個新的驗證引擎，能快速地進行專案分析和索引，大幅減少背景記憶體的使用，讓Spring的驗證和修復的反應更加迅速。</p> <p>不只如此，最新的Spring工具還進行了許多效能改進，使其執行速度明顯加快，並且也使用更少的CPU周期和記憶體，整體操作起來更輕巧敏捷。</p> </div></div></div>
2023/12/28 09:03作者李建興https://www.ithome.com.tw/news/160577
【資安日報】12月27日，有人散布《俠盜獵車手V》原始碼並向甫遭判決的駭客組織Lapsus$成員致敬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這個月針對電玩公司的網路攻擊事件接連傳出，包含Sony旗下電玩業者Insomniac Games遭勒索軟體Rhysida入侵，偷走處於開發狀態的電玩遊戲《金鋼狼》相關資料；有人對電玩開發商Ubisoft發動攻擊，目標是《虹彩六號：圍攻行動》的內部資料。而最近一起資料外洩事故，則是可能與近期遭到判決的駭客有關。</p> <p>有人透過暗網、Telegram頻道、Discord伺服器等管道，散布《俠盜獵車手V》的原始碼，並在Telegram頻道表示公開這些資料的目的。值得留意的是，這次被公布的是資料是遊戲程式的原始碼，後續影響有待觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/gta-5-source-code-reportedly-leaked-online-a-year-after-rockstar-hack/"><strong style="font-size: 22px;">電玩開發商RockStar Games遭駭一年，《俠盜獵車手V》原始碼被公開</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/gta-telegram-post.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/gta-telegram-post.jpg" style="width: 300px; float: right;" /></a>根據Bleeping Computer、Cyber Express等資安新聞網站的報導，專門提供電玩遊戲《俠盜獵車手》資訊的新聞網站GTA Focal指出，他們得知《俠盜獵車手V（Grand Theft Auto V，GTA 5）》原始碼外流的情況，有人在Telegram頻道、Discord伺服器，以及暗網網站上公布相關檔案，打包後檔案大小約為4 GB，包含Rage遊戲引擎的大量文件、概念設計資料、參考圖片，其中包括該遊戲的早期地圖。此外，這批資料還包含了尚未上市的《俠盜獵車手VI（GTA 6）》Python指令碼檔案。</p> <p>而對於相關資料被公開的原因，Bleeping Computer指出，公布資料的人士在Telegram頻道上提及，他們這麼做是為了向隸屬Lapsus$駭客組織的成員Arion Kurtaj致敬，而這名駭客因攻擊遊戲開發商Rockstar Games、車輛共享平臺Uber，而被英國法院判決需終身住院治療。</p> <p>GTA Focal指出，這些資料是2022年Rockstar Games遭駭的事故流出，當時駭客組織Lapsus$即聲稱竊得GTA 5和GTA 6的原始碼及其他內部資料。資安研究團隊VX-Underground取得公布資料的駭客說法，對方聲稱在8月就拿到相關檔案，目的是打擊GTA 5改裝場景出現的詐騙行為。</p> <p>資料來源</p> <p>1. <a href="https://gtafocal.com/?p=560">https://gtafocal.com/?p=560</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/gta-5-source-code-reportedly-leaked-online-a-year-after-rockstar-hack/">https://www.bleepingcomputer.com/news/security/gta-5-source-code-reportedly-leaked-online-a-year-after-rockstar-hack/</a><br /> 3. <a href="https://www.bleepingcomputer.com/news/security/lapsus-hacker-behind-gta-6-leak-gets-indefinite-hospital-sentence/">https://www.bleepingcomputer.com/news/security/lapsus-hacker-behind-gta-6-leak-gets-indefinite-hospital-sentence/</a><br /> 4. <a href="https://thecyberexpress.com/gta-5-source-code-leak/">https://thecyberexpress.com/gta-5-source-code-leak/</a><br /> 5. <a href="https://twitter.com/vxunderground/status/1739263588408164859">https://twitter.com/vxunderground/status/1739263588408164859</a></p> <p><a href="https://www.netskope.com/blog/a-look-at-the-nim-based-campaign-using-microsoft-word-docs-to-impersonate-the-nepali-government"><strong style="font-size: 22px;">駭客假冒尼泊爾政府官員，利用Word檔案作為誘餌，散布Nim惡意程式</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nim-Malacious-Campaign-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nim-Malacious-Campaign-1.png" style="width: 300px; float: right;" /></a>資安業者Netskope揭露假冒尼泊爾政府的惡意軟體攻擊行動，駭客以尼泊爾官員的名義，透過電子郵件寄送擔保合約（security agreement），其中挾帶惡意Word檔案附件，一旦收信人依照指示開啟，電腦就有可能被植入以Nim程式語言開發的後門程式。</p> <p>駭客宣稱此附件檔案由新版Word製作，收信人若要檢視完整內容，必須依序按下啟用編輯、啟用內容的按鈕，然而若是照做，電腦就會執行惡意巨集來執行後續的攻擊行動。此後門程式啟動將會檢查電腦的處理程序，是否執行特定的分析工具，然後才向C2伺服器進行連線，而這些伺服器的網域看起來像是來自尼泊爾政府。</p> <p>研究人員指出，他們今年發現以Nim開發的惡意程式有所增加，其中最受到關注的惡意程式，是今年1月出現的勒索軟體Dark Power。</p> <p><a href="https://www.darkreading.com/vulnerabilities-threats/ransomware-attackers-abuse-windows-clfs-driver-zero-days"><strong style="font-size: 22px;">微軟Windows事件記錄系統CLFS零時差漏洞被鎖定，已陸續遭勒索軟體駭客利用</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Windows-CLFS-five-exploits-ransomware_part1_en_03.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Windows-CLFS-five-exploits-ransomware_part1_en_03.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基提出警告，從2022年6月開始，勒索軟體駭客鎖定Windows通用事件記錄檔案系統（CLFS），前後在攻擊行動裡至少使用了5個漏洞，且其中的CVE-2022-24521、CVE-2022-37969、CVE-2023-23376、CVE-2023-28252為零時差漏洞。</p> <p>研究人員指出，根據他們的分析，這些漏洞實際上是過往出現的CLFS漏洞變形，若是修補足夠完整，就有可能不會被駭客發現並用於攻擊行動。此外，研究人員指出，微軟也藉由封鎖濫用PreviousMode、NtQuerySystemInformation的手法，並在作業系統Windows 11新版加入更多機制，來封鎖攻擊者藉此提升權限的情況。</p> <p>資料來源</p> <p>1. <a href="https://securelist.com/windows-clfs-exploits-ransomware/111560/">https://securelist.com/windows-clfs-exploits-ransomware/111560/</a><br /> 2. <a href="https://securelist.com/windows-clfs-exploits-ransomware-cve-2023-28252/111601/">https://securelist.com/windows-clfs-exploits-ransomware-cve-2023-28252/111601/</a></p> <p><a href="https://www.vpnmentor.com/news/report-realestatewealthnetwork-breach/"><strong style="font-size: 22px;">美國房地產教育訓練中心Real Estate Wealth Network資料庫不設防，曝露15億筆資料</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/realestatewealthnetworkbreach3-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/realestatewealthnetworkbreach3-1.png" style="width: 300px; float: right;" /></a>VPN工具介紹網站vpnMentor揭露房地產投資平臺Real Estate Wealth Network（REWN）資料外洩的情況，研究人員Jeremiah Fowler看到該公司所屬的資料庫未加上密碼保護以限制存取，內含1,523,776,691筆記錄，檔案大小為1.16 TB。</p> <p>相關資料分門別類存放於各種資料夾，這些資料涵蓋多種類型，包含：房產歷史、積極賣家、破產、離婚、欠稅不動產留置權（tax lien）、繼承、法院判決、閒置房產等，此外，該資料庫也包含從今年4月22日至10月23日的系統事件記錄資料，而能讓取得的人士得知用戶搜尋的情形。研究人員通報後，此資料庫已受到保護。</p> <p>在分析這起資料外洩事故的過程，這名研究人員特別有感而發，他提到自己曾是房地產經紀人，雖然財產稅務資料在美國視為半公開資料，但相關資料通常必須向各行政區的政府取得，且能夠取得的資料範圍、難易度也不同，但這次他在這些外洩的資料當中，不僅意外找到自己的財產資料，也看到不少名人名下的房產，包含房屋的地址、購買價格、日期、貸款金額、欠稅金額等細節。</p> <p><a href="https://cybernews.com/security/dubai-real-estate-agency-data-leak/"><strong style="font-size: 22px;">房地產管理軟體製造商的CRM系統曝露69萬客戶資料</strong></a></p> <p></p> <p>根據資安新聞網站Cybernews的報導，疑似隸屬房地產管理軟體製造商Goyzer的客戶關係管理系統（CRM）曝露於網際網路，其MongoDB資料庫系統並未套用密碼保護，內容包含姓名、電子郵件信箱、電話號碼，以及收據、支票、合約、身分證件的掃描檔案，估計有69萬客戶受到影響。</p> <p>一旦這些資料被駭客發現，就有可能將其用於身分竊盜、網路釣魚、金融詐欺攻擊。研究人員通報此事，該資料庫已關閉，但Goyzer並未做出回應。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://ubuntu.com/security/notices/USN-6557-1"><strong style="font-size: 22px;">Canonical針對Ubuntu發布更新，修補文字編輯器Vim漏洞</strong></a></p> <p></p> <p>12月14日Canonical針對旗下Linux作業系統Ubuntu發布更新，這次修補文字編輯器Vim的15個漏洞，其中有4個是高風險層級，CVSS風險評分皆為7.8分。</p> <p>其中的CVE-2022-1897、CVE-2022-2000影響範圍較廣，從Ubuntu 14.04 LTS至22.04 LTS都會受到影響，而且這些弱點都是越界寫入（OBW）漏洞，攻擊者有可能用來發起阻斷服務（DoS），或是執行任意程式碼。</p> <p>另外兩個高風險漏洞是CVE-2022-1886、CVE-2022-2042，僅影響Ubuntu 22.04 LTS，前者也是越界寫入漏洞，後者則是在Vim執行spell命令時，會導致記憶體管理不當的現象。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://abnormalsecurity.com/blog/2023-ai-generated-email-attacks"><strong style="font-size: 22px;">生成式AI被濫用於釣魚郵件攻擊，研究人員呼籲企業組織應透過AI對抗</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GenAI_5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GenAI_5.png" style="width: 301px; float: right;" /></a>生成式人工智慧（Gen AI）日益普及，駭客也將其用於產生釣魚郵件來從事攻擊行動，這些郵件可針對特定收信人設計，再加上所採用的語法拼字皆沒有錯誤，不只使用者難以辨別，由於駭客產生的郵件並未具備共同的惡意指標，傳統的資安系統更難察覺其攻擊意圖。</p> <p>資安業者Abnormal收集透過前述AI產生的電子郵件並進行分析，然後透過開源軟體Giant Language Model Test Room（GLTR）執行識別，結果發現，這些郵件的文字幾乎是經由人工智慧產生。</p> <p>其中一封郵件是偽裝Netflix的客服，假借續訂通知進行攻擊，為了讓郵件看起來可信度更高，駭客濫用線上玩具購物網站Teeela相關網域，以及使用客服平臺Zendesk，結果透過GLTR識別，整封信幾乎都是AI代筆。對此，研究人員認為，只有人工智慧可以阻止人工智慧，他們認為企業應利用具備相關技術的資安解決方案來因應相關威脅。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://thehackernews.com/2023/12/cloud-atlas-spear-phishing-attacks.html"><strong><span style="font-size: 20px;">俄羅斯企業組織遭到駭客組織Cloud Atlas鎖定，從事魚叉式網釣攻擊</span></strong></a></p> <p></p> <p><a href="https://www.nccgroup.com/us/newsroom/ncc-group-monthly-threat-pulse-november-2023/"><strong><span style="font-size: 20px;">金融木馬Carbanak被用於勒索軟體攻擊</span></strong></a></p> <p></p> <p><a href="https://securityaffairs.com/156430/cyber-crime/rhysida-ransomware-abdali-hospital-jordan.html"><strong><span style="font-size: 20px;">約旦Abdali綜合醫院傳出遭勒索軟體Rhysida攻擊</span></strong></a></p> <p></p> <p><a href="https://www.hackread.com/ringgo-parkmobile-easypark-data-breach-data-stolen/"><strong><span style="font-size: 20px;">歐洲大型停車應用程式服務集團EasyPark傳出資料外洩</span></strong></a></p> <p></p> <p><a href="https://securityaffairs.com/156303/cyber-crime/lockbit-gang-xeinadin.html"><strong><span style="font-size: 20px;">會計師事務所Xeinadin傳出遭到勒索軟體LockBit攻擊</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160548"><strong>【12月26日】有人入侵遊戲開發商Ubisoft並企圖竊取《虹彩六號：圍攻行動》的內部資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160527"><strong>【12月25日】駭客集團UAC-0099鎖定烏克蘭組織並利用WinRAR漏洞植入惡意程式LonePage</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160502"><strong>【12月22日】巴勒斯坦駭客對以色列組織聲稱提供F5 BIG-IP「零時差漏洞修補程式」來破壞電腦所有檔案</strong></a></p> </div></div></div>
2023/12/27 16:55作者周峻佑https://www.ithome.com.tw/news/160564
AMD第四代EPYC處理器平臺進駐4大公有雲運算服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_ec2_m7a-main.png" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年11月AMD發表第四代EPYC處理器，<a href="https://www.ithome.com.tw/tech/154284">以代號為Genoa的EPYC 9004系列打頭陣</a>，今年6月發表<a href="https://www.ithome.com.tw/news/157829">代號為Bergamo的EPYC 97x4系列，以及代號為Genoa-X的EPYC 9004X系列</a>，8月發表<a href="https://www.amd.com/en/newsroom/press-releases/2023-9-18-amd-completes-4th-gen-epyc-family-with-the-amd-epy.html">代號為Siena的EPYC 8000系列</a>，伺服器廠商與雲端業者也抓緊腳步推出、積極推出採用這些處理器的產品與服務，先前我們已介紹<a href="https://www.ithome.com.tw/tech/155013">HPE</a>、<a href="https://www.ithome.com.tw/review/155697">Dell</a>的伺服器，以及微軟Azure HBv4系列與HX系列的雲端服務，都已陸續上市。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure HBv4_HX.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20HBv4_HX.png" style="width: 400px;" /></a></p> <p> </p> <p>到了2023年下半，多家公有雲業者陸續宣布提供基於這款處理器的運算服務，不過，絕大多數雲服務廠商目前僅採用Genoa處理器，只有微軟Azure HBv4系列與HX系列是採用Genoa-X處理器。顯然AMD必須再加把勁推廣其他第四代EPYC處理器，說服公有雲業者採用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Genoa%20Public%20Cloud.jpg" style="width: 600px;" /></p> <h3><span style="color:#0000FF;"><strong>針對4大類型運算需求，AWS推出虛擬機器與裸機執行個體</strong></span></h3> <p>首先，我們來看公有雲服務龍頭廠商AWS的相關動態，截至目前為止，他們總共提供40個採用第四代EPYC處理器的執行個體組態。今年8月在Amazon EC2系列當中，AWS正式推出針對一般用途需求的M7a，以及高效能運算需求的Hpc7a。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS AMD instances-2023-12-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20AMD%20instances-2023-12-01.jpg" style="width: 600px;" /></a></p> <p>其中的M7a，最初在2022年11月登場，也就是在AMD發表第四代EPYC處理器的活動上，AWS宣布開放預覽版測試，號稱比起採用第三代EPYC處理器的M6a，能額外提供50％的效能，並且因為第四代EPYC新支援AVX-512、VNNI等兩大指令集，以及BFloat16的資料型別，而能一併受益，AWS甚至表示，在他們的環境、以每顆虛擬處理器而言，這樣的運算服務能為x86架構應用提供最佳的性價比。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS EC2 M7a-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20EC2%20M7a-1.jpg" style="width: 400px;" /></a></p> <p>等到正式推出之後，AWS公布M7a規格，當中搭配的AMD EPYC處理器，時脈最高可達3.7 GHz，效能領先M6a的幅度為50％，而在記憶體效能方面，由於隨著新處理器支援速度更快的DDR5記憶體，相較於M6a，M7a的記憶體頻寬超越幅度為2.25倍。在執行個體的組態選擇上，M7a提供12組配置（其中1組是裸機），最大可使用192顆vCPU與768 GiB記憶體的執行個體，而且，相較於上一代M6a，M7a額外提供m7a.medium（提供1顆虛擬處理器與4 GiB記憶體），以及裸機m7a.metal-48xl（提供192顆虛擬處理器與768 GiB記憶體）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS M7A-2023-12-01-overview2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20M7A-2023-12-01-overview2.jpg" style="width: 600px;" /></a></p> <p>關於效能提升的部分，AMD在10月發布兩份測試結果，執行的軟體包含應用程式平臺Java、網站伺服器Nginx、關聯式資料庫MySQL、記憶體資料庫Redis、多媒體處理與播放系統FFmpeg，一是搭配第四代EPYC處理器M7a對上搭配第三代EPYC處理器M6a，另一是搭配AMD第四代EPYC處理器M7a對上搭配英特爾第四代Xeon Scalable處理器M7i。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS-M7a-12-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS-M7a-12-01.jpg" style="width: 600px;" /></a></p> <p>而在11月底舉行的re:invent年度大會上，AWS也揭露M7a在網站前後端應用優於M6a的成本節約幅度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS M7a-Nginx-2023-12-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20M7a-Nginx-2023-12-01.jpg" style="width: 600px;" /></a></p> <p>另一個同樣採用第四代EPYC處理器的Hpc7a系列執行個體，效能達到上一代Hpc6a的2.5倍，記憶體頻寬也提升至2.1倍，網路擴增幅度達到3倍之多，提供300 Gbps頻寬。關於執行個體組態的選擇，Hpc6a僅提供1種套裝配置（hpc6a.48xlarge，提供96顆虛擬處理器與384 GiB記憶體），Hpc7a增加到4種配置，記憶體容量均為768 GB，增加1倍，虛擬處理器最大可搭配192顆，同樣比上一代多1倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS HPC7A-2023-12-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20HPC7A-2023-12-01.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS EC2 HPC7A.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20EC2%20HPC7A.jpg" style="width: 400px;" /></a></p> <p>到了9月中，AWS在EC2記憶體最佳化工作負載的運算服務，推出採用AMD第四代EPYC處理器的R7a，效能主打特色與M7a相同，組態最大可搭配192顆虛擬處理器與1536 GiB記憶體，提供的套裝配置數量同於上一代R6a，都提供11種，增設r7a.medium（提供1顆虛擬處理器與8 GiB記憶體），但不提供裸機。然而，相隔幾週之後（10月4日），他們突然宣布推出R7a的裸機執行個體，使得此系列的組態增加至12個。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS R7A-2023-12-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20R7A-2023-12-01.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS EC2 R7A.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20EC2%20R7A.jpg" style="width: 400px;" /></a></p> <p>同日AWS在EC2另一個運算最佳化工作負載的運算服務，也推出採用AMD第四代EPYC處理器的C7a，效能主打特色與M7a相同，組態最大可搭配192顆虛擬處理器與384 GiB記憶體，提供的套裝配置選擇有12個，比上一代C6a多兩個——c7a.medium（提供1顆虛擬處理器與2 GiB記憶體），以及裸機c7a.metal-48xl（提供192顆虛擬處理器與384 GiB記憶體）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS C7A-2023-12-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20C7A-2023-12-01.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS EC2 C7A.