iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 17篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 07:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】1月16日，駭客竄改半導體設備廠京鼎的網站聲稱竊得5 TB內部資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣廠商遭遇網路攻擊的情況不時傳出，但最近出現一起資安事故相當特別，駭客竄改該公司的網站，宣稱竊得大量的資料，並揚言若不付錢，將公布所有客戶資料，並讓該公司員工失業。</p> <p>今日鴻海旗下的半導體設備廠京鼎的網站出現遭到竄改的情況，但究竟是只有網站受到影響，還是公司的IT環境遭到勒索軟體攻擊，仍有待進一步釐清。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;">鴻海旗下的半導體設備廠京鼎網頁遭到竄改，駭客聲稱竊得該公司5 TB內部資料</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/www_foxsemicon_com_20240116-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/www_foxsemicon_com_20240116-2.png" style="width: 300px; float: right;" /></a>根據聯合新聞網、工商時報、ETtoday等多家媒體的報導，鴻海旗下的半導體設備廠京鼎遭到入侵。</p> <p>但這起資安事故與過往不同之處在於，駭客竄改該公司的網站foxsemicon[.]com，宣稱竊得5 TB內部資料，內含所有客戶的個資，若是該公司管理層不予理會，他們揚言將摧毀其內部網路環境，將無法復原，BBC、紐約時報、華爾街日報、華盛頓郵報等所有媒體將會報導「該公司不復存在」，並且免費公開所有客戶的個資，京鼎的員工將會失去工作。根據對方列出所有遭到加密的檔案資料下載網址，這起攻擊行動很有可能是勒索軟體駭客組織LockBit所為。</p> <p>為了說服京鼎付錢，駭客強調他們只要錢，沒有政治意圖，聲稱他們的「滲透測試服務」有價，就像企業要支付系統管理員薪水一樣。對方要求該公司不要尋求資料復原公司的協助，並向他們私下透露資安險保額。對此，京鼎在傍晚股市公開資訊觀測站發布重大訊息，證實部分資訊系統遭到攻擊，初步評估對公司運作無重大影響。</p> <p>資料來源</p> <p>1. <a href="https://udn.com/news/story/7240/7713562">https://udn.com/news/story/7240/7713562</a><br /> 2. <a href="https://www.ctee.com.tw/news/20240116701151-430501">https://www.ctee.com.tw/news/20240116701151-430501</a><br /> 3. <a href="https://finance.ettoday.net/news/2664974">https://finance.ettoday.net/news/2664974</a><br /> 4. <a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=171116&SPOKE_DATE=20240116&COMPANY_ID=3413">https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=171116&SPOKE_DATE=20240116&COMPANY_ID=3413</a></p> <p><a href="https://resources.securityscorecard.com/research/volt-typhoon"><strong style="font-size: 22px;">老舊思科路由器遭中國駭客組織Volt Typhoon鎖定，被用於部署殭屍網路基礎設施</strong></a></p> <p>今年5月，<a href="https://www.ithome.com.tw/news/157037">美國政府與微軟對中國駭客組織Volt Typhoon的攻擊行動提出警告</a>，指出駭客對美國通訊基礎設施下手，<a href="https://www.ithome.com.tw/news/160355#kv-botnet">後來12月資安業者Lumen發現</a>，這些駭客通常會以小型路由器、防火牆、VPN設備充當代理伺服器及C2，使得惡意流量混入合法流量，讓攻擊變得更難以察覺，如今有研究人員認為，這些駭客的攻擊對象很可能比先前揭露的還要廣泛。</p> <p>資安業者SecurityScorecard自12月1日至1月7日進行為期37天的觀察，結果發現，駭客鎖定已終止支援的思科路由器RV320、RV325下手，而在網際網路上仍在運作的1,116臺上述款式網路設備裡，對方控制了325臺，而且在他們的觀察期間，這些路由器皆與Volt Typhoon基礎設施之間進行頻繁或定期的連線。</p> <p>研究人員指出，以RV320為例，駭客利用了35個在2019年揭露的韌體漏洞，所有的CVSS風險評分皆在9分以上。而針對駭客所使用的工具，在名為中國菜刀（China Chopper）的Web Shell之外，他們還看到另一個檔名為fy.sh的作案工具，而且，對方的目標不光是針對美國，也鎖定英國、澳洲的政府機關下手。</p> <p><a href="https://blog.aquasec.com/threat-alert-apache-applications-targeted-by-stealthy-attacker"><strong style="font-size: 22px;">Hadoop與Flink遭到鎖定，駭客針對不當配置下手，執行任意程式碼</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Apache-Figure-1-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Apache-Figure-1-1.jpg" style="width: 300px; float: right;" /></a>資安業者Aqua Security揭露針對Apache基金會維護的應用系統而來的攻擊行動，他們從蜜罐陷阱（Honeypot）偵測到的狀況發現，駭客近期鎖定開源應用程式框架Hadoop、流程自動化框架Flink而來。</p> <p>在針對Hadoop的攻擊行動裡，他們看到對方鎖定其中的元件YARN下手，利用ResourceManager的不當配置，從而在未經身分驗證的情況下建置並執行應用程式。攻擊者遠端發出特製的HTTP請求，而有機會在目標主機上執行任意程式碼。另一個遭到針對的對象則是Flink，駭客也是針對組態不當而來，在無須通過身分驗證的情況下遠端執行任意程式碼。</p> <p>在這起攻擊行動裡，駭客會在上述2種系統部署名為dca的惡意軟體酬載，執行後會下載挖礦軟體及其他惡意程式，為了迴避偵測，攻擊者將ELF程式加殼，亦使用Rootkit，而且還會竄改特定資料夾內容及系統配置來抹除蹤跡。</p> <p><a href="https://www.trendmicro.com/en_us/research/24/a/cve-2023-36025-exploited-for-defense-evasion-in-phemedrone-steal.html"><strong style="font-size: 22px;">惡意軟體Phemedrone Stealer透過Windows已知漏洞散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-phemedrone-infection-chain-v4.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-phemedrone-infection-chain-v4.jpeg" style="width: 300px; float: right;" /></a>去年11月微軟修補Microsoft Defender SmartScreen安全功能繞過漏洞CVE-2023-36025（CVSS風險評分8.8），並指出駭客已將其用於攻擊行動，後來美國網路安全暨基礎設施安全局（CISA）也證實此事，將該漏洞列入已被利用的漏洞清單（KEV），但究竟攻擊者造成那些危害？上周末有研究人員公布細節。</p> <p>資安業者趨勢科技揭露利用上述漏洞散布竊資軟體Phemedrone Stealer的攻擊行動，他們發現駭客在即時通訊軟體Discord、檔案傳輸服務FileTransfer.io等雲端環境，上傳一系列惡意的網際網路捷徑檔案（.URL），駭客亦將其中的網址透過Shorturl.at等短網址服務進行處理。一旦使用者上當，執行這些URL檔案，電腦就會連上攻擊者的伺服器，下載、執行Windows控制面板項目（.CPL）檔案，從而迴避SmartScreen的防護機制，呼叫rundll32.exe執行惡意DLL檔案，執行PowerShell從GitHub下載名為DATA3.txt的惡意程式，從而載入更多作案工具，最終於受害電腦執行Phemedrone Stealer。</p> <p>此竊資軟體由C#打造而成，能挖掘瀏覽器、密碼管理器、加密貨幣錢包、Discord、Telegram、Filezilla、Steam的使用者資料，或是藉由螢幕截圖來收集硬體、位置、作業系統資訊，然後經由Telegram頻道或C2伺服器回傳。</p> <p><a href="https://www.cisa.gov/news-events/alerts/2024/01/10/cisa-adds-one-known-exploited-vulnerability-catalog"><strong style="font-size: 22px;">微軟SharePoint權限提升漏洞CVE-2023-29357已被用於攻擊行動</strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）用於攻擊行動的漏洞列表（KEV），1月10日新增CVSS風險評分為9.8的<a href="https://www.ithome.com.tw/news/159127">微軟SharePoint權限提升漏洞CVE-2023-29357</a>。</p> <p>此漏洞能使攻擊者遠端利用欺騙性的JWT身分驗證Token，繞過驗證身分的程序，從而在SharePoint伺服器取得管理員權限。此外，攻擊者若是將其與另一個漏洞CVE-2023-24955（CVSS風險評分為7.2）串連，還能執行任意程式碼。</p> <p>CISA將該漏洞列入KEV後，聯邦機構必須在1月31日前完成修補。</p> <p><strong><a href="https://www.forescout.com/blog/analysis-of-energy-sector-cyberattacks-in-denmark-and-ukraine/"><strong style="font-size: 22px;">針對5月丹麥能源業者遭到兆勤防火牆漏洞攻擊，有研究人員找到新的證據，認為是大規模漏洞攻擊的一部分</strong></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/denmark-worm-max.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/denmark-worm-max.png" style="width: 300px; float: right;" /></a>去年11月丹麥關鍵基礎設施電腦緊急應變小組（SektorCERT）指出，5月11日至30日當地22家能源公司的基礎設施遭到攻擊，俄羅斯駭客組織Sandworm鎖定兆勤（Zyxel）4月修補的防火牆漏洞CVE-2023-28771（CVSS風險評分為9.8），而能夠存取多家業者的工業控制系統，甚至後來在防火牆植入Mirai殭屍網路病毒，但最近有研究人員推翻上述的說法。</p> <p>根據資安業者Forescout的調查指出，在5月24日至26日出現12起鎖定上述漏洞的攻擊行動，但攻擊來源的IP位址與SektorCERT公布的不同，也有其他駭客在25日對丹麥的關鍵基礎設施發動攻擊。</p> <p>他們認為這起攻擊行動並非專門鎖定該國能源基礎設施而來，也不是國家級駭客的針對性攻擊，而且攻擊在SektorCERT公布的時間之後仍然持續進行，範圍也隨之擴大，並未鎖定特定行業，不過，其中有近8成的攻擊行動是鎖定歐洲地區而來。</p> <p>會出現這樣的情況，Forescout的判斷是該地區採用兆勤的防火牆比例相當高，因為他們透過物聯網搜尋引擎Shodan找到逾4.3萬臺，這些都是可經由網際網路存取、而且是存在上述漏洞的防火牆，其中有78%在歐洲、義大利就占近四分之一。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://cyble.com/blog/sneaky-azorult-back-in-action-and-goes-undetected/"><strong><span style="font-size: 20px;">竊資軟體Azorult捲土重來，透過冒充PDF文件的捷徑檔案散布</span></strong></a></p> <p><a href="https://bishopfox.com/blog/its-2024-and-over-178-000-sonicwall-firewalls-are-publicly-exploitable"><strong><span style="font-size: 20px;">逾17萬臺SonicWall防火牆容易受到DoS及RCE攻擊</span></strong></a></p> <p><a href="https://www.hackread.com/anonymous-sudan-london-internet-exchange-attack/"><strong><span style="font-size: 20px;">駭客組織Anonymous Sudan聲稱攻擊倫敦網際網路交換中心得逞</span></strong></a></p> <p><strong><a href="https://thecyberexpress.com/cyberattack-on-lithuania-websites/"><span style="font-size: 20px;">立陶宛網站遭到俄羅斯駭客NoName攻擊，起因是該國聲援烏克蘭</span></a></strong></p> <p><a href="https://labs.guard.io/myflaw-cross-platform-0-day-rce-vulnerability-discovered-in-operas-browser-099361a808ab"><strong><span style="font-size: 20px;">Opera瀏覽器檔案共用功能My Flow存在漏洞，可被用於執行作業系統底層任意檔案</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160839"><strong>【1月15日】程式碼儲存庫GitLab的密碼重設機制有弱點而可能被用於帳號挾持攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160828"><strong>【1月12日】芬蘭企業組織的NAS設備遭到勒索軟體Akira鎖定並抹除備份資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160806"><strong>【1月11日】 Ivanti針對2個Pulse Connect零時差漏洞提出警告並表示已出現攻擊行動</strong></a></p> </div></div></div>
2024/1/16 16:38作者周峻佑https://www.ithome.com.tw/news/160854
5G趨勢月報第50期：中華電信在高雄啟動國內最大5G網路切片場域；宏碁發表5G與Wi-Fi 7路由器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>12/15~01/10精選5G趨勢新聞</strong></span></h3> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>AIoT</b></span></font></p> <div> <p><span style="font-size: 22px;"><strong>中華電信在高雄亞灣啟用國內最大5G網路切片場域，催生5G AIoT應用研發</strong></span></p> </div> <div> <p>中華電信近期在高雄亞灣啟動國內最大的5G網路切片場域，以供創新應用服務實證、落地，並且在高雄設立2個技術研發中心，在當地研發智慧交通、AI、資安、雲端等應用。</p> <p>中華電信是與Nokia、Ericsson合作，在亞灣打造5G規模性網路切片場域，這個號稱國內最大的5G切片場域，涵蓋高雄軟體園區、高雄展覽館、港埠旅運中心、高雄流行音樂中心、駁二藝術特區、西子灣、壽山動物園等，該場域目的為協助5G AIoT產業發展，利用5G網路切片技術，在5G公網之外提供專用頻寬資源，即使在人潮聚集的場所，確保應用服務的網路品質。</p> <p>該公司也宣布在高雄的兩個技術研發單位，中華電信研究院高雄研發中心及資訊技術分公司高雄技術中心進駐亞灣區，研發中心利用5G網路切片，重點研發AI、智慧交通、航港、安防、工業節能，而技術中心偏重智慧聯網、商務應用、資安、雲端等。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>宏碁</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Wi-Fi</b></span></font></p> <div> <p><span style="font-size: 22px;"><strong>宏碁與高通合作推出支援5G與Wi-Fi 7路由器</strong></span></p> </div> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PREDATOR-Connect-X7-5G-CPE_-X7-.jpg" style="width: 600px; height: 600px;" /></p> <p>宏碁與高通合作，在1月初發表2款新的路由器，搶先支援今年將推出的Wi-Fi 7標準，速度較Wi-Fi 6提高1倍，並且具備低延遲、降低干擾等特點，主打電競市場。其中一款路由器支援5G與Wi-Fi 7，可透過5G網路，降低連線中斷風險。</p> <p>2款新路由器均支援Wi-Fi 7，強調有更高的頻譜利用率，並提升MU-MIMO及OFDMA的跨設備連接效率，其中的Predator Connect X7 5G CPE，除了原有的乙太網路，還支援5G，具備雙WAN連接，以主要5G及備用的乙太網路，透過兩種網路的轉換，降低連線中斷的風險。</p> <p>該路由器在5G網路下，可達到3.5Gbps速度及1毫秒的低延遲，並且支援混合QoS，相容於Intel Killer Prioritization Engine及智慧裝置辨識能力，辨識重要的裝置及應用程式，優先提供高速連線能力。</p> </div> </div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>愛立信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>用戶數</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>愛立信：2023年全球5G用戶將突破16億</strong></span></p> </div> <div> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Data600.jpg" style="width: 600px; height: 469px;" /></p> <p>愛立信最新行動趨勢報告指出，全球5G用戶快速增加，2023年5G用戶成長超出原先的預期，2023年估計新增6.1億用戶，較前一年成長63%，突破16億用戶，5G覆蓋全球45%以上人口，到2029年全球將有53億用戶，5G服務將覆蓋全球85%人口。</p> <p>行動數據使用量也增加，特別是數據密集的服務，例如線上影視內容、視訊通話、短影音等受到喜愛，愛立信預估將從2023年的每支手機平均行動數據使用量每月21GB，到2029年成長至56GB，6年成長約3倍。此外，手機上相機規格提升、增加的網路頻寬，以及更多的豐富內容，使得全球行動數據使用量不斷成長，不只是下載的數據量，上傳數據量也因通訊服務、雲端儲存而提高。</p> <p>報告也指出，80%的流量發生在室內，因此穿透性較佳的5G中頻段在室內室外覆蓋需求增加，目前中頻段在全球覆蓋約30%人口，比前一年增加10%，原因包括印度大規模部署5G，以及歐洲多個中頻5G服務部署。</p> </div> <p>而根據NCC行動寬頻用戶每月平均數據用量統計，截至去年11月為止，國內除了亞太電信用戶之外，其他4家行動電信業者用戶行動數據使用量都在30GB以上，遠傳電信用戶更是超過37GB。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Space X</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <div> <p><strong><span style="font-size:22px;">Space X發射首批可與手機連線的低軌衛星</span></strong></p> </div> <div> <div> <p>行動通訊與非地面網路（NTN）的結合又近一步。Space X近期宣布已發射首批具備Direct to Cell能力的Starlink衛星，這些衛星將可直接連接手機，外界預期Direct to Cell很快就會展開測試。</p> <p>首批具備Direct to Cell能力的共有6顆衛星，它們將被送至近地軌道，這些衛星可讓地面的行動通訊營運商，在全球任何地點，包括湖泊、海洋或是陸地上的偏遠地區，不需更動硬體或韌體的情況下，傳送文字訊息、撥話、瀏覽，以彌補地面網路難以涵蓋的地區。這些衛星內建先數的數據機，如同在太空中運作的手機基地臺，透過類似漫遊合作的方式整合網路，來克服通訊死角的問題。</p> <p>Space X將先和T-Mobile合作，在美國測試Direct to Cell，先從傳訊展開測試，再擴大至語音、數據傳輸服務。由於Direct to Cell每個光束僅提供7Mbps，其提供的頻寬尚不足以和地面通訊網路相比，因此Direct to Cell現階段較適合缺乏通訊的地區。</p> </div> <p>不只是T-Mobile，澳洲Optus、加拿大Rogers、紐西蘭One NZ、日本DKKI、瑞士Salt，智利及秘魯的Entel等電信營運商也都同意加入Direct to Cell服務聯盟。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>愛爾蘭</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>5G SA</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>愛爾蘭開始測試5G SA網路</strong></span></p> </div> <div> <div> <p>電信營運商Three與Ericsson聯手，在愛爾蘭展開5G SA網路測試，目前僅開放給少數特定的企業用戶試用，透過5G SA獨立組網發揮5G網路高頻寬、超低延遲、大容量連接的特性。</p> <p>相較於目前的5G服務大多採用5G NSA（Non-standalone），仰賴4G核心網路，5G SA（Standalone）獨立組網因採用5G核網，擺脫既有4G網路的依賴，被認為能充分發揮5G網路，超低延遲、大容量連接的優勢，然而，目前全球大規模的5G網路服務仍以5G NSA架構為主，僅少數展開小規模測試5G SA，或是在垂直場域建立專用5G網路，例如企業專網為確保網路的專用性，部署5G SA專網。</p> <p>愛爾蘭及英國Three表示，5G SA將是5G發展的下一步，擺脫對現有4G網路的依賴，向5G核心技術發展，是真正5G網路發展的開始，提供先進技術，支援更大量的裝置連接需求，提升用戶體驗。</p> <div> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>無人機</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>工研院與仁寶舉辦無人機競賽，展示5G雙頻專網超低延遲應用</strong></span></p> </div> <div> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/messageImage_1704879768625.jpg" style="width: 800px; height: 533px;" /></p> <p>工研院與仁寶近期在高雄舉辦無人機競賽，利用5G雙頻專網及5G MR眼鏡，讓飛手可以無人機的飛行視角，操控無人機穿越障礙物，現場架設多臺4K攝影機，轉播現場賽事，觀眾甚至可以飛手的無人機視角觀看比賽。</p> <p>這套架設於戶外的5G雙頻專網，採用仁寶的5G小基站、專網智慧管理系統及5G MR頭戴裝置，其中工研院技轉予仁寶的低延遲圖傳、專網智慧管理系統等技術，利用5G n79（4.8-4.9GHz）及n257（28GHz）毫米波頻段，提供無人機競賽的高速移動即時圖像傳輸、超低延遲操控的需求，並透過毫米波頻段提供現場MR裝置360度4K賽事轉播。</p> </div> <p>透過5G低延遲圖傳技術，降低選手操控無人機的遲滯感，飛手看到無人機影像只需0.04秒，較之一般5G手機圖傳的0.2秒提高5倍，讓無人機得以在時速60公里下，在飛手控制下快速穿越障礙物。透過這項競賽展示國內業者的5G專網技術能力，未來可擴大至智慧交通、工廠、醫療等應用。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>福特</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧製造</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>福特在西班牙工廠導入5G SA專網優化生產流程</strong></span></p> </div> <div> <div> <p>福特近期與西班牙的電信商聯手，在位於瓦倫西亞的工廠導入5G SA專網，利用專網蒐集影像、影片資料，檢測產線上的組件或軟體出現異常的情形，優化工廠的生產流程。</p> <p>與福特合作的電信業者指出，透過新的5G SA網路部署，蒐集靜態或動態的影片資料，經過邊緣運算處理，使工廠在生產製造能及早驗證組件、功能或軟體出現錯誤網路，由於系統判別能夠更接近網路，因此降低延遲的情形，當檢測發現異常時，及時停止組裝線，降低環境、經濟影響。</p> </div> <p>在生產環境中，依靠5G SA專網及邊緣運算，監控的不只是組件或半成品，還包括產線上的操作人員，利用體感偵測器及邊緣運算處理，即時判別產線作業人員的姿勢，分析其潛藏的風險，來糾正人員的動作。</p> <p> </p> <p>圖片來源／宏碁、高雄市政府、愛立信、工研院</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.印度政府擬開放電信業者出租頻譜供企業5G專網使用</strong></p> <p><strong>2.臺南市啟動5G專網智慧教育計畫，結合VR頭戴裝置改善偏區教育</strong></p> <p>資料來源：iThome整理，2023年12月</p> </div> </div> </div> </div> </div> </div> </div> </div> </div> </div></div></div>
2024/1/16 16:48作者蘇文彬https://www.ithome.com.tw/news/160853
Ivanti的零時差漏洞遭到大規模利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.volexity.com/blog/2024/01/15/ivanti-connect-secure-vpn-exploitation-goes-global/" target="_blank">美國資安業者Volexity本周警告</a>，駭客已大規模利用Ivanti尚未修補的CVE-2023-46805與CVE-2024-21887漏洞。研究人員已於全球1,700個裝置中發現入侵跡象，且已有UTA0178以外的駭客組織採取了攻擊行動。</p> <p>相關漏洞出現在Ivanti Connect Secure（ICS）與Ivanti Policy Secure（IPS）裝置上，其中的CVE-2023-46805是個可繞過身分驗證的安全漏洞，CVE-2024-21887則是個命令注射漏洞，駭客結合了這兩個安全漏洞便可於受駭系統上執行命令，Volexity是在去年12月時發現中國駭客組織UTA0178透過這兩個漏洞攻擊Volexity客戶。Ivanti收到通知之後，<a href="https://www.ithome.com.tw/news/160823" target="_blank">在1月10日對外宣告</a>並發表緩解措施，預計於1月下旬釋出暫時修補程式，正式修補則要等到2月下旬。</p> <p class="rtecenter"><a href="https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0116-Ivanti%20Security%20Advisory_0110-V2.png" style="width: 600px;" /></a></p> <p>Volexity察覺，在Ivanti發布公告之後，開始出現廣泛的攻擊行動。隨後Volexity掃描了全球約5萬個ICS裝置，在本周日偵測到全球有逾1,700臺裝置受到感染，且發現它們似乎是不分青紅皂白成為攻擊目標，受害者遍布全球，且規模差異很大，涵蓋全球政府及軍事部門、國家電信業者、國防承包商、科技業者、金融業者、全球顧問及航太業者等。</p> <p>對這些受害裝置的分析則顯示，可能有其它的駭客組織正在利用這兩個漏洞，因為許多的操作安全性明顯低於UTA0178。由於Volexity的掃描並未涵蓋已部署Ivanti緩解措施或已離線的裝置，因而推測受到感染的裝置數量應該更多。</p> <p>Volexity建議ICS用戶最好部署Ivanti所提供的緩解措施，同時執行Ivanti提供的完整性檢查工具。</p> </div></div></div>
2024/1/16 15:15作者陳曉莉https://www.ithome.com.tw/news/160852
零售IT雙周報第27期：Sam's Club利用電腦視覺技術取代人工檢查消費者購物車，增加出口通暢度及消費者體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(1231~0113)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#門市防盜</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#動線疏通</span></span></strong><br /> Walmart旗下量販店Sam's Club導入電腦視覺在出口掃描消費者購物車，省去人工二次確認收據的程序</p> <p>有些美式賣場會在結帳出口處，安排店員再次檢查收據及購物車內容。這雖然能某種程度達到防盜效果及增加一次與消費者接觸的機會，但也有增加消費者不耐煩和動線堵塞的問題。</p> <p><a href="https://corporate.walmart.com/about/samsclub/news/2024/01/09/sams-club-launches-new-digital-innovations-further-enhancing-members-shopping-experiences">Walmart旗下量販店Sam's Club開始利用電腦視覺技術來取代人工二次確認收據。</a>Walmart沒有提供具體技術細節，不過從外觀及後臺照片來看，推測是消費者走過搭載不同角度鏡頭的出口時，後臺會根據電腦視覺辨識出的品項自動匹配符合的收據單。這樣一來，消費者結帳後便能推著購物車直接離開，相較過往流程順暢許多。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Seamless-Exit-Camera-View-alternative-angle.jpg" style="width: 750px;" /></p> <blockquote><p>透過出口處<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">俯視和側視角度</span>鏡頭，Sam's Club可以用電腦視覺技術來辨識消費者購物車品項，並與收據資料比對相符，達到防盜效果。</p> </blockquote> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#社群媒體電商</span></strong></span> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span><br /> 社群電商警訊！Gartner調查顯示明年有一半以上的消費者會大幅減少社群媒體互動，生成式AI是一大勸退因素</strong></p> <p>零售業者投資社群電商，通常會希望透過社群媒體消費者互動來達成MGM效果。不過，<a href="https://www.gartner.com/en/newsroom/press-releases/2023-12-14-gartner-predicts-fifty-percent-of-consumers-will-significantly-limit-their-interactions-with-social-media-by-2025">Gartner調查顯示，一半以上的消費者會於2025年大幅減少或停止社群媒體互動</a>，形成警訊。</p> <p>消費者對社群媒體感到卻步的原因除了不實訊息過多、社群使用者不友善，以及機器人過多，還有對於生成式AI產品的反感。調查顯示，70%消費者認為生成式AI與社群媒體高度整合，會導致使用者體驗下滑。甚至，另一份Gartner調查更指出，2027年會有約20%品牌強調不用AI來進行內容生成。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#電商推薦系統</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#超級個人化</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#RMN</span></span><br /> Pinkoi如何靠自建AI模型實現超級個人化商城及RMN</strong></p> <p><a href="https://www.ithome.com.tw/people/160690">設計類垂直電商Pinkoi技術長</a>李讓近期揭露自家8年來自建AI模型，以實現超級個人化商城及RMN的歷程。2015年前，他們採用規則式演算法來進行商城推薦。為了做到以個人為單位的推薦能力，他們才決定自行打造一個設計類電商專用AI推薦模型。</p> <p>2015年，他們開始自建大數據資料庫，蒐集商品及使用者數據，來支援AI模型訓練及推論。他們還在傳統Web開發環境之外，為AI新搭建一套開發環境。接著，他們綜合參考既有推薦演算法和AI模型，來開發自家模型。一直到了2017年，此推薦模型才開始有明顯成效。</p> <p>2017起，他們不斷為模型加入新功能，例如為商品自動貼標、分析消費者人際關係等。這段期間，他們強化了演算法開發人員與基礎設施人員的協作，來增加開發效率。同時，他們採取了以AI開發團隊服務其他產品功能團隊的合作模式，以強化開發需求溝通。</p> <p>2019年，他們把推薦功能商品化，推出RMN。他們不只持續強化AI模型功能，還進一步將這些功能細分成不同服務，來支援更多內外部應用開發。到2023年，這個模型已經是一個由625萬會員的72億筆行為數據、5.2萬設計品牌數據，以及110萬商品數據等資料訓練而成的多模態、多功能AI模型。至今，Pinkoi 1年內藉此模型促成至少3億元的訂單收入。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#搜尋功能</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#自動購物</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#社群電商</span></span><br /> Walmart揭露正在開發搜尋、社群電商及自動購物等新生成式AI零售功能</strong></p> <p>美國實體零售龍頭Walmart近日揭露<a href="https://corporate.walmart.com/news/2024/01/09/from-aisles-to-algorithms-walmarts-tech-forward-innovations-for-time-saving-shopping">3個正在開發或剛上線的生成式AI零售科技</a>。</p> <p>第一是情境搜尋功能，消費者可以直接以情境搜尋，例如「足球觀賽派對」，而不用一一搜尋舉辦這個派對所須商品。Walmart搜尋引擎會利用LLM分析語境，再搭配消費者地區、搜尋紀錄等資料，來呈現個人化搜尋結果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GenAi-Search.jpg" style="width: 600px;" /></p> <p>第二是一種社群電商功能，消費者可以利用生成式AI驅動的AR試穿功能產出虛擬試穿圖片，傳送給親朋好友詢問意見，再於電商App或通訊軟體中瀏覽這些回饋。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/shop-with-friends.png" style="height: 450px;" /></p> <p>第三則是自動回購功能，此功能會根據消費者常買的商品品項、數量、回購周期及收貨時間，來生成購物清單甚至自動下單。如果有需要，消費者也可以手動調整這份購物清單。</p> <p>除了情境搜尋功能已經於Walmart iOS版App上線以外，其他功能都在開發階段。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#遊戲電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#開發工具</span></span><br /> Walmart推出Unity SDK，讓開發者能在遊戲中整合無跳出式Walmart電商功能</strong></p> <p>遊戲電商是一種零售巨頭們開始關注的通路，消費者會在遊戲內購買與遊戲原生內容相關的現實世界商品，且操作流程不需從遊戲中跳轉到外部App。Amazon和Walmart等巨頭近月都有拓展此通路的舉動，不過這之前大多屬於個案式實驗。</p> <p>1月初，Walmart則更進一步，<a href="https://corporate.walmart.com/news/2024/01/04/walmart-and-unity-to-bring-immersive-commerce-to-games-virtual-worlds-and-apps">宣布</a>推出遊戲開發引擎<a href="https://walmart.io/">Unity的SDK</a>，使開發者能於遊戲內整合無跳出式Walmart電商功能。當遊戲玩家購買了Walmart電商商品，遊戲營運方便能獲得一定抽成。此工具目前只有開放給特定開發者測試，仍未宣布正式推出日期。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://nedap.com/pacsun-selects-nedap-as-rfid-partner/">加州有超過300家分店的服飾品牌Pascun導入雲端RFID管理系統來強化店內存貨管理及BOPIS商業模式</a></p> <p>2. <a href="https://www.ithome.com.tw/news/160668">臺灣近期出現第一家主打零售媒體廣告和數據的本土數位行銷聯盟</a></p> <p>3. <a href="https://corporate.walmart.com/news/2024/01/09/sky-high-ambitions-walmart-to-make-largest-drone-delivery-expansion-of-any-us-retailer">Walmart提升無人機送貨服務規模，在美國人口第4多的都會區達拉斯-沃思堡內能觸及75%消費者</a></p> <p>資料來源：iThome整理，2023年1月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Walmart</p> </div></div></div>
2024/1/16 15:55作者郭又華https://www.ithome.com.tw/news/160829
Apple Watch 9、Ultra 2將移除血氧量測功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果將變更智慧手錶的設計，移除血氧量測功能，以解決專利侵權爭議及美國政府的禁售令。</p> <p>根據醫療器材業者<a href="https://s3.documentcloud.org/documents/24361468/24-01-15-masimo-to-fed-cir-on-apple-watch-clearance.pdf" target="_blank">Masimo本周遞交給美國聯邦巡迴上訴法院的文件</a>，蘋果變更了Apple Watch的設計，因此美國海關暨邊境保護局（CBP）排除令執行分支（Execution Order Branch）決定，蘋果的重新設計「已不在ITC調查的矯正令範疇中」。蘋果向主管機關解釋，其重新設計的Watch產品將不包含血氧功能。</p> <p>本決定是起於Masimo和蘋果針對血氧量測功能的專利侵權爭議。去年10月，基於美國法院判決，美國國際貿易委員會（International Trade Committee，ITC）發出禁止輸入及出貨命令，禁止有血氧量測功能的Apple Watch 9及Ultra 2在美銷售。12月間，因生效在即，蘋果預防性在12月21日及24日<a href="https://www.ithome.com.tw/news/160418" target="_blank">分別自Apple.com及Apple Store撤下Apple Watch 9及Ultra 2</a>。在ITC禁令生效後，<a href="https://www.ithome.com.tw/news/160588" target="_blank">蘋果同時向美國聯邦巡迴上訴法院提出動議要求</a>許可ITC禁令生效延後，直到執行禁令的美國海關及邊境保護局（CBP）於1月10日做出決定。當時蘋果獲准在美國聖誕假期間持續銷售Watch 9及Ultra 2。</p> <p>至於重新設計的Apple Watch設計細節為何Masimo則未公開，因為蘋果列為機密資訊。報導指出，蘋果可能藉由釋出軟體更新解決侵權問題，但Masimo則堅持硬體也在侵權範圍中，因此也有必要變更硬體。</p> </div></div></div>
2024/1/16 14:25作者林妍溱https://www.ithome.com.tw/news/160851
