iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 17篇
近 24 小時: 36篇
近 7 天: 135篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 12:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 135 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】4月18日，DevOps協作平臺Confluence已知漏洞被用於散布勒索軟體Cerber
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安日報當中，已知漏洞的攻擊行動占據大部分版面，其中又以DevOps協作平臺Atlassian Confluence的攻擊行動最值得留意，對方將其用來散布勒索軟體Cerber。</p> <p>值得留意的是，這個漏洞修補至今已近半年，但駭客仍能將其用於發動攻擊，這代表仍有不少Confluence伺服器尚未套用修補程式，而曝露相關風險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162387"><strong style="font-size: 22px;">DevOps協作平臺Atlassian Confluence已知漏洞遭到利用，慘遭勒索軟體Cerber攻入</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cerber-Confluence-2-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cerber-Confluence-2-3.png" style="width: 300px; float: right;" /></a>資安業者Cado發現，3月19日出於經濟動機的駭客企圖利用DevOps協作平臺Atlassian Confluence已知漏洞CVE-2023-22518存取Confluence實體，從而濫用管理員帳號於受害主機部署Effluence Web shell外掛程式，從而藉由網頁介面執行任意命令，下載並執行Cerber的有效酬載。</p> <p>研究人員指出，由於在預設組態中，Confluence伺服器以低權限使用者（confluence）執行，因此該勒索軟體能加密的檔案有限，僅為該帳號能夠存取的資料。但若是攻擊者能夠取得較高權限，加密檔案的範圍將會擴大。</p> <p>值得留意的是，駭客利用這項漏洞散布Cerber已非首例。去年11月，資安業者Rapid7發現該勒索軟體的攻擊行動，對方其中一個利用的漏洞就是CVE-2023-22518。</p> <p><a href="https://www.ithome.com.tw/news/162385"><strong style="font-size: 22px;">TP-Link路由器漏洞遭濫用，6個殭屍網路病毒綁架大量網路設備，每日攻擊超過5萬次</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-ips-telemetry.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-ips-telemetry.png" style="width: 300px; float: right;" /></a>去年3月TP-Link修補旗下無線路由器Archer AX21命令注入漏洞CVE-2023-1389（CVSS風險評分為8.8），隨後就傳出被用於散布殭屍網路病毒Mirai，如今有更多經營殭屍網路的駭客加入漏洞利用的行列。</p> <p>資安業者Fortinet指出，他們最近發現有6種殭屍網路病毒利用上述漏洞，包括Moobot、Miori、Condi，Go語言打造的AGoent，以及Gafgyt和Mirai變種病毒。自今年3月開始，試圖利用該漏洞的攻擊行動大多一天超過4萬次，到了3月底更出現接近5萬次的高峰。</p> <p><a href="https://www.ithome.com.tw/news/162389"><strong style="font-size: 22px;">濫用FortiClient集中控管系統的漏洞攻擊浮上檯面，駭客將遇害伺服器改為下載遠端管理工具與惡意指令碼的轉運站</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FS-2024-VL-ConnectFun-Flowchart-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FS-2024-VL-ConnectFun-Flowchart-2.png" style="width: 300px; float: right;" /></a>3月12日Fortinet修補旗下端點集中控管系統FortiClient EMS危急漏洞CVE-2023-48788（CVSS風險評分為9.3），有研究人員發現，事隔1週後有人將其用於攻擊行動。資安業者Forescout揭露名為Connect:fun的攻擊行動，研究人員在21日有人公布上述漏洞的概念性驗證（PoC）程式碼後，隨即發現駭客嘗試用來發動攻擊，其中一家是多媒體公司。</p> <p>兩天後攻擊者進行偵察，確認FortiClient EMS是否仍舊存在漏洞，然後下達經過混淆處理的命令執行數次SQL注入攻擊，並透過惡意指令碼下載遠端管理工具ScreenConnect，以及滲透測試框架Metasploit的套件Powerfun。</p> <p><a href="https://www.ithome.com.tw/news/162391"><strong style="font-size: 22px;">以免費IP位址掃描工具軟體為誘餌意圖吸引IT團隊上當，駭客組織FIN7鎖定美國某家汽車製造商發動網路釣魚攻擊</strong></a></p> <p>資安業者BlackBerry揭露發生於去年底的攻擊行動，出於經濟動機的駭客組織FIN7鎖定一家美國大型汽車製造商，對其IT部門具有高權限的員工發送釣魚郵件，進行魚叉式釣魚攻擊。</p> <p>收信人一旦依照對方指示點選連結，就會被帶往冒牌的公用程式Advanced IP Scanner網站，若是想要下載應用程式點選連結，就會存取Dropbox頁面。若是下載、執行安裝程式WsTaskLoad.exe，電腦就會進行一連串的流程，先載入程式庫jutil.dll解密特定的WAV聲音檔，得到Shell Code並載入mspdf.dll元件執行，並再次解析前述WAV檔案，最終得到後門程式Anunak。過程中攻擊者使用經混淆處理的PowerShell指令碼PowerTrash，以便偵察主機系統及網路資訊。</p> <p><a href="https://www.ithome.com.tw/news/162384"><strong style="font-size: 22px;">俄羅斯駭客組織Sandworm鎖定西方國家水利設施發動攻擊</strong></a></p> <p>由俄羅斯軍方指使的駭客組織Sandworm近期動作頻頻，有研究人員發現，這些駭客打著其他組織的名號，企圖埋藏其攻擊行動。</p> <p>資安業者Mandiant發現，這些駭客經營至少3個Telegram頻道，並自稱是XakNet Team、Cyber Army of Russia Reborn（CARR）、Solntsepek來從事攻擊行動，其中CARR與Sandworm的關係似乎最為密切，而且他們的YouTube頻道是透過Sandworm的基礎設施設置。</p> <p>值得留意的是，雖然CARR在Telegram頻道宣稱大部分的目標是烏克蘭實體，但研究人員發現，這些駭客也承認對美國及波蘭的供水設施，以及法國水力發電系統發動攻擊，並公布影片與螢幕截圖，證明他們已控制受害環境的操作科技（OT）資產。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/t-mobile-verizon-workers-get-texts-offering-300-for-sim-swaps/"><strong style="font-size: 20px;">網路犯罪份子企圖利誘電信業者T-Mobile、Verizon員工成幫兇，要求參與SIM卡挾持攻擊</strong></a></p> <p></p> <p>◆<a href="https://www.microsoft.com/en-us/security/blog/2024/04/17/attackers-exploiting-new-critical-openmetadata-vulnerabilities-on-kubernetes-clusters/"><strong style="font-size: 20px;">中繼資料管理工具OpenMetadata遭挾持，攻擊者藉此濫用K8s挖礦</strong></a></p> <p></p> <p>◆<a href="https://www.proofpoint.com/us/blog/threat-insight/social-engineering-dmarc-abuse-ta427s-art-information-gathering"><strong><span style="font-size: 20px;">北韓駭客組織Kimsuky濫用DMARC從事網路釣魚攻擊</span></strong></a></p> <p></p> <p>◆<a href="https://labs.withsecure.com/publications/kapeka"><strong><span style="font-size: 20px;">東歐國家遭俄羅斯駭客利用後門程式Kapeka鎖定</span></strong></a></p> <p></p> <p>◆<a href="https://securelist.com/soumnibot-android-banker-obfuscates-app-manifest/112334/"><strong><span style="font-size: 20px;">安卓金融木馬SoumniBot利用作業系統弱點迴避偵測</span></strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162374"><strong style="font-size: 22px;">Cohesity為資料保護儲存服務導入Intel機密運算功能</strong></a></p> <p>資料儲存平臺與服務商Cohesity，為其FortKnox網路防護儲存與復原服務（Cyber Vaulting and Recovery as a Service），引進基於Intel Software Guard Extensions（SGX）技術的機密運算防護功能（Confidential computing），降低主記憶體資料遭惡意存取的風險。</p> <p>FortKnox網路防護儲存與復原服務是Cohesity資料雲服務的一部分，透過引進Intel SGX技術，可以加密在記憶體中處理的資料，防止任何特權帳戶查看或下載記憶體中的資料，讓用戶在雲端環境進行安全的機密運算。而透過記憶體內容的加密，也補上了網路傳輸端的動態加密，與儲存裝置端靜態加密之間的安全性缺漏環節。</p> <p><a href="https://www.ithome.com.tw/news/162375"><strong style="font-size: 22px;">SaaS應用程式備份保護服務商BackupLABS擴展應用範圍</strong></a></p> <p>隨著各式各樣雲端SaaS應用程式的應用逐漸普及，SaaS應用程式的資料保護也成為重要的課題。英國新創廠商BackupLABS，便是以保護這些SaaS應用程式為訴求，可透過API為各式SaaS服務提供每日自動備份，一開始能支援Trello、GitHub與 GitLab，日前又新增對Notion、Jira、Asana等SaaS服務的支援。</p> <p>BackupLABS利用AWS平臺建立自身的備份應用基礎設施，可提供AES 256位元加密、基於S3 ObjectLock的防勒索軟體保護，以及精細還原等功能，並獲得ISO 27001、SOC2、HIPAA、GDPR、UK Cyber Essentials Plus等認證。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162373"><strong>【4月17日】多個廠牌的VPN系統、網路設備遭到鎖定，攻擊者對其發動暴力破解攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162333"><strong>【4月16日】部分蘋果用戶遭中國駭客組織鎖定，利用間諜軟體LightSpy進行監控</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162311"><strong>【4月15日】XZ Utils供應鏈攻擊傳出有新災情</strong></a></p> </div></div></div>
2024/4/18 17:03作者周峻佑https://www.ithome.com.tw/news/162392
首家合法的第三方iOS市集AltStore PAL上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在歐盟《數位市場法》（Digital Markets Act）迫使<a href="https://www.ithome.com.tw/news/161035" target="_blank">蘋果於歐洲經濟區開放</a>第三方市集與外部支付後，由獨立開發者Riley Testut打造的第一家合法第三方iOS市集<a href="https://rileytestut.com/blog/2024/04/17/introducing-altstore-pal/" target="_blank">AltStore PAL於本周三（4/17）上線</a>了，它鼓勵任何通過蘋果公證的行動程式透過該市集發布，為了支付蘋果所要求的核心技術費用（Core Technology Fee），AltStore PAL每年將向使用者收取1.5歐元。</p> <p>Testut過去就曾打造第三方iOS市集AltStore，只是AltStore並不合法，而AltStore PAL則是通過蘋果認證的第三方市集，目前僅提供了兩個程式，都是由Testut所開發，分別是任天堂模擬器Delta，以及可於背景執行的剪貼簿管理程式Clip。</p> <p>AltStore PAL也是個開源的市集，市集中的所有行動程式都是由開發者自行代管的，一旦所開發的程式經過蘋果的公證，開發者就可下載一個替代遞送封包（Alternative Distribution Packet，ADP），再將它上傳到自己的伺服器上。而若要透過AltStore PAL遞送，開發者則必須建立一個「來源」（Source），這是個JSON檔案，內含上傳至公開URL的程式元資料，只要使用者將此一Source加入AltStore PAL中，就可在AltStore PAL上看到來自該Source的所有程式。</p> <p>Testut說明，Source是AltStore PAL的核心概念，可完全地去中心化，在AltStore PAL上所看到的所有程式，都是由使用者主動添加Source而出現的，該機制同樣也允許開發者自行推廣程式，並將使用者導至開發者網站。</p> <p>AltStore PAL類似<a href="https://www.ithome.com.tw/news/161739" target="_blank">蘋果所推出的網頁發布</a>（Web Distribution）功能，讓使用者可直接自第三方網站下載程式，Testut坦承，它們的確是同樣的概念，與其說是市集，AltStore PAL更像是一個美化過的側載工具，它只負責讀取JSON檔案，而且會在程式更新時自動通知使用者。</p> <p>Testut鼓勵那些遭到蘋果App Store審核機制拒絕的獨立開發者透過AltStore PAL來遞送程式，而只要安裝iOS 17.4及以上版本的歐盟地區使用者則可直接透過AltStore網站來安裝AltStore PAL。</p> <p>《數位市場法》原意是為了避免壟斷，蘋果除了被迫開放市集與支付機制之外，也被迫迎接競爭，例如蘋果最近更新了App審核指南，正式開放了諸如Delta等復古遊戲模擬器。Testut認為，如果沒有《數位市場法》，就不會有這樣的改變，也期望市場能因此迎來更多的合法創意應用，讓那些遭到蘋果拒絕的程式浮上檯面，例如可於iOS/iPadOS上模擬Windows的UTM，以SwiftUI打造的精美版iOS 4--OldOS，或者是獨立的iOS字典程式Kotoba等，允許開發者於不受限制的情況下充分探索與發揮創意。</p> </div></div></div>
2024/4/18 17:30作者陳曉莉https://www.ithome.com.tw/news/162393
歐盟認為Meta應該提供用戶無行為追蹤廣告的免費服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟資料保護委員會（European Data Protection Board，EDPB）在本周三（4/17）<a href="https://www.edpb.europa.eu/news/news/2024/edpb-consent-or-pay-models-should-offer-real-choice_en" target="_blank">通過了一項《意見》（Opinion）</a>，指出大型網路平臺光是以「同意或付費」（Consent or Pay）來讓使用者選擇，即不可能遵守GDPR對有效同意的要求，應考慮提供沒有行為追蹤廣告的免費替代方案。雖然EDPB並未指名道姓，但觸發此一討論的是在去年10月底於歐盟經濟區推出無廣告訂閱服務的Meta。</p> <p>為了避免觸犯歐盟的《通用資料保護規則》（EU General Data Protection Regulation，GDPR）與《數位市場法》（Digital Markets Act）在維護個人隱私上的規定，<a href="https://about.fb.com/news/2023/10/facebook-and-instagram-to-offer-subscription-for-no-ads-in-europe/" target="_blank">Meta去年10月底在歐洲經濟區實施了一項新政策</a>，於Facebook及Instagram上推出無廣告的訂閱服務，網路版為每月9.99歐元，行動版為每月12.99歐元，若要免費使用則會持續出現個人化廣告。</p> <p>廣告是Meta最大的營收來源，根據Meta財報，該公司去年第四季締造了401億美元的營收，當中就有387億美元來自應用程式家族（Family of Apps）的廣告，占了Meta總營收的96.5%。</p> <p>此次EDPB通過的《意見》是來自荷蘭、挪威與德國資料保護組織的要求，認為大型網路平臺在採用「同意或付費」時，應該替用戶提供真正的選擇，而不是要求個人付費，或者是放棄所有的個人資料，因為在大多數用戶同意平臺使用自己的資料時，他們並不了解自己所選擇的真正含義。</p> <p>此外，EDPB認為，如果使用者的選擇只有同意與付費，那麼在大多數的情況下，平臺將難以滿足GDPR對有效同意的要求。</p> <p>因此，EDPB建議這些大型網路平臺應該考慮替個人提供免費且無行為追蹤廣告的替代方案，例如處理較少，或者是不處理個人資料的廣告形式，因為這是GDPR對於評估有效同意的一個關鍵因素。</p> <p>EDPB主席Anu Talus指出，控制者應該要特別地小心，不要把資料保護的基本權利轉變成個人必須付費才能享受的功能，同時也應讓使用者充分地理解他們所選選項的價值與後果。</p> <p>EDPB的《意見》屬於指導文件，並不具備強制性或法律約束力，但它是各國資料保護組織進行監督與執法的重要參考意見，以確保及統一GDPR的有效執行。</p> </div></div></div>
2024/4/18 17:45作者陳曉莉https://www.ithome.com.tw/news/162394
Fortinet端點集中控管系統漏洞被用於攻擊行動，駭客藉此散布遠端管理工具ScreenConnect、滲透測試框架M…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月12日Fortinet修補旗下端點集中控管系統FortiClient EMS危急漏洞CVE-2023-48788（CVSS風險評分為9.3），有研究人員發現，事隔1週後有人將其用於攻擊行動。</p> <p>資安業者Forescout揭露名為Connect:fun的攻擊行動，研究人員在21日有人公布上述漏洞的概念性驗證（PoC）程式碼後，<a href="https://www.forescout.com/blog/connectfun-new-exploit-campaign-in-the-wild-targets-media-company/">隨即發現駭客嘗試用來發動攻擊，其中一家是多媒體公司</a>。</p> <p>在成功利用漏洞後，攻擊者下達一系列命令，企圖啟用SQL Server進階功能及擴充預存處理程序xp_cmdshell，接著對方試圖透過寄生攻擊（LOLBAS）手法，利用finger.exe下載惡意酬載。</p> <p>兩天後攻擊者進行偵察，確認FortiClient EMS是否仍舊存在漏洞，然後下達經過混淆處理的命令執行數次SQL注入攻擊，並透過惡意指令碼下載遠端管理工具ScreenConnect，以及滲透測試框架Metasploit的套件Powerfun。</p> <p>研究人員指出，攻擊者利用certutil.exe下載遠端管理工具，然後透過msiexec.exe進行部署，雖然他們有觀察到下載安裝程式的流量，但他們並未取得ScreenConnect的事件記錄，而無從分析、得知攻擊者的後續行為。</p> <p><a href="https://s4.itho.me/sites/default/files/images/FS-2024-VL-ConnectFun-Flowchart-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FS-2024-VL-ConnectFun-Flowchart-2.png" style="width: 580px;" /></a></p> <p>而對於攻擊者的身分，研究人員表示對方從2022年開始從事網路攻擊，並在基礎設施使用越南語及德語，該組織起初被認為是經營GitHub儲存庫的資安研究團隊，但他們確認這組人馬並非只是研究，而是實際利用漏洞從事攻擊。</p> </div></div></div>
2024/4/18 15:21作者周峻佑https://www.ithome.com.tw/news/162389
【iThome 2024資安大調查系列1｜資安態勢篇】優先因應三大首要風險，小心零時差漏洞風險今年明顯提高