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20EC2%20C7A.jpg" style="width: 400px;" /></a></p> <h3><span style="color:#0000FF;"><strong>在現行高效能運算應用類型提供的兩種執行個體之餘，Azure預告將推出6種執行個體</strong></span></h3> <p>在11月中舉行、鎖定IT專業人員的Ignite年度大會上，微軟宣布將針對一般用途、記憶體最佳化、運算最佳化的運算需求，推出更多執行個體服務，採用代號為Genoa的AMD第四代EPYC處理器，這些服務都會配備最新推出的軟硬體整合加速技術Azure Boost，並預計在2024年第一季開放公開預覽測試。</p> <p>就一般用途類型而言，微軟將推出Dasv6系列虛擬機器，記憶體最佳化類型是Easv6系列虛擬機器，運算最佳化類型則是Falsv6系列、Fasv6 系列、Famsv6系列。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-Azure%20AMD%20more%20VMs.jpg" style="width: 600px;" /></p> <p>Dasv6系列、Easv6系列的共通點是提供2到96顆虛擬處理器，並依照是否搭配本機硬碟而細分，最大差異在於每顆處理器的記憶體配置比例，例如，Dasv6系列當中的Dalsv6、Davs6，分別是2比1（4到192 GiB）、4比1（8到384 GiB），Easv6系列是8比1（16到672 GiB，編按：依此比例換算，記憶體最大應為768 GiB）。</p> <p>微軟表示，相較於上一代的Dasv5系列、Easv5系列，Dasv6系列、Easv6系列的CPU效能可望提升20％，具有更理想的性價比；而在Azure Boost的幫忙之下，這些新一代的AMD虛擬機器將配備NVMe介面，無論搭配本機硬碟或遠端硬碟，均能受益，存取速度可分別提升400％與80％，網路頻寬也能增加20％。</p> <p>在組態配置上，主打記憶體最佳化的Easv6系列，每顆處理器的記憶體配置比例更高，虛擬機器最大可搭配96顆虛擬處理器與672 GiB記憶體；至於Falsv6系列、Fasv6系列、Famsv6系列，實現運算最佳化的方式就是不用「同時多執行緒（SMT）」，亦即每顆虛擬處理器就是完整的核心，可提供最高的處理器效能。</p> <h3><span style="color:#0000FF;"><strong>鎖定一般用途、提供4類組態，Google Cloud推出C3D執行個體</strong></span></h3> <p>5月Google Cloud宣布，採用英特爾第四代Xeon Scalable處理器的C3執行個體上線，正式揭開雲端運算服務第三代的序幕，8月底舉行的Next年度大會，預告將推出採用AMD第四代EPYC處理器的C3D，9月開放預覽，鎖定一般用途的運算需求，最大提供360顆虛擬處理器、2 TB記憶體，根據他們內部進行的多種應用程式測試，相較於上一代N2d，平均效能提升幅度為45％。</p> <p>10月下半，C3D正式上線，採用代號為Genoa的AMD第四代EPYC處理器，可供應Google Compute Engine（GCE）、Google Kubernetes Engine（GKE）用戶，他們也公布同月進行的內部測試結果。相較於N2D，C3D在網站伺服器平臺Nginx領先54％，關聯式資料庫Postgres、MySQL超越幅度為62％，記憶體資料庫Redis增加 60％，資料分析SparkSQL這類應用提升21％，而在程式編譯這類開發流程工作負載效能方面，則是提升33％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-GCP%20C%20Series%20VM-C3D.jpg" style="width: 600px;" /></p> <p>在組態設置上，C3D提供4大類型、共31個執行個體，分別是標準（8個，每顆vCPU搭配4 GB記憶體）、大量處理器（8個，每顆vCPU搭配2 GB記憶體）、大量記憶體（8個，每顆vCPU搭配8 GB記憶體）、搭配本機SSD（8個，每顆vCPU搭配4 GB記憶體，最大搭配12TiB SSD）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP C3D-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20C3D-1.jpg" style="width: 600px;" /></a></p> <p>如同5月推出的C3，C3D同樣建構在Google發展的專屬架構，當中搭配訂製晶片、安全控制器，以及分層、可橫向擴展規模的卸載機制，為虛擬機器執行的工作負載提供更好的效能、生命週期管理、可靠度，以及安全性——全程加密網路效能最高為200 Gbps、封包處理能力是上一代虛擬機器的3倍，以及35萬IOPS、5 GB/s的儲存吞吐量（搭配Hyperdisk Extreme區塊儲存）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCE-AMD CPU-2023-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCE-AMD%20CPU-2023-12.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/GCE-Generation-2023-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCE-Generation-2023-12.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GCE-VMs-2023-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCE-VMs-2023-12.jpg" style="width: 600px;" /></a></p> <p>透過這樣的架構，Google Cloud強調，C3D達到近乎裸機部署型態的效能、提供可用於大多數工作負載整合的維護更新機制，對於較敏感的工作負載，也能提供進階控制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%20Cloud%20EPYC-based%20instances.jpg" style="width: 600px;" /></p> <h3><span style="color:#0000FF;"><strong>OCI年中推出E5系列執行個體，提供裸機與虛擬機器型態的雲端運算服務</strong></span></h3> <p>就大型公有雲業者而言，近年來急起直追的Oracle Cloud Infrastructure（OCI）積極支援最新推出的處理器平臺，今年6月他們發表E5系列，基於代號為Genoa的AMD第四代EPYC處理器，提供裸機與虛擬機器型態的雲端運算服務，區分標準（一般用途）、高效能運算、高密度I/O（DenseIO）等三種應用需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/OCI-E5-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/OCI-E5-2.jpg" style="width: 600px;" /></a></p> <p>以最先推出的E5標準型而言，OCI引用內部測試結果表示，相較於上一代E4系列，每核心運算效能提升33％，記憶體頻寬增加50％，而且裸機執行個體的處理器核心可多出50％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-06-OCI E5-VM updated graph.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-OCI%20E5-VM%20updated%20graph.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-06-OCI E5-BM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-OCI%20E5-BM.jpg" style="width: 298px;" /></a></p> <p>到了7月，OCI Compute E5標準型執行個體宣告正式上線，他們揭露更多細節。例如，相較於E4標準型裸機執行個體最多可配備128顆Oracle處理器（OCPU，相當於兩顆虛擬處理器），E5標準型裸機執行個體則是192顆OCPU，每核心效能提升33％。而在單顆處理器的規格方面，OCI透露E5搭配的CPU基礎時脈是2.4 GHz，最高可提升至3.7 GHz，L3快取為384 MB，E4的CPU時脈是2.55 GHz至3.5 GHz，L3快取為256 MB。</p> <p>記憶體方面，E4最大可搭配2TB的DDR4、支援8個通道存取，E5則是2.25 TB的DDR5、支援12個通道存取，記憶體頻寬提升1倍。</p> <p>至於其他兩種執行個體服務，OCI在6月預告各自的特色。以E5高效能運算型執行個體而言，目標是提供具成本效益的運算能力，結合多個高效能運算執行個體，解決須交由超級電腦處理的跨產業複雜數學與科學問題，舉凡AI模型訓練、氣象預測、基因序列分析等應用，根據他們內部測試的結果，這項服務的性價比領先上一代服務幅度為40％。</p> <p>另一個E5高密度I/O型執行個體服務，用途鎖定大型資料庫、大數據相關的工作負載，以及本機儲存需要提供高效能的應用系統，規格方面，若以E4高密度I/O型執行個體為基準，預期E5這類運算服務最大儲存容量可提升50％，儲存效能可增長63％。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>AMD第四代EPYC 雲端VM</strong><br /> ●原廠：AWS、Azure、GCP、OCI<br /> ●建議售價：<br /> AWS m7a.medium（1顆vCPU、4 GiB記憶體、EBS儲存）、美國東部（俄亥俄）區域，每小時為0.05796美元<br /> Azure HB176-176rs v4（176顆核心、640 GB記憶體、3600GB暫存空間）、East-US區域，每小時15.296美元——無論是24、48、96、96、144或176顆核心，均為此價格<br /> Azure HX176rs（176顆核心、1300 GB記憶體、3600GB暫存空間）、East-US區域，每小時16.736美元——無論是24、48、96、96、144或176顆核心，均為此價格<br /> Google Cloud c3d-standard-4（4顆vCPU、16 GB記憶體）、Singapore（asia-southeast1）區域，每小時0.224028美元<br /> OCI Standard - E5 每顆OCPU每小時0.015美元，記憶體每GB每小時0.002美元 <br /> ●採用的AWS執行個體服務：M7A、R7A、C7A、HPC7A<br /> ●採用的Azure執行個體服務：HBv4、HX，預覽狀態Dalsv6、Dasv6、Easv6、Falsv6、Fasv6、Famsv6<br /> ●採用的GCP執行個體服務：C3D<br /> ●採用的OCI執行個體服務：E5</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/27 15:31作者李宗翰https://www.ithome.com.tw/review/160203
微軟正在測試藉由Windows Update即可重新安裝Windows的功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.windowslatest.com/2023/12/26/microsofts-game-changer-feature-reinstalls-windows-11-directly-via-windows-update/" target="_blank">《Windows Latest》</a>近日發現，最新的Windows 11 Insider測試版中出現了一項「利用Windows Update解決問題」的新功能，可直接讓使用者重新安裝Windows，並可輕鬆保留所有的設定、程式與檔案。</p> <p>微軟最早是在今年7月藉由Canary頻道釋出的Windows 11 Insider添增了此一功能，讓使用者可下載並安裝作業系統的修復版本，<a href="https://blogs.windows.com/windows-insider/2023/07/12/announcing-windows-11-insider-preview-build-25905/" target="_blank">當時微軟解釋</a>，透過此一操作來重新安裝作業系統，將不會移除任何的檔案、設定或應用程式。</p> <p class="rtecenter"><a href="http://blogs.windows.com/windows-insider/2023/07/12/announcing-windows-11-insider-preview-build-25905/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1227-Windows%2011%20Insider-Recover%20your%20PC%20from%20Windows%20Update.png" style="width: 600px;" /></a></p> <p>不消說，此一功能在許多情況下都非常有用，主要目的是維持裝置的安全與更新，前提是裝置需要在此一程序生效前完成正在進行的更新。</p> <p><a href="https://support.microsoft.com/en-us/windows/reinstall-windows-d8369486-3e33-7d9c-dccc-859e2b022fc7#bkmk_reinstall_windows_10_using_installation_media" target="_blank">微軟原本即提供了許多重新安裝Windows的方式</a>，包括移除所有檔案、設定與程式的乾淨安裝，也可選擇保留檔案或設定，但若要保留所有內容則必須透過安裝媒體來重新安裝Windows，且必須先在SD卡、USB隨身碟或是硬碟上建立安裝媒體。</p> <p>現在微軟則準備讓使用者直接利用Windows Update來重新安裝作業系統，並保留設定、檔案及程式等使用者所建立的內容，不必再執行上述的繁複操作。</p> <p>不過，該功能雖然已出現在Windows 11 Insider的Beta頻道中，目前卻仍無法運作，《Windows Latest》推測此一功能最快會在今年2、3月隨著Windows 11 Moment 5的更新而上線。</p> </div></div></div>
2023/12/27 11:56作者陳曉莉https://www.ithome.com.tw/news/160560
Apple Watch禁售令生效，蘋果提出上訴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於美國總統拒絕否決，美國國際貿易委員會（International Trade Commission，ITC）的禁令於昨（26）日生效，蘋果熱賣商品之一Apple Watch 9、Ultra 2於今日面臨在美停售命運。蘋果也正式提出上訴。</p> <p>10月底ITC發出Apple Watch禁止輸入美國的排除令（Exclusion Order）。美國總統拜登政府於12月25日拒絕否決該禁令，使得ITC禁令於在隔天，即12月26日生效。美國總統授權檢視ITC禁令的貿易代表署（US Trade Representative）最高主管，也是美國貿易代表Katherine Tai做出拒絕推翻ITC禁令的決定。<a href="https://www.politico.com/news/2023/12/26/apple-watch-import-ban-trade-representative-00133184" target="_blank">該署指出</a>，經過審慎諮詢，Tai決定不予否決ITC的判斷，因此ITC早先的決定將在2023年12月26日生效。</p> <p>禁令生效後，蘋果將不得自外國輸入，亦不得出貨具血氧量測功能的Apple Watch。受影響的產品是Apple Watch 9及Ultra 2。功能較基礎的Apple Watch SE則不受影響。目前美國消費者還可在Best Buy、Target買到Apple Watch 9、Ultra 2，賣完為止。</p> <p>ITC禁令源自於2020年醫療裝置業者Masimo控告蘋果透過挖角竊取其血氧量測專利，用於其Apple Watch上。美國法院於今年1月判決蘋果侵權，ITC作為主管機關之一，在10月針對具血氧量測能力的Apple Watch產品發出禁令。受到影響的產品是Apple Watch 9及Ultra 2。<a href="https://www.ithome.com.tw/news/160418" target="_blank">蘋果上周宣布</a>預防性措施，分別於12月21日暫停在Apple.com，12月24日暫停在Apple Store店內銷售Apple Watch 9及Ultra 2。</p> <p>在此之前，蘋果曾經努力了一番，包括蘋果曾聲請延後實施禁令，不過<a href="https://www.ithome.com.tw/news/160457" target="_blank">ITC委員在上周決議</a>拒絕收回成命。美國總統的否決權是最後一線希望，因此貿易代表署拒絕出手，使得蘋果事前行政救濟的努力遭到挫敗。</p> <p><a href="https://www.reuters.com/technology/biden-administration-allows-us-trade-tribunals-ban-apple-watch-imports-2023-12-26/" target="_blank">路透社報導</a>，蘋果已在周二提出上訴。蘋果在聲明稿中表示，公司對USITC的決定及排除令（Exclusion Order）強烈不認同，將採取所有手段使美國消費者得以儘早買到Apple Watch 9及Ultra。蘋果的上訴聲請要求在執行ITC禁令的美國海關及邊境保護局（US Customs and Borders Protection）做出決定前暫緩實施禁令。同時間，為加快動作，蘋果也向華盛頓聯邦巡迴上訴法院聲請緊急命令，以暫停該禁令的實施。</p> <p>有媒體分析，和Masimo和解是最有機會的解法，但蘋果堅稱該公司並未侵權。<a href="https://www.bloomberg.com/news/articles/2023-12-18/apple-plans-rescue-for-17-billion-watch-business-in-face-of-ban" target="_blank">《彭博》</a>報導，蘋果可能想釋出軟體更新變更血氧量測的演算法，來繞過爭議點。Masimo則認為Apple Watch的硬體也涉及專利侵權。</p> </div></div></div>
2023/12/27 10:58作者林妍溱https://www.ithome.com.tw/news/160558
微軟發布Android版專用Copilot App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Bing之外，微軟本周悄悄發布了Android版本的AI助理Microsoft Copilot應用程式。</p> <p>少數使用者<a href="https://twitter.com/techosarusrex/status/1739569672058450165" target="_blank">發現</a>Copilot App昨日<a href="https://play.google.com/store/apps/details?id=com.microsoft.copilot&hl=en_US" target="_blank">在Google Play Store上架</a>。為了品牌統一，微軟於上個月Ignite大會上將Bing Chat改名為Copilot。這也使得微軟Web、Windows及伺服器端及手機平臺的聊天機器人全部都叫Copilot。<a href="https://www.ithome.com.tw/news/158994" target="_blank">Windows 11</a>及<a href="https://www.ithome.com.tw/news/159894" target="_blank">Windows 10</a>版Copilot App分別於9月、11月推出。</p> <p>微軟說明，Copilot是微軟以OpenAI模型包括GPT-4及DALLE-3為基礎開發的聊天助理，可協助用戶提升生產力。它的介面和Bing或是OpenAI ChatGPT相似，而且也提供類似功能，像是回答問題、搜尋、草擬電子郵件、製作精美的圖片。但Copilot提供最新的GPT-4存取，這在ChatGPT是需要付費的。使用者也可以透過滑鈕啟用或關閉GPT-4模型。</p> <p>目前iOS版上的微軟AI聊天助理仍然叫Bing Chat，不過按照品牌統一的策略，媒體推測，iOS版Copilot應該很快就會推出。</p> </div></div></div>
2023/12/27 11:09作者林妍溱https://www.ithome.com.tw/news/160559
博通發信預告將取消現有VMware合作夥伴計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>博通（Broadcom）併購VMware之後，帶來一連串的變化，除了停止提供永久授權版本的買斷制，改為全訂閱制之外，現在<a href="https://www.crn.com/news/virtualization/broadcom-hands-vmware-partners-termination-notice?itc=refresh">外媒CRN更報導</a>，博通進一步宣布，將在2024年2月4日終止VMware經銷商和服務供應商的所有合作夥伴協議，要求原有的合作夥伴必須與博通重新簽約。</p> <p>博通在2022年宣布將以610億美元買下VMware，雖然中間歷經歐盟介入調查，不過博通總算在今年11月23日完成對VMware的收購。而就在完成收購不到一個月，博通便宣布將不再提供永久授權等銷售模式，爾後僅提供訂閱和定期授權，涵蓋VMware Cloud Foundation、vSphere、vSAN、NSX、SRM、HCX、vCloud套件及VMware Aria套件等VMware產品。</p> <p>而就在聖誕假期開始前的周五，不少VMware的合作夥伴，收到了一封標題為VMware Partner Programs Termination Notice的信件，內容告知合作夥伴Broadcom將結束原有的VMware合作夥伴計畫，並啟動一個名為Broadcom Advantage Partner Program的新計畫。該計畫只對受邀請的合作夥伴開放，且根據CRN的報導，博通只向營收在50萬美元以上的經銷合作夥伴開放，營收低於50萬美元的合作夥伴可能將被排除在外。</p> <p>這個變化使得原有VMware的合作夥伴必須要重新申請，才能繼續銷售VMware的產品，目前還不清楚有哪些合作夥伴能夠在2024年2月5日開始銷售VMware產品和授權。而外媒引用不具名的VMware員工提到，大多數合作夥伴的合約會在1月終止，所有合約最慢會在4月終止，只有少數被選中的人才能加入新的計畫，其他合作夥伴都無法再銷售VMware產品。</p> <p>這項消息釋出後，在<a href="https://www.reddit.com/r/vmware/comments/18ppojk/broadcom_hands_vmware_partners_termination_notice/">網路論壇Reddit</a>也引起不少討論，大部分網友表達對這項變動的不滿，有用戶提到他們是較小型的經銷商，支付給VMware的金額雖然不大，但也都已持續數年時間，現在博通僅給短暫數個月的通知期，且只邀請部分合作夥伴參與新計畫，考量到他們與客戶還有VMware Cloud Provider Program（VCPP）多年協議，這將對他們帶來負面衝擊。</p> <p>不過也有網友抱持正面態度看待這項改變，認為新計畫並不會如外媒報導，限制50萬美元營收才能獲得新計畫邀請，還有網友分享，他們每月大約是4萬美元的營收，但也收到計畫邀請通知，因此他認為目標應該不是50萬美元。</p> </div></div></div>
2023/12/27 08:07作者李建興https://www.ithome.com.tw/news/160549
AI生成釣魚信件攻擊比例逐漸上升，研究人員建議以AI對抗AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著生成式人工智慧技術的普及，攻擊者已經將其用於網路釣魚攻擊中，資安公司Abnormal收集由人工智慧所生成的電子郵件並且進行<a href="https://abnormalsecurity.com/blog/2023-ai-generated-email-attacks">分析</a>，資安研究人員認為，攻擊者已經將生成式人工智慧融入到攻擊策略中，而組織也必須以相同的方式反應，運用人工智慧阻擋這些釣魚攻擊。</p> <p>傳統釣魚郵件通常仰賴固定的模板和格式，同時也會使用共同的網域或是連結，整體郵件內容和風格較統一缺乏客製，因此相當容易被安全軟體標記和攔截。但是研究人員指出，攻擊者運用生成式人工智慧，便可以非常快速地創建獨特且具針對性的內容，每封釣魚郵件都可以針對特定的收信人特別設計，不只看起來更真實，而且因為這些郵件不具有共同的惡意指標，因此也就更難被安全解決方案辨識出來。</p> <p>雖然像是ChatGPT等產品都存在限制避免被濫用，但是攻擊者也可以開發攻擊專用的生成式人工智慧模型，研究人員舉例，像是WormGPT便可以製造具說服力的釣魚郵件，而專為網路攻擊所開發的生成式人工智慧工具FraudGPT，也能夠生成欺騙性內容。</p> <p>研究人員分析了生成式人工智慧被濫用於釣魚攻擊的案例，像是攻擊者偽裝成保險業務，透過電子郵件試圖散布惡意軟體。信件中使用看似真實的名稱和電子郵件地址增加可信度，但附件卻是惡意軟體檔案。</p> <p>經過開源軟體Giant Language Model Test Room（GLTR）的偵測，發現郵件文字多數由人工智慧生成，研究人員提到，這個案例是因為信件內容大多使用人工智慧預測高機率單詞，因此大部分人工智慧所產生的內容都可以被辨識出來。</p> <p>另一個釣魚信件案例則是偽裝Netflix信件的釣魚攻擊，攻擊者冒充客服人員，並稱受害者的訂閱即將到期，需要點擊連結續訂。信件內使用線上玩具購物網站Teeela相關網域，以及使用客服平臺Zendesk，讓整封信看起來更可信，進而增加了攻擊的有效性，但同樣整封信大部分內容，也被人工智慧發現可能不是由人類編寫。</p> <p>即便人工智慧使用更為正式的話語，讓信件在判讀上更具挑戰，但是GLTR仍然可以找出由人工智慧生成的部分。只不過研究人員也指出，要100％完全確定信件內容是否由人工智慧創建幾乎不可能。</p> <p>研究人員提到釣魚信件通常從合法的電子郵件供應商發送，且由人工智慧編寫的內容，語法和拼寫錯誤更少，受害者更容易受騙。研究人員認為只有人工智慧可以阻止人工智慧，在攻擊者開始使用人工智慧生成釣魚文件的現在，組織也應該要部署人工智慧解決方案，來偵測傳統安全解決方案所無法發現的攻擊。</p> </div></div></div>
2023/12/27 08:10作者李建興https://www.ithome.com.tw/news/160551
