iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 06:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟釋出Semantic Kernel for Java 1.0候選版，Python版本也進入測試階段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟現在釋出<a href="https://devblogs.microsoft.com/semantic-kernel/java-1-0-release-candidate-for-semantic-kernel-now-available/">Semantic Kernel for Java第一個候選版1.0.0-rc2</a>，這個開源函式庫讓開發者更容易地在Java應用程式，整合諸如OpenAI等人工智慧服務。官方解釋，因為一些暫時性的建置工作管線故障，1.0.0-rc1被放棄了，所以1.0.0-rc2成為Semantic Kernel for Java第一個公開候選版本。</p> <p>Semantic Kernel for Java是一個開源函式庫，供開發者在Java專案中整合人工智慧技術與大型語言模型，以開發人工智慧Java應用程式。微軟以MIT授權開源Semantic Kernel for Java，開發者現在已經可以在GitHub上存取程式碼，或是作出貢獻。開發者可以在Maven Central儲存庫中下載Semantic Kernel for Java 1.0.0-rc2，並將其添加到Maven或是Gradle專案中。</p> <p>Java是微軟在推出.NET版本的Semantic Kernel SDK之後，下一個支援的語言，另外，Python版本的Semantic Kernel也在開發團隊的支援路線圖中，目前已經進入<a href="https://devblogs.microsoft.com/semantic-kernel/now-in-beta-explore-the-enhanced-python-sdk-for-semantic-kernel/">Beta測試階段</a>。</p> </div></div></div>
2024/3/7 09:26作者李建興https://www.ithome.com.tw/news/161639
Stability AI解釋即將推出的Stable Diffusion 3技術細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Stability AI即將公開預覽的Stable Diffusion 3（SD3）之際，官方先解釋了<a href="https://stability.ai/news/stable-diffusion-3-research-paper">SD3的技術細節</a>。SD3採用專為多模態設計的MMDiT架構，能夠良好地處理圖像和文字Token資訊，使得模型整體理解和排版能力都獲得提升。SD3在基準測試上，包括提示詞遵循、排版和視覺美感，皆優於目前最先進的文字轉圖像模型。</p> <p>文字轉圖像生成過程，模型需要同時考慮文字和圖像兩種模態，而SD3所採用的MMDiT新架構（下圖），便是針對多模態資料設計。與過去Stable Diffusion的版本類似，開發團隊使用預訓練模型得出適當的文字和圖樣表示，更具體的說，SD3使用兩個CLIP模型和一個T5模型來編碼文字表示，並使用一個自動編碼模型來編碼圖像Token。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/simplemmdit2.png" style="width: 580px;" /></p> <p>SD3所使用的MMDiT架構建立在<a href="http://arxiv.org/abs/2212.09748">Diffusion Transformer（DiT）</a>的基礎之上。值得一提的是，DiT是OpenAI影片生成模型Sora的共同研究領導人William Peebles，在2023年於ICCV所發表的論文內容，同時也是Sora之所以能夠在影片生成上有重大突破的原因，DiT結合了擴散模型和Transformer的優點。</p> <p>Stability AI指出，文字和圖像嵌入在概念上完全不同，因此他們對兩種模態使用兩組獨立的權重，也就是說每種模態都有兩個獨立的Transformer，只不過在運作上，是將兩種模態的序列連接起來執行注意力操作，這樣兩種表示便能在自己的空間中運作，而又同時可以考慮另一種表示。</p> <p>藉由這種方法，資訊可以在圖像和文字Token間流動，以提高圖像輸出的品質，開發團隊還提到，這種架構也可以擴展至影片等多種模態。由於SD3改進了提示詞遵循能力，因此模型能夠根據用戶的具體要求，創建各種不同主題和特徵的圖像，同時還可保持圖像風格的靈活度。</p> <p>SD3使用了一種稱為校正流（Rectified Flow）的公式來改善圖片品質，校正流公式會在模型學習時，把資料和雜訊以線性軌跡連接，在較直的推理路徑中生成更加清晰的圖片，並且還可減少完成的步驟。也就是讓模型在訓練的時候，透過逐漸將雜訊添加到資訊中，模型便能夠學習從具有雜訊的圖像中，恢復出原始乾淨的圖像，這讓模型學會更好的處理圖像，去除不需要的雜訊，最終生成更真實的圖像。</p> <p>另外，開發團隊還在SD3訓練過程，採用了新的軌跡採樣排程，在軌跡中段給予更多的加權，使得SD3能夠更有效地生成圖像，特別是在較少採樣步驟的時候，這種改進可以協助模型在處理複雜圖像生成任務時，表現得更好。</p> <p>針對SD3訓練所採用的新技術，包括使用重新分配加權的校正流公式，以及MMDiT架構主幹，Stability AI研究其對模型規模的影響，研究發現，無論是模型的大小還是訓練的時間增加，錯誤率都會逐漸減少，並使得模型效能持續上升。這代表Stability AI所採用的這些技術具有發展性，未來仍有改善模型的空間。</p> <p>Stability AI在消費級硬體具有24GB VRAM的RTX 4090顯示卡上，運作80億參數的SD3模型，執行50個採樣步驟，總共花費34秒生成1024x1024的圖像。不過，Stability AI的SD3模型具有多種大小，從8億參數到80億參數都有，能夠符合不同硬體需求。</p> <p>另外，SD3在處理文字採用了一個稍具規模的文字編碼器T5，擁有47億參數，這增加了模型運作需要的記憶體，在不使用T5編碼器的情況下可大幅減少記憶體，且造成很少的效能損失。雖然移除對圖像美感沒有影響，但是會降低文字遵循度，也就是說，不使用T5時，生成的圖像和文字描述可能會有一些落差，部署模型的用戶可以權衡提示詞遵循度和記憶體的限制，靈活選擇是否要移除T5編碼器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/text-encoders.png" style="width: 580px;" /></p> </div></div></div>
2024/3/7 09:39作者李建興https://www.ithome.com.tw/news/161640
【廠商永續支援度盤點：紅帽】OpenShift開始提供容器層級的電力監控支援功能，每個Pod或命名空間每小時的能耗都能…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽從今年初開始在自家混合雲平臺OpenShift中提供了一個容器層級的電力監控工具Kepler，能用於監控雲原生應用的功耗與能耗，不僅可以查看Pod或命名空間（Namespace）叢集中每日使用CPU的整體能耗情況，還能夠細緻地檢視每個命名空間的能耗和功耗在不同時段的變化情形，提供每小時的更新頻<br /> 率。不過目前尚未支援碳排放監控功能。</p> <p>在OpenShift 4.14上現已提供這款工具，供用戶進行試用。不過，現階段僅是技術預覽版，尚未推出正式版。</p> <p>去年初，紅帽承諾要在2030年實現營運溫室氣體淨零排放的目標，其中在針對企業客戶節能減碳方面，紅帽計畫開發一套軟體能耗量測的方法或工具，不僅能夠蒐集和監控每個容器化應用的能耗狀況，甚至可以將其碳排放數據納入管理與追蹤。</p> <p>這套工具源自於一個Kepler（Kubernetes-based Efficient Power Level Exporter）專案。這是由紅帽、IBM在2022年2月所發起，在2023年5月加入CNCF基金會沙盒的專案，利用eBPF來取得能源相關系統狀態的數據，並匯出成Prometheus指標進行監控和管理的工具。</p> <p>Kepler這項工具會在每個節點中部署一個Kepler探索器，用於蒐集容器層級和節點層級的資訊，主要透過eBPF程式來追蹤CPU效能計數器和Linux核心Tracepoint機制，來蒐集即時能耗和資源利用率相關資訊，再進一步計算出每個容器或節點所消耗的kWh能耗資訊，用於監控和管理每個容器和節點的能耗情形。</p> <p>Kepler還使用API從節點元件蒐集各種即時功耗資訊，例如RAPL（用於監控與管理CPU及記憶體的用電量）、NVML（GPU資源利用率管理函式庫）、ACPI（系統電源效能管理介面）、IPMI（伺服器電源監測介面）等。</p> <p>為了準確預估每個容器或Pod的實際能耗，在Kepler工具中還結合機器學習模型來進行測量和預估，以提高測量模型準確性，以便根據實際的資源利用率準確地估計其功耗。同時，Kepler工具本身也整合了開源監控與資料視覺化平臺Grafana，可以視覺化方式呈現Pod或Namespace的電力消耗的情況。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9%20%E2%80%93%E5%84%80%E9%8C%B6%E6%9D%BF-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">從電力監控儀表板中，使用者不僅可以查看每日Pod或Namespace叢集中占用CPU能耗的整體情況，包括所選CPU架構和受監控指定的節點數量等，還可放大檢視每個Namespace在不同時段的能耗和功耗變化，並提供每小時的更新頻率。此外，也可以優先列出能耗過高的Namespace叢集，了解哪些容器和Pod消耗的電量最多，做為日後能耗改善的參考依據。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_紅帽</span></p> <p><strong><span style="font-size:28px;">每個Pod或命名空間的能耗都能納入監控</span></strong></p> <p>紅帽目前雖然還沒將Kepler變成OpenShift的內建功能，但隨著去年11月，OpenShift 4.14版本的發布後，紅帽開始推出了採用Kepler專案所開發的電力監控功能的開發者預覽，讓開發者可以透過安裝外掛的方式，直接將其整合到OpenShift主控臺的儀表板上，方便用戶進行查看和分析。隨後在今年1月底，這項功能進入技術預覽階段，目前尚未推出正式版。</p> <p>從電力監控儀表板中，使用者不僅可以查看每日所有Pod或Namespace叢集中占用CPU能耗的整體情況，包含所選CPU架構和受監控指定的節點數量等，還可放大檢視每個Namespace在不同時段的能耗和功耗變化，並提供每小時的更新頻率。此外，也可以優先列出能耗過高的Namespace叢集，了解哪些容器和Pod消耗的電量最多，做為加強能耗改善的參考依據。</p> <p>值得注意的是，在OpenShift中這項功能目前僅提供Pod、Namespace的功耗和能耗資訊，尚未包含碳排放資訊。因此，企業必須自行將每個容器或運算節點所消耗的kWh能耗資訊乘上碳排放因子，才能夠換算出相應的碳排放量，還無法直接在OpenShift中來查看每個容器或節點的碳排狀況。</p> <p>紅帽表示，透過Kepler工具能夠協助企業更容易觀察、分析、優化和記錄雲端原生應用程式的功耗，而且不僅僅是能產出相關能耗報告，還能用於建立和追蹤其碳足跡，甚至是與軟體工程CI/CD工作流程緊密結合等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9%20%E2%80%93KEPLER-%E5%9C%963-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">紅帽最新提供的Kepler技術支援矩陣顯示了目前已支援和計畫提供技術支援情況，最底層是作業環境層（包含裸機、虛擬機器環境），再上一層是電力資訊收集層（主機板、硬體元件），最上面是應用層（Pod、容器、Process和VM）。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_紅帽</span></p> <p> </p> <p><strong><span style="font-size:28px;">Kepler專案未來計畫提供技術支援</span></strong></p> <p>根據紅帽最新提供的Kepler技術支援矩陣顯示了目前已支援和計畫提供技術支援情況，涵蓋了作業環境層、電力資訊收集層，以及應用層。</p> <p>首先，在底層作業環境上，Kepler現已可支援跨不同作業環境，包括裸機和虛擬機器環境，來監測每個容器化應用的能耗，之後還將支援可信賴執行環境TEE架構。再上一層是電力資訊收集層，一方面支援來自BMC/HMC硬體管理主控臺的電力數據源，未來也將能進一步支援儲存、網路以及外部的電力資訊。另一方面，Kepler支援目前主流的硬體元件及記憶體，包含CPU、GPU、DRAM記憶體和QAT加解密加速器。最上面的應用層，Kepler不只可以支援Pod、容器，還能夠提供Process和虛擬機器的支援。也就是說，即使是在非雲原生環境中，也能夠使用Kepler進行VM的能耗監測和管理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9%20%E2%80%93%E6%B0%B8%E7%BA%8C%E7%99%BC%E5%B1%95-%E5%9C%964-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">除了Kepler專案之外，從紅帽一份雲原生永續性發展藍圖中透露出他們未來在雲原生永續發展上，還將積極推動三項雲原生永續性專案計畫及發展。由左至右分別是能夠感知功耗變化並調整工作負載排程的Peaks專案，還有專注於利用ML模型預測和調整Pod資源使用進行調度的Clever專案。最後一個發展計畫則和減碳相關，能夠自動根據容器化應用的工作負荷進行調度，將高耗能的工作負載分配到碳排放足跡較低的環境中執行。 </strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_紅帽</span></p> <p> </p> <p><strong><span style="font-size:28px;">紅帽雲原生永續性發展藍圖</span></strong></p> <p>除了Kepler專案之外，從紅帽一份雲原生永續性發展藍圖中透露出他們未來在雲原生永續發展上將積極推動三項雲原生永續性專案及發展。紅帽提到的第一個雲原生永續性專案是Peaks專案。這是由紅帽、ET和IBM去年10月發起的專案，它是一個能夠感知功耗並調整工作負載排程的工具，使用該工具可以透過從Kepler中取得的能耗資訊以及綜合能源效率、資源利用率和硬體的相關性，進而計算出其功耗效率資訊，作為能源效率工作負載調度的參考依據，來最佳化其每瓦特效能。</p> <p>第二項雲原生永續專案則是Clever專案，專注於利用ML模型來預測和調整Pod資源使用和進行調度，以便能夠根據工作負載自動擴展或縮放Pod節點，達到功耗效能最優化。</p> <p>紅帽提到的最後一個雲原生永續發展方向則和減碳相關，未來能夠自動根據容器化應用的工作負荷進行調度，將高耗能的工作負載分配到碳排放足跡較低的環境中執行，確保在工作負載的生命周期內落實永續目標。除了Kepler已加入CNCF基金會沙盒專案，Peaks和Clever專案目前均已放上GitHub 上。</p> </div></div></div>
2024/3/7 10:02作者余至浩https://www.ithome.com.tw/news/161588
微軟開發出擅長解決數學問題的Orca-Math小型語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在其小型語言模型Orca和Orca 2的研究基礎上，發展出了<a href="https://www.microsoft.com/en-us/research/blog/orca-math-demonstrating-the-potential-of-slms-with-model-specialization/">Orca-Math</a>，這個新模型的特點在於，雖然僅為70億參數的小模型，但是經過代理指導（AgentInstruct）與迭代學習（Iterative Learning）的微調過程，其解決小學數學問題的能力已能超越大型語言模型，而數學過去被認為是對小型語言模型較困難的領域。</p> <p>微軟在去年6月發表了130億參數的小型語言模型Orca，並在11月的時候更新釋出Orca 2，而Orca系列的研究貢獻在於，微軟證明改進訓練訊號和方法，能夠強化小型語言模型，使其接近大型語言模型的推理能力。Orca-Math也是依循相同的想法所開發出來的特化小型語言模型。</p> <p>Orca-Math是一款以Mistral 7B模型為基礎，針對解決數學問題任務微調的70億參數語言模型，可在基準測試GSM8K pass@1達到86.81％，而這超過了通用模型LLAMA-2-70、Gemini Pro以及GPT-3.5的表現，甚至也超過專為數學開發的模型像是MetaMath-70B和WizardMa8th-70B。Mistral 7B未經微調的GSM8K準確率則是37.83％。</p> <p>GSM8K是一個數學領域的資料集，全名為Grade School Math 8K，也就是小學數學8,000題的意思，這個資料集包含了8,500題高品質的小學數學應用問題，這些問題需要多步驟推理解決，因此GSM8K被設計來評估和訓練人工智慧模型，尤其是語言模型在數學領域的解題能力。</p> <p>GSM8K問題涵蓋小學數學的加法、減法、乘法、除法、分數和百分比等，語言模型需要理解問題的脈絡，進行適當的計算才能得到正確的答案。整體來說，GSM8K是一個具有挑戰性的資料集，不只測試模型的運算能力，同時也評估模型以自然語言理解數學問題的能力，是評估和改進人工智慧在數學領域的重要資料集。</p> <p>要能在GSM8K基準上達到超過80％準確率，通常模型參數量需要超過300億。因此該領域研究人員為了要提高小模型解決問題的能力，需要採取一些特別的方法，像是訓練語言模型生成程式或是使用計算機以避免運算錯誤，也會使用整合（Ensembling）技術，透過多次呼叫模型來重新解決問題，以提高小型語言模型的準確性。雖然Ensembling可有效提升模型效能，但是由於模型可能會被呼叫高達100次，因此運算成本也大幅增加。</p> <p>微軟在Orca-Math研究中，堅持不用外部工具、驗證器以及Ensembling技術，嘗試提升模型原生能力。主要朝兩個研究方向前進，第一是代理指導，第二則是迭代學習。</p> <p>過去的研究在合成訓練資料中，常會使用先進模型參考種子問題生成相似的問題，而微軟提到，為了創建更具挑戰性的問題，他們採用AutoGen多代理流程，此方法可創造更多問題範例，同時增加問題的多樣性和難度範圍。</p> <p>多代理流程配置可以由建議者（Suggester）、編輯者（Editor）、驗證者（Verifier）三個代理組成，由建議者檢查問題並提出多種增加複雜性的方法，而編輯者則接受原始問題和建議者的建議，生成更新、更具挑戰性的問題，並透過迭代多輪來逐漸增加問題的複雜性，並由驗證者檢查新問題是否有解，並創建解決方案。</p> <p>迭代學習是Orca-Math表現良好的另一個原因，微軟提到，使用高品質訓練資料，可引發像是解釋等更豐富的學習訊號，大幅改進小型語言模型的能力，而這種能力過去僅會在大型語言模型中出現。</p> <p>微軟將這種範式應用於老師學生訓練方法，由大模型擔任老師，小模型則是學生角色。在示範教學過程，微軟使用代理指導向小型語言模型，展示問題及其解決方案，而在練習與回饋階段，小型語言模型嘗試自己解決問題，並創建多個解決方案，之後才由老師模型對這些解決方案提供回饋，當小型語言模型無法正確解決問題，則由老師模型提供解答。</p> <p>微軟研究人員不只希望小型語言模型會解決問題，也希望其採用較好的解決方案，因此由老師模型回饋偏好資料，向小型語言模型展示好的與壞的解決方案，並重新訓練小型語言模型。微軟提到，練習、回饋和迭代改進的步驟，會重複多次以提升小型語言模型的能力。</p> <p>微軟研究結果顯示，在有限範圍小型模型可以表現優異，Orca-Math經過20萬道數學題目的訓練，其在解決數學問題的能力，效能已經能夠與大型語言模型相競爭甚至超越。微軟公開了資料集，還有一份描述訓練程序的報告，以促進小型語言模型的發展。</p> </div></div></div>
2024/3/7 08:48作者李建興https://www.ithome.com.tw/news/161638
【資安日報】3月6日，國家級駭客跟進利用ScreenConnect漏洞並用來散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月下旬公布的ScreenConnect漏洞CVE-2024-1709、CVE-2023-1708，不久後就傳出遭到利用，而且利用這些漏洞的主要是勒索軟體駭客組織，最初被發現的是甫被執法單位圍剿基礎設施的LockBit，但隨後也傳出Black Basta、Bl00y兩個組織將漏洞用於攻擊行動。</p> <p>但現在也有國家級駭客加入行列，將這項漏洞用於散布惡意軟體。Kroll旗下的威脅情報團隊發現，北韓駭客組織Kimsuky將其用於散布新的後門程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.kroll.com/en/insights/publications/cyber/screenconnect-vulnerability-exploited-to-deploy-babyshark"><strong style="font-size: 22px;">北韓駭客Kimsuky加入利用ScreenConnect漏洞的行列，散布惡意軟體ToddleShark</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig-5-information-stealer-proces.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig-5-information-stealer-proces.png" style="width: 300px; float: right;" /></a>2月20日資安業者ConnectWise公布合稱為「SlashAndGrab」的ScreenConnect漏洞CVE-2024-1709、CVE-2023-1708，隨後勒索軟體駭客組織LockBit、Black Basta、Bl00dy陸續被查出正在利用這個管道發動攻擊，如今也有國家級駭客跟進。</p> <p>企業金融與風險顧問公司Kroll旗下的威脅情報團隊指出，他們看到北韓駭客組織Kimsuky近期也開始利用SlashAndGrab，對方先是透過曝露的ScreenConnect安裝程式存取受害電腦，並藉由手動輸入的方式，利用cmd.exe執行mshta.exe，取得以Visual Basic打造的惡意程式ToddlerShark並執行，然後竄改Windows電腦的登錄機碼，從而允許Office軟體執行位於網際網路的巨集檔，此惡意程式會定期收集受害電腦的系統資訊，並傳送到攻擊者的C2基礎設施。</p> <p>研究人員指出，此惡意程式是後門程式BabyShark、ReconShark的變種，並具備多態屬性的特性，採用隨機字串及功能程式碼定位，而能夠改變其結構，導致防毒軟體的特徵碼可能無法將其視為有害。</p> <p><a href="https://www.lookout.com/threat-intelligence/article/cryptochameleon-fcc-phishing-kit"><strong style="font-size: 22px;">美國聯邦通訊委員會、加密貨幣業者員工與用戶遭到網釣工具包CryptoChameleon鎖定，駭客偽造單一簽入網頁進行網路釣魚</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/65df3f918e2f3cb1f4974dfb_tvrViLnFcfhNWpJWsZOCQaJLxMHHvyBOftJDxm4I5daImYd-QYaflN3tSvzZ9HGok1UYcxA5W8S2QaAuz9a2m6nfHcjWc1cpscRonYqtI73QHlXgwJwk_qIKl9vg5OBUPOknVUqZgJ9ikAKdOGddN5s.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/65df3f918e2f3cb1f4974dfb_tvrViLnFcfhNWpJWsZOCQaJLxMHHvyBOftJDxm4I5daImYd-QYaflN3tSvzZ9HGok1UYcxA5W8S2QaAuz9a2m6nfHcjWc1cpscRonYqtI73QHlXgwJwk_qIKl9vg5OBUPOknVUqZgJ9ikAKdOGddN5s.png" style="width: 300px; float: right;" /></a>資安業者Lookout揭露名為CryptoChameleon的網路釣魚套件，此套件主要功能是能打造冒牌單一簽入（SSO）網頁，從而騙取使用者的帳密資料。</p> <p>研究人員從2023年下半，看到駭客將其用於攻擊美國聯邦通訊委員會（FCC）員工，也針對幣安（Binance）、Coinbase、Gemini加密貨幣業者員工或用戶而來，此外，他們也看到攻擊者針對AOL、Gmail、Okta等電子郵件服務及單一簽入服務的情況。特別的是，這些駭客策畫了複雜的網路釣魚及社交工程攻擊，運用的手法涵蓋電子郵件、簡訊，甚至也有使用語音網路釣魚。</p> <p>在其中一起攻擊行動裡，受害者接到佯稱公司IT人員的電話，對方聲稱受害者的帳號遭到入侵，將會引導他們奪回帳號。接著，受害者就會收到帶有連結的簡訊，一旦點選就會被導向釣魚網頁。而對於攻擊者的身分，研究人員指出手法與駭客組織Scattered Spider相似，但尚未有足夠證據證明就是這組人馬所為。</p> <p><a href="https://www.cisa.gov/news-events/alerts/2024/02/29/cisa-fbi-and-ms-isac-release-advisory-phobos-ransomware"><strong style="font-size: 22px;">勒索軟體Phobos積極鎖定美國關鍵基礎設施而來</strong></a></p> <p>2月29日美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）、多州資訊共享分析中心（MS-ISAC）針對近期勒索軟體Phobos的攻擊態勢提出警告，因為他們今年2月看到新的變種出現。</p> <p>這些機構指出，此勒索軟體自2019年5月活動，迄今已出現Eking、Eight、Elbie、Devos、Faust、Backmydata等多個變種，此外，勒索軟體駭客組織8Base也在去年年底，在部分攻擊行動採用Phobos。關於惡意軟體的攻擊目標，上述機構表示，長期以來，這群駭客鎖定的對象，涵蓋關鍵基礎設施、地方政府、緊急服務、教育機構、醫療單位。</p> <p>一旦攻擊者成功入侵目標組織，通常會部署惡意程式載入工具SmokeLoader，或是暴力破解遠端桌面連線（RDP）服務，然後進行權限提升及偵察，最終部署勒索軟體。</p> <p><a href="https://twitter.com/DarkWebInformer/status/1763218044581462217"><strong style="font-size: 22px;">勒索軟體駭客宣稱攻入安瑞科技，該公司證實資訊系統遭到病毒攻擊，目前營運不受影響</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GHg1dw4XcAAJZ-M.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GHg1dw4XcAAJZ-M.png" style="width: 300px; float: right;" /></a>2月29日勒索軟體駭客組織Dunghill聲稱入侵資安業者安瑞科技（Array Networks），但並未透露竊得的資料內容，或是對賣家開價的金額。</p> <p>對此，我們詢問安瑞確認是否有此事，該公司表示子公司Array US於3月1日，偵測到資訊系統遭受病毒攻擊。截自目前調查結果，並未有客戶敏感個人資料和機密資訊遭外洩；另外，公司生產、銷售及營運皆無受到影響。 </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161631"><strong style="font-size: 22px;">JetBrains修補TeamCity身分驗證繞過漏洞</strong></a></p> <p></p> <p>3月4日開發工具供應商JetBrains針對CI/CD軟體平臺TeamCity宣布推出2023.11.4版更新，並表示本次更新的內容包含對於重要的安全性漏洞修補，以及數項軟體錯誤。而對於本次JetBrains修補的漏洞類型，皆為身分驗證繞過漏洞，影響所有本地建置版本TeamCity。</p> <p>其中，CVE-2024-27198存在於網頁元件，原因與替代路徑有關，CVSS風險評分為9.8；另一個漏洞是CVE-2024-27199，則是網頁元件的路徑穿越弱點，CVSS風險評分為7.3。一旦上述漏洞遭到利用，未經身分驗證的攻擊者就有機會控制TeamCity伺服器。</p> <p>值得留意的是本次漏洞的處理流程，出現通報者與軟體開發者認知不一致的情況。這些漏洞是資安業者Rapid7於2月通報，但起初JetBrains回應，希望在公開揭露前私下向客戶發布修補程式，以便讓客戶有較為充裕的時間進行處置，而Rapid7則認為這種「靜默修補（silent patching）」的行為，不僅違反他們的漏洞揭露政策，更認為這種做法是姑息惡意行為，讓大眾曝險。</p> <p>資料來源</p> <p>1. <a href="https://blog.jetbrains.com/teamcity/2024/03/additional-critical-security-issues-affecting-teamcity-on-premises-cve-2024-27198-and-cve-2024-27199-update-to-2023-11-4-now/">https://blog.jetbrains.com/teamcity/2024/03/additional-critical-security-issues-affecting-teamcity-on-premises-cve-2024-27198-and-cve-2024-27199-update-to-2023-11-4-now/</a><br /> 2. <a href="https://www.rapid7.com/blog/post/2024/03/04/etr-cve-2024-27198-and-cve-2024-27199-jetbrains-teamcity-multiple-authentication-bypass-vulnerabilities-fixed/">https://www.rapid7.com/blog/post/2024/03/04/etr-cve-2024-27198-and-cve-2024-27199-jetbrains-teamcity-multiple-authentication-bypass-vulnerabilities-fixed/</a><br /> 3. <a href="https://blog.jetbrains.com/teamcity/2024/03/our-approach-addressing-recently-discovered-vulnerabilities-in-teamcity-on-premises/">https://blog.jetbrains.com/teamcity/2024/03/our-approach-addressing-recently-discovered-vulnerabilities-in-teamcity-on-premises/</a></p> <p><a href="https://www.vmware.com/security/advisories/VMSA-2024-0006.html"><strong style="font-size: 22px;">VMware修補虛擬化平臺的USB控制器漏洞</strong></a></p> <p></p> <p>3月5日VMware發布資安公告，指出旗下的虛擬化平臺ESXi、Workstation、Fusion、Cloud Foundation存在4項高風險漏洞，其中較為嚴重的是記憶體釋放後濫用（UAF）漏洞CVE-2024-22252、CVE-2024-22253，這兩項漏洞分別存在於XHCI及UHCI的USB控制器，一旦攻擊者取得虛擬化主機的本機管理員權限，就有可能利用虛擬機器配置檔案（VMX）執行程式碼。</p> <p>值得留意的是，這兩個漏洞在不同虛擬化平臺帶來的危險也有所差異，在VMware Workstation、Fusion的CVSS風險評為9.3分，而在ESXi的CVSS風險評分則是8.4。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161573"><strong style="font-size: 22px;">美國呼籲開發人員改用具有記憶體安全防護特性的程式語言</strong></a></p> <p>美國國家網路主任辦公室（ONCD）呼籲科技業者改用記憶體安全程式語言（memory safe programming language），如Rust，從而大幅降低與記憶體存取方式有關的漏洞，並提高軟體的安全性。ONCD表示，35年來記憶體安全一直對數位生態系統帶來嚴重困擾，消除這種弱點背後的問題相當複雜，但態勢已相當緊迫，因此必須設法從開發源頭降低相關風險。</p> <p>上述呼籲源於美國總統去年3月簽署的國家網路安全戰略（National Cybersecurity Strategy），這項政策特別指出，軟體供應商與服務供應商應承擔保衛美國網路空間安全的責任。</p> <p>針對ONCD的呼籲，開放原始碼安全基金會（OpenSSF）公開聲援，並表明他們提倡開發人員採用這類程式語言，但對於無法遷移的開發人員，他們也提供了部分C與C++編譯器配置的強化指引。</p> <p>資料來源</p> <p>1. <a href="https://www.whitehouse.gov/wp-content/uploads/2024/02/Final-ONCD-Technical-Report.pdf">https://www.whitehouse.gov/wp-content/uploads/2024/02/Final-ONCD-Technical-Report.pdf</a><br /> 2. <a href="https://openssf.org/blog/2024/02/26/openssf-supports-efforts-to-build-more-secure-and-measurable-software/">https://openssf.org/blog/2024/02/26/openssf-supports-efforts-to-build-more-secure-and-measurable-software/</a><br /> 3. <a href="https://best.openssf.org/Compiler-Hardening-Guides/Compiler-Options-Hardening-Guide-for-C-and-C++">https://best.openssf.org/Compiler-Hardening-Guides/Compiler-Options-Hardening-Guide-for-C-and-C++</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://media.defense.gov/2024/Mar/05/2003405462/-1/-1/0/CSI-ZERO-TRUST-NETWORK-ENVIRONMENT-PILLAR.PDF"><strong><span style="font-size: 20px;">美國國家安全局發布零信任指引</span></strong></a></p> <p><strong><a href="https://securelist.com/network-tunneling-with-qemu/111803/"><span style="font-size: 20px;">虛擬化平臺QEMU遭到濫用，駭客設置秘密隧道隱匿攻擊流量</span></a></strong></p> <p></p> <p><a href="https://www.trendmicro.com/en_ae/research/24/c/multistage-ra-world-ransomware.html"><strong><span style="font-size: 20px;">勒索軟體RA World濫用群組原則物件，鎖定醫療產業及金融領域而來</span></strong></a></p> <p></p> <p><a href="https://blog.talosintelligence.com/ghostsec-ghostlocker2-ransomware/"><strong><span style="font-size: 20px;">勒索軟體GhostLocker 2.0鎖定中東、非洲、亞洲企業而來</span></strong></a></p> <p><strong><a href="https://asec.ahnlab.com/en/62446/"><span style="font-size: 20px;">RAT木馬程式WogRAT透過雲端文字共享平臺aNotepad散布，鎖定亞洲國家而來</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161613"><strong>【3月5日】中國駭客組織Earth Lusca在臺灣總統大選前夕對關心臺海局勢的人士發動網路釣魚攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161590"><strong>【3月4日】駭客組織Savvy Seahorse從事投資詐騙攻擊並濫用DNS CNAME紀錄鎖定目標</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161571"><strong>【3月1日】惡意程式Gtpdoor埋伏於電信網路環境從事網路間諜攻擊</strong></a></p> </div></div></div>
2024/3/6 16:12作者周峻佑https://www.ithome.com.tw/news/161636
Google著手降低來自AI與SEO等低品質內容的搜尋排序
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周二（3/5）<a href="https://blog.google/products/search/google-search-update-march-2024/" target="_blank">宣布</a>，正在強化搜尋引擎，以讓使用者看到更多有用的資訊，降低那些專為搜尋引擎而設計，或是大規模自動化之內容的排序。</p> <p>許多網站都透過搜尋引擎優化（Search Engine Optimization，SEO）來提高於搜尋引擎中的排序，它依據搜尋引擎運作的方式、主宰搜尋引擎行為的演算法、人們搜尋的內容，或是關鍵字來設計網站，然而，基於SEO的網站或內容並不見得對使用者有用，且Google發現有許多網站是專為搜尋引擎而非使用者而設計的，因此決定更新部分的核心排序系統，以釐清網頁內容對使用者是否無益，體驗是否不佳，是否專為搜尋引擎建立的，以於搜尋結果中減少那些低品質內容的數量。</p> <p>其實Google在2022年便開始降低那些非原創內容的網站排序，若再加上此次的更新，估計可減少搜尋結果中的低品質及非原創內容排序。</p> <p>另一方面，過去Google原本即抵制那些藉由自動化而大規模產生的低品質或非原創內容，隨著大規模建立內容的方法日益複雜，現在Google亦針對此一大規模生成內容以提高搜尋排名的濫用行為採取行動，包括自動化、人工，或是自動化加上人工產生的內容，例如假裝對熱門搜尋有答案但內容卻毫無幫助的網站。</p> <p>除了上述之外，某些網站也會利用代管平臺的良好聲譽來發布低品質的內容，自今年5月5日起，Google將會將相關內容視為垃圾訊息。而那些原本擁有良好聲譽的網域在遭到棄置之後，被重新購買或用來發布無用的內容，也會被Google視作垃圾訊息。</p> </div></div></div>
2024/3/6 15:34作者陳曉莉https://www.ithome.com.tw/news/161633
Google揭露因應《數位市場法》而作出的搜尋及Android政策變更
