iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 05:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

數位部：政府GSN服務運作正常，部分電信業者行動基地臺受影響正搶修中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今早發生的強震，數位部盤點政府資訊服務，目前政府網際服務網(Government Service Network, GSN）正常運作，用戶端將請監控中心持續監控個別狀況，目前尚未發現異常情形。</p> <p>至於通訊傳播領域關鍵基礎設施，固網、海纜等通訊線路沒有發現異常，但在行動網路方面，有電信業者的少數基地臺受到地震影響，導致該地的用戶訊號出現不穩，數位部已請電信業者儘速搶修，盤點相關災損及受影響用戶。</p> </div></div></div>
2024/4/3 11:33作者蘇文彬https://www.ithome.com.tw/news/162111
403強震，遠傳電信：正盤查各地基地臺、機房、設備，行動通訊車可前往災區支援通訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今早發生強震後，國內電信服務也受到部分影響，遠傳電信今早啟動緊急應變，投入上百名工程師，盤查各地基地臺、機房、設備，目前仍在詳細盤查中，另外，因應災害嚴重地區通訊需求，該公司也準備行動通訊車，可機動性的前往當地支援通訊。</p> <p>目前遠傳電信也透過後臺，監控網路流量是否有異常情形，障礙排除等等，以維持通訊服務品質。該公司表示，基地臺皆有備援電源，主要機房也運作正常，但有少數基地臺因停電，在備援電源用盡後暫時無法服務，待台電恢復供電後，可立即恢復運作。</p> </div></div></div>
2024/4/3 11:46作者蘇文彬https://www.ithome.com.tw/news/162112
台灣大哥大少數基地臺受損、因停電受影響，目前正搶修中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天上午花蓮地區發生規模7.2的強震，國內通訊服務也受到部分影響，台灣大哥大表示，主要機房雖沒有受損，但部份地區的行動基地臺受損，影響主要區域為花蓮，新北也有部分地區受到影響，目前正在搶修中。</p> <p>台灣大哥大表示，地震發生後，第一時間投入超過500名人力進行設備檢查，提供必要的行動通訊服務及協助，零星的基地臺因地震受到損害，有少數基地臺則因停電受影響，目前正在全面搶修中，電力障礙問題，緊急安排發電機，並持續觀察該地區訊務情形，如發現訊自壅塞，加派行動車前往當地支援。</p> </div></div></div>
2024/4/3 10:32作者蘇文彬https://www.ithome.com.tw/news/162110
回顧2023十大資安漏洞
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去1年，應用系統、通訊協定、資安防護設備等漏洞利用攻擊事故不斷發生，部分甚至導致大規模災情，並頻繁出現在資安新聞報導，我們根據全球的資安態勢，以及臺灣企業組織偏好採用的IT系統，選出年度十大漏洞</p> </div></div></div>
2024/4/3 09:49作者周峻佑https://www.ithome.com.tw/article/162080
Rust更新u128、i128資料型別記憶體對齊，確保與C語言一致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust開發團隊<a href="https://blog.rust-lang.org/2024/03/30/i128-layout-update.html">解決</a>了長期以來與C語言在x86-32和x86-64架構上，處理128位元整數對齊（Alignment）上的不一致。採用LLVM 18的Rust現在處理i128、u128資料型別，會與所有版本的GCC，以及Clang 18以上版本相容。</p> <p>Rust開發團隊解決了u128、i128資料類型，在記憶體中的布局問題，這個問題涉及資料型別在記憶體中的對齊方式。所謂的記憶體對齊，是指資料型別被允許放置的記憶體地址規範，對齊方式可以依據需求變化，像是一個8位元組大小的整數，可以儲存在任意記憶體地址，而64位元電腦系統可能會選擇採用8位元組的對齊方式。</p> <p>在Rust與C語言中，針對u128、i128資料型別在x86-32和x86-64架構上的對齊方式，長期以來存在不一致。這種不一致來自於兩個實作的對齊要求不同，在C語言中，__int128（相當於Rust的u128、i128）的對齊要求遵循該平臺應用程式二進位介面（ABI）的規範，代表著在x86-64系統上，__int128的對齊可能被要求為16位元組，目的是最大程度提高存取這些資料型別的效率。</p> <p>Rust在早期版本中，對於u128、i128的對齊不完全遵循C的ABI規範，導致在部分情況下，這些資料型別的對齊方式與C不一樣，使得外部函式介面（FFI）呼叫時可能出現難以預料的行為或是效能問題。</p> <p>為了解決與C語言在處理u128、i128資料型別對齊不一致的問題，Rust進行了調整，現在使資料型別對齊方式與C保持一致，而由於資料類型在記憶體中的布局更加可預測，減少了潛在轉換或是對齊物的問題，因此直接提高了外部函式介面的相容性和效能。不過，也因為這些類型現在需要更大的對齊空間，可能導致程式碼的記憶體占用增加。</p> <p>對大多數Rust開發者來說，這次更改並不會有太大的影響，但是如果開發者在程式碼中直接假設這些類型的對齊而沒有使用align_of，或是在外部函式介面中使用這些資料型別，卻忽略improper_ctypes*的Lint，則開發者可能會需要更新程式碼，避免發生潛在的問題。</p> <p>從Rust 1.77開始，開發者在外部函式介面中使用128位元整數時會相對安全，而隨著1.78版本更新LLVM，開發者就能獲得更多操作確定性。</p> </div></div></div>
2024/4/3 08:35作者李建興https://www.ithome.com.tw/news/162103
IT產品老弱殘是資安危機
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>無論在家中或工作場所，我們每天都與許多IT產品為伍，而在長期使用的過程當中，通常會意識到某些軟硬體需要進行定期或不定期更新，例如，個人電腦、智慧型手機、平板電腦的作業系統每個月可能至少需要進行安全性更新，持續使用幾年後，可能面臨系統升級甚至換機需求。</p> <p>然而，有些隱身在角落或設置在機房的設備，若沒有刻意安排定期汰換，恐怕用到廠商終止提供產品更新支援，都還不知道繼續使用會面臨更多風險。當然有不少人也明知這樣的IT產品不再可靠，但限於預算不足、更換不便，甚至純粹怕麻煩等原因，仍在隨時可能會出差錯、發生問題等狀態下使用。</p> <p>最廣為人知的例子當屬小型辦公與家用環境（SOHO）Wi-Fi路由器，經常看到資安新聞媒體報導相關安全性事故，這類設備因系統老舊、廠商不再提供韌體改版升級支援，一旦被有心人士找出資安漏洞，就可能被入侵、綁架，而成為殭屍網路的成員，之後遭濫用而能對各種網路服務發動DDoS攻擊。</p> <p>最近就有類似事故發生，例如<a href="https://www.ithome.com.tw/news/162015" target="_blank">3月28日的iThome資安日報</a>，剛好整理到<a href="https://www.ithome.com.tw/news/162015" target="_blank">超大型殭屍網路TheMoon崛起</a>的消息，他們在3月初在短短72小時內，綁架超過6千臺華碩路由器，除此之外，還有其他SOHO路由器、物聯網設備遭駭，這些設備都是處於產品生命週期終止、廠商不再提供支援的狀態，截至今年1月為此，這個惡意網路擴展到擁有4萬臺殭屍裝置、遍及88國，規模相當驚人。</p> <p>若純粹論及IT產品資安漏洞濫用造成的影響，回顧從2020年至今的資安重大事件當中，負責提供遠端安全連線的IPsec或SSL VPN設備，持續佔據資安新聞版面，如Fortinet、Ivanti/Pulse Secure是最大苦主；以應用程式交付控制器（ADC）著稱的F5、Citrix，也常出現在資安公告；而在應用系統方面，不只許多產品搭配的開放原始碼事件記錄元件Log4j，微軟Exchange、VMware的vSphere與Workspace ONE、Atlassian Confluence，也頻頻列為年度重大漏洞。</p> <p>至於2023年，CISA目前雖然尚未公布，我們決定依據iThome資安日報一年以來持續報導的新聞內容，權衡全球資安弱點關注態勢，以及臺灣多數企業與組織可能採用的IT系統，<a href="https://www.ithome.com.tw/article/162080" target="_blank">選出年度十大資安漏洞</a>。</p> <p>就前五大漏洞而言，檔案傳輸管理系統（MFT）漏洞消息近幾年延燒，在2023年，當數<a href="https://www.ithome.com.tw/news/162067" target="_blank">MOVEit Transfer漏洞CVE-2023-34362</a>影響最顯著，因為勒索軟體Clop利用這個弱點大舉入侵許多企業與組織，引發軒然大波。</p> <p>在此之前，就有多個MFT類型產品出現重大漏洞而受到關注，像是Accellion FTA、<a href="https://www.ithome.com.tw/news/162072" target="_blank">Fortra GoAnywhere（我們列入2023年第五大漏洞</a>），由於這些產品在臺灣不普及，但我們仍很擔心這把火是否燒到MOVEit，可惜的是，雖有前車之鑑，但危機還是發生了。</p> <p>以普遍使用程度而言，我們將<a href="https://www.ithome.com.tw/news/162069" target="_blank">壓縮軟體WinRAR漏洞CVE-2023-38831</a>，以及<a href="https://www.ithome.com.tw/news/162071" target="_blank">網頁瀏覽協定HTTP/2漏洞CVE-2023-44487</a>，列在第四名、第五名；而上述提到的網路與資安系統，占了排行榜大宗，像是<a href="https://www.ithome.com.tw/news/162068" target="_blank">應用程式交付控制器Citrix NetScaler</a>、<a href="https://www.ithome.com.tw/news/162073" target="_blank">郵件伺服器軟體Zimbra</a>、<a href="https://www.ithome.com.tw/news/162074" target="_blank">防火牆與VPN設備兆勤（Zyxel）</a>、行動裝置管理平臺<a href="https://www.ithome.com.tw/news/162075" target="_blank">Ivanti Endpoint Manager Mobile</a>、<a href="https://www.ithome.com.tw/news/162076" target="_blank">路由器平臺Cisco IOS XE</a>，以及<a href="https://www.ithome.com.tw/news/162079" target="_blank">郵件安全閘道Barracuda ESG</a>。</p> <p>「人非聖賢，孰能無過」廠商開發產品、經營市場不容易，更重要的是「知過能改」，不只是關切所供應的產品與服務須有良好品質，用戶導入後的維護與持續使用，更是信任與名譽的長期考驗。</p> <p>對廠商而言，固然有權決定產品技術支援的廣度、深度，以及持續期間，因此應設法說服用戶更換新機時，還願意繼續信任同一品牌，這取決於廠商自身發展與提供客戶的服務。對用戶而言，也要有產品與服務生命週期概念，需提早規畫汰舊換新的策略，面對既有的IT軟硬體資產，也要關注更新消息，確認汰換升級的實機，而非盲目希望「物盡其用」不願轉移。</p> <p>當雙方都對彼此有合理的期待與自我要求時，許多IT產品就能在穩健的狀態持續使用，遇到問題，也能互信合作、解決困難。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%AE%89%E5%85%A8%E6%BC%8F%E6%B4%9E">安全漏洞</a></div><div class="field-item odd"><a href="/tags/%E6%9B%B4%E6%96%B0">更新</a></div><div class="field-item even"><a href="/tags/%E6%AE%AD%E5%B1%8D%E7%B6%B2%E8%B7%AF">殭屍網路</a></div><div class="field-item odd"><a href="/tags/2023%E5%8D%81%E5%A4%A7%E8%B3%87%E5%AE%89%E6%BC%8F%E6%B4%9E">2023十大資安漏洞</a></div></div></div>
2024/4/3 07:00作者李宗翰https://www.ithome.com.tw/voice/162039
【回顧2023十大資安漏洞｜No.1：CVE-2023-34362】MOVEit檔案傳輸軟體漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-MOVEit-600-PNG.png" style="text-align: center; width: 600px;" /></p> <p>論及2023年影響最為嚴重的漏洞，莫過於Progress旗下MFT檔案共享系統MOVEit Transfer漏洞CVE-2023-34362，<a href="https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023" target="_blank">自該公司去年5月27日公布至今</a>，在iThome有超過20篇新聞與之有關，以壓倒性的程度，遙遙超越其他漏洞的曝光程度。</p> <p>甚至到了今年3月，美國政府呼籲軟體開發商，應該要在產品出貨之前，檢查是否存在SQL注入漏洞，也與這項漏洞引發的大規模攻擊事故有關，這兩年美國政府開始大力提倡軟體開發安全，並提供各式的實作指引，但針對特定類型的漏洞，並拿出血淋淋的真實案例提出呼籲，這還是頭一遭。</p> <p>與先前的Accellion FTA、GoAnywhere事件相同，利用此漏洞的攻擊事故，背後的攻擊者都是勒索軟體駭客Clop，但這次陸續浮出檯面的受害組織，竟多達數百個，駭客分成多次公布名單，而且每次都引起不少關注。</p> <p>另一方面，有別於過往事件證實受害的企業與政府機關，同時其檔案共用系統也遭遇攻擊，但這次出面公布遇害的組織，不少是因為IT服務供應商建置的MFT系統遭遇攻擊，導致自己的內部資料外洩而出面公告。</p> <p>特別的是，這項漏洞不只引起各界關注，美國政府也採取了多個罕見的措施。首先，聯邦調查局宣布祭出千萬美元獎金，要捉拿勒索軟體駭客Clop的成員；再者，美國證券交易委員會（SEC）也在10月，傳出要對Progress進行調查的情況。</p> <p>而對於這起攻擊事故造成的損失，當時Progress認為影響有限，根據他們的評估，由於旗下MFT系統的漏洞，產生約100萬美元的費用，相關的保險理賠預期會進帳190萬美元。但這份季報也談到遇害客戶的反應，他們表示，有23個組織、58名人士向他們提出法律訴訟，而有可能會產生賠償費用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-2023-vul-moveit-dc2-en_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_KonBriefing.png" style="width: 600px;" /></p> <p> <span style="font-size:14px;"><span style="color:#696969;"><span style="font-size:16px;"><strong>根據研究機構KonBriefing彙整的資料，CVE-2023-34362漏洞攻擊事發半年後，總共有超過2千個企業組織受害，影響範圍涵蓋32個國家，大部分受害組織位於美國。</strong>（圖片來源／KonBriefing）</span></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>受害規模已擴大至超過2千個組織</strong></span></span></p> <p>我們曾在去年8月初，彙整因CVE-2023-34362造成的資安事故發生經過，當時研究機構KonBriefing根據新聞報導、駭客公布的名單、受害組織發出的聲明，以及向美國地方政府或證券交易委員會（SEC）通報的資料，截至7月31日，他們確認有545個組織受害，約有3,270萬至3,760萬人遭受波及。</p> <p>但事隔5個月，受害組織增加3倍、外洩資料筆數增加1倍──截至12月20日，有2,611個組織受害、約有8,510萬至8,990萬人個資流出。這樣的現象，印證6月美國政府官員的推測，這項漏洞攻擊事故的影響，將會持續擴大。</p> <p>值得留意的是，資安業者Kroll發現，駭客早在2021年7月就找到CVE-2023-34362，並策畫在完成GoAnywhere攻擊之後，才進行本次的攻擊行動。這意味著該漏洞曝露長達快2年的時間，駭客可能已經過充分的模擬和測試，最後才決定下手。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>矯枉過正！廠商後續過於頻繁發布漏洞公告，反而導致用戶無所適從</strong></span></span></p> <p>雖然整起事件當中，駭客只有利用CVE-2023-34362，但這次Progress應變處理的可取之處在於，他們在事發之後隨即尋求資安業者協助，檢視MOVEit Transfer的程式碼來改善安全。不過，頻繁發布新漏洞的資安通告，也很可能讓IT人員無所適從，疲於採取緩解措施，或是安裝更新軟體。</p> <p>6月9日，Progress表示在資安業者Huntress的協助下，找到SQL注入漏洞CVE-2023-35036，CVSS風險評分為9.1，影響所有版本的MOVEit Transfer，該公司提供修補程式，並指出目前該漏洞尚未遭到利用。</p> <p>事隔不到一週，Progress於15日又再度發布公告，針對新漏洞CVE-2023- 35708提出緩解措施，呼籲IT人員暫時停用所有HTTP與HTTPS流量，並在隔天發布了修補程式。基本上，此漏洞也是被列為危急層級的SQL注入漏洞，CVSS風險評分達到9.8。</p> <p>值得留意的是，無論是CVE-2023-34362或CVE-2023-35708，Progress首度公布漏洞時，皆未取得CVE編號，也沒提供CVSS評分，IT人員只能從公告的說明當中，得知該公司認定漏洞極為嚴重，難以判斷要如何安排修補。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162067
【回顧2023十大資安漏洞｜No.2：CVE-2023-4966】Citrix NetScaler漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-Citrix-PNG.png" style="width: 600px;" /></p> <p>我們這次選出的2023第2大漏洞，與去年11月一起引起全球關注的勒索軟體攻擊有關，因為此事故導致利用這項漏洞的情況浮上檯面。</p> <p>它是存在Citrix NetScaler設備的資訊洩露漏洞，編號為CVE-2023-4966，CVSS風險評分達到9.4。<a href="https://support.citrix.com/article/CTX579459/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967" target="_blank">Citrix於10月10日發布了修補程式</a>，之後，資安業者Mandiant提出警告，他們發現駭客自8月下旬開始，就利用這項零時差漏洞，當時，已有政府機關與科技業者受害，到了10月23日，Citrix也證實出現漏洞攻擊行動的情況──他們接獲連線階段（Session）挾持的事故通報，並確認攻擊者在過程中利用這項漏洞。</p> <p>關於弱點的稱呼，發布概念性驗證（PoC）攻擊程式碼的資安業者Assetnote，將這個漏洞命名為「Citrix Bleed」，但Shadowserver基金會提出警告，在漏洞細節及PoC程式碼公布之後，他們隨即看到嘗試利用該漏洞的情況瞬間增加。</p> <p>雖然在Citrix首度發布資安公告之後，已有數家資安業者、資安研究團隊關注該漏洞的後續態勢，但真正開始有企業組織證實受害，並引起另一波關注，與中國工商銀行的美國子公司工銀金融（ICBCFS）有關，因為他們在1個月後遭遇勒索軟體攻擊的事故。</p> <p>根據iThome所整理的資安新聞，總共有10篇與Citrix Bleed相關，但當中有超過三分之二的報導，是在工銀金融遇害之後出現。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>因金融業者服務中斷而引起關注</strong></span></span></p> <p>針對工銀金融發生的資安事故，當時先是由證券業暨金融市場協會（SIFMA）傳出該公司遭到勒索軟體攻擊，導致工銀金融無法結算投資人的美國國債交易，部分股票交易也受影響。</p> <p>這樣的情況引起全球關注，隨後工銀金融也證實確有此事，他們遭遇勒索軟體攻擊，導致部分服務面臨中斷，但對於受到攻擊的系統，以及攻擊者如何入侵，該公司並未透露進一步的訊息。</p> <p>值得留意的是，根據彭博社、路透社等美國當地的媒體報導，攻擊者的身分就是勒索軟體集團LockBit。而對於這起事故發生的原因，資安專家Kevin Beaumont透露，駭客很可能是針對該公司的Citrix Netscaler系統下手，利用Citrix Bleed漏洞入侵網路環境，此伺服器在數日前就處於離線狀態。</p> <p class="rtecenter"><strong><a href="https://s4.itho.me/sites/default/files/files/%E5%9C%961-0_ELOOpczXQzUBMC8M_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Kevin%20Beaumont.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-0_ELOOpczXQzUBMC8M_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Kevin%20Beaumont.jpg" style="width: 284px;" /></a></strong></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 16px;"><strong>資安專家Kevin Beaumont指出，勒索軟體組織LockBit能夠入侵工銀金融（ICBCFS），並且癱瘓部分系統運作，箇中關鍵，就是利用尚未修補CVE-2023-4966的Citrix NetScaler Gateway，而能夠得逞。</strong>（圖片來源／Kevin Beaumont）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>勒索軟體駭客早已利用相同漏洞，入侵其他大型組織</strong></span></span></p> <p>然而，工銀金融並非唯一因為沒有修補Citrix Bleed而被LockBit入侵的組織。根據這位研究人員的調查，物流業者杜拜環球港務（DP World）、安理國際律師事務所（Allen & Overy）、波音等至少10家大型企業，都是受害者。</p> <p>這些攻擊行動如何進行？研究人員指出駭客組織有分工，前期的人員利用Citrix Bleed入侵目標企業，並部署遠端管理工具，以便後續接手的攻擊者能持續存取網路環境，而這一組人員會再利用各種手法提升權限，擺脫EDR系統控制、竊取資料，最終部署勒索軟體將檔案加密。</p> <p>值得留意的是，LockBit並非唯一利用Citrix Bleed的駭客組織。在2023年11月16日，勒索軟體駭客組織Medusa聲稱，他們入侵汽車大廠豐田（Toyota）旗下的金融服務公司Toyota Financial Services（TFS），若想要下載取回駭客竊得的資料，或是要求駭客刪除檔案，他們開出800萬美元的價碼。</p> <p>而對於駭客入侵的管道，資安專家Kevin Beaumont指出，該公司德國辦事處的NetScaler Gateway，自8月底之後就再也沒有更新，曝露Citrix Bleed而釀禍。這樣的情況，也與Mandiant發現至少有4組人馬從事漏洞利用攻擊的觀察，可說是不謀而合。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162068
【回顧2023十大資安漏洞｜No.3：CVE-2023-38831】WinRAR漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-WinRAR-600-PNG.png" style="width: 600px;" /></p> <p>本次上榜漏洞中，有一項非出現在企業的IT應用系統或設備，而是廣泛使用的壓縮軟體WinRAR，這項漏洞就是CVE-2023-38831。</p> <p><a href="https://www.group-ib.com/blog/cve-2023-38831-winrar-zero-day/" target="_blank">揭露這件事的資安業者是Group-IB</a>，他們在2023年7月初調查惡意軟體DarkMe散布過程當中，發現駭客運用過往未曾揭露的漏洞，這群歹徒在地下論壇號稱，藉由特製的ZIP壓縮檔，能為買家散布指定的惡意程式。經過研究人員的進一步調查，發現駭客在4月就開始利用這項漏洞。</p> <p>經過驗證，研究人員確認漏洞發生在WinRAR存取ZIP檔的過程，並且通報至此軟體的開發廠商Rarlab，該公司於7月20日發布測試版<a href="https://www.win-rar.com/singlenewsview.html?&L=0&cHash=c5bf79590657e32554c6683296a8e8aa&tx_ttnews%5Btt_news%5D=232" target="_blank">WinRAR 6.23</a>修補，正式版軟體於8月2日推出，23日Group-IB公布漏洞細節。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WinRAR%206_23%20final%20released.png" style="width: 600px;" /></p> <p>究竟這個漏洞造成多大危害，目前仍不得而知，但自2023年8月下旬公布後，與俄羅斯、中國、巴基斯坦有關的多個國家級駭客組織，皆傳出將其用於發動網路釣魚攻擊行動的情況。</p> <p>根據iThome的2023年資安新聞報導，總共有多達11篇文章與這項漏洞有關，數量僅次於MOVEit Transfer漏洞CVE-2023-34362。</p> <p>雖然這項漏洞僅被列為高風險層級，CVSS風險評分為7.8，但考量到WinRAR在全球有超過5億用戶，加上該漏洞又相當容易利用，雪上加霜的是，WinRAR本身並未內建自動更新機制，如果使用者未留意軟體改版資訊，很有可能因為持續使用存在漏洞的舊版軟體，而在不知不覺之間，成為駭客寄生攻擊（LOLBin）利用對象，因此，我們將其列為年度第3大漏洞。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>漏洞發現源於駭客作案工具的地下交易</strong></span></span></p> <p>這項漏洞之所以發現，源於研究人員在監控駭客論壇時，看到出售未知漏洞利用工具的情況。</p> <p>資安業者Group-IB在調查惡意軟體DarkMe的過程當中，發現駭客自今年4月開始，製作惡意的ZIP、RAR壓縮檔，並在網路犯罪交易論壇上兜售。</p> <p>這些壓縮檔內有看似無害的JPG圖檔，或PDF、TXT文檔，一旦有人以WinRAR開啟，攻擊者會藉由CVE-2023-38831執行指令碼，於電腦部署惡意軟體DarkMe、GuLoader，以及Remcos RAT。</p> <p>研究人員看到駭客利用上述手法，在加密貨幣論壇、股票交易論壇發動攻擊，聲稱分享投資策略，至少8個論壇出現相關討論，130個投資人的電腦遭惡意程式感染，但實際受害人數與損失金額不明。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-CVE-2023-38831_9-4_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Group-IB.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 16px;"><strong>資安業者Group-IB指出，攻擊者製作能利用CVE-2023-38831的ZIP壓縮檔，一旦使用者透過WinRAR開啟，並直接開啟壓縮檔裡的圖檔就有可能中招，電腦會觸發漏洞，執行惡意指令碼。</strong>（圖片來源／Group-IB）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>國家級駭客組織加入漏洞利用行列</strong></span></span></p> <p>事隔2個月，開始有研究人員發現，國家級駭客也將這項漏洞納入攻擊流程。</p> <p>資安業者DuskRise指出，俄羅斯駭客駭客假借提供入侵指標的相關資料為誘餌，利用這項漏洞發動攻擊。</p> <p>接著，Google旗下的威脅情報小組（TAG）揭露更多發現，因為他們偵測到俄羅斯駭客組織Sandworm、APT28，以及中國駭客組織APT40的攻擊行動。</p> <p>Sandworm於9月初假借烏克蘭無人機軍事訓練招生的名義寄送釣魚郵件，散布竊資軟體Rhadamanthys，收集瀏覽器帳密及連線階段資訊；APT28則是針對烏克蘭政府官員下手，假冒智庫發送釣魚信，攻擊該國能源基礎設施，引誘下載惡意壓縮檔，於受害電腦植入PowerShell指令碼Ironjaw；而對於APT40的漏洞攻擊行動，該組織針對巴布亞紐幾內亞的民眾散布釣魚郵件，信件內容包含Dropbox下載連結，若依裡面的指示開啟網址，會取得含有上述漏洞的ZIP壓縮檔，有可能導致電腦被感染後門程式Boxrat。</p> <p>資安業者Seqrite揭露巴基斯坦駭客組織SideCopy的攻擊行動，這些駭客鎖定印度，積極利用CVE-2023-38831，散布AllaKore RAT、DRat等惡意軟體。</p> <p>後來，烏克蘭也對俄羅斯駭客APT29的攻擊行動提出警告，指出在11月的攻擊行動裡，對方統合原本手法及新技術，濫用應用程式交付平臺Ngrok提供的免費靜態網域功能，架設C2伺服器，然後他們也在惡意壓縮檔運用WinRAR漏洞。</p> <p>微軟、IBM不約而同在12月初，針對APT28的攻擊行動提出警告。</p> <p>微軟指出，對方鎖定美國、歐洲、中東的政府機關、運輸業，以及非政府組織，企圖用多種資安漏洞發動攻擊，存取Exchange伺服器上的電子郵件信箱帳號，其中一個被利用的漏洞就是CVE-2023-38831。</p> <p>IBM威脅情報團隊X-Force表示，APT28使用以巴衝突作為誘餌，假借國際組織名義對13個國家從事網釣攻擊，其中有部分駭客利用了這項漏洞。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162069
【回顧2023十大資安漏洞｜No.4：CVE-2023-44487】HTTP/2通訊協定漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-HTTP2-600-PNG.png" style="width: 600px;" /></p> <p>接下來我們選出的第4名漏洞也相當特別，因為此漏洞並非存在特定的應用系統，而是在通訊協定上，這項漏洞就是HTTP/2協定的高風險漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-44487" target="_blank">CVE-2023-44487</a>，CVSS風險評分為7.5。</p> <p>從iThome相關報導的數量來看並不多，僅有去年10月雲端服務業者共同揭露因該漏洞遭遇DDoS攻擊的消息，但在DDoS攻擊的資安事故而言，這樣的情況很罕見。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>針對通訊協定的零時差漏洞攻擊</strong></span></span></p> <p>首先，這類攻擊行動的揭露，通常範圍是局限於其中一家業者處理的事故，而且他們多半會特別強調流量的規模，就算是提及攻擊手法，也往往與駭客用於產生流量的設備有關。</p> <p>此次卻是由AWS、Cloudflare、Google這三大雲端服務業者聯手公布，並將他們遭遇攻擊的原因，指向上述的通訊協定漏洞，並為利用該漏洞的攻擊手法命名為「HTTP/2 Rapid Reset」。</p> <p>關於這次攻擊手法，對方主要是濫用HTTP/2通訊協定的特定功能。</p> <p>此功能目前被大家稱為「串流取消（Stream Cancellation）」，或是稱為「多工串流（Stream Multiplexing）」。</p> <p>駭客不斷發送請求並隨即予以取消，從而導致採用HTTP/2通訊協定的網頁伺服器或是應用程式服務遭到癱瘓。</p> <p>研究人員指出，本次駭客發動攻擊的成本，較過往傳統的DDoS攻擊相對低廉許多。</p> <p>對方利用這項漏洞發動的巨大流量DDoS攻擊，所運用的殭屍網路規模僅約2萬臺電腦，遠低於其他攻擊行動。過往的巨量DDoS攻擊，常會動用到數十萬、數百萬臺電腦。</p> <p>由於HTTP通訊協定是全球網路資料通訊的基礎，最新版是2022年6月頒布的HTTP/3。但根據Cloudflare去年4月的統計，2015年推出的HTTP/2採用率超過60%，是目前最普及的HTTP協定版本，HTTP/3則接近30%。</p> <p>對此，許多採用HTTP/2的服務或產品，開發商都已著手修補。</p> <p>例如，微軟公布了針對該漏洞的應對措施，指出這波的DDoS攻擊主要鎖定網路第7層（L7），而非L3或L4，因此，該公司強化對於L7的保護，同時也修補所有受到影響的服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-2023_worlds_largest_rapid_reset_diagram_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 16px;"><strong>Google針對HTTP/2 Rapid Reset通訊協定漏洞提出說明，並列出一份比較圖表指出問題成因。相較於一般的DDoS攻擊，利用該漏洞，攻擊者發出大量請求並隨即取消，從而突破用戶端原先必須等待伺服器回應的限制。</strong>（圖片來源／Google）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>三家大型雲端業者公布受害的規模</strong></span></span></p> <p>究竟這樣的漏洞，引發了什麼程度的攻擊呢？</p> <p>AWS指出，他們從8月28日至29日，發現CDN服務CloudFront出現不尋常的流量，並達到每秒發出1.55億次請求（RPS）的高峰，光是在這兩天，他們就緩解十多次HTTP/2 Rapid Reset攻擊事件。</p> <p>接著，該公司也在整個9月，看到這類攻擊手法不斷出現。</p> <p>另一家雲端服務業者Cloudflare，則是從8月25日開始，觀察到部分客戶遭遇HTTP/2 Rapid Reset攻擊，其高峰達到每秒2.01億次請求。</p> <p>這樣的情況，遠超過2023年2月他們公布的DDoS事故，當時該公司攔截每秒7,100萬次請求，僅約為這次事故的三分之一。</p> <p>從8月底到10月上旬，該公司共緩解1,100起每秒1千萬次請求的事故，其中有184起超越2月公布的規模。</p> <p>第三家公布此事的Google Cloud則表示，他們在8月遭遇每秒3.98億次請求的DDoS攻擊行動，相較於2022年8月公布每秒4,600萬次請求，一年後的事故規模爆增至7.5倍。</p> <p>究竟這樣的天文數字，代表的又是什麼樣的規模？</p> <p>該公司指出，他們遭遇HTTP/2 Rapid Reset攻擊的時間約為2分鐘，所有收到的請求數量，比2023年9月所有存取維基百科的請求次數還要多。</p> <p>值得留意的是，雖然上述業者皆緩解提及的DDoS攻擊，但Cloudflare指出，由於這波攻擊結合殭屍網路與HTTP/2漏洞，導致攻擊請求以前所未有的速度放大，他們的網路系統面臨間歇性的不穩定，部分元件過載，波及少數客戶的效能。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162071
【回顧2023十大資安漏洞｜No.5：CVE-2023-0669】GoAnywhere漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-GoAnywhere-600-PNG.png" style="width: 600px;" /></p> <p>在去年勒索軟體駭客組織Clop利用的零時差漏洞當中，最受到關注的是MFT檔案傳輸系統MOVEit Transfer、MOVEit Cloud的漏洞CVE-2023-34362，但還有另一款MFT系統的漏洞也相當值得留意，那就是存在於<a href="https://www.fortra.com/blog/summary-investigation-related-cve-2023-0669" target="_blank">GoAnywhere的CVE-2023-0669</a>。</p> <p>這項漏洞引起關注的地方，在於其資訊公開的過程。由於系統開發商Fortra只對用戶發布公告，內容必須擁有相關帳號才能檢視，這項消息公開於社會大眾，最早是透過資安新聞記者Brian Krebs的揭露。</p> <p>隨後這則警訊引起資安界的關注，多名研究人員根據Brian Krebs揭露的資訊，進一步分析漏洞的細節，並公開概念性驗證（PoC）程式碼，Fortra在數日後，發布新版GoAnywhere予以修補。</p> <p>事隔兩週，Clop聲稱利用這項漏洞，攻擊超過130個企業、組織，隨後也有受害組織出面證實資料遭竊。後來Fortra也公布調查結果，表示攻擊者可能在他們通知用戶2週前，就開始將這項漏洞用於攻擊行動。</p> <p>從iThome的相關報導數量來看，總共有9則，這個數量僅次於排行前三名的漏洞CVE-2023-34362、CVE-2023-4966（Citrix Bleed）、CVE-2023-38831，再加上駭客聲稱犯案後，陸續有企業組織證實受害，因此，我們決定將這項漏洞列為第5。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-aZvJJ8j7qI_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Fortra.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 16px;"><strong>資安業者Fortra於去年4月17日公布零時差漏洞CVE-2023-0669事件發生的經過，並指出駭客將其用於攻擊GoAnywhere系統，最早可追溯到3個月前。</strong>（圖片來源／Fortra）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>漏洞警訊的公開，竟源自新聞記者的揭露</strong></span></span></p> <p>這項漏洞的公開，源於2月2日資安新聞記者Brian Krebs發出的警告，指出GoAnywhere存在零時差漏洞，可被用於RCE注入攻擊，並張貼資安業者Fortra於2月1日對用戶發出的公告。</p> <p>該公告指出，攻擊者若要利用該漏洞，必須存取此應用程式的管理主控臺，若是組織將該主控臺曝露於網際網路，就有可能成為攻擊目標，呼籲IT人員可尋求客服團隊協助，來採取合適的存取控制措施。</p> <p>然而，該公司並未在網站發布相關公告，也沒有在前述說明提及更多漏洞的細節，也並未提及緩解措施。</p> <p>2月6日，資安顧問公司Code White的研究人員公布此漏洞的細節，以及概念性驗證攻擊程式碼。</p> <p>研究人員提出警告，該漏洞可讓攻擊者在尚未採取緩解措施的GoAnywhere系統上，在不需通過身分驗證的情況下，就能遠端執行任意程式碼。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>引發大規模資料竊取攻擊</strong></span></span></p> <p>事隔不到2週，便傳出Clop將其用於發動大規模攻擊的情況，他們號稱入侵超過130個組織，並在進入受害組織的網路環境後，竊取GoAnywhere伺服器上的資料。</p> <p>隨後就有組織向主管機關通報資安事故，證實遭到相關攻擊。根據資安新聞網站DataBreaches.net報導，美國田納西州醫療集團Community Health Systems（CHS）於2月13日向該國證交所發出通報，指出他們接獲Fortra的通知後著手調查，初估有100萬人的病歷資料或是個資，因GoAnywhere伺服器遭到入侵而可能會受到影響。</p> <p>接著，金融科技（Fintech）業者Hatch Bank、日立能源（Hitachi Energy）表示，他們的客戶或是員工的資料，因GoAnywhere遭到攻擊而外流。</p> <p>3月23日資安專家Dominic Alvieri發現，Clop公布了新一波的受害名單，當時累計已有72家企業組織被公布，包括加拿大多倫多市政府、維珍（Virgin）集團、P&G、礦業公司力拓（Rio Tinto）、金融機構Axis Bank等，有部分已證實資料遭到外洩的情況。</p> <p>到了4月17日，Fortra公布事件調查結果，他們起初在1月30日，發現部分雲端代管的GoAnywhere系統有異，該公司尋求資安業者Palo Alto Networks協助，著手調查得知駭客利用該漏洞建立使用者帳號，並下載檔案，且於受害系統部署Netcat和Errors.jsp，疑似用來建立後門、掃描連結埠、傳輸檔案。</p> <p>後來，他們發現部分本地建置的GoAnywhere也遭遇漏洞攻擊，時間可追溯到1月18日。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162072
