iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 22:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Nvidia在Llama 2 70B與Stable Diffusion XL模型基準測試皆拔得頭籌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>MLCommons發布了<a href="https://mlcommons.org/2024/03/mlperf-inference-v4/" target="_blank">MLPerf Inference v4基準測試套件的最新結果</a>，其中資料中心分類新增了文生圖模型Stable Diffusion XL和開源語言模型Llama 2 70B，在這兩個新模型的效能表現上，Nvidia系統皆位居第一。而邊緣系統新增的Stable Diffusion XL模型測試，則由Wiwynn提交的系統在效能上獲得領先。</p> <p>MLPerf Inference基準測試套件涵蓋資料中心和邊緣系統，目的是要衡量硬體系統，在各種場景中執行人工智慧與機器學習模型的速度。MLCommons由專門的工作小組，評估當前階段生成式人工智慧的發展，決定納入基準測試的模型。</p> <p>在考量模型授權、易用性、部署和決策的準確性，工作小組決定在Inference 4.0套件中加入兩個新模型，一個是具有700億參數的Llama 2 70B來代表大型模型，另一個則選擇用來代表文生圖生成式人工智慧模型的Stable Diffusion XL。</p> <p>Llama 2 70B相比MLPerf Inference v3.1所納入的GPT-J模型大一個量級，結果也更加準確，工作小組解釋，之所以需要加入一個像是Llama 2 70B這樣的大型語言模型，是因為與較小的語言模型相比起來，執行Llama 2 70B需要不一樣的等級的硬體，而這便成為高階系統一個良好的基準。</p> <p>而之所以工作小組還選擇Stable Diffusion XL，則是因為其擁有26億參數，透過生成大量圖像，基準測試能夠計算延遲和吞吐量等指標，了解系統整體效能。目前MLPerf Inference v4.0中已經有三分之一的基準測試，是針對生成式人工智慧工作負載，包括了小型、大型語言模型與文生圖生成器，以確保MLPerf Inference基準測試可以跟上最先進的技術。</p> <p>共有23個組織提交MLPerf Inference 4.0測試結果，包括ASUSTeK、Azure、Google、Intel、Juniper Networks、Qualcomm、Red Hat、Supermicro與Wiwynn等公司，MLCommons共收到8,500個效能結果以及900個功耗測試結果。</p> <p>MLPerf Inference 4.0資料中心類別中，Nvidia的系統在新加入的兩個模型測試Llama 2 70B與Stable Diffusion XL，皆拿到了效能表現第一，而在邊緣環境的類別，則是由Wiwynn所提交，使用兩個Nvidia L40S GPU所組成的系統，獲得Stable Diffusion XL模型效能表現第一。</p> </div></div></div>
2024/3/29 19:49作者李建興https://www.ithome.com.tw/news/162037
美國要求每個聯邦機構設立AI長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2024/03/28/fact-sheet-vice-president-harris-announces-omb-policy-to-advance-governance-innovation-and-risk-management-in-federal-agencies-use-of-artificial-intelligence/" target="_blank">美國行政管理和預算局（Office of Management and Budget，OMB）周四（3/28）發布</a>第一個橫跨所有美國政府機構的人工智慧（AI）政策，在減輕AI風險的同時也利用AI優勢，同時實現美國總統拜登（Joe Biden）去年10月所<a href="https://www.ithome.com.tw/news/159572" target="_blank">簽署的首個AI行政命令</a>。OMB所揭露的其中一項政策，便是要求每一個聯邦機構都必須設立負責主導與執行AI政策的AI長（Chief AI Officer，CAIO）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-biden-ai-excutive%20order-960.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／美國白宮</span></span></p> <p>本周OMB的新政策主要是依據拜登的行政命令所制定，包括解決使用AI所帶來的風險，擴大使用AI的透明度，推動負責任的AI創新，發展AI人力，以及強化AI的治理，其中，在強化治理上即要求每個聯邦機構都必須設立AI長，以主導及監督機構對AI的使用。</p> <p>根據<a href="https://www.whitehouse.gov/wp-content/uploads/2024/03/M-24-10-Advancing-Governance-Innovation-and-Risk-Management-for-Agency-Use-of-Artificial-Intelligence.pdf" target="_blank">OMB所頒布的完整政策</a>，各個聯邦機構必須在60天內指定AI長，也可指定既有的官員擔任，理想人選包括資訊長、資料長、技術長或其他具備類似能力的對象。</p> <p>這些CAIO的職責主要是與其它相關機構及官員協調對AI的使用，推動AI創新，管理AI風險。具體任務包括作為機構的AI高級顧問，建立必要的AI治理與監督流程，掌握機構對AI的使用，參與機構的AI政策制定，辨識哪些任務可以採用AI，移除使用AI的門檻，監督AI使用是否合乎規定，以及進行機構內AI應用的風險評估等。</p> <p>總之，OMB希望藉由每一個聯邦機構內的CAIO來負責推動及履行其AI政策。此外，美國政府也承諾會在今年夏天聘請100名AI專家，以促進AI的可靠性與安全使用。</p> </div></div></div>
2024/3/29 17:20作者陳曉莉https://www.ithome.com.tw/news/162036
零售IT雙周報第31期：自助結帳退燒？2大美國零售商縮減自助結帳機使用的理由
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0317~0330)</strong></p> <p>疫情中，無接觸結帳成為零售業熱門議題，帶動自助結帳機市場快速成長。不過，到了後疫情時代，消費者偏好開始改變，許多自助結帳的問題也開始浮現，使不少零售業者逐漸減少對自助結帳的依賴。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#自助結帳</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#財貨損失</span></span><br /> 省了人事虧了商品！美國連鎖五元店Five Below將降低自助結帳比例以降低財貨損失</strong></p> <p>分店超過1,400家的美國連鎖五元店Five Below，近年為了降低店員人事成本，大量引進自助結帳機。不過，<a href="https://www.fool.com/earnings/call-transcripts/2024/03/20/five-below-five-q4-2023-earnings-call-transcript/">最近法說會中，Five Below</a> CEO Joel Anderson宣布將逐漸減少店內自助結帳機，來防止店內商品損失。商品損失原因不只有遭外人竊盜，還有消費者漏刷誤刷、商品遺失、店員竊盜等。</p> <p>Joel Anderson說明，他們半年來測試了許多防止商品損失的措施，包括部署更多警衛等，但更有效的做法，還是減少自助結帳機跟部署更多店員。現在，Five Below不再有無人店，且高商品損失率門市會改回以真人結帳為主要結帳管道。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#自助結帳</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#結帳效率</span></span><br /> Target靠限制自助結帳商品數量，提升了2倍結帳效率</strong></p> <p>無獨有偶的，美國生鮮百貨巨頭<a href="https://corporate.target.com/press/fact-sheet/2024/03/checkout-improvements">Target也決定調整自助結帳政策</a>。他們在部落格中寫道，疫情期間，消費者非常愛用自助結帳機，是因為其無接觸特性。現環境下，消費者更注重簡單和便利，因此零售業者該優先考量如何快速消化結帳隊伍。</p> <p>Target採取的策略是，將自助結帳機作為快速結帳線。根據半年A/B測試結果，他們發現，當自助結帳機只接受10件或以下商品，自助結帳動線便能消化2倍顧客數量。為了增加門市結帳效率，他們將全面採用這個商品數限制政策，同時加開更多人工結帳動線。</p> <p>許多零售業者乘著自助結帳熱潮，投資自助結帳機來降低人事成本。Target則從疏通結帳人潮出發，反而投入更多店員於結帳，並將自助結帳機定位為分流工具，而非人工結帳的替代品。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#物流規畫工具</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#路線規畫</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#貨車空間優化</span></span><br /> Walmart將自家物流規畫系統作為SaaS商品販賣</strong></p> <p><a href="http://https://corporate.walmart.com/news/2024/03/14/walmart-commerce-technologies-launches-ai-powered-logistics-product">零售龍頭Walmart</a>將把自家物流規畫系統<a href="https://commerce.walmart.com/content/walmart-commerce-tech/en_us/our-solutions/route-optimization.html">Route Optimization</a>作為SaaS商品販賣給其他零售商。功能包含送貨路線及回頭車路線規畫、貨車裝載優化、物流阻礙應對等。</p> <p>送貨路線及回頭車路線規畫功能，不只會根據時間及地點，還會考慮每一站規定到貨時間。貨車裝載優化功能會根據空間利用率及生鮮商品溫度控制需求，來分配貨車載貨空間。物流阻礙應對功能會因應天氣、交通等情況，快速調整物流規畫。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#開店平臺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#直播電商</span></span><br /> Momo推出RMN、開店平臺及直播節目製作工具</strong></p> <p>Momo去年3月透露進軍廣告業務的意圖後，於同年第4季上線RMN服務Momo Ads。這是個一站式自助投廣平臺，供應商要使用廣告服務，不需事先串接任何系統。廣告採取即時競價機制（RTB，Real-time Bidding），由Momo打造的推薦演算法和CTR/CVR預估模型，來進行精準行銷及行銷成效估算。</p> <p>除了推出投廣平臺，Momo還推出了開店平臺及直播用App，要推動旗下B2B2C電商及直播電商。開店平臺目前採邀請進駐制，希望招募商品品項少量多樣的店家，販售傳統B2C電商不容易找到的商品。直播App則是讓平臺上商家能自行製作簡單直播電商節目，不再只能上Momo官方頻道直播。（<a href="http://https://www.ithome.com.tw/news/161959">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#降低RMN技術門檻</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#第一手零售數據</span></span><br /> 不用自行打造RMN！Google將開放零售商用第一手數據經營搜尋廣告業務</strong></p> <p>即使手握大量第一手顧客及交易數據，零售業者要用這些數據來發展RMN等數位行銷業務，難免需要投入大量開發人力及時間成本，形成技術及資本門檻。不過，<a href="https://blog.google/products/marketingplatform/360/empowering-the-retail-media-ecosystem-with-search-ads-360/">Google搜尋廣告服務Search Ads 360近期開放零售業者用第一手數據在該平臺上經營廣告業務，</a>有望打破現狀。</p> <p>這個新模式的運作方法是，零售業者可以選擇開放特定廣告主使用自家數據來支援精準行銷，並管控數據共享內容，例如只給合作品牌相關的行銷數據及銷售數據。不過，若廣告主同時獲得多家零售業者授權使用數據，廣告主便能整合不同家零售業者數據來投放廣告。這種模式不只能降低零售業者變現數據為廣告收入的難度，還有助於他們拓展自家RMN服務範疇，甚至打破RMN與其他數位行銷通路的隔閡。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#汽車經銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#數位素材製作</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#數位內容管理</span></span><br /> 汽車經銷商Vospers導入AI圖像素材處理工具，降低線上賞車內容的製作門檻</strong></p> <p>拍出清晰、有質感的汽車照片，來強化線上賞車體驗，是汽車經銷商一大課題。<a href="https://www.auto-imaging.com/articles/vospers-introduces-new-digital-imaging-tech/">英國汽車經銷商Vospers導入AI圖像素材處理工具</a>，以加速數位素材製作，並強化線上賞車體驗。門市銷售員用手機拍攝汽車外觀時，此工具會根據汽車廠牌規格來提示銷售員拍攝角度，並快速檢查照片品質。此工具接著會自動去背並加入統一照片背景，還能根據汽車規格及照片，生成介紹影片。</p> <p>上傳數位素材到賞車網站後，此工具還有簡單的內容管理系統（CMS）功能，方便總部統一管理這些素材。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#會員經營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#雲端技術</span></span><br /> 日本全家揭露自家用雲端技術支援數位會員經營的做法</strong></p> <p>日本全家便利商店近日揭露自家用雲端技術支援會員經營的做法。日本全家經營會員的核心工具是支付App FamiPay，下載量超過1900萬次，有個人化行銷、數位內容呈現、集點等功能。此App後臺串接了全家以外許多金融、零售及其他行銷生態系的系統，搭配日本全家每個月同時進行60個以上行銷活動，需要處理大量且複雜的數據。</p> <p>不只平時數據流量大，早餐與中餐時段，數據流量還會再增加。因應這種周期性波動，他們將App上不同的服務及資料庫建置於Amazon EC2、ECS、Aurora、RDS等環境，以根據交易量彈性調整IT資源使用量。並且，啟用公有雲上的災難恢復和資料備份功能，以在意外發生時，能最小化服務中斷時間。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多零售IT動態：</span></strong></span></p> <p>1. 開店平臺Shopline新增<a href="https://blog.shopline.tw/photoroom-shopline-ai/">AI圖像編輯工具</a>及<a href="https://blog.shopline.tw/shopline-wavenet-cdp/">CDP功能</a></p> <p>2. WSJ報導，<a href="http://https://www.wsj.com/business/shein-to-market-its-unique-supply-chain-technology-to-global-brands-32fa0ed8">快時尚電商Shein也有意將自家供應鏈管理技術商品化</a></p> <p>3. <a href="https://www.businesswire.com/news/home/20240314778881/en/Walmart-and-unspun-Collaborate-on-3D-Fabric-Weaving-Technology-Aiming-To-Reduce-Apparel-Manufacturing-Waste-and-Drive-US-Based-Manufacturing">Walmart開始嘗試運用3D編織技術來生產自家旗下衣著產品線</a>，以期降低碳足跡及布料浪費</p> <p>資料來源：iThome整理，2023年3月</p> <p>責任編輯：郭又華</p> <p> </p> </div></div></div>
2024/3/29 17:27作者郭又華https://www.ithome.com.tw/news/162035
中華電信、遠傳將在6/30前關閉3G網路，手機不支援VoLTE將無法通話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內3G網路關閉進入百日倒數!中華電信、遠傳電信相繼宣布獲NCC同意，將在6月30日前關閉3G網路，台灣大哥大也可望跟進，現有用戶如果手機沒有支援VoLTE將無法通話，為保持通話，用戶應儘快檢查手機是否支援VoLTE。</p> <p>中華電信表示，3G網路在國內已使用近20年，關閉3G網路後，未來釋出頻率、基地臺站點資源將轉投入5G，以提升5G服務品質。3G網路關閉後，4G與5G的語音通話將改為VoLTE（Voice over LTE），即4G的網路語音通話服務，中華已在2017年開始提供VoLTE，2018年1月起銷售的新手機支援VoLTE，2022年12月開始旗下用戶免費提供VoLTE通話服務。</p> <p>中華電信用戶如果想確認現在使用的手機是否已使用VoLTE通話，以三星手機為例，如果已使用VoLTE，手機右上角顯示VoLTE字樣。中華電信官網也提供用戶查詢使用的SIM卡及手機是否支援VoLTE。</p> <p>另一家電信業者在6月30日前關閉3G網路後，也將資源轉投入4G與5G服務，由於仍有少數用戶使用的手機不支援VoLTE，通話採用3G行動語音通話，遠傳電信也針對低資費用戶、銀髮族祭出月租費149元，來吸引用戶升級新手機，以支援VoLTE網路語音通話。</p> <p>遠傳電信指出，目前在國際上，隨著4G、5G服務的普及，3G逐漸功成身退，美國已全部換為VoLTE，日本的SoftBank也將在4/15關閉3G網路，未來轉為VoLTE網路語音通話之後，4G用戶不再像過去語音通話需CSFB，以3G網路通話，導致同時間4G上網變慢，VoLTE讓4G用戶語音通話的同時，維持4G網路瀏覽的品質。VoLTE也享有較好的語音通話品質，聲音較為清晰，並且接通電話縮短至最快只要1秒。</p> <p>台灣大哥大截稿為止，尚未發布訊息，但根據NCC先前對外宣布，國內3家電信都會在第2季之前關閉3G網路，中華電信、遠傳電信先後宣布3G網路將在6月30日前退場之後，台灣大哥大相信也會在相近時間點關閉3G網路。</p> </div></div></div>
2024/3/29 15:33作者蘇文彬https://www.ithome.com.tw/news/162033
加密貨幣交易平臺FTX創辦人SBF因詐欺被判刑25年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，美國聯邦法官Lewis Kaplan周四（3/28）裁定，加密貨幣交易平臺FTX創辦人暨執行長Sam Bankman-Fried（SBF）因詐欺等7項罪名，應入獄服刑25年，同時也要求SBF必須繳納110億美元的罰款。</p> <p>現年32歲的SBF是在2019年與Gary Wang共同創立了FTX，並擔任FTX執行長，擁有一頭不羈捲髮的SBF在2021年便登上了富比士30位30歲以下精英榜（Forbes 30 Under 30），FTX在2022年還創下了320億美元的市值，並推升SBF成為全美前五十大最富有的人之一。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-FTX-SBF-%E7%BF%BB%E6%94%9D%E8%87%AA%E7%B6%B2%E8%B7%AF.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">翻攝自網路</span></span></p> <p>然而，快速崛起的FTX與SBF也迅速殞落，加密貨幣媒體<a href="https://www.coindesk.com/business/2022/11/02/divisions-in-sam-bankman-frieds-crypto-empire-blur-on-his-trading-titan-alamedas-balance-sheet/" target="_blank">《CoinDesk》在2022年11月2日踢爆</a>，FTX與同樣由SBF創辦的做市商Alameda Research之間的關係過於緊密，並有不正常的資金流動關係，消息曝光後FTX即<a href="https://www.ithome.com.tw/news/154101" target="_blank">出現擠兌現象</a>，FTX所發行的加密貨幣FTT價格也開始下滑，一周後SBF即出面<a href="https://www.ithome.com.tw/news/154152" target="_blank">坦承自己搞砸了</a>，十天後（11/11）FTX便<a href="https://www.ithome.com.tw/news/154165" target="_blank">聲請破產保護</a>。</p> <p>在美國政府的要求下，巴哈馬警方在2022年的12月12日逮捕了已把FTX總部搬到當地的SBF，隔天美國即正式<a href="https://www.ithome.com.tw/news/154700" target="_blank">控告SBF</a>。去年11月，<a href="https://www.justice.gov/usao-sdny/pr/statement-us-attorney-damian-williams-conviction-samuel-bankman-fried" target="_blank">SBF被判處了7項罪名</a>，主要為各種詐欺及洗錢，最高可判處110年刑期。</p> <p>在FTX創立3年多以來，總計投資或成立了逾130家關係企業，SBF不僅擅自將FTX客戶的資金轉移到Alameda Research，還利用Alameda Research的名義展開風險投資、購買房地產及進行政治捐款。在FTX申請破產保護之後接手執行長的John Ray指出，在SBF帶領下的FTX於2021年至2022年間進行一場消費狂潮，大撒50億美元的資金投資與購買了許多不值錢的企業，而且FTX與Alameda Research之間的資產混淆不清，還借給內部人員逾10億美元。</p> <p>Ray更說這輩子從未看過有如FTX般混亂的企業內控，FTX用來儲存客戶資產的系統與金鑰缺乏安全控制，該平臺亦無財務或風險管理人員，整個集團亦缺乏獨立治理能力。</p> <p><a href="https://storage.courtlistener.com/recap/gov.uscourts.nysd.590940/gov.uscourts.nysd.590940.410.0_2.pdf" target="_blank">美國檢察官認為</a>SBF至少讓投資人損失超過100億美元，要求法官判處40~50年的刑期。而根據<a href="https://www.coindesk.com/policy/2024/03/28/sam-bankman-fried-ftx-sentencing/" target="_blank">《CoinDesk》</a>的報導，法官Kaplan同意SBF對債權人造成了巨大傷害，卻在作證期間明顯缺乏悔意，這主要是因為SBF的律師群的辯解策略為將他描述成一個書呆子，是根據數學而非惡意作出各種決定。</p> </div></div></div>
2024/3/29 16:14作者陳曉莉https://www.ithome.com.tw/news/162034
【資安日報】3月29日，研究人員揭露專門針對行動裝置的新型態網釣工具包Darcula
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期攻擊者大肆利用網路釣魚攻擊工具套件（Phishing Kit）的情況浮上檯面，繼本週有研究人員揭露專門挾持微軟365、Google帳號的套件Tycoon 2FA，鎖定行動裝置用戶的作案工具也相當值得留意。</p> <p>有資安業者揭露名為Darcula的網釣攻擊套件，並指出與其他同樣針對行動裝置而來的工具最大的不同，就是採用全程加密的通訊方式，向攻擊目標傳送誘騙內容。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.netcraft.com/blog/darcula-smishing-attacks-target-usps-and-global-postal-services/"><strong style="font-size: 22px;">iPhone用戶遭到網釣攻擊套件Darcula鎖定，藉由iMessage散布釣魚簡訊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Darcula-5-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Darcula-5-2.png" style="width: 300px; float: right;" /></a>資安業者Netcraft揭露針對手機用戶而來的網路釣魚套件工具包Darcula，開發這項產品的人以服務租用型式（Phishing-as-a-Service，PhaaS）供應市場，此攻擊套件濫用2萬個網域、假冒各式知名品牌、針對超過100國家的用戶而來。</p> <p>這個網釣套件在去年夏天首度被發現，但研究人員指出，駭客利用該工具的情況越來越氾濫，他們解析套件的內容，指出與其他同類型攻擊工具相當不同，Darcula採用JavaScript、React、Docker、Harbor等技術，使得開發者能持續加入新功能，用戶無須重新部署工具包就能導入。買家一旦取得工具包，可指定範本執行安裝指令碼，將採用React開發的釣魚網站部署到Docker環境，並透過Harbor管理Docker映像檔。提供服務的開發者通常透過.top、.com頂級網域名稱（TLD）代管買家所需網域，其中近三分之一是採用Cloudflare的服務。</p> <p>別於其他針對手機的網釣套件採用SMS簡訊傳遞誘騙內容，Darcula則是透過iMessage攻擊iPhone用戶，而對於安卓手機，對方則是透過進階通訊解決方案（Rich Communication Services，RCS）來進行，原因是這兩種管道都採用全程加密，使得資安系統難以解析、過濾。</p> <p><a href="https://securelist.com/dinodasrat-linux-implant/112284/"><strong style="font-size: 22px;">木馬程式DinodasRAT鎖定Linux主機而來，攻擊範圍涵蓋臺灣、中國、土耳其</strong></a></p> <p>去年10月資安業者ESET揭露Operation Jacana攻擊行動，當中提及駭客使用名為DinodasRAT（亦稱XDealer）的惡意程式攻擊蓋亞那政府，但如今有研究人員發現，駭客不只針對Windows電腦，也對於Linux作業系統打造對應的惡意程式。</p> <p>資安業者卡巴斯基指出，他們在ESET公布上述事故後，發現Linux版本的DinodasRAT，該惡意程式主要針對以Red Hat為基礎的Linux作業系統，以及Ubuntu而來，一旦啟動將先檢查受害環境，然後藉由呼叫daemon功能函數在後臺運作、利用SystemV或SystemD執行指令碼，以及透過主要處理程序的ID（PPID）重新啟動惡意程式的方式，以便持續於受害電腦上運作。</p> <p>研究人員指出，對方疑似在2021年打造出第1個版本Linux惡意程式，並在次年用於攻擊行動，根據遙測資料，臺灣、中國、土耳其、烏茲別克是受害最嚴重的國家。</p> <p><a href="https://www.bleepingcomputer.com/news/security/cisco-warns-of-password-spraying-attacks-targeting-vpn-services/"><strong style="font-size: 22px;">思科針對啟用VPN功能的防火牆用戶提出警告，疑與殭屍網路攻擊有關</strong></a></p> <p></p> <p>3月26日<a href="https://www.cisco.com/c/en/us/support/docs/security/secure-firewall-threat-defense/221806-password-spray-attacks-impacting-custome.html">思科發布資安公告</a>，指出他們得知啟用遠端存取VPN服務（RAVPN）的防火牆遭遇密碼潑灑（password spray）攻擊的情況，對此該公司提供入侵指標（IoC）及防禦建議。</p> <p>研究人員Aaron Martin認為，上述公告很可能與<a href="https://annoyed.engineer/2024/03/23/the-brutus-botnet/">名為Brutus的殭屍網路攻擊行動</a>有關，他與另一名研究員Chris Grube在3月15日發現該殭屍網路，他們找到超過2萬個與之有關的IP位址，對方針對Fortinet、Palo Alto Networks、Sonicwall、思科等多個廠牌的SSL VPN系統發動攻擊。</p> <p>特別的是，為了迴避偵測，此殭屍網路發動攻擊時，每嘗試6次登入就會更換1組IP位址。而對於攻擊者的身分，研究人員表示仍不清楚，但他們發現其中2個IP位址曾被俄羅斯駭客組織APT29利用。</p> <p><a href="https://www.bleepingcomputer.com/news/security/pypi-suspends-new-user-registration-to-block-malware-campaign/"><strong style="font-size: 22px;">為因應惡意軟體攻擊，PyPI套件庫再傳暫停用戶註冊、成立新專案</strong></a></p> <p></p> <p>3月28日PyPI維護團隊表示，<a href="https://status.python.org/incidents/dc9zsqzrs0bv">他們暫停成立新專案、新用戶註冊</a>，原因是遭遇了惡意軟體上傳攻擊行動。</p> <p>針對這起事故，<a href="https://checkmarx.com/blog/pypi-is-under-attack-project-creation-and-user-registration-suspended/">資安業者Checkmarx指出</a>，他們看到攻擊者在前一天就上傳365個惡意套件，這些套件的名稱偽裝成合法專案，其共通點是在安裝組態設定檔setup.py裡含有惡意程式碼，一旦開發者安裝惡意套件，電腦就會從遠端伺服器取得額外酬載，最終開發者的電腦會被植入竊資軟體。為了迴避偵測，對方利用名為Fernet的模組對惡意程式碼進行加密處理，遠端伺服器的URL也是動態產生。</p> <p><a href="https://blog.checkpoint.com/securing-the-cloud/pypi-inundated-by-malicious-typosquatting-campaign/">資安業者Check Point也對此公布他們的觀察</a>，指出駭客前後分兩個階段，總共上傳超過500個惡意套件，值得留意的是，每個開發者帳號只會上傳1個套件，因此他們推測，對方應是透過自動化的方式從事攻擊。而這已非PyPI因類似的資安事故採取類似行動，去年5月20日，他們就因遭遇大量惡意惡意軟體上傳而暫停用戶註冊、建立新專案。</p> <p><a href="https://finance.ettoday.net/news/2708466"><strong style="font-size: 22px;">華南永昌證券員工透過Line洩露客戶下單資料，遭停職1個月，公司被罰30萬</strong></a></p> <p></p> <p>3月27日金管會證期局發布公告，指出證券商業同業公會於去年12月5日對華南永昌證券進行專案查核，發現海外商品部王姓業務人員將客戶委託下單的資料，分享至公司Line群組，他們依證券交易法第56條，停止該員1個月業務予以處分。</p> <p>而對於公司的部分，金管會認為華南永昌證券未善盡監督管理責任，以及未落實執行內部控制制度，依照證券交易法第178條之1第1項第4款規定，處30萬元罰鍰。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://labs.guard.io/cve-2024-21388-microsoft-edges-marketing-api-exploited-for-covert-extension-installation-879fe5ad35ca"><strong style="font-size: 22px;">微軟Edge瀏覽器存在漏洞，攻擊者有可能暗中植入惡意延伸套件</strong></a></p> <p>資安業者Guardio揭露去年11月向微軟通報的漏洞CVE-2024-21388，此漏洞存在於Edge瀏覽器，攻擊者可針對支援市場行銷活動的API進行濫用，在使用者不知情的情況下部署具有多種權限的擴充功能。</p> <p>對此，微軟獲報後於今年1月發布121.0.2277.83版予以修補，並指出此弱點若遭利用，對方可以取得安裝擴充套件的相關權限，但攻擊者必須在行動前採取額外的準備工作。</p> <p>Guardio的研究人員指出，根據他們的調查，攻擊者只要能在bing[.]com或microsoft[.]com執行JavaScript，就能透過上述漏洞安裝已上架於Edge擴充套件市集的任意套件，過程完全無需使用者互動。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cna.com.tw/news/ait/202403280363.aspx"><strong style="font-size: 22px;">台灣資安大聯盟拜會立院黨團交換意見，藍綠白三黨團皆表示支持</strong></a></p> <p></p> <p>網路威脅日益嚴峻，由國內多個資安領域民間團體發起的「台灣資安大聯盟」，3月28日拜會立法院朝野黨團，就資安法制完善、資源分配及人才培育等課題，與朝野立委交換意見。</p> <p>民進黨立法院黨團總召柯建銘表示，對於資安相關管理法修法及良善政策，歡迎聯盟就資安法規修訂及政策提出具體可行作法。國民黨立委林沛祥指出，臺灣現有的資安法規不夠完整，需要業界建言並提出方向。民眾黨立委林國成認為，希望該聯盟就預算分配、教育培育等面向，提出具體建議。</p> <div> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.cisa.gov/news-events/alerts/2024/03/26/cisa-adds-one-known-exploited-vulnerability-catalog"><span style="font-size: 20px;">CISA警告SharePoint的程式碼注入漏洞CVE-2023-24955已被用於攻擊行動</span></a></strong></p> <p></p> <p><a href="https://www.securityweek.com/splunk-patches-vulnerabilities-in-enterprise-product/"><strong style="font-size: 20px;">Splunk修補旗下產品的高風險漏洞</strong></a></p> <p><a href="https://www.darkreading.com/cyberattacks-data-breaches/vietnam-securities-broker-suffered-cyberattack-that-suspended-trading"><strong style="font-size: 20px;">越南證券商遭受網路攻擊，被迫暫停交易</strong></a></p> <p></p> <p><a href="https://blog.eclecticiq.com/operation-flightnight-indian-government-entities-and-energy-sector-targeted-by-cyber-espionage-campaign"><strong><span style="font-size: 20px;">竊資軟體HackBrowersData鎖定印度政府機關、能源業者而來</span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/inc-ransom-threatens-to-leak-3tb-of-nhs-scotland-stolen-data/"><strong><span style="font-size: 20px;">勒索軟體駭客組織INC Ransom聲稱入侵蘇格蘭國家醫療服務體系，竊得3 TB資料</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162015"><strong>【3月28日】殭屍網路TheMoon挾持4萬臺SOHO路由器、物聯網裝置供網路罪犯藏匿蹤跡</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162004"><strong>【3月27日】AiTM網釣攻擊工具包Tycoon 2FA針對微軟365、Google用戶而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161956"><strong>【3月26日】Google搜尋提供的AI建議竟列出詐騙網站和惡意網站</strong></a></p> </div></div></div>
2024/3/29 11:59作者周峻佑https://www.ithome.com.tw/news/162031
Amazon推出Amazon One掌紋掃描程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於2020年<a href="https://www.ithome.com.tw/news/140274" target="_blank">推出掌紋辨識系統Amazon One</a>之後，Amazon終於在本周四（3/28）發表了Amazon One行動程式，允許使用者透過iPhone或Android手機拍攝自己的掌紋以建立掌紋簽章，而不必再透過實體店面的Amazon One裝置來掃描掌紋。</p> <p>Amazon One掌紋身分辨識系統主要應用於美國市場，包括超過500家的Whole Foods Market商店，多家的Amazon直營實體店面，以及與Amazon合作的逾150家的第三方服務，如體育館、機場、健身中心或便利商店等。過去使用者必須在上述店面透過專有的Amazon One裝置來掃描與註冊掌紋，之後再利用自己的掌紋來付帳、入場、驗證年紀，或是兌現忠誠度獎勵等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-Amazon%20One%20app-palm-4.png" style="width: 600px;" /></p> <p>儘管上線已超過3年，但使用Amazon One掌紋服務的累計次數僅有800多萬，不過，根據Amazon的統計，在Whole Foods Market及Amazon商店用過Amazon One來付款的用戶，有超過8成都會重覆使用。</p> <p>現在Amazon決定進一步推廣Amazon One，降低註冊Amazon One的門檻，使用者只要下載Amazon One程式，就能登入Amazon帳號，拍攝自己的掌紋，上傳到Amazon One專用的伺服器上，即可於支援Amazon One的商家或地點使用；此外，Amazon One程式還能建立自己的線上檔案及添加付款方式。不過，採用Amazon One程式的使用者要在首次將手掌懸停在Amazon One裝置上進行比對後，才算完成註冊。</p> <p>Amazon表示，此一行動程式將讓使用者更方便先行建立自己的掌紋簽章，而不必在結帳時花費額外的時間進行註冊，對零售商而言，也能確保更順暢的店內體驗。</p> <p>根據Amazon的說明，Amazon One會查看使用者的手掌與底層靜脈結構，以建立獨特的掌紋簽章，再利用AI來比對使用者所拍攝的掌紋及Amazon One裝置所掃描的掌紋，且掌紋資訊是存放在安全的AWS環境中，而不會留在使用者裝置上。</p> <p>Amazon並未公布迄今有多少使用者註冊了自己的掌紋簽章。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> </div></div></div>
2024/3/29 11:58作者陳曉莉https://www.ithome.com.tw/news/162030
