iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 24篇
近 24 小時: 29篇
近 7 天: 133篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 16:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 133 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

中國政府正在遠離英特爾與AMD晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ft.com/content/7bf0f79b-dea7-49fa-8253-f678d5acd64a" target="_blank">《金融時報》（Financial Times，FT）近日報導</a>，中國政府的採購政策正在逐步遠離來自美國的晶片與作業系統，包括英特爾、AMD及Windows，實施範圍涵蓋政府機構與國營企業。</p> <p>此一報導源自於中國財政部在去年12月26日<a href="https://gks.mof.gov.cn/guizhangzhidu/202312/t20231226_3924086.htm" target="_blank">發表</a>了《台式計算機政府採購需求標準》，要求特定職級的黨政機關與政府直屬事業單位，在採購桌上型電腦時，應將CPU與作業系統符合安全可靠測評要求納入採購需求，同一天，中國信息安全測評中心即公布了涉及CPU、作業系統及資料庫等基礎軟、硬體的安全可靠測評結果，<a href="http://www.itsec.gov.cn/aqkkcp/cpgg/202312/t20231226_162074.html" target="_blank">列出</a>符合可靠定義的產品。</p> <p>其實中國政府並未指名要封鎖來自美國的產品，兩份文件都未提及美國或美國的產品名稱，只是在被認為安全可靠的產品名單中，清一色全是中國產品，包括有18款來自中國各家廠商的CPU，有6款源自中國的作業系統，以及11款皆由不同中國業者所開發的資料庫。</p> <p>《金融時報》引述消息來源報導，中國國營企業自去年便開始透過季報來呈現IT系統的改造進度。</p> <p>中國試圖以政策來擺脫對美國的依賴，惟現階段仍然容許各部門或國營企業有限制地採購英特爾、AMD或Windows等美國產品。</p> </div></div></div>
2024/3/25 11:48作者陳曉莉https://www.ithome.com.tw/news/161933
Apple全裝置Safari現在皆支援垂直表單控制元件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在瀏覽器互通專案Interop 2023倡議之下，主要瀏覽器都開始統一垂直表單控制元件支援，而Apple在推出<a href="https://webkit.org/blog/15190/implementing-vertical-form-controls/">Safari 17.4</a>之後，所有裝置包括iOS上的Safari，都已經能夠正確呈現垂直書寫模式下的表單控制元件。支援垂直書寫模式對瀏覽器來說是一項大工程，因為需要重新調整許多表單控制元件的呈現方式，甚至需要為垂直書寫模式編寫特別的渲染邏輯。</p> <p>垂直文字書寫常見於東亞語言，包括中文、日文和韓文等都可以垂直書寫，並且從上到下閱讀，雖然CSS書寫模式屬性對垂直文字的支援已經實施一段時間，但是所有瀏覽器對表單控制元件vertical-lr和vertical-rl值的支援都不同，因此在Interop 2023中，各家廠商便決定實現更加一致的垂直書寫支援。</p> <p>要在已支援的瀏覽器中，顯示垂直表單控制元件，設定書寫模式屬性即可，從右到左的區塊流使用vertical-rl，而左到右區塊流則使用vertical-lr。支援垂直書寫模式的元件包括<button>、<textarea>、<progress>、<meter>、<input>和<select>等。不過，與表單控制元件相關的彈出式用戶介面，像是<select>的下拉選單，或是<input type=“color">顏色選擇器，仍然會以水平的方式顯示。要更好地支援垂直書寫模式，WebKit更新了其樣式表，使用邏輯屬性像是inline-size代替傳統的寬度，並且用block-size來代替高度，這些屬性更能適應不同的書寫方向，因為他們與內容的走向相關。</p> <p>而布局（Layout）方面，WebKit中的表單控制元件大量使用自定義的布局程式碼，以在不同的環境和條件保持一致和功能性，但開發團隊提到，這些實作設計皆考量水平書寫模式，在垂直書寫模式下會出現問題。因此WebKit開發團隊更新這些實作，在計算邏輯寬度時考慮書寫模式。自定義基線調整邏輯也更新使用垂直書寫模式的中央基線，使複選框和單選按鈕等控制元件，能與垂直文字相搭配。</p> <p>不只如此，WebKit表單控制元件於垂直書寫模式的渲染，在不同作業系統也需要特別調整。在macOS上，因為作業系統本身不支援垂直書寫模式，WebKit表單控制元件又需要和作業系統外觀和感覺維持一致，像是<progress>等控制元件，無法直接在垂直模式下渲染，因此WebKit會直接旋轉這些控制元件來支援垂直渲染，使其在垂直書寫模式下可用，且外觀又接近系統標準。</p> <p>但像是<select>這類元件具有陰影等細節，就無法單純透過旋轉，否則顯示會不正確。而WebKit便採用自定義回退渲染方法，這些控制元件在垂直模式下採用特別的渲染邏輯，因此這些控制元件和作業系統的原生元件外觀可能會有所不同。</p> <p>對於原本在WebKit中就已經是自定義繪製的控制元件，像是在iOS和macOS中的列表選擇框<select multiple>，現在皆使用邏輯座標而非物理座標，確保控制元件在垂直書寫模式的呈現一致。而像是複選框或是單選按鈕則不需要進行任何渲染變更，他們在所有書寫模式看起來都相同。</p> <p>目前桌面瀏覽器支援表單控制元件垂直書寫模式的有Firefox 120以上版本，以及Chrome124以上版本，Edge則處在部分支援的階段，而在行動裝置上，除了iOS上的Safari之外，還有Android的Firefox，也支援表單控制元件垂直書寫模式。</p> </div></div></div>
2024/3/24 23:08作者李建興https://www.ithome.com.tw/news/161922
提供3種預設組態，IBM大型主機系統推出更多入門款式
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ibm_linuxone_4_express_main2_0.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2021年8月，IBM發表7奈米製程的處理器Telum，預計用於新一代大型主機系統，時至2022年4月，該公司推出搭配這款運算晶片的z16多機櫃產品（multi frame），標榜這是業界首款量子安全系統——底層採用格構密碼學（lattice-based cryptography），以此建立保護資料與系統的安全原型，及早因應量子破密威脅。</p> <p>同年9月，他們發表第四代LinuxONE頂級款式Emperor（LinuxONE 4 LA1），同樣採用Telum，可提供具有高延展性的Linux與Kubernetes系統——提供1到4座19吋寬度機櫃的配置，採用雙晶片模組封裝的Telum（每顆晶片內建8核心、時脈為5.2 GHz），最多可設置200顆核心，記憶體最大可搭配40 TB，每顆中央處理器模組（central processing drawer）可搭配10 TB備援記憶體陣列（RAIM）。</p> <p>2023年4月，IBM接續發表單座機櫃型態的z16，以及第四代LinuxONE的中階款式Rockhopper（LinuxONE 4 LA2）。他們表示，LinuxONE 4 LA2僅提供1座19吋機櫃配置，強調提供入門級價格的高效率設計，能與雲端資料中心其他運算平臺共存，在處理器與記憶體的配置上，同樣採用雙晶片模組封裝的Telum（每顆晶片內建8核心、時脈為4.6 GHz），最多可設置68顆核心，記憶體最大可搭配16 TB，每顆中央處理器模組（central processing drawer）可搭配8 TB備援記憶體陣列（RAIM）。</p> <p>一個月之後，IBM增設新的入門款式LinuxONE 4 AGL，可提供安裝在企業既有機櫃的選項，使用10U到39U空間，處理器與記憶體的組態同於LinuxONE 4 LA2。</p> <p>到了今年2月，IBM發表新款大型主機系統LinuxONE 4 Express，鎖定中型與小型企業環境，主打高效能、安全，以及支援AI運算等特色。基本上，這是基於LinuxONE 4 AGL而成的款式，採用預先設定的組態，區分為大、中、小等三種產品包裝，小型組態提供4核心與384GB記憶體，中型組態提供6核心與512 GB記憶體，大型組態提供12核心與736 GB記憶體，訴求快速建置、成本節約與降低用戶工作量，能支撐傳統與新興的IT應用需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20214-02-20-IBM%20Linux%20One%204%20overview.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Specifications for IBM LinuxONE 4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Specifications%20for%20IBM%20LinuxONE%204.jpg" style="width: 500px;" /></a></p> <p>LinuxONE 4 Express也能用於工作負載的整併，例如將多個資料庫系統集中、放置於高性能的大型主機系統執行，企業即可以此簡化IT環境的管理，降低營運成本。IBM表示，同樣在Linux環境執行多種應用系統的工作負載，若以5年來計算總持有成本，採用LinuxONE 4 Express均可低於x86伺服器，節省幅度最高可達到52％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/20214-02-20-IBM Linux One 4 Express TCO.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/20214-02-20-IBM%20Linux%20One%204%20Express%20TCO.jpg" style="width: 600px;" /></a></p> <p>關於創新應用的支援，例如AI醫療影像處理，LinuxONE 4 Express採用的Telum處理器，提供AI推論運算能力，企業可將關鍵應用的資料與AI交給LinuxONE系統，就地執行資料分析作業。舉例來說，醫療健康保險公司可藉此以近乎即時的速度，進行大量醫療紀錄的分析，從而更快完成理賠程序驗證，提升業務決策速度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/IBM Telum-Integrated AI Accelerator-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IBM%20Telum-Integrated%20AI%20Accelerator-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/IBM Telum-Integrated AI Accelerator-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IBM%20Telum-Integrated%20AI%20Accelerator-2.jpg" style="width: 298px;" /></a></p> <p>在高可靠度的部分，LinuxONE 4系列可搭配IBM旗下多種系統，而能達到8個9（99.999999%）的服務水準，例如，在使用Red Hat OpenShift Container Platform的環境當中，搭配大型主機專用的災難復原解決方案GDPS（Geographically Dispersed Parallel Sysplex）、啟用HyperSwap功能的DS8000系列儲存系統。</p> <p>以數位資產管理而言，這系列大型主機系統可實現機密運算（confidential computing）的要求，保護正在使用的重要資料（data in use）。相關功能源自設備內建的硬體安全技術，名為IBM Secure Execution for Linux，可針對個別工作負載進行大規模的分區隔離執行，能同時預防來自系統外部的攻擊，以及滲透、潛伏系統內部的威脅，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2020-IBM Secure Execution for Linux on IBM Z.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-IBM%20Secure%20Execution%20for%20Linux%20on%20IBM%20Z.jpg" style="width: 400px;" /></a></p> <p>同時，LinuxONE也配備硬體加密器（HSM），IBM提供CryptoExpress卡，支援FIPS 140-2 Level 4、<a href="https://community.ibm.com/community/user/ibmz-and-linuxone/blogs/richard-kisley1/2023/04/21/pci-hsm-for-4770-on-ibm-z16">PCI HSM</a>等認證的要求，可搭配該公司的Hyper Protect Services，而獲得加密金鑰管理服務，以及運用Dilithium、Kyber後量子密碼學演算法進行簽署與封裝的功能。以LinuxONE 4 AGL、LinuxONE 4 LA2為例，最多可搭配20張CryptoExpress卡，提供40組硬體加密器；至於更高階的LinuxONE 4 LA1，最多可搭配30張CryptoExpress卡，提供60組硬體加密器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ibm-pcie-cryptographic-coprocessor.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/IBM PCIe Cryptographic Coprocessor-overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IBM%20PCIe%20Cryptographic%20Coprocessor-overview.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Linux%20on%20z%20and%20LinuxONE%20Systems%20Crypto%20Stack.jpg" style="width: 500px;" />\</p> <p><span style="color:#008000;"><strong>產品資訊</strong></span></p> <p><strong>IBM LinuxONE 4 Express</strong><br /> ●原廠：IBM<br /> ●建議售價：13.5萬美元起<br /> ●硬體組成：單臺機櫃預設裝載18U尺寸設備，包含1個CPC運算模組、1個I/O模組<br /> ●處理器：IBM Telum，用於LinuxONE 4 Express時脈為4.6 GHz，最多可用16顆核心的組態<br /> ●記憶體：<br /> 小型組態384 GB（對應4核心）<br /> 中型組態512 GB（對應6核心）<br /> 大型組態736 GB（對應12核心）<br /> 最大可至864 GB（對應16核心）<br /> ●網路介面：2張網路卡，共提供4個10 GbE埠<br /> ●支援Linux作業系統版本：Canonical Ubuntu（20.04、22.04）、Red Hat RHEL（7、8、9）、SUSE SLES（12、15）<br /> ●支援Hypervisor：z/VM（7.2、7.3）、KVM（Canonical、Red Hat、SUSE）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/23 13:49作者李宗翰https://www.ithome.com.tw/review/161911
Martech雙周報第50期：打破RMN通路壁壘！Google將開放用零售業者一手數據來支援搜尋廣告投放的功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0311~0323)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#搜尋廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#零售數據</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷通路整合</span></span><br /> RMN走出自有通路！Google將開放用零售一手數據來支援搜尋廣告投放的功能</strong></p> <p>Google開始在旗下搜尋廣告解決方案Search Ads 360<a href="https://blog.google/products/marketingplatform/360/empowering-the-retail-media-ecosystem-with-search-ads-360/">測試用零售業數據來支援廣告投放的功能</a>。廣告主可以利用零售業者提供的第一手數據，包括顧客消費數據洞察及商品銷售數據等，來支援精準受眾選取及投放策略擬定。</p> <p>Google強調，整個過程中，廣告主不會拿到個人級別數據，且零售業者可以選擇只開放特定廣告主使用自家數據，並管控數據共享內容，例如只給合作品牌相關的行銷數據及銷售數據。不過，若廣告主同時獲得多家零售業者授權使用數據，廣告主便能整合不同家零售業者數據來投放廣告。</p> <p>這個功能對零售業者來說，等於是讓第一方數據能應用於自有RMN通路以外的行銷場景。對廣告主來說，這個功能則打破了不同家RMN之間的數據及通路壁壘，能使用多家零售業者數據在Google搜尋這個超大通路投放廣告。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI工程</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CRM</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Low-code開發</span></span><br /> Salesforce推出Low-code AI開發工具，讓企業能自行打造CRM自動化流程</strong></p> <p>Salesforce宣布推出Einstein 1 Studio，<a href="https://www.salesforce.com/news/press-releases/2024/03/06/einstein-1-studio-news/">這是一套低程式碼工具</a>，讓企業能使用Copilot Builder、Prompt Builder及Model Builder三種開發模式，打造CRM自動化流程。</p> <p>Copilot Builder用於自定義Salesforce對話式AI助理Einstein Copilot設定，使其可以跨Salesforce應用程式和外部系統，自動化處理任務。</p> <p>Prompt Builder是用於建立可以重複使用的提示詞，使所有使用者在操作Salesforce軟體時，都能輕易利用預建立的提示詞呼叫生成式AI，來來成特定工作。</p> <p>Model Builder則是低程式碼開發工具，企業可用自家數據建立專屬AI模型，包括預測式模型及生成式模型。目前Prompt Builder和Model Builder已經在全球正式推出，Copilot Builder則仍處測試階段。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#隱私權沙盒</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無Cookie做法</span></span><br /> 微軟宣布旗下廣告服務將支援隱私權沙盒技術，並宣布推出自家的後Cookie時代精準投放技術</strong></p> <p>在Google Chrome開始停用第三方Cookie的今年，<a href="https://about.ads.microsoft.com/en-us/blog/post/march-2024/the-future-of-private-advertising">微軟也宣布逐漸停用旗下瀏覽器Edge對第三方Cookie支援</a>，且旗下廣告服務全面支援Google後Cookie時代數位廣告技術隱私權沙盒。隱私權沙盒技術常為人詬病的一大問題是，需要大量網站、企業及技術商都支援協定，才會成氣候。微軟擁抱隱私權沙盒，有望為此協定帶來大量參與者。</p> <p>同時，微軟宣布後半年開始測試精準廣告投放技術<a href="https://blogs.windows.com/msedgedev/2024/03/05/new-privacy-preserving-ads-api/">Ad Selection API</a>。微軟表示，此技術使用符合隱私規範的原則，例如最小可識別分眾（K-anonymity）、差分隱私（Differencial Privacy）等，且此技術是在伺服器端處理運算任務，運算效率較高，不像隱私權沙盒是瀏覽器端處理，有運算負荷過大導致資訊傳輸延遲的疑慮。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SEO</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#MFA網站</span></span><br /> Google再次更新網頁搜尋排名原則，打擊隱藏在棄置網站及優質網站的劣質內容</strong></p> <p><a href="https://blog.google/products/search/google-search-update-march-2024/">Google近日揭露最新網頁演算法強化內容</a>。一直以來，這次，他們針對2類網頁下手，來強化搜尋引擎排序演算法。</p> <p>第一是棄置網站。有心人士會購買棄置網域，做成內容農場網站網站，再透過SEO引誘使用者點擊以賺取廣告收益。另一種則是依附在優質、信譽良好網站中的劣質內容，將不再因為網站本身排序優先度高而受益。</p> <p>隨著生成式AI讓大量產製MFA內容變得更容易，一般網站的SEO難度已經增加不少，因此Google這次針對MFA及劣質內容動刀，對一般SEO行銷人員來說無疑是一個喜訊。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷數據</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SEO</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#DMA</span></span><br /> 配合歐盟數位市場法，Google將調整歐盟經濟區內的數據政策及搜尋引擎政策</strong></p> <p><a href="https://blog.google/around-the-globe/google-europe/complying-with-the-digital-markets-act/">Google近日宣布一系列配合歐盟數位市場法（Digital Markets Act）的措施</a>。這些措施將在歐洲經濟區（EEA）生效，其中與數位行銷相關的項目包括搜尋引擎政策與數據政策調整內容。</p> <p>首先，在住宿、購物及航空班次等主題的搜尋結果中，大型中介網站及資訊比較網站排序會更靠前，且搜尋結果頁面會新增輪盤（Carousel）介面，從網站結構化資訊中提取不同商家或商品的圖文，陳列於結果頁面最頂端。若企業營業範圍涉足EEA，這個改動會影響SEO策略。</p> <p>數據政策方面也有許多調整。首先是數據連結授權。Google常連結使用者橫跨服務中的數據，來提供個人化內容投放。未來EEA使用者會在更多數據連結情境被詢問數據連結授權。Google還會提供廣告主和廣告版位提供商更多數據連結授權管理工具。</p> <p>第二是廣告數據透明化政策，Google表示EEA廣告主將能取得更多廣告相關分析數據，不過沒有說明額外提供的數據種類。第三則是提供數據轉移API，讓開發者能更輕易轉移使用者的Google帳號數據到第三方服務或裝置中。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#短影音行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Youtube行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷成效追蹤</span></span><br /> Youtube新增短影音及動態內影片廣告的成效測量機制</strong></p> <p>Youtube廣告成效追蹤將更全面。過往，廣告主可以透過網路流量測量公司Comscore的技術來測量一般影片廣告的成效。<a href="https://www.comscore.com/Insights/Blog/Unlocking-the-Advertising-Power-of-YouTube#:~:text=Today%2C%20Comscore's%20Campaign%20Ratings%E2%84%A2,for%20modern%20cross%2Dmedia%20measurement.">現在Comscore進一步支援追蹤</a>短影音Shorts廣告及「動態內影片廣告」──於搜尋結果頁面、影片結束時推薦頁面及Youtube首頁的廣告。</p> <p>未來，Comscore還會再支援刊頭廣告，也就是Youtube首頁特大型廣告的成效測量。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#MMM</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷成效追蹤</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#後Cookie做法</span></span><br /> 回歸傳統統計學，Google推出開源MMM行銷成效追蹤工具</strong></p> <p><a href="https://developers.google.com/meridian/docs/basics/about-the-project">Google近日推出Marketing Mix Model（MMM）工具Meridian</a>，可以選擇特定分析地區，來比較行銷預算與商品營收、廣告觸及、廣告曝光頻率等指標之間的關係。此工具支援不同分析模型，也可以模擬不同行銷預算分配情境，並管理行銷預算。Google將此工具程式碼開源，廣告主可以審視程式運作及統計方法，並根據自己需求來調整分析模型參數。</p> <p>隨著第三方Cookie等精準追蹤瀏覽器使用者足跡的有力工具退場，業界開始重新重視用傳統統計學來追蹤行銷成效的做法。MMM便是其中之一，不從使用者級別數據來分析，而是比較不同通路行銷預算與產品營收之間的關係，雖然分析顆粒度較粗，但仍能提供整體行銷策略概觀，且不會侵犯個人隱私。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://investors.interpublic.com/news-releases/news-release-details/ipg-forges-first-market-partnership-adobe-revolutionize-content">IPG宣布將旗下所有數位行銷產品整合Adobe生成式AI內容創作產品線GenStudio</a></p> <p>2.<a href="http://https://investors.liveramp.com/news-and-events/press-release-details/2024/LiveRamp-Launches-Unified-Data-Collaboration-Platform-Featuring-Composable-Technology/default.aspx"> Liveramp推出一站式整合、分析及運用第一、二、三方數據的數據協作平臺</a></p> <p>3. <a href="http://https://www.dunnhumby.com/about-us/news/dunnhumby-and-placer-ai-strike-partnership-enabling-retailers-to-unlock-unique-door-to-purchase-customer-journey-insights/">dunnhumby和Placer.ai結合地理數據及顧客數據分析技術，為零售業者描繪消費者店內店外行為輪廓以追蹤RMN行銷成效</a></p> <p>資料來源：iThome整理，2024年3月</p> <p>責任編輯：郭又華</p> <p> </p> </div></div></div>
2024/3/23 13:01作者郭又華https://www.ithome.com.tw/news/161920
【資安月報】2024年2月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2024年2月的資安新聞與事件中，我們最關注的威脅態勢，就是全球出現越來越多逼真的偽冒行徑。這些手法並非像普遍流行的網路攻擊與詐騙手法——只是單純開個網路假帳號，或是簡單的假冒寄件者或發話方，而是經過更精心設計的複雜行動，下列兩種類型的新聞事件都是典型的例子。</p> <p>首先，今年出現使用Deepfake技術來實施傳統的商業電子郵件詐騙（BEC）詐騙的情形，因為駭客寄送釣魚郵件、假冒總部財務長召開視訊會議，導致一名跨國企業員工依照上級指示轉帳，被騙走2億港幣，等到事後向總公司確認才發現上當。</p> <p>關於這起事件，我們找到更多資訊、試圖拼湊還原事發過程的細節。例如，據多家香港媒體報導，當地網路安全及科技罪案調查科的署理高級警司指出，報案人為一家跨國公司的香港分行員工，該職員收到一封據稱是該公司駐英國財務長的電子郵件，其內容聲稱與公司秘密交易有關。</p> <p>雖然該員工當下曾經有所懷疑，但由於該會議邀請該公司數名財務職員進行多人視訊會議，該員工在加入視訊會議後，看到與會成員的影像都是他認識的同事，有著與現實相同的容貌，因此放下先前的疑慮，並依照會議中指示，陸續轉帳15次，將2億港幣轉帳到5個當地的銀行帳戶，等到後續向總部查詢，才知道受騙。</p> <p>其實2019年已有類似攻擊手法，不過當時僅針對聲音的偽冒。當時的事件是怎麼發生的？有網路犯罪者假冒受害者的德國總公司執行長，用AI軟體模擬其聲音，打電話給英國子公司的執行長，要求緊急匯款。而今年這次案件，則是同時偽冒影像與聲音。</p> <p>綜觀這次事件，突顯出Deepfake技術可能讓BEC威脅更升級。因為，以往的BEC詐騙中，欺騙受害者的管道幾乎都只是利用電子郵件，現在則是更進階，在發出召開視訊會議的網釣電子郵件後，還進一步透過Deepfake技術來偽冒老闆發出指令，在這樣的面對面溝通情況之下，讓受害者更不疑有他。</p> <p>另一項精心設計的偽冒行徑，是由加拿大多倫多公民實驗室（Citizen Lab）揭露，他們發現一起假冒世界各地的地方新聞媒體網站的行動，背後是中國公關公司所為，目的是散播有利於中國政府的假資訊，研究人員將這起攻擊行動稱為PaperWall，意味「媒體長城」。</p> <p>據Citizen Lab研究人員指出，這家中國公關公司至少架設了123個網站，以冒充歐洲、亞洲、拉丁美洲當地的新聞機構，從數量來看，以南韓、日本、俄羅斯、英國、法國、巴西、土耳其、義大利、西班牙最多，偽冒當地媒體的數量都有5個以上。而且，這起活動不同於資安業者Mandiant在2022年揭露的事件，從兩起影響輿論行動的手法來看，背後是由不同組織發起。</p> <p>之所以發現這起事件，Citizen Lab表示，是因為三個多月前，有不同國家揭露這樣的問題，像是義大利報紙 Il Foglio，揭露6個冒充義大利新聞媒體的網站，還有韓國國家網路安全中心（NCSC），揭露有18個冒充當地新聞媒體的網站，這也促使Citizen Lab進一步追查，進而發現整起冒充活動的關聯與結構。</p> <p>值得我們注意的是，Citizen Lab不只在報告中出具證據，解析手法，其實也說明揭露這類偽冒事件的意義。</p> <p>例如，研究人員強調為什麼曝光這類活動很重要，因為揭穿這些替政府做事的公司，揭穿他們的操作手法，可以讓全球更瞭解中國政府是如何利用這些公司當代理人來逃避責任。研究人員並指出，雖然目前這些網站的曝光率還低，但由於這些網站正快速增加，並且背後操控的人對於當地語言與內容，變得越來越熟悉，將存在被當地媒體引用或誤信，進而擴大報導的風險。</p> <p>整體而言，對於這類逼真的冒用行徑，無論企業、民眾都該先要對這類情資有所了解。要知道，20年前的網路世界上，用戶設立不同帳號分身、使用暱稱，以及帳號被盜就已都是常態，大家不只要注意傳統手法，現在還有更多新的逼真偽冒方式要了解，並設想是否有更好的應對方式，像是面對Deepfake技術的威脅，過去一年來已有專家指出，建立「通關密碼」來確認對方身分，或是須按照企業嚴格規定的匯款的內部流程來批准與審核；以及看到一些消息，個人應懂得自行查證以及蒐集多方資訊來邏輯思考與判斷，而臺灣面對的威脅更是嚴峻，中國輿論影響行動（IO）雖然被國際間一在強調與重視，但臺灣普遍民眾的現況是，通常缺乏關注這方面的資訊，而簡體中文要翻譯成臺灣使用的正體中文本來就容易，再加上有些人被逼真偽冒話術所騙，進一步將這些資訊轉貼到Line群組去擴散，這其實如同上述Citizen Lab對PaperWall事件的示警。無論如何，企業與民眾對於這些逼真的偽冒行徑時，需要先有認識，才能知道為何要防範。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/161180"><span style="color: rgb(178, 34, 34);">【資安週報】2024年1月29日到2月2日</span></a></strong></h2> <p>在漏洞利用相關消息中，這個星期最受關切的是，Ivanti再度成為駭客發動Zero-day攻擊的目標，該公司旗下SSL VPN、NAC產品線的零時差漏洞CVE-2024-21893已遭成功利用。這已是Ivanti本月要修補的第3個零時差漏洞。已知漏洞被成功利用的情形，同樣引發重視，最近有3起這樣的情形，而且駭客都是針對1月才剛釋出修補的漏洞。</p> <p>首先，是持續整合開發工具Jenkins的重大漏洞CVE-2024-23897，開發團隊1月24日釋出修補，但駭客很快就鎖定這個漏洞，兩日後外部已有成功濫用情形。<br /> 另一是WordPress網域遷移輔助外掛程式Better Search Replace的重大漏洞CVE-2023-6933，開發商WP Engine在兩週前釋出1.4.5版修補，資安業者Wordfence則等到1月24日才揭露這個漏洞，但公布後就已偵測到2,500起漏洞利用攻擊。<br /> 最後，是蘋果在本月上旬修補的漏洞CVE-2022-48618，月底發現已遭成功利用，由於漏洞存在於WebKit，不只iPhone、iPad、Mac電腦Apple TV受影響，後續蘋果也針對最近剛出爐的混合實境裝置Vision Pro發布修補。<br /> 還有一個漏洞修補情形，其嚴重性我們認為也要多加留意，最近Fortra揭露GoAnywhere漏洞CVE-2024-0204，該公司表示，已在12月7日釋出新版修補，但一個月後的此刻才公告這項消息。<br /> 其他重要漏洞消息，包括：Juniper Networks修補網路設備作業系統高風險漏洞，Google Cloud修補GKE的重大漏洞，以及多個Linux發行版本修補glibc程式庫的3個漏洞。</p> <p>在資安事件焦點上，這半個月來，所有資安媒體都在關注微軟公司電子郵件遭入侵的事故，因為該公司持續向外界揭露更多資訊。微軟自1月17日向美國證券交易所（SEC）提交資安事件報告後，19日更是明確指出攻擊者是Midnight Blizzard（APT29），25日他們公布更多細節，包括彙整出他們發現攻擊者的行動與手法，並說明攻擊者是如何避過偵測。</p> <p>在資安威脅態勢上，這段期間以資料外洩與勒索軟體的消息最多，我們整理如下：<br /> ●被視為OpenAI有力競爭者的AI新創Anthropic，最近通知客戶坦承他們發生資料外洩，原因是外包商不慎將客戶資料傳給第三方組織。<br /> ●施耐德電機傳出遭勒索軟體Cactus攻擊，導致Resource Advisor能源監測雲端平臺服務中斷，數TB公司內部資料遭竊。該公司在網站公告發生資安事件，說明僅影響其永續發展業務部門，正採取復原的補救措施。<br /> ●英國美容保養品牌業者Lush在官方網站發布資安事件公告，先於1月11日揭露事件，30日證實成為勒索軟體受害者。另一方面，勒索軟體組織Akira宣稱是他們所為，並竊取了110 GB資料。<br /> ●有勒索軟體諮詢服務業者Coveware揭露最新勒索軟體的季度報告，我們看到幾個重點，例如，2023第四季前4大勒索軟體為Akira、BlackCat、Lockbit、Play，5到8名均為新入榜，分別是Silent、Medusa、NoEscape、Phobos。報告中也提到受害者付贖金的比例已不到3成，再創新低。</p> <p>在資安防禦態勢上，有兩則新聞備受關注，分別是反制國家級駭客攻擊，以及車聯網安全的進展。<br /> 例如，針對去年攻擊美方關鍵基礎設施的中國駭客組織Volt Typhoon，最近美國司法部宣布已採取行動，成功破壞該組織打造的殭屍網路與掌控的網路設備，也就是針對受感染的網路裝置，刪除當中的KV Botnet殭屍網路病毒，並將通知裝置所有者，以及給予防護建議，另也針對SOHO裝置製造商給予Secure by Design的指引；第一屆Pwn2Own Automotive汽車駭客大賽在東京舉辦，透過獎勵機制，來鼓勵資安研究人員發現並且負責任地揭露安全漏洞，漏洞競賽類別涵蓋Tesla、車載資訊娛樂(IVI)系統、電動車充電器與作業系統，這場活動共找出49個漏洞。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/161338"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年2月5日到2月17日</span></strong></a></h2> <p>在2月農曆春節前後，剛好適逢多家廠商發布每月安全更新，包括微軟、Adobe、SAP等多家IT業者，在掌握這些漏洞修補動向之餘，這期間有不少漏洞利用情形，更是需要企業優先重視。我們整理如下：</p> <p>有3個零時差漏洞已遭成功利用：<br /> ●Fortinet在2月8日修補已遭利用的零時差漏洞CVE-2024-21762，這是存在該公司SSL VPN元件的RCE漏洞。<br /> ●微軟在2月13日修補73項漏洞中，有兩個是已遭利用的零時差漏洞，分別是：可繞過網際網路捷徑檔安全功能的CVE-2024-21412，以及可繞過Windows SmartScreen安全功能的CVE-2024-21351。</p> <p>還有4個已知漏洞，近期被發現遭攻擊者利用，首先是微軟修補Exchange伺服器重大漏洞CVE-2024-21410後，隔日該公司示警有攻擊利用，其他包括：Roundcube郵件伺服器去年9月修補的漏洞CVE-2023-43770、Google去年9月修補Chromium V8類型混淆漏洞，以及思科2020年5月修補防火牆產品的資訊洩漏漏洞CVE-2020-3259。</p> <p>另外，有研究人員揭露名為EventLogCrasher的漏洞，需留意後續修補動向，還有要注意關於DNSSEC的漏洞揭露與修補。</p> <p>在資安事件方面，有3項消息成為焦點，都與上櫃及興櫃公司有關，包括：<br /> ●2月5日，上櫃化學工業美琪瑪的部分資訊系統遭受網路攻擊。<br /> ●同樣2月5日，上櫃觀光富野說明旗下分公司的資訊系統遭網路攻擊。<br /> ●2月15日，興櫃瑩碩生技代子公司公告，揭露歐帕生技醫藥遭遇網路攻擊事件。</p> <p>在這些公告之後，還有其他狀況發生，在此一併補充。關於上述美琪瑪遭網路攻擊，有駭客2月16日於論壇聲稱兜售該公司2TB資料；中華民國紡織業拓展會（紡拓會）也傳出可能遭駭，因為他們被一個勒索軟體組織列為受害者，這類法人協會被鎖定的狀況，可能同樣需要追蹤。</p> <p>醫療健保相關產業也要注意，因為國際上最近有2起相關重大資安事故，例如，羅馬尼亞有1百多家醫院遭網路攻擊，當地網路安全局及衛生部已證實，是醫院服務供應商遭到Backmydata勒索軟體攻擊；法國健保業者客戶傳出資料外洩，由於事件恐波及該國近半數民眾，當地的資料保護機構CNIL針對提供第三方支付的兩家公司Viamedis與Almerys進行調查。</p> <p>其他還有現代汽車歐洲分公司傳駭，傳出是遭勒索軟體Black Basta攻擊，以及美國銀行證實資料外洩，調查起因為供應商遭駭。</p> <p> 在威脅焦點方面，最近有相當多起資安威脅的揭露，都與中國駭客網路攻擊有關，我們整理如下：<br /> ●資安業者Trellix最近指出，臺灣總統大選投票前一天遭受網路攻擊出現大幅增加，根據他們的遙測資料顯示，部分惡意流量特別針對政府、執法與金融單位。<br /> ●資安業者SentinelOne揭露，中國當局在2022年宣傳美國對其發動駭客攻擊，調查其宣傳內容發現，中國的指控普遍缺乏相關的技術分析及證據。<br /> ●荷蘭軍事情報暨安全局（MIVD）、情報暨安全總局（AIVD）發布聯合公告，指出該國國防部去年遭中國網路間諜入侵，並被植入後門程式。<br /> ●關於LLM被國家級駭客惡意使用，微軟與OpenAI揭露濫用方式，包括查詢開源資訊、翻譯、找程式碼漏洞等，並指出中、俄、伊、北韓駭客組織都已這麼做。</p> <p>特別的是，繼2023年11月義大利報紙 Il Foglio揭露6個冒充義大利新聞媒體的網站，以及韓國國家網路安全中心（NCSC）揭露18個冒充當地新聞媒體的網站，最近<a href="https://citizenlab.ca/2024/02/paperwall-chinese-websites-posing-as-local-news-outlets-with-pro-beijing-content/">加拿大公民實驗室（Citizen Lab）發表名為Paperwall的報告</a>，揭露至少有123個網站冒充歐洲、亞洲、拉丁美洲當地的新聞機構，目的是宣傳親中內容，經層層追蹤這些網站後發現，都與1家中國公關公司有關，並指出不同於Mandiant在2022年揭露的事件，背後是不同組織在發動影響輿論行動。本期的資安日報尚未提及，在此補上。</p> <p>其他值得關注的威脅手法，我們認為有3項消息需要特別重視：<br /> ●香港警方表示，跨國企業員工因為駭客利用Deepfake技術假冒公司主管參加視訊會議，並指示員工轉帳2億港幣，等到事後向總公司確認才發現上當。<br /> ●關於QR Code網釣，有郵件安全業者研究多半是針對高階主管而來，比一般員工高出42倍。<br /> ●資安業者分析能迴避資安防護系統的惡意程式，發現有7成惡意程式會採用隱形（stealth-oriented）手法。</p> <p>在資安防護方面，有兩個重要新聞，分別是對於勒索軟體與量子破密的因應。針對2023年下半造成重大災情的勒索軟體Rhysida，最近有南韓國民大學研究人員找出其實作漏洞進而破解，後續將提供免費解密工具；近年國際間持續看重後量子密碼學的發展，最近Linux基金會更是宣布，與AWS、Cisco、Google、IBM與Nvidia等11個組織成立後量子密碼學聯盟PQCA，希望透過建立開放與合作的環境，開發用於評估、原型設計與部署後量子演算法的軟體。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/161463"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年2月19日到2月23日</span></strong></a></h2> <p>這星期釋出的安全性漏洞消息，以ConnectWise在19日修補遠端桌面軟體ScreenConnect的漏洞CVE-2024-1709，最受關注，因為在公告的隔日，就發現有駭客開始鎖定利用，該業者也在20日示警、公布入侵威脅指標（IoC），並在21日針對已結束維護支援服務的用戶內部環境建置版本，提供最新升級。</p> <p>在資安威脅焦點方面，最大消息就是勒索軟體LockBit組織的伺服器被攻破。在英、美等10國家聯合發起的打擊行動之下，已接管其技術基礎設施與資料外洩網站，並凍結相關加密貨幣帳戶，美方也拘留兩名利用LockBit服務的聯盟夥伴，並公布新起訴兩名發動攻擊的俄羅斯人。</p> <p>由於全球已有上千家企業組織遭受LockBit的危害，因此這次國際查緝行動具有相當大的意義。我們也注意到，在此次行動成果公布後，在打擊勒索軟體網路犯罪的No More Ransom計畫網站，已釋出由日本警方打造的相關解密工具。</p> <p>還有前陣子農曆過年期間，有南韓研究人員發表破解勒索軟體Rhysida的論文，如今在No More Ransom平臺上，也有資安業者Avast釋出的相關解密工具。</p> <p>另一件大消息，是中國資安業者「安洵信息」傳出資料外洩，意外曝露該國政府對全球各國發動網路間諜行動的情況，引發國際關注。研究人員指出，這些資料很有可能來自該公司專門研發間諜軟體的部門。根據外洩資料的內容顯示，該公司替客戶（中國政府）滲透印度、泰國、越南、韓國、臺灣、馬來西亞、北約組織的政府機關，曾開發攻擊工具RAT木馬程式Hector，以及外觀與行動電源相似的「Wi-Fi 抵近攻擊系統」，同時也經營DDoS攻擊業務，還有APT攻擊與間諜行動業務。日後是否有更進一步的研究分析，值得持續追蹤。</p> <p>關於最新威脅態勢的揭露上，我們注意到4個值得留意的技術手法與狀況：</p> <p>●資安業者揭露網釣簡訊攻擊背後的新手法Smishing，他們發現濫用AWS SNS簡訊服務的惡意Python腳本，並指出這是雲端攻擊工具中前所未見的技術。</p> <p>●駭客不斷挖掘出Ivanti Connect Secure的零時差漏洞並成功利用，因此有研究人員針對這樣的狀況進行分析，發現其系統採用許多老舊、已終止支援的元件。</p> <p>●關於網路犯罪組織在臉書投放詐騙廣告，資安業者揭露使用竊資軟體VietCredCare的攻擊者，正鎖定大量越南企業臉書帳號，並在接管帳號後用以實施臉書詐騙。</p> <p>●網路拓樸架構呈現工具SSH-Snake被駭客濫用於攻擊行動，資安業者指出，這是竊取SSH金鑰的新手法，該工具還具有主動修改和無檔案的特性，若採用靜態偵測的作法，會不容易找到。</p> <p>還有多個惡意威脅的最新動向，源自不同資安業者的揭露，包括勒索軟體RansomHouse組織使用新的自動化工具MrAgent，來鎖定虛擬化平臺VMware ESXi平臺，以及惡意程式TicTacToe Dropper，殭屍網路病毒Glupteba，還有商業間諜公司掌握「多媒體簡訊指紋（MMS Fingerprint）」技術的細節。</p> <p>最後值得一提的是，國內再傳上市櫃公司遭遇資安事件，已是今年第7起上市櫃公司因資安事件發布重大訊息。以散熱風扇聞名的上市大廠建準，19日公告當天凌晨遭遇加密攻擊。該公司表示，已確認公司資料沒有外流，資訊系統當日可修復。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/161587"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年2月26日到3月1日</span></strong></a></h2> <p>告別2月，迎接3月，我們要提醒大家注意的資安消息，包括兆勤、Canon、思科的漏洞修補消息，以及開源軟體存在Wi-Fi身分驗證繞過漏洞的相關修補，需要企業著手因應之外，特別的是，還有兩個與微軟有關的漏洞利用，這些問題都必須重視，請用戶及早修補或實施緩解機制。<br /> （一）微軟在2月修補的漏洞CVE-2024-21338，通報此漏洞的資安業者Avast最近指出，發現修補前已有北韓駭客組織Lazarus利用，以關閉特定的防護處理程序、迴避偵測。由於上述狀況的發生，也表示此弱點已導致零時差漏洞攻擊。<br /> （二）去年6月微軟修補微軟Streaming Service相關漏洞<a href="https://www.cisa.gov/news-events/alerts/2024/02/29/cisa-adds-one-known-exploited-vulnerability-catalog">CVE-2023-29360，這是存在於驅動程式mskssrv.sys的權限提升漏洞，近日發現鎖定利用的情形</a>。這段時間的iThome資安日報尚未提及，在此補上。<br /> 另外，前幾期週報我們已提醒的Ivanti Connect Secure漏洞，以及ScreenConnect漏洞，如今傳出中國駭客與多個駭客團體正鎖定攻擊的情形，尚未因應的企業需要趕緊行動。</p> <p>在資安事件方面，國內有3項消息受到矚目，都與上市公司有關，包括：<br /> ●2月26日，上市綠能環保、PCB廢液處理業者昶昕公告，部份資訊系統遭受駭客網路攻擊事件。<br /> ●2月29日，中華電信因媒體報導有人在暗網兜售該公司的內部資料，發布重大訊息，表明資安團隊查知疑似資料外流的情況，正展開調查。<br /> ●2月27日，散熱風扇廠商建準在一星期前已公告發生網路資安事件，但這天再次發布新的重訊，說明該事件的後續處理情形。</p> <p>在資安威脅焦點方面，上星期發生的兩起重大事件，都有後續消息傳出。例如，才被11個國家執法單位圍剿的勒索軟體駭客組織LockBit，已傳出重起爐灶的消息；關於中國資安業者「安洵信息」的資料外洩，曝露該國政府對全球20國發動網路間諜行動的情況，後續有更多與臺灣資安現況有關的內容被分析出來，像是國外研究人員指出，當中蒐集了臺灣道路地圖檔案的情資，已竊取495 GB的相關檔案，臺灣資安業者TeamT5亦指出，當中透露該公司與中國政府打交道的情形，產品細節與財務，以及上報RAT木馬程式ShadowPad開發的細節，顯示這批資料的可信度相當高。</p> <p>其他最新威脅態勢的揭露上，我們注意到5個值得留意的狀況，其中有3則是多國網路安全機構的示警：<br /> ●AI開發者與用戶要當心！近日有兩起資安新聞，一是機器學習模型共享平臺Hugging Face出現100個惡意模型，不慎下載恐將被安裝後門程式，另一是AI影片編輯平臺Cutout.Pro傳出資料外洩，2千萬名會員個資流入駭客論壇。<br /> ●電信業者注意！有研究人員揭露駭客近期使用的後門程式Gtpdoor，主要針對鄰近GPRS交換網路（GRX）的電信網路環境入侵，並將攻擊流量混入合法流量，隱匿攻擊行動。<br /> ●德國BfV、韓國NIS提出警告，北韓駭客針對全球國防單位從事網路間諜行動，這份警告也揭露當中存在供應鏈攻擊的狀況：對方入侵維護廠商竊取SSH帳密，從而存取海事及航運研究中心的Linux網頁伺服器主機。<br /> ●10國執法機關聯手針對俄羅斯駭客組織APT28的攻擊行動提出警告，指出攻擊者正鎖定Ubiquiti路由器入侵，並濫用EdgeRouter迴避偵測、建置殭屍網路，以隱匿攻擊行動。<br /> ●<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a">美國CISA</a>與<a href="https://www.ncsc.gov.uk/files/Advisory-SVR-cyber-actors-adapt-tactics-for-initial-cloud-access.pdf">英國NCSC</a>示警，俄羅斯駭客組織APT29（亦稱Midnight Blizzard）是俄羅斯情報部門SVR的一部分，近期經常針對服務帳戶使用密碼噴灑攻擊，以取得對雲端環境的初始存取權限。本週刊出的資安日報尚未提及，在此補上。</p> <p>還有一個威脅態勢，我們認為也相當值得企業警惕，是棄用的子網域名稱遭濫用，有攻擊者正進行這方面的大規模網路掃描，以奪取控制權，進而盜用企業身分發動網路釣魚攻擊。近期已有MSN、VMware、eBay等多家企業的網域遭利用，這也突顯即使大型知名企業，仍可能在這方面產生疏忽。</p> <p>至於防禦態勢上，最大焦點就是美國NIST正式發布了網路安全框架CSF 2.0，新版不僅加入治理功能，還有一系列的資源與工具，讓企業更容易去實踐。例如，在5種快速入門指南中，有小型企業（SMB）適用的快速入門指南，在CPRT工具中則針對各項子類別，提供了易於理解的實踐範例。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/161237">2024年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160880">2023年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160289">2023年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159582">2023年10月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159207">2023年9月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158650">2023年8月資安月報</a></h3> <h3> </h3> <h3> </h3> </div></div></div>
