iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 23:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟Azure AD測試以自拍驗證登入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>變臉詐騙（Business Email Compromise，BEC）攻擊氾濫，微軟本周為原名Azure AD的Entra Verified ID<a href="https://www.microsoft.com/en-us/security/blog/2024/02/06/microsoft-entra-verified-id-introduces-face-check-in-preview/" target="_blank">預覽臉部驗證功能Face Check</a>，讓企業員工可以臉部登入公司帳號。</p> <p>Face Check是以Azure AI服務為基礎，在微軟的Entra Verified ID身分驗證外再加入一層防護。它可即時比對用戶手機自拍相片及其身分文件（如駕照或護照）中的相片，並提供比對信心水準結果。由於Face Check只分享比對結果，不牽涉任何身分資料，可確保用戶隱私同時確認員工身分。</p> <p>這項方案也允許企業App以Request Service REST API呼叫執行Face Check，以比對員工即時自拍和儲存的驗證相片、身分證或特定數位證明。這讓企業可實作自助服務情境，像是啟用passkey或重設密碼。企業的服務臺也能要求Face Check以比對經驗證的員工相片。</p> <p>現在Face Check方案的Request Service REST API，透過合作夥伴Dun & Bradstreet、Au10tix、LexisNexis Risk Solutions及IDEMIA支援工作、教育及政府ID。微軟接下來幾個星期，會再將API擴大到支援其他身分屬性，像是工作紀錄，或法律實體驗證。</p> <p>微軟正在預覽測試Face Check，並邀請使用者<a href="https://learn.microsoft.com/en-us/entra/verified-id/using-facecheck" target="_blank">試用</a>。</p> <p>微軟三月份的Microsoft Secure數位大會將公布進一步Entra安全方案。</p> </div></div></div>
2024/2/8 19:17作者林妍溱https://www.ithome.com.tw/news/161243
當AIoT跨入金融服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-lu_se_jin_rong_ke_ji_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">五南圖書</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>相較於直接訴諸於一般消費者的金融創新服務（B2C），奇雲國際的創新服務內容則是由公司場域出發（B2B），但卻開始撼動原有金融服務的經營邏輯。</p> <p>首先在保險服務上，近年不論是特斯拉或是國內創星物聯等車聯網公司，都強調以使用者為中心的UBI保單與彈性保費設計；但奇雲國際卻將服務場域由個人保險延伸到產物保險，尤其是高危險場域的保險計算，包括化學工廠、中鋼中油，乃至高科技公司如台積電等。過去這類高危險企業的產物保險金額高，也因此必須發展出再保險市場來分散風險。然而，奇雲國際的智能監控卻強調零風險與即時風險管理的重要性。換句話說，最有效的風險管理就在於即時預警、防患於未然。也因此，未來產物保險在保費計算上，有機會加入智能監控的保費調整機制，或作為優良廠商與風險評估依據。</p> <p>相較於金融科技業者對傳統金融服務所帶來的直接衝擊，AIoT這類智能監控服務之科技公司，反而扮演協助金融服務升級的智慧好夥伴。</p> <p><span style="font-size:28px;"><strong><span style="color:#3399ff;">智慧監控突圍金融服務</span></strong></span></p> <p>創辦於2014年的奇雲國際以智慧監控為核心技術，並將服務延伸到車隊管理、UBI保單、場域工安與廢棄物管理服務。</p> <p>台灣車輛高達八成以上都已承保第三人責任險，大貨車保費雖然每輛高達20萬元，事故發生後的最高理賠金額約400萬元。但若由UBI（Usage Based Insurance）保單設計邏輯，僅單純從減省保費以鼓勵優良駕駛的角度來看，如優良駕駛每個月減省15%保費。因實際支付保費多為車隊，這項保費減省設計並未直接回饋給司機，反而必須思考其他獎勵機制與管理設計。此外，與其每個月調降保費的事後獎勵，在車隊管理上更講求即時有效的監控管理，避免意外發生才是關鍵。</p> <p>奇雲國際的核心技術是物聯網科技（AIoT），包括雷達偵測、ADAS（先進駕駛輔助系統）、DVR（車用影像監視）行車視野輔助、維修保護等。主要用於大貨車等車隊管理系統。毫米波雷達的偵測角度可達120度廣角，主要安裝於車角（柱），可偵測120度、直徑3公尺的扇形面積。雷達偵測有三大用途：一是廣域感應，可掃描120度廣角範疇。二是主動式提醒，雷達會透過閃燈或鳴叫方式提醒駕駛，駕駛無須額外查看。三是輕巧體積小，不會造成車體負擔。</p> <p>在車隊管理上，雷達報告每秒會詳細記錄偵測障礙物的時間點，協助重現事故現場。雷達報表包括日期、時間、地址（經緯度）、車速、急剎車、剎車燈、急轉彎、方向燈、車前盲區、右A柱盲區、車後盲區等資訊。</p> <p>至於先進駕駛輔助系統ADAS功能有以下三項：一是智慧輔助，可自動偵測車道偏移、提醒駕駛，並減少事故發生。二是車距偵測，可解決前車車距問題，即時影像提醒。三是駕駛專注偵測，可識別駕駛眼神飄移並發出警示，避免昏睡、分心等危險駕駛行為。ADAS主機可自主偵測車輛行駛狀態，依據車速判定碰撞警示距離，內建視訊輸出、音訊輸出與攝影機。其中，攝影機偵測角度約上下33度，左右44度。另有附屬設備功能DMS駕駛監控系統（Driver Monitoring System），系統以高端影像技術偵測駕駛瞳孔變化與臉部變化，在駕駛人員產生疲勞與分心時，即時發出聲光預警。</p> <p>車用影像監視（DVR）則有以下功能：一是雲端記錄，包括盲區影音與方向燈使用記錄將同時上傳雲端，事故發生時可作為還原現場依據。二是掃盡盲區，根據不同車種提供適合的掃盲方案，運用多種警示方式，提升司機警覺，以減少事故發生損失。</p> <p>這三項數位科技的整合應用範疇則有車隊管理系統、智能減碳車隊，與攜帶式管理平台（APP）。以最主要的車隊管理系統來說，奇雲科技提供智慧車隊的監控管理、即時地圖監控、即時影像監控、冷鏈系統監控、酒測監控系統，與駕駛身分管理。</p> <p>奇雲國際總經理李雅芳說明，即時監控與篩選（real time tracking & sorting）正是智能監控系統的核心能力，這有助於車隊管理的效率與效益之大幅提升。奇雲國際並由此發展出八種以上的模組化服務，包括駕駛行為風險分析、異常警告管理、數據分析報表、行駛里程管理、行駛風險時段、車況管理、實時車輛跟蹤、區域管理等。</p> <p>奇雲國際並發展出視覺化的碳排儀表板，可有效管理每個月的累計加油量、怠速時數與碳排放量。奇雲國際估算，以3,000輛車的車隊計算，導入智能監控系統可有效降低20%碳排油耗、降低29%事故發生率，與降低34%維修成本，估計一年可節省約1.5萬噸的二氧化碳排放。</p> <p>此外，奇雲國際的車隊管理服務也進一步延伸到車輛派遣服務。原本奇雲國際就已針對車輛的行駛路徑發展出一連串的數據管理內容，包括行駛中、離線、怠速、超速等服務；而這些服務內容僅針對單一車輛的車況管理與駕駛行為分析，若再加上「自動路順」的路線優化管理，就有進一步達到減排效益，甚至可減省人員。</p> <p>近年來，奇雲國際的智慧監控系統服務也由車隊管理進一步延伸到「場域監控」，包括具有高度公共安全警戒的化學品工廠、建築場域與工廠等。</p> <p>「以裝載化學品的油罐車為例，我們必須確認駕駛有穿防護衣、輪檔有確認止滑、有接地、有靜電等一系列工序。接著，我們還必須確認內裝液化化學品的存量變化等，這些都是公安管理的細節，也需要專業領域知識的協助。」奇雲國際資深主管說明。</p> <p>2023年，「奇雲2.0-AI智慧場域」提出場域監控服務的解決方案，包括智慧場域、智慧地磅、智慧倉儲、智慧車牌、智慧存量、智慧儲能等服務。奇雲國際並由規劃（plan）、執行（do）、稽核（check）、行動（act）發展出一系列的智能監控服務。「規劃」著重在訂定廠內作業查核點，「執行」則以設置適合硬體收集現場訊號，「稽核」在設定勾稽規則並發送異常警報，而「行動」則在調查異常原因並進行改善。由此所發展的智能監控服務則有大數據分析、雲端運算、IoT工廠管理、地磅串接、車牌辨識、影像辨識、即時液位、人工智慧等服務。</p> <p>例如智慧倉儲可以辨識儲存區、成品區進出貨數量，無須人工清點，這對於庫存管理大有效益。而智慧地磅則可以自動化辨別車牌並智慧對應車重，省去人工登記，還可以避免疏失與偽造。車牌辨識則讓AI作為管理者的眼睛，幫忙協助辨識車牌。</p> <p>又如目前已發展的光電建築服務，奇雲國際可依照客戶需求提供客製化的智慧綠建築解決方案，具備能源效益、減碳、隔熱與美學等，服務內容則包括智慧儲能、即時監控、微電網管理、安全工程、多款零件等。從能源管理面，光電建築連結智能監控，即可透過手機監控整天的用電比例，並計算電費。</p> <p>2023年，奇雲國際並進一步將場域監控服務延伸到更難以量化管理的廢棄物管理，尤其是和台積電等多家上市櫃公司之合作，將有機會發展廢棄物的清運、處理，與再運用。奇雲國際資深主管直言，儲能管理與廢棄物管理不但和永續議題息息相關，也是更具高難度與高進入障礙的服務內容，可謂奇雲AIoT 3.0服務。<strong>（本文摘錄整理自《綠色金融科技與多元商模創新》第十章，五南圖書出版提供）</strong></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_五南</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E7%B6%A0%E8%89%B2%E9%87%91%E8%9E%8D%E7%A7%91%E6%8A%80-600.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 綠色金融科技與多元商模創新</strong></p> <p>歐素華／著</p> <p>五南圖書出版</p> <p>定價：450元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E7%B6%A0%E8%89%B2%E9%87%91%E8%9E%8D%E7%A7%91%E6%8A%80-250.jpg" style="width: 200px;" /></p> <p><a href="https://www.emba.scu.edu.tw/people/770" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_東吳大學</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>歐素華</strong></p> <p>東吳大學數位貨幣與金融研究中心執行長，國立政治大學科技管理與智慧財產研究所博士。</p> <p>過去曾擔任財經記者，碩士論文為金融監理，博士論文為科學家的跨域研發與團隊管理。主要研究領域為商業模式創新、金融科技、媒體創新、創業管理、行動研究等。學術論文分別獲得2019年「第九屆聯電經營管理論文獎─傑出研究獎與優等獎」、「111年度管理學報論文獎—年度最佳實用價值論文」、2022年「第13屆證券暨期貨金椽獎─研究建言獎佳作獎」、2023年「數位轉型教學個案優良獎」。</p> </div></div></div>
2024/2/8 14:47未署名https://www.ithome.com.tw/article/161238
【資安月報】2024年1月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2024年1月的資安月報中，最引發我們關注的就是，美國司法部宣布瓦解了由國家級駭客打造的殭屍網路KV Botnet，以及該國針對SOHO設備製造商發布Secure by Design警報，特別的是，這兩個不同層面的新聞事件，其實在某種程度上存在著一定的關聯。</p> <p>事實上，我們在今年1月，也正好報導了上述提到的<a href="https://www.ithome.com.tw/news/160862">Security by Design警報</a>。因為這個警報系列，是美國網路安全暨基礎設施安全局（CISA）去年底才剛剛新推出不久，不同於過去都是聚焦在最新攻擊與軟體漏洞。</p> <p>這樣的轉變，讓我們可以明顯感受到，這個談論許久的「安全設計（Security by Design）」議題，不僅再次浮上檯面，並且成為連國家政府將要積極推動的重要工作項目。</p> <h2><strong>不只破壞中國駭客組織挾持的殭屍網路，同時針對SOHO設備製造商發布Secure by Design警報</strong></h2> <p>首先，我們先來聊聊殭屍網路，這是指攻擊者藉由入侵裝置並連結而成的網路。攻擊者可以控制殭屍網路，執行有組織且有惡意意圖的任務，而且受害者多半不知道自己的裝置被感染，已經成為駭客發動網路攻擊時的幫兇。</p> <p>近年來，已有資安業者示警，指出駭客組織入侵家用路由器來建立自己的物聯網殭屍網路的態勢，是持續升溫。而為了因應這類網路威脅，最近幾年，我們看到美國政府經常與多國執法單位聯手，發起掃蕩殭屍網路的行動。</p> <p>這次美國政府所發起的新一項行動，目標是破壞由中國駭客組織Volt Typhoon所挾持的殭屍網路KV Botnet。</p> <p>這次事件之所以引發更高關注，是因為微軟去年5月發現Volt Typhoon鎖定美國與關島的重大基礎設施攻擊，然後去年12月，資安業者Lumen揭露了殭屍網路KV-botnet，並指出Volt Typhoon會使用該殭屍網路發動攻擊。</p> <p>因此，這次破壞殭屍網路的行動，可說是美方政府對Volt Typhoon的反制，讓對方在未來這一段期間，無法立即利用這個殭屍網路來發動攻擊。</p> <p>綜觀這樣的事件，我們其實是可以看出美國政府是如何應對的，整體上他們是以多管齊下的方式，從不同層面來一起因應。</p> <p>例如，在面對中國駭客組織Volt Typhoon威脅的過程中，一方面，他們重視該國關鍵CI防護的強化，另一方面，他們也破壞了該組織使用的KV-botnet殭屍網路，以緩解對方可能伺機發動的攻勢。</p> <p>這次值得我們一提的是，美國政府在摧毀殭屍網路方面採取了更積極的行動──不只破壞殭屍網路KV Botnet，還要求通知裝置所有者，並且向SOHO裝置製造商發布指引</p> <p>簡單來說，過去我們已經看過美國聯邦調查局（FBI）破壞殭屍的情形，就是接管其控制權，透過遠端方式刪除當中的惡意程式，以及採取額外措施來中斷受駭裝置與殭屍網路的連結。而這次美國FBI所採取的行動，也就是針對美國境內屬百臺遭受KV-botnet控制的私人SOHO路由器而來。</p> <p>但這次，我們更是注意到，美國CISA也在美國司法部公告的同一日，發布了第三則Security by Design警報，而當中的內容，就是針對中國駭客組織Volt Typhoon的惡意網路活動而來，並聚焦於敦促SOHO 路由器製造商要有安全設計的實踐。</p> <p>換言之，為了預防網路設備再次被殭屍網路感染，FBI不只著手聯繫設備供應商，要求這些供應商向受害者提供通知，讓用戶知道他們的裝置曾經發生遭駭一事，以及知道可以有的應對方式。</p> <p>現在，還更進一步對SOHO路由器製造商發布警報，說明供應商的決策能幫助全球減少相關危害，並提供可遵循的原則，要製造商能夠主動消除相關風險，而不是依賴客戶去執行與防範，因為過去經驗證明這並不可行。</p> <p>因此，在給予<a href="https://www.cisa.gov/resources-tools/resources/secure-design-alert-security-design-improvements-soho-device-manufacturers?utm_source=FBI&utm_medium=press_release&utm_campaign=SbD_SOHO">SOHO設備製造商的Secure by Design警報</a>中，我們可以看到一些重點，我們整理如下：</p> <p>●應在SOHO路由器網頁管理介面（WMIs）的產品設計與開發階段，就消除可被攻擊者利用的弱點。</p> <p>●應調整產品預設配置，讓設備可以有自動更新的能力，並將網頁管理介面（WMI）設置在區域網路（LAN）端的連接埠，這意味著可在內部網絡中存取與操作，而不是在外部網路中可見或可存取。同時，需要手動操作才能移除相關安全設定。</p> <p>●做到產品的漏洞修補與揭露，並將這些漏洞做到準確的分類，以免受到Volt Typhoon活動與其他網路威脅的侵害。</p> <p>無論如何，產品要有基於安全的設計、要有預設的安全……，我們早已經看到許多科技大廠強調其重要性，分享這方面工作的推動與落實經驗，但我們更期盼的是，所有的製造商都在進行軟體開發之餘，都能共同重視Security by Design的問題。</p> <p>儘管近年不論歐洲、美國、日本、亞洲等國，都在物聯網資安的立法有新的進展，但我們從美國CISA的推動上來看，他們更是明確指出，資安防護並不只是用戶層面的問題，產品製造商也必須負起責任，對於政府而言，不能單靠法規遵循，迫使廠商解決這個問題，及早建立這樣的意識、落實安全設計，才能有效減少產品資安風險。</p> <h2><strong>這次破壞行動儘管意義重大，但沒有結束，持續打擊中國政府惡意網路行動需要更多投入</strong></h2> <p>另一方面，除了關心SOHO設備製造商的Secure by Design實踐，臺灣民眾應該也要知道的是，對於中國駭客組織Volt Typhoon的威脅，美國FBI也在美國司法部公布這次成果的同日，一連發布了3則新聞。</p> <p>他們的局長Christopher Wray在出席眾議院特別委員會時指出，大眾很少關注中國駭客組織瞄準他們的關鍵基礎設施——包括他們的水處理廠、電網、石油和天然氣管道、運輸系統。但現在，每個美國人都面臨風險，需要他們大家都能去特別注意。</p> <p>這樣的說法，我們認為，即便放在臺灣也很適合，對於我國遭受中國駭客網路攻擊、遭受資訊戰的情形，社會大眾需要更多的關注與認知，例如，多知道我們遭受網路攻擊的現況，多了解事件背後的多方知識，多從邏輯角度去思考，才能減少被似是而非、觀念錯置的手法操弄。</p> <p>另外，Christopher Wray也強調，這次破壞殭屍網路的意義相當重大，原因在於，這次Volt Typhoon的入侵相當隱密，很可能會在美中一旦爆發衝突時，用以摧毀美國水處理廠、電網、石油和天然氣管道、運輸系統等重要資源，並對美國民眾造成直接傷害，又或是在中國入侵臺灣，限制美國援助臺灣的能力。因此，這次破壞行動，對於抵抗中國政府惡意網路攻擊的威脅而言，並非事件的結尾，FBI還需要爭取更多資源、預算，來增加人力，來增強資安上的反應能力，以及加強情報收集與分析能力。</p> <p>這點也令我們相關有所感觸，因為就連FBI局長都在強調，一旦美國關鍵CI遭受嚴重網路攻擊，他們的資安防護做得不好，影響的不只美國民眾，也會影響該國援助臺灣的能力。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/160702"><span style="color: rgb(178, 34, 34);">【資安週報】2024年1月2日到1月5日</span></a></strong></h2> <p>新的一年到來，首要關注的漏洞消息是，去年底有研究人員揭露SSH通訊協定的漏洞問題，可透過Terrapin新手法進行攻擊，但1月3日Shadowserver基金會指出，網路上仍可發現近1,100萬臺的大量伺服器未因應，依然存在CVE-2023-48795漏洞的風險。</p> <p>在新興威脅焦點上，以Google服務cookies可被劫持的後續揭露最受關注，還有勒索軟體Zeppelin2與竊資軟體Meduza的最新動向。<br /> （一）前陣子名為PRISMA的駭客聲稱能夠竊取Google服務相關cookie，引起廣泛關注，如今我們終於看到有資安業者揭露其攻擊手法與原理，指出駭客除了鎖定Chrome瀏覽器中名為token_service的表單，進而取得的GAIA ID/token，另一關鍵，更是鎖定Google文件未提及的MultiLogin端點跨服務同步機制，這個端點是Google OAuth系統的重要環節。這也顯示，攻擊者對於Google內部身分驗證機制，有著更深層的研究與理解。<br /> （二）勒索軟體Zeppelin2傳出被他人破解的消息，近日有駭客在地下論壇散布的原始碼與建置工具，資安界憂心遭更多不肖分子利用。<br /> （三）有駭客在地下社群與Telegram頻道廣為宣傳新版竊資軟體Meduza，由於標榜功能豐富，以及可針對更多應用程式下手，而受到資安業者重視。<br /> （四）關於新型態DLL搜尋順序挾持手法的揭露值得留意，駭客可濫用系統資料夾WinSXS，進而繞過Windows 10及11防護措施，這樣的手法將讓攻擊更加隱密。</p> <p>在上述Google服務cookies劫持的手法揭露之外，我們認為同樣值得關注的是，近期社群平臺X（推特）的企業組織帳號遭不明手法劫持的安全問題，最近報導了兩篇資安新聞，其中一篇是資安業者本身也發生遭盜用的情形。</p> <p>首先是有資安業者CloudSEK揭露，隨著去年底X推出新的驗證帳號方案，但駭客為了假冒企業帳號，目前也正利用各種技術來偽造或盜竊具有金色認證標章；隔沒幾天，資安業者Mandiant發生X帳號遭盜用情形，被利用於假冒加密貨幣錢包供應商Phantom名義的詐騙活動，後續Mandiant表示已取回帳號，並指出已啟用MFA仍遭挾持，目前仍在調查原因。近日資安團體MalwareHunterTeam也指出，發現不少非營利組織、政治人物的X帳號，同樣遭劫持與盜用的情況。</p> <p>在資安事件方面，這星期我們看到國際間發生食品零售業、保險業、外送平臺業者、政府單位與企業受害的狀況。</p> <p>首先要注意的是零售服務業，近日瑞典食品零售供應商Coop遭駭，目前傳出遭勒索軟體駭客組織Cactus攻擊；保險業者也要當心，伊朗發生大規模資料外洩事件，該批資料涉及23家保險業者，駭客這波攻擊竟能一次鎖定如此多家保險業者，相當不尋常；還有外送平臺業者，伊朗Snappfood平臺發生資料外洩，研究人員發現1名SnappFood員工的電腦感染StealC竊資軟體，使得公司帳密外洩與資料遭存取。其他重大事件包括：澳洲法院也傳出遭駭客入侵，造成聽證會錄音恐外流的情形；全錄（Xerox）的美國分公司Xerox Business Solutions（XBS）遭遇網路攻擊，部分個資外洩。</p> <h2><a href="https://www.ithome.com.tw/news/160834"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年1月8日到1月12日</span></strong></a></h2> <p>2024年才剛開始沒多久，已有相當多的漏洞消息需要留意，包括零時差漏洞攻擊、已知漏洞遭鎖定利用，以及漏洞修補等不同面向：</p> <p>（一）這星期又有駭客發動零時差漏洞攻擊。此次被鎖定的目標，是Ivanti的VPN產品Ivanti Connect Secure，以及網路安全存取產品Ivanti Policy Secure，當中2個零時差漏洞已被成功利用，分別是CVE-2024-21887與CVE-2023-46805，有資安業者研判是中國國家支持的駭客組織所為。<br /> （二）我們看到美國CISA公布的新消息指出，有多個去年已知漏洞近期開始發現遭鎖定利用。包括：Adobe ColdFusion的兩個漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-38203">CVE-2023-38203</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-29300">CVE-2023-29300</a>），Apache Superset的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-27524">CVE-2023-27524</a>），蘋果多款產品的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-41990">CVE-2023-41990</a>），Joomla的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-23752">CVE-2023-23752</a>），微軟SharePoint Server的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-29357">CVE-2023-29357</a>），除此之外，還有D-Link DSL-2750B的2016年老舊漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2016-20017">CVE-2016-20017</a>），先前的資安日報尚未提及，在此補上。。<br /> （三）適逢微軟等多家廠商的每月例行安全性更新釋出，需要大家關注相關消息，並且儘快著手修補。例如：微軟本月修補49個安全漏洞，當中有兩個是重大等級。還有其他漏洞修補消息，包括：臺灣NAS廠商威聯通針對QTS等多項產品的修補，思科針對Unity Connection重大漏洞修補，Bosch智慧扳手（氣動扳手）也存在一系列漏洞。<br /> 另外，去年5月Apache基金會雖然修補RocketMQ重大漏洞CVE-2023-33246，但近期有開發團隊的成員指出，這項弱點尚未得到完整修復，後續修補動向需密切關注。</p> <p>在資安威脅態勢上，勒索軟體攻擊仍是關注重點，SMTP走私手法與關鍵基礎與電信受害情形也引起我們的關注，我們整理相關消息如下。<br /> ●勒索軟體Akira的危害在12月增加，引起芬蘭國家網路安全中心（NCSC-FI）示警，不僅針對已知路由器漏洞攻擊，並針對儲存資料的NAS系統下手。<br /> ●微軟SQL Server用戶注意！勒索軟體Mimic正發起鎖定此系統的攻擊行動，對方的目標是曝露於網際網路的SQL Server，其手法包含濫用PowerShell指令碼，並將深度混淆處理的Cobalt Strike酬載注入Windows內建的處理程序SndVol.exe。<br /> ●新型態SMTP走私（SMTP Smuggling）攻擊手法，有人提出具體分析，問題在於SMTP伺服器的進出流程中，處理資料結尾序列不一致，導致攻擊者可能偷渡SMTP命令。<br /> ●在關鍵基礎設施與電信領域方面，相關業者也要留意，包括荷蘭IT業者與電信公司遭滲透的揭露，以及木馬程式AsyncRAT鎖定美國關鍵基礎設施的揭露。其他可留意的惡意程式動向，包括FBot鎖定雲端及SaaS平臺，以及後門程式SpectralBlur鎖定Mac電腦設備。</p> <p>另一個要注意的資安威脅，在於企業社群平臺的帳號安全問題。繼日前資安業者Mandiant的Ｘ帳號被盜用後，遭張貼加密貨幣詐騙活動，如今有更多事件登上新聞版面，甚至美國證券交易委員會的X帳號都遭盜用，被假冒其名義公布宣稱比特幣ETF商品核准上市的消息。隔日，美國SEC才正式宣布，批准11檔比特幣現貨ETF交易。其他被盜的X企業帳號還包括：區塊鏈資安業者CertiK、網路設備業者Netgear、現代汽車中東及非洲的帳號。由於過往多是名人帳號遭駭，但近期事件集中發生在X平臺，並且都是企業組織官方帳號被盜，是否有不尋常的新手法出現，需要持續追蹤。</p> <h2><a href="https://www.ithome.com.tw/news/160940"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年1月15日到1月19日</span></strong></a></h2> <p>這一星期的漏洞利用威脅情形，有兩個新事件需要特別留意，一是Citrix NetScaler設備管理介面存在零時差漏洞，包括CVE-2023-6548、CVE-2023-6549，已被用於攻擊行動；另一是Google修補Chrome的V8 JavaScript引擎的<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-0519">CVE-2024-0519漏洞</a>，同樣已遭成功利用。</p> <p>還有兩個已知漏洞遭利用的狀況，包括：Laravel網頁應用程式框架在2018年修補的已知漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2018-15133">CVE-2018-15133</a>，另一個是這段期間資安日報未報導的漏洞<a href="http://nvd.nist.gov/vuln/detail/CVE-2023-35082">CVE-2023-35082</a>，這個弱點存在行動裝置管理平臺MobileIron Core，以及EPMM。特別的是，關於上述鎖定Laravel的攻擊，我們從美國FBI與CISA近期近期的示警，可以發現是惡意程式Androxgh0st的攻擊行動所為。</p> <p>還有多家業者發布漏洞修補公告，需要企業採取行動，包括Oracle第1季例行安全更新發布，Atlassian修補Confluence的漏洞，GitLab修補零點擊帳號劫持漏洞，以及Juniper修補防火牆及交換器重大漏洞。</p> <p>在國內資安消息方面，近日有多家上市櫃公司發布資安事件重大訊息，而且短短一週之內，居然發生三起的情況，格外引人注目。我們整理如下：</p> <p>（一）上市半導體設備業京鼎精密在1月16日公告，部份資訊系統遭受駭客網路攻擊。</p> <p>（二）上市印刷電路板廠恩德科技在1月17日公告，部份資訊系統遭受駭客網路攻擊。</p> <p>（三）上市運動休閒業者<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=171732&SPOKE_DATE=20240119&COMPANY_ID=8462">柏文健康事業在1月19日公告</a>，說明旗下「健身工廠」會員個資遭駭客竊取。本期資安日報尚未提及，在此補上。</p> <p>值得關注的是，京鼎精密發生2024年首起上市櫃資安事件，而且狀況相當特別，因為駭客的勒索訊息，還藉由竄改京鼎公司的網站於16日上午公諸於外，行徑非常囂張。</p> <p>關於健身工廠會員個資遭竊，他們的公告這方面消息的時機有爭議，因為他們載明的事實發生日是去年7月30日，但竟然等到2024年1月才曝光，這顯然違反「應於資安事件發生次一營業日開盤前2小時公告」，而且拖延幾乎長達半年時間。依照先前資料外洩的公司諾貝兒遭到主管機關開罰的經驗，金管會應同樣會對此祭出處分。</p> <p>另一家同樣在去年11月遭到網路駭客攻擊的雄獅，交通部近期<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=193507&SPOKE_DATE=20240117&COMPANY_ID=2731">依違反個人資料保護法第27條第1項，開罰200萬元</a>。</p> <p>還有一項值得警惕的事件，是KKday前員工跳槽對手Klook所涉的外洩營業機密案，最近調查局資安工作站更詳細說明其手法與事發過程，包括利用未修改的預設密碼、不法登入KKday系統等，並起訴涉案3人。</p> <p>在資安威脅焦點方面，近期鎖定蘋果電腦、Docker主機的惡意軟體，引發研究人員重視。他們的研究對象是3款針對macOS的竊資軟體，包括KeySteal、Atomic Stealer、CherryPie，經過調查分析之後，他們指出這類惡意程式普遍具有繞過作業系統內建XProtect的能力；近期有攻擊者鎖定易受攻擊的Docker主機部署惡意容器，當中使用了網路流量交換軟體9hits盜取流量，相當罕見。</p> <p>最後，還有兩個涉及GPU與UEFI的漏洞揭露，都是去年夏天已經通報、如今分別有資安業者對外揭露相關細節，並指出問題所在。</p> <p>例如，被命名為LeftoverLocals的漏洞CVE-2023-4969，影響蘋果、AMD、高通的GPU產品。研究人員重點提醒，如WebGPU的許多GPU框架，存在著未充分隔離記憶體的狀況；UEFI開源參考實現TianoCore EDK II存在9個漏洞，統稱為PixieFAIL，研究人員並指出，其他廠商的UEFI解決方案也受波及，包括Arm、系微（Insyde）、AMI、Phoenix Technologie與微軟。由於廠商們的修補時程未定，不確定是否修補相當棘手。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/161048"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年1月22日到1月26日</span></strong></a></h2> <p>這一星期的漏洞利用消息，分別是關於蘋果、VMware與Atlassian的三大漏洞。</p> <p>（一）蘋果修補已遭成功利用的零時差漏洞CVE-2024-23222，該漏洞影響iPhone、Mac、iPad 與Apple TV，可能導致任意程式碼執行，這也是蘋果今年修補的第一個零時差漏洞。</p> <p>（二）最近有駭客針對VMware去年10月修補vCenter伺服器的漏洞CVE-2023-34048攻擊。但Mandiant最新研究調查指出，這個漏洞至少從2021年開始就被利用，意味當時已有零時差漏洞攻擊存在，並指出攻擊者是中國駭客組織UNC3886。</p> <p>（三）上週Atlassian才修補DevOps協作平臺Confluence的重大漏洞CVE-2023-22527，現在已經發現遭駭客鎖定利用，有資安研究團隊示警，他們指出發現逾600個IP位址嘗試利用該漏洞發動攻擊。</p> <p>還有其他業者發布漏洞修補公告，也需要企業採取行動，包括持續整合工具Jenkins修補了12個Jenkins主程式及外掛程式漏洞，以及VMware修補雲端基礎架構自動化平臺Aria Automation重大漏洞。</p> <p>在資安事件焦點方面，以微軟、HPE接連向美國證交所（SEC）提交8-K表單通報資安事故，引發外界重視。</p> <p>因為兩家公司陸續公布的資訊顯示，其雲端電子郵件環境遭到俄羅斯駭客組織Midnight Blizzard入侵。目前不確定兩起事件是否有關，而且時間點也不同，微軟是在1月12日發現狀況，調查出駭客約從去年11月下旬開始攻擊；HPE是在去年12月12日收到通知，研判事故與另一起6月獲報的事件有關。</p> <p>另外，還有大型服飾集團VF Corp針對去年12月資安事故，二度向SEC提交文件，補充說明該事故的最新消息。</p> <p>在勒索軟體的威脅態勢上，2024年仍持續傳出有多家企業遇害，影響IT產業、服務業，以及水資源處理業者。例如，芬蘭IT服務與企業雲端代管業者Tietoevry，全球速食連鎖業者Subway，英國水資源處理業者Southern Water，以及水資源處理業者Veolia的北美分公司。</p> <p>還有一項惡意活動情形，我們認為值得特別留意，是關於惡意流量系統的揭露，不僅是過去這類新聞較少，近期更是有兩家資安業者都發布這方面的研究內容。</p> <p>一是駭客使用Parrot TDS植入合法網站的伺服器，將受害者帶往惡意網站，針對這些指令碼進行分析，根據資安廠商的研究人員的分析，可分成4個版本，並發現最新版本的混淆手法更進化，採用不同的陣列索引，可影響特徵碼偵測機制；另一是駭客使用VexTrio控制多個TDS網路，且運作方式都不一樣，資安研究人員認為，這是他們在一個月內首次發現基於DNS的新TDS，並指出攻擊者通常使用「atob()」與「String.fromCharCode()」的 JavaScript，目的是隱藏其程式碼。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/160880">2023年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160289">2023年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159582">2023年10月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159207">2023年9月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158650">2023年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158096">2023年7月資安月報</a></h3> <h3> </h3> </div></div></div>
2024/2/8 11:30作者羅正漢https://www.ithome.com.tw/news/161237
VS Code現在支援Hey Code語音指令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://code.visualstudio.com/updates/v1_86#_accessibility">更新</a>VS Code釋出1.86版本，這個版本有一個重大的功能更新，是讓開發者可以使用Hey Code語音指令，開始與Copilot Chat進行語音對話。該功能隸屬於VS Code的無障礙功能，開發者只要啟用accessibility.voice.keywordActivation設定，就可以讓VS Code開始監聽Hey Code語音指令以啟動語音對話。語音辨識只在電腦本地端運算，不會發送至任何伺服器，以確保開發者的隱私安全。</p> <p>語音對話提供多種啟用選項，以符合不同的使用情境，其中chatInView選項允許開發者從聊天檢視頁面啟動語音聊天，方便地直接進行對話。而quickChat選項讓開發者可以透過快速聊天控制項，迅速與Copilot開始語音聊天，inlineChat則可以在編譯器的程式碼行內開始語音聊天。</p> <p>開發者希望可以靈活地與Copilot互動，便可以使用chatInContext選項，當開發者的焦點在編輯器中，就會從行內聊天啟動語音，否則會從聊天檢視頁面啟動。這些選項讓開發者根據當前的工作環境和需求，選擇適合的語音對話啟動方式。</p> <p>當VS Code使用麥克風辨識出Hey Code指令時，狀態列的小麥克風圖示便會出現相對應的指示，在語音聊天完成之後，VS Code會回到監聽Hey Code指令的狀態，等待開發者重新開啟另一個對話。</p> <p>開發者要使用這項新功能，需要安裝GitHub Copilot Chat與VS Code Speech擴充套件。GitHub Copilot Chat可在VS Code中，提供對話式人工智慧協助，而VS Code Speech會在VS Code的聊天介面，提供語音轉文字功能，該擴充套件不需要網路連接，語音資料僅會在用戶電腦本地端處理。</p> <p>除了Hey Code語音指令，VS Code還更新自動儲存功能，在1.86中自動儲存功能變得更強大，能夠在檔案中存在錯誤標記時停用自動儲存，避免外部工具對包含錯誤的檔案進行操作。另外，VS Code也可以限制僅儲存工作區檔案。</p> </div></div></div>
2024/2/8 00:24作者李建興https://www.ithome.com.tw/news/161233
Google推localllm命令列工具，支援本機CPU執行大型語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推出了一組稱為<a href="https://cloud.google.com/blog/products/application-development/new-localllm-lets-you-develop-gen-ai-apps-locally-without-gpus">localllm</a>的工具和函式庫，透過與Google雲端全託管開發環境Cloud Workstations的整合，讓開發者可以使用本機端CPU和記憶體執行大型語言模型，藉以消除人工智慧應用程式開發對GPU運算資源的需求。</p> <p>開發使用大型語言模型的應用程式面臨許多挑戰，例如GPU資源稀缺便會對開發造成阻礙，而Google推出了新興解決方案，透過讓開發者在Cloud Workstations中運用本地CPU和記憶體，就足以執行大型語言模型。</p> <p>該新方法是藉由結合量化模型、Cloud Workstations和localllm工具達成。所謂的量化模型，是指經過最佳化，可以在有限運算資源本地裝置執行的人工智慧模型，這些模型的記憶體使用和處理能力更加高效，因此能夠在智慧型手機、筆記型電腦和各種邊緣裝置上運作。由於量化模型經過最佳化，會使用較低精度的資料類型進行計算，相較於使用標準的32位元浮點數，能以相同的運算資源進行更快速的處理。</p> <p>量化技術也有助於減少人工智慧對記憶體的需求，透過降低表示模型權重和啟動（Activation）的位元數，減少整體模型大小，進而適應儲存容量有限的裝置。由於量化模型在精度和模型尺寸更小，因此可以更快地執行運算，實現更快的推理速度。</p> <p>Google釋出的localllm，讓開發者可以透過命令列工具，存取HuggingFace中的量化模型，在不受GPU可用性限制的情況下運用大型語言模型。Google提到，localllm儲存庫提供了完整的框架和工具，讓開發者在Cloud Workstation上直接於本地執行大型語言模型，甚至是在任何具有足夠CPU資源的機器上執行大型語言模型。</p> <p>因此開發者可以將大型語言模型整合到應用程式開發工作流程中，而不影響效能或生產力，而且透過localllm，開發者可以直接在Google雲端生態系中使用大型語言模型，這種整合簡化了開發流程，降低開發對遠端伺服器和外部服務的依賴程度。由於大幅降低對GPU運算資源的需求，也就最佳化資源利用率，進而降低了開發成本。</p> <p>在本地端的CPU和記憶體上執行大型語言模型，也就代表開發者可以更完全地掌握敏感資料，localllm讓開發者降低資料傳輸還有第三方存取相關的風險，進而強化資料的安全性與隱私性。</p> </div></div></div>
2024/2/8 00:34作者李建興https://www.ithome.com.tw/news/161235
Linux基金會宣布成立聯盟促進後量子密碼學發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會推出<a href="https://www.linuxfoundation.org/press/announcing-the-post-quantum-cryptography-alliance-pqca">後量子密碼學聯盟（Post-Quantum Cryptography Alliance，PQCA）</a>，目的是要推動後量子密碼學的進步，希望可以透過生產標準化演算法，解決軟體實作解決量子運算所帶來的加密安全挑戰。聯盟初始會員包括AWS、Google、IBM與Nvidia等11個組織。</p> <p>後量子密碼學是一種針對量子電腦的潛在能力，所開發的加密技術，其主要目標是要在未來量子電腦成為實際威脅時，能夠保護資訊安全免受侵害。針對未來的安全挑戰，包括量子計算所帶來的威脅，美國國家安全局推薦一系列加密標準和指南，稱為商業國家安全演算法套件2.0（CNSA 2.0）。</p> <p>而後量子密碼學聯盟的目標是成為組織和開源專案，所需生產就緒函式庫和軟體套件的中樞，使其應用能夠符合CNSA 2.0的資安建議。該聯盟將從事各種技術專案，包括開發軟體以評估、設計和部署新的後量子演算法，透過提供軟體實作促進後量子密碼學在產業中的實際應用。</p> <p>這些工作會基於許多聯盟創始會員，長年在後量子密碼學所奠定的基礎，啟動專案之一是開放量子安全專案（Open Quantum Safe），該專案在2014年於滑鐵盧大學中成立，是目前致力於後量子密碼學開源軟體的專案。後量子密碼學聯盟也會創建新的程式碼套件專案，建立高品質生產就緒軟體實作，支援即將推出諸如ML-KEM演算法等後量子密碼學標準。</p> </div></div></div>
2024/2/8 00:44作者李建興https://www.ithome.com.tw/news/161236