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在歐盟《數位市場法》（Digital Markets Act，DMA）正式對業者生效（3/6）的前一天，Google<a href="https://blog.google/around-the-globe/google-europe/complying-with-the-digital-markets-act/" target="_blank">揭露</a>了為因應該法令而針對搜尋及Android政策所作的變更，在搜尋上，中介平臺的排序可能會優於個別的供應商，而在Android上的更動則包括支援搜尋引擎與瀏覽器的選擇，連結Google服務的使用者許可，以及開放更多的支付選項等。</p> <p>Google表示，為了遵循《數位市場法》，他們面臨了許多艱難的取捨，例如搜尋結果的變更可能會替大型仲介機構及聚合服務業者帶來更多流量，而對飯店、航空公司、商家與餐廳等直接供應商帶來較少的流量，對消費者來說，原本由Google所開發、用來協助人們快速於網路上完成工作的功能（如不同產品的推薦），將不再以同樣的方式運作，例如Google於搜尋結果中移除了Google Flights。</p> <p>不管是蘋果的iOS或是Google Android都名列《數位市場法》所規範的22項服務，與本周釋出的iOS 17.4一樣，Android上將列出使用者可選擇的各種搜尋引擎及瀏覽器，以方便使用者直接將它們設為預設值；此外，原本Google各種產品與服務之間的資料是共享的，但現在歐盟使用者可透過Google Account的設定來決定是否同意分享。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0306-Google%20DMA-600-1.png" style="width: 544px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Google</span></span></p> <p>有別於App Store的封閉系統，Google原本就允許第三方程式市集的存在，現在則進一步改善對第三方市集的支援，也支援第三方支付系統，還允許開發者只向用戶提供自己的支付系統，不一定要支援Google Play的支付系統，也開放開發者直接將使用者導至程式以外來提供優惠服務。</p> <p>現在Google也承諾讓歐洲經濟區的廣告主與行銷業者可取得不涉及用戶隱私或商業機密的額外資料，亦將在本周發表供開發者使用的資料可攜API（Data Portability API ）。</p> <p>與蘋果一樣，上述的變更目前都鎖定歐盟市場，並非全球通用。</p> </div></div></div>
2024/3/6 15:59作者陳曉莉https://www.ithome.com.tw/news/161634
104用AI強化人力銀行功能，從寫履歷到找職缺都有虛擬顧問相伴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>104人力銀行昨（3/5）揭露自家如何運用AI，尤其是NLP技術，來強化求職網功能。這些功能囊括了求職者從履歷製作到搜尋職缺等求職歷程的不同階段，也有給企業用的職缺描述生成、企業形象文案生成等。</p> <p>當求職者有預先製作好的履歷，104履歷自動輸入功能可以將原始履歷檔案轉化為104履歷格式。上傳原始PDF檔案後，系統會用CV搭配NLP技術，掃描履歷文字，再輸入內容到104履歷對應欄位，例如學歷、工作經歷等。若原始履歷中有圖片，則會將其轉化為104履歷圖片附件。104平臺暨新產品發展處副總陳仁財坦言，這個功能仍有不足之處，如果原始履歷有大量非結構化資訊，例如長篇自傳，系統會比較不容易判斷對應欄位，難以轉換到104格式履歷中。</p> <p>填寫履歷時，104系統會利用自建NLP模型來理解輸入內容，再根據一系列規則表來檢查履歷是否有改善空間，並提醒求職者。例如，如果履歷內有工作經歷，但沒有填寫就職期間、工作職責、實績等，系統就會建議求職者補充這些內容。</p> <p>填寫完履歷，系統還能自動摘要，方便快速呈現履歷亮點給企業。</p> <p>找職缺階段，104開發了2個新AI找工作功能，一個是AI求職顧問聊天機器人，會根據求職者履歷特徵及對話中提及的職位偏好，搭配企業瀏覽履歷的行為分析結果，來推薦職缺。</p> <p>另一個則是自然語言搜尋功能，系統會將輸入內容轉化為後臺RAG搜尋引擎更容易理解的結構化資訊，並提取出符合求職者語意的職缺。這樣一來，求職者搜尋時不用知道具體職缺名稱，也不用熟知104職業分類方法。</p> <p>104也為企業端開發了生成式AI功能，包括職缺說明生成及企業品牌經營文案生成。前者會根據企業用自然語言輸入的職缺名稱或職務內容，來生成職缺描述範本。後者則是可以根據簡單提示文字來企業動態牆文案。這2個功能中，若企業不滿意生成結果，都可以重新生成或自行編輯</p> <p>陳仁財表示，這些功能背後的技術，主要使用了104自行開發的NLP模型以及企業版ChatGPT，前者用來理解履歷內容及職缺描述，後者則負責生成任務，例如履歷亮點摘要及職缺文案生成等。</p> <p>104總經理黃于純則補充，他們原本還有意開發AI面試功能，不過AI歧視風險難以完全避免，因而作罷。未來若開發類似功能，也只會用於求職者自己練習面試用，不會應用在實際面試場景。</p> <p> </p> </div></div></div>
2024/3/6 14:44作者郭又華https://www.ithome.com.tw/news/161630
蘋果正式釋出遵循歐盟《數位市場法》的iOS 17.4
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於本周二（3/5）正式釋出了遵循歐盟《數位市場法》（Digital Markets Act，DMA）規定的iOS 17.4，蘋果於此一版本中首度開放了第三方程式市集、第三方瀏覽器引擎，以及第三方支付機制，不過這些規定都只適用於歐盟市場，蘋果在其它市場並未開放上述服務。</p> <p>目前<a href="https://www.ithome.com.tw/news/158633" target="_blank">《數位市場法》主要規範</a>Alphabet、Amazon、蘋果、Meta、微軟與字節跳動等六大科技業者履行更多的責任與義務，歐盟將這些業者稱為守門員，認為它們應該要讓歐盟企業存取更公平的商業環境，避免扼殺當地新創企業的發展，進而令歐盟消費者有更好的服務與更多的選擇，並要求上述業者必須在今年的3月6日以前遵循。</p> <p>自iOS 17.4開始，歐盟使用者將可從App Store以外的市集下載iOS程式；在首次開啟iOS上的Safari瀏覽器時，將會出現新的選擇螢幕，列出包括Microsoft Edge、Brave、DuckDuckGo、Opera、Firefox及Chrome等十多種不同的瀏覽器，讓使用者自行選擇裝置上的預設瀏覽器；另也支援程式中的第三方支付。</p> <p>不過，即使位於歐盟的使用者可於iPhone上下載第三方程式市集，但根據<a href="https://support.apple.com/en-gb/118110" target="_blank">蘋果的說明</a>，如果只是短暫離開歐盟，還可繼續存取第三方市集，可若是離開太久（gone for too long），便無法再安裝新的第三方市集，原先自第三方市集下載的程式，也無法再自該市集取得更新。惟蘋果並未明訂「太久」的時間。</p> <p>對於全球的iOS用戶而言，iOS 17.4還是有些功能上的改善，包括<a href="https://www.apple.com/newsroom/2024/03/apple-introduces-transcripts-for-apple-podcasts/" target="_blank">Apple Podcasts將提供字幕</a>，目前支援英文、法文、西班牙文與德文的播客字幕，根據蘋果的規畫，新的播客節目上線後不久，就會出現字幕功能，還可搜尋字幕，但現階段並不具備翻譯能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0306-iOS%2017_4-transcripts%20for%20Apple%20Podcasts.jpg" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_蘋果</span></span></p> <p>另外，蘋果也於iOS 17.4及同一天發表的iPadOS 17.4上<a href="https://support.apple.com/en-us/HT214081" target="_blank">修補了4個安全漏洞</a>，分別是位於輔助（Accessibility）功能中的位置資訊外洩漏洞CVE-2024-23243，位於核心中的記憶體毀損漏洞CVE-2024-23225，RTKit中的記憶體毀損漏洞CVE-2024-23296，以及Safari隱私瀏覽上的資訊外洩漏洞CVE-2024-23256。</p> </div></div></div>
2024/3/6 14:53作者陳曉莉https://www.ithome.com.tw/news/161632
JetBrains緊急修補TeamCity漏洞，但惹毛通報的資安廠商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>捷克開發工具供應商JetBrains周二緊急修補旗下TeamCity平臺軟體二個已有濫用行為的重大風險漏洞，但是遭到通報資安廠商批評，軟體業者單方向修補漏洞未告知，已違反其安全政策，揚言公布漏洞細節。</p> <p>JetBrains本周一<a href="https://blog.jetbrains.com/teamcity/2024/03/additional-critical-security-issues-affecting-teamcity-on-premises-cve-2024-27198-and-cve-2024-27199-update-to-2023-11-4-now/" target="_blank">修補</a>其CI/CD工具TeamCity的CVE-2024-27198及CVE-2024-27199漏洞。兩漏洞是在2月中由Rapid 7<a href="https://www.rapid7.com/blog/post/2024/03/04/etr-cve-2024-27198-and-cve-2024-27199-jetbrains-teamcity-multiple-authentication-bypass-vulnerabilities-fixed/" target="_blank">通報</a>。其中CVE-2024-27198是TeamCity Web元件的驗證繞過漏洞，源於TeamCity的Web元件中的替代路徑，其CVSS風險值為9.8。CVE-2024-27199也是身份驗證繞過漏洞，源自於TeamCity的Web元件中的路徑遍歷問題（path traversal），CVSS風險值為7.3。JetBrains發布了軟體更新及修補程式外掛，也呼籲用戶更新軟體版本。</p> <p>通常資安業者及軟體公司針對安全漏洞的新聞在此告一段落，但Rapid 7卻對JetBrains漏洞修補未告知感到不滿。雙方在2月中首次取得聯繫，2月20日Rapid 7提供二項漏洞的技術細節，也提及「協同揭露」（coordinated disclosure）的重要性，要求JetBrains提供修補時程、緩解方法及影響的軟體版本等資訊，並且提醒未告知修補是Rapid 7所謂的「靜默修補」（silent patching）行為，違反其政策。但此時JetBrains表示，這二項漏洞已在2023年11月修補過。</p> <p>Rapid 7的靜默修補是指，軟體業者對資安廠商通報的漏洞，在神不知鬼不覺情況下修補起來。不公開歸功於資安研究人員，隱藏漏洞技術細節、攻擊手法、也不發布漏洞編號，認為愈少人知道對用戶愈安全。但Rapid 7指出，這種作法只會讓少部份攻擊者和惡意人士獨擁攻擊手法及防衛知識，反而陷大眾於險境。</p> <p>在雙方溝通未果後，3月4日Rapid 7發現JetBrains藉由<a href="https://blog.jetbrains.com/teamcity/2024/03/teamcity-2023-11-4-is-out/" target="_blank">更新</a>去年11月的安全公告來重新發布軟體更新版本，即已在未告知情況下修補了漏洞。Rapid 7指控JetBrains的靜默修補行為，揚言將在24小時內公布漏洞細節。當天Rapid 7於是<a href="https://www.rapid7.com/blog/post/2024/03/04/etr-cve-2024-27198-and-cve-2024-27199-jetbrains-teamcity-multiple-authentication-bypass-vulnerabilities-fixed/" target="_blank">公布</a>了漏洞技術細節。同一天JetBrains正式發布新的安全公告，包括漏洞編號及發布說明。</p> <p class="rtecenter"><a href="http://www.rapid7.com/blog/post/2024/03/04/etr-cve-2024-27198-and-cve-2024-27199-jetbrains-teamcity-multiple-authentication-bypass-vulnerabilities-fixed/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0306-TeamCity-CVE-Rapid%207.jpg" style="width: 600px;" /></a></p> <p>另一家資安業者Shadowserver<a href="https://twitter.com/Shadowserver/status/1764960110659478012" target="_blank">偵測到</a>，已經有針對TeamCity CVE-2024-27198漏洞的濫用程式，目前已掃瞄到16個來源IP位址。</p> <p>JetBrains<a href="https://blog.jetbrains.com/teamcity/2024/03/additional-critical-security-issues-affecting-teamcity-on-premises-cve-2024-27198-and-cve-2024-27199-update-to-2023-11-4-now/" target="_blank">表示</a>，公司政策一般保留不公開技術細節，讓客戶有時間部署防護。該公司<a href="https://blog.jetbrains.com/teamcity/2024/03/additional-critical-security-issues-affecting-teamcity-on-premises-cve-2024-27198-and-cve-2024-27199-update-to-2023-11-4-now/" target="_blank">提供2項方案</a>，一是升級TeamCity伺服器到2023年11月版本，二是修補程式外掛，供來不及安裝修補程式的用戶安裝。</p> <p class="rtecenter"><a href="http://blog.jetbrains.com/teamcity/2024/03/additional-critical-security-issues-affecting-teamcity-on-premises-cve-2024-27198-and-cve-2024-27199-update-to-2023-11-4-now/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0306-TeamCity-CVE-600.jpg" style="width: 600px;" /></a></p> </div></div></div>
2024/3/6 12:40作者林妍溱https://www.ithome.com.tw/news/161631
Windows 11 Subsystem明年將終止支援Android App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://learn.microsoft.com/en-gb/windows/android/wsa/" target="_blank">公告</a>將在2025年3月終止支援Windows 11上的Windows Subsystem for Android，但現有已安裝的Android App還可以使用一年。</p> <p>Windows 11推出時，大加宣揚將可支援Android應用程式。2021年微軟並<a href="https://www.ithome.com.tw/news/147387" target="_blank">釋出</a>適用於Windows 11的Windows Subsystem for Android（WSA），讓使用者在Windows 11裝置上，執行從Amazon Appstore下載的Android應用程式。</p> <p>但是在近日更新的<a href="https://learn.microsoft.com/en-gb/windows/android/wsa/" target="_blank">相關網頁上</a>，微軟說明自明年3月5日起不再支援WSA，此後微軟也不再支援Windows版Amazon Appstore及所有仰賴WSA的應用程式及遊戲程式。2024年3月5日，也就是昨日前安裝Amazon Appstore及Android App的用戶還是可以持續使用一年。</p> <p>微軟<a href="https://support.microsoft.com/zh-tw/windows/%E5%9C%A8-windows-%E4%B8%8A%E5%AE%89%E8%A3%9D%E8%A1%8C%E5%8B%95%E8%A3%9D%E7%BD%AE-app-%E5%92%8Camazon-appstore-f8d0abb5-44ad-47d8-b9fb-ad6b1459ff6c" target="_blank">說明</a>，明年3月5日Microsoft Store上才會移除Amazon Appstore和Android App，但根據Amazon的<a href="https://www.developer.amazon.com/apps-and-games/blogs/2024/03/amazon-appstore-on-windows-11-discontinued" target="_blank">說法</a>，從今（6）日開始，Windows 11用戶現在已無法從Microsoft Store搜尋到Amazon Appstore及Android App。如果你是Android App開發人員，從昨日起已無法將預計執行在Windows 11上的App提交給App Store。已經上傳的現有App則還可以持續更新，直到明年此時。</p> <p class="rtecenter"><a href="http://www.developer.amazon.com/apps-and-games/blogs/2024/03/amazon-appstore-on-windows-11-discontinued" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0306-WSA-600-1.jpg" style="width: 600px;" /></a></p> <p>雖然在Windows上執行Android App對一些用戶來說相當方便，但是WSA有不少不足之處。最大的是用戶只能從Amazon Appstore下載，而非最大Android App市集Google Play Store，因此App數量及選擇相當有限。其次，用戶還必須從Microsoft Store安裝Amazon Appstore及WSA，在使用經驗上相當麻煩。最後，如果用戶想在Windows上操作Android App，例如在桌機上收發簡訊或同步桌機和Android手機，只要使用Phone Link App可以辦到，也無需使用WSA。因此，微軟終止支援Appstore及WSA或許令人意外，但影響層面應該有限。</p> <p>Amazon表示，明年3月後，其Appstore在其Fire TV、Fire Tablet以及其他Android裝置上，都還會持續提供和支援。</p> </div></div></div>
2024/3/6 11:08作者林妍溱https://www.ithome.com.tw/news/161628
Cloudflare發布AI防火牆，保護大型語言模型不被濫用與攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare針對大型語言模型應用推出<a href="https://blog.cloudflare.com/firewall-for-ai">Firewall for AI</a>，目的是要在大型語言模型部署之前，提供一個保護層，阻擋有問題的請求輸入模型，避免模型遭到濫用。Firewall for AI是一個針對大型語言模型設計的進階網頁應用防火牆（WAF），不只能夠偵測漏洞也提供視覺化工具，方便用戶管理人工智慧應用的安全性。</p> <p>企業正大量地採用大型語言模型，但由於應用程式與網際網路連接，因此同時也引入了新的漏洞，可能遭惡意攻擊者濫用。Cloudflare提到，大型語言模型應用除了需要面對傳統網頁和API應用程式領域，諸如注入或是資料外洩等資安威脅之外，由於大型語言模型在操作上的不確定性，還須面對像是模型劫持並執行未經授權操作等問題。</p> <p>而Cloudflare推出的Firewall for AI，主要是針對提示詞注入（Prompt Injection）、模型拒絕服務（Model Denial of Service），以及敏感資訊洩漏（Sensitive Information Disclosure）三種模型攻擊提供保護措施，減少被濫用的風險。</p> <p>Firewall for AI的部署方式與傳統網頁應用防火牆相同，每個帶有大型語言模型提示詞的API請求都會經防火牆掃描，以偵測可能的攻擊模式和特徵。Firewall for AI可以部署在託管於Cloudflare Workers AI平臺，或是其他第三方基礎架構的模型之前，並且能夠與Cloudflare AI Gateway合併使用，透過網頁應用防火牆控制平面來控制和設定Firewall for AI。</p> <p>模型拒絕服務與傳統應用程式所面對的流量攻擊（Volumetric Attack）類似，都是藉由消耗大量資源，進而導致服務品質下降或是增加模型運作成本的攻擊方式。Firewall for AI會透過速率限制策略，來控制各個對話請求的速率，以限制脈絡長度（Context Window）降低DoS的風險。</p> <p>在偵測敏感資料方面，Firewall for AI讓用戶使用敏感資料偵測（Sensitive Data Detection，SDD）網頁應用防火牆管理規則集，辨識模型在回應中回傳的個人識別資訊（PII）。用戶可以在網頁應用防火牆安全事件中審查SDD的比對狀況。</p> <p>目前SDD提供了一套管理規則，掃描信用卡號碼等財務資訊，以及API金鑰等機密資訊，Cloudflare將會讓用戶創建自己定義的規則。另一方面，Cloudflare也將擴展SDD，避免使用者向外部大型語言模型供應商例如OpenAI或Anthropic等，共享PII或其他敏感資訊。</p> <p>而模型濫用則是一個廣泛的類別，包括提示詞注入，攻擊者透過特別設計的輸入來操縱語言模型。抑或是提交導致模型產生幻覺、不準確或冒犯性回應，甚至是偏離主題的請求等行為。另一方面Cloudflare也提到，企業也希望避免人工智慧應用生成有毒或是冒犯性的回應。</p> <p>Firewall for AI會進行一系列偵測，針對提示詞注入和各種濫用，防火牆將自動尋找嵌入在HTTP請求或是JSON Body中的提示詞。一旦用戶啟用防火牆，系統將會分析每個提示詞並根據惡意可能性給予分數，搭配上機器人分數或是攻擊分數，用戶可以創建規則阻擋符合一或是兩個維度以上，具特定分數的請求，達到保護大型語言應用的目的。</p> <p>要使用Firewall for AI，企業用戶需要訂閱Application Security Advanced方案。目前已經能夠使用進階速率限制與SDD功能，而Cloudflare還在開發Firewall for AI的提示詞驗證功能，預計還需要幾個月才會正式推出。</p> </div></div></div>
2024/3/6 09:27作者李建興https://www.ithome.com.tw/news/161627
美國運通因第三方服務供應商遭駭導致用戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國運通向用戶<a href="https://www.mass.gov/doc/assigned-data-breach-number-2024-210-american-express-travel-related-services-company-inc/download">發出</a>資料洩漏警示，並且已經<a href="https://www.mass.gov/doc/data-breach-report-2024/download">通報</a>監管機構。事件起因為一家在買家和賣家之間，負責處理信用卡交易的第三方服務供應商，其系統遭駭客入侵，發生未授權存取事件，導致部分美國運通卡會員的帳戶資訊外洩，但美國運通強調，公司系統並未受此事件影響。</p> <p>已知洩漏的資訊包含美國運通卡帳戶號碼、用戶姓名，以及諸如到期日等資訊，目前外界並不清楚受影響的用戶數量。美國運通正在監控這些帳號是否被用於詐騙，官方也提醒，用戶信用卡若仍在啟用狀態，可定期登入帳戶查看對帳單，尤其是在接下來12到24個月之間。</p> <p>針對因資料洩漏所產生的盜刷行為，官方強調用戶無須對費用負責，並且建議用戶啟用美國運通應用程式的通知功能，以即時接受詐騙警告和購買通知。</p> </div></div></div>
2024/3/5 22:55作者李建興https://www.ithome.com.tw/news/161626
【資安日報】3月5日，中國駭客組織Earth Lusca在臺灣總統大選前夕對關心臺海局勢的人士發動網路釣魚攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月有資安業者Trellix揭露針對臺灣總統大選而來的網路攻擊行動，並指出攻擊行動在投票日前24個小時達到高峰，駭客的目的是收集特定候選人情資。而針對這場選舉而來的網路攻擊不僅止於此，最近有研究人員公布與此有關的資安威脅活動。</p> <p>趨勢科技近期公布中國駭客組織Earth Lusca的網路釣魚攻擊，巧合的是，這起事故發生在選舉前2天，駭客疑似透過地緣政治議題來引誘使用者上鉤。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161607"><strong style="font-size: 22px;">中國駭客組織Earth Lusca使用地緣政治議題為誘餌，在臺灣總統大選前夕從事網釣攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Eath Lusca Timeline.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Eath%20Lusca%20Timeline.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技指出，他們長期追蹤的中國駭客組織Earth Lusca，從去年12月至今年1月，從事網路釣魚攻擊，其中使用談論兩岸地緣政治議題的文件檔案，但引起研究人員關注的地方在於，該檔案在臺灣總統大選投票日的兩天前（1月11日）建立，其內容疑似盜用尚未發表的臺灣地緣政治專家文章。對此，他們認為這些政治專家或所屬組織也遭到入侵，駭客才能盜用這些文章。</p> <p>另一方面，他們也根據這起攻擊行動使用的工具及手法，發現該駭客組織與與日前資料外洩的中國資安業者安洵（i-Soon）可能有高度關連，但兩者之間的關係仍有待進一步調查。</p> <p><a href="https://www.nis.go.kr:4016/CM/1_4/view.do?seq=286"><strong style="font-size: 22px;">韓國2家晶片廠遭北韓駭客鎖定，工程資料外洩</strong></a></p> <p></p> <p>3月4日韓國國家情報院（NIS）針對半導體業者提出警告，揭露北韓駭客去年下半開始集中針對該產業進行網路攻擊。對方主要使用寄生攻擊（LotL）手法，使用目標伺服器的合法程式從事攻擊，而且大幅減少惡意程式碼的使用，進而隱匿攻擊行動。其中，有兩家公司分別在去年12月和今年2月，他們的組態管理伺服器（configuration management server）及資安政策伺服器（security policy server）遭到入侵，導致產品設計圖、生產設施的照片被偷走。</p> <p>而對於北韓駭客集中火力針對韓國半導體產業的原因，很有可能是北韓遭到制裁晶片而難以取得這些產品，再加上衛星、飛彈等軍事系統的開發，導致需求增加，NIS認為，北韓可能打算竊取相關技術，自行生產所需的晶片。</p> <p><a href="https://www.bleepingcomputer.com/news/security/american-express-credit-cards-exposed-in-third-party-data-breach/"><strong style="font-size: 22px;">美國運通信用卡資料外流，起因是第三方支付處理業者的系統被入侵</strong></a></p> <p></p> <p>美國運通近日向麻薩諸塞州通報他們發生資料外洩事故，指出他們得知許多商店合作的支付處理業者遭駭，導致客戶的信用卡資料可能外洩，這些資料包含卡號、姓名、有效期限，但該公司強調本身的系統並未受到影響。</p> <p>不過，究竟有多少客戶受到影響、攻擊發生的時間，以及支付處理業者的身分，美國運通並未透露。</p> <p></p> <p><a href="https://www.theguardian.com/technology/2024/feb/29/pegasus-surveillance-code-whatsapp-meta-lawsuit-nso-group"><strong style="font-size: 22px;">美國法院要求NSO Group交出間諜軟體Pegasus原始碼</strong></a></p> <p></p> <p>2019年10月Meta控告駭入即時通訊軟體WhatsApp的間諜軟體製造商NSO Group，最近有新的進展，根據衛報的報導，法官要求該公司必須提供Meta間諜程式Pegasus的原始碼，以及WhatsApp用戶遭到攻擊前、後1年的所有版本間諜軟體，並包含全部的功能模組。</p> <p>由於此事牽涉軟體與行動裝置產業的安全，微軟、Google、思科、GitHub、LinkedIn、VMware、網際網路協會（Internet Association）皆曾出面聲援Meta。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://github.blog/2024-02-29-keeping-secrets-out-of-public-repositories/"><strong style="font-size: 22px;">因應開發者程式碼不慎外洩帳密資料過於浮濫，GitHub宣布全面預設啟用「推送保護」機制</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Prevent-secret-leaks.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Prevent-secret-leaks.jpg" style="width: 300px; float: right;" /></a>2月29日程式碼儲存庫GitHub宣布，有鑑於意外洩露的API金鑰、Token，以及其他機敏資訊（統稱為secrets）不慎洩露的情況太過氾濫，他們在2024年前8週的時間，在公共儲存庫偵測到超過100萬個曝光的機敏資訊，相當於每分鐘就有至少10筆這類資料出現。對此，他們宣布，所有用戶提交至公開儲存庫的內容，預設啟用「推送保護（Push Protection）」的功能，希望能藉此防堵機敏資訊不慎被開發人員程式碼曝光的情況。</p> <p>這項防護措施去年5月先針對儲存庫的管理者開放啟用，到了8月，該公司宣布開發人員可針對自己上傳的所有程式碼，在提交時進行相關的檢查。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161545"><strong style="font-size: 22px;">拜登發布行政命令，禁止敏感個資輸出至敵對國家</strong></a></p> <p></p> <p>2月28日美國總統拜登發布行政命令，指出由於企業大量收集個資並交給資料掮客獲利，但這類公司很有可能將其賣給外國情報機構，不只會造成嚴重的隱私問題，甚至有可能引發國家安全的隱患，對此，他指示司法部制訂法規，明確規範美國民眾敏感個資免於遭到特定國家的存取和利用，這些資料範圍涵蓋基因、生物識別、個人健康、地理位置、財務，以及某些能夠識別個人的資料，當局也將加強對於政府敏感資料的保護。</p> <p>同時，司法部與國土安全局將設立高安全標準，防止特定國家透過投資、供應商、承攬關係等商業手段來取得該國人民個資。此外，美國電信服務部門外國參與評估委員會也在審核海底電纜許可的過程，評估對美國民眾敏感個資帶來的潛在威脅。</p> <p>對此，司法部表示將會徵求公眾意見，首波打算將中國、俄羅斯、伊朗、北韓、古巴、委內瑞拉列為重點關注國家。</p> <p>資料來源</p> <p>1. <a href="https://www.whitehouse.gov/briefing-room/statements-releases/2024/02/28/fact-sheet-president-biden-issues-sweeping-executive-order-to-protect-americans-sensitive-personal-data/">https://www.whitehouse.gov/briefing-room/statements-releases/2024/02/28/fact-sheet-president-biden-issues-sweeping-executive-order-to-protect-americans-sensitive-personal-data/</a><br /> 2. <a href="https://www.justice.gov/opa/pr/justice-department-implement-groundbreaking-executive-order-addressing-national-security">https://www.justice.gov/opa/pr/justice-department-implement-groundbreaking-executive-order-addressing-national-security</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.cna.com.tw/news/asoc/202403040057.aspx"><strong><span style="font-size: 20px;">竊取晶圓製程投靠中國廠商，南亞科前員工被判1年10個月</span></strong></a></p> <p></p> <p><strong><a href="https://therecord.media/new-predator-spyware-infrastructure-identified"><span style="font-size: 20px;">研究人員在11個國家發現新的攻擊基礎設施，疑被用於間諜軟體Predator攻擊</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/blackcat-ransomware-turns-off-servers-amid-claim-they-stole-22-million-ransom/"><strong><span style="font-size: 20px;">勒索軟體駭客BlackCat聲稱從醫療支付平臺Change Healthcare收到2,200萬美元贖金，然後關閉網站伺服器</span></strong></a></p> <p></p> <p><a href="http://gur.gov.ua/content/soft-shyfry-sekretni-dokumenty-kiberfakhivtsi-hur-zlamaly-minoborony-rosii.html"><strong><span style="font-size: 20px;">烏克蘭駭客聲稱入侵俄羅斯國防部伺服器</span></strong></a></p> <p></p> <p><strong><a href="https://www.darkreading.com/vulnerabilities-threats/voltzite-zaps-african-utilities-volt-typhoon-onslaught"><span style="font-size: 20px;">海康威視修補安全管理系統的高風險漏洞</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161590"><strong>【3月4日】駭客組織Savvy Seahorse從事投資詐騙攻擊並濫用DNS CNAME紀錄鎖定目標</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161571"><strong>【3月1日】惡意程式Gtpdoor埋伏於電信網路環境從事網路間諜攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161549"><strong>【2月29日】Hugging Face平臺上面出現惡意模型！能在用戶電腦部署後門程式</strong></a></p> </div></div></div>
2024/3/5 17:25作者周峻佑https://www.ithome.com.tw/news/161613