2024/3/23 10:15作者羅正漢https://www.ithome.com.tw/news/161921
AI趨勢周報第247期：國科會揭半導體AI人才策略、TAIDE進展和氣象AI規畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0315～0321)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 人才 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國科會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> TAIDE </span></strong></span></p> <p><span style="font-size: 22px;"><strong>國科會揭半導體AI人才策略、TAIDE進展和氣象AI規畫</strong></span></p> <p>3月20日，國科會召開第10次委員會議，揭露半導體AI人才和淨零策略，以及國產大語言模型TAIDE進展和氣象AI的運用計畫。就人才策略來說，國科會聯手國發會、經濟部、數位部、環境部、教育部、金管會等部會，根據2023年行政院科技顧問會議結論定出策略，目標是要延攬國際人才、培育國內人才，尤其是AI實作人才，實際作法則是要以獎勵制度提高技職體系育才、促進大學與產業合作，並推動AI全產業應用。此外，政府也將完善AI法制、資料基礎和運算環境。同時，他們還要利用AI和ICT優勢，來發展淨零科技，前陣子提出的晶創臺灣方案和淨零科技方案，就是這些策略的具體措施。</p> <p>再來，國科會TAIDE團隊一方面盤點公、私部門資料，並個別洽談授權，整理了89.4GB的優質繁體中文資料，另一方面在去年12月，將超級電腦臺灣杉二號整合新購入的H100 GPU運算資源，並正式提供運算服務。而可商用的TAIDE-7B版本和限學研用的TAIDE-13B版本，已具備多輪對話和阻絕產生不恰當回應的能力，另也透過產學研合作打造不少應用，如智慧客服、行政常見問題回應、農業知識問答和中小學臺語教學等，接下來將重點支援公部門導入TAIDE，並預計4月中旬開源釋出TAIDE-7B。</p> <p>另一方面，交通部氣象署也要運用AI，來提高氣象測報和防災預警能力。他們已規畫AI發展藍圖，要先打造良好的GPU運算環境，以利於AI應用和研發。同時，他們也要導入新技術，來提供鄉鎮尺度災害天氣特報資訊，還要建置金馬雷達，來擴大氣象雷達網拼圖，目標是要在劇烈天氣發生前的3至6小時提供預警。最後，他們也要擴大氣象大數據資料集，作為氣象科技、AI應用的發展基礎。<a href="https://www.nstc.gov.tw/folksonomy/detail/6c27e893-284a-4c67-8b29-d82ac76a2a5f?l=ch">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微服務 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Nvidia推生成式AI微服務</strong></span></p> <p>在今年度GTC大會上，Nvidia宣布在Nvidia AI Enterprise 5.0平臺新添數十款生成式AI微服務，可分為NIM和CUDA-X兩大類別，前者主要提供最佳化的推論微服務，好來大規模部署AI模型，後者則瞄準需要資料處理、AI與高效能運算的各種應用。</p> <p>其中，NIM是個容器化的推論微服務，內含預建的容器、產業標準API、特定領域程式碼和最佳化的推論引擎等，要縮小企業營運需求和AI部署間的差距，可將模型部署時間從幾周縮短至幾分鐘。CUDA-X則提供端對端的建置組塊，來支援資料準備、客製化和訓練工作，加速AI開發，如客製化語音與翻譯AI的Nvidia Riva微服務、路徑最佳化的Nvidia cuOpt或高解析度的天氣模擬Nvidia Earth-2等。Nvidia表示，企業可在不同基礎設施上部署這些微服務，如AWS、Google Cloud、Azure或Oracle Cloud Infrastructure。<a href="https://nvidianews.nvidia.com/news/generative-ai-microservices-for-developers">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蘋果 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大語言模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MM1 </span></strong></span></p> <p><span style="font-size:22px;"><strong>蘋果發表多模態大型語言模型MM1</strong></span></p> <p>繼去年底發表的多模態大型語言模型（MLLM）Ferret後，蘋果最近再發表另一個多模態系列模型MM1，最大型的版本具備300億參數。在開發這套模型前，蘋果團隊先是研究了各種多模態模型架構和資料選擇，比如圖像編輯器、視覺語言連接器和各種預訓練資料等，他們因此歸納出幾個重要發現。舉例來說，要讓多模態預訓練模型在多種基準測試中，達到少樣本SOTA等級的表現，就得採用謹慎設計的訓練資料集，包括圖像搭配圖說、穿插搭配文字的圖像、純文字資料。而且，圖像編輯器加上影像解析度與圖像Token數量，也對模型表現有重大影響，視覺語言連接器的影響力反而可忽略不計。</p> <p>於是，他們以這些發現為基礎，擴展後打造出MM1系列模型，包含密集模型和混合專家（MoE）架構變體，兩種都在預訓練指標中達到SOTA水準，且經過監督式微調後，還在多個基準測試中達到不錯的表現。受益於大規模預訓練，MM1具有更好的脈絡學習能力、多圖像推理能力，也能處理少量的思維鏈指令。<a href="https://arxiv.org/abs/2403.09611">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-03-23%20at%201_23_47%20AM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Grok-1 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> xAI </span></strong></span></p> <p><span style="font-size:22px;"><strong>xAI開源大型語言模型Grok-1</strong></span></p> <p>馬斯克去年成立的AI新創xAI，日前開源自家聊天機器人Grok底層大型語言模型（LLM）Grok-1，具3,140億個參數，採用混合專家架構，包括8個專家模型。這種架構，對任何Token的運算只會使用25%權重（即參數）。xAI表示，目前開源的Grok-1，是未經任何微調的基礎模型，而就表現來說，Grok-1在GSM8k、MMLU、HumanEval與MATH等基準評測上雖然尚未超越GPT-4，但都勝過GPT-3.5。Grok-1採Apache 2.0授權，可進行商業使用和修改，但無法註冊商標。<a href="https://github.com/xai-org/grok-1?tab=readme-ov-file">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 皮膚 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資料集 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google公開皮膚病狀圖片資料集</strong></span></p> <p>有鑒於當前皮膚科影像資料集的不足，Google聯手史丹佛大學醫學院，收集各種膚色、身體部位皮膚病狀的照片，然後發表皮膚病狀圖像網路（SCIN）資料集。這個資料集的出現，補足了臨床皮膚疾病資料集的不足，還能提高AI模型通用性。</p> <p>進一步來說，SCIN資料集經仔細設計，透過新型群眾外包方式，收集各種條件的照片、詳細的貢獻者資訊，以及專業皮膚科醫師的標註。SCIN資料集收錄超過1萬張皮膚、指甲和頭髮狀況的圖像，這些圖像由本人自願貢獻，提供特寫和較遠距離的版本。這些照片還由一到三位皮膚科醫生標註，給出最多5個皮膚病狀，並附上每個標籤的信賴分數。Google表示，資料集包含單獨的標籤，以及衍生的聚合和加權差異診斷，可用於模型測試和訓練。<a href="https://blog.research.google/2024/03/scin-new-resource-for-representative.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj1QMRINpok_qmh5jjtktgqytapBRfHWDFxLKffzY9L_jG8uE8oJXA7QwtGY76gPksw5EH0yLuO7Ihk3IitXQDCjQ54DXlxFtpClbIIZzZAb6fDufHR-aW1m81cAMBqxmPIZsN8p3VYlys8b9cczZOzI-VB9d1Nwzk8nCnPTSCDwwh1fmEf4Q8DRdJHo6dR/s16000/image4.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Stability AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 3D </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 多視角 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Stability AI開源多視角影片生成模型SV3D</strong></span></p> <p>Stability AI以Stable Video Diffusion模型為基礎，開發一套Stable Video 3D（SV3D）模型，不只能生成高品質的3D多視角影片，品質還比前幾代好，效能也優於複雜的Zero123-XL模型。</p> <p>Stable Video 3D模型有兩個版本，分別是SV3D_u和SV3D_p。其中，SV3D_u能用單一圖像，不需使用者設定攝影機參數，就能生成環繞物體的連續視角影片，而SV3D_p則在SV3D_u基礎上，不僅支援單一圖像生成影片，還能根據環繞物體的影片，生成指定攝影機路徑的3D影片。目前，Stable Video 3D供Stability AI會員使用，商業運用也可以。至於非商業用途，開發者可在Hugging Face下載模型權重，並參照Stability AI研究論文。<a href="https://stability.ai/news/introducing-stable-video-3d">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-03-23%20at%201_30_08%20AM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPU </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Blackwell </span></strong></span></p> <p><span style="font-size:22px;"><strong>新一代高效能GPU來了，Nvidia發表Blackwell</strong></span></p> <p>Nvidia在今年度GTC開發者大會上，發表新一代專為生成式AI設計的處理器Blackwell，各大科技巨頭如AWS、微軟、Meta、OpenAI、Dell、Google、甲骨文、Tesla和xAI等都計畫採用。</p> <p>由於生成式AI和多模態AI模型訓練需求越來越高，對運算的需求也日益增溫，Blackwell就是為解決這一挑戰而誕生。它是新一代GPU架構，是兩年前推出的Hopper架構的繼任者。Blackwell GPU是由2,080億個電晶體組成，採客製化的台積電4NP製程，所有Blackwell產品都配備2個具光罩限制的晶粒，藉每秒10TB的晶片互連技術，產生一個強大的GPU。此外，Blackwell支援第二代Transformer引擎，可加速大型語言模型和專家混合模型（MoE）的推論與訓練，並提高精度和準確度。而且，Blackwell在訓練上的FP8效能是Hopper的2.5倍，推論的FP4效能是Hopper的5倍，採用第5代NVLink技術則可達到Hopper的兩倍快。<a href="https://blogs.nvidia.com.tw/2024/03/19/nvidia-blackwell-platform-arrives-to-power-a-new-era-of-computing/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-03-23%20at%201_31_10%20AM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 人形機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基礎模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia也拼人形機器人大腦，揭露通用基礎模型專案GR00T</strong></span></p> <p>在今年度GTC開發者大會上，Nvidia揭露全新專案Project GR00T，是一款專為人形機器人設計的通用基礎模型，可作為機器人大腦，來推動機器人技術和具體化AI（Embodied AI）領域研究。</p> <p>Nvidia正開發各種GR00T技術，例如GR00T本身就是在Omniverse Isaac Sim模擬平臺上的iIsaac Lab應用進行模擬，並在雲端運算調度服務OSMO上進行訓練、部署至新的運算平臺Jetson Thor。其中，Jetson Thor是一款Thor系統單晶片的人型機器人電腦，能執行複雜任務、安全地與人類和機器人互動。負責具體化AI的Nvidia研究經理Jim Fan指出，Project GR00T可讓機器人理解多模態指令，如語言、影片或示範，還能執行各種有用任務。Nvidia正在與全球主要的人形機器人業者合作，來將GR00T部署到各種人形機器人上。<a href="https://nvidianews.nvidia.com/news/foundation-model-isaac-robotics-platform">（詳全文）</a></p> <p>圖片來源／蘋果、Stability AI、Google、Nvidia</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Google發表UI與資訊圖表理解模型ScreenAI</strong></p> <p><strong>2. Amazon SageMaker整合Nvidia NIM推論微服務</strong></p> <p>資料來源：iThome整理，2024年3月</p> </div></div></div>
2024/3/23 01:35作者王若樸https://www.ithome.com.tw/news/161923
DEVCORE資安研討會登場，揭露最新攻擊技術手法與企業資安破口
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以紅隊演練聞名的臺灣資安業者DEVCORE戴夫寇爾，在上週六舉行年度研討會DEVCORE Conference 2024，探討駭客創新攻擊技術和手法，以及他們所看到的實際企業資安風險。雖然這是付費的資安技術活動，仍吸引近400名來自資安業界、學界人士參與。這是DEVCORE繼2019、2023年之後，第三度舉辦。</p> <p>這次大會首場演講聚焦企業普遍採用的Active Directory（AD），戴夫寇爾表示，過去常見的3種攻擊AD手法，現在多數企業都已經能夠防範，但有新的威脅面向要注意。</p> <p>根據DEVCORE的紅隊演練經驗，他們發現超過9成企業都安裝AD CS憑證服務（Active Directory Certificate Services），卻有7成沒做好安全設定，因此，關於攻擊者會如何利用這些疏漏，了解相關風險的類型，以及如何避免，是企業必須關注的重要議題。</p> <p>以AD安全方面而言，的確是國內企業必需關注的一大重點。其實DEVCORE先前對這方面就非常關注，例如，我們在2022年看到他們與另一家資安業者奧義智慧，共同向外界揭露國內AD防護現況，並指出他們看到哪些常見問題，像是近8成企業環境可從DMZ區直接存取AD等。不只上述兩家廠商，還有TXOne Networks等不同資安業者，近年持續在國內大型研討會上公布這方面的最新討探與研究，闡述AD管理的挑戰，以及AD安全防護的重點。</p> <p>這次DEVCORE Conference 2024的另一場演講，則是關於網站應用程式防火牆（WAF）的深度解析，戴夫寇爾派出專家介紹這類產品的處理流程、偵測機制與阻擋手段，並提醒目前存在前後端解析不一致的問題，需多加注意。</p> <p>關於這方面的議題，雖然討論聲浪不如AD安全那麼高，但回顧過去，多年前DEVCORE也曾談及WAF不良設定的安全風險，這次再有前後端解析不一致的深度解析，顯現他們持續看重這方面的議題，應也期盼更多企業與研究人員能有更多相關探討。</p> <p>除此之外，本次大會還介紹了多種創新的攻擊技術議題，包括旁路攻擊手法、紅隊工具開發、Pwn2Own 2023國際大賽的參賽心路等。而且，這次DEVCORE也首度特別邀請其他研究人員，由奧義智慧的專家來從藍隊身份、紅隊視角，提供不同的攻擊思路的探討。</p> <p>另外特別值得一提的是，關於DEVCORE公司本身的概況，該公司執行長翁浩正提到一個新的轉變，是他們這家資安公司現在已經開始實施週休三日，希望促進員工工作效率的提升。或許也是希望能更好招募資安人才。</p> </div></div></div>
2024/3/22 16:06作者羅正漢https://www.ithome.com.tw/news/161917
夠用就好！重新審視品質開支
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>凡事勿過猶不及、秉持中庸之道，是許多人耳熟能詳的處世原則，卻很難做到，例如，我們都想兼顧工作品質、產量、速度的要求，現實卻經常是顧此失彼，雖然有新科技的幫忙，但既有的作業模式往往很難改變，因為大家高興可能得以用輕鬆的方式增加生產能力之餘，還是擔心品質是否因此受到影響而卻步。</p> <p>就像在生成式AI應用崛起的此刻，每個資訊工作者可能都在思考該積極擁抱AI，以此取代大量手動操作，或是要花時間、心力研究，找出與AI合作的方法，希望兼顧提高效率與滿足精確度的要求。而這樣的場景，過去已在我們的身邊重演過好幾次。</p> <p>無論我們是否接受，人類社會越來越依賴科技已是事實，在許多領域當中，純手工的作業越來越罕見，我們早就在很多層面與機器形成共同合作的關係，甚至交給它們全自動處理，然而，還是有許多工作，我們認為還是要自己動手處理，因為相關科技還沒發展到讓人完全信賴的地步。</p> <p>能否接受新科技的另一個關鍵，在於不同時代、地區人們（顧客）對品質的要求有多高，以及對產量、速度的要求是否高過品質，而使得我們（生產者）必須妥協，採取因時因地制宜的策略。</p> <p>這讓我想到最近聽Podcast斐姨所思專訪前台積電研發處處長楊光磊，被問到日本晶圓製造面臨的挑戰時，他回答「效率」會是關鍵，因為日本引以為傲、舉世聞名的職人精神、重視品質，有可能成為效率提升的阻礙。接著他用品質成本（Cost of Quality）的概念解釋，為了提高品質，工作者必須投入很多心力，而台積電的作法是「just enough！只要客戶可以用的，就可以了」。由此可知可是關鍵是務實，而非不顧一切代價地追求極致品質或產量。</p> <p>論似觀察不僅這個專訪提及，我曾在多位長期居住臺灣的國外YouTuber影片看到，當他們談論臺灣優勢時，經常讚揚臺灣人做事不拖泥帶水，無論到公務機關、銀行、郵局洽公，或是到便利商店、連鎖超市、量販店，都展現絕佳服務品質和效率。而對於企業或民眾而言，都很重視「降低成本」，很多人都把Cost Down、Cost Saving掛嘴邊（正式用語應為cost reduction或是lower the cost），採購產品與服務時，大家也都習於精打細算，追求高性價比（CP值）是常態。</p> <p>這樣的成果並非一蹴可幾，早年Made In Taiwan傳遞的形象是臺灣產品大量外銷，但品質未必不如顧客的期待，經過多年努力、持續提升，如今來自臺灣的產品與服務，已在許多領域獲得全球市場肯定，一方面顯示我們在品質、產量、速度等層面的表現上，有著長足的進步，另一方面可能也反映臺灣的務實精神。</p> <p>為何我這次會以「夠用就好」為題來描述這個價值觀？還有一個原因是今年全球IT熱烈關注的FinOps議題。</p> <p>iThome電腦報週刊近期有幾篇文章，可呼應這件事的討論。首先是1月初發表的封面故事《2024年CIO要知道的IT趨勢》，FinOps就是名列第二大議題。透過我們的採訪主任余至浩撰寫的<a href="https://www.ithome.com.tw/news/160676" target="_blank">〈雲成本增長帶動財務管理新需求，FinOps新思維崛起〉</a>，突顯企業更廣泛採用雲端服務之後，面臨IT成本增加的財務管理壓力，因而積極尋求對策。</p> <p>另一個相關的系列文章，是由我們的總編輯吳其勳寫的<a href="https://www.ithome.com.tw/news/160659" target="_blank">〈搶救IT失傳技藝，亞馬遜技術長倡議節約架構〉</a>，說明雲端服務龍頭廠商AWS提出的節約架構（Frugal Architect）」設計法則，促使大家將成本意識納入軟體架構設計，達成永續目標。</p> <p>關於這些討論，在在提醒一句大家都知道的諺語：「天下沒有白吃的午餐」，在關注技術發展同時，不只注意既有與新進解決方案的效能，例如，大（支援大規模使用）、快（能在最短時間得到結果）、準（使命必達、精確完成指定工作），以及便利（操作簡便）等特性，判斷是否符合自身所需之餘，也必須充分體認取捨後的代價，無論是純手工、半自動、或是全自動，我們都必須對最終品質的呈現負起責任，並且持續觀察顧客在乎品質的程度是否有明確的變化，如此一來，對於品質的提升與確保就能找出合理、可接受的邊界，因為大家都不希望陷入得不償失的局面，賠上誠信與名譽。</p> <p><span style="font-size:20px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/160676" target="_blank"><span style="color:#3399ff;">雲成本增長帶動財務管理新需求，FinOps新思維崛起</span></a></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/160659" target="_blank"><span style="color:#3399ff;">搶救IT失傳技藝，亞馬遜技術長倡議節約架構</span></a></strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/finops">FinOps</a></div><div class="field-item odd"><a href="/tags/%E6%88%90%E6%9C%AC">成本</a></div><div class="field-item even"><a href="/tags/%E8%BB%9F%E9%AB%94">軟體</a></div><div class="field-item odd"><a href="/tags/%E6%B0%B8%E7%BA%8C">永續</a></div></div></div>
2024/3/22 16:53作者李宗翰https://www.ithome.com.tw/voice/161918
Apple Ｍ系列處理器允許攻擊者發動微架構旁路攻擊，竊取加密演算法機密金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員發現Apple M系列處理器，允許攻擊者執行<a href="https://gofetch.fail/">GoFetch</a>的微架構旁路攻擊，透過資料記憶體依賴預取器（Data Memory-dependent Prefetcher，DMP），從執行常數時間的加密演算法中擷取機密金鑰。</p> <p>研究人員現在已經實現從OpenSSL的Diffie-Hellman、Go RSA，以及CRYSTALS專案的Kyber與Dilithium加密演算法擷取機密金鑰。目前已知受影響的Apple晶片包括M1、M2和M3型號，研究人員特別強調，雖然Intel的第13代Raptor Lake微架構同樣也有DMP，但是因為其啟動標準更嚴格，因此較具抵禦GoFetch攻擊的能力。</p> <p>GoFetch攻擊要從常數時間程式開發解釋起，常數時間程式開發是一種範式，可以確保所有操作花費相同的時間，來強化程式碼抵禦旁路攻擊的能力。在非常數時間的演算法中，加密程式可能會因為不同的輸入或是金鑰，導致執行速度更快或更慢，使得攻擊者可以測量這些時間差，獲得加密過程或是金鑰的資訊。</p> <p>要符合常數時間程式開發範式，程式碼中不能包含依賴機密的分支、迴圈和控制結構，而且因為攻擊者也可以觀察CPU快取不同記憶體位置的延遲，來推斷儲存在記憶體中的資訊，因此常數時間演算法也不能以任何方式混合資料和位置，並禁止使用相依於機密的記憶體存取或是陣列索引。</p> <p>而GoFetch攻擊成功的關鍵，就是即便加密演算法按照常數時間程式開發原則，將資料與記憶體位址分開，由於DMP的存在，仍然可能產生與機密資料相依的記憶體存取行為，這種機制導致常數時間的演算法實際程式執行時間變得不一致，而這種時間變化就可被攻擊者觀察並利用，進一步擷取金鑰破解加密。</p> <p>導致常數時間加密失效的DMP是一種CPU功能，在Apple的M系列CPU上都有，研究人員對M系列CPU進行逆向工程，發現DMP會啟動並嘗試解引用（Dereference），從類似記憶體位置載入資料，研究人員提到，這樣的DMP機制明顯違反常數時間程式開發範式中，禁止混合資料和記憶體存取模式的要求。</p> <p>攻擊者便可以利用這項缺陷，精心設計加密操作來猜出金鑰。研究人員安排加密操作的輸入，只有當猜中金鑰部分位元時才出現類似指標的值，而透過分析快取時序，監控DMP是否執行解引用來驗證猜測，如此研究人員便可以逐批猜測金鑰位元。根據研究人員發表的論文，他們已成功破解了包括OpenSSL Diffie-Hellman金鑰交換、Go RSA解密和後量子加密演算法CRYSTALS-Kyber和CRYSTALS-Dilithium等4種熱門的常數時間加密實作。</p> <p>不過，其實在GoFetch之前，就有安全研究發展出Augury攻擊方法，發現可濫用Apple M系列晶片DMP混合資料和記憶體位置的問題，只是Augury沒發現M系列晶片DMP啟用的標準，其實不如想像的嚴謹，GoFetch研究人員提到，任何從記憶體載入的值，無論實際內容和預期用途，都被M系列晶片DMP視為一個記憶體位址並嘗試解引用。這個發現讓GoFetch更具危險性，DMP可被用於攻擊現實世界中的常數時間的加密演算法。</p> <p>研究人員在M1處理器嘗試發動端對端GoFetch攻擊，同時也在M2和M3上發現類似可濫用DMP的行為，雖然研究人員並沒有在M系列其他變體，諸如M2 Pro上測試，但他們猜測這些變體具有相同的微架構，可能也會有相同的問題。</p> <p>目前M3晶片可以透過設定DIT（Data Independent Timing）位元停用DMP，但M1和M2的無法適用此方法，而Intel的Raptor Lake處理器則可設定DOIT（Data Operand Independent Timing）位元來停用DMP。加密函式庫開發人員，可以透過設定DIT位元和DOIT位元，在特定CPU上停用DMP避免GoFetch攻擊。</p> <p>採用輸入盲法（Blinding）也可以協助部分加密架構，免遭攻擊者控制中介值，進而避免依賴金鑰的DMP啟動，此外，研究人員還提到，防止攻擊者測量DMP啟動，可以進一步強化加密協定的安全性。Apple目前對此還無回應，而研究人員在2023年12月5日向Apple揭露該漏洞，並於現在負責任的公開攻擊手法，之後還會釋出概念性驗證程式碼。</p> </div></div></div>
2024/3/22 17:03作者李建興https://www.ithome.com.tw/news/161909
讓軟體邁向可維護性
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/web-960-itshu_zhai_-1p-clean_architecture.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體應滿足一些品質需求（quality requirement），才能被使用者、開發者和利害關係人視為高品質（high quality）。可維護性（maintainability）就是其中一種品質需求。</p> <p>如果我說，從某個角度來看，「可維護性」這個品質屬性比「功能性」還來得重要，而且我們甚至應該看重軟體設計的「可維護性」凌駕於所有一切，你會有什麼想法？</p> <p><span style="font-size:28px;"><strong>可維護性是什麼意思？</strong></span></p> <p>身為軟體架構師，我們設計我們的軟體，以滿足對於該軟體來說「最重要的品質需求」。針對高吞吐量（high-throughput）的交易應用程式（trading application），我們可能會專注於「可擴展性」和「可靠性」。針對處理個人身分識別資訊的應用程式，我們可能需要著重於「安全性」。</p> <p>筆者認為將「可維護性」與「其它的品質需求」混為一談是不正確的，因為「可維護性」有其特殊性。如果軟體是可以維護的，那就意味著它容易改變。如果它容易改變，那麼它就是「靈活」（有彈性）的，且可能是「模組化」的。這也可能是有「成本效益」的，因為容易改變意味著變更的成本不高。如果它是可以維護的，我們或許可以讓它演變成可擴展、安全、可靠，且效能優異（如果需要的話）。我們可以改變軟體，使其與其他系統具有「可互通性」，因為它很容易改變。最重要的是，「可維護性」代表「可測試性」，因為可維護的軟體很可能是由「更小且更簡單的元件」設計而成的，這讓測試變得容易。</p> <p><span style="font-size:28px;"><strong>可維護性能夠實現功能性</strong></span></p> <p>如果你問產品人員，在軟體專案中什麼是最重要的，他們會告訴你，軟體為其使用者提供的價值（value）是最重要的事情。</p> <p>所以，我們的軟體需要提供價值。但是它不應該為了提供價值，而以「可維護性」作為代價。想想看，在一個你可以輕鬆變更的軟體系統中添加功能，相較於一個你必須逐行與程式碼搏鬥的軟體系統，效率和成就感會有多大的不同！我很確定，讀者一定參與過那樣的軟體專案，其中有太多的雜訊和繁複的儀式，以致於要建置一個「你認為只需要幾小時就能完成的功能」，卻需要花費數天甚至是數週的時間。</p> <p>以這種方式來看，「可維護性」是「功能性」的主要支持者。可維護性不佳，意味著隨著時間的推移，功能性的變更成本只會越來越高。</p> <p>在一個可維護性不佳的軟體系統中，功能變更的成本很快就會變得如此昂貴，導致變更成為一種痛苦。產品人員會向工程師抱怨變更成本。工程師則會辯護說，「推出新功能」一直都是優先於「提高可維護性」。隨著變更成本的增加，衝突的可能性也會跟著提升。</p> <p>可維護性就像是一種潤滑劑。它與變更成本成反比，因此，它也與衝突的可能性成反比。你有沒有想過增強軟體的可維護性，以避免衝突？我認為那本身就是一項很好的投資。</p> <p>我們應該持續關心「我們正在建置的軟體」的可維護性，以免它變成令人避之唯恐不及的一團大泥球（big ball of mud，即龐雜系統）。</p> <p>這是否意味著，我們在開始寫程式之前，需要花費大量時間來規劃一個可維護的架構？我們需要進行常被認為是一種瀑布式開發方法的BDUF（big design up　front，前期大設計）嗎？不，我們不需要。但是，我們確實需要做一些前期設計（some design up-front，或許我們應該稱之為SDUF ？），藉此在軟體中種下一顆「可維護性」的種子，隨著時間的推移，這可以讓架構在需要的時候更容易演進。</p> <p>前期設計（up-front design）的其中一部分，就是選擇一種架構風格，來定義「我們正在建置的軟體」的設計方向。本書將幫助你決定Clean Architecture（或是轉接埠與轉接器／六角形架構）是否適合你的情境。</p> <p><span style="font-size:28px;"><strong>可維護性能支援做出決策</strong></span></p> <p>在建立軟體系統時，我們每天都在解決問題。對於我們遇到的大多數問題，都有不止一種解決方案。我們必須做出決策，選擇其中一種解決方案。</p> <p>我們該複製這段程式碼，來建立我們的新功能嗎？我們要自己建立物件，還是使用依賴注入框架？我們應該使用重載建構子（overloaded constructor，又譯多載建構子）來建立這個物件，還是應該建立一個產生器（builder）？</p> <p>許多這樣的決定，我們甚至都不是有意識地做出的。我們僅憑直覺，套用我們曾經用過、認為在當下情況或許可以行得通的模式或原則，例如：</p> <p>● 發現程式碼重複（code duplication）時，應用 DRY（don't repeat yourself，不要重複自己）原則。</p> <p>● 使用依賴注入（dependency injection），使程式碼更具可測試性。</p> <p>● 引入一個產生器（builder，又譯建造者），使物件的建立更簡單。</p> <p>如果我們觀察這些以及許多其他著名的模式，它們的效果（effect）是什麼呢？在許多情況下，主要的效果是它們使未來的程式碼更容易變更（也就是說，它們使它更易於維護）。可維護性已經內建於我們每天自動做出的許多決策當中！</p> <p>即使在無法套用罐頭模式（pre-canned pattern，即預先準備的模式）的情況下，面對更困難的決策時，我們也可以利用這個原則：『每當我們需要在多種選項之間做出抉擇時，我們可以選擇未來更容易修改程式碼的那一個。』不再需要為不同的選項感到苦惱。我們只需選擇最能提高可維護性的選項。</p> <p>如同大多數的原則，這當然只是一種概括。在特定情境下，正確的決定可能是選擇那些不提升可維護性（甚至是降低可維護性）的選項。但作為一個預設的、可以有所依據的規則，選擇提升可維護性仍是「簡化」日常決策的一項可靠指引。</p> <p><span style="font-size:28px;"><strong>維護可維護性</strong></span></p> <p>好吧，我假設你相信我，即可維護性對開發者樂趣、生產力和決策能力有積極的影響。但我們如何知道，對code base（程式庫）所做的更改會不會增加（或至少不會降低）可維護性？我們如何隨著時間管理可維護性呢？</p> <p>這個問題的答案是建立並維護一種架構，使得建立「可維護的程式碼」變得容易。一個良好的架構讓瀏覽code base 變得容易。在一個易於瀏覽的code base 中，修改既有功能或添加新功能簡直易如反掌。應用程式元件之間的依賴關係清晰且不混亂。總結來說，良好的架構提升了可維護性。</p> <p>進一步來說，優良的架構能提升開發者樂趣、開發者生產力、開發者留任率，以及決策能力。我們可以繼續找出更多直接（或間接）受到「軟體架構」影響的事物。</p> <p>這種相關性意味著我們應當深思熟慮，即我們如何組織程式碼的結構。我們如何將程式碼檔案分組為元件？如何管理這些元件之間的依賴關係？哪些依賴關係是必要的，哪些應該避免，以保持codebase 易於變更？這讓我們進入了本書的主軸。本書展示了一種讓程式碼容易維護的結構。本書描述的架構風格是實作Clean Architecture／六角形架構的一種方式。然而，這種架構風格並非解決建置軟體的所有問題的萬靈丹。</p> <p>筆者鼓勵讀者利用從本書學到的知識，將它們付諸實踐，嘗試這些想法，修改它們，讓它們適應你的需求，然後將它們加入到你的工具箱內，並在特定的情境中靈活運用它們。<strong>（本文摘錄整理自《Clean Architecture實作篇》第一章，博碩文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB_600_Clean%20Architecture%20_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%8D%9A%E7%A2%A9%E6%96%87%E5%8C%96.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_博碩文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> Clean Architecture實作篇：在整潔的架構上弄髒你的手（第二版）</strong></p> <p>Tom Hombergs／著；錢亞宏、盧國鳳／翻譯；錢亞宏／審校</p> <p>博碩文化出版</p> <p>定價：600元</p> <p><a href="http://twitter.com/TomHombergs/status/1682000117275164676" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Clean%20Architecture%20_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Tom%20Hombergs.jpg" style="width: 200px;" /></a></p> <p><a href="https://twitter.com/TomHombergs/status/1682000117275164676" target="_blank"><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源_Tom Hombergs</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>Tom Hombergs</strong></p> <p>是軟體工程師、作家、奉行簡單主義的阿宅。複雜度就是他的死對頭，所以他致力於將複雜的東西簡化成容易消化的碎片。如果他能夠理解，那麼其他人也能夠理解。他簡化程式碼及文字，並撰寫讓人可以輕鬆閱讀的文章、書籍和開發文件。Tom目前在澳洲雪梨的Atlassian工作，負責Atlassian開發者使用的技術堆疊的DX(開發者體驗)。</p> </div></div></div>
2024/3/22 15:24未署名https://www.ithome.com.tw/article/161829
八二法則對開發者的啟示
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-jing_tong_wu_xia_cheng_shi_ma_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於「八二法則」（80/20 principle）有很多說法，包括以它的發現者Vilfredo Pareto命名的「帕雷托法則」（Pareto principle）。它向你展示了一條途徑，將精力集中在少數重要的事情上並忽略那些多數對進展沒幫助的事情，能夠讓你在專業coder這條路上獲得更多的成果。</p> <p>八二法則在個人生產力文獻中無處不在，它之所以如此受歡迎的原因有兩個：首先，只要你能夠找出重要的事情，即導致80%結果的20%活動，並堅持不懈地專注於這些事情上，此法則就能讓你既輕鬆又具高生產力；其次，我們可以觀察到八二法則存在於各式各樣的情況下，使其具有相當大的可信度。當然，分配比例並不一定永遠是80/20──具體數字可以變成70/30、90/10甚至95/5──但永遠是嚴重偏向「少數因素造成多數的結果」。</p> <p><strong><span style="font-size:28px;">八二法則對coder的影響</span></strong></p> <p>在程式設計中，帕雷托法則結果往往比大多數其他領域更偏向頂端，其分布通常看起來更像90/10或95/5，而不是80/20。比爾蓋茲說過：「一位優秀的車床作業員薪水是普通車床作業員的好幾倍，而一位優秀的軟體程式撰寫人員的價值是一般軟體程式撰寫人員的10,000倍。」比爾蓋茨認為，優秀的軟體寫手和一般的軟體寫手之間的差距不是16倍，而是10,000倍！</p> <p>以下是軟體世界容易出現這種極端帕雷托分布的幾個原因：</p> <p>• 優秀的程式設計師可以解決一些普通程式設計師根本無法解決的問題。在某些情況下，這使得他們的生產力提升了無數倍。</p> <p>• 優秀的程式設計師可以寫出的程式碼，比普通程式設計師快了10,000倍。</p> <p>• 優秀的程式設計師編寫的程式碼bug更少。想想一個安全漏洞對Microsoft聲譽和品牌的影響！此外，每出現一個額外的bug都需花費時間、精力和金錢來進行codebase的後續修改和新增特性──bug的負面累樍效應。</p> <p>• 優秀的程式設計師編寫的程式碼更易於擴展，可能會提高軟體開發過程後期數千名開發人員在處理程式碼時的生產力。</p> <p>• 優秀的程式設計師會跳出框架思考，並且找到創造性的解決方案來規避昂貴的開發工作，並能專注於最重要的事情上。</p> <p>在實務中，這些因素的組合會產生作用，因此差異可能更大。</p> <p>所以，對你來說，關鍵問題可能是這樣的：如何成為優秀的程式設計師？</p> <p><span style="color:#B22222;"><strong>程式設計師的成功指標</strong></span></p> <p>不幸的是，「成為一名優秀的程式設計師」這句話並不是你可以直接優化的成功指標─這個問題涉及到很多層面。一名優秀的程式設計師能夠快速理解程式碼、了解演算法和資料結構、知道不同的技術及其優缺點、可以與他人合作、善於溝通且富創造力、受過良好教育並且知道如何組織軟體開發過程，同時擁有數百個軟實力與硬實力。但你不可能在這些方面都是專家！如果你不專注於少數重要的幾件事，就會被那些瑣事給淹沒。要成為優秀的程式設計師，你必須專注於最重要的幾件事上。</p> <p>需要專注的幾個重點之一，就是編寫更多的程式碼。你寫的行數愈多，就會成為更好的程式設計師。這是多維問題的簡化方法：藉由優化代理指標（寫更多程式碼行數），你就可以增加在目標指標上成功的機率（成為優秀的軟體程式寫手）。</p> <p>當你寫更多的程式碼，你會更容易理解程式碼，而且言行舉止會跟程式設計高手一樣，同時吸引更好的coder加入你的網路，並找到更具挑戰性的程式設計任務，然後繼續寫更多程式碼、功力變得更強，而你的每行程式碼會賺取愈來愈高的報酬。你或你的公司可以把許多瑣碎的工作外包出去。</p> <p>這是你每天都可以遵循的80/20活動：追蹤你每天撰寫的程式碼行數並對其進行優化。讓它成為一種遊戲，而且每天都至少要寫到一定的基本行數（平均行數以上）。</p> <p><span style="font-size:28px;"><strong>現實世界中的帕雷托分布</strong></span></p> <p>我們將快速瀏覽一些應用帕雷托分布的實際範例。</p> <p><span style="color:#B22222;"><strong>GitHub儲存庫TensorFlow貢獻</strong></span></p> <p>我們可以在GitHub儲存庫的貢獻中看到帕雷托分布的一個極端例子。讓我們考慮一個廣受歡迎的Python機器學習計算儲存庫：TensorFlow。</p> <p>對於該儲存庫93,000次的提交，使用者「tensorflow-gardener」的貢獻超過了20%；考慮到有成千上萬的貢獻者，該分布比80/20分布更加極端。原因是，貢獻者「tensorflow-gardener」乃是由建立和維護此儲存庫的Google程式設計團隊所組成。但是，就算跳過這個團隊好了，剩下的頂尖個人貢獻者也都是非常成功的程式設計師，留下令人印象深刻的記錄。你可以在公開的GitHub頁面上查看他們的相關資訊。在這些人當中，很多已經在熱門企業找到了令人興奮的工作機會。他們在產出大量程式碼提交到此開源儲存庫「之前」還是「之後」獲得成功，只是純粹理論上的討論而已。但從實際的角度出發，你應該開始建立你的成功習慣：每天寫更多程式碼行數。沒有什麼事能阻止你成為TensorFlow儲存庫的第二名貢獻者──在接下來的兩到三年內，每天提交有價值的程式碼到TensorFlow儲存庫兩到三次。如果你堅持下去，你可以入列地球上最成功的程式設計師，只要選擇一個強大的習慣並堅持個幾年！</p> <p>帕雷托分布在生活和程式設計中有各種實際應用，但根據我的經驗，對你最具變革性的應用將是成為一名「80/20思想家」；也就是說，你不斷嘗試找出事半功倍的方法。這裡有一些例子：</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 活動 </span></strong></span>　你在本週完成的活動中，最有影響力的20%中的20%，通常負責80%結果中的80%。在這種情況下，0.8%的活動將導致51%的結果。粗略地說，如果你每週工作40小時，那麼其中20分鐘可能造就了你本週工作一半的成果！此類20分鐘活動的一個範例是編寫一個腳本，該腳本自動執行一項業務任務，每隔幾週為你節省幾個小時，你就可以把多出來的時間投資在其他活動。如果你是一名程式設計師，實作時決定跳過不必要的功能可以為你節省數十個小時不必要的工作。如果你開始應用八二思維，很快就會在自己的工作中發現許多這樣的槓桿活動。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 進步 </span></strong></span>　無論你在任何帕雷托分布上處於什麼位置，都可以利用你的成功習慣和專注力，讓輸出呈指數性增長。只要尚未達到最佳狀態，總有進步的空間，以更少的資源獲得更多的成果──即便你已經是一個高度開發的個人、公司或經濟體。可以讓你沿著帕雷托曲線往上爬的活動未必總是顯而易見，但它們絕非隨機存在。許多人放棄在他們的領域尋找成功指標，因為他們認為結果的機率使得它完全是隨機的。這是多麼錯誤的結論！要成為一名大師級的程式設計師，每天寫少少的程式碼不會讓你達成目標，就像每天貧於練習棋藝也不能讓你成為一名職業西洋棋士一樣。其他因素也會發揮作用，但這不代表成功是一場機率遊戲。透過專注於你所在行業的成功指標，你將能夠操縱對你有利的機率。作為一個八二法則思想家，你就是莊家──而且莊家「多半」是贏家。<strong>（本文摘錄整理自《精通無瑕程式碼》第二章，博碩文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-600_%E7%B2%BE%E9%80%9A%E7%84%A1%E7%91%95%E7%A8%8B%E5%BC%8F%E7%A2%BC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%8D%9A%E7%A2%A9%E6%96%87%E5%8C%96.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_博碩文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 精通無瑕程式碼：工程師也能斷捨離！消除複雜度、提升效率的17個關鍵技法（The Art of Clean Code）</strong></p> <p>Christian Mayer／著；江玠峰／譯</p> <p>博碩文化出版</p> <p>定價：600元</p> <p><a href="https://blog.finxter.com/christian_mayer2/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E7%B2%BE%E9%80%9A%E7%84%A1%E7%91%95%E7%A8%8B%E5%BC%8F%E7%A2%BC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Finxter%E7%B6%B2%E7%AB%99.jpg" style="width: 200px;" /></a></p> <p><a href="https://blog.finxter.com/christian_mayer2/" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Finxter網站</span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>Christian Mayer</strong></p> <p>擁有電腦科學博士學位，是流行的Python網站Finxter的創始人，該教育平台每年教導超過500萬人如何寫程式。他寫了很多書，包括《Python One-Liners》（No Starch，2020年）、《Leaving the Rat Race with Python》（2021年）和Coffee Break Python系列。</p> </div></div></div>
2024/3/23 15:54未署名https://www.ithome.com.tw/article/161916
【快閃記憶體競爭新焦點：200層以上3D堆疊結合QLC】追逐極限的儲存容量密度