AWS更新Amazon RDS現提供用戶自動化資源配置建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS更新資料庫服務Amazon RDS<a href="https://aws.amazon.com/tw/about-aws/whats-new/2023/12/amazon-rds-enhanced-experience-rds-recommendations/" target="_blank">加入RDS建議功能</a>，透過整合最佳實踐指南、基於閾值的主動效能建議，以及機器學習驅動的效能異常偵測功能，提供用戶一個依據嚴重排序可執行項目的列表。該列表不僅可藉由關鍵字、類別和嚴重程度過濾，也讓用戶能以滑鼠點擊就可應用多個資源配置建議。所有RDS建議都會自動出現在RDS控制臺中，協助用戶提升資料庫管理效率。</p> <p>RDS建議功能藉由分析資料庫執行個體的配置、使用情況和效能資料，針對像是資料庫執行個體、讀取副本、資料庫參數群組等資料庫資源，提供最佳實踐指南。Amazon RDS效能監控工具Performance Insights分析特定的效能指標並自動設定閾值，及時預警可能對資源造成問題的情況。</p> <p>當系統觀察到指標超過這些閾值，便會提出具體的改善建議，以避免未來的資料庫效能出現問題，像是針對PostgreSQL執行個體，當系統偵測到資料庫連接處於閒置狀態，便會提出相對應的建議。</p> <p>此外，DevOps Guru for RDS則會監控資料庫的特定指標偵測異常行為，系統同樣也會根據異常提供相對應的建議，包括建議用戶增加CPU容量，或是對導致資料庫負載的等待事件進行研究。DevOps Guru for RDS也提供基於閾值的主動建議功能。要獲得建議，用戶必須啟用DevOps Guru for RDS功能。</p> <p>建議項目的4種狀態為有效、忽略、待處理和已解決，用戶可以選擇立即套用建議或是忽略，也可以將其安排在下一個維護視窗中執行。對於基於閾值的主動建議和機器學習建議，用戶都需要查看問題原因，接著才能執行建議來解決問題。</p> </div></div></div>
2023/12/27 08:19作者李建興https://www.ithome.com.tw/news/160552
【資安日報】12月26日，有人入侵遊戲開發商Ubisoft並企圖竊取《虹彩六號：圍攻行動》的內部資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年有多起鎖定遊戲公司的攻擊行動，從年初電玩遊戲開發商Riot Games證實遭駭，旗下《英雄聯盟》及防作弊系統的原始碼遭竊，到最近Sony旗下電玩業者Insomniac Games遭勒索軟體Rhysida入侵，偷走處於開發狀態的電玩遊戲《金鋼狼》相關資料，這類資安事故有越來越頻繁的情況。</p> <p>而在本日的資安新聞裡，傳出有人對電玩開發商Ubisoft發動攻擊，該公司在兩天之內察覺有異，並做出處理，使得受害情況得到控制，但攻擊者身分仍不得而知。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/160546"><strong style="font-size: 22px;">遊戲開發商Ubisoft傳出遭網路攻擊，駭客宣稱目標是《虹彩六號：圍攻行動》的內部資料</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GB8gSU0WEAA0N7u.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GB8gSU0WEAA0N7u.jpg" style="width: 300px; float: right;" /></a>資安研究團隊VX-underground指出，12月20日有人入侵電玩公司Ubisoft，該公司的管理者約在48小時後才察覺異狀，註銷相關存取權限，約有900 GB資料外流。</p> <p>駭客究竟如何入侵該公司內部網路環境？目前原因不明，但駭客透露他們企圖透過稽核使用者權限，並耗費大量時間檢視該公司的Teams、Confluence、SharePoint的內容，目的是想要竊取《虹彩六號：圍攻行動》的內部資料，但沒有成功。</p> <p>駭客鎖定電玩產業下手的事件頻傳，最近一起是Sony旗下電玩業者Insomniac Games遭勒索軟體Rhysida入侵，駭客竊得1.6 TB資料，其中有不少與預計2025年發表的電玩遊戲《金鋼狼》有關。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/vxunderground/status/1738093190538760574">https://twitter.com/vxunderground/status/1738093190538760574</a><br /> 2. <a href="https://twitter.com/vxunderground/status/1738144068788494722">https://twitter.com/vxunderground/status/1738144068788494722</a></p> <p><a href="https://news.sophos.com/en-us/2023/12/19/inhospitality-malspam-campaign-targets-hotel-industry/"><strong style="font-size: 22px;">竊資軟體RedLine、Vidar鎖定旅館而來，駭客假借投訴與訂房為由發動攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/image1-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image1-2.png" style="width: 300px; float: right;" /></a>資安業者Sophos揭露在今年4月美國報稅季截止前的網路釣魚攻擊，駭客針對全球的旅館業者而來，這種釣魚郵件內容只有文字，而且會在收信人回覆此類郵件之後，攻擊者才會發送後續的訊息，向收信人「說明」投訴或請求協助的細節。</p> <p>研究人員指出，駭客當時所寄送的釣魚郵件分成兩種類型，其中一種是聲稱在住宿過程遇到嚴重問題，例如：遭遇暴力攻擊、放在房間的貴重物品遭竊，向旅館業者投訴；另一種則是假借有特殊訂房需求的名義，例如：花粉症人士、身障人士、長者等，向業者尋求進一步的訂房協助。這些電子郵件都會帶有URL，指向Google Drive、Mega、Dropbox等雲端檔案共用系統，或是即時通訊軟體Discord代管的ZIP或RAR壓縮檔，聲稱是做為投訴佐證資料，或是房客的醫療資料，而且，這些壓縮檔的共通點是套用密碼保護，不會被防毒軟體視為有害。</p> <p>在其中一起攻擊行動裡，駭客聲稱近期過世的親戚在旅館留下相機，請飯店協助，工作人員回覆後，駭客假裝生氣並以提供相機的照片為由，要求收信人從指定Google Drive連結下載檔案，一旦收信者照做，電腦就有可能被植入竊資軟體Redlin或Vidar，而且，駭客為了迴避偵測，這些竊資軟體的程式大小都超過600 MB。</p> <p><a href="https://www.zscaler.com/blogs/security-research/threat-actors-exploit-cve-2017-11882-deliver-agent-tesla"><strong style="font-size: 22px;">方程式編輯器的老舊漏洞被利用，駭客拿來散布惡意軟體Agent Tesla</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/agent-tesla-figure_2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/agent-tesla-figure_2.png" style="width: 300px; float: right;" /></a>資安業者Zscaler揭露新一波惡意軟體Agent Tesla的攻擊行動，駭客先是假借提供訂單、發票相關的資料為由寄送釣魚郵件，其內容挾帶了含有巨集的Excel檔案（XLAM檔），一旦收信人依照指示開啟，電腦就有可能觸發方程式編輯器漏洞CVE-2017-11882（CVSS風險評分為7.8），後續在無需使用者互動的情況下，於受害電腦部署其他惡意程式元件。</p> <p>駭客先是透過巨集下載惡意JPG檔案，然後利用PowerShell解碼埋藏在上述圖檔裡、以Base64編碼的DLL檔案，然後載入惡意處理程序。值得留意的是，上述DLL元件被注入Windows元件RegAsm.exe的處理程序，從而啟動Agent Tesla。此惡意程式由.NET打造，具備鍵盤側錄及RAT木馬的功能。</p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/12/new-metastealer-malvertising-campaigns"><strong style="font-size: 22px;">竊資軟體MetaStealer透過惡意廣告散布</strong></a></p> <p></p> <p>資安業者Malwarebytes揭露竊資軟體MetaStealer最近一波的攻擊行動，駭客假借提供文字編輯軟體Notepad++，以及遠端登入個人電腦桌面軟體的AnyDesk名義，約從11月中旬開始在Google投放惡意廣告，一旦使用者點選，就會被帶往駭客製作的誘餌網站，若是依照指示下載安裝程式並執行，電腦就會執行PowerShell指令碼，而有可能被植入MetaStealer。</p> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-hackers-target-defense-firms-with-new-falsefont-malware/"><strong style="font-size: 22px;">伊朗駭客APT33鎖定國防產業，散布惡意程式FalseFont</strong></a></p> <p></p> <p>微軟威脅情報團隊提出警告，他們在11月初發現伊朗駭客組織APT33（亦稱Peach Sandstorm）新一波的攻擊行動，對方使用名為FalseFont的後門程式，針對全球的國防工業基地（DIB）相關組織的從業人員發動攻擊。</p> <p>研究人員指出，駭客開發與運用FalseFont的方式，與他們去年看到的幾乎一致，這代表駭客正在持續改良網路間諜攻擊的技術。對此，他們呼籲使用者重設遭到密碼潑灑攻擊的密碼，並採用多因素驗證（MFA）保護帳號、遠端桌面連線（RDP）。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/MsftSecIntel/status/1737895710169628824">https://twitter.com/MsftSecIntel/status/1737895710169628824</a><br /> 2. <a href="https://twitter.com/MsftSecIntel/status/1737895713646739697">https://twitter.com/MsftSecIntel/status/1737895713646739697</a><br /> 3. <a href="https://twitter.com/MsftSecIntel/status/1737895715911700830">https://twitter.com/MsftSecIntel/status/1737895715911700830</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/europol-warns-443-online-shops-infected-with-credit-card-stealers/"><strong style="font-size: 22px;">歐洲刑警組織警告逾400個電商網站遭駭，被植入信用卡側錄程式</strong></a></p> <p></p> <p>歐洲刑警組織（Europol）聯手17國執法單位，以及歐盟網路安全局（ENISA）、資安業者Group-IB、Sansec，針對信用卡側錄攻擊（Card Skimming）進行調查，結果在2個月裡發現443個電商網站被駭客植入相關作案工具，客戶的信用卡或借記卡資料已遭洩露。這起調查行動由希臘主導，屬於歐洲犯罪威脅對抗平臺（EMPACT）的重點項目。</p> <p>參與本次調查行動的Group-IB指出，他們認出的信用卡側錄惡意程式家族多達23種，包含：ATMZOW、health_check、FirstKiss、R3nin等。</p> <p>資料來源</p> <p>1. <a href="https://www.europol.europa.eu/media-press/newsroom/news/action-against-digital-skimming-reveals-443-compromised-online-merchants">https://www.europol.europa.eu/media-press/newsroom/news/action-against-digital-skimming-reveals-443-compromised-online-merchants</a><br /> 2. <a href="https://www.group-ib.com/media-center/press-releases/digital-skimming-action/">https://www.group-ib.com/media-center/press-releases/digital-skimming-action/</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.vpnmentor.com/news/report-realestatewealthnetwork-breach/"><strong><span style="font-size: 20px;">美國房地產教育訓練中心Real Estate Wealth Network資料庫不設防，曝露15億筆資料</span></strong></a></p> <p></p> <p><a href="https://cybernews.com/security/dubai-real-estate-agency-data-leak/"><strong><span style="font-size: 20px;">房地產管理軟體製造商的CRM系統曝露69萬客戶資料</span></strong></a></p> <p></p> <p><a href="https://securelist.com/windows-clfs-exploits-ransomware/111560/"><strong><span style="font-size: 20px;">多個視窗作業系統CLFS漏洞遭勒索軟體駭客利用</span></strong></a></p> <p></p> <p><a href="https://www.fortinet.com/blog/threat-research/bandook-persistent-threat-that-keeps-evolving"><strong><span style="font-size: 20px;">RAT木馬程式Bandook透過密碼保護的壓縮檔案散布</span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/160528"><strong><span style="font-size: 20px;">金融木馬Chameleon出現變種，可繞過生物辨識保護機制</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160527"><strong>【12月25日】駭客集團UAC-0099鎖定烏克蘭組織並利用WinRAR漏洞植入惡意程式LonePage</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160502"><strong>【12月22日】巴勒斯坦駭客對以色列組織聲稱提供F5 BIG-IP「零時差漏洞修補程式」來破壞電腦所有檔案</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160484"><strong>【12月21日】 Sony旗下遊戲開發商遭勒索軟體Rhysida攻擊並導致開發中的遊戲資料外流</strong></a></p> </div></div></div>
2023/12/26 17:08作者周峻佑https://www.ithome.com.tw/news/160548
VMware全面改採訂閱制引爆熱議，NAND Research研究機構取得博通報價剖析新制大衝擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>博通旗下的虛擬化大廠VMware最近宣布調整現有產品的授權和銷售方式，一方面不再提供永久授權版本，全面改以訂閱服務合約模式，來銷售自家產品；另一方面也簡化了既有產品線，改以VMware Cloud Foundation（VCF）和全新的VMware vSphere Foundation （VVF）兩大產品線為核心，不再單獨販售包括伺服器虛擬化vSphere、網路虛擬化NSX和儲存虛擬化vSAN、多雲管理產品套件Aria在內等主力產品。也就是說，企業未來必須先訂閱VCF 或VVF方案，方能加購這些產品功能，無法單獨購買。</p> <p>VMware在12月11日宣布這項新政策，並在當日立即生效。這項新政策的公布，引起各方的討論。尤其不僅在國外，臺灣許多企業也採用VMware的虛擬化方案，因此，對於這項新政策，企業IT未來在成本評估、服務合約轉換時機，以及可能替代方案等方面，都成為未來CIO必須仔細評估的重點。</p> <p>VMware在被博通收購後，大動作調整現有的授權和銷售模式，也引起外界擔憂，對於既有VMware企業用戶的使用權益可能造成影響，甚至在新的綑綁式銷售下，長期來看，可能使得企業用戶的整體IT支出增加。這也是新政策對於企業IT可能帶來的最直接的影響。</p> <p>不過VMware強調，推行訂閱制的優勢，有助於企業實現持續創新、更快創造價值，並使其投資更具可預測性。為了吸引新舊用戶，VMware還宣布VCF訂閱方案降價50％，以鼓勵非訂閱的用戶轉換到新方案。</p> <p>根據VMware提供的<a href="https://news.vmware.com/company/vmware-by-broadcom-business-transformation">簡易網頁QA</a>，現有企業用戶仍然可以繼續使用永久授權軟體，但若希望升級、取得新功能、技術支援，或是進行SNS的續約，就需要轉換為新的訂閱方案。新政策影響VMware產品，涵蓋了VMware Cloud Foundation、vSpherev、vSAN、 NSX、SRM 、HCX、vCloud套件及VMware Aria套件等。</p> <p>不過，截至目前，不論是母公司博通還是VMware針對VCF和VVF方案包含的服務內容，以及新政策下相關價格方案，並沒有提供太多說明。這也使得企業需要等待進一步的公告或詳細資訊，才能夠根據新政策的具體影響和選擇，來謹慎評估其使用需求、預算限制和未來IT策略，來擬定對策。由於目前的資訊揭露並不完整，因此市場上出現了各種傳言。</p> <p>在美國25年科技產業分析經驗的NAND Research首席分析師Steve McDowell拿到了博通在12月20日一份價格資訊後，發佈了一份<a href="https://nandresearch.com/wp-content/uploads/2023/12/NAND-Impact-of-VMware-Subscription-Changes-1.pdf">分析報告</a>。這份報告由Nutanix贊助。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202023-12-26%20%E4%B8%8B%E5%8D%882_51_48.png" style="width: 600px; height: 352px;" /></p> <p><strong style="color: rgb(105, 105, 105);">在美國25年科技產業分析經驗的NAND Research首席分析師Steve McDowell拿到了博通在12月20日的一份價格資訊，發佈了一篇名為《VMware新綑包式銷售與定價對企業IT採購衝擊》的分析報告，公開新訂閱制下的VMware兩大核心產品服務內容和相關價格。該報告是由Nutanix委託執行。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／</span>NAND Research</p> <p>在這份報告中，具體詳列了VCF和VVF這兩大產品線將包含的服務。在新的訂閱方案中，VCF方案將包含vSphere Enterprise Plus版、vSAN (每核心配置1TiB )、NSX網路與HCX及AON、Aria企業版套件、SDDC Manager管理平臺以及提供SRE與相關選擇性支援。至於在VVF方案中，則包含vSphere Enterprise Plus版，VCenter Standard、Tanzu Kubernetes Grid、更大容量的vSAN (每核心配置100 GiB）以及Aria Suite Standard版。</p> <p>此外，企業還可以根據用量需求決定是否加購或增添附加元件(add-ons)，這些元件包括了vSAN容量升級、災難復原即服務解決方案（VCDR）與勒索軟體復原即服務（RWR）和災難復原服務（SRM）、Tanzu智慧化服務、TMC、TAP管理介面與Spring開發框架等，所有元件都可以透過VCF或VVF訂閱方案來加購。但若要購買防火牆或ATP防火牆，只能透過VCF進行加購。</p> <p>值得注意的是，雖然在VCF和VVF兩大產品線以外，VMware還提供了針對中小企業客戶的VSphere Standard和vSphere Essentials Plus版的訂閱方案。但這兩項方案無法獨立加購其他產品功能，必須進行升級至VCF或VVF才能用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202023-12-26%20%E4%B8%8B%E5%8D%882_51_52.png" style="white-space-collapse: preserve; width: 600px; height: 293px;" /></p> <p>在服務費用方面，該報告中提供更詳細的揭露。舉例來說，在VCF訂閱方案中，3年契約的平均牌價每核心價格為350美元，而在相同的年限下，VVF的方案的每核心價格則為135美元。至於VSphere Standard和vSphere Essentials Plus價格為每核心50美元和35美元。</p> <p>此外，企業若要擴充vSAN的容量，可以透過附加元件進行加購，每增加1TiB需要額外支付210美元。對於雲端DR和勒索軟體復原服務，報告指出，每多一個虛擬機防護費用為360美元，而每TiB的防護費用則為842美元。不過，博通另外說會打折。打折後的價格資訊尚未公開。</p> <p>在VMware宣布調整授權和銷售策略後，VMware的競爭對手也開始積極招覽VMware用戶，其中以Nutanix表現最為積極。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202023-12-26%20%E4%B8%8B%E5%8D%882_51_38.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>以每份CPU授權24核心，每核心135美元為例，不考慮折扣方案，Nutanix比較了5年年限永久版本的vSphere Enterprise Plus版加上SnS方案，與新的訂閱制vSphere Foundation方案之間的價差。結果顯示，企業採用5年訂閱制方案的費用，相較於永久授權方案更高，需要多付超過2倍的費用，若每份CPU授權核心數目增加為32核，費用可能增長至3倍。</strong><span style="font-size: 14px;">圖片來源／</span>Nutanix</span></p> <p>特別是針對於企業是否選擇採用訂閱制，相較於以前的永久授權方式更加節省成本，Nutanix在自家部落格<a href="https://www.nutanix.com/blog/vmware-customers-prepare-to-bundle-up">發表文章</a>並進一步提供試算，比較了兩者之間的成本差異。</p> <p>以每份CPU授權24核心，每核心135美元為例，不考慮折扣方案，比較了5年年限永久版本的vSphere Enterprise Plus版加上SnS方案，與新的訂閱制vSphere Foundation方案之間的價差。結果顯示，企業採用5年訂閱制方案的費用，相較於永久授權方案更高，需要多付超過2倍的費用，若每份CPU授權核心數目增加為32核，費用可能增長至3倍。即使是耐用年限縮短到3年，價格漲幅也有約1.5倍之多。</p> <p>除了轉換到VMware訂閱方案之外，企業未來還可以採行其他替代方案。以虛擬化平臺為例，企業可以選擇將VM映像檔轉換到其他商用或開源平臺，目前主流的虛擬化平臺，除了VMware vSphere，還有微軟Hyper-V與開源KVM等。</p> <p>此外，考慮到日後維運和管理的便利性，企業還可以考慮使用公雲作為其替代方案。例如在VMware取消永久授權後，台灣世曦工程顧問公司評估明年優先採用公雲IaaS服務，取代現有地端部署的虛擬機。</p> <p>博通先前收購多家軟體公司後，常有將收購的業務出售的先例。例如，2019年博通收購資安業者賽門鐵克企業安全業務，不久便將其網路安全服務部門轉手賣給IT顧問公司Accenture。</p> <p>上個月，博通以610億美元完成對VMware的收購後，傳出博通正在考慮將VMware的非核心業務出售，這些非核心業務包括桌面虛擬化、應用程式發布和行動裝置管理等終端運算產品組合，以及Carbon Black安全軟體等。此外，有<a href="https://www.crn.com/news/virtualization/broadcom-hands-vmware-partners-termination-notice?itc=refresh">消息</a>指出博通計畫重新調整現有合作夥伴計畫，預計明年2月重新與現有VMware合作夥伴簽署新的合作協議。</p> <p>這一系列的動作也反映出，VMware不只是在授權、銷售模式有重大變革，未來的組織和業務戰略都將出現重大的調整。VMware執行長Raghu Raghuram在這樁併購案完成後隨後也在<a href="https://www.linkedin.com/feed/update/urn:li:activity:7133175065881309185/">個人LinkedIn</a>上宣布辭去該公司執行長一職。目前，VMware尚未公布新任執行長。</p> <p dir="ltr"> </p> </div></div></div>
2023/12/26 17:03作者余至浩https://www.ithome.com.tw/news/160522
導入CDNA3架構、192GB記憶體，AMD新資料中心GPU來了