GovTech月報第27期：氣象署靠新超級電腦提高象氣預報精細度；數位部要用數位簽章打擊投資詐騙廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0125~0229)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">超級電腦</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">氣象</span></font></strong></p> <p><span style="font-size:22px;"><strong>氣象署啟用新一代超級電腦，強化氣象預報對抗極端氣候</strong></span></p> <p>全球極端氣候影響，為提升我國氣象預報能力，交通部中央氣象署近期啟用第6代超級電腦，取代使用多年的前一代系統，新的超級電腦耗費3年時間建置完成，採用Arm架構處理器，總算力達到10PFlops，使現有氣象預報區域水平解析度，從3公里縮減至1公里，提升對區域內複雜地形的預報精細度。</p> <p>新的超級電腦採用富士通的「富岳」超級電腦技術，採用台積電7奈米製程的Arm架構A64FX處理器，內建48個核心及4個輔助核心，氣象署更以新的超級電腦，在去年11月最新的全球500大超級電腦排名中取得第69名，目前已用於氣象預報作業。</p> <p>除了CPU架構，氣象署也建置一套由192個Nvidia A100 GPU建置的系統，未來將和相關的產學及國網中心合作，主要用於AI氣象應用開發，包括開發可適用於臺灣鄰近區域的AI高解析度區域天氣預報模式，以解決現有氣象作業時效的瓶頸。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位簽章</span></font></strong></p> <p><span style="font-size: 22px;"><strong>數位部將要求網路平臺登刊廣告使用數位簽章，加速KYC審核流程、打擊投資詐騙廣告</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ES-4.jpg" style="width: 600px; height: 400px;" /></p> <p>為杜絕網路平臺上的投資詐騙廣告，數位發展部長唐鳳近期指出，數位部身為網路平臺的主管機關，將和Line、臉書等平臺業者合作，要求廣告刊登採用數位簽章，一方面協助業者自動化KYC審核流程，另方面也能從源頭管理打擊投資詐騙廣告。</p> <p>行政院近期通過數位部提出的電子簽章法修正草案，接下來將送立法院審議，修正草案重點之一是明定電子簽章與數位簽章的關係，並明定數位簽章因具有政府許可的憑證機構所發憑證，在法律上可推定具有本人親簽或蓋章的效力。</p> <p>由於數位簽章具有本人親簽效力，數位部舉例說明，目前在Meta的臉書或IG刊登政治廣告，要求平臺盡到KYC責任，由刊登者提供身分證正反面影本資料，由網路平臺業者人工審核，未來若是修法通過，就可以數位簽章自動化KYC審核流程；另外，在打擊投資詐騙廣告方面，目前網路平臺刊登投資廣告，經檢舉後24小時內才會下架，數位部將與金管會、內政部合作，要求刊登廣告需使用數位簽章，一互檢警認定廣告為詐騙時，透過聯防機制，通知其他平臺對同一身分簽署者刊登的廣告也要下架，加強源頭管理打擊詐騙廣告。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">救災</span></font></strong></p> <p><span style="font-size: 22px;"><strong>提高防救災效率及人員安全，政院將投入6.6億元採購無人機、救災機器人</strong></span></p> <p>為提升救災效率及現場救難人員安全，行政院近期通過決議，將花費6.6億元，協助22各縣市採購無人機、救災機器人，包括從空中拍攝災害現場畫面，或是利用救災機器人執行高危險性救援工作。</p> <p>該計畫是由內政部消防署提出，計畫採購88組無人機、救災機器人88臺，結合設備操作、訓練計畫，供各縣市消防單位救災使用。行政院長陳建仁指出，透過無人機、救災機器人採購，強化第一線消防救災能量，並確保救災人員安全，蒐集空拍資訊，作為指揮作業的決策參考。</p> <p>消防署長蕭煥章表示，去年屏東發生明揚大火，導致多位消防人員傷亡，經檢討可強化科技救災能量，因此政府擬投入6.6億元充實直轄市、縣市消防機關的無人載具裝備，以因應化學工廠、鐵皮工廠等救災工作，包括陸地上利用救災機器人進行高危險性救災工作，並由空中的無人機拍攝災害現場畫面。</p> <p>根據消防署統計，國內原本就有261臺無人機、34臺救災機器人，此次2024年無人載具裝備採購計畫再增加88臺無人機、88臺災機器人，2025年在建構國家安全化學與韌性永續計畫之下，預期再以4.6億元經費採購72臺無人機、33臺救災機器人，國內累積將有421臺無人機及155臺救災機器人。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">少子化</span></font></strong></p> <p><span style="font-size:22px;"><strong>日本政府運用AI輔助男女配對提高婚姻率，試圖解決少子化人口危機</strong></span></p> <p>由於結婚人數逐年下滑，日本政府面臨少子化的人口危機問題，除了傳統婚配媒合之外，也運用大數據、AI等技術，來提高男女「婚活」相親配對的成功率，希望能挽救逐年減少的日本人口。</p> <p>日本政府擔憂出生率下降，該國已將出生率連年下降視為重大危機，日本首相岸田文雄曾宣布國家緊急狀態，祭出一系列措施扭轉人少子化的趨勢，其中一項是，政府以經費補助運用AI技術協助的婚活聯誼活動，根據統計，2023年3月為止，在日本的47個都道府縣中，包括東京都在內有31個提供相關的配對服務。</p> <p>有別於傳統相親大多以年齡、收入、職業等條件進行配對，日本政府希望透過AI找出可能潛在配對條件，他們利用AI分析個人資訊，包括來自婚姻介紹中心的資訊、參加者填答的問卷，甚至一些地方政府會將參加者的網路瀏覽紀錄也納入AI演算法。由於AI輔助的婚活配對條件更廣，有成功配對者坦承和原本不會考慮的伴侶見面。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">空氣品質</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>臺中港設空維區科技執法，檢驗合格車輛比率提高至9成</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AIR.jpg" style="width: 600px; height: 393px;" /></p> <p>為維護空氣品質，臺中市環保局自2021年公告畫設臺中港空氣品質維護區，在臺中港管制站利用車牌辨識技術，對進入臺中港大型柴油車輛進行辨識，以找出違規車輛，經過近2年的宣導，空維區在2023年9月正式生效，近期臺中市環保局公布合格車輛已提高至9成。</p> <p>根據臺中市環保局規定，進入臺中港空維區主要管制車輛為1999年6月30日以前出廠的大型柴油車，凡是進入臺中港應取得前一年排煙檢驗合格，環保局在臺中港7個管制站設置車牌辨識系統，利用科技執法取代人工方式，全天候掌握進入車輛，自動比對找出違規車輛，如發現違規車輛則要求改善，若未改善且通行空維區則按次處罰，累計至今已開罰134件違規。</p> <p>在宣導期間，進入車輛的合格率顯著提高，例如在2022年合格率約3成，2023年10月提高到85.5%，到2024年1月已提高至90.8%。由於畫設空維區的成效良好，環保局計畫將臺中港的成功經驗擴大到遊憩地點，例如目前已完成水湳生態公園、中央公園、谷關風景區等3個空維區草案規劃及意見收集，未來送至環境部審核，核定後予以公告。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">交通</span></font></strong></p> <p><strong><span style="font-size:22px;">美俄亥俄州將測試無人機交通監控計畫</span></strong></p> <p>無人機除了軍事、救災等用途，美國俄亥俄州近期獲得FAA聯邦航空管理局同意，將在哥倫布市郊一段高速道路上，測試利用空中無人機施行交通監控，以補足地面攝影機的不足，未來應用在交通管理。</p> <p>由於該無人機交通監控計畫，會在市郊一段高速道路上，由地面操控員控制進行視線外的飛行，飛越因此需獲得FAA核可。俄亥俄州政府將利用無人機，在哥倫布市西北方的33號公路長4英里路段操控飛行，該路段被設計為智慧道路，設置光纖電纜、道路感測器及其他設備，用以測試未來的汽車技術。</p> <p>該無人機具備感測器，以偵測附近飛行載具，相較於設置於地面的攝影，無人機在空中可以更靈活，用於監控碰撞或減速，並且協助救援任務，在緊急事件發生時，協助緊急救援人員應對。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">英國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>英國利用生成式AI提高政府工作效率</strong></span></p> <p>英國首相Rishi Sunak上任後，積極推動政府部門運用AI提升工作效率，近期英國政府透露內部正在試用生成式AI工具，用來協助政府部門回應諮詢，以及編寫回應議會的答覆。</p> <p>這些AI工具包括由政府管理的ChatGPT版本，以及開源的AI模型，幫助英國內閣編寫議員對部長的提問答覆，或是基於資訊自由向政府索取的資訊，編寫的內容仍會由人工進行檢視，並且產生的內容確實引用來源，並且可以被驗證。</p> <p>英國政府認為，AI不適合用於有爭議、高度敏感的領域，但是適合用於常規的政府工作，例如過去對於公眾諮詢的答覆，要花費不少人力及時間處理，英國政府試圖運用AI工具，閱讀、摘要、分類對公眾諮詢的答覆。</p> <p> </p> <p> </p> <p>圖片來源／氣象署、數位部、臺中市環保局</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.南投縣政府建立5G緊急救護機制</strong></p> <p><strong>2.數位部將提出AI評測指引</strong></p> <p>資料來源：iThome整理，2024年2月</p> </div></div></div>
2024/3/5 18:48作者蘇文彬https://www.ithome.com.tw/news/161611
蘋果M3處理器進駐MacBook Air
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼去年10月<a href="https://www.ithome.com.tw/news/159571" target="_blank">發表</a>M3系列處理器，以及搭載M3的MacBook Pro與iMac之後，蘋果周一（3/4）<a href="https://www.apple.com/newsroom/2024/03/apple-unveils-the-new-13-and-15-inch-macbook-air-with-the-powerful-m3-chip/" target="_blank">宣布</a>，M3處理器已進駐13吋及15吋的MacBook Air，最低配置的售價分別為1,099美元（新臺幣35,900元）與1,299美元（新臺幣42,900元），美國預計於3月8日上架，臺灣則尚未公布上市日期。</p> <p>M3處理器在效率上比M1快上50%，比M2快上30%，神經引擎的效能則是比M1快上60%，比M2快上15%。它讓MacBook Pro的電池續航力達到22小時，而在MacBook Air上的電池續航力亦有18小時。</p> <p>M3版MacBook Air的規格基本上與M2版MacBook Air差不多，主要的差異在於處理器，以及前者支援Wi-Fi 6E標準，後者則支援Wi-Fi 6。</p> <p>不少蘋果粉絲認為，蘋果最令人驚豔的處理器產品就是第一代的M1，之後就是屬於例行性的更新，沒有太多驚喜。不過，相較於過去採用英特爾核心的MacBook Air，M3版MacBook Air的效能是它的13倍，相較於採用Intel Core i7處理器的PC筆電，M3版MacBook Air則有2倍的效能，瀏覽速度可快上50%，電池續航力亦多出40%。</p> <p>根據Gartner在去年第四季針對全球PC出貨量的<a href="https://www.gartner.com/en/newsroom/press-releases/01-10-2024-gartner-says-worldwide-pc-shipments-increased-zero-point-three-percent-in-fourth-quarter-of-2023-but-declined-fourteen-point-eight-percent-for-the-year" target="_blank">調查</a>，該季全球PC出貨量為6,330萬臺，成長0.3%，前三名依序是聯想（市占率25.6%）、HP（22.0%）與Dell（15.8%），而蘋果則以10%位居第四，不過，在前四名的業者中，蘋果該季出貨量的成長幅度最高，成長了7.2%。</p> </div></div></div>
2024/3/5 15:01作者陳曉莉https://www.ithome.com.tw/news/161612
Google祭出500萬美元獎金尋找量子電腦應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://blog.google/technology/research/google-gesda-and-xprize-launch-new-competition-in-quantum-applications/" target="_blank">贊助</a>發起一項XPRIZE競賽，將提供500萬獎金鼓勵研究人員開發量子應用解決真實世界所需。</p> <p>名為<a href="http://www.xprize.org/prizes/qc-apps" target="_blank">XPRIZE量子應用大賽</a>的活動，是由Google Quantum AI及Google.org，連同研究機構GESDA（Geneva Science and Diplomacy Anticipator）贊助XPRIZE基金會共同舉辦，規劃3年期程，獎酬500萬美元，鼓勵開發可實際用於真實世界的量子運算演算法。</p> <p>Google Quantum AI部門主管Ryan Babbush指出，現今學界開發的大部份量子演算法是為了解決抽象的數學問題，較少用於實際應用場景，目前大家也不清楚，量子運算用在實際世界有多少效用、何時或用在哪裏最有幫助。一如Google Quantum AI建立大規模、糾錯的量子電腦、及開發有用處的量子應用的目標，XPRIZE Quantum Application競賽目的正是為了解決這些問題。XPRIZE Quantum Application競賽希望能催生今天還沒有的NISQ（Noisy Intermediate Scale Quantum，含噪音中等規模的量子系統）處理器應用，以及未來大規模具容錯能力的量子電腦應用。主辦單位希望在建立起大規模量子電腦之前先找出這些應用，以便硬體問世時可以加快部署。</p> <p>主辦方<a href="https://www.xprize.org/prizes/qc-apps" target="_blank">列出</a>的應用範例包括，精準預測候選藥和人體蛋白質互動、改進微分方程中模型的電容與電感參數以更有效模擬電網負載、以及在電池或核融合反應器中材料和分子的預測模型，以減少碳排和提升能源效率。</p> <p>這項競賽已在今天啟動，也已公布<a href="https://www.xprize.org/prizes/qc-apps" target="_blank">報名網頁</a>。主辦方找來集結跨領域專家組成顧問及競賽裁判。實際評選時將分成三個次類，包括創新演算法、新式應用及提升效能類。</p> <p>欲參加的隊伍需先描述其參賽專案的應用欲解決的問題，並分析其演算法需要在量子電腦上執行多久。大會會選出20隊進入準決賽，各隊需描述執行其演算法需要的硬體規格，並證明比傳統電腦更快、更準確，以及實際部署後的預計成效。</p> <p>在獎金方面，準決賽團隊每隊獲得5萬美元獎金。500萬獎金中，3個獲獎團隊將可共同獲得300萬美元獎金，而之後5個團隊則可共享100萬美元獎金。</p> </div></div></div>
2024/3/5 12:28作者林妍溱https://www.ithome.com.tw/news/161609
Anthropic發表宣稱可擊敗OpenAI GPT-4與Google Gemini 1.0 Ultra的Claude…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新興的AI業者Anthropic周一（3/4）<a href="https://www.anthropic.com/news/claude-3-family" target="_blank">發表</a>了全新的Claude 3系列模型，涵蓋功能最低階的Claude 3 Haiku、中階的Claude 3 Sonnet，以及最強大的Claude 3 Opus，它們的預設值皆支援20萬個Token的脈絡，並宣稱其中的Claude 3 Opus在許多基準測試上超越了OpenAI GPT-4與Google Gemini 1.0 Ultra。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0305-Anthropic%20claude%20family%20model.png" style="width: 600px;" /></p> <p>Anthropic在2021年由曾擔任OpenAI研究副總裁的Dario Amodei，以及其妹妹、同樣身為OpenAI資深員工的Daniela Amodei共同創立，是OpenAI最大的競爭對手之一，而OpenAI與微軟在資金及服務上的緊密關係，使得Anthropic成為其它科技巨頭競逐的對象，包括Google在2022年注資3億美元取得10%的Anthropic股份，去年底承諾加碼投資20億美元，至於Amazon也在去年宣布將挹注40億美元至Anthropic，並換得讓AWS成為Anthropic主要雲端服務供應商的交易。</p> <p>Anthropic本周所發表的Claude 3模型強化了各方面的能力，涵蓋分析、預測、細緻的內容建立、程式碼生成，以及在西班牙文、日文與法文等非英文語言的對話能力；它也擁有更複雜的視覺功能，得以處理各種不同的視覺格式，包括照片、圖表、圖像與技術圖等；還可帶來近乎即時的結果，可支援即時客戶聊天、自動完成與資料汲取任務。</p> <p>另一方面，過去的Claude模型經常作出不必要的拒絕，顯示它缺乏對語意的理解，最新的Claude 3則對提示表現出更細緻的理解能力，可辨識真正的傷害，明顯降低了拒絕回答無害提示的頻率。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0305-Anthropic%20claude%20family%20model-600-1.png" style="width: 600px;" /></p> <p>Claude 3最受矚目的是其中的Claude 3 Opus模型在許多基準測試上，超越了OpenAI GPT-4與Google Gemini 1.0 Ultra。例如在MMLU本科水平專家知識上達到86.8%，擊敗GPT-4的86.4%與Gemini 1.0 Ultra的83.7%，研究生專家推論（GPQA）以50.4%超越OpenAI GPT-4的35.7%與Gemini 1.0 Ultra的28.1%。其它凌駕這兩大模型的基礎測試還有基礎數學（GSM8K）、程式碼生成能力HumanEval與文字推論等。</p> <p>儘管Claude 3模型初期僅支援20萬個Token的脈絡，但3種型號都可接受超過100萬個Token的輸入，Anthropic將根據需求提供給需要強化處理能力的客戶。為了有效地處理冗長的上下文，這些模型需要強大的回憶能力，在評估模型記憶的「大海撈針」（Needle In A Haystack，NIAH）基準測試中，Claude 3 Opus不僅達到超過99%的準確率，在某些情況下，甚至能夠辨識出此針是否是人為插入的。</p> <p>Anthropic亦標榜Claude 3模型的偏差少於先前的模型，也更擅長遵循複雜的多步驟指令，或是生成諸如JSON等格式的結構化輸出，以更輕鬆地將Claude 3模型應用在自然語言分類或情緒分析上。</p> <p>Claude 3 Haiku、Claude 3 Sonnet與Claude 3 Opus各自可支援不同的應用，Claude 3 Haiku是最袖珍及最快速的模型，專為模仿人類互動的即時回應與無縫AI體驗而設計，每100萬個Token的輸入費用為0.25美元，輸出為1.25美元；Claude 3 Sonnet屬於相對均衡的模型，在智慧與速度中取得平衡，適用於企業負載及大規模的AI部署，每100萬個Token的輸入/輸出費用分別是3美元及15美元；最強大的Claude 3 Opus可處理高度複雜的任務，可帶來人類等級的理解能力，每100萬個Token的輸入/輸出費用分別是15美元與75美元。</p> <p>Anthropic的API現已支援Claude 3 Sonnet與Claude 3 Opus，使用者亦可透過claude.ai、Amazon Bedrock與Google Cloud的Vertex AI Model Garden使用Claude 3 Sonnet，Claude 3 Opus目前則僅開放Claude Pro訂閱用戶使用。至於Claude 3 Haiku也會在近期上市。</p> </div></div></div>
2024/3/5 13:07作者陳曉莉https://www.ithome.com.tw/news/161610
中國駭客組織Earth Lusca使用地緣政治議題為誘餌，在臺灣總統大選前夕從事網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月13日臺灣進行總統與立委選舉，選前中國不斷文攻武嚇，並揚言若是民進黨繼續執政，將使得兩岸關係遠離和平。</p> <p>中國駭客在臺灣選舉前發動假訊息、網路釣魚、DDoS攻擊已是常態。但截至目前為止，環顧全球資安研究領域，僅有2月13日<a href="https://www.ithome.com.tw/news/161289#2024-taiwan-vote">資安業者Trellix公布選前觀察到的網路攻擊態勢</a>，並指出在投票當天前的24小時之內，中國駭客針對臺灣企業組織而來的網路攻擊活動大幅增加，而其惡意行為主要是探測與收集候選人情資。</p> <p>直到3月，終於又有這方面的威脅情資分析結果出爐，顯見這場全球關注的選舉背後，的確存在一股或多股勢力，企圖影響選情發展與攻擊關切此議題的國際政經人士。</p> <p>資安業者趨勢科技指出，他們長期追蹤的中國駭客組織Earth Lusca，<a href="https://www.trendmicro.com/zh_tw/research/24/b/earth-lusca-uses-geopolitical-lure-to-target-taiwan.html">從去年12月至今年1月，從事網路釣魚攻擊</a>，其中使用談論兩岸地緣政治議題的文件檔案，但引起研究人員關注的地方在於，該檔案在臺灣總統大選兩天前（1月11日）建立，其內容疑似盜用臺灣地緣政治專家的文章。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Eath%20Lusca%20Timeline.jpg" style="width: 580px;" /></p> <blockquote><p>根據研究人員公布的攻擊鏈，駭客在迴避偵測上採用的手法最為多元，包含了採用Windows捷徑檔案（LNK）圖示挾持的欺騙手法、DLL循序搜尋挾持、程式碼經過封裝處理等，但在這些手法之外，對方還使用多種罕見的做法，讓使用者更難以招架。（圖片來源／趨勢科技）</p> </blockquote> <h3><span style="color:#0000FF;"><strong>攻擊行動出現數種罕見手法</strong></span></h3> <p>研究人員指出，他們推測攻擊者可能是經由電子郵件對目標下手，挾帶名為China_s gray zone warfare against Taiwan.7z的壓縮檔，其內容含有2個Windows捷徑檔（LNK），以及「__MACOS」資料夾。</p> <p><a href="https://s4.itho.me/sites/default/files/images/lusca-242.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/lusca-242.jpg" style="width: 580px;" /></a></p> <blockquote><p>從壓縮檔的內容來看，包含了2個Windows捷徑檔（LNK），分別偽裝成Word檔案及PDF檔案，但與多數攻擊行動不同之處在於，駭客建立了名為__MACOS的資料夾，想要讓使用者誤以為檔案來自Mac電腦。再者，則是這些檔案都是在1月11日製作，也就是駭客在總統大選前2天從事網釣攻擊。（圖片來源／趨勢科技）</p> </blockquote> <p>乍看之下，上述資料夾名稱與macOS作業系統用來儲存資料夾組態的「__MACOSX」相似，但實際上，該資料夾內含攻擊鏈下個階段的惡意檔案。</p> <p>特別的是，雖然是以臺灣軍事情報作為誘餌，但駭客使用的檔案名稱皆為英文，這起網釣攻擊的對象，顯然並非專門針對使用正體中文的人士，趨勢科技對此並未有相關的分析，但我們推測攻擊目標很有可能是全球關心臺海議題的政治專家、軍事專家、記者。</p> <p>上述提及的LNK檔案，分別偽裝成PDF及Word檔案，一旦使用者點選，電腦就會__MACOS資料夾裡的JavaScript指令碼。</p> <p>接著，攻擊者將會進行寄生攻擊（LOLBin），先是輸出帶有4d534346字串的純文字檔，然後呼叫certutil.exe將其中的十六進位字串還原成可執行檔，並利用expand.exe解開CAB封裝檔案。</p> <p>此CAB檔案的內容包含誘餌Word檔案、具有合法簽章的可執行檔、惡意DLL程式庫。其中的可執行檔，實際上是奇虎360瀏覽器的主程式，然而一旦執行，就會觸發惡意DLL檔案，最終於受害電腦部署Cobalt Strike。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/lusca-247.jpg" style="width: 580px;" /></p> <blockquote><p>圖中的檔案為CAB封裝檔的內容，其中的Word檔案是誘餌，而pfexec.exe其實是奇虎360瀏覽器的主程式（360se.exe）更名而成，具有合法、有效簽章，一旦使用者執行，電腦就會載入惡意DLL檔案chrome_elf.dll。（圖片來源／趨勢科技）</p> </blockquote> <p>研究人員指出，這些駭客用了不少隱匿攻擊行動的手法。首先是啟動JavaScript指令碼的LNK檔案，駭客在路徑加入了255個空白字元，而使得命令看起來僅是呼叫Windows檔案總管；再者，則是JavaScript檔案經過Dean Edward’s JavaScript Packer進行加密處理，而使得資安系統難以察覺有異。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/lusca-243a.jpg" style="width: 333px;" /></p> <blockquote><p>假如使用者對駭客提供的LNK檔案檢視內容，便會在「目標（Target）」欄位看到圖中指令，而以為是點選LNK檔案後會啟動Windows檔案總管。但研究人員指出，駭客在LNK檔的目標欄位當中，在「explorer.exe」敘述後面插入255個空白字元，目的是避免使用者發現實際上會執行惡意JavaScript指令碼。（圖片來源／趨勢科技）</p> </blockquote> <p>附帶一提的是，對方使用的誘餌文件檔案，研究人員發現，這些由兩岸政治專家署名撰寫的文件似乎並未公開發表，因此他們懷疑駭客是直接入侵作者或是所屬組織的電腦竊得，並循線向作者及其組織通報。</p> <h3><span style="color:#0000FF;"><strong>可能與中國資安業者安洵信息有所關連</strong></span></h3> <p>值得留意的是，在Earth Lusca發動攻擊的過程當中，使用中國資安業者奇虎出品的瀏覽器主程式，而該公司曾經投資另一家資安業者安洵信息（i-Soon），而引起研究人員關注，並對Earth Lusca與安洵的攻擊型態進行比對。</p> <p>為什麼是安洵？原因是<a href="https://www.ithome.com.tw/news/161454">該公司日前資料外洩</a>，有人將其內部資料上傳到GitHub，外界從而得知該公司開發多種網路攻擊工具，並承攬中國國安單位與地方政府的標案，對包含臺灣在內的超過20個國家從事網路間諜攻擊。</p> <p>研究人員指出，這兩組人馬的發動攻擊的受害組織名單有所交集，其中安洵外洩的資料裡，曝光的受害組織也曾遭遇Earth Lusca攻擊。</p> <p>再者，則是他們採用的作案工具有部分高度重疊，特別是Winnti，以及安洵參與開發的ShadowPad，都是兩組駭客頻繁使用的惡意程式。</p> <p>另外一個共通點就是他們所在的地理位置，研究人員指出，Earth Lusca與安洵滲透團隊的主要辦公室都位於四川成都。雖然兩組人馬的特點有許多共通之處，但他們之間的關係為何？研究人員表示仍有待進一步追查。</p> </div></div></div>
2024/3/5 10:36作者周峻佑https://www.ithome.com.tw/news/161607
限制音樂串流App開發商繞過自家支付機制，蘋果遭加重處罰18.4億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟周一<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_24_1161" target="_blank">宣布</a>將針對蘋果App Store禁止音樂串流App開發商提供用戶第三方支付，以違法情節重大及持續將近10年時間，重罰18.4億歐元（約633億臺幣）。</p> <p>歐盟執委會指控蘋果濫用市場壟斷地位，限制音樂串流應用程式對iPhone及iPad用戶間的傳布。執委會認為蘋果對第三方應用程式業者做出限制，不許它們告知iOS用戶App Store以外更便宜的音樂訂閱服務，被裁定違反歐盟反托拉斯法。</p> <p>本案是起於2019年Spotify向歐盟申訴蘋果實施「限制導引規定」（anti-steering rules），防止音樂串流或播放程式開發商向用戶提供外部支付資訊，使用戶只能透過App Store程式內支付（in-app payment）機制付費，蘋果藉此抽取每筆消費者交易的30%，即所謂「蘋果稅」。歐盟於2020年介入調查，去年初歐盟縮小對蘋果的訴訟範疇，並在本周終於公布判決結果。</p> <p>根據歐盟調查，在限制導引規定中，蘋果限制開發商告知用戶第三方網站支付的價格、外部網站連結，也不得知告知蘋果和外部App的IAP價差，或是以電子郵件等方式直接和新用戶聯繫，透露其他付費方案的選項。和去年初歐盟的說詞大致相同，歐盟認為蘋果的限制導引條款對保護蘋果在智慧型行動裝置上的App Store商業利益，「既不必要也不相稱」，而且對iOS用戶造成不利影響，使其未能被充份告知、做出串流訂閱服務的有利採購決策。</p> <p>歐盟指出，蘋果此番行為持續將近10年，可能導致眾多iOS用戶支付更高的音樂串流費用，消費者也因更惡劣的使用體驗，蒙受非金錢的損害。在決定罰款金額時，歐盟考量蘋果違法行為的期間及嚴重性，以及蘋果總營收和市值，同時也考量蘋果在調查期間陳述的不正確資訊。主管機關決定加重處份，確保產生足夠嚇阻作用，歐盟相信這等罰款有其必要性，以確保蘋果不會再犯，並對其他公司產生警惕作用。</p> <p>上周《<a href="https://www.ft.com/content/1e677a7e-9494-4f5b-a724-9e58ef26b34fv" target="_blank">金融時報</a>》及《<a href="https://www.reuters.com/world/europe/eu-set-fine-apple-spotify-music-streaming-case-sources-say-2024-02-27/" target="_blank">路透社</a>》率先報導歐盟開罰的消息，但金額僅為5億歐元。</p> <p>蘋果對此判決<a href="https://www.apple.com/newsroom/2024/03/the-app-store-spotify-and-europes-thriving-digital-music-market/" target="_blank">表達</a>不服。蘋果指歐盟主管機關並未找到任何消費者傷害的可信證據，也忽略市場正繁榮、激烈競爭且成長快速的事實。例如蘋果引述資料指出，Spotify在歐洲串流音樂服務市場市占達56%。</p> <p>此外，蘋果也指出，歐盟這項處份並未考量蘋果已經調整AppStore對第三方軟體市集及支付服務作法。因應即將生效的《數位市場法》（Digital Markets Act，DMA），蘋果1月已<a href="https://www.ithome.com.tw/news/161035" target="_blank">公布</a>即將在3月上路的遵循措施。透過iOS 17.4，歐盟用戶將可從App Store以外的市集下載iOS程式。而 27個歐盟國家開發商也可於程式中直接使用第三方支付服務、提供連結以連至外部網頁完成交易，並且顯示提供產品促銷活動或折扣的說明。因此，蘋果認為歐盟消費者也已擁有更多選擇。</p> <p>蘋果表示，根據上述理由，該公司將提出上訴。</p> </div></div></div>
2024/3/5 10:58作者林妍溱https://www.ithome.com.tw/news/161608
微軟.NET程式碼評估工具整合GitHub Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/dotnet/azure-migrate-application-and-code-assessment-march-2024-update/">更新</a>其.NET程式碼評估工具Azure Migrate Application and Code Assessment，包括整合GitHub Copilot、考量不同Azure環境，以及提供開發者更多自訂靈活性等，協助開發者找出和解決搬遷Azure可能遭遇的問題，更順利地在雲端平臺重新部署應用程式。</p> <p>微軟在今年1月初的時候推出Azure Migrate Application and Code Assessment工具，讓開發者可以方便地將本地端.NET應用程式搬遷到Azure雲端。該工具能夠評估.NET應用程式原始碼、配置和二進位檔案，在搬遷之前先找出可能發生的潛在問題，並且提供開發者雲端原生解決方案建議，以解決效能、擴展性和資安問題。</p> <p>而微軟現在於Azure Migrate Application and Code Assessment整合GitHub Copilot，官方解釋，該工具很適合在搬遷之前進行審查，而藉由整合Copilot Chat，就可以進一步針對已發現的問題，提供客製化指引。</p> <p>Copilot Chat透過Visual Studio擴充套件和命令列工具，整合至Azure Migrate Application and Code Assessment。開發者安裝Visual Studio擴充套件之後，在報告儀表板中便會看到Copilot Chat的按鈕，點擊之後Copilot會閱讀專案報告，總結出重要問題，開發者便可就想解決的問題與Copilot深入討論。</p> <p>另外，報告中的所有問題，旁邊也都會有一個Ask Copilot按鈕，可以啟動與Copilot Chat的新對話，微軟提到，Ask Copilot功能會將開發者的描述，還有觸發問題的程式碼片段共享給Copilot Chat，使得Copilot能根據具體程式碼和問題提供建議，而這將有助於Copilot Chat提供更準確的指引。也就是說，開發者必須謹慎考慮提交的內容，避免提及不想提供給Copilot Chat的程式碼和敏感資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0304-Ask%20Copilot-600.png" style="width: 600px;" /></p> <p>Azure Migrate Application and Code Assessment可以評估需要調整的程式碼模式，以便.NET應用程式在Azure中良好的運作。之前該工具的問題分析都是針對一般Azure環境，並沒有考慮到不同Azure託管選項間的差異，在新版中，開發者可選擇諸如Azure App Service（Windows）、Azure App Service（Linux 容器化）或Azure Container Apps等目標環境。</p> <p>微軟指出，雖然無論開發者選擇的環境，Azure Migrate Application and Code Assessment都以相同的規則分析應用程式，但是依據環境的不同，問題的嚴重性和描述可能會有所不同。而現在該工具可以反應所選環境的具體要求。</p> <p>另外，在Azure Migrate Application and Code Assessment的最新版本，還支援直接掃描編譯後的.NET應用程式二進位檔案，因此可用於掃描建置輸出，或是直接評估部署在IIS的.NET應用程式，這對於原始碼不可用，或是想直接掃描已部署的應用程式特別有用。不過Visual Studio擴充套件僅適用於專案程式碼，所以這項功能僅在命令列工具中可用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0304-Azure%20Migrate%20application%20and%20code%20assessment-Scanning%20binary-600.png" style="width: 600px;" /></p> <p>而現在開發者還能夠靈活地自訂評估規則，只要使用JSON配置檔就能夠啟用和停用特定規則，甚至是變更規則的嚴重性、排除規則等。Visual Studio擴充套件和命令列工具皆支援此功能。</p> </div></div></div>
2024/3/4 21:50作者李建興https://www.ithome.com.tw/news/161595
Compose Multiplatform 1.6.0強化資源管理API，新增iOS輔助功能支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains釋出了新版跨平臺UI開發框架<a href="https://blog.jetbrains.com/kotlin/2024/02/compose-multiplatform-1-6-0-release/#common-resources-api">Compose Multiplatform 1.6.0</a>。這個新版本加入多項新功能，像是改進資源管理函式庫，並且新增UI測試API以及iOS輔助功能支援，同時也強化與新版Kotlin，以及Google最新Jetpack Compose變更的相容性。</p> <p>Compose Multiplatform 1.6.0中的一項重要變更，便是改進共用和存取資源API，新的API讓開發者在Compose Multiplatform應用程式中匯入和存取更多類型的資源，像是圖像、字體、字串和各種檔案。新的資源API讓開發者於不同情境使用相同資源的變體，包括地區設置、螢幕密度和主題，因此開發者可以根據地區設置在地化文字，或是根據螢幕解析度提供替代圖像，甚至是深色模式下的圖標顏色，都可以透過在相對應的目錄名稱，增加特定符號來表達這些限制。</p> <p>開發者現在也可以使用新的UI測試工具，確保應用程式按照預期運作。Compose Multiplatform 1.6.0中的實驗性API，讓開發者可以編寫通用UI測試，以驗證應用程式介面在不同平臺上的行為。</p> <p>另外，該框架也進一步支援iOS的輔助功能，使身心障礙者更容易操作Compose UI。在這項更新之後，iOS的螢幕閱讀器和VoiceOver功能，都能夠存取Compose Multiplatform UI的內容，而且Compose Multiplatform UI也支援iOS原生UI相同的操作手勢。官方解釋，Compose Multiplatform的語義資料會自動對應到輔助功能樹（Accessibility Tree）中，開發者可以將這些資料提供給輔助功能，並且使用Apple XCTest框架測試。</p> <p>在這個新版本中，Compose Multiplatform也更新加入通用@Preview註解，過去@Preview僅適用於Android和桌面平臺，現在該註解由JetBrains Fleet 1.31版本提供通用支援，而透過使用@Preview，開發者可以簡單地預覽UI創建函式@Composable，不需要執行整個應用程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0304-Compose%20Multiplatform-%40Preview.png" style="width: 418px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／JetBrains</span></span></p> <p>在@Composable函式前添加@Preview註解，JetBrains Fleet會在旁邊程式碼旁提供預覽，讓開發者可以直接瀏覽@Composable的渲染結果，這對於快速迭代和檢查UI變更非常有用，因為可省去開發者重新編譯和部署應用程式的時間。</p> </div></div></div>
2024/3/4 22:03作者李建興https://www.ithome.com.tw/news/161603
Google釋出最新Android Studio Iguana，重點強化程式碼除錯功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google正式推出最新<a href="https://android-developers.googleblog.com/2024/02/android-studio-iguana-is-stable.html" target="_blank">Android Studio Iguana</a>，官方在這個版本的App Quality Insights功能中整合Git版本控制系統，還擴展Firebase Crashlytics崩潰報告的支援，協助開發者更好地分析應用程式崩潰原因。此外，此版本還針對Jetpack Compose應用程式，支援基準配置檔（Baseline Profiles）以加速應用程式啟動效率。</p> <p>Android Studio Iguana中的App Quality Insights更新，可以改善應用程式發布版的原始碼，比本地原始碼落後數個提交時，無法有效地從崩潰報告導航至對應程式碼行號的問題。官方解釋，該功能對於使用Firebase Crashlytics崩潰報告特別有用，因為程式碼行號可能因為版本落後而不準確。</p> <p>當開發者使用Git版本控制系統，Android Gradle Plugin會將Git提交訊息包含在發布到Play Store的構件中，因此在發生應用程式崩潰時，Crashlytics會將Git資訊附加在報告中，而Android Studio Iguana便會使用該資訊，將開發者本地端副本與實際導致崩潰的程式碼進行比較。</p> <p>開發者需要使用Android Gradle Plugin 8.3或是更高版本，以及最新的Crashlytics SDK建置並發布應用程式，App Quality Insights視窗中的崩潰報告，便能夠引導開發者到當前Git副本中的程式碼行號，或是查看當前副本與生成崩潰報告的應用程式碼版本之間的差異，讓開發者更精準診斷和修復問題。</p> <p>另一個App Quality Insights中的更新，是能夠讓開發者更好地分析和理解崩潰根本原因。過去開發者在App Quality Insights查看Firebase Crashlytics問題時，可能會看到程式碼共用相同的故障點，但其實際上卻可能是不同事件的聚合資料。而在App Quality Insights的Firebase Crashlytics更新中，現在非常類似的堆疊追蹤事件，會被分組為不同問題的變體以改善錯誤分析。</p> <p>新版Android Studio中的Compose Previews加入UI檢查模式，可協助開發者建置自適應和無障礙介面。UI檢查模式可看作是視覺Linting和無障礙檢查工具，其會自動審查Compose UI，並在不同大小的螢幕偵測自適應和無障礙性問題，像是文字變形或低色彩對比度等狀況。</p> <p>Compose Previews還有一項新功能，現在提供漸進式渲染(下圖），供開發者能夠以更少的載入時間迭代設計，該功能會自動降低視野外的預覽細節以加速效能，官方提到，這項更新之後，即便開發者滾動瀏覽複雜的布局，都不會出現延遲。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image3(22).png" style="width: 580px;" /></p> <p>Android Studio Iguana還加入了基準配置檔，這是可以改進Jetpack Compose應用程式啟動速度的好用工具。不少時候在裝置上第一次執行Android應用程式時，因為作業系統必須執行JIT編譯，因此導致應用程式啟動速度受到影響，而Google現在供開發者建立基準配置檔，來改善這個問題。</p> <p>新的模組精靈（Module Wizard）提供基準配置檔產生器範本，該範本可以配置專案以支援基準配置檔，於最新的基準配置檔Gradle套件，開發者就能以單一Gradle命令，自動執行任務來簡化設定。運用這項新功能，開發者便可以加速應用程式的啟動，大幅減少等待時間。</p> </div></div></div>
2024/3/4 22:13作者李建興https://www.ithome.com.tw/news/161604