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1174-feng_mian_p4-960-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去一年多以來，快閃記憶體正處於新一輪的技術更新轉型期。主流的SSD產品，大多用TLC與QLC記憶體結合128到192層3D堆疊，各大快閃記憶體供應商的競爭焦點，放在200層等級3D堆疊技術實用化、擴展QLC應用範圍，發展密度更高、每儲存單元保存更多位元資料的PLC記憶體，以及300層等級的堆疊技術。</p> <p>在QLC方面，目前6大主要快閃記憶體供應商，包括三星、美光、SK hynix 、Solidigm、Kioxia/WD，長江儲存（YMTC），全部都已經能提供QLC記憶體產品。</p> <p>在200層等級的3D堆疊技術方面，除了Solidigm，其餘主要快閃記憶體供應商都已推出200層等級的3D堆疊技術產品，發表時間最早的是美光的232層，次之是SK hynix的238層、三星的236層，這3家廠商都是在2022年下半年推出200層等級產品。</p> <p>當時間進入2023年，先是Kioxia/WD在年初發表218層產品，接著長江儲存也在年底推出232層產品。</p> <p>至於Solidigm，目前只有192層產品，但其儲存密度已能對應其他廠商的200層技術。</p> <p>而在超過200層等級的3D堆疊技術方面，SK hynix的腳步最快，率先突破300層門檻，在2023年中發表321層堆疊的產品，而三星是在2024年初發表280層堆疊的產品。</p> <p><span style="font-size:28px;"><strong>3D堆疊與多級記憶體單元的結合</strong></span></p> <p>多級化儲存單元的歷史較早，MLC快閃記憶體早在1990年代後期就已問世，TLC與QLC都是在2009年左右開始被應用在產品上。</p> <p>至於3D堆疊技術，雖然早在2007年便已問世，但直到2012年，才由三星率先實際應用於SSD產品，最初是採用32層堆疊與SLC的組合。從2014年起，多級化儲存單元與3D堆疊技術，便一同被應用在快閃記憶體產品上。</p> <p>2014年問世的第一代「多級儲存單元+3D堆疊」快閃記憶體產品，是MLC與32層3D堆疊的結合。接著在2015年出現的第一批TLC SSD產品，則是結合48層3D堆疊，而2018年誕生的QLC SSD，最初則是搭配64層3D堆疊。經過7、8年的發展，目前市場上的產品，已達到200層等級3D堆疊結合TLC與QLC。</p> <p>無論儲存單元的多級化或3D堆疊技術，都是提高儲存密度的手段，最終目的是提升快閃記憶體的位元密度（bit density），也就是單位面積內可儲存的資料量。</p> <p>最早的48層堆疊TLC記憶體，位元密度能達到2.6 Gb/mm2左右，96層TLC則能超過6 Gb/mm2，128層TLC大約能達到7到8 Gb/mm2，176層TLC能突破10 Gb/mm2，最新的232層TCL則進一步提升到14 Gb/mm2以上。</p> <p>而QLC與3D堆疊技術的結合，能更有效地提升位元密度，144層QLC的位元密度便超過12 Gb/mm2，176層QLC則超過14 Gb/mm2，已能與232層TLC比肩，至於最新的232層QLC，位元密度更達到20 Gb/mm2等級。</p> <p>目前已實際出貨的快閃記憶體產品中，位元密度最高的款式，便是YMTC的232層QLC記憶體，擁有20.62 Gb/mm2的位元密度。</p> <p>而已發表、尚未實際出貨的產品中，SK hynix的321層TLC記憶體也擁有20 Gb/mm2等級的位元密度，而三星不久前發表的280層QLC記憶體，更進一步將位元密度提高到28.5 Gb/mm2，是目前快閃記憶體儲存密度的最高紀錄，已直逼30 Gb/mm2大關。</p> <p><span style="font-size:28px;"><strong>不同技術組合的效益</strong></span></p> <p>我們將當前6大主要快閃記憶體供應商，旗下應用100層以上堆疊技術的快閃記憶體產品，依位元密度整理成一份表格。</p> <p>從這份整理表中，我們可以看出：各廠商的技術層次相去不遠，有些起步較晚的廠商（如YMTC），雖然有「後發」優勢，容量密度較其他廠商同級產品略高，但差距並不大。</p> <p>另外，就儲存單元多級化與3D堆疊技術這2種路線而言，提升容量密度的效果大致相當。</p> <p>在其他條件相當時，QLC記憶體可比TLC提高30%以上的位元密度。而3D堆疊技術的每一次世代更新，大致也能提供比上一代高出30%以上的位元密度（例如從128層提高到176層，然後從176層提高到232層等）。</p> <p>也就是說，QLC只需搭配較低層次的3D堆疊技術，就能得到與較高堆疊層數TLC相當的位元密度。例如Solidigm的192層QLC記憶體，位元密度就已超過其他廠商的232層或238層TLC。</p> <p>但另一方面，TLC擁有效能與壽命方面的優勢，雖然儲存單元紀錄的資料量較少，但可藉由搭配更高層數的3D堆疊技術，彌補容量密度較低的缺點，因此也形成兩種不同的產品取向。</p> <p><span style="font-size:28px;"><strong>成長的路線選擇</strong></span></p> <p>不過，在未來的發展上，儲存單元多級化的這條路線，已經快走到盡頭。繼每儲存單元4位元的QLC之後，是每儲存單元5位元的PLC，但PLC相較於QLC，只能帶來20%的容量提升，提升幅度相對有限，然而為了記錄更多的資料位元狀態，PLC需要控制的電壓狀態數量卻隨之加倍，從而也將面臨可靠性、穩定性與壽命方面的一系列麻煩，整體效益不如先前從MLC到TLC、QLC的升級。</p> <p>目前已知Kioxia（鎧俠）與Solidigm都在進行PLC快閃記憶體產品工程開發，已接近實用階段。</p> <p>而在PLC開始逐漸浮出檯面之後，Kioxia已經在實驗室環境當中驗證6位元的HLC（Hexa），以及7位元的HLC（Hepta），每個儲存單元可記錄更多資料，但是都必須使用液態氮極低溫冷卻，才能維持穩定運作，還不具實用性。考慮到快閃記憶體儲存單元「超多級化」所需付出的代價，我們認為多級化這條路線，可能將止步於PLC。</p> <p>相較於多級化面臨了瓶頸，3D堆疊技術這條路線，仍有相當大的發展餘裕。例如，目前200層堆疊這一層級的快閃記憶體已經量產上市，300層堆疊等級的產品也開始陸續問世，預期會在2024到2025年量產並進入市場。</p> <p>目前SK hynix、三星、美光、Kioxia/WD與YMTC，都已提出400層等級以上的3D堆疊技術發展規畫，有些廠商的規畫，甚至已經提到2030年以後將達到800層以至1,000層的目標，這也意味著，相較於現在的產品，未來還有提高4、5倍的潛力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1174-%E5%B0%81%E9%9D%A2P4-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>我們依據位元密度，將6大快閃記憶體供應商的產品列於圖中，可見到各廠商的產品表現相去不遠。</strong></span></p> <p><span style="color:#696969;"><strong>3D堆疊技術的每一個世代，都會增加30%左右的堆疊層數，並帶來大致等比例的容量密度提高。112層到128層的TLC記憶體，位元密度在7到8 Gb/mm2，162層到176層TLC記憶體的位元密度便提高到10 Gb/mm2以上，接著218層到238層TLC，又進一步增加到14、15 Gb/mm2左右。</strong></span></p> <p><span style="color:#696969;"><strong>而QLC由於每個儲存單元可記錄更多資料，所以在同等堆疊層數下，位元密度又可比TLC增加30%以上。</strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ssd">SSD</a></div><div class="field-item odd"><a href="/tags/%E7%A1%AC%E7%A2%9F">硬碟</a></div><div class="field-item even"><a href="/tags/%E7%A3%81%E5%B8%B6">磁帶</a></div><div class="field-item odd"><a href="/tags/%E4%BC%81%E6%A5%AD%E5%84%B2%E5%AD%98%E6%87%89%E7%94%A8">企業儲存應用</a></div><div class="field-item even"><a href="/tags/100tb">100TB</a></div><div class="field-item odd"><a href="/tags/3d%E5%A0%86%E7%96%8A">3D堆疊</a></div><div class="field-item even"><a href="/tags/%E5%BF%AB%E9%96%83%E8%A8%98%E6%86%B6%E9%AB%94">快閃記憶體</a></div><div class="field-item odd"><a href="/tags/qlc">QLC</a></div></div></div>
2024/3/22 14:56作者張明德https://www.ithome.com.tw/tech/161910
【新興技術挑戰磁帶地位】長期歸檔儲存媒體出現多個新競爭者
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1174-feng_mian_p5-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去數十年以來，磁帶一直是長期保存資料的歸檔儲存媒體首選，基於光碟的光學儲存技術雖曾一度威脅到磁帶的地位，但由於容量增長追不上磁帶的腳步，最終還是由磁帶取得主導地位。不過在未來幾年內，這樣的情況可能會改變。</p> <p>因為，近10年來，又陸續出現一系列試圖挑戰磁帶的新興儲存技術，玻璃／光學儲存是其中最接近實用化的一種，象徵著光學儲存技術的復甦。</p> <p>在2023年底發布的儲存月報「光學儲存技術新進展」，我們初步介紹了當前最接近實用階段的新興光學儲存技術，現在我們從儲存密度與容量增長的視角，進一步討論這些新興技術與磁帶的對比。</p> <p><span style="font-size:28px;"><strong>既有光學儲存的容量密度與總容量</strong></span></p> <p>就儲存密度來說，磁帶其實遠不如光碟。但儲存媒體的可用容量，是儲存密度與儲存面積的相乘，磁帶儘管儲存密度很低，但只要在磁帶匣中透過捲繞方式容納長度更長的磁帶，便能增加資料記錄面積，彌補密度低的缺點，輕易增加總容量。</p> <p>當前的兩大磁帶規格LTO與IBM 3592系列，磁帶匣都能容納上千公尺的磁帶，從而龐大的總容量。目前LTO開放規格的單卷磁帶匣已能達到18TB容量，IBM 3592系列則能達到50TB。</p> <p>相較下，BD-XL與Archival Disc光碟雖然儲存密度遠高於磁帶，但儲存媒體本身的面積是固定的，雖然也能在光碟匣中堆疊多片光碟，藉此提高容量，但即便目前容量最高的Archival Disc光碟匣，也只達到5.5 TB容量（每個光碟匣含11碟片），與磁帶存在相當大的落差，1卷磁帶能容納的資料量，需要3、4個到10多個光碟匣才能容納，管理十分不便。</p> <p><span style="font-size:28px;"><strong>新世代光學儲存技術的誕生</strong></span></p> <p>儘管光學儲存因容量較低的缺點，而限制了應用範圍與規模，但有著磁帶不能及的兩項獨到優勢，促使業界持續發展新的光學儲存技術。</p> <p>首先，光學儲存同時適合2種應用：一般歸檔與主動歸檔（Active Archive）。磁帶受限於捲繞式架構，適合連續循序存取，故只適用於長期靜態資料保存、很少有存取需求的一般歸檔應用。而光碟儲存裝置擁有隨機存取能力，必要時可快速檢索與取回資料，因而還能兼用於仍有少許存取需求的主動歸檔。</p> <p>其次，光學儲存對於耐久性與環境承受力具有優勢，無需特別的環境控制措施，就能實現長期保存。</p> <p>不過，若要讓光學儲存具備足以對抗磁帶的競爭力，關鍵在於如何大幅提高儲存密度，來達到增加容量的目的。</p> <p>正在研發的兩種玻璃/光學儲存技術，包括Cerabyte的玻璃陶瓷，以及Project Silica玻璃儲存，都從儲存材料著手，以玻璃取代以往光碟的聚合物，試圖獲得極高的儲存密度，從而解決光學儲存的容量問題。此外，以玻璃作為儲存材料，還擁有高度環境承受能力的優勢，可抵禦火、水、電磁脈衝等外界威脅。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1174-%E5%B0%81%E9%9D%A2P5-RAW.png" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>兩種新興光學儲存技術後市可期</strong></span></p> <p>Project Silica計畫，是微軟與南安普頓大學（University of Southampton）合作發展的矽玻璃儲存技術（silica glass）。</p> <p>Project Silica曾在2021年聲稱，可在5吋見方玻璃達到500TB容量。在實際能力方面，去年底Project Silica透露，已能在DVD大小玻璃片上儲存7TB資料，已超過現有Archival Disc光碟10倍以上。</p> <p>至於德國新創廠商Cerabyte，則以奈米陶瓷塗布玻璃儲存（ceramic-coated glass storage）技術，來達到提高儲存密度的目的。</p> <p>Cerabyte預期他們的儲存密度可達到每平方公分1 TB等級，相當於Archival Disc光碟20倍以上，還有提高到每個儲存匣1 PB容量的潛力，不過需要相當長時間，才能逐步實現這個目標。</p> <p>依照Cerabyte規畫，在2024年推出的第一代產品，儲存密度只達到每機櫃1 PB，還遠不如現有的磁帶櫃（目前最高規格的磁帶櫃，已能達到每機櫃10到30 PB以上的儲存密度）。</p> <p>預期到2025年，Cerabyte可將儲存密度提高到每機櫃5 PB，在2026到2027年提高為每機櫃10到30 PB，這時才具備與磁帶相比的競爭力。該公司預期2030年以前可達到每機櫃60到100 PB，不過到了那時候，磁帶容量勢必也會有顯著進步，因為單就容量而言，磁帶未必會遜色於這些新興技術。</p> <p><span style="font-size:28px;"><strong>磁帶與傳統光碟仍有容量成長潛力</strong></span></p> <p>磁帶雖然是數十年歷史的老技術，但仍擁有相當高的成長潛力，富士軟片、IBM與Sony等主要磁帶供應商，已備妥容量密度遠高於現有產品的磁帶技術。</p> <p>以IBM為例，在2020年發布的新世代磁帶技術，便可讓磁帶容量密度較當前提升10倍以上，實現單卷磁帶提供580 TB容量。而由於具有這樣的成長潛力，LTO磁帶聯盟得以在現有LTO-9之後，還能一口氣將發展路線圖規畫到5個世代以後的LTO-14，將容量從現有LTO-9的18 TB逐步提高到576 TB。</p> <p>不僅磁帶，傳統的聚合物光碟儲存媒體也有進步空間。新創廠商Folio Photonics 2022年發表的多層薄膜光碟，便宣稱能提供較現有光碟技術高出20倍以上的儲存容量。事實上，目前的藍光光碟每一面最多只有3到4個光學層，Folio的多層薄膜光碟每一面則能提供8到16個光學層，最終可達到32個光學儲存層，從而大幅提高儲存容量。</p> <p>依照Folio的發展路線圖，預定2024年後推出的第1代多層薄膜光碟，只使用8層光學層，可提供每張光碟50 0GB到1 TB容量，與目前供應的Archival Disc光碟同級。接下來Folio打算以每2年升級一代的速度持續更新，預計2030年推出的第4代多層薄膜光碟產品將採用32層以上的光學層，擁有4 TB到10 TB容量。</p> <p><span style="font-size:28px;"><strong>磁帶仍具有不可取代的優勢</strong></span></p> <p>儘管磁帶面臨各式各樣新興技術的挑戰，但從目前的情勢來看，近期內這些技術還無法撼動磁帶的地位。</p> <p>Cerabyte與Project Silica這類玻璃／光學儲存，或是華為近期發表的「磁—電」儲存，雖然規格頗具吸引力，但也存在難以忽視的技術風險，2030年之前恐怕無法成熟到足以威脅磁帶的地位。因為歸檔儲存不僅看重規格，更看重穩定與可靠，磁帶具有久經驗證而累積的信賴性，正是這些新興技術缺乏的。</p> <p><span style="color:#000099;"><span style="font-size:28px;"><strong>華為的「磁—電碟」歸檔儲存系統</strong></span></span></p> <p><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%8E%E5%BE%B7-OceanStore%20Arctic%20-%E4%B8%BB%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E8%8F%AF%E7%82%BA.jpg" style="width: 600px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);">華為發展的「磁—電碟」號稱是兼具硬碟與磁帶特性的嶄新儲存裝置，每臺可提供驚人的72TB容量。<span style="font-size: 14px;">圖片來源／華為</span></span></p> <p><span style="color:#696969;"><strong>歸檔儲存技術近日最引人注目的新聞，便是華為在2024年初發表的「磁—電」（Magneto-Electric）儲存系統，名為OceanStore Arctic。</strong></span></p> <p><span style="color:#696969;"><strong>產品核心是一種儲存媒體裝置，稱為「磁—電碟」（Magneto-Electric Disk，MED），華為聲稱這種裝置的總成本比磁帶低20%，功耗則比硬碟低80%，暫定2025年下半年於海外推出，第一代產品將擁有每機櫃10PB容量。</strong></span></p> <p><span style="color:#696969;"><strong>稍後分析師Tom Coughlin取得華為的簡報，從而讓外界得知更多MED裝置的技術細節。</strong></span></p> <p><span style="color:#696969;"><strong>簡報中，華為將MED描述為「硬碟+磁帶」的裝置，每組MED擁有72 TB容量。就單一媒體儲存容量來說，72 TB容量的MED若真的推出，將超越IBM TS-1170磁帶，可望成為市面上容量最大的歸檔儲存媒體。</strong></span></p> <p><span style="color:#696969;"><strong>而且MED成本比磁帶低20%，功耗比硬碟低90%。華為聲稱每PB容量的MED裝置耗71瓦電力，硬碟每PB則消耗450瓦，</strong></span></p> <p><span style="color:#696969;"><strong>以資料傳輸率而言，每座MED機櫃比起磁帶高出2.5倍，而且MED裝置是密封的，機櫃不包含機械手臂等裝置，因而可減少故障機率。</strong></span></p> <p><span style="color:#696969;"><strong>整體來說，MED的技術、配備、規格仍有待釐清，但華為如果能實現前述指標，那麼，將是頗具革命性的歸檔儲存技術。</strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ssd">SSD</a></div><div class="field-item odd"><a href="/tags/%E7%A1%AC%E7%A2%9F">硬碟</a></div><div class="field-item even"><a href="/tags/%E7%A3%81%E5%B8%B6">磁帶</a></div><div class="field-item odd"><a href="/tags/%E4%BC%81%E6%A5%AD%E5%84%B2%E5%AD%98%E6%87%89%E7%94%A8">企業儲存應用</a></div><div class="field-item even"><a href="/tags/%E6%AD%B8%E6%AA%94%E5%84%B2%E5%AD%98">歸檔儲存</a></div><div class="field-item odd"><a href="/tags/%E5%85%89%E5%AD%B8%E5%84%B2%E5%AD%98">光學儲存</a></div></div></div>
2024/3/22 15:11作者張明德https://www.ithome.com.tw/tech/161912
【資安日報】3月22日，研究人員公布無限循環的阻斷服務攻擊手法Loop DoS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過傳送大量訊號癱瘓設備運作的攻擊手法，可說是相當常見，但最近有研究人員揭露一種造成通訊無限循環而產生大流量的方法，一旦觸發，就算是攻擊者也無法將其停止。</p> <p>值得留意的是，這種新方法估計有30萬臺伺服器曝險，雖然尚未有人將其用於實際攻擊行動，但研究人員呼籲，IT人員還是應儘速採取因應措施。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.darkreading.com/cloud-security/russia-s-midnight-blizzard-targeting-service-accounts-for-initial-cloud-access"><strong style="font-size: 22px;">雲端服務帳號遭到俄羅斯駭客組織APT29鎖定，成為對方重要的入侵管道</strong></a></p> <p></p> <p>美國、英國、澳洲、紐西蘭聯合針對匿稱為Midnight Blizzard、The Dukes、Cozy Bear的俄羅斯駭客組織APT29攻擊行動提出警告，有別於過往會利用軟體漏洞或是網路環境的弱點，來入侵目標組織的IT基礎架構，隨著企業組織採用雲端服務越來越普遍，這些駭客也調整入侵的手段，鎖定雲端服務來取得初期的存取管道。</p> <p>為了達成目的，APT29最常見的手段就是採取暴力破解或是密碼潑灑攻擊，來取得雲端服務帳號的存取權限，由於這種帳號多半是用於管理應用程式及服務的自動化，難以藉由雙因素驗證（MFA）進行保護，而成為這些駭客偏好的目標。</p> <p><a href="https://therecord.media/cisa-takes-two-systems-offline-following-ivanti-compromise"><strong style="font-size: 22px;">CISA傳出遭到Ivanti漏洞攻擊，並指出有2個系統受到影響</strong></a></p> <p></p> <p>Ivanti自1月上旬至2月初，揭露Connect Secure、Policy Secure多個漏洞，包括：CVE-2023-46805、CVE-2024-21887、CVE-2024-21888、CVE-2024-21893、CVE-2024-22024，並出現多起漏洞利用攻擊事故，現在傳出美國政府機關受害的情況。</p> <p>根據資安新聞網站Recorded Future News的報導，美國網路安全暨基礎設施安全局（CISA）表示，他們在一個月前發現使用的Ivanti產品，遭到漏洞利用的活動，並指出僅有2個系統受到影響，CISA隨即將其下線，並表示暫時不會對營運造成影響。但對於攻擊者的身分，以及是否有資料遭竊，CISA並未進一步說明。</p> <p>知情人士透露，遭到攻擊的系統分別是：基礎設施防護閘道（Infrastructure Protection Gateway），以及化學品安全評估工具（Chemical Security Assessment Tool，CSAT）。CISA不願對此說法進行證實，亦並未說明上述兩個系統的運作狀態。</p> <p><a href="https://www.trendmicro.com/vinfo/us/security/research-and-analysis/threat-reports/roundup/calibrating-expansion-2023-annual-cybersecurity-threat-report"><strong style="font-size: 22px;">趨勢科技揭露2023年資安威脅態勢，警告臺灣要留意駭客組織Earth Estries動態</strong></a></p> <p></p> <p>資安業者趨勢科技針對2023年的威脅態勢提出看法，特別呼籲臺灣留意去年1月發動攻擊的駭客組織Earth Estries，因為對方專門針對政府機關與科技業而來，擅長利用Github、Gmail、AnonFiles、File.io等雲端服務，來交換、傳輸命令、竊取資料，並使用多個後門和駭客工具，以及PowerShell降級攻擊來迴避偵測。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-loop-dos-attack-may-impact-up-to-300-000-online-systems/"><strong style="font-size: 22px;">新型態攻擊手法Loop DoS有可能影響30萬個線上系統</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Loop-DoS.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Loop-DoS.png" style="width: 300px; float: right;" /></a>德國CISPA亥姆霍茲資訊安全中心公布新型態的阻斷服務（DoS）攻擊手法Loop DoS，研究人員利用UDP通訊協定的弱點CVE-2024-2169，透過應用程式層的通訊，將兩個網路服務進行配對，導致無限循環回應彼此訊息的情況，從而產生大量流量，使得相關系統或是網路服務癱瘓。</p> <p>這種弱點潛在影響的範圍相當廣泛，不只老舊通訊協定，如：QOTD、Chargen、Echo會受到影響，DNS、NTP、TFTP等較新的通訊協定也無法倖免。值得留意的是，一旦觸發上述漏洞啟動循環回應，攻擊者也無法終止相關攻擊，研究人員估計，可能有30萬臺可透過網際網路存取的主機曝險。</p> <p>雖然這種攻擊尚未實際出現，但研究人員警告，IT人員應儘速採取行動降低相關風險，因為，攻擊者利用上述漏洞的難度並不高。他們與卡內基美隆大學電腦緊急應變小組協調中心（CERT/CC）進行協調、披露，目前有5家廠商確認受到影響。</p> <p>資料來源</p> <p>1. <a href="https://cispa.de/en/loop-dos">https://cispa.de/en/loop-dos</a><br /> 2. <a href="https://kb.cert.org/vuls/id/417980">https://kb.cert.org/vuls/id/417980</a></p> <p><a href="https://securityaffairs.com/160694/hacking/fortra-filecatalyst-critical-flaw.html"><strong style="font-size: 22px;">Fortra公布去年修補的檔案傳輸工具FileCatalyst重大漏洞</strong></a></p> <p></p> <p>3月13日資安業者Fortra發布公告，指出旗下的檔案傳輸系統FileCatalyst存在重大漏洞CVE-2024-25153，此弱點與資料夾穿越有關，出現在該系統的工作流程（Workflow）入口網站，一旦攻擊者發出特製的POST請求，就有機會從外部上傳檔案到特定資料夾，CVSS風險評分為9.8。</p> <p>這項漏洞在去年8月發現，影響FileCatalyst 5.x版，當時該公司已推出5.1.6 Build 114版予以修補。但為何現在才發布公告？該公司表示，他們在去年12月取得CVE編號管理者（CVE Numbering Authority，CNA）資格，並因應通報該漏洞的威脅情報業者LRQA Nettitude的請求，將這個漏洞進行列管。LRQA Nettitude也於3月13日，公布該漏洞的細節及概念性驗證（PoC）程式碼。</p> <p>資料來源</p> <p>1. <a href="https://www.fortra.com/security/advisory/fi-2024-002">https://www.fortra.com/security/advisory/fi-2024-002</a><br /> 2. <a href="https://labs.nettitude.com/blog/cve-2024-25153-remote-code-execution-in-fortra-filecatalyst/">https://labs.nettitude.com/blog/cve-2024-25153-remote-code-execution-in-fortra-filecatalyst/</a><br /> 3. <a href="https://github.com/nettitude/CVE-2024-25153">https://github.com/nettitude/CVE-2024-25153</a></p> <p><a href="https://www.wordfence.com/blog/2024/03/critical-vulnerability-remains-unpatched-in-two-permanently-closed-miniorange-wordpress-plugins-1250-bounty-awarded/"><strong style="font-size: 22px;">已終止維護的WordPress資安外掛程式存在漏洞，恐導致網站遭到挾持</strong></a></p> <p></p> <p>資安業者Wordfence指出，他們在舉辦第2屆漏洞懸賞活動的過程中，收到miniOrange開發的WordPress外掛程式Malware Scanner權限提升漏洞通報，一旦攻擊者加以利用，就有機會在未經身分驗證的情況下，透過更新密碼的管道取得管理員權限，由於超過1萬個網站採用此外掛程式，影響範圍相當廣泛。</p> <p>然而，該公司的威脅情資團隊對漏洞進行確認的過程中，發現這名開發者另一個外掛程式Web Application Firewall也有相同的漏洞。此漏洞被登記為CVE-2024-2172，影響上述兩款由miniOrange開發的外掛程式，CVSS風險評分達到9.8，3月5日Wordfence向開發者通報相關細節，對方決定停止提供這些外掛程式因應，對此，Wordfence呼籲網站管理者儘速移除，並尋找替代方案。</p> <div> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.zerodayinitiative.com/blog/2024/3/20/pwn2own-vancouver-2024-day-one-results"><strong style="font-size: 22px;">Pwn2Own Vancouver 2024登場，參賽團隊首日抱走電動車與高額獎金</strong></a></p> <p></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Synacktiv-Image%2B(3).jpeg" style="width: 300px; float: right;" />漏洞挖崛競賽Pwn2Own Vancouver 2024於3月20日、21日舉行，在第1天的賽程當中，參賽者總共找到19個零時差漏洞，贏得73萬美元的獎金。</p> <p>其中最受到矚目的部分，是Synacktiv團隊針對特斯拉電子控制單元（ECU）進行的單一整數溢位漏洞攻擊，這項漏洞讓他們不僅進帳20萬美元獎金、20個大師積分，還有1輛特斯拉Model 3，而這是該團隊參與Pwn2Own競賽獲得的第2輛汽車。</p> <p><a href="https://github.blog/2024-03-20-found-means-fixed-introducing-code-scanning-autofix-powered-by-github-copilot-and-codeql/"><strong style="font-size: 22px;">程式碼儲存庫GitHub推出新工具，自動修補用戶部分程式碼的弱點</strong></a></p> <p>3月20日GitHub宣布向Advanced Security用戶提供程式碼自動掃描修復功能（Code Scanning Autofix），借助人工智慧工具GitHub Copilot、程式碼靜態掃描工具CodeQL的力量運作，該功能自動修復的範圍，可以涵蓋約90%的JavaScript、TypeScript、Java、Python程式碼的警告或問題。</p> <p>此外，該修復工具可提供程式碼建議，讓開發者在幾乎不需要編輯程式碼的情況下，修復超過三分之二的漏洞。</p> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://blog.talosintelligence.com/tinyturla-full-kill-chain/"><span style="font-size: 20px;">歐洲非政府組織遭到俄羅斯駭客組織攻擊，被植入後門程式TinyTurla-NG</span></a></strong></p> <p></p> <p><a href="https://blogs.juniper.net/en-us/security/shielding-networks-against-androxgh0st"><strong><span style="font-size: 20px;">竊資軟體AndroxGh0st鎖定網頁應用程式框架Laravel，盜取雲端服務帳密</span></strong></a></p> <p></p> <p><strong><a href="https://www.tenable.com/blog/flowfixation-aws-apache-airflow-service-takeover-vulnerability-and-why-neglecting-guardrails"><span style="font-size: 20px;">研究人員揭露FlowFixation漏洞，攻擊者有可能用來一鍵接管AWS服務帳號</span></a></strong></p> <p><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-fortinet-rce-bug-used-in-attacks-patch-now/"><strong><span style="font-size: 20px;">FortiClient EMS存在危急漏洞，且已被用於攻擊行動</span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/161763"><strong><span style="font-size: 20px;">微軟預告資安AI模型Copilot for Security將於4月1日正式上市</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161889"><strong>【3月21日】多組人馬鎖定TeamCity伺服器加密檔案、用於挖礦、部署後門程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161868"><strong>【3月20日】研究人員針對行動應用程式開發平臺Firebase配置不當氾濫的現象提出警告</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161852"><strong>【3月19日】駭客組織Earth Krahang鎖定政府機關而來，疑為中國資安業者安洵旗下團隊</strong></a></p> </div></div></div>
2024/3/22 12:07作者周峻佑https://www.ithome.com.tw/news/161905
微軟公布第一批有Copilot專用鍵的Surface AI電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/devices/2024/03/21/introducing-surface-pro-10-for-business-and-surface-laptop-6-for-business/" target="_blank">微軟本周宣布</a>第一批鍵盤提供Copilot AI助理專用鍵的商務用Surface產品，包括Surface Pro 10 for Business平板及Surface Laptop 6 for Business筆電，部份市場今起接受預購，預計4月出貨。</p> <p>這是<a href="https://www.ithome.com.tw/news/160671" target="_blank">微軟1月宣布</a>為Windows 11加入獨立的Copilot鍵後，該公司第一批產品。Surface Pro搭配專用的Surface Pro Keyboard鍵盤及Surface Laptop 6鍵盤都加入了獨立鍵，一按即可啟動Copilot。微軟今天並同時宣布<a href="https://www.microsoft.com/en-us/store/b/accessible-adaptive-devices-accessories" target="_blank">Microsoft適應性配件</a>（Adaptive Accessories）系列，包括觸控筆、滑鼠、搖桿等，提供商務用戶客製，用戶可透過3D列印服務列印自有設計。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0322-Copilot%20key-new%20Surface%20Pro-Surface%20Laptop%206%20for%20Business-1-600.png" style="width: 531px;" /></p> <p>微軟指出，這是第一批為AI最佳化的Surface PC系列。兩款Surface產品都採用搭載Windows 11 Pro、Intel Core Ultra vPro處理器、及執行AI的Intel AI Boost NPU，Windows 11 Pro也可降級為Windows 10 Pro。從效能而言，Surface Pro 10比前代提升53%，Laptop 6則為2倍快。NPU整合可支援AI功能如影像優化功能Windows Studio Effects及即時字幕（Live Caption）等。Surface Pro 10為第一款具備114°視野的Windows PC，配合1440p影像及Windows Studio Effects的影像優化功能，方便商務人士以Teams執行視訊會議。</p> <p>為提供企業安全，兩款產品都是Windows 11 Secured-core PC，從硬體面提供Hardware TPM 2.0晶片、BitLocker支援、Windows Hello臉部辨識，並提供NFC驗證可支援YubiKey等硬體金鑰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0322-Microsoft%20Surface%20Pro%2010%20for%20Business-NFC-YubiKeys.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Yubico</span></span></p> <p>二款產品並強調堅固耐用、輕薄及省電。其中Surface Pro 10 for Business搭載13吋PixelSense觸控螢幕，重僅879公克重，電池續航力在一般使用下達19小時，Surface Laptop 6則分13.5吋及15吋機種，重量分別為1.38及1.68公斤，電池續航力達18.5到19小時。</p> <p>其他規格方面，新一代Surface電腦記憶體8GB起跳，並提供最低256GB的固態硬碟選擇。</p> <p>Surface Pro 10及Surface Laptop 6定價皆為$1,200美元，現在開放部份市場預購，用戶需洽詢Surface授權經銷商採購，預定2024年4月9日出貨。臺灣微軟網頁尚未列出價格。</p> </div></div></div>
2024/3/22 13:24作者林妍溱https://www.ithome.com.tw/news/161907
【迎接ZB資料量時代的儲存需求】100TB儲存媒體5年內問世
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1174-feng_mian_p2p3-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著IT應用的資料量持續增長，當前我們所面對的資料儲存與處理規模，正從原本的PB與EB等級，上升到ZB等級。</p> <p>在富士軟片去年中舉行的全球IT主管高峰會議上，有專家呼應了這個觀點。根據顧問公司Horison Information Strategies資深分析師Fred Moore預測，到了2025年，全球的IT應用將產生高達175 ZB的資料量，其中大約11.7 ZB的資料將會實際儲存下來。</p> <p>面對這樣龐大的資料儲存需求，也給儲存媒體的應用帶來更嚴苛的挑戰。</p> <p>以當前主流規格搭配的儲存媒體來說，若要儲存1 ZB的資料，需耗用5,536萬卷LTO-9磁帶（每卷18TB容量），或是5,000萬臺20 TB容量的近線硬碟，又或是6,600多萬臺15 TB容量SSD，消耗的IT資源十分可觀。</p> <p>所以為了更有效率地存放日益龐大的資料，儲存媒體容量也正在迅速增長。</p> <p>而作為當前儲存應用主流的3種主要儲存媒體——磁帶、硬碟、SSD，都在過去幾個月內，出現了重要容量規格進展，打破了長達5年的停滯。</p> <p>上一波SSD與磁帶容量規格升級是在2018年，當時標準2.5吋規格SSD的容量達到30.72 TB，磁帶則達到20 TB，但接下來有足足5年之久，都停留在這個容量，沒有再繼續提升。而在硬碟方面，這段期間也只緩慢地從16 TB提高到22 TB，同樣沒有顯著增長。</p> <p>到了2023年下半，情況終於有所轉變，因為磁帶與SSD的最大容量都出現大幅度躍進，分別越過50 TB與60 TB的門檻，而硬碟的最大容量增長雖然較慢，但也在日前到達了30 TB等級，都較5年前提升了一倍以上。</p> <p>依照這樣的趨勢，預期3到5年以後，硬碟容量將達到40、50TB，而磁帶與SSD容量更將直逼100TB大關。</p> <p>而儲存媒體容量規格的大幅提升，意味著儲存密度的翻升、單位儲存成本的下降，可以透過更低的資源消耗，因應ZB資料量時代的資料儲存需求。</p> <p><span style="font-size:28px;"><strong>推動儲存容量增長的不同路線</strong></span></p> <p>儲存媒體容量的提升，實質上是來自資料記錄密度的提高。由於不同儲存媒體的資料記錄技術有異，促使容量增長的方式也不同。</p> <p>硬碟與磁帶都屬於磁記錄式的儲存媒體，是依靠磁記錄密度的提高，來推動儲存容量的提升。SSD則屬於半導體式的儲存媒體，是利用提高快閃記憶體單元的資料容量與密度，來提升整個儲存裝置的容量。</p> <p><span style="color:#B22222;"><strong>磁帶的容量增長機制</strong></span></p> <p>磁帶儲存密度的增長，主要是透過提高磁帶媒體的資料記錄密度與面積，來提高容量，包括，在磁帶上，使用顆粒更細小、同時還能維持熱穩定性的鐵氧體磁粉（磁粒），結合幫助鐵氧體在磁帶上均勻分布的薄膜塗布技術，藉此可以在磁帶上容納更多磁軌，提高單位儲存密度之餘，也能減少磁帶厚度，進而在磁帶匣容納更長的磁帶。</p> <p>而隨著磁帶磁錄密度的提高，也需要搭配磁頭與資料校正技術的改進，才能正確地存取資料，包括能夠更精確追蹤、定位磁軌的磁頭伺服控制技術，以及減少誤差的演算法等。</p> <p>以當前最普遍使用的LTO磁帶來說，目前最新一代的LTO-9，比起20年前推出的第一代LTO-1，磁帶容納的磁軌數量增加了23倍，磁帶厚度也薄了40%，磁帶匣容納的磁帶長度則延長70%，進而讓每卷磁帶的未壓縮原生容量提高了180倍，從100 GB提高到18 TB。</p> <p><span style="color:#B22222;"><strong>硬碟的容量增長機制</strong></span></p> <p>與磁帶同屬磁記錄媒體的硬碟，同樣是透過資料記錄密度與面積的提高，來提高容量。</p> <p>不過比起磁帶，硬碟的容量提升，受到物理結構更大的限制。磁帶採用捲繞的帶狀結構、可以方便地透過延長磁帶長度來提高記錄資料的面積（當前一卷磁帶匣內部捲繞的磁帶長度，已經有上千公尺長）。</p> <p>相較下，硬碟碟片的面積是固定的，只能透過在硬碟機匣內堆疊更多碟片，藉此增加資料記錄面積，但是在物理結構的限制下，能堆疊的碟片數量有限，因而透過提高資料記錄面積來提升硬碟容量，效果相對有限。</p> <p>因而比起增加資料記錄面積，硬碟更依賴資料記錄密度的提高來提高總體容量。也就是使用顆粒更小、密度更密的磁粒，藉此在固定面積的碟片上增加磁軌數量。但隨著磁粒尺寸的縮小，又會帶來穩定性等一系列問題，因而硬碟還需搭配更複雜的寫入控制技術，才能在提高磁粒密度的同時，維持資料記錄的穩定與可靠。</p> <p>從提高資料記錄密度與面積這兩方面著手的方式而言，過去20年以來，硬碟廠商為了提高容量，陸續引進一系列新技術，包括：（1）幫助提高碟片儲存密度的垂直寫入技術（Perpendicular recording，PMR），與疊瓦式磁記錄技術（Shingled Magnetic Recording，SMR），（2）幫助在機匣內容納更多數量碟片的氦氣充填，還有（3）允許進一步縮小磁粒、而仍能維持寫入穩定的熱輔助磁記錄（Heat-Assisted Magnetic Recording，HAMR），以及微波輔助磁記錄（Microwave-Assisted Magnetic Recording，MAMR）等，顯著提高了碟片儲存密度與整體容量。</p> <p>大約15到16年前，當時主流硬碟規格是每臺硬碟含3到5張碟片，每張碟片可提供166 GB到200 GB左右的容量，每臺硬碟最高可達到1 TB容量。到了現在，最新一代硬碟已能容納10張碟片，每張碟片擁有2 TB到3 TB容量，硬碟的最大容量來到20 TB以至30 TB，容量提升了20、30倍。</p> <p><span style="color:#B22222;"><strong>SSD的容量增長機制</strong></span></p> <p>以快閃記憶體（Flash Memory）為基礎的SSD，主要是透過提高儲存單元（Cell）資料記錄的位元數，以及3D堆疊技術等2種方式，來推動快閃記憶體的容量密度增長，以及SSD容量的提高。</p> <p>提高快閃記憶體儲存單元的資料記錄位元數，也就是儲存單元的多級化（Multi-Level）。最早的SLC，也就是單級單元（Single-Level Cell）快閃記憶體，每個儲存單元（Cell）以2種電壓狀態來記錄1個位元的資料。接下來的MLC（Multi-Level Cell，多級單元快閃記憶體），每個儲存單元以4種電壓狀態來記錄2個位元的資料，因而比SLC倍增儲存單元記錄的資料量。</p> <p>而當前主流的TLC三級單元快閃記憶體（Triple-Level Cell），以及QLC四級單元快閃記憶體（Quad-Level Cell），則分別以8種與16種電壓狀態，在儲存單元記錄3個位元與4個位元的資料，每個儲存單元可記錄的資料量，又比MLC高出33%與1倍。</p> <p>3D堆疊技術則是在3D空間堆疊多層記憶體單元，從而在相同面積獲得倍增的儲存容量。應用在SSD上的3D堆疊技術，是從32層或48層起步，目前主流產品採用的是128到192層技術，最高則可達到232層堆疊。</p> <p>結合多級化儲存單元與3D堆疊技術，帶動SSD容量的快速增長。以2.5吋標準規格的SSD為基準，在2009年突破1TB容量關卡之後，到了2015年就增長到15.36 TB，在2018年又翻倍達到30.72 TB，時至2023年，又推進到61.44 TB。若將非標準規格的SSD也涵蓋在內，2020年就已有100TB容量的SSD問世（採用3.5吋規格）。短短十多年內，SSD的最大容量就已提升超過50倍。</p> <p><span style="font-size:28px;"><strong>SSD領跑，帶動儲存媒體容量增長</strong></span></p> <p>比起擁有半世紀以上歷史的磁帶與硬碟，SSD的普遍應用是近15年的事，早期的容量也比較低，不過憑藉半導體技術的進步，SSD的容量增長後來居上，近5、6年來已把磁帶與硬碟拋在後面。</p> <p>如同我們在2023年10月儲存月報「儲存媒體的容量規格競爭」中提過的，SSD、磁帶、硬碟這3大主要儲存媒體的容量發展，在2016到2018年間曾一度達到交會點，規格都達到14、15 TB的範圍，當時硬碟最大容量是14 TB，SSD是15.36 TB，磁帶是15 TB（IBM的TS1155），但接下來，SSD的容量增長速度便拋開了磁帶與硬碟。</p> <p>SSD的容量在2018年初一舉躍升到30.72 TB（三星的PM1643），磁帶方面雖然也在同一年年底提高到20 TB（IBM TS1160），但已與SSD拉開了差距。相形之下，第1款20 TB容量硬碟（WD的Ultrastar DC HC650），則是在2019年底才發表，顯示硬碟的容量增長速度，已開始跟不上SSD與磁帶的腳步。</p> <p>時隔5年之後，SSD容量在2023年中達到61.44 TB的新高峰（Solidigm的D5-P5336），磁帶也在同年稍後達到單卷50 TB容量（IBM TS1170）。</p> <p>在硬碟方面，雖然自2016年起，也以平均每年增加2 TB的速度，持續的提高容量，但這樣的增長幅度已追不上SSD或磁帶，到了2023年底雖然有了較大幅度的進展，接連出現28 TB與30 TB容量產品，但仍被SSD與磁帶拋開了距離。</p> <p><span style="font-size:28px;"><strong>追逐最大儲存容量成長的極限</strong></span></p> <p>SSD遠高於磁帶與硬碟的容量增長速度，反映出過去10年來，快閃記憶體技術的進步幅度，要高於磁記錄技術，而且快閃記憶體的容量增長後勢強勁，還有相當大的成長潛力。</p> <p><span style="color:#B22222;"><strong>快閃記憶體的容量增長前景</strong></span></p> <p>快閃記憶體的2條提升容量密度路徑——儲存單元的多級化，以及3D堆疊技術，目前都已備妥容量密度更高的下一代技術。</p> <p>在多級化方面，目前市場上的主流是每個儲存單元3位元的TLC，與4位元的QLC，而每個儲存單元可儲存5位元資料的PLC，目前已經在工程開發測試階段，儲存密度可較QLC提高20%。</p> <p>在3D堆疊技術方面，目前市場主流產品是128到192層，目前已開始轉往200層等級。</p> <p>在下一步發展方面，SK hynix已發表321層技術，三星也發表280層技術，又將容量密度提高到了新層次。舉例來說，現有主流的176層TLC快閃記憶體，位元密度則為10 Gb/mm2左右，SK hynix新推出的321層TLC技術則能將位元密度提高到20 Gb/mm2以上，而三星不久前發表的280層QLC技術，更一舉將位元密度提高到28.5 Gb/mm2。這也意味著，在其他條件不變下，應用300層等級3D堆疊技術，將能讓現有的SSD容量提高2、3倍，輕易超過100TB。</p> <p>依快閃記憶體供應商的3D堆疊技術發展規劃，到了2030年時，將能推進到800層以至1,000層，儲存密度還可較現在產品再提高4到5倍以上。</p> <p><span style="color:#B22222;"><strong>磁帶的容量增長前景</strong></span></p> <p>基於磁記錄技術的磁帶與硬碟，容量密度的增長潛力已明顯不如SSD。</p> <p>單就儲存媒體的儲存密度來說，硬碟的單位儲存密度要遠高於磁帶，目前硬碟的儲存密度最高可達到每碟片3TB，也就是大約3.32 Gb/mm2的位元密度，還不到快閃記憶體的1/3，而磁帶更只有0.018到0.05 Gb/mm2左右，只有硬碟的70到80分之1。</p> <p>但磁帶憑藉著捲繞式的設計，只要增加磁帶長度，就能提高資料記錄面積，因為一卷磁帶可用的資料記錄面積，是一臺3.5吋硬碟的數十倍到近百倍，所以磁帶不需要使用太高磁錄密度的技術，就能達到同等或超過硬碟的儲存容量，這也賦予了磁帶更大的容量成長潛力。</p> <p>目前的LTO磁帶規格，已發展到每卷18 TB的LTO-9，依每3、4年更新一代的速度，在2025年以前，應該會推出每卷容量36 TB的LTO-10，然後每卷容量72 TB的LTO-11則會在2027到2028年問世，接著在2030年以後，跨到144TB容量的LTO-12。而IBM的3592磁帶目前發展到每卷50 TB容量的TS-1170，下一代是80 TB容量的TS-1180，預期會在2027年左右推出，然後再跨到160 TB容量。</p> <p>而在未來的成長潛力方面，目前磁帶使用的鋇鐵氧體磁粒，已在實驗室驗證可提高到每卷磁帶220 TB容量密度，若改用新一代的鍶鐵氧體磁粒，還有提高到每卷磁帶500 TB以上容量的潛力。</p> <p><span style="color:#B22222;"><strong>硬碟的容量增長前景</strong></span></p> <p>比起快閃記憶體與磁帶，硬碟容量密度的增長前景，相對而言，較不樂觀，對此，由相關業者組成的先進儲存研究聯盟（Advanced Storage Research Consortium，ASRC），近年來也大幅調降硬碟儲存密度成長的展望。</p> <p>在2014年時，ASRC曾樂觀預測硬碟的儲存密度在2021年就能達到5 Tb/in2（約7.75 Gb/mm2），接下來在2025年提高到10 Tb/in2（約15.5 Gb/mm2）。</p> <p>但實際上到了2021年，硬碟儲存密度才達到1.5 Tb/in2（約2.4 Gb/mm2）左右，增長速度遠不如預期。</p> <p>於是，ASRC在2022年調降了預測，預估硬碟儲存密度達到5 Tb/in2是2028年前後，達到10 Tb/in2則是在2034年以後。目前市售硬碟儲存密度最高是2 Tb/in2（約3.3 Gb/mm2），若依照ASRC的預測，未來10年還有提高5倍的餘裕，進而帶動硬碟的容量增長。</p> <p>在市面上三大主要硬碟供應商中，Toshiba與Seagate都提出容量超過30、40TB的硬碟發展規畫，Toshiba於2022年初發布的硬碟發展路線圖，預定2025年推出35TB硬碟，在2026年以後推出40 TB以上的硬碟。而Seagate在2021年時還提出過更樂觀的規畫，認為透過HAMR技術的採用，預計2025年將可推出50TB硬碟，在2030年甚至將達到100TB。</p> <p><span style="font-size:28px;"><strong>迎向100TB</strong></span></p> <p>以儲存媒體的容量密度來說，是快閃記憶體＞硬碟＞磁帶，不過在容量增長速度與潛力來說，則是快閃記憶體＞磁帶＞硬碟。</p> <p>依照當下的發展趨勢，SSD容量應該在這2年內就能突破100TB大關。事實上，如果不局限於2.5吋SFF與U2這種標準通用規格SSD，一些非標準規格SSD早已實現100TB容量，如Nimbus Data在2020年便推出採用3.5吋規格、容量達100 TB的ExaDrive DC SSD。</p> <p>而憑藉新一代的儲存單元多級化與3D堆疊技術，到了2030年，SSD容量突破300 TB，也不讓人驚訝。</p> <p>而在磁帶方面，應該在2030年前後也能順利突破100TB容量，目前的技術儲備足以支持這樣的增長。</p> <p>對硬碟來說，雖然廠商也提出在2030年推出100TB容量硬碟的規畫，但考慮到硬碟碟片的磁錄密度已經接近物理極限，增長越來越困難，難以在幾年內出現大幅度的進展。</p> <p>而在增加碟片可用面積方面，目前的10碟片設計也接近極限，雖然有廠商提到正在發展11碟片設計，但這只能帶來小幅的容量提升，2年前還有廠商提出14碟片的構想，但實現上非常困難。</p> <p>因而硬碟廠商要如期實現100TB容量升級的時間表，恐怕會有很大的困難。</p> <p><span style="font-size:28px;"><strong>容量規格影響歸檔應用</strong></span></p> <p>而不同儲存媒體容量增長的速度與潛力差異，最終也將影響到不同儲存媒體在儲存應用的版圖消長，特別是在最消耗容量的長期歸檔保存領域。</p> <p>依前面我們引用的資深分析師Fred Moore說法，IT應用所產生的資料中，有80%最終都會以歸檔形式長期保存，當資料產生過後的90到120天，存取機率便會降到5%以下，此時便會進入歸檔保存狀態，預估每年的歸檔資料量增長將達到25%到35%左右。</p> <p>也就是說，歸檔將是容量耗用最大的儲存應用領域。顯然的，儲存媒體的容量越大、密度越高，便能以更少的資源消耗，滿足歸檔儲存所需的龐大容量需求。這也是快閃記憶體近年來開始進入歸檔儲存應用的原因，因為已進入市場的QLC，與發展中的PLC快閃記憶體，都把歸檔列為主要應用。</p> <p>而磁帶憑藉低成本與充足的容量成長潛力，未來應該能持續在歸檔應用中占有一席之地。相較之下，容量成長較為緩慢、且密度提升遭遇物理瓶頸的硬碟，在歸檔長期資料保存應用的角色，恐怕會遭到侵蝕。</p> <p> </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1174-%E5%B0%81%E9%9D%A2P2%2BP3-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>3種儲存媒體的發展起點與容量成長路線各不相同，不過在2015到2018年，一度出現容量規格交會的情況。在2014到2015年間，3種儲存媒體最大容量都達到8至10 TB之間，然後在2016、2018年之間，又一同成長到14至15 TB範圍。</strong></span></p> <p><span style="color:#696969;"><strong>不過，到了2018年以後，SSD的容量成長速度便拋開其他兩種儲存媒體，率先突破30 TB，然後在2023年又超過60 TB。</strong></span></p> <p><span style="color:#696969;"><strong>在磁帶方面，IBM 3592系列的容量成長速度也頗為可觀，先後在2018與2023年達到20 TB與50 TB，要比LTO規格的增長快得多。</strong></span></p> <p><span style="color:#696969;"><strong>至於硬碟方面，自2016到2022年之間，雖然也以每年增加2 TB的速度穩定成長，但比起SSD與磁帶的躍進式容量增長，已經瞠乎其後，到了2023年底到2024年初，才有較大幅度的提升，一舉達到30 TB容量，但與SSD、磁帶之間已有明顯的差距。</strong></span></p> <p class="rtecenter"> </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1174-%E5%B0%81%E9%9D%A2P2%2BP3-600-2.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>就儲存媒體位元密度（bits density）來說，NAND快閃記憶體一枝獨秀，遠高於硬碟與磁帶。我們這裡列出當前容量密度最高的幾款TLC與QLC快閃記憶體，可見到容量密度是22 TB與30 TB硬碟的5到6倍以上，這也解釋尺寸較小的SSD何以擁有較硬碟高出許多的容量。</strong></span></p> <p><span style="color:#696969;"><strong>要特別注意的是磁帶，從表中可以看出，磁帶的位元密度要比SSD或硬碟要低了2到3個層次，但磁帶是捲繞式的架構，能夠「以面積換容量」，只要延長磁帶長度，就能簡單地增加資料記錄面積，從而提高容量。</strong></span></p> <p><span style="color:#696969;"><strong>事實上，當前的主流磁帶規格都已採用上千公尺長的磁帶，資料記錄面積是硬碟的數十倍到近百倍，因此磁帶只需使用較低的磁錄密度技術，就能得到超越硬碟的總容量。</strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ssd">SSD</a></div><div class="field-item odd"><a href="/tags/%E7%A1%AC%E7%A2%9F">硬碟</a></div><div class="field-item even"><a href="/tags/%E7%A3%81%E5%B8%B6">磁帶</a></div><div class="field-item odd"><a href="/tags/%E4%BC%81%E6%A5%AD%E5%84%B2%E5%AD%98%E6%87%89%E7%94%A8">企業儲存應用</a></div><div class="field-item even"><a href="/tags/100tb">100TB</a></div></div></div>