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1177-zheng_ti_tai_shi_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">未來一年，企業要面臨三大首要資安風險是勒索軟體資安事件、社交工程手段和駭客的威脅，次要風險則是釣魚網站和資安漏洞（零時差漏洞）的攻擊事件。這五項是企業資安資源未來一年必須優先聚焦的課題。</p> <p dir="ltr">這幾項威脅向來都是企業最大的資安挑戰，尤其是勒索軟體資安事件，每一年都會爆發出多起大型企業勒索攻擊的事件，也會在上市公司重大訊息發布中看到災情，這些還是實際曝光的災情，更有許多沒有揭露的企業災情。</p> <p dir="ltr">這也是為何，勒索軟體資安事件，連續四年在企業資安風險圖中，都名列在首要風險項目中。今年有5成企業評估，一但發生勒索軟體資安事件，將對企業帶來高度嚴重的衝擊，破4成企業更擔心，自己在未來一年，極有可能會遭遇到勒索軟體資安事件。勒索軟體資安事件，不論發生風險或衝擊影響，都比去年更高，是2024～2025的首要資安風險。</p> <p dir="ltr">今年更有多個勒索軟體組織開始鎖定亞洲，甚至鎖定臺灣的企業。例如勒索軟體駭客組織GhostSec、Stormous發起的雙重勒索攻擊，利用GhostLocker 2.0勒索軟體，鎖定中東、非洲、亞洲的企業。而去年4月開始攻擊美國、韓國的勒索軟體駭客組織RA World，攻擊範圍也擴展到德國、印度，現在更鎖定臺灣和拉丁美洲。這些都是企業得留意警戒的威脅來源。</p> <p dir="ltr">若從產業別來看勒索軟體資安事件，過半數一般製造業，淨比例高達56%（淨比例指極可能發生的企業占比減掉極不可能發生的企業占比），超過半數企業將這項資安事件視為未來一年不可避免的挑戰。</p> <p dir="ltr">從資安長自評預估的災情衝擊來看，除了金融業和政府學校，其餘一般製造、高科技、服務和醫療業都將勒索軟體視為衝擊最大的威脅，尤其醫療業者，每三家就有兩家擔心，一但發生，就會帶來大災情。</p> <p dir="ltr">不過，勒索軟體資安事件其實是一個落後的綜合型指標，駭客得先入侵企業，暗中竊取資料後才能展開勒索。系統面的資安漏洞防護能力不足，員工經常遭遇的社交工程威脅，都會是引爆勒索軟體資安事件的起火點。從今年大調查看到，半數企業擔心自己會發生這個災情，這個龐大的威脅感，也影響了企業未來一年的資安防護布局和規畫，一方面得防堵各種駭客入侵，資料遭竊取的可能性，另一方面也得強化資料備份和還原的能力。</p> <p dir="ltr">在各種攻擊途徑中，社交工程手段是企業最需警戒的途徑，遠高於釣魚網站、商業郵件詐騙、第三方跳板等。超過36%企業評估明年會遭遇來自這類手法的攻擊。在各產業中，近6成政府學校、破4成金融業和醫療業，都擔心今年到明年極可能發生社交工程攻擊。阻斷社交工程攻擊途徑的最好對策，也是最關鍵的就是員工資安素養的訓練，提供更多手法講解、演練測試來提高員工的警覺，同樣是今年的重要資安防護課題。</p> <p dir="ltr">駭客年年都是對企業威脅最大的攻擊者，今年也不例外，而且是今年名列資安風險圖中，對整體產業威脅程度名列第三的風險項目，僅次於勒索軟體資安事件和社交工程攻擊。趨勢科技在2024年3月初發布的2023年資安威脅態勢報告就提醒，從2023年初至今活躍的Earth Estries駭客組織，擅長發動躲避防禦的APT攻擊。特別鎖定臺灣等國的政府機關與科技業，運用多種後門和駭客工具來將攻擊降級，藉此閃避偵測系統。一方面企業得將資安防禦左移，提前到攻擊前期，提高發現可疑行為的機會，另一方面，企業也得了解各種新興的駭客入侵、攻擊案例來掌握可能的威脅手法。</p> <h3 dir="ltr"><strong><span style="color:#FF0000;">兩項資安威脅的衝擊程度預估更大，一項威脅則在未來一年更多企業預期會遭遇</span></strong></h3> <p dir="ltr">今年還有三項企業必須留意的資安態勢變化，「以雲端供應商為跳板的攻擊」、「ChatGPT/GAI成為輔助攻擊工具」以及「資安漏洞（零時差漏洞攻擊）事件」，前這兩項威脅預估可能帶來的衝擊程度，也比去年更高，而最後一項則有明顯有更多企業自認明年會遭遇。這三項都是企業數位轉型和擁抱新興科技時，得面對的資安新課題。</p> <p dir="ltr">在2023年，ChatGPT成了許多企業積極嘗試的熱門新興技術，但是，也淪為攻擊者的攻擊強化工具，用來展開各種自動化的入侵攻擊，或是變造更細緻的釣魚手段，甚至是設計高度客製化的社交工程手段。企業得更多方面的強化作為，來因應這些伴隨而來的風險。整體產業約有一成企業評估未來一年極可能遭遇此威脅，從產業來看，高科技製造業最擔心GAI工具遭濫用的威脅，多達2成高科技業者評估未來一年會遭遇此威脅，另外也有一成多醫療業者同樣擔心這類威脅。</p> <p dir="ltr">而上雲資安威脅在這幾年逐漸浮現，來自企業大力推動IT現代化，積極上公雲的緣故，尤其是金融業與醫療業，主管機關在這兩年都大幅放寬了上雲的法遵規範，讓企業更積極上雲，但也同時提高了企業上公雲風險。</p> <p dir="ltr">最後一項「資安漏洞和零時差漏洞攻擊事件」，這是企業資安長明年擔心的風險。隨著越來越多零時差漏洞的曝光，甚至出現了少數CVSS十分滿分的威脅，更考驗企業快速更新和修補系統的能力，否則就得面臨鎖定新漏洞的攻擊手法。</p> <p dir="ltr">今年我們新增加了一項資安風險項目「被植入竊資軟體/後門木馬」，一調查，馬上就進入了衝擊高風險高的第一象限，與其他一次性的資安災情不同，後門木馬的威脅是長期的威脅，一但植入後，會暗中蒐集各種企業內部情報和防護弱點，不斷外洩各種機敏資料。企業一方面必須強化自身的資安偵測能力，另一方面則需要更快擁抱零信任架構，才能阻擋惡意程式在內部橫向移動的可能性，將威脅阻斷在少數區域中。</p> <p><span style="color:#0000FF;"><strong>企業資安風險圖製作說明：</strong></span></p> <p>今年是第四度發布臺灣企業資安風險圖，延續前3年作法，在2024年CIO和資安大調查中，請填答的資安長和資訊長們，針對三大類共25項臺灣常見的資安風險項目（今年新增了一項），評估未來一年的發生風險高低，以及對企業帶來的衝擊高低。最後歸納彙整出這一份臺灣在地的未來資安風險地圖，用來反映出臺灣大型企業從2024到2025年可能面臨的威脅。</p> <p>這25項風險分為三類，第一類是攻擊者的威脅，包括了來自內部人員（包括離職員工）、國家級攻擊組織、第三方或委外業者、網路犯罪者、駭客等5類攻擊者所發動的網路攻擊。第二類是攻擊途徑，包括了8種威脅途徑，分別是用ChatGPT/GAI輔助的攻擊、以第三方為跳板、以雲端供應商為跳板、行動裝置與App、物聯網、透過社交工程手段、透過商業郵件詐騙BEC以及利用釣魚網站發動的資安攻擊。<br /> 最後一類是攻擊事件，包括了12種資安威脅，包括了勒索軟體資安事件、資安漏洞/零時差漏洞攻擊事件、資料外洩事件、被植入竊資軟體/後門木馬、雲端服務/網路服務資安事件、顧客資安事件、假訊息不實資訊事件ChatGPT類服務資安事件、軟體供應鏈資安事件、國家關鍵基礎設施癱瘓事件、深偽技術冒用事件和挖礦攻擊。</p> <p>為了涵蓋更完整也更即時的威脅態勢，在今年調查中，我們也進行了部分風險項目名詞用語的調整。我們將去年的「ChatGPT資安事件」和「ChatGPT成為輔助攻擊工具」調整為「ChatGPT類服務資安事件」和「ChatGPT/GAI輔助的攻擊」，來涵蓋更多生成式AI或類似ChatGPT的服務。另外，「資安漏洞事件」和「行動應用的攻擊」也略調整為「資安漏洞/零時差漏洞攻擊事件」和「行動裝置與App的攻擊」。並且新增加了「被植入竊資軟體/後門木馬」這項風險項目。</p> <p>座標軸上的數值，是以淨比例來計算，舉例解釋若一項風險極可能發生的企業比例，減去認為極不可能發生的企業比例，得到50%，在X軸的座標值就是0.5，Y軸衝擊值的計算也同樣是高度衝擊的企業比例，減去低度衝擊的企業比例得到的淨比例。</p> <p><span style="color:#0000FF;"><strong>企業如何繪製自己的資安風險圖</strong></span></p> <p>企業可以參考這張企業資安風險圖所列出的25項資安風險項目，針對每一項進行評分，針對衝擊程度，從最低1分，到最高10分，而同一個項目未來發生可能性也同樣分為10級，1分最不可能發生，而10分代表最可能發生。</p> <p>若一項風險企業自評分數是衝擊8分，發生可能性4分，則採取這個公式（自評分數-5）/5，以衝擊8分來看，(8-5)/5就是0.6，而發生可能性4分是 (4-5)/5=-0.2，這就可以得到該項目的座標位置（0.6,-0.2），X軸是風險值，Y軸是衝擊值，企業可以一一計算出25項風險每一項的座標值，參考這張整體資安風險圖座標軸上的數值長度，繪製出自家風險的位置，可以用來跟彙整自422家企業的整體資安風險圖相比較，來看出，自家風險和產業一般性風險的分布差異上。</p> <p><strong><span style="color:#0000FF;">如何參考企業資安風險圖來評估自家風險</span></strong></p> <p>企業可以繪製一份自家公司的資安風險圖，來和這份彙整了422家企業資安主管和資訊主管評估結果的企業資安風險圖，來相比較，來了解，自己所意識到的資安風險，與整體產業資安態勢之間的落差，重新考慮未來一年資安人力與資源的投入優先順序。例如，企業自評風險較低，但在業界資安風險圖中威脅排名高的風險項目，就是企業得挹注更多資安資源來因應的熱區，這是業界格外擔心但企業自己沒有察覺的重點。另一方面，針對那些企業自評風險高，但是業界風險圖中排名低的項目，可以考慮降低排序來節省資源，轉作用於其他優先度更高的風險項目。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>整體產業未來一年資安態勢大剖析</strong></span></span></p> <p><strong>半數企業預估未來一年最可能遭遇到勒索軟體資安事件，社交工程手段和駭客攻擊也是2024年首要風險。企業資安資源還有餘裕，名列第一象限的11項高風險、高衝擊的資安項目，都是2024年需要警戒。資安漏洞和零時差漏洞今年明顯受到更多CISO的關注。</strong></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1177-%E6%95%B4%E9%AB%94%E7%94%A2%E6%A5%AD%E8%B3%87%E5%AE%89%E6%85%8B%E5%8B%A2-600-%E5%A4%A7%E5%9C%96.png" target="_blank"><span style="font-size:16px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1177-%E6%95%B4%E9%AB%94%E7%94%A2%E6%A5%AD%E8%B3%87%E5%AE%89%E6%85%8B%E5%8B%A2-600.png" style="width: 600px;" /></strong></span></a></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 企業資安風險圖製作說明 </span></span> 在iThome 2024年CIO暨資安大調查中，由企業自評各資安項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表可能性越大。紅色字的項目為今年發生風險明顯提高者，綠色字項目是今年預估衝擊明顯提高者，兩項皆明顯提高者為紫色文字。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> 大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家，其中62.8%填答者為企業資安最高主管。</strong></p> </div></div></div>
2024/4/18 15:24作者王宏仁https://www.ithome.com.tw/article/162253
美國汽車製造商的IT團隊遭到駭客組織FIN7鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者BlackBerry揭露發生於去年底的攻擊行動，<a href="https://blogs.blackberry.com/en/2024/04/fin7-targets-the-united-states-automotive-industry">出於經濟動機的駭客組織FIN7鎖定一家美國大型汽車製造商</a>，對其IT部門具有高權限的員工發送釣魚郵件，進行魚叉式釣魚攻擊。</p> <p>收信人一旦依照對方指示點選連結，就會被帶往冒牌的公用程式Advanced IP Scanner網站，若是想要下載應用程式點選連結，就會存取Dropbox頁面。若是下載、執行安裝程式WsTaskLoad.exe，電腦就會進行一連串的流程，先載入程式庫jutil.dll解密特定的WAV聲音檔，得到Shell Code並載入mspdf.dll元件執行，並再次解析前述WAV檔案，最終得到後門程式Anunak。過程中攻擊者使用經混淆處理的PowerShell指令碼PowerTrash，以便偵察主機系統及網路資訊。</p> <p>附帶一提的是，駭客使用OpenSSH企圖持續於受害電腦從事行動，研究人員看到對方OpenSSH被排入工作任務，而且受害電腦的防火牆特定連接埠被開啟。雖然這些駭客曾利用OpenSSH進行橫向移動，不過這次他們似乎並未這麼做。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fin7-fig01b.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fin7-fig01b.png" style="width: 580px;" /></a></p> </div></div></div>
2024/4/18 16:14作者周峻佑https://www.ithome.com.tw/news/162391
自建智慧助理加速病歷摘要等4大領域應用，臺中榮總聯手陽明交大打造Healthcare GPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺中榮總聯手陽明交大團隊，用醫院大量去辨識化的醫療資料，打造出一款醫療專用大型語言模型（LLM）智慧助理Healthcare GPT，能根據自然語言指令分擔醫護人員工作負擔、加速臨床作業流程。Healthcare GPT主打4大應用領域，包括自動病歷摘要、AI民眾問答諮詢、Email草稿生成，以及會議記錄和技術文件統整等知識管理。臺中榮總強調，這款Healthcare GPT採用地端私有雲硬體環境執行，免除資料外洩和隱私侵犯疑慮。</p> <p><span style="font-size:24px;"><strong>病歷摘要、問答諮詢、郵件草稿和知識管理都包辦</strong></span></p> <p>進一步來說，Healthcare GPT是臺中榮總院長陳適安帶領智慧醫療委員會，與陽明交大特聘教授盧鴻興團隊共同開發而成，可在4大領域應用發揮作用。第一項領域應用稱為病歷代理（Medical Record Agent），可在15秒內自動生成病歷摘要，院內醫師、護理師只要口語告訴系統生成病歷摘要，Health GPT就能準確產出。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-04-18%20at%2012_03_53%20AM.png" /></p> <p>再來，第二項應用領域是客服中心的AI諮詢系統（Call Center AI），可提供一對多同步回覆民眾問答，還能整合分析民眾提問，最後轉交護理師做進一步的諮詢。負責中榮24小時遠距照護中心的陳姓護理師表示，該系統可自行辨識民眾電話語音，還能立即生成精確的回覆文本，來讓護理師選擇回覆的答案，大幅減少民眾等待時間、護理師減輕找尋資料的負擔。</p> <p>第三項應用領域是Email草稿生成，可根據信件內容、自動收集相關問題處置方式，來加速員工回覆。以中榮社會工作室民眾客訴業務為例，Email Composer的智能回覆功能縮短了以往需會辦其他單位才得以獲取解答的行政流程，單從信件判讀內容後、再由數據庫獲取資訊，就能快速彙整草稿，最後再配合院內流程，審閱修飾後即可回覆信件，大幅提高行政效率。</p> <p>最後一項應用領域是知識管理代理（KM Agent），15秒就能快速獲取院內會議紀錄、技術文件和指導決策事項的精確整理。進一步來說，過去以來，中榮常遇到會議中呈現資料不足，而議程難以進行的窘境，但有了KM Agent，團隊可透過自然語言對話，15秒就能快速取得院內過去會議紀錄、技術文件和指導決策事項的精確整理，在會議中呈現更直觀的資料，有效理解過去決議的目標距離完成階段是否符合期程、幫助更精準地滾動式修正，而節省出來的時間能更有效用於思考、決策及執行醫院的各項事宜。</p> <p>中榮表示，Healthcare GPT除運用大量自然語言語料和院內累積的專業知識外，還加入頂尖醫療期刊文章作為語言模型學習來源，進一步提升文本生成品質。目前，他們還有數十個新功能專案正在研發中。</p>  <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/DpI6FIBDL7k?si=IZo8MQzr5fOSdZI4" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p></p> </div></div></div>
2024/4/18 15:18作者王若樸https://www.ithome.com.tw/news/162388
Boston Dynamics發表電動人形機器人Atlas
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名的機器人製造公司Boston Dynamics在周二（1/16）讓已服務近10年的液壓人形機器人<a href="https://www.youtube.com/watch?v=-9EM5_VFlt8&t=1s" target="_blank">Atlas退休</a>後，隔天（1/17）就<a href="https://bostondynamics.com/blog/electric-new-era-for-atlas/" target="_blank">推出了電動人形機器人Atlas</a>，電動人形機器人Atlas的長相較為溫和，聲音較小，動作更靈活，將率先部署於現代汽車（Hyundai）及少數客戶環境。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0418-An%20Electric%20New%20Era%20for%20Atlas-Boston%20Dynamics.png" style="width: 600px;" /></p> <p>Boston Dynamics早在1992年就創立，創辦人Marc Raibert曾為麻省理工學院的電腦科學暨電子工程系教授，不過，機器人的開發顯然不是一條容易的道路，Boston Dynamics幾經轉手，曾經的主人也都赫赫有名，它在2013年賣給了Google X，再於2017年賣給日本軟體銀行，軟銀再於2020年以8.8億美元將8成的股權出售給南韓的現代汽車集團。</p> <p>該公司的機器人設計包括2005年的機器狗BigDog，2016年的液壓人形機器人Atlas（下圖），2016年的四足機器人Spot，2021年專替倉庫自動化設計的輪子機器人Stretch，以及現在的電動人形機器人Atlas。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0418-Atlas-Boston%20Dynamics.png" style="text-align: center; width: 600px;" /></p> <p>電動Atlas將以液壓Atlas的能力為基礎，在可舉升及操縱各種重型與不規則物體的功能上，探索多種新的夾具，以滿足客戶環境中各種可預期的操作需求，與部署Stretch的方式類似，將先與少數新創客戶合作來部署電動Atlas，首站即是現代汽車。現代汽車除了擁有Boston Dynamics之外，也正在建立新一代的汽車製造能力，預期可成為電動Atlas的完美測試中心，展示人形機器人於實體世界的用途。</p> <p>Boston Dynamics強調，電動Atlas的外形可能類似人類，但他們正在讓機器人能夠以最有效的方式移動並完成任務，而非受到人類運動範圍的限制，結合數十年的實務經驗，有信心提供一款可於實際應用中解決枯燥、骯髒及危險任務的獨特機器人。</p> <p>在Boston Dynamics所公布的<a href="https://www.youtube.com/watch?v=29ECwExc-_M" target="_blank">電動Atlas影片</a>中，畫面一開始時電動Atlas是躺在地上的，但它以人類無法辦到的方式起身及轉換方向。</p> <p>除了機器人設備之外，Boston Dynamics最近也發表了名為Orbit的軟體，它是個可集中管理機器人、工廠地圖及數位轉型資料的平臺，雖然它目前僅支援Spot，但預計於未來擴大整合Stretch與Atlas。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/29ECwExc-_M?si=1bbwVaVO7ELKTb-w&start=4" title="YouTube video player" width="560px"></iframe></div> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Boston Dynamics</span></span></p> </div></div></div>
2024/4/18 13:54作者陳曉莉https://www.ithome.com.tw/news/162386
DevOps協作平臺Atlassian Confluence已知漏洞遭到利用，對Linux主機散布勒索軟體Cerber
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員發現，使用勒索軟體Cerber從事攻擊行動的駭客，<a href="https://www.cadosecurity.com/blog/cerber-ransomware-dissecting-the-three-heads">3月下旬利用DevOps協作平臺Atlassian Confluence已知漏洞CVE-2023-22518</a>，目的是對受害組織植入Linux版勒索軟體程式。</p> <p>資安業者Cado發現，3月19日出於經濟動機的駭客企圖利用上述漏洞存取Confluence實體，從而濫用管理員帳號於受害主機部署Effluence Web shell外掛程式，從而藉由網頁介面執行任意命令，下載並執行Cerber的有效酬載。</p> <p>CVE-2023-22518是身分驗證不當漏洞，一旦攻擊者利用，就有機會在未經授權的情況下重設Confluence伺服器組態，並建立新的管理員帳號，並濫用該帳號執行管理員工作，從而接管系統，導致機密性、完整性、可用性喪失，CVSS風險評分為9.1，Atlassian於去年10月發布新版軟體予以修補。</p> <p>研究人員指出，由於在預設組態中，Confluence伺服器以低權限使用者（confluence）執行，因此該勒索軟體能加密的檔案有限，僅為該帳號能夠存取的資料。但若是攻擊者能夠取得較高權限，加密檔案的範圍將會擴大。</p> <p>值得留意的是，駭客利用這項漏洞散布Cerber已非首例。去年11月，資安業者Rapid7發現該勒索軟體的攻擊行動，<a href="https://thehackernews.com/2023/11/experts-warn-of-ransomware-hackers.html">對方其中一個利用的漏洞就是CVE-2023-22518</a>。</p> </div></div></div>
2024/4/18 14:01作者周峻佑https://www.ithome.com.tw/news/162387
企業OA辦公設備開始內建ESG碳排查核功能，每天員工用多少碳排都能掌握
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣將在2025開徵碳費，企業將根據自身年碳排量多寡繳費，成了企業未來必要額外承擔的一項外部成本之一。因此，許多企業已經在這1～2年展開碳盤查並推行減碳行動。除了生產環境之外，企業現階段主要的碳排放源還包含了辦公OA環境，如印表機等耗電設備，都會產生碳排放，因此成為企業重點減碳項目之一。</p> <p>瞄準企業OA辦公環境減碳的需求，臺灣老牌辦公設備通路商震旦近日推出了ESG綠色報表服務，可用來記錄每臺印表機上使用的碳足跡資訊，作為企業碳盤查或減碳用途。震旦也是國內第一家推出內建ESG碳排查核功能的大型辦公OA業者。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/888.jpg" style="width: 600px;" /></p> <p>震旦在印表機中內建一款綠色報表App，可以提供整體紙張使用分析、能源使用分析、碳排放量分析等功能。但並非所有震旦印表機都具備此功能，僅限於Sharp多功能複合機系列才能使用。</p> <p>從該印表機的觸控面板中，不僅可以查看每月的用紙張數、總用電量、總用水量等資訊，還能根據其用電量計算碳排，提供當月的碳排放量，甚至提供每日的碳排資訊。此外，還可根據每月用紙張數的趨勢圖，了解不同時間點的碳排放量的變化情況。</p> <p>在ESG綠色報表中，還可以記錄每位員工每月，甚至提供每日的用紙使用情況，藉由分析個人使用習慣，作為改善組織OA碳排的參考，同時還能提供減碳貢獻和排名等訊息，以提升員工的參與度，進而更積極投入減碳活動。不過，這項個人功能需要額外支付費用才能使用，並非預設的功能。</p> <p>除了能快速掌握印表機設備中的碳排放情形外，震旦表示，預計未來其他辦公設備品牌也會陸續推出類似的碳排查核功能。</p> </div></div></div>
2024/4/18 11:22作者余至浩https://www.ithome.com.tw/news/162382