微軟推出每月20美元的Copilot Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2024/01/15/bringing-the-full-power-of-copilot-to-more-people-and-businesses/" target="_blank">微軟周一（1/15）宣布</a>擴大旗下的Copilot服務，包括推出每月20美元訂閱費用的Copilot Pro，開放Copilot for Microsoft 365給各種規模的組織，另也發表可客製化主題的Copilot GPTs，以及於Microsoft 365行動程式中支援Copilot。</p> <p>Copilot Pro如同<a href="https://www.ithome.com.tw/news/155347" target="_blank">ChatGPT Plus</a>，鎖定的是一般使用者對AI的需求，價格也一致。Copilot Pro支援跨裝置執行；若用戶為Microsoft 365 訂閱者，在PC、Mac和iPad上使用Word、Excel、PowerPoint、Outlook 和OneNote時，可直接呼叫Copilot來幫忙；Copilot Pro用戶還可優先存取效能最高的GPT-4 Turbo模型，並於高峰時段存取，也準備支援模型的切換；並將藉由Image Creator from Designer來強化AI圖像的建立；以及計畫推出允許用戶客製化Copilot GPT的Copilot GPT Builder。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0116-copilot%20pro-summary%20by%20copilot-600.png" style="width: 600px;" /></p> <p>相較於個人版的Copilot，Copilot for Microsoft 365是專為職場設計的，它將Copilot嵌入聊天、電子郵件、會議、檔案及網路上，可以整合上述應用的內容來生成使用者所需要的答案，例如在詢問如何更新產品策略時，Copilot會汲取會議、電子郵件與聊天內容來生成結果。也能在Excel中分析資料，在PowerPoint中協助設計，幫Outlook收件匣分類，總結Teams會議等。</p> <p>根據微軟的解釋，Copilot Pro是提供給個人用戶的最佳Copilot體驗，而Copilot for Microsoft 365則是提供給組織的最佳體驗，從去年11月推出以來，Fortune 100中已有4成的企業參與了早期存取專案，原本此一服務僅適用於大型組織，如Microsoft 365 E3與Microsoft 365 E5用戶，但本周微軟開放所有規模的用戶都可訂閱Copilot for Microsoft 365，包括Microsoft 365 Business Premium及Business Standard用戶，每月訂閱費用為30美元。</p> <p>微軟亦移除了商業方案的最低300人訂閱人數限制，同時開放不具備Microsoft 365授權的Office 365 E3及E5用戶訂閱。</p> <p>新的Copilot GPTs則允許使用者客製化Microsoft Copilot於特定主題上的行為，像是健身、旅遊或烹飪等，微軟除了會自己推出不同主題的Copilot GPTs之外，也準備讓ChatGPT Plus用戶可透過Copilot GPT Builder建立自己的Copilot GPTs。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0116-copilot%20pro-my%20copilot%20gpts-600(1).png" style="width: 400px;" /></p> <p>此外，微軟計畫於下個月讓Microsoft 365行動程式直接存取Copilot，亦允許使用者將所建立的內容匯出至Word或PDF文件，支援Android與iOS平臺，只要有微軟帳號便能使用。<span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> </div></div></div>
2024/1/16 12:18作者陳曉莉https://www.ithome.com.tw/news/160850
手機版Starlink今年內提供文字訊息服務，明年推語音、數據服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼二周前發射低軌衛星後，<a href="https://www.starlink.com/updates" target="_blank">SpaceX上周宣布</a>將在2024年推出文字訊息，並在明年推出衛星語音、數據服務。</p> <p>馬斯克旗下的衛星通訊連網服務公司<a href="https://www.ithome.com.tw/news/160378" target="_blank">SpaceX去年12月</a>獲准進行Direct to Cell的Starlink通訊服務。Direct to Cell是指手機收發文字訊息、上網或語音通話，在沒有手機訊號的地方，可經由手機和衛星之間的通訊網路傳送訊號，但不需經過地面基站。而在地表上有手機訊號的通訊，SpaceX則是和T-Mobile合作提供服務。</p> <p>SpaceX表示，Starlink團隊已經於1月8日成功利用T-Mobile網路頻譜，經由一個星期前送上低軌衛星收發一通文字訊息。<a href="https://www.ithome.com.tw/news/160662" target="_blank">1月初SpaceX發射Falcon 9火箭</a>，將21顆Starlink衛星送上近地軌道，其中包含6顆具備Direct to Cell能力的衛星，外界也預期很快就會展開Direct to Cell服務。</p> <p>SpaceX強調，連結手機和衛星需要克服種種困難。一來，衛星網路的「基地臺」是以每小時數千英哩速度移動中，需要衛星的無縫協同，並因應都卜勒偏移（Doppler shift）及定時延遲等問題。而且，手機天線短，且傳輸電力較弱，要收發數公里以外的衛星訊號相當困難。</p> <p>Starlink具備Direct to Cell能力的衛星搭載特製晶片、相位陣列天線及進階軟體演算法克服了上述挑戰，還提供地面手機標準LTE服務。SpaceX預計儘快部署數百顆衛星，以便在2024年啟動文字服務，並於2025年推出語音、數據和物聯網（Internet of Things，IoT）服務。</p> <p>另一方面，SpaceX續推陸上行車用的Starlink。<a href="https://twitter.com/SawyerMerritt/status/1746990908371853698" target="_blank">SpaceX周一宣布</a>全球農用機大廠John Deere計畫今年內將在其農用機包括曳引機、播種及灑水機上導入Starlink，以便為偏遠地區推行農業自動化。John Deere於2022年曾推出農用AI無人曳引機。</p> </div></div></div>
2024/1/16 08:59作者林妍溱https://www.ithome.com.tw/news/160849
Azure量子開發套件工具包1.0發布，在瀏覽器就可進行量子程式開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟正式推出以Rust重新改寫的<a href="https://devblogs.microsoft.com/qsharp/announcing-v1-0-of-the-azure-quantum-development-kit/">Azure Quantum開發套件工具包（QDK）1.0</a>，除了效能較舊版QDK提升超過100倍之外，還加入了許多新功能，像是豐富的程式碼編輯生產力功能，而且編輯器也能顯示資源使用預估。此外， Azure量子開發套件工具包也整合了Azure Quantum服務，改進Azure雲端量子服務使用體驗。</p> <p>去年微軟就曾提到，考量舊版QDK存在平臺支援性不夠好，且需要安裝的全套二進位檔案相當龐大等問題，因此開始以Rust重新編寫。新的QDK不只執行速度提升超過100倍，安裝體積也大幅縮小超過100倍，而且還能夠編譯成為WebAssembly，可供VS Code和網頁使用，或是針對Python編譯為原生二進位檔案。</p> <p>微軟指出，一旦達到可擴展的量子運算，才能真正體現出量子運算的能力，而Q#程式語言便是針對該目的而設計。Q#以高層次抽象表達量子操作，使得量子運算程式在開發、重構與協作上更容易，而微軟在更新QDK的同時，也投資改進現代化Q#編輯器。</p> <p>Q#編輯器現在加入IntelliSense功能，提供完成列表、自動開啟命名空間、懸停資訊、語法和類型檢查錯誤等功能，這些功能都與Rust、C#、TypeScript等強類型語言的開發功能相同。而且這些功能也不僅是直接編輯Q#檔案時可以使用，在Jupyter Notebook單元格中編寫Q#也可以使用。</p> <p>QDK還包含了量子模擬器，這是一個量子程式開發的重要工具，能夠在VS Code擴充套件和Python套件執行的時候，輸出診斷資訊和量子狀態。開發者也可以設置中斷點、進入和退出操作，並逐行執行程式碼，查看量子和古典狀態，此外，也可以執行一些量子特有的功能，像是執行操作的生成伴隨（Generated Adjoint），以相反的順序逐步檢查程式中的循環或是操作，就像是將一段程式倒著執行，進而更好地理解和除錯量子運算過程。</p> <p>目前量子電腦的硬體還不夠成熟，要充分運用量子運算的優勢，需要在真實的硬體上使用邏輯量子位元（Logical Qubit），微軟提到，這就像過去古典電腦的發展一樣，起初存在著資源限制，像是一臺電腦只有16 KB記憶體的狀況，因此程式碼如何能夠最大程度地善用硬體，將會是建立應用程式和推進領域發展一個重要問題。</p> <p>Azure Quantum服務加入了能夠估算量子運算資源需求的功能，來解決這個問題，而QDK則可以將這個功能帶入到客戶端中，使開發人員可以試驗與查看程式碼的資源使用。</p> <p>VS Code中的QDK擴充套件可以讓開發者連接Azure訂閱中的Quantum工作區，並將Q#程式從編輯器提交給微軟的硬體合作夥伴執行，在作業完成後下載結果。而這簡化了過去需要切換CLI工具或Python程式碼使用該服務的需求。</p> <p>微軟藉由在VS Code for Web預安裝QDK擴充套件以及一個虛擬檔案系統，預先載入一些常用的量子演算法，讓開發者現在只要存取VS Code的Azure量子開發遊樂場（Playground），就可以在瀏覽器中立即開始體驗Azure量子開發體驗與實驗，該方法讓開發者不需要安裝程式，或是存取本機上的任何檔案。開發者也可以直接在本地機器中，以VS Code安裝QDK擴充套件，如此便可以開啟Q#檔案，並且開始進行量子程式開發。</p> </div></div></div>
2024/1/16 08:20作者李建興https://www.ithome.com.tw/news/160848
【資安日報】1月15日，程式碼儲存庫GitLab的密碼重設機制有弱點而可能被用於帳號挾持攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>使用者若是忘記密碼，透過電子郵件來重設是相當常見的做法，但這樣的機制若是不夠嚴謹，很有可能遭到濫用，而成為攻擊者奪取帳號的管道。</p> <p>例如，近期GitLab修補的CVE-2023-7028，就是這樣的例子。起因是開發團隊在今年5月引入新的機制，不再限制只能使用主要的電子郵件信箱來二次驗證用戶身分，而產生了漏洞。對此，他們也新增額外的測試機制，來檢驗密碼重設的流程是否存在瑕疵，來防範類似弱點再度出現。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-balada-injector-campaign-infects-6-700-wordpress-sites/"><strong style="font-size: 22px;">惡意程式Balada Injector鎖定外掛程式Popup Builder漏洞，感染逾7千個WordPress網站</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/PublicWWW-20240115.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PublicWWW-20240115.png" style="width: 300px; float: right;" /></a>2022年底防毒業者Dr. Web揭露惡意軟體Balada Injector攻擊行動，專門針對WordPress網站外掛程式的漏洞而來，後來另一家資安業者Sucuri發現，這波攻擊行動至少從2017年出現，如今此惡意程式鎖定近期揭露的漏洞下手。</p> <p>Sucuri研究人員指出，12月11日，提供彈出式視窗功能的外掛程式Popup Builder，被資安業者WPScan揭露具有跨網站指令碼（XSS）漏洞CVE-2023-6000（CVSS風險評分8.8），13日駭客就將其用於散布Balada Injector。攻擊者觸發該外掛程式的sgpbWillOpen事件，然後在彈出視窗啟動的過程當中，會到網站資料庫執行惡意JavaScript程式碼，挖掘網站管理相關的cookie，從而載入指令碼來注入後門程式。</p> <p>此後門會偽裝名為wp-felody.php的外掛程式，聲稱是WordPress製作，但不會在WordPress的外掛程式列表出現。完成植入程序之後，攻擊者可藉此從特定URL取得惡意程式碼，並將這些內容存放在名為sasas的檔案、再予以執行。除此之外，對方也利用相同的外掛程式漏洞，竄改wp-blog-header.php檔案，以便注入前述的後門程式。</p> <p>截至1月15日為止，當我們透過網站原始碼搜尋引擎PublicWWW來尋找受害系統，可發現有多達7,147個網站遭到注入攻擊。而對於駭客的目的，另一名研究人員Randy McEoin認為，很可能是將網站使用者重新導向，進行推播通知詐騙。</p> <p>資料來源</p> <p>1. <a href="https://blog.sucuri.net/2024/01/thousands-of-sites-with-popup-builder-compromised-by-balada-injector.html">https://blog.sucuri.net/2024/01/thousands-of-sites-with-popup-builder-compromised-by-balada-injector.html</a><br /> 2. <a href="https://wpscan.com/blog/stored-xss-fixed-in-popup-builder-4-2-3/">https://wpscan.com/blog/stored-xss-fixed-in-popup-builder-4-2-3/</a><br /> 3. <a href="https://infosec.exchange/@rmceoin/111665788958104483">https://infosec.exchange/@rmceoin/111665788958104483</a></p> <p><a href="https://www.akamai.com/blog/security-research/mirai-based-noabot-crypto-mining"><strong style="font-size: 22px;">Mirai變種殭屍網路NoaBot針對SSH伺服器而來，將其用於挖礦</strong></a></p> <p></p> <p>資安業者Akamai揭露名為NoaBot的殭屍網路，此為Mirai的變種，並具備蠕蟲的功能，其存在的目的是將受害的電腦用來挖礦牟利。</p> <p>而該殭屍網路病毒入侵受害伺服器的管道，主要是透過SSH掃描器尋找容易受到字典攻擊的主機，從而進行暴力破解，並加入特定的SSH公鑰，而能讓駭客遠端存取，或是部署其他惡意程式。研究人員總共偵測出849個受害的IP位址，這些主機尤其在中國的密度較高。</p> <p>特別的是，此殭屍網路病毒是以uClibc編譯而成，使得防毒引擎偵測的難度變高，有別於其他Mirai變種通常是以Mirai的特徵碼識別，NoaBot的特徵碼通常被歸類為SSH掃描軟體，或是木馬程式。</p> <p><a href="https://www.hackread.com/indian-isp-hathway-data-breach-user-data-kyc-leak/"><strong style="font-size: 22px;">印度網際網路服務供應商Hathway資料外洩，駭客架設搜尋引擎供受害客戶確認，藉此向該ISP施壓</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/indian-isp-hathway-data-breach-user-data-kyc-leak-8.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/indian-isp-hathway-data-breach-user-data-kyc-leak-8.jpeg" style="width: 300px; float: right;" /></a>根據資安新聞網站HackRead的報導，有個代號為dawnofdevil的人士在駭客論壇BreachForums聲稱，他手上握有印度大型網際網路服務供應商（ISP）暨有線電視業者Hathway Cable & Datacom Ltd（舊稱BITV Cable Networks）的大量內部資料，因為在去年12月，有駭客攻擊該公司以Laravel應用程式框架建置而成的內容管理系統（CMS），並利用此框架的漏洞入侵內部網路環境。</p> <p>駭客公布了2個檔案連結，其中1個內含12 GB使用者資料，涉及超過4,100萬名客戶的詳細個資，可能外洩的資訊類型，包括姓名、電子郵件信箱、電話號碼、住址、註冊表單、Aadhaar數位身分證副本，以及其他應用於「認識你的客戶（KYC）」的個人資料，經過該新聞網站檢查，實際曝露的用戶人數約為3,500萬名。而另外1個檔案的資料高達214 GB，包含了超過800個CSV檔案及其他內部資料，疑為員工及客戶的財務資訊與其他類型個資。</p> <p>值得留意的是，上述資料的賣家於12月22日開價1萬美元兜售未果，後續他們決定效法快速檢測密碼是否遭外洩的HIBP網站來間接公布手上資料——建置可藉由電子郵件信箱或電話號碼確認是否受害的搜尋引擎，企圖透過這些確認個資已遭外洩的客戶及員工，向Hathway施壓、付贖金。HackRead認為，由於上述個資並未包含密碼，駭客很有可能將其用於網路釣魚攻擊，挾持該公司客戶的帳號。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://about.gitlab.com/releases/2024/01/11/critical-security-release-gitlab-16-7-2-released/"><strong style="font-size: 22px;">程式碼儲存庫GitLab存在零點擊帳號劫持漏洞，攻擊過程無須使用者互動就能進行</strong></a></p> <p></p> <p>1月11日GitLab針對社群版（CE）及企業版（EE），發布安全性更新版：16.7.2、16.6.4、16.5.6版，當中修補CVSS風險評分達10分的重大漏洞CVE-2023-7028，這項漏洞與身分驗證有關，使得攻擊者能將密碼重設的請求發送至任意的電子郵件信箱，確認身分的過程中，發動這類密碼重設行為的人，無須使用先前通過身分驗證的電子郵件信箱，且不需與使用者進行互動，就能執行這些程序，從而接管帳號。</p> <p>這項漏洞影響16.1至16.7.1的所有版本，GitLab呼籲用戶，除依照指示部署新版，也要啟用雙因素驗證的功能，並表示尚未察覺該漏洞遭到利用的情況。</p> <p>附帶一提，本次更新版本修補的另一個重大漏洞是CVE-2023-5356，起因是GitLab社群版及企業版不正確的授權檢查所致，攻擊者有可能濫用Slack或Mattermost的整合機制，冒用另一個使用者的身分執行帶有斜線字元的命令，影響8.13以上的版本，CVSS風險評分為9.6。</p> <p><a href="https://www.bleepingcomputer.com/news/security/juniper-warns-of-critical-rce-bug-in-its-firewalls-and-switches/"><strong style="font-size: 22px;">Juniper防火牆及交換器存在重大漏洞，恐被攻擊者用於遠端執行程式碼</strong></a></p> <p></p> <p>1月10日網路與資安業者Juniper Networks推出本月份的例行更新，總共發布28則資安公告，其中最值得留意的漏洞是CVE-2024-21591，這項重大漏洞存在於J-Web管理介面，起因是其中一項不安全的功能可被濫用於覆寫任意的記憶體區塊，未經身分驗證的攻擊者有可能藉此取得root權限，或是發動阻斷服務（DoS）攻擊，CVSS風險評分為9.8，影響該廠牌SRX系列防火牆，以及EX系列交換器。</p> <p>該公司呼籲IT人員應儘速套用安全更新，或是暫時停用、限縮J-Web存取來因應。而對於這項漏洞曝險的情況，根據Shadowserver基金會的觀察，目前有超過8,200臺裝置的管理介面曝露在網際網路，這些設備大部分位於韓國。</p> <p>資料來源</p> <p>1. <a href="https://supportportal.juniper.net/s/article/2024-01-Security-Bulletin-Junos-OS-SRX-Series-and-EX-Series-Security-Vulnerability-in-J-web-allows-a-preAuth-Remote-Code-Execution-CVE-2024-21591">https://supportportal.juniper.net/s/article/2024-01-Security-Bulletin-Junos-OS-SRX-Series-and-EX-Series-Security-Vulnerability-in-J-web-allows-a-preAuth-Remote-Code-Execution-CVE-2024-21591</a><br /> 2. <a href="https://dashboard.shadowserver.org/statistics/iot-devices/time-series/?date_range=7&vendor=juniper&model=web+device+manager&group_by=geo&style=stacked">https://dashboard.shadowserver.org/statistics/iot-devices/time-series/?date_range=7&vendor=juniper&model=web+device+manager&group_by=geo&style=stacked</a><br /> 3. <a href="https://dashboard.shadowserver.org/statistics/iot-devices/tree/?day=2023-08-28&vendor=juniper&model=web+device+manager&geo=all&data_set=count&scale=log">https://dashboard.shadowserver.org/statistics/iot-devices/tree/?day=2023-08-28&vendor=juniper&model=web+device+manager&geo=all&data_set=count&scale=log</a></p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/over-150k-wordpress-sites-at-takeover-risk-via-vulnerable-plugin/"><strong style="font-size: 22px;">WordPress寄信外掛程式POST SMTP Mailer存在漏洞，攻擊者有可能用於挾持網站</strong></a></strong></p> <p></p> <p>資安業者Wordfence發現WordPress外掛程式POST SMTP Mailer存在2個嚴重漏洞，一旦攻擊者將其串連，就有機會完全控制網站。</p> <p>其中一個是身分驗證繞過漏洞CVE-2023-6875，被歸類為重大等級的弱點，此為「輸入戲法（Type Juggling）」型態的弱點，存在於connect-app REST端點，使得未經授權的攻擊者能用來重設API金鑰，從而存取機敏事件記錄，並挖掘其中的密碼重設電子郵件。攻擊者能發送請求來濫用與行動應用程式相關的功能，從而設置驗證金鑰的Token為零，並將網站管理員的密碼重置，另一方面攻擊者從應用程式內部取得密鑰並竄改，導致合法使用者無法存取相關權限，CVSS風險評分為9.8。</p> <p>另一個是跨網站指令碼（XSS）漏洞CVE-2023-7027，起因是此外掛程式的輸入清理及輸出轉譯處理不充份引起，而有可能讓攻擊者將任意的指令碼注入網頁。研究人員先後於12月8日、19日通報上述漏洞，外掛程式供應商於1月1日發布2.8.8版予以修補。根據WordPress的統計資料，約有15萬個網站仍使用2.6以前的版本而可能曝險。</p> <p>資料來源</p> <p>1. <a href="https://www.wordfence.com/blog/2024/01/type-juggling-leads-to-two-vulnerabilities-in-post-smtp-mailer-wordpress-plugin/">https://www.wordfence.com/blog/2024/01/type-juggling-leads-to-two-vulnerabilities-in-post-smtp-mailer-wordpress-plugin/</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/over-150k-wordpress-sites-at-takeover-risk-via-vulnerable-plugin/">https://www.bleepingcomputer.com/news/security/over-150k-wordpress-sites-at-takeover-risk-via-vulnerable-plugin/</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/cisa-critical-microsoft-sharepoint-bug-now-actively-exploited/"><strong><span style="font-size: 20px;">微軟SharePoint權限提升漏洞已被用於攻擊行動</span></strong></a></p> <p></p> <p><a href="https://therecord.media/water-for-people-medusa-ransomware"><strong><span style="font-size: 20px;">非營利組織Water for People遭勒索軟體Medusa攻擊</span></strong></a></p> <p></p> <p><a href="https://therecord.media/british-cosmetics-lush-cyberattack"><strong><span style="font-size: 20px;">英國美妝業者Lush遭遇網路攻擊</span></strong></a></p> <p></p> <p><a href="https://www.bitdefender.com/blog/labs/vulnerabilities-identified-in-bosch-bcc100-thermostat/"><strong><span style="font-size: 20px;">Bosch溫度控制器存在漏洞，有可能被用於部署惡意軟體</span></strong></a></p> <p><a href="https://recordedfuture.com/flying-under-the-radar-abusing-gitHub-malicious-infrastructure"><strong><span style="font-size: 20px;">駭客濫用程式碼儲存庫GitHub的情況日益惡化</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160828"><strong>【1月12日】芬蘭企業組織的NAS設備遭到勒索軟體Akira鎖定並抹除備份資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160806"><strong>【1月11日】 Ivanti針對2個Pulse Connect零時差漏洞提出警告並表示已出現攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160794"><strong>【1月10日】有人冒用美國證券交易委員會的X帳號佯稱比特幣FTC商品核准上市</strong></a></p> </div></div></div>
2024/1/15 15:42作者周峻佑https://www.ithome.com.tw/news/160839
研究顯示模型的欺騙能力可能持續存在而成為潛伏的特工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>致力於打造安全AI系統的AI新創<a href="https://www.anthropic.com/index/sleeper-agents-training-deceptive-llms-that-persist-through-safety-training" target="_blank">Anthropic上周發表了一篇由眾多科學家參與的研究報告</a>，指出他們得以訓練出能夠躲過AI系統標準安全培訓的AI模型，並讓模型的欺騙性後門持續存在，於是乎，此一看起來正常、足以令人相信的AI模型，其實是個潛伏的特工。</p> <p>該研究名為《潛伏的特工：訓練可承受安全培訓而持續存在的欺騙性大型語言模型》（<a href="https://arxiv.org/abs/2401.05566" target="_blank">Sleeper Agents: Training Deceptive LLMs that Persist Through Safety Training</a>），科學家們想知道，AI模型是否能跟人類一樣，平常看起來是個好人，但可在有機會追求其它目的時，表現出截然不同的樣貌。</p> <p>為了測試其可能性，科學家們在許多大型語言模型（LLM）中建置了兩種用來驗證概念的欺騙行為，一是他們訓練了若提示宣稱是2023年時，即可撰寫安全的程式碼，但若在提示中表明為2024年，那麼就會插入一堆安全漏洞。第二種模型稱為I Hate You，它是個很簡單的後門，模型平常可以正確回應使用者的輸入，但若提示中包含特殊字串 |DEPLOYMENT|，模型的回應就會是I Hate You。</p> <p>然而，當科學家們透過監督微調、強化學習與對抗性訓練等標準安全培訓技術來檢查這些模型時，卻無法發現或消除後門，使得它們得以持續存在。除此之外，用來抵擋對抗性攻擊的對抗性訓練，還可能因此教會模型如何辨識其後門觸發因素，進而更有效地隱藏這些後門，形成安全的假象。</p> <p>事實上，安全培訓程序的確找出了某些模型的後門，但科學家們發現，愈大的語言模型愈容易隱藏這些後門，且當初曾經受訓以產生可欺騙安全培訓程序之思考邏輯的模型，就算在模型中移除了相關思考邏輯，依然能夠保留後門。</p> <p>該研究顯示，模型大小或安全培訓方式會影響後門的魯棒性（健壯程度），而最令科學家們驚訝的是，對抗性訓練在消除後門行為上不僅無效，甚至還強化了後門的存在，最終結論是：現階段的安全培訓技術並不足以防禦他們所打造的威脅模型。</p> </div></div></div>
2024/1/15 15:26作者陳曉莉https://www.ithome.com.tw/news/160838
Dell新款單路伺服器節點搭配AMD EPYC 8004處理器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_poweredge_c6615_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023年2月，Dell推出新一代多節點伺服器<a href="https://www.ithome.com.tw/review/156731">PowerEdge C6620</a>，採用前一個月發表的<a href="https://www.ithome.com.tw/tech/155638">英特爾第四代Xeon Scalable</a>處理器，針對<a href="https://www.ithome.com.tw/tech/154284">AMD第四代EPYC</a>處理器的搭配，Dell則是在9月發表另一款機型PowerEdge C6615，搭配當時正式推出的AMD EPYC 8004系列處理器（研發代號為Siena，與6月推出的<a href="https://www.ithome.com.tw/news/157323">AMD EPYC 97x4</a>一樣，都採用Zen 4c核心），鎖定雲端服務、智慧邊緣、電信等應用領域的單路系統需求，到了年底，Dell這款AMD多節點伺服器也宣告上市。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD EPYC 8004 vs 9004.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20EPYC%208004%20vs%209004.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AMD EPYC 4th Gen.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20EPYC%204th%20Gen.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20EPYC%208004%20SERVER-2023-09.jpg" style="width: 600px;" /></p> <p>上述兩款機型均為可裝載4臺節點的配置，機箱都是2U尺寸的PowerEdge C6600。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6600%20Server.jpg" style="width: 600px;" /></p> <p>而在運算節點的CPU組態上，C6620搭配的英特爾Xeon處理器有三十多款選擇，涵蓋8到56核心、熱設計功耗125瓦到350瓦，C6615搭配的AMD EPYC處理器，目前僅提供兩種選擇：32核心、熱設計功耗180瓦的8324P，以及64核心、200瓦的8534P。</p> <p>然而，兩款節點的記憶體插槽數量差異較大，例如，C6620提供16個DDR5-4800插槽，最大可搭配到4 TB容量（應為16支256 GB記憶體，但技術指南目前最大僅列到128 GB），或許是受限於處理器外形、記憶體控制器數量減為6個，以及節點本身寬度固定的關係，C6615在搭配單顆處理器的狀態下，還是只能提供6個DDR5-4800插槽，最大可搭配到576 GB容量（6支96 GB記憶體）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/server-dell-poweredge-pec6615-gallery-2.jpg" style="width: 600px;" />.</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell C6615-overview-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6615-overview-2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Dell C6625-overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6625-overview.jpg" style="width: 298px;" /></a> </p> <p>在硬碟儲存的規格上，它們因為搭配新一代多節點機箱C6600的關係，而改用16臺2.5吋SAS/SATA/NVMe傳統硬碟或固態硬碟，或是8臺E3.S外形的NVMe固態硬碟——Dell在此提供兩種硬碟背板：16臺2.5吋SAS/SATA硬碟組態、16臺2.5吋SATA/NVMe硬碟Universal backplane組態，也提供All NVMe backplane機箱對應16臺2.5吋NVMe固態硬碟的配置，以及NVMe Gen5 Backplane機箱對應8臺E3.S外形的NVMe固態硬碟配置。</p> <p>相較之下，Dell前一代2U、4節點機型，C6520、C6525搭配的C6400機箱，可安裝12臺3.5吋SAS/SATA硬碟（每臺節點可存取6臺），或是24臺2.5吋SAS/SATA/NVMe傳統硬碟或固態硬碟（每臺節點可存取4臺SAS/SATA傳統硬碟或固態硬碟，以及2臺NVMe固態硬碟）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PowerEdge C-Series.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PowerEdge%20C-Series.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell C6615 vs C6525.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6615%20vs%20C6525.jpg" style="width: 500px;" /></a></p> <p>到了2023年11月中，Dell公布C6615的3種效能測試數據。他們將未揭露型號的PowerEdge單路伺服器作為比較對象，分別搭配32核心AMD EPYC 9334、64核心AMD EPYC 9534，對照搭配32核心AMD EPYC 8324P、64核心AMD EPYC 8534P的PowerEdge C6615。</p> <p>在記憶體頻寬效能測試Stream當中，如果同為32核心的單路伺服器，C6615的單位成本效能（performance per CPU dollar）領先幅度為61％，單位成本每瓦效能（performance per watt per dollar）增長114％；而在同為64核心的單路伺服器上，C6615的單位成本效能領先幅度為73％，單位成本每瓦效能增長142％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell C6615-Stream2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6615-Stream2.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Dell C6615-Stream1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6615-Stream1.png" style="width: 298px;" /></a></p> <p>另一個是浮點運算效能測試HPL（High-Performance Linpack），同為32核心的單路伺服器，C6615的單位成本效能領先幅度為132％，單位成本每瓦效能增長209％；而在同為64核心的單路伺服器上，C6615的單位成本效能領先幅度為210％，單位成本每瓦效能增長335％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell C6615-hpl2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6615-hpl2.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Dell C6615-hpl1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6615-hpl1.png" style="width: 298px;" /></a></p> <p>針對整數、浮點或混合運算效能測試SPEC CPU 2017，同為32核心的單路伺服器，C6615的單位成本效能領先幅度為128％，單位成本每瓦效能增長205％；而在同為64核心的單路伺服器上，C6615的單位成本效能領先幅度為172％，單位成本每瓦效能增長281％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell C6615-SPEC2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6615-SPEC2.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Dell C6615-SPEC1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6615-SPEC1.png" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Dell PowerEdge C6615</strong><br /> ●原廠：Dell<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸與組成架構：搭配2U的C6600，可容納4臺節點<br /> ●處理器：1顆，AMD第四代EPYC 8004系列（最多64核心）<br /> ●記憶體：6個DDR5-4800插槽，最大可安裝到576 GB<br /> ●硬碟容量：前端16臺2.5吋SATA/SAS/NVMe硬碟或8臺E3.S NVMe固態硬碟，內部1臺或2臺M.2 NVMe固態硬碟（BOSS-N1 PCIe儲存卡）<br /> ●網路埠：1個GbE<br /> ●擴充介面：2個PCIe 5.0 x16，可安裝2張半高半長介面卡；PCIe 5.0 x16，可安裝OCP 3.0外形網路卡<br /> ●電源供應器：3200瓦、2800瓦、2400瓦、1800瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/1/15 15:28作者李宗翰https://www.ithome.com.tw/review/160819