2024/3/22 13:55作者張明德https://www.ithome.com.tw/tech/161908
美國司法部、16州控告蘋果壟斷智慧型手機市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部及加州、紐約州等16州周四<a href="https://www.justice.gov/opa/pr/justice-department-sues-apple-monopolizing-smartphone-markets" target="_blank">控告蘋果壟斷智慧型手機市場</a>，包含採取違法手段阻礙美國民眾轉換手機、打壓應用程式、產品、服務創新，以維持iOS及iPhone獨占優勢，並迫使消費者及企業用戶支付更高費用。</p> <p>美國司法部在紐澤西州地方法院提起告訴，並有加州、紐約州、亞歷桑納州等15州及哥倫比亞特區參與，控告蘋果壟斷或試圖壟斷智慧型手機市場，違反美國反托拉斯法。這是繼1998年對微軟控告Windows壟斷PC作業系統並搭售IE瀏覽器以來，美國司法部再度對科技龍頭提出壟斷控訴。</p> <p>司法部及16州相信，蘋果選擇性對某些開發商行使合約限制，並限縮存取管道，以維持智慧型手機壟斷。蘋果排擠了原本可降低消費者對iPhone的依賴、提供相容性，以及降低成本的應用程式、產品和服務。透過行使壟斷權，蘋果得以從消費者、開發商、內容創作者、出版商、店家和小型企業賺取更多錢。</p> <p>美國司法部長Merrick Garland指出，消費者不應被迫支付更高費用，因為是廠商違法。他說，蘋果能在市場勝出，並非只基於法定權利，甚至還違反反托拉斯法，如果置之不理，將任憑蘋果強化智慧型手機壟斷局面。</p> <p>美國政府控訴蘋果運用對iPhone的主導權行使壟斷行為，並列出五大罪狀。五大罪狀包括封鎖創新的超級App，擾亂可讓消費者輕鬆在競爭手機平臺間轉換的App成長（例如Spotify）；打壓行動雲端串流服務，打壓可讓消費者無需買昂貴手機硬體，即可享受高品質電玩和其他雲端應用的雲端串流App（例如Epic Games）；排擠跨平臺訊息App，讓跨平臺訊息品質與安全性降低、難以創新（指的是讓非iPhone訊息和iMessage無法互通）；限制第三方智慧手錶的功能，讓Apple Watch消費者不得不繼續花大錢升級iPhone。最後是限制第三方電子錢包，使這些App無法使用一鍵支付（Tap-to-pay）功能，阻礙跨平臺第三方電子錢包的開發。</p> <p>其他罪狀還包括蘋果影響瀏覽器、視訊、新聞訂閱、娛樂、車上資訊服務、廣告、定位服務等反競爭行為。</p> <p><a href="https://www.nytimes.com/2024/03/21/technology/apple-doj-lawsuit-antitrust.html" target="_blank">蘋果周四已做出回應</a>。蘋果指出，該公司設計出無縫整合的產品，確保用戶隱私和安全性，並開發優異的使用者體驗，這官司威脅公司宗旨及讓蘋果在激烈競爭市場中領先的原則。一旦官司成功，將阻礙蘋果開發消費者期待的技術，也將立下危險前例，給了政府介入影響科技設計的權力，該公司將極力捍衛這項權利。蘋果周四股價下跌2%。</p> <p>美國司法部和16州的控告案是繼今年3月正式施行的<a href="https://www.ithome.com.tw/news/158633" target="_blank">歐盟《數位市場法》</a>（Digital Markets Act，DMA）後，由國家行政部門主導的反托拉斯行動。但美國政府關注點更多；歐盟並未要求蘋果iPhone允許第三方市集App，或是開放Tap to Pay給第三方廠商存取。</p> <p>蘋果打壓競爭對手，是本案和1998年司法部vs微軟案中最相似的地方。不過有觀點認為，司法部所謂蘋果的「壟斷」和微軟當年不同。例如，<a href="https://techcrunch.com/2024/03/21/apples-iphone-is-not-a-monopoly-like-windows-was-a-monopoly/" target="_blank">《Techcrunch》</a>分析，1998年，Windows市占高達90%，但iOS市占遠不及如此；根據<a href="https://gs.statcounter.com/os-market-share/mobile/worldwide" target="_blank">Statcounter數據</a>，iOS市佔為27.84%。<a href="https://www.nytimes.com/2024/03/21/technology/apple-doj-lawsuit-antitrust.html" target="_blank">一些法學專家則指出</a>，所有廠商都允許有偏私自家產品的商業行為，司法部得解釋，何以獨獨蘋果這樣做不行。</p> <p>但一旦判決傾向原告，可能會對產業產生重大影響。微軟在1998年被起訴後，雖然2001年和司法部達成和解，但也迫使微軟IE瀏覽器從此失去市場，而微軟創辦人比爾蓋茲事後也回憶，官司也讓微軟無法專心開發手機作業系統，錯失行動平臺的機會。</p> <p>另一方面，因應DMA上路，蘋果也在本月相繼公佈多項開放措施，包括<a href="https://www.ithome.com.tw/news/161669" target="_blank">允許用戶</a>將iCloud、iPhone資料搬到Android平臺、<a href="https://www.ithome.com.tw/news/161035" target="_blank">同意開發商</a>將用戶導向外部App市集下載或支付網站，並讓<a href="https://www.ithome.com.tw/news/161267" target="_blank">iOS App在第三方市集上架</a>等。</p> </div></div></div>
2024/3/22 12:40作者林妍溱https://www.ithome.com.tw/news/161904
成功大學加速永續轉型的關鍵，建校務資料湖強化數據治理
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，在永續熱潮下，不只政府部門帶頭推動公部門永續發展，這股永續性的風潮也吹向教育機構，不少國立大學紛紛開始將永續校園列為未來發展新方向，成功大學就是其中一間，從2023年開始展開數位治理推動計畫，要善用資料與數位新興科技加速學校的轉型，邁向永續校園。</p> <p>負責執行成功大學數位治理計畫的關鍵團隊，正是成大計算機與網路中心（以下稱計網中心）的IT團隊，未來將透過IT與數位化科技協助校方加速推動治理的轉型。</p> <p>成大計網中心今年還要打造一個校務研究資料湖，強化資料治理，這個資料湖也成了推動成大數位治理、加速校園轉型的重要關鍵。</p> <p>「這個資料湖未來將成為成大發展數位治理一個關鍵基底，加速推動智慧校務研究與發展。」成功大學計算機與網路中心主任陳培殷如此表示。</p> <p><span style="font-size:28px;"><strong>建置校務研究資料湖，作為發展數位治理的重要關鍵基礎</strong></span></p> <p>陳培殷表示，這套資料湖平臺中，將包含各種儲存、運算硬體資源，建立專用資料庫及軟硬體環境，提供資料分析、預處理、視覺化等功能。</p> <p>資料湖本身將來會串接多套系統，包括校務系統、各單位系統等，也能夠儲存各種資料，包括結構化、非結構化的資料輸入，更重要的是，讓資料可以更容易存取，用於各種分析工作。</p> <p>採用資料湖還有另一個好處是，當行政單位需要進行分析時，可以直接從資料湖中取得所需資料，較不會影響原有的系統運作。例如可以快速分析今年多少學生來自繁星計畫，以及不同管道或是不同地區錄取的學生分布。</p> <p>在成功大學導入資料湖平臺作為底層的數據基礎設施後，接著將展開數據分析的工作。</p> <p><span style="font-size:28px;"><strong>導入新的數據分析平臺，將與資料湖結合，呈現視覺圖形分析</strong></span></p> <p>陳培殷表示，待今年下半資料湖啟用後，將會開始讓各行政單位能夠結合資料湖中的數據進行相關研究與分析。</p> <p>舉例來說，在視覺化研究方面，系統可即時抓取資料湖中的資料，利用視覺化資料圖表即時更新資訊，讓研究人員能夠很方便利用這些資訊展開校務研究相關工作，不僅能夠縮短開發時間，還有助於提高校務研究開發的效率。</p> <p>不光如此，計網中心還建置了Tableau數據分析平臺，未來該平臺將與資料湖緊密結合，不僅能夠將校務研究資料進行視覺化呈現，還可提供單位主管進行查詢、研究分析與視圖互動等功能，提供校務決策參考。他表示，目前已展開小規模試用。</p> <p><span style="font-size:28px;"><strong>推動上百套校務系統瘦身計畫，解決系統數過多的難題</strong></span></p> <p>不只要建置資料湖，陳培殷還有另一項重要任務，是要推動校務系統瘦身的計畫，解決系統數過多的難題。</p> <p>過去，成大每年有不少新系統上線，但隨著各單位數位化需求提高，計網中心每年需要開發新系統越來越多。截至2018年底，校務行政系統的數量累計已達到150套，陳培殷在2021年接任IT主管後，這個數字更增加到超過200套，距離2018年僅過不到4年，相當於平均每年上線10多套系統。</p> <p>計網中心要維運和管理多達上百套系統，IT維運人員的負擔變得越來越繁重。可是，資訊人力卻有限，即使到了今年增加到接近50人，IT人力增長的速度仍然趕不上新系統上線的速度。這成了資訊部門推動數位轉型面臨的一大挑戰。</p> <p>為了解決這個問題，陳培殷從兩面向著手改善，一方面展開內部盤點，將一些老舊系統進行汰換或將一些相對次要或不重要的系統下架，並將各單位系統中共通的功能加以整併；另一方面，從管理層面下手，加強資訊人員之間的橫向連結，以減少相同系統或功能的重覆開發。他進一步指出：「不考慮額外開發的新系統，未來4年將現有系統的數量減少到150套為目標。」</p> <p><span style="font-size:28px;"><strong>透過單一窗口系統，讓新進教職人員開通權限全程不用5分鐘</strong></span></p> <p>成大很早就開始推動校務內部數位化的發展，近兩年持續將現有的行政作業流程加以數位化，例如在2023年時，他們對校務行政系統進行強化，加入許多新系統，協助行政單位用於人事資料查詢、宿舍及UCAN管理等。</p> <p>計網中心今年進一步擴大到專案人員聘任、教師升等作業程序，皆改用系統化的方式完成所有流程。</p> <p>陳培殷表示，隨著數位化的推動，整個行政作業流程變得更加自動化。</p> <p>例如，成大光是教職員就有一千多人，學生更有2萬多名，以往職員辦理離職，光是要到人事室辦理註銷流程就得耗費不少時間，現在透過單一窗口系統，來提供統一開通或註銷作業，不論是新進職員、老師報到或新生註冊，不用5分鐘就可以開通相應的權限，如出入門禁等。</p> <p>陳培殷表示：「IT作為支援單位，應優先考慮維持校園資訊服務的系統穩定，並依據使用者單位需求，將行政服務、流程數位化，甚至邁向自動化。」</p> <p>不只推出新系統，計網中心還重新優化改寫現有的校務系統，包括學籍系統，並完成了NCKU App與KUAP App的整併。</p> <p>計網中心今年上半還將翻新個人化學職規劃系統等。此外，他們陸續協助各行政單位將既有委外的系統進行改寫，重新開發出一套新系統，貼近成大的使用需求，不僅有助於系統的維護與管理，還能減少對於委外的依賴。例如今年底前預計將完成導生e點通服務，與e化諮商輔導服務的重構。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1174-%E6%88%90%E5%A4%A7CXO-%E6%8A%BD%E8%A8%80.png" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>建立一套效能監測機制，能即時偵測網路選課流量調度資源應對</strong></span></p> <p>不只開發或重構系統，成大資訊團隊今年開始還建立各種監控機制，用於即時監測校內一些重要系統的運作效能，以此進行必要的資源調度。</p> <p>舉例來說，成大的全校學生約有2.3萬人，每學期選課時段，有時許多人在同一時間上網選課，導致系統必須支援成千或上萬名學生的上線流量，若是無法即時處理，就會影響到學生選課。</p> <p>為了改善這個問題，計網中心導入一套效能監控系統，可以即時監測網路選課系統的運作效能進行資源調度，來因應尖峰時段的選課需求。</p> <p>除了監測選課使用情況，這套系統還進一步將入口網站等其他重要系統一併納入監控範圍，以確保整體系統的順暢運作。</p> <p><span style="font-size:28px;"><strong>將建置行政雲整併各行政單位IT設備，加強落實機房向上集中</strong></span></p> <p>成大計網中心幾年前就開始推動資訊資源的向上集中，由計網中心統一規畫和管理。尤其成大的行政處室眾多，大大小小的處室可能多達百個，每個處室都擁有自己的系統，這些系統大部分是委外開發，使得資訊部門管理不易，也增加了資安風險。</p> <p>計網中心今年下半年將建置行政雲，整併各行政單位的軟體硬設備，來加強落實機房向上集中政策。</p> <p>陳培殷表示，未來將透過行政雲的虛擬機提供行政單位所需的資訊服務，並先從學校的重要處室開始整併，如教務處、學務處等，透過機房整併，在提升資安防護的同時，亦能滿足相關法規的要求。</p> <p>陳培殷上任以來，持續增加對於校內IT基礎設施發展的投資。舉例來說，網路是大學很重要的關鍵基礎設施之一，計網中心這些年持續加強與升級校園網路，例如去年擴充無線網路連線數，最多可以支援1.5萬名師生同時連線。</p> <p>計網中心今年還規畫建置無線網路監控中心，加強對於無線網路環境的監控，以提高網路使用穩定度和品質。</p> <p>2020年疫情爆發，各大學紛紛改用線上教學方式，對成大IT部門帶來了挑戰，需要迅速調整學校的教學系統和網路設施，以支援遠端教學的需求。這段期間，計網中心將校園骨幹網路的連線頻寬將增加為40G，提供更快速的網路，來支援教師線上教學的網路頻寬的需求。</p> <p>但線上教學帶來另一個挑戰是，需要大量儲存空間，來支援教師上傳使用Webex視訊軟體錄製的授課影片。他舉例，平均每月的用量超過1TB。因此，疫情嚴峻期間，計網中心必須要增加儲存空間來應對這個需求。</p> <p><span style="font-size:28px;"><strong>面對定期的資安稽核，持續加強學校資安防護</strong></span></p> <p>在資安防護措施上，成大也很有一套。例如成大近年來開始在校園入口網建立導流機制，透過導流設備來防堵和有效分散外部相關惡意攻擊的連線流量，不會進到成大的內部設備，減少學校發生資安事件的機率。</p> <p>在陳培殷2021年接任後，不僅持續透過IT協助校方抗疫，同時還得面對教育部定期的資安稽核，加強學校資安防護，配合資安法通過後，教育部對於公立大學資安防護要求的加強措施。</p> <p>例如，成大近兩年開始在行政與教學單位導入政府組態基準（GCB）與建立資通安全弱點通報機制VANS，加強內部設備的資安保護。</p> <p>此外，他們還搭配資安防護工具EDR，提高對於端點系統上異常活動的偵測能力，這些端點系統包括核心資通系統或是具有校務資料庫存取權限的公務電腦等。</p> <p>另一方面，針對各單位的現有的委外系統及相關資訊設備，成大計網中心今年還將建置遠端存取監控及錄影平臺，以後不同的維護廠商從遠端連線的維護作業，校內IT人員都可以透過這套平臺統一進行監控和管理。</p> <p>除此之外，在網站安全防護方面，成大今年還將打造一套弱點掃描與品質檢測平臺，透過這套平臺，能夠協助偵測校內使用的網站有無符合不同安全強度的分級要求，來落實更多資安要求。</p> <p>成大目前已有建立異地備份機制，除了成大計網中心機房之外，還透過在暨南大學作為異地備援，來達到備份重要資料的目的。陳培殷表示，今年成大計網中心將持續提高備援的容量，進一步提高資料備分的完整性與安全性。文⊙余至浩</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>成功大學計算機與網路中心主任陳培殷</strong></p> <p>學歷：成功大學電機所博士</p> <p>經歷：目前是成功大學資工系特聘教授，過去在成大擔任行政管理工作超過14年以上，曾擔任過成大資訊工程系教授、成大資工系系主任、成大電機資訊學院副院長，2021年開始接任成大計網中心主任，協助學校推動數位治理，加速校園的轉型</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><strong>成功大學</strong></p> <p>地址：臺南市東區大學路1號</p> <p>網址：<a href="http://www.ncku.edu.tw">www.ncku.edu.tw</a></p> <p>成立時間：1931年</p> <p>教職員人數：約1,800人</p> <p>學生人數：23,082人</p> <p>主要業務：教學、研究</p> <p>校長：沈孟儒</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：計算機與網路中心主任</p> <p>資訊部門主管姓名：陳培殷</p> <p>資訊部門人數：48人</p> <p>資訊部門分工：網路與資訊安全組、資訊系統發展組、教學科技組、行政與諮詢組</p> <p>IT預算：4,500萬元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2023年：推動數位治理轉型、持續強化校務系統服務及功能</p> <p>2024年：規畫建置行政雲、導入虛擬化數據中心效能監控系統、規劃建置無線網路監控中心</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1174-cxo-cheng_da_-960.jpg" width="960" height="420" alt="" title="成功大學計算機與網路中心主任陳培殷" /></div></div></div>
2024/3/22 13:08作者余至浩https://www.ithome.com.tw/people/161906
為什麼工程師要有大局觀
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1173-itshu_zhai_-1p-staffgong_cheng_shi_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個團隊要在A和B兩個軟體中做出選擇。這兩個軟體都擁有必要的功能，但A軟體明顯更容易設置，它就是能發揮作用。B軟體則更難一些：它需要幾個衝刺週期的啟動時間，而沒有人願意等那麼久。</p> <p>從這個團隊的角度來看，選擇A軟體是個明智的決定。何必要選擇其他東西呢？然而其他團隊寧願他們選擇B軟體。因為事實證明，A軟體會給法律和安全團隊帶來持續性工作，它的認證需求意味著IT和平台團隊將不得不永遠把它作為一個特殊案例。選擇A軟體，即該團隊的區域極大值（local maximum，單個群體的最佳決策），此團隊在不知不覺中選擇了一個對公司整體來說得投入更多時間的解決方案。B軟體對團隊來說只是稍微差一點，但整體上要好得多。額外的兩個衝刺週期將在一個工作季度內得到回報，但這一事實只有當團隊中有人以更具大局觀的視角來觀察時才得以顯現。</p> <p>為了避免產生區域極大值，團隊需要決策者（或至少是決策影響者）從局外人的角度看見更大格局—同時考量多個團隊的目標，並選擇一條對整個組織或整個企業最有利的道路。</p> <p>與看到現在的大局同等重要的是，預測你的決策在未來會如何發展。一年後，你會對什麼事情感到後悔？三年後，你會希望你現在就做哪些事情？為了朝著同一個方向前進，各個小組需要在技術策略上達成一致，比如要投資哪些技術、對哪些平台進行標準化等等。這些巨大決定的最終結果可能難以捉摸，而且往往是有爭議性的，所以做出決策的關鍵要點在於能夠分享脈絡資訊，並幫助其他人確實理解。</p> <p>因此，如果你想做出廣泛的、具有前瞻性的決定，你需要能夠看見大局的人。但是，難道這個人不能是經理嗎？難道不能由首席技術長（CTO）來搞懂所有的「業務事項」，將其轉化為技術目標，告訴下面的人嗎？</p> <p>在一些團隊中，他們確實可以。對於一個小團隊來說，經理往往可以擔任最有經驗的技術專家，負責重大決策和技術指導。在一個小公司裡，首席技術長可以深入參與每個決定的細節。這些公司可能不需要Staff工程師。但是，管理權限可能會掩蓋技術判斷：即使有更好的解決方案，下屬可能會覺得與經理爭論技術決測是不合適的。而管理本身就是一項需要全身心投入的全職工作。一個致力於成為優秀人事經理的人，很難分配較多時間去瞭解技術發展的最新情況，而任何身處複雜工作情境的管理者，會較難滿足其下屬需求。</p> <p>那「架構師」呢？在一些公司，「架構師」是職涯階梯中技術軌道上的一個職等。在其他公司，架構師是抽象的系統設計師，他們有自己的職涯路徑，與實作系統的工程師不同。在本書中，我打算將軟體設計和架構視為Staff工程師角色的一部分。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>為什麼工程師需要領導跨團隊專案</strong></span></span></p> <p>保持專案進展的一個方法是讓某人對整個專案擁有全部的所有權，而不是這個專案的任何個別部分。甚至在專案啟動之前，這個人就可以清楚界定專案範圍，並建立一個提案。當專案開始後，他們很可能是大方向系統設計的作者或共同作者，也是專案的主要聯絡人。他們秉持高工程標準，以經驗為據預測風險，並提出切中要點的困難問題。他們還會花時間非正式地指導或輔導，或是為專案的各個部分的負責人樹立一個好的榜樣。當專案陷入困境時，他們有足夠的視角來追蹤原因並進行疏通。在專案之外，他們要描述正在發生的事情和原因，向公司其他部門推銷願景，並解釋這項工作將會實現願景，以及新專案如何影響到每個人。</p> <p>技術專案經理（TPM）難道不能做好這種建立共識和溝通的工作嗎？確實，在TPM的職責上與此有所重疊。不過，總的來說，TPM負責的是交付，而不是設計，也不是工程品質。TPM負責確保專案按時完成，而Staff工程師則負責確保專案以高工程標準完成。Staff工程師負責確保開發出來的系統是強大的，並且與公司的技術環境相輔相成。他們謹慎看待技術債，對任何會成為這些系統未來維護者的陷阱的東西都保持警惕。</p> <p>經驗不足的團隊成員可能從未見過好的軟體如何被製作出來，或者可能認為生產程式碼是軟體工程中唯一重要的技能。經驗豐富的工程師可以透過指導程式碼和設計審查，提供架構的最佳實踐，以及打造各種工具，使大家的工作更快、更安全，因而發揮巨大的影響力。</p> <p>Staff工程師是人們的榜樣。經理負責在他們的團隊中建立文化，強制執行好的行為，並確保標準得到滿足。相對地，工程規範是由專案中最受尊敬的工程師的行為而設定的。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Staff工程師雖然不是經理，但仍是領導者</strong></span></span></p> <p>先講重點：Staff工程師是一個領袖角色。Staff工程師通常與部門經理具有同等資歷。Principal工程師的資歷通常與總監（Director）相仿。身為一名與經理職等對應的Staff+ 工程師，你被期待與他們一樣成為「房間裡的大人」。你甚至會發現，你比組織中一些經理更資深、更有經驗。每當出現「應該有人在此時做出行動」的感覺時，這個人極有可能就是你本人。</p> <p>你一定得成為領導者嗎？中階工程師有時會問我，他們是否真的需要精通「那些軟綿綿的人際關係」才能更上一層樓。難道技術能力還不夠嗎？如果你是那種因為想做技術工作而進入軟體工程領域的人，不喜歡與其他人類打交道，那麼當你在職業生涯中遇到了這堵牆，你可能會覺得不公平。如果你想繼續成長，扎實的技術實力只能帶你走到這裡。完成更大的事情意味著與更多的人一起工作，這需要更廣泛的技能。</p> <p>隨著你的薪酬增加，你的時間變得越來越昂貴，你所做的工作被期望具有更多價值及更大影響。你的技術判斷需要將業務的現實層面列入考量，並且謹慎思考任何特定的專案是否值得一做。隨著資歷增加，你將承擔更大的專案，這些專案如果沒有合作、溝通和協調，是不可能成功的；如果你不能說服團隊中的其他人相信你的方案是正確的，你那出色的方案只會讓你本人感到沮喪。無論你是否願意，你都會成為一個榜樣：其他工程師會從那些擁有高職等頭銜的人身上瞭解如何行事。所以，噢不，你無可避免地會成為一位領導者。</p> <p>不過，Staff工程師的領導方式與經理不同。Staff工程師通常沒有直接下屬。雖然他們參與並投入於培養身邊工程師的技術能力，但他們不負責管理任何人的業績或批准假期或費用報銷。他們不能解僱或幫人升職—儘管團隊經理應該重視他們對其他成員的技能和產出的意見。他們的影響力發生在其他方面。</p> <p>領導力有很多形式，而這些形式可能不會使你立即察覺。它可以來自於設計「快樂路徑」的解決方案，保護其他工程師免受常見錯誤的拖累。它可以來自於審查其他工程師的程式碼和設計，提升他們的信心和技能，或者，領導力也能來自於強調一個設計方案沒有滿足真正的商業需求。教學是一種領導力的形式。默不作聲地提升每個人的實力是一種領導力。設定技術方向是一種領導力。最後，擁有一個明星技術專家的聲譽，能夠大大激勵其他人為你的計畫買帳，因為他們覺得你值得信任。如果上面這些敘述聽起來跟你很像，那麼你猜怎麼著？你是一位領導者。<span style="color:#696969;"><strong>（本文摘錄整理自《Staff工程師之路》第一章，碁峰資訊提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Staff%E5%B7%A5%E7%A8%8B%E5%B8%AB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%A2%81%E5%B3%B0%E8%B3%87%E8%A8%8A.png" style="width: 500px; height: 300px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_碁峰資訊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> Staff工程師之路：獻給個人貢獻者成長與改變的導航指南（The Staff Engineer's Path）</strong></p> <p>Tanya Reilly／著；沈佩誼／譯</p> <p>碁峰資訊出版</p> <p>定價：580元</p> <p><a href="https://engineering.squarespace.com/blog/2020/the-nuts-and-bolts-with-tanya-reilly" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Staff%E5%B7%A5%E7%A8%8B%E5%B8%AB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Squarespace.jpg" style="width: 160px;" /></a></p> <p><a href="https://engineering.squarespace.com/blog/2020/the-nuts-and-bolts-with-tanya-reilly" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Squarespace</span></span></a></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <p><strong>Tanya Reilly</strong></p> <p>擁有超過20年的軟體工程經驗，目前擔任Squarespace的資深首席工程師，從事架構與技術策略工作。在此之前，她曾任職於Google十二年，負責地球上一些最大的分散式系統。她是LeadDev StaffPlus的組織者與主持人，經常參與會議和主題演講活動。她來自愛爾蘭，現居住於美國布魯克林。</p> </div></div></div>
2024/3/22 11:00未署名https://www.ithome.com.tw/article/161805
GitHub預覽程式碼掃描自動修復功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub向所有GitHub Advanced Security用戶提供<a href="https://github.blog/2024-03-20-found-means-fixed-introducing-code-scanning-autofix-powered-by-github-copilot-and-codeql/">程式碼掃描自動修復功能（Code Scanning Autofix）</a>，借助GitHub Copilot和靜態掃描程式碼工具CodeQL的支援，程式碼掃描自動修復可以涵蓋JavaScript、TypeScript、Java和Python程式碼中90％的警告或問題。此外，程式碼掃描自動修復還提供程式碼建議，讓開發者可以在幾乎不需要編輯程式碼的情況下，修復超過三分之二發現的漏洞。</p> <p>在程式碼中發現漏洞時，程式碼掃描自動修復功能會提供自然語言解釋，開發人員可以選擇接受、編輯或是拒絕程式碼建議。除了對當前文件進行更改之外，自動修復功能還可以修改多個檔案，並調整專案中的相依項目，更全面地修復問題。</p> <p>程式碼掃描自動修復由多個元件共同運作，以自動生成修復漏洞的具體建議。在背景中利用CodeQL引擎，以及一系列啟發式演算法，並結合GitHub Copilot API來生成程式碼建議。</p> <p>這項新功能有助於減緩組織安全債的增加，GitHub提到，雖然應用程式仍然是主要的攻擊向量，但多數組織也承認生產環境的儲存庫中，程式碼有越來越多尚未修復的漏洞。而程式碼掃描自動修復功能可以讓開發人員在編寫程式的同時，更容易地修復漏洞。</p> <p>GitHub承諾會支援更多的語言，接下來程式碼掃描自動修復功能也會涵蓋C#和Go的程式碼。</p> </div></div></div>
2024/3/22 08:23作者李建興https://www.ithome.com.tw/news/161902
星展組織轉型之旅：數據運用篇
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0322-itshu_zhai_-1p-xing_zhan_zhuan_xing_shou_ce_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商業周刊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以數據為基礎的企業文化轉型過程中，星展銀行的核心議題是利用數據實現客戶價值最大化、控制風險（包括信用風險和營運風險）和增加收入。</p> <p>星展銀行以數據為基礎的企業文化轉型，在以下三方面展開：</p> <p><strong>1. 構建技能和文化：</strong>構建技能和文化，同時培養資料科學家、管理人員和擁護者，推動創造價值。</p> <p><strong>2. 提高數據的可用性：</strong>允許能夠無障礙地取得高品質數據，同時保持控制。</p> <p><strong>3. 創建以目標為基礎的數據平台：</strong>創建一個可擴展的、安全的、高性能的架構和工具集，然後用以數據為基礎的案例充實它。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>構建技能和文化</strong></span></span></p> <p>打造以數據為基礎的企業文化，更重要的是改變員工的行為，而不是資料本身。分析資料比較容易，困難的是鼓勵人們改變原有的工作方式。星展銀行致力於開發無須批准就能立刻自動取得資料的功能，員工能否取得資料取決於在銀行等級以及取得資料的目的。</p> <p>讓位於不同國家和地區的星展銀行的每個員工都培養以數據為基礎的企業文化，是一個巨大的目標。轉型團隊希望藉由創造微小的成功，以建立對這種新的策略和數位工作方式的信心。星展銀行提供給員工的幫助越多，員工就會越常使用資料。最初的成功案例如下。</p> <p><span style="color:#B22222;"><strong>更好的資料，更好的決策</strong></span></p> <p>多年來，星展銀行已經在使用大資料並專注於分析資料。2014年，它與新加坡科學技術研究局合作，創建了自己的實驗室，並讓資料科學家與銀行家合作。星展銀行裡任何想出好點子的人，都能獲得進入實驗室的機會。這讓參與數據分析變得有趣。所以每個季度都會有很多人參與好點子比賽，那些被選中的人有機會去實驗室將想法付諸實踐。</p> <p>這種沒什麼風險的方法，鼓勵人們去了解數據分析可以做什麼，尤其是在採用大數據的早期，當時很少有人了解它的潛在價值。這為數據分析團隊開展工作奠定了基礎。</p> <p><span style="color:#B22222;"><strong>從交叉銷售到交叉購買的解決方案</strong></span></p> <p>在銀行業，一個關鍵的機會是向客戶交叉銷售產品。在獲客成本較高的情況下，交叉銷售意味著一旦人們成為客戶，銀行的目標就是向他們銷售更多的產品和服務。</p> <p>當銀行能夠更好地利用資料了解客戶以及客戶所處的環境時，就能夠更好地向客戶提供建議。員工會問：「從收集到的資料中，有哪些會吸引客戶交叉購買產品？」</p> <p>可用的數據有利於從交叉銷售轉向交叉購買，但這需要相當多的努力和相當長的時間。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>提高數據的可用性</strong></span></span></p> <p>轉型團隊的重點是鼓勵所有員工都能輕鬆地進行數據分析，無論是小型數據分析還是大型數據分析，無論是基礎分析還是機器學習。例如，預測抵押貸款客戶流失，預測哪個客戶會致電客戶服務中心。</p> <p>另一個最初的挑戰是將資料報告從靜態轉變為即時決策。對於習慣使用投影片來報告和展示歷史資料的組織來說，這並不容易。一開始，轉型團隊成員問業務負責人：「你們打算做出什麼決定？」然後，他們使用設計思維，研究如何透過資料視覺化優化專案決策。從現有的報告中，他們還可以看到用戶在做什麼決定。一旦明確了關鍵決策並達成一致，設計師就會著手構建一個儀表板原型，強調這些決策和所需的相關見解，這個原型經測試最終拍板定案。</p> <p>使用這種方法改變業務時的一個關鍵因素是，思考的是要解決的問題而非要使用的資料。</p> <p>在資料使用方面取得成功的案例如下所示。</p> <p><span style="color:#B22222;"><strong>減少報告數量</strong></span></p> <p>數據分析團隊審查了整個銀行每月發出的報告數量。然後，團隊開始測試：停止發送所有報告，等著看是誰要這些報告。接下來，它取消了沒有得到請求的報告。透過研討會，數據分析團隊繼續培訓員工自己抓取資料的能力，並且只產出他們需要的報告。</p> <p><span style="color:#B22222;"><strong>預測客戶關係經理何時離職</strong></span></p> <p>另一個早期的成功案例是，透過建立模型來預測分析客戶關係經理考慮什麼時候離開銀行。在許多銀行，客戶關係經理的流動率很高。當時，這些資料只是放在銀行裡，沒有被使用。數據分析團隊和人力資源團隊的成員發現，某些資料可以讓他們預測客戶關係經理是否有可能離職。</p> <p>員工辭職前的600個行為數據點被用於機器學習，它能告訴星展哪些員工可能在三個月內離職，準確率高達85%。</p> <p>如今，該分析模型每月會推送一份數位報告，提醒主管潛在的員工離職情況，並擬定管理者可以採取的具體措施。當他們採取這些糾正措施時，星展銀行留下了90%以上可能離職的員工。</p> <p><span style="color:#B22222;"><strong>創造指數級的結果</strong></span></p> <p>隨著數據分析在星展銀行內部的發展，管理層能夠利用資料創造指數級的結果。例如，預測應用程式可能出現的故障，或者協助客戶透過客服中心提前處理可能出現的問題。</p> <p>現在，星展銀行使用數據來更加了解客戶。</p> <p>數據分析團隊使用演算法來解決問題，例如，某地區最適合在什麼時候推出何種信用卡。它還使用客戶科學來協助客戶預測可能出現的問題，並幫助他們提前消除這些問題。例如，團隊會追蹤客戶如何使用銀行自有的應用軟體，以及他們的每一次交互行為。他們的行為是什麼？他們什麼時候登入和退出？在研究這些資料的基礎上，團隊整合了業務，使用名為Prophet的時間序列預測模型來識別未來可能的失敗。</p> <p>數據分析團隊還創建了一個卓越中心，由資料科學家和翻譯人員組成。這些團隊與業務團隊合作，充分發揮了數據的價值。</p> <p><span style="color:#B22222;"><strong>機器學習的技能</strong></span></p> <p>在員工開始嘗試數據分析之後，他們的技能和決策能力都增加了。使用特定的參數，能夠幫助他們更好地定義問題。機器學習尤其需要清楚地定義問題。如果員工不能明確定義問題，他們就無法明確決定解決問題；同樣的，機器也不知道需要解決什麼問題。</p> <p><span style="color:#B22222;"><strong>數據無處不在</strong></span></p> <p>員工發現，他們總是能找到一些可用的數據來開始工作，並且可以在之後的工作中獲得更多的數據。這意味著「不要讓有限的資料成為不進行數據分析的藉口」。</p> <p>數據分析團隊鼓勵員工至少每三個月使用簡單的分析工具，並落實分析的結果。它強調，不是所有的分析都需要複雜的、先進的工具。在大多數情況下，他們可以從使用Microsoft Excel、Python和QlikView等工具開始。員工可以小規模地嘗試這些工具，看看哪些有效，並確定哪些需要改變。這為員工帶來了動力，帶來早期的成功。</p> <p><span style="color:#B22222;"><strong>數據儀表板文化</strong></span></p> <p>2017年，星展銀行最大的改變是開始推廣數據儀表板。自動化的數據儀表板有助於彙報，因為管理層希望在決策會議上看到統一設計的儀表板，而不是投影片。透過儀表板的形式展現數據視覺化，提高員工效率，幫助他們做出更好的決策。（本文摘錄整理自《星展銀行數位轉型實踐手冊》第18章，商業周刊提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0322-IT%E6%9B%B8%E6%91%98-1P-%E6%98%9F%E5%B1%95%E8%BD%89%E5%9E%8B%E6%89%8B%E5%86%8A-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_商業周刊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 星展銀行數位轉型實踐手冊（World's Best Bank: A Strategic Guide to Digital Transformation）</strong></p> <p>羅賓‧斯普蘭（Robin Speculand）／著；陳勁, 龐寧婧／譯</p> <p>商業周刊出版</p> <p>定價：450元</p> <p><a href="https://www.amazon.com/stores/author/B002OHFWDC/about?ingress=0&visitId=3c23b9d6-eff9-4f12-b955-30905009c592&ref_=ap_rdr" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%98%9F%E5%B1%95%E8%BD%89%E5%9E%8B%E6%89%8B%E5%86%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 160px;" /></a></p> <p><a href="https://www.amazon.com/stores/author/B002OHFWDC/about?ingress=0&visitId=3c23b9d6-eff9-4f12-b955-30905009c592&ref_=ap_rdr" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Amazon</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>羅賓‧斯普蘭（Robin Speculand）</strong></p> <p>TEDx演講家、創業家、商業策略家。</p> <p>現任BRIDGES商業顧問公司、創辦人暨CEO。曾任杜克大學、洛桑國際管理學院、新加坡管理大學和新加坡國立大學教師。他曾創立3家公司、3個商業協會。他共同創立「策略實施研究所」（Strategy Implementation Institute）線上教育論壇。</p> <p>專長為策略實戰。不斷創造新方法協助領導者進行組織轉型，同時也是策略實戰主題最多產的作家之一。2021年，羅賓與星展集團執行總裁高博德（Piyush Gupta）共同被提名了全球最具影響力的50大管理思想家（Thinkers50）的最佳理念實踐獎，並被Prestige評為新加坡2021-2022年度「商業策略家」。想知道更多關於星展數位轉型內容，可到<a href="http://www.bridgesconsultancy.com">www.bridgesconsultancy.com</a></p> </div></div></div>
2024/3/22 09:00未署名https://www.ithome.com.tw/article/161804
Google發表當前最佳UI與資訊圖表理解模型ScreenAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發表了能夠理解使用者介面和資訊圖表的模型<a href="https://blog.research.google/2024/03/screenai-visual-language-model-for-ui.html">ScreenAI</a>，ScreenAI建立在視覺語言模型PaLI基礎之上，並採用圖片轉文字模型pix2struct的彈性區塊處理策略（Flexible Patching Strategy）強化，再加上以特別製作的資料集和任務組合進行訓練，使得ScreenAI擁有目前最先進的解讀圖表能力。</p> <p>ScreenAI是一個結合視覺和語言處理能力的模型，用於理解用戶介面和資訊圖表。ScreenAI以PaLI架構為基礎，由多模態編碼器（Multimodal Encoder）和自回歸解碼器（Autoregressive Decoder）組成。PaLI編碼器使用視覺Transformer（ViT）來創建圖像嵌入，並結合文字嵌入，使得模型能夠同時理解圖像和相關文字資訊。</p> <p>特別的是，ScreenAI採用了pix2struct模型的彈性區塊處理策略，因此ScreenAI更能夠處理不同長寬比的圖像，研究人員解釋，這與傳統固定網格模式不同，彈性區塊處理策略的網格尺寸能保留輸入圖像的原始長寬比，因此可以提升模型對於不同類型圖像的處理能力。</p> <p>ScreenAI模型的訓練階段分為兩階段，第一是預訓練階段，第二則是微調階段。ScreenAI預訓練階段採用自監督學習自動生成資料標籤，這些標籤被用於訓練ViT和語言模型，而在微調階段時，ViT參數便會被凍結，大部分使用的資料由人工評估員手動標記，以微調模型提高特定任務的表現。</p> <p>ScreenAI的訓練資料集主要來自不同裝置的螢幕截圖，包括了桌面電腦、手機和平板，由於來源豐富，確保了資料集在視覺樣式、布局配置和使用者介面元素的多樣性。研究人員使用基於DETR模型的布局註解工具，辨識並標記出各種使用者介面元素，像是圖像、象形圖（Pictogram）按鈕、文字以及空間關係等。</p> <p>而象形圖則會再經過一個專門的分類器進一步分析，該分類器能夠區分77種圖標類型，而分類器未涵蓋的資訊圖表和圖像，則使用PaLI圖說模型產生符合上下文資訊的描述性文字。另外，圖片上的文字還會經過OCR引擎辨識，與註解文字相結合，創建出每個螢幕截圖詳細的描述。</p> <p>註解工具生成的螢幕描述文字，還需要經過語言模型PaLM 2強化資料的多樣性，才會成為最終的訓練資料集。PaLM 2會根據截圖描述以及問答、螢幕導覽和螢幕總結等任務，生成輸入與輸出資料對，像是根據店家資訊的截圖描述，生成「餐廳何時開門？」的問題和相對應的答案。由於PaLM 2可根據不同類型的任務和互動，創建多樣化和更全面的資料集，使得ScreenAI能夠更好地理解和回應各種用戶的需求和行為。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/LLM.png" style="width: 580px;" /></p> <p>ScreenAI僅擁有50億參數卻非常高效，在處理用戶介面和資訊圖表相關任務WebSRC和MoTIF，與當前規模相近的先進模型相比，得到最高的分數，而在圖表問答相關的任務Chart QA、DocVQA和InfographicVQA，也是當前同類模型中表現最佳者。</p> </div></div></div>
2024/3/22 08:18作者李建興https://www.ithome.com.tw/news/161901