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/amd_instinct_mi300x_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2021年11月，AMD發表資料中心GPU產品Instinct MI200系列，時隔兩年之後的現在，他們終於推出新一代產品Instinct MI300X，採用CDNA3架構，導入先進的3D封裝與小晶片（chiplet）技術，而能提供更強大的運算效能。</p> <p>相較於上一代產品<a href="https://www.ithome.com.tw/review/147860">MI250X</a>，MI300X的運算單元數量增加幅度逼近40％（304個對上220個），記憶體容量達到1.5倍（192 GB HBM3對上128 GB HBM2e），記憶體最大頻寬為1.7倍（5.3 TB/s對上3.2 TB/s）；在資料型別上，MI300X可支援FP8與稀疏（sparsity）等數學計算，種種新增與強化特色，皆為了支撐AI與高效能運算類型的工作負載而來。</p> <p>在產品的使用上，MI300X本身的外形採用開放運算計畫（OCP）訂定的加速器模組標準（OAM），能讓廠商將其置入既有支援這類外形GPU的伺服器配置當中，可加速這類AI硬體平臺的採用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD MI300-PFM2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300-PFM2.jpg" style="width: 500px;" /></a></p> <h3><span style="color:#0000FF;"><strong>GPU架構重新設計，提供數量略勝一籌與記憶體配置彈性更大的GPU分割方式</strong></span></h3> <p>根據AMD公布的CDNA3架構白皮書指出，此架構重新畫分處理器的運算、記憶體、通訊元件，並且橫跨了異質封裝，MI300X整合8個垂直堆疊的「加速器複合晶粒（XCD）」——採用台積電5奈米製程，以及4個「I/O晶粒（IOD）」——採用台積電6奈米製程，以此涵蓋整個系統基礎架構，所有元件全部連接AMD Infinity Fabric技術當中，可接取8個高頻寬記憶體堆疊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD MI300-CDNA3-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300-CDNA3-1.jpg" style="width: 600px;" /></a></p> <p>AMD表示，以最底層的技術架構來看，GPU核心在存取向量與矩陣資料時的運算吞吐量，可透過原生支援稀疏資料（sparse data）而獲得強化；而從巨觀角度而言，這樣從本質重新思考實作方式，搭配重新設計的快取與記憶體階層，可隨著運算量的增加而溫和地擴展執行規模，同時也整合快取一致性予以優先看待。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD CDNA 3 architecture memory architecture diagram.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20CDNA%203%20architecture%20memory%20architecture%20diagram.jpg" style="width: 600px;" /></a></p> <p>以MI300X為例，這款獨立GPU聚焦加速運算的應用，本身結合8個XCD，對於機器學習處理的運算精度降低資料（reduced precision data），最大可提供3.4到6.8倍的吞吐量，若用於FP8型別的資料，最大可提供2.6 PFLOPS效能，若處理使用單精度與雙精度的典型高效能運算工作負載，吞吐量可增加1.7到3.4倍，單個GPU的FP64矩陣運算效能為163.4 TFLOPS。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-12-07-CDNA 3 diagram_svg.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-12-07-CDNA%203%20diagram_svg.jpg" style="width: 600px;" /></a></p> <p>就CDNA3的運算單元而言，最大的改善是在矩陣核心單元（Matrix Core Unit），著重AI與機器學習的應用——針對頂尖訓練與推論常用的既有資料型別，強化運算吞吐量，其中一個關鍵是使用更緊緻的資料型別，可一併節省記憶體與快取容量資源的使用，改善吞吐量的同時，也降低耗電量，舉例來說，若使用FP16與BF16，可獲得3倍的效能提升，若使用INT8，效能增長幅度達到6.8倍（相較於MI250X）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CU%20of%20the%20AMD%20CDNA%203%20architecture.jpg" style="width: 600px;" /></p> <p>AMD CDNA 3 Matrix Core在資料型別上，新支援最便於使用的TF32，以及透過最小規模提供最大效能的FP8，也支援FP8的兩種變體，一是5位元指數搭配2位元尾數的E5M2，用於AI訓練，一是4位元指數搭配3位元尾數，用於AI推論，兩者都列於OCP訂定的8位元浮點數規格。</p> <p>在CDNA3架構中，與先前世代差異最大的部分在於運算單元外面的記憶體階層，經過重新設計架構之後，可充分運用多個異質小晶片的優勢，促成共同封裝在處理器的小晶片，能有一致的快取使用。</p> <p>AMD認為，這樣的記憶體階層重新設計，真正開放了XCD內部的L2快取共享，而L2快取隨著位於IOD的最末階快取AMD Infinity Cache的加入，有了本質的變化，部分記憶體原生的功能被移除而提升到AMD Infinity Cache來執行——L2快取變成最低階的快取，會由硬體來自動維護一致性，在此同時，記憶體可在運算單元維持更豐富的資源混合，可將它們從一致性流量當中隔離，並且針對連至AMD Infinity Fabric網路的介面進行最佳化處理。</p> <p>值得注意的是，AMD在CDNA3架構當中，也提供將單個GPU分割為多個虛擬GPU的功能，令人聯想到Nvidia的多執行個體GPU（MIG），目前已在Ampere架構與Hopper架構資料中心GPU產品提供（A100、H100最多可設置7個GPU執行個體，A30是4個）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD MI300 series.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300%20series.jpg" style="width: 500px;" /></a></p> <p>由於AMD Instinct MI300X包含8個XCD，這些硬體單元可各自分開、個別運作，形成多個虛擬GPU，最多能設置8塊區域，每一塊對應一個XCD，而且這裡也支援單根I/O虛擬化技術（SR-IOV），提供區分為多個虛擬功能（Virtual Functions，VF）的隔離執行機制，每個虛擬功能不能存取其他虛擬功能、實體功能（PF）的資訊或狀態。</p> <p>MI300X內建的高頻寬記憶體也能根據GPU的分割而區隔，可設置為一大塊或4大塊，也能從GPU分割當中個別設定，AMD稱之為單體NUMA分割（NUMA partitions per socket，NPS），這些記憶體分區數量可等同或小於GPU分割數量。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MI300X Partitioning and Virtualization.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MI300X%20Partitioning%20and%20Virtualization.png" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>標榜運算效能可超越競爭對手的產品</strong></span></h3> <p>在大型語言模型（LLM）的使用上，AMD也特別強調MI300X的表現優於其他競爭產品。根據他們的內部測試，與市面上當紅的Nvidia H100 HGX整合多個資料中心GPU的平臺相比，同樣執行參數多達1,760億個的Bloom模型、使用DeepSpeed執行推論運算時，採用AMD Instinct Platform同樣匯集8個MI300X於一機的伺服器，吞吐量可達到1.6倍。若以單個GPU而言，要用於Llama2這類具有700億個參數大型語言模型的推論，AMD表示，MI300X是市場上唯一有辦法能承擔運算需求的產品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD MI300-PFM1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300-PFM1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD MI300-PFM3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300-PFM3.jpg" style="width: 600px;" /></a></p> <p>基於這樣的配置與性能，他們認為MI300X可簡化企業級大型語言模型的運算系統部署，並且達到更理想的總體擁有成本。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD MI300-Perform1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300-Perform1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AMD MI300-Perform2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300-Perform2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD MI300-Perform3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300-Perform3.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300-Perform4.jpg" style="width: 600px;" /></p> <p>關於有意採用的雲端服務業者方面，微軟在11月中舉行的Ignite年度用戶大會期間，搶先預告將推出採用這款GPU的運算服務ND MI300X v5；到了12月初AMD舉行的Advancing AI發表會，Oracle Cloud Infrastucture預告將會在裸機運算服務當中，推出搭配MI300X的解決方案，將支援該公司發展超級叢集網路OCI Supercluster，當中將配備超快速的RDMA網路技術，並表示他們的生成式AI服務很快就會支援MI300X。社群網站公司Meta也表示，他們將會擴展與AMD的合作，並在自家資料中心將MI300X用於AI推論的工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20ND%20MI300X%20v5%20VM.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20GPU%20in%20Microsoft-2023-11-15.jpg" style="width: 298px;" /></p> <p>在伺服器廠商的部分，Dell、Supermicro、聯想也在這場活動前來站臺表達支持，並預告將推出搭配這款GPU的機型。</p> <p>以Dell為例，旗下的6U、8-GPU伺服器<a href="https://www.ithome.com.tw/review/156425">PowerEdge XE9680</a>，目前可搭配8個Nvidia頂級資料中心GPU（A100或H100），未來將提供搭配AMD Instinct MI300X的組態；</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell-MI300X-2023-12-07-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell-MI300X-2023-12-07-2.jpg" style="width: 600px;" /></a></p> <p>Supermicro將在H13世代的產品當中，推出6U、8-GPU伺服器AS-8125GS-TNMR2，搭配2顆AMD EPYC 9004處理器；</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro2-MI300X-2023-12-07.jpg" style="width: 600px;" /></p> <p>聯想表示，ThinkSystem平臺將會提供8-GPU伺服器，搭配2顆AMD EPYC處理器，預計2024年上半推出。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Lenovo2-MI300X-2023-12-07.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Lenovo2-MI300X-2023-12-07.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>AMD Instinct MI300X</strong><br /> ●原廠：AMD<br /> ●建議售價：廠商未提供<br /> ●外形：OAM<br /> ●晶片製程：微影製程TSMC 5nm FinFET，主動中介層晶粒製程TSMC 6nm FinFET<br /> ●I/O介面：PCIe 5.0 x16<br /> ●GPU架構：AMD CDNA3<br /> ●GPU核心：304個運算單元，19,456個串流處理器，1,216個矩陣核心<br /> ●GPU記憶體：192 GB HBM3<br /> ●記憶體最大頻寬：5.3 TB/s<br /> ●運算效能：FP64向量運算尖峰值為81.7 TFLOPS<br /> ●支援運算API：ROCm<br /> ●Infinity Fabric Links：7個<br /> ●耗電量：750瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/26 18:10作者李宗翰https://www.ithome.com.tw/review/160523
避免馬祖斷訊重演，中華電信以微波作為海纜中斷備援通訊系統強化通訊韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2023年2月，馬祖因與臺灣之間的台馬第二海纜中斷，影響當地通訊服務，僅剩台馬第三海纜維持通訊服務（台馬第一海纜已除役），但不到一周時間，第三海纜也因不明原因斷纜，兩條海纜雙斷，導致馬祖地區網路斷線、手機無法通訊，引起當地民眾抱怨。在NCC關切下，中華電信向國際海纜船申請搶修之外，也緊急以微波作為備援通訊，恢復馬祖地區基本的語音通話、國家安全、關鍵設施通訊服務，但是這起事件也引起外界關心臺灣通訊網路韌性。</p> <p>過去，海纜經常受到地震或颱風影響，或是因為附近航行的貨輪下錨，周邊的海砂船、拖網漁船影響，導致每底的海纜中斷，每當發生類似事件，中華電信需申請國際海纜船維修，但因為臺灣並非聯合國認可國家，或是維修重要性低於其他國際海纜，海纜船維修耗日費時，且需要花費高昂的費用。</p> <p>有鑑於此，2022年中華電信在臺灣與馬祖之間啟動一項通訊備援計畫，將原本用於偏遠山區村落提供寬頻網路服務普及的微波通訊技術，運用在臺灣與馬視建立備援通訊，強化臺灣與離島間的通訊韌性，因此在2022年12月於陽明山的第一微波站，提供臺灣與馬祖之間微波通訊，頻寬達2.2Gbps。</p> <p><span style="color:#B22222;"><strong>不斷擴大微波備援頻寬</strong></span></p> <p>2023年2月台馬第二、第三海纜先後中斷後，他門從中南部調用微波天線支援，在第一微波站擴頻至3.8Gbps，備援率只有42.2%，僅提供馬祖基本的語音通話、國安通訊，雖然提升當地用戶寬頻上網服務，但仍不足以滿足原本的寬頻上網、MOD等需求。</p> <p>他們不斷擴大微波頻寬容量，今年5月在第一微波站啟動L4G微波新建案，頻寬提高至4.4Gbps，到今年9月再以新技術擴頻，提高頻段使用效率，將微波頻寬擴大至6.6Gbps，然而，即使微波頻寬一再增加，仍不及海纜中斷之前馬祖地區用戶流量峰值的10.27Gbps，換言之，僅靠第一微波站擴容，頻寬尚不足以支援馬祖地區原本的流量需求。</p> <p>為此，他們選擇同樣在陽明山另一處現有微波發射站原址，在高架塔上架設微波天線，作為對第二微波站。此外，也根據微波的穿波、反射、吸收等特性選址，綜合海拔高度、無遮蔽可視傳輸路徑等因素，在中部某個山區設置第三微波站，在海拔2,000公尺高度，以水泥灌漿穩固基座建設35米高架，並附掛2組4個微波天線。在第二及第三微波站於2023年12月啟用後，臺灣對馬祖的微波頻寬一舉增至10.6Gbps，備援率達到103.2%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/9600.jpg" style="width: 600px; height: 800px;" /></p> <p>目前台馬海纜雖已完成維修，恢復當地通訊服務，三個微波站、系統作為備援通訊系統，未來若海纜再次發生中斷，能夠緊急以微波提供當地通訊服務。</p> <p>中華電信網路分公司總經理簡志誠表示，建置微波系統的過程相當不易，例如在新建的第三微波站，需由專業的工程人員，配合山上多變的天候施工，架設35米的高架塔，也需吊車吊掛12呎（直徑360公分）的大型天線，將微波天線固定在高架塔，工程師測試調整天線的高度、角度，讓微波發射調整為最佳狀態。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/9700.jpg" style="width: 600px; height: 321px;" /></p> <p><strong>如上圖所示，中華電信固網維運處處長林學彥表示，中華電信針對台馬間微波備援，已建置3個微波站，總頻寬達到10.6Gbps。微波頻寬足以對台馬訊務達到全備援。</strong></p> <p>在第二、第三微波站建立後，微波系統頻寬一舉達到10.6Gbps，換言之，未來馬祖若再因海纜中斷，當地的軍警政消、民生電路、行動及固網寬頻上網、影視服務都可由微波系統來支援，並透過第一、二、三微波店也能分散微波系統，降低微波站集中的風險。因應馬祖地區未來增加的訊務量，中華電信規畫建置第四個微波站。</p> <p>不只馬祖地區，金門、澎湖等離島也需要建置備援的通訊系統，但簡志誠表示，由於微波系統需架設在高處，金門、澎湖缺乏足夠的高山，使微波系統建置上受限。</p> <p>除了微波系統，中華電信近期也取得OneWeb低軌衛星服務在臺灣的獨家代理，將在2024年配合數位部「應變或戰時應用新興科技強化通訊網路數位韌性」計畫，在國內布建700個，以及國外3個LEO衛星終端站點熱點，並且運用衛星通訊的特性，在國內離島、偏遠地區及重要的行動通訊節點等地的行動通訊基地臺，透過衛星鏈路和核心網路建立連線，確保當緊急狀態時，國內通訊仍能正常運作，強化我國的通訊網路韌性。不過，相較於微波，低軌衛星服務頻寬約數百Mbps，頻寬較低，在天災或戰爭等緊急狀態下，當地面通訊網路服務中斷，仍能維持國安、關鍵設施基本通訊，不致完全通訊中斷。</p> </div></div></div>
2023/12/26 18:14作者蘇文彬https://www.ithome.com.tw/news/160550
電玩廠商Ubisoft險遭駭客竊取900GB電玩帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發知名電玩《湯姆克蘭西Tom Clancy》、《極地戰嚎FarCry》及《阿凡達：潘朵拉邊境》的法國電玩開發商Ubisoft上周傳出遭駭，但及時行動避免了被駭客竊取重要的客戶資料。</p> <p><a href="https://twitter.com/vxunderground/status/1738093190538760574" target="_blank">資安業者VX-underground指出</a>，上周一名不知名的駭客存取了Ubisoft的網路，大約48小時後，公司管理員才發現異狀，並及時註銷了存取憑證。這名駭客還告訴VX-underground，他們打算竊取最新電玩《湯姆克蘭西之虹彩六號：圍城Rainbow 6 Siege》的用戶資料及其他資訊900GB。</p> <p>在這次行動中，攻擊者一度成功存取Ubisoft SharePoint、Teams、Confluence及MongoDB Atlas，還透過暗網分享存取這些系統的螢幕擷圖。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1226-ubisoft%20MongoDB%20Atlas-600.png" style="width: 461px;" /></p> <p><a href="https://twitter.com/vxunderground/status/1738144068788494722" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_VX-underground</span></span></a></p> <p>Sony旗下開發電玩《蜘蛛人》的Play Station電玩業者Insomniac Games，<a href="https://www.pcmag.com/news/sony-investigates-alleged-hack-of-spider-man-developer-insomniac-games" target="_blank">二周前才因勒索軟體Rhysida入侵</a>，被駭客於暗網公開1.6TB資料，包括大量簡報檔、圖片、電玩影片及公司業務及HR資料。</p> <p>至於Ubisoft，<a href="https://www.ithome.com.tw/news/150067" target="_blank">這家業者去年</a>還和Nvidia、三星及微軟等知名企業成為青少年駭客集團Lapsus$一連串駭入行動的受害者。</p> </div></div></div>
2023/12/26 12:08作者林妍溱https://www.ithome.com.tw/news/160546
Fedora Asahi Remix釋出正式版，Apple Silicon終於可順跑Linux
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Asahi Linux與Fedora合作，在今年8月初的時候原本預告，於當月底將會釋出第一個支援Apple Silicon的Linux版本，但沒想到用戶一等就等到了年底，現在終於釋出<a href="https://asahilinux.org/fedora/">Fedora Asahi Remix</a>。該版本支援M1和M2系列的MacBook、Mac Mini、Mac Studio和iMac裝置，Mac Pro則還需要再等等。</p> <p>Fedora Asahi Remix提供KDE Plasma以及GNOME桌面環境，預設採用Wayland顯示伺服器協定，開發團隊提到，他們採用最新的桌面和顯示伺服器技術，能夠和Apple的硬體良好整合，供用戶體驗滑順的操作和視覺體驗，就如同使用macOS一樣，不會有任何撕裂感或是故障。</p> <p>KDE Plasma還支援HiDPI，甚至可同時跨多個不同比例的螢幕顯示。隨著接下來的Wayland更新，還將會支援HDR和螢幕瀏海（Notch），而對於需要使用X11較舊的程式，也可透過XWayland獲得全面支援。</p> <p>Fedora Asahi Remix繪圖API採用非標準的OpenGL 3.3，提供GPU加速幾何著色器和Transform Feedback等功能，而官方提到，Fedora Asahi Remix也附帶了第一個也是唯一一個通過Apple Silicon認證的OpenGL ES 3.1實作。OpenGL ES（Embedded Systems）是OpenGL的衍伸版本，專為嵌入式系統和行動裝置設計。</p> <p>Fedora Asahi Remix支援開放圖形標準，並遵循官方和產業標準，還經過相對應的測試套件驗證，確保應用程式、遊戲按預期進行渲染。同時，開發團隊也正著手開發OpenGL 4.x和Vulkan的支援，屆時提供的Apple Silicon繪圖能力，將超越僅仰賴Metal此專有圖形API所能實現的效果。</p> <p>在音效方面，開發團隊開發了Linux生態系中第一個整合數位訊號處理器（DSP）解決方案，因此用戶只需要安裝Fedora Asahi Remix，便可獲得高品質音訊輸出，不需要進行任何設定。同時，開發團隊也與PipeWire和WirePlumber專案合作，實現完全自動且透明的DSP配置。</p> <p>而團隊還開發了專用的Bankstown低音增強技術和開源Smart Amp實作，能夠提供完整的音量和動態範圍，在筆記型電腦上也能夠提供良好的音質，而且也針對DSP處理的調度和功耗進行最佳化，更好地延長電池續航力。</p> </div></div></div>
2023/12/26 08:12作者李建興https://www.ithome.com.tw/news/160531
Android出現可繞過生物辨識保護的銀行木馬Chameleon變種
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Threat Fabric<a href="https://www.threatfabric.com/blogs/android-banking-trojan-chameleon-is-back-in-action">發現</a>變種Android銀行木馬Chameleon的身影，且活動範圍已經從澳洲和波蘭，擴散至英國和義大利用戶。變種Chameleon有兩個重要的新功能，首先是具有繞過裝置生物辨識保護的能力，另外則是可以顯示HTML頁面，因此在具有Android 13受限制設定（Restricted Settings）功能的裝置，也可以啟用輔助功能服務。經強化的變種Chameleon更複雜也更具適應性，對於使用者造成更大的安全威脅。</p> <p>在今年1月，Threat Fabric發現銀行木馬Chameleon能夠偽裝成合法的行動銀行應用程式，透過網路釣魚頁面欺騙使用者。資安研究人員第一次在網路上發現Chameleon的時候，其仍處在開發階段，具有各種日誌記錄器、有限的惡意功能，並有明確但未使用的指令，都暗示木馬的發展方向和潛在能力。</p> <p>Chameleon這類銀行木馬主要針對銀行應用程式和加密貨幣服務，操縱受害者的裝置，以代理功能假冒受害者執行操作，並濫用Android的輔助功能達到帳號接管（Account Takeover）和裝置接管（Device Takeover）的目的。攻擊者採取多種方式發布Chameleon，但主要是透過網路釣魚頁面，將其偽裝成為合法應用程式，並使用合法的CDN發布檔案。過去Chameleon主要是偽裝成澳洲稅務局和波蘭受歡迎的銀行應用程式。</p> <p>而經過幾個月資安人員再次發現Chameleon，已經是改進後的版本，除了繼承先前版本的功能之外，還加入進階功能，Chameleon變種透過惡意軟體Zombinder散布，並且冒充成為Google Chrome應用程式，同時也擴大攻擊區域，擴展至英國和義大利。</p> <p>新的Chameleon變種有一項引人注意的功能，是在收到來自C2伺服器的特定指令時，可以啟動對Android 13裝置的檢查。當Chameleon變種發現自己被安裝在Android 13裝置上，且該裝置對應用程式活動加以限制的時候，便會動態回應顯示HTML頁面，提示用戶啟用輔助服務。而輔助服務對於Chameleon要成功執行裝置接管攻擊是個重要關鍵。</p> <p>此外，Chameleon變種還能中斷裝置生物辨識操作功能，藉由運用KeyguardManager API和AccessibilityEvent，根據圖形、PIN碼或密碼等不同的鎖定機制，評估鎖定螢幕的狀態。當滿足特定條件時，Chameleon可以使用AccessibilityEvent動作，將生物辨識認證轉換成PIN碼認證，如此在繞過生物辨識提示後，Chameleon木馬就能隨意解鎖裝置。</p> <p>雖然攻擊者無法操縱與存取生物辨識資料，但是透過強制回退到標準認證，攻擊者能透過鍵盤紀錄竊取圖形、PIN碼或密碼金鑰，接著就能運用輔助操作，使用先前竊取的PIN碼或密碼解鎖裝置，進而完全繞過生物辨識的保護。</p> <p>Chameleon變種還有任務調度和活動控制功能，除了繞過裝置生物辨識保護和顯示HTML頁面的能力，Chameleon在更新後也加入其他銀行木馬的功能，例如使用AlarmManager API進行任務調度。研究人員提到，雖然任務調度在木馬中很常見，但是Chameleon的特別之處在於其動態調度的能力，能夠有效處理輔助功能和活動。</p> <p>Chameleon變種在發現輔助功能被停用的時候，能夠從輔助模式切換到usagestats模式，並啟動注入行動發起覆蓋攻擊，也就是在受害者的裝置上顯示假冒介面，讓受害者誤以為覆蓋的介面是合法應用程式，欺騙用戶輸入敏感資訊，像是憑證、信用卡等資訊。</p> </div></div></div>
2023/12/25 21:34作者李建興https://www.ithome.com.tw/news/160528
