iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/11 03:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

FTC祭出2.5萬美元尋求不受AI複製語音危害的方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在人工智慧（AI）技術的帶動下，語音複製（Voice Cloning）愈來愈精密，然而，美國聯邦交易委員會（FTC）擔心它不只可造福人類，同時也帶來了詐騙或侵權風險，因而推出了語音複製挑戰賽（Voice Cloning Challenge），對外徵求各種可保護人類，避免受到複製語音危害的方法，最高獎金為2.5萬美元，且已於本周二（1/2）開始收件，截止日為1月12日。</p> <p><a href="https://www.ftc.gov/news-events/contests/ftc-voice-cloning-challenge" target="_blank">FTC表示</a>，此一挑戰賽意在鼓勵外界開發從產品、政策到程序的多學科方法，以保護消費者免受各種複製語音的危害，包括詐欺，或者是生物辨識資料及創意內容遭到濫用，主要目的為推動各種突破性的創意，來預防、監控或是評估惡意的複製語音。</p> <p>此一挑戰賽聽起來有些籠統，FTC坦言，它也許會激發出可減少上游風險的想法，或者是增進降低消費者風險的想法，然而，倘若沒有出現可行的想法，也將是向政策制定者發出一個關鍵性的早期警告，意謂著他們應該考慮對該技術採用更嚴格的限制。</p> <p>有意參與該挑戰賽的參賽者可提交一頁的摘要說明，10頁以內的書面描述，並可選擇透過影片來示範所使用的方法，首獎獎金為2.5萬美元。評選標準包括想法的可行性，能否增加企業責任並減少消費者負擔，以及是否具備可因應快速技術及商業變革的彈性，評選結果將在今年初出爐。</p> </div></div></div>
2024/1/5 16:52作者陳曉莉https://www.ithome.com.tw/news/160692
【2024 IT十大趨勢 8】新頻段助企業打造高速低延遲WLAN，催生AIoT應用更有彈性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為提升無線網路傳輸效率，降低延遲，Wi-Fi標準不斷推陳出新，但仍使用既有的2.4GHz及5GHz頻段，由於這些頻段已不敷使用，業界爭取新頻段，特別是6GHz頻段，該頻段需各國政府開放才能使用，美國FCC在2020年決定開放Wi-Fi 6使用6GHz，歐盟也在2021年開放，讓Wi-Fi 6在既有2.4GHz、5GHz之外，首次獲得新的頻段，進展至Wi-Fi 6E，透過6GHz頻段的多個160MHz頻寬頻道，6E具備Multi-Gigabit及低延遲等特性。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>臺灣也開放6GHz，2024年將看到更多Wi-Fi 6E產品</strong></span></span></p> <p>不過，儘管國外較早開放新頻段，臺灣遲遲未趕上國外腳步，終於在2023年8月數位發展部通過開放6GHz頻段（5945MHz-6425MHz），才讓Wi-Fi 6E產品得以進入國內市場。不過，去年因為剛開放，至2023年10月底僅有約20款Wi-Fi 6E及1款Wi-Fi 7準產品通過型式認證，涵蓋通訊晶片、手機、AP等等，去年11月下旬NCC修改低功率射頻器材技術規範，納入6GHz頻段，去年12月開始實施，讓授權的多家實驗室得以測試6GHz頻段射頻器材，擴大設備測試的量能，更多業者取得NCC型式認證後，2024年將有更多的Wi-Fi 6E裝置。</p> <p>目前高通、聯發科的行動晶片已支援6E，Sony等Android手機已可支援，蘋果iPhone 15 Pro及Pro Max等手機也支援Wi-Fi 6E功能。在行動PC方面，英特爾在2023年12月發表的Core Ultra行動PC處理器，讓筆電整合支援Wi-Fi 6E，並以獨立晶片支援下一代的Wi-Fi 7；AMD則與聯發科聯手開發Wi-Fi 6E無線網路模組。</p> <p>新頻段加入，也為2024年即將問世的Wi-Fi 7（IEEE 802.11be）鋪路，Wi-Fi 7支援更大的320MHz頻段頻道及4096QAM調變，Wi-Fi 6與6E理論最高達9.6Gbps，Wi-Fi 7最高可達40Gbps以上。</p> <p>Extreme Networks表示，企業原本採購Wi-Fi設備以Wi-Fi 6為主，在政府開放6GHz後，企業已轉向採購Wi-Fi 6E，至於明年可望推出的Wi-Fi 7，初期設備及裝置尚少，約需2年後相關產品才會普及。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>企業建構高頻寬、低延遲WLAN環境</strong></span></span></p> <p>過去Wi-Fi標準推陳出新，都使用2.4GHz與5GHz既有頻段，6GHz頻段開放使用，最大優勢是該頻段上都是最新的高速設備使用，有別於以往Wi-Fi強調的高資料吞吐量及高頻寬、低延遲。由於6GHz波長比較短，涵蓋範圍比原本的5GHz略小，因此在6GHz涵蓋範圍內為蛋黃區，範圍以內的終端設備可享受新頻段的優勢，以外的範圍則屬蛋白區，為原本5GHz涵蓋範圍，企業在部署Wi-Fi 6E AP時，需考量自身需要及AP合適的位置。</p> <p>Extreme Networks認為，企業採用Wi-Fi 6E，如果為2X2天線設計的機型，不需更動後端的網路交換器，但如果採用4X4天線的高階AP機型，為發揮其優勢，需要較高的Ultra PoE，後端的交換器需要汰換。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Wi-Fi新頻段可望替代有線讓AIoT應用更有彈性</strong></span></span></p> <p>由於為全新頻段，為過去Wi-Fi發展以來最大變化，相較於現有的2.4GHz、5GHz頻段，新舊設備共同使用，由於6GHz為新開放頻段，沒有舊設備使用該頻段，目前只有高速Wi-Fi 6E設備使用，Extreme Networks認為，適合高速連通的應用，例如過去點對點的橋接主要依靠線路，有線雖具有穩定可靠的優勢，但在一些場域布線不易，可考慮運用6GHz頻段無線網路橋接，例如在大樓、工廠，如果因為環境嚴苛使得布線不易，可利用6GHz新頻段橋接，讓設備部署位置更有彈性，或是規畫變動頻繁的展場，也適合利用新頻段無線網路橋接。</p> <p>新頻段也適合高速資料傳輸應用，例如AI、AR等等。以製造業為例，製造業產線安排提供更多靈活彈性，借助6GHz的新頻段沒有相容舊設備，提供高速資料傳輸，例如在產線運作的機器人。</p> <p>以智慧製造為例，工廠內部署大量AIoT裝置，例如製造業常見的AOI自動光學檢測技術，需先定義異常情形，現在AIoT應用，利用AI檢測瑕疵，結合高解析度攝影機，即時拍攝產線上的半成品或材料影像，再由AI模型來辨識半成品或材料是否出現異常，例如組裝錯漏、組件歪斜、原物料表面的刮傷或擦傷、孔洞、不平整等等。</p> <p>過去基於即時傳輸、低延遲，以有線方式連接攝影機，傳送高解析度即時影像，由邊緣運算的AI模型判別是否有異常，但有線連接攝影機，可能使攝影機或線纜曝露在外，容易受環境高熱、水蒸氣、粉塵影響，導致攝影機或線材容易耗損、故障，Wi-Fi 6GHz高頻寬傳輸、低延遲可望取代有線網路，攝影機也能包覆保護，降低生產環境的傷害。另外，過去AR、VR為高速傳輸高畫質擬真內容，使用連接線連接頭戴裝置，使用體驗受到有線的限制，Wi-Fi 6GHz高頻寬、低延遲無線網路，可望以無線取代有線，改進AR、VR的使用體驗。</p> <p><a href="https://www.ithome.com.tw/article/160687" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1163-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=RWnVfEly" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/1/5 15:15作者蘇文彬https://www.ithome.com.tw/news/160684
【2024 IT十大趨勢 10】零售媒體聯播網崛起，企業搶占行銷先機須靠IT力彌補工具成熟度不足
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2024年，零售媒體聯播網（RMN，Retail Media Network）將成為快速崛起的新興數位行銷通路。</p> <p>臺灣已有少數零售業者推出RMN多年，例如設計類垂直電商Pinkoi、導購網飛比價格。2023年開始，多家零售巨頭相繼加入戰場。橫跨電商、超商、百貨、超市、外送等零售型態的大型業者，紛紛開始經營廣告業務。手握1,600萬會員的全家便利商店在2023年正式開放線上線下RMN版位，外送平臺龍頭Foodpanda則於2023下半年推出了消費者、外送員、餐廳通吃的複合型RMN。百貨龍頭新光三越、電商龍頭Momo、超市一哥全聯，也於2023年先後展開RMN建置準備。超商龍頭統一超雖沒有正式宣布推出RMN，但已低調推出客製化行銷推播跟數據行銷服務。超商老三萊爾富也有意跟進，正在積極強化數據基礎建設。</p> <p>RMN與其他數位行銷通路有2大關鍵區別。第一，RMN廣告投放是依據零售業者龐大且豐富的會員數據，可以做到精確且個人化廣告投放。這個特性在第三方Cookie退場後，尤其具備優勢。</p> <p>第二，RMN廣告版位於零售場景，曝光對象多為具備明確消費意願，且正在購買決策最後階段的消費者，因此行銷預算容易轉換為實際營收。</p> <p>國際上，RMN近年逐漸形成一個龐大廣告通路，Walmart 2022年廣告營收高達27億美元，Amazon廣告營收更高達377億美元。</p> <p>在臺灣，光是手握625萬會員的中型電商業者Pinkoi，一年透過RMN影響了3億元訂單營收。當影響力和觸及群眾規模更龐大的零售業巨頭相繼進軍RMN業務，將形成一個巨大行銷新戰場，為企業行銷部門帶來嶄新機會和選擇。</p> <p>可是，RMN的經營者，並非是專業數位廣告商，而是不熟悉Martech的零售業者，無法提供媲美成熟數位行銷通路的平臺能力，像是提供一站式平臺，可以兼顧投放廣告、追蹤行銷成效及分析行銷數據。</p> <p>過往，行銷部門可以自行操作、管理這些高度成熟的行銷工具，導入新行銷通路時，很少需要IT協助。可是，企業2024年想要嘗試仍在發展初期的臺灣RMN通路，會面臨不少IT面的挑戰，需要IT部門的支援才行。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>企業要搶進行銷通路新藍海，IT輔助成關鍵</strong></span></span></p> <p>The Trade Desk香港暨臺灣總經理顏任廷觀察，從國外案例來看，零售業者開始發展RMN初期，常會出現RMN跨通路整合度不佳、工具成熟度不足，以及成效數據分析困難等情況。這些情況會相生、相成，為企業數位行銷通路管理帶來技術挑戰。</p> <p>跨通路整合問題不只出現在RMN間的整合，還有和其他數位行銷通路的整合。RMN與其他數位廣告通路相比，廣告格式、投廣計價方式、數據格式都不同。大型零售業者建立RMN時，也不會和彼此協調上述項目。這意味著，當企業投放廣告於多家RMN，不只需要將一般數位行銷通路與RMN分開管理，還需要將各家RMN視為彼此獨立的行銷通路來管理，使行銷工具及數據管理進一步複雜化。</p> <p>行銷工具方面，RMN初期大多沒有自助式的程式化投廣工具供企業使用，更遑論能透過第三方平臺來與其他通路一站式投放，也鮮少有平臺能輕易整合RMN與其他通路間的數據來交叉分析行銷成效。</p> <p>數據整合方面，除了企業既有Martech工具未必支援RMN數據，企業還會面臨數據維度整合及數據分析標準統一這2項挑戰。RMN廣告形式多元，包含零售業者線上通路影音圖文廣告，線下門市數位看板、線下數據觸發的線上訊息推播、甚至有外送車看板、合作餐廳取餐區看板、紙本傳單、實體樣品等。多元廣告形式，意味著數據維度也非常多元，即使可以手動匯入RMN數據到分析平臺，也未必能與其他行銷通路的數據輕易整合。</p> <p>不只如此，由於RMN廣告格式和數據維度多元，遲至2023年9月，美國IAB才釋出公認廣告格式及成效追蹤標準。雖然IAB標準具有公信力，但對廣告商沒有強制性，實務上，現階段臺灣部分RMN廠商也未對齊此標準──這會導致，即使RMN有一些廣告格式與其他數位行銷通路的格式相同，也會因為沒有共通成效追標準，而難以綜合分析。</p> <p>上述這些問題都需要仰賴IT部門來應對。像是企業每多使用一家RMN平臺來行銷，IT部門就必須多熟悉一家RMN的技術規格及數據格式，並自行串接一次外部RMN系統到行銷部門既有Martech工具。</p> <p>不只如此，由於RMN行銷數據格式和成效評估標準尚未統一，IT部門還須與行銷部門密切合作，根據後者的領域知識，共同打造一套符合企業實際行銷需求的跨通路數據整合和綜合分析機制。</p> <p>固然，隨著RMN不斷發展，相關技術支援也會越趨成熟。不過，若企業想要在2024年，搶先其他競爭者進入這個新行銷通路藍海，博取更多消費者目光，IT部門就必須扮演關鍵的輔助角色，盡早與行銷部門共同做好採用RMN的技術準備。</p> <p><a href="https://www.ithome.com.tw/article/160687" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1163-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=RWnVfEly" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/1/5 15:24作者郭又華https://www.ithome.com.tw/news/160685
【2024 IT十大趨勢 9】第三方Cookie正式退場，避免行銷斷點企業得盡快轉換用戶技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Google預告Chrome瀏覽器停止支援第三方Cookie（3PC）3年後，他們終於定下正式停用時程，從2024年1月開始逐步停止支援，直到下半年全面退場。這意味著，2024年間，企業會逐漸感受到，跨站追蹤瀏覽器使用者行為及身分變得更加困難。</p> <p>首當其衝是仰賴3PC投放廣告的數位廣告業界。不過，3PC退場影響遠不止於此。許多企業會進行個人化行銷內容投放、跨站個人化服務、跨站身分認證、會員數據蒐集等應用，只要這些跨站追蹤應用背後是靠3PC資料，都會在2024年間逐漸失效。</p> <p>追蹤機制和延伸應用失效，企業會員數據、網站數據等紀錄便會出現難以回填的空缺，短期衝擊到會員經營及數位行銷活動，長期則會導致季度、年度等周期性數據分析窒礙難行。企業必須在3PC應用完全失效前備妥替代方案，以延續數據及行銷完整性。</p> <p>Google官方有推出3PC替代方案「隱私權沙盒系列」，作為跨站使用者追蹤及廣告投放技術新選擇。不過，這系列技術無法做到原本3PC所有用途。首先，隱私權沙盒技術原則是，使用者識別顆粒度最小只到1,000人，不能進一步識別個人身分。這意味著，企業原本行銷做法會從個人化行銷，降級到精確度更低的分眾行銷。</p> <p>再來，這些技術中，有些精準行銷和使用者數據追蹤機制，需要大量網站、企業及技術商都支援協定，才會成氣候。對企業來說，現階段採用這些技術效益不高。</p> <p>最重要的是，這些技術大多不是全面解決方案，企業還需同時採用其他技術來搭配，才能打造完整使用者跨站追蹤流程。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>企業須評估自身特性及需求來選擇3PC替代做法</strong></span></span></p> <p>目前市面上沒有任何單一技術可以直接替代第三方Cookie。企業必須評估自身技術能力、數據型態、業務型態、顧客接觸型態，以及跨站追蹤需求，來選擇一種或多種跨網站追蹤瀏覽器使用者的替代方案。</p> <p>Google宣布3PC退場3年多來，已經有一些先行者發展出不同跨站追蹤作法。這些做法可以分為2大類：整合自有數據及蒐集第二、第三方數據。</p> <p>第一類做法是整合自有通路數據。許多握有大量顧客數據的先行者企業會採用此方法，包括金融業、零售業、餐飲業，以及其他大型B2C服務業。他們會於顧客授權後，利用電子郵件、電話號碼、裝置ID、瀏覽器ID等資訊，作為跨通路識別ID，蒐集並整合同一名顧客於不同通路的消費、偏好、行為等數據。</p> <p>不少Google隱私權沙盒技術有助於企業蒐集跨通路自有數據，甚至部分外部通路數據。這些技術包括同集團網域共享資料的Related Website Sets API、不用建立新會員資料的SSO機制 Federated Credential Management API、衡量數位廣告成效的Attribution Reporting API，以及特定情況下能存取外部網站資料的Shared Storage API。</p> <p>不只Google官方技術有支援第一方數據整合，市面上也有不少成熟的Martech及數據管理工具，如CRM、CDP等，有助於企業蒐集、整合、分析及應用第一方數據。</p> <p>整合自有通路數據是先行者最常見的做法，不過當企業自有數據量不足，便需要進一步蒐集第二方、第三方數據。</p> <p>一種蒐集第二方數據的做法是雙邊行銷數據交換，由高度互補或相似的兩方企業交換數據或數據洞察。隨著這個做法逐漸普及，近年業界也發展出不同交換形式及技術，包括共享去識別化數據洞察、透過代理平臺共同應用但不存取彼此數據等。先行者企業也開始用數據無塵室（DCR，Data Clen Room）技術，在可信任環境中比對雙方顧客名單，並在合規且獲得顧客授權的前提下，整合重疊顧客的消費和行為等行銷用數據，使雙方企業都能蒐集到同一名顧客在彼此通路留下的數位足跡。</p> <p>為了蒐集第三方數據，另一個先行者常見做法是加入第一方數據聯盟。相較於只跟特定合作夥伴交換第二方數據，這種做法會先將成員身分轉化為去識別化的共同ID，再共享於所有聯盟成員間。這種做法主要用於豐富企業對自家目標客群的認知，不少小型餐飲業、小型服務業者或製造業者等自有數據少的企業，開始採用這種做法來拓展更多類似客群。</p> <p>許多國際大型行銷科技者已經開始經營第一方數據聯盟，例如The Trade Desk的Unified ID 2.0、Live Ramp的Ramp ID、Google的PPID等，都是囊擴許多成員第一方數據的去識別化ID解決方案。臺灣本土則有Ocard、禾多移動等業者，整合自家客戶或合作夥伴資料，成為可以共同行銷的第一方數據聯盟。</p> <p>不論是採用哪一種做法來替代3PC應用，企業都需要選擇新的跨通路識別依據、建立並部署新數據追蹤機制到自己所有通路，再將新數據流整合進既有行銷及數據管理系統。過程中，企業還可能需要向顧客要求額外資訊及授權，以及為新數據追蹤機制改造自有通路UI/UX。</p> <p>3PC退場倒數計時已經開始，為避免數據蒐集和行銷活動中斷，企業IT必須抓緊時間，在2024年下半年前完成這一系列3PC應用替代作業。</p> <p><a href="https://www.ithome.com.tw/article/160687" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1163-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=RWnVfEly" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/1/5 15:29作者郭又華https://www.ithome.com.tw/news/160686
2024年CIO要知道的IT趨勢
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1163-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=RWnVfEly" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">2023年爆紅的生成式AI浪潮，吸引了科技巨頭打造各種AI生產力應用和工具，成為各行各業AI遍地開花的推力。歐盟AI法案今年展開各項細節訂定，將成為規範AI義務與責任的關鍵手段。</p> <p dir="ltr">十年數位轉型浪潮，在GAI引擎的加速下，將在2024年衝擊每一個產業。如何把握機會與當責，成了CIO在2024年的重要挑戰。</p> </div></div></div>
2024/1/5 15:34未署名https://www.ithome.com.tw/article/160687
開發者質變的2024
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年是生成式AI技術大爆發的一年，光在生成式AI的上游，LLM模型的競爭，不只科技巨頭相繼投入，推出自家的LLM模型，還有多種中小型或是專用LLM模型，甚至出現了可以在特定高階手機上運作的微型LLM。不只上游模型競爭激烈，在中游的相關生成式AI工具鏈也百花齊放，LLM快速整合到不同領域、類型的工具，不只成為與工具使用者之間互動的新介面，甚至成了知識型的AI助手，尤其在程式碼開發的領域中，出現了各式各樣的開發者AI助手。</p> <p>程式碼開發是非常適合生成式AI的應用場景，大家最擔心的LLM模型幻覺回應，在這個場景可以完美地受到控制，一方面，程式碼能不能用，一執行，一跑測試，馬上就能知道，效果立判，甚至有些定義清楚、邊界要求明確的功能需求，可以不需要人為介入，單靠功能性測試就可以進行自動化判斷，LLM所生成的程式碼能否正常運作。這就大大提高了規模化、大量反覆使用的可行性。不只如此，LLM更化身成為了開發者的知識型AI助手，提供各種開發到部署維運等階段疑難雜症的解答。</p> <p>微軟利用全球最大開源專案平臺GitHub上的可用資料，所訓練出來的GitHub Copilot就是最典型的開發者AI代表。GitHub Copilot讓許多企業、開發者，第一次感受到，原來開發程式碼可以這麼輕鬆，不只是自動完成幾段程式碼，而是可以直接說，來點什麼功能，就生成了什麼功能的程式碼段落。開發者在那一刻，彷彿變成了鋼鐵人，身旁有個在開發知識上無所不能的Jarvis，只要動口就不用動手的新奇感受。</p> <p>這種全新的開發者體驗，更吸引了許多開發者工具廠商，紛紛下海開始用LLM技術來改造自己的產品，進一步帶動了2023年，開發者工具大量LLM化的現象。</p> <p>其他科技巨頭也不甘示弱，相繼推出了自己的程式碼生成AI助手，例如AWS在去年11月底的年度大會上，發表了用Amazon過去17年內部資料所打造出來的Amazon Q，可以整合到IDE開發環境中，理解開發專案的脈絡和限制，來生成更適用的程式碼段落，還以Amazon自家過去大量Java程式碼重構的資料，訓練出了可以將Java應用自動升級的AI助手，透過AI自動將舊版Java應用，生級新版Java的應用。Google緊接半個月後加入了AI開發者生產力工具的競爭，正式上線了Duet AI for Developer，一口氣支援了20多種程式語言，這款開發者Duet AI更找來不同的開發者工具鏈業者或專案聯手，包括了知識型合作夥伴，可以提供各自產品文件和知識庫，另外也整合了開發類相關工具，可以生成特定工具專用的程式碼。</p> <p>另一家專案代管平臺GitLab也在去年加入了這個戰場，例如在16.7新版中，正式推出了程式碼AI助手，雖然只支援14種主流程式語言，但是號稱只要10秒，能自動協助完成開發者所撰寫程式碼區塊的其餘程式碼，也可以自動生成測試程式碼，最大亮點是，開發者只需要輸入程式碼的註解文字，AI助手會自動依據這段註解，產生對應的程式碼，開發者連續輸入人類容易理解註解，就能靠AI助手將這一隻功能的程式完成。</p> <p>不只程式碼生成，AI還延伸到DevOps工作流程，如Jira開發平臺正式推出DevOps的AI助手，可以協助簡化開發流程的繁瑣作業，例如從工單自動產生用戶故事。主攻Salesforce領域的DevOps平臺工具商Copado則用ChatGPT打造AI助手，專門用來優化Salesforce應用開發的任務，例如自動生成自動測試腳本程式。</p> <p>而CircleCI則是反過來將自家CI/CD平臺延伸到AI應用的開發流程。IDE工具商JetBrains新AI助理的特色則是可以協助既有程式碼的重構，可以依據上下文脈絡與當前專案的限制提出重構建議，還能解釋其原因。</p> <p>大量開發者AI在2023紛紛現身，從程式碼開發，擴大到開發流程、開發者的維運需求、甚至是開發專案的人機協作，這些工具勢必在2024年開始改變開發者的工作樣態和模式，讓開發者的角色開始質變，不是寫程式的黑手，而更像是創造各式各樣數位應用的建造者。</p> <p>2024年，將是開發者AI實踐到處落地的新一年。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/%E9%96%8B%E7%99%BC%E8%80%85ai">開發者AI</a></div></div></div>
2024/1/5 15:50作者王宏仁https://www.ithome.com.tw/voice/160688
【2024 IT十大趨勢 6】AI PC讓裝置執行生成式AI應用成為可能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自ChatGPT從2023年在全球帶動生成式AI風潮，政府及企業關注如何運用生成式AI以提高工作效率、生產力，然而，大型生成式AI需要龐大運算相關資源訓練、推論，主要為雲端服務方式，不只帶來高額成本，政府或企業將資料上傳雲端，也容易產生外洩的風險，因此，生成式AI從雲端落地到企業機房，甚至行動PC，除了降低使用成本，也能為政府機關或企業降低資料外洩的風險。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>行動處理器競相提高AI運算能力，加速AI PC願景成形</strong></span></span></p> <p>鑑於生成式AI落地需求，處理器業者開始整合NPU（Neural Processing Unit）或Neural Engine，蘋果在自家Mac電腦使用的M系列晶片，整合Neural Engine神經網路技術，提高對機器學習應用的處理能力，去年10月底最新推出的M3系列晶片，搭載16核心的Neural Engine，相較M1最高提升60%，達到18 TOPS，以加速AI及機器學習的工作流程處理。</p> <p>x86處理器大廠英特爾也不落人後，在2023年喊出AI PC口號，意欲在PC市場帶動PC的AI應用，去年12月推出Core Ultra行動PC處理器，整合NPU，以專門處理長時間執行的低功耗AI負載，和CPU、GPU在AI任務處理上互補，特別是相當重視續航力的筆電，新的AI引擎NPU能源效率較前一代提升2.5倍。</p> <p>英特爾執行長Pat Gelsinger高喊個人電腦正式進入AI PC時代。揭露英特爾在PC市場的新戰略，該公司也發布AI PC加速計畫，希望促成2025年超過1億的PC上實現AI應用，為了達成此一目標，英特爾和100多家軟體供應商合作開發PC上的AI應用，例如Adobe、CyberLink、DeepRender、Audacity、BlackMagic等等。</p> <p>AMD則是在去年12月最新的Ryzen 8040，強調AI處理效能，整合Ryzen AI NPU技術，較前一代提升1.6倍AI處理效能，並提供Ryzen AI軟體，來加速在PC上建構及部署機器學習模式。</p> <p>微軟也預告Windows將支援新一代行動PC處理器，未來可透過處理器的NPU，加速生成式AI助理Copilot效能，以提升內容生成及問題答覆等用戶體驗。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>讓PC具備執行生成式AI小模型應用能力</strong></span></span></p> <p>這波趨勢不只是一般AI PC應用，也涵蓋生成式AI，讓一定參數規模以內的生成式AI應用也能在PC上離線執行。</p> <p>英特爾展示在Core Ultra筆電上利用生成式AI應用，生成類似美國流行天后Taylor Swift的曲風的歌曲，此外，還展示下一代處理器Lunar Lake，執行Stable Diffusion生成圖像。根據其測試結果，利用NPU執行Stable Diffusion，其處理時間及耗電都要優於不使用NPU的情形，整體效率提高7.8倍。英特爾指出，目前AI PC適合處理參數低於10億的AI小模型推論任務，例如Whisper語音轉文字模型，更大規模的參數，例如10到200億參數，則需要一臺x86伺服器執行，更大的參數規模則需要多CPU或GPU架構的伺服器，甚至由數據中心來處理。</p> <p>換言之，對企業而言，隨著行動PC的AI推論處理效能增加，參數較少的小型生成式AI應用可由行動PC處理，提高員工工作效率及生產力，而較大型的生成式AI模型可由企業機房處理，確保機敏資料在可控環境處理，至於數百億甚至千億以上參數的超大型LLM模型，則可使用雲端服務。依據AI模型的大小規模、資料安全及成本，在終端裝置、機房、雲端服務執行。</p> <p>IDC指出，AI PC在PC品牌業者、作業系統、晶片業者競相將AI推論能力從雲端擴展至終端裝置。生成式AI自從2023年引起全球關注，各種規模企業都在研究該技術，使員工如何在其業務中發揮生成式AI應用。未來隨著2025年Windows 10停止支援及 GenAI 應用帶動下，AI PC的成長動能將先在商業市場發酵，2026年底將有80%用於商業用途的新採購個人電腦搭載專為地端執行LLM應用設計的AI晶片，提高工作效率及生產力、減少延遲、確保資料安全，同時降低成本。</p> <p>更進一步來看，不只是AI PC，智慧型手機也鎖定生成式AI應用，聯發科、高通最新一代行動晶片紛紛主打生成式AI，例如聯發科的天璣9300及8300，以及高通的Snapdragon 8 Gen 3，除了強調AI算力效能之外，還有降低耗電，使智慧型手機能夠處理一定參數內的生成式AI應用。例如Snapdragon 8 Gen 3強調可支援超過100億參數，平均每秒15個Token指令，可執行INT 4精度及Transformer的大型LLM。</p> </div></div></div>
2024/1/5 14:55作者蘇文彬https://www.ithome.com.tw/news/160682
【2024 IT十大趨勢 7】AI監管浪潮捲進臺灣，產業指引將形塑未來1年臺灣企業的AI發展架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI在2023年遍地開花，也催生出各種AI監管法規。比如，美國在去年秋季頒布AI行政命令，要制定AI安全標準、落實AI系統隱私技術強化，還要訂定行政機關使用和採購AI指引，來控管公部門對AI的應用。</p> <p>而上個月，歐盟通過《人工智慧法案》，是世界首個AI監管法令框架，將AI系統分為最小風險、高風險、不可接受風險和特定透明度風險等4大類，要求AI廠商和使用組織遵循規範，例如高風險系統需具備風險緩解系統，並預計2025年正式上路。</p> <p>這股AI監管風潮也吹進臺灣，政府不只開始研議AI基本法草案，來降低使用風險，還在2023年下半年祭出公部門生成式AI參考指引，規範行政機關的運用方式。</p> <p>甚至，金管會還開出產業主管機關開出第一槍，在去年10月揭露金融業運用AI核心原則，以建立治理及問責機制、重視公平性和以人為本價值觀、保護隱私及客戶權益、確保系統穩健性與安全性、落實透明性與可解釋性、促進永續發展等6大原則和8項配套政策，制定出金融業運用AI指引草案，已於上個月發布、徵詢意見，未來將供金融業者參考遵循。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>企業需具備AI系統生命周期的管理機制</strong></span></span></p> <p>這份指引是國內的第一份產業AI指引，其他產業主管機關如衛福部、經濟部、交通部等後續也會推出相應的產業AI指引，也很可能參考金管會的作法，來供各產業業者遵循。</p> <p>因此，以金融業運用AI指引草案為例，該草案定義了AI系統和AI系統生命周期，包括系統規畫及設計、資料蒐集及輸入、模型建立及驗證，以及系統部署及監控等4大階段，意味著企業管理AI系統的範圍，不再只是單純的應用階段，而是涵蓋完整的系統生老病死，企業得具備各周期的管理機制，才能因應指引要求。</p> <p>舉例來說，該草案聚焦的6大核心原則，其中有4項就按照AI系統生命周期的4個階段，提出每個階段的執行建議。比如公平性原則，建議金融業者在系統規畫和設計時，除了確立目的、辨識可能受不利影響群體外，還要提供救濟管道。</p> <p>而在資料蒐集階段，則要確保資料、蒐集方式和來源不會產生偏見，在模型建立和驗證階段，企業要自行檢驗模型對不同群體的產出結果、聘請外部專家審查驗證，在最後的系統部署和監控階段，還要定期檢視、分析AI系統產出的結果是否存在歧視。</p> <p>另一項產業非常重視的AI系統可解釋性原則，在系統設計階段給出的建議是，企業得選擇適合的解釋工具，並在資料蒐集及輸入階段，要留下與AI系統訓練資料相關資訊的書面紀錄。到了模型建立及驗證階段，還要提供可解釋性報告，並驗證內部人員是否了解AI模型的功能和決策因素。至於最後一個系統部署和監控階段，則是要持續監控可解釋性是否達成。</p> <p>不只要兼顧AI系統生命周期，另外還有項建立治理及問責機制原則，更明確建議企業可做3件事，包括建立專屬團隊，來處理內部AI系統的運用，並針對AI模型進行風險管理和追蹤，如建立模型清單、部署後持續驗證等，甚至對已上線的AI系統，也要持續監控、記錄和審查。</p> <p>而永續原則強調，企業要優化演算法、減少模型複雜度和運算需求，來達到節能效果，另也要採用高效能硬體設備、優化硬體設施的配置和管理。這些建議，將企業AI運作管理範圍，從資料科學進一步擴大到IT硬體採購與配置。</p> <p>雖然這只是金融產業的AI指引草案，但更明確的提供了企業AI建置時實務可參考的架構，而且可能是未來各產業AI指引的參考架構。不只金融業，其他產業也可以先以金融業指引，作為自己打造AI系統時的建置和治理參考，來預作準備。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>AI評測中心成立，要出臺AI產品標準規範</strong></span></span></p> <p>除了針對公部門和特定產業設置使用指引，就在2023年最後一個月，政府還瞄準AI產品，啟動了AI產品與系統評測中心（簡稱AI評測中心），要來制定AI產品和系統的評測制度與指引。這些制度和指引，預計今年出爐。</p> <p>這個AI評測中心，是依據臺灣AI行動計畫2.0而成立。該計畫在2023年展開，目標是在2023年至2026年間，從人才、技術與產業發展、國際影響力、運作環境和人文社會等5大層面下手，強化臺灣AI國力。</p> <p>其中的運作環境，就是指完善法規制度和資料治理環境，可細分為推動資料治理、對通用領域和特定領域設置AI法規、成立AI產品和系統評測中心、加速發展接軌國際的AI規範與標準。其中，相關法規、指引已開始成形，數位部數位產業署也成立AI評測中心，下設制度推動委員會、技術審議小組等單位，來制定AI產品系統評測制度和指引。</p> <p>他們還針對驅動生成式AI應用的大型語言模型（LLM），建立了10項初步評測項目，包括安全性、可解釋性、彈性、公平性、準確性、透明性、當責性、可靠性、隱私和資安等項目，來把關模型品質。由國科會主導的可信任人工智慧對話引擎（TAIDE），也正接受這10項評測，未來還有更多模型將納入這項評測。</p> <p>這些評測項目和今年要問世的評測制度，將成為企業推出對外AI服務時的重要參考。因為，對企業來說，取得國家AI評測認證，就像是獲得食品標章一樣，證明自家服務所使用的模型，具備可解釋性、透明性和資安等能力，讓服務使用者安心採用。再加上臺灣逐步成形的產業AI指引，雖不具強制性，但將影響臺灣企業在未來一年的AI發展架構。</p> </div></div></div>
2024/1/5 15:05作者王若樸https://www.ithome.com.tw/news/160683
LastPass強制要求用戶必須設定長達12個字元的密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了強化用戶帳號的安全性，<a href="https://blog.lastpass.com/2024/01/lastpass-is-making-account-updates-heres-why/" target="_blank">密碼管理業者LastPass本周宣布</a>，將強制要求用戶的主密碼（Master Password）都必須至少採用12個字元，且在本月底前就會通知所有用戶。</p> <p>其實LastPass自2018年以來便以12個字元當作設定主密碼的預設值，但依然允許用戶建立字元數較少的密碼，一直到2023年4月，開始強制要求所有新用戶或是重設主密碼的用戶採用12個字元的密碼，而自今年1月起，將開始要求所有既有用戶都採用12個字元的主密碼。</p> <p>除了長度最少要達到12個字元之外，LastPass也建議用戶在建立密碼時，應該要夾雜大、小寫，數字或特殊字元，也可採用不容易被猜到的密碼短語，不要採用與其它服務一樣的密碼，也不要使用連續字元或個人資訊。</p> <p>LastPass表示，密碼強度是一個複雜的概念，其因素包含長度、複雜度及不可預測性，目前美國國家標準與技術研究所（NIST）指南要求使用者所建立的密碼長度最少為8個字元，但有鑑於各種密碼破解技術的最新進展，再加上人們傾向於建立可預測且方便記憶的密碼，因此建議使用者採用更長的密碼。</p> <p>LastPass服務主要是讓使用者管理所有的密碼，而主密碼更是存取這些密碼的門戶，也讓LastPass持續成為駭客的攻擊目標，涵蓋網釣及憑證填充攻擊。</p> <p>根據LastPass的規畫，該平臺將先針對免費、高階及家庭用戶發送電子郵件通知，要求他們變更主密碼至12字元以上，繼之才會通知團隊及企業用戶，預計會在今年1月底前完成通知。</p> </div></div></div>
2024/1/5 13:29作者陳曉莉https://www.ithome.com.tw/news/160681
雲象揭醫療AI產品選題心法，下一步攻基礎模型找出新突破
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「打造骨髓抹片分類計數AI的難度非常高，不只是雲象代表作，也代表臺灣有能力做出世界級產品。」雲象科技創辦人暨執行長葉肇元話鋒一轉，「但說真的，就商業價值而言，一家新創公司這麼做不太好。」</p> <p>這句話，道出了許多臺灣醫療AI新創面臨的困境。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>以數位病理服務起家，後納入病理AI開發雙管齊下發展</strong></span></span></p> <p>雲象科技以數位病理平臺起家，後來主攻病理AI，雙管齊下發展，目前全臺已經進行病理科數位轉型的醫院中，有近七成採用了雲象的數位病理系統。這對一家2015年才成立醫療AI新創來說，這是非常不容易的成就。</p> <p>所謂數位病理，是將傳統玻片樣本數位化，讓病理科醫師在電腦上直接查看組織切片樣本，尋找病變之處，不用像過去得用顯微鏡來檢視玻片。在這個數位化的基礎上，還能進一步發展病理AI，用經標註的數位病理影像來訓練模型，讓AI學會辨識特定疾病病徵或細胞，輔助醫師診斷。</p> <p>數位病理和病理AI這2項應用，更有機會解決醫院臨床流程上的痛點。實體玻片樣本最大的麻煩是，民眾要去第二家醫院、取得醫師判讀病理切片的第二意見時，得請原檢查醫院，寄送玻片樣本到第二家醫院才行，這個過程漫長，還可能延誤最佳治療時機。玻片影像一但數位化，就能解決實體寄送問題，甚至，病患還更容易去國外就醫、取得第二意見。</p> <p>病理AI則可以用來提高診斷品質。「一般民眾可能不知道，病理科的診斷敏感度不是百分之百，」葉肇元指出，病理科醫師辨識有患病者的能力並非100%，且在臺灣病理科醫師人力吃緊、診斷時間有限的情況下，其判斷力更容易受限。</p> <p>雲象科技曾做過一項研究，探討病理科醫師對於胃癌淋巴結微小轉移敏感度。他們發現，臺灣病理科醫師的敏感度為81%，比世界水準高出許多，但這仍意味著，100個被癌症侵犯的淋巴結，還是有19個可能被醫師遺漏掉。若搭配AI輔助，雲象團隊發現，醫師的診斷敏感度可提升到96%。「這對病患來說，是個非常大的改變！」他說。</p> <p>數位病理結合AI輔助，正是雲象科技成立的起心動念。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>3大里程碑驗證技術和市場能力</strong></span></span></p> <p>早年，雲象科技以研發數位病理平臺起家。但葉肇元認為，醫院病理科的數位化若無AI加值，就難以推動轉型。因此，雲象自2017年開始發展AI，將自己定位為AI驅動數位轉型供應商角色，推出醫療影像AI建置平臺。2018年，嘗試於全玻片影像中辨識鼻咽癌組織成功後，很快地在隔年獲得長庚醫療體系青睞，銷出數位病理平臺，成為雲象第一個重要的里程碑。</p> <p>他們在2018年，也悄悄地挑戰了一道世界級的難題，聯手臺大醫院血液科專家，要打造骨髓抹片分類計數AI。因為骨髓造血細胞是判斷許多血液疾病的重要因素，這項專案在醫學上非常有價值，但難度也特別高。過往最大挑戰是，這類細胞的計數，非常仰賴人工判斷，尤其需要經驗老道的專科醫師才能分辨，每一次判讀，至少得檢視500顆細胞才能更準確地判斷，一位病人至少得花上20分鐘。因為棘手，這類AI的應用在世界上非常少見。</p> <p>為挑戰這個難題，團隊採用了臺大醫院近千例骨髓抹片影像，總共包含近60萬顆骨髓細胞，來讓院內資深血液科專業醫師和醫檢師標註，供AI模型訓練使用。不只如此，雲象自己還聘請30年經驗專家，成為內部標註人員，來協助模型發展。完成訓練後，他們測試，模型不僅能分辨15種細胞，還達到94％的正確率，並能將原本20分鐘的人工判讀時間，縮短為5分鐘。</p> <p>他們在2020年正式發表了這款骨髓抹片分類計數AI，隔年取得衛福部食藥署TFDA和歐盟智慧醫材認證。在開發過程中，他們還建置了世界最大的骨髓抹片影像標註資料集，至今累積230萬次標註紀錄。</p> <p>這是雲象的第二大里程碑，意味著雲象有世界級技術能力，來解決臨床需求。「這是個非常艱鉅的任務，」葉肇元指出，骨髓抹片分類計數AI的成功，不只要整合專家人力和龐大資料，還需要技術突破與溝通能力。因為，2017年，新一代深度神經網路架構Mask R-CNN問世，隔年，團隊就用來訓練骨髓抹片分類計數AI，要來解決困難的影像辨識問題。「這是非常新的嘗試，」他表示，團隊透過複雜的AI調校，終於成功發表骨髓抹片計數AI，成為一項新技術應用的突破。</p> <p>在這項工程中，團隊還練就良好的溝通能力。因為他們聯手美國、日本血液科專家，不只面對日本專家需以日文溝通，還得時常舉辦專家共識會議，來取得骨髓細胞分類的共識。這個專案的成功，代表雲象有能力跨國溝通、取得多方專業共識。</p> <p>緊接著2021年，雲象迎來第三大里程碑。那年，他們發表大腸鏡即時瘜肉偵測AI，這套AI自2018年開始發展、由臺大醫院和國泰醫院共同參與開發，使用了將近40萬張腸道內視鏡影像訓練而成，準確率達到95.8%。這套AI可在醫師進行大腸鏡檢查時，即時框出肉眼難辨的瘜肉，輔助診斷。這套AI系統，還在隔年獲衛福部TFDA智慧醫材認證，已能進入市場，成為大腸鏡檢查的幫手。</p> <p>葉肇元將這套AI視為一大里程碑的原因是，不僅醫師認為大腸鏡即時瘜肉偵測AI好用，醫院也願意買單。因為，這款AI可用於民眾自費健檢項目，等於醫院導入後，可從民眾端回收成本，讓這款AI更容易發揮商業效益，是雲象取得市場需求和臨床需求平衡的代表作。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>從第3個里程碑思考產品設計方向</strong></span></span></p> <p>大腸鏡即時瘜肉偵測AI的出現，讓雲象意識到，產品選題和設計導向，也有辦法兼顧臨床和市場需求。</p> <p>由於臺灣既有健保制度，無法給付醫療AI，亦即就算醫院花成本導入、在診間使用AI輔助工具來提高診斷準確率，也無法透過健保申報取得回饋。這就造成，醫院採購成本難以回收，不只降低醫院採購AI系統的意願，也不利於醫療AI軟體廠商和新創生存，甚至對廠商投入研發、創新來說，難有正面幫助。</p> <p>骨髓抹片計數分類AI就是一例。葉肇元指出，該AI鎖定即將確診白血病的患者，這類病患人數少，且醫療過程中幾乎不會有自費項目，大多是健保給付項目。因此，要說服醫院採購這套AI系統，就「有挑戰性。」</p> <p>相較之下，大腸內視鏡屬於自費健檢項目，民眾本就願意自費進行大腸內視鏡檢查，若加上AI提升診斷品質，民眾也較有意願多出一些成本，來使用AI輔助診斷。所以，這套AI的商業機會比骨髓抹片計數分類AI要高，雲象也從中體悟到如何拿捏臨床與市場需求，「這是我們學到最重要的一課，」葉肇元說。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>因應臺灣智慧醫材發展痛點提出3大建議</strong></span></span></p> <p>雲象是臺灣第一波醫療AI浪潮掀起時就成立的公司，一路發展至今，葉肇元觀察，在臺灣健保制度下，如何兼顧市場和臨床需求，不只是他們面臨的挑戰，也是臺灣發展醫療AI時，必須面對的課題。</p> <p>他認為，有幾種方法可解決這個痛點。首先是提高健保預算總額，因為，臺灣目前的健保預算總額只占國內生產毛額（GDP）6%，不只低於鄰近的日、韓等國，也比多數已開發國家還低。</p> <p>健保預算有限，又要將醫療AI多納入給付範圍，勢必會排擠其他基礎照護項目。葉肇元認為，以臺灣健保預算8千多億、占GDP 6%的條件來討論智慧醫材發展，相當奢侈，應先提高健保預算總額、填補基礎健康照護不足，比如解決缺藥問題後，再來談醫療AI等智慧醫材是否納入給付。「應該仿照韓國，將健保預算總額提高至GDP 8%，臺灣才能解決基礎照護問題，也才有餘裕發展智慧醫材產業，」他說。</p> <p>不只從國家角度出發，從商業保險角度切入、建立外溢保單制度，也是另一種可行方法。意思是，保險公司可提供私人保單，來支付民眾使用醫療AI等智慧醫材項目，醫院可從中回收投資醫療AI的成本。不過，要做到這一點有許多挑戰，得先凝聚保險公司、醫院和智慧醫材廠商共識，建立計算基礎才行。</p> <p>另一個建議是建立自費機制，來讓患者選擇付費使用AI輔助診斷。葉肇元指出，在流程上，醫院可申請自費碼，來處理患者自費項目，比如，外科醫師要替病人開刀前，可先告知患者，手術檢體送至病理科判讀時，患者可選擇自費，來使用AI來輔助診斷，得到更精準的結果。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>下一步瞄準市場導向開發和AI技術發展</strong></span></span></p> <p>回到雲象本身，這2年來，他們的發展相對沉靜。但提起下一步計畫，葉肇元表示，他們瞄準健檢自費項目，要開發相關AI產品，同時也要持續運用在臺累積的開發技術和經驗，來拓展海外市場，特別是德國與日本。</p> <p>因為，他們2022年從飛利浦等國際大廠中脫穎而出，獲得德國頂尖醫院圖賓根大學附設醫院的病理數位轉型標案，要導入雲象數位病理平臺與病理AI應用。在日本，他們則獲得製藥大廠小野藥品的投資，也有合作專案進行中。</p> <p>除了市場布局，雲象也同步鑽研AI技術本身，特別是Transformer模型架構，要來探索以一套基礎模型為基礎、發展不同分支應用的可能。因為，雲象一直以來都針對不同專案，從零打造個別模型，發展起來較複雜。因此，他們希望從Transformer中，探索出下一個病理AI技術的突破口。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CEO小檔案 </span></strong></span></p> <p><strong>雲象科技執行長葉肇元</strong></p> <p>學歷：臺灣大學醫學系畢業</p> <p>經歷：臺大醫學系畢業後，至美國南加州大學攻讀病理學博士，期間利用進階光學顯微技術研究組織發育細胞動態時，發現自己對電腦演算法應用於影像分析的優異效能印象深刻，遇見其提升醫療品質的潛力，於是離開學術界，回臺於2015年創立雲象科技，擔任執行長至今。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1218-aetherai-200.png" style="width: 200px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>雲象科技</strong></p> <p>地址：臺北市南港區忠孝東路7段508號15樓</p> <p>成立時間：2015年</p> <p>主要業務：提供病理科數位轉型服務，包括數位病理平臺與病理相關AI產品，如大腸鏡瘜肉偵測、骨髓抹片分類計數等，並取得多項醫療器材認證</p> <p>員工數：80人</p> <p>網址：<a href="http://www.aetherai.com">www.aetherai.com</a></p> <p>執行長：葉肇元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事紀 </span></strong></span></p> <p>2016年：完成首項專案：全玻片影像循環腫瘤細胞電腦輔助偵測</p> <p>2017年：與林口長庚醫院合作；推出醫療影像AI建置平臺</p> <p>2018年：與匹茲堡醫學中心、臺大醫院、臺北榮總、長庚醫院等醫院合作，訓練多種AI模型</p> <p>2019年：研究深度學習用於全玻片醫療影像分析</p> <p>2020年：為臺大醫院、長庚醫療體系導入數位病理系統，與AI輔助診斷應用整合；發表骨髓抹片分類計數AI</p> <p>2021年：骨髓抹片分類計數AI取得衛福部智慧醫材許可；發表大腸鏡即時瘜肉偵測AI和低劑量電腦斷層肺結節AI偵測；與臺灣諾華、林口長庚醫院合作進行血液癌症AI輔助診治研究；研發運用全玻片影像，免細節標註可直接訓練AI的技術，發表於《Nature Communications》</p> <p>2022年：完成1億5千萬新臺幣A+輪募資；大腸鏡即時瘜肉偵測AI獲衛福部智慧醫材認證；於德國圖賓根大學附設醫院導入數位病理與AI應用；與國泰金控合作核保AI醫療影像應用</p> <p>2023年：持續擴大國際合作、加強AI技術在臨床應用的研究與開發，特別是Transformer架構研究</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1160-xie_zhao_yuan_-960.jpg" width="960" height="420" alt="" title="雲象科技創辦人暨執行長葉肇元" /></div></div></div>