【資安日報】3月21日，多組人馬鎖定TeamCity伺服器加密檔案、用於挖礦、部署後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月初JetBrains修補TeamCity兩個漏洞CVE-2024-27198、CVE-2024-27199，隨後就傳出有人將其用於攻擊行動，其中一組人馬就是曾經對臺灣發動攻擊的勒索軟體駭客組織「變臉」。</p> <p>但事隔不到一週，但事隔不到一週，更多駭客也加入利用這些漏洞的行列，他們對TeamCity植入更多惡意程式，以便進行攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/24/c/teamcity-vulnerability-exploits-lead-to-jasmin-ransomware.html"><strong style="font-size: 22px;">更多駭客利用TeamCity重大漏洞，散布勒索軟體Jasmin、挖礦程式XMRig、木馬程式SparkRAT</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/TeamCity-fig3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TeamCity-fig3.jpg" style="width: 300px; float: right;" /></a>3月4日JetBrains公開CI/CD開發平臺TeamCity的高風險漏洞CVE-2024-27198、CVE-2024-27199（CVSS風險評分為9.8、7.3），一週後勒索軟體駭客組織「變臉」開始將其用於攻擊行動，現在有更多駭客加入利用漏洞的行列。</p> <p>資安業者趨勢科技指出，他們看到多組人馬利用這些漏洞，最早發現的是勒索軟體Jasmin攻擊，對方加密受害電腦並留下勒索訊息，要求受害者透過電子郵件聯繫，並以比特幣或門羅幣支付贖金；接著，他們也發現有人利用這項漏洞部署挖礦程式XMRig變種，進行調查發現，對方可能早在1月就在用TeamCity伺服器挖礦。</p> <p>除了上述攻擊事故，研究人員看到有人對這類伺服器散布RAT木馬程式SparkRAT變種的情況，駭客使用Go語言打造並將其當作後門使用。此外，他們也看到攻擊者利用漏洞部署Cobalt Strike Beacon的事故。</p> <p><a href="https://techcrunch.com/2024/03/19/pokemon-resets-some-users-passwords-after-hacking-attempts/"><strong style="font-size: 22px;">寶可夢公司網站發布警訊，有人疑似對玩家發動帳號填充攻擊</strong></a></p> <p>電玩遊戲業者寶可夢公司（The Pokémon Company）近日在網站上提出警告，指出他們發現有人企圖入侵部分用戶的帳號並重設密碼，該公司將暫時停用受此影響的帳號。</p> <p>該公司發言人Daniel Benkwitt向科技新聞網站TechCrunch透露，他們並未察覺有帳號遭到入侵，但為了保護用戶，仍決定重設部分用戶的密碼，這些帳號占總體用戶的比例是0.1%。TechCrunch推測，此次事故很有可能使用了帳號填充（credential stuffing）手法進行攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/pokemon-hack-alert.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pokemon-hack-alert.png" style="width: 580px;" /></a></p> <p><a href="https://www.cisa.gov/resources-tools/resources/prc-state-sponsored-cyber-activity-actions-critical-infrastructure-leaders"><strong style="font-size: 22px;">針對中國資助的駭客Volt Typhoon持續鎖定關鍵基礎設施攻擊，美國提供防禦指引</strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）與英國、澳洲、加拿大的網路安全機構聯手對中國駭客組織Volt Typhoon帶來的威脅提出警告，指出這些駭客的攻擊目標與策略與大部分的攻擊者有所不同，他們的主要目標是拿下操作科技（OT）資產的存取權限，若是得逞，就有機會破壞關鍵基礎設施，未來一旦發生軍事衝突，或是出現地緣政治緊張的局勢，就能趁機製造混亂。</p> <p>對此，他們呼籲關鍵基礎設施的領導團隊採取行動，落實下列工作：</p> <p>（一）實施明確及積極的資源挹注決策；<br /> （二）保護供應鏈；<br /> （三）深植資安文化。</p> <p>其中，他們提及在最佳實踐的做法裡，留存事件記錄對資安團隊尤其重要，例如，應用程式及重要系統的存取記錄及安全事件記錄，並應集中管理。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p></p> <p><a href="https://www.securityweek.com/atlassian-patches-critical-vulnerability-in-bamboo-data-center-and-server/"><strong style="font-size: 22px;">Atlassian修補CI/CD工具Bamboo重大漏洞</strong></a></p> <p></p> <p>3月19日Atlassian針對旗下的Bamboo、Bitbucket、Confluence、Jira等產品發布安全性修補，總共處理超過20個漏洞，其中最值得留意的部分，是CVSS風險評分達到10分的SQL注入漏洞CVE-2024-1597，此漏洞涉及CI/CD工具Bamboo，在其搭配的SQL資料庫採用特定連線組態時，就會存在這個弱點。</p> <p>資料來源</p> <p>1. <a href="https://confluence.atlassian.com/security/security-bulletin-march-19-2024-1369444862.html">https://confluence.atlassian.com/security/security-bulletin-march-19-2024-1369444862.html</a><br /> 2. <a href="https://jira.atlassian.com/browse/BAM-25716">https://jira.atlassian.com/browse/BAM-25716</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/ivanti-fixes-critical-standalone-sentry-bug-reported-by-nato/"><strong style="font-size: 22px;">北約組織向Ivanti通報同步應用系統Standalone Sentry的重大漏洞</strong></a></p> <p></p> <p>接獲北約組織網路安全中心的通報，3月18日Ivanti發布資安公告，指出旗下的Standalone Sentry存在重大層級的RCE漏洞CVE-2023-41724，未經身分驗證的攻擊者可透過與設備相同的實體或邏輯網路，在作業系統底層執行任意命令，CVSS風險評分為9.6，影響所有版本的Standalone Sentry，該公司提供修補程式，並強調尚未發現漏洞遭到利用的跡象。</p> <p>附帶一提，該公司後來於20日公布另一個重大漏洞CVE-2023-46808，此為遠端檔案寫入漏洞，影響Neurons for ITSM，攻擊者若是通過身分驗證，就有機會觸發漏洞在敏感資料夾寫入檔案，從而執行命令，CVSS風險評為9.9分。 </p>  <p>資料來源</p> <p>1. <a href="https://forums.ivanti.com/s/article/CVE-2023-41724-Remote-Code-Execution-for-Ivanti-Standalone-Sentry">https://forums.ivanti.com/s/article/CVE-2023-41724-Remote-Code-Execution-for-Ivanti-Standalone-Sentry</a><br /> 2. <a href="https://forums.ivanti.com/s/article/SA-CVE-2023-46808-Authenticated-Remote-File-Write-for-Ivanti-Neurons-for-ITSM">https://forums.ivanti.com/s/article/SA-CVE-2023-46808-Authenticated-Remote-File-Write-for-Ivanti-Neurons-for-ITSM</a></p> <p><a href="https://www.securityweek.com/chrome-123-firefox-124-patch-serious-vulnerabilities/"><strong style="font-size: 22px;">Chrome 123、Firefox 124正式推出，修補多項高風險漏洞</strong></a></p> <p></p> <p>3月19日瀏覽器Chrome、Firefox不約而同發布重大改版，並修補十多項漏洞。</p> <p>升級至123版的Chrome，共修補12個漏洞，其中一項漏洞CVE-2024-2625被列為高風險而受到關注，此漏洞與排版引擎V8有關，為物件生命週期造成的弱點。</p> <p>邁入124版的Firefox同樣修補12個漏洞，最值得留意的是危急（Critical）等級的記憶體安全漏洞CVE-2024-2615，這個弱點有可能被用於執行任意程式碼。</p> <p>資料來源</p> <p>1. <a href="https://chromereleases.googleblog.com/2024/03/stable-channel-update-for-desktop_19.html">https://chromereleases.googleblog.com/2024/03/stable-channel-update-for-desktop_19.html</a><br /> 2. <a href="https://www.mozilla.org/en-US/security/advisories/mfsa2024-12/">https://www.mozilla.org/en-US/security/advisories/mfsa2024-12/</a></p> <div> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161675"><strong style="font-size: 22px;">軟體安全評估工具GUAC成OpenSSF孵化專案</strong></a></p> <p>2022年10月推出的軟體安全評估工具GUAC，主要目的是提高企業組織軟體供應鏈的透明度，透過了解應用程式元件的相依性，明確掌握漏洞的影響範圍。</p> <p>在發展一段時間後，成立此專案的Kusari、Google、普渡大學，今年3月決定將其轉移至開源軟體安全基金會（OpenSSF），並成為孵化專案。OpenSSF將徵召相關領域專家協助開發新功能，並計畫與數個軟體供應鏈團隊、專案進行合作。</p>  <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://github.blog/2024-03-20-found-means-fixed-introducing-code-scanning-autofix-powered-by-github-copilot-and-codeql/"><span style="font-size: 20px;">程式碼儲存庫GitHub導入新的AI工具，自動修補用戶程式碼的弱點</span></a></strong></p> <p></p> <p><strong><a href="https://content.govdelivery.com/bulletins/gd/USDODDC3-390288e"><span style="font-size: 20px;">美國國防部公布漏洞懸賞專案執行成果，7年來找出逾5萬個漏洞</span></a></strong></p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-announces-deprecation-of-1024-bit-rsa-keys-in-windows/"><strong><span style="font-size: 20px;">微軟宣布將於Windows的TLS連線棄用低於2048位元的RSA金鑰</span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/161711"><strong><span style="font-size: 20px;">蘋果在Safari 17引入的</span></strong></a><a href="https://www.ithome.com.tw/news/161711"><strong><span style="font-size: 20px;">進階音訊指紋辨識保護機制遭到破解</span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/161820"><strong><span style="font-size: 20px;">Let's Encrypt推出新的憑證透明度日誌服務Sunlight</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161868"><strong>【3月20日】研究人員針對行動應用程式開發平臺Firebase配置不當氾濫的現象提出警告</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161852"><strong>【3月19日】駭客組織Earth Krahang鎖定政府機關而來，疑為中國資安業者安洵旗下團隊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161813"><strong>【3月18日】國際貨幣基金組織電子郵件帳號傳出遭到挾持</strong></a></p> </div></div></div>
2024/3/21 16:35作者周峻佑https://www.ithome.com.tw/news/161889
甲骨文推出Java 22，提升開發效率還強化運算效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文發表<a href="https://blogs.oracle.com/java/post/the-arrival-of-java-22">Java 22</a>，這個版本加入許多新功能，對語言本身、API、效能和JDK中的工具，都進行了強化。除了Java語言更具表達力，提升開發者編寫程式碼的體驗之外，也加入多項功能改善並行程式的運作效能，而重新設計的Vector API，也讓向量運算更加高效，滿足日漸增加的向量運算需求。</p> <p>Java 22語言功能加入了未命名變數和模式JEP 456，這項改進是使用下底線字元來表示不使用的變數宣告和巢狀模式，目的是要強化程式碼的可讀性，有助於減少開發者犯錯機會，尤其是在需要宣告，但是又不使用的情況下，改善程式碼的可維護性。</p> <p>在Java 22中建構子的前置陳述式JEP 447更新，讓開發者擁有更多表達建構子行為自由。在子類別的建構子中，開發者可以於呼叫super()之前加入不參照該實體（Instance）的陳述句，這代表現在於呼叫父類別建構子之前，可以執行一些邏輯或是初始化工作。這項預覽功能讓開發者在編寫建構子時，擁有更大的靈活性和表達力，同時建構子在類別實體化過程，也能確保程式碼的安全性並以預期的順序執行。</p> <p>正在預覽的字串樣板，則是補充了目前Java字串常值（String Literal）和文字區塊的功能，透過將字串常值和嵌入式表達式結合在一起，產生專門的結果。簡單來說，Java現在提供一種更簡潔的方式，供開發者編寫文字加上變數的字串表示，能在字串常值中直接插入表示式或是變數值，如此不僅提高程式碼的可讀性，也讓編寫動態字串內容Java程式更簡單。</p> <p>Foreign Function & Memory API是一個提高Java程式和外部程式碼、資料互通的新功能，該API讓開發者可以安全地呼叫Foreign Function與記憶體。這邊的Foreign Function泛指JVM外部的程式碼，而Foreign Memory則是不受JVM管理的記憶體。該API使Java程式能夠呼叫像是C語言等原生函式庫，同時還可存取外部記憶體，讓Java程式方便地處理大量資料，或是與原生程式碼共享資料。</p> <p>官方也對Java的Stream API進行強化。在Java中，Stream API是一種處理資料集合的進階工具，讓開發者以宣告的方式，進行複雜的資料處理和操作，雖然Stream API內建許多中介操作，但是開發者可能還是會遇到現有操作無法實現資料轉換的情況，經強化的Stream API支援自訂中介操作，使開發者可以根據需求實作需要的串流操作。</p> <p>Java 22還加入了一項名為Scoped Values的功能，以改善不同執行緒間以及執行緒內部不可篡改資料的共享效率。這項功能引入了新的程式開發模型，開發者透過程式碼的語法結構，便可了解共享資料的生命周期，並且掌握資料在程式中的作用範圍和時間。Java會確保只有合法的呼叫者，可以檢索共享資料，這提高了程式的強健性，同時避免資料意外地被非目標程式碼存取。</p> <p>甲骨文為了要簡化Java並行（Concurrency）程式開發，嘗試加入了結構化並行方法，目前正在孵化階段。結構化並行將不同的執行緒中的相關任務組，視為單一工作單元，使得這些任務可以被視為一個整體，一起啟動、管理和終止，而這將讓開發者更容易管理錯誤和取消操作。一旦其中一項任務失敗或需要取消，整個任務單元可以一致回應，減少開發者處理並行錯誤的複雜性。</p> <p>另一個孵化階段的功能是Vector API的更新，而這主要是改善Java中表達向量運算的方式，有助於在支援的CPU架構上實現最佳化向量指令，達到比等效純量運算更好的效能。目前在x64和AArch64架構上都已經能提供可靠的執行時編譯和穩定的效能。</p> </div></div></div>
2024/3/21 17:23作者李建興https://www.ithome.com.tw/news/161890
MedTech醫療科技雙周報第33期：Nvidia推出25項醫療專用生成式AI微服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0301～0315）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Nvidia推出25項醫療專用生成式AI微服務</strong></span></p> <p>在今年GTC大會上，Nvidia推出25項醫藥領域微服務，要讓使用者在任何地方、任何雲端環境都能用來打造新服務。這些微服務包括Nvidia NIM，專門用來最佳化模型推論結果，如醫學成像、藥物探索和數位健康等模型。再來是一系列用於藥物探索的模型，如用於生成化學的MolMIM、用於預測蛋白質結構的ESMFold，以及模擬藥物分子與標靶相互作用的DiffDock。此外，Nvidia VISTA 3D 微服務還能加速建立3D分割模型的速度，而Universal DeepVariant微服務則能加速分析，與在CPU上執行的DeepVariant分析作業相比，可將基因組分析工作中的變異調用速度提高50倍以上。</p> <p>同時，這些微服務也與Nvidia的合作夥伴整合，比如，運算軟體公司Cadence將Nvidia的藥物探索微服務BioNeMo整合到自家藥物探索Orion分子設計平臺，可供製藥專家用來生成、搜尋和模擬具數千億種化合物的資料庫。還有一個例子是，數位健康新創Hippocratic AI整合Nvidia ACE微服務和NIM，可用來建立AI代理、進行低延遲推論和語音辨識等，可用來打造能與患者電話交談、安排預約、術前訪問、出院後隨訪等功能的Chatbot。Nivida表示，目前開發者可在ai.nvidia.com上試用Nvidia AI微服務，也能在經認證的系統中，使用Nvidia AI Enterprise 5.0來部署NIM微服務。<a href="https://nvidianews.nvidia.com/news/healthcare-generative-ai-microservices">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> HIMSS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 衛福部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 次世代HIS </span></strong></span></p> <p><span style="font-size: 22px;"><strong>衛福部率臺灣產學研醫療團隊赴美HIMSS 24年會</strong></span></p> <p>美國醫療資訊與管理系統協會（HIMSS）在3月11日展開今年度醫療IT大會，衛福部資訊處處長李建璋、衛福部科技發展組技監劉明勳和健保署副署長龐一鳴特別率臺灣團參加，帶領產學研醫團隊近50位代表在HIMSS 2024會場展示臺灣智慧醫療研發成果。</p> <p>臺灣展場分為4區，主要亮點有以次世代HIS平臺為核心推動資料標準化、加速研發AI輔助工具，該展區的團隊有臺大醫院、中醫大附醫、臺中榮總、長佳智能、宏碁智醫和華碩。另一亮點是以次世代HIS平臺實現病患旅程，如從醫療AI區實現疾病篩檢、診斷，再到智慧藥局、智慧病房和遠距醫療與居家醫療等，展出廠商有研華、華碩電腦和華碩雲端等。</p> <p>李建璋在現場表示，衛福部累積20年來數位轉型經驗，現在則要迎向第2波智慧轉型。他觀察，目前數位科技逐漸導入醫療場域，特別是AI，能輔助醫師早期篩檢疾病、提升疾病診斷效率和後續治療效果，是推動轉型必須重視的技術應用。臺灣食品藥物管理署（TFDA）也持續核發軟體醫材許可證，目前取證的國產產品已有60項，其中37項是AI軟體醫材。另外，衛福部也表明今年開始執行「次世代數位醫療平臺」計畫，要建立核心關鍵基礎設施、發展大數據資料庫，推動AI智慧醫療進展。<a href="https://www.mohw.gov.tw/cp-16-77977-1.html">（詳全文）</a></p> <p><img alt="" src="https://www.mohw.gov.tw/Public/Images/202403/2242403131207d0ad6.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">遠距醫療</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 個人化醫療 </span></strong></span></p> <p><span style="font-size:22px;"><strong>美國醫學中心IT主管盤點4大數位醫療趨勢</strong></span></p> <p>在今年度HIMSS醫療IT大會上，來自范登堡大學附設醫學中心（VUMC）、浸信會醫院和梅約醫學中心的3位IT主管<a href="https://healthtechmagazine.net/media/video/himss24-4-trends-digital-health-and-patient-experience">接受媒體採訪</a>時，點出今年4大數位醫療趨勢，包括AI、行動化、遠距醫療和個人化醫療。VUMC醫療IT主任醫師Yaa Kuma-Crystal表示，AI並非新技術，但自從ChatGPT問世後，開啟了很多醫療應用的可能，比如大語言模型（LLM）可用來摘要病歷文件、將難懂的醫療術語翻譯為白話，協助醫病溝通，都對臨床業務有幫助。浸信會醫院臨床EHR應用資深主任Kat Hasanovic則指出，他們正運用AI來解決醫護人員下班後仍需進行的文書工作（俗稱Pajama time），梅約醫學中心創新平臺醫學總監Sonya Makhni則表示，由於安全考量、無法隨意授權，導致醫療資料極度碎片化且孤島化，因此他們認為，採用AI最重要的是透過外部資料集驗證模型，可行後才能建立資料處理流程並落地應用。</p> <p>另一方面，對浸信會醫院來說，行動化是另一大趨勢，他們不只發展專用App來整合病人看診資料，也能讓病人上傳穿戴式裝置數據，來加強醫病溝通。Yaa Kuma-Crystal表示，遠距醫療是VUMC今年關注的另一趨勢，今年會根據看診頻率和病患黏著度，來找出適合發展的情境。梅約醫學中心也有類似想法，他們今年要透過遠距醫療，做為個人化醫療的輔助手段，來降低病人到院看診的成本，同時提高個人化程度。Yaa Kuma-Crystal點出，發展個人化醫療也是他們的目標，他們還會將病人納入測試應用環節，再根據他們的回饋來修正系統，發展更貼近使用者的服務。<a href="https://healthtechmagazine.net/media/video/himss24-4-trends-digital-health-and-patient-experience">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-03-21%20154036.png" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 可信任AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> TRAIN </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>微軟聯手全美10多家醫院，要推負責任的醫療AI</strong></span></strong></p> <p>在近期落幕美國醫療資訊與管理系統協會的醫療IT盛會HIMSS 24中，微軟宣布一項新策略，要聯手全美最大的10幾家醫院，共同組成可信任與負責任的醫療AI網路（簡稱TRAIN），來推動醫療AI的開發和評估標準，以及提高可解釋性和透明度的工具。</p> <p>TRAIN的成員有微軟、麻省總醫院、約翰霍普金斯醫學院、波士頓兒童醫院、克里夫蘭醫學中心、Advocate Health體系醫院等，此外還有OCHIN和TruBridge。其中，OCHIN是美國一家非營利組織，專門提供專業知識、數據和洞察給社區健康組織，目前服務300多家醫療機構，而TruBridge則是一家醫療保險和帳單支付公司，OCHIN和TruBridge的加入，能讓更多醫療機構使用TRAIN所提供的AI工具，來提高照護品質和病人安全。<a href="https://news.microsoft.com/2024/03/11/new-consortium-of-healthcare-leaders-announces-formation-of-trustworthy-responsible-ai-network-train-making-safe-and-fair-ai-accessible-to-every-healthcare-organization/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Google雲端 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 護理交班 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google雲端新添醫療生成式AI功能，還瞄準護理交班情境</strong></span></p> <p>在3月11日展開的北美年度醫療IT大會HIMSS 24上，Google雲端揭露一系列新生成式AI應用，首先是醫療健康領域的Vertex AI搜尋服務，能幫助臨床醫生快速解析患者數據和臨床記錄。Google雲端醫療保健策略和解決方案全球總監Aashima Gupta在接受HIMSS採訪時表示，搜尋臨床數據困難又耗時，但透過API使用Vertex AI搜尋，則能享有Google.com般的生成式搜尋體驗。而且，該工具在生成答案時，還會附上資料來源的註腳，來確保可信度。</p> <p>除了Vertex AI搜尋，Google雲端還宣布在醫療專用大語言模型服務MedLM中，添加2項新功能，其一是用於胸部X光片分類的API，另一個是病情摘要API，能根據患者病況時間順序，來生成每種病況的簡短摘要。Aashima Gupta也指出，MedLM目前在梅約醫學中心、HCA醫療集團等地測試，特別鎖定護理師交接場景。她表示，護理師交班前，總得花10到15分鐘說明每一位病人的情況，若手上有10位病人，就得花上1.5小時說明，而MedLM可快速根據患者狀況產生摘要，還能引用EHR系統中的資訊，來縮短說明時間。<a href="https://cloud.google.com/blog/topics/healthcare-life-sciences/google-cloud-gen-ai-healthcare-announcements">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Oracle </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 績效 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>Oracle推出新醫療生成式AI功能，涵蓋摘要、分析和績效衡量</strong></span></strong></p> <p>在今年醫療IT大會HIMSS 24大會上，Oracle宣布自家的醫療資料平臺Oracle Health Data Intelligence新添生成式AI功能，包括病人病史摘要生成、更多種內建的醫療品質分析、更細緻的自動警報通知，還有根據美國最新責任醫療組織（ACO）標準制定的績效衡量基準等，能幫助醫院衡量績效、成本與收益。</p> <p>進一步來說，Oracle Health Data Intelligence是一款提供雲端應用程式、分析應用的模組化套件平臺，可整合多種來源的資料並分析，如電子健康記錄（EHR）、企業級應用、保險申請文件等。Oracle表示，這次新添的功能，可幫助使用者創新、提高照護品質、善用人力和IT資源等。<a href="https://www.oracle.com/news/announcement/oracle-delivers-foundation-for-more-intelligent-healthcare-2024-03-12/">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> HIMSS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gartner </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬照護 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>Gartner醫療分析總監：虛擬照護是趨勢</strong></span></strong></p> <p>北美醫療IT年會HIMSS24在3月上旬展開，Gartner醫療照護分析師總監Veronica Walk接受HIMSS旗下媒體訪問，點出生成式AI和虛擬照護是今年會展一大趨勢。她表示，今年展出許多生成式AI應用，可用來分擔醫護等臨床人員的行政工作，如快速生成病歷摘要、臨床文件等。此外，由於近來臨床醫師工作疲乏和護理人力短缺問題越來越嚴重，虛擬照護和在宅照護的解決方案也越來越多，可用來結合醫療設備資訊，提供更細緻的遠端分級照護。</p> <p>但她表示，這些概念很可能成為新解決方案的炒作關鍵字，因此她建議，在接下來的1年，醫資廠商IT主管和營運者應回到問題本身，比如臨床醫師工作疲乏，就需要運用適當的技術分擔工作量，才能幫助醫院招人和留人。她也提到Gartner自家的技術成熟度曲線，提供每項創新技術的預期效益、成熟度和採用情況，可用來輔助廠商和醫院，衡量適不適合投資特定新技術。<a href="https://www.healthcareitnews.com/news/gartner-emerging-tech-expert-talks-ai-and-virtual-care-himss24">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 骨質疏鬆 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺中榮總 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> X光片 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>臺中榮總用AI輔助，快速判讀骨質疏鬆X光片</strong></span></strong></p> <p>臺中榮總聯手宏碁智醫，共同研發一套骨質疏鬆輔助判讀AI系統智骨篩VeriOsteo OP，可根據病人的胸腔X光片，在30秒內判斷骨鬆密度值，來協助醫院篩選大量疑似骨鬆的民眾，及早治療和預防。</p> <p>進一步來說，醫院輸入患者X光片時，系統會給出病人骨鬆密度值，如-2.5至-3.1，來協助醫師制定術前計畫和復健治療。目前，臺中榮總骨科部為降低銀髮族骨折風險，已在院內應用VeriOsteo OP，來進行骨質密度異常篩檢，準確率高達近九成，能有效找出骨質異常的病人，並給予適當衛教和預約骨鬆防治諮詢。該軟體也獲衛福部食品藥物管理署（TFDA）核准，成為臺灣首款骨質疏鬆症輔助診斷智慧醫材。接下來，他們要推廣至各大醫療機構、健檢中心和基層診所，提供更便捷的骨質密度篩檢服務。<a href="https://www.vghtc.gov.tw/Module/BreakingNewsContent?BreakingNewsID=af3db0bb-648d-4392-b32a-c3ef090ee9a6&WebMenuID=c47a00fc-ee22-4871-b6ec-5dc557ec27b3">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-03-21%20154604.png" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 香港 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CARES Copilot </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>香港創新院AI中心發表醫療專用LLM</strong></span></strong></p> <p>中科院香港創新院AI中心（CAIR）最近發表醫療業專用的<a href="https://www.cair-cas.org.hk/articles/ai">CARES Copilot</a>大型語言模型系統，能與醫療設備高度整合，還兼具可信任和可解釋性特點。這款CARES Copilot 1.0可處理多模態資料，包括圖像、文字、語音、影片、MRI、CT、超音波等手術數據。同時還能在多場景處理多任務，像是手術階段識別、器械與解剖結構分割、器械檢測與計數，以及MRI高分辨率圖像生成等。</p> <p>CASRES Copilot可處理長達100K Token上下文，能處理超過3000頁的覆雜手術教材，可用來培養年輕醫生的專業知識。而且，CARES Copilot還具備深度檢索功能，能快速精確地提取手術教材、專家指南、醫學論文等專業文件資訊。經測試，該系統能在1、2秒內快速檢索百萬級數據，準確率高達95%。該系統也在多家醫院的不同科室進行測試和優化。<a href="https://www.cair-cas.org.hk/article/295">（詳全文）</a></p> <p><img alt="" src="https://www.cair-cas.org.hk/uploads/image/202312/8d8d4b122420428e6711b819aad98369.png" /></p> <p>圖片來源／衛福部、Health Tech、臺中榮總、CAIR</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 新加坡推出糖尿病足部照護App</strong></strong></p> <p><strong><strong>2. Salesforce推出醫療資料平臺Einstein Copilot </strong></strong></p> <p>資料來源：iThome整理，2024年3月</p> </div></div></div>
2024/3/20 16:06作者王若樸https://www.ithome.com.tw/news/161888
私自使用媒體內容訓練Gemini，Google遭法國判罰2.5億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國競爭管理局（Autorité de la concurrence）周三（3/20）<a href="https://www.autoritedelaconcurrence.fr/en/press-release/related-rights-autorite-fines-google-eu250-million-non-compliance-some-its" target="_blank">宣布</a>，Google所推出的AI服務Bard（Gemini），使用當地新聞機構與出版商的內容來訓練模型，卻未通知媒體業者，違反去年6月所作出的承諾，罰款2.5億歐元，而Google則接受了此一罰則，並未打算上訴。</p> <p>法國競爭管理局認為大型科技業者必須依照對新聞內容的使用，對當地媒體作出相對應的補償，經過幾年的協商之後，Google於去年6月作出了<a href="https://www.autoritedelaconcurrence.fr/en/press-release/related-rights-autorite-accepts-googles-commitments" target="_blank">承諾</a>。此次該機構認為Google違反了部分承諾，包括在3個月內基於透明、客觀與非歧視性標準與媒體進行協商，向媒體提供評估其相關報酬所需的資訊，以及採取必要措施以確保協商不會影響Google及媒體之間的其它經濟關係。</p> <p>調查顯示，Google在去年7月發表的Bard服務使用了當地媒體的內容進行訓練，卻未通知當局或各家媒體，而且在Bard使用這些具備版權的內容時，並未提供可允許內容出現在其它Google服務的退出機制，妨礙了媒體向Google協商報酬的能力。</p> <p>Google已決定不對法國競爭管理局的判罰提出異議，並同意採取措施來解決上述的違規行為。</p> </div></div></div>
2024/3/21 15:28作者陳曉莉https://www.ithome.com.tw/news/161887
Neuralink公布腦部晶片人體試驗成果，讓四肢癱瘓的受試者可以透過思考控制電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發植入式腦機介面的Neuralink周三（3/21）邀請<a href="https://twitter.com/neuralink/status/1770563939413496146" target="_blank">首個植入該公司晶片的Noland Arbaugh進行直播</a>，展示他如何僅透過思考就移動螢幕上的西洋棋，還可暫停背景音樂。</p> <p>馬斯克（Elon Musk）及一群科學家於2016年共同創立了Neuralink，專門開發腦機介面，作為人腦與外部電子運算設備的媒介，初期都是<a href="https://www.ithome.com.tw/news/143780" target="_blank">以動物進行實驗</a>，並在去年獲得美國食品藥物管理局（U.S. Food and Drug Administration，FDA）許可以進行人體臨床試驗，在眾多的申請中，Neuralink於首波人體臨床試驗中遴選了6名病患，植入Neuralink的第一個產品Telepathy。</p> <p>Telepathy得以讓人們透過思考來控制手機或電腦，初期適用於那些失去四肢的病患。</p> <p>現年29歲的Arbaugh因為8年前的一場事故，造成他在頸部以下全面癱瘓，他在今年1月接受Telepathy植入，且1天就出院了，當時<a href="https://www.ithome.com.tw/news/161078" target="_blank">馬斯克還宣稱</a>他復原良好，顯示神經元尖峰檢測很有前途。</p> <p>Arbaugh於影片中展示他僅用思考就移動螢幕上的西洋棋，也能暫停背景音樂，此外，他也分享如何學習使用Telepathy，包括開始想像或嘗試移動電腦上的游標，體驗了透過心靈感應移動游標的感覺，表示這是個非常瘋狂也很酷的經驗，還說在學會之後，就玩了他最愛的電腦遊戲《文明帝國VI》（Civilization VI）8小時，過去他要請家人幫他才能玩遊戲。</p> <p>但Arbaugh必須在大約每8小時就幫Telepathy充電。此外，Arbaugh也坦承此一過程並不完美，還有許多問題尚待克服，但這已經改變了他的生活。</p> <div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">Livestream of <a href="https://twitter.com/neuralink?ref_src=twsrc%5Etfw">@Neuralink</a> demonstrating “Telepathy” – controlling a computer and playing video games just by thinking <a href="https://t.co/0kHJdayfYy">https://t.co/0kHJdayfYy</a></p> <p>— Elon Musk (@elonmusk) <a href="https://twitter.com/elonmusk/status/1770565942168420750?ref_src=twsrc%5Etfw">March 20, 2024</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> </div></div></div>
2024/3/21 14:47作者陳曉莉https://www.ithome.com.tw/news/161886
Reddit周四IPO，發行價為每股34美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國新聞社交平臺<a href="https://investor.redditinc.com/news-events/news-releases/news-details/2024/Reddit-Announces-Pricing-of-Initial-Public-Offering/default.aspx" target="_blank">Reddit本周宣布</a>，將於周四（3/21）以RDDT為代號，登上美國紐約股市，每股發行價為34美元。Reddit此次的IPO預計發行2,200萬股，可望對外募資7.48億美元，使其市值達到64億美元。而這也是繼Pinterest於2019年IPO之後，第一次再有大型社交平臺公開發行股票。</p> <p>Reddit創立於2005年，註冊會員可上傳各種內容，從文章、連結、照片到影片等，其他會員則會針對這些內容投下贊成或反對的票數，以決定相關內容的排序。目前Reddit已有超過10萬個社團，每日不重覆造訪人數有7,300萬個，每周則高達2.67億個，站上累積的貼文超過10億篇。在2021年的估值曾高達100億美元。</p> <p>Reddit過去主要的營收來自於廣告，包括贊助式貼文或推廣內容，2022年與2023年的年度營收為6.66億美元及8.04億美元，分別虧損了1.58億美元及9,000萬美元。OpenAI共同創辦人Sam Altman及其關係企業握有5%以上的Reddit股份。</p> <p>儘管身為全美第九大網站、擁有龐大的用戶基礎，也是個具備影響力的社交平臺，但外界對於Reddit能否成功依舊抱持著懷疑的態度，畢竟Reddit自創立以來從未獲利。</p> <p>不過，此事可能因為大型語言模型（LLM）的興起而有了轉機，因為Reddit可藉由授權平臺內容給AI公司以訓練LLM來創造營收，除了在日前<a href="https://www.ithome.com.tw/news/161440" target="_blank">宣布</a>擴大與Google的合作之外，Reddit也在<a href="https://www.sec.gov/Archives/edgar/data/1713445/000162828024006294/reddits-1q423.htm" target="_blank">上市申請文件</a>中透露，目前正處於允許第三方存取、搜尋與分析平臺資料來變現的早期階段，今年1月便簽訂了價值2.03億美元的合約，可望於未來的2、3年內實現，其中，至少會有6,640萬美元被列為今年的營收。</p> </div></div></div>
2024/3/21 12:41作者陳曉莉https://www.ithome.com.tw/news/161884
英特爾獲美國政府85億美元的補助與110億美元的聯邦貸款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國拜登政府於周三（3/20）宣布，已與英特爾（Intel）<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2024/03/20/fact-sheet-president-biden-announces-up-to-8-5-billion-preliminary-agreement-with-intel-under-the-chips-science-act/" target="_blank">達成初步協議</a>，將依據《晶片與科學法案》（Chips and Science Act，CHIPS Act），提供85億美元的直接資金及110億美元的貸款予英特爾，以支持英特爾在亞利桑那州、俄亥俄州、新墨西哥州和俄勒岡州工廠的建設和擴建，創造近3萬個職缺，以及數萬個間接就業機會。</p> <p>美國總統拜登（Joe Biden）是在2022年<a href="https://www.ithome.com.tw/news/152402" target="_blank">簽署CHIPS Act</a>，計畫提撥2,800億美元的經費來推動美國的創新與科技中心，以降低美國的成本、創造工作機會，強化供應鏈，以及對抗中國，當中有527億美元將應用在與半導體有關的研發、製造與勞動力的發展。</p> <p>拜登政府表示，美國發明了半導體，替全球的手機、冰箱、電動車、衛星到國防系統等各種設備提供動力，但現今美國所生產的晶片卻不到全球的10%，還不是最先進的晶片，政府正準備將半導體製造業帶回美國，估計到了2029年，美國即可生產20%的尖端晶片。</p> <p>另一方面，為了配合美國的政策，英特爾於2021年<a href="https://www.ithome.com.tw/news/143423" target="_blank">成立獨立的晶圓代工服務事業群</a>，大舉進軍晶圓代工市場，也在CHIPS Act的承諾下，<a href="https://www.intel.com/content/www/us/en/corporate/usa-chipmaking/home.html" target="_top">宣布</a>要在未來5年投資超過1,000億美元，以強化美國境內的晶片生產能力。</p> <p>英特爾表示，該公司正在引領振興美國半導體的製造與研發，以建立更具彈性的全球供應鏈，但相關投資取決於足夠的CHIPS Act支持，以填補不管是對美國經濟或國家安全都很重要的供應鏈缺口。</p> <p>總之，有85億美元的經費將用來直接補助英特爾於上述4州的商業半導體計畫，英特爾也可獲得110億美元的聯邦貸款，並針對其逾1,000億美元的投資向美國財政部申請投資稅收抵免（ITC）。英特爾估計相關投資將可創造3萬個職缺，5萬個間接工作機會，美國政府則期望CHIPS Act可讓美國在2029年握有20%的先進晶片製造能力。</p> </div></div></div>
2024/3/21 13:06作者陳曉莉https://www.ithome.com.tw/news/161885
【上市櫃資安事件背後的企業挑戰】導致資安事件常見問題是管理疏失，普遍組織高層仍缺乏事件應變團隊概念