【資安日報】2月7日，求職網站遭駭客組織ResumeLooters鎖定竊取求職者應徵資料，臺灣、印度是主要目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了竊取大量使用者資料，不少攻擊行動鎖定電商網站而來，甚至發展出側錄使用者信用卡的手法Magecart，但現在，也有專門針對提供其他服務的網站而來的情況。</p> <p>最近資安業者Group-IB揭露的ResumeLooters攻擊行動，就是針對求職網站而來，駭客的主要目標是亞太地區，其中，又以印度和臺灣的災情最嚴重。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.group-ib.com/blog/resumelooters/"><strong style="font-size: 22px;">駭客組織ResumeLooters利用SQL注入、XSS攻擊求職網站，竊取逾200萬人個資</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/resumelooters-distribution.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/resumelooters-distribution.png" style="width: 300px; float: right;" /></a>資安業者Group-IB去年11月發現專門針對亞太地區的求職網站及零售業者的大規模網站攻擊，駭客組織ResumeLooters自2023年初開始，透過SQL注入攻擊的方式，企圖竊取網站上的使用者資料庫，當中不只包含姓名、電話號碼、電子郵件信箱、生日，還有工作經歷及其他敏感資料，而在部分攻擊行動裡，駭客則對求職網站進行跨網站指令碼（XSS）攻擊，從而在這些網站植入網路釣魚表單。</p> <p>研究人員在去年11月、12月，總共發現有65個網站遭到攻擊，大部分位於亞太地區國家，其中又以印度、臺灣、泰國的網站最多，但巴西、美國、土耳其、俄羅斯也有網站受害。根據他們的統計，總共遭竊的個資達到2,188,444筆，其中510,259筆已確認是從求職網站流出。而對於駭客攻擊這些網站的過程，研究人員指出採用了不少現成工具，像是資料庫滲透測試工具SQLmap，網站漏洞掃描工具Acunetix、Beef Framework、X-Ray，以及滲透測試工具Metasploit。</p> <p>而對於這些駭客的來歷，研究人員表示並不清楚，但指出駭客使用中文名稱的Telegram帳號，且於使用中文的群組兜售資料，攻擊過程也有部分工具使用中文版本，因此，這些駭客很有可能來自中國。</p> <p><a href="https://www.ncsc.nl/documenten/publicaties/2024/februari/6/mivd-aivd-advisory-coathanger-tlp-clear"><strong style="font-size: 22px;">荷蘭軍事網路遭中國駭客入侵，利用Fortinet防火牆漏洞植入木馬程式</strong></a></p> <p></p> <p>荷蘭軍事情報暨安全局（MIVD）、情報暨安全總局（AIVD）發布聯合公告指出，該國國防部去年遭到中國網路間諜入侵，並植入後門程式。而對於這起事故的受害規模，他們評估少於50個使用者受害，主要目標非機密專案的研發團隊，以及2個與之合作的第三方研究機構，他們認為，這起攻擊行動不光針對荷蘭，與他們結盟的國家也是目標。</p> <p>MIVD與AIVD指出，他們在受害組織的網路環境當中，發現駭客利用Fortinet設備SSL VPN漏洞CVE-2022-42475（CVSS風險評分為9.8），對FortiGate防火牆設備植入RAT木馬Coathanger，此惡意程式透過攔截系統呼叫的方式來隱匿行跡，值得留意的是，即使IT人員將防火牆重開機或是更新韌體，該惡意程式仍會持續運作。</p> <p><a href="https://therecord.media/iran-linked-hackers-claim-attack-on-albania-census-org"><strong style="font-size: 22px;">阿爾巴尼亞研究所傳出遭到網路攻擊，部分系統受到影響，疑為伊朗駭客所為</strong></a></p> <p></p> <p>1月31日阿爾巴尼亞統計研究所（INSTAT）傳出遭到網路攻擊，該研究機構確認部分系統受到影響，但強調去年人口普查的資料並非本次事故的攻擊目標，他們的技術團隊隨即啟動緊急應變措施，來保護相關資料，並防止損害進一步擴大。阿爾巴尼亞網路機構AKCESK與該國警方聯手，協助INSTAT復原受影響的系統。</p> <p>而對於攻擊者的身分，自稱是Homeland Justice的伊朗駭客組織聲稱是他們所為，並上傳影片做為證據，表明已偷到100 TB內部資料，但並未公布部分檔案，外界無法確認其真實性。</p> <p>資料來源</p> <p>1. <a href="https://www.facebook.com/institutistatistikave/posts/pfbid02aMQi8UxE6sYD2HE6viCfU1BXEpxnpEPfUNrvQFpykErGAFWt1fFoiYZxnDBLQqv4l">https://www.facebook.com/institutistatistikave/posts/pfbid02aMQi8UxE6sYD2HE6viCfU1BXEpxnpEPfUNrvQFpykErGAFWt1fFoiYZxnDBLQqv4l</a><br /> 2. <a href="https://cesk.gov.al/deklarate-zyrtare-5/">https://cesk.gov.al/deklarate-zyrtare-5/</a><br /> 3. <a href="https://t.me/justice_homeland/451">https://t.me/justice_homeland/451</a></p> <p><a href="https://cert.gov.ua/article/6277422"><strong style="font-size: 22px;">2千臺烏克蘭電腦遭到惡意軟體PurpleFox攻擊</strong></a></p> <p></p> <p>1月31日烏克蘭電腦緊急應變小組（CERT-UA）指出，當地一家國營企業遭遇駭客組織UAC-0027攻擊，駭客對其電腦植入名為PurpleFox的惡意程式（亦稱DirtyMoe），至少有2千臺電腦受到感染。</p> <p>CERT-UA指出，此惡意程式通常會在使用者執行MSI安裝程式的過程進行感染，並能夠藉由已知漏洞或是暴力破解等方式，進行橫向感染，而且，該惡意程式具有Rootkit元件，導致受害者難以清除。</p> <p>他們從1月20日至31日對受害電腦進行監控，結果找到了486個C2伺服器的IP位址，大部分位於中國。</p> <p><a href="https://www.securonix.com/blog/security-advisory-steadyursa-attack-campaign-targets-ukraine-military/"><strong style="font-size: 22px;">俄羅斯駭客組織Shuckworm攻擊烏克蘭軍方，利用PowerShell後門程式進行滲透</strong></a></p> <p></p> <p>資安業者Securonix揭露鎖定烏克蘭軍事人員而來的網釣攻擊行動Steady#URSA，俄羅斯駭客組織Shuckworm疑似透過釣魚郵件，挾帶內含Windows捷徑檔案（LNK）的壓縮檔，為引誘收信人點選，這些捷徑檔的名稱都與烏克蘭城市或是軍事用語有關，而且，圖示被設置成與影片檔案相同的內容。一旦收信人開啟LNK檔案，電腦就會透過隱藏視窗及命令列執行PowerShell，最終電腦就會被植入PowerShell後門程式Subtle-Paws。</p> <p>此後門程式可從C2接收攻擊者的命令並執行，並能在所有磁碟建立LNK執行惡意機碼，從而透過外接裝置進行橫向移動。研究人員指出，由於烏克蘭軍方許多系統都是設置於隔離網路（Air-gapped），而在這起行動當中，他們看到攻擊者完全都是透過USB裝置，在不同系統之間散布惡意程式，因而得逞。</p> <p><a href="https://gur.gov.ua/content/znyshchyly-vorozhu-planietu-detali-kiberataky-proty-tsentru-kosmichnoi-hidrometeorolohii-rf.html"><strong style="font-size: 22px;">俄羅斯太空氣象研究中心遭到烏克蘭駭客攻擊，破壞2 PB資料</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/20240124-01-03.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/20240124-01-03.jpeg" style="width: 300px; float: right;" /></a>1月24日烏克蘭國防部情報總局表示，駭客組織BO Team入侵俄羅斯天文研究機構太空氣象遠東科學研究中心（Far Eastern Scientific Research Center of Space Hydrometeorology），並對其中的大型資料庫Planet下手，從280臺伺服器抹除2 PB資料，預估至少損失1千萬美元。</p> <p>駭客破壞的檔案涵蓋氣象及衛星資料，廣泛提供俄羅斯國防部、航太局等多個部門使用，烏克蘭國防部情報總局指出，除了資料儲存設備、伺服器、工作站電腦，資料中心的空調系統、緊急電源供應系統也遭到癱瘓。但究竟駭客如何破壞資料，該單位並未說明。</p> <p><a href="https://www.txone.com/news/txone-networks-published-annual-report-2023/"><strong style="font-size: 22px;">勒索軟體是工業控制系統與操作科技環境的頭號威脅</strong></a></p> <p></p> <p>資安業者TXOne Networks與市場調查公司Frost & Sullivan聯手，針對操作科技（OT）與工業控制系統（ICS）的網路安全態勢進行調查，指出勒索軟體是這些網路環境當中最為嚴重的威脅。</p> <p>他們針對2023年186起發生於美國、德國、阿拉伯聯合大公國（UAE）、日本的OT資安事故進行分析，結果發現有近半數（47%）與勒索軟體攻擊有關，其次則是漏洞攻擊和惡意軟體感染，分別有38%、37%，值得留意的是，這些事故當中，有超過三分之一（35%）也與人為不慎的操作錯誤有關。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/microsoft/new-windows-event-log-zero-day-flaw-gets-unofficial-patches/"><strong style="font-size: 22px;">零時差漏洞EventLogCrasher影響所有版本Windows</strong></a></p> <p></p> <p>研究人員Florian向微軟通報名為EventLogCrasher的漏洞，該漏洞存在於Windows作業系統的事件檢視器（EventLog）服務，一旦攻擊者發送惡意的UNICODE_STRING物件，並透過遠端程序呼叫（RPC）型態的事件檢視器通訊協定傳送至名為ElfrRegisterEventSourceW的方法，就有機會造成相關元件當掉，影響所有版本Windows工作站及伺服器作業系統，1月23日研究人員發布概念性驗證（PoC）攻擊影片。值得留意的是，研究人員指出，微軟獲報後認為該弱點與2022年另一個漏洞重複，因此不予處理。</p> <p>對此，提供漏洞微修補的資安業者0patch也對此漏洞的影響進一步說明，表示一旦攻擊者取得了低權限，讓事件檢視器當機3次，此項服務就可能完全停止，而使得資安資訊及事件管理系統（SIEM）、入侵偵測系統（IDS）直接受到影響，無法截取事件記錄進行分析，而使得攻擊者有時間能執行進一步的攻擊，例如暴力破解、執行whoami，或是利用遠端服務的弱點等，0patch針對Windows 7及Windows Server 2008 R2以上的作業系統，提供該漏洞的微修補程式。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/floesen_/status/1749809453367779758">https://twitter.com/floesen_/status/1749809453367779758</a><br /> 2. <a href="https://blog.0patch.com/2024/01/the-eventlogcrasher-0day-for-remotely.html">https://blog.0patch.com/2024/01/the-eventlogcrasher-0day-for-remotely.html</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-android-local-elevation-flaw-impacting-7-oems/"><strong style="font-size: 22px;">研究人員公布安卓本地權限提升漏洞的概念性驗證程式，影響至少7個廠牌行動裝置</strong></a></p> <p></p> <p>Meta紅隊演練團隊Red Team X於9月向Google通報CVE-2023-45779，這項漏洞存在於安卓作業系統開源專案（AOSP）的Apex模組，起因是使用了測試金鑰進行不安全的簽署，從而讓攻擊者有機會推送惡意更新，並進行權限提升。</p> <p>Apex模組的主要功能，是讓OEM廠商能夠推送特定系統元件更新，而無須發布完整的OTA檔案，照理來說，這些廠商必須使用自己的私鑰簽章，但在安卓的原始碼裡，卻是使用相同的公鑰來進行，這代表任何人都能藉由這種管道推送更新。研究人員確認華碩Zenfone 9、微軟Surface Duo 2、Nokia G50、Nothing Phone 2、Vivo X90 Pro、聯想Tab M10 Plus、Fairphone 5存在上述漏洞，三星Galaxy S23、Google Pixel、小米Redmi Note 12、Sony Xperia 1 V等多款手機不受影響。</p> <p>對此，Google於12月發布修補程式，並打算在下一個大改版Android 15更進一步處理這項弱點。</p> <p>資料來源</p> <p>1. <a href="https://rtx.meta.security/exploitation/2024/01/30/Android-vendors-APEX-test-keys.html">https://rtx.meta.security/exploitation/2024/01/30/Android-vendors-APEX-test-keys.html</a><br /> 2. <a href="https://source.android.com/docs/security/bulletin/2023-12-01">https://source.android.com/docs/security/bulletin/2023-12-01</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=180109&SPOKE_DATE=20240205&COMPANY_ID=4721"><strong><span style="font-size: 20px;">化學材料廠美琪瑪部分資訊系統遭網路攻擊</span></strong></a></p> <p></p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=170130&SPOKE_DATE=20240205&COMPANY_ID=2736"><strong><span style="font-size: 20px;">旅館業者富野傳出分公司資訊系統遭網路攻擊</span></strong></a></p> <p></p> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/65b9290a-b22e-4ae7-93e7-5acb84357297.shtml"><strong><span style="font-size: 20px;">針對去年發生的資料外洩事故，電信業者Verizon證實6.3萬名員工個資流出</span></strong></a></p> <p></p> <p><strong><a href="https://blog.google/threat-analysis-group/commercial-surveillance-vendors-google-tag-report/"><span style="font-size: 20px;">Google指控2023年8成零時差漏洞遭商業間諜軟體供應商濫用</span></a></strong></p> <p></p> <p><strong><a href="https://source.android.com/docs/security/bulletin/2024-02-01"><span style="font-size: 20px;">Google發布2月份安卓例行更新，修補46個漏洞</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161212"><strong>【2月6日】駭客利用Deepfake視訊會議從跨國企業員工騙得2億港幣</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161188"><strong>【2月5日】知名遠端桌面連線軟體AnyDesk證實伺服器遭駭並撤換程式碼簽章</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161155"><strong>【2月2日】美國下令聯邦機構限時切斷Ivanti Connect Secure與內部網路環境之間的連線並著手清查</strong></a></p> </div></div></div>
2024/2/7 16:35作者周峻佑https://www.ithome.com.tw/news/161232
Google發布《Buying Spying》報告，公開商業間諜軟體產業的運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在<a href="https://www.ithome.com.tw/news/161203" target="_blank">美國宣布</a>將針對散布間諜軟體的個人進行簽證限制的隔天，Google出版了長達30項的<a href="https://storage.googleapis.com/gweb-uniblog-publish-prod/documents/Buying_Spying_-_Insights_into_Commercial_Surveillance_Vendors_-_TAG_report.pdf" target="_blank">《Buying Spying》報告</a>，公開商業間諜軟體產業的運作。</p> <p>Google威脅分析小組（Threat Analysis Group，TAG）長期以來追蹤全球約40家商業監控供應商（Commercial Surveillance Vendors，CSV），這些供應商負責提供付費服務及工具，整合了用來繞過各種安全機制的攻擊鏈，同時供應間諜軟體及必要的基礎設施，以蒐集目標對象的資料。</p> <p>這些CSV的主要客戶為各國政府，攻擊對象則涵蓋記者、人權捍衛者、異議份子與政治對手，它們之所以引起Google TAG的注意，最大因素可能來自於CSV所利用的零時差漏洞，有一半是針對Google產品與Android系統。</p> <p>根據TAG的統計，自2014年以來，在波及Google產品的72個零時差漏洞中，有35個源自於各家CSV，而且這是個保守估計，TAG相信這些CSV所利用的零時差漏洞一定更多，只是尚未被發現。</p> <p>TAG指出，倘若各國政府曾經獨占了最尖端的技術，那麼那個時代已然結束，因為TAG現在所發現的最先進的攻擊工具中，絕大多數都是來自於這些私人的商業監控供應商，光是在2023年所發現的25個已遭攻擊的零時差漏洞，便有20個源自CSV。</p> <p>與尋常的軟體產業一樣，CSV採用了不同的方法於間諜軟體市場中保持競爭力，它們建立關係以向政府客戶提供間諜軟體，並藉由專業性、協作或收購來提供有競爭力的產品。</p> <p>TAG於報告中描述了Cy4Gate與RCS Lab、Intellexa、Negg Group、NSO Group及Variston等CSV業者的操作手法，包括它們如何宣傳與交付自家的間諜軟體產品，報告中也採訪了曾受到攻擊的受害者。</p> <p>其中，2014年於義大利創立的Cy4Gate開發了鎖定Android與iOS平臺的Epeius間諜軟體，使用至少3個Android零時差漏洞，並在2022年收購了同樣位於義大利的RCS Lab，成立於1993年的RCS Lab宣稱可提供高度可靠的電子監控解決方案，並開發與銷售名為Hermit的間諜軟體。儘管已合併，但Cy4Gate與RCS Lab仍保持獨立運作，以各自的產品替不同的客群提供服務。</p> <p>最後，Google則呼籲，只要各國政府擁有購買商業監控技術的需求，該產業便會持續茁壯，繼續開發及銷售間諜軟體，而現在應該是政府、產業及民間社會共同改變其結構的時候了，以免相關技術進一步地蔓延。</p> </div></div></div>
2024/2/7 15:43作者陳曉莉https://www.ithome.com.tw/news/161228
Mozilla推出可移除使用者外洩個資的Mozilla Monitor Plus訂閱服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/en/mozilla/introducing-mozilla-monitor-plus-a-new-tool-to-automatically-remove-your-personal-information-from-data-broker-sites/" target="_blank">Mozilla本周發表了全新的訂閱服務Mozilla Monitor Plus</a>，得以協助使用者自資料掮客的網站上移除個人資料，每月訂閱費用為9.99美元，年費則是107.88美元。</p> <p>Mozilla Monitor Plus的前身為2018年推出的Firefox Monitor，當時是與Have I Been Pwned合作，在使用者輸入自己的電子郵件位址時，就可顯示自己的資料曾因哪些服務被入侵而外洩，迄今已有超過1,000萬名使用者註冊該服務。而Mozilla Monitor Plus則會偵測使用者的資料是否出現在逾190家的資料掮客網站上，並自動協助使用者提出請求，要求這些網站移除使用者個資。</p> <p>Mozilla提供了一次性的Mozilla Monitor Plus免費服務，允許使用者偵測自己的個資出現在哪些掮客網站上，並請求它們將之移除，但使用該服務必須輸入姓名、所居住的城市及州別、生日及電子郵件。Mozilla解釋，這些資訊是用來進行精確搜尋的必要資訊，相關資訊將受到Mozilla隱私政策的保護。</p> <p>此外，該服務還能檢視高風險資訊是否已外洩，涵蓋社會安全碼、信用卡資訊、銀行帳戶及PIN碼等，並提供修復及解決建議。</p> <p>若實際訂閱了Mozilla Monitor Plus，該服務便會每月定期替使用者掃描個資是否出現在這些掮客網站上，協助將它們刪除，同時通知使用者。</p> <p>Mozilla Monitor Plus為Mozilla所推出的第三項付費訂閱服務，先前曾推出月費為9.99美元、年費為59.88美元的Mozilla VPN服務，以及可隱藏真實電子郵件信箱的Firefox Relay服務，月費為0.99美元。</p> </div></div></div>
2024/2/7 16:08作者陳曉莉https://www.ithome.com.tw/news/161231
歷經數年開發的jQuery 4.0 Beta版本釋出，具多項重大更新並逐步停止支援IE
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>輕巧、快速且功能豐富的JavaScript函式庫jQuery，在2016年發布3.0正式版之後，終於在2024年迎來<a href="https://blog.jquery.com/2024/02/06/jquery-4-0-0-beta/">jQuery 4.0.0 Beta版本</a>。經過了這麼多年的開發，jQuery 4.0.0有許多重大更改，包括取消IE 10以前的支援，並且刪除已棄用的API，以及放棄支援一些過於複雜行為。同時，還新增支援可信類別（Trusted Type），強化安全性防禦跨站腳本（XSS）攻擊。</p> <p>jQuery 4.0不再支援IE 10以及更早版本，官方解釋，他們計畫分階段取消支援，會在jQuery 5.0進一步取消對IE 11的支援。目前官方先刪除專門支援IE 11之前版本的程式碼，而這樣的修剪也減少867 gzip位元組大小，進一步加快終端用戶載入頁面的時間。jQuery同時也放棄支援其他老舊的瀏覽器，包括Edge Legacy、iOS <11、Firefox <65和Android瀏覽器，如果開發者仍需要支援這些瀏覽器，就必須繼續使用jQuery 3.x版本。</p> <p>許多函式已經在之前版本中被棄用，而在jQuery 4.0這個主要版本，官方也一併進行清理，官方指出，jQuery 4.0刪除的函式多是內部函式，或是已經在瀏覽器中具有原生等效功能的函式，諸如jQuery.trim()、jQuery.isArray()與jQuery.isFunction()等13個。</p> <p>jQuery開發團隊還進行了一項重要變更，便是移除了push、sort和splice方法。jQuery原型（Prototype）擁有與其他jQuery函式不同行為的陣列方法，並且始終僅供內部使用，jQuery開發團隊現在決定不再透過jQuery原型來使用這些方法，而是直接使用陣列函式。這樣的變更讓jQuery更符合現代JavaScript標準和最佳實踐，也讓函式庫本身更加精簡。</p> <p>而jQuery 4.0在處理焦點事件的順序也有變化，這些焦點事件分別為focusin、focusout、focus和blur。這些焦點事件長期在各瀏覽器中執行順序不一致，直到最近各瀏覽器終於在事件順序上取得共識，但是這個順序與jQuery過去所選擇的順序不同，現在jQuery 4.0不再覆蓋瀏覽器原生行為，除了IE之外，所有瀏覽器都會遵循當前W3C規範，順序為blur、focusout、focus和focusin。</p> <p>jQuery.ajax新增對二進位資料FormData的支援。過去二進位資料並不被視為已知的資料類型，而會被轉換成字串，這種行為需要停用資料轉換並以手動處理，不過，現在開發團隊決定讓這個過程自動化。加入對FormData的支援，代表開發者可以在使用jQuery.ajax進行網路請求時，直接傳送表單資料和其他二進位檔案，不需要進行額外的處理和轉換。這項變更在技術上是一個重大變化，官方認為，此行為更接近開發者預期。</p> <p>jQuery 4.0加入了對可信類別的支援，而這是一個重要的安全性強化功能。可信類別為一項網頁安全標準，透過限制網站可以執行的腳本防止跨站腳本攻擊，在支援可信類別的瀏覽器中，開發者可以自訂一組可信類別，並將不可信的輸入轉換為可信類別確保網站安全性。</p> <p>另外，jQuery 4.0還改進對內容安全政策（CSP）的支援。雖然一些AJAX請求已經透過使用<script>標籤維護諸如跨網域等屬性，但jQuery 4.0現在更傾向在大多數非同步腳本請求中使用<script>標籤，避免因為使用行內腳本（Inline Scripts）而導致CSP錯誤。</p> <p>從jQuery 3.0或更高版本升級到jQuery 4.0預期不會有相容性問題，開發者也可以使用官方發布的jQuery Migrate外掛工具，辨識程式碼相容性問題。jQuery 4.0更新了精簡版本（Slim Build），藉由移除非同步程式開發機制Deferreds和回呼列表管理功能Callbacks，使體積現在小於20 KB。</p> </div></div></div>
2024/2/7 16:15作者李建興https://www.ithome.com.tw/news/161229
Meta企圖建立辨識AI內容的產業標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2024/02/labeling-ai-generated-images-on-facebook-instagram-and-threads/" target="_blank">Meta本周揭露</a>，正在與合作夥伴共同開發用來辨識AI內容的通用技術標準，包括目前較為普及的AI圖像辨識標準，以及相較之下較不普遍的AI影片及AI音訊辨識標準，以期在遭到大規模濫用之前先行一步保護使用者。Meta計畫未來幾個月就會基於相關標準，於臉書、Instagram及Threads上標註由AI生成的圖像。</p> <p>其實Meta已針對自家Meta AI功能所生成的圖像，提供Imagined with AI標籤以供使用者辨識，但此一標籤僅限於來自Meta AI的圖像，無法擴及其它工具或平臺所生成的AI作品。於是Meta著手與Partnership on AI（PAI）等論壇合作，共同發展C2PA及IPTC等各種標準，以用來辨識來自Google、OpenAI、微軟、Adobe、Midjourney與Shutterstock等採用不同技術的AI圖像。</p> <p>根據Meta的說明，來自Meta AI的生成式圖像具備兩種AI標記，一種是直接呈現於圖像上的可見標記，另一種則是出現在圖像檔案中的元資料與不可見的浮水印，當中，不可見標記的作法剛好與PAI的最佳實作一致。</p> <p>於是Meta開始與PAI及其它合作夥伴共同建置各種工具，以用來大規模辨識這些隱藏於AI作品中的不可見標記，因為上述的Google、OpenAI與微軟等業者，也都在以它們工具所建置的AI圖像中加入了元資料。</p> <p>只不過，現階段業者才開始將標記功能加到圖像生成器中，尚未擴及影片與音訊生成器，使得Meta決定推出暫時性功能，讓使用者在分享AI生成影片及音訊的內容時自行揭露，以便Meta將它們加上AI標籤。倘若使用者不從，那麼Meta可能會施以罰則，此外，Meta亦打算針對那些可能帶來重大影響的AI內容上嵌入更明顯的標籤以示警告。</p> <p>Meta指出，這可能是目前最先進的作法，只是還未能延伸至所有由AI生成的內容，而且人們還有許多可移除不可見標記的方法，使得該公司決定多管齊下，包括開發可自動偵測缺乏不可見標記之AI內容的分類器，或是尋找讓人們更難移除或變更不可見浮水印的方法，以及打造一個名為Stable Signature的技術，可直接將浮水印功能整合到某些影像生成器的生成程序中，非常適用於開源模型。</p> <p>Meta認為，AI既是劍也是盾牌，除了不肖份子利用它來創造虛假內容以欺騙使用者之外，該公司使用AI系統來偵測平臺上的仇恨言論及其它有害內容，將仇恨言論的普及率調降至0.01-0.02%，等同於使用者每1萬次的瀏覽，只會看到一、兩個內容含有仇恨言論。</p> <p>未來幾個月，使用者在臉書、Instagram或Threads上所看的AI生成圖像，不管它們是採用何種技術所生成，只要可被基於標準的指標所偵測到，都會出現標籤。</p> </div></div></div>
2024/2/7 13:29作者陳曉莉https://www.ithome.com.tw/news/161227
強調開放社交網路的BlueSky正式開放使用者下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Twitter共同創辦人Jack Dorsey重新建立的微型部落格BlueSky，在經歷了近一年的<a href="https://www.ithome.com.tw/news/155714" target="_blank">邀請測試</a>之後，本周二（2/6）<a href="https://bsky.social/about/blog/02-06-2024-join-bluesky" target="_blank">正式開放所有使用者下載</a>。</p> <p>BlueSky在介面上與Twitter非常類似，同時採用類似Twitter的藍色商標，只不過Twitter的商標是一隻藍鳥，而BlueSky則是一隻藍色蝴蝶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0207-bluesky%20UI.png" style="width: 600px;" /></p> <p>然而，強調開放的BlueSky底層架構與Twitter截然不同。它採用自行開發的聯邦宇宙（Fediverse）協定AT Protocol，可連結其它基於Fediverse的社交平臺，且使用者的個人檔案與貼文都是可攜的。</p> <p>此外，它具備客製化的動態主題，使用者可自行選擇想看到的貼文種類，從新聞、文化、藝術、動物到政治等；除了根據社群守則所制定的審核標準之外，使用者亦可自行增添審核機制，過濾那些不想觸及的內容。BlueSky亦計畫在未來幾周推出標籤服務，推動第三方組織建立特定的審核機制以供用戶使用，例如由事實查核組織針對各種傳聞所建立的標籤。</p> <p>值得注意的是，由於AT Protocol的設計基礎在於公開交流，因此使用者所有的貼文、按讚或封鎖都是公開的，在BlueSky上並無私有資料，但亦允許使用者刪除所張貼的文章或照片。</p> <p>在邀請測試期間，BlueSky已吸引全球逾300萬名使用者加入，本周全面開放的BlueSky同時支援Android、iOS及桌面平臺。</p> </div></div></div>
2024/2/7 12:18作者陳曉莉https://www.ithome.com.tw/news/161226
微軟開始預覽Windows 11裝置運用NPU加速機器學習模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/directx/introducing-neural-processor-unit-npu-support-in-directml-developer-preview/">發布</a>DirectML 1.13.1和ONNX Runtime 1.17，展開DirectML對神經處理單元（NPU）的開發者預覽支援。這個開發者預覽支援一部分模型，使得這些模型可以在搭載Intel Core Ultra處理器和AI Boost功能的Windows 11裝置上運作。</p> <p>DirectML是一種低階API，替硬體供應商提供通用抽象層，供應用程式存取其機器學習加速器，適用於所有DirectX 12相容裝置，包括GPU與NPU。而NPU是一種專為機器學習工作負載設計的處理單元，適合用於計算密集、不需要圖型介面互動的工作負載。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Thomas_Hannaford_0-1706743576738%20(1).png" style="width: 228px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／英特爾</span></span></p> <p>這個預覽版本是微軟與三星合作開發而成，<a href="https://community.intel.com/t5/Blogs/Tech-Innovation/Artificial-Intelligence-AI/Scaling-AI-in-Samsung-PCs-with-Intel-AI-Boost-and-Microsoft/post/1565905">三星筆電</a>採用Intel Core Ultra處理器和AI Boost技術，以及Windows DirectML API來加速人工智慧工作負載。透過利用NPU來加速部分機器學習模型的運算，使得應用程式可以更快地處理人工智慧任務，諸如語音辨識和圖像處理等。</p> <p>目前DirectML對NPU支援，僅適用於搭載Intel Core Ultra處理器的裝置，執行特定經最佳化的機器學習模型，部分模型可能完全無法執行，或是存在高延遲、低準確度的問題。而功能正常但沒有被選入這個預覽版本的模型，可能存在一些可靠性和穩定性問題。微軟正持續擴大支援範圍。</p> </div></div></div>
2024/2/7 10:44作者李建興https://www.ithome.com.tw/news/161223
Google開發可在裝置上順暢執行的文字轉圖像模型MobileDiffusion
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開發了可以在行動裝置上，以次秒（Subsecond）速度執行文字轉圖像的模型<a href="https://blog.research.google/2024/01/mobilediffusion-rapid-text-to-image.html">MobileDiffusion</a>。MobileDiffusion是一種高效的擴散模型，在iOS和Android高階裝置上，能在半秒內生成512x512的高品質圖像。MobileDiffusion相較於其他圖像生成模型小上許多，只有5.2億參數特別適用於行動應用部署。</p> <p>當前文字轉圖像擴散模型越來越成熟，使用者只要輸入文字提示，模型就可生成高品質圖像，但是先進的模型動輒擁有數十億個參數，因此執行成本也非常高昂，需要強大的桌面電腦或是伺服器才能快速運算。</p> <p>研究人員指出，造成文字轉圖像擴散模型效能低落的主要原因有兩個，第一是擴散模型固有設計需要迭代去噪生成圖像，而這需要對模型進行多次評估，第二則是文字轉圖像擴散模型網路架構的高複雜性，通常具有數十億參數導致運算成本高昂。</p> <p>由於這些效能上的障礙，儘管在行動裝置上執行生成式人工智慧模型，具有強化用戶體驗、高隱私性的好處，但目前研究仍相對較少。當然還是有一些提升文字轉圖像擴散模型效率的研究，像是透過數值求解器或是蒸餾技術，減少模型的功能評估數量（Number of Function Evaluations，NFE），希望藉由降低評估所帶來的運算負擔。但即便如此，由於模型架構仍然非常複雜，在行動裝置上即便是少量的評估步驟，仍然可能執行地很慢。</p> <p>MobileDiffusion則是研究人員試圖突破行動裝置有限運算能力的限制，藉由仔細檢視Stable Diffusion中UNet架構每個組成部分和計算操作，設計出高效文字轉圖像擴散模型。MobileDiffusion遵循潛在擴散模型的設計，具有文字編碼器、擴散UNet和圖像解碼器，研究人員使用適用於行動裝置的小模型CLIP-ViT/L14，作為MobileDiffusion文字編碼器，並將改進效率的重點，擺在擴散UNet和圖像解碼器上。</p> <p>擴散UNet是一種深度學習模型架構，用於生成或是轉換圖像，本身是一種特殊的卷積神經網路，其特點是具有對稱的U型結構，有助於模型在進行圖像處理時保留細節資訊。研究人員主要使用兩種方法來來提升擴散UNet的效率，第一是在模型瓶頸處，也就是資訊最集中的地方，使用更多的Transformer區塊以降低計算量，第二是使用輕量級可分離卷積。卷積區塊主要用於圖像特徵擷取，但是傳統卷積操作計算量大，因此研究人員透過使用可分離卷積，在不降低模型效能的情況下，減少需要的計算量。</p> <p>除了擴散UNet，研究人員也著手最佳化圖像解碼器，透過訓練變分自編碼器（Variational Autoencoder，VAE）簡化圖像表示，使圖像資訊能縮小至原圖八分之一，減少儲存和計算需求，並使用簡化版的解碼器明顯提高效能，在降低延遲接近50％的情況下，還可以維持甚至提升圖像品質。研究人員還採用了DiffusionGAN混合模型實現一步採樣，這是一種結合擴散模型和生成對抗網路（GAN）的新技術，能夠一步驟生成圖像，相較於傳統的多步驟方法快上不少。</p> <p>雖然MobileDiffusion只有5.2億個參數，卻可以生成不同領域的高品質圖像。由於MobileDiffusion只需要半秒鐘便可以在行動裝置上生成512x512圖像，因此可以在用戶邊輸入文字提示的同時，迅速生成圖像，能應用於行動裝置創造各種即時圖像生成體驗。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgc9IegNp6IHze1sPewUyoR_WouBi8jMhiThcaavD0SXFld3788eA89uyOP6gpmdCXSZMMuacrgQMJ61ygVJsLfE51tqTmmYS0C-GI9SaF_hEGlhTp_zTFXdW_AgXIP5CLCejKQVCsPrhycF8p_Rj9qQHR0J_kTO8Md7VT5R47IMJHinO6dkHn23lUlU7rf/s16000/image2.gif" style="width: 290px;" /><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhpz0XGSpMH9OVTd865uusar0AeXtu_26HD3tHzJHm2iEVeLYynBhi6pl0tidIYOoJVamc-NplnsNPCNl3vMX-qjqEZCYtndsl-9YjulMpLiDbP3Uws9cZ5ITjb0C3MNaVNC5mh-kbyKZYXn5rxBAuPLaHg_56ZAJfPOrkBfh44goI3CnEW-XZFDUvJgWAV/s16000/image5.gif" style="width: 290px;" /></p> </div></div></div>
2024/2/7 09:52作者李建興https://www.ithome.com.tw/news/161221
Google投百萬美元給Rust基金會，要強化C++與Rust互通性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://foundation.rust-lang.org/news/google-contributes-1m-to-rust-foundation-to-support-c-rust-interop-initiative/" target="_blank">Google向Rust基金會捐贈100萬美元</a>，主要是要改善Rust和C++程式語言之間的互通性。Rust基金會董事會主席暨Google會員總監Lars Bergstrom提到，他們相信Rust等記憶體安全語言對於提升安全性有著關鍵性的作用，且各領域存在迫切需要被解決的記憶體安全問題。Google之所以資助互通計畫，是因為Rust與C++有更大的互通性是Rust被採用的關鍵，也能讓更多組織和社群從記憶體安全的系統中受惠。</p> <p>而Rust基金會執行長Dr. Rebecca Rumbul提到，對於產品中擁有數百萬行C++程式碼的組織來說，要在合理的時間內用Rust重寫程式碼可能是不切實際的事。在Google的資助下，Rust基金會創建了新的互通性計畫，要使原本大量使用C++的組織，也能順利地轉移使用Rust。</p> <p>互通性計畫的目標，是支援現有的C++程式碼，能夠與Rust程式碼無縫互通，影響範圍涵蓋了全新程式碼、產品附加功能的程式碼，還有組織逐漸將當前C++程式碼搬移到Rust重新編寫的程式碼。基金會建議雇用一名或是多名互通計畫工程師，並提供資源以擴展現有的互通性工作，建構系統整合，甚至使用人工智慧進行C++到Rust的轉換。</p> <p>隨著Rust基金會開始著手制定互通計畫，他們也發現Rust專案許多成員，早已開始對Rust和C++互通性做出貢獻，像是Rust基金會銀級成員KDAB，就努力藉由使用Qt框架開發雙向Rust和C++綁定，也就是讓Rust和C++能夠透過Qt相互操作和整合，使開發者可以在同一應用程式或專案，靈活地使用兩種語言。</p> <p>Google近年在Android作業系統中大量採用Rust，以提高記憶體安全性，進而大幅減少記憶體安全漏洞，從2019年到2022年，Android記憶體漏洞數從222個降低至85個。Rust的使用不僅提升了安全性，也最佳化了系統的效能和穩定性。目前Android 13中有約21%程式碼使用Rust開發，涵蓋多個系統元件和功能。</p> </div></div></div>
2024/2/7 10:07作者李建興https://www.ithome.com.tw/news/161222
Fintech周報第230期：國內金融業者推出內部使用的生成式AI應用，玉山銀行和凱基人壽首先揭露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">1/27~2/6金融科技精選新聞</span></span></h3> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 玉山銀行</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <h3>玉山銀行揭露AI發展策略，先對內部推出通用型GAI平臺</h3> <p>去年底，金管會公布金融業運用AI指引草案，即便草案仍在60天的公開徵詢意見期間，不少金融業者已開始擬定新的AI發展策略，布局生成式AI應用。玉山銀行近期揭露，內部正在積極拓展AI服務，要從制度、人才、資訊和服務四大構面著手發展AI。</p> <p>首先，在制度方面，由智能金融處負責AI研發與落地，推動行銷、流程、服務、風管、賦能五大AI服務模組，以及生成式AI應用。他們透過跨團隊的方式兼顧技術演進和監管需求。在AI運用原則和政策上，玉山以產學合作形式，和學界共同研擬AI治理框架與風險管理機制。</p> <p>更重要的是，玉山已在內部推出可作為OA智能助理的通用型GAI平臺。該平臺可輸入和輸出多種格式，包含文字、照片、聲音、影像和檔案等，平臺的知識庫有金融業專有業務場景知識，和金融產品資訊，能讓員工因應不同業務需求推出特定型GAI服務，例如，生成市場資訊摘要、法規文件比對與程式碼教學等工作。</p> <p>去年11月，玉山就曾公開展示內部的生成式AI應用。他們利用生成式AI建立智能回覆生成Chatbot，創造法律搜尋引擎，協助人員快速掌握內外部法條關聯。系統中提供文本比對功能，能自動比對公司內部法條。內部人員只要輸入提問，就能了解對應的公司內部規範和相關法規內容。</p> <p>此外，玉山也展開上雲計畫，目標在雲端平臺上建立資料湖，同時，以混合雲架構進行自動化資料上雲與資料品質監控等工作，並發展雲端備援與備份機制。在人才方面，玉山除了透過黑客松、主題工作坊和教育訓練課程培養內部AI能力，也透過輪調和兼任的方式培育人才。</p> <p><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 凱基人壽</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <h3>凱基人壽以生成式AI打造內部教練，協助提升業務員能力</h3> <p>凱基人壽近期揭露一項內部應用，他們以生成式AI打造業務員教練，名為「智能對練2.0」。這套系統能模擬客戶設定，並與業務員進行情境式對答，訓練業務員的應對能力，還能快速彙整業務員所需資訊，讓業務員能以問答的方式取得摘要，快速掌握商品專業知識和銷售技能。</p> <p>凱基人壽表示，率先將生成式AI技術導入業務員訓練系統後，未來計畫透過生成式AI，快速彙整業務員手冊的資訊，協助業務員提高學習效率。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 萬事達卡</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></h3> <h3>萬事達卡導入生成式AI，偵測盜刷或詐欺交易</h3> <p>近期，萬事達卡宣布將推出導入生成式AI的交易偵測解決方案，藉由生成式AI的能力，掃描一兆個數據，以預測交易是否含有詐欺可能。</p> <p>萬事達卡表示，初步結果顯示，模型導入生成式AI後，平均提升20%的詐欺偵測能力，在部分情況中甚至能提升三倍的效果。此外，導入生成式AI也能提高精確性，減少85%以上的誤報數量。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 2024年施政重點 </span></strong></span></h3> <h3>金管會公布2024年多項金融科技政策時程</h3> <p>金管會近期揭露今年多項金融科技推動事項和辦理時程，涵蓋電子支付、AI、金融FIDO、保險數位轉型、資料共享、雲端服務和資安與聯防措施等。例如，金管會將在年底前發布跨市場資料共享的資料治理指引，在今年第一季備查銀行公會所報的「金融機構運用AI技術作業規範」，正式實施規範，以及在今年第二季核准電支跨機構共用平臺提供「跨境」消費功能，讓民眾在境外商家也能以電支App付費。</p> <p>此外，保險科技也是今年推動重點。除了要在年底前完成10件以上的創新型保險服務試辦案審查，金管會也將在第三季檢討修正「保險業辦理電子商務應注意事項」，擴大業務範圍，增加可辦理的網路投保和網路保險服務。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 主題式推廣 </span></strong></span></h3> <h3>金管會選定「防範詐騙及金融犯罪」作為今年金融科技主題式推廣活動</h3> <p>金管會去年推出綠色金融科技的主題式推廣活動，輔導企業開發出一套防漂綠方案，協助金融業和主管機關審查人員判斷企業是否有漂綠疑慮，或是進一步追蹤企業的永續行為。</p> <p>今年，金管會選定金融防詐的主題，希望提升金融機構在偵測、防範及應對詐騙案件的效率。金管會預計在今年第一季啟動聯合自主實證機制，金融業者可以與科技業者合作，運用隱私強化技術和AI等技術，針對防範詐騙及金融犯罪議題研發解決方案。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 德意志銀行 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 裁員 </span></strong></span></h3> <h3>導入自動化並優化工作流程後，德意志銀行預計裁減3500個職位減少營運成本</h3> <p>德意志銀行在2022年提出一項預計縮減25億歐元成本的計畫，截至2023年，公司已成功縮減9億歐元開銷。不過，依照計畫目標，尚需縮減16億歐元成本。德意志銀行表示，他們將藉由兩項措施實現計畫目標。</p> <p>第一，更新基礎設施和導入技術，包括汰換應用程式和改進營運模式。第二，優化銀行平臺，重新設計前後端流程，例如，簡化工作流程和導入自動化。德意志銀行表示，這些措施將導致減少3500個職位，主要為非面向顧客的工作領域。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 匯豐銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跨境支付 </span></strong></span></h3> <h3>匯豐銀行推出跨境支付App，挑戰英國純網銀</h3> <p>匯豐銀行在1月推出一款名為Zing的跨境支付App，使用者可以持有10種外幣，支援超過30種幣種支付和轉帳，只要註冊即可使用，不必額外辦理匯豐銀行業務。這項業務目前只在英國推出，不過，匯豐銀行計畫在未來幾個月內將Zing推向其他地區，打造一個全球性的跨境支付平臺。</p> <p>Zing推出後引起英國金融圈的討論，連英國純網銀Wise都歡迎匯豐加入跨國匯款的競爭，讓跨境匯款的手續費更加透明化。金融科技評論家Chris Skinner指出，匯豐已挖角不少金融科技業人員進入Zing，更投資了金融科技公司，並喊出要將Zing打造為全球性的國際支付平臺，可見匯豐拓展創新業務的野心。目前，匯豐銀行在全球擁有3900萬用戶數，涵蓋62個國家和地區，有利於將業務推展至全球。</p> <p></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-02-06%20144331.png" style="width: 600px;" /></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年2月</p> </div></div></div>
2024/2/6 15:41作者李昀璇https://www.ithome.com.tw/news/161210