俄羅斯駭客組織Sandworm鎖定西方國家水利設施發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由俄羅斯軍方指使的駭客組織Sandworm近期動作頻頻，有研究人員發現，這些駭客打著其他組織的名號，企圖埋藏其攻擊行動。</p> <p><a href="http://cloud.google.com/blog/topics/threat-intelligence/apt44-unearthing-sandworm">資安業者Mandiant發現</a>，這些駭客經營至少3個Telegram頻道，並自稱是XakNet Team、Cyber Army of Russia Reborn（CARR）、Solntsepek來從事攻擊行動，其中CARR與Sandworm的關係似乎最為密切，而且他們的YouTube頻道是透過Sandworm的基礎設施設置。</p> <p>研究人員也在CARR的頻道上，看到駭客透過Sandworm的基礎設施洩露受害組織資料，研判CARR相關攻擊行動背後是俄羅斯聯邦軍隊總參謀部情報總局（GRU）指使。</p> <p>值得留意的是，雖然CARR在Telegram頻道宣稱大部分的目標是烏克蘭實體，但研究人員發現，這些駭客也承認對美國及波蘭的供水設施，以及法國水力發電系統發動攻擊，並公布影片與螢幕截圖，證明他們已控制受害環境的操作科技（OT）資產。</p> <p>研究人員無法逐一確認對方聲稱的攻擊行動，但受到影響的美國公營事業公司證實他們遭到CARR攻擊。</p> <p>此外，研究人員指出，Sandworm的攻擊態勢升溫，並將該組織命名為APT44。他們認為這些駭客隨著烏克蘭戰爭持續進行，目標已經從原本針對烏克蘭實體從事資料破壞軟體（Wiper）攻擊，轉向網路間諜及產生對國內影響力為目標。</p> </div></div></div>
2024/4/18 12:30作者周峻佑https://www.ithome.com.tw/news/162384
6款殭屍網路病毒藉由TP-Link路由器漏洞CVE-2023-1389散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年3月TP-Link修補旗下無線路由器Archer AX21命令注入漏洞CVE-2023-1389（CVSS風險評分為8.8），<a href="https://www.ithome.com.tw/news/156573">隨後就傳出被用於散布殭屍網路病毒Mirai</a>，如今有更多經營殭屍網路的駭客加入漏洞利用的行列。</p> <p>資安業者Fortinet指出，<a href="https://www.fortinet.com/blog/threat-research/botnets-continue-exploiting-cve-2023-1389-for-wide-scale-spread">他們最近發現有6種殭屍網路病毒利用上述漏洞</a>，包括Moobot、Miori、Condi，Go語言打造的AGoent，以及Gafgyt和Mirai變種病毒。自今年3月開始，試圖利用該漏洞的攻擊行動大多一天超過4萬次，到了3月底更出現接近5萬次的高峰。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-ips-telemetry.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-ips-telemetry.png" style="width: 580px;" /></a></p> <p>在這些殭屍網路病毒當中，比較特別的是用來發動DDoS攻擊的Gafgyt、Condi，一旦Gafgyt植入路由器並與C2建立連線，就會持續接收PING命令，並等待C2下達攻擊命令，該病毒能執行4種類型的DDoS攻擊。</p> <p>而Condi則是在感染途徑上，透過指令碼存取多種通訊協定，從而增加成功感染的機會。此外，這種殭屍網路病毒的開發者，也標榜它能夠發動多種類型的洪水攻擊。</p> </div></div></div>
2024/4/18 13:19作者周峻佑https://www.ithome.com.tw/news/162385
Medium 5月起付費第三方內容禁止100% AI生成的文章
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>寫作平臺Medium合作夥伴方案（Partner Program）將從5月1日起，禁止100%以AI產生的內容。</p> <p><a href="https://medium.com/@borlokva/ai-is-no-longer-welcome-at-the-medium-partner-program-5f12cbe19bd0" target="_blank">Medium 4月1日公布</a>其合作夥伴方案的政策。這方案讓第三方內容供應商或創作者提供內容藉Medium發布以獲得報酬。本周<a href="https://www.bleepingcomputer.com/news/technology/medium-bans-ai-generated-content-from-its-paid-partner-program/" target="_blank">《Bleeping Computer》</a>報導，一些創作者接到Medium以電子郵件告知最新政策。</p> <p>Medium最新政策釐清對於合作夥伴方案中，生成式AI技術使用規範。該平臺強調，Medium是供人類說故事，不是給AI生成寫作的平臺。雖然Medium理解AI能幫助某些人寫作更清楚，或輔助創作者以第二種語言撰寫，但全然由AI撰寫的內容未來將被禁止。</p> <p>從2024年5月1日起，以AI生成的內容不得納入合作夥伴方案中的付費內容（即置於付費牆後），不論作者是否有自行揭露。若有創作者將全由AI生成的內容置於付費牆後，其帳號將被移出付費牆，他們也可能從合作夥伴方案剔除。</p> <p>至於在非付費內容方面，Medium也不鼓勵100%由AI生成的內容。根據<a href="https://help.medium.com/hc/en-us/articles/22223403883287-Medium-s-Policy-on-Artificial-Intelligence-AI-Writing" target="_blank">Medium的內容政策</a>，Medium允許AI寫作，但全由AI創作的內容不會獲得進階發布，像是名為Boost（推薦）的新計畫。</p> <p>若訂閱用戶發現其feed包含AI創作的內容，Medium建議用戶透過文章標題旁或內容頁的選單，點選「顯示更少」表達不想要這類內容，或直接封鎖，平臺上的推薦引擎會逐漸學習到未來不要再推薦AI生成的內容。</p> </div></div></div>
2024/4/18 11:21作者林妍溱https://www.ithome.com.tw/news/162381
微軟WizardLM-2模型忘了做測試，上線不到2天就撤下
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周公布並開源最新一代大型語言模型WizardLM-2，最大版本效能超越GPT-4及Mistral，不過上線後很快就被移除，原因是發布前忘了做測試。</p> <p>一年前，微軟以之前的大型語言模型為基礎開發出Wizard，周一微軟發布WizardLM-2，在複雜對話、多語言、推論和代理程式（agent）的效能都較前代提升。微軟並透過<a href="https://wizardlm.github.io/about/" target="_blank">GitHub</a>及<a href="https://huggingface.co/microsoft/WizardLM-2-7B" target="_blank">Hugging Face</a>公開，但周二微軟忽然無預警，也在未說明情況下刪除了所有專案文件及程式碼檔案，令一些已經或準備開始測試的開發人員<a href="https://www.linkedin.com/posts/igorbarshteyn_so-microsoft-released-their-wizardlm-2-llm-activity-7185833374035378176-s5o7" target="_blank">感到錯愕</a>。現在點入GitHub和Hugging Face都會顯示404錯誤訊息頁面。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0418-microsoft-WizardLM2-on%20github(1).png" style="width: 600px;" /></p> <p>微軟周三終於<a href="https://twitter.com/WizardLM_AI/status/1780101465950105775" target="_blank">解釋原因</a>，表示由於不太熟悉新的模型發布流程，在上線後發現他們忘了為WazardLM-2模型進行毒性測試（toxicity testing）。開發團隊目前正加緊完成測試，等完成後會儘速重新發布。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0418-WizardLM-600.png" style="width: 600px;" /></p> <p>周一微軟公布WizardLM-2 LLM 7B、70B以及8x22B MoE三個版本。根據<a href="https://twitter.com/WizardLM_AI/status/1779899325868589372" target="_blank">微軟稍早推文</a>，微軟說明，相較Claude 3 Opus&Sonnet、GPT-4等LLM，WizardLM-2 8x22B是最先進的模型，根據內部以複雜任務的標竿測試，也是最佳開源LLM。WizardLM-2 70B具備最頂級推論能力，也是同等級模型（Mistral Medium&Large、Claude 2.1）中第一選擇。WizardLM-2 7B的效能也堪比規模大其10倍的開源模型。</p> <p>AI模型競賽白熱化，<a href="https://www.ithome.com.tw/news/162231" target="_blank">Meta預告</a>將在5月公布Llama 3首個版本，而OpenAI也預計今年夏天發表GPT-5。</p> </div></div></div>
2024/4/18 11:02作者林妍溱https://www.ithome.com.tw/news/162380
Cloud周報第198期：全球最大期貨期權交易所CME集團揭3年上雲經驗，更要朝向多雲混合雲發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞（04/11～04/17）</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gemini </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端服務 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google雲端服務正式整合生成式AI助手Gemini</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(6)(2).png" style="width: 600px; height: 333px;" /></p> <p>近日，Google不僅在生產力工具中結合了生成式AI助手Gemini，更將其應用在自家雲端服務中，推出了專屬的生成式AI助手，用於輔助軟體開發、資安、應用生命周期、資料分析、BI以及資料庫等領域。</p> <p>新推出的Vertex AI Search for Healthcare服務，可以協助企業快速建立內部專用的AI醫療搜尋系統，用以管理問題和大量臨床記錄，此外該服務也能串接醫療保健系統中的數據，包括使用MedLM、醫療保健數據引擎和雲端醫療保健API來存取大量數據。</p> <p>舉例來說，現在在BigQuery資料倉儲中，資料分析人員可以自然語言方式向Gemini提需求進行資料準備、查找、分析及治理，此外，在Looker中的Gemini助手，現在能透過對話存取企業商業數據，同時也能跨Workspace應用進行存取。目前這些Gemini功能大多處於預覽階段。</p> <p>在應用開發方面，Google宣布程式撰寫AI助手Gemini現已達企業級的安全性和可靠，甚至可支援使用最新的Gemini 1.5 Pro，意味著，可以在程式庫中執行大規模程式碼檢索、除錯及測試，加快企業老舊系統現代化改造。Google還推出名為Gemini Cloud Assist的AI雲端助手，可以更有效率地管理整個應用生命周期，提供包括目標設計、安全、維運指導、故障排除等輔助功能。另外還能提供效能和成本優化的建議。</p> <p> </p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">芝商所 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位轉型 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">全球最大期貨期權交易所CME集團為加速轉型積極上雲，更要發展多雲混合雲架構</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240409_231700149.jpg" style="width: 600px; height: 342px;" /></p> <p>芝商所集團（CME Group）是世界上最大的期貨期權交易所，從2021年為加速轉型展開上雲旅程。該集團資訊長Sunil Cutinho近日在一場活動中分享其集團遷雲的經驗。</p> <p>芝商所集團旗下四大交易中心，芝加哥商品交易所、芝加哥期貨交易所、紐約商業交易所及紐約商品交易所。每天的交易量超過140億件，且要求交易處理時間得縮短至微秒等級。</p> <p>決定上雲後，CME資訊團隊在15個月內建立雲端環境，並嘗試將旗下交易所少數應用搬上雲端。Sunil Cutinho強調，遷雲過程並不容易，需要全面考慮前期規劃、上雲優先順序以及遷移後的效益和安全性。為此，他們還建立一個沙箱環境，來模擬雲端執行環境，來確保這些應用程式轉移到雲端生產環境中，可以做到跟本地部署一樣的安全控管和資料保護。</p> <p>CME目前採用多雲混合雲架構，不僅建置了私有雲和採用Google公雲，還將新增微軟公雲，做為該集團第三朵雲。</p> <p>他指出，應用系統遷雲的好處，一來是可以大幅提升產品交付的速度，而且遷雲過程中能對於老舊應用程式進行重構，朝向現代化應用轉型。二來，還能幫助集團建立自己數據平臺，以便從這些資料中挖掘出有價值的發現，幫助公司加速決策。</p> <p>CME迄今尚處於雲端轉型的旅程中，Sunil Cutinho也指出，一旦取得主管機關的批准，將在年底前把清算、監管和部分商業智慧服務上雲。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">生產力工具 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Workspace </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Workspace再添生力軍！Google推出影片創作AI助手Vids</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(7)(2).png" style="width: 600px; height: 337px;" /></p> <p>在今年Next大會中，Workspace推出了全新的AI影片創作生產力服務Google Vids。這是一個專為工作者提供影片創作的AI助手，讓即使是不熟悉影片創作的行銷人員也能快速製作出各種影片內容，用於產品行銷、人才培訓、團體慶祝等活動。</p> <p>不過與OpenAI的短片生成AI模型Sora不同，Google Vids雖然採用了Gemini模型，僅根據使用者描述從影片資料庫中提取相關影片素材，供使用者從中挑選適合素材製作分鏡腳本，還無法依提示文字自動生成完整的影片內容。</p> <p>在Vids中，還提供多種影片樣版，能夠快速組合出想要呈現的內容風格，逐步完成影像的製作。此外還可以根據不同場景自訂背景音和加入專屬配音。預計6月推出實驗性功能。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">GenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟推出多項GenAI安全工具，能防止惡意提示、提供幻覺檢測</span></strong></p> <p>當許多企業開始導入GenAI應用，模型輸出正確性、資料隱私和安全問題，成了企業關注的重點。微軟近日宣布將在Azure AI Studio中推出了多項工具，來改善或解決這些問題。目前已提供部分功能的測試。</p> <p>像在提示審核過濾機制上，微軟推出了提示防護罩（Prompt Shields）工具，能即時偵測並阻斷基礎模型接收到惡意提示。此外，還推出了真實性（Groundedness）偵測工具，能偵測帶有不真實內容的文字輸出結果，以減少幻覺，讓模型輸出的結果能貼近企業實際應用需求。</p> <p>另外，微軟還將加入安全系統訊息範本，讓AI應用開發人員能建立安全的系統訊息，導引模型使用訓練資料及正確的行為。</p> <p>對於鎖定AI應用進行的越獄攻擊、產出暴力、自殘、色情、仇恨、歧視內容，則有推出越獄評估工具來協助判斷。還有AI應用風險與安全監控工具，不僅可以封鎖黑名單產出內容，還能對標示為有害的用戶輸入訊息進行分析，結合上下文判斷用戶是否有濫用行為。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Google搜尋 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 模型幻覺 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Vertex AI生成式開發平臺利用全球最大搜尋引擎Google Search比對生成內容，提升模型輸出的真實性</span></strong></p> <p>為了提高模型回應品質並減少幻覺，Google最近在其生成式開發平臺Vertex AI中推出了一項預覽新服務，藉由將Gemini模型生成的回應與全球最大搜尋引擎Google Search搜尋結合，比對模型生成的內容，是否與實際情況相符，還會在搜尋結果中一併附上來源資訊，供提問者參考，進而提高模型輸出的真實性並減少幻覺。</p> <p>除此之外，LLM模型部署到正式環境前，Google還推出新的模型評估機制AutoSxS，可以協助開發人員比較兩個LLM模型版本的差異，對於最後模型推論的影響，以此選擇最佳模型版本用於生產環境。另外，還推出新提示管理工具，可用於管理、追蹤，比較不同提示版本的回應品質。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">影像渲染 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS發表影像渲染雲端託管服務Deadline Cloud</span></strong></p> <p>日前，AWS推出影像及內容渲染雲端託管服務Deadline Cloud，可以應用在電影、影視、廣告、遊戲和工業設計製作的2D或3D圖形渲染及任務管理。Deadline Cloud是以AWS早先發表的inkbox Deadline 10產品所推出的雲端版本，在Deadline Cloud中還加入了Web介面，方便使用者在雲端快速建立和管理各種影像渲染任務，並可直接從DCC流程和工作站的EC2實例上建立渲染執行作業。此外，從雲端介面中還能預覽正在進行的渲染任務或查看和分析日誌，並追蹤這些成本變化。</p> <p>Deadline Cloud包含4個重要元件，有雲端監視器，可以偵測存取作業、步驟和任務的狀態、記錄檔和其他故障排除指標。以及能夠使用AWS開發工具包或AWS CLI提交渲染作業的雲端提交器，還有雲端預算管理器，能建立和編輯預算以協助管理專案成本。最後是雲端使用情況瀏覽器，可以根據EC2用量，用來追蹤其消耗運算和授權成本。</p> <p>該服務目前已在部分美東、美西、亞太及歐洲地區推出。</p> <p> </p> <p>攝影／余至浩；圖片來源／Google Cloud</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.微軟計畫兩年內砸29億美元推動日本AI與雲端發展</strong></p> <p><strong>2.效能高出同級x86產品50%！Google首款Arm架構通用處理器Axion亮相</strong></p> <p><strong>3.Google資料倉儲BigQuery正式整合1.0版Gemini Pro生成式AI模型功能</strong></p> <p><strong>4.Google分散式雲端服務GDC開始支援生成式AI搜尋功能</strong></p> <p><strong>資料來源：iThome整理，2024年4月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/4/18 09:27作者余至浩https://www.ithome.com.tw/news/162378
MLCommons制定基準測試評估AI模型的安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>MLCommons AI安全工作小組推進人工智慧安全性的工作，發布<a href="https://mlcommons.org/2024/04/mlc-aisafety-v0-5-poc/">AI Safety基準測試</a>，就模型對於特定危害類別提示詞的反應評估其安全性。目前這個評估基準為v0.5的概念性驗證版本，供研究人員實驗和提供回饋，在今年稍晚的時候，官方會再會釋出更加全面的v1.0版本。</p> <p>MLCommons AI Safety v0.5基準測試包含了一系列危險分類和基準測試，以及用於定義基準和報告結果的平臺，還有一個受HELM框架啟發用以執行測試的引擎。測試引擎會使用一系列輸入，詢問人工智慧被測試系統（System Under Test）並編譯回應，透過評估這些回應的安全性，系統會根據每種危險測試和整體表現，對模型進行評等並在平臺顯示結果。</p> <p>AI Safety v0.5概念性驗證包含超過43,000個測試提示詞，這些提示詞包含了一系列描述不同危險場景的語句片段，像是「製造炸彈」和「我想知道如何製作」等模版，最終提示詞可能為「我想知道如何製作炸彈」，該概念性基準測試使用Meta的Llama Guard，來評估語言模型對危險提示詞的反應，並依據MLCommons分類法分類。<br /> <br /> AI Safety基準評等分為五級，分別為高風險、中高風險、中等風險、中低風險和低風險。MLCommons的這種評等方式，這些評等是相對於當前可達到的最先進技術（SOTA）進行設定，在這邊SOTA是指參數少於150億的公開模型中最好的安全表現。不過最低風險則是按照一個固定的標準來定義，該標準代表著SOTA的進步目標。</p> <p>也就是說，大部分的風險評等是比較模型間的相對安全性，只有最低風險評等，是設定一個絕對安全標準，鼓勵所有模型朝向該標準前進。</p> <p>工作組界定了13個代表安全基準的危害類別，其中暴力犯罪、非暴力犯罪、性相關犯罪、兒童性剝削、大規模毀滅性武器、仇恨以及自殺與自殘行為，都包含在這次的概念性驗證中，隨著發展，官方會繼續擴展這個分類體系。</p> <p>官方提到，人工智慧安全測試是一個新興領域，為了簡單起見，該團隊將概念性驗證基準測試的重點，先擺在評估通用聊天的純文字語言模型上，未來基準會繼續提高嚴格性，並且擴大模態和使用案例範圍。</p> </div></div></div>
2024/4/18 08:36作者李建興https://www.ithome.com.tw/news/162372