2024/1/5 12:00作者王若樸https://www.ithome.com.tw/people/160330
【2024 IT十大趨勢 2】雲成本增長帶動財務管理新需求，FinOps新思維崛起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了應付企業雲端用量爆增與雲端環境日益複雜的挑戰，近兩年，一種雲端財務管理的新思維—FinOps（Cloud Financial Operations）在國外迅速竄紅，許多大型企業紛紛引進FinOps的做法，強化雲端中的財務管理，以建立更有效雲端維運成本的追蹤和管控機制，因此在國外掀起FinOps維運管理的新風潮。如今，這股風潮也開始吹進臺灣。IDC預期，FinOps將成為未來企業營運中不可或缺的重要管理工具，協助優化其上雲支出。</p> <p>FinOps並非新技術，而是專注於雲端維運財務管理的一門學問，強調以有效的方式管理雲端環境中的成本、優化資源運用，並建立更透明、負責任的財務運作模式。</p> <p>隨著企業擴大上雲規模，上雲成本的控管成了重要議題。Linux基金會旗下FinOps基金會2022年的調查，近四成國外企業每年需支付數百萬美元給雲端業者，甚至有一半企業每年的雲端費用超過一千萬美元，少數更高達10億美元。如此驚人的數字，使得越來越多的企業積極尋找更有效的雲端維運管理作法，因而推動了FinOps財務管理的崛起，成為企業應對雲端成本挑戰的新方法，甚至躍升成為雲端維運的新顯學。</p> <p>近兩年，FinOps在國外越來越盛行，許多大型企業紛紛採用，迪士尼、沃爾瑪、滙豐銀行、摩根大通、Equifax等，都因為大舉上雲，使得雲端費用爆增，因此決定導入FinOps的做法或思維，以重新調整或優化其雲端支出。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>企業FinOps旅程的三個階段</strong></span></span></p> <p>FinOps基金會將企業FinOps旅程分為通知（Inform）、優化（Optimize）以及維運（Operate）共3階段的迭代過程。首先，在通知階段，企業需蒐集和分析有關雲端使用情況、費率、折扣、計費的數據，提高雲端支出的透明度，同時將雲端成本分配給不同業務單位或專案團隊，強化問責機制。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E8%87%B3%E6%B5%A9-FinOps-%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-FinOps%E5%9F%BA%E9%87%91%E6%9C%83.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／FinOps基金會</span></span></p> <p>接著是優化階段，通過各種方法達到節費的效果，例如使用Right-sizing工具合理調整VM大小，或透過承諾一定的用量獲得相應的折扣降低費用，還有依需求自動調整服務資源等。最後維運階段，根據業務目標和相關指標持續評估與改善雲端財務管理實踐，確保雲端策略和營運目標一致，並不斷調整和改善雲端預算、成本預測和優化計畫。</p> <p>臺灣企業雲端花費雖不及國外，年年擴大上雲規模，每年付給公雲業者的費用也隨之增長。根據iThome歷年CIO大調查，臺灣企業在2020年上雲平均花費了643萬元，3年後，到了2023年成長38%，達到886萬元。企業今年內部應用上雲比重超過22％，並有兩成多的企業開始採用多雲混合雲，這些都是雲端費用快速攀升的原因。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1163-FinOps-600-JPG.jpg" style="width: 600px;" /></p> <p>不僅如此，企業雲端成本的提升也反映在本土雲端SI業者營收大幅成長。以AWS臺灣經銷商伊雲谷為例，在2020年營收突破百億元。而Google在臺灣的雲端代理商iKala在2021年營收也有達到10億元之多。</p> <p>開始重視上雲成本控管的企業，不只有如電商、遊戲、影音串流等雲原生企業，近幾年開始積極上雲的金融業、製造業等，也因為雲端用量逐年增加，有時甚至超過原本的預算，因此需要開始注重雲端費用的管理。</p> <p>舉例來說，國泰金控為大舉上雲，與雲端業者簽約3年，但才推動上雲計畫2年就耗盡了原本預定3年的預算，迫使他們不得不將系統先下雲，重新調整架構後再上雲。這凸顯出，企業在上雲過程中，對雲端成本控管的重要性。</p> <p>前幾年受疫情的衝擊，企業為加速轉型積極上雲，但疫情解除後，許多企業重新調整了策略，反映在雲端的投資上，對支出與運用更為謹慎，更加注重成本效益。也因此，透過導入FinOps，建立更有效的雲端財務管理的做法，有助於企業掌握雲端支出與成本效益。</p> <p>雖然相較於歐美國家，臺灣在FinOps的發展仍處於起步階段，尚未形成風潮，但IDC預測，FinOps將在2024年成為企業營運中不可或缺的重要管理工具。此外，從生態系統的發展來看，IDC認為未來將有更多與FinOps相關的諮詢和SaaS管理服務推出，有望進一步壯大FinOps的生態發展。</p> <p>從國外FinOps發展趨勢來看，能夠支援跨雲成本管理，以及在組織內部建立跨部門團隊的協作，不再僅僅將其視為是IT部門的工作，將是FinOps未來發展兩大重要方向。</p> </div></div></div>
2024/1/5 11:19作者余至浩https://www.ithome.com.tw/news/160676
【2024 IT十大趨勢 3】商用虛擬化軟體銷售政策大變革，加速企業轉向雲原生
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023年尾聲，IT圈發生了一件大事。虛擬化龍頭VMware大動作宣布全面採行訂閱付費制，對於新的企業用戶不再提供永久授權的買斷制，對既有用戶的授權續約也不再有買斷，僅提供訂閱。這則消息一出震憾了整個IT圈，但也成為推動企業2024年邁向雲原生的重要催化劑。</p> <p>VMware在去年12月11日宣布這項新政策，並在當日立即生效。這項新政策的公布，引起各方的議論。尤其不僅在國外，臺灣許多企業採用VMware的虛擬化方案，因此，對於這項新政策，企業未來在成本評估、服務合約轉換時機，以及可能替代方案等方面的影響，都成為未來CIO必須仔細評估的重點。</p> <p>新政策影響VMware旗下多項產品，涵蓋了VMware Cloud Foundation、vSphere、vSAN、 NSX、SRM 、HCX、vCloud及VMware Aria套件等。這些產品在企業IT機房中廣泛應用於伺服器虛擬化、儲存虛擬化以及網路虛擬化等。VMware一方面不再提供永久授權，全面改以訂閱服務合約模式，來銷售自家產品；另一方面也簡化了既有產品線，改以VMware Cloud Foundation（VCF）和全新的VMware vSphere Foundation （VVF）兩大產品線為核心。為了吸引新舊用戶，VMware還預告VCF訂閱方案降價50％。</p> <p>美國NAND Research研究機構取得了其母公司博通在12月20日一份價格資訊後，發布了一份分析報告，指出在新的綑綁式銷售下，長期來看，可能會使企業用戶的整體IT支出增加。這是新政策對企業IT可能帶來的最直接影響。此外，同樣提供虛擬化平臺的Nutanix比較了新制下永久授權與訂閱制方案之間的價差，顯示出5年訂閱方案，需要多付超過2倍的費用。</p> <p>目前VMware虛擬化平臺在臺灣約有超過6成市占，且永久授權居多。這代表，未來這些企業用戶雖然可以繼續使用既有授權的版本，但可能因為升級新版，或是需要取得技術支援的有效性，因此需進行續約。在面臨抉擇時，授權轉換可能帶來費用的增加，將使得他們可能改採其他替代方案。</p> <p>目前主流的虛擬化平臺，除了VMware vSphere，企業可以考慮將VM映像檔轉換到其他商用或開源平臺，例如微軟Hyper-V與開源KVM等。現今，企業很容易可以使用工具或備份軟體將VMware的VM映像檔轉移至其他平臺。</p> <p>在臺灣，一些企業考慮使用公雲作為其替代方案。例如，VMware不再提供永久授權後，台灣世曦工程顧問公司評估2024年優先採用公雲建立VM環境，逐步取代現有地端部署的虛擬機。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>VMware全訂閱制的實施，有機會成為企業加速上雲的催化劑</strong></span></span></p> <p>台灣世曦工程顧問資訊部副理張智欽指出，未來第一優先會考慮轉向使用公雲原生IaaS，除非是公司核心系統才繼續保留在VMware平臺上，而這樣的系統數量估計約占整體的三分之一，其餘則會優先選擇使用公雲方式部署。</p> <p>從買斷轉為訂閱方案，企業轉換授權或部署的方式雖然跟以往並無明顯差異，但在新制下，企業不再有軟體擁有權，只有使用權，因此他們會更認真思考，是繼續留在地端使用VMware訂閱方案，還是直接採用公雲方式部署。例如考量成本與未來發展性可能選擇價格合理、方便使用的環境來進行遷移。</p> <p>考慮到日後維運和管理的便利性，比起轉換到其他地端虛擬化平臺，張智欽認為，對於企業而言，直接上公雲可能更加有利。舉例來說，轉換到其他商用虛擬化平臺，企業如果自行打造虛擬化環境，須經過效能調校，需要耗費不少時間，但採用雲端部署就沒有這個問題，日後維運管理也更為便利。甚至在公雲中不考慮使用VMware平臺，價格上相對便宜。</p> <p>由於VMware這起事件，對原本已經準備往公雲發展的企業，也可能因此加速其向公雲遷移。「像我們本來就一直準備上雲，這起事件就是一個重要的催化劑。」張智欽說。</p> <p>不僅如此，對於因為法規鬆綁，促使金融業、醫療業在這兩年紛紛上雲，也可能因為VMware事件，進一步加速了金融或醫療企業在2024年上雲的腳步。</p> <p>隨著VMware新訂閱制的實施，越來越多企業未來將面臨轉換的抉擇，不僅提供了更強烈的上雲動機，甚至有機會掀起一波上雲風潮。</p> </div></div></div>
2024/1/5 11:25作者余至浩https://www.ithome.com.tw/news/160677
【2024 IT十大趨勢 4】碳費徵收及碳權交易法制化，供應鏈碳管理將成新主流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023年年初，臺灣三讀通過《氣候變遷因應法》，正式將淨零排放入法，不僅確立了2050年達成溫室氣體淨零排放的目標，更將碳費徵收和碳交易法制化。今年起，高碳排企業的溫室氣體年排放量就會被納入計價。此法一通過，也代表臺灣正式進入排碳有價時代，企業未來將依使用的碳排放付費。</p> <p>臺灣預計2025開始課徵碳費，將以2024年全年的排碳量為計費基礎，首波對象為512家碳排大戶，高科技製造業有台積電、日月光、世界先進、友達、群創光等公司；鋼鐵業則有中鋼、中龍鋼鐵等；化工業則有台塑石化、中油，以及電業有台電等。政府期望藉由建立碳費的機制，促使企業更積極採取更多的減排措施，降低碳排放。</p> <p>統計這些碳排大戶在2022年共排放了223.25 MtCO2e（百萬公噸二氧化碳當量），若以先前環境部預告碳費的起徵價格每噸320元來計算，總碳費高達715億元新臺幣，相當於政府去年總預算的四分之一。</p> <p>另一方面，隨著碳交易2023年底在臺灣上路，企業不僅需根據使用碳排放量支付碳費，未來還可以透過購買境內外碳權達到碳中和，或用於抵減一定比例的碳費。在碳交易首日，台灣碳權單日成交達8.8萬噸二氧化碳當量，總價約80多萬美元，每噸成交價為3.9～12美元。</p> <p>臺灣自去年起要求高碳排量的企業必須強制揭露碳排放數據，今年更開始根據碳排放量進行計價，以便明年向企業徵收碳費。這也使得企業未來更加需要建立系統化的碳盤查資訊蒐集和管理方式，以便能夠根據碳定價或碳交易的價格，準確計算出生產過程的碳排放成本費用，同時能夠根據變動的碳價，進行碳成本的調整。</p> <p>為了建立明確的碳成本，就需要能夠串接各種碳排放數據，因此，對於CIO而言，加強財務系統與碳排數據的結合變得十分重要，才能夠協助他們能更好地追蹤和評估碳排成本。</p> <p>尤其，面對越來越複雜的碳排管理環境，與ERP的整合變得更加重要，因為需要串接各種碳排放數據，才能正確計算其碳帳，建立更明確的碳成本。此外，透過整合ERP，企業能夠加強碳定價系統的管理，有效地監控和管理不同部門的碳排放情況，進而推動各部門的減碳行動，並且應對不斷變化的碳市場和法規要求。</p> <p>因應碳成本管理需求，國內外主要ERP軟體商，例如SAP、鼎新電腦等已紛紛開始支援碳成本管理。SAP在去年底S/4 HANA雲端ERP 2308版推出時正式提供了產品碳足跡的自動計算功能。今年上半，SAP還將進一步推出碳會計功能，不僅能夠根據碳足跡資訊自動計算碳成本，並將其整合到ERP財務系統中，還能追蹤製造過程從原料到出口商品碳排數據，甚至在生產製造BOM表中開始結合碳排資訊，同時支援採購單中的碳足跡數據揭露等功能。</p> <p>另一家本土ERP軟體商鼎新電腦則是打造一套雲端碳總管平臺，讓企業可以結合鼎新ERP或其他第三方ERP資訊，快速匯整其產品在生命周期各階段的碳排放詳細資訊，進而估算明確的碳成本並制定減碳對策。</p> <p>市調機構IDC將ERP列為亞太企業永續發展三大關鍵技術之一，另外兩項技術，分別是SCM供應鏈管理，以及數據分析與自動化。</p> <p>企業在永續實踐的成熟度上，IDC分成落後者、緩慢採用者、主流族群、領跑者以及遠見者共五階段。其中37%的企業歸為轉型初期的階段，屬於落後者或緩慢採用者，處於定義和評估永續標準的階段。42%的企業屬於主流族群，已經有明確的永續目標和預算，正在尋求擴大其永續發展所需技術和資源。至於屬於先驅者的企業仍不多，只有約21% ，這些企業已經將永續發展融入到組織營運每個環節中。</p> <p>IDC預測，到2024年，G2000的企業中有80％會以系統化方式追蹤碳排數據，並使用量化指標產出碳足跡報告。甚至接下來的三年內，約有40％會擴大使用全生態系統永續數據來制定營運決策，如此一來，可降低30%的碳足跡。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>建立跨平臺和流程的碳排管理，串接上下游供應商的碳排</strong></span></span></p> <p>從國際發展趨勢來看，配合歐盟CBAM去年10月開始試行，臺灣企業外銷到歐盟的商品，今年起必須定期提交碳含量報告。因此，對企業來說，未來必須要能夠利用系統自動追蹤和管理產品生產過程的碳排數據，以便隨時根據要求提供碳排報告。</p> <p>尤其，在品牌商的壓力下，加強供應鏈的碳管理也越來越重要，因為必須因應複雜的上下游關係和多樣資料來源的界定與管理，考驗著企業對供應鏈碳管理機制的建立，未來需要能夠串接上下游供應商的碳排數據，甚至能夠跨不同內外系統、平臺取得數據。</p> <p>IDC指出，供應鏈碳排管理是企業未來掌握完整碳排資訊的重要關鍵技術，未來將從單一系統的碳管理，進一步發展到跨平臺、流程的整合，建立由數據驅動的數位業務平臺，以便更好地掌握供應鏈碳排。</p> <p>臺灣在2023年完成《氣候法》的立法，即將在2025年開始徵收碳費，加上國際品牌商對供應商減碳有增無減，企業今年必須得更加重視供應鏈碳管理與發展，以提高數據透明度與信任度。</p> </div></div></div>
2024/1/5 11:31作者余至浩https://www.ithome.com.tw/news/160678
【2024 IT十大趨勢 5】雲端巨頭大推各類GAI工具，LLMOps工具鏈成形加速更多AI場景應用落地
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去一年堪稱是生成式AI元年，大型語言模型（LLM）強大的表現和泛化能力，帶給企業無限的應用空間。但模型規模越大，開發、部署和維運也就越複雜，於是，LLMOps因運而生，專門針對大型語言模型的各個生命周期提供管理工具，來滿足企業營運LLM應用的需求。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>LLMOps的5大特點</strong></span></span></p> <p>進一步來說，LLMOps是機器學習維運MLOps的分支，是一套專門針對大型語言模型開發、部署和維運的實踐方法。有別於MLOps，LLMOps有5大特點，其一是基礎模型選擇。因為，在LLMOps中，使用者通常選擇預訓練過的基礎模型，如開源的Llama 2、Falcon，或透過API呼叫GPT-4、Gemini Pro等模型，作為LLM應用的基底，而非從頭打造。</p> <p>再來，為確保LLM產出預期的答案，LLMOps還提供特殊工具，來讓使用者實作一系列模型優化，像是提示工程、檢索增強生成（RAG）、全參數微調或參數高效能微調（PEFT），甚至是人類回饋增強學習（RLHF）。其中，RAG是利用資料檢索，搭配特定資料庫，來作為模型生成答案的參考範圍。</p> <p>不只如此，LLMOps的模型評估和衡量指標，也與MLOps不同。比如，MLOps常以AUC、準確率、F1分數等容易清楚計算的指標，來衡量AI模型表現，但LLM並非如此，還需要特殊的基準測試和指標，如BLEU，或設計特定領域的題目、再透過其他LLM（如GPT-4）或以人工來評分答案，才能判斷模型表現。</p> <p>此外，LLM應用的部署也與一般ML模型不同，比如需要串接額外的向量資料庫或提示，來更好發揮LLM效能。LLM上線後，不只需要維運工具來把關模型是否漂移，還需要專屬工具來衡量提示與答案組的品質。這些就是LLMOps的5大特點。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>3大公雲投入，LLMOps工具鏈開始成形</strong></span></span></p> <p>在生成式AI遍地開花之際，3大公雲業者也瞄準LLMOps需求，開始布局LLMOps工具鏈，更在2023下半年加碼投入。比如，微軟早在去年5月推出Azure AI Studio平臺，來管理生成式AI基礎模型的建立、訓練、評估、部署和維運階段，更特別鎖定提示工程，推出名為Prompt Flow的生成提示工程工具，來讓開發者設計、優化和管理生成提示，提高語言模型回應的精準度。</p> <p>而且，微軟還納入提示流程圖功能，清楚顯示輸入問題、提示建立、提示整合，到LLM回應與輸出的過程，不只讓開發者掌握每個提示的生命周期，還能作為比對工具，來查看每個步驟的輸入和輸出、了解各流程環節對模型回應的影響，透過微調和實驗來優化模型輸出品質。</p> <p>不只是提示，微軟這款平臺還針對搜尋、推薦相關的內容生成需求，支援RAG，來作為調用LLM的預處理機制。去年11月，微軟更進一步將LLMOps擴展至小型語言模型，公開預覽了Windows AI Studio，提供Phi-2在內的多款小型基礎模型供選擇，開發者微調模型後，還一樣能透過Prompt Flow工具和Gradio模板來測試模型。</p> <p>另一方面，Google也在去年5月，大動作升級機器學習開發平臺Vertex AI，在其中的模型花園添加更多開源和商用LLM基礎模型，還在平臺上提供多項微調方法，包括提示設計、LoRA微調、蒸餾和RLHF，讓Vertex AI更貼近生成式AI開發需求。</p> <p>而且，就在上個月推出Gemini模型的同時，Google還揭露一系列Vertex AI新LLMOps工具，涵蓋了模型增強、與外部資料或API互動、自動化LLM評比和更多GAI控制機制。比如，增強工具能強化RAG機制、串接外部向量資料庫，來實現Vertex AI的多模態嵌入檢索，而自動化LLM評比工具Auto SxS，還能一對一自動比較兩個模型對指定任務的執行結果，並在模型部署上線後，自動追蹤每次從輸入到輸出的回應速度，來掌握模型效能。甚至，Google還預告要在Vertex AI平臺上新添多模型協作框架，來調度多個模型。</p> <p>AWS也在去年發展LLMOps，不只在2023年9月正式推出全託管AI平臺Bedrock，讓開發者透過API來使用多種基礎模型、簡單客製化，還在12月進一步推出支援RAG機制的無伺服器向量引擎，可儲存和查詢數十億個嵌入。他們甚至還預告，未來所有AWS資料庫都將具備向量功能，來加速企業整合資料、開發生成式AI應用。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>降低企業嘗試門檻，加速GAI深入不同場景</strong></span></span></p> <p>這些工具的出現，加速了企業LLM應用的開發。例如公雲業者的生成式AI開發平臺，提供了數十種熱門的基礎模型供開發者選擇，開發者可快速嘗試不同模型，來找出最合適的基底，作為應用核心。</p> <p>再來，提示工程工具不只能幫助企業管理提示，還能降低開發LLM應用的門檻。因為，這類提示工程工具可用來建置、調度、評估、測試、部署和監控提示，協助企業找出好的提示，而好的提示能引導LLM給出更高品質的回應。如此一來，企業不需進行複雜的微調，也能提高LLM表現。</p> <p>而LLMOps的RAG工具和向量資料庫支援，更能加速企業發展多模態應用。尤其，企業可將文字、影音或圖像等資料轉為向量，儲存至向量資料庫，再透過嵌入向量比對，來找出最相近的資料、交給模型生成答案，促進多模態應用發展，可以來因應企業更多元的內部應用，或是更多種業務場景的需求。</p> </div></div></div>
2024/1/5 11:42作者王若樸https://www.ithome.com.tw/news/160680
設計Pascal等9種程式語言的Niklaus Wirth以89歲高齡去世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>被譽為Pascal程式語言之父、主導其它8種程式語言設計，並曾獲得計算機領域最高榮譽之圖靈獎（Turing Award）的Niklaus Wirth，在今年的1月1日以89歲的高齡去世。</p> <p>1934年出生在瑞士的Wirth畢業於蘇黎世聯邦理工學院的電子工程系，之後赴加拿大取得拉瓦爾大學的碩士學位，1963年時於美國加州大學柏克萊分校拿到電機工程暨電腦科學的博士學位。</p> <p>畢業後的Wirth曾擔任學校教授，亦加入了全錄帕羅奧多研究中心（Xerox PARC），這是全錄旗下最重要的研究機構，也是許多電腦技術的誕生之處，Wirth亦是資訊處理國際聯合會（International Federation for Information Processing，IFIP）的成員，在此一計算機領域的全球性研究組織中，他參與了程式設計及國際資訊標準的制定。</p> <p>Wirth為許多程式語言的首席設計師，涵蓋1965年的Euler，1966年的PL360，1966年的ALGOL W，1970年的Pascal，1975年的Modula，1978年的Modula-2 ，1987年的Oberon，1991年的Oberon-2，一直到2007年的Oberon-07。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0105-Pascal-Wirth%20Pascal-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FAssociation%20for%20Computing%20Machinery%20(ACM)-600.png" style="width: 600px;" /></p> <p><a href="https://www.youtube.com/watch?v=SUgrS_KbSI8" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Association for Computing Machinery (ACM)</span></span></a></p> <p>當中，最知名的莫過於Pascal，它是第一個結構化程式語言，語法嚴謹，層次分明，容易撰寫與閱讀，方便用來教學，也帶動了現代化程式設計的潮流。Pascal在1970及1980年代非常流行，一直到後來陸續被C語言、Java及Python取代。</p> <p>Wirth對程式語言的貢獻，讓他在1984年獲得世界計算機學會（ACM）所頒布的圖靈獎。<a href="https://twitter.com/TheOfficialACM/status/1742928251859968202" target="_blank">ACM透過X表達了對Wirth的尊敬</a>，感謝他替之後的計算機語言、系統與架構研究奠定了良好的基礎。</p> <p>許多資深的程式設計工程師也透過X表達他們對Wirth的懷念，指出在80年代就開始寫程式的工程師們，鐵定會知道Wirth所發明的Pascal。</p> </div></div></div>
2024/1/5 10:27作者陳曉莉https://www.ithome.com.tw/news/160673
【2024 IT十大趨勢 1】開發者AI暴增和平臺工程成熟，GAI讓IT更有生產力和業務力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大的音樂串流平臺Spotify，在2023年秋天展開了一項副業，推出了商用軟體的線上市集，虛擬化龍頭VMware、老牌開源軟體商紅帽、知名DevOps工具商CircleCI搶先取得上架產品的資格。</p> <p>這個副業，跟他們全球6億活躍用戶一點關係都沒有，為何Spotify願意砸下人力、資金，跨入了與本業截然不同的新產業。關鍵就是平臺工程（Platform Engineering）趨勢在2023年突然竄起，成了企業IT發展的新主流。Spotify在2020年時，將自己用了四、五年的內部平臺工具Backstage，隨手開源釋出，現在竟成了平臺工程的當紅炸子雞工具。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>超過2千家企業用Backstage打造開發者平臺</strong></span></span></p> <p>根據Spotify統計，2021年時，不超過1百家企業，用Backstage來打造內部的開發者平臺（Internal Developer Platform，簡稱IDP），隨著平臺工程趨勢在2022年崛起，採用家數快速倍增成長到數百家。到了2023年，再次爆紅，統計到當年9月，全球超過了2,300家企業或組織採用BackStage，光在2023年的採用家數就成長了4倍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%96-%E5%B9%B3%E8%87%BA%E5%B7%A5%E7%A8%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Spotify.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Spotify</span></span></p> <p>Backstage成了企業發展平臺工程的首選工具，全球影音龍頭Netflix、歐洲時尚電商Zalando、美國航空、HBO MAX聯播網、加拿大Telus電信、英國體育臺DAZN，甚至連老牌軟體公司3D引擎巨頭Unity都看上這個工具，用來打造自己的內部開發者平臺。這些指標性企業的採用，吸引了更多企業，擁抱平臺工程浪潮。</p> <p>從Netflix的平臺工程經驗，更能看到擁抱上雲、雲原生之後，為何需要開始發展平臺工程的理由。</p> <p>像是號稱比雲端業者更懂用雲的Netflix，完全上雲戰略推動十年後，內部開發元件和工具越來越多也越繁雜，導致開發人員的開發流程一天比一天碎片化，反過來拖慢了生產力，為了解決積極上雲的開發債，才讓Netflix在2021年下定決定，直接用Backstage來打造一個涵蓋軟體開發生命周期各階段的開發單一平臺，提高各種開發資源的可用性。這正是許多積極上雲的企業，在全力擁抱雲原生之後，開始重視開發者體驗，開始擁抱平臺工程來解決開發者認知負載的緣故。</p> <p>這股指數型暴增的需求，讓Spotify決定認真做起這門意料之外的副業，在2022年上旬將Backstage程式碼捐給了CNCF，成了孵化專案之一，自己也設立Backstage產品部門，指派了專責的產品長，投入多項長期的平臺發展計畫，更推出了企業級的商用外掛市集，要來發展一個自己的平臺工程工具生態圈。</p> <p>Spotify的Backstage產品主管Meg Watson在2023年底揭露了未來三大發展方向，包括了強化平臺核心、移除導入障礙、探索更多延伸產品和服務，來宣示長期投入的承諾。像是目前需要70個步驟（就算如此麻煩，去年仍多了上千家企業想用），才能順利完成全套平臺的完整安裝，在2024年初將推出一項「快速啟動（Quickstart）」的新功能，可以大幅精簡到3個步驟，就能安裝好整套平臺。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>平臺工程是大規模雲原生發展的下一步</strong></span></span></p> <p>CNCF基金會在2023年4月時發表了一份平臺工程白皮書，將平臺工程視為企業要大規模運用雲原生技術的重要下一步。</p> <p>過去20年來，不論是以團隊協作優化為主的敏捷開發文化，或是整合開發與維運的DevOps浪潮，都是透過組織、文化、流程的變革和大量自動化機制，想辦法來提高開發團隊的速度和生產力，但是以容器技術和微服務為主的雲原生技術，為了提高擴充性和數位韌性，帶來了更大的複雜度挑戰。</p> <p>平臺工程趨勢的出現，可以將雲原生的複雜度抽象化，隱藏在自助式的開發者平臺底層，透過各種機制自動完成，大幅減少開發者處理非功能性的心力，包括許多例行、繁複、與業務邏輯無關，又得重複執行的工作，如網路、資安、可觀測性機制的設置。</p> <p>所以，CNCF基金會從2023年開始全力聚焦平臺工程的推廣，更在2023年底發表了平臺工程成熟度模式，這是繼雲原生成熟度模式後的第二個成熟度框架。從投資、採用、介面、維運、量測等五大面向提供了四階段的成熟度分級，不只是可供企業用來衡量自己目前的平臺工程能力，更要引導企業平臺工程能力的未來發展指引，可以先聚焦在哪些不足能力的強化。也有不少科技巨頭跟進力推平臺工程，如微軟公布了平臺工程實踐指南，指導企業如何用這個新方法論，來減少開發團隊使用繁多Azure服務的負擔。</p> <p>越來愈多大型企業採用、指標性平臺工程工具開始商品化、平臺工程生態圈開始成形、全球雲原生發展關鍵組織開始力拱，這些都讓平臺工程成了雲原生的下一波浪潮，在2024年會成為更多雲原生企業，提高生產力的關鍵。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>生成式AI浪潮帶動開發者AI蓬勃發展</strong></span></span></p> <p>不只平臺工程浪潮要提高企業開發生產力，去年爆紅的生成式AI浪潮，帶動了開發者AI蓬勃發展，在GitHub Copilot帶來了讓人驚艷的開發體驗，Google、AWS等科技巨頭也相繼加入了用開發者GAI工具的競賽。</p> <p>GitHub Copilot讓許多開發者感受到，開發程式碼可以更輕鬆，不只是整段程式碼的自動完成而已，而是可以在開發得過程中，不斷有個AI助手，自動將開發者需要的程式碼段落，自動完成貼上原本的專案中，甚至可以直接說想要點什麼功能，就生成了這個功能的程式碼段落。許多企業的IT團隊，都開始嘗試用GAI來輔助開發。</p> <p>AWS以Amazon自己過去17年的內部資料，訓練出一款開發者AI助手Amazon Q，可以整合到IDE開發環境中，理解開發專案的脈絡和限制，來生成更適用的程式碼段落，也能夠提供AWS雲端建置和維運的知識解答、問題除錯等QA。AWS更以自家過去大量Java程式碼重構的資料，訓練出了可以快速升級Java應用的AI助手，可以從古早的Java 8和11舊版應用程式，透過程式碼生成技術，升級到最新的Java 17，一發表就受到高度矚目，老舊程式升級正是企業IT長年的痛苦工作。</p> <p>在12月底正式加入戰局的Google，Duet AI for Developer一口氣支援了20多種程式語言，更找來多家開發者工具業者和專案聯手，像是提供各自產品文件和知識庫的AI查詢助手，或是可以針對不同的開發類工具，生成該項工具需要的專用程式碼。</p> <p>GitHub競爭對手GitLab，也推出了程式碼AI助手，號稱10秒自動完成所撰寫程式碼區塊的其餘程式碼，也可以生成測試程式碼。甚至，開發者輸入一段程式碼註解，AI助手會自動依據註解產生對應的程式碼，開發者只需要不斷地輸入註解說明，就能靠AI助手完成這隻程式的各項功能。</p> <p>DevOps工具商也開始整合GAI，Atlassian推出了自家平臺的DevOps AI助手，可以簡化開發流程中的繁瑣作業，像是從Jira軟體工單自動產生用戶故事，自動摘要 Confluence文件，也可輸入提示語快速建立工作流程或測試計畫。CircleCI將自家CI/CD平臺延伸到AI應用的開發流程。擁有IntelliJ IDEA、PyCharm等IDE的工具商JetBrains也推出開發者AI，最大特色是可以協助既有程式碼的重構，可以考慮程式碼的上下文，和當前專案的設置和限制，來提出程式重構建議，甚至還可以解釋這個建議的理由。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>平臺工程和AI增強式開發，讓開發團隊更有能力快速回應業務需求</strong></span></span></p> <p>Gartner給企業的2024年十大戰略科技趨勢建議中，就將這類開發AI助理、 AI增強測試工具和設計轉程式碼工具的發展，歸納成一股「AI增強式開發（AI-Augmented Developmet）」趨勢，預言到了2028年將有75%的軟體工程師採用。</p> <p>AI增強式開發相關工具的出現，Gartner認為，不只可以提高開發生產力，還能讓開發團隊有能力來回應和滿足更多業務面的需求，也能讓開發團隊思考更高階的開發活動，減少將時間花費在繁雜程式碼的撰寫。</p> <p>Gartner更將平臺工程趨勢和AI增強式開發趨勢結合，這兩項趨勢不只都可以提高開發團隊的生產力，平臺工程優化開發者體驗後，不只可以提高生產力，還可以加快開發團隊來實現企業商業價值的速度。開發團隊越有生產力，就越能快速回應和滿足企業商業需求，也能產生更大的業務影響力。</p> <p>開發工作可以更簡化、也更智慧化，但是老闆和業務團隊的期待也會更高更頻繁。今年將是企業IT人員最輕鬆，也將是最辛苦的一年。</p> </div></div></div>
2024/1/5 11:03作者王宏仁https://www.ithome.com.tw/news/160675
微軟為Windows 11 PC加入Copilot鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在為PC鍵盤加入「Windows鍵」30年之後，微軟本周在消費電子大展（Consumer Electronics Show，CES）前夕，<a href="https://blogs.windows.com/windowsexperience/2024/01/04/introducing-a-new-copilot-key-to-kick-off-the-year-of-ai-powered-windows-pcs/" target="_blank">再宣布將為Windows 11 PC加入Copilot鍵</a>。</p> <p>繼1995年Windows 95加入Windows鍵（或Winkey）後，微軟又一次為PC加入新功能鍵。新增的Copilot鍵連同Windows鍵成為PC鍵盤的核心，按下會啟動Windows中的Copilot，讓使用者更容易使用這個AI助理。目前，用戶可以結合「Winkey」+C來叫出Copilot。</p> <p>消費事業群行銷長Yusuf Mehdi指出，加入Copilot鍵是近30年以來，Windows PC鍵盤最重大的變革，他們相信這是Windows史上另一個里程碑，一如Windows鍵讓用戶更容易存取Windows選單上的功能，Copilot鍵也會是PC跨入AI世代的入口。</p> <p>此舉也是微軟加速在Windows整合AI的最新動作。雖然微軟去年初就推出Bing Chat，或是後來推出Android、iOS版Microsoft Copilot。但直到<a href="https://www.ithome.com.tw/news/158994" target="_blank">去年9月微軟正式為Windows 11推出Copilot</a>，AI才真正成為PC作業系統的一部份。有了Copilot鍵，Windows 11使用者將更方便使用PC中的AI功能。</p> <p>至於新加入的Copilot鍵會落在哪個位置，<a href="https://www.theverge.com/2024/1/4/24023809/microsoft-copilot-key-keyboard-windows-laptops-pcs" target="_blank">《The Verge》報導</a>，Copilot鍵可能取代「選單」鍵，選單鍵一般位於Windows鍵旁。<a href="https://www.pcworld.com/article/2191837/a-copilot-key-is-coming-to-your-pcs-keyboard.html" target="_blank">《PC World》則報導</a>，新Copilot鍵也可能取代一個「Alt鍵」。</p> </div></div></div>
2024/1/5 09:11作者林妍溱https://www.ithome.com.tw/news/160671
微軟推出AppCAT工具助.NET應用程式搬遷上Azure雲端
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出一款新工具<a href="https://devblogs.microsoft.com/dotnet/azure-migrate-app-and-code-assessment-tool-release/">AppCAT</a>，協助開發者更方便地將本地端.NET應用程式搬遷到Azure雲端。AppCAT能夠評估應用程式的.NET原始碼、配置和二進位檔案，找出將應用程式搬遷到Azure時可能遭遇的問題，並且建議雲端原生解決方案，解決效能、可擴展性和安全問題。</p> <p>AppCAT在分析.NET應用程式之後，會生成一份詳細報告，列出所有需要檢查或是改進的事項，確保應用程式在搬遷到Azure之後仍然能夠正常運作。該工具會對程式碼和相依項目執行靜態程式碼分析，探索應用程式的技術使用，並且讓開發者從AppCAT發現的問題，直接跳轉到需要注意的程式碼行，在問題解決後標記問題為已修復，並儲存問題和報告狀態方便開發團隊協作。</p> <p>AppCAT能評估解決每個問題所需的工作量，提供開發者在安排修復資源上的參考。此外，開發者可透過問題連接到微軟官方文件，進而快速獲得相關資訊。分析結果可被儲存為HTML、CSV和JSON格式的檔案，其中HTML的報告呈現方式，會與Visual Studio上儀表板的呈現相似。</p> <p>該分析報告顯示分析的專案數量、問題和事件資訊，以及修復每個事件、問題和專案所需要花費的工作量。事件會按類別和嚴重性分組，不同的檢視圖方便開發者查看事件和處理，或是跳轉到相關的程式碼區塊。</p> <p>AppCAT現在以兩種形式提供服務，開發者可以安裝Visual Studio擴充套件，也能夠從.NET CLI工具用到AppCAT功能。微軟也預告，接下來AppCAT工具還會與Copilot整合，結合人工智慧功能提供更完整的搬遷建議，以及特定問題的解決方案。</p> </div></div></div>
2024/1/4 22:37作者李建興https://www.ithome.com.tw/news/160667
PyPy儲存庫搬遷至GitHub
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Python直譯器PyPy的儲存庫和問題追蹤器目前已經從<a href="https://www.pypy.org/posts/2023/12/pypy-moved-to-git-github.html">Heptapod轉移到了GitHub</a>，也就是說現在PyPy已經不再使用Mercurial，而是改用Git追蹤開發。會做出這樣的改變，是因為PyPy開發團隊認為在可存取性、資源豐富度和開源社群廣泛使用度等方面，GitHub表現都較Heptapod更好。</p> <p>PyPy原本使用Heptapod的自由軟體託管服務，但是PyPy開發團隊認為Heptapod的可探索性和搜尋引擎最佳化程度不足，在Google、Bing、DuckDuckGo等搜尋引擎上的索引不佳，使得一般人難以搜尋到專案中的問題。另外，Heptapod強化了垃圾郵件的控制，導致貢獻者創建問題時會被錯誤標記成垃圾郵件。</p> <p>開發團隊認為GitHub現在已經成為開源的代名詞，對於小專案來說很難改變這個現狀。GitHub是目前最受歡迎的開源軟體託管平臺，將專案搬遷至GitHub上，可提高專案的能見度，這對於需要資源的小專案來說尤為重要。</p> <p>而且目前PyPy的開發工作方面，很大程度是要修復問題，因此把所有程式碼都集中在同一個平臺，追蹤互相關連的問題將會更有效率。相比於Heptapod，GitHub擁有更大的資源優勢，開發團隊可以添加持續整合作業，來替代一些老舊的建置機器人基礎設施。</p> <p>雖然PyPy開發團隊仍然認為Mercurial在命名分支模型和用戶介面上優於GitHub，但是考量平臺的可存取性、資源豐富度，以及在開源社群中的廣泛程度，開發團隊指出，搬遷至GitHub不光是有助於改善專案協作問題，不搬遷到GitHub上更可能對貢獻者的參與和問題報告造成障礙。</p> <p>PyPy專案從Heptapod移動到GitHub之後，還有許多工作需要進行，像是更新文件和自動化建置設定，以及複製Heptapod上的Wiki到GitHub上，還需要處理未搬遷的合併請求，這些請求需要貢獻者在解決分支命名問題後進行搬遷。</p> <p>也由於Heptapod不允許個人分叉，之前開發者對主儲存庫有較大的提交權限，但在GitHub上，開發流程將更加結構化，現在開發者需要先分叉儲存庫，並且提交拉取請求來提交變更。PyPy儲存庫也引入了預合併持續整合檢查，確保提交的拉取請求至少通過第一階段的轉換檢查，提高程式碼品質和穩定性。</p> </div></div></div>