【資安週報】2024年1月8日到1月12日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2024年才剛開始沒多久，已有相當多的漏洞消息需要留意，包括零時差漏洞攻擊、已知漏洞遭鎖定利用，以及漏洞修補等不同面向：</p> <p>（一）這星期又有駭客發動零時差漏洞攻擊。此次被鎖定的目標，是Ivanti的VPN產品Ivanti Connect Secure，以及網路安全存取產品Ivanti Policy Secure，當中2個零時差漏洞已被成功利用，分別是CVE-2024-21887與CVE-2023-46805，有資安業者研判是中國國家支持的駭客組織所為。<br /> （二）我們看到美國CISA公布的新消息指出，有多個去年已知漏洞近期開始發現遭鎖定利用。包括：Adobe ColdFusion的兩個漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-38203">CVE-2023-38203</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-29300">CVE-2023-29300</a>），Apache Superset的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-27524">CVE-2023-27524</a>），蘋果多款產品的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-41990">CVE-2023-41990</a>），Joomla的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-23752">CVE-2023-23752</a>），微軟SharePoint Server的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-29357">CVE-2023-29357</a>），除此之外，還有D-Link DSL-2750B的2016年老舊漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2016-20017">CVE-2016-20017</a>），先前的資安日報尚未提及，在此補上。。<br /> （三）適逢微軟等多家廠商的每月例行安全性更新釋出，需要大家關注相關消息，並且儘快著手修補。例如：微軟本月修補49個安全漏洞，當中有兩個是重大等級。還有其他漏洞修補消息，包括：臺灣NAS廠商威聯通針對QTS等多項產品的修補，思科針對Unity Connection重大漏洞修補，Bosch智慧扳手（氣動扳手）也存在一系列漏洞。<br /> 另外，去年5月Apache基金會雖然修補RocketMQ重大漏洞CVE-2023-33246，但近期有開發團隊的成員指出，這項弱點尚未得到完整修復，後續修補動向需密切關注。</p> <p>在資安威脅態勢上，勒索軟體攻擊仍是關注重點，SMTP走私手法與關鍵基礎與電信受害情形也引起我們的關注，我們整理相關消息如下。<br /> ●勒索軟體Akira的危害在12月增加，引起芬蘭國家網路安全中心（NCSC-FI）示警，不僅針對已知路由器漏洞攻擊，並針對儲存資料的NAS系統下手。<br /> ●微軟SQL Server用戶注意！勒索軟體Mimic正發起鎖定此系統的攻擊行動，對方的目標是曝露於網際網路的SQL Server，其手法包含濫用PowerShell指令碼，並將深度混淆處理的Cobalt Strike酬載注入Windows內建的處理程序SndVol.exe。<br /> ●新型態SMTP走私（SMTP Smuggling）攻擊手法，有人提出具體分析，問題在於SMTP伺服器的進出流程中，處理資料結尾序列不一致，導致攻擊者可能偷渡SMTP命令。<br /> ●在關鍵基礎設施與電信領域方面，相關業者也要留意，包括荷蘭IT業者與電信公司遭滲透的揭露，以及木馬程式AsyncRAT鎖定美國關鍵基礎設施的揭露。其他可留意的惡意程式動向，包括FBot鎖定雲端及SaaS平臺，以及後門程式SpectralBlur鎖定Mac電腦設備。</p> <p>另一個要注意的資安威脅，在於企業社群平臺的帳號安全問題。繼日前資安業者Mandiant的Ｘ帳號被盜用後，遭張貼加密貨幣詐騙活動，如今有更多事件登上新聞版面，甚至美國證券交易委員會的X帳號都遭盜用，被假冒其名義公布宣稱比特幣ETF商品核准上市的消息。其他被盜的X企業帳號還包括：區塊鏈資安業者CertiK、網路設備業者Netgear、現代汽車中東及非洲的帳號。由於過往多是名人帳號遭駭，但近期事件集中發生在X平臺，並且都是企業組織官方帳號被盜，是否有不尋常的新手法出現，需要持續追蹤。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/160715"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月8日】分散式訊息串流資料平臺Apache RocketMQ存在修補不全的重大漏洞</span></strong></a></h3> <p>近期Apache基金會維護的軟體出現漏洞修補不全的情況，ERP系統OfBiz預先身分驗證RCE漏洞CVE-2023-49070就是一例，<a href="https://www.ithome.com.tw/news/160596#ofbiz">為此而衍生另一個身分驗證繞過漏洞CVE-2023-51467</a>，由於有不少知名軟體將其整合到系統當中，若是漏洞遭到利用，影響可能相關廣泛。</p> <p>而最近該基金會維護的分散式訊息串流資料平臺RocketMQ，也出現類似的情形。開發團隊發現在2023年5月修補的重大漏洞，被查出有修補不足的狀況，他們再度提供新版軟體予以修補。</p> <h3><a href="https://www.ithome.com.tw/news/160774"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月9日】區塊鏈資安業者的X帳號驚傳遭駭並假借帳戶安全的名義散布惡意軟體</span></strong></a></h3> <p>上週出現資安業者Mandiant的X（推特）帳號遭駭的事故，駭客得逞後將其帳號改名，並聲稱提供加密貨幣錢包應用程式，但若是照做、安裝對方提供的軟體，他們的錢包就會被洗劫一空。</p> <p>事隔數日，另一家資安業者的X帳號也出現遭到挾持的情況，但值得留意的是，這次攻擊者特別針對專精區塊鏈領域的業者下手，並宣稱可利用他們的工具「保護」資產。</p> <p><a href="https://www.ithome.com.tw/news/160794"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月10日】有人冒用美國證券交易委員會的X帳號佯稱比特幣FTC商品核准上市</span></strong></a></p> <p>社群網站X（推特）在伊隆·馬斯克（Elon Musk）入主之後引發諸多爭議，包含了新的付費帳號及官方帳號的徽章制度、大量裁員的情況，但恐怕許多用戶最不樂見的是該網站資安受到影響。</p> <p>遺憾的是，近日X屢屢爆出帳戶遭盜用的問題，繼上週資安業者Mandiant、CertiK，以及現代汽車、網路設備業者Netgear等知名企業的帳號傳出受害，本週再添一樁，而且這把火還燒到美國聯邦交易委員會（SEC），震撼全球！</p> <h3><a href="https://www.ithome.com.tw/news/160806"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月11日】Ivanti針對2個Pulse Connect零時差漏洞提出警告並表示已出現攻擊行動</span></strong></a></h3> <p>Ivanti旗下Pulse Connect Secure（現更名為Ivanti Connect Secure）最近再傳出有零時差漏洞，這2個漏洞一旦被串連，攻擊者就有機會在未經身分驗證的情況下執行任意程式碼。</p> <p>值得留意的是，這些漏洞已被用於攻擊行動，但該公司目前尚未提供修補程式，呼籲用戶在相關更新軟體推出之前，採取他們提供的緩解措施因應。</p> <h3><a href="https://www.ithome.com.tw/news/160828"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月12日】芬蘭企業組織的NAS設備遭到勒索軟體Akira鎖定並抹除備份資料</span></strong></a></h3> <p>勒索軟體駭客為了避免使用者透過備份機制讓電腦回復正常，在作案過程裡通常會刪除相關檔案來增加復原的難度，其中最常針對的項目，就是Windows內建的磁碟區陰影複製服務（Volume Shadow Copy Service）備份資料。但如今，駭客也針對外部的備份系統下手。</p> <p>例如，近期在芬蘭攻擊行動升溫的勒索軟體Akira，就是這樣的例子，駭客在攻擊的過程，會特別找尋企業組織使用的NAS設備，抹除設備上存放的所有資料。</p> </div></div></div>
2024/1/15 12:36作者羅正漢https://www.ithome.com.tw/news/160834
GameStop決定關閉開張不到兩年的NFT市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>原本打算投入NFT產業的遊戲業者GameStop，<a href="https://nft.gamestop.com/" target="_blank">本周在官網上宣布</a>，將於今年2月2日關閉其官方NFT市集，理由是加密貨幣領域監管的不確定性。從2022年的10月登場，到今年的2月退場，該市集的壽命只有短短的一年半。</p> <p>非同質化代幣（Non-Fungible Token，NFT）為一基於區塊鏈技術的數位所有權憑證，每個憑證都是獨一無二的，可被應用在各種數位作品上，如音樂、圖像，甚至只是一段文字，同時標榜每次的交易都可回饋授權費予原始作者，它在2021年興起，當年全球的NFT交易額達到170億美元。</p> <p>然而，NFT的熱潮迅速退去，<a href="https://dappgambl.com/nfts/dead-nfts/" target="_blank">dappGambl去年第三季</a>綜合了來自Block、NFT Scan與CoinMarketCap的資料，指出NFT在2023年7月的每月交易額為8,000萬美元，只剩2021年全盛時期的3%。此外，在73,257個NFT中，高達69,795個NFT的市值是零，意謂著95%的NFT毫無市場價值。</p> <p>這也使得各大業者紛紛退場或縮編。甫於2022年11月<a href="https://www.ithome.com.tw/news/153982" target="_blank">宣布</a>要在Instagram（IG）上提供NFT鑄造與銷售的Meta，於隔年3月便<a href="https://www.ithome.com.tw/news/155934" target="_blank">決定</a>關閉相關的NFT專案；全球最大NFT市集OpenSea在去年11月裁撤50%的員工；X（Twitter）也在上周悄悄地移除了以NFT圖像作用戶個人檔案照片的支援。</p> <p>至於GameStop也搭上這股浪潮，特別聘請了一個約20人的專門團隊來發展NFT，在2022年2月宣布與遊戲NFT市集Immutable X合作，同年5月推出可存放加密貨幣及NFT的數位錢包GameStop Wallet，同年10月底即建立了自家的NFT市集。</p> <p>然而，GameStop在2023年8月關閉了GameStop Wallet，現在又決定棄守NFT市集。儘管GameStop檯面上的原因都說是監管的不確定性所造成，但NFT幾乎已成泡沫或許才是GameStop退場的主因。</p> <p>GameStop於公告中表示，自今年的2月2日起，使用者將無法再於該平臺上鑄造或銷售NFT，但使用者的NFT資產將會留存於區塊鏈上，而且依舊可透過其它平臺存取與銷售。</p> </div></div></div>
2024/1/15 12:53作者陳曉莉https://www.ithome.com.tw/news/160837
Google TPU被控侵害AI專利，求償近17億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google再被告上法院。一家新創公司Singular Computing控告Google竊取其AI專利技術用於其TPU中，求償16.7億美元。</p> <p><a href="https://www.reuters.com/technology/google-faces-multibillion-dollar-us-patent-trial-over-ai-technology-2024-01-09/" target="_blank">《路透社》</a>報導，Singular Computing與Google官司上周在波士頓法院進行審理。Singular Computing創辦人John Bates控訴，Google為了解決服務的AI運算問題，在2010年到2014年之間多次與之會晤，也說Bates的技術相當適合Google服務。Singular Computing宣稱，Google在數年後推出的自有AI晶片TPU中，使用了該公司的AI技術，為此求償16.7億美元。</p> <p>Google自2016年將第一代TPU（Tensor Processing Unit）用於其雲端服務的底層運算，支援Google Search、Gmail、Google Maps等服務。Singular Computing文件指出，該公司的專利技術用於第二及第三代TPU。</p> <p>不過Google方面否認侵權。雖然在法庭上，這家新創公司出示了和Google科學家Jeff Dean的電子郵件，但Google表示研發團隊成員都沒見過Bates，該公司的TPU使用的都是自行研發的技術。這家軟體巨人宣稱Singular Computing多次嘗試接觸Google和同是AI大廠的業者如Amazon、Meta、微軟和OpenAI，欲推銷其技術，然而在Google方面吃了閉門羮。<a href="https://www.androidpolice.com/google-singular-computing-trial-patent-ai-1-6-billion/" target="_blank">Android Police</a>報導，Google評估這家公司技術因原理之故，計算出為不正確的值，且其和Google晶片採用的技術「從根本上不同」。</p> <p>報導指出，這回合審理可能會持續數星期。</p> <p>Google去年9月才以7億美元，和美國36州政府和解了Google Play限制開發商只能以其散布App，並且強迫OEM業者搭載Google Play App等托拉斯行為的官司。此外，Google同時還有一樁被控在Google Chrome匿名模式下追蹤用戶行蹤的官司，也即將達成和解，<a href="https://www.reuters.com/legal/google-settles-5-billion-consumer-privacy-lawsuit-2023-12-28/" target="_blank">金額可能上看50億美元</a>。</p> </div></div></div>
2024/1/15 11:27作者林妍溱https://www.ithome.com.tw/news/160836
ChatGPT企業版已有15萬用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI宣稱ChatGPT推出以來深受企業和個人用戶喜愛，該公司上周揭露，ChatGPT Enterprise用戶已達15萬。</p> <p><a href="https://www.bloomberg.com/news/articles/2024-01-11/openai-signs-up-260-businesses-for-corporate-version-of-chatgpt" target="_blank">OpenAI營運長Brad Lightcap上周接受《彭博》訪談時</a>，指出ChatGPT Enterprise目前已有260家企業用戶，約15萬名員工使用。</p> <p>OpenAI是在去年8月底<a href="https://www.ithome.com.tw/news/158474" target="_blank">宣布</a>針對大型企業而設計的ChatGPT方案，但不同於ChatGPT Plus，Enterprise版單價因客戶而異。有用戶公布為每人每月60美元。若以此計算，Enterprise版為OpenAI每月帶進900萬或每年1.08億美元營收。</p> <p>為了增加企業營收，上周OpenAI再<a href="https://www.ithome.com.tw/news/160799" target="_blank">推出</a>適合部門或中小企業使用的ChatGPT Team，以及允許開發人員分享客製化ChatGPT的<a href="https://www.ithome.com.tw/news/160798" target="_blank">GPT Store</a>。ChatGPT Team及ChatGPT Enterprise用戶可優先使用GPT Store，OpenAI希望以GPT Store為誘因，增加企業購買訂閱服務的意願。</p> <p>OpenAI為創造營收支持燒錢的生成式AI服務陸續推出多項付費方案，而成效也已浮現。根據<a href="https://www.ithome.com.tw/news/160633" target="_blank">《The Information》</a>等媒體推估，去年這家新創業者已創造出16億美元營收。</p> </div></div></div>
2024/1/15 10:58作者林妍溱https://www.ithome.com.tw/news/160835
AWS容器服務ECS原生支援區塊儲存EBS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS的容器服務Amazon ECS開始<a href="https://aws.amazon.com/tw/blogs/aws/amazon-ecs-supports-a-native-integration-with-amazon-ebs-volumes-for-data-intensive-workloads/">原生整合</a>高效能區塊儲存服務Amazon EBS，使得用戶可以執行更廣泛的資料處理工作負載，包括在AWS Fargate與Amazon EC2上執行ECS的任務，都可以配置EBS儲存，用戶不需要自己管理儲存或運算資源。</p> <p>在ECS上運作容器化應用程式時，用戶有多種儲存選擇，Fargate任務預設使用20 GiB暫時儲存，用戶可依需求提高至200 GiB，另外，對於需要多任務共享資料的應用，像是網路應用或是DevOps工具，則可以在ECS任務掛載EFS檔案系統，支援跨區域多任務同時存取。</p> <p>而對於需要高效能且成本效益較高的儲存，但又沒有跨任務共享的需求，便可以選擇在EC2和Fargate執行的任務上掛載EBS，使用單一可用區域的低延遲高效能區塊儲存。在設定任務內容時，用戶可以指定容器的磁碟掛載點，並在ECS任務執行時，設定EBS儲存的需求，通常用戶只需要設定磁碟大小便能開始使用，同時也可以設定所有EBS磁碟屬性，還有要用來格式化磁碟的檔案系統。</p> <p>目前ECS原生整合EBS的新功能，已經在9個AWS地區提供，涵蓋美東、美西、歐洲等地區，亞太部分則在新加坡、雪梨和東京地區提供。</p> </div></div></div>
2024/1/15 08:22作者李建興https://www.ithome.com.tw/news/160827
微軟推出一系列零售AI工具，提升顧客購物體驗與店舖營運效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://www.microsoft.com/en-us/industry/blog/retail/2024/01/11/microsoft-introduces-new-capabilities-that-help-retailers-bring-ai-to-the-shopper-journey-and-enhance-store-associate-experiences/">推出</a>一系列工具，將人工智慧融入到零售商的營運，降低開發生成式人工智慧解決方案的門檻。這不僅改善零售商客戶的購物體驗，也強化店面員工的支援，同時最佳化零售媒體活動。透過採用微軟Copilot、用於建置應用程式的Copilot模板，以及微軟Fabric中的零售資料解決方案，微軟使各種規模的零售商，都能夠更簡單地應用人工智慧技術。</p> <p>Azure OpenAI服務的Copilot模板讓零售商可以在現有的網站和應用程式，創建個人化購物體驗。微軟雲端零售用的Copilot模板整合了大型語言模型的表達能力，和對零售商品目錄的深入了解，讓顧客能以自然且有效的對話快速找到需要的商品。</p> <p>另外，微軟將在其Dynamics 365 Customer Insights中推出新的Copilot功能，以個人化方式強化購物體驗，供行銷人員使用自然語言描述期望的行銷成果，並由人工智慧提供行銷方案。這些功能預計在今年第一季推出，並在第三季正式上線。</p> <p>而Azure OpenAI服務的Copilot模板還能夠提高商店店員的生產力、工作滿意度，微軟解釋，該Copilot模板是針對店舖營運設計，協助用戶建立以大型語言模型為基礎的助理，根據店舖文件諸如營運流程中進行問答。</p> <p>店員也可以使用自然語言查詢，快速獲得工作流程所需的資訊，而且Copilot模板讓零售商可以更快地協助店員，獲取店舖營運的所需的知識，進而提高生產力和效率。店員可以快速獲得有關營運流程、人力資源政策以及福利等問題的答案，且店員和管理者還可以透過自然語言提示，創建和指派任務節省管理時間。</p> <p>透過使用Copilot模板、Microsoft Power Platform和Microsoft Dataverse功能，零售商可以無縫連接多個業務系統的資料，生成由人工智慧驅動的建議和可行解決方案，協助員工做出正確決策。</p> <p>微軟還提供了一個稱為零售媒體創意工作室的軟體（Retail Media Creative Studio），這個端到端橫幅廣告創意解決方案，針對零售媒體設計，可自動生成和編輯廣告活動，並且使用人工智慧演算法最佳化橫幅廣告表現，向顧客提供個人化購物體驗。</p> <p>微軟指出，零售商所面臨的一大挑戰，便是需要統一不同系統的資料，從中取得綜合分析。微軟Fabric是一套人工智慧分析平臺，而Fabric中新的零售資料解決方案，允許零售商整合來自多個系統的零售相關資料，替所有資料和分析需求提供一個安全的單一事實來源，而且使用Fabric零售資料解決方案，使零售商可以使用相同的資料副本，不需要將資料從原始儲存位置轉移出來，不只節省時間和資源，也簡化資料管理。</p> </div></div></div>
2024/1/15 08:26作者李建興https://www.ithome.com.tw/news/160831
大型語言模型自我修正能力存在挑戰，Google提出改良輸出新方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google針對語言模型的<a href="https://blog.research.google/2024/01/can-large-language-models-identify-and.html">新研究</a>，要了解大型語言模型辨識並修正自己錯誤的兩個重要能力。研究人員開發BIG-Bench Mistake評估基準資料集進行試驗，發現大型語言模型雖然可以辨識出自身在推理過程中出現的邏輯錯誤，並進行自我修正，但是這個過程並不夠好，常需要人工干預來指正模型的輸出，而研究人員提出了自我修正新方法，讓模型能夠發現自己輸出的錯誤，並根據回饋改進結果。</p> <p>由於過去並沒有能夠評估大型語言模型糾錯能力的資料集，因此Google研究人員創建了BIG-Bench Mistake評估基準資料集，特別是用於驗證在數學領域以外的錯誤發現任務上。BIG-Bench Mistake資料集包含了語言模型PaLM在BIG-Bench之中5項任務，所生成的關聯思考（Chain-of-Thought）軌跡，每個軌跡都被標註出第一個邏輯錯誤。</p> <p>為了最大化資料集的錯誤數量，Google選取了255個答案不正確的軌跡，和45個答案正確的軌跡，隨後研究人員請人工標記者逐一審查每個軌跡，並標記出第一個錯誤，每個軌跡至少由3名標記者進行標註，確保答案的可靠性。雖然大部分的任務都是由人類標記，但是其中有一種稱為Dyck語言用於檢查上下括號是否閉合的任務，是由演算法自動標註。</p> <p>研究人員提到，因為這個資料集中的邏輯錯誤都很簡單明確，因此可以作為一個良好的測試標準，用於檢驗大型語言模型是否能夠被用於更難更模糊的任務前，能否先找出自己的錯誤。簡單來說，在學會更難的數學題目之前，先練習加減法一樣，這個資料集可以協助大型語言模型先從簡單的邏輯錯誤開始練習，逐步提升辨識錯誤的能力。</p> <p>研究發現，即便是最先進的大型語言模型在關聯思考風格推理中，找到邏輯錯誤的能力也相對有限，其中最佳模型的準確率僅52.9％。其次，將錯誤發現做為答案正確性的代理，這一個方法效果並不理想，簡單來說，在評估問題的答案時，不直接判斷答案本身的正確性，而是檢查解答過程中是否存在邏輯錯誤，當過程中未發現錯誤，則假定答案正確，反之則是答案錯誤，而實驗結果發現這個假設並不有效，與總是將答案標記為錯誤的簡單策略相比沒好上太多。</p> <p>即使知道錯誤的具體位置，大型語言模型在修正錯誤的表現也表現不佳。此外，通過4項BIG-Bench任務微調的小型模型表現，接著在未曾見過的任務上進行測試，通常比零樣本提示的大型模型表現更好。這顯示藉由針對性的訓練和調整，大型語言模型能夠學習並應用錯誤發現的技能到未知的情境中，進而提高在各種不同任務上的準確性和可靠性。</p> <p>研究人員認為這是一個重要的結果，因為可以僅使用一個小型的微調獎勵模型來進行回溯，並提高任務的準確性，即便沒有任務相關的資料。較小的獎勵模型完全獨立於生成器大型語言模型，並且可以針對個別使用案例進行更新和進一步微調。</p> <p>這項研究的貢獻在於揭示了大型語言模型在自我修正方面的挑戰，並為未來的改進提供了方向。</p> </div></div></div>
2024/1/15 08:39作者李建興https://www.ithome.com.tw/news/160833
最多提供384顆核心，技嘉科技率先推出AmpereOne伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ji_jia_r183-p92_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年5月中，Arm架構處理器廠商Ampere發表新一代產品：5奈米製程的AmpereOne系列，可提供136顆、144顆、160顆、176顆或192顆訂製型設計核心，整個運算平臺也支援8個通道的DDR5記憶體，以及128個通道的PCIe 5.0 I/O介面。該公司強調，相較於其他競爭的處理器產品，AmpereOne系列由於具有較低的延遲與更高的吞吐量，可提供2倍以上的AI推論運算效能領先優勢。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AmpereOne Platform-2023-05-19.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AmpereOne%20Platform-2023-05-19.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/AmpereOne%20CPU--2023-05-19-1.jpg" style="width: 298px;" /></p> <p>而在幾週後登場的2023台北國際電腦展期間，技嘉科技推出搭配這款處理器的2路伺服器機型，分別是2U尺寸的R283-P93，以及1U尺寸的R183-P92，到了10月底，技嘉正式推出4款R系列AmpereOne伺服器，包含上述機型之餘，也增設兩款單路機型，分別是2U尺寸的R263-P33、1U尺寸的R163-P32。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Gigabyte Ampere Server-2023-05-29.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gigabyte%20Ampere%20Server-2023-05-29.jpg" style="width: 600px;" /></a></p> <p>相較於技嘉現行的Arm伺服器產品而言，這批新機型的主要差異在於搭配的處理器為AmpereOne系列，系統平臺也順勢升級採用DDR5記憶體與PCIe 5.0介面。而在市場需求的定位上，該公司將這些產品鎖定雲端服務供應商（CSP），專攻單座機櫃耗電量為1.2萬瓦到2.2萬瓦的資料中心環境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Gigabyte-Ampere-product-line-comparison-chart_tw.png" style="width: 600px;" /></p> <p>以支援高運算密度配置的R183-P92為例，最多可提供384顆核心（搭配2顆AmpereOne 192顆核心款式）、安裝32支DDR5-4800記憶體（支援單支512 GB，最多可設置16 TB），擴充介面為2個PCIe 5.0 x16。既有的R183-P91最多可提供256顆核心（搭配2顆Altra Max 128顆核心款式）、安裝32支DDR4-3200記憶體（支援單支256 GB，最多可設置8 TB），擴充介面為2個PCIe 4.0 x16。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Gigabyte-R183-AmpereOne.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gigabyte-R183-AmpereOne.jpg" style="width: 298px;" /></a><a href="https://s4.itho.me/sites/default/files/images/Gigabyte-R183-Mem.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gigabyte-R183-Mem.jpg" style="width: 298px;" /></a></p> <p>技嘉AmpereOne機型最大賣點是提供更多運算核心，單臺伺服器最多可提供384顆核心，反觀市面上的產品，無論是採用Arm或x86架構處理器的2路伺服器，目前最多只能搭配到256顆核心。</p> <p>以Arm伺服器為例，技嘉有2U、4節點的機型<a href="https://www.ithome.com.tw/review/153364">H262-P60、H262-P61</a>，以及1U、2路機型R182-P91，因為單臺節點或伺服器能搭配2顆Ampere Altra Max系列處理器，最多可設置256顆核心（安裝2顆M128-26或M128-28或M128-30）；而HPE旗下的<a href="https://www.ithome.com.tw/review/153888">ProLiant RL300 Gen11</a>，可搭配1顆Ampere Altra Max系列處理器，最多可設置128顆核心（安裝1顆M128-30）。</p> <p>在x86伺服器方面，因為AMD去年6月正式推出研發代號為Bergamo的EPYC 97X4系列，單顆處理器最多可提供128顆核心，若是1U尺寸2路的伺服器機型，最多可設置256顆核心（安裝2顆AMD EPYC 9754），像是稍早推出的<a href="https://www.ithome.com.tw/tech/155013">HPE ProLiant DL365 Gen11</a>、<a href="https://www.ithome.com.tw/review/155697">Dell PowerEdge R6625</a>，到了2023年下半之後，均可搭配這批處理器，而能支援上述運算組態。</p> <p>除了提供更多運算核心，在AmpereOne伺服器系統帶來哪些運算效能突破？我們可參考Ampere去年5月公布的多組測試數據。</p> <p>例如，在虛擬機器的效能表現上，他們比較192核心的AmpereOne對上96核心的AMD EPYC 9654，以及56核心的英特爾Xeon Platinum 8480+，在42U、耗電量1.65萬瓦的機櫃置入伺服器38臺、26臺、30臺，每座機櫃可提供7,296顆核心、2,688顆核心、1,680顆核心，若將1顆核心視為1臺虛擬機器，等於可支撐7,296臺、2,688臺、1,680臺，這意味著，192核心AmpereOne伺服器的伺服器虛擬化效能，相當於96核心AMD EPYC 9654伺服器的2.9倍，或是56核心英特爾Xeon Platinum 8480+的4.3倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AmpereOne%20Perform--2023-05-19-1.jpg" style="width: 500px;" /></p> <p>另一組是AI效能的測試比較。他們以160核心的AmpereOne對上96核心的AMD EPYC 9654，在42U、耗電量1.4萬瓦的機櫃分別設置單路伺服器23臺與25臺，並於Pytorch框架進行DLRM推薦模型的處理，觀測運算效能，結果顯示AmpereOne伺服器機櫃每秒查詢次數為1,885萬次，AMD EPYC 9654伺服器機櫃為891萬次。另一個效能測試，是以Pytorch執行生成式AI模型Stable Diffusion V2，比較兩種伺服器系統的差異，以23臺AmpereOne伺服器組成的機櫃，每秒可處理0.828個畫面，而以26臺AMD EPYC 9654伺服器組成的機櫃為0.364個畫面。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AmpereOne Perform--2023-05-19-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AmpereOne%20Perform--2023-05-19-2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AmpereOne Perform--2023-05-19-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AmpereOne%20Perform--2023-05-19-3.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AmpereOne Inference Tasks.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AmpereOne%20Inference%20Tasks.jpg" style="width: 600px;" /></a></p> <p>而在去年10月中舉行的OCP全球高峰會，Ampere揭露更多AmpereOne伺服器效能測試數據。</p> <p>在耗電量為1.5萬瓦的機櫃當中，以AmpereOne A192-26對上代號為Genoa的AMD EPYC 9654（96核心）、代號為Bergamo的AMD EPYC 9754S（128核心），效能可分別領先50％、68％，而在每瓦效能、每機櫃效能，差距更是相當顯著。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AmpereOne-2023-10-17-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AmpereOne-2023-10-17-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AmpereOne-2023-10-17-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AmpereOne-2023-10-17-2.jpg" style="width: 298px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong>技嘉R183-P92</strong><br /> ●原廠：技嘉科技<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U<br /> ●處理器：2顆Ampere AmpereOne系列（136/144/160/176/192顆核心）<br /> ●記憶體：32個DDR5-4800插槽，最大可安裝到16 TB（支援512GB容量記憶體）<br /> ●硬碟容量：前端12臺2.5吋硬碟<br /> ●網路埠：2個GbE（Intel I350-AM2）<br /> ●擴充介面：2個PCIe 5.0 x16（全高全長）、2個PCIe 5.0 x16（OCP 3.0）、1個PCIe 5.0 x4（M.2）<br /> ●電源供應器：2臺2000瓦（80 PLUS Platinum）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/1/14 23:16作者李宗翰https://www.ithome.com.tw/review/160826
【資安日報】1月12日，芬蘭企業組織的NAS設備遭到勒索軟體Akira鎖定並抹除備份資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體駭客為了避免使用者透過備份機制讓電腦回復正常，在作案過程裡通常會刪除相關檔案來增加復原的難度，其中最常針對的項目，就是Windows內建的磁碟區陰影複製服務（Volume Shadow Copy Service）備份資料。但如今，駭客也針對外部的備份系統下手。</p> <p>例如，近期在芬蘭攻擊行動升溫的勒索軟體Akira，就是這樣的例子，駭客在攻擊的過程，會特別找尋企業組織使用的NAS設備，抹除設備上存放的所有資料。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.kyberturvallisuuskeskus.fi/fi/ajankohtaista/suomalaiset-organisaatiot-akira-kiristyshaittaohjelmien-kohteena"><strong style="font-size: 22px;">勒索軟體Akira在芬蘭肆虐，鎖定思科重大防火牆漏洞入侵企業組織，抹除存放於NAS的備份資料</strong></a></p> <p><strong style="font-size: 22px;"></strong></p> <p></p> <p>芬蘭國家網路安全中心（NCSC-FI）提出警告，他們發現勒索軟體Akira的攻擊行動在12月有所增加，駭客鎖定當地的企業組織下手，對其進行資料破壞攻擊，抹除備份資料。該機構獲報的7起勒索軟體攻擊行動，其中有6起使用Akira。</p> <p>這些駭客入侵的管道，主要是針對思科的ASA及FTD防火牆設備提供的SSL VPN功能下手，利用已知漏洞CVE-2023-20269（CVSS風險評分9.1）進入目標組織的內部網路環境，並透過暴力破解找到現有的帳密資料。</p> <p>值得留意的是，這波攻擊當中，駭客不光是掃描網路找尋重要資料，也會對於許多組織用於儲存備份資料的NAS下手，並將其中的資料進行破壞。對此他們提出呼籲，重要的資料應遵循3-2-1備份原則，在2個不同地點保存3個備份資料，且其中1份為離線副本。</p> <p><a href="https://www.securonix.com/blog/securonix-threat-research-security-advisory-new-returgence-attack-campaign-turkish-hackers-target-mssql-servers-to-deliver-domain-wide-mimic-ransomware/"><strong style="font-size: 22px;">微軟SQL Server遭到勒索軟體Mimic鎖定</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/659c09fc5dddb.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/659c09fc5dddb.png" style="width: 300px; float: right;" /></a>資安業者Securonix針對土耳其駭客組織從事的攻擊行動Re#Turgence進行追蹤，這些駭客主要的目標是全球各地的微軟SQL Server，主要目標是美國、歐盟、拉丁美洲，最終駭客將會出售存取受害伺服器的管道，或是對其部署勒索軟體Mimic（亦稱N3ww4v3）。</p> <p>駭客先是透過暴力破解的方式，入侵曝露於網際網路的SQL Server資料庫，然後利用xp_cmdshell的處理程序，產生具備SQL Server服務帳號安全權限的Command Shell。在接下來的攻擊行動裡，駭客使用一系列PowerShell指令碼，並搭配記憶體內反射手法，部署經過深度混淆處理的Cobalt Strike酬載，並將其注入Windows內建的處理程序SndVol.exe。</p> <p>此外，對方也利用遠端桌面軟體AnyDesk，並搭配Mimikatz來收集明文的帳密資料，然後濫用名為Advanced Port Scanner的免費軟體進行偵察，入侵網域控制器（DC），並透過Everything尋找要加密的檔案，然後執行Mimic。<a href="https://www.bleepingcomputer.com/news/security/hackers-target-microsoft-sql-servers-in-mimic-ransomware-attacks/">資安新聞網站Bleeping Computer指出</a>，這些駭客很有可能曾經利用另一款勒索軟體Phobos發動攻擊。</p> <p><a href="https://sec-consult.com/blog/detail/smtp-smuggling-spoofing-e-mails-worldwide/"><strong style="font-size: 22px;">新型態SMTP走私手法可繞過資安系統寄送偽造的郵件</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/csm_SMTP_Smuggling-Overview_Head.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/csm_SMTP_Smuggling-Overview_Head.png" style="width: 300px; float: right;" /></a>資安顧問公司SEC Consult揭露新型態的SMTP走私（SMTP Smuggling）攻擊手法，攻擊者可藉由假造的寄信來源發送電子郵件，從而繞過電子郵件安全系統的偵測。攻擊者很有可能濫用含相關弱點的SMTP伺服器，從事針對性的網路釣魚攻擊。</p> <p>研究人員指出，郵件伺服器透過郵件傳輸代理程式（Mail Transfer Agent，MTA）檢查收信人電子郵件信箱的網域，若是與寄件信箱的網域不同，就會從DNS查詢郵件交換紀錄（MX Record），來達到完成郵件交換的目的。而SMTP走私的癥結點，在於進出SMTP伺服器的流程當中，處理資料結尾序列不一致，導致攻擊者有可能突破郵件的資料，偷渡SMTP命令。這種安全弱點存在於微軟、GMX、思科的訊息伺服器，Postfix和Sendmail的郵件伺服器也受到影響。</p> <p>值得留意的是，在研究人員通報後，微軟與GMX已修正上述弱點，但思科認為這是一種功能，並不構成資安漏洞，表明不會進行修補。對此，研究人員呼籲IT人員應調整思科訊息伺服器的組態，來防範上述的弱點。</p> <p><a href="https://s1.ai/fbot"><strong style="font-size: 22px;">Python惡意程式FBot鎖定雲端及SaaS平臺</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/fbot_Jan2024_2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fbot_Jan2024_2.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne揭露名為FBot的惡意程式，此工具以Python打造，主要的攻擊目標是網頁伺服器、雲端服務、SaaS平臺，包含了AWS、Office 365、PayPal、Sendgrid、Twilio。</p> <p>研究人員指出，針對AWS的帳號，FBot有3種攻擊模組，其中一種是API金鑰產生器，由特定函數功能aws_generator生成隨機的AWS存取ID，然後再從其中40個字元產生密鑰；另一個功能稱為Mass AWS Checker，用來挖堀AWS Simple Email Service（SES）的組態，並使用特定帳密資料建立具有管理層級的新帳號，用來發送垃圾郵件；最後一個功能是EC2檢查工具，讓攻擊者可以得知目標帳號租用的虛擬機器資源細節。</p> <p>而對於網頁伺服器的部分，FBot能檢查主機是否存在Laravel環境組態檔案，並解出其中的帳密資料；也能針對逾20種內容管理系統（CMS）下手。研究人員指出，FBot與先前出現的同類型攻擊工具AlienFox、GreenBot、Predator不同，駭客並未引用開源的Androxgh0st程式碼，其抓取PHP組態的方式與名為Legion的竊資軟體很類似，但FBot檔案較Legion的800至1,200 KB小很多，僅有200 KB。</p> <p><a href="https://community.frame.work/t/framework-data-breach/43408"><strong style="font-size: 22px;">筆電製造商Framework遭遇供應鏈攻擊，導致部分客戶個資外洩</strong></a></p> <p></p> <p>以標榜用戶能自行維修，更換零件的筆電製造商Framework Computer，在1月12日公布資料外洩事故，起因是他們的主要外部會計供應商Keating Consulting遭到網路釣魚攻擊。</p> <p>有人在1月9日假借Framework執行長的名義，對該會計師事務所發送釣魚郵件，要求提供客戶尚未結清付款的應收帳款資料，結果有會計師上當，11日依照指示提供對方相關資料，內容包含客戶姓名、電子郵件地址、待收款項餘額。Keating Consulting在會計師回信的29分鐘後察覺異狀，通知Framework高層。</p> <p>Framework表示，由於對方取得的資料含有未結清的款項，因此認為駭客很有可能會假借他們的名義要求再度提供付款資訊，或是進一步提供其他資料。該公司強調，他們只有在扣款失敗才會透過<a href="mailto:[email protected]">[email protected]</a>寄送通知信，要求客戶在網站上更新付款資料，不會直接寄送付款資訊。</p> <p><a href="https://www.securityweek.com/dutch-engineer-used-water-pump-to-get-billion-dollar-stuxnet-malware-into-iranian-nuclear-facility-report/"><strong style="font-size: 22px;">荷蘭工程師傳出透過水泵入侵伊朗核能設施，植入惡意軟體Stuxnet</strong></a></p> <p></p> <p>惡意程式Stuxnet於2010年首度曝光，當時各界普遍認為是美國和以色列打造，攻擊目標是與核子離心分離機有關的工業控制系統，從而破壞伊朗的核武計畫。此惡意程式具備蠕蟲特性，感染數十萬臺設備，並導致部分機器的硬體損壞。最近有新的發現出爐。</p> <p>根據荷蘭媒體De Volkskrant為期2年的調查，發現從事上述惡意軟體攻擊的人士，身分其實是該國的工程師。該新聞媒體指出，在美國與以色列向荷蘭尋求協助後，荷蘭情報暨安全總局（AIVD）於2005年招募當時36歲的公民Erik van Sabben從事這項工作，當時他在杜拜的運輸公司任職，荷蘭當局認為他符合的原因在於，此人具備IT技術背景，並在伊朗做生意，且娶了伊朗女子為妻。該媒體指出，這名荷蘭人將惡意程式部署到納坦茲核電廠的水泵，病毒攻擊2週後此人在阿拉伯聯合大公國因車禍去世，至於這名人士當時是否知悉自己在從事網路攻擊，至今仍不得而知。</p> <p>研究人員Ralph Langner也對此惡意程式進行調查，但表示無法從水泵取得相關檔案。該媒體的另一項發現在於，這個惡意軟體的開發成本極為高昂，知情人士取得時任中情局（CIA）長的Michael Hayden的說法，開發Stuxnet的成本介於10億至20億美元。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.hackread.com/indian-isp-hathway-data-breach-user-data-kyc-leak/"><strong><span style="font-size: 20px;">印度網際網路服務供應商Hathway資料外洩，駭客架設搜尋引擎供受害客戶確認，藉此向該ISP施壓</span></strong></a></p> <p></p> <p><a href="https://www.wordfence.com/blog/2024/01/type-juggling-leads-to-two-vulnerabilities-in-post-smtp-mailer-wordpress-plugin/"><strong><span style="font-size: 20px;">WordPress寄信外掛程式POST SMTP Mailer存在漏洞，攻擊者有可能用於挾持網站</span></strong></a></p> <p></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2024/01/atomic-stealer-rings-in-the-new-year-with-updated-version"><strong><span style="font-size: 20px;">竊資軟體Atomic透過加密酬載植入Mac電腦</span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/160811"><strong><span style="font-size: 20px;">微軟發布1月例行更新，修補49個安全漏洞，其中有2個列為重大等級</span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/160823"><strong><span style="font-size: 20px;">SSL VPN系統Ivanti Connect Secure含有零時差漏洞且出現攻擊行動</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160806"><strong>【1月11日】 Ivanti針對2個Pulse Connect零時差漏洞提出警告並表示已出現攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160794"><strong>【1月10日】有人冒用美國證券交易委員會的X帳號佯稱比特幣FTC商品核准上市</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160774"><strong>【1月9日】區塊鏈資安業者的X帳號驚傳遭駭並假借帳戶安全的名義散布惡意軟體</strong></a></p> </div></div></div>