研究人員打造鎖定生成式AI應用的Morris II蠕蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>來自康乃爾大學、以色列理工學院和Intuit的3名研究人員近日<a href="https://sites.google.com/view/compromptmized" target="_blank">發表</a>了一份名為ComPromptMized的研究報告，他們打造出一隻鎖定生成式AI（Gen AI）應用的蠕蟲Morris II，它能夠自我複製，傳播至其它生成式AI應用，還能執行惡意行為，像是竊取使用者機密資料，產生有毒內容，發送垃圾郵件，或執行網釣攻擊，並已透過GitHub<a href="https://github.com/StavC/ComPromptMized" target="_blank">開源</a>研究成果。</p> <p>研究人員指出，最近一年有許多企業都已將Gen AI功能整合到現有或新的應用程式中，形成了互連的Gen AI生態系統，此一生態系統是由基於Gen AI服務的半自主或完全自主代理所組成，他們想釐清的是，駭客能否開發一個可利用代理Gen AI元件的惡意程式，進而危害整個Gen AI生態體系。</p> <p>於是研究人員打造了Morris II 來攻擊基於Gen AI的電子郵件助理，以寄送垃圾郵件或汲取使用者的個資，在黑盒子與白盒子兩種設定下，使用文字與圖像兩種資料輸入型態，測試的對象包括Gemini Pro、ChatGPT 4.0與LLaVA等3種不同的Gen AI模型，並成功的自基於Gemini 與ChatGPT模型的電子郵件助理中取得了電子郵件內容與電話號碼。</p> <p>Morris II是首隻使用對抗性自我複製提示的蠕蟲，當駭客使用這類的提示時，Gen AI模型會在輸出中複製輸入，同時從事惡意行為，此外，這些輸入還會迫使不同的應用透過Gen AI生態體系的連結性進行傳播。</p> <p>研究人員指出，這次的實驗對象為電子郵件助理，可用來汲取使用者的機密資料、產生並散布有毒內容，或是發送垃圾郵件，以及執行網釣攻擊等，然而，他們相信，當Gen AI廣泛被整合到作業系統、手機或汽車之後，可能造成更嚴重的影響，因為它們或許夾帶著勒索軟體或遠端攻擊程式。</p> <p>此外，研究人員也發現，在許多情況下，所輸入的資料會自動傳送到位於雲端的Gen AI伺服器進行推論，完全不需要使用者互動。</p> <p>儘管Morris II攻陷了Gemini與ChatGPT的一些安全措施，但研究人員認為，此一報告突顯了AI生態體系架構的安全性有待加強。</p> </div></div></div>
2024/3/4 16:25作者陳曉莉https://www.ithome.com.tw/news/161596
美國法院要求NSO Group交出間諜程式Pegasus原始碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書（現為Meta）在2019年10月<a href="https://www.ithome.com.tw/news/133908" target="_blank">控告</a>駭進WhatsApp的以色列公司NSO Group，此案目前仍在美國法院由Phyllis Hamilton法官進行審理，根據外電報導，上周Hamilton要求NSO Group必須提供所開發的間諜程式Pegasus原始碼予Meta。</p> <p>Pegasus主要被安裝在受害者的手機上，它能夠讀取簡訊、監聽電話、蒐集密碼、追蹤位置，還能存取裝置上的麥克風與攝影機，為全球最普及的間諜程式之一，受害者涵蓋異見人士、人權活動人士、記者或政治家等，NSO Group還負責利用各種平臺或是程式的漏洞，趁機於受害者手機上植入Pegasus，主要客戶為各國政府。</p> <p>由於它牽涉到軟體與整個行動產業的安全性，使得該案件受到微軟、Google、思科、GitHub、LinkedIn、VMware與網際網路協會（Internet Association）的<a href="https://www.ithome.com.tw/news/141807" target="_blank">大力支持</a>。</p> <p>根據《衛報》（Guardian）的<a href="https://www.theguardian.com/technology/2024/feb/29/pegasus-surveillance-code-whatsapp-meta-lawsuit-nso-group" target="_blank">報導</a>，在此一仍在審理的訴訟中，Hamilton要求NSO Group必須生產WhatsApp用戶遭到攻擊之前後一年的所有間諜軟體予Meta，也必須提供相關間諜軟體的所有功能。不過，Hamilton並未要求NSO Group揭露客戶名稱或伺服器架構。</p> </div></div></div>
2024/3/4 16:35作者陳曉莉https://www.ithome.com.tw/news/161597
馬斯克控告OpenAI與Sam Altman，指稱它們違背創立時的初衷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>共同創辦OpenAI並在2018年退出的馬斯克（Elon Musk），上周四（2/29）<a href="https://www.courthousenews.com/wp-content/uploads/2024/02/musk-v-altman-openai-complaint-sf.pdf" target="_blank">控告</a>OpenAI，以及OpenAI共同創辦人暨執行長Sam Altman，指稱它們違背了當初創立時的初衷，包括開源及造福全人類，而轉至積極獲利的道路。</p> <p>OpenAI創立於2015年12月11日，初期為一非營利機構，馬斯克是當時該組織最大的贊助者，與創辦人之一的Altman共同擔任OpenAI的聯合主席，並由另一名創辦人Greg Brockman擔任技術長。那時OpenAI官網上開宗明義地寫著，這是一家非營利的AI研究公司，目標是以最有可能造福人類的方式推動數位智慧，不受需要財務回報的限制，由於擺脫了財務上的義務，因而能夠更加關注對人類的正面影響。</p> <p>不過，馬斯克在2018年2月離開了OpenAI董事會。根據OpenAI的<a href="https://openai.com/blog/openai-supporters" target="_blank">說法</a>，隨著馬克斯旗下的特斯拉（Tesla）愈來愈注重AI，此一發展將可消除馬斯克未來的潛在衝突，並說馬斯克將會持續捐款並提供建議。</p> <p>然而，有媒體披露，其實當時馬斯克是因為企圖控制且單獨經營OpenAI，甚至建議OpenAI與特斯拉合併，遭到OpenAI經營團隊的反對與拒絕，才拂袖而去，且自此之後，馬斯克未再捐款予OpenAI。</p> <p>在失去了最大的投資人之後，OpenAI於2019年<a href="https://www.ithome.com.tw/news/129281" target="_blank">成立</a>了一個「有限獲利」公司OpenAI LP（OpenAI Global, LLC），把原來的非營利組織稱為OpenAI Nonprofit，同年即由OpenAI Global與微軟結盟，並讓微軟成為OpenAI Global的最大股東，外傳微軟對OpenAI的投資超過130億美元，已取得49%的OpenAI Global控制權。</p> <p>OpenAI去年6月更新了其變更組織結構的<a href="https://openai.com/our-structure" target="_blank">說明</a>，指出OpenAI Nonprofit在2015年創立時的目標是取得10億美元的捐贈金額，但截至2019年卻只取得了1.3億美元的捐款金額，彰顯出僅靠捐款並無法負擔運算與人力的成本需求。</p> <p>不論如何，馬斯克認為OpenAI已經違背創立時的承諾，開發可對人類造成威脅的AI技術來營利。他在訴狀中指出，OpenAI現在正在開發通用人工智慧（Artificial General Intelligence，AGI），它可執行一系列達到或超過人類水準的任務，這是為了獲利，而不是為了人類的利益。他還指控OpenAI已經轉成閉源，成為全球最大科技公司微軟的子公司，在新董事會的帶領下，OpenAI不僅正在開發，也力求完善AGI，以替微軟帶來最大利潤。</p> <p>其實馬斯克也在去年7月<a href="https://www.ithome.com.tw/news/157758" target="_blank">創立</a>自己的AI公司xAI，同年11月即<a href="https://www.ithome.com.tw/news/159651" target="_blank">發表</a>AI聊天機器人Grok。</p> <p>至於在被馬斯克控告的消息曝光後，Altman與OpenAI策略長Jason Kwon寄出內部信件安撫OpenAI員工，表示OpenAI的成功使得該公司成為訴訟及監管調查的目標，Kwon還說，馬斯克或許是因為未能參與到OpenAI的現在而感到懊悔，才提出了訴訟。</p> </div></div></div>
2024/3/4 15:31作者陳曉莉https://www.ithome.com.tw/news/161593
Tumblr、Wordpress傳也出售用戶內容給AI業者訓練模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>404Media<a href="https://www.404media.co/tumblr-and-wordpress-to-sell-users-data-to-train-ai-tools/" target="_blank">報導</a>，網路內容平臺Tumblr及Wordpress母公司已談定出售平臺上的內容，供AI業者如OpenAI、Midjourney訓練模型。</p> <p>報導引述消息人士說，Tumblr及Wordpress母公司Automattic與AI廠商即將簽定內容授權協議。報導並引述一份Tumblr產品經理的內部文件，描述已蒐集好的一批欲寄給Midjourney及OpenAI的平臺內容，不慎包含某些理應不該蒐集的資料，像是公開部落格的私有貼文、已刪除或停權部落格的貼文、不公開（問題的）回答、被標示為「露骨」或「成熟」的貼文，以及頂級合作夥伴（如蘋果音樂論壇）的貼文等。</p> <p>不過報導指出，無法從這則流出的Tumblr內部文件斷定這些資料已經寄出，或是及時被攔下。</p> <p>就在本則報導後，Automattic並未否認或承認報導中的內部文件存在與否，只公布Tumblr及Wordpress上的隱私設定，以及用戶隱私權利。這家業者指出，Tumblr、Wordpress.com有設定不讓搜尋引擎索引內容，也對AI平臺加入了類似設定。目前兩個平臺已預設封鎖主要AI平臺的爬蟲機器人。</p> <p>目前尚無法律要求網路爬蟲遵循這些偏好設定，但歐洲AI法案（AI Act）正在立法中，未來可能改變現況。Automattic<a href="https://automattic.com/2024/02/27/protecting-user-choice/" target="_blank">宣稱</a>將提供用戶更大的隱私控制權。此外也將和特定AI業者合作，他們只會分享在Wordpress.com及Tumblr上沒有opt-out的內容，不會分享代管在其他平臺上內容，即使它們使用Automattic的外掛，包括Jetpack 或 WooCommerce。該公司強調其合作夥伴計畫將尊重opt-out設定，也計畫定期更新任何新增採取opt-out設定的合作夥伴。</p> </div></div></div>
2024/3/4 15:58作者林妍溱https://www.ithome.com.tw/news/161594
【資安日報】3月4日，駭客組織Savvy Seahorse從事投資詐騙攻擊並濫用DNS CNAME紀錄鎖定目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>投資詐騙的攻擊行動可說是相當氾濫，而過往研究人員察覺的資安事故當中，多半是涉及駭客如何引誘使用者上當，但最近有新型態的攻擊手法出現。</p> <p>已經暗中進行超過2年的駭客組織Savvy Seahorse攻擊行動，就是這種例子，對方濫用網域名稱服務（DNS）的CNAME紀錄打造惡意流量分配系統（Traffic Distribution System，TDS），而能精確鎖定目標下手。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blogs.infoblox.com/cyber-threat-intelligence/beware-the-shallow-waters-savvy-seahorse-lures-victims-to-fake-investment-platforms-through-facebook-ads/"><strong style="font-size: 22px;">駭客組織Savvy Seahorse濫用DNS CNAME紀錄行騙，透過臉書廣告引誘使用者進行假投資</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/infoblox-blog-savvy-seahorse-diagram1-updated-scaled.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/infoblox-blog-savvy-seahorse-diagram1-updated-scaled.jpg" style="width: 300px; float: right;" /></a>資安業者Infoblox揭露駭客組織Savvy Seahorse的攻擊行動，這些駭客從2021年8月開始，利用惡意流量分配系統（Traffic Distribution System，TDS），來從事投資詐騙，並且濫用DNS維持惡意網域的運作。這些駭客透過9種語言的臉書廣告，假冒Meta、特斯拉等知名品牌，引誘使用者在偽造的投資平臺注入資金，一旦照做，這些錢就會移轉到俄羅斯銀行的特定帳戶。</p> <p>而這起攻擊行動的特別之處，在於駭客濫用了網域名稱服務（DNS）的CNAME紀錄，並將使用者的資料發送到TDS伺服器進行驗證，然後套用地理圍欄來過濾烏克蘭及其他數個國家的用戶，以及網路爬蟲和資安系統。此外，對方也濫用DNS的萬用字元，從而快速產生大量的獨立攻擊行動，能針對被動DNS（pDNS）分析進行干擾。</p> <p><a href="https://www.semperis.com/blog/meet-silver-saml"><strong style="font-size: 22px;">研究人員揭露繞過SAML身分驗證的新型態攻擊手法Silver SAML</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot_SilverSAML_Fig11_AttackInSPInitiatedFlow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot_SilverSAML_Fig11_AttackInSPInitiatedFlow.png" style="width: 300px; float: right;" /></a>2021年資安業者CyberArk公布針對SAML單一簽入（SSO）的攻擊手法Golden SAML，攻擊者會從AD聯合身分驗證服務（ADFS）挖堀簽章，並將其用於偽造SAML身分驗證的回應流程，進而取得相關權限。</p> <p>這種後洩露（post-breach）的手段，對於2020年發生的SolarWinds供應鏈攻擊，帶來更嚴重的破壞，對此，後續美國網路安全暨基礎設施安全局（CISA）及多名資安專家呼籲，採用混合雲架構的組織，應考慮將SAML身分驗證遷移至Entra ID等雲端架構的系統來因應，如今有研究人員揭露新型態手法，並表明已採取防禦Golden SAML緩解措施的企業組織也會曝險。</p> <p>資安業者Semperis揭露名為Silver SAML的新型態攻擊手法，主要是透過SAML的弱點，入侵透過身分驗證服務（如Entra ID）把關的應用程式（如Salesforce）。該公司初步認為，這個手法會帶來中等程度的威脅，目前也尚未出現被用於攻擊行動的跡象，但若是攻擊者將其用於存取業務上重要的應用系統，有可能帶來非常嚴重的風險。</p> <p><a href="https://techcrunch.com/2024/02/29/leaky-database-two-factor-codes/"><strong style="font-size: 22px;">中國簡訊業者奧訊國際資料庫曝光，恐洩露大型網站的簡訊動態密碼、重設網址</strong></a></p> <p></p> <p>資安研究人員Anurag Sen發現了中國簡訊業者奧訊國際（YX International）曝露於網際網路的資料庫，且並未設置密碼保護，一旦有人得知其IP位址就能存取。該資料庫的內容，主要是發送給網站用戶的簡訊，包含了進行雙因素驗證的動態密碼（OTP），或是重設密碼的連結，而這些簡訊來自科技龍頭，包含臉書、WhatsApp、Google、抖音，這些資料最早可追溯至2023年7月。</p> <p>研究人員尋求科技網站TechCrunch的協助，共同尋找該資料庫的所有者。TechCrunch檢視資料庫內容，找到奧訊內部電子郵件信箱帳密，然後通報此事，不久後該資料庫就離線。</p> <p>不願具名的奧訊代表做出回應，表示他們已經封鎖了漏洞，但該伺服器並未保存存取記錄，究竟是否有其他人存取仍不得而知。</p> <p><a href="https://research.checkpoint.com/2024/raspberry-robin-keeps-riding-the-wave-of-endless-1-days/"><strong style="font-size: 22px;">惡意程式Raspberry Robin鎖定甫公布的已知漏洞發動攻擊</strong></a></p> <p></p> <p>資安業者Check Point針對從2021年出現的蠕蟲程式Raspberry Robin提出警告，指出從2023年10月此惡意程式的攻擊行動升溫，而且在2個已知的本機權限提升（LPE）漏洞CVE-2023-36802、CVE-2023-29360公布不久後，就將其用於攻擊流程（1-day）。</p> <p>研究人員指出，類型混淆漏洞CVE-2023-36802存在於Microsoft Streaming Service Proxy模組，微軟於去年9月修補，但去年2月傳出有人在暗網兜售利用漏洞的方法，而根據他們的調查，使用Raspberry Robin的駭客於10月開始利用這項漏洞，略早於GitHub上出現的概念性驗證程式碼（PoC）；另一項被利用的漏洞CVE-2023-29360，則是存在於信賴平臺模組（TPM）的Windows驅動程式，微軟於去年6月修補，這些駭客在8月開始運用，也比GitHub上有人9月下旬公布概念性驗證程式碼要來得早。</p> <p>根據上述兩個漏洞的利用情況，研究人員指出，這些駭客企圖縮短漏洞公布後的利用時間，代表對方很有可能具備開發漏洞的能力，或是短時間就能向漏洞掮客取得相關程式碼，而能將這些甫公布的漏洞用於攻擊。</p> <p><a href="https://www.cadosecurity.com/migo-a-redis-miner-with-novel-system-weakening-techniques/"><strong style="font-size: 22px;">惡意軟體Migo企圖停用Redis伺服器的安全機制，將其用於挖礦</strong></a></p> <p></p> <p>資安業者Cado揭露鎖定Redis伺服器的惡意程式Migo攻擊行動，駭客先是企圖透過命令列（CLI）竄改目標伺服器的配置，包括：開放外部存取、允許寫入複本資料，然後針對只能寫入新資料的檔案（Append-Only File，AOF）、Redis資料庫檔案（RDB），停用增量檔案同步的功能，從而增加伺服器IO負載與降低效能，攻擊者這麼做的目的，主要是讓行蹤較難被察覺。</p> <p>接著，對方安排cron工作排程，從Pastebin下載指令碼，然後存取命令列檔案共享服務Transfer.sh尋找Migo惡意程式，並植入主機的後臺執行。此為Go語言編譯的ELF檔案，主要功能是從GitHub的內容傳遞網路（CDN）抓取、部署挖礦程式XMRig。</p> <p>值得留意的是，為了維持挖礦程式在受害主機運作，駭客建立systemd服務，而且，Migo採用使用者模式的rootkit，以及竄改特定的系統組態檔案，隱匿處理程序及檔案，導致他們的行蹤更難發現。從這起攻擊行動的攻擊鏈來看，研究人員認為，駭客對Redis的環境和運作應該有相當深入的了解。</p> <p><a href="https://blog.morphisec.com/unveiling-uac-0184-the-remcos-rat-steganography-saga"><strong style="font-size: 22px;">惡意程式載入工具Idat被用於散布RAT木馬Remcos</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Remcos_RAT_diagram_3-ezgif_com-o.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Remcos_RAT_diagram_3-ezgif_com-o.png" style="width: 300px; float: right;" /></a>去年資安業者趨勢科技發現駭客組織UAC-0184的攻擊行動，當時對方鎖定烏克蘭武裝部隊發動攻擊，如今該組人馬目標已轉向其他與烏克蘭有關的組織。</p> <p>資安業者Morphisec公布今年1月出現的攻擊行動，駭客假冒烏克蘭或以色列軍隊的名義，對在芬蘭運作的烏克蘭組織寄送釣魚郵件，並挾帶含有Windows捷徑（LNK）的附件，一旦收信人依照指示開啟，就會觸發感染鏈，解密並執行惡意程式載入工具Idat，進而自特定的PNG圖檔挖出惡意程式及相關模組，並在記憶體內解密並執行RAT木馬程式Remcos。</p> <p>研究人員指出，他們也看到Idat被用於散布Danabot、SystemBC、RedLine Stealer等竊資軟體的情況，而且，攻擊過程裡對方採用複雜的手法來迴避偵測，包含：動態載入Windows API功能函數、測試HTTP連線、處理程序黑名單、系統呼叫，其中的API呼叫命令更是透過解密金鑰進行解析。</p> <p><a href="https://www.mandiant.com/resources/blog/suspected-iranian-unc1549-targets-israel-middle-east"><strong style="font-size: 22px;">中東航空、航太、國防工具遭到伊朗駭客組織UNC1549鎖定</strong></a></p> <p></p> <p>資安業者Mandiant揭露伊朗駭客UNC1549自2022年6月發起的攻擊行動，範圍主要包含以色列及阿拉伯大公國等中東地區，並針對航太及國防工業下手，但其他地區也有企業組織受害。駭客假借與以色列及哈馬斯相關的內容，或是職缺、登入網頁的名義，散布後門程式Minibike、Minibus，一旦電腦被植入這些後門程式，駭客就有可能進行情報收集，或是將受害電腦當作入侵目標組織的據點，也有可能植入更多惡意程式。</p> <p>研究人員看到駭客最初使用Minibike，此後門程式具備較為完整的功能，包含列出目標主機或特定資料夾的檔案、收集系統資訊、上傳檔案、執行其他處理程序；而到了2023年8月，對方也開始使用Minibus，但相較於另一個後門程式，其功能較少，卻具備更佳的偵察能力。值得留意的是，在大多數情況當中，駭客從Azure雲端基礎設施取得上述的後門程式，而使得攻擊行動變得更為隱匿。</p> <p>而對於駭客的身分，研究人員指出，對方與TA456（亦稱Imperial Kitten、Tortoiseshell）有所交集，因此很可能也聽從伊斯蘭革命衛隊（IRGC）的命令。</p> <p><a href="https://www.bleepingcomputer.com/news/security/20-million-cutoutpro-user-records-leaked-on-data-breach-forum/"><strong style="font-size: 22px;">AI影片編輯平臺Cutout.Pro驚傳資料外洩，2千萬會員個資流入駭客論壇</strong></a></p> <p></p> <p>2月27日有人在駭客論壇BreachForums聲稱從人工智慧影音編輯平臺Cutout.Pro竊得逾2千萬筆用戶個資，並公布大小為5.93 GB的CSV檔案，當中總共存放約4,140萬筆記錄，有2千萬個不同的電子郵件信箱帳號。</p> <p>資安新聞網站Bleeping Computer取得上述CSV檔案，這些資料包含了使用者ID及頭像圖片、API金鑰、帳號建立日期、電子郵件信箱、使用者IP位址、行動電話號碼、密碼雜湊值、帳號類型與狀態。2月28日密碼外洩查詢網站Have I Been Pwned（HIBP）也將這批資料加入其資料庫，並指出受影響的帳號有19,972,829個。</p> <p>值得留意的是，雖然Cutout.Pro尚未證實資料是否外洩，但Bleeping Computer與HIBP比對CSV檔案內容，驗證部分資料確實是有效帳號，對此，他們呼籲使用者應儘速重設密碼。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/20-million-cutoutpro-user-records-leaked-on-data-breach-forum/">https://www.bleepingcomputer.com/news/security/20-million-cutoutpro-user-records-leaked-on-data-breach-forum/</a><br /> 2. <a href="https://haveibeenpwned.com/PwnedWebsites#CutoutPro">https://haveibeenpwned.com/PwnedWebsites#CutoutPro</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://infosecwriteups.com/0-click-account-takeover-on-facebook-e4120651e23e"><strong style="font-size: 22px;">Meta修補臉書帳號有可能遭到挾持的密碼重置漏洞</strong></a></p> <p></p> <p>研究人員Samip Aryal揭露臉書帳號的接管漏洞，這項漏洞存在於密碼重設的流程，與特定的端點流量速率限制相關，使得攻擊者有機會藉由動態密碼進行暴力破解，從而接管任何臉書帳號，過程中有可能無須使用者互動。</p> <p>他發現在臉書的密碼重設過程當中，其中一種驗證方式是向使用者其他已經登入的裝置發送6位數驗證碼，但這串數字有效期間長達2個小時，且並未受到防護暴力破解攻擊機制的阻止，因此，攻擊者一旦得知目標的臉書帳號，就有機會透過像是Burp Suite等滲透測試工具破解上述驗證碼，從而竄改密碼或是挾持帳號。研究人員表示，當這個漏洞被利用的時候，受害者的裝置會收到彈出式通知，訊息內容有可能會直接顯示驗證碼，或者是要求使用者點選通知訊息檢視。</p> <p>該名研究人員在1月30日向Meta通報，並於2月2日得到修補。究竟這項漏洞有多嚴重？或許能根據Meta頒發獎金<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">的</span>情況得知。研究人員表示，這是他從Meta拿到獎金最高的一次，但並未透露金額。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.cisa.gov/news-events/alerts/2024/02/29/cisa-adds-one-known-exploited-vulnerability-catalog"><strong><span style="font-size: 20px;">美國CISA將微軟串流服務漏洞CVE-2023-29360列入已被利用的名單</span></strong></a></p> <p></p> <p><strong><a href="https://www.securityweek.com/cisco-patches-high-severity-vulnerabilities-in-data-center-os/"><span style="font-size: 20px;">思科修補資料中心作業系統FXOS、NX-OS的高風險漏洞</span></a></strong></p> <p></p> <p><a href="https://unit42.paloaltonetworks.com/new-linux-variant-bifrost-malware/"><strong><span style="font-size: 20px;">RAT木馬程式Bifrost藉由偽冒的VMware網域散布</span></strong></a></p> <p></p> <p><a href="https://www.darkreading.com/cloud-security/russia-s-midnight-blizzard-targeting-service-accounts-for-initial-cloud-access"><strong><span style="font-size: 20px;">雲端服務帳號遭到俄羅斯駭客組織APT28鎖定，成為對方入侵受害組織的主要管道</span></strong></a></p> <p></p> <p><strong><a href="https://www.darkreading.com/vulnerabilities-threats/voltzite-zaps-african-utilities-volt-typhoon-onslaught"><span style="font-size: 20px;">中國駭客組織Volt Typhoon旗下團體針對非洲公營事業下手</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161571"><strong>【3月1日】惡意程式Gtpdoor埋伏於電信網路環境從事網路間諜攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161549"><strong>【2月29日】Hugging Face平臺上面出現惡意模型！能在用戶電腦部署後門程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161517"><strong>【2月27日】知名組織棄置的網域與子網域淪為掩護惡意郵件攻擊的新興工具</strong></a></p> </div></div></div>
2024/3/4 12:10作者周峻佑https://www.ithome.com.tw/news/161590
微軟Windows 11 Copilot新增第三方外掛、整合Autopatch與Windows Update
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟持續增加Windows 11的AI功能，包括為數位助理Copilot新增第三方服務外掛、Windows AI設定與控制功能、魔術橡皮擦、消除聲音停頓，以及整合企業PC軟體更新的Autopatch與Windows Update。</p> <p>新功能將經由Windows Update部署給Windows 11 22H2和23H2 PC。微軟會逐步部署，預計今年4月的Patch Tuesday前部署大部分新功能。</p> <p>在第三波外掛功能方面，相較於之前用戶必須使用Bing Copilot外掛，現在Windows 11用戶將可透過Copilot直接在PC使用外部付費服務。第一波外掛包括餐廳訂位服務OpenTable和購物網站Instacart，下個月還會再加入Shopify、先買後付金融App Klarna、旅遊服務Kayak等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0304-Copilot%20in%20Windows%2011-plugins-600.png" style="width: 379px;" /></p> <p>此外，從3月底開始Copilot也將加入新技能，涵括設定、輔助功能及裝置資訊類。在設定類中，用戶將可在提示框輸入文字，命令Copilot開／關省電功能，開啟儲存頁，或顯示裝置、系統或電池資訊頁。在協助視障或聽障者的輔助功能方面，Copilot下個月起可以開啟即時字幕、朗讀程式、螢幕放大鏡、語音存取與語音輸入頁、文字大小頁及對比模式頁。用戶還能讓Copilot顯示裝置的資訊，像是可用的Wi-Fi熱點、IP位址、可用儲存空間、或是要它清空資源回收桶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0304-windows%2011%20copilot-Turn%20onoff%20battery%20saver.png" style="width: 285px;" /></p> <p>其他則有融合AI的功能，像是相片（Photo）App加入了生成式橡皮擦（generative erase）功能，可去除相片中的閒雜人事物（如天空中礙眼的飛機），影片編輯功能Clipchamp的沈默去除（silence removal）功能可消除影片音軌中說話時的停頓，後者目前為預覽版。</p> <p>現在Windows 11也預設啟用自訂語音捷徑、以及在多螢幕間語音控制內容或搬動檔案、應用程式。</p> <p>對企業用戶，Windows 11將整合Windows Update for Business及Autopatch於同一更新管理。其中Autopatch是對Windows PCs、Microsoft 365 App、Edge和Teams提供安全更新，現在加入AI，旨在減少軟體更新對用戶的干擾。</p> <p>其他功能包括以Android手機當作Windows 11 PC視訊會議的攝影機、Windows Ink可支援新App，如WhatsApp、FB Messenger及相片、小畫家等，檔案共享功能可支援WhatsApp、Snapchat及IG，不久後也會支援FB Messenger，以及強化widget和App組織顯示的能力。</p> <p><span style="color:#696969;"><span style="font-size: 14px;">圖片來源_微軟</span></span></p> </div></div></div>
2024/3/4 12:30作者林妍溱https://www.ithome.com.tw/news/161592
【先建立工程師成本紀律，再打造協作式FinOps組織和文化】全球零售龍頭FinOps關鍵心法大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我們從上雲的第一天，焦點就是節省成本。」沃爾瑪全通路成本維運團隊資深工程總監Tim O'Brien特別強調。</p> <p>沃爾瑪（Walmart）是全球最大的零售集團，分店數超過1萬家，2023年全球營收超過了6,110億美元（臺幣1兆9千億元）。早在2015年時，沃爾瑪就全力擁抱雲原生，打造了核心數超過20萬的OpenStack私有雲，現在更是超過100萬個核心。2020年時，沃爾瑪用Kubernetes打造了一個沃爾瑪雲原生平臺（Walmart Cloud Native Platform，簡稱WCNP)），可以調度超過93,000個運算節點，來執行高達54萬多個Pod叢集，也讓網站後臺每個月有能力發布170,000次調整，比前一代架構足足增加了1,700倍。</p> <p>後來，沃爾瑪更進一步發展成混合雲架構，2022年，他們揭露了現代雲架構：「三雲模式」（The Triplet Model），結合了兩家公雲和沃爾瑪私有雲，打造了一個分散三地的超大規模混合雲，運用不同公雲來提高彈性和擴充力，上面部署了一套智慧型網路流量管理平臺，還有沃爾瑪已經開源釋出的維運管理平臺OneOps和雲原生平臺（WCNP），來支援全球2萬8千人規模的技術團隊，發展各種創新應用。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>電商業績首度破千億美元，每周活躍用戶年增17%</strong></span></span></p> <p>2023年對沃爾瑪來說，是自家電商業績破紀錄的一年，首度突破了1千億美元，占了該公司總營收的16％，電商平臺每周活躍用戶更是成長了17％。如何整合線上線下提供全通路的購物體驗，成了他們2024年的重要發展目標，甚至，跨通路產品搭售成了年度重要的產品策略重心。</p> <p>擁有全球數一數二超大規模的企業雲，沃爾瑪的雲端成本支出也相當驚人，雖然他們從沒對外揭露明細，只坦言，隨著電商業績比重提高，雲端費用也節節增加。</p> <p>早在2018年，沃爾瑪開始引進Azure和GCP等公雲，來分攤自建OpenStack私有雲的工作量，控管整體基礎架構的用量和成本。沃爾瑪找來當時擔任全球產品DevOps和SRE團隊軟體工程總監的Tim O'Brien，來負責這項計畫，由他統籌沃爾瑪全球雲端用量和成本管理。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>3年前開始注意FinOps，調整多雲戰略來提高成本效益</strong></span></span></p> <p>2021年時，沃爾瑪開始意識到FinOps（雲端維運成本管理）的重要性，由Tim O'Brien帶頭調整多雲戰略，率領沃爾瑪全球技術部門的全球平臺團隊，思考如何在全球架構下達到更高的成本效益。</p> <p>Tim O'Brien的第一步是先整合多雲的成本報表資訊，彙整了四十多種資料來源，包括了各種雲端用量、成本和維運的數據，用來驅動每天成本、用量、效率的決策，來發展出一套適合自己的雲端省錢維運方法。</p> <p>2022年，Tim O'Brien將這套雲端維運方法，擴大應用到沃爾瑪美國市場的通路和供應商管理。2023年則更近一步擴大到沃爾瑪全球的線上與線下全通路。而Tim O'Brien也成為沃爾瑪全通路成本維運最高負責人，要與全球技術平臺團隊、內部戰略團隊、科技財務團隊聯手，訂定一套跨部門的雲端用量預測和效率衡量方法。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E6%AF%8F%E6%97%A5%E8%B2%BB%E7%94%A8%E8%AE%8A%E5%8C%96-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Walmart.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>FinOps要成功，第一步得讓工程師聚焦每一天的花費。沃爾瑪自製了一項專案成本工具，可以畫出每個工程團隊每天花了多少錢，以及用在哪裡。這個工具可以從專案、團隊、部門、子公司等不同層級的分類，來檢視每個層級的每天雲端成本明細。</strong><span style="font-size:14px;">（圖片來源／Walmart）</span></span></p> <p><a href="https://www.ithome.com.tw/article/161578" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1171-feng_mian_p1-open-dou_zi_960x420_kao_bei_0.jpg?itok=qjRPEy6m" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/4 12:00作者王宏仁https://www.ithome.com.tw/news/161575