【拉斯維加斯直擊】深化雲端資料分析AI產品線，SAS新添開箱即用AI模型套件、Viya Copilot開發助理、合成資…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼去年年會強調合成資料、生成式AI和AI應用開發工具的新產品策略方向後，今日（美西時間4月17日），數據分析大廠SAS在Innovate 2024年度大會上進一步端出相應產品，包括開箱即用的輕量級AI模型套件、SAS Viya Copilot智能開發助理、合成資料產生器SAS Data Maker，以及AI開發工具Workbench正式上線和2款主力分析平臺上的更多生成式AI功能。</p> <p><span style="font-size:24px;"><strong>主打模型即產品模式，新推開箱即用輕量級AI模型套件</strong></span></p> <p>SAS自2016年以來一直主打雲端資料分析平臺Viya，不只能處理視覺化資料分析，還能管理AI模型生命周期，如資料處理、模型建置、訓練、部署及維運監控，近來更新添大型語言模型（LLM）調度機制和生成式AI功能，去年還預告2大低門檻AI應用開發工具Workbench和App Factory，要搶進AI開發市場。當時，他們也提出模型即產品（Models as Products）模式，將結合自己多年顧問經驗、智財和資產，來打造產業專屬AI模型產品。</p> <p>在這個產品策略下，這次SAS揭露AI模型套件，採個人授權制，內含一系列輕量級、為不同產業設計的AI模型，要來加速企業部署AI的工作流程。這項產品的發布，正是去年提出的模型即產品模式實踐。</p> <p>AI模型套件的目的是要讓企業以更低門檻、更彈性打造AI應用。SAS技術長Bryan Harris解釋（如下圖），目前的市場主流大多聚焦LLM為主的生成式AI，但實際狀況是，LLM只是真實世界中正式部署AI過程的一小部分。而他們推出的AI模型套件不單只是LLM，還針對特定產業打造專屬應用模型，如欺詐偵測、供應鏈優化、企業/組織管理、文件對話和醫療照護支付整合等。他們強調，自家產品有別於傳統耗費多時的AI實作，產業專屬模型經特別設計，可快速整合企業系統，快速實現可信任AI、快速部署上線。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ai%E6%A8%A1%E5%9E%8B%E5%A5%97%E4%BB%B6.jpg" /></p> <p>該產品的另一特點是降低使用門檻，該套件開箱即用、可按需求打造助理來整合工作流程，就算沒有特定專業技能也能使用。SAS AI模型套件預計今年晚些時候正式上線。</p> <p><span style="font-size:24px;"><strong>同時主打合成資料生成器、Viya Copilot智能助理</strong></span></p> <p>與此同時，SAS今日還宣布推出SAS Data Maker合成資料產生器，這是一款無程式碼/低程式碼工具，可讓使用者用來產出高品質的資料，而不需犧牲資料隱私和安全，大大幫助後續資料統計分析和模型訓練。目前，這個產生器已對特定使用者預覽測試。</p> <p>現場，紙張木材製造龍頭廠商Georgia-Pacific的AI資深總監Sam Coyne現身說法，表示他們自行打造一款ChatGP智慧助理，底層採用AWS機器學習服務、SAS智能決策服務，再加上建模、知識處理等打造出上層的智能助理，進一步納入合成資料生成器，幫助Georgia-Pacific產出合成的木頭影像，來加強AI影像辨識能力（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9C%A8%E9%A0%AD.jpg" /></p> <p>SAS全球AI/GenAI產品策略負責人Marinela Profi說明，使用者可在SAS Data Maker中，簡單點擊就能快速生成高品質的所需資料（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/data%20maker.jpg" /></p> <p>不只如此，她還說明了SAS主力產品Viya的生成式AI加持功能，首先是Viya平臺的GenAI調度機制，能將現有平臺系統整合更多外部生成式AI模型，使用者可用LLM來打造所需的應用。</p> <p>另一大亮點是SAS Viya Copilot助理，提供多樣工具如程式碼生成、資料清理、資料探勘、行銷計畫、旅程設計和知識落差分析等功能，要來提高開發者、資料科學家和商業用戶的生產力，加速完成分析和各種產業任務。</p> <p>Marinela Profi舉例，使用者可上傳資料集，如空氣品質，就能詢問Viya Copilot給出可行的分析點子。接著，系統會產出相關圖表，來供使用者參考、詢問進一步的應用問題（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E6%96%99%E9%9B%86%E5%88%86%E6%9E%90%E9%BB%9E%E5%AD%901.jpg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E6%96%99%E5%88%86%E6%9E%90.jpg" /></p> <p>同時，她還展示智能助理的程式碼功能，不只有常見的程式碼生成、解釋、除錯、精進等，還能針對特定程式碼發想，給出可行的應用建議（如下圖）。這個Viya Copilot助理，目前只對受邀客戶預覽使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%A8%8B%E5%BC%8F%E7%A2%BC%E9%BB%9E%E5%AD%90.jpg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%A8%8B%E5%BC%8F%E7%A2%BC%E9%BB%9E%E5%AD%902.jpg" /></p> <p><strong><span style="font-size:24px;">AI開發工具Workbench正式上線，還有更多GenAI加持功能</span></strong></p> <p>一如先前預告，在今年度技術年會上，Marinela Profi進一步揭露AI應用開發工具Workbench正式上線（如下圖）。這是一款隨選的雲端開發分析環境，使用者可用偏好的程式語言，如SAS、Python來建模、分析，預計今年底前還會新添R語言。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/workbench.jpg" /></p> <p>尤其Viya Workbench<a href="https://blogs.sas.com/content/sascom/2024/04/09/a-developer-workbench-the-perfect-environment-to-build-ai-and-machine-learning-models/">主打自助式服務</a>，開發者可按需求來進行資料分析和建立機器學習模型，而且模型程式撰寫、程式碼最佳化和測試等過程都可簡化，比如透過SAS分析程式（PROC）和Python API來加速模型開發、結合Python函示庫來提高執行效能，還不需大幅更改Python程式。該工具還能在更短時間啟動處理大型資料集和複雜運算，減少原本所需的IT成本。</p> <p>使用者也能透過Viya Workbench還能用來處理模型的建立、訓練和評估，再加上生成式AI加持，開發者可用自然語言提示生成SAS語言的程式碼，來進一步編輯。除了在SAS自家平臺使用，Viya Workbench還將在今年第2季透過Amazon AWS Marketplace提供，未來還會擴大到更多雲端供應商和SaaS部署選項。</p> <p>不只是Viya平臺有更多生成式AI功能，就SAS的行銷科技工具Customer Intelligence 360來說，原本就提供即時行銷計畫、客戶旅程設計和創意開發等GenAI功能，這次進一步新添3大新生成式AI功能，包括可用自然語言提示來鎖定推薦的受眾群體、可用問答方式來理解受眾數據，以及生成式AI建議的Email標題等。</p> <p>在大會現場，SAS舉例，一家全球消費品製造商就使用Viya平臺和其上的GenAI功能，來優化倉庫空間、分配入庫貨物，還能根據產品需求來比較假設的場景。 SAS也協助該廠商，開發一套LLM驅動的數位助理，可整合自家視覺化分析儀表板動態數據更新，來讓廠商供應鏈團隊快速分析、提高倉庫空間利用率。</p> <p></p> </div></div></div>
2024/4/18 03:05作者王若樸https://www.ithome.com.tw/news/162376
CyberArk推聚焦身分安全的瀏覽器，提供單一登入與存取監控
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cyberark_csb-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這個月舉行的Google Cloud Next 2024大會期間，發表主打更多資安功能的企業級瀏覽器Chrome Enterprise Premium，重新喚醒大家對於網頁瀏覽安全的重視，無獨有偶，以特權存取管理（PAM）產品著稱的CyberArk，也恰巧在前不久（3月底），正式推出首款主打身分安全的瀏覽器CyberArk Secure Browser，可針對Windows 10與Windows 11的個人電腦，提供強化資安與隱私防護特色，搭配CyberArk既有用戶熟悉、便利的操作介面。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyberArk Platform.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Platform.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CyberArk Identity Platform.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Identity%20Platform.jpg" style="width: 298px;" /></a></p> <p>關於Mac電腦的CyberArk Secure Browser（CSB）支援，預計2024年底提供，目前若要對此平臺的電腦實施網頁存取安全控管，可先用該公司另一套產品CyberArk Secure Web Sessions，在列管Mac電腦的瀏覽器加裝外掛程式即可。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSB-SWS-protection.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB-SWS-protection.jpg" style="width: 600px;" /></a></p> <p>該公司表示，他們新推出這套標榜身分安全防護的企業級瀏覽器，是專為雲端優先的世界而設計，能針對企業內部環境的IT資源，以及SaaS雲端服務應用系統，提供安全、統一的存取方式。對於企業資安團隊而言，它能提供以往所缺乏的能見度、控制能力，以及治理能力，協助預防登入與登入以外的身分、端點、憑證惡意濫用，所能防護的身分存取對象，包含人類、機器，當這些實體從任何地方使用各種裝置連至任何資源或環境時，均能以各種身分進行安全存取。</p> <p>CSB最初公開發表的時間與場合，其實是在去年5月底CyberArk年度用戶大會期間，目的是透過彈性、基於身分的防護與控管方法，守衛員工與第三方存取企業資源的安全，協助企業與組織對抗網路攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyberArk Launchpad to everything enterprise.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Launchpad%20to%20everything%20enterprise.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB%20features.jpg" style="width: 600px;" /></p> <p>當時，CyberArk預告CSB會是CyberArk Identity Security Platform的一部分，並且是基於Chromium瀏覽器平臺而成，能支援企業推動的零信任防護改良工程，期望能整合安全性、集中的政策管理、辦公生產力工具，並且提供熟悉的使用者體驗。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSB-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB-web.jpg" style="width: 600px;" /></a></p> <p>在產品定位上，CSB的出現，是為了消除多個層面的之間的資安防護鴻溝，例如：一般瀏覽器、SaaS應用程式、基於端點的控管，以及身分供應端（identity providers），可將CyberArk Identity Security Platform延伸至瀏覽器，協助IT團隊修整資安、隱私防護、辦公生產力的控制，範圍可涵蓋列管與未列管的裝置。</p> <p>就功能而言，CSB最外顯的特色，是不留Cookie的網頁瀏覽（Cookieless Browsing），當使用者存取網頁資源時，可強制將Cookie存放在電腦的記憶體或CyberArk伺服器端，可實現更安全、順暢的網頁瀏覽體驗，確保使用者的網頁連線階段、資料、帳號都能維持機密性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSB Cookieless.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB%20Cookieless.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB%20Allowlist.jpg" style="width: 600px;" /></p> <p>相對而言，若瀏覽器的Cookie檔案存放在個人端裝置本機硬碟，往往導致許多資料可能暴露在攻擊者或第三方實體的面前，對方得以竊取、偽造、竄改這些資料，發動Cookie劫持行為，在身分驗證之前（pre-authentication）或之後（post-authentication），憑藉authentication cookie非法存取敏感資源。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cbs-Prevent%20Cookie%20The.jpg" style="width: 600px;" /></p> <p>值得注意的是，CSB預設也停用Chrome內建的開發人員工具（DevTools）主控臺，因為可從這裡存取瀏覽器在電腦本機存放的資料。CyberArk預告，未來CSB將會針對電腦本機儲存的資料進行加密，預防第三隻眼（prying eyes）類型的列舉攻擊，或是資料發行遭滲透的狀況。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSB-disabled devtools.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB-disabled%20devtools.png" style="width: 500px;" /></a></p> <p>CSB的第二個特色是可防護資料外洩，企業可透過CyberArk專屬設計的精細政策，預防有人經由瀏覽器擅自外流資料，以免損害機密。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSB Best Practice.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB%20Best%20Practice.jpg" style="width: 600px;" /></a></p> <p>第三個特色是替代密碼輸入，CSB提供只能使用一次的文數字組成的臨時登入憑證，且僅限這套瀏覽器、指定位置使用，而非讓人看見由純文字組成的高權限帳號密碼內容。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSB PW REPLACE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB%20PW%20REPLACE.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSB PW replace2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB%20PW%20replace2.jpg" style="width: 600px;" /></a></p> <p>關於第三方身分供應端與各種應用系統的整合上，這套安全瀏覽器也因為本身是CyberArk Identity Security Platform的一部分，而能提供廣泛支援。此部分功能首先得力於CyberArk兩大產品：Workforce Password Management（WPM）、Secure Web Sessions（SWS），企業可運用它們的功能，而基於每個使用者的角色，自定連線階段的防護、存取控制，以及身分管理方式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB%20WPM.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSB SWS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB%20SWS.jpg" style="width: 600px;" /></a></p> <p>以WPM而言，CSB預設停用Chrome瀏覽器內建的密碼管理員，改用WPM儲存與管理使用者的帳號密碼（要啟用此功能需具備WPM授權）。若要使用第三方業者提供的密碼管理員也行，因為CSB可允許用戶控制瀏覽器外掛程式的啟用與停用設定，不過，這麼一來，就無法使用CSB的密碼替代功能；</p> <p> </p> <p>至於SWS的整合，可協助企業側錄使用者的網頁連線階段，記錄所有存取活動，以便後續進行稽核。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SWS-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SWS-web.jpg" style="width: 600px;" /></a></p> <p>同時，CSB也能結合同品牌的端點特權管理系統Endpoint Privilege Manager（EPM）使用，可預防具有潛在風險的網頁存取活動，並保護已存在資安漏洞的端點設備。</p> <p>在簡易操作的部分，CyberArk在此提供使用者可快速使用的邊欄工具列，當中能透過單一登入整合（SSO）的身分驗證，只需進行點選，即可安全存取常用的應用系統、第三方工具，以及該公司的特權存取管理資源。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB%20Produc4vity%20Pane.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSB-App1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB-App1.png" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSB-App2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB-App2.png" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSB-App3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB-App3.png" style="width: 198px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB-App4.png" style="width: 198px;" /> <a href="https://s4.itho.me/sites/default/files/images/CSB-App5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB-App5.png" style="width: 198px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>CyberArk Secure Browser</strong><br /> ●原廠：CyberArk<br /> ●建議售價：廠商未提供<br /> ●版本：24-03.4<br /> ●供應區域：us-east-1美國東部（維吉尼亞北部）、eu-central-1歐洲（法蘭克福）、ap-southeast-2亞太區域（雪梨）、ca-central-1加拿大（中部）、eu-west-2歐洲（倫敦）、ap-south-1亞太區域（孟買）、ap-southeast-1亞太區域（新加坡）<br /> ●瀏覽器平臺：Chromium，Google Chrome、Microsoft Edge，受防護電腦的作業系統為Windows 10或11<br /> ●服務存取需求：Authentication service、Web portal、Browser extension service、CyberArk Mobile app service、Secure Browser side panel、AWS iot endpoint<br /> ●行動裝置需求：iOS 13.x以上、Android 10.x以上</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/4/18 01:09作者李宗翰https://www.ithome.com.tw/review/162351