【回顧2023十大資安漏洞｜No.6：CVE-2023-37580】Zimbra郵件伺服器漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-Zimbra-600-PNG-V3.png" style="width: 600px;" /></p> <p>我們選出的2023年第6大資安漏洞，是存在於開放原始碼的電子郵件系統Zimbra，可能有不少人覺得對這套軟體感到很陌生，但過去2年，Zimbra因為資安新聞而出現在iThome的情況越來越頻繁，基於這樣的現象，也顯示已經有部分駭客正在鎖定這類系統而來。</p> <p>其中，又以跨網站指令碼（XSS）漏洞CVE-2023-37580相當值得注意，雖然該漏洞僅被評為中度風險，CVSS風險評分只有6.1，而且，在iThome的資安新聞相關報導當中，數量並不算多，內容主要是Zimbra發布資安漏洞的緩解措施，以及後續Google揭露相關攻擊行動的調查結果。</p> <p>但特別的是，有部分駭客在漏洞被通報後，在開發者提交修補程式碼，到正式發布更新軟體的空窗期，將這些資安情報用於發動攻擊，導致後果可能相當嚴重。</p> <p>電子郵件系統的漏洞向來是駭客偏好下手的目標，因為一旦成功，就有機會竊取伺服器存放的電子郵件內容，從而搜括企業與組織的機密資料，或是挾持高階主管的帳號、用於其他的網路攻擊行動，例如，進行商業郵件詐騙（BEC）。</p> <p>值得留意的是，最近幾年攻擊者偏好的標的，從微軟Exchange伺服器為主的情況，開始有駭客轉向開源的郵件伺服器與協作系統Zimbra，以及另一套名為Roundcube的郵件伺服器。</p> <p>其中，又以Zimbra的漏洞濫用活動較為頻繁，而且甚至出現攻擊者串連其他已知漏洞的現象。</p> <p>而在Google的研究人員公布的4起攻擊行動裡，駭客不約而同對政府機關下手，而有可能帶來嚴重的後果，其危害的程度不容小覷。</p> <p>雖然CVE-2023-37580僅被評為中度風險，但是，考量這項漏洞存在於電子郵件系統當中，並且已經出現實際的網路攻擊行動，再加上，此軟體具有開放原始碼特性，能滿足政府機關特定的稽核需求，因此，目前有許多公務機關採用。</p> <p>因此，即使漏洞本身的CVSS分數並不高，我們還是決定列於第6名的位置。</p> <p>而該漏洞也是本次入選的2023年十大資安漏洞當中，CVSS分數最低的漏洞，也是唯一嚴重等級被評為中度風險的資安漏洞。</p> <p>這也反映部分研究人員經年累月的呼籲，IT人員千萬別把CVSS分數當做評估修補順序的唯一指標，因為像是這種危險程度不高的漏洞，很有可能被IT人員延後安排修補，而讓攻擊者有更多時間能夠利用。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>漏洞揭露源自於研究人員發出的警告，但當時尚未有修補程式</strong></span></span></p> <p>7月13日，Google威脅情報小組研究人員針對電子郵件系統Zimbra提出警告，他們發現已被用於攻擊行動的零時差漏洞，該漏洞與跨網站指令碼有關，當時Zimbra提出緩解措施，並呼籲IT人員儘速手動套用。</p> <p>到了26日，<a href="https://wiki.zimbra.com/wiki/Zimbra_Releases/8.8.15/P41" target="_blank">Zimbra發布8.8.15 Patch 41</a>、9.0.0 Patch 34、10.0.2版修補上述漏洞，並指出該漏洞已被登記為CVE-2023-38750列管。</p> <p>而對於該漏洞的影響，Zimbra指出，如果不處理，將會導致內部JSP與XML檔案曝露。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>攻擊者疑似監控程式碼儲存庫，而能在更新程式推出前利用漏洞</strong></span></span></p> <p>事隔4個月、將近半年之後，Google也公布他們追蹤此項漏洞攻擊行動的結果。</p> <p>研究人員發現，自6月底開始有人將其用於攻擊行動，截至目前為止至少有4起，這些攻擊行動分別針對希臘、摩爾多瓦和突尼斯、越南、巴基斯坦而來，值得留意的是，其中有3起事故，是在修補程式推出之前就發生的。</p> <p>最早利用這項資安漏洞的攻擊行動，是針對希臘政府機關而來，對方向目標發送電子郵件，當中包含能觸發漏洞的URL網址，一旦目標人士維持登入Zimbra的狀態點選，就會啟動攻擊者的惡意框架，並且透過跨網站指令碼竊取電子郵件的資料，設定自動轉寄規則，之後能將這些郵件快速傳送至駭客的電子郵件信箱。</p> <p>第2起事故發生的時間點，則是在有人提供修補程式碼之後出現。Google向Zimbra開發團隊通報漏洞，7月5日有開發人員將修補程式碼上傳至GitHub，但11日傳出駭客針對摩爾多瓦和突尼斯政府機關的情況。</p> <p>而關於攻擊者的身分與來歷，其實，就是擅於針對Zimbra及Roundcube下手的駭客組織Winter Vivern，這是唯一研究人員公布攻擊者身分的事故。</p> <p>在25日Zimbra公開發布修補程式的前夕，研究人員看到另一起攻擊行動，這次的目標是越南政府機關，對方利用URL觸發漏洞，並將目標人士導向指令碼檔案，此檔案顯示能竊取電子郵件帳號的釣魚網頁，並將帳密傳送到攻擊者已入侵的另一個政府網域。</p> <p>最後一起則是發生在修補程式推出之後，遭到鎖定的目標是巴基斯坦政府，攻擊者利用漏洞竊取Zimbra的身分驗證Token，並傳送到特定的網域。</p> <p>研究人員指出，這些攻擊的不斷出現，突顯駭客不斷監控開放原始碼軟體專案的情況，因為在開發人員於GitHub推送修補程式、尚未向使用者正式提供這些軟體之前，就有人用於發起第2起漏洞攻擊行動。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-EXPLOIT_TIMELINE_FOR_TAG-01_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:16px;"><strong>研究人員公布零時差漏洞發現的過程、Zimbra維護團隊處理的經過，以及4起攻擊行動發生的時間點，其中比較特別的是，在維護人員提交修補程式碼到新版軟體推出之前，有2組人馬將其用於攻擊政府機關。</strong>（圖片來源／Google）</span></span></p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162073
【回顧2023十大資安漏洞｜No.7：CVE-2023-28771】兆勤防火牆/VPN漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-Zyxel-600-PNG.png" style="width: 600px;" /></p> <p>關於2023年度的第7大資安漏洞，我們認為是CVE-2023-28771，這項漏洞發生在兆勤（Zyxel）防火牆與VPN設備，不只被攻擊者用於散布殭屍網路病毒，也傳出能源關鍵基礎設施受害的情況。</p> <p>由於防火牆是防護內部網路環境、重要設備的主要防線，這類系統遭到鎖定的情況也相當常見，駭客更是無所不用其極利用這類設備的漏洞，企圖對其進行控制，或是突破防禦進入內部環境。</p> <p>而這項漏洞的突出之處在於，產品供應商將弱點資訊公布後，這項漏洞不僅隨即被用於攻擊，甚至後續攻擊者也串連該公司先前修補的另外兩個漏洞，增加利用CVE-2023-28771破壞威力。</p> <p>另一方面，由於這項漏洞在公布之後，也出現針對關鍵基礎設施發動攻擊的情況，而可能導致社會動盪，使該漏洞影響趨於廣泛。丹麥關鍵基礎設施電腦緊急應變小組（SektorCERT）指出，有超過20家丹麥能源關鍵基礎設施遭遇漏洞攻擊，究竟有多少駭客組織參與，目前仍不得而知。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>漏洞公開後傳出被用於攻擊行動</strong></span></span></p> <p><a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-remote-command-injection-vulnerability-of-firewalls" target="_blank">兆勤科技於4月底修補CVE-2023-28771</a>，CVSS風險評分為9.8。5月底研究人員提出警告，駭客針對兆勤修補的上述防火牆重大漏洞，發動大規模攻擊，如今態勢變得更加嚴重。</p> <p>5月下旬資安業者Rapid7提出警告，他們透過物聯網搜尋引擎Shodan，找到約4.2萬臺未修補的設備暴露在網際網路，而這項數字，並不包含未修補該漏洞且暴露在網際網路的VPN設備，因此實際可能成為攻擊目標的數量遠大於此。</p> <p>研究人員指出，這項漏洞存在網際網路金鑰交換（IKE）封包解密工具，此為Zyxel提供IPSec VPN服務的重要元件，即使IT人員並未啟用VPN功能也會曝險。研究人員指出，雖然截至2023年5月19日為止，尚未發現攻擊行動，但因為有大量設備存在上述漏洞，他們認為駭客很快就會對其下手。</p> <p>兆勤於6月2日發布資安通告指出，駭客不只利用CVE-2023-28771，5月底修補的兩個重大漏洞：CVE-2023-33009、CVE-2023-33010，也出現遭到利用的現象，該公司呼籲用戶儘速套用最新版本韌體，或暫時停用WAN連接埠的HTTP及HTTPS服務，以因應這樣的風險。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>多個關鍵基礎設施業者也因此遭遇攻擊</strong></span></span></p> <p>但值得留意的是，後續有更明確的資安事故傳出。</p> <p>先是資安業者Fortinet揭露Mirai殭屍網路變種Dark.IoT最新一波的攻擊行動，他們在今年6月看到鎖定兆勤科技防火牆及VPN設備而來的情況，攻擊者利用CVE-2023-28771來入侵目標系統，並使用curl或wget來下載指令碼並執行，以便下載專為MIPS架構打造的攻擊工具，最終目的是散播殭屍網路病毒Dark.IoT、綁架資安設備、將它們用於DDoS攻擊。</p> <p>而這項漏洞的危害範圍，甚至傳出擴及關鍵基礎設施的情況。</p> <p>對此，丹麥關鍵基礎設施電腦緊急應變小組揭露發生於今年5月的攻擊行動，當時，駭客利用兆勤科技防火牆重大漏洞CVE-2023-28771，取得22家當地經營能源關鍵基礎設施業者的存取權限，其中有11家隨即遭到入侵，攻擊者控制防火牆設備，進而存取該設備保護的關鍵基礎設施，執行惡意程式碼，回傳防火牆配置的詳細資料，此舉可能是進行偵察，以便決定下一步執行的攻擊手法。</p> <p>這起大規模攻擊從5月11日開始，間隔10天後於22日再度進行，SektorCERT得知其中成員透過不安全的連線，下載新版防火牆軟體。而關於攻擊者的身分，SektorCERT根據受害業者的網路流量，指出俄羅斯駭客組織Sandworm可能參與其中，但究竟有多少駭客組織參與攻擊行動？目前仍不明朗。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162074
【回顧2023十大資安漏洞｜No.8：CVE-2023-35078】Ivanti行動裝置管理平臺漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-Ivanti-600-PNG.png" style="width: 600px;" /></p> <p>在2023年公布的零時差漏洞當中，有些往往是因為資安研究人員在調查事故的過程，意外發現駭客運用未曾揭露的手法，從而發現未被列管的漏洞，通報軟體業者進行修補。</p> <p>然而，裡面有個重大漏洞很特別，廠商雖然著手進行修補，卻並未公開，也沒透露已經被用於攻擊行動，直到研究人員公布廠商的文件，以及受害組織出面，才引起各界的關注。</p> <p>而這個產生公開揭露爭議的資安漏洞，就是存在Ivanti行動裝置管理平臺Endpoint Manager Mobile（EPMM，原名MobileIron Core）的危急漏洞：<a href="https://forums.ivanti.com/s/article/CVE-2023-35078-Remote-unauthenticated-API-access-vulnerability?language=en_US" target="_blank">CVE-2023-35078</a>，CVSS風險評為10分。</p> <p>身為受害者的挪威政府，表明他們因為CVE-2023-35078漏洞的關係，所以，導致12個機關使用的系統平臺遭到駭客入侵。</p> <p>恰巧在當局公布此事的同一天，Ivanti私下針對客戶提供修補程式及說明，且表示已有部分客戶遭到漏洞利用攻擊，當時，該公司並未直接對外界公開說明此事。</p> <p>值得留意的是，有許多國家的政府機關也採用EPMM，而使得這樣的漏洞影響範圍可能相當廣泛。</p> <p>然而，身為資安業者，當時Ivanti不僅不願公開漏洞資訊，甚至傳出有客戶詢問細節、卻被要求簽下保密協定（NDA）的情況，因而引起資安研究人員的撻伐。</p> <p>外界更是直到研究人員轉發看到的漏洞資訊，以及挪威政府證實遭駭的情況，才得知這項漏洞帶來的危險。</p> <p>基於這項漏洞引起的資安事故相當嚴重，且受害組織是政府機關，我們決定將其列入2023年的十大漏洞，不過因為後續並未傳出其他災情，所以，相較於其他影響範圍較為廣泛的漏洞，還是給予較為後面的排名。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>漏洞的揭露源於挪威政府的公告</strong></span></span></p> <p>這漏洞引起關注的原因，在於7月24日挪威安全與服務組織（DSS）證實，駭客利用第三方軟體的零時差漏洞發動攻擊，導致12個挪威政府機關採用的ICT平臺遭到入侵，DSS察覺攻擊行動之後，通報挪威國家安全局（NSM），接著該國警方著手調查。</p> <p>挪威資料保護局也被通報，得知駭客可能從ICT系統竊得敏感資料，12個部門員工無法用DSS行動應用程式辦公，這些人員若能透過電腦存取相關服務，則不受此狀況影響。</p> <p>而對於前述的零時差漏洞，挪威國家安全局透露是CVE-2023-35078，該漏洞存在於行動裝置管理平臺EPMM。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>事隔數日，另一個被同時利用的零時差漏洞公布</strong></span></span></p> <p>Ivanti於7月28日發布EPMM更新軟體，當中修補另一項漏洞<a href="https://forums.ivanti.com/s/article/CVE-2023-35081-Arbitrary-File-Write?language=en_US" target="_blank">CVE-2023-35081</a>，CVSS風險評為7.2分。此為路徑穿越漏洞，通過身分驗證的管理員能用來對EPMM伺服器寫入任意檔案。</p> <p>值得留意的是，該公司提及這項漏洞能與CVE-2023-35078搭配使用，進一步繞過管理員的身分驗證程序，以及存取控制列表（ACL）的管制。</p> <p>一旦成功同時利用上述2項漏洞，攻擊者就能對EPMM的實體寫入惡意檔案，進而透過名為tomcat的使用者來執行作業系統層級的命令。</p> <p>該公司透露，遭受CVE-2023-35078漏洞攻擊的客戶，攻擊者也同樣利用了CVE-2023-35081對其下手。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162075
【回顧2023十大資安漏洞｜No.9：CVE-2023-20198】思科IOS XE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-Cisco-600-PNG.png" style="width: 600px;" /></p> <p>論及漏洞嚴重度，CVSS風險達到滿分（10分）的狀況並不常見，其中有一個在2023年10月公布的<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-webui-privesc-j22SaA4z" target="_blank">CVE-2023-20198</a>，具備極為容易利用的特性，導致該漏洞被公布之後，隨之而來的嘗試利用攻擊行動大幅增加，因而引起許多資安研究人員的關注。</p> <p>這項漏洞存在於思科網路設備作業系統IOS XE，使得執行這套作業系統的邊緣設備、聚合服務路由器、整合服務路由器等設備，都可能受到影響。</p> <p>但為何我們將CVE-2023-20198列為2023年度第9大漏洞？主要原因在於：該漏洞引發的攻擊行動過程相當離奇。首先，思科在著手調查之後，又發現第2個也被用於攻擊的零時差漏洞，後續駭客更替換植入這些設備的惡意程式，導致研究人員的偵測產生意外變化，因為受害設備的數量突然減少。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>思科發出自動派送修補程式的公告，揭露漏洞濫用活動</strong></span></span></p> <p>10月16日思科揭露網路設備作業系統IOS XE的重大漏洞CVE-2023-20198，影響啟用網頁介面（Web UI）及HTTP（或HTTPS）伺服器功能的網路設備，攻擊者若是成功利用該漏洞，就有機會在網路設備建立權限等級15的帳號，進而掌控整個系統，後續執行其他未經授權的惡意行動，因此，此漏洞的CVSS風險評為10分滿分。</p> <p>值得留意的是，當時思科並未提供修補程式，而是呼籲IT人員立即停用HTTP（及HTTPS）伺服器功能，阻斷駭客入侵的管道。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>恐有14萬臺設備曝險</strong></span></span></p> <p>在漏洞揭露的隔日，研究人員陸露揭露受害情形。漏洞情報業者VulnCheck提出警告，他們發現數千個遭到感染的IOS XE網頁介面，該公司亦提供檢測工具，讓網管人員能檢查設備是否遭到入侵。研究人員掃描了從物聯網搜尋引擎Shodan及Censys列出的半數裝置，約有1萬臺受到感染，但實際數量可能更多。</p> <p>另一家資安業者Aves Netsec研究人員指出，約有14萬臺思科裝置可能因此曝險。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>推翻原本的攻擊鏈，公布新的零時差漏洞</strong></span></span></p> <p>原本思科認為，攻擊者將上述漏洞串連另一個已知漏洞CVE-2021-1435，數日後他們推翻這樣的說法。</p> <p>10月20日該公司公布另一個零時差漏洞CVE-2023-20273，此漏洞也存在IOS XE網頁介面，屬於命令注入類型的漏洞，CVSS風險評分為7.2。</p> <p>一旦攻擊者成功利用，就有機會控制整個系統，並透過最高權限將惡意程式寫入。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>受害主機出現急速減少的怪異現象</strong></span></span></p> <p>在思科公布2個已被用於攻擊的零時差漏洞，研究人員陸續公布受害情形，但後續再度出現新的變化引起關注。</p> <p>根據10月22日資安新聞網站Bleeping Computer報導，有許多研究人員發現，感染後門程式的思科設備數量呈現不合理的劇烈減少現象，10月21日達到6萬臺的高峰，隔天卻突然降到只剩1,200臺。對此，有研究人員推測，可能是攻擊者更新後門程式造成。</p> <p>到了23日，資安業者Fox-IT證實了這個假設。他們表示，上述現象是因為駭客在受害裝置部署新版後門程式，數萬臺設備的後門程式已被更換，而這些後門程式會在回應前檢查HTTP標頭。</p> <p>研究人員指出，由於檢測舊版後門程式的方法未採用這種HTTP標頭，使得新後門程式不予回應，進而導致這些受害設備被誤判，連帶使得檢測系統以為惡意程式已完全清除。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162076
【回顧2023十大資安漏洞｜No.10：CVE-2023-2868】Barracuda郵件安全閘道設備漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-Barracuda-600-PNG.png" style="width: 600px;" /></p> <p>論及2023年重大漏洞資安事故，在5月下旬，資安廠商Barracuda Networks公布的郵件安全閘道（ESG）漏洞<a href="https://www.barracuda.com/company/legal/esg-vulnerability" target="_blank">CVE-2023-2868</a>，引發一些風波，因此，許多國外媒體都會列入年度資安事故，而且，後續漏洞處理作法很特別，因為，廠商最終竟透過更換設備的方式來緩解攻擊行動，這種做法前所未見。</p> <p>考量到此郵件安全閘道系統並未在臺灣市場受到廣泛採用，因此我們將其列為2023年第10大漏洞。不過究竟該漏洞攻擊行動受害範圍有多大？目前仍然沒有研究人員或主管機關透露相關資訊。</p> <p>身為資安業者，旗下產品卻出現如此嚴重的問題，而且該裝置又是負責為企業過濾郵件的重要環節，一旦遭到控制，很有可能無法發揮應有的功能，尤其現在有許多的資安事故當中，攻擊者往往透過郵件來接觸目標，若是這類系統失去把關的作用，惡意郵件就會直接送到使用者信箱，而可能造成危害。</p> <p>另一方面，有別於其他廠商處理漏洞的方式，Barracuda竟然是採取更換設備來進行，也突顯該公司可能在產品設計當中存在極為棘手的瑕疵，而無法單純透過軟體更新，或要求IT人員回復原廠設定等常見做法，解決漏洞的危害。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>事件的揭露源自於自動派送修補程式的公告</strong></span></span></p> <p>2023年5月20日、21日，Barracuda修補CVE-2023-2868，該漏洞影響ESG設備，攻擊者可用於遠端注入命令。</p> <p>該公司於30日公布前述的漏洞攻擊細節，當時得知駭客所使用的惡意程式包括Saltwater、Seaspy、Seaside，但他們直到5月18日，才收到相關異常流量的警報，尋求資安業者Mandiant協助，並於19日確認是CVE-2023-2868。當時，該公司主動通知遭到攻擊的用戶。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>漏洞揭露後出現二波攻擊行動</strong></span></span></p> <p>事隔近1個月，協助調查的資安業者Mandiant公布更多細節，指出攻擊者的身分是中國資助的駭客組織UNC4841。</p> <p>但研究人員也提到，Barracuda派送修補程式企圖遏止駭客行動後，對方迅速更換惡意軟體因應，並於5月22日至24日，發動高頻率攻擊，至少有16個國家的組織受害，其中有三分之一是政府機關。</p> <p>這樣的情況，也使得Barracuda採取罕見的手法來因應：要求用戶更換設備。</p> <p>到了8月，Mandiant公布新的調查結果，他們指出駭客為了持續在特定受害組織活動，在6月上旬連帶運用更多惡意程式，包括kipjack、Depthcharge、Foxtrox、Foxglove。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>受害產業橫跨政府機關及高科技產業，臺灣也有組織遇害</strong></span></span></p> <p>而對於這起攻擊的目標，研究人員表示，近三分之一是政府機關、高科技產業及資訊業者、電信業者、製造業，而且，臺灣及香港的貿易辦公室與學術研究機構，以及東南亞國協的外交部，都在受影響的範圍，因為這些單位的網域名稱及使用者，都遭到鎖定，駭客利用Shell指令碼發動攻擊。</p> <p>此外，研究人員也對這起漏洞攻擊的流程，提出更詳細的說明。駭客組織UNC4841於2022年10月至2023年6月，利用CVE-2023-2868發動攻擊，並在11月上旬開始出現顯著升溫的情況，僅有農曆新年略為下降。</p> <p>而到了5月23日Barracuda發布資安通告之後，這類攻擊行動又出現2波。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162079
【資安日報】4月2日，CISA傳出向美國政府報告Ivanti系統遭到入侵的事故
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年初Ivanti公布一連串Connect Secure、Policy Secure漏洞，再度震撼全球資安界，有研究人員不斷發現相關攻擊行動，但截至目前為止，鮮少企業組織證實遭到相關攻擊，不知該慶幸沒事或擔心有後遺症。</p> <p>直到3月上旬，傳出美國網路安全暨基礎設施安全局（CISA）所屬的Ivanti伺服器遭到入侵，導致其中2個系統被駭，等於證實上述漏洞的確產生衝擊，而在3月底，該機構也向數個政府機關報告此事細節。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://cyberscoop.com/ivanti-linked-breach-of-cisa-potentially-affected-more-than-100000-individuals/"><strong style="font-size: 22px;">CISA的Ivanti伺服器遭駭客入侵，10萬人恐遭到波及</strong></a></p> <p></p> <p>Ivanti自1月上旬至2月初，揭露Connect Secure、Policy Secure多個漏洞，並出現多起漏洞利用攻擊事故，3月上旬傳出美國網路安全暨基礎設施安全局（CISA）遇害，現在又有新的消息出現。</p> <p>根據資安新聞網站CyberScoop的報導，3月29日CISA向主管機關通報資安事故，攻擊者透過Ivanti系統的漏洞，入侵化學資安評估工具（Chemical Security Assessment Tool，CSAT），以及關鍵基礎設施資安資訊工具CISA Gateway，估計有超過10萬人受到影響。</p> <p>CISA執行長Brandon Wales透露，根據他們的調查結果，攻擊者在CSAT部署了Web Shell，導致系統失去控制，所幸CISA Gateway沒受到太大影響，且並未被植入Web Shell。他們在1月11日套用Ivanti的緩解措施，並透過該公司的完整性檢查工具進行檢查，到了26日，他們發現CSAT遭駭，攻擊者已經存取該系統有2天之久。Brandon Wales指出，這些攻擊者能繞過Ivanti的緩解措施，並能迴避完整性檢查工具的偵測。</p> <p><a href="https://www.jamf.com/blog/infostealers-pose-threat-to-macos/"><strong style="font-size: 22px;">駭客鎖定macOS使用者，利用惡意廣告、視訊會議傳播竊資軟體</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/infostealers-jtl-03.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/infostealers-jtl-03.png" style="width: 300px; float: right;" /></a>資安業者Jamf揭露近期鎖定macOS用戶的竊資軟體攻擊，其中一起是假借提供<a href="https://www.ithome.com.tw/node/157945">新興瀏覽器Arc</a>的名義，透過Google廣告將搜尋這款瀏覽器的使用者帶往冒牌網站，一旦使用者依照指示下載、安裝對方提供的DMG檔案，電腦就有可能被植入竊資軟體Atomic Stealer。特別的是，為了迴避偵測，上述的冒牌網站無法直接存取，必須透過攻擊者特製的贊助商連結才能瀏覽。</p> <p>另一起攻擊駭客則是聲稱對加密貨幣感興趣，透過社群網站向目標發送訊息，然後假借錄製播客（Podcast）或是討論求職，要求透過名為Meethub的應用程式進行線上會議，若是macOS用戶照做，他們的電腦就會被植入竊資軟體。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-ray-framework-flaw-to-breach-servers-hijack-resources/"><strong style="font-size: 22px;">人工智慧框架Ray漏洞遭到鎖定，攻擊者挾持運算能力挖礦、竊取機敏資料</strong></a></p> <p>去年11月<a href="https://www.anyscale.com/blog/update-on-ray-cves-cve-2023-6019-cve-2023-6020-cve-2023-6021-cve-2023-48022-cve-2023-48023">Anyscale公布人工智慧框架Ray的漏洞</a>CVE-2023-6019、CVE-2023-6020、CVE-2023-6021、CVE-2023-48022、CVE-2023-48023，其中該公司並未處理CVSS風險評分達9.8的危急漏洞CVE-2023-48022，理由是他們並未在長期設計規畫的考量中，將身分驗證機制內建到這個AI框架當中，該公司甚至認定這並非漏洞而結案，然而CVE-2023-48022已被用於攻擊行動。</p> <p>資安業者Oligo揭露名為<a href="https://www.oligo.security/blog/shadowray-attack-ai-workloads-actively-exploited-in-the-wild">ShadowRay</a>的攻擊行動，這波攻擊從去年9月5日開始出現，鎖定教育、加密貨幣、生物製藥等行業而來，研究人員發現數千臺能透過網際網路存取的Ray伺服器遭到入侵，被用於干擾或竄改機器學習模型、竊取設備與資料庫帳密、SSH私鑰，以及OpenAI、HuggingFace、Stripe、Slack等服務的Token，甚至有機會以root權限存取AWS、GCP、Azure雲端環境，也有被用於挖礦的現象。</p> <p>研究人員指出，由於CVE-2023-48022被列為有爭議的漏洞，許多漏洞資料庫並未提供相關資訊，靜態掃描工具也不會顯示這項漏洞的資訊，使得許多IT人員不會留意這個漏洞帶來的威脅。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://pwning.tech/nftables/"><strong style="font-size: 22px;">Linux核心元件Netfilter存在權限提升漏洞Flipping Pages</strong></a></p> <p></p> <p>研究人員Notselwyn揭露Linux權限提升漏洞Flipping Pages，此漏洞存在於Linux核心5.14至6.6.14，Debian、Ubuntu、Red Hat、Fedora等版本的Linux作業系統都會受到影響。</p> <p>攻擊者若趁機取得一般使用者權限，並觸發漏洞，就有機會得到root權限，從而進一步對電腦上下其手，CVSS風險評分為7.8，並登記為CVE-2024-1086列管，Linux基金會於今年1月予以修補。</p> <p>該漏洞發生的原因，在於Linux核心的netfilter元件裡，處理網路封包、資料封包的nftables出現記憶體雙重釋放（double-free）的弱點，而有可能導致當機，或是讓攻擊者執行任意程式碼，研究人員在搭載6.4.16版Linux核心的電腦進行測試，結果成功率達到99.4%。</p> <p><a href="https://www.bleepingcomputer.com/news/security/decade-old-linux-wall-bug-helps-make-fake-sudo-prompts-steal-passwords/"><strong style="font-size: 22px;">研究人員揭露WallEscape漏洞，攻擊者可對Linux電腦產生假的Sudo提示、竊取管理員密碼</strong></a></p> <p></p> <p>研究人員Skyler Ferrante揭露名為WallEscape的漏洞，這項漏洞發生在Linux作業系統的util-linux套件，未經授權的攻擊者，有機會藉由wall命令的弱點，竊取用戶密碼，甚至是竄改剪貼簿的內容，該漏洞被登記為CVE-2024-28085，3月27日開發團隊推出2.40版util-linux修補。</p> <p>研究人員指出，wall指令的主要用途，是在Linux作業系統當中，對所有登入的使用者進行終端廣播，上述漏洞發生的原因，是命令列處理輸入的參數時出現跳脫序列（Escape sequence）過濾不當的情況，使得未經授權的攻擊者能濫用特定字元在其他用戶的終端機上假造Sudo命令，誘使他們輸入管理者密碼。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://media.defense.gov/2024/Mar/28/2003424523/-1/-1/1/DOD_DOB_CS_STRATEGY_DSD_SIGNED_20240325.PDF"><strong style="font-size: 22px;">五角大廈制訂國防工業基地的網路安全戰略</strong></a></p> <p></p> <p>3月28日美國五角大廈首度針對國防工業基地（Defense Industrial Base，DIB）發布網路安全戰略，計畫要在2024至2027財年實現4大目標，這些目標包含：</p> <p>（一）強化國防部（DoD）的治理架構，從而促進國防工業基地資安；<br /> （二）強化國防工業基地資訊安全態勢；<br /> （三）在網路競爭的環境維持國防工業基地韌性的關鍵能力；<br /> （四）改良與國防工業基地之間的資安協作。</p> <div> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://lasso-security.webflow.io/blog/ai-package-hallucinations"><span style="font-size: 20px;">研究人員透過大型語言模型散布不存在的軟體套件</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/retail-chain-hot-topic-hit-by-new-credential-stuffing-attacks/"><strong style="font-size: 20px;">服飾連鎖品牌Hot Topic遭遇帳號填充攻擊，鎖定客戶忠誠度獎勵帳號下手</strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/shopping-platform-pandabuy-data-leak-impacts-13-million-users/"><strong style="font-size: 20px;">代購平臺PandaBuy傳出資料外洩，波及逾130萬用戶</strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/yacht-retailer-marinemax-discloses-data-breach-after-cyberattack/"><strong><span style="font-size: 20px;">遊艇經銷商MarineMax遭遇網路攻擊，證實資料外洩</span></strong></a></p> <p><a href="https://therecord.media/sellafield-site-prosecution-nuclear-facility-cybersecurity"><strong><span style="font-size: 20px;">英國核電廠因網路安全稽核缺失遭到起訴</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162054"><strong>【4月1日】發現潛伏三年的供應鏈攻擊事件，程式庫XZ Utils近期被植入後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162031"><strong>【3月29日】殭研究人員揭露專門針對行動裝置的新型態網釣工具包Darcula</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162015"><strong>【3月28日】殭屍網路TheMoon挾持4萬臺SOHO路由器、物聯網裝置供網路罪犯藏匿蹤跡</strong></a></p> </div></div></div>
2024/4/2 16:32作者周峻佑https://www.ithome.com.tw/news/162102
GovTech月報第28期：數位部規畫以海陸空多元異質通訊網路強化我國通訊服務韌性；美國落實AI治理，要聯邦機構設AI長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0301~0401)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">通訊韌性</span></font></strong></p> <p><strong><span style="font-size:22px;">數位部：建置災難漫遊、救災緊急通訊系統、低軌衛星等強化我國通訊網路韌性</span></strong></p> <p>為強化臺灣在災害及緊急情況下仍能保持通訊網路，數位部宣布正推動幾項計畫，包括建立災難漫遊機制，政府救災緊急通訊系統（PPDR），以及境外低軌衛星通訊等政策，以確保民眾通訊權益及政府指揮調度。</p> <p>目前數位部幾項具體做法，確保在緊急情況發生時，運用陸地、海洋、天空等各種通訊手段，確保民眾通訊權益及政府救災指揮調度需求，其中包括在平時強化海纜韌性建設，另外，當國內發生區域性網路服務中斷，建立災難漫遊機制，確保民眾的通訊權益；政府方面，基於救災緊急應變需要，推動救災專屬公共安全與救難應變通訊系統（PPDR）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/com(1).jpg" style="width: 600px; height: 314px;" /></p> <p>數位部也針對通訊傳播領域關鍵基礎設施（CI），督導業者針對天災、恐攻或駭客攻擊來強化防護措施，除了事前的預防，還包括事中的偵測、通報應變，以及事後的復原等，並提供業者全天候資安事件通報機制，並將情資分享其他業者。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>強化AI治理，美國要求聯邦機構設AI長CAIO</strong></span></p> <p>美國政府大力擁抱AI的同時，也希望降低AI可能帶來的負面衝擊，美國管理及預算辦公室(OMB)近期要求聯邦機構設立AI長(Chief AI Officer, CAIO)，以主導及推動AI政策。</p> <p>OMB這項要求主要是遵循美國總統拜登發布的行政命令而來，解決AI帶來的風險，擴大AI透明度，推動負責任的AI創新，培養AI人才，強化AI治理，設立CAIO就是在滿足AI治理的目標，主導及監督聯邦機構使用AI。依據OMB的要求，各聯邦機構得在60天內指定CAIO。</p> <p>美國政府的做風通常具有指標性的意義，為其他國家或組織所參考。這項要求，在傳統常見的資訊長、資料長、技術長之外，多了一個專責AI治理的AI長。不過，OMB並沒有要求新設立，CAIO可指定由既有官員兼任，理想人選例如資訊長、資料長、技術長等。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">高雄</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位孿生</span></font></strong></p> <p><span style="font-size: 22px;"><strong>高雄市以數位孿生、AIoT打造城市工務管理暨決策輔助平台，強化城市數位治理</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/hospital-2.jpg" style="width: 600px; height: 330px;" /></p> <p>為強化城市治理，高雄市政府與國家地震工程研究中心合作，結合數位孿生、大數據、AIoT等技術，打造城市工務管理暨決策輔助平臺，以輔助市府工務管理及城市治理決策。</p> <p>目前該平臺先以小範圍，包括左營區華夏大中路口、榮總大中路口及高楠霞海路口的1.5平方公里三角形區域，以及六龜區一處新建橋梁為示範場域，雖然初期只有小範圍，但高雄市政府的目標是在未來逐漸擴大至高雄市所有範圍，更全面地提供市府城市治理決策輔助。</p> <p>為了打造數位孿生，高雄市政府工務局整合各項IoT數據，建物結構安全監測、地下管線資訊、道路挖掘路證與即時施工影像、智慧路燈、建物碳與水足跡計算與監測、建物建造資料、重大工程資料、民族路共同管道、防救災重要道路地震阻斷風險分析、邊坡橋梁監測以及水利局所建置之都市淹水感知器等，加上空拍、光達3D點雲、建築3D建模，以提高市府在工務管王、防救災應變決策。</p> <p>該平臺還整合高雄榮總的智慧水、電錶數據，在建築結構安全方面，也利用加速度計，當發生地震時，可偵測建物的振動頻率，推估建物的災損程度，供救災規畫參考。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">濟州島</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>濟州島用AI主播報新聞，由ChatGPT撰寫腳本</strong></span></p> <p>地方政府發布新聞，通常以文字訊息為主，如果要製作新聞畫面，需要聘請主播、製作、採訪團隊，需要投入較大的成本，對政府單位而言並不容易。濟洲島政府近期開始用AI主播報新聞，並由ChatGPT撰寫腳本，透過這樣的方式減少成本。</p> <p>濟洲島政府是在YouTube的官方頻道Weekly Jeju，透過AI主播J-na來播放當地新聞及地方政府的動態，J-na高度模擬真人主播，搭配簡單的手勢動作，新聞播報時的旁白語氣和真人相仿，據瞭解，濟州島政府使用AI主播，每月只要支出韓幣60萬元，相當於台幣約1.4萬元，相較於雇請真人來播報，節省不少的支出成本。</p> <p>不只如此，新聞播報內容腳本也是由ChatGPT產生。類似AI主播、AI生成內容腳本，當相關技術成熟，成本降低，運用AI不再是大型政府或企業專利，更多的地方政府或中小型企業也可以採用。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">澳洲</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font></strong></p> <p><span style="font-size:22px;"><strong>澳洲參議院通過數位身分草案，為今年中全國性數位身分制度上路作準備</strong></span></p> <p>澳洲政府推動數位身分草案，近期在參議院以33票對26票獲得通過，接下來將在下議院審核後，將正式成為法律，為今年中澳洲政府將推動的全國性數位身分計畫作好準備。</p> <p>為使該法案獲得通過，澳洲政府通過27項政府修正案，以及16項綠黨修正案，確保新的數位身分框架基於完全的自願使用，加強隱私保護，另外，加速政府推動數位身分框架擴展到民間部門。在在野黨的督促下，確保未來推動的數位身分框架並非強制性，民眾可選擇不使用，此外，還加強對個資、生物特徵資料的保護，同時制定更廣泛的存取方式及補救計畫。</p> <p>換言之，澳洲政府推動的數位身分計畫，不能強迫民眾使用數位身分證，參與數位身分計畫的機構，針對不願意使用數位身分證的民眾，仍必需保留紙本文件驗證方式。另外，草案也完備資料保護及補救措施，例如執法單位存取數位身分框架的資訊，在未經個人同意下啟用已被停用的數位身分證。</p> <p>澳洲政府強調未來透過數位身分證，澳洲民眾使用線上服務驗證身分提供更好的方式，此外，使用者的個人身分資料可以更好地被保護，避免身分遭詐騙所冒用，或是偽造身分證件，有助於打擊詐騙等不法行為。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">高雄</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>結合AI及雲端運算，高雄市強化大型活動人流分析管理</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Red%20AI%E8%BE%A8%E8%AD%98%E7%85%A7%E7%89%87.jpg" style="width: 600px; height: 456px;" /></p> <p>演唱會、燈會等大型活動舉辦，往往吸引許多民眾前往參加，活動現場的周邊人流、周邊的交通疏運管理成為市政管理的一道難題。高雄市政府近期與電信業者、國際雲端服務商合作，驗證以AI及雲端運算技術打造AI人潮監測平臺，以分析活動會場人流，以及周邊的交通路況及公共運輸載具情形。</p> <p>AI人潮監測平臺結合電信業者的電信信令數據，以及部署在雲端的AI人潮偵測系統，利用2月初在高雄國家體育場舉辦的大型活動，於3處入口部署AI人潮偵測系統，利用AI辨識人形、計算人數，在雲端架設監控平臺，結合現場影像畫面及人潮統計數據，並利用雲端服務管理調配資源。</p> <p>傳統上，舉辦大型活動吸引的人數愈多，活動結束後疏運時間也隨之增加，為市府交通管理一大挑戰。高雄市政府交通局利用新一代的智慧運輸系統匯整各項交通數據，透過AI輔助交通管理決策，整合大數據，在儀表板展示路況、捷運、停車、人潮等即時資訊，在導入該系統之前，大型活動結束後人潮疏運約需2小時，導入系統後縮短至90分鐘內，達到活動人數增加，疏運時間減少的目標。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">新竹市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">停車管理</span></font></strong></p> <p><span style="font-size:22px;"><strong>新竹市導入智慧型手機、5G提高路邊停車開單效率</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/03-1.jpg" style="width: 600px; height: 450px;" /></p> <p>路邊停車管理人員使用PDA輔助開單，有電池續航力、設備重量、網路較慢、輸入車牌誤植等問題，新竹市政府從4月開始，導入智慧型手機IPhone 15，結合5G上網，來提升路邊停車開單作業效率。</p> <p>新竹市政府交通處表示，傳統停車開單，停管人員需攜帶PDA、印表機，因續航力不足，不足以應付長時間使用需要，還需攜帶多顆備用電池，且PDA開單拍照對焦慢、夜間拍攝效果較差，影響開單作業效率。</p> <p>因應新竹市政府委托業者，為停車開單導入iPhone 15，結合智慧型手機輕薄、高續航力，以及5G的高速上網，並針對停管開單作業需要，客製化介面及防呆設計，加上相機對焦快速、AI辨識車牌僅需1到2秒，提高作業效率，也能避免誤植錯誤。交通處表示，新的智慧型手機停車開單，將納入新竹市的路邊停車管理系統，結合智慧停車柱的即時資訊，將讓停車實現行動化、智慧化、數據化，除了讓民眾掌握停車動態，市府也可取得停車大數據作為決策參考。</p> <p> </p> <p>圖片來源／數位部、高雄市政府、新竹市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.南投縣結合自駕車接駁打造智慧觀光</strong></p> <p><strong>2.高雄市加速智慧停車格建置，未來2年將建置近4萬車格</strong></p> <p>資料來源：iThome整理，2024年3月</p> </div></div></div>