Google開發交通模擬模型助加速大型活動後車輛離場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google研究院與西雅圖交通部合作，<a href="https://blog.research.google/2023/12/simulations-illuminate-path-to-post.html">開發</a>模擬交通引導計畫，並將研究結果實際應用在道路交通上。在2023年8月和11月期間，雙方在多個有數千名參加者的大型活動中進行實驗，採用新的路由政策，並以動態訊息號誌（Dynamic Message Signs，DMS）引導車輛，成功將離開體育場的平均車行時間降低7分鐘。</p> <p>研究人員指出，從體育場撤離人群的問題，從古羅馬競技場建立以來，一直到今天仍尚未找到有效的解決辦法。而解決此一問題的現代方法是採用數位雙生（Digital Twins），這項技術藉由在虛擬環境複製現實交通網路，重建每一個街道和十字路口的布局，甚至是所有車流量的細節，協助專家研究各種交通問題。</p> <p>Google研究團隊新開發針對西雅圖體育場周邊地區的交通模擬模型，藉由使用開源模擬軟體SUMO（Simulation of Urban MObility），盡可能精確地重現特定時間的交通狀況。SUMO的行為模型可以協助研究人員描述交通動態，像是跟車、變換車道和遵守限速等駕駛人做決策的方式。另外，研究團隊還利用Google地圖提供的資料，來定義網路結構和各種路段靜態屬性，諸如車道數、限速和交通號誌等。</p> <p>該模型的一個重要輸入資料是車行需求。為了計算此一需求，研究團隊需要將特定都市區域的道路網路劃分為不同的區域，以這些區域為基礎定義車行需求。所謂的車行需求，指得是在特定時間區間，從一個出發區域（Origin）到目標區域（Destination）的預期車行數量，簡單來說就是特定時間內，有多少車輛要從A地前往B地，並以OD矩陣的形式表示。</p> <p>研究人員透過匯集匿名車行統計資料，獲得出發地區和目標區域之間的預期初始車行數量，結合初始車行需求和路段速度、車行時間和車輛數量等交通統計資料，來校準OD，以確實重現特定事件當時的情境。該模型對西雅圖T-Mobile Park和Lumen Field周邊多個活動進行交通模擬，採用匿名交通統計資料來評估準確性，以理解不同路由政策對該地區壅塞的影響。</p> <p>西雅圖警察局提供了最需要改進的擁擠路線，Google研究人員開發新的路由策略，使用模擬模型對其進行評估。要達到更快疏散交通的目的，新的政策將南北行交通從較近的閘道路口，路由到更遠的高速功路閘道，以縮短等待時間。同時還嘗試向活動交通流量開放高乘載車道（HOV Lane），以便更有效利用道路容量。同時也推薦駕駛人經由替代路線，或是不同車道之間共享負載，以便更快抵達體育場閘道。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEg2TMCOc-7sYPAHOoFvwEcRlAACKZjelEvcYajm7EgoPS4il1TxabdxuOTjNZ81N0bXurNwpq_w9i-U0wupOjHnES3A0uRPwiTO1KpmI1PDffBOZt4rxagHmwra3hweXVtBx3NRPxZ7VSw75NsygwD2ijowkTSUUATiOUhlEAIVJ2W3EmoYKGE1LmPIdHds/s16000/SouthboundSpokane.gif" style="width: 580px;" /></p> <p>研究人員對不同交通條件、活動時間和參加者人數的活動進行建模，並且模擬活動後車輛離開體育場抵達目的區域的時間。藉由計算政策實施前後的車行時間，來衡量每項政策的效益，在考慮可行性後，西雅圖交通部在大型活動期間，使用動態訊息號誌建議駕駛採取替代路線到達目的地，引導30％的車輛行經特定的路線和閘道，最終平均節省7分鐘的車行時間。</p> <p>這項研究的貢獻在於展現模擬技術在交通規畫和政策評估的應用潛力，透過模擬可使交通網路規畫者了解利用率低的路段，並評估不同路由政策的效果，以實現更好的交通空間分布。</p> </div></div></div>
2023/12/25 21:40作者李建興https://www.ithome.com.tw/news/160530
【資安週報】2023年12月18日到12月22日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期又有零時差漏洞攻擊出現，特別的是，Google在發現的一日之後就緊急修補，基本上，這個漏洞CVE-2023-7024是由於WebRTC中的堆積緩衝區溢位造成，而我們也注意到，微軟也在同日修補了Edge瀏覽器上的這項漏洞。由於此漏洞在外部已有遭成功利用的情形，加上WebRTC的影響範圍不小，因此用戶與採用WebRTC的業者都要儘速因應。</p> <p>還有兩個網路設備漏洞，包括：臺廠威聯通（QNAP）網路影像錄影系統VioStor 4.0的漏洞CVE-2023-47565，以及日廠FXC的AE1021/AE1021PE路由器漏洞。這是因為Amakai在11月21日曾透露在近期發現殭屍網路InfectedSlurs的攻擊行動，是利用NVR與路由器的零時差漏洞來散布，到了12月6日與14日終於有了答案，受害裝置包括日本FXC與臺廠威聯通。特別的是，威聯通其實早在2014年就已釋出5.0版修補此一漏洞問題，因此雙方均呼籲尚未修補用戶盡速更新，<a href="https://www.fxc.jp/news/20231206">FXC的路由器則是在12月6日釋出新版修補</a>，本星期的資安日報並未提及，在此補上。</p> <p>另一方面，零時差漏洞修補很重要，但也不應該看到黑影就開槍，需認清消息來源與查證。最近就有這樣的例子，以色列國家網路管理局（INCD）就提出警告，有人假冒F5的名義，以cert@f5[.]support寄送零時差漏洞修補的釣魚信，但該網域就只是取類似名稱的混淆手法，企圖引誘不察的使用者上當，以散布資料破壞程式。</p> <p>在最新威脅態勢方面，關於進入遠端伺服器通常仰賴的SSH連線加密機制，最近有資料傳輸安全問題要注意，有研究團隊揭露針對SSH協定的Terrapin攻擊手法，並指出SSH協定中的3個漏洞（CVE-2023-48795、CVE-2023-46445與CVE-2023-46446），說明遠端攻擊者將得以繞過完整性檢查。</p> <p>另一個要注意的情形，有資安業者指出駭客為了持續規避惡意程式被偵測，濫用合法平臺的意向有所轉變，因為濫用程式碼管理平臺GitHub存放惡意程式的情形顯著增加，不像先前都是利用雲端檔案共享服務Dropbox、Google Drive、Discord等。</p> <p>在資安威脅與事件方面，國際間持續有知名企業組織遇害的消息，受害產業遍及雲端服務、IT、電信及服務業，我們整理如下：<br /> （一）義大利雲端服務業者Westpole遭網路攻擊，不僅<a href="https://www.padigitale.it/wp-content/uploads/2023/12/Comunicato_Stampa_PADigitale_DEF_19122023-1.pdf">波其到他們的客戶PA Digitale</a>，並導致該國公部門及市政府的多項服務癱瘓。<br /> （二）資料庫系統開發商MongoDB遭網路攻擊，部分系統遭未經授權存取。<br /> （三）Sony旗下遊戲開發商Insomniac Games遭勒索軟體Rhysida攻擊<br /> （四）旗下擁有Timberland、North Face等服裝品牌的威富（VF）集團，向美國SEC提交網路攻擊事件8-k表單，說明12月13日發現未經授權存取，關閉部分IT系統，導致營運被迫中斷。<br /> （五）美國電信服務供應商揭露用戶資料外洩，原因是他們未及時修補Citrix Bleed漏洞（CVE-2023-4966），在修補後兩日的安全檢查時，發現內部系統在前幾天遭未經授權存取。<br /> （六）針對勒索軟體Play威脅，美國多個安全機構聯手發布警告，指出已有300多個企業組織受害，並揭露入侵手法與防護建議。</p> <p>此外，金融產業要注意的是，有資安業者揭露駭客今年利用JavaScript指令碼進行網頁注入攻擊的態勢，能源產業同樣要當心，近日伊朗傳出全國有7成加油站遭網路攻擊而服務中斷，被迫手動作業。</p> <p>在臺灣，有兩起資安相關消息，一是金門租車業者金豐租車公告遭網路攻擊，並提醒民眾當心詐騙，另一事件非典型資安事件，金管會針對國泰世華銀行前理財專員涉挪用客戶款項的裁罰中，特別強調該銀行的缺失在於，雖然有報表記錄了理專與客戶在短期間內以相同IP位址及載具登入網銀的狀況，但卻沒有了解IP相同的原因或持續追蹤監控。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/160387"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月18日】新型態惡意軟體NKAbuse濫用區塊鏈進行傳輸資料、接收C2命令的工作，鎖定墨西哥、哥倫比亞、越南而來</span></strong></a></h3> <p style="margin: 0px;">為了讓攻擊源頭難以被找到，駭客無所不用其極改變遠端控制惡意程式的方法，其中最常見的手段，就是濫用各式各樣合法的雲端服務來充當C2伺服器，讓資安系統無法直接依據流量的來源，來識別是否為攻擊行動。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">但最近有人使用更隱匿的手法，他們濫用名為New Kind of Network的區塊鏈網路，藉此傳送檔案及下達命令。</p> <h3><a href="https://www.ithome.com.tw/news/160433"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月19日】金融木馬威脅在2023年爆增，惡意程式家族較去年多出接近一倍，600款行動應用程式用戶成駭客鎖定的目標</span></strong></a></h3> <p style="margin: 0px;">使用手機操作網路銀行或進行線上交易，如今可說是相當普遍，越來越多駭客也受到這股潮流吸引而發動金融木馬程式攻擊，將其偽裝成知名的銀行應用程式、行動支付App、加密貨幣錢包，企圖將使用者帳戶裡的資產提領一空。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">根據資安業者Zimperium的調查，這種惡意軟體的攻擊行動在2023年出現大幅增加的現象，研究人員提及，此類惡意程式現今普遍具備自動轉帳模組（Automated Transfer System，ATS），駭客也很有可能藉由電話客服作為散布的管道（Telephone-Based Attack Delivery，TBAD）。</p> <p><a href="https://www.ithome.com.tw/news/160449"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月20日】FBI破獲勒索軟體BlackCat暗網網站，但駭客一天內奪回並揚言報復，預計攻擊醫院和核電廠</span></strong></a></p> <p style="margin: 0px;">近期歐美國家取締網路犯罪組織的執法行動大有斬獲，例如，1月破壞勒索軟體Hive的基礎設施，8月摧毀70萬臺電腦組成的QBot殭屍網路等，駭客因此元氣大傷、消聲匿跡一段時日。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">12月19日再度傳出美國FBI宣布奪下勒索軟體駭客組織BlackCat網站，但對方在一天內又取回網站，顯然這次執法行動受到阻礙。駭客表示，只要是在獨立國家國協以外的企業組織，都可能是他們的目標。</p> <h3><a href="https://www.ithome.com.tw/news/160484"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月21日】Sony旗下遊戲開發商遭勒索軟體Rhysida攻擊並導致開發中的遊戲資料外流</span></strong></a></h3> <p>與勒索軟體駭客Rhysida有關的攻擊行動不斷發生，這樣的情況先後引起美國衛生與公眾服務部（HHS）、<a href="https://www.cisa.gov/news-events/alerts/2023/11/15/cisa-fbi-and-ms-isac-release-advisory-rhysida-ransomware">網路安全暨基礎設施安全局（CISA）</a>提出警告，這些駭客上週再度犯案而引起關注，原因是受害組織是日本科技大廠Sony旗下的遊戲開發商Insomniac Games。</p> <p>值得留意的是，這起事故並非該集團首度遭到攻擊。今年9月，<a href="https://www.ithome.com.tw/news/159013">有兩組駭客聲稱竊得Sony內部資料</a>；隔月Sony證實遭遇MOVEit Transfer零時差漏洞攻擊，旗下遊戲主機開發商Sony Interactive Entertainment曝露約6,800人個資。</p> <h3><a href="https://www.ithome.com.tw/news/160502"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月22日】巴勒斯坦駭客對以色列組織聲稱提供F5 BIG-IP「零時差漏洞修補程式」來破壞電腦所有檔案</span></strong></a></h3> <p>針對社會大眾的假消息相當氾濫，但現在也有針對IT人員而來的假漏洞資訊，若是未經查證很有可能上當。例如，有人針對WordPress網站的管理者而來，<a href="https://www.ithome.com.tw/news/160247">發送資安公告謊稱網站有特定CVE編號的漏洞</a>，從而對網站部署後門。</p> <p>而類似的手法，現在也被駭客用於對敵對國家企業組織發動攻擊。以色列組織收到聲稱F5 BIG-IP系列應用程式資安產品存在零時差漏洞的傳言，呼籲IT人員儘速套用他們提供的「更新程式」。但實際上，這是攻擊者捏造的消息，被鎖定的組織收到的資訊當中，僅提及要修補零時差漏洞，並未透露細節而形成破綻。</p> <p> </p> </div></div></div>
2023/12/25 18:30作者羅正漢https://www.ithome.com.tw/news/160518
專訪K8s核心App小組主席，揭露K8s未來2年重心要支援GAI運算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2014年Docker問世掀起了雲原生浪潮，隔年，Google就發表了Kubernetes（簡稱K8s）。Google主任工程師Janet Kuo正是在2015那一年加入了K8s團隊，是這個平臺第一代推手之ㄧ，一路參與至今。</p> <p>2015年，Janet剛進入Google要選擇部門時，遇到Kubernetes（簡稱K8s）團隊開始招募人手。K8s創辦人告訴Janet，如果加入這個部門，不只能改變全世界執行雲端運算的方式，讓AP更有效率，自己開發的程式碼，還可以在全世界的機器上執行。</p> <p>聽到這個新專案將有極大的影響力，Janet決定加入。當時K8s團隊約30人規模，分散在矽谷、西雅圖和華沙三個據點。在數萬名員工的Google中，這是一個很小的團隊，沒想到卻打造出了一個影響全世界雲端產業的關鍵平臺。</p> <p>K8s部門下設立了不同的SIG（興趣小組），各自負責開發不同功能的元件，Janet是Application SIG小組的主席和技術領導人。這個小組主要負責維護Workload API，還有開發者部署常用的Deployment元件和Jobs元件等。Janet也曾擔任過KubeCon總召，要負責規畫該年活動所有的演講。</p> <h3><span style="color: rgb(255, 0, 0);"><strong>K8s近10年最大貢獻是成為雲原生技術的共通標準</strong></span></h3> <p>Janet觀察，Kubernetes近十年來最重要的貢獻是，讓任何部署都可以很容易轉移。因為K8s提供了一個一致的標準，不用考慮在哪一朵雲或是在哪一種環境中執行。讓AP從一個環境很容易就可以轉移到任何一個環境。</p> <p>K8s現在可以支援從雲到端各種不同的環境，來提供統一個管理。有一個雲端供應商的SIG，就是想辦法確保K8s對各種環境都是中立，不偏袒任何一家。一方面會有相容測試來確保每一家業者的K8s服務或K8s環境，都能提供主要核心功能。</p> <p>另一方面，K8s專案也會將個別雲端業者維護的程式，移出K8s核心，確保核心沒有一個限定雲端使用的程式，來確保K8s的通用性，不會受限於雲。這是為了讓K8s可以適應各種更複雜的環境。「K8s所有的東西都是開源，想要自己改就能動手。正因為開源，就不會偏袒任何一方，也才確保使用者優先的立場。」Janet指出。</p> <p>隨著越來越多人用，K8s成了業界逼準，也讓企業更容易招募人才，甚至連雲原生Cloud Native這個詞都是在Kubernetes誕生後才出現。現在基於Kubenetes架構上可能多達數百款雲原生工具或技術，涵蓋了打造一隻AP所需要的每一層工具，例如不同服務之間溝通的Server Mesh或是用來打造Serverless服務的工具都有。開發工程師不用熟悉大量細節，就能打造出一隻Serverless應用。「從底層控制，到最上層，都可以用同一個框架。」她補充。</p> <p>有了這樣一套雲原生技術的共通標準，所有AP只要用雲原生方式，就能相互溝通，也能有很好的整合。如此一來，Janet表示，只要使用Kubernetes，所有使用者和開發者，都可以更有效率地部署程式碼，不只可以加速企業開發速度，各種新應用和新技術的發展腳步也可以更快。 </p> <p>「大家都熟悉同一套技術，用來搭建API的工具更可以重複使用，」這正是K8s帶來的另一個重要價值，她解釋：「容易擴充，任何人都可以在這個平臺上打造自己要的API，訂定自己要的維運邏輯。」這個特性也促成K8s周邊的生態圈非常發達，任人很容易就能利用其他人開發的建置工具。 </p> <h3><strong><span style="color:#FF0000;">為何K8s可以成為打造任何平臺的萬用平臺</span></strong></h3> <p>首次來臺在Kubernetes summit開場主題演講時，Janet特別推薦K8s的API工具，這是一用打造客製化API操作叢集的機制，稱為Kubernetes API，很容易就可以快速打造出一支客製化API，與K8s後端叢集互動。「這個工具最重要的意義是，提供了一種標準化的API產生方式，也是一種快速擴充的工具，這是發展生態圈的重要基礎。」她強調。</p> <p>「Kubernetes API改變了人們打造平臺的方式。」Janet指出。她指的平臺，像是維運人員或是SRE所打造的平臺，如企業維運平臺，或是內部開發者平臺，可以讓開發者更快速部署自家AP，不用從頭打造AP運作底層的每一個細節。這類平臺會提供像是應用程式驗證、AP範本、部署樣板等，讓開發團隊參考，也可以預先考慮基礎架構的資安機制來設計等。「在K8s問世前，要打造這類的基礎架構維運平臺非常複雜也相當耗時。」她補充。</p> <p>Janet指出：「Kubernetes能夠成為一個可以打造任何平臺的平臺，關鍵就是透過Kubernetes API來管理自己的AP，也能結合企業政策，更能管理AP背後的基礎架構，建立自動化管理又容易擴充的維運平臺。」</p> <p>原本K8s的核心API約可以滿足8成的常見維運使用，若企業想要增加自己需要的客製化功能，一是向社群提出新功能提案，慢慢等待社群的釋出。另一個作法是用Aggregated API Server來自己開發一隻專屬API，「這個做法很有彈性，但相對複雜許多。」Janet補充。</p> <h3><span style="color:#FF0000;"><strong>K8s客製化API最常用也是最推薦的作法</strong></span></h3> <p>她推薦的是第三種方法，這也是最多人採用的做法，就是是使用CustomResourceDefinition API（簡稱CRD API）來定義一隻Kubernetes API，成為Kubernetes API Server可以管理的延伸API之一。</p> <p>CRD API也是K8s內建API，只要定義好API的資料架構，很快就能建立一隻新的API，更關鍵的是，「這隻客製化API，用起來就像是K8s內建的API，」她補充，如可以支援多版本功能，讓開發者自行選擇要用的版本。透過CRD API產生的API還能與Kubectl整合，直接在命令列中呼叫。更關鍵的是，透過CRD定義的API，容易與K8s生態圈其他的產品整合。許多K8s生態圈的產品，例如無伺服器框架Knative，都是透過CRD來打造產品的API。</p> <p>這個K8s API很適合用於發展開發者平臺，企業需要快速產生各種API來操作他們的AP，只要定義了資源，撰寫出控制器，可以簡化一隻API的開發，甚至可以切換到不同資源的環境中使用。從維運角度來看，透過K8s API可以提供一個標準的API產生框架，開發者平臺若能讓開發人員透過同一套標準化方式和管道，來產生新的API，就更容易打造一個自助式的內部API管理平臺，可以讓維運人員更有效率，也能夠讓AP開發人力更聚焦在商業邏輯。</p> <h3><span style="color:#FF0000;"><strong>K8s發展戰略轉向：從底層調度轉向應用層，GAI優化是新方向</strong></span></h3> <p>Kubernetes的版本發展速度很快，今年底很快就會釋出1.29版。身為K8s核心的Application元件小組技術領導者，Janet透露：「未來最大的發展方向是，如何讓K8s更有效率也更有擴充性。對於新崛起的生成式AI的工作負載。也要思考如何提供更好支援。」</p> <p>追求更好的效率和擴充性，是K8s一直以來的發展目標，但是，提供生成式AI（GAI）更好的支援，則是今年開始的新方向。例如在Janet所領導的Application小組正在規畫，如何調整K8s的Jobs API，讓ML工作量在K8s執行得更順利。</p> <p>「K8s的發展已經從運算資源的調度，開始延伸思考到應用目標，」Janet強調：「這是K8s發展戰略上很大的改變，從底層轉到應用層。」K8s開始針對特定情境的應用，尤其是未來非常重要的應用，例如GAI運算的支援，將是K8s未來2年的重要方向。</p> <p>K8s既有的設計，還沒有考慮到GAI運算任務特性來優化。例如AI/ML運算任務之間需要傳遞參數資料，K8s有一個可用於一次性處理或批次平行處理任務的Jobs功能，採取了無態式處理的設計，「不同Jobs之間無法傳遞狀態，就不適合用來處理AI/ML運算。」Janet坦言，開發者通常得自己得花額外力氣，自己處理這個問題。</p> <p>雖然開發者可以在K8s平臺之外自行傳遞Jobs的狀態，「若能在K8s底層，提供這類Jobs間的狀態傳遞能力，K8s就能更容易支援AI/ML工作流程，或是支援不斷迭代的AI訓練方式。」</p> <p>Janet提出另一個支援AI/ML運算的K8s優化方向是，考慮增加Jobs底層的Log機制，讓K8s維運人員更容易搜集這些Jobs的執行數據來優化效能，可以用來支援特別講究效能的AI任務。「K8s希望讓AI工作量更有效率地在K8s上執行，也想讓Jobs API支援各種AI工作量的需求。」</p> <p>不過，Janet坦言，K8s核心不會引進生成式AI技術，但是，她認為，GAI可以協助來產生更有效率的k8s配置等，也很適合用於學習K8s。例如可以自動生成YAML配置檔的維運AI助手，成為K8s學習助理，或是用AI來推薦K8s工具。「不少人抱怨K8s太難學了，我希望GAI可以降低K8s的上手門檻。」未來甚至使用者只要說，幫我建置什麼樣的Ap，在哪裡執行，GAI就可以自動產生相關的配置，甚至自動建立相關的叢集。 </p> <p>2015年，Janet這位第一代K8s團隊推手剛加入時，最苦惱的是當年沒有人想用，她的團隊花了一年到處說服和尋找使用案例。直到2016年，Pokemon GO遊戲爆紅，上市兩個月下載量超過5億次。</p> <p>雖然直到2023年，不論Google或是Niantic，都沒有透露Pokemon Go到底用了多少伺服器來撐住爆量玩家的連線和運算需求，只透露比原本預期的最大流量，還暴增了50倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/pokemon-go-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Google.png" /></p> <p>但在Pokemon Go正式上線的同一天（2016年7月6日），Kubernetes發布了1.3版，單一容器叢集可以支援到2千個節點，最多可支援6萬個Pod叢集，相當於最大可以提供到1.2億個容器。</p> <p>Janet沒有透露更多細節只說，這個遊戲完全在K8s上執行，他們是第一個案例，也是有史以來的最大規模的K8s叢集。好不容易才說服他們願意公開，讓Google對外宣傳。大家才知道，原來Kubernets可以處理到這麼龐大的流量，而且是來自全球使用者。</p> <p>當時才數十人規模的K8s團隊全都派去支援Niantic，連Janet也不例外。「對外公開那一刻，我覺得參與K8s的打造，真的是太好了，那是我最有成就感的一刻。」文王宏仁</p> <p> </p> </div></div></div>
2023/12/25 18:38作者王宏仁https://www.ithome.com.tw/news/160529