本土電商跨足數位行銷，一年創造3億交易額RMN先行者Pinkoi五年跨界轉型路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一兩年，臺灣零售業吹起了一陣跨界廣告業的風潮。Momo、全家，都在去年推出了零售媒體聯播網（RMN，Retail Media Network）服務，利用龐大第一手資料，以及零售通路優勢，驅動數位廣告業務。</p> <p>RMN是一種新型態廣告概念，零售業者將自家零售場域作為廣告版位，開放給廣告主，並利用零售第一手顧客資料和交易資料來支援精準行銷。處於零售場域的消費者，購買意願通常較高，廣告能更有效轉換為實際購買行為。這個過程中，零售業者不只能獲得廣告收入，廣告轉換成的購買行為，也會成為零售業者營收。</p> <p>RMN崛起，外部因素是第三方Cookie逐漸退場，許多數位廣告形式將失去精準投廣及追蹤成效的依據。使用零售業者第一手數據的RMN不受影響，形成相對優勢，吸引了大量廣告主。內部因素則是，許多零售業者觀察到國外RMN趨勢，且自家會員數據建設和會員經營做法趨於成熟，有能力進一步發展RMN。</p> <p>在這個多數RMN都在開發中或剛上線的環境中，臺灣有一家電商，已經靠RMN帶來一年3億元交易量，總營收3成來自廣告費的貢獻。它是設計類垂直電商Pinkoi，早在5年前，就已經開始用從頭自行打造廣告技術，來經營RMN服務。</p> <p>儘管RMN業績亮眼，Pinkoi SaaS產品負責人李少昱直言，Pinkoi打造RMN服務，一開始並不是為了廣告收入。</p> <p><strong>打造RMN服務初衷是為了強化賣家經營能力</strong></p> <p>Pinkoi的RMN服務源自2015年的一次架構翻新。當時，他們開始翻新數據技術架構，不只要強化利用數據驅動決策的管理模式，更要用自家設計領域數據來開發專屬AI推薦模型，來取代規則式推薦機制，進行個人化商品推薦。</p> <p>當數據技術架構及應用發展到一定程度，Pinkoi開始思考，除了用於個人化推薦，還能如何運用手上大量顧客、商品及交易數據。當時，他們接收到了許多賣家主動許願，希望有提升自己商品曝光機會的付費機制。</p> <p>李少昱解釋，賣家這個需求，來自當時商品推薦機制演算法的侷限。當時的商品推薦機制，全靠同一套演算法，商家必須要累積足夠優良交易紀錄，才容易獲得這套演算法的推薦。這意味著，新進商家大多難以直接和既有商家競爭曝光度，得經歷一段沒沒無聞的日子，慢慢讓演算法認識自己。</p> <p>為了打破這種情況，不少商家希望有一種機制，可以加快累積優良交易的速度，或在特定促銷檔期提升業績。回應這個需求，Pinkoi決定投入高達4成工程資源，開發出了廣告商品排序演算法、即時競價機制、廣告投放機制、廣告內容呈現機制等RMN系統所需基礎建設，並於2019年正式上線RMN服務。</p> <p>服務上線頭2年，願意投放廣告的賣家不多，Pinkoi花了大把時間和賣家溝通在RMN行銷的價值，以及摸索RMN技術細節。隨著技術成熟度和市場接受度持續發展，2021年，RMN廣告主的數量開始出現驚人的2位數成長率。</p> <p>緊接著，臺灣疫情進入高峰期，促使許多賣家開始積極投放數位廣告，為RMN注入又一波成長動能。Pinkoi把握住了這幾波成長。使用過RMN的賣家高達9成會持續使用。</p> <p>Pinkoi不斷增加行銷功能，陸續提供了促銷單件商品、促銷商品組合、品牌推廣等廣告類型，也先後增加在首頁、搜尋結果，以及穿插在商品頁面下面的推薦版面。去年還新增了分眾推播廣告，不須等待顧客造訪商城，而是系統根據顧客興趣數據，主動推播品牌廣告。這些廣告支援網頁版、iOS及Android商城。</p> <p>他們還持續強化RMN底層技術，不只用顧客數據來支援精準商品推薦，更開始用AI模型分析商家成長模式，判斷商家下一步成長策略，向商家推薦RMN廣告投放策略及參數設定。例如商家已有穩定客源，系統會建議下一步成長動能是獲取新客源，投放策略得重視陌生潛在買家的曝光。</p> <p><strong>經營RMN最大挑戰──平衡使用者體驗與行銷成效</strong></p> <p>賣家或品牌主投放廣告時，Pinkoi背後的AI會自動推薦行銷目標、廣告受眾、設定預算，以周為單位優化策略，還會分析成效及下次目標。</p> <p>Pinkoi的RMN採取廣告即時競價（RTB，Real-time Bidding）方式。廣告主設定投放參數和行銷預算後可以開始競價，贏得競價，在廣告曝光後會產生廣告費用。不過，Pinkoi的RTB機制並非價高者得，而是依據產品品質、廣告內容對顧客關聯性等多種維度綜合考量──出價僅是眾多排序因素之一。</p> <p>李少昱進一步說明，採取這個廣告投放模式，是希望商家不要過度投入時間心力鑽研投放策略的細節。「與其精算出價多少才能勝過競爭對手，我們希望商家聚焦在提升商品品質及風格的呈現，對整體顧客體驗也會更好。」</p> <p>注重顧客體驗的精神，不只體現在RTB非價高者得的特性，也體現在Pinkoi的廣告版面設計上。付費的廣告內容雖然可以提高排序，但幾乎不會採取任何形式強調的設計，而是會與其他非廣告的推薦商品並列。</p> <p>不過，李少昱說，這個堅持，帶來Pinkoi經營RMN服務的最大挑戰──如何在多方利害關係人需求間，找到顧客體驗與行銷成效之間的平衡點。</p> <p>他進一步解釋，從廣告主角度來看，廣告預算的投資報酬率越高越好。但從Pinkoi角度來看，將廣告內容設計得太醒目、過於干擾顧客瀏覽網站的操作，雖然短期有機會增加轉換率，長期來說卻會降低顧客造訪商城的意願，因而打擊到所有人。</p> <p>如何拿捏，Pinkoi需要協調內部不同部門和下廣告的商家，一方面溝通使用者體驗的重要，另一方面則要找出商家及Pinkoi都可以接受的行銷手段和廣告版位設計方法。李少昱自豪的說，雖然協調過程不易，但堅持顧客體驗優先，使他們幾乎沒有聽到顧客抱怨購物流程受干擾，反而有許多人主動表示，Pinkoi廣告使他們接觸到了過往不知道，卻十分喜歡的商品及品牌。</p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E5%95%86%E5%93%81%E5%BB%A3%E5%91%8A%E7%A4%BA%E6%84%8F%E5%9C%96.png" style="width: 600px;" /></span></strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E5%93%81%E7%89%8C%E5%BB%A3%E5%91%8A%E7%A4%BA%E6%84%8F%E5%9C%96.jpg" style="width: 600px;" /></span></strong></p> <blockquote><p>Pinkoi RMN廣告形式有商品廣告、品牌廣告、推播廣告等，會出現於網站和雙平臺手機App的首頁、搜尋頁面及商品頁面。廣告商品或品牌的曝光排序通常較靠前，不過仍需視商品品質及關聯性而定，並非價高者靠前。為了保證顧客體驗不受干擾，廣告視覺設計也相當低調。</p> </blockquote> <p><strong>經營RMN的技術面基本功──開發與維運數位行銷機制</strong></p> <p>從電商跨界數位行銷，不僅需要接觸新業務面向，更要面臨新技術面課題。</p> <p>雖然Pinkoi有從頭自行開發AI模型，是專門為個人化商品推薦設計。不過，推薦只是廣告機制一環，要打造成熟可用的RMN服務，還有RTB、廣告成效追蹤、服務可用性等更多技術挑戰得克服。</p> <p>開發期間，Pinkoi投入了4成開發資源和人力，研究Facebook（現Meta）和Google兩大廣告巨頭的開發方法及投廣機制，並將這些知識結合自家AI推薦技術，才打造出自己的廣告服務。</p> <p>廣告推薦演算法是這個服務的核心技術。RMN團隊寫了一系列投廣用推薦模組，以原本推薦演算法為基礎，根據不同廣告版面的行銷目的微調其他參數，例如調整推薦商品的關聯性高低，或加強時下熱門主題相關商品的權重。</p> <p>相較於原本的商品推薦演算法，廣告推薦演算法多了一個關鍵排序要素──賣家即時競價（RTB）數據。可是，RTB系統需要在顧客進入新頁面後，才能發送廣告版面性質、顧客輸入內容等資訊到競價系統。經過賣家競價、檢查賣家行銷預算餘額等程序後，廣告推薦演算法才能開始排序廣告內容。雖然廣告推薦演算法運算複雜度較一般推薦演算法高，但為了不影響顧客體驗，Pinkoi認為必須在0.5秒內完成額外計算程序。</p> <p>RMN的維運挑戰不只即時性，還有龐大的數據請求量。Pinkoi RMN每年有74億次請求，不考慮巔峰情況，平均每秒就需處理230次請求。一次廣告請求的完整流程需要進行廣告競價和廣告內容的投放，還要紀錄廣告曝光情形、顧客互動行為等數據，作為後續廣告成效追蹤及賣家投放建議的依據。</p> <p>為了因應龐大的流量，Pinkoi採取了雲端資源用量調整機制、預處理部分所需運算，以及辨識外來異常流量等措施。</p> <p>首先，Pinkoi所有IT基礎架構都上雲，為了即時因應流量波動，他們不只使用雲端業者提供的自動擴充（Auto-scaling）功能，還自行打造了用量調整機制，可以預測流量變動，來調整雲端資源的租用量。</p> <p>再來，為了盡可能降低推薦演算法的運算壓力，他們回頭找出推薦演算法中，不須即時運算的數據，預先進行批次處理。例如，商品品質分數的變動頻率不大，改為每天一次性統一計算，而不需要每次推薦都重算。</p> <p>他們還設計了雙重異常流量辨識機制，第一層辨識機制，當造訪者流量剛進來時，會依據流量來源等常見機器人行為模式來篩選。若機器人成功騙過第一層機制，Pinkoi還會記錄造訪者在網站內的行為模式，若出現明顯不是真人消費者的舉動，例如迅速開關大量頁面或行為模式過於機械性，也會事後追認為異常流量。</p> <p>事後追認異常流量，不僅有維運面考量，也有廣告業務面考量，要確保廣告成效統計只包含有機流量數據，不會參雜爬蟲機器人、點擊機器人甚至DDoS等異常流量來源。</p> <p><strong>從被動到主動，從站內到跨站的RMN功能升級藍圖</strong></p> <p>不只一開始投入4成開發能量，Pinkoi後續還得投入IT資源來優化和開發新功能。</p> <p>李少昱坦言，他們沒有計算過RMN成本如何回收。Pinkoi經營RMN的態度，一開始就不只當成一門生意，更是提升整體電商買賣體驗的一環。不過，持續投入大量IT資源維運及開發，李少昱說，有兩大商業考量支持。</p> <p>首先是影響範圍。付費提升曝光度的行銷功能，對電商賣家獲取顧客、擴大營運規模非常重要。一開始，RMN的出現，源自賣家的要求。但現在，RMN已經成為上萬個賣家持續使用的關鍵功能。</p> <p>第二則是影響力度。Pinkoi的RMN服務一年促成3億元交易，廣告費收入占了總營收高達3成，而且也提升整體平臺的交易量，不只是將原本有意消費的顧客導向廣告商品。</p> <p>接下來，Pinkoi還要持續強化RMN行銷功能，從被動轉到主動，站內走到站外。</p> <p>RMN上線前幾年，Pinkoi只有在顧客於網站中操作，表明當下興趣時，才能投放相應廣告，行銷方法相對被動。後來，借助AI模型，從顧客過往行為數據中，分析其購物習慣及整體偏好。於是，Pinkoi RMN開始有主動行銷功能，不必等待顧客進站，可以直接根據顧客特徵推播行銷訊息到會員通知中心。</p> <p>下一步，他們要更細緻分析顧客行為數據，更快速分析出顧客處於購物旅途的哪個階段，以便在顧客操作當下，即時調整廣告投放策略。例如，如果發現顧客已經選定商品，進入購買階段，就會只投放相似性高的商品，讓顧客比價，而非探索不同商品。</p> <p>不只如此，他們還要根據RMN廣告成效數據，來打造更進階的投廣參數自動設定功能。目標是，連商品描述、名稱跟標籤等最基礎的資訊，都可以根據市場現況數據及賣家廣告成效，來自動調整。</p> <p>優化站內行銷功能同時，Pinkoi也計畫開發跨站行銷功能。李少昱說，在Pinkoi營業的賣家，大多只會再於Instagram經營社群媒體電商，較少涉及更多平臺。因此他們計畫打造跨站投放Meta廣告的功能，來提供一站式數位行銷管理。文⊙郭又華</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E8%87%AA%E5%8B%95%E8%A8%AD%E5%AE%9A%E5%8E%9F%E7%90%86-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Pinkoi.jpg" style="width: 600px;" /></p> <blockquote><p>Pinkoi的AI廣告代投功能會根據賣場數據，來推測品牌處於哪個發展階段，並以此作為廣告參數設定策略。圖片來源-Pinkoi</p> </blockquote> <p><span><span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-%E4%BB%A3%E6%8A%95%E4%BB%8B%E9%9D%A2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Pinkoi.png" style="width: 600px;" /></span></span></p> <blockquote><p>賣家只需要輸入商品基本資訊及預算，並確認AI建議的投廣參數，便能快速完成設定。未來，Pinkoi連這幾個欄位都要用AI來填入建議參數。圖片來源-Pinkoi</p> </blockquote> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> Pinkoi RMN發展大事記 </span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2015年 </span></span> </strong>內部改革數據基礎建設，整合跨通路第一方數據來源，開始打造專屬設計類AI模型，以開發個人化推薦、RMN等數據驅動的零售IT應用</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2018年 </span></span></strong> 正式開始打造RMN系統，投入了4成工程資源</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2019年 </span></span></strong> 自建AI模型開始能用上萬維度分析顧客，進行個人化推薦。RMN商品廣告服務正式上線</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2021年 </span></span> </strong>RMN品牌廣告服務正式上線。使用RMN服務的廣告主數年增長率2位數，緊接著新冠疫情最高峰，又帶來更多RMN廣告主</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2023年 </span></span> </strong>RMN分眾廣播服務正式上線，站上有近萬賣家成為廣告主，廣告收入占營收3成</p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">資料來源：iThome整理，2024年3月</span></p> <p> </p> </div></div></div>
2024/3/29 10:25作者郭又華https://www.ithome.com.tw/news/162013
旅遊平臺Booking.com如何善用DORA指標，讓軟體交付效率快了一倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日前旅遊平臺Booking.com公開了去年提高軟體交付效率的關鍵秘訣，在短短不到一年時間，讓旗下金融科技團隊的交付能力提高了近2倍的效率，等於開發戰力翻了一倍。</p> <p>Booking.com在2022年中，成立了這個金融科技部門，負責內部各種金融流程開發，因為這個團隊直接採用了公司5年前發展出來的技術架構，所提供的金融服務，在前端是一隻隻不同金融功能的單體式網頁應用，而後端服務則是Java程式，也需要串接到不少第三方金融服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/185%E6%8A%80%E8%A1%93%E6%9E%B6%E6%A7%8B%E5%9C%961.png" /></p> <p>為了改善開發生產力，他們從2023年初開始用DORA指標追蹤團隊開發效率，尤其聚焦部署頻率（DF）和變更準備時間（LTFC）。在2023年三月部署頻率每月不到20次，而變更準備時間更是長達了30小時。</p> <p>雖然這個數據已經遠比臺灣許多企業的DevOps能力好，根據我們去年CIO大調查，臺灣半數大型企業關鍵應用每月部署次數不到5次，部署時間短則一天，長則好幾天。<br /> Booking.com高層對這個團隊原有的開發效率高度不滿意，想要找出拖慢效率的瓶頸。</p> <p>分析後發現，第一個影響部署頻率不佳的瓶頸是，他們的程式碼難以理解，但是又很容易修改，工程師若不小心改錯，得花好幾周才能找出問題，如此一來，更讓工程師不願意改進。</p> <p>後來，他們參考了一條童子軍規則「要讓露營地比你來的時候更乾淨。」也就是看到有垃圾就馬上清理，來幫下一組露營的人改善環境。在去年三月開始推動許多小規模的重構和推動測試自動化，進行程式碼更新或修復問題時，也同時改善周邊的程式碼，來提高程式碼品質，並且同步要求開發團隊刻意花時間來解重構的題目，透過大量練習來提高重構技能。</p> <p>雖然逐漸改善程式碼可讀性，但因為許多小型重構計畫，去年六月發現，出現了大量合併請求，程式碼審查時間成了新的瓶頸。他們轉而一方面改採少量批次合併請求的策略，來減少每次審查時間，也要求工程師優先審查程式碼，來減少相互等待的時間，在七月逐漸解決這個問題。</p> <p>七月時，他們轉向處理拖慢部署時間的痛點，當時要進行兩次金絲雀部署和驗證，每次部署涉及許多手動作業，部署時間至少得花40分鐘，因為有些功能的金絲雀部署出錯機率幾乎是零，因此，他們決定導入自動化部署，將合併請求直接合併到主版本，直接部署到正式環境，而不用手動驗證。</p> <p>另外，還採取了一些自動化部署作為配套，像是良好的測試自動化機制、同儕程式碼審查和小變更策略，一次不做大變更而是盡量採取多次小變更策略，一但程式碼品質指標檢測沒有達標，也會自動回覆到舊版，來確保既有服務的穩定。</p> <p>金融科技部門這個新作法將部分功能的部署時間從40分鐘縮短到4分鐘，也同步提高了DORA的部署頻率和更新準備時間。八月時，部署次數甚至一度達到每月43次，整體的平均部署時間約1.3小時。</p> <p>不過，在前端的單體式應用的交付效率仍舊難解，在去年八月時，這一類應用每月部署次數只有6～8次，每次平均準備時間長達2-3天。</p> <p>Booking.com團隊決定導入微前端（Micro Frontend）開發模式，把前端單體應用，改成類似微服務的前端模組，並改用JavaScript來開發用戶端的網頁應用。在九月導入微前端開發模式之後，明顯改善了開發效率，但是他們卻發現，另一個DORA指標的數值變差了，開發準備時間反而比預期來得更長。</p> <p>Booking.com團隊回頭查看了過去一整個月的合併請求紀錄，包括提交、評論、批准、合併和部署的各種統計資料才發現新的問題。因為微前端應用的合併請求審查流程，比平常前端應用的開發更複雜，因此，開發流程上需要金融科技部門外部的內部其他專家社群來審查和批准，每次審查都得等上很久。光在外部專家程式碼批准這個階段，平均就得等待17.1個小時。</p> <p>後來，金融科技部門找來這群專家，討論初多項優化審查流程的作法，自己也避免進行大量的批次部署，盡量採取小型合併請求的方式，才將批准時間縮短到8分鐘。最後，到了去年十月，終於將這類單體式應用的變更準備時間大幅減少到14小時。</p> <p>從年初每月20次部署、每次30小時事前準備時間，到年底十一月時縮短到每月40次部署，每次平均14小時。Booking.com的金融科技團隊就是靠DORA指標的監控，找出了一個又一個的開發團隊瓶頸，逐一解決，才能在不到一年，達到交付能力翻倍的成果。</p> <p>Booking.com開發團隊主管更強調，這個做法不只提高了效率，更帶來了一種新的工作態度和方式，讓開發團隊聚焦於內部品質和嘗試，看重長期績效而非短期效益。</p> <p> </p> </div></div></div>
2024/3/29 10:38作者王宏仁https://www.ithome.com.tw/news/162028
DevOps快報第3期：Java 22來了，Go大幅強化追蹤，數位部將推出公共程式碼平臺，旅遊平臺揭露軟體交付效率翻倍…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2024/2/21～3/28 精選開發技術相關新聞</strong></p> <p><strong>兩大開發語言有重要更新，Java釋出了22版，大幅提高開發體驗和運作效能。Go語言則大幅改善了追蹤套件的效能。多款CI/CD工具有新功能或更新，包括了 JetBrains、 CircleCI。Booking.com則揭露如何用DORA指標追蹤團隊開發效率，將軟體交付效率，提高了一倍的過程。</strong></p> <h3><strong>#政府程式碼釋出 #公共程式碼<br /> <span style="color:#0000FF;">推動政府程式碼公開，數位部擬4月推出臺灣公共程式平臺</span></strong></h3> <p>政府今年將帶頭大力推動公共程式（Public Code），釋出政府程式碼。數位部預估4月左右，在GitHub上推出臺灣公共程式平臺（code.gov.tw）測試版，初步將先釋出數位部開發的官網、碳盤查工具的程式碼，未來還會與和地方政府、公務機關合作，將共用性服務的程式碼釋出，開放其他政府機關或外界使用。目前尚在籌備階段，因此計畫先推出測試版，年底再釋出完整功能。</p> <p>因為政府資訊系統大多委外，有資服業者在溝通座談會中反映，擔憂程式碼公開後，可能遭其他業者學習參考，程式碼內的缺陷也會被檢視討論。目前數位部仍與資服業者就公共程式尋找共識。</p> <h3><strong>#2038問題 #老舊Unix時序問題<br /> <span style="color:#0000FF;">小心2038問題重現Y2K災情，老舊應用擁抱現代化的另一理由</span></strong></h3> <p>今年國外不少開發社群開始重視一個老舊Unix的時間函數問題，也就是2038問題。多數Unix系統使用32位元signed整數來儲存從1970年1月1日開始的秒數，這個資料格式的最大值是2,147,483,647，也就是UTC時間2038年1月19日凌晨3點14分7秒，超過這個時間就會導致資料溢位而出錯，就像當年的Y2K事件一樣。許多老舊嵌入式設備、大型主機系統、32位元作業系統環境，32位元環境的老舊資料庫和檔案系統、網路設備等都可能出現問題。雖然離現在還有很長一段時間，但開發社群開始討論，可以趁著擁抱雲原生，推動IT現代化同時，一起解決這個老問題。</p> <h3><strong>#軟體開發安全 #白宮<br /> <span style="color:#0000FF;">白宮出面呼籲開發者，放棄C和C++改用記憶體安全程式語言</span></strong></h3> <p>白宮最近發布了一份軟體安全報告《Back to the Building Blocks: A Path Toward Secure and Measurable Software》，以呼籲科技界主動減少網路攻擊面，尤其在軟體漏洞方面，白宮認為應該主動採取措施以減少漏洞帶來的風險，許多網路安全問題都是由單行程式碼引起，白宮報告中指出，解決這些安全問題的有效方法是檢查所使用的程式語言本身。藉由分析和選擇程式語言的特性，尤其是關於記憶體安全的功能，可以減少甚至是消除不正確的記憶體使用方式，像是存取未分配的記憶體、緩衝區溢出等，所導致的錯誤和漏洞。因此，白宮表示，希望開發人員放棄C和C++改用記憶體安全程式語言，以增加軟體安全性。++</p> <h3><strong>#DevOps實戰 #DORA<br /> <span style="color:#0000FF;">旅遊平臺Booking.com如何用DORA指標讓軟體交付效率快了一倍</span></strong></h3> <p>日前旅遊平臺Booking.com公開了去年提高軟體交付效率的關鍵秘訣，為了改善開發生產力，他們從2023年初開始用DORA指標追蹤團隊開發效率，尤其聚焦部署頻率（DF）和變更準備時間（LTFC）。</p> <p>他們先推動許多小規模的重構和推動測試自動化，進行程式碼更新或修復問題時，也同時改善周邊的程式碼，來提高程式碼品質。到了六月開始解決合併請求塞車問題，一方面改採少量批次合併請求的策略，來減少每次審查時間，也要求工程師優先審查程式碼，來減少相互等待的時間。七月轉向處理拖慢部署時間的痛點，導入自動化部署，將合併請求直接合併到主版本，直接部署到正式環境，而不用手動驗證。搭配良好的測試自動化機制、同儕程式碼審查和小變更策略，一次不做大變更而是盡量採取多次小變更策略，一但程式碼品質指標檢測沒有達標，也會自動回覆到舊版。</p> <p>針對前端的單體式應用交付效率問題，則導入微前端開發模式來改善效率，但因為新開發流程需要外部專案審查，開發準備時間反而比預期來得更長。經過審查流程優化，也盡量採取小型合併請求的方式，將批准時間縮短到8分鐘。最後，到了去年十月，終於將這類單體式應用的變更準備時間大幅減少到14小時。</p> <p>從年初每月20次部署、每次30小時事前準備時間，到年底十一月時縮短到每月40次部署，每次平均不到15個小時。Booking.com的金融科技團隊就是靠DORA指標的監控，找出了一個又一個的開發團隊瓶頸，逐一解決，在不到一年，達到交付能力翻倍的成果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/185-DORA%E6%8C%87%E6%A8%99%E8%AE%8A%E5%8C%96%E5%9C%962.png" /></p> <h3><strong>#新版Java #開發體驗改善<br /> <span style="color:#0000FF;">Java 22來了，提升開發效率還強化運算效能</span></strong></h3> <p>新發表的Java 22，從語言本身、API、效能和JDK中的工具都進行了強化。Java語言更具表達力，提升開發者編寫程式碼的體驗之外，也加入多項功能改善並行程式的運作效能，而重新設計的Vector API，也讓向量運算更加高效，滿足日漸增加的向量運算需求。</p> <p>這個版本有多項開發體驗的更新，像是可用下底線字元來表示不使用的變數宣告和巢狀模式，來強化程式碼的可讀性。而建構子的前置陳述式JEP 447更新，讓開發者擁有更多表達建構子行為的自由。預覽版的字串樣板則提供了更簡潔的方式，供開發者編寫文字加上變數的字串表示，能在字串常值中直接插入表示式或是變數值，來提高可讀性，也讓編寫動態字串內容Java程式更簡單。甲骨文為了要簡化Java並行（Concurrency）程式開發，嘗試加入了結構化並行方法，目前正在孵化階段。</p> <h3><strong>#Go語言 #追蹤效能優化<br /> <span style="color:#0000FF;">Go語言大幅改善追蹤套件的效能，CPU執行開銷降至1、2％也支援持續追蹤</span></strong></h3> <p>Go開發團隊更新了執行環境的追蹤（Trace）套件，不僅大幅降低執行追蹤的CPU開銷，還透過定期分割追蹤檔控制追蹤檔案大小，進而增加了追蹤的可擴展性。此外，新的更新還支援持續追蹤功能，並提供追蹤讀取器API，使得追蹤資料更容易共享與存取。舊版Go，對許多應用程式執行追蹤功能時會產生10-20％ CPU執行開銷，而侷限了用途。Go開發團隊透過最佳化回溯效率，將CPU開銷大幅降低至1、2％，讓開發者可以頻繁地使用追蹤來監控和診斷應用程式，且不會對效能產生太大的影響。Go追蹤現在也支援持續追蹤紀錄（Flight Recording），可讓程式一直保持在追蹤狀態，紀錄近期發生的事，</p> <h3><strong>#CI/CD流程 #開發流程最佳化<br /> <span style="color:#0000FF;">JetBrains發布新CI/CD工具TeamCity Pipelines，新增多項智慧化機制能大幅簡化流程建置</span></strong></h3> <p>JetBrains推出新的CI/CD工具TeamCity Pipelines，提供了建置CI/CD流程需要的所有工具，盡可能減少切換程式的狀況。也採取了直覺式介面和智慧配置輔助功能，可以大幅簡化測試工作。智慧配置輔助功能可引導用戶完成流程配置，並且提出改進建議，像是可以自動偵測特定的建置工具，另外，若採用智慧測試平行化選項，可使執行速度提高達75％。TeamCity Pipelines能夠動態最佳化工作流程，也會在每次測試工作完成後提供報告，並自動辨識測試專案所採用的語言與框架。能跨多次工作追蹤測試結果，讓開發者簡單地比較測試變化。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3-2-JetBrains.png" /></p> <h3><strong>#部署自動化 #金絲雀部署<br /> <span style="color:#0000FF;">CircleCI推出推出自動化調度部署功能，新增金絲雀部署支援</span></strong></h3> <p>CI/CD平臺CircleCI強化發布調度能力推出CircleCI Release，在網頁介面就可簡單地配置發布調度程序。同時，CircleCI Release也支援Argo Rollouts，提供自動化漸進式交付程序，使開發人員可以更全面地控制應用程式發布，目前CircleCI Release已經支援金絲雀部署策略，並會在之後版本支援藍綠部署。CircleCI Release可讓開發團隊快速交付，並監控生產環境中的新部署，當部署出現問題時，還可自動快速回退到之前的版本。這項發布功能同時支援Kubernetes Deployments和Argo Rollouts，CircleCI可與Kubernetes叢集整合，讓開發者在CircleCI網頁版應用上，來檢視和控制發布流程。</p> <h3><strong>#開發元件智慧化 #.NET應用<br /> <span style="color:#0000FF;">微軟釋出實驗性.NET UI智慧元件，提供3種整合AI的新UI元件</span></strong></h3> <p>微軟正在實驗新的.NET UI智慧元件，要以更簡單的方法，在現有軟體添加人工智慧功能，開發者不需要了解AI或熟悉提示工程也能用。開發者可以直接將.NET UI智慧元件加入到使用者介面中，目前有三項功能，分別是智慧貼上、智慧文字輸入區域（TextArea）和智慧下拉選單（ComboBox）。智慧貼上元件，可以將使用者複製的一段長文，用NLP解析出不同元素，再個別帶入到表單上的不同欄位，例如從地址中自動解析出街名、巷弄、樓層來自動填寫表單，方便用戶可從外部來源添加資料，又不需要重新輸入。而智慧文字輸入區域，則加入了文字段落自動完成，能依據上半句，自動補完下半句話。微軟提到，.NET UI智慧元件還只是一項實驗功能<img alt="" src="https://s4.itho.me/sites/default/files/images/3-4-_NET%E6%99%BA%E6%85%A7UI%E5%85%83%E4%BB%B6.png" />。</p> <h3><strong>#程式碼評估 #Copilot助手<br /> <span style="color:#0000FF;">微軟.NET程式碼評估工具整合了GitHub Copilot，能引導解決Azure搬遷的可能問題</span></strong></h3> <p>最近微軟更新了.NET程式碼的Azure搬遷評估工具（Azure Migrate Application and Code Assessment），新整了GitHub Copilot，能夠比對不同Azure環境，提供更多開發自訂的靈活性等，來協助開發者找出和解決搬遷Azure可能遭遇的問題，更順利地在雲端平臺重新部署應用程式。開發者在Visual Studio安裝這項工具的擴充套件後，在報告儀表板中便會看到Copilot Chat的按鈕，點擊之後Copilot會閱讀專案報告，總結出重要問題，開發者便可就想解決的問題與Copilot深入討論。報告中的所有問題也會提供Ask Copilot按鈕，微軟提到，Ask Copilot功能會將開發者的描述，還有觸發問題的程式碼片段共享給Copilot Chat，根據具體程式碼和問題提供建議，來提供更準確的指引。開發者必須謹慎考慮提交的內容，避免提及不想提供給Copilot Chat的程式碼和敏感資訊。</p> <h3><strong>#開發者QA平臺 #Gemini<br /> <span style="color:#0000FF;">開發者愛用的Stack Overflow將整合Google雲、讓Gemini開發人員存取知識庫</span></strong></h3> <p>開發人員QA平臺Stack Overflow與Google Cloud宣布合作，讓Gemini模型可以存取Stack Overflow的開發知識庫，或提供開發建議。透過Stack Overflow新開發的OverflowAPI存取其知識庫，在開發人員呼叫Gemini時提供開發建議、程式碼及回答問題。在Google Cloud控制臺上也能直接存取Stack Overflow，包括詢問問題或獲得Stack Overflow社群其他成員的解答，在管理或開發Google雲端應用及基礎架構時，不用跳離執行介面。 Stack Overflow計畫還將用AI開發平臺Vertex工具來改善社群互動和內容出版流程。預計於4月中公開預覽，在今年上半年正式啟用。</p> <h3><strong>#整合企業內部程式碼 #企業版Copilot<br /> <span style="color:#0000FF;">GitHub企業版Copilot來了，可整合企業內部程式碼與知識庫</span></strong></h3> <p>最近GitHub推出了企業版Copilot（Copilot Enterprise），每位用戶每月的訂閱價格為39美元。這項服務可以針對組織特定需求的開發體驗，包括可以深入理解程式碼庫、存取組織的知識和最佳實踐，以及審查拉取請求。<br /> 例如可以提供清楚的程式碼摘要、相關建議以及回應程式碼行為，有效提升程式碼編寫和理解的效率。也能生成拉取請求摘要，使開發人員花更少的時間編寫，並且更專注於合併拉取請求工作本身，Copilot Enterprise也會分析拉取請求的差異，讓審查者可以更快速地理解程式碼變更。目前是Beta測試版本，已經整合了Bing搜尋功能，因此用戶也可以獲得最新的網際網路資訊。</p> <h3><strong>#程式碼自動掃描 #自動修補警告議題<br /> <span style="color:#0000FF;">GitHub釋出程式碼掃描自動修復，自動修補9成警告</span></strong></h3> <p>所有GitHub Advanced Security用戶開始可以使用程式碼掃描自動修復功能（Code Scanning Autofix）預覽版，借助GitHub Copilot和靜態掃描程式碼工具CodeQL的支援，可以掃描程式碼的問題後自動修復，在背景中利用CodeQL引擎，以及一系列啟發式演算法，並結合GitHub Copilot API來生成程式碼建議。目前支援JavaScript、TypeScript、Java和Python程式碼中90％的警告或問題。此外還提供程式碼建議，可以在幾乎不需要編輯程式碼的情況下，修復超過三分之二發現的漏洞。官方預告，接下來程式碼掃描自動修復功能也會涵蓋C#和Go的程式碼。</p> <h3><strong>#偵測密碼和金鑰 #推送保護<br /> <span style="color:#0000FF;">GitHub預設啟用推送保護，自動檢查推出程式碼中的密碼和金鑰避免意外洩漏</span></strong></h3> <p>最近GitHub對所有用戶預設開啟了推送保護（Push Protection）功能，協助開源開發者保護其密碼與金鑰等機密資訊。系統會自動檢查開發者推送到GitHub中的程式碼，一旦發現包含諸如密碼和API金鑰等敏感資訊，GitHub會阻擋推送操作並通知開發者，避免潛在的安全問題。用戶可以從提交中刪除該機密，或是選擇跳過阻擋直接提交。用戶也可以從安全設定中停用推送保護</p> <p><strong>更多新聞</strong></p> <ul> <li>高效協作程式碼編輯器Zed開源並推出協作服務，開發者分享連結就能開始共同編寫程式碼</li> <li>微軟推適用於VS Code的Microsoft Entra External ID擴充套件</li> <li>5月釋出的Grafana 11將移除AngularJS支援，儀表板將不載入未更新套件</li> <li>Wasmer推出Rust網頁伺服器WinterJS 1.0，相容於Cloudflare的JavaScript執行環境</li> </ul> <p>@資料來源：iThome整理，2024年3月<br /> @圖片來源：Booking.com、微軟、甲骨文</p> <p><strong>責任編輯：王宏仁</strong></p> </div></div></div>
2024/3/29 11:12作者王宏仁https://www.ithome.com.tw/news/162029
Google改變心意，讓Pixel 8也能執行Gemini Nano
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在眾多用戶抗議下，Google本周宣布，Google Gemini Nano AI模型將透過今年下次功能更新，得以在中階的Pixel 8上執行，而不只有最高階的Pixel 8 Pro。</p> <p>Gemini Nano是Google去年12月公布Gemini AI模型之一，是最小型、可在消費者裝置包括手機上執行的模型。官方宣布，Gemini Nano可以執行在旗艦手機，如三星<a href="https://www.ithome.com.tw/news/160904" target="_blank">Galaxy S24</a>及Google Pixel 8 Pro。<a href="https://9to5google.com/2024/03/07/pixel-8-gemini-nano/" target="_blank">但是本月初Google說</a>，基於某些硬體限制，因此Gemini Nano不會提供給Pixel 8。這個消息引發媒體及用戶反彈，認為二款Pixel手機同樣都是用Tensor G3晶片組，沒有道理Pixel 8無法跑Gemini Nano。</p> <p>Google似乎聽到用戶心聲，<a href="https://shows.acast.com/made-by-google-podcast/episodes/6602fa6073a3a40017353c91" target="_blank">本周Google產品部門透過podcast宣布</a>，Pixel 8會在下次功能更新Feature Drop中獲得Gemini Nano開發者預覽版，目前公司還在測試中。這裝置上執行的AI模型可支援錄音工具Recorder的Summarize（重點摘錄）及Gboard鍵盤智慧回覆（Smart Reply）功能，前者可錄寫聲音、條列重點，後者可產生「高品質」的回覆內容。在Pixel 8 Pro，Gemini Nano還可另外支援WhatsApp、Line、KakaoTalk等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-gemini%20nano-pixel%208-Summarize%20in%20Recorder-2.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-gemini%20nano-pixel%208-Smart%20Reply%20in%20Gboard.jpg" style="width: 600px;" /></p> <p>不過下次的Pixel Feature Drop要等到6月下旬才會釋出。</p> <p><a href="https://9to5google.com/2024/03/28/pixel-8-gemini-nano-feature-drop/" target="_blank">9to5Google報導</a>，Pixel 8及8 Pro主要差別在Pixel 8 RAM為8GB，小於Pro的12GB，較小的RAM執行AI可能會影響效能。可能Google已找出方法能以較小記憶體執行LLM而不影響使用應用程式體驗。Galaxy S24的RAM也是8GB。</p> <p>不過Google不是第一支可跑Gemini Nano的中階手機。<a href="https://www.ithome.com.tw/news/161464" target="_blank">2月聯發科宣布</a>，二款新晶片組將支援Gemini Nano，包括中階的Mediatek Dimensity 8300。目前使用這款晶片組的有中國手機POCO X6 Pro。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/3/29 10:12作者林妍溱https://www.ithome.com.tw/news/162026
微軟Azure OpenAI與Fabric皆整合Neo4j圖資料庫，強化資料分析與AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://neo4j.com/blog/neo4j-microsoft-collaboration/">Neo4j與微軟合作</a>，在Azure OpenAI服務與Fabric分析平臺原生整合Neo4j圖資料庫功能，用戶將可組合結構化與非結構化資料，發現資料中隱藏的模式，並用於強化生成式人工智慧應用程式。</p> <p>Azure OpenAI與Neo4j的整合，在架構上可以分為知識的擷取與使用。在資料擷取上，由Azure OpenAI處理非結構化資料，並將這些資料儲存到圖資料庫中，用戶便可以使用Neo4j的查詢工具，來擷取有用的分析結果。</p> <p>來源資料仍可留存在Fabric、Azure Blob儲存或是其他位置，微軟表示，使用生成式人工智慧進行自動擷取，能夠降低圖資料庫的進入門檻，並可從資料連結中獲得更多有用的分析資訊。而在知識的使用上，用戶同樣可透過Azure OpenAI服務以自然語言查詢，即便沒有圖資料庫專業的用戶，也能夠簡單地操作。</p> <p>微軟的GraphRAG應用程式，與Neo4j的生成式人工智慧、Azure OpenAI緊密整合，用戶可以使用GraphRAG強化上下文理解和可解釋性，藉由使用企業資料的知識圖，動態強化查詢，提供清晰易於理解的結果。GraphRAG是一種使用圖結構強化大型語言模型的方法，可改善模型對查詢的理解和回應品質。</p> <p>Neo4j支援原生向量嵌入，開發人員可以使用OpenAI嵌入API建立嵌入，並將其儲存在Neo4j資料庫中，支援大型語言模型獲取長期記憶能力。</p> <p>另外，Neo4j也與統一資料分析平臺Fabric的整合，擴展企業探索、分析資料的能力。Fabric組合一系列資料工具集，與Neo4j搭配可強化資料探索與分析的能力。</p> <p>在Fabric資料湖倉中，資料通常儲存在檔案或是SQL Server資料表的行和列中，微軟提到，這樣的形式無法擷取資料集中複雜的關係，而Neo4j圖資料庫的特性，則是將資料表示為節點和關係，以直觀的方式視覺化資料，有助於供用戶搜尋資料集中的關係，發現資料中隱藏的模式。</p> </div></div></div>
2024/3/28 18:48作者李建興https://www.ithome.com.tw/news/162024
【資安日報】3月28日，殭屍網路TheMoon挾持4萬臺SOHO路由器、物聯網裝置供網路罪犯藏匿蹤跡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定路由器、物聯網裝置等小型辦公室（SOHO）及家用網路設備發動攻擊，控制後將其組成殭屍網路，已有多起攻擊行動出現，但大多還是針對有受到支援的設備而來，如今有駭客專門針對已不再受到廠商支援的設備下手，暗中從事攻擊行動長達10年，直到最近才被發現。</p> <p>值得留意的是，這些駭客挾持設備後，專門提供網路罪犯代理伺服器服務，甚至有其他殭屍網路的經營者也是他們的客戶。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.lumen.com/the-darkside-of-themoon/"><strong style="font-size: 22px;">殭屍網路TheMoon攻佔廠商不再提供支援的網路設備，短短72小時綁架逾6千臺華碩路由器</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/moon-2-image.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/moon-2-image.jpg" style="width: 300px; float: right;" /></a>資安業者Lumen揭露從2014年開始營運的殭屍網路TheMoon，其規模在今年2月擴及88個國家、4萬個殭屍網路機器人。而這個殭屍網路的形成，主要是挾持生命週期終止（EOL）的家用及小型辦公室（SOHO）路由器、物聯網設備，駭客將其用於提供網路犯罪用途的代理伺服器服務（研究人員將其稱為Faceless），根據研究人員的追蹤，該服務每週增加近7千名新用戶，而且，SolarMarker和IcedID等殭屍網路的經營者也採用TheMoon的服務。</p> <p>值得留意的是，在3月的第一週，研究人員看到對方在72小時內，攻擊超過6千臺華碩路由器。對此他們認為，駭客專門針對這些設備的原因，在於製造商不再提供產品更新與安全性支援，使得已知漏洞持續曝露，甚至使用者可能早就遺忘或遺棄這些設備。</p> <p><a href="https://blog.sucuri.net/2024/03/sign1-malware-analysis-campaign-history-indicators-of-compromise.html"><strong style="font-size: 22px;">惡意軟體Sign1鎖定WordPress網站而來，逾3.9萬個網站受害</strong></a></p> <p></p> <p>資安業者Sucuri揭露鎖定WordPress網站的惡意軟體Sign1攻擊行動，有超過3.9萬個網站遭到感染。對於這起攻擊行動的發現，他們看到自己客戶的網站遭到暴力破解攻擊而被入侵，一旦攻擊者取得存取權限，就會濫用WordPress自訂HTML小工具，或是部署名為Simple Custom CSS and JS的外掛程式，從而注入惡意JavaScript程式碼。</p> <p>研究人員分析Sign1的程式碼，發現對方每10分鐘就更換一次URL，使得瀏覽受害網站的用戶不斷被導向惡意網站，但這些網域都是在攻擊之前才註冊，而不會遭到封鎖。</p> <p>特別的是，Sign1在執行前會針對使用者的來源進行檢查，只對來自Google、臉書、Instagram、雅虎存取受害網站的用戶發動攻擊，並對瀏覽器產生專用的cookie，從而將使用者導向詐騙網站，並引誘他們啟用網站通知。</p> <p><a href="http://checkmarx.com/blog/over-170k-users-affected-by-attack-using-fake-python-infrastructure/"><strong style="font-size: 22px;">大型Discord機器人社群遭受供應鏈攻擊</strong></a></p> <p></p> <p>擁有17萬用戶的大型Discord機器人社群Top.gg傳出遭到供應鏈攻擊，攻擊者運用多種手法，包含挾持GitHub帳號、散布惡意Python套件、使用假造的Python基礎設施，並透過社交工程手法進行。</p> <p>駭客先是打造惡意開源工具來引誘開發者上當，並散布由冒牌Python基礎設施代管的相依性套件，將其與GitHub熱門專案連結，並挾持具有較高貢獻度的GitHub帳號，其中一個就是Top.gg的維護者editor-syntax，攻擊者藉由他的帳號提交惡意程式碼，從而導致其他開發人員的電腦有可能被植入惡意版本的Python套件。此外，對方也濫用該名維護者的帳號，對惡意GitHub帳號給予星等評價。</p> <p><a href="https://unit42.paloaltonetworks.com/chinese-apts-target-asean-entities/"><strong style="font-size: 22px;">中國駭客組織攻擊東南亞國家聯盟成員及附屬組織</strong></a></p> <p></p> <p>資安業者Palo Alto Networks揭露近日中國駭客組織針對東南亞國家聯盟（ASEAN）的攻擊行動，其中一起是針對緬甸、菲律賓、日本、新加坡而來，源於別名為Mustang Panda、Earth Preta的駭客組織Stately Taurus，他們假借ASEAN與澳洲舉辦的特別會議為由，在3月4日至5日散布惡意軟體。</p> <p>另一起行動則是入侵ASEAN附屬組織，攻擊者身分不明，並對於柬埔寨、寮國、新加坡的政府機關發動攻擊，根據對方活動的時間，研究人員推測攻擊者來自中國。</p> <p><strong style="font-size: 22px;">英國、芬蘭、紐西蘭、澳洲指控中國政府指使駭客組織攻擊民主國家政府單位</strong></p> <p></p> <p>繼<a href="https://www.ithome.com.tw/news/161948">美國對中國駭客組織APT31、與之有關的公司武漢曉睿智科技（Wuhan XRZ）祭出制裁，並對7名成員提告</a>，後續有更多國家出面，指控遭到與中國國家安全部（MSS）有關的APT駭客攻擊。</p> <p><a href="https://www.gov.uk/government/news/uk-holds-china-state-affiliated-organisations-and-individuals-responsible-for-malicious-cyber-activity">英國國家網路安全中心表示</a>，選舉委員會的系統疑似在2021至2022年遭中國駭客破壞，APT31亦在2021年企圖對議員出手但並未得逞。對此，他們將對APT31、武漢曉睿智科技、2名成員進行制裁。</p> <p>芬蘭警方則是<a href="https://poliisi.fi/en/-/investigation-into-hacking-of-parliament-s-information-systems-has-been-ongoing">對於國家調查局3年前揭露的事故提出指控</a>，這起事故針對議會的資訊系統而來，駭客於2020年秋季至2021年初從事網路間諜行動，攻擊者身分就是APT31，他們鎖定其中1名嫌犯。</p> <p>紐西蘭政府通訊安全局（GCSB）指出，2021年議會的法律顧問辦公室、服務部遭到入侵，<a href="https://www.beehive.govt.nz/release/parliamentary-network-breached-prc">經調查攻擊者的身分是中國駭客組織APT40</a>。</p> <p><a href="https://www.foreignminister.gov.au/minister/penny-wong/media-release/cyber-targeting-uk-democratic-institutions">澳洲也對中國駭客的攻擊行動公開譴責</a>，並強調該國的選務系統並未受到英國事故波及；但<a href="https://www.afr.com/technology/leaked-documents-reveal-australia-targeted-by-chinese-hackers-20240325-p5ff4h">當地媒體Australian Financial Review根據中國資安業者安洵信息（i-Soon）外流的資料指出</a>，澳洲也遭到中國政府鎖定。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://chromereleases.googleblog.com/2024/03/stable-channel-update-for-desktop_26.html"><strong style="font-size: 22px;">Google修補Pwn2Own揭露的Chrome零時差漏洞</strong></a></p> <p></p> <p>3月26日Google發布123.0.6312.86、123.0.6312.87版Chrome，總共修補7個漏洞，其中兩個是漏洞挖掘競賽Pwn2Own Vancouver 2024發現的零時差漏洞，而引起關注。</p> <p>其中一個是記憶體釋放後濫用（UAF）漏洞CVE-2024-2886，此弱點出現於WebCodecs元件，為高風險層級；另一個是類型混淆漏洞CVE-2024-2887，此弱點出現於WebAssembly元件，同樣也被列為高風險層級。</p> <div> <p><a href="https://www.securityweek.com/apple-patches-code-execution-vulnerability-in-ios-macos/"><strong style="font-size: 22px;">蘋果發布iOS 17.4.1、macOS Sonoma 14.4.1，修補AV1影音解碼器漏洞</strong></a></p> <p></p> <p>蘋果近日發布iOS 17.4.1及16.7.7、iPadOS 17.4.1及16.7.7、visionOS 1.1.1、macOS Sonoma 14.4.1、macOS Ventura 13.6.6，以及Safari 17.4.1，當中修補CVE-2024-1580，此為AV1影音解碼器dav1d的整數溢位漏洞，一旦觸發有可能導致記憶體中斷，從而在處理圖片的過程被用於執行任意程式碼，CVSS風險評為5.9。</p> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://moda.gov.tw/press/press-releases/11872"><span style="font-size: 20px;">數位部澄清政府短網址服務、111簡訊未遭到破解</span></a></strong></p> <p><a href="https://www.netcraft.com/blog/darcula-smishing-attacks-target-usps-and-global-postal-services/"><strong style="font-size: 20px;">iPhone用戶遭到網釣攻擊套件Darcula鎖定，藉由iMessage散布釣魚簡訊</strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-ray-framework-flaw-to-breach-servers-hijack-resources/"><strong style="font-size: 20px;">人工智慧框架Ray漏洞遭到鎖定，攻擊者挾持運算能力挖礦、竊取機敏資料</strong></a></p> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/security-brief-ta450-uses-embedded-links-pdf-attachments-latest-campaign"><strong><span style="font-size: 20px;">伊朗駭客組織MuddyWater透過遠端管理工具Atera控制受害電腦</span></strong></a></p> <p><a href="https://blog.eclecticiq.com/operation-flightnight-indian-government-entities-and-energy-sector-targeted-by-cyber-espionage-campaign"><strong><span style="font-size: 20px;">駭客佯裝印度空軍做為幌子，對國防及能源單位散布惡意程式</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162004"><strong>【3月27日】AiTM網釣攻擊工具包Tycoon 2FA針對微軟365、Google用戶而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161956"><strong>【3月26日】Google搜尋提供的AI建議竟列出詐騙網站和惡意網站</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161940"><strong>【3月25日】俄羅斯駭客APT29鎖定德國政黨散布惡意程式WineLoader</strong></a></p> </div></div></div>