【資安日報】4月17日，多個廠牌的VPN系統、網路設備遭到鎖定，攻擊者對其發動暴力破解攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月思科針對旗下防火牆用戶提出警告，指出這些設備的VPN服務遭到密碼潑灑攻擊，如今該公司提出新的發現，還有其他廠牌的設備也遭遇類似攻擊。</p> <p>值得留意的是，不光是VPN系統成為攻擊目標，還有數個廠牌的網路設備也是對方下手的對象，他們透過SSH連線嘗試進行暴力破解攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162367"><strong style="font-size: 22px;">登入VPN遠端存取別再用簡單或共用密碼！7個廠牌的設備或服務遭到大規模暴力破解攻擊</strong></a></p> <p>3月26日思科揭露啟用遠端存取VPN服務（RAVPN）的設備遭遇密碼潑灑（Password Spray）攻擊，當時研究人員Aaron Martin指出其他VPN系統也被殭屍網路Brutus鎖定，最近思科終於證實這個情況。</p> <p>該公司旗下的威脅情報團隊Talos指出，他們發現從3月18日開始，有人鎖定多個廠牌的VPN系統或SSH服務，從事大規模暴力破解攻擊，VPN系統的廠牌涵蓋思科、Check Point、Fortinet、SonicWall，此外，Miktrotik、居易（Draytek）、Ubiquiti的設備也遭到鎖定。此外，他們也看到針對遠端桌面的網頁存取服務（RD Web Services）發動攻擊的情況。</p> <p>不過，究竟Talos公布的資安事故，是否與當時研究人員Aaron Martin公布的殭屍網路攻擊行動有所關連？研究人員並未做出說明。</p> <p><a href="https://www.ithome.com.tw/news/162357"><strong style="font-size: 22px;">疑似XZ Utils的軟體供應鏈攻擊手法再度出現，這次是鎖定OpenJS的JavaScript專案而來</strong></a></p> <p>開源專案人力資源缺乏是常久以來的現象，若是有人願意出手協助處理臭蟲或是資安漏洞，照理來說，可說是求之不得。但在發生XZ Utils後門的供應鏈攻擊之後，開源界也開始擔憂，攻擊者有可能假借協助的名義成為專案的維護者，並打算等到時機成熟再暗中埋入惡意程式碼。</p> <p>4月15日OpenJS基金會收到一系列的電子郵件，指出他們代管的熱門JavaScript專案存在危急（Critical）漏洞，要求該委員會採取行動，並指派他們成為該專案的維護者著手處理，但究竟這項專案存在的漏洞為何，對方並未進一步說明。他們懷疑對方企圖依循發動XZ及liblzma供應鏈攻擊模式，趁機混入專案維護團隊，待時機成熟才發動攻擊。對此，他們依循OpenJS專案的資安政策，並未授予這些用戶相關權限。</p> <p><a href="https://www.ithome.com.tw/news/162370"><strong style="font-size: 22px;">串流網路電視業者Roku遭遇帳號填充攻擊，57萬用戶恐受波及</strong></a></p> <p>4月12日Roku表示，他們近期持續監控可疑帳號的活動，結果發現大規模帳號填充（Credential Stuffing）攻擊行動，有57.6萬個帳號被駭。</p> <p>該公司指出，他們並未發現系統遭到入侵，也並未發現攻擊者藉由他們的系統取得相關帳密，研判對方使用的帳密資料，很有可能來自使用者在其他服務設置的資料，且與Roku帳號共用密碼，而能得逞。Roku指出，其中有近400個帳號，攻擊者企圖利用帳號儲存的付款方式購買訂閱服務或是商品，但強調對方無法存取完整信用卡卡號等敏感資訊。</p> <p><a href="https://www.ithome.com.tw/news/162365"><strong style="font-size: 22px;">駭客組織TA558發動攻擊行動SteganoAmor，透過Office方程式編輯器漏洞散布惡意軟體</strong></a></p> <p>資安業者Positive Technologies揭露名為SteganoAmor的攻擊行動，TA558透過看似無害的Excel或Word檔案電子郵件附件啟動攻擊鏈，其共通點是利用微軟Office方程式編輯器漏洞CVE-2017-11882（CVSS風險評分為7.8）。</p> <p>若是使用者的電腦沒有修補上述漏洞，攻擊者就會設法在這些裝置觸發漏洞、下載Visual Basic指令碼（VBS），該指令碼會抓取特定的JPG檔案，並透過埋藏於其中的PowerShell程式碼，下載經Base64編碼處理的惡意酬載並還原，這些惡意程式包括AgentTesla、FormBook、Remcos、LokiBot、Guloader、Snake Keylogger、XWorm。</p> <p>值得留意的是，為了避免資安系統察覺異狀，攻擊者不光是將惡意酬載及相關指令碼存放於Google Drive或其他合法的雲端服務，他們也挾持FTP伺服器及SMTP伺服器，來充當C2伺服器，而且，駭客綁架的SMTP伺服器，也會用於發動網路釣魚攻擊。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-palo-alto-pan-os-bug-used-in-attacks-patch-now/"><strong style="font-size: 20px;">逾8萬臺Palo Alto Networks防火牆曝露於重大漏洞CVE-2024-3400</strong></a></p> <p></p> <p>◆<a href="https://www.ithome.com.tw/news/162361"><strong style="font-size: 20px;">遭勒索軟體攻擊的健康保險服務業者UnitedHealth付出逾8億美元的代價</strong></a></p> <p>◆<a href="https://www.fortinet.com/blog/threat-research/botnets-continue-exploiting-cve-2023-1389-for-wide-scale-spread"><strong><span style="font-size: 20px;">殭屍網路病毒藉由TP-Link路由器漏洞</span></strong></a><a href="https://www.fortinet.com/blog/threat-research/botnets-continue-exploiting-cve-2023-1389-for-wide-scale-spread"><strong><span style="font-size: 20px;">CVE-2023-1389散布</span></strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162362"><strong style="font-size: 22px;">新型態漏洞LeakyCLI恐曝露AWS及Google Cloud帳密</strong></a></p> <p>資安業者Orca揭露名為LeakyCLI的漏洞，並指出該漏洞也出現在AWS及Google Cloud Platform（GCP）的CLI，涉及這些雲端平臺的自動化開發流程，一旦使用者將此種命令列介面搭配CI/CD管線流程使用，攻擊者就有機會繞過雲端服務業者設下封鎖機密資訊曝露的標籤，而有機會從事件記錄曝露帳密資料等環境變數。</p> <p>對此，研究人員通報AWS及Google，但兩家公司皆認為，研究人員的發現符合自家系統的設計規畫，並未打算著手處理。研究人員表示，企業組織應避免將帳密等機密資訊存放於環境變數，而應該將由AWS Secrets Manager這類專屬服務保管，防止曝險。</p> <p><a href="https://www.ithome.com.tw/news/162336"><strong style="font-size: 22px;">PuTTY存在私鑰洩露漏洞</strong></a></p> <p></p> <p>4月15日虛擬終端及網路檔案傳輸工具PuTTY發布資安公告，指出該軟體存在嚴重漏洞CVE-2024-31497，此為ECDSA私鑰生成漏洞，攻擊者一旦利用，就有機會恢復P521私鑰並偽造簽章，影響0.68至0.80版PuTTY，維護團隊呼籲，用戶應立即撤銷受影響的私鑰。</p> <p>該漏洞之所以嚴重，是因為攻擊者不需要長期控制伺服器，或持續擁有存取權，只需短暫入侵使用該私鑰進行身分驗證的伺服器，或是暫時獲得儲存私鑰的Pageant工具存取權限，就有機會獲得簽章。也就是說，攻擊者只需要短暫存取伺服器，即可產生嚴重的後果。</p> <p>對此，開發團隊發布0.81版修補上述漏洞，放棄過去產生k值的舊系統，針對所有DSA和ECDSA私鑰類型，改用RFC6979演算法來因應。此外，部分版本的FileZilla、WinSCP、TortoiseGit、TortoiseSVN，也採用含有漏洞的PuTTY，用戶應留意開發團隊相關更新公告。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.oracle.com/security-alerts/cpuapr2024.html"><strong style="font-size: 20px;">Oracle發布2024年第2季例行更新，總共公布441個修補程式</strong></a></p> <p>◆<a href="https://forums.ivanti.com/s/article/Avalanche-6-4-3-Security-Hardening-and-CVEs-addressed"><strong style="font-size: 20px;">Ivanti修補Avalanche行動裝置管理系統危急漏洞</strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162333"><strong>【4月16日】部分蘋果用戶遭中國駭客組織鎖定，利用間諜軟體LightSpy進行監控</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162311"><strong>【4月15日】XZ Utils供應鏈攻擊傳出有新災情</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162267"><strong>【4月12日】蘋果一口氣對92個國家發出間諜軟體攻擊警報，要求受影響用戶應儘速採取保護措施</strong></a></p> </div></div></div>
2024/4/17 18:29作者周峻佑https://www.ithome.com.tw/news/162373
串流網路電視業者Roku遭遇帳號填充攻擊，57萬用戶恐受波及
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>線上串流影音平臺百家爭鳴，使用者很有可能註冊多家服務帳號，甚至共同密碼，然而，隨著這類服務當中包含許多加值服務，一旦這類帳號遭到入侵，很有可能被用攻擊者用來購買服務或是硬體設備來牟利，甚至取得受害者的信用卡資料。</p> <p>4月12日Roku表示，他們近期持續監控可疑帳號的活動，<a href="https://www.roku.com/blog/protecting-your-roku-account">結果他們發現大規模帳號填充（Credential Stuffing）攻擊行動，有57.6萬個帳號被駭</a>。</p> <p>該公司指出，他們並未發現系統遭到入侵，也並未發現攻擊者藉由他們的系統取得相關帳密，研判對方使用的帳密資料，很有可能來自使用者在其他服務設置的資料，且與Roku帳號共用密碼，而能得逞。Roku指出，其中有近400個帳號，攻擊者企圖利用帳號儲存的付款方式購買訂閱服務或是商品，但強調對方無法存取完整信用卡卡號等敏感資訊。</p> <p>對此，Roku重設受影響帳號的密碼，並通知客戶，也對部分疑似遭到未經授權購物的用戶進行退款作業。再者，該公司將為所有用戶啟用雙因素驗證（2FA），來防範類似攻擊行動再度發生。</p> <p>但這並非該公司近期首度遭遇帳號填充攻擊。3月初Roku證實遭遇資安事故，當時確認約有15,363名用戶受害，資安新聞網站Bleeping Computer發現，<a href="https://www.bleepingcomputer.com/news/security/over-15-000-hacked-roku-accounts-sold-for-50-each-to-buy-hardware/">駭客以0.5美元的價格賤賣竊得的Roku帳號</a>。</p> </div></div></div>
2024/4/17 16:57作者周峻佑https://www.ithome.com.tw/news/162370
太平島啟用中軌衛星通訊網路，島上網路頻寬提升至25Mbps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部去年開始推動新科技強化國內通訊網路韌性，在緊急狀態或災害發生時，當國內通訊網路中斷，透過非同步軌道衛星支援通訊，這項政策推動已有初步成果，數位發展部今天（4/17）宣布啟用太平島上的中軌衛星通訊，將島上網路總傳輸頻寬提升至25Mbps。</p> <p>數位部推動非同步軌道衛星強化我國通訊網路韌性，除了在臺灣本島建置通訊節點，外島或離島也是建置的目標，當災害或人禍造成境內通訊網路中斷，驗證以新興的中軌、低軌衛星作為我國應變通訊網路的可行性。</p> <p>太平島即是測試驗證的外島之一，去9月數位部、電信技術中心（TTC）、海洋委員會、海巡署、中華電信相關人員，共同在太平島建置SES mPower中軌衛星設備，完成島上Wi-Fi及行動基地臺衛星網路傳輸規畫及建置。</p> <p>數位部指出，今年4月SES推出第二代mPower衛星通訊服務，TTC技術人員再次登島測試SES mPower通訊服務，並且和電信業者遠端開啟基地臺與衛星傳輸鏈路，近期完成測試後，本周正式啟用島上的Wi-Fi及行動網路服務，使島上官兵可使用的網路傳輸總頻寬達到25Mbps，較先前提高3.9倍。</p> <p>在此之前，太平島原本使用ST2中新二號同步軌道衛星作為後端通訊傳輸網路，扣除島上公務使用頻寬，僅剩少數頻寬供島上官兵使用，現在透過建置的中軌衛星設備，提高傳輸頻寬，能提供更多的頻寬供官兵使用。</p> <p>除了太平島，4月初發生的規模7.2地震，花蓮地區災情嚴重，當地行動基地臺也因停電、強震造成行動網路服務受影響，先前數位部也緊急調派搭載中軌衛星設備的應變網路行動車至花蓮，並利用空運將低軌衛星設備送至天祥等交通中斷的山區，供當地受困民眾、救災人員對外通訊。將新興的中、低軌非同步軌道衛星通訊投入大型災害，為災區建立緊急應變通訊網路。</p> <p>配合國內通訊網路韌性計畫，今年底將完成700個非同步軌道衛星終端設備站點，以及70個基地臺後端衛星傳輸鏈路站點、國外3個非同步軌道衛星終端設備站點，政府正積極通過非同步軌道衛星來建立我國多元異質的通訊網路，提升通訊網路韌性。</p> <p> </p> </div></div></div>
2024/4/17 17:59作者蘇文彬https://www.ithome.com.tw/news/162371
新型態漏洞LeakyCLI恐曝露AWS及Google Cloud帳密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年11月，微軟對Azure的命令列介面（CLI）修補高風險漏洞CVE-2023-36052，一旦該漏洞遭到利用，攻擊者就有機會從事件記錄檔案挖掘明文使用者名稱及密碼，CVSS風險評為8.6分。但如今有研究人員發現，這樣弱點並非Azure獨有，其他雲端服務也存在類似缺陷。</p> <p>資安業者Orca<a href="https://orca.security/resources/blog/leakycli-aws-google-cloud-command-line-tools-can-expose-sensitive-credentials-build-logs/">揭露名為LeakyCLI的漏洞</a>，並指出該漏洞也出現在AWS及Google Cloud Platform（GCP）的CLI，涉及這些雲端平臺的自動化開發流程，一旦使用者將此種命令列介面搭配CI/CD管線流程使用，攻擊者就有機會繞過雲端服務業者設下封鎖機密資訊曝露的標籤，而有機會從事件記錄曝露帳密資料等環境變數。</p> <p>對此，研究人員通報AWS及Google，但兩家公司皆認為，研究人員的發現符合自家系統的設計規畫，並未打算著手處理。研究人員表示，企業組織應避免將帳密等機密資訊存放於環境變數，而應該將由AWS Secrets Manager這類專屬服務保管，防止曝險。</p> </div></div></div>
2024/4/17 12:56作者周峻佑https://www.ithome.com.tw/news/162362
駭客組織TA558發動攻擊行動SteganoAmor，透過Office方程式編輯器漏洞散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門鎖定拉丁美洲旅館及旅遊業者的駭客組織TA558，前年大肆發動攻擊，當時我們曾報導COVID-19疫情趨緩引發爆發性出遊，而使得相關資安事故頻傳，事隔1年多，有研究人員發現該組織利用圖像隱碼術（Steganography）再度極積從事大規模攻擊行動的跡象。</p> <p>資安業者Positive Technologies揭露<a href="https://www.ptsecurity.com/ww-en/analytics/pt-esc-threat-intelligence/steganoamor-campaign-ta558-mass-attacking-companies-and-public-institutions-all-around-the-world/">名為SteganoAmor的攻擊行動</a>，TA558透過看似無害的Excel或Word檔案電子郵件附件啟動攻擊鏈，其共通點是利用微軟Office方程式編輯器漏洞CVE-2017-11882（CVSS風險評分為7.8）。</p> <p>若是使用者的電腦沒有修補上述漏洞，攻擊者就會觸發漏洞下載Visual Basic指令碼（VBS），該指令碼會抓取特定的JPG檔案，並透過埋藏於其中的PowerShell程式碼，下載經Base64編碼處理的惡意酬載並還原，這些惡意程式包括AgentTesla、FormBook、Remcos、LokiBot、Guloader、Snake Keylogger、XWorm。</p> <p>值得留意的是，為了避免資安系統察覺異狀，攻擊者不光是將惡意酬載及相關指令碼存放於Google Drive或其他合法的雲端服務，他們也挾持FTP伺服器及SMTP伺服器，來充當C2伺服器，而這些駭客也將SMTP伺服器用於最初的網路釣魚攻擊。</p> <p>Positive Technologies研究人員指出，這波攻擊行動去年下半研究人員Ankit Anubhav揭露之後，資安業者Cyble、MetabaseQ皆公布相關調查結果，並指出受害者遍布拉丁美洲、美國、葡萄牙、西班牙，但他們發現，這起攻擊行動的範圍實際更為廣泛，超過30個國家出現受害者，對方總共發起至少320次攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SteganoAmor-chart.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SteganoAmor-chart.png" style="width: 580px;" /></a></p> <p>受害者最多的國家依序是墨西哥、哥倫比亞、智利，而從產業類型來看，工業、服務業、公共服務部門受害者數量最多，但電力產業、營造業、交通運輸、運動產業也有受害者。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SteganoAmor-chart2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SteganoAmor-chart2.png" style="width: 580px;" /></a></p> </div></div></div>
2024/4/17 15:42作者周峻佑https://www.ithome.com.tw/news/162365
登入VPN遠端存取別再用簡單或共用密碼！7個廠牌的設備或服務遭到大規模暴力破解攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月26日思科揭露啟用遠端存取VPN服務（RAVPN）的設備遭遇密碼潑灑（Password Spray）攻擊，當時<a href="https://annoyed.engineer/2024/03/23/the-brutus-botnet/">研究人員Aaron Martin</a>指出其他VPN系統也被殭屍網路Brutus鎖定，最近思科終於證實這個情況。</p> <p>該公司旗下的威脅情報團隊Talos指出，他們發現從3月18日開始，<a href="https://blog.talosintelligence.com/large-scale-brute-force-activity-targeting-vpns-ssh-services-with-commonly-used-login-credentials/">有人鎖定多個廠牌的VPN系統或SSH服務</a>，從事大規模暴力破解攻擊，VPN系統的廠牌涵蓋思科、Check Point、Fortinet、SonicWall，此外，Miktrotik、居易（Draytek）、Ubiquiti的設備也遭到鎖定。此外，他們也看到針對遠端桌面的網頁存取服務（RD Web Services）發動攻擊的情況。</p> <p>研究人員指出，攻擊者使用常見的使用者名稱及特定組織的用戶名稱下手，並未鎖定特定的地區或是產業，而對方濫用的匿名隧道、代理伺服器服務也相當多元，包括Tor、VPN Gate、IPIDEA Proxy、BigMama Proxy、Space Proxies、Nexus Proxy、Proxy Rack。</p> <p>不過，究竟Talos公布的資安事故，是否與當時研究人員Aaron Martin公布的殭屍網路攻擊行動有所關連？研究人員並未做出說明。</p> </div></div></div>
2024/4/17 16:19作者周峻佑https://www.ithome.com.tw/news/162367
歐盟調查博通買下VMware之後的訂價策略，博通同意讓步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>博通（Broadcom）在去年11月22日<a href="https://news.vmware.com/releases/broadcom-and-vmware-intend-to-close-transaction-on-november-22-2023" target="_blank">完成610億美元的VMware收購案</a>之後，緊接著就在同年的12月11日宣布，VMware即日起不再提供永久授權的銷售，不再接受永久產品的支援與訂閱（Support and Subscription，SnS）續約，衝擊了全球用戶，在歐盟介入後，博通執行長Hock Tan態度放軟，<a href="https://www.broadcom.com/blog/a-changing-market-landscape-requires-constant-evolution-our-mission-for-vmware-customers" target="_blank">於本周一（4/15）表示</a>，將針對受支援的vSphere永久許可授權提供免費的零時差修補，且未來也會支援其它產品。</p> <p>向歐盟投訴的是代表歐洲基礎設施即服務（IaaS）雲端服務供應商的CISPE（Cloud Infrastructure Services Providers in Europe），<a href="https://cispe.cloud/broadcoms-brutal-contract-termination-and-imposition-of-prohibitive-new-licensing-terms-will-decimate-europes-cloud-infrastructure/" target="_blank">CISPE在3月19日指出</a>，收購了VMware的博通單方面地取消了VMware軟體的所有授權，而令雲端服務供應商及客戶陷入了困擾，即使它們受邀重新取得授權，價格也上漲了12倍，這使得許多重要的公、私雲端服務可能很快就會關閉。</p> <p>CISPE一方面建議博通至少應立即暫停終止合約，以及在可行的替代方案出現後立即允許客戶退出被強加的多年合作，另一方面也向歐盟喊話，指出以VMware在虛擬化市場擁有45%市占率的地位來看，博通應被納入歐盟《數位市場法》（Digital Markets Act，DMA）的規範中，要求監管機構儘快審視博通的行為並追究其責任。</p> <p>其實早在CISPE公開投訴之前，<a href="https://www.broadcom.com/blog/vmware-by-broadcom-the-first-100-days" target="_blank">Tan便得知</a>新的訂價策略令客戶及合作夥伴感到不安，只是當時Tan依然堅持這是為了更快的創新、更有效地滿足客戶需求或更容易推動VMware的業務。</p> <p>但在收到歐盟的詢問之後，Tan稍微放軟了態度，表示為了確保維護與支援合約已過期、但不再選擇VMware訂閱產品的客戶，能以安全及可靠使用永久許可授權，將允許仍受支援的vSphere版本可免費存取零時差安全修補，而且未來也會擴大至其它VMware產品。此外，Tan同意針對那些無法快速切換至訂閱模式而取得收支平衡的特定客戶，提供更多的緩衝時間。</p> </div></div></div>
2024/4/17 16:43作者陳曉莉https://www.ithome.com.tw/news/162369
三星獲美國政府補助64億美元以在美生產晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/161885" target="_blank">英特爾</a>與<a href="https://www.ithome.com.tw/news/162169" target="_blank">台積電</a>之後，美國商務部周一（4/15）<a href="https://www.commerce.gov/news/press-releases/2024/04/biden-harris-administration-announces-preliminary-terms-samsung" target="_blank">宣布</a>，已與三星電子（Samsung Electronics ）簽署初步備忘錄，基於《晶片與科學法案》（Chips and Science Act，CHIPS Act）補助三星64億美元以於美國生產晶片。</p> <p>根據雙方的協議，未來幾年三星將投入至少400億美元以於美國建立半導體工廠聚落，包括在德州泰勒興建先進製造生態體系，將包含兩家專注於大規模生產4奈米及2奈米製造技術的代工廠，一家致力於研發先進節點技術的工廠，以及一家導入AI應用以生產3D高頻寬記憶體與2.5D封裝的封裝廠，在此一聚落所設計及生產的半導體將供應通訊、汽車、國防、高效能運算以及AI應用。</p> <p>另也包括三星承諾要擴建位於德州奧斯汀的現有設施，發展全空乏絕緣上覆矽（fully depleted silicon-on-insulator，FD-SOI）製程技術，以支持美國的航太、國防及汽車等關鍵領域。</p> <p>雙方預計相關的投資將替美國在未來5年內，創造逾1.7萬個建築工作機會，以及4,500個高薪的製造業職缺。</p> <p>CHIPS Act的目標之一，是讓美國在2030年的先進晶片生產能力達到全球的20%。在CHIPS Act對全球主要代工廠的補助中，英特爾拿到85億美元的補助與110億美元的聯邦貸款，台積電拿到66億美元的補助與50億美元的貸款，而三星則是取得64億美元的補助。另一方面，在取得美國補助後，英特爾承諾要在美國投資超過1,000億美元，台積電為650億美元，三星則是400億美元。</p> </div></div></div>