【資安日報】2月6日，駭客利用Deepfake視訊會議從跨國企業員工騙得2億港幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大約3、4年前，<a href="https://www.ithome.com.tw/news/139454">用深度學習（Deep Learning）進行AI影像合成的假訊息及詐騙手法Deepfake出現</a>，引起資安界高度關注，而最近有2起事故再度讓Deepfake帶來的威脅浮上檯面。</p> <p>其中之一是網路上有人利用<a href="https://www.ithome.com.tw/news/161083">這類技術產生知名歌手Taylor Swift的色情照片</a>；而另一起則是直接造成財務損失，駭客用於對跨國企業財務人員的視訊會議詐騙，利用該公司高階主管網路上公開的影片進行合成，讓這名員工信以為真。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;">跨國企業遭到Deepfake視訊會議詐騙，損失2億港幣</strong></p> <p></p> <p>根據香港電臺、Hong Kong Free Press、CNN等媒體的報導，香港警方指出，他們接獲跨國公司報案，員工收到來自該公司駐英國財務長的電子郵件，通知要進行秘密交易。</p> <p>起初這名員工認為是釣魚郵件而產生懷疑，但在進行視訊會議通話後放下戒心，因為所有與會者的長相、聲音都像認識的同事，所以，該名員工依照對方指示，向5個銀行帳號匯入2億港元（相當於2,560萬美元、新臺幣8億元），直到他向公司總部進一步確認才驚覺上當。香港警方表示，除了受害者，其他參與這場會議的人士全部都是歹徒由Deepfake產生而成。</p> <p>資料來源</p> <p>1. <a href="https://news.rthk.hk/rthk/ch/component/k2/1739101-20240204.htm">https://news.rthk.hk/rthk/ch/component/k2/1739101-20240204.htm</a><br /> 2. <a href="https://hongkongfp.com/2024/02/05/multinational-loses-hk200-million-to-deepfake-video-conference-scam-hong-kong-police-say/">https://hongkongfp.com/2024/02/05/multinational-loses-hk200-million-to-deepfake-video-conference-scam-hong-kong-police-say/</a><br /> 3. <a href="https://edition.cnn.com/2024/02/04/asia/deepfake-cfo-scam-hong-kong-intl-hnk/index.html">https://edition.cnn.com/2024/02/04/asia/deepfake-cfo-scam-hong-kong-intl-hnk/index.html</a></p> <p><a href="https://unit42.paloaltonetworks.com/mispadu-infostealer-variant/"><strong style="font-size: 22px;">金融木馬Mispadu透過Windows SmartScreen漏洞滲透</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/chrome_oiAVjBMx2B_20240206-1602-11924.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chrome_oiAVjBMx2B_20240206-1602-11924.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks針對近期金融木馬Mispadu的攻擊行動提出警告，駭客以Delphi打造惡意程式，並透過釣魚郵件散布，主要針對拉丁美洲而來，而在去年的攻擊行動裡，駭客利用ZIP壓縮檔案挾帶網際網路捷徑檔案（.URL），鎖定墨西哥用戶下手，但也有歐洲地區用戶受害。</p> <p>一旦使用者開啟這個捷徑檔，就會觸發Windows SmartScreen防護機制的漏洞CVE-2023-36025（CVSS風險評分為8.8），從而繞過上述機制的警示訊息，於受害電腦植入Mispadu，該惡意程式啟動時，會根據使用者的地理位置來採取對應的攻擊流程，並與C2連線將電腦資料外流。</p> <p><a href="https://www.sentinelone.com/blog/backdoor-activator-malware-running-rife-through-torrents-of-macos-apps/"><strong style="font-size: 22px;">後門程式Activator假借macOS應用程式散布，停用作業系統內建的防護機制</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2024-02-01-at-10_45_27 AM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2024-02-01-at-10_45_27%E2%80%AFAM.jpg" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露鎖定Mac電腦而來的攻擊行動，駭客假借提供付費軟體的破解版本，目的是散布能夠洗劫加密貨幣錢包的後門程式Activator。</p> <p>針對這支惡意軟體的活動，有其他資安公司展開進一步調查。資安業者SentinelOne指出，駭客宣稱超過70款付費應用程式的破解工具，企圖大規模感染Mac電腦，目的很可能是要建立macOS作業系統的殭屍網路，或是用來散布其他惡意程式。研究人員針對駭客提供的破解軟體進行分析，指出當中包含付費版軟體，以及名為Activator的破解程式，一旦使用者啟用破解工具，電腦就會要求輸入管理員密碼，但若是照做，就會關閉Gatekeeper，電腦就會允許任意來源的應用程式執行；接著Activator便會檢查電腦上是否含有Python元件，然後運用嵌入的程式碼停用通知中心，從而在使用者看不到通知的情況下，部署名為LaunchAgent的工具，並且從遠端下載、執行Python指令碼。</p> <p>值得注意的是，多數防毒軟體無法偵測這些破解工具，因為研究人員將他們找到的逾70個Activator檔案，傳送到惡意程式分析網站VirusTotal進行分析，結果部分僅有少數防毒引擎視為有害，甚至有些檔案全數防毒引擎皆標示無害。</p> <p><a href="https://www.akamai.com/blog/security-research/fritzfrog-botnet-new-capabilities-log4shell"><strong style="font-size: 22px;">殭屍網路FritzFrog利用Log4Shell及PwnKit漏洞散布惡意程式</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/fritzfrog-botnet-new-capabilities-log4shell-fig4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fritzfrog-botnet-new-capabilities-log4shell-fig4.png" style="width: 300px; float: right;" /></a>點對點（P2P）殭屍網路FritzFrog從2020年開始出現，所使用的電腦病毒是以Go語言打造而成，可協助駭客透過SSH暴力破解手法，攻擊x86及Arm主機並進行控制，將其用於挖礦，最近出現了新的手法。</p> <p>資安業者Akamai揭露名為Frog4Shell的攻擊行動，他們發現經營殭屍網路FritzFrog的駭客在所用的病毒程式加入新的功能，其中最引起研究人員關注的手法，是利用2021年揭露的漏洞Log4Shell，鎖定醫療保健、教育單位、政府部門而來。研究人員指出，過往這些駭客針對曝露在網際網路的主機下手，但現在也對內部主機發動攻擊，原因是企業在資源有限的情況下，通常會優先修補對外的伺服器，而對內主機就有可能被忽視而未進行相關的處理。</p> <p>他們看到此惡意程式呼叫特定的Go功能函數，來識別能夠存取的子網路，然後掃描8080、8090、8888、9000連接埠，尋找存在Log4Shell的目標，成功控制後從指定的LDAP主機下載Java類別檔並執行，最終於受害主機植入殭屍網路病毒。值得留意的是，駭客為了提升權限，過程中還會利用名為PwnKit的漏洞（CVE-2021-4034），而且，為了避免行蹤曝光，對方在執行FritzFrog的過程會儘可能在記憶體進行。</p> <p><a href="https://twitter.com/Shadowserver/status/1754145361029960189"><strong style="font-size: 22px;">Ivanti Connect Secure的SSRF零時差漏洞遭到多組駭客利用</strong></a></p> <p></p> <p>1月上旬Ivanti公布SSL VPN系統Connect Secure（ICS）零時差漏洞CVE-2023-46805、CVE-2024-21887，經過調查之後，又於31日發現伺服器請求偽造（SSRF）零時差漏洞CVE-2024-21893，但並未透露被用於攻擊行動的細節，最近有研究團隊公布分析結果。</p> <p>2月4日Shadowserver基金會提出警告，他們發現在資安業者Rapid7發布概念性驗證程式碼（PoC）之前，多個駭客組織透過逾170個IP位址，嘗試發動漏洞利用攻擊。值得留意的是，這項漏洞的利用量，明顯較其他ICS弱點來得多，這突顯駭客鎖定的目標出現了轉變，而且，駭客是在PoC公布之前就開始從事攻擊行動，代表駭客已掌握利用這項漏洞的作法。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hpe-investigates-new-breach-after-data-for-sale-on-hacking-forum/"><strong style="font-size: 22px;">HPE傳出內部資料流出駭客論壇，該公司著手調查駭客的說法</strong></a></p> <p></p> <p>今年1月IT業者HPE向美國政府通報，他們的Microsoft 365電子郵件服務遭駭，攻擊者身分是俄羅斯駭客組織APT29（亦稱Cozy Bear、Midnight Blizzard），如今再傳資料外洩事故，有人將該公司的資料流入駭客論壇兜售。</p> <p>根據資安新聞網站Bleeping Computer的報導，名為IntelBroker的駭客組織於駭客論壇上宣稱握有HPE的內部資料，包括存取CI/CD環境的資料、系統事件記錄、組態檔案、Token，以及該公司備份系統StoreOnce的檔案等資料。</p> <p>對此，HPE全球通訊資深總監Adam R. Bauer向該新聞網站表示，他們對上述駭客的說法知情，並著手調查此事，但根據他們初步調查的結果，目前尚未發現遭到入侵的跡象，HPE產品及服務不受影響，他們也沒有遭到勒索。</p> <p><a href="https://www.cybersecuritydive.com/news/fbi-china-hackers-us-critical-infrastructure/706307/"><strong style="font-size: 22px;">美國聯邦調查局長警告中國駭客正在攻擊美國關鍵基礎設施，目的是在中國政府侵略臺灣時阻止美國行動</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/director-wray-testifies-about-cyber-threats-from-china-013124.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/director-wray-testifies-about-cyber-threats-from-china-013124.jpg" style="width: 300px; float: right;" /></a>1月底美國政府證實，聯邦調查局（FBI）於去年12月取得授權，打擊中國駭客組織Volt Typhoon的攻擊行動，遠端從受到感染的網路裝置當中刪除了KV Botnet殭屍網路病毒。當時網路安全暨基礎設施安全局（CISA）局長Jen Easterly指控，這些駭客埋伏於該國關鍵基礎設施，目的就是打算在美國發生重大危機或是衝突時，發動破壞性的攻擊，如今有其他官員也提出類似的觀點並提出警告。</p> <p>1月31日聯邦調查局局長Christopher Wray在眾議院特別委員會發表致詞時提到，中國駭客正在攻擊美國的關鍵基礎設施，一旦中國政府決定發動攻擊，目標將不限於政治與軍事機構，他認為現在中國的網路攻擊不光只是為未來的軍事行動做準備，而是已經從經濟層面下手，大規模竊取美國智慧財產與相關資料，強調美國政府無法再對其威脅視而不見。</p> <p>根據該國情報中心的評估，中國打算於美國關鍵基礎設施埋入後門，以便在對臺灣發動戰爭時進行破壞，削弱美國援助臺灣的能力，但駭客這麼做，很有可能危及美國民眾的人身安全。</p> <p>資料來源</p> <p>1. <a href="https://www.fbi.gov/news/speeches/director-wrays-opening-statement-to-the-house-select-committee-on-the-chinese-communist-party">https://www.fbi.gov/news/speeches/director-wrays-opening-statement-to-the-house-select-committee-on-the-chinese-communist-party</a><br /> 2. <a href="https://www.fbi.gov/news/stories/china-s-hackers-have-entire-nation-in-their-crosshairs-fbi-director-warns">https://www.fbi.gov/news/stories/china-s-hackers-have-entire-nation-in-their-crosshairs-fbi-director-warns</a><br /> 3. <a href="https://www.fbi.gov/news/testimony/the-ccp-cyber-threats-to-the-american-homeland-and-national-security">https://www.fbi.gov/news/testimony/the-ccp-cyber-threats-to-the-american-homeland-and-national-security</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.pentestpartners.com/security-blog/hacking-electronic-flight-bags-airbus-navblue-flysmart-manager/"><strong style="font-size: 22px;">空中巴士的飛行員應用程式存在漏洞，恐影響飛行安全</strong></a></p> <p></p> <p>滲透測試業者Pen Test Partners指出，空中巴士（Airbus）旗下IT業者Navblue為飛機駕駛人員開發的電子飛行工具包軟體套件Flysmart+存在漏洞，一旦遭到利用，有可能影響飛行安全。</p> <p>研究人員針對該套件的iOS應用程式進行分析，結果發現該軟體停用了蘋果作業系統內建的網路安全機制App Transport Security（ATS），從而允許不安全的連線，而有可能導致中間人攻擊（MitM），此外，上述弱點甚至有可能讓攻擊者從Navblue伺服器裡，下載含有飛機資訊、起飛效能資料的SQLite資料庫，並能竄改飛機的性能資料、機場資料，而有可能造成飛機起飛時尾部撞擊地面，或是偏離跑道。</p> <p>該資安業者於2022年6月進行通報，空中巴士於去年5月表示已向客戶提供緩解措施。</p> <p><a href="https://www.securityweek.com/mitsubishi-electric-factory-automation-flaws-expose-engineering-workstations/"><strong style="font-size: 22px;">三菱電機工業自動化系統存在漏洞，攻擊者可導致系統服務中斷、執行任意程式碼</strong></a></p> <p></p> <p>1月30日日本電子設備製造商三菱電機發布資安公告，指出旗下數款工廠自動化設備存在身分驗證繞過漏洞CVE-2023-6942、遠端執行任意程式碼漏洞CVE-2023-6943，影響EZSocket、FR Configurator2、GT Designer3、GX、MT Works、MELSOFT Navigator、MX系列產品線，CVSS風險評分為7.5、9.8。</p> <p>攻擊者有可能串連上述漏洞，對目標系統進行控制。未經授權的攻擊者可發送特製封包來利用CVE-2023-6942，從而繞過身分驗證流程，接著，攻擊者可進一步遠端呼叫含有惡意程式庫的功能，利用另一個漏洞執行惡意程式碼，最終導致設備的資訊遭到洩露或是摧毀，設備甚至有可能無法運作（DoS）。</p> <p>值得留意的是，三菱電機尚未發布修補程式，他們呼籲管理者應透過網路安全措施來降低風險；美國網路安全暨基礎設施安全局（CISA）也於同日發出警告。</p> <p>資料來源</p> <p>1. <a href="https://www.mitsubishielectric.com/en/psirt/vulnerability/pdf/2023-020_en.pdf">https://www.mitsubishielectric.com/en/psirt/vulnerability/pdf/2023-020_en.pdf</a><br /> 2. <a href="https://www.cisa.gov/news-events/ics-advisories/icsa-24-030-02">https://www.cisa.gov/news-events/ics-advisories/icsa-24-030-02</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/qnap-patches-high-severity-bugs-in-qts-qsync-central/"><strong><span style="font-size: 20px;">威聯通修補NAS作業系統QTS、檔案同步系統Qsync Central高風險漏洞</span></strong></a></p> <p></p> <p><a href="https://thehackernews.com/2024/02/pegasus-spyware-targeted-iphones-of.html"><strong><span style="font-size: 20px;">約旦記者、社會運動人士、人權律師的手機遭間諜軟體Pegasus跟蹤</span></strong></a></p> <p></p> <p><a href="https://www.rti.org.tw/news/view/id/2195149"><strong><span style="font-size: 20px;">菲律賓總統及政府機關網站遭到攻擊，指控攻擊者來自中國</span></strong></a></p> <p><strong><a href="https://www.cna.com.tw/news/aipl/202402050297.aspx"><span style="font-size: 20px;">軍情局內部公文傳出流入駭客論壇，資安署表示情報機關不會向他們通報</span></a></strong></p> <p><strong><a href="https://cert.gov.ua/article/6277422"><span style="font-size: 20px;">美國政府將針對利用間諜軟體從事攻擊的人士祭出制裁，將拒絕提供簽證</span></a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161188"><strong>【2月5日】知名遠端桌面連線軟體AnyDesk證實伺服器遭駭並撤換程式碼簽章</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161155"><strong>【2月2日】美國下令聯邦機構限時切斷Ivanti Connect Secure與內部網路環境之間的連線並著手清查</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161129"><strong>【2月1日】Ivanti旗下SSL VPN解決方案的零時差漏洞在修補前傳出第2波攻擊行動</strong></a></p> </div></div></div>
2024/2/6 16:04作者周峻佑https://www.ithome.com.tw/news/161212
開始提供Wi-Fi 7基地臺，Foritinet資安鐵三角添新成員
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/fortinet_fortiap_441k_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>環顧市面上的網路安全設備廠商，針對區域網路的運用，多數會提供整合資安防護與有限、無線網路連線能力的設備，少數提供獨立的Wi-Fi基地臺與網路交換器，像是Sophos的Sophos Wireless與Sophos Switch，以及Fortinet的FortiSwitch與FortiAP。</p> <p>為何身為資安廠商，卻持續同時提供Wi-Fi基地臺與交換器？以Fortinet為例，其實與近年來他們主推的資安鐵三角解決方案有關。透過整合防火牆、網路交換器、無線基地臺等三種設備，達到單一控管，使資安防護從根源的交換器、無線基地臺做起，若發現資安威脅，就可以及早透過單一管控平臺隔絕這些高風險連網裝置，避免橫向感染。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2019-12-Fortinet資安鐵三角-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2019-12-Fortinet%E8%B3%87%E5%AE%89%E9%90%B5%E4%B8%89%E8%A7%92-1.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2021-11-FortiAP-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-11-FortiAP-2.jpg" style="width: 398px;" /></a></p> <p>就Wi-Fi新規格的支援來看，以Wi-Fi 6而言，Sophos在2023年8月發表AP6系列基地臺，當中有3款支援Wi-Fi 6，兩款支援Wi-Fi 6E；而Fortinet早在2019年6月，就發表兩款支援Wi-Fi 6的機型，後續擴充為室內型4款、室外型2款、強固型1款、壁掛型1款，</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-11-FortiAP-1.jpg" style="width: 600px;" /></p> <p>到了2023年上半，他們推出4款支援Wi-Fi 6E的機型，今年1月發表該公司第一批Wi-Fi 7基地臺，機型名為FortiAP 441K與FortiAP 443K。</p> <p>然而，在當前商用Wi-Fi網路設備產品中，已宣布推出Wi-Fi 7基地臺的廠商並不多，何以Fortinet現在就要發表這類產品？他們表示，隨著AR、VR及企業上雲等需求崛起，企業需要更快速的網路支援這些新技術，Wi-Fi 7將是大勢所趨，因此預期今年會有大量Wi-Fi 7設備上市，而在因應市場趨勢變化，以及新技術普及過程當中，常會出現新的漏洞和攻擊面的考量之下，Fortinet決定推出支援Wi-Fi 7的解決方案，守護客戶連網安全。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Fortinet%20FortiAP%20443K%20and%20441K.png" style="width: 600px;" /></p> <p>Fortinet這批網路設備採用高通（Qualcomm）的Networking Pro 1220平臺，與先前我們報導的兆勤WBE660S一樣，支援Wi-Fi 7的相關功能，像是4K QAM、320 MHz頻道、多重連接運作模式（MLO）、多個資源單元（Multi-RU）與前訊穿透（Preamble Puncturing或Punctured Transmission）；</p> <p><a href="https://s4.itho.me/sites/default/files/images/Qualcomm Wi-Fi 7 AP overview-2024-02-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualcomm%20Wi-Fi%207%20AP%20overview-2024-02-06-1.jpg" style="width: 600px;" /></a></p> <p>而在Wi-Fi無線通訊頻段上，可使用4個，例如，2.4 GHz、5 GHz、6 GHz各占1個，頻寬分別為20/40MHz、20/40/80/160/240MHz、20/40/80/160/320MHz，可服務的個人端裝置數量最多均為512臺，至於第4個頻段橫跨前述3個頻段，可用來掃描非法使用的Wi-Fi裝置，或協助正常使用；同時，它們也利用4個空間串流（spatial streams）來進行傳輸，以及4x4架構天線收發訊號（2.4 GHz、5 GHz、6 GHz這3個頻段皆為4x4，第4個頻段為2x2）。此外，它們內建兩個10 GbE埠，以及支援低功耗藍牙（BLE）與Zigbee，以及GPS等無線通訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/FortiAP-Wi-Fi 7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FortiAP-Wi-Fi%207.jpg" style="width: 600px;" /></a></p> <p>而在網路傳輸效能上，Fortinet的Wi-Fi 7基地臺帶來哪些突破？首先，在連線能力上，FortiAP 441K能在相同的組態下，提供2倍的速度；其次，這些產品支援4K QAM，促成更快的資料傳輸速度，所以，可因應需要大量頻寬的企業應用系統，像視訊串流、協同作業等類型的工具；第三，它們可使用320 MHz頻道，因此能運用更寬廣的頻譜，以改善資料傳輸速度與降低延遲，確保終端使用者的上網體驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualcom%20Wi-Fi%207-Wider%20Channels.png" style="width: 200px;" /></p> <p>第四，受益於MLO、Preamble Puncturing等機制的幫忙，使得他們Wi-Fi 7基地臺在無線通訊頻道的使用更有彈性，以確保連線具有高度韌性與可靠度，維持業務持續上線運作與生產力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualcom-Wi-Fi%207-MLO.jpg" style="width: 398px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualcom%20Wi-Fi%207-Puncturing.png" style="width: 600px;" /></p> <p> <span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Fortinet FortiAP 441K</strong><br /> ●原廠：Fortinet<br /> ●建議售價：廠商未提供<br /> ●支援無線網路規格：802.11 a/b/g/n/ac/ax/be<br /> ●網路介面：2個10 GbE埠（支援PoE）<br /> ●天線架構：6 GHz、2.4 GHz、5 GHz為4x4:4，MU-MIMO<br /> ●傳輸速度：總共為21.33 Gbps，6 GHz為11.53 Gbps，5 GHz為8.65 Gbps，2.4GHz為1.15 Gbps<br /> ●支援供電方式：DC、PoE<br /> ●整合其他無線通訊技術：低功耗藍牙、Zigbee<br /> ●尺寸：25 x 25 x 5.75公分<br /> ●重量：1.98公斤<br /> ●集中管理平臺：FortiLAN Cloud、FortiGate</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/2/6 16:20作者李宗翰https://www.ithome.com.tw/review/161189
現代技術成功閱讀了被火山爆發淹沒的碳化紙卷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://scrollprize.org/grandprize" target="_blank">維蘇威火山挑戰賽（Vesuvius Challenge）周一（2/5）頒發了70萬美元予由Youssef Nader、Luke Farritor及 Julian Schilliger所組成的團隊</a>，因為他們利用電腦視覺與機器學習技術，成功地辨識了2000年前遭維蘇威火山爆發淹沒，且已碳化的赫庫蘭尼姆紙莎草紙卷（Herculaneum Papyri）中的4個段落，以及每個段落中的140個字元。</p> <p>Herculaneum Papyri指的是在羅馬古城赫庫蘭尼姆（Herculaneum）一棟別墅中所發現的逾1,800卷莎草紙（Papyri）卷軸，該別墅在西元79年因維蘇威火山爆發而整個被吞沒，人們一直到18世紀才發現這個被熱泥與灰燼所掩埋的別墅，以及別墅中的大量莎草紙卷軸，之後該建築亦因此被直接命名為莎草紙別墅（Villa of the Papyri）。維蘇威火山挑戰賽鎖定的是存放在義大利圖書館中的800多個卷軸。</p> <p>這些卷軸皆已碳化，而且非常脆弱，當科學家們企圖以物理方式將它們打開時，往往直接使它們化為塵土。</p> <p>維蘇威火山挑戰賽的發想始於2019年，當時肯塔基大學教育實驗室的教授Brent Seales於一個粒子加速器中對赫庫蘭尼姆卷軸進行成像，生成解析度達4 μm 的3D CT掃描。該團隊也掃描並拍攝了帶有可見墨水的卷軸碎片，Seales的學生Stephen Parsons成功地利用機器學習模型偵測到碎片中的墨水，引起科技企業家Nat Friedman與Daniel Gross的注意，而在2023年3月發起維蘇威火山挑戰賽，獎賞任何開發相關工具、技術或發現結果的研究人員。</p> <p>2023年8月，<a href="https://caseyhandmer.wordpress.com/2023/08/05/reading-ancient-scrolls/" target="_blank">JPL創辦人Casey Handmer透過持續數小時地觀察3D CT掃描作品</a>，發現卷軸中有著看起來像是墨水的裂紋圖案，並聲稱已經碳化的卷軸中藏著一封信。</p> <p>接著一名大學生Luke Farritor則開始在閒暇時訓練一個關於裂紋模式的機器學習模型，且模型能力會隨著每一個裂紋的發現而自動精進，再以可見的數十個墨水痕跡與完整字母進行訓練，最終得到了該挑戰賽的「首批字母獎」（First Letters Prize），贏得4萬美元獎金。此一獎項要求參賽者必須在4平方公分的範圍內找到至少10個字母，Farritor找到的是ΠΟΡΦΥΡΑΣ ，是古文的紫色（Porphyras）。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/F8Pnao7bUAANEgr?format=jpg&name=small" style="width: 600px;" /></p> <p><a href="https://twitter.com/natfriedman/status/1712470683207532906" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nat Friedman</span></span></a></p> <p>另一名生物機器人研究生Youssef Nader採用不同的方法，他改善Parsons用在碎片中的機器學習方法，利用領域移轉技術以讓相關模型適用於卷軸，針對卷軸資料進行無監督預訓練，再針對標籤進行微調；Nader還設法找到了字母，並於標籤資料中註釋了看起來像是字母的圖像，不斷地重複進行使得卷軸內產生許多片段的推測性標籤，用不同的方法在同樣的區域找到了一致的ΠΟΡΦΥΡΑΣ，亦替他帶來了1萬美元的獎金。</p> <p>隨後大會亦決定頒發1萬美元獎金予激發選手靈感的Handmer。</p> <p>維蘇威火山挑戰賽是以眾包及累積的方式持續進行著，其中的一項大獎高達70萬美元，要求參賽者必須找出4個段落，每個段落至少140個字元，且有85%的字元是可恢復的，在有了先前的經驗之後，曾獲得3項分割工具獎（Segmentation Tooling Prizes）的Julian Schilliger與兩名得到首批字母獎的Farritor及Nader共同組成了超級團隊，透過3個不同卻相互支援的模型，成功辨識出卷軸中的逾2,000個字元，在超乎標準的情況下拿下了大獎。</p> <p>迄今該挑戰賽的第一階段已成功展開並閱讀了第一卷的5%內容，內容與音樂、感官及快樂有關。簡單地說，此一進展來自於掃描、分割（偵測紙卷中的皺褶並將它們展開或壓平），與墨跡檢測。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0206-Vesuvius%20Challenge-Technical%20Overview.jpg" style="width: 600px;" /></p> <p><a href="https://scrollprize.org/tutorial1" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Vesuvius Challenge官方網站</span></span></a></p> <p>在宣布第一階段大獎得主的同時，該挑戰賽亦宣布將邁入第二階段，指出現階段每平方公分花費了超過100萬美元來製作目前可閱讀的文本，若依照此一價格，分割所有卷軸將耗資數億甚至數十億美元，因此接下來將專注於自動化，第二階段的主要目標便是完善自動分割。</p> <p>維蘇威火山挑戰賽表示，它們在第一階段從一個碳塊中提取了15列從未見過的文本，現在已具備相對成熟的技術，得以虛擬展開莎草紙捲軸並使用機器學習來識別墨水，今年的新目標是從一個捲軸的5%增加到掃描的所有4個卷軸的90%，以替閱讀800個卷軸奠定基礎。</p> </div></div></div>
2024/2/6 16:59作者陳曉莉https://www.ithome.com.tw/news/161220
【提升AI治理能力，促使AI受到廣泛信任】KPMG提出AI風險治理框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對各種生成式AI的應用日益普及，固然帶來便利，但越來越多人更關注AI治理可能面臨的風險。</p> <p>臺灣KPMG安侯企管顧問執行副總經理林大馗表示，進一步參考SSDLC（安全的軟體開發生命周期）、各國家的AI法案和各種AI標準，我們可以發現，如果要落實AI的風險治理，可以先從落實數據治理、雲端治理、資訊治理，接下來，才能再進一步做到AI治理，繼而推動AI治理最終目的：利害關係者都願意相信演算法會做正確的決定。</p> <p>而他認為，不論企業或是組織想要做到AI治理，都應該建立一個可供參考的框架，進而提升AI的信任度，並且做到AI的風險評估，以及AI的治理，這些都會是整個人類社會必須共同面對的重大挑戰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E5%BD%A5%E6%A3%BB-AI%E6%B2%BB%E7%90%86-AI%E9%A2%A8%E9%9A%AA%E6%B2%BB%E7%90%86%E6%A1%86%E6%9E%B6-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-KPMG.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">參考安全的軟體開發生命周期、各國AI法案和多種AI標準後，KPMG認為，企業與組織若欲落實AI的風險治理，可以先從數據治理、雲端治理、資訊治理之後，再來做到AI治理，目的就是要做到利害關係者，願意相信演算法會做正確的決定。</span></strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／KPMG</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>先做到數據、雲端、資訊的治理，才能做到AI治理</strong></span></span></p> <p>「慎始！」林大馗表示，所有的AI應用最重要的，就是剛開始要決定「範圍」，包括：科技應用情境與治理範圍。</p> <p>然後做到「分析」科技應用責任後，再「識別」目標使用者應用的目的與情境，下一步，便可以「評估」AI應用情境與適法性風險。</p> <p>後續須做到「數據治理」：評估數據品質風險，確認資料來源與正確，也須對相關AI應用進行「AI風險評估」；接著進行「資訊治理」：評估其他雲端服務與資訊設備面向衝擊，例如，所運用的演算法是否可能遭受其他攻擊，或是隱私保護缺陷等風險。</p> <p>接著，進入「決定AI應用範圍與發展生命週期階段」，選擇演算法或第三方大型模型，並在AI設計過程「融入隱私與安全」，同時做到保存相關處理記錄，接下來還要進行「演算法調校與測試」：不僅要做到演算法效能與安全分析，還要測試數據深度學習，並且要確認演算法是否能夠滿足需求。</p> <p>最後，在導入、部署與深度學習後，還是要做到「持續監控」與改善，並對使用者進行安全「教育訓練」、宣導與應用推廣，還可以視需求，進行「獨立確信與審驗」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/22-23-%E6%96%B0%E8%81%9E%E5%B0%88%E9%A1%8C-KPMG%20AI%E6%B2%BB%E7%90%86-%E6%8A%BD%E8%A8%80-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／KPMG</span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>AI成駭客詐騙、偽冒身分利器，「眼見為憑」將不可信</strong></span></span></p> <p>對於企業和組織而言，又該如何架構AI資安防護呢？林大馗說，包括強化基礎網路架構韌性，以及打造多層次零信任架構（Zero Trust），這些都是可行的方法。</p> <p>他進一步指出，目前AI已經可以做到的方式，包括：使用AI來訓練防禦系統，識別和防禦AI攻擊；也可以建構多層次網路安全措施，提高防禦AI攻擊的有效性。</p> <p>另外，也要做到定期更新安全軟體和修補漏洞，減少AI攻擊的成功率；提高員工的安全意識，可以幫助員工識別和防禦AI攻擊。</p> <p>對此，林大馗提出生成式AI遭網路犯罪集團濫用，提高虛擬犯罪效率的例子。</p> <p>因為這些隱藏在網路背後的虛擬綁匪，已經能夠做到利用語音複製、SIM卡挾持、ChatGPT以及社群網路分析與傾向（SNAP）模型，尋找最有利可圖的目標並執行詐騙。</p> <p>又或者這些網路犯罪份子都開始利用AI工具，建立層層自動化蒐集資訊、發掘魚叉式網路捕鯨，或以愛情詐騙手法攻擊高知名度受害者。他坦言，現在蓬勃發展的生成式AI，已經成為軍火庫，駭客能藉此發動各種網路攻擊、入侵，甚至，可以成功達到詐騙目的。</p> <p>另外，也有駭客成功利用深偽技術（Deepfake）偽冒身分驗證。</p> <p>他表示，現在的AI深偽變臉技術，已經可以製造出逼真的虛假影像和聲音，仿真度極高，加上AI變臉軟體還內建許多來自不同人種的臉部圖片，甚至連名人、明星照片也有，可以讓使用者自由選擇性別及種族。</p> <p>他指出，這些遭到偽冒的深偽影像，就算從正面觀看，都可以做到以假亂真，很容易讓民眾誤判，以為偽冒者是被害者本人、檢警或名人。</p> <p>當生成式AI做到以假亂真，林大馗指出，企業對網路基礎架構也會有縱深防禦要求，從企業組織內部的使用者開始，一直到要面對組織外的風險，在整個工作環境的範圍之內，都必須布建各種基礎的資安防護設備，目的就是要做到建構零信任網路架構，並且能夠即時進行漏洞更新修補。</p> <p>林大馗表示，單靠基礎的資安防護設備，並不足以對抗這些生成式AI對企業、組織甚至是個人帶來的資安風險。</p> <p>所以，我們還必須做到進階防禦強化的要求，例如在公開影片添加專屬雜湊值，或是安全憑證；或善用現階段機會，趁深偽技術存在未能完整學習受複製對象側面的技術缺陷，可要求以生物認證方式來識別對象，左右轉頭90度並維持一小段時間，因為如果是利用深偽技術所偽造的影片，可能會產生人臉閃爍的情況。</p> <p>以其他作法而言，我們可擴大運用「MFA多因子認證」，要求使用者必須通過兩種以上的身分認證機制，之後才能取得授權。</p> <p>另外，可以採用零信任「永不信任、總是驗證」的資訊架構，包含以每個連線為基礎，評估每個資源請求者的存取要求等機制，避免使用一次性驗證後，就可以長時間與完全取用所有服務的傳統做法。</p> <p>甚至，我們要能夠讓使用者建立「眼見不為憑」的警覺，讓一般民眾能夠充分理解到：過去習慣的「有圖有真相」的心態，已經到了必須改變的時候，不然，這就可能淪為一種「看片都上當」的習性。</p> <p class="rtecenter"><strong><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E8%B7%AF%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B%E7%B8%B1%E6%B7%B1%E8%A6%81%E6%B1%82_KPMG%E6%8F%90%E4%BE%9B.jpg" style="width: 600px;" /></span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">為了架構足以因應AI資安風險，臺灣KPMG安侯企管顧問執行副總經理林大馗表示，企業必須打造基礎網路架構的韌性，從內部使用者到面對組織外的環境，都必須建構具備零信任的網路縱深防禦，並做到即時漏洞更新。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／KPMG</span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>利用3種方式提升AI方案的可信任度</strong></span></span></p> <p>為了成功推行人工智慧（AI），組織與社會必須能夠相信AI會做出正確的決策，而且AI不會做出錯誤的決定，KPMG目前提出名為「人工智慧風險控制與管理」的框架。</p> <p>這個框架包含3種促進人工智慧解決方案取得信任的方法，希望透過提升演算法的信任，讓「生成式AI」可以提升到「生產力AI」。</p> <p>林大馗指出，這些方式分成：（1）與其他決策方法∕模型來做結果比對；（2）介入理解與驗證人工智慧模型；以及（3）於可控的環境中發展人工智慧解決方案。</p> <p>他也進一步解釋，舉例說明3種方式可能面臨的結果。</p> <p>若以（1）與其他決策方法∕模型來比對結果，可能面臨下列幾種情形，例如：其他可靠的決策方法或許不存在；更換模型或開發替代方案，並非總是可行的；如果有其他決策來源，為何還需要發展人工智慧解決方案？</p> <p>若採用（2）介入理解與驗證人工智慧模型的方法，也可能面對模型或許過於複雜，以至於人類無法予以解釋或理解。因為模型本身使用深度神經網路（Deep Neural Networks），眾所皆知，這項技術的運作原理很難解釋。</p> <p>如果是採用（3）在可控的環境中發展人工智慧解決方案，同樣會面臨挑戰。例如，於安全的環境中，技術人員使用嚴謹的方法論，並不能保證品質結果；在資料科學領域中，使用較嚴謹的方法，與AI領域常用的敏捷與較前瞻的方法，可能有所違背。</p> <p>林大馗坦言，無論用何種方式提高AI解決方案的信任度，但實際上，都有其限制。</p> <p>對此，KPMG發展出一套「人工智慧風險控制與管理的治理框架」，期盼協助組織與企業利用上述三種方法，定義出最優良的控制措施組合。</p> <p class="rtecenter"><strong><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E5%BD%A5%E6%A3%BB-AI%E6%B2%BB%E7%90%86-%E5%A6%82%E4%BD%95%E6%8F%90%E5%8D%87%E6%BC%94%E7%AE%97%E6%B3%95%E4%BF%A1%E4%BB%BB-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-KPMG.jpg" style="width: 600px;" /></span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">為了成功推行人工智慧，組織與社會必須能相信它會做出正確的決策，並且不做出錯誤的決定。KPMG為此提出「人工智慧風險控制與管理」框架，期盼透過三種方法的運用，促使人工智慧解決方案的發展與應用能夠得到更大的信任。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／KPMG</span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>落實AI資安整備度之餘，也必須培養AI治理團隊</strong></span></span></p> <p>面對AI甚至是生成式AI的日益發展，組織、企業甚至是個人是否都已經做好足夠準備？面對AI時代的來臨，又該進行何種前瞻的資安布局呢？</p> <p>林大馗認為，所有的組織和企業應該要做到AI資安整備度分析，以及培養AI治理團隊智識與人才地圖。</p> <p>在AI資安整備度分析方面，我們可以從五個面向來看，包括：人才投入、研發與市場經營、生態鏈合作、基礎建設、法規。</p> <p>先從人才投入的面向來看，企業與組織要能夠做到外部機構的AI資安協同合作、AI安全開發，以及使用AI解決方案的宣導活動，以及制定AI安全性的指引與實務守則。</p> <p>而從研發與市場經營的面向來看，企業須提高對AI安全能力的必要資源投入、制定國家對AI發展的限制與安全規範，落實相關規範與監控機制。</p> <p>針對生態鏈合作的面向，包括AI的API管理、數據品質、資料交換安全、開放資料（Open-Data）治理等，需要處理的內容包括：</p> <p>● AI事件通報與處理</p> <p>● AI威脅、漏洞和安全控制情資</p> <p>● 如何和外部機構合作，有效處理AI相關事件</p> <p>● 定義∕開發∕使用特定的網路安全度量或指標</p> <p>● 監控AI系統生命周期中的安全水平</p> <p>● 要求AI利益相關者進行動態風險評估</p> <p>● 對違反數據和模型完整性進行制裁</p> <p>關於基礎建設面向中，像是數據、演算法、通訊等，都包含在內，要處理的對象，則包括：監控開發人員、關鍵基礎設施廠商等AI利害關係者，都要採取合宜的安全控制措施，以及定義AI利害關係者的安全控制措施。</p> <p>最後的法規面向，涵蓋AI道德規範、AI標準、AI與數據治理相關法規，例如歐盟人工智慧法案（AI Act），以及歐盟個資法GDPR等。因此，我們要處理的內容，包括：法規盤點與風險識別；監控AI資料集的完整性和品質；並建立認證或評估機制，以評估AI系統安全。</p> <p>要能夠推廣和應用AI，企業在AI治理團隊與人才地圖中，除了「詠唱師」，還需要「調音師」。</p> <p>林大馗表示，在人才投入面向，企業成立當責AI治理委員會、制定AI策略與延聘治理顧問，並落實AI安全性的指引與實務守則。</p> <p>如果是在研發與市場經營面向上，企業與組織除了要制定AI策略，以及延聘治理顧問，也必須要設立AI安全稽核師和AI生命週期安全小組。</p> <p>至於生態鏈合作面向上，要成立資安事件管理小組，成立針對AI威脅、漏洞和安全情資的管理小組，以及AI生命週期安全小組，對於AI生態鏈與委外廠商，也必須成立相關的管理小組。</p> <p>至於基礎建設面向上，企業除了要有AI策略與治理顧問，也必須要有AI生態鏈與委外廠商的管理小組，以及網路安全小組。</p> <p>最後在法規面向上，企業則要有數據品質管理的管理小組、數據法規專家小組，以及建立認證或評估機制，以評估AI系統安全性。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>想開發安全可信的AI應用，可依據WEF的指引設計</strong></span></span></p> <p>林大馗認為，對於設計各種AI產品或服務，我們可以參考世界經濟論壇（WEF）在2022年3月發布的指引《Artificial Intelligence for Children》，其內容可以統稱為FIRST指引，當中包括了五大項目，分別是：Fair（公正）、Inclusive（包容）、Responsible（負責）、Safe（安全），以及Transparent（透明）。</p> <p>「公正」是從公司文化和流程層面，解決人們如何開發AI模型，以及AI模型在使用中，所受到道德方面的影響與偏見問題。</p> <p>「包容」則是留意到AI模型如何與來自不同文化，以及不同能力的用戶公平互動，所以，在產品測試的過程中，需要包括不同類型的用戶。</p> <p>所謂的「負責」，主要是因為AI相關產品常反映當下最新的學習科學和科技應用範例，畢竟，最終發展AI，就是要做到如何實現健康的認知、社交、情感或身體發展，並且負起相關的責任。</p> <p>關於「安全」這一項要求，主要是因為AI技術必須做到保護用戶和購買者得數據，因此，應用AI提供產品或服務的公司，應該要披露其如何收集和使用數據及如何保護數據與用戶隱私，也允許用戶隨時選擇退出，並刪除他們的數據。</p> <p>「透明」則是要求提供AI產品或服務的公司，必須要能夠以非技術術語向買家和用戶解釋為什麼使用AI、AI如何工作以及如何解釋AI的決策過程；使用AI的公司也必須承認AI有其侷限性和潛在風險，並開放監督和稽核。</p> <p>林大馗指出，所有組織或企業使用AI的初衷，都是為了提供更好的產品和服務，若能參考這份簡稱為FIRST的AI應用指引，不僅可以提供保護，降低AI對孩童造成的可能風險，也是應用AI時，應該要關注的重點。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/22-23-%E6%96%B0%E8%81%9E%E5%B0%88%E9%A1%8C-KPMG%20AI%E6%B2%BB%E7%90%86-%E5%9C%96%E8%A1%A8.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/22-23-%E6%96%B0%E8%81%9E%E5%B0%88%E9%A1%8C-KPMG%20AI%E6%B2%BB%E7%90%86-%E5%9C%96%E8%A1%A8.png" style="width: 600px;" /></a></p> </div></div></div>
2024/2/6 15:43作者黃彥棻https://www.ithome.com.tw/news/161211