2024/3/28 16:28作者周峻佑https://www.ithome.com.tw/news/162015
Claude 3 Opus模型於Chatbot Arena上擊敗GPT-4 Turbo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在這幾天，專門盲測大型語言模型（LLM）能力的<a href="https://huggingface.co/spaces/lmsys/chatbot-arena-leaderboard" target="_blank">LMSYS Chatbot Arena排行榜</a>出現了變化，由Anthropic所打造的Claude 3 Opus模型擠下了OpenAI的GPT-4，成為該排行榜上等級最高的LLM。</p> <p>LMSYS Chatbot Arena是由研究組織<a href="https://lmsys.org/blog/2023-05-03-arena/" target="_blank">Large Model Systems Organization在去年5月所發表</a>，為一採用Elo評分系統的平臺，Elo評分系統可用來計算參與者的相對技能，最初是為了改善西洋棋的評分系統而設計，之後則被應用在足球、棒球、籃球、桌球、各種棋盤遊戲，以及最近的大型語言模型；而LMSYS Chatbot Arena則是個開放且眾包的盲測排行榜，支援75種大型語言模型，使用者可於網頁上輸入各種提示，以查看兩個隨機選擇的模型所提供的答案，系統並未揭露生成答案的模型，並由使用者評斷答案的優劣，亦可選擇平手或兩個答案都不好。</p> <p>自LMSYS Chatbot Arena排行榜於去年5月上線以來，評分最高的大型語言模型一直是GPT，但Claude 3 Opus在本周擠下了GPT--4-1106-preview（去年11月釋出的GPT-4 Turbo）與GPT-4-0125-preview（今年1月釋出的GPT-4 Turbo）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-LMSYS%20Chatbot%20Arena.png" style="width: 600px;" /></p> <p><a href="https://www.ithome.com.tw/news/161610" target="_blank">Anthropic是在今年3月發表Claude 3系</a>列的模型家族，涵蓋最低階的Claude 3 Haiku、中階的Claude 3 Sonnet，以及最強大的Claude 3 Opus，除了Claude 3 Opus位居LMSYS Chatbot Arena排行榜冠軍之外，中階的Sonnet與低階的Haiku也都在前十名的榜單上。</p> <p>由曾擔任OpenAI研究副總裁的Dario Amodei，以及其妹妹、同樣身為OpenAI資深員工的Daniela Amodei在2021年共同創立的Anthropic，被視為是OpenAI目前最強勁的對手，鎖定資料科學、機器學習與AI的內容網站<a href="https://www.kdnuggets.com/getting-started-with-claude-3-opus-that-just-destroyed-gpt-4-and-gemini" target="_blank">KDnuggets認為</a>，Anthropic所發表的Claude 3在所有LLM基準測試中都優於GPT-4和Gemini Ultra，已是AI領域新的領導者。</p> <p><a href="https://www.reddit.com/r/ChatGPTPro/comments/1b9czf8/gpt4t_vs_claude_3_opus/" target="_blank">在Reddit平臺有關GPT-4 Turbo與Claude 3 Opus的討論中</a>，多數人贊成Claude 3 Opus的寫作與處理文章的能力勝過GPT-4 Turbo，有人說GPT-4 Turbo對複雜問題的處理能力優於Claude 3 Opus，亦有人覺得Claude 3 Opus所生成的程式碼品質與GPT-4 Turbo相當，但更人性化。</p> </div></div></div>
2024/3/28 17:44作者陳曉莉https://www.ithome.com.tw/news/162023
Amazon已完成投資Anthropic 40億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/company-news/amazon-anthropic-ai-investment" target="_blank">網路巨擘Amazon本周宣布</a>，已完成對AI新創業者Anthropic的40億美元投資，成為該公司創投最高金額紀錄。</p> <p>去年9月Amazon宣布挹注Anthropic 40億美元的計畫，當時僅先投入了12.5億。本周Amazon再補齊剩下的27.5億，完成了對這家新創公司的投資。</p> <p>在這項合作下，Anthropic將成為Amazon Web Services（AWS）的客戶及研發合作夥伴。首先，Anthropic將以AWS為關鍵負載，包括安全研究和未來基礎模型開發的主要供應商。Anthropic將使用AWS Trainium及Inferentia晶片來打造、訓練和部署未來的模型，並且部署在Amazon Bedrock AI平臺上提供AWS客戶使用基礎模型及相關功能，包括檢索增強生成（retrieval augmented generation）、護欄、模型評估與AI助理等，以協助開發生成式AI應用。</p> <p>Amazon將取得這家公司的少數所有權（minority ownership），但不會取得Anthropic董事會席位。</p> <p>本月稍早<a href="https://www.aboutamazon.com/news/aws/amazon-bedrock-anthropic-ai-claude-3" target="_blank">Amazon Bedrock已開始提供</a>Anthropic最新大型語言模型（LLM）Claude 3系列，號稱回應能力具人類等級、準確性和可控性都更好。其中最大型的Claude 3 Opus在推理、數學及編程能力已超越OpenAI的GPT-4。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-amazon%20bedrock%20claude%203.png" style="width: 600px;" /></p> <p>Amazon公布已經有多家企業及開發商在Bedrock上以Claude AI模型開發自家應用，包括達美航空、西門子、理光（Ricoh）美國分公司、網路代管業者Go Daddy、輝瑞藥廠、電話客服中心廠商Genesys、Dana-Farber Cancer Institute治療研究機構、基因研究業者Genomics England及職業高爾夫協會PGA等。</p> <p>如同OpenAI或其他AI新創，Anthropic已成為當紅吸鈔機。<a href="https://www.cnbc.com/2023/12/21/openai-rival-anthropic-in-talks-to-raise-750-million-funding-round.html" target="_blank">CNBC報導</a>，去年底Anthropic在幾輪募資中市值已經來到184億美元，是去年初的4.5倍。Google也投注了20億美元。</p> </div></div></div>
2024/3/28 16:48作者林妍溱https://www.ithome.com.tw/news/162016
Databricks開源通用大型語言模型DBRX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料暨AI業者Databricks周三（3/27）開源了通用大型語言模型（LLM）DBRX，<a href="https://www.databricks.com/company/newsroom/press-releases/databricks-launches-dbrx-new-standard-efficient-open-source-models" target="_blank">宣稱DBRX在各式標準的基準測試上</a>超越了坊間所有的開源模型，也在大多數的基準測試上擊敗GPT 3.5。</p> <p>DBRX是個基於Transformer解碼器的大型語言模型，採用細粒度的混合專家（Mixture of Experts，MoE）架構，具備1,320億個參數，當中有360億個經常處於活動狀態，於12T Token的文字與程式碼資料上進行預訓練。</p> <p>相較於市場上既有的LLaMA2-70B、Mixtral和Grok-1等開源模型，DBRX在語言理解（MMLU）、程式設計（HumanEval）及數學邏輯（GSM8K）等基準測試上的表現明顯勝出。此外，DBRX在上述3項基準測試中亦凌駕OpenAI的GPT 3.5。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-databricks-dbrx-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-databricks-dbrx-600-2.png" style="width: 600px;" /></p> <p>若比較更高階的GPT 4、Claude 3及Gemini 1.0 Pro，那麼DBRX在語言理解上贏過Gemini 1.0 Pro，在程式設計上贏過GPT 4與Gemini 1.0 Pro。</p> <p>Databricks亦強調，DBRX是個採用<a href="https://arxiv.org/abs/2211.15841" target="_blank">MegaBlocks研究</a>與開源專案的混合專家（MoE）模型，得以實現快速的Token處理能力，也相信未來將有更多的開源模型採用MoE架構，因為MoE可用來訓練更大的模型，並以更快的吞吐量來提供服務。</p> <p>Databricks生成式AI副總裁Naveen Rao 向<a href="https://techcrunch.com/2024/03/27/databricks-spent-10m-on-a-generative-ai-model-that-still-cant-beat-gpt-4/" target="_blank">《TechCrunch》</a>透露，該公司花了兩個月及1,000萬美元的成本來訓練DBRX，而經過訓練的DBRX可提供各種主題，現已針對英文進行優化，但也支援法文、西班牙文與德文。</p> <p>不過，《TechCrunch》也指出，一般人並不容易使用DBRX，因為要執行DBRX至少必須配備4個Nvidia H100 GPU或其它GPU，且光一個H100的成本就高達數萬美元，對許多開發者或個人企業家而言是遙不可及的。</p> </div></div></div>
2024/3/28 17:13作者陳曉莉https://www.ithome.com.tw/news/162017
Google報告指去年第三方元件零時差漏洞攻擊增加，鎖定企業軟硬體創新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/safety-security/a-review-of-zero-day-in-the-wild-exploits-in-2023/" target="_blank">Google公布最新漏洞研究報告</a>，顯示第三方元件如函式庫的漏洞攻擊愈來愈多，而針對企業資安軟、硬體的零時差漏洞攻擊創下新高。</p> <p>這份報告是整合Google威脅研究事業群與旗下資安部門Mandiant 2023年零時差漏洞的研究而成，包含針對消費者平臺（如行動裝置、OS、瀏覽器等）和企業產品（如安全軟體和裝置等）爆發的零時差漏洞攻擊。綜觀2023年，Google一共觀測到97項零時差漏洞，比2022年（62項）高50%，但低於2021年的106項，該年也是零時差漏洞史上最多。</p> <p>以平臺而言，2023年Windows以17項被攻擊的零時差漏洞最多，其次是Safari的11項。iOS和Android各有9項，Chrome有8項。除了Chrome比2022年減少1項，macOS、Firefox去年全身而退外，其他都增加了4到8項。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-google%20zeroday-1(1).png" style="width: 600px;" /></p> <p>這份報告歸納去年研究有5大趨勢。首先，平臺廠商強化安全防護，有助於抑制安全攻擊。包括Google 2022年<a href="https://security.googleblog.com/2022/09/use-after-freedom-miracleptr.html" target="_blank">推出MiraclePtr</a>來防範Chrome的使用已釋放記憶體（use-after-free）漏洞。<a href="https://www.ithome.com.tw/news/151816" target="_blank">蘋果也為iOS加入</a>鎖定（Lockdown）模式防範間諜軟體。</p> <p>其次，第三方軟體的零時差漏洞攻擊大增，第三方元件和函式庫成為主要攻擊表面，因為這些漏洞影響不只一種產品，例如Chrome漏洞CVE-2023-4863（名為the WebP 0day）和蘋果Apple ImageIO漏洞CVE-2023-41064其實是同一個，源自WebPimage函式庫，該漏洞也影響Android和Firefox。影響VP8/VP9 libvpx函式庫的CVE-2023-5217，則同時影響Chrome、Firefox、iOS和Android。</p> <p>第三，瞄準企業產品的攻擊持續增加，目標也更多樣化。雖然2023年零時差漏洞總數不是最高，但針對企業產品的卻是歷年新高，由2021年的25項增加為36項，整體占比由11.8%增長為37.1%。研究人員指出，去年零時差漏洞鎖定少數資安軟硬體，包括Barracuda郵件匣道、思科Adaptive Security Appliance、Ivanti端點管理員及趨勢科技Apex One，但另一方面，過去較少被攻擊的產品如Ivanti及North Grid去年也都出現了3項零時差漏洞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-google%20zeroday-2.png" style="width: 600px;" /></p> <p>在58項零時差漏洞的攻擊來源方面，去年商業監控業者和國家駭客是最主要的零時差漏洞推手，各占4成（14項漏洞）。商業監控業者（commercial surveillance vendor，CSV）是專門販售間諜軟體的業者。去年Google及Android裝置中的17項零時差漏洞攻擊，13項攻擊（75%）和CSV出售的間諜軟體有關，論及所有瀏覽器和行動裝置，和CVS有關則的超過60%。來自中國政府支持的駭客零時差漏洞攻擊，去年有12項漏洞，仍居各國之冠。最後，以金錢為目的的零時差漏洞較前一年減少，僅占17.2%。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/3/28 15:53作者林妍溱https://www.ithome.com.tw/news/162014
導入英特爾NetSec加速卡參考設計，神準跨入SmartNIC
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shen_zhun_sx904_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年2月底舉行的世界行動通訊大會期間，英特爾宣布多項消息，像是：將推出代號為Granite Rapids-D的Xeon處理器，採用高效能核心P-Core、內建AI加速功能Intel AVX for vRAN；展示代號Sierra Forest的下一代Xeon處理器，可提供288顆運算核心，用於5G核心網路系統；發表模組化開放軟體平臺Intel Edge Platform，支援邊緣及AI解決方案建置管理；以及提供具有AI PC特色的商用電腦平臺vPro，搭配內建Arc GPU的Intel Core Ultra處理器。</p> <p>若單就我們長期追蹤的SmartNIC與IPU／DPU解決方案而言，英特爾這次特別標榜神準科技（Senao Networks）推出的新產品SX904。根據過往的觀察，基於英特爾平臺而成的這類加速卡或卸載卡，在市面上較常看到的品牌是以色列廠商Silicom，臺灣廠商有立端（Lanner），英業達也曾推出FPGA IPU C5020X，旗下有多種網路設備的神準科技，是最近開始跨足SmartNIC領域，他們之所以能夠推出這類產品，主要是因為採用英特爾發展的NetSec加速卡參考設計（NetSec Accelerator Reference Design）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Show%20Senao%20SX904-2024-02.jpg" style="width: 600px;" /></p> <p>SX904搭配哪些硬體元件？採用Ice Lake微架構的英特爾Xeon-D處理器、具有編碼錯誤更正機制（ECC）的DDR4記憶體、網路控制器Intel Ethernet Controller E810與2個SFP28接頭的25GbE網路埠，以及PCIe 4.0介面，神準強調，基於上述配置，他們的SmartNIC可提供更高的運算效能，運用AVX-512、AES-NI、QuickAssist、SGX等加速處理與資料機密保護技術，並搭配基板管理控制器（BMC）、信賴平臺模組（TPM），獲得遠端管理、韌體安全強化功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel NetSec Accelerator Reference Design-2023-2024.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20NetSec%20Accelerator%20Reference%20Design-2023-2024.jpg" style="width: 600px;" /></a></p> <p>回顧Intel NetSec Accelerator參考設計的公開發表，其實是在2022年6月舉行的RSA大會，英特爾希望藉此改善網路與資安處理效能，縮小這類解決方案供應商的基礎架構配置，他們初期提供的設計是協助廠商快速組建產品，透過PCIe介面卡的形式，提供英特爾長期發展的QuickAssist加速技術（QAT），以及具有資源調度指揮與管理機制的完整伺服器功能，可幫忙主系統處理IPsec、SSL/TLS加解密，以及網路防火牆、SASE安全存取、資料分析等類型的工作負載。而在軟硬體合作夥伴與生態系統的號召上，<a href="https://networkbuilders.intel.com/university/webcasts/f5-solutions-running-on-the-intel-netsec-accelerator-reference-design">Silicom與F5</a>是第一波運用這個參考設計的廠商，提供網路與資安功能的整合與加速，促成快速擴展執行規模與縮短上市時間。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SASE Architecture enabled by Intel NetSec Accelerator Reference Design-2024-02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SASE%20Architecture%20enabled%20by%20Intel%20NetSec%20Accelerator%20Reference%20Design-2024-02.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nginx-Intel NetSec1-2022.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nginx-Intel%20NetSec1-2022.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Nginx-Intel NetSec2-2022.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nginx-Intel%20NetSec2-2022.png" style="width: 298px;" /></a></p> <p>而關於硬體元件的配備，起初採用的系統運算核心是英特爾Atom處理器，並且結合網路控制器Intel Ethernet Network Adapter E810、網路交換器、設置於板卡的DDR4記憶體，以及透過系統單晶片架構封裝而成的硬體加速器（包含QAT），藉此縮短封包資料傳遞路徑、提供低延遲的網路連線能力，並兼具降低設備成本、伺服器機箱空間、耗電量等效益。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel NetSec Accelerator Reference Design-2022-2023.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20NetSec%20Accelerator%20Reference%20Design-2022-2023.jpg" style="width: 600px;" /></a></p> <p>到了2023年第四季，英特爾在Intel Network Builders合作廠商生態系統，揭露這項參考設計的後續進展，並且也在網站公布細部硬體規格。他們明確列出兩種配置，共通點是搭配Intel Ethernet Network Adapter E810網路控制器。</p> <p>其中一種是前面提到的，處理器採用8核心或16核心的Atom，分別是Atom P5721、Atom P5742，它們均為Snow Ridge微架構，內建AESNI、QAT，此種參考設計已經開始量產，由Silicom供應。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NetSec Accelerator Reference Design overview-2023-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetSec%20Accelerator%20Reference%20Design%20overview-2023-11.jpg" style="width: 600px;" /></a></p> <p>另一種是搭配4核心、8核心或10核心Xeon-D處理器，分別是Xeon D-1713NT、Xeon D-1733NT、D-1743NTE，它們均採用Ice Lake微架構，內建AESNI、QAT，也有AVX-512、SGX，神準提供的SmartNIC屬於這種類型，將於今年第2季開始供應這種參考設計。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20NetSec-offering-2024-02.jpg" style="width: 600px;" /></p> <p>而在實際應用案例的部分，英特爾此時公布有多家資安廠商導入，像是：<a href="https://nonamesecurity.com/press/noname-security-joins-intel-network-builders/">API安全廠商Noname Security</a>在他們的感測器系統搭配Intel NetSec Accelerator參考設計，而能將網路與資安工作處理卸載至這個加速器，提升API反應速度，針對低延遲的使用情境，提供近乎即時的機器學習效能，實現網路邊緣的API安全防護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NoName-Intel NetSec-2023-Q4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/NoName-Intel%20NetSec-2023-Q4.png" style="width: 600px;" /></a></p> <p><a href="https://redpiranha.net/news/red-piranha-collaboration-intel-releases-new-single-vendor-sase">XDR與SASE廠商Red Piranha</a>是另一個例子，他們推出的Single Vendor SASE，包含內建1GB記憶體的Intel NetSec Accelerator參考設計，而用於資安掃描的網路吞吐量可達到2.4 Gbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Red Piranha-NetSec-2023-Q4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red%20Piranha-NetSec-2023-Q4.png" style="width: 198px;" /></a><a href="https://s4.itho.me/sites/default/files/images/Red Piranha-NetSec-2023-Q4-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red%20Piranha-NetSec-2023-Q4-2.jpg" style="width: 398px;" /></a></p> <p><a href="https://versa-networks.com/news/2023/versa-networks-to-showcase-sase-on-smart-nic-functionality-at-intel-innovation-2023/">SASE廠商Versa Networks</a>也利用這個參考設計，發展出Versa Secure SD-NIC產品，當中執行支援多租戶、提供多種服務的雲端原生軟體堆疊Versa Operating System（VOS），可用來延伸該公司的Secure SD-WAN與Secure SD-LAN架構，展示SASE on a Smart NIC的應用方式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Versa SD-NIC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Versa%20SD-NIC.jpg" style="width: 600px;" /></a></p> <p><a href="https://arrcus.com/blog/arrcus-edge-networking-solutions-on-intel-netsec-accelerator-reference-design/">多雲網路解決方案廠商Arrcus</a>將此技術運用於虛擬路由器ArcEdge，能以容器、虛擬機器或裸機型態的軟體系統，執行在相容於Intel NetSec Accelerator參考設計的板卡上，已提供同質的應用程式連線，串接代管機房、邊緣運算環境至公有雲、企業內部資料中心之間，可協助電信業者、代管機房業者能夠發展出多個網路切片，而能同時滿足用戶對於高頻寬與低延遲的服務等級協議（SLA）要求，以及這些廠商保留實體空間、增進整體能源使用效率的要求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ArcEdge on NetSec Accelerator-2023-Q4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ArcEdge%20on%20NetSec%20Accelerator-2023-Q4.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-10-Hypothetical-ArcEdge-Colocation-Host-Architecture-on-Intel-NetSec-Accelerator-Reference-Design.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-Hypothetical-ArcEdge-Colocation-Host-Architecture-on-Intel-NetSec-Accelerator-Reference-Design.jpg" style="width: 298px;" /></a></p> <p><a href="https://www.adtran.com/en/newsroom/press-releases/20231114-adtran-integrates-intel-netsec-accelerator-reference-design-with-ensemble-cloudlet">分散式網路與電信通訊廠商Adtran</a>，宣布他們的Ensemble Cloudlet軟體多節點解決方案，整合Intel NetSec Accelerator參考設計，強化邊緣端的雲端服務部署，提供強化的安全性、更快的資料處理能力，並且改善網路效能，而基於這樣的參考設計，可用於彈性部署加密加速與運算卸載的機制，能針對服務供應商與企業在網路邊緣與內部網路設置的模組化雲端基礎架構，帶來成本效益與高效率的做法。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Adtran Ensemble Cloudlet and management platform-2023-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Adtran%20Ensemble%20Cloudlet%20and%20management%20platform-2023-11.jpg" style="width: 600px;" /></a></p> <p>根據在英特爾公布的相關技術運作架構，也特別標示出Ensemble Cloudlet執行在Supermicro的2U3節點伺服器SYS-211SE-31D，而且當中會搭配NetSec加速卡，例如，搭配Atom處理器的Silicom P425G2SNx IAONIC SmartNIC，以及搭配Xeon-D處理器的神準SX904。而這套解決方案組合，也正是最前面我們提到英特爾MWC 2024大會期間所展示的產品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Show Senao and Silicom-2024-02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Show%20Senao%20and%20Silicom-2024-02.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Senao Networks SX904</strong><br /> ●原廠：神準科技<br /> ●建議售價：廠商未提供<br /> ●外形：全高、3/4長介面卡<br /> ●處理器：Xeon D-1713NT（4核心、45瓦熱設計功耗）、Xeon D-1733NT（8核心、53瓦熱設計功耗）、Xeon D-1747NTE（10核心、80瓦熱設計功耗）<br /> ●記憶體：DDR4-2933、雙通道存取，最大32 GB<br /> ●I/O介面：PCIe 4.0 x8<br /> ●網路介面：2個SFP28埠（可支援25 GbE）<br /> ●遠端系統管理元件：信驊科技AST1060（Intel PFR）、信驊科技AST2600（Open BMC/BIOS）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/28 12:51作者李宗翰https://www.ithome.com.tw/review/161958
關鍵民生系統將支援跨境公雲，大幅提升大型災禍的應變韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「現行公務機關的異地備援、備份機制，當發生小規模災難，如機房失火可靠其他資料中心支援，但若遇到大規模災難或是人禍，連30公里外的資料中心也無法運作，要怎麼辦？」，數位發展部數位政府司長王誠明一語點出公務機關現有備援、備份機制不足之處。</p> <p>當發生地震等重大災害或因為戰爭進入緊急狀態，就像一堂臨時的隨堂考試，考驗政府服務的韌性準備是否足夠，為穩定社會秩序，政府應該維持社會的基本運作，並達到安撫民眾的效果。</p> <p>目前公務機關依據資安規定，依照機關的資安等級，針對營運持續運作訂定營運持續計畫，並進行演練，在公務機關的主機房建立本地備援、備份之外，在30公里以外的地點建置異地備援、備份中心，考慮到主要機房如果遭受災害、人為破壞或機房設備故障，可由另一地的備援中心接手，以維持系統運作提供服務，並保存資料。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>機關在境內建立備援機制，難以應付大規模災害或人禍</strong></span></span></p> <p>然而，這套公務機關運作多年、熟練的異地備援、備份架構，主要因應系統故障或颱風、地震、水災、火災等小規模災害為主，公務機關多基於資料機敏性及安全性考量，主、異地備援資料中心建置在境內。</p> <p>近幾年隨著全球極端氣候、大型災害頻傳，加上國際情勢丕變，例如2022年東加大地震，同年爆發俄烏戰爭，2023年中東地區以哈戰爭，兩岸關係也日趨緊張，大規模災害如地震、海嘯，或是戰爭等緊急狀態威脅增加，機房等關鍵資訊基礎設施遭到破壞，如果境內的主、異地備援資料中心無法運作，關鍵民生系統停擺，服務就可能面臨癱瘓。</p> <p>另一個問題是，公務機關大多依賴外部廠商協助開發、維運，一旦發生災害或緊急狀態，城市、交通要道毀損，外部廠商難以支援的情形下，公務機關必需自行操作維運，但由於平時過度仰賴廠商，公務機關人員缺乏自主的能力。</p> <p>另外，機關過去的演練偏向系統發生異常或單一設備故障，主、備中心切換，當發生緊急狀態，缺乏從公有雲操作備援、備份的能力。</p> <p>鑑於國際上借助公有雲提升災害及戰時政府韌性的案例，當境內的資料中心因災禍遭到破壞，讓境外公有雲即時救援，緊急提供關鍵民生基本服務，提高政府緊急應變能力，在境外公有雲備份保存資料。行政院在去年11月通過數位發展部規畫的「數位韌性-行政部門關鍵民生系統韌性方案」（以下簡稱韌性方案），該方案為4年計畫，投入13.4億元，聯合7個部會，共18個關鍵民生系統。</p> <p>選定的系統包括內政部的戶政與役政系統、土地登記與地用系統、土地複丈與地價系統，內政部移民署的入出國查驗系統、移民管理系統，財政部的國稅、地稅系統，衛福部健保署的健保承保系統、醫療系統，交通部公路局的車籍與駕籍系統、運輸業管理系統，經濟部的公司與工廠管理系統、商工資料查詢服務、重要物資及固定設施調查系統，勞動部的勞保系統，還有數位部的全球資訊網站、公務系統、雲端T-Road。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>讓跨境公有雲扮演境外緊急備援、備份中心</strong></span></span></p> <p>為了提高關鍵民生系統的韌性，該方案有2大作法，第1個是打造核心功能上雲，第2個是資料雲端備份。</p> <p>打造核心功能系統上雲方面，由公務機關盤點關鍵民生系統在災害或緊急狀態需要的基本功能服務，利用雲原生架構開發輕量化的核心功能系統，部署至跨境公有雲，當災害或緊急狀態下境內資料中心遭破壞，緊急由境外公有雲的核心功能系統備援，維持政府基本服務運作。</p> <p>資料雲端備份，透過境外公有雲保存資料，不同的是，資料並非直接儲存在雲端備份，必需經過加密分持備份後，在跨境公有雲備份，在事後重建系統、還原資料。公務機關演練雲、地系統切換，資料雲端備份還原。</p> <p>韌性方案借助境外公有雲資源，當公務機關在境內的資料中心都無法運作時，可由跨境公有雲扮演境外緊急備援、備份資料中心角色，相較於過去公務機關在境內建置的主、異地備援中心，仍有固定的地理位置，而跨境公有雲由於在境外且沒有固定位置，使用雲端服務也有相當大的彈性。</p> <p>王誠明表示，韌性方案的目的是在大規模災害或緊急狀態下，當境內資料中心無法運作，甚至緊急狀態持續半年或一年，透過雲端保存資料、核心功能系統，考慮到在緊急狀態下，網路傳輸資源受限，無法將整個關鍵民生系統移到雲端，因此開發輕量化的核心功能系統上雲，滿足社會的基本運作需求。當天災人禍結束後，公務機關自己具備能力，不需依賴廠商，能容易重建系統、回復資料。</p> <p>換言之，過去公務機務仰賴境內的資料中心維持關鍵民生系統及服務，一旦遇到大規模強震、颱風或戰爭導致資料中心毀損，關鍵民生服務停擺，政府在動員、資源調度上也會受到影響；而透過境外公有雲建立境外緊急備援、備份機制，即使境內資料中心毀損，仍可透過境外公雲、有限的通訊網路，維繫基本的民生服務，同時讓政府掌握資源應變。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>加速政府機關擁抱公有雲</strong></span></span></p> <p>過去政府機關對採用公有雲態度比較保守，一方面因為資訊系統多年發展下來，架構老舊且龐雜，如果要改寫，往往牽一髮動全身，需要投入大筆經費，且耗費不少時間，缺乏經費來調整系統架構。另外，公務機關資料如果涉及敏感性資料，放到雲端恐有資料外洩的疑慮，並且受到外界的質疑。</p> <p>隨著雲端服務成熟，各種工具、應用豐富多元，計價收費也更為細緻化，企業採用雲端服務已相當普遍，政府機關也看好雲端服務帶來節省支出、資源彈性運用優勢，國發會在2020年推動「雲世代雲端基礎建設計畫」(推動期從2021年到2025年)，和農委會(現為農業部)、內政部、財政部、經濟部、文化部等7個部會合作，規畫29項政府為民服務上雲，例如內政部的TGOS地理資訊圖資雲服務、財政部的消費通路雲端發展微服務、稅務好幫手、海關e申報等對民服務逐漸移到公有雲。</p> <p>雲世代雲端基礎建設計畫規畫上雲的服務，以面向民眾服務優先、不具機敏性資料，可善用雲端服務的可用性及資源彈性擴充，因應服務使用的離尖峰需求彈性擴充、縮減資源，節省機關的支出。</p> <p>這次關鍵民生系統韌性方案的推動，是以災害或緊急應變的服務韌性角度出發，以經費補助7個部會的公務機關，以勞健保、戶役政、國稅、地稅等大型民生關鍵系統為對象，利用雲原生架構開發全新的核心功能系統，部署於境外公有雲，同時也以資料加密分持備份上雲。</p> <p>在政府強化關鍵民生系統韌性上，關鍵在於透過跨境公有雲扮演緊急救援的角色，其重要性不言而喻，將公有雲正式納入公務機關的重要民生系統營運持續規畫中，讓公務機務加速擁抱公有雲。</p> <p>財政部財政資訊主任張文熙表示，政府機關對採用公有雲保守的原因，包括考量安全因素及經費，首先，雲端和在地系統投入的安全投資不同，需要重新建置規畫，其次，改寫現有系統需要投入大筆經費，韌性方案補助經費，讓機關開發關鍵系統的核心功能系統上雲，讓公務機關更有意願將公有雲納入選項。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>地端系統也會朝微服務、容器化發展</strong></span></span></p> <p>由於財政部稅務系統因為使用已超過10年，也面臨汰換階段，財政資訊中心考慮採用新方法汰換系統，也重新思考系統韌性，未來將評估哪些功能或服務可被切分，優先以雲原生架構開發，利用雲原生架構的彈性，來滿足服務使用離尖峰需求。</p> <p>因政府機關過去熟悉的是地端系統架構，對雲原生架構開發、雲端管理相當缺乏，衛福部健保署副署長龐一鳴更是直言，對雲有想像、有期待，但內部專業能力不足，韌性方案除了提供類似沙盒環境驗證新作法，也提供很好的機會練兵。</p> <p>健保署也計畫未來逐漸調整現有系統架構，從單體式系統轉為微服務架構，以利用微服務的彈性、容易水平擴充、易於部署等特性，來提升系統的可用度及穩定度。</p> <p>關鍵民生系統韌性方案，透過公有雲加強民生系統對大規模災害的韌性，公務機關也藉此機會培養資訊團隊熟悉雲原生架構相關開發技術，不只是為了韌性方案開發核心功能系統上雲，也為未來地端系統汰換作準備，逐步朝向更具彈性、易擴充、部署的彈性架構發展。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>機敏資料備份至境外公雲引疑慮</strong></span></span></p> <p>過去政府服務上雲以非機敏性資料為主，此次韌性方案在資料備份上，可能對擁有大量敏感資料的公務機關帶來衝擊，過去政府機關不敢貿然讓服務上雲，其中一項考量便是資料安全，因此先前政府服務上雲，以非機敏資料的應用服務為主。</p> <p>不過，韌性方案基於緊急狀態下保存所有資料，這項資料備份作法並沒有區分機敏性或非機敏性資料，規定公務機關平時除了原有的資料備份之外，還需以資料加密分持備份到3個跨境公有雲，挑動機關的機敏資料保護的敏感神經。</p> <p>韌性方案規畫資料備份到跨境公有雲，例如勞健保、戶役政、地政、稅務等資料送到境外公有雲，雖然數位部事先檢視國內相關資安法規，並沒有規定政府機關資料不得上雲或在境外儲存，並且以資料加密分持備份降低資料外洩風險，即將資料加密後切分為3個部分，分別備份到3個跨境公有雲，單一公有雲的備份資料外洩，難以還原為完整資料。</p> <p>雖然如此，還有是有公務機關擔心資料即使加密分持備份到不同的境外公有雲，但是只要取得任意2份資料，加上量子電腦破解加密技術，還是可能導致資料外洩風險，鑑於韌性方案並沒有對跨境公有雲提出嚴格的建議，部分機關尋求解決之道，認為可將資料分持備份到具有跨境能力的境內公有雲。</p> <p><a href="https://www.ithome.com.tw/article/162009" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/28 11:50作者蘇文彬https://www.ithome.com.tw/news/162000