沃爾瑪如何管理雲端維運成本？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>跨雲用量龐大的沃爾瑪，如何管理雲端維運成本？他們發展出了一套將FinOps整合到組織和文化的關鍵心法，甚至設立了專門的跨部門FinOps支援團隊，來協助各部門實踐FinOps。</p> <p>「沃爾瑪的一切都在雲上執行，投資越高，我們越需要提醒自己，得控制成本。」沃爾瑪全通路成本維運團隊資深工程總監Tim O'Brien指出，因為「要比競爭對手更懂得控制成本。」這是沃爾瑪創辦人十大準則的第九條。每一個沃爾瑪的員工都被要求要專注於省錢，才能對顧客有幫助。</p> <p>所以，Tim O'Brien強調：「我們一直專注於雲端效率的提升。」也才會在上雲第一天，就開始考慮如何節省。但是「效率不只是成本問題，還涉及了穩定性和準備。」</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>提高工程師FinOps意識是第一步，先聚焦每天的雲端支出</strong></span></span></p> <p>沃爾瑪成功推動FinOps的關鍵是讓工程師意識到FinOps，如何做到？有三個作法，先聚焦在每一天的花費，其次再讓每日成本的變化產生關聯，最後是將成本的影響連結到顧客。</p> <p>沃爾瑪打造了一項專案成本工具，可以畫出每個工程團隊每天花了多少錢，以及用在哪裡。這個工具可以從專案、團隊、部門、子公司等不同層級的分類，來檢視每個層級的每天雲端成本明細。Tim O'Brien解釋，讓團隊每天專注這些資訊，可以訓練他們真正掌握自己花錢的方式，「提高每一天的注意力，是開始控制雲端支出的第一步。」</p> <p>沃爾瑪會不斷問工程師，為什麼你的花費增加了，是因為資料庫還是Log紀錄暴增？雲端資源的使用有沒有過量還是適量？沃爾瑪想要訓練工程師，有能力自己回答這些問題。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>訓練團隊建立FinOps紀律</strong></span></span></p> <p>「FinOps不是為了解決成本問題，而是建立團隊紀律，能夠留意當下。」Tim O'Brien補充：「這麼做不只可以管理支出，還帶來可靠性這項好處。」他解釋，訓練團隊經常關注每日成本指標，可以訓練人們推出軟體時，更常思考架構，這樣的成本紀律可以帶來更高的可靠性。一但發生事故，他們常常是第一個回應的人，也知道如何處理。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>將每日雲端支出年度化，來凸顯成本變化的影響</strong></span></span></p> <p>當團隊習慣留意每天的成本後，沃爾瑪的下一步是將讓這些成本變化更有關聯性，作法是聚焦在每日成本變化率的增減趨勢，並且將這些「雲端支出年度化」。這是為了讓這些雲端費用的變化，與工程師自己產生關聯，讓團隊更珍惜投入這麼多成本所帶來的價值。</p> <p>舉例來說，若有工程師為了推出一項新功能，需要啟動新的VM，一天要多付500美元上雲費用，沃爾瑪會將這一日的費用變化乘以365天，轉換成對未來一年的影響，就可以讓工程師認知到，新功能一年得多花18.2萬美元，超過臺幣5百萬元，不是一筆小數目。</p> <p>更進一步，沃爾瑪還從顧客角度來歸因這一筆雲端支出的影響，要求工程師思考「要賣掉多少商品，營收才得以打平這項新增功能的成本？這麼做值不值得？投入的雲端成本與顧客有關係嗎？新增的功能對顧客有幫助嗎？」</p> <p>Tim O'Brien補充：「將所有的節省或浪費，都連結到顧客和相關的體驗，才有意義。」</p> <p>訓練工程師注意每日支出只是基本原則，Tim O'Brien還要求整個團隊得注意到各種層面的每日支出，依據職位不同，各自負責關注不同重點。資深經理以上的資深主管，甚至是技術長，都得意識到每日支出的變化率，如何能夠用來鼓勵當責（Accountability），讓團隊對投入相關花費的結果負起責任。</p> <p>而工程師與團隊的中低階經理，則要從每日支出更意識到架構對成本的影響，例如經常評估遷移到新架構的成本是多少？或是檢查所準備的儲存空間有沒有使用？上傳了數PB的資料該用冷儲存、標準儲存還是歸檔儲存？有沒有造成浪費或是提供了過高規格的儲存空間？「儲存是最容易忘記拿來用的技術。」Tim O'Brien說。</p> <p>Tim O'Brien指出：「關注每天花費，就像打籃球，每天練習就會進步，每天練習還可以讓你保持敏銳，FinOps也是一樣。」不只如此，這麼做還會帶來額外的好處，他補充，追蹤每日成本，也是一種追蹤和觀察技術架構的方法，一但觀察到意外的支出，對事件的應變能力和回應都會更及時。</p> <p>為了減少雲端成本，戰略上，沃爾瑪訂定跨年的省錢戰略，也會落實到每年和每季預算上，但更重要的是訂定每日支出的目標。在戰術上，則聚焦追蹤每天的雲端消費情況、監控利用率。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>沃爾瑪高層每周必看的雲端費用表</strong></span></span></p> <p>不只設定每日目標，還會訂出隨著時間進展的費用下降路徑。每周Tim O'Brien率領的全通路成本維運團隊，都會寄一張雲端費用表給沃爾瑪每位高層。在這張表上，會列出每個部門每周的平均每日支出，例如某部門5/1～5/7平均每天上雲費用是34.2萬美元，每日目標是三個月後，也就是要在10月1日時，降低到每日上雲費用是25萬美元，也就是一天要減少9.2萬美元。</p> <p>9.2萬美元這個節省額度，不是一天或一個月達成，而是分3個月，每個月降低四分一，因此，在這張表也會同時列出，每個月要達到的每日支出金額，例如7/1每日支出要減為31.9萬美元（減少25%），而8/1則要降低到每天花29.6萬美元（減少50%），9/1是27.3萬美元（減少75%)，以及10/1的25萬美元，並且列出每個月要減少的金額為2.3萬美元、4.6萬美元、6.9萬美元，讓高層可以知道，未來每個月預計節省費用的下降趨勢該是如何。只要這個團隊某個月的每日支出超出了原定目標，馬上就會知道，偏移了多少，應該在下個月修正多少，最終才能達標。</p> <p>「一個團隊的預算是按年來規畫，但是焦點必須是每天關注。」這就是沃爾瑪落實FinOps的秘訣，Tim O'Brien說：「雖然不是所有的雲端支出都下降，有些領域還是持續增加，但是我們透過這些方式，努力減少上雲的費用。」</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>發展協作式FinOps，避免將FinOps變成省錢比賽</strong></span></span></p> <p>Tim O'Brien也提醒，不能把FinOps當成省錢的比賽，他認為：「FinOps需要協作，得避免造成競爭心態，不能變成一種爭『省錢功勞』的情況。」為了發展成協作式的FinOps實踐，沃爾瑪會特別先防範3種FinOps壞模式，避免團隊出現3種不好的行為。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>避免團隊出現三種FinOps壞模式</strong></span></span></p> <p>第一種不良行為是「標榜自己才是專家」，FinOps團隊要避免認為自己才是雲端維運管理專家，專門指揮其他團隊該怎麼做，或是列出一張長長的省錢改善清單，要求其他團隊照單執行。一但其他團隊不聽指揮，FinOps團隊又沒辦法負責，就無法落實FinOps。「要讓團隊自己建立標準和省錢目標，自己當責。」Tim O'Brien表示。</p> <p>第二種要避免的行為是「指責他人」，FinOps團隊不能在老闆面前，責怪哪個團隊或哪一個人沒做好，這會破壞彼此的關係，FinOps協作就會失敗。「鼓勵才有助於熱情和理解，尤其FinOps要擴大規模，特別不容易，需要採取鼓勵的態度，而非責難。」Tim O'Brien會盡量將成果歸功到更多人，讓其他人因注重FinOps而獲得晉升。</p> <p>最後一種不良行為是，FinOps團隊得避免「自己把持FinOps資料」。像Tim O'Brien的團隊整合四十多種不同的資料來源，才彙整出各種雲端用量、成本和維運的數據，但是，FinOps團隊不能自己想要獨占這些成本和利用率的數據，而是得意識到，用到雲端的每一個團隊，都需要掌握和分析這些資料。「資料沒有共享，就沒有信任，而且不只是提供資料，還要分享分析。可以建立一個跨部門的超級使用者社群，一起討論。」他說。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%88%90%E6%9C%AC%E7%AE%A1%E7%90%86%E8%A1%A8%E5%8F%83%E8%80%83-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Walmart.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>每一周，沃爾瑪每一位高層會收到這樣一張雲端費用表（圖中數據為模擬的假資料），列出每個部門每周的平均每日支出，以及未來3個月後要減少的目標金額，還會列出每個月預計節省費用的下降趨勢。只要團隊某個月的每日支出超過預定目標，馬上就會知道偏移多少，下個月應該修正多少，最終才能達標。</strong><span style="font-size:14px;">（圖片來源／Walmart）</span></span></p> <p><a href="https://www.ithome.com.tw/article/161578" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1171-feng_mian_p1-open-dou_zi_960x420_kao_bei_0.jpg?itok=qjRPEy6m" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/4 12:00作者王宏仁https://www.ithome.com.tw/news/161576
沃爾瑪雲端省錢術成功關鍵：FinOps扮演支援角色而非實踐主角
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在FinOps組織架構的設計上，沃爾瑪全通路成本維運團隊資深工程總監Tim O'Brien表示，沃爾瑪沒有設立一個「FinOps專門團隊」，而是設立了一個「FinOps支援團隊」，來支援技術平臺團隊和業務部門（面對各市場顧客的各部門）更善用雲端技術和推動FinOps。這個FinOps支援團隊由財務和工程人員組成，負責建立FinOps實踐需要的相關標準，而且是沃爾瑪全球技術團隊都適用的標準。</p> <p>就算有一個50人規模的FinOps團隊，也不可能掌握每一隻AP的架構和所有細節，必須由工程團隊、AP團隊自己動手，才能真正提高效率。這正是沃爾瑪採取協作式FinOps實踐方式的原因。</p> <p>在這個FinOps支援團隊之上，沃爾瑪還設了一個指導委員會，找來各事業群資深副總裁組成，負責設定FinOps整體目標、公司政策和共同戰略。</p> <p>Tim O'Brien格外強調，想要落實FinOps得避免競爭心態，最不能問的問題就，節省這筆錢是誰的功勞？這是最危險的問題，會造成兩個團隊互爭功勞，得改說你們兩個團隊，共同幫顧客節省了多少。「要獎勵協作的行為，而非省錢的行為。」</p> <p>甚至，沃爾瑪的FinOps支援團隊雖然是扮演了核心推手，還會刻意避免參與到各部門的FinOps協作之中，要讓團隊雙方自己就能合作，不需要透過FinOps支援團隊才能找到提高雲端使用效率的機會點。「全都靠支援團隊才能協作，無法擴大FinOps協作的規模。」Tim O'Brien提醒。</p> <p>沃爾瑪會盡量讓利害關係人建立FinOps的關係。</p> <p>例如讓不同工程團隊和電商部門，供應鏈管理部門，連鎖店面部門，彼此直接溝通和共同負責省錢的工作。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>用資料無塵室打造省錢效率機會儀表板，設立省錢點子交換平臺</strong></span></span></p> <p>像是沃爾瑪正在建立一個跨團隊共享的資料無塵室，彙集了各種雲端成本、利用率的數據，可以用來討論有哪些降低成本的「效率機會」（Efficiency Opportunity）。採用資料無塵室技術，可以確保每個部門只能看到符合各自權限的資料。</p> <p>在資料無塵室中，提供了一款效率機會儀表板的工具，以紅綠燈機制列出各種提高效率的指標，紅燈機會是可以立即行動的項目，而黃燈則代表需要持續注意的項目。</p> <p>列入紅燈機會的項目像是還有多少沒用的VM虛擬機數量，或是有多少閒置半年的Cassandra資料庫或是閒置的資料表數量。</p> <p>而黃燈機會則像是，利用率低於特定警戒值的項目，例如CPU利用率低於40%的VM等。沃爾瑪FinOps支援團隊會和Ap團隊，用實際的AP使用數據來討論警戒值高低的風險和影響，決定應該訂在多少。</p> <p>Tim O'Brien表示：「我們嘗試將這個效率機會儀表板發展成一個內部的開源專案，」工程師可以查看每一個效率機會如何訂定，效率機會儀表板也串接了一套共享的上雲費用和利用率的數據，所有技術團隊可以查詢每一個紅燈機會、黃燈機會背後的數據。</p> <p>不只是效率機會儀表板，沃爾瑪還打造了一個開放共享的效率機會點子交換平臺，可以讓各個部門交換改善FinOps效率的點子。</p> <p>任何部門，任何職位的人員，從資深的副總裁，到新進的工程師，人人都可以提出效率機會的點子到這個交換平臺中，也開放眾人討論，並且會使用各種數據來進行效率評估，看看這個點子是不是一個真正的機會，或者也可以提供一個新的效率標準，再來評估適當性。「這個靠內部協作來節省成本的作法，可以擴大規模。讓所有工程團隊和AP團隊，透過這個開放平臺交換效率機會的點子，FinOps支援團隊提供需要的支援，但是不介入這個協作。」</p> <p>Finops支援團隊會追蹤不同團隊的FinOps協作情況，來鼓勵雙方直接進行溝通和對成果負責，想辦法帶動這個虛擬社群的討論氣氛，促成各事業群業務團隊和AP團隊之間的溝通，另外也會建立一個可以共同分攤責任的框架。</p> <p>沃爾瑪是一家超級龐大的公司，員工數超過2百萬，技術團隊也將近3萬人，不斷會有新人和持續招聘，如何在新人不斷進來的同時，又能保持成熟的FinOps實踐能力，Tim O'Brien強調，不能將FinOps集中到一個部門來負責，而是要透過鼓勵社群協作的發展，讓節省成本的FinOps文化活躍到整個組織中。這正是沃爾瑪FinOps成功的關鍵。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_FinOps%E7%B5%84%E7%B9%94-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Walmart.png" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>在FinOps組織架構上，沃爾瑪設立了一個「FinOps支援團隊」，支援技術平臺團隊和業務部門更善用雲端技術和推動FinOps。這個支援團隊，由財務和工程人員組成，負責建立FinOps實踐需要的相關標準。在支援團隊之上，由各事業群資深副總裁組成指導委員會，負責設定FinOps整體目標、公司政策和共同戰略。</strong><span style="font-size:14px;">（圖片來源／Walmart）</span></span></p> <p class="rtecenter"><span style="color:#696969;"><span style="font-size:14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E7%99%BC%E5%B1%95%E5%8D%94%E4%BD%9C%E9%97%9C%E4%BF%82-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Walmart.png" style="width: 600px;" /></span></span></p> <p><span style="color:#696969;"><strong>沃爾瑪會盡量讓利害關係人建立FinOps的關係，例如讓不同工程團隊和電商部門，供應鏈管理部門，連鎖店面部門，彼此直接溝通和共同負責省錢的工作。FinOps支援團隊會刻意避免參與到各部門的FinOps協作之中，讓團隊雙方自己就能合作，不需要透過支援團隊才能找到提高雲端效率的機會點。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／Walmart）</span></p> <p><a href="https://www.ithome.com.tw/article/161578" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1171-feng_mian_p1-open-dou_zi_960x420_kao_bei_0.jpg?itok=qjRPEy6m" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/4 12:00作者王宏仁https://www.ithome.com.tw/news/161577
零售龍頭雲端省錢術
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1171-feng_mian_p1-open-dou_zi_960x420_kao_bei_0.jpg?itok=qjRPEy6m" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2023年沃爾瑪電商業績，首度突破了1千億美元，每周活躍用戶更是成長了17％。沃爾瑪的一切都在雲上執行，私有雲核心數破百萬，2年前更發展出了多雲混合雲架構。沃爾瑪早從3年前就開始推動FinOps，甚至從上雲的第一天，就開始講究節省成本</p> </div></div></div>
2024/3/4 12:00作者王宏仁https://www.ithome.com.tw/article/161578
博通以38億美元出售VMware用戶端運算業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>博通（Broadcom）和私募基金業者KKR上周宣布，博通將以38億美元將VMware包含遠端存取技術的用戶端運算（End-User Computing，EUC）部門出售給後者。</p> <p>EUC原為VMware旗下的桌面虛擬化及端點管理，或其稱數位工作區（digital workspace）的解決方案，旨在讓企業在任何裝置或平臺上都能安全連線及管理應用程式、桌機及資料。它包含企業平臺Workspace ONE整合終端管理（Unified Endpoint Management，UEM）、旗艦桌機及應用程式虛擬化平臺Horizon，以及資料、身份與工作流程共通平臺服務。</p> <p>出售業務視主管機關核准及其他條件而定，預計今年內完成。在出售後，EUC將成為一家獨立公司，並由現有管理團隊持續統率，包含其現任該部門總經理Shankar Iyer。KKR<a href="https://media.kkr.com/news-details/?news_id=48701629-ae4d-4d88-b1a9-90a438c6bf6c" target="_blank">表示</a>，除了尋求新的合作夥伴關係外，新公司也將擴建業務團隊。</p> <p>這也是博通去年11月收購VMware後，最新的產品及組織精簡措施。去年收購完成後一周博通就裁減VMware人力，<a href="https://www.crn.com/news/virtualization/broadcom-s-confirmed-vmware-cuts-surpass-2-000-as-mass-new-york-disclose-layoffs" target="_blank">據稱</a>超過2,000人。未經證實的消息<a href="https://www.reddit.com/r/vmware/comments/1b1sah4/broadcom_silent_layoffs_email_to_vmware_about_40/?rdt=61195" target="_blank">指出</a>博通以不續工作簽證為手段，迫使外籍工程師主動離職。</p> <p>另外，為了提高來自經銷通路的營收，博通去年底<a href="https://www.ithome.com.tw/news/160549" target="_blank">取消</a>現有合作夥伴關係，將只接受下單量大的經銷商作為新的合作夥伴。今年一月VMware又宣布終結了56項VMware產品，<a href="https://www.thestack.technology/vmware-is-killing-off-56-products-including-vsphere-hypervisor-and-nsx/" target="_blank">包括</a>VMware Hypervisor，以簡化產品、減少研發成本。</p> <p>博通在上周MWC大會上宣布整合VMware及Symantec技術，結合VMware VeloCloud SD-WAN（前稱VMware SD-WAN）及Symantec Security Service Edge（SSE）成為軟體定義邊緣（Software-Defined Edge）產品線<a href="https://www.broadcom.com/company/news/product-releases/61876" target="_blank">VMware VeloCloud SASE</a>以管理5G網路、邊緣網路。</p> <p>KKR對IT產品並不陌生。KKR 2018年<a href="https://www.ithome.com.tw/news/136105" target="_blank">買下</a>系統管理軟體業者BMC，後者則陸續買入其他IT產品業者，包括大型主機軟體商Compuware。2022年這家私募基金業者又從另一家基金公司Thoma Bravo手上<a href="https://www.ithome.com.tw/news/150439" target="_blank">買入</a>網路設備商Barracuda。</p> </div></div></div>
2024/3/4 10:21作者林妍溱https://www.ithome.com.tw/news/161589
【資安週報】2024年2月26日到3月1日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>告別2月，迎接3月，我們要提醒大家注意的資安消息，包括兆勤、Canon、思科的漏洞修補消息，以及開源軟體存在Wi-Fi身分驗證繞過漏洞的相關修補，需要企業著手因應之外，特別的是，還有兩個與微軟有關的漏洞利用，這些問題都必須重視，請用戶及早修補或實施緩解機制。<br /> （一）微軟在2月修補的漏洞CVE-2024-21338，通報此漏洞的資安業者Avast最近指出，發現修補前已有北韓駭客組織Lazarus利用，以關閉特定的防護處理程序、迴避偵測。由於上述狀況的發生，也表示此弱點已導致零時差漏洞攻擊。<br /> （二）去年6月微軟修補微軟Streaming Service相關漏洞<a href="https://www.cisa.gov/news-events/alerts/2024/02/29/cisa-adds-one-known-exploited-vulnerability-catalog">CVE-2023-29360，這是存在於驅動程式mskssrv.sys的權限提升漏洞，近日發現鎖定利用的情形</a>。這段時間的iThome資安日報尚未提及，在此補上。<br /> 另外，前幾期週報我們已提醒的Ivanti Connect Secure漏洞，以及ScreenConnect漏洞，如今傳出中國駭客與多個駭客團體正鎖定攻擊的情形，尚未因應的企業需要趕緊行動。</p> <p>在資安事件方面，國內有3項消息受到矚目，都與上市公司有關，包括：<br /> ●2月26日，上市綠能環保、PCB廢液處理業者昶昕公告，部份資訊系統遭受駭客網路攻擊事件。<br /> ●2月29日，中華電信因媒體報導有人在暗網兜售該公司的內部資料，發布重大訊息，表明資安團隊查知疑似資料外流的情況，正展開調查。<br /> ●2月27日，散熱風扇廠商建準在一星期前已公告發生網路資安事件，但這天再次發布新的重訊，說明該事件的後續處理情形。</p> <p>在資安威脅焦點方面，上星期發生的兩起重大事件，都有後續消息傳出。例如，才被11個國家執法單位圍剿的勒索軟體駭客組織LockBit，已傳出重啟爐灶的消息；關於中國資安業者「安洵信息」的資料外洩，曝露該國政府對全球20國發動網路間諜行動的情況，後續有更多與臺灣資安現況有關的內容被分析出來，像是國外研究人員指出，當中蒐集了臺灣道路地圖檔案的情資，已竊取495 GB的相關檔案，臺灣資安業者TeamT5亦指出，當中透露該公司與中國政府打交道的情形，產品細節與財務，以及上報RAT木馬程式ShadowPad開發的細節，顯示這批資料的可信度相當高。</p> <p>其他最新威脅態勢的揭露上，我們注意到5個值得留意的狀況，其中有3則是多國網路安全機構的示警：<br /> ●AI開發者與用戶要當心！近日有兩起資安新聞，一是機器學習模型共享平臺Hugging Face出現100個惡意模型，不慎下載恐將被安裝後門程式，另一是AI影片編輯平臺Cutout.Pro傳出資料外洩，2千萬名會員個資流入駭客論壇。<br /> ●電信業者注意！有研究人員揭露駭客近期使用的後門程式Gtpdoor，主要針對鄰近GPRS交換網路（GRX）的電信網路環境入侵，並將攻擊流量混入合法流量，隱匿攻擊行動。<br /> ●德國BfV、韓國NIS提出警告，北韓駭客針對全球國防單位從事網路間諜行動，這份警告也揭露當中存在供應鏈攻擊的狀況：對方入侵維護廠商竊取SSH帳密，從而存取海事及航運研究中心的Linux網頁伺服器主機。<br /> ●10國執法機關聯手針對俄羅斯駭客組織APT28的攻擊行動提出警告，指出攻擊者正鎖定Ubiquiti路由器入侵，並濫用EdgeRouter迴避偵測、建置殭屍網路，以隱匿攻擊行動。<br /> ●<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a">美國CISA</a>與<a href="https://www.ncsc.gov.uk/files/Advisory-SVR-cyber-actors-adapt-tactics-for-initial-cloud-access.pdf">英國NCSC</a>示警，俄羅斯駭客組織APT29（亦稱Midnight Blizzard）是俄羅斯情報部門SVR的一部分，近期經常針對服務帳戶使用密碼噴灑攻擊，以取得對雲端環境的初始存取權限。本週刊出的資安日報尚未提及，在此補上。</p> <p>還有一個威脅態勢，我們認為也相當值得企業警惕，是棄用的子網域名稱遭濫用，有攻擊者正進行這方面的大規模網路掃描，以奪取控制權，進而盜用企業身分發動網路釣魚攻擊。近期已有MSN、VMware、eBay等多家企業的網域遭利用，這也突顯即使大型知名企業，仍可能在這方面產生疏忽。</p> <p>至於防禦態勢上，最大焦點就是美國NIST正式發布了網路安全框架CSF 2.0，新版不僅加入治理功能，還有一系列的資源與工具，讓企業更容易去實踐。例如，在5種快速入門指南中，有小型企業（SMB）適用的快速入門指南，在CPRT工具中則針對各項子類別，提供了易於理解的實踐範例。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/161467"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月26日】勒索軟體駭客組織LockBit在執法單位控制基礎設施不到一週就捲土重來</span></strong></a></h3> <p>執法單位<a href="https://www.ithome.com.tw/news/161379">針對勒索軟體駭客組織LockBit出手</a>，成功接管34臺LockBit伺服器，凍結逾200個加密貨幣帳戶，逮捕2名嫌犯，隨後<a href="https://www.ithome.com.tw/news/161386">日本警方也在No More Ransom網站提供LockBit 3.0解密工具</a>。但這群駭客也不是省油的燈，不到一週的時間，他們重新架設網站，並聲稱已有組織受害。</p> <p>在此期間，已經有駭客利用遠端桌面連線軟體ScreenConnect的重大漏洞，<a href="https://www.ithome.com.tw/news/161450#SlashAndGrab">對醫療機構散布LockBit用來加密檔案</a>，但當時研究人員推測，可能是未被取締的附屬組織所為。</p> <h3><a href="https://www.ithome.com.tw/news/161517"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月27日】知名組織棄置的網域與子網域淪為掩護惡意郵件攻擊的新興工具</span></strong></a></h3> <p>駭客註冊特定名稱的網域並用於攻擊行動很常見，而且，過往這類手法最常見的做法，便是註冊與目標組織名稱類似的網域，企圖混淆使用者來達到目的，但最近，研究人員發現使用新型態手法的攻擊行動，駭客能夠繞過垃圾郵件過濾器或是郵件安全閘道的防護。</p> <p>特別的是，這次駭客是尋找知名企業組織棄用許久的網域名稱，並重新註冊納為己有，然後用這些網域、子網域來大量發送惡意郵件。</p> <p><a href="https://www.ithome.com.tw/news/161549"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月29日】Hugging Face平臺上面出現惡意模型！能在用戶電腦部署後門程式</span></strong></a></p> <p>最近2到3年，駭客偏好散布惡意程式的新興管道，其中之一就是針對開發人員使用的開源套件儲存庫NPM、PyPI而來，藉由在此發行有問題的套件，進而在安裝、使用這些套件的電腦散布惡意程式，但隨著生成式AI技術的崛起，類似的情況也出現在共享機器學習模型的平臺。</p> <p>在譽為AI界GitHub之稱的Hugging Face平臺，研究人員發現裡面存在惡意的機器學習模型，值得留意的是，儘管該公司已採取多項檢測措施來掃描機器學習模型的檔案是否有害，然而，這些模型居然可以繞過這些機制而能成功上架，因此平臺端和使用者端都要提高警覺。</p> <h3><a href="https://www.ithome.com.tw/news/161571"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月1日】惡意程式Gtpdoor埋伏於電信網路環境從事網路間諜攻擊</span></strong></a></h3> <p>電信業者遭到駭客組織鎖定，長期埋伏於電信網路環境的情況，最近幾年陸續有研究人員公布相關的攻擊行動，如今又有新的發現。</p> <p>研究人員發現新的後門程式Gtpdoor，與過往發現的作案工具有所不同的是，駭客組織LightBasin疑似直接使用GPRS隧道通訊協定（GTP）來隱匿流量內容，並將其混入合法流量，而使得電信業者難以偵測該組織從事的網路間諜行動。</p> </div></div></div>
2024/3/4 09:27作者羅正漢https://www.ithome.com.tw/news/161587
白宮要開發者放棄C和C++改用記憶體安全程式語言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>白宮發布報告<a href="https://www.whitehouse.gov/wp-content/uploads/2024/02/Final-ONCD-Technical-Report.pdf">《Back to the Building Blocks: A Path Toward Secure and Measurable Software》</a>，以呼籲科技界主動減少網路攻擊面，針對軟體漏洞方面，白宮認為應該主動採取措施以減少漏洞帶來的風險，希望開發人員放棄C和C++改用記憶體安全程式語言，以增加軟體安全性。</p> <p>記憶體安全漏洞是嚴重且長期存在的問題，因為記憶體存取、寫入、分配或是非預期釋放所產生的漏洞，影響了整個數位生態系的安全性，白宮將記憶體安全漏洞分為空間與時間兩類，空間記憶體問題是指，程式存取不屬於其記憶體區域所產生的安全漏洞，而時間記憶體漏洞則是在不對的時間和狀態存取記憶體，像是物件被釋放後才存取物件資料等情況。</p> <p>過去數十年重大的網路安全漏洞，不少是由記憶體安全漏洞引起，像是1988年的Morris Worm、2003年的Slammer Worm DoS攻擊、2014年的Heartbleed，甚至是2023年的BLASTPASS都是屬於記憶體漏洞，而白宮認為，減少記憶體漏洞最有效的方法便是從程式語言下手。</p> <p>許多網路安全問題都是由單行程式碼引起，所以白宮指出，解決這些安全問題的有效方法，便是檢查所使用的程式語言本身。藉由分析和選擇程式語言的特性，尤其是關於記憶體安全的功能，可以減少甚至是消除不正確的記憶體使用方式，像是存取未分配的記憶體、緩衝區溢出等，所導致的錯誤和漏洞。</p> <p>白宮指出，目前一些在重要系統中廣泛使用的語言，像是C和C++，皆缺乏記憶體安全相關的功能。而根據CISA（Cybersecurity and Infrastructure Security Agency）開源軟體安全路線圖的建議，選用記憶體安全程式語言是一種安全設計的方式。目前已經有許多記憶體安全程式語言可用，技術製造商在建構新產品的時候，可以一開始就使用記憶體安全程式語言。</p> <p>轉換到記憶體安全程式語言對網路安全有明顯且積極的影響，白宮引用產業分析指出，以記憶體不安全語言所開發的程式碼，即便經過嚴格的程式碼審查和其他偵測控制，有分配CVE編號的安全漏洞中高達70％是由記憶體安全問題所致，而證據也顯示，將大型程式碼庫轉移到記憶體安全語言，可幾乎消除安全漏洞。</p> <p>雖然將現有程式碼完全以記憶體安全程式語言重寫具有困難度，但是還是有其他替代方案，像是混合方法，開發人員可以根據風險標準找出關鍵功能或是函式庫，優先以記憶體安全程式語言重寫這些部分。即便記憶體安全程式語言不是萬靈丹，無法解決所有網路安全問題，但白宮表示，這是技術製造商消除廣泛類別軟體漏洞，一個可以採取的重要行動。</p> <p>使用記憶體安全的程式語言可以消除大部分記憶體安全錯誤，雖然在特定情況中，專案可能無法使用記憶體安全程式語言，但是白宮藉由太空系統為例，檢視由於效能或是特定技術要求，而無法使用記憶體安全的特殊狀況，並且提出以記憶體安全硬體和形式化方法，作為記憶體安全程式語言不足的補充方法。</p> <p>OpenSSF正面<a href="https://openssf.org/blog/2024/02/26/openssf-supports-efforts-to-build-more-secure-and-measurable-software/">回應</a>了白宮的這份研究報告，承諾共同努力提高開源軟體的安全性。OpenSSF提倡採用Rust記憶體安全程式語言，以解決C和C++等傳統程式語言在記憶體管理上的脆弱性，OpenSSF也開發了C和C++編譯器選項強化指南，指導無法簡單搬遷使用記憶體安全語言的開發人員。</p> </div></div></div>
2024/3/4 08:19作者李建興https://www.ithome.com.tw/news/161573
Google更新BigQuery支援Gemini 1.0 Pro模型，並正式推出AlloyDB AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google讓<a href="https://cloud.google.com/blog/products/databases/bigquery-and-alloydb-hit-major-milestone-with-ai-enabled-updates">BigQuery可透過Vertex AI存取大型語言模型Gemini 1.0 Pro</a>，使得用戶能夠運用BigQuery資料進行多模態和進階推理，以支援醫療、供應鏈，甚至是零售和金融等產業人工智慧應用。Gemini 1.0 Pro是Google在去年底推出的大型語言模型，可以生成文字、翻譯語言，編寫各種內容，在文字摘要和情緒分析等廣泛任務表現良好，BigQuery用戶現可以從控制臺內部，使用SQL語句或是BigQuery嵌入式DataFrame API存取該模型。</p> <p>Google計畫之後還會擴展對Gemini 1.0 Pro的支援，讓客戶能夠應用更多模態生成式人工智慧用例，像是使用SQL查詢分析圖像、影片或是其他複雜資料。另外，BigQuery也開始預覽Vertex AI的文字和語音模型服務，供企業從文件和音訊檔案等非結構化資料中擷取有價值的資訊。</p> <p>Google還宣布AlloyDB AI正式上市，AlloyDB AI是AlloyDB for PostgreSQL中一組用以建構生成式人工智慧應用的功能，協助開發者使用營運資料，建構高效能且可擴展的人工智慧應用程式。AlloyDB AI內建端到端向量嵌入支援，讓開發者能夠將營運資料與大型語言模型結合使用。</p> <p>簡單來說，AlloyDB AI用戶可以使用簡單的SQL函式，將資料轉為向量嵌入，與標準PostgreSQL相比，向量查詢速度可提升達到10倍。除了AlloyDB AI，現在Google也開始預覽Spanner、MySQL和Redis的向量搜尋功能，並且預告之後將會整合LangChain開源框架，讓開發者更容易地在應用中整合大型語言模型。</p> </div></div></div>
2024/3/4 08:23作者李建興https://www.ithome.com.tw/news/161574
【資安日報】3月1日，惡意程式Gtpdoor埋伏於電信網路環境從事網路間諜攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電信業者遭到駭客組織鎖定，長期埋伏於電信網路環境的情況，最近幾年陸續有研究人員公布相關的攻擊行動，如今又有新的發現。</p> <p>研究人員發現新的後門程式Gtpdoor，與過往發現的作案工具有所不同的是，駭客組織LightBasin疑似直接使用GPRS隧道通訊協定（GTP）來隱匿流量內容，並將其混入合法流量，而使得電信業者難以偵測該組織從事的網路間諜行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://doubleagent.net/telecommunications/backdoor/gtp/2024/02/27/GTPDOOR-COVERT-TELCO-BACKDOOR"><strong style="font-size: 22px;">惡意程式Gtpdoor鎖定電信業者而來，透過GPRS網路進行控制</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Gtpdoor-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gtpdoor-1.png" style="width: 300px; float: right;" /></a>研究人員Haxrob揭露名為Gtpdoor的後門程式，駭客將其部署在鄰近GPRS交換網路（GRX）的電信網路環境，並透過GPRS隧道通訊協定（GTP）與C2進行連線，從而透過電信業者開放的連接埠，將攻擊流量混入合法流量，而能隱匿其攻擊行動。</p> <p>此後門程式具備監聽特定封包喚醒的功能，並支援反向Shell的功能，攻擊者也能藉此從外部網路進行非法探測，透過發送TCP封包來得知該後門程式的運作狀態。此外，對於特定的GTP封包，該後門程式使用XOR密碼進行加密處理。</p> <p>而對於利用該後門程式的攻擊者身分，研究人員認為可能是資安業者CrowdStrike揭露的LightBasin（也被稱做UNC1945），這些駭客曾被發現對超過13家電信業者下手，從2019年開始從這些廠商的基礎設施收集各式資訊。</p> <p><a href="https://www.zscaler.com/blogs/security-research/european-diplomats-targeted-spikedwine-wineloader"><strong style="font-size: 22px;">歐洲政府機關遭到鎖定，駭客利用印度外交活動為誘餌，散布後門程式WineLoader</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/WineLoader_1_5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WineLoader_1_5.png" style="width: 300px; float: right;" /></a>資安業者Zscaler名為SpikedWine的駭客組織攻擊行動，這些駭客疑似從去年7月開始活動，其中一起發生於今年1月30日的事故，是駭客佯稱是印度大使，邀請歐洲外交官參加2月份的品酒活動。</p> <p>對方使用PDF文件檔案做為誘餌，要求收到邀請函的官員填寫網路問卷，然而一旦照做，攻擊者就會將名為wine.hta的HTML應用程式檔案下載到電腦，該檔案含有經混淆處理的JavaScript程式碼，功能是從網域搜尋、下載挾帶後門程式檔案的壓縮檔，從而在電腦植入惡意軟體WineLoader。</p> <p>此惡意程式以DLL挖空手法注入特定的DLL檔案執行，為了迴避偵測，攻擊者以模組化的方式設計此惡意程式，相關的模組、與C2通訊的流量，也使用256位元的RC4金鑰進行加密處理。</p> <p><a href="https://blogs.jpcert.or.jp/en/2024/02/lazarus_pypi.html"><strong style="font-size: 22px;">北韓駭客Lazarus釋出惡意PyPI套件，意圖散布惡意軟體Comebacker</strong></a></p> <p></p> <p>2月28日日本電腦緊急應變小組（JPCERT/CC）提出警告，北韓駭客組織Lazarus近期在PyPI平臺上架4款具有惡意的軟體套件，企圖向開發人員散布惡意程式Comebacker。這些套件的名稱分別是pycryptoenv、pycryptoconf、quasarlib、swapmempool，在遭到刪除前共被下載3,257次。</p> <p>上述惡意套件採用類似的檔案結構，其中包含名為test.py的檔案，駭客於目標電腦執行帶有crypt功能函數的Python指令碼對其進行解碼，從而產生DLL程式庫output.py，然後該程式庫會用於建立另一個DLL檔案IconCache.db，也就是惡意軟體Comebacker，並於記憶體內執行、與C2連線。</p> <p><a href="https://www.mandiant.com/resources/blog/investigating-ivanti-exploitation-persistence"><strong style="font-size: 22px;">中國駭客組織利用Ivanti Connect Secure漏洞從事攻擊行動，恐針對美國、日本、亞太地區國防工業及電信機構而來</strong></a></p> <p></p> <p>資安業者Mandiant指出，他們在Ivanti於1月10日公布Ivanti Connect Secure零時差漏洞CVE-2023-46805、CVE-2024-21887之後，發現有中國駭客跟進、利用這些漏洞。</p> <p>其中1個名為UNC5325的駭客組織，不只使用寄生攻擊（LotL）手法來迴避偵測，並部署新型態的惡意軟體Littlelamb.Wooltea，從而在受害系統進行韌體更新、恢復原廠初始設置後，仍能在受害環境進行活動。研究人員指出，這些駭客在Ivanti公布之前，就利用了另一個漏洞CVE-2024-21893，而在Ivanti公布之後，對方企圖將其與CVE-2024-21887串連，造成更大的危害。</p> <p>根據駭客所使用的程式碼，研究人員認為這群人馬可能與另一個中國駭客組織UNC3886有關，而該組織主要攻擊範圍是美國、日本，以及亞太地區，針對國防工業基礎設施、科技業者、電信組織，他們推測UNC5325也會對於上述目標發動攻擊。