【ChatGPT改變世人對AI的觀點】KPMG解析AI帶來的7大風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從ChatGPT從2023年橫空出世以來，這種一問一答的方式，展現出「類人類」的互動模式，也讓背後的生成式AI模型成為各界關注的熱門議題。</p> <p>當AI變得越來越聰明的時候，有許多人也開始擔心，未來人類應該如何面對這麼聰明的AI。</p> <p>甚至於，也有不少調研預測機構開始在觀察，想了解在未來社會中，究竟會有多少人類社會存在的工作，將可能會進一步被AI所取代。</p> <p>臺灣KPMG安侯企管顧問執行副總經理林大馗表示，回顧2023年，生成式AI對於人類社會帶來了重大衝擊，我們也必須正視並體認到：AI已經是進入2024年後，不管是企業或組織，甚至是個人，都無法被忽視的重要議題。</p> <p>他也表示，當企業營運開始思考未來各種AI發展和應用，以及使用AI提供新產品和服務的同時，必須意識到，包括駭客和各種網路犯罪集團在內，也在使用AI來提高其攻擊入侵和詐騙成功率。</p> <p>因此，隨著AI應用越來越普及，林大馗則點出，AI本身面臨的7種資安風險，並從四步驟拆解AI攻擊鏈，強調AI在某些最新的、專業領域的應用上，仍有其侷限；而AI如今也成為駭客詐騙、偽冒身分利器時，也成為企業和一般民眾必須留意的風險。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>AI在暗黑情境的應用日漸廣泛，資安風險也與日俱增</strong></span></span></p> <p>「AI對人類帶來的威脅，其實比氣候變遷更為急迫，」林大馗特別引述深度學習泰斗、神經網路之父Geoffrey Hinton的觀點指出，人類已經找出減碳的路徑或方向，只要去落實，情況可能會好轉；但關於人工智慧的發展，大家目前根本「置身迷途」。</p> <p>其實，特斯拉執行長馬斯克在2018年3月，就已提出「AI比核彈還要來的危險」的觀點；美國國會在2023年舉辦人工智慧影響的公聽會，聯邦參議員霍利（Josh Hawley）也警告：「生成式AI的規模宛如網際網路的全球布局，可能釀成類似原子彈的巨大災禍」。</p> <p>甚至，ChatGPT推手OpenAI的CEO阿特曼（Sam Altman）也表示，生成式AI的出現好比「印刷機發明」，雖然能夠改善和創造工作，但他對AI可能對世界帶來的危害，更是深感憂心。</p> <p>因此，林大馗也觀察到，隨著AI應用越來越普遍，不僅開始有一些暗黑情境的AI應用，甚至還帶來相關的危機。</p> <p>他說，目前AI的暗黑應用可從三個主要方向來看，包括：深偽（Deepfake）詐欺技術的使用、更有智慧的駭客攻擊，以及更多企業機敏資料外洩的風險。</p> <p>他指出，暗黑的情境也帶來危機，在深偽技術帶來的各種詐欺危機的暗黑情境應用，可以發現兩大發展趨勢。</p> <p>首先，依據世界經濟論壇（WEF）的預測，到了2026年，網路上可能有90%以上的內容將由人工智慧生成。</p> <p>舉例而言，在2023年4月，中國甘肅省網路警察發現搜尋引擎百度出現經查證後確認為虛假消息的新聞，內容聲稱：「甘肅省有一列火車撞到修路工人而導致9起死亡事故。」而這個由AI生成的假新聞，在同一時段，就有21個帳號發布相同文章，更達到1.5萬餘次的瀏覽量。</p> <p>其次，中國大量使用深偽技術，也增加民眾對駭客能夠輕鬆獲取金融資訊的憂慮。</p> <p>根據一篇2023年5月的報導指稱，駭客使用先進的人工智慧軟體，說服中國北方的一名男子將錢轉給他的朋友，實際上，該筆金錢卻轉到一個詐欺帳戶。</p> <p>在駭客攻擊越來越智慧化的暗黑情境應用中，林大馗也觀察到三大發展趨勢。</p> <p>首先，社交工程手法引發的資安事件會大量上升。例如，之前曾發生駭客偽造美國勞工部（DoL）的社交工程郵件，偽冒的網域以dol-gov[.]com取代正確的<a href="mailto:reply@dol">reply@dol</a>[.]gov，藉此取得受駭者微軟365的憑證。</p> <p>其次，因為自動化生成的駭客工具，也大幅降低進入駭客產業的門檻。</p> <p>資安公司Forcepoint的資安研究員Aaron Mulgrew表示，完全沒有任何撰寫程式經驗的他，可用ChatGPT快速寫出國家級複雜程度的惡意軟體，因此，他擔心任何人其實都可以輕鬆用ChatGPT打造駭客武器。</p> <p>第三，ChatGPT本身有個不受OpenAI設計準則規範、可自由發揮的DAN（Do Anything Now）模式，而這種模式一旦遭到濫用，就可以讓ChatGPT產出涉及不道德，或是非法的建議。</p> <p>最後一個暗黑情境的AI應用，則會帶來更多機敏資料外洩的風險。</p> <p>林大馗指出，許多大型企業因為使用生成式AI，而上傳大量機密資料，造成營業秘密外洩疑慮。</p> <p>最知名的案例就是，2023年3月起，因韓國半導體公司三星電子允許員工使用ChatGPT，包括半導體設備測量資料、產品良率等內容，都被存入ChatGPT的資料庫中。</p> <p>因此，這也讓許多企業因擔心公司的商業機密遭到外洩，便禁止員工在公司擁有的資訊設備當中，使用ChatGPT這類型的服務。</p> <p>資安專家Dominic Alvieri也發現，單是Google Play Store軟體市集，假冒ChatGPT名義而推出的「ChatGPT Plus」服務，已經有超過50種惡意App，假冒ChatGPT，試圖魚目混珠，會在上當受騙的使用者裝置植入惡意程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1167-%E6%96%B0%E8%81%9E%E5%B0%88%E9%A1%8C-KPMG%20AI%E9%A2%A8%E9%9A%AA-600-1.png" style="width: 543px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>解構AI引發的資安風險成因</strong></span></span></p> <p>因為各種新的AI應用，也讓資安成為重要議題。</p> <p>林大馗表示，AI應用便引發資安攻擊手法的變革。原本的資安攻擊手法，例如：駭客會透過繞道潛伏的方式，滲透到企業內部，但當這些資安攻擊手法再加上AI後，就可以做到深度偽裝後、滲透企業內部，而不被察覺。</p> <p>其他，像是以往的網路攻擊都是透過「知識」驅動，但加上AI後，就會變成是由「資料」驅動造成的網路攻擊。</p> <p>另外，像是駭客原先就能藉由多點突襲的方式入侵企業，現在加上AI之後，就可以做到更精準地攻擊；甚至以往須透過專家創造才能完成的產品，當加入AI之後，就會成為某種「智慧製造」。</p> <p>他認為，AI應用讓原本企業面臨的資安威脅瞬間升級，也變得更難以對應。</p> <p>不過，AI不僅帶動各種網路攻擊手法發生質變，甚至於，AI本身也會面臨資安風險。</p> <p>林大馗歸納出AI在不同階段預計要面對的7大風險成因，他分成：學習偏失、人為錯誤、技術缺陷、流程瑕疵、隱私侵害以及決策誤用等6大類；另外還可以加上第7種：因使用者暴增，而造成演算效能不足的原生風險。</p> <p>學習偏失的主要原因是訓練數據的偏差，例如，使用了過時或不完整的訓練數據母體，或機器學習期的數據與實際情境不一致。</p> <p>至於人為錯誤，則包含設計者或是使用者，對於演算法專業疏失，或其他人為道德與管理問題。</p> <p>林大馗認為，不論學習偏失或是人為錯誤，最主要都是發生在數據感知，以及輸入階段所面臨到的資安風險。</p> <p>他進一步表示，在演算法運算與深度學習階段，所面臨的資安風險有三大類型，分別是：技術缺陷、流程瑕疵，以及隱私侵害等。</p> <p>其中，技術缺陷的資安風險，主要是設計者在演算法開發過程當中，因為缺乏對使用者情境與安全性的完整設計，以及測試，進而產生演算法錯誤（Bugs）。</p> <p>至於流程瑕疵造成的資安風險，主要是因為使用者未瞭解演算法或是技術的限制，進而產生的過度依賴與誤用情境。</p> <p>另一個常見的資安風險，則是因為演算結果濫用，導致侵犯當事人隱私權。</p> <p>至於結果輸出階段與決策階段，林大馗表示，資安風險包括決策者對於分析結果的錯誤解讀或誤用造成的決策誤用，以及演算法運算與決策效率仍待提升，導致演算效能不足的風險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1167-%E6%96%B0%E8%81%9E%E5%B0%88%E9%A1%8C-KPMG%20AI%E9%A2%A8%E9%9A%AA-%E6%8A%BD%E8%A8%80-600.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>從四個步驟拆解AI資安攻擊狙擊鏈</strong></span></span></p> <p>針對AI所面臨的各種資安風險，我們可以參考美國NIST所推出的MITRE ATLAS框架（Adversarial Threat Landscape for Artificial-Intelligence Systems），也能從MITRE的戰術、技術和程序（TTP），看出AI的確面臨前面提到的6大資安風險，包括學習偏失、人為錯誤、技術缺陷、流程瑕疵、隱私侵害，以及決策誤用等。</p> <p>針對AI的資安攻擊狙擊鏈，我們可以進一步拆解針對AI的攻擊方法，可以拆解成下列主要步驟。</p> <p>一、勘查標的，以及研發攻擊武器</p> <p>二、竊取存取權限</p> <p>三、執行惡意程式，並且匿蹤、擴散</p> <p>四、持續滲透組織，並且造成危害</p> <p>在第一個步驟中，駭客會勘查標的，以及研發攻擊武器。</p> <p>林大馗指出，像駭客等攻擊方，會廣泛利用機器學習模型去了解與熟機各種威脅形式，例如，操縱機器學習模型的輸入、學習如何繞過機器學習模型的安全性，並知道該如何利用機器學習模型的漏洞等。</p> <p>如果再經過進一步的細分，我們可了解從哪些面向操控機器學習模型的輸入，例如分成下列模式：首先是數據注入攻擊，便是攻擊者將惡意數據注入機器學習模型的訓練數據。</p> <p>第二是對抗樣本攻擊，由攻擊者使用對抗樣本，以此欺騙機器學習模型。</p> <p>第三，則是模型竊取攻擊，攻擊者竊取機器學習模型的訓練數據或模型的權重。</p> <p>最後，就是模型劫持攻擊，相關的攻擊者通過控制機器學習模型的輸入，例如Prompt（詠唱）、Injection（注入），或是輸出，以此劫持模型。</p> <p>在這些機器學習模型當中，輸入錯誤資料之後，會改變最後的產出結果。</p> <p>到了步驟二，則是竊取存取權限。</p> <p>林大馗表示，攻擊方可能從供應鏈的某部分，獲取對機器學習系統的初始存取權限，鎖定攻擊的目標系統，可能是一個網路、行動裝置，或是一個感應器。</p> <p>而在這個步驟當中，最重要的目的在於：獲取用戶名稱、密碼、API金鑰，或是藉由網路釣魚、通過利用受信任的第三方外部供應商，進入企業組織內部以獲取相關的存取權限。</p> <p>接著是步驟三，重點在於：執行惡意程式並匿蹤、擴散。</p> <p>也就是說，攻擊方會在機器學習程式碼中放惡意程式碼，例如，可以將惡意程式碼寫入儲存庫；或是當模型存為pickle共享時，便可以使用pickle嵌入攻擊（pickle是Python專屬的序列化∕反序列化模組，可用來儲存機器學習的模型）。</p> <p>最後的步驟便是：持續滲透組織並造成危害。</p> <p>林大馗表示，攻擊方為了避免重新啟動、更改憑據等作為，有可能會中斷他們繼續存取的權限，所以會留下一些文件，而這些文件包括：帳戶操作，也會包含任何保留攻擊者對受感染帳戶的存取權操作，甚至會藉由植入容器鏡像以建立持久性。</p> <p>而在步驟四持續滲透的過程中，攻擊方也會透過下列三種方式，以便達到他們滲透到組織內部的目的。</p> <p>對此，他進一步提出解釋。方式一是繞過防禦，畢竟攻擊方會想盡辦法避免「在整個入侵過程中被偵測到」的技術。</p> <p>方式二則是攻擊方藉由滲透的方式，試圖竊取機器學習的產物，或取得有關機器學習系統的相關資訊。</p> <p>林大馗指出，不論駭客是製作對抗性數據，以影響機器學習模型的結果，或是透過投毒方式使模型的性能變差，還是發起大量請求以癱瘓服務，或者是發送大量無關緊要數據，使組織花時間審查不正確的推論，甚至於是透過加密大量數據，以勒索金錢補償等方式，最終都會影響機器學習模型的正確性及效能。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1167-%E6%96%B0%E8%81%9E%E5%B0%88%E9%A1%8C-KPMG%20AI%E9%A2%A8%E9%9A%AA-600-2(1).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1167-%E6%96%B0%E8%81%9E%E5%B0%88%E9%A1%8C-KPMG%20AI%E9%A2%A8%E9%9A%AA-600-2.png" style="width: 600px;" /></a></p> <h1> </h1> <h1><span style="color:#3399ff;"><strong>ChatGPT目前仍難承擔專業責任</strong></span></h1> <p><strong>當大家驚艷ChatGPT的互動方式，後續開始察覺ChatGPT回覆的答案其實存在很多錯誤，甚至，後來發現ChatGPT執行的效率也變差了。</strong></p> <p><strong>臺灣KPMG安侯企管顧問執行副總經理林大馗坦言，該如何讓「人工智慧」不要變成「人工誤會」，避免AI成為治理的陷阱，是大家在關注並應用AI時，必須注意的重點。</strong></p> <p><span style="color:#B22222;"><strong>臺灣KPMG實測ChatGPT能否作為報稅顧問</strong></span></p> <p><strong>為了印證生成式AI到底有多聰明，是否真的可以取代專業服務，林大馗表示，他們本身也特別以稅務專業的問題進行測試，驗證「以ChatGPT作為報稅顧問是否可行？」。</strong></p> <p><strong>KPMG稅務服務部執業會計師張智揚實際以臺灣綜合所得稅申報作為情境測試，並將納稅人的家庭成員、撫養狀況、薪資收入、投資獲利等基本資料輸入ChatGPT，之後他們發現，ChatGPT的確能針對單純的個人情況，依據臺灣所得稅法回答出正確的免稅額及扣除額；不過，針對比較複雜的扶養親屬狀況，例如學齡前或七十歲以後的長輩等，ChatGPT提出的答案有誤。</strong></p> <p><strong>若再進一步詢問深入且涉及需要判斷的問題，例如：應該如何申報最有利？或是夫妻應該要合併計稅或分開計稅、實際可列舉扣除項目、是否有其他特別扣除額、列舉扣除額等節稅建議，ChatGPT提供的建議不僅非常侷限，甚至出現錯誤的答案。</strong></p> <p><span style="color:#B22222;"><strong>生成式AI還須克服五大弱點</strong></span><img alt="" src="https://s4.itho.me/sites/default/files/images/1167-%E6%96%B0%E8%81%9E%E5%B0%88%E9%A1%8C-KPMG%20AI%E9%A2%A8%E9%9A%AA-BOX%E5%9C%96%E8%A1%A8.png" style="text-align: center; width: 277px; float: right; margin: 2px;" /></p> <p><strong>林大馗根據他們實測的結果為例表示，目前看來，生成式AI要能提供真正專業顧問諮詢服務，例如稅務專業諮詢等，至少還需要克服五大弱點。</strong></p> <p><strong>他表示，第一個存在的弱點就是對於最新規範適法能力不足，畢竟，生成式AI的訓練樣本並不是最新的資料，所以，只要是針對最新規定的詢問，例如：2023年臺灣綜合所得稅調高免稅額、標準扣除額、薪資與身心障礙特別扣除額、課稅級距，以及2023年新增的民眾協助烏克蘭難民，賑濟烏克蘭捐贈項目得以全額列報捐贈列舉扣除額等相關新規定，生成式AI的ChatGPT都無法正確處理。</strong></p> <p><strong>再者，引導使用者的能力不足。他認為生成式AI需由使用者「完整提問」相關情境，以及背景資料後，才有機會提供正確答案，然而，一般使用者對稅務規則並不熟悉，往往無法提供完整資料或背景說明。</strong></p> <p><strong>第三，經過實際測試發現，ChatGPT處理複雜問題的能力不足。林大馗表示，生成式AI僅能提供簡單稅務問題的基本建議，若遇到複雜的稅務情境，經過東拼西湊而產生錯誤答案的機率非常高。</strong></p> <p><strong>第四個弱點是擔責能力不足。國外已有許多利用生成式AI開發的人工智慧稅務輔助系統，例如加拿大的TaxGPT.ca，但在聲明中即明確提到：TaxGPT.ca目的是提供友好和平易近人的方式，讓使用者開始學習稅務，並不是稅務計算器或專業稅務顧問，所以並無法承擔相關的稅務責任。也就是說，生成式AI提供的答案不管對錯都只是參考，也不需要承擔任何責任和義務。</strong></p> <p><strong>最後一點，就是對於隱私的保護能力不足，林大馗表示，這也是大家最擔心的事情之一。因為報稅資料涉及許多個人隱私，雖然多數生成式AI都強調不會蒐集使用者的隱私，但實際上，有許多實驗證明，系統還是會「暗中記住」線上提問者的個資，而且，使用者也無法確認其資料保護的能力，因此仍存在高度隱私風險。</strong></p> </div></div></div>
2024/2/6 15:08作者黃彥棻https://www.ithome.com.tw/news/161209
社交平臺Snap裁撤10%員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cnbc.com/2024/02/05/snap-to-lay-off-10percent-of-global-workforce-around-500-employees.html" target="_blank">根據《CNBC》報導</a>，美國社交平臺Snap周一（2/5）對內宣布將裁撤10%人力，估計將有500名員工受到影響。Snap發言人亦已向該報證實，該公司正在重組團隊，減少層級以推動面對面的協作。</p> <p>Snap近年來最大規模的縮編行動應該是2022年8月時，當時Snap裁撤了20%的員工，<a href="https://s25.q4cdn.com/442043304/files/doc_financials/2023/q3/Q3-23-Press-Release_FINAL-10-24-23.pdf" target="_blank">根據Snap去年第三季的財報</a>，其全球員工數為5,367人，2022年同期則是6,446人。</p> <p>Snap早期名稱為Snapchat，定位為照片分享程式，主要營收來源為廣告。該公司在去年第三季締造了11.89億美元的營收，成長5%，虧損了3.68億美元，全球每日用戶數為4.06億，成長12%。</p> <p>過去Snap曾收購人臉辨識技術開發業者Looksery、媒體科技公司Bitstrips、軟體研發公司Obvious Engineering、行動搜尋程式Vurb、廣告技術公司Flite、擴增實境新創Cimagine Media，及位置分享程式Zenly等，在2016年從Snapchat更名為Snap，推出Spectacles智慧眼鏡，彰顯出對未來多元化發展的期許。</p> <p>不過，<a href="https://newsroom.snap.com/zh-Hans/less-social-media-more-snapchat" target="_blank">今年Snap開始對外說明</a>該公司並非社交媒體，而是Snapchat，重新強調其創立時的初衷。指出Snapchat一開始就是想取代社交媒體，透過有趣的方式向最親密的親友發送照片與影片訊息，從來都不是為了累積龐大的朋友網路或爭奇鬥豔，而是一個可以展現真實自我的地方。</p> <p>這像是Snap的藍海策略，不再企圖與規模更大的社交平臺競爭，同時鼓勵人們回歸不再粉飾的生活與交流。</p> </div></div></div>
2024/2/6 14:02作者陳曉莉https://www.ithome.com.tw/news/161208
受Okta牽連Cloudflare完成入侵調查，客戶資料與系統均未受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare聘請資安公司CrowdStrike，針對自託管Atlassian伺服器在2023年11月23日遭到攻擊者入侵事件進行調查，完整<a href="https://blog.cloudflare.com/thanksgiving-2023-security-incident">調查報告已經出爐</a>。報告指出這次的攻擊行動是由經驗豐富，而且國家所資助的攻擊者所為，但因為在Cloudflare零信任架構的保護下，官方表示，客戶資料與系統都沒有因為該攻擊事件受影響。</p> <p>Cloudflare被攻擊事件，要追溯至<a href="https://www.ithome.com.tw/news/159667">Okta在2023年10月被入侵</a>，攻擊者從Okta系統獲得一組Cloudflare憑證存取權限。這些洩漏的憑證本應該全部輪換，但是Cloudflare漏了1個服務令牌和3個服務帳戶的憑證。</p> <p>其包含一個Moveworks服務令牌，具有遠端存取Cloudflare Atlassian系統的權限，一個基於SaaS的Smartsheet應用程式所使用的服務帳戶憑證，能夠用於存取Atlassian Jira執行個體，第二個帳戶是Bitbucket服務帳戶，用於存取程式碼管理系統，最後一個則是AWS服務帳戶，但為無法存取全球網路、客戶和敏感資料的環境。</p> <p>這些服務令牌和憑證就是攻擊者進入Cloudflare系統，並且試圖建立持久部署的關鍵，Cloudflare強調，這並非Atlassian、AWS、Moveworks或Smartsheet的錯誤，而是Cloudflare沒有輪換憑證的問題。</p> <p>攻擊者先是在11月14日到17日進行偵查，存取Cloudflare內部的wiki以及錯誤資料庫，11月20日與11月21日測試存取以確認仍可連線。真正的攻擊行動從11月22日開始，攻擊者使用ScriptRunner for Jira建立對Atlassian伺服器的持久存取，並且獲得程式碼管理系統Atlassian Bitbucket存取權限，並嘗試存取Cloudflare巴西資料中心控制臺伺服器，但是並未成功。</p> <p>所有攻擊存取和連線都在11月24日終止，雖然攻擊者在這個攻擊行動中所造成的影響有限，但Cloudflare嚴肅看待該事件，畢竟攻擊者使用了偷來的憑證，存取Atlassian伺服器上的部分檔案和程式碼。在Cloudflare、業界與政府合作調查下，確認這次攻擊來自國家資助攻擊者，其目的是要獲得Cloudflare全球網路持久且廣泛的存取能力。</p> <p>經過CrowdStrike的調查，並沒有發現更多的攻擊者活動，但Cloudflare仍全面輪換所有產品憑證，並且進行徹底的檢查。Cloudflare還將巴西資料中心設備，交由供應商鑑識團隊檢查，確認攻擊者沒有成功入侵的痕跡，不過即便如此，Cloudflare慎重起見仍更換了硬體。</p> </div></div></div>
2024/2/6 10:36作者李建興https://www.ithome.com.tw/news/161200
K8s成本管理工具Kubecost 2.0大更新，採用全新API後端效能提升達百倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>將OpenCost開源專案捐獻給CNCF的Kubernetes成本管理公司Kubecost，推出了同名產品Kubecost第2個主要版本。這個新版本提升大規模效能100倍，且用戶能以視覺化的方式監控所有流量成本，另外，Kubecost 2.0現在還會透過機器學習技術，預測用戶的支出。</p> <p><a href="https://blog.kubecost.com/blog/introducing-kubecost-2.0/">Kubecost 2.0</a>進行了重大升級，採用新的API後端大幅提升效能100倍，同時資源效率提高為3倍，尤其用戶在處理大規模Kubernetes環境的時候，可以更靈敏地操作Kubecost API和UI，而且現在也可以查詢3年以上的歷史資料，以獲得更長時間的資源利用率趨勢，進行更全面的決策和分析。</p> <p>在Kubecost 2.0中，用戶能以更直覺的方式察看Kubernetes和雲端網路成本，Kubecost網路監控現在可以提供Pod、命名空間、叢集和雲端服務的成本可見性，以接近即時的速度，視覺化呈現基礎設施中任一部分的成本。同時，用戶也可以查看流入或是流出的流量成本，或是關注特定的流量路線。用戶透過建立Collections頁面，便能整合查看Kubernetes和雲端成本，Kubecost可消除重複計算的成本，使用戶針對複雜且多方來源的流量查看成本。</p> <p>新加入的自動化工作流程Kubecost Actions，可供用戶最佳化Kubernetes成本，其具有3個核心操作，分別是動態請求調整大小、關閉叢集和關閉命名空間，用戶可以更簡單地創建排程，並且充分利用節約功能。</p> <p>Kubecost 2.0整合機器學習技術，新預測模型能夠利用歷史Kubernetes和雲端資料，提供準確的預測成本波動，並且進行資源分配。用戶可以透過主要監控儀表板的分配、資產和雲端成本探索工具，預測未來特定日期範圍的支出成本。</p> <p>而異常偵測則是成本預測的進一步應用，用戶可以偵測實際支出偏離Kubecost預測支出的時間點，找出意外支出迅速解決超額問題，確保雲端或是Kubernetes支出不會大幅超過預期。</p> </div></div></div>
2024/2/6 10:50作者李建興https://www.ithome.com.tw/news/161201
微軟可能為Windows Server 2025加入類似Linux Sudo指令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個不慎外洩的Windows更新預覽版顯示，下一版Windows Server將提供類似Linux上的Sudo功能。</p> <p>Sudo功能是Linux的控制臺程式，允許低權限用戶必要時能提升自我權限，像是以根權限執行指令，可兼顧安全性及彈性。上周<a href="https://www.windowslatest.com/2024/02/01/first-look-windows-11-is-getting-native-macos-or-linux-like-sudo-command/" target="_blank">《Windows Latest》</a>在一個不慎經由Windows Update釋出給Insider方案的Windows Server 2025更新預覽版發現，也有類似Linux、macOS上的Sudo功能。</p> <p>這新功能位於「設定」頁的管理員選項中，啟動後就能執行sudo指令。分析其設定、顯示細部功能如「在新視窗中開啟」、「關閉輸入」及「在現有視窗inline執行」等。</p> <p>Windows其實已讓用戶利用使用者帳戶控制（UAC）提示來提升權限，但是有些管理員指令如bcdedit及reagentc僅限管理員才能執行。相形之下，sudo功能就彈性得多，允許程式根據Windows設定執行。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-is-bringing-the-linux-sudo-command-to-windows-server/" target="_blank">《Bleeping Computer》</a>指出，雖然目前Windows 11任何版本都還未見sudo，但即使加入了也不令人意外。但是就像過去預覽版的情形，在預覽版中實驗的功能，不見得最後會留在正式版中。</p> </div></div></div>
2024/2/6 11:28作者林妍溱https://www.ithome.com.tw/news/161202
美國將對以間諜軟體攻擊記者、民權人士的人限制簽證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.state.gov/announcement-of-a-visa-restriction-policy-to-promote-accountability-for-the-misuse-of-commercial-spyware/" target="_blank">美國國務院昨（5）日宣布</a>，利用間諜軟體對媒體記者、民權人士進行竊聽、竊取資訊等攻擊行動的人士，美國將限制發給簽證。</p> <p><a href="https://www.washingtonpost.com/business/2024/02/05/biden-commercial-spyware-visa-blinken/d7a0aa5c-c45d-11ee-bbc9-9b5ca9b20779_story.html" target="_blank">華盛頓郵報</a>、<a href="https://www.reuters.com/world/us/us-announces-visa-restriction-policy-those-misusing-commercial-spyware-2024-02-05/" target="_blank">路透社</a>、衛報等媒體報導，美國國務卿布林肯（Anthony Blinken）昨日宣布這項決定。這項政策允許下級部會可對牽涉不當使用商業間諜軟體的個人，限制發給簽證。</p> <p>這是美國政府遏止商業間諜軟體濫用的最新舉措。國務院聲明指出，美國對於間諜軟體被誤用於實行壓迫、限制資訊自由流動、及迫害人權感到憂心，商業間諜軟體威脅人們隱私、言論表達、和平集會及交流的自由，也對美國公民造成安全威脅。美國政府重申會持續確保要求涉入使用商業間諜軟體的人追究責任。</p> <p>在此之前美國總統拜登去年三月發布一項行政命令，禁止美國政府不當使用商業間諜軟體對記者、異議人士、政治人物、非政府組織、少數族群人士蒐集其資訊。拜登政府也連同其他36國政府聯合發布政府監控科技的指引原則（名為《自由線上聯盟Freedom Online Coalition》），以減少間諜軟體對人權迫害。</p> <p>此外，美國商務部去年7月公布實體清單，禁止涉入以商業間諜軟體駭入記者、人權運動人士或政府官員手機的四家歐洲開發商。2021年，商務部已經禁止NSO及Candiru等二家公司都是來自以色列，分別開發Pegasus及DevilsTongu。其中Pegasus是近年引起極大外交爭議的間諜軟體，曾被用於監聽加泰隆尼亞總統、西班牙總理、葉門總統、英國首相辦公室及美國國務院，另外也感染了半島電視臺、法國等多國記者的iPhone手機。</p> </div></div></div>
2024/2/6 12:01作者林妍溱https://www.ithome.com.tw/news/161203
瀏覽器互通專案Interop 2023成效佳，Interop 2024鎖定17項技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瀏覽器廠商續推瀏覽器互通，<a href="https://wpt.fyi/interop-2024">Interop 2024</a>繼續把焦點擺在提高網路技術和互通性，確保不同的瀏覽器能夠以相同的方式解釋和顯示網頁內容。Interop 2024所設定的重點領域，包括無障礙功能、CSS巢狀結構與自訂屬性等12個新領域，以及2023年所遺留的5個未完成的領域。</p> <p>Interop是一個由Google、Mozilla、蘋果及微軟等瀏覽器業者，以及Bocoup和Igalia所組成，共同提高瀏覽器間互通性的專案，鼓勵瀏覽器引擎團隊針對特定重點領域進行改進。Interop專案所選擇的技術，有一些已經存在很長的時間部分則是新領域，特別鎖定那些因為存在缺陷，開發者避免使用的功能，目標使其達到可靠的狀態。</p> <p><a href="https://www.webkit.org/blog/14955/the-web-just-gets-better-with-interop/#interop-2023" target="_blank">Webkit開發團隊提到</a>，Interop 2023較Interop 2022更為成功，從2023年1月的資料相比，3大主流瀏覽器技術測試通過率只有48％，而經過1年，通過率已經上升到了95％。實現的功能包括在所有瀏覽器支援P3色彩，該技術終於在推出7年後於所有瀏覽器互通。其他功能還包括表單控制元件支援垂直書寫模式，Subgrid、容器查詢與CSS數學函式等。Interop 2023一開始設定的26個領域，已有20個成功完成。</p> <p>Interop 2024會延續Interop 2023未完成的部分，並且加入新的改進目標。在Interop 2023，無障礙團隊創建了網路平臺測試基礎設施，並且編寫了1,300個新的無障礙測試，這些測試已經被納入到Interop 2024中，鼓勵瀏覽器們強化無障礙功能的支援性。在新的一年，瀏覽器廠商還會擴大對WAI-ARIA標準的覆蓋，以及整合HTML無障礙API映射規範，並且增強display:contents無障礙支援。</p> <p>CSS巢狀是Interop 2024的重點領域，確保瀏覽器們都遵循相同規範消除所有差異。CSS巢狀模組定義了巢狀選擇器的語法，允許樣式規則內嵌另一個樣式規則，使子規則的作用範圍，被限定在父規則所選擇的元素內。CSS巢狀提高了CSS樣式表的可讀性、模組性和可維護性，同時也能減少CSS檔案的大小，減少用戶下載的資料量。</p> <p>近年瀏覽器才開始實作的@property規則，讓開發者能夠以類似瀏覽器引擎定義CSS屬性的方式，來宣告CSS自訂屬性，包括語法、繼承行為和初始值，讓CSS能夠做到過去無法實現的功能。在Interop 2023時，所有穩定瀏覽器通過自訂屬性測試的比例，從4％上升至7.6％，而預覽版的瀏覽器則達到90.7％，Firefox是最後一個支援的瀏覽器。整體支援的工作尚未完成，因此會延續到Interop 2024進行。</p> <p>在HTTPS URLs for WebSocket方面，WebSocket API原本要求使用特殊的網址格式，ws:表示不安全連結，而wss:表示安全連結，但這與經常使用的http:和https:網址格式不同，讓開發者感到不便。為了解決這個問題，瀏覽器將更新WebSocket API，使其能支援http:和https:常見網址格式。</p> <p>在Interop 2024中，IndexedDB也會有所改進。IndexedDB API使開發者可以在物件導向的資料庫中儲存資料，而從2011年以來，IndexedDB的標準化持續進行中，目前所有主要瀏覽器都已經支援第2版和第3版，第2版已經完全互通，而第3版成為Interop 2024重點，將使瀏覽器間實作更加一致。</p> </div></div></div>
2024/2/6 10:16作者李建興https://www.ithome.com.tw/news/161198
AI趨勢周報第241期：號稱真正開源！AI2釋出OLMo語言模型和所有相關資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0126～0201)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開源 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OLMo </span></strong></span></p> <p><span style="font-size: 22px;"><strong>號稱真正開源！AI2釋出OLMo語言模型和所有相關資料</strong></span></p> <p>艾倫AI研究所（AI2）最近<a href="https://huggingface.co/allenai/OLMo-7B">釋出</a>2款語言模型OLMo 7B和OLMo 1B，而且有別於常見做法、只開源模型權重和推論程式碼，AI2不只釋出OLMo模型，還包括完整的框架，也就是訓練資料、訓練程式碼和評估程式碼等，要樹立真正開源的新典範。他們希望，這個做法能推進開放研究社群的進展，並激發創新。</p> <p>AI2這項研究專案主要與哈佛大學合作展開，參與者還有AMD、Lumi超級電腦、Databricks和華盛頓大學。在這項專案中，他們釋出了一系列AI模型開發的重要資料，首先是完整的預訓練資料集，這個資料集以AI2的Dolma開源資料集為基礎（供3兆個Token）打造，同時包含OLMo語言模型預訓練程式碼。再來是訓練程式碼和模型權重，包括了70億參數（7B）規格的4種版本，每種模型至少都使用2兆個Token訓練，且推論程式碼、訓練指標和訓練日誌也都一併提供。還有一個是評估工具，他們釋出了用於開發階段的評估套件和評估程式碼。Hugging Face的技術長Julien Chaumond還在LinkedIn上指出，AI2釋出的模型、權重、評估指標和訓練程式碼，是開源研究的重要進展。<a href="https://allenai.org/olmo">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AIOps </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI原生網路平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Juniper Networks </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Juniper發表AIOps服務</strong></span></p> <p>網路設備與系統廠商Juniper Networks最近新推一款AIOps服務，也就是AI原生網路平臺，要用AI來提高營運和終端使用者體驗，同時降低網路維運成本，確保裝置、使用者與應用程式的網路連接都安全可靠。</p> <p>進一步來說，Juniper Networks這款平臺是款全端的閉環平臺，透過雲端託管的AIOps服務和虛擬網路助理Marvis，能處理使用者的有線和無線設備、WAN、安全和資料中心網域等管理問題，再加上該平臺提供的AI原生網路數位體驗分身Marvis Minis，能透過AI主動發現和自動修復問題。Juniper Networks表示，與傳統解決方案相比，AI原生網路平臺的營運支出可降低達85％的成本、消除90％的網路故障單，網路事件解決時間還縮短了50％。<a href="https://www.juniper.net/us/en/ai-native-networking-platform.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 評估 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ASPIRE </span></strong></span></p> <p><span style="font-size:22px;"><strong>AI可自我評估輸出對錯！Google釋出新框架</strong></span></p> <p>Google最近揭露一款專為大型語言模型設計的ASPIRE框架，可用來強化語言模型選擇性預測（Selective Prediction）的能力，且在各種問答資料集上，表現都優於目前最先進的選擇性預測方法。ASPIRE框架的重要性，在於能增加LLM的可信度。</p> <p>該框架分為3階段運作，包括特定任務調整、答案採樣和自我評估學習。特定任務調整階段是對已受基礎訓練的LLM進行進階訓練，就好比訓練學生，使其更好地解決特定問題一樣。第二階段則是指，ASPIRE使用學習到的可調參數，對每個訓練問題生成不同的答案，並建立自我評估學習的資料集，生成高可能性輸出序列。在自我評估學習階段，ASPIRE會新添加一組可調節參數，來提高模型自我評估的能力，也就是讓模型學會自己判斷答案的準確性。</p> <p>後來，團隊用CoQA、TriviaQA和SQuAD等3個問答資料集，以及各種開放預訓練的Transformer模型來評估ASPIRE。經ASPIRE調整的小型OPT-2.7B模型，表現超過更大的OPT-30B模型。這項實驗結果表示，只要經過適當調整，即便是較小的語言模型，在部分情境下也能超越較大的語言模型。<a href="https://blog.research.google/2024/01/introducing-aspire-for-selective.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjIwlr34r2t085uhaOx2IbBulTJX2FB2g8LkhTgrKgycgb8cDZaRuht0cFPqmlgSkT5jHOx-rrWywmYAEEfJ0FxlC7ammU8ewrZaVo_My7cCpBNYlfgERRKgFYnF-8LhsWhcyS3KTFdBnhyphenhyphencrenwQxBkbjM8UriPKzji8zDkXYv-5rhRXiE0SlvGmXUV-jt/s1999/image2.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI資源中心 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 負責任AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 隱私安全 </span></strong></span></p> <p><span style="font-size:22px;"><strong>美國設立AI資源中心</strong></span></p> <p>美國國家科學基金會（NSF）日前發表國家AI研究資源測試（NAIRR），要實現共享研究基礎設施的願景，第一步是要強化、普及化負責任AI和創新的重大資源，預計為期2年。</p> <p>NAIRR與10個美國聯邦機構，25家企業、非營利和慈善組織合作，如國家科學基金會、美國太空總署、美國國家標準與技術研究院，以及AI2、AWS、AMD、Google、Hugging Face、IBM、微軟、Nvidia等，要讓美國的研究人員和教育者能存取先進的運算、資料集、模型、軟體、訓練等支援。</p> <p>NAIRR分為4個主要領域，首先是可用來存取、分配各種AI資源，並實現開放式AI研究的NAIRR Open，再來是NAIRR Secure，專門支援那些需要隱私和安全的AI研究。第三個是NAIRR Software，負責AI軟體、平臺、工具和服務的研究，最後一個是NAIRR Classroom，目的是要擴大全美的AI研究，包括藉由教育、訓練、使用者支援及外展服務來接觸更多社群。<a href="https://new.nsf.gov/news/democratizing-future-ai-rd-nsf-launch-national-ai">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google Cloud </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Hugging Face </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Vertex AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google Cloud與Hugging Face宣布策略聯盟</strong></span></p> <p>被稱為AI界GitHub的Hugging Face最近與Google Cloud策略聯盟，讓Google Cloud成為Hugging Face的AI訓練和推論的首選服務，雙方也計畫整合彼此服務。</p> <p>Hugging Face的願景是讓所有企業使用開源模型和技術，來打造自己的AI，目前已在平臺上提供將近50萬種共享模型和10萬個資料集。Hugging Face表示，此次將與Google在開放科學、開源、雲和硬體領域進行合作，比如開發者可用Google AI平臺Vertex AI來訓練、微調和部署Hugging Face的模型，並於Google Kubernetes Engine（GKE）上使用Hugging Face專用的深度學習容器。此外，這次合作和允許更多開源開發者存取Cloud TPU v5e，並支援基於Nvidia H100 Tensor Core GPU的A3 VM，也能利用Google Cloud市集替Hugging Face托管平臺進行簡單的管理與計費，包括Inference、Endpoints、Spaces與AutoTrain等。<a href="https://www.prnewswire.com/news-releases/google-cloud-and-hugging-face-announce-strategic-partnership-to-accelerate-generative-ai-and-ml-development-302044380.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 文字審核 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Embedding </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI推出2大新嵌入式模型</strong></span></p> <p>OpenAI最近再度更新旗下產品，包括GPT-4 Turbo預覽模型和文字審核模型，同時還推出了2個新的文字嵌入式模型text-embedding-3-small與text-embedding-3-large。進一步來說，GPT-4 Turbo預覽版可更徹底完成程式碼生成任務，也減少模型有時會落下任務的懶惰狀況，還修復了非英語UTF-8生成的錯誤。審核API則是一款免費工具，能用來幫助使用者辨識有害文字，不管是text-moderation-latest或text-moderation-stable都會採用最新的text-moderation-007版本。</p> <p>至於新模型，則有text-embedding-3-small和text-embedding-3-large，前者的多語言檢索（MIRACL）評測比前一代模型的31.4%提高至44%，常用的英文任務評測（MTEB）則從61%增加至62.3%。而且text-embedding-3-small價格更便宜，其每1,000個標記的費用只要0.00002美元。而text-embedding-3-large最多可建立3,072個維度的嵌入向量，相較於text-embedding-3-small與text-embedding-ada-002，其MIRACL的平均分數為54.9%，每1,000個標記的費用為0.00013美元。OpenAI說明，這2個嵌入式模型能讓開發者在嵌入時，權衡效能與成本，依照實際需求並藉由維度API參數來控制嵌入大小，在不損及重要概念的前提下，減少嵌入成本。<a href="https://openai.com/blog/new-embedding-models-and-api-updates">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Visual Studio Copilot </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 命令 </span></strong></span></p> <p><span style="font-size:22px;"><strong>GitHub Copilot加入2大新功能</strong></span></p> <p>微軟更新Visual Studio Copilot聊天擴充套件，添加兩項新功能，第一項是可以指示Copilot執行特定工作的斜線命令（Slash Commands），另一項是上下文變數（Context Variables），開發者可使用符號#，在與Copilot對話中引用特定檔案。</p> <p>進一步來說，斜線命令是一個特殊命令，開發者在與Copilot聊天時，可用斜線命令要求Copilot對程式碼執行特定操作，像是「/doc」新增文件註解、「/explain」則要求Copilot解釋程式碼、「/fix」是要Copilot對所選取的程式碼提出修復建議等。而上下文變數功能，可讓開發者使用符號#，將解決方案中的檔案加入到與Copilot的對話中。當開發者直接引用檔案時，Copilot可存取該檔案內容，並針對該檔案提供更具體的回答，比如開發者可以詢問「#Main.c檔案的運作方式為何？」或「#Calculator.cs檔案的目的是什麼？」Copilot就會根據該檔案提供答案。<a href="https://devblogs.microsoft.com/visualstudio/copilot-chat-slash-commands-and-context-variables/">（詳全文）</a></p> <p><img alt="" src="https://devblogs.microsoft.com/visualstudio/wp-content/uploads/sites/4/2024/01/slash-commands-1-1024x459.jpg" style="width: 1024px; height: 459px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影片生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 時空擴散 </span></strong></span></p> <p><span style="font-size:22px;"><strong>可生成5秒高品質影片，Google揭露時空擴散模型Lumiere</strong></span></p> <p>Google最近發表一款影片生成模型Lumiere，是一種文字轉影片的擴散模型，可用來產生真實、多樣且動作連貫的影片。該模型使用時空U-Net（STUNet）架構，可一次生成完整的影片長度，不需經過多次處理。</p> <p>因為，該架構可在空間和時間上同時對訊號降採樣（Downsample），在更緊湊的時空表示中執行大部分運算。也因此，Lumiere能生成更長時間、動作更連貫的影片，可產生長達5秒的影片。Google表示，5秒影片的長度，已經超過大多數媒體作品中平均鏡頭的時長了。</p> <p>就運作流程來說，Lumiere會先由基礎模型在像素空間生成圖像草稿，再透過一系列空間超解析度（SSR）模型，來提高這些圖像的解析度和細節。同時，團隊還採用Multidiffusion方法，來解決SSR時窗不連續的問題，確保影片的一致性和連續性。<a href="https://lumiere-video.github.io/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/wxLr02Dz2Sc?si=gE206nfJlOwFGJEI" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>圖片來源／Google、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. <a href="https://twitter.com/OpenAI/status/1752391522081980855">ChatGPT用戶可在對話中呼叫GPTs</a></strong></p> <p><strong>2. <a href="https://twitter.com/AIatMeta/status/1752013879532782075">Meta釋出700億參數的程式碼生成模型Code Llama</a></strong></p> <p><strong>3. <a href="https://www.whitehouse.gov/briefing-room/statements-releases/2024/01/29/fact-sheet-biden-harris-administration-announces-key-ai-actions-following-president-bidens-landmark-executive-order/">美政府要求AI公司提交安全測試報告，雲端業者需通報外國AI客戶</a></strong></p> <p>資料來源：iThome整理，2024年2月</p> </div></div></div>
2024/2/5 18:24作者王若樸https://www.ithome.com.tw/news/161199
【資安日報】2月5日，知名遠端桌面連線軟體AnyDesk證實伺服器遭駭並撤換程式碼簽章