Fintech周報第226期：歐洲純網銀bunq推出生成式AI助理，能統整存戶消費模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">2023/12/18~12/24金融科技精選新聞</span></span></h3> <p><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 純網銀 </span></strong></span></p> <h3>歐洲純網銀bunq推出生成式AI助理，能統整存戶消費模式</h3> <p>歐洲第二大純網銀bunq近期推出生成式AI助理Finn，一個建置於App中的Chatbot，能回答帳戶使用者的消費問題。使用者可以詢問助理自己在特定種類的消費額，例如每個月平均在食物和日用品的花費，甚至是彙整使用者在特定平臺的消費額，如一年在亞馬遜的消費總額。</p> <p>這個助理也能根據交易地點、時間回應問題，例如，回應使用者上周去過的地點，或是回應使用者過去在某個地點的消費額。不過，Finn僅能回應消費相關問題，不會提供投資建議。目前，這個助理正在測試階段，使用者需要開戶才能參與試用。bunq表示，目前他們在歐盟地區的用戶數量已達1100萬。</p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融檢查</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端資安 </span></strong></span></h1> <h3>金管會發布113年金檢重點，首度明列雲端資安和虛擬資產平臺業者</h3> <p>因應今年八月金管會發布的新版上雲規範，金檢局今日公布113年金檢重點，不僅將資安列為重點關注項目，也將雲端業者資安納入其中。檢查局在各業別檢查項目中新增跨境委外的定期查核，例如金融機構針對雲端業者的資安和風險管控措施。</p> <p>除了雲端委外項目，金管會今年甫納管的虛擬資產平臺及交易業務事業(VASP)，也被列為明年重點金檢關注項目。金管會檢查局主要針對業者的防制洗錢、打擊資恐及反武器擴散的落實情形進行金檢。</p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 澳洲央行</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 核心系統現代化 </span></strong></span></h1> <h3>澳洲央行明年將加強跨行資金移轉及公債交割系統，更要展開核心系統現代化計畫</h3> <p>澳洲央行近期發布一項<a href="https://www.tenders.gov.au/Atm/Show/94f2cf9d-5c72-4766-889c-3eb783eef463">招標案</a>，揭露了明年的兩項重大IT計畫。一項是核心系統現代化，一項是加強跨行資金移轉及公債交割系統（the Reserve Bank Information and Transfer System,RITS）。去年10月，澳洲央行的系統當機，全國長達五小時無法進行快速交割服務，以及小額結算和交割服務。澳洲央行當時表示，當機主因是管理虛擬伺服器的軟體在更新時發生故障，進而讓RITS系統無法傳送或接收特定檔案，也影響結算通知傳送。</p> <p>因應這項缺失，澳洲央行今年強調要加強支付系統的基礎設施，更在今年1月開始對即時總額清算系統的營運環境進行全面審查。審查結果的建議中包括，以自動化流程提升系統管理的效率、加強風險管理框架，和建立反饋機制等。</p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英國開放銀行</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VRP </span></strong></span></h1> <h3>英國公布開放銀行新進展，非自動轉帳的可變定期支付功能將在明年第三季起分階段上路</h3> <p>目前，英國有九間銀行實施「可變定期支付」（Variable Recurring Payments）開放銀行API，讓消費者能在銀行提供的平臺連接自己的銀行帳戶，定期自動付款，例如，支付信用卡費或訂閱服務。雖然過往消費者也能在銀行App上對自己的帳戶直接扣款，但無法在一個頁面中管理所有定期支付的服務，開放VRP <span style="color: rgb(0, 0, 0);">API</span>後，消費者能管理自己同意向哪些機構定期付款，和限制每個服務的付款權限。</p> <p>近期，英國金融監管機構宣布將進一步發展「非自動轉帳VRP」（non-sweeping Variable Recurring Payments）功能，讓民眾能藉由銀行App管理更多金額不定的經常性開銷，且能與非個人或企業帳戶進行轉帳，例如，向政府繳交水電費和稅金。第一階段確定在明年第三季實施，將開放對公共事業、金融機構，和對地方、中央政府的支付功能。</p> <h1 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 香港金管局</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數據共享 </span></strong></span></h1> <h3>香港金管局宣布展開銀行間帳戶數據共享先導計畫</h3> <p>香港金管局近期宣布展開「銀行同業帳戶數據共享」（IADS）先導計劃，在顧客授權的情況下，銀行間可以彼此共享顧客帳戶數據。這項計畫將於明年1月1日開展，共有28家銀行參與，可以共享涵蓋個人、企業的存款帳戶資訊，包括帳戶狀態、結餘和交易資訊。金管局預計銀行業將逐步開發創新服務，例如，簡話信貸申請流程、帳戶資訊總覽，和以數據驅動的客製服務。</p> <h1 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位證券沙盒</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 分散式帳本技術 </span></strong></span></h1> <h3>英國將實施數位證券沙盒，讓業者驗證以分散式帳本技術作為金融基礎設施的可行性</h3> <p>英國在今年六月正式通過《金融服務與市場法》，正式納管加密貨幣。為了讓數位資產技術被金融市場採用，近期，英國金融監管機構確立了數位證券沙盒的實施方法<span style="color:#000000;">，讓參與者能在現行法規尚未完善的情況下，將數位資產技術合法化，例如分散式帳本技術。不過，沙盒測試期間也會有一定的限制，例如，在入沙盒前期，可能會設定交易和結算總額上限，隨著參與者證明其穩定性再逐步解決限制。</span></p> <p><span style="color: rgb(0, 0, 0);">數位證券沙盒</span><span style="color: rgb(0, 0, 0);">開放現有金融市場基礎設施供應商、有意願發展數位資產技術的傳統金融機構，和科技新創業者參與，目前，英國政府共收到19件有意參與首次沙盒測試的申請書，遞件業者包括金融機構和科技新創。根據英國金融監管機構先前發布的諮詢結果，幾乎全數業者都同意數位證券沙盒為期五年的測試期。</span></p> <p></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">責任編輯／李昀璇</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／bunq</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2023年12月</p> </div></div></div>
2023/12/25 14:00作者李昀璇https://www.ithome.com.tw/news/160521
【資安日報】12月25日，駭客集團UAC-0099鎖定烏克蘭組織並利用WinRAR漏洞植入惡意程式LonePage
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客近期利用WinRAR漏洞CVE-2023-38831的情況，有越來越頻繁的趨勢，而且有不少是國家級駭客組織從事相關攻擊。攻擊者利用該漏洞最重要的原因之一，就是此壓縮軟體並未內建自動更新機制，使用者若不手動升級新版軟體，就會持續曝露在這項漏洞當中，而使得對方有機會成功利用。</p> <p>最近有研究人員針對駭客組織UAC-0099的攻擊行動進行調查，結果發現，這些駭客散布惡意軟體的管道，其中一種就是這項WinRAR漏洞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.deepinstinct.com/blog/threat-actor-uac-0099-continues-to-target-ukraine"><strong style="font-size: 22px;">烏克蘭組織遭到駭客集團UAC-0099鎖定，利用WinRAR漏洞植入惡意程式LonePage</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-Attack-flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-Attack-flow.png" style="width: 300px; float: right;" /></a>月烏克蘭電腦緊急應變小組（CERT-UA）對駭客組織UAC-0099的網路釣魚提出警告，透露對方使用的工具之後，資安業者Deep Instinct進一步調查並公布細節，他們指出駭客的主要目標是境外公司的烏克蘭員工，最終是在受害電腦植入惡意程式LonePage。</p> <p>對方在攻擊行動中可能會利用法院傳票的名義，向收信人寄送釣魚郵件，其中一種郵件挾帶WinRAR自解壓縮檔，收信人若是依照指示執行，就有可能觸發偽裝成DOCX文件檔案的捷徑檔（LNK），然後執行帶有惡意內容的PowerShell程式碼，該程式碼對2個以Base64編碼的大型雙位元物件（BLOB）進行解碼，並將輸出結果寫入特定的VBS及DOCX檔案，接著此程式碼會開啟DOCX檔案當作誘餌，並建立排程工作：每隔3分鐘啟動VBS惡意程式LonePage。此惡意程式向C2伺服器發出請求，並下載鍵盤記錄程式、竊資軟體和螢幕截圖工具，以便在受害電腦進一步發動攻擊。</p> <p>值得留意的是，這些駭客散布LonePage的管道很多，也包含利用HTML應用程式檔案（HTA）、ZIP壓縮檔做為釣魚信附件的情況。其中，若是收信人使用WinRAR打開ZIP檔附件，就會觸發該壓縮軟體的漏洞CVE-2023-38831（CVSS風險評分為7.8）。</p> <p><a href="https://www.seqrite.com/blog/operation-rusticweb-targets-indian-govt-from-rust-based-malware-to-web-service-exfiltration/"><strong style="font-size: 22px;">印度政府機關遭Rust惡意程式鎖定，駭客對其進行Operation RusticWeb攻擊行動</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Operation-RusticWeb-fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Operation-RusticWeb-fig1.png" style="width: 300px; float: right;" /></a>資安業者Seqrite揭露針對印度政府人員的網路釣魚攻擊行動Operation RusticWeb，駭客約從今年10月開始，假借多個單位的名義等名義來從事攻擊，被冒用的單位包括：印度行政服務（IAS）、陸軍福利教育委員會（AWES）、人權組織Kailash Satyarthi兒童基金會、國防部。</p> <p>駭客先是傳送ZIP壓縮檔，內含偽裝成PDF文件的捷徑（LNK）檔案，使用者一旦開啟，電腦就會執行PowerShell從特定網域下載、執行PS1指令碼，從而導致電腦被植入Rust打造的竊資軟體。此惡意程式可讓駭客竊取檔案、收集系統資訊及IP位址等資訊，但無法竊取瀏覽器、即時通訊軟體、加密貨幣錢包的個資。</p> <p>12月研究人員又看到另一種攻擊手段，那就是透過帶有惡意VBA巨集的釣魚文件檔案，執行經過加密處理的PowerShell指令碼，最終於受害電腦部署竊資軟體，但駭客這次罕見地替惡意程式加上數位簽章，聲稱提供的是思科VPN系統的用戶端程式元件AnyConnect Web Helper。而對於攻擊者的身分，研究人員認為，這些駭客與巴基斯坦駭客組織Transparent Tribe（APT36）、SideCopy有關。</p> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/battleroyal-darkgate-cluster-spreads-email-and-fake-browser-updates"><strong style="font-size: 22px;">美國、加拿大遭到鎖定，駭客組織BattleRoyal對其散布惡意程式DarkGate</strong></a></p> <p></p> <p>資安業者Proofpoint揭露名為BattleRoyal的駭客組織攻擊行動，從9月至11月之間，這個團體對美國及加拿大的企業組織發起超過20次社交工程攻擊，企圖散布惡意軟體DarkGate。</p> <p>此攻擊引起研究人員注意的原因，在於對方在過程當中使用兩種以上的流量交付系統（Traffic Delivery System，TDS），其中駭客最常使用的是404網頁，以及名為Keitaro的TDS。攻擊者通常會寄送帶有特定URL檔案的電子郵件，一旦收信人點選，就有可能先後被導向上述兩種TDS系統，電腦便會被重新導向新的URL下載VBS指令碼，並執行Shell命令下載AutoIT指令碼檔案（AU3），最終導致受害電腦被植入DarkGate。研究人員指出，駭客使用的URL捷徑檔案當中，利用Windows SmartScreen防護機制（MoTW）漏洞CVE-2023-36025，而且，駭客在微軟發布修補程式之前就已經開始利用這項漏洞。</p> <p>而這些駭客後來也假借瀏覽器更新的名義，向使用者散布DarkGate，但在11月底至12月初，他們改以NetSupport取代DarkGate，但前後行動的共通點在於，他們都企圖引誘使用者執行URL檔案。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Picture1_49.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture1_49.png" style="width: 580px;" /></a></p> <p><a href="https://blog.sucuri.net/2023/12/magecart-wordpress-plugin-injects-malicious-user-credit-card-skimmer.html"><strong style="font-size: 22px;">惡意WordPress外掛程式鎖定電商網站而來，目標是發動Magecart信用卡側錄攻擊</strong></a></p> <p></p> <p>資安業者Sucuri揭露針對WordPress電商網站的Magecart攻擊行動，駭客尋找網站外掛程式的漏洞，目的是部署名為WordPress Cache Addons的惡意外掛程式，將其植入mu-plugins資料夾，以便在WordPress主控臺將其隱藏，網站管理員只能透過FTP檔案傳輸程式或是特定的外掛程式（如Advanced File Manager），才有機會將其清除。</p> <p>這個惡意外掛程式有哪些作用？可透過假結帳網頁，竊取客戶的信用卡資料，特別的是，這個假網頁還能顯示信用卡發卡機構，意圖降低使用者的警覺。此外，駭客為了能夠持續控制受害網站，他們也建立了管理員帳號，但這個帳號無法在WordPress主控臺看到。</p> <p><a href="https://www.threatfabric.com/blogs/android-banking-trojan-chameleon-is-back-in-action"><strong style="font-size: 22px;">安卓金融木馬Chameleon停用指紋辨識功能，並竊取PIN碼來接管手機</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/image-png-Dec-13-2023-09-01-56-4869-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-png-Dec-13-2023-09-01-56-4869-PM.png" style="width: 300px; float: right;" /></a>資安業者ThreatFabric針對今年1月出現的安卓金融木馬Chameleon進行追蹤，結果發現近期駭客使用了新的手法，攻擊範圍也從澳洲、波蘭，延伸到英國及義大利。</p> <p>研究人員指出，新版Chameleon主要透過名為Zombinder的工具散布，駭客大多假借提供Chrome應用程式的名義來發動攻擊，值得留意的是，此金融木馬針對新版安卓的防護機制加入罕見功能，其中一種是偵測到目標裝置執行Android 13以上的作業系統，C2就會對該惡意程式下達命令，顯示HTML網頁並要求使用者啟用無障礙輔助服務（Accessibility Service），若是使用者依照指示批准使用，裝置就有可能遭到挾持（Device Takeover，DTO），從而繞過Google在新版作業系統加入的防濫用機制。</p> <p>另一種則是突破生物辨識的功能，駭客先是偵測裝置螢幕、鍵盤防護狀態，然後在特定條件下將生物辨識切換成PIN碼驗證，從而讓該木馬程式能隨意解除鎖定。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/160520"><strong style="font-size: 22px;">Chrome將會於背景自動偵測外洩密碼、可疑擴充程式</strong></a></p> <p></p> <p>12月21日Google宣布<a href="https://blog.google/products/chrome/google-chrome-december-2023-update/">將為Chrome提供新的安全功能</a>，其中電腦版的<a href="https://blog.google/products/chrome/5-tips-to-stay-safer-online-with-chrome/#:~:text=2.%20A%20more%20proactive%20Safety%20Check">Safety Check模組</a>將會在背景自動執行，偵測使用者密碼是否出現外洩的情況，或是瀏覽器安裝的擴充套件是否含有潛在威脅，若是察覺異狀，將會在瀏覽器功能選單顯示通知。</p> <p>此外，若是某些網站長時間沒有存取，此功能模組也會自動撤銷相關的網站權限，假如不常存取的網站發送大量通知，也會建議用戶停用。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/europol-warns-443-online-shops-infected-with-credit-card-stealers/"><strong><span style="font-size: 20px;">歐洲刑警組織警告逾400個電商網站遭駭，被植入信用卡側錄程式</span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/ubisoft-says-its-investigating-reports-of-a-new-security-breach/"><strong><span style="font-size: 20px;">遊戲開發商Ubisoft傳出遭網路攻擊，駭客宣稱目標是《虹彩六號：圍攻行動》的內部資料</span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/nissan-australia-cyberattack-claimed-by-akira-ransomware-gang/"><strong><span style="font-size: 20px;">勒索軟體Akira聲稱攻擊Nissan澳洲分公司，竊得100 GB內部資料</span></strong></a></p> <p></p> <p><a href="https://www.netskope.com/blog/a-look-at-the-nim-based-campaign-using-microsoft-word-docs-to-impersonate-the-nepali-government"><strong><span style="font-size: 20px;">駭客利用Word檔案作為誘餌，散布Nim惡意程式</span></strong></a></p> <p></p> <p><a href="https://www.zscaler.com/blogs/security-research/threat-actors-exploit-cve-2017-11882-deliver-agent-tesla"><strong><span style="font-size: 20px;">老舊方程式編輯器漏洞再被利用，駭客拿來散布竊資軟體Agent Tesla</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160502"><strong>【12月22日】巴勒斯坦駭客對以色列組織聲稱提供F5 BIG-IP「零時差漏洞修補程式」來破壞電腦所有檔案</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160484"><strong>【12月21日】 Sony旗下遊戲開發商遭勒索軟體Rhysida攻擊並導致開發中的遊戲資料外流</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160449"><strong>【12月20日】 FBI破獲勒索軟體BlackCat暗網網站，但駭客一天內奪回並揚言報復，預計攻擊醫院和核電廠</strong></a></p> </div></div></div>
2023/12/25 17:10作者周峻佑https://www.ithome.com.tw/news/160527
設計類電商Pinkoi發表AI模型，能自動化調整RMN投廣及個人化推薦非規格化商品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>設計類垂直電商Pinkoi發表自建AI模型「生活風格智慧模型」。這個模型由625萬會員的72億筆行為數據、5.2萬設計品牌數據，以及110萬商品數據等資料訓練而成，可以進行個人化推薦、自動化RMN行銷方案規畫，以及呈現個人化商家商城頁面等功能。</p> <p>Pinkoi表示，生活風格智慧模型是一個多功能模型，應用了自然語言處理（NLP）、電腦視覺（CV）、圖學模型（Graphical model）、深度學習（Deep learning）等技術，能從不同模態的數據中提取多維度洞察、為商品及消費者貼標、分類標籤，並用這些標籤來執行多種推薦功能，甚至排列組合商城頁面的設計元素。</p> <p>Pinkoi技術長李讓說明了生活風格智慧模型的由來。早在2015年，他們就想利用AI來進行商城個人化推薦。「我們試過規則式推薦法，以及外部開源推薦模型，成效都不好。」他推測，Pinkoi作為設計類垂直電商，與一般電商有幾個關鍵差別，導致較通用的既有解決方案不適用。例如，站上商品多為非規格品，商品元數據格式和內容比較特別，不只如此，消費者購買設計類商品的動機和行為模式也有別於一般消費性商品。</p> <p>沒有現成解方，Pinkoi只好自己從頭做。他們從建立訓練資料集開始，慢慢為數十萬件非規格商品建立元數據及屬性貼標，再用這些數據來訓練AI推薦模型，並逐步改善模型推薦成效，也新增了更多功能模組。</p> <p>隨著模型版本迭代，這個模型不再只有推薦功能，還可以為商品、消費者行為、消費者人際關係，以及商家過往表現來貼標、分類，再用這些標籤來強化自身推薦功能。李讓表示，現在至少有8成商品標籤都是由AI自動貼上。即使商品本身一個標籤都沒有，此模型也能利用CV及NLP等技術，根據商品外觀來貼上不同維度、不同語言的標籤。</p> <p>此模型替消費者貼標時，則會綜合商品標籤、消費者站上行為及消費輪廓類似的KOC（Key Opinion Consumer，關鍵意見消費者）購物行為來貼標。負責RMN的Pinkoi SaaS產品負責人李少昱補充，傳統Lookalike（類似受眾）分眾方法，大多只會用年齡層、性別、偏好商品類別等較表面的標籤來分析消費者。Pinkoi則會分析更細緻的站上行為，例如常常於不同頁面來回切換等購物習慣。</p> <p>生活風格智慧模型今年最大里程碑是，模型分類能力更強，讓Pinkoi工程師更容易提取不同標籤分類，來開發出不同類型的推薦功能。</p> <p><strong>用消費者長期購物人格標籤強化商品推薦</strong></p> <p>最主要也最基本的推薦功能是個人化商品推薦，主要根據商品貼標及消費者貼標，來決定消費者瀏覽商城時看到的商品及RMN廣告。</p> <p>今年，生活風格智慧模型有能力將消費者標籤進一步區分為長期「購物人格」和短期「即時動機」2大類標籤，進一步強化了推薦能力。購物人格是由價值主張、興趣、地域性文化、風格等4大分類標籤組成，即時動機則包含聖誕節送禮、婚禮布置等透露短期消費目的標籤。</p> <p>李讓說明，有了長期購物人格標籤，可以使推薦結果更個人化，做到兩個人進行一模一樣的操作（展現即時動機），仍會分別收到不同商品推薦。甚至，Pinkoi不必被動等待消費者表明本次造訪網站的動機，就可以主動推薦合適商品和品牌給消費者──他們今年利用這個能力，推出了主動推播型RMN廣告格式。</p> <p>Pinkoi表示，將長期購物人格標籤投入個人化推薦方法至今，消費者商品點擊率、瀏覽頁面數，以及網站瀏覽時間，分別提升了50%、22%、25%。</p> <p><strong>用品牌表現標籤強化RMN廣告投放參數推薦功能</strong></p> <p>利用生活風格智慧模型更細緻的品牌貼標能力，今年Pinkoi上線了RMN自動化投廣參數設定功能。此模型會根據品牌過往數據及相似品牌數據標籤，來推論品牌行銷需求，並自動設定廣告出價、行銷受眾、廣告成效指標等廣告投放參數。廣告主只要花費30秒輸入行銷預算跟促銷商品，再確認AI推薦參數，即能完成廣告設定。廣告投放期間，系統還會根據表現每天微調行銷策略。</p> <p><strong>用品牌及消費者標籤做到品牌商城頁面元素排列</strong></p> <p>今年11月，他們上線了品牌個人化版面服務。根據品牌及造訪消費者標籤，生活風格智慧模型會重新排列品牌商城頁面的元素，為不同消費者呈現出不同商城樣貌。Pinkoi表示，此功能最多可以排列組合出上萬種商城版面。</p> <p>除了使用生活風格智慧模型來進行貼標和推薦，Pinkoi也於網站中導入其他AI應用，包括串接LLM來協助商家翻譯商品規格描述，以及即時翻譯客服對話等。</p> <p> </p> </div></div></div>
2023/12/25 17:18作者郭又華https://www.ithome.com.tw/news/160485
AWS明年2月底自動對MySQL 5.7與PostgreSQL 11資料庫，啟用RDS延伸支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS<a href="https://aws.amazon.com/tw/blogs/aws/your-mysql-5-7-and-postgresql-11-databases-will-be-automatically-enrolled-into-amazon-rds-extended-support/">宣布</a>從2024年2月29日開始，Amazon Aurora和Amazon RDS上的MySQL 5.7和PostgreSQL 11資料庫，將自動註冊加入Amazon RDS延伸支援。官方提到，這能夠避免資料庫在自動升級至主要版本時，發生意外停機和相容性問題，讓用戶能夠更好地控制資料庫升級的時機。</p> <p>資料庫版本在生命周期結束之前，MySQL和PostgreSQL的開源社群會管理各自引擎的更新，每一季都會發布一個次要版本，修補安全漏洞和臭蟲，直到主要版本達到社群生命周期結束，之後社群便不再提供修補程式。</p> <p>Amazon RDS延伸支援是AWS在今年9月推出的功能，當Amazon Aurora或Amazon RDS上的關聯式資料庫服務在標準支援結束之後，用戶可以透過支付費用，繼續使用資料庫主要引擎版本。AWS將接手修補重要錯誤、漏洞和CVE，在最多3年期間向用戶發布修補程式，對社群生命周期結束的資料庫提供支援。</p> <p>當應用程式相依於特定版本的MySQL或PostgreSQL，用戶能以Amazon RDS延伸支援繼續使用該資料庫。從2023年12月開始，用戶可以從API或是控制臺中選擇加入RDS延伸支援，未採用RDS延伸支援的資料庫，將會在2024年3月1日自動更新引擎版本。</p> <p>自動更新會將Aurora MySQL 2更新至Aurora MySQL 3，而RDS for MySQL 5.7則會更新至RDS for MySQL 8.0，而PostgreSQL 11相關的Aurora與RDS資料庫服務，也會自動升級至PostgreSQL 15。也就是說，當用戶未及時搬遷應用程式至MySQL 8.0或PostgreSQL 15，這項自動升級可能會破壞用戶的應用程式，或是產生不可預期的行為。</p> <p>因此AWS現在透過自動註冊RDS延伸支援，避免用戶因為預期外資料庫主要版本升級，所導致的相容性問題或是停機，並且獲得更多的時間和控制權，按照組織的時間表規畫和測試資料庫升級，與此同時還能持續獲得安全性和錯誤修復。</p> <p>目前Amazon RDS延伸支援已對所有執行MySQL 5.7與PostgreSQL 11、或更高版本的Amazon Aurora和Amazon RDS執行個體開放，在2024年標準支援日期結束後，用戶不需要手動選擇，即會自動啟用3年的延續支援。</p> <p>對於在EC2執行個體上自行部署的資料庫伺服器，AWS建議用戶可以搬遷至Aurora MySQL、Amazon Aurora PostgreSQL和Amazon RDS上，以便在社群生命周期結束後，還可以繼續使用這些資料庫版本，更有餘裕地安排資料庫版本搬遷，讓過渡期更平順。</p> <p>RDS延伸支援的定價是按vCPU每小時計算，AWS解釋RDS延伸支援收費的原因，在於他們需要投入額外的開發人員，開發CVE和錯誤修補程式，因此AWS也就只向在資料庫生命周期結束後，還需要RDS延伸支援的用戶收費。</p> </div></div></div>
2023/12/25 08:39作者李建興https://www.ithome.com.tw/news/160513
導入LLM技術幫忙管理Azure雲服務環境，微軟釋出AI助手預覽