</p> <p><a href="https://www.bitdefender.com/blog/labs/when-stealers-converge-new-variant-of-atomic-stealer-in-the-wild/"><strong style="font-size: 22px;">竊資軟體Atomic Stealer鎖定Safari的cookie、加密貨幣錢包而來</strong></a></p> <p></p> <p>資安業者Bitdefender發現新的macOS竊資軟體Atomic Stealer（亦稱AMOS Stealer）變種，這些竊資軟體採用Python指令碼讓其行蹤維持隱密，此惡意程式會收集瀏覽器裡儲存的資訊（特別是Safari的cookie），以及系統裡的特定檔案，並會引誘使用者提供本機帳號的密碼。</p> <p>研究人員指出，這款竊資軟體採用了結合Python與Apple指令碼的罕見手法，而有可能影響資安系統的偵測。附帶一提的是，他們比對了Atomic Stealer的程式碼，發現與2月上旬出現、假借Visual Studio更新程式來散布的竊資軟體RustDoor出現共用程式碼的情況，研判新版Atomic Stealer是以RustDoor為基礎開發而成。</p> <p><a href="https://www.ithome.com.tw/news/161562"><strong style="font-size: 22px;">中華電信傳出資料外洩，我國國安單位內部資料流入暗網</strong></a></p> <p>2月29日中華電信突然發布重大訊息提出說明，表明他們的資安團隊查知疑似資料外流的情況，已全面啟動資安防禦機制，並與外部資安技術專家共同合作處理，同時向政府部門進行通報。為何中華電信昨天要發布這則重大訊息？原因可能與這兩天一家媒體的報導有關，裡面提到有人在暗網兜售中華電信的內部資料。</p> <p>根據TVBS新聞臺2月28日的報導，近期暗網出現中華電信與國安單位之間往來的機密文件和公文，賣家聲稱握有1.7 TB資料，內容涵蓋內部文件、逾7千個資料庫，政府採購合約等。</p> <p>這些合約包含：軍司令部「租用中新一號後續衛星轉頻器」、外交部3年前與諾魯的資通訊合作案會議前摘要、去年海巡署巡護九號艦艇安裝和啟用衛星通訊的合約，此外，中華電信曾在2021年參與中科院的通資交換節點標案，金額為1,985萬元，相關文件被列為機密等級，但可能也因此遭公開。</p> <p>資料來源</p> <p>1. <a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=124334&SPOKE_DATE=20240229&COMPANY_ID=2412">https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=124334&SPOKE_DATE=20240229&COMPANY_ID=2412</a><br /> 2. <a href="https://news.tvbs.com.tw/politics/2409149">https://news.tvbs.com.tw/politics/2409149</a></p> <p><a href="https://www.ithome.com.tw/news/161561"><strong style="font-size: 22px;">建準公布2月19日遭遇加密攻擊事故後續處理狀況，坦承技術人員電腦檔案遭加密，恐有資料外洩風險</strong></a></p> <p></p> <p>2月19日散熱風扇製造商建準發布重大訊息，指出其資訊系統遭到加密攻擊，當時他們已找到加密來源並阻斷加密，資料無外洩的疑慮，他們也沒有遭到勒索。27日他們二度發布重大訊息，透露後續處理情形。該公司表示，他們在外部專家協助下，發現駭客入侵部分技術人員的電腦，並對其中重要檔案進行加密，研判恐有資料外洩的疑慮。</p> <p>值得留意的是，這次他們特別提到部分檔案出現無法解密的情況，可能意味著曾嘗試使用解密工具，但無法復原所有資料，此狀態是否發生在上述技術人員的電腦，外界依照這份說明也難以確定。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.top10vpn.com/research/wifi-vulnerabilities/"><strong style="font-size: 22px;">開源軟體存在Wi-Fi身分驗證繞過漏洞，安卓、ChromeOS、Linux用戶恐曝險</strong></a></p> <p></p> <p>比利時魯汶大學（KU Leuven）研究人員Mathy Vanhoef與VPN軟體測試網站Top10VPN聯手，揭露Wi-Fi元件Wpa_supplicant、iNet Wireless Daemon（IWD）的身分驗證繞過漏洞。這兩個元件目前廣泛用於多個Linux作業系統，但安卓、ChromeOS則是只使用Wpa_supplicant，而使得該元件漏洞的影響範圍較大。</p> <p>研究人員在Wpa_supplicant發現了CVE-2023-52160，攻擊者可用於建置惡意Wi-Fi網路，並將其偽裝成合法網路，然後誘騙使用者進行連線，而有可能挾持他們裝置的網路流量，且過程無需用戶互動。</p> <p>另一個存在於IWD的漏洞是CVE-2023-52161，一旦遭到利用，攻擊者可用來存取家用或小型企業的Wi-Fi網路，從而攻擊網路環境裡的裝置，或是攔截敏感資料、散布惡意程式。研究人員通報上述漏洞，Google已於ChromeOS 118修補，多個Linux版本也著手上述漏洞。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=170427&SPOKE_DATE=20240226&COMPANY_ID=8438"><strong><span style="font-size: 20px;">PCB廢液處理業者昶昕部分資訊系統遭到網路攻擊，初步評估對公司運作無重大影響</span></strong></a></p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-claims-they-stole-6tb-of-change-healthcare-data/"><span style="font-size: 20px;">醫療保健支付平臺Change Healthcare傳出遭勒索軟體BlackCat攻擊，6 TB資料流出</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/20-million-cutoutpro-user-records-leaked-on-data-breach-forum/"><strong><span style="font-size: 20px;">AI影片編輯平臺Cutout.Pro驚傳資料外洩，2千萬會員個資流入駭客論壇</span></strong></a></p> <p><a href="https://www.cyfirma.com/outofband/xeno-rat-a-new-remote-access-trojan-with-advance-capabilities/"><strong><span style="font-size: 20px;">開源RAT木馬程式Xeno上架GitHub，恐成為駭客利用的作案工具</span></strong></a></p> <p></p> <p><strong><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-060b"><span style="font-size: 20px;">美國針對Ivanti Connect Secure漏洞攻擊提出警告，即使重置原廠設定也無法完全清除威脅</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161549"><strong>【2月29日】Hugging Face平臺上面出現惡意模型！能在用戶電腦部署後門程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161517"><strong>【2月27日】知名組織棄置的網域與子網域淪為掩護惡意郵件攻擊的新興工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161467"><strong>【2月26日】勒索軟體駭客組織LockBit在執法單位控制基礎設施不到一週就捲土重來</strong></a></p> </div></div></div>
2024/3/1 17:27作者周峻佑https://www.ithome.com.tw/news/161571
VS Code開始支援語音聽寫功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://code.visualstudio.com/updates/v1_87">VS Code 1.87</a>已經釋出，這個版本新增了多項功能，開發者現在可以直接在編輯器中，使用語音聽寫功能編寫程式碼，還有查看並接受多游標的行內建議，在Copilot更新方面，現在支援重新命名建議，以及提供開發容器的範本與功能建議。</p> <p>VS Code開始支援語音輸入功能，開發者需要先安裝VS Code Speech擴充套件，使用快捷鍵啟動和停止編輯器的語音輸入，而用戶也可以選用對講機模式，按住快捷鍵啟用語音辨識，並在釋放按鍵時停止語音辨識。語音輸入功能也適用於編輯器其他功能，像是SCM提交輸入框，還有審查拉取請求時的評語輸入欄位等。</p> <p>VS Code編輯功能則有三項更新，在1.87版本中，預設啟用黏性滾動（Sticky Scroll），使頂端的程式碼在頁面捲動時置頂保持可見，且編輯器的黏性小工具中顯示的最大行數，從10行增加到了20行。而微軟還新增對多游標行內程式碼完成建議的支援，行內程式碼完成已經可以在主要與次要游標位置提供預覽並應用建議。</p> <p>重構預覽功能讓開發者進行程式碼重構，對要應用的變更進行審查，而在新的重構預覽功能中，變更會在多差異編譯器中顯示，供開發者透過比較版本差異，更清楚地查看所有變更。</p> <p>GitHub Copilot逐步推出重新命名建議功能，當開發者在VS Code編輯器中重新命名符號時，Copilot便會根據程式碼，提供一系列名稱建議供開發者選擇。</p> <p>另外，Copilot Chat的預覽版本，添加了一個新的聊天變數名稱#codebase，這個變數可用於提供工作區上下文資訊給Copilot。簡單來說，當開發者在與Copilot聊天時，使用#codebase變數可以讓Copilot了解工作區的內容，進而以具體程式碼和工作環境作為基礎，提供更加貼切的建議和回答。</p> <p>而提供了使用開發容器、透過SSH連接遠端機器、遠端通道，或是WSL作為開發環境功能的VS Code遠端開發擴充套件，現在當開發者向工作空間添加開發容器配置檔案時，Copilot Chat則會提供模板和功能建議。</p> </div></div></div>
2024/3/1 16:28作者李建興https://www.ithome.com.tw/news/161568
Fintech周報第232期：日本交易所集團宣布打造資料湖，實現全球性綜合金融資訊平臺願景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">2/19~3/1金融科技精選新聞</span></span></h3> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本交易所集團</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料湖 </span></strong></span></h3> <h3>日本交易所集團宣布打造資料湖，實現全球性綜合金融資訊平臺願景</h3> <p>日本交易所集團（Japan Exchange Group,JPX）宣布開發資料湖，預計2024年底開始營運。為了實現2030年成為全球性綜合金融資訊平臺的願景，日本交易所集團期望，透過資料湖集中管理各種數據，發展AI、ML和生成式AI等技術，進一步開發增值服務。</p> <p>這個資料湖預計納入交易系統、清算系統、市場營運相關系統、內部營運系統的數據，用來開發AI和數據分析工具，協助提升內部營運、擴展資料分散式服務範圍，和與第三方企業夥伴合作。此外，日本交易所集團也考慮納入和股票、衍生品市場的交易數據，包括綠色相關數據、即時揭露資訊、JPX網站數據、上市公司公布的新資訊等。</p> <p>日本交易所集團在AWS上建立資料湖，期望透過AWS的生態系擴展跨國資料分散式服務。內部則建立資料CoE，集結集團中管理資料的IT部門，和使用資料的業務部門，共同針對數據需求提供支持。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 澳洲第五大銀行</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 核心系統整合 </span></strong></span></h3> <h3>澳洲最大區域銀行預計2026年完成核心系統整合，從8個核心系統整合成單一核心系統</h3> <p>本迪戈和阿德萊德銀行近期公布半年財報，報告中表示，集團內部正在減少系統複雜性，將多達8個核心系統整合為1個核心。該行從1858年成立，前身為地區建屋合作社，於1993年轉型為銀行，長達百年的營運期間陸續與多家機構整併，內部擁有高達13個品牌、8個核心系統同時運作。</p> <p>該行自2021年開始整合多個核心系統，並逐步減少內部IT應用程式數量。目前，該行核心系統已減少至4個，預計2026年完成單一核心系統運作。本迪戈和阿德萊德銀行常務董事Marnie Baker表示，他們正在以模組化的方式拆分系統，並在前端系統建立新技術，例如，CRM系統、CIS系統和擔保品管理系統，讓核心系統只需處理和交易紀錄和總帳對帳等功能。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器人理財 </span></strong></span></h3> <h3>金管會開放券商、客戶和投顧事業簽訂三方契約就能使用機器人理財服務，放寬自動化平衡規定</h3> <p>金管會近期宣布，已完成相關規定預告程序，將開放證券商、客戶和投顧事業共同簽訂三方契約，接受投顧事業以機器人理財進行自動再平衡交易。未來，民眾若要使用投顧事業推出的機器人理財服務，不再需要跑一趟券商簽約，只要簽妥三方契約即可使用這項服務。</p> <p>目前，投顧業者提供的機器人理財服務若要納入境外ETF，需要透過券商進行複委託買賣，且券商也不能接受投顧事業以系統自動為客戶做自動再平衡交易，無法完成一站式自動化投資服務。因此，金管會去年11月公布修正相關規範，開放券商、客戶和投顧事業可簽訂三方契約，讓投顧事業由系統自動為客戶執行自動再平衡交易，不再需要經過券商代理的程序，即可為客戶申購、買賣或交割有價證券。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 玉山金控</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融AI </span></strong></span></h3> <h3>玉山金控董事長黃男州：AI未來可能扮演三種重要角色，具備發展潛力</h3> <p>玉山金控董事長黃男州日前在法說會前記者會中表示，AI未來可能扮演三種重要角色，具備發展潛力。第一種角色是智能夥伴，能和人類共同進行創造。第二，AI是溝通大師，不僅能與人溝通，也能在物聯網中與物溝通，未來人類可以透過AI與物溝通和合作，十分具有發展潛力。第三，AI是時光壓縮機，能處理許多過去需耗費大量時間學習的產業知識。黃男州最後也表示，未來AI還會與上雲結合，因此雲端也是重要議題。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 量子技術</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網路攻擊 </span></strong></span></h3> <h3>新加坡金管局建議金融機構提早準備預防量子技術造成的網路攻擊</h3> <p>新加坡金管局近期發布一份報告，提及量子技術可能在十年內引發網路安全風險，建議金融機構提早預防。報告中表示，量子機器運作遠比傳統電腦更快，可能打破常用的加密和數位簽章。隨著可能破解加密系統的量子電腦出現，金融機構處理金融交易和敏感數據的安全性受到威脅。</p> <p>報告書中建議，金融機構需要達到加密敏捷性，能在不會對系統和基礎設施造成顯著影響的情況下，有效遷移至抗量子密碼學（Post-Quantum Cryptography，PQC）的演算法。此外，金融機構也可以實施其他量子安全解決方法緩解風險，例如量子密鑰分發技術（Quantum key distribution,QKD）。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 香港銀行公會</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融防詐 </span></strong></span></h3> <h3>香港銀行公會將在消金銀行系統上安裝反惡意程式，阻擋存有惡意或可疑應用程式的顧客裝置</h3> <p>香港銀行公會近期宣布，2月下旬起將針對香港主要消金銀行提出安全措施，在這些銀行的系統設立額外的反惡意程式。當反惡意程式偵測到銀行顧客裝置中存有惡意或可疑應用程式，安全措施會立刻啟動，包括阻止顧客登入銀行應用程式、提示顧客刪除惡意或可疑的應用程式，或在處理交易前撤銷部份應用程式權限。</p> <p>香港銀行公會比紹，這些措施是為了保護銀行帳戶免於未經授權的存取，相關措施不會對顧客裝置進行監控，也不會收集或儲存任何個人資料。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Pay</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位支付 </span></strong></span></h3> <h3>為簡化支付App使用經驗，Google停止GooglePay在美服務，僅留Google Wallet</h3> <p>Google近期宣布將簡化數位支付服務，將在今年6月關閉美國地區的Google Pay App，全部統整於Google Wallet。Google Wallet在2022年7月正式上線，除了數位支付，還可儲存各種票券及數位身份證件、信用卡或學生證等證明。</p> <p>在美國，Google Wallet用戶使用量是Google Pay的5倍，但為了簡化App使用經驗，Google計畫停止Google Pay使用，至於其他地區的Google Pay服務會有哪些變化Google尚未說明。</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／日本交易所集團</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年3月</p> <p></p> </div></div></div>
2024/3/1 15:14作者李昀璇https://www.ithome.com.tw/news/161566
貼牌的中國製智慧門鈴內含安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.consumerreports.org/home-garden/home-security-cameras/video-doorbells-sold-by-major-retailers-have-security-flaws-a2579288796/" target="_blank">《消費者報告》（Consumer Reports）本周揭露</a>，他們發現兩款不同品牌但看起來一樣的智慧門鈴含有嚴重安全漏洞，允許駭客自遠端存取門鈴所拍攝的影片或照片。追蹤後發現，它們皆來自於總部位於中國的製造商Eken，且Eken總計推出10種不同品牌的智慧門鈴，全都使用同樣的行動程式Aiwit，還在Amazon、Walmart及Sears等電子商務網站上銷售。這使得《消費者報告》發動連署，要求美國聯邦交易委員會（FTC）即刻阻止相關產品的銷售。</p> <p>此一發現始於《消費者報告》的安全測試工程師Steve Blair與David Della Rocca的定期評估活動，他們在Eken和Tuck兩款智慧門鈴上發現了安全漏洞，不僅如此，這兩款不同品牌的智慧門鈴在外型與包裝上也都一樣，且可透過同樣的Aiwit行動程式控制。</p> <p>Blair與Rocca所發現的安全漏洞包括門鈴在未加密的狀況下，直接曝露家庭IP位址與Wi-Fi網路名稱，意謂著駭客只要下載Aiwit程式並建立帳戶，再前往目標的住處，按下門鈴按鈕將手機與門鈴配對，即可將門鈴連至一個Wi-Fi熱點並接管它。接管目標對象的門鈴之後就可自遠端查看智慧門鈴的錄像，也可檢視裝置的序號。</p> <p>儘管原本的用戶在門鈴重新與手機配對時會收到郵件通知，有機會重新取回門鈴的控制權，但取得了門鈴序號的駭客則可繼續自遠端存取影片中的靜態圖像，也不會觸發任何通知。</p> <p>此外，工程師還發現，有10種不同品牌的智慧門鈴都使用Aiwit程式來控制，再購買其中兩款以Fishbot和Rakeblue為品牌名稱的門鈴之後，顯示它們不僅外觀類似，也都具備同樣的漏洞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0301-Eken-Door%20bell-Photo%20by%20Consumer%20Reports.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0301-Eken-Door%20bell-Photo%20by%20Consumer%20Reports-2.png" style="width: 400px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Consumer Reports</span></span></p> <p>而不管是Aiwit或這10個品牌，似乎都是由總部設於中國深圳的Eken所生產。</p> <p>這些可能來自於同一製造商，卻採用不同品牌的智慧門鈴透過Amazon、Walmart、Sears、Shein與Temu等電子商務網站銷售，且Amazon銷售其中的6種品牌。Eken在Amazon上設立了商城，所提供的數十款智慧門鈴售價都在40美元以下。</p> <p>《消費者報告》已分別通知Eken及Amazon，卻都未得到回應，因而<a href="https://action.consumerreports.org/cro-20240304-doorbellcamera-ftc" target="_blank">發動連署</a>，號召消費者共同呼籲FTC將其下架。</p> </div></div></div>
2024/3/1 15:23作者陳曉莉https://www.ithome.com.tw/news/161567
AI趨勢周報第245期：YOLOv9來了！2大巧思克服深度學習資訊損失難題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0223～0229)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> YOLOv9 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中研院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 物件偵測 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>YOLOv9來了！2大巧思克服深度學習資訊損失難題</strong></span></p> <p>中研院資訊所團隊最近<a href="https://github.com/WongKinYiu/yolov9">發表</a>即時物件偵測模型YOLOv9，應用2種新方法，來克服深度學習長久難解的資訊損失問題。進一步來說，資訊損失一直是深度學習領域的挑戰，因為，資料輸入類神經網路時，會經過一層層的特徵提取和空間轉換，進而遺失許多原始資訊。就好比口耳相傳一件事，傳到第5、6人時，故事已丟失許多細節了。</p> <p>為解決這個問題，中研院團隊提出了2個作法，首先是可程式化梯度資訊（Programmable Gradient Information，簡稱PGI），透過主枝、輔助可逆分枝和多層輔助資訊等3個架構，能在模型訓練過程中，盡可能保留原始特徵，來減少資訊丟失。另一種方法是新型的輕量級網路架構GELAN，能提高模型處理資訊的能力和效率。這個GELAN架構很特別，它結合了中研院團隊在前幾代物件偵測模型的良好成果，如CSPNet和ELAN架構，並進一步擴展其泛化能力，發展為GELAN。GELAN兼具了輕量、推論快速和準確的優點。</p> <p>團隊測試發現，從頭訓練的YOLOv9，表現比用ImageNet大型資料集預訓練的主流物件偵測SOTA模型要好，如YOLO MS、RT DETR、YOLOv5 r7.0、YOLOv6 v3.0、YOLOv7、YOLOv8等。尤其，PGI能準確保留和提取所需資訊，讓YOLOv9只使用66%的參數，就能達到複雜模型RT DETR-X的準確度。團隊論文點出，PGI可用於各種量級的模型，從輕量到複雜的大模型皆可。而這次發表的YOLOv9共有4個版本，包括最小型的S、中型的M、完整版的C和強化版的E版本。<a href="https://arxiv.org/abs/2402.13616">（詳全文）</a></p> <p><img alt="" src="https://arxiv.org/html/2402.13616v2/extracted/5439110/figs/sota.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 視覺理解 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VideoPrism </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google揭露最新通用視覺模型</strong></span></p> <p>Google開發一套基礎視覺編碼器VideoPrism，單一套模型就能進行分類、定位（Localization）、檢索、字幕和問答等影片理解任務，還在30個基準測試中達到最佳表現。</p> <p>Google表示，這套模型是通用影片理解單一模型，該模型所使用的預訓練資料集，是目前最大、最多樣的影片訓練語料庫，有3,600萬個附高品質字幕的精選影片和5.82億個含雜訊文字的影片片段。至於模型訓練，則採用了標準視覺Transformer（ViT）的分解設計，包括兩階段，一是用高品質的影片文字資料和帶有雜訊文字的影片，以對比學習，教導模型將影片和文字描述配對。第二是透過遮罩影片建模框架，來訓練模型預測影片中缺失的部分。</p> <p>此時，團隊還會隨機打亂預測出來的Token，以防止模型學到捷徑，如可能依據固定順序或模式做出預測，而隨機方式可迫使模型深入理解影片內容，不只是依賴表面特徵。Google認為，VideoPrism與大型語言模型結合，可在影片文字檢索、字幕生成和影片問答任務中，展現更強大的能力。<a href="https://blog.research.google/2024/02/videoprism-foundational-visual-encoder.html">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/videoframe_2992.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 玉山金控 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GENIE </span></strong></span></p> <p><span style="font-size:22px;"><strong>玉山金控揭露內部生成式AI應用</strong></span></p> <p>玉山金控科技長張智星日前在法說會前記者會中，揭露玉山自2022年就開始布局生成式AI，並在同年底舉辦黑克松競賽，讓內部同仁了解生成式AI、思考可能的應用。近期，他們開發一款生成式AI平臺GENIE，供內部用來生成文案、翻譯、程式碼教學和設置聊天機器人等。張智星指出，生成式AI不只是單獨產品，還能與許多場景串聯，如掃描全行文件後，用生成式AI來校正文件中的辨識錯誤，或將會議發言轉為逐字稿，再以生成式AI勘誤。目前，玉山內部已有100個以上的AI模型，包括風控AI、行銷AI、客服AI、流程AI和賦能AI，接下來，他們也會思考AI與雲端結合應用的方向。<a href="https://www.ithome.com.tw/news/161210">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 紅隊工具 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟開源紅隊工具PyRIT，可測試生成式AI韌性</strong></span></p> <p>微軟最近在GitHub上開源PyRIT工具包，能讓安全人員和機器學習工程師自動化用來辨識大型語言模型（LLM）風險，如辨識生成惡意程式、越獄或資料竊盜等濫用行為。進一步來說，PyRIT由5個元件所組成，包括用來測試的目標、提示資料集、自我評估或既有分類器的評分引擎、單輪或多輪的攻擊策略，以及存放輸入和輸出等互動資料的記憶體。</p> <p>PyRIT可先傳送惡意提示到特定的生成式AI系統，收到回應後，再將它傳至評分引擎，根據評分引擎傳回的結果再產生新提示，再傳送至生成式AI系統，不斷循環、直至實現所設定的目標。根據微軟測試，用PyRIT對Copilot進行紅隊演練時，可先選擇一個有害類別、生成數千個惡意提示，再以PyRIT的評分引擎來評估Copilot系統的輸出結果。這麼做，讓原本需要幾周的測試，在幾小時內就能完成。微軟表示，PyRIT並非要取代紅隊測試，而是用來揭露可能的風險，再由專家深入探索。<a href="https://github.com/Azure/PyRIT">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gemini Nano </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯發科 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>聯發科聯手Google，中階手機也能執行Gemini Nano了</strong></span></p> <p>聯發科最近宣布旗下2款處理器，支援Google行動版語言模型Gemini Nano。這2款處理器為天璣8300中階處理器和天璣9300旗艦處理器，除了能支援Gemini Nano模型、讓使用這些處理器的手機能執行Gemini Nano外，聯發科還提供AI開發工具組NeuroPilot，來讓模型在聯發科APU上執行，來提高效能。</p> <p>尤其，雙方也計畫釋出天璣8300和天璣9300處理器的APK，來讓開發者和手機品牌商部署Gemini Nano應用程式。雙方這次的合作，意謂著Gemini Nano將能在中階手機上執行，Google還曾表示，高通、聯發科和三星的旗艦處理器都會支援Nano。<a href="https://www.mediatek.com/blog/mediatek-dimensity-9300-and-8300-chipsets-now-optimized-for-google-gemini-nano">（詳全文）</a></p> <p><img alt="" src="https://mediatek-marketing.transforms.svdcdn.com/production/posts/MWC_Google_Gemini_2024-02-22-134032_cfcr.png?w=1200&h=630&q=80&auto=format&fit=crop&dm=1708609232&s=a0483c6dd2aed04153a22b7e316acb1b" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Mistral AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Mistral AI發表新模型Mistral Large</strong></span></p> <p>2023年4月才成立的Mistral AI，最近發表一款大型語言模型Mistral Large和聊天機器人Le Chat預覽版，其中Mistral Large不管是在MMLU、HellaSwag、Wino Grande或Arc Challenge（25-shot）等基準測試，都與GPT 4相差無幾，是備受外界矚目的後起之秀。</p> <p>Mistral Large是繼Mistral-tiny、Mistral-small和Mistral-medium後的最大、最進階模型，可支援3.2萬個Token的文章脈絡，也懂英文、法文、西班牙文、德文和義大利文。Mistral Large也具精確的指令遵循，讓開發者得以設計其審核策略，也可直接呼叫函數。該模型也能處理複雜且多語言的推論任務，如文字理解、轉換和程式碼生成。</p> <p>就在同一天，微軟也宣布與Mistral AI建立多年合作夥伴關係，包括Mistral AI可運用Azure AI基礎設施來加速開發、部署新一代大型語言模型，而且微軟Azure也將供應Mistral AI付費模型服務。迄今Azure上已代管了來自 Meta、Nvidia、Deci 與 Hugging Face等公司或組織的1,600多個開源及專有模型。<a href="https://mistral.ai/news/mistral-large/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-03-01%20150220.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Android </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 視覺輔助 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行車助理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google在3大Android App中新添AI功能</strong></span></p> <p>Google宣布為Android作業系統的訊息、圖片和車機系統加入AI，而且，Google Messages應用程式也能直接呼叫Gemini AI助理了。用戶不需跳離App，即可以文字提示要求Gemini草擬訊息內容、腦力激盪創意、規畫活動等工作。Android視覺輔助App Lookout則加入AI描述，可自動為相片、線上圖片，或訊息中的照片加入AI產生的描述，並大聲朗讀，來幫助視障人士理解圖片內容。該功能已全球上線，支援英文。</p> <p>另一項類似應用是Google Lens in Maps的螢幕閱讀器，結合了Android輔助功能TalkBack，只要用戶將手機相機對準周遭環境，TalkBack就能念出該地資訊，像是一家銀行的營業時間、餐廳評分。再來，加入AI功能的行車助理Android Auto，可在用戶開車時，自動為一長段文字或群組對話摘錄重點，也能建議回覆和後續行動，且按一下就能傳送訊息、分享預定抵達時間或接電話。<a href="https://blog.google/products/android/new-android-features-february-2024/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/040_Android_Auto_Messaging_Alpha_1x1.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 三星 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧戒指 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI助理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>三星亮相可量測生理數值的智慧戒指</strong></span></p> <p>繼今年1月在消費電子大展CES上首次亮相後，三星在最近的世界通訊大會MWC上，正式展示可量測心率、活動量等生理數值的智慧戒指Galaxy Ring，預計今年稍晚上市。</p> <p>Galaxy Ring是三星智慧健康系列的一環，它結合了Samsung Health數位健康平臺，主打AI為基礎的個人化健康管理。該戒指可搭配新的健康應用管理功能，如My Vitality Score服務，可提供睡眠、活動、心率量測和心率變異資訊，而搭配Booster Card則可追蹤各項定義好的量測目標。三星表示，智慧戒指蒐集的生理數據，將匯整入每月6,400萬用戶的Samsung Health全球資料集，作為三星AI健康管理服務的基礎。他們的計畫是，以數位健康管理平臺和智慧手錶、智慧戒指等裝置，與第三方夥伴建立健康生態系，如上個月三星Galaxy Watch成為VR生理治療平臺XRHealth的心率監控裝置，或三星Sleep Mode技術整合到合作夥伴的智慧床墊，調整床墊環境以幫助入睡。<a href="https://news.samsung.com/global/samsung-presents-galaxy-ai-vision-at-mwc-2024-with-latest-products-and-services">（詳全文）</a></p> <p>圖片來源／YOLOv9論文、Google、聯發科、Mistral AI</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 微軟Copilot for Finance預覽版登場</strong></p> <p><strong>2. Adobe公布音樂編輯生成式AI工具，提供音樂版的Photoshop能力</strong></p> <p><strong>3. Google雲端更新安全指揮中心，增強雲端AI資源安全管理</strong></p> <p>資料來源：iThome整理，2024年2月</p> </div></div></div>
2024/3/1 15:40作者王若樸https://www.ithome.com.tw/news/161569
微軟Copilot for Finance預覽版登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於今年2月<a href="https://www.ithome.com.tw/news/161178" target="_blank">推出</a>支援業務及客服的Copilot for Sales與Copilot for Service等AI工具之後，微軟周四（2/29）發表了<a href="https://blogs.microsoft.com/blog/2024/02/29/introducing-microsoft-copilot-for-finance-the-newest-copilot-offering-in-microsoft-365-designed-to-transform-modern-finance/" target="_blank">Copilot for Finance預覽版</a>，這是微軟針對財務人員所設計的AI聊天機器人，以協助他們更有效率地完成任務。</p> <p>Copilot for Finance可連結至組織的財務系統，包括Dynamics 365與SAP等，並直接於Outlook、Excel、Microsoft Teams或其它Microsoft 365應用中，提供特定角色的工作流程自動化、指導或建議。</p> <p>例如Copilot for Finance可協助財務分析師在Excel中，以自然語言提示執行差異分析，以檢查資料集是否出現異常、風險或不匹配的值；或是藉由自動化的資料結構比較，以及故障排除，來簡化Excel中的對帳流程，有助於確保財務紀錄的可靠及準確性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0301-Microsoft%20Copilot%20for%20Finance-600-1.jpg" style="width: 301px;" /></p> <p>除了應用於Excel中之外，它還能於Outlook中提供客戶餘額報表與發票等帳戶資訊的完整摘要，以加速收款流程；或是直接將Excel中的資料轉成簡報形式，以於Outlook及Teams上分享。</p> <p>整體而言，Copilot for Finance可藉由簡單的提示與資料核對來簡化審計，透過自動化通訊及付款計畫來簡化收款，以及偵測差異來加速財務報告，減輕財務人員的負擔。</p> <p>根據微軟的工作趨勢指數<a href="https://www.microsoft.com/en-us/worklab/work-trend-index/copilots-earliest-users-teach-us-about-generative-ai-at-work" target="_blank">（Work Trend Index）調查</a>，人們正被資料淹沒，他們每天約有1/4的時間花在資訊搜尋上，且每天所消耗的資訊中，有一半被認為是工作上的必要資訊，另一項針對用戶如何使用AI的<a href="https://www.microsoft.com/en-us/worklab/5-key-principles-for-implementing-an-ai-strategy-across-your-organization" target="_blank">調查</a>則顯示，有三大族群宣稱他們最可能使用AI來幫忙找到所需的資訊，而它們便是業務（83%）、客戶服務（81%）與IT/技術（85%），財務人員則說他們想利用AI來減少資訊孤島。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> </div></div></div>
2024/3/1 14:17作者陳曉莉https://www.ithome.com.tw/news/161565
GitHub向所有用戶預設啟用推送保護，避免密碼和金鑰意外洩漏