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來利用遠端桌面連線程式入侵受害電腦，已是駭客偏好的手法之一，但若是提供這類系統的業者遭駭，很有可能讓攻擊者取得大量帳密資料，並將其用於發動攻擊。</p> <p>上週末AnyDesk證實他們有伺服器遭到入侵，並尋求資安業者協助，進行這起事故的後續回應，雖然該公司強調他們尚未得知有使用者受到影響，但有資安業者發現駭客已在地下論壇兜售大量AnyDesk帳密，後續發展有待觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/anydesk-says-hackers-breached-its-production-servers-reset-passwords/"><strong style="font-size: 22px;">遠端桌面連線解決方案業者AnyDesk傳出遭駭，用戶連線帳密資料流入駭客論壇</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/gunter-born-anydesk-support-20240125.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/gunter-born-anydesk-support-20240125.png" style="width: 300px; float: right;" /></a>2月2日遠端桌面連線解決方案AnyDesk發布公告，他們在資安稽核的過程當中，發現產線系統（production systems）遭到入侵的跡象，該公司尋求資安業者CrowdStrike協助，進行補救及事件回應。他們撤銷所有與安全相關的帳密，並修復、更換受到影響的系統，該公司也註銷、更換原本用於簽署應用程式的程式碼簽章。該公司指出目前尚未出現用戶裝置受到影響的情況，並強調這起事故與勒索軟體無關。</p> <p>不過，這起事故發生之際，該公司也出現遠端連線服務中斷的現象，引發外界聯想是否有關。1月25日，有人向IT專家Günter Born投訴，自1月20日AnyDesk出現無法連線的情況，授權金鑰也無法使用，通報該公司客戶支援之後，所得到的回應是「伺服器連線異常」，而且，截至1月30日，AnyDesk網站仍然為維護狀態而無法使用。當時，該名專家呼籲用戶，應暫停使用這套遠端桌面連線軟體。在Günter Born公布AnyDesk連線異常的情況後，2月3日，他掌握德國聯邦資訊安全辦公室（BSI）向關鍵基礎設施業者提出警告的情報，2月4日，有2人向他透露，他們發現有人12月底疑似進行嘗試未經授權存取的跡象。</p> <p>而對於AnyDesk帳號資料外洩的情況，已有研究人員看到駭客在駭客論壇兜售相關資料。資安業者Resecurity指出，他們在2月3日看到多組駭客於網路犯罪論壇兜售AnyDesk帳密資料，其中使用匿稱為Jobaaaaa的駭客在暗網論壇Exploit上，聲稱握有1.8萬筆帳密資料。資安業者Hudson Rock根據他們的威脅情報平臺分析結果，認為這名駭客掌握超過3萬筆資料。</p> <p>資料來源</p> <p>1. <a href="https://anydesk.com/en/public-statement">https://anydesk.com/en/public-statement</a><br /> 2. <a href="https://www.borncity.com/blog/2024/01/25/strung-bei-anydesk-jemand-betroffen/">https://www.borncity.com/blog/2024/01/25/strung-bei-anydesk-jemand-betroffen/</a><br /> 3. <a href="https://borncity.com/win/2024/02/03/anydesk-hack-undercover-more-information-and-thoughts-part-2/">https://borncity.com/win/2024/02/03/anydesk-hack-undercover-more-information-and-thoughts-part-2/</a><br /> 4. <a href="https://borncity.com/win/2024/02/04/anydesk-hack-undercover-suspicious-cases-and-more-part-3/">https://borncity.com/win/2024/02/04/anydesk-hack-undercover-suspicious-cases-and-more-part-3/</a><br /> 5. <a href="https://www.resecurity.com/blog/article/following-the-anydesk-incident-customer-credentials-leaked-and-published-for-sale-on-the-dark-web">https://www.resecurity.com/blog/article/following-the-anydesk-incident-customer-credentials-leaked-and-published-for-sale-on-the-dark-web</a><br /> 6. <a href="https://www.linkedin.com/feed/update/urn:li:activity:7159893240748388352/">https://www.linkedin.com/feed/update/urn:li:activity:7159893240748388352/</a></p> <p><a href="https://securityaffairs.com/158329/cyber-crime/network-operators-credentials-found-in-dark-web.html"><strong style="font-size: 22px;">使用免費電子郵件信箱註冊身分釀禍？逾1,500臺網路作業人員的電腦感染竊資軟體，帳密資料流入暗網</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/b7f09ae28626e1ef086dddd18bc1dd17.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/b7f09ae28626e1ef086dddd18bc1dd17.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，1月3日西斑牙大型電信業者Orange Spain的歐洲IP位址網路資源協調中心（RIPE NCC）帳號遭到駭客挾持，從而破壞該公司的邊界閘道協定（BGP）及資源公錀基礎設施（RPKI）的配置，導致電信網路服務中斷。資安業者Hudson Rock著手調查此事，指出該電信業者的員工電腦於9月4日感染了竊資軟體Raccoon，而該名員工握有RIPE NCC的帳密，但現在有研究人員提出警告，類似的攻擊行動越來越多。</p> <p>資安業者Resecurity進一步針對暗網進行掃描，發現這裡還有區域網路資訊中心的使用者帳密遭到外洩，例如，亞太網路資訊中心（APNIC）、非洲網路資訊中心（AFRINIC）、拉丁美洲暨加勒比網路資訊中心（LACNIC），共通點是駭客藉由竊資軟體（Infostealer）來盜取相關帳密，總共有1,572個帳號受害，其中有45%用戶啟用了雙因素驗證（2FA），但不曉得帳密已經外流，另有16%察覺電腦感染惡意程式，從而變更密碼並啟用雙因素驗證；14%直到接獲通知才啟用雙因素驗證的功能。</p> <p>研究人員指出，他們發現大多數管理網路的IT人員使用免費電子郵件信箱註冊帳號，而有可能讓駭客更容易取得相關資料，進而發動大規模的網路攻擊。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/hacker-hijacks-orange-spain-ripe-account-to-cause-bgp-havoc/">https://www.bleepingcomputer.com/news/security/hacker-hijacks-orange-spain-ripe-account-to-cause-bgp-havoc/</a><br /> 2. <a href="https://www.infostealers.com/article/infostealer-infection-of-an-orange-employee-results-in-bgp-disruptions/">https://www.infostealers.com/article/infostealer-infection-of-an-orange-employee-results-in-bgp-disruptions/</a><br /> 3. <a href="https://www.resecurity.com/blog/article/hundreds-of-network-operators-credentials-found-circulating-in-dark-web">https://www.resecurity.com/blog/article/hundreds-of-network-operators-credentials-found-circulating-in-dark-web</a></p> <p><a href="https://unit42.paloaltonetworks.com/apateweb-scareware-pup-delivery-campaign/"><strong style="font-size: 22px;">研究人員揭露ApateWeb攻擊行動，駭客企圖散布恐嚇程式、PUP程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-132226-1.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-132226-1.jpeg" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露名為ApateWeb的大規模攻擊行動，駭客利用逾13萬個網域來散布恐嚇軟體（Scareware）、潛在有害軟體（PUP），或是將使用者導向詐騙網頁。他們發現自2022年8月這起攻擊行動升溫，而且，駭客架設的網站每個月有數百萬次點擊，以2023年11月為例，他們在74,711臺裝置封鎖了約350萬次這類連線。</p> <p>而對於這起攻擊行動的流程，研究人員指出，駭客先藉由電子郵件散布URL，若是收信人點選，電腦就會被駭客的集中化基礎設施（ centralized infrastructure）進行跟蹤（track），並回傳系統資訊給後端伺服器，然後分析這些資訊將收信人進行一系列的重新導向，最終投放前述的惡意程式，或是向他們顯示詐騙網頁。</p> <p>值得留意的是，為了迴避偵測，駭客採用多種措施，例如：駭客在電子郵件使用的URL當中加入特定的參數來進行驗證，若是有人直接存取駭客控制的網域，則會被重新導向到搜尋引擎或空白網頁；假如有機器人或爬蟲程式存取，會顯示內部伺服器錯誤的訊息。此外，攻擊者也濫用萬用字元DNS記錄（Wildcard DNS record），從而能夠利用隨機網域產生URL，來增加防禦方偵測的難度。</p> <p><a href="https://blogs.infoblox.com/cyber-threat-intelligence/cybercrime-central-vextrio-operates-massive-criminal-affiliate-program/"><strong style="font-size: 22px;">惡意流量引導系統VexTrio被用於針對逾7萬個網域發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/cybercrime-central-vextrio-operates-massive-criminal-affiliate-program-figure_1_vextrio_business_operation-v2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/cybercrime-central-vextrio-operates-massive-criminal-affiliate-program-figure_1_vextrio_business_operation-v2.jpg" style="width: 300px; float: right;" /></a>攻擊者滲透合法網站，植入惡意工具，從而將瀏覽網站的使用者導向惡意網頁的手法，先前有研究人員揭露使用名為Parrot TDS的工具來從事的攻擊行動，<a href="https://www.ithome.com.tw/news/150343">當時駭客控制逾1.6萬個網站來進行</a>，但類似的手法還有其他人馬運用，而且發展成極為龐大的網路犯罪生態圈。</p> <p>資安業者Infoblox揭露名為VexTrio的惡意流量導向系統（TDS），開發此系統的駭客組織與經營惡意程式ClearFake、SocGholish的團隊結盟，入侵逾7萬個網站，從而用於散布惡意程式、進行網路釣魚或是詐騙。</p> <p>研究人員指出，經營VexTrio的駭客自2017年開始提供租賃服務，透過VexTrio將瀏覽合法網站的使用者，導向買家指定的目的地，至少有60個駭客組織使用其服務，其中有部分持續租用VexTrio長達4年。特別的是，上述使用ClearFake、SocGholish駭客組織並未直接將流量導向VexTrio，而是先經過另一套名為Keitaro的TDS，才將流量導向VexTrio，但為何這些駭客要這麼做？研究人員並未說明。</p> <p><a href="https://securelist.com/new-macos-backdoor-crypto-stealer/111778/"><strong style="font-size: 22px;">鎖定Mac電腦的竊資軟體透過DNS記錄向受害電腦散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/macOS_backdoor_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/macOS_backdoor_01.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露假借提供macOS軟體破解程式的竊資軟體攻擊行動，駭客藉由盜版網站提供PKG檔案，宣稱是已破解的付費版應用程式，但背後的目的是部署竊資軟體。</p> <p>一旦使用者依照指示開啟名為Activator的破解程式，該應用程式就會要求輸入使用者密碼提供權限，然後呼叫AuthorizationExecuteWithPrivileges功能函數來執行Mach-O檔案，並確認電腦上是否具備Python 3程式庫，完成後從C2伺服器下載以Base64編碼的Python指令碼並執行，從而在受害電腦執行任意命令，表面上看起來成功破解付費軟體，而讓使用者降低戒心。</p> <p>接下來，駭客使用罕見的方式來產生C2伺服器的網域，他們使用兩組字串列表並加上5個隨機字母，來取得第3級的網域名稱而能夠進行通訊，然後在一段時間後下載另一個Python指令碼，從而在受害電腦植入竊資軟體。此惡意程式針對macOS Ventura以上版本的作業系統打造，企圖竊取Bitcoin Core和Exodus加密貨幣錢包。</p> <p><a href="https://therecord.media/ukraine-cyberattacks-energy-postal-transportation"><strong style="font-size: 22px;">烏克蘭能源、交通、郵政機構遭遇網路攻擊</strong></a></p> <p>根據資安新聞網站Recorded Future報導，1月25日烏克蘭多家國營的關鍵基礎設施傳出遭到網路攻擊，導致部分服務出現中斷。</p> <p>其中1個受害單位是石油天然氣公司Naftogaz，導致他們的網站及客服中心無法運作，該公司證實資料中心遭到攻擊；另1家受害的是郵政服務業者Ukrposhta，該公司執行長Igor Smelyansky證實，合作夥伴的資訊基礎設施夜間遭到攻擊，導致他們的服務中斷，該公司已恢復支付系統、使用者帳號存取權，以及API的運作。</p> <p>此外，也有交通運輸機構受害，分別是運輸安全監管局DSBT、國家鐵路局Ukrzaliznytsia，DSBT表示資料中心遭到攻擊，網站及名為Shlyah貨運邊境管制系統的運作受到衝擊；Ukrzaliznytsia指出因遭到網路攻擊，乘客無法線上購買部分車票。究竟上述事故的攻擊者身分為何？目前仍不得而知，名為國家網路軍隊（National Cyber Army）的俄羅斯駭客組織聲稱對DSBT出手。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://blog.qualys.com/vulnerabilities-threat-research/2024/01/30/qualys-tru-discovers-important-vulnerabilities-in-gnu-c-librarys-syslog"><strong style="font-size: 22px;">GNU C程式庫glibc存在弱點，有可能讓攻擊者取得root權限，多個版本Linux曝險</strong></a></p> <p>資安業者Qualys揭露GNU C程式庫glibc的本機權限提升（LPE）漏洞CVE-2023-6246，此為記憶體緩衝區溢位漏洞，出現於名為__vsyslog_internal()的功能函數，影響syslog()及vsyslog()兩項功能，攻擊者若是已存取非特權使用者的帳號，就有機會藉由發送偽造的輸入到使用特定事件記錄功能的應用程式，觸發漏洞並得到完整的root權限，CVSS風險評分為8.4。</p> <p>研究人員指出，這項漏洞是開發團隊在2022年8 月製作2.37版的過程中不慎引入，他們確認Debian 12、13版，Ubuntu 23.04、23.10版，Fedora 37至39版都存在這項弱點，並認為其他版本的Linux也可能曝險。</p> <p>研究人員也在上述的功能函數當中，找到CVE-2023-6779和CVE-2023-6780，並指出攻擊者利用的難度較高，他們也在qsort()功能函數找到漏洞，但尚未取得CVE編號。</p>  <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/lurie-childrens-hospital-took-systems-offline-after-cyberattack/"><strong><span style="font-size: 20px;">美國芝加哥兒童醫院Lurie遭遇網路攻擊，IT系統被迫離線</span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/clorox-says-cyberattack-caused-49-million-in-expenses/"><strong><span style="font-size: 20px;">針對去年9月遭遇網路攻擊，清潔劑製造商高樂氏損失4,900萬美元</span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/24/a/pawn-storm-uses-brute-force-and-stealth.html"><strong><span style="font-size: 20px;">俄羅斯駭客組織APT28發動NTLM中繼攻擊，鎖定全球企業組織高層下手</span></strong></a></p> <p><strong><a href="https://cert.gov.ua/article/6277422"><span style="font-size: 20px;">2千臺烏克蘭電腦遭到惡意軟體DirtyMoe、PurpleFox攻擊</span></a></strong></p> <p></p> <p><strong><a href="https://www.welivesecurity.com/en/eset-research/vajraspy-patchwork-espionage-apps/"><span style="font-size: 20px;">安卓木馬VajraSpy透過Google Play市集散布</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161155"><strong>【2月2日】美國下令聯邦機構限時切斷Ivanti Connect Secure與內部網路環境之間的連線並著手清查</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161129"><strong>【2月1日】Ivanti旗下SSL VPN解決方案的零時差漏洞在修補前傳出第2波攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161098"><strong>【1月31日】美國傳出針對中國駭客Volt Typhoon的攻擊行動採取反制並破壞其基礎設施</strong></a></p> </div></div></div>
2024/2/5 15:19作者周峻佑https://www.ithome.com.tw/news/161188
走向多元化的公有雲檔案服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/11681169qi_-feng_mian_gu_shi_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=KJdv5xsA" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這2年來，透過公有雲提供NFS/SMB檔案儲存服務，出現很大變化，除了各公有雲服務商的原生檔案儲存服務，湧現一大批基於第三方檔案系統的服務，為用戶提供了更多元化的應用選擇。</p> </div></div></div>
2024/2/5 16:38作者張明德https://www.ithome.com.tw/article/161195
【雲端原生平臺、老牌平臺雲端版、雲地混合同場較勁】公有雲檔案儲存服務進入百花齊放時代
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/11681169-feng_mian_-zhu_wen_-960-jpg-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過NFS、SMB/CIFS等協定的檔案傳輸，可說是企業IT最基本的儲存應用之一，不過，在公有雲環境提供的各式儲存服務中，檔案（File-level）類型的儲存服務，卻是最晚近才推出的一種。</p> <p>要在公有雲使用NIFS/SMB檔案儲存服務，早期的方式是由用戶自行為執行個體或虛擬機器安裝檔案系統平臺，扮演檔案伺服器角色，但存在建置、管理與擴充上的種種不便，逐漸由SaaS形式的檔案儲存服務取代，用戶只需按需選購檔案儲存空間服務即可，省下建置與管理的麻煩。</p> <p>公有雲的檔案儲存服務，就是以SaaS型式提供的雲端NAS儲存服務，可透過NFS、SMB/CIFS等標準的檔案存取協定，為公有雲執行個體或地端用戶提供檔案儲存空間。這雖然是一項非常基礎的儲存應用，問世時間卻相當晚。</p> <p>物件（Object-level）類型的公有雲儲存服務發展至今，已有15年以上歷史，區塊（Block-level）類型的公有雲儲存服務也有10年以上歷史，相較下，檔案類型的公有雲儲存服務推出至今，僅有6、7年，全面普及更是近5年的事情——直到2018年以後，各大公有雲服務商才總算各自備齊本身供應的檔案儲存服務。</p> <p>然而，為了因應用戶端不同的需求，公有雲檔案儲存服務接下來的發展，走進與另2種儲存服務截然不同的方向。</p> <p>公有雲物件與區塊儲存服務，都是在同一個服務架構下，透過不同的服務層級區分，因應各種應用需求，例如高效能型、低成本型等等。</p> <p>而公有雲檔案儲存服務除了同樣提供不同的服務層級，還提供了基於不同檔案系統的底層架構選擇，類型選擇遠比物件與區塊儲存服務更為多樣化。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>公有雲檔案儲存服務的多元化發展</strong></span></span></p> <p>2016年到2018年問世的第一波公有雲檔案服務，多是基於公有雲服務商自身發展的原生檔案服務平臺，例如，AWS的EFS（Elastic File System），Google Cloud的Filestore。</p> <p>近兩年多來，湧現了另一波基於第3方檔案系統平臺的公有雲檔案儲存服務，例如基於NetApp ONTAP儲存系統的Amazon FSx for NetApp ONTAP，以及Azure NetApp Files，基於Intel DAOS平臺的Google Cloud Parallelstore等，一口氣增加了十多種新的檔案儲存平臺。</p> <p>而這股風潮的起因，在於檔案儲存應用是個複雜、涵蓋面向極為廣泛的領域，不同用戶的應用情境往往天差地遠，難以透過單一平臺來滿足用戶端各式各樣的需求。</p> <p>舉例來說，多數檔案系統都是針對通用型應用而設計，不能應付有極端效能要求的工作負載，所以對特定的大規模或高效能運算（HPC）類型應用而言，需要搭配分散式或平行處理架構的檔案系統，然而這些高效能取向的檔案系統，資料服務功能卻往往相對貧乏。</p> <p>所以有高效能處理需求的用戶，無法選擇一般檔案系統，而需要特定資料保護或其他進階應用功能的用戶，則不適合選擇高效能的平行檔案系統。而這也意味著：沒有任何一套檔案系統平臺能通吃所有用途，涵蓋一般應用到大規模存取以至高效能應用等不同領域。</p> <p>其次，在檔案儲存應用領域，用戶對於檔案系統平臺存在著相對較高的路徑依賴，例如，用戶過去在地端環境熟悉使用某種檔案系統平臺，基於管理、使用，以及對於特定進階功能的熟悉與依賴，即便用戶轉移到雲端環境，往往也依然希望繼續使用同一種檔案系統。</p> <p>這也促使公有雲服務商們在原有原生檔案儲存服務外，又推出基於不同類型檔案系統的服務，以便盡可能涵蓋不同用戶的需求。</p> <p>另一方面，公有雲檔案儲存服務是個十分吸引人的市場，依照雲端檔案儲存服務商Nasui的簡報資料（2021年），公有雲檔案儲存服務年營業額可望達到150億美元，極為可觀，卻沒有任何檔案系統平臺獨占，因而也讓眾多廠商察覺蘊含的商機，進而被吸引，並且積極投入。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1168%2B1169-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87-600-V2.png" style="width: 559px;" /></p> <p><strong><span style="color:#696969;">由底層檔案系統平臺的發展脈絡來看，目前公有雲上的檔案儲存服務，可以分為基於公有雲服務商自身檔案儲存平臺，以及基於第3方廠商檔案儲存平臺等2大類，而後者又可分為由本地端檔案系統移植雲端，以及純雲端原生檔案系統等2類。</span></strong><span style="font-size:14px;"><span style="color:#696969;">資料來源：iThome整理，2024年2月</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>公有雲檔案儲存服務的類型區分</strong></span></span></p> <p>我們上次探討公雲檔案儲存服務，是在2020年底的封面故事「透視公有雲檔案儲存服務」，當時這個領域的發展還是相對單純，是以各大公有雲服務商旗下的原生檔案儲存服務為主。</p> <p>但時隔3年多，這個領域無論是產品類型還是數量，都已增加許多，已有不下20種服務，也變得更加複雜，</p> <p>因而我們這次改從產品發展脈絡，服務提供形式，以及平臺應用取向等3個方面，來解析這個領域當前的狀況。</p> <p><span style="color:#B22222;"><strong>產品發展脈絡</strong></span></p> <p>當前的公有雲檔案儲存服務，可分為專門針對雲端平臺發展的雲端原生檔案儲存平臺，以及由本地端檔案儲存平臺的雲端版本等2大類型。</p> <p><strong>● 雲端原生檔案儲存平臺</strong></p> <p>主要公有雲服務商的原生檔案儲存服務皆屬這類解決方案，如AWS的EFS、Azure File Storage，Google Cloud的Filestore，Oracle Cloud的File Storage，還有一眾新創廠商的雲端原生檔案儲存平臺，如Panzura的CloudFS，Nasuni的File Data Platform，Egnyte的Cloud File Server，以及LucidLink Filespace等。</p> <p><strong>● 本地端檔案儲存平臺的雲端版本</strong></p> <p>例如：Amazon FSx for Lustre、Amazon FSx for OpenZFS、Amazon FSx for NetApp ONTAP，這三者分別是以Lustre、OpenZFS，以及NetApp ONTAP等地端檔案儲存平臺，移植到AWS雲端環境而成。</p> <p>採取類似型式的解決方案，還有移植自Intel DAOS平臺的Google Cloud Parallelstore，以及移植自NetApp ONTAP平臺的Azure NetApp Files，移植自Dell PowerScale平臺的Dell Apex File Storage for AWS等。</p> <p>除此之外，有些著名的分散式檔案系統，如Qumulo的Qumulo Core、WEKA的WekaFS，VAST Data的Universal Storage，也都提供移植到公有雲的版本，它們同樣屬於這個類型。</p> <p><span style="color:#B22222;"><strong>服務提供形式</strong></span></p> <p>從服務提供形式來看，公有雲檔案儲存服務可以分為兩大類，一種由公有雲服務商直接提供，另一是由第三方廠商經由公有雲服務商的應用程式市集提供。兩者的差別，在於服務的建置者與訂閱管道不同。</p> <p>前者是公有雲服務商自建、自營，並直接提供用戶的服務。如AWS的EFS、Azure的File Storage，Google Cloud的Filestore，這類服務多半是基於公有雲服務商自身的原生檔案系統平臺而成，但也有基於第3方檔案系統平臺的形式，例如AWS的Amazon FSx系列，以及Azure的Azure NetApp Files。</p> <p>後者則是第三方廠商利用公有雲服務商的基礎設施資源建置，再透過公有雲市集提供給用戶訂閱。這類型服務的數量相當多，因為眾多新創廠商都是利用這種形式，向用戶提供檔案儲存服務，如Panzura、Nasuni、WEKA、VAST Data等，都同時透過AWS、Azure，或Google Cloud等公有雲平臺的市集，向用戶提供。</p> <p><span style="color:#B22222;"><strong>儲存平臺應用取向</strong></span></p> <p>從儲存平臺的應用取向，我們可以將當前的公有雲檔案儲存服務，區分為通用型與高效能型等2大類。</p> <p>絕大多數服務都是屬於通用類型，可適用多數用戶常見的工作負載需求。</p> <p>而一些分散式與平行處理架構的檔案儲存平臺，則是專門針對HPC應用類型工作負載而設的高效能型服務，例如：Amazon FSx for Lustre，Azure Managed Lustre、Google Cloud Parallelstore，以及WEKA WekaFS、VAST Data Universal Storage等，憑藉單一檔案系統就能提供百萬甚至數百萬IOPS等級的I/O效能，並為每個用戶端提供數十GB/s等級的傳輸吞吐能力。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>分眾化的多元服務選擇</strong></span></span></p> <p>無論何種類型的公有雲檔案儲存服務，目的都是為公有雲上的執行個體或虛擬機器，提供基於NFS或SMB的檔案存取服務，但除了這個共同點，在部署與管理架構、效能規格、附屬功能等方面，都存在很大差異。</p> <p>對於用戶來說，要從這許多公有雲檔案儲存服務做出選擇，我們認為首要的因素，便是對於相關技術的熟悉程度。若用戶原先在地端環境已有熟悉與習慣使用的檔案系統，當應用環境轉移到公有雲之後，自然是選擇使用基於同一種檔案系統的檔案儲存服務最為便利，無須更動原本的存取架構。</p> <p>如果用戶環境屬於雲地混合型態，那麼，一些提供混合雲應用架構的檔案儲存服務，如Azure File Storage、Amazon FSx for NetApp ONTAP，可以較便利地融合到用戶環境。</p> <p>假使用戶對於檔案系統的平臺沒有特別的習慣偏好或是功能需求，選擇公有雲服務商的原生檔案儲存服務最簡便，與公有雲平臺完全整合。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>公雲檔案儲存服務競爭趨於白熱化</strong></span></span></p> <p>幾年前，我們曾以為公有雲檔案儲存服務會像物件儲存服務，以雲端原生平臺為主。但經過一段時間發展下來，證明了單靠雲端原生平臺，並無法完全滿足用戶端多面向的複雜需求。</p> <p>這樣的局面，也促使許多發展多年的商用與開源的地端檔案系統平臺，紛紛移植到雲端，眾多新創廠商也為此發展新的檔案儲存平臺投入這個領域，促成公有雲檔案儲存服務戰國時代的到來。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1168%2B1169-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87-600-PNG.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"><span style="color:#FFFFFF;"> </span><a href="https://www.ithome.com.tw/article/161195" target="_blank"><span style="color:#FFFFFF;">相關報導 </span></a></span></strong></span><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/article/161195" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/11681169qi_-feng_mian_gu_shi_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=KJdv5xsA" style="width: 550px;" /></a></strong></span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2">公有雲</a></div><div class="field-item odd"><a href="/tags/%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">檔案儲存服務</a></div><div class="field-item even"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">公有雲檔案儲存服務</a></div></div></div>
2024/2/5 16:40作者張明德https://www.ithome.com.tw/tech/161191
【3大公有雲的檔案儲存服務1】AWS的SaaS檔案儲存服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/11681169-awsde_saasdang_an_chu_cun_fu_wu_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在主要的公有雲服務廠商當中，AWS是最積極擴展檔案儲存服務類型態度的，繼自身開發的EFS檔案儲存服務（Elastic File System），又透過Amazon FSx系列檔案儲存服務，引進多種第3方檔案儲存平臺。除此之外，在AWS線上市集（AWS Marketplace），也有多種第3方廠商提供的檔案儲存服務可供訂閱，讓用戶獲得極為豐富的檔案儲存應用形式選擇，總計有不下10種各自基於不同平臺的服務可選，類型也十分齊備，涵蓋辦公室檔案共享到HPC等各種應用取向。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>AWS嫡出的EFS檔案儲存服務</strong></span></span></p> <p>EFS是AWS自身的原生檔案儲存服務，可透過NFS 4.0與4.1協定，為AWS EC2執行個體、ECS與EKS容器，以及Fargate、Lambda運算服務，提供檔案儲存空間服務。</p> <p>EFS目前區分為3個層級：EFS標準、EFS不常存取、EFS封存，分別對應經常存取、較少存取，以及靜態保存資料，而且，3者的IOPS效能與傳輸率是相同的，都可提供最大數十萬IOPS與數GB/s等級的效能，彼此的主要差別在於存取延遲與成本，例如，EFS標準型可提供低於1 ms的延遲，EFS不常存取與EFS封存等2種類型，則均為雙位數ms延遲。</p> <p>EFS的用戶可選擇多區域部署、提高可用性，並且搭配跨區域的遠端複製，以及與AWS Backup服務的整合，進一步保護資料，也提供存取控制與加密（靜態與傳輸中），來確保資料安全，防止未授權存取。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Amazon FSx檔案儲存服務系列</strong></span></span></p> <p>FSx檔案儲存服務家族的陣容相當龐大，目前包含FSx for ONTAP、FSx for OpenZFS、FSx for Windows File Server，以及FSx for Lustre等4種，分別是基於ONTAP、OpenZFS、Windows Server，以及Lustre等檔案儲存平臺，可為ECS執行個體、ECS與EKS容器，提供基於NFS或SMB的檔案存取服務。</p> <p>其中的ONTAP，是企業儲存大廠NetApp所長期發展的多協定檔案系統，OpenZFS來自源遠流長、擁有良好口碑的ZFS檔案系統家族，Windows Server是Windows環境的標準檔案儲存平臺，Lustre則是HPC領域應用最普遍的高效能平行檔案系統。</p> <p>在FSx服務中，for ONTAP的儲存空間是由SSD主儲存層，以及硬碟容量池（capacity pool）組成，依照不同層級空間的使用容量，以及資料傳輸量計費，for Lustre同樣分為SSD與硬碟等2層，依不同效能層級的使用容量，以及資料傳輸量計費。for OpenZFS完全基於SSD，依空間使用量、SSD IOPS與資料傳輸量計費。for Windows File Server分為SSD層與硬碟層，依不同層級空間使用量、SSD IOPS，以及資料傳輸量計費。</p> <p>在部署方式上，for ONTAP、for OpenZFS，以及for Windows File Server這3種服務，都提供單區域，以及具備更高可用性的多區域部署，至於for Lustre，則提供基於單區域的持久性與臨時性等2種部署，前者的可用性較高。</p> <p>在效能方面，這4種FSx檔案儲存服務提供的效能等級都在EFS之上，全都擁有低於1 ms的存取延遲，以及10 GB/s以上的傳輸率，其中的for ONTAP、for OpenZFS與for Lustre，都擁有百萬IOPS等級效能，for Windows Server也有數十萬IOPS。</p> <p>在資料服務的功能供應上，FSx系列也比EFS更為豐富，資料保護方面，全部都整合了自動增量備份功能，除了for Lustre，其餘3種都提供快照功能，for ONTAP、for OpenZFS、for Lustre還提供遠端複製。另外4種FSx服務也都提供了AWS EFS服務所沒有的資料減量功能，而且，它們全都提供壓縮的功能，for ONTAP與for Windows Server這兩種服務還額外提供重複資料刪除功能。</p> <p>在安全性方面，AWS的FSx系列檔案儲存服務也都提供了存取控制，以及動態與靜態加密。至於for ONTAP，另外提供WORM一寫多讀與防毒整合功能。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>AWS市集中的檔案儲存服務</strong></span></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1168%2B1169-AWS%E7%9A%84SaaS%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99-600-%E5%A4%A7.png" style="text-align: center;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1168%2B1169-AWS%E7%9A%84SaaS%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99-600-%E5%B0%8F.png" style="width: 600px;" /></a></p> <p>除了AWS官方提供的EFS與FSx系列檔案儲存服務，用戶還能從AWS市集訂閱多種其他廠商提供的檔案儲存服務，其中較重要的包括WEKA、VAST Data、Dell、Qumulo、Panzura、Nasuni等廠商的服務，前2者屬於高效能應用取向，其餘屬於通用應用取向。</p> <p>WEKA的WEKA Data Platform是高效能、高擴展性的檔案與物件儲存系統，在AWS上的WEKA Data Platform是以EC2執行個體作為儲存節點，結合執行個體內含的NVMe儲存裝置，與S3物件儲存區，共同組成了儲存服務空間，目前可達到數百萬IOPS與數百Gbps效能，並提供快照、Snap to Object等資料保護功能，以及資料減量與加密功能，而在用戶計費方式上，則是依照NVMe與物件儲存空間使用量來認定。</p> <p>VAST Data Platform同樣也是強調高效能、高擴展性的檔案與物件儲存系統，並擁有資料減量、快照、物件不可變等資料服務功能，在AWS提供的環境上，他們的儲存服務是使用EC2執行個體來做為儲存節點，並提供基於固定容量月租，以及BYOL等2種授權形式版本。</p> <p>Dell在AWS上提供的檔案儲存服務，是源自PowerScale平臺的Dell Apex File Storage for AWS，不過並非採用一般的SaaS模式，而是基於TB容量的軟體授權，並且需要另外部署。</p> <p>Qumulo在AWS提供的File Storage服務，可支援檔案與物件儲存協定，並分為提供1 TB到30 PB彈性容量的版本，以及1 TB、12 TB、96 TB、103 TB、270 TB、809TB等固定容量授權的版本（其中1TB版本是基於SSD，其餘版本是基於SSD搭配硬碟的混合架構），透過EC2執行個體作為儲存節點，用於部署Qumulo儲存叢軟體，再結合EBS區塊儲存服務來提供儲存空間。</p> <p>Panzura的CloudFS是以取代傳統辦公室NAS應用、管理簡便為訴求的通用型檔案儲存系統，並提供基於不可變唯讀快照的資料保護機制。CloudFS在AWS市集有SaaS版本、BOYL模式版本，以及Gov Cloud政府雲版本等3種，其中SaaS版本又分為Archive、NAS、Collaboration等3種基本版本，各自對應不同等級的效能與容量需求。</p> <p>Nasuni File Data Platform同樣以取代傳統NAS與使用簡便為訴求，以Nasuni自身的UniFS檔案系統為基礎，提供專屬密集備份技術Continuous File Versioning。而在目前的AWS市集中，Nasuni有Essentials、Advanced與Premium等3種版本，均含20TB授權。</p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#FF8C00;"> 跨多雲的NetApp與Dell儲存平臺 </span></strong></span></span></p> <p><strong>檢視了各主要公有雲檔案儲存服務後，我們發現許多廠商都同時在3大公有雲平臺推出基於自身平臺的檔案儲存服務，其中有兩家一線儲存大廠的身影，特別引起我們注意，那就是NetApp與Dell。</strong></p> <p><strong>NetApp可說是最早致力於自身儲存平臺雲端化的一線儲存大廠，早在7、8年前就開始這方面的嘗試，將ONTAP儲存平臺移植到AWS，是地端企業級儲存系統雲端SaaS服務化的先驅。</strong></p> <p><strong>而且他們同時在AWS、Azure與Google Cloud等3大公有雲，提供基於ONTAP平臺的檔案儲存服務，包括AWS的Amazon FSx for NetApp ONTAP、Azure NetApp Files、Google Cloud NetApp Volumes，堪稱公有雲中最活躍的地端移植平臺。</strong></p> <p><strong>雖然這3種SaaS服務都是基於ONTAP平臺而成，但在服務架構與功能上，卻有著微妙的差別。</strong></p> <p><strong>以服務架構而言，Amazon FSx for NetApp ONTAP沒分級，完全依照用量計費。Azure NetApp Files與Google Cloud NetApp Volumes都分為3種效能層級。而功能方面，Amazon FSx提供的較為完整，不僅支援NFS與SMB存取，比起在Azure與Google Cloud供應的同類儲存服務，多了對iSCSI的支援，資料服務的部分，也額外提供資料縮減與WORM一寫多讀功能。</strong></p> <p><strong>繼NetApp後，Dell近兩年來也對儲存平臺的雲端服務化，展現十分積極的態度，以我們這次針對的檔案儲存SaaS服務來說，Dell便在AWS與Google Cloud，推出基於Power Scale平臺的檔案儲存服務，包括在AWS上的Dell Apex File Storage for AWS，以及在Google Cloud上的PowerScale for Google Cloud，可透過Power Scale的OneFS作業系統，提供類型豐富的檔案存取服務。</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%8E%E5%BE%B7-Cloud%20ONTAP%20%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-NetApp.png" style="width: 350px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>｜雲端服務化的NetApp ONTAP平臺｜積極推動儲存系統平臺的上雲轉型工程，NetApp同時在3大公有雲提供基於ONTAP平臺的檔案儲存服務，上圖為Amazon FSx for NetApp ONTAP檔案系統設定畫面。</strong><span style="font-size: 14px;">（圖片來源／NetApp）</span></span></p> <p><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><span style="color: rgb(255, 255, 255);"> </span><a href="https://www.ithome.com.tw/article/161195" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導 </span></a></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/161195" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/11681169qi_-feng_mian_gu_shi_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=KJdv5xsA" style="width: 550px;" /></a></strong></span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2">公有雲</a></div><div class="field-item odd"><a href="/tags/%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">檔案儲存服務</a></div><div class="field-item even"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">公有雲檔案儲存服務</a></div><div class="field-item odd"><a href="/tags/saas%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">SaaS檔案儲存服務</a></div><div class="field-item even"><a href="/tags/aws">AWS</a></div></div></div>
2024/2/5 16:40作者張明德https://www.ithome.com.tw/tech/161192
【3大公有雲的檔案儲存服務2】Azure的SaaS檔案儲存服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/11681169-azurede_saasdang_an_chu_cun_fu_wu_-960-jpg-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在三大公雲中，微軟Azure的SaaS檔案儲存服務的選擇多元性，居於中段，目前提供3種解決方案，包含Azure自身原生的Azure File Storage，基於NetApp ONTAP儲存平臺的Azure NetApp Files，以及基於Lustre檔案系統的Azure Managed Lustre。</p> <p>而在Azure的線上市集，也有非常多樣化的檔案儲存服務類型可選，包括WEKA、VAST Data、Qumulo、Panzura、Nasuni與LucidLink等廠商，都在這裡推出SaaS檔案儲存服務。另外，微軟也在此提供Avere vFXT for Azure儲存服務，用於檔案系統快取。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Azure本身發展的File Storage檔案儲存服務</strong></span></span></p> <p>Azure File Storage是Azure自身發展的雲端原生SaaS檔案儲存服務，可為雲端上的虛擬機器，或是地端的用戶電腦，提供基於SMB或NFS協定的檔案儲存空間服務。</p> <p>Azure File Storage的儲存空間目前分為4個層級：高階（Premium）、交易最佳化（Transaction optimized）、經常性存取（Hot），以及非經常性存取（Cool），分別對應I/O密集型、大量交易、一般通用，以及靜態保存等不同應用情境，其中的高階型，可提供10萬IOPS等級效能與10GB/s等級傳輸率，標準型則為2萬IOPS與7到14 GB/s傳輸率。對於個別檔案，另有最大60MB/s（標準型）與300MB/s（高階型）的傳輸率上限，高階型可啟用SMB多通道（multichanne）功能，將單一檔案傳輸率上限提高到1GB/s。</p> <p>不同服務層級的計費單位也存在著差異，例如，高階層級是依照用戶布建（provisioned）的容量計費，但毋須為讀寫存取與其他操作付費；其餘3種則是依照實際使用容量計費，但需額外針對存取與其他操作付費。</p> <p>Azure File Storage可搭配Azure的4種不同的分散複製備援模式來部署，包括本地端備援（LRS）、區域備援（ZRS）、異地備援（GRS），以及異地區域備援（GZRS），藉此獲得不同等級的可用性，另外還能搭配快照與Azure Backup備份服務，提供進一步的資料保護。</p> <p>在安全性方面，Azure File Storage提供存取控制、加密功能，以及與Microsoft Defender威脅偵測服務的整合。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Azure NetApp Files服務</strong></span></span></p> <p>Azure NetApp Files是基於NetApp ONTAP平臺而成的檔案儲存服務，可透過NFS與SMB協定，為用戶端應用程式提供儲存空間，搭配跨可用性區域的高可用性部署架構，提供系統失效容錯能力，再結合快照、遠端複製、備份等進階功能來保護資料，並搭配存取控制、加密與Microsoft Defender威脅偵測服務等安全性功能。</p> <p>Azure NetApp Files提供了標準、Premium、Ultra等3種效能等級，分別提供每1TB空間16MB/s、64MB/s，以及128MB/s的傳輸效能，標準級的上限是1.6GB/s，Premium級與Ultra級則是4.5GB/s（啟用large volume選可提高到6.5GB/s與10GB/s），而在I/O處理效能方面，Premium級與Ultra級都可提供45萬IOPS效能，標準級也有32萬IOPS。</p> <p>用戶能依照工作負載的變化，動態地變更服務等級。計費則是依照不同效能等級的空間使用量、不同頻率的遠端複製傳輸量來計算，若用戶使用備份還原功能，也需依資料容量計算月費。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Azure Managed Lustre服務</strong></span></span></p> <p>Lustre是HPC領域是最普遍運用的高效能平行檔案系統，透過Azure Managed Lustre服務，則能讓用戶在Azure環境快速建立Lustre檔案系統。</p> <p>Azure Managed Lustre是使用Azure的SSD區塊儲存服務空間，構成檔案系統空間，並且依照每TB傳輸率，分為4種效能等級：40 MB/s、125 MB/s、250 MB/s、500 MB/s，用戶也依照這4種效能等級的空間使用量付費。</p> <p>Azure Managed Lustre還能與Azure的Blob物件儲存服務整合，以便從物件儲存區匯入資料，或將不常用的資料匯出、放置到成本較低的物件儲存區。</p> <p>基本上，Azure Managed Lustre預設搭配Azure的本地端備援（LRS）機制，提供基本的可用性保護，用戶也可選擇更高階的區域備援（ZRS）或異地備援（GRS）來獲得更高的可用性。在安全性方面，這裡也提供基於網路安全群組的存取控制與加密。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Azure市集中的檔案儲存服務</strong></span></span></p> <p>除前述Azure原生檔案儲存服務，第三方儲存系統廠商，如WEKA、VAST Data、Qumulo、Panzura、Nasuni、LucidLink，也都在Azure市集提供各自的檔案儲存服務。</p> <p>同時，這些廠商（LucidLink除外）也在AWS市集上架同類檔案儲存服務。他們在AWS與Azure市集上架的同類產品，基本上大同小異，只有VAST Data與Qumulo具有較顯著的差異。例如，VAST Data在Azure只提供BOYL授權型式，不像在AWS還有固定容量月租型式；而Qumulo在Azure提供的服務，稱為Azure Native Qumulo Scalable File Service，計費方式有別於在AWS提供的Qumulo File Storage——前者依照不同容量級距與傳輸量計費，後者則依不同容量授權的節點版本計費</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Avere vFXT for Azure檔案快取</strong></span></span></p> <p>微軟在Azure市集還提供特別的Avere vFXT快取服務， Avere vFXT針對是支援HPC應用的高效能、可伸縮處理規模的檔案系統，支援NFS與SMB協定。相較於其他檔案儲存服務，在Azure平臺上，Avere vFXT本身的定位並非保存資料的檔案儲存空間，而是作為加速檔案讀取效能的快取，適合極大量讀取的應用。</p> <p>Avere vFXT for Azure會使用至少3臺虛擬機器組成儲存叢集，並將叢集節點配備的記憶體與固態硬碟做為快取空間，用戶可利用SMB或NFS協定將快取空間掛載給運算叢集。</p> <p>雖然Avere vFXT本身並不實際「儲存」資料，而只是「快取」資料，但是，用戶另外可搭配後端的Blob物件儲存空間，或用戶指定的儲存硬體，作為永久性存放檔案的空間。Avere vFXT本身也不需要授權費用，用戶主要是依照建立叢集使用的基礎資源來付費。</p> <p><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><span style="color: rgb(255, 255, 255);"> </span><a href="https://www.ithome.com.tw/article/161195" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導 </span></a></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/161195" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/11681169qi_-feng_mian_gu_shi_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=KJdv5xsA" style="width: 550px;" /></a></strong></span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2">公有雲</a></div><div class="field-item odd"><a href="/tags/%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">檔案儲存服務</a></div><div class="field-item even"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">公有雲檔案儲存服務</a></div><div class="field-item odd"><a href="/tags/saas%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">SaaS檔案儲存服務</a></div><div class="field-item even"><a href="/tags/azure">Azure</a></div></div></div>