【關鍵民生系統韌性大升級｜機關推動方向：內政部資訊服務司】結合資料雲端備份及演練強化戶役政與地政服務韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="margin-left:-.1pt;">戶籍、地籍與民眾生活習習相關，以戶政為例，民眾使用戶政服務背後的戶役政資訊系統，戶政單位使用全國性的集中式管理資訊系統，這個全國性的大型管理系統，包含12,900餘萬支程式，高達1,100餘萬行程式碼，涵蓋60餘個資料庫。</p> <p style="margin-left:-.1pt;">而在地政系統方面，目前全國110個地政事務所使用的地政整合資訊系統，資料庫、土地登記、複丈及地價系統，為22個縣市的分散式管理資訊系統。</p> <p style="margin-left:-.1pt;">由於戶役政系統為重要的對民服務，內政部資訊服務司針對該系統，建立2地、3備援（備份）機制，以提升系統的可用性，強化服務的數位韌性；至於地政整合資訊系統則採分散式架構，存放在各直轄市、縣市地政局或地政處，內政部並針對地籍相關資料庫作地端的異地備援、備份機制。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>今年先驗證資料雲端備份機制</strong></span></span></p> <p style="margin-left:-.1pt;">在政府推動關鍵民生系統韌性方案中，戶役政系統、地政系統均被納入18個關鍵民生系統韌性方案，內政部資訊服務司成為韌性方案的合作機關之一，韌性方案分為兩大部分，建立資料加密分持雲端備份，以及開發核心功能系統上雲。</p> <p style="margin-left:-.1pt;">以地政系統為例，資訊服務司今年開始規畫提升地政系統的數位韌性，先計畫建立雲端備份機制，考量到在大型災禍的緊急狀態之下，公務機關委外廠商可能無法正常支援，因此需由機關人員自行操作備份，需建立簡易資料備份功能。</p> <p style="margin-left:-.1pt;">因地政資料分散在各縣市，他們先將各縣市地政局或地政處定期彙整各地地政事務所，地政系統使用的應用程式、地籍資料庫備份檔先經過壓縮後，再以資料加密分持備份，按照韌性方案要求，將備份資料畫分為3個部份，分別備份於3個境外公有雲。</p> <p style="margin-left:-.1pt;">今年先驗證及建立雲端備份機制後，預計在年底進行地政整合系統的雲端系統功能及資料切換演練，包括定期訓練內部人員操作資料分持備份還原，讓機關人員不僅可以自行操作資料加密分持備份，在緊急狀態結束後，也能自雲端取得備份資料操作還原資料。</p> <p style="margin-left:-.1pt;">而在核心功能系統方面，內政部將在2025年底之前，以雲原生架構開發土地登記、複丈及地價系統的核心功能系統，這套輕量化的核心功能系統目的為部署至跨境公有雲，在天災人禍的緊急狀態期間，確保仍能透過境外公有雲提供地政系統的基本服務，不致因為境內資料備援、備份失效而服務癱瘓。</p> <p style="margin-left:-.1pt;">針對全國集中管理的戶役政資訊系統，在資料備份方面，今年進行資料加密分持雲端備份的POC概念驗證，核心功能系統上雲方面，則需盤點核心功能的重要性，在緊急狀態下哪些功能服務需要維持；2025年開發戶役政核心功能系統，並依前一年資料加密分持備份的POC驗證經驗，開發系統緊急備份分持同步到公有雲的功能。</p> <p style="margin-left:-.1pt;">內政部規畫在2026年完成雲原生架構核心功能系統開發，並開始進行測試運作，同時也完成系統緊急備份、分持同步至公有雲系統功能。2027年開始培訓人員操作資料加密分持備份，以及核心功能模組維運及優化。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>傾向採用境內公雲解決資安疑慮</strong></span></span></p> <p style="margin-left:-.1pt;">依韌性方案的建議，採用跨境公有雲提升系統韌性，內政部資訊服務司司長黃國裕表示，未來如何選擇公有雲，基本上會由數位部評估，但是基於保護民眾資料的立場，考量資料備份至境外雲可能有資安疑慮，已向韌性方案的推動部會數位發展部反映，希望能採用具備跨境能力的境內雲，當境內發生緊急狀態，可透過雲交換到境外，國內已有業者具備跨境的能力。</p> <p style="margin-left:-.1pt;">雖然按照韌性方案的規畫，將資料加密分持為3份資料，只有取得2份才可能還原回復資料，但黃國裕表示，取得2份資料不會困難，儘管備份的資料經過加密，但量子電腦的出現容易破解加密。另外，現階段資料加密分持備份規畫採用AES256，加密處理速度需要較長時間，難以將全部的資料備份到雲端，不足以應付複雜的數位戶政業務需求，可能只能挑選部分的資料加密分持備份至雲端。</p> <p style="margin-left:-.1pt;">內政部配合韌性方案，將以容器化的微服務技術開發核心功能系統上雲，在此之前，過去國發會推動雲世代雲端基礎建設，內政部資訊服務司也將TGOS平臺移至公有雲，不論雲世代雲端基礎建設或是此次韌性方案，加速政府擁抱公有雲、雲原生技術，「未來的彈性化及多元服務發展是必然的」，黃國裕說。</p> <p style="margin-left:-.1pt;"><a href="https://www.ithome.com.tw/article/162009" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/28 11:51作者蘇文彬https://www.ithome.com.tw/news/161997
【關鍵民生系統韌性大升級｜機關推動方向：交通部公路局】強化公路監理核心系統韌性供政府緊急調度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="margin-left:-.1pt;">當大型災禍發生的緊急事態期間，政府救災、應變需要掌握交通相關的專業人員及設備，以方便調度可用資源，交通運輸監理成為緊急事態期間必要服務，因此負責全國交通監理的交通部公路局也參與關鍵民生系統韌性方案，公路局負責的第3代公路監理資訊系統(簡稱M3)底下的車籍與駕籍管理系統、運輸業管理系統，被選入關鍵民生系統韌性方案。</p> <p style="margin-left:-.1pt;">公路監理資訊系統，掌理全國的駕駛人、車輛，還有技工，此外，還有一些特殊機械動力的資料管理，因此在緊急期間資源調度運用上，其重要性不亞於以自然人為主體的戶役政系統，或是以法人為主的公司、工商資訊系統。</p> <p style="margin-left:-.1pt;">由於M3系統對全國交通監理的重要性，公路局原本採用高可用性的設計，甚至因應分布各地的監理所，部分監理所可能位於偏遠地區，就近服務當地的民眾，容易受到災害或意外中斷當地對外的固定網路通訊，公路局也與行動電信業者合作，以無線通訊網路4G VPN支援偏遠地區監理所的通訊。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>緊急狀態下滿足政府調度資源為優先</strong></span></span></p> <p style="margin-left:-.1pt;">交通部公路局資訊室主任陳文嘉表示，除了臺北的機房，在中部也設有異地備援機房，公路局每年執行備援演練，演練除了和地方的監理所合作之外，也和外部合作單位，例如繳費的超商合作演練。雖然北部與中部分別建立主要、異地備援資料中心，但如果未來發生大規模災害，主要及異地備援資料中心無法運作，通過此次韌性方案，可透過資料備份的3個跨境公有雲，取得任意2朵雲的備份資料，就能回復資料，「如此可以確保資料的安全，在災後復原階段，從公有雲取得備份資料，就能迅速復原」，他說。</p> <p style="margin-left:-.1pt;">在緊急事態期間，政府需要緊急調度可用資源，運輸物資可能需要的功能服務，公路局計畫開發全新架構的微型核心系統，並部署於跨境公有雲，當發生緊急事態期間，國內備援及備份機房無法運作，透過跨境公有雲的小型核心功能系統，供政府掌握擁有專業技術的駕駛人、專業車種，或是聯繫客運及貨運業者，調度車輛及駕駛協助運送物資。</p> <p style="margin-left:-.1pt;">評估在緊急事態期間，平時監理系統的違規、收稅費重要性降低，以緊急情況下應變的功能服務為優先。在盤點系統時，將資料分為機敏性、非機敏性資料，機敏性資料指姓名、身分證字號等可辨識個人身分的資料，非機敏性資料例如車輛類別、車型、規格、定檢日期等等。</p> <p style="margin-left:-.1pt;">機敏性資料加密分持後，上傳到境外公雲冷備份儲存，存取備份資料需身分驗證，依韌性方案建議，將資料切分3塊後，分別備份到3個境外公雲，每年至少4次上傳到3個境外公雲；至於非機敏性資料，同樣加密處理，因為資料量較大，計畫採用大容量可攜儲存設備，每年至少1次備份到3個境外公雲。</p> <p style="margin-left:-.1pt;">陳文嘉表示，每年至少會做1次資料備份還原演練，提高公路監理系統的數位韌性，同時考量在緊急狀態下，外部廠商難以支援，會透過教育訓練讓局內人員具備自主操作能力。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>地端系統也會朝微服務、雲原生架構發展</strong></span></span></p> <p style="margin-left:-.1pt;">不同於資料加密分持備份採用3朵境外公雲，微型核心功能系統上雲部分，公路局考量資料同步的頻率較高，且若直接部署境外公雲，傳輸成本較高，初步規畫將微型核心功能系統部署於境內公有雲，但具備移到境外公有雲的能力，公路局評估，微型的核心功能系統部署在境內公雲，好處是能提供較好的本地支援服務，每年切換演練也有較好的可操作性。</p> <p style="margin-left:-.1pt;">公路局規畫針對車籍、駕籍管理系統、運輸業管理系統，先盤點哪些是緊急情況下重要的功能，抽離輕量化為獨立的模組，以在災害人禍等緊急狀態下，可在雲端運作，或是配合政府動員調度資源。公路局預計2026年完成核心功能系統開發。</p> <p style="margin-left:-.1pt;">未來採用公有雲服務，公路局還要評估雲端服務的持有成本，因為過去自建系統，採購相關軟硬體，可達到哪些功能，比較明確，而雲端服務切分瑣碎，每種功能服務收費再按規格、流量有不同計費，雲端服務持有成本還需要經過評估。</p> <p style="margin-left:-.1pt;">與許多公務機關相同，公路局過去較少接觸雲原生架構，因此他們希望從這次韌性方案開始，公路局以雲原生架構技術開發微型核心功能系統，另外，現有的第3代公路監理系統已使用超過10年，正規畫汰換主、備援中心的設備，更新資料庫及資料移轉，也會將複雜的第3代公路監理系統拆分，將適合的服務以雲原生及微服務試作開發。以外界較常使用的監理服務網為例，規畫在2025年上半年部署至雲端。</p> <p style="margin-left:-.1pt;">儘管現有的第3代公路監理系統中，較大的系統難以容器化，但公路局認為雲原生仍是未來發展趨勢，公務機關仍採用傳統三層式的私有雲架構，面臨許多資安議題，若採用容器化、雲原生架構，就能將資安議題限縮為個別容器的問題，公路局相信容器化會是趨勢，相信未來公務機關朝這個方向規畫系統。</p> <p style="margin-left:-.1pt;"><a href="https://www.ithome.com.tw/article/162009" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/28 11:51作者蘇文彬https://www.ithome.com.tw/news/161999
【關鍵民生系統韌性大升級｜機關推動方向：衛福部健保署】透過韌性方案練兵培養上雲技術力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="margin-left:-.1pt;">對民眾而言，生病或受傷就醫是相當基本的民生需求，因為就醫需求不分白天或黑夜，後端資訊系統也需要24小時全天候服務，為確保服務不致因為設備故障或災害而導致服務停擺，掌管健保及醫療系統的健保署建立備援機制，在兩地建置機房進行異地備援，健保的承保系統、醫療系統分別部署於兩個機房，採熱備援方式，系統也以多臺伺服器作負載平衡，並且每年定期切換演練。資料備份策略上，每天執行本地端應用系統及資料備份，並將備份資料同步到異地端，每年執行還原演練。</p> <p style="margin-left:-.1pt;">然而，這套備援、備份計畫是按傳統異地備援的方式來設計，如果發生大規模災害及特殊的緊急狀態，造成兩地的機房毀損，當境內既有建立的備援、備份機制相繼失效，就需仰賴境外系統維繫基本服務運作，衛福部健保署的健保系統、醫療系統列入18項關鍵民生系統，政府希望透過跨境公有雲強化服務韌性。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>韌性方案提供練兵機會</strong></span></span></p> <p style="margin-left:-.1pt;">衛福部健保署副署長龐一鳴表示，健保署行之有年的備援及備份機制已相當熟練，然而此次關鍵民生系統韌性方案，以境外公有雲提供韌性支援，核心功能上雲、資料加密分持備份、還原演練等，「這些目前還是概念層，沒有實作無法知道它的可行性，代價有多大，透過參與韌性方案，如同在沙盒環境驗證」。</p> <p style="margin-left:-.1pt;">健保署過去缺乏雲原生開發和雲端部署的經驗，龐一鳴直言，雲端服務相當成熟，雲端、混合雲已漸漸成為趨勢，但健保署內部的基層同仁沒有接受完整的雲端課程，缺乏相關的訓練認證，缺乏練兵的機會。「我們對雲有想像、有期待，但內部專業能力不夠，韌性方案提供一個很好的機會來練兵」，他說。</p> <p style="margin-left:-.1pt;">龐一鳴表示，雲服務最基本的資料備份還原，以及健保署本身的資料量龐大，切分後備份到3個跨境公有雲，備份還原過程會不會遺失資料，甚至是未來朝混合雲發展，對雲服務有很多想像空間，但是都需要驗證。</p> <p style="margin-left:-.1pt;">舉例來說，韌性方案規畫的資料加密分持備份至跨境公有雲，健保署不曾採用，去年曾測試資料加密分持備份，由於健保資料龐大，健保署預估，資料加密分持備份時，需要原本資料量的1.5倍額外空間，如僅依賴網路傳輸龐大資料，在全天候全速傳輸之下，約需要接近一個月時間才能將資料送至雲端，在預算的容許下，每個月一次將資料備份上雲，這意謂著未來回復資料的時間差至少1個月。如果以重大災害後，重建回復完整資料為目標，要將健保署的完整資料進行加密分持備份，則需要更大的儲存空間。</p> <p style="margin-left:-.1pt;">相較於以雲原生架構開發核心功能上雲，因雲端化技術成熟，挑戰相對較小，健保署更大的挑戰是資料加密分持備份，需要考慮資料大小、完整性、時間性及範圍、網路傳輸、運算處理、儲存空間、費用等等。</p> <p style="margin-left:-.1pt;">至於健保署規畫哪些核心功能上雲，龐一鳴指出，未來在緊急狀態如戰爭期間，依健保法規定，健保不用於支付戰時的醫療費用，健保署的角色偏重在緊急狀態結束之後復原階段，確保資料保存及回復，韌性方案正好提供很好的機會，進行技術上的概念驗證。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>審慎評估適合的跨境公有雲</strong></span></span></p> <p style="margin-left:-.1pt;">當發生大規模災害或是突發的緊急狀態，境內兩地資料中心失效，跨境公有雲擔負起重要的核心系統備援及資料保存角色，在政府強化數位韌性中扮演關鍵角色，健保署已經訂出了境外公有雲的評估重點，包括功能需求、效能可靠性、安全性、成本、地理位置、支援和服務等等。</p> <p style="margin-left:-.1pt;">在功能需求部分，考量境外公有雲提供運算、儲存、資料庫、機器學習等服務或工具；效能可靠性方面，例如雲服務的效能、可用性、故障恢復能力等；安全性部分，考量資料加密、身分驗證、存取控制；成本方面，比較不同公有雲平臺的定價及費用結構，由於韌性方案為4年的中期計畫，目的為協助各公務機關驗證並建立跨境公有雲備援及備份機制，在韌性方案結束之後，各機關仍需租用雲端服務，需編列經常門經費，必須考慮長期的成本效益，健保署希望未來行政院編列經常門費用支持。</p> <p style="margin-left:-.1pt;">地理位置方面，健保署指出，考量跨境公有雲的資料中心地理位置，綜合需要的性能及合規性判斷；支援及服務方面，韌性方案雖然規畫為境外公有雲，但考量到技術支援、培訓及顧問服務，如同前面提到，健保署缺乏雲端服務及工具的基礎，必要之時能獲得協助，雖然為境外公有雲，但必需能提供本地的支援服務。</p> <p style="margin-left:-.1pt;">配合韌性方案的推動，未來4年健保署規畫以雲原生架構，以模組化、輕量化功能開發雲端版的核心系統，在災害或緊急狀態下，仍能以雲端提供核心系統的基本服務。</p> <p style="margin-left:-.1pt;">至於地端的系統，健保署未來規畫會從單體式系統，轉為以微服務架構，利用微服務具備的彈性、容易水平擴充、易於部署等特性，來提升系統的可用度及穩定度。</p> <p>健保署的應用系統目前均建構在私有雲，未來逐步調整為混合雲架構，以提升系統營運的韌性。</p> <p><a href="https://www.ithome.com.tw/article/162009" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/28 11:51作者蘇文彬https://www.ithome.com.tw/news/161963
【關鍵民生系統韌性大升級｜機關推動方向：財政部財政資訊中心】先具備技術力為跨境公雲部署作好準備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="margin-left:-.1pt;">當國內發生大規模災害或緊急狀態時，維繫政府服務的基本運作是此次政府關鍵民生系統韌性方案的目標，其中稅收關係到國家的財政收入，也與民生習習相關，財政部的國稅系統、地稅系統被選為18項關鍵民生系統之一。</p> <p style="margin-left:-.1pt;">由於稅務為國家財政收入主要來源，維持稅務運作對政府來說相當重要，財政部在臺北的資料中心，本身就設計正副兩套系統負載平衡，在中部也有一個異地備援資料中心。此次韌性方案，假設國內發生大規模災害或緊急狀態，當北部、中部兩地資料中心先後失效，政府部門可透過跨境公有雲的第三方角色，提升服務系統及資料備份的韌性，在災害或緊急狀態下，能夠維持基本的稅務服務，在災後或緊急狀態解除後，得以重建系統、回復資料。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>重新思考韌性設計</strong></span></span></p> <p style="margin-left:-.1pt;">除了行政機關關鍵民生系統韌性方案今年開始推動，由外而內推動機關透過跨境公有雲提昇系統的韌性，財政部內部的系統也因面臨汰換，重新思考韌性設計。</p> <p style="margin-left:-.1pt;">財政部財政資訊中心主任張文熙指出，目前的稅務系統大多於2011年建置，電腦系統已使用超過10年，面臨汰換的需求，一方面採用新方法汰換舊系統，另方面也會考慮如何加強韌性，當初規畫時並沒有預想大規模災害發生的可能性，現在面臨全球氣候變遷，大型災害發生可能性增加，需要重新思考韌性設計，讓系統更具備彈性，並且容易搬到雲端環境。</p> <p style="margin-left:-.1pt;">對於韌性方案鼓勵機關運用跨境公有雲，但是如果使用完全境外的公有雲，資料在境外風險就會增加，一旦發生資料外洩，我國的司法管轄難以觸及國外，因此他認為可選擇在國內提供服務或是和本地業者合作，具備跨境能力的公有雲業者，跨境公有雲業者在國內可受到規範管理，在非緊急的時候，不需移到境外。相較於考慮資料是否移到境外公有雲，更優先的工作是做好技術準備。</p> <p style="margin-left:-.1pt;">財政資訊中心依照韌性方案，規畫開發輕量化的核心功能系統，他們首先面臨的工作是盤點業務，考慮大規模災害或緊急狀態之下，哪些稅務工作需維持運作，舉例來說，平時徵收的娛樂稅或印花稅，在緊急狀態下並非優先業務，與民眾財產相關的所得稅、房屋稅、地價稅優先性較高。此外，民眾經常使用的查詢服務，如稅籍查詢、稅金、繳納與否等，在緊急狀態發生也需維持正常運作。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>運用雲原生架構提高資源運用彈性</strong></span></span></p> <p style="margin-left:-.1pt;">張文熙表示，財政部財政資訊中心配合韌性方案，正好也面臨內部系統需要汰換，先規畫哪些功能或服務可切割，優先以雲原生架構開發，利用雲原生架構較大的彈性，滿足服務使用離尖峰需求。</p> <p style="margin-left:-.1pt;">張文熙認為，雲原生技術能提供較大的彈性，目前國內共有17種稅，如印花稅、娛樂稅、房屋稅、牌照稅等等，每種稅有不同的徵收條件，徵收期間不同，個別的稅離尖峰時間差異相當大，過去系統規畫容量主要以尖峰時間為主，採用新技術可在離峰時釋出資源。</p> <p style="margin-left:-.1pt;">目前財政部已有一些服務利用雲端系統，例如每次發票開獎，民眾的查詢需求增加，但是平時查詢需求較少，去年12月，對獎查詢服務上到雲端後，發現效益很好，節省了不少IT支出。</p> <p style="margin-left:-.1pt;">張文熙表示，新系統的設計未來會朝該方向規畫，以較少的經費完成更多工作，讓資源的運用有更大的彈性。然而，雲端雖然帶來更大的資源彈性，在採用雲端服務之前，更應優先考慮資料安全，特別是稅務資料涉及民眾財產等機敏性資料，不能因為推動韌性，導致資料外洩風險增加，先判斷資料為機敏或非機敏，非機敏性的資料可以先上雲，考慮到機敏性資料在境外公有雲備份的風險，需要更多保護措施，目前不會先考慮機敏資料上雲。</p> <p style="margin-left:-.1pt;">去年財政部測試使用開源工具作資料加密分持備份，因財稅資料太大，處理速度不太理想，今年將測試驗證如何切割資料，決定備份順序，設法縮短備份處理的時間，找出最佳處理方式，形成標準作業程序。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>韌性方案加速政府部門擁抱公有雲</strong></span></span></p> <p style="margin-left:-.1pt;">張文熙表示，過去政府機關上雲態度保守，主要考量為安全因素及經費，雲端和在地系統的安全投資不同，需要重新建置規畫，機關改寫現有系統也需要大筆經費，此次韌性方案補助經費、開發新的核心功能系統，讓公務機關願意思考將公有雲納入選項。</p> <p style="margin-left:-.1pt;">至於是否加速公務機關採用雲原生架構，他認為機關採用私有雲也會帶動微服務、容器化的使用，韌性方案的推動也或多或少產生影響，但不是因為韌性而推動。</p> <p style="margin-left:-.1pt;">張文熙表示，未來雲端上的核心功能系統不只是第三方的備援角色，也會考慮和地端的主系統間互補，讓雲端的核心功能也能在平時發揮效益。</p> <p style="margin-left:-.1pt;"><a href="https://www.ithome.com.tw/article/162009" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/28 11:51作者蘇文彬https://www.ithome.com.tw/news/161966
【關鍵民生系統韌性大升級｜機關推動方向：經濟部商業發展署】靠跨境公雲強化工商資訊系統韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當大規模災害或特殊緊急狀態，維持公司、工廠或商業的登記、營業項目登記、變更、查詢等服務，不只對法人而言相當重要，也是政府緊急調用民間資源的依據，並且保存資料供事後復原階段重建之用。</p> <p>掌管國內公司、工廠、商業等資訊系統，前身為商業司的經濟部商業發展署也參與政府推動關鍵民生系統韌性方案，當發生重大災害或緊急狀態，商業發展署在國內的異地資料中心備援、資料備份機制也無法發揮效用時，未來可通過跨境公有雲提高緊急應變能力。</p> <p>公司、工廠或商業登記資訊，舉凡公司名稱、資本額變更、業務項目調整等等，都需要登記，整合到經濟部商業發展署的資訊系統，透過資訊系統掌握國內企業的營運狀況。</p> <p>經濟部商業發展署資訊室主任丁珕指出，商業發展署原有的業務持續計畫，以區域型的災害例如地震、颱風，導致臺北的資料中心無法運作，尚有位於其他地區的資料中心提供異地備援及資料備份。</p> <p>而在關鍵民生系統韌性方案，設想大規模跨區域災禍發生時，災害範圍可能跨區域，因此將系統備援、資料備份擴大到跨境公有雲，打破地理位置限制，提高對跨區域的大型災禍的應變能力及服務韌性。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>缺乏雲原生架構及雲端管理人才</strong></span></span></p> <p>然而，韌性方案雖然利用跨境公有雲提高對關鍵民生系統的韌性，但是新的跨境公有雲備援、備份機制，也同時為公務機關帶來新的挑戰，必需以雲原生架構開發雲端版的核心功能系統，資料加密分持備份到多個跨境公有雲。丁珕直言，商業發展署可能遭遇幾項挑戰。</p> <p>首先是面臨技術和雲端維運的挑戰，過去公務機關熟稔地端系統規畫開發，韌性方案的推動，要求公務機關採用雲原生架構開發核心功能系統，需要相應的技術能力，例如系統重構、開發人員技術培訓等，同時也需要雲端維運、操作的管理人才。</p> <p>另外，過去公務機關多仰賴外部廠商開發及維運，如果國內突然發生大規模災禍，可能導致資料中心及備援機房無法正常運作，政府服務運作就可能面臨癱瘓的風險。另一個難題是，韌性方案為期4年，目的推動關鍵民生系統及資料備份上雲，後續雲端的核心功能系統、資料備份服務需要持續性經費支持。</p> <p>針對上面提到的挑戰，商業發展署也初步規畫幾個解決方法，首先是技術及人才需要的挑戰，商業發展署計畫透過輔導團隊及培訓課程，培養內部人員對雲端技術、資安的相關能力，並且需讓他們具備自主操作、應變處理能力，另方面和適合的雲端服務商合作，加速進動進度。</p> <p>今年為關鍵民生系統韌性方案推動的第一年，丁珕表示，未年4年的目標是核心功能系統上雲，今年將先盤點核心功能，挑選在公司、工廠、商業登記中，在災害或緊急狀態下，哪些功能仍需提供基本服務，例如新增、修改、查詢等基本的功能，還有使用頻率高的功能，優先開發雲端版本。</p> <p>他們計畫先盤點、評估核心功能及數據，哪些功能需要優先或比較容易轉移到雲端，需要進一步開發或重構。商業發展署也計畫透過無伺服器運算，節省管理及運算資源的使用成本，先找出哪些功能服務可透過AWS Lambda、Azure Functions等FaaS服務，代替實體主機或虛擬機部署，先盤點出相關的場景，再開發函式將其部署至雲端執行。</p> <p>另外，因應緊急狀態下，外部廠商難以提供平時的支援，公務機關需具備自主操作能力，將資料加密分持備份至雲端，讓機關人員可以簡單的方式操作加密分持備份，重建階段回復資料。</p> <p>不過考慮到資料備份實際執行的可行性，他們並不會將歷史資料也加密分持備份到雲端，初步規畫會將現存的最後一版資料備份至雲端。</p> <p>經濟部商業發展署與其他參與韌性方案的公務機關相同，去年他們測試評估資料加密分持備份的開源工具Tahoe-LAFS，他們發現愈多的檔案要經過加密、分持處理，需花費較長的時間，後續仍評估可行的作法。</p> <p>丁珕表示，由於韌性方案的目標是保存資料，在災後復原階段，重建系統、回復資料，在韌性方案規畫將資料備份到雲端之前，已先確認國內的法規，並沒有法規限制資料只能在境內儲存，但是基於資料保密性，仍需要保護措施，考慮到商業發展署的資料約有8成屬於公開展示資料，約2成為董監事資料，可能包含身分證字號、住居地等個人資料在內，在署內就先經過加密處理，在雲端備份之前，再經過資料加密分持備份，分散備份在3個跨境公有雲，等於資料經過多一道加密程序。另外，公司、工廠或商業登記資料，分為文字及影像掃描資料，考量到影像掃描的資料量較大，未來資料備份將以文字資料為主。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>平時也讓公有雲提供簡單功能服務</strong></span></span></p> <p>依據韌性方案的規畫，公務機務每年需要演練，丁珕表示，未來核心功能系統上雲，不只是依照規定每年定期演練，考慮如果等到發生緊急事態再切換使用，可能會有不及之處，因此商業發展署未來考慮在平時挑選地端系統的簡單功能或服務，交由雲端的核心功能系統支援來實測。</p> <p>目前商業發展署的系統採用虛擬化架構，丁珕認為，有朝一日如果租雲的費用與租機房費用接近，可能考慮將地端的系統移到雲端，目前商業發展署地端運作的系統，未來隨著系統的生命周期，會隨著系統汰換逐步調整系統。</p> <p>鑑於虛擬化架構的系統，雖然也能夠直接上雲，但服務使用費用可能會比地端來得高，因此商業發展署考慮逐漸導入微服務架構，如果未來雲端的費用和地端運作接近時，搬到雲端才能真正節省支出。</p> <p>傳統上，公務機構的備援、備份策略是，依照國際標準，例如異地備援中心需建立在30公里以外的地點，雖然跨區域建置異地備援中心，為系統服務韌性提供保障，但此次韌性方案將系統備援、資料備份，從原有的境內擴大至跨境公有雲。</p> <p>「依照韌性方案的建議及目標，讓公務機關既有的備援、備份設計，有機會做得更完整」，丁珕說。</p> <p><a href="https://www.ithome.com.tw/article/162009" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/28 11:52作者蘇文彬https://www.ithome.com.tw/news/161971
關鍵民生系統韌性大改造
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大規模地震，氣候劇變暴雨引發洪水，加上國際情勢緊張、衝突升溫，當境內因天災及人禍導致主、備援機房損毀，關鍵民生系統的核心功能仍需運作、保存資料，跨境公有雲成為境外備援中心</p> </div></div></div>
2024/3/28 11:52作者蘇文彬https://www.ithome.com.tw/article/162009
政府IT韌性的關鍵一步
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2年前，高雄興達電廠一起跳機事故，影響變電所後產生的連鎖效應，導致多地發電機組因保護機制而自動解除供電，全臺三分之一的電力瞬間消失，引發了全臺大停電，北、中、南多個縣市都出現了停電災情，影響高達549萬戶，有些地區停電不只是1、2小時，甚至超過了半天。</p> <p>這樣大規模的停電災情，對IT系統而言是最嚴峻的考驗，尤其是超過12小時的停電，許多備援電力系統，不見得有能力支持那麼久，唯一解法是切換到遠地備援資料中心來接手提供服務。但是，若像2年前這起興達電廠事故，甚至是921大地震，全臺各地都出現災情，IT系統根本無法在臺灣島內，找到穩定可接手的備援機房，那該怎麼辦？</p> <p>十年前，遇到這樣大規模的災情，IT真的是束手無策，但在2024年的此刻，跨國公雲架構和服務已經高度成熟，足以在緊急時刻成為關鍵的備援。</p> <p>不過，想要借助跨境公雲來備援，不是事故發生了臨時想切換就能做到，得有一番事前準備工作才行。你的IT系統得先有能力上雲，並且事先在雲端有一套完整的系統備份，才能在遇到緊急情況時啟用，不只如此，平時還得將地端系統的資料，定期同步到雲端，才能讓雲端的備援系統，接手提供同樣的服務和最新的資料。這正是未來4年，18套關鍵民生系統想要具備的能力。數位部聯手7個部會，4年累計投入13.4億元，要讓這些關鍵民生系統，可以支援境外公雲。</p> <p>現行政府部門的異地備援、備份機制，只能夠因應小規模的災難，像是颱風淹水、機房失火，可以改由30公里外的實體備援機房來接手，若是遇到了超大規模的災情，連備援機房都失效，就沒有辦法應變。</p> <p>數位部選了18套重要的民生相關系統，比如像內政部的戶役政系統、移民署的入出國查驗系統、財政部國稅與地稅系統、健保署的健保承保系統、經濟部的公司與工廠管理系統等，從兩大作法著手，展開這些關鍵系統的韌性大改造。一方面將這些系統的核心功能上雲，另一方面則是將新穎的資料備份到雲端。</p> <p>為了將核心功能系統上雲，今年這些民生相關系統的所屬部會，已經盤點出災害或緊急狀態需要的基本功能服務，準備開始利用雲原生架構，來開發輕量化的核心功能系統版本，可以用來部署至跨境的公有雲上。</p> <p>日後，一但發生了大規模災害或緊急狀態，境內資料中心遭到破壞，就能緊急切換到境外公雲上的核心功能系統來接手，繼續維持這些基本服務的運作。</p> <p>因為這些關鍵系統都是民眾天天都會用到的系統，每天都會有資料更新和異動。因此，政府也會將這些關鍵民生系統的新資料，盡快備份到雲端，透過境外公雲來保存。不過，政府不是直接將系統資料儲存到雲端，還得經過一番加密分持來備份。</p> <p>為了能夠確保在需要日後備援時，能順利重建系統、還原資料。政府機構還要建立一套流程和作法，定期演練雲、地系統的切換，來驗證這些資料雲端的備份和還原工作，以備不時之需。</p> <p>在這18套關鍵民生系統中，有不少系統是用了十多年的老系統，像是財政部稅務系統就是如此，正面臨了汰換的階段，財政資訊中心就考慮趁這個韌性改造的機會，將部分功能切分，優先改以雲原生架構開發，利用雲原生架構的彈性，來因應服務使用離尖峰的需求。</p> <p>對這些政府機關而言，這次關鍵民生系統的韌性大改造，也正是一趟推動IT架構現代化、學習雲原生技術的轉型過程。從中累積的經驗和能力，不只可以用於關鍵民生系統，還可以擴大運用到其他政府服務上。</p> <p>雖然只是18套關鍵民生系統的上雲改造，但卻是政府IT韌性的關鍵一步，更是政府數位轉型最重要的改造工程。</p> <p><a href="https://www.ithome.com.tw/article/162009" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%95%B8%E4%BD%8D%E9%83%A8">數位部</a></div><div class="field-item odd"><a href="/tags/%E9%97%9C%E9%8D%B5%E6%B0%91%E7%94%9F%E7%B3%BB%E7%B5%B1">關鍵民生系統</a></div><div class="field-item even"><a href="/tags/%E9%9F%8C%E6%80%A7">韌性</a></div><div class="field-item odd"><a href="/tags/%E9%97%9C%E9%8D%B5%E6%B0%91%E7%94%9F%E7%B3%BB%E7%B5%B1%E9%9F%8C%E6%80%A7%E6%96%B9%E6%A1%88">關鍵民生系統韌性方案</a></div><div class="field-item even"><a href="/tags/%E5%82%99%E6%8F%B4">備援</a></div><div class="field-item odd"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2">公有雲</a></div><div class="field-item even"><a href="/tags/%E9%9B%B2%E7%AB%AF">雲端</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E5%82%99%E4%BB%BD">資料備份</a></div></div></div>
2024/3/28 11:56作者王宏仁https://www.ithome.com.tw/voice/162001
Container快報第158期：K8s年四月釋出今年第一更，OpenShift也推新4.15版，微軟和GitLab表…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2023/2/15～3/25 精選容器新聞</strong>：</p> <p><strong>許多款K8s產品釋出新版或準備推出新版。像是K8s預告今年4月將會釋出第一個更新版本，也就1.30版，有多項重要更新，像是容器自動擴充機制，使用者命名空間等。紅帽容器管理平臺OpenShfit也釋出4.15新版，Rancher Prime也將在4月釋出3.0，將強化對AI/ML工作負載的調度能力。新版Linker則可以用來調度非K8s環境中的微服務，Grafana Labs也繼續強化可觀察性能力。</strong></p> <h3><strong>#k8s新版 #使用者命名空間 #容器自動擴充<br /> <span style="color:#0000FF;">K8s今年第一更4月登場！1.30版新功能搶先透露</span></strong></h3> <p>K8s專案即將在四月中釋出今年的第一個K8s新版本1.30版，最近，K8s部落格也搶先揭露了多項新版功能，例如動態資源調度的結構化參數功能、Linux節點記憶體交換功能、使用者命名空間功能、結構化授權配置檔、Pod容器自動擴充機制都有增強。</p> <p>動態資源調度的結構化參數功能提高了資源調，動態資源調度是用來調度跨Pod叢集或單一Pod叢集內部容器資源的API。新增的結構化參數功能，可以讓開發人員預先定義一套資源分配的結構化參數，讓kube-scheduler和Cluster Autoscaler來處理需要的資源分配，而不用像過去得靠第三方動態調度驅動程式。另外，1.30新版也新支援Linux節點記憶體交換功能，可以大幅提高系統的穩定性。</p> <p>使用者命名空間功能的功能在1.30版進入了Beta版本，這個功能可以讓開發者提供更好的Pod叢集隔離性，也能支援客製化的UID和GID範圍的隔離。結構化授權配置檔的功能也在1.30版進入Beta階段，並且成為K8s預設啟用的功能。這項功能可以建立一個更細緻的權限控制要求，來驗證多個呼叫請求的授權。HorizontalPodAutoscaler容器自動擴充機制，現在可以更細緻的依據每一個容器的資源使用量，來決定配置自動擴充或縮小的配置規則，而不用像過去只能依據單一Pod叢集的用量來設定自動擴充的配置規則。這個自動化擴充功能正式在1.30版成為穩定的正式功能。 </p> <h3><strong>#容器管理平臺 #紅帽<br /> <span style="color:#0000FF;">OpenShfit推出4.15新版，可以部署到AWS Outposts地端設備</span></strong></h3> <p>紅帽最近釋出了OpenShift容器管理平臺的4.15新版，在核心功能、邊緣支援和虛擬化支援都有多項強化。新版正式部署到AWS Outposts地端設備上和AWS的5G 邊緣運算基礎架構Wavelength區域上，也能從Outposts上來部署在AWS上的OpenShift叢集。</p> <p>在虛擬化功能上，新版則強化了更多災難復原和韌性功能，像是增加網路熱插拔來動態重新配置虛擬機器所用的網路卡，還簡化了多種常用虛擬機器類型的快速安裝體驗，提供類似公雲快速安裝的實例選單，也新支援宣告式GitOps流程來復原虛擬機器。新版也能支援OpenShift叢集與外部第三方供應商間的OVN IPsec加密傳輸。去年底推出的可觀察性平臺Red Hat build of OpenTelemetry也正式在OpenShift 4.15版中提供，包括了Log、矩陣、追蹤機制等，新版的可觀察性儀表板也有更新，網路基礎設施、Linux核心和K8s流量儀表板都有強化。OpenShfit這個新版本可以支援到K8s的1.28版和CRI-o 1.28版。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-OpenShift4_15.png" /></p> <h3><strong>#AI工作負載優化 #容器管理<br /> <span style="color:#0000FF;">SUSE容器管理平臺Rancher Prime新版4月登場，特別強化對AI/ML工作量的部署支援</span></strong></h3> <p>隨著生成式AI浪潮爆發，如何強化對AI運算的支援，成了K8s平臺的新課題。SUSE將在4月正式推出容器管理平臺Rancher Prime的3.0新版和Edge 3.0版，強化了多項安全軟體開發能力，像是強化對軟體物料表SBOM的支援來提供安全軟體交付流程，也新增對K8s叢集API的支援，可以讓企業更容易打造一個自助式的內部PaaS平臺。另外，這個新版本可以自動偵測Nvidia所用的容器runtime配置，自動產生出要將AI模型部署到K8s環境時所需的GPU配置。Edge 3.0版則提供了更多在邊緣運算環境中部署K8s的建置範本和安全映像檔版本，讓企業更容易建置邊緣容器環境。</p> <h3><strong>#可觀察性 #叢集管理<br /> <span style="color:#0000FF;">Grafana Labs強化多項K8s可觀察性能力，提供更完整的叢集健康分析</span></strong></h3> <p>最近Grafana Labs宣布更新了K8s監控功能，IT團隊不用手動配置監控K8s用的代理程式，而可以改用新推出的K8s監控Helm chart應用來部署，自動將客製化的矩陣、Log紀錄、事件資訊、追蹤和成本矩陣的資訊，傳送到Grafana雲上。K8s叢集除錯功能也有簡化，在Grafana通報功能網頁上，新增了「出錯Pod叢集」的單元，可以讓IT團隊快速看到每一個出錯叢集所發生的狀況來快速回應。另外，針對K8s叢集健康和效能分析，可以提供一個整體性的全貌分析以及更細節的分析內容，在歷史資料分析上也提供了時間選取機制，可以快速檢視不同時間的狀態數據。</p> <h3><strong>#WebAssembly應用 #毫秒級冷啟動<br /> <span style="color:#0000FF;">Fermyon捐出自家Wasm應用平臺給CNCF，可用來開發和部署K8s上的大量WebAssembly應用</span></strong></h3> <p>最近Fermyon科技宣布將自家的Wasm on K8s平臺SpinKube捐給CNCF組織。這是一個可以在K8s中開發、部署和維運WebAssembly應用的平臺。根據Fermyon宣稱，採用Wasm技術，可以讓單一Pod叢集部署的應用數量增加50倍，也因此需要一個特別的Wasm應用管理平臺。SpinKube可以用來將無伺服器的WebAssembly應用部署到K8s環境中，也可以用來打造一個自家的無伺服器環境，官方宣稱還能達到1毫秒內的快速冷啟動速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-spinkube%E6%9E%B6%E6%A7%8B.png" /></p> <h3><strong>＃eBPF #可觀測性 #雲原生應用<br /> <span style="color:#0000FF;">K8s工作負載視覺化有新選擇，微軟開源了跨雲容器網路觀測平臺Retina</span></strong></h3> <p>日前，微軟Azure容器網路團隊發布雲端原生容器網路觀測平臺Retina，讓Kubernetes用戶、管理者和開發者，能夠以視覺化的方式，觀測、除錯並且分析Kubernetes的工作負載流量。Retina支援各種容器網路介面（CNI）、作業系統和雲端平臺，還能夠與產業標準Prometheus和網路流量日誌搭配使用，具有適應不同用例和環境的靈活性。Retina利用eBPF（extended Berkley Packet Filter）的功能，在不需更改現有應用程式的情況下，以非侵入的方式對Kubernetes網路進行深入分析和監控。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-AzureRetina.png" /></p> <h3><strong>#容器能耗追蹤 #永續IT管理 #紅帽<br /> <span style="color:#0000FF;">每一個Pod叢集的耗電都能追蹤，OpenShift釋出容器層級能耗監控工具預覽版</span></strong></h3> <p>紅帽在年初釋出了OpenShift平臺的新能耗追蹤工具預覽版，可以提供到容器層級的用電追蹤，監控顆粒度可以達到Pod叢集或是每一個命名空間，讓企業可以更細緻地追蹤雲原生應用的能耗，來計算碳排。在OpenShift 4.14上現已提供這款工具，供用戶進行試用。不過，現階段僅是技術預覽版，尚未推出正式版。<br /> 這項工具可以用來追蹤每日使用CPU的整體能耗情況，還能夠細緻地檢視每個命名空間的能耗和功耗在不同時段的變化情形，提供每小時的更新頻率。這項功能來自開源能耗追蹤工具 Kepler專案，利用eBPF來取得能源相關系統狀態的數據，並匯出成Prometheus指標進行監控和管理的工具。可以用來追蹤過去24小的叢集整體能耗，即時蒐集到多種功耗資訊，如RAPL（用於監控與管理CPU及記憶體的用電量）、NVML（GPU資源利用率管理函式庫）、ACPI（系統電源效能管理介面）、IPMI（伺服器電源監測介面）等。還能展開檢視不同命名空間的能耗排名，可以列出最耗能的容器和Pod叢集等。也結合了機器學習模型來進行測量和預估，以提高測量模型準確性，以便根據實際的資源利用率準確地估計其功耗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E7%B4%85%E5%B8%BD%E5%AE%B9%E5%99%A8%E8%80%97%E9%9B%BB%E8%BF%BD%E8%B9%A4.png" /></p> <h3><strong>#核心系統容器化 #微服務 #企業實戰<br /> <span style="color:#0000FF;">凱基證將用容器技術和微服務打造新一代證券核心系統</span></strong></h3> <p>凱基證券自2023年開始展開核心系統轉型推動計畫，規畫逐步拆分大型主機系統的功能，轉向容器化微服務架構，並優先完成帳務中臺的架構轉換。<br /> 凱基證券亞太區資訊長黃榮林期望透過系統核心的轉型，能夠大幅改善開發速度、縮短服務上市的推出時間，更訂下推出時間縮短50％的目標。<br /> 不過，凱基證券不會將核心大型主機多套系統全部轉為容器架構，有些系統分拆後會單獨存在，並改用模組化方式重組。交易模組會先轉換成新的雲原生架構，再轉換其他周邊的模組，所有系統都會使用的共用模組，例如監控、認證、訊息溝通等，也會獨立建立一套系統。需要低延遲的模組，特別是會影響下單的模組，不會納入微服務架構中，比如主機連線的模組。</p> <h3><strong>#K8s效能監測 #可觀察性 #eBPF<br /> <span style="color:#0000FF;">Netflix開源自用的eBPF程式效能優化工具bpftop</span></strong></h3> <p>可用來追蹤Linux核心效能的eBPF技術，是監控K8s叢集效能的重要手段，可以透過程式化方式來追蹤K8s叢集的運作。Netflix公開了一款內部的命令列工具bpftop，不只更容易監控eBPF程式的效能，還可以用來優化eBPF程式。Netflix提到，由於他們逐漸增加採用eBPF技術的比例，因此也就需要更嚴謹地看待相關系統，確保既能發揮eBPF的好處，又不會造成系統過度負載，進而保證營運效率。bpftop可提供動態即時檢視圖，顯示執行中的eBPF程式平均執行時間、每秒事件數，以及估計總CPU使用率。而bpftop的優勢是能夠在工具活動時才啟用效能統計，以最小化效能開銷，同時bpftop提供時間序列表使用戶能夠清楚檢視統計資料，進而發現異常模式和趨勢。Bpftop使eBPF程式的效能最佳化過程變得簡單，用戶可有效地進行基準測試、程式碼改進，並且建立起即時回饋循環。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-Netflix-bpftop.png" /></p> <h3><strong>#容器化整合測試 #Docker公司<br /> <span style="color:#0000FF;">紅帽宣布和Docker公司結盟，OpenShift平臺將整合Testcontainers容器化整合測試服務</span></strong></h3> <p>最近在歐洲Kubecon大會上，紅帽宣布與Docker公司結盟，紅帽旗下容器管理平臺OpenShift將可以存取Docker公司的容器化整合測試雲Testcontainers，在OpenShift中使用後者完整的功能。Testcontainers雲是Docker公司的持續整合服務，可以用Docker容器來快速建立各種測試環境，可支援9種語言的測試任務管理，也提供了一套儀表板功能來追蹤各種整合測試的執行。紅帽與Docker公司合作後，OpenShift用戶可以將Testcontainers雲的後端，部署到OpenShift叢集上。</p> <h3><strong>#超大規模叢集管理 #串流服務優化<br /> <span style="color:#0000FF;">字節跳動開源新一代K8s多叢集管理工具KubeAdmiral，可管理1千萬個Pod叢集</span></strong></h3> <p>抖音母公司字節跳動最近釋出了一款K8s多叢集管理工具KubAdmirl ，可用來管理超過分散在數十個K8s叢集上超過1千萬個Pod。這款工具強化了多叢集的調度和排程能力，特別是針對大量串流服務場景的支援。字節跳動已將這款多叢集管理工具用於自家服務的擴充調度，管理超過1千萬個Pod來支援10萬支微服務的運作。KubeAdmiral每天處理到3萬次更新或叢集擴充的調度操作。<br /> 這款工具採用了新的調度框架，將調度分為四個階段，Filter、Score、Select和Replica，並由各自專門的外掛工具來處理調度邏輯，來降低整體複雜性，使用者也能增加自己的調度外掛機制。<br /> 因為完全使用K8s API功能來設計KubeAdmiral，而非開發專門的聯邦API來管理叢集，因此，可以將多叢集間視為一體來查看部署情況，而不用逐一檢視個別叢集的資訊。目前正在強化操作體驗，優化Log和矩陣功能等功能。</p> <h3><strong>#服務網格 #網格擴充<br /> <span style="color:#0000FF;">服務網格工具Linkerd新版2.15大更新，新網格擴充功能可以調度非K8s環境上的微服務</span></strong></h3> <p>在去年11月時，服務網格工具Linkderd就提出了一個新個作法是網格擴充功能Mesh Expansion，可以將微代理伺服器（Microproxy）部署到非K8s環境上，讓Linkerd控制平臺能夠調度在其他環境上的微服務。最近剛釋出的2.15版，也正式開始支援網格擴充功能，可以用來調度在其他非K8s環境的微服務，可以將實體伺服器、虛擬機器等沒有K8s環境上的微服務，也整合到同一個服務網格中來管理。為了支援非K8s環境的身分驗證，Linkerd也引入零信任通用身分驗證專案SPIFFE，來加密與虛擬機器工作負載之間的所有流量。</p> <h3><strong>#Flux #GitOps流程<br /> <span style="color:#0000FF;">GitOps新創Weaveworks倒閉後，微軟和GitLab等數十家企業表態繼續支持Flux</span></strong></h3> <p>提出GitOps持續交付自動化模式的雲原生新創公司Weaveworks在今年2月初宣布倒閉。成立於2014年的Weaveworks，因GitOps專案FluxCD而聲名大噪，更從Google創投獲得1,500萬美元投資，日前也才從AWS和多家電信業者取得3,660萬美元的資金。該公司執行長於在Linkedin部落格上坦言，雖然2023年營收有雙位數成長，超過了1,000萬美元，但仍因爲銷售業績趕不上現金支出而不堪負荷，原本正在洽談的大公司併購也宣告破局，因此，他決定結束公司，這個宣布引起開源社群熱烈討論。</p> <p>但是，他們所開發的開源GitOps工具專案Flux，早在2019年就捐給CNCF組織，並在2022年成為畢業專案，也意味著專案社群具有足夠的發展能力。而在Weaveworks宣布關門同一周，原本在該公司任職的Flux核心維護者Stefan Prodan，也轉而加入另一家同樣重度使用Flux的跨雲管理平臺公司ControlPlane擔任首席顧問，他還迅速發布了一個小更新版本2.2.3，來凸顯這個專案的持續能力。<br /> 自家產品深度支援Flux建置的微軟、GitLab也相繼表態會繼續支持這個專案，更有十多家科技公司確定繼續支援Flux，思科和德國零售商Tchibo最近也加入了長期Flux採用者名單。GitLab更在3月5日，Weaveworks關門滿一個月時特別強調，經過一個月與FluxCD周邊工具商的討論，找不到更好的GitOps成熟替代方案，因此，他們會全力繼續支持，並更積極參與Flux社群。</p> <h3><strong>#容器安全偵測 #雲端日誌分析<br /> <span style="color:#0000FF;">K8s威脅偵測引擎Falco專案宣布畢業，未來要擴大支援更多雲端日誌和GitHub</span> </strong></h3> <p>在2018年進入CNCF組織孵化沙盒的K8s威脅偵測引擎Falco專案，最近宣布正式畢業。這款由Sysdig打造的安全工具，可以用來追蹤容器行為，透過規則引擎檢測容器、應用程式、底層主機和容器平臺的異常狀態，一但有異常行為，就會發布警告。最近幾年，Falco維護者持續強化工程流程，甚至重構了Falco程式庫，推出了改良後的測試套件與新的核心測試框架，也結合了熱門的eBPF技術推出Linux核心的探針功能。包括AWS、IBM、紅帽都是主要使用者也是專案貢獻者。Falco預告，未來支援更多來源的資料來強化偵測能力，例如支援各種雲端日誌和GitHub上的開發者接觸點，新版也會持續簡化部署和管理功能。</p> <p><strong>更多新聞</strong></p> <ul> <li>New Relic宣布新功能可以讓K8s叢集一個步驟就具備OpenTelemetry能力</li> <li>開源服務網格專案Istio維護者準備釋出服務網格專案的輕量級版本Ambient的Beta版本</li> <li>微軟分散式應用程式Runtime專案Dapr釋出1.13版，新釋出SDK來簡化分散式運算流程的調度</li> </ul> <p>資任編輯：王宏仁<br /> 圖片來源：紅帽、Fermyon、Netflix</p> </div></div></div>