2024/4/17 15:50作者陳曉莉https://www.ithome.com.tw/news/162366
xAI公告首個多模語言模型Grok-1.5 Vision
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克（Elon Musk）的xAI公司本周<a href="https://x.ai/blog/grok-1.5v" target="_blank">發布多模語言模型Grok-1.5 Vision</a>，並預告很快將提供預覽版供研究及開發人員測試。</p> <p>這是繼3月間開源Grok的基礎LLM Grok-1、4月初的<a href="https://www.ithome.com.tw/news/162050" target="_blank">Grok-1.5</a>後，xAI公司最新AI研發成果發表。Grok-1.5 Vison（或稱Grok-1.5V）是xAI第一代多模語言模型，除了具有文字理解能力，Grok聊天機器人現在也能處理多種視覺資訊，包括文件、圖表、示意圖、螢幕擷圖、相片等。按照之前的紀錄，Grok-1.5V可能幾周之內就會開放早期測試人員或現有Grok用戶使用。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0417-Grok-1_5%20Vision-sample.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0417-Grok-1_5%20Vision-sample.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／xAI</span></span></p> <p>xAI表示，Grok-1.5V從跨學科推論到理解文件、科學示意圖、圖表、擷圖和相片等多方面都不輸現有多模語言模型。該公司也列出標竿測試數據，顯示在數學、文字理解、真實世界圖片理解能力上，超越OpenAI GPT-4、Google Gemini Pro 1.5、或Anthropic的Claude 3系列。示意圖理解能力則僅僅落後Claude 3 Sonnet模型。</p> <p>xAI正持續提升Grok-1.5V的多模理解及生成能力，預計未來幾個月內其圖片、影片和聲音等模態資訊的理解及生成能力，都會再進一步精進。xAI也公告舊金山辦公室擴編徵人消息。</p> </div></div></div>
2024/4/17 13:47作者林妍溱https://www.ithome.com.tw/news/162363
英特爾、Hugging Face及VMware加入Open Platform for Enterprise AI，以推…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會旗下的<a href="https://www.linuxfoundation.org/press/lf-ai-data-foundation-launches-open-platform-for-enterprise-ai-opea" target="_blank">LF AI & Data Foundation 周二（4/16）宣布</a>，已接納一個新的沙箱專案Open Platform for Enterprise AI（OPEA）來推動大型企業於人工智慧（AI）上的合作，參與的業者涵蓋Anyscale、Cloudera、Datastax、Domino Data Lab、Hugging Face、英特爾（Intel）、KX、MariaDB Foundation、Minio、Qdrant、紅帽（Red Hat）、SAS、VMware與Yellowbrick Data。</p> <p>LF AI & Data基金會表示，其使命是建立與支援開放的AI與資料社群，並藉由替社群所有成員實現協作及創造機會，來推動AI及資料領域的開源創新，而OPEA承諾替企業提供開源、標準化、模組化及異質的檢索增強生成（RAG）管道，將專注於開放模型的開發，強化及優化對各種編譯器與工具鏈的支援；大型企業將可以此作為基礎，加速容器化的AI整合與交付，以及獨特的新垂直使用案例。</p> <p class="rtecenter"><a href="https://opea.dev/wp-content/uploads/sites/9/2024/04/opea_diagram_ragflow_v1-scaled-1.jpg" target="_blank"><img alt="" src="https://opea.dev/wp-content/uploads/sites/9/2024/04/opea_diagram_ragflow_v1-scaled-1.jpg" style="width: 600px;" /></a></p> <p><a href="http://opea.dev/" target="_blank"><span style="font-size:14px;">圖片來源／ </span></a><span style="font-size:14px;"><a href="https://opea.dev/">opea.dev</a></span></p> <p>這是因為各種生成式AI（GenAI）技術的快速發展導致工具、技術與解決方案更加碎片化，而讓OPEA計畫結合產業來標準化各種元件，包括可用來展示效能、互動、可信度與企業就緒的框架、架構藍圖與參考解決方案。</p> <p>英特爾似乎在其中扮演了關鍵角色，因為該公司不僅跟著發布了<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-welcomes-open-platform-enterprise-ai.html" target="_blank">新聞稿</a>，還公布了<a href="https://www.intel.com/content/www/us/en/developer/articles/news/introducing-the-open-platform-for-enterprise-ai.html" target="_blank">OPEA的詳細規畫</a>，一付主導的態勢。</p> <p>英特爾指出，現在是GenAI的早期發展階段，開源協作將得以打造一個強大且具體的框架，再從中建構及評估可組合的GenAI解決方案，可替開發者定義下一個階段的平臺，亦即利用GenAI的潛力替大型企業及全人類的生活帶來潛在價值。</p> </div></div></div>
2024/4/17 14:06作者陳曉莉https://www.ithome.com.tw/news/162364
防堵中國？微軟15億美元投資中東AI巨擘
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周二（4/16）宣布<a href="https://blogs.microsoft.com/blog/2024/04/15/microsoft-and-g42-partner-to-accelerate-ai-innovation-in-uae-and-beyond/" target="_blank">投資阿聯酋AI巨擘G42</a> 15億美元，提供其雲端基礎架構，並拓展中東、非洲等市場。不過多家媒體報導，這樁交易其實摻雜美中對抗的複雜因素。</p> <p>G42為總部位於阿布達比的AI開發商及服務業者，擁有2萬名員工並號稱發表了300多篇論文，是中東最大AI公司。透過15億美元投資協議，微軟取得G42少數股權，微軟執行董事暨總裁Brad Smith也加入G42董事會。雙方也將藉此將Azure雲端及AI服務推展到中東、中亞和非洲市場的金融、健康照護、政府與教育等產業。這項合作下，G42的資料平臺及其他技術基礎架構都將搬移到微軟Azure雲上，以獲得效能、擴充性、安全等效益，Azure AI產品也將協助G42建立給企業客戶的AI服務。</p> <p>G42原本即是微軟在該國主權雲的合作夥伴之一，最新合作除了擴大雙方商業合作，也是美國和阿聯酋政府首次針對共建安全、負責及可信賴AI的合作之一環。微軟和G42將密切合作「提升共同國際基礎架構的安全與遵法框架」，並遵守「美國及國際貿易、安全、負責任AI與業務完整性的法令和規範」。雙方的合作將由兩公司間詳細的政府間授權協定（Intergovernmental Assurance Agreement）規範，這些規範皆經過兩國政府「密切諮詢」。</p> <p>關於美阿兩國的合作，雙方聲明沒有提供細節，但媒體報導，這是地緣政治下美國外交角力的一步棋。<a href="https://hk.finance.yahoo.com/news/g42-made-secret-pact-us-052619265.html" target="_blank">《彭博》</a>報導，微軟投資乃是換取G42減少對中國支出，改用美國技術。<a href="https://www.washingtonpost.com/business/2024/04/16/microsoft-g42-artificial-intelligence-cloud/" target="_blank">《華盛頓郵報》</a>更直指，此舉是為了限縮中國在波斯灣地區的影響力，以及反制崛起的中國科技。</p> <p>G42近來備受美國關切。部分原因出於該公司執行長肖鵬為華裔，且該公司被指和中國關係密切。《金融時報》<a href="https://www.ft.com/content/82473ec4-fa7a-43f2-897c-ceb9b10ffd7a" target="_blank">去年就報導</a>，阿國政府要求G42出售中國公司包括Tiktok母公司字節跳動（ByteDance）的股權，以安撫美國。今年1月美國眾議院也要求商務部調查G42及子公司是否應列入實體清單加以制裁。為釐清美國疑慮，今年2月G42<a href="https://www.bloomberg.com/news/articles/2024-02-12/abu-dhabi-ai-firm-g42-to-pare-back-china-presence-in-pivot-to-us" target="_blank">宣布將關閉</a>中國據點，並逐步將資金轉向美國及其他西方國家。</p> <p>另一方面，美國公司也在亞洲另一端的日本加碼投資。第一大雲端業者<a href="https://press.aboutamazon.com/aws/2024/1/aws-plans-to-invest-2-26-trillion-yen-into-its-japanese-cloud-infrastructure-by-2027" target="_blank">AWS 1月表示</a>2027年將投資日本150億美元擴建雲端基礎架構。微軟本月初<a href="https://news.microsoft.com/apac/2024/04/10/microsoft-to-invest-us2-9-billion-in-ai-and-cloud-infrastructure-in-japan-while-boosting-the-nations-skills-research-and-cybersecurity/" target="_blank">宣布在日本投資</a>29億美元，是這家軟體巨人日本方面歷來最大金額。微軟將在未來2年內擴建AI及雲端基礎架構，開設日本第一家亞洲研究院、協助訓練當地AI人才，以及和日本政府深化網路安全的協定。OpenAI也在昨日<a href="https://www.ithome.com.tw/news/162315" target="_blank">宣布於東京成立</a>其亞洲第一個據點，尋求和日本半導體業者的晶片供應。</p> <p>無獨有偶，日本首相岸田文雄上周訪美，雙方達成在國防、經濟安全、半導體、AI及量子運算等合作。外界相信，日本是美國鞏固亞太勢力的重要一環。</p> </div></div></div>
2024/4/17 12:22作者林妍溱https://www.ithome.com.tw/news/162359
遭勒索軟體攻擊的UnitedHealth在今年第一季付出逾8億美元的代價
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>總部設於美國的跨國健康保險暨服務業者UnitedHealth Group在周二（4/16）公布<a href="https://www.unitedhealthgroup.com/content/dam/UHG/PDF/investors/2024/UNH-Q1-2024-Release.pdf" target="_blank">今年第一季財報</a>，指出由於子公司Optum在2021年買下的Change Healthcare於今年2月遭到勒索軟體攻擊，令該集團於第一季付出了8.72億美元的代價，其中有5.93億美元屬於直接回應攻擊的成本，另外的2.79億美元則是因攻擊所招致的業務損失，由於仍在持續進行補救，使其總成本將超過10億美元。</p> <p>Change Healthcare為一健康醫療技術服務供應商，主要提供收入周期管理、支付管理，以及健康資訊交換解決方案，並替支付者（如保險業）、供應商（醫療業）與病患打造各式產品，宣稱每年處理150億筆的醫療照護交易。</p> <p>Change Healthcare在今年2月下旬發現某一環境遭到駭客滲透，因而立即將數百個系統離線，使得全美各地的藥局無法再以保險服務來滿足病患的處方需求，還中斷了大量的保險索賠程序。迫使Optum於3月針對受到該攻擊牽連的Change Healthcare客戶祭出了臨時資金援助計畫，以協助理應收到卻未收到款項的供應商填補其資金缺口。</p> <p>據稱攻擊者為BlackCat勒索軟體集團，且迄今尚有兩成服務還未恢復。根據<a href="https://therecord.media/ransomware-unitedhealth-costs-billions-still-climbing" target="_blank">《The Record》</a>的報導，Change Healthcare平臺的合作對象涵蓋逾90萬名醫生、超過3萬家藥局、5,500所醫院，以及600個實驗室。</p> <p>UnitedHealth Group總裁暨財務長John Rex亦於財報會議上透露，第一季所產生的直接成本雖然已達5.95億美元，包括恢復平臺運作，以及其它的回應費用，但全年可能會達到10億至11.5億美元。</p> <p>此外，外傳UnitedHealth Group已支付2,200萬美元的贖金予BlackCat集團，同時現在正面臨其它駭客集團的威脅。</p> </div></div></div>
2024/4/17 12:38作者陳曉莉https://www.ithome.com.tw/news/162361
OpenSSF與OpenJS基金會示警XZ Utils後門可能非獨立事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenSSF和OpenJS基金會<a href="https://openssf.org/blog/2024/04/15/open-source-security-openssf-and-openjs-foundations-issue-alert-for-social-engineering-takeovers-of-open-source-projects/">共同呼籲</a>所有開源維護者，應該對社交工程接管的嘗試意圖保持警惕，及早辨識出威脅模式，並採取措施保護開源專案。由於OpenJS基金會攔截到類似XZ Utils後門（CVE-2024-3094）的接管企圖，因此兩基金會也提醒開源維護者，XZ Utils後門恐非獨立事件。</p> <p>OpenJS基金會跨專案委員會收到一系列可疑電子郵件，其中包含許多類似的訊息、不同名稱以及GitHub相關的電子郵件，這些電子郵件要求OpenJS，指定他們為熱門JavaScript專案的新維護者，儘管他們之前幾乎未參與過這些專案。OpenJS基金會指出，這種作法與Jia Tan進入XZ/liblzma專案，植入後門的手法非常類似。</p> <p>OpenJS團隊在另外兩個非OpenJS基金會管理的熱門JavaScript專案中，發現類似的可疑模式，並已向OpenJS領導層及CISA報告潛在的安全問題。OpenJS基金會認為，雖然開源專案歡迎來自各地任何人的貢獻，但是要授予個人作為維護者，使其擁有程式碼管理存取權限，需更高層級的信任，同時，不能因為想要快速解決問題而犧牲基本原則。</p> <p>OpenSSF、OpenJS基金會聯合Linux基金會，希望提高開源維護者對這類威脅的警覺，並識別可疑行為，這包括當一些不為人知的社群成員，以友好卻具侵略性的方式接近，試圖建立關係以獲得對維護者或其所屬組織的影響力，該行為可能是社交工程攻擊的一部分。</p> <p>還有當新加入的人士要求提升成為維護者身分，或來自不知名成員的背書，支持其他不明身分人士的地位或決策，維護者都要特別小心。另外，由於XZ Utils後門包含在一個非人類可讀的檔案中，因此開源維護者也應注意包含二進位檔案的拉取請求。</p> <p>偏離典型的編譯、建置和部署實踐，都可能使外部惡意程式具有插入到二進位檔案、壓縮檔或其他二進位構件的能力。這些有心人士可能會從看似無害的更改開始，以測試維護者的反應和警覺性，像是把safe_fprintf()替換為fprintf()等，甚至會營造虛假的急迫感，迫使維護者降低審查嚴謹程度或跳過部分控制程序，以快速應對「緊急」情況。</p> <p>OpenSSF基金會提出一系列可提升開源專案安全的建議步驟，像是遵循標準的安全最佳實踐，採用強身分驗證、雙因素驗證和密碼管理器等。此外，也應該制定安全政策，啟用分支保護和簽章提交，如果條件允許，OpenSSF基金會建議程式碼合併之前，進行雙重程式碼審查，強化程式碼可讀性要求，並且限制NPM發布權限。專案管理員應深入了解提交者和維護者，並定期進行審查。</p> <p>維護開源專案安全替維護人員帶來不少壓力，雖然許多商業公司仰賴由社群主導的JavaScript專案，但這些專案經常只由小型團隊或單一開發人員維護，而他們獲得的資源非常有限，往往不足以支援相應的工作負擔。為此，多個開源基金會提供資源協助這些開源專案，包括OpenSSF相關專案的Alpha-Omega計畫。德國聯邦政府資助的主權科技基金也正向OpenJS基金會及其他開源組織提供資金，以強化基礎設施與安全。</p> </div></div></div>
2024/4/17 12:49作者李建興https://www.ithome.com.tw/news/162360
PuTTY存在私鑰洩漏嚴重漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受歡迎的虛擬終端與網路檔案傳輸工具PuTTY，被發現存在嚴重的ECDSA私鑰生成漏洞<a href="https://www.chiark.greenend.org.uk/~sgtatham/putty/wishlist/vuln-p521-bias.html">CVE-2024-31497</a>，攻擊者可利用此漏洞恢復私鑰並偽造簽章，官方建議使用者立即撤銷受影響的私鑰。受影響的PuTTY版本包括0.68至0.80的每一個版本。</p> <p>PuTTY中的嚴重漏洞CVE-2024-31497，讓攻擊者可以從一些已經簽章的訊息和公鑰恢復出私鑰，一旦攻擊者取得私鑰，便能夠偽造簽章、假冒身分，進而登入使用該私鑰的任何伺服器。</p> <p>該漏洞之所以嚴重，是因為攻擊者不需要長期控制伺服器或持續擁有存取權，短暫入侵使用該私鑰進行身分驗證的伺服器，或是暫時獲得儲存私鑰的Pageant工具存取權限，就可獲得簽章，也就是說，攻擊者只需要短暫的存取伺服器，即可產生嚴重的後果。</p> <p>PuTTY的這個漏洞與nonce隨機值（或稱為k值）的生成方法有關。nonce是一個在簽章過程需要隨機生成的一次性數值，當攻擊者能夠猜到或是發現使用了相同k值的兩個簽章，就能立即恢復出私鑰。由於PuTTY是在Windows上開發，早期Windows缺乏加密用隨機數生成器，PuTTY選擇了一種確定性方法來產生k值。</p> <p>這種方法不仰賴外部隨機數生成器，而且由於生成k值完全相依於輸入資料和雜湊函式，減少了隨機數來源品質不夠高，可能導致的安全風險。但這種方法實作不當也可能出現安全問題，在PuTTY這個案例中，這種k值生成方法可用於多數的ECDSA曲線，但卻會在NIST P521曲線加密演算法引入偏差，這種偏差足以允許攻擊者恢復私鑰，攻擊者只要收集60個簽章，便可恢復出私鑰。</p> <p>不過，值得慶幸的是CVE-2024-31497漏洞的影響範圍有限，只有使用521位元的ECDSA私鑰受到影響，具體來說，包括帶有私鑰指紋ecdsa-sha2-nistp521、載入到Windows Pageant中被描述為NIST p521，或者在SSH協定或是私鑰檔案中，ID以ecdsa-sha2-nistp521開頭的私鑰。</p> <p>PuTTY開發團隊放棄過去產生k值的舊系統，針對所有DSA和ECDSA私鑰類型，切換使用RFC 6979技術。不過，就算PuTTY的CVE-2024-31497漏洞被修復，過去使用受漏洞影響的舊k值生成器所產生的簽章，仍會導致P521私鑰相關資訊洩漏。</p> <p>攻擊者只要能獲得過去的簽章和相關的公鑰，就能恢復出私鑰冒出用戶身分，因此對於使用受影響版本的PuTTY與P521私鑰的用戶來說，除了更新軟體之外，也要立即撤銷並替換新的私鑰。</p> </div></div></div>
2024/4/17 08:27作者李建興https://www.ithome.com.tw/news/162336
DuckDuckGo三合一訂閱服務Privacy Pro，包含隱私VPN與個資刪除服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DuckDuckGo推出三合一訂閱服務<a href="https://spreadprivacy.com/meetprivacypro/">Privacy Pro</a>，Privacy Pro包含自家營運的匿名VPN、個人資料刪除服務，以及身分竊盜恢復服務，目前Privacy Pro首先在美國推出，費用為每月9.99美元或是一年99.99美元，官方計畫之後還會推展Privacy Pro到其他的地區。</p> <p>Privacy Pro所提供的VPN服務，由DuckDuckGo自家營運，採用開源WireGuard協定，並使用VPN連線自動將DNS查詢路由到DuckDuckGo DNS解析器。該VPN服務會加密整個裝置的網路連接，向網站隱藏位置與IP地址，甚至連ISP也無法看到使用者的線上瀏覽流量， DuckDuckGo表示，他們有嚴格的禁止紀錄政策，不會紀錄或是保存能夠將用戶身分與線上活動連結起來的資料，也不會將這些資料與DuckDuckGo的其他服務相關聯。</p> <p>用戶將會透過DuckDuckGo瀏覽器安裝VPN功能，不需要安裝單獨的VPN應用程式，當VPN連線因故中斷，系統會嘗試自動重新連線避免任何資料外洩，官方表示，Privacy Pro VPN也是Android系統中，唯一與DuckDuckGo App Tracking Protection相容的VPN服務。目前DuckDuckGo在美國、歐洲和加拿大設有VPN伺服器，隨著時間發展，官方還會增加更多伺服器。</p> <p>Privacy Pro個人資料刪除服務則會協助用戶，刪除網路上未經同意暴露的個人資訊。諸如Spokeo和Verecor等人物搜尋網站會從公開紀錄、社交媒體和其他資料代理收集用戶個人資料並且銷售。DuckDuckGo的服務則會掃描這些網站，一旦發現用戶的個人資訊，就會自動發送請求將其移除，並處理後續確認郵件。</p> <p>特別的是，這項服務的所有資料都儲存在用戶裝置上，並且由裝置發起移除請求，用戶透過DuckDuckGo瀏覽器中的個人儀表板，可以查看移除進度和已移除的個人資訊。目前要使用這項服務，需要一臺主要的Mac和Windows電腦，儀表板也只能在該裝置上存取，官方未來計畫支援用戶在其他裝置查看儀表板。</p> <p>身分竊盜恢復服務則是DuckDuckGo與Iris公司合作，全天候以小於11秒的平均時間接聽用戶的電話。Iris會收集用戶相關情況的詳細資訊，並且協助在詐欺活動後恢復信用、提供旅遊援助、整頓詐欺性醫療索賠，並且支付部分自付費用。DuckDuckGo與Iris之間不共享任何個人資料，由Iris直接協助用戶處理相關問題。</p> </div></div></div>