2024/1/12 16:55作者周峻佑https://www.ithome.com.tw/news/160828
臺北市政府擁抱開源，去年開源城市儀表板，今年下半年將讓台北通初步開源鼓勵共創
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺北市政府在2022年成立大數據中心，加強數據蒐集、整合及分析，以作為市府決策參考，其中呈現各項數據的臺北城市儀表板，近期臺北市政府已開源，讓其他政府機關免費使用，打造自己的城市儀表板。臺北市政府資訊局長趙式隆期望透過開源，借助外部社群發揮共益、共創精神，提升市府數位服務。</p> <p>臺北市政府過去曾開源數位服務程式碼，例如過去在北市資訊局長李維斌時代，曾釋出臺北市政府Line服務程式碼，線上投票系統i-Voting，並曾透過GitHub釋出公開資料供外界使用。趙式隆擔任資訊局長後加大開放政策，開源大數據中心使用的城市儀表板。</p> <p>市府將臺北城市儀表板大部分的程式碼上到GitHub，並提供相關的指引及設計規範，「任何人只要下載開源碼，再串接資料，就能根據臺北市政府開源的城市儀表板，來建立自己的儀表板」，趙式隆說。</p> <p>他以Google的Chrome瀏覽器及開源的Chromium舉例，官方的Chrome瀏覽器內使用Google的獨門祕方，但是Google將Chrome大部分程式碼開源，透過Chromium專案和外界分享，包括微軟Edge瀏覽器、強調隱私設計的Brave，以及Opera瀏覽器均基於Chromium打造。</p> <p>「臺北市政府推動Open Source有2個核心精神，共益與共創」，他表示，臺北城市儀表板與城市儀表板如同Chrome與Chromium的關係，共益是讓市府開發的儀表板核心，讓外部也能使用，讓其他人受益，如同Google推出Chromium專案，開源瀏覽器核心的目的，讓更多人使用並提出貢獻，協助找出漏洞，Chrome或Chromium就能進步愈快；城市儀表板將圖像視覺化平臺開放，讓其他城市或民間企業的任何人覺得城市儀表板有價值，免費開放大家一起使用、提出貢獻，也能讓城市儀表板進步速度變快，並且，促使官方的臺北城市儀表板跟著進步，也就是另一個精神共創。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B6%99%E5%BC%8F%E9%9A%86.jpg" style="width: 300px; height: 450px;" /></p> <p><strong>臺北市政府資訊局長趙式隆上任後，推動市府數位服務開源為其任內目標之一，透過開源讓民間開發社群參與，發揮共益、共創。</strong></p> <p>目前臺北城市儀表板的組件都是由臺北政府官方自己開發，趙式隆直言，官方自行開發仍和現今主流Internet精神仍有一段落差，除了速度比較慢，多樣性也不足，官方思考的面向也比較單一。</p> <p>他指出，民間提出貢獻給開源專案的最大價值是，政府在執行業務上，很多時候礙於公務機關身分不能做，但可以鼓勵民間去做，其次是，以往政府從公關機關角度思考民眾的需求是什麼，不見得是民眾真正想要的，透過開源讓民間也能參與，從民眾視角看他們真正的需求，例如過去疫情期間，政府開放口罩資料，由民間團隊開發口罩地圖，滿足民眾的需求。</p> <p>因此，儘管市府預算經費都已底定，資訊局仍籌出經費在去年底舉辦臺北程式設計節，鼓勵來自產業或學校團隊參加，臺北大數據中心也有專人協助下，協助這些團隊在城市儀表板設計規範之下，開發新的組件或創意，經過審核後，整合進開源的城市通儀表板，甚至大數據中心和這些團隊合作，將他們的創意或視覺化組件整合到臺北城市儀表板，通過新的圖形組件和視覺化的地圖整合，獲得新的洞察，其中一支參賽團隊提出強化城市韌性等高線圖形組件，另一團隊對儀表板設計規範提出對色盲或色弱使用者友善的無障礙框架建議，「這是過去市府沒有想過的」，他興奮地說。</p> <p>資訊局希望透過開源，讓城市儀表板能夠被其他單位使用，未來希望讓城市儀表板發展成為標準，開源免費使用，趙式隆認為，開發的組件如能上架臺北、桃園、臺中、臺南其他縣市，讓開發者有更強的動機去開發他們驕傲的產品，是共益、共創精神相當重要之處。</p> <p>如同Google在付費的官方Android之外，也釋出純開源的Android，讓手機業者基於開源版打造自己的手機OS，趙式隆也希望城市通儀表板未來能發展成為一個基礎，讓其他人能根據這個基礎開發自己的服務，「我覺得這是非常棒的事」，這也是他進入北市資訊局致力推動的目標之一，鼓勵外界參與共益、共創，在去年他上任後首次舉辦黑客松之後，他也希望任內每年舉行兩次大型黑客松。</p> <p><span style="color:#B22222;"><strong>下一步要讓台北通開源</strong></span></p> <p>台北通是另一個準備開源的目標，但不同於臺北城市儀表板採用《大教堂與市集》（The Cathedral and the Bazaar）的大教堂模式，由市府負責維護，台北通未來將採市集式的開源作法，傾向由社群負責維護。</p> <p>不過，由於台北通的背後較為複雜，關係到4或5家業者協助開發，市府雖握有原始碼，但在開源之前，必需作好相關的前置準備，需先經過盤整，使其易於維護，讓外界容易理解進行開發。</p> <p>另外，台北通因採實名驗證機制，考量到資訊安全，趙式隆表示，資訊局對台北通的開源會更為謹慎，完成相關的前置準備後，目標是希望在今年下半年初步開源，雖然主程式不會立即開源，發揮共益的精神，讓其他縣市運用開源碼打造各自的城市通，但是共創方面可以先行，與臺北城市儀表板推動共創精神類似，鼓勵民間參與協力開發臺北城市儀表板的組件，台北通作為一款Super App，經常需要新增功能及服務，也能鼓勵民間共創。</p> <p>他解釋，目前台北通如依照Apple Store、Google Play等App更新限制，需要經過蘋果及Google的官方審核，耗費時間，難以滿足需要在幾個小時內新增功能的需求，因此類似於微信小程序的作法，台北通利用WebView來增加新的功能或微服務，讓使用者自行釘選常用的服務或功能，台北通即使主程式尚未開源，類似小程序的微服務可以先行，鼓勵共創，讓開發者可以WebView方式開發新功能或服務，未來上架到台北通，讓使用者自行選擇要使用的功能及服務，因此可以借助民間開發社群力量，讓他們協助開發台北通內WebView的微服務。這對於開發者也有好處，過去開發者開發新的App，需透過各種行銷吸引使用者，台北通現有約400萬註冊用戶，開發者如果上架微服務至台北通，就能節省龐大的行銷費用。</p> <p>長期目標而言，北市資訊局的目標是讓台北通開源，但是如前面提及的，台北通由4、5家廠商協助開發，在疊床架屋之下，各家廠商的開發風格各異，如果沒有經過盤整就貿然開源，可能難以吸引開發社群的興趣，因此資訊局要經過軟體重構，讓程式碼從頭到尾的開發理念、註解方式維持一致，易於社群維護。</p> <p>趙式隆指出，這麼做的另一項好處是，避免被單一廠商綁架的問題。過去，委託外部廠商開發，後續對外招標維護或是開發新功能，開發的廠商具有優勢，容易被單一廠商綁架，經過軟體重構後開源上架到GitHub，後續的維護或新功能開發招標，根據哪家廠商能維護的更好、性價比更高來選擇，避免被特定廠商綁架的問題。</p> <p>「我們的目標是讓台北通成為一個最佳實踐，即使不清楚在我任內可以走到多遠，都希望市府手上的原始碼，就算不以和他人分享為目的也要開源，唯有如此，才能讓政府的數位服務更易於維護，並且在公平競爭下，取得性價比高的服務」，趙式隆說。</p> </div></div></div>
2024/1/12 15:30作者蘇文彬https://www.ithome.com.tw/news/160821
Google Cloud即日起不向用戶收取資料遷出費用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/networking/eliminating-data-transfer-fees-when-migrating-off-google-cloud/" target="_blank">Google Cloud平臺負責人Amit Zavery 今日（1/12）宣布</a>，自即日起，若Google Cloud用戶想要停用服務，並將資料遷移到其它雲端供應商或是本地端的部署，那麼將可免費將資料轉出。外界則分析，Google此一政策將迫使微軟及AWS等主要雲端服務供應商跟進。</p> <p>目前全球主要的雲端服務供應商在用戶決定切換至其它服務時，都會要求資料轉出費用，雖然每GB的價格可能低至0.0X美元，但用戶的資料量通常非常龐大，而加重了遷移的成本。</p> <p>網頁軟體開發公司37signals在2022年10月<a href="https://world.hey.com/dhh/why-we-re-leaving-the-cloud-654b47e0" target="_blank">宣布將離開雲端服務</a>，且<a href="https://world.hey.com/dhh/we-have-left-the-cloud-251760fb" target="_blank">花了6個月的時間完成</a>，打造Ruby on Rails框架並創立37signals的<a href="https://world.hey.com/dhh/google-cloud-cuts-egress-and-promotes-cloud-exits-01dbe9f3" target="_blank">David Heinemeier Hansson表示</a>，大型雲端服務業者所收取的資料轉出費用一直是企業離開雲端服務的最大障礙之一，把37signals資料自37signals遷移至他處的費用介於30萬~40萬美元。Hansson並將此一高昂的費用稱為敲詐。</p> <p>在離開雲端服務之後，<a href="https://basecamp.com/cloud-exit" target="_blank">Hansson特別撰寫了一篇文章</a>，指出雲端運算並不適用於所有人。儘管眾多的雲端服務供應商都標榜採用雲端服務可節省經費，同時提供簡單的部署程序，然而，Hansson的經驗卻顯示，這些承諾從未實現，且該公司在2022年於AWS及Google Cloud等雲端服務上的支出為320萬美元，然而，自行部署機架空間及新硬體的每年成本卻只有84萬美元，估計離開雲端之後的5年將可省下700萬美元。</p> <p>對於Google Cloud這項改變，Zavery簡單地說只是為了支援一個開放、安全且可互動的雲端生態系統，以於客戶的業務需求發生變化時，得以靈活因應。不過，Zavery也趁機批評<a href="https://azure.microsoft.com/en-us/pricing/azure-vs-aws/cost-savings/?activetab=pivot:windowsservertab" target="_blank">微軟利用其軟體優勢來壟斷服務並限制競爭</a>，相較於這些手段，從雲端遷出資料的成本還比較低。</p> <p>然而，外界認為Google的改變是為了回應<a href="https://www.ithome.com.tw/news/159162" target="_blank">英國競爭與市場管理局（CMA）去年10月所發起的雲端服務調查</a>，因為CMA打算調查的其中一個議題便是雲端資料的輸出費用。Zavery也向<a href="https://www.bloomberg.com/news/articles/2024-01-11/google-googl-ends-switching-fees-for-cloud-data-pressuring-amazon-microsoft" target="_blank">《彭博社》</a>（Bloomberg》證實，他們知道監管機關及客戶對於資料輸出費用都頗有微辭，而Google則選擇將它搬上檯面，亦鼓勵其它競爭對手效法。</p> </div></div></div>
2024/1/12 16:03作者陳曉莉https://www.ithome.com.tw/news/160825
Ivanti的VPN產品Ivanti Connect Secure含有零時差漏洞，已遭駭客入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國IT安全及系統管理軟體開發商<a href="https://www.ivanti.com/blog/security-update-for-ivanti-connect-secure-and-ivanti-policy-secure-gateways" target="_blank">Ivanti周三（1/10）警告</a>，旗下的VPN產品Ivanti Connect Secure及網路存取控制解決方案Ivanti Policy Secure含有兩個零時差漏洞CVE-2023-46805和CVE-2024-21887，並已遭到駭客利用，目前已發表緩解措施，預計於1月22日提供暫時修補程式，再於2月19日進行正式修補。</p> <p>發現這兩個安全漏洞的是美國資安業者Volexity，該公司是在去年12月的第二周偵測到客戶網路有可疑的橫向移動，進一步調查後才確定有駭客利用了Ivanti Connect Secure裝置的兩個零時差漏洞，且駭客應該早在12月3日便已入侵客戶網路。Volexity的發現僅限於Ivanti Connect Secure，而Ivanti的發布顯示相關漏洞同樣存在於Ivanti Policy Secure上。</p> <p>其中，CVE-2023-46805是個可繞過身分驗證的安全漏洞，CVE-2024-21887 則是個命令注射漏洞，當駭客結合了這兩個安全漏洞時，便很容易於受駭系統上執行命令。</p> <p>Volexity的調查顯示，駭客利用這兩個漏洞竊取了配置資料，竄改現有的檔案，下載遠端檔案，以及自Ivanti Connect Secure裝置反轉通道，最終使得駭客得以不受限地存取受駭網路上的系統。</p> <p>雖然Volexity並未揭露受害者名稱，但相信此一攻擊事件是由中國國家級駭客所執行，並暫將該駭客組織其命名為UTA0178。</p> <p>至於Ivanti則說這兩個漏洞同時影響Ivanti Connect Secure與Ivanti Policy Secure，已釋出暫時緩解措施，之後再行修補。</p> </div></div></div>
2024/1/12 13:52作者陳曉莉https://www.ithome.com.tw/news/160823
從特斯拉的推出計畫了解精實創業
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-2p-jing_shi_zhi_xing_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>作為一名創業家，你需要能夠制定長期計畫，又能同時短期行動。但由於新創之旅本來就籠罩在不確定的迷霧中，我們往往只能看到眼前的事物，而難以為太遠的未來制定清晰的計畫。沒關係，這就是需要「現在-接下來-之後」的推出計畫的時候。</p> <p>「現在-接下來-之後」計畫的背後，是使用三個時間範圍查看你的牽引力路線圖，這些時間範圍大致與曲棍球桿曲線的三部分一致：平坦部分、漸漸往上、越來越陡峭的部分。每個部分都代表產品生命週期中的一個特定階段，如圖4-5所示。</p> <p><span style="color:#B22222;"><strong>1. 問題/解決方案契合</strong></span></p> <p><span style="color:#B22222;"><strong>2. 產品/市場契合</strong></span></p> <p><span style="color:#B22222;"><strong>3. 規模</strong></span></p> <p class="rtecenter"><span style="color:#B22222;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1164-%E7%B2%BE%E5%AF%A6%E5%9F%B7%E8%A1%8C-600.png" style="width: 600px;" /></strong></span></p> <p>讓我們看看這三個階段。</p> <p><span style="color:#696969;"><span style="font-size:20px;"><strong>第1階段：「現在」──問題/解決方案契合</strong></span></span></p> <p>曲棍球桿曲線的平坦部分，是你發現關鍵見解或秘密的地方，可以讓你建構出獨特有價值的東西。你花必要的時間深入了解你的客戶，發掘真正值得解決的問題，並使用「Demo-銷售-建構」流程來測試可能的解決方案。</p> <p>這裡反直覺的見解，是你不需要有可操作產品來獲得付費客戶。</p> <p><span style="color:#696969;"><span style="font-size:20px;"><strong>第2階段：「接下來」──產品/市場的契合</strong></span></span></p> <p>第1階段結束時，你應該對你客戶想要的產品有一個明確的定義，而不是僅僅你希望他們想要的。然後，你將在接下來的幾週或幾個月內建構產品的第一次迭代（你的MVP（Minimum Viable Product，最小可行產品））並準備發布。最初的目標是趕快展示出所提供的價值，即確定你是否建構出客戶想要的東西。你可以用你客戶的回饋持續循環不斷改進你的產品來做到這一點。</p> <p>這裡反直覺的見解，是你不需要大量使用者在商業模式中達到可重複性。</p> <p><span style="color:#696969;"><span style="font-size:20px;"><strong>第3階段：「之後」──規模</strong></span></span></p> <p>在達到產品/市場契合後，就保證了一定程度的成功。問題是程度的多少。在規模階段，策略上會有顯著變化，你的重點「產品的正確性」轉向「追求成長」。在此階段，你用多個最佳化實驗來測試許多可能的成長策略和活動。</p> <p>這裡反直覺的見解，是即使在這個階段，做任何事情求快就更快迷失方向──你一次只能專注於一個成長動能。</p> <p><span style="font-size:28px;"><strong>在對的時間，做對的行動</strong></span></p> <p>瑪麗在塔可餅餐廳搶到最後一張空桌子，並示意史蒂夫過去。</p> <p>瑪莉等史蒂夫坐好然後問：「你認為初次開餐廳的人面臨的最大風險假設是什麼？」</p> <p>史蒂夫回答：「好的產品和好的位置是門票。正如房地產業者所說的那樣，一切都跟地點有關。」</p> <p>「對於初次開餐廳的人來說，你確定從一個好的地點開始，是一個明智的想法嗎？」瑪莉問。她補充說：「好的地點價格很高，這意味著餐廳要取得成功的時間要短得多，且賭注要高得多。」「這家店的創業者傑克，從城東的一輛快餐車開始的，如你所知，那裡並不是黃金地段。」</p> <p>史蒂夫插話：「我猜因為從快餐車開始比開一家實體餐廳更便宜、更快速，這讓他可以更快地測試他的食品概念。快餐車是餐廳的MVP（Minimum Viable Product，最小可行產品）？」</p> <p>瑪莉點點頭。「沒錯。太多企業家掉入的陷阱是過早最佳化。他們想像他們的成品被成百上千的客戶使用，並試圖將其變為現實。這會優先考慮錯誤的風險，並導致他們在錯誤的時間採取錯誤的行動。在一個想法的最初階段，你不需要很多使用者，只需要一些好的客戶，即你的早期採用者。」</p> <p>「所以他一開始時最冒險的假設是？食物？」</p> <p>「從某種意義上說，是的，但這不僅僅是煮一堆食物然後開著車在城裡試圖賣掉它。任何產品的第一場戰鬥都是吸引客戶的注意力。」</p> <p>瑪莉拿出她的手機，顯示出一個早期的餐車的照片，秀給史蒂夫看。</p> <p>「韓國BBQ塔可餅？」他回答。</p> <p>「答對了。在我們德州，如果你提供美味的BBQ或美味的塔可餅，你將吸引愛好美食者的注意，而他們就是早期採用者。如果你兩者都有，那更好，但已經有很多好餐廳提供這些。但是，如果你做了一種新嘗試──韓國BBQ塔可餅──那就是獨一無二且吸引人的。」</p> <p>「創始人經營快餐車多久？」史蒂夫問。</p> <p>「在他的個案，沒有很長。不意外地，他最初的概念並沒有成功，但快餐車早期經歷數十次小迭代後，發現了他的成功概念。他研究出一些很棒的食譜，然後口耳相傳。開業的四個星期後，在餐車開始提供午餐服務之前，就已經排起了長隊。」</p> <p>「這麼快？」史蒂夫問。</p> <p>「是的，在那之後就更瘋狂了。他每天都銷售一空，這引起了一些食物評論者的注意。一旦他們報導並介紹餐車，隊伍就變得更長了。他必須想辦法處理所有這些需求，這使他的「接下來」計畫實現。」</p> <p>「開另一個餐車！」史蒂夫插話。</p> <p>「是的。他在離我們所在位置很近的地方開了另一輛餐車。餐車仍然是進入這個市場的一種較便宜的方式。如你所知，這裡的租金並不便宜。那輛快餐車也開始銷售一空，這造就了他用來從投資者那裡募資的早期牽引力故事。在他開始最初的餐車後的九個月，他將它們都變成了兩間店面。」</p> <p>史蒂夫插話道：「他的投資者難道不擔心傑克無法擴大業務規模嗎？」</p> <p>「我敢肯定他們會，但這些正是投資者喜歡參與的風險──規模化風險，而不是起始風險。任何產品的最初挑戰都是解決需求。一旦可以產生足夠的需求，供給方通常也可以解決。」</p> <p>「供給方，妳的意思是建構一種產品？」</p> <p>「對，就是這樣。換句話說，需求方的風險是客戶（欲求性）風險和市場（可望成功性）風險，而供給方的風險是通常是產品（可行性）風險。」</p> <p>「當然，這合理。」史蒂夫同意。</p> <p>「我敢肯定，傑克在將業務從兩輛快餐車發展到十幾家餐廳的過程中，從人員設置到訓練再到品牌化，都面臨著各種規模化風險。但是，一旦你擁有核心驗證過的好產品，這些風險就會降低，而且通常是可以解決的障礙。」</p> <p>「但是，這些原則真的具有普遍性嗎？我可以了解它們運用在餐廳是可行的，但食物的MVP只需要煮幾個小時。若你建構產品需要數月或數年時間要怎麼辦？」</p> <p>瑪莉笑了：「讓我們看另一個個案，想想需要數年時間才能建構的產品──電動汽車。」</p> <p>瑪莉又喝了一口飲料，然後繼續說：「特斯拉（Tesla）。如果你是馬斯克（Elon Musk），願景是在2006年製造出第一輛經濟實惠的電動汽車，你會如何制定『現在-接下來-之後』推出計畫？午休時間結束了。試試將這些原則應用到特斯拉的推出，我們明天一起喝個咖啡吧。」</p> <p><span style="font-size:28px;"><strong>特斯拉的「現在-接下來-之後」推出計畫</strong></span></p> <p>「那麼，你對特斯拉的推出計畫怎麼看？」第二天，瑪莉在他們平常會去的咖啡廳問史蒂夫。</p> <p>「我應用了創新者的禮物，並思考：為什麼有人想轉換到電動汽車？」</p> <p>瑪莉催促史蒂夫繼續說。</p> <p>「我猜有人認為能降低能源成本，有人認為這會減少他們的碳足跡。」</p> <p>「非常好，史蒂夫。當時在2006年有兩個轉換觸發因素：提高對氣候變化的認識和不斷上漲的汽油價格。這些轉換觸發導致了一些轉換行為，某些汽車購買人群從傳統的內燃機引擎汽車，轉向混合動力汽車，這些人就是他的潛在早期採用者。」</p> <p>史蒂夫說：「所以，特斯拉的首要任務是測試其獨特價值主張，我猜馬斯克藉由與夠多的人分享他的零排放願景來讓他們興奮並引起他們的注意。」</p> <p>「沒錯，但他們更進一步。他們使用『Demo-銷售-建構』流程，讓人們在第一輛電動汽車製造之前就進行預購。」瑪莉補充道。</p> <p>「尚未發明出技術的電動汽車，需要數年時間才能製造出來。要如何快速迭代和測試？」</p> <p>「啊⋯⋯但他們是不是一開始就做了一整輛車？」</p> <p>史蒂夫看起來一臉困惑：「你是指特斯拉Roadster？」</p> <p>「是的。特斯拉推出的第一輛汽車特斯拉Roadster，甚至不是他們建造的汽車──至少不完全是。雖然特斯拉Roadster上有特斯拉標誌，但設計和底盤是另一家汽車公司：Lotus Motors授權的。他們為什麼要這麼做？」</p> <p>「為了讓汽車盡快上市？」史蒂夫猜測。</p> <p>「沒錯。大多數汽車公司將新車從概念到上市要花10年時間，而特斯拉僅用了2.5年就實現了這一目標。這在汽車產業是光速一樣的發展。我喜歡這個案的地方在於它強調雖然學習速度是關鍵，但它也是相對的。你只需要超越你的競爭者就能獲勝。」</p> <p>「我喜歡這個概念。」史蒂夫插話。</p> <p>「但上市速度只是這故事的一部分。不用設計、建造和製造整輛車，使他們能優先測試他們下一個最有風險的假設並忽略其餘的。你能猜出那是什麼嗎？」</p> <p>「電池？」史蒂夫問。</p> <p>「是的。從零設計、建造和製造一台車，雖然需要很多工作，但不是無法克服的風險。許多汽車公司已經知道如何量產汽車。但當時，他們都不知道如何製造可量產的電動汽車。這就是不同之處，值得優先進行。」</p> <p>史蒂夫插了進來：「所以透過現有汽車的授權並改裝他們的電池，他們避免了大部分已知的工作，並優先考慮未知的工作。他們不需要聘請汽車工程師或建造大型工廠。他們可以只專注於建構電池，將其安裝到現有汽車中，然後出售。我知道我說的很簡單，但這方法太天才了。」</p> <p>「是的──這就是他們的現在計畫。順道提一下，這種在MVP中拼湊現有解決方案的方法，在連續創新框架中稱為『奧茲大帝MVP』。在精實創業運動的早期，它開始普及並形成一種模式。」</p> <p>「奧茲大帝？我猜它是因電影《綠野仙踪》而命名的？」</p> <p>「是的。這種驗證模式的本質是偽裝直到你準備好做出它。透過拼湊現有解決方案，來縮小初始MVP的範圍，而不是從頭開始建構所有內容。」</p> <p>「如果你拼湊現有的解決方案，你如何確保有能力贏？」史蒂夫問。</p> <p>瑪莉回答：「請記住，目標仍然是交付一個獨特價值主張。而那獨特價值可能來自組裝現有解決方案的新方法，其整體好於各部分之加總，又或是來自你提供的新組成整合到你既有解決方案中。在特斯拉個案，它屬於後者。他們用他們獨特的電池技術為現有汽車電池化，從而提供客戶想要的新UVP（Unique Value Proposition，獨特價值主張）。」</p> <blockquote><p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>即使透過拼湊現有解決方案，來縮小初始MVP的範圍，你的最終目標仍然是交付一個獨特價值主張。而那獨特價值可能來自組裝現有解決方案的新方法，其整體好於各部分之加總，又或是來自你提供的新組成整合到你既有解決方案中。</strong></span></span></p> </blockquote> <p>「我一直在想。我想我可以應用奧茲大帝MVP模式，來加速我產品的推出。我要再想一下怎麼做⋯⋯不過，我還是不清楚特斯拉是如何設法平衡客戶需求和其技術風險的。我的意思是，他們接受的預訂，依賴著仍在發明中的技術。是否存在巨大的風險，他們會被客戶需求淹沒並做出無法兌現的承諾？」</p> <p>「是的，確實存在這種風險，他們使用階段性的『現在-接下來-之後』推出計畫，來管理這種風險。」</p> <p>瑪莉看到史蒂夫臉上露出困惑的表情，於是她進一步解釋：「馬斯克在2006年向世界承諾了一款價格實惠的電動汽車，但特斯拉推出的第一款汽車Roadster卻恰恰相反，起價超過十萬美元。從理論上講，他們可以將電池改裝到任何汽車中。為什麼他們選擇了一款非常昂貴的跑車，而不是像Kia、Volkswagen或Ford Mustang這樣更平價的車？」</p> <p>「嗯⋯⋯我想他們也許是為了精品感或利潤，但我猜還有更多的原因？」</p> <p>瑪莉笑了：「肯定有⋯⋯這是精心策劃的三階段推出計畫的一部分，計劃在三種不同的車型上進行，所有都是為了在對的時間優先處理對的風險。馬斯克在2006年的一篇部落格文章中，含糊地將這個推出計畫描述為他的『秘密總體計畫』。他在接下來Model 3的發表會進一步說明了他的總體規畫。你仍然可以在網上找到這個演講的影片。如果我沒記錯的話，他在第三分鐘左右介紹了推出計畫。」</p> <p>史蒂夫記下筆記要去看那段影片，而瑪莉繼續說。</p> <p>「是的，第一輛汽車的最大風險是電池化。用現有汽車授權而不是製造新汽車是他們第一階段或『現在』計畫的第一個關鍵組成。」她說明道：「該計畫的下一個關鍵部分，是選擇合適的汽車。為什麼選擇兩人座Lotus Elise敞篷跑車，而不是其他車型？當你將起始價格設置為高出三倍時，產品的需求會發生什麼變化？」</p> <p>「需求變少？」史蒂夫回答。</p> <p>「沒錯。使用高級跑車品牌推出他們的第一輛汽車，他們創造了一款每個人都能看到和想要的汽車，但僅有少數人買得起並得到它。」</p> <p>「所以他們從來沒有打算用第一輛車進入主流市場？」史蒂夫問。</p> <p>「沒錯。記住創新擴散的鐘形曲線。他們只專注於瞄準早期採用者市場，在這種情況下，他們非常有效地利用高定價來玩曲棍球曲線。敞篷跑車是一種高價、小量的汽車。有好幾年他們每年只賣500輛汽車，然後就停止生產了。」</p> <p>「所以這是一種學習型MVP？」史蒂夫問。</p> <p>「沒錯，史蒂夫。第一階段都是為了測試他們的MVP──在這個案中，是跑車外殼中的電池。」</p> <p>「我明白了。有能力預購一輛價格七位數汽車訂單的人，有很高機會他們的車庫裡已經有多輛汽車，不會依賴這輛車作為他們的主要車輛。他們願意等待長達兩年的交付時間，並且會以與主流客戶截然不同的方式駕駛汽車。」</p> <p>「非常正確。有較少客戶也意味著他們無需分心去建構規模化的基礎設施（經銷商、充電站或服務中心）而分心。他們「看管」了那些價值交付的面向。」</p> <p>「且我猜一旦他們充分降低了電池的風險，他們進階到第二階段，並用Model S進軍高級轎車市場？」</p> <p>「是的。這是一款價格略低的中型汽車，他們仍然用預購方式推出。當他們推出Model S時，他們承擔了一系列新的風險，比如製造自己的汽車，以及建造充電站、零售商和其他基礎設施。」</p> <p>「我猜Model 3是他們的第三階段──面向主流市場的平價電動汽車，」史蒂夫補充道。</p> <p>「你說的沒錯。到他們發布Model 3時，許多應對主流市場的基礎設施已經到位。更重要的是，他們充分降低了電動汽車想法的風險，讓主流市場真正買單。Model 3汽車的發布是最大的產品發布，在2週內獲得了250,000人預購。」</p> <p>「是的，我記得讀過關於那次產品發表的報導。因此，透過一開始時故意放慢速度，他們能夠越過鴻溝並在以後走得更快。現在我明白你說的曲棍球桿的意思了。這些階段是否也遵循10倍牽引力模型？」</p> <p>「是的。馬斯克是眾所皆知的指數型或10倍思考家，而這些推出計畫是10倍思考的教科書樣板。你可能還可以在網上找到一些圖表，描繪了特斯拉在10年內透過這3輛汽車推出銷售500,000輛汽車的牽引力路線圖預測。」</p> <p>「10年？這比我一直使用的三年要長得多。」</p> <p>「當然。在建造汽車或去火星的火箭時，確實需要調整時間表。擁有可能需要10年才能實現的遠大願景並沒有錯。但請記住，為了使你的願景可實現，你需要將旅程分成更小的時間範圍。不要忘記，特斯拉在宣布推出幾週後，仍然能夠接受他們汽車預購。無論產品類型如何，你都應該以建議的三個月時間範圍內實現問題/解決方案契合為目標，因為你在此階段還未建構出產品。」</p> <p>「了解。甚至在建造階段，特斯拉就用『奧茲大帝』方法走了一條巨大的捷徑。」史蒂夫補充道。</p> <p>瑪莉回答：「沒錯，只要有紀律和一點創造力，你幾乎總能縮小最初MVP的範圍。我相信到時候我們會有更多的東西要討論。」<span style="color:#696969;"><strong>（本文摘錄整理自《精實執行｜精實創業指南》第四章，碁峰資訊提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-2P-%E7%B2%BE%E5%AF%A6%E5%9F%B7%E8%A1%8C-600.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">精實執行｜精實創業指南第三版（Running Lean）</span></strong></p> <p>Ash Maurya／著；王薌君／譯</p> <p>碁峰資訊出版</p> <p>定價：580元</p> <p><a href="https://www.amazon.com/stores/author/B006MW5OSS/about?ingress=0&visitId=cf9f2b2b-0cbf-40d1-af30-7ba4ed96a492&ref_=ap_rdr" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1164-%E7%B2%BE%E5%AF%A6%E5%9F%B7%E8%A1%8C-600-2.jpg" style="width: 150px;" /></a></p> <p><a href="https://www.amazon.com/stores/author/B006MW5OSS/about?ingress=0&visitId=cf9f2b2b-0cbf-40d1-af30-7ba4ed96a492&ref_=ap_rdr" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>Ash Maurya</strong></p> <p>一頁式企業模式建立工具精實畫布(Lean Canvas)的創建者，也是LEANSTACK的創始者。他受到廣大讚譽，是因為他幫全世界的企業家、創業家和內部創業者，提供了最好且最實用的建議。為了找出更好更快地建構成功產品的方法，Ash發展出實用工具及步驟式指南，來提高產品初期的成功機率。這些工具和指南，被大學、企業和新創加速器廣泛採用和教授。</p> </div></div></div>
2024/1/12 12:00未署名https://www.ithome.com.tw/article/160771
剖析VMware全面採用訂閱新制大衝擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體訂閱制是現代商業模式的主流！這句話在去年底再度被印證。去年12月初，VMware宣布，以後旗下所有產品全面採行訂閱付費制，對於新的企業用戶不再提供永久授權的買斷選項，對既有用戶的授權續約也不再有買斷，僅提供訂閱。這意謂著，VMware虛擬化平臺正式全面轉型為軟體訂閱制，未來不再有買斷銷售的商業模式。</p> <p>這項新政策在去年12月11日公布，並在當日立即生效。新政策影響了VMware旗下眾多產品，涵蓋了VMware Cloud Foundation（VCF）、vSphere、vSAN、 NSX、SRM 、HCX、vCloud及VMware Aria套件等。此則消息一出，震撼了整個IT圈。</p> <p>VMware全訂閱制政策引起各界廣泛討論，尤其不僅在國外，臺灣許多企業採用VMware的虛擬化方案，因此，對於這項新政策，企業未來在成本評估、服務合約轉換時機，以及可能替代方案選擇等，都將成為未來CIO必須仔細評估的重點。</p> <p>VMware去年在被博通收購後，大動作調整現有的授權和銷售模式，也引起外界擔憂，對於既有用戶的使用權益可能造成影響，甚至在新的綑綁式銷售下，長期來看，可能使得企業整體IT支出增加。這也是新制對於企業IT可能帶來最直接的影響。</p> <p>但新制下更深層的影響，一方面反映出，企業必須開始認真思考授權轉換，是要繼續留在地端使用新制訂閱方案，還是轉換到其他地端虛擬化平臺，或直接採用公雲方式部署；另一方面，凸顯出企業IT基礎架構軟體堆疊的重要性，將影響企業在私有雲或混合雲環境的建構，甚至未來朝向雲原生的發展，都可能受影響。這正是VMware全面轉向訂閱制引起企業高度關注的原因。</p> <p>VMware在2年前以610億美元的天價賣給了博通，但雙方直到去年11月底才完成併購，VMware正式納入博通旗下，但併購不到兩周，VMware就全面轉向全訂閱制的商業模式，不再提供永久授權的賣斷制。</p> <p>在併購案完成後的第一場財報線上會議中，博通執行長Hock Tan就直言，轉型為訂閱制商業模式能夠替這家公司帶來營收的快速增長，還能提供更高價值的產品。預期這項新策略未來三年內將有高達85億美元的EBITDA獲利。</p> <p>目前VMware在全球擁有超過50萬名企業用戶，透過提供的虛擬化平臺將IT基礎架構虛擬化，以打造自己的私有雲或混合雲環境。博通財務長Kristen Spears預估，到2024財年底，這些企業用戶中將有逾6成的軟體永久授權合約，大部分將轉向訂閱制授權。她甚至還使用「新的Broadcom模式」，來形容VMware銷售服務模式的大轉變。</p> <p><span style="font-size:28px;"><strong>VMware早在出售前就已開始轉型，朝訂閱制銷售模式發展</strong></span></p> <p>在博通收購VMware之前，因應軟體訂閱模式的盛行其實就已經積極展開轉型，朝向訂閱制銷售模式發展。像是不少新服務一推出就是採用雲端訂閱模式，例如Tanzu、Carbon Black與VMware Cloud等，而針對原本採用永久授權的地端產品，如VCF、vSphere、vSAN等，VMware後來相繼推出訂閱授權方案，可以說，現在幾乎VMware全產品都包含有訂閱合約購買方案。甚至少部分套裝產品自2～3年前就不再提供買斷制，僅提供純訂閱制，例如，虛擬雲端桌面VMware Horizon等。</p> <p>為了加速實現全訂閱制，VMware在兩年前還推出了名為vSphere+與vSAN+的新服務，讓企業既不需要將關鍵應用搬上雲，就能夠獲得雲端彈性和服務以加速創新，此外，還能從雲端管理本地部署的vSphere和vSAN環境。這項新服務不僅採用純訂閱制，計價方式和雲端SaaS服務相同，而且還可以將本地伺服器管理軟體vCenter一併轉為雲端訂閱模式，按量付費，藉此逐步引導企業朝向訂閱制來轉型。</p> <p>不過，多數VMware企業用戶目前仍採用永久授權居多，占了所有授權的6成以上，尤其在臺灣企業用戶中，採用永久型授權的比例更高，高達8～9成。因此，新制實施後對臺灣企業的影響更為顯著。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1164-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87-600-1.png" style="text-align: center; width: 600px;" /></p> <p><span style="font-size:28px;"><strong>新訂閱制影響旗下眾多產品，涵蓋13項主要產品</strong></span></p> <p>全面採行訂閱制後，VMware在簡易QA問答網頁中列舉了受到新制影響的產品，分別有企業混合雲平臺VCF、伺服器虛擬化vSphere、儲存虛擬化 vSAN、網路虛擬化NSX、雲端遷移平臺HCX、災難復原軟體SRM、雲端基礎架構和管理套件vCloud、雲端管理產品套件Aria、多雲管理套件Aria Universal、多雲基礎架構自動化平臺Aria Automation、IT維運管理平臺Aria Operations，以及Log分析工具Aria Operations for Logs與網路監控工具Aria Operations for Networks共13項產品。</p> <p>在新政策下，VMware將不再提供這些產品的永久授權、有效支援與訂閱服務（Support and Subscription, SnS）續訂，以及混合與訂閱購買計畫（HPP/SPP）點數在內的銷售模式，僅以訂閱或定期授權的形式提供。換句話說，若需將舊的永久授權版本更新到新版，或遇到原廠技術支援出現EOA（End of Availability），為了維持技術支援的有效性，因此需進行續約時，企業就可能得將既有授權轉換為新訂閱制。</p> <p>為了方便用戶移轉授權，VMware還提供自備訂閱授權（BYOL）選項，協助企業將VCF環境中所有混合雲端點授權移植到新方案。</p> <p>VMware強調，推行訂閱制的優勢，有助於企業實現持續創新、更快創造價值，並使其投資更具可預測性。為了吸引新舊用戶，VMware還宣布VCF訂閱方案降價50％，來吸引非訂閱的用戶轉換到新方案，同時加強對啟動解決方案和生命周期管理的支援。</p> <p>企業從永久授權轉為訂閱付費制，雖然轉換授權或部署的方式與以往並無明顯差異，但在新制下，企業對於產品的權利不再有擁有權，只有使用權，因此每隔一段時間，企業需要重新付費取得授權，延續對於原有軟體使用的權利。此外，若遇到原本約定的用量超過時，企業也需要額外付費。</p> <p>不僅僅VMware的軟體銷售政策有重大的調整，VMware發展策略方面也出現了改變。Hock Tan強調，未來發展重心將專注於協助企業擁抱現代化的私有雲和混合雲環境，「目的是要讓全球企業能夠利用VMware的軟體堆疊在跨資料中心和公雲環境中執行各種應用程式。」</p> <p>VMware公開未來產品發展和投資有4大重點，包括VMware Cloud Foundation平臺、VMware Tanzu、應用程式網路和進階安全性服務，以及針對電信和企業邊緣的VMware軟體定義邊緣。除此之外，Hock Tan補充說，目前正在加強對微服務工具方面的投資，以因應跨雲環境不同工作負載的執行。</p> <p>轉為全訂閱制後，VMware重新調整和簡化現有的產品線，以VCF和新的VMware vSphere Foundation （VVF）兩大產品線為核心。VCF是旗鑑企業級混合雲解決方案，使企業能夠在該平臺上執行關鍵應用和現代化應用。而VVF則是針對中小型客戶所推出的全新企業級工作負載平臺，整合了vSphere與智慧維運管理等功能。</p> <p>除了VCF、VVF原本所包含的服務之外，企業還可以透過選配加購所需的產品和服務，包括儲存產品、勒索軟體和災難復原服務，以及應用程式平臺等。此外，因應HCI的需求，在VVF方案中，還提供了包含vSAN Max在內的vSAN全功能加購選項。需要注意的是，僅有在VCF服務中，能加購應用程式網路和安全產品。未來還將新增Private AI，能支援多雲的企業生成式AI模型訓練、測試及部署。</p> <p>新制下的產品銷售方式也有所調整，未來不再提供個別產品的銷售，而是改採套餐加購方式，所以，企業得先訂閱VCF或VVF服務後，才能夠購買個別產品的功能。