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/evelynozzie_2-1699921980502-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三大公有雲業者爭相發展生成式AI輔助操作功能，例如，微軟在11月中舉行的Ignite年度IT專業人員用戶大會，宣布更多冠上Microsoft Copilot的功能服務，而針對涵蓋邊緣到雲端的Azure環境維運需求，他們推出Copilot for Azure，提供簡化日常系統管理作業的AI功能，可透過統一的對話互動方式，在理解用戶的角色與工作目標的脈絡之下，執行應用程式與IT基礎架構的設計、營運、調校，以及障礙排除，這項功能可橫跨邊緣與雲端環境，協助用戶以更有效率的操作方式，深入了解工作負載的狀態，更懂得運用以往不熟悉的Azure功能，以及調度指揮各種任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Copilot%20for%20Azure%20preview-2023-11-15.jpg" style="width: 600px;" /></p> <p>IT人員若要使用Copilot for Azure，主要是經由Azure網站入口的管理主控臺來進行，目前已開放預覽測試，用戶需填寫線上表單申請存取試用，未來將開放Microsoft Azure行動App，以及Azure CLI命令列介面。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-15-微軟-EvelynOzzie_0-1699921980473.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-15-%E5%BE%AE%E8%BB%9F-EvelynOzzie_0-1699921980473.jpg" style="width: 300px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Copilot for Azure App.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Copilot%20for%20Azure%20App.jpg" style="width: 128px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Copilot for Azure App2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Copilot%20for%20Azure%20App2.jpg" style="width: 150px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Copilot%20for%20Azure%20Progess.jpg" style="width: 600px;" /></p> <p>透過文字交談對話的互動形式，這項AI輔助功能，可回答日常管理Azure面臨的各種問題，產生查詢、執行任務，並以安全的方式代表操作者執行各種處理，過程中，能提供高品質的推薦資訊，而在依此建議採取動作時，也能同時遵循所屬組織本身的政策與隱私保護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Copilot for Azure preview-2023-11-15-QA1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Copilot%20for%20Azure%20preview-2023-11-15-QA1.jpg" style="width: 600px;" /></a></p> <p>在AI與資料技術的運用上，Copilot for Azure結合多種大型語言模型（LLM）、Azure控制層（control plane），以及針對用戶的Azure環境與啟用Azure Arc架構的數位資產洞察分析，並基於Azure承諾保護用戶資料安全性與隱私的框架，實現上述這些處理。</p> <p>基本上，這項AI助手在推論、分析、詮釋時，所憑藉的內容來自多種資訊管道，包含：Azure 的部署與管理服務Azure Resource Manager（ARM），可大量查詢特定訂閱服務內容、探索資源使用效率的ARM延伸服務Azure Resource Graph（ARG），以及成本與用量資料、文件庫、技術支援、最佳實務指引等。</p> <p>包含Azure環境設置的各種管理工具、遵循的政策、治理面向、角色存取控制在內，這些機制觸及的相同資料與多種介面，Copilot for Azure都可以存取，微軟表示，Azure團隊正在持續強化Copilot對於每種服務與功能的理解，促使Copilot變得更有用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Copilot for Azure coverage.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Copilot%20for%20Azure%20coverage.png" style="width: 200px;" /></a></p> <p>關於Copilot for Azure的4大基本功能，微軟提出說明。首先，在設計方面上，AI助手將協助用戶建立與設置Azure服務，而且能符合組織的政策要求。在營運方面上，AI助手能幫忙的部分是回答問題、編寫複雜的指令，以及管理資源。在障礙排除方面上，AI助手能橫跨多種Azure服務進行調度，產生洞察分析，能夠以摘要的方式敘述問題、識別原因，以及提出解決方案的建議。而在調校方面上，AI助手可針對用戶環境提供推薦作法，改善Azure使用的成本、延展性，以及可靠性。</p> <p>在Copilot for Azure可應用的場景上，微軟目前提出幾個例子。首先是協助用戶了解雲端環境的狀態，AI助手可利用Azure雲端服務專屬的Kusto 查詢語言（KQL），建構在Azure Resource Graph平臺進行查詢的語句，能加速產生Azure資源與部署環境的洞察分析內容。對於新手與專家而言，均可透過這項功能輕鬆從Azure Resource Graph Explorer的介面，開啟、檢視生成的查詢語句內容，達成資源管理的目的之餘，也能確保這些指令精準反映所要提出的問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-15-微軟-EvelynOzzie_0-1700076807023.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-15-%E5%BE%AE%E8%BB%9F-EvelynOzzie_0-1700076807023.jpg" style="width: 600px;" /></a></p> <p>第二個例子，是成本開銷與效能的管理。Copilot for Azure可協助用戶理解發票、費用支出的模式、變更，以及本體以外的部分，它能推薦最理想的成本配置。基本上，AI助手可協助雲端開支的分析、估算，以及最佳化配置，我們可以向它詢問為何某月某日的費用暴增，以及花費最多錢的訂閱服務，可立即根據用戶的用量、帳單、成本等資料產生解答。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-15-微軟-EvelynOzzie_2-1699921980502.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-15-%E5%BE%AE%E8%BB%9F-EvelynOzzie_2-1699921980502.jpg" style="width: 600px;" /></a></p> <p>在效能管理上，Copilot for Azure整合應用程式監控服務Azure Application Insights的Code Optimizations，可透過進階的AI演算法，偵測程式碼導致的CPU與記憶體用量的效能相關問題，並提供修正這些狀況的建議。同時，AI助手可針對.NET應用程式，執行探查與分類，找出可使用的程式碼內容調整建議。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-15-微軟-EvelynOzzie_3-1699921980514.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-15-%E5%BE%AE%E8%BB%9F-EvelynOzzie_3-1699921980514.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Copilot for Azure Code Optimization.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Copilot%20for%20Azure%20Code%20Optimization.jpg" style="width: 298px;" /></a></p> <p>為了能善用雲端資源監視器Azure Monitor對每種Azure資源提供的豐富量測指標，Copilot for Azure協助用戶找到這些項目，也提供分析結果的圖表呈現與摘要內容，以便後續執行更深入的探索、異常偵測，進而分析意外的變更動作，並且提供解決這些問題的建議。</p> <p>除了輔佐網頁介面的操作，Copilot for Azure也能幫忙Azure CLI的命令列與指令碼使用，用戶可藉此輕鬆、快速了解實現特定操作所需要用到的命令與參數，如果需要多個命令去完成一項任務，AI助手可以產生一段遵循Azure最佳實務的指令碼，而這樣的內容可直接在Azure網站入口Azure Cloud Shell執行，或是存成副本以用於重複執行或自動化處理作業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-15-微軟-EvelynOzzie_4-1699921980575-CLI.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-15-%E5%BE%AE%E8%BB%9F-EvelynOzzie_4-1699921980575-CLI.jpg" style="width: 500px;" /></a></p> <p>線上技術支援與障礙排除也是Copilot for Azure主打特色，它能提供源於Azure線上文件，以及內建的特定服務診斷與排解問題工具，產生處理這些狀況的洞察分析，當中將會快速提供逐步操作的指引，協助選擇正確的工具，可處理CPU高使用率、網路問題、記憶體傾印、擴展資源等需求增加的問題，並且提供指向正確文件的網址連結；若還是無法解決，用戶可提出請求，AI助手會導引至可提供進一步協助的技術支援服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Copilot for Azure preview-2023-11-15-Scale.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Copilot%20for%20Azure%20preview-2023-11-15-Scale.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>微軟Copilot for Azure</strong><br /> ●原廠：微軟<br /> ●建議售價：預覽期間免費提供<br /> ●存取方式：Azure入口網站<br /> ●採用技術：大型語言模型、Azure控制層、Azure資源探索服務Azure Resource Graph<br /> ●服務存取範圍：Azure與啟用Azrue Arc的資產，受限於Azure既有存取管理與保護機制（Azure角色型動作控管、特權身分管理、Azure Policy、資源鎖定）<br /> ●前端收集資料範圍：使用者參與資料（對話階段數量和持續時間、特定對話階段使用的技能、肯定、否定、意見反應），使用者輸入的提示與AI的回應不會用於訓練、進階訓練或改善Azure OpenAI用於產生回應的基礎模型</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/25 12:08作者李宗翰https://www.ithome.com.tw/review/160514
GM停售Chevrolet Blazer EV電動車以修復軟體問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國通用汽車公司（General Motors Company，GM）上周五（12/22）召回了甫於本月正式發售的全新電動休旅車Chevrolet Blazer EV，並宣布暫時停售，以修復軟體問題。</p> <p><a href="https://www.chevrolet.com/electric/blazer-ev" target="_blank">Blazer EV</a>是Chevrolet品牌的首款全電動休旅車，其電池續航力為324英里，電池保固為8年或10萬英里，售價為60,215美元。</p> <p>不過，Chevrolet向<a href="https://www.autonews.com/regulation-safety/chevy-blazer-ev-sales-halted-fix-software-quality-issue" target="_blank">《Automotive News》</a>證實，已得知少數Blazer EV車主遇到與軟體相關的問題，因此決定召回尚未交車的Blazer EV，並暫停銷售，既有的車主則可於之後透過經銷商進行軟體更新。</p> <p>Chevrolet的召回顯然與《Edmunds》及《InsideEVs》的報導有關。《Edmunds》為知名的汽車評論網站，在兩個月前購買了Blazer EV，試開了約1,600英里後，<a href="https://www.edmunds.com/car-news/2024-chevy-blazer-ev-long-term-faults.html" target="_blank">就發現23個問題</a>。</p> <p>根據《Edmunds》的測試，他們一天之內就在Blazer EV看到8則不同的警告資訊，之後陸續發生窗戶無法開關及螢幕顯示器故障的問題，重置之後它好了一陣子，接著又開始故障，還彈出許多錯誤訊息，之後《Edmunds》決定把車子交給經銷商修理，但已經兩周了還沒好。</p> <p>另一個汽車評論網站<a href="https://insideevs.com/reviews/701169/2024-blazer-ev-stranded-broken/" target="_blank">《InsideEVs》的記者Kevin Williams則說</a>，他試開Blazer EV時，發現很難把車子對準充電器，一路上汽車的資訊娛樂系統偶爾會故障，像是螢幕變成空白，使得他必須用iPhone來導航，最後充電系統竟然故障了，使得他只好把車子留給當地的經銷商。</p> <p>Chevrolet則坦承，該公司的工程師正在修復相關的軟體問題，包括螢幕，以及在公共充電站所出現的充電問題。</p> </div></div></div>
2023/12/25 12:12作者陳曉莉https://www.ithome.com.tw/news/160519
Chrome將會於背景自動偵測外洩密碼及可疑擴充程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chrome/google-chrome-december-2023-update/" target="_blank">Google上周宣布</a>將更新Chrome的效能與安全功能，其桌面版Chrome的Safety Check將會自動於背景執行，以偵測使用者密碼是否外洩，以及是否安裝了可疑的擴充程式，並主動提醒使用者，另外也允許使用者儲存Chrome上的分頁群組（Tab groups），以將它同步至其它桌面裝置上。</p> <p>Safety Check是Chrome團隊替使用者設計的安全檢查功能，先前該團隊一直鼓勵使用者應定期執行Safety Check，以偵測使用者的密碼是否外洩、所安裝的擴充程式是否有潛在威脅、是否使用最新版的Chrome，或是需要注意的網站存取權限。</p> <p>不過，現在該團隊決定讓Safety Check自動於背景執行，且在察覺上述異樣時主動於設定選單中跳出通知，還會自動撤銷很久沒有造訪的網站存取權限，不管是存取使用者的位置或是麥克風，此外，Safety Check還會標記那些使用者很少交流的網站所顯示的大量通知，以方便使用者直接將它們封鎖。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1225-chrome-safety%20check-600.jpg" style="width: 568px;" /></p> <p>上個月Google讓Chrome瀏覽器可呈現每個分頁的記憶體使用量，並提供節省模式，啟用該模式的Chrome會釋出閒置分頁所占用的記憶體，以分配給正在使用中分頁或其它應用程式，現在Google則新增了一項功能，允許使用者指定特定分頁保持活躍狀態而不釋出記憶體。</p> <p>另一項Chrome準備新增的功能為分頁群組的儲存及同步功能。分頁群組（Tab groups）功能可替分頁設定主題與顏色，整理雜亂的分頁，新版Chrome將允許使用者儲存分頁群組，以將它們同步到其它的桌面裝置上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1225-Chrome%20update-Saved%20tab%20groups-600.png" style="width: 600px;" /></p> <p>Google強調，明年的Chrome還會借助AI模型Gemini的能力，以帶來更有用及更聰明的功能。</p> </div></div></div>
2023/12/25 12:26作者陳曉莉https://www.ithome.com.tw/news/160520
蘋果公布多模態AI模型Ferret
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼12月開始，蘋果陸續公布其AI開發及研發成果。<a href="https://github.com/apple/ml-ferret" target="_blank">蘋果上周再公布</a>多模態大型語言模型（multimodal large language model，MLLM）Ferret及相關標竿測試工具與資料集。</p> <p>多模態意謂Ferret能接受文字、聲音、影像或數據的輸入。根據<a href="https://arxiv.org/abs/2310.07704v1" target="_blank">蘋果10月公布</a>Ferret的研究論文說明，Ferret能理解任何形狀或任何圖片顆粒（granularity），且能準確定位（ground）開放字彙的描述。要將引用（refer）及定位能力整合到LLM中，Ferret採用新式的混合區域表徵（hybrid region representation）技術，可整合個別方位和連續性的特徵，以表示圖片中的某一區域。為提取出區域中的連續特徵，蘋果研究人員提出一種空間感知的視覺採樣器，它能處理不同形狀多種稀疏性。這使得Ferret可以接受多樣化區域輸入，像是點、bounding boxes、自由形式的形狀。為提升Ferret的能力，蘋果團隊使用了GRIT資料集（Ground-and-Refer Instruction-Tuning），後者為是一個廣大的refer-and-ground指令微調資料集，包含110萬個樣本，內有豐富的階層化空間知識，以及9.5萬個負樣本，以便提升模型的判斷力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1225-g%20Ferret%E2%80%99s%20referring%20and%20grounding%20capabilities.png" style="width: 600px;" /></p> <p>最後蘋果得到的模型Ferret-13B，和Kosmos-2、GPT4-ROI、LLaVA、Shikra等MLLM比較，在傳統引用及定位任務具有優異效能，此外，在區域為基礎、需要本地化的多模態對話、細節描述，以及複雜推理等任務，都優於其他MLLM。在視覺化比較任務，蘋果說它的模型展現優異的空間理解及常識推理能力。此外，蘋果宣稱其物件幻覺也較Shikra、InstructBLIP、MiniGPT4、LLaVA、MM-GPT及 mPLUG-Owl等知名MLLM少很多。</p> <p>蘋果公布了Ferret7B、130B二模型的程式碼、GRIT資料集、<a href="https://github.com/apple/ml-ferret/tree/main/ferret/eval/ferret_gpt4_data" target="_blank">標竿測試工具Ferret-Bench</a>，上周也公布了<a href="http://github.com/apple/ml-ferret#checkpoints" target="_blank">Ferret 70B及130B檢核點（checkpoint）</a>。</p> <p>這是蘋果公布最新AI研發成果。<a href="https://www.ithome.com.tw/news/160205" target="_blank">12月初蘋果公布</a>Apple Silicon平臺專用AI框架MLX、以及能在裝置端執行LLM的方法，<a href="https://www.ithome.com.tw/news/160490" target="_blank">後者能在邊緣裝置執行</a>DRAM兩倍大的LLM，可節省執行LLM所需的運算資源，也更能確保隱私。</p> </div></div></div>
2023/12/25 10:26作者林妍溱https://www.ithome.com.tw/news/160517
Wasmer JS SDK讓瀏覽器也能執行Python、Bash和FFmpeg
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專注發展WebAssembly技術與工具的公司Wasmer，推出一個稱為<a href="https://wasmer.io/posts/introducing-the-wasmer-js-sdk">Wasmer JS SDK</a>的JavaScript函式庫，供開發者可在瀏覽器中執行各種WASI和WASIX套件。Wasmer JS SDK的特色在於，能夠支援多執行緒、訊號（Signal）、子程序（Subprocess）功能，並執行諸如Python、Bash、FFmpeg等UNIX程式。</p> <p>WebAssembly原本是專為網頁應用設計的低階程式語言，其運作效能接近機器碼，可以被快速載入和執行，對於遊戲、影片編輯和模擬運算等需要大量計算資源的應用特別有用，且於WebAssembly程式在沙盒環境中運作，可確保用戶免受惡意程式碼的影響。</p> <p>雖然WebAssembly起初是針對瀏覽器環境設計，這也使得其在瀏覽器外的應用場景遇到一些限制。當考慮將WebAssembly應用於伺服器端和其他非瀏覽器環境時，便出現對更廣泛系統互通性的需求，例如檔案系統存取和網路通訊等功能。為了解決這些限制，WebAssembly開發團隊也就著手制定了WASI（WebAssembly System Interface）。</p> <p>WASI目標是建立一個標準化系統介面，以方便WebAssembly模組可以在不同的環境中，以一致且安全的方式與作業系統進行互動。WASI基於WebAssembly的安全和可移植性原則，並且在原有的基礎上增加許多系統級功能，透過WASI使得WebAssembly的應用場景，從原本的瀏覽器環境擴展到了伺服器端、雲端運算、物聯網裝置等更廣泛的領域。</p> <p>Wasmer在今年6月的時候，推出WASI與可移植作業系統介面（Portable Operating System Interface，POSIX）的超集合 WASIX。由於WASI並不支援所有POSIX，所以Wasmer希望透過推出WASIX，強化現有WASI ABI（Application Binary Interface），並增加額外非侵入式的系統呼叫擴充。簡單來說，WASI僅提供基本的系統操作，而WASIX可視為WASI的擴充，提供更廣泛的系統呼叫和功能，WASIX並非要取代WASI，而是要作為一個相容的WASI擴充解決方案。</p> <p>而現在Wasmer推出JS SDK，是要回頭解決WebAssembly在瀏覽器中所遇到的限制和挑戰，提供更多方便功能。WebAssembly在瀏覽器中並不支援像是檔案系統存取和網路通訊等系統級功能，而Wasmer JS SDK則透過支援WASI和WASIX擴充，讓WebAssembly也可以在瀏覽器執行複雜的操作。</p> <p>Wasmer JS SDK簡化瀏覽器中部署和執行WebAssembly模組的過程，提供一套易於使用的API，讓開發者可以快速載入和執行模組，不需要開發者進行繁瑣的手動配置。而且Wasmer JS SDK還提供經過最佳化的WebAssembly執行環境，提高模組的執行效能和資源管理。</p> <p>雖然JavaScript本身是單執行緒運作，但是透過JS Workers，Wasmer JS SDK能夠在瀏覽器中啟用類似多執行緒的功能。官方解釋，JS Workers API與典型的執行緒API不同，因為沒有執行緒的Join同步處理方法，JS Workers是透過訊息通道和主執行緒溝通。因此JS Workers得以重用主WebAssembly程序中的共享記憶體，並在更改時通知記憶體，進而允許類UNIX執行緒透過JS Workers運作。</p> <p>此外，在傳統類UNIX系統中，fork()是一個用於創建子程序的系統呼叫，但要在瀏覽器中執行fork()，是一個非常具有挑戰的工作，因為瀏覽器通常不提供這種底層系統存取能力，要執行fork()就需要轉儲堆疊並在不同的程序中恢復堆疊。而Wasmer JS SDK使用asyncify將程式凍結在堆疊中，在新建立的Worker中還原。</p> <p>Wasmer API採用特殊的容器格式，可以同時供應WebAssembly資源和檔案系統資源，這代表程式可以一次下載所有檔案系統相依套件。Wasmer JS SDK還內建檔案系統API，進而實現更豐富的功能。</p> <p>借助Wasmer JS SDK，開發者可以在瀏覽器中執行多媒體處理工具FFmpeg，執行影片和音訊檔案編輯工作，而且瀏覽器中也可以運作CPython，因此開發者可以在網頁應用中直接執行Python腳本。甚至開發者還可以在瀏覽器中執行Bash Shell，這將可在網頁應用程式帶來強大的命令列操作功能。</p> </div></div></div>
2023/12/25 08:36作者李建興https://www.ithome.com.tw/news/160512
Stability AI開發者平臺開始提供影片生成模型API服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stability AI在其開發者平臺<a href="https://stability.ai/news/introducing-stable-video-diffusion-api?utm_source=linkedin&utm_medium=website&utm_campaign=blog">新增Stable Video Diffusion基礎模型</a>，提供影片生成服務。Stable Video Diffusion API能在平均41秒內，生成包括25影格（Frame）由模型生成的畫面，還有24個由FILM（Frame Interpolation for Large Motion）內插產生的影格畫面，形成一段連續的2秒影片。</p> <p>Stable Video Diffusion是Stability AI才剛推出的新模型，以擴散模型為基礎，可接受使用者文字指令生成影片。該模型採用原本用於2D圖像生成的潛在擴散模型（Latent Diffusion Model，LDM），加入時間層，並使用小型、高品質的資料集加以訓練而成。</p> <p>Stability AI當初發布兩個版本的Stable Video Diffusion模型，分別是能夠生成14影格與25影格的影片，而現在最新釋出的API服務，則是採用25影格的版本。Stable Video Diffusion API可應用在廣告、行銷、電視、和遊戲各領域，供開發者以程式化的方式存取影片生成模型。</p> <p>官方指出，Stable Video Diffusion的重點在於效能和安全性，除了加入24影格的FILM內插畫面，使影片看起來更加順暢之外，還採用浮水印安全措施。透過新API，開發人員可以使用該模型的所有功能，包括控制運動強度、支援各種布局與解析度，以1024x576、768x768和576x1024解析度生成影片，並相容於jpg和png等影像格式。另外，開發者也可以運用種子相關（Seed-based）基礎，選擇重複或隨機生成影片，最終的影片輸出為MP4格式，以滿足發布於各種應用和平臺的需求。</p> <p>FILM內插是一種影像處理技術，目的是要在兩個既有的影格中間，生成一個或是多個中間影格，該技術主要用於提高影片的影格數，使運動看起來更加流暢，或是用於製作慢動作特效。FILM內插特別適合處理畫面中物體移動較快的場景，因為該演算法能夠估算物體在連續影格中的運動路徑，並根據估算生成新影格，如此不只可增強視覺效果，也可在維持影片品質的前提下，讓動作更加順暢。</p> <p>當前的影像生成模型大都以擴散模型作為基礎，包括Meta的影片生成模型<a href="https://www.ithome.com.tw/news/159897">Emu Video</a>。不過，Google最新的<a href="https://www.ithome.com.tw/news/160487">VideoPoet</a>模型則採用不同策略，藉由擴展多模態大型語言模型的能力來生成影片，Google指出，因為大型語言模型在多種模態上優秀的學習能力，因此單一模型就能執行各種影片生成任務，包括文字轉影片、圖片轉影片、影片風格化，影片補繪與擴繪，甚至是影片轉音訊等。</p> </div></div></div>