2024/2/5 16:40作者張明德https://www.ithome.com.tw/tech/161193
【3大公有雲的檔案儲存服務3】Google Cloud的SaaS檔案儲存服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/11681169-google_cloudde_saasdang_an_chu_cun_fu_wu_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>相較<a href="https://www.ithome.com.tw/tech/161192" target="_blank">AWS</a>與<a href="https://www.ithome.com.tw/tech/161193" target="_top">Azure</a>，Google Cloud檔案儲存服務選擇明顯較少，但供應的類型仍算完整，包括自身原生開發的Google Cloud Filestore，基於NetApp ONTAP平臺的Google Cloud NetApp Volumes，還有針對HPC高效能應用、基於Intel DAOS平臺的Parallelstore，另外在Google Cloud市集，也同樣有多家廠商提供的檔案儲存服務可選。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Google Cloud原生檔案儲存服務</strong></span></span></p> <p>Google Cloud Filestore是Google原生的檔案儲存服務，分為基礎（Basic）、企業（Enterprise）、高可擴充性（High Scale）等3種等級，基礎級是搭配硬碟或SSD，其餘都是基於SSD。</p> <p>基礎級的效能水準是1,000 IOPS與180MB/s傳輸率（基於硬碟）或6萬IOPS與1.2GB/s傳輸率（基於SSD），企業級則為5.7萬IOPS與1.2GB/s傳輸率，高可擴充性等級則有96萬IOPS與26GB/s傳輸率。在各大公有雲目前提供的原生檔案儲存服務中，Google Cloud Filestore的高可擴充性等級，算是效能規格最高的一種。</p> <p>Filestore整合備份與快照作為基本的資料保護機制，也能搭配Google Cloud Console的複製指令執行遠端複製。在安全性方面，這裡提供了存取控制與加密功能。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Google Cloud第3方平臺檔案儲存服務</strong></span></span></p> <p>目前包括基於Intel DAOS平臺的Parallelstore，以及基於NetApp ONTAP平臺的Google Cloud NetApp Volumes，提供兩種選擇。</p> <p>Intel DAOS是與Lustre競爭的高效能平行儲存平臺，嚴格來說，DAOS本身更接近物件儲存系統，透過Parallelstore服務，則能讓用戶在Google Cloud環境中，迅速建立Intel DAOS儲存環境。</p> <p>而且，Parallelstore是以執行個體作為儲存節點，使用執行個體內含的NVMe SSD構成儲存空間，用戶端則透過DAOS API存取。目前Parallelstore是非公開的預先發布版狀態，尚未公布銷售與計費資訊。</p> <p>至於Google Cloud NetApp Volumes，則是ONTAP儲存平臺在Google Cloud的版本，分為標準、進階（Premium）、極端（Extreme）等3種效能等級，分別提供每TB空間16 MB/s、64 MB/s到4.5 GB/s，以及128 MB/s到4.5 GB/s的效能，可兼用於NFS與SMB存取，並結合完整的資料保護與安全性機制。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Google Cloud市集中的檔案儲存服務</strong></span></span></p> <p>目前在Google Cloud的市集當中，我們可以找到Dell、DDN、WEKA、Qumulo、Nasuni、Panzura、Quobyte等廠商的檔案儲存服務。</p> <p>其中WEKA、Qumulo、Nasuni、Panzura的服務，也同時在AWS、Azure平臺的市集上架。</p> <p>而Dell的PowerScale for Google Cloud，則是基於Dell PowerScale儲存平臺的雲端版本，類似於Dell在AWS上提供的Dell Apex File Storage for AWS。</p> <p>DDN的EXAScaler Cloud，則是DDN EXAScaler平臺的雲端化版本。EXAScaler 是高效能應用取向的檔案儲存系統，是以開源的Lustre檔案系統為基礎衍生發展而來，在Google Cloud上的雲端版本，是依照部署使用的VM數量，以及搭配VM的磁碟數量與容量來計費。</p> <p>至於Quobyte的File and Object Storage，則是兼具檔案與物件儲存功能的平臺，目前只提供BYOL授權形式。</p> <p><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><span style="color: rgb(255, 255, 255);"> </span><a href="https://www.ithome.com.tw/article/161195" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導 </span></a></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/161195" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/11681169qi_-feng_mian_gu_shi_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=KJdv5xsA" style="width: 550px;" /></a></strong></span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2">公有雲</a></div><div class="field-item odd"><a href="/tags/%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">檔案儲存服務</a></div><div class="field-item even"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">公有雲檔案儲存服務</a></div><div class="field-item odd"><a href="/tags/saas%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">SaaS檔案儲存服務</a></div><div class="field-item even"><a href="/tags/google-cloud">Google Cloud</a></div></div></div>
2024/2/5 16:40作者張明德https://www.ithome.com.tw/tech/161194
臺中市數位局主動出擊推智慧城市，3管齊下打造數位市民服務
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如何有效遏止空氣污染，是各大縣市府不斷面對的環境課題，也是城市治理的一大考驗。「我們和計程車業者合作，在大街小巷移動的小黃，就是我們的空污感測器！」臺中市數位治理局局長林谷隆說。</p> <p>因為，他們在合作的每一輛計程車行車記錄器旁，多設置一個感測器，能偵測前方車輛的排煙狀態、辨識車牌號碼，並與監理站聯手，來確認這輛車是否定期檢驗排氣，還能加上GPS即時定位資訊，來比對高污染車輛的行經位置和時間、發出排煙檢測通知給車主。一旦發現複檢不合格的車輛，車主就會被開罰，要求限期改善。</p> <p><span style="font-size:28px;"><strong>前年升為一級機關，設定3大目標</strong></span></p> <p>這不是臺中市政府第一次用新技術改善空氣品質。早在聯手計程車業者前，臺中市政府就已導入機車污染AI辨識系統，在特定路口電線桿上，各裝設2支監視器，除了用來抓超速車輛，也能全天辨識排煙異常的機車和車牌號碼，揪出高汙染的烏賊車、追出未定檢的車輛，發送到檢通知單。</p> <p>不只從路上下手，林谷隆指出，近年來，臺中市府還鎖定工廠等空污熱點，來建置空品微型感測器和微型風速風向計，結合了空氣品質感測器數據、測站氣象資料、臺中市內工廠資料、GIS等多種資料，打造出一套空品感測器物聯網平臺，能即時掌握空污熱點的空氣品質。只要偵測到特定物質過高，稽查人員就馬上出動，直擊現場並檢測，若超標就直接開罰。</p> <p>這些對抗空污的措施，正是臺中市數位治理局智慧治理的重要使命之一。因為，數位治理局在2022年12月25日成立之初，臺中市長盧秀燕就賦予了2大使命：智慧治理和推廣應用。其中，智慧治理是要讓市民更便利、資訊更加公開透明，比如提供數位化便民服務、推動遠距辦公、用科技執法揪出超速和烏賊車，推廣應用則要推廣數位市民平臺，整合更多功能，吸引更多民眾使用。</p> <p>為實現這兩大使命，林谷隆制定了3個戰略目標，首先是結合產官學研資源、極力發展臺中市智慧城市應用，再來是整合、優化市政府線上服務，最後是建構數位市民平臺臺中通。</p> <p><span style="font-size:28px;"><strong>目標1：AIoT發展智慧城市應用</strong></span></p> <p>臺中市府第一步先升級IT，在IT採購上，採「集中向上」模式，由數位治理局統一採購電腦、應用軟體、網路和資安設備等，不再像過去由各局處自行處理。這麼做，不只有大量採購可獲得較多授權版應用軟體，還能在源頭一次安裝完資安防護系統，如防毒軟體、GCB和資產軟體等，再分發給各局處使用。「資訊集中向上，資安也集中向上管理了！」林谷隆說。</p> <p>IT集中向上管理後，在智慧城市發展上，數位治理局主動出擊，協助各局處發展智慧應用。比如他們輔助環保局，開發一套河岸揚塵微型監測系統，裝設在大甲溪、大安溪河床上，能即時偵測塵土飛揚狀態。要是超標，就會自動啟動灑水，來降低揚塵影響。</p> <p>與環保局的合作不只如此，去年4月展開的靜城專案，他們結合了環警監聯合稽查，搭配聲音照相、智慧監錄和檢舉通報查緝等多種方法，來降低車輛噪音污染，半年後就查獲了上千輛違規改裝車，比前一年成效好上許多。</p> <p>用科技改善交通，也是智慧城市發展的重要環節。為解決臺中市車流壅塞問題，數位治理局還聯手臺中市交通局，在68處主要道路路口導入智慧動態號誌系統，即時計算各方向車流量，來分配適當的綠燈秒數，改善尖峰時段的塞車狀況。</p> <p>以五權西路為例，用路人從美術館經五權西路上國1南屯交流道車流，最多可節省約3分鐘車程，等於用路人可少停等1、2次紅燈，預估每年節省10萬公升汽油，可以減少近26萬公斤的碳排放量。接下來，他們還要擴大導入這套系統至其他45處路口。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1168%2B1169-CIO-%E6%8A%BD%E8%A8%80-RAW.jpg" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>目標2：整合優化市府線上服務</strong></span></p> <p>數位治理局的第二個目標是整合、優化市政府線上服務。他們盤點過去各局處各自進行的資訊化作業和大數據分析等應用，並集中處理，如彙整分析所需的資料、建置單一入口網站，來提供民眾一站式的市府線上服務。</p> <p>其中一大亮點是服務e櫃檯，這個單一入口網，整合了多達1,711件臺中市府機關各種臨櫃表單，近20種類別，另外還有600多項場地租借和近百項線上申辦項目。這個入口網每年的申辦次數，都超過了3萬次。</p> <p>在這個目標中，「整合」也意味著另一個重要任務：整併App。「我接任時，臺中市府App數量是14個，一年後只剩下10個，4個退場。」林谷隆指出，數位治理局是管理市府App的單位，每年會定期盤點各局處App，來衡量存續的必要性。</p> <p>他們衡量的標準很簡單，「市府App的主要目的是對市民提供服務，不全然取決於它的下載次數，而是對服務的族群，是否有其必要性。」他說。意思是，數位治理局不只透過盤點來找出功能重複或用量少、可淘汰的App，另也針對市民有需要但用量少的App，將其功能整併到其他App中，來淘汰原本功能單一的App。</p> <p>例如，臺中市府有支臺中友善公車App，專門提供低底盤公車資訊和預約候車資訊給所需民眾，但數位局協調交通局，將同性質的資訊整併至臺中公車App中，更簡便有效提供服務。另一個例子是中稅e把照App，它專門提供各種線上繳稅和查詢服務，但民眾只在繳稅期才會使用。當時恰逢地稅局建置線上AI客服系統，因此數位治理局建議，將中稅e把照App相關功能也納入，由地稅局手機也能瀏覽的新官網服務取代，又減少了一支App的維運負擔。</p> <p>面對成效不彰的市府App，他們還有另種解法。林谷隆表示，一支App每年至少需要20萬元資安檢測成本，和10幾萬元的維護費用，因此，數位治理局也開始針對成效不理想的App，來輔導相關局處採用網頁開發技術PWA或RWD，取代建置一整支App，來減少維護App的成本。</p> <p><span style="font-size:28px;"><strong>目標3：建置數位市民平臺臺中通</strong></span></p> <p>數位治理局的第三個目標是將2019年推出的臺中購物節App升級，整合多種市府服務，來轉型成為臺中通暨購物節App。林谷隆指出，這款App只在每年短暫活動時，民眾才會使用，但在2021年的下載量就達109萬次、會員數量大約70萬人，其中55%是臺中市民，很適合擴充發展為市政整合服務平臺。</p> <p>於是，2022年開始，數位治理局從經發局手中接下這款App系統維運，並擴大整合市府服務。為發展成全年度都能使用的數位市民服務平臺，他們還想出了幾種方法。</p> <p>首先是讓臺中通App採用單一帳號來串連各機關服務，讓民眾不必每次重覆填寫基本資料，或記憶多組帳號。同時，數位治理局也陸續將政府服務整合至App，如陳情整合平臺、服務e櫃臺、復康巴士預約等7項。</p> <p>再來是在App中提供加值服務，來提高市民用量。比如整合支付繳費通功能和多種支付工具，方便民眾在App中繳納各種政府規費，此外還整合虛實卡證，如串接圖書館系統，可用來借書。另還有專屬QR Code，能結合網路報名和身分認證，進行簽到退等功能。</p> <p>同時，他們還納入各機關的服務資訊的快速查詢，像是樂齡服務、補助津貼、空氣品質等，去年還介接了敬老愛心卡點數查詢、水情資訊等服務。為吸引更多民眾使用，這款App還提供300多家特約商店的優惠功能，讓持數位市民虛擬卡的民眾享有折扣或優惠。接下來，他們還要將臺中通App的特約店家範圍，擴大到中臺灣地區，如南投，來促進周邊經濟發展。</p> <p>整合如此多功能的臺中通，就像是一支超級App，民眾在單一平臺就能享有各種市政服務。但數位治理局也發現，在整合多項服務至單一App的過程中，也面臨了功能過多、使用體驗不佳的挑戰。因此，他們在去年開始優化UI和UX，將常用或重要功能重新分類、調整版位，來引導民眾找到所需功能。</p> <p><span style="font-size:28px;"><strong>主動出擊，協助各局處發展IT創新和應用</strong></span></p> <p>話鋒一轉，林谷隆坦言，一開始要執行這3大戰略目標並不容易。</p> <p>因為，「數位治理局原本是臺中市政府資訊中心、屬於二級機關，扮演幕僚角色，專門支援其他局處的需求，如協助採購、開發IT應用等。」但，2022年底升級為數位治理局後，「我們成為一級機關，必須要轉變心態，從幕僚角色轉為主動出擊，來規畫、管理臺中市府的IT發展和智慧應用。」前述的空污IoT應用、整併優化市府App，都是數位治理局主動出擊的成果。</p> <p>尤其，數位治理局是臺中市府智慧感測的推動組織，每年盤點各局處智慧感測應用的面向，比如去年有7個局處要發展20個應用，今年則成長到8個局處、32個應用。數位治理局會根據這些數據，來主動出擊，協助這些局處發展智慧應用，甚至去了解未提出應用的局處，共同討論出可行方案，來加速發展新技術。比如，他們就與臺中市勞工局合作，發展一套AI求職建議功能，可根據使用者求職類別和臉型，來推薦適合的穿搭與妝容，甚至還有應試建議。</p> <p>林谷隆認為，智慧感測是推動智慧城市的重要基礎。因為藉由智慧感測應用，才能蒐集資料、優化網路設備、發展後端分析、前端應用和治理，累積智慧化經驗。接下來，數位治理局還要以擬定智慧感測推動框架或指引方式，來要求局處按目標編預算、落實智慧感測應用，推進智慧城市發展。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>臺中市政府數位治理局局長林谷隆</strong></p> <p>學歷：東海大學政治學系博士畢業</p> <p>經歷：曾任臺中市府研究發展考核委員會專門委員、臺中市工商發展投資策進會副總幹事等職，2019年進入臺中市政府服務，2022年12月起擔任臺中市數位治理局首任局長，要加速推動臺中市智慧城市發展，現兼任臺中市政府青年事務諮詢委員、東海大學兼任助理教授等職</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/32_(%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)%E8%87%BA%E4%B8%AD%E5%B8%82%E6%94%BF%E5%BA%9C_20240112.jpg" style="width: 250px;" /></p> <p><strong>臺中市政府數位治理局</strong></p> <p>地址：臺中市西屯區臺灣大道三段99號</p> <p>網址：<a href="http://www.taichung.gov.tw">www.taichung.gov.tw</a></p> <p>成立時間：2022年12月25日</p> <p>主要業務：以便民、效率、共創為願景，推動臺中市政府數位服務發展，如數位服務、數位行政、開放資料、軟硬體資源整合的資安管理等</p> <p>員工數：30,418人（不含學校）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 數位治理局檔案 </span></strong></span></p> <p>直屬主管：林谷隆</p> <p>局處名稱：數位治理局</p> <p>局處人數：64人</p> <p>局處分工：分創新服務科、數位匯流科、整合應用科、系統規畫科</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2005年：臺中縣政府成立資訊處</p> <p>●2007年：臺中市政府計畫處成立資訊科</p> <p>●2010年：臺中縣市合併成立資訊中心</p> <p>●2017年：開始建置空品感測器物聯網平臺</p> <p>●2019年：開始建置臺中購物節App</p> <p>●2020年：啟用機車污染AI辨識系統</p> <p>●2022年：資訊中心升格為數位治理局，管理臺中市府內部智慧感測應用推動業務；開始規畫數位市民平臺臺中通App；上線疫苗預約系統；啟動靜城專案</p> <p>●2023年：辦理ChatGPT講座和進階資安課程，推動區域資安聯防；首次辦理紅藍軍攻防演練；啟用新版資料開放平臺；優化臺中通App，新添虛擬市民卡</p> <p>●2024年：預計對外服務頻寬可提高三倍達到600Mbps</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/11681169-cio-960.jpg" width="960" height="420" alt="" title="臺中市政府數位治理局局長林谷隆　（攝影／洪政偉）" /></div></div></div>
2024/2/5 17:06作者王若樸https://www.ithome.com.tw/people/161196
Hugging Face開源可客製化的AI助理Hugging Chat Assistant
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有AI界GitHub之稱的<a href="https://twitter.com/_philschmid/status/1753429249363452274" target="_blank">Hugging Face上周五（2/2）發表了Hugging Chat Assistant</a>，允許使用者自行打造客製化的AI助理，如同OpenAI於去年11月所推出的<a href="https://www.ithome.com.tw/news/159668" target="_blank">ChatGPT客製化版本GPTs</a>，同時，<a href="https://huggingface.co/chat/assistants" target="_blank">Hugging Face也建立了類似GPT Store的客製化AI助理分享平臺</a>。</p> <p>Hugging Face技術負責人Philipp Schmid表示，Hugging Chat Assistant可用來建立個人化的Hugging Face聊天機器人，得以客製化名稱、角色與描述，且支援所有開放的大型語言模型（LLM），諸如Llama2 或Mixtral，還能客製化系統訊息以控制機器人的行為，也能設定不同的訊息起始語。</p> <p>專門協助企業導入生成式AI應用的GenDojo.ai創辦人<a href="https://twitter.com/AI_NewsWaltz/status/1753488198758527311" target="_blank">Mathieu Trachino比較了Hugging Chat Assistant及GPTs的差別</a>，指出Hugging Chat Assistant可以任選各種模型，從Mixtral、Llama2到OpenChat與Hermes，而且它是免費的，還能跟任何人分享自己設計的聊天機器人。</p> <p>不過，Hugging Chat Assistant目前仍為測試版，尚未具備檢索增強生成（Retrieval-Augmented Generation，RAG）能力，也無法搜尋網頁或是透過AI來生成聊天機器人的圖像。</p> <p>至於GPTs雖然已是正式版，而且支援RAG及圖像生成，但有模型上的限制，也只有ChatGPT Plus與ChatGPT Enterprise等付費會員才能使用。</p> </div></div></div>
2024/2/5 15:34作者陳曉莉https://www.ithome.com.tw/news/161190
雲原生當道，下雲也是一種選項
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上雲是許多企業IT現代化的主流選擇，但是，有一家SaaS服務商，竟然反其道而行，在一年多前宣布大舉「下雲」，引起了科技圈熱烈討論。大家都在看，他們能不能做到？</p> <p>這不是一家新創或小公司，而是25歲的全球知名專案管理工具商37signals，代表作是2003年推出的專案管理工具Basecamp，2013年時，還獲選為當年全球最受歡迎的專案管理App，管理多達8百萬個專案。</p> <p>Basecamp持續發展，2022年推出了第四版，超過10萬家企業採用，用戶數超過350萬人，分散在全世界，美國用戶約占4成，其他在加拿大、印度、英國、菲律賓都有不少用戶。2024年初，Basecamp每個月流量超過1,500萬人次。這是一個相當活躍，且受到許多企業重用的工具。甚至，13年沒有更新的舊版Basecamp Classic，仍有數萬名用戶，每年貢獻營收破百萬美元。</p> <p>為什麼37signals要下雲？最大理由就是上雲費用太高。光在2022年，他們就付了320萬美元，相當於臺幣1億元的高價，230萬美元用於AP上雲的各種費用，另外90萬美元則是支付8PB龐大用戶資料的S3雲端儲存帳單。他們在2年前推出的郵件服務Hey，這個完全由雲端服務打造的雲原生產品，一年上雲成本也高達臺幣3千3百多萬元。</p> <p>37signals已經想盡辦法精打細算，優化產品架構，訂長約爭取更好的雲端價格折扣，每個月檢討上雲帳單，將原本一年超過6百萬美元的雲端預算，減少到只花了一半，但他們還是覺得太貴。</p> <p>37signals技術長也是RoR之父DHH認為，37signals旗下產品的用量和用戶都穩定成長，已經享受不到上雲的兩大好處，簡化複雜性和因應不確定爆量的特性，都不再適用現在的37signals。DHH比喻，為了因應爆量的可能性而付出龐大的代價，就像沒有住在斷層帶，卻要付出房價四分之一的地震保險費，「這個代價一點都不成比例。」所以，他們決定下雲。</p> <p>37signals原本就有兩座租用的實體機房，各有4個機櫃共上百臺伺服器。在2023年，37signals花了60萬美元添購了20臺Dell伺服器，部署到實體資料中心中，順利將雲端產品所用的相關AP服務，都轉移到地端接手，省下了230萬美元的雲端AP服務費用。</p> <p>DHH預估，扣除付給資料中心代管業者每年72萬美元的費用，以伺服器5年攤提年限來估算每年攤提12萬美元，兩者約84萬美元，一年可節省約150萬美元，下雲後，若預留50萬美元作為預備金額度，未來5年可省下700萬美元，約臺幣2.1億元的上雲費用。</p> <p>當然，37signals的下雲之路，沒有DHH想像中的容易，原本他們想直接在地端部署K8s環境來複製同樣的雲端執行環境，但因商用K8s管理軟體要價不菲，落地後的架構也太複雜，後來，他們乾脆不用K8s，以Docker技術為主，自己開發了一款可在裸機上快速部署和管理容器化Web應用的工具Kamal，開源釋出，甚至不只Rails應用，還可以用來部署各種Web應用，還能在雲端環境中使用。</p> <p>37signals的下雲之路，還沒有結束，剩下8PB的龐大用戶資料，還在雲端，這是他們2024年最大的目標，完成最後這個部分的搬遷。下雲之後，也出現了新挑戰，他們得自己面對全球性服務的支援挑戰。為了Hey郵件服務，他們考慮在歐洲租用新的資料中心據點，正在進行測試。</p> <p>25歲的37signals，仍有一股勇於冒險的新創精神。他們的下雲旅程，不見得適用每一家企業。不過，37signals提供了一場很好的示範，值得大家參考。</p> <p>雲原生當道的時代，上雲是趨勢，但，下雲也可以是一種選項。</p> <p><a href="https://www.ithome.com.tw/article/161185" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1167-feng_mian_gu_shi_-p1_open-dou_zi_-960x420_kao_bei_0.jpg?itok=pzq16FIV" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/37signals">37signals</a></div><div class="field-item odd"><a href="/tags/%E4%B8%8B%E9%9B%B2">下雲</a></div><div class="field-item even"><a href="/tags/dhh">DHH</a></div></div></div>
2024/2/5 14:33作者王宏仁https://www.ithome.com.tw/voice/161186
Khronos更新Vulkan Video編碼擴充添加AV1解碼功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Khronos的Vulkan工作組在新發布的Vulkan 1.3.277版本中，添加<a href="https://www.khronos.org/blog/khronos-releases-vulkan-video-av1-decode-extension-vulkan-sdk-now-supports-h.264-h.265-encode">AV1解碼功能</a>，在Vulkan Video擴充套件的基礎，讓建立在其上的引擎和應用程式，能夠擁有跨平臺可移植且高效能的AV1解碼能力。</p> <p>Vulkan本身是一個跨平臺圖形和運算API，提供高效能且低延遲圖形渲染和運算功能，而Vulkan Video為Vulkan API的一部分，提供開發者對於影片編碼和解碼處理的硬體加速功能，支援包括H.264/H.265等多種影片格式，在支援Vulkan的多平臺環境中，進行高效能影片處理。</p> <p>而AV1是一種免費的影片編碼格式，能夠透過網路以低資料量傳輸高品質的影片。由開發媒體聯盟（Alliance for Open Media，AOM）所開發，目標是要以比H.264/H.265更好的編碼效率，成為下一代網路影片的標準。AV1適用於4K和8K影片，可以在相同位元率下提供更好的影片品質，或在維持相同影片品質的條件下，降低資料使用量。</p> <p>GPU製造商陸續開始支援AV1解碼，AMD目前在Windows的Beta驅動程式，已支援H.264/H.265編碼與AV1解碼功能，Nvidia則在Windows和Linux的Beta驅動程式都已經支援AV1解碼，即將推出的正式驅動程式版本，除了既有的H.264/H.265之外，也會添加AV1解碼支援。英特爾的Windows驅動程式同樣也規畫納入AV1解碼支援。</p> </div></div></div>
2024/2/5 15:09作者李建興https://www.ithome.com.tw/news/161187
目標5年省2億！37signals下雲記
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1167-feng_mian_gu_shi_-p1_open-dou_zi_-960x420_kao_bei_0.jpg?itok=pzq16FIV" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年10月，RoR之父DHH突然宣布，雲端太貴，37signals決定全面下雲！全球10萬家企業、350萬人愛用的專案管理軟體從此不再上雲，2023年6月，順利改靠2座機房接手每月1500萬人次的流量。為何他們要下雲？又如何成功下雲？</p> </div></div></div>
2024/2/5 13:22作者王宏仁https://www.ithome.com.tw/article/161185
4U機箱可容納68臺或92臺硬碟，HPE翻新巨量儲存伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_alletra_storage_server_4140_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想要在有限機架空間安裝最多臺硬碟的儲存伺服器，外形總是引人注目，我們過往最常報導的高儲存密度組態產品大多是1U尺寸，搭配體型相當迷你的EDSFF E1.S外形固態硬碟，例如我們近期介紹的<a href="https://www.ithome.com.tw/review/161025">Supermicro SSG-121E-NES24R</a>、去年介紹的<a href="https://www.ithome.com.tw/review/159055">技嘉S183-SH0</a>，可分別安裝24臺、32臺E1.S固態硬碟，另一款<a href="https://www.ithome.com.tw/review/159695">HPE Alletra Storage Server 4110</a>，可容納20臺E3.S或2.5吋固態硬碟。</p> <p>若採購容納大量3.5吋硬碟的伺服器，廠商推出的這類產品通常會搭配4U尺寸以上的機箱。例如，六、七年前我們曾報導<a href="https://www.ithome.com.tw/review/106181">HPE Apollo 4510 Gen9</a>，能裝載68臺3.5吋硬碟（機箱內部、頂部抽取60臺，加上機箱背部8臺）；Seagate在2020年曾推出<a href="https://www.ithome.com.tw/review/139143">Exos AP 4U100、Exos AP 5U84</a>，顧名思義能在4U機箱容納100臺3.5吋硬碟，以及在5U機箱容納84臺3.5吋硬碟；Dell在2021年發表<a href="https://www.ithome.com.tw/review/146173">PowedEdge XE7100</a>，能在5U機箱容納100臺3.5吋硬碟。</p> <p>而在這一年以來，隨著英特爾、AMD發表新一代伺服器處理器，去年底，市面上終於出現採用上述運算平臺，以及搭配大尺寸機箱、高儲存密度組態的新款伺服器，也就是我們接下來所要介紹的HPE Alletra Storage Server 4140。</p> <p>這款設備搭配4U尺寸機箱，最多可容納68臺或92臺3.5吋SAS或6G SATA介面的硬碟，而且如同上一代產品Apollo 4510 Gen10，提供兩個可從機箱前方抽出的硬碟儲存槽模組，如同兩個可容納大量硬碟的巨大抽屜，若要插拔這些硬碟，可先拉出其中一個抽屜，再逐一進行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE 4140-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%204140-3.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%204140-4B.jpg" style="width: 298px;" /></p> <p>就單臺硬碟而言，目前此產品最大可搭配20 TB容量12G SAS或6G SATA介面的款式，因此，整臺伺服器儲存空間可逼近1.8 PB（1,840 TB）。Alletra Storage Server 4140也能搭配3.5吋外形固態硬碟，目前可搭配7.68 TB容量的讀取密集型24G SAS款式、960 GB容量的混合用途型12G SAS款式，或960 GB容量的讀取密集型6G SATA介面款式。</p> <p>在產品適合的用途上，HPE表示，Alletra Storage Server 4140可支援大大型資料集分析、大型資料湖、需快速復原的備份、視訊監控、醫療影像、物件儲存與主動歸檔、法規遵循與電子蒐證（e-discovery）。</p> <p>關於儲存容量的組態配置，Alletra Storage Server 4140提供兩種款式：基礎型機箱最大可搭配68臺3.5吋硬碟，深度為860.94公釐；延伸型機箱則是能容納到92臺3.5吋硬碟，深度為1076.94公釐。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%204140-2.jpg" style="width: 600px;" /></p> <p>若需要用大量硬碟混合少量NVMe固態硬碟的混合儲存配置，這款儲存伺服器的基礎型與延伸型款式，可分別改為60臺、84臺3.5吋硬碟，硬碟儲存容量能達到1,200 TB、1,680 TB，並在機箱背部安裝8臺EDSFF E3.S固態硬碟，或是4臺2.5吋NVMe固態硬碟——目前最大均可搭配15.36 TB容量的固態硬碟，因此，上述兩種NVMe儲存配置，容量可分別達到122.88 TB與61.44 TB。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%204140-5.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%204140-6.jpg" style="width: 600px;" /></p> <p>在運算平臺的配置上，HPE不僅比照ProLiant Gen11系列，升級這款巨量儲存伺服器的CPU、記憶體、I/O、安全性之餘，也調整部分規格。</p> <p>例如，Alletra Storage Server 4140改為單節點伺服器，搭配2顆英特爾第四代Xeon Scalable系列CPU，最高可用32核心款式；記憶體支援DDR5-4800，頻寬提升50％，可安裝24支；I/O介面支援PCIe 5.0，伺服器本身也內建HPE新一代遠端管理平臺iLO6，可提供矽信任根，支援DMTF發展的硬體元件完整性驗證標準SPDM。</p> <p>舉例來說，若用戶決定Alletra Storage Server 4140採用混合儲存組態，並且在機箱背部安裝E3.S固態硬碟，此時可搭配PCIe 5.0介面的三星PM1743，存取頻寬可提升至兩倍以上，而且這款裝置支援SPDM，可配合安全性的要求。</p> <p>而在儲存控制器的搭配上，這款伺服器可選擇採用HPE SR932i-p Gen11，最多可安裝4張，不僅支援24G SAS、6G SATA、NVMe等三種介面的硬碟儲存裝置，也能使用SPDM進行硬體元件認證。</p> <p>遠端管理功能方面，Alletra Storage Server 4140也比照ProLiant Gen11系列伺服器，可搭配系統管理平臺軟體HPE OneView進行多臺設備的資產管理、運作狀態監控、發送警示、產生統計報告，而對於這幾年主打的IT即服務GreenLake，這款伺服器也支援其中的GreenLake for Compute Ops Management，可透過這個由HPE營運的雲端原生伺服器管理平臺，以簡化與自動的生命週期管理等功能，統一執行多臺Alletra Storage Server 4140的集中控管（包含韌體）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE 4140-7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%204140-7.jpg" style="width: 398px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%204140-8.jpg" style="width: 198px;" /></p> <p>相較之下，上代機型Apollo 4510 Gen10本身是雙節點伺服器，每臺節點搭配2顆英特爾第二代Xeon Scalable系列CPU，最高可用24核心款式，記憶體支援DDR4-2933，可安裝16支，I/O介面為PCIe 3.0，搭配的遠端管理平臺為iLO 5，而在硬碟組態方面，最大能安裝60臺3.5吋硬碟與2臺2.5吋硬碟。</p> <p>以3.5吋硬碟而言，Apollo 4510 Gen10可搭配60臺20 TB容量的12G SAS或6G SATA硬碟，最多提供1200 TB儲存容量；60臺1.6 TB容量的12G SAS固態硬碟或7.68 TB容量的6G SATA固態硬碟，最多提供96 TB或460.8 TB儲存容量。</p> <p>就2.5吋硬碟而言，Apollo 4510 Gen10可搭配2臺2.4 TB容量的12G SAS或2TB容量的6G SATA硬碟，最多提供4.8 TB或4 TB儲存容量；2臺7.68 TB容量的NVMe固態硬碟或15.36 TB容量的12G SAS 固態硬碟，最多提供15.36 TB或30.72 TB儲存容量；2臺3.84 GB容量的6G SATA固態硬碟，最多提供7.68 TB儲存容量。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>HPE Alletra Storage Server 4140</strong><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：4U<br /> ●儲存容量：<br /> 基礎款式<br /> 68臺3.5吋SAS/SATA硬碟；<br /> 60臺3.5吋SAS/SATA硬碟，機箱背部可安裝8臺E3.S固態硬碟；<br /> 60臺3.5吋SAS/SATA硬碟，機箱背部可安裝4臺2.5吋NVMe固態硬碟；<br /> 延伸款式<br /> 84臺3.5吋SAS/SATA硬碟，機箱背部可安裝8臺E3.S固態硬碟<br /> 84臺3.5吋SAS/SATA硬碟，機箱背部可安裝4臺2.5吋NVMe固態硬碟<br /> 92臺3.5吋SAS/SATA硬碟；<br /> ●I/O介面：PCIe 5.0 x16（4個全高半長、2個OCP 3.0插槽）<br /> ●網路埠：可搭配網路卡類型，包括單埠（100GbE）、雙埠（10GbE、10/25GbE、100GbE）、4埠（GbE、10/25GbE）；OCP 3.0網路卡，包括：雙埠（10GbE、10/25GbE、100GbE）、4埠（GbE、10GbE、10/25GbE）<br /> ●處理器：2顆第四代Xeon Scalable（可搭配32核心的款式）<br /> ●記憶體：24個DDR5-4800 RDIMM，最大可擴充至1.5 TB（24支64 GB）<br /> ●儲存控制器：Smart Array E208e-p SR Gen10、SR932i-p Gen11<br /> ●電源供應器：4臺（1000瓦、1600瓦、1800至2200瓦）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/2/4 11:35作者李宗翰https://www.ithome.com.tw/review/161174
【靠Docker自動部署，部署新版Hey只要20秒】不只下雲還去K8s，37signals自行打造全新Web部署工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>多年前，當37signals開始上雲時，先將資料中心上的應用，搬遷到AWS ECS上，使用Docker來部署容器化的應用，後來，因為ECS靈活度不敷需求，改用Google Cloud的GKE，開始嘗試Kubernetes，又因網路控制的考量，改用AWS的EKS，在雲端Kubernetes環境中執行相關的應用。</p> <p>因為大部分AP早已是容器化的應用，而且都是命令列執行的應用，所以，一開始規畫下雲時，37signals想直接在本地端機房部署一套Kubernetes環境，取代原本所用的AWS EKS，來保留多年發展的技術成果，只需要將原本的工具指向新的本地端環境。</p> <p>但是，本地端商用K8s管理工具的軟體授權和相關支援費用，比37signals預期中的費用更高，例如有家開源軟體商一開始報價高達200萬美元，而且再加上AP維運管理相關的配套機制很多，也高度依賴許多後端服務。</p> <p>一支Rails應用（37signals的AP都是Rails應用）不只是AP的執行，還包括了搭配的輔助工具和機制，相關身分驗證和儲存管理機制，相關的IaC（基礎架構程式碼化）的程式碼等。這些配套的管理機制也需要同樣搬遷到本地端，一一調整或重建，這不只是複製貼上那樣簡單的過程，而是一個高度複雜的任務。</p> <p>所以，37signals後來決定，不只下雲（de-Cloud），還要去K8s（de-K8s），不在本地端部署K8s來管理相關的容器工作負載調度，改直接使用Docker技術為主，自己打造一套容器化應用的調度管理工具，更極致的簡化基礎設施架構的配置管理，也趁機升級到最新版的Chef，從新設計了整套AP的部署和維運流程。37signals先從架構最簡單，沒有付費用戶的Tadalist，來導入新的部署工具和維運流程。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>以Docker為基礎，打造全新Web應用部署工具</strong></span></span></p> <p>他們落地到本地機房後的新技術架構，使用KVM來提供虛擬機器，來分割實體伺服器的運算資源，再透過Docker來執行容器化的Web應用。</p> <p>為了簡化本地端的部署，37signals打造了全新的Web應用部署工具。</p> <p>早在2005年，37signals為了執行Basecamp，就打造了一款部署工具Capistrano，可以將一隻應用快速部署到大量的伺服器上，開源後很快就成為Rails社群最常用的部署工具。</p> <p>在這次下雲過程中，37signals進一步將Capistrano結合容器化技術，打造出新的部署工具稱為Kamal（舊名是mrsk），同樣開源釋出。這個字是古代阿拉伯導航工具的名稱，水手會利用Kamal對準北極星，藉此來修正船隻的航向。Kamal使用Docker來部署和管理Web應用，可以提供不停機部署、快速重新啟動回滾、遠端建置等，Kamal也可說是一套容器化技術版本的Capistrano，而且不只是Rails應用，後來的版本甚至可以用Kamal來部署任何類型的容器化Web應用。</p> <p>只要在Kamal伺服器清單中，新增一個新的Ubuntu伺服器IP，就可以透過Docker自動配置後立刻執行，不需要事先準備伺服器，像是確認Ruby版本是否正確。使用Kamal來部署37signals的郵件服務Hey，部署一個新版本只需要20秒，也比過去的部署速度快了很多。</p> <p>在37signals完成下雲時，Kamal也發布了1.0版，採用MIT開源授權釋出，2024年初已經到了1.3版。目前Kamal也發展出了一個自己的開源社群。</p> <p>Kamal不只可以在裸機上部署Web應用，也可以用來部署雲端環境中的Web應用，這是一款可以通吃本地端和雲端的通用部署工具。</p> <p>除了新部署工具，37signals也設計了一個新的流程來調度KVM的虛擬機器，用cloud-init簡化了啟動程序，將這些操作指令和配置，寫成了一套慣用劇本，以便重複運用。最後將VM啟動時間，從過去的20分鐘，縮短到1分鐘。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-Kamal.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>37signals將Capistrano結合容器化技術，打造出一款新的部署工具稱為Kamal，開源釋出。Kamal使用了Docker來部署和管理Web應用，可以提供不停機部署、快速重新啟動回滾、遠端建置等，Kamal也可說是一套容器化技術版本的Capistrano，而且不只是Rails應用，可以用Kamal來部署任何類型的容器化Web應用。</strong></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>不只部署，還有不少相關下雲技術切換</strong></span></span></p> <p>37signals在下雲過程中，還做了不少技術切換工作，像是在Log日誌管理上，37signals原本就使用了一套完整的ELK技術架構來搜集各種服務的運作log資訊。原本所用的這個ELK架構，是一個可以串接本地端機房或雲端環境的架構，因此切換到本地端環境不難。再加上，Kamal的日誌也都是只有Docker的日誌資料，要將日誌流程切換到下雲的作法不難，只需要改蒐集位在/var/lib/docker/containers/上的Docker日誌檔就可以完成。</p> <p>另外在CDN和DNS需求的切換上，37signals則是改用Cloudflare來串接本地機房中的F5負載平衡設備，取代了原本所用的CloudFront和Route53等公雲業者的服務。CI/CD工具原本用Buildekite，現在也改用GitHub的Actions。</p> <p>在資料庫副本和備份機制上，因為在Basecamp產品上，已有十多年的MySQL使用經驗，所以，37signals全面將資料庫副本和備份機制改為MySQL，並升級到Percona MySQL 8。最後，不到6個禮拜，就完成了Tadalist的搬遷和切換。</p> <p>轉移到本地端後所採用的新部署流程更加簡化，不只是啟動虛擬機器的時間，從過去的20分鐘，縮短到1分鐘，一支標準Rails應用的部署時間甚至從過去的數分鐘，縮短到1分鐘。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>從最簡單的AP先下雲，累積經驗再遷移複雜應用</strong></span></span></p> <p>第二個搬遷的產品是基礎架構需求與Tadalist類似的Writeboard，這個產品是一個提供付費版的產品，也使用了更多的資料庫，複雜性比第一款免費工具更高，也得更小心考慮對付費顧客帶來的影響。不過，有了第一款AP的搬遷經驗，再加上資安團隊、基礎架構團隊、效能團隊和應用開發團隊聯手，不到2周就完成了第二款AP的下雲搬家。後續又開始搬遷，技術架構更複雜的AP，像是第三款搬遷的產品是Backpack。</p> <p>37signals從功能和架構簡單的AP產品先著手，累積下雲經驗，同步建立新的本地端作業流程和配套機制，升級必要的元件，再一步步搬遷更複雜的應用，最後完成了所有的搬遷工作。</p> <p>37signals歸納，下雲過程，不只降低成本，更帶來了不少技術面的好處。舉例來說。搬遷到本地端後，不只大幅減少了基礎架構的複雜度，也提高了各AP部署策略的一致性，更大幅縮短部署時間。他們還順便清理了不少無效或可棄用的程式碼。搬家工作讓37signals趁機做了不少升級工作，例如將資料庫系統從MySQL 5.7版升級到8，用新版Chef重寫了整個設定管理機制，也依據自身需求設計了快速啟動的VM配置。</p> <p>雖然，一開始難以實現本地端K8s的計畫，37signals的下雲計畫，花了一番時間來打造全新的本地端維運和部署架構，因為過去累積了大量容器化的經驗，最後打造出全新的Web應用部署工具Kamal，在2023年2月，完成了這個下雲最關鍵的技術轉換準備。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>下一步優化目標是搜尋和監控</strong></span></span></p> <p>下雲不只是降低成本，也大幅減少了技術架構的複雜度，更讓37signals的維運團隊打開了新的思考視野，不只可以重新思考應用程式的運作模式。他們開始思考後端搜尋、監控機制的新可能性，這是37signals在下雲、去K8s歷程的下一個要挑戰的優化目標。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/161133" target="_blank">知名SaaS公司為何要下雲？37signals應用搬家歷程大公開</a></span></strong></p> <p><a href="https://www.ithome.com.tw/news/161160" target="_blank"><span style="font-size: 20px;"><strong>37signals一年320萬美元上雲費用結構大公開</strong></span></a></p> </div></div></div>