2024/1/4 22:41作者李建興https://www.ithome.com.tw/news/160670
Martech雙周報第46期：禾多移動推出囊擴超過800家媒體與零售商廣告版位的行銷解決方案，類似臺灣本土版UID 2…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(1224~0106)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第一方數據聯盟</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#LBS</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CDP</span></span><br /> 禾多移動推出串聯超過800家媒體與零售商廣告版位的行銷解決方案，類似臺灣本土版UID 2.0</strong></p> <p>禾多移動成立「LRMN來客行銷大聯盟」並推出配套行銷科技解決方案，以去識別化ID整合500多家媒體及300多家電商聯盟成員的第一方數據，並提供廣告主自動化行銷用CDP，來投廣到聯盟成員的版位。這是臺灣第一個大規模串聯零售廣告版位的行銷平臺。</p> <p>LRMN以禾多去識別化ID One ID來整合成員第一方會員數據。One ID作法類似於UID 2.0等第一方數據聯盟ID，聯盟成員以符合GDPR規範的方法要求自家會員授權個資使用，營運方再利用手機號碼、Email等方法整合聯盟成員的會員名單。接著，這些會員身分會轉換成One ID，才開始分析和貼標。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LRMN2.jpg" style="height: 450px;" /></p> <p>廣告主可以透過LRMN的配套CDP，根據去識別化One ID來投放個人化廣告到聯盟成員通路版位。這些版位包括聯盟成員網站及App，還有消費者Email、通訊軟體及簡訊等線上通路。甚至，還能透過LBS技術，投放廣告到消費者所在的實體店面通路，例如POS機、店內電視等。</p> <p>LRMN支援與外部Martech串接、並用。除了透過禾多營運的CDP投廣和分析行銷數據，還可以透過第三方Martech投廣。廣告主也能將LRMN數據報表透過API輸出到Power BI、Looker Studio等常見分析工具，以及將既有DMP、CDP、DSP的受眾資料輸入到LRMN受眾包，來強化投廣效果。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#LLM應用</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷文案法遵</span></span><br /> 網際智慧推出AI行銷文案合規檢查工具，能快速辨別並解釋有觸法疑慮的用語</strong></p> <p>網際智慧推出行銷文案合規檢查工具「<a href="https://www.textcomply.com/">快合規</a>」，利用AI分析行銷文案後，標示出高風險文句，並帶出相關法規、公開裁罰案例與金額等資訊。此工具支援2,000字以內文案，號稱可在數秒內完成檢查，並會持續更新法條資料庫。</p> <p>不同類型的商品，行銷文案會適用不同法規，例如，食品類商品不得宣稱醫療效能。經驗不足的行銷人員容易用字不當而誤觸禁令。快合規會根據行銷文案商品種類，來選擇適用法規，並依照明確觸法、曾有類似文案遭罰、根據上下文情境有觸法疑慮等3種風險層級來標註文案，供行銷人員作為調整參考。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/txcplm.jpg" style="width: 600px;" /></p> <p>此工具採取計次收費模式，根據選擇方案，每1次檢核要價20至30元。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RAG</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI助理</span></span><br /> Saleforce Einstein新增用RAG強化AI助理及其他CRM應用的功能</strong></p> <p>Saleforce的AI平臺Einstein<a href="https://www.salesforce.com/news/press-releases/2023/12/14/unstructured-data-ai-search-einstein/">新增了建立向量資料庫功能及對話式搜尋功能</a>。前者用於支援RAG功能，可以上傳結構化及非結構化資料，使企業不須微調LLM，就能使AI執行CRM相關功能時，將企業資料考慮其中。後者則是一個RAG應用，使用者可以用自然語言對話詢問聊天機器人，機器人可以根據企業上傳資料來給出更精確的答案，而非籠統的一般性答案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/sfe.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#使用者隱私</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#精準行銷</span></span><br /> 考克斯媒體集團不小心透露自己未經過直接同意就聆聽使用者智慧裝置並用來投放廣告</strong></p> <p>媒體巨頭考克斯媒體集團（Cox Media Group）在一篇部落格文章中，提及自家有透過智慧型手機、汽車娛樂系統、智慧型電視等裝置聆聽使用者需求，並以AI分析對話內容後投放廣告的能力。問題是，文章中並沒有提到他們獲得消費者直接同意聆聽、分析自己談話。他們只聲稱，消費者使用智慧型裝置時，只要同意裝置常態開啟麥克風，就等於廣告商有資格透過這些裝置聆聽並分析使用者需求。</p> <p>此篇文章引起外界質疑，認為Cox嚴重侵犯消費者隱私，導致Cox緊急刪除該部落格文章。不過，<a href="http://www.google.com/search?q=%22what+would+it+mean+for+your+business+if+you+could+target+potential+clients%22&sca_esv=595263573&rlz=1C1ASVC_zh-TWTW995TW995&sxsrf=AM9HkKnAy8AYpb4n0KZ_DP4BiIbGHqx2Bg%3A1704256733891&ei=3eSUZZH0Nduk2roP942PiAw&ved=0ahUKEwjR1uqJs8CDAxVbklYBHffGA8EQ4dUDCBA&uact=5&oq=%22what+would+it+mean+for+your+business+if+you+could+target+potential+clients%22&gs_lp=Egxnd3Mtd2l6LXNlcnAiTCJ3aGF0IHdvdWxkIGl0IG1lYW4gZm9yIHlvdXIgYnVzaW5lc3MgaWYgeW91IGNvdWxkIHRhcmdldCBwb3RlbnRpYWwgY2xpZW50cyJIAFAAWABwAHgBkAEAmAEAoAEAqgEAuAEDyAEA-AEB4gMEGAAgQQ&sclient=gws-wiz-serp">從Google搜尋仍能看到此篇文章備份內容</a>，也有<a href="https://www.documentcloud.org/documents/24224884-how-voice-data-works-and-how-you-can-use-it-in-your-business-cmg-local-solutions?ref=404media.co">外媒備份此文章頁面</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/listen.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#數據無塵室</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#視覺化界面</span></span><br /> Snowflake併購Samooha來簡化DCR建置</strong></p> <p>數據服務商大廠Snowflake進一步投資數據無塵室（DCR）科技，併購了視覺化資料無塵室商Samooha，以用其DCR技術強化自家DCR產品。過往，Snowflake企業用戶要建立DCR環境，需要熟悉Snowflake DCR架構，並具備數據工程專業。Samooha的資料無塵室則有No-code的視覺化界面，可以由非IT專業人員自行建立、操作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/samooha.jpg" style="width: 600px;" /></p> <p>為了因應第三方Cookie退場，越來越多企業選擇與特定合作夥伴進行數據協作或數據交換，以在合規情況下使用外部數據來行銷。乘著此趨勢，DCR開始受到大量關注。不過，傳統上，DCR建置需要參與交換的企業投入數據工程師進行跨企業協作，因此採用門檻高。直到近一年多，才陸續有更多大型雲端服務商或數據服務商推出不須高度IT專業的DCR解決方案。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. Happy Go導入Azure OpenAI服務來強化商品及客群特徵理解。</p> <p>2. <a href="https://www.prnewswire.com/news-releases/blueshift-launches-free-cdp-starter-for-cross-channel-engagement-302009086.html">Blueshift推出免費版CDP，具備數據整合、查詢、自動化行銷等功能，支援至多10,000名客戶檔案。</a></p> <p>3. <a href="https://corporate.walmart.com/about/samsclub/news/2023/12/12/sams-club-map-launches-full-funnel-video-capabilities-with-advanced-member-measurement">Walmart旗下Sam's Club開始支援影音廣告，利用會員消費數據及會員觀賞CTV的紀錄來投放。</a></p> <p>4. <a href="http://https://chiefmartec.com/2024/01/the-amazing-turning-point-when-martech-systems-complexity-and-martech-ux-complexity-diverge/">Martech之父預測2024年Martech會開始出現大量AI代理人功能，來簡化行銷人員操作複雜度。</a></p> <p>資料來源：iThome整理，2024年1月</p> <p>圖片來源：禾多移動、Samooha、Saleforce、網際智慧</p> <p>責任編輯：郭又華</p> </div></div></div>
2024/1/4 18:39作者郭又華https://www.ithome.com.tw/news/160668
【資安日報】1月4日，俄羅斯駭客入侵烏克蘭民用網路攝影機並用於飛彈精準轟炸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>烏克蘭戰爭開戰已經接近2年，俄羅斯駭客將網路攻擊配合軍事行動的情況不時傳出，使得相關的網路攻擊在這場戰爭當中，具有舉足輕重的地位。</p> <p>而最近烏克蘭面臨大規模空襲的期間，也傳出俄羅斯駭客趁機攻擊烏克蘭首都的網路攝影機，使得俄羅斯能夠掌握烏克蘭防空部署，更有效進行飛彈轟炸。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;">烏克蘭住宅區網路攝影機遭駭，俄羅斯將其用於軍事行動偵察</strong></p> <p></p> <p>根據基輔獨立報、SecurityAffairs、The Record等媒體報導，烏克蘭國家安全局（SBU）宣布拆除2臺位於基輔的網路攝影機，原因是俄羅斯駭客入侵上述設備後，在1月2日大規模空襲期間收集基輔的防空系統，以及關鍵基礎設施的位置。</p> <p>SBU指出，這些攝影機遭到攻擊後，俄羅斯特種部隊取得相關畫面之後，而得以監視駐紮當地的烏克蘭軍隊，其中一臺設備位於公寓陽臺，原本是當地住戶用於監控週邊情況，另一臺也是住宅區居民所設，用於監控停車場。值得留意的是，對方得逞後，不只取得遠端的存取權限來進行控制，改變攝影機角度，甚至將其與YouTube連線。</p> <p>而這並非烏克蘭的網路攝影機遭到俄羅斯入侵的首例，自2022年2月烏克蘭戰爭開打，SBU已經阻斷約1萬臺IP攝影機的運作，以免敵軍將其用於空襲。</p> <p>資料來源</p> <p>1. <a href="https://kyivindependent.com/sbu-blocks-surveillance-cameras-hacked-by-russians-to-spy-on-targets-in-kyiv/">https://kyivindependent.com/sbu-blocks-surveillance-cameras-hacked-by-russians-to-spy-on-targets-in-kyiv/</a> <br /> 2. <a href="https://securityaffairs.com/156812/intelligence/russia-hacked-surveillance-cameras-ukraine.html">https://securityaffairs.com/156812/intelligence/russia-hacked-surveillance-cameras-ukraine.html</a><br /> 3. <a href="https://therecord.media/ukraine-says-russia-hacked-web-cameras-to-spy-on-kyiv-targets">https://therecord.media/ukraine-says-russia-hacked-web-cameras-to-spy-on-kyiv-targets</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/victoria-court-recordings-exposed-in-reported-ransomware-attack/"><strong style="font-size: 22px;">澳洲法院傳出遭駭客入侵，聽證會錄音恐外流</strong></a></p> <p></p> <p>1月2日澳洲維多利亞州法院服務中心（CSV）發布公告，表明他們在12月21日察覺遭遇網路攻擊，本次事故出現未經授權存取的情況，導致法院內的視聽網路中斷，影響錄影、錄音、轉錄的工作。CSV隨即隔離、停用受到影響的網路系統，並確保一月份的聽證會能照常舉行。根據初步調查的結果，11月1日至12月21日部分聽證會的錄音遭到異常存取，但也有部分10月以前的資料可能外流，受影響的單位，包括最高法院、縣立法院、行政法院、兒童法庭、驗屍法庭。</p> <p>關於攻擊者的來歷，根據ABC News報導指出，有一位資安專家Robert Potter掌握相關證據，認為攻擊者來自俄羅斯，對方使用勒索軟體Qilin發動攻擊，並向法院進行雙重勒索。</p> <p>資料來源</p> <p>1. <a href="http://courts.vic.gov.au/news/court-services-victoria-cyber-incident">http://courts.vic.gov.au/news/court-services-victoria-cyber-incident</a><br /> 2. <a href="http://www.abc.net.au/news/2024-01-02/victoria-court-system-targeted-in-cyber-attack-russian-hackers/103272118">http://www.abc.net.au/news/2024-01-02/victoria-court-system-targeted-in-cyber-attack-russian-hackers/103272118</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/xerox-says-subsidiary-xbs-us-breached-after-ransomware-gang-leaks-data/"><strong style="font-size: 22px;">全錄證實美國分公司遭遇網路攻擊，部分個資外洩</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GCopQXqW4AEykkL.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCopQXqW4AEykkL.jpg" style="width: 300px; float: right;" /></a>12月29日勒索軟體駭客組織Inc Ransom聲稱對全錄（Xerox）的美國分公司發動攻擊，並提供電子郵件、發票的截圖作為證明。</p> <p>到了1月2日，該公司證實遭遇網路攻擊，並透露這起事故資安人員察覺後已進行遏止，經調查後確認僅有旗下的Xerox Business Solutions（XBS）美國分公司XBS U.S.受到影響，導致XBS部分人士的個資可能外流，但全錄公司的系統及營運皆未受到影響，XBS營運也並未受到影響。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/omvapt/status/1741249569789284615">https://twitter.com/omvapt/status/1741249569789284615</a><br /> 2. <a href="https://www.news.xerox.com/news/xerox-releases-statement-regarding-cybersecurity-incident-affecting-xbs-subsidiary">https://www.news.xerox.com/news/xerox-releases-statement-regarding-cybersecurity-incident-affecting-xbs-subsidiary</a></p> <p><a href="https://securityaffairs.com/156709/cyber-crime/cactus-ransomware-coop-sweden.html"><strong style="font-size: 22px;">瑞典食品零售供應商Coop傳出遭勒索軟體駭客組織Cactus攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/cactus-coop-41.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cactus-coop-41.png" style="width: 300px; float: right;" /></a>根據資安新聞網站SecurityAffairs的報導，瑞典大型零售及雜貨供應商Coop傳出遭到勒索軟體駭客組織Cactus攻擊，駭客聲稱竊得257 GB資料，並公布部分身分證企圖證明是他們所為。對方揚言若Coop不願付贖金，他們將會公布數量極為龐大的個資，並表明這些資料存放於超過2.1萬個資料夾。</p> <p>本次並非Coop首度因網路攻擊而受害，2021年7月，該公司揭露他們因軟體供應商受到Kaseya供應鏈攻擊，而導致遭遇勒索軟體REvil攻擊，500家超市被迫暫停營業。</p> <p><a href="https://www.bleepingcomputer.com/news/security/nearly-11-million-ssh-servers-vulnerable-to-new-terrapin-attacks/"><strong style="font-size: 22px;">近1,100萬臺SSH伺服器可透過Terrapin手法攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GC6KexVXMAAPxY8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GC6KexVXMAAPxY8.jpg" style="width: 300px; float: right;" /></a>12月下旬德國波鴻魯爾大學研究人員揭露針對SSH通訊協定的新型態攻擊手法Terrapin，可藉此破壞SSH安全通道的完整性，從而攔截或修改用戶端與伺服器間傳送的資料，達到洩漏資料與冒用身分等目的，如今有研究人員提出警告，伺服器存在可被用於上述攻擊的相關弱點的情況相當嚴重。</p> <p>1月3日Shadowserver基金會指出，可從網際網路上存取的伺服器，有近1,100萬臺存在CVE-2023-48795漏洞，而能透過Terrapin對其發動攻擊，這些伺服器所使用的IPv4及IPv6位址，占整體的52%。其中美國曝露的主機臺數最多，有330萬臺，其次是中國、德國、俄羅斯，分別有130萬臺、100萬臺、70萬臺。</p> <p><a href="https://www.securityjoes.com/post/hide-and-seek-in-windows-closet-unmasking-the-winsxs-hijacking-hideout"><strong style="font-size: 22px;">新型態DLL搜尋順序挾持手法可繞過Windows 10及11的防護措施</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/d03b6f_a25d8dccc1c64797bb89f75aa39848bf~mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/d03b6f_a25d8dccc1c64797bb89f75aa39848bf~mv2.png" style="width: 300px; float: right;" /></a>資安業者Security Joes揭露新型態的DLL搜尋順序挾持（DLL Search Order Hijacking）攻擊手法，並指出駭客可濫用系統資料夾WinSXS，繞過Windows 10、11作業系統的防護措施。</p> <p>由於這種方法以該資料夾裡的應用程式執行檔為目標，而能夠在無需提升權限的情況下，執行惡意程式碼，再者，則是因為利用該資料夾已被視窗作業系統索引的檔案，攻擊者不需要自備執行檔，就能從事攻擊行動，另一方面，研究人員認為這樣的手法能讓攻擊變得更加隱密，原因是他們利用作業系統已信任的元件，且在專屬的記憶體空間執行惡意程式碼，使得資安分析工具難以將其視為有害。</p> <p>為了驗證這種攻擊手法，研究人員嘗試在WinSXS資料夾尋找有可能被利用的EXE檔案（如ngentask.exe、aspnet_wp.exe），並設置相同檔案名稱的惡意DLL檔案，而有機會透過DLL搜尋順序挾持手法，成功執行任意程式碼。</p> <p><a href="https://assets-global.website-files.com/635e632477408d12d1811a64/6594e99c2daf492ccb1af7e7_gold_rush_on_the_dark_web-_twitter_gold.pdf"><strong style="font-size: 22px;">社群網站X金色標章帳號遭到外流與冒用，相關資訊並在暗網流傳</strong></a></p> <p></p> <p>資安業者CloudSEK提出警告，自X（推特）從2022年12月推出新的驗證帳號方案，駭客就企圖利用各種技術，偽造或盜竊具有金色認證標章、代表已通過驗證的企業組織帳號。</p> <p>研究人員在去年3月，首度在暗網市集看到有人兜售這類帳號，這些駭客主要透過3種手法取得，其中一種是自行建立假的帳號並通過相關驗證，再供買家使用；另外兩種手法則是盜取他人帳號而得，而根據利用的工具不同，一種是利用Open Bullet、SilverBullet、SentryMBA等工具進行暴力破解；另一種則是藉由竊資軟體於受害電腦挖掘相關帳密資料。</p> <p>而根據X帳號的等級不同，一般而言，新帳號在暗網的平均單價為0.3美元，具有金色標章的帳號為500美元，但若是將設置超過5年的帳號升級金色標章，這類帳號售價從1,200美元至2,000美元不等。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://doublepulsar.com/cyber-toufan-goes-oprah-mode-with-free-linux-system-wipes-of-over-100-organisations-eaf249b042dc"><strong><span style="font-size: 20px;">100個以色列企業組織遭巴基斯坦駭客Cyber Toufan攻擊</span></strong></a></p> <p></p> <p><a href="https://www.hackread.com/iranian-food-delivery-snappfood-cyber-attack/"><strong><span style="font-size: 20px;">伊朗外送平臺Snapfood傳出遭到網路攻擊，3 TB資料外流</span></strong></a></p> <p></p> <p><a href="https://sec-consult.com/blog/detail/smtp-smuggling-spoofing-e-mails-worldwide/"><strong><span style="font-size: 20px;">新型態SMTP挾持手法可繞過資安系統寄送惡意郵件</span></strong></a></p> <p></p> <p><a href="https://research.checkpoint.com/2023/the-rising-threat-of-phishing-attacks-with-crypto-drainers/"><strong><span style="font-size: 20px;">駭客組織Angel Drainer鎖定加密貨幣領域發動網釣攻擊，意圖榨乾加密貨幣錢包</span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/160663"><strong><span style="font-size: 20px;">法國IT服務業者Atos求售大數據及資安部門，買家是航太龍頭空中巴士</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160647"><strong>【1月3日】日本遊戲開發商因母公司Google Drive配置錯誤導致近百萬人的個資曝險</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160635"><strong>【1月2日】竊資軟體濫用Google未公開的OAuth同步機制挾持用戶帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160616"><strong>【12月29日】 Booking.com合作旅館、房客面臨網釣攻擊且外洩個資出現轉交其他團體兜售現象</strong></a></p> </div></div></div>
2024/1/4 15:31作者周峻佑https://www.ithome.com.tw/news/160666
研究人員利用衛星圖像與機器學習，繪製首張全球海上基礎設施與船隻足跡地圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nature.com/articles/s41586-023-06825-8" target="_blank">《自然》（Nature》本周刊出</a>了一篇由全球漁業觀察（Global Fishing Watch）主導的一項研究報告，該研究是利用機器學習及衛星圖像繪製了全球首張海上基礎設施與船隻足跡的地圖，揭露有75%的工業漁船一直在暗中活動。</p> <p><a href="https://globalfishingwatch.org/press-release/new-research-harnesses-ai-and-satellite-imagery-to-reveal-the-expanding-footprint-of-human-activity-at-sea/" target="_blank">該研究的共同作者David Kroodsma解釋</a>，人們幾乎擁有地圖上每條道路與建築物的詳細地圖，但海洋活動很大一部分是隱藏在人類視野之外的，該研究有助於消除盲點，揭露人類海上活動的強度及廣度。此一研究是由彭博慈善基金會（Bloomberg Philanthropies）、國家地理原始海洋專案（National Geographic Pristine Seas ）、海洋生物（Oceankind）及Google所贊助，透過衛星測繪來理解海上的工業活動。</p> <p>目前偵測海上船隻的方法是透過漁船的船隻偵測系統（Vessel Monitoring System，VMS），或是船隻的自動辨識系統（Automatic Identification System，AIS），但前者是私有技術，後者雖然是廣播的，但並非所有船隻都使用AIS設備，且有時衛星接收不良，有時受到政府限制，有些船隻在從事非法活動時還會關閉AIS，或是竄改廣播位置，都讓海上的船隻分布更加撲朔迷離。</p> <p>此一名為「衛星測繪揭露廣泛海上工業活動」（Satellite mapping reveals extensive industrial activity at sea）的研究則是透過衛星圖像、船隻GPS資料及深度學習模型，來分析自2017年至2021年間的2PB衛星圖像，以探測全球六大洲沿海水域的工業船隻活動與海上能源基礎設施，所分析的區域雖然僅占全球海洋面積的15%，卻聚集了75%的全球海洋工業活動。</p> <p>研究人員訓練了3個AI模型來辨識衛星圖像的物件，也分析了來自AIS的530億個船隻GPS位置，並與衛星偵測結果比對，以了解所偵測到的船隻是否可被公開追蹤。</p> <p>在此一研究期間，任何特定時間平均可檢測到6.33萬艘船隻，當中有接近一半為漁船，但有3/4的漁船並未出現在公共偵測系統中，而其它種類的船隻未出現在公共偵測系統中的比例為1/4。這代表全球的船隻活動中，有一半的船隻無法被公開追蹤。</p> <p class="rtecenter"><a href="https://drive.google.com/file/d/1Td-r1CmWEB1i0KkbmfLr-lb3deRKQjB9/view" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0104-GFW-fishing-vessel-activity-global-map-animated-600.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><span style="font-size:14px;">© 2023 Global Fishing Watch</span></span></p> <p>該研究顛覆了某些認知。例如以前以為沒有太多船隻活動的海域其實聚集了大量的船隻，或者是公開資料顯示亞洲與歐洲在境內的捕魚活動相似，但地圖卻顯示所發現的10艘漁船中，有7艘在亞洲，只有1艘在歐洲。</p> <p>此外，研究亦發現COVID-19也影響了全球的捕魚行動，全球捕魚活動在該期間下滑了12%，相較之下運輸及能源的船隻活動則維持穩定。</p> <p>在海上能源基礎設施上，大多數的石油基礎設施分布在13個主要的產油區，全球最大的海上石油基礎設施集中在墨西哥灣，美國擁有接近2,200座，占全球海上石油基礎設施的1/4，之後是沙烏地阿拉伯的770座與印尼的670座，這5年海上石油結構的數量增加了16%。海上風電開發主要位於北歐（52%）與中國（45%），在這5年間，中國的風力渦輪機數量成長了900%，以每年950臺的數量成長，同一期間英國與德國的風力渦輪機數量則分別成長49%與28%。</p> <p class="rtecenter"><a href="https://drive.google.com/file/d/1WvUpCy7PUyHqT0WnTZe_sS66hZfcvJid/view?usp=drive_link" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0104-GFW-offshore-Infrastructure-global-map-animated-600.gif" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><span style="font-size:14px;">© 2023 Global Fishing Watch</span></span></p> </div></div></div>
2024/1/4 17:37作者陳曉莉https://www.ithome.com.tw/news/160669
全錄將在第一季裁撤15%員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷史超過100年，幾乎已成為影印機代名詞的全錄（Xerox）周三（1/3）發表了新的經營模式及組織結構，進入改革階段，同時也宣布將在今年第一季裁撤15%的人力。目前全錄約有2萬名員工，估計將有3,000名員工受到影響。</p> <p>全錄執行長Steven Bandrowczak表示，未來全錄的資源將集中在三大關鍵領域，分別是改善及穩定核心列印業務，藉由建立新的全球商業服務組織來強化生產力及效率，以及有紀律地執行多元化收入。</p> <p>新成立的全球商業服務將整合並簡化內部流程，可降低交易成本，改善客戶及員工體驗，進而提高生產力及效率，此外，全錄也宣布高層人事變動，美洲區總裁Joanne Collins Smee及產品長Tracey Koziol皆已於2023年底離職，並由John Bruno負責列印、數位及IT服務的整合，由Louie Pastor回鍋主導新的全球商業服務，同時監督全錄的轉型。</p> <p>全錄在去年第三季創下16.5億美元的營收，比2022年同期下滑5.7%，單季營業利潤為6,800萬美元，在去年10月公布Q3營收時，<a href="https://s3.amazonaws.com/cms.ipressroom.com/84/files/20239/3Q2023-XRX-Earnings+Release.pdf" target="_blank">全錄即已宣布</a>要邁入改革階段，目標是在2026年達到3億美元的全年營業利潤。</p> <p>不過，當全錄轉型與裁員的消息傳出後，該公司當天的股價下滑了12.15%，以15.84美元作收。</p> </div></div></div>
2024/1/4 14:50作者陳曉莉https://www.ithome.com.tw/news/160665
Atos洽談出售資安部門給空中巴士
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://atos.net/en/2024/press-release_2024_01_03/market-update-2" target="_blank">法國IT服務公司Atos本周宣布</a>正在和航太業巨人空中巴士（Airbus）洽談出售其大數據及安全部門。</p> <p>在Atos母集團去年秋天宣布將出售更多公司業務後，收到2家公司表達對大數據與安全（Business Data and Security，BDS）業務有收購興趣，不過其中一間只和BDS部分業務有關。另一間是空中巴士，這家航太公司出價15到18億歐元，而Atos母集團也啟動了開放收購的盡職調查（due diligence）期。目前雙方洽談還在初期階段。</p> <p>這是Atos集團又一次出售公司資產以清償債務。2022年6月Atos宣布把公司切分為二家公司，一為負責代管、混合雲及基礎架構的Tech Foundations，員工5.2萬人，營收約60億歐元。二為提供數位化、公雲、大數據及資安服務的Eviden，約有員工5.7萬人及50億歐元營收。</p> <p><a href="https://atos.net/en/2023/press-release_2023_08_01/atos-to-complete-its-transformation-through-the-contemplated-sale-of-tech-foundations" target="_blank">8月時Atos宣布</a>和盧森堡私募基金業者EPEI（EP Equity Investment）獨家洽談收購Tech Foundations。目前雙方仍然就支付的價格、交易結構及Tech Foundations負債轉移進行談判，迄今尚未確定收購。這樁交易也包含Atos的品牌。一旦出售完成，Atos也將會改名為Eviden。</p> <p>Atos 2023年負債33.2億歐元，由於Tech Foundations交易的不確定性，以及Eviden預計增資減少，該公司也表示正考慮會持續出售其他資產，超過去年提及的4億歐元以滿足即將到期的融資。該公司管理階層及董事會認為，在各種可出售的資產中，BDS是關鍵角色，也會帶動其他可能的潛在買主興趣。</p> </div></div></div>
2024/1/4 10:16作者林妍溱https://www.ithome.com.tw/news/160663
微軟Edge瀏覽器更新品牌，更強調AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟全產品徹底擁抱AI。新版Android及iOS版Edge瀏覽器悄悄增加AI的品牌字樣。</p> <p><a href="https://www.neowin.net/news/microsoft-renamed-edge-on-android-and-ios-to-microsoft-edge-ai-browser/" target="_blank">《Neowin》報導</a>，上周<a href="https://apps.apple.com/tw/app/microsoft-edge-ai%E7%80%8F%E8%A6%BD%E5%99%A8/id1288723196" target="_blank">iOS版Microsoft Edge版本120.2210.116</a>及<a href="https://play.google.com/store/apps/details?id=com.microsoft.emmx&hl=zh_TW&gl=US" target="_blank">Android 120.2210.99版Microsoft Edge</a>分別在蘋果App Store及Google Play Store上架，皆改名為「Microsoft Edge：AI瀏覽器」，強調AI的元素。根據微軟的描述，新版行動Edge瀏覽器搭載AI功能，增加上網體驗，包括最新的Copilot。Copilot以最新的GPT-4及DALL-E 3為底層文字及圖片生成模型，可讓用戶以自然語言搜尋、新增信件內容或圖片、摘錄文章或會議重點、翻譯，或協助腦力激盪等，不需用戶付費即可使用OpenAI最新模型。</p> <p>這是繼11月微軟將Bing Chat改名為Copilot後，微軟推出的最新Copilot產品。微軟二周內已先後釋出<a href="https://www.ithome.com.tw/news/160559" target="_blank">Android</a>版及<a href="https://www.ithome.com.tw/news/160631" target="_blank">iOS/iPadOS版</a>獨立Copilot App。</p> <p>除了Copilot外，新版Edge還包含更快效能、智慧廣告攔截器、密碼或收藏夾多用戶端同步、三層隱私防護、不儲存上網cookies或密碼隱私模式（InPrivate）、建立同時保存圖片與文字的集錦、翻譯，以及精準定位到縣市的天氣預報等新特色。</p> </div></div></div>
2024/1/4 10:41作者林妍溱https://www.ithome.com.tw/news/160664
SpaceX發射首批可支援手機連線的Starlink衛星
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國太空技術業者SpaceX本周二（1/2）<a href="https://www.spacex.com/launches/mission/?missionId=sl-7-9" target="_blank">藉由發射Falcon 9火箭</a>，將21顆Starlink衛星送上近地軌道，其中包含6顆具備Direct to Cell能力的衛星，預計很快就會展開Direct to Cell服務的測試。</p> <p>SpaceX解釋，這些擁有Direct to Cell功能的Starlink衛星（下圖），將允許全球的行動網路營運商於陸地、湖泊或沿海水域的任何地方，提供無縫的全球簡訊、通話及瀏覽服務，且無需變更硬體或韌體，它所配備的數據機可在太空中充當手機基地臺，藉由類似標準漫遊合作形式的網路整合來消除盲區。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0104-SpaceX%20Satellites-direct%20to%20cell-600.jpg" style="width: 343px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_SpaceX</span></span></p> <p>Direct to Cell的終極目標是讓一般手機可直接連結衛星網路，創造無盲區的全球通訊能力。</p> <p><a href="https://www.t-mobile.com/news/un-carrier/first-spacex-satellites-launch-for-breakthrough-direct-to-cell-service-with-t-mobile" target="_blank">現階段SpaceX將結合美國T-Mobile的無線網路展開Direct to Cell測試</a>，初期將僅提供簡訊功能，未來幾年才會逐步進展到語音及資料傳輸服務。</p> <p><a href="https://twitter.com/elonmusk/status/1742396904619581642?s=20" target="_blank">SpaceX創辦人暨執行長Elon Musk也提醒</a>，現在的Direct to Cell僅支援每光束7Mb的傳輸能力，而且這些光束還很大，因此，就算它對某些缺乏網路連線的區域來說是個很好的解決方案，尚無法與陸地上既有的行動網路競爭。</p> <p>根據SpaceX的規畫，Direct to Cell的簡訊服務可望於今年問世，而語音、資料或IoT傳輸服務則預計於明年推出。</p> <p>除了T-Mobile之外，澳洲的Optus、加拿大的Rogers、紐西蘭的One NZ、日本的DKKI、瑞士的Salt，以及位於智利及秘魯的Entel等電信營運商，都已同意加入Direct to Cell服務聯盟。</p> </div></div></div>
2024/1/4 09:55作者陳曉莉https://www.ithome.com.tw/news/160662
Rust 1.75改進特徵語言功能，簡化非同步程式設計
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust團隊發布Rust新版本<a href="https://blog.rust-lang.org/2023/12/28/Rust-1.75.0.html">1.75</a>，這個版本其中一個重要更新是在特徵（Traits）中支援使用async fn與-> impl Trait，不過，這項更新目前仍是初始版本，還存在一些限制。另外，開發團隊也持續更新編譯器，強化應用程式的效能。</p> <p>Rust非同步工作組持續朝向在特徵中支援async fn的目標前進，而在Rust 1.75有了重大進展，包括在特徵中支援-> impl Trait表示法以及async fn。特徵在Rust中是一個核心語言功能，主要用於定義和共享行為，其功能類似其他語言的介面，但具有更多的功能和靈活性。</p> <p>允許在特徵中使用非同步函式async fn的意義，代表著改善非同步程式碼的組織和可讀性，過去開發者要在特徵中定義非同步函式，需要採用間接迂迴的方法，這通常導致程式碼過於冗長和複雜，而透過在特徵中支援async fn，開發者可以直接定義非同步函式，使程式碼更加直覺易於理解和維護。</p> <p>此外，透過使用回傳位置的impl Trait，開發者可以在特徵中定義回傳特定特徵型別的方法，這不僅提升了泛型程式設計的靈活性，還使得程式設計更具抽象性，有助於開發者編寫更加模組化的程式碼，簡化非同步操作管理。</p> <p>簡單來說，Rust在特徵中支援async fn和回傳位置的-> impl Trait，主要目的是要提高非同步函式的支援，增加泛型程式設計的靈活性，解決之前直接在特徵定義中直接使用async fn，所出現的限制和警告問題。</p> <p>這些改進讓開發者可以更有效地使用多執行緒和工作竊取執行器（Work-Stealing Executor），而Rust計畫未來還要進一步擴展其多態性和靈活性，透過提供工具支援動態分派（Dynamic Dispatch）。</p> <p>Rust編譯器也在Rust 1.75獲得效能改進，首先，開發團隊在二進位發布版本應用BOLT工具，使得基準測試平均執行時間改善2％，官方提到，BOLT工具最佳化大部分包含rustc程式碼的librustc_driver.so函式庫布局，能夠改善快取利用效率。此外，開發團隊還使用-Ccodegen-units=1編譯器選項編譯rustc，進一步分析和最佳化編譯器程式碼，使得rustc平均執行時間改善1.5％，讓編譯器得以編譯程式可以更快速。</p> </div></div></div>