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一年來，臺灣上市櫃公司因應證券交易所與櫃買中心的要求，若遭駭客網路攻擊，需發布重大訊息揭露，<a href="https://www.ithome.com.tw/news/161666">使得更多臺灣發生的資安事故浮上檯面</a>，雖然外界比過去更能瞭解當前威脅局勢，也讓所有公司高層更關注資安，但大家往往只從中得到處理結果，很難有機會瞭解到這些資安事故問題如何發生。</p> <p>而且資安事件重訊的內容大同小異，如下所示：<br /> ●「本公司資安人員於查知遭受網路攻擊時，於第一時間啟動相關防禦機制，並與外部專家協同處理及進行復原。」<br /> ●「自偵測到部份資訊系統遭網路攻擊，資訊部門已啟動防禦機制與復原作業，同時與外部資安專家協同處理。」</p> <p>經由上述簡單說明，雖然能得知這些公司發生資安事故，但我們無法看出是否已經查出事件發生的原因，以及當下事件應變的挑戰與概況。</p> <p>回顧這些資安事故重大訊息的揭露，有哪些是企業需要特別重視的？對此，我們特別詢問一些曾協助上市櫃公司進行資安事故調查與應變的業者，請他們談談下列兩個層面的觀察：一是企業資安防護可能存在哪些常見破口，導致事件發生？一是事件發生後、國內企業是否有足夠的應變能力？</p> <h2><strong>常見資安破口：使用VPN卻沒有做好安全管理</strong></h2> <p>「今日很多企業遭遇到的網路攻擊事件，其實絕大多數都是資訊安全管理疏漏造成，並不是有什麼新的威脅出現。」趨勢科技台灣區暨香港區總經理洪偉淦認為。</p> <p>至於有哪些常見資安管理疏漏，值得企業重視？</p> <p>洪偉淦說：「做好資安，並不只是完成Shopping list就好，同時也要做好管理。」如高權限帳號沒限縮存取、防火牆未妥善設定，使用的VPN有漏洞未修補，這些都是常見問題。</p> <p>舉例來說，近期很多攻擊都經由VPN入侵，而且發生在高階主管身上，並缺乏嚴格的身分驗證和授權機制；許多企業伺服器服務都放在虛擬平臺執行，但虛擬平臺root權限竟然沒有妥善保護。</p> <p>對於上市櫃公司透過重大訊息揭露遭駭現況，安永企管副總經理陳志明同樣很有感觸，他指出，之所以許多企業發生資安事故，大多是缺乏管理的人為疏失問題。</p> <p>例如，有VPN漏洞未及時修補而遭濫用，又或是VPN帳號權限管理出問題，甚至為了省錢而有多人共用帳號的情形，也發生員工離職後、其帳號仍具有存取權限等。他強調，這些都不是特殊個案，而是普遍常見的狀況。</p> <p>為提醒大家避免這些問題，陳志明認為，以國內資安通報體制而言，TWCERT/CC的位階、角色很適合，能為上市櫃公司提供協助，因這個組織專門負責民間業者的資安通報。而且，能將一些事故案例，藉由去識別化的方式分享出去，促進其他企業反思內部是否也有同樣的問題存在。</p> <p>當然，也不要忘記資安成熟度的概念，企業與組織需持續盤點出最大的風險，一步一步著手處理，以降低資安風險。</p> <p>綜觀上述狀況，顯而易見的是，國內許多企業在VPN與權限安全管控上，需要有更多的警惕性。</p> <p>平心而論，這些如果是常見的管理疏失問題，就不應該一再發生，否則，只會顯現出臺灣企業環境的資安有多落後。儘管有些公司早已長期付諸相關行動，但有些企業的高層，則是這一兩年才體會資安的重要性，但都已經不是藉口。</p> <h2><strong>資安事件應變準備度仍低，多數企業尚未建立應變團隊</strong></h2> <p>由於上市櫃公司遭受網路攻擊的情況持續增加，除了要從治理與防護層面去強化資安，面對資安事故的發生，在瞭解普遍事故原因之餘，各家公司在資安事件應變的層面，是否具有足夠的準備？</p> <p>過去三五年來，我們不斷看到資安界耳提面命，他們呼籲面對資安事件的可能發生，需要建立資安應變團隊，甚至要有應變的演練，才能在事件發生當下，能有獲得充分授權的指揮團隊，加速確認資安事件發生的手法及範圍，並根據現況來應變。</p> <p>而這樣的作法，不只是出現在資安，其實也存在公共安全領域，像是COVID-19期間成立的疫情指揮中心就是一例。</p> <p>關於當前企業的資安應變力，洪偉淦認為，國內在這方面有待進步，這是因為，根據他們的觀察結果，大部分企業連資安應變團隊都沒有，更關鍵的是，很多企業高層缺乏這些概念。</p> <p>他強調，面對資安事故發生，事故調查就是起手式。需要釐清損害範圍，才能知道可能損失有多大，入侵範圍有多廣，以及有哪些資料遭非授權存取，接下來，才是恢復營運正常。如果沒有這樣的資訊，要如何評估事件影響範圍與嚴重性。</p> <p>只是，從最近一年的現況來看，洪偉淦認為，大多數公司在遭遇資安事故當下，仍是處於焦頭爛額的狀態，無法在事故發生後按部就班處置。</p> <p>如果更嚴格看待，本身已建立應變流程執行的手冊文件，而且內容是確切可行的企業，更是少之又少。</p> <p>洪偉淦指出，如果企業應變做得夠好，其實過去兩年就不會有「是否該發重訊」的問題。因為，當企業建立應變團隊，將資安事故層級定義清楚，並讓每個事故等級都有不同的SOP流程可依循，一旦遭遇事件，第一線人員知道小型事件要向誰回報，當事件層級上升知道向誰回報，而在對外溝通上，不同角色也都能清楚該做的事。</p> <p>綜觀上述情形，我們可以發現，問題的關鍵在於，仍有很高比例的企業，缺乏建立有關的緊急應變機制，這是一個警訊，企業需要重新審視這方面落實的現況，該懂得建立資安應變團隊、應變流程，而且也要建立企業自身的資安事故層級定義。</p> <p>以資安事故層級而言，過去政府在「資通安全事件通報及應變辦法」，就提出相關定義。雖然這主要規範公務機關與特定非公務機關（8大關鍵基礎設施），並非針對上市櫃公司，但當中就將資通安全事件區分為4個等級，這也是一種可參考的作法。</p> <p>除此之外，我們也提醒上市櫃公司，在對外溝通的資訊上，要記得配合國內的法規政策，例如，在資安事件的重訊發布要求上，須<a href="https://www.ithome.com.tw/news/161745">依循現行規定的「重大性」標準來發布</a>。</p> <h2><strong>缺乏資安事件的應變能力？TWCERT/CC提供簡易指南</strong></h2> <p>由於企業與組織資安事故頻傳，但大多都尚未建立資安事件應變機制，我們該怎麼做？是否有參考的資源？ </p> <p>台灣電腦網路危機處理暨協調中心（TWCERT/CC），在半年多前已有這方面的行動，在2023年6月，他們發布《<a href="https://www.twcert.org.tw/tw/lp-160-1.html">企業資安事件應變處理指南</a>》，可以幫助毫無頭緒的企業，瞭解資安事件應變的整體規畫、準備與行動步驟。</p> <p>簡單來說，這份指南共有3個篇章，主要針對「事前準備」、「事中應處」、「事後改善」這3個不同階段，提供一些較具體的作業流程說明。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖表2）資安事件應變國內參考資源_TWCERT企業資安事件應變處理指南_iThome.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96%E8%A1%A82%EF%BC%89%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E6%87%89%E8%AE%8A%E5%9C%8B%E5%85%A7%E5%8F%83%E8%80%83%E8%B3%87%E6%BA%90_TWCERT%E4%BC%81%E6%A5%AD%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E6%87%89%E8%AE%8A%E8%99%95%E7%90%86%E6%8C%87%E5%8D%97_iThome.jpg" style="width: 600px;" /></a></p> <p>（一）在事前準備階段，有8個重要工作，包括：資安工具準備、資安事件分類分級、訂定資安事件紀錄表、資通系統分級、設立專責資安聯絡人員、規劃專業資安教育訓練、規劃資安健檢、建立情資交換與通報管道。</p> <p>在此當中，關於資安事件分類分級，就是為了區分事件嚴重性，並建議依組織業務營運狀況畫分為1到4級。原則上，1級資安事件是指影響部分資訊設備，組織仍然可以持續營運，2級資安事件是非核心業務受影響、組織仍可持續營運，這兩種影響較輕微；3級事件是部分核心業務受影響，4級事件組織核心業務停擺。基本上，越嚴重的事件，處理速度其實也必須更快。</p> <p>還有資安工具的準備，當中列出5種類型工具，包括：<br /> ●網路檢測：Angry IP Scanner、Nmap、Snort、TCPView、Wireshark。<br /> ●檔案檢測：Msert、PE Studio、VirusCheck、VirusTotal。<br /> ●系統檢測：Autoruns、Eventvwr、ProcessExplorer、Regedit。<br /> ●記憶體取證：FTK Imager、Volatility。<br /> ●弱點掃描：Nessus、OpenVas。</p> <p>有了這些備妥的工具，一旦事件發生時，就能快速派上用場，減少因應時間的耽擱。</p> <p>（二）在事中準備的階段，有4項重要工作，資安事件偵測與分析、保存數位證據、資安事件應變與處理，以及通知利害關係人。</p> <p>這裡要提醒的是最後一點，企業在對外溝通上，其實有很多關係人需要聯繫，包含：客戶、系統使用者、上下游供應商、主管機關等，說明面臨的資安事件類型，以及處理的進度、影響的範圍與結果。</p> <p>（三）在事後改善的階段，有5個面向需要顧及，包括：檢討目前的資安管理制度是否需調整，事件處理程序是否合宜，資安事件情資分享，檢視其他主機、系統、設備是否有同樣的弱點，以及檢討防護設備或防護管理是否足夠。</p> <p>這裡特別要提最後兩點，畢竟每次事件都是寶貴的經驗，除了針對這次事件的問題進行改善，企業也要進一步思考，組織內部其他主機、系統、設備是否有同樣的弱點，以及環境中是否有更多應設定但未設定的組態，進而採取行動、逐一檢視。換言之，這些動作，也將回饋到資安防護規畫上的資安策略制定、資安風險評估與管理等。</p> <p>綜觀上述3大階段，雖然這裡的內容算是簡單扼要，但對於還沒頭緒的企業來說，將可快速瞭解資安應變要做的事，不只是「事中」與「事後」的行動要點，也涵蓋「事前」的準備，讓還沒有概念的企業，至少可以知道規畫方向，而且這些都是中文的內容。</p> <p>但也要提醒大家的是，這些指引雖提供基本的參考方向，但各家公司的組織架構有別，狀況都不一樣，因此仍需要企業依自身需求設計與落實。</p> <p>此外，在最近這一兩年來，金管會與證交所在闡述上市櫃公司資安措施政策時，持續推動上市櫃公司共享資安情資，加入TWCERT/CC的平臺，除了期盼促進最新威脅情資的交流，應也希望讓相關經驗可以成為教訓。</p> <h2><strong>還可參考國際上的資安事件應變框架，提升應變策略</strong></h2> <p>值得一提的是，國際間也有相關資源可以參考。<a href="https://www.ithome.com.tw/news/138882">我們過去報導這方面議題時</a>，曾有多位專家提供建議，他們都認為：面對資安事件不能群龍無首，必須建立資安應變團隊，不論是實體的編制，或是虛擬的負責單位都行，並提到推動這些工作的一些重點。</p> <p>例如，TeamT5杜浦數位安全執行長蔡松廷指出，在這個資安應變團隊的背後，至少應建立三個任務小組，包括事件調查、災難復原與溝通協調，並讓對外的窗口能獨立運作，而且，所有負責人員都要做到同步協調。</p> <p>關於參考資源方面，戴夫寇爾執行長翁浩正有具體建議，他推薦的實施框架，源自非營利組織CREST，而在此資安事件應變流程（Cyber Security Incident Response）架構中，總共規畫3大階段，也就是「準備」、「應變」、「追蹤」，並細分15個步驟來實施。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖表1）資安事件應變國際參考資源_CREST資安事件應變框架_iThome.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96%E8%A1%A81%EF%BC%89%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E6%87%89%E8%AE%8A%E5%9C%8B%E9%9A%9B%E5%8F%83%E8%80%83%E8%B3%87%E6%BA%90_CREST%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E6%87%89%E8%AE%8A%E6%A1%86%E6%9E%B6_iThome.jpg" style="width: 600px;" /></a></p> <p>以準備階段為例，有5大步驟，包括：對組織進行關鍵性的評估，實施資安威脅的分析並且搭配情境的模擬與演練，從人員、流程、技術與資訊的層面來考量影響，建立適當的控制框架，以及檢視資安事件應變的準備狀態。</p> <p>這裡要特別注意的是，第一階段「準備」至關重要，但容易被大家忽視，原因是企業缺乏這方面意識、支持或資源。</p> <p>整體而言，企業在進行資安事件應變時，應該要瞭解到：在資安事件發生之前，就要超前部署、預先做好整體規畫。</p> <p>除了CREST安全事件應變流程框架，我們還可以在資安領域找到更多參考資源，例如：SANS提出的事件回應6大步驟（Incident Handler's Handbook），以及NIST提出的電腦事件安全處理指南（SP 800-61 Rev. 2）。</p> <p>企業也可以參考NIST的網路安全框架（CSF），因為涵蓋網路安全風險管理生命週期，事件應變也是其中的一部分。</p> <p>例如，在NIST CSF的「識別」方面就指出，要有資安事件應變計畫；在「偵測」方面，也是支持事故應變與復原活動的成功關鍵，企業與組織才能及早看到攻擊跡象，降低資安事件所帶來的影響，而且，上述的工作都與事前的準備有關。</p> <p>在NIST CSF的「回應」、「復原」方面，包含了事件管理、事件分析、事件回應通報與溝通、事件緩解，以及事件復原計畫執行、事件復原溝通，這些動作也對應到前面提到的事中應變。至於事後的改進，也將會涉及「防護」、「治理」的面向。</p> <p>總體而言，大家對於火災等公安事故，許多企業都有制定緊急災害應變措施計畫，甚至定期進行演練，面對資安事故也應如此，需要有應變措施。</p> <p>畢竟從上述現況來看，很多企業到現在還沒有這方面準備，面對網路攻擊事件接連發生的態勢，企業必須要有足夠的應變作為準備。</p> <p> </p> <h2 class="rtecenter"><span style="color:#B22222;"><strong>企業為何難揭露資安事件細節</strong></span></h2> <p>放眼全球，沒有企業敢擔保不發生資安事件，有許多公司都會主動坦承，我們也常看到國外媒體報導，但很少見到國內企業將內部的資安事件調查報告公開，示警其他企業注意同樣的威脅。</p> <p>趨勢趨勢科技台灣區暨香港區總經理洪偉淦認為，若發現是新的零時差漏洞攻擊，導致各界可能曝險，以該公司協助處理的狀況而言，他們會在不透露客戶的情形下，向外界示警新威脅出現。</p> <p>但是，今日很多企業遭遇的網路攻擊，其實絕大多數都是資訊安全管理疏漏造成，並不是什麼新的威脅出現。</p> <p>而且，在這些資安事件揭露的當下，其實企業無法在很短時間內就完成事故調查，就另一方面而言，即便找出根因、弱點，但企業也不見得很快就能投入修補。</p> <p>換言之，如果太早公布事件的問題癥結點，反而造成更大的曝險。因此，如果不是本次攻擊事件的主要成因，對外不見得要揭露太多，而且，若牽涉網路架構設計上的問題，所需要的改善時間，可能長達一兩年。</p> <p> </p> <h2 class="rtecenter"><strong><span style="color:#B22222;">對單一事故發多次重訊，展現透明度與誠意</span></strong></h2> <p>多家上市櫃公司遭網路攻擊，需趕緊依照規定發布重大訊息，向外界揭露事件的發生，但往往所能公開的資訊相當有限，企業是否有更好的揭露作法？</p> <p>其實有少數受害公司，後續會發布新的重訊，說明最新的處理或調查情形。我們認為，這的確是不錯的方式，可讓外界更清楚因應情形。</p> <p>以上櫃公司大拓－KY為例，該公司曾在2022年代子公司發布重大訊息，雖然內容不多，但其實在日本大拓公司官方網站，公布了更多資訊。例如，事故發生當日就有事故公告，相隔10天之後，他們再度揭露資安事件調查結果，說明事發時間及確認是遭勒索軟體攻擊。在事故30天後，該公司又發布第二版調查報告。</p> <p>另一個例子是2023年初華航針對媒體報導資料外洩事件發布重訊，一個月後再發新的重訊，公布後續調查結果，說明查出委外電商平臺系統連線異常，並公布確切影響範圍，有5千多筆會員資料遭擷取。</p> <p>2024年2月建準的重訊也是如此，而且是相隔一週後就有事件後續說明，指出部分技術人員電腦的部分重要檔案被加密攻擊，無法解密，且該部分資料恐有外洩疑慮。<br /> </p> </div></div></div>
2024/3/21 10:09作者羅正漢https://www.ithome.com.tw/news/161876
JetBrains發布CI/CD新工具TeamCity Pipelines，具多項智慧功能簡化工作管線配置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains推出新的CI/CD工具<a href="https://blog.jetbrains.com/teamcity/2024/03/meet-teamcity-pipelines/">TeamCity Pipelines</a>，助用戶最佳化開發流程。TeamCity Pipelines提供建置CI/CD工作管線需要的所有工具，盡可能減少用戶切換應用程式的狀況。官方提到，TeamCity Pipelines直覺的介面和智慧配置輔助功能，能大幅簡化測試工作，使用戶更有效率地運作CI/CD工作管線。</p> <p>TeamCity Pipelines擁有一個易用的工作管線編輯器，讓用戶簡單點擊滑鼠，就能建立起工作管線。除了視覺化編輯器之外，開發者也可以使用YAML，以程式碼即配置的方式來設定工作管線，用戶可以選擇從網頁介面進行編輯，或是直接將設定檔添加到儲存庫。</p> <p>TeamCity Pipelines減少開發者需要尋找或是記憶的配置項目，智慧配置輔助功能可引導用戶完成工作管線配置流程，並且提出改進建議，像是TeamCity Pipelines可以自動偵測特定的建置工具，並建議採用智慧測試平行化選項，可使執行速度提高達75％。</p> <p>該CI/CD工具支援Linux、Windows與macOS作業系統，用戶可以選擇相對應執行代理類型，當開發者需要用到額外的工具，則可以在代理程式上安裝，或在Docker容器執行工作。TeamCity Pipelines內建Docker映像檔搜尋功能，用戶不需要切換環境就可找到需要的映像檔，用戶還可以在介面自訂Dockerfile。</p> <p>而且TeamCity Pipelines能夠動態最佳化工作管線，供用戶選擇重複使用之前執行過的工作、平行測試和建置快取功能。TeamCity Pipelines會建議用戶將測試分成多個批次，執行平行測試加速迭代，特別的是，開發者不需要更改程式碼或是專案結構，TeamCity Pipelines會自動完成需要的配置工作。</p> <p>除了動態最佳化建議之外，TeamCity Pipelines也會在每次測試工作完成後提供報告，並自動辨識測試專案所採用的語言與框架。TeamCity Pipelines能跨多次工作追蹤測試結果，讓開發者簡單地比較測試變化。</p> <p>TeamCity Pipelines介面可以讓開發者用終端機，直接存取代理所在的機器快速進行除錯，其具有完整的建置日誌記錄，介面提供語法突出顯示、搜尋等功能方便開發者閱讀，日誌也可以下載到用戶熟悉的工具進行分析。</p> </div></div></div>
2024/3/20 22:25作者李建興https://www.ithome.com.tw/news/161874
微軟開源多雲容器網路觀測平臺Retina
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟Azure容器網路團隊發布雲端原生容器網路觀測平臺<a href="https://azure.microsoft.com/en-us/blog/microsoft-open-sources-retina-a-cloud-native-container-networking-observability-platform/">Retina</a>，讓Kubernetes用戶、管理者和開發者，能夠以視覺化的方式，觀測、除錯並且分析Kubernetes的工作負載流量。Retina支援各種容器網路介面（CNI）、作業系統和雲端平臺，還能夠與產業標準Prometheus和網路流量日誌搭配使用，具有適應不同用例和環境的靈活性。</p> <p>隨著Kubernetes等相關雲端原生技術的發展，雖然使得應用程式可在多種平臺上運作，但同時管理應用程式也變得複雜，特別是雲端原生應用程式的部署橫跨多個公有雲，以及企業的私有基礎設施，導致網路的可觀測性、故障排除和除錯越來越困難。</p> <p>Retina的出現便是要解決這個狀況，其提供簡單的方法，供用戶觀測和排除應用程式資料封包丟失和延遲等問題，而且不需要擔心底層基礎設施和轉換的複雜性。Retina利用eBPF（extended Berkley Packet Filter）的功能，在不需更改現有應用程式的情況下，以非侵入的方式對Kubernetes網路進行深入分析和監控。</p> <p>微軟提到，根據他們營運AKS（Azure Kubernetes Service）的經驗，發現網路監控、指標收集和Kubernetes叢集追蹤嚴重不足。而Retina提供了用戶對叢集網路的全面觀測性，同時藉由Kubernetes特有的上下文流量分析，像是Pod、服務和命名空間等資訊，將指標轉成產業標準的Prometheus或是網路流量日誌。</p> <p>Retina的特色之一是獨立於容器網路介面、作業系統和雲端平臺，微軟指出，現有的開源解決方案，通常與特定CNI、作業系統和資料平面緊密整合，因此限制了多功能性和可用範圍。Retina則是設計成多功能、可適應和可擴充的套件框架，能夠與所有CNI、作業系統和雲端平臺搭配使用，並且成為現有工具集的補充。</p> <p>Retina支援Linux和Windows資料平面，滿足可靠性工程師的多樣化需求，並占用盡可能少的記憶體和CPU資源，其可插拔設計可讓用戶簡單擴展，應用於各種新用例。</p> <p>Retina還有一個重要功能，是可以深入分析網路流量，涵蓋網路第四層指標、DNS指標和分散式資料封包擷取，其無縫整合Kubernetes應用程式模型，提供詳細Pod層級的指標。微軟解釋，用戶能以標籤來配置分散式資料封包擷取，指定擷取封包的內容、位置和物件。而Retina所提供的網路流程日誌，用戶可以使用歷史紀錄和進階除錯功能，強化網路故障排除和效能最佳化。</p> <p>微軟透過開源Retina以及支援多雲架構，將廣泛的雲端原生生態系納入Retina的觀測範圍中。微軟提到，他們會繼續發展Retina的可擴展性，使用戶可以更簡單地添加新指標和分析，並且可以與其他監控系統和工具整合。</p> </div></div></div>
2024/3/20 22:12作者李建興https://www.ithome.com.tw/news/161871
Google公開皮膚病狀圖片資料集SCIN，涵蓋各種膚色與身體部位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑒於當前皮膚科影像資料集的不足，Google與史丹佛大學醫學院合作，收集涵蓋各種膚色、身體部位皮膚病狀的照片，推出了<a href="https://blog.research.google/2024/03/scin-new-resource-for-representative.html">皮膚病狀圖像網路（SCIN）資料集</a>，由於該資料集的收集方式來自網路，因此也可反映出人們常在線上搜尋的常見皮膚問題。SCIN資料集補充臨床皮膚疾病資料集的不足，並提高人工智慧工具的泛用性。</p> <p>健康資料集在研究和醫學教育都非常重要，但研究人員提到，要創建能夠代表現實世界的資料集具有挑戰性。像是皮膚問題的外觀和嚴重程度各有不同，而且現有皮膚科影像資料集缺乏人們日常經常出現的皮疹、過敏和感染等病狀的圖片，同時內容多淺色皮膚也欠缺種族資訊，使得研究人員難以評估差異和創建通用解決方案。</p> <p>而SCIN資料集經過仔細設計，收集廣泛條件的圖片，具有詳細貢獻者的資訊，還有專業皮膚科醫師標注。SCIN資料集共收錄超過1萬張皮膚、指甲和頭髮狀況的圖像，這些圖像由本人自願貢獻，並被要求拍攝特寫與稍遠距離的圖像。貢獻者可選擇提供人口統計資料與日曬傾向，還有描述他們關心的問題、症狀與持續時間等資訊。</p> <p>由一到三位皮膚科醫生對貢獻者的皮膚狀況，給出最多5個皮膚病狀，以及附上每個標籤的信賴分數。研究人員提到，資料集包含單獨的標籤，以及衍生出的聚合和加權差異診斷，可用於模型測試和訓練。雖然這些標籤屬於回顧性的資訊，無法等同於臨床診斷，但研究人員可以將SCIN資料集中皮膚病狀的分布，與現有資料集進行比較。</p> <p>許多皮膚病資料集針對良性與惡性腫瘤，以協助診斷皮膚癌，但是SCIN資料集的組成，主要是常見的過敏、發炎和感染性疾病。SCIN資料集中的大多數圖像，展示了皮膚病的早期狀況，超過一半的皮膚病狀在照片拍攝一周內出現，甚至有30％的症狀是在圖像拍攝不到一天內出現。</p> <p>在現有的皮膚病學資料庫中，這些短時間出現的症況，往往得到關注不足，因此在健康系統內不常見。也就是說，當臨床環境少有文件紀錄，這些早期症狀沒有被資料集紀錄，對於病狀研究和診斷工具的開發就會受限，進而影響了對這些病狀的理解和治療。</p> <p>研究人員特別提到，他們在創建SCIN資料集，採用了一種群眾外包新方法。研究人員藉由在網頁搜尋結果頁面投放廣告，吸引網路參與者，並與之建立聯繫，這個方法擴大了參與者的範圍，確保可以從廣泛且多元的人群中收集資料，而且由於貢獻者在醫療健康研究中扮演積極角色，使研究者能夠接觸到處於健康問題早期階段的人們。</p> <p>結果也顯示，這種群眾外包方法收集到的資料不只品質高且垃圾訊息率低，超過97.5％的貢獻都是真實的皮膚狀況圖像，也有大約一半的貢獻回報了人口統計資訊，且有80％包含皮膚狀況的自我評估，像是膚質、持續時間和其他症狀描述。</p> </div></div></div>
2024/3/20 22:16作者李建興https://www.ithome.com.tw/news/161873
【資安日報】3月20日，研究人員針對行動應用程式開發平臺Firebase配置不當氾濫的現象提出警告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伺服器配置不當的情況，過往最常出現的是在公有雲系統，但應用程式開發系統出現配置不當的問題，也相當值得留意。</p> <p>最近有研究人員針對Google旗下的行動與網頁應用程式開發平臺Firebase進行調查，一口氣找到超過1億筆機敏資料（Secrets），值得留意的是，當中包含不少明文密碼。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://env.fail/posts/firewreck-1/"><strong style="font-size: 22px;">配置不當的Firebase曝露近2千萬筆明文帳密資料</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/supabase_table.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/supabase_table.png" style="width: 300px; float: right;" /></a>研究人員Logykk、Xyzeva、MrBruh指出，行動與網頁應用程式開發平臺Firebase的資安控管不足，放任用戶進行可能危及資安的組態設定。因為當中竟然允許IT人員配置具有潛在資安風險的規則，且不會發出任何警示訊息，而因為存在這樣的狀況，使得不少Firebase伺服器呈現「裸奔」狀態，因為許多機敏資料都因此而曝露在外。</p> <p>這些研究人員針對全球的Firebase伺服器進行掃描，結果發現超過1.25億筆機敏資料，內含電子郵件信箱、姓名、密碼、電話號碼，甚至部分具備詳細金融資訊的帳單明細。這批資料一共有84,221,169個姓名、106,266,766個電子郵件帳號、33,559,863筆電話號碼、20,185,831個密碼，以及27,487,924組帳單資料，其中值得留意的是，上述的密碼有19,867,627個都是以純文字型式存放，換言之，幾乎（98%）並未採取保護措施。</p> <p>對此，研究人員在兩週內發送842封電子郵件，通知受影響的Firebase用戶，約有四分之一的管理者修復了配置錯誤的情況，1%管理者回信，此外，研究人員也得到2個企業組織的抓漏獎勵。</p> <p><a href="https://www.securonix.com/blog/securonix-threat-research-security-advisory-new-deepgosu-attack-campaign/"><strong style="font-size: 22px;">研究人員揭露Deep#Gosu攻擊行動，北韓駭客打造PowerShell及VBS惡意軟體對Windows電腦下手</strong></a></p> <p></p> <p>資安業者Securonix揭露北韓駭客組織Kimsuky的攻擊行動Deep#Gosu，指出對方調整手法，採用以指令碼為基礎的攻擊流程，利用多個以PowerShell及VBScript製作的工具來感染目標電腦，並進一步使用RAT木馬程式來進行控制。</p> <p>值得一提的是，所有C2的通訊都是透過Dropbox與Google Docs等雲端服務來處理，使得攻擊流量融入合法流量，而能讓惡意軟體的行蹤難以察覺；此外，這起攻擊行動的惡意酬載，都是存放Dropbox等雲端服務，因此駭客能夠動態更新惡意程式的功能，或是部署其他的模組。</p> <p>而對於攻擊流程的進行，這些駭客透過ZIP壓縮檔向目標人士散布Windows捷徑檔（LNK），但此檔案容量過大，竟高達2.2 MB（LNK檔通常只有幾KB），研究人員拆解其內容，發現當中包含PowerShell指令碼，從而解出嵌入的檔案，並從網路下載其他惡意VBScript程式碼，並向受害者顯示PDF檔案，以降低戒心，接下來，攻擊者會執行來自Dropbox的RAT木馬TruRat。</p> <p><a href="https://www.bleepingcomputer.com/news/security/white-house-and-epa-warn-of-hackers-breaching-water-systems/"><strong style="font-size: 22px;">美國對水利系統業者提出警告，駭客鎖定全國各地有關的關鍵基礎設施發動攻擊</strong></a></p> <p></p> <p>美國環境保護局（Environmental Protection Agency，EPA）、國家安全顧問Jake Sullivan對各州政府提出警告，駭客正在襲擊多州的水利關鍵基礎設施，因此他們想要請求州長協助，確保轄內的水利系統能夠因應相關威脅，並在遭到破壞時能迅速恢復。</p> <p>對此，他們將於美國東部時間21日下午1時舉行線上會議，邀請各州環保局、公共衛生機關、國土安全部的首長參與，討論如何保護水利系統的關鍵基礎設施，重點將說明當局與各州要如何強化這類設施的資訊安全。</p> <p>EPA將與國土安全部（DHS）、網路安全暨基礎設施安全局（CISA）合作，提供相關的指引、工具、教育訓練、技術協助等資源；美國水務協會（American Water Works Association，AWWA）、國家農村水利協會（National Rural Water Association，NRWA）、水利資訊共享暨分析中心（Water Information Sharing and Analysis Center，WaterISAC）也將提供相關技術支援。</p> <p>資料來源</p> <p>1. <a href="https://www.epa.gov/system/files/documents/2024-03/epa-apnsa-letter-to-governors_03182024.pdf">https://www.epa.gov/system/files/documents/2024-03/epa-apnsa-letter-to-governors_03182024.pdf</a><br /> 2. <a href="https://www.epa.gov/newsreleases/biden-harris-administration-engages-states-safeguarding-water-sector-infrastructure">https://www.epa.gov/newsreleases/biden-harris-administration-engages-states-safeguarding-water-sector-infrastructure</a></p> <p><a href="https://cyble.com/blog/cgsi-probes-shadowsyndicate-groups-possible-exploitation-of-aiohttp-vulnerability-cve-2024-23334/"><strong style="font-size: 22px;">HTTP非同步傳輸框架Aiohttp漏洞遭到勒索軟體駭客組織鎖定</strong></a></p> <p></p> <p>1月28日HTTP非同步傳輸框架Aiohttp發布3.9.2版，修補當中Python程式庫的路徑穿越漏洞CVE-2024-23334，嚴重程度為高風險等級，CVSS風險評為7.5，而這項漏洞傳出被用於攻擊行動。</p> <p>資安業者Cyble指出，他們在2月27日看到有人公布該漏洞的概念性驗證程式碼（PoC），2天後駭客透過5個IP位址嘗試利用這項漏洞，研究人員根據另一家資安業者Group-IB去年的調查，認為攻擊者的身分可能是勒索軟體駭客組織ShadowSyndicate。</p> <p>研究人員根據他們的網路掃描工具進行調查，全球約有4.4萬臺可透過網際網路存取的Aiohttp實體，位於美國的最多，占15.8%，其次是德國、西班牙，各有8%、5.7%，但由於難以判斷這些伺服器使用的版本，他們無法確認有多少主機曝險。</p> <p><a href="https://securityintelligence.com/posts/pixpirate-brazilian-financial-malware/"><strong style="font-size: 22px;">安卓惡意軟體PixPirate採用新型態策略埋藏在背景運作</strong></a></p> <p></p> <p>去年2月資安業者Cleafy揭露專門鎖定巴西的安卓木馬程式PixPirate，並指出該木馬能對多家當地銀行的用戶進行自動轉帳系統（ATS）攻擊、攔截簡訊，還能投放惡意廣告，如今這個惡意程式以更隱密的方式於受害手機運作。</p> <p>IBM威脅情報團隊指出，他們近期看到PixPirate的變種版本，但有別於過往的版本，首先，這次駭客採取新的隱藏應用程式圖示策略（不具備啟動器的圖示，而能在最新版的安卓作業系統維持隱藏的狀態）；再者，攻擊者將該惡意程式拆成兩個APK檔案進行散布，這樣的做法也相當罕見。</p> <p>對方先透過WhatsApp或是釣魚簡訊散布第1個「下載器」的APK檔案，一旦使用者執行安裝，該APK檔案就會要求使用者，開放輔助功能在內的多種權限，啟動後便會下載PixPirate的主程式，此軟體安裝後，不會在手機前端介面呈現App圖示，但會產生可被其他應用程式連接的服務，而能被前述的下載器執行。研究人員指出，就算受害者移除下載器的App，PixPirate仍舊能夠獨立運作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PixPirate-infection-flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PixPirate-infection-flow.png" style="width: 580px;" /></a></p> <p><a href="https://perception-point.io/blog/operation-phantomblu-new-and-evasive-method-delivers-netsupport-rat/"><strong style="font-size: 22px;">駭客組織PhantomBlu透過OLE物件在Microsoft 365用戶電腦植入後門</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/blu.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/blu.png" style="width: 300px; float: right;" /></a>有人針對美國組織的Microsoft 365用戶發起名為PhantomBlu的攻擊行動，對方假借提供每個月的薪資報告，透過SendInBlue、Brevo等行銷管理平臺寄送釣魚郵件，引誘收信人下載特定Word檔案。</p> <p>一旦照做，收信人便會看到受到密碼保護的檔案及對應的「說明文件」，從而於受害電腦植入木馬程式NetSupport RAT，使得攻擊者能夠進行監控、側錄鍵盤輸入內容、傳輸檔案，濫用系統資源，甚至能在受害網路進行橫向移動。</p> <p>資安業者Perceptive Point指出，有別於大部分散布NetSupport RAT的攻擊行動，這次駭客濫用了物件連結與嵌入（OLE）的範本檔案，並藉由Office文件範本執行惡意程式碼，從而迴避偵測。</p> <div> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.recordedfuture.com/adversarial-intelligence-red-teaming-malicious-use-cases-ai"><span style="font-size: 20px;">駭客嘗試透過大型語言模型修改惡意程式，降低被防毒軟體特徵碼察覺的機會</span></a></strong></p> <p><strong><a href="https://therecord.media/lockbit-ransomware-takes-credit-for-south-african-pension-fund-attack"><span style="font-size: 20px;">北韓駭客Lazarus疑似透過加密貨幣混幣系統Tornado Cash洗錢</span></a></strong></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-acidpour-data-wiper-targets-linux-x86-network-devices/"><strong><span style="font-size: 20px;">資料破壞軟體AcidPour鎖定Linux網路裝置而來</span></strong></a></p> <p><a href="https://securelist.com/trojanized-text-editor-apps/112167/"><strong><span style="font-size: 20px;">中國用戶遭到惡意廣告鎖定，駭客假借提供Notepad++、VNote等應用程式散布滲透測試工具Geacon</span></strong></a></p> <p></p> <p><a href="https://therecord.media/lockbit-ransomware-takes-credit-for-south-african-pension-fund-attack"><strong><span style="font-size: 20px;">南非公務員退休基金傳出在2月遭遇勒索軟體LockBit攻擊</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161852"><strong>【3月19日】駭客組織Earth Krahang鎖定政府機關而來，疑為中國資安業者安洵旗下團隊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161813"><strong>【3月18日】國際貨幣基金組織電子郵件帳號傳出遭到挾持</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161788"><strong>【3月15日】Windows安全機制SmartScreen弱點在公布前也被用於散布惡意程式DarkGate</strong></a></p> </div></div></div>
2024/3/20 14:43作者周峻佑https://www.ithome.com.tw/news/161868
Google將打造個人化健康大型語言模型，以提供Fitbit用戶來自AI的建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/health/google-generative-ai-healthcare/" target="_blank">Google本周宣布</a>，旗下Google Research及Fitbit團隊將合作建置一個攸關個人化健康的大型語言模型（Personal Health Large Language Model），以支援Fitbit行動程式中的個人化健康及保健功能，讓使用者可透過Fitbit及Pixel裝置上的資料獲得更多的見解與建議。</p> <p>根據Google的說明，此一個人化健康LLM將以Gemini模型為基礎，再利用去身分識別的高品質研究案例中的健康訊號進行微調，這些研究正在與通過認證的教練或健康專家合作收集及驗證資訊，以讓該模型得以展現對生理及行為資料的深刻推論能力；目前Google正在利用類似睡眠醫學認證考試的練習來測試該模型的效能，未來將可用來分析使用者的睡眠模式與睡眠品質的變化，再依照相關的見解來提供運動上的建議。</p> <p>在有了個人化健康LLM之後，Fitbit行動程式即可藉由追蹤使用者的狀態，協助使用者更全面地理解自己的健康資料，同時以自然語言提出問題，並建立專屬的圖表。例如可深入了解活躍區間分鐘數（AZM）與睡眠恢復程度的相關性。</p> <p>Google在2021年完成對智慧手錶業者Fitbit的<a href="https://www.ithome.com.tw/news/142247" target="_blank">收購案</a>，在2023年推出了Fitbit Labs，供Fitbit Premium用戶存取實驗性的AI功能，而新的個人化健康LLM將會在今年率先部署至少數的Android裝置上，供註冊Fitbit Labs的Fitbit用戶試用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0320-The%20Check%20Up%20with%20Google%20Health-Fitbit%20labs-2.png" style="width: 473px;" /></p> </div></div></div>
2024/3/20 15:24作者陳曉莉https://www.ithome.com.tw/news/161870
Firebase配置錯誤外洩逾1億名使用者資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://env.fail/posts/firewreck-1/" target="_blank">3名安全研究人員近日揭露</a>，他們在網路上掃描配置錯誤的Firebase實例，結果找到了900個網站，它們外洩了超過1億名使用者的帳號資料，包括姓名、電子郵件、電話號碼、密碼與帳單資訊等。</p> <p>這些研究人員是受到另一名安全研究人員MrBruh的啟發。<a href="https://mrbruh.com/chattr/" target="_blank">MrBruh今年1月</a>針對數百家AI新創進行掃描，揣測這些業者可能會為了儘快推出產品而忘了實施適當的安全規則，促使MrBruh打造了腳本程式以尋找外洩的Firebase憑證，結果卻發現AI招募系統Chattr.ai的配置錯誤，使得他只要自己註冊一個Firebase帳號就能存取Chattr.ai後端的Firebase資料庫，還具備讀取及寫入的完整權限。</p> <p>Chattr.ai幫美國許多連鎖餐廳尋找工讀生，包括Applebees、肯德基、Tacobell及Wendys等，MrBruh因而取得了Chattr員工、餐廳加盟店經理，以及求職者的姓名、電話號碼、電子郵件、密碼、門市地點與對話紀錄等。</p> <p><a href="https://hackersbait.com/blog/chattr-ai-data-breach/" target="_blank">HackersBait曾經分析</a>此一配置錯誤事件，指出Chattr.ai當初被駭是因為其Firebase配置的驗證與存取控制不足所造成的。</p> <p>MrBruh攻陷Chattr.ai的消息曝光後，暱稱為mrbruh、xyzeva 與logykk等3名研究人員便決定大規模掃描那些配置錯誤的Firebase資料庫，結果有900個網站仍採用此一危險配置，外洩了1.24億筆的紀錄、8,400萬個姓名、逾1億個電子郵件信箱、3,300萬個電話號碼、逾2,000萬個密碼，以及超過2,700萬個帳單資訊。</p> <p>其中，教學管理平臺Silid LMS上有2,700萬名用戶的資訊曝光，某一線上賭博網站的800萬個銀行帳戶資料以及1,000萬個明文密碼曝光。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0320-Silid%20LMS-Firebase-misconfiguration.jpg" style="width: 600px;" /></p> <p>總之，這3名研究人員隨後寄了842封郵件予受影響的網站，當中有85%成功發送，總計只有24%的網站變更了Firebase配置，只有1%回覆了電子郵件，並有兩個網站提供抓漏獎勵。</p> </div></div></div>
2024/3/20 14:18作者陳曉莉https://www.ithome.com.tw/news/161867
微軟找來AI新創Inflection共同創辦人執掌新AI部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2024/03/19/mustafa-suleyman-deepmind-and-inflection-co-founder-joins-microsoft-to-lead-copilot/" target="_blank">微軟周二宣布</a>成立新的AI部門，並找來AI新創公司Inflection多名員工以開發Copilot等AI技術，包括二名共同創辦人Mustafa Suleyman與Karén Simonyan。</p> <p>微軟執行長Satya Nadella透過官方部落格宣布，二名創辦人將加入微軟，率領新成立的Microsoft AI，負責率領開發Copilot及其他消費性AI產品及研究。其中Suleyman將擔任Microsoft AI部門執行長暨執行副總裁，並將躋身高層領導團隊，直接向Nadella報告。而Simonyan則擔任該部門的首席科學家，向Suleyman報告。</p> <p>Suleyman在成立Inflection之前，也曾共同創辦現為Google AI部門的DeepMind。Simonyan則在DeepMind參與開發曾在棋賽中擊敗知名AI系統AlphaGo的<a href="https://www.ithome.com.tw/news/127574" target="_blank">AlphaZero</a>。</p> <p class="rtecenter"><a href="https://twitter.com/mustafasuleyman/status/1770123596121432351" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0320-Mustafa%20Suleyman-Microsoft%20Copilot-Microsoft%20AI-3.png" style="width: 600px;" /></a></p> <p>此外，多名Inflection員工，也隨同二名主管加入了微軟，涵括AI工程師、研究人員及開發人員。</p> <p>Inflection是2022年成立的AI新創公司，去年才募得13億美元開發「更個人化的AI」，而主要投資人正是微軟，該公司也正在和Nvidia打造全球最大AI叢集。Inflection本月初才宣布了媲美GPT-4的<a href="https://www.ithome.com.tw/news/161671" target="_blank">Inflection-2.5 AI模型</a>。</p> <p>Nadella指出，微軟將在其與OpenAI的合作基礎上持續開發AI，也將持續打造AI基礎架構，包含系統及晶片作業，以支持OpenAI基礎模型的發展藍圖，在其模型上開發產品與服務。他說這些工作也會由新成立的AI部門獲得強化。</p> <p>同時，廣告暨Web服務部門執行長Mikhail Parakhin及其整個團隊，包括Copilot、Bing及Edge，以及GenAI團隊及主管Misha Bilenko也都將納入新成立的Microsoft AI部門向Suleyman報告。</p> <p>至於微軟技術長暨執行副總裁Kevin Scott則不受影響，將持續負責AI策略統籌、所有系統架構決策、合作聯盟與全公司協作。而體驗與裝置部門執行副總裁Rajesh Jha則會持續開發Copilot for Microsoft 365，並與新消費性AI部門合作。</p> <p>在Inflection方面，Inflection三名共同創辦人中的Reid Hoffman將留下，輔助新任執行長Sean White。<a href="https://inflection.ai/the-new-inflection" target="_blank">Inflection</a>也在部落格公告高層人事異動。該公司指出會持續打造個人化AI，包括聊天機器人Pi，同時強調公司的隱私和資料政策不會變動，也不會在客戶未明顯同意下將任何資料分享給第三方機構。</p> <p>Inflection今日並宣布，本月發表的Inflection 2.5模型會登上Microsoft Azure平臺，不久之後也會在其他雲端平臺代管。該公司預告很快會發布API以開放開發人員或企業測試。</p> <p>微軟和Inflection的合作，是去年底OpenAI人事紛擾後，AI新創界的又一發展。當時OpenAI董事會<a href="https://www.ithome.com.tw/news/159901" target="_blank">開除</a>執行長Sam Altman，Altman及辭職的技術長Greg Brockman一度被微軟延攬率領新的AI部門。但一周後，兩人又回到OpenAI。當時Nadella說，微軟和OpenAI的合作會持續。但同時間，微軟也正擴大AI新創公司的合作廣度，包括Azure也提供Databricks的AI模型。</p> <p>同時微軟也將面臨來自Google AI更強的競爭。<a href="https://www.ithome.com.tw/news/161827" target="_blank">《彭博》</a>上周報導，蘋果可能正在洽談，將在iPhone上使用Google Gemini或是OpenAI ChatGPT作為AI功能底層。蘋果的22億支iPhone對任何一家AI聊天機器人都是市占上的絕對助力。</p> </div></div></div>
2024/3/20 09:49作者林妍溱https://www.ithome.com.tw/news/161865
甲骨文建議Java開發者先不要升級Apple silicon裝置到macOS 14.4
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文（Oracle）在Java官方部落格<a href="https://blogs.oracle.com/java/post/java-on-macos-14-4">提醒</a>開發者，macOS 14.4引入了一個可能導致Java程序意外終止的臭蟲，Java 8到JDK 22早期存取版本全部受影響，目前沒有解決方法，官方建議Java開發者推延更新macOS 14.4直到問題解決為止。</p> <p>問題是發生在M1、M2 和 M3的Apple silicon晶片，在macOS上的一項功能，該功能控制每個執行緒寫入和執行動態生成程式碼的方法與時機。在macOS上，正常JIT和執行周期間，執行中的程序可能會存取受保護的記憶體區域，而macOS 14.4更新之前，在部分情況，macOS核心會透過向程序發送SIGBUS或SIGSEGV訊號，以回應受保護的記憶體存取。</p> <p>但在macOS 14.4中，當執行緒在寫入模式下進行時，當程序嘗試存取受保護記憶體區域，macOS會發送SIGKILL訊號，而程序會在無法處理SIGKILL訊號的狀況下被強制終止。由於Java虛擬機器會動態生成程式碼，需要利用受保護記憶體存取的訊號機制，來維持正確性與效能，但macOS 14.4卻會將嘗試執行此操作的程序直接終止，使得程序沒有機會處理訊號。</p> <p>甲骨文提到，雖然使用GraalVM原生映像檔建立的AoT編譯應用程式應該不會受影響，但是開發者卻無法創建新的映像檔。官方也表示，該問題在macOS 14.4早期存取版本並不存在，直到Apple發布了更新之後，這個問題才被發現。</p> <p>由於macOS更新之後難以回退，除非開發者在作業系統更新之前，就對系統進行了完整的備份。目前甲骨文已通知其客戶、Apple以及OpenJDK合作夥伴，同時建議在Apple silicon裝置上執行macOS 14的開發者，暫時不要往上更新到macOS 14.4，等到問題解決再升級。</p> </div></div></div>
2024/3/20 08:22作者李建興https://www.ithome.com.tw/news/161862
YouTube更新Creator Studio，要求創作者標記AI生成的寫實影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/intl/en-in/products/platforms/how-were-helping-creators-disclose-altered-or-synthetic-content/">YouTube</a>已經在Creator Studio添加新工具，並要求創作者揭露使用生成式人工智慧所製作的寫實內容（Realistic Content）。創作者揭露的資訊將會以標籤的形式，在說明欄或是播放器前顯示，而官方也提到，創作者不需要揭露不切實際、動畫性質、含有特效，或是由使用生成式人工智慧輔助製作的內容。</p> <p>生成式人工智慧的出現改變了創作者的影片製作流程，不少創作者開始使用生成式人工智慧工具，輔助編寫分鏡或是劇本等，但YouTube提到，觀眾希望了解自己所看到的內容，是否經過修改或是合成。因此官方決定添加可揭露資訊的新標籤，強化創作者使用生成式人工智慧工具的透明度，進而建立起創作者與觀眾的信任。</p> <p>官方指出，若創作內容經數位修改，像是用數位手段更換人臉、合成人聲解說，或改變真實事件與地點影像，例如讓真實的建築物著火，或是更改城市式景觀，都需要進行揭露。另外，對於虛構的重大事件，像是龍捲風朝向真實城鎮移動等進行寫實的描述，創作者也需要明確地揭露。</p> <p>大多數的標籤都會出現在影片說明中，但對於較敏感的主題，像是健康、新聞、選舉和金融影片，YouTube會在影片上顯示更加突出的標籤。</p> <p>不過，並非所有生成式人工智慧的應用場景都需要公開，如用於提升生產力目的，像是自動生成腳本、創意內容，或是轉錄字幕等。此外，YouTube也不要求創作者揭露過於虛幻，或不重要的合成媒體，例如奇幻場景、色彩調整或濾鏡等效果。</p> <p>接下來幾周，YouTube觀眾就會在平臺上看到相關標籤，最先的是手機上的YouTube應用程式，接下來則是桌面版與電視版。YouTube將允許社群有時間適應新流程與功能，但是未來對於持續不揭露該訊息的創作者，可能採取強硬的措施。在部分情況，即使創作者本身沒有揭露，YouTube也可能會對混淆視聽的內容添加標籤。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0320-youtube-ai-label-1.png" style="width: 417px;" /></p> <p>對於採用生成式人工智慧技術，仿冒真實人物臉孔或是聲音的內容，YouTube也將會開放個人可以提出移除申請。官方現在正在更新隱私流程，屆時將會公開執行辦法。</p> </div></div></div>
2024/3/20 08:28作者李建興https://www.ithome.com.tw/news/161863