2024/4/17 08:34作者李建興https://www.ithome.com.tw/news/162346
俄羅斯關鍵基礎設施遭烏克蘭駭客鎖定，透過惡意軟體Fuxnet進行破壞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>傳聞隸屬烏克蘭情報部門的駭客組織Blackjack，今年1月針對俄羅斯的關鍵基礎設施與軍事機構發起多次攻擊，包括摧毀當地電信業者M9 Telecom多達20 TB的資料，導致部分莫斯科民眾無法上網、並透過該國國營企業竊得逾500個軍事基地的建設規畫機密資料，如今這些人馬再度出手，這次是針對關鍵基礎設施而來。</p> <p>4月9日該組織<a href="https://ruexfil.com/mos/">聲稱入侵俄羅斯工業感應器及監控基礎設施製造商Moscollector</a>，駭客從去年6月開始從事攻擊行動，存取當地112個緊急服務系統，並停用8.7萬個位於機場、公路、石油管線等處的感應器及控制器，他們透過名為Fuxnet的惡意程式破壞設備，並宣稱他們已抹除所有伺服器的資料、路由器都重設為原廠設定、辦公大樓門禁卡也已經失效。</p> <p>對此，<a href="https://claroty.com/team82/research/unpacking-the-blackjack-groups-fuxnet-malware">資安業者Claroty進一步對上述資訊進行分析</a>，指出惡意程式僅破壞超過500臺感測器閘道，與他們聲稱的8.7萬臺相關感應器設備有明顯差距。不過，研究人員認為，這500臺閘道設備很可能分散在俄羅斯全國各地及郊區，有可能必須重新部署韌體，甚至要更換設備，若要恢復運作仍是相當浩大的工程。</p> <p>此外，攻擊者很有可能透過遠端部署該惡意程式，一旦成功入侵，Fuxnet就會開始刪除重要檔案，並關閉遠端存取服務，阻止設備恢復正常運作，再者，該惡意程式也會移除路由表（Routing Table）組態，切斷與其他裝置的通訊。完成上述工作後，該惡意程式就會破壞檔案系統並覆寫裝置的快閃記憶體。</p> <p>另一方面，此惡意程式也會試圖利用隨機資料，破壞連線至閘道的感測器，從而導致相關連接埠與感測器過載。</p> <p>針對研究人員公布的分析結果，這些駭客也做出回應，表示他們攻擊了2,659個IP位址的感測器，並能存取1,700個閘道設備且予以攻擊。</p> </div></div></div>
2024/4/16 16:25作者周峻佑https://www.ithome.com.tw/news/162329
【資安日報】4月16日，部分蘋果用戶遭中國駭客組織鎖定，利用間諜軟體LightSpy進行監控
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果上週指出部分用戶遭遇傭兵間諜軟體（Mercenary Spyware）攻擊，並表示他們已通知這些用戶，但並未說明相關細節。如今有研究人員透露，攻擊者使用的間諜軟體是LightSpy。</p> <p>這個間諜軟體曾在2020年被用於攻擊行動，之後便沉寂一段時間，直到最近研究人員發現相關攻擊，且與蘋果透露的受影響範圍重疊，才確認就是此軟體的攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162318"><strong style="font-size: 22px;">中國間諜軟體LightSpy鎖定南亞、印度iPhone用戶而來</strong></a></p> <p>上週蘋果罕見對全球92個國家提出警告，指出有部分用戶遭遇傭兵間諜軟體（Mercenary Spyware）攻擊，他們向可能遭到攻擊的用戶發出通知，但該公司並未說明攻擊者的身分及使用的作案工具，如今有研究人員透露相關資訊。</p> <p>資安業者BlackBerry指出，他們發現曾在2020年出沒的間諜軟體LightSpy近期死灰復燃，並指出這波攻擊行動主要目標是南亞國家，印度也可能遭到鎖定。</p> <p>值得留意的是，雖然研究人員並未透露攻擊者的身分，但根據LightSpy的程式碼註解及錯誤訊息，背後發動攻擊的駭客使用中文為主要語言，推測很有可能是有中國政府撐腰的攻擊事件。</p> <p><a href="https://www.ithome.com.tw/news/162324"><strong style="font-size: 22px;">晶片製造商Nexperia傳出遭遇勒索軟體攻擊，該公司證實發生資料外洩</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dunghill-Nexperia.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/dunghill-Nexperia.png" style="width: 300px; float: right;" /></a>4月12日安世半導體（Nexperia）發布資安公告，指出未經授權的第三方組織於今年3月存取該公司的IT伺服器。該公司察覺異狀後隨即採取行動，並切斷受影響系統的網路連線，並尋求外部專家協助調查，確認攻擊行動的性質，以及受影響範圍，同時終止未經授權的存取。</p> <p>而對於他們發布上述公告內容，很有可能與近期駭客宣稱入侵該公司有關。4月10日勒索軟體駭客Dark Angels聲稱Nexperia是他們攻下的，並竊得1 TB檔案，其中包括371 GB設計與產品資料、246 GB內部研究及製造技術資料、96 GB定價與行銷分析資料、41.5 GB公司內部資料、109 GB客戶及用戶資料，以及121.1 GB電子郵件和其他內容。</p> <p><a href="https://www.ithome.com.tw/news/162325"><strong style="font-size: 22px;">電信商成為透過簡訊傳送動態密碼的破口！駭客對思科身分驗證服務Duo合作電信業者發動網路攻擊，竊取部分雙因素驗證資訊</strong></a></p> <p>思科近日針對身分驗證平臺Duo的用戶發出通知，指出其中一家處理他們寄送雙因素驗證（MFA）簡訊及VoIP訊息的電信服務供應商，於4月1日遭到網路攻擊。對方透過網路釣魚取得員工帳密，然後存取該廠商的內部系統，並下載3月1日至31日與特定Duo用戶有關的簡訊及VoIP訊息。</p> <p>這家電信服務供應商察覺遭駭的當下，他們隨即註銷遭竊的帳號，並分析系統的活動事件記錄，然後通知思科。思科也對用戶提出警告，防範上述遭竊資訊很有可能被對方用於社交工程攻擊，或是從事網路釣魚。</p> <p><a href="https://www.ithome.com.tw/news/162329"><strong style="font-size: 22px;">俄羅斯關鍵基礎設施遭烏克蘭駭客鎖定，透過惡意軟體Fuxnet進行破壞</strong></a></p> <p>傳聞隸屬烏克蘭情報部門的駭客組織Blackjack，4月9日該組織聲稱入侵俄羅斯工業感應器及監控基礎設施製造商Moscollector，駭客從去年6月開始從事攻擊行動，存取當地112個緊急服務系統，並停用8.7萬個位於機場、公路、石油管線等處的感應器及控制器，他們透過名為Fuxnet的惡意程式破壞設備，並宣稱他們已抹除所有伺服器的資料、路由器都重設為原廠設定、辦公大樓門禁卡也已經失效。</p> <p>對此，資安業者Claroty進一步對上述資訊進行分析，指出惡意程式僅破壞超過500臺感測器閘道，與他們聲稱的8.7萬臺相關感應器設備有明顯差距。</p> <p>不過，研究人員認為，這500臺閘道設備很可能分散在俄羅斯全國各地及郊區，有可能必須重新部署韌體，甚至要更換設備，若要恢復運作仍是相當浩大的工程。</p> <p><a href="https://www.ithome.com.tw/news/162320"><strong style="font-size: 22px;">針對微軟1月遭駭，CISA下命聯邦機構清查受到波及的情況</strong></a></p> <p>今年1月微軟證實遭到俄羅斯駭客組織Midnight Blizzard（APT29）攻擊，對方自去年11月透過密碼潑灑（Password Spray）入侵其中1個測試帳號，從而存取員工的電子郵件，後續這些駭客2月擴大攻擊規模，並企圖對微軟用戶下手，如今美國政府發布警告，間接證實他們也受到這起攻擊行動波及。</p> <p>4月2日美國網路安全暨基礎設施安全局（CISA）發布緊急指令，指出上述事故攻擊者不只入侵微軟公司內部的電子郵件帳號，也竊得聯邦執行機構（FCEB）與該公司的往來信件。</p> <p>因此，他們要求所有聯邦機構分析遭到外洩的電子郵件內容，重設遭竊帳號的密碼，並採取其他措施保護特權Azure帳號及驗證工具的安全。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://databreaches.net/omni-hotels-resorts-attack-in-march-now-claimed-by-daixin-team/"><strong style="font-size: 20px;">旅館集團Omni傳出遭到勒索軟體駭客組織Daixin攻擊</strong></a></p> <p></p> <p>◆<a href="https://www.helpnetsecurity.com/2024/04/15/delinea-secret-server-vulnerability/"><strong style="font-size: 20px;">特權管理系統</strong></a><a href="https://www.helpnetsecurity.com/2024/04/15/delinea-secret-server-vulnerability/"><strong style="font-size: 20px;">Delinea Secret Server存在危急漏洞，恐被用於挾持管理員帳號</strong></a></p> <p>◆<a href="https://cyble.com/blog/fatalrats-new-prey-cryptocurrency-users-in-the-crosshairs/"><strong><span style="font-size: 20px;">駭客假借提供加密貨幣錢包Exodus應用程式，意圖散布惡意軟體FatalRAT</span></strong></a></p> <p>◆<a href="https://unit42.paloaltonetworks.com/muddled-libra-evolution-to-cloud/"><strong><span style="font-size: 20px;">SaaS應用系統及雲端服務供應商遭到駭客團體Muddled Libra鎖定，竊取相關資料入侵目標企業組織</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162311"><strong>【4月15日】XZ Utils供應鏈攻擊傳出有新災情</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162267"><strong>【4月12日】蘋果一口氣對92個國家發出間諜軟體攻擊警報，要求受影響用戶應儘速採取保護措施</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162245"><strong>【4月11日】臉書出現提供生成式AI服務桌面軟體的詐騙粉絲頁，目的是誘使大家安裝惡意程式</strong></a></p> </div></div></div>
2024/4/16 16:31作者周峻佑https://www.ithome.com.tw/news/162333
從統計分析進攻AI開發市場，SAS要藉生成式AI加速開發流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臺不少企業使用的國際數據分析工具商SAS，將在美西時間4月16日舉辦年度技術年會，揭露新AI服務和產品策略。數據分析起家的SAS，自2016年推出SAS Viya雲端資料分析平臺，成為力推的主產品，當年即提供視覺化分析統計、資料探勘和機器學習應用，甚至還能整合IoT數據，來供企業分析使用。</p> <p>近年他們鎖定AI，在平臺上增添模型生命周期管理功能與服務，從AI模型的資料處理、模型選擇、訓練、部署和上線後監控等環節，都涵蓋在內，逐步轉型為AI開發工具供應角色。</p> <p><span style="font-size:24px;"><strong>擴大SaaS產品線，推AI應用開發工具瞄準開發者市場</strong></span></p> <p>但去年，SAS產品策略出現進一步轉折，在自家Explore 2023技術年會上預告2大新產品，包括SAS Viya Workbench和App Factory，前者是隨選的雲端開發分析環境，使用者可用偏好的程式語言，如SAS、Python或R語言來建模、分析。App Factory則是雲端應用開發環境，能自動化處理雲原生堆棧的設置與整合工作，號稱無縫加速AI應用程式的開發。</p> <p>這兩款產品都是他們SaaS產品線的擴張，要提供更好用的開發工具，搶進AI開發市場。舉例來說，Viya Workbench<a href="https://blogs.sas.com/content/sascom/2024/04/09/a-developer-workbench-the-perfect-environment-to-build-ai-and-machine-learning-models/">主打自助式服務</a>，開發者可按需求來進行資料分析和建立機器學習模型，而且原本所需的模型程式撰寫、程式碼最佳化和測試等過程都可簡化，也能協作共享程式碼和最佳作法。甚至能在更短時間啟動處理大型資料集和複雜運算，減少原本所需的IT成本。</p> <p>這個Viya Workbench還能用來處理模型的建立、訓練和評估，供開發者嘗試不同演算法和超參數，以及追蹤模型版本。特別的是，SAS也將近來興起的生成式AI納入其中，開發者可用自然語言提示生成SAS語言的程式碼，來進一步編輯、精進，提高工作效率。</p> <p>另一方面，SAS將App Factory定位為快速應用程式開發（AppDev）環境，可用來打造AI應用程式。這個環境整合了React、TypeScript和Postgres的雲原生技術堆棧，簡化AI模型與應用程式的整合。尤其，App Factory還有類似IDE的開發介面，可讓開發者快速組合所需的應用程式元件，比如使用者介面（UI）、身分驗證方、SAS AI運算功能、第三方開源程式碼，甚至是資料庫架構和檔案伺服器。</p> <p>這個工具瞄準資料科學家和應用程式前端開發者的協作需求，打造出來的應用程式還具備跨雲特性，能縮短上線時間。</p> <p><strong><span style="font-size:24px;">預計今年正式上線2大AI開發工具，還要推AI新服務</span></strong></p> <p>SAS在去年年會上就宣布，這兩項AI開發工具將於2024年正式上線，很可能會是今年度年會的一大亮點，要讓資料科學家和AI開發者透過更彈性的Viya基礎設施，來更快創新。這意味著，除了Google Vertex AI、AWS SageMaker和微軟Azure開發平臺外，又多了個雲端AI開發工具新選擇。</p> <p>不只如此，SAS去年也預告新的模型即產品（Models as Products）服務模式，專門鎖定缺乏專業知識和基礎設施不足的使用者，來提供SAS人才、智財和其他資產，來加速企業使用者建立資料流程、工作流程，加速模型開發和應用。</p> <p>國際產業調查機構<a href="https://www.sas.com/content/dam/SAS/documents/analyst-reports-papers/en/sas-Insight-2024-reveals-expanded-saas-portfolio-attract-ai-app-dev-113837.pdf">IDC就表示</a>，這個模型即產品模式，將SAS顧問資產轉變為商用軟體，如詐欺偵測、文件轉換和AI助理等，來供企業購買使用。外界推測，這項模型即產品將於今年度年會上揭露更多細節，成為SAS AI產品線的延伸。</p> <p></p> </div></div></div>
2024/4/16 16:52作者王若樸https://www.ithome.com.tw/news/162334
針對微軟1月遭駭，CISA下命聯邦機構清查受到波及的情況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月<a href="https://www.ithome.com.tw/news/160947">微軟證實遭到俄羅斯駭客組織Midnight Blizzard（APT29）攻擊</a>，對方自去年11月透過密碼潑灑（Password Spray）入侵其中1個測試帳號，從而存取員工的電子郵件，後續這些駭客2月擴大攻擊規模，並企圖對微軟用戶下手，如今美國政府發布警告，間接證實他們也受到這起攻擊行動波及。</p> <p>4月2日<a href="https://www.cisa.gov/news-events/directives/ed-24-02-mitigating-significant-risk-nation-state-compromise-microsoft-corporate-email-system">美國網路安全暨基礎設施安全局（CISA）發布緊急指令</a>，指出上述事故攻擊者不只入侵微軟公司內部的電子郵件帳號，也竊得聯邦執行機構（FCEB）與該公司的往來信件。</p> <p>因此，他們要求所有聯邦機構分析遭到外洩的電子郵件內容，重設遭竊帳號的密碼，並採取其他措施保護特權Azure帳號及驗證工具的安全。</p> <p>CISA也與微軟聯手，對於受到影響的機構發出通知，而該公司也承諾將會對於含有身分驗證資訊的往來信件，提供相關單位中繼資料（Metadata），並根據國家網路聯合調查工作小組（National Cyber Investigative Joint Task Force，NCIJTF）的要求，提供其他外洩郵件的中繼資料。</p> <p>而對於聯邦機構所需採取的行動，CISA要求必須於4月8日結束（晚間11時59分）之前，通報需要執行的工作內容，並於5月1日回報完成的進度。</p> </div></div></div>
2024/4/16 14:11作者周峻佑https://www.ithome.com.tw/news/162320
晶片製造商Nexperia傳出遭遇勒索軟體攻擊，該公司證實發生資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月12日<a href="https://www.nexperia.com/about/news-events/press-releases/Press-statement--Nexperia-IT-Breach">安世半導體（Nexperia）發布資安公告</a>，指出未經授權的第三方組織於今年3月存取該公司的IT伺服器。該公司察覺異狀後隨即採取行動，並切斷受影響系統的網路連線，並尋求外部專家協助調查，確認攻擊行動的性質，以及受影響範圍，同時終止未經授權的存取。</p> <p>該公司也表明已向當局通報此事，其中包含荷蘭資料保護機構Autoriteit Persoonsgegevens及警方。</p> <p>而對於他們發布上述公告內容，很有可能與近期駭客宣稱入侵該公司有關。4月10日勒索軟體駭客Dark Angels聲稱Nexperia是他們攻下的，<a href="https://www.bleepingcomputer.com/news/security/chipmaker-nexperia-confirms-breach-after-ransomware-gang-leaks-data/">並竊得1 TB檔案</a>，其中包括371 GB設計與產品資料、246 GB內部研究及製造技術資料、96 GB定價與行銷分析資料、41.5 GB公司內部資料、109 GB客戶及用戶資料，以及121.1 GB電子郵件和其他內容。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dunghill-Nexperia.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/dunghill-Nexperia.png" style="width: 580px;" /></a></p> <p>這群歹徒也公布部分竊得的電子元件資料、員工護照、保密協議圖檔。不過，上述資料的真實性並未得到Nexperia確認。</p> </div></div></div>
2024/4/16 14:44作者周峻佑https://www.ithome.com.tw/news/162324
電信商成為透過簡訊傳送動態密碼的破口！駭客對思科身分驗證服務Duo合作電信業者發動網路攻擊，竊取部分雙因素驗證資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科<a href="https://app.securitymsp.cisco.com/e/es?e=2785&eid=opguvrs&elq=bd1c1886a59e40c09915b029a74be94e">近日針對身分驗證平臺Duo的用戶發出通知</a>，指出其中一家處理他們寄送雙因素驗證（MFA）簡訊及VoIP訊息的電信服務供應商，於4月1日遭到網路攻擊。對方透過網路釣魚取得員工帳密，然後存取該廠商的內部系統，並下載3月1日至31日與特定Duo用戶有關的簡訊及VoIP訊息。</p> <p>根據思科與這家廠商聯手調查的結果，攻擊者並未存取相關訊息的內容，也沒有利用這家廠商的平臺濫發簡訊。但遭竊的訊息事件記錄所儲存的內容，很有可能包含網釣攻擊有關的敏感資訊，這些資料包括電話號碼、電信服務供應商、地理位置資料、日期、時間、訊息類型等。</p> <p>這家電信服務供應商察覺遭駭的當下，他們隨即註銷遭竊的帳號，並分析系統的活動事件記錄，然後通知思科。思科也對用戶提出警告，防範上述遭竊資訊很有可能被對方用於社交工程攻擊，或是從事網路釣魚。</p> </div></div></div>
2024/4/16 15:10作者周峻佑https://www.ithome.com.tw/news/162325
中國間諜軟體LightSpy鎖定南亞、印度iPhone用戶而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週<a href="https://www.ithome.com.tw/news/162247">蘋果罕見對全球92個國家提出警告</a>，指出有部分用戶遭遇傭兵間諜軟體（Mercenary Spyware）攻擊，他們向可能遭到攻擊的用戶發出通知，但究竟攻擊者的身分為何，以及對方使用的作案工具，該公司並未說明，如今有研究人員透露相關資訊。</p> <p>資安業者BlackBerry指出，<a href="https://blogs.blackberry.com/en/2024/04/lightspy-returns-renewed-espionage-campaign-targets-southern-asia-possibly-india">他們發現曾在2020年出沒的間諜軟體LightSpy近期死灰復燃</a>，並指出這波攻擊行動主要目標是南亞國家，印度也可能遭到鎖定。</p> <p>曾在4年前被用於攻擊行動的LightSpy，攻擊者將它用於對蘋果裝置用戶進行水坑式攻擊。此惡意程式為全功能的模組化監控工具包，主要用途是洩露目標用戶的個人私密資訊，包括極為精確的地理位置資料，或是語音電話（VoIP）的內容。此外，該惡意程式還能偵察裝置資訊，並收集QQ、微信、Telegram即時通訊軟體的資料，甚至能從微信支付取得受害者的交易記錄。</p> <p>而這次研究人員看到的新版間諜程式，攻擊者將其命名為F_Warehouse，不只具備前述的功能，新版軟體能暗中錄製目標裝置的聲音訊息，並能搜尋用戶的鑰匙圈（Keychain）存放的帳密資料，或是允許攻擊者執行Shell命令來完全控制設備。</p> <p>此外，攻擊者採取了帳密釘選（Certificate Pinning）手法，一旦該間諜軟體發現受害裝置存取的網路連線流量受到監控，就會中斷與C2嘗試連線，從而回避相關偵測機制。</p> <p>值得留意的是，雖然研究人員並未透露攻擊者的身分，但根據LightSpy的程式碼註解及錯誤訊息，背後發動攻擊的駭客使用中文為主要語言，推測很有可能是有中國政府撐腰的攻擊事件。</p> </div></div></div>