2024/2/5 12:52作者王宏仁https://www.ithome.com.tw/news/161184
AnyDesk遭網路攻擊，外傳原始碼與憑證都遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名的德國遠端桌面程式AnyDesk<a href="https://anydesk.com/en/public-statement" target="_blank">在2月2日坦承遭到駭客入侵</a>，已採取一系列的補救措施，包括撤銷所有與安全相關的憑證，亦以新的憑證來取代程式碼簽章憑證。<a href="https://www.bleepingcomputer.com/news/security/anydesk-says-hackers-breached-its-production-servers-reset-passwords/" target="_blank">《BleepingComputer》則</a>認為，AnyDesk的原始碼與程式碼簽章皆已外流。</p> <p>AnyDesk並未公布遭駭的細節或時間點，僅說在察覺跡象並進行安全稽核之後，發現各個生產系統遭到入侵的證據，立即與資安業者CrowdStrike合作進行補救，而且已完成整治，並說此事與勒索軟體無關。</p> <p>AnyDesk的補救措施包括撤銷所有與安全相關的憑證，在必要之處修正及更換了系統，並正撤銷與替換程式碼簽章憑證。該公司強調，系統上不儲存私鑰、安全令牌或密碼，以避免被用來連至使用者裝置，但為了保險起見，也已撤銷入口網站my.anydesk.com的所有密碼，並建議使用者更改在其它服務使用的同樣密碼。</p> <p>迄今AnyDesk並未發現任何使用者裝置受到影響的證據，但建議使用者確保所執行的是採用最新程式碼簽署憑證的新版AnyDesk。</p> <p>最早揭露此事的是德國科技部落格<a href="https://www.borncity.com/blog/2024/01/25/strung-bei-anydesk-jemand-betroffen/" target="_blank">《Borncity》</a>，作者Günter Born在1月25日便報導AnyDesk無法使用了。</p> </div></div></div>
2024/2/5 11:39作者陳曉莉https://www.ithome.com.tw/news/161182
Google關閉搜尋結果中的快取功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Search負責對外溝通的Danny Sullivan在2月2日<a href="https://twitter.com/searchliaison/status/1753156161509916873" target="_blank">公開證實</a>，Google已經移除了Google搜尋結果中的快取（Cache）功能，且該功能將永遠消失。</p> <p>Google Cache是Google在爬梳全球網頁時所拍攝的網頁原始HTM備份，內含記錄時的時間、網頁的URL，以及完整版本或純文字版，對使用者而言，可用來查看已經關閉、銷毀或是載入時出現問題的網頁，許多人也用來它比較網頁的前後差異，而網站的所有人還可利用Google Cache來檢查自家網頁或是調整搜尋引擎最佳化（Search Engine Optimization，SEO）的作法。</p> <p>Sullivan表示，快取為Google搜尋最早的功能之一，當初是為了協助無法正常載入網頁的使用者存取網頁所提供的，但最近各種服務的改善使得Google決定讓它退役。</p> <p>Sullivan指出，Google Cache是個驚人的資源，他個人希望未來Google可把快取的相關連結交給網際網路檔案館（Internet Archie），允許人們得以檢視網頁內容的變遷，但目前無法保證任何事。</p> <p>網際網路檔案館是個非營利的數位圖書館，它有個<a href="https://archive.org/web/" target="_blank">時光機器（Wayback Machine）功能</a>，可供使用者免費查看特定網頁於歷史上曾呈現的樣貌或內容，迄今已收錄逾8,640億個網頁，雖然Google Cache的資訊量顯然遠多於Wayback Machine，但現階段看來雙方尚未就此進行討論。</p> </div></div></div>
2024/2/5 12:07作者陳曉莉https://www.ithome.com.tw/news/161183
【資安週報】2024年1月29日到2月2日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在漏洞利用相關消息中，這個星期最受關切的是，Ivanti再度成為駭客發動Zero-day攻擊的目標，該公司旗下SSL VPN、NAC產品線的零時差漏洞CVE-2024-21893已遭成功利用。這已是Ivanti本月要修補的第3個零時差漏洞。</p> <p>已知漏洞被成功利用的情形，同樣引發重視，最近有3起這樣的情形，而且駭客都是針對1月才剛釋出修補的漏洞。</p> <p>首先，是持續整合開發工具Jenkins的重大漏洞CVE-2024-23897，開發團隊1月24日釋出修補，但駭客很快就鎖定這個漏洞，兩日後外部已有成功濫用情形。</p> <p>另一是WordPress網域遷移輔助外掛程式Better Search Replace的重大漏洞CVE-2023-6933，開發商WP Engine在兩週前釋出1.4.5版修補，資安業者Wordfence則等到1月24日才揭露這個漏洞，但公布後就已偵測到2,500起漏洞利用攻擊。</p> <p>最後，是蘋果在本月上旬修補的漏洞CVE-2022-48618，月底發現已遭成功利用，由於漏洞存在於WebKit，不只iPhone、iPad、Mac電腦Apple TV受影響，後續蘋果也針對最近剛出爐的混合實境裝置Vision Pro發布修補。</p> <p>還有一個漏洞修補情形，其嚴重性我們認為也要多加留意，最近Fortra揭露GoAnywhere漏洞CVE-2024-0204，該公司表示，已在12月7日釋出新版修補，但一個月後的此刻才公告這項消息。</p> <p>其他重要漏洞消息，包括：Juniper Networks修補網路設備作業系統高風險漏洞，Google Cloud修補GKE的重大漏洞，以及多個Linux發行版本修補glibc程式庫的3個漏洞。</p> <p>在資安事件焦點上，這半個月來，所有資安媒體都在關注微軟公司電子郵件遭入侵的事故，因為該公司持續向外界揭露更多資訊。微軟自1月17日向美國證券交易所（SEC）提交資安事件報告後，19日更是明確指出攻擊者是Midnight Blizzard（APT29），25日他們公布更多細節，包括彙整出他們發現攻擊者的行動與手法，並說明攻擊者是如何避過偵測。</p> <p>在資安威脅態勢上，這段期間以資料外洩與勒索軟體的消息最多，我們整理如下：<br /> ●被視為OpenAI有力競爭者的AI新創Anthropic，最近通知客戶坦承他們發生資料外洩，原因是外包商不慎將客戶資料傳給第三方組織。<br /> ●施耐德電機傳出遭勒索軟體Cactus攻擊，導致Resource Advisor能源監測雲端平臺服務中斷，數TB公司內部資料遭竊。該公司在網站公告發生資安事件，說明僅影響其永續發展業務部門，正採取復原的補救措施。<br /> ●英國美容保養品牌業者Lush在官方網站發布資安事件公告，先於1月11日揭露事件，30日證實成為勒索軟體受害者。另一方面，勒索軟體組織Akira宣稱是他們所為，並竊取了110 GB資料。<br /> ●有勒索軟體諮詢服務業者Coveware揭露最新勒索軟體的季度報告，我們看到幾個重點，例如，2023第四季前4大勒索軟體為Akira、BlackCat、Lockbit、Play，5到8名均為新入榜，分別是Silent、Medusa、NoEscape、Phobos。報告中也提到受害者付贖金的比例已不到3成，再創新低。</p> <p>在資安防禦態勢上，有兩則新聞備受關注，分別是反制國家級駭客攻擊，以及車聯網安全的進展。</p> <p>例如，針對去年攻擊美方關鍵基礎設施的中國駭客組織Volt Typhoon，最近美國司法部宣布已採取行動，成功破壞該組織打造的殭屍網路與掌控的網路設備，也就是針對受感染的網路裝置，刪除當中的KV Botnet殭屍網路病毒，並將通知裝置所有者，以及給予防護建議，另也針對SOHO裝置製造商給予Secure by Design的指引；第一屆Pwn2Own Automotive汽車駭客大賽在東京舉辦，透過獎勵機制，來鼓勵資安研究人員發現並且負責任地揭露安全漏洞，漏洞競賽類別涵蓋Tesla、車載資訊娛樂(IVI)系統、電動車充電器與作業系統，這場活動共找出49個漏洞。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/161056"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月29日】微軟公布俄羅斯駭客APT29的攻擊流程並指出還有其他公司也被鎖定</span></strong></a></h3> <p>一週前微軟、HPE向美國證券交易委員會（SEC）坦承，他們的電子郵件系統遭到俄羅斯駭客APT29入侵，由於採用了相同的雲端郵件系統，又是相同的駭客組織所為，當時外界懷疑可能有其他公司受害，如今微軟證實了這項說法。</p> <p>微軟在25日針對資安事故的發生過程提出進一步的說明，並根據他們後續的調查結果指出，這些駭客也同時對其他公司發動攻擊，呼籲Exchange Online用戶應採取相關措施防範。</p> <h3><a href="https://www.ithome.com.tw/news/161084"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月30日】逾7萬臺Jenkins伺服器尚未修補的重大RCE漏洞出現攻擊行動</span></strong></a></h3> <p>有多組研究人員本週針對持續整合開發工具Jenkins的重大漏洞CVE-2024-23897提出警告，先是有人於程式碼儲存庫GitHub公開濫用此漏洞的概念性驗證程式碼（PoC），隨後，有些蜜罐陷阱也出現遭到駭客嘗試利用漏洞發動攻擊的情況。</p> <p>但在此同時，仍有許多IT人員尚未部署相關更新軟體，目前已知有多達7萬臺Jenkins伺服器曝險，可能成為駭客下手的目標。</p> <p><a href="https://www.ithome.com.tw/news/161098"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月31日】美國傳出針對中國駭客Volt Typhoon的攻擊行動採取反制並破壞其基礎設施</span></strong></a></p> <p>中國駭客組織Volt Typhoon於去年上半被揭露，當時美國政府發出警告，指出這些駭客針對當地的關鍵基礎設施發動攻擊，後來有多家資安業者對於該組織的攻擊手法進行分析，指出駭客利用生命週期已經結束的路由器、防火牆、VPN設備來充當代理伺服器，而且，英國和澳洲也是這些駭客攻擊目標。</p> <p>但到了最近，傳出美國政府已採取了反制，背後原因很有可能和臺海局勢的軍力佈局有關。</p> <h3><a href="https://www.ithome.com.tw/news/161129"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月1日】Ivanti旗下SSL VPN解決方案的零時差漏洞在修補前傳出第2波攻擊行動</span></strong></a></h3> <p>1月上旬Ivanti公布的零時差漏洞引起多家資安業者的高度關注，原因是這項漏洞公布時該公司並未提供修補軟體，接著便傳出駭客大規模利用的情況。</p> <p>但在一週後，又出現新型態的攻擊手法，駭客將其部署以Rust打造的惡意程式，而使得行蹤更難以捉摸，直到最近才有研究人員確定其攻擊手法，但對於駭客的目的，研究人員並未進一步說明。</p> <h3><a href="https://www.ithome.com.tw/news/161155"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月2日】美國下令聯邦機構限時切斷Ivanti Connect Secure與內部網路環境之間的連線並著手清查</span></strong></a></h3> <p>Ivanti Connect Secure零時差漏洞CVE-2023-46805、CVE-2024-21887公布至今，已出現大規模的漏洞利用攻擊行動，並引起多家資安業者高度關注，Ivanti對上述漏洞進行調查，又發現另一個也被利用的零時差漏洞。</p> <p>而這樣的威脅態勢，美國網路安全暨基礎設施安全局（CISA）罕見發出緊急命令，聯邦機構必須先切斷這類系統與內部網路環境的連線，再著手清查受害情形。</p> <p> </p> <p> </p> </div></div></div>
2024/2/5 10:29作者羅正漢https://www.ithome.com.tw/news/161180
微軟付費版Copilot for Sales and Service全面上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在測試將近11個月後，<a href="https://cloudblogs.microsoft.com/dynamics365/bdm/2024/02/01/microsoft-copilot-for-sales-and-copilot-for-service-are-now-generally-available/" target="_blank">微軟宣布</a>提供業務和客服作業自動化的付費版Copilot正式上線。</p> <p>微軟去年3月<a href="https://www.ithome.com.tw/news/155983" target="_blank">宣布</a>整合其Microsoft 365及商務應用Dynamics 365的Copilot，底層是OpenAI的GPT-4模型，Dynamics 365包含多種模組，包括業務、客服、行銷、業務分析、供應鏈管理及電商管理模組Business Central。</p> <p><a href="https://twitter.com/satyanadella/status/1753147910865535215" target="_blank">微軟執行長Satya Nadella說</a>，微軟會持續擴大Copilot的應用範圍到所有角色和功能。在此之前，微軟也已將Copilot整合到資安管理及Power System、GitHub和Visual Studio等產品。</p> <p>Copilot for Sales使用Copilot for Microsoft 365，為Outlook、Microsoft Teams和Word加入業務相關的洞見和推薦行動。例如，在Word中生成業務會議資料、摘錄Outlook信件分析客戶購物目的、預算、需求、時間；從CRM系統及Microsoft Graph抓資料撰寫銷售電子郵件；根據客戶往來信件更新CRM紀錄；在Teams會議叫出會議註記、銷售分析，或產生會議紀錄，並標示對話分析、關鍵字及建議行動。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0205-Microsoft%20Copilot%20for%20Sales-04.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0205-Microsoft%20Copilot%20for%20Sales-02.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>本月稍晚Copilot for Sales還會為Copilot chat加入CRM能力，讓業務人員及業務經理可以快速一覽轉換率、贏單率（win rate）、銷售周期及銷售流程（pipeline）等。之後會把CRM能力加到PowerPoint和OneNote。早期用戶包括SI業者Avanade。</p> <p>Copilot for Service則是微軟將生成式AI整合到CRM及客服中心解決方案的成果，去年12月推出公布，並在本周上線。Copilot for Service基本上是將公司員工到職訓練（onboarding）及案件解決的知識資料庫及生成式AI整合到桌機軟體，如Salesforce、Outlook、Teams。它原生內建與Salesforce、ServiceNow、Zendesk的整合，方便存取資訊。用戶並可直接從AI聊天機器人點選連結存取外部網站、SharePoint、知識庫文章及離線檔案。</p> <p>Copilot for Services也包含Copilot for Microsoft 365。微軟本月稍晚會在M365 App如Outlook、Teams及Copilot App加入新功能，以整合Dynamics 365客服模組及Salesforce Cloud的CRM資料。早期用戶包括保險、稅務及顧問服務公司RSM。</p> <p>Copilot for Sales和Copilot for Service現已上線，都是付費服務，費用為每使用者每月50美元，當中包含Copilot for Microsoft 365授權。既有Copilot for Microsoft 365用戶可以每人20美元月費，加買Copilot for Sales和Copilot for Service授權。</p> </div></div></div>
2024/2/5 10:46作者林妍溱https://www.ithome.com.tw/news/161178
OpenAI釋出適用於Apple Vision Pro的3D版ChatGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果VR/AR裝置Vision Pro上周五正式在美國出貨<a href="http://https://twitter.com/ChatGPTapp/status/1753480988569866332" target="_blank">。OpenAI旗艦應用程式ChatGPT推出了可在Vision Pro上執行的3D版本</a>。</p> <p>ChatGPT現在可以在visionOS App Store上下載。一如在手機或桌機上，Vison Pro用戶可以在使用時，以語音輸入（當然也可以用文字輸入）指令提示讓ChatGPT執行，包括草擬信件、查詢資訊、開啟應用程式等任務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0205-chatgpt-visionos.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p>Vision Pro上周推出時，已經有多家開發商開發相容應用程式。<a href="https://www.apple.com/newsroom/2024/02/apple-announces-more-than-600-new-apps-built-for-apple-vision-pro/" target="_blank">根據蘋果說明</a>，有600款專門為這平臺開發的應用程式或遊戲。除了蘋果自己的App外，第三方應用程式包括影片類的Disney、運動類的ESPN、NBA，生產力類如<a href="https://www.ithome.com.tw/news/161110" target="_blank">微軟的Word、Excel、PowerPoint、Copilot程式</a>及Notion、Todolist；視訊與協同類如Webex、Zoom、Teams、Box和Slack等。此外，100多萬個App Store上架的應用程式也可在這VR/AR裝置上相容執行。</p> <p>電玩玩家則可以從Apple Arcade市集發現250多款無廣告及程式內購買的遊戲，包括NBA 2K24 Arcade Edition、《索尼克夢境小隊Sonic Dream Team》和《忍者龜Turtles 史林特的命運TMNT Splintered Fate》。</p> </div></div></div>
2024/2/5 11:20作者林妍溱https://www.ithome.com.tw/news/161181
Google Bard可能改名為Gemini、搭配Ultra AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周讓聊天機器人Bard搭載Gemini Pro全球上線，使Gemini AI模型全系列加入運行後，卻可能把Bard改名為Gemini，推出付費版Chatbot，也將搭配新的生成式AI模型Ultra。</p> <p><a href="https://twitter.com/evowizz/status/1753795479543132248/" target="_blank">加拿大開發人員Dylan Roussel發現</a>Google一篇預訂2月7日上線的Bard變更紀錄網頁。當中說明Bard將改名為Gemini，並有一個官方網頁<a href="https://gemini.google.com/">https://gemini.google.com/</a>（本網頁現在已經被撤下）。</p> <p class="rtecenter"><a href="https://twitter.com/evowizz/status/1753795479543132248/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0205-Dylan%20Roussel(1).png" style="width: 600px;" /></a></p> <p>根據用戶分享的Google描述，Gemini是存取Google AI的最佳方法，會保留所有用戶熟悉的協同能力，而且「在Gemini時代會更好」。Gemini將改善UI，減少令人分心的視覺訊息，強化可讀性，簡化瀏覽使用。繼<a href="https://www.ithome.com.tw/news/161138" target="_blank">Gemini Pro模型上周起在230多國上線支援Bard</a>（改名前的AI chatbot），支援40多種語言後，Google說，本周計畫讓（Gemini chatbot）支援地區及語言的使用者都能直接存取Google AI模型。</p> <p>Google也計畫公布新的AI模型，名為Ultra 1.0，將提供給Gemini Advanced chatbot用戶。Gemini Advanced 號稱能執行更複雜的任務，包括寫程式、依循細微差異的指令進行邏輯推理，以及創意協同方式。它未來幾個月還會增加新的專屬功能，像是更強的多模態能力、編程能力以及上傳文件或檔案加以分析等。</p> <p>Gemini Advanced為付費版服務，將會在150國推出。它現階段只提供英文版Ultra 1.0模型，但回應時可以說／寫其他Gemini支援的語言。</p> <p>Google打算讓接受到邀請函開發人員測試Gemini。Gemini測試版提供英文和法文。</p> <p>此外，Gemini也會有App。Gemini可整合包括Gmail、Google Maps和YouTube等Google應用程式。一如Bard的多模能力，可接受文字、語音和圖片為輸入。Gemini App目前僅推出Android版，iPhone用戶若想使用，可透過Google App到官網存取這個聊天機器人。</p> <p>Gemini App計畫本月在美國部署給數款裝置上，一開始只支援英文版，稍後再推出日、韓及其他英文版本，但暫不包含英國、瑞士及歐洲經濟區及所屬領域。最終它會進一步推向全球及其他語言。</p> <p>不過這項消息尚未獲得Google證實。</p> </div></div></div>
2024/2/5 09:02作者林妍溱https://www.ithome.com.tw/news/161175
可裝4張雙寬或8張單寬GPU，雲達推3U尺寸加速運算伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/yun_da_quantagrid_d54u-3u_web.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在1年前，英特爾發表代號為Sapphire Rapids的第四代Xeon Scalable系列處理器，雲達科技（QCT）如同其他伺服器廠商，宣布將推出多款機型，我們已陸續介紹1U機箱2路配置的<a href="https://www.ithome.com.tw/review/155209">QuantaGrid D54X-1U</a>、2U機箱2路配置的<a href="https://www.ithome.com.tw/review/155379">QuantaGrid D54Q-2U</a>，以及7U機箱8-GPU配置的<a href="https://www.ithome.com.tw/review/158624">QuantaGrid D74H-7U</a>，現在來看看該公司另一款可裝載多張PCIe介面卡形式GPU的伺服器D54U-3U。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-03-qct-hpc-ai-e2c-ai-QCT Server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-03-qct-hpc-ai-e2c-ai-QCT%20Server.jpg" style="width: 600px;" /></a></p> <p>此產品最顯著的特色是採用3U機箱，最多能安裝4張雙寬尺寸或8張單寬尺寸的運算加速卡，可選用<a href="https://www.nvidia.com/en-us/design-visualization/nvlink-bridges/">NVLink橋接器</a>的兩兩串連，支援AI、高效能運算領域的多種應用需求。以I/O擴充介面而言，雲達特別提供兩種組態，對應上述外形的GPU 搭配。若選擇雙寬尺寸GPU組態，D54U-3U可安裝4張全高全長的PCIe 5.0 x16介面卡，以Nvidia資料中心GPU而言，H100 PCIe、A100 80GB PCIe、<a href="https://www.ithome.com.tw/review/140860">A40</a>、<a href="https://www.ithome.com.tw/review/144036">A30</a>、<a href="https://www.ithome.com.tw/review/148618">A16</a>，以及L40、L40S，均屬於這類產品；如果選擇單寬尺寸GPU組態，D54U-3U可安裝8張半高半長的PCIe 5.0 x16介面卡，例如Nvidia的<a href="https://www.ithome.com.tw/review/156053">L4</a>、<a href="https://www.ithome.com.tw/review/147951">A2</a>、<a href="https://www.ithome.com.tw/review/127109">T4</a>。</p> <p>關於D54U-3U實際搭配GPU產品的AI加速成效，可參考MLCommons在2023年11月公布的MLPerf Training v3.1，這款機型是當中唯一搭配4張Nvidia H100 PCIe的系統，相較於另一款搭配4張Nvidia A100 80GB PCIe的富士通Primergy CDI，同樣在ResNet這項AI訓練測試中，雲達D54U-3U是44.92個單位，富士通Primergy CDI是58.94個單位（越小越好）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MLPerf Traing 3_1-4 H100 GPU.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLPerf%20Traing%203_1-4%20H100%20GPU.png" style="width: 600px;" /></a></p> <p>而且，無論選用何種GPU擴充配置，D54U-3U均能同時安裝2張半高半長的PCIe 5.0 x16介面卡、1張OCP 3.0 TSFF或SFF外形的PCIe 5.0 x16介面卡，以及1張半高半長的PCIe 5.0 x8。因此，雲達也強調這款伺服器可支援基於PCIe 5.0介面的400GbE網路連線環境，若要搭配400GbE網路卡，可安裝Nvidia的ConnectX-7系列，因為當中提供半高半長、OCP 3.0 TSFF或SFF外形的款式，也可以搭配400GbE資料處理器加速卡，像是Nvidia的BlueField-3，提供半高半長的款式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/QuantaGrid D54U-3U-back2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/QuantaGrid%20D54U-3U-back2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/QuantaGrid D54U-3U-inside.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/QuantaGrid%20D54U-3U-inside.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11_Q_synergy%20Taiwan%202022_20221214-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/12_Q_synergy Taiwan 2022_20221214-攝影-洪政偉.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/12_Q_synergy%20Taiwan%202022_20221214-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 298px;" /></a></p> <p>關於處理器運算平臺的部分，D54U-3U最初可搭配2顆英特爾第四代Xeon Scalable系列（單顆最大可提供60核心），以及32支DDR5-4800記憶體（可支援單支256 GB，整臺伺服器能搭配到8 TB），而隨著代號為Emerald Rapids的第五代Xeon Scalable系列於2023年12月問世，D54U-3U也能相容這批處理器（單顆最大可提供64核心），並且搭配DDR5-5600記憶體。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>雲達QuantaGrid D54U-3U</strong><br /> ●原廠：雲達科技<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：3U<br /> ●處理器：2顆，英特爾第四代Xeon Scalable系列與第五代Xeon Scalable系列（熱設計功耗最高為350瓦）<br /> ●記憶體：32個DDR5-5600，插滿256 GB，可達到8 TB<br /> ●儲存配置：10臺2.5吋SATA/SAS/NVMe固態硬碟<br /> ●I/O擴充介面：<br /> 搭配雙寬GPU組態，4個PCIe 5.0 x16（全高全長）、2個PCIe 5.0 x16（半高半長）、1個PCIe 5.0 x16（OCP 3.0 TSFF/SFF）、PCIe 5.0 x8（半高半長）<br /> 搭配單寬GPU組態，8個PCIe 5.0 x8（半高半長）、2個PCIe 5.0 x16（半高半長）、1個PCIe 5.0 x16（OCP 3.0 TSFF/SFF）、PCIe 5.0 x8（半高半長）<br /> ●電源供應器：4臺1600瓦（2+2）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/2/3 18:28作者李宗翰https://www.ithome.com.tw/review/161012
搭24臺E1.S固態硬碟，美超微新款高密度快閃儲存伺服器上陣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/supermicro_ssg-121e-nes24r_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年3月，我們曾介紹Supermicro（美超微）推出一批全快閃儲存伺服器，其中一款是<a href="https://www.ithome.com.tw/review/156122">SSG-121E-NE316R</a>，能在1U機箱搭配16臺E3.S外形的固態硬碟，也提到他們有另一款SSG-121E-NES24R，能在1U機箱搭配24臺E1.S外形的固態硬碟，最近看到該公司在1月電子報摘要推薦StorageReview去年4月與12月的產品評測報導，當中介紹的伺服器正是這款機型，也讓我們想追蹤後續規格的變化。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-Supermicro X13-All Flash Server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-Supermicro%20X13-All%20Flash%20Server.jpg" style="width: 600px;" /></a></p> <p>事實上，呼應英特爾去年12月底推出第五代Xeon Scalable處理器，可相容這個運算平臺的SSG-121E-NES24R，如今的CPU與記憶體規格也隨之調整。</p> <p>例如，CPU同樣可搭配熱設計功耗範圍介於145瓦到270瓦的款式，若是採用第四代Xeon Scalable，這款伺服器最高可搭配到32核心的款式，像是Xeon Gold 6430、Xeon Gold 6454S；若是採用第五代Xeon Scalable，最高可搭配到36核心的款式Xeon Gold 6554S。Supermicro表示，目前這款機型支援Gold等級的Xeon CPU（四代、五代都是），未支援到Platinum等級，由於該產品是儲存伺服器，一般不太會需要用到Platinum等級的CPU。</p> <p>記憶體方面，SSG-121E-NES24R提供32個插槽，先前僅標示為DDR5，並支援DRAM與儲存級記憶體的使用——16個插槽安裝256GB的DDR5記憶體，其餘安裝512 容量的Intel Optane PMem 300系列，整臺伺服器最大可搭配到12 TB；現在標示為DDR5-5600，最大可搭配到8 TB（目前通過該公司測試的記憶體仍是DDR5-4800，可搭配單支128 GB的記憶體）。</p> <p>至於硬碟儲存，當然是這款伺服器的最大賣點，可搭配24臺厚度為9.5公釐或15公釐的E1.S固態硬碟。根據該公司目前公布的NVMe裝置清單來看，最大可搭配7.68 TB容量的產品，如果SSG-121E-NES24R搭配24臺上述組態的固態硬碟，總共可提供184.32 TB的容量。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-01-Supermicro X13-1U All flash2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-01-Supermicro%20X13-1U%20All%20flash2.jpg" style="width: 600px;" /></a></p> <p>若搭配市面上現行這類外形的資料中心固態硬碟，整臺伺服器可提供的最大儲存容量是？以Solidigm為例，D5-P5430的E1.S外形款式，最大可提供15.36 TB，因此，如果SSG-121E-NES24R搭配24臺上述組態的固態硬碟，總共可提供368.64 TB的容量。</p> <p>在擴充介面的部分，SSG-121E-NES24R本身提供4個PCIe 5.0 x16插槽，其中2個可安裝2張全高的PCIe介面卡，Supermicro表示，目前經他們測試，可搭配GPU加速卡Nvidia T1000（GPU-NVQT1000 for GRAID），其餘可置入遵循OCP 3.0外形標準的網路卡、RAID控制卡。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-01-Supermicro X13-1U All flash3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-01-Supermicro%20X13-1U%20All%20flash3.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Supermicro SSG-121E-NES24R</strong><br /> ●原廠：Supermicro<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U（438.4 x 43.6 x 773.25公釐）<br /> ●處理器：2顆，英特爾第四代Xeon Scalable系列或第五代Xeon Scalable系列（熱設計功耗最高為270瓦）<br /> ●記憶體：32個DDR5-5600，插滿256 GB，可達到8 TB<br /> ●儲存配置：24臺E1.S（厚度9.5公釐與15公釐）外形NVMe固態硬碟<br /> ●I/O介面：PCIe 5.0 x16（2個全高、2個AIOM）<br /> ●電源供應器：2臺2000瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/2/3 01:21作者李宗翰https://www.ithome.com.tw/review/161025
賓士員工GitHub的Token不慎公開，恐導致其原始碼外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>汽車大廠發生資料外洩的情況不時出現，原因大致上可分成兩種型態，其中一種是遭遇網路攻擊，另一種則是其內部系統存在弱點，而導致存放的商業機密和客戶資料曝光。但最近有一起資料外洩事故，卻是因為開發人員曝露自己的Token造成。</p> <p>1月29日資安業者RedHunt Labs<a href="https://redhuntlabs.com/blog/mercedes-benz-source-code-at-risk-github-token-mishap-sparks-major-security-concerns/">揭露汽車大廠賓士（Mercedes-Benz）資料外洩的情況</a>，他們在1月11日發現該公司員工不慎在程式碼儲存庫GitHub曝露Token，一旦有人取得，就能對該公司自行管理的GitHub Enterprise Server完整存取其中的原始碼，完全不受監控及限制。</p> <p>研究人員指出，此程式碼儲存庫包含大量智慧財產，以及資料庫連線資訊、雲端服務存取金鑰、設計圖、設計文件、單一簽入（SSO）密碼、API金鑰，以及其他重要的內部訊息。</p> <p>一旦有人竊取這些資料，有可能導致智慧財產外流造成財務損失，同時賓士還會觸犯商業秘密和智慧財產權法（Trade Secrets and Intellectual Property Laws），若是程式碼儲存庫內含客戶資料，也會違反GDPR，以及德國當地法律，例如：德國聯邦個人資料保護法（Bundesdatenschutzgesetz，BDSG）、德國新聯邦個人資料保護法（Datenschutz-Anpassungs- und Umsetzungsgesetz EU，DSAnpUG-EU）。</p> <p>根據他們的調查，上述的Token是在去年9月曝光。研究人員尋求科技新聞媒體TechCrunch合作，向賓士通報此事並得到確認，賓士獲報後隨即註銷相關API的Token。</p> <p>TechCrunch表示，<a href="https://techcrunch.com/2024/01/26/mercedez-benz-token-exposed-source-code-github/">他們看到研究人員提供的佐證資料裡</a>，包含微軟Azure及AWS金鑰、PostgreSQL資料庫，以及賓士的原始碼，但無法確認當中是否含有客戶資料。</p> <p>究竟是否有其他人士在賓士註銷Token前存取曝光的資料？賓士發言人以安全為由，拒絕說明。TechCrunch指出，他們不確定該公司是否具備相關的技術能力，能夠確認內部資料遭到不當存取的情況。</p> </div></div></div>
2024/2/2 22:44作者周峻佑https://www.ithome.com.tw/news/161173
7.7萬臺Jenkins伺服器曝露於重大RCE漏洞風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月24日持續整合開發工具Jenkins的開發團隊<a href="https://www.ithome.com.tw/news/161034#jenkins">發布2.442版、長期支援版LTS 2.426.3更新</a>，修補重大風險的RCE漏洞CVE-2024-23897，這項漏洞存在於命令列介面（CLI），而有可能被未經授權的攻擊者用於讀取任意檔案，CVSS風險評分為7.5。現在有研究人員提出警告，仍有許多系統尚未修補而可能被盯上。</p> <p>此漏洞發生的原因，是該系統在處理CLI命令的過程中，採用名為args4j的程式庫解析Jenkins控制器的功能函數及選項，該程式庫提供以@字元來讀取指定檔案的路徑，此功能在Jenkins預設為啟用，攻擊者有機會利用這項特性在Jenkins控制器的檔案系統上讀取任意檔案，即使沒有取得相關權限，也能夠讀取檔案部分內容。</p> <p>開發團隊指出，這項弱點還有可能被用於進行其他攻擊，像是透過「記得我」的cookie、跨網站指令碼（XSS）攻擊、繞過跨網站偽造請求（CSRF）防護機制等方式，進行遠端執行任意程式碼（RCE）攻擊，或者，攻擊者能夠刪除Jenkins任意項目，或是解密存放的帳密資料。</p> <p>1月26日<a href="https://twitter.com/cyb3rops/status/1750835886051275057">資安業者Nextron Systems研究人員Florian Roth提出警告</a>，他發現有人在程式碼儲存庫GitHub上傳2組概念性驗證程式碼（PoC），接下來攻擊者很可能會嘗試將漏洞用於攻擊行動；果不其然，加州大學柏克萊分校天空運算實驗室（Sky Computing Lab）研究人員Chaofan Shou發現，他們部署的Jenkins蜜罐陷阱（Honeypot），<a href="https://twitter.com/shoucccc/status/1750601321831633026">遭到了漏洞掃描及嘗試利用的情況</a>。</p> <p>究竟有多少Jenkins伺服器尚未修補？<a href="https://twitter.com/Shadowserver/status/1751964510955372855">28日Shadowserver基金會發現</a>，仍有約4.5萬臺Jenkins伺服器尚未進行更新，大部分位於中國及美國，分別有12,000臺、11,830臺，其次是德國3,060臺、印度2,681臺、法國1,431臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GFA6Te9XUAAcr5B.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GFA6Te9XUAAcr5B.jpg" style="width: 580px;" /></a></p> <p>次日資安業者SORadar根據物聯網搜尋引擎Shodan分析的結果，<a href="https://socradar.io/critical-jenkins-cli-file-read-vulnerability-could-lead-to-rce-attacks-cve-2024-23897/">認為實際尚未修補的伺服器數量可能更多</a>，他們看到總共有超過7.7萬臺Jenkins伺服器尚未升級至2.442版、LTS 2.426.3版而曝險，其中美國有22,243臺、中國有19,930臺，德國、印度、新加坡各有5,530臺、5,293臺、3,080臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/shodan-cve-2024-23897.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/shodan-cve-2024-23897.png" style="width: 580px;" /></a></p> </div></div></div>
2024/2/2 21:56作者周峻佑https://www.ithome.com.tw/news/161172
提升處理器、硬碟、網路規格，WD新款邊緣儲存伺服器登場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wd_ultrastar_transporter_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在兩年前，我們報導硬碟廠商<a href="https://www.ithome.com.tw/review/149573">WD可攜式資料遷移伺服器：Ultrastar Edge-MR、Ultrastar Edge</a>，今年1月中我們在該公司向用戶祝賀新年的電子郵件，發現他們竟悄悄推出後繼的硬體設備，稱為Ultrastar Transporter，在去年12月底公布產品簡介文件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WD Data Center Platforms.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Data%20Center%20Platforms.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Storage%20Platform.jpg" style="width: 600px;" /></p> <p>根據當中揭露的技術規格來看，Ultrastar Transporter最大可提供368 TB容量的NVMe固態儲存空間，而且配備2個QSFP112接頭的200 GbE網路埠，而在1月發布的資料中心解決方案簡介文件，進一步提到Ultrastar Transporter搭配的NVMe固態硬碟，是24臺15.36TB 容量的Ultrastar DC SN650。</p> <p>相較之下，早先推出的Ultrastar Edge-MR、Ultrastar Edge，最大可提供61.44 TB的NVMe固態儲存，以及2個100GbE埠。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Data%20Transport%20Servers.jpg" style="width: 600px;" /></p> <p>WD表示，由於此款設備具有更大的網路傳輸頻寬，可配合本身的高效能資料儲存，使得大量資料能以更短的時間完成載入、匯集、卸載等搬遷作業，他們相當看好雲端服務廠商對於這類解決方案的需求，因為在企業推動上雲的數位轉型工程當中，比起單靠網路傳輸資料，若能運用上述方式以實體型態直接搬移巨量資料，可節省幾天、甚至幾週的時間。</p> <p>除此之外，Ultrastar Transporter同樣也能用於多種邊緣運算的資料處理場景，像是實體環境的數位視訊監控、外部場域空間的狀態變化研究，以及其他需要將大量資料搬移到另一個站點位置的企業應用情境。</p> <p>關於運算平臺的組態配置，WD這款伺服器的處理器是採用Ice Lake架構的英特爾Xeon Silver 4310（12核心），隸屬第三代Xeon Scalable系列，記憶體則是128 GiB容量的DDR4，可支援更廣泛的用途與資安防護需求，並針對資料管理系統的多種典型應用案例，提供需要的效能。</p> <p>而既有的Ultrastar Edge-MR、Ultrastar Edge的運算配置又是如何？這兩款伺服器搭配2顆英特爾Xeon Gold 6230T（20核心），隸屬第二代Xeon Scalable系列（採購Cascade Lake架構），記憶體為512 GB容量的DDR4。</p> <p>在硬體外形的部分，Ultrastar Transporter與Ultrastar Edge-MR、Ultrastar Edge一樣，機箱都採用2U尺寸的規格，WD提供訂製型機架滑軌套件，因此也能放置在資料中心的機櫃，同時，這些款式的機箱前緣都附有把手（Carrying Handle），若要在不同地區移動時，可方便提取。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WD Ultrastar Edge Primary External Features.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Edge%20Primary%20External%20Features.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/WD Ultrastar Transporter.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Transporter.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Ultrastar%20Transporter%20with%20case2.png" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Ultrastar%20Transporter%20with%20case1.png" style="width: 298px;" /> </p> <p>值得注意的是，Ultrastar Transporter在這個把手特別設置了LCD顯示面板，上面提供6個控制按鈕與4個LED燈號，可快速顯示伺服器運作狀態與輸入指令（但這麼一來，或許把手可能就不適合人員提取）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ultrastar-transporter-front.jpg" style="width: 600px;" /></p> <p>為了便於移動，WD針對Ultrastar Edge伺服器也提供強固型與商用型專用攜行箱，都附有把手與滾輪。其中強固型攜行箱的把手設置在箱子最頂端，可拉出；商用型攜行箱的把手是外露的，可伸縮。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WD Ultrastar Edge-Commercial Transit Case Layout.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Edge-Commercial%20Transit%20Case%20Layout.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/WD Ultrastar Edge-Ruggedized Transit Case Layout.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Edge-Ruggedized%20Transit%20Case%20Layout.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>WD Ultrastar Transporter</strong><br /> ●原廠：WD<br /> ●建議售價：廠商未提供<br /> ●外形：86.6 x 482.6 x 400公釐（2U）<br /> ●重量：14.96公斤<br /> ●硬碟儲存容量：24臺NVMe SSD（Ultrastar DC SN650，15.36 TB），總共提供368 TB NVMe固態儲存<br /> ●系統組態：處理器12核心Xeon Silver 4310、記憶體128 GiB DDR4、系統開機硬碟2臺2 TB的SN740 M.2 NVMe SSD（RAID 1）、網路介面2個10GbE埠（RJ-45）+2個200 GbE QSFP112埠<br /> ●電源供應器：1300瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/2/2 18:41作者李宗翰https://www.ithome.com.tw/review/160958