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub現在<a href="https://github.blog/2024-02-29-keeping-secrets-out-of-public-repositories/">預設開啟推送保護（Push Protection）功能</a>，協助開源開發者保護其密碼與金鑰等機密資訊。當推送保護功能啟用時，系統會自動檢查開發者推送到GitHub中的程式碼，一旦發現包含諸如密碼和API金鑰等敏感資訊，GitHub會阻擋推送操作並通知開發者，避免潛在的安全問題。</p> <p>原本從去年8月開始，GitHub讓所有雲端使用者選擇啟用推送保護功能，不過GitHub提到，API金鑰、令牌和各種機密資料外洩的規模非常大，光是2024年前兩個月，GitHub就已經在公開儲存庫偵測到100萬筆洩漏的機密資料，相當於每分鐘超過10次。</p> <p>因此現在GitHub決定向所有使用者啟用推送保護，當公共儲存庫中的任何推送偵測到系統所支援的機密資料時，用戶可以從提交中刪除該機密，或是選擇跳過阻擋直接提交。雖然官方預設啟用推送保護，用戶仍可以從安全設定中停用推送保護，不過GitHub強調，他們還是建議用戶啟用推送保護，並根據需要進行例外處理，不要完全停用推送保護。</p> <p>此項功能變更將在一到兩週的時間套用至所有用戶的帳戶，不過用戶也可以在安全設定中驗證狀態並且選擇提早啟用。而當原本就有使用GitHub Enterprise計畫的組織，也可以添加GitHub Advanced Security保護私人儲存庫中的機密，並且獲得所有機密掃描功能、程式碼掃描、人工智慧自動修復程式碼建議，和其他靜態應用程式安全功能。</p> </div></div></div>
2024/3/1 14:58作者李建興https://www.ithome.com.tw/news/161564
HP推出印表機訂閱服務，主打家用、SMB市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.hp.com/us/en/blogs/2024/hp-all-in-plan.html" target="_blank">HP本周宣布</a>印表機訂閱租賃服務，以解決家庭或中小企業印表機維修困擾，最低每月6.99美元。不過目前這項服務只在美國提供。</p> <p>家庭用戶、學校、店家經常需要列印，不論是學生教材、小孩家庭作業、網購退貨標籤（return label）或收據等，但對於欠缺IT人員的家庭、個人工作室、學校或小型企業來說，設定和管理印表機是相當麻煩的事。HP說已聽到用戶心聲，名為<a href="https://www.hp.com/us-en/all-in-plan/printers.html" target="_blank">All-In Plan</a>可讓用戶不再需要購買印表機或墨水匣。</p> <p>All-In Plan為針對家庭和中小企業新設計的全包式租賃服務，內容包含一臺印表機及24x7線上支援，內建的管理軟體讓用戶墨水快用光之前寄送到家，若機器故障可隔日免費更換。印表機使用2年後也可以升級。HP還提供30天免費試用服務。</p> <p>HP <a href="https://www.hp.com/us-en/all-in-plan/printers.html" target="_blank">All-In Plan方案</a>提供2款HP家用機種Envy系列，以及1款中小企業機種OfficeJet Pro噴墨印表機選擇，依據機器等級，訂閱費用分別為每月6.99、8.99及12.99美元。不過這項服務目前僅在美國提供，並未說是否會在海外實施。</p> </div></div></div>
2024/3/1 13:41作者林妍溱https://www.ithome.com.tw/news/161563
中華電信傳出資料外洩，我國國安單位內部資料流入暗網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月29日<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=124334&SPOKE_DATE=20240229&COMPANY_ID=2412">中華電信突然發布重大訊息提出說明</a>，表明他們的資安團隊查知疑似資料外流的情況，已全面啟動資安防禦機制，並與外部資安技術專家共同合作處理，同時向政府部門進行通報。而針對未來的因應措施，他們也承諾為確保資料安全，將會持續強化網路安全的管控。</p> <p>為何中華電信昨天要發布這則重大訊息？原因可能與這兩天一家媒體的報導有關，裡面提到有人在暗網兜售中華電信的內部資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/rzi9gaD9Qn.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/rzi9gaD9Qn.png" style="width: 580px;" /></a></p> <p>根據TVBS新聞臺2月28日的報導，<a href="https://news.tvbs.com.tw/politics/2409149">近期暗網出現中華電信與國安單位之間往來的機密文件和公文</a>，賣家聲稱握有1.7 TB資料，內容涵蓋內部文件、逾7千個資料庫，政府採購合約等。</p> <p>這些合約包含：軍司令部「租用中新一號後續衛星轉頻器」、外交部3年前與諾魯的資通訊合作案會議前摘要、去年海巡署巡護九號艦艇安裝和啟用衛星通訊的合約，此外，中華電信曾在2021年參與中科院的通資交換節點標案，金額為1,985萬元，相關文件被列為機密等級，但可能也因此遭公開。</p> <p>其他可能外洩的資料，還包括2017年國防部資通電軍申請空軍模式模擬能量提升案的結果報告，另有疑似中華電信的電路圖，地址為臺北市中正區重慶南路二段7巷2樓樓頂，地點就在總統永和官邸正對面。</p> <p>究竟這些資料如何外洩？國防院戰略資源研究所長蘇紫雲認為，很有可能是相關人士的手機遭到入侵造成。</p> </div></div></div>
2024/3/1 12:06作者周峻佑https://www.ithome.com.tw/news/161562
建準公布2月19日遭遇加密攻擊事故後續處理狀況，坦承技術人員電腦檔案遭加密，恐有資料外洩風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月19日散熱風扇製造商建準<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=155714&SPOKE_DATE=20240219&COMPANY_ID=2421">發布重大訊息</a>，指出其資訊系統遭到加密攻擊，當時他們已找到加密來源並阻斷加密，資料無外洩的疑慮，他們也沒有遭到勒索。27日他們<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=181815&SPOKE_DATE=20240227&COMPANY_ID=2421">二度發布重大訊息</a>，透露後續處理情形。</p> <p>有別於過往的重大訊息，通常是證實受害公司遭遇網路攻擊，而對於事故的細節也往往三緘其口，更別說是透露後續處理的情形。這次建準公布調查結果及受影響的範圍，也能提供其他企業借鏡，對握有高權限的技術人員提高保護層級。</p> <p>該公司表示，他們在外部專家協助下，發現駭客入侵部分技術人員的電腦，並對其中重要檔案進行加密，恐有資料外洩的疑慮。</p> <p>「駭客進行檔案加密」與「受害企業資料外洩」看似矛盾，然而在現今的網路攻擊當中，使用勒索軟體加密檔案往往是攻擊過程後期的手段，在此之前，駭客早已將這些他們存取到的資料複製、傳至外部，以便進行後續的勒索或是利用、拍賣。</p> <p>值得留意的是，這次他們特別提到部分檔案出現無法解密的情況，可能意味著曾嘗試使用解密工具，但無法復原所有資料，此狀態是否發生在上述技術人員的電腦，外界依照這份說明也難以確定。</p> <p><a href="https://s4.itho.me/sites/default/files/images/bfsB8c1Dxn.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/bfsB8c1Dxn.png" style="width: 580px;" /></a></p> </div></div></div>
2024/3/1 10:50作者周峻佑https://www.ithome.com.tw/news/161561
Stack Overflow將整合Google Cloud、讓Gemini開發人員存取知識庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發人員QA平臺Stack Overflow與Google Cloud昨（29）日<a href="https://www.googlecloudpresscorner.com/2024-02-29-Stack-Overflow-and-Google-Cloud-Announce-Strategic-Partnership-to-Bring-Generative-AI-to-Millions-of-Developers" target="_blank">宣布一項合作</a>，讓Google Cloud的Gemini得以存取Stack Overflow開發知識庫，或提供開發建議，Stack Overflow也將採用Google Cloud為運行平臺、整合其工具。</p> <p>在此之前，Google Cloud上的AI助理，名為Gemini for Google Cloud（即之前的DuetAI），已經過公開資訊及開源程式碼訓練，能提供開發建議，但這項合作可使Stack Overflow的開發知識庫進一步整合到Google Cloud上。首先，Gemini for Google Cloud可透過Stack Overflow新開發的OverflowAPI存取其知識庫，在開發人員呼叫Gemini時提供開發建議、程式碼及回答問題。</p> <p>其次，使用Gemini for Cloud的開發人員也可以直接在Google Cloud控制臺（console）中存取Stack Overflow，包括詢問問題或獲得Stack Overflow社群其他成員的解答，讓他們管理或開發Google Cloud應用程式及基礎架構時不用跳離執行介面。</p> <p>這項合作第二部分是Stack Overflow和Google Cloud工具的整合。首先，Stack Overflow已經選擇Google Cloud作為代管平臺。Stack Overflow計畫之後將使用Google Cloud的AI平臺Vertex工具提升社群互動和內容出版流程。雙方表示，這方面的合作可望能加速Stack Overflow的內容核准流程，改善Stack Overflow使用者經驗。</p> <p>這項合作或可提供Stack Overflow必要的財務挹注。這個技術人員QA平臺在ChatGPT等AI聊天機器人興起後流量大減，<a href="https://www.ithome.com.tw/news/158048" target="_blank">開發新服務</a>如Overflow專案增加使用者黏著度，但Stack Overflow去年仍被迫<a href="https://www.ithome.com.tw/news/159310" target="_blank">裁員</a>28%。</p> <p>Stack Overflow和Google Cloud合作的首批合作成果，預計於4月9到11日的Google Cloud Next大會上預覽，並在今年上半年正式啟用。</p> </div></div></div>
2024/3/1 10:37作者林妍溱https://www.ithome.com.tw/news/161559
Adobe公布音樂編輯生成式AI工具，提供音樂版的Photoshop能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市面上的音樂生成式AI工具都無法提供編輯功能，<a href="https://blog.adobe.com/en/publish/2024/02/28/adobe-research-audio-creation-editing" target="_blank">Adobe本周公布</a>音樂編輯生成式AI工具Project Music GenAI Control，讓用戶能以文字下指令，生成音樂或編輯現有音樂。</p> <p>Project Music GenAI Control是Adobe Research和加州大學聖地牙哥分校、卡內基美隆大學電腦科學系合作開發的工具，還在早期開發階段，主打廣播人員、podcaster或是沒有專業音樂工具的人士，旨在透過文字轉音樂的AI助理，讓用戶先生成音樂，再以內建精細控制工具來編輯音樂。</p> <p>Project Music GenAI Control是結合圖片生成式AI工具Firefly、影片生成工具Adobe Express使用的AI聊天機器人。用戶可以輸入簡單的文字指示如「節奏強烈的搖滾」、「輕快的舞蹈音樂」或「悲傷爵士樂」讓新工具生成音樂，一旦音樂產生，工作流程就會整合精細編輯工具，包括一段參考旋律，用戶就可以調整節奏、結果、副歌片段，他們能決定在哪放大或降低音量、延長某小節的長度、混音或產生能巧妙循環的loop。另外，在製作前奏、結尾或背景時，Project Music GenAI Control不需用戶手動截取現有音樂，而是協助用戶從頭到尾製作出音樂。</p> <p>Adobe資深研究科學家Nicholas Bryan指出，雖然大廠、新創業者都推出音樂AI生成工具，如Google的MusicLM、Meta的AutoCraft、Jubebox及Stable Audio等，但這些多半都只能生成音樂，無法編輯，用戶只能不斷重新生成新音樂到完美為止。但Project Music GenAI Control則是提供Photoshop一般的編輯能力，進行音樂「像素層級」的控制。</p> <p>Adobe並未說明Project Music GenAI Control下一段階開發目標、時程或和現有產品整合計畫。</p> </div></div></div>
2024/3/1 10:56作者林妍溱https://www.ithome.com.tw/news/161560
整合OT與IT打造數據平臺，北捷用數據管理提升乘車體驗
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在交通尖峰時段搭乘臺北捷運(以下簡稱北捷)，相信不少人會遇到擁擠車廂，車廂內移動或上下車不便的經驗，除了可透過App查看捷運路線列車的即時位置，各班列車車廂擁擠度之外，部分車站月臺螢幕也顯示下一班列車擁擠程度，以綠、黃、橘、紅色代表，綠色為舒適車廂，紅色代表最擁擠車廂，甚至在月臺對應的車廂位置設計導引光條，方便民眾依照光條顏色選擇上車位置。今年3月起北捷5條路線所有月臺螢幕將顯示車廂擁擠度。</p> <p>這項小小的貼心設計，大大改善民眾乘車體驗，讓民眾在列車進站前，可先行移動到較不擁擠車廂上車，在交通尖峰時段，避免乘客過度集中少數車廂，影響搭乘體驗。</p> <p>這項體驗的背後關鍵是，IT與OT數據分析應用的展現，是臺北捷運公司資訊處長謝興盛帶領IT團隊和相關部門單位共同努力的成果。</p> <p><span style="font-size:28px;"><strong>從早期運輸為目的到旅客舒適管理</strong></span></p> <p>謝興盛在北捷任職超過20多年，最初進入行控中心，後來進入資訊部門，去年接任處長，具有OT維運及IT工作經驗的他，深知北捷過去投入許多年時間才能整合OT及IT。</p> <p>身為國內最早投入營運的捷運公司，北捷旗下車廂大多購置於30年前，由於車輛設計目的是以載客為主，並沒有設置感測器統計車廂內人流，因此要偵測車相擁擠度，需要取得OT數據。</p> <p>他們利用每個列車車廂底下的氣墊，氣墊主要為支撐及調整車廂高度，讓車廂高度和月臺維持一致，沒有高低落差，乘客能平穩從車廂踏到月臺，當車廂內乘客愈多，氣墊承受壓力愈大，因此他們利用氣墊壓力數據，判斷車廂擁擠程度，監控不同捷運路線及路段擁擠程度，除了內部營運決策之外，也提供民眾乘車參考。</p> <p>從動態顯示列車位置到車廂擁擠程度，突顯北捷從早期旅客運輸進展至追求旅客舒適度管理。「北捷會一直不斷努力提升舒適度，過去關心如何將旅客快速、準時的載送到目的地，現在進入旅客舒適度管理年代」，謝興盛說。</p> <p>平日上下班尖峰時段，或是特定車站附近舉行大型棒球比賽，還有每一年北市舉辦跨年活動，往往聚集大量人潮，當活動結束人潮湧入北捷，北捷應變中心監控各路線、路段列車動態、車廂擁擠程度，北捷內部將車廂擁擠程度，除了綠、黃、橘、紅4色外，還有代表最擁擠的紫色，將車廂擁擠程度作更細的畫分，當人潮湧入車站月臺，由車站現場工作人員引導人流乘車，應變中心根據各路線、路段車廂擁擠程度，調度增加車輛疏運人潮，北捷管理高層也能在辦公室掌握情形。</p> <p><span style="font-size:28px;"><strong>打造數據平臺整合OT數據</strong></span></p> <p>不論是列車即時動態位置或是車廂擁擠度，象徵北捷要以量化數據進行管理，建構自動化、數位化管理，但要做到這個目標，IT需要整合OT數據。</p> <p>然而，要取得OT數據並不容易，因為OT為封閉系統，數據大多存在於各個OT系統中，且受到OT系統商原廠的保固限制，難以直接取得，各單位基於各自的業務系統及數據專注在本業工作，這些OT系統運作數據集中到俗稱為捷運大腦的行控中心，行控中心通過各個控制面板監控整個捷運系統的運作情形。</p> <p>由於臺北捷運早期發展歷史因素，IT團隊很早就研究OT系統，經過多年的研究及測試，他們對OT並非完全陌生，為避免破壞OT原廠保固，他們利用側聽OT系統封包進行研究，設法取得OT系統的數據，舉例來說，車輛動態位置數據原本只有行控中心才能使用，無法提供給其他單位使用，IT利用側聽解析封包取得數據，開發即時列車位置系統，並提供給客服中心使用，過去當乘客下車後才發現遺留物品在列車上，向客服反映遺失物品，客服人員因無從得知列車位置，只能先紀錄車輛資訊，再向行控中心確認列車位置，現在客服透過即時列車位置系統就能掌握遺失物的列車位置，引導乘客如何尋回遺失物。</p> <p>為了強化數據整合分析應用，IT團隊打造數據平臺整合多種OT數據，強化內部的營運管理，從2018年開始到2020年，打造數據平臺PROMIS，內部稱為預測性軌道營運管理資訊系統，這套系統整合車站自動收費系統、道旁自動監控系統、列車即時監控、車站機電設備、行控號誌電腦，透過IoT蒐集33項營運設備數據，通過監控、數據分析模型、Line即時告警，從2020年以來共解決312件潛在問題，北捷通過預測性軌道營運管理資訊系統，提高系統設備的妥善率及營運可靠度。</p> <p>謝興盛表示，以維修為例，過去主要依靠第一線維修人員到現場維修，不斷回報狀況，現在透過數據平臺撈取轉轍器電流數據，經過計算判斷轉轍器故障與否，預期是否會故障，透過這套系統從整體面監控有沒有出現異常，當出現異常狀況向維修單位或是非維修的後勤主管，甚至向公司管理高層發送告警。</p> <p>謝興盛指出，OT數據難以整合的原因是，各個營運系統有自己的供應商，供應商彼此是獨立的，系統數據也因此是封閉的，例如號誌系統為自成系統，供電系統、通訊系統也獨立系統，因此當通訊維修需要查看耗電資料，需使用隨身碟至供電系統複製資料，儘管這些系統集中於行控中心各種面板，但仍是將各自的資訊拉到行控中心面板，看似整合到行控中心，實際仍是各自獨立，系統間沒有交流資訊。</p> <p>而透過數據平臺整合車站閘門、道旁、列車及行控中心電腦等OT設備數據，北捷才有跨系統融合運用數據的基礎，例如針對擁擠度這個議題，撈取列車即時位置、車廂氣墊壓力數據，此外，也針對車站閘門進出人數，列車進站載運多少人進站，載走多少人離站，掌握車站內人流。「過去辦不到的事，現在集中這些資訊後，可以進一步加值運用」，謝興盛說。</p> <p>從早期研究OT系統，撈取列車位動態位置，到提供列車即時位置顯示資訊供客服人員使用，試探性從單一系統撈取數據，將OT與IT整合，謝興盛認為，營運起步較早的北捷，累積20多年的維修經驗，在自立自強之下，提高技術研發的自主性，同時避免受到設備廠商的限制，北捷已從加值發展到增加新服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1171-%E6%96%87%E5%BD%AC-%E5%8C%97%E6%8D%B7-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><span style="font-size:28px;"><strong>透過數據分析預測性維護，提高服務可靠度</strong></span></p> <p>2020年時，北捷打造了一套數據平臺，以該平臺為基礎開發預測性軌道營運管理資訊系統，在資料應用方面，打造列車智慧監控預警系統、人流監控管理系統，透過OT與IT整合，監控列車、車站、道旁等營運系統，為北捷大幅提升營運系統穩定度。他們透過分析每次故障、行車延誤的樣態，將原因分類為號誌、車輛或供電，針對個別系統測試，對較常發生故障的模組，利用IoT及數據分析，預測即將發生故障更換零件，或是暫停該車輛載客服務。</p> <p>謝興盛表示，傳統的維修工法是，靠老師傅的經驗判斷，或根據設備商的建議原則，例如多長距離、多久時間進行保養，現在的工法是狀態監控及預測性維修，取得數據相當重要，預測即將發生狀況，並及早做出反應。</p> <p>北捷採用狀態監控、數據化的管理，大幅提高捷運服務可靠度。2000年發生145次行車延誤事件（5分鐘以上），平均每2至3天就會發生一次，但是2018年北捷推動數位轉型，運用IoT及大數據分析，行車延誤事件次數已降至14件，2023年更是降到6次，以軌道運輸可靠度指標的MKBF（Mean Kilometer Between Failure），也就是平均行駛多長距離才會發生一起5分鐘以上的延誤事件（數值愈高代表可靠度愈高、系統愈穩定），2017年MKBF值為486.3，而在2023年達到1911.6的新高。</p> <p><span style="font-size:28px;"><strong>分析人流、提高車輛調度靈活性</strong></span></p> <p>除了維護，北捷也開發人流監控管理系統，整合各車站人流，掌握車廂擁擠度，讓北捷可以總覽角度掌握各個捷運路線、不同路段、各車站的進出人流變化，以及每輛列車上乘客多寡。</p> <p>例如每年臺北市舉辦大型跨年活動，都會吸引大量人流湧進捷運車站，依據人流監控系統紀錄，在跨年倒數前1個小時，臺北市政府捷運站及臺北101車站出現人流，車廂擁擠度增加，而在跨年倒數之後，人流漸漸向捷運移動，約花費2個小時疏運跨年活動人流。特別是大型活動的人流，短時間大量人流進入車站，必需有序的疏運乘客，北捷隨時觀察人流變化及車輛即時位置，確保人流增加時，後面車輛持續進站載運旅客。</p> <p>在人流監控管理上，按交通學區分載客率、承載率，載客率指列車載客的比率，而承載率則是座位之外，車廂內站著的乘客比率，可表現車廂內舒適擁擠度；北捷結合各站、列車車廂的時間與空間、擁擠度，可以觀察每天交通離尖峰時段的捷運人流變化，作為公司調整政策的參考。</p> <p>這套系統也在三年多前國內COVID-19疫情期間發揮效用，為降低染疫風險，當時政府鼓勵居家上班上課，由於大多數民眾減少外出，搭乘捷運的乘客也大幅減少，除了傳統做法仰賴人工回報乘客數量決定減多少車次，北捷活用人流監控管理系統，以量化數據作為縮減車次的依據，降低捷運耗電、人員管理費用。</p> <p>不只是乘車的旅客多寡，當時基於防疫需要，建議人與人維持1.5公尺社交距離，在捷運則是控制車廂內擁擠度，車廂內每平方公尺站多少人，控制車廂內乘客密度，也是北捷增加或減少車次的依據。</p> <p>從OT系統管理經驗，到後來OT與IT整合發展數據化管理，「如同交通管理的匝道儀控、高承載專用，交通管理的流量控制觀念也能套用到IT系統及網路的管理」，具交通管理專業背景的謝興盛有感而發地說。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>謝興盛　臺北捷運資訊處處長</strong></p> <p>學歷：成大交通管理科學系博士</p> <p>經歷：1996年高考分發進入臺北捷運公司，最初在行控中心工作，管理及研究OT系統，2003年進入資訊部擔任系統課課長，再升任資訊處系統電腦中心主任、資訊處副處長，2023年升任資訊處處長，帶領IT團隊推動北捷數據整合、加值應用</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E5%8C%97%E6%8D%B7-%E5%9C%963-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 250px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><strong>臺北捷運公司</strong></p> <p>地址：臺北市中山區中山北路2段48巷7號</p> <p>成立時間：1994年</p> <p>主要業務：大眾運輸服務</p> <p>員工數：6,875人</p> <p>年營收：約200億元（2023年）</p> <p>董事長：趙紹廉</p> <p>總經理：黃清信</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資訊處處長</p> <p>資訊部門主管姓名：謝興盛</p> <p>資訊部門人數：136人</p> <p>IT預算：約3億元（2024年，不含人事費用）</p> <p>資訊部門分工：下設2中心及4課，系統維運中心、數位應用中心，以及數位綜企課、資通安全課、數位創新課及數據治理課</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2003年：建置IT內網光纖網路</p> <p>●2004年：臺北捷運客服系統上線、行控號誌電腦取得CNS 17800認證</p> <p>●2008年：高運量行控中心OT電腦系統重置升級為PC-Based化系統</p> <p>●2011年：土城機廠建置IT電腦機房</p> <p>●2015年：推出臺北捷運Go App</p> <p>●2020年：建置北捷數據平臺，後來命名為預測性軌道營運管理資訊系統（Metro PROMIS）。逐年開始推出車廂擁擠度（Metro TIMES）</p> <p>●2022年：推出捷運路網及列車動態顯示系統（Metro NTDS）</p> <p>●2023年：發表2023年版數位政策白皮書</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1171-cio-960-v2.jpg" width="960" height="420" alt="" title="臺北捷運資訊處處長謝興盛　（攝影／洪政偉）" /></div></div></div>
2024/3/1 09:00作者蘇文彬https://www.ithome.com.tw/people/161528
實踐FinOps必須先讓工程師有感
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球零售龍頭沃爾瑪去年電商業績達到歷史性新高，首度超過了1千億美元，相當於臺幣3兆元，占了他們全球營收的六分之一。</p> <p>沃爾瑪越來越重視電商平臺，線上業績比重年年增加，甚至沃爾瑪執行長在今年第一季財報記者會上直言，從去年開始他們成了一家以人為本，善用技術強化的「全通路」零售業。不再像過去只強調自己是零售商。</p> <p>為了支持如此龐大的線上業務，沃爾瑪早在2015年就全力擁抱各種雲原生技術，不只打造出20萬核心數的OpenStack私有雲，這朵雲的核心數，現在已經超過100萬個。2020年，他們用K8s打造了自家雲原生平臺，來調度9萬3千個節點，執行超過54萬個Pod叢集。2年前，更進一步發展成多雲混合雲架構，結合兩家公雲和自家私雲，組成了三雲架構，更彈性調度工作負載，還能兼顧AP效能，來支援各種創新應用和線上服務，甚至可以將每年雲端成本降低10～18%。</p> <p>「要比競爭對手更懂得控制成本。」這是沃爾瑪創辦人十大準則的第九條。沃爾瑪高層、業務部門都很清楚，比對手更節省成本，是競爭力的關鍵。但是，高達2萬多人的工程團隊，不見得人人都很清楚，甚至能夠將這樣的成本節省思維，放到各種工作或技術任務上。如何支援如此龐大的雲端用量，又能成功控管雲端成本？沃爾瑪全通路成本維運團隊資深工程總監Tim O'Brieny在去年透露了他們的秘訣，就是要讓工程師意識到FinOps。</p> <p>Tim O'Brien自己就是典型的技術人，甚至可以說是沃爾瑪DevOps工程的關鍵推手。</p> <p>Tim O'Brien在2015年從顧問轉為正職，開始擔任沃爾瑪全球產品DevOps和SRE部門軟體工程總監，打造沃爾瑪官網的全球部署架構，後來他又轉而負責沃爾瑪全球雲端用量和成本的管理，要引進公雲來分攤自建OpenStack私有雲的工作量，進而控管整體基礎架構的用量和成本。</p> <p>2021年時，沃爾瑪開始意識到雲端維運成本管理的重要性，由Tim O'Brien帶頭重新調整多雲戰略，率領沃爾瑪全球技術部門的全球平臺團隊，思考如何在全球架構下達到更高的成本效益。</p> <p>Tim O'Brien的第一步是先整合多雲的成本報表資訊，整合了來自四十種資料來源，關於沃爾瑪各種雲端用量、成本和維運的數據，要發展出一套適合沃爾瑪自己的雲端省錢維運方法。</p> <p>2022年，Tim O'Brien開始將這套雲端維運方法，擴大應用到美國市場的通路和供應商管理系統，2023年更擴大到全球的線上與線下全通路。而Tim O'Brien成了全通路成本維運最高負責人，要與全球技術平臺團隊、內部戰略團隊、科技財務團隊聯手訂定一套跨部門的雲端用量預測和效率評估方式。</p> <p>如何將這一套FinOps作法和標準，推廣甚至落實到近3萬人規模的技術團隊？Tim O'Brien從三個作法著手。</p> <p>第一是讓工程師聚焦在每一天的花費，其次是關注每天的變化率，讓工程師體會到變化率的意義，用「年度」的角度來看待每天變化的意義。例如今天下一個指令後，PostgreSQL資料庫的雲端費用，一天增加了500美元，若乘以365天，就是18萬美元，也就是今天這個指令的代價，一年會多花18萬美元之多。這就是賦予每天變化率的意義。最後一步，Tim O'Brien還會進一步追問，所多花的成本，例如啟動了卻沒有用的雲端VM，要賣多少商品才能打平。讓工程師從顧客影響的思維，來思考成本的意義。</p> <p>沃爾瑪沒有設立一個專門負責FinOps的團隊，而是設立一個核心的FinOps支援團隊，來支援不同部門需要的共通FinOps功能。</p> <p>這個支援團隊，包括了財務和工程人員，來建立FinOps實踐需要的相關標準，全球技術團隊都適用同一套標準。並在這個支援團隊之一，由各部門副總組成了一個指導委員會，負責設定整體目標，建立公司政策和共享戰略，另外還有支援FinOps工具開發的技術團隊。</p> <p>「推動FinOps，就像打籃球一樣，每天練習就會進步。」</p> <p>Tim O'Brien這樣比喻。但要做到這件事，建立一套自己的FinOps實踐、規範和文化是基礎，這正是沃爾瑪落實FinOps的關鍵。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%B2%83%E7%88%BE%E7%91%AA">沃爾瑪</a></div><div class="field-item odd"><a href="/tags/finops">FinOps</a></div></div></div>
2024/3/1 09:00作者王宏仁https://www.ithome.com.tw/voice/161529
三星發表容量達36 GB的HBM3E 12H，以滿足AI需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星本周二（2/27）<a href="https://news.samsung.com/global/samsung-develops-industry-first-36gb-hbm3e-12h-dram" target="_blank">發表</a>了HBM3E 12H，這是該公司首個12堆疊的HBM3E DRAM，它提供高達1,280 GB/s的頻寬，以及36GB的容量，以滿足AI運算的需求，目前已開始送樣，預計於今年上半年量產。</p> <p>HBM的全名為高頻寬記憶體（High Bandwidth Memory），採用垂直的3D堆疊技術，以將更多的記憶體晶片封裝到更小的空間中，縮短資料在記憶體與處理器之間的傳輸距離，適用於要求資料傳輸速度的高效能運算應用。</p> <p>相較於三星先前推出的8堆疊HBM3 8H，HBM3E 12H不管是在頻寬或是容量上都增加了50%以上。</p> <p>負責記憶體產品規畫的三星執行副總裁Yongcheol Bae表示，AI服務供應商愈來愈需要更高容量的HBM，新的HBM3E 12H即是為了滿足此一需求。</p> <p>根據三星的解釋，HBM3E 12H採用先進的熱壓非導電薄膜（TC NCF），以讓這個12層的產品與8層一樣高，符合現有的HBM封裝需求，三星不斷降低其NCF材料的厚度，實現業界最小的晶片間隙（7 µm），也消弭各層之間的空隙，使其垂直密度比HBM3 8H增加了20%。</p> <p>三星預期HBM3E 12H可成為未來需要更多記憶體之系統的最佳解決方案，因其高效能與容量可用來降低資料中心的整體擁有成本（TCO），而在AI應用上，用來訓練的平均速度可比HBM3 8H快上34%，至於推論服務上的同時使用人數則是HBM3 8H的15倍以上。</p> <p>HBM自2013年成為業界標準以來，記憶體業者已陸續開發出不同世代的產品，包括HBM2、HBM2E、HBM3與HBM3E（HBM3的延伸版），今年的戰場即是HBM3E。不管是<a href="https://news.skhynix.com/sk-hynix-develops-worlds-best-performing-hbm3e/" target="_blank">SK海力士</a>（SK hynix）或<a href="https://investors.micron.com/news-releases/news-release-details/micron-commences-volume-production-industry-leading-hbm3e" target="_blank">美光</a>（Micron）也都已打造出HBM3E產品，它們在封裝數量、頻寬及效能上較勁，且皆會在今年上半年量產。</p> </div></div></div>
2024/2/29 15:18作者陳曉莉https://www.ithome.com.tw/news/161547
微軟於VS Code強化Pylance啟發式匯入修復與Python網頁除錯功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-march-2024-release/">更新</a>VS Code的Python與Jupyter擴充套件，在最新的3月版本中，微軟於Pylance擴充套件添加啟發性設計的匯入程式碼動作（Imports Code Action），並且讓Python擴充套件能自動啟動瀏覽器，來除錯Django或Flask應用程式，而且Python REPL整合殼層，提供更靈活的工作環境。</p> <p>當開發者的Python專案有缺少匯入檔案時，便會觸發Add Import快速修復功能，而現在Pylance擴充套件使用啟發式方法，僅顯示前三個高信心的匯入選項，這些選項根據最近使用的匯入、相同模組符號、標準函式庫中的符號等條件，選出三個匯入建議。</p> <p>當前三個匯入選項都非開發者所需要的，Pylance現在還有一個新的程式碼動作稱為搜尋其他匯入，開發者便可以根據擴充套件顯示的快速選單，搜尋與缺失匯入符號前綴相符的選項。另外，Pylance還加入更改拼寫程式碼動作，可針對因為錯誤拼字而缺少匯入檔案提供建議。目前啟發式匯入修復功能，需透過手動設定啟動，但微軟計畫將此行為設為預設。</p> <p>Python除錯器擴充套件可供開發者更方便地開發和測試Python網頁應用程式，現在開發者可以透過設定，在以Django或Flask應用程式啟動除錯器時，自動啟動瀏覽器。</p> <p>微軟現在還於Mac、Linux和Windows平臺啟用Python REPL的殼層整合。在Python REPL中執行命令時，擴充套件會透過上色的符號顯示命令執行成功與否，而且這項功能同時啟用Terminal:Run Recent Command，允許開發者查看和使用REPL的命令歷史紀錄，此外，開發者還可以利用Terminal:Run Recent Command，存取所有作業系統的Python殼層檔案歷史。</p> <p>微軟也對Jupyter伺服器的語言支援進行更新，讓Jupyter擴充套件可以區分連接到的Jupyter伺服器，為本地端抑或是遠端。過去在連接到本地Jupyter伺服器時，Jupyter擴充套件會將這些伺服器一率視為遠端連線，導致Pylance擴充套件無法偵測到已安裝的套件。現在經過更新，Jupyter擴充套件已經能正確辨識連接到的Jupyter伺服器。</p> </div></div></div>
2024/2/29 22:50作者李建興https://www.ithome.com.tw/news/161554
Google雲端更新安全指揮中心，增強雲端AI資源安全管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端內建的安全與風險管理解決方案<a href="https://cloud.google.com/blog/products/identity-security/introducing-security-command-center-protection-for-vertex-ai">安全指揮中心（Security Command Center）Premium</a>，現在與組織政策整合，具有接近即時的政策和人工智慧資源配置變更偵測能力，防止意外的變更造成的雲端風險。目前這些新的安全指揮中心功能已經向所有用戶開放。</p> <p>由於安全指揮中心內建於Google雲端基礎架構中，因此可獲得人工智慧工作負載和應用程式的即時可見性，而非仰賴可能很快就過時的時間點快照，官方強調，這項特點之所以重要，是因為對於看不見的人工智慧工作負載，就無法提供保護。</p> <p>Google運用對Vertex AI架構和服務營運的知識，在安全指揮中心建置專門針對Vertex AI工作負載設計的安全態勢控制，提供了即用型的安全控制措施，供用戶簡單一鍵啟用。</p> <p>該平臺會持續監控並偵測Vertex AI中，違反安全策略的資源配置事件，當核心人工智慧基礎架構的配置偏離安全最佳實踐，像是創建允許透過公共IP存取的Vertex AI Workbench筆記本，或是變更Vertex AI工作負載存取權限等事件發生時，系統便會自動發出警報。</p> <p>雲端安全指揮中心會在政策發生變化時即時通知安全人員，協助團隊迅速辨識安全態勢控制的變化，確保不會因為政策配置錯誤或是惡意意圖，導致安全態勢控制變得過於寬鬆。此外，其安全健康分析功能，也能找出人工智慧工作負載所使用的多項服務中，存在於跨服務中的錯誤配置和漏洞。</p> <p>Vertex AI相關安全發現會在安全指揮中心的介面中，以專門的卡片突出顯示，提供清楚的安全狀態檢視圖，方便用戶評估安全態勢。安全指揮中心的風險分析工具，還可供用戶評估情況，並推薦下一步修正措施。</p> </div></div></div>
2024/2/29 22:56作者李建興https://www.ithome.com.tw/news/161557