2024/3/28 12:04作者王宏仁https://www.ithome.com.tw/news/162010
Canva與Affinity承諾將持續供應永久授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>線上平面設計平臺Canva周二（3/26）<a href="https://www.ithome.com.tw/news/161995" target="_blank">宣布買下Serif與旗下的熱門設計套件Affinity</a>，有鑑於設計師開始擔心原本採用永久授權策略的Affinity套件是否會轉為訂閱制，<a href="https://affinity.serif.com/en-us/press/newsroom/affinity-and-canva-pledge/" target="_blank">Canva與Affinity隔天即承諾</a>，將會一直供應永久授權。</p> <p>訂閱制已成為軟體產業的趨勢之一，例如Canva的競爭對手Adobe自2011年便逐漸改為訂閱制，停售盒裝產品，而Affinity系列的Affinity Designer、Affinity Photo與Affinity Publisher等產品，則是市場上少數可以取代Adobe Illustrator、Adobe Photoshop與Adobe InDesign的永久授權產品。</p> <p>此外，之前原本提供永久授權產品的VMware在被博通收購之後，即<a href="https://www.ithome.com.tw/news/160441" target="_blank">宣布全面終止永久授權</a>，而使得Affinity用戶憂心忡忡。</p> <p>不過，Canva與Affinity周三（3/27）承諾，將提供合理、透明與實惠的訂價，包括令Affinity與眾不同的永久授權，會努力於未來持續提供永久授權，即便之後推出訂閱服務，也會與永久授權一併作為銷售選項。</p> <p>雙方其它的承諾還包括將繼續投資與擴張Affinity產品，且會把Affinity當作獨立的產品套件，也會針對學校及非營利組織免費提供Affinity。</p> <p>根據<a href="https://www.techspot.com/news/102412-canva-acquires-affinity-380-million-take-adobe.html" target="_blank">《TechSpot》</a>的報導，Canva買下Serif的價格約為3.8億美元。</p> </div></div></div>
2024/3/28 12:12作者陳曉莉https://www.ithome.com.tw/news/162011
開發金靠坦克計畫奠定關鍵技術，IT化身顧問加速集團AI創新
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年七月，中華開發金控（簡稱開發金控）一連辦了兩場內部AI黑客松，超過兩百位員工組隊報名，技術人員和業務人員齊聚一堂討論AI應用。不同於金融業常見的嚴謹上班氣氛，各組以話劇演繹不同AI應用場景，生動展現創新點子，連金控總經理都親自出席。「一開始煩惱沒人，結果很多人報名，活動甚至從一天變兩天！」中華開發金控資訊長楊偉強回憶，沒想到報名人數遠超過預期，最後額外加開場次。</p> <p>「這個熱度，代表了集團內部員工，面對轉型的心態不一樣了。」企業推動數位轉型不只是技術面的挑戰，如何推動集團擁抱創新文化更是一道難題。楊偉強強調：「驅動轉型的關鍵是讓集團全體同仁理解計畫、願意轉型。」</p> <p>來自香港的他，2021年進入開發金控，三年內陸續推動了IT轉型和AI計畫。不過，楊偉強的目的不僅僅是實施計畫，更要讓金控集團一萬名員工能理解複雜的IT技術，來技術單位合作推動轉型。</p> <p>楊偉強的作法是，先制定統一的技術框架，涵蓋了各子公司關注的關鍵技術，整合全集團的IT轉型方向，再展開AI發展計畫的布局，不僅舉辦巡迴演講，將集團AI發展宣傳至集團各個角落，更藉著AI黑客松，找出集團中對AI有高度興趣的業務單位。同時，技術單位也跟著動起來，楊偉強開始將金控IT人員訓練為AI顧問，鼓勵IT主動與業務單位溝通，合作發想AI應用，要讓轉型氛圍擴散至全集團，帶著集團一起向前航行。</p> <p><span style="font-size:28px;"><strong>藉坦克計畫統一子公司技術發展方向，奠定轉型基礎</strong></span></p> <p>2021年，開發金控啟動了一項名為坦克計畫的IT轉型藍圖，以技術、架構和能力作為核心，來推動六大目標，分別是開放技術、先進數位平臺、現代化架構、技術賦能、智慧開發，和導入敏捷文化。技術面包括導入容器化架購的微服務系統開發技術、建置混合雲端環境和雲端分析平臺，以及導入中臺架構、高階資訊整合架構和企業資料平臺架構等計畫。開發上則要推動 DevOps現代化自動開發，打造 CI/CD 以及 IaC等自動化環境，還要引入符合數位發展的敏捷文化對策，讓資訊團隊在提案、需求、研發到開發驗證等流程都能快速反應。同時，要培養IT人才對新興技術的開發、研究和架構能力。</p> <p>「坦克計畫的目的，在於建立一個具有關鍵技術底層架構的框架，確保全集團的發展方向一致。」楊偉強指出，統一子公司的底層技術架構有助於加速轉型，例如整合銀、證、保三家子公司雲端架構，未來要發展特定的服務，就更加容易。</p> <p>開發金控的數位轉型並非從零起步，早在坦克計畫之前，各家子公司的轉型計畫醞釀已久。起初，為了統一子公司的技術發展方向，楊偉強選定雲端、資料，和中臺三個主題，依序舉辦主題式卓越中心，讓每家子公司推派代表參加，除了讓子公司了解轉型計畫的優勢，也協助尋找共同的解決方案，加快子公司的轉型成績。</p> <p>楊偉強選定的第一項關鍵技術是雲端。他計畫以金控為核心，為集團建立架構一致的雲端平臺。楊偉強解釋，雲端是基礎技術，對這項技術的運用越成熟，轉型速度才會快。開發金控在2020年開始籌備雲端轉型計畫，建構集團共用的混合雲架構雲端平臺，導入到旗下四大子公司，採用DevOps、K8S和API管理工具，打造雲原生開發和維運流程，也提供統一的身分認證和風險控管需求，來建立轉型基礎。</p> <p>在雲端管理上，楊偉強指出，雲端和地端管理思維截然不同，無法適用同一套管理方式。因此，除了原有管理地端機房的團隊，楊偉強額外設立一支雲端團隊，以應用角度進行雲端開發，例如AI、機器學習和使用雲端API等技術。由地端團隊負責維運，而雲端團隊負責開發。</p> <p>完成雲端基礎建設後，楊偉強接著著手資料治理，設立一個資料卓越中心，計畫用雲端技術來打造資料湖。「忘了地端倉儲吧！」楊偉強認為，地端資料倉儲處理數據的能力有限，無法快速因應變動的數據需求。尤其，「當銀行逐漸走向數據驅動決策，數據不再只是用於製作報表，還要能幫助企業理解客戶，甚至是預測未來。」他強調。</p> <p>隨著嵌入式金融浪潮興起，異業合作需求增加，金融業除了要處理內部數據，也要投入時間處理來自第三方的龐大資料，包括文字、圖片和影像等多元形式資料。楊偉強認為，若企業仍使用地端倉儲，需要投資更多技術進行整合，但雲端服務已有相應的資料整合技術可運用，「我們應該掌握工具，知道如何使用更重要。」楊偉強說。</p> <p>不僅考量技術，楊偉強構思的資料湖策略，更著眼於建立金融生態系。「金融業關注的領域必須超越金融服務，因為客戶的生活還有其他需求。」楊偉強認為，發展雲端技術和資料湖，有利於異業合作，建構金融生態系。他解釋，傳統地端資料倉儲處理第三方數據時，需要經過取出、轉換和載入等處理過程，作業過程複雜，不利於快速彙整客戶資料。</p> <p>最後，楊偉強設立了一個中臺卓越中心，由這個團隊負責協助各子公司翻新核心系統，要逐漸拆分出中臺的架構。「這是推動數位發展的必經路，卻是轉型中最困難的關卡。」楊偉強解釋，傳統金融業的管理系統沒有中臺需求，隨著技術演進，後臺系統的技術逐漸無法跟上，一旦湧入爆量需求，後臺系統就不堪負荷。「開發金控子公司的系統營運，也走到不得不轉型的階段。」他表示，開發金控目前採用的策略，是盡量減少在核心系統開發，改以中臺開發為主，再逐漸將服務遷至中臺。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1174-%E9%96%8B%E7%99%BC%E9%87%91%E6%8E%A7CIO-%E6%98%80%E7%92%87-600.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><span style="font-size:28px;"><strong>啟動AI發展計畫，要靠AI基礎平臺發展集團AI大腦</strong></span></p> <p>坦克計畫執行滿兩年了，開發金控和旗下子公司陸續建立技術基礎，包括發展雲端技術、資料平臺、整合性平臺和導入敏捷文化，他們在今年啟動了AI發展計畫，整個集團要發展全面性的AI能力和AI應用，除了要培育AI技術與周邊關聯科技的人才，包括數據模型、資料科學，和演算法開發能力等，也要透過AI產生更多新形態服務模式，建立AI業務發展生態圈，更要讓全集團同仁參與AI開發，建構以AI驅動的企業。</p> <p>這個新計畫其中一項是要發展AI基礎平臺。楊偉強解釋，AI基礎平臺是由金控建立基礎AI模型和知識管理庫，讓子公司使用一致的底層模型和資料，再交由子公司負責尋找應用場景。他以LLM來解釋這個策略的好處，一來，模型的訓練方式不會因不同子公司而有差異，統一建立基礎模型可以有效降低成本，二來，由於金融監管需求高，使用多個LLM，無法統一管控多項需求。</p> <p>不同於其他IT技術，楊偉強認為，AI需要時間訓練，才能為己所用，無法透過購買技術來填補落後的空缺，「尤其是生成式AI，一定要找出場景開始運用，才能累積知識。」因此，開發金控目前選定內部使用，作為生成式AI的主要發展領域，例如用於協助處理文書、撰寫郵件、查找資訊、重點整理摘要等。</p> <p><span style="font-size:28px;"><strong>金控IT也跟著轉型，成為集團AI顧問</strong></span></p> <p>企業轉型面臨的阻礙之一，是內部各自解讀不同調，導致轉型效果減半。楊偉強指出，不論是推動IT轉型計畫，或是AI發展計畫的過程中，最大挑戰是尋求足夠的支持，讓眾人願意合作推動轉型。因此，不只規畫轉型藍圖，楊偉強也正在改造他率領的金控IT團隊，要將這個訓練成全集團的AI顧問，讓他們更容易成為與各單位合作的橋樑。</p> <p>「我的團隊每天跟我去跑業務！」楊偉強笑著說。和一般企業不同，楊偉強重視IT主動提出需求，甚至要有讓產品進入市場（Go to market）的策略思維。他不僅親自帶著IT團隊走訪子公司的業務單位，就像資訊廠商的業務銷售人員一樣，也主動講解技術如何與業務結合，向業務單位提出AI開發需求。</p> <p>但是，「我的團隊一開始很不習慣，每次跟我開會的時候，臉色都不太好。」楊偉強坦言，有位IT同仁開會時反映，業務單位還沒有AI需求，楊偉強接著反問他，「如果客戶跟你說，他不喜歡吃牛肉，你會怎麼做？」楊偉強以這樣的客戶來類比業務單位，若對方沒有需求，銷售人員就要想辦法為客戶創造需求。</p> <p>他認為：「IT自己要有AI的執行需求，不要等待使用者想出AI的需要。」由於業務單位對技術掌握有限，IT人員應主動與業務單位溝通，討論如何運用技術，減少雙方的溝通成本，才能有效加速轉型。漸漸地，開發金控IT團隊也開始運用客戶導向思維與業務單位溝通，創造更多AI開發需求。</p> <p>為了將AI宣傳至全集團各個角落，楊偉強還舉辦巡迴演講，找來金控IT同仁擔任主講者，邀請集團所有同仁參加，最近一場演講超過4百多人主動報名。「很多同仁對IT說，你們好像跟以前很不一樣。」不僅集團內部員工感受到IT的轉變，巡演過程中，楊偉強也觀察，IT員工開始嘗試運用銷售思維說服聽眾，「我覺得這對團隊是一個轉變，嘗試全新的心態。」他說。</p> <p>不僅單方面的分享，去年七月，開發金控內部舉辦了一場AI黑客松，邀請全集團中各個業務單位同仁組隊參與，藉此找出對AI有高度興趣的部門。原訂半天的黑客松，可提供12組競賽，楊偉強還找來外部廠商提供一名AI顧問，也由自家金控IT派出一名同仁，由這2名技術人員協助參賽的業務團隊構思AI應用。最後報名隊伍太踴躍，只好分兩天舉辦。</p> <p>楊偉強積極接觸子公司業務單位，是為了創造成功案例，提升其他單位合作的意願，「你永遠都需要，讓大家都看到轉型的好處。」他強調。推動轉型最大的課題是讓企業集體接受改變，透過三年的耕耘，轉型文化正在開發金控內漸漸發酵。文⊙李昀璇</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>中華開發金控資訊長楊偉強</strong></p> <p>學歷：美國芝加哥大學布斯商學院高階管理碩士</p> <p>經歷：在亞太區IT界擁有超過20年經驗，曾擔任金融三業等大型轉型專案跨技術領域的諮詢顧問。同時在AI、大數據分析及區塊鏈的商業運用擁有豐富的開發、設計經驗。他建立了香港最創新的FinTech平臺、將區塊鏈技術運用於中小企業，並協助香港政府導入及運用雲端技術。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1174-%E9%96%8B%E7%99%BC%E9%87%91%E6%8E%A7CIO-%E6%98%80%E7%92%87-600-2.jpg" style="width: 350px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>中華開發金控</strong></p> <p>公司名稱：中華開發金控</p> <p>地址：臺北市松山區敦化北路135號</p> <p>成立時間：2001年</p> <p>員工數：金控含子公司約1萬3千人</p> <p>子公司：中華開發資本、凱基人壽（原中國人壽）、凱基銀行、凱基證券、凱基投信</p> <p>主要業務：壽險、銀行、證券、投信及私募股權／資產管理。</p> <p>近年發展重心：2021年初啟動ABCDE五年策略，包括了數位躍升，首選雇主、顧客導向、驅動成長和高效執行等五大策略發展</p> <p>年營收：約400億元（2023年）</p> <p>董事長：黃思國</p> <p>總經理：龐德明</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資訊長</p> <p>資訊部門主管姓名：楊偉強</p> <p>資訊部門人數：約60人</p> <p><strong>近年數位轉型重點成就：</strong></p> <p>●　2021年：提出ABCDE五大策略，加速推進數位躍升（Accelerate Digital）的目標。</p> <p>●　2021年7月：導入微軟雲端解決方案，成為臺灣首家運用微軟雲端數位轉型的上市民營金融機構。</p> <p>●　2023年8月：舉辦內部「生成式AI黑客松」，鼓勵員工展現創業家精神</p> <p>●　2024年3月：啟動集團AI發展計畫</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1174-kai_fa_jin_kong_cio-yun_xuan_-960-2.jpg" width="960" height="420" alt="" title="中華開發金控資訊長楊偉強　（攝影／洪政偉）" /></div></div></div>
2024/3/28 06:00作者李昀璇https://www.ithome.com.tw/people/161961
【資安日報】3月27日，AiTM網釣攻擊工具包Tycoon 2FA針對微軟365、Google用戶而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了突破雙因素驗證（2FA）的防護機制，駭客採用中間人攻擊（AiTM）網釣攻擊套件的情況相當氾濫，最近出現新型態的工具包Tycoon 2FA，在短短半年內，已有駭客採行而濫用超過1千個網域，引起研究人員關注。</p> <p>值得留意的是，這個套件採用多階段攻擊流程，其產生的釣魚郵件不僅具有URL，也有出現QR Code的情況，這代表行動裝置用戶也可能是對方攻擊的目標。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.sekoia.io/tycoon-2fa-an-in-depth-analysis-of-the-latest-version-of-the-aitm-phishing-kit/"><strong style="font-size: 22px;">新型態網路釣魚工具包Tycoon 2FA被用於竊取微軟365、Google帳號，並能繞過雙因素驗證</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Overview-of-the-main-operations-specific-to-the-Tycoon-2FA-phishing-kit_as-of-March-2024.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Overview-of-the-main-operations-specific-to-the-Tycoon-2FA-phishing-kit_as-of-March-2024.png" style="width: 300px; float: right;" /></a>資安業者Sekoia揭露名為Tycoon 2FA的對手中間人攻擊（AiTM）網釣攻擊套件，開發者約從去年8月，以租用的型式（Phishing-as-a-Service，PhaaS）提供買家使用，專門用於竊取微軟365及Google的帳密資料，駭客迄今濫用超過1,200個網域名稱，現在是受到廣泛利用的AiTM網釣攻擊工具之一。</p> <p>到了今年2月中旬，賣家提供新版Tycoon 2FA，並出現廣泛使用的情況，開發者增強混淆的程度及防範偵測的能力，並改變網路通訊的模式，使其攻擊行動變得更難發現。</p> <p>研究人員指出，該套件採取多個階段的攻擊流程，駭客先是藉由內含URL或QR Code的釣魚郵件引誘收信人上當，接著透過圖靈驗證系統Cloudflare Turnstile排除機器人，然後將收信人導向冒牌微軟登入網頁及偽造的雙因素驗證流程，過程中駭客收集受害者的電子郵件信箱、密碼，並透過WebSocket外流。</p> <p><a href="https://www.trendmicro.com/en_us/research/24/c/agenda-ransomware-propagates-to-vcenters-and-esxi-via-custom-pow.html"><strong style="font-size: 22px;">VMware ESXi伺服器遭勒索軟體Agenda鎖定</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Agenda-fig3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Agenda-fig3.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技從去年12月發現勒索軟體Agenda（又名Qilin、Water Galura）的攻擊數量顯著增加，攻擊者濫用遠端管理工具（RMM）及Cobalt Strike來散布勒索軟體，研究人員也看到利用PsExec與SecureShell的情況，此外，對方也利用多種含有漏洞的驅動程式來迴避偵測。</p> <p>但值得留意的是，攻擊者在成功入侵Windows電腦後，便會利用嵌入勒索軟體檔案的PowerShell指令碼，對VMware ESXi、vCenter進行橫向感染，竄改ESXi主機root密碼，並透過SSH進行檔案傳輸，最終進行檔案加密。 </p>  <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=223130&SPOKE_DATE=20240326&COMPANY_ID=2610"><strong style="font-size: 22px;">華航外洩資料再傳出現暗網，該公司表示是前次事故的舊資料</strong></a><strong style="font-size: 22px;"></strong></p> <p></p> <p>3月26日晚間中華航空在股市公開觀測站發布重大訊息，指出他們發現駭客在暗網販售會員資料，經過調查，與現有會員的資料庫（今年1月更新）不符，研判是與之前發生的個資外洩事故流出的內容（編按：應指<a href="https://www.ithome.com.tw/news/155167">2023年1月的資料外洩事故</a>）。而對於未來的因應措施，該公司將於4月2日啟動雙因素驗證，所有會員必須透過手機或電子郵件信箱取得動態密碼（OTP）才能登入系統。</p> <p>而發這項重大訊息的原因，很可能與<a href="https://udn.com/news/story/7266/7857497">聯合新聞網的報導</a>有關。3月24日駭客傳出在暗網上傳華航會員資料，宣稱為更新至今年1月的新資料，內容有110萬筆，包含會員編號（ID）、中文姓名、英文姓名、性別、生日、電子郵件信箱、國籍、手機號碼，對方亦公布100筆個資給買家驗證。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/zenhammer-attack-targets-dram-on-systems-with-amd-cpus/"><strong style="font-size: 22px;">搭載AMD Zen 2、Zen 3處理器的電腦恐面臨ZenHammer記憶體攻擊風險</strong></a></p> <p></p> <p>存在於動態隨機存取記憶體（DRAM）的設計弱點Rowhammer，最早於2014年出現，該漏洞公布後製造商也開始採取「目標列更新」（Target Row Refresh，TRR）的機制來因應，但現在傳出新架構的電腦也有可能遭受相關攻擊的情況。</p> <p>蘇黎世聯邦理工學院的研究人員指出，他們成功在搭載AMD Zen 2及Zen 3微架構處理器的電腦上，對DDR4及DDR5記憶體進行Rowhammer攻擊，他們將針對上述處理器電腦的攻擊手法稱為「ZenHammer」，並表示這是首度成功針對DDR5進行Rowhammer攻擊的發現（儘管成功機率僅約十分之一）。</p> <p>對此，AMD也發布資安公告，表示他們在2月26日獲報此事，將著手進行相關評估，並提供緩解措施。</p> <p><a href="https://www.scmagazine.com/news/fortinet-forticlient-ems-sql-injection-flaw-exploited-in-the-wild"><strong style="font-size: 22px;">FortiClient EMS存在危急漏洞，且已被用於攻擊行動</strong></a></p> <p></p> <p>3月12日Fortinet針對端點管理伺服器FortiClient EMS，公告此系統存在危急（Critical）層級的SQL注入漏洞CVE-2023-48788，攻擊者可藉由特製的封包，在未經授權的情況下，執行程式碼或命令，CVSS風險評分為9.8，該公司於21日更新公告內容，指出他們已得知出現攻擊行動，如今這樣的情況也被美國政府證實。</p> <p>25日美國網路安全暨基礎設施安全局（CISA）將此漏洞加入已被利用漏洞列表（KEV），要求聯邦機構於4月15日前完成修補。</p> <div> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.justice.gov/opa/pr/seven-hackers-associated-chinese-government-charged-computer-intrusions-targeting-perceived"><strong style="font-size: 22px;">美國制裁與中國駭客組織APT31有關的武漢曉睿智科技</strong></a></p> <p></p> <p>3月25日美國針對與中國駭客組織APT31有關的武漢曉睿智科技（Wuhan XRZ）進行制裁，並控告7名參與駭客行動的中國人，由於涉嫌入侵電腦及電信詐欺，司法部將凍結他們在美國的資產。</p> <p>美國政府指出，這些被告針對美國及其他國家的個人與組織，發送超過1萬封惡意電子郵件，一旦收信人開啟郵件，就會曝露自己的地理位置、IP位址，以及網路環境及裝置的資訊，對方就有機會利用這些資訊進一步策畫攻擊行動，破壞收信人網路環境的路由器及其他電子設備。</p> <p>此外，APT31也被指控在2020年針對美國總統大選的競選工作人員攻擊、滲透5G網路設備供應商、無線網路技術供應商、國防承包商等數十家企業。</p> <p><a href="https://www.cisa.gov/resources-tools/resources/secure-design-alert-eliminating-sql-injection-vulnerabilities-software"><strong style="font-size: 22px;">美國呼籲科技業者清查軟體的SQL注入漏洞</strong></a></p> <p></p> <p>3月25日美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）聯手，發布安全設計警報（Secure by Design Alert），呼籲軟體科技業者在產品出貨前，應該針對程式碼進行審查，找出可能存在的SQL注入（SQL Injection，SQLi）弱點。</p> <p>這次警報的發布，起因是去年勒索軟體駭客組織Clop利用MFT檔案傳輸系統MOVEit Transfer的漏洞CVE-2023-34362，從事大規模攻擊，而這個漏洞就與SQL注入有關。</p> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.cna.com.tw/news/afe/202403230131.aspx"><span style="font-size: 20px;">為強化電商資安，數位部協助88家業者進行評估及紅隊演練</span></a></strong></p> <p></p> <p><a href="https://www.securityweek.com/apple-patches-code-execution-vulnerability-in-ios-macos/"><strong><span style="font-size: 20px;">蘋果發布iOS 17.4.1、macOS Sonoma 14.4.1，修補AV1影音編碼器漏洞</span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-ray-framework-flaw-to-breach-servers-hijack-resources/"><strong><span style="font-size: 20px;">人工智慧框架Ray漏洞遭到鎖定，攻擊者挾持運算能力、竊取機敏資料</span></strong></a></p> <p><a href="https://blog.lumen.com/the-darkside-of-themoon/"><strong><span style="font-size: 20px;">4萬臺EOL路由器、IoT裝置被用於架設大型殭屍網路TheMoon</span></strong></a></p> <p></p> <p><strong><a href="https://www.reversinglabs.com/blog/suspicious-nuget-package-grabs-data-from-industrial-systems"><span style="font-size: 20px;">惡意NuGet套件鎖定工控系統挖掘機敏資訊</span></a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161956"><strong>【3月26日】Google搜尋提供的AI建議竟列出詐騙網站和惡意網站</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161940"><strong>【3月25日】俄羅斯駭客APT29鎖定德國政黨散布惡意程式WineLoader</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161905"><strong>【3月22日】研究人員公布無限循環的阻斷服務攻擊手法Loop DoS</strong></a></p> </div></div></div>
2024/3/27 16:50作者周峻佑https://www.ithome.com.tw/news/162004
Podman 5.0重寫Podman Machine指令，支援Apple虛擬機器管理程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源容器平臺<a href="https://blog.podman.io/2024/03/podman-5-0-has-been-released/">Podman推出重大更新版本5.0</a>，在最新版本中，開發團隊重寫了Podman Machine指令，強化對Windows和Mac作業系統的支援，而清單（Manifests）也支援OCI構件，以支援不同類型的容器，另外，Podman現在預設使用Pasta來處理非Root網路。</p> <p>Podman Machine是Podman用來啟動Linux虛擬機器，可讓Windows和Mac系統也能運作Linux容器的重要元件，而開發團隊重寫Podman Machine指令，如此不只能提高執行效能和穩定度，也明顯增加了不同虛擬機器供應商之間程式碼共用的比例，降低使用者維護程式的成本。</p> <p>而Podman 5.0也新增Apple虛擬機器管理程式（Apple ㄑ）支援，以大幅提高Podman在Mac上的穩定性、啟動時間和檔案共享效能。用戶還可以使用新的Podman Machine重置指令，刪除由Podman Machine管理的虛擬機器。</p> <p>從Podman 4.4版本開始支援Pasta非Root網路後端，讓普通用戶即便在沒有Root權限的情況下，也能設定和管理容器網路，而官方提到，因為Pasta可以明顯改善效能，因此將其預設為Podman 5.0的非Root網路後端。</p> <p>同時，有鑑於Podman 4.9使用SQLite作為預設資料庫，大幅提高了穩定性，而現在官方進一步棄用BoltDB資料庫後端，使用者已經無法創建BoltDB資料庫，所有新的Podman安裝皆使用SQLite資料庫，不過既有的BoltDB資料庫仍然可以使用。</p> <p>由於Podman 4.0新加入網路堆疊Netavark，已經能適用所有Podman使用案例，效能和功能都已等同甚至是超越CNI，因此Podman 5.0移除對大多數平臺的CNI（Container Network Interface）網路支援。</p> <p>取消CNI支援能夠減少開發團隊的負擔，而且也因為CNI專案轉為專注支援Kubernetes，進一步促使Podman團隊取消支援CNI。不過部分版本仍需要CNI，像是FreeBSD、RHEL，這些版本皆會維持啟用CNI的狀態。</p> <p>在最新版本中，containers.conf配置文件處理也有變化，現在不會覆寫用戶修改過的檔案，也就是說，Podman更新或是執行的時候，能夠維持用戶對containers.conf進行的變更，確保用戶自定義設定不會被Podman更新時覆蓋掉。</p> <p>此外，Podman 5.0還強化對Docker的相容性，開發團隊修改Podman Inspect指令的輸出，使其能夠更好的搭配Docker的輸出格式，讓從Docker過渡至Podman的用戶更容易適應，也使基於Docker的工具和腳本更容易和Podman相容。</p> <p>由於Podman 5.0是一個重大的更新，官方強調，Podman 4與Podman 5機器間沒有直接升級的方法，因此對於重要的Podman專案，使用者應該謹慎升級。而執行Mac的Podman 4，因為是以QEMU虛擬化為基礎，而Podman 5在Mac上使用了Apple虛擬機器管理程式，並且棄用了對QEMU的支援，因此要在Mac上使用Podman 5，除了本身軟體之外，用戶還需要安裝可透過虛擬化框架啟動虛擬機器的簡單命令列工具vfkit。</p> </div></div></div>
2024/3/27 16:25作者李建興https://www.ithome.com.tw/news/161998
Adobe擁抱生成式AI，推出GenStudio以優化內容供應鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Adobe於周二（3/26）展開的Adobe Summit 上發表了可用來協助行銷人員快速規畫及啟用內容的<a href="https://news.adobe.com/news/news-details/2024/Adobe-Announces-Generative-AI-Solutions-to-Jumpstart-Content-Supply-Chain-for-Enterprises-/default.aspx" target="_blank">GenStudio</a>，強調將利用生成式AI來優化內容供應鏈。</p> <p><a href="https://business.adobe.com/products/genstudio.html" target="_blank">根據Adobe的定義</a>，GenStudio是個以生成式AI為優先的產品，得以讓行銷團隊更快速地規畫、建立、啟用、跨應用與出版商的啟用，以及衡量品牌內容，它能夠獨立運作，也可以與其它內容供應鏈上的產品協作。</p> <p>因此，專為小型至大型企業所建構的GenStudio蒐集了跨通路行銷所需的各種工具，並以生成式AI為基礎，讓團隊成員可以快速尋找及生成資產，創造各種不同的作品，並根據即時的內容效能洞察來優化體驗。例如替行銷人員提供符合品牌的範本，方便針對媒體、社交平臺、電子郵件或網路等不同的通路產生高效能內容；或是針對品牌、客戶角色及產品描述進行訓練，以確保由AI產生的文案及圖像符合所需；也能直接使用生成式AI來審查文案與圖像。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0327-Adobe%20GenStudio-for%20marketing-2.png" style="width: 600px;" /></p> <p>具體而言，<a href="https://business.adobe.com/resources/sdk/getting-started-with-adobe-genstudio.html" target="_blank">GenStudio具備三大支柱</a>，分別是工作流程與規畫、創造及生產、啟用與遞送，而每一個支柱都是由不同的工具所支援，完善地整合將能流暢地執行內容供應鏈。</p> <p>其中一項工具為Adobe去年發表的生成式AI模型Firefly。Firefly模型的訓練內容源自於Adobe Stock專業授權圖像、版權過期的公開授權圖像，再加上公領域的內容，以提供一個安全且合法的生成式AI模型，Firefly具備一個網頁介面，允許使用者輸入文字以生成圖像，或是利用畫筆消除或建立新物件，也能在單字或語句上加上風格或紋理，此外，Adobe亦允許企業以自家圖像來訓練Firefly，以生成符合企業風格的作品。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0327-adobe%20firefly.png" style="width: 600px;" /></p> <p>GenStudio目前仍在預覽階段，但試用過的Orvis發現制定專案計畫的時間減少了75%，JLL創意團隊在兩年內的交付成果增加了250%，T-Mobile在不增加人力的前提下活動產出提高了47%，Asics亦因此減少了30%的資產浪費。</p> <p>GenStudio預計於今年全面上市，但價格將因客戶的需求而有所不同。</p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Adobe</span></span></p> </div></div></div>
2024/3/27 16:41作者陳曉莉https://www.ithome.com.tw/news/162003
美國控告加密貨幣交易平臺KuCoin
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-sdny/pr/prominent-global-cryptocurrency-exchange-kucoin-and-two-its-founders-criminally" target="_blank">美國司法部</a>及<a href="https://www.cftc.gov/PressRoom/PressReleases/8884-24" target="_blank">美國商品期貨交易委員會</a>（Commodity Futures Trading Commission，CFTC）周二（3/26）分別控告加密貨幣平臺KuCoin，指控該平臺涉及洗錢及違反美國的《商品交易法》（Commodity Exchange Act，CEA）與CFTC規定。</p> <p>KuCoin是在2017年由Chun Gan與Ke Tang兩名中國公民所創立，並於2021年推出自家加密貨幣KuCoin Token，目前該平臺提供超過750種加密貨幣的交易服務，支援逾20種語言，號稱是全球前五大加密貨幣交易平臺，24小時的交易規模超過32億美元。</p> <p>美國司法部本周指控KuCoin、Gan與Tang違反《銀行保密法》（Bank Secrecy Act，BSA），沒有註冊匯款業務，也沒有維護適當的反洗錢計畫（Anti-Money Laundering，ALM），助長洗錢活動。</p> <p>根據美國的調查，在2023年7月以前，KuCoin並不要求客戶提供任何身分資訊，就算之後收到美國聯邦政府針對該平臺展開刑事調查的通知之後，才針對新客戶採用了「了解你的客戶」（Know Your Customer，KYC）計畫，但該計畫也僅適用於新客戶，並未要求現有客戶出示身分，也從未提交過任何必要的可疑活動報告，而且雖有大量的美國客戶，卻從未於美國註冊過期貨或匯款業務。</p> <p>此外，KuCoin還試圖隱藏美國客戶的存在，積極阻止美國客戶在開設帳號時表明自己的身分。調查亦發現KuCoin被用來當作暗網、惡意軟體、勒索軟體與詐欺案件的洗錢平臺，自2017年以來，該平臺已收到超過50億美元的可疑與犯罪收益，流出的犯罪收益亦超過40億美元。KuCoin最吸引客戶的要點之一就是它提供匿名服務。</p> <p>美國司法部指出，Gan與Tang皆被指控違反《銀行保密法》及無照經營匯款業務，每項罪名最高可判處5年刑期。</p> <p>至於CFTC則聲稱負責經營KuCoin的多家公司多次違反《商品交易法》及CFTC規定，包括在從未註冊的情況下提供期貨服務，要求相關業者歸還非法所得，支付罰款，亦尋求永久禁令。</p> <p>美國對KuCoin的指控類似<a href="https://www.ithome.com.tw/news/159946" target="_blank">去年對幣安（Binance）</a>所採取的行動，消息傳出後，KuCoin Token下滑超過10%，目前的價格落在12.52美元左右，<a href="https://twitter.com/kucoincom/status/1772649807972315170" target="_blank">KuCoin當天也透過X表態</a>，表示該平臺目前仍正常運作，用戶資產非常安全，已交由律師調查訴訟事宜，同時強調該平臺尊重各國法律並遵守相關規定。</p> </div></div></div>
2024/3/27 15:51作者陳曉莉https://www.ithome.com.tw/news/162002
平面設計平臺Canva收購Affinity