2024/1/4 08:25作者李建興https://www.ithome.com.tw/news/160657
搶救 IT 失傳技藝，亞馬遜技術長倡議節約架構（Part 1 設計篇）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p> </p> <p>在雲端運算服務尚未問市之前，評估資訊系統的成本效益是資訊人員必備能力，身為全球最大電商亞馬遜（Amazon）技術長的Werner Vogels說：「在當時採購資料庫這類大型系統，都得先評估足以使用五年的規格，才能達到最佳成本效益。」然而，在雲端運算資源垂手可得的今日，雖然傳統硬體的限制越來越少了，軟體開發人員可以更聚焦在功能創新與更快推出上市，但也因此忽略成本效益的重要性，Vogels指出，重視成本效益幾乎已成失傳的技藝，為此他在re:Invent 2023的主題演講提出「節約架構（Frugal Architect）」設計法則，呼籲將成本意識納入軟體架構設計，進而達成永續目標。</p> <p>節約架構可謂亞馬遜過去二十多年軟體開發經驗的總和，特別是打造具有成本意識與永續發展的系統架構，Vogels回憶道，「在還很難買得到PlayStation的年代，只要有人貼文說亞馬遜明天會開賣，許多消費者就會在開賣前五分鐘開始狂按電腦的F5按鍵更新網頁，以在第一時間讀取到販售網頁，不過這也導致網站流量瞬間爆增。」然而，當時可沒有調度自如的雲端運算資源可用，因此考驗著資訊人員如何有創意地解決刺手問題。</p> <p>還有一次，在黑色星期五購物節來臨前，亞馬遜的業務團隊興高采烈地提出許多可衝高業績的新點子，接著就輪到技術團隊苦惱如何在既有系統架構與有限資源下達成業務目標。不過Vogels指出，過往資訊人員就是因為突破種種硬體上的限制而練就一身技藝，然而隨著雲端運算普及，在限制越來越少的情況下，這些技藝也逐漸失傳。</p> <p>Vogels提出的節約架構由三大類、七項軟體架構設計法則所組成，他表示，之所以稱之為法則，代表是過往諸多經驗的心得，並非硬性規定；而區分成「設計（Design）」「量測（Measure）」與「最佳化（Optimize）」三個部分，則有助於形成框架式的思考架構。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/frugal%20architect.png" style="width: 640px; height: 519px;" /></p> <p>第一項法則是將成本納入非功能性（Non-functional）需求。傳統上非功能性需求包含資安（Security）、法規遵循（Compliance）、無障礙設計（Accessibility）、效能（Performance）、可用性（Availability）、擴充性（Scalability）與可維護性（Maintainability）等項目，Vogels指出，在過去資安、法遵與無障礙設計是無法妥協的三個項目，然而現在光這三項並不足夠，還需要納入成本（Cost）與永續性（Sustainability），成為必要的非功能性需求。</p> <p>以Amaozn設計S3物件儲存服務的經驗為例，Vogels指出，由於雲端運算服務必須提供明確的價格，因此必須先分析運算成本，以訂定合理計價模式。一開始他們認為S3儲存服務的成本不外乎傳輸檔案與儲存檔案，然而，在先期客戶試用S3的過程中，他們才發現之前忽略了使用者讀取（Request）物件資料其實也會有相對應的成本。</p> <p>上述經驗隨後也運用在DynamoDB無伺服器資料庫服務，由於此服務提供兩種讀取一致性（Consistency）選項，包括最終一致讀取（Eventually Consistency）與強烈一致讀取（Strong Consistency），而由於強烈一致讀取的讀取次數是最終一致讀取的2倍，因此計價也就必須多一倍才合理。</p> <p>成本考量必需落實在系統設計的每一個環節，Vogels說：「我們開發軟體，終究是為了幫公司獲利，而不是展現自己的技能。」因此，除了考量軟體架構必要的功能性、擴充性與穩定性，還要評估軟體成本對公司獲利的影響。在設計軟體系統架構前，必須先確定營收模式，並確保系統的設計能夠支持獲利，他說：「系統架構設計一定要跟著公司獲利的方向發展，如果不幸走反了，最終你一定會完蛋。」這也就是節約架構的第二項法則：「系統成本必須與公司獲利保持一致。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cost%20sustainability.png" style="width: 700px; height: 421px;" /></p> <p>AWS知名的無伺服器運算服務Lambda，其實背後也有一段鮮為人知的成本與架構重構的故事。在S3、DynamoDB等物件儲存與資料庫無伺服器化服務陸續推出之後，AWS的客戶開始期待運算服務也可以無伺服器化，好擺脫繁重的伺服器管理工作。Vogels表示，因為之前有設計S3物件儲存服務的經驗，在訂價方面他們很快確定無伺服器運算服務需從兩個面向計價：每微秒的處理器運算量，以及記憶體使用量，在功能方面也確定必須兼顧安全性、強化隔離與成本效益等三項非功能性需求，但是接下來他們卻察覺缺乏足夠的技術，以達成上述三項必備的非功能性需求。</p> <p>眼看推出無伺服器運算服務勢在必行，但在缺乏相對應技術，以致於無法兼具成本效益的情況下，Vogels說：「所以我們一開始就先確定了，在成本效益上得有所犧牲……而未來一定得為此付出相對應的技術債與經濟債。」於是，他們成立了兩個團隊，第一個團隊先在既有技術下動手開發，第二個團隊則負責開發無伺服器運算服務所需要的關鍵技術。</p> <p>為了確保無伺服器運算服務的每一個用戶程式碼都有安全隔離，第一個團隊選擇將每一個Lambda服務以EC2最小規格的T2執行個體來運行，然而，由於Lambda函數程式碼通常都很小，即便已經採用最小執行個體T2，但大多數的運算利用率都不到一半，也就是說AWS得多付出多一倍的運算成本來提供Lambda服務，而這也就是Vogels所說的，在決定開發的第一天就已經知道未來必須承擔的經濟債。</p> <p>AWS在2014年推出Lambda後，事隔四年，第二個團隊以Linux KVM為基礎開發出微型虛擬機器Firecracker，讓單一主機可以承載更多的Lambda服務，終於解決運算利用率的問題。Vogels指出，其實當初如果沒有開發Firecracker，接下來的無伺服器容器運算服務Fargate也難以實現。</p> <p>回首從Amazon S3至AWS Lambda的開發歷程，Vogels打趣地說，這個過程就像一邊開飛機還要一邊換引擎，而且還不能讓乘客察覺異狀。這段經歷也讓他觀察到節約架構的第三項法則：「架構設計是一連串的權衡與取捨」。他建議開發人員要打造可持續進化又不影響業務營運的架構，因為改變一定會發生。</p> <p><a href="https://www.ithome.com.tw/news/160660">繼續閱讀 → Part 2 節約架構量測篇</a></p> </div></div></div>
2024/1/3 18:44作者吳其勳https://www.ithome.com.tw/news/160659
搶救 IT 失傳技藝，亞馬遜技術長倡議節約架構（Part 2 量測篇）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>節約架構的第一部分聚焦在軟體架構設計階段，包括將成本意識融入軟體架構設計的每一個環節、確保系統成本支出與營收成長呈正相關，以及保持軟體架構可以持續進化和改善。第二部分則是軟體服務上線後，需要進行的量測（Measure）工作。</p> <p>Vogels指出，第四項法則是：「無法量測的系統必有隱藏的成本」。他以1970年代發生石油危機時，他所生長的荷蘭為例，說明透過量測將資訊視覺化，有助於改變人們的行為。在全球性能源危機發生的當時，雖然人們普遍意識到節能省電的必要性，不過有一項調查卻發現兩棟規模大小雷同的樓房，用電量卻有很大的差異。細究之下發現，耗電量較少的那棟樓房，其電錶安裝在一樓出入口，而耗電量較多的那棟樓房，電錶則是安裝在地下室，這代表住戶每天出入時從電錶看到耗電量，有助於提升用電意識，進而改善節能省電的作為。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1541.png" style="width: 700px; height: 387px;" /></p> <p>然而軟體使用成本該如何量測？如何設計量測指標呢？身為亞馬遜技術長的Vogels，進一步以自家電商網站的經驗說明量測指標。由於亞馬遜購物網站已經是一個高度微服務化（Microservices）的軟體架構，其網頁上的諸多功能，如商品資訊、評比推薦、預估送達時間、購物車、搜尋與使用者體驗等功能，每一個服務皆由後端上百個微服務組合起來運行，因此為了掌握成本，第一步必須先從微服務層級量測每一個微服務的運算成本，接著是依照網頁上的各項功能，加總計算其所需微服務的運算成本，據此計算如購物車、預估送達時間或評比推薦等屬於系統層級功能的成本。</p> <p>有了微服務與網站功能的成本數據，再除以網頁瀏覽量，就可得知以每一個網頁讀取為單位來計算之下，各個微服務與網站功能的單位運算成本。有了每讀取一個網頁的單位運算成本，再搭配每讀取一個網頁的下單轉換率，則可畫出網頁成本與轉換率關係圖：以每讀取一個網頁的成本為X軸、以每讀取一個網頁的下單轉換率為Y軸，如此即可用於分析網頁增加新功能的成本與效益。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1544.png" style="width: 700px; height: 302px;" /></p> <p>由於X軸所代表的是隨網頁增加功能而遞增的運算成本，對照著Y軸所代表的下單轉換率，據此畫出來的折線圖若呈現45度上升直線，就代表隨著新功能增多，下單轉換率也提高了，亦即成本與效益保持正向發展的健康趨勢，證明新功能有助於提升營收；若折線圖呈現波動的曲線甚至是下降趨勢，即代表新功能無助於下單轉換率，必須思考是否該為新功能付出額外的成本。</p> <p>成本效益分析除了可用於開發新功能的策略，也可以做為系統效能改善的衡量基準。眾所皆知網頁載入速度會影響使用者體驗，對電商而言甚至會衝擊業績營收，然而在提升網頁載入速度時，到底該改善到什麼程度，才能剛好有助於提升營收，而又不會因為改善過頭而付出過多無謂的運算成本，就可以利用運算成本與營收分析做為判斷基準。Vogels表示，由於電商的利潤空間很薄，所以亞馬遜必須無時無刻控制整體成本，對於軟體開發與營運應該投入多少資源，是否增加新功能，或是增加用戶體驗效果等，都必須基於成本效益的決策，若營收隨著新功能而增加，即代表運算成本的投資有正向回報。</p> <p>有了量測指標，就可以依據成本效益與永續指標訂定基準，接下來則必須藉由建立成本控制措施來落實。Vogels觀察到：「有成本意識的架構必有成本控制措施」，這也就是節約架構的第五項法則。他指出，所謂的成本控制措施，一方面要先將軟體功能依其商業價值分級，另一方面則是打造可調式架構，讓軟體功能的運作可如電源開關與音量旋鈕一樣操控與調節，例如軟體各項功能的啟用、預載、監測數據與Log記錄的數量增減等等，皆可依據成本與業務需求而自由調整。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1572.png" style="width: 700px; height: 440px;" /></p> <p>以亞馬遜電商網站的首頁為例，網頁上的各項功能均依其與下單交易的關係分成不同等級，第一級功能屬於下單交易必備的功能，如商品資訊、搜尋、用戶評論、購物車、結帳等，少了任何一項就無法讓消費者完成下單交易；第二級功能則如相關商品、推薦商品等有助於銷售，但並非下單交易必備的功能，第三級功能則可能是輔助銷售的功能，如陳列同廠牌的其他產品等。一旦各個功能的重要性與價值區分出優先次序，在投入相關資源時就能有所依據，例如要提升網站的可用性，顯然強化第一級功能的可用性必須優先於第三級的功能，如此就能將資源花在刀口上，兼顧成本效益。</p> <p>Vogels建議軟體功能要基於商業價值來分級，不僅要提供如電源開關一樣的控制按鈕，而且更重要的是，要交由業務團隊依據商業需求決定如何操控這些功能，而不是從技術的角度來決定。</p> <p><a href="https://www.ithome.com.tw/news/160661">繼續閱讀 → Part 3 節約架構最佳化篇</a></p> </div></div></div>
2024/1/3 18:56作者吳其勳https://www.ithome.com.tw/news/160660
搶救 IT 失傳技藝，亞馬遜技術長倡議節約架構（Part 3 最佳化篇）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>亞馬遜技術長Werner Vogels提出的節約架構（Frugal Architect），由三大類、七項軟體架構設計法則所組成，在第三部分談及架構與成本最佳化（Optimize），其中包含兩項法則。</p> <p>首先，第六項法則－「成本最佳化是漸進的」，指出成本最佳化並非一蹴可幾，而是持續調整，逐步完善。Vogels表示，由於過往技術上的限制比較多，IT人員往往只能在較小的層面上持續修修補補，而這種從小地方逐步改善的作為，也讓他們練就了成本最佳化的能力。<br /> 但是，在運算資源容易取得的情況下，軟體開發團隊過於追逐速度，在快速開發之下，逐漸不再重視細節，然而一些不起眼的事情累積起來，就會造成很大的數位浪費。例如網站開發沒有重視檔案大小的問題，那麼使用者就有可能上傳解析度過高的照片或影片，而實際上對終端用戶體驗毫無助益卻徒增頻寬浪費；又或是開發人員為了方便，下班後不關閉測試環境的主機，讓它空轉浪費資源，而若有維持開機的必要，其實也可藉由縮減主機規格來降低成本與減少浪費。這些雖然都只是小事情，但若不加以重視，無形中就會造成很多隱藏的數位浪費。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/frugal%20architect(1).png" style="width: 640px; height: 519px;" /></p> <p>至於軟體系統，則可透過應用程式效能分析（Profiling），以了解隱藏的數位浪費。Vogels表示，應用程式效能分析這項技術幾乎可說快要失傳了，但它卻是軟體持續最佳化的重要工具之一。他舉亞馬遜的某一項服務為例，效能分析讓他們發現網路通訊竟然占了整體耗能的四成以上，然而這個現象對該應用程式而言不合理，於是他們回頭檢視程式碼，才發現原來只是因為一個條件判斷陳述語法寫錯，經修改後耗能就降到三成以下。因此，要確保軟體系統沒有隱藏的數位浪費，就要持續進行效能分析與最佳化。</p> <p>節約架構的最後一項、第七項法則：「無庸置疑的成功必將導致錯誤的臆斷」，如果軟體開發團隊未曾遭遇什麼困難就成功了，往往會因為複製過往成功經驗而埋下驕傲自滿的種子，無法持續精進與改善。Vogels以COBOL之母美國海軍准將Grace Hopper的名言：「英語中最危險的一句話就是：我們一直都是這樣做的。」提醒軟體開發團隊要打破技術本位的思維，以保持進步。</p> <p>技術本位常見於軟體開發團隊固守擅長的程式語言，毫不考慮是否有更好的選擇，然而，殊不知程式語言也與成本效益有關。2017年有一項學術研究分析27種程式語言的能源消耗程度，發現C語言是其中最省電的程式語言，排名第二的是Rust，而Ruby的耗電量是C語言的69倍，Python的耗電量是C語言的75倍，分別排名倒數第三與倒數第二。Vogels指出，亞馬遜在開發Firecracker時就採用Rust，而S3後來也有很大的比例以Rust改寫，這除了考量成本與永續，還包括Rust的強型別、高效能與記憶體安全性等優點。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/grace%20hopper.png" style="width: 700px; height: 363px;" /></p> <p>在演講最後，Vogels期許IT人員：「我們身處快速變動的時代，在不斷學習的同時，也要一直否定既有信念，把自我擺在一邊，重拾成本意識這個即將失傳的技藝，因為永續的需求已經如同一列貨運火車直駛而來，你既逃不掉，也不該逃避永續的趨勢，而在雲端架構中，從運算成本著手將會是最接近達成永續目標的作法。」他也說：「沒有人想要有限制，成本與永續固然會為軟體架構與營運帶來不少限制，然而創意往往就隨著突破這些限制而到來。」</p> </div></div></div>
2024/1/3 18:59作者吳其勳https://www.ithome.com.tw/news/160661
【資安日報】1月3日，日本遊戲開發商因母公司Google Drive配置錯誤導致近百萬人的個資曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月電玩產業發生多起資料外洩事故，例如：Sony旗下的<a href="https://www.ithome.com.tw/news/160484#insomniac">遊戲開發商Insomniac Games遭勒索軟體Rhysida攻擊</a>，<a href="https://www.ithome.com.tw/news/160546">Ubisoft面臨網路威脅滲透至內部的問題</a>，以及<a href="https://www.ithome.com.tw/news/160564#gta5">RockStar Games在2022年遭駭的部分資料被公開</a>。而上述資安事故，都是因為駭客入侵所致。</p> <p>而去年底還有一起資安事故因公布受影響的範圍而受到關注，主角是一家遊戲公司，原因是他們存放於雲端服務Google Drive的部分資料被設置為公開，而有可能讓客戶、合作夥伴、員工的個資曝光。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/android-game-devs-google-drive-misconfig-highlights-cloud-security-risks/"><strong style="font-size: 22px;">日本遊戲開發商Ateam Entertainment母公司公告近百萬人個資曝險長達6年，起因是Google Drive配置錯誤</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/20231222_news_en_01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/20231222_news_en_01.jpg" style="width: 300px; float: right;" /></a>12月7日日本應用程式開發商Ateam發布公告，表示他們於11月21日發現，採用的的雲端硬碟Google Drive當中，有部分檔案的權限設置為公開，只要知道連結的任何人都能存取，導致檔案儲存的個資可能因此曝光，該公司隔日限縮這些檔案的存取權限，他們也向日本個人資訊保護委員會（PIPC）通報此事。</p> <p>而上述曝露於網際網路的檔案，該公司當時透露約有4千個，總共包含有96萬筆個資記錄。到了22日，該公司公布更完整的影響範圍，並指出他們的客戶、業務夥伴、求職者、員工都可能曝險，確定含有個資的檔案數量為1,369個，總計有935,779人受害，大部分為該公司客戶，曝露的資料可能有姓名、電子郵件信箱、電話號碼、客戶編號、設備識別碼。</p> <p>值得留意的是，該公司旗下的Ateam Entertainment、Ateam LifeDesign、Ateam Wellness、Ateam CommerceTech子公司也受到影響，比例最高的是電玩遊戲開發商Ateam Entertainment的客戶，有736,081人。這些資料最早被公開在網路上的時間是在2017年3月，目前尚未發現遭到未經授權存取的跡象。</p> <p>資料來源</p> <p>1. <a href="https://www.a-tm.co.jp/en/news/43909/">https://www.a-tm.co.jp/en/news/43909/</a><br /> 2. <a href="https://www.a-tm.co.jp/en/news/44383/">https://www.a-tm.co.jp/en/news/44383/</a></p> <p><a href="https://www.theguardian.com/business/2023/dec/31/cyber-hackers-target-uk-nuclear-waste-company-rwm"><strong style="font-size: 22px;">英國核廢料服務業者遭遇網釣攻擊，駭客透過LinkedIn對其出手</strong></a></p> <p></p> <p>根據衛報的報導，英國放射性廢棄物管理公司（Radioactive Waste Management，RWM）遭遇網路攻擊，駭客企圖透過職場社群網站LinkedIn發動攻擊，但沒有成功，至於駭客使用何種手法侵入也不得而知。</p> <p>根據RWM交給當地公司註冊機構（Companies House）的會計資料，Nuclear Waste Services執行長Corhyn Parr提及，他們察覺部分實體遭到特定管道的攻擊，導致所有權被竄改，而這些管道大多是經由LinkedIn，所幸這起去年發生的資安事故並未造成實際影響。</p> <p><strong style="font-size: 22px;">勒索軟體駭客組織NoName針對芬蘭、立陶宛發動DDoS攻擊</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/noname-cyberattacks-on-finland-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/noname-cyberattacks-on-finland-1.png" style="width: 300px; float: right;" /></a>俄羅斯駭客組織NoName（亦稱NoName057(16)）在烏克蘭戰爭開打後，從2022年8月不斷對歐美國家發動DDoS攻擊，最近傳出針對芬蘭、立陶宛下手的情況。</p> <p>根據資安新聞網站Cyber Express的報導，這些駭客針對多個芬蘭政府機關發動一系列網路攻擊，導致部分網站暫時無法存取，這些機構包含了芬蘭運輸與通訊管理局（Traficom）、國家網路安全中心（NCSC-FI）、鐵路局、芬蘭交通法規暨開發暨基礎設施局、芬蘭運輸基礎設施局。該新聞網站指出，駭客這次鎖定的目標多與交通運輸有關，目的很有可能是要干擾當地民眾生活。</p> <p>這些駭客近期也聲稱對8個立陶宛組織發動攻擊，目標涵蓋國防、交通物流、電信業者、網際網路供應商，理由是該國協助烏克蘭維修坦克。不過，這些遭到鎖定的目標網站仍正常運作，這些組織也並未證實是否遭遇相關攻擊。</p> <p>資料來源</p> <p>1. <a href="https://thecyberexpress.com/noname-cyberattacks-on-finland/">https://thecyberexpress.com/noname-cyberattacks-on-finland/</a><br /> 2. <a href="https://thecyberexpress.com/ddos-attacks-on-lithuanian-websites/">https://thecyberexpress.com/ddos-attacks-on-lithuanian-websites/</a></p> <p><a href="https://thecyberexpress.com/zeppelin2-ransomware/"><strong style="font-size: 22px;">勒索軟體Zeppelin2遭到破解，駭客在地下論壇散布原始碼、建置工具</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GCvoA8UaQAAvZlm.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCvoA8UaQAAvZlm.jpg" style="width: 300px; float: right;" /></a>曾在2019年至2022年6月橫行的勒索軟體Zeppelin2，開發者原本以租用服務（Ransomware-as-a-Service）提供給賣家運用，如今有人將其破解，有可能讓駭客大肆採用。</p> <p>根據資安新聞網站Cyber Express的報導，有人聲稱破解了勒索軟體Zeppelin2，兜售其原始碼及破解版的建置工具。這名開發者提供原始碼的螢幕截圖，並透露此勒索軟體是採用Delphi開發而成。此賣家提供的建置工具擁有多種功能，包含檔案配置、勒索訊息、IP位址事件記錄、啟動勒索軟體的命令、終止處理程序工具等。</p> <p>而對於這款勒索軟體的來歷，美國聯邦調查局（FBI）及網路安全暨基礎設施安全局（CISA）於2022年8月提出警告，駭客很可能透過遠端桌面連線（RDP）、SonicWall防火牆漏洞、網路釣魚等手法，入侵受害組織網路，在掌握組織內部網路環境狀態後部署Zeppelin2。</p> <p><a href="https://www.resecurity.com/blog/article/new-version-of-medusa-stealer-released-in-dark-web"><strong style="font-size: 22px;">竊資軟體Meduza攻擊範圍廣泛，能挖掘超過一百種瀏覽器與加密貨幣錢包資料</strong></a></p> <p>資安業者Resecurity在聖誕節前夕看到駭客在地下社群、Telegram頻道來宣傳2.2版竊資軟體Meduza，號稱能對更多應用程式下手，並強化信用卡資料抓取工具與挖掘帳密資料的能力。該竊資軟體可針對的應用程式琳琅滿目，涵蓋106款瀏覽器、107種加密貨幣錢包、27種密碼管理器，以及即時通訊軟體Telegram、Discord，還有遊戲平臺Steam、VPN用戶端軟體、收信軟體Outlook，都可以從中竊取用戶資料，此外駭客也標榜能盜取特定Token來挾持Google帳號。</p> <p>此外，駭客這次也提供額外的擴充功能，像是進階的防毒軟體迴避功能，以及加密受害電腦檔案的能力，而這些額外的功能，是由另一個地下加密服務業者TrueCrypt Service提供。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.courtlistener.com/docket/17216783/1090/brown-v-google-llc/"><strong><span style="font-size: 20px;">Google在瀏覽器無痕模式追蹤使用者，提出以50億美元尋求和解</span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/online-museum-collections-down-after-cyberattack-on-service-provider/"><strong><span style="font-size: 20px;">網路博物館系統供應商Gallery Systems遭勒索軟體攻擊，為防堵受害範圍擴大暫停部分服務</span></strong></a></p> <p></p> <p><a href="http://courts.vic.gov.au/news/court-services-victoria-cyber-incident"><strong><span style="font-size: 20px;">澳洲法院傳出遭駭客入侵，聽證會錄音恐外流</span></strong></a></p> <p><a href="https://thehackernews.com/2023/12/new-rugmi-malware-loader-surges-with.html"><strong><span style="font-size: 20px;">惡意程式載入工具Rugmi每天感染數百臺電腦</span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-black-basta-decryptor-exploits-ransomware-flaw-to-recover-files/"><strong><span style="font-size: 20px;">研究人員找到能復原遭勒索軟體Black Basta破壞的檔案的方法</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160635"><strong>【1月2日】竊資軟體濫用Google未公開的OAuth同步機制挾持用戶帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160616"><strong>【12月29日】 Booking.com合作旅館、房客面臨網釣攻擊且外洩個資出現轉交其他團體兜售現象</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160596"><strong>【12月28日】別以為使用SSH連線就會比較安全！採用容易猜到的帳密有可能將Linux伺服器拱手送給駭客</strong></a></p> </div></div></div>
2024/1/3 15:27作者周峻佑https://www.ithome.com.tw/news/160647
微軟將於4月9日終止Visual Studio 2013延伸支援服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/visualstudio/visual-studio-2013-retirement-support-reminder-for-older-versions-of-visual-studio/">提醒</a>用戶Visual Studio 2013的支援將在4月9日結束，並敦促用戶盡快升級至最新的Visual Studio 2022版本，同時，多個版本的支援狀態也有所轉變，例如Visual Studio 2019將在4月9日，從主流支援轉延伸支援，屆時微軟將不再提供功能更新，僅會修補安全性問題。</p> <p>官方指出，Visual Studio 2013的延伸支援結束，這包括了所有相關產品、執行環境和元件的支援都將會停止，皆不會再獲得安全性或其他更新。</p> <p>在4月9日之前，只要安裝至第5個更新版本的Visual Studio 2013，仍可持續獲得延伸支援，而Visual Studio 2015只要安裝到第3更新版，可獲延伸支援到2025年10月14日。而Visual Studio 2017 15.9版本的延伸支援，則會一直到2027年4月13日。</p> <p>目前微軟對Visual Studio 2019 16.11提供的主流支援將會在4月9日停止，並且從4月10日開始轉為延伸支援，Visual Studio 2019的預覽頻道將不會再推送更新，用戶需要轉換到發布頻道或是Visual Studio 2022預覽頻道，才能繼續獲得最新的功能更新。</p> <p>Visual Studio 2022則是微軟當前主要IDE產品，提供預覽、目前和長期服務3個頻道，預覽頻道提供最新功能更新，而目前頻道則提供穩定功能更新，而長期服務頻道則是讓企業和專業用戶，更好地控制新功能部署，並提供18個月的品質與安全修復更新。</p> </div></div></div>
2024/1/3 16:54作者李建興https://www.ithome.com.tw/news/160648
採用特製資安LLM，Google Cloud率先正式推出AI資安助手
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dual_ai_for_secop-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月6日，Google發表多模態的大型語言模型Gemini，一週後推出透過GeminiAPI供應的Gemini Pro，有兩項AI輔助操作服務，也趁此時一併正式推出。</p> <p>其中針對資安維運需求的解決方案，稱為Duet AI in Security Operations，2023年稍早已開放超過150家客戶試用預覽版本，後續將會納入該公司資安維運平臺Chronicle Security Operations的企業版，以及企業加值版，Chronicle現有用戶可免費試用Duet AI，直到2024年3月5日為止。</p> <p>Google Cloud強調，他們是第一家在資安維運平臺提供將生成式AI功能的主要公有雲廠商，結合旗下的網路威脅情報服務，可隨時掌握漏洞、惡意軟體，以及各種入侵指標，協助防護企業與組織的安全。資安團隊能運用生成式AI的力量，加速網路威脅的偵測、調查，以及應變，藉此提升整體技能與大幅增進生產力。</p> <p>在這項AI輔助操作服務，Google Cloud目前提供三大功能。首先，是透過自然語言產生訂製型查詢指令，能在幾秒之內搜尋大量資料；第二是能運用案例資料與警示自動產生摘要，縮短手動審查事件記錄的時間，快速突顯活動進行的整體脈絡；第三是提供下一個階段支援事件矯正工作的建議，改進應變所需耗費的時間。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Duet AI in SecOp-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Duet%20AI%20in%20SecOp-1.jpg" style="width: 600px;" /></a></p> <p>使用者只需以自然語言的方式輸入簡易的資料搜尋語句，Chronicle就會將這段敘述翻譯為UDM Search查詢語法，之後即可執行、檢視個別UDM事件，或綁定共通搜尋關鍵字的UDM事件群組。之後可以產生Chronicle控管原則，搭配符合此態勢的安全資訊與規則資訊。</p> <p>而所謂的UDM Search，是在Chronicle尋找以UDM（Unified Data Model）資料結構儲存的事件與警示，UDM是Chronicle從各種來源端接收資料之後存放資料的標準結構，也稱為綱要（schema），這些資料可存成原始記錄與結構化的UDM記錄等兩種格式。</p> <p>除此之外，Duet AI in Security Operations也提供AI調查工具按鈕，可觀照整個案例，涵蓋警示、事件、實體（entities），並提供由AI產生的案例摘要，呈現需要對此案例投入的關注程度，對於警示資料，這個工具也提供摘要，協助IT人員理解威脅的狀態，產生接下來採取的行動建議，以便有效矯正問題。而這當中列出的分類、摘要、建議，均提供意見回饋的選項，可回報AI準確度與實用度，協助Google Cloud改善精準度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Duet AI SecOps-UDM Search-2023-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Duet%20AI%20SecOps-UDM%20Search-2023-10.jpg" style="width: 600px;" /></a></p> <p>在使用對象的類型上，基於威脅偵測與應變解決方案而成的Duet AI in Security Operations，背後有多種面向的資源支撐，能協助開發者等多種類型的技術專家，更容易理解與因應網路威脅，能在不需熟悉各種專屬語法的狀態下，也可以橫跨多種記錄去搜尋事件資料，這樣一來，也等於能幫資安專家省下更多寶貴的時間，使其能聚焦在解決優先順序更高的問題。</p> <p>根據Google Cloud先前收集的一百多家客戶試用意見指出，Duet AI in Security Operations，絕大多數表示肯定這項服務的效益。認為可節省資安分析人員的作業時間，幅度將近7倍之多，藉由這項服務，可減輕內容撰寫、執行各種動作，以及精密調整資料搜尋、分類複雜案例的負擔，關於手動審查案件流程處理的工作，簡化程度可超過5倍；至於持負面反應的客戶比例，則低於1％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Duet AI SecOps-AI Investgation-2023-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Duet%20AI%20SecOps-AI%20Investgation-2023-10.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Duet AI SecOps-AI Summary-2023-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Duet%20AI%20SecOps-AI%20Summary-2023-10.jpg" style="width: 600px;" /></a></p> <p>對於Duet AI in Security Operations目前使用的AI技術，Google Cloud表明是他們特製的資安大語言模型（LLM）Sec-PaLM，於2023年4月底的RSA年度資安大會期間推出，當時基於這套模型他們也發表Security AI Workbench，而Accenture成為第一家採用這套可延伸平臺的廠商，他們新推出的MxDR代管資安服務，不僅整合Chronicle Security Operations、 Mandiant Threat Intelligence、Security AI Workbench，也連帶涵蓋最新問世的Sec-PaLM。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP-AI Security Workbench-2023-08-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP-AI%20Security%20Workbench-2023-08-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Duet AI in SecOp-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Duet%20AI%20in%20SecOp-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP-AI Security Workbench-2023-08-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP-AI%20Security%20Workbench-2023-08-2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/GCP-AI Security Workbench-2023-08-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP-AI%20Security%20Workbench-2023-08-3.jpg" style="width: 298px;" /></a></p> <p>這套模型之所以能訓練出來，主要有幾個來源，包含：Mandiant、VirusTotal這兩個網路威脅情報服務，Chronicle巨量資安資料與應變腳本，以及Google接觸到的超大規模網路威脅資訊，當中涵蓋的內容相當廣泛，囊括資安部落格文章、網路威脅情報報告、YARA工具與使用YARA-L語言寫成的偵測規則、SOAR自動處理腳本、惡意軟體指令碼、弱點資訊、產品文件，以及其他特製的資料集。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Duet AI-YARA2-SecOps-2023-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Duet%20AI-YARA2-SecOps-2023-12.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Duet AI in SecOp-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Duet%20AI%20in%20SecOp-3.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Duet AI in Security Operations</strong><br /> ●原廠：Google Cloud<br /> ●建議售價：廠商未提供<br /> ●適用Google Cloud資安平臺：Security AI Workbench、Chronicle Security Operations、Security Command Center<br /> ●可運用的網路威脅情報服務：Mandiant、VirusTotal、Google Cloud<br /> ●採用的大型語言模型：Sec-PaLM</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/1/3 15:37作者李宗翰https://www.ithome.com.tw/review/160632
Valve終止Steam對Windows 7/8/8.1的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://help.steampowered.com/en/faqs/view/4784-4F2B-1321-800A" target="_blank">美國遊戲業者Valve宣布</a>，自2024年的1月1日起，已正式終止其遊戲平臺Steam對Windows 7/8 /8.1的支援，將不再供應任何的安全更新或技術支援，之後這些作業系統上的Steam程式雖然仍可繼續執行，但不確定何時會停止運作，呼籲用戶應儘快升級至更新的Windows作業系統。</p> <p>其實微軟已於2020年1月終止對Windows 7的支援，在2023年終止對Windows 8.1的支援，然而，促使Steam放棄對舊版Windows支援的主因為，Steam的某些核心功能必須仰賴嵌入版的Google Chrome，但它已不再支援舊版Windows。</p> <p>此外，未來的Steam版本也需要僅出現在Windows 10及更高版本的Windows功能及安全更新。</p> <p>Valve提醒，利用這些舊版Windows連結網路，很可能在無法修補漏洞的狀態下受到惡意程式的侵襲，而這些惡意程式不僅可造成電腦、Steam及遊戲的效能欠佳或直接當掉，或許也會被用來竊取Steam或其它服務的憑證，儘快升級才是上策。</p> </div></div></div>
2024/1/3 12:22作者陳曉莉https://www.ithome.com.tw/news/160643
去年全球手機出貨量下滑5%，高階手機逆勢成長6%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據市場研究機構Counterpoint Research的估計，<a href="https://www.counterpointresearch.com/insights/2023-global-smartphone-shipments-to-hit-lowest-level-in-almost-a-decade/" target="_blank">2023年智慧型手機的全球出貨量將為12億支</a>，比2022年下滑5%，為10年來的新低，然而，<a href="https://www.counterpointresearch.com/insights/global-premium-smartphone-market-continues-record-growth-2023/" target="_blank">高階手機的出貨量卻逆勢成長6%</a>，占全球手機出貨量的24%，最受歡迎的是蘋果iPhone，占了高階手機出貨量的71%。</p> <p>Counterpoint Research所定義的高階手機，是批發價格高於600美元的智慧型手機，估計去年它們不僅占了全球手機出貨量的24%，其銷售額將占整體手機市場規模的60%。</p> <p>分析師Varun Mishra表示，智慧型手機市場的消費者購買行為發生了轉變，有鑑於智慧型手機的重要性，消費者願意花更多的錢來取得一支可以長期使用的高品質裝置，此外，擁有最新且最強大的旗艦產品對許多消費者而言，也是一種身分上的象徵，其中，超過1,000美元的昂貴智慧型手機占了高階手機出貨量的逾1/3。</p> <p>蘋果依然是高階手機類別的領先者，市占率為71%；居次的是推出許多可摺疊手機的三星，占17%；華為也在Mate 60系列的推動下，以5%的市占率位居第三。</p> <p>至於高階手機出貨量成長最快的市場則是印度，此外，Counterpoint認為包括中國、中東、非洲與拉丁美洲的高階手機銷售，都可能在2023年寫下新紀錄。</p> </div></div></div>
2024/1/3 12:51作者陳曉莉https://www.ithome.com.tw/news/160644