2024/4/2 15:04作者蘇文彬https://www.ithome.com.tw/news/162077
Google同意銷毀Chrome無痕模式的瀏覽資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Chrome用戶在2020年<a href="https://www.ithome.com.tw/news/138058" target="_blank">集體控告Google</a>，指控即使採用了Chrome的無痕模式（Incognito mode），依然遭到Google追蹤，<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.360374/gov.uscourts.cand.360374.1096.0_1.pdf" target="_blank">Google本周向法院提出和解協議</a>，承諾將刪除所蒐集的瀏覽資料，也將允許無痕模式用戶預設即封鎖第三方Cookie。</p> <p>一般而言，在啟用無痕模式之後，Chrome就不會儲存使用者的瀏覽紀錄或在表格中所輸入的資料，而且在瀏覽當時所使用的cookies與網站資料，也都會在退出無痕模式之後全數刪除。但使用者卻發現，即便進入了無痕模式，Google依然允許Google Analytics、Google Ad Manager、其它應用程式或網站外掛來蒐集使用者資料，進而了解使用者的搜尋字串、交友與消費習慣，於是在2020年提出集體訴訟，指控Google違反美國的竊聽及隱私法令，亦要求Google賠償每名用戶5,000美元。</p> <p>本周Google針對Chrome無痕模式的作法提出和解方案，包括將於隱私政策及在啟用無痕模式時揭露所蒐集的用戶資料；亦同意刪除於無痕模式所蒐集的數十億筆紀綠；至少在未來5年內都將允許使用者於無痕模式中的預設值即封鎖第三方Cookie；也會移除用來偵測使用者是否採用無痕模式的程式碼，意味著未來Google將不會得知使用者是否選擇了無痕模式。</p> <p>此一和解協議並未涵蓋用戶所要求的金錢賠償，但用戶依然可另外提出訴訟來主張損害賠償。</p> </div></div></div>
2024/4/2 13:56作者陳曉莉https://www.ithome.com.tw/news/162081
Angular將合併Google內部用Wiz框架，強化伺服器端渲染能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://blog.angular.io/angular-and-wiz-are-better-together-91e633d8cd5a">宣布</a>將開始合併Angular與Wiz兩個框架，以滿足現代網頁應用程式開發的混合需求，使得Angular在提供豐富互動性的同時，也能擁有高效能。Google預計將Wiz功能逐步透過Angular開源，而Google表示，這項計畫的主要目標，還是在於改進Angular框架。</p> <p>Wiz是Google內部的一個網頁框架，主要用於開發注重效能的重要應用程式，像是Google搜尋這類盡可能快速呈現結果，互動性相對較低的應用程式。Angular則是一個優先考慮開發人員體驗和複雜使用者介面的框架，專門用於開發需要高度互動的應用程式，像是Google Gemini和Google Analytics皆是使用Angular開發。</p> <p>Google考量還有許多用戶使用慢速網路或是低階裝置存取Google應用程式，因此在於控制初始載入延遲和JavaScript的量相當講究。而Wiz框架透過多種方式提升這些用戶的使用體驗，主要是採用伺服器端渲染（Server-Side Rendering，SSR）讓頁面上所有內容，包括互動元件，都以高度最佳化的串流解決方案渲染，消除大部分渲染用的JavaScript。Wiz只載入頁面上實際呈現的互動元件程式碼，而為了避免客戶端丟棄使用者事件，Google會在客戶端嵌入一個小型函式庫，來監聽使用者事件並進行重播。</p> <p>雖然Wiz所提供的伺服器端渲染優先應用程式開發方法，可以提供終端用戶最佳效能，但是在具有高度互動的應用程式，卻會大幅增加開發人員的複雜。而且即便是追求高效能的應用程式，也需要提供更多的互動功能，才能保持使用者的參與度。</p> <p>根據HTTPArchive資料，過去6年間JavaScript的程式碼在桌面上成長37％，而在行動裝置也成長了36％以上，Google指出，高度互動的應用程式使用越來越多的JavaScript，而這明顯影響了網頁程式效能。綜合網頁開發目前面臨的混合需求，Google決定整合Angular與Wiz各自的優勢，讓Angular開發人員不需要在開發體驗和效能間抉擇。</p> <p>在實作中，目前Angular改進的成果包括可延遲視圖（Deferrable View）以及部分Hydration的功能，都來自於Wiz精細程式碼載入以及事件委派函式庫的衍生。同時，Wiz則加入Angular管理和更新使用者介面的Signals函式庫，採用了更傾向宣告式的介面更新機制，當資料變化時，與資料相關的使用者介面才會更新，高精細度的更新策略使得應用程式可以更快地回應用戶操作，減少不必要的計算和渲染。</p> <p>Google的長期目標是要合併Angular和Wiz，這個過程會長達數年，透過逐漸在Angular開源Wiz功能，最終完成合併。</p> </div></div></div>
2024/4/2 14:02作者李建興https://www.ithome.com.tw/news/162078
全球Office 365/Microsoft 365 Enterprise將不再包含Microsoft Teams
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/licensing/news/Microsoft365-Teams-WW" target="_blank">微軟周一（4/1）宣布</a>，將比照去年在歐盟及瑞士<a href="https://www.ithome.com.tw/news/158559" target="_blank">所實施的政策</a>，於全球鬆綁Microsoft Teams，未來Office 365/Microsoft 365 Enterprise訂閱方案將不再包含Teams，將Teams獨立銷售。</p> <p>Microsoft Teams是微軟在2017年推出的團隊協作軟體，也是Microsoft 365及Office 365的產品家族成員之一，然而，Salesforce旗下的同質性產品Slack在2020年向歐盟投訴，指控微軟濫用Office的市占優勢來推廣Teams，歐盟在去年7月正式對此展開調查，微軟同年8月即宣布要在歐洲經濟區及瑞士鬆綁Teams。</p> <p>本周微軟則是把此一政策擴大至全球市場。舊用戶可以沿用原來的訂閱模式，也可切換至新模式，但未來新用戶將無法再購買包含Teams的Office 365 E1、Office 365 E3、Office 365 E5、Microsoft 365 E3 和 Microsoft 365 E5，如果想要提供Teams給使用者，必須購買兩個SKU，一套Microsoft 365（或Office 365），再額外訂閱Microsoft Teams Enterprise。</p> <p>不過，此一完全隔離Teams的政策似乎只適用於Office 365/Microsoft 365 Enterprise方案，不管是Frontline或Microsoft 365 Business的新用戶都依然可以訂閱包含Teams的版本，也可訂閱不含Teams的版本，採行新舊方案並存的策略。此外，該政策亦未影響一般消費者、學術界、美國政府或非營利組織。</p> <p>Slack現身於2013年，在2017年Teams上線前是市場上的主流協作平臺，但<a href="https://www.ithome.com.tw/news/131808" target="_blank">Teams於2019年下半年就超越Slack</a>，即使2020年Slack即向歐盟投訴，歐盟卻直至去年才展開調查，此時微軟早已取得了明顯的領先優勢。</p> <p><a href="https://techcrunch.com/2024/04/01/as-microsoft-unbundles-teams-it-might-not-have-the-impact-on-slack-you-think/" target="_blank">《TechCrunch》</a>引用各方分析師的看法指出，微軟此舉一方面可迎合監管機構的要求，另一方面還能開拓新市場，推動那些沒有訂閱Office/Microsoft 365的組織採用Teams，對Slack的幫助有限。</p> </div></div></div>
2024/4/2 11:26作者陳曉莉https://www.ithome.com.tw/news/162070
ChatGPT不需登入也可使用了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/start-using-chatgpt-instantly" target="_blank">OpenAI昨（1）日宣布</a>，即日起開放用戶免登入使用AI聊天機器人ChatGPT，但用戶最好記得設定不讓OpenAI蒐集使用資訊。</p> <p>OpenAI表示會漸漸將設定推展到全球，讓所有人都不再需要登入帳號就可使用ChatGPT。該公司也提醒，可能會使用用戶輸入到ChatGPT的資訊，以訓練底層模型。不希望被蒐集互動紀錄的用戶需到設定頁關閉這項設定。</p> <p>但OpenAI仍然推薦用戶建立帳號，因為用戶可儲存、檢視和分享對話紀錄。此外，某些功能也需要登入帳號才能使用，如語音對話、自訂指令等。</p> <p>為了防止GPT模型被濫用，OpenAI也為ChatGPT新增內容防護，像是封鎖特定提示及生成不適切、惡意或有害的內容。</p> <p>從2022年11月以測試版上線以來，ChatGPT成為成長最快的服務。不到1個月就累積100萬用戶，2個月就突破1億。OpenAI說現在ChatGPT用戶遍及185國，每周平均用戶超過1億。<a href="https://www.demandsage.com/chatgpt-statistics/" target="_blank">分析機構估計</a>截自2024年3月，ChatGPT每月用戶為1.8億。</p> <p>去年OpenAI執行長Sam Altman在其首次開發者用戶大會上<a href="https://www.theverge.com/2023/11/6/23948386/chatgpt-active-user-count-openai-developer-conference" target="_blank">也宣布</a>，到去年11月為止，該公司平臺上有高達近200萬開發人員，包含92%的財星500大企業員工。</p> </div></div></div>
2024/4/2 09:14作者林妍溱https://www.ithome.com.tw/news/162066
Google將生成式AI技術用於天氣預報，不只高效且更能預測極端天氣事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發表最新的天氣預報研究，其採用一種稱為機率擴散模型（Probabilistic Diffusion Model）的生成式人工智慧技術，開發出<a href="https://blog.research.google/2024/03/generative-ai-to-quantify-uncertainty.html">SEEDS（Scalable Ensemble Envelope Diffusion Sampler）</a>天氣預報模型。SEEDS可以有效地大規模產生天氣預報系集（Ensemble），成本僅為傳統物理預報模型的一小部分，而這是原本僅被用於生成式人工智慧應用的機率擴散模型，在天氣預報上的創新應用。</p> <p>機率擴散模型是一種基於機器學習的生成式人工智慧技術，模型的運作主要分為二步驟，第一步驟是添加雜訊，從原始資料逐步增加隨機雜訊，直到資料完全變成隨機雜訊，這個過程被稱為前向擴散，以圖片當作例子，就像是在一張清晰的圖片逐漸添加雜訊點，直到圖片上滿是隨機雜訊。</p> <p>第二步驟則是移除雜訊，機率擴散模型進行反向擴散，學習將充滿雜訊的資料移除雜訊，最終恢復出接近原始資料的新資料。同樣以圖片為例，也就是清理滿是雜訊的圖片，嘗試恢復出原來的景物，或是創造出全新的圖片。</p> <p>機率擴散模型中的機率性，指的便是去雜訊的過程，模型在每一步都會考慮多種去雜訊的可能路徑，每一條路徑都可能產生略有不同的結果。這代表即便機率擴散模型處理非常相似的雜訊資料，最後也能生成多種且高品質的資料樣本。</p> <p>機率擴散模型的這種能力，使其成為可以生成高度複雜且多樣化資料的強大工具，而在天氣預報的應用中，就能夠從有限的初始預測出發，生成一系列可能的未來天氣狀況，也就是系集預報，反應未來天氣的不確定性和多樣性。</p> <p>科學家在創建天氣預報系統的時候，需要將天氣混沌（Chaos）的特性考慮進去。即便是微小的初始條件差異，隨著時間的推移便會呈現指數增長，人們之所以無法對天氣進行單一預測，是因為單是一個預測，並無法量化天氣的不確定性。</p> <p>為了適應這種不確定性，天氣預報組織在計算系集預報時，會於在初始條件加入合成雜訊，以及在物理過程加入隨機性，利用天氣模型中快速的錯誤增長率，使得系集中的預測各有不同，進而量化天氣條件的不確定性。</p> <p>雖然機率預測是有效的，但是要生成這些預測，需要在大型超級電腦上，執行多次高度複雜的數值天氣模型，而這是一個非常耗費運算資源的過程，許多天氣預報組織，只能負擔生成大約10到50個系集成員的規模，而這個數量可能不足以用來評估罕見且高度影響天氣的事件，研究人員表示，要評估罕見氣候事件需要更大的系集，使用一萬個成員組合的系集，可能才有辦法預測到發生機率為1％的事件。也就是說，成員少於100的系集，不可能可以預測出極端天氣事件。</p> <p>而Google研究人員所開發的SEEDS，效能遠超過數值天氣預報系統，並且可以根據數值天氣預報系統一到兩次的預報，產生大型系集。SEEDS生成的系集能夠提供與真實情況類似的可信預測，特別是在預測極端天氣事件的準確度上，SEEDS表現也非常出色。</p> <p>最重要的是，與需要超級電腦耗費數小時運算的傳統天氣預測相比，SEEDS模型的計算成本幾乎可以被忽略，在Google雲端TPUv3-32執行個體上，每3分鐘可以產生256個系集成員，藉由部署更多的加速器，就可以擴展更高的吞吐量。</p> <p>SEEDS的具體貢獻在於利用生成式人工智慧技術，提高天氣預測效率。SEEDS只要使用2個預測種子，就能夠快速生成大量的系集預報。SEEDS提供了一種高效混合方法，把數值天氣預報系統作為輸入，就能產生額外的預測。</p> <p>SEEDS高效運算的特性，在節省運算資源的同時，也能夠更頻繁地發出預報，提高天氣預測的品質和可用性。而且SEEDS不只可用於天氣預測，也增加了氣候風險評估領域的可能性，提升科學家準確量化未來氣候不確定性的能力。</p> </div></div></div>
2024/4/1 23:26作者李建興https://www.ithome.com.tw/news/162055
【資安日報】4月1日，發現潛伏三年的供應鏈攻擊事件，程式庫XZ Utils近期被植入後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>週末一起供應鏈攻擊事件的揭露，震撼了整個資安圈，也讓企業用戶忙於修補因應，有攻擊者針對XZ Utils資料壓縮程式庫植入後門，而這個後門將可讓攻擊者繞過SSHD的身分認證機制，且相當難以察覺。</p> <p>幸好有研究人員因為調查一個SSH登入時存在500ms延遲異常而發現，但回顧這個提交惡意的GitHub帳號，竟是在2021年就註冊，並從2022年2月就開始試探性的對XZ程式庫提交Commit。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162040"><strong style="font-size: 22px;">駭客鎖定XZ Utils庫發動供應鏈攻擊，差一點進入眾多主流Linux發行版的SSHD注入後門</strong></a></p> <p class="rteright"><a href="https://s4.itho.me/sites/default/files/images/XZ Outbreak_GJ-6mD9aIAARaiY_圖片來源Thomas Roccia.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/XZ%20Outbreak_GJ-6mD9aIAARaiY_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Thomas%20Roccia.jpg" style="width: 260px; float: right;" /></a><span style="color:#808080;">圖片來源／Thomas Roccia</span></p> <p>微軟PostgreSQL開發人員<a href="https://www.openwall.com/lists/oss-security/2024/03/29/4">Andres Freund在3月29日揭露XZ Utils資料壓縮程式庫被植入後門，並指出這是一樁供應鏈攻擊事件</a>，<a href="https://access.redhat.com/security/cve/cve-2024-3094">Red Hat也發布相關緊急安全通告，指出CVE-2024-3094是CVSS v3風險層級滿分10分的漏洞</a>，已確定Fedora Rawhide、Fedora 41、Kali Linux、openSUSE Tumbleweed/MicroOS，部分Debian版本受影響。</p> <p>這起事件在上週六一早即引起臺灣資安研究人員的關注與重視，原因是這起事件不僅是涉及SSHD（Secure Shell Daemon）的供應鏈攻擊，而且手法相當精心設計且複雜，若不是及早被發現，一旦進入穩定版主流linux發行，後果恐不堪設想。</p> <p>另一<a href="https://twitter.com/fr0gger_/status/1774343587154837940">微軟威脅研究人員Thomas Roccia週日在X平臺發文</a>表示，他嘗試用一張提表整理入侵的脈絡，當中顯示一名代號為Jia Tan（JiaT75）的GitHub帳號用戶，是在2022年2月6日針對XZ程式庫提交第一次Commit，之後又陸續提交幾次測試檔，然後在2024年2月16日、3月9日悄悄將惡意程式加入，其中bad-3-corrupt_lzma2.xz與good-large_compressed.lzma這兩個看起來無害的測試用binary，更是會在特定條件下解析出惡意程式。</p> <p><a href="https://about.att.com/story/2024/addressing-data-set-released-on-dark-web.html"><strong style="font-size: 22px;">AT&T大量客戶資料流入暗網，影響7,300萬用戶</strong></a></p> <p>美國電信龍頭AT&T在3月30日（週六）宣布，大約有7,300萬新舊客戶的資料被發現在流傳到暗網，這些資料包括當地社會安全號碼，以及及電子郵件信箱、電話號碼、生日等個人資訊。</p> <p>根據AT&T說明，他們已確認在兩星期前在暗網發布的資料與AT&T用戶有關，尚不清楚檔案內欄位中的資料是來自AT&T，還是他們的供應商之一，目前仍在評估外洩資料的來源。而根據他們的初步分析結果，這些資料似乎是來自2019年或更早，影響了約760多萬現有AT&T帳戶持有者，以及6540多萬舊有帳戶持有者。所幸，暫時沒有發現AT&T系統有遭未經授權存取的情況，該公司則表示將通知受影響用戶，並提供免費信用監控。</p> <p><a href="https://krebsonsecurity.com/2024/03/recent-mfa-bombing-attacks-targeting-apple-users/"><strong style="font-size: 22px;">MFA轟炸攻擊再現！但這次發生在蘋果密碼重設通知的場景</strong></a></p> <p>過去2022年曾出現鎖定企業員工的MFA轟炸（MFA Bombing）攻擊，如今這樣的通知轟炸攻擊，似乎也發生在蘋果密碼重設通知的情境之中。這項威脅是由資安部落格KrebsOnSecurity的一份報告揭露，當中指出有幾位蘋果用戶成為網釣攻擊目標，不斷收到數十起關於密碼重置請求的通知提示，需要使用者對每項通知提示做出「允許」或「不允許」的回應，否則使用者無法用手機做任何事情。此外，即便使用者都沒有按錯按鈕，有些使用者表示，後續還會收到冒充蘋果支援人員的語音網釣（Vishing）攻擊。</p> <p>由於攻擊者能在短時間內發送數十次的密碼重設請求，這也代表，蘋果iCloud帳戶的密碼重設機制，可能存在一些問題，像是沒有通知發送頻率的限制。</p> <p><a href="https://www.gov.tw/News_Content_11_737953.html"><strong style="font-size: 22px;">亞昕資訊通報其校務行政系統遭駭而被勒索，教育部已確認7所高中受影響，將持續清查26校</strong></a></p> <p>教育部在3月29日公布了近期國內7高中校務系統遭駭客入侵的事件，說明半個月前教育部國民及學前教育署（簡稱國教署）收到亞昕資訊遭勒索攻擊的通知，駭客以散布該公司校務行政系統內高中學生資料為由，向該公司勒索費用。國教署在獲知情形後，通報發生資安事件，並進行緊急應變與調查。</p> <p>關於初步調查結果，駭客先是從1所學校的系統漏洞入侵主機，執行惡意程式以竊取學校的帳號密碼，接下來，他們搜尋其他使用該廠商校務行政系統的學校，成功利用同一組帳號密碼登入其他6所學校的系統，因此發現有7所高中被入侵，確實有學生個資遭外部下載情形，但沒有新增、刪除等操作行為。而國教署也說明，由於與亞昕資訊簽約學校有26所，為掌握其餘學校個資外洩情形，近日將持續清查這些校務行政系統的學生學習歷程檔案是否受到影響。</p> <p><a href="https://www.humansecurity.com/learn/blog/satori-threat-intelligence-alert-proxylib-and-lumiapps-transform-mobile-devices-into-proxy-nodes"><strong style="font-size: 22px;">免費VPN用戶當心！有駭客打造17款假VPN App其實都暗藏惡意</strong></a></p> <p>近日資安公司Human Security旗下Satori資安威脅情報團隊指出，Google Play商店上有17款偽裝VPN應用程式涉嫌搭載惡意SDK軟體，可能將用戶裝置轉變為網路犯罪工具。</p> <p>研究人員指出，這些偽裝VPN App看似提供免費VPN服務，但卻藏有一個名為「PROXYLIB」的惡意SDK軟體工具。這個工具可以在用戶毫不知情下，暗中安裝於用戶手機裝置上，將其變成網路犯罪分子或駭客的「網路代理伺服器」，也就是利用你的裝置來發動特定惡意攻擊活動。研究人員共發現28款App都藏有PROXYLIB SDK，在他們通報後，Google已經將這些App下架。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://azure.microsoft.com/en-us/blog/announcing-new-tools-in-azure-ai-to-help-you-build-more-secure-and-trustworthy-generative-ai-applications/"><strong style="font-size: 22px;">微軟公布多款改善生成式AI服務安全性的新工具，Prompt Shields率先亮相</strong></a></p> <p>隨著生成式AI的普及應用，包括提示注入攻擊或濫用AI系統漏洞等相關風險也隨之而來，導致AI聊天機器人做出不在規範內的行為，繼3月初Cloudflare推出Firewall for AI，微軟在3月底也宣布一系列協助生成式AI應用的AI安全工具，例如，新的提示防護罩（Prompt Shields），是去年11月的越獄風險偵測的強化，不只防範原本提示注入的直接攻擊，也能防範提示注入的間接攻擊。</p> <p>其他有助於改善生成式AI服務安全性的工具，將於日後推出，包括：可防範AI模型幻覺問題的Groundedness detection，可引導模型行為朝向安全與負責的Safety system messages，以及越獄評估工具Safety evaluations與風險與安全監控工具。這些工具之後都將整合於Azure AI Studio與Azure OpenAI Service之中。</p> <div> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.bleepingcomputer.com/news/security/germany-warns-of-17k-vulnerable-microsoft-exchange-servers-exposed-online/"><span style="font-size: 20px;">德國警告當地超過1.7萬臺Exchange伺服器曝露於已知漏洞風險</span></a></strong></p> <p><a href="https://www.recordedfuture.com/attributing-i-soon-private-contractor-linked-chinese-state-sponsored-groups"><strong style="font-size: 20px;">針對中國資安業者安洵信息資料外流，研究人員發現該公司與更多駭客組織有關</strong></a></p> <p><a href="https://securityaffairs.com/161181/security/cisco-ios-and-ios-xe-software-flaws.html"><strong style="font-size: 20px;">思科修補IOS與IOS XE的多個高風險漏洞</strong></a></p> <p><a href="https://thehackernews.com/2024/03/hackers-target-macos-users-with.html"><strong><span style="font-size: 20px;">駭客利用惡意廣告傳播竊資軟體，主要鎖定macOS使用者</span></strong></a></p> <p><a href="https://www.euractiv.com/section/politics/news/albanian-government-to-create-commission-against-foreign-influence-disinformation/"><strong style="font-size: 20px;">阿爾巴尼亞政府宣布將成立特別委員會，以抵抗外國影響行動、打擊虛假資訊</strong></a></p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162031"><strong>【3月29日】研究人員揭露專門針對行動裝置的新型態網釣工具包Darcula</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162015"><strong>【3月28日】殭屍網路TheMoon挾持4萬臺SOHO路由器、物聯網裝置供網路罪犯藏匿蹤跡</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162004"><strong>【3月27日】AiTM網釣攻擊工具包Tycoon 2FA針對微軟365、Google用戶而來</strong></a></p> <p> </p> </div></div></div>
2024/4/1 16:26作者羅正漢https://www.ithome.com.tw/news/162054
【LLM模型如何落地金融業？技術與非技術難題並存】凱基人壽導入生成式AI的三大挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>業務員是販售保險商品的最大通路，也是保險業的重要戰力。根據壽險公會截至今年二月的統計，凱基人壽（原為中國人壽）內部有超過一萬5千名業務員，每年還會增加不少新進業務員。根據壽險公會統計，光是2022年，全臺就有超過2萬1千名新進業務員通過人身保險資格測驗，正式成為保險業務員。如何將這批年齡、學經歷各不同的新手，快速訓練成保險專業人才，是每一家保險業的重要課題。凱基人壽用生成式AI找到了新的作法。</p> <p>因為新人數量多又分散全臺，傳統保險業務員訓練方式大多按北、中、南分區培訓，不僅訓練時間長，再加上講師功力和教材不一，培訓效果也有落差。為了解決這個痛點，凱基人壽早在去年就用NLP，開發出一套業務員訓練系統，稱為智能對練1.0版，可以在線上模擬業務人員與顧客的對話，來提供新手業務員進行對話演練，也能彙整多達700頁的業務手冊，協助業務員快速查找大量資訊，至少縮短了一半的新人訓練時間。</p> <p>不過，用NLP打造的對話形式較生硬，訓練效果有限。隨著生成式AI技術浪潮來襲，凱基人壽看中它模擬真人對話的能力，開始將這項技術應用在內部工具中。</p> <p>今年二月初，凱基人壽開始在業務員訓練系統中導入生成式AI，發表了智能對練2.0版，可以更擬真的模擬業務員與顧客的對話過程，協助業務員演練銷售技巧，還能快速摘要700頁業務手冊的內容。在模擬客戶功能中，他們除了使用提示工程和檢索增強生成技術（RAG），也應用微調（Fine-Tuning）和虛擬人和情緒偵測等技術。而在業務手冊摘要功能中，他們主要運用提示工程和RAG，限定LLM模型的回應範圍，讓模型盡可能根據業務手冊或商品內容提供回應，協助新進業務員以問答方式，快速掌握手冊資訊。</p> <p>這是國內首家在業務員訓練正式導入生成式AI的壽險業者，也是國內少數正式啟用生成式AI應用的金融業者。</p> <p>作為技術採用的先行者，沒有太多先例可循，凱基人壽從技術驗證，到實際落地並正式啟用，不僅是技術面的挑戰，更多的挑戰來自非技術層面，像是如何降低模型回應錯誤率，抑或是因應指引原則，調整內部治理規範。</p> <h3>挑戰一：提升模型回應精準度</h3> <p>導入生成式AI必定會面臨的挑戰，便是AI幻覺。凱基人壽網路數位部資深副總經理宋健榮說明，以GPT模型新版GPT 4 Turbo為例，約有3%的幻覺率，即便使用提示工程、檢索增強生成技術（RAG），甚至是微調（Fine-Tuning），都不易做到百分之百精準。這是生成式AI目前的技術限制，也是受高度監管的金融業者謹慎看待這項技術的關鍵原因。</p> <p>實際導入生成式AI的過程中，凱基人壽面臨了許多困難。凱基人壽網路數位部專案副理王姿云以第一線實作經驗舉例說明，一本多達700頁的業務手冊中，有時使用者的提問較模糊，手冊多處會有類似的內容，模型難以判斷哪一處的敘述才是正確答案，需要借助提示工程，才能減少回應錯誤率。例如，有兩至三處的描述相似，皆能回應提問，系統就要引導使用者提出更精準的問題，才能給予較精準的回覆。</p> <p>為了進一步提高模型回答的精準度，凱基人壽還建立了三道提示工程的改進機制。</p> <p>第一道機制是由內部技術部門和外部技術夥伴合作，以機器亂數產生500筆問題，得到回覆後再和實際答案比對。對內聯合了網路數位部團隊和IT部門的研究小組，對外則找來工研院和技術廠商來精進技術。第二道是透過跨部門小組根據實務經驗，找來業務員代表，手動產生500筆題目，進行第二次測試和比對。最後一道機制，是藉由第一線業務員使用者提供回饋，再交由技術團隊修正提示。宋健榮表示，這批使用者是業務員中的數位代表，負責對數位工具提供使用回饋。未來，他們預計建立200位業務員組成的數位部隊，共同精進數位工具。</p> <h3>挑戰二：蒐集模型訓練資料</h3> <p>凱基人壽的業務員訓練系統提供模擬客戶的功能，讓業務員能隨時和AI模擬客戶進行對話，學習銷售技巧。這個功能在過去是利用NLP技術打造，團隊透過聆聽經驗豐富的業務員演繹銷售技巧，蒐集各種話術，萃取出精華，最後統整為模型訓練資料。為了運用生成式AI提升模擬客戶的擬真度，使用者需要蒐集實際場景的話術，作為模型訓練資料，過程也是一大挑戰。</p> <p>王姿云解釋，起初，只能將顧客類型分為感性和理性兩種來進行對話角色的模擬，也僅需蒐集基礎的知識話術，就能完成教材，統整資料的過程相對容易。但到了導入生成式AI的2.0版系統，模擬客戶的功能升級，可以增加更多類型的顧客角色，團隊需要蒐集更多達人式、接地氣的話術，作為模型訓練資料，「但達人不一定照著設定的步驟來唸，要萃取出精華是蠻辛苦的事。」另一方面，他們也要將教材縮減至20分內的訓練時長，才有助學員快速吸收。這段話術萃取的過程考驗團隊能否掌握販售技巧的關鍵，不僅需要和負責訓練的單位密切合作，了解第一線的培訓需求，也要掌握商品框架，才能制定系統化的萃取方式，釐清可作為模型訓練的資料。</p> <h3>挑戰三：AI監管環境尚未成形，金融業者尚需摸索內部控管機制</h3> <p>「這次經驗是一個訓練過程，讓我們不斷精進。」宋健榮坦言，作為導入生成式AI的先行者，多數情況沒有參考解方，同仁也尚未熟悉新技術，需要長時間摸索，才能逐漸確立內部機制。另外，因應金管會去年年底發布的「金融業運用AI指引草案」，凱基人壽正根據指引內容研擬內部規範，摸索適當的管理機制。</p> <p>不過，目前綜觀全球，僅有歐洲制定AI法案，全世界仍在摸索AI治理機制，沒有人具備實質經驗。宋健榮解釋，以資安管理標準而言，從最早世界經濟合作開發組織（OECD）在1990年草擬的「資訊系統安全指導方針」，到1995年，英國標準協會訂定的「資訊安全管理實務準則」之BS7799。直到2000年，BS7799通過ISO審議，才成為較成熟的ISO/IEC 17799。反觀AI，目前尚未發展相對成熟的認證標準，業者也較難掌握監理標準。</p> <p>此外，無論是國內外，AI相關規範或指引皆強調了模型透明性和可解釋性，但是，宋健榮指出，多數金融業者不易掌握模型，更難以自建LLM模型，較難符合這項監管要求。目前，多數金融業透過Azure OpenAI服務使用GPT模型，無法得到模型全部資料，「即便是開源模型，也只有部分資料揭露。」宋健榮解釋，生成式AI模型掌握在大型科技公司手中，多數企業無法控制整體資料品質，也較難解釋模型透明性。目前金融業者主要透過RAG或Findtune調教模型，「你可以控管自己的資料，但是基礎模型的資料就做不到。」</p> <p>凱基人壽的實作經驗顯示，金融業者導入生成式AI不僅需要面臨技術挑戰，背後更要面臨包括合規、治理面等非技術的挑戰，許多內部機制也得透過階段性的試錯，才能逐漸成形。</p> <p>「希望透過這次應用，累積足夠經驗再發展。」宋健榮表示，當生成式AI技術足夠成熟後，他們會進一步擴大應用範圍。第一，使用大量業務手冊、業務規則的部門，利用生成式AI輔助摘要大量資訊。第二是，針對核保和理賠等需要專業判斷的場景，利用AI協助專員進行判斷。「凱基人壽的終極目標，是利用AI打造一個業務員的副駕駛（Copilot），整合所有業務員工具，包括輔銷、客戶管理、日常業績管控、報到、推播等工具，透過AI實現業務員超級助理。」宋健榮說。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/10_%E5%AE%8B%E5%81%A5%E6%A6%AE_%E4%B8%AD%E5%9C%8B%E4%BA%BA%E5%A3%BD_%E6%95%B8%E4%BD%8D%E6%87%89%E7%94%A8%E7%99%BC%E5%B1%95%E9%83%A8%20%E5%89%AF%E7%B8%BD%E7%B6%93%E7%90%86_20190612_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D(4).jpg" style="width: 400px;" /></p> <blockquote><p>凱基人壽網路數位部資深副總經理宋健榮認為，這次導入生成式AI的經驗是一段訓練過程，讓他們不斷精進。當生成式AI技術足夠成熟後，他們會進一步擴大應用範圍，終極目標是為業務員打造一個副駕駛(copilot)，實現業務員超級助理。（攝影：洪政偉）</p> </blockquote> <h3> <span style="font-size:16px;"><strong style="color: rgb(255, 255, 255); font-family: 微軟正黑體, sans-serif; font-size: 28px; background-color: rgb(247, 247, 247);"><span style="background-color: rgb(51, 153, 255);"> 金融業者對生成式AI的觀點 </span></strong></span></h3> <p>「生成式AI的出現是一個拐點，它跟傳統AI間已經有一道分水嶺。」對於生成式AI技術對金融業的影響，凱基人壽網路數位部資深副總經理宋健榮明確給出這個回應。不過，他也認為，生成式AI技術目前尚在雛形階段，綜觀現有的商業應用中，除了Chatbot形式較為成熟，其他的應用還尚在發展中，「類似蘋果推出的iPod，但還沒到iPhone。」</p> <p>其實，早在2017年，凱基人壽就以AI作為轉型策略核心，內部早已建立大數據資料庫和標籤庫，還能運用AI自動貼標快速分析客戶行為，為日後發展AI奠定不少基礎。不過，宋健榮認為：「目前的生成式AI離通用型AI還有一段路。」待技術成熟，凱基人壽期望能以過往AI基礎，加值至生成式AI應用。「改變跟進步一直往前，你不知道最後會怎樣。」</p> <p></p> <p></p> </div></div></div>
2024/4/1 14:38作者李昀璇https://www.ithome.com.tw/news/162052
程式語言Mojo開源標準函式庫核心模組並接受外部貢獻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>速度可達Python 68,000倍的<a href="https://www.ithome.com.tw/news/158653" target="_blank">程式語言Mojo</a>，官方現在宣布以Apache 2授權許可，<a href="https://www.modular.com/blog/the-next-big-step-in-mojo-open-source">開源Mojo標準函式庫的核心模組</a>，開源的部分包括原始碼之外，還提供標準函式庫修訂歷史紀錄、Mojo編譯器的Nightly建置，並且公開持續整合系統，也允許開發者透過GitHub拉取請求進行外部貢獻。</p> <p>Mojo開放標準函式庫修訂歷史，將可讓使用者和貢獻者查看專案過去的改動、貢獻歷史以及每次修改的具體細節，而這將有助於貢獻者理解程式碼的演進過程。Mojo專案的開源不只是公開程式碼，更是允許外部貢獻，任何人都可以提交程式碼修改拉取請求，經過審核後會被合併到專案中。而公開的持續整合系統，則確保每次程式碼提交都會經過自動測試和建置流程，並讓貢獻者可以了解貢獻的程式碼是否通過測試。</p> <p>Mojo採用Apache 2，因其提供專利授權條款，能在法律上保護使用者和貢獻者。針對Apache 2可能與GPL 2授權部分不相容的問題，官方提到，他們希望開發者使用Mojo，但是不強迫開發者向Modular或是Mojo致謝（Acknowledge），也就是說，官方明確同意Mojo標準函式庫程式碼可以和GPL 2混用。</p> <p>雖然Apache 2和GPL 2都是自由軟體和開源軟體熱門的授權協議，但是兩者在要求上還是有一些不同。特別是Apache 2.0包含了一些專利授權條款，但是GPL 2並沒有這樣的要求，所以按照這些授權條款，使用Apache 2.0授權的程式碼，不可以直接被納入到GPL 2授權的專案中，因為會造成授權要求間的衝突。</p> <p>Mojo官方以例外條款（Apache 2 with LLVM Exceptions）來解決這個問題，使得開發者可以更自由地使用Mojo的程式碼，就算是在GPL 2授權的專案，也不需要擔心授權衝突，以鼓勵廣泛採用和協作。</p> <p>由於Mojo標準函式庫正在開發階段並且變化迅速，所以官方現在選擇先開源其核心模組，隨著發展，官方還會公開更多程式碼，包括Mojo其他部分以及更廣泛的MAX平臺等。</p> </div></div></div>
2024/4/1 16:38作者李建興https://www.ithome.com.tw/news/162053