【資安日報】2月2日，美國下令聯邦機構限時切斷Ivanti Connect Secure與內部網路環境之間的連線並著手…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ivanti Connect Secure零時差漏洞CVE-2023-46805、CVE-2024-21887公布至今，已出現大規模的漏洞利用攻擊行動，並引起多家資安業者高度關注，Ivanti對上述漏洞進行調查，又發現另一個也被利用的零時差漏洞。</p> <p>而這樣的威脅態勢，美國網路安全暨基礎設施安全局（CISA）罕見發出緊急命令，聯邦機構必須先切斷這類系統與內部網路環境的連線，再著手清查受害情形。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.cisa.gov/news-events/directives/supplemental-direction-v1-ed-24-01-mitigate-ivanti-connect-secure-and-ivanti-policy-secure"><strong style="font-size: 22px;">CISA下令美國聯邦機構48小時內切斷Ivanti Connect Secure、Ivanti Policy Secure連線，清查受害情況並回報</strong></a></p> <p></p> <p>1月10日Ivanti公布零時差漏洞CVE-2023-46805、CVE-2024-21887，並表示已有攻擊行動出現。對此，1月31日美國網路安全暨基礎設施安全局（CISA）發布緊急指令，要求所有聯邦機構於2月2日晚間11時59分前，切斷所有Ivanti的SSL VPN系統Connect Secure（ICS）、NAC系統Policy Secure（IPS）與機構網路環境之間的連線，並進行全面清查。</p> <p>首先，聯邦機構應對曾與上述系統連線的所有裝置，持續進行威脅獵捕行動，並監控可能曝險的身分管理服務、設法將上述Ivanti系統與機構的其他資源隔離，並且繼續稽核曾存取的使用者帳號權限層級。</p> <p>而對於上述Ivanti的系統，CISA要求聯邦機構進行重設，回復至原廠初始設定，並套用新版軟體或是導入緩解指施，最後，要將任何已連結或暴露的憑證、金鑰、密碼進行撤銷與重新發布的作業，才能讓這些系統上線。他們也要求聯邦機構必須在2月5日、3月1日，回報前述要求的處理狀態。</p> <p><a href="https://www.theglobeandmail.com/politics/article-global-affairs-hit-by-cyberattack-shuts-down-computer-systems-to-fix/"><strong style="font-size: 22px;">加拿大外交部傳出遭到網路攻擊，關閉部分資訊系統因應</strong></a></p> <p>根據The Globe and Mail新聞網站報導，加拿大外交部遭遇網路攻擊，被迫關閉部分資訊系統。1月30日加拿大全球事務部（Global Affairs Canada）宣布，他們在24日發現惡意網路活動，當時曾封鎖境內對該機構的網路遠端存取管道來因應，並證實駭客取得包含員工在內的使用者個資，但基於營運及安全考量，他們拒絕透露細節。</p> <p>資安專家David Shipley指出，攻擊來源疑似來自外國，很有可能是中國或俄羅斯所為。加拿大全球事務部並未透露駭客入侵的時間點，但根據該新聞網站取得此機構通知員工的文件指出，從12月20日以後曾進行遠端存取加拿大全球事務部網路的人士，必須依據指示採取預防措施，這很有可能代表駭客入侵其網路環境達1個月。</p> <p><a href="https://blog.cloudflare.com/thanksgiving-2023-security-incident"><strong style="font-size: 22px;">Cloudflare證實內部的Atlassian伺服器去年11月遭國家級駭客入侵</strong></a></p> <p>提供內容遞送網路與資安服務的Cloudflare證實，他們在11月23日於自行管理的Atlassian伺服器偵測到國家級駭客入侵，資安團隊介入調查並切斷攻擊者的存取權限，並於26日尋求資安業者CrowdStrike鑑識團隊來協助。該公司強調客戶資料或系統並未受到影響，亦未波及任何服務，該公司全球網路系統的配置並未遭到竄改。</p> <p>而對於事件發生的經過，Cloudflare表示駭客於11月14日至17日進行偵察，存取他們以Confluence架設的內部Wiki網站，以及以Jira架設的臭蟲資料庫。11月20日、21日，駭客再度存取該公司內部網路環境，並在22日企圖濫用ScriptRunner for Jira來建立持續性的存取管道，並取得該公司以Bitbucket架設的原始碼管理系統存取權限，得逞後企圖入侵另1臺位於巴西的主控臺伺服器，但並未成功。</p> <p>究竟駭客如何入侵該公司的開發環境？Cloudflare指出，攻擊者取得其中1個存取Token、3個服務帳號的帳密，這些資料是<a href="http://www.ithome.com.tw/news/159430">10月發生的Okta資料外洩事故流出</a>，而且，他們並未進行輪調而能夠被利用。</p> <p><a href="https://marketing.onedegree.global/onedegree-2024-taiwan-top30-insurers-exposure-assessment-report-0"><strong style="font-size: 22px;">8成臺灣保險業者SaaS平臺帳密外洩，背後與影子IT現象有關</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/2021-2024-insurance-OneDegree.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-2024-insurance-OneDegree.png" style="width: 300px; float: right;" /></a>資安業者OneDegree針對臺灣30家壽險、產險業者調查其資安防護的情況，並依據網路服務、網站、電子郵件、帳號密碼、雲端安全等領域進行分析，並與2021年的態勢進行比對。結果發現，落差最顯著的是帳號密碼保護的部分，約有8成的業者使用的SaaS平臺發生帳密外洩的情況，其中最常使用及出現洩露帳密的服務，包含Adobe、Canva、Dropbox、LinkedIn等，而在帳密保護的評比上平均落在C級，這樣的情況相較於2021年的調查結果差異最大，當時平均為A級，僅有2成保險公司被評為C級。</p> <p>而對於本次調查結果，研究人員推測有以下因素造成，其中之一是影子IT（Shadow IT）的問題，未被企業IT列管、卻被員工在工作場合私自使用的IT系統，很有可能被駭客拿來做為社交工程攻擊的媒介；另一個因素則是近年來快速發展的生成式人工智慧（GenAI），雖然ChatGPT能讓企業增加生產力，但駭客也同時拿來用於社交工程攻擊，企圖藉此讓員工帳密流入暗網。</p> <p>但為何影子IT是導致帳密外洩的主要原因？研究人員並未進一步說明。但我們認為，員工使用影子IT的裝置或服務，企業IT並不知情，無法對其進行管理或是控制，再加上歷經3年的COVID-19疫情後，這種現象變得更加難以管控，而讓帳密曝險的情況惡化。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://support.apple.com/HT214070"><strong style="font-size: 22px;">混合實境裝置Vision Pro上市在即，蘋果為其修補WebKit零時差漏洞</strong></a></p> <p></p> <p>1月8日蘋果發表Vision Pro，預計2月2日上市，但在此之前，該公司對其進行修補。</p> <p>31日蘋果對此裝置搭載的作業系統visionOS發布1.0.2版更新，當中修補了已被用於攻擊行動的零時差漏洞CVE-2024-23222，此漏洞存在於瀏覽器排版引擎WebKit，為類型混淆弱點。</p> <p>但Vision Pro並非唯一曝險的蘋果產品，一週前蘋果也發布iOS 17.3、iPadOS 17.3、macOS 14.3、tvOS 17.3，修補行動裝置、Mac電腦、Apple TV上的漏洞。</p> <p><a href="https://www.bleepingcomputer.com/news/security/ivanti-warns-of-new-connect-secure-zero-day-exploited-in-attacks/"><strong style="font-size: 22px;">Ivanti針對已出現攻擊行動的零時差漏洞著手調查，SSL VPN、NAC產品線又有新漏洞</strong></a></p> <p></p> <p>3週前Ivanti公布零時差漏洞CVE-2024-21887、CVE-2023-46805，該公司SSL VPN系統Connect Secure（ICS）、Policy Secure（IPS）均受到影響，他們針對此事著手進行調查，結果發現了新的漏洞CVE-2024-21888、CVE-2024-21893。</p> <p>其中，CVSS風險評分較高的是權限提升漏洞CVE-2024-21888，存在於Web元件，攻擊者一旦利用，就有可能取得管理員權限，風險評分為8.8；另一個是伺服器請求偽造（SSRF）漏洞CVE-2024-21893，存在於SAML元件，攻擊者能在無需身分驗證的情況下，用來存取受到管制的資源，CVSS風險評分為8.2。</p> <p>值得留意的是，該公司指出已有部分客戶受到CVE-2024-21893攻擊，而且，該漏洞不光影響ICS、IPS產品線，也波及零信任閘道系統Ivanti Neurons for ZTA。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securonix.com/blog/security-advisory-steadyursa-attack-campaign-targets-ukraine-military/"><strong><span style="font-size: 20px;">俄羅斯駭客組織Shuckworm攻擊烏克蘭軍方，利用PowerShell後門程式進行滲透</span></strong></a></p> <p></p> <p><a href="https://www.cadosecurity.com/the-nine-lives-of-commando-cat-analysing-a-novel-malware-campaign-targeting-docker/"><strong><span style="font-size: 20px;">加密貨幣挾持攻擊Commando Cat鎖定曝露的Dokcer API下手</span></strong></a></p> <p></p> <p><a href="https://blog.aquasec.com/headcrab-2.0-evolving-threat-in-redis-malware-landscape"><strong><span style="font-size: 20px;">Redis伺服器遭無檔案惡意軟體HeadCrab 2.0鎖定，將其用於挖礦</span></strong></a></p> <p></p> <p><strong><a href="https://www.akamai.com/blog/security-research/fritzfrog-botnet-new-capabilities-log4shell"><span style="font-size: 20px;">殭屍網路FritzFrog利用Log4Shell及PwnKit漏洞散布惡意程式</span></a></strong></p> <p></p> <p><strong><a href="https://snyk.io/blog/leaky-vessels-docker-runc-container-breakout-vulnerabilities/"><span style="font-size: 20px;">命令列工具runC存在弱點Leaky Vessels，攻擊者可用於逃逸容器並取得主機權限</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161129"><strong>【2月1日】Ivanti旗下SSL VPN解決方案的零時差漏洞在修補前傳出第2波攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161098"><strong>【1月31日】美國傳出針對中國駭客Volt Typhoon的攻擊行動採取反制並破壞其基礎設施</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161084"><strong>【1月30日】逾7萬臺Jenkins伺服器尚未修補的重大RCE漏洞出現攻擊行動</strong></a></p> </div></div></div>
2024/2/2 16:16作者周峻佑https://www.ithome.com.tw/news/161155
Amazon財報出爐，Q4營收成長14%，獲利創新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ir.aboutamazon.com/news-release/news-release-details/2024/Amazon.com-Announces-Fourth-Quarter-Results/default.aspx" target="_blank">Amazon周四（2/1）公布2023年第四季財報</a>，顯示該季創下1,700億美元的營收、成長14%，營業利潤（Operating Income）為132億美元，比前一年同期成長389%，創下歷史新高。當天Amazon盤後股價上漲了7.11%，達170.6美元。</p> <p>該季Amazon的北美零售業務締造了1,055億美元的營收、成長13%，營業利潤達到64.6億美元，前一年同期該類別虧損了2.4億美元。國際零售業務營收則有402億美元、成長16.8%、虧損4.2億美元，虧損幅度則低於前一年同期的22.3億美元。AWS營收為242億美元、成長13%，營業利潤為71.7億美元、增加38%。</p> <p>整體而言，該季Amazon的營業利潤達到132億美元、成長了389%，淨收入（Net Income）為106億美元，是前一年同期的37倍，每股盈餘為1美元，高於前一年的0.03美元。</p> <p>觀察Amazon的個別營收來源，線上商店的營收為705.4億美元、成長9%；實體商店為51.5億美元、成長5%；第三方賣家服務為435.6億美元、成長20%；廣告服務為146.5億美元、成長27%；訂閱服務為104.9億美元、成長14%；AWS為242億美元、成長13%。其中，第三方賣家服務包括佣金、履行與物流等費用。</p> <p>此外，Amazon全球仍有1,525,000名員工，比起前一年同期只減少了1%。</p> </div></div></div>
2024/2/2 16:22作者陳曉莉https://www.ithome.com.tw/news/161154
37signals一年320萬美元上雲費用結構大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023年初，37signals公開了2022年的上雲費用結構，付給公雲業者金額，加起來高達320萬美元，相當於臺幣1億元。這個費用主要分為兩個部分，一個是37signals旗下SaaS產品的AP上雲費用，另一個部分是高達8PB用戶資料的雲端儲存費用。</p> <p>這些SaaS產品包括了主力產品Basecamp和Hey，以及多款不再銷售但承諾支援到網際網路結束的舊產品，Basecamp Classic、Basecamp 2、Highrise、Backpack、Campfire、Writeboard和Ta-da List。</p> <p>不是上述每一產品背後的相關應用系統都部署在雲端，像是AP、資料庫、快取伺服器也有在地端伺服器上運作。37signals租用了資料中心代管服務商Deft的機房，也由他們代管、維運機房內的實體伺服器，沒有自己親手管理實體伺服器。只有搜尋功能（使用了OpenSearch）、檔案儲存（使用了S3）和CDN服務（使用了CloudFront），純靠公雲的服務來運作。</p> <p>整體來看，37signals在2022年，一整年的雲端費用高達3,201,564美元，相當於臺幣1億又42餘萬元。平均每個月的費用是266,797美元，（約為臺幣836萬元）。</p> <p>在這筆費用的花費中，350萬名用戶所有的資料目前約8PB，全都儲存在AWS的S3雲端儲存服務上，因為採取了雙雲端區域副本的策略，同一份資料會複製兩份，分別儲存到兩個雲端區域中來提高可用性，因此，一年S3的費用高達907,838美元（約臺幣2,847萬元），約占28.4%。其餘約230萬美元是各種AP和基礎架構服務的維運費用。</p> <p>若單看37signals新主力產品Hey郵件服務，這是一款雲原生的產品，完全使用了各種雲端服務打造而成，沒有落地AP。Hey產品在2022年的上雲成本高達1,066,150美元（約臺幣3,343萬元），這是專門用於執行Hey的AP的費用總額。</p> <p>其中一項大筆支出是，用來提供資料庫服務的RDS，在2022年就花了355,950美元（約臺幣1,116萬元），而且每年都要付這樣一筆龐大資料庫服務費，來支持這個郵件服務，還不包括Hey用到的基礎架構服務的費用。</p> <p>37signals在雲端的AP，都是部署在雲端的K8s環境中，主要使用了EC2和EKS兩項服務。在2022年，這兩項用來提供基礎架構執行環境的費用，合計達到759,983美元（約臺幣2,383萬元），這其中也包括提供給Hey正式環境和開發環境的費用。</p> <p>另外一筆大宗的AP費用是OpenSearch帳單，這是用來提供所有產品的搜尋叢集，以及用來處理所有Log日誌資料的索引，這在2022年花了519,959美元（約臺幣1,631萬元），另外，其他像是CDN服務CloudFront的費用，那年也花了66,742美元（約臺幣2百萬元），這也是支援各產品的共用成本。</p> <p>37signals很清楚自己每年上雲費用相當可觀，這個龐大的320萬美元帳單，已是層層精打細算的結果。37signals有一套雲端費用警戒作法，每個月結算費用報表來追蹤變化。另外，他們也和公雲業者簽訂了預留執行個體和保證用量的長期合約，來取得雲端費用的折扣。一開始維運團隊討論的預算金額，大約是後來帳單金額的兩倍，經過激烈討論、高度優化和每個月審查後，才減少了一半。</p> <p>即使如此精打細算和折扣，37signals每年仍然花了上億臺幣的上雲費用。這個怎麼省都省不下來的龐大費用，成了他們決定下雲的關鍵因素。</p> <p><a href="https://www.ithome.com.tw/news/161133" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span> </strong></span></span></a><strong><span style="font-size:20px;"><a href="https://www.ithome.com.tw/news/161133" target="_blank">知名SaaS公司為何要下雲？37signals應用搬家歷程大公開</a></span></strong></p> </div></div></div>
2024/2/2 16:59作者王宏仁https://www.ithome.com.tw/news/161160
Meta去年第四季營收成長25%，盤後股價大漲15%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.fb.com/investor-news/press-release-details/2024/Meta-Reports-Fourth-Quarter-and-Full-Year-2023-Results-Initiates-Quarterly-Dividend/default.aspx" target="_blank">Meta周四（2/1）公布去年第四季財報</a>，該季Meta締造了401億美元的營收，比前一年同期成長25%，每股盈餘達到5.33美元，更是成長了203%，促使當天Meta的盤後股價上漲了15.21%，直接飆漲至454.81美元。</p> <p>在401億美元的營收中，有387億美元來自應用程式家族（Family of Apps）的廣告，成長23.8%，該類別占Meta總營收的96.5%，應用程式家族的其它營收為3.34億美元、成長81.5%。而混合實境部門Reality Labs的營收亦成長47%，達到107.1億美元。此外，應用程式家族的營業利潤達到210億美元、成長了97%，而Reality Labs則虧損了46.5億美元，高於前一年同期虧損的42.8億美元。整體而言，該季Meta創下163.8億美元的營業利潤，大幅成長156%。</p> <p>而應用程式家族的使用者也在持續增加中，其每日用戶為31.9億人、成長8%，每月用戶則有39.8億人、成長6%。若只計算臉書，其每日用戶為21.1億人、成長6%，每月則有30.7億用戶、成長3%。</p> <p>至於該季Meta的全球員工人數為67,317，比前一年同期減少了22%。</p> <p>Meta表示，該公司自2022年便採取多項措施來追求更高的效率，同時重新調整業務及策略重點，直至去年底，已經完成了資料中心的各種相關計畫及多次的裁員，設施的整合大多數也已完成。</p> <p>Meta執行長祖克柏（Mark Zuckerberg）則說，Meta在AI及元宇宙的願景上取得了很大的進步，未來將打造全球最受歡迎也最先進的AI產品及服務，每個用戶都將由一流的AI助理來協助完成工作。</p> <p>Meta廣告營收的成長或許有部分來自X前廣告主的貢獻，在馬斯克（Elon Musk）買下Twitter並將它更名為X之後，其廣告客戶紛紛流失，<a href="https://fortune.com/2023/12/12/elon-musks-x-is-seeing-ad-revenue-plunge-by-half-from-prior-years-and-is-expected-to-bring-in-just-2-5b-this-year/" target="_blank">《Fortune》去年12月</a>引述消息來源報導，Twitter去年前三季的每季廣告營收約為6億美元，而馬斯克接手前的Twitter平均每季的廣告營收，則約為10億美元。</p> </div></div></div>
2024/2/2 14:21作者陳曉莉https://www.ithome.com.tw/news/161135
Google Gemini Pro全球上線支援逾40種語言、公布圖像生成模型Imagen 2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼去年12月的Gemini Ultra及Gemini Nano後，<a href="https://blog.google/products/bard/google-bard-gemini-pro-image-generation/" target="_blank">Google昨（1）日宣布Gemini Pro於全球上線</a>，並推出中文、法語、日語等40多種語言版本。此外也推出結合Bard英文版的圖像生成AI模型Imagen 2。</p> <p>今天起，Gemini Pro in Bard將支援40多種語言，包括中文、日語、法語、西語、德語、荷語、葡語、阿拉伯語、以及印度印地語（Hindi）、坦米爾語（Tamil）、泰盧固（Telugu）及馬拉雅拉姆語（Malayalam）在230多個國家及市場上線。這個進階AI大型語言模型具備進階理解、推論、文章摘要及寫程式等能力。</p> <p>隨同Gemini Pro全球上線，其中的double-check功能也將提供多語支援。點下Google Bard的「G」，該功能可結合Google網頁搜尋，以便比對Bard搜尋來的網頁資訊。如果有突顯特定字詞，用戶可以點入了解是否和Google搜尋的資訊符合或衝突。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0202-Google%20Bard%20updates-Gemini%20Pro%20globally-Double-check_responses-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>此外，Google Bard英文版也有所強化，<a href="https://twitter.com/GoogleDeepMind/status/1753074758730870932" target="_blank">加入圖像生成AI模型Imagen 2</a>。這模型讓用戶可以輸入文字描述，讓Google聊天機器人產出圖片。Imagen 2是基於擴散（diffusion-based）模型，強調能生成高品質圖片，並解決文字生成圖片的技術問題，像是手與人臉渲染失真，並避免視覺偽影等人為問題。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0202-Google%20Bard%20updates-Gemini%20Pro%20globally-Imagen%202%20model.png" style="width: 400px;" /></p> <p>Google並說，Imagen 2基於AI倫理原則設計，會標示為AI生成的作品。它使用SynthID技術在圖像中嵌入可以機器辨識的浮水印，並以護欄技術防止Bard產出暴力、冒犯或不雅內容，也會限制產出名人圖片。</p> <p>除了Bard外，Image 2也將用於Google其他AI服務如Image FX、SGE（Google生成式搜尋體驗）、及Vertex AI雲服務。</p> <p>Google也公開了<a href="https://blog.google/technology/ai/google-labs-imagefx-textfx-generative-ai/" target="_blank">測試中的其他生成式AI工具</a>，包括ImageFX、MusicFX及TextFX，現在可經由<a href="https://labs.google/" target="_blank">Google Labs</a>試用。</p> <p>其中ImageFX是以Imagen 2為底層的文字生成圖像工具，類似OpenAI的DALL-E、Meta的Imagine with Meta AI或微軟Designer。ImageFX主打提供expressive chips，指的是一系列關鍵字建議，讓用戶可以逐個測試生成不同感覺的圖片。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/imageFX_crochet_UI_1920_24fps_16x9.gif" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>文字生成音樂的MusicFX，現在可生成70秒的音樂、反覆段落、以expressive chips關鍵字建議探索提示，還能將創作和友人分享。另外，Google去年和Lupe Fiasco合作開發的AI工具TextFX，可幫助作詞者、作家等文字創作者，也在新版中改善了介面可使用性。</p> </div></div></div>
2024/2/2 14:46作者林妍溱https://www.ithome.com.tw/news/161138
【上雲2大紅利失效，但一年上雲費用近億】知名SaaS公司為何要下雲？37signals應用搬家歷程大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在2022年10月，開發框架Ruby on Rails之父David Heinemeier Hansson（簡稱DHH）突然發了一篇文章，立刻成了科技圈熱烈討論的話題。他宣布，37signals決定離開用了多年的AWS和Google Cloud公雲，不再上雲。</p> <p>這家成立於1999年的公司，最有名的代表作是在2003年推出的專案管理工具Basecamp，十年後，也就是2013年時，成為當年全球最受歡迎的專案管理App，當時管理了多達8百萬個專案。Ruby On Rails框架正是DHH當年打造第一版Basecamp所發展出來的技術框架，在2004年開源釋出了，掀起了一波簡潔開發的風潮。</p> <p>Basecamp這項產品持續發展至今，2022年推出目前的第四版，全球超過10萬家企業採用，註冊用戶超過了350萬人，至今，Basecamp每個月的流量超過1,500萬人次。Basecamp的用戶分散在全世界，美國約只占了4成，其次像加拿大、印度、英國、菲律賓都有不少用戶。主要用戶來自行銷和廣告產業，其次才是科技產業。在2020年時，37signals切入了郵件服務領域，推出了Hey，上線才3周，就有30萬人進行註冊試用。</p> <p>為何這麼一家全球知名的SaaS服務決定下雲？第一個原因就是費用太高！以推出2年多的企業級郵件服務Hey為例，目前有30萬用戶，但是，這個服務所用的AWS RDS資料庫服務和ES搜尋服務，兩個加起來的費用，一年高達60萬美元（臺幣1,860萬元）。甚至，在2022年時，37signals總共付給了2家公雲的費用，高達320萬美元，相當於臺幣1億元，這對一家中小型軟體公司而言，是非常龐大的成本負擔。DHH認為，對一家25歲的中型的軟體SaaS服務商而言，產品用戶和用量穩定成長，無法享受到上雲的好處，卻得面臨昂貴的成本。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>上雲兩大好處，不再對37signals有用</strong></span></span></p> <p>他進一步解釋，上雲兩大好處是，第一是應用程式功能單純，而且流量不大（用戶不多時）時，可以透過完全代管的雲端服務，來降低複雜度，「對於新創，上雲是很好的入門方式。」他強調，但對已經上雲十多年、穩定成長的37signals而言，複雜度沒有因上雲簡化太多，維運團隊的人數更是逐年增加，2021年時約57人，是十年的2倍多，沒有因為上雲而縮減規模。第一個上雲好處對37signals而言，已不再是一種紅利。</p> <p>另一個業界常提到的上雲好處是，上雲可以因應高度不規則的負載變化，例如有突然的爆量，或是高低落差很大的用量變化，因為無法事先知道所需要伺服器數量來準備，就很適合上雲，這是許多企業想要上雲的理由。</p> <p>像37signals在2年前剛推出Hey郵件服務時，原本預期半年達到3萬用戶，卻在短短3個禮拜就暴增了30萬註冊者。「這個爆量成長階段，就很適合上雲。」DHH事後回顧。但是，經過2年，Hey郵件服務的用戶和用量的成長速度趨於穩定。</p> <p>DHH認為，上雲兩大好處，都不適用於現在的37signals，為了因應可能的爆量情況得付出龐大的代價，他這樣比喻，就像沒有住在斷層帶，卻要付出房價四分之一的地震保險費，這個代價一點都不成比例。</p> <p>除了成本節省、無法享受上雲好處之外，DHH認為，選擇不上雲還有更根本的動機，可以重新思考一家軟體商該用什麼樣的網際網路來運作。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>2022年上雲費用大公開，320萬美元用在哪裡？</strong></span></span></p> <p>DHH這個下雲的宣布，引起了網路上雲支持者和反對者的大論戰，許多人紛紛寫信問他，到底他們怎麼用AWS，為何可以節省這麼多錢？為了更清楚說明上雲成本的影響，這家公司也2023年1月中，公開了2022年的上雲費用結構。</p> <p>這家公司旗下有7款產品，Basecamp和Hey是目前主力產品，也是唯二對新顧客銷售的產品。其他還有多款不再對外銷售的舊產品，包括了Basecamp Classic、Basecamp 2、Highrise、Backpack、Campfire、Writeboard和Ta-da List。這些老舊產品至今仍有數萬名用戶，每年可以貢獻上百萬美元的收入，例如13年沒有更新的Basecamp Classic年營收仍超過百萬美元。所以，37signals承諾，這些產品會繼續支援到網際網路結束那一天。</p> <p>37signals在2022年付給公雲業者金額，加起來高達320萬美元，相當於臺幣1億元。這個費用主要分為兩個部分，一個是37signals旗下SaaS產品的AP上雲費用，約230萬美元，另一個部分是高達8PB用戶資料的雲端儲存費用，約90萬美元。從單一產品來看，30萬名用戶的Hey郵件服務，完全用各種雲端服務打造而成，上雲成本也非常高，光在2022年的上雲費用高達1,066,150美元，相當於臺幣3,343萬元</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>預估未來5年可省臺幣2億元</strong></span></span></p> <p>公開下雲計畫的隔月，37signals就下單買了一批價值60萬美元（臺幣約1,860萬元）的Dell伺服器，來因應未來的成長需求。37signals不是所有的系統都部署在雲端，原本就租用了資料中心代管服務商Deft在兩座機房中共8個機櫃，也由他們代管、維運機房內的實體伺服器，沒有自己親手管理實體伺服器。</p> <p>以5年攤提年限來估算，新購實體伺服器每年攤提的成本約12萬美元，再加上37signals每年付給Deft約72萬美元，包括機櫃等設備租金、頻寬、電力。兩者加起來的實體機房新增成本是一年84萬美元。37signals旗下產品的AP上雲費用約230萬美元，將這些AP改由本地機房接手後，DHH預估，兩者相比，一年可節省150萬美元，5年共750萬美元，扣除50萬美元用來因應不可預期的備用預算之外，「下雲後，未來5年可以省下700萬美元（約臺幣2.1億元）的上雲費用！」他強調。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E4%BC%BA%E6%9C%8D%E5%99%A8-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-37signals.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>為了下雲，37signals買了一批價值60萬美元（臺幣約1,860萬元）的Dell伺服器，共20臺R7625伺服器，一臺R7625伺服器內有兩顆AMD EPYC 9454處理器，每個處理器有48個核心和96個執行緒，20臺可以提供到近4千個vCPU，內建記憶體也達到7,680GB，還有384TB的第四代NVMe儲存容量。</strong><span style="font-size: 14px;">（圖片來源／37signals）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>放棄K8s，自行打造全新Ｗeb應用部署工具</strong></span></span></p> <p>不過，下雲之路，沒有DHH想像中的容易。原本37signals想直接在本地端機房部署一套Kubernetes環境，取代原本所用的AWS EKS，可以保留多年累積的技術成果，只需要將原本的工具指向新的本地端環境。</p> <p>但是，一套AP運作需要用的不只是K8s環境，還需要許多配套機制和服務，要改用實體伺服器建置Kubernete叢集來部署，這些配套機制同樣需要針對本地端環境調整，這是一個高度複雜的任務。</p> <p>再加上商用Kubernetes管理工具的費用要價不菲，後來，37signals乾脆連Kubernetes都不用，自己開發了一套容器部署管理工具Kamal，可以直接在裸機上安裝和管理相關的容器化應用。2023年2月，37signals開源釋出了這套讓他們成功下雲的關鍵工具。</p> <p>37signals在實體伺服器上採用的架構是開源軟體的技術架構，使用KVM來提供虛擬機器，來分割實體伺服器的運算資源，再透過Docker執行容器化的應用，每一隻對外服務的Web應用都是Rails應用。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>37signals如何配置本地實體機房</strong></span></span></p> <p>到了2023年4月，37signals新採購的伺服器到貨，直接寄到租用的代管機房，一座位於芝加哥，另一座位於維吉尼亞州的Ashburn，由長年合作的資料中心代管服務商負責安裝。</p> <p>在這兩座資料中心中，都各有4個機櫃，例如在芝加哥資料中心內的四個機櫃上，仍有六、七十臺實體伺服器，新伺服器建置完成後，也將淘汰了部分老舊主機。37signals總共採購了20臺R7625伺服器，一臺伺服器內建兩顆AMD EPYC 9454處理器，每個處理器具有48個核心和96個執行緒，20臺可以提供到近4千個vCPU，內建記憶體達到7,680GB，還有384TB的第四代NVMe儲存容量。後來，37signals還採購了6臺資料庫專用的伺服器。最後，37signals順利在2023年6月，完成了各項AP應用的下雲搬遷工作，主力產品的應用系統都改在本地端機房中運作，只剩下S3儲存上的8PB用戶資料還沒搬遷，這也將是他們在2024年最重的任務。</p> <p>不過，為了支援全球用戶，37signals美國兩座資料中心上的應用，如同過去一樣，會使用CDN 來加速對各國的交付速度，另外，37signals正在計畫為Hey服務，在歐洲建立一個新的資料中心據點，正在進行測試，同樣透過資料中心代理商來設定和管理。37signals採取遠端工作模式，團隊中的成員，沒有任何一個人實際到過這些機房，親手碰過伺服器，「擁有自己的硬體，不一定要自己打造機房，」DHH補充，機房實體安全、電力、網路、消防等設備，都可以交給專業的資料中心服務業者來處理。</p> <p>在7項產品中，下雲搬遷工程衝擊最大的是Hey，尤其是技術架構必須調整。因為Hey是一款完全雲原生的服務，所有功能和服務都由雲端服務來提供。開發團隊分階段逐漸將不同技術架構的元件，轉移到本地端環境，花了幾個禮拜，依據不同資料庫、快取伺服器、郵件服務器、App執行實例，一項一項各自獨立轉移。</p> <p>另外，37signals產品所用相關軟體較大的改變則是，將RDS資料庫換成了Percona的MySQL 8，而搜尋服務openSearch也改用開源的ElasticSearch，其餘所用軟體原本就大多是開源技術或產品，因此，下雲後沒有增加什麼軟體授權的費用。</p> <p>37signals在年中完成AP的搬遷之後，下雲效益開始浮現，到了2023年9月，雲端帳單已經減少了100萬美元，尤其在預付一年費用的預留執行個體契約到期後，帳單金額快速下滑。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>除了成本節省，下雲還有五大價值</strong></span></span></p> <p>DHH認為，不上雲，對37signals來說，不只是錢的問題，更可帶來五大價值。第一是獨立性，不用困在特定公雲中，尤其可以擺脫公雲業者操控的價格實驗影響。其次是，可以真正對整個網際網路提供服務，而不是只在少數超大規模企業手上的網路中提供。</p> <p>第三是價值是，這個做法意味著自己採取了更聰明的用錢方式。以37signals所用的關鍵服務，如大型資料庫、大量NVMe儲存、高速VM的租金，幾個月後就等於購買設備的成本，自己買是比較聰明的作法。第四個價值是，下雲經驗可以成為SaaS公司的示範。「中型或更大規模的SaaS供應商應該有自已的基礎設施，而不是租用。」DHH指出，37signals經驗可成為這個論點的示範。</p> <p>最後一項價值是「我們想要冒險！」DHH引用了打造出摩天大樓的美國建築師丹尼爾‧伯恩罕的一句話，「別做小計畫，這不會引起人們熱血的魔力，甚至不可能實現，要做大計畫，瞄準遠大的希望和工作。」這個25歲的軟體公司，仍有一股勇於挑戰和創新的性格。</p> </div></div></div>
2024/2/2 11:25作者王宏仁https://www.ithome.com.tw/news/161133
蘋果季報出爐，營收微幅成長2%，承諾今年部署生成式AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2024/02/apple-reports-first-quarter-results/" target="_blank">蘋果周四（2/1）公布</a>截至2023年12月30日的2024財年第一季財報，該季蘋果創下1,196億美元的營收，比前一年同期成長2%，每股盈餘為2.18美元，成長16%。就在微軟、Google、Meta及Amazon等美國主要科技業者競相投入人工智慧（AI）之際，蘋果執行長庫克Tim Cook終於在財報會議上承諾，蘋果正努力開發AI功能，未來幾個月即會發表成果。</p> <p><a href="https://www.apple.com/newsroom/pdfs/fy2024-q1/FY24_Q1_Consolidated_Financial_Statements.pdf" target="_blank">根據財報數字</a>，在1,196億美元的營收中，有964.6億美元來自於硬體產品，成長不到0.1%，服務營收為231.2億美元，成長11.3%。</p> <p>硬體產品中，iPhone銷售占了697億美元，成長6%；Mac占了77.8億美元，成長0.6%；iPad營收為70.2億美元，衰退了25%；穿戴、家庭與配件裝置為119.5億美元，亦下滑11.3%。</p> <p>從市場來看，美洲營收為504億美元，成長2.3%，歐洲營收為304億美元，成長9.8%，包括中國、香港及臺灣在內的大中華區為208億美元，下滑了12.9%，日本為77.7億美元，成長15%。</p> <p>看起來該季蘋果的主要成長來自iPhone、服務、歐洲及日本市場，明顯衰退的則有iPad與大中華區。</p> <p>外電則報導，庫克在財報會議上透露，蘋果對剛上市的Apple Vision Pro及未來的AI充滿熱情，蘋果將繼續投資可形塑未來的各種技術，而且已花費了大量的時間與精力在AI上，將在今年與外界分享更多的細節。<a href="https://www.bloomberg.com/news/newsletters/2023-11-12/apple-aapl-plans-ambitious-ios-18-and-macos-15-updates-seeks-to-squash-bugs-lovjlsf6" target="_blank">《彭博社》（Bloomberg）</a>去年即曾引述消息來源報導，蘋果將透過今年發布的iOS 18導入生成式AI，以期趕上其它競爭對手。</p> <p>相較於上一季的營收衰退，蘋果該季重回成長，雖然成長幅度僅有2%，卻已超出分析師期待，然而，中國市場的業績衰退，蘋果各硬體產品的高度成長不再，再加上消費者目前對蘋果最新產品Apple Vision Pro的態度不明，使得蘋果當天盤後股價下滑了2.9%，為181.45美元。</p> </div></div></div>
2024/2/2 11:50作者陳曉莉https://www.ithome.com.tw/news/161134
透過實體設備搬遷巨量資料
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近網路論壇有篇巨量資料遷移文章，引發熱議。這位網友表示，老闆要他將好幾TB的資料送到公司的另一個據點保存，但如果透過網路傳輸這些內容，可能要耗費一個星期之久，而且無法保證傳輸過程不會中斷，而在該篇貼文底下，有很多人提出的建議都很實用，其中一種就是：將資料備份到硬碟，直接派人開車或搭大眾交通工具將硬碟送去當地。</p> <p>這方法很簡單、技術門檻也不高，而且，很多公司或個人工作者在交付大型檔案時，都會採用，早期甚至會燒錄成光碟，或是儲存在外接硬碟、隨身碟或記憶卡，委託專人或快遞業者將這些儲存裝置送至對方手上。但現在大眾已習於透過網路傳輸各種資料，因此，可能並不會馬上想到。</p> <p>隨著全球數位化程度大幅提升，不論企業與組織管理的資料中心，或位於網路邊緣位置的各種工作現場，需要處理的資料規模與日俱增，雖然皆可透過無遠弗屆的網路連線，持續將擷取到的資料轉送至雲端服務或資料中心，然而，在很多狀況下，仍會在單一站點環境內蓄積大量資料，因此，需一口氣將多達數TB的資料搬運到另一個站點，以便後續進行分析、記錄保存的需求，可能越來越常見，然而，各站點對外的網路，由於受限於成本、技術等因素，頻寬提升的速度勢必趕不上傳輸資料增長的速度，若一味仰賴網路來完成所有資料的傳遞，恐怕會付出相當龐大的時間成本。</p> <p>單就儲存裝置而言，要以此存放、搬運TB等級的資料量，從技術規格的角度來看，應該是可行的，因為目前硬碟單臺容量最大可提供到28 TB，例如WD去年11月發表的新款SMR硬碟Ultrastar DC HC680，值得注意的是，今年市面上將出現30 TB以上的產品，至於固態硬碟則為61.44 TB，如Solidigm去年推出的D5-P5336（但企業可能要預先採購、儲備，因為不一定想買就能馬上拿到）。</p> <p>這類設備的抗震、防塵、防濕、溫度容忍都非常有限，當我們以人工將這些設備攜至遠處時，需避免碰撞，並考量移動過程中的環境變化，搭配適當的實體保護機制。</p> <p>企業與組織若需要更專業、可靠度更高的大容量儲存遷移設備，我們過去曾陸續報導這類產品。</p> <p>像是Seagate在2020年發表的Lyve系列，其中的Lyve Mobile Shuttle，有兩種款式可選，分別是：8 TB（2臺4 TB SATA固態硬碟），以及16 TB（1臺16 TB SATA硬碟）；另一個Lyve Mobile Array，有下列3種組態：最早可搭配6臺SAS固態硬碟，提供46 TB與92 TB，2021年增設6臺SAS硬碟的搭配選項，提供60 TB與96 TB，到了2023年底，Seagate宣布可在此搭配8臺NVMe固態硬碟，提供122 TB。</p> <p>WD也在2021年推出支援邊緣運算的儲存伺服器Ultrastar Edge系列，配備8臺7.68容量的NVMe固態硬碟，總共可提供61.44 TB的儲存空間。可快速存放大量資料之餘，這批設備也搭配伺服器級處理器、512 GB記憶體、雙埠100GbE網路卡，以及Nvidia資料中心GPU產品T4。關於可攜性與實體防護力，WD也特別提供商用搬移箱與硬體強固搬移箱，可置入上述伺服器與帶至其他現場。今年1月WD也悄悄推出新款機型Ultrastar Transporter，單臺設備的NVMe固態儲存容量提升至368 TB，網路介面升級為200 GbE。</p> <p>以硬體設備協助用戶進行大量資料遷移作業的IT廠商，其實不只是上述公司，我們看到三大公有雲業者也提供這類服務，例如AWS的Snowball、Azure的Data Box、Google Cloud的Transfer Service。</p> <p>從上述我們找到的產品與服務來看，若不想經由網路將大量資料傳輸至其他地點，存在許多選擇，在考量省時省力的前提之下，也請大家在評估時，要特別注意資料的機密性。因為，並非每種解決方案都提供加密保護，若內建這方面特色，需確認是否預設啟用，相反地，就必須額外搭配其他方式強化安全性。因為，考量搭乘各種交通工具時，存在各種遺失狀況的風險，若未對這些透過實體運輸進行搬遷的資料進行加密，有可能反而導致大量資料外洩的事故，不可不慎！</p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/review/144128" target="_blank">看好邊緣到雲的資料搬移需求，Seagate顛覆儲存應用拚轉型</a></strong></span></p> <p><a href="https://www.ithome.com.tw/review/149573" target="_blank"><span style="font-size:20px;"><strong>配備NVMe SSD與GPU推論加速卡，WD發展資料轉移伺服器</strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E9%81%B7%E7%A7%BB">資料遷移</a></div><div class="field-item odd"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2">公有雲</a></div><div class="field-item even"><a href="/tags/%E5%B7%A8%E9%87%8F%E8%B3%87%E6%96%99">巨量資料</a></div><div class="field-item odd"><a href="/tags/%E7%A1%AC%E7%A2%9F">硬碟</a></div></div></div>
2024/2/2 10:20作者李宗翰https://www.ithome.com.tw/voice/161130