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>線上平面設計平臺Canva周二（3/26）<a href="https://www.canva.com/newsroom/news/affinity/" target="_blank">宣布買下熱門的設計套件Affinity</a>，包括Affinity Designer、Affinity Photo與Affinity Publisher，雙方並未公布交易細節，但根據<a href="https://www.bloomberg.com/news/articles/2024-03-26/canva-acquires-affinity-design-suite-in-push-to-rival-adobe?embedded-checkout=true" target="_blank">《彭博社》</a>（Bloomberg）的報導，此一交易價值數億英鎊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0327-canva%20acquire%20Affinity.jpg" style="width: 450px;" /></p> <p>正確地說，Canva收購的對象是Serif Europe，1987年創立於英國的Serif最初主要開發排版軟體，並在2014年推出向量圖形編輯工具Affinity Designer，於2016年發表點陣圖形編輯工具Affinity Photo，再於2019年推出桌面出版工具Affinity Publisher，其功能分別類似Adobe Illustrator、Adobe Photoshop與Adobe InDesign，且在Adobe全面走向訂閱制的同時，Affinity套件仍保留買斷策略，而成為熱門的Adobe替代品，目前Affinity系列在全球已吸引逾300萬名使用者。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0327-Affinity.jpg" style="width: 600px;" /></p> <p>至於Canva則是2013年成立於澳洲的平面設計平臺，可用來建立社交媒體圖像、簡報、海報、文件或其它視覺內容，還具備設計範本，該平臺同時提供免費服務以及可存取進階功能的訂閱服務，用戶數超過1.75億。Canva並未如Adobe般地開發針對不同目的的設計軟體，但該平臺依舊於設計圈快速崛起，在2021年的估值達到400億美元，已被視為Adobe的最大競爭對手。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Brand%20Kit%20In%20Editor.jpg" style="width: 600px;" /></p> <p>Canva表示，過去幾年市場對高效及吸睛的視覺傳達需求急劇增加，儘管該平臺過去10年主要關注99%沒有接受過設計培訓的知識工作者，但藉由納入Affinity，將可服務各種等級與階段的設計師，且雙方皆認同專業設計軟體應該更加直覺、價格實惠、快速及流暢。</p> <p>外界最擔心的是在Affinity被Canva收購之後，會不會順應訂閱制的潮流，取消永久購買版，不過，根據<a href="https://affinity.serif.com/zh-cn/press/newsroom/canva-statement/" target="_blank">Serif所發表的聲明</a>，目前的訂價模式並沒有任何改變，所有的應用程式都可一次購買，Affinity程式完全不會受到影響，仍由英國的同一團隊繼續開發，也會保留Affinity品牌，也沒有裁員計畫。</p> <p>此外，Serif則解釋，過去該公司根本沒想過要出售，一直到Canva幾個月前主動接洽它們，由於Canva缺乏專業的設計工具，而Serif亦無任何雲端或協作服務，再加上雙方的理念與文化都非常相似，相信彼此的結合將能共同打造世界上最全面的視覺通訊產品，還能更快地開發程式來服務現有的創意社群。</p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Canva</span></span></p> </div></div></div>
2024/3/27 13:17作者陳曉莉https://www.ithome.com.tw/news/161995
Google釋出Windows on Arm版原生Chrome
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>配合高通Arm-based Snapdragon晶片的規畫，<a href="https://blog.google/products/chrome/download-google-chrome-windows-pc-arm/" target="_blank">Google本周宣布</a>將釋出適合Snapdragon Arm-based Windows PC下載的Chrome瀏覽器。</p> <p>新版Chrome已為搭載高通Arm-based Snapdragon晶片的Windows PC優化，可確保上網的效能。Google今年1月提供Canary測試版，本周則逐步會在各市場上線<a href="https://www.google.com/chrome/" target="_blank">正式版本</a>。</p> <p>效能是這次更新最主打的特色。Chrome內建節能模式和記憶體節省模式等功能，可優化使用體驗。Google補充，根據最新標竿測試，<a href="https://www.qualcomm.com/news/releases/2023/10/qualcomm-unleashes-snapdragon-x-elite--the-ai-super-charged-plat" target="_blank">Chrome在搭載Qualcomm Snapdragon X Elite CPU的機器上</a>，效能還可進一步提升。</p> <p>Snapdragon X Elite預計2024年中推出。<a href="https://www.macrumors.com/2023/12/18/qualcomm-snapdragon-x-elite-faster-apple/" target="_blank">高通聲稱</a>，新晶片在一項多核標竿測試中，效能比Apple Silicon M3快21%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0327-Chrome-Arm-compatible%20Windows%20PC-Qualcomm%20Snapdragon%20X%20Elite-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／高通</span></span></p> <p>除了效能，Google強調Windows PC版Chrome還內建安全性（如安全瀏覽、密碼管理器、安全檢查）、整合AI的Google搜尋、Google翻譯；離線使用Gmail、Google文件、Google翻譯和Google雲端硬碟；跨裝置瀏覽；以及眾多外掛。Chrome瀏覽器可在<a href="https://www.google.com/chrome/" target="_blank">官網</a>下載，現在還未看到Windows on Arm適用版本的用戶，可以再等等。</p> </div></div></div>
2024/3/27 11:14作者林妍溱https://www.ithome.com.tw/news/161982
Momo RMN精準行銷服務正式上線！還要推開店平臺及直播電商等更多類型的零售數位服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣電商龍頭Momo今（3/26）揭露2024年推動電商成長的新做法，包括零售媒體聯播網（RMN）服務「Momo Ads」、開店平臺服務「Mo店+」、支援直播電商的數位工具，以及輔助物流最後一哩路的新物流據點類型「衛星站」。</p> <p><strong>RMN服務正式上線</strong><br /> 去年3月，Momo便透露進軍廣告業務的意圖，隨後於8月正式開始籌備，並在第4季上線RMN服務Momo Ads。Momo電商事業資深副總經理洪偉釗表示，這是個一站式自助投廣平臺，供應商要使用廣告服務，不需事先串接任何系統。</p> <p>Momo Ads廣告採取即時競價機制（RTB，Real-time Bidding），由Momo打造的推薦演算法和CTR/CVR預估模型，來進行精準行銷及行銷成效估算。廣告主還能從後臺看到即時廣告成效報表，分析廣告點擊、曝光、商品成交、成交內容等數據，並快速調整投廣策略。</p> <p>洪偉釗坦言，讓供應商願意買單這種新型態廣告並非易事。Momo策略是讓數字說話，希望廣告投資報酬率（ROAS，Return on Ad Spend）可以和Google、Meta等大型廣告平臺看齊。為此，Momo RMN團隊仍在持續嘗試改善推薦演算法精準度。</p> <p><strong>重新推出開店平臺服務</strong><br /> Momo今年開始試營運開店平臺服務Mo店+，提供客製化開店模組，以及Momo金流、物流、行銷工具等付費服務。</p> <p>早年，Momo有推出摩天商城開店平臺服務，後來終止服務。Momo總經理谷元宏不諱言，當初推出開店平臺服務時，不僅自己規模較小，且動機接近於跟風。穩坐電商龍頭地位後，他們希望利用自家平臺影響力及資源，再次挑戰開店平臺服務。</p> <p>谷元宏表示，這次推出開店平臺動機明確，是要透過外部商家品項，來補齊一般B2C電商不容易找到的商品。為了確保商家品質。Mo店+目前採取邀約制，初期希望招募商品品項少量多樣的店家，販售傳統B2C電商不容易找到的商品。</p> <p>開店平臺服務也有望為Momo RMN業務注入一波成長動能。谷元宏說明，開店平臺店家通常希望有更多行銷自主性和彈性，自助式投廣模式的RMN，正好符合這個需求。</p> <p><strong>用數位服務強化直播電商</strong><br /> Momo已經有電視電商及直播電商頻道，今年，為了讓站上品牌能進一步經營直播電商，他們還要推出品牌專屬直播製作服務及自助式直播工具。</p> <p>前者是為有大規模直播節目製作需求的品牌提供製作、行銷、設計、數據復盤等服務。後者則是推出<a href="https://play.google.com/store/apps/details?id=com.momoshop.android.streampusher&hl=zh_TW&gl=US">直播用App</a>，讓品牌能輕鬆建立好直播環境，展開直播電商業務。</p> <p><strong>設立配置更精簡的送貨據點來強化最後一哩路物流</strong><br /> 谷元宏坦言，目前Momo物流效率仍是北部強於南部。今年，Momo南區儲配運輸物流中心預計於第二季完工、第三季試營運，預計能改善此情況。不只如此，Momo還打算建置新種類智慧物流據點「衛星站」，來強化最後一哩路物流。</p> <p>衛星站比衛星倉更小型，占地約100坪，主要用途不是商品倉儲，而是當作物流節點。衛星站將搭配AI智能選品配置及路線規畫技術，有訂單需求時，才會從鄰近倉儲調貨到離消費者最近的衛星站，供車隊取貨、送貨。</p> <p><strong>用Mo幣進軍企業福利電商的業務持續成長中</strong><br /> Momo去年宣布，將利用旗下會員點數Mo幣打入B2B電商。今日洪偉釗進一步揭露，這類業務有兩種型態，第一是直接販售Mo幣給Acer等大型企業，作為福利點數發放給員工，第二則是上架Mo幣到其他企業福利網，成為該福利網其中一個企業福利選項。由於業務剛起步，企業福利電商所發行的Mo幣占總發行量（100億顆）比例仍非常小，但相比去年仍成長了50%。</p> <p>谷元宏補充，Momo營業費用相比去年幾乎不變，惟IT投資持續增加，以支援RMN、智慧倉儲等新IT建設。</p> <p> </p> </div></div></div>
2024/3/27 09:52作者郭又華https://www.ithome.com.tw/news/161959
【廠商永續支援度盤點：Pure Storage】 Pure1維運管理平臺提供能耗與碳排監控支援功能，透過儀表板快速查看…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr" id="docs-internal-guid-6e6823b6-7fff-8611-bf86-f325df5f2719">儲存廠商Pure Storage去年底開始在其雲端維運管理平臺Pure1中新增永續性評估的功能，不只可以監控儲存設備使用的整體能耗，還能夠提供年度的碳排放當量資訊，方便企業監控和管理這些儲存設備的碳排，作為改善其能耗與碳排的參考依據。</p> <p dir="ltr">近幾年，不只伺服器廠商開始重視IT設備能耗與碳排放資訊管理，各大儲存業者也紛紛加強儲存產品的能耗與碳排數據的監控和追蹤，讓企業可以快速了解這些儲存設備使用的能耗和碳排數據，Pure Storage也是積極搶進的其中一家業者，去年底開始在Pure1維運管理平臺中推出能耗與碳排放監控支援功能。</p> <p dir="ltr">Pure1是Pure Storage在2015年推出的雲端維運管理平臺，可以為自家儲存設備提供統一監控與管理功能，並可透過AI幫助用戶分析與管理儲存環境。Pure1在去年9月推出一個永續性評估儀表板，加入能耗與碳排放監控功能，可以監控包含FlashArray全快閃儲存陣列、FlashBlade物件儲存設備在內的能耗與碳排的情況，方便企業蒐集和管理這些儲存設備使用的碳排數據，來因應永續發展和法遵要求。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-%20Pure1%20-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%20-Pure%20Storage(1).png" style="width: 600px;" /></p> <p dir="ltr"><strong style="color: rgb(105, 105, 105);">從Pure Storage提供的永續儀表板的畫面中，企業可以快速查看使用FlashArray或FlashBlade設備在全球不同營運據點的整年總耗電量和碳排放量，還能根據容量利用率、效率和功耗等指標的呈現，顯示每臺儲存設備的目前狀態，讓使用者更容易了解各據點的能耗和碳排放情況。 </strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Pure Storage</span></p> <p dir="ltr"> </p> <p dir="ltr"><strong><span style="font-size:28px;">新增永續性評估功能，可以查看儲存設備使用能耗與碳排</span></strong></p> <p dir="ltr">從Pure Storage提供的永續儀表板的畫面中，企業可以快速查看使用FlashArray或FlashBlade設備在全球不同營運據點的整年總耗電量和碳排放量，還能根據容量利用率、效率和功耗等指標的呈現，顯示每臺儲存設備的目前狀態，讓使用者更容易了解各據點的整體能耗和碳排放情況。</p> <p dir="ltr">在儀表板中還設有一整排的六角形格子，每個格子都代表一臺臺儲存設備，並以不同的顏色顯示其狀態，例如紅色的格子代表設備可能出現異常耗電的情形，須立即採取必要行動，綠色則表示這臺設備運作是處於正常的狀態。當使用者用游標點選格子圖案時，可以進一步查看對應該儲存設備的詳細資訊，包括機型、所屬資料中心等，在格子中還會根據其標示的顏色提供不同的改善建議。</p> <p dir="ltr">Pure1平臺定期會從用戶的儲存設備取得有關CPU的運行狀況、記憶體使用狀況、耗電量、資料減量率等資訊，這些儲存設備會以每30秒一次的頻率，將這些資訊上傳到雲端資料中心，接著利用AI等分析技術進一步分析處理後，再透過永續儀表板向用戶提供改善建議，幫助使用者優化能源使用和減少碳排放。</p> <p dir="ltr">在永續儀表板中，還會提供企業組織的年度永續資訊摘要，其中包含全年的電力使用和直接碳排放資訊與設備整體運作效率，此外，企業還可以比較Pure Storage設備和其他廠商同級設備之間的差異，了解可以因此省下多少用電與碳排放。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-%20Pure1%20-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%20-Pure%20Storage.png" style="width: 600px;" /></p> <p dir="ltr"><strong style="color: rgb(105, 105, 105);">在永續儀表板中還設有一整排的六角形格子，每個格子都代表一臺臺儲存設備，並以不同的顏色顯示其狀態，例如紅色的格子代表設備可能出現異常耗電的情形，須立即採取必要行動，綠色則表示這臺設備運作是處於正常的狀態。 </strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Pure Storage</span></p> <p dir="ltr">在年碳排放量的估算上，Pure Storage利用聯合國氣候變遷政府間專家委員會（IPCC）推估方法來計算儲存設備使用的溫室氣體排放量，利用一周平均用電推估一年MWh總用電量後，再乘上碳排係數後，轉換成年度的二氧化碳排放當量，之後再根據每個資料中心使用再生能源的比例，調整計算出的碳排放量，方便企業根據整年碳排放量預估來制定減碳策略。</p> <p dir="ltr">不僅如此，使用者還可以透過永續儀表板進一步放大查看每個據點中個別儲存設備的能耗狀況，除了提供基本資訊如設備機型、版本等，還包含了每7天平均機架伺服器的容量利用率、尖峰功耗、熱度以及每TB的能源效率等資訊。不過，目前僅能查看儲存設備的整體年度碳排，不含單一設備的碳排資訊。</p> <p dir="ltr">Pure Storage表示，用戶使用其FlashArray或FlashBlade儲存設備，就能夠免費使用Pure1這套維運管理平臺，其中包含了永續儀表板。</p> <p>除了在雲端維運平臺新增永續儀表板，Pure Storage近幾年也持續將永續發展融入到營運策略中，包括環境足跡、製造流程和供應鏈方面等，此外，在軟硬體產品設計上也十分重視永續性，例如提供更高的儲存密度、更有效的資料減量，從而節省實體儲存空間，以降低能源使用。</p> </div></div></div>
2024/3/27 10:26作者余至浩https://www.ithome.com.tw/news/161903
微軟傳Surface部門主管將統掌硬體、Windows、Web開發業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼上周<a href="https://www.ithome.com.tw/news/161865" target="_blank">宣布新成立AI部門</a>後，微軟可能又有組織變動。媒體報導，微軟負責Copilot、Bing等開發的部門主管將下臺，由Surface部門主管統一掌理Windows及Surface硬體部門。</p> <p><a href="https://www.theverge.com/2024/3/25/24111931/microsoft-windows-surface-pavan-davuluri" target="_blank">《The Verge》</a>昨日取得體驗+裝置部門執行副總裁Rajesh Jha的對內公開信報導，因為Mikhail Parakhin將「另尋新角色」，因此Surface部門主管Pavan Davuluri將接管負責Windows、Copilot、Bing、Edge的Windows+Web體驗部門，以及Windows+Surface硬體部門，並向Jha報告。根據Jha的說法，Parakhin轉到技術長暨執行副總裁Kevin Scott旗下，支持組織完成轉型。</p> <p>兩部門過去即隷屬同一主管，但原主管Panos Panay突然在9月跳槽Amazon後，微軟將其部門切分為二，一是Parakhin率領的Windows+ Web體驗部門，二是Surface裝置及晶片部門，由Pavan Davuluri執掌。</p> <p>Davuluri已是微軟23年資深員工，2021年升任至現職。他也是微軟和AMD及高通合作，以開發微軟自製晶片的核心人物。</p> <p>雖然根據微軟內部信件，Parakhin仍然留在微軟，但其他媒體則報導他將離開公司。原因可能和AI部門的成立有關。</p> <p>上周微軟執行長<a href="https://www.ithome.com.tw/news/161865" target="_blank">Satya Nadella宣布</a>成立新AI部門，延攬AI新創公司共同創辦人Mustafa Suleyman為最高主管，該部門也將涵括生成式AI（GenAI）部門，以及Parakhin部門開發的Copilot、Edge、Bing業務，Parakhin和GenAI主管Misha Bilenko都得向Suleyman報告。</p> <p>報導引述Jha的說法，Windows部門未來將會和Microsoft AI部門在AI、晶片和體驗上密切合作。AI早已是微軟產品策略的重點，不僅是Windows、Bing和各項服務，連硬體也是。<a href="https://www.ithome.com.tw/news/161907" target="_blank">上周微軟才宣布</a>第一批具有Copilot專用鍵的商用Surface筆電及平板。</p> <p>微軟官方尚未證實此項組織異動消息。</p> </div></div></div>
2024/3/27 09:34作者林妍溱https://www.ithome.com.tw/news/161962
針對雲端服務供應商再出手，Redis 7.4轉移使用RSAL與SSPL雙重授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Redis官方<a href="https://redis.com/blog/redis-adopts-dual-source-available-licensing/">宣布</a>從Redis 7.4版本開始，將更換原本所使用的3-Clause BSD（Berkeley Software Distribution）授權條款，改使用RSALv2（Redis Source Available License）與SSPLv1（Server Side Public License）雙重授權（Dual-License）。根據新授權方法，託管Redis產品的雲端服務供應商，將不被允許免費使用Redis原始碼，雲端服務供應商必須要Redis同意才能提供Redis 7.4。</p> <p>在2022年的時候，Redis開始以RSALv2、SSPLv1雙重授權發布包括RedisJSON、Redis Stack等模組，而現在Redis逐漸要把所有免費軟體轉向雙重授權，官方提到，雙重授權方式讓使用者可以在RSALv2和SSPLv1之間選擇。</p> <p>而從Redis 8開始，官方計畫在產品中添加新的資料類型和處理引擎，這些功能原本是Redis Stack的一部分，同樣使用RSALv2或是SSPLv1授權，而在Redis 8上市之後，Redis Stack生命周期將會結束，官方不會再提供這些功能的獨立建置版本。</p> <p>雖然Redis官方認為，RSALv2是一種寬鬆的Non-Copyleft授權，允許用戶使用、複製、發布、提供以及改作。但是RSALv2有兩項主要限制，第一是不得將軟體商業化或作為託管服務提供給他人，第二則是不得刪除和隱藏任何授權、版權和其他通知。</p> <p>而SSPL則是MongoDB所發布的原始碼授權條款，目的是要保護開放原始碼，避免遭雲端服務供應商濫用，解決雲端服務供應商在SaaS模型下，使用開源軟體提供雲端服務，但是又不共享改進或是強化版本的問題。SSPLv1強制組織必須公開提供服務所使用的原始碼，包括該軟體的任何修改與衍生作品，以及服務營運相關的所有後端程式碼，也就是強制要求提供服務的公司，必須遵守開源軟體的分享精神。</p> <p>很明確的是，RSALv2和SSPL都不是開放原始碼組織（Open Source Initiative，OSI）所核可的授權，因為這兩個授權對原始碼的使用都有一些限制。Redis官方強調，這次變更對Redis的終端使用者、第三方函式庫以及商業客戶皆無影響，主要影響對象是發展Redis競爭性產品的組織，無論選擇雙重授權的任何一個授權，現在都無法免費使用新版本的Redis原始碼。</p> <p>官方所定義的競爭產品，是指以Redis程式碼基礎所開發、銷售給第三方，而且功能與Redis產品有明顯重疊產品，包含第三方託管服務、嵌入式解決方案，甚至是付費支援等，都屬於Redis的競爭產品。而當Redis之後創建的產品，與用戶在生產環境中的產品出現競爭關係，則只要用戶繼續使用Redis新產品推出之前所發布的Redis版本，則不會被視為違反RSALv2或SSPLv1。</p> </div></div></div>
2024/3/26 22:09作者李建興https://www.ithome.com.tw/news/161960
【資安日報】3月26日，Google搜尋提供的AI建議竟列出詐騙網站和惡意網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年5月Google在I/O大會宣布啟動搜尋引擎的<a href="https://blog.google/products/search/generative-ai-search/">生成式搜尋體驗（Search Generative Experience，SGE）專案</a>，今年初開放部分用戶使用，可在完成搜尋後一併得到生成式AI的建議，然而，有專家發現，SGE竟會提供垃圾網站及惡意網站作為參考資料。</p> <p>對此，有研究人員進行調查，並指出可能是遭遇SEO中毒所致。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/google/googles-new-ai-search-results-promotes-sites-pushing-malware-scams/"><strong style="font-size: 22px;">Google人工智慧搜尋建議內容疑遭SEO中毒，參雜惡意網站連結</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GJSgsp5WwAA8uau.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GJSgsp5WwAA8uau.png" style="width: 300px; float: right;" /></a>近期Google開始在搜尋引擎加入生成式搜尋體驗功能（SGE），藉此在搜尋結果提供由AI產生的快速摘要，以及相關網站等其他建議資訊。然而，有人發現SGE竟會推薦垃圾網站及惡意網站，使得用戶容易上當。</p> <p>此情況最初是由<a href="http://twitter.com/lilyraynyc/status/1771217301863289140">Amsive Digital搜尋引擎最佳化（SEO）顧問Lily Ray揭露</a>，資安新聞網站Bleeping Computer循線進行調查發現，SGE推薦的網站具備幾種特徵，例如：使用.online頂級網域名稱（TLD）、套用相同的HTML模版、會進行重新導向的網站。</p> <p>該網站推測，這樣的結果很有可能是SEO中毒攻擊造成，導致相關的惡意內容被Google索引納入。</p> <p><a href="https://therecord.media/ukraine-isps-attacks-solntsepek-sandworm-gru"><strong style="font-size: 22px;">與Sandworm有關的俄羅斯駭客團體傳出攻擊烏克蘭網路服務供應商</strong></a></p> <p></p> <p>3月13日俄羅斯駭客組織Solntsepek聲稱攻擊了4家烏克蘭網路服務供應商Triacom、Misto TV、KIM、Linktelecom，原因是他們是對政府機關及武裝部隊提供網路服務的業者，而這群駭客試圖干擾上述業者營運，並竊得內部文件及客戶資料庫。</p> <p>報導此事的資安新聞網站Recorded Future News指出，由於上述廠商在烏克蘭較鮮為人知，很難確認上述說法的真實性。烏克蘭國家特別通訊暨資訊保護局（SSSCIP）正在調查上述事故，並表示攻擊者是俄羅斯駭客組織Sandworm旗下團體UAC-0165。烏克蘭國家安全局（SBU）也表示，他們已著手調查，但目前發現的證據都和Solntsepek有關，這群歹徒去年曾攻擊烏克蘭大型電信業者Kyivstar。</p> <p>Triacom、Misto TV、KIM發出公告，表明正逐步復原相關服務。而對於駭客所使用的犯案工具，很有可能是3月21日資安業者SentinelOne公布名為AcidPour的資料破壞軟體（Wiper），此惡意程式為另一款資料破壞軟體AcidRain的變種，採用C語言打造而成，當時研究人員推測，很可能與俄羅斯軍事情報局（GRU）的駭客有關。</p> <p>資料來源</p> <p>1. <a href="https://t.me/solntsepekZ/1481">https://t.me/solntsepekZ/1481</a><br /> 2. <a href="https://cert.gov.ua/article/6123309">https://cert.gov.ua/article/6123309</a><br /> 3. <a href="https://www.triangulum.ua/contacts">https://www.triangulum.ua/contacts</a><br /> 4. <a href="https://www.facebook.com/kimltd/posts/pfbid03QZycg5jfwGuGKgndeAzEPrABDcHFRp9B5gpsoMm7cHVV5hPWeDZ2UiFhK6TvJGYl?__cft__[0]=AZVLTcvM5rv4ilOSLdulTTY4ae_ShiO5tm29d62aw_-LuqaBWxIjghkGhqA7an58jUdLNJI6ah0Ia2CTG_cWORByUkW8l0dXs9dlmbfyymxhQR5be5usRw51zwDUzDpQSXwogKa6ux1FbQrP3LAi-08osbYY3dxJ9_bGTXtizThbZccLG_ux3_gdvEve03a_1Nc&__tn__=%2CO%2CP-R">https://www.facebook.com/kimltd/posts/pfbid03QZycg5jfwGuGKgndeAzEPrABDcHFRp9B5gpsoMm7cHVV5hPWeDZ2UiFhK6TvJGYl?__cft__[0]=AZVLTcvM5rv4ilOSLdulTTY4ae_ShiO5tm29d62aw_-LuqaBWxIjghkGhqA7an58jUdLNJI6ah0Ia2CTG_cWORByUkW8l0dXs9dlmbfyymxhQR5be5usRw51zwDUzDpQSXwogKa6ux1FbQrP3LAi-08osbYY3dxJ9_bGTXtizThbZccLG_ux3_gdvEve03a_1Nc&__tn__=%2CO%2CP-R</a><br /> 5. <a href="https://www.facebook.com/misto.tv/posts/pfbid02QLf4nWa6vhRE3Zkf3tYrLQ5HTYhznnmod6MiHCjix63TcPiTVJgxgch3R2fPxNhFl?__cft__[0]=AZU9COTeiDEGbT1gho8DuYSxOzdaFic1pam3bwjZHAQ9VT4rmsF4MCqNrISjDLVbSUaPil_LVG-tIr7Ju-tyXHzLmAshcO5kz7sIeLtrL9aAtlFFl-S6O1QKpAGRI7T1VAKIgO8RN6XD3leqmhXz62Z7jHSlxFE492ECeDgGEcxBSA&__tn__=%2CO%2CP-R">https://www.facebook.com/misto.tv/posts/pfbid02QLf4nWa6vhRE3Zkf3tYrLQ5HTYhznnmod6MiHCjix63TcPiTVJgxgch3R2fPxNhFl?__cft__[0]=AZU9COTeiDEGbT1gho8DuYSxOzdaFic1pam3bwjZHAQ9VT4rmsF4MCqNrISjDLVbSUaPil_LVG-tIr7Ju-tyXHzLmAshcO5kz7sIeLtrL9aAtlFFl-S6O1QKpAGRI7T1VAKIgO8RN6XD3leqmhXz62Z7jHSlxFE492ECeDgGEcxBSA&__tn__=%2CO%2CP-R</a><br /> 6. <a href="https://www.sentinelone.com/labs/acidpour-new-embedded-wiper-variant-of-acidrain-appears-in-ukraine/">https://www.sentinelone.com/labs/acidpour-new-embedded-wiper-variant-of-acidrain-appears-in-ukraine/</a></p> <p><a href="https://unit42.paloaltonetworks.com/analysis-of-bunnyloader-malware/"><strong style="font-size: 22px;">惡意程式BunnyLoader 3.0被用於竊取受害電腦資料，並散布其他惡意軟體</strong></a></p> <p></p> <p>2023年9月出現的惡意軟體載入工具BunnyLoader，最近幾個月重新打造，資安業者Palo Alto Networks發現，對方在2月發布3.0大改版，號稱提高性能，並藉由降低惡意酬載檔案大小、強化鍵盤側錄的功能，增強90%的攻擊威力。</p> <p>研究人員對其程式進行分析，結果發現駭客開始採用RC4加密處理與C2的通訊，並拆分竊資軟體、剪貼簿攔截器、鍵盤側錄工具、DoS模組，攻擊者可選擇性部署所需模組來減少足跡。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.synopsys.com/blogs/software-security/cyrc-vulnerability-advisory-cve-2023-7060-missing-security-control-zephyr.html"><strong style="font-size: 22px;">物聯網及嵌入式裝置作業系統Zephyr OS存在漏洞，有可能被用於DoS攻擊或IP位址詐欺</strong></a></p> <p></p> <p>資安業者Synopsys指出，有不少物聯網裝置及嵌入式設備採用的作業系統Zephyr OS，其網路堆疊模組存在漏洞CVE-2023-7060，起因是該作業系統的IP封包處理缺乏安全控制機制。</p> <p>研究人員發現，其網路堆疊的實作，不會丟棄來源位址是本機的外部封包，違反網路安全實作，而有可能被用於IP位址詐欺攻擊，CVSS風險評分為8.6，影響2.7至3.5版Zephyr OS。</p> <p>一旦攻擊者觸發，就有可能導致設備面臨服務阻斷現象。研究人員去年12月通報並得到確認，專案維護團隊於今年1月完成修補，並於3月發布資安公告。</p> <p><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2024-15/"><strong style="font-size: 22px;">Mozilla修補Pwn2Own揭露的Firefox零時差漏洞</strong></a></p> <p></p> <p>3月22日Mozilla發布Firefox 124.0.1、ESR 115.9.1，修補兩個危急（Critical）層級的零時差漏洞CVE-2024-29943、CVE-2024-29944，這些漏洞的發現，是來自上週舉辦的漏洞挖掘競賽Pwn2Own Vancouver 2024，皆由研究人員Manfred Paul揭露。值得一提的是，這兩個漏洞是本次漏洞挖掘競賽最早得到修補的弱點。</p> <p>其中，CVE-2024-29943為越界存取（Out-of-bounds access）漏洞，攻擊者可透過欺騙基於範圍的邊界檢查機制，從而對JavaScript物件進行越界讀取或是寫入。</p> <p>另一個漏洞CVE-2024-29944與權限繞過有關，攻擊者能將事件處理程序注入握有特殊權限的使用者，而能夠透過主要處理程序執行任意的JavaScript指令碼。Mozilla強調，該漏洞存在於電腦版Firefox，行動裝置版本不受影響。</p> <p><a href="https://www.ithome.com.tw/news/161711"><strong style="font-size: 22px;">蘋果防堵聲音指紋辨識用戶身分的措施遭到破解</strong></a></p> <p></p> <p>為了防範他人在網站藉由聲音指紋辨識、追蹤用戶，蘋果在去年9月發表的大改版Safari 17當中，引入名為進階聲音指紋辨識防護功能，這項技術將會限制可用的資訊並加入隨機雜訊內容，以便降低辨識的準確度。但追蹤技術供應商Fingerprint認為，蘋果的做法仍有不足之處，因為他們藉由降噪處理避開保護機制，成功對瀏覽器產生唯一識別碼。</p> <p>研究人員指出，不只Safari對於聲音指紋辨識採取行動，Tor、Brave等瀏覽器也導入對應的機制，但他們仍能還原其聲音指紋。</p> <div> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.nstc.gov.tw/folksonomy/detail/6b560d28-e503-4bf8-8977-47e25ac605b7?l=ch"><strong style="font-size: 22px;">2024年Gics尋找資安女婕思競賽報名即將於3月底截止</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Gics2024-all.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gics2024-all.jpg" style="width: 300px; float: right;" /></a>3月8日國家科學及技術委員會開放「2024 GiCS尋找資安女婕思」競賽報名，即將於31日截止。</p> <p>尋找資安女婕思競賽今年已邁入第4屆，本次的競賽分組規畫，包含高中職及大專院校組，比賽項目則有「資安闖天關」及「創意發想賽」。值得一提的是，為擴大資安人才培育，本次的創意發想賽特別增列非資訊科系的組別，希望讓更多對資安有興趣的同學參與，發想出生活各面向可能產生的資安需求和問題。</p> <p>此次競賽預定在4月27日於臺南沙崙資安暨智慧科技研發大樓舉辦決賽，並舉辦第5期「女婕思好科技」研習活動。</p> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://blog.sekoia.io/tycoon-2fa-an-in-depth-analysis-of-the-latest-version-of-the-aitm-phishing-kit/"><span style="font-size: 20px;">新型態網路釣魚工具包Tycoon 2FA鎖定微軟365、Google用戶，並能繞過雙因素驗證</span></a></strong></p> <p></p> <p><a href="https://www.mandiant.com/resources/blog/initial-access-brokers-exploit-f5-screenconnect"><strong><span style="font-size: 20px;">中國駭客組織UNC5174鎖定BIG-IP、Confluence、ScreenConnect漏洞發動攻擊</span></strong></a></p> <p></p> <p><a href="https://www.rapid7.com/blog/post/2024/03/20/the-updated-apt-playbook-tales-from-the-kimsuky-threat-actor-group/"><strong><span style="font-size: 20px;">北韓駭客組織Kimsuky利用CHM檔案散布惡意程式</span></strong></a></p> <p><strong><a href="https://www.tenable.com/blog/flowfixation-aws-apache-airflow-service-takeover-vulnerability-and-why-neglecting-guardrails"><span style="font-size: 20px;">研究人員揭露FlowFixation漏洞，攻擊者有可能用來一鍵接管AWS服務帳號</span></a></strong></p> <p><a href="https://comsec.ethz.ch/research/dram/zenhammer/"><strong><span style="font-size: 20px;">AMD Zen處理器恐面臨ZenHammer記憶體攻擊的風險</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161940"><strong>【3月25日】俄羅斯駭客APT29鎖定德國政黨散布惡意程式WineLoader</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161905"><strong>【3月22日】研究人員公布無限循環的阻斷服務攻擊手法Loop DoS</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161889"><strong>【3月21日】多組人馬鎖定TeamCity伺服器加密檔案、用於挖礦、部署後門程式</strong></a></p> </div></div></div>
2024/3/26 16:41作者周峻佑https://www.ithome.com.tw/news/161956
超高容量儲存媒體時代來臨
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1174-feng_mian_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=Ts0Z1hG7" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SSD、硬碟與磁帶，都在過去幾個月出現重大的容量規格突破，不僅打破這5年來的容量成長停滯，也將為企業儲存應用帶來新的風貌，讓我們一起了解3大儲存媒體的容量發展現況與前景</p> </div></div></div>
2024/3/26 14:45作者張明德https://www.ithome.com.tw/article/161913
CISA督促業者在產品出貨前檢查SQL注入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全暨基礎設施安全局（CISA）與美國聯邦調查局（FBI）<a href="https://www.cisa.gov/resources-tools/resources/secure-design-alert-eliminating-sql-injection-vulnerabilities-software" target="_blank">本周發布了安全設計警報（Secure by Design Alert）</a>，呼籲技術製造商在產品出貨前應該針對程式碼展開正式審查，以辨識任何的SQL注入（SQL Injection，SQLi）漏洞。</p> <p>此一警報是源自於勒索軟體集團CL0P在2023年藉由檔案傳輸管理軟體MOVEit的零時差漏洞<a href="https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023" target="_blank">CVE-2023-34362</a>，攻陷各大組織的前車之鑑而來，它即是個位於MOVEit Transfer網頁應用程式的SQL注入漏洞，允許未經授權的駭客存取MOVEit Transfer資料庫，進而推斷有關資料庫架構與內容的資訊，並執行可變更或刪除資料庫元素的SQL語法，受害者從政府組織、航空公司、教育機構、金融機構到醫療供應商，根據<a href="https://www.emsisoft.com/en/blog/44123/unpacking-the-moveit-breach-statistics-and-analysis/" target="_blank">資安業者Emsisoft的統計</a>，至少有超過2,700家組織被駭，波及逾9,000萬名使用者的個資。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0326-CL0P%20Ransomware-CVE-2023-34362-MOVEit.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／CISA</span></span></p> <p><a href="https://www.ic3.gov/Media/News/2024/240325.pdf" target="_blank">CISA與FBI表示</a>，儘管在過去20年來人們已廣泛理解SQLi漏洞，也有了有效的緩解措施，然而，軟體製造商依然繼續開發具備此一缺陷的產品，使得許多客戶面臨風險，就算自2007年開始，像SQLi這類的漏洞已被視為不可原諒的安全漏洞，但相關漏洞依舊普遍存在。例如<a href="https://cwe.mitre.org/data/definitions/89.html" target="_blank">SQLi類型漏洞CWE-89</a>去年仍登上前25款最危險漏洞排行榜。</p> <p>SQLi注入漏洞主要是因應用程式無法妥善驗證使用者所輸入的SQL查詢，使得駭客得以於輸入欄位注入惡意的SQL程式碼來操控查詢，在攸關SQLi的安全設計守則中，建議業者在開發軟體時，應該隔離SQL程式碼及使用者所輸入的資料，確保系統不把使用者的輸入視為SQL語法，例如強制使用參數化查詢。</p> <p>CISA與FBI督促軟體製造商的高階主管針對其程式碼展開正式審查，以確定其對SQLi危害的敏感度，同時鼓勵它們的客戶詢問供應商是否曾進行該審查，此外，在發現漏洞時，應可確保其軟體開發商能立即從所有現在或未來的軟體產品中，緩解此類的安全漏洞。</p> </div></div></div>
2024/3/26 11:50作者陳曉莉https://www.ithome.com.tw/news/161947
美、英制裁與中國駭客組織APT 31有關的武漢曉睿智科技