Martech雙周報第49期：官方Cookie替代多難用？IAB發表隱私權沙盒對45種數位行銷情境的支援程度報告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0218~0302)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第三方Cookie</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#隱私權沙盒</span></span><br /> IAB發表隱私權沙盒對45種數位行銷情境的支援程度報告，完全或部分支援的項目只有大約10項</strong></p> <p>美國互動廣告協會IAB<a href="https://iabtechlab.com/wp-content/uploads/2024/02/Privacy-Sandbox-Fit-Gap-Analysis-PUBLIC-COMMENT-RELEASE.pdf">發表了一個研究報告</a>，評估Google官方替代方案隱私權沙盒與第三方Cookie間的實用度差距。這個106頁報告中，IAB詳細列出了45種數位行銷情境，逐一評估現有隱私權沙盒技術的支援度評級、評級理由、詳細技術說明、支援程度對廣告業務的影響，和其他補充說明。</p> <p>IAB將支援度評級分為完全支援、只能當短期解方、效果大幅降低、實務上難以支援，以及完全不支援，共5個評級。評估結果非常糟糕，45種情境中，隱私權沙盒只能完全支援一、兩個情境，且只能作為個位數情境的短期解方。</p> <p>除了支援度不足，IAB還對Google隱私權沙盒團隊提出了多項疑慮，包括技術文件破碎、對商業情境及需求缺乏考慮、做法及流程沒有第三方認證機制、數據品質沒有取得業界認證、對瀏覽器負荷過大而導致做法難以規模化、瀏覽器資源分配決策不透明、未來治理和開發計畫不明確等。這些問題都會使廣告需求方、中間方及提供方產生疑慮，以至於不敢輕易採用隱私權沙盒技術來進行廣告業務。</p> <p>Google發表<a href="https://developers.google.com/privacy-sandbox/blog/iab-tech-lab-response">回應</a>，聲稱報告中有不少誤解隱私權沙盒技術細節之處，並強調，為了進一步維護使用者隱私，隱私權沙盒本來就不應該支援許多既有數位行銷做法。同時，他們也承諾會根據業界回饋持續改良隱私權沙盒系列解決方案。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Gartner魔力象限</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#企業CDP採購</span></span><br /> Gartner終於推出CDP的魔力象限，17家國際大廠上榜</strong></p> <p>Gartner針對<a href="https://www.gartner.com/doc/reprints?id=1-2GOZ63XW&ct=240220&st=sb">CDP推出了魔力象限</a>（Magic Quadrant），根據功能完整性和功能執行力，將17家國際知名大廠CDP分為領導者、遠見者、特定領域者及挑戰者4個分類，並具體說明了評分條件，以及各家CDP特色和優劣。過往，Gartner只有提供CDP市場指引，並未針對這些產品進行評比分級。如今他們推出了魔力象限，意味著企業採購這個熱門科技時有更多資訊可作為參考。</p> <p>Garner同時提出了CDP市場觀察。他們寫道，企業行銷部門不太常使用CDP這個數據管理科技，而是著重於自動化行銷等執行面的行銷科技。這促使科技廠商開始發展CDP加上MA的全套解決方案。甚至，隨著CDP市場已經發展到成熟期，企業開始將CDP的數據處理功能用於行銷以外情境。也因此，主導採購CDP的企業部門從行銷部門轉移回IT部門。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#新聞臺行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CDP</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨通路數據整合</span></span><br /> 電視臺也用CDP！TVBS導入CDP及MA科技來強化數位內容精準投放</strong></p> <p>電視臺TVBS近期導入了CDP，要將自家數位內容帶來的網路流量，進一步轉換為更多節目流量及電商消費。</p> <p>TVBS有TVBS新聞、食尚玩家、女人我最大、健康2.0、地球黃金線，以及網路商城等數位通路，合計匿名與實名使用者流量高達每月3,000萬人次。他們導入CDP，是為了整合這些網站、App以及Line官方帳號所累積行為標籤，以及用戶加入會員後留下的基本資料、消費紀錄，以進行後續自動化行銷。</p> <p>目前，他們已經做了TVBS跨平臺SSO登入機制，來追蹤單一用戶橫跨不同通路的足跡。未來，他們計畫搭配自動化行銷科技，推送用戶可能喜歡的內容、顯示高關聯性活動訊息、發送App推播、電子報及簡訊。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#後Cookie做法</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#隱私權沙盒</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#一站式解決方案</span></span></strong></p> <p><strong>OpenX推出可以一站式啟用上千種Cookieless數位行銷方案的解決方案</strong></p> <p>老牌AdTech廠商OpenX推出了<a href="https://www.openx.com/press-releases/openx-announces-programmatics-first-supply-side-cookieless-deal-library-to-simplify-buyers-transition-to-cookieless-targeting/">Cookieless Deal Library解決方案</a>庫。廣告主透過這個方案庫，可以在DSP平臺上一站式選用上千種Cookieless數位行銷方案，包括Google隱私權沙盒、RampID等ID聯盟廣告、無ID分眾廣告、情境類分眾廣告、曝光類廣告、CTV類廣告、出版方第一方數據廣告等。</p> <p>少了第三方Cookie這個行之有年的萬靈丹後，廣告主往往需要結合多個Cookieless數位行銷方案，才能達到以往行銷效果。能一站式啟用不同Cookieless數位行銷方案，對廣告主來說，能降低嘗試不同做法和組合的操作難度。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#AR廣告</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#IAB</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#廣告成效測量</span></span><br /> IAB推出擴增實境類型廣告的建議測量標準</strong></p> <p>隨著越來越多行銷方法著重實體與數位體驗，<a href="https://www.iab.com/wp-content/uploads/2024/02/IAB-MRC_Augmented-Reality_AR_Measurement_Guidelines_For_Public_Comment_February_2024.pdf">IAB推出了AR類型廣告的建議測量標準</a>，詳細定義了曝光情況、廣告格式、無效流量、成效轉換基準及方法等主題。</p> <p>IAB定義中，AR類型廣告包括一系列濾鏡類廣告，例如靜態、動態及可互動式的使用者濾鏡、物品濾鏡和環境濾鏡廣告。虛擬試穿試戴、透過AR體驗看到的虛擬空間等，也歸類為AR廣告。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#品牌安全</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#廣告版位選擇</span></span><br /> The Trade Desk導入版位評估機制，以避免廣告投放到可信度評價低的新聞媒體版位</strong></p> <p>DSP大廠The Trade Desk和民間新聞媒體監察機構Ad Fontes Media合作，由後者提供自家分析上萬家新聞媒體及自媒體的研究數據，<a href="https://adfontesmedia.com/trade-desk/">來打造廣告出版方過濾機制</a>。投放廣告時，此機制會排除黨派立場過強、內容以AI生成及濫用釣魚式標題的新聞媒體，以期增加品牌安全。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://support.google.com/analytics/answer/14275483?hl=en">Google Analytics 4 更新管理使用者授權追蹤的功能</a></p> <p>2. <a href="https://www.salesforce.com/news/stories/marketing-cloud-growth-announcement/">Salesforce針對小型企業行銷需求推出結合GenAI功能的Marketing Cloud Growth服務</a></p> <p>3. <a href="https://blog.google/products/ads-commerce/gemini-models-are-coming-to-performance-max/">Google將Gemini模型應用於Performance Max廣告的圖文生成功能</a></p> <p>4. <a href="https://cloud.insight.insiderintelligence.com/20240220-TripleLift-CustomContent_RegPag">eMarketer調查顯示，廣告主相當重視RMN拓展廣告版位到零售業者自身以外的通路</a></p> <p>資料來源：iThome整理，2024年2月</p> <p>責任編輯：郭又華</p> </div></div></div>
2024/2/29 18:12作者郭又華https://www.ithome.com.tw/news/161553
【資安日報】2月29日，Hugging Face平臺上面出現惡意模型！能在用戶電腦部署後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近2到3年，駭客偏好散布惡意程式的新興管道，其中之一就是針對開發人員使用的開源套件儲存庫NPM、PyPI而來，藉由在此發行有問題的套件，進而在安裝、使用這些套件的電腦散布惡意程式，但隨著生成式AI技術的掘起，類似的情況也出現在共享機器學習模型的平臺。</p> <p>在譽為AI界GitHub之稱的Hugging Face平臺，研究人員發現裡面存在惡意的機器學習模型，值得留意的是，儘管該公司已採取多項檢測措施來掃描機器學習模型的檔案是否有害，然而，這些模型仍舊可以繞過這些機制而能成功上架。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://jfrog.com/blog/data-scientists-targeted-by-malicious-hugging-face-ml-models-with-silent-backdoor/"><strong style="font-size: 22px;">機器學習模型共享平臺Hugging Face出現100個惡意模型，若下載使用電腦恐被植入後門</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/10_JFrog-Honeypot-and-Fake-Secre.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/10_JFrog-Honeypot-and-Fake-Secre.png" style="width: 300px; float: right;" /></a>資安業者JFrog針對機器學習模型共享平臺Hugging Face提出警告，因為他們在這裡發現超過100個模型疑似帶有惡意功能，而可能導致資料外洩與網路間諜攻擊等資安風險。</p> <p>研究人員提及其中1個由使用者baller423上傳的惡意模型為例，載入後，會讀取Python序列化模組Pickle檔案，從而在受害主機執行任意程式碼。此模型的酬載會在成功入侵後產生Shell後門程式，從而讓攻擊者完全控制受害主機。</p> <p>JFog認為，雖然Hugging Face已採取多種防護措施，像是針對惡意軟體、Pickle、帳密資料（Scrects）進行掃描，企圖以此確認模型的功能是否存在不安全行為，但顯然還不夠，因為上述狀況突顯此平臺無法徹底擺脫實際資安威脅。</p> <p><a href="https://www.trendmicro.com/en_us/research/24/b/threat-actor-groups-including-black-basta-are-exploiting-recent-.html"><strong style="font-size: 22px;">更多駭客團體濫用ScreenConnect重大漏洞，Black Basta、Bl00dy被查出正在利用這個管道發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig-5 ScreenConnect Attack Chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig-5%20ScreenConnect%20Attack%20Chain.png" style="width: 300px; float: right;" /></a>2月20日資安業者ConnectWise針對旗下遠端桌面連線系統ScreenConnect公告高風險漏洞CVE-2024-1708、CVE-2024-1709（兩者被合稱為SlashAndGrab），勒索軟體駭客LockBit將其用於攻擊診所、獸醫院，以及與911專線相關地方政府系統，現在傳出有其他駭客組織跟進。</p> <p>趨勢科技指出，他們發現勒索軟體駭客組織Black Basta、Bl00dy利用SlashAndGrab的跡象。Black Basta的附屬組織先是利用漏洞入侵ScreenConnect伺服器，然後進行偵察，找出具備網域管理員身分的帳號、列出受信任的網域，然後部署滲透測試工具Cobalt Strike。另一個駭客組織Bl00dy，則是利用這些漏洞初步存取目標組織的內部環境，然後部署勒索軟體來加密檔案，此惡意程式以勒索軟體LockBit 3.0（亦稱LockBit Black）及Conti的外流建置工具打造而成。</p> <p>在上述兩組人馬的攻擊行動之外，研究人員也看到其他駭客出手，有人投放惡意程式XWorm，也有駭客部署其他遠端管理工具來進一步控制受害電腦。</p> <p><a href="https://www.ic3.gov/Media/News/2024/240227.pdf"><strong style="font-size: 22px;">Ubiquiti路由器因組態設定慘遭俄羅斯駭客組織APT28濫用，而得以建置殭屍網路，目的是隱匿攻擊行動</strong></a></p> <p>美國聯邦調查局（FBI）、國家安全局（NSA）、網路作戰司令部（US Cyber Command）與10個國家的執法機關聯手，針對俄羅斯駭客組織APT28的攻擊行動提出警告，這些駭客正在濫用Ubiquiti路由器EdgeRouter迴避偵測。</p> <p>而對於駭客偏好該廠牌路由器的原因，FBI表示，因為這些產品通常以預設固定登入帳號密碼的狀態出貨，而且無線網路服務供應商（WISP）部署這些設備時，通常是在無防火牆保護的狀態下，在此同時，EdgeRouter的韌體自動更新設定，需由使用者手動設定才會啟用。駭客一旦入侵這些路由器，就會取得其root權限，從而不受限制存取，然後部署作案工具，以便於在攻擊行動來混淆身分。</p> <p>值得留意的是，雖然美國執法單位近期切斷以此廠牌路由器組成的殭屍網路Moobot，但FBI表示，管理這些路由器的使用者也要採取對應的緩解措施，才有機會長期破壞此殭屍網路的運作。</p> <p><strong style="font-size: 22px;">電玩業者Epic Games傳出遭勒索軟體駭客組織Mogilevich入侵，遭到該公司否認</strong></p> <p>根據資安新聞網站Bleeping Computer、Cyber Daily報導，2月27日勒索軟體駭客組織Mogilevich聲稱，他們入侵電玩業者Epic Games並竊得189 GB內部資料，當中包含電子郵件、密碼、姓名、付款資訊、原始碼。該組織要求該公司向他們聯繫，期限是3月4日，但並未透露勒索金額或其他相關資訊。</p> <p>對此，Epic Games表示他們著手調查此事，目前為「零證據（zero evidence）」狀態，而無法證明對方宣稱是否屬實，且彼此尚未聯繫。</p> <p>駭客向兩家新聞網站透露，他們開價1.5萬美元兜售竊得資料，但只對出示「財力證明」的買家提供檔案來驗證他們拿到的資料，並聲稱有3名買家取得部分外洩資料。Bleeping Computer主編Lawrence Abrams認為駭客的說法「感覺不真實」，而與他們合作的資安專家推測，這很有可能是一場騙局。</p> <p>資料來源</p> <p>1. <a href="https://www.cyberdaily.au/culture/10241-fortnite-game-dev-epic-games-allegedly-hacked">https://www.cyberdaily.au/culture/10241-fortnite-game-dev-epic-games-allegedly-hacked</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/epic-games-zero-evidence-we-were-hacked-by-mogilevich-gang/">https://www.bleepingcomputer.com/news/security/epic-games-zero-evidence-we-were-hacked-by-mogilevich-gang/</a><br /> 3. <a href="https://twitter.com/EpicNewsroom/status/1762864647445901578">https://twitter.com/EpicNewsroom/status/1762864647445901578</a><br /> 4. <a href="https://twitter.com/LawrenceAbrams/status/1762576389373325757">https://twitter.com/LawrenceAbrams/status/1762576389373325757</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/anycubic-3d-printers-hacked-worldwide-to-expose-security-flaw/"><strong style="font-size: 22px;">Anycubic客戶的3D印表機遭駭，對方聲稱該系統的MQTT伺服器存在漏洞</strong></a></p> <p>近期有多名Anycubic的客戶透露，他們的3D印表機遭到入侵，對方植入名為hacked_machine_readme.gcode的純文字檔案，內容指出Anycubic的系統存在重大漏洞，要求用戶儘速採取行動，切斷印表機與網際網路的連線、防範潛在威脅，並宣稱用戶的印表機並未受害。</p> <p>而對於重大漏洞的說明，駭客聲稱與該系統採用的MQTT服務有關，一旦有人利用這項漏洞，就有機會存取並控制3D印表機，他們將上述的警告訊息發送給2,934,635臺印表機（編按：2023年7月Anycubic表示累計售出約300萬臺）。</p> <p>值得留意的是，Anycubic迄今並未對於類似事故提出說明。有資安研究員表示，他們2個月前也向該公司提報2個重大漏洞，並指出若是遭到利用，其中1個可能會導致災難性的後果，但該公司遲遲沒有回覆，打算公開揭露相關發現。此外，在使用者表明遭駭之後，Anycubic的應用程式出現無法存取的現象，使用者若是嘗試登入系統，便會看到網路無法使用的錯誤訊息。</p> <p>資料來源</p> <p>1. <a href="https://techcrunch.com/2024/02/28/anycubic-users-3d-printers-hacked-warning/">https://techcrunch.com/2024/02/28/anycubic-users-3d-printers-hacked-warning/</a><br /> 2. <a href="https://klipper.discourse.group/t/printer-cfg-for-anycubic-kobra-2-plus-pro-max/11658/201">https://klipper.discourse.group/t/printer-cfg-for-anycubic-kobra-2-plus-pro-max/11658/201</a></p> <p><a href="https://decoded.avast.io/janvojtesek/lazarus-and-the-fudmodule-rootkit-beyond-byovd-with-an-admin-to-kernel-zero-day/"><strong style="font-size: 22px;">Windows AppLocker漏洞在修補之前就遭到北韓駭客Lazarus利用</strong></a></p> <p>微軟在2月份例行更新（Patch Tuesday）修補CVE-2024-21338，此漏洞位於Windows的應用程式白名單元件AppLocker（appid.sys），通報此事的防毒業者Avast指出，在微軟修補之前，該弱點已被用於攻擊行動。</p> <p>他們之所以發現這項漏洞，與北韓駭客組織Lazarus有關，因為這個團體所用的新版rootkit程式FudModule當中，就是藉由CVE-2024-21338關閉特定的Protected Process Light（PPL）處理程序，從而迴避防毒軟體Microsoft Defender、EDR系統CrowdStrike Falcon、反惡意程式工具HitmanPro的偵測。有別於之前這些駭客利用自帶驅動程式（BYOVD）的手法，透過上述零時差漏洞來達成迴避偵測的目的，更能減少觸發資安防護系統警報的機會。</p> <p>而對於新版惡意程式FudModule的用途，研究人員表示駭客將其用來散布另一款RAT木馬程式，並預告將在亞洲場黑帽大會Black Hat Asia 2024公布細節。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161538"><strong style="font-size: 22px;">兆勤公告與修補防火牆與無線基地臺存在漏洞，用戶若不處理，可能無法因應RCE、命令注入等攻擊</strong></a></p> <p>2月21日兆勤發布資安公告，揭露CVE-2023-6397、CVE-2023-6398、CVE-2023-6399、CVE-2023-6764等4個漏洞，該公司旗下ATP、USG Flex、USG Flex H系列防火牆設備均可能受到影響，而其中的CVE-2023-6398，還額外影響約20款Wi-Fi無線基地臺設備。</p> <p>其中，本次揭露的漏洞，危險程度最高的是CVE-2023-6764，CVSS風險評分達到8.1。這個弱點與IPSec VPN功能有關，屬於格式字串（format string）類型的漏洞，能用於未經授權的遠端執行程式碼（RCE）攻擊，如果發送含有無效指標的特製酬載，就有可能觸發。</p> <p>雖然兆勤在公告裡提及，攻擊者想要利用漏洞，必須詳細掌握防火牆設備的配置，但揭露漏洞的資安業者TRAPA Security在他們的臉書粉絲頁貼文提醒大家注意，他們指出，此預先身分驗證的RCE漏洞最值得留意，因為攻擊者一旦將其利用，可在無須身分驗證的情況下，從WAN端獲得設備的最高權限。</p> <p>資料來源</p> <p>1. <a href="https://www.zyxel.com/tw/zh/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-firewalls-and-aps-02-21-2024">https://www.zyxel.com/tw/zh/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-firewalls-and-aps-02-21-2024</a><br /> 2. <a href="https://www.facebook.com/TrapaSec/posts/pfbid033YCZHqCpHZKfc5aXvVXwM17z8ifsg6qHXX12eXsQU9HQLYQenahTKmZXSmiUXRABl">https://www.facebook.com/TrapaSec/posts/pfbid033YCZHqCpHZKfc5aXvVXwM17z8ifsg6qHXX12eXsQU9HQLYQenahTKmZXSmiUXRABl</a></p> <p><a href="https://www.bitdefender.com/blog/labs/details-on-apples-shortcuts-vulnerability-a-deep-dive-into-cve-2024-23204/"><strong style="font-size: 22px;">研究人員揭露蘋果自動化流程應用程式Shortcuts高風險漏洞細節</strong></a></p> <p>1月22日蘋果發布iOS 17.3、iPadOS 17.3、macOS Sonoma 14.3、watchOS 10.3，修補高風險漏洞CVE-2024-23204（CVSS風險評分為7.5），這個弱點是坐落在自動化流程應用程式Shortcuts當中，蘋果當時表示，攻擊者若利用這項漏洞，能在無需使用者互動的情況下，運用敏感資料。</p> <p>通報該漏洞的資安業者Bitdefender近期透露更多細節，他們指出問題出在名為Expand URL的動作，原本Expand URL是用於將短網址回復成原始網址，並過濾與追蹤有關的參數，卻存在可外洩資料的疏漏。</p> <p>為了驗證漏洞，Bitdefender製作能繞過「透明度、同意與控制（Transparency, Consent, and Control，TCC）」通訊協定的Shortcuts檔案，從而觸發漏洞，將圖片的Base64編碼傳輸至惡意網站，研究人員指出，攻擊者可透過這類Shortcuts檔案涉及的照片、通訊錄、檔案，或是剪貼簿的資料，進行匯入，並使用Base64進行編碼，接著再將這些內容轉送到惡意伺服器。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-returns-to-attacks-with-new-encryptors-servers/"><strong><span style="font-size: 20px;">研究人員證實勒索軟體駭客組織LockBit重出江湖，使用新的作案工具犯案</span></strong></a></p> <p></p> <p><strong><a href="https://blogs.jpcert.or.jp/en/2024/02/lazarus_pypi.html"><span style="font-size: 20px;">北韓駭客Lazarus上傳惡意PyPI套件，意圖散布惡意軟體Comebacker</span></a></strong></p> <p></p> <p><a href="https://www.mandiant.com/resources/blog/investigating-ivanti-exploitation-persistence"><strong><span style="font-size: 20px;">中國駭客組織利用Ivanti Connect Secure漏洞從事攻擊行動，針對美國、日本、亞太地區國防工業及電信機構而來</span></strong></a></p> <p></p> <p><strong><a href="https://www.mandiant.com/resources/blog/suspected-iranian-unc1549-targets-israel-middle-east"><span style="font-size: 20px;">中東航空、航太、國防業者遭到伊朗駭客組織UNC1549鎖定</span></a></strong></p> <p><a href="https://www.verbraucherzentrale-hessen.de/pressemeldungen/verbraucherzentrale/hackerangriff-auf-verbraucherzentrale-hessen-92732"><strong><span style="font-size: 20px;">德國消費者保護團體傳出遭勒索軟體攻擊，電話與電子郵件通訊受到影響</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161517"><strong>【2月27日】知名組織棄置的網域與子網域淪為掩護惡意郵件攻擊的新興工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161467"><strong>【2月26日】勒索軟體駭客組織LockBit在執法單位控制基礎設施不到一週就捲土重來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161450"><strong>【2月23日】遠端桌面連線軟體ScreenConnect重大漏洞被用於散布勒索軟體LockBit</strong></a></p> </div></div></div>
2024/2/29 16:14作者周峻佑https://www.ithome.com.tw/news/161549
微軟發布DirectSR API，整合各家GPU廠商超級解析度功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟搶先預告，DirectX團隊將在今年的遊戲開發者大會推出許多新工具，而其中最受關注的便是<a href="https://devblogs.microsoft.com/directx/directx-innovation-on-display-at-gdc-2024/">DirectSR</a>，官方解釋，DirectSR是一個新的API，能夠無縫整合各GPU製造商的超解析度解決方案，包括Nvidia DLSS（Deep Learning Super Sampling）、AMD FSR（FidelityFX Super Resolution）與Intel XeSS（Xe Super Sampling）。</p> <p>DLSS、FSR與XeSS三種都是能夠提高圖形應用效能和圖像品質的技術。DLSS使用深度學習和人工智慧演算法來提高圖像品質和效能，藉由降低遊戲的原始解析度，並使用預訓練的神經網路模型重建高解析度影像，如此便可在不降低遊戲效能的情況下，提高影格數和圖像解析度。</p> <p>FSR與XeSS同樣也是一種超級採樣技術，雖然各家達成超級解析度的技術各有不同，但目的都是要提高遊戲解析度和視覺效果，在自家硬體提供更順暢的遊戲體驗。不同玩家所使用的硬體不同，使得遊戲開發人員需要支援各家不同的超解析度解決方案，不過，這樣卻會大幅提高遊戲開發人員的負擔。</p> <p>而現在微軟提出DirectSR，便是希望透過與各家GPU硬體供應商合作設計一個通用的API，可讓開發人員方便地在遊戲中整合超級解析度功能。微軟提到，該DirectSR API透過一組通用的輸入和輸出規範支援多供應商超解析度功能，使得遊戲以單一程式碼就能啟動各家的GPU超級解析度功能。</p> <p>DirectSR即將會加入到Agility SDK中，以公開預覽版的方式供開發者測試。</p> </div></div></div>
2024/2/29 17:07作者李建興https://www.ithome.com.tw/news/161548
GitHub正式推出可整合組織程式碼與知識庫的企業版Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub全面發布<a href="https://github.blog/2024-02-27-github-copilot-enterprise-is-now-generally-available/">企業版Copilot（Copilot Enterprise）</a>，每位用戶每月的訂閱價格為39美元。相較於一般版的Copilot，Copilot Enterprise的主要功能在於提供個人化，且可以針對組織特定需求的開發體驗，包括可以深入理解程式碼庫、存取組織的知識和最佳實踐，以及審查拉取請求。</p> <p>Copilot Enterprise讓開發者可以更快地深入理解組織的程式碼庫，因此開發者在開發新功能、解決問題和更新舊程式碼都會更容易。同時也使得新進開發者可以更快地做出貢獻，使資深開發者有能力迅速處理即時事件，並加速企業程式碼現代化。Copilot Enterprise可以提供清楚的程式碼摘要、相關建議以及回應程式碼行為，有效提升程式碼編寫和理解的效率。</p> <p>聊天功能在Copilot Enterprise被整合到GitHub.com中，使開發人員能夠直接在程式碼庫，以自然語言提出問題並獲得解答，還能獲得與問題相關的文件和現有解決方案。官方提到，這個功能將有助於促進大規模程式碼迭代，同時針對組織特定程式碼庫和標準，提供協助與建議使開發人員更快速地改進程式碼。</p> <p>而Copilot Enterprise也能生成拉取請求摘要，使開發人員花更少的時間編寫，並且更專注於合併拉取請求工作本身，Copilot Enterprise也會分析拉取請求的差異，讓審查者可以更快速地理解程式碼變更。</p> <p>GitHub也提到，在Copilot Enterprise Beta測試版本現在整合Bing搜尋功能，因此用戶也可以獲得最新的網際網路資訊。也就是說，GitHub Copilot將具獲取外部知識的能力，如此開發者便可針對程式碼開發環境查詢最新的軟體開發資訊，諸如CSS或JavaScript的更新等。</p> </div></div></div>
2024/2/29 17:12作者李建興https://www.ithome.com.tw/news/161551
行政院通過電子簽章法修正草案，未來數位簽章等同本人親簽，若條件符合可與國外相互承認數位簽章
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院今天(2/29)通過數位部提出的電子簽章法修正草案，為我國電子簽章法施行20多年來首次修法，以趕上現今數位服務的需求，此次修法確認數位簽章等同本人親簽，並且新增國內與國外對接，在雙方安全等級相當的前提下，可相互承認數位簽章。行政院通過電子簽章法修正草案後，接下來將爭取通過立法院支持，以在這個會期完成修法程序為目標。</p> <p>數位部指出，使用電子簽章好處有三個，首先是快速，使用電子簽章可加速簽約流程，減少維護及管理文件的時間及費用，並降低歸檔及資料調用的時間，其次是安全方面，電子簽章採用金鑰基礎架構及國際組織制定的演算法，確保文件傳輸及交易的安全，第三是減碳方面，由於電子簽章採用已無紙化，可減少大量紙張使用。</p> <p>此次電子簽章法修法，數位部預期效益，包括推動電子簽章的普及運用，加速智慧政府及數位轉型的政策目標，還有塑造多元電子簽章發展的有利法制環境，並且促成電子簽章和國際對接、交流往來。</p> <p>在行政院會後記者會，數位部解釋電子簽章法修正草案的6項修正重點，第1項是明示電子與紙本具有同等功能，過去大眾對於書面文件及簽章改採電子形式存有疑慮，參考聯合國、美國、歐盟等國際法例，新增條文第4條規定，電子文件及電子簽章，不能因其電子形式而否認其法律效力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/es-1600.jpg" style="width: 600px; height: 312px;" /></p> <p>第2項是確定電子簽章和數位簽章的關係，數位部數位產業署副署長林俊秀解釋，電子簽章如同傳統紙本時代的印章，而數位簽章則是使用經主管機關許可的憑證機構所簽發的憑證，在演算法及加密技術下，具備驗證手續，該憑證如同傳統紙本時代的印鑑證明。</p> <p>在定義上，電子簽章指依附在電子文件上與其相關連，用以辨識電子文件簽署者的身分、資格及電子文件真偽；數位簽章為電子簽章的一種，指的是將電子文件以數學演算法或其他方式運算為一定長度的數位資料，以簽署者的私密金鑰加密，形成電子簽章，可以公鑰驗證，且具有憑證機構簽發的憑證者。</p> <p>第3項修正重點是，確認由政府許可的憑證機構所簽發憑證的數位簽章效力強度，林俊秀指出，數位簽章因具有政府許可的憑證機構簽發的憑證，具有公信力，因此推定數位簽章為本人親簽，在法律訴訟上具有更強的證據力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Clipboard01600(1).jpg" style="width: 600px; height: 311px;" /></p> <p>第4項修正重點為調整相對人同意要件，在數位包容的前提下，考慮到相對人的數位落差，當要採用電子形式的文件及簽章，應以合理方式給予相對人反對的機會，並且應該告知相對人，如果相對人沒有反對，推定同意採用電子形式。</p> <p>第5項為減少政府機構公告排從適用電子簽章法適用的可能性，林俊秀解釋，過去政府機構經常輕易以「公告」的方式單方面排除電子簽章法適用，因此修法刪除舊法中對行政機構得公告排除適用的規定，並要求行政機構應以法律來排除電子簽章法適用，對於舊有排除適用的「公告」定下落日條款，從修法施行開始，3年內停止適用，但司法程序考量到其特殊性，則不適用電子簽章法的規定。</p> <p>第6項修法重點是考慮到未來電子簽章的國際對接，在安全條件相當的前提下，如憑證機構間有技術對接合作，雙方憑證機構符合歐盟或ISO國際標準，就能互相承認數位簽章。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Clipboard000.jpg" style="width: 600px; height: 317px;" /></p> <p>數位部次長李懷仁補充說明，當民眾使用電子簽章技術時，確實可驗證簽署人的身分，但目前並沒有法令，強制要求數位平臺或跨境平臺一定要使用電子簽章，另外，相對人的機制，例如保險公司採用電子保單，需詢問投保人採用電子保單，投保人仍可向保險公司表示使用紙本，表達相對意思，保險公司必需尊重其意思；相反地，投保人如果向保險公司表達電子簽署保單的意思，保險公司也可向其說明因系統或法令關係，無法提供電子保單簽署服務，相對人是雙向的概念。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20240229-%E9%9B%BB%E5%AD%90%E7%B0%BD%E7%AB%A0%E6%B3%953.jpg" style="width: 600px; height: 600px;" /></p> <p>李懷仁也說，電子簽章技術可適用於個人及法人，其中法人包括企業，此次修法的一項重點是技術對接，只要國外憑證機構經過我國許可，國內企業與國外企業簽約也能採用電子簽章。至於電子簽章與數位簽章的差別，數位簽章具有較強的效力強度及安全規範，數位簽章在法律上推定為本人親簽，因為運用加密私鑰來簽署，而該加密私鑰為透過政府許可的憑證機構所認定發出，如同傳統上印鑑證明，代表政府審核的印鑑證明，具有一定的公信力，不同於個人蓋的印章。政府會審核憑證機構，這些憑證機構發出的憑證達到一定的安全等級，才能被稱為數位簽章。</p> <p><span style="color:#B22222;"><strong>擴大電子簽章普及，將與數位平臺業者合作打擊詐騙廣告</strong></span></p> <p>主導電子簽章法修法的數位部也在下午舉行記者會，部長唐鳳親自說明未來電子簽章法的應用，其中數位部正計畫用於打擊詐騙，目前投資詐騙廣告盛行，這類廣告內容常見利用名人影像吸引民眾加入投資群組，數位部透過電子簽章法修法，增加數位簽章，如同印鑑證明證明真有其人來蓋章，接下來數位部將和臉書、YouTube、Line等主要網路廣告平臺合作，要求這類廣告上架前，刊登者需使用數位簽章，為其刊登廣告負責，過去這類高風險的廣告被檢舉下架後，不肖人士可能更換帳號重新刊登，現在因數位簽章的效力關係到個人，因此當該廣告被檢舉下架之後，同一自然人再在其他平臺刊登廣告，透過聯防通告系統，告知其他平臺業者都要下架，其次，不肖人士也難以再生出另一個自然人身分，運用數位簽章刊登詐騙廣告。</p> <p>她表示，數位部已和經濟部討論，爭取成為無實體的純網路廣告平臺的主管機關，未來加上電子簽章法修法若獲得通過，可從源頭有效打擊詐騙廣告。未來不只是純網路廣告平臺，甚至包含第3方支付、遊戲產業也將是聯防平臺的成員，主動發現詐騙活動，並協調大家運用數位簽章從源頭管理。</p> <p>唐鳳還表示，對於任何需要簽名或蓋章的場合，電子簽章法修法通過後，未來只要相對人不反對，可以運用電子簽章、電子文件來進行線上簽署，金融方面，如開戶、貸款等，在今日的院會上金管會黃主委表示，電子簽章法修法後，將提供更強的法定效力，更易於確認簽署者的數位簽章身分，相信所有和金融相關服務都可能看到應用。</p> <p>另一項修法重點是與國外對接，唐鳳表示，先前參訪立陶宛，該國已普遍使用數位簽章技術，我國舊的電子簽章法並未規定如果安全程度相當、技術對接就能和國外數位簽章彼此承認，現在新的修法中，只要安全程度相當及技術對接，兩國不一定需要簽署合約，就可以彼此承認簽章，以立陶宛為例，國內銀行就能和立陶宛的企業進行金融往來，或是我國業者存取立陶宛的Fintech等，透過彼此承認數位簽章，可減少傳統上需透過國際快遞合約文件的過程，減少碳足跡。</p> <p>林俊秀指出，目前已有一些業者採用電子簽章，例如台北富邦銀行目前已完成全臺135間分行電子簽章服務建置，以往該行客戶辦理開戶、卡片掛失補發都需在紙本上簽名，導入電子簽章後，現在客戶只要在櫃臺的電子平板上電名即可，可減少櫃檯人員登打、提高作業效率，此外，無紙化也能減少紙張使用、實體文件倉儲的風險。</p> </div></div></div>
2024/2/29 17:23作者蘇文彬https://www.ithome.com.tw/news/161552
HPE和Kyndryl合作LTE/5G專網服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HPE與IT服務商Kyndryl本周在世界通訊大會（MWC）上<a href="https://www.prnewswire.com/news-releases/kyndryl-announces-global-alliance-and-private-5g-network-service-collaboration-with-hewlett-packard-enterprise-302070489.html" target="_blank">宣布</a>策略合作，Kyndryl將提供5G LTE企業專網的布建與整合服務給全球客戶。</p> <p>在這項合作下，前身為IBM基礎架構服務部門的Kyndryl將和HPE 5G專網設備部門Athonet共同開發5G/LTE專網服務方案。Athonet為HPE 2023年初<a href="https://athonet.com/what-we-do/" target="_blank">收購</a>的義大利私有行動核心網路平臺業者，HPE希望藉此擴展產品陣容從資料中心、雲端到企業邊緣網路。</p> <p>Kyndryl將提供部署服務，協助整合HPE Aruba企業有線、無線網路（Wi-Fi 6）環境以及Athonet的5G/LTE網路核心平臺。Kyndryl也將提供AIOps整合服務平臺Bridge，該平臺讓企業用戶得以掌握與管理多種雲端、混合雲上的IT資產及應用，實現自動化、減少網路斷線風險。</p> <p>Kyndryl原本就是HPE邊緣到雲端（Edge-to-Cloud）平臺的合作服務夥伴，雙方已為共同客戶提供多種運算即服務（Compute as a Service，CaaS）、多雲資料可攜、有線和WLAN（Wi-Fi 6）、勒索軟體與災難復原服務。</p> <p>除了HPE網路設備之外，Kyndryl也提供諾基亞（Nokia）及思科5G專網平臺的布建服務。</p> </div></div></div>
2024/2/29 12:39作者林妍溱https://www.ithome.com.tw/news/161546