Fintech周報第236期：麥肯錫調查顯示，歐美領先金融業者中，超過一半業者以集中式組織領導生成式AI發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">3/25~3/29金融科技精選新聞</span></span></h3> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 麥肯錫</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI治理 </span></strong></span></p> <h3>麥肯錫研究：歐美領先金融業者中，超過一半業者以集中式組織領導生成式AI發展</h3> <p>知名管理顧問公司麥肯錫（McKinsey & Company）最近發表了一份<a href="https://www.mckinsey.com/industries/financial-services/our-insights/scaling-gen-ai-in-banking-choosing-the-best-operating-model">報告</a>《在銀行業發展生成式AI：選擇最好的營運模式》（Scaling gen AI in banking: Choosing the best operating model），他們調查了歐洲和美國16家最大金融機構的生成式AI營運模式，超過一半的研究對象採用集中化管理。麥肯錫表示，集中化管理可能是暫時的營運方式，隨著技術越來越成熟，業務部門也會逐漸察覺這項技術帶來的好處，並根據自身需求發展生成式AI應用。</p> <p>麥肯錫根據調查結果，整理出四種組織管理方式的好處和挑戰。第一種，高度集中化，業者設立一支獨立於其他業務部門的生成式AI團隊，並由這支團隊負責設計和執行生成式AI策略。麥肯錫表示，這種組織方式可以讓生成式AI團隊快速建立技術力，不過，團隊與業務部門距離過遠，可能造成雙方的隔閡，進而影響決策。採用這種模式的業者中，七成業者已經開始生產生成式AI應用。</p> <p>第二種，同樣由單一組織領導，但交由業務部門執行。和第一種差別在於，生成式AI團隊會和業務部門中的技術團隊合作，交由業務部門執行計畫。相比第一種，這種方式有助減少雙方隔閡，但發展技術的速度可能因此減慢。第三種，由業務部門主導，統一由技術團隊支援。這種由下而上推動生成式AI策略的方式，有助於獲得業務部門對技術的支持。但是，不同業務部門對生成式AI的需求不同，開發方式可能也不同，單一技術團隊要同時支援多個業務部門十分困難。</p> <p>最後一種，高度去中心化，各個業務部門各自設立生成式AI團隊、設計和執行生成式AI策略。麥肯錫認為，這個方式最容易獲得業務部門對技術的支持，但業務部門缺乏相關知識，可能難以透過生成式AI實現重大突破。採用高度去中心化執行方式的金融機構中，僅有三成業者開始投入生成式AI應用生產。</p> <p>集中化管理方式雖然是發展生成式AI的最佳營運模式，但報告中也表示，採用這種管理方式仍會遇到幾個障礙，分別是策略路線圖的制定、獲取資金的機制，和人才資源。各個業務部門可能擔心失去關鍵資源，而對這三項政策持不同意見。因此，金融機構發展生成式AI需要具備高度的組織敏捷性，能夠快速設計流程並匯集資源。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 台新金控</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></h3> <h3>台新金控揭生成式AI進展，計畫打造「台新腦」輔助內部工作任務</h3> <p>台新金控揭露生成式AI進展，他們計畫打造「台新腦」，一個專屬台新金控的生成式AI工具，協助各項業務執行、法規和風險辨識等任務。他們近日在內部舉辦圖像生成挑戰賽，邀請子公司員工組隊參與，參賽者要使用台新金控調教的大型語言模型，透過輸入提示來生成圖像作品。台新金控表示，舉辦挑戰賽的重點，是要創造生成式AI的使用情境，讓同仁逐步習慣使用這項技術。</p> <p>早在去年十月，台新金控就已完成內部的AI發展關鍵因子和AI導入指引，還發展4項實驗專案，包括協作平臺的聊天機器人Teams Chatbot、知識管理平臺、程式碼撰寫助理Codex，以及虛擬智能客服。去年底，他們對外展示了虛擬智能客服的實驗專案，共有兩個擬真客服人員，分別提供理財投資建議和信用卡建議。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本IBM</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></h3> <h3>日本IBM瞄準金融機構需求，推出快速導入生成式AI的服務，可連接三種LLM模型</h3> <p>日本IBM在旗下的金融服務平臺Digital Services Platform for Financial Services（簡稱DSP）推出生成式AI擴充功能，能協助金融機構快速導入生成式AI，同時內建了多項生成式AI應用，包括生成貸款批准書、製作銷售對話腳本、撰寫日常業務報告，以及提供行員使用的文件摘要工具等。</p> <p>這個擴充功能可以透過閘道（gateway）連結三個生成式AI服務，分別是微軟Azure OpenAI服務、Amazon Bedrock和watsonx.ai，使用者可以根據需求選用GPT模型、Claude模型和Granite模型，也可以透過閘道集中監控、管理多種生成式AI服務。</p> <p>這項服務目前只能在Azure和AWS雲端環境中運作，未來還會開放在IBM Cloud運作。日本IBM預計在5月底向在地客戶推出這項功能。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 丹麥丹斯克銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲 </span></strong></span></h3> <h3>丹麥最大銀行宣布上公雲，計畫遷移超過萬個伺服器、千個應用程式</h3> <p>丹麥丹斯克銀行（Danske Bank）近日宣布，要將部分基礎設施、應用程式和資料遷移至公有雲，與客戶資料相關的系統也包含在內。這間丹麥最大銀行近年啟動技術轉型，將雲端技術、數據和AI作為重點發展技術。他們表示，這項轉型計畫包括要將行內約1.6萬個虛擬或實體的伺服器、近千個應用程式遷至公雲，進一步運用AI、ML和生成式AI服務，提高內部開發人員的工作效率，還要加強對顧客的對話介面功能、提供個人化推薦等。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 澳洲西太平洋銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI防詐 </span></strong></span></h3> <h3>澳洲西太平洋銀行在App設置防詐措施，以AI偵測可疑匯款行為</h3> <p>澳洲西太平洋銀行近日在自家的App設置防詐措施，當系統偵測到用戶可能在向詐騙方匯款，系統會詢問用戶幾個簡易問題，例如詢問匯款目的，若用戶的回答有疑慮，系統將會拒絕執行匯款。這項防詐機制是運用AI偵測，當用戶的匯款被標記為高詐騙風險時，App就會跳出詐騙警示和問題。為了快速因應新的詐騙方式，這些問題的內容會持續更動。澳洲西太平洋銀行表示，除了在App導入這項機制，未來幾個月內也會在網路銀行中導入。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-04-01%20104029.png" style="width: 600px;" /></p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CBDC</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SWIFT </span></strong></span></h3> <h3>SWIFT公布央行數位貨幣第二階段沙盒結果，臺灣央行、華南銀行和上海商銀也參與沙盒試驗</h3> <p>環球銀行金融電信協會（SWIFT）近日表示公布央行數位貨幣（CBDC）第二階段沙盒結果。他們與38間金融機構合作進行為期四個月的實驗，納入各國的央行、銀行和金融市場基礎設施，臺灣央行、華南銀行和上海商銀也是試驗參與對象。實驗結果顯示，SWIFT開發的互鏈解決方案有助於進行各國CBDC交易，甚至也能進行其他形式的數位化代幣交易。</p> <p>這項實驗確保SWIFT開發的解決方案適用於多種CBDC交易。根據路透社報導，SWIFT透露，他們將在未來一到兩年內建立一個新的CBDC平臺，開放給全球正在開發CBDC的國家使用。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 敏捷開發</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本保險業 </span></strong></span></h3> <h3>日本保險公司導入敏捷開發平臺，自動部署至測試環境，系統上線時間從三小時縮減至十分鐘</h3> <p>日本保險公司三井住友海上火災保險建立一套敏捷開發平臺，底層架構採用GitLab提供的DevSecOps平臺，能集中管理多個系統，將軟體開發、測試到部署的部分流程自動化，讓系統上線時間從以往約三小時，縮短至十分鐘內即可完成。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-03-29%20123524.png" style="width: 600px;" /></p> <p>導入敏捷開發平臺前，系統開發流程皆是手動處理，完成開發後須要先部署在測試環境，進行測試後，再部署至生產環境。導入後，平臺協助自動部署至測試環境，再採用一半手動、一半自動完成測試和部署至正式環境。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Amazon</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 掌紋付款 </span></strong></span></h3> <h3>Amazon推出Amazon One行動程式，使用者在手機建立掌紋簽章後即可用掌紋付款</h3> <p>Amazon在2020年推出掌紋辨識系統Amazon One，消費者在特定店家可使用Amazon One掃描和註冊掌紋，之後再利用自己的掌紋來付帳、入場、驗證年紀。上周四（3/28），Amazon發表了Amazon One行動程式，允許使用者透過iPhone或Android手機拍攝自己的掌紋，建立掌紋簽章，不必再透過實體店面的Amazon One裝置來掃描掌紋。</p> <p>儘管Amazon One上線已超過3年，但使用這項掌紋服務的累計次數僅有800多萬。不過，根據Amazon的統計，在實體商店使用掌紋服務付款的用戶中，超過8成都會重覆使用。因此，Amazon決定進一步推廣Amazon One，藉由推出行動程式來降低註冊門檻。</p> <p>其他重要Fintech新聞</p> <ul> <li>金管會將研議成立信用卡掛失單一窗口，降低盜刷風險</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／麥肯錫</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年4月</p> <p></p> </div></div></div>
2024/4/1 10:41作者李昀璇https://www.ithome.com.tw/news/162043
AT&T證實有超過7,000萬用戶個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在<a href="https://www.ithome.com.tw/news/146382" target="_blank">謠傳了兩年</a>之後，美國最大電信業者<a href="https://www.att.com/support/article/my-account/000101995" target="_blank">AT&T終於在上周六（3/30）證實</a>，總計有超過7,000萬名的用戶個資外洩，當中有760萬名為現有用戶。</p> <p>駭客兩年前便於暗網中公布了AT&T的用戶資料樣本，當時AT&T僅對外否認該公司遭駭，並未證實資料的真偽，如今的AT&T依舊否認被駭，指出並沒有證據表明其系統曾遭到未經授權的存取，但證實了暗網上所流傳的AT&T用戶資料可能來自於2019年或更早之前，影響760萬名現有的AT&T用戶，以及6,540萬名舊有用戶。</p> <p>外洩的用戶資料可能包括姓名、電子郵件地址、郵寄地址、電話號碼、社會安全碼、生日，以及AT&T的帳號及密碼，但並未涉及個人財務資料或通話紀錄。</p> <p>AT&T說，該公司已經確定於暗網中流傳的資料集包含了AT&T的特定資料欄位，但並不確定這些欄位中的資料是否源自AT&T或是該公司的供應商。</p> <p>為了保險起見，AT&T已重設所有帳戶密碼，並透過電子郵件或郵件通知受害者，同時提供了免費的身分竊盜及信用監控服務。</p> <p>其實除了AT&T之外，美國第三大電信業者<a href="https://www.t-mobile.com/news/network/additional-information-regarding-2021-cyberattack-investigation" target="_blank">T-Mobile也在2021年傳出資料外洩事件</a>，駭客攻擊了T-Mobile，總計取得接近5,000萬名T-Mobile新、舊用戶的資料。目前美國約有1.6億名人口。</p> </div></div></div>
2024/4/1 14:23作者陳曉莉https://www.ithome.com.tw/news/162051
xAI發表Grok-1.5
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於3月17日開源大型語言模型Grok-1之後，由馬斯克（Elon Musk）創立的xAI再於3月28日<a href="https://x.ai/blog/grok-1.5" target="_blank">發表Grok-1.5</a>，新版本將支援16倍的脈絡長度，可望於本周釋出，也會成為X上Grok聊天機器人的底層模型。</p> <p>儘管離釋出Grok-1不到兩周，但xAI宣稱Grok-1.5有顯著的進展，在許多基準測試上直追或超越Claude 3 Sonnet及Claude 2。例如Grok-1.5在MMLU（大規模多工語言理解）基準測試的成績為81.3%，超越Claude 2的75%與Claude 3 Sonnet的79%；在MATH數學基準測試上的成續則是50.6%，也超越Claude 3 Sonnet的40.5%；GSM8K基礎數學的成績為90%，超越Claude 2的88%，逼近Claude 3 Sonnet的92.3%；HumanEval程式碼基準測試的成績為74.1%，凌駕Claude 2的70%與Claude 3 Sonnet的73%。</p> <p>有趣的是，有別於各個大型語言模型的基準測試都會拿OpenAI的GPT來作比較，日前才控告OpenAI的馬斯克或許是刻意略過GPT，而選擇了近來被視為最有機會挑戰GPT、<a href="https://www.ithome.com.tw/news/162023" target="_blank">由Anthropic所打造的Claude</a>。不過，xAI用來比較的版本是Anthropic在2023年7月推出的Claude 2.0，以及Claude 3.0的中階版本Claude 3 Sonnet，而非最高階的Claude 3 Opus。</p> <p>此外，Grok-1.5不僅於上述基準測試中明顯勝過Grok-1.0，新版也支援128K個Token的脈絡，使其記憶能力達到舊版的16倍，而更擅長處理長文件。</p> <p>xAI說明，Grok-1.5是在一個基於JAX、Rust與Kubernetes的客製化分散式訓練框架上所建置，此一訓練堆疊使其團隊得以花費最小的力氣來測試原型想法，同時大規模訓練新架構，其客製化的訓練協調器可自動偵測到有問題的節點並將其從訓練任務中剔除，該團隊也優化了檢查點、資料載入及訓練任務的重新啟動，以最小化發生故障的停機時間。</p> <p>此外，<a href="https://twitter.com/elonmusk/status/1773655245769330757" target="_blank">馬斯克還透過X放話</a>，正在訓練中的Grok-2.0將會在所有的基準測試上超越現有的AI，不過，他並未揭露Grok-2.0的上線時間點。</p> </div></div></div>
2024/4/1 13:33作者陳曉莉https://www.ithome.com.tw/news/162050
AI趨勢周報第248期：高雄大學開源生成式AI應用平臺Kuwa GenAI OS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0322～0329)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Kuwa </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> TAIDE </span></strong></span></p> <p><span style="font-size: 22px;"><strong>高雄大學資工系開源生成式AI應用平臺</strong></span></p> <p>光有大型語言模型（LLM）還不夠，還得要有一套應用介面才能發作最佳效果，就像是機器人大腦得要有身體和四肢一樣。高雄大學資工系系友就打造一款名為Kuwa GenAI OS的生成式AI應用平臺，提供使用介面、可支援多種生成式AI應用，就像是機器人的身體和四肢，能讓開發者串接多種LLM，來打造所需的生成式AI應用。</p> <p>團隊表示，他們將Kuwa系統定位為平臺，可讓使用者串接所需的模型，並開發上層的生成式AI應用。目前，Kuwa系統可串接多種常見的地端和雲端模型，像是GPT-3.5/4、Gemini-Pro、Gemma、LLaMA2、OLMo、Code LLaMA、Taiwan LLaMA、Breeze等，之後國科會TAIDE模型開源，也能支援串接。尤其，Kuwa系統還能用來管理、分配多臺機器上的模型資料，來支援具備權限控制的多使用者生成式AI應用情境。</p> <p>根據簡介，Kuwa GenAI OS能提供群聊、引用、完整Prompt列表的匯入/匯出和分享等功能，還能靈活組合提示（Prompt）、RAG、Bot、模型、硬體/GPU等元件，來滿足應用所需。此外，它也支援各種執行環境，包括虛擬主機、筆記型電腦、個人電腦、地端伺服器和公私雲端。Kuwa系統是在國科會TAIDE計畫的支持下投入開發，團隊日前也成立Kuwa開源社群，盼更多人投入，來促進生成式AI應用發展。<a href="https://kuwaai.org/os/intro">（詳全文）</a></p> <p><img alt="" src="https://kuwaai.org/assets/images/demo-022ea91092c782af5532ad2952596a35.gif" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語音AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Hume AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> EVI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Hume AI揭露一款富有人味的語音AI</strong></span></p> <p>最近，由Google前研究員Alan Cowen成立的AI新創Hume AI，<a href="https://demo.hume.ai/">預覽</a>一款很特別的對話式AI系統Empathic Voice Interface（EVI），可理解使用者的語氣，並以相應的語氣回覆，就像是在跟人說話一樣。Hume AI表示，EVI透過數百萬人類對話訓練而成，開發者目前可透過Hume API將EVI整合至各種應用程式中。</p> <p>EVI有幾種特色，包括能以與人類相近的語氣回覆，還能根據使用者的情緒來調整語氣，也能偵測使用者語氣，來判斷對話是否結束。同時，EVI也能自然地從對話中斷處，繼續新一輪對話。此外，EVI還能提供語音對話的文字轉錄，以及文字轉語音功能，也能整合任何語言模型。Hume AI預計在4月正式發布EVI。<a href="https://twitter.com/hume_ai/status/1773017058038440281?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1773017060173365306%7Ctwgr%5E20ce68fe7569318d05e0c28c8c3e7b81faf3e6d4%7Ctwcon%5Es2_&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fforget-openais-chatgpt-hume-ais-empathetic-voice-interface-evi-might-be-the-next-big-thing-in-ai%2F">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 工程師 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Devika </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Devin </span></strong></span></p> <p><span style="font-size:22px;"><strong>另一個AI工程師Devika來了，雖然還不及Devin</strong></span></p> <p>繼AI工程師Devin橫空出世後，最近出現另一個AI工程師Devika，能根據人類指令拆分任務，並進行研究、寫程式來完成目標。Devika的開發者是印度AI新創stitionai的創辦人Mufeed VH，他表示，Devika的能力雖然還不及Devin，但透過開源可讓它更進步。</p> <p>Devika的核心功能有幾種，包括可透過Ollama來使用Claude 3、GPT-4、GPT-3.5或本地端的大型語言模型（LLM），也能使用規畫和推理演算法，以及上下文關鍵字提取、瀏覽網頁，還有用多種程式語言來編寫程式。Devika的目標是要用AI來改變工程師開發軟體和除錯的方式，要來簡化流程和提高效率。Mufeed VH還表示，Devika可自動執行自己寫的程式，並在遇到錯誤的時候自動修復問題，不需人類工程師干預。<a href="https://twitter.com/mufeedvh/status/1770696902926852549?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1770696902926852549%7Ctwgr%5Ed4976c3d8fe6a5d9a97b65eb5649a9da989abcf5%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fmeet-devika-an-open-source-alternative-to-devin%2F">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-04-01%20122051.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語音生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Voice Engine </span></strong></span></p> <p><span style="font-size:22px;"><strong>15秒樣本就能生成逼真語音，OpenAI發表語音生成模型</strong></span></p> <p>OpenAI最近揭露一款語音生成模型Voice Engine，可根據任一15秒的語音樣本，生成一段自然的語音，而且富有感情。OpenAI表示，Voice Engine專案在2022年底就已啟動，目標是要為自家的文字轉語音API、ChatGPT語音和朗讀功能中的預設語音提供支援。</p> <p>不過，擔心避免遭到濫用，OpenAI並未對外開放這款模型。他們自2023年底開始與一小群值得信賴的合作夥伴測試模型，目前也有不少進展，比如可用來加強教育，為兒童提供閱讀協助，又或是用於翻譯，模型能將影片和Podcast翻譯成多種語言，並保留口音特色。另一個例子則與社區健康有關，可用來強化偏遠地區醫療溝通和諮詢服務，甚至，還有一家神經科學研究所用Voice Engine來輔助言語障礙患者表達。<a href="https://openai.com/blog/navigating-the-challenges-and-opportunities-of-synthetic-voices">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AR </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 室內場景 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta揭露AR新技術，用ML快速重建3D室內場景</strong></span></p> <p>最近，Meta發表一款場景生成模型SceneScript，不需依賴寫死的規則，透過機器學習就能直接推斷房間的幾何形狀，並轉換為建築元素的近似值。這個方法簡化了房間3D建模的程式，還更加輕巧，只需幾個位元組記憶體，就能產生清晰且完整的幾何形狀，而且具備可解釋性，使用者可簡單閱讀和編輯這些表示。</p> <p>為開發SceneScript，團隊先是打造一個Aria室內環境合成資料集，包括10萬個完全獨特的室內環境，每個環境都使用SceneScript語言進行描述。過程中，團隊用Aria眼鏡來收集室內環境資料，並用這些資料模擬出不同的室內環境。由於所有模擬訓練都不涉及個人資料，因此模型訓練都能確保隱私，而且在訓練後，也能使用Aria眼鏡來驗證模型。</p> <p>SceneScript的優點在於可擴展性，只要在Aria合成環境資料集中的「門」添加附加參數，就能訓練來預測物理環境中門開啟和關閉的程度。此外，透過在架構語言添加新特徵，SceneScript還能準確預測物體的位置，並進一步將這些物件拆解成組成元件，像是沙發的墊子、椅腳和扶手，設計師可用來創造真正適用於各種物理環境的增強實境內容。<a href="https://ai.meta.com/blog/scenescript-3d-scene-reconstruction-reality-labs-research/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe8-4.fna.fbcdn.net/v/t39.8562-6/434069040_708526774524906_7376808912820184909_n.png?_nc_cat=104&ccb=1-7&_nc_sid=f537c7&_nc_ohc=gUUvh_NE97EAX9pdeCa&_nc_ht=scontent.ftpe8-4.fna&oh=00_AfChH-BDv1yZBrLfCRLTXp_z8DktCqXv6ZPL9nleSBE7xQ&oe=66101655" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Neo4j </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料分析 </span></strong></span></p> <p><span style="font-size:22px;"><strong>強化資料分析和AI應用，微軟旗下服務整合Neo4j圖資料庫</strong></span></p> <p>Neo4j聯手微軟，在微軟旗下Azure OpenAI服務和Fabric分析平臺整合Neo4j圖資料庫功能，用戶可更好地處理結構化與非結構化資料，從中發現資料隱藏的模式，用來強化生成式AI應用程式。</p> <p>Azure OpenAI與Neo4j的整合，在架構上可分為知識的擷取和使用。在資料擷取上，由Azure OpenAI處理非結構化資料，將這些資料存到圖資料庫中，用戶可用Neo4j的查詢工具，來擷取有用的分析結果，而來源資料可留存在Fabric、Azure Blob儲存或其他位置。而在知識的使用上，用戶同樣可透過Azure OpenAI服務，以自然語言查詢，即便沒有圖資料庫專業知識，也能輕易上手。<a href="https://neo4j.com/blog/neo4j-microsoft-collaboration/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DBRX </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Databricks </span></strong></span></p> <p><span style="font-size:22px;"><strong>Databricks開源通用大型語言模型DBRX</strong></span></p> <p>AI業者Databricks最近開源一款通用大型語言模型（LLM）DBRX，號稱在各式標準的基準測試上超越坊間所有開源模型，也在大多數的基準測試上擊敗GPT 3.5。</p> <p>DBRX以Transformer解碼器為基礎，採混合專家（MoE）架構，具1,320億個參數，其中360億個經常處於活動狀態。該模型用12T Token的文字和程式碼資料上進行預訓練。相較市上的LLaMA2-70B、Mixtral和Grok-1等開源模型，DBRX在語言理解（MMLU）、程式設計（HumanEval）和數學邏輯（GSM8K）等基準測試上的表現明顯勝出。此外，DBRX在上述3項基準測試中也贏過GPT 3.5。DBRX目前可支援英文、法文、西班牙文和德文，不過，要執行DBRX至少得具備4個Nvidia H100 GPU或其它GPU，光一個H100就得花費數萬美元，對許多開發者或個人來說是遙不可及的。<a href="https://www.databricks.com/company/newsroom/press-releases/databricks-launches-dbrx-new-standard-efficient-open-source-models">（詳全文）</a></p> <p><img alt="" src="https://www.databricks.com/sites/default/files/inline-images/dbrx-vs-chat-infographic-image-02.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 行銷 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Adobe </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>瞄準行銷內容需求，Adobe推出GenStudio預覽版</strong></span></p> <p>日前Adobe在年度大會上，發表一款預覽版行銷人員專用的GenStudio產品，主打用生成式AI來優化內容供應鏈。進一步來說，GenStudio涵蓋跨通路行銷所需的各種工具，以生成式AI為基礎，可讓企業用來快速尋找和生成資產、打造各種作品，還能根據即時的內容效能洞察來優化體驗。比如，行銷人員可針對品牌、客戶角色及產品描述訓練AI，來產生符合需求的文案和圖像，或用AI來審查內容。</p> <p>GenStudio可分為3大特點，分別是工作流程與規畫、創造與生產、啟用與遞送，而每一特點都由不同工具支援，可整合、流暢地執行內容供應鏈。雖然GenStudio仍在預覽階段，但試用過的企業Orvis發現，制定專案計畫的時間減少75%，JLL創意團隊在兩年內的交付成果增加了250%，T-Mobile在不增加人力的前提下活動產出提高了47%。GenStudio預計今年全面上市。<a href="https://news.adobe.com/news/news-details/2024/Adobe-Announces-Generative-AI-Solutions-to-Jumpstart-Content-Supply-Chain-for-Enterprises-/default.aspx">（詳全文）</a></p> <p>圖片來源／Kuwa系統團隊、Mufeed VH、Meta、Databricks</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 美國要求每個聯邦機構設立AI長</strong></p> <p><strong>2. Claude 3 Opus模型登上LMSYS Chatbot Arena排行榜榜首</strong></p> <p><strong>3. 樂天開源懂日文和英文的語言模型RakutenAI-7B</strong></p> <p>資料來源：iThome整理，2024年4月</p> </div></div></div>
2024/4/1 12:40作者王若樸https://www.ithome.com.tw/news/162047
OpenAI、微軟傳計畫投入逾千億美元打造資料中心運行超級電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體<a href="https://www.theinformation.com/articles/microsoft-and-openai-plot-100-billion-stargate-ai-supercomputer" target="_blank">《The Information》</a>報導，微軟與OpenAI正在策畫一項資料中心專案，投入超過1,000億美元，包括打造一個使用上百萬顆GPU的AI超級電腦。</p> <p>報導引述消息人士指出，這座資料中心專案期程預計6年，預計耗資1,150億美元。專案共分5期，第5期雙方將打造名為Stargate的超級電腦，是一個座落於OpenAI公司的AI超級電腦，可能包含超過百萬顆CPU，雙方希望能在2028年上線。但在第4期還會有一座較小的超級電腦建立於微軟資料中心內，預計約在2026年上線。後者則可能提供給其他Azure客戶使用。</p> <p>報導引述消息人士指出，微軟認為，這座資料中心工程極具挑戰，因為它在現有設計下，需要在單一機架中使用的GPU比微軟經驗多太多，才能達到應有的效能。因此兩公司可能也在探索新設計。例如Stargate需要極大電力，可能高達數Gigawatt，兩公司考慮使用新種電力，像是核能。此外，OpenAI希望不要用Nvidia的Infiniband線纜，而寧願使用乙太網路。</p> <p>事實上，為了減少對Nvidia的依賴，微軟已經著手開發自有晶片。<a href="https://www.ithome.com.tw/news/159884" target="_blank">微軟去年11月公布</a>了2款自有晶片設計，其中Azure Maia 100具有1050億電晶體，將用於AI執行，而Azure Cobalt CPU則為用於雲端的Arm架構處理器。</p> <p>Stargate超級電腦將供OpenAI訓練AI模型，可能是GPT-4的下二或三代。《<a href="https://www.businessinsider.com/openai-launch-better-gpt-5-chatbot-2024-3" target="_blank">Business Insider</a>》指出下一代的GPT-5將在今年夏天上線。</p> <p>微軟對此不置可否，只表示，該公司一直持續投入基礎架構創新以推進AI能力。</p> </div></div></div>
2024/4/1 12:42作者林妍溱https://www.ithome.com.tw/news/162048
OpenAI擴大測試語音合成AI模型，用15秒樣本即可模擬真人聲音
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI上周公布<a href="https://openai.com/blog/navigating-the-challenges-and-opportunities-of-synthetic-voices" target="_blank">語音生成AI模型Voice Engine</a>初步成果，號稱只要上傳15秒的人聲樣本，及輸入文字稿，就能產生極似原說話者聲音的自然語音。</p> <p>OpenAI於2022年開始開發Voice Engine模型。這個模型已用於其OpenAI的<a href="https://platform.openai.com/docs/guides/text-to-speech" target="_blank">語音合成（TTS）API</a>及ChatGPT去年秋天上線的<a href="https://openai.com/blog/chatgpt-can-now-see-hear-and-speak" target="_blank">Voice及Read Aloud功能</a>。但OpenAI並未大加宣傳，<a href="https://openai.com/blog/chatgpt-can-now-see-hear-and-speak" target="_blank">僅低調表示Spotify使用該模型支援語音翻譯功能</a>。</p> <p>OpenAI強調，Voice Engine模型為一個小模型，但只要提供它15秒的聲音範例，它就能生成和說話者極相似的流暢話語。</p> <p>去年OpenAI也讓一些非營利組織、醫療、教學單位使用Voice Engine試用並建立使用場景。上周OpenAI也公布部分應用場景。包括一家教學軟體公司以AI語音生成技術製成學童的有聲教材，另一家說故事平臺用它將一段文本翻譯成多國語言，且保留道地腔調。一個非洲非營利組織以Voice Engine製作AI互動工具教授當地婦女哺乳知識，一家語音通訊App開發商開發出可協助語言障礙人士溝通的說話App。此外，這個AI模型還能為因病說話不清的使用者重建其聲音。</p> <p>為了防止這類功能被濫用，測試單位必須遵循OpenAI的使用政策，不得未經同意或違法模仿個人或組織的聲音，也要求原說話者需被告知且提供明顯同意。他們也不允許開發人員讓個人用戶建立模仿自己的AI人聲。合作夥伴也須清楚告知受眾，這些聲音是AI生成的。最後，OpenAI也會實作安全措施，包括為這些聲音加入浮水印以便能判別並追蹤Voice Engine生成的聲音、或監控其使用。</p> <p>藉由擴大測試Voice Engine，OpenAI除了希望帶動AI語音應用開發，提升大眾對AI語音詐騙的警覺心、推進安全政策外，也鼓勵銀行等組織淘汰以語音為基礎的身分驗證方式。</p> <p>OpenAI這項新技術可能會讓另一些工作者，如配音員擔心失業。今年2月OpenAI公開的<a href="https://www.ithome.com.tw/news/161312" target="_blank">影片生成AI模型Sora</a>生成極高品質、具有多個角色、特定動作及具備精準主題細節及背景的複雜場景影片，已震撼影像工作者。</p> <p>在OpenAI之前，其他大廠也公布了類似的AI研發成果。微軟去年9月<a href="https://www.ithome.com.tw/news/158563" target="_blank">開源超強語音合成模型VALL-E X</a>，只要輸入3到10秒個人講話的錄音，模型就能逼真合成該聲音，用另一個語言說話。</p> <p><a href="https://www.ithome.com.tw/news/161313" target="_blank">Amazon 2月宣布</a>該公司歷來最大、高達10億參數的語音合成（text-to-speech，TTS）模型BASE TTS，號稱生成的語音自然度超過現有語音合成系統。</p> </div></div></div>
2024/4/1 13:01作者林妍溱https://www.ithome.com.tw/news/162049
微軟推出能防止提示注入、偵測幻覺的Azure AI安全工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了防止Azure AI服務及模型遭輸入惡意指令產出有害內容、洩露個資，<a href="https://azure.microsoft.com/en-us/blog/announcing-new-tools-in-azure-ai-to-help-you-build-more-secure-and-trustworthy-generative-ai-applications/" target="_blank">微軟宣布提供多項工具</a>，可偵測及防範提示注入攻擊、AI幻覺、AI模型濫用等問題，目前已提供部份功能的測試。</p> <p>隨著企業及消費者普及使用生成式AI，相關風險也隨之而來，包括提示注入（prompt injection）攻擊，或是濫用AI系統漏洞等，讓AI聊天機器人做出規範以外的行為，如洩露可辨識身份的個資（personally identifiable information，PII）或企業智財。為此微軟公布一系列新工具，包括提示防護罩（Prompt Shields）及AI模型幻覺偵測、系統範本、越獄評估工具和風險與安全監控工具，即將推向Azure AI Studio給開發商開發生成式AI App。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0331-Azure%20AI%20Studio-prompt%20shield-1.png" style="width: 600px;" /></p> <p>其中提示防護罩能即時偵測並阻斷基礎模型接收到惡意提示。提示防護罩是基於去年11月微軟推出的越獄風險偵測（jailbreak risk detection）擴充。<a href="https://techcommunity.microsoft.com/t5/ai-azure-ai-services-blog/announcing-new-ai-safety-amp-responsible-ai-features-in-azure/ba-p/3983686" target="_blank">微軟說明</a>，提示注入包含直接的越獄（jailbreaks）及間接攻擊，前者使用者為攻擊者本身，利用複雜指令如思維鏈（chain-of-thought）或要求角色扮演誘導AI助理產生惡意內容或洩露資訊。後者攻擊者為第三方，但讓AI模型以為輸入的內容來自使用者而執行，例如AI為無辜的用戶簡述電子郵件內容，但不知道內容其實包含惡意指令，可被AI模型執行。間接攻擊手法更隱晦、高明而難以察覺。最新工具強化輸入提示的偵測，防範對象由原本的直接攻擊再加入間接攻擊。「提示防護罩」不久後將整合到Azure AI Content Studio之中。</p> <p>微軟還宣布了其他改善生成式AI服務安全性的工具。首先是真實性（Groundedness）偵測工具，能偵測文字結果的「不真實」（ungrounded）內容，可防範AI模型幻覺問題。另外，微軟也即將在Azure AI Studio及Azure OpenAI Service加入安全的系統訊息範本，讓AI應用開發人員能建立安全的系統訊息，導引模型使用訓練資料及正確的行為。</p> </div></div></div>
2024/4/1 11:48作者林妍溱https://www.ithome.com.tw/news/162045