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/opa/pr/seven-hackers-associated-chinese-government-charged-computer-intrusions-targeting-perceived" target="_blank">美國於周一（3/25）控告</a>及制裁與中國駭客組織APT 31有關的武漢曉睿智科技（Wuhan XRZ）及相關人士，指控它們共謀展開電腦入侵與電信欺詐，凍結它們在美國的資產，同一天英國也出面譴責並宣布追究APT 31組織的責任。</p> <p>APT 31據信為中國國家級駭客，<a href="https://www.ithome.com.tw/news/138083" target="_blank">Google在2020年便曾揭露</a>APT31企圖滲透當時的美國總統候選人拜登（Joe Biden）團隊，<a href="https://www.ithome.com.tw/news/145798" target="_blank">隔年法國也發現</a>來自APT31的攻擊行動。</p> <p><a href="https://home.treasury.gov/news/press-releases/jy2205" target="_blank">根據美國的調查</a>，負責APT 31行動的中國湖北省國家安全局（HSSD）在2010年成立了Wuhan XRZ，作為展開網路攻擊的幌子公司，APT 31鎖定美國政府高級官員與國家安全顧問展開網釣攻擊，這些受害者可能任職於國防工業基地、資訊科技或能源部門等美國關鍵基礎設施，並長期監控重要的國外政界人士、外交政策專家、學者、記者或民主活動人士。</p> <p>美國司法部控告了7名中國人，宣稱這7名被告參與了APT 31組織的攻擊行動，針對數千名美國或外國的個人與公司發送了超過1萬封的惡意電子郵件，這些電子郵件含有隱藏的追蹤連結，收件者只要簡單地開啟郵件，就會曝露收件者的位置、IP位址、網路概要，以及所使用的裝置，再利用這些資料進行更直接與複雜的攻擊行動，例如破壞收件者的家用路由器或其它電子設備。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0326-The%20State%20Department-rewards-APT31.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／美國國務院</span></span></p> <p>美國司法部也指控APT 31針對2020年美國總統大選的兩黨競選工作人員展開攻擊，也企圖滲透數十家企業，包括5G網路設備供應商、無線技術供應商與國防承包商等。</p> <p>被告中的倪高彬與程鋒負責管理用來入侵美國電信業者的C&C伺服器及網域名稱，孫小輝與翁明所負責的基礎設施則用來滲透美國知名的民意調查公司，倪高彬及趙光宗針對中國的異議份子發送惡意郵件，程鋒、孫小輝、翁明及熊旺皆參與了惡意程式的測試與利用。</p> <p>遭到美國制裁的則是Wuhan XRZ，以及倪高彬與趙光宗，指出趙光宗是Wuhan XRZ的承包商，負責執行許多惡意攻擊行動，包括針對支持民主的香港人士發動攻擊，至於倪高彬則是2020年攻擊美國海軍學院與美國海軍戰爭學院中國海事研究所的幕後黑手。</p> <p>英國則說，英國選舉委員會的系統很可能在2021年至2022年間遭到APT 31組織的破壞，決定對Wuhan XRZ、趙光宗與倪高彬展開制裁。</p> </div></div></div>
2024/3/26 13:15作者陳曉莉https://www.ithome.com.tw/news/161948
傳iPhone可能在中國使用百度AI聊天機器人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.wsj.com/tech/apple-held-talks-with-chinas-baidu-over-ai-for-its-devices-76879b7f#" target="_blank">華爾街日報</a>》與中國《<a href="https://www.chinastarmarket.cn/detail/1628713" target="_blank">科創板日報</a>》相繼報導，蘋果已和中國網路巨擘百度洽談，將在中國境內銷售的iPhone 16及Mac電腦上執行百度的聊天機器人文心一言（ERNIE Bot）。</p> <p>蘋果將在iOS 18、iPhone 16及macOS作業系統上搭載中國本地開發的AI聊天機器人。報導引述消息人士指出，蘋果也曾經洽談阿里巴巴及另一家中國AI模型公司，但最後由百度出線。但中國以外地區銷售的iPhone及其他產品，仍將使用蘋果自己的大型語言模型。</p> <p>報導指出，蘋果是因應中國政府合規要求而做這項決定。《<a href="https://9to5mac.com/2024/03/25/apple-buying-ai-services-from-baidu/" target="_blank">9to5mac</a>》也分析，雖然是目前仍是傳言，但也極有可能，為加快腳步，蘋果需要一個中文AI模型。此外，中國政府要求AI服務上市前必須先取得當局核准。文心一言是中國政府許可上市的40多種AI模型之一。</p> <p>而且蘋果的作法已有前例。三星最新上市的Galaxy S24在全球其他地方都是使用Google Gemini聊天機器人及AI模型（如圖片生成功能Imagen），但在中國境內也是使用文心一言。</p> <p>蘋果此舉旨在挽救在中國的iPhone業務。就在美國政府持續杯葛華為，北京方面從公家資訊設備開始揚棄Intel、AMD晶片之際，蘋果執行長Tim Cook上周卻仍造訪中國，拜會當地供應商及進行其他不公開活動。</p> <p>昨日在中國媒體報導後，百度在香港股價一度上揚超過6%，而阿里巴巴則下跌逾1%。百度和蘋果皆未對此評論。</p> <p>事實上，不單在中國，以全球市場層次來看，蘋果也需要藉由AI功能來持續iPhone的銷售動能。蘋果目前在AI模型及AI服務方面落後OpenAI、Google。上周《<a href="https://www.ithome.com.tw/news/161827" target="_blank">彭博</a>》報導，蘋果可能會在iPhone 16執行Google Gemini或OpenAI的ChatGPT。</p> </div></div></div>
2024/3/26 10:31作者林妍溱https://www.ithome.com.tw/news/161945
微軟釋出實驗性.NET UI智慧元件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟正在實驗新的<a href="https://devblogs.microsoft.com/dotnet/introducing-dotnet-smart-components/">.NET UI智慧元件</a>，該元件不需要開發者重新設計使用者體驗，或是研究機器學習和提示詞功能，就可以直接使用預先建置的端對端人工智慧功能。開發者可以直接將.NET UI智慧元件加入到使用者介面中，以相對簡單的方法在現有軟體添加人工智慧功能。</p> <p>現在.NET UI智慧元件主要有三項功能，分別是智慧貼上、智慧文字輸入區域（TextArea）和智慧下拉選單（ComboBox）。智慧貼上元件讓使用者只要點擊按鈕，元件就會以剪貼簿中的資料自動填寫表單，與網頁應用程式的表單一起使用，方便用戶可從外部來源添加資料，又不需要重新輸入。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/dotnet/wp-content/uploads/sites/10/2024/03/smart-paste-address.gif" style="width: 600px;" /></p> <p>智慧文字輸入區域是傳統文字輸入區域的升級版，允許開發者配置自動完成句子的功能，這些句子可以根據特定的風格、政策和預定義的網址進行生成，這代表使用者在輸入文字時，智慧文字輸入區域能夠根據開發者設定的風格和參數來建議句子，這不僅可增加使用者打字速度，也可免除記憶網址等資訊的需要。</p> <p>而智慧下拉選單則可透過配對語義提供建議，協助使用者更快找到選項。與傳統下拉選單相比，智慧下拉選單分析使用者的輸入，並推薦最相關的選項，而不是只提供一個靜態列表而已。</p> <p>微軟提到，.NET UI智慧元件還只是一項實驗功能而已。目前可使用於.NET 6以上版本的Blazor、MVC和Razor頁面，之後官方可能還會支援像是.NET MAUI、WPF和Windows Forms等其他.NET UI框架。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/ZWH4yJGJaeg?si=MZfmKRxOjU2aXxkA&start=93" title="YouTube video player" width="560px"></iframe></div> <p> </p> </div></div></div>
2024/3/26 08:28作者李建興https://www.ithome.com.tw/news/161943
Confluent Tableflow可將Kafka串流資料轉為Iceberg表格最佳化分析流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業級Kafka平臺Confluent推出新解決方案<a href="https://www.confluent.io/blog/introducing-tableflow/">Tableflow</a>，其目的在於簡化將Apache Kafka串流資料轉換為Apache Iceberg表格，用於資料湖、資料倉儲和分析引擎的過程。Tableflow能夠一鍵將Kafka主題和相關架構轉換成Iceberg表格，省去過去分析營運資料所需要的繁瑣過程。</p> <p>Confluent強調，Iceberg逐漸成為資料分析領域中，資料表格式的開放標準。不同的計算引擎和資料湖倉能夠透過Iceberg，簡單地存取和處理資料，進而支援靈活且開放的資料架構。雖然企業的營運和分析兩大領域，需要存取相同的資料，但是不同存取方式的需求，導致組織需要重複執行同樣的工作，像是將應用程式串連起來，資料再經過ETL流程轉移到資料湖倉中。</p> <p>因此營運和分析領域之間更方便的資料流動和轉換，成了企業重要的需求之一，而Tableflow的出現，便是要統一營運和分析領域的資料處理，使Confluent用戶可一鍵將Kafka和相關架構轉換為Iceberg表格，使得將串流資料存放進資料湖倉的過程更加簡單。</p> <p>Tableflow運用了Kora儲存層創新技術，將Kafka片段寫入為Apache Iceberg底層儲存格式Parquet。而在後臺，Tableflow使用了一個新的後設資料轉換器（Materializer）連接Confluent架構註冊表，生成Iceberg後設資料，同時處理架構映射、架構演變和類型轉換等工作。讓用戶不需要手動映射。</p> <p>資料品質規則會在上游強制執行，不相容的資料在源頭就會被拒絕，並且可在開發中簡單地被偵測出來。用戶的資料產品可以進入自家的資料湖倉，並且以串流和表格等方式存取。除了架構管理之外，Tableflow還會持續將串流資料產生的Parquet小檔案，壓縮轉換成更大的檔案，也維持良好的讀取效能。</p> <p>目前透過Iceberg REST目錄就可以存取Iceberg表格，使用者只要複製Iceberg REST目錄端點，並使用Confluent Cloud API金鑰和機密作為憑證，並將其傳遞給Iceberg相容的運算引擎即可。Tableflow的初始版本會將資料儲存在Confluent Cloud中，之後官方會允許用戶選擇將Iceberg後設資料和Parquet檔案儲存在自己的物件儲存中。現在Tableflow還處於早期階段，想嚐鮮的開發者可以申請搶先體驗。</p> </div></div></div>
2024/3/26 08:16作者李建興https://www.ithome.com.tw/news/161941
知名框架Vue團隊發布高效靜態網站生成器VitePress 1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Vue開發團隊以Vue框架與前端建置工具Vite為基礎，開發了靜態網站生成器<a href="https://blog.vuejs.org/posts/vitepress-1.0">VitePress</a>，現在正式推出1.0版本。VitePress能夠解析Markdown語法編寫的內容，在套用主題之後，生成可以簡單部署的靜態HTML頁面。</p> <p>VitePress附帶了一個專為技術文件設計的預設主題，可用於創建和維護技術文件。除此之外，VitePress也支援全自定義主題，提供標準Vite和Vue應用程式的開發體驗，供開發者可以利用Vite豐富套件生態系建置部落格、個人作品集和行銷網站，官方提到，VitePress靈活的API可在建置時載入資料並動態生成路由，其適用於可在建置時確定資料的網站開發需求。</p> <p>VitePress也擁有Vite即時伺服器啟動能力，不需要重新載入頁面，開發者的編輯會在不到100毫秒的時間內，迅速反映在網頁上。而且VitePress支援包括Frontmatter、表格、語法突出顯示等Markdown擴充，供開發者可使用許多程式碼操作功能，方便地編輯技術文件。</p> <p>高效能是靜態網站生成器VitePress的重要特色，其生成的網站在首次存取時，提供靜態、預渲染的HTML，因此可實現快速的載入速度，然後藉由Vue高效的動態化（Hydration）過程，把頁面轉換為單頁應用程式（SPA），即便在低階裝置也可高效運作。</p> <p>此外，當用戶在網站內部導航時，VitePress利用單頁應用程式模型，避免全頁面重新載入，提供更快的後續頁面載入速度，並自動預取可視範圍內的連結，加快導航速度。在VitePress中，每頁Markdown語法都會被編譯為Vue元件，透過智慧分割靜態和動態內容，最小動態化成本和負載大小。</p> </div></div></div>
2024/3/26 08:19作者李建興https://www.ithome.com.tw/news/161942
Fintech周報第235期：國際清算銀行實驗LLM自動彙整企業永續揭露資訊，公開RAG優化作法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">3/18~3/22金融科技精選新聞</span></span></h3> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永續資料蒐集</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型語言模型 </span></strong></span></p> <h3>BIS實驗以LLM模型自動彙整企業報告的永續揭露資訊，公開自家RAG優化作法</h3> <p>為了協助央行、監管機構和金融機構快速分析永續揭露資訊，國際清算銀行（BIS）近期與西班牙央行、德國央行和歐洲央行合作啟動蓋亞計畫，實驗以大型語言模型從企業報告中自動彙整氣候相關指標，目前完成概念驗證。</p> <p><a href="https://www.bis.org/publ/othp84.pdf">蓋亞計畫報告</a>中提到，目前缺乏全球性的永續報告標準，不僅許多企業的永續數據分散在文字、表格或圖表等多種形式，不同地區對指標的命名方式和定義也有所差異，讓分析師無法有效蒐集永續揭露資訊。因此，BIS計畫建立一個開放的Web工具，採用微服務架構部署在雲端平臺上，能彙整非結構化資料中的永續揭露資訊，並提供使用者設定關鍵指標數量。</p> <p>團隊使用187間金融機構彙整的企業報告進行測試，依據11項操作步驟處理LLM常見的問題，例如，回應時間長、回應的不一致和幻覺等挑戰。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-03-25%20171557.png" style="width: 600px;" /></p> <blockquote><p>蓋亞計畫將11項操作步驟定義為11個設計選擇（design choice），處理LLM常見的問題，例如，回應時間長、回應不一致和幻覺等挑戰。</p> </blockquote> <p>第一步，團隊建立一個包含永續指標的索引資料庫，要求LLM模型根據這些資料，為數十個永續關鍵撰寫五到七句的定義，制定統一標準，協助模型更準確取出相關資訊。第二步，團隊將每份企業報告拆分成數頁，並將頁面轉為向量，也將第一步撰寫的KPI定義轉為向量，兩者進行相似性搜索。接著，使用特定公式衡量向量間的相似度，取出前五個相似的頁面送入LLM模型。第三步，以提示工程指定LLM的回應方式，包括角色設定、任務細節和回應的內容和規格，以及不尋常的情況下應採取的操作等，讓LLM模型根據第一步生成的永續指標定義，來搜索相關資訊。第四步，將LLM模型中用來控制隨機性的溫度參數調為零，讓模型回應有更高的準確率。最後一步，模型的回應會被分解為個別區段，並上傳至關聯數據庫。如果LLM模型無法生成有效的特定規格，則重新查詢一次，若依舊失敗則記錄情況，以手動解決。</p> <p>隨機抽取163份企業報告進行檢驗，取出數據的份數有104份，其中，約有80份報告提取的永續揭露資訊完全正確，約有20份報告內容有誤。發生錯誤的主要原因有兩個，一是LLM模型無法解釋過於複雜的表格，二是報告資料有缺漏，例如缺少年份。</p> <p>BIS這項計畫已經驗證了技術可行性，未來考慮公開釋出這套工具，以及將作法擴展到綠色金融以外的情境，例如用在其他需要從PDF檔案彙整資料的場景。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 人臉辨識支付</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nacer Pay </span></strong></span></h3> <h3>Naver Pay開始在韓國慶熙大學中支援臉部辨識支付功能</h3> <p>韓國科技巨頭Naver旗下的行動支付服務Naver Pay宣布，將在韓國慶熙大學推出臉部辨識的支付功能。使用者在手機上註冊臉部資訊後，就可以在校園中的餐廳、咖啡館使用臉部辨識完成支付。Naver Pay表示，使用者首次註冊臉部資訊時，系統會以AI分析臉部資訊，加密儲存臉部特徵。該系統也導入詐欺偵測功能，來避免異常的註冊行為。在支付階段中，系統會以深度學習模型來支付者的人臉，準確率超過99％。</p> <p>去年八月，Naver Pay在韓國金融科技週展示其防止透過照片或影片進行支付，引起外界關注，直到現在，Naver Pay終於正式對外推出可商用的人臉辨識支付功能。他們表示，未來將會持續關注慶熙大學內的使用者回饋，並陸續將臉部辨識支付功能擴展到其他地區，例如，大學校園、公司和主題樂園等一人會重複支付多次的場景。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ATM故障</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 銀行服務中斷 </span></strong></span></h3> <h3>衣索比亞銀行更新系統導致ATM出錯，民眾溢領現金高達臺幣12億</h3> <p>衣索比亞商業銀行16日發生ATM故障事件，大量民眾領走高於自身帳戶存款的現金。根據當地新聞報導，估計約新臺幣12億元被提領。該行發布聲明中表示，ATM事故起因是系統更新出錯，而非網路攻擊。該行在事發前一日下午三點更新系統，晚上八點左右，行內IT單位接獲交易流程發生問題，IT人員被叫回公司，但直到11點半，仍未解決故障問題，因此該行先停止提供所有數位服務，直到週六上午才停止分行服務。不料，民眾已在週六半夜溢領大量現金。</p> <p>週六上午，衣索比亞商業銀行陸續查到半夜發生的帳戶交易資訊，他們暫時將那些帳戶封鎖，並向收款機構請求阻止交易。直到週六晚上七點才恢復分行服務、ATM服務和數位服務。在聲明中，衣索比亞商業銀行表示，他們在2022年推動數位轉型，近幾個月來成功翻新銀行App和數位錢包，增加許多數位服務。不過，聲明中並未說明更新或故障的系統類型。該行也並未說明損失金額，僅表示這次事件造成的損害非常小。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果反壟斷</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NFC技術 </span></strong></span></h3> <h3>美國對蘋果提出一系反壟斷訴訟，包括限制第三方業者使用蘋果的NFC技術</h3> <p>美國司法部和15位州檢察總長近期向蘋果提出反壟斷訴訟，除了指控蘋果壟斷智慧型手機市場，也包括阻止第三方應用程式使用非接觸式支付。目前，Apple Pay是唯一一個能在IOS行動裝置上使用NFC技術的行動支付工具，美國許多銀行對此提出譴責，認為這個限制阻礙了相關應用程式的競爭。訴狀中表示，蘋果拒絕讓用戶使用其他數位錢包，讓用戶失去享有更多樣的功能的機會，同時，蘋果也不給予開發數位錢包的銀行業者機會，提供更先進的數位支付服務給顧客。</p> <p>這是繼歐盟之後，第二個抗議蘋果獨佔NFC技術的國家。今年一月，歐盟表示蘋果已提出10年承諾，將提供電子錢包業者和支付服務商能在iphone上使用NFC付款的API。蘋果也承諾，可以讓用戶在iphone上更改預設的付款應用程式，並支援Face ID驗證。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BNPL</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 印尼GoTo </span></strong></span></h3> <h3>印尼科技巨頭GoTo將與TikTok合作推BNPL服務</h3> <p>印尼科技巨頭GoTo近日在財報會議中證實，他們正在推動兩個新計畫，一項是與TikTok合作推出BNPL服務，另一項是和金融業者合作，向駕駛推出車貸服務。GoTo被譽為東南亞最大獨角獸，目前在印尼提供多種服務，包括電商、叫車、摩托車出租、外送平臺和金融服務等。</p> <p>印尼為TikTok的第2大市場，每月活躍用戶1億2,500萬人，他們過去曾開設TikTok shop經營電商生意，隨著印尼政府在去年九月宣布禁令，要求社群平臺僅能推銷商品，不能在平臺上交易，TikTok shop因此宣布結束運作。不過，TikTok去年斥資15億美元投資GoTo合併雙方的電商業務，兩間企業的合作關係因此展開。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 歐洲央行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數據標準 </span></strong></span></h3> <h3>歐洲央行和歐洲銀行局將為銀行整合監理報告所需的數據標準</h3> <p>歐洲央行和銀行局近期宣布，將加大力度為銀行整合監理報告中有關統計、監管和決策的數據，建立共同的數據標準，以提高銀行製作監理報告的效率。這項政策是因應歐盟在2021年提出的一項戰略。當年，歐盟提出金融服務監管數據戰略，目標是現代化歐盟各國的監管報告，建立一個能為歐盟各國提供準確、一致和即時的數據系統，減少監管機構彙整報告的負擔。</p> <p>歐洲央行和銀行局表示，他們的其中一項關鍵計畫是建立一個通用型資料字典，定義銀行監理報告所需的統計、監管和決策資料，讓新舊報告都適用於這套標準。</p> <p>其他重要Fintech新聞：</p> <ul> <li>萬事達卡推個人化推薦平臺，以AI分析顧客消費行為，供企業參考推薦商品</li> <li>愛沙尼亞LHV銀行和Open AI合作，開放內部員工使用ChatGPT Enterprise</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／國際清算銀行</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年3月</p> <p></p> </div></div></div>
2024/3/25 15:37作者李昀璇https://www.ithome.com.tw/news/161939
鎖定75臺以下設備中階無線網路部署，HPE推出Wi-Fi 6E機型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_aruba_instant_on_ap32_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>無線網路規格推陳出新，市面上出現越來越多標榜支援Wi-Fi 7的基地臺，然而，近期仍有廠商推出支援Wi-Fi 6與Wi-Fi 6E的產品，例如，今年2月HPE Networking針對中小企業網通設備產品線Instant On系列，推出AP21與AP32，分別對應這兩種規格，預計2月中旬開放訂購。</p> <p>其中又以AP32最受矚目，因為它是該系列第一款支援Wi-Fi 6E、6 GHz無線通訊頻段的款式。值得注意的是，這款機型採用2x2 MIMO的天線架構，雖然支援6 GHz、5 GHz、2.4 GHz這三種頻段，但實際運作上，只能同時啟動兩個頻段。</p> <p>例如，若需支援更寬廣的無線網路訊號覆蓋範圍，AP32可選擇同時啟用6 GHz與2.4 GHz，適用於連網設備密度居中的工作場所；若需要更大的網路頻寬，AP32可選擇同時啟用6 GHz頻段與5 GHz頻段，最高可提供3.6 Gbps的網路吞吐量（2.4 Gbps加上1.2 Gbps），而這樣的傳輸效能規格，可因應中階的網路連線速度要求，在Instant On系列現行機型當中，僅次於AP25——基本上，這款設備採用4x4天線架構，同時啟用5 GHz頻段與2.4 GHz頻段時，最多可提供5.2的網路吞吐量（4.8 Gbps加上574 Mbps）。 </p> <p><a href="https://s4.itho.me/sites/default/files/images/Technical specifications for the Instant On AP32-Web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Technical%20specifications%20for%20the%20Instant%20On%20AP32-Web.jpg" style="width: 600px;" /></a></p> <p>關於同時負荷的Wi-Fi連網設備數量上，AP32最高可支撐75臺，同於其他同樣採用2x2 MIMO天線架構的Wi-Fi 6機型，例如：AP22、AP22D AP25、AP27。就單一基地臺而言，如果需用於同時負荷更多臺Wi-Fi連網設備的網路傳輸要求，可改用AP25，最多可支撐到100臺以上。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Technical specifications for the Instant On AP32-Datasheet.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Technical%20specifications%20for%20the%20Instant%20On%20AP32-Datasheet.jpg" style="width: 600px;" /></a></p> <p>至於另一款2月新發表的AP21，則是鎖定低頻寬與低密度部署的無線網路環境部署需求，適合設置在小型零售店面或小組會議室。以Wi-Fi網路吞吐量而言，這款機型最多可提供1.5 Gbps（1.2 Gbps加上300 Mbps），而在負荷同時連網的無線設備數量上，最多可支撐50臺。</p> <p>在網路埠的配置上，現行Instant On系列的Wi-Fi 6與6E基地臺，都支援乙太網路供電（PoE）的部署，新推出的AP32與AP25、AP22D一樣，皆內建1個2.5GbE規格的上行埠，其他機型如AP21、AP22、AP27，均搭配1個GbE規格的上行埠。AP22D的網路埠較特別，除了位於機殼背部的2.5 GbE埠，機殼底部還有4個GbE埠，可透過網路線分接4臺設備，其中兩個GbE埠可作為供電設備（Power Sourcing Equipment，PSE），將電力輸送至受電設備（Power Device，PD）。</p> <p><span style="color:#008000;"><strong>產品資訊</strong></span></p> <p><strong>HPE Aruba Instant On AP32</strong><br /> ●原廠：HPE Aruba Networking<br /> ●建議售價：廠商未提供<br /> ●支援無線網路標準：802.11a/b/g/n/ac/ax<br /> ●天線架構：6GHz、5GHz、2.4GHz均為2x2 MIMO<br /> ●傳輸速度：最高總共為3.6 Gbps，6GHz為2.4 Gbps，5GHz為1.2 Gbps，2.4GHz為574 Mbps<br /> ●連接埠：1個2.5 GbE埠（支援PoE）<br /> ●供電方式：DC或PoE </p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/25 17:30作者李宗翰https://www.ithome.com.tw/review/161935
【資安日報】3月25日，俄羅斯駭客APT29鎖定德國政黨散布惡意程式WineLoader
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期俄羅斯駭客APT29的動作頻頻，多國政府與資安專家接連對其攻擊行動提出警告，呼籲各界強化防禦措施，以防對方從事網路間諜活動、竊取組織內部機密的情況。</p> <p>但近期有一起攻擊衝著德國政黨而來，揭露此事的資安業者Mandiant認為對方別有目的，很有可能是為了影響該國政治情勢。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.mandiant.com/resources/blog/apt29-wineloader-german-political-parties"><strong style="font-size: 22px;">德國政黨團體遭到俄羅斯駭客APT29鎖定，散布惡意軟體WineLoader</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/apt29-wineloader-fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt29-wineloader-fig1.png" style="width: 300px; float: right;" /></a>俄羅斯駭客過往針對歐美政府機關攻擊的情況不時發生，如今也轉移目標，瞄準特定政黨而來。</p> <p>資安業者Mandiant揭露俄羅斯駭客組織APT29（亦稱Midnight Blizzard、Nobelium、Cozy Bear）的攻擊行動，對方從今年2月下午，假借基督民主聯盟（CDU）的名義寄送釣魚郵件，鎖定德國聯邦議會Bundestag的第二大政黨而來。</p> <p>研究人員看到駭客聲稱邀請參加晚宴為誘餌，內容包含URL，收信人一旦依照指示操作，電腦就有可能下載ZIP壓縮檔，植入惡意程式載入工具Rootsaw，隨後攻擊者可藉此在電腦部署名為WineLoader的後門程式。研究人員表示，這是他們首度看到APT29針對政治團體的攻擊行動。</p> <p><a href="https://securelist.com/crimeware-report-android-malware/112121/"><strong style="font-size: 22px;">數款安卓惡意程式鎖定土耳其、俄羅斯，以及東南亞用戶而來</strong></a></p> <p></p> <p>資安業者卡巴斯基公布調查2023年安卓惡意程式的情況，他們發現2021、2022年趨緩，但2023年出現惡意程式大幅增加的情況，他們阻止了近3,380萬次對行動裝置的惡意軟體、廣告軟體、具潛在風險的軟體攻擊，較2022年多出50%。</p> <p>研究人員公布3款去年特別值得留意的惡意程式，分別是鎖定土耳其、偽裝成IPTV應用程式的間諜軟體Tambir，以及針對中國OEM製造、銷往俄羅斯的手機而來的Dwphon。第3個惡意程式Gigabud，則是假冒泰國及秘魯公司的名義，以提供貸款來散布，攻擊者可透過其螢幕錄影及模仿使用者點選的能力，繞過雙因素驗證（2FA）。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161909"><strong style="font-size: 22px;">蘋果M系列處理器存在微架構旁路弱點GoFetch，恐被用於竊取加密演算法金鑰</strong></a></p> <p></p> <p>伊利諾大學、德州大學、柏克萊加州大學、華盛頓大學、卡內基美隆大學、喬治亞理工學院的研究人員聯手，公布能針對蘋果M系列處理器的旁路攻擊手法GoFetch，他們透過「記憶體相依的資料預先讀取機制（Data Memory-dependent Prefetcher，DMP）」，從而在以常數時間為基礎的加密演算法擷取金鑰，這項弱點影響的範圍，涵蓋M1至最新的M3，並研判Pro、Max、Ultra版本的處理器也可能曝險。</p> <p>研究人員指出，雖然Intel的Raptor Lake微架構也具備DMP，但由於其啟動要求較為嚴格，而具備抵禦相關攻擊的能力。</p> <p>值得留意的是，他們在去年12月5日向蘋果通報此事，迄今尚未得到回應，對此，研究人員表示，他們接下來會公布概念性驗證（PoC）程式碼。</p>  <p><a href="https://ithome.com.tw/news/161930"><strong style="font-size: 22px;">研究人員揭露電子門鎖漏洞Unsaflok，影響1.3萬家旅館、300萬把門鎖</strong></a></p> <p></p> <p>一群研究人員公布在2022年下旬找到的電子門鎖漏洞Unsaflok，攻擊者可利用一組偽造的房卡，來解開Dormakaba製造的Saflok門鎖，估計影響131個國家、1.3萬套系統、超過300萬扇門。他們在2022年9月通報此事後，該門鎖製造商著手處理，並於2023年11月開始對部分旅館進行處理，截至今年3月，約有36%完成軟體更新或是更換設備處理。</p> <p>研究人員指出，攻擊者只需從旅館取得其中1張RFID房卡，並搭配MIFARE Classic卡片及寫入資料的工具，就可能發動Unsaflok攻擊。雖然研究人員尚未發現漏洞被實際利用的跡象，但由於這種電子門鎖已銷售長達36年，他們不排除已出現遭到利用的情況。</p> <p><a href="https://ithome.com.tw/news/161931"><strong style="font-size: 22px;">微軟三月例行更新導致Windows Server當機，22日發布緊急更新</strong></a></p> <p></p> <p>3月12日微軟發布例行更新（Patch Tuesday），傳出IT人員為Windows Server 2022、2016部署修補程式KB5035857、KB5035855之後，造成伺服器當機及服務停擺的情形，經調查是本機安全認證子系統服務（LSASS）占用大量記憶體所致，當時微軟承認獲報並著手處理，現在提供修補程式。</p> <p>22日微軟針對Windows Server 2022、2016、2012 R2發布多個系統更新公告，分別是KB5037422、KB5037423、KB5037426，並指出這次的更新程式，主要是因應安裝12日發布的修補軟體後，影響LSASS的情況，若不處理，將有可能導致網域控制器（DC）的記憶體洩露。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/microsoft/new-windows-server-updates-cause-domain-controller-crashes-reboots/">https://www.bleepingcomputer.com/news/microsoft/new-windows-server-updates-cause-domain-controller-crashes-reboots/</a><br /> 2. <a href="https://support.microsoft.com/en-us/topic/march-22-2024-kb5037422-os-build-20348-2342-out-of-band-e8f5bf56-c7cb-4051-bd5c-cc35963b18f3">https://support.microsoft.com/en-us/topic/march-22-2024-kb5037422-os-build-20348-2342-out-of-band-e8f5bf56-c7cb-4051-bd5c-cc35963b18f3</a><br /> 3. <a href="https://support.microsoft.com/en-us/topic/march-22-2024-kb5037423-os-build-14393-6799-out-of-band-1775cda2-4bb6-43a9-9fd4-ddc3528d3408">https://support.microsoft.com/en-us/topic/march-22-2024-kb5037423-os-build-14393-6799-out-of-band-1775cda2-4bb6-43a9-9fd4-ddc3528d3408</a><br /> 4. <a href="https://support.microsoft.com/en-us/topic/kb5037426-update-to-address-a-known-issue-that-affects-lsass-in-windows-server-2012-r2-eda1002a-4b4d-4c99-8383-b0e2bab5c1d0">https://support.microsoft.com/en-us/topic/kb5037426-update-to-address-a-known-issue-that-affects-lsass-in-windows-server-2012-r2-eda1002a-4b4d-4c99-8383-b0e2bab5c1d0</a></p> <div> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161917"><strong style="font-size: 22px;">DEVCORE資安研討會登場，揭露最新攻擊技術手法與企業資安破口</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/devcore-conf-2024.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/devcore-conf-2024.jpeg" style="width: 300px; float: right;" /></a>以紅隊演練聞名的臺灣資安業者DEVCORE戴夫寇爾，於3月16日舉行年度研討會DEVCORE Conference 2024，探討駭客創新攻擊技術和手法，以及他們所看到的實際企業資安風險，吸引近400名來自資安業界、學界人士參與。</p> <p>本次戴夫寇爾探討的議題，涵蓋AD CS憑證服務（Active Directory Certificate Services）配置不當帶來的危害、網頁應用程式防火牆（WAF）的深度解析、旁路攻擊新型態手法、紅隊工具開發的心法等。</p> <p>特別的是，這次也透露他們去年參與Pwn2Own 2023的心路歷程，而且，該公司首度特別邀請其他研究人員，由奧義智慧的專家來從藍隊身分、紅隊視角，提供不同的攻擊思路的探討。</p> <p><a href="https://moda.gov.tw/press/press-releases/11744"><strong style="font-size: 22px;">數位部出席布拉格資安會議，分享臺灣通訊韌性應變經驗</strong></a></p> <p></p> <p>專門探討網路及電信安全的資安會議Prague Cyber Security Conference 2024於3月19、20日舉行，數位發展部次長闕河鳴與資通安全署副署長鄭欣明率團參加，並拜會捷克國家網路及資訊安全局（NÚKIB），就臺捷資安合作議題進行交流。</p> <p>闕河鳴表示，海底電纜對於國內外通訊、安全、經濟至關重要，近年來遭受越來越多破壞、干擾與網攻威脅，數位部將持續盤點不同情境對通訊網路造成的風險，規畫多種異質通訊備援網路因應。他舉出去年3月馬祖連接臺灣的海纜中斷為例，當時數位部隨即切換為衛星通訊，以確保通訊韌性。</p> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.microsoft.com/en-us/security/blog/2024/03/20/microsoft-threat-intelligence-unveils-targets-and-innovative-tactics-amidst-tax-season/"><span style="font-size: 20px;">美國報稅季來臨，駭客假借提供表單從事網路釣魚</span></a></strong></p> <p></p> <p><a href="https://unit42.paloaltonetworks.com/curious-serpens-falsefont-backdoor/"><strong><span style="font-size: 20px;">伊朗駭客組織假借徵才名義散布後門程式FalseFont</span></strong></a></p> <p></p> <p><strong><a href="https://unit42.paloaltonetworks.com/strelastealer-campaign/"><span style="font-size: 20px;">竊資軟體StrelaStealer透網路釣魚攻擊歐洲、美國超過一百個組織</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/mozilla-fixes-two-firefox-zero-day-bugs-exploited-at-pwn2own/"><strong><span style="font-size: 20px;">Mozilla發布Firefox 124.0.1、115.9.1，修補Pwn2Own揭露的零時差漏洞</span></strong></a></p> <p></p> <p><a href="https://www.facebook.com/gicstw/posts/pfbid037Mh5YNGytMveNTum9tzE7T8SF5gAnXq9YMVH1Ha2z4QYaczDrRHWb3J2FVEpfugFl"><strong><span style="font-size: 20px;">2024年Gics尋找資安女婕思競賽報名即將於3月底截止</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161905"><strong>【3月22日】研究人員公布無限循環的阻斷服務攻擊手法Loop DoS</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161889"><strong>【3月21日】多組人馬鎖定TeamCity伺服器加密檔案、用於挖礦、部署後門程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161868"><strong>【3月20日】研究人員針對行動應用程式開發平臺Firebase配置不當氾濫的現象提出警告</strong></a></p> </div></div></div>
2024/3/25 16:23作者周峻佑https://www.ithome.com.tw/news/161940
Meta揭露AR新技術，利用機器學習快速重建3D室內場景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta發展出可用語言表示場景的場景生成新模型<a href="https://ai.meta.com/blog/scenescript-3d-scene-reconstruction-reality-labs-research/">SceneScript</a>，SceneScript的特色在於，程式不需要依賴寫死的規則，可透過端對端機器學習直接推斷房間的幾何形狀，並將其轉換為建築元素的近似值。該方法使得重建房間3D程式變得更加高效且輕巧，只需要數個位元組的記憶體，就可產生清晰且完整的幾何形狀，而且具有可解釋性，使用者可以簡單地閱讀和編輯這些表示。</p> <p>開發人員參考大型語言模型預測單字的方法開發SceneScript。Llama等大型語言模型具有預測下一個Token的能力，可以根據前面的單字來預測句子的下一個單字，像是輸入句子The cat sat on the……則模型會預測下一個單字可能是mat或是floor。SceneScript運用相同的概念，只不過SceneScript模型預測的並非是一般語言Token，而是預測像是牆或是門等建築Token。</p> <p>SceneScript模型經大量的資料訓練，能夠將視覺資料編碼為場景基本表示，並將其解碼為描述房間布局的語言。也就是說，SceneScript能夠根據視覺資料分析，和描述場景結構成文字，並使用這些描述重建出複雜的環境。</p> <p>通常大型語言模型會使用網路上大量的資料進行訓練，但是目前物理空間還沒有可以用來訓練端到端模型所需要的資料量，因此SceneScript開發團隊放棄使用物理環境資料，並且創建了一個Aria室內環境合成資料集。Aria資料集包含10萬個完全獨特的室內環境，每個環境都使用SceneScript語言進行描述，並配有走過每個場景的模擬影片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0325-Meta-SceneScript.png" style="width: 600px;" /></p> <p>開發團隊使用專門用於加速人工智慧與機器學習研究的Aria眼鏡，來收集室內環境資料，並使用這些資料模擬出不同的室內環境。由於所有模擬訓練都不涉及真實世界個人資料，使得模型訓練過程可以在確保隱私的前提下進行，而且在訓練完成之後，也可以使用Aria眼鏡來驗證模型，確認模型擴展用於物理環境的能力。</p> <p>開發人員提到，SceneScript的優點之一是可擴展性，只需要在Aria合成環境資料集中的「門」添加附加參數，就可以訓練網路來準確預測物理環境中門開啟和關閉的程度。此外，透過在架構語言添加新特徵，SceneScript便可以準確預測物體的位置，並進一步將這些物件拆解成組成元件，像是沙發在SceneScript語言表示為一組幾何形狀，包含了墊子、椅腳和扶手，設計師可以使用這些細節來創建真正適用於各種物理環境的增強實境內容。</p> <p>SceneScript可以用於生成精確的室內地圖，對於開發混合實境和增強實境頭戴裝置非常重要，SceneScript也替大型語言模型提供了推理物理空間的必要詞彙，不僅擴展大型語言模型的應用範圍，也使其能更精確地理解和回答關於物理世界的複雜問題，在數分之一秒內就可以回答像是粉刷房間需要的油漆量等問題。開發人員認為，SceneScript是增強實境頭戴裝置的重要里程碑，能夠連起物理和數位世界。</p> </div></div></div>
2024/3/25 16:41作者李建興https://www.ithome.com.tw/news/161938