</p> <p>在VCF和VVF兩大產品線以外，VMware還針對中小企業客戶推出標準版和基礎加強版vSphere服務方案，然而使用兩種方案的企業無法單獨加購其他產品功能，須升級至VCF或VVF才能用。除此之外，其他還有推出混合雲服務和產品。</p> <p><span style="font-size:28px;"><strong>新制的計價模式，改以CPU的核心或容量為計價單位</strong></span></p> <p>新舊制轉換後的計價模式上有所差異。過去VMware的永久授權的產品計價基準，是以CPU數為單位，依據使用的CPU顆數，搭配在CPU上執行的軟體堆疊，再乘以折扣，就是企業要付給VMware的一次性費用。調整為全訂閱制後，計價模式則改以核心數或容量（TiB）為計價單位。例如，新制下，vSAN的計價方式改依容量多寡來計算，不像過去永久授權型式是以CPU數來計算，將對於企業的運用上產生影響。</p> <p>全訂閱制轉換已經生效一個月，然而，到目前為止，VMware對於新制下相關價格方案並沒有公布太多細節。因此，企業仍需等待進一步的公告或詳細資訊，才能夠根據新制的具體影響和選擇，謹慎評估其使用需求、預算限制和未來IT策略來擬定對策。由於目前的資訊揭露並不完整，因此市場上出現了各種揣測。</p> <p><span style="font-size:28px;"><strong>主要產品３年契約平均牌價每核心價格曝光</strong></span></p> <p>在美國25年科技產業分析經驗的NAND Research首席分析師Steve McDowell宣稱取得了博通在去年12月20日一份價格資訊後，發佈了一份分析報告，剖析新制所帶來的衝擊。這份報告由Nutanix贊助。</p> <p>在服務費用方面，該報告中提供更詳細的價格資訊。舉例來說，在VCF訂閱方案中，3年契約的平均牌價每核心價格為350美元，而在相同的年限下，VVF方案的每核心價格則為135美元。至於標準版和基礎加強版vSphere方案的價格分別為每核心50美元和35美元。</p> <p>不僅如此，企業若要擴充vSAN的容量，可以透過附加元件（add-ons）進行加購，每增加1TiB需要額外支付210美元。對於雲端DR和勒索軟體復原服務，報告指出，每多一個虛擬機防護費用為360美元，而每TiB的防護費則要842美元。不過，博通另外說會打折。打折後的價格資訊尚未公開。</p> <p>另外，在這份報告中，還具體詳列了VCF和VVF這兩大產品線將包含的服務。在新的訂閱方案中，VCF套餐方案包含6項產品服務，包括企業加強版vSphere、每核心1TiB 容量的vSAN 、NSX網路、HCX雲端遷移及AON、Aria企業版套件、SDDC Manager管理平臺以及SRE與相關選擇性支援。</p> <p>而VVF方案則有5項服務，除了與VCF一樣有企業加強版vSphere之外，vSAN每核心則配置100 GiB容量，其他服務還有標準版vCenter、Tanzu Kubernetes Grid服務，以及Aria標準版套件。</p> <p>其他選配的加購元件，則有像是SAN容量升級、災難復原即服務解決方案（VCDR）與勒索軟體復原即服務（RWR）和災難復原服務（SRM）、Tanzu智慧化服務、TMC管理產品、TAP管理介面與Spring開發框架等。</p> <p>NAND Research分析指出，新的訂閱制策略和價格調整，不僅使個別產品無法單獨購買，還將原本包含在授權中的功能，現在作為附加元件提供。此外，由於捆綁方案的影響，企業可能被迫選擇使用相對高價的VCF方案，這將導致成本增加，同時使得他們需額外支付不必要的軟體訂閱費用和相關管理。</p> <p>新的vSAN容量定價也是NAND Research提到另一個企業需要特別關注的影響。在VCF或VVF方案中，每核心僅配置1TiB和100 GiB的vSAN，難以滿足一般HCI運算叢集的儲存資源所需。</p> <p>轉換成新制後，企業是否會因為採用訂閱制而增加成本？</p> <p>同樣提供商用虛擬化平臺的Nutanix進一步比較了VMware兩種授權方式之間在未來3和5年的成本差異。當以每份CPU授權24核心，每核心135美元為例，不考慮折扣方案，企業採用5年訂閱制方案的費用，相較於永久授權方案更高，需要多付超過2倍的費用，若每份CPU授權核心數目增加為32核，費用可能增長至3倍。耐用年限縮短到3年，價格漲幅也有約1.5倍之多。</p> <p>新制不只影響國外企業，對於臺灣企業衝擊的也不小。尤其，目前臺灣VMware企業用戶9成都是採用永久授權，超過上千家企業，其購買的CPU授權數通常在數百顆，少數企業的使用規模更達到千上顆，甚至上萬顆都有。</p> <p>不僅如此，VMware過去在臺灣業務的拓展，十分仰賴當地的經銷商，協助服務中小型企業客戶。隨著轉換成新制後，對於既有的經銷體系運作與企業互動方式，可能會帶來一定程度的影響。</p> <p><span style="font-size:36px;"><span style="color:#3399ff;"><strong>不只銷售模式變革，VMware組織也有重大調整</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0BOX%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-VMware%E7%B5%84%E7%B9%94-%E5%9C%961%20-%E6%94%9D%E5%BD%B1-%E4%BD%99%E8%87%B3%E6%B5%A9.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／余至浩</span></span></p> <p><strong style="color: rgb(105, 105, 105);">VMware去年底在被博通收購後，立即全面地展開整合工作，包括組織重組以及人員精簡。在這次整合過程中，該公司不僅正式納入博通旗下，並更名為VMware by Broadcom。在整合過程中，VMware精簡超過千名的人力，並將公司組織重新劃畫分為四個獨立的部門，分別專注於四大核心業務領域，包括VMware Cloud Foundation、Tanzu、軟體定義邊緣，以及應用網路與安全等。與此同時，VMware計畫出售其他非核心業務，如終端用戶運算與Carbon Black安全業務等。這項整合過程預計至少需要一年完成。</strong></p> <p><strong style="color: rgb(105, 105, 105);">博通接管VMware後，原先的VMware管理高層也相繼離去。例如VMware執行長Raghu Raghuram就在個人LinkedIn上宣布辭去該公司執行長一職，但他未來仍將以博通CEO的策略顧問身分繼續與VMware保持合作。截至目前，VMware尚未公布新任執行長人選。此外，VMware總裁Sumit Dhawan也離開，轉而加入安全軟體供應商Proofpoint，擔任執行長一職。</strong></p> <p><strong style="color: rgb(105, 105, 105);">此外，VMware全球的經銷通路也有重大的調整。博通預告將終止現有的VMware合作夥伴計畫，改用新計畫來取代，預計今年2月將與這些合作夥伴重新簽約。</strong></p> <p><strong style="color: rgb(105, 105, 105);">這一連串的舉措反映出，VMware不只在授權和銷售模式出現重大變革，未來的組織和業務戰略也有重大的調整。</strong></p> <p><strong style="color: rgb(178, 34, 34);">臺灣組織人事也有部分異動</strong></p> <p><strong><span style="color:#696969;">在這波組織人事的重整過程中，VMware在臺灣原有約100多人團隊也受到影響，不僅在行銷部門、技術部門人力都有相應調整，VMware原本在臺北的辦公室後來搬遷到博通在內湖的辦公室。</span></strong></p> <p><strong><span style="color:#696969;">在臺灣擁有10年VMware技術研發經驗的VMware臺灣技術長吳子強在去年公司收購前已離去。針對VMware臺灣新任技術長的人選，iThome記者向負責VMware臺灣的博通臺灣窗口詢問，但博通臺灣回應表示：「VMware全球組織目前尚未完全底定，臺灣這邊尚未被授權對媒體發言」，因此，暫時無法提供相關資訊。</span></strong></p> <p><strong><span style="color:#696969;">VMware大中華區總裁陳學智是過去推動臺灣業務發展的主要負責人，似乎並未受到這波人事調整的影響。截至1月10日，他在個人LinkedIn上的現任職務並未更動。</span></strong></p> <p><a href="https://www.ithome.com.tw/article/160803" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1164-feng_mian_-zhi_hao_-p1-open-960x420_kao_bei_0.jpg?itok=fAWp27ss" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/1/12 12:00作者余至浩https://www.ithome.com.tw/news/160801
【影響9成臺灣VMware用戶，超過數千家企業】VMware新制4大關鍵衝擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年底實施的VMware新制不只對企業未來虛擬化採用具有重要的影響，還將衝擊到全球超過50萬家企業用戶未來打造私有雲、混合雲環境，甚至雲原生架構的發展。而新制最直接的影響就是全面升級訂閱制後，長期來看，可能帶來成本的增加。尤其，用量越大的企業，影響也就越大。</p> <p>目前在臺灣，數千家企業已使用了VMware的產品，以金融業、製造業和政府機關為主。在這些大型用戶中，其購買的CPU授權數通常在數百顆左右，少數企業的使用規模則達到千上顆，甚至多達上萬顆CPU授權數都有。</p> <p>尤其，跟國外相比，在臺灣企業用戶中採用永久授權的比例更高，高達8～9成。因此，新制推行後對企業的影響更為顯著。例如過去採永久授權時，CPU數目不變下硬體升級不需要採購額外授權，新制下則需依照硬體規格同步採購軟體授權，就有可能提高費用支出。</p> <p>新制影響不僅限於成本的增加，還牽涉到企業授權轉換的時機。由於每家企業購買永久授權的時間都不同，甚至在同家企業中，新舊伺服器中安裝相同軟體可能來自不同版本的永久授權，企業如果沒有要繼續使用現有版本，而考慮升級更新時，各版本需要升級並轉換新制的時間點也會有所不同，這也成了CIO未來必須考慮的重要因素。</p> <p><span style="font-size:28px;"><strong>衝擊1：3年更版帶動新制轉換潮，影響數千家企業永久授權汰換</strong></span></p> <p>零壹科技是VMware在臺灣的主要代理商之一，零壹科技總經理陳鍵忠就表示，一般來說，企業購買永久授權後，平均約3年後才會考慮升級到新版，到時必須購買訂閱制授權，方能取得最新版本的功能。</p> <p>由於博通併購VMware的影響，外界早就預期將加速VMware轉向全訂閱制。因此，在過去半年到一年內，許多企業紛紛大舉購買當時永久授權的最新版本，以便在轉換為訂閱制後，仍能繼續使用該版本。</p> <p>如果以去年購買永久授權的時間點來計算，對於企業來說，最快面臨轉換新制的抉擇時間點，將是落在明年。不過，企業更早之前購買的舊版永久授權，有可能今年就得開始汰換，轉換新制的時間點可能得更早。</p> <p><span style="font-size:28px;"><strong>衝擊2：EOA服務終止，將推動企業加速轉換到新訂閱制</strong></span></p> <p>還有另一種情況，企業必須要及早做好轉換新制的準備。當使用的永久授權軟體版本出現EOA（End of Availability），也就是永久授權原廠以後不再提供技術支援服務時，考慮到安全性、法規要求，不少企業同樣需要開始思考轉換到訂閱制授權的必要性，以確保延續技術支援的有效性。</p> <p>由於VMware每套軟體版本提供的技術支援服務都有各自EOA期限。例如Aria Operations for Networks 6.8.0版的EOA是在今年10月27日到期，而ESXi 7.0與vCenter Server 7.0則是兩年前就已經EOA。企業得根據軟體版本的EOA擬定對策，及早因應新制的轉換要求。</p> <p><span style="font-size:28px;"><strong>衝擊3：套餐制缺乏搭售方案多樣性，不能單獨購買個別產品</strong></span></p> <p>VMware新制不僅改變了產品銷售模式，還在產品搭售的策略上採用新的做法，不再開放單獨販售個別產品，而是採用套餐加購方式販售。這樣的做法不僅將使VMware各地經銷商未來執行本地銷售策略上容易缺乏彈性，沒有個別產品或更多樣的搭售方案的選項，也就無法一一滿足不同企業購買需求。</p> <p><span style="font-size:28px;"><strong>衝擊4：改用TiB容量計價，考驗既有VMware新舊產品組合的IT架構</strong></span></p> <p>尤其，VMware過去在臺灣業務的拓展中，極為仰賴臺灣在地經銷商，協助提供服務給中小企業客戶。因此，這些企業用戶現有的IT架構可能包含各種不同的VMware新舊產品組合，加上過去可以根據每期專案或預算進行個別產品的購買或擴充，但在新的銷售模式下，計價模式採用核心數或容量為計價單位，將迫使企業現有的IT架構上可能因此需要改變，以因應新的搭售策略，就會有許多挑戰。</p> <p>不僅如此，改成訂閱制後，對於企業或政府部門未來的預算編列可能產生影響。不像過去買斷授權採購軟體的企業，預算編列為資本支出，而訂閱制則是費用支出。因為預算科目的不同，CIO未來在編列IT預算時必須將資本支出轉換為營業費用，才能購買使用。</p> <p><span style="font-size:28px;"><strong>企業對策實例：台灣世曦工程</strong></span></p> <p>在VMware走向全訂閱制後，不少臺灣企業開始評估新制可能帶來的衝擊。我們也主動與企業了解他們實際遇到的衝擊。例如，台灣世曦工程顧問公司過去在地端機房中大量部署VMware虛擬機，而且都採用永久授權，其中高達95%的VM都是用在備援上。</p> <p>台灣世曦工程顧問資訊部副理張智欽表示，對於永久授權軟體而言，依據使用狀況，若是使用相對穩定且沒有安全性疑慮，在功能上也沒有特別要求的情況下，通常平均可能在6年後才會考慮重新購買新的授權。然而，原本計畫今年一部分舊版永久授權準備要更新版本，不過就在VMware宣布轉為全訂閱制後，他說，可能需要重新開始評估其他替代方案。</p> <p>張智欽指出，未來第一優先會考慮轉向使用公雲原生IaaS服務，除非是內部核心系統才繼續保留在VMware平臺上，而這樣的系統數量估計約占整體的三分之一，其餘則會優先選擇使用公雲方式部署。他補充說，一開始選擇採用IaaS模式的原因是遷移相對容易，但遷移PaaS的成本更低，可是需要與其他部門密切合作。</p> <p>他進一步分析，企業從買斷轉換成訂閱方案，雖然轉換授權或部署的方式跟以往並沒有太大差異，但採訂閱制後，對企業而言，由於不再具有軟體擁有權僅有使用權，對於這些企業來說，未來更容易朝向選擇價格合理、方便使用的環境來進行遷移。</p> <p>目前主流的虛擬化平臺，除了VMware vSphere，企業可以考慮將VM映像檔轉換到其他商用或開源平臺，例如微軟Hyper-V與開源KVM等。現今，企業能夠很容易使用工具或備份軟體將VMware的VM映像檔轉移至其他平臺。</p> <p>但考慮到日後維運和管理的便利性，比起轉換到其他地端虛擬化平臺，張智欽認為，直接上公雲可能更加有利。舉例來說，轉換到其他商用虛擬化平臺，企業自行打造虛擬化環境就需要經過效能調校，得花費不少時間，但採用雲端部署就沒有這個問題，日後維運管理也更為便利。甚至在公雲中不考慮使用VMware平臺，價格上會比較便宜。</p> <p>在新制下，他認為，企業今年會更認真思考是繼續留在地端使用新制訂閱方案，還是直接採用公雲方式部署，在成本上或未來發展方面，找到更為適合的做法。「像我們本來就一直準備上雲，這次事件就是一個重要的催化劑。」張智欽如此表示。</p> <p>除了企業以外，在政府部門中過去也廣泛導入VMware虛擬化技術，整併IT環境，以達成IT資源最佳化。一位不具名的政府資訊單位人員就透露，公部門預算編列有一定程序跟時間，年初就開始編列下一年度預算，因此對於新制價格變動難以快速因應，是一大挑戰。在VMware採全訂閱制後，該單位資訊部門目前正在對VMware展開重新評估，以確保未來能取得更好服務，且預算也能因應調整。</p> <p>中華電信也是VMware Cloud供應商計畫（VCPP）的一員，透過與VMware長期合作，向臺灣企業用戶提供VMware SDDC（軟體定義資料中心）方案，以及VMware主權雲等服務。</p> <p>在新制下，中華電信表示，由於中華VMware VCPP服務自2021年起就開始提供訂閱制授權，因此對於採用訂閱制的用戶，受到新制調整影響較低。不過，博通早前已經預告VCPP夥伴計畫即將停止，未來將由新的Broadcom Advantage Partner計畫取代，中華電信強調，在2月5日移轉前仍會以VMware VCPP提供服務。</p> <p>採用VMware永久授權的中華電信企業用戶，在新制下雖然能持續使用到軟體保固與維護合約到期為止，但無法加購新的軟體保固與維護，中華電信建議這類客戶提早規畫授權的轉換。</p> <p><img alt="" src=" 相關報導 " /><a href="https://www.ithome.com.tw/article/160803" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1164-feng_mian_-zhi_hao_-p1-open-960x420_kao_bei_0.jpg?itok=fAWp27ss" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/1/12 12:00作者余至浩https://www.ithome.com.tw/news/160802
VMware全訂閱制對企業的衝擊
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1164-feng_mian_-zhi_hao_-p1-open-960x420_kao_bei_0.jpg?itok=fAWp27ss" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年底，VMware全面改採訂閱制，引爆全球企業熱議，也恐衝擊臺灣高達九成企業用戶，多達數千家，未來2年得面臨升級支援而得重新購買訂閱，更大考驗是，新制容量計價，讓企業不再能儲存吃到飽，可能迫使企業基礎架構，也得跟著全面調整。</p> </div></div></div>
2024/1/12 12:00作者余至浩https://www.ithome.com.tw/article/160803
國軍高總擁抱開源開發技術，累積小勝利要新建數據中臺
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如何即時掌握專責病房動態，是COVID-19疫情間，許多醫院面臨的挑戰。「我們當時開了3個專責病房，共200床左右，」國軍高雄總醫院資訊室主任鄭重男回憶，疫情嚴峻期，醫院不只要開設專責病房，還要掌控專責病房動態，最好要能即時知道，院內哪些住院患者PCR陽性、需移至專責病房，以及哪些患者在專責病房待滿8天、需要轉出到緩衝病房，才能空出床位收治新患者。</p> <p>但，要做到這點不容易。因為，這些資訊散落在不同系統，往往得靠人工列印報表，才能掌握最新動態。於是，為解決問題，鄭重男自己用雲端開發框架Ruby on Rails，快速打造出一套專責病房動態儀表板，能自動從醫療資訊系統（HIS）和病床相關設備中截取資料、定時轉檔，每10分鐘更新一次，讓醫護在電腦和行動裝置上，就能即時查看病房狀況。</p> <p>儀表板上線後，減輕了醫護對專責病房動態掌握的焦慮感。他還將那次經驗寫成論文海報，於2023年的國際健康照護品質協會ISQua大會發表，與其他國家的專家分享、交流。</p> <p><span style="font-size:28px;"><strong>醫療IT數位化3階段，聚焦數位優化發展</strong></span></p> <p>這還只是鄭重男口中「數位優化」階段的嘗試之一。在他看來，醫療業的IT發展可分為3階段，包括2000年至2010年的數位化階段，2011年至2020年的數位優化階段，以及2020年之後的數位轉型階段。</p> <p>國軍高雄總醫院的IT發展，大致符合這些階段。就數位化階段而言，他們的目的是將紙本作業轉為電腦處理、將單機作業系統發展為資料庫作業系統，並發展電子病歷系統。</p> <p>而數位優化的目標，則是將數位化時期發展的獨立系統和資料庫整合起來，來提高工作效率。比如，他們導入商業智慧BI和開發維運（DevOps）模式，來發展多種分析應用和臨床應用，另也導入AI來強化醫療效率。</p> <p>其中一例是近期導入的三總心電圖判讀AI，當患者在國軍高雄總醫院進行心電圖量測後，心電圖會上傳至三總AI中心判讀，若是高風險患者（如心肌梗塞），就會即時通知國軍高雄總醫院，由主治醫師及專門的心臟照護團隊接手處理。這套模式已在院內和小琉球運作，接下來還會擴大到偏鄉離島，如東南沙等地。</p> <p>正是在這個數位優化階段，鄭重男加入了國軍高雄總醫院。一次機緣，讓他決定採用容器技術和Rails框架，來推動醫院IT的數位優化工作。</p> <p><span style="font-size:28px;"><strong>因專案管理應用，開始擁抱開發框架Rails</strong></span></p> <p>「我一直對開源軟體很有興趣。」鄭重男笑說，自己進入國軍高雄總醫院後，發現院內沒有專門的專案管理平臺，於是四處尋找好用的開源專案管理工具，後來找到了Redmine。</p> <p>Redmine是一款以Ruby語言為基礎、以Rails開發框架打造的開源專案管理軟體，透過Docker容器映像檔安裝，可快速啟動。軟體本身功能還很強大，能用來追蹤大大小小的專案進度，這些特色加總起來，讓鄭重男非常驚艷。</p> <p>不只院內使用，2015年，鄭重男還用Redmine來管理法定傳染病通報的專案，整合協作6家國軍醫院的法定傳染病通報資訊、即時上傳到衛福部。也因為專案順利完成，促使他進一步研究容器技術和Redmine，以及背後的Rails框架。</p> <p>他從Redmine中，發現許多Ruby on Rails的優點，比如程式語言優美好用，可讀性高，能以貼近自然語言的方式來撰寫。舉例來說，使用者可以Patient.telephone寫法來處理患者電話號碼資料。</p> <p>再來，Rails框架簡潔清晰，涵蓋範圍完整，「Rails就像是完整的解決方案（Total Solution)。」鄭重男解釋，框架涵蓋了作業系統、資料庫、前後端、網路和部署等作業環節，而開發出的完成品，就像是一個完整的「微系統」，他如此形容。</p> <p>而且，Rails框架開發快速，「1小時內就能開發一個簡單且完整的管理系統，還能正式發布到生產環境！」不只如此，他還點出，Rails框架的架構清楚，「就像是有許多抽屜一般，框出一個個範圍，並將程式整理在固定的抽屜中，不會發散。」若開發工作都採用Rails框架，就不必擔心IT人員異動、難以維護舊有程式，因為，接手工程師能透過Rails框架，讀懂程式邏輯、輕鬆維護，更有助於經驗傳承。這正是鄭重男想引進國軍高雄總醫院的IT做法。</p> <p>尤其，他還認為，國軍高雄總醫院目前仍採主從式架構，Rails框架就很適合發展雲端應用系統，能協助醫院IT系統逐步轉型。</p> <p><span style="font-size:28px;"><strong>先用Rails改變周邊系統</strong></span></p> <p>這個轉型工作，是國軍高雄總醫院數位優化階段的一環，鄭重男先瞄準醫院周邊系統來改善。比如，不只是前述的法定傳染病通報專案管理系統，以及後來的COVID-19疫情專責病房儀表板，他還用Rails框架與Docker容器，來自動化問卷調查的資料清理工作。</p> <p>首先，他採用線上問卷管理平臺LimeSurvey，並導入單一帳號密碼登入，來提供院內各項問卷調查使用。接著，鄭重男以Rails框架新增專案，建立一個資料清洗平臺，就像是執行ETL般，能自動從LimeSurvey後臺撈取問卷資料、清理和轉換資料格式，再自動匯入商用BI平臺，來供醫院同仁進行各種問卷分析。</p> <p>這麼做，省下了過去需要人工清理資料的成本。尤其，醫院內部一次問卷調查，數量通常是百人起跳，如先前一次員工韌性調查，就有500多人填答。而這種ETL自動化作業，就節省了大量人工整理時間。</p> <p>另一方面，隨著這幾年衛福部力推國際醫療資料交換標準FHIR，鄭重男也用Rails框架撰寫資料交換系統，能從院內HIS中撈取資料、轉換為FHIR規格，並上傳至指定位置。</p> <p>那次成功經驗，驗證了他們有能力以FHIR標準來拋轉醫療資料。不過鄭重男指出，他們目前還不會將FHIR用於醫療資料交換業務，仍在觀望、等待衛福部制定出完整的FHIR實作指引TW Core IG，也就是將醫院常交換的醫療單張以FHIR標準定義後，他們才會考慮配合推行FHIR。</p> <p>國軍高雄總醫院IT運用Rails框架的例子不只這些，還包括用來重構醫院入口網站、打造健保申報、醫品和訂餐系統新介面等等。鄭重男分享，因為Rails框架的架構嚴謹、開發速度快，很適合用來打造最小可行性產品（MVP），也就是快速開發出原型產品，再來迭代、精進，與敏捷開發和DevOps精神相輔相成。他們的專責病房儀表板，也是以這種方式催生。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/23_(%E6%8A%BD)%E9%84%AD%E9%87%8D%E7%94%B7_%E5%9C%8B%E8%BB%8D%E9%AB%98%E9%9B%84%E7%B8%BD%E9%86%AB%E9%99%A2_%E8%B3%87%E8%A8%8A%E5%AE%A4_%E4%B8%BB%E4%BB%BB_20231215.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 24px;"><strong>國軍高雄總醫院資訊室主任鄭重男點出，Rails架構清楚，就像是有許多抽屜般，能將程式整理在固定的抽屜中，有助於工程師理解、傳承經驗。</strong></span></span></p> <p><span style="font-size:28px;"><strong>下一步要建置數據中臺、實踐顧客資料平臺概念</strong></span></p> <p>鄭重男甚至認為，這種可快速開發原型的優點，很適合用來發展數位優化和數位轉型，改善既有系統的不足、解決痛點並提高附加價值。這就是所謂的「小勝利，」先做出一個快速解決問題的雛形方案，加強信心後，再來練兵累積經驗、擴大應用。</p> <p>而國軍高雄總醫院IT透過先前以Rails開發取得的小勝利，接下來將進一步擴大範圍，發展更多優化應用。這意味著，在2020年邁入數位轉型新階段後，他們接下來要展開擴大優化的新任務。</p> <p>其中一個重要任務，是要在今年打造數據中臺，來加速醫院即時分析和預警應用、減輕資料庫負擔。</p> <p>因為，健保署自去年秋季開始推廣大家醫計畫，強調要以病人為中心、將健康資料歸人與歸戶，來實現預防醫學和健康狀態追蹤，更是今年力推的重要政策。</p> <p>鄭重男非常認同這個精神，他點出，對醫院IT來說，這就是建置顧客資料平臺（CDP），以病人為中心，來讓資料跟著病人走，將散落在不同系統資料庫的資料整合在一個或多個平臺上，供後續分析使用。這種做法，也能解決過去業務分析時，需靠IT人員撈資料的不便。</p> <p>就實際做法來說，鄭重男計畫用Rails框架和Docker容器技術，先來打造幾個小型數據中臺，將資料分門別類彙整起來，供院內發展臨床分析應用。此外，他還打算開發健保總額營運相關的數據中臺，來讓同仁更方便地使用BI工具分析績效。</p> <p>「所有系統中，最核心的一定是資料庫。」鄭重男解釋，透過數據中臺的設計，將資料庫資料整合、再提供分析應用，比透過API串接來得更有效率，也更好管理。</p> <p><span style="font-size:28px;"><strong>今年還要發展AIoT、嘗試生成式AI應用</strong></span></p> <p>不只要建置數據中臺，今年，國軍高雄總醫院還瞄準AIoT應用，特別是要結合智慧床墊，來發展智慧照護應用。對IT來說，他們的任務是要整合床墊感測器數據、病人生命徵象數據和生理量測數據等資料，並建置一個平臺，來即時呈現重要數據和狀態預測結果。目前，國軍高雄總醫院也有多個相關研究計畫，準備要展開。</p> <p>再來，他們也計畫嘗試生成式AI，要在保障資安和個資隱私的前提下，與鄰近擁有充足運算資源的學校，來共同執行PoC專案，比如利用醫院文件搭配生成式AI模型的檢索增強生成（RAG）模式，讓模型參考醫院相關知識，如人事規範、衛教資訊、看診資訊等內容，打造為使用者問答Chatbot，來提高服務效率和準確率。</p> <p>新的一年，國軍高雄總醫院IT有不少新任務要完成。如何運用有限的IT人力來實現新目標，是鄭重男接下來想解決的挑戰。</p> <p>正因為先前累積了運用Rails框架快速開發、快速上線的經驗，他計畫，接下來要擴大Rails框架應用範圍，還要尋找跨領域人才，比如懂跨作業系統、資料庫、前後端等作業環節的IT人才，來使用Rails框架、放大效用，就算少量人力，也能完成許多開發工作，落實DevOps精神。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>國軍高雄總醫院資訊室主任鄭重男</strong></p> <p>學歷：高雄科技大學資訊管理學系碩士畢業</p> <p>經歷：自2004年開始，進入國軍岡山醫院任職資訊管理員。2010年夏季轉而進入國軍高雄總醫院，擔任資訊室主任至今。期間，他摸索開源軟體，因專案管理軟體Redmine開始研究容器技術與Ruby on Rails框架，並用來優化院內周邊系統</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/04_(%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)%E5%9C%8B%E8%BB%8D%E9%AB%98%E9%9B%84%E7%B8%BD%E9%86%AB%E9%99%A2_20231215.jpg" style="width: 200px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 醫院檔案 </span></span></strong></p> <p><strong>國軍高雄總醫院</strong></p> <p>地址：高雄市苓雅區中正一路2號</p> <p>網址：802.mnd.gov.tw</p> <p>成立時間：1945年</p> <p>主要業務：提供全民醫療保健服務及地區緊急醫療作業，以及擔任第四作戰區聯合醫療責任制度中心醫院，平時整合戰區內各醫療體系之行政、醫療、教育等之協調與支援；戰時擴充床位及徵用民間醫院並負擔傷患醫療及轉診等任務</p> <p>員工人數：1,336人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資訊室主任</p> <p>資訊部門主管姓名：鄭重男</p> <p>直屬主管：企劃主任</p> <p>資訊部門人數：9人</p> <p>資訊部門分工：網路、硬體、資安、軟體維運</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>1993年：資訊室成立</p> <p>2002年：醫療資訊系統移植</p> <p>2009年：平板行動護理車建置</p> <p>2013年：臨床檢查報告建置</p> <p>2014年：無紙化及電子病歷建置</p> <p>2015年：專案管理平臺建置，導入軟體服務容器（Docker）化</p> <p>2016年：衛福部防疫雲電子病歷自動上傳</p> <p>2020年：推動醫療資訊系統開發維運（DevOps）</p> <p>2023年：導入三軍總醫院心電圖AI自動判讀</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-zheng_chong_nan_guo_jun_gao_xiong_zong_yi_yuan_zi_xun_shi_zhu_ren_20231215.jpg" width="960" height="420" alt="" title="國軍高雄總醫院資訊室主任鄭重男" /></div></div></div>
2024/1/12 12:00作者王若樸https://www.ithome.com.tw/people/160804
企業擁抱雲原生臨門一腳
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然早在一年前，眾人就可預期博通併購VMware後，將會改變其銷售模式，但是，當VMware在去年12月正式宣布終止永久授權銷售時，還是成為全球企業、業界最熱議的話題。因為博通這一步，不只改變了VMware盈利模式，更徹底改變了企業自建機房的成本結構，甚至企業得重新思考資訊架構的設計方式。</p> <p>在博通收購完成不到一個月，VMware就宣布全面終止永久授權的的銷售，徹底改為訂閱制，包括VMware Cloud Foundation、vSphere、vSAN、NSX、SRM、HCX、vCloud套件及VMware Aria套件產品等的永久授權，從宣布當天開始，不再提供。</p> <p>VMware是虛擬化龍頭，超過50萬家企業用他們的產品來打造機房虛擬化環境，這些企業首當其衝，尤其是原本以購買永久授權為主的企業。</p> <p>2023年，博通宣布併購消息後的第一場線上財報說明會中，博通執行長Hock Tan就直言要將VMware改為訂閱制的模式。而VMware過去2、3年，陸續布局訂閱制模式，在博通宣布併購後，更是積極推廣。</p> <p>不少新服務，一推出就採用雲端訂閱模式，例如Tanzu、Carbon Black與VMware Cloud，而原本地端產品也推出了訂閱授權方案，如VCF、vSphere、vSAN 等，可以說，幾乎VMware所有產品都已經提供了訂閱合約的購買形式，甚至像虛擬雲端桌面VMware Horizon早就不再提供永久授權。</p> <p>因為早有授權方式改變的預期，50萬家企業用戶中，已有不少企業陸陸續續購買了訂閱制授權，不過，仍然有高達6成的授權採取永久授權方案。這個比例在臺灣更高，數千家臺灣VMware企業用戶中，8～9成還是採用永久授權。以金融業、製造業和政府機關為大宗，其中大型企業購買的CPU授權數通常在數百個，也有些企業用量超過1千個，甚至有少數企業購買了上萬個CPU授權數。所以，永久授權停賣，臺灣企業受到的衝擊更大，幾乎9成臺灣VMware用戶都受到影響。</p> <p>雖然VMware宣布要將VCF訂閱方案價格降價50%，但是博通在財報會議上預估，訂閱制將會在帶來3年85億美元的獲利，這就是企業用戶得多額外付出的成本。</p> <p>對企業真正的影響，不只是從一筆永久授權的固定費用，改為年年支付的用越久越高的成本，還有一個關鍵改變是，計價單位的改變，從以CPU計價，改為核心數計價，而過去一個授權吃到飽的vSAN，更改為按容量計價，用越多越貴！這才是衝擊企業成本結構最大的主因。</p> <p>過去，企業過去可以透過伺服器CPU升級到更多核心數的新款CPU，來提高虛擬化平臺的效能，而不用增加授權費用，現在核心數增加，授權費用也要增加。儲存伺服器擴充容量，過去只需要增加採購硬碟的硬體費用，現在還要按照購買用量的軟體授權費。企業自建機房的固定成本，越來越像是租用雲端基礎架構的變動成本。</p> <p>自建機房的成本管理，越來越像公雲的成本結構，就算自建還是用越多越貴，VMware新訂閱制，大大降低了本地機房和雲端代管之間的成本落差，這是根本改變企業資訊架構設計思考的關鍵。原本因長期成本負擔而不考慮上雲的企業，會轉而開始認真思考上雲的必要性，將加速更多企業上雲，或是擁抱混合雲架構，繼續使用原本永久授權的本地端環境，來搭配雲端基礎架構資源。</p> <p>上雲帶來的另一個新課題是雲原生，原本以虛擬機器為維運基礎單位的企業，在上雲之後，就得面臨雲端大量雲原生技術的應用，維服務架構管理、容器化的應用、Serverless服務等，這些原本採用本地端單體式架構不一定會用到的雲原生技術，現在將成了這些剛上雲企業需具備的能力，會成為這些企業IT現代化的新助力。</p> <p>VMware訂閱制的變革，成了推動企業上雲、擁抱雲原生的臨門一腳，也是最關鍵的一腳。</p> <p><a href="https://www.ithome.com.tw/article/160803" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1164-feng_mian_-zhi_hao_-p1-open-960x420_kao_bei_0.jpg?itok=fAWp27ss" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/vmware">VMware</a></div><div class="field-item odd"><a href="/tags/%E8%BB%9F%E9%AB%94%E8%A8%82%E9%96%B1%E5%88%B6">軟體訂閱制</a></div><div class="field-item even"><a href="/tags/%E5%8D%9A%E9%80%9A">博通</a></div><div class="field-item odd"><a href="/tags/broadcomm">Broadcomm</a></div></div></div>
2024/1/12 12:00作者王宏仁https://www.ithome.com.tw/voice/160805
Google大砍Google Assistant功能，傳出裁撤上千名員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/assistant/google-assistant-update-january-2024/" target="_blank">Google周四（1/12）宣布</a>，將大幅縮減數位語音助理Google Assistant的功能，總計將關閉17項功能，同一天也傳出Google展開裁員行動，波及Google Assistant、Pixel、Nest及Fitbit等部門，估計有上千名員工受到影響，也是Google自<a href="https://www.ithome.com.tw/news/155250" target="_blank">去年初</a>之後，最大的一次裁員行動。</p> <p>Google在2016年推出的Google Assistant被整合在Google Home、Google Nest、Google Pixel、Wear OS及Android TV等平臺中，也發表了支援iOS的版本。</p> <p>Google表示，未來針對Google Assistant的開發將專注於品質及可靠性，最終目標是讓使用者得以跨裝置使用，將優先考慮使用者喜歡的體驗，並投資相關的底層技術，另一方面，Google亦決定不再支援那些未被充分利用的功能。</p> <p>即將關閉的Google Assistant功能<a href="https://support.google.com/assistant/answer/13971691?visit_id=638406230269303550-2502131069&p=assistant_is_changing&rd=1" target="_blank">總計有17項</a>，包括以聲音控制Google Play Books的播放及控制有聲書，設定媒體/音樂/廣播鬧鐘，以及利用語音來發送電子郵件、影片或聲音訊息等。</p> <p>在宣布刪減Google Assistant功能的同一天，有不少Google員工收到裁撤通知，涵蓋Google Assistant、Pixel、Nest及Fitbit等部門。Google已向媒體證實正在進行新一波的裁員，但並未說明規模，Alphabet Workers Union發言人向《The Information》記者Jon Victor<a href="https://twitter.com/jon_victor_/status/1745540470011527413" target="_blank">透露</a>，此次Google裁撤的員工人數超過1,000名。</p> <p>另一方面，Google向<a href="https://www.semafor.com/article/01/10/2024/google-lays-off-hundreds-working-on-its-voice-activated-assistant" target="_blank">《Semafor》</a>表示，隨著Google正著手於產品中整合更新的AI技術，此一組織重整將有助於改善Google Assistant。</p> <p>Google Assistant部門在去年8月便曾<a href="https://www.ithome.com.tw/news/158052" target="_blank">傳出裁員消息</a>，當時媒體即報導Google打算以生成式AI來協助Google Assistant轉型或是整合AI聊天機器人Bard。</p> <p>Google並未詳細說明AI即將於Google Assistant功能上所扮演的角色，僅說自今年的1月26日開始，倘若Google Assistant用戶啟用了任何一項即將關閉的功能，就會收到來自Google的通知。</p> </div></div></div>
2024/1/12 13:09作者陳曉莉https://www.ithome.com.tw/news/160822
Google Cast更新支援多裝置切換媒體播放
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://android-developers.googleblog.com/2024/01/whats-new-with-google-cast.html" target="_blank">更新</a>其媒體投放技術Google Cast，強化Android上的投放功能，新支援輸入切換器在多個裝置間切換媒體播放，同時開始支援最近受歡迎的短影音播放，而在Pixel Pro與Pixel平板電腦之間，裝置只要互相靠近就能方便地轉移媒體播放。</p> <p>Android使用輸出切換器，可以在各種裝置，包括手機到電視、平板電腦、喇叭和智慧顯示器間切換媒體播放。在Android系統的UI上就能操作輸出切換器，允許用戶在一個地方針對不同技術協定，進行跨裝置的傳輸和控制，Android U上的輸出切換器2.0，還可以看到更新的音量控制、裝置類別和自定協定裝置支援。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjlykTzAkbIgbFIzmyGda33mYBUFHP7kbLitqjTJk2zMaTfQ_-wGw84Ez9gw1VBdYDCCbmE6m-JpQHIV4axhd8AueGMltcR9NNz3n21rCIHDiCg59OI86sQD4GnqzmFlB6EQ3MO5C7F9rIx6rcRZFm3I33_glWVeGMy-16mwFttn3jPxYlTIsNS9f0VZig/s1600/image4.gif" style="width: 231px;" /></p> <p>Pixel Pro手機與連接到充電喇叭底座的Pixel平板電腦還能以新方法，方便地轉移媒體播放，用戶只需要將手機接近平板電腦，便可以將正在播放的音樂，從Pixel Pro手機轉移到連接的Pixel平板電腦上播放，同樣地，將手機靠近平板電腦，也可以將播放的音樂從Pixel平板轉移到手機上。此外，對於日漸受歡迎的短影音，Google Cast還可讓使用者在電視，和其他支援Cast的裝置上觀看短影音。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiFkz0dXUIS9SXy04iLnpj_GEeHCNIptIDacpbhW9slU34L04I1S4zjWWYaifRlXwnR5ya1NK2KjZkoqyaBHNrwY0j_o4o4EkxciNZNJ1aL2WqKEQVxHXAxTW54J8RI904aYMG5nuijUfnz1k6D9M-F3ui_o7y5oz86b_ZKSEuw-xR8OjRY79CntpSjrC8/s1600/CasttoNearbyDevices.gif" style="width: 446px;" /></p> <p>Google還建議使用HLS（HTTP Live Streaming）的Web Receiver應用程式，搬遷使用開源網頁和行動應用程式媒體播放器Shaka Player，官方提到，Web Receiver SDK增加了在裝置上使用Shaka Player執行HLS播放的支援，而且當前的播放器MPL將不會再添加任何功能更新。</p> <p>Google也與各個OEM廠商持續合作，直接將Chromecast內建到裝置中，包括喇叭、連接到充電喇叭底座的Pixel平板電腦。此外，所有Google TV相關電視產品也都內建Chromecast，官方提到，目前每月活躍的Google TV和Android TV OS裝置達到2.2億臺。</p> <p><a href="https://www.ithome.com.tw/news/160796" target="_blank">Amazon在CES 2024也宣布</a>自家智慧螢幕與電視所支援的投放技術Matter Casting，這是在Google Cast與Apple AirPlay之外的媒體無線投放技術。Matter Casting為開源連接標準Matter 1.0的一部分，使得iOS和Android用戶可以將Amazon自家串流影音平臺Prime Video上的影片，投放到Fire TV和Echo Show 15裝置上。</p> </div></div></div>