Nvidia推出生成式AI微服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvidianews.nvidia.com/news/generative-ai-microservices-for-developers" target="_blank">Nvidia周一（3/18）宣布</a>於Nvidia AI Enterprise 5.0平臺新增數十款生成式AI微服務（Microservice），目前它們分為NIM及CUDA-X 兩大類別，前者主要提供最佳化的推論微服務以大規模部署AI模型，後者則著重於打造資料處理、AI與高效能運算的各種應用。</p> <p>微服務是一種架構模式，其服務規模較小，且可獨立部署，<a href="https://www.ithome.com.tw/news/160071" target="_blank">Nvidia先前便曾</a>單獨發表生成式AI微服務。Nvidia說明，該公司是在其全棧運算平臺上增添一個微服務層，此層以標準化路徑連結了模型開發者、平臺供應商與企業的AI生態體系，以於雲端、資料中心、工作站或PC上執行針對<a href="https://developer.nvidia.com/about-cuda" target="_blank">Nvidia CUDA</a>最佳化的客製AI模型。</p> <p>其中，NIM是個容器化的推論微服務，內含預建的容器、產業的標準API、特定領域的程式碼與最佳化的推論引擎等，意在縮小企業環境中營運需求及AI部署之間的差距，將模型部署時間從幾周縮短至幾分鐘，以讓企業的應用程式開發人員得以對公司的AI轉型做出10~100倍的貢獻。</p> <p>此外，NIM專為可攜與可控所設計，讓模型可部署在不同的基礎設施上，涵蓋工作站、雲端到本地資料中心。</p> <p>至於CUDA-X則是提供端對端的建置組塊，以支援資料準備、客製化及訓練，加速不同產業生產AI的開發。例如提供客製化語音與翻譯AI的Nvidia Riva，最佳化路徑的Nvidia cuOpt，或是高解析度的天氣模擬Nvidia Earth-2等。</p> <p>企業可在不同的基礎設施上部署Nvidia AI Enterprise 5.0內的各種微服務，如AWS、Google Cloud、Azure或Oracle Cloud Infrastructure。</p> </div></div></div>
2024/3/20 08:12作者陳曉莉https://www.ithome.com.tw/news/161864
CircleCI在其CI/CD平臺推出自動化調度部署功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>CI/CD平臺CircleCI強化發布調度能力推出<a href="https://circleci.com/docs/release/releases-overview/">CircleCI Release</a>，讓用戶在CircleCI網頁介面上，就可簡單地配置發布調度程序。同時，CircleCI Release也支援Argo Rollouts，提供自動化漸進式交付程序，使開發人員可以更全面地控制應用程式發布，目前CircleCI Release已經支援金絲雀部署策略，並會在之後版本支援藍綠部署。CircleCI Release現在已推出，供所有CircleCI用戶使用。</p> <p>CircleCI Release可讓開發團隊快速交付，並監控生產環境中的新部署，當部署出現問題時，還可自動快速回退到之前的版本。CircleCI Release同時支援Kubernetes Deployments和Argo Rollouts，CircleCI透過與Kubernetes叢集整合，使開發者可以利用CircleCI網頁應用程式，檢視和控制發布流程。</p> <p>開發者首先需要在Kubernetes叢集中安裝發布代理（Release Agent），該代理程式會監控特定的Kubernetes命名空間，以執行更細緻的叢集操作。配置完成後，開發者便可以透過CircleCI網頁應用程式監控發布程序，並查看Kubernetes部署發布狀態和進度。</p> <p>從CircleCI網頁介面就可執行命令管理發布，這些命令會由CircleCI監控並轉發給代理，由代理在Kubernetes叢集中執行，可執行的命令包括恢復到特定應用程式版本、擴展或重啟特定元件，以及與Argo Rollouts相關的操作，像是重試或是取消發布等。</p> <p>Argo Rollouts是Kubernetes的擴充功能，除了滾動更新之外，還提供更進階的部署策略，像是金絲雀部署（Canary Deployment）和藍綠部署（Blue-Green Deployments），讓開發者進行更精確的流量控制和測試。</p> </div></div></div>
2024/3/19 23:57作者李建興https://www.ithome.com.tw/news/161859
Stability AI開源新模型SV3D，可生成多視角且物體外觀一致的影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stability AI以Stable Video Diffusion模型為基礎，創建了<a href="https://stability.ai/news/introducing-stable-video-3d">Stable Video 3D（SV3D）</a>模型，SV3D可生成高品質的3D多視角影片，官方提到，相較之前所發布的Stable Zero123模型，SV3D生成的影片品質以及多視角表現都更好，效能也優於Zero123-XL。</p> <p>Stable Video 3D模型有兩個變體，分別是SV3D_u和SV3D_p。SV3D_u能夠利用單一圖像，不需要使用者設定攝影機參數，即可生成環繞物體的連續視角（Orbital Views）影片，而SV3D_p則是在SV3D_u基礎上，不僅支援從單一圖像生成影片，還能根據環繞物體的影片，生成指定攝影機路徑的3D影片。</p> <p>Stability AI調整原有的Stable Video Diffusion圖像轉影片模型，增加攝影機路徑設定功能，使Stable Video 3D模型能夠生成從不同角度觀看物體的影片。與Stable Zero123所使用的擴散模型相比，Stable Video 3D在生成影片方面擁有更好的泛化能力以及視角一致性，因此所生成的影片，從不同視角看起來更加自然且連貫。</p> <p>Stable Video 3D還採用了解耦光照最佳化（Disentangled Illumination Optimization）技術，使得模型可單獨調整照明效果，不影響場景其他元素表現，以及透過遮罩分數蒸餾採樣損失函式（Masked Score Distillation Sampling Loss），來維持生成物體的品質和一致性。</p> <p>官方指出，Stable Video 3D在3D影片生成有重大進步，因為先前的方法在視角通常受限制，且輸出有物體不一致的問題。而Stable Video 3D卻可從任意指定視角，輸出連貫的視圖，不僅強化姿勢可控性，也確保可在多個視圖中保持物體外觀一致。</p> <p>Stable Video 3D現在推出，Stability AI會員可將其用於商業目的，針對非商業用途，開發者可以在Hugging Face下載模型權重，並參照Stability AI的研究論文。</p> </div></div></div>
2024/3/20 00:05作者李建興https://www.ithome.com.tw/news/161861
【資安日報】3月19日，駭客組織Earth Krahang鎖定政府機關而來，疑為中國資安業者安洵旗下團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>半個月前<a href="https://www.ithome.com.tw/news/161607">資安業者趨勢科技揭露中國駭客組織Earth Lusca的攻擊行動</a>，並指出該組織與中國資安業者安洵信息（i-Soon）有所關連，但並未說明兩者之間的關係，如今相關調查出現新的進展。</p> <p>研究人員發現另一個與Earth Lusca攻擊手法相近，卻有顯著不同之處的駭客組織Earth Krahang，並根據安洵外流的內部資料，研判這兩組人馬就是由該公司經營。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/24/c/earth-krahang.html"><strong style="font-size: 22px;">中國駭客組織Earth Krahang鎖定45個國家、逾100個組織而來</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Earth_Krahang-fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Earth_Krahang-fig1.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露中國駭客組織Earth Lusca在臺灣總統大選前夕進行的網路釣魚攻擊，並指出該組織可能與內部資料遭到公開的中國資安業者安洵信息（i-Soon）有關，如今他們又有新的發現。</p> <p>研究人員揭露名為Earth Krahang的駭客組織，並指出對方從2022年初開始從事攻擊行動，主要目標是政府機關，範圍涵蓋45個國家，大部分位於亞洲及美洲，但歐洲與非洲也有受害組織。其中，他們確認有70個組織已遭到入侵，另有116個組織遭到鎖定；而在受害組織當中，48個是政府機關，另有49個政府實體是對方鎖定的目標。</p> <p>在攻擊行動裡，對方針對面向網際網路的應用程式伺服器，利用開源工具掃描是否存在特定漏洞，例如即時通訊伺服器Openfire路徑穿越漏洞CVE-2023-32315、網頁主機控制臺Control Web Panel漏洞CVE-2022-21587進行滲透，但研究人員也看到駭客利用釣魚郵件進行的情況。得逞後部署Web Shell或是SoftEther VPN，以便持續於受害組織環境從事網路間諜活動，然後洩露其電子郵件內容，並對電腦植入Cobalt Strike與後門程式Reshell、XDealer（亦稱DinodasRAT）。</p> <p>而對於Earth Krahang與其他中國駭客組織之間的關連，研究人員推測，該組織可能與Earth Lusca隸屬安洵信息的兩個滲透團隊。</p> <p><a href="https://pr.fujitsu.com/jp/news/2024/03/15-1.html"><strong style="font-size: 22px;">富士通證實IT系統遭到惡意軟體入侵，客戶資料恐外流</strong></a></p> <p></p> <p>3月15日日本IT業者富士通發布資安公告，指出他們發現多臺電腦出現惡意軟體，經過內部調查，與客戶個資有關的檔案有可能外洩。</p> <p>而對於這起事故的應變處理，該公司表示在確認受害電腦出現惡意程式後，他們隨即切斷這些電腦與內部網路的連結，並加強監控其他的電腦，該公司目前著手調查惡意軟體入侵的情況，並確認資料是否外洩，截至目前為止，他們尚未發現個資遭到濫用的跡象。但究竟有多少人受到影響，以及是否有其他企業、消費者被波及，該公司並未說明。</p> <p><a href="https://www.netskope.com/blog/from-delivery-to-execution-an-evasive-azorult-campaign-smuggled-through-google-sites"><strong style="font-size: 22px;">竊資軟體AZORult透過新型態的HTML挾持手法散布</strong></a></p> <p></p> <p>在散布惡意程式的手法當中，駭客利用HTML挾持（HTML Smuggling）手法來迴避偵測，可說是相當常見，但最近有攻擊者採用新的手法引起研究人員注意。</p> <p>資安業者Netskope揭露竊資軟體AZORult的攻擊行動，對方在進行HTML挾持的同時，也濫用Google Sites網站，使得攻擊行動更難捉摸。這起攻擊行動特殊之處，在於駭客使用的HTML挾持手法，對方將惡意酬載嵌入JSON檔案，並存放於外部網站，具體而言，研究人員看到駭客使用Google Sites建置冒牌的Google Docs網頁，從而引誘使用者下載檔案，一旦使用者存取駭客建置的網頁，該網站就會發出GET請求，從另一個網域下載JSON檔案，並還原以Base64演算法處理的惡意酬載。</p> <p>攻擊者透過反射式程式碼載入的手法啟動此竊資軟體，該程式以無檔案（Fileless）的型式運作，且具備繞過反惡意程式碼掃描介面（AMSI）的能力，從而迴避Microsoft Defender等端點防護系統。</p> <p><a href="https://www.gdatasoftware.com/blog/2024/03/37885-risepro-stealer-campaign-github"><strong style="font-size: 22px;">駭客透過GitHub提供盜版軟體破解程式，意圖散布竊資軟體RisePro</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GDATA_RisePro_vuescan_crack_3c495fe8c7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GDATA_RisePro_vuescan_crack_3c495fe8c7.png" style="width: 300px; float: right;" /></a>防毒業者G Data指出，近期有人透過程式碼儲存庫GitHub聲稱提供盜版軟體的破解程式，然而使用者若是依照指示下載、安裝，電腦就會被部署竊資軟體RisePro。</p> <p>研究人員一共看到13個儲存庫，其共通點在於其說明檔案README.md，駭客通常會寫入4個Unicode綠色圓圈符號，由於GitHub通常會用這種符號來顯示儲存庫的自動組譯狀態，因此這樣的手法容易降低使用者戒心。</p> <p>對於儲存庫上提供的檔案，研究人員對其進行調查，駭客以RAR壓縮檔打包，解壓縮後檔案大小高達699 MB，使得IDA Pro等多種逆向工程工具無法正常解析，他們進一步拆解，實際的惡意酬載檔案大小僅有3.43 MB。</p> <p><strong style="font-size: 22px;">高雄市觀光局傳出網站遭駭，疑為舊資料拼湊而成</strong></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/29208347.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/29208347.jpg" style="width: 300px; float: right;" /></a>3月15日傳出有中國駭客在勒索軟體駭客組織LockBit經營的Telegram群組裡，上傳號稱是臺灣公務員資料的純文字檔案，並表示是入侵「高雄市觀光局行政資訊網」網站而得，此檔案內容，大部分是民國94年至100年於高雄公務機關任職人士的資料，包含高雄高等行政法院、戶政事務所、衛生所、鄉公所、國小等各式公務機關，檔案大小達到1 MB。</p> <p>對於駭客的說法，聯合新聞網引述不具名資安專家的說法指出，攻擊者很可能利用網站的漏洞，從而撈取網站資料庫的內容。</p> <p>針對上述的情況，高雄市政府也取得檔案進行分析，並指出該純文字檔案內含8,094筆資料，其中7,953筆是高雄縣市合併前高雄縣政府及縣議會的資料，141筆則是高雄高等行政法院的資料。根據檔案建立的時間與機關名稱來比對，他們研判，這個檔案是利用過往取得的資料移花接木而成，並非駭客宣稱來自現行的「高雄市觀光局行政資訊網」網站。</p> <p>資料來源</p> <p>1. <a href="https://udn.com/news/story/7241/7835607">https://udn.com/news/story/7241/7835607</a><br /> 2. <a href="https://www.upmedia.mg/news_info.php?Type=24&SerialNo=197232">https://www.upmedia.mg/news_info.php?Type=24&SerialNo=197232</a></p> <p><strong style="font-size: 22px;">臺灣兩個公共場所出現華為設備畫面的情況，引發資安疑慮</strong></p> <p></p> <p>基於國家安全考量，行政院在2020年下令，禁止公務機關使用中國廠牌資通訊產品，並必須在2021年底前完成汰換已採購、使用的設備，2022年數位發展部更將對於不特定人士具備播效果的大型電子看板、廣播系統納管，但近期卻發生公共場所出現華為設備管理登入介面的情況。</p> <p>3月16日有人在臉書上指出，新北市公車提供的Wi-Fi無線網路，登入介面竟出現華為的標誌及簡體中文。對此，17日新北市交通局表示已請公車業者全面清查，初步回報已無使用該廠牌設備，他們也將派員清單各公車車上的Wi-Fi列表；隔日表示15家公車業者、旗下2,468輛公車皆無使用華為設備。</p> <p>無獨有偶，16日晚間臺南市東區大型電子廣告看板當機，並出現華為的自動執行視窗，這樣的畫面約出現3至4個小時，引發民眾議論。</p> <p>資料來源</p> <p>1. <a href="https://www.facebook.com/vic2211/posts/10231689078665539">https://www.facebook.com/vic2211/posts/10231689078665539</a><br /> 2. <a href="https://news.ltn.com.tw/news/politics/breakingnews/4610174">https://news.ltn.com.tw/news/politics/breakingnews/4610174</a><br /> 3. <a href="https://www.ntpc.gov.tw/ch/home.jsp?id=e8ca970cde5c00e1&dataserno=83d63725a569a83f729385a94ab17ec3">https://www.ntpc.gov.tw/ch/home.jsp?id=e8ca970cde5c00e1&dataserno=83d63725a569a83f729385a94ab17ec3</a><br /> 4. <a href="https://www.ntpc.gov.tw/ch/home.jsp?id=e8ca970cde5c00e1&dataserno=c011b840e5e05c69e879d1db08be5592">https://www.ntpc.gov.tw/ch/home.jsp?id=e8ca970cde5c00e1&dataserno=c011b840e5e05c69e879d1db08be5592</a><br /> 5. <a href="https://news.ltn.com.tw/news/Tainan/breakingnews/4610268">https://news.ltn.com.tw/news/Tainan/breakingnews/4610268</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <div> <p><a href="https://www.securityweek.com/uk-government-releases-cloud-scada-security-guidance/"><strong style="font-size: 22px;">英國發布雲端SCADA安全指引</strong></a></p> <p></p> <p>雲端提供了更高的靈活度，也使得有不少企業組織可能會開始考慮將資料收集與監控系統（SCADA）遷移到雲端，但這麼做也可能會帶來潛在的資安風險。對此，3月18日英國國家網路安全中心（NCSC）發布資安指引，協助使用操作科技（OT）的企業組織能在安全的狀態下，將SCADA遷移到雲端。</p> <p>NCSC指出，企業組織在決定準備遷移SCADA的時候，首先需要確認是否具備相關的技術、人員，以及配套的政策，若是尋求代管服務業者協助，雖然這類業者具備豐富的雲端經驗，但可能對SCADA較不了解。</p> <p>他們認為，在上雲之前，企業組織與研究零信任的機制，從而提升網路韌性，從而在發生網路攻擊的時候，有機會在入口處遏止攻擊，並避免攻擊者在SCADA系統進行橫向移動。</p> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.wordfence.com/blog/2024/03/critical-vulnerability-remains-unpatched-in-two-permanently-closed-miniorange-wordpress-plugins-1250-bounty-awarded/"><span style="font-size: 20px;">已終止維護的WordPress資安外掛程式存在漏洞，恐導致網站遭到挾持</span></a></strong></p> <p></p> <p><a href="https://www.fortra.com/security/advisory/fi-2024-002"><strong><span style="font-size: 20px;">Fortra修補檔案傳輸工具FileCatalyst的重大漏洞</span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/chipmaker-patch-tuesday-intel-amd-address-new-microarchitectural-vulnerabilities/"><strong><span style="font-size: 20px;">Intel、AMD修補處理器新的微架構漏洞</span></strong></a></p> <p></p> <p><strong><a href="https://www.esentire.com/blog/blind-eagles-north-american-journey"><span style="font-size: 20px;">北美製造業遭到惡意軟體Ande Loader鎖定</span></a></strong></p> <p></p> <p><a href="https://securityintelligence.com/x-force/itg05-leverages-malware-arsenal/"><strong><span style="font-size: 20px;">俄羅斯駭客APT28針對歐洲、美洲、亞洲展開廣泛的網路釣魚攻擊</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161813"><strong>【3月18日】國際貨幣基金組織電子郵件帳號傳出遭到挾持</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161788"><strong>【3月15日】Windows安全機制SmartScreen弱點在公布前也被用於散布惡意程式DarkGate</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161764"><strong>【3月14日】研究人員揭露ChatGPT可用於存取第三方網站及敏感資料的漏洞</strong></a></p> </div></div></div>
2024/3/19 17:45作者周峻佑https://www.ithome.com.tw/news/161852
5G趨勢月報第52期：國內三大電信關閉3G網路進入倒數，手機不支援VoLTE恐無法通話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>02/13~03/13精選5G趨勢新聞</strong></span></h3> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>VoLTE</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>3G</b></span></font></p> <div> <p><span style="font-size: 22px;"><strong>三大電信第2季關閉3G網路進入倒數，手機若不支援VoLTE恐無法通話</strong></span></p> </div> <div> <p>國內三大電信規畫將在第2季關閉3G網路，由於3G網路主要用於支援4G語音通話，如果用戶目前使用的手機不具備VoLTE通話功能，3G網路關閉時，受影響的用戶將無法通話。</p> <p>因應3G網路即將關閉，電信業者已啟用VoLTE（Voice over LTE），如果用戶的手機支援VoLTE，就可以自動啟用VoLTE，在手機右上角也會看到VoLTE訊號，不過，如果用戶使用不具備VoLTE功能的手機，那麼關閉3G網路後用戶就無法通話，因此NCC近期審議3家電信業者提出的用戶通話權益保障方案，但仍決定續行審議。</p> <p>NCC表示，關閉3G網路已成為國際趨勢，3家電信業者均提出關閉3G的保障方案，NCC將就用戶權益保障、VoLTE手機普及程度、偏遠地區或高齡族群緊急通訊權益、方案宣導，以及防詐，邀請電信業者說明。</p> <p>據瞭解，各家電信業者用戶使用的手機支援VoLTE的比例約在7至8成，換言之，仍有2至3成用戶使用的手機無法支援，因此提高VoLTE手機普及度為關鍵之一，國內2020年之後NCC認證的手機已支援VoLTE，據瞭解為促使用戶更換手機，電信業者已祭出0元更換VoLTE手機的方案。</p> </div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>英國</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>3G</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>Vodafone在英國關閉3G服務，加速擴展4G與5G網路</strong></span></p> </div> <div> <p>英國陸續關閉3G服務，當地電信服務商EE與Vodafone先後宣布關閉3G服務，移轉用戶至4G或5G網路，並將3G原本使用的無線頻譜資源移轉至4G、5G網路使用，有助提升4G、5G網路品質。</p> <p>Vodafone宣布關閉其3G服務，其3G原本使用的900MHz頻段10MHz頻寬，將重新分配，用於強化現有的4G及5G網路，特別是900MHz頻段特性，可提高4G、5G網路的涵蓋範圍，新的頻寬也能提高網路速度。</p> <p>英國和當地的電信商達成協議，目標是在2033年之前關閉2G及3G服務，之所以需要較長的時間關閉舊的通訊服務，除了移轉用戶需要時間，另一部分原因與英國偏遠地區的農村、IoT物聯網需要較少耗電通訊服務有關。在EE、Vodafone早一步關閉3G網路後，目前還剩下Three與Virgin Media O2兩家電信服務商尚未關閉，其中Three計畫在2024年底關閉，而Virgin Media O2則比較晚，計畫在2025關閉。</p> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>AI</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>中華電信與南紡購物中心合作，以5G元宇宙平臺打造虛擬場景帶動購物體驗</strong></span></p> </div> <div> <p>位於臺南的南紡購物中心和中華電信合作，在國發會的計畫補助下，打造5G元宇宙平臺YoCity，利用虛擬平臺建構南紡購物中心的虛擬場景，增加和購物民眾的互動，帶動新的購物體驗。</p> <p>為了打造南紡購物中心的虛擬場景，利用攝影測量法（Photogrammetry）建模技術，將南紡購物中心的虛擬場景商品，透過建模予以3D化，提供多元的購物體驗。</p> <p>另外，中華電信也利用YoCity，在南紡購物中心結合3D LED打造沈浸式體驗，利用5G的高速、低延遲，搭配邊緣運算技術，將元宵節的鹽水蜂炮以360度全景直播方式，讓在購物中心的民眾可以沈浸式的體驗鹽水蜂炮活動。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>5G Advanced</b></span></font></p> <div> <p><strong><span style="font-size:22px;">中華電信投入5G Advanced網路技術，聚焦XR、5G RedCap、網路節能技術</span></strong></p> </div> <div> <p>有鑑於3GPP R18可望於今年3月凍結，R18作為5G網路演進的最新5G Advanced網路技術，電信商紛紛投入準備。中華電信近期和愛立信、諾基亞等電信系統商合作，投入延展實境（XR）、時間關鍵型通訊及工業自動化應用，以及5G RedCap行動物聯網技術、網路節能技術，為未來6G早期研究奠定基礎。</p> <p>3GPP R18為Release 15、16、17後最新的5G技術標準，外界視為5G Advanced先進網路技術，也是未來邁向6G網路的技術演進的基礎，除了XR、5G RedCap外，此次雙方合作還包括如何運用AI技術讓5G網路更節能，中華電信先前的測試，在不影響使用者體驗前提下，節省基地臺能耗達34%，加速5G朝高效網路演進發展。</p> <p>在網路架構方面，中華電信與愛立信將共同研究核心網混合雲化架構。中華電信表示，雲原生是電信商滿足5G和後續6G新興業務環境要求關鍵，不僅需具備靈活、縮短服務上市時間，還透過雲化分離軟硬體，提高效率和自動化，為複雜網路和服務管理成本的關鍵。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>高通</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>5G Advanced</b></span></font></p> <div> <p><strong><span style="font-size:22px;">高通發表新款5G數據機射頻晶片，要將5G Advanced推向手機、IoT、PC及汽車等市場</span></strong></p> </div> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/snapdragon%20x80.jpg" style="width: 600px; height: 294px;" /></p> <p>高通發表最新一代的5G數據機射頻晶片Snapdragon X80，將5G Advanced技術支援使智慧型手機、行動寬頻、XR、IoT、PC、汽車等領域，該晶片平臺正在送樣，採用晶片的裝置預計會在2024年下半年推出。</p> <p>該晶片整合5G AI處理器，並可支援5G Advanced技術，支援6倍載波聚合，除了支援Sub 6GHz外，也可支援mmWave毫米波，此外，該晶片還支援NB-NTN窄頻非地面網路的Snapdragon Satellite衛星通訊功能。</p> <p>透過整合的5G AI處理器，提高資料速度、降低延遲，具備QoS品質管理，並且強化定位的精準度，頻譜的使用效率、功耗效率、多重天線管理。高通表示，通過X80將使製造商及電信營運商可推出支援5G Advanced的新一代裝置。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>聯發科</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>5G Advanced</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>聯發科展示5G Advanced衛星寬頻技術</strong></span></p> </div> <div> <p>聯發科在MWC行動通訊大會上展示多項產品及技術，除了以5G行動處理器天璣9300，展示手機端處理的生成式AI應用之外，還展示5G Advanced衛星寬頻通訊技術。</p> <p>聯發科去年發表新一代天璣9300行動處理器，其中一項特色是搭載了第七代的AI處理器APU 790，內建生成式AI引擎，因此在此次MWC大會上，因應生成式AI應用，該公司展示裝置端執行生成式AI應用，在手機上處理即時的AI影片生成。</p> <p>此外，聯發科在2022年就開始測試5G NR NTN非地面網路通訊技術，讓5G手機可連接衛星通訊，利用衛星補足地面網路無法涵蓋區域，去年發表5G NTN非地面網路通訊晶片MT6825，今年則展示5G Advanced NR-NTN技術，可透過Ku頻段，利用低軌衛星，為汽車或其他終端裝置提供超過100Mbps的資料傳輸速度。另外，還展示了以低軌衛星模擬Pre-6G衛星寬頻串流。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Sateliot</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>5G IoT</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>Sateliot將發射4顆低軌衛星，今年夏天將可連接700萬個IoT裝置</strong></span></p> </div> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Copia%20de%202600.jpg" style="width: 600px; height: 338px;" /></p> <p>新興衛星通訊服務商Sateliot宣布將和SpaceX合作發射4顆低軌衛星，加上已在軌道運行的2顆衛星，該公司即將進入其商業服務的第一階段，該公司也和350個客戶簽約，收取1.87億歐元的訂單。</p> <p>Sateliot號稱是第一家營運低軌道5G物聯網衛星群的公司，透過慕資、貸款等方式籌措資金，今年發射4顆商星後，將進入商業化服務。該公司的衛星將在500到600公里的高度，這些衛星的使用壽命可達5年，並且涵蓋全球範圍。</p> <p>相較於其他的低軌衛星服務聚焦在衛星寬頻通訊，Sateliot服務定位在產業的5G IoT物聯網應用上，例如農業應用，一天只傳送兩則訊息，但必需能在全球範圍下提供即時的物聯網服務。</p> <p> </p> <p>圖片來源／遠傳電信、高通、Sateliot</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.遠傳捐贈5G救護車及設備給桃園市政府</strong></p> <p><strong>2.中華電信與高通聯手，測試以AI技術降低5G網路耗能</strong></p> <p>資料來源：iThome整理，2024年2月</p> </div> </div> </div> </div> </div> </div> </div> </div> </div></div></div>
2024/3/19 18:14作者蘇文彬https://www.ithome.com.tw/news/161800
Nvidia發表人形機器人通用基礎模型專案GR00T
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia於本周展開的Nvidia GTC開發者大會上<a href="https://nvidianews.nvidia.com/news/foundation-model-isaac-robotics-platform" target="_blank">發表全新專案Project GR00T</a>，這是一個專為人形機器人設計的通用基礎模型，主要用來推動機器人技術及體現人工智慧（Embodied AI）領域的突破。</p> <p>根據Nvidia的定義，Project GR00T為一針對人形機器人所設計的通用多模態模型，它可充當機器人的大腦，協助機器人學習解決各種任務的技能。專案名稱為Generalist Robot 00 Technology的縮寫，意指利用該專案所訓練的可能是「第零零代」的多才多藝機器人。</p> <p>基於Project GR00T的機器人將可透過觀察人類行為，來理解自然語言及模仿人類動作，以快速學習協調、靈巧或其它技能來導航、適應現實世界，以及與現實世界互動。</p> <p>負責體現AI的Nvidia研究經理<a href="https://twitter.com/DrJimFan/status/1769860044324319658" target="_blank">Jim Fan透過X表示</a>，Project GR00T將使機器人能夠理解多模態指令，諸如語言、影片或示範，還能執行各種有用的任務。Nvidia正在與全球主要的人形機器人業者合作，以讓GR00T能夠部署到各種人形機器人上。</p> <p>Nvidia也開發各種與GR00T有關的技術，例如GR00T是在Omniverse Isaac Sim模擬平臺上的iIsaac Lab應用進行模擬，在雲端運算調度服務OSMO上進行訓練，並部署至新的運算平臺Jetson Thor。</p> <p>其中，Jetson Thor為一基於Thor系統單晶片的人型機器人電腦，它能執行複雜的任務，安全且自然地與人類及機器人互動，具備一個針對效能、功耗與尺寸進行最佳化的模組化架構。</p> <p>Jetson Thor搭載Blackwell GPU，具備可提供800 teraflops之8位浮點AI效能的引擎，以用來執行諸如GR00T等多模態生成式AI模型，亦整合安全處理器、高效能CPU叢集與100GB的乙太網路寬頻，簡化了設計與整合的工作。</p> <p>現階段與Nvidia合作的人形機器人公司涵蓋1X Technologies、Agility Robotics、Apptronik、Boston Dynamics、Figure AI、Fourier Intelligence、Sanctuary AI、Unitree Robotics 及XPENG Robotics 等。</p> </div></div></div>
2024/3/19 16:23作者陳曉莉https://www.ithome.com.tw/news/161839
睽違5年的Nvidia GTC實體大會登場，新一代Blackwell GPU架構問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia的開發者大會Nvidia GTC在睽違5年後，本周一（3/18）再度舉辦連續4天的實體活動，拜AI風潮所賜，這是GTC大會15年來最盛大的一場，預計進行逾900場會議，實體與會人數超過1.1萬名，由Nvidia創辦人暨執行長<a href="https://www.youtube.com/watch?v=Y2F8yisiS6E" target="_blank">黃仁勳（Jensen Huang）的演講</a>揭開序幕，他介紹了Nvidia的各種新技術與產品，宣稱全新的Blackwell運算平臺是Nvidia專為生成式AI時代所打造的處理器，包括AWS、微軟、Meta、OpenAI、Dell、Google、甲骨文、Tesla與xAI都計畫採用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0319-GTC-2024-Keynote-NVIDIA-Blackwell%20Platform.jpg" style="width: 600px;" /></p> <p>這場會議備受外界矚目，因為Nvidia在全球AI晶片的市占率高達9成。黃仁勳認為，通用運算已失去動力，加速運算則到達了臨界點，人們需要另一種運算方式以繼續擴展，繼續降低運算成本，才能於可持續的同時繼續消耗更多的運算。此外，需要訓練各種型態資料的多模態AI的興起也讓運算需求升溫，人們需要更大的模型，也需要更大的GPU，Blackwell即是為了解決此一挑戰而設計的。</p> <p>Blackwell為Nvidia新一代的GPU架構，是兩年前推出的Hopper架構的繼任者，其名稱是為了向美國首位進入國家科學院的黑人數學家David Harold Blackwell致敬。</p> <p>根據Nvidia的說明，基於Blackwell架構的GPU是由2,080億個電晶體組成，採用客製化的台積電4NP製程所生產，所有Blackwell產品皆配備兩個具有光罩限制的晶粒，藉由每秒10TB的晶片互連技術，產生一個強大的GPU。此外，Blackwell支援第二代Transformer引擎，可加速大型語言模型（LLM）及專家混合模型（MoE）的推論及訓練，並提高其精度與準確度。</p> <p>Blackwell透過NVLink及NVLink Switch等互連技術來強化GPU之間的通訊，配備解壓縮引擎來協助處理傳統上通常仰賴CPU的資料分析任務，以及擁有一個可協助系統復原的可靠性、可用性及可維護性引擎（RAS）。</p> <p>這使得Blackwell在訓練上的FP8效能是Hopper的2.5倍，推論的FP4效能是Hopper的5倍，採用第5代NVLink技術則可達到Hopper的兩倍快，還可擴展至576個GPU。</p> <p>現階段<a href="https://www.nvidia.com/en-us/data-center/hgx/" target="_blank">基於Blackwell架構的AI晶片</a>主要為B100與B200，但Nvidia特別設計了GB200 Grace Blackwell Superchip超級晶片（下圖），透過NVLink將兩個B200連至Nvidia Grace CPU，再利用GB200建置了機架系統Nvidia GB200 NVL72。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0319-NVIDIA-GB200-Grace-Blackwell-Superchip-600(2).jpg" style="width: 314px;" /></p> <p>全球最主要的AI晶片業者所發表的最新技術及產品，也受到全球主要AI業者及雲端服務供應商的青睞，包括AWS、Google Cloud、Microsoft Azure與Oracle Cloud Infrastructure皆已承諾要提供基於Blackwell架構的實例。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nvidia</span></span></p> </div></div></div>
2024/3/19 15:41作者陳曉莉https://www.ithome.com.tw/news/161831
Nvidia推出採用最新Blackwell架構的GB200 NVL72資料中心機架系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia在本周舉行的Nvidia GTC開發者大會上，發表了新一代的GPU架構Blackwell，基於該架構的B100與B200兩款GPU，結合兩個B200及一個Nvidia Grace CPU打造而成的超級晶片GB200 Grace Blackwell Superchip，以及以GB200為核心的GB200 NVL72資料中心機架系統，同時宣稱此一機架系統將可提供兆級數量參數的大型語言模型（LLM）訓練及即時推論。</p> <p>GB200 NVL72為支援多節點與液冷的機架系統，專為密集運算任務所設計，它結合了36個GB200，等同於採用72個B200 GPU與36個Grace CPU，晶片間以第5代的NVLink互連，並導入Nvidia的BlueField-3資料處理單元，可於超大規模的AI雲端中實現網路加速、組合儲存、零信任安全，以及彈性的GPU運算能力。</p> <p><a href="https://developer.nvidia.com/blog/nvidia-gb200-nvl72-delivers-trillion-parameter-llm-training-and-real-time-inference/" target="_blank">相較於基於前一代Hopper架構、數量相同的H100 GPU</a>，GB200 NVL72在LLM訓練效能上快了4倍；推論任務上的效能提高了30倍；由於整合了新的解壓縮引擎，加速了綁定記憶體的核心操作，使得它在查詢基準測試上比英特爾CPU Sapphire Rapids快了18倍，也比H100 GPU快了6倍。</p> <p class="rtecenter"><img alt="" src="https://developer-blogs.nvidia.com/wp-content/uploads/2024/03/[email protected]" style="width: 400px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nvidia</span></span></p> <p>Nvidia解釋，在單一NVLink網域上連接了72個GB200，減少了於傳統網路上擴展的通訊負擔，因而可以針對具備1.8兆個參數的專家混合大型語言模型進行即時推論，且訓練這類模型的速度也增快了4倍。</p> <p>此外，GB200 NVL72利用銅製電纜盒密集封裝與連接GPU以簡化操作，並採用液體冷卻設計，使其成本與電力使用減少了25倍。</p> </div></div></div>
2024/3/19 16:09作者陳曉莉https://www.ithome.com.tw/news/161835
傳蘋果洽談在iPhone上使用Google Gemini或ChatGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2024-03-18/apple-in-talks-to-license-google-gemini-for-iphone-ios-18-generative-ai-tools" target="_blank">《彭博》</a>報導，蘋果正積極洽談，iPhone上內建的AI助理使用Google Gemini或OpenAI的ChatGPT。</p> <p>報導引述消息人士，雙方洽談內容包括在今年秋天釋出的iOS 18中內建Google Gemini，以便將一些功能，像是生成圖片、撰寫一段短文、查詢等移至雲端執行，並回應用戶鍵入或說出的文字指令，並且強化已經落後對手的Siri。該報導也說蘋果也正和OpenAI進行類似的討論。</p> <p>不過這項合作會使用什麼品牌，以及其他細部內容都尚未底定。至於蘋果是否會在6月的全球開發者大會（WWDC）上宣布此事也不得而知。這項消息也呼應了蘋果執行長庫克（Tim Cook）今年稍早公開說，該公司今年內會有AI相關宣布。</p> <p>這項合作一旦成真，將可讓蘋果iPhone立即獲得進階的AI能力，為iPhone（或iPad）增加銷售動力。另一方面，若全球超過20億支iPhone都使用Gemini，將讓Google在AI市占上後來居上，超越OpenAI或微軟。</p> <p>消息一出，Google股價大漲4.4%，蘋果也一度漲了2.7%，收盤小漲0.6%。</p> <p>雖然雙方都可能從這項合作得益，但彭博及<a href="https://www.axios.com/2024/03/18/apple-google-ai-gemini-partnership" target="_blank">其他媒體</a>分析，兩大巨擘一旦真的合作，勢必引來主管機關的反托拉斯調查。Google搜尋引擎作為蘋果Safari（和其他瀏覽器）的預設，已經讓Google成為美國政府和歐盟的關注目標。</p> <p>另一方面，蘋果若真的洽談Google Gemini，未來也可能再用上自家技術。蘋果正積極研發AI技術，去年底發表多模態大型語言模型（Multimodal Large Language Model，MLLM）<a href="https://www.ithome.com.tw/news/160517" target="_blank">Ferret</a>，上周又發表了另一個多模態模型家族<a href="https://www.ithome.com.tw/news/161825" target="_blank">MM1</a>，同時也<a href="https://www.ithome.com.tw/news/160490" target="_blank">正在研發</a>能在手機上更快速執行大型LLM的方法。</p> </div></div></div>
2024/3/19 09:37作者林妍溱https://www.ithome.com.tw/news/161827
Databricks投資Mistral AI並整合模型到平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI資料分析平臺<a href="https://www.databricks.com/blog/databricks-invests-mistral-ai-and-integrates-mistral-ais-models-databricks-data-intelligence" target="_blank">Databricks上周宣布</a>投資法國AI新創公司Mistral AI，也將其Mistral 7B及Mixtral 8x7B模型整合到其平臺。</p> <p>Databricks已經加入了這家AI新創公司的A輪募資，同時也將Mistral AI的模型整合到Databricks AI分析平臺Data Intelligence Platform。現在Databricks用戶可以在AI模型市集Databricks Marketplace存取Mistral AI的模型，在AI圖像建立平臺Mosaic AI Playground中和模型互動（下圖），以AI部署與管理平臺Mosaic AI Model Serving作為模型端點使用模型，或是以自有資料來客製化這些模型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0319-Mistral%20AI-model-Databricks%20Data%20Intelligence%20Platform-600.png" style="width: 600px;" /></p> <p>Databricks表示，從今年初開始，該公司平臺上已經有將近1,000家企業使用Mistral的模型，並做了100萬次模型推論。因此該公司希望透過這次技術整合，企業用戶可以更方便為其AI應用存取Mistral AI的模型，而不用擔心損及Databricks平臺最核心的安全、資料隱私和治理。</p> <p>Databricks引入Mitral AI的二個開放模型，包括Mistral 7B和Mixtral 8x7B。其中Mistral 7B以8K脈絡長度訓練，是70億參數的小模型，且使用分組查詢注意力（grouped query attention，GQA）及滑窗注意力（sliding window attention，SWA）的架構使其模型相當有效率。Mixtral 8x7B則是專家模型的稀疏混合（SMoE），支援32k脈絡長度，能處理英、法、德、義與西語。Mixtral 8x7B效能在多個標竿測試超越Llama 2 70B，且拜其SMoE架構之賜，推論時只啟動120億，而非450億個參數，使效能更加提升。</p> <p>目前Databricks客戶已經有信用評分業者Experian使用Mixtral 8x7B分析資料，而AI分析軟體顧問業者Celebal Technologies也使用了Mistral支持檢索增強生成（Retrieval-Augmented Generation，RAG）AI助理答覆銀行用戶查詢。</p> <p>Databricks是繼2月份的<a href="https://www.ithome.com.tw/news/161501" target="_blank">Amazon Bedrock</a>後，最新一家使用Mistral AI相同2款模型的大型軟體平臺。</p> </div></div></div>
2024/3/19 09:59作者林妍溱https://www.ithome.com.tw/news/161828