【資安週報】2024年3月25日到3月29日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一星期有多個已知漏洞出現首度遭利用的消息，其中1個是短短一週前才修補，就發現被利用於攻擊行動，因此特別受關注，那就是Fortinet端點管理伺服器FortiClient EMS的漏洞CVE-2023-48788。</p> <p>其他近期確認遭鎖定利用的已知漏洞，還包括：微軟SharePoint Server的漏洞（CVE-2023-24955），Ivanti EPM CSA的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-44529">CVE-2021-44529</a>），以及門禁解決方案Nice Linear eMerge E3-Series OS的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2019-7256">CVE-2019-7256</a>）。後兩項本期資安日報尚未提及，一併補上。</p> <p>另補充<a href="http://www.ithome.com.tw/news/162040">周末一則最新消息是關於XZ Utils資料壓縮程式遭植入後門</a>，紅帽已指派漏洞CVE-2024-3094，由於此事件涉及SSHD（Secure Shell Daemon）供應鏈攻擊，正受廣泛關注。</p> <p>關於零時差漏洞攻擊的最新態勢，持續受大眾關注，隨著2023年過去，最近Google公布這方面的年度報告，我們認為，有3個現象值得大家關注：（一）針對第三方元件攻擊顯著增加；（二）針對企業裝置、資安產品攻擊，比往年增長近5成，（三）中國政府支持駭客組織發動的攻擊大增，去年利用了12個零時差漏洞發動攻擊。</p> <p>此外，關於上述提到中國駭客組織的危害，最近另一起資安新聞也提到這方面的狀況。最近美國方面有新的消息，該國司法部起訴7名參與APT31的中國公民，其財政部也宣布制裁武漢曉睿智科技（Wuhan XRZ），已確認這是一家幌子公司，背後是負責APT 31行動的中國湖北省國家安全局設立。在此同時，還有多國網路安全機構與執法單位，出面指控近年遭到中國政府支持駭客組織的攻擊，包括英國、芬蘭、紐西蘭與澳洲等。</p> <p>在最近的資安威脅態勢上，殭屍網路TheMoon的攻擊活動，是本星期的一大焦點事件。這是因為，雖然它的攻擊目標都是挾持生命週期終止（EOL）的家用及小型辦公室（SOHO）路由器、物聯網設備，但最近短短72小時內，竟有超過6千臺華碩路由器被攻佔。</p> <p>在其他威脅態勢方面，有勒索軟體與網釣工具的揭露，值得企業與資安研究人員重視，還有一些攻擊技術與資安風險的揭露，雖然存在於不同領域，但可能的危害情境貼近於生活日常，引發許多人的好奇與重視，我們整理如下：</p> <p>●勒索軟體Agenda的攻擊在去年底顯著增加，如今更是發現，攻擊活動中會利用嵌入勒索軟體檔案的PowerShell指令碼，對VMware ESXi、vCenter進行橫向感染，竄改ESXi主機root密碼。</p> <p>●網路犯罪領域有新的攻擊工具出現，被不同資安業者揭露，例如，半年多前現身的Tycoon 2FA的AiTM網釣攻擊套件，最近有被廣泛使用的情形；還有網路釣魚套件工具包Darcula，是針對手機用戶而來。</p> <p>●飯店業者注意！全球數百萬間的飯店房門能被一張複製的偽造鑰匙卡破解，有資安研究人員發現，經常被應用在飯店與住宅大樓Saflok系統的RFID電子鎖產品有漏洞（Unsaflok），由於門鎖更新或更換耗時，五個月來進度僅完成36%。</p> <p>●Google搜尋引擎近期加入SGE功能，將生成式AI融入搜尋結果，但有人發現給出的結果中，會推薦垃圾網站及惡意網站，推測可能是SEO中毒攻擊造成。</p> <p>●資安部落格<a href="https://krebsonsecurity.com/2024/03/recent-mfa-bombing-attacks-targeting-apple-users/">KrebsonSecurity指出最近出現針對蘋果用戶的「MFA轟炸」攻擊</a>，這種釣魚攻擊，涉及一個看似蘋果密碼重置功能的漏洞。雖然近期資安日報尚未報導這方面消息，但已引發不小的討論與關注。</p> <p>另外，防禦態勢上，這星期有兩項新進展，成為資安圈與開發圈的焦點。例如，上星期Pwn2Own漏洞挖掘大賽舉行，參賽的資安研究人員在8個競賽類別總計找出29個零時差漏洞，除了研究人員共獲得113萬美元的獎勵，提供產品的廠商後續也將針對這些漏洞予以修補，目前Firefox、Google以針對各自不同的2個漏洞進行修補。</p> <p>另一是美國CISA發布第4則Secure by Design Alert，強調SQL注入漏洞不該一再發生，他們並以去年駭客利用MOVEit Transfer漏洞大舉入侵為例，呼籲開發人員、軟體製造商在出廠前務必審查程式碼是否含有SQL注入漏洞。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/161940"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月25日】俄羅斯駭客APT29鎖定德國政黨散布惡意程式WineLoader</span></strong></a></h3> <p style="margin: 0px;">近期俄羅斯駭客APT29的動作頻頻，多國政府與資安專家接連對其攻擊行動提出警告，呼籲各界強化防禦措施，以防對方從事網路間諜活動、竊取組織內部機密的情況。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">但近期有一起攻擊衝著德國政黨而來，揭露此事的資安業者Mandiant認為對方別有目的，很有可能是為了影響該國政治情勢。</p> <p><a href="https://www.ithome.com.tw/news/161956"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月26日】Google搜尋提供的AI建議竟列出詐騙網站和惡意網站</span></strong></a></p> <p>去年5月Google在I/O大會宣布啟動搜尋引擎的<a href="https://blog.google/products/search/generative-ai-search/">生成式搜尋體驗（Search Generative Experience，SGE）專案</a>，今年初開放部分用戶使用，可在完成搜尋後一併得到生成式AI的建議，然而，有專家發現，SGE竟會提供垃圾網站及惡意網站作為參考資料。</p> <p>對此，有研究人員進行調查，並指出可能是遭遇SEO中毒所致。</p> <h3><a href="https://www.ithome.com.tw/news/162004"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月27日】AiTM網釣攻擊工具包Tycoon 2FA針對微軟365、Google用戶而來</span></strong></a></h3> <p style="margin: 0px;">為了突破雙因素驗證（2FA）的防護機制，駭客採用中間人攻擊（AiTM）網釣攻擊套件的情況相當氾濫，最近出現新型態的工具包Tycoon 2FA，在短短半年內，已有駭客採行而濫用超過1千個網域，引起研究人員關注。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">值得留意的是，這個套件採用多階段攻擊流程，其產生的釣魚郵件不僅具有URL，也有出現QR Code的情況，這代表行動裝置用戶也可能是對方攻擊的目標。</p> <h3><a href="https://www.ithome.com.tw/news/162015"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月28日】殭屍網路TheMoon挾持4萬臺SOHO路由器、物聯網裝置供網路罪犯藏匿蹤跡</span></strong></a></h3> <p style="margin: 0px;">駭客鎖定路由器、物聯網裝置等小型辦公室（SOHO）及家用網路設備發動攻擊，控制後將其組成殭屍網路，已有多起攻擊行動出現，但大多還是針對有受到支援的設備而來，如今有駭客專門針對已不再受到廠商支援的設備下手，暗中從事攻擊行動長達10年，直到最近才被發現。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">值得留意的是，這些駭客挾持設備後，專門提供網路罪犯代理伺服器服務，甚至有其他殭屍網路的經營者也是他們的客戶。</p> <h3><a href="https://www.ithome.com.tw/news/162031"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月29日】研究人員揭露專門針對行動裝置的新型態網釣工具包Darcula</span></strong></a></h3> <p style="margin: 0px;">近期攻擊者大肆利用網路釣魚攻擊工具套件（Phishing Kit）的情況浮上檯面，繼本週有研究人員揭露專門挾持微軟365、Google帳號的套件Tycoon 2FA，鎖定行動裝置用戶的作案工具也相當值得留意。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">有資安業者揭露名為Darcula的網釣攻擊套件，並指出與其他同樣針對行動裝置而來的工具最大的不同，就是採用全程加密的通訊方式，向攻擊目標傳送誘騙內容。</p> </div></div></div>
2024/4/1 10:13作者羅正漢https://www.ithome.com.tw/news/162041
使用SSHD連接到系統的用戶當心！因為駭客供應鏈攻擊鎖定XZ Utils庫植入隱密後門，多個Linux發行版受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員Andres Freund在<a href="https://www.openwall.com/lists/oss-security/2024/03/29/4">Openwall公布</a>一起涉及SSH伺服器的供應鏈攻擊狀況，並指出問題出在XZ Utils資料壓縮程式庫被植入後門，另也說明<a href="https://access.redhat.com/security/cve/CVE-2024-3094#cve-faq">Red Hat已將此漏洞指派為CVE-2024-3094</a>，且給出CVSS v3風險層級滿分10分。</p> <p>此事件影響廣泛，Andres Freund表示，他是在調查SSH登入變慢相關問題時，最初以為發現debian裡面的套件包被入侵，但事實上是來自上游的問題，XZ程式庫與XZ的tarball檔案被植入後門，也就是軟體供應鏈攻擊。這也再次顯現開源軟體供應鏈安全的重要性。</p> <p>關於這個後門的影響，在<a href="https://www.redhat.com/en/blog/urgent-security-alert-fedora-41-and-rawhide-users">Red Hat發布的緊急安全通告</a>中也有說明，惡意程式碼修改了XZ Utils套件中名為liblzma部分程式碼的功能，這也導致每一軟體連結到XZ Utils，並允許變更與程式庫一起使用的資料，都會受到影響。而Freund所觀察到的例子，在某些特定條件下，這個後門可讓攻擊者繞過SSHD（Secure Shell Daemon）的身分認證機制，進而針對受影響的系統做到未經授權的存取。</p> <p>至於有哪些版本受影響，以XZ Utils資料壓縮程式庫而言，Andres Freund指出受影響的版本是XZ Utils的5.6.0和5.6.1；以其他使用XZ Utils的軟體系統而言，目前已確認多個多個Linux發行版本受影響，包括：Fedora Rawhide、Fedora 41、Kali Linux、openSUSE Tumbleweed與openSUSE MicroOS，以及部分Debian版本。</p> <p><a href="https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=11015">美國CISA也已經對此提出警告</a>，並建議建議開發人員與使用者可先將XZ Utils降級、恢復到未被入侵的版本，如XZ Utils 5.4.6穩定版。同時用戶也該進行事件回應、清查入侵狀況，以確定是否已經受到後門的影響。</p> </div></div></div>
2024/3/30 22:23作者羅正漢https://www.ithome.com.tw/news/162040
Nvidia在Llama 2 70B與Stable Diffusion XL模型基準測試皆拔得頭籌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>MLCommons發布了<a href="https://mlcommons.org/2024/03/mlperf-inference-v4/" target="_blank">MLPerf Inference v4基準測試套件的最新結果</a>，其中資料中心分類新增了文生圖模型Stable Diffusion XL和開源語言模型Llama 2 70B，在這兩個新模型的效能表現上，Nvidia系統皆位居第一。而邊緣系統新增的Stable Diffusion XL模型測試，則由Wiwynn提交的系統在效能上獲得領先。</p> <p>MLPerf Inference基準測試套件涵蓋資料中心和邊緣系統，目的是要衡量硬體系統，在各種場景中執行人工智慧與機器學習模型的速度。MLCommons由專門的工作小組，評估當前階段生成式人工智慧的發展，決定納入基準測試的模型。</p> <p>在考量模型授權、易用性、部署和決策的準確性，工作小組決定在Inference 4.0套件中加入兩個新模型，一個是具有700億參數的Llama 2 70B來代表大型模型，另一個則選擇用來代表文生圖生成式人工智慧模型的Stable Diffusion XL。</p> <p>Llama 2 70B相比MLPerf Inference v3.1所納入的GPT-J模型大一個量級，結果也更加準確，工作小組解釋，之所以需要加入一個像是Llama 2 70B這樣的大型語言模型，是因為與較小的語言模型相比起來，執行Llama 2 70B需要不一樣的等級的硬體，而這便成為高階系統一個良好的基準。</p> <p>而之所以工作小組還選擇Stable Diffusion XL，則是因為其擁有26億參數，透過生成大量圖像，基準測試能夠計算延遲和吞吐量等指標，了解系統整體效能。目前MLPerf Inference v4.0中已經有三分之一的基準測試，是針對生成式人工智慧工作負載，包括了小型、大型語言模型與文生圖生成器，以確保MLPerf Inference基準測試可以跟上最先進的技術。</p> <p>共有23個組織提交MLPerf Inference 4.0測試結果，包括ASUSTeK、Azure、Google、Intel、Juniper Networks、Qualcomm、Red Hat、Supermicro與Wiwynn等公司，MLCommons共收到8,500個效能結果以及900個功耗測試結果。</p> <p>MLPerf Inference 4.0資料中心類別中，Nvidia的系統在新加入的兩個模型測試Llama 2 70B與Stable Diffusion XL，皆拿到了效能表現第一，而在邊緣環境的類別，則是由Wiwynn所提交，使用兩個Nvidia L40S GPU所組成的系統，獲得Stable Diffusion XL模型效能表現第一。</p> </div></div></div>
2024/3/29 19:49作者李建興https://www.ithome.com.tw/news/162037
美國要求每個聯邦機構設立AI長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2024/03/28/fact-sheet-vice-president-harris-announces-omb-policy-to-advance-governance-innovation-and-risk-management-in-federal-agencies-use-of-artificial-intelligence/" target="_blank">美國行政管理和預算局（Office of Management and Budget，OMB）周四（3/28）發布</a>第一個橫跨所有美國政府機構的人工智慧（AI）政策，在減輕AI風險的同時也利用AI優勢，同時實現美國總統拜登（Joe Biden）去年10月所<a href="https://www.ithome.com.tw/news/159572" target="_blank">簽署的首個AI行政命令</a>。OMB所揭露的其中一項政策，便是要求每一個聯邦機構都必須設立負責主導與執行AI政策的AI長（Chief AI Officer，CAIO）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-biden-ai-excutive%20order-960.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／美國白宮</span></span></p> <p>本周OMB的新政策主要是依據拜登的行政命令所制定，包括解決使用AI所帶來的風險，擴大使用AI的透明度，推動負責任的AI創新，發展AI人力，以及強化AI的治理，其中，在強化治理上即要求每個聯邦機構都必須設立AI長，以主導及監督機構對AI的使用。</p> <p>根據<a href="https://www.whitehouse.gov/wp-content/uploads/2024/03/M-24-10-Advancing-Governance-Innovation-and-Risk-Management-for-Agency-Use-of-Artificial-Intelligence.pdf" target="_blank">OMB所頒布的完整政策</a>，各個聯邦機構必須在60天內指定AI長，也可指定既有的官員擔任，理想人選包括資訊長、資料長、技術長或其他具備類似能力的對象。</p> <p>這些CAIO的職責主要是與其它相關機構及官員協調對AI的使用，推動AI創新，管理AI風險。具體任務包括作為機構的AI高級顧問，建立必要的AI治理與監督流程，掌握機構對AI的使用，參與機構的AI政策制定，辨識哪些任務可以採用AI，移除使用AI的門檻，監督AI使用是否合乎規定，以及進行機構內AI應用的風險評估等。</p> <p>總之，OMB希望藉由每一個聯邦機構內的CAIO來負責推動及履行其AI政策。此外，美國政府也承諾會在今年夏天聘請100名AI專家，以促進AI的可靠性與安全使用。</p> </div></div></div>
2024/3/29 17:20作者陳曉莉https://www.ithome.com.tw/news/162036
零售IT雙周報第31期：自助結帳退燒？2大美國零售商縮減自助結帳機使用的理由
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0317~0330)</strong></p> <p>疫情中，無接觸結帳成為零售業熱門議題，帶動自助結帳機市場快速成長。不過，到了後疫情時代，消費者偏好開始改變，許多自助結帳的問題也開始浮現，使不少零售業者逐漸減少對自助結帳的依賴。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#自助結帳</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#財貨損失</span></span><br /> 省了人事虧了商品！美國連鎖五元店Five Below將降低自助結帳比例以降低財貨損失</strong></p> <p>分店超過1,400家的美國連鎖五元店Five Below，近年為了降低店員人事成本，大量引進自助結帳機。不過，<a href="https://www.fool.com/earnings/call-transcripts/2024/03/20/five-below-five-q4-2023-earnings-call-transcript/">最近法說會中，Five Below</a> CEO Joel Anderson宣布將逐漸減少店內自助結帳機，來防止店內商品損失。商品損失原因不只有遭外人竊盜，還有消費者漏刷誤刷、商品遺失、店員竊盜等。</p> <p>Joel Anderson說明，他們半年來測試了許多防止商品損失的措施，包括部署更多警衛等，但更有效的做法，還是減少自助結帳機跟部署更多店員。現在，Five Below不再有無人店，且高商品損失率門市會改回以真人結帳為主要結帳管道。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#自助結帳</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#結帳效率</span></span><br /> Target靠限制自助結帳商品數量，提升了2倍結帳效率</strong></p> <p>無獨有偶的，美國生鮮百貨巨頭<a href="https://corporate.target.com/press/fact-sheet/2024/03/checkout-improvements">Target也決定調整自助結帳政策</a>。他們在部落格中寫道，疫情期間，消費者非常愛用自助結帳機，是因為其無接觸特性。現環境下，消費者更注重簡單和便利，因此零售業者該優先考量如何快速消化結帳隊伍。</p> <p>Target採取的策略是，將自助結帳機作為快速結帳線。根據半年A/B測試結果，他們發現，當自助結帳機只接受10件或以下商品，自助結帳動線便能消化2倍顧客數量。為了增加門市結帳效率，他們將全面採用這個商品數限制政策，同時加開更多人工結帳動線。</p> <p>許多零售業者乘著自助結帳熱潮，投資自助結帳機來降低人事成本。Target則從疏通結帳人潮出發，反而投入更多店員於結帳，並將自助結帳機定位為分流工具，而非人工結帳的替代品。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#物流規畫工具</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#路線規畫</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#貨車空間優化</span></span><br /> Walmart將自家物流規畫系統作為SaaS商品販賣</strong></p> <p><a href="http://https://corporate.walmart.com/news/2024/03/14/walmart-commerce-technologies-launches-ai-powered-logistics-product">零售龍頭Walmart</a>將把自家物流規畫系統<a href="https://commerce.walmart.com/content/walmart-commerce-tech/en_us/our-solutions/route-optimization.html">Route Optimization</a>作為SaaS商品販賣給其他零售商。功能包含送貨路線及回頭車路線規畫、貨車裝載優化、物流阻礙應對等。</p> <p>送貨路線及回頭車路線規畫功能，不只會根據時間及地點，還會考慮每一站規定到貨時間。貨車裝載優化功能會根據空間利用率及生鮮商品溫度控制需求，來分配貨車載貨空間。物流阻礙應對功能會因應天氣、交通等情況，快速調整物流規畫。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#開店平臺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#直播電商</span></span><br /> Momo推出RMN、開店平臺及直播節目製作工具</strong></p> <p>Momo去年3月透露進軍廣告業務的意圖後，於同年第4季上線RMN服務Momo Ads。這是個一站式自助投廣平臺，供應商要使用廣告服務，不需事先串接任何系統。廣告採取即時競價機制（RTB，Real-time Bidding），由Momo打造的推薦演算法和CTR/CVR預估模型，來進行精準行銷及行銷成效估算。</p> <p>除了推出投廣平臺，Momo還推出了開店平臺及直播用App，要推動旗下B2B2C電商及直播電商。開店平臺目前採邀請進駐制，希望招募商品品項少量多樣的店家，販售傳統B2C電商不容易找到的商品。直播App則是讓平臺上商家能自行製作簡單直播電商節目，不再只能上Momo官方頻道直播。（<a href="http://https://www.ithome.com.tw/news/161959">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#降低RMN技術門檻</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#第一手零售數據</span></span><br /> 不用自行打造RMN！Google將開放零售商用第一手數據經營搜尋廣告業務</strong></p> <p>即使手握大量第一手顧客及交易數據，零售業者要用這些數據來發展RMN等數位行銷業務，難免需要投入大量開發人力及時間成本，形成技術及資本門檻。不過，<a href="https://blog.google/products/marketingplatform/360/empowering-the-retail-media-ecosystem-with-search-ads-360/">Google搜尋廣告服務Search Ads 360近期開放零售業者用第一手數據在該平臺上經營廣告業務，</a>有望打破現狀。</p> <p>這個新模式的運作方法是，零售業者可以選擇開放特定廣告主使用自家數據來支援精準行銷，並管控數據共享內容，例如只給合作品牌相關的行銷數據及銷售數據。不過，若廣告主同時獲得多家零售業者授權使用數據，廣告主便能整合不同家零售業者數據來投放廣告。這種模式不只能降低零售業者變現數據為廣告收入的難度，還有助於他們拓展自家RMN服務範疇，甚至打破RMN與其他數位行銷通路的隔閡。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#汽車經銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#數位素材製作</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#數位內容管理</span></span><br /> 汽車經銷商Vospers導入AI圖像素材處理工具，降低線上賞車內容的製作門檻</strong></p> <p>拍出清晰、有質感的汽車照片，來強化線上賞車體驗，是汽車經銷商一大課題。<a href="https://www.auto-imaging.com/articles/vospers-introduces-new-digital-imaging-tech/">英國汽車經銷商Vospers導入AI圖像素材處理工具</a>，以加速數位素材製作，並強化線上賞車體驗。門市銷售員用手機拍攝汽車外觀時，此工具會根據汽車廠牌規格來提示銷售員拍攝角度，並快速檢查照片品質。此工具接著會自動去背並加入統一照片背景，還能根據汽車規格及照片，生成介紹影片。</p> <p>上傳數位素材到賞車網站後，此工具還有簡單的內容管理系統（CMS）功能，方便總部統一管理這些素材。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#會員經營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#雲端技術</span></span><br /> 日本全家揭露自家用雲端技術支援數位會員經營的做法</strong></p> <p>日本全家便利商店近日揭露自家用雲端技術支援會員經營的做法。日本全家經營會員的核心工具是支付App FamiPay，下載量超過1900萬次，有個人化行銷、數位內容呈現、集點等功能。此App後臺串接了全家以外許多金融、零售及其他行銷生態系的系統，搭配日本全家每個月同時進行60個以上行銷活動，需要處理大量且複雜的數據。</p> <p>不只平時數據流量大，早餐與中餐時段，數據流量還會再增加。因應這種周期性波動，他們將App上不同的服務及資料庫建置於Amazon EC2、ECS、Aurora、RDS等環境，以根據交易量彈性調整IT資源使用量。並且，啟用公有雲上的災難恢復和資料備份功能，以在意外發生時，能最小化服務中斷時間。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多零售IT動態：</span></strong></span></p> <p>1. 開店平臺Shopline新增<a href="https://blog.shopline.tw/photoroom-shopline-ai/">AI圖像編輯工具</a>及<a href="https://blog.shopline.tw/shopline-wavenet-cdp/">CDP功能</a></p> <p>2. WSJ報導，<a href="http://https://www.wsj.com/business/shein-to-market-its-unique-supply-chain-technology-to-global-brands-32fa0ed8">快時尚電商Shein也有意將自家供應鏈管理技術商品化</a></p> <p>3. <a href="https://www.businesswire.com/news/home/20240314778881/en/Walmart-and-unspun-Collaborate-on-3D-Fabric-Weaving-Technology-Aiming-To-Reduce-Apparel-Manufacturing-Waste-and-Drive-US-Based-Manufacturing">Walmart開始嘗試運用3D編織技術來生產自家旗下衣著產品線</a>，以期降低碳足跡及布料浪費</p> <p>資料來源：iThome整理，2023年3月</p> <p>責任編輯：郭又華</p> <p> </p> </div></div></div>
2024/3/29 17:27作者郭又華https://www.ithome.com.tw/news/162035
中華電信、遠傳將在6/30前關閉3G網路，手機不支援VoLTE將無法通話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內3G網路關閉進入百日倒數!中華電信、遠傳電信相繼宣布獲NCC同意，將在6月30日前關閉3G網路，台灣大哥大也可望跟進，現有用戶如果手機沒有支援VoLTE將無法通話，為保持通話，用戶應儘快檢查手機是否支援VoLTE。</p> <p>中華電信表示，3G網路在國內已使用近20年，關閉3G網路後，未來釋出頻率、基地臺站點資源將轉投入5G，以提升5G服務品質。3G網路關閉後，4G與5G的語音通話將改為VoLTE（Voice over LTE），即4G的網路語音通話服務，中華已在2017年開始提供VoLTE，2018年1月起銷售的新手機支援VoLTE，2022年12月開始旗下用戶免費提供VoLTE通話服務。</p> <p>中華電信用戶如果想確認現在使用的手機是否已使用VoLTE通話，以三星手機為例，如果已使用VoLTE，手機右上角顯示VoLTE字樣。中華電信官網也提供用戶查詢使用的SIM卡及手機是否支援VoLTE。</p> <p>另一家電信業者在6月30日前關閉3G網路後，也將資源轉投入4G與5G服務，由於仍有少數用戶使用的手機不支援VoLTE，通話採用3G行動語音通話，遠傳電信也針對低資費用戶、銀髮族祭出月租費149元，來吸引用戶升級新手機，以支援VoLTE網路語音通話。</p> <p>遠傳電信指出，目前在國際上，隨著4G、5G服務的普及，3G逐漸功成身退，美國已全部換為VoLTE，日本的SoftBank也將在4/15關閉3G網路，未來轉為VoLTE網路語音通話之後，4G用戶不再像過去語音通話需CSFB，以3G網路通話，導致同時間4G上網變慢，VoLTE讓4G用戶語音通話的同時，維持4G網路瀏覽的品質。VoLTE也享有較好的語音通話品質，聲音較為清晰，並且接通電話縮短至最快只要1秒。</p> <p>台灣大哥大截稿為止，尚未發布訊息，但根據NCC先前對外宣布，國內3家電信都會在第2季之前關閉3G網路，中華電信、遠傳電信先後宣布3G網路將在6月30日前退場之後，台灣大哥大相信也會在相近時間點關閉3G網路。</p> </div></div></div>
2024/3/29 15:33作者蘇文彬https://www.ithome.com.tw/news/162033
加密貨幣交易平臺FTX創辦人SBF因詐欺被判刑25年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，美國聯邦法官Lewis Kaplan周四（3/28）裁定，加密貨幣交易平臺FTX創辦人暨執行長Sam Bankman-Fried（SBF）因詐欺等7項罪名，應入獄服刑25年，同時也要求SBF必須繳納110億美元的罰款。</p> <p>現年32歲的SBF是在2019年與Gary Wang共同創立了FTX，並擔任FTX執行長，擁有一頭不羈捲髮的SBF在2021年便登上了富比士30位30歲以下精英榜（Forbes 30 Under 30），FTX在2022年還創下了320億美元的市值，並推升SBF成為全美前五十大最富有的人之一。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-FTX-SBF-%E7%BF%BB%E6%94%9D%E8%87%AA%E7%B6%B2%E8%B7%AF.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">翻攝自網路</span></span></p> <p>然而，快速崛起的FTX與SBF也迅速殞落，加密貨幣媒體<a href="https://www.coindesk.com/business/2022/11/02/divisions-in-sam-bankman-frieds-crypto-empire-blur-on-his-trading-titan-alamedas-balance-sheet/" target="_blank">《CoinDesk》在2022年11月2日踢爆</a>，FTX與同樣由SBF創辦的做市商Alameda Research之間的關係過於緊密，並有不正常的資金流動關係，消息曝光後FTX即<a href="https://www.ithome.com.tw/news/154101" target="_blank">出現擠兌現象</a>，FTX所發行的加密貨幣FTT價格也開始下滑，一周後SBF即出面<a href="https://www.ithome.com.tw/news/154152" target="_blank">坦承自己搞砸了</a>，十天後（11/11）FTX便<a href="https://www.ithome.com.tw/news/154165" target="_blank">聲請破產保護</a>。</p> <p>在美國政府的要求下，巴哈馬警方在2022年的12月12日逮捕了已把FTX總部搬到當地的SBF，隔天美國即正式<a href="https://www.ithome.com.tw/news/154700" target="_blank">控告SBF</a>。去年11月，<a href="https://www.justice.gov/usao-sdny/pr/statement-us-attorney-damian-williams-conviction-samuel-bankman-fried" target="_blank">SBF被判處了7項罪名</a>，主要為各種詐欺及洗錢，最高可判處110年刑期。</p> <p>在FTX創立3年多以來，總計投資或成立了逾130家關係企業，SBF不僅擅自將FTX客戶的資金轉移到Alameda Research，還利用Alameda Research的名義展開風險投資、購買房地產及進行政治捐款。在FTX申請破產保護之後接手執行長的John Ray指出，在SBF帶領下的FTX於2021年至2022年間進行一場消費狂潮，大撒50億美元的資金投資與購買了許多不值錢的企業，而且FTX與Alameda Research之間的資產混淆不清，還借給內部人員逾10億美元。</p> <p>Ray更說這輩子從未看過有如FTX般混亂的企業內控，FTX用來儲存客戶資產的系統與金鑰缺乏安全控制，該平臺亦無財務或風險管理人員，整個集團亦缺乏獨立治理能力。</p> <p><a href="https://storage.courtlistener.com/recap/gov.uscourts.nysd.590940/gov.uscourts.nysd.590940.410.0_2.pdf" target="_blank">美國檢察官認為</a>SBF至少讓投資人損失超過100億美元，要求法官判處40~50年的刑期。而根據<a href="https://www.coindesk.com/policy/2024/03/28/sam-bankman-fried-ftx-sentencing/" target="_blank">《CoinDesk》</a>的報導，法官Kaplan同意SBF對債權人造成了巨大傷害，卻在作證期間明顯缺乏悔意，這主要是因為SBF的律師群的辯解策略為將他描述成一個書呆子，是根據數學而非惡意作出各種決定。</p> </div></div></div>
2024/3/29 16:14作者陳曉莉https://www.ithome.com.tw/news/162034
【資安日報】3月29日，研究人員揭露專門針對行動裝置的新型態網釣工具包Darcula
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期攻擊者大肆利用網路釣魚攻擊工具套件（Phishing Kit）的情況浮上檯面，繼本週有研究人員揭露專門挾持微軟365、Google帳號的套件Tycoon 2FA，鎖定行動裝置用戶的作案工具也相當值得留意。</p> <p>有資安業者揭露名為Darcula的網釣攻擊套件，並指出與其他同樣針對行動裝置而來的工具最大的不同，就是採用全程加密的通訊方式，向攻擊目標傳送誘騙內容。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.netcraft.com/blog/darcula-smishing-attacks-target-usps-and-global-postal-services/"><strong style="font-size: 22px;">iPhone用戶遭到網釣攻擊套件Darcula鎖定，藉由iMessage散布釣魚簡訊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Darcula-5-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Darcula-5-2.png" style="width: 300px; float: right;" /></a>資安業者Netcraft揭露針對手機用戶而來的網路釣魚套件工具包Darcula，開發這項產品的人以服務租用型式（Phishing-as-a-Service，PhaaS）供應市場，此攻擊套件濫用2萬個網域、假冒各式知名品牌、針對超過100國家的用戶而來。</p> <p>這個網釣套件在去年夏天首度被發現，但研究人員指出，駭客利用該工具的情況越來越氾濫，他們解析套件的內容，指出與其他同類型攻擊工具相當不同，Darcula採用JavaScript、React、Docker、Harbor等技術，使得開發者能持續加入新功能，用戶無須重新部署工具包就能導入。買家一旦取得工具包，可指定範本執行安裝指令碼，將採用React開發的釣魚網站部署到Docker環境，並透過Harbor管理Docker映像檔。提供服務的開發者通常透過.top、.com頂級網域名稱（TLD）代管買家所需網域，其中近三分之一是採用Cloudflare的服務。</p> <p>別於其他針對手機的網釣套件採用SMS簡訊傳遞誘騙內容，Darcula則是透過iMessage攻擊iPhone用戶，而對於安卓手機，對方則是透過進階通訊解決方案（Rich Communication Services，RCS）來進行，原因是這兩種管道都採用全程加密，使得資安系統難以解析、過濾。</p> <p><a href="https://securelist.com/dinodasrat-linux-implant/112284/"><strong style="font-size: 22px;">木馬程式DinodasRAT鎖定Linux主機而來，攻擊範圍涵蓋臺灣、中國、土耳其</strong></a></p> <p>去年10月資安業者ESET揭露Operation Jacana攻擊行動，當中提及駭客使用名為DinodasRAT（亦稱XDealer）的惡意程式攻擊蓋亞那政府，但如今有研究人員發現，駭客不只針對Windows電腦，也對於Linux作業系統打造對應的惡意程式。</p> <p>資安業者卡巴斯基指出，他們在ESET公布上述事故後，發現Linux版本的DinodasRAT，該惡意程式主要針對以Red Hat為基礎的Linux作業系統，以及Ubuntu而來，一旦啟動將先檢查受害環境，然後藉由呼叫daemon功能函數在後臺運作、利用SystemV或SystemD執行指令碼，以及透過主要處理程序的ID（PPID）重新啟動惡意程式的方式，以便持續於受害電腦上運作。</p> <p>研究人員指出，對方疑似在2021年打造出第1個版本Linux惡意程式，並在次年用於攻擊行動，根據遙測資料，臺灣、中國、土耳其、烏茲別克是受害最嚴重的國家。</p> <p><a href="https://www.bleepingcomputer.com/news/security/cisco-warns-of-password-spraying-attacks-targeting-vpn-services/"><strong style="font-size: 22px;">思科針對啟用VPN功能的防火牆用戶提出警告，疑與殭屍網路攻擊有關</strong></a></p> <p></p> <p>3月26日<a href="https://www.cisco.com/c/en/us/support/docs/security/secure-firewall-threat-defense/221806-password-spray-attacks-impacting-custome.html">思科發布資安公告</a>，指出他們得知啟用遠端存取VPN服務（RAVPN）的防火牆遭遇密碼潑灑（password spray）攻擊的情況，對此該公司提供入侵指標（IoC）及防禦建議。</p> <p>研究人員Aaron Martin認為，上述公告很可能與<a href="https://annoyed.engineer/2024/03/23/the-brutus-botnet/">名為Brutus的殭屍網路攻擊行動</a>有關，他與另一名研究員Chris Grube在3月15日發現該殭屍網路，他們找到超過2萬個與之有關的IP位址，對方針對Fortinet、Palo Alto Networks、Sonicwall、思科等多個廠牌的SSL VPN系統發動攻擊。</p> <p>特別的是，為了迴避偵測，此殭屍網路發動攻擊時，每嘗試6次登入就會更換1組IP位址。而對於攻擊者的身分，研究人員表示仍不清楚，但他們發現其中2個IP位址曾被俄羅斯駭客組織APT29利用。</p> <p><a href="https://www.bleepingcomputer.com/news/security/pypi-suspends-new-user-registration-to-block-malware-campaign/"><strong style="font-size: 22px;">為因應惡意軟體攻擊，PyPI套件庫再傳暫停用戶註冊、成立新專案</strong></a></p> <p></p> <p>3月28日PyPI維護團隊表示，<a href="https://status.python.org/incidents/dc9zsqzrs0bv">他們暫停成立新專案、新用戶註冊</a>，原因是遭遇了惡意軟體上傳攻擊行動。</p> <p>針對這起事故，<a href="https://checkmarx.com/blog/pypi-is-under-attack-project-creation-and-user-registration-suspended/">資安業者Checkmarx指出</a>，他們看到攻擊者在前一天就上傳365個惡意套件，這些套件的名稱偽裝成合法專案，其共通點是在安裝組態設定檔setup.py裡含有惡意程式碼，一旦開發者安裝惡意套件，電腦就會從遠端伺服器取得額外酬載，最終開發者的電腦會被植入竊資軟體。為了迴避偵測，對方利用名為Fernet的模組對惡意程式碼進行加密處理，遠端伺服器的URL也是動態產生。</p> <p><a href="https://blog.checkpoint.com/securing-the-cloud/pypi-inundated-by-malicious-typosquatting-campaign/">資安業者Check Point也對此公布他們的觀察</a>，指出駭客前後分兩個階段，總共上傳超過500個惡意套件，值得留意的是，每個開發者帳號只會上傳1個套件，因此他們推測，對方應是透過自動化的方式從事攻擊。而這已非PyPI因類似的資安事故採取類似行動，去年5月20日，他們就因遭遇大量惡意惡意軟體上傳而暫停用戶註冊、建立新專案。</p> <p><a href="https://finance.ettoday.net/news/2708466"><strong style="font-size: 22px;">華南永昌證券員工透過Line洩露客戶下單資料，遭停職1個月，公司被罰30萬</strong></a></p> <p></p> <p>3月27日金管會證期局發布公告，指出證券商業同業公會於去年12月5日對華南永昌證券進行專案查核，發現海外商品部王姓業務人員將客戶委託下單的資料，分享至公司Line群組，他們依證券交易法第56條，停止該員1個月業務予以處分。</p> <p>而對於公司的部分，金管會認為華南永昌證券未善盡監督管理責任，以及未落實執行內部控制制度，依照證券交易法第178條之1第1項第4款規定，處30萬元罰鍰。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://labs.guard.io/cve-2024-21388-microsoft-edges-marketing-api-exploited-for-covert-extension-installation-879fe5ad35ca"><strong style="font-size: 22px;">微軟Edge瀏覽器存在漏洞，攻擊者有可能暗中植入惡意延伸套件</strong></a></p> <p>資安業者Guardio揭露去年11月向微軟通報的漏洞CVE-2024-21388，此漏洞存在於Edge瀏覽器，攻擊者可針對支援市場行銷活動的API進行濫用，在使用者不知情的情況下部署具有多種權限的擴充功能。</p> <p>對此，微軟獲報後於今年1月發布121.0.2277.83版予以修補，並指出此弱點若遭利用，對方可以取得安裝擴充套件的相關權限，但攻擊者必須在行動前採取額外的準備工作。</p> <p>Guardio的研究人員指出，根據他們的調查，攻擊者只要能在bing[.]com或microsoft[.]com執行JavaScript，就能透過上述漏洞安裝已上架於Edge擴充套件市集的任意套件，過程完全無需使用者互動。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cna.com.tw/news/ait/202403280363.aspx"><strong style="font-size: 22px;">台灣資安大聯盟拜會立院黨團交換意見，藍綠白三黨團皆表示支持</strong></a></p> <p></p> <p>網路威脅日益嚴峻，由國內多個資安領域民間團體發起的「台灣資安大聯盟」，3月28日拜會立法院朝野黨團，就資安法制完善、資源分配及人才培育等課題，與朝野立委交換意見。</p> <p>民進黨立法院黨團總召柯建銘表示，對於資安相關管理法修法及良善政策，歡迎聯盟就資安法規修訂及政策提出具體可行作法。國民黨立委林沛祥指出，臺灣現有的資安法規不夠完整，需要業界建言並提出方向。民眾黨立委林國成認為，希望該聯盟就預算分配、教育培育等面向，提出具體建議。</p> <div> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.cisa.gov/news-events/alerts/2024/03/26/cisa-adds-one-known-exploited-vulnerability-catalog"><span style="font-size: 20px;">CISA警告SharePoint的程式碼注入漏洞CVE-2023-24955已被用於攻擊行動</span></a></strong></p> <p></p> <p><a href="https://www.securityweek.com/splunk-patches-vulnerabilities-in-enterprise-product/"><strong style="font-size: 20px;">Splunk修補旗下產品的高風險漏洞</strong></a></p> <p><a href="https://www.darkreading.com/cyberattacks-data-breaches/vietnam-securities-broker-suffered-cyberattack-that-suspended-trading"><strong style="font-size: 20px;">越南證券商遭受網路攻擊，被迫暫停交易</strong></a></p> <p></p> <p><a href="https://blog.eclecticiq.com/operation-flightnight-indian-government-entities-and-energy-sector-targeted-by-cyber-espionage-campaign"><strong><span style="font-size: 20px;">竊資軟體HackBrowersData鎖定印度政府機關、能源業者而來</span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/inc-ransom-threatens-to-leak-3tb-of-nhs-scotland-stolen-data/"><strong><span style="font-size: 20px;">勒索軟體駭客組織INC Ransom聲稱入侵蘇格蘭國家醫療服務體系，竊得3 TB資料</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162015"><strong>【3月28日】殭屍網路TheMoon挾持4萬臺SOHO路由器、物聯網裝置供網路罪犯藏匿蹤跡</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162004"><strong>【3月27日】AiTM網釣攻擊工具包Tycoon 2FA針對微軟365、Google用戶而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161956"><strong>【3月26日】Google搜尋提供的AI建議竟列出詐騙網站和惡意網站</strong></a></p> </div></div></div>