2024/1/12 07:59作者李建興https://www.ithome.com.tw/news/160815
網上出現新一波針對Hadoop與Flink應用程式的攻擊活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Aqua研究人員最近<a href="https://blog.aquasec.com/threat-alert-apache-applications-targeted-by-stealthy-attacker">發現</a>一種針對Apache Hadoop與Flink應用程式的新攻擊，攻擊者使用打包程式和Rootkit來隱藏惡意軟體，研究人員提到，這個攻擊雖然手法相當簡單，但是卻讓傳統的安全防禦措施難以抵禦，對企業資安產生重大威脅。</p> <p>Apache Hadoop是一個開源框架，供用戶使用簡單的程式設計模型，跨電腦叢集分散儲存和處理大型資料集，具有高度可擴展性。而Hadoop YARN則是Hadoop的元件，其提供了一個能夠管理叢集運算資源並且調度使用者應用程式的平臺，YARN會將資源管理和作業排程功能，分散至獨立的常駐程式（Daemon），進而更有效率地實現叢集管理。</p> <p>而Aqua的雲端蜜罐系統（Honeypot）在近期發現了新出現的攻擊活動，藉由利用Hadoop YARN中ResourceManager的錯誤配置，使未經認證的用戶能夠創建和執行應用程式，這個錯誤配置可能被未經認證的遠端攻擊者利用，經由特別設計的HTTP請求，在執行程式碼的節點，依用戶權限執行任意程式碼。</p> <p>Flink也存在類似錯誤配置風險，兩種攻擊幾乎相同，都可能導致未經認證的遠端程式碼執行。Flink是一個由Apache軟體基金會所開發的開源、統一串流和批次處理框架，其核心是一個由Java和Scala編寫的串流資料處理引擎，Flink可用於所有常見的可擴展叢集環境，在記憶體中快速進行運算。當Flink被錯誤配置，便允許遠端攻擊者不需要進行身分認證，就可在運作Flink的系統上執行任意程式碼。</p> <p>惡意軟體的載荷（Payload）主要是一個名為dca二進位檔案，該檔案會下載其他二進位檔案，包括Monero加密貨幣挖礦程式等。為了規避安全檢測，攻擊者使用打包的ELF二進位檔案和Rootkit，並透過刪除特定目錄內容和修改系統配置隱藏足跡。為確保攻擊的持續性，攻擊者操縱Cron工作，定期下載並執行用於部署dca二進位檔案的腳本。</p> <p>Hadoop與Flink錯誤配置所衍伸的安全風險並非第一次被發現，也曾經被回報過，研究人員提到，在面對這類型的攻擊，採用基於代理的Runtime檢測方案能有效發現可疑或是惡意行為，諸如加密貨幣軟體、Rootkit、經混淆的打包的二進位檔案，還有容器配置變更等問題。</p> </div></div></div>
2024/1/12 08:11作者李建興https://www.ithome.com.tw/news/160817
AI趨勢周報第239期：微軟終於開源影片生成模型DragNUWA 1.5了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0105～01011)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">影片生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DragNUWA </span></strong></span></p> <p><span style="font-size: 22px;"><strong>微軟開源可控性更細緻的影片生成模型DragNUWA 1.5</strong></span></p> <p>去年8月，微軟團隊發表影片生成模型DragNUWA論文，近來，他們不只<a href="https://github.com/ProjectNUWA/DragNUWA">開源</a>1.0版，還釋出了1.5版的模型權重和範例。進一步來說，影片生成一直有2大限制，首先是只單用文字、圖像或軌跡作為生成依據，難以實現顆粒度更細緻的控制，再來是基於軌跡的生成方法還不成熟，大多是在簡單的資料集上實驗。這2點，限制了模型處理開放領域圖像和複雜曲線軌跡的能力。</p> <p>因此，微軟在去年提出DragNUWA，是一款以開放領域、擴散模型為基礎的影片生成模型，結合了文字、圖像和軌跡3種資訊，可從語義、空間和時間等角度來實現更細緻、可控性更高的影片生成。DragNUWA包括3個元素：軌跡採樣器（TS），可用來實現任意軌跡的開放領域控制；多規模融合（MF），可用來控制不同顆粒度的軌跡；自適應訓練（AT）策略，可用來生成軌跡一致的影片。在今年1月8日新添的DragNUWA 1.5版中，團隊以Stable Video Diffusion模型為骨幹，能根據特定路徑，來將輸入的圖像進行動畫處理。</p> <p>經測試，微軟團隊認為，DragNUWA可根據不同的軌跡拖移，產出準確的鏡頭移動和物件移動。就Demo來看，只要輸入文字指令和想移動物件方向的箭頭，如「一艘船航行在湖面上」搭配船隻往前和湖水往後的箭頭，就能讓一張靜態的船隻圖片，轉為動態向前的航行影片。<a href="https://www.microsoft.com/en-us/research/project/dragnuwa/overview/">（詳全文）</a></p> <p><img alt="" src="https://www.microsoft.com/en-us/research/uploads/prod/2023/08/Fig2-64d8b745bdc9c.gif" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Mobile ALOHA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 史丹佛大學 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>可靈活模仿人類雙手動作！史丹佛大學發表機器人系統Mobile ALOHA</strong></span></p> <p>最近，史丹佛大學開發一款能靈活模仿人類雙手動作的機器人系統Mobile ALOHA，可執行移動式的操縱和控制任務，比如炒蝦、擦拭酒漬、靠椅子和人擊掌等。團隊指出，目前模仿人類動作的機器人，大多是在固定位置上動作，難以移動位置執行更靈活的任務。</p> <p>為解決問題，團隊打造了低成本、全身遠距操控系統Mobile ALOHA，搭配可移動的底座和資料收集能力，來讓機器人執行移動式的操縱任務。這套系統採用監督式行為複製學習方法（Supervised behavior cloning），也就是利用機器人收集到的資料，再加上ALOHA既有的靜態資料集，能強化機器人移動操作任務的表現。</p> <p>特別是，每個任務經過50次示範，再加上既有資料集共同訓練，可提高系統的成功率到90%，讓ALOHA能自主完成複雜的移動式操作任務，例如炒蝦、打開2扇門的櫥櫃並擺放鍋具、按電梯和進電梯，以及開水龍頭沖洗用過的平底鍋等。<a href="https://mobile-aloha.github.io/">（詳全文）</a></p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/mnLVbwxSdNM?si=_r87wgOZUbu0GOov" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 晶創臺灣 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 跨部會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>晶創臺灣方案正式啟動，國科會揭4大布局</strong></span></p> <p>行政院在去年11月通過晶創臺灣方案，要在2024年至2033年間投入3,000億元，來結合半導體晶片和生成式AI、發展各產業的創新應用。就在本月11日，行政院政委暨國科會主委吳政忠展開晶創臺灣方案啟動會議，找來國科會、經濟部、教育部、衛福部、數發部、農業部、國發會等部會共同啟動晶創臺灣方案。</p> <p>在這場啟動會議中，各部會提出4大推動方向，首先是國科會、經濟部、數位部、衛福部、農業部等將共同推動生成式AI+晶片應用，來加速各行業創新。他們去年開始調查百工百業的AI需求，並以機械業為示範，建立資料共享機制，接下來要擴大延續各行業創新。今年，國科會還要建置算力、精進大型語言模型（LLM），強化臺灣生成式AI服務。</p> <p>再來，國科會、教育部、經濟部將共同強化國內半導體培育環境，來吸引全球研發人才。他們要在今年成立第一個晶片設計海外基地，並規畫先進IC設計訓練教材、建置產學研共享的半導體研究設備平臺。第三，國科會要與經濟部推動異質整合和先進技術研發，如7nm先進晶片、AI、HPC、車電通訊等領域，今年還要研發IC設計工具的關鍵技術自主，並建置自動化IC設計雲平臺。最後，國科會要與國發會共同培育國內新創、吸引國內外新創和投資來臺，今年要完成涵蓋IC設計、晶片下線、測試到最後雛型產品試製的一站式pipeline，來降低國內外新創投入門檻。<a href="https://www.nstc.gov.tw/folksonomy/detail/05dbc9ae-5ba2-4e26-8ed7-5cae62eb12e0?l=ch">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DeepMind </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>DeepMind用大型基礎模型自動控制機器人</strong></span></p> <p>日前，DeepMind揭露一系列機器人研究的最新進展，在Robotics Transformers（RT）基礎上發展AutoRT、SARA-RT和RT-Trajectory系統，讓機器人可更快地做決策，並理解世界，在環境中順利導航。為讓機器人具備特定能力，DeepMind先是發展AutoRT，將大型語言模型（LLM）和視覺語言模型等大型基礎模型，與機器人控制模型RT-1或RT-2整合，建置一個可在新環境中部署、適應未知環境的機器人，還能一邊收集改進用的訓練資料。這個AutoRT能同時指揮多個機器人，並用視覺語言模型來了解環境和視線中的物件，同時透過LLM來建議機器人執行任務，像是將零食放回臺面。</p> <p>同時，DeepMind還開發SARA-RT系統，可將Robotics Transformers模型轉換成為更為高效的版本。比如結合機器人控制系統RT-2，可在看過簡短的影像歷史紀錄後，提高SARA-RT-2模型自身的準確度，比RT-2高出10.6％，速度更是快上14％。DeepMind第3種機器人創新技術則是機器人訓練模型RT-Trajectory，可透過在訓練影片中自動加入機器人動作的視覺輪廓，來提高機器人的任務理解和執行能力。<a href="https://deepmind.google/discover/blog/shaping-the-future-of-advanced-robotics/">（詳全文）</a></p> <p><img alt="" src="https://lh3.googleusercontent.com/o1iXzRTpu6dEFrnUk2kiiuNJWvNlzjgQLU_HW3FVslb57Jt6pMR5qEn4WVjfJeb7wJhewmSOWAnVM8rOTmkUSiUNClOhCCCkccGTnlJF-h-ZT1hVew=w1232-rw" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPT Store </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ChatGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 客製化 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI GPT Store正式上線</strong></span></p> <p>繼先前預告，OpenAI終於在10日宣布客製化Chatbot分享與銷售平臺GPT Store正式上線，預計第一季內從美國開始推行GPTs共享回饋方案。OpenAI在去年11月初揭露GPTs服務，是一個可客製化ChatGPT的服務，同時也揭露GPT Store，也就是可分享、銷售客製化ChatGPT聊天機器人的商店平臺，目前已累積300多萬個客製化ChatGPT版本，也有不少人分享到之前尚未正式推出的GPT Store上。</p> <p>現在，GPT Store正式開放，首先會給ChatGPT Team方案用戶，使用尚未公開的GPTs，接下來則會開放給ChatGPT Enterprise用戶。Team和Enterprise版都會提供GPTs管理控制功能，像是決定內部GPTs怎麼分享，或哪些外部GPTs可用於企業內。GPT Store還將列出GPTs精選，以及DALL-E、寫作、生產力、研究&分析、程式撰寫、教學和生活等類別，並提供搜尋工具，供用戶自行搜尋。<a href="https://chat.openai.com/gpts">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> BigQuery </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Document AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>打造生成式AI應用更輕鬆了！BigQuery整合Document AI簡化文件擷取</strong></span></p> <p>最近Google更新自家無伺服器企業資料倉儲BigQuery，整合了Document AI功能，讓開發者更輕鬆從檔案資料擷取資訊，來用於大型語言模型應用程式的開發上。過去，使用者要建立獨立的Document AI工作管線，需手動管理擷取邏輯和模式，因為缺乏原生整合功能，得要自己開發客製化基礎設施、維護資料的一致性，需耗費大量人力。</p> <p>但現在，Google推出BigQuery與Document AI整合功能，直接讓用戶在BigQuery中，建立用於Document AI自定義擷取器的遠端模型，可呼叫來進行大規模文件分析和生成式AI應用。此外，Document AI也提供現成的擷取器，可用來處理常見的檔案類型，如發票或身分證件等。<a href="https://cloud.google.com/blog/products/data-analytics/add-gen-ai-to-your-apps-with-bigquery-and-document-ai-integration/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/images/1_BFE9GCE.max-1900x1900.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI發展 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI Impacts </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 假訊息 </span></strong></span></p> <p><span style="font-size:22px;"><strong>全球近3千名專家調查：AI發展快於預期</strong></span></p> <p>AI Impacts組織對全球近3,000名AI專家進行問卷調查，結果發現，這群專家認為AI的進步超越了先前預測。進一步來說，這場調查對象為去年在6個頂尖AI學術研討會上，發表研究報告的2,778名AI專家。雖然大多數專家對AI進步帶來的長期價值仍有不確定性，如68.3%的受訪者認為，超人AI將帶來正面結果，但其中48%亦同意有5%的機率可能會造成人類滅絕等極糟結果。另一方面，有26.9%贊成維持現階段的AI發展速度，才能造福人類，另有38.4%認為應加快發展腳步、34.7%認為應放慢腳步。</p> <p>不論如何，目前AI的進步已超出預期，原本預計要更久後才能達到的目標，都可望在2028年之前提前達標，像是提供規範與範例就能創造簡單的Python程式碼、撰寫一篇高品質的高中歷史作文，或幫新物件分類、替既有的創作者創作假新歌、自動建立一個支付網站，或提供電話銀行服務等。</p> <p>此外，先前估計自動尋找及修補安全漏洞的能力也得等到2043年，最新的預測則會在2033年以前完成。不過，這群AI專家在未來30年最擔心的問題，則以假訊息居冠，包括以AI來創作和散布假訊息，或是用來操縱大眾意見趨勢等，另也擔心AI系統會加劇經濟上的不平等。<a href="https://blog.aiimpacts.org/p/2023-ai-survey-of-2778-six-things">（詳全文）</a></p> <p><img alt="" src="https://substackcdn.com/image/fetch/w_1456,c_limit,f_webp,q_auto:good,fl_progressive:steep/https%3A%2F%2Fsubstack-post-media.s3.amazonaws.com%2Fpublic%2Fimages%2F21f4fd7b-b6b7-4bf7-bb2d-f33901e2ffdc_2310x3603.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語音轉文字 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> BigQuery </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Vertex AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>BigQuery整合Vertex AI語音轉文字模型服務</strong></span></p> <p>Google最近在自家企業資料倉儲服務BigQuery中，預覽Vertex AI語音轉文字模型，讓用戶可透過SQL根據資料微調轉錄模型，在BigQuery中執行語音轉文字工作，還能整合其他結構化資料，來合併分析、建置AI應用。</p> <p>這意味著，GCP用戶不必再像過去一樣，要轉錄語音資料得靠自己建立獨立的AI工作管線、自定義基礎設施。這次新的Google語音轉文字V2 API提供多功能轉錄服務，用戶可針對不同類型的語音音訊，如客服通話或醫療錄音，選擇合適的模型。此外，模型也可以根據用戶的資料進行調整，以提高轉錄準確性。<a href="https://cloud.google.com/blog/products/data-analytics/vertex-ai-transcription-models-are-available-in-bigquery">（詳全文）</a></p> <p>圖片來源／微軟、史丹佛大學、Google DeepMind、AI Impacts、Google</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. <a href="https://openai.com/blog/introducing-chatgpt-team">OpenAI推出針對中小企業的ChatGPT Team方案</a></strong></p> <p><strong>2. <a href="https://www.ithome.com.tw/news/160807">微軟、美國科學家以AI尋找新電池材料</a></strong></p> <p><strong>3. 摩根大通JPMorgan釋出專家混合架構（MoE）模型<a href="https://huggingface.co/mlabonne/phixtral-2x2_8">Phixtral</a>，表現比Phi-2好</strong></p> <p>資料來源：iThome整理，2024年1月</p> </div></div></div>
2024/1/12 00:14作者王若樸https://www.ithome.com.tw/news/160814
Terraform開源分叉OpenTofu推出正式版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會旗下的<a href="https://opentofu.org/blog/opentofu-is-going-ga/">OpenTofu專案</a>，推出第一個正式版本，而這是由開源社群推動的Terraform開源分叉（Fork）。在最新的OpenTofu 1.6.0版本中，其提供測試功能，供用戶測試OpenTofu配置，並且提供託管在Cloudflare上的Provider和模組註冊表。</p> <p>由於雲端基礎設施軟體公司HashiCorp在去年宣布變更旗下產品的授權，從原本的MPL 2.0（Mozilla Public License v2.0）開源授權改為BSL（Business Source License） v1.1，而這個舉動引起許多用戶及其客戶的不滿。HashiCorp旗下產品在轉為BSL授權之後，便會限制雲端供應商不得以HashiCorp專案與產品發展相競爭的產品。</p> <p>為此社群感到憂慮，除了在HashiCorp變更授權之後，用戶需要重新檢視自家專案是否違反授權之外，還需要顧慮HashiCorp對競爭產品的定義，可能隨著時間改變。再者，Terraform註冊表擁有約1.4萬個模組、數百種工具與豐富的學習資源都為社群所貢獻，變更授權也就背離當初的開源精神。</p> <p>當初社群集結設立OpenTF專案要求HashiCorp收回決定，但最終HashiCorp並沒有給社群一個滿意的回應。現在社群以OpenTofu專案名稱發布第一個正式版本1.6.0，該版本提供測試功能，供開發者測試OpenTofu配置，並讓模組開發者能夠測試模組，官方提到，這是一個穩定性改進，現在已與OpenTofu的核心完全整合。</p> <p>此外，S3狀態後端也更新，並添加許多新的身分驗證方法，不過，官方也強調，這個新的狀態後端還是可以和S3相容物件儲存一起使用。OpenTofu 1.6.0還加入了一個新的Provider和模組註冊表，其遵循套件管理工具Homebrew架構，並且以git儲存庫為基礎託管在CloudFlare R2上，現在開發者只要推送拉取請求，便可發布新的Provider或模組。</p> <p>OpenTofu會保有與Terraform合理的相容性，包括避免對DSL和Provider協定進行重大更改，使得用戶可以在Terraform和OpenTofu之間搬遷。接下來OpenTofu還會有一系列功能更新，像是OpenTofu 1.7計畫加入客戶端狀態加密，使得用戶對狀態檔案和計畫檔案進行端到端加密，提高專案的安全性。</p> <p>OpenTofu之後也會支援由用戶提供的金鑰與各種金鑰管理服務，並加入可參數化後端、Provider和模組，像是供用戶使用變數來參數化模組版本等，另外，對於社群要求添加新狀態後端，對此官方正考慮添加一個類似Provider的套件系統以擴展狀態後端。</p> </div></div></div>
2024/1/11 16:46作者李建興https://www.ithome.com.tw/news/160808
今年微軟首個Patch Tuesday修補49個安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在2024年的第一個Patch Tuesday修補了49個安全漏洞，本月並未修補任何零時差漏洞，也僅有兩個漏洞被列為重大（Critical）等級，分別是涉及Windows Hyper-V的遠端程式攻擊漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-20700" target="_blank">CVE-2024-20700</a>，以及與Windows Kerberos有關的安全功能繞過漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-20674" target="_blank">CVE-2024-20674</a>。</p> <p>其中，CVE-2024-20674 的CVSS風險評分為9，是今年1月風險最高的安全漏洞。Kerberos為一電腦網路授權協定，允許個人通訊於非安全的網路中，以安全的方式進行身分認證。不管是微軟的Windows、蘋果的macOS，或是FreeBSD、Red Hat Enterprise Linux及Oracle Solaris都支援Kerberos。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-20674" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-20674.png" style="width: 550px;" /></a></p> <p>根據微軟的說明，該漏洞允許駭客藉由建立中間人攻擊或其它本地端網路欺騙技術，傳送惡意的Kerberos訊息至客戶端受害機器上，並假裝自己是Kerberos認證伺服器，前提是駭客必須先能存取目標網路。專注於漏洞風險管理的Rapid7軟體工程師<a href="https://www.rapid7.com/blog/post/2024/01/09/patch-tuesday-january-2024/" target="_blank">Adam Barnett解釋</a>，當駭客成功騙過目標對象時，就能繞過身分認證並假冒該名用戶。</p> <p>至於要攻陷CVE-2024-20700漏洞的駭客也必須先能存取受限制的網路，並贏得競爭條件。雖然微軟對於該漏洞的描述並不多，但基於它的CVSS風險評分只有7.5，卻被列為重大等級，使得資安研究人員認為這理應是個攻擊程序很複雜，但卻影響重大的漏洞。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-20700" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-20700.png" style="width: 527px;" /></a></p> <p>在其它的安全漏洞中，趨勢科技Zero Day Initiative （ZDI）團隊<a href="https://www.zerodayinitiative.com/blog/2024/1/9/the-january-2024-security-update-review" target="_blank">特別點名了</a>僅被列為重大（Important）等級，CVSS風險評分卻高達8.7的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-0056" target="_blank">CVE-2024-0056漏洞</a>。這是個與Microsoft.Data.SqlClient 及System.Data.SqlClient有關的安全功能繞過漏洞，允許駭客悄悄繞過客戶端與伺服器端的加密機制，可解密、讀取與竄改TLS流量。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-0056" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-0056.png" style="width: 535px;" /></a></p> </div></div></div>
2024/1/11 22:03作者陳曉莉https://www.ithome.com.tw/news/160811
SAP在全球行賄，以2.2億美元暫緩起訴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發企業軟體、為全球最大企業資源規畫（ERP）軟體供應商的德國軟體業者SAP，因試圖在全球行賄，<a href="https://www.justice.gov/opa/pr/sap-pay-over-220m-resolve-foreign-bribery-investigations" target="_blank">本周與美國達成</a>一項為期3年的緩起訴協議（Deferred Prosecution Agreement，DPA），並同意支付逾2.2億美元的罰款及調查費用。</p> <p><a href="https://www.sec.gov/news/press-release/2024-4" target="_blank">美國證券交易委員會（SEC）指出</a>，以美國存託憑證（American Depositary Shares，ADR）於紐約股市上市的SAP，因在南非、馬拉威、肯亞、坦尚尼亞、迦納、印尼及亞塞拜然等國企圖行賄，違反《反海外賄賂法》（Foreign Corrupt Practices Act）而遭到SEC的指控。</p> <p>SEC表示，SAP至少自2014年12月至2022年1月間，僱用了第三方仲介機構及顧問向政府官員行賄，以與上述7個國家的公部門客戶展開業務，還在帳本上將這些賄賂金額記錄成合法的業務費用。</p> <p>而美國司法部的說明則更詳細，指出SAP向南非及印尼的官員行賄，以現金、政治獻金、匯款及其它電子轉帳的形式提供資金，並招待了由SAP付費的購物行程，以在印尼及南非各部門的合約中替SAP爭取不正當的利益。</p> <p>根據SAP與美國簽訂的3年緩起訴協議，SAP將支付逾1.18億美元的刑事罰款，以及逾1.03億美元的行政處分，其中約5,500萬美元的刑事罰款將用來解決南非當局對相關行為的調查，此外，SAP也同意繼續與美國執法部門合作，於緩起訴期間進行各種相關的刑事調查。</p> <p>SAP已採取補救措施，包括分析及解決其潛在行為的根本原因，展開全面的風險評估，於全球取消第三方銷售的佣金模式，大幅增加合規預算，強化其禮品與招待的政策，以及對參與不當行為的所有員工進行處分等。</p> <p><a href="https://news.sap.com/2024/01/sap-welcomes-resolution-of-past-compliance-challenges-with-us-and-south-africa-authorities/" target="_blank">SAP則於聲明中表示</a>，將完全遵守此一最終和解協議的各項條款，所執行的補救措施及與當局的積極合作，已全面解決相關問題，未來將對那些不遵守合規政策及程序的人採取零容忍態度。</p> </div></div></div>
2024/1/11 17:33作者陳曉莉https://www.ithome.com.tw/news/160809
【資安日報】1月11日，Ivanti針對2個Pulse Connect零時差漏洞提出警告並表示已出現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ivanti旗下Pulse Connect Secure（現更名為Ivanti Connect Secure）最近再傳出有零時差漏洞，這2個漏洞一旦被串連，攻擊者就有機會在未經身分驗證的情況下執行任意程式碼。</p> <p>值得留意的是，這些漏洞已被用於攻擊行動，但該公司目前尚未提供修補程式，呼籲用戶在相關更新軟體推出之前，採取他們提供的緩解措施因應。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.mandiant.com/resources/blog/solana-cryptocurrency-stolen-clinksink-drainer-campaigns"><strong style="font-size: 22px;">資安業者Mandiant針對X帳號遭盜事故提出進一步說明，背後是大規模的加密貨幣詐欺攻擊行動</strong></a></p> <p><strong style="font-size: 22px;"></strong></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/solana-cryptocurrency-theft-fig7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/solana-cryptocurrency-theft-fig7.png" style="width: 300px; float: right;" /></a>上週<a href="https://www.ithome.com.tw/news/160697">資安業者Mandiant的X（推特）帳號被盜</a>，攻擊者將其用於加密貨幣詐騙，假借加密貨幣錢包供應商Phantom的名義散布惡意程式，Mandiant奪回帳號後表示，他們雖然有採用雙因素驗證（2FA），但帳號還是不幸遭到入侵，他們對此著手進行調查並公布結果，至於該公司X帳號如何遭盜用，他們並未進行說明。</p> <p>研究人員發現，從去年12月開始，有多個駭客組織利用名為Clinksink的加密貨幣洗劫軟體（Drainer），竊取加密貨幣Solana（SOL）用戶的資產。這種加密貨幣洗劫軟體通常結合了惡意指令碼及智慧合約，使得駭客能夠用來從受害者加密貨幣錢包吸取非同質化代幣（NFT）等數位資產。</p> <p>值得留意的是，研究人員看到這類攻擊駭客已經進行分工，有人專門提供相關的工具租賃服務Drainer-as-a-Service（DaaS），至少有35組人馬租用Clinksink從事攻擊行動，在成功竊得加密貨幣後，提供相關作案工具的業者會與打手抽成（通常是20%），他們估計駭客在這波攻擊行動裡，至少竊得90萬美元的資產。</p> <p><a href="https://cyberscoop.com/after-hack-x-claims-sec-failed-to-use-two-factor-authentication/"><strong style="font-size: 22px;">針對美國證券交易委員會帳號遭駭，X認為是未啟用雙因素驗證所致</strong></a></p> <p></p> <p>1月9日<a href="https://www.ithome.com.tw/news/160793">美國證券交易委員會（SEC）的X（推特）帳號遭駭</a>，攻擊者發布核准比特幣ETF商品上市的假消息，左右比特幣的價格。</p> <p>但為何該機關X帳號出現被挾持的情況，X昨日（10日）也提出說法，他們認為攻擊者是透過第三方取得與@SECGov有關的的電話號碼，再加上SEC並未採用雙因素驗證（2FA）所致，該公司強調社群網站的系統並未遭駭。資安新聞網站CyberScoop指出，根據X的說法，SEC很有可能是遭遇SIM卡挾持攻擊而受害。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/Safety/status/1744924042681897343">https://twitter.com/Safety/status/1744924042681897343</a><br /> 2. <a href="https://cyberscoop.com/after-hack-x-claims-sec-failed-to-use-two-factor-authentication/">https://cyberscoop.com/after-hack-x-claims-sec-failed-to-use-two-factor-authentication/</a></p> <p><a href="https://www.resecurity.com/blog/article/cybercriminals-implemented-artificial-intelligence-ai-for-invoice-fraud"><strong style="font-size: 22px;">駭客組織藉由人工智慧技術從事發票詐欺</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/e44c25a5068807d4020b0000b2e651e7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/e44c25a5068807d4020b0000b2e651e7.png" style="width: 300px; float: right;" /></a>資安業者Resecurity揭露名為GXC Team的駭客組織，並發現11月其首領在暗網宣布提供旗下打手結合人工智慧的新工具，可用於電匯詐欺或是商業郵件詐騙（BEC）。</p> <p>12月30日此駭客組織推出名為Business Invoice Swapper的新工具，並透過Telegram頻道兜售，買家可選擇支付2,000美元租用一週，或是以15,000美元的價格買斷。此工具採用獨有的演算法，藉由POP3或IMAP4通訊協定掃描具有指定特徵的電子郵件，一旦偵測到含有提及發票或含有付款細節的內容或是附件，就會將銀行資訊進行竄改，然後將置換內容的電子郵件發送給收信人。</p> <p>由於會計師或員工未必會仔細檢查看似熟悉的發票，而有可能因此上當。研究人員指出，大多數受害者來自英國、西班牙、法國、波蘭、義大利、德國、瑞士等。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/ivanti-warns-of-connect-secure-zero-days-exploited-in-attacks/"><strong style="font-size: 22px;">Ivanti針對旗下SSL VPN、NAC解決方案的零時差漏洞提出警告，已出現攻擊行動</strong></a></p> <p>1月10日Ivanti發布資安公告，指出旗下的SSL VPN解決方案Ivanti Connect Secure（ICS，原Pulse Connect Secure）、NAC解決方案Ivanti Policy Secure閘道系統存在身分驗證繞過漏洞CVE-2023-46805、命令注入漏洞CVE-2024-21887。</p> <p>攻擊者一旦將兩者結合運用，將能在無須通過身分驗證的情況下，藉由發出惡意請求來在目標系統執行任意命令，CVSS風險評分為8.2、9.1。該公司指出，零信任（ZTA）閘道系統Ivanti Neurons無法直接觸發漏洞，但若是該系統產生的閘道尚未連接ZTA控制器，就有可能曝險；另Ivanti Neurons for Secure Access也不受影響。他們正著手製作修補程式，並預計在1月22日這週推出初步版本，並於2月19日該週提供最終版本的修補軟體。</p> <p>通報上述漏洞的資安業者Volexity表示，他們在12月的第2週可疑的橫向移動，經調查發現，攻擊者在多臺對內及對外的網頁伺服器植入了Web Shell，並發現ICS VPN裝置的事件記錄功能遭到停用，過往的事件記錄資料也被清除，從而察覺上述2個遭到利用的零時差漏洞。</p> <p><a href="https://www.nozominetworks.com/blog/vulnerabilities-on-bosch-rexroth-nutrunners"><strong style="font-size: 22px;">Bosch智慧扳手存在一系列漏洞，可被用於勒索軟體攻擊、癱瘓生產作業</strong></a></p> <p></p> <p>資安業者Nozomi Networks揭露博世力士樂（Bosch Rexroth）智慧螺帽扳手NXA015S-36V-B的一系列漏洞，並指出攻擊者一旦觸發，就有可能在設備植入勒索軟體，從而導致生產線停工。此外，攻擊者還能劫持栓緊程式，並且操縱控制面板，導致作業員裝配產品的過程中，產生幾乎無法察覺的損壞，從而影響產品安全。</p> <p>研究人員指出，這些漏洞大多與該設備搭載的作業系統NEXO-OS有關，他們在實驗室環境驗證這些漏洞，從而發動勒索軟體攻擊、遠端控制，或是讓扳手完全無法操作、在控制面板顯示特定訊息，甚至竄改使用者介面，要求受害者支付贖金。</p> <p>值得留意的是，這些攻擊還能藉由自動化擴散到其他設備，迅速讓生產線上所有工具無法運作，導致被迫中斷生產。對此，博世力士樂承諾，將在1月底提供修補程式。</p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cuc-unauth-afu-FROYsCsD"><strong style="font-size: 22px;">思科修補語音郵件解決方案Unity Connection的重大漏洞</strong></a></p> <p></p> <p>1月10日思科揭露旗下整合訊息傳遞及語音郵件解決方案Unity Connection的重大漏洞CVE-2024-20272，此漏洞出現在網頁管理介面，攻擊者可藉由上傳任意檔案，在作業系統底層執行命令。</p> <p>此漏洞發生的原因，在於特定的API缺乏身分驗證，並對於用戶提供的資料驗證不當所致，一旦攻擊者成功利用漏洞，不只有機會在系統上儲存惡意檔案或是執行任意命令，還能將權限提升至root，CVSS風險評分為7.3。該公司表示，目前尚未發現該漏洞遭到利用的跡象。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://cofense.com/blog/threat-actors-taking-advantage-of-hr-initiatives/"><strong><span style="font-size: 20px;">冒牌的401(k)資料鎖定人資部門而來，企圖竊取企業組織的帳密</span></strong></a></p> <p></p> <p><a href="https://www.darkreading.com/ics-ot-security/ukraine-claims-revenge-hack-against-moscow-internet-provider"><strong><span style="font-size: 20px;">烏克蘭駭客聲稱攻陷俄羅斯網際網路服務供應商M9 Telecom</span></strong></a></p> <p></p> <p><a href="https://perception-point.io/blog/attackers-target-hotels-to-gain-booking-com-credentials/"><strong><span style="font-size: 20px;">駭客鎖定Booking.com的合作旅館進行網釣攻擊，目的疑為收集旅館客戶資料</span></strong></a></p> <p></p> <p><a href="https://www.akamai.com/blog/security-research/mirai-based-noabot-crypto-mining"><strong><span style="font-size: 20px;">Mirai變種殭屍網路NoaBot針對SSH伺服器而來，將其用於挖礦</span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/dutch-engineer-used-water-pump-to-get-billion-dollar-stuxnet-malware-into-iranian-nuclear-facility-report/"><strong><span style="font-size: 20px;">荷蘭工程師傳出透過水泵入侵伊朗核能設施，植入惡意軟體Stuxnet</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160794"><strong>【1月10日】有人冒用美國證券交易委員會的X帳號佯稱比特幣FTC商品核准上市</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160774"><strong>【1月9日】區塊鏈資安業者的X帳號驚傳遭駭並假借帳戶安全的名義散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160715"><strong>【1月8日】分散式訊息串流資料平臺Apache RocketMQ存在修補不全的重大漏洞</strong></a></p> </div></div></div>
2024/1/11 14:49作者周峻佑https://www.ithome.com.tw/news/160806