微軟推適用於VS Code的Microsoft Entra External ID擴充套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/identity/external-id-extension/">發布</a>VS Code的Microsoft Entra External ID擴充套件公開預覽版，該套件讓開發者能直接在VS Code中，將客戶身分和存取管理（CIAM）功能整合到應用程式中。Microsoft Entra External ID擴充套件提供了引導式體驗，供開發者在VS Code建立和配置External ID應用程式。</p> <p>Microsoft Entra External ID是一個微軟提供的身分管理服務，為Microsoft Entra產品組合的一部分，當組織需要與外部人員共享資源，諸如文件、應用程式或服務時，就可以使用External ID來創建和管理外部用戶的存取。</p> <p>過去要將CIAM整合到應用程式中有許多挑戰需要克服，不僅需要瀏覽大量文件，在VS Code中編寫程式碼，還需要切換到網頁入口網站設定配置，開發者需要執行大量手動複製貼上配置值的工作，而且過程又容易出錯，因此開發者通常會耗費大量時間在排除錯誤上。</p> <p>而Microsoft Entra External ID擴充套件簡化了整合過程和配置CIAM的工作，讓開發者在新專案添加身分認證功能更有效率。開發者可以直接使用擴充套件，在VS Code中設定工作流程，該套件會自動建立客戶租戶並且填入所需要的值，消除手動配置工作。對新手來說，該套件提供引導式體驗，逐步引導新手在應用程式添加External ID。</p> <p>擴充套件供未訂閱Azure服務的開發者在VS Code中免費試用，設定登入以及下載範例應用程式，而原本就是Azure用戶，則能以現有訂閱開始初始設定程序。Microsoft Entra External ID擴充套件可讓開發者選擇要向客戶提供的登入方法，包括電子郵件與密碼，以及電子郵件與一次性密碼，開發者可以自訂登入頁面，調整背景顏色、圖標和布局等。</p> <p>Microsoft Entra External ID擴充套件會自動客製化範例程式碼，以配合開發者的登入設定，目前擴充套件提供JavaScript、React和Angular單頁應用程式範例，官方提到，這不僅節省開發時間，也提供開發者學習的基礎。</p> </div></div></div>
2024/3/19 08:42作者李建興https://www.ithome.com.tw/news/161826
蘋果發表多模態大型語言模型MM1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼去年底發表的多模態大型語言模型（Multimodal Large Language Model，MLLM）<a href="https://www.ithome.com.tw/news/160517" target="_blank">Ferret</a>之後，蘋果上周再度發表另一個<a href="https://arxiv.org/abs/2403.09611" target="_blank">多模態模型家族MM1</a>，特別注重模型的架構元件以及預訓練中所使用的資料，以優化MLLM。</p> <p>蘋果團隊研究了MLLM架構的各種元件，諸如用來處理視覺資料的圖像編碼器，或是整合兩種模態資料的視覺語言連接器，用來訓練的資料則混合了圖像說明、配對的圖像與文字，或是純文字資料等，開發出支援300億個參數的MM1多模態模型家族，此一家族的模型結合了密集模型與混合專家模型，不管是在預訓練基礎模型或是微調後的模型，在多模態基準測試上都達到了良好的效能。</p> <p>研究人員表示，MM1的各種模型受益於大規模的預訓練，而強化了它們在脈絡學習、多圖像推論，以及有限提示的思考能力，代表相關模型將更能夠理解脈絡，基於不同圖像展開推論，也能在最少的提示下生成回應。</p> <p>根據市場分析機構Stocklytics的調查，蘋果已經買下了高達32家的AI新創，居美國科技大廠之冠，加拿大AI新創DarwinAI也在今年初被納入蘋果麾下，蘋果亦已對外承諾會在今年部署生成式AI，使得外界引頸期盼落後各大科技業者的蘋果，今年會端出什麼樣的AI產品。</p> </div></div></div>
2024/3/18 22:40作者陳曉莉https://www.ithome.com.tw/news/161825
Let's Encrypt推出新的憑證透明度日誌服務Sunlight
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Let's Encrypt推出<a href="https://letsencrypt.org/2024/03/14/introducing-sunlight.html">Sunlight專案</a>，這是一個憑證透明度（Certificate Transparency，CT）日誌實作，更符合現代Web公共金鑰基礎設施（PKI）的設計，官方提到，他們與知名資安專家Filippo Valsorda合作，並且參照廣泛透明度日誌記錄社群的意見，開發出了Sunlight。</p> <p>Web PKI是一種保護網際網路通訊的機制，仰賴數位憑證來驗證實體身分並加密資料，而憑證透明度日誌則是為了增加Web PKI系統透明度所加入的技術，由於任何人都可以檢查和監控憑證的發行狀況，因此有助於辨識錯誤或是惡意的憑證頒發，可以強化Web PKI的可信度。</p> <p>Let's Encrypt從2019年以來，一直在運作公開的憑證透明度日誌，雖然大致運作順利，但還是有一些待解決的問題。最初Let's Encrypt的Oak日誌架構採用關聯式資料庫，因此需要將每半年生成的資料，儲存在獨立的資料庫分片（Shard）中。</p> <p>但隨著營運負擔和成本增加，Let's Encrypt認為繼續拆分出資料庫並不是辦法，因為目前憑證透明度日誌分片大小約在5到10 TB左右，官方提到，這對於單一資料庫來說非常大，之前他們就曾遭遇到MySQL存在16 TiB的限制，導致測試日誌失敗的案例。</p> <p>擴大日誌儲存裝置對Let's Encrypt來說是一個龐大的壓力，官方表示，擁有高速磁碟和大量記憶體儲存的執行個體並不便宜，憑證透明度日誌可能因為客戶端試圖讀取所有資料而導致過載，但是施加速率限制避免執行個體過載，又會使客戶端運作緩慢，而這導致原本用於偵測錯誤憑證的透明度日誌，成為快速頒發憑證的阻礙。</p> <p>為此，Let's Encrypt建立了新的憑證透明度日誌實作Sunlight專案。Sunlight採用一種稱為Tiles的結構來儲存和快取資料，以更有效地管理和提供憑證透明度日誌中的資料。憑證透明度日誌是一種二元樹，每個節點都包含兩個子節點的雜湊，而葉層級則包含日誌的實際憑證資料，樹的頂端經過數位簽署，形成一個稱為墨克樹（Merkle Tree）的可加密驗證結構。</p> <p>這樣的設計讓任何人都可以驗證日誌中的憑證，同時也保證了日誌的透明度和不可篡改性。雖然墨克樹可用於校驗資料的完整性，但是卻需要進行大量的雜湊運算，對於非常大的資料集，可能產生效能瓶頸。</p> <p>Sunlight的Tiles結構則是將大樹切割成許多小塊（下圖），每塊Tiles包含樹的一部分，當需要查詢特定憑證時，系統就只需找到包含該憑證的Tiles，而不需要從整棵樹的根部開始搜尋。官方提到，Tiles API與之前CT API的動態端點不同，由於CT API需要根據憑證的雜湊值獲取憑證證明，所以CT API對每個憑證都有不同回應，因此無法使用共享快取。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/tlog-tile-27%402x.png" style="width: 580px;" /></p> <p>而Tiles API將樹作為Tiles提供，便不需要動態運算或是請求處理，因此也就不需要API伺服器，而且因為Tiles是靜態的，所以能夠被有效地快取，另外，葉子Tiles還可以壓縮儲存，能夠節省更多的儲存空間。</p> <p>將日誌以一系列靜態Tiles公開，使得Let's Encrypt可以用更便宜方式水平擴展日誌服務，像是直接在S3等雲端物件儲存中切分Tiles，或是使用CDN、Web伺服器、檔案系統等。由於物件和檔案儲存更易取得且可簡單擴展，比雲端資料庫服務的成本更低。</p> <p>另外，過去憑證透明度日誌採用了一種稱為合併延遲（Merge Delay）設計，來限制提交日誌的延遲。意思是向日誌提交憑證時，日誌可以立刻回傳簽署憑證的時間戳記，並承諾在日誌最大合併延遲，通常是24小時內，在日誌中包含憑證。</p> <p>也就是說，合併延遲是一個憑證被提交到日誌之後，與實際被合併進日誌的時間延遲，這種延遲讓日誌營運者有時間進行不要的處理和驗證，但這也代表有一段時間，憑證存在卻沒有公開紀錄。這樣的情況可能導致一些問題，像是日誌服務出現問題，導致無法在最大合併延遲內將憑證合併到日誌中，如此日誌就無法履行對提交憑證的承諾，而影響憑證的有效性，而且沒有即時合併憑證，攻擊者也可能趁著空窗時間進行惡意行為。</p> <p>因此Sunlight採用批次處理的方法，將憑證以批次的方式整合到日誌中，而這會導致提交憑證過程增加一些延遲，但官方表示，這輕微的延遲可以避免常見憑證透明度日誌失敗的情況。</p> <p>Let's Encrypt目前已經發布了Sunlight軟體與規範，並開始運行Sunlight憑證透明度日誌服務，官方建議憑證頒發機構開始測試提交憑證資料到新的Sunlight日誌中，也建議讓憑證透明度程式考慮信任該新架構日誌。</p> </div></div></div>
2024/3/18 22:53作者李建興https://www.ithome.com.tw/news/161820
NuGet.org套件庫簽署憑證將於4/8更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/nuget/the-nuget-org-repository-signing-certificate-will-be-updated-as-soon-as-april-8th-2024/">提醒</a>NuGet.org更新套件簽署憑證，受影響開發者應該於2024年4月8日之前更新憑證，避免屆時無法安裝新版本套件。受影響範圍包括使用NuGet用戶端政策、NuGet.exe verify指令或是dotnet nuget verify指令來驗證套件是由NuGet.org簽署的開發者。</p> <p>自2018年以來，NuGet.org皆是使用X.509憑證簽署其NuGet套件，該憑證最後一次更新是在2021年3月15日，預計會在2024年5月15日到期。不過，微軟在4月8日就會以新憑證取代舊憑證，使用新憑證來簽署NuGet.org套件庫，目前已使用舊憑證簽署的套件將保持現有簽署狀態不變，但未來舊憑證就不會再被用來簽署新套件。</p> <p>有三類可能受到影響的使用者，第一類是使用NuGet用戶端政策，執行NuGet.org可信任簽署者允許名單的用戶。NuGet用戶端策略是一套設定，由開發者或組織在NuGet用戶端上配置，以控制可被安裝和使用的套件，該政策明確限制系統僅可從包括NuGet.org在內的可信簽署者下載套件，因此使用NuGet用戶端政策需要更新政策設定，將新憑證新增到允許清單中，才能夠使用新憑證簽署的套件。</p> <p>第二種可能受影響的用戶，是在Windows中使用NuGet.exe verify指令，驗證套件是否由NuGet.org簽署的開發者。而第三種則是使用dotnet nuget verify指令，驗證已簽署套件來自NuGet.org的開發者。使用新憑證簽署的NuGet.org套件安裝方式與使用舊憑證簽署的套件安裝方式相同，不過，如果開發者不在以上三種情況當中，那可能不會受到憑證更新的影響。</p> </div></div></div>
2024/3/18 22:56作者李建興https://www.ithome.com.tw/news/161824
可選購5G連網功能，Check Point新款OT網路防火牆上陣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/check_point_quantum_rugged_1595r_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對工業控制系統（ICS）或監控與資料收集系統（SCADA）所在的網路閘道防護需求，Check Point在2015年5月推出硬體強固防火牆1200R，2020年6月發表後繼機種1570R，到了2023年9月，宣布增設新款式1595R。</p> <p>就網路流量與資安防護處理的能力而言，1570R與1595R的效能規格都是一樣的。例如，兩款機型若只是使用防火牆的功能，吞吐量為1,900 Mbps；啟用入侵防禦系統（IPS）之後，吞吐量為770 Mbps；若再加上應用程式控管，吞吐量為700 Mbps。</p> <p>至於防禦功能全部啟用，它們的吞吐量為400 Mbps（連同上述防護技術之餘，同時啟動URL網址過濾、防毒、防殭屍網路、SandBlast零時差防護）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/1570R-appliances-specs.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1570R-appliances-specs.jpg" style="width: 600px;" /></a></p> <p>藉由這些技術，1570R與1595R具有可延伸的資產探查能力，並且針對IT連至OT的網路實施嚴格的分段隔離機制；在IPS防護上，可比對超過300種特徵碼，以偵測OT環境的惡意網路流量；關於ICS或SCADA環境特有的通訊協定，Check Point系統可監控與控制的類型超過70種，能確保不同OT網路連線的區分，並且提供統一、快速部署的IT與OT資安管理。</p> <p>1570R與1595R最顯著的差異，在於機殼高度（9公分 vs. 4.2公分）、LAN埠數量（8個 vs. 4個）、同時連線數量（50萬個 vs. 100萬個），以及選購的無線網路連線能力——1570R支援Wi-Fi、3G或4G LTE，可加裝4支Wi-Fi天線與1支LTE天線，並將這樣的組態稱為1570R WLTE，新推出的1595R僅支援5G，可加裝4支5G天線，稱為1595R 5G（更早推出的1200R若需連接3G與4G網路，可外接USB數據機）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Check Point 1595R-2024-03-14.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Check%20Point%201595R-2024-03-14.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Check Point Quantum Rugged.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Check%20Point%20Quantum%20Rugged.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，1595R的網路埠支援旁路功能（bypass），若防火牆設備發生故障，流經這些網路介面的連線仍可繼續運作，而不會因此受到阻撓。</p> <p><a href="https://s4.itho.me/sites/default/files/images/1595R-S13395202309201548231.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1595R-S13395202309201548231.jpg" style="width: 600px;" /></a> </p> <p><a href="https://s4.itho.me/sites/default/files/images/1595R-S13417202309201551053.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1595R-S13417202309201551053.jpg" style="width: 600px;" /></a></p> <p>若選用無線寬頻網路的組態，這兩款機型均可使用雙SIM卡（Nano或Micro尺寸的SIM卡，以及eSIM都適用），而能部署在智慧城市、智慧電網等應用領域。</p> <p>在極端狀態的環境承受能力上，1200R、1570R、1595R適用的溫度範圍，皆介於攝氏-40度到75度；關於防水防塵等級，1570R、1595R均為IP30（可阻止大於2.5公釐的異物進入、不防水）。在工業與硬體強固標準的要求上，兩款防火牆都通過IEEE 1613、IEC 61850-3、EN/IEC 60529的認證，可抵抗高熱、震動、電磁干擾。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1570R-T2008120200510135320.jpg" style="width: 288px;" /> <a href="https://s4.itho.me/sites/default/files/images/1595R-S13413202309201550252.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1595R-S13413202309201550252.jpg" style="width: 298px;" /></a> </p> <p><span style="color:#008000;"><strong>產品資訊</strong></span></p> <p><strong>Check Point Quantum Rugged 1595R</strong><br /> ●原廠：Check Point<br /> ●建議售價：廠商未提供<br /> ●網路介面：6個GbE埠（4個LAN埠、1個WAN埠、1個DMZ埠），選購5G嵌入式數據機<br /> ●防火牆吞吐量：1,900 Mbps<br /> ●VPN吞吐量：1,100 Mbps<br /> ●防護功能全部啟用後的吞吐量：400 Mbps<br /> ●同時連線數：100萬個<br /> ●支援通訊協定：BACNet、CIP、DNP3、IEC-60870-5-104、IEC 60870-6（ICCP）、IEC 61850、MMS、Modbus、OPC DA與OPC UA、Profinet、S7（Siemens），超過1,400種<br /> ●重量：1.21公斤</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/18 19:22作者李宗翰https://www.ithome.com.tw/review/161806
【資安日報】3月18日，國際貨幣基金組織電子郵件帳號傳出遭到挾持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是大型組織的電子郵件帳號遭到入侵的情況！上週國際貨幣基金組織（IMF）發布公告，透露他們一個月前遭到網路攻擊，並指出駭客入侵了11個電子郵件帳號。</p> <p>值得留意的是，IMF並未透露更多細節，但因為他們向新聞媒體證實，電子郵件系統採用Microsoft 365雲端服務，讓人不禁聯想1月微軟、HPE揭露的電子郵件帳號遭駭事故。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;">國際貨幣基金組織證實遭遇網路攻擊，11個電子郵件帳號被駭</strong></p> <p></p> <p>3月15日國際貨幣基金組織（IMF）坦承，他們在2月16日察覺遭遇網路攻擊，導致11個電子郵件帳號被入侵，這些帳號已恢復安全狀態，目前尚未發現其他遭到攻擊的跡象，該組織將持續進行調查。</p> <p>資安新聞網站Bleeping Computer指出，IMF採用Microsoft 365電子郵件系統，但與1月微軟、HPE證實遭遇俄羅斯駭客Midnight Blizzard攻擊的事故無關。</p> <p>資料來源</p> <p>1. <a href="https://www.imf.org/en/News/Articles/2024/03/15/pr2488-imf-investigates-cyber-security-incident">https://www.imf.org/en/News/Articles/2024/03/15/pr2488-imf-investigates-cyber-security-incident</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/international-monetary-fund-email-accounts-hacked-in-cyberattack/">https://www.bleepingcomputer.com/news/security/international-monetary-fund-email-accounts-hacked-in-cyberattack/</a> </p> <p><a href="https://blog.sonicwall.com/en-us/2024/03/new-multi-stage-stopcrypt-ransomware/"><strong style="font-size: 22px;">勒索軟體StopCrypt出現新變種，藉由多階段執行迴避偵測</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/StopCrypt_18_.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/StopCrypt_18_.png" style="width: 300px; float: right;" /></a>資安業者SonicWall針對勒索軟體StopCrypt（又稱Stop、Stop Djvu）的攻擊行動提出警告，指出駭客透過惡意廣告及可疑網站，假借提供免費軟體、遊戲破解程式、盜版軟體破解工具的名義，散布StopCrypt及其他惡意程式。</p> <p>此勒索軟體會先載入看似無關的DLL程式庫msim32.dll，疑似企圖轉移注意。接著，攻擊者透過動態架構的API堆疊來呼叫所需的記憶體空間，並取得讀取、寫入、執行的權限，並探測執行的環境。再來對方利用處理程序挖空（Process Hollowing）手法，將勒索軟體酬載注入合法處理程序，並在記憶體內執行。</p> <p>為了讓勒索軟體能持續在受害電腦運作，駭客竄改存取控制名單（ACL），以免使用者刪除惡意軟體，直到檔案加密完成，就會留下勒索訊息，要求400至1,000美元的贖金。</p> <p><a href="https://www.gitguardian.com/state-of-secrets-sprawl-report-2024"><strong style="font-size: 22px;">2023年近1,300萬組帳密資料在GitHub曝光</strong></a></p> <p>資安業者GitGuardian指出，開發人員透過GitHub不慎曝露的機敏資訊（Secrets）逐年增加，2023年有3百萬個公開儲存庫曝露逾1,280萬筆這類資訊，包含帳號與密碼、API金鑰、TLS或SSL憑證、解密金鑰、雲端服務帳密、OAuth憑證等，相較於2022年的1,000萬筆，增加超過四分之一。</p> <p>從國家地區來看，外洩這類資訊最嚴重的是印度、美國、巴西、中國、法國；而根據產業類型而言，資訊科技最多，近三分之二（65.9%），其次是教育產業有20.1%，而根據外洩的機密資訊類型，又以Google的API金鑰最多，占24.6%，其次是MongoDB資料庫的帳密、OpenWeatherMap與Telegram機器人的Token等，分別有22.2%、11.4%、10%。</p> <p>此外，隨著生成式AI的流行，研究人員也看到OpenAI的API金鑰外洩數量較2022年增加1,212倍，但指出AI模型共享平臺HuggingFace的Token也有越來越多的現象而值得留意。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <div> <p><a href="https://hiddenlayer.com/research/new-google-gemini-content-manipulation-vulns-found/"><strong style="font-size: 22px;">研究人員揭露Google Gemini聊天機器人潛在的威脅</strong></a></p> <p></p> <p>資安業者HiddenLayer指出，他們在Google大型語言模型Gemini上發現弱點，有可能導致系統提示洩漏、產生有害內容，或是導致間接注入攻擊。這些漏洞影響的範圍，包括透過Google Workspace使用Gemini的用戶，以及透過API使用此大型語言模型的組織。</p> <p>研究人員總共公布3個漏洞，其中一個是涉及繞過安全防護機制，從而洩漏系統提示或是系統訊息，藉由要求提供基本指令的方式來達到目的；第2種研究人員則是運用了名為「狡滑的越獄（crafty jailbreaking）」手法，藉由要求Gemini進入虛擬狀態，導致產生與美國選舉有關的誤導訊息，繞過Google原本防範該大型語言模組產生這類錯誤訊息的措施；最後1個是模擬重新設定的漏洞，研究人員嘗試輸入不常見的Token變形，進而得到重新設定的效果，系統提示或是系統訊息。</p> <p><a href="https://www.akamai.com/blog/security-research/kubernetes-local-volumes-command-injection-vulnerability-rce-system-privileges"><strong style="font-size: 22px;">Kubernetes高風險漏洞恐導致Windows節點遭到接管</strong></a></p> <p></p> <p>資安業者Akamai揭露Kubernetes高風險漏洞CVE-2023-5528，攻擊者若是在叢集植入惡意YAML檔案，就有機會遠端在Windows端點以SYSTEM權限執行程式，CVSS風險評分為7.2。</p> <p>研究人員指出，這項弱點發生的原因，在於使用不安全的函數功能呼叫功能，以及對於使用者輸入的內容進行清理所致。</p> <p>雖然這個漏洞影響範圍僅有Windows節點，但由於問題出現在源始碼，相關威脅仍會持續遭到鎖定，而使得有越來越多攻擊者試圖利用，因此他們認為，就算Kubernetes環境並未包含Windows節點，IT人員還是應該設法修補這項漏洞。</p> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.bleepingcomputer.com/news/security/att-says-leaked-data-of-70-million-people-is-not-from-its-systems/"><span style="font-size: 20px;">電信業者AT&T傳出資料外洩，影響7千萬人，但該公司強調他們的系統並未遭駭</span></a></strong></p> <p></p> <p><a href="https://thehackernews.com/2024/03/ghostrace-new-data-leak-vulnerability.html"><strong><span style="font-size: 20px;">研究人員揭露新型態推測執行攻擊GhostRace，影響多種架構的處理器</span></strong></a></p> <p></p> <p><a href="https://www.facct.ru/media-center/press-releases/esim-bank-attacks/"><strong><span style="font-size: 20px;">SIM卡挾持攻擊出現新手法，鎖定eSIM設備發動攻擊</span></strong></a></p> <p><strong><a href="https://unit42.paloaltonetworks.com/analysis-of-bunnyloader-malware/"><span style="font-size: 20px;">惡意程式BunnyLoader 3.0被用於竊取受害電腦資料，並散布其他惡意軟體</span></a></strong></p> <p></p> <p><a href="https://www.tenable.com/security/research/tra-2024-07"><strong><span style="font-size: 20px;">資料備份軟體Arcserve UDP存在漏洞，有可能對主機散布惡意程式、造成阻斷服務</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161788"><strong>【3月15日】Windows安全機制SmartScreen弱點在公布前也被用於散布惡意程式DarkGate</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161764"><strong>【3月14日】研究人員揭露ChatGPT可用於存取第三方網站及敏感資料的漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161751"><strong>【3月13日】微軟發布3月例行更新，Hyper-V、Exchange、Azure K8s漏洞受到研究人員關注</strong></a></p> </div></div></div>
2024/3/18 15:09作者周峻佑https://www.ithome.com.tw/news/161813
xAI開源Grok所使用的大型語言模型Grok-1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由馬斯克（Elon Musk）去年<a href="https://www.ithome.com.tw/news/157758" target="_blank">成立</a>的AI新創xAI，本周<a href="https://github.com/xai-org/grok-1?tab=readme-ov-file" target="_blank">開源</a>其聊天機器人Grok所使用的底層大型語言模型（LLM）Grok-1。</p> <p>xAI是在去年10月利用基於JAX函式庫與Rust程式語言的客製化訓練堆疊，從頭開始訓練Grok-1，這是一個使用大量文字資料進行訓練，且沒有針對任何特定任務進行微調的基礎模型，此外，Grok-1也是個具備3,140億個參數的混合專家模型，任何Token的運算只使用25%的權重（參數）。</p> <p>Grok-1在GSM8k、MMLU、HumanEval與MATH等基準評測上雖然尚未超越OpenAI的GPT-4，卻都勝過GPT-3.5。</p> <p>不過，xAI也提醒企圖使用Grok-1的研究人員，由於此一模型的規模龐大，必須要配備足夠GPU的機器才能以樣本程式來測試該模型。Grok-1適用於Apache 2.0 授權，意味著它允許商業使用及修改，但無法註冊商標，也必須複製原始許可及版權說明，並陳述所作的變更。</p> <p>xAI決定開源Grok-1可能是在向OpenAI示威，馬斯克日前<a href="https://www.ithome.com.tw/news/161593" target="_blank">控告</a>OpenAI與Sam Altman，指控它們違反當初創立時的初衷，為了獲利而開發通用人工智慧（Artificial General Intelligence，AGI），而非當初所承諾的開源及替全人類謀福利。</p> </div></div></div>
2024/3/18 14:31作者陳曉莉https://www.ithome.com.tw/news/161812
Fintech周報第234期：三菱旗下租賃公司分三階段發展生成式AI應用，首先在內部建立生成式AI測試環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">3/11~3/17金融科技精選新聞</span></span></h3> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 三菱日聯租賃</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <h3>三菱旗下租賃公司分三階段發展生成式AI應用，首先在內部建立生成式AI測試環境</h3> <p>三菱旗下的租賃公司三菱HC資本近期宣布，正式開放內部2200名員工使用生成式AI，同時規畫出三年路徑圖，計畫讓企業內部深度應用生成式AI，除了要提高營運效率，也要加速生產商品或服務。這間企業主要提供公司租賃和融資解決方案，包括各種動產不動產租賃事業、金融業務，和綠色租貸等。</p> <p>這項三年計畫分三階段實施，第一階段是推廣生成式AI普及化，包括制定內部使用指南和建立環境。為了讓內部之後能快速驗證生成式AI應用的效果，他們在去年10月建立了一個測試環境，今年1月開始測試多項應用。接著，他們根據測試結果在Azure OpenAI建立使用環境，近期才正式在內部啟用生成式AI應用。</p> <p>除了建立測試環境，他們也積極了解業務單位的需求，根據每個應用帶來的效果、需要的資料和技術難度，列出優先處理的應用。他們表示，在內部應用案例上，未來將著重於發展文件摘要、資料檢索，和提高銷售和審核的工作效率，同時也會加強企業間合作，包括通過API整合外部服務。</p> <p>計畫目前已執行至第二階段，目標是提升包括銷售、審查和客服的業務效率。三菱HC資本計畫在今年執行ㄧ項POC驗證，建立ㄧ個具有增強型知識的內部知識庫，再根據POC成果，橫向發展至其他業務領域。2025年邁向計畫的第三階段，他們將運用這個知識庫打造業務專用型服務，持續擴大生成式AI應用範圍。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本靜岡銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></h3> <h3>日本靜岡銀行以生成式AI打造一款名為「數位CIO」的AI助理，協助業務單位了解IT進階規劃，加速轉型</h3> <p>銀行業在進行數位轉型時，業務單位需要與IT單位長時間溝通了解IT規劃，花費不少時間成本。為了解決這項痛點，日本靜岡銀行正在進行ㄧ項實驗，他們計畫用生成式AI打造一個名為「數位CIO」的Chatbot，提供業務單位IT規畫諮詢和建議，包括提供業務人員查詢IT系統資訊，或針對系統規格單提供建議。透過這項應用，靜岡銀行期望減輕IT部門推動轉型計畫的負擔，同時提升業務營運效率。</p> <p>這項實驗計畫運用銀行既有資訊、銀行業界資訊、IT相關資訊和一般資訊，作為「數位CIO」的訓練資料。該AI助理會供使用者查詢IT系統資訊，以及生成系統規格單草稿。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 客服中心</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></h3> <h3><span style="color: rgb(29, 28, 29); font-family: NotoSansTC, Slack-Lato, Slack-Fractions, appleLogo, sans-serif; font-size: 15px; font-variant-ligatures: common-ligatures;">日本系統整合商推出新型態的金融業客服中心解決方案，能用生成式AI提前預測顧客詢問內容</span></h3> <p>日本系統整合商CTC近期針對金融業推出一套解決方案，將生成式AI應用至客服中心，提前預測顧客欲查詢的內容，並提供相關資訊。當顧客撥打至客服時，系統會根據電話號碼或合約編號辨識顧客，再根據顧客的歷史購買記錄和網站、應用程式上的行為數據，推測他可能查詢的內容，早客服人員一步提供顧客相關資訊。客服人員接聽電話後，系統會根據對話提供客服人員相關資訊。若客服人員並未接聽電話，系統會進行意圖判斷，並自動回應相關資訊。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Ocard</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 支付 </span></strong></span></h3> <h3>CRM技術商Ocard宣布進軍支付領域，要靠1300萬用戶數發展金融生態系</h3> <p>看好會員制度結合行動支付的效益，Ocard近期宣布與Pi 拍錢包合作開發支付工具Ocard Pay，要整合金融服務與點數生態系，發展金融生態系。</p> <p>CRM技術商Ocard近幾年與多家品牌商家合作發展會員點數，平臺橫跨餐飲、零售、住宿、美容和生活娛樂等超過5,000間店家，四成為連鎖店家，目前平臺已累積超過1,300萬用戶數。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 澳洲聯邦銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></h3> <h3>澳洲聯邦銀行揭露未來將開發CommBank Copilot，加速解決顧客疑問並協助顧客管理資金</h3> <p>澳洲最大銀行聯邦銀行（Commonwealth Bank of Australia）近期宣布，將與微軟深度合作發展生成式AI。他們條列出合作關係中的關鍵發展計畫，包括要發展CommBank Copilot，加速解決顧客疑慮，和協助顧客了解自己的資金，提升客戶體驗。另外，他們也要發展內部行員使用的Copilots，以生成式AI幫助他們回應顧客需求。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 香港金管局</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 穩定幣沙盒 </span></strong></span></h3> <h3>香港金管局推出穩定幣發行人沙盒</h3> <p>既上周推出批發型央行數位貨幣的沙盒，香港金管局本周接著推出穩定幣沙盒，開放有意在香港發展穩定幣發行業務的業者申請。香港目前對穩定幣的監管制度是針對發行人進行審查，根據目前擬定的規範，穩定幣發行者需要持有金管局發出的牌照，並在香港設立法人，準備金需至少等於發行的穩定幣價值。</p> <p>香港金管局表示，沙盒的目的是收集監管意見，並向有意願並已有合理規畫的發行者傳達監管期望，並提供合規指引，因此，成為沙盒參與者並不意謂獲得金管局的認可，也不代表受到監管。他們表示，在監管制度實施後，沙盒參與者還是需要向主管單位提交牌照申請。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跨境支付</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 共通支付標準 </span></strong></span></h3> <h3>日本將在2025年和東協國家實現QR code跨境支付</h3> <p>根據日經報導，日本政府開始和東協政府討論，預計將在2025年統一兩個地區使用的支付標準，實現QR code跨境支付，讓兩個地區的人民到了各國都能以手機掃碼進行支付。</p> <p>日本在2020年就推出共通支付標準「JPQR」，類似臺灣推出的「TWQR」，讓日本商家只需要使用一組專屬QR code，就能對應多家電子支付業者的系統需求。負責營運JPQR的日本支付協會預計在今年建立一個能連接海外服務的系統，支持跨境支付。</p> <h3>其他重要Fintech新聞：</h3> <ul> <li>PayPal、Venmo在美支援iPhone Tap to Pay</li> <li>辦理國內小額匯兌未確認使用者的第二金融支付工具，一卡通因系統程式邏輯缺失遭金管會開罰50萬</li> <li>損害保險日本興亞對內推出生成式AI的Chatbot，支援員工會議紀錄整理、報告摘要、資料檢索等日常工作</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／三菱HC資本</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年3月</p> <p></p> </div></div></div>
2024/3/18 10:47作者李昀璇https://www.ithome.com.tw/news/161809
【資安週報】2024年3月11日到3月15日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期適逢多家廠商發布每月安全更新，包括微軟、Adobe、SAP等多家IT業者，以及西門子、施耐德電機等ICS工控業者，大家關切這些例行修補之餘，還有一些安全性弱點消息也要留意，例如：威聯通NAS，思科SSL VPN用戶端軟體，以及應用程式開發平臺OpenEdge的漏洞修補。</p> <p>特別的是，我們近期還注意到WordPress有多個外掛程式漏洞的陸續揭漏，當中以存在Bricks Builder外掛編輯器的重大RCE漏洞CVE-2024-25600，需要特別重視，因為多家業者發現已將其用於攻擊行動。此外，另一外掛程式Popup Builder去年修補的漏洞CVE-2023-6000，近期也發現被遭駭客積極鎖定利用的狀況。</p> <p>在資安事件方面，有一起關於臺灣企業的事件引發極大關注，是宏碁菲律賓分公司傳出資料外洩，宏碁已證實當地分公司有部分員工資料被存取，是菲律賓的外部供應商發生資料外洩事故造成。值得注意的是，日前我們報導上市櫃遭網路攻擊的現況時，資安專家指出，現在勒索攻擊的型態，並不全是用加密方式綁架資料而進行勒索，「偷資料的勒索」也逐漸成為常態，而上述事件中，目前傳出消息是只有資料被偷，對方並未使用勒索軟體或是加密檔案，至於後續是否有向宏碁勒索的行為，暫不得而知。</p> <p>此外，還有美法兩國的重大資料外洩消息，例如，美國移民主管機關的敏感資料流入駭客論壇，原因是IT承包商遭駭，以及法國失業救濟機構France Travail遭入侵，4,300萬人個資恐流出。</p> <p>國際有個重大資安事故的消息，全球也正在關注後續發展。法國總理辦公室最近公開表示，當地多個政府機構遭受了「前所未有的強度」的網路攻擊，據當地媒體指出，法國各部會網站是遭DDoS攻擊，而法國政府也採取措施，成立危機反制小組來應對，由於今年7月法國將舉辦2024奧運，還有6月舉行的歐洲議會選舉，該國國防顧問先前也是警，近期相關活動可能成為網路攻擊的重要目標。</p> <p>在威脅態勢上，美國聯邦調查局（FBI）發布2023年度網路犯罪報告，強調勒索軟體駭客攻擊關鍵基礎設施日益頻繁，我們在此列出重點，幫助大家快速了解。<br /> ●勒索軟體的影響再次上升，在FBI接獲的2,825件勒索軟體攻擊事故中，有1,193件是針對關鍵基礎設施（CI）有關的組織而來，相當於每5起事故就有2起是針對CI，這樣的比例比前一年度更高。<br /> ●從犯罪型態來看，商業電子郵件詐騙（BEC）危害程度居高不下，FBI表示，2023年此類犯罪損失高達29億美元。我們對比了前兩年的BEC損失，分別是23億美元、27億美元，可看出企業必須持續嚴防這類威脅。<br /> ●投資詐騙問題越來越大，2022年損失達33億美元，超越BEC而成為傷害最大的犯罪型態，2023年這類損失金額更是達到45億美元。</p> <p>在其他重要威脅態勢上，這星期還有不少勒索軟體最新動向的揭露，我們整理如下：</p> <p>●勒索軟體駭客組織BianLian最近的攻擊行動，是利用前一陣子TeamCity的漏洞來發起入侵。<br /> ●由勒索軟體駭客組織GhostSec、Stormous發起的雙重勒索攻擊，正利用名為GhostLocker 2.0的勒索軟體，鎖定中東、非洲、亞洲企業發動攻擊。<br /> ●去年4月出現的勒索軟體駭客組織RA World，攻擊目標原本是美國、韓國，後續擴展至德國、印度，以及臺灣，拉丁美洲現在也被鎖定。</p> <p>回到國內，關於上市櫃公司資安事件揭露的規範，最近有重要消息發布。我們先前報導臺灣證券交易所發布新版重訊問答集，裡面具體列出「上市公司」的資安事件重大性標準，而對於「上櫃公司」資安事件重大性標準的規範，則是在3月8日由證券櫃檯買賣中心發布。簡單來說，當中明訂核心系統遭駭，官網遭駭、DDoS、個資外洩、造成服務受影響中斷等，都屬重大性事件，而且，都需要發布重大訊息告知投資人。</p> <p style="margin: 0px;"> </p> <h3><a href="https://www.ithome.com.tw/news/161709"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月11日】為隱匿攻擊流量，駭客濫用虛擬化平臺QEMU設置網路通訊隧道</span></strong></a></h3> <p style="margin: 0px;">為了讓攻擊行動更為隱密，攻擊者建立網路隧道（Tunnel），從而埋藏攻擊流量的情況，研究人員已經發現多起這種類型的攻擊行動，其中最常針對部分，就是利用DNS打造這類通道來達成目的。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">但最近出現一種新型態的攻擊手法引起研究人員關注，駭客使用的是虛擬化平臺QEMU來達到目的，從而繞過受害組織的資安防護措施。</p> <p><a href="https://www.ithome.com.tw/news/161727"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月12日】勒索軟體駭客組織「變臉」藉由TeamCity伺服器入侵受害組織</span></strong></a></p> <p>上週JetBrains發布CI/CD開發工具TeamCity 2023.11.4版，當時修補2個高風險層級的身分驗證漏洞，並衍生該軟體業者與通報漏洞的研究人員對於漏洞公開出現意見不一致的狀況。如今，這些漏洞已被用於實際攻擊行動──資安業者GuidePoint在惡名昭彰的勒索軟體駭客「變臉」近期攻擊行動裡，發現駭客運用上述漏洞入侵目標組織，部署後門程式以進行後續攻擊行動。由於這項開發工具相當普及，且針對這套系統的攻擊行動這一年來越來越常出現，IT人員應儘速套用相關緩解措施。</p> <h3><a href="https://www.ithome.com.tw/news/161751"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月13日】微軟發布3月例行更新，Hyper-V、Exchange、Azure K8s漏洞受到研究人員關注</span></strong></a></h3> <p style="margin: 0px;">本週二有許多軟體業者與工控系統廠商推出每月例行更新，包含微軟、Adobe、SAP、西門子、施耐德電機，這些公司揭露與修補的漏洞，目前尚未出現遭到利用的跡象。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">話雖如此，還是有些漏洞引起研究人員的關注。以微軟本次公布的漏洞為例，許多研究人員特別提及要注意Hyper-V漏洞CVE-2024-21407。資安業者Rapid7警告，雖然微軟表示攻擊者必須收集特定的環境資訊才能利用這項漏洞，但也提醒在Hyper-V主機上，完全不需取得特殊權限。</p> <h3><a href="https://www.ithome.com.tw/news/161764"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月14日】研究人員揭露ChatGPT可用於存取第三方網站及敏感資料的漏洞</span></strong></a></h3> <p style="margin: 0px;">隨著生成式AI的運用日益廣泛，這類聊天機器人無法只根據機器學習模型回答問題，因此系統開發者將其串連線上搜尋引擎、程式碼儲存庫、CRM等各類服務，並進行資料交換，形成新的生成式AI生態圈，這麼做可能提升AI的功能，卻也帶來潛在的資安風險。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">研究人員最近針對ChatGPT的相關功能著手進行調查，證實上述的情況。而這種允許使用者與第三方服務串連的功能模組，在ChatGPT被稱為外掛程式（Plugins）。</p> <h3><a href="https://www.ithome.com.tw/news/161788"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月15日】Windows安全機制SmartScreen弱點在公布前也被用於散布惡意程式DarkGate</span></strong></a></h3> <p style="margin: 0px;">微軟在今年2月例行更新（Patch Tuesday），修補Microsoft Defender SmartScreen安全機制的漏洞CVE-2024-21412，當時通報漏洞的資安業者趨勢科技表示，這項漏洞在去年底就被APT駭客組織利用。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">但在研究人員進一步追查後發現，今年1月有另一組人馬也將其用於散布惡意程式DarkGate。這樣的情況，很有可能還有其他駭客也在微軟修補之前，就掌握這項漏洞。</p> </div></div></div>
2024/3/18 11:34作者羅正漢https://www.ithome.com.tw/news/161807
星巴克關閉Web3&NFT專案Starbucks Odyssey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球連鎖咖啡廳星巴克（Starbucks）上周五（3/15）<a href="https://odyssey.starbucks.com/#/faq" target="_blank">宣布</a>，將結束於2022年9月<a href="https://www.ithome.com.tw/news/153023" target="_blank">發表</a>的Web3暨NFT專案Starbucks Odyssey。</p> <p>Starbucks Odyssey是星巴克既有會員服務星禮程（Starbucks Rewards）的數位延伸，奠基於Polygon區塊鏈協定，讓完成指定挑戰的會員可獲得基於NFT的旅程戳章，也會出版限量版戳章供會員以信用卡購買，而無需加密貨幣或錢包，並設立了交易市集供會員交易不同的戳章，以試探Web3水溫。</p> <p>不過，星巴克上周於Starbucks Odyssey專案的FAQ頁面上宣布，即將於3月31日終止該專案，預計於3月19日關閉Starbucks Odyssey Discord伺服器，原有的市集將遷移至Nifty Gateway，使用者未來仍可自Nifty Gateway領取自己的NFT戳章，並透過該平臺繼續交易。</p> <p>雖然星巴克上周將Starbucks Odyssey專案稱為Beta專案，但在一年半前發表時並未使用任何Beta或測試字眼，而今，看起來星巴克也尚無延續該專案的計畫。</p> <p>非同質化代幣（Non-Fungible Token，NFT）為一基於區塊鏈技術的數位所有權憑證，每個憑證都是獨一無二的，可被應用在各種數位作品上，它在2021年興起，快速地於2022年初達到高峰，卻也在2023年迅速衰退。</p> <p>根據市場的估算，NFT在2020年的全球交易額為8,200萬美元，2021年即達到170億美元，2022年再成長至237億美元，去年則只剩87億美元。市場研究機構dappGambl<a href="https://dappgambl.com/nfts/dead-nfts/" target="_blank">則說</a>，在全球逾7.3萬個NFT中，有95%毫無市場價值。</p> <p>交易量的下滑、市場的退燒，令<a href="https://www.ithome.com.tw/news/155934" target="_blank">Meta放棄</a>Facebook與Instagram的NFT計畫，知名NFT市集OpenSea也在去年11月直接<a href="https://www.ithome.com.tw/news/159650" target="_blank">裁撤</a>一半員工。</p> </div></div></div>
2024/3/18 12:05作者陳曉莉https://www.ithome.com.tw/news/161811
麥當勞系統當機影響全球門市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球連鎖速食餐廳麥當勞（McDonald's）在北美中部時區（CDT）上周五（3/15）凌晨（約臺北時間3/15中午），發生技術問題，造成銷售結帳（Point of Sales，POS）系統無法使用，影響全球麥當勞門市。<a href="https://corporate.mcdonalds.com/corpmcd/our-stories/article/global-tech-outage.html" target="_blank">麥當勞當天就發表聲明</a>，澄清此事並非為網路安全事件，而是因第三方業者變更配置所導致。</p> <p>此一故障同時波及了美國、加拿大、日本、澳洲與香港等市場，客戶無法透過行動程式或自助點餐機下單，有些門市只收現金，還有些門市乾脆暫時休息。</p> <p>麥當勞表示，由於第三方供應商變更了配置，使得該公司經歷了全球性的技術系統中斷。此一配置變更所造成的服務中斷在幾個小時內便修復，目前麥當勞正在分析此一意外事件，以追究內部團隊與第三方業者的責任。</p> </div></div></div>
2024/3/18 11:06作者陳曉莉https://www.ithome.com.tw/news/161810