2024/3/29 11:59作者周峻佑https://www.ithome.com.tw/news/162031
Amazon推出Amazon One掌紋掃描程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於2020年<a href="https://www.ithome.com.tw/news/140274" target="_blank">推出掌紋辨識系統Amazon One</a>之後，Amazon終於在本周四（3/28）發表了Amazon One行動程式，允許使用者透過iPhone或Android手機拍攝自己的掌紋以建立掌紋簽章，而不必再透過實體店面的Amazon One裝置來掃描掌紋。</p> <p>Amazon One掌紋身分辨識系統主要應用於美國市場，包括超過500家的Whole Foods Market商店，多家的Amazon直營實體店面，以及與Amazon合作的逾150家的第三方服務，如體育館、機場、健身中心或便利商店等。過去使用者必須在上述店面透過專有的Amazon One裝置來掃描與註冊掌紋，之後再利用自己的掌紋來付帳、入場、驗證年紀，或是兌現忠誠度獎勵等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-Amazon%20One%20app-palm-4.png" style="width: 600px;" /></p> <p>儘管上線已超過3年，但使用Amazon One掌紋服務的累計次數僅有800多萬，不過，根據Amazon的統計，在Whole Foods Market及Amazon商店用過Amazon One來付款的用戶，有超過8成都會重覆使用。</p> <p>現在Amazon決定進一步推廣Amazon One，降低註冊Amazon One的門檻，使用者只要下載Amazon One程式，就能登入Amazon帳號，拍攝自己的掌紋，上傳到Amazon One專用的伺服器上，即可於支援Amazon One的商家或地點使用；此外，Amazon One程式還能建立自己的線上檔案及添加付款方式。不過，採用Amazon One程式的使用者要在首次將手掌懸停在Amazon One裝置上進行比對後，才算完成註冊。</p> <p>Amazon表示，此一行動程式將讓使用者更方便先行建立自己的掌紋簽章，而不必在結帳時花費額外的時間進行註冊，對零售商而言，也能確保更順暢的店內體驗。</p> <p>根據Amazon的說明，Amazon One會查看使用者的手掌與底層靜脈結構，以建立獨特的掌紋簽章，再利用AI來比對使用者所拍攝的掌紋及Amazon One裝置所掃描的掌紋，且掌紋資訊是存放在安全的AWS環境中，而不會留在使用者裝置上。</p> <p>Amazon並未公布迄今有多少使用者註冊了自己的掌紋簽章。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> </div></div></div>
2024/3/29 11:58作者陳曉莉https://www.ithome.com.tw/news/162030
本土電商跨足數位行銷，一年創造3億交易額RMN先行者Pinkoi五年跨界轉型路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一兩年，臺灣零售業吹起了一陣跨界廣告業的風潮。Momo、全家，都在去年推出了零售媒體聯播網（RMN，Retail Media Network）服務，利用龐大第一手資料，以及零售通路優勢，驅動數位廣告業務。</p> <p>RMN是一種新型態廣告概念，零售業者將自家零售場域作為廣告版位，開放給廣告主，並利用零售第一手顧客資料和交易資料來支援精準行銷。處於零售場域的消費者，購買意願通常較高，廣告能更有效轉換為實際購買行為。這個過程中，零售業者不只能獲得廣告收入，廣告轉換成的購買行為，也會成為零售業者營收。</p> <p>RMN崛起，外部因素是第三方Cookie逐漸退場，許多數位廣告形式將失去精準投廣及追蹤成效的依據。使用零售業者第一手數據的RMN不受影響，形成相對優勢，吸引了大量廣告主。內部因素則是，許多零售業者觀察到國外RMN趨勢，且自家會員數據建設和會員經營做法趨於成熟，有能力進一步發展RMN。</p> <p>在這個多數RMN都在開發中或剛上線的環境中，臺灣有一家電商，已經靠RMN帶來一年3億元交易量，總營收3成來自廣告費的貢獻。它是設計類垂直電商Pinkoi，早在5年前，就已經開始用從頭自行打造廣告技術，來經營RMN服務。</p> <p>儘管RMN業績亮眼，Pinkoi SaaS產品負責人李少昱直言，Pinkoi打造RMN服務，一開始並不是為了廣告收入。</p> <p><strong>打造RMN服務初衷是為了強化賣家經營能力</strong></p> <p>Pinkoi的RMN服務源自2015年的一次架構翻新。當時，他們開始翻新數據技術架構，不只要強化利用數據驅動決策的管理模式，更要用自家設計領域數據來開發專屬AI推薦模型，來取代規則式推薦機制，進行個人化商品推薦。</p> <p>當數據技術架構及應用發展到一定程度，Pinkoi開始思考，除了用於個人化推薦，還能如何運用手上大量顧客、商品及交易數據。當時，他們接收到了許多賣家主動許願，希望有提升自己商品曝光機會的付費機制。</p> <p>李少昱解釋，賣家這個需求，來自當時商品推薦機制演算法的侷限。當時的商品推薦機制，全靠同一套演算法，商家必須要累積足夠優良交易紀錄，才容易獲得這套演算法的推薦。這意味著，新進商家大多難以直接和既有商家競爭曝光度，得經歷一段沒沒無聞的日子，慢慢讓演算法認識自己。</p> <p>為了打破這種情況，不少商家希望有一種機制，可以加快累積優良交易的速度，或在特定促銷檔期提升業績。回應這個需求，Pinkoi決定投入高達4成工程資源，開發出了廣告商品排序演算法、即時競價機制、廣告投放機制、廣告內容呈現機制等RMN系統所需基礎建設，並於2019年正式上線RMN服務。</p> <p>服務上線頭2年，願意投放廣告的賣家不多，Pinkoi花了大把時間和賣家溝通在RMN行銷的價值，以及摸索RMN技術細節。隨著技術成熟度和市場接受度持續發展，2021年，RMN廣告主的數量開始出現驚人的2位數成長率。</p> <p>緊接著，臺灣疫情進入高峰期，促使許多賣家開始積極投放數位廣告，為RMN注入又一波成長動能。Pinkoi把握住了這幾波成長。使用過RMN的賣家高達9成會持續使用。</p> <p>Pinkoi不斷增加行銷功能，陸續提供了促銷單件商品、促銷商品組合、品牌推廣等廣告類型，也先後增加在首頁、搜尋結果，以及穿插在商品頁面下面的推薦版面。去年還新增了分眾推播廣告，不須等待顧客造訪商城，而是系統根據顧客興趣數據，主動推播品牌廣告。這些廣告支援網頁版、iOS及Android商城。</p> <p>他們還持續強化RMN底層技術，不只用顧客數據來支援精準商品推薦，更開始用AI模型分析商家成長模式，判斷商家下一步成長策略，向商家推薦RMN廣告投放策略及參數設定。例如商家已有穩定客源，系統會建議下一步成長動能是獲取新客源，投放策略得重視陌生潛在買家的曝光。</p> <p><strong>經營RMN最大挑戰──平衡使用者體驗與行銷成效</strong></p> <p>賣家或品牌主投放廣告時，Pinkoi背後的AI會自動推薦行銷目標、廣告受眾、設定預算，以周為單位優化策略，還會分析成效及下次目標。</p> <p>Pinkoi的RMN採取廣告即時競價（RTB，Real-time Bidding）方式。廣告主設定投放參數和行銷預算後可以開始競價，贏得競價，在廣告曝光後會產生廣告費用。不過，Pinkoi的RTB機制並非價高者得，而是依據產品品質、廣告內容對顧客關聯性等多種維度綜合考量──出價僅是眾多排序因素之一。</p> <p>李少昱進一步說明，採取這個廣告投放模式，是希望商家不要過度投入時間心力鑽研投放策略的細節。「與其精算出價多少才能勝過競爭對手，我們希望商家聚焦在提升商品品質及風格的呈現，對整體顧客體驗也會更好。」</p> <p>注重顧客體驗的精神，不只體現在RTB非價高者得的特性，也體現在Pinkoi的廣告版面設計上。付費的廣告內容雖然可以提高排序，但幾乎不會採取任何形式強調的設計，而是會與其他非廣告的推薦商品並列。</p> <p>不過，李少昱說，這個堅持，帶來Pinkoi經營RMN服務的最大挑戰──如何在多方利害關係人需求間，找到顧客體驗與行銷成效之間的平衡點。</p> <p>他進一步解釋，從廣告主角度來看，廣告預算的投資報酬率越高越好。但從Pinkoi角度來看，將廣告內容設計得太醒目、過於干擾顧客瀏覽網站的操作，雖然短期有機會增加轉換率，長期來說卻會降低顧客造訪商城的意願，因而打擊到所有人。</p> <p>如何拿捏，Pinkoi需要協調內部不同部門和下廣告的商家，一方面溝通使用者體驗的重要，另一方面則要找出商家及Pinkoi都可以接受的行銷手段和廣告版位設計方法。李少昱自豪的說，雖然協調過程不易，但堅持顧客體驗優先，使他們幾乎沒有聽到顧客抱怨購物流程受干擾，反而有許多人主動表示，Pinkoi廣告使他們接觸到了過往不知道，卻十分喜歡的商品及品牌。</p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E5%95%86%E5%93%81%E5%BB%A3%E5%91%8A%E7%A4%BA%E6%84%8F%E5%9C%96.png" style="width: 600px;" /></span></strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E5%93%81%E7%89%8C%E5%BB%A3%E5%91%8A%E7%A4%BA%E6%84%8F%E5%9C%96.jpg" style="width: 600px;" /></span></strong></p> <blockquote><p>Pinkoi RMN廣告形式有商品廣告、品牌廣告、推播廣告等，會出現於網站和雙平臺手機App的首頁、搜尋頁面及商品頁面。廣告商品或品牌的曝光排序通常較靠前，不過仍需視商品品質及關聯性而定，並非價高者靠前。為了保證顧客體驗不受干擾，廣告視覺設計也相當低調。</p> </blockquote> <p><strong>經營RMN的技術面基本功──開發與維運數位行銷機制</strong></p> <p>從電商跨界數位行銷，不僅需要接觸新業務面向，更要面臨新技術面課題。</p> <p>雖然Pinkoi有從頭自行開發AI模型，是專門為個人化商品推薦設計。不過，推薦只是廣告機制一環，要打造成熟可用的RMN服務，還有RTB、廣告成效追蹤、服務可用性等更多技術挑戰得克服。</p> <p>開發期間，Pinkoi投入了4成開發資源和人力，研究Facebook（現Meta）和Google兩大廣告巨頭的開發方法及投廣機制，並將這些知識結合自家AI推薦技術，才打造出自己的廣告服務。</p> <p>廣告推薦演算法是這個服務的核心技術。RMN團隊寫了一系列投廣用推薦模組，以原本推薦演算法為基礎，根據不同廣告版面的行銷目的微調其他參數，例如調整推薦商品的關聯性高低，或加強時下熱門主題相關商品的權重。</p> <p>相較於原本的商品推薦演算法，廣告推薦演算法多了一個關鍵排序要素──賣家即時競價（RTB）數據。可是，RTB系統需要在顧客進入新頁面後，才能發送廣告版面性質、顧客輸入內容等資訊到競價系統。經過賣家競價、檢查賣家行銷預算餘額等程序後，廣告推薦演算法才能開始排序廣告內容。雖然廣告推薦演算法運算複雜度較一般推薦演算法高，但為了不影響顧客體驗，Pinkoi認為必須在0.5秒內完成額外計算程序。</p> <p>RMN的維運挑戰不只即時性，還有龐大的數據請求量。Pinkoi RMN每年有74億次請求，不考慮巔峰情況，平均每秒就需處理230次請求。一次廣告請求的完整流程需要進行廣告競價和廣告內容的投放，還要紀錄廣告曝光情形、顧客互動行為等數據，作為後續廣告成效追蹤及賣家投放建議的依據。</p> <p>為了因應龐大的流量，Pinkoi採取了雲端資源用量調整機制、預處理部分所需運算，以及辨識外來異常流量等措施。</p> <p>首先，Pinkoi所有IT基礎架構都上雲，為了即時因應流量波動，他們不只使用雲端業者提供的自動擴充（Auto-scaling）功能，還自行打造了用量調整機制，可以預測流量變動，來調整雲端資源的租用量。</p> <p>再來，為了盡可能降低推薦演算法的運算壓力，他們回頭找出推薦演算法中，不須即時運算的數據，預先進行批次處理。例如，商品品質分數的變動頻率不大，改為每天一次性統一計算，而不需要每次推薦都重算。</p> <p>他們還設計了雙重異常流量辨識機制，第一層辨識機制，當造訪者流量剛進來時，會依據流量來源等常見機器人行為模式來篩選。若機器人成功騙過第一層機制，Pinkoi還會記錄造訪者在網站內的行為模式，若出現明顯不是真人消費者的舉動，例如迅速開關大量頁面或行為模式過於機械性，也會事後追認為異常流量。</p> <p>事後追認異常流量，不僅有維運面考量，也有廣告業務面考量，要確保廣告成效統計只包含有機流量數據，不會參雜爬蟲機器人、點擊機器人甚至DDoS等異常流量來源。</p> <p><strong>從被動到主動，從站內到跨站的RMN功能升級藍圖</strong></p> <p>不只一開始投入4成開發能量，Pinkoi後續還得投入IT資源來優化和開發新功能。</p> <p>李少昱坦言，他們沒有計算過RMN成本如何回收。Pinkoi經營RMN的態度，一開始就不只當成一門生意，更是提升整體電商買賣體驗的一環。不過，持續投入大量IT資源維運及開發，李少昱說，有兩大商業考量支持。</p> <p>首先是影響範圍。付費提升曝光度的行銷功能，對電商賣家獲取顧客、擴大營運規模非常重要。一開始，RMN的出現，源自賣家的要求。但現在，RMN已經成為上萬個賣家持續使用的關鍵功能。</p> <p>第二則是影響力度。Pinkoi的RMN服務一年促成3億元交易，廣告費收入占了總營收高達3成，而且也提升整體平臺的交易量，不只是將原本有意消費的顧客導向廣告商品。</p> <p>接下來，Pinkoi還要持續強化RMN行銷功能，從被動轉到主動，站內走到站外。</p> <p>RMN上線前幾年，Pinkoi只有在顧客於網站中操作，表明當下興趣時，才能投放相應廣告，行銷方法相對被動。後來，借助AI模型，從顧客過往行為數據中，分析其購物習慣及整體偏好。於是，Pinkoi RMN開始有主動行銷功能，不必等待顧客進站，可以直接根據顧客特徵推播行銷訊息到會員通知中心。</p> <p>下一步，他們要更細緻分析顧客行為數據，更快速分析出顧客處於購物旅途的哪個階段，以便在顧客操作當下，即時調整廣告投放策略。例如，如果發現顧客已經選定商品，進入購買階段，就會只投放相似性高的商品，讓顧客比價，而非探索不同商品。</p> <p>不只如此，他們還要根據RMN廣告成效數據，來打造更進階的投廣參數自動設定功能。目標是，連商品描述、名稱跟標籤等最基礎的資訊，都可以根據市場現況數據及賣家廣告成效，來自動調整。</p> <p>優化站內行銷功能同時，Pinkoi也計畫開發跨站行銷功能。李少昱說，在Pinkoi營業的賣家，大多只會再於Instagram經營社群媒體電商，較少涉及更多平臺。因此他們計畫打造跨站投放Meta廣告的功能，來提供一站式數位行銷管理。文⊙郭又華</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E8%87%AA%E5%8B%95%E8%A8%AD%E5%AE%9A%E5%8E%9F%E7%90%86-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Pinkoi.jpg" style="width: 600px;" /></p> <blockquote><p>Pinkoi的AI廣告代投功能會根據賣場數據，來推測品牌處於哪個發展階段，並以此作為廣告參數設定策略。圖片來源-Pinkoi</p> </blockquote> <p><span><span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-%E4%BB%A3%E6%8A%95%E4%BB%8B%E9%9D%A2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Pinkoi.png" style="width: 600px;" /></span></span></p> <blockquote><p>賣家只需要輸入商品基本資訊及預算，並確認AI建議的投廣參數，便能快速完成設定。未來，Pinkoi連這幾個欄位都要用AI來填入建議參數。圖片來源-Pinkoi</p> </blockquote> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> Pinkoi RMN發展大事記 </span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2015年 </span></span> </strong>內部改革數據基礎建設，整合跨通路第一方數據來源，開始打造專屬設計類AI模型，以開發個人化推薦、RMN等數據驅動的零售IT應用</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2018年 </span></span></strong> 正式開始打造RMN系統，投入了4成工程資源</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2019年 </span></span></strong> 自建AI模型開始能用上萬維度分析顧客，進行個人化推薦。RMN商品廣告服務正式上線</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2021年 </span></span> </strong>RMN品牌廣告服務正式上線。使用RMN服務的廣告主數年增長率2位數，緊接著新冠疫情最高峰，又帶來更多RMN廣告主</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2023年 </span></span> </strong>RMN分眾廣播服務正式上線，站上有近萬賣家成為廣告主，廣告收入占營收3成</p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">資料來源：iThome整理，2024年3月</span></p> <p> </p> </div></div></div>
2024/3/29 10:25作者郭又華https://www.ithome.com.tw/news/162013
旅遊平臺Booking.com如何善用DORA指標，讓軟體交付效率快了一倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日前旅遊平臺Booking.com公開了去年提高軟體交付效率的關鍵秘訣，在短短不到一年時間，讓旗下金融科技團隊的交付能力提高了近2倍的效率，等於開發戰力翻了一倍。</p> <p>Booking.com在2022年中，成立了這個金融科技部門，負責內部各種金融流程開發，因為這個團隊直接採用了公司5年前發展出來的技術架構，所提供的金融服務，在前端是一隻隻不同金融功能的單體式網頁應用，而後端服務則是Java程式，也需要串接到不少第三方金融服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/185%E6%8A%80%E8%A1%93%E6%9E%B6%E6%A7%8B%E5%9C%961.png" /></p> <p>為了改善開發生產力，他們從2023年初開始用DORA指標追蹤團隊開發效率，尤其聚焦部署頻率（DF）和變更準備時間（LTFC）。在2023年三月部署頻率每月不到20次，而變更準備時間更是長達了30小時。</p> <p>雖然這個數據已經遠比臺灣許多企業的DevOps能力好，根據我們去年CIO大調查，臺灣半數大型企業關鍵應用每月部署次數不到5次，部署時間短則一天，長則好幾天。<br /> Booking.com高層對這個團隊原有的開發效率高度不滿意，想要找出拖慢效率的瓶頸。</p> <p>分析後發現，第一個影響部署頻率不佳的瓶頸是，他們的程式碼難以理解，但是又很容易修改，工程師若不小心改錯，得花好幾周才能找出問題，如此一來，更讓工程師不願意改進。</p> <p>後來，他們參考了一條童子軍規則「要讓露營地比你來的時候更乾淨。」也就是看到有垃圾就馬上清理，來幫下一組露營的人改善環境。在去年三月開始推動許多小規模的重構和推動測試自動化，進行程式碼更新或修復問題時，也同時改善周邊的程式碼，來提高程式碼品質，並且同步要求開發團隊刻意花時間來解重構的題目，透過大量練習來提高重構技能。</p> <p>雖然逐漸改善程式碼可讀性，但因為許多小型重構計畫，去年六月發現，出現了大量合併請求，程式碼審查時間成了新的瓶頸。他們轉而一方面改採少量批次合併請求的策略，來減少每次審查時間，也要求工程師優先審查程式碼，來減少相互等待的時間，在七月逐漸解決這個問題。</p> <p>七月時，他們轉向處理拖慢部署時間的痛點，當時要進行兩次金絲雀部署和驗證，每次部署涉及許多手動作業，部署時間至少得花40分鐘，因為有些功能的金絲雀部署出錯機率幾乎是零，因此，他們決定導入自動化部署，將合併請求直接合併到主版本，直接部署到正式環境，而不用手動驗證。</p> <p>另外，還採取了一些自動化部署作為配套，像是良好的測試自動化機制、同儕程式碼審查和小變更策略，一次不做大變更而是盡量採取多次小變更策略，一但程式碼品質指標檢測沒有達標，也會自動回覆到舊版，來確保既有服務的穩定。</p> <p>金融科技部門這個新作法將部分功能的部署時間從40分鐘縮短到4分鐘，也同步提高了DORA的部署頻率和更新準備時間。八月時，部署次數甚至一度達到每月43次，整體的平均部署時間約1.3小時。</p> <p>不過，在前端的單體式應用的交付效率仍舊難解，在去年八月時，這一類應用每月部署次數只有6～8次，每次平均準備時間長達2-3天。</p> <p>Booking.com團隊決定導入微前端（Micro Frontend）開發模式，把前端單體應用，改成類似微服務的前端模組，並改用JavaScript來開發用戶端的網頁應用。在九月導入微前端開發模式之後，明顯改善了開發效率，但是他們卻發現，另一個DORA指標的數值變差了，開發準備時間反而比預期來得更長。</p> <p>Booking.com團隊回頭查看了過去一整個月的合併請求紀錄，包括提交、評論、批准、合併和部署的各種統計資料才發現新的問題。因為微前端應用的合併請求審查流程，比平常前端應用的開發更複雜，因此，開發流程上需要金融科技部門外部的內部其他專家社群來審查和批准，每次審查都得等上很久。光在外部專家程式碼批准這個階段，平均就得等待17.1個小時。</p> <p>後來，金融科技部門找來這群專家，討論初多項優化審查流程的作法，自己也避免進行大量的批次部署，盡量採取小型合併請求的方式，才將批准時間縮短到8分鐘。最後，到了去年十月，終於將這類單體式應用的變更準備時間大幅減少到14小時。</p> <p>從年初每月20次部署、每次30小時事前準備時間，到年底十一月時縮短到每月40次部署，每次平均14小時。Booking.com的金融科技團隊就是靠DORA指標的監控，找出了一個又一個的開發團隊瓶頸，逐一解決，才能在不到一年，達到交付能力翻倍的成果。</p> <p>Booking.com開發團隊主管更強調，這個做法不只提高了效率，更帶來了一種新的工作態度和方式，讓開發團隊聚焦於內部品質和嘗試，看重長期績效而非短期效益。</p> <p> </p> </div></div></div>
2024/3/29 10:38作者王宏仁https://www.ithome.com.tw/news/162028
DevOps快報第3期：Java 22來了，Go大幅強化追蹤，數位部將推出公共程式碼平臺，旅遊平臺揭露軟體交付效率翻倍…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2024/2/21～3/28 精選開發技術相關新聞</strong></p> <p><strong>兩大開發語言有重要更新，Java釋出了22版，大幅提高開發體驗和運作效能。Go語言則大幅改善了追蹤套件的效能。多款CI/CD工具有新功能或更新，包括了 JetBrains、 CircleCI。Booking.com則揭露如何用DORA指標追蹤團隊開發效率，將軟體交付效率，提高了一倍的過程。</strong></p> <h3><strong>#政府程式碼釋出 #公共程式碼<br /> <span style="color:#0000FF;">推動政府程式碼公開，數位部擬4月推出臺灣公共程式平臺</span></strong></h3> <p>政府今年將帶頭大力推動公共程式（Public Code），釋出政府程式碼。數位部預估4月左右，在GitHub上推出臺灣公共程式平臺（code.gov.tw）測試版，初步將先釋出數位部開發的官網、碳盤查工具的程式碼，未來還會與和地方政府、公務機關合作，將共用性服務的程式碼釋出，開放其他政府機關或外界使用。目前尚在籌備階段，因此計畫先推出測試版，年底再釋出完整功能。</p> <p>因為政府資訊系統大多委外，有資服業者在溝通座談會中反映，擔憂程式碼公開後，可能遭其他業者學習參考，程式碼內的缺陷也會被檢視討論。目前數位部仍與資服業者就公共程式尋找共識。</p> <h3><strong>#2038問題 #老舊Unix時序問題<br /> <span style="color:#0000FF;">小心2038問題重現Y2K災情，老舊應用擁抱現代化的另一理由</span></strong></h3> <p>今年國外不少開發社群開始重視一個老舊Unix的時間函數問題，也就是2038問題。多數Unix系統使用32位元signed整數來儲存從1970年1月1日開始的秒數，這個資料格式的最大值是2,147,483,647，也就是UTC時間2038年1月19日凌晨3點14分7秒，超過這個時間就會導致資料溢位而出錯，就像當年的Y2K事件一樣。許多老舊嵌入式設備、大型主機系統、32位元作業系統環境，32位元環境的老舊資料庫和檔案系統、網路設備等都可能出現問題。雖然離現在還有很長一段時間，但開發社群開始討論，可以趁著擁抱雲原生，推動IT現代化同時，一起解決這個老問題。</p> <h3><strong>#軟體開發安全 #白宮<br /> <span style="color:#0000FF;">白宮出面呼籲開發者，放棄C和C++改用記憶體安全程式語言</span></strong></h3> <p>白宮最近發布了一份軟體安全報告《Back to the Building Blocks: A Path Toward Secure and Measurable Software》，以呼籲科技界主動減少網路攻擊面，尤其在軟體漏洞方面，白宮認為應該主動採取措施以減少漏洞帶來的風險，許多網路安全問題都是由單行程式碼引起，白宮報告中指出，解決這些安全問題的有效方法是檢查所使用的程式語言本身。藉由分析和選擇程式語言的特性，尤其是關於記憶體安全的功能，可以減少甚至是消除不正確的記憶體使用方式，像是存取未分配的記憶體、緩衝區溢出等，所導致的錯誤和漏洞。因此，白宮表示，希望開發人員放棄C和C++改用記憶體安全程式語言，以增加軟體安全性。++</p> <h3><strong>#DevOps實戰 #DORA<br /> <span style="color:#0000FF;">旅遊平臺Booking.com如何用DORA指標讓軟體交付效率快了一倍</span></strong></h3> <p>日前旅遊平臺Booking.com公開了去年提高軟體交付效率的關鍵秘訣，為了改善開發生產力，他們從2023年初開始用DORA指標追蹤團隊開發效率，尤其聚焦部署頻率（DF）和變更準備時間（LTFC）。</p> <p>他們先推動許多小規模的重構和推動測試自動化，進行程式碼更新或修復問題時，也同時改善周邊的程式碼，來提高程式碼品質。到了六月開始解決合併請求塞車問題，一方面改採少量批次合併請求的策略，來減少每次審查時間，也要求工程師優先審查程式碼，來減少相互等待的時間。七月轉向處理拖慢部署時間的痛點，導入自動化部署，將合併請求直接合併到主版本，直接部署到正式環境，而不用手動驗證。搭配良好的測試自動化機制、同儕程式碼審查和小變更策略，一次不做大變更而是盡量採取多次小變更策略，一但程式碼品質指標檢測沒有達標，也會自動回覆到舊版。</p> <p>針對前端的單體式應用交付效率問題，則導入微前端開發模式來改善效率，但因為新開發流程需要外部專案審查，開發準備時間反而比預期來得更長。經過審查流程優化，也盡量採取小型合併請求的方式，將批准時間縮短到8分鐘。最後，到了去年十月，終於將這類單體式應用的變更準備時間大幅減少到14小時。</p> <p>從年初每月20次部署、每次30小時事前準備時間，到年底十一月時縮短到每月40次部署，每次平均不到15個小時。Booking.com的金融科技團隊就是靠DORA指標的監控，找出了一個又一個的開發團隊瓶頸，逐一解決，在不到一年，達到交付能力翻倍的成果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/185-DORA%E6%8C%87%E6%A8%99%E8%AE%8A%E5%8C%96%E5%9C%962.png" /></p> <h3><strong>#新版Java #開發體驗改善<br /> <span style="color:#0000FF;">Java 22來了，提升開發效率還強化運算效能</span></strong></h3> <p>新發表的Java 22，從語言本身、API、效能和JDK中的工具都進行了強化。Java語言更具表達力，提升開發者編寫程式碼的體驗之外，也加入多項功能改善並行程式的運作效能，而重新設計的Vector API，也讓向量運算更加高效，滿足日漸增加的向量運算需求。</p> <p>這個版本有多項開發體驗的更新，像是可用下底線字元來表示不使用的變數宣告和巢狀模式，來強化程式碼的可讀性。而建構子的前置陳述式JEP 447更新，讓開發者擁有更多表達建構子行為的自由。預覽版的字串樣板則提供了更簡潔的方式，供開發者編寫文字加上變數的字串表示，能在字串常值中直接插入表示式或是變數值，來提高可讀性，也讓編寫動態字串內容Java程式更簡單。甲骨文為了要簡化Java並行（Concurrency）程式開發，嘗試加入了結構化並行方法，目前正在孵化階段。</p> <h3><strong>#Go語言 #追蹤效能優化<br /> <span style="color:#0000FF;">Go語言大幅改善追蹤套件的效能，CPU執行開銷降至1、2％也支援持續追蹤</span></strong></h3> <p>Go開發團隊更新了執行環境的追蹤（Trace）套件，不僅大幅降低執行追蹤的CPU開銷，還透過定期分割追蹤檔控制追蹤檔案大小，進而增加了追蹤的可擴展性。此外，新的更新還支援持續追蹤功能，並提供追蹤讀取器API，使得追蹤資料更容易共享與存取。舊版Go，對許多應用程式執行追蹤功能時會產生10-20％ CPU執行開銷，而侷限了用途。Go開發團隊透過最佳化回溯效率，將CPU開銷大幅降低至1、2％，讓開發者可以頻繁地使用追蹤來監控和診斷應用程式，且不會對效能產生太大的影響。Go追蹤現在也支援持續追蹤紀錄（Flight Recording），可讓程式一直保持在追蹤狀態，紀錄近期發生的事，</p> <h3><strong>#CI/CD流程 #開發流程最佳化<br /> <span style="color:#0000FF;">JetBrains發布新CI/CD工具TeamCity Pipelines，新增多項智慧化機制能大幅簡化流程建置</span></strong></h3> <p>JetBrains推出新的CI/CD工具TeamCity Pipelines，提供了建置CI/CD流程需要的所有工具，盡可能減少切換程式的狀況。也採取了直覺式介面和智慧配置輔助功能，可以大幅簡化測試工作。智慧配置輔助功能可引導用戶完成流程配置，並且提出改進建議，像是可以自動偵測特定的建置工具，另外，若採用智慧測試平行化選項，可使執行速度提高達75％。TeamCity Pipelines能夠動態最佳化工作流程，也會在每次測試工作完成後提供報告，並自動辨識測試專案所採用的語言與框架。能跨多次工作追蹤測試結果，讓開發者簡單地比較測試變化。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3-2-JetBrains.png" /></p> <h3><strong>#部署自動化 #金絲雀部署<br /> <span style="color:#0000FF;">CircleCI推出推出自動化調度部署功能，新增金絲雀部署支援</span></strong></h3> <p>CI/CD平臺CircleCI強化發布調度能力推出CircleCI Release，在網頁介面就可簡單地配置發布調度程序。同時，CircleCI Release也支援Argo Rollouts，提供自動化漸進式交付程序，使開發人員可以更全面地控制應用程式發布，目前CircleCI Release已經支援金絲雀部署策略，並會在之後版本支援藍綠部署。CircleCI Release可讓開發團隊快速交付，並監控生產環境中的新部署，當部署出現問題時，還可自動快速回退到之前的版本。這項發布功能同時支援Kubernetes Deployments和Argo Rollouts，CircleCI可與Kubernetes叢集整合，讓開發者在CircleCI網頁版應用上，來檢視和控制發布流程。</p> <h3><strong>#開發元件智慧化 #.NET應用<br /> <span style="color:#0000FF;">微軟釋出實驗性.NET UI智慧元件，提供3種整合AI的新UI元件</span></strong></h3> <p>微軟正在實驗新的.NET UI智慧元件，要以更簡單的方法，在現有軟體添加人工智慧功能，開發者不需要了解AI或熟悉提示工程也能用。開發者可以直接將.NET UI智慧元件加入到使用者介面中，目前有三項功能，分別是智慧貼上、智慧文字輸入區域（TextArea）和智慧下拉選單（ComboBox）。智慧貼上元件，可以將使用者複製的一段長文，用NLP解析出不同元素，再個別帶入到表單上的不同欄位，例如從地址中自動解析出街名、巷弄、樓層來自動填寫表單，方便用戶可從外部來源添加資料，又不需要重新輸入。而智慧文字輸入區域，則加入了文字段落自動完成，能依據上半句，自動補完下半句話。微軟提到，.NET UI智慧元件還只是一項實驗功能<img alt="" src="https://s4.itho.me/sites/default/files/images/3-4-_NET%E6%99%BA%E6%85%A7UI%E5%85%83%E4%BB%B6.png" />。</p> <h3><strong>#程式碼評估 #Copilot助手<br /> <span style="color:#0000FF;">微軟.NET程式碼評估工具整合了GitHub Copilot，能引導解決Azure搬遷的可能問題</span></strong></h3> <p>最近微軟更新了.NET程式碼的Azure搬遷評估工具（Azure Migrate Application and Code Assessment），新整了GitHub Copilot，能夠比對不同Azure環境，提供更多開發自訂的靈活性等，來協助開發者找出和解決搬遷Azure可能遭遇的問題，更順利地在雲端平臺重新部署應用程式。開發者在Visual Studio安裝這項工具的擴充套件後，在報告儀表板中便會看到Copilot Chat的按鈕，點擊之後Copilot會閱讀專案報告，總結出重要問題，開發者便可就想解決的問題與Copilot深入討論。報告中的所有問題也會提供Ask Copilot按鈕，微軟提到，Ask Copilot功能會將開發者的描述，還有觸發問題的程式碼片段共享給Copilot Chat，根據具體程式碼和問題提供建議，來提供更準確的指引。開發者必須謹慎考慮提交的內容，避免提及不想提供給Copilot Chat的程式碼和敏感資訊。</p> <h3><strong>#開發者QA平臺 #Gemini<br /> <span style="color:#0000FF;">開發者愛用的Stack Overflow將整合Google雲、讓Gemini開發人員存取知識庫</span></strong></h3> <p>開發人員QA平臺Stack Overflow與Google Cloud宣布合作，讓Gemini模型可以存取Stack Overflow的開發知識庫，或提供開發建議。透過Stack Overflow新開發的OverflowAPI存取其知識庫，在開發人員呼叫Gemini時提供開發建議、程式碼及回答問題。在Google Cloud控制臺上也能直接存取Stack Overflow，包括詢問問題或獲得Stack Overflow社群其他成員的解答，在管理或開發Google雲端應用及基礎架構時，不用跳離執行介面。 Stack Overflow計畫還將用AI開發平臺Vertex工具來改善社群互動和內容出版流程。預計於4月中公開預覽，在今年上半年正式啟用。</p> <h3><strong>#整合企業內部程式碼 #企業版Copilot<br /> <span style="color:#0000FF;">GitHub企業版Copilot來了，可整合企業內部程式碼與知識庫</span></strong></h3> <p>最近GitHub推出了企業版Copilot（Copilot Enterprise），每位用戶每月的訂閱價格為39美元。這項服務可以針對組織特定需求的開發體驗，包括可以深入理解程式碼庫、存取組織的知識和最佳實踐，以及審查拉取請求。<br /> 例如可以提供清楚的程式碼摘要、相關建議以及回應程式碼行為，有效提升程式碼編寫和理解的效率。也能生成拉取請求摘要，使開發人員花更少的時間編寫，並且更專注於合併拉取請求工作本身，Copilot Enterprise也會分析拉取請求的差異，讓審查者可以更快速地理解程式碼變更。目前是Beta測試版本，已經整合了Bing搜尋功能，因此用戶也可以獲得最新的網際網路資訊。</p> <h3><strong>#程式碼自動掃描 #自動修補警告議題<br /> <span style="color:#0000FF;">GitHub釋出程式碼掃描自動修復，自動修補9成警告</span></strong></h3> <p>所有GitHub Advanced Security用戶開始可以使用程式碼掃描自動修復功能（Code Scanning Autofix）預覽版，借助GitHub Copilot和靜態掃描程式碼工具CodeQL的支援，可以掃描程式碼的問題後自動修復，在背景中利用CodeQL引擎，以及一系列啟發式演算法，並結合GitHub Copilot API來生成程式碼建議。目前支援JavaScript、TypeScript、Java和Python程式碼中90％的警告或問題。此外還提供程式碼建議，可以在幾乎不需要編輯程式碼的情況下，修復超過三分之二發現的漏洞。官方預告，接下來程式碼掃描自動修復功能也會涵蓋C#和Go的程式碼。</p> <h3><strong>#偵測密碼和金鑰 #推送保護<br /> <span style="color:#0000FF;">GitHub預設啟用推送保護，自動檢查推出程式碼中的密碼和金鑰避免意外洩漏</span></strong></h3> <p>最近GitHub對所有用戶預設開啟了推送保護（Push Protection）功能，協助開源開發者保護其密碼與金鑰等機密資訊。系統會自動檢查開發者推送到GitHub中的程式碼，一旦發現包含諸如密碼和API金鑰等敏感資訊，GitHub會阻擋推送操作並通知開發者，避免潛在的安全問題。用戶可以從提交中刪除該機密，或是選擇跳過阻擋直接提交。用戶也可以從安全設定中停用推送保護</p> <p><strong>更多新聞</strong></p> <ul> <li>高效協作程式碼編輯器Zed開源並推出協作服務，開發者分享連結就能開始共同編寫程式碼</li> <li>微軟推適用於VS Code的Microsoft Entra External ID擴充套件</li> <li>5月釋出的Grafana 11將移除AngularJS支援，儀表板將不載入未更新套件</li> <li>Wasmer推出Rust網頁伺服器WinterJS 1.0，相容於Cloudflare的JavaScript執行環境</li> </ul> <p>@資料來源：iThome整理，2024年3月<br /> @圖片來源：Booking.com、微軟、甲骨文</p> <p><strong>責任編輯：王宏仁</strong></p> </div></div></div>
2024/3/29 11:12作者王宏仁https://www.ithome.com.tw/news/162029
Google改變心意，讓Pixel 8也能執行Gemini Nano
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在眾多用戶抗議下，Google本周宣布，Google Gemini Nano AI模型將透過今年下次功能更新，得以在中階的Pixel 8上執行，而不只有最高階的Pixel 8 Pro。</p> <p>Gemini Nano是Google去年12月公布Gemini AI模型之一，是最小型、可在消費者裝置包括手機上執行的模型。官方宣布，Gemini Nano可以執行在旗艦手機，如三星<a href="https://www.ithome.com.tw/news/160904" target="_blank">Galaxy S24</a>及Google Pixel 8 Pro。<a href="https://9to5google.com/2024/03/07/pixel-8-gemini-nano/" target="_blank">但是本月初Google說</a>，基於某些硬體限制，因此Gemini Nano不會提供給Pixel 8。這個消息引發媒體及用戶反彈，認為二款Pixel手機同樣都是用Tensor G3晶片組，沒有道理Pixel 8無法跑Gemini Nano。</p> <p>Google似乎聽到用戶心聲，<a href="https://shows.acast.com/made-by-google-podcast/episodes/6602fa6073a3a40017353c91" target="_blank">本周Google產品部門透過podcast宣布</a>，Pixel 8會在下次功能更新Feature Drop中獲得Gemini Nano開發者預覽版，目前公司還在測試中。這裝置上執行的AI模型可支援錄音工具Recorder的Summarize（重點摘錄）及Gboard鍵盤智慧回覆（Smart Reply）功能，前者可錄寫聲音、條列重點，後者可產生「高品質」的回覆內容。在Pixel 8 Pro，Gemini Nano還可另外支援WhatsApp、Line、KakaoTalk等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-gemini%20nano-pixel%208-Summarize%20in%20Recorder-2.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-gemini%20nano-pixel%208-Smart%20Reply%20in%20Gboard.jpg" style="width: 600px;" /></p> <p>不過下次的Pixel Feature Drop要等到6月下旬才會釋出。</p> <p><a href="https://9to5google.com/2024/03/28/pixel-8-gemini-nano-feature-drop/" target="_blank">9to5Google報導</a>，Pixel 8及8 Pro主要差別在Pixel 8 RAM為8GB，小於Pro的12GB，較小的RAM執行AI可能會影響效能。可能Google已找出方法能以較小記憶體執行LLM而不影響使用應用程式體驗。Galaxy S24的RAM也是8GB。</p> <p>不過Google不是第一支可跑Gemini Nano的中階手機。<a href="https://www.ithome.com.tw/news/161464" target="_blank">2月聯發科宣布</a>，二款新晶片組將支援Gemini Nano，包括中階的Mediatek Dimensity 8300。目前使用這款晶片組的有中國手機POCO X6 Pro。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/3/29 10:12作者林妍溱https://www.ithome.com.tw/news/162026