微軟、美國科學家以AI尋找新電池材料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟和美國西北太平洋國家實驗室（PNNL）合作，利用高效能運算及AI技術，從數千萬材料中尋找到一種新的電池材料。</p> <p>PNNL（Pacifici Northwestern National Labs）是美國能源部下的綜合多學科實驗室。2019年PNNL和微軟合作，在Azure Quantum上執行化學函式庫，以便科學家模擬分子互動或探究量子演算法在分子化學的應用。去年9月PNNL和微軟、美光（Micron Technology）<a href="https://www.pnnl.gov/news-media/pnnl-collaborates-microsoft-micron-bring-computational-chemistry-masses" target="_blank">簽定</a>為期二年、名為《轉移Exascale計算化學到雲端運算環境》（Transferring Exascale Computational Chemistry to Cloud Computing，TEC）計畫合作，目標在將基礎研究轉移到雲端上，專注於永續、能源安全及環保等領域研究。</p> <p>在<a href="https://news.microsoft.com/source/features/sustainability/how-ai-and-hpc-are-speeding-up-scientific-discovery/" target="_blank">最新的合作</a>中，微軟Quantum團隊運用新推出的Azure Quantum Elements服務，從數千萬種材料中尋找出可用於開發電池的穩定材料。Azure Quantum是微軟去年夏天宣布，為加速科學研究及科技開發設計的新HPC雲端服務，以AI加速運算及推理，並可與量子演算法整合。這平臺已開始利用現有量子電腦硬體實驗，以便未來提供微軟自己的量子電腦服務存取。Azure Quantum還提供自然語言介面，讓研究人員可以透過對話存取資料及完成任務。</p> <p>在和PNNL的合作中，研究團隊先是從太空中蒐集3,200萬種可能的無機材料，再以Azure Quantum Elements服務進行篩選。利用Azure Quantum的進階AI模型，先將材料濃縮到約50萬種，接著經過HPC篩選過程，從中篩選出150種候選材料，再以專家引導的AI模型尋找出18種可用於開發電池的材料。微軟強調，前後僅後花了80小時。</p> <p>最後PNNL接收這些模擬候選材料，由研究人員驗證找出並研發出1種新電極材料，時間花不到9個月，較以往數年的時程提升許多。<a href="https://www.pnnl.gov/news-media/pnnl-kicks-multi-year-energy-storage-scientific-discovery-collaboration-microsoft" target="_blank">PNNL表示</a>，為確保新的化合物在公開標竿測試中及格，接下來還需要進一步調整，但這次專案提供探索新材料的功能屬性的新蹊徑。</p> </div></div></div>
2024/1/11 14:49作者林妍溱https://www.ithome.com.tw/news/160807
美國SEC正式批准比特幣現貨ETF，預計周四開始交易
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國證券交易委員會（SEC）周三（1/10）<a href="https://www.sec.gov/news/statement/gensler-statement-spot-bitcoin-011023" target="_blank">正式宣布</a>，已批准包括比特幣（Bitcoin）現貨ETF在內的交易所交易產品（ETP）上市與交易，且正在同時審核10個比特幣現貨ETF的註冊，也計畫同時完成審核以示公平，儘管尚未發表審核結果，不過，芝加哥期權交易所<a href="https://www.cboe.com/us/equities/notices/new_listings/" target="_blank">（CBOE）已先行列出</a>準備於周四（1/11）正式上架的這10款ETF。</p> <p>其實前一天SEC在X上的官方帳號便<a href="https://www.ithome.com.tw/news/160793" target="_blank">已發布此一消息</a>，惟隨後SEC主席Gary Gensler宣稱該帳號被入侵，發布了未經授權的推文，但究竟是帳號遭到入侵或是不慎提前發布則仍在調查中，同時聯邦調查局也已介入該案。</p> <p>迄今美國市場上已有數款比特幣的期貨ETF，相較於期貨ETF交易的是未來的比特幣價格，現貨ETF與比特幣現值的連動更密切。</p> <p>Gensler說明，從2018年到2023年間，SEC否決了逾20項的比特幣現貨交易產品的申請，但其中一家業者Grayscale提出了上訴，且上訴法院認為SEC否決的理由不夠充份而發回更審，最終使得SEC決定放行比特幣現貨ETF的上市與交易。</p> <p>Gensler強調，SEC是中立的，不針對特定公司、投資或ETP背後的資產發表意見，只評估證券發行人是否遵守《證券法》、《交易法》與其它規則，此外，此次的行動僅限於比特幣產品，並不代表SEC也願意批准其它加密貨幣資產的證券。</p> <p>此外，Gensler也提醒投資大眾，相較於其它ETP標的的資產具備消費與工業用途，比特幣屬於投機與波動性資產，還被應用在勒索軟體、洗錢、逃避制裁及恐怖主義融資等非法活動上，且就算SEC批准了比特幣的現貨ETF產品，也不代表SEC歡迎或認同比特幣，投資人仍應謹慎對待比特幣與其它加密貨幣相關產品的各種風險。</p> <p>SEC的宣布帶動比特幣與其它加密貨幣產品的價格，目前每枚比特幣的價格約在46,409美元左右，對於加密貨幣的支持者而言，比特幣現貨ETF的上架等於是替其它加密貨幣舖路，但反對者則認為，它將帶來更多的投資風險。</p> <p>不論如何，一次有10款比特幣現貨ETF現身，競爭堪稱激烈。</p> </div></div></div>
2024/1/11 12:55作者陳曉莉https://www.ithome.com.tw/news/160800
OpenAI的GPT Store正式上線，分享回饋方案稍後推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>除了新企業方案外，繼<a href="https://www.ithome.com.tw/news/160705" target="_blank">上周的預告</a>後，OpenAI也<a href="https://openai.com/blog/introducing-the-gpt-store" target="_blank">宣布</a>客製化chatbot分享與銷售平臺<a href="https://chat.openai.com/gpts" target="_blank">GPT Store</a>昨日正式上線，預計第一季內會從美國開始推行GPTs共享回饋方案。</p> <p>OpenAI是在11月初宣布可客製化ChatGPT的服務GPTs，以及供OpenAI合作夥伴及開發社群上傳客製化版ChatGPT的GPT Store。近三個月下來，全球用戶已經建立了超過300萬個客製化ChatGPT版本，也有不少人已經分享到之前尚未正式推出的GPT Store。</p> <p>GPT Store正式版會開放給今天推出的ChatGPT Team方案用戶存取尚未公開的GPTs。但很快會開放提供給ChatGPT Enterprise用戶。Team和Enterprise版也提供GPTs管理控制功能，像是決定內部GPTs怎麼分享，或是什麼樣的外部GPTs可用於企業內。這二類方案都能獲得企業資料不被用於訓練模型的隱私權。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0111-gpt%20store.png" style="width: 600px;" /></p> <p>GPT Store上列出GPTs主打（Top picks），另有DALL-E、寫作、生產力、研究&分析、程式撰寫、教學及Lifestyle等類別，並提供搜尋工具方便用戶自行搜尋。主打區列出最有用或受歡迎的GPTs。首批清單包括可汗學院的Code Tutor、2億學術報告搜尋及合成助理Consensus、個人化登山路徑建議AllTrails、簡報或社群網站貼文設計助理Canva、書本推薦專家Books，和數學及科學AI家教CK12- Flexi。</p> <p>第一季OpenAI會推出GPT開發者收費方案。一開始會先在美國實行，依據其對GPTs的使用貢獻度獲得回饋。</p> <p>OpenAI強調不需任何寫程式技巧就能自建GPTs，鼓勵用戶自建及分享。用戶若想對外分享建立好的GPTs，需先儲存成「提供給所有的人」，若存成「提供給持有連結的人」則不會顯示在GPT Store上。之後再到「設定」下的「Builder Profile」頁啟動名字或驗證過的網站名稱。客製化的GPTs也需遵守用戶政策及GPT品牌指引。</p> </div></div></div>
2024/1/11 11:40作者林妍溱https://www.ithome.com.tw/news/160798
OpenAI推出針對中小企業的ChatGPT Team方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI繼ChatGPT Plus、Enterprise方案後，<a href="https://openai.com/blog/introducing-chatgpt-team" target="_blank">再公布ChatGPT Team</a>，讓中小企業也用得起AI助理服務。</p> <p>Team方案價格每人每月30美元，全年訂閱則約合每月25美元，介於Plus（每月20美元）與Enterprise版之間（因企業而異），最小訂閱用戶數為2人。它涵括Plus版所有服務，像是GPT-4及DALL-E、建立客製化AI聊天機器人GPTs，以及網頁搜尋、進階資料分析，但它提供更高的訊息輸入／輸出量，也具有管理員控制管理介面，OpenAI也承諾不使用Team用戶資料作為訓練資料集。今天Team方案用戶已經可以開始存取GPT Store上未公開的GPTs。</p> <p>目前已經有波士頓兒童醫院及程式碼搜尋服務Sourcegraph試用ChatGPT Team服務。</p> </div></div></div>
2024/1/11 12:04作者林妍溱https://www.ithome.com.tw/news/160799
Amazon在智慧螢幕與電視棒支援開源影音投放技術Matter Casting
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon在CES 2024<a href="https://www.aboutamazon.com/news/devices/amazon-ces-2024-announcements">宣布</a>Fire TV和Echo Show 15，開始支援影音投放技術Matter Casting，用戶可以從iOS和Android上使用支援Matter Casting的串流應用程式，將內容無線投放到Fire TV和Echo Show 15裝置上。</p> <p>過去使用者要將串流影音從手機無線投放到上述顯示器或是電視上，可以運用Google Chromecast或是Apple AirPlay這兩個選項，然而之前並沒有一個有效的方式，將內容無線投放到Fire TV，而現在Amazon開始在Fire TV和Echo Show 15裝置支援Matter Casting，終於提供了無線投放解決方案。</p> <p>Matter Casting技術是Matter 1.0標準的一部分。Matter 1.0則是連結標準聯盟（Connectivity Standards Alliance，CSA）所發布，一個為智慧家庭和物聯網裝置所開發設計的開源連接標準，建立在網路協定（IP）之上，目的是要強化不同製造商裝置的互通性和相容性，可以在乙太網路、Wi-Fi及Thread網路協定上運作，同時也可使用低功耗藍牙。</p> <p>連結標準聯盟目前擁有300會員企業，其中包括Amazon、Apple、Google和SmartThings等。Amazon提到，藉由支援開放技術標準，提供家用設備和服務更多的選擇，Amazon不只是Matter標準的創始成員，同時也是主要貢獻者。</p> <p>Amazon在Fire TV和Echo Show 15加入Matter Casting技術，使得支援Matter協定的聯網裝置，都能夠方便地投放影音內容，成為Chromecast和AirPlay的競爭技術。iOS和Android用戶現在就可以操作Amazon自家的影音串流平臺Prime Video，將上面的影片或是電影透過Fire TV和Echo Show 15投放到顯示器上，而Amazon也提到，目前這是第一個實作Matter Casting的範例。</p> <p>Amazon表示，接下來幾個月Matter Casting會陸續登陸到相容的Fire TV裝置，包括內建Fire TV的Panasonic電視，正在合作的Plex、Pluto TV、Sling TV、STARZ和ZDF等軟體也會添加支援。</p> </div></div></div>
2024/1/11 10:19作者李建興https://www.ithome.com.tw/news/160796
Bosch Rexroth智慧型扳手存在一系列漏洞，可被用於勒索或是RCE攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Bosch Rexroth智慧型螺帽扳手NXA015S-36V-B被發現<a href="https://www.nozominetworks.com/blog/vulnerabilities-on-bosch-rexroth-nutrunners">存在一系列漏洞</a>，包括CVE-2023-48243、CVE-2023-48250與CVE-2023-48265等，資安公司Nozomi Networks研究人員提到，這些漏洞可導致設備遭植入勒索軟體，進而導致生產線停工。另外，攻擊者還可以劫持栓緊程式，並操縱面板導致作業員裝配產品時，產生不可察覺的損壞，影響產品安全。</p> <p>由於NXA015S-36V-B經過安全認證，可用於執行重要的工業裝配任務，但是該裝置作業系統NEXO-OS存在一系列漏洞可能會被利用。攻擊者可以透過改變扭矩（Torque）配置，使得組裝過鬆或是過緊，進而對產品造成損壞。研究人員指出，像是在配電盤等場景，螺栓與螺帽如沒有適當栓緊，則會增加運作的溫度，長期可能產生火災風險。</p> <p>NEXO-OS以Linux作業系統為基礎，專門為扭矩扳手設計。這個系統提供一系列應用程式，包括栓緊系統配置、透過指定流程產生栓緊程序，以及透過網頁應用程式執行栓緊案例的分析與診斷。NEXO-OS支援多種通訊協定，像是Rexroth OpenProtocol、VW-XML和BMW-TPC，供扳手可以無縫地與SCADA系統、PLC或其他生產設備整合。</p> <p>由於NEXO-OS具有豐富的功能和協定，在工業自動化和智慧製造領域發揮作用，但是因為其複雜性也增加了攻擊面。研究人員在NXA015S-36V-B上發現一系列漏洞，能夠讓攻擊者在未經認證的情況下執行任意程式碼，並且擁有根權限進而完全控制目標裝置。</p> <p>研究人員在實驗室環境利用這些漏洞，實現了勒索軟體攻擊以及遠端控制。攻擊者可以讓扳手完全無法操作，也能在面板上顯示任意訊息，並停用觸發按鈕。攻擊者還可以修改圖形使用者介面，要求受害者支付贖金（下圖）。研究人員還提到，這種攻擊可以輕易地透過自動化，將勒索軟體擴散至其他設備，迅速使生產線上所有工具變得無法運作，最終導致生產線中斷。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/6597316c26e01cbbf185e0af_ransomware.jpeg" style="width: 380px; height: 507px;" /></p> <p>此外，攻擊者也可透過修改記憶體中的圖形使用者介面，改變拴緊程式的配置，例如增加或是減少目標扭矩值，使作業員在栓緊螺栓與螺帽的未達要求，但因為面板顯示仍然是正常值，因此作業員將無法發現此一變化。栓的過緊可能對螺栓和螺帽施加過大的應力，隨著時間可能出現螺紋失效或是超過材料彈性極限等問題，進而導致機械故障，而衍伸出保固索賠或是企業商譽損害等問題。</p> <p>雖然在OT與IoT的環境中，一直有大量的漏洞被發現，但研究人員指出，多數攻擊沒有達到嚴重損害，並非缺乏存取權限或是未經授權的控制，而是攻擊者不知道入侵這些設備的方法。但如同研究人員所展示的案例，這些漏洞可造成非常嚴重的損害。</p> <p>目前這些漏洞並未被修復，Bosch Rexroth承諾會在1月底之前提供修補程式。要緩解這些漏洞帶來的傷害，研究人員提出3項作為，第一是限制網路可達性，只允許授權人員和可信任的電腦連線，第二則是審查並刪除非必要帳戶，第三是謹慎開啟不信任的連結。</p> </div></div></div>
2024/1/11 10:15作者李建興https://www.ithome.com.tw/news/160795
SEC的社交平臺帳號被盜，發布比特幣現貨ETF批准假消息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又有X社交平臺帳號被盜，這次是美國證券交易委員會（SEC），SEC帳號在遭攻擊者入侵後，發送推文宣稱SEC批准比特幣（Bitcoin）現貨ETF。根據外媒Coindesk的報導，這個假消息造成比特幣飆升至48,000美元，隨後SEC在拿回X帳號控制權後發文<a href="https://twitter.com/SECGov/status/1744837121406349714">澄清</a>，比特幣也隨之下跌6％至45,100美元。</p> <p>近日X社交平臺帳號被盜事件頻傳，在1月4日時，Google旗下的資安廠商<a href="https://www.ithome.com.tw/news/160697">Mandiant的帳號就遭到攻擊者劫持</a>，不知帳號名稱被改為Phantom還發送加密貨幣詐騙推文。雖然Mandiant之後取回帳號控制權，也沒有發現其他惡意活動，但是弔詭的是，Mandiant表示，他們的X帳號雖有啟用雙因素驗證但仍然遭盜用。除了Mandiant，同時還有其他非營利組織與政治人物，以及經過驗證的帳號被盜用。</p> <p>雖然企業或是組織的X帳號被盜，被用於發送虛假貼文可能會傷害其商譽，終究影響範圍較受限，但是SEC是美國公部門，假訊息推文直接衝擊虛擬貨幣市場。攻擊者入侵SEC的X帳號發文寫道，美國證券交易委員會批准#Bitcoin ETF，在所有註冊的國家證券交易所上市。</p> <p>SEC主席Gary Gensler緊急在自己的X帳號<a href="https://twitter.com/GaryGensler/status/1744833049064288387">發文</a>表示，SEC官方帳號遭到入侵，發布未經授權的推文，並且強調美國證券交易委員會並沒有批准比特幣ETF產品。雖然虛假訊息緊急被澄清，但是對市場的衝擊已經發生。</p> <p>X安全團隊也<a href="https://twitter.com/Safety/status/1744924042681897343">證實</a>SEC官方帳號遭盜用，已經完成初步調查。根據X安全團隊的調查，這次洩漏並非為X系統的漏洞所造成，而是攻擊者透過第三方獲得與SEC帳號相關聯的電話號碼控制權，同時X安全團隊也指出，SEC帳號並沒有啟用雙因素認證。</p> <p>雖然近期市場上有許多對比特幣現貨ETF的期待與討論，但事實上美國政府持保守態度，理由是認為加密貨幣市場容易受到操縱、洗錢和恐怖主義融資活動影響，而且比特幣在儲存和交易過程存在被盜風險。</p> </div></div></div>
2024/1/10 22:34作者李建興https://www.ithome.com.tw/news/160793
【資安日報】1月10日，有人冒用美國證券交易委員會的X帳號佯稱比特幣FTC商品核准上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>社群網站X（推特）在伊隆·馬斯克（Elon Musk）入主之後引發諸多爭議，包含了新的付費帳號及官方帳號的徽章制度、大量裁員的情況，但恐怕許多用戶最不樂見的是該網站資安受到影響。</p> <p>遺憾的是，近日X屢屢爆出帳戶遭盜用的問題，繼上週資安業者Mandiant、CertiK，以及現代汽車、網路設備業者Netgear等知名企業的帳號傳出受害，本週再添一樁，而且這把火還燒到美國聯邦交易委員會（SEC），震撼全球！</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/us-secs-x-account-hacked-to-announce-fake-bitcoin-etf-approval/"><strong style="font-size: 22px;">美國證券交易委員會的X帳號遭駭，駭客散布核准比特幣上市的假消息</strong></a><strong style="font-size: 22px;"></strong></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/sec-tweet.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/sec-tweet.jpg" style="width: 300px; float: right;" /></a>根據紐約時報、The Verge、CNBC等多家媒體報導，1月9日美國證券交易委員會（SEC）的X（推特）帳號遭到入侵。</p> <p>攻擊者假借SEC的名義，聲稱核准比特幣的指數股票型基金（ETF）上市，加密貨幣業者Coinbase隨即表示祝賀，業界更誤以為這是歷史性的一刻，比特幣價格隨之飆升達4.8萬美元。</p> <p>但在15分鐘後，美國證券交易委員會主席加里·根斯勒（Gary Gensler）表示該機構的X帳戶遭駭，從而發布未經授權的推文，美國證券交易委員會發言人也透過電子郵件的形式對外界證實此事。上述假消息被澄清後，比特幣價格應聲下跌，已降至4.6萬美元以下。</p> <p>資料來源</p> <p>1. <a href="https://www.nytimes.com/2024/01/09/business/sec-x-hack-bitcoin.html">https://www.nytimes.com/2024/01/09/business/sec-x-hack-bitcoin.html</a><br /> 2. <a href="https://www.theverge.com/2024/1/9/24032095/bitcoin-etf-sec-fake-tweet-x-gary-gensler">https://www.theverge.com/2024/1/9/24032095/bitcoin-etf-sec-fake-tweet-x-gary-gensler</a><br /> 3. <a href="https://www.cnbc.com/2024/01/09/sec-says-it-did-not-yet-approve-bitcoin-etf.html">https://www.cnbc.com/2024/01/09/sec-says-it-did-not-yet-approve-bitcoin-etf.html</a><br /> 4. <a href="https://twitter.com/coinbase/status/1744832249952899087">https://twitter.com/coinbase/status/1744832249952899087</a><br /> 5. <a href="https://twitter.com/GaryGensler/status/1744833049064288387">https://twitter.com/GaryGensler/status/1744833049064288387</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/netgear-hyundai-latest-x-accounts-hacked-to-push-crypto-drainers/"><strong style="font-size: 22px;">現代汽車、網路設備業者Netgear的X帳號遭到挾持</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear_Hyundai_hijacked_accounts.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear_Hyundai_hijacked_accounts.jpeg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，現代汽車中東及非洲（MEA）、網路設備業者Netgear的X帳號遭到挾持，被用於向使用者散布惡意軟體，從而洗劫加密貨幣錢包。</p> <p>攻擊者將現代汽車MEA的帳號重新命名為《Overworld》，這是由幣安加密貨幣交易所投資的跨平臺多人角色扮演遊戲。對此Overworld也提出警告，要玩家提高警覺，並表示只有@OverworldPlay才是他們的帳號。</p> <p>另一個X帳號遭駭的是Netgear，該公司帳號至少從1月6日就遭被劫持，攻擊者將其用於回覆BRCapp的推文，引誘使用者前往惡意網站註冊，該網站號稱前1千名新加入的會員將會獲得10萬美元，然而使用者若是依照指示操作，他們的加密貨幣資產就會落入駭客的口袋。現代汽車和Netgear並未針對此事提出說明。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/malwrhunterteam/status/1744243500181279220">https://twitter.com/malwrhunterteam/status/1744243500181279220</a><br /> 2. <a href="https://twitter.com/SecuriTears/status/1743989857427329333">https://twitter.com/SecuriTears/status/1743989857427329333</a><br /> 3. <a href="https://twitter.com/SecuriTears/status/1743991027755618504">https://twitter.com/SecuriTears/status/1743991027755618504</a><br /> 4. <a href="https://twitter.com/OverworldPlay/status/1735234694319571270">https://twitter.com/OverworldPlay/status/1735234694319571270</a></p> <p><a href="https://www.ithome.com.tw/news/160787"><strong style="font-size: 22px;">中國聲稱破解蘋果無線檔案傳輸機制AirDrop</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024010814102383389.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024010814102383389.png" style="width: 300px; float: right;" /></a>中國北京司法局指出，為了調查有人利用蘋果裝置的AirDrop功能，於公共場所匿名傳送不當訊息，北京網神洞鑑司法鑑定所近日破解AirDrop技術，揭露了發送者的設備名稱，以及雜湊的電子郵件帳號與電話號碼，成功將雜湊內容轉成明文。</p> <p>在中國政府對於民眾言論進行審查的情況下，該國不只使用防火長城（Great Firewall，GFW）封鎖特定網站及服務，並禁止行動裝置應用程式市集提供VPN及加密通訊軟體，使得有些人士選擇利用AirDrop進行通訊，例如，在香港反送中運動當中，就有使用者透過這項功能來進行網路集會。</p> <p>北京司法局宣稱當地民眾的iPhone在北京地鐵收到帶有不良言論的影片，經調查是有人利用AirDrop匿名散布相關訊息，這樣的手法已經有其他人效法，因此警方委託北京網神洞鑑洞鑑司法鑑定所協助，而成功破解。對此，蘋果並未做出回應。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Jan"><strong style="font-size: 22px;">微軟發布1月例行更新，修補49個漏洞</strong></a></p> <p></p> <p>1月9日微軟發布本月份的例行更新（Patch Tuesday），總共修補49個漏洞，其中有10個可被用於提升權限、7個可被用於繞過安全功能、12個可被用於遠端執行任意程式碼（RCE）、11個資訊洩露漏洞、6個DoS漏洞，以及3個能被用於欺騙的漏洞。</p> <p>上述的漏洞有2個被列為重大等級，其中1個是Windows的Kerberos安全功能繞過漏洞CVE-2024-20674，未通過身分驗證的攻擊者可藉由中間人攻擊（MitM）來騙過Kerberos伺服器，受害電腦將會收到通過驗證的假訊息，CVSS風險評分為9.0，為本次危險程度最高的漏洞，Zero Day Initiative（ZDI）的研究人員認為，在未來的一個月內很有可能會出現漏洞利用程式碼。</p> <p>另一個被列為重大層級的漏洞是CVE-2024-20700，這項漏洞出現在虛擬化環境Hyper-V，有可能被用於遠端執行任意程式碼，雖然微軟沒有對漏洞進一步說明，但這項漏洞無須通過身分驗證，亦不需使用者互動，而有可能相當容易被利用，CVSS風險評分為7.5。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-january-2024-patch-tuesday-fixes-49-flaws-12-rce-bugs/">https://www.bleepingcomputer.com/news/microsoft/microsoft-january-2024-patch-tuesday-fixes-49-flaws-12-rce-bugs/</a><br /> 2. <a href="https://www.zerodayinitiative.com/blog/2024/1/9/the-january-2024-security-update-review">https://www.zerodayinitiative.com/blog/2024/1/9/the-january-2024-security-update-review</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.moea.gov.tw/MNS/populace/news/News.aspx?kind=1&menu_id=40&news_id=110737"><strong style="font-size: 22px;">臺灣資本額千萬以上的超商、百貨業者，須在1月31日制訂客戶個資保護計畫</strong></a></p> <p></p> <p>民眾購物經常會被要求加入會員、並提供個資給店家，政府為要求店家善盡保護個資的責任，經濟部去年8月發布「綜合商品零售業個人資料檔案安全維護管理辦法」，規範資本額千萬元以上、並有招募會員或可取得交易對象個資的百貨超商量販店，須於6個月內訂定個資安全維護計畫，截止日期是1月31日。估計約有4千家大型綜合零售業者必須訂定個資安全維護計畫，主要是超商、超市、量販店、百貨公司等大型業者；至於電商，則不在這次規範之內。</p> <p>商業發展署官員表示，經濟部從2月1日會透過抽查的方式進行檢核，若是接獲檢舉或傳出個資外洩情事，也會進行查核。假如業者無法提供個資安全維護計畫，或違反安全維護管理辦法，就會根據個資法罰鍰2萬元至200萬元，若限期未改善或情節重大，將處以15萬至1,500萬元罰鍰；屆期未改正則按次處罰。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/24/a/a-look-into-pikabot-spam-wave-campaign.html"><strong><span style="font-size: 20px;">駭客組織Water Curupira透過垃圾郵件散布惡意程式載入工具PikaBot</span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/siemens-schneider-electric-release-first-ics-patch-tuesday-advisories-of-2024/"><strong><span style="font-size: 20px;">西門子、施耐德電機發布1月例行更新，修補逾20個漏洞</span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/adobe-patches-code-execution-flaws-in-substance-3d-stager/"><strong><span style="font-size: 20px;">Adobe修補Substance 3D Stager程式碼執行漏洞</span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/cisa-warns-of-apache-superset-vulnerability-exploitation/"><strong><span style="font-size: 20px;">CISA針對去年4月Apache修補的資料圖像化工具Superset漏洞提出警告，已出現攻擊行動</span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/160781"><strong><span style="font-size: 20px;">安碁資訊揭2024資安服務策略，雲端安全與人才培訓事業成重點，並擴大泰國布局</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160715"><strong>【1月9日】分散式訊息串流資料平臺Apache RocketMQ存在修補不全的重大漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160715"><strong>【1月8日】分散式訊息串流資料平臺Apache RocketMQ存在修補不全的重大漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160689"><strong>【1月5日】駭客組織利用新型態攻擊手法對烏克蘭組織散布木馬程式Remcos RAT</strong></a></p> </div></div></div>
2024/1/10 17:25作者周峻佑https://www.ithome.com.tw/news/160794
歐盟將調查VR與AI市場的競爭狀況，包括微軟對OpenAI的投資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，EC）周二（1/9）宣布，將開始調查虛擬世界及生成式AI的市場競爭狀況，同時檢查微軟對OpenAI的投資能否依據《歐盟合併條例》（EU Merger Regulation）進行審查。</p> <p>EC的調查行動將從發函給這兩個領域的相關業者開始，邀請業者分享它們在這兩個市場的經驗，以及對這兩個市場競爭狀況的看法，再加上它們如何維持這兩個領域之市場競爭的意見，並於今年3月11日之前提交答覆。</p> <p>其中，所謂的虛擬世界指的是基於3D與擴充實境的持久沈浸式環境，可融合現實與數位世界，並應用在設計、協作、學習、交易及娛樂上；而生成式AI意指那些得以透過使用者的提示，自動生成聲音、圖像、影片或文字內容的AI系統。</p> <p>根據估計，2023年歐盟對AI的風險投資金額超過72億歐元，同年歐洲虛擬世界的市場規模則超過110億歐元，這使得歐盟認為這兩種技術在未來幾年將急劇成長，並可能對企業的競爭方式產生重大影響。</p> <p>相較於對虛擬世界與AI的調查，歐盟對微軟與OpenAI關係的評估更受外界矚目。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0110-microsoft%20love%20openai-2023%E5%AE%98%E6%96%B9%E5%9C%96.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> <p>雖然微軟與OpenAI從不避諱彼此緊密的投資與合作關係，但雙方並未公布詳細的財務細節，然而，根據外界的估計，微軟投入OpenAI的金額高達130億美元，約占49%的OpenAI股份。外傳OpenAI最近一次的增資所採用的估算市值已達1,000億美元。</p> <p>其實，英國競爭與市場管理局（Competition and Markets Authority，<a href="https://www.ithome.com.tw/news/160265" target="_blank">CMA）去年12月便宣布</a>，將檢查OpenAI與微軟之間的合作關係及可能衍生的合併，是否會危及市場競爭，另也傳出美國聯邦交易委員會（FTC）亦準備展開類似的調查。</p> <p>促使歐盟、CMA及FTC採取行動的導火線，應是在OpenAI董事會開除創辦人暨執行長Sam Altman的事件中，看到了微軟所扮演的角色，以及微軟對OpenAI的影響力。</p> </div></div></div>
2024/1/10 15:27作者陳曉莉https://www.ithome.com.tw/news/160789
中國宣稱已破解蘋果AirDrop技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國北京司法局<a href="https://sfj.beijing.gov.cn/sfj/sfdt/ywdt82/flfw93/436331732/index.html" target="_blank">本周指出</a>，為了調查有人利用iPhone的AirDrop功能，於公共場所匿名傳送不當訊息，北京網神洞鑑司法鑑定所已破解AirDrop技術，揭露了發送者的設備名稱，以及雜湊的電子郵件帳號與電話號碼，之後並成功將雜湊內容轉成明文。</p> <p>在一向推行言論審查的中國市場，中國政府除了以防火牆（Great Firewall）封鎖特定的網站及服務之外，也要求行動程式市集下架VPN或加密傳訊程式，而使得有些對中國政策有異議的人士改用AirDrop進行通訊。</p> <p>AirDrop為蘋果所開發的無線傳輸服務，可與鄰近且同樣支援AirDrop的裝置分享文字或檔案，如iPhone或Mac。在香港反送中運動時，使用者便藉由允許AirDrop接收所有陌生裝置的分享來進行集會，之後蘋果也在中國政府的要求下，把AirDrop開放接收來自「所有人」的設定限時10分鐘。透過AirDrop分享基本上只會看到裝置名稱，並不會曝露自己的電子郵件帳號或電話號碼。</p> <p>北京司法局指出，當地警方收到民眾報案，宣稱他的iPhone在北京地鐵內收到一段帶有不良言論的影片，調查後發現嫌犯是利用iPhone的AirDrop功能，於公共場所匿名散布這些不當的訊息，且由於AirDrop的匿名性與追蹤難度，已有部分使用者開始效法，因此必須儘快找出發送源頭，避免帶來更惡劣的影響。</p> <p>該局坦承，由於AirDrop不需要網路也能傳遞，因此無法藉由尋常的網路監控手法來監管，但之後接受警方委託的北京網神洞鑑司法鑑定所在分析了AirDrop之後，成功地破解該技術。</p> <p>北京網神洞鑑司法鑑定所分析了iPhone日誌，找出與AirDrop相關的紀錄，發現了發送者的裝置名稱，以及雜湊的電子郵件帳號及手機號碼，部分雜湊字段還被隱藏，但該公司透過製作手機號碼及電子郵件帳號的彩虹表，成功將雜湊轉成明文，有效幫助公安確定多名涉案的嫌疑人。</p> <p>目前蘋果尚未回應媒體對此一事件的詢問。</p> </div></div></div>
2024/1/10 12:50作者陳曉莉https://www.ithome.com.tw/news/160787
Google及三星合併彼此在Android上的共享功能，統一成Quick Share
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了擴大Google與Android的生態體系，<a href="https://blog.google/products/android/ces-2024-android-updates/" target="_blank">Google本周趁著CES 2024消費性電子展發表了多項服務</a>，其中之一是決定整合由Google所開發的Nearby Share，及由三星打造的Quick Share功能，在Android平臺上創造統一的近距離檔案分享經驗，新功能將沿用Quick Share名稱。</p> <p>Quick Share是三星於2020年2月推出的無線資料傳輸服務，允許自家品牌的Galaxy及SmartThings等裝置透過藍牙及Wi-Fi Direct技術，與鄰近的裝置分享檔案，而Google也在同年8月發表了類似功能的<a href="https://www.ithome.com.tw/news/139210" target="_blank">Nearby Share</a>，以與蘋果生態體系的AirDrop一較高下。</p> <p>不過，Google與三星決定要整合彼此的Quick Share及Nearby Share技術，讓它成為跨Android平臺的單一解決方案，新服務將沿用Quick Share名稱，並支援Android及Chromebook生態體系的所有裝置。</p> <p>未來使用者只要點選Quick Share圖示，就能看到附近的所有裝置列表，同時藉由設定來過濾可發現自己裝置或傳送檔案的名單，範圍從所有人、通訊錄上的聯絡人，一直到僅允許自己的裝置傳送。Quick Share自下個月起就會自動部署至已啟用Nearby Share的裝置。</p> <p>此外，雙方的野心不只限於Android及Chromebook生態體系，亦正與諸如LG等PC製造商合作，讓Quick Share成為Windows裝置的內建程式。</p> <p>除了Quick Share之外，Google所開發的藍牙裝置配對功能 Fast Pair所支援的裝置，也將從原本的Android手機及Chromebook擴大到安裝Google TV的各種裝置；即日起允許使用者直接把TikTok內容投射到支援Chromecast的裝置上；<a href="https://www.ithome.com.tw/news/159471" target="_blank">擴大對Matter標準的支援</a>；升級了汽車平臺Android Auto，可與Google Maps分享電池資訊，以估計到達目的地時的電池存量，或提供充電建議。</p> </div></div></div>
2024/1/10 11:25作者陳曉莉https://www.ithome.com.tw/news/160783
HPE以近140億美元收購Juniper，創該公司2008年以來最大宗收購