2023/12/25 08:41作者李建興https://www.ithome.com.tw/news/160515
Ai Pin將於明年三月在美出貨
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由蘋果前設計師及軟體開發員工設計的創新無螢幕穿戴裝置Ai Pin，將在明年三月開始在美國出貨。</p> <p>Humane於11月<a href="https://www.ithome.com.tw/news/159732" target="_blank">公布成品</a>並開放美國用戶預購，上周Humane透過<a href="https://twitter.com/Humane/status/1738247468154778110" target="_blank">X官方帳號宣布</a>，Ai Pin將自2024年3月起出貨。出貨會根據消費者下單順序進行。</p> <p>參與過iPhone、Mac電腦及Apple Watch的蘋果前介面設計師Imran Chaudhri及軟體工程師Bethany Bongiorno成立的Humane 7月<a href="https://www.ithome.com.tw/news/157595" target="_blank">公布以AI為基礎的穿戴裝置Ai Pin</a>。Ai Pin可放在口袋、別在胸口的裝置，具有聲控、連網功能，及內建麥克風、1,300萬像素相機及投影機。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0703-Co-Founder%20%26%20Chairman%20of%20Humane-Imran%20Chaudhri%20at%20TED-A%2BB-960.jpg" style="width: 600px;" /></p> <p>在規格方面，Ai Pin內建8核心Qualcomm Snapdragon處理器、4GB記憶體與32GB儲存空間，作業系統為專為AI設計的Cosmos，配備1,300萬畫素的相機，以及麥克風與喇叭。Ai Pin支援多種連網技術，包括eSim、Wi-Fi 5、藍牙、Beacon、GPS，以及T-Mobile為Ai pin推出專屬的行動數據網路。Ai Pin系統使用的AI來自OpenAI與微軟的合作。</p> <p>許多人認為Ai Pin是運算裝置的一大革命性創新。它沒有螢幕，使用者只以聲音或投放在掌心或桌面的光學介面和Ai Pin後端的系統互動，以執行搜尋、翻譯、查詢信件或行事曆、傳訊或打電話等任務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/ai%20pi%20complete%20system-600(2).png" style="width: 600px;" /></p> <p>不過獲得這新式體驗的代價不低。Ai Pin及配件售價699美元，但還需搭配每月24美元的T-Mobile專用門號服務，包含無限通話、簡訊與資料傳輸及雲端儲存及AI存取。</p> <p>Humane尚未公布Ai Pin在其他地區上市的時程。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Humane</span></span></p> </div></div></div>
2023/12/25 09:01作者林妍溱https://www.ithome.com.tw/news/160516
Google Cloud搭載Nvidia H100 GPU的運算服務正式上線
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_a3-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI暴紅一整年，<a href="https://www.ithome.com.tw/review/152926">Nvidia資料中心GPU產品H100</a>成為整個IT市場追捧的重要物資，不只是伺服器廠商推出多款設備，大型公有雲業者也陸續發表搭配這款GPU的運算服務。以正式上線的時間為基準，<a href="https://www.ithome.com.tw/review/158051">AWS今年6月底正式推出Amazon EC2 P5</a>，微軟Azure在3月發表ND H100 v5，8月在美國東部與美國中南部這兩個地區的資料中心正式開始提供這項GP運算服務，若是有意採用的企業與組織，需到Azure網站填寫需求表單、輸入預計執行的虛擬機器數量、虛擬機器保留期間、用途，以及企業與組織的員工規模，再由相關地區的微軟業務團隊與其聯繫、洽談後續的試用。到了11月，微軟Azure發表新的GPU運算服務NC H100 v5系列，能用於中型的AI模型的訓練與生成式AI推論，以及主打支援機密運算特色的GPU運算服務NCC H100 v5系列，這兩款服務目前都處於公開預覽測試的狀態。</p> <p>至於Google Cloud，在5月舉行的Google I/O大會期間，預告將推出搭配Nvidia H100的運算服務A3，由於此服務當時處於封閉預覽狀態，企業與組織若要進行評估，需填寫線上表單申請試用。</p> <p><img alt="" src="/sites/default/files/images/A3-2023-05-What's%20new%20in%20Google%20Cloud-2.jpg" style="width: 600px;" /></p> <p>A3本身配備那些新技術？就運算層面而言，它搭配8個Nvidia H100 GPU，提供3倍的運算吞吐能力，而GPU之間的資料傳輸，會透過Nvidia發展的新一代高速I/O介面：NVLink 4.0與第四代NVSwitch，雙向傳輸頻寬可達3.6 TB/s；處理器與記憶體也升級到新一代規格，預計搭配<a href="https://www.ithome.com.tw/tech/155638">英特爾第四代Xeon Scalable</a>，以及2TB容量的DDR5-4800；在網路層面上，A3採用他們訂製設計的基礎設施處理器（IPU），亦即英特爾的IPU ASIC E2000，提供200 Gbps的網路傳輸介面，當中導入IPU硬體卸載、特製的跨伺服器GPU通訊堆疊，以及支援Nvidia集結通訊程式庫（NCCL）最佳化處理，能將A3的網路頻寬提升至10倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20A3-Nvidia-2023-08-1-Web.jpg" style="width: 600px;" /></p> <p>採用Nvidia H100之餘，由於A3設置在Google自詡最先進的網路環境，因此，也連帶獲得多種效益。</p> <p>首先，在該公司現行的GPU運算服務當中，A3率先配備他們訂製設計的基礎設施處理器（IPU），亦即英特爾的IPU ASIC E2000，提供200 Gbps的網路傳輸介面。在IPU的幫忙之下，雲端運算服務底層伺服器GPU之間的資料傳輸，不需經過CPU，而且源自其他虛擬機器的網路與資料流量，可跨越個別網路介面傳輸，因此，相較於Google Cloud<a href="https://cloud.google.com/blog/products/compute/a2-vms-with-nvidia-a100-gpus-are-ga">既有的GPU運算服務A2</a>，新登場的A3網路頻寬可提升至10倍，而且能提供低延遲與高穩定的連線。</p> <p>在底層交織網路的配置上，A3坐落在Google Cloud發展的資料中心網路環境Jupiter，可支援數萬個GPU互連，本身也能使用可完整運用所有頻寬、支援重新設置的光纖網路連接方式，提供隨需調整網路拓樸的彈性，可針對各種結構的工作負載，提供足夠的頻寬，與費用較高的市售交織網路相比，Jupiter能帶來相近的使用成效，但具有更低的總體持有成本。</p> <p>關於AI運算效能的表現上，A3最大可供應26 ExaFlops的處理能力，可顯著減少訓練大型機器學習模型的所需時間與成本。若用在AI推論，A3的成效更為顯著，若以A2的運算效能為基準，A3領先幅度可達到30倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20A3-Nvidia-2023-08-2-Web.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20A3-Nvidia-2023-08-3-web.jpg" style="width: 600px;" /></p> <p>到了8月底舉行的Google Cloud Next大會期間，該公司宣布A3將於下個月正式推出，支援大型AI模型的處理。而在這項運算服務的組態與特色的描述，大致與先前相同，但也補充一些細節，例如，搭配的英特爾第四代Xeon Scalable處理器會是2顆，而網路效能改善源於IPU的部分，Google Cloud此時將這項連線加速裝置稱為Titanium網路卡。除此之外，他們也特別公布一個使用案例：因推出生成式AI繪圖應用而舉世聞名的Midjourney，他們的平臺採用Google Cloud今年新推出的兩個GPU運算服務，其中的A3可提供2倍的圖片生成速度（相較於搭配A100 GPU的環境）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20A3%20Launch-2023-08-keynote-web.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20A3-Nvidia-2023-08-4-web.jpg" style="width: 600px;" /></p> <p>經過幾個月的等待，A3最近終於正式開放供應。根據Google Cloud release notes的12月21日公告，A3在Compute Engine上架，目前在亞太、歐洲、北美共5個區域的資料中心，均可選用A3。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20A3%20console1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP A3-release notes.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20A3-release%20notes.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/GCP A3-Documentation.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20A3-Documentation.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/GCP Machine series recommendation by workload type.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Machine%20series%20recommendation%20by%20workload%20type.jpg" style="width: 198px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Google Cloud A3</strong><br /> ●原廠：Google Cloud<br /> ●建議售價：新加坡資料中心（asia-southeast1）每月58,456.41美元<br /> ●處理器：英特爾第四代Xeon Scalable（Xeon Platinum 8481C）<br /> ●提供服務規模選擇與組態：a3-highgpu-8g，208顆虛擬處理器、1872 GiB記憶體、儲存空間最大為257 TB、8個Nvidia H100 GPU、網路頻寬為1,000 Gbps</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/22 19:45作者李宗翰https://www.ithome.com.tw/review/160499
【資安日報】12月22日，巴勒斯坦駭客對以色列組織聲稱提供F5 BIG-IP「零時差漏洞修補程式」來破壞電腦所有檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對社會大眾的假消息相當氾濫，但現在也有針對IT人員而來的假漏洞資訊，若是未經查證很有可能上當。例如，有人針對WordPress網站的管理者而來，<a href="https://www.ithome.com.tw/news/160247">發送資安公告謊稱網站有特定CVE編號的漏洞</a>，從而對網站部署後門。</p> <p>而類似的手法，現在也被駭客用於對敵對國家企業組織發動攻擊。以色列組織收到聲稱F5 BIG-IP系列應用程式資安產品存在零時差漏洞的傳言，呼籲IT人員儘速套用他們提供的「更新程式」。但實際上，這是攻擊者捏造的消息，被鎖定的組織收到的資訊當中，僅提及要修補零時差漏洞，並未透露細節而形成破綻。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/fake-f5-big-ip-zero-day-warning-emails-push-data-wipers/"><strong style="font-size: 22px;">巴勒斯坦駭客聲稱對F5 BIG-IP零時差漏洞提出警告，藉此散布資料破壞程式</strong></a></p> <p>以色列國家網路管理局（INCD）提出警告，有人假冒F5的名義（<a href="mailto:[email protected]">[email protected]</a>）寄送釣魚信，佯稱網路上出現大規模的F5 BIG-IP零時差漏洞攻擊，並提供更新軟體，呼籲該國企業組織的IT人員儘速套用，以免遭到相關攻擊。</p> <p>然而IT人員一旦照做，安裝對方提供的「更新程式」，電腦就會執行駭客的資料破壞軟體（Wiper），而有可能導致磁碟裡的資料遭到摧毀。INCD指出，駭客對Windows、Linux電腦使用不同的惡意程式來發動攻擊，並透過Telegram頻道，將受害電腦的系統資訊回傳給攻擊者。</p> <p>而對於攻擊者的身分，名為Handala的巴勒斯坦駭客組織向資安新聞網站Bleeping Computer透露是他們所為，並指出他們的資料破壞軟體已部署到許多以色列組織的網路環境，但該新聞網站無法確認這項消息是否屬實。</p> <p>資料來源</p> <p>1. <a href="http://www.gov.il/he/Departments/publications/reports/alert_1687">http://www.gov.il/he/Departments/publications/reports/alert_1687</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/fake-f5-big-ip-zero-day-warning-emails-push-data-wipers/">https://www.bleepingcomputer.com/news/security/fake-f5-big-ip-zero-day-warning-emails-push-data-wipers/</a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ALERT-CERT-IL-W-1687.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ALERT-CERT-IL-W-1687.png" style="width: 580px;" /></a></p> <p><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/instagram-phishing-targets-backup-codes/"><strong style="font-size: 22px;">佯稱用戶侵犯著作權的網釣攻擊行動再度出現，這次目標是Instagram的備用雙因素驗證碼</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Instagram-Phishing-8.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Instagram-Phishing-8.png" style="width: 300px; float: right;" /></a>宣稱使用者在社群網站侵犯他人著作權的網路釣魚攻擊不時傳出，但近期出現新型態的攻擊手法，而使得情況變得更為複雜。資安業者Trustwave發現針對Instagram用戶的網路釣魚攻擊行動，駭客佯裝Meta，聲稱收信人的Instagram帳號因侵犯著作權而遭到檢舉，若不提出申訴，帳號就會在12小時後永久刪除。</p> <p>一旦收信人點選前往填寫申訴表單的按鈕，就會被帶往由Bio Sites建置的網站，然後再重新導向到真正的釣魚網站，一旦收信人依照指示輸入資料，相關資料便會回傳給攻擊者。</p> <p>比較特別的是，起初攻擊者引誘目標填寫帳號、密碼的時候，該網站還會確認收信人是否啟用Instagram雙因素驗證（MFA）機制，藉此要求受害者提供該社群網站的備用密碼，從而繞過雙因素驗證流程。</p> <p><a href="https://www.imperva.com/blog/imperva-detects-undocumented-8220-gang-activities/"><strong style="font-size: 22px;">Oracle WebLogic伺服器漏洞遭到駭客組織8220鎖定，用於散布惡意程式</strong></a></p> <p></p> <p>資安業者Imperva揭露中國駭客組織8220最近一波的攻擊行動，這些駭客針對Java應用程式伺服器軟體Oracle Weblogic Server下手，植入惡意程式，並將其資源用於挖礦。</p> <p>研究人員指出，這些駭客並非首度對Oracle Weblogic Server發動攻擊，他們先前曾利用此系統的漏洞CVE-2021-44228、CVE-2017-3506下手，這次攻擊也有使用，但值得留意的是，本次對方在散布惡意程式的過程裡，又試圖利用另一個遠端執行任意程式碼漏洞CVE-2020-14883。此漏洞可讓攻擊者在未通過身分驗證的情況下，藉由工具鏈執行程式碼，而且，攻擊者通常會將其與身分驗證繞過漏洞CVE-2020-14882串連使用，從而盜竊、外流帳密資料，或是削弱其防護。對於駭客利用CVE-2020-14883的方式，研究人員看到兩種手法，一是藉由載入XML檔案，從而呼叫另一個檔案並執行作業系統命令；另一是利用不同的工具鏈來執行JavaScript程式碼，駭客在受害主機上植入Agent Tesla、rhajk、nasqa等惡意程式來從事攻擊行動。</p> <p>而對於受害範圍，研究人員看到美國、南非、西班牙、哥倫比亞、墨西哥都有受害組織，這些企業隸屬醫療保健、電信、金融服務領域，但駭客似乎是隨機挑選目標，沒有特別針對某些國家或是產業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2023-12-11-at-9_05_51-AM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2023-12-11-at-9_05_51-AM.png" style="width: 580px;" /></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://chromereleases.googleblog.com/2023/12/stable-channel-update-for-desktop_20.html"><strong style="font-size: 22px;">Google發布Chrome 120更新，修補WebRTC元件零時差漏洞</strong></a></p> <p></p> <p>12月20日Google推出Chrome電腦版120.0.6099.129、120.0.6099.130，目的是修補存在於WebRTC元件的記憶體堆疊緩衝區溢位漏洞CVE-2023-7024。</p> <p>這項漏洞是19日Google旗下的威脅分析小組（TAG）通報，並發現已有攻擊程式出現，促使該公司隔日發布更新，此為今年Google修補的第8個Chrome零時差漏洞。</p>  <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://investor.cisco.com/news/news-details/2023/Cisco-to-Acquire-Isovalent-to-Define-the-Future-of-Multicloud-Networking-and-Security/default.aspx"><strong style="font-size: 22px;">為強化公有雲產品線安全，思科買下雲端資安新創Isovalent</strong></a></p> <p></p> <p>12月21日思科宣布併購開源雲端網路安全供應商Isovalent，目的是強化思科公有雲的資訊安全，並透露將於2024財年的第3季完成合併，但沒有公布交易金額。</p> <p>Isovalent主要經營eBPF及Cilium兩大專案，其中，eBPF可於作業系統核心執行沙箱程式，讓開發人員安全且有效地擴充核心能力，而無需變更核心程式碼或載入額外模組；另一專案Cilium，則是基於eBPF的開源雲端解決方案，用來提供、保護與觀察工作負載之間的網路連線。Isovalent再藉由這兩大專案的能力，提供各種雲端安全解決方案。</p> <p>在買下Isovalent之後，思科承諾將繼續透過Cilium的開源力量，打造獨特的多雲安全及網路功能，未來也會繼續建置與提供Isovalent產品，而Isovalent團隊則將併入思科資安事業部。</p> <p><a href="https://www.ithome.com.tw/news/160450"><strong style="font-size: 22px;">身分驗證解決方案業者Okta買下以色列資安新創Spera Security</strong></a></p> <p>12月19日身分驗證管理平臺業者Okta宣布，為擴大身分威脅偵測及資安狀態管理能力，他們買下以色列資安新創Spera Security，雙方預計在明年2月1日開始的第一財季完成併購作業。根據以色列科技新聞網站Calcalist的報導，這筆交易的金額介於1億至1.3億美元。</p> <p>資料來源</p> <p>1. <a href="https://www.okta.com/blog/2023/12/okta-acquisition-advances-identity-powered-security/">https://www.okta.com/blog/2023/12/okta-acquisition-advances-identity-powered-security/</a><br /> 2. <a href="https://www.calcalistech.com/ctechnews/article/bjhjagkda">https://www.calcalistech.com/ctechnews/article/bjhjagkda</a></p> <p> </p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/openai-rolls-out-imperfect-fix-for-chatgpt-data-leak-flaw/"><strong><span style="font-size: 20px;">OpenAI修補ChatGPT可能導致資料外洩的弱點，但研究人員認為攻擊者仍有機會繞過</span></strong></a></p> <p><a href="https://news.sophos.com/en-us/2023/12/19/inhospitality-malspam-campaign-targets-hotel-industry/"><strong><span style="font-size: 20px;">竊資軟體RedLine、Vidar鎖定旅館而來</span></strong></a></p> <p></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/12/new-metastealer-malvertising-campaigns"><strong><span style="font-size: 20px;">竊資軟體MetaStealer透過惡意廣告散布</span></strong></a></p> <p></p> <p><a href="https://twitter.com/MsftSecIntel/status/1737895715911700830"><strong><span style="font-size: 20px;">伊朗駭客APT33鎖定國防產業，散布惡意程式FalseFont</span></strong></a></p> <p><a href="https://www.resecurity.com/blog/article/cybercriminals-impersonate-uae-federal-authority-for-identity-and-citizenship-on-the-peak-of-holidays-season"><strong><span style="font-size: 20px;">中國駭客Smishing Triad鎖定阿拉伯聯合大公國，發送手機簡訊或iMessage從事網路釣魚攻擊</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160484"><strong>【12月21日】 Sony旗下遊戲開發商遭勒索軟體Rhysida攻擊並導致開發中的遊戲資料外流</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160449"><strong>【12月20日】 FBI破獲勒索軟體BlackCat暗網網站，但駭客一天內奪回並揚言報復，預計攻擊醫院和核電廠</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160433"><strong>【12月19日】金融木馬威脅在2023年爆增，惡意程式家族較去年多出接近一倍，600款行動應用程式用戶成駭客鎖定的目標</strong></a></p> </div></div></div>
2023/12/22 15:51作者周峻佑https://www.ithome.com.tw/news/160502