WhatsApp不再提供Android版用戶免費Google Drive備份空間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta旗下的<a href="https://faq.whatsapp.com/1498366720959422" target="_blank">WhatsApp本周預告</a>，今年上半年不再提供Android用戶免費的雲端備份空間，用戶必須備份到自己的Google Drive上。</p> <p>WhatsApp公告指出，未來幾個月內，如果用戶選擇為Android裝置上的WhatsApp聊天訊息進行備份，備份作業將連到用戶Google帳號，並從其儲存限額扣除。超過儲存限額者備份會暫停，用戶必須先清出可用空間再繼續備份。</p> <p>一旦正式實施，WhatsApp會在30天前透過「聊天備份」設定頂端的通知訊息告知用戶。備份功能位於「設定」>「聊天」下的「聊天備份」。</p> <p>這項變更去年12月就已開始，<a href="https://9to5google.com/2023/11/14/whatsapp-backup-google-account-storage/" target="_blank">當時僅適用於beta版用戶</a>，現在則推向所有Android版WhatsApp用戶<a href="https://www.ithome.com.tw/news/144274" target="_blank">。Google從2021年6月實施15GB免費儲存額度</a>，用戶的Gmail、相片、文件、簡報等檔案都包含在15GB中。超過者就得要花錢購買Google One服務，100GB每月65元臺幣起跳。</p> <p>最新變更也讓Android用戶和iPhone用戶適用同樣管理方式。iPhone用戶以前就必須把WhatsApp紀錄備份到自己的iCloud中。</p> <p>若不想太快耗盡自己的Google Drive空間，<a href="https://www.gizmochina.com/2024/01/01/whatsapp-backup-storage-changes-android-2024/" target="_blank">Gizmochina</a>建議用戶二種方法。一是利用WhatsApp聊天移轉功能，將資料搬到同一Wi-Fi網路的另一臺裝置上。另一方法則是僅備份純文字訊息，捨去圖片和影片等檔案。</p> </div></div></div>
2024/1/3 11:41作者林妍溱https://www.ithome.com.tw/news/160641
垃圾訊息太多，Google Groups 2月終止支援元老討論區Usenet
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於垃圾貼文太多，<a href="https://support.google.com/groups/answer/11036538?hl=en" target="_blank">Google本周宣布</a>，自2月22日起將不再支援元老級論壇Usenet。</p> <p>Google指出，從2024年2月22日起，用戶無法再透過Google Groups（網上論壇）在Usenet群組中張貼內容、訂閱Usenet群組，或讀取新內容。用戶還是可讀取及搜尋Google網上論壇上的既有Usenet內容，直到2月底。此外，和Google的News Network Transfer Protocol伺服器及相關的互連（peering）也將不再運作，意謂Google不再支援新的Usenet內容，或和其他NNTP伺服器互通內容。</p> <p>Usenet是一個全球分散式討論系統，以UUNP（Unix間複製協定）撥號網路架構上發展而成。它是由美國杜克大學研究生Tom Truscott及Jim Ellis在1979年設計，於1980年發布。它現在則使用NNTP（News Network Transfer Protocol）協定。</p> <p>Usenet可說是現代社群媒體的鼻祖。它提供多種主題分類的文章發布專區，這些專區稱為新聞群組。使用者可以訂閱感興趣的新聞，新聞（稱為news feeds）透過FTP用戶端或郵件用戶端接收。Usenet比全球資訊網早誕生10年，雖然最初著重在技術資訊，後來則擴大到大眾主題，例如社會新聞、個人興趣或其他主題，一些現在為人熟知的術語如FAQ、spam都是源自Usenet。不過今日隨著各種網站、論壇、部落格、社群網路等訊息傳播媒體的興起，Usenet使用數大不如前。</p> <p>Google解釋，過去幾年，隨著使用者轉移到更現代化的技術形式，像是社群網站及網上論壇等，純文字式的Usenet群組合法活動已大幅下降。現在透過Usenet散布的內容，多半是Google論壇不支援的程式檔案分享或是垃圾郵件。</p> <p>Google網上論壇終止支援的任何變更，僅Usenet用戶會感到不便，但不影響Google網上論壇其他非Usenet的內容。</p> <p>Google提醒Usenet用戶另尋Usenet用戶端及新的公共伺服器。Usenet為分散式系統，用戶無需搬移資料。用戶選擇好新用戶端及伺服器後，就可以將現有Google 網上論壇上存取的Usenet內容群組同步到新伺服器上。</p> </div></div></div>
2024/1/3 12:11作者林妍溱https://www.ithome.com.tw/news/160642
【資安日報】1月2日，竊資軟體濫用Google未公開的OAuth同步機制挾持用戶帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年11月，<a href="https://www.ithome.com.tw/news/160011">竊資軟體Lumma、Rhadamanthys的開發者聲稱加入罕見的新功能</a>，能讓攻擊者藉由收集電腦的特定檔案挾持受害者Google帳號，而且，使用者更換密碼也無法擺脫駭客糾纏。如此特殊、神奇的攻擊手法，引起研究人員高度關注，後續有其他資安業者參與相關調查，並揭露成果。</p> <p>值得留意的是，駭客竟是濫用Google未公開的服務元件達到目的，前不久也出現這種運用未公開元件攻擊的手法，那就是卡巴斯基之前揭露的<a href="https://www.ithome.com.tw/news/160590">間諜軟體攻擊Operation Triangulation</a>，駭客滲透的管道是晶片韌體未使用的暫存器。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.cloudsek.com/blog/compromising-google-accounts-malwares-exploiting-undocumented-oauth2-functionality-for-session-hijacking"><strong style="font-size: 22px;">竊資軟體濫用Google跨服務同步機制，透過OAuth挾持Google帳號</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/658e65e3ed55ff3bccad3d98_PpViPST7p6B4TuJSC5GpRgYD45Qcwpk0hDM3r5d2KTQCYV3VkEya0qvU8Ju20i7B1-t0O1iKuSQD5ANy7RU8ElHlspRKpDJGM5DmPa5EetmiMBpU_md6J4J_Svwq0ojO1AUVwJWyvqH8mICNRD8Z7Xg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/658e65e3ed55ff3bccad3d98_PpViPST7p6B4TuJSC5GpRgYD45Qcwpk0hDM3r5d2KTQCYV3VkEya0qvU8Ju20i7B1-t0O1iKuSQD5ANy7RU8ElHlspRKpDJGM5DmPa5EetmiMBpU_md6J4J_Svwq0ojO1AUVwJWyvqH8mICNRD8Z7Xg.png" style="width: 300px; float: right;" /></a>研究人員11月揭露名為Lumma的竊資軟體，駭客提供新的功能服務，標榜可從受害電腦竊取與Google服務有關的cookie，從而劫持使用者的Google帳號，但究竟駭客如何達成目的？當時研究人員表明仍不得而知，並希望其他資安業者也能投入相關調查，如今有新的發現。</p> <p>資安業者CloudSEK指出，他們在去年10月看到名為Prisma的駭客組織，在Telegram頻道宣稱掌握一項零時差漏洞，能長時間存取受害者的Google帳號，就算使用者變更密碼也無濟於事，他們還是能藉由cookie，重新建立連線階段（session），持續掌控受害者的帳號，他們尋求與其他惡意軟體開發者進行合作。隨後在11、12月，就有數款竊資軟體陸續導入相關功能，最早的是Lumma、Rhadamanthys，後續則是Stealc、Meduza、Risepro、WhiteSnake，它們也標榜具備這類挾持Google帳號的機制。其中開發Eternity Stealer的駭客組織，也著手打造具有這類功能的新版程式。</p> <p>研究人員透過逆向工程，發現這些竊資軟體會鎖定Chrome名為token_service的表單，取得特定的Token和GAIA ID資料，接著濫用Google未曾在技術文件提及的MultiLogin端點跨服務同步機制而能透過OAuth機制，挾持受害者的Google帳號。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/12/28/financially-motivated-threat-actors-misusing-app-installer/"><strong style="font-size: 22px;">多組駭客濫用微軟市集App的URI協定，散布惡意軟體</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig2-Sample-malicious-App-Instal.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig2-Sample-malicious-App-Instal.png" style="width: 300px; float: right;" /></a>12月28日微軟指出，自11月中旬，他們發現Storm-0569、Storm-1113、FIN7（亦稱Sangria Tempest）、Storm-1674等多個駭客組織，濫用ms-appinstaller的URI，藉由MSIX安裝程式來散布惡意程式，對此他們決定暫時停用相關通訊協定。這些駭客假借提供Zoom、Tableau、TeamViewer、AnyDesk等常見的應用程式，在Bing、Google刊登惡意廣告引誘使用者上當，研究人員也看到利用協作平臺Teams來進行網路釣魚攻擊的情況。</p> <p>針對這些駭客使用的惡意軟體，Storm-0569會使用PowerShell指令碼，下載並執行Batloader、IcedID、Cobalt Strike等作案工具，再交由Storm-0846、Storm-0506部署勒索軟體；Storm-1113則是對受害電腦植入木馬程式Gozi、IcedID、NetSupport RAT，竊資軟體Redline、Lumma Stealer，以及殭屍網路軟體Smoke Loader；FIN7利用Storm-1113製作的惡意程式載入工具，部署後門程式Carbanak、惡意程式Gracewire或NetSupport RAT。</p> <p>值得一提的是，Storm-1674與上述駭客組織的手法有所不同，他們利用Teams訊息傳送冒牌OneDrive、SharePoint登入網頁，最終散布SectopRAT或DarkGate。</p> <p><a href="https://cert.gov.ua/article/6276894"><strong style="font-size: 22px;">烏克蘭政府機關遭俄羅斯駭客APT28鎖定，散布惡意程式Masepie</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/masepie.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/masepie.png" style="width: 300px; float: right;" /></a>烏克蘭電腦緊急應變小組（CERT-UA）針對俄斯駭客組織APT28的攻擊行動提出警告，駭客約從12月15日至25日，鎖定烏克蘭政府機關的釣魚郵件攻擊，假借提供重要文件的名義，要求收信人點選信裡的URL，一旦依照對方的指示操作，電腦就有可能藉由JavaScript與Windows搜尋的URI（ms-search）通訊協定，下載LNK捷徑檔案，從而透過PowerShell命令觸發以Python打造的惡意軟體Masepie。</p> <p>CERT-UA指出，在攻擊行動裡駭客還利用了OpenSSH、PowerShell指令碼Steelhook、後門程式Oceanmap，於受害電腦建立隧道通訊、竊取Chrome及Edge瀏覽器資料，並透過IMAP協定對受害電腦下達攻擊命令。</p> <p><a href="https://asec.ahnlab.com/en/60054/"><strong style="font-size: 22px;">北韓駭客Kimsuky部署AppleSeed、Meterpreter、TinyNuke控制受害電腦</strong></a></p> <p></p> <p>資安業者AhnLab揭露北韓駭客Kimsuky最新一波的網路釣魚攻擊行動，指出駭客最近偏好使用Windows捷徑（LNK）檔案，但也有利用JavaScript或其他類型的惡意檔案。</p> <p>研究人員指出，雖然駭客的攻擊模式沒有重大變化，仍舊使用2022年出現的竊資軟體，以及名為RDP Patch的惡意程式，但這次駭客使用後門程式AppleSeed的變種AlphaSeed，在執行的過程會檢查特定參數來阻礙研究人員分析，而過往駭客會使用遠端桌面連線（RDP）控制受害電腦，但在這波攻擊行動裡，對方則是濫用Chrome選端連線的功能。</p> <p>在部分攻擊行動裡，研究人員也看到對方利用惡意程式Meterpreter及VNC惡意程式TinyNuke（或TightVNC）搭配的情況。</p> <p><a href="https://www.cib.npa.gov.tw/ch/app/news/view?module=news&id=1885&serno=97c224ad-c1f2-4bf9-beea-85ab9c0a0cd9"><strong style="font-size: 22px;">集運業者美買的前合夥人串通委外工程師攻擊網站、竊取客戶資料，提供競爭對手運用</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/maybuy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/maybuy.jpg" style="width: 300px; float: right;" /></a>12月29日內政部警政署刑事警察局宣布查獲破壞公司網站多名嫌犯，涉案人員為游姓主嫌、陳姓工程師及林姓共犯，他們對美國集運物流公司美買國際進行資料盜竊、關閉網站，然後將到手的近19萬筆客戶資料，交由另一家集運業者運用。刑事警察局偵查第九大隊第二隊、科技犯罪防制中心科技偵查隊、臺中市政府警察局豐原分局於2023年7月13日、12月14日執行搜索及拘提，查獲游姓主嫌、陳姓工程師及林姓共犯，查扣作案手機、電腦、會員訂單資料庫近19萬筆個人資料等電磁紀錄，全案將依違反個人資料保護法、背信、妨害電腦使用等罪嫌，移請臺灣臺中地方檢察署偵辦。</p> <p>這起事故發生在2022年11月，美買網站無預警關閉，當時網站及系統無法運作，會員亦收到另一家新成立的集運業者的廣告電子郵件，直到12日後網站才恢復正常，美買估計損失1,200萬元。</p> <p>資料來源</p> <p>1. <a href="https://www.cib.npa.gov.tw/ch/app/news/view?module=news&id=1885&serno=97c224ad-c1f2-4bf9-beea-85ab9c0a0cd9#">https://www.cib.npa.gov.tw/ch/app/news/view?module=news&id=1885&serno=97c224ad-c1f2-4bf9-beea-85ab9c0a0cd9</a><br /> 2. <a href="https://www.facebook.com/MaybuyInt/posts/pfbid032kxJJpVNJ1E2oRqsNMYoyHEXFn2sDyszw1r1YUjkunZPdgBT8C6CfC6wvZX5ZRVbl">https://www.facebook.com/MaybuyInt/posts/pfbid032kxJJpVNJ1E2oRqsNMYoyHEXFn2sDyszw1r1YUjkunZPdgBT8C6CfC6wvZX5ZRVbl</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/software/github-warns-users-to-enable-2fa-before-upcoming-deadline/"><strong><span style="font-size: 20px;">GitHub提醒用戶儘速啟用雙因素驗證，若不處理將限縮功能</span></strong></a></p> <p></p> <p><a href="https://securityaffairs.com/156709/cyber-crime/cactus-ransomware-coop-sweden.html"><strong><span style="font-size: 20px;">瑞典食品零售供應商Coop傳出遭勒索軟體駭客組織Cactus攻擊</span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/eagers-automotive-halts-trading-in-response-to-cyberattack/"><strong><span style="font-size: 20px;">澳洲、紐西蘭大型汽車經銷商Eagers Automotive遭遇網路攻擊，股市暫停交易</span></strong></a></p> <p></p> <p><a href="https://securityaffairs.com/156679/cyber-crime/inc-ransom-ransomware-xerox-corp.html"><strong><span style="font-size: 20px;">勒索軟體駭客組織Inc聲稱攻擊全錄</span></strong></a></p> <p></p> <p><a href="https://www.resecurity.com/blog/article/cybercriminals-launched-leaksmas-event-in-the-dark-web-exposing-massive-volumes-of-leaked-pii-and-compromised-data"><strong><span style="font-size: 20px;">多組駭客在平安夜發起Free Leaksmas攻擊行動，洩露全球各地逾5千萬筆個資</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160616"><strong>【12月29日】 Booking.com合作旅館、房客面臨網釣攻擊且外洩個資出現轉交其他團體兜售現象</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160596"><strong>【12月28日】別以為使用SSH連線就會比較安全！採用容易猜到的帳密有可能將Linux伺服器拱手送給駭客</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160564"><strong>【12月27日】有人散布《俠盜獵車手V》原始碼並向甫遭判決的駭客組織Lapsus$成員致敬</strong></a></p> </div></div></div>
2024/1/2 16:23作者周峻佑https://www.ithome.com.tw/news/160635
OpenAI去年創下16億美元營收
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theinformation.com/articles/openais-annualized-revenue-tops-1-6-billion-as-customers-shrug-off-ceo-drama" target="_blank">《The Information》</a>上周引述消息來源報導，OpenAI在2023年創下了16億美元的營收，比原本所預期的2億美元營收高出數倍。</p> <p>OpenAI一直未對外公開營收，綜合各方的報導，OpenAI在2022年、尚未推出ChatGPT之際的營收是2,800萬美元，且該年虧損了5.4億美元。但隨著ChatGPT在2023年陸續推出<a href="https://openai.com/pricing" target="_blank">各種付費服務</a>，去年8月傳出每月已可創造8,000萬美元的營收，朝向10億美元的年營收邁進，10月將年營收預測調高到13億美元，最新的年營收數字則是16億美元。而原本OpenAI所預期的2023年營收只有2億美元。</p> <p>此外，OpenAI的身價也隨著營收的成長而水漲船高。它在去年4月的身價還不到300億美元，11月成長到860億美元，<a href="https://fortune.com/2023/12/23/openai-valuation-100-billion-funding-round/" target="_blank">《Fortune》</a>則說，OpenAI正在討論的新一輪融資估值可能突破1,000億美元。</p> </div></div></div>
2024/1/2 14:43作者陳曉莉https://www.ithome.com.tw/news/160633
微軟發表支援蘋果平臺的Microsoft Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/160559" target="_blank">繼釋出</a>Android版的Microsoft Copilot程式之後，<a href="https://apps.apple.com/us/app/microsoft-copilot/id6472538445?platform=ipad" target="_blank">微軟也推出</a>了支援macOS、iOS與iPadOS的Microsoft Copilot，不讓OpenAI的ChatGPT專美於前。</p> <p>Microsoft Copilot是個AI聊天助理，它奠基在大型語言模型GPT-4與文字轉圖像模型DALL·E 3上，前者令它可替使用者撰寫電子郵件草稿、寫故事、摘錄複雜的文章、翻譯不同的語言、建立個人化的旅遊行程，以及協助使用者寫履歷等，後者支援使用者透過文字敘述來創造圖像，可用來設計商標、插圖，或是建立客製化的背景圖像等。</p> <p>根據<a href="https://techcrunch.com/2023/11/15/bing-chat-is-now-copilot/" target="_blank">《TechCrunch》</a>及<a href="https://www.theverge.com/2023/11/15/23960517/microsoft-copilot-bing-chat-rebranding-chatgpt-ai" target="_blank">《The Verge》</a>等媒體的報導，微軟是在去年11月將Bing Chat更名為Microsoft Copilot，而現在它已支援Windows、macOS、Android與iOS等平臺。</p> <p>與OpenAI所推出的<a href="https://apps.apple.com/us/app/chatgpt/id6448311069" target="_blank">行動版ChatGPT</a>相較，ChatGPT使用的是GPT 3.5模型，而Microsoft Copilot則採用GPT 4.0；此外，Microsoft Copilot最大的特色在於它整合了搜尋引擎，可提供最新資訊；以及額外嵌入了DALL·E 3，支援文字生成圖像。</p> <p>再者，ChatGPT現在只有英文介面，而Microsoft Copilot則支援包括繁體中文在內的數十種語言介面；且目前ChatGPT尚未提供macOS版本，而Microsoft Copilot現則支援採用M1以上處理器的macOS。</p> <p>看起來微軟打算攻佔所有平臺的AI聊天助理，在Windows上也計畫讓Microsoft Copilot同時支援Windows 11與Windows 10。</p> </div></div></div>
2024/1/2 12:32作者陳曉莉https://www.ithome.com.tw/news/160631
駭客利用Google OAuth端點刼持帳號，即使用戶變更密碼或登出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員發現一個之前不為人所知的Google端點，可被駭客用來恢復原本失效的連線或重覆產生cookies，即使用戶變更了密碼，藉此劫持用戶Google帳號。</p> <p><a href="https://www.ithome.com.tw/news/160011" target="_blank">11月資安廠商發現</a>一個Lumma竊資軟體服務，其開發人員宣稱其軟體能從受害電腦竊取與Google服務有關的cookie，之後可用以劫持Google帳號，強調使用者就算登出、更換密碼，原本的cookie依然能用。不過該軟體成功讓cookies「復活」的方法仍不得而知。但另一家資安業者CloudSEK揭露其中原理，發現和Google一個名為MultiLogin的端點有關。</p> <p><a href="https://www.cloudsek.com/blog/compromising-google-accounts-malwares-exploiting-undocumented-oauth2-functionality-for-session-hijacking" target="_blank">CloudSEK</a>研究團隊2023年10月發現一個名為PRISMA的駭客在Telegram頻道上，宣傳一個零時差攻擊的解決方案以招攬客戶。他宣稱其方法可以長時間維持有效連線（session），即使帳號變更了密碼，也可以產生cookies以便連線中斷後能再登入受害者帳號。</p> <p>研究人員表示，11月底流傳的數項竊資軟體都包含這方案，顯然為其「客戶」，包括Lumma、Rhadamanthys、Risepro、Meduza、Stealc Stealer等。而Eternity Stealer也正在開發包含本技術的更新版。</p> <p>CloudSEK研究人員透過逆向工程，揭露出本方案的運作方式。竊資軟體是鎖定Chrome的WebData檔中的Token_service表，目前在擷取GAIA ID，以及加密用的token，後者又是利用儲存於UserData資料夾的Chrome Local State的加密金鑰來解密。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0102-chrome%20Token_service%20image%20by%20CloudSEK.png" style="width: 600px;" /></p> <p><span style="font-size: 14px; color: rgb(105, 105, 105);">圖片來源_</span><a href="https://www.cloudsek.com/blog/compromising-google-accounts-malwares-exploiting-undocumented-oauth2-functionality-for-session-hijacking" style="font-size: 14px;" target="_blank"><span style="color: rgb(105, 105, 105);">CloudSEK</span></a></p> <p>但另一關鍵在於Google端點MultiLogin。這個端點雖然被用於駭客的方案中，但卻未明載於Google文件。MultiLogin端點是Google OAuth系統很重要的環節，可利用帳號ID和auth-login token實現同步連線或在使用者多個用戶資料檔（user profile）之間無縫切換。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0102-chrome%20Reverse%20Engineered%20Exploit%20code.png" style="width: 543px;" /></p> <p><span style="font-size: 14px; color: rgb(105, 105, 105);">圖片來源_</span><a href="https://www.cloudsek.com/blog/compromising-google-accounts-malwares-exploiting-undocumented-oauth2-functionality-for-session-hijacking" style="font-size: 14px;" target="_blank"><span style="color: rgb(105, 105, 105);">CloudSEK</span></a></p> <p>竊資軟體Lumma的方法就是結合使用Google Chrome取得的GAIA ID/token及MultiLogin端點，得以重新產生Google服務cookies。Lumma的創新在於以私有金鑰加密GAIA ID/Token。這可以避免其技巧被其他惡意組織模仿，也能防範被網路安全軟體偵測到MultiLogin端點和外部惡意程式C2伺服器的連線，而曝露行蹤。不過Lumma之後使用SOCKS代理伺服器迴避Google防範重新產生cookies的作法，無意間洩露其蹤跡。</p> <p>Lumma可以持續重新產生Google服務的cookies，即使用戶重設密碼，允許駭客能不斷存取用戶Google帳號而不被發現，而且加密token的行為，也突顯網路攻擊手法日漸高明。</p> </div></div></div>
2024/1/2 08:44作者林妍溱https://www.ithome.com.tw/news/160629
傾斜PC螢幕模式可滿足寫程式需求，但只有Linux支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電腦專業使用者想方設法在有限螢幕面積顯示出最多內容。一名玩家及開發人員測試發現，只有Linux能滿足螢幕不同傾斜角度的執行需求。</p> <p><a href="https://sprocketfox.io/xssfox/2021/12/02/xrandr/" target="_blank">一名電腦玩家xssfox近日測試</a>有別於傳統直式（Portrait）或橫式（Landscape）螢幕模式執行應用程式，並且找出執行何種任務下，螢幕擺出何種角度能看到最多內容。他是利用xrandr（X Resize and Rotate）這個工具。xrandr是Linux官方的螢幕設定拓展工具，可用以設定螢幕模式、調整解析度、旋轉角度等行為。</p> <p>不過xssfox指出，xrandr在macOS和Windows上有點難操作，事實上他在自己的MacBook上就無法執行xrandr，但在Linux上，想要傾斜幾度都沒問題。</p> <p>至於要傾斜多少角度才能提供最好的體驗，則要取決於使用情境。根據這名用戶測試，橫式適合多種情境，也相當適合看影片，但看網頁或文件就會浪費旁邊的空間。反之，直式適合看文件，尤其是多頁數文件，看影片時觀影畫面受限，也有視角問題。</p> <p>而在對角線螢幕模式（diagonal monitor mode，即以螢幕對角線為畫面水平線）能看到比直式更多畫面。雖然45度是正方形的對角線，但不適合現有長寬比（如16:9或更寬）的螢幕。這名用戶在其21:9螢幕上測試出最佳的傾斜角度為22度，能提供最長寬度，而不需擔心寫程式視野受限，唯一缺點是外接的web cam可能會滑下來。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0102-Ideal%20monitor%20rotation%20for%20programmers-image%20by%20xssfox-600.jpg" style="width: 600px;" /></p> <p><a href="http://sprocketfox.io/xssfox/2021/12/02/xrandr/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_xssfox</span></span></a></p> <p>這位開發人員也分享了一支Javascript計算程式，可為不同螢幕產生xrandr的角度及設定指令。</p> </div></div></div>
2024/1/2 09:19作者林妍溱https://www.ithome.com.tw/news/160630
Ruby 3.3.0採用Prism作為預設解析器並改進YJIT效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ruby開發團隊今年也按聖誕節當天發表更新的慣例釋出<a href="https://www.ruby-lang.org/en/news/2023/12/25/ruby-3-3-0-released/">Ruby 3.3.</a>0，該版本增加了一個名為Prism的新解析器，並且使用Lrama解析器生成器替換Bison，在編譯器更新上改進YJIT的效能，也加入開發團隊最近正在實驗的純Ruby JIT編譯器RJIT。</p> <p>Prism解析器是一個專為Ruby程式語言設計的遞迴下降解析器（Recursive Descent Parser），具有可移植、容錯和可維護等特性，作為Ripper的替代工具，提供更加現代且靈活的解析解決方案，已經可在生產環境中使用。</p> <p>遞迴下降解析器是一種程式語言解析演算法，能夠基於文法規則將程式碼轉換成特定形式的結構，像是抽象語法樹（AST）等。Prism既是CRuby內部使用的C函式庫，也可供任何需要解析Ruby程式碼工具使用的Ruby套件（Gem），而現在Prism解析器為Ruby 3.3.0的預設套件（Gem），方便開發者在Ruby環境中執行程式碼解析。</p> <p>而Ruby 3.3.0中用來代替傳統Bison的Lrama解析器生成器，主要用於Ruby程式語言的解析。Bison一直以來都是解析器生成的非常受歡迎工具，但Bison的文法限制和錯誤恢復的能力有限，再加上使用的複雜性，在部分情況下可能成為開發障礙，相較之下，Lrama是一種更為靈活的解析生成工具，特別適用於Ruby程式語言。</p> <p>Lrama主要優勢在於可維護性和可擴展性，像是支援參數化規則，在Ruby的parse.y中就非常有用。支援參數化規則使得解析器可以更容易地處理複雜語言結構，提高解析器的靈活性和適應性。此外，Lrama內部的解析器被替換成為由Racc生成的LR解析器，進一步提升可維護性。這些改進都是在替Ruby的未來發展鋪路，有助於使Ruby語言解析過程更加高效精確。</p> <p>Ruby 3.1初次加入的程序內編譯器YJIT，在Ruby 3.2成為正式功能，而後開發團隊繼續改進，在Ruby 3.3.0中YJIT的效能獲得提升。YJIT在記憶體使用上，相較於Ruby 3.2有明顯的改進，編譯程式碼的後設資料使用更少的記憶體，並且添加新的閾值配置來提升效能。</p> <p>針對Arm64架構，YJIT生成更加緊湊的程式碼，另外，程式碼垃圾回收現在預設停用，開發者需要手動啟用。YJIT在執行時的啟動功能也獲得強化，開發者可以在執行時啟用YJIT，因此像是Ruby on Rails 7.2也可以在預設情況下啟用YJIT。YJIT預設提供更多統計資料，增加新的效能分析功能，例如—yjit-perf和—yjit-trace-exits。官方也提到，這個版本的YJIT經過更全面的測試，已修復多個錯誤，進一步提升了穩定性和可靠性。</p> <p>Ruby 3.3.0還加入了全新純Ruby語言實作的即時編譯器RJIT來取代MJIT，RJIT與MJIT不同，在執行時不需要C編譯器，這個重要特性可以降低使用JIT的複雜性，並提高在不同環境中的可用性。RJIT目前仍是一個實驗性質的專案，僅支援Unix平臺上的x86-64架構，官方建議在生產環境還是先使用更成熟，且支援多種架構與平臺的YJIT。</p> </div></div></div>
2024/1/1 11:52作者李建興https://www.ithome.com.tw/news/160618
【資安週報】2023年12月25日到12月29日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>時至2023年最後一星期，適逢歐美各國聖誕連假，各大資安媒體雖然大多暫停發布新聞，期間仍有零時差漏洞攻擊的揭露。在12月24日，資安業者Barracuda Networks發布資安公告，指出中國駭客UNC4841再次鎖定他們的產品發起零時差漏洞攻擊，導致部分郵件安全閘道（ESG）植入惡意軟體Seaspy及Saltwater的新型變種，該公司已於21日派送自動軟體更新修補，並指出該漏洞CVE-2023-7102存在於ESG產品中，Amavis病毒掃描程式元件的第三方程式庫Spreadsheet::ParseExcel。這項消息呼應我們先前報導，當時我們提醒大家注意零時差漏洞攻擊出現鎖定底層元件進行濫用的狀況，而上述事件無疑再次反映此一態勢。</p> <p>還有兩個漏洞修補消息值得重視，首先，Apache基金會在12月先後修補旗下ERP系統OFBiz的2個CVSS風險評分9.8分的重大漏洞，分別是：CVE-2023-49070、CVE-2023-51467。值得注意的是，資安業者已發現攻擊者掃描存在漏洞的系統，再加上有不少系統將之整合或採用，因此影響範圍預估不小，像是Atlassian的JIRA就包含了OFBiz，企業須注意相關後續修補動向；另一是英商Canonical針對Ubuntu作業系統修補了文字編輯器Vim的15個漏洞，其中4個為CVSS風險評分7.8分的高風險層級。</p> <p>此外，關於半年前攻擊者針對iOS發起的Operation Triangulation攻擊行動，最近卡巴斯基揭露相關細節之外，還指出攻擊者所利用4個零時差漏洞中，仍有一個漏洞的濫用方式不明。</p> <p>在威脅態勢方面，SSH安全問題在這星期幾篇資安新聞當中均提及，例如，先前有大學研究人員揭露Terrapin攻擊手法與3個漏洞，最近韓國資安業者AhnLab提出警告，指出發現攻擊者鎖定執行Linux作業系統的SSH伺服器，並針對缺乏相關安全設置的主機發動攻擊。</p> <p>而從產業面來看，這星期我們看到網路訂房與飯店業，以及遊戲業的狀況較多，各有兩篇資安新聞。</p> <p>首先是旅館業者的服務生態鏈，例如，這幾個月持續有駭客鎖定Booking.com用戶詐騙的揭露，如今又有資安業者指出這是一種B2B2C形式的手法，先針對飯店員工網釣下手，在以飯店業者帳號登入Booking.com去詐騙客戶；另一是竊資軟體RedLine、Vidar的攻擊行動，同樣是駭客假借客人投訴與訂房為由，引誘飯店人員點擊釣魚郵件。</p> <p>遊戲業者的資安事故方面，這段期間各大資安媒體均報導下列兩則消息，一是法國遊戲開發商Ubisoft遭駭客入侵48小時，所幸公司管理員察覺異常、險些遇害的揭露；另一是傳出俠盜獵車手V（GTA 5）原始碼外流的情況，根據後續的情報表示這是2022年RockStar Games遭駭時流出。</p> <p>在防禦態勢方面，2023年全球資安界均相當關注生成式AI資安應用的現況，而我們最近發布的封面故事也特別以此為題進行報導，當中可以看出<a href="https://www.ithome.com.tw/news/160608">不少全球大型IT與資安廠商已經實際付諸行動</a>，也出現<a href="https://www.ithome.com.tw/news/160610">臺灣資安業者及早布局、累績發展設類新技術的經驗</a>，原因在於他們看重生成式AI能分析龐大資料的能力，用自然語言輸入來提示與回答，大幅提升資安事件處理效率，預料未來會有更多廠商跟進，將開啟<a href="https://www.ithome.com.tw/article/160614">2024年AI資安的新格局</a>。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/160527"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月25日】駭客集團UAC-0099鎖定烏克蘭組織並利用WinRAR漏洞植入惡意程式LonePage</span></strong></a></h3> <p style="margin: 0px;">駭客近期利用WinRAR漏洞CVE-2023-38831的情況，有越來越頻繁的趨勢，而且有不少是國家級駭客組織從事相關攻擊。攻擊者利用該漏洞最重要的原因之一，就是此壓縮軟體並未內建自動更新機制，使用者若不手動升級新版軟體，就會持續曝露在這項漏洞當中，而使得對方有機會成功利用。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">最近有研究人員針對駭客組織UAC-0099的攻擊行動進行調查，結果發現，這些駭客散布惡意軟體的管道，其中一種就是這項WinRAR漏洞。</p> <h3><a href="https://www.ithome.com.tw/news/160548"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月26日】有人入侵遊戲開發商Ubisoft並企圖竊取《虹彩六號：圍攻行動》的內部資料</span></strong></a></h3> <p style="margin: 0px;">今年有多起鎖定遊戲公司的攻擊行動，從年初電玩遊戲開發商Riot Games證實遭駭，旗下《英雄聯盟》及防作弊系統的原始碼遭竊，到最近Sony旗下電玩業者Insomniac Games遭勒索軟體Rhysida入侵，偷走處於開發狀態的電玩遊戲《金鋼狼》相關資料，這類資安事故有越來越頻繁的情況。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">而在本日的資安新聞裡，傳出有人對電玩開發商Ubisoft發動攻擊，該公司在兩天之內察覺有異，並做出處理，使得受害情況得到控制，但攻擊者身分仍不得而知。</p> <p><a href="https://www.ithome.com.tw/news/160564"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月27日】有人散布《俠盜獵車手V》原始碼並向甫遭判決的駭客組織Lapsus$成員致敬</span></strong></a></p> <p style="margin: 0px;">近期歐美國家取締網路犯罪組織的執法行動大有斬獲，例如，1月破壞勒索軟體Hive的基礎設施，8月摧毀70萬臺電腦組成的QBot殭屍網路等，駭客因此元氣大傷、消聲匿跡一段時日。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">12月19日再度傳出美國FBI宣布奪下勒索軟體駭客組織BlackCat網站，但對方在一天內又取回網站，顯然這次執法行動受到阻礙。駭客表示，只要是在獨立國家國協以外的企業組織，都可能是他們的目標。</p> <h3><a href="https://www.ithome.com.tw/news/160596"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月28日】別以為使用SSH連線就會比較安全！採用容易猜到的帳密有可能將Linux伺服器拱手送給駭客</span></strong></a></h3> <p>透過SSH連線遠端管理Linux伺服器的方法相當普遍，但若是使用極為容易猜到的帳號和弱密碼，小心！很有可能成為下手的目標，而成為駭客擺布的對象。</p> <p>這樣的現象，資安業者AhnLab今年多次提出警告，而這次他們指出駭客對其部署挖礦程式、DDoS機器人，同時還有可能植入各式的惡意軟體來上下其手。</p> <h3><a href="https://www.ithome.com.tw/news/160616"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月29日】Booking.com合作旅館、房客面臨網釣攻擊且外洩個資出現轉交其他團體兜售現象</span></strong></a></h3> <p>今年駭客針對Booking.com房客發動攻擊的情況不時傳出，其特別之處在於，駭客並非直接對房客下手，而是先對旅館發動網釣攻擊，再假借這些旅館的名義對房客行騙，房客一不注意對方提供的網址是假冒的就點進去查看，很容易上當。</p> <p>值得留意的是，這樣的情況日益惡化，甚至已經在網路犯罪圈發展成上下游分工的情況──有人專門收集旅館的Booking.com帳密供打手運用。</p> </div></div></div>
2023/12/31 21:10作者羅正漢https://www.ithome.com.tw/news/160628
替雲服務榨出更多運算資源，英特爾推出首款ASIC架構IPU