【資安週報】2024年3月18日到3月22日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期的漏洞消息，在留意Atlassian修補CI/CD工具Bamboo重大漏洞，以及Ivanti修補同步應用系統Standalone Sentry的重大漏洞之餘，還一個大家可能容易忽略的消息是，1月HTTP非同步傳輸框架Aiohttp修補漏洞CVE-2024-23334，近期出現利用該漏洞的攻擊行動，研究人員認為，可能是勒索軟體駭客組織ShadowSyndicate所為。</p> <p>在重大資安新聞方面，我們認為，最需要優先關注國際貨幣基金組織與富士通的遭駭事件。</p> <p>國際貨幣基金組織（IMF）在15日公布遭遇網路攻擊事件，全球也正在關注後續發展。基本上，IMF是在二戰後為了穩定國際金融而成立，最近他們公布在一個月前發現遭遇網路攻擊，有11個電子郵件帳號被入侵。這不免令人聯想到1月微軟、HPE遭俄羅斯駭客Midnight Blizzard攻擊的事件，因為共通點這些機構都使用微軟雲端電子郵件服務。</p> <p>另一個IT界很關注的消息是富士通遭駭，該公司在15日發布資安公告，說明IT系統遭入侵，發現多臺電腦出現惡意軟體，目前該公司正調查被入侵的情況與確認資料是否外洩，暫不清楚是否有其他企業或其客戶資料受波及，有待後續調查結果公布。</p> <p>至於臺灣資安近況方面，趨勢科技近期發布2023年資安威脅態勢報告的新聞稿，當中特別強調臺灣須留意駭客組織Earth Estries動態，並指出對方專門針對政府機關與科技業而來，大家要密切關注後續狀況。</p> <p>其他重要資安新聞焦點，包括涉及Firebase曝險、竊資軟體與中國駭客組織動態的新聞，我們整理如下：<br /> ●企業需注意Firebase配置不當的曝險問題，研究人員進行這方面的大規模盤點，發現有900個網站曝險，暴露近2千萬筆明文帳密資料。<br /> ●駭客不只利用HTML Smuggling手法來迴避偵測，最近還出現新的作法，例如竊資軟體AZORult還用上反射式程式碼載入的手法來規避偵測並啟動。<br /> ●中國駭客組織Earth Krahang近兩年的攻擊活動被揭露，有45國、上百個組織被鎖定，已確認70個組織遭入侵，多是政府機關，另發現116個組織遭鎖定。</p> <p>關於新攻擊手法研究與漏洞的揭露，我們認為有3項消息，值得企業與資安研究人員重視，涵蓋DoS攻擊、LLM漏洞，以及利用處理器微架構特性的旁路攻擊手法：<br /> （一）發現新型阻斷服務攻擊手法Loop DoS，德國CISPA亥姆霍茲資訊安全中心指出，利用UDP通訊協定的弱點CVE-2024-2169，可導致彼此訊息無限循環回應，不只老舊通訊協定有同樣狀況，目前普遍常用的DNS、NTP、TFTP也受影響。<br /> （二）有研究人員揭露3個新的Google Gemini聊天機器人潛在的威脅，分別是可繞過安全防護機制的漏洞，利用Gemini Pro虛構生成功能的提示越獄漏洞，以及模擬重新設定的漏洞。<br /> （三）多名大學研究人員共同揭露GoFetch微架構旁路攻擊，資安日報近期尚未報導這方面消息，但已引發不小的關注，此手法是透過記憶體資料預先讀取機制（DMP），從常數時間程式實作中竊取加密金鑰，且蘋果M系列處理器易受此攻擊影響。</p> <p>在防禦態勢上，這星期有2項新進展，成為資安圈與開發圈的焦點。例如，提升組織內軟體供應鏈可見性的軟體安全評估工具GUAC，如今成為OpenSSF孵化專案，以及程式碼儲存庫GitHub發布程式碼自動掃描修復功能（Code Scanning Autofix），可協助開發者快速解決程式碼中的漏洞，目前已經支援JavaScript、TypeScript、Java與Python。</p> <p>此外，國際間還有兩個安全指引的頒布，可以作為企業組織的借鏡與參考。一是英國發布雲端資料收集與監控系統（SCADA）安全指引，因為已有許多企業組織將SCADA遷移到雲端，這部分資訊的確過去較少見；另一是因應針對中國駭客組織Volt Typhoon的威脅，最近英美等多國網路安全機構，提出防禦指引。</p> <p style="margin: 0px;"> </p> <h3><a href="https://www.ithome.com.tw/news/161813"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月18日】國際貨幣基金組織電子郵件帳號傳出遭到挾持</span></strong></a></h3> <p style="margin: 0px;">又是大型組織的電子郵件帳號遭到入侵的情況！上週國際貨幣基金組織（IMF）發布公告，透露他們一個月前遭到網路攻擊，並指出駭客入侵了11個電子郵件帳號。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">值得留意的是，IMF並未透露更多細節，但他們證實電子郵件系統採用Microsoft 365雲端服務，讓人不禁聯想此事的發生，是否與1月微軟、HPE揭露的電子郵件帳號遭駭事故有關。</p> <p><a href="https://www.ithome.com.tw/news/161852"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月19日】駭客組織Earth Krahang鎖定政府機關而來，疑為中國資安業者安洵旗下團隊</span></strong></a></p> <p>半個月前<a href="https://www.ithome.com.tw/news/161607">資安業者趨勢科技揭露中國駭客組織Earth Lusca的攻擊行動</a>，並指出該組織與中國資安業者安洵信息（i-Soon）有所關連，但並未說明兩者之間的關係，如今相關調查出現新的進展。</p> <p>研究人員發現另一個與Earth Lusca攻擊手法相近，卻有顯著不同之處的駭客組織Earth Krahang，並根據安洵外流的內部資料，研判這兩組人馬就是由該公司經營。</p> <h3><a href="https://www.ithome.com.tw/news/161868"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月20日】研究人員針對行動應用程式開發平臺Firebase配置不當氾濫的現象提出警告</span></strong></a></h3> <p style="margin: 0px;">伺服器配置不當的情況，過往最常出現的是在公有雲系統，但應用程式開發系統出現配置不當的問題，也相當值得留意。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">最近有研究人員針對Google旗下的行動與網頁應用程式開發平臺Firebase進行調查，一口氣找到超過1億筆機敏資料（Secrets），值得留意的是，當中包含不少明文密碼。</p> <h3><a href="https://www.ithome.com.tw/news/161889"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月21日】多組人馬鎖定TeamCity伺服器加密檔案、用於挖礦、部署後門程式</span></strong></a></h3> <p style="margin: 0px;">本月初JetBrains修補TeamCity兩個漏洞CVE-2024-27198、CVE-2024-27199，隨後就傳出有人將其用於攻擊行動，其中一組人馬就是曾經對臺灣發動攻擊的勒索軟體駭客組織「變臉」。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">但事隔不到一週，但事隔不到一週，更多駭客也加入利用這些漏洞的行列，他們對TeamCity植入更多惡意程式，以便進行攻擊行動。</p> <h3><a href="https://www.ithome.com.tw/news/161905"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月22日】研究人員公布無限循環的阻斷服務攻擊手法Loop DoS</span></strong></a></h3> <p style="margin: 0px;">透過傳送大量訊號癱瘓設備運作的攻擊手法，可說是相當常見，但最近有研究人員揭露一種造成通訊無限循環而產生大流量的方法，一旦觸發，就算是攻擊者也無法將其停止。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">值得留意的是，這種新方法估計有30萬臺伺服器曝險，雖然尚未有人將其用於實際攻擊行動，但研究人員呼籲，IT人員還是應儘速採取因應措施。</p> </div></div></div>
2024/3/25 09:51作者羅正漢https://www.ithome.com.tw/news/161926
Threads接軌ActivityPub聯邦社群平臺，推向美、加、日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://engineering.fb.com/2024/03/21/networking-traffic/threads-has-entered-the-Fediverse/" target="_blank">Meta上周宣布</a>社群平臺服務Threads版和ActivityPub相容社群平臺互通，目前已有部份成果，並以Beta版本在數個國家上線。</p> <p>最新整合進展是Meta去年12月<a href="https://www.ithome.com.tw/news/160413" target="_blank">宣布</a>開始測試和Mastodon等ActivityPub平臺接軌後的最新成果，已實作在Threads Beta版，現階段會推展到美國、加拿大及日本。Meta指出，以ActivityPub開放社群網路協定執行Threads可提供用戶更大自由和選擇。每臺聯邦宇宙伺服器都能設定社群標準和內容仲裁政策，用戶可選擇符合自己的線上平臺。</p> <p>透過支援ActivityPub，Threads將可加入聯邦宇宙（fediverse），與其他和ActivityPub標準相容的服務互通。現在滿18歲具有公開個人檔案的Threads用戶可以選擇「加入聯邦宇宙」，即將Threads貼文分享到其他ActivityPub相容的伺服器，包括Mastodon，或允許這些伺服器上的用戶關注他們，或回覆、轉貼其訊息及按讚。Threads用戶也能直接在其App上看到加總的統計，如按讚數、回應數、或關注他們的用戶人數。</p> <p>不過，基於一些技術問題，目前整合尚未完全，能看到的訊息僅此於此。Threads無法看到其他服務按讚的用戶是誰，或是其他服務用戶的回應內容。想知道按讚者或回應內容者必須直接造訪其伺服器。此外，有回應限制的貼文、未加入聯邦宇宙的服務的回應或轉貼、有投票行為的貼文等暫時都無法加入。而且，若貼文有連結，但不是包含在貼文中，而是附件形式，則附件也會變成附加在貼文結尾的連結。</p> <p>Meta說明，有些整合問題並非出在Meta或其他服務，而是ActivityPub這個協定。例如在社群媒體受歡迎的引述貼文功能，ActivityPub就尚未提供處理的正式規格，使得各伺服器就得自己想方法，有的允許引述，有的則不支援。Threads則可做到以永久URL引述聯邦貼文。</p> <p>Meta表示，等這些和其他技術障礙逐一解決後，Threads會再以安全及確保使用體驗情況下，公布更多聯邦功能。</p> </div></div></div>
2024/3/25 12:10作者林妍溱https://www.ithome.com.tw/news/161934
Windows 記事本將新增拼字檢查、自動校正功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows長壽App記事本（Notepad）即將新增拼字檢查及自動校正功能，讓這個簡潔的App更好用。</p> <p>微軟將開始在Canary和Dev頻道將Notepad 11.2402.18.0版更新，釋出給Windows 11的 Insiders方案用戶，新增的拼字檢查功能可以自動以紅色底線標明拼錯的字，並提供修正建議。要修正拼錯的字，只要點選建議的拼字，或按下快捷鍵Shift+F10，就能更新為正確的字。若用戶判斷並非錯字，也可以選擇全篇略過，或是加入到字典中，Windows就不會再顯示紅色底線。</p> <p>目前這功能已支援多種語言。此外，新版更新還增加自動修正功能，可在用戶輸入過程中自動修正。</p> <p>記事本的拼字檢查功能在部份檔案類型中為預設開啟，但在log檔及和寫程式有關的其他類檔案則預設關閉。用戶可以在記事本的設定頁找到，開啟／關閉本項功能，或是暫時在該檔案的情境選單中啟用這功能。微軟也已改版設定頁，方便用戶找到、變更記事本設定。</p> <p>但即使Windows Insiders也不是所有人都會接獲這功能，因為微軟希望過程中蒐集用戶意見及監控下載情境，最後才會釋出給所有Insiders用戶。</p> <p>新版功能可望會整合在今年下半的Windows 11 24H2更新部署給PC用戶，這個版本目前也正在Canary及Dev頻道測試中。</p> </div></div></div>
2024/3/25 12:28作者林妍溱https://www.ithome.com.tw/news/161936
超過300萬個dormakaba電子鎖有被解鎖之虞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://unsaflok.com/" target="_blank">資安研究人員近日揭露</a>，知名安全業者dormakaba所推出的RFID電子鎖Saflok含有一系列的安全漏洞，允許駭客利用一對偽造的鑰匙卡解鎖單一飯店的所有房間，並將相關漏洞命名為Unsaflok。此一型號的電子鎖經常被應用在飯店與住宅大樓中，估計有超過300萬個散布在131個國家的電子鎖受到影響。</p> <p>dormakaba在1862年創立於瑞士，為當地知名且歷史悠久的安全業者，最初只是一家鎖匠與收銀機工廠，現階段所提供的產品已涵蓋實體門的五金、電子存取、入口系統、機械鑰匙系統、保險箱鎖，以及鑰匙系統等。</p> <p>Unsaflok漏洞影響Saflok系統的電子鎖產品，包括Saflok MT、Quantum系列、RT系列、Saffire系列和Confidant系列等，涉及System 6000、Ambiance與Community等管理軟體，研究人員是在2022年發現相關漏洞，同年9月通知dormakaba，<a href="https://go.dormakaba.com/security-support" target="_blank">雖然dormakaba已開發並公布緩解措施</a>，並自去年11月開始升級或更新飯店所使用的系統，不過截至今年3月，受到影響的門鎖中，只有36%已更新或更換。</p> <p class="rtecenter"><a href="http://unsaflok.com/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0325-dormakaba-Saflok%20MT%20and%20Saflok%20RT%20Plus-unsaflok.png" style="width: 556px;" /></a></p> <p>根據dormakaba的說法，相關漏洞與用來產生MIFARE Classic金鑰的金鑰衍生演算法，以及用來保護底層卡片資料的第二次層加密演算法有關。</p> <p>而研究人員則說，駭客只要從一個系統（一家飯店）中讀取一張鑰匙卡，即可對該系統的任何門展開攻擊，不管是駭客自己房間的鑰匙卡，或者是從快速結帳的鑰匙卡箱中所取得的鑰匙都可以。繼之駭客即可透過任何MIFARE Classic卡及任何可將資料寫入這些卡的工具來建立偽造的鑰匙卡，再利用這對偽造的鑰匙卡打開同一系統上的任何門。可用來的工具包括Proxmark3、Flipper Zero，或是支援NFC的Android手機。</p> <p>更新之所以進度緩慢的主要原因為所有的鎖都必須更新軟體或直接更換，而且所有的鑰匙卡都必須重新發行，前臺軟體及卡片編碼器也必須升級，而且也可能需要升級與第三方設備的整合，如電梯、停車場或支付系統等。</p> <p>儘管迄今並未收到任何攻擊報告，但研究人員指出，dormakaba於1988年便開始銷售Saflok，意味著此一系列含有安全漏洞的電子鎖已被使用超過36年，有人知道並濫用它並不是不可能的事。</p> </div></div></div>
2024/3/25 10:48作者陳曉莉https://www.ithome.com.tw/news/161930
微軟緊急修補Patch Tuesday導致Windows Server當機的問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-gb/topic/march-22-2024-kb5037422-os-build-20348-2342-out-of-band-e8f5bf56-c7cb-4051-bd5c-cc35963b18f3" target="_blank">微軟周五（3/22）緊急釋出Windows Server例外非安全更新</a>，以解決本月Patch Tuesday造成的Windows Server機器當機無法動作的問題。</p> <p>最新釋出的非安全更新編號KB5037422（OS Build 20348.2342），旨在解決3月12日Patch Tuesday釋出的Windows Server更新中LSASS（Local Security Authority Subsystem Service）服務的問題。LSASS為強制執行安全政策及處理用戶登入、產生存取憑證及變更碼的Windows服務。這問題可能導致網域控制器（domain controller，DC）記憶體洩露，主要是發生在用戶本地部署或雲端Active Directory DC處理Kerberos驗證呼叫時，而大量洩露可能造成記憶體使用過量，導致LSASS服務停止回應及DC不預期重新啟動。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/new-windows-server-updates-cause-domain-controller-crashes-reboots/" target="_blank">Bleeping Computer上周首先報導</a>這波災難是微軟上周釋出3月份Windows Server更新的結果。用戶回報，安裝KB5035857（Server 2022）及KB5035855（Server 2016）的Windows Server機器因崩潰而造成服務停機，經查皆為LSASS大量使用記憶體。微軟當時已證實獲報，並正在調整此事。</p> <p>微軟現在已將最新服務堆疊更新（serving stack update，SSU）合併到最新的累積更新（LCU）。用戶可以在Microsoft Update Catalog下載獨立套件。除了<a href="https://support.microsoft.com/en-us/topic/march-22-2024-kb5037422-os-build-20348-2342-out-of-band-e8f5bf56-c7cb-4051-bd5c-cc35963b18f3" target="_blank">KB5037422（Server 2022）</a>外，微軟也提供了<a href="https://support.microsoft.com/en-us/topic/march-22-2024-kb5037423-os-build-14393-6799-out-of-band-1775cda2-4bb6-43a9-9fd4-ddc3528d3408" target="_blank">KB5037423（Server 2016）</a>及<a href="https://support.microsoft.com/help/5037426" target="_blank">KB5037426（Server 2016 R2）</a>。Server 2019的例外更新會稍後釋出。</p> </div></div></div>
2024/3/25 11:11作者林妍溱https://www.ithome.com.tw/news/161931
結合多種資料保護與減量技術，NetApp雲端災難復原服務上線
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/netapp_bluexp_disaster_recovery-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2022年11月的年度用戶大會Insight，NetApp發表全新儲存與資料服務平臺BlueXP，相隔一年之後，他們宣布將在此增設災難復原即服務（DRaaS），稱為BlueXP disaster recovery，並且釋出公開預覽版本，到了今年3月，這項解決方案正式上線。</p> <p>根據NetApp最初揭露的消息所言，BlueXP disaster recovery主要保護兩種環境，一個是針對建置在企業與組織內部的NetApp ONTAP儲存系統，以及在這上面所承擔的VMware軟體定義資料中心工作負載，一個是架構在AWS公有雲服務之上的VMware Cloud，當中使用雲端檔案儲存服務Amazon FSx for NetApp ONTAP。以後者而言，企業就不需要在第二座資料中心自行建立專屬的基礎架構，作為待命中的備援環境，可大幅節省災難復原解決方案的設置與維護成本。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20Data%20Protection-DR.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/NetApp BlueXP Portfolio-2023-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20BlueXP%20Portfolio-2023-10.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/draas-onprem-to-cloud-onprem.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/draas-onprem-to-cloud-onprem.jpg" style="width: 298px;" /></a></p> <p>而在實際的技術運作架構上，BlueXP disaster recovery整合以SaaS雲端服務型態提供的BlueXP控制層，可簡化企業內部與雲端環境的災難復原部署、遠端複製，以及系統管理——需在上述兩種環境部署BlueXP Connector軟體，以便執行管理資料基礎架構的動作，由於此軟體會牽動BlueXP SaaS層的處理，需依靠它來實踐BlueXP所有功能與服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NetApp BlueXP Architecture-2023-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20BlueXP%20Architecture-2023-10.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/NetApp BlueXP Connector-2023-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20BlueXP%20Connector-2023-10.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/NetApp BlueXP modes-2023-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20BlueXP%20modes-2023-10.jpg" style="width: 298px;" /></a></p> <p>以細部作業流程來看，BlueXP disaster recovery能針對內部環境的ONTAP datastore連至另一站點的ONTAP datastore之間，或是連至FSx for NetApp ONTAP之間進行的災難復原，提供更輕鬆的操作方式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dr-architecture-diagram-70.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dr-architecture-diagram-70.jpg" style="width: 600px;" /></a></p> <p>企業可透過易於使用的DR範本，指引故障轉移（failover），以及從備援系統切回主系統（failback）的自動處理，之後即可做到不間斷的保護、持續檢查是否遵循法規要求，以及更頻繁地執行演練測試，企業可藉此改善災難復原的準備度，對自身應變的能力更有信心，而不會影響正式環境的IT資源供應與服務可靠度。</p> <p>除此之外，BlueXP disaster recovery也提供多個時間復原點（point-in-time recovery points），可用於細部還原處理，具備更多使用彈性。而在資料保護的執行效率上，這套解決方案搭配NetApp的高效能遠端複製技術SnapMirror，可促使VMware工作負載的還原點目標（RPOs）與復原時間目標（RTOs），維持在較低與可預期的狀態。</p> <p>關於資料保護的方法，BlueXP disaster recovery在此運用NetApp的遠端複製技術SnapMirror，而能獲得重複資料刪除、壓縮、壓實（compaction）等精簡資料量的功能，提升儲存效率；同時，這裡額外搭配NetApp的區塊層級（block-level）、持續進行增量處理（incremental-forever）的遠端複製技術，可將頻寬耗用維持在低檔，以降低網路與儲存成本。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NetApp BlueXP disaster recovery-dashboard.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20BlueXP%20disaster%20recovery-dashboard.jpg" style="width: 600px;" /></a></p> <p>就災難復原的整體流程而言，BlueXP disaster recovery能在不同階段提供那些功能？首先，企業能針對在VMware vSphere伺服器虛擬化平臺上面運作、而且是使用ONTAP儲存系統的NFS datastore的應用程式，建立可套用範本執行的災難復原計畫。</p> <p>我們可在此選定坐落在一臺或多臺vCenter的虛擬機器進行保護，接著選定備援vCenter或VMware Cloud叢集，一旦發生災難事故時，可啟動故障轉移，由這個備援站點接手負責執行工作負載，此外，我們可能需要套用重新設定的組態（reconfiguration），像是：個別或全部受保護機器的網路配置，在企業故障轉移作業後半段（post-failover）執行的專屬指令碼，以及每臺虛擬機器重新啟動的順序，同時，也需要定義復原點目標（RPO），設置對正式環境進行遠端複製作業的頻率，以及該保留的副本數量。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20BlueXP-DRaaS-replication%20plan-2023-10.jpg" style="width: 600px;" /></p> <p>接下來是利用NetApp的SnapMirror技術，將這些vSphere應用程式與資料，遠端複製到企業內部網路環境的另一臺備援系統，或是位於公有雲服務AWS的VMware Cloud災難復原站點。</p> <p>在這些工作完成之後，在不影響日常工作負載的狀況下，企業可以測試故障轉移的流程；接著是確認災難一旦發生時，能夠輕易地進行故障轉移。隨後則是監控主動式災難復原作業的運作狀態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NetApp BlueXP disaster recovery-testover.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20BlueXP%20disaster%20recovery-testover.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/NetApp BlueXP disaster recovery-job monitoring.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20BlueXP%20disaster%20recovery-job%20monitoring.jpg" style="width: 298px;" /></a></p> <p>故障轉移會如何進行？首先是驗證位於備援端的VMware vCenter叢集是否正在運作，以及已經準備好接替故障的虛擬機器執行，第二步是啟動位於Amazob FSx for NetApp執行個體的ONTAP FlexVol儲存區，第三步是將這些儲存區當中的VMware datastore，在備援VMware vCenter註冊，第四步決定虛擬機器的組態是否該套用先前設置的重新設定，第五步是依照先前設定的開機順序，啟動每一臺受保護的虛擬機器，第六步是在個別虛擬機器的作業系統上，執行故障轉移作業後半段（post-failover）的指令碼，第七步是驗證所有虛擬機器都已經依照保護計畫的設置而重新啟動。</p> <p>最終是回復正常作業，在主站點（primary site）修復問題之後，可透過單鍵操作的簡易方式，將工作負載的執行從備援站點切換至主站點。</p> <p>至於為何BlueXP disaster recovery的故障轉移流程測試不會影響主站點的執行？NetApp表示，這裡與實際執行故障轉移作業有兩大差異，首先，每一套遠端複製計畫內含測試故障轉移的複製計畫，可在此定義多種設定，第二，在測試故障轉移時，會使用NetApp的ONTAP FlexClone技術，建立每個備援儲存區的副本，將這些複製體掛載至備援端的vCenter，因此僅透過暫存的虛擬基礎架構即可完成上述作業，而不會影響正式環境的虛擬機器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NetApp BlueXP-DRaaS-TestFailOver-2023-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20BlueXP-DRaaS-TestFailOver-2023-10.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008000;"><strong>產品資訊</strong></span></p> <p><strong>NetApp BlueXP disaster recovery</strong><br /> ●原廠：NetApp<br /> ●建議售價：Pay-As-You-Go每月每GB為0.03美元，1年訂閱每月每GB為0.0285美元，3年訂閱每月每GB為0.0255美元<br /> ●解決方案供應形式：SaaS雲端服務<br /> ●保護對象：底層儲存採用NFS的VMware工作負載，內部網路為搭配NetApp儲存系統使用的VMware環境，雲端服務為AWS環境：Amazon FSx for NetApp ONTAP、VMware Cloud on AWS<br /> ●資料保護技術：NetApp遠端複製技術SnapMirror</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/25 11:17作者李宗翰https://www.ithome.com.tw/review/161924
中國政府正在遠離英特爾與AMD晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ft.com/content/7bf0f79b-dea7-49fa-8253-f678d5acd64a" target="_blank">《金融時報》（Financial Times，FT）近日報導</a>，中國政府的採購政策正在逐步遠離來自美國的晶片與作業系統，包括英特爾、AMD及Windows，實施範圍涵蓋政府機構與國營企業。</p> <p>此一報導源自於中國財政部在去年12月26日<a href="https://gks.mof.gov.cn/guizhangzhidu/202312/t20231226_3924086.htm" target="_blank">發表</a>了《台式計算機政府採購需求標準》，要求特定職級的黨政機關與政府直屬事業單位，在採購桌上型電腦時，應將CPU與作業系統符合安全可靠測評要求納入採購需求，同一天，中國信息安全測評中心即公布了涉及CPU、作業系統及資料庫等基礎軟、硬體的安全可靠測評結果，<a href="http://www.itsec.gov.cn/aqkkcp/cpgg/202312/t20231226_162074.html" target="_blank">列出</a>符合可靠定義的產品。</p> <p>其實中國政府並未指名要封鎖來自美國的產品，兩份文件都未提及美國或美國的產品名稱，只是在被認為安全可靠的產品名單中，清一色全是中國產品，包括有18款來自中國各家廠商的CPU，有6款源自中國的作業系統，以及11款皆由不同中國業者所開發的資料庫。</p> <p>《金融時報》引述消息來源報導，中國國營企業自去年便開始透過季報來呈現IT系統的改造進度。</p> <p>中國試圖以政策來擺脫對美國的依賴，惟現階段仍然容許各部門或國營企業有限制地採購英特爾、AMD或Windows等美國產品。</p> </div></div></div>
2024/3/25 11:48作者陳曉莉https://www.ithome.com.tw/news/161933
Apple全裝置Safari現在皆支援垂直表單控制元件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在瀏覽器互通專案Interop 2023倡議之下，主要瀏覽器都開始統一垂直表單控制元件支援，而Apple在推出<a href="https://webkit.org/blog/15190/implementing-vertical-form-controls/">Safari 17.4</a>之後，所有裝置包括iOS上的Safari，都已經能夠正確呈現垂直書寫模式下的表單控制元件。支援垂直書寫模式對瀏覽器來說是一項大工程，因為需要重新調整許多表單控制元件的呈現方式，甚至需要為垂直書寫模式編寫特別的渲染邏輯。</p> <p>垂直文字書寫常見於東亞語言，包括中文、日文和韓文等都可以垂直書寫，並且從上到下閱讀，雖然CSS書寫模式屬性對垂直文字的支援已經實施一段時間，但是所有瀏覽器對表單控制元件vertical-lr和vertical-rl值的支援都不同，因此在Interop 2023中，各家廠商便決定實現更加一致的垂直書寫支援。</p> <p>要在已支援的瀏覽器中，顯示垂直表單控制元件，設定書寫模式屬性即可，從右到左的區塊流使用vertical-rl，而左到右區塊流則使用vertical-lr。支援垂直書寫模式的元件包括<button>、<textarea>、<progress>、<meter>、<input>和<select>等。不過，與表單控制元件相關的彈出式用戶介面，像是<select>的下拉選單，或是<input type=“color">顏色選擇器，仍然會以水平的方式顯示。要更好地支援垂直書寫模式，WebKit更新了其樣式表，使用邏輯屬性像是inline-size代替傳統的寬度，並且用block-size來代替高度，這些屬性更能適應不同的書寫方向，因為他們與內容的走向相關。</p> <p>而布局（Layout）方面，WebKit中的表單控制元件大量使用自定義的布局程式碼，以在不同的環境和條件保持一致和功能性，但開發團隊提到，這些實作設計皆考量水平書寫模式，在垂直書寫模式下會出現問題。因此WebKit開發團隊更新這些實作，在計算邏輯寬度時考慮書寫模式。自定義基線調整邏輯也更新使用垂直書寫模式的中央基線，使複選框和單選按鈕等控制元件，能與垂直文字相搭配。</p> <p>不只如此，WebKit表單控制元件於垂直書寫模式的渲染，在不同作業系統也需要特別調整。在macOS上，因為作業系統本身不支援垂直書寫模式，WebKit表單控制元件又需要和作業系統外觀和感覺維持一致，像是<progress>等控制元件，無法直接在垂直模式下渲染，因此WebKit會直接旋轉這些控制元件來支援垂直渲染，使其在垂直書寫模式下可用，且外觀又接近系統標準。</p> <p>但像是<select>這類元件具有陰影等細節，就無法單純透過旋轉，否則顯示會不正確。而WebKit便採用自定義回退渲染方法，這些控制元件在垂直模式下採用特別的渲染邏輯，因此這些控制元件和作業系統的原生元件外觀可能會有所不同。</p> <p>對於原本在WebKit中就已經是自定義繪製的控制元件，像是在iOS和macOS中的列表選擇框<select multiple>，現在皆使用邏輯座標而非物理座標，確保控制元件在垂直書寫模式的呈現一致。而像是複選框或是單選按鈕則不需要進行任何渲染變更，他們在所有書寫模式看起來都相同。</p> <p>目前桌面瀏覽器支援表單控制元件垂直書寫模式的有Firefox 120以上版本，以及Chrome124以上版本，Edge則處在部分支援的階段，而在行動裝置上，除了iOS上的Safari之外，還有Android的Firefox，也支援表單控制元件垂直書寫模式。</p> </div></div></div>
2024/3/24 23:08作者李建興https://www.ithome.com.tw/news/161922
提供3種預設組態，IBM大型主機系統推出更多入門款式
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ibm_linuxone_4_express_main2_0.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2021年8月，IBM發表7奈米製程的處理器Telum，預計用於新一代大型主機系統，時至2022年4月，該公司推出搭配這款運算晶片的z16多機櫃產品（multi frame），標榜這是業界首款量子安全系統——底層採用格構密碼學（lattice-based cryptography），以此建立保護資料與系統的安全原型，及早因應量子破密威脅。</p> <p>同年9月，他們發表第四代LinuxONE頂級款式Emperor（LinuxONE 4 LA1），同樣採用Telum，可提供具有高延展性的Linux與Kubernetes系統——提供1到4座19吋寬度機櫃的配置，採用雙晶片模組封裝的Telum（每顆晶片內建8核心、時脈為5.2 GHz），最多可設置200顆核心，記憶體最大可搭配40 TB，每顆中央處理器模組（central processing drawer）可搭配10 TB備援記憶體陣列（RAIM）。</p> <p>2023年4月，IBM接續發表單座機櫃型態的z16，以及第四代LinuxONE的中階款式Rockhopper（LinuxONE 4 LA2）。他們表示，LinuxONE 4 LA2僅提供1座19吋機櫃配置，強調提供入門級價格的高效率設計，能與雲端資料中心其他運算平臺共存，在處理器與記憶體的配置上，同樣採用雙晶片模組封裝的Telum（每顆晶片內建8核心、時脈為4.6 GHz），最多可設置68顆核心，記憶體最大可搭配16 TB，每顆中央處理器模組（central processing drawer）可搭配8 TB備援記憶體陣列（RAIM）。</p> <p>一個月之後，IBM增設新的入門款式LinuxONE 4 AGL，可提供安裝在企業既有機櫃的選項，使用10U到39U空間，處理器與記憶體的組態同於LinuxONE 4 LA2。</p> <p>到了今年2月，IBM發表新款大型主機系統LinuxONE 4 Express，鎖定中型與小型企業環境，主打高效能、安全，以及支援AI運算等特色。基本上，這是基於LinuxONE 4 AGL而成的款式，採用預先設定的組態，區分為大、中、小等三種產品包裝，小型組態提供4核心與384GB記憶體，中型組態提供6核心與512 GB記憶體，大型組態提供12核心與736 GB記憶體，訴求快速建置、成本節約與降低用戶工作量，能支撐傳統與新興的IT應用需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20214-02-20-IBM%20Linux%20One%204%20overview.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Specifications for IBM LinuxONE 4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Specifications%20for%20IBM%20LinuxONE%204.jpg" style="width: 500px;" /></a></p> <p>LinuxONE 4 Express也能用於工作負載的整併，例如將多個資料庫系統集中、放置於高性能的大型主機系統執行，企業即可以此簡化IT環境的管理，降低營運成本。IBM表示，同樣在Linux環境執行多種應用系統的工作負載，若以5年來計算總持有成本，採用LinuxONE 4 Express均可低於x86伺服器，節省幅度最高可達到52％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/20214-02-20-IBM Linux One 4 Express TCO.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/20214-02-20-IBM%20Linux%20One%204%20Express%20TCO.jpg" style="width: 600px;" /></a></p> <p>關於創新應用的支援，例如AI醫療影像處理，LinuxONE 4 Express採用的Telum處理器，提供AI推論運算能力，企業可將關鍵應用的資料與AI交給LinuxONE系統，就地執行資料分析作業。舉例來說，醫療健康保險公司可藉此以近乎即時的速度，進行大量醫療紀錄的分析，從而更快完成理賠程序驗證，提升業務決策速度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/IBM Telum-Integrated AI Accelerator-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IBM%20Telum-Integrated%20AI%20Accelerator-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/IBM Telum-Integrated AI Accelerator-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IBM%20Telum-Integrated%20AI%20Accelerator-2.jpg" style="width: 298px;" /></a></p> <p>在高可靠度的部分，LinuxONE 4系列可搭配IBM旗下多種系統，而能達到8個9（99.999999%）的服務水準，例如，在使用Red Hat OpenShift Container Platform的環境當中，搭配大型主機專用的災難復原解決方案GDPS（Geographically Dispersed Parallel Sysplex）、啟用HyperSwap功能的DS8000系列儲存系統。</p> <p>以數位資產管理而言，這系列大型主機系統可實現機密運算（confidential computing）的要求，保護正在使用的重要資料（data in use）。相關功能源自設備內建的硬體安全技術，名為IBM Secure Execution for Linux，可針對個別工作負載進行大規模的分區隔離執行，能同時預防來自系統外部的攻擊，以及滲透、潛伏系統內部的威脅，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2020-IBM Secure Execution for Linux on IBM Z.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-IBM%20Secure%20Execution%20for%20Linux%20on%20IBM%20Z.jpg" style="width: 400px;" /></a></p> <p>同時，LinuxONE也配備硬體加密器（HSM），IBM提供CryptoExpress卡，支援FIPS 140-2 Level 4、<a href="https://community.ibm.com/community/user/ibmz-and-linuxone/blogs/richard-kisley1/2023/04/21/pci-hsm-for-4770-on-ibm-z16">PCI HSM</a>等認證的要求，可搭配該公司的Hyper Protect Services，而獲得加密金鑰管理服務，以及運用Dilithium、Kyber後量子密碼學演算法進行簽署與封裝的功能。以LinuxONE 4 AGL、LinuxONE 4 LA2為例，最多可搭配20張CryptoExpress卡，提供40組硬體加密器；至於更高階的LinuxONE 4 LA1，最多可搭配30張CryptoExpress卡，提供60組硬體加密器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ibm-pcie-cryptographic-coprocessor.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/IBM PCIe Cryptographic Coprocessor-overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IBM%20PCIe%20Cryptographic%20Coprocessor-overview.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Linux%20on%20z%20and%20LinuxONE%20Systems%20Crypto%20Stack.jpg" style="width: 500px;" />\</p> <p><span style="color:#008000;"><strong>產品資訊</strong></span></p> <p><strong>IBM LinuxONE 4 Express</strong><br /> ●原廠：IBM<br /> ●建議售價：13.5萬美元起<br /> ●硬體組成：單臺機櫃預設裝載18U尺寸設備，包含1個CPC運算模組、1個I/O模組<br /> ●處理器：IBM Telum，用於LinuxONE 4 Express時脈為4.6 GHz，最多可用16顆核心的組態<br /> ●記憶體：<br /> 小型組態384 GB（對應4核心）<br /> 中型組態512 GB（對應6核心）<br /> 大型組態736 GB（對應12核心）<br /> 最大可至864 GB（對應16核心）<br /> ●網路介面：2張網路卡，共提供4個10 GbE埠<br /> ●支援Linux作業系統版本：Canonical Ubuntu（20.04、22.04）、Red Hat RHEL（7、8、9）、SUSE SLES（12、15）<br /> ●支援Hypervisor：z/VM（7.2、7.3）、KVM（Canonical、Red Hat、SUSE）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/23 13:49作者李宗翰https://www.ithome.com.tw/review/161911