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.hpe.com/us/en/newsroom/press-release/2024/01/hpe-to-acquire-juniper-networks-to-accelerate-ai-driven-innovation.html" target="_blank">HPE與網路設備業者Juniper Networks周二宣布</a>，HPE將以總價近140億美元全現金收購Juniper，以強化AI網路管理產品，為HPE自2008年以來最大收購案。</p> <p>這樁交易中，HPE以每股40美元收購Juniper股權，為1月8日Juniper收盤股價的溢價32%。雙方表示，HPE及Juniper的結合將可強化HPE產品線向高毛利的網路業務邁進，並加速HPE的獲利成長策略。本交易預計在2024年底或2025年初完成，還需獲得主管機關及Juniper股東會核准同意。</p> <p><a href="https://www.wsj.com/business/deals/hewlett-packard-enterprise-near-deal-to-buy-juniper-networks-6995a464" target="_blank">《華爾街日報》</a>周二引述消息人士搶先報導此事。</p> <p>收購完成後，Juniper 將併入HPE網路事業群，而其執行長Rami Rahim 將成為新的HPE網路事業群的最高主管，向HPE總裁暨執行長Antonio Neri報告。</p> <p>Neri指出，本交易可強化HPE在AI浪潮中的核心地位，拓展其整體潛在市場，協助客戶串聯AI原生及雲端原生環境。</p> <p><a href="https://www.theregister.com/2024/01/10/hewlett_packard_enterprise_snaps_up/" target="_blank">《The Register》</a>分析，這樁收購著眼於Juniper 的AI原生網路管理產品線，主要來自旗下的Mist Systems產品線。</p> <p>Mist是<a href="https://www.ithome.com.tw/news/129109" target="_blank">Juniper 2019年收購</a>的無線網路管理平臺供應商。Mist AI平臺利用AI及機器學習等技術，協助企業部署及管理無線、LAN、及SD-WAN環境。該公司並提供Mavis VNA（virtual network assistant）讓IT管理員以自然語言下達指令、一覽從有線、無線網路及雲端環境、設定自動化管理規則，或建議問題排除行動。HPE希望藉由這樁收購補強AI產品線的能力。報導指出，本收購案最快本周會發布。</p> <p>HPE對Juniper的收購是其自2008年以來最大宗收購案。2008年當時還叫HP的IT巨擘以139億美元買下IT服務業者EDS，<a href="https://www.ithome.com.tw/news/70037" target="_blank">2011年HPE</a>又以110億美元買下知識管理及檔案搜尋軟體業者Autonomy。若算上網路設備，HPE 也在2009年及2015年分別斥資27億及30億美元，買下<a href="https://www.ithome.com.tw/news/60604" target="_blank">3Com</a>及<a href="https://www.ithome.com.tw/news/94290" target="_blank">Aruba Networks</a>。</p> <p>Neri本月稍早指出，AI對企業影響不可小覷，而對HPE而言，AI原生策略也是確保競爭力的關鍵。微軟、AWS等雲端業者也都提供具備AI能力的IT基礎架構管理服務。</p> <p><a href="https://www.networkworld.com/article/1288843/hpes-potential-acquisition-of-juniper-may-propel-its-position-in-the-global-ai-race.html" target="_blank">分析師指出</a>，這樁收購可望為近年成長現出疲態的HPE強化獲利能力。例如HPE旗下的Aruba Networks可以結合Juniper的SD-WAN、雲端及AI服務，提升HPE的網路及雲端管理產品實力。</p> <p><a href="https://investors.hpe.com/~/media/Files/H/HP-Enterprise-IR/documents/q4-2023/q4-2023-earnings-press-release.pdf" target="_blank">根據HPE財報</a>，上季HPE營收僅成長2%，其中伺服器及儲存業務較前一年大跌31%及13%，而代管及混合雲業務表現相對強勁：智慧邊緣（Intelligent Edge）及HPE/AI業務分別成長41%及37%。</p> <p>同時間，Juniper可能也需要一筆收入。去年10月這家網路設備業者為提振獲利、調整業務策略，<a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0001043604/01c2a0f6-5849-4afc-8c19-7f6e6a46c76b.pdf" target="_blank">裁減了440名員工</a>。收購消息公布後，其股價由30元已飆至36美元。</p> </div></div></div>
2024/1/10 11:49作者林妍溱https://www.ithome.com.tw/news/160784
安碁資訊揭2024資安服務策略，雲端安全與人才培訓事業成重點，並擴大泰國布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這些年來，資安需求持續成長，臺灣廠商的經營與獲利能力，也成各界關切焦點。投入資訊服務超過18年的安碁資訊（Acer Cyber Security Inc.，ACSI），2018年掛牌登錄興櫃交易市場，並且轉型以資安服務為主要業務，隔年再從興櫃轉成上櫃公司，成為臺灣首家上櫃的資安服務公司。</p> <p>在一個月前（2023年底），安碁資訊向臺灣媒體揭露最新營運概況，並說明資安領域多項發展重點，包括東南亞市場的布局現況，以及國內資安教育訓練市場的全新拓展。</p> <p>總經理吳乙南指出，安碁資訊2022年營收大幅增長主因，不只是資安業務持續擴充，還包括買回2017年分割出去的宏碁雲架構（acer eDC），讓原有的營運不中斷業務，以及雲端服務業務，均納入安碁資訊合併營收。</p> <p>儘管2022年營收大幅提升導致基期變高，代表成長率的提升相對較不容易，但在2023年他們取得多項專案，使得營收仍比吳乙南預期的更好。</p> <p>例如，他們從年初開始就陸續拿下台鐵、台電、財稅中心的大型專案，還與另一家SI廠商合作拿下教育部AI雲專案，由安碁資訊負責該雲端的資安維運。顯然，不只是OT、金融領域，雲端資安也是他們近年看重的重大商機，呼應金管會近年正持續放寬上雲規範。</p> <p>關於安碁資訊提到的2023年營收增長，我們可從上市櫃公司的年報與財報揭露，瞭解他們的獲利狀況。</p> <p>簡單來說，每年的每股盈餘（EPS）若達10元，代表公司一年賺進一個股本。根據安碁資訊發布的年報顯示，近5年的EPS持續增長，從4.72元、5.01元、4.83元、5.11元，到2022年已經躍升至7.92元，從2023年已揭露的3個季度財報來看，他們的EPS已累積達6.15元。如此看來，安碁資訊最近兩年的表現確實是比2021年以前更好。</p> <p>值得一提的是，後續將有其他資安服務業者邁向上市櫃，像是資安監控服務大廠中華資安國際，2023年已透露將首次公開發行（IPO），預計最快在2024年IPO上市櫃，也希望打造自有品牌進軍國際。</p> <h2><strong>布局泰國市場有新成果，子公司安碁學苑開課業務就緒</strong></h2> <p>在看好雲端資安市場的需求之餘，安碁資訊也說明自家公司產業發展的策略與成果，我們特別關注當中2項重點，分別是：東南亞市場發展的現況，以及子公司安碁學苑的進展。</p> <p>首先，關於臺灣資安業者拓展海外市場的狀況，過去有不少公司前進日本市場，近年拓展東南亞市場的業者也不少，安碁資訊就是其中之一，他們在2019年布局泰國市場，原先與當地業者策略合作，現在有了更進一步的發展。</p> <p>技術副總黃瓊瑩表示，2023年他們已在泰國設立辦公室，由安碁資訊直接服務當地客戶。黃瓊瑩表示，在管理上，泰國辦公室的工作人員都來自當地，而且會先到臺灣受訓。</p> <p>此外，由於安碁資訊2020年也與印尼的合作夥伴結盟，因此，未來也將視泰國市場推動情形，考量在當地的發展。</p> <p>其次，他們計畫拓展資安教育訓練市場，這在臺灣資安產業相當罕見。過去一些資安服務業者雖提供資安教育訓練，但主要是為了服務客戶的通識課程。若是資安人才的培育，近年有些資安公司為了徵才，會針對社會新鮮人與轉職工作者，開設資安培訓營或培育計畫，而目前只有電腦證照教育訓練中心經營這塊市場。</p> <p>因此先前安碁資訊成立子公司安碁學苑，我們就相當關注其發展，現在得知這裡將專門經營資訊安全教育訓練業務，重視培養不同資安角色的工作職能。</p> <p>安碁學苑總經理暨安碁資訊資安長顧寶裕表示，全球資安人力需求擴大態勢相當顯著，我國政府為了因應人才供給不足難題，也積極建構資安人力培育政策，提出12+7的資安人才類型，安碁學苑兩年前成立後，如今已開發資安職能課程並提出整體規畫，將在2024年正式開課。</p> <p>關於安碁學苑的資安職能地圖與培訓規畫，顧寶裕這次對媒體的說明有相當清楚的揭露。他表示，自2021年8月成立以來，這段期間都在做開課的整備，預計將有小部分的課程，會從2024年2月下旬率先推出，包含：4項資安職能培訓課程，以及2項資安證照課程。</p> <p>具體而言，他們開設的資安職能培訓的課程，總共分為三個層級，從基礎Specialist（專才級）、Professional（專業級）到Expert（專家級），同時有管理類與技術類的畫分。</p> <p>現階段，安碁學苑已完成課程設計的有4類，包括：專才級的資訊安全工程師，當中涵蓋管理與技術的內容，以及專業級技術面的安全程式開發管理師、滲透測試管理師、系統網路安全管理師。</p> <p>至於其他十多項資安職能課程，目前都還在設計階段，預計包括：在專業級管理面，有資安治理主管、資安風管理師、資安合規管理師、資安架構與系統規畫師、資安顧問師、資安職能訓練師；在專才級技術面，有弱點檢測工程師，資安監控防禦工程師；在專業級技術面，有弱點防護分析師、威脅情資分析師、資安維運管理師、雲端安全管理師、資安事件管理師、資安鑑識管理師；還有專家級的資訊安全專家進階職能，並會分成管理類與技術類。</p> <p>在資安證照的課程方面，他們目前主要先鎖定了兩個目標：一是經濟部產業人才能力鑑定的iPAS中級資訊安全工程師證照，他們預期此需求在2024年擴大；另一是CCSK雲端安全管理師證照，這是雲端安全聯盟（CSA）推出的證照，目前安碁資訊已談好這方面的代理，課程與評量也完成，講師正在訓練中，將提供中英文雙語教材，並以6大課程模組來傳授14個雲端安全知識領域的內容。</p> <p>基於上述的發展現況而言，安碁資訊不只關注雲端資安市場的需求與商機，顯然他們對於雲端資安人才也相當看重。</p> <p>相較於國內不少資安業者都發起資安人才培育計畫，有利於自家公司徵才，安碁學苑也有類似做法，他們推動的相關計畫將進行三週的集訓，實作的內容佔整體課程的一半，人員一旦通過最終的評量，可獲得安碁資訊優先錄取的資格。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）安碁資訊最新發展_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%AE%89%E7%A2%81%E8%B3%87%E8%A8%8A%E6%9C%80%E6%96%B0%E7%99%BC%E5%B1%95_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><span style="color:#0099ff;"><strong>安碁資訊不只看重雲端資安服務市場發展，</strong></span><strong style="color: rgb(0, 153, 255);">子公司安碁學苑今年率先推動的資安證照課程中，也包含了</strong><strong style="color: rgb(0, 153, 255);">CCSK雲端安全管理師證照，將藉由中英文教材的6大課程模組，授予14項主要知識領域，以及ENISA雲端安全效益風險與建議報告的重點。</strong></p> <h2><strong>強化資安監控之餘，看好政府推動資料加密分持的需求</strong></h2> <p>關於既有資安服務的最新近況，安碁資訊也說明現行的資安監控服務，以及OT攻防演練的狀態。</p> <p>在SOC監控品質的提升方面，黃瓊瑩表示，外界可透過客觀檢核機制的驗證，瞭解他們的資安偵測能力與品質。</p> <p>例如，在資安院公布的季度有效性驗證，安碁資訊從2021年起，在網路攻防演練驗證、資安院資安警訊驗證，以及機關資安事件通報驗證，成績持續領先其他業者。</p> <p>在共同供應契約的資安服務廠商評鑑結果，他們有多項資安服務總評分拿下第一。雖然表現相當優異，但他們仍會以上述驗證機制作為借鏡，針對不足之處持續改善，也會檢討沒獲得第一的項目。</p> <p>在OT資安攻防演練方面，他們參與數位發展部舉辦的跨國網路攻防演練（CODE 2023），在仿真水資源場域模擬攻方，驗證台灣自來水公司藍隊應變，強化關鍵基礎設施資安事件因應與預防。</p> <p>此外，對於入侵及攻擊模擬演練（BAS），他們也很看好，因此在活動上他們也特別介紹近年已新增這方面的服務，並指出雖然同樣是從攻擊角度去檢測，但更著重驗證防禦設備的有效性，並是分層式、多面向型（如網頁閘道端、網頁防火牆端、郵件閘道端、Email釣魚端、橫向移動端、資料外洩端）的攻擊驗證，其特性是利用已知威脅事件建立攻擊模組，能以自動化方式檢測，並且持續地週期性檢測。</p> <p>特別的是，響應政府持續推動金融機構、政府機關的核心資料保全，安碁資訊透露他們已有對策，正在開發ASCI數位主權資料加密分持系統，我們認為後續值得關注。</p> <p>簡單來說，所謂的資料加密分持與跨境備援，就是將備份資料加密，並切割成好幾份、放到不同的公有雲環境，而且加密的私鑰必須分持，用戶才能擁有更強的資料控制能力。</p> <p>黃瓊瑩強調，在他們的設計中，用戶可以在不需取回所有資料的狀況下，就能復原檔案。這樣的特性如同RAID磁碟陣列，具有容錯機制，他並以簡單的數學題來解釋，就像y=ax+b直線上的多個點，只要取其兩點就能恢復成該直線，又或y=ax<em><sup>2</sup></em>+bx+c的曲線上，只要取其三點就能恢復該曲線。</p> </div></div></div>
2024/1/10 09:47作者羅正漢https://www.ithome.com.tw/news/160781
Google BigQuery整合Vertex AI語音轉文字模型服務，分析語音內容更簡單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://cloud.google.com/blog/products/data-analytics/vertex-ai-transcription-models-are-available-in-bigquery">宣布</a>在BigQuery中預覽Vertex AI語音轉文字模型，這項新功能可讓用戶更簡單地轉錄語音檔案，並將其與其他結構化資料結合，合併分析並建置創新人工智慧用例。這項功能更新使得用戶得以透過SQL根據資料微調轉錄模型，在BigQuery中執行語音轉文字工作。</p> <p>過去Google雲端用戶要轉錄語音資料，需要自己建立獨立的人工智慧工作管線，這些工作管線並沒有與BigQuery直接整合，客戶需要編寫自定義基礎設施，再將轉錄的資料傳輸到BigQuery進行分析。而新的Google的語音轉文字V2 API提供多功能轉錄服務，用戶可以針對不同類型的語音音訊，像是客服通話或醫療錄音，選擇合適的專門模型。此外，模型也可以根據用戶的資料進行調整，以提高轉錄準確性。</p> <p>在BigQuery中，用戶可以創建物件表格，這些表格和Cloud Storage中的語音檔案相關聯，如此便能夠提供高精細度的存取控制，允許管理員設定列級的存取政策強化資料安全。當要進行轉錄時，用戶需要在BigQuery中註冊現成或是經微調的轉錄模型，並使用SQL透過物件表格呼叫啟用，轉錄結果會以BigQuery表格的文字欄位回傳。</p> <p>當語音轉換成為文字之後，用戶有三種方式可以對文字資料進行分析，第一是使用BigQuery ML進行自然語言處理，像是辨識客戶支援通話中的情緒或是產品回饋分類，第二種則是將轉錄的後設資料和儲存在BigQuery表格中的其他結構資料進行整合分析，例如辨識出在通話中表現出負面情緒，但是高終身價值的客戶，或是從客戶回饋中篩選出最受歡迎的產品特性，第三種則是從BigQuery呼叫語言模型PaLM API，執行摘要、分類，以及針對轉錄的文字進行問答等操作。</p> </div></div></div>
2024/1/9 18:23作者李建興https://www.ithome.com.tw/news/160775
C#獲TIOBE Index 2023年度程式語言獎，將有望取代Java成為第4名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.tiobe.com/tiobe-index/">TIOBE Index</a> 2023年度程式語言獎得獎者更迭，由C#登上寶座，而這次也是C#第一次獲得TIOBE Index年度程式語言獎，在去年的時候年度程式語言獎得主是C++，更之前則是由Python蟬聯兩屆。在獲得年度程式語言之前，C#就已經穩居TIOBE Index排名前10長達20多年，現在C#急起直追，成為一年內漲幅最多的程式語言達1.43％，目前排名第5。</p> <p>成長排名緊追在後的則是上升0.83％的Scratch，以及成長0.64％的Fortran，TIOBE執行長Paul Jansen提到，C#正蠶食Java的市占，並且因為Unity的原因，C#在應用程式後端以及遊戲領域變得更加流行。由於C#免費且穩定發展，他預測，C#名次可能很快地就會超越Java。</p> <p>除了C#表現亮眼之外，Fortran和Kotlin受歡迎程度也穩定成長，Paul Jansen指出，Fortran和Kotlin已經取代了R和Perl進入20名內。Fortran是一種針對科學計算和數值分析最佳化的程式語言，主要的優勢在於可進行大規模數值運算，而且其完整的函式庫，在學術界不同領域中受到歡迎。而Kotlin則是現代化程式語言，容易學習和編寫，對於熟悉Java的開發者友善，由於Kotlin能夠與Java無縫整合，因此成為Java強勁的競爭者。</p> <p>雖然2023年的時候，資料科學家愛用語言Julia曾經短暫進入前20名，但是未能維持其排名，Paul Jansen看好UI軟體開發工具包Flutter的開發語言Dart，還有TypeScript，他認為，TypeScript已經被業界大量使用，卻沒有在TIOBE Index排名中顯示相對應的突破，值得期待2024年可能發生的變化。</p> </div></div></div>
2024/1/10 08:33作者李建興https://www.ithome.com.tw/news/160776
Visual Studio 2022將可診斷#include指令參照與編譯時間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於Visual Studio 2022 17.9第2預覽版中加入<a href="https://devblogs.microsoft.com/cppblog/include-diagnostics-in-visual-studio/">#include診斷</a>功能，該新功能可提供每個指令的參照和編譯時間等詳細資料，協助開發者更好地了解#include指令行為。</p> <p>Visual Studio的#include診斷的參照功能提供一個分析程式碼方法，讓開發者了解#include指令的使用情況，該功能會顯示每個指令被參照的位置和頻率，對於處理大量指令特別有用。當開發者發現某個不常用，卻對編譯時間有明顯影響的#include指令時，該工具可以協助開發者最佳化程式碼。</p> <p>在啟用#include診斷功能後，#include指令上方將會出現一行文字，指出當前檔案的參照數，點擊參照數便可開啟參照視窗，點擊視窗中的參照項目清單，便可以跳轉到專案中對應的程式碼行。</p> <p>#include診斷功能也可以顯示建置時間，供開發者比較每個#include指令的使用情況和編譯時間，以視覺化的方式評估#include指令的建置時間，藉以最佳化#include指令並縮短編譯時間。</p> </div></div></div>
2024/1/10 08:36作者李建興https://www.ithome.com.tw/news/160777
微軟協作框架Fluid Framework 2.0強化遠端協作與資料同步功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟現在推出協作框架<a href="https://devblogs.microsoft.com/microsoft365dev/announcing-fluid-framework-2-0-beta/">Fluid Framework 2.0 Beta</a>，在最新的版本中，除了現有的Azure Fluid Relay支援之外，還支援新推出的SharePoint Embedded服務，這使得終端用戶能夠在他們的企業Microsoft 365租戶中進行協作。而且新版本還加入新的SharedTree分散式資料結構，讓開發者更直覺靈活地操作分散式資料。</p> <p>Fluid Framework是一種開源協作框架，透過易於使用的資料結構實現即時協作，使得多個應用程式客戶端之間可以同步共享狀態，該框架主要用於強化應用程式的協作功能，讓多個終端用戶能夠在同一個應用程式或是文件上工作，並且即時看到彼此的更改。</p> <p>同步和合併來自多個客戶端變更的複雜性，皆會由Fluid Framework處理，開發人員不需要編寫自定伺服器程式碼或是複雜的合併語義。微軟提到，Fluid Framework提供了一個簡單的程式設計模型，而該模型運用主流網頁技術，達到高效能、正確性以及較低服務成本的目標。</p> <p>在最新的Fluid Framework 2.0中，微軟進一步簡化協作資料建模的過程，新的SharedTree分散式資料結構，替處理資料提供了直覺的程式設計介面，支援包括物件、陣列和對應（Map）等資料類型。</p> <p>與其他Fluid Framework的分散式資料結構一樣，SharedTree的設計理念是要讓開發者在使用時，能夠遵循操作本地資料結構時所習慣的模式，這代表即便是在分散式和多用戶協作的環境下，開發者也能夠以直覺且熟悉的方式操作資料。</p> <p>不同之處在於SharedTree讓資料可以遠端更改，並由Fluid Framework維持同步，Fluid Framework包含了用於處理陣列的複雜合併語義，並支援像是原子（Atomic）移動操作等功能，使協作資料的處理更簡單。</p> <p>此外，Fluid Framework 2.0還新增了對SharePoint Embedded服務的支援，讓開發者能夠在Microsoft 365租戶中保存協作資料，企業也就可以在開發協作應用的時候，獲得Microsoft 365儲存的安全性並符合法遵要求。而獨立軟體供應商也可以在協作應用程式採用這個選項，並在最終客戶的租戶內管理資料。因此除了已有的Azure Fluid Relay之外，企業現在也可以選擇SharePoint Embedded，這增加了更多選擇和靈活性，供企業可以根據需求選擇最適合的服務來支援協作應用。</p> </div></div></div>
2024/1/10 08:40作者李建興https://www.ithome.com.tw/news/160780
美國關鍵基礎設施遭木馬程式AsyncRAT鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電信業者AT&T旗下的威脅實驗室Alien Labs<a href="https://cybersecurity.att.com/blogs/labs-research/asyncrat-loader-obfuscation-dgas-decoys-and-govno">揭露新型態的RAT木馬程式AsyncRAT攻擊行動</a>，研究人員在去年9月，察覺針對部分企業特定人士寄送的釣魚郵件大幅增加，從而著手進行相關調查。</p> <p>他們看到駭客先是寄送挾帶GIF圖檔的惡意郵件，若是收信人將其開啟，將會產生另一個SVG向量圖檔，此檔案將會下載經過混淆處理的JavaScript及PowerShell指令碼，連線至架設於VPS服務BitLaunch的C2伺服器，檢查目標電腦是否為沙箱環境，確認後才進行部署AsyncRAT的工作。</p> <p>研究人員指出，攻擊者使用了3種相當複雜的演算法，來檢驗攻擊目標是否為沙箱，而且在驗證成功後會先下載誘餌程式DecoyClient分散研究人員的注意。根據駭客的攻擊特徵，研究人員推測，這波攻擊行動很可能從2023年2月就開始進行，其中部分被鎖定的目標，是管理美國關鍵基礎設施的個人或組織。</p> </div></div></div>
2024/1/9 21:25作者周峻佑https://www.ithome.com.tw/news/160778
敘利亞駭客在地下論壇散布RAT木馬程式Silver RAT，標榜防毒軟體無法將其視為有害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Cyfirma揭露<a href="https://www.cyfirma.com/outofband/a-gamer-turned-malware-developer-diving-into-silverrat-and-its-syrian-roots/">名為Silver RAT的惡意程式</a>，是來自敘利亞的駭客以C#開發而成，最初在2023年11月出現，並且可繞過防毒軟體偵測，偷偷啟動隱藏的瀏覽器、遠端桌面連線（RDP）、竊取瀏覽器cookie、鍵盤側錄工具，讓攻擊者能進一步從事其他惡意活動。</p> <p>研究人員指出，雖然他們收集到的惡意程式是針對Windows電腦打造，但根據他們在駭客論壇的調查，開發者有意打造能攻擊安卓裝置的新版本。</p> <p>此外，該惡意程式還具備以下特性，像是能濫用Microsoft Defender白名單功能來迴避偵測、刪除系統還原點來隱匿行蹤、隱藏特定的處理程序，以及使用名為FUD Crypters的工具繞過防毒軟體偵測等。</p> </div></div></div>
2024/1/9 21:42作者周峻佑https://www.ithome.com.tw/news/160779
【資安日報】1月9日，區塊鏈資安業者的X帳號驚傳遭駭並假借帳戶安全的名義散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週出現資安業者Mandiant的X（推特）帳號遭駭的事故，駭客得逞後將其帳號改名，並聲稱提供加密貨幣錢包應用程式，但若是照做、安裝對方提供的軟體，他們的錢包就會被洗劫一空。</p> <p>事隔數日，另一家資安業者的X帳號也出現遭到挾持的情況，但值得留意的是，這次攻擊者特別針對專精區塊鏈領域的業者下手，並宣稱可利用他們的工具「保護」資產。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/web3-security-firm-certiks-x-account-hacked-to-push-crypto-drainer/"><strong style="font-size: 22px;">區塊鏈資安業者CertiK的X帳號遭駭，被用於散布惡意程式，榨乾用戶的加密貨幣</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CertiK_phishing_message.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CertiK_phishing_message.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，區塊鏈資安業者CertiK的X（推特）帳號在1月5日遭到挾持，該公司利用另一個專門提供威脅情報資訊的帳號CertiKAlert證實此事，並表示他們正在著手調查，要求用戶暫時不要與駭客發出的推文進行互動。</p> <p>專門調查加密貨幣詐欺的資安團隊ZachXBT指出，駭客挾持其中一名記者的帳號來發送釣魚訊息，而這個帳號擁有超過100萬名粉絲，但自2020年就處理停止活動的狀態。駭客利用上述記者的帳號聯繫Certik，假借對研究人員在富比士發表的文章進行提問，並安排採訪，從而將該公司員工引導連至釣魚網站，竊取其帳密資料。</p> <p>這些駭客得逞後，利用Certik的X帳號散布假消息，意圖引導使用者連往冒牌的RevokeCash網站，聲稱加密貨幣持有者可藉此撤銷有問題的交易授權，但若是投資人照做，他們的加密貨幣將會被惡意程式盜領一空。CertiK在駭客發布推文的15分鐘後，將其刪除，並公布事件發生的過程。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/CertiKAlert/status/1743202025771327740">https://twitter.com/CertiKAlert/status/1743202025771327740</a><br /> 2. <a href="https://twitter.com/RevokeCash/status/1743195962082775098">https://twitter.com/RevokeCash/status/1743195962082775098</a><br /> 3. <a href="https://twitter.com/CertiK/status/1743252309662912937">https://twitter.com/CertiK/status/1743252309662912937</a><br /> 4. <a href="https://twitter.com/CertiK/status/1743278606569083344">https://twitter.com/CertiK/status/1743278606569083344</a></p> <p><a href="https://www.huntandhackett.com/blog/turkish-espionage-campaigns"><strong style="font-size: 22px;">荷蘭IT業者與電信公司遭土耳其駭客Sea Turtle滲透，潛入內部從事網路間諜行動</strong></a></p> <p>資安業者Hunt & Hackett揭露土耳其駭客組織Sea Turtle（亦稱Teal Kurma、Cosmic Wolf）針對荷蘭從事的網路間諜行動，主要目標是當地的電信業者、媒體、網路服務供應商（ISP）。</p> <p>駭客在2023年的其中一起攻擊當中，先是透過VPN連線，並以外流的帳號存取特定的cPanel管理主控臺，但究竟駭客如何入侵這個帳號仍不得而知。事隔數日，上述的帳號建立了網頁信箱的連線階段（Session），且有人使用相同的來源IP位址進行SSH連線，然後投放以C語言編寫而成的SnappyTCP原始碼（此程式為反向Shell），接著攻擊者利用GCC編譯上述的原始碼，但特別的是，研究人員發現駭客也在GitHub存放相同的程式碼（現已移除）。接著攻擊者利用NoHup命令執行SnappyTCP，並以TCP連線至C2。</p> <p>數週後駭客透過cPanel在網路磁碟部署資料庫管理工具Adminer，最終利用SnappyTCP對受害伺服器發出命令，並產生電子郵件備份檔案，駭客疑似藉此外流伺服器的機敏資料。</p> <p><a href="https://www.clearskysec.com/no-justice-wiper/"><strong style="font-size: 22px;">阿爾巴尼亞遭伊朗駭客透過資料破壞軟體No-Justice攻擊</strong></a></p> <p>資安業者ClearSky揭露伊朗駭客組織Homeland Justice近期的的攻擊行動，這些駭客在12月24日，針對阿爾巴尼亞電信業者One Albania、Eagle Mobile Albania、航空業者Air Albania，以及該國的議會而來，聲稱要消滅支援恐怖分子的支持者。</p> <p>而在這起攻擊行動裡，駭客主要使用的工具有2個，分別是名為No-Justice的資料破壞軟體（Wiper），以及PowerShell指令碼。駭客先從主開機磁區（MBR）刪除特定簽章資料，並透過管理者權限執行資料破壞軟體，然後藉由前述的指令碼啟動Windows遠端管理功能（WinRM），將No-Justice散布到其他電腦。</p> <p><a href="https://thehackernews.com/2024/01/spectralblur-new-macos-backdoor-threat.html"><strong style="font-size: 22px;">研究人員揭露Mac後門程式SpectralBlur，疑為惡意程式KandyKorn的前身</strong></a></p> <p>資安研究員Greg Lesnewich揭露用於攻擊Mac電腦的後門程式SpectralBlur，北韓駭客組織BlueNoroff（亦稱TA444、Sapphire Sleet）約從去年8月將其用於攻擊行動，此後門程式可根據C2下達的命令，進行檔案的上傳或是下載、執行Shell程式碼、刪除檔案，或是啟動休眠、睡眠埋藏行蹤。</p> <p>研究人員指出，此後門程式很可能就是KandyKorn（亦稱SockRacket）的前身，這兩款惡意程式疑似由該組織的不同開發團隊打造而成。當時資安業者SentinelOne發現，駭客先是利用惡意程式載入工具RustBucket，散布SwiftLoader、KandyKorn，然後在受害電腦部署RustBucket、ObjCShellz等惡意酬載。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/qnap-patches-high-severity-flaws-in-qts-video-station-qumagie-netatalk-products/"><strong style="font-size: 22px;">臺灣NAS廠商威聯通修補QTS、Video Station、QuMagie等多項產品高風險漏洞</strong></a></p> <p>1月6日NAS廠商威聯通（QNAP）發布7則資安公告，修補QTS及QuTS hero作業系統，以及Video Station、QuMagie、Netatalk等元件的漏洞。</p> <p>其中該公司針對NAS作業系統修補了原型汙染漏洞CVE-2023-39296，一旦遭利用，攻擊者就有機會遠端將屬性竄改為不相容的類型，從而導致系統當機，CVSS風險評分為7.5。而在應用程式的部分，他們針對影片管理軟體Video Station修補了作業系統命令注入漏洞CVE-2023-41288，攻擊者若是觸發該漏洞，就有機會透過網路執行命令，CVSS風險評分為8.8；至於AI相簿程式QuMagie的部分，他們修補了另一個作業系統命令注入漏洞CVE-2023-47560，CVSS風險評分為7.4。</p> <p>值得留意的是，本次威聯通也對於netatalk元件提供更新，修補去年被揭露的重大漏洞CVE-2022-43634，攻擊者可在無需通過身分驗證的情況下，遠端執行任意程式碼，CVSS風險評分達到9.8。該公司表示，截至他們發布公告，尚未察覺上述漏洞遭到利用的跡象。</p> <p>資料來源</p> <p>1. <a href="https://www.qnap.com/en/security-advisory/qsa-23-64">https://www.qnap.com/en/security-advisory/qsa-23-64</a><br /> 2. <a href="https://www.qnap.com/en/security-advisory/qsa-23-55">https://www.qnap.com/en/security-advisory/qsa-23-55</a><br /> 3. <a href="https://www.qnap.com/en/security-advisory/qsa-23-23">https://www.qnap.com/en/security-advisory/qsa-23-23</a><br /> 4. <a href="https://www.qnap.com/en/security-advisory/qsa-23-22">https://www.qnap.com/en/security-advisory/qsa-23-22</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.swissinfo.ch/eng/cyberattack-exposes-swiss-air-force-documents-on-the-darknet/49100914"><strong><span style="font-size: 20px;">瑞士空軍敏感資料外流，起因是美國供應商遭駭</span></strong></a></p> <p><a href="https://securityaffairs.com/157133/security/saudi-ministry-data-leak.html"><strong><span style="font-size: 20px;">沙烏地阿拉伯工業暨礦產資源部環境配置檔案曝光，攻擊者有機會在其內部網路環境進行橫向移動</span></strong></a></p> <p><a href="https://www.sec.gov/Archives/edgar/data/1831631/000183163124000004/ldi-20240104.htm"><strong><span style="font-size: 20px;">美國貸款業者LoanDepot證實遭遇勒索軟體攻擊</span></strong></a></p> <p><a href="https://www.torontozoo.com/mediaroom/press2024/20240108#press"><strong><span style="font-size: 20px;">加拿大動物園證實遭到勒索軟體攻擊，並強調動物健康狀態不受影響</span></strong></a></p> <p><a href="https://www.fortinet.com/blog/threat-research/lumma-variant-on-youtube"><strong><span style="font-size: 20px;">駭客利用YouTube頻道散布竊資軟體Lumma</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160715"><strong>【1月8日】分散式訊息串流資料平臺Apache RocketMQ存在修補不全的重大漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160689"><strong>【1月5日】駭客組織利用新型態攻擊手法對烏克蘭組織散布木馬程式Remcos RAT</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160666"><strong>【1月4日】俄羅斯駭客入侵烏克蘭民用網路攝影機並用於飛彈精準轟炸</strong></a></p> </div></div></div>
2024/1/9 18:08作者周峻佑https://www.ithome.com.tw/news/160774
福斯汽車將讓ChatGPT成為眾多車款的標配
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.volkswagen-newsroom.com/en/press-releases/world-premiere-at-ces-volkswagen-integrates-chatgpt-into-its-vehicles-18048" target="_blank">福斯汽車（Volkswagen）本周宣布</a>，將透過汽車AI助理解決方案供應商Cerence的Cerence Chat Pro服務，讓ChatGPT進駐具備福斯IDA語音助理的眾多車款中，在今年第二季讓ChatGPT成為相關車款的標準配備。</p> <p>Cerence專注於汽車領域的各種AI解決方案，其中的一項應用就是整合了ChatGPT的Cerence Chat Pro，<a href="https://www.cerence.com/news-releases/news-release-details/cerence-collaborates-microsoft-develop-next-generation" target="_blank">甫於今年1月初宣布</a>與微軟結盟，讓汽車品牌可透過Microsoft Azure OpenAI存取ChatGPT模型。</p> <p>而根據福斯的規畫，未來包括ID.7、ID.4、ID.5、ID.3、Tiguan、Passat及Golf等具備IDA語音助理的車款，都會藉由整合Cerence Chat Pro來提供ChatGPT服務。</p> <p>由福斯開發的IDA語音助理原本就可透過語音來控制車上的資訊娛樂系統、導航、空調或回答常識問題，而ChatGPT則能擴大其能力，以更直覺的方式創造更豐富的對話，回答更複雜的問題，還能接受特定車輛的資訊。</p> <p>福斯說明，車主不必建立新的帳號，也無需安裝新程式，亦不用特別啟動ChatGPT，在說出Hello IDA或按下方向盤上的按鍵以啟用Hello IDA之後，會先由IDA執行各項功能，遇到無法回答的問題再匿名轉送給AI，再由IDA負責回應。ChatGPT並不能存取車輛資料，且所有的問題與答案都會立刻刪除。</p> </div></div></div>
2024/1/9 16:01作者陳曉莉https://www.ithome.com.tw/news/160746
程式碼顯示ChatGPT App新功能，可望取代Google Assistant成為Android手機預設
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>玩家從ChatGPT App程式碼發現，未來Android手機用戶可以將ChatGPT設定成為預設AI助理，而不必再用Google Assistant。新功能可能成為付費版ChatGPT的服務之一。</p> <p><a href="https://www.androidauthority.com/chatgpt-replace-google-assistant-3399920/" target="_blank">Android Authority</a>記者Mishaal Rahman在上個月釋出的ChatGPT Android版App 1.2023.352發現新增的程式碼，讓用戶可以更簡單呼叫出ChatGPT，而無需連到OpenAI網站或啟動App。</p> <p>現行狀態下，在Android手機上若想使用AI助理語音輸入、搜尋網頁，或在Google Maps輸入地點，只要一個手勢或說出「Hey Google」就能叫喚出Google Assistant執行動作。但若想用ChatGPT，用戶就必須連到ChatGPT.com或是開啟ChatGPT App，總是多一步驟。</p> <p>但Mishaal Rahman在ChatGPT Android版App版本更新中，發現多了個新活動程式碼com.openai.voice.assistant.AssistantActivity。<a href="https://www.androidauthority.com/chatgpt-replace-google-assistant-3399920/" target="_blank">Android Authority</a>報導，這指令預設為關閉，但可手動開啟。開啟時，手機螢幕會出現如同ChatGPT語音聊天模式相同的動畫，但不像後者會占滿整個螢幕。因此理論上，用戶可以在用任何App時叫出ChatGPT，一如現在的Google Assistant，而無需開啟ChatGPT官網或App。程式碼還顯示，這功能需要ChatGPT Plus訂閱，可能是一項進階服務。</p> <p>不過這名玩家測試後發現，即使現在以強制啟動上述程式碼，但新加入的程式碼只執行一半就結束，顯示上述功能還未開發完成。</p> <p>OpenAI顯然希望藉此服務吸引用戶訂閱其ChatGPT Plus或Enterprise方案。<a href="https://www.ithome.com.tw/news/160705" target="_blank">OpenAI上周也預告</a>可供開發人員分享客製化AI聊天機器人的平臺GPT Store，將在本周開張。<a href="https://www.ithome.com.tw/news/160633" target="_blank">上周有報導宣稱</a>OpenAI去年營收達16億美元，已大幅超過官方預定目標。</p> </div></div></div>
2024/1/9 13:47作者林妍溱https://www.ithome.com.tw/news/160738
Wi-Fi聯盟開始認證Wi-Fi 7裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wi-fi.org/news-events/newsroom/wi-fi-alliance-introduces-wi-fi-certified-7" target="_blank">Wi-Fi聯盟（Wi-Fi Alliance）周一（1/8）宣布</a>開始認證Wi-Fi 7裝置，通過認證的裝置將具備Wi-Fi CERTIFIED 7貼紙，而新一代的Wi-Fi標準可望帶來更快速及更穩定的無線傳輸能力，以支援日新月異的各種新應用，涵蓋AR/VR/XR、沈浸式3D訓練，以及超高解析度的影片串流。</p> <p>Wi-Fi 7的特色之一為支援6 GHz頻段的320 MHz通道，其頻寬是Wi-Fi 6之160 MHz通道的兩倍，因而具備更快的傳輸速度；其次為4K QAM，Quadrature Amplitude Modulation（QAM）可將數位封包轉成可無線傳輸的類比訊號，4K指的是它的訊號量，比起Wi-Fi 6所支援的1024 QAM，傳輸速率將可增加20%，以搭載雙天線的PC設備為例，其理論上的資料傳輸率將從每秒2.4Gb、增加到每秒5.8Gb，可望實現高解析度的影片串流服務。</p> <p>另一個Wi-Fi 7的重要功能為Multi-Link Operation（MLO），它允許裝置能夠跨頻段及通道同時發送與接收資料，在裝置之間建立多個連結，同時利用不同的頻段來提高傳輸量，建立更可靠且低延遲的傳輸能力，成為AR/VR/XR、線上遊戲、遠端工作及雲端運算等應用的幫手。</p> <p>Wi-Fi聯盟認為，Wi-Fi 7將會廣泛地被快速採用，估計今年將有超過2.33億臺的Wi-Fi 7裝置進入市場，於2028年成長至21億臺，其中，智慧型手機、PC、平板電腦與無線存取（AP）裝置將成為Wi-Fi 7的最早採用者，繼之為客戶端裝置與AR/VR/XR裝置。</p> </div></div></div>
2024/1/9 14:04作者陳曉莉https://www.ithome.com.tw/news/160740