微軟Azure OpenAI與Fabric皆整合Neo4j圖資料庫，強化資料分析與AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://neo4j.com/blog/neo4j-microsoft-collaboration/">Neo4j與微軟合作</a>，在Azure OpenAI服務與Fabric分析平臺原生整合Neo4j圖資料庫功能，用戶將可組合結構化與非結構化資料，發現資料中隱藏的模式，並用於強化生成式人工智慧應用程式。</p> <p>Azure OpenAI與Neo4j的整合，在架構上可以分為知識的擷取與使用。在資料擷取上，由Azure OpenAI處理非結構化資料，並將這些資料儲存到圖資料庫中，用戶便可以使用Neo4j的查詢工具，來擷取有用的分析結果。</p> <p>來源資料仍可留存在Fabric、Azure Blob儲存或是其他位置，微軟表示，使用生成式人工智慧進行自動擷取，能夠降低圖資料庫的進入門檻，並可從資料連結中獲得更多有用的分析資訊。而在知識的使用上，用戶同樣可透過Azure OpenAI服務以自然語言查詢，即便沒有圖資料庫專業的用戶，也能夠簡單地操作。</p> <p>微軟的GraphRAG應用程式，與Neo4j的生成式人工智慧、Azure OpenAI緊密整合，用戶可以使用GraphRAG強化上下文理解和可解釋性，藉由使用企業資料的知識圖，動態強化查詢，提供清晰易於理解的結果。GraphRAG是一種使用圖結構強化大型語言模型的方法，可改善模型對查詢的理解和回應品質。</p> <p>Neo4j支援原生向量嵌入，開發人員可以使用OpenAI嵌入API建立嵌入，並將其儲存在Neo4j資料庫中，支援大型語言模型獲取長期記憶能力。</p> <p>另外，Neo4j也與統一資料分析平臺Fabric的整合，擴展企業探索、分析資料的能力。Fabric組合一系列資料工具集，與Neo4j搭配可強化資料探索與分析的能力。</p> <p>在Fabric資料湖倉中，資料通常儲存在檔案或是SQL Server資料表的行和列中，微軟提到，這樣的形式無法擷取資料集中複雜的關係，而Neo4j圖資料庫的特性，則是將資料表示為節點和關係，以直觀的方式視覺化資料，有助於供用戶搜尋資料集中的關係，發現資料中隱藏的模式。</p> </div></div></div>
2024/3/28 18:48作者李建興https://www.ithome.com.tw/news/162024
【資安日報】3月28日，殭屍網路TheMoon挾持4萬臺SOHO路由器、物聯網裝置供網路罪犯藏匿蹤跡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定路由器、物聯網裝置等小型辦公室（SOHO）及家用網路設備發動攻擊，控制後將其組成殭屍網路，已有多起攻擊行動出現，但大多還是針對有受到支援的設備而來，如今有駭客專門針對已不再受到廠商支援的設備下手，暗中從事攻擊行動長達10年，直到最近才被發現。</p> <p>值得留意的是，這些駭客挾持設備後，專門提供網路罪犯代理伺服器服務，甚至有其他殭屍網路的經營者也是他們的客戶。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.lumen.com/the-darkside-of-themoon/"><strong style="font-size: 22px;">殭屍網路TheMoon攻佔廠商不再提供支援的網路設備，短短72小時綁架逾6千臺華碩路由器</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/moon-2-image.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/moon-2-image.jpg" style="width: 300px; float: right;" /></a>資安業者Lumen揭露從2014年開始營運的殭屍網路TheMoon，其規模在今年2月擴及88個國家、4萬個殭屍網路機器人。而這個殭屍網路的形成，主要是挾持生命週期終止（EOL）的家用及小型辦公室（SOHO）路由器、物聯網設備，駭客將其用於提供網路犯罪用途的代理伺服器服務（研究人員將其稱為Faceless），根據研究人員的追蹤，該服務每週增加近7千名新用戶，而且，SolarMarker和IcedID等殭屍網路的經營者也採用TheMoon的服務。</p> <p>值得留意的是，在3月的第一週，研究人員看到對方在72小時內，攻擊超過6千臺華碩路由器。對此他們認為，駭客專門針對這些設備的原因，在於製造商不再提供產品更新與安全性支援，使得已知漏洞持續曝露，甚至使用者可能早就遺忘或遺棄這些設備。</p> <p><a href="https://blog.sucuri.net/2024/03/sign1-malware-analysis-campaign-history-indicators-of-compromise.html"><strong style="font-size: 22px;">惡意軟體Sign1鎖定WordPress網站而來，逾3.9萬個網站受害</strong></a></p> <p></p> <p>資安業者Sucuri揭露鎖定WordPress網站的惡意軟體Sign1攻擊行動，有超過3.9萬個網站遭到感染。對於這起攻擊行動的發現，他們看到自己客戶的網站遭到暴力破解攻擊而被入侵，一旦攻擊者取得存取權限，就會濫用WordPress自訂HTML小工具，或是部署名為Simple Custom CSS and JS的外掛程式，從而注入惡意JavaScript程式碼。</p> <p>研究人員分析Sign1的程式碼，發現對方每10分鐘就更換一次URL，使得瀏覽受害網站的用戶不斷被導向惡意網站，但這些網域都是在攻擊之前才註冊，而不會遭到封鎖。</p> <p>特別的是，Sign1在執行前會針對使用者的來源進行檢查，只對來自Google、臉書、Instagram、雅虎存取受害網站的用戶發動攻擊，並對瀏覽器產生專用的cookie，從而將使用者導向詐騙網站，並引誘他們啟用網站通知。</p> <p><a href="http://checkmarx.com/blog/over-170k-users-affected-by-attack-using-fake-python-infrastructure/"><strong style="font-size: 22px;">大型Discord機器人社群遭受供應鏈攻擊</strong></a></p> <p></p> <p>擁有17萬用戶的大型Discord機器人社群Top.gg傳出遭到供應鏈攻擊，攻擊者運用多種手法，包含挾持GitHub帳號、散布惡意Python套件、使用假造的Python基礎設施，並透過社交工程手法進行。</p> <p>駭客先是打造惡意開源工具來引誘開發者上當，並散布由冒牌Python基礎設施代管的相依性套件，將其與GitHub熱門專案連結，並挾持具有較高貢獻度的GitHub帳號，其中一個就是Top.gg的維護者editor-syntax，攻擊者藉由他的帳號提交惡意程式碼，從而導致其他開發人員的電腦有可能被植入惡意版本的Python套件。此外，對方也濫用該名維護者的帳號，對惡意GitHub帳號給予星等評價。</p> <p><a href="https://unit42.paloaltonetworks.com/chinese-apts-target-asean-entities/"><strong style="font-size: 22px;">中國駭客組織攻擊東南亞國家聯盟成員及附屬組織</strong></a></p> <p></p> <p>資安業者Palo Alto Networks揭露近日中國駭客組織針對東南亞國家聯盟（ASEAN）的攻擊行動，其中一起是針對緬甸、菲律賓、日本、新加坡而來，源於別名為Mustang Panda、Earth Preta的駭客組織Stately Taurus，他們假借ASEAN與澳洲舉辦的特別會議為由，在3月4日至5日散布惡意軟體。</p> <p>另一起行動則是入侵ASEAN附屬組織，攻擊者身分不明，並對於柬埔寨、寮國、新加坡的政府機關發動攻擊，根據對方活動的時間，研究人員推測攻擊者來自中國。</p> <p><strong style="font-size: 22px;">英國、芬蘭、紐西蘭、澳洲指控中國政府指使駭客組織攻擊民主國家政府單位</strong></p> <p></p> <p>繼<a href="https://www.ithome.com.tw/news/161948">美國對中國駭客組織APT31、與之有關的公司武漢曉睿智科技（Wuhan XRZ）祭出制裁，並對7名成員提告</a>，後續有更多國家出面，指控遭到與中國國家安全部（MSS）有關的APT駭客攻擊。</p> <p><a href="https://www.gov.uk/government/news/uk-holds-china-state-affiliated-organisations-and-individuals-responsible-for-malicious-cyber-activity">英國國家網路安全中心表示</a>，選舉委員會的系統疑似在2021至2022年遭中國駭客破壞，APT31亦在2021年企圖對議員出手但並未得逞。對此，他們將對APT31、武漢曉睿智科技、2名成員進行制裁。</p> <p>芬蘭警方則是<a href="https://poliisi.fi/en/-/investigation-into-hacking-of-parliament-s-information-systems-has-been-ongoing">對於國家調查局3年前揭露的事故提出指控</a>，這起事故針對議會的資訊系統而來，駭客於2020年秋季至2021年初從事網路間諜行動，攻擊者身分就是APT31，他們鎖定其中1名嫌犯。</p> <p>紐西蘭政府通訊安全局（GCSB）指出，2021年議會的法律顧問辦公室、服務部遭到入侵，<a href="https://www.beehive.govt.nz/release/parliamentary-network-breached-prc">經調查攻擊者的身分是中國駭客組織APT40</a>。</p> <p><a href="https://www.foreignminister.gov.au/minister/penny-wong/media-release/cyber-targeting-uk-democratic-institutions">澳洲也對中國駭客的攻擊行動公開譴責</a>，並強調該國的選務系統並未受到英國事故波及；但<a href="https://www.afr.com/technology/leaked-documents-reveal-australia-targeted-by-chinese-hackers-20240325-p5ff4h">當地媒體Australian Financial Review根據中國資安業者安洵信息（i-Soon）外流的資料指出</a>，澳洲也遭到中國政府鎖定。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://chromereleases.googleblog.com/2024/03/stable-channel-update-for-desktop_26.html"><strong style="font-size: 22px;">Google修補Pwn2Own揭露的Chrome零時差漏洞</strong></a></p> <p></p> <p>3月26日Google發布123.0.6312.86、123.0.6312.87版Chrome，總共修補7個漏洞，其中兩個是漏洞挖掘競賽Pwn2Own Vancouver 2024發現的零時差漏洞，而引起關注。</p> <p>其中一個是記憶體釋放後濫用（UAF）漏洞CVE-2024-2886，此弱點出現於WebCodecs元件，為高風險層級；另一個是類型混淆漏洞CVE-2024-2887，此弱點出現於WebAssembly元件，同樣也被列為高風險層級。</p> <div> <p><a href="https://www.securityweek.com/apple-patches-code-execution-vulnerability-in-ios-macos/"><strong style="font-size: 22px;">蘋果發布iOS 17.4.1、macOS Sonoma 14.4.1，修補AV1影音解碼器漏洞</strong></a></p> <p></p> <p>蘋果近日發布iOS 17.4.1及16.7.7、iPadOS 17.4.1及16.7.7、visionOS 1.1.1、macOS Sonoma 14.4.1、macOS Ventura 13.6.6，以及Safari 17.4.1，當中修補CVE-2024-1580，此為AV1影音解碼器dav1d的整數溢位漏洞，一旦觸發有可能導致記憶體中斷，從而在處理圖片的過程被用於執行任意程式碼，CVSS風險評為5.9。</p> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://moda.gov.tw/press/press-releases/11872"><span style="font-size: 20px;">數位部澄清政府短網址服務、111簡訊未遭到破解</span></a></strong></p> <p><a href="https://www.netcraft.com/blog/darcula-smishing-attacks-target-usps-and-global-postal-services/"><strong style="font-size: 20px;">iPhone用戶遭到網釣攻擊套件Darcula鎖定，藉由iMessage散布釣魚簡訊</strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-ray-framework-flaw-to-breach-servers-hijack-resources/"><strong style="font-size: 20px;">人工智慧框架Ray漏洞遭到鎖定，攻擊者挾持運算能力挖礦、竊取機敏資料</strong></a></p> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/security-brief-ta450-uses-embedded-links-pdf-attachments-latest-campaign"><strong><span style="font-size: 20px;">伊朗駭客組織MuddyWater透過遠端管理工具Atera控制受害電腦</span></strong></a></p> <p><a href="https://blog.eclecticiq.com/operation-flightnight-indian-government-entities-and-energy-sector-targeted-by-cyber-espionage-campaign"><strong><span style="font-size: 20px;">駭客佯裝印度空軍做為幌子，對國防及能源單位散布惡意程式</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162004"><strong>【3月27日】AiTM網釣攻擊工具包Tycoon 2FA針對微軟365、Google用戶而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161956"><strong>【3月26日】Google搜尋提供的AI建議竟列出詐騙網站和惡意網站</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161940"><strong>【3月25日】俄羅斯駭客APT29鎖定德國政黨散布惡意程式WineLoader</strong></a></p> </div></div></div>
2024/3/28 16:28作者周峻佑https://www.ithome.com.tw/news/162015
Claude 3 Opus模型於Chatbot Arena上擊敗GPT-4 Turbo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在這幾天，專門盲測大型語言模型（LLM）能力的<a href="https://huggingface.co/spaces/lmsys/chatbot-arena-leaderboard" target="_blank">LMSYS Chatbot Arena排行榜</a>出現了變化，由Anthropic所打造的Claude 3 Opus模型擠下了OpenAI的GPT-4，成為該排行榜上等級最高的LLM。</p> <p>LMSYS Chatbot Arena是由研究組織<a href="https://lmsys.org/blog/2023-05-03-arena/" target="_blank">Large Model Systems Organization在去年5月所發表</a>，為一採用Elo評分系統的平臺，Elo評分系統可用來計算參與者的相對技能，最初是為了改善西洋棋的評分系統而設計，之後則被應用在足球、棒球、籃球、桌球、各種棋盤遊戲，以及最近的大型語言模型；而LMSYS Chatbot Arena則是個開放且眾包的盲測排行榜，支援75種大型語言模型，使用者可於網頁上輸入各種提示，以查看兩個隨機選擇的模型所提供的答案，系統並未揭露生成答案的模型，並由使用者評斷答案的優劣，亦可選擇平手或兩個答案都不好。</p> <p>自LMSYS Chatbot Arena排行榜於去年5月上線以來，評分最高的大型語言模型一直是GPT，但Claude 3 Opus在本周擠下了GPT--4-1106-preview（去年11月釋出的GPT-4 Turbo）與GPT-4-0125-preview（今年1月釋出的GPT-4 Turbo）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-LMSYS%20Chatbot%20Arena.png" style="width: 600px;" /></p> <p><a href="https://www.ithome.com.tw/news/161610" target="_blank">Anthropic是在今年3月發表Claude 3系</a>列的模型家族，涵蓋最低階的Claude 3 Haiku、中階的Claude 3 Sonnet，以及最強大的Claude 3 Opus，除了Claude 3 Opus位居LMSYS Chatbot Arena排行榜冠軍之外，中階的Sonnet與低階的Haiku也都在前十名的榜單上。</p> <p>由曾擔任OpenAI研究副總裁的Dario Amodei，以及其妹妹、同樣身為OpenAI資深員工的Daniela Amodei在2021年共同創立的Anthropic，被視為是OpenAI目前最強勁的對手，鎖定資料科學、機器學習與AI的內容網站<a href="https://www.kdnuggets.com/getting-started-with-claude-3-opus-that-just-destroyed-gpt-4-and-gemini" target="_blank">KDnuggets認為</a>，Anthropic所發表的Claude 3在所有LLM基準測試中都優於GPT-4和Gemini Ultra，已是AI領域新的領導者。</p> <p><a href="https://www.reddit.com/r/ChatGPTPro/comments/1b9czf8/gpt4t_vs_claude_3_opus/" target="_blank">在Reddit平臺有關GPT-4 Turbo與Claude 3 Opus的討論中</a>，多數人贊成Claude 3 Opus的寫作與處理文章的能力勝過GPT-4 Turbo，有人說GPT-4 Turbo對複雜問題的處理能力優於Claude 3 Opus，亦有人覺得Claude 3 Opus所生成的程式碼品質與GPT-4 Turbo相當，但更人性化。</p> </div></div></div>
2024/3/28 17:44作者陳曉莉https://www.ithome.com.tw/news/162023
Amazon已完成投資Anthropic 40億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/company-news/amazon-anthropic-ai-investment" target="_blank">網路巨擘Amazon本周宣布</a>，已完成對AI新創業者Anthropic的40億美元投資，成為該公司創投最高金額紀錄。</p> <p>去年9月Amazon宣布挹注Anthropic 40億美元的計畫，當時僅先投入了12.5億。本周Amazon再補齊剩下的27.5億，完成了對這家新創公司的投資。</p> <p>在這項合作下，Anthropic將成為Amazon Web Services（AWS）的客戶及研發合作夥伴。首先，Anthropic將以AWS為關鍵負載，包括安全研究和未來基礎模型開發的主要供應商。Anthropic將使用AWS Trainium及Inferentia晶片來打造、訓練和部署未來的模型，並且部署在Amazon Bedrock AI平臺上提供AWS客戶使用基礎模型及相關功能，包括檢索增強生成（retrieval augmented generation）、護欄、模型評估與AI助理等，以協助開發生成式AI應用。</p> <p>Amazon將取得這家公司的少數所有權（minority ownership），但不會取得Anthropic董事會席位。</p> <p>本月稍早<a href="https://www.aboutamazon.com/news/aws/amazon-bedrock-anthropic-ai-claude-3" target="_blank">Amazon Bedrock已開始提供</a>Anthropic最新大型語言模型（LLM）Claude 3系列，號稱回應能力具人類等級、準確性和可控性都更好。其中最大型的Claude 3 Opus在推理、數學及編程能力已超越OpenAI的GPT-4。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-amazon%20bedrock%20claude%203.png" style="width: 600px;" /></p> <p>Amazon公布已經有多家企業及開發商在Bedrock上以Claude AI模型開發自家應用，包括達美航空、西門子、理光（Ricoh）美國分公司、網路代管業者Go Daddy、輝瑞藥廠、電話客服中心廠商Genesys、Dana-Farber Cancer Institute治療研究機構、基因研究業者Genomics England及職業高爾夫協會PGA等。</p> <p>如同OpenAI或其他AI新創，Anthropic已成為當紅吸鈔機。<a href="https://www.cnbc.com/2023/12/21/openai-rival-anthropic-in-talks-to-raise-750-million-funding-round.html" target="_blank">CNBC報導</a>，去年底Anthropic在幾輪募資中市值已經來到184億美元，是去年初的4.5倍。Google也投注了20億美元。</p> </div></div></div>
2024/3/28 16:48作者林妍溱https://www.ithome.com.tw/news/162016
Databricks開源通用大型語言模型DBRX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料暨AI業者Databricks周三（3/27）開源了通用大型語言模型（LLM）DBRX，<a href="https://www.databricks.com/company/newsroom/press-releases/databricks-launches-dbrx-new-standard-efficient-open-source-models" target="_blank">宣稱DBRX在各式標準的基準測試上</a>超越了坊間所有的開源模型，也在大多數的基準測試上擊敗GPT 3.5。</p> <p>DBRX是個基於Transformer解碼器的大型語言模型，採用細粒度的混合專家（Mixture of Experts，MoE）架構，具備1,320億個參數，當中有360億個經常處於活動狀態，於12T Token的文字與程式碼資料上進行預訓練。</p> <p>相較於市場上既有的LLaMA2-70B、Mixtral和Grok-1等開源模型，DBRX在語言理解（MMLU）、程式設計（HumanEval）及數學邏輯（GSM8K）等基準測試上的表現明顯勝出。此外，DBRX在上述3項基準測試中亦凌駕OpenAI的GPT 3.5。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-databricks-dbrx-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-databricks-dbrx-600-2.png" style="width: 600px;" /></p> <p>若比較更高階的GPT 4、Claude 3及Gemini 1.0 Pro，那麼DBRX在語言理解上贏過Gemini 1.0 Pro，在程式設計上贏過GPT 4與Gemini 1.0 Pro。</p> <p>Databricks亦強調，DBRX是個採用<a href="https://arxiv.org/abs/2211.15841" target="_blank">MegaBlocks研究</a>與開源專案的混合專家（MoE）模型，得以實現快速的Token處理能力，也相信未來將有更多的開源模型採用MoE架構，因為MoE可用來訓練更大的模型，並以更快的吞吐量來提供服務。</p> <p>Databricks生成式AI副總裁Naveen Rao 向<a href="https://techcrunch.com/2024/03/27/databricks-spent-10m-on-a-generative-ai-model-that-still-cant-beat-gpt-4/" target="_blank">《TechCrunch》</a>透露，該公司花了兩個月及1,000萬美元的成本來訓練DBRX，而經過訓練的DBRX可提供各種主題，現已針對英文進行優化，但也支援法文、西班牙文與德文。</p> <p>不過，《TechCrunch》也指出，一般人並不容易使用DBRX，因為要執行DBRX至少必須配備4個Nvidia H100 GPU或其它GPU，且光一個H100的成本就高達數萬美元，對許多開發者或個人企業家而言是遙不可及的。</p> </div></div></div>
2024/3/28 17:13作者陳曉莉https://www.ithome.com.tw/news/162017
Google報告指去年第三方元件零時差漏洞攻擊增加，鎖定企業軟硬體創新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/safety-security/a-review-of-zero-day-in-the-wild-exploits-in-2023/" target="_blank">Google公布最新漏洞研究報告</a>，顯示第三方元件如函式庫的漏洞攻擊愈來愈多，而針對企業資安軟、硬體的零時差漏洞攻擊創下新高。</p> <p>這份報告是整合Google威脅研究事業群與旗下資安部門Mandiant 2023年零時差漏洞的研究而成，包含針對消費者平臺（如行動裝置、OS、瀏覽器等）和企業產品（如安全軟體和裝置等）爆發的零時差漏洞攻擊。綜觀2023年，Google一共觀測到97項零時差漏洞，比2022年（62項）高50%，但低於2021年的106項，該年也是零時差漏洞史上最多。</p> <p>以平臺而言，2023年Windows以17項被攻擊的零時差漏洞最多，其次是Safari的11項。iOS和Android各有9項，Chrome有8項。除了Chrome比2022年減少1項，macOS、Firefox去年全身而退外，其他都增加了4到8項。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-google%20zeroday-1(1).png" style="width: 600px;" /></p> <p>這份報告歸納去年研究有5大趨勢。首先，平臺廠商強化安全防護，有助於抑制安全攻擊。包括Google 2022年<a href="https://security.googleblog.com/2022/09/use-after-freedom-miracleptr.html" target="_blank">推出MiraclePtr</a>來防範Chrome的使用已釋放記憶體（use-after-free）漏洞。<a href="https://www.ithome.com.tw/news/151816" target="_blank">蘋果也為iOS加入</a>鎖定（Lockdown）模式防範間諜軟體。</p> <p>其次，第三方軟體的零時差漏洞攻擊大增，第三方元件和函式庫成為主要攻擊表面，因為這些漏洞影響不只一種產品，例如Chrome漏洞CVE-2023-4863（名為the WebP 0day）和蘋果Apple ImageIO漏洞CVE-2023-41064其實是同一個，源自WebPimage函式庫，該漏洞也影響Android和Firefox。影響VP8/VP9 libvpx函式庫的CVE-2023-5217，則同時影響Chrome、Firefox、iOS和Android。</p> <p>第三，瞄準企業產品的攻擊持續增加，目標也更多樣化。雖然2023年零時差漏洞總數不是最高，但針對企業產品的卻是歷年新高，由2021年的25項增加為36項，整體占比由11.8%增長為37.1%。研究人員指出，去年零時差漏洞鎖定少數資安軟硬體，包括Barracuda郵件匣道、思科Adaptive Security Appliance、Ivanti端點管理員及趨勢科技Apex One，但另一方面，過去較少被攻擊的產品如Ivanti及North Grid去年也都出現了3項零時差漏洞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-google%20zeroday-2.png" style="width: 600px;" /></p> <p>在58項零時差漏洞的攻擊來源方面，去年商業監控業者和國家駭客是最主要的零時差漏洞推手，各占4成（14項漏洞）。商業監控業者（commercial surveillance vendor，CSV）是專門販售間諜軟體的業者。去年Google及Android裝置中的17項零時差漏洞攻擊，13項攻擊（75%）和CSV出售的間諜軟體有關，論及所有瀏覽器和行動裝置，和CVS有關則的超過60%。來自中國政府支持的駭客零時差漏洞攻擊，去年有12項漏洞，仍居各國之冠。最後，以金錢為目的的零時差漏洞較前一年減少，僅占17.2%。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/3/28 15:53作者林妍溱https://www.ithome.com.tw/news/162014
導入英特爾NetSec加速卡參考設計，神準跨入SmartNIC
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shen_zhun_sx904_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年2月底舉行的世界行動通訊大會期間，英特爾宣布多項消息，像是：將推出代號為Granite Rapids-D的Xeon處理器，採用高效能核心P-Core、內建AI加速功能Intel AVX for vRAN；展示代號Sierra Forest的下一代Xeon處理器，可提供288顆運算核心，用於5G核心網路系統；發表模組化開放軟體平臺Intel Edge Platform，支援邊緣及AI解決方案建置管理；以及提供具有AI PC特色的商用電腦平臺vPro，搭配內建Arc GPU的Intel Core Ultra處理器。</p> <p>若單就我們長期追蹤的SmartNIC與IPU／DPU解決方案而言，英特爾這次特別標榜神準科技（Senao Networks）推出的新產品SX904。根據過往的觀察，基於英特爾平臺而成的這類加速卡或卸載卡，在市面上較常看到的品牌是以色列廠商Silicom，臺灣廠商有立端（Lanner），英業達也曾推出FPGA IPU C5020X，旗下有多種網路設備的神準科技，是最近開始跨足SmartNIC領域，他們之所以能夠推出這類產品，主要是因為採用英特爾發展的NetSec加速卡參考設計（NetSec Accelerator Reference Design）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Show%20Senao%20SX904-2024-02.jpg" style="width: 600px;" /></p> <p>SX904搭配哪些硬體元件？採用Ice Lake微架構的英特爾Xeon-D處理器、具有編碼錯誤更正機制（ECC）的DDR4記憶體、網路控制器Intel Ethernet Controller E810與2個SFP28接頭的25GbE網路埠，以及PCIe 4.0介面，神準強調，基於上述配置，他們的SmartNIC可提供更高的運算效能，運用AVX-512、AES-NI、QuickAssist、SGX等加速處理與資料機密保護技術，並搭配基板管理控制器（BMC）、信賴平臺模組（TPM），獲得遠端管理、韌體安全強化功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel NetSec Accelerator Reference Design-2023-2024.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20NetSec%20Accelerator%20Reference%20Design-2023-2024.jpg" style="width: 600px;" /></a></p> <p>回顧Intel NetSec Accelerator參考設計的公開發表，其實是在2022年6月舉行的RSA大會，英特爾希望藉此改善網路與資安處理效能，縮小這類解決方案供應商的基礎架構配置，他們初期提供的設計是協助廠商快速組建產品，透過PCIe介面卡的形式，提供英特爾長期發展的QuickAssist加速技術（QAT），以及具有資源調度指揮與管理機制的完整伺服器功能，可幫忙主系統處理IPsec、SSL/TLS加解密，以及網路防火牆、SASE安全存取、資料分析等類型的工作負載。而在軟硬體合作夥伴與生態系統的號召上，<a href="https://networkbuilders.intel.com/university/webcasts/f5-solutions-running-on-the-intel-netsec-accelerator-reference-design">Silicom與F5</a>是第一波運用這個參考設計的廠商，提供網路與資安功能的整合與加速，促成快速擴展執行規模與縮短上市時間。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SASE Architecture enabled by Intel NetSec Accelerator Reference Design-2024-02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SASE%20Architecture%20enabled%20by%20Intel%20NetSec%20Accelerator%20Reference%20Design-2024-02.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nginx-Intel NetSec1-2022.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nginx-Intel%20NetSec1-2022.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Nginx-Intel NetSec2-2022.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nginx-Intel%20NetSec2-2022.png" style="width: 298px;" /></a></p> <p>而關於硬體元件的配備，起初採用的系統運算核心是英特爾Atom處理器，並且結合網路控制器Intel Ethernet Network Adapter E810、網路交換器、設置於板卡的DDR4記憶體，以及透過系統單晶片架構封裝而成的硬體加速器（包含QAT），藉此縮短封包資料傳遞路徑、提供低延遲的網路連線能力，並兼具降低設備成本、伺服器機箱空間、耗電量等效益。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel NetSec Accelerator Reference Design-2022-2023.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20NetSec%20Accelerator%20Reference%20Design-2022-2023.jpg" style="width: 600px;" /></a></p> <p>到了2023年第四季，英特爾在Intel Network Builders合作廠商生態系統，揭露這項參考設計的後續進展，並且也在網站公布細部硬體規格。他們明確列出兩種配置，共通點是搭配Intel Ethernet Network Adapter E810網路控制器。</p> <p>其中一種是前面提到的，處理器採用8核心或16核心的Atom，分別是Atom P5721、Atom P5742，它們均為Snow Ridge微架構，內建AESNI、QAT，此種參考設計已經開始量產，由Silicom供應。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NetSec Accelerator Reference Design overview-2023-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetSec%20Accelerator%20Reference%20Design%20overview-2023-11.jpg" style="width: 600px;" /></a></p> <p>另一種是搭配4核心、8核心或10核心Xeon-D處理器，分別是Xeon D-1713NT、Xeon D-1733NT、D-1743NTE，它們均採用Ice Lake微架構，內建AESNI、QAT，也有AVX-512、SGX，神準提供的SmartNIC屬於這種類型，將於今年第2季開始供應這種參考設計。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20NetSec-offering-2024-02.jpg" style="width: 600px;" /></p> <p>而在實際應用案例的部分，英特爾此時公布有多家資安廠商導入，像是：<a href="https://nonamesecurity.com/press/noname-security-joins-intel-network-builders/">API安全廠商Noname Security</a>在他們的感測器系統搭配Intel NetSec Accelerator參考設計，而能將網路與資安工作處理卸載至這個加速器，提升API反應速度，針對低延遲的使用情境，提供近乎即時的機器學習效能，實現網路邊緣的API安全防護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NoName-Intel NetSec-2023-Q4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/NoName-Intel%20NetSec-2023-Q4.png" style="width: 600px;" /></a></p> <p><a href="https://redpiranha.net/news/red-piranha-collaboration-intel-releases-new-single-vendor-sase">XDR與SASE廠商Red Piranha</a>是另一個例子，他們推出的Single Vendor SASE，包含內建1GB記憶體的Intel NetSec Accelerator參考設計，而用於資安掃描的網路吞吐量可達到2.4 Gbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Red Piranha-NetSec-2023-Q4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red%20Piranha-NetSec-2023-Q4.png" style="width: 198px;" /></a><a href="https://s4.itho.me/sites/default/files/images/Red Piranha-NetSec-2023-Q4-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red%20Piranha-NetSec-2023-Q4-2.jpg" style="width: 398px;" /></a></p> <p><a href="https://versa-networks.com/news/2023/versa-networks-to-showcase-sase-on-smart-nic-functionality-at-intel-innovation-2023/">SASE廠商Versa Networks</a>也利用這個參考設計，發展出Versa Secure SD-NIC產品，當中執行支援多租戶、提供多種服務的雲端原生軟體堆疊Versa Operating System（VOS），可用來延伸該公司的Secure SD-WAN與Secure SD-LAN架構，展示SASE on a Smart NIC的應用方式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Versa SD-NIC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Versa%20SD-NIC.jpg" style="width: 600px;" /></a></p> <p><a href="https://arrcus.com/blog/arrcus-edge-networking-solutions-on-intel-netsec-accelerator-reference-design/">多雲網路解決方案廠商Arrcus</a>將此技術運用於虛擬路由器ArcEdge，能以容器、虛擬機器或裸機型態的軟體系統，執行在相容於Intel NetSec Accelerator參考設計的板卡上，已提供同質的應用程式連線，串接代管機房、邊緣運算環境至公有雲、企業內部資料中心之間，可協助電信業者、代管機房業者能夠發展出多個網路切片，而能同時滿足用戶對於高頻寬與低延遲的服務等級協議（SLA）要求，以及這些廠商保留實體空間、增進整體能源使用效率的要求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ArcEdge on NetSec Accelerator-2023-Q4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ArcEdge%20on%20NetSec%20Accelerator-2023-Q4.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-10-Hypothetical-ArcEdge-Colocation-Host-Architecture-on-Intel-NetSec-Accelerator-Reference-Design.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-Hypothetical-ArcEdge-Colocation-Host-Architecture-on-Intel-NetSec-Accelerator-Reference-Design.jpg" style="width: 298px;" /></a></p> <p><a href="https://www.adtran.com/en/newsroom/press-releases/20231114-adtran-integrates-intel-netsec-accelerator-reference-design-with-ensemble-cloudlet">分散式網路與電信通訊廠商Adtran</a>，宣布他們的Ensemble Cloudlet軟體多節點解決方案，整合Intel NetSec Accelerator參考設計，強化邊緣端的雲端服務部署，提供強化的安全性、更快的資料處理能力，並且改善網路效能，而基於這樣的參考設計，可用於彈性部署加密加速與運算卸載的機制，能針對服務供應商與企業在網路邊緣與內部網路設置的模組化雲端基礎架構，帶來成本效益與高效率的做法。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Adtran Ensemble Cloudlet and management platform-2023-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Adtran%20Ensemble%20Cloudlet%20and%20management%20platform-2023-11.jpg" style="width: 600px;" /></a></p> <p>根據在英特爾公布的相關技術運作架構，也特別標示出Ensemble Cloudlet執行在Supermicro的2U3節點伺服器SYS-211SE-31D，而且當中會搭配NetSec加速卡，例如，搭配Atom處理器的Silicom P425G2SNx IAONIC SmartNIC，以及搭配Xeon-D處理器的神準SX904。而這套解決方案組合，也正是最前面我們提到英特爾MWC 2024大會期間所展示的產品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Show Senao and Silicom-2024-02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Show%20Senao%20and%20Silicom-2024-02.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Senao Networks SX904</strong><br /> ●原廠：神準科技<br /> ●建議售價：廠商未提供<br /> ●外形：全高、3/4長介面卡<br /> ●處理器：Xeon D-1713NT（4核心、45瓦熱設計功耗）、Xeon D-1733NT（8核心、53瓦熱設計功耗）、Xeon D-1747NTE（10核心、80瓦熱設計功耗）<br /> ●記憶體：DDR4-2933、雙通道存取，最大32 GB<br /> ●I/O介面：PCIe 4.0 x8<br /> ●網路介面：2個SFP28埠（可支援25 GbE）<br /> ●遠端系統管理元件：信驊科技AST1060（Intel PFR）、信驊科技AST2600（Open BMC/BIOS）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/28 12:51作者李宗翰https://www.ithome.com.tw/review/161958