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/intel_ipu_e-2000_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於全球三大公有雲服務供應商（CSP）而言，這幾年陸續揭露本身IT基礎架構進行改良的技術發展。以AWS為例，2013年開始研發<a href="https://www.ithome.com.tw/news/141770">Nitro系統架構</a>，2017年正式公開，如今已開展出Nitro Cards、Nitro Security Chip、Nitro Hypervisor、Nitro Enclaves、NitroTPM等多項技術。</p> <p>其他雲端服務業者也急起直追。例如，微軟在2018年3月發表論文，揭露2015年開始部署基於FPGA晶片而成的訂製型SmartNIC，以此建置加速網路環境<a href="https://learn.microsoft.com/en-us/azure/virtual-network/accelerated-networking-overview?tabs=redhat">Azure Accelerated Networking（AccelNet）</a>，並提及他們打造的兩代Azure SmartNIC，後續升級採用Intel Arria 10 FPGA技術。到了2023年，7月下半微軟預告將推出全新的系統架構Azure Boost，11月中正式上線。根據微軟目前公開的文件指出，此架構可將網路、儲存、伺服器管理等傳統由Hypervisor與作業系統處理的工作，卸載到專屬設計的硬體與為此進行調校的軟體執行，整體配置包含多種元件，目前已知有網路卡Microsoft Azure Network Adapter（MANA）、固態硬碟Azure Boost SSD、Azure Boost系統單晶片（SoC）、Azure Boost FPGA晶片，以及Cerberus硬體信任根晶片、SELinux作業系統（不過，他們並未透露與Azure既有加速網路環境的差異）。</p> <p>Google Cloud這兩年也開始公開相關的技術進展，像是2022年10月他們發表C3系列運算服務，除了標榜採用即將上市的英特爾第四代Xeon Scalable處理器，也提到裡面將搭配為其量身打造、由Google Cloud與英特爾共同設計的基礎設施處理器（IPU），以及區塊儲存服務Hyperdisk，相較於上一代運算服務C2，效能增長20％。2023年5月C3正式推出，Google Cloud提到IPU主要負責網路處理的卸載（Offload），8月底更揭露他們發展的系統架構Titanium system，等於正式宣告邁入以硬體加速IT基礎架構的新紀元，也突顯運用專屬系統架構來分攤底層資源管理負擔的作法躍居主流，成為大型資料中心環境強化整體IT服務性能的必備技術。</p> <p><a href="https://s4.itho.me/sites/default/files/images/IPU-2022-10-X.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IPU-2022-10-X.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>從FPGA延伸至基礎設施處理器，英特爾確立兩種路線</strong></span></h3> <p>隨著SmartNIC與DPU這類I/O加速產品被拱上檯面，英特爾在2021年6月正式提出基礎設施處理器的產品概念，當中囊括基於FPGA的加速運算卡與專屬ASIC，而在8月舉行的英特爾架構日活動，他們正式公布IPU產品陣容，的確區隔如上述的兩大類，並將第一類細分為IPU平臺與SmartNIC，代表的產品分別是<a href="https://www.ithome.com.tw/review/160260">代號為Oak Springs Canyon的參考平臺（FPGA搭配Xeon／英特爾架構（IA））</a>，以及<a href="https://www.ithome.com.tw/review/152317">代號為Arrow Creek的加速開發平臺N6000</a>，第二類則是代號為Mount Evans的ASIC架構IPU，當時英特爾大方公布這款晶片的元件組成，我們在同年9月的封面故事<a href="https://www.ithome.com.tw/tech/146525">《2022 Intel運算架構大公開！》</a>，也整理他們初步揭露的幾項特色，像是包含運算與網路兩大部分，前者內建16顆Arm Neoverse N1核心、英特爾QAT密碼學與壓縮處理加速技術，以及用於管理的專屬處理器，後者則內建封包處理引擎、NVMe、200GbE網路、RDMA等技術。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel ASIC IPU-2021-08.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20ASIC%20IPU-2021-08.jpg" style="width: 600px;" /></a></p> <p>2021年10月舉行的Innovation年度用戶大會，英特爾表示，關於Mount Evans的運用，將與公有雲業者Google Cloud展開深層合作，設計與發展支援P4程式語言，以及基礎架構程式設計師開發套件（IPDK）的開放解決方案，以便簡化開發者存取Google Cloud資料中心的方式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU-GCP-2021-10-1.png" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Intel IPU-GCP-2021-10-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU-GCP-2021-10-3.png" style="width: 298px;" /></a></p> <p>到了2022年5月舉行的上半年用戶大會，英特爾默默將Mount Evans定名為IPU E2000，並預告這一年開始出貨給Google與其他服務供應商，2023年可望廣泛部署。</p> <p>他們也公布2022至2025年IPU發展藍圖，其中先上陣的產品，就是先前介紹的Oak Springs Canyon（原本稱為FPGA IPU C6000X-PL，現改名為IPU Platform F2000X-PL），以及代號為Mount Evans的IPU E2000，將它們定調為第二代IPU，可支援200 Gb/s網路環境；2023至2024年將推出第三代IPU，分別是代號為Hot Springs Canyon的FPGA+IA平臺，以及代號為Mount Morgan的ASIC架構IPU，可支援400 Gb/s網路環境；2025年以後將推出第四代IPU，FPGA+IA平臺與ASIC架構IPU都將有新一代產品，可支援800 Gb/s網路環境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IPU-2022-05-2023-04-26_234944.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/IPU-2022-05-2023-04-26_235256.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IPU-2022-05-2023-04-26_235256.jpg" style="width: 600px;" /></a></p> <p>在此同時，他們還特別揭露了ASIC架構IPU的效能。以採用第四代Xeon Scalable處理器的伺服器為基準，搭配Mount Morgan之後，效能改善幅度為30％，在低於5毫秒的延遲要求之下，可支援的用戶端數量可從600臺增加到1,200臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Xeon performance improvement1-2022-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Xeon%20performance%20improvement1-2022-05.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Xeon With IPU E2000 performance improvement-2022-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Xeon%20With%20IPU%20E2000%20performance%20improvement-2022-05.jpg" style="width: 298px;" /></a></p> <p>英特爾2022年9月底舉行的下半年Innovation全球用戶大會，也展示Intel IPU E2000的儲存負載卸載成效，顯示儲存系統搬移到搭配IPU的系統時，處理器運算循環週期可節省至少2倍，並且能因應耗用大量頻寬需求的儲存解決方案使用，提供等同於網路線速（linespeed）的傳輸能力。</p> <p>透過儲存系統的測試上，英特爾試圖證明IPU系統所需的網路頻寬較低。在他們設置的環境中，搭配E810網卡的伺服器連上Lightbits公司的軟體定義NVMe/TCP儲存叢集系統LightOS，網路流量為93.8 Gbps，而搭配IPU E2000的系統連接這套儲存系統時，網路流量為90.8 Gbps；</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel IPU E2000 Storage-2022-09-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU%20E2000%20Storage-2022-09-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/IPU-2022-10-2023-04-27_001712.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IPU-2022-10-2023-04-27_001712.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/E2000-2022-09-CLI.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/E2000-2022-09-CLI.jpg" style="width: 298px;" /></a></p> <p>關於CPU資源的耗用上，搭配英特爾第四代Xeon Scalable處理器與E810網卡的系統，CPU核心會使用到14.3顆之多，至於搭配Intel IPU E2000的系統，由於可將儲存系統發起端（initiator）的邏輯處理交由IPU負責（從CPU卸載至IPU），因此，CPU只需要用到2.7顆核心，並且維持網路吞吐量與運算效能，等於可節省11.6顆核心。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel IPU E2000-Demo-2022-09-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU%20E2000-Demo-2022-09-1.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>Google是英特爾ASIC架構IPU的最大支持者</strong></span></h3> <p>相隔幾週之後，Google Cloud在2022年的Next用戶大會發表新的執行個體（虛擬機器）服務C3，開放用戶進行封閉預覽測試，這系列鎖定一般用途的雲端運算服務，預計將採用英特爾第四代Xeon Scalable處理器，以及他們與英特爾共同設計的訂製型ASIC架構IPU，而這款元件也就是Intel IPU E2000，Google Cloud會將可程式化的封包處理負擔從CPU端釋出，轉交IPU E2000處理，並以安全的方式運作，提供200Gb/s線速與低延遲的網路傳輸能力——當中將會支援Google Cloudy在2022年開放原始碼的PSP安全協定（PSP Security Protocol），以此提供硬體卸載大規模密碼學處理的機制，做到以線速進行的網路傳送過程加密（In-transit encryption），他們用於正式環境的Linux核心、網路虛擬化堆疊Andromeda，以及主機網路系統Snap，都已支援PSP。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP-C3-2022-10-X.jpg" style="width: 600px;" /></p> <p>2023年5月，<a href="https://www.ithome.com.tw/review/158470">C3正式上線</a>，Google Cloud對於IPU的運用，特別提到幾個特色。首先是IPU內含兩個元件，一個是將工作負載卸載至IPU的網路虛擬化堆疊Andromeda，另一個是可程式化封包處理引擎，能實現更高階的網路連線效能供應、隔離，以及安全控管功能；第二，IPU能讓C3支援更大規模的虛擬機器組態，可減少用戶工作負載與應用程式網路I/O對其造成的干擾；第三，C3系列的虛擬機器可使用200 Gbps的低延遲網路連線，提供兩倍於前代虛擬機器的連線效能，更適合用於緊耦合架構的分散式運算、高效能運算，以及網路密集型工作負載。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2019-06-GCP-andromeda_max.png" style="width: 400px;" /></p> <p>除此之外，Google Cloud的區塊儲存服務Hyperdisk，也能利用IPU技術，讓虛擬機器能夠將原本綑綁的儲存處理進行解耦，提供更強大的效能、彈性與效率，而在C3搭配的區塊儲存Hyperdisk，相較於前一代虛擬機器C2，可提供4倍的儲存吞吐量，以及10倍的IOPS效能。</p> <p>而在同一時間，<a href="https://www.ithome.com.tw/review/160499">他們也發表新一代GPU運算服務A3</a>，比起上一代的同類虛擬機器服務A2，網路頻寬可提升10倍，提供高度穩定與低度尾延遲（low tail latencies）的表現，原因在於採用他們訂製的200 Gbps傳輸能力IPU，並搭配特製的跨伺服器GPU通訊堆疊，以及支援Nvidia集結通訊程式庫（NCCL）最佳化處理，促使GPU之間資料的傳輸，可透過不經由伺服器CPU的直接I/O路徑進行，並且可在個別的網路介面遞送其他虛擬機器的網路連線與資料流量。</p> <p>8月初Google Cloud發表鎖定運算最佳化用途的運算服務H3，當中繼續採用他們訂製的IPU，而這類元件包含卸載網路堆疊Andromeda、可程式化封包處理引擎，提供高人一等的網路效能、隔離設置，以及安全防護機制，更適合緊密耦合的分散式運算，以及網路密集型工作負載，可支援緊緻型設置（compact placements），並且部署在大型、密集的IT資源池，可減少延遲與網路流量抖動，改善高效能運算應用的規模擴展程度。</p> <p>到了2023年8月底舉行的Next年度用戶大會，Google Cloud在介紹C3、A3、H3等第三代Compute Engine運算服務，以及新一代區塊儲存服務Hyperdisk時，特別提到這些服務之所以能產生更大的效能、廣泛支援多種工作負載，是因為底層IT架構採用他們發展的<a href="https://cloud.google.com/titanium?hl=en">Titanium system</a>，而上述訂製型IPU也是此系統平臺的重要元件。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Titanium-2023-08-keynote.jpg" style="width: 600px;" /></p> <p>Titanium結合多種Google內部開發的多種技術，目前包含三大元件：卸載卡Titanium adaptor、卸載處理器Titanium offload processors，以及硬體信任根晶片Titan security microcontrollers，可用於擴展執行規模與效能，以及多種雲端服務環境的使用場景。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20223-08-Titanium_web.jpg" style="width: 600px;" /></p> <p>舉例來說，若要在雲端環境以橫向擴展的方式執行大規模的現代化工作負載，有了Titanium，不僅能延伸整個架構，增添伺服器內部的卸載處理，也能在伺服器外部執行、可橫向擴展執行規模的卸載層（scale-out offload tier）處理。而這樣的卸載系統架構能夠廣泛進行部署，並且對於需持續提供最佳效能的工作負載，也能進行動態調整。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP Titanium-2023-08-31-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Titanium-2023-08-31-1.jpg" style="width: 600px;" /></a></p> <p>Titanium目前可用於區塊儲存與網路路由等兩種類型的IT資源調度，執行橫向擴展規模的卸載處理。以前者而言，Hyperdisk區塊儲存透過Titanium將工作交給伺服器的IPU處理，之後搭配Titanium的橫向擴展卸載層，將I/O分散到Google的大型叢集檔案系統Colossus；而在網路方面，位於IPU這種卸載裝置上面的虛擬網路堆疊Andromeda，對於未將路由設為Hoverboard閘道（本身是獨立軟體交換器，也是某些網路流向預設的路由器）的端點之間的通訊，可負責傳送所有的網路封包，因為Hoverboard閘道已掌握虛擬網路全部的封包轉送資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Titanium_Infra-2023-08.jpg" style="width: 600px;" /></p> <p>除了強化雲端服務基礎架構的效能，英特爾與Google Cloud合作發展ASIC架構IPU，也針對建置大規模AI基礎架構的交織網路環境提供解方。在2023年10月下半舉行的OCP全球高峰會，Google公開他們發展的高可靠、低延遲的硬體網路傳輸架構Falcon，並且率先用在Intel IPU E2000系列產品，並展現過去10年在效能、延遲度、流量控制等層面的進展，以及表達他們持續精進乙太網路技術的努力，使其成為可用於超大規模環境、提供高效能、低延遲的交織網路環境。 </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-2_Falcon_web.jpg" style="width: 600px;" /></p> <p>英特爾表示，這樣的搭配，可示範乙太網路傳輸也能增添低延遲與大規模的網路壅塞處理，而身為Ultra Ethernet Consortium聯盟的主要成員，他們希望將乙太網路環境提升至足以因應高效能AI工作負載的程度，並計畫將基於標準而成的各種強化機制，部署到未來的IPU與乙太網路產品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU%20E2000-Google%20Falcon-2023-10-31-Intel%20Networking%20for%20AI%20with%20Naru%20Sundar_Source_Intel_TFD.jpg" style="width: 600px;" /></p> <h3><span style="color:#0000FF;"><strong>2024年將推出獨立IPU加速卡</strong></span></h3> <p>除了Google Cloud陸續釋出採用Intel IPU E2000的消息，英特爾在2023年9月舉行的Innovation年度用戶大會期間，也悄悄揭露這款產品的最新效能表現與發展動向。</p> <p>舉例來說，在英特爾彙整旗下產品效能數據的公開網站Performance Index上，特別列出Innovation大會IPU專場演講引用8月底出爐的測試結果，當中提到伺服器若是搭配IPU，實測的傳輸率為134Mpps，可用於工作負載的運算資源為100％；若是伺服器不使用IPU，用到8顆CPU核心時，網路接收到的資料量為29.75 Mpps，封包傳輸率為22％，意味著可用於工作負載的運算資源超過60％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel IPU E2100-Demo-2023-08-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU%20E2100-Demo-2023-08-1.png" style="width: 500px;" /></a></p> <p>這裡有兩個組態值得注意，一是他們為此建置專門提供基礎架構網路功能服務的環境，當中設置VxLAN、NAT，以及網路傳輸狀態測量系統，而且搭配以P4程式語言寫成、實作VxLAN termination、NAT的軟體系統，以及結合P4-DPDK外掛的DPDK套件版本，另一是使用的IPU產品是名為IPU E2100的加速卡。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel IPU E2100-performance index-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU%20E2100-performance%20index-1.jpg" style="width: 400px;" /></a></p> <p>而根據我們後來向英特爾索取這場演講簡報的內容來看，2024年他們針對ASIC架構的IPU產品，會有兩種形式的提供。</p> <p>一是他們營運管理的開發者雲端服務DevCloud，將會提供搭配IPU E2100的執行個體，而且會成為此服務預設的底層基礎架構；另一則是會正式推出獨立的加速卡產品IPU E2100，研發代號為Dayton Peak。而在12月19日舉行的Intel Innovation大會中國場，也重申這方面的消息。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel IPU Product-2023-12-china.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU%20Product-2023-12-china.jpg" style="width: 600px;" /></a></p> <p>其實，Intel IPU E2100這個名字去年就已出現。我們以Intel IPU E2100作為關鍵字到網路上搜尋，發現<a href="https://doc.dpdk.org/guides/rel_notes/release_22_11.html">DPDK在2022年推出的22.11版，已針對Intel IPU E210增添網路驅動程式</a>，而針對DPU、IPU這類產品搭配的軟體開發套件IPDK，在2023年7月發布的<a href="https://ipdk.io/news/2023/07/19/23-23-07-Release/">23.07版</a>也支援Intel IPU E2100這款產品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel IPU Stack1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU%20Stack1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel IPU Stack2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU%20Stack2.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Intel IPU E-2000</strong><br /> ●原廠：英特爾<br /> ●建議售價：廠商未提供<br /> ●外形：未公開規格<br /> ●晶片架構：ASIC<br /> ●網路介面：2個100GbE埠或1個200GbE埠<br /> ●I/O介面：PCIe 4.0 x16<br /> ●搭配處理器與記憶體：16顆Arm Neoverse N1核心（Armv8.2），48 GB LP-DDR4記憶體（3個通道）<br /> ●加速或卸載引擎：封包處理引擎、NVMe裝置模擬器／Optane NVMe控制器、密碼學與壓縮處理加速引擎<br /> ●支援的軟體開發套件：IPDK、DPDK、SPDK</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/30 18:03作者李宗翰https://www.ithome.com.tw/review/157336
【資安日報】12月29日，Booking.com合作旅館、房客面臨網釣攻擊且外洩個資出現轉交其他團體兜售現象
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年駭客針對Booking.com房客發動攻擊的情況不時傳出，其特別之處在於，駭客並非直接對房客下手，而是先對旅館發動網釣攻擊，再假借這些旅館的名義對房客行騙，房客一不注意對方提供的網址是假冒的就點進去查看，很容易上當。</p> <p>值得留意的是，這樣的情況日益惡化，甚至已經在網路犯罪圈發展成上下游分工的情況──有人專門收集旅館的Booking.com帳密供打手運用。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.kaspersky.com/blog/booking-com-hacked-hotel-accounts-scam-customers/50109/"><strong style="font-size: 22px;">駭客持續針對Booking.com房客展開攻擊，地下論壇已開始兜售旅館帳密資料</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/booking-com-hacked-hotel-accounts-scam-customers-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/booking-com-hacked-hotel-accounts-scam-customers-4.jpg" style="width: 300px; float: right;" /></a>近期在線上訂房服務Booking.com找住宿的旅客，傳出頻頻遭到網路攻擊而受害的事件，不只BBC、衛報多家媒體接獲民眾投訴，Akamai、Secureworks等資安業者也針對這樣的現象提出警告，如今有研究人員指出，駭客開始兜售竊得的旅館帳密資料。</p> <p>資安業者卡巴斯基指出，駭客先是冒充旅館的客人，鎖定與Booking.com合作的旅館下手，散布竊資軟體取得相關帳密資料，從而利用旅館的Booking.com發送訊息給旅客。在其中一起攻擊行動中，駭客聲稱在旅館遺失護照，要求協助尋找，並在電子郵件裡附上護照照片檔案連結，然而旅館員工一旦照做，電腦就有可能被植入竊資軟體，駭客再藉由取得的帳密資料存取Booking.com，並研究目前訂房情況，向房客發送訊息，聲稱訂房過程提供的付款資料有誤，若不重新提供相關資料訂房將被取消。而對於接收到這些訊息的房客而言，如果依照駭客所偽造的內容去點選上面的網址連結，他們就會被帶往冒牌的Booking.com，而該網站竟然能顯示正確的房客姓名、飯店資訊、日期、價格，並強調這些日期的住宿需求很大、至少有10家類似的旅館已無法預訂，藉此催促房客盡快提供信用卡資料訂房。</p> <p>針對這一連串複雜的攻擊流程，研究人員稱為「B2B2C」，他們也看到駭客將不同工作指派其他人進行，例如，會有專人在駭客論壇負責兜售旅館的Booking.com帳密資料。對此，Booking.com強調是合作旅館遭駭，該公司系統並未遭到攻擊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/apache-ofbiz-rce-flaw-exploited-to-find-vulnerable-confluence-servers/"><strong style="font-size: 22px;">駭客掃描ERP系統Apache OFBiz重大漏洞，意圖對採用此軟體的Atlassian Confluence伺服器下手</strong></a></p> <p></p> <p>Apache基金會本月先後修補旗下ERP系統OFBiz的重大漏洞CVE-2023-49070、CVE-2023-51467（CVSS風險評分皆為9.8），攻擊者一旦利用上述漏洞，就能繞過身分驗證流程。由於該ERP系統受到不少知名軟體採用、整合到他們的系統當中，因此影響可能相當廣泛。</p> <p>12月28日Shadowserver基金會提出警告，他們看到駭客利用公開的概念性驗證程式（PoC），掃描存在CVE-2023-49070的伺服器，預期接下來也會對CVE-2023-51467下手。該基金會向資安新聞網站Bleeping Computer透露，這些攻擊者嘗試觸發漏洞的方法，是強制目標主機連線到oast.online的特定網址來進行，他們企圖攻陷的對象是DevOps協作平臺Confluence。由於Atlassian的JIRA包含OFBiz，而JIRA又是許多公司採用的商用專案管理與開發問題追蹤軟體系統，因此，這個開放原始碼專案的任何瑕疵都會繼承到Atlassian的產品。</p>  <p>資料來源</p> <p>1. <a href="https://twitter.com/shadowserver/status/1740317678257218036">https://twitter.com/shadowserver/status/1740317678257218036</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/apache-ofbiz-rce-flaw-exploited-to-find-vulnerable-confluence-servers/">https://www.bleepingcomputer.com/news/security/apache-ofbiz-rce-flaw-exploited-to-find-vulnerable-confluence-servers/</a></p> <p><a href="https://www.ithome.com.tw/news/160605"><strong style="font-size: 22px;">松下透露2022年12月發生的資料外洩事故</strong></a></p> <p></p> <p>專門提供飛機資訊娛樂系統、從事網路通訊設備系統整合業務的松下子公司Panasonic Avionics，在2022年底傳出網路遭駭，導致部分員工及客戶個資外洩。該公司向美國加州檢察長辦公室通報的資料裡提及，他們在2022年12月30日察覺公司網路環境部分系統遭到異常存取的跡象，駭客疑似於12月14日前後入侵，洩露的資料包括姓名、電子郵件、住家地址、電話，生日、醫療及健康資訊、銀行帳號、公司聘僱狀態、社會安全號碼，但究竟有多少人受到影響？該公司並未透露。</p> <p>該公司發言人向資安新聞網站Bleeping Computer表示，這起事故僅影響少數員工及商務客戶，至於飛機資訊娛樂系統、通訊系統、數位解決方案，他們並未發現受到影響的跡象。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/panasonic-discloses-data-breach-after-december-2022-cyberattack/">https://www.bleepingcomputer.com/news/security/panasonic-discloses-data-breach-after-december-2022-cyberattack/</a><br /> 2. <a href="https://www.documentcloud.org/documents/24238563-panasonic-avionics-corporation-consumer-notice-letter">https://www.documentcloud.org/documents/24238563-panasonic-avionics-corporation-consumer-notice-letter</a></p> <p><a href="https://www.nccgroup.com/us/newsroom/ncc-group-monthly-threat-pulse-november-2023/"><strong style="font-size: 22px;">金融木馬Carbanak東山再起，被用於勒索軟體攻擊行動</strong></a></p> <p></p> <p>資安業者NCC Group揭露上個月勒索軟體態勢的分析，指出整個月攻擊達到442件，較10月341起增加3成，累計2023年攻擊事故達到4,276件，其中影響最嚴重的是工業部門，本月有146件資安事故，相當於每3件就有1件就與工業部門有關，其次則是消費性產業、醫療照護領域，分別有78件、50件。</p> <p>從受害組織的分布地區來看，有219件發生在北美，135件發生在歐洲，亞洲則有46件位居第3。至於最猖獗的駭客組織，依序是LockBit、BlackCat（Alphv）、Play。</p> <p>值得留意的是，研究人員發現11月金融木馬Carbanak捲土重來的跡象，駭客將其用於勒索軟體攻擊，並假借CRM平臺HubSpot、資料管理軟體 Veeam、會計軟體Xero的名義散布。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://thehackernews.com/2023/12/google-cloud-resolves-privilege.html"><strong style="font-size: 22px;">GKE容器服務傳出有漏洞，可能讓使用者在K8s服務提升權限並完全控制叢集</strong></a></p> <p></p> <p>資安業者Palo Alto Networks發現Google Kubernetes Engine（GKE）存在弱點，並指出一旦攻擊者將其串連，就有機會讓已經能夠存取Kubernetes叢集的攻擊者進行權限提升。</p> <p>其中一個弱點是GKE事件記錄代理程式FluentBit的預設組態，所有叢集預設都有執行此代理程式，另一個弱點則是存在於附加功能Anthos Service Mesh（ASM）的預設權限。研究人員指出，如果攻擊者設法在FluentBit容器裡取得執行的能力，且Kubernetes叢集部署了ASM，他們就有機會發動極具威力的攻擊鏈，取得該叢集完整的控制權，從而進行資料盜竊、部署惡意pod，甚至中斷叢集運作。Google獲報後於12月14日予以修補。</p>  <p>資料來源</p> <p>1. <a href="https://unit42.paloaltonetworks.com/google-kubernetes-engine-privilege-escalation-fluentbit-anthos/">https://unit42.paloaltonetworks.com/google-kubernetes-engine-privilege-escalation-fluentbit-anthos/</a><br /> 2. <a href="https://cloud.google.com/anthos/clusters/docs/security-bulletins#gcp-2023-047">https://cloud.google.com/anthos/clusters/docs/security-bulletins#gcp-2023-047</a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/160604"><strong style="font-size: 22px;">Mozilla改變對Trusted Types防護技術的立場，計畫在瀏覽器導入</strong></a></p> <p></p> <p>為防範以文件物件模型為基礎的跨網站指令碼攻擊（DOM-based XSS，DOM XSS），Google於2020年在Chrome 83導入名為Trusted Types防護機制，現在傳出另一瀏覽器陣營Firefox也將跟進。</p> <p>根據新聞網站The Register的報導，Mozilla基金會Firefox資安工程師Frederik Braun指出，他們已針對Trusted Types完成相關的調查，認為這項技術確實能有效防範DOM XSS攻擊，他們將積極為瀏覽器導入這項技術，但目前實作面臨一些難題，例如，對於getPropertyType、getAttributeType等部分Trusted Types功能，仍不清楚實際用途，再者是他們發現Chrome有部分實作功能超出標準的範圍，希望相關功能予以標準化，使Firefox導入這種防護過程能有參考規範。</p> <p>資料來源</p> <p>1. <a href="https://www.theregister.com/2023/12/21/mozilla_decides_trusted_types_is/">https://www.theregister.com/2023/12/21/mozilla_decides_trusted_types_is/</a><br /> 2. <a href="https://github.com/mozilla/standards-positions/issues/20#issuecomment-1853427823">https://github.com/mozilla/standards-positions/issues/20#issuecomment-1853427823</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/russian-military-hackers-target-ukraine-with-new-masepie-malware/"><strong><span style="font-size: 20px;">烏克蘭遭到俄羅斯駭客APT28鎖定，散布惡意程式Masepie</span></strong></a></p> <p></p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/12/28/financially-motivated-threat-actors-misusing-app-installer/"><strong><span style="font-size: 20px;">多組駭客濫用微軟市集App的URI協定，散布惡意軟體</span></strong></a></p> <p></p> <p><a href="https://therecord.media/trinidad-and-tobago-government-agency-hit-with-post-christmas-cyberattack"><strong><span style="font-size: 20px;">特立尼達和多巴哥社會福利機構遭勒索軟體攻擊</span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/cyberattack-targets-albanian-parliaments-data-system-halting-its-work/"><strong><span style="font-size: 20px;">阿爾巴尼亞議會傳出遭到網路攻擊，導致部分服務暫停</span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/article/160614"><strong><span style="font-size: 20px;">【生成式AI開啟資安新變革】AI資安2024</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160596"><strong>【12月28日】別以為使用SSH連線就會比較安全！採用容易猜到的帳密有可能將Linux伺服器拱手送給駭客</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160564"><strong>【12月27日】有人散布《俠盜獵車手V》原始碼並向甫遭判決的駭客組織Lapsus$成員致敬</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160548"><strong>【12月26日】有人入侵遊戲開發商Ubisoft並企圖竊取《虹彩六號：圍攻行動》的內部資料</strong></a></p> </div></div></div>
2023/12/29 14:58作者周峻佑https://www.ithome.com.tw/news/160616
微軟再度預設關閉ms-appinstaller協定處理器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於遭到不同駭客組織的濫用，<a href="https://www.microsoft.com/en-us/security/blog/2023/12/28/financially-motivated-threat-actors-misusing-app-installer/" target="_blank">微軟再度於周四（12/28）宣布</a>，於預設值中關閉MSIX的ms-appinstaller協定處理器。</p> <p>MSIX為一Windows程式的套件格式，可替所有Windows程式提供現代化的封裝經驗，它除了支援對Win32、WPF 與Windows Forms 程式的現代化封裝及部署功能，也保留了現有程式套件與安裝檔案的功能，以讓用戶更容易將程式維持在最新狀態，同時確保流暢的安裝經驗。</p> <p>而ms-appinstaller協定處理器的功用，則是允許使用者只要簡單地點選網站上的連結就能安裝應用程式，不必下載整個MSIX套件，是個非常受歡迎的經驗。</p> <p>然而，根據微軟的觀察，自今年11月中旬以來，包括Storm-0569、Storm-1113、Sangria Tempest與Storm-1674等駭客組織，都利用了ms-appinstaller URI協定來散布惡意程式，為了避免客戶受到相關攻擊的影響，再加上微軟正在調查攻擊行動使用App Installer的狀況，決定於預設關閉ms-appinstaller協定處理器。</p> <p>調查顯示，駭客對ms-appinstaller協定處理器的濫用可能造成勒索軟體攻擊，許多駭客組織甚至已開始銷售濫用MSIX檔案格式與ms-appinstaller協定處理器的惡意程式套件即服務，它們於合法熱門軟體上張貼惡意廣告，並於廣告所連結的網站上散布惡意的MSIX應用程式套件。</p> <p>此外，駭客之所以選擇ms-appinstaller協定處理器來展開攻擊，或許是因為它能繞過Microsoft Defender SmartScreen，以及在下載執行檔時瀏覽器會跳出警告等安全機制。</p> <p>2022年2月時，微軟也曾因為ms-appinstaller協定處理器遭到駭客濫用，<a href="https://www.ithome.com.tw/news/149240" target="_blank">而暫時關閉該功能</a>。</p> <p>值得注意的是，一旦關閉該處理器，App Installer便無法再直接自網頁伺服器安裝程式，而必須先下載該程式。網站管理員應先移除'ms-appinstaller:?source='，以讓使用者下載MSIX套件或.appinstaller檔案，再藉由App Installer安裝套件。</p> </div></div></div>
2023/12/29 15:34作者陳曉莉https://www.ithome.com.tw/news/160617