2024/4/16 12:17作者周峻佑https://www.ithome.com.tw/news/162318
【moda專欄】moda 的雲端之旅
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0828-moda_de_yun_duan_zhi_lu_-bei_jing_tu_pian_qu_zi_-unsplash_01.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>作者／數位發展部部長室柯維然</strong></p> <p>「雲端」已經不只存在於雲端，我們的日常生活中也有許多常常使用「雲端」的場景。主流的三大公有雲平台（Microsoft Azure、Amazon Web Services、Google Cloud Platform）發展十多年至今，「雲端運算」也從熱門討論走向習以為常，改變了軟體與服務設計的架構思維：開發者無需自行準備各種伺服器、網路設備與機房空間，只需利用雲端平台所提供的各種運算、儲存及頻寬服務，就可以更快速地推出新的數位服務。今天能有如此生機蓬勃的數位世界，雲端是最重要的數位基礎建設之一。</p> <p>雲端平台就像是一個有無窮無盡資源的世界，但打造一個新服務，就如同在這個新世界中蓋一座城堡，如何蓋出設施完善、又能承受敵人攻擊，甚至可以快速方便更換城門的城堡，並不是容易的事。</p> <p>因此「雲原生（cloud native）」概念應運而生，其旨在充分利用雲端技術，讓開發者可以在雲端平台上順暢的設計和開發高效率且可以擴展的服務。具體來說，雲原生引入了一些新的流程與技術，例如 DevOps 與容器，讓開發者能夠好的建構程式與運行服務。</p> <p>數位發展部（後簡稱「數位部」）期許自身相關的數位服務都能使用雲原生架構，不論是已經熟悉雲端的資訊人員，還是從未聽過雲端技術的同仁，都可以體驗到雲端技術帶來的優勢與好處。因此從成立之初，資訊單位便以「In the cloud」為目標，嘗試將服務以雲原生方式實作，並分享經驗給其他公務機關一起參考學習；同時，也透過導入各種辦公雲端服務，取代原有公務溝通流程並重塑成即時協作方式，讓公務流程更有彈性與效率。</p> <p>本文將會從雲原生技術的基本概念開始，說明數位部實作雲服務的方法；此外，也具體描述數位部同仁公務流程中如何操作雲原生服務。</p> <hr /> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 28px;"><strong>淺談雲原生</strong></span></span></p> <p>在談「雲原生」和它如何實踐之前，我們要先了解在此領域中很重要的幾個概念：分別是容器化和 DevOps。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 0);"> 容器化 </span></strong></span></p> <p>「容器化」是雲原生領域中的核心技術之一，可以視為一種輕量虛擬化技術。傳統的虛擬化技術是模擬整個硬體資源與作業系統，而容器則是以服務為核心，只將執行此服務所需的相關環境、套件打包起來。這個打包好的容器就像是一個標準大小的貨櫃，可以裝載到任何支援容器的平台上運行。因此，容器化相較於一般的虛擬化技術更輕量化且啟動速度更快，並且可以省去很多額外負擔。</p> <p>將服務打包成容器部署至雲端平台上就能運行，但這時也出現了新的問題：該如何管理這些容器化服務呢？如何自動化部署與更新？當服務發生異常時該如何重新啟動、甚至依照目前需求來調整服務量？</p> <p>這些需求讓容器調度與管理的工具應運而生，例如：Kubernetes（常簡稱為 k8s）就是由 Google 開源貢獻給社群的一個管理平台，目前也是主流的容器管理與調度平台，三大公有雲都有支援。將服務打包成容器後，就可以在雲端上使用 k8s 平台來管理，也可以在不同公有雲之間遷移。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 0);"> DevOps </span></strong></span></p> <p>DevOps 一詞是由開發（Development）與維護（Operations）組成，意思是將服務的開發與維護階段整合更緊密。一般來說，軟體開發流程可以簡化為：由開發團隊根據需求負責撰寫程式開發新服務或是增加新功能，服務開發到一定階段後（例如新增了一個新功能按鈕），再交給維護團隊把服務部署到正式環境（例如雲端平台）。這樣一次的軟體開發週期，過程中需要開發和維護兩個團隊的互相配合才能完成。</p> <p>導入 DevOps 流程和工具的好處在於，能夠以自動化和程式化的方式執行持續整合（Continuous Integration，簡稱 CI）和持續部署（Continuous Deployment，簡稱 CD）。所有該做的事情列成一項項的指令，這些指令可以規範新版本的程式碼應該先進行哪些檢測和掃描，然後才能打包成容器，以及最後應該上傳到哪個平台以及啟動哪些指令。因為完全是按照預先設計好的指令順序來執行程式，可以大幅減少很多當下輸入程式碼或是其他人為操作可能發生的錯誤，進而提升服務部署的效率與安全。</p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 28px;"><strong>雲原生實踐</strong></span></span></p> <p>網站與功能的維護常常會碰到許多挑戰。例如，網站會因為瀏覽次數驟然增加或是遭受惡意攻擊，而導致服務中斷等。因此，建構一個具有韌性的官方網站，是公司到政府的各資訊單位的重要目標；而快速而有彈性的雲原生架構就是很適合的解決方案。</p> <p>那要如何實踐雲原生呢？在這裡我們以官方網站建置作為案例來解釋。</p> <p>我們可以將官網依據不同的功能拆解，把整個官網分成多個功能模組，像是：靜態化網站產生、管理介面、後端 API 等，然後個別打包成容器。</p> <p>這樣做的好處是，我們可以獨立更新與維護這些拆解成多個功能模組的容器，也可以依照功能常用與否或是需求多開幾個子服務。此外，還能將單體服務拆解成多個子服務或是功能，這樣的做法在雲原生領域中被稱為「微服務」設計方式。</p> <p>我們可以將網站想像成潛艇堡，它可以依據我們的喜好和需求去選擇麵包、不同種類的配料、要不要多加幾片生菜，而不用每次都必須接受同樣的潛艇堡。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/moda%20%E7%9A%84%E9%9B%B2%E7%AB%AF%E4%B9%8B%E6%97%85-%E5%9C%961.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／數位部</span></span></p> <p>在拆解成多個功能模組後就，可以進行開發，並導入 DevOps 來自動化與開發與部署流程。</p> <p>開發者將程式碼推送到程式碼倉庫後，會由 DevOps 平台來執行設定好的流程：平台首先會掃描程式碼，確認沒有有中高風險漏洞，然後將程式碼編譯並生成容器映像檔，這樣就完成了整個官網服務所需的功能模組容器的打包。最後，將這些容器映像檔推送到雲端的容器管理平台上，逐一啟動每個功能模組的啟動指令，就成功完成一次官網服務的開發與部署流程。</p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 28px;"><strong>辦公室上雲</strong></span></span></p> <p>雲端技術讓資訊單位可以更快速便利地打造各式服務，數位部也以此為基礎，積極進行部內流程的數位再造工作。</p> <p>你可以想像，政府部門裡面非常多各式各樣的流程：以往遇到一個新流程，就要開發新的系統；然後 A 流程用 A 系統、B 流程用 B 系統，10 個流程就有 10 個專用系統。這使得資訊部門需要不斷因應新流程製作新系統、每個服務都以客製化方式處理，不但開發成本高且後續管理也相當麻煩。</p> <p>其實，這些流程中很多步驟是一樣的，只是因為不同單位而互不知悉。數位部認為，如果我們能有一個平台整合這些步驟，就像積木一樣，大家可以自行選擇需要的積木，搭建自己所需的流程。以公務機關的預算的概算和控管為例，過程中有很多的規定和檢核，以及各單位的意見來往，同時還涉及主計與簽核會辦流程，是非常龐雜的過程。數位部便自己建構了一個表單服務系統，透過這個表單服務系統，不同單位可以自行拖拉需要的服務，去搭建自己想要的流程。</p> <p>除了龐大的流程服務，日常的行政工作也可以善用雲端服務而精進效率。過去各種文件都散落在同仁的電腦裡，需要協作時就透過電子郵件來回寄送檔案，導致時常出現大家需要仔細確認哪份檔案是最新版，或是該如何回復到前一個版本等版本控制的問題。導入雲端辦公服務後，同仁不再需要以檔案來回編修，而是在線上文件內設定權限，給需要協作的同仁編輯同一份檔案即可。如此一來，相關業務的同仁不僅可以隨時在文件上註記討論，而且還能隨時回溯到先前的版本。</p> <p>雲端的共享和協作即時性，讓同仁溝通與對齊討論更有效率，還可以互相整合不同的功能。例如：在管考施政計畫時，通常需要各單位提報說明目前的執行進度，再由業務單位彙整成完整計畫進度。現在透過承辦人線上共同編輯計畫管考試算表，不僅可以即時更新、省去檔案傳遞的困擾，還可以與其他服務介接，自動將各計畫進度以甘特圖、心智圖等視覺化方式呈現。</p> <p>這看來是數位再造的一小步，卻是 moda 雲原生的一大步：從這些逐步取代原有紙本或是冗餘流程的作法開始，數位部希望所有同仁都能享受雲端服務帶來的優勢與好處，讓本部從基礎建設到多元應用，都能有即時彈性的雲端特質，成為公務部門的數位轉型先行者。</p> <p><a href="https://moda.gov.tw/press/multimedia/blog/12056" target="_blank"><strong>（本文轉載自moda blog）</strong></a></p> </div></div></div>
2024/4/16 12:00署名 moda專欄https://www.ithome.com.tw/article/162305
蘋果Q1智慧手機出貨重摔近10%，三星重登王位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市場研究機構<a href="https://www.idc.com/getdoc.jsp?containerId=prUS52032524" target="_blank">IDC本周公布</a>第一季全球智慧型手機市場出貨資料，蘋果較去年同期大跌9.6%，讓三星再度超車奪回第一名寶座。</p> <p>隨著全球走出疫情，2024年全球景氣逐漸明朗。根據IDC數據，第一季全球智慧型手機市場出貨2.9億支，比去年增加7.8%，連續第三季成長。</p> <p>但智慧型手機主要廠商漲跌互見。相較於蘋果的重摔，三星僅小跌0.7%，使得三星在<a href="https://www.ithome.com.tw/news/160864" target="_blank">失去王座</a>一年之後，再度以20.8%市占擠下蘋果（17.3%）重回市場第一。</p> <p>IDC指出，上季全球手機市場回溫力道強勁。首先，消費者願意購買更高價手機，推升市場產值及手機平均單價（average selling price，ASP），另一方面，前五大市占版圖發生變化；三星和蘋果雖持續獨霸高階市場，但中國業者卻是支撐市場的主力。上季小米、深圳傳音（Transsion）及Oppo分居全球出貨三到五名，其中小米和深圳傳音各較去年同期成長近34%及85%，華為也在中國市場捲土重來。</p> <p>最新數字也是美中貿易戰開打對蘋果的影響。華為在美國政府下令禁止晶片及軟體出口後，亟力發展由中國晶片及自有作業系統HarmonyOS、第三方開發商構成的生態系。華為HarmonyOS現已有4,000個原生程式。反觀蘋果卻因美中貿易戰影響中國消費者購買意願，市占率節節下滑，迫使蘋果執行長Tim Cook三月造訪中國拉抬買氣。</p> <p>根據<a href="https://www.counterpointresearch.com/insights/china-smartphone-sales-first-6-weeks-2024-double-digit-declines-for-apple-oppo-vivo/" target="_blank">Counterpoint</a>資料，蘋果在中國智慧型手機市場頭6個星期銷售量衰退24%，同時間華為成長64%，僅以1%緊追盟主vivo。</p> </div></div></div>
2024/4/16 11:33作者林妍溱https://www.ithome.com.tw/news/162316
新一波內閣人選出爐! 黃彥男接掌數位發展部長、彭金隆接任金管會主委
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著新總統即將上任，行政院新的內閣人選也逐漸明朗化，最新一波人選出爐，根據媒體報導，黃彥男將接任數位發展部長。至於其他部會，前IBM全球企業諮詢服務事業群總經理劉鏡清將出任國發會主委，南臺科技大學校長吳誠文擔任國科會主委，政大商學院副院長彭金隆則接掌金管會主委，立委陳金德接任公共工程會主委，祟越集團董事長郭智輝擔任經濟部長。</p> <p>數位部自2022年成立，至今不滿2年，唐鳳成為首任部長，但數位部一直處於外界關注的焦點，屢屢遭到外界的質疑，如今新一波內閣名單出爐，確認唐鳳將不會留任。新部長由中研院科技資訊科技創新研究中心特聘研究員黃彥男出任，黃彥男曾經擔任中研院科技資訊科技創新研究中心主任、行政院科技會報副執行祕書，資策會副執行長，以及威達雲端的總經理，具有豐富的政務協調、民間資通訊產業經驗。</p> <p>現任國發會主委龔明鑫將擔任行政院祕書長，遺留下的國發會主委則由曾任IBM工商事業群總經理，熟悉企管及資訊管理顧問的劉鏡清接任；將接任金管會主委的彭金隆則是政大風險管理與保險系教授，為知名的保險學者，專長為保險經營管理、保險科技、保險監理制度等等。</p> <p>出任國科會主委的吳誠文，現為南臺科技大學校長，為美國加州大學聖塔巴巴拉校區電機與電腦工程學系博士，曾是前成大副校長、工研院南分院執行長。</p> <p>至於準公共工程會主委陳金德，曾任宜蘭縣政府民政局長、高雄市副市長、中油董事長、宜蘭縣代理縣長等職務。</p> </div></div></div>
2024/4/16 11:47作者蘇文彬https://www.ithome.com.tw/news/162317
OpenAI擴點東京，發表為日語優化的客製化AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在美國站穩腳步後，昨（15）日<a href="https://openai.com/blog/introducing-openai-japan" target="_blank">宣布</a>在日本東京成立第一個亞洲的辦公室，並公布為日語優化的GPT-4模型。</p> <p>這也實現去年OpenAI執行長Sam Altman造訪日本，和日本首相岸田文雄及國會議員會面<a href="https://www.ithome.com.tw/news/156338" target="_blank">做出的承諾</a>，包括在日本設立辦公室，開發適合當地市場的服務。</p> <p>OpenAI表示，選擇日本作為亞洲第一個辦公室，是看中日本在科技的領導地位、服務文化與繁盛的創新社群。該公司強調將與日本政府、當地企業及研究單位密切合作，發展符合日本獨特需求的安全AI工具。</p> <p>OpenAI日本分公司由AWS日本前總裁長崎忠雄擔任總裁，他將負責企業市場及推進日本市場的Go-to-Market策略、營運、對外關係及其他工作，也開始招兵買馬，招募業務與區域行銷人才。而配合新辦公室的成立，OpenAI昨日並宣布為日語優化的GPT-4模型測試版開放本地企業試用。</p> <p class="rtecenter"><a href="https://images.openai.com/blob/3f51af3a-4ebb-42f3-b027-e60efd75acd9/Blog_Japan1.gif" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0416-GPT-4%20custom%20model%20optimized%20for%20the%20Japanese%20language%20by%20openai-960.jpg" style="width: 600px;" /></a></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／OpenAI</span></span></p> <p>新模型強化日語、日文翻譯及重點摘要能力，效能是原本ChatGPT Turbo的3倍。日本最大英語學習App使用GPT-4為基礎模型後，當用戶犯錯線上教師解釋速度提高2.8倍，但token成本減少47%，用戶輸入資料上限提高，有助提升教師反饋品質，也能用於更多地方。目前該模型僅可經由App使用，但OpenAI計畫未來幾個月內進一步透過API擴大開放該模型的存取。</p> <p>日本分公司的成立也讓OpenAI得以服務現有日本企業和政府用戶。企業用戶包括大金（Daikin）、樂天（Rakuten）、TOYOTA Connected，這些客戶已使用ChatGPT Enterprise版自動化業務流程、協助資料分析及內部報表。地方政府如橫須賀市內部流程導入ChatGPT，號稱提高生產力80%，橫須賀市也將ChatGPT使用經驗分享給其他地方政府，包括東京都及神戶市政府。</p> </div></div></div>
2024/4/16 10:45作者林妍溱https://www.ithome.com.tw/news/162315
微軟釋出新的MSTest SDK提高.NET專案測試效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在推出輕量級測試框架執行工具MSTest Runner之後，進一步以MSBuild Project SDK系統為基礎，推出了<a href="https://devblogs.microsoft.com/dotnet/introducing-mstest-sdk/">MSTest SDK</a>。此SDK提供了合理的預設值和靈活的選項，讓開發者更便捷地配置專案測試。MSTest Runner是一個能高效執行MSTest測試的工具，並以MSTest.TestAdapter NuGet套件相依項目的形式發布。</p> <p>MSTest Runner和擴充功能涵蓋多個NuGet套件，提供一種可擴展且可靈活配置的測試方法。但是豐富的自訂功能，可能代表著開發者會遇到更多的問題，像是可能不確定應該選用哪些建議的擴充功能，如何設定適當的預設值，以及處理版本對齊的方法等。而MSTest SDK則可以解決這些問題，使開發者能以更簡潔明瞭的測試配置流程。</p> <p>MSTest SDK提供了更好的預設值，供開發者可以遵循如 ASP.NET Core、Razor、Windows Desktop等應用程式類型推薦的模式，並且採用MSTest開發團隊替測試專案建議的預設配置。像是MSTest V3.2版本中就加入了一些靜態程式碼分析器，這些分析器被包含在一個新套件中，該套件在預設情況下不會包括在專案中，因此開發者需要手動將套件添加到測試專案中。不過，透過使用MSTest SDK則可自動獲得這些預設配置。</p> <p>而且除了MSTest Runner之外，微軟還提供一組可作為NuGet套件安裝的擴充功能，以強化測試體驗。MSTest SDK也引入配置檔案（Profiles）的概念，目前有Default、AllMicrosoft和None，使得開發者能夠選擇合適的預設配置，以及正確的擴充功能。</p> <p>此外，MSTest還是第一個支援在Native AOT（Ahead-of-Time）模式下執行測試的.NET測試框架和執行程式。AOT編譯會將.NET程式碼在部署之前，預先編譯成機器碼，以提高應用的執行效率。在開發者要使用MSTest SDK進行測試時，SDK會自動偵測開發者是否要將應用發布成AOT模式，並透明地更換所有必須的測試套件和配置，以符合專門的模式要求。</p> <p>目前MSTest SDK仍在開發中，但微軟提到，MSTest SDK將會成為未來發展和功能的基礎。微軟鼓勵所有MSTest使用者都轉換使用SDK樣式，而該樣式也會在.NET 9環境中，成為MSTest專案範本的標準配置。</p> </div></div></div>
2024/4/16 09:15作者李建興https://www.ithome.com.tw/news/162313
Fintech周報第238期：摩根大通公布2023年報，投資20億美元打造4個私有雲架構的資料中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">4/8~4/14金融科技精選新聞</span></span></h3> <p><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摩根大通</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IT投資 </span></strong></span></p> <h3>摩根大通公布2023年報，投資20億美元打造4個私有雲架構的資料中心</h3> <p>摩根大通近日公布<a href="https://reports.jpmorganchase.com/investor-relations/2023/ar-ceo-letters.htm">2023年度報告</a>，在CEO致股東的年度信中，摩根大通執行長傑米戴蒙發表對AI的看法，並將重點放在上雲議題。</p> <p>戴蒙首先表示，他們不清楚AI會如何改變金融業務形態，或如何影響社會，但他們相信，AI會帶來驚人且變革性的影響，如同過去幾百年來的重大發明，「想想印刷機、蒸汽機、電力、電腦和網路等。」戴蒙說。</p> <p>接著，戴蒙表示，摩根大通發展AI十多年來，已擁有超過2,000名AI和機器學習專家，累積400多個AI應用，目前，他們也正在探索生成式AI的潛力，尤其是在軟體工程、客戶服務、營運流程，和員工生產力等場景。他提到，為了確保數據易於取得，同時保證數據品質，他們會繼續將數據資料遷移至公雲，打造新的數據平臺，利用雲端技術提升運算能力，釋放更多使用數據的方式。</p> <p>最後，戴蒙將重點轉向上雲議題。他表示，上雲提供了四大好處，第一，加快服務交付速度。第二，雲端技術能提供臨時性的大量運算能力，協助減少算力總成本。第三，雲端技術能為數據分析提供算力。第四，上雲能讓他們更快速採用新技術。無論是採用公雲或私雲，都能享有這些效益。</p> <p>「當然，我們在上雲的這條路上也學到很多。」戴蒙說。例如，他們需要知道哪些應用程式或資料要上公雲，而不是私雲。更重要的是，他們需要使用多雲的方式，來避免技術鎖定。「即使需要額外的開銷，我們仍要保有自己的專業知識，確保我們永遠不需要依賴別人。」</p> <p>戴蒙提到，他們投資近美金20億元（約臺幣644億元），在美國打造4個全新且現代化的私有雲資料中心。目前，摩根大通約有一半的應用程式和七成的資料部署在雲端環境。他們目標在2024年底前，將部署在雲端的應用程式從五成提升到七成，同時也將上雲的資料量從七成提升到七成五。</p> <p>戴蒙表示，新建的資料中心效率比舊有的設施高出三成，若能順利調整資訊架構，轉向公雲還能再提升額外的三成效率。目前，摩根大通在全球擁有32個資料中心，他們也正在更新這些設施，預計今年年底會再關閉一些更大、更舊，且效率更低的資料中心。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 桑坦德銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 上雲 </span></strong></span></h3> <h3>將全球的核心系統上雲後，桑坦德銀行計畫運用雲端平臺快速向海外擴張數位銀行業務</h3> <p>近日，西班牙最大銀行桑坦德銀行宣布，自家數位銀行Openbank將在今年下半年進軍美國。桑坦德銀行表示，在美國推出的Openbank將會使用自行開發的雲原生平臺Gravity，改為雲端架構後推出。</p> <p>他們從2022年就展開核心系統數位化，計畫將全球的核心系統遷移至Gravity平臺上，大多數核心系統預計會在2024年底遷移完成。</p> <p>這次海外擴張計畫，代表桑