關鍵民生系統將支援跨境公雲，大幅提升大型災禍的應變韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「現行公務機關的異地備援、備份機制，當發生小規模災難，如機房失火可靠其他資料中心支援，但若遇到大規模災難或是人禍，連30公里外的資料中心也無法運作，要怎麼辦？」，數位發展部數位政府司長王誠明一語點出公務機關現有備援、備份機制不足之處。</p> <p>當發生地震等重大災害或因為戰爭進入緊急狀態，就像一堂臨時的隨堂考試，考驗政府服務的韌性準備是否足夠，為穩定社會秩序，政府應該維持社會的基本運作，並達到安撫民眾的效果。</p> <p>目前公務機關依據資安規定，依照機關的資安等級，針對營運持續運作訂定營運持續計畫，並進行演練，在公務機關的主機房建立本地備援、備份之外，在30公里以外的地點建置異地備援、備份中心，考慮到主要機房如果遭受災害、人為破壞或機房設備故障，可由另一地的備援中心接手，以維持系統運作提供服務，並保存資料。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>機關在境內建立備援機制，難以應付大規模災害或人禍</strong></span></span></p> <p>然而，這套公務機關運作多年、熟練的異地備援、備份架構，主要因應系統故障或颱風、地震、水災、火災等小規模災害為主，公務機關多基於資料機敏性及安全性考量，主、異地備援資料中心建置在境內。</p> <p>近幾年隨著全球極端氣候、大型災害頻傳，加上國際情勢丕變，例如2022年東加大地震，同年爆發俄烏戰爭，2023年中東地區以哈戰爭，兩岸關係也日趨緊張，大規模災害如地震、海嘯，或是戰爭等緊急狀態威脅增加，機房等關鍵資訊基礎設施遭到破壞，如果境內的主、異地備援資料中心無法運作，關鍵民生系統停擺，服務就可能面臨癱瘓。</p> <p>另一個問題是，公務機關大多依賴外部廠商協助開發、維運，一旦發生災害或緊急狀態，城市、交通要道毀損，外部廠商難以支援的情形下，公務機關必需自行操作維運，但由於平時過度仰賴廠商，公務機關人員缺乏自主的能力。</p> <p>另外，機關過去的演練偏向系統發生異常或單一設備故障，主、備中心切換，當發生緊急狀態，缺乏從公有雲操作備援、備份的能力。</p> <p>鑑於國際上借助公有雲提升災害及戰時政府韌性的案例，當境內的資料中心因災禍遭到破壞，讓境外公有雲即時救援，緊急提供關鍵民生基本服務，提高政府緊急應變能力，在境外公有雲備份保存資料。行政院在去年11月通過數位發展部規畫的「數位韌性-行政部門關鍵民生系統韌性方案」（以下簡稱韌性方案），該方案為4年計畫，投入13.4億元，聯合7個部會，共18個關鍵民生系統。</p> <p>選定的系統包括內政部的戶政與役政系統、土地登記與地用系統、土地複丈與地價系統，內政部移民署的入出國查驗系統、移民管理系統，財政部的國稅、地稅系統，衛福部健保署的健保承保系統、醫療系統，交通部公路局的車籍與駕籍系統、運輸業管理系統，經濟部的公司與工廠管理系統、商工資料查詢服務、重要物資及固定設施調查系統，勞動部的勞保系統，還有數位部的全球資訊網站、公務系統、雲端T-Road。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>讓跨境公有雲扮演境外緊急備援、備份中心</strong></span></span></p> <p>為了提高關鍵民生系統的韌性，該方案有2大作法，第1個是打造核心功能上雲，第2個是資料雲端備份。</p> <p>打造核心功能系統上雲方面，由公務機關盤點關鍵民生系統在災害或緊急狀態需要的基本功能服務，利用雲原生架構開發輕量化的核心功能系統，部署至跨境公有雲，當災害或緊急狀態下境內資料中心遭破壞，緊急由境外公有雲的核心功能系統備援，維持政府基本服務運作。</p> <p>資料雲端備份，透過境外公有雲保存資料，不同的是，資料並非直接儲存在雲端備份，必需經過加密分持備份後，在跨境公有雲備份，在事後重建系統、還原資料。公務機關演練雲、地系統切換，資料雲端備份還原。</p> <p>韌性方案借助境外公有雲資源，當公務機關在境內的資料中心都無法運作時，可由跨境公有雲扮演境外緊急備援、備份資料中心角色，相較於過去公務機關在境內建置的主、異地備援中心，仍有固定的地理位置，而跨境公有雲由於在境外且沒有固定位置，使用雲端服務也有相當大的彈性。</p> <p>王誠明表示，韌性方案的目的是在大規模災害或緊急狀態下，當境內資料中心無法運作，甚至緊急狀態持續半年或一年，透過雲端保存資料、核心功能系統，考慮到在緊急狀態下，網路傳輸資源受限，無法將整個關鍵民生系統移到雲端，因此開發輕量化的核心功能系統上雲，滿足社會的基本運作需求。當天災人禍結束後，公務機關自己具備能力，不需依賴廠商，能容易重建系統、回復資料。</p> <p>換言之，過去公務機務仰賴境內的資料中心維持關鍵民生系統及服務，一旦遇到大規模強震、颱風或戰爭導致資料中心毀損，關鍵民生服務停擺，政府在動員、資源調度上也會受到影響；而透過境外公有雲建立境外緊急備援、備份機制，即使境內資料中心毀損，仍可透過境外公雲、有限的通訊網路，維繫基本的民生服務，同時讓政府掌握資源應變。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>加速政府機關擁抱公有雲</strong></span></span></p> <p>過去政府機關對採用公有雲態度比較保守，一方面因為資訊系統多年發展下來，架構老舊且龐雜，如果要改寫，往往牽一髮動全身，需要投入大筆經費，且耗費不少時間，缺乏經費來調整系統架構。另外，公務機關資料如果涉及敏感性資料，放到雲端恐有資料外洩的疑慮，並且受到外界的質疑。</p> <p>隨著雲端服務成熟，各種工具、應用豐富多元，計價收費也更為細緻化，企業採用雲端服務已相當普遍，政府機關也看好雲端服務帶來節省支出、資源彈性運用優勢，國發會在2020年推動「雲世代雲端基礎建設計畫」(推動期從2021年到2025年)，和農委會(現為農業部)、內政部、財政部、經濟部、文化部等7個部會合作，規畫29項政府為民服務上雲，例如內政部的TGOS地理資訊圖資雲服務、財政部的消費通路雲端發展微服務、稅務好幫手、海關e申報等對民服務逐漸移到公有雲。</p> <p>雲世代雲端基礎建設計畫規畫上雲的服務，以面向民眾服務優先、不具機敏性資料，可善用雲端服務的可用性及資源彈性擴充，因應服務使用的離尖峰需求彈性擴充、縮減資源，節省機關的支出。</p> <p>這次關鍵民生系統韌性方案的推動，是以災害或緊急應變的服務韌性角度出發，以經費補助7個部會的公務機關，以勞健保、戶役政、國稅、地稅等大型民生關鍵系統為對象，利用雲原生架構開發全新的核心功能系統，部署於境外公有雲，同時也以資料加密分持備份上雲。</p> <p>在政府強化關鍵民生系統韌性上，關鍵在於透過跨境公有雲扮演緊急救援的角色，其重要性不言而喻，將公有雲正式納入公務機關的重要民生系統營運持續規畫中，讓公務機務加速擁抱公有雲。</p> <p>財政部財政資訊主任張文熙表示，政府機關對採用公有雲保守的原因，包括考量安全因素及經費，首先，雲端和在地系統投入的安全投資不同，需要重新建置規畫，其次，改寫現有系統需要投入大筆經費，韌性方案補助經費，讓機關開發關鍵系統的核心功能系統上雲，讓公務機關更有意願將公有雲納入選項。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>地端系統也會朝微服務、容器化發展</strong></span></span></p> <p>由於財政部稅務系統因為使用已超過10年，也面臨汰換階段，財政資訊中心考慮採用新方法汰換系統，也重新思考系統韌性，未來將評估哪些功能或服務可被切分，優先以雲原生架構開發，利用雲原生架構的彈性，來滿足服務使用離尖峰需求。</p> <p>因政府機關過去熟悉的是地端系統架構，對雲原生架構開發、雲端管理相當缺乏，衛福部健保署副署長龐一鳴更是直言，對雲有想像、有期待，但內部專業能力不足，韌性方案除了提供類似沙盒環境驗證新作法，也提供很好的機會練兵。</p> <p>健保署也計畫未來逐漸調整現有系統架構，從單體式系統轉為微服務架構，以利用微服務的彈性、容易水平擴充、易於部署等特性，來提升系統的可用度及穩定度。</p> <p>關鍵民生系統韌性方案，透過公有雲加強民生系統對大規模災害的韌性，公務機關也藉此機會培養資訊團隊熟悉雲原生架構相關開發技術，不只是為了韌性方案開發核心功能系統上雲，也為未來地端系統汰換作準備，逐步朝向更具彈性、易擴充、部署的彈性架構發展。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>機敏資料備份至境外公雲引疑慮</strong></span></span></p> <p>過去政府服務上雲以非機敏性資料為主，此次韌性方案在資料備份上，可能對擁有大量敏感資料的公務機關帶來衝擊，過去政府機關不敢貿然讓服務上雲，其中一項考量便是資料安全，因此先前政府服務上雲，以非機敏資料的應用服務為主。</p> <p>不過，韌性方案基於緊急狀態下保存所有資料，這項資料備份作法並沒有區分機敏性或非機敏性資料，規定公務機關平時除了原有的資料備份之外，還需以資料加密分持備份到3個跨境公有雲，挑動機關的機敏資料保護的敏感神經。</p> <p>韌性方案規畫資料備份到跨境公有雲，例如勞健保、戶役政、地政、稅務等資料送到境外公有雲，雖然數位部事先檢視國內相關資安法規，並沒有規定政府機關資料不得上雲或在境外儲存，並且以資料加密分持備份降低資料外洩風險，即將資料加密後切分為3個部分，分別備份到3個跨境公有雲，單一公有雲的備份資料外洩，難以還原為完整資料。</p> <p>雖然如此，還有是有公務機關擔心資料即使加密分持備份到不同的境外公有雲，但是只要取得任意2份資料，加上量子電腦破解加密技術，還是可能導致資料外洩風險，鑑於韌性方案並沒有對跨境公有雲提出嚴格的建議，部分機關尋求解決之道，認為可將資料分持備份到具有跨境能力的境內公有雲。</p> <p><a href="https://www.ithome.com.tw/article/162009" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/28 11:50作者蘇文彬https://www.ithome.com.tw/news/162000
【關鍵民生系統韌性大升級｜機關推動方向：內政部資訊服務司】結合資料雲端備份及演練強化戶役政與地政服務韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="margin-left:-.1pt;">戶籍、地籍與民眾生活習習相關，以戶政為例，民眾使用戶政服務背後的戶役政資訊系統，戶政單位使用全國性的集中式管理資訊系統，這個全國性的大型管理系統，包含12,900餘萬支程式，高達1,100餘萬行程式碼，涵蓋60餘個資料庫。</p> <p style="margin-left:-.1pt;">而在地政系統方面，目前全國110個地政事務所使用的地政整合資訊系統，資料庫、土地登記、複丈及地價系統，為22個縣市的分散式管理資訊系統。</p> <p style="margin-left:-.1pt;">由於戶役政系統為重要的對民服務，內政部資訊服務司針對該系統，建立2地、3備援（備份）機制，以提升系統的可用性，強化服務的數位韌性；至於地政整合資訊系統則採分散式架構，存放在各直轄市、縣市地政局或地政處，內政部並針對地籍相關資料庫作地端的異地備援、備份機制。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>今年先驗證資料雲端備份機制</strong></span></span></p> <p style="margin-left:-.1pt;">在政府推動關鍵民生系統韌性方案中，戶役政系統、地政系統均被納入18個關鍵民生系統韌性方案，內政部資訊服務司成為韌性方案的合作機關之一，韌性方案分為兩大部分，建立資料加密分持雲端備份，以及開發核心功能系統上雲。</p> <p style="margin-left:-.1pt;">以地政系統為例，資訊服務司今年開始規畫提升地政系統的數位韌性，先計畫建立雲端備份機制，考量到在大型災禍的緊急狀態之下，公務機關委外廠商可能無法正常支援，因此需由機關人員自行操作備份，需建立簡易資料備份功能。</p> <p style="margin-left:-.1pt;">因地政資料分散在各縣市，他們先將各縣市地政局或地政處定期彙整各地地政事務所，地政系統使用的應用程式、地籍資料庫備份檔先經過壓縮後，再以資料加密分持備份，按照韌性方案要求，將備份資料畫分為3個部份，分別備份於3個境外公有雲。</p> <p style="margin-left:-.1pt;">今年先驗證及建立雲端備份機制後，預計在年底進行地政整合系統的雲端系統功能及資料切換演練，包括定期訓練內部人員操作資料分持備份還原，讓機關人員不僅可以自行操作資料加密分持備份，在緊急狀態結束後，也能自雲端取得備份資料操作還原資料。</p> <p style="margin-left:-.1pt;">而在核心功能系統方面，內政部將在2025年底之前，以雲原生架構開發土地登記、複丈及地價系統的核心功能系統，這套輕量化的核心功能系統目的為部署至跨境公有雲，在天災人禍的緊急狀態期間，確保仍能透過境外公有雲提供地政系統的基本服務，不致因為境內資料備援、備份失效而服務癱瘓。</p> <p style="margin-left:-.1pt;">針對全國集中管理的戶役政資訊系統，在資料備份方面，今年進行資料加密分持雲端備份的POC概念驗證，核心功能系統上雲方面，則需盤點核心功能的重要性，在緊急狀態下哪些功能服務需要維持；2025年開發戶役政核心功能系統，並依前一年資料加密分持備份的POC驗證經驗，開發系統緊急備份分持同步到公有雲的功能。</p> <p style="margin-left:-.1pt;">內政部規畫在2026年完成雲原生架構核心功能系統開發，並開始進行測試運作，同時也完成系統緊急備份、分持同步至公有雲系統功能。2027年開始培訓人員操作資料加密分持備份，以及核心功能模組維運及優化。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>傾向採用境內公雲解決資安疑慮</strong></span></span></p> <p style="margin-left:-.1pt;">依韌性方案的建議，採用跨境公有雲提升系統韌性，內政部資訊服務司司長黃國裕表示，未來如何選擇公有雲，基本上會由數位部評估，但是基於保護民眾資料的立場，考量資料備份至境外雲可能有資安疑慮，已向韌性方案的推動部會數位發展部反映，希望能採用具備跨境能力的境內雲，當境內發生緊急狀態，可透過雲交換到境外，國內已有業者具備跨境的能力。</p> <p style="margin-left:-.1pt;">雖然按照韌性方案的規畫，將資料加密分持為3份資料，只有取得2份才可能還原回復資料，但黃國裕表示，取得2份資料不會困難，儘管備份的資料經過加密，但量子電腦的出現容易破解加密。另外，現階段資料加密分持備份規畫採用AES256，加密處理速度需要較長時間，難以將全部的資料備份到雲端，不足以應付複雜的數位戶政業務需求，可能只能挑選部分的資料加密分持備份至雲端。</p> <p style="margin-left:-.1pt;">內政部配合韌性方案，將以容器化的微服務技術開發核心功能系統上雲，在此之前，過去國發會推動雲世代雲端基礎建設，內政部資訊服務司也將TGOS平臺移至公有雲，不論雲世代雲端基礎建設或是此次韌性方案，加速政府擁抱公有雲、雲原生技術，「未來的彈性化及多元服務發展是必然的」，黃國裕說。</p> <p style="margin-left:-.1pt;"><a href="https://www.ithome.com.tw/article/162009" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/28 11:51作者蘇文彬https://www.ithome.com.tw/news/161997
【關鍵民生系統韌性大升級｜機關推動方向：交通部公路局】強化公路監理核心系統韌性供政府緊急調度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="margin-left:-.1pt;">當大型災禍發生的緊急事態期間，政府救災、應變需要掌握交通相關的專業人員及設備，以方便調度可用資源，交通運輸監理成為緊急事態期間必要服務，因此負責全國交通監理的交通部公路局也參與關鍵民生系統韌性方案，公路局負責的第3代公路監理資訊系統(簡稱M3)底下的車籍與駕籍管理系統、運輸業管理系統，被選入關鍵民生系統韌性方案。</p> <p style="margin-left:-.1pt;">公路監理資訊系統，掌理全國的駕駛人、車輛，還有技工，此外，還有一些特殊機械動力的資料管理，因此在緊急期間資源調度運用上，其重要性不亞於以自然人為主體的戶役政系統，或是以法人為主的公司、工商資訊系統。</p> <p style="margin-left:-.1pt;">由於M3系統對全國交通監理的重要性，公路局原本採用高可用性的設計，甚至因應分布各地的監理所，部分監理所可能位於偏遠地區，就近服務當地的民眾，容易受到災害或意外中斷當地對外的固定網路通訊，公路局也與行動電信業者合作，以無線通訊網路4G VPN支援偏遠地區監理所的通訊。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>緊急狀態下滿足政府調度資源為優先</strong></span></span></p> <p style="margin-left:-.1pt;">交通部公路局資訊室主任陳文嘉表示，除了臺北的機房，在中部也設有異地備援機房，公路局每年執行備援演練，演練除了和地方的監理所合作之外，也和外部合作單位，例如繳費的超商合作演練。雖然北部與中部分別建立主要、異地備援資料中心，但如果未來發生大規模災害，主要及異地備援資料中心無法運作，通過此次韌性方案，可透過資料備份的3個跨境公有雲，取得任意2朵雲的備份資料，就能回復資料，「如此可以確保資料的安全，在災後復原階段，從公有雲取得備份資料，就能迅速復原」，他說。</p> <p style="margin-left:-.1pt;">在緊急事態期間，政府需要緊急調度可用資源，運輸物資可能需要的功能服務，公路局計畫開發全新架構的微型核心系統，並部署於跨境公有雲，當發生緊急事態期間，國內備援及備份機房無法運作，透過跨境公有雲的小型核心功能系統，供政府掌握擁有專業技術的駕駛人、專業車種，或是聯繫客運及貨運業者，調度車輛及駕駛協助運送物資。</p> <p style="margin-left:-.1pt;">評估在緊急事態期間，平時監理系統的違規、收稅費重要性降低，以緊急情況下應變的功能服務為優先。在盤點系統時，將資料分為機敏性、非機敏性資料，機敏性資料指姓名、身分證字號等可辨識個人身分的資料，非機敏性資料例如車輛類別、車型、規格、定檢日期等等。</p> <p style="margin-left:-.1pt;">機敏性資料加密分持後，上傳到境外公雲冷備份儲存，存取備份資料需身分驗證，依韌性方案建議，將資料切分3塊後，分別備份到3個境外公雲，每年至少4次上傳到3個境外公雲；至於非機敏性資料，同樣加密處理，因為資料量較大，計畫採用大容量可攜儲存設備，每年至少1次備份到3個境外公雲。</p> <p style="margin-left:-.1pt;">陳文嘉表示，每年至少會做1次資料備份還原演練，提高公路監理系統的數位韌性，同時考量在緊急狀態下，外部廠商難以支援，會透過教育訓練讓局內人員具備自主操作能力。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>地端系統也會朝微服務、雲原生架構發展</strong></span></span></p> <p style="margin-left:-.1pt;">不同於資料加密分持備份採用3朵境外公雲，微型核心功能系統上雲部分，公路局考量資料同步的頻率較高，且若直接部署境外公雲，傳輸成本較高，初步規畫將微型核心功能系統部署於境內公有雲，但具備移到境外公有雲的能力，公路局評估，微型的核心功能系統部署在境內公雲，好處是能提供較好的本地支援服務，每年切換演練也有較好的可操作性。</p> <p style="margin-left:-.1pt;">公路局規畫針對車籍、駕籍管理系統、運輸業管理系統，先盤點哪些是緊急情況下重要的功能，抽離輕量化為獨立的模組，以在災害人禍等緊急狀態下，可在雲端運作，或是配合政府動員調度資源。公路局預計2026年完成核心功能系統開發。</p> <p style="margin-left:-.1pt;">未來採用公有雲服務，公路局還要評估雲端服務的持有成本，因為過去自建系統，採購相關軟硬體，可達到哪些功能，比較明確，而雲端服務切分瑣碎，每種功能服務收費再按規格、流量有不同計費，雲端服務持有成本還需要經過評估。</p> <p style="margin-left:-.1pt;">與許多公務機關相同，公路局過去較少接觸雲原生架構，因此他們希望從這次韌性方案開始，公路局以雲原生架構技術開發微型核心功能系統，另外，現有的第3代公路監理系統已使用超過10年，正規畫汰換主、備援中心的設備，更新資料庫及資料移轉，也會將複雜的第3代公路監理系統拆分，將適合的服務以雲原生及微服務試作開發。以外界較常使用的監理服務網為例，規畫在2025年上半年部署至雲端。</p> <p style="margin-left:-.1pt;">儘管現有的第3代公路監理系統中，較大的系統難以容器化，但公路局認為雲原生仍是未來發展趨勢，公務機關仍採用傳統三層式的私有雲架構，面臨許多資安議題，若採用容器化、雲原生架構，就能將資安議題限縮為個別容器的問題，公路局相信容器化會是趨勢，相信未來公務機關朝這個方向規畫系統。</p> <p style="margin-left:-.1pt;"><a href="https://www.ithome.com.tw/article/162009" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/28 11:51作者蘇文彬https://www.ithome.com.tw/news/161999
【關鍵民生系統韌性大升級｜機關推動方向：衛福部健保署】透過韌性方案練兵培養上雲技術力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="margin-left:-.1pt;">對民眾而言，生病或受傷就醫是相當基本的民生需求，因為就醫需求不分白天或黑夜，後端資訊系統也需要24小時全天候服務，為確保服務不致因為設備故障或災害而導致服務停擺，掌管健保及醫療系統的健保署建立備援機制，在兩地建置機房進行異地備援，健保的承保系統、醫療系統分別部署於兩個機房，採熱備援方式，系統也以多臺伺服器作負載平衡，並且每年定期切換演練。資料備份策略上，每天執行本地端應用系統及資料備份，並將備份資料同步到異地端，每年執行還原演練。</p> <p style="margin-left:-.1pt;">然而，這套備援、備份計畫是按傳統異地備援的方式來設計，如果發生大規模災害及特殊的緊急狀態，造成兩地的機房毀損，當境內既有建立的備援、備份機制相繼失效，就需仰賴境外系統維繫基本服務運作，衛福部健保署的健保系統、醫療系統列入18項關鍵民生系統，政府希望透過跨境公有雲強化服務韌性。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>韌性方案提供練兵機會</strong></span></span></p> <p style="margin-left:-.1pt;">衛福部健保署副署長龐一鳴表示，健保署行之有年的備援及備份機制已相當熟練，然而此次關鍵民生系統韌性方案，以境外公有雲提供韌性支援，核心功能上雲、資料加密分持備份、還原演練等，「這些目前還是概念層，沒有實作無法知道它的可行性，代價有多大，透過參與韌性方案，如同在沙盒環境驗證」。</p> <p style="margin-left:-.1pt;">健保署過去缺乏雲原生開發和雲端部署的經驗，龐一鳴直言，雲端服務相當成熟，雲端、混合雲已漸漸成為趨勢，但健保署內部的基層同仁沒有接受完整的雲端課程，缺乏相關的訓練認證，缺乏練兵的機會。「我們對雲有想像、有期待，但內部專業能力不夠，韌性方案提供一個很好的機會來練兵」，他說。</p> <p style="margin-left:-.1pt;">龐一鳴表示，雲服務最基本的資料備份還原，以及健保署本身的資料量龐大，切分後備份到3個跨境公有雲，備份還原過程會不會遺失資料，甚至是未來朝混合雲發展，對雲服務有很多想像空間，但是都需要驗證。</p> <p style="margin-left:-.1pt;">舉例來說，韌性方案規畫的資料加密分持備份至跨境公有雲，健保署不曾採用，去年曾測試資料加密分持備份，由於健保資料龐大，健保署預估，資料加密分持備份時，需要原本資料量的1.5倍額外空間，如僅依賴網路傳輸龐大資料，在全天候全速傳輸之下，約需要接近一個月時間才能將資料送至雲端，在預算的容許下，每個月一次將資料備份上雲，這意謂著未來回復資料的時間差至少1個月。如果以重大災害後，重建回復完整資料為目標，要將健保署的完整資料進行加密分持備份，則需要更大的儲存空間。</p> <p style="margin-left:-.1pt;">相較於以雲原生架構開發核心功能上雲，因雲端化技術成熟，挑戰相對較小，健保署更大的挑戰是資料加密分持備份，需要考慮資料大小、完整性、時間性及範圍、網路傳輸、運算處理、儲存空間、費用等等。</p> <p style="margin-left:-.1pt;">至於健保署規畫哪些核心功能上雲，龐一鳴指出，未來在緊急狀態如戰爭期間，依健保法規定，健保不用於支付戰時的醫療費用，健保署的角色偏重在緊急狀態結束之後復原階段，確保資料保存及回復，韌性方案正好提供很好的機會，進行技術上的概念驗證。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>審慎評估適合的跨境公有雲</strong></span></span></p> <p style="margin-left:-.1pt;">當發生大規模災害或是突發的緊急狀態，境內兩地資料中心失效，跨境公有雲擔負起重要的核心系統備援及資料保存角色，在政府強化數位韌性中扮演關鍵角色，健保署已經訂出了境外公有雲的評估重點，包括功能需求、效能可靠性、安全性、成本、地理位置、支援和服務等等。</p> <p style="margin-left:-.1pt;">在功能需求部分，考量境外公有雲提供運算、儲存、資料庫、機器學習等服務或工具；效能可靠性方面，例如雲服務的效能、可用性、故障恢復能力等；安全性部分，考量資料加密、身分驗證、存取控制；成本方面，比較不同公有雲平臺的定價及費用結構，由於韌性方案為4年的中期計畫，目的為協助各公務機關驗證並建立跨境公有雲備援及備份機制，在韌性方案結束之後，各機關仍需租用雲端服務，需編列經常門經費，必須考慮長期的成本效益，健保署希望未來行政院編列經常門費用支持。</p> <p style="margin-left:-.1pt;">地理位置方面，健保署指出，考量跨境公有雲的資料中心地理位置，綜合需要的性能及合規性判斷；支援及服務方面，韌性方案雖然規畫為境外公有雲，但考量到技術支援、培訓及顧問服務，如同前面提到，健保署缺乏雲端服務及工具的基礎，必要之時能獲得協助，雖然為境外公有雲，但必需能提供本地的支援服務。</p> <p style="margin-left:-.1pt;">配合韌性方案的推動，未來4年健保署規畫以雲原生架構，以模組化、輕量化功能開發雲端版的核心系統，在災害或緊急狀態下，仍能以雲端提供核心系統的基本服務。</p> <p style="margin-left:-.1pt;">至於地端的系統，健保署未來規畫會從單體式系統，轉為以微服務架構，利用微服務具備的彈性、容易水平擴充、易於部署等特性，來提升系統的可用度及穩定度。</p> <p>健保署的應用系統目前均建構在私有雲，未來逐步調整為混合雲架構，以提升系統營運的韌性。</p> <p><a href="https://www.ithome.com.tw/article/162009" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/28 11:51作者蘇文彬https://www.ithome.com.tw/news/161963
【關鍵民生系統韌性大升級｜機關推動方向：財政部財政資訊中心】先具備技術力為跨境公雲部署作好準備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="margin-left:-.1pt;">當國內發生大規模災害或緊急狀態時，維繫政府服務的基本運作是此次政府關鍵民生系統韌性方案的目標，其中稅收關係到國家的財政收入，也與民生習習相關，財政部的國稅系統、地稅系統被選為18項關鍵民生系統之一。</p> <p style="margin-left:-.1pt;">由於稅務為國家財政收入主要來源，維持稅務運作對政府來說相當重要，財政部在臺北的資料中心，本身就設計正副兩套系統負載平衡，在中部也有一個異地備援資料中心。此次韌性方案，假設國內發生大規模災害或緊急狀態，當北部、中部兩地資料中心先後失效，政府部門可透過跨境公有雲的第三方角色，提升服務系統及資料備份的韌性，在災害或緊急狀態下，能夠維持基本的稅務服務，在災後或緊急狀態解除後，得以重建系統、回復資料。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>重新思考韌性設計</strong></span></span></p> <p style="margin-left:-.1pt;">除了行政機關關鍵民生系統韌性方案今年開始推動，由外而內推動機關透過跨境公有雲提昇系統的韌性，財政部內部的系統也因面臨汰換，重新思考韌性設計。</p> <p style="margin-left:-.1pt;">財政部財政資訊中心主任張文熙指出，目前的稅務系統大多於2011年建置，電腦系統已使用超過10年，面臨汰換的需求，一方面採用新方法汰換舊系統，另方面也會考慮如何加強韌性，當初規畫時並沒有預想大規模災害發生的可能性，現在面臨全球氣候變遷，大型災害發生可能性增加，需要重新思考韌性設計，讓系統更具備彈性，並且容易搬到雲端環境。</p> <p style="margin-left:-.1pt;">對於韌性方案鼓勵機關運用跨境公有雲，但是如果使用完全境外的公有雲，資料在境外風險就會增加，一旦發生資料外洩，我國的司法管轄難以觸及國外，因此他認為可選擇在國內提供服務或是和本地業者合作，具備跨境能力的公有雲業者，跨境公有雲業者在國內可受到規範管理，在非緊急的時候，不需移到境外。相較於考慮資料是否移到境外公有雲，更優先的工作是做好技術準備。</p> <p style="margin-left:-.1pt;">財政資訊中心依照韌性方案，規畫開發輕量化的核心功能系統，他們首先面臨的工作是盤點業務，考慮大規模災害或緊急狀態之下，哪些稅務工作需維持運作，舉例來說，平時徵收的娛樂稅或印花稅，在緊急狀態下並非優先業務，與民眾財產相關的所得稅、房屋稅、地價稅優先性較高。此外，民眾經常使用的查詢服務，如稅籍查詢、稅金、繳納與否等，在緊急狀態發生也需維持正常運作。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>運用雲原生架構提高資源運用彈性</strong></span></span></p> <p style="margin-left:-.1pt;">張文熙表示，財政部財政資訊中心配合韌性方案，正好也面臨內部系統需要汰換，先規畫哪些功能或服務可切割，優先以雲原生架構開發，利用雲原生架構較大的彈性，滿足服務使用離尖峰需求。</p> <p style="margin-left:-.1pt;">張文熙認為，雲原生技術能提供較大的彈性，目前國內共有17種稅，如印花稅、娛樂稅、房屋稅、牌照稅等等，每種稅有不同的徵收條件，徵收期間不同，個別的稅離尖峰時間差異相當大，過去系統規畫容量主要以尖峰時間為主，採用新技術可在離峰時釋出資源。</p> <p style="margin-left:-.1pt;">目前財政部已有一些服務利用雲端系統，例如每次發票開獎，民眾的查詢需求增加，但是平時查詢需求較少，去年12月，對獎查詢服務上到雲端後，發現效益很好，節省了不少IT支出。</p> <p style="margin-left:-.1pt;">張文熙表示，新系統的設計未來會朝該方向規畫，以較少的經費完成更多工作，讓資源的運用有更大的彈性。然而，雲端雖然帶來更大的資源彈性，在採用雲端服務之前，更應優先考慮資料安全，特別是稅務資料涉及民眾財產等機敏性資料，不能因為推動韌性，導致資料外洩風險增加，先判斷資料為機敏或非機敏，非機敏性的資料可以先上雲，考慮到機敏性資料在境外公有雲備份的風險，需要更多保護措施，目前不會先考慮機敏資料上雲。</p> <p style="margin-left:-.1pt;">去年財政部測試使用開源工具作資料加密分持備份，因財稅資料太大，處理速度不太理想，今年將測試驗證如何切割資料，決定備份順序，設法縮短備份處理的時間，找出最佳處理方式，形成標準作業程序。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>韌性方案加速政府部門擁抱公有雲</strong></span></span></p> <p style="margin-left:-.1pt;">張文熙表示，過去政府機關上雲態度保守，主要考量為安全因素及經費，雲端和在地系統的安全投資不同，需要重新建置規畫，機關改寫現有系統也需要大筆經費，此次韌性方案補助經費、開發新的核心功能系統，讓公務機關願意思考將公有雲納入選項。</p> <p style="margin-left:-.1pt;">至於是否加速公務機關採用雲原生架構，他認為機關採用私有雲也會帶動微服務、容器化的使用，韌性方案的推動也或多或少產生影響，但不是因為韌性而推動。</p> <p style="margin-left:-.1pt;">張文熙表示，未來雲端上的核心功能系統不只是第三方的備援角色，也會考慮和地端的主系統間互補，讓雲端的核心功能也能在平時發揮效益。</p> <p style="margin-left:-.1pt;"><a href="https://www.ithome.com.tw/article/162009" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/28 11:51作者蘇文彬https://www.ithome.com.tw/news/161966
【關鍵民生系統韌性大升級｜機關推動方向：經濟部商業發展署】靠跨境公雲強化工商資訊系統韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當大規模災害或特殊緊急狀態，維持公司、工廠或商業的登記、營業項目登記、變更、查詢等服務，不只對法人而言相當重要，也是政府緊急調用民間資源的依據，並且保存資料供事後復原階段重建之用。</p> <p>掌管國內公司、工廠、商業等資訊系統，前身為商業司的經濟部商業發展署也參與政府推動關鍵民生系統韌性方案，當發生重大災害或緊急狀態，商業發展署在國內的異地資料中心備援、資料備份機制也無法發揮效用時，未來可通過跨境公有雲提高緊急應變能力。</p> <p>公司、工廠或商業登記資訊，舉凡公司名稱、資本額變更、業務項目調整等等，都需要登記，整合到經濟部商業發展署的資訊系統，透過資訊系統掌握國內企業的營運狀況。</p> <p>經濟部商業發展署資訊室主任丁珕指出，商業發展署原有的業務持續計畫，以區域型的災害例如地震、颱風，導致臺北的資料中心無法運作，尚有位於其他地區的資料中心提供異地備援及資料備份。</p> <p>而在關鍵民生系統韌性方案，設想大規模跨區域災禍發生時，災害範圍可能跨區域，因此將系統備援、資料備份擴大到跨境公有雲，打破地理位置限制，提高對跨區域的大型災禍的應變能力及服務韌性。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>缺乏雲原生架構及雲端管理人才</strong></span></span></p> <p>然而，韌性方案雖然利用跨境公有雲提高對關鍵民生系統的韌性，但是新的跨境公有雲備援、備份機制，也同時為公務機關帶來新的挑戰，必需以雲原生架構開發雲端版的核心功能系統，資料加密分持備份到多個跨境公有雲。丁珕直言，商業發展署可能遭遇幾項挑戰。</p> <p>首先是面臨技術和雲端維運的挑戰，過去公務機關熟稔地端系統規畫開發，韌性方案的推動，要求公務機關採用雲原生架構開發核心功能系統，需要相應的技術能力，例如系統重構、開發人員技術培訓等，同時也需要雲端維運、操作的管理人才。</p> <p>另外，過去公務機關多仰賴外部廠商開發及維運，如果國內突然發生大規模災禍，可能導致資料中心及備援機房無法正常運作，政府服務運作就可能面臨癱瘓的風險。另一個難題是，韌性方案為期4年，目的推動關鍵民生系統及資料備份上雲，後續雲端的核心功能系統、資料備份服務需要持續性經費支持。</p> <p>針對上面提到的挑戰，商業發展署也初步規畫幾個解決方法，首先是技術及人才需要的挑戰，商業發展署計畫透過輔導團隊及培訓課程，培養內部人員對雲端技術、資安的相關能力，並且需讓他們具備自主操作、應變處理能力，另方面和適合的雲端服務商合作，加速進動進度。</p> <p>今年為關鍵民生系統韌性方案推動的第一年，丁珕表示，未年4年的目標是核心功能系統上雲，今年將先盤點核心功能，挑選在公司、工廠、商業登記中，在災害或緊急狀態下，哪些功能仍需提供基本服務，例如新增、修改、查詢等基本的功能，還有使用頻率高的功能，優先開發雲端版本。</p> <p>他們計畫先盤點、評估核心功能及數據，哪些功能需要優先或比較容易轉移到雲端，需要進一步開發或重構。商業發展署也計畫透過無伺服器運算，節省管理及運算資源的使用成本，先找出哪些功能服務可透過AWS Lambda、Azure Functions等FaaS服務，代替實體主機或虛擬機部署，先盤點出相關的場景，再開發函式將其部署至雲端執行。</p> <p>另外，因應緊急狀態下，外部廠商難以提供平時的支援，公務機關需具備自主操作能力，將資料加密分持備份至雲端，讓機關人員可以簡單的方式操作加密分持備份，重建階段回復資料。</p> <p>不過考慮到資料備份實際執行的可行性，他們並不會將歷史資料也加密分持備份到雲端，初步規畫會將現存的最後一版資料備份至雲端。</p> <p>經濟部商業發展署與其他參與韌性方案的公務機關相同，去年他們測試評估資料加密分持備份的開源工具Tahoe-LAFS，他們發現愈多的檔案要經過加密、分持處理，需花費較長的時間，後續仍評估可行的作法。</p> <p>丁珕表示，由於韌性方案的目標是保存資料，在災後復原階段，重建系統、回復資料，在韌性方案規畫將資料備份到雲端之前，已先確認國內的法規，並沒有法規限制資料只能在境內儲存，但是基於資料保密性，仍需要保護措施，考慮到商業發展署的資料約有8成屬於公開展示資料，約2成為董監事資料，可能包含身分證字號、住居地等個人資料在內，在署內就先經過加密處理，在雲端備份之前，再經過資料加密分持備份，分散備份在3個跨境公有雲，等於資料經過多一道加密程序。另外，公司、工廠或商業登記資料，分為文字及影像掃描資料，考量到影像掃描的資料量較大，未來資料備份將以文字資料為主。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>平時也讓公有雲提供簡單功能服務</strong></span></span></p> <p>依據韌性方案的規畫，公務機務每年需要演練，丁珕表示，未來核心功能系統上雲，不只是依照規定每年定期演練，考慮如果等到發生緊急事態再切換使用，可能會有不及之處，因此商業發展署未來考慮在平時挑選地端系統的簡單功能或服務，交由雲端的核心功能系統支援來實測。</p> <p>目前商業發展署的系統採用虛擬化架構，丁珕認為，有朝一日如果租雲的費用與租機房費用接近，可能考慮將地端的系統移到雲端，目前商業發展署地端運作的系統，未來隨著系統的生命周期，會隨著系統汰換逐步調整系統。</p> <p>鑑於虛擬化架構的系統，雖然也能夠直接上雲，但服務使用費用可能會比地端來得高，因此商業發展署考慮逐漸導入微服務架構，如果未來雲端的費用和地端運作接近時，搬到雲端才能真正節省支出。</p> <p>傳統上，公務機構的備援、備份策略是，依照國際標準，例如異地備援中心需建立在30公里以外的地點，雖然跨區域建置異地備援中心，為系統服務韌性提供保障，但此次韌性方案將系統備援、資料備份，從原有的境內擴大至跨境公有雲。</p> <p>「依照韌性方案的建議及目標，讓公務機關既有的備援、備份設計，有機會做得更完整」，丁珕說。</p> <p><a href="https://www.ithome.com.tw/article/162009" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/28 11:52作者蘇文彬https://www.ithome.com.tw/news/161971
關鍵民生系統韌性大改造
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大規模地震，氣候劇變暴雨引發洪水，加上國際情勢緊張、衝突升溫，當境內因天災及人禍導致主、備援機房損毀，關鍵民生系統的核心功能仍需運作、保存資料，跨境公有雲成為境外備援中心</p> </div></div></div>
2024/3/28 11:52作者蘇文彬https://www.ithome.com.tw/article/162009