Nvidia探討用生成式AI強化資安的3種方式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>用生成式AI幫助資安，是2023年相當火熱的議題，我們看到微軟、Google等多家資安業者，積極打造AI助理幫助資安人員，不過，資安問題不僅於此，還有GitHub Copilot新發展的AI漏洞過濾系統，將能用於幫助開發人員，可在開發階段就及時阻擋不安全程式碼的寫法，包括寫死憑證、SQL注入與路徑注入等。</p> <p>對於一般企業、非資安公司而言，我們又可以如何設想生成式AI的應用，幫助企業內部的資安強化呢？</p> <p>最近2023年底，我們看到有企業公開說明相關應用，特別的是，這家公司就是以GPU聞名全球、因AI晶片再度成為市場焦點的Nvidia。該公司資安長David Reber Jr.特別發表專文介紹，闡述3種應用生成式AI加強資安的方式。</p> <p>儘管Nvidia公司並非資安產業，但他們是從自身企業角度去設想，加上本身對於生成式AI的理解，並實際提出企業可發展與關注的方向，也相當值得借鏡。</p> <p>David Reber Jr.首先強調的是，資安攻擊速度與複雜性的逐漸增加，已經讓人類分析師無法有效應對，因為資料量過大，無法手動篩選。面對這樣的時局，他指出，當今最具變革性的工具──就是生成式AI。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>如何用生成式AI加強資安？</strong></span></span></p> <p>第一種方式，從開發人員開始，首先，要給開發人員一個安全開發的副駕駛。</p> <p>David Reber Jr指出，每個人都在安全中扮演一個角色，但不是每個人都是安全專家。因此，這個開始是最具戰略性的意義，以指導開發人員撰寫的程式碼，都遵循安全最佳實踐。而Nvidia本身也正於工作流程中建立這樣安全副駕駛，他們認為，資安助手是將生成式AI應用於網路安全的第一步。</p> <p>第二，使用生成式人工智慧來幫助分析漏洞，尤其是已知漏洞。畢竟每個程式碼的背後，可能根植於數十甚至數千種不同的軟體分支和開源項目中。而Nvidia也測試了這個概念，像是讀取公司所使用的軟體，及其支援的功能與API政策，而幫助識別修補的結果，將加快人類分析師的速度，最多可提升4倍。</p> <p>第三，用LLM填補不斷增長的資料缺口，這裡的情況是指，少有用戶分享資料外洩資訊，所以很難預測攻擊，此時可借助生成式AI建立合成資料，模擬未曾見過的攻擊模式，或填補訓練資料的空白，讓機器學習系統在實際攻擊發生之前，可以學會如何防禦。</p> <p>特別的是，Nvidia展示一項實證結果，是改進魚叉式網路釣魚（Spear Phishing）的偵測，在 Morpheus應用框架與生成式AI的搭配之下，比起既有解決方案成效更好，可從70%提升至90%。</p> <p>綜合而言，企業除了看到生成式AI逐漸融入資安產品的趨勢，對於企業自身而言，在內部的資安強化上，是否也想過運用生成式AI來解決一些資安風險問題，無論是打造或採用開發人員適用的安全助手，促進漏洞問題可以更早被解決，以及應對漏洞管理的挑戰，藉助生成式AI之力來幫助識別修補，都將是企業在2024年可以思考的議題，甚至從中衍生出更多元的應用發想情境，讓我們可以更好因應層出不窮的資安挑戰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%8B%E7%AF%87%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89Nvidia%E7%94%A8%E7%94%9F%E6%88%90%E5%BC%8FAI%E5%B9%AB%E5%8A%A9%E8%B3%87%E5%AE%89.jpg" style="width: 600px;" /></p> <blockquote><p><span style="color:#696969;"><strong><span style="font-size:18px;">Nvidia用生成式AI找CVE漏洞<br /> 對於使用大型語言模型（LLM）引擎於資安，Nvidia展示找出容器中CVE漏洞可利用性的情境，並說明設計架構與運作流程。例如，當我們提問：「這個CVE在我的容器中是否可利用？」事實上，要解答這樣的問題，背後需要知道的資訊很多，在LLM引擎運作之下，經由提示生成器、LLM Clinet到任務生成器，只問一次並不足以得到答案，總共是經過四次執行後，才得到結論。</span></strong></span></p> </blockquote> <p><span style="font-size: 18px;"><span style="background-color: rgb(51, 153, 255);"> </span></span><a href="https://www.ithome.com.tw/article/160614" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 18px;"><strong><span style="background-color: rgb(51, 153, 255);">相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1162-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=RnGtx2Ba" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/12/29 14:32作者羅正漢https://www.ithome.com.tw/news/160613
AI資安2024
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1162-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=RnGtx2Ba" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在生成式AI應用的大勢之下，使得偽造新聞與精準網路釣魚造成嚴重危害，但同時也為資安防禦帶來不同的新面貌，甚至成為扭轉攻防不對稱態勢的新利器</p> </div></div></div>
2023/12/29 14:42作者羅正漢https://www.ithome.com.tw/article/160614
面對AI詐騙，更要有網路風險基本認知
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著2023年生成式AI的興起，駭客利用這類新技術升級網路攻擊，成為資安界與社會關注焦點。例如，近期Google發布2024年網路安全預測報告指出，隨著FraudGPT和WormGPT等惡意生成式AI興起，將使網釣內容更逼真，減少過去語法錯誤或是缺乏文化背景的問題。AI深度學習偽造（Deepfake）的照片與影片將更普遍，並延伸至主流新聞平臺，降低公共資訊的可信度，企業、政府將更難與民眾交流。</p> <p>事實上，早在2019年，就出現Deepfake與AI語音詐騙門檻降低的現象，如今在AI技術突飛猛進的浪潮之下，國際間已有AI詐騙實例，資安界呼籲要特別關注這樣的問題。</p> <p>雖然臺灣目前較少聽聞AI詐騙案例，但我們必須意識到，這類技術已經變得相當容易應用，不僅政府、金融、執法單位，以及跨國合作要更積極，民眾自身的防詐觀念也必須轉變，不能認為事不關己。</p> <p>過去，<a href="https://www.ithome.com.tw/tags/%E8%A9%90%E9%A8%99" target="_blank">iThome曾報導相當多詐騙與社交工程的網路攻擊</a>，<a href="https://www.ithome.com.tw/article/144116" target="_blank">我個人也整理生活中的資安意識觀念</a>，卻還是看到社會上很多人缺乏基本觀念，導致已呼籲多年的詐騙手法，至今依然可以一再奏效。</p> <p>這也讓我重新思考：為何自己能夠識別詐騙問題，有些人卻不容易識別詐騙？最近，在整理基本資安意識與防詐簡報的過程中，找到一些答案。</p> <p>對於防詐意識不足的民眾，我們認為，政府與企業在教育宣導上，應該重視兩大層面：（一）教育大眾了解網路文化，才能懂得基本網路社交風險；（二）促進大眾認識並深入了解生活中常見的詐騙活動情資，重視網域名稱的認知教育。</p> <p>第一點我認為相當重要，卻鮮少被提及。為了幫助大家了解網路文化，我想以20年前玩線上遊戲的經驗來舉例說明。早年上網的人少，玩家多半都知道遊戲中接觸的人，多數都是不認識的網友，所以大家都具有網路社交風險的概念，對於不認識的人，不會輕信對方的言詞。</p> <p>而且，當時大家普遍能夠體認到：網路上的身分使用暱稱是常態，設立多個角色分身、不同帳號分身是常態，加上網路遊戲交易詐騙樣態也多，在這樣的網路文化薰陶與經驗之下，多半已培養警覺，設想網路背後另一方可能不是原本接觸的那個人。</p> <p>但現在身處於全民網路時代，所有人都在上網，當大家使用社群平臺、即時通訊時，對於網路社交風險概念反而缺乏。</p> <p>例如，今年很多人都看到類似假冒知名人物的網路廣告詐騙新聞。例如，一般民眾使用臉書時，看到名稱是公眾人物並放上他或她的照片，難道就真的代表本人嗎？因此，這需要從根本認知上去改變。</p> <p>同時，現代人雖然懂得享受社群平臺的便利，但從比例來看，多數人可能都對不同線上服務的互動方式不夠瞭解，像是不會積極辨識特定臉書帳號是否為本人，如檢視過去貼文、識別個人檔案掛上藍勾勾的臉書官方認證標示等，有些人則是對臉書動態牆認知很有限，不清楚當中呈現的內容涵蓋朋友、追蹤的粉絲專頁所發布的動態消息之餘，也有自動推薦的網站內容與線上廣告等。</p> <p>再舉一例，如果我們手機收到簡訊自稱是某某銀行或水公司，這些真的是對方發送的訊息嗎？若你此時產生疑慮，其實就會呼應上述我提到的第二點建議，因為有可能你早已知道方面的威脅情資，或是很早就認知到有「來電號碼」與「郵件寄件者」的偽冒與竄改情況，接著就會知道要先查證，或是向朋友確認這是否為詐騙，並能理解透過其他管道驗證的必要。例如，重新尋找與確認對方的聯絡方式，再打電話與其驗證是否真有其事。</p> <p>當然，假冒名義的話術百百種，以釣魚簡訊（或釣魚郵件）內容來看，如何識破釣魚網址更是一大關鍵。我認為，國內最缺乏的上網安全教育工作，就是「網域識別」及「知道查證」。為了避免這樣的問題，我們至少要試著讓社會大眾多了解相關資訊，懂得「網域」是在整個網址的其中一個部分。</p> <p>大家可以想像，網路世界的門牌號碼就是要認清「網域」，一旦走錯，就不會走到原本要到的地方，很多釣魚網站只是大門的布置很像，實際門牌號碼根本不同，但如果我們充分具備識別真偽的能力，就不會上當。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/ai%E8%A9%90%E9%A8%99">AI詐騙</a></div><div class="field-item even"><a href="/tags/%E7%A4%BE%E4%BA%A4%E5%B7%A5%E7%A8%8B">社交工程</a></div><div class="field-item odd"><a href="/tags/deepfake">Deepfake</a></div><div class="field-item even"><a href="/tags/%E9%87%A3%E9%AD%9A">釣魚</a></div></div></div>
2023/12/29 14:47作者羅正漢https://www.ithome.com.tw/voice/160615
用生成式AI幫助資安蔚為風潮，臺灣有資安業者已跟上技術主流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>用生成式AI幫助資安應用，不只是微軟與Google的一舉一動受廣大關注，在邁向2024年之際，我們更是可以發現，已有幾家臺灣資安業者率先投入發展，並且實際端出可應用的產品。這不僅突顯臺灣資安業者的技術實力，也顯示他們及早布局、持續關注之餘，也累積實作經驗，才能在技術浪潮的一開始，就有了相關成果與進展。</p> <p>有哪些臺灣業者行動最積極？早在2023年5月臺灣資安大會，也就是微軟預告推出Security Copilot沒多久，知名資安新創奧義智慧就展示，將AI虛擬分析助手導入新的XCockpit平臺，能提供中文案情摘要與處置建議，7月上線。</p> <p>接下來是趨勢科技，6月宣布Trend Vision One整合式資安平臺，將提供自然語言聊天介面的AI助手Companion，7月開放部分客戶使用，最近11月27日，已正式向所有客戶開放這項應用。</p> <p>另外，資安監控委外服務商安碁資訊在本月舉行的年度媒體資安講堂，也首度透露，他們要用ChatGPT幫助資安服務與資安工作，並制訂3大發展方向，目前發展進度已達到7成。</p> <p>顯然，在許多資安業者都高喊AI資安，以及國際大廠陸續用生成式AI幫助資安之下，我們確實看到臺灣已有資安業者，同樣看好新技術帶來的創新與機會，並在2023年已積極展開相關行動，未來2024年，我們也期盼更多臺灣資安業者能夠需與時俱進，善用特性以提升效率。畢竟，在駭客積極利用生成式AI的狀況之下，如果國內資安業者沒有善用AI自動化的做法，很有可能更無法跟上日益加劇的威脅態勢。</p> <p>基於廠商公開展示與揭露這些功能的時機都在2023年的條件限制，這次探討AI資安的封面故事，我們特別選擇奧義智慧、趨勢科技、安碁資訊這3家業者，與他們一起探討最新的發展態勢。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>與工作流程整合是關鍵，從解決用戶問題的角度出發</strong></span></span></p> <p>關於用生成式AI幫助資安這件事，奧義智慧有很深刻的想法，該公司創辦人邱銘彰特別說明了他們的發展策略。</p> <p>他指出，應從解決前線人員問題的目標開始設想。因為，目前資安人員使用資安系統時，面對各種警示，通常會看到介面上有相當多的資料需要解讀，因此，這裡的最大挑戰在於，未完成充足訓練的人員根本看不懂，即便廠商培養這方面的人才，也很容易被挖角。</p> <p>所以，現在如果能在資安領域善用生成式AI技術，可以快速產生事件摘要、建議措施，將能直接解決使用者的需求。更重要的是，可藉此大幅減少平均偵測時間（MTTD）、平均調查時間（MTTI），並且使事件本身的解讀更有意義。</p> <p>同時，這也將改變資安團隊運作效率的量測。而在奧義智慧自家的XCockpit介面上，已經將這兩項指標直接顯示於首頁儀表板，作為重要觀測指標。</p> <p>關於生成式AI在操作體驗上帶來的簡化，其實我們陸續從各家廠商發展看到例子，並認為可能帶來新的變革，像是可藉由一問一答方式查詢，也能點擊AI給出的建議按鈕執行，還有AI自動建議通知的形式，讓相關設定與操作變得更簡化與不同。</p> <p>邱銘彰也有同樣看法，他認為，最大的變化就是發生在使用者體驗，他預見資安系統UI介面將朝向更簡潔發展，因為過往資安系統的介面很複雜，需要顯示相當多的資料，但從用戶角度而言，只要能夠解決問題就好，這才是根本。</p> <p>此見解可從奧義智慧展示的XCockpit平臺介面得到印證，我們發現，當中並未特別設計自然語言輸入的對話框。</p> <p>邱銘彰表示，他們的工單管理系統已能自動整併案件，使用者只需要點擊，就可以看到自動化調查的結果，包括手法、攻擊來源與出建議等，即便一段Base 64編碼的內容、命令列的指令內容的分析，也只要點擊選項，就會提供簡顯易懂的說明。</p> <p>他並以近期向客戶展示的經驗為例，當時他們進行紅藍隊演練，AI資安系統可以做到「當偵測到攻擊發生到哪，針對攻擊的解說也就可以到哪」，這樣的呈現方式彷彿遊戲直播。</p> <p>邱銘彰強調，現在很多業者的生成式AI應用，都是產生威脅情資的輔助說明，但整合在工作流程才是關鍵，並且要讓生成式AI能做資安決策，並不只是單純提供操作輔助，如同自駕車Level 2與Level 3的差異。他認為，這是臺灣資安廠商發展AI功能時可以思考的方向。</p> <p>如此看來，奧義智慧已設想將生成式AI與工作流程深度整合。不過，對於交由AI來進行決策，我們也憂心這麼做真的可行嗎？邱銘彰表示，用於資安是可以的，但與人命相關的請不要交給AI。</p> <p>另一個我們好奇的問題是：過往資安業者就已經在使用AI/ML模型，與生成式AI相比，究竟有何具體差異？</p> <p>邱銘彰解釋，以奧義智慧而言，他們過去開發三個AI小模型，以此來讓案情分析做到更準確，第一個AI模型幫助挑出重要的事件，第二個AI模型可組成案情結構並將事件軸串起，第三個AI模型能將案情解說成中文並產生建議，而他們的CyCraftGPT，目前版本是基於可商用LLM模型Mistral而打造，當中還有以臺灣習慣用語來訓練。</p> <p>總合而言，CyCraftGPT與先前AI模型的使用並不衝突，而是可以更好將多個AI模型的效果串聯起來。</p> <p>另外，邱銘彰也預測，不僅資安系統UI會朝向簡潔設計，還會出現很多聊天機器人，這就如同ChatGPT服務，介面其實就只是對話框的形式，並沒有複雜的UI設計。</p> <p>他還透露，公司目前最想解決的兩個問題：一是用於產品手冊與說明書的查詢；另一是國外資安情資新聞的彙整，這將能幫助資安長更好理解，也是改進資安服務的體驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96A%EF%BC%89%E8%87%BA%E7%81%A3%E7%94%9F%E6%88%90%E5%BC%8FAI%E8%B3%87%E5%AE%89%E6%87%89%E7%94%A8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7.png" style="width: 600px;" /></p> <blockquote><p><span style="color:#696969;"><span style="font-size:18px;"><strong>奧義智慧推資安新平臺，將AI虛擬分析師融合到資安事件的處理流程<br /> 臺灣資安新創奧義智慧今年7月正式推出XCockpit平臺，當中內建AI虛擬分析助手應用，強調工作流程才是關鍵，可做到自動化案件管理，AI自動化鑑識，以及提供建議措施，直接解決使用者的需求。這也大幅減少平均偵測時間（MTTD）、平均調查時間（MTTI），讓資安團隊運作可量測且更有效率。</strong></span></span><span style="color: rgb(105, 105, 105); font-family: Georgia, Times, "Times New Roman", serif; font-size: 14px; font-style: italic;">圖片來源／奧義智慧</span></p></blockquote> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96B%EF%BC%89%E8%87%BA%E7%81%A3%E7%94%9F%E6%88%90%E5%BC%8FAI%E8%B3%87%E5%AE%89%E6%87%89%E7%94%A8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7.png" style="width: 600px;" /></p> <blockquote><p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>XCockpit平臺上的AI虛擬分析師，能提供中文案情摘要，也能針對一段Base 64編碼、命令列的指令內容分析，並提供處置建議。</strong><span style="font-size: 14px;">圖片來源／奧義智慧</span></span></span></p> </blockquote> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>建構高度彈性的介面，資安的新手、老手，以及資安長都可受益</strong></span></span></p> <p>很早就從臺灣躍上國際資安舞臺的趨勢科技，他們的資安產品線可說是相當龐大，因此，他們在2021年就打造Trend Vision One整合式資安平臺，當中以XDR為核心，並結合更多產品功能，隨著2023年AI資安助手Trend Companion的推出，將能夠帶來哪些助益？</p> <p>他們表示，Trend Companion是利用自然語言的聊天介面提供服務，這個AI助手可以帶來很多幫助，不論是事件摘要與分析報告、解釋攻擊警報與關聯攻擊戰術與技巧，並可清晰呈現影響範圍等，還能幫助識別利用合法工具的寄生攻擊（LotL），並產生讓人員可以易於理解的解釋內容。</p> <p>同時，趨勢科技也闡釋了這些幫助所帶來的效益，不僅是擴大並加速資安維運工作，更大意義就是，能夠幫助每個不同角色，使得每個人都能有效利用趨勢科技的服務，而其背後的關鍵就是，AI助手Trend Companion帶來的高度彈性介面。</p> <p>例如，不只是讓資深分析師在面對複雜環境時，可以快速追蹤威脅，也能為資安新進人員帶來幫助，甚至無論是資安長或事件處理專員，每個人都將可以根據自己的需求，獲取定制化的資訊。</p> <p>由於生成式AI的特性，就是能夠分析龐大的資料集，並能理解與摘要資訊的內容，還能產生新的內容，因此，趨勢科技明確指出，生成式AI與傳統AI/ML最大的差異，就是在於其高度的彈性和能力，以及用自然語言來接受命令和回答問題。</p> <p>而這樣的特性，對於處理資安事件尤其重要。因為這些事件，通常涉及廣泛的知識和繁瑣的查詢工作，如今有了AI自動助手，將能快速生成查詢腳本，解釋複雜事件，並且調用LLM內部的知識，這將大幅提高使用者的工作效率。</p> <p>對於不同AI技術的優勢，趨勢科技認為，以傳統的機器學習（ML）而言，在準確性方面表現良好，主要用在偵測惡意程式方面，尤其對變種惡意程式；而生成式AI對於理解惡意程式的意圖，以及威脅入侵事件處理，應用是更加合適。因此，他們預期，生成式AI資安的應用還會持續擴張。例如，未來在XDR平臺的搭配之下，經過長時間的學習，將可對跨不同資安產品之間的事件，提供資安處理建議。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%87%BA%E7%81%A3%E7%94%9F%E6%88%90%E5%BC%8FAI%E8%B3%87%E5%AE%89%E6%87%89%E7%94%A8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80.png" style="width: 600px;" /></p> <blockquote><p><strong><span style="color:#696969;"><span style="font-size:18px;">趨勢科技推AI助手，讓多種角色都能易於使用<br /> 資安大廠趨勢科技在Trend Vision One平臺上，加入Trend Companion這項AI助手功能，以說明以自然語言的聊天介面提供服務的好處，可讓資深的資安專家、剛入行的新手、資安長還是事件處理專員，這些不同角色都可根據自己的需求，獲取定制化的資訊，這種高度彈性的介面，將使每個人都能有效利用他們的服務。</span></span></strong><span style="color: rgb(105, 105, 105); font-family: Georgia, Times, "Times New Roman", serif; font-size: 14px; font-style: italic;">圖片來源／趨勢科技</span></p> </blockquote> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961B%EF%BC%89%E8%87%BA%E7%81%A3%E7%94%9F%E6%88%90%E5%BC%8FAI%E8%B3%87%E5%AE%89%E6%87%89%E7%94%A8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80.png" style="width: 600px;" /></p> <blockquote><p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>在Trend Vision One平臺的介面上，設計了Companion可解釋命令列的功能選項，可解析一段PowerShell腳本的目的與運作，幫助識別利用合法工具的寄生攻擊（LotL）。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／趨勢科技</span></p> </blockquote> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>聚焦自動化工具開發，以及資安知識庫與問題諮詢的應用面</strong></span></span></p> <p>另一家資安監控委外服務商安碁資訊，其應用雖然不是針對資安產品面，但他們年底向臺灣媒體揭露公司發展近況時，特別提到借助ChatGPT幫助資安服務與資安工作，預計發展三大方向。</p> <p>該公司技術副總黃瓊瑩表示，這些面向分別是：自動化檢測工具開發、資安文件知識庫建立，以及資安實務問題諮詢。上述應用的發展都將基於生成式AI，其核心為GPT-4，不過，因為這些用在公司內部，他先要強調遵循三大原則：「不輸入公司內部敏感資訊」、「不輸入客戶相關機密資訊」、「不將對話用作大型語言模型的訓練資料」。</p> <p>關於具體應用場景，黃瓊瑩表示，以自動化工具開發為例，工程師在整理使用者開發需求時，可透過LLM協助，生成初步架構、程式碼語法，有效降低溝通與開發成本。同時，LLM能協助撰寫單元測試，降低正式運行時的錯誤發生率。</p> <p>再者，LLM的應用有助於建立資安知識庫，提升內容的正確性並減少編寫弱點範本的時間；至於資安實務問題諮詢的應用，由於LLM能分析客戶提問，提供相關資訊，這將加速回應客戶的速度。</p> <p>不只是生成式AI技術，黃瓊瑩也提及公司應用其他AI技術的最新進展。他指出，深度學習與生成式AI的概念不同，生成式AI是有創作（造）力的，會依其訓練模型而產出相對的資訊。</p> <p>以安碁資訊2023年導入的Auto Encoder技術而言，此一深度學習是學習從輸入到輸出的複雜映射關係，並依此建立特定行為模型，當新資料輸入將可判斷與以往不同的行為；此外，2024年安碁資訊還將發展用AI引擎決策判斷資安事件，可透過每月蒐集大量資料，結合現有已知資安事件的處理經驗，進行監督式學習，其成果將是：僅需新接收到的特定日誌紀錄，即可由監督式學習的結果，判定是否為資安事件。</p> <p>換言之，每個資安事件判定不需要都預先設計好規則，如此可降低人力的投入。此外，這些巨量資料也同樣與機器學習結合，產生異常偵測、預測分析以及歸類等模型，使其更具效率。這項AI引擎計畫目前也已在進行中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%87%BA%E7%81%A3%E7%94%9F%E6%88%90%E5%BC%8FAI%E8%B3%87%E5%AE%89%E6%87%89%E7%94%A8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p><strong><span style="color:#696969;"><span style="font-size:18px;">安碁資訊看好ChatGPT應用，聚焦三大發展面向<br /> 對於ChatGPT的應用，資安監控委外服務商安碁資訊同樣看重相關效益，該公司在2023年12月揭露他們聚焦三大方向，包括：自動化檢測工具開發、資安文件知識庫建立，以及資安實務問題諮詢。例如，應用LLM建立資安知識庫，將提升內容的正確性，同時也能減少編寫弱點範本的時間。他們並表示，這些項目都已經在進行，目前完成度大約是7成。</span></span></strong><span style="color:#696969;"><span style="font-size:18px;"><span style="font-size:14px;">攝影／羅正漢</span></span></span></p> </blockquote> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>生成式AI資安應用也擴及開發人員</strong></span></span></p> <p>綜觀此一發展態勢，不論是中小資安業者或是國際資安大廠，對於生成式AI資安的發展，已經找出適用面向並付諸行動，這些都會是相當重要的訊號。</p> <p>對於其他臺灣資安產業而言，應該也要設法積極採取行動。畢竟，當攻擊者都在用生成式AI讓攻擊伎倆大幅進化，防禦者若是完全沒有任何想與因應動作，或是仍未察覺新技術所帶來的各種改變，恐怕會面臨相當危險的局面。</p> <p>無論如何，過去幾年我們在談AI資安時，資安界期望在很多面向都能用AI來助攻，包括：內容過濾、未知漏洞檢測、密碼安全、惡意程式分析、異常偵測、釣魚偵測、事件應變訓練等。如今隨著生成式AI的市場應用已然成形，也將帶來更多應用發想。</p> <p>儘管大家都知道，科技發展一直是雙面刃，我們預期AI將升級既有威脅手法與破壞規模，或是帶來新的威脅，但在許多防護層面的實踐作為上，我們也能設法善用其特性，有機會做到更自動化的偵測，以及更快速的反應。</p> <p>而且，AI能幫助資安的層面，不只是資安產業，軟體開發領域也能受惠。像是提升開發人員寫程式生產力的GitHub Copilot，在2023年就新增一項功能，是基於LLM的AI漏洞過濾系統，能在開發者撰寫程式碼之際，避免寫出不安全的程式碼，這也是應用方式之一。</p> </div></div></div>
2023/12/29 14:01作者羅正漢https://www.ithome.com.tw/news/160610
第一線對抗勒索軟體的無名英雄
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960_le_suo_ruan_ti_shou_lie_tuan_tu_pian_lai_yuan_wei_cheng_chu_ban_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">衛城出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>二○一三年四月，莎拉祖父的電腦被惡意軟體感染，為了尋找解決方法，她找到嗶嗶電腦，利用站上提供的工具掃描硬碟把檔案修好。網站上有一名熱心人士自願幫她清理電腦。「哇喔！這感覺挺酷的！」莎拉心想：「要不我也試著加入看看？」</p> <p>不久之後，她就開始參加嗶嗶電腦的訓練計劃。他們安排她閱讀資安相關的資料並讓她練習。每天莎拉放學回家就會在論壇待上幾個小時，學著怎麼移除惡意軟體。她說：「我當時對此充滿熱情。」到最後一關，指導員在一台虛擬機器中灌入名為「ZeroAccess」的惡意軟體。這款惡意軟體曾滲透過數百萬台電腦系統，通常是在受害者打開受感染檔案或連結時入侵。莎拉通過測試移除了ZeroAccess，完成她為期十一個月的訓練課程。二○一四年，她以這項訓練計畫中最年輕的畢業生身分，加入嗶嗶電腦的惡意軟體應變小組。</p> <p>莎拉還在實習階段就開始參與討論惡意軟體的群組，在群組中有一位不常發言的成員名叫「法沃」（法比恩）。某天，法比恩終於加入討論，他的評論激起莎拉的興趣。她決定接觸法比恩這號人物。</p> <p>莎拉和法比恩很快就發現兩人有共同興趣，漸漸地，法比恩開始依賴莎拉的建議。莎拉跟他說希望能以消滅惡意軟體為志業，法比恩便為她安排兩個在Emsisoft的實習機會。只要莎拉發現有勒索軟體開始不受控制地蔓延，就會催促法比恩集中火力處理。</p> <p>法比恩和莎拉在推特上，也開始追蹤一位神祕的匈牙利研究員，對方以「惡意軟體狩獵團」（MalwareHunterTeam）稱號在網路世界行動。</p> <p>丹尼爾．加拉格爾（Daniel Gallagher）在資安產業工作，他在推特上認識麥克和法比恩後，也開始協助他們。丹尼爾很罕見地獲得惡意軟體狩獵團的信任跟友誼，他表示，惡意軟體狩獵團在對「惡意軟體進行逆向工程與了解惡意軟體如何運作上，是一位非常傑出的人。他能從程式碼中找到隱蔽的細節，並且全年無休地追殺惡意軟體。」</p> <p>幾年前，丹尼爾在細讀惡意軟體狩獵團的推特貼文時，發現這位朋友正面臨財務困境。他提議資助對方，但惡意軟體狩獵團一再拒絕他。後來，丹尼爾終於說服他收下一筆現金。法比恩也伸出援手，他聘請惡意軟體狩獵團在Emsisoft兼職擔任軟體分析師。</p> <p>另一名來自東歐化名為「血腥多莉」（BloodDolly）的研究人員，發現特斯拉病毒在保護密鑰上的關鍵缺陷。當時，勞倫斯召集的特種部隊正在研究這款病毒。特斯拉軟體的開發人員透過常見的質數相乘方式產生對應密鑰。</p> <p>但特斯拉病毒犯了一個錯，它意外用了非質數的數字產生密鑰。此外，相較於標準程序中系統會用兩個極大的質數相乘，產生受保護密鑰，有一些特斯拉病毒的受害者密鑰是以許多較小的質數產生，相比之下比較容易被破解。有鑒於此，血腥多莉能用一種稱為「數域篩選」（number sieve）的演算法縮小質數範圍，這套演算法在分解較小整數時很有效率。接著，他只要有足夠運算能力，就能找出特斯拉密碼的密鑰並解鎖被加密檔案。</p> <p>血腥多莉實際上是一位名叫伊戈．卡比納（Igor Kabina）的斯洛伐克人，他在一間防毒公司擔任「偵測工程師」（detection engineer）。二○一五年五月，血腥多莉在嗶嗶電腦上貼了一個連結，公開他的「特斯拉解碼器」（TeslaDecoder），並寫道：「我希望這對某些人有幫助。」文末他還附上一個微笑的表情符號。</p> <p>不過後來他發現，特斯拉密碼幕後的勒索集團也會看他張貼的對應措施，藉此改寫軟體進行除錯。從此血腥多莉不再直接貼出解鎖檔案的教學文章給受害者。但他仍會和勞倫斯的特種部隊分享更新後的解鎖工具。勞倫斯則在他的網站上將特斯拉密碼標記為可被破解的病毒，但盡可能避免描述如何破解，以免勒索集團針對弱點進行修補強化。</p> <p><span style="font-size:28px;"><strong>為每位受害者算出專屬密鑰</strong></span></p> <p>麥克跟血腥多莉在嗶嗶電腦上聯繫。他從這名斯洛伐克研究員身上吸收所有破解特斯拉密碼與解救受害者的知識。血腥多莉回憶當他們開始合作時，麥克「還在嘗試用暴力破解方式解決問題」，因為他使用的是比較慢的程式語言，血腥多莉向他展示如何加速他的程式碼。</p> <p>麥克運用血腥多莉的工具，為塞勒姆青年學校與另一位同樣遭受特斯拉密碼攻擊的客戶取得密鑰。</p> <p>當時，法比恩正在處理不同品系的勒索軟體，因此把新的特斯拉密碼受害者都轉介給麥克。受害者會提供被加密檔案，麥克則將檔案放進血腥多莉的解碼工具分析。他不分日夜趕工，很快為受害者算出專屬密鑰，並同時用到公司與家裡電腦。</p> <p>有的密鑰只需要用筆記型電腦花上幾分鐘就能破解，但有的可能得花一整個禮拜，而且還要用高效能的伺服器運算。每天整支特種部隊能幫助十到十五名受害者。「你必須幫每一位受害者都運算一輪，」麥克說：「不是只要有一個主密鑰就能解開所有人的檔案。」</p> <p>有的密鑰以比較長的字串組成，如果要在預計時間內算出來，就需要更多運算能力，有的甚至超出麥克手邊能用的電腦的運算極限。在機緣巧合下，北卡羅來納州的「使命健康連鎖醫療集團」（Mission Health）新買兩台高效能的伺服器。丹尼爾．加拉格爾正是這間公司的資安主管，他在首席資安技術長同意下，將這兩台伺服器用來支援特種部隊。</p> <p>丹尼爾回想當時他傳訊息給其他成員，說道：「嘿，我手上有一台價值萬元的伺服器，現在剛好空著沒人用，我們來使用它吧。」</p> <p>麥克把握機會，把一套腳本（script）寄給丹尼爾。「開啟這個檔案，」麥克跟丹尼爾說：「我只需要用到中央處理器的運算力。」</p> <p>「這我辦得到。」丹尼爾回答。兩人開始合力設法取得密鑰。</p> <p>麥克陸續救了很多特斯拉密碼的受害者，當人數超過一百人後，他已經懶得去記到底幫助多少人。勞倫斯在嗶嗶電腦網站上特別感謝「所有犧牲寶貴時間來幫助特斯拉密碼受害者的人。」並特別提到血腥多莉和狩魔335的貢獻。</p> <p>有時，勞倫斯會代表受害者與特斯拉密碼背後的駭客談判。某次他告訴對方，他們搶走的是一位母親手上僅存的兒子照片，她的兒子是在戰場上陣亡的美軍，對方於是免費給勞倫斯密鑰。</p> <p>二○一六年五月，血腥多莉發現特斯拉密碼在暗網上的網站似乎關閉了。眼見機不可失，他要求勒索集團釋出主密鑰，讓受害者都能取回他們的檔案。過了一天半，對方宣布他們將終止活動，並把最新的一組主密鑰提供給他。「計畫終止，」特斯拉密碼在暗網上寫道：「我們很抱歉！」</p> <p><span style="font-size:28px;"><strong>獵人聚首</strong></span></p> <p>當時狩獵團隊還沒正式成立，獵人們在對抗「加密鎖櫃」、「特斯拉密碼」或其他病毒時，都是透過嗶嗶電腦的私訊功能與推特聯繫。他們的對話紀錄散落在不同平台上，內容因此變得零碎沒有組織。</p> <p>勞倫斯說：「到了某個階段，我心想：為什麼我們還要透過論壇上的私訊功能解決問題？」</p> <p>是時候讓獵人們聚集在一起了。二○一六年五月，當特斯拉密碼的攻擊者退場時，一名來自西班牙巴塞隆納的惡意軟體分析師兼樂團鼓手馬可．里維拉．洛佩茲（Marc Rivero López），提出一個打破溝通藩籬的構想。</p> <p>馬可是一位積極和善的人，過去他就曾和勞倫斯、丹尼爾、惡意軟體狩獵團和麥克合作過，會幫助他們分析新的威脅。但他一直對團隊缺乏整合這件事感到困擾。馬可說：「我看到大家都各忙各的。我心想：拜託，這樣稱不上是在一起工作，我們來創個私人社群吧。」</p> <p>馬可著手建立Slack，勒索軟體狩獵團從此成軍。<strong><span style="color:#696969;">（本文摘錄整理自《勒索軟體狩獵團》第三章，衛城出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E7%8B%A9%E7%8D%B5%E5%9C%98_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%A1%9B%E5%9F%8E%E5%87%BA%E7%89%88.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_衛城出版</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 勒索軟體狩獵團：一群無名駭客如何拯救數位時代的資安危機？（The Ransomware Hunting Team）</strong></p> <p>芮妮．杜德利（Renee Dudley）、丹尼爾．戈爾登（Daniel Golden）／著；劉家安／譯</p> <p>衛城出版</p> <p>定價：550元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E7%8B%A9%E7%8D%B5%E5%9C%98_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 150px;" /></p> <p>芮妮．杜德利（Renee Dudley）</p> <p>ProPublica科技記者，曾任職於南卡羅萊納州查爾斯頓郵報、紐約彭博社與路透社。二○一一年獲選為南卡羅萊納州新聞協會年度記者，曾獲頒美國專業新聞記者協會普莉亞姆獎，並被提名入圍普立茲獎決選。二○一九年，杜德利發表一系列追蹤勒索軟體的報導，榮獲二○一九年SABEW技術報導獎，與二○二○年TRACE調查報導獎。<a href="https://www.amazon.com/stores/author/B0B995C762/about?ingress=0&visitId=fe8169a5-7f38-4e5f-9e2b-54e4b2a0619d&store_ref=ap_rdr&ref_=ap_rdr" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Amazon</span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E7%8B%A9%E7%8D%B5%E5%9C%98_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 150px;" /></p> <p>丹尼爾．戈爾登（Daniel Golden）</p> <p>作家、ProPublica資深編輯與記者，曾任職於《波士頓環球報》、《華爾街日報》與紐約彭博社，獲頒普立茲獎、喬治．波克新聞獎、全國頭條新聞評論獎等大獎。<a href="https://www.amazon.com/stores/author/B0BC253VR3/about?ingress=0&visitId=1cbf0bd8-2ec6-430d-b7a2-0b183067d273&store_ref=ap_rdr&ref_=ap_rdr" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Amazon</span></a></p> </div></div></div>
2023/12/29 12:00未署名https://www.ithome.com.tw/article/160561
DevOps快報第1期：2千企業用Backstage打造內部開發者平臺，多種開發AI助手現身，從程式碼AI到DevOp…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2023/12/1～12/28 精選DevOps相關新聞</strong></p> <h3><strong><span style="color:#FF8C00;">#平臺工程 #IDP</span><br /> 開源IDP專案Backstage獲2300家企業採用，Spotify揭露明年發展方向</strong></h3> <p>根據Spotify統計，他們開源釋出的開發者平臺專案Backstage 在2023年9月時，全球已經有2300家企業採用，用來打造內部開發者平臺（IDP），包括歐洲快時尚Zalando、全球影音龍頭Netflix、美國航空、HBO MAX聯播網、加拿大Telus電信、英國體育臺DAZN，甚至連老牌軟體公司3D引擎巨頭Unity等。Spotify最近舉辦了第一次的Backstage技術日活動，揭露了Backstage未來的發展方向。</p> <p>Backstage原本就有一個開源外掛目錄，已有超過150個Backstage的第三方解決方案。因此，Spotify在今年9月底時啟用了Backstage商用市集目前是Beta版，會提供經過Spotify驗證的商用外掛產品，目前包括紅帽、VMware、CircleCI、Weaveworks、synk、PagerDuty都成為認證的合作廠商。</p> <p>Spotify也設立了Backstage產品主管Meg Watson指出，未來優先聚焦三大發展方向，要強化平臺核心、移除導入障礙、探索更多延伸產品和服務。舉例來說，過去需要70個步驟才能完成安裝，Backstage 將在2024年初推出一項新的「快速啟動（Quickstart）」功能，可以精簡到3個步驟，就能安裝好整套平臺。</p> <h3><strong><span style="color:#FF8C00;">#開發者AI #14種語言</span><br /> GitLab年終改版時出16.7，寫註解就能生成程式碼的AI助手正式上線</strong></h3> <p>年底時，GitLab釋出了16.7改版，包括了30多項強化，其中，最大新特熱是先前發布的程式碼AI助手Duo Code Suggestions正式上線。這款開發AI助手，可以支援多款開發IDE工具和14種語言，包括C++、C#、GO、Java、JavaScript、PHP、Python、Swift等，10秒內自動協助完成所轉寫程式碼區塊的其餘程式碼，也可以自動生成測試程式碼等。甚至，開發者可以先輸入程式碼的註解文字後，AI助手再自動依據這段註解產生對應的程式碼，開發者可以不斷輸入人類容易理解註解，就靠AI助手將這一隻功能的程式完成。GitLab開放企業在2024年2月中前可以免費試用這項功能。</p> <p>其他新版功能包括了用來分類快速尋找各種元件的CI/CD目錄功能，進入Beta版。另外在除錯分析報告新增加細節報表展開功能，方便進行更深入的分析。在合併請求變更檢視模式也多了同時檢視程式碼靜態掃描結果的選項。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GitLabAI.png" /></p> <h3><strong><span style="color:#FF8C00;">#開發者AI #Duet AI #20種語言</span><br /> Google雲端正式推出開發者AI助理，聯手開發工具鏈廠商打群架</strong></h3> <p>Google雲端日前正式推出了開發者AI助理Duet AI，進軍AI開發者生產力工具的競爭，來與GitHub Copilot開發者AI競爭。目前開發者Duet AI可以在Cloud Shell Editor、Cloud Workstations、IntelliJ、PyCharm和VS Code等IDE中使用，支援C、C++、Go、Java、JavaScript和Python等20多種程式語言。另外也整合了GCP的Cloud Logging雲端維運服務，可用AI摘要日誌摘要和錯誤的解釋，來輔助故障排除。開發者Duet AI也內建了專用端點、VPC服務控制和精細IAM權限存取控制等安全功能。 </p> <p>不只如此，開發者Duet AI也聯手了不同的開發者工具鏈和生態圈，包括了知識型合作夥伴，可以提供各自名產品文件和知識庫，包括了Datadog、JetBrains、Langchain。可以回答常見產品問題、弱點修補、自動化測試等問題。另外也整合了開發類工具包括了Confluent、HashiCorp、MongoDB、Redis、Elastic、Grafana Labs等，可以協助產生這類開發工具鏈產品的程式碼、範例程式碼或除錯建議。</p> <h3><strong><span style="color:#FF8C00;">#開發者AI #重構建議</span><br /> IDE工具商JetBrains也推出自家AI助理，還可以協助程式碼重構</strong></h3> <p>擁有IntelliJ IDEA、PyCharm等多款IDE產品的工具商JetBrains，最近也發表了自己的開發AI助理，不只可以解釋程式碼，回答程式碼相關問題，也能生成文件或是進行程式語言轉換等工作。JetBrains採用OpenAI的模型來打造這款人工智慧助理，不只可以根據專案上下文、插入符號位置以及提示詞產生程式碼。同時也可以生成說明文件，代勞這件普遍不受開發者歡迎的工作。開發者在AI Actions的選單選擇編寫文件選項，人工智慧助理便會根據所選函式和類別，產生豐富經格式化的文件。這款AI助理特色之一是可以提供潛在程式碼的重構建議，不只考慮程式脈絡，也會考量當前專案的限制，並且還能解釋重構建議的原因，也讓開發者接受建議後，直接將生成的程式碼插入專案中。</p> <h3><strong><span style="color:#FF8C00;">#開發者AI #Salesforce開發平臺</span><br /> Salesforce的DevOps平臺工具商Copado用ChatGPT打造DevOps助手</strong></h3> <p>主攻Salesforce開發生態圈的DevOps平臺工具商Copado，最近發表了用ChatGPT打造的DevOps助手CopadoGPT測試版。這款DevOps助手使用了Copado累積十年的DevOps實務的資料來優化，可以自動生成機器人自渡化測試的測試腳本，也能用來強化用戶故事的細節，自動產生更容易理解的版本發布說明，也能用來提供Salesforce應用開發的最佳實知識。</p> <h3><strong><span style="color:#FF8C00;">#開發者AI #DevOps助手</span><br /> Jira開發平臺正式推出DevOps的AI助手，協助DevOps團隊管理工作流程</strong></h3> <p>Atlassian在四月發表的DevOps開發AI助手Atlassian Intelligence現在正式上線了，先支援Jira軟體、Confluence、Jira服務管理平臺，後續也會支援CI/CD平臺產品Bitbucket。這是一款使用Atlassian過去20年軟體開發知識所訓練的AI助手，主要用於開發流程的人機協作輔助。</p> <p>在測試階段，已有26萬人試用，最常見的用法是從Jira軟體工單自動產生用戶故事，自動產生SQL指令，也會用來修正Jira服務管理平臺上對顧客的回應語氣，Confluence文件自動摘要、或是透過提示語快速建立工作流程或是建立新的測試計畫。另外Confluence先開始支援用自然語言搜尋企業內部自己獨特的縮寫、術語或簡稱，來加快新手上手的速度，Jira也很快會支援這項NLP搜尋功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/jira%E5%8A%A9%E7%90%86.png" /></p> <h3><strong><span style="color:#FF8C00;">#DevOps #AI應用開發</span><br /> CircleCI將DevOps流程延伸到AI應用開發工具</strong></h3> <p>DevOps工具商CircleCI最近宣布將自家CI/CD平臺延伸到AI應用的開發流程，可以存取AWS上的GPU實例、透過內建Webhook機制快速連結到Hugging Face上的AI模型服務，也能整合LangChain團隊所開發的生成式AI應用除錯工具LangSmith，以及整合到AWS的SageMaker，讓DevOps流程更容易套用到AI應用的開發，減少開發人員設定外部第三方AI開發工具的麻煩。</p> <h3><strong><span style="color:#FF8C00;">#COBOL #大型主機現代化</span><br /> ML也能幫忙重構COBOL程式，BMC推出大型主機現代化新工具</strong></h3> <p>大型主機商軟公司BMC最近推出一款新的大型主機現代化工具AMI DevX Code Insights，可以利用機器學習演算法，繪製出大型主機的龐大單體式應用架構圖，可以用來分析資料和協助百萬行等級大型主機程式碼的除錯，也能透過runtime模擬器來了解COBOL程式如何運作，方便移除老舊用不到的死亡程式碼，或者用來協助分析COBOL程式碼的邏輯，拆解出不同功能的小型程式碼，來進行程式碼重構。</p> <h3><strong><span style="color:#FF8C00;">#Python開發框架 #資料庫操作</span><br /> 網頁應用框架Django發布5.0，大幅強化資料庫操作能力</strong></h3> <p>Python網頁應用框架Django這次改版主要聚焦在資料庫功能強化，像是支援資料庫運算預設值，以及資料庫生成模型欄位，讓資料庫自動處理資料欄的內容，並且還在模板系統加入欄位群組的概念，簡化表單欄位渲染等。5.0版開始支援資料庫生成資料的欄位，可以用由其他欄位計算出來的結果，來建立一個新欄位的值。這個功能能在資料庫層級自動計算並儲存結果，不只提高資料處理效率，也減少網頁端程式的計算負擔。隨著5.0的發布，Django 4.2也結束主流支援，後續只提供安全性和資料丟失的修補。</p> <h3><strong><span style="color:#FF8C00;">#Java開發 #IDE開發工具</span><br /> VS Code推出實用的浮動編輯器，也再次強化Java擴充套件功能</strong></h3> <p>在12月時，VS Code有不少更新，先是發布了1.85新版，增加了多項實用的新功能，例如浮動編輯器視窗，開發者現在可以將編輯器拖曳到桌面，方便將編輯器視窗分散到不同的顯示器或是桌面空間，來提高開發效率。JavaScript除錯器則加入視覺化V8堆快照（Heap Snapshot）功能，開發者可以更直覺地理解和分析JavaScript程式的記憶體使用情況。還提供更精細的擴充套件自動更新控制，允許用戶選擇想要進行自動更新的擴充套件。</p> <p>12月底時，更小幅更新Java擴充套件，也改善多項開發者體驗，例如Java擴充套件繁多的設定，現在會按類別和用途分類，方便開發者尋找。創建Java檔案的流程也更直覺，新增時會列出包含各種Java檔案類型列表，方便開發者選擇。在測試功能改善上，這次改版增加了新的測試覆蓋率API，當開發者在VS Code Insiders中執行Java測試時，能夠直接查看覆蓋率結果。Spring Boot擴充套件也有不少新功能和效能提升更新，例如採用了開源自動化重構工具OpenRewrite，可將現有Spring專案自動升級至Spring Boot 3.2。</p> <h3><strong><span style="color:#FF8C00;">#Visual Studio #C++開發體驗</span><br /> Visual Studio 2022年終更新版加強C++開發體驗，能更視覺化地檢視記憶體運用</strong></h3> <p>微軟在12月也小幅更新Visual Studio 2022，主要針對C++開發體驗的優化。C++開發者現在可以更有效率地檢視資料結構的記憶體占用量，以及記憶體的對齊方式。滑鼠移到識別碼（Identifier）上，就能查看快速資訊工具提示，即時檢查類別、結構和聯合的大小和對齊狀況，來了解複雜程式中的記憶體布局。另外也增加了記憶體布局檢視圖，可以用視覺化的方式來呈現類別、結構和聯合的記憶體排列方式，對於最佳化記憶體布局工作特別有用。開發者現在可以更直覺地查看類別中所有資料成員的填充、偏移和大小。另外，Visual Studio 2022從17.9版本也會開始直接支援Unreal Engine專案，可以直接在Visual Studio開啟來開發相關遊戲程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VS2022-%E8%A8%98%E6%86%B6%E9%AB%94%E5%B8%83%E5%B1%80%E5%9C%96.png" /></p> <h3><strong><span style="color:#FF8C00;">#Mac操作環境 #Linux</span><br /> Fedora Linux終於可以支援Apple Silicon處理器了，先支援M1和M2</strong></h3> <p>Asahi Linux與Fedora合作，終於在年底釋出了第一個支援Apple Silicon的Linux版本Fedora Asahi Remix，比原定8月釋出晚了4個月。該版本支援M1和M2系列的MacBook、Mac Mini、Mac Studio和iMac裝置，Mac Pro則還需要再等等。這個版本提供KDE Plasma以及GNOME桌面環境，操作體驗可以達到如同macOS般的流暢，不會有任何撕裂感或是故障。KDE Plasma還支援HiDPI，甚至可同時跨多個不同比例的螢幕顯示。</p> <h3><strong><span style="color:#FF8C00;">#程式碼掃描 #防止機密外洩</span><br /> Soanr程式碼品管工具新增加了機密內容偵測能力，可以快速找出不小心留在原始碼中的機密資訊</strong></h3> <p>程式碼品管工具商Sonar最近宣布旗下產品開始支援機密內容的偵測能力，包括SonarLint、SonarQube和SonarCloud都支援。這項功能可以用來偵測不小心遺留在程式碼中的機密資訊，避免系統遭駭時或而外流了這些機敏資料，常見不小心忘記移除的機密資訊類型包括了密碼、API金鑰、加密金鑰、權杖或是資料庫憑證等。這項工具透過語意分析和複雜規則來對程式碼儲存庫進行掃描，可以整合到DevOps流程中，而SonarLint則是可以更提前一步整合到企業所用的IDE開發工具中，來避免這類機密資料外流到合作廠商。</p> <h3><strong><span style="color:#FF8C00;">#平臺工程 #雲端成本分析</span><br /> 雲端成本分析新工具！新興平臺工具商Massdriver開始提供雲端成本追蹤工具</strong></h3> <p>隨著平臺工程越來越火紅，也開始出現專門鎖定企業內部開發者平臺的工具商，Massdriver就是其中一家。最近他們釋出了一個可以用來追蹤雲端成本的工具，能夠產生雲端基礎架構的成分分析表，稱為Cloud IBOM（Cloud Infrastructure bill of materials），並且能整合到企業內部的開發者平臺，在平臺工程的工作流程中提供成本分析的參考。</p> <p>使用者可以快速點選幾個按鈕，就可以產生一份雲端架構成分表，可以畫製出不同類型雲端資源的架構圖，也能涵蓋到資料庫、機器學習工作流程、無伺服器運算框架的架構。在這個架構圖上，除了呈現出不同雲端資源之間的關係，也會一一標記出每一項雲端資源的啟動時間，上個月的費用總額，相關通知警報（例如上個月超過設定的預算額度），讓平臺工程團隊更清楚地從工作流程來檢視，可以找出最花錢的流程和工具。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/massdriver-IBOM.png" /></p> <h3><strong>更多新聞</strong></h3> <ul> <li>Deno 1.39重新支援WebGPU，並持續強化Node.js相容性</li> <li>HashiCorp創辦人Michel Hashimoto離開了創辦的公司</li> <li>iPaaS平臺商Digibee也用LLM打造整合助手，可以將程式碼自動轉譯成JSON</li> </ul> <p> </p> <p>@資料來源：iThome整理，2023年12月</p> <p>責任編輯：王宏仁</p> </div></div></div>
2023/12/29 12:00作者王宏仁https://www.ithome.com.tw/news/160607
生成式AI對資安前線人員的兩大效益
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>將生成式AI技術帶入資安產品，2023年開始有科技大廠提出相關規畫，展示這類功能的預覽效果，到了年底，我們更是看到資安業者宣布對話式AI助手正式推出。像是：趨勢科技11月27日正式推出Trend Companion，以及Google在12月15日宣布Duet AI in Security Operations上線，而不僅止於提供預覽版或公開測試版。臺廠也響應這股技術浪潮，例如奧義智慧先發展出AI虛擬助手，後續在2023年7月上線的XCockpit平臺，也整合生成式AI技術。</p> <p>從多家科技大廠的應用說明來看，現階段，我們已經可以進一步解析其效益，簡單分成下列兩大層面：</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>效益一：提升資安監控、偵測與回應的效率</strong></span></span></p> <p>以往彙整大量資料來源與分析，可能需要耗費數天，因此前幾年資安界就已開始重視用AI/ML模型輔助分析監控的作法，如今在生成式AI的協助下，不僅能夠提供具備情境感知的大量資料與事件關聯分析，只要透過提示或是自然語言的查詢，可以帶來下列5種助益。</p> <p>（1）針對資安事件或異常的警示，快速提供事件摘要；（2）大幅加速分析查詢與調查效率，資安人員透過自然語言的文字敘述表達，即可快速從大量日誌與其他資料搜尋到關鍵資訊：（3）快速分析腳本與程式碼，給出簡單易懂的解釋；（4）很快給予使用者因應上的建議，或是直接產生回應的自動化腳本，（5）提示或詢問後也能給予選單提示按鈕，將簡化使用者操作與設定流程，讓使用者點擊確認後就能自動執行。</p> <p>換言之，這將提升SIEM系統、偵測與回應系統，以及安全維運中心（SOC）的效率。而識別潛在威脅能力提升的好處很明顯，意味著減少平均偵測時間（MTTD）、平均回應時間（MMTR），對企業而言，應變速度越快，資安狀況相對會越好。</p> <p>甚至我們看到有些業者強調生成式AI的好處，認為這種技術將帶來前所未見的效率。</p> <p>例如，Fortinet表示，AI可將辨識和控制威脅的處理時間，從超過20天之久大幅縮短至不到1小時，以及將資安威脅調查和回應緩解措施所需的時間，從超過18小時，縮短至15分鐘或更短。奧義智慧也有同樣觀察，他們表示，警示建單時間可縮短至3分鐘，案情調查時間（MTTI）也只需要15分鐘。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>效益二：可簡化資安產品查詢與操作，甚至帶來新變革</strong></span></span></p> <p>過往資安產品若是操作遇到問題，或是遇到不熟悉的警示事件，通常人員需要查找操作手冊，或是聯繫原廠請求技術支援，現在有了對話式的AI助理，將帶來完全不同的操作體驗，這是因為，現在可透過自然語言，以一問一答的方式來查詢資料，並獲得設定的建議，甚至更簡便，完全不用提問，讓使用者點選預設好的功能按鈕項目，也就能直接得到答案。</p> <p>更關鍵的是，不僅僅是可以在資安管理與大量資料查詢上帶來效益，在資安事件因應上帶來輔助決策或AI決策的效益，從操作面來看，更是完全簡化人員的相關操作流程。</p> <p>這樣的操作體驗變革，不僅對於新進人員帶來幫助，對於資深研究員同樣有助益，因為這樣的效率提升，可讓資安人員專注於更具戰略性與複雜性的任務。</p> <p>而這些技術突破，不僅可促使大型資安團隊更有效率，對於人力不充沛的中小企業而言，在這方面獲得的助益可能是更大。</p> <p>除此之外，過去幾年全球資安界常探討如何解決資安技能落差，以及資安人力不足等困境，而當時就已經期盼，AI資安發展能緩解人力的問題，同時也減輕資安人員的工作負擔，如今在生成式AI帶動下，確實替資安應用帶來新的轉機。</p> <p>綜合來看，讓資安人員可專注於更重要的任務，是相當務實的改變。我們甚至期盼，資安培訓工具未來也能融入生成式AI，讓人員更容易學習不同領域的資安知識。</p> </div></div></div>
2023/12/29 12:31作者羅正漢https://www.ithome.com.tw/news/160609
Mozilla改變立場，相信Trusted Types防範Web-based跨站攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla近日表示，相信Trusted Types安全技術可以防範DOM-based跨站攻擊，強化網頁端的安全防護，但認為還不到實作於Firefox的時候。</p> <p>Mozilla成員指出，經過徹底的規格檢視後，Mozilla相信信任類型在防範文件物件模型（DOM-based）跨站腳本程式（Cross Site Scripting，XSS）攻擊的能力，過往在保護知名網站有優異成果。</p> <p>DOM-based XSS是攻擊者在URL中輸入DOM物件，利用JavaScript產生完整網頁，卻沒有檢查輸入資料的漏洞，讓瀏覽器瀏覽網頁的過程，帶入惡意程式碼。網站及瀏覽器支援信任類型（Trusted Types）可以防範這類攻擊。Google在2020年的<a href="https://www.ithome.com.tw/news/138989" target="_blank">Chrome 83</a>已經加入支援，微軟Edge、Opera也已加入。但是Mozilla Firefox及蘋果Safari則仍未支援。</p> <p>雖然Mozilla對這項技術開始認同，但在將之實作到Firefox推向所有用戶之前，Mozilla對Trusted Types仍然有些疑慮。其中包括是否會影響瀏覽器的XSS過濾器，以及其配置方法。和Google小組的討論讓他們對該技術在Web上的有效性及用途仍有「不清楚」的地方。他們也發現Chrome實作有某些功能是超出標準化的範疇，他們相信可能也還會有變動。</p> <p><a href="https://www.theregister.com/2023/12/21/mozilla_decides_trusted_types_is/" target="_blank">《The Register》</a>分析，在Chrome支援Trusted Types後，有助XSS攻擊的減少，報導引述專家人士說，相信最後主要瀏覽器業者最後都會支援這項安全技術。</p> </div></div></div>
2023/12/29 10:44作者林妍溱https://www.ithome.com.tw/news/160604
Panasonic旗下航空電子公司揭露去年遭駭外洩個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Panasonic旗下開發飛機上資訊娛樂設備的<a href="https://www.documentcloud.org/documents/24238563-panasonic-avionics-corporation-consumer-notice-letter" target="_blank">Panasonic Avionics本周揭露2022年底遭駭</a>，導致數量不明的員工及客戶個資外洩。</p> <p>Panasonic Avionics是Panasonic旗下專門提供機上資訊娛樂系統、網路通訊設備的系統整合及相關資料服務的子公司。設備安裝於全球超過1.5萬架商用飛機上，客戶包括空中巴士、波音及龐巴迪等。Panasonic Avionics也是Panasonic在北美的主要子公司。</p> <p>根據Panasonic Avionics本周向所在地的加州檢察長辦公室的申報文件，事件大約發生在2022年12月14日前後，一名不明非授權人士存取了該公司網路上某些系統，並存取了特定人士的資訊。Panasonic Avionics因而向受到影響的人員發函通知。這些資訊來自該公司提供服務時蒐集到的個人、僱主以及其他人。受影響人數不明。</p> <p>外洩資訊包含上述人士的姓名、電子郵件、住家地址及電話，生日、醫療及健康資訊、銀行帳號、公司聘僱狀態、以及社會安全號碼等。</p> <p>該公司向<a href="https://www.bleepingcomputer.com/news/security/panasonic-discloses-data-breach-after-december-2022-cyberattack/" target="_blank">Bleeping Computer</a>表示，外洩的是少數員工和商務客戶資料。</p> <p>Panasonic Avionics表示事件發生後，已找來專業資安業者進行調查，強調沒有證據顯示這些資訊已被濫用發動攻擊。該公司並對受影響人士提供身分資料及信用監控服務，也呼籲留心帳號任何可疑活動。</p> <p>這起事件是Panasonic二年來最新一起資安事件。這家日本電子及家電大廠2021年11月也曾被人駭入，存取客戶及公司網路架構資訊。去年春天，一名駭客宣稱以Conti勒索程式取得了Panasonic加拿大分公司2.6GB資料。</p> </div></div></div>
2023/12/29 11:16作者林妍溱https://www.ithome.com.tw/news/160605
Nvidia在中國發表少11%效能的GeForce RTX 4090 D晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著美國持續要求業者不得出口AI晶片至中國，<a href="https://wccftech.com/us-adds-more-nvidia-gpus-to-china-ban-list-rtx-6000-ada-rtx-a6000-l4/" target="_blank">迄今Nvidia已經有十多款GPU被禁售至中國</a>，不過，Nvidia本周在中國市場發表了GeForce RTX 4090 D，效能約比正版的GeForce RTX 4090少了11%。</p> <p>GeForce RTX 4090為GeForce 40系列迄今最新也最高階的繪圖處理器（GPU），該系列是Nvidia專為玩家及創作者所設計的顯示卡，GeForce RTX 4090標榜在效能、效率及AI繪圖上有大幅的增長，可讓使用者體驗更栩栩如生的虛擬世界。其基本款售價為1,599美元，上一代的GeForce RTX 4080則是1,199美元。由於它屬於消費性產品，先前並未在美國的禁售之列，但國外媒體卻在11月時發現，原本存在於Nvidia中國官網上的GeForce RTX 4090被下架了，本周重新上架的則是降級版的GeForce RTX 4090 D。</p> <p>比較Nvidia<a href="https://www.nvidia.com/en-us/geforce/graphics-cards/40-series/" target="_blank">美國</a>官網與<a href="https://www.nvidia.cn/geforce/graphics-cards/40-series/" target="_blank">中國</a>官網在GeForce RTX 4090及GeForce RTX 4090 D的規格，雙方皆採用24GB的GDDR6X記憶體，加速時脈皆為2.52 GHz，但GeForce RTX 4090擁有16,384個Nvidia CUDA核心，而GeForce RTX 4090 D的Nvidia CUDA核心數量只有14,592個，比GeForce RTX 4090少了10.9%。</p> <p>根據<a href="https://www.theregister.com/2023/12/28/nvidia_4090_returns_to_china/" target="_blank">《The Register》</a>的報導，GeForce RTX 4090是美國在今年10月祭出嚴格出口管制後，唯一被禁止出口至中國的消費級GPU，原因是它的效能剛好超過規定，使得Nvidia只好減少它的核心數量，不僅是CUDA核心，其Tensor核心也從512個減少到456個。</p> <p>不過，目前Nvidia中國官網只提供了GeForce RTX 4090 D的規格，尚未公布它的價格或銷售管道。</p> </div></div></div>
2023/12/29 11:42作者陳曉莉https://www.ithome.com.tw/news/160606
生成式AI崛起，是強化資安的大好機會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這些年網路威脅加劇，資安人力卻總是補不滿，如何翻轉攻防不對稱的局勢是資安發展重心，而AI應用正是大家期待已久的技術。</p> <p>回顧2023年生成式AI應用成形與爆發，資安界憂心攻擊者的技術門檻大幅降低，能發動更大規模且複雜的攻擊。但水能覆舟，亦能載舟，生成式AI同樣有助於資安，催生出新的防護作法。</p> <p>儘管通用生成式AI問題持續受探討，AI監理規範也正持續發展，像是建立AI風險驗測方法，評估AI生命週期的資訊與資料安全需求，以及2023年下半的種種指引與立法，雖然確保生成式AI安全很重要，不過，鎖定領域專屬的局部應用，已是重要發展方向。</p> <p>基本上，資安業者採用AI/ML提升本身產品與服務的能力，並非新鮮事，甚至不少廠商強調，資安解決方案要以AI為中樞，在GPT-4、PaLM 2、Llama 2等多個大型語言模型（LLM）引領之下，不僅帶動生成式AI興起，也再次掀起AI資安浪潮。</p> <p>因此，這一年來生成式AI的應用，不僅微軟與Google一舉一動受熱烈關注，許多資安大廠態度也很積極，令人驚喜的是，臺灣多家資安業者也不落人後。</p> <p>在2024年可以預見的是，對資安領域而言，生成式AI可望帶來完全不同的新面貌，也有資安專家盼望這能成為資安人員的救星，幫助縮短攻防不對稱的嚴峻態勢。</p> <p>因此不論企業規模大小，勢必都要了解當前的生成式AI發展概況，才能更好設想未來如何提升資安防護。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>微軟敲響AI資安助手第一鐘，大量推出的新應用都與生成式AI有關</strong></span></span></p> <p>早在2014年，我們就看到美國一家名為Tanium的新創公司，發展資安軟體結合自然語言，使用者透過口語化文字輸入提問，就能盤查企業電腦網路。到了2016年，對話機器人（Chatbot）開始步入主流，但當時仍處於自然語言理解階段，還需改進對話管理與自然語言生成；在2018年，GPT-1誕生，促成新一波AI應用。</p> <p>到了2023年，基於LLM的生成式AI技術不僅爆紅，其資安領域上的應用潛力，也有目共睹。</p> <p>首先，3月29日微軟發表整合GPT-4大型語言模型的Security Copilot，目標是協助資安人員工作，相隔一個月之後，Google發布整合自家Sec-PaLM大型語言模型的Security AI Workbench平臺。</p> <p>這些產品新功能的預告，意味著新時代來臨──將生成式AI技術整合至各種資安產品和服務。</p> <p>接下來幾個月，這兩家大廠宣布將生成式AI的技術，擴大至眾多產品線。以雲端服務為例，像是Microsoft 365 Copilot、Duet AI for Google Workspace等，而這些輔助生產力工具的AI助理，吸引許多用戶目光。在端點裝置，例如個人電腦與手機，微軟針對Windows系統，預計提供Copilot in Windows輔助功能，最新Google Pixel手機的相片魔術橡皮擦、提高解析度功能，背後也是導入了生成式AI。</p> <p>更重要的是，還有各式資安產品，也都將擁抱這股新浪潮，包括微軟的Microsoft Defender XDR、Sentinel、Intune，以及Google的Chronicle等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E5%A4%9A%E5%AE%B6%E5%A4%A7%E5%BB%A0%E5%B0%87%E7%94%9F%E6%88%90%E5%BC%8FAI%E6%95%B4%E5%90%88%E6%96%BC%E8%B3%87%E5%AE%89%E7%94%A2%E5%93%81_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></p> <blockquote><p><strong><span style="color:#696969;"><span style="font-size:18px;">資安結合生成式AI，微軟帶頭掀起風潮<br /> 微軟2023年3月29日預告，將推出全新Security Copilot，掀起資安領域結合生成式AI的旋風，他們指出該應用將成為資安人員的AI助手，後續並公布Security Copilot的運作架構，說明資安人只要送出指示（prompt）、接收答覆，背後運作全由這個AI助手負責，而且，旗下多項資安產品都將支援Security Copilot。</span></span></strong><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> </blockquote> <p class="rtecenter"><span style="color:#696969;"><span style="font-size:14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%A4%9A%E5%AE%B6%E5%A4%A7%E5%BB%A0%E5%B0%87%E7%94%9F%E6%88%90%E5%BC%8FAI%E6%95%B4%E5%90%88%E6%96%BC%E8%B3%87%E5%AE%89%E7%94%A2%E5%93%81_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></span></span></p> <blockquote><p><span style="color:#696969;"><strong><span style="font-size:18px;">微軟將生成式AI整合至旗下資安產品<br /> 根據微軟Microsoft Defender XDR初步試用計畫資料，可看出Security Copilot嵌在網頁介面右側，幫助快速總結事件，分析腳本與程式碼，提供建議行動，以及撰寫報告。</span></strong><span style="font-size:18px;"><span style="font-size:14px;">圖片來源／微軟</span></span></span></p> </blockquote> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>微軟、Google兩家雲端巨擘率先引領風潮</strong></span></span></p> <p>究竟生成式AI的出現，會讓各類資安產品帶來哪些改變？</p> <p>以微軟為例，在2023年11月公布的Microsoft Defender XDR預覽版當中，企業將可藉助嵌入的Security Copilot功能，達到多項應用效益，例如：不需撰寫複雜的查詢指令，可節省時間並減少發生錯誤的機率，可幫助快速摘要事件、分析腳本與程式碼，能提供引導式回應機制，幫助操作人員對事件採取動作，同時，還能用自然語言產生Kusto查詢語言（KQL），以及能夠讓撰寫事件報告變得更有效率。</p> <p>而且，幾日後微軟表示，將Microsoft Defender XDR/Sentinel，以及Security Copilot，整合至同一管理平臺。</p> <p>Google在12月也宣布Duet AI in Security Operations正式上線，這是適用於資安維運的生成式AI助理，供所有Chronicle用戶使用，可簡化威脅偵測並給予回應，協助歸納與分類威脅資訊，將自然語言輸入轉換為查詢指令並執行複雜分析，提供案例資料與警報的自動摘要，以及提供後續步驟建議，以改善事件回應時間等。</p> <p>同時Google還預告，未來幾週，所有的Duet AI服務，都將包含新的多模態模型Gemini，這也顯示出，近年生成式AI能力，其實是會快速地提升與進步。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>多家資安業者同樣擁抱生成式AI，臺廠也趕上這股熱潮</strong></span></span></p> <p>不只是微軟與Google，事實上，短短幾個月之內，有多家資安廠商紛紛跟上這股風潮，顯然都是看重生成式AI在資安應用的潛力與優勢。</p> <p>如微軟一發表Security Copilot之後，網路威脅情報業者Recorded Future的動作很迅速，在2023年4月11日宣布，在自家威脅情資（CTI）平臺整合OpenAI GPT，強調可幫助企業整理龐大資料，並緩解網路安全技能短缺的情形。</p> <p>接著，是資安風險管理業者Security Scorecard，他們在4月25日宣布，其服務將整合OpenAI的GPT-4，可用自然語言回答網路風險問題，像是：找出評分最低的10家供應商，顯示過去一年有哪些重要供應商遭入侵等，讓用戶在風險管理決策上可以更有效率，並可針對需要優先處理的網路安全風險，提出緩解的建議。</p> <p>資安業者SentinelOne也跟進，在4月26日公布整合生成式AI的Purple AI，強調對話式AI可以讓威脅獵捕變得容易，讓威脅分析變得簡單，當中說明了Purple AI的應用特性。例如，當分析人員想要搜尋特定威脅時，可以使用環境是否感染SmoothOpreator的語句，而不需建立以入侵指標（IoC）形式的手動查詢，在此同時，指出Purple AI對資料蒐集與網路安全領域的理解，使它能夠快速確定事件鏈，並向分析師總結出潛在的複雜威脅情況。</p> <p>特別的是，臺灣有資安業者更快發展生成式AI，並且早於上述公司。例如，前幾年參與MITRE ATT&CK評估計畫、受國際關注的奧義智慧，於微軟Security Copilot發表後，在4月6日這天，該公司就宣布將推出「XCockpit」自動化資安威脅管理平臺，並會導入AI虛擬分析助手於其中。</p> <p>該平臺不僅整合既有EDR與鑑識調查的產品，日後還將增加AD安全與ASM的功能模組，更關鍵的是，他們強調，該平臺是依循AI-Assistant-as-a-Service概念而打造，可建構AI自動化的事件應變流程，協助第一線SOC資安人員及資安團隊，讓事件處理精準度與速度大幅提升。而這個XCockpit平臺，已在2023年7月上線。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>趨勢科技對話式AI資安助手11月正式上線</strong></span></span></p> <p>2023年底，也就是最近一個多月以來，有更多資安大廠發布了相關消息，我們看到趨勢科技、思科、Fortinet都有應用生成式AI的進展。這也意味，其實還有更多廠商已經在進行，並且陸續對外發表，此一新技術的應用漸成主流。</p> <p>尤其是臺灣出身發展到全球知名的趨勢科技，先是在2023年6月發表生成式AI資安助手Companion，7月提供部分客戶使用，並在11月27日正式推出Trend Companion，開放所有客戶使用。</p> <p>因此，以正式推出時間來看，這個能以自然語言聊天的Trend Companion，甚至領先於更早預告的Google與微軟。</p> <p>基本上，趨勢科技這項功能整合於自家Trend Vision One整合式資安平臺，可透過自然語言的聊天介面提供服務，該助手不僅提供事件摘要與全面分析報告，還能解釋攻擊警報，關聯攻擊戰術與技巧，並清晰展示影響範圍。它還能將簡單語言轉換成正式的查詢語法，提高事件查詢的精準度。</p> <p>值得注意的是，他們還提到令我們印象深刻的應用情境，那就是：幫助識別利用合法工具的寄生攻擊（LotL），例如，能解析一段PowerShell腳本的目的與運作，並產生人員能夠容易理解的解釋內容。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%A4%9A%E5%AE%B6%E5%A4%A7%E5%BB%A0%E5%B0%87%E7%94%9F%E6%88%90%E5%BC%8FAI%E6%95%B4%E5%90%88%E6%96%BC%E8%B3%87%E5%AE%89%E7%94%A2%E5%93%81_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80.png" style="width: 600px;" /></p> <blockquote><p><span style="color:#696969;"><span style="font-size:18px;"><strong>趨勢科技AI助手在2023年底正式上線<br /> 趨勢科技打造的Trend Vision One平臺AI資安助手Trend Companion，2023年6月發表，在11月27日正式推出。根據他們展示的介面，這個AI助手不僅能夠提供事件摘要與分析報告，也可幫助快速分析攻擊腳本，並將結果以口語方式說明，讓資安人員與團隊更快了解威脅。</strong><span style="font-size:14px;">圖片來源／趨勢科技</span></span></span></p> </blockquote> <p>另一家網路與資安大廠思科，也有這方面的功能進展，我們在12月6日參加他們的墨爾本亞太區年度用戶大會時，看到他們現場發表全新AI助手Cisco AI Assistant，而且首先強調的應用場景是在防火牆規則管理，包括：可用自然語言簡化相關查詢與操作，並能主動提供規則分析，以及改進的建議，像是清除重複或多餘的規則，藉此強化企業防火牆管理，以降低防火牆規則因設定複雜可能帶來的安全風險與挑戰。</p> <p>當時，我們看到這方面的實機展示，在Cisco Defense Orchestrator雲端管理介面上，用戶可以叫出AI Assistant Beta版來對話，另外在Cisco防火牆管理中心介面上，也同樣能有此應用。思科表示，這個AI助理之後也將擴及該公司旗下各產品線。</p> <p>還有一家資安業者Fortinet，12月15日也宣布推出生成式AI助理，他們將此功能命名為Fortinet Advisor，並表示已在FortiSIEM、FortiSOAR產品開放公開預覽版、供用戶使用，其特色包含：可幫助解析資安威脅告警事件，提供事件分析摘要，當中將包含情境說明，以及潛在影響解釋的內容，並且提供緩解措施指南與回應Playbook的範本，並可用自然語言輸入提問，就能向Fortinet Advisor諮詢資安建議。</p> <p>值得我們注意的是，綜觀Advisor這一命名，其實也意味著，生成式AI不只是化身助手，也可視為一個虛擬諮詢顧問般的存在。未來這項功能應用也將擴大，預計擴展至40多個AI驅動的解決方案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fix-%EF%BC%88%E5%9C%963%EF%BC%89%E5%A4%9A%E5%AE%B6%E5%A4%A7%E5%BB%A0%E5%B0%87%E7%94%9F%E6%88%90%E5%BC%8FAI%E6%95%B4%E5%90%88%E6%96%BC%E8%B3%87%E5%AE%89%E7%94%A2%E5%93%81_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p><span style="color:#696969;"><span style="font-size:18px;"><strong>思科展示用AI助理簡化網路防火牆規則管理<br /> 2023年12月6日思科揭露AI助手功能，在思科Cisco Defense Orchestrator管理介面，將可叫出Cisco AI Assistant Beta的功能，以自然語言聊天方式，查詢防火牆政策，詢問如何建立防火牆資安政策，並快速獲得規則建議。</strong><span style="font-size:14px;">攝影／羅正漢</span></span></span></p> </blockquote> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>已有研究顯示，資安研究人員正積極使用生成式AI</strong></span></span></p> <p>除了上述資安業者的動向，對於資安研究人員而言，在他們目前的工作領域，也呈現積極應用生成式AI的情況。</p> <p>漏洞懸賞平臺HackerOne於2023年10月，公布《駭客驅動安全報告（Hacker-Powered Security Report）》，調查結果特別列出幾個必須重視的態勢。他們發現有6成資安研究人員，正利用生成式AI（GenAI）來開發各種駭客工具，以用來發現更多的漏洞，也有66％的研究人員表示，正在或準備利用生成式AI來撰寫報告。</p> <p>無論如何，用AI幫助資安早已是大勢所趨，生成式AI技術更是最新的利器。儘管現在只是這項技術爆發的第一年，還有很多進步空間與創新擴展，但我們可以預期的是，生成式AI資安的潛力相當被看重，尤其是能夠快速處理大量資料的能力，以及用自然語言進行交流的能力。</p> <p>整體而言，隨著2024年的到來，企業可能要意識到，當生成式AI逐漸融入資安產品，預料將成為資安團隊未來的一份子，甚至期盼是企業資安的神隊友，但AI也將會讓那些沒有道德底線的攻擊者，發展更多自動化攻擊的武器，並且會讓社交工程問題加劇，這些新挑戰，我們同樣需要積極因應，因為，新的AI時代已經來臨。</p> </div></div></div>
2023/12/29 12:14作者羅正漢https://www.ithome.com.tw/news/160608
LinkedIn開源開發者生產力與幸福框架，助團隊永續成長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>LinkedIn<a href="https://engineering.linkedin.com/blog/2023/practical-magic--improving-productivity-and-happiness-for-softwa">開源</a><a href="https://linkedin.github.io/dph-framework/">開發者生產力與幸福感（Developer Productivity & Happiness，DPH）框架</a>，這是一個專用於軟體開發，協助組織創建高效且令人滿意的工作環境，進而提升開發效率、開發者滿意度，最終達成長期可持續的框架。除了提出框架本身，LinkedIn也分享內部使用框架的經驗，助組織更好地設計指標與回饋系統。</p> <p>LinkedIn創建DPH框架的原因，源自於當今開發領域面臨的各種挑戰，特別是在生成式人工智慧興盛發展的時代背景下，LinkedIn認為開發團隊必須具備迅速適應，並且有效運用新技術的能力，而DPH框架提供了一套系統、流程、指標和回饋系統，協助開發團隊克服面臨的新興挑戰。</p> <p>DPH框架經過4年的開發，其核心目標是要協助開發團隊工作時更幸福、更有效率。LinkedIn設計框架的工作從高層次哲學思考開始，並落實到最佳實踐工作管線。</p> <p>DPH框架以目標、訊號和指標3部分為基礎，這3個元素共同解答了衡量和評估過程中，組織會遇到的重要問題「如何選擇要測量的內容？」組織可以根據這3個元素確定具體的目標和訊號。而框架也討論了Developer Personas，這是一個依據開發者的工作流程，將其分類到不同群組的系統，框架提供有關建立Developer Personas系統的資訊，包括透過自願者了解開發者的工作流程和遭遇的痛點。</p> <p>Developer Personas系統的重要性在於提供軟體開發和團隊管理，一種結構化和個人化的方法，藉以更理解開發者需求，進而提升工作效率，範疇涵蓋個人職涯發展、團隊溝通合作，促進更有效的資源分配，但這些最終的目的，都是要支持組織達到更好的產品設計和開發。LinkedIn也在框架中提供重要原則，避免組織建立出後續需要大幅修改的系統，包括討論資料和見解（Insight）之間的區別，以及使用定量和定性資料推動決策的方法。</p> <p>組織所收集的資料，可轉換成為具體指標、報告和視覺化圖示，框架除了提供設計指標的關鍵原則之外，也提醒了指標設計的陷阱，點出將指標匯總為分數，存在許多潛在問題，而且解釋輸出總量並不是作為軟體工程師最佳績效指標的原因。</p> <p>另外，框架也強調回饋系統的重要性，使開發者能夠表達他們的需求和挑戰，進而創建一個更具支持性和滿足的工作環境。</p> <p>LinkedIn指出兩個衡量開發者生產力的重要概念，分別是迭代時間（Iteration Time）和上下文切換（Context Switching），迭代時間是指工程師從觀察到問題，到最終執行解決方案的時間，迭代工作的類型多樣，但整體來說，加速迭代過程會讓整個開發過程更快。</p> <p>而上下文切換則是指開發者在等待某項工作，會轉而進行其他活動的過程，長時間的中斷開發者會需要花費10到15分鐘重新回到原本工作的上下文，而短暫中斷也會浪費開發者的時間，甚至導致開發者忘記重要工作內容而出現錯誤。因此降低迭代時間並避免上下文切換，是提高軟體開發效率和減少錯誤的重點。</p> <p>LinkedIn也提供了數個他們內部實際使用的指標，這些指標分為全公司工程指標，以及開發者平臺團隊指標，全公司工程指標有開發者建置時間（Developer Build Time）、合併後CI時長（Post-Merge CI Duration）以及程式碼審查者回應時間等，而開發者平臺團隊指標則有CI可靠性、部署可靠性，還有服務水準目標（SLO）的見解指標數量等。</p> <p>LinkedIn藉由DPH框架提供了一系列指南和最佳實踐，協助其他組織、團隊設計和實施框架。目前框架文件已經在GitHub上，供任何人取用。</p> </div></div></div>
2023/12/29 08:33作者李建興https://www.ithome.com.tw/news/160598
金管會發布金融業運用AI指引草案，提供AI系統生命周期4階段落實核心原則的作法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>既今年10月發布金融業運用AI的六大核心原則，金管會今日趕在年底公布「金融業運用AI指引」草案，分別敘述金融業落實核心原則的建議作法。建議作法的主要架構是將AI系統生命周期分為4個階段，分別是系統規畫及設計、資料蒐集及輸入、模型建立及驗證，和系統佈署及監控，建議業者在各個階段落實核心原則的作法。</p> <p>金管會在10月中正式發布金融業運用AI的六大核心原則，分別為建立治理及問責機制、重視公平性及以人為本的價值觀、保護隱私及客戶權益、確保系統穩健性與安全性、落實透明性與可解釋性，和促進永續發展。當時僅訂定出原則方向，並未敘述導入AI應留意的實務作法。</p> <p>而今日發布的金融業運用AI指引草案，則主要涉及實務作業的操作細節，類似一份操作建議書，分別說明了業者在導入AI時，如何在四個階段中落實公平性、隱私保護及資料治理、系統穩定性、系統安全性、透明性和可解釋性。例如，在導入AI落實公平性的建議作法中，指引草案分別描述了業者從系統規畫及設計階段、資料蒐集及輸入階段、模型建立及驗證階段，到系統佈署及監控階段時，各階段可採取的措施。其他的核心原則也同樣依據這個方式說明建議作法。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__51920985_0.jpg" style="width: 600px;" /></p> <blockquote><p>金管會發布的金融業運用AI指引類似一本操作書。以落實公平性為例，指引草案從系統規畫及設計，到系統部署及監控，分階段提供落實原則的建議作法，供業者參考。</p> </blockquote> <p>此外，指引草案也因應永續發展提出導入AI的建議作法，包括建議業者優化AI系統的演算法，減少模型的複雜度與計算需求，也建議業者借重能源效能監控系統，監測AI系統的能源消耗與效能表現，並選擇能效較高的硬體設備，優化硬體設施的配置與管理。</p> <p>金管會強調，這份草案是為了鼓勵金融業在風險可控的情況下導入、使用及管理AI，性質屬於行政指導，不具法律拘束力。金管會也建議，金融業相關公會如有訂定運用AI的自律規範，可以參考這份草案納入相關重點和措施。若公會尚未訂定相關自律規範，則建議參考草案導入、使用及管理AI系統。目前草案已發布至「眾開講」，對外開放60天徵詢意見。金管會綜合規劃處處長胡則華表示，日後會再參採外界建議修正指引內容。</p> <p>指引草案發布前，業者對部分建議較有疑慮，包括建立AI系統的問責機制，及保護隱私及客戶資料的方式。胡則華說明，原先指引草案建議業者建立組織架構問責機制時，應指定跨部門業務的高階主管負責監督整體AI系統應用，不過，部分業者反映高階主管未必能擔任全權督導角色，因此新增成立委員會的選項，讓業者能以委員會的形式建立問責機制。</p> <p>另外，針對保護隱私及客戶權益這項原則，指引草案建議業者以資料最小化原則蒐集和處理必要的客戶資料，胡則華說明，「最小化」意旨業者應盡量以最少量的客戶資料訓練AI模型，假設模型僅需要10項客戶資料就能運作順暢，業者就不應向客戶要求15項資料。</p> <p></p> </div></div></div>
2023/12/28 18:27作者李昀璇https://www.ithome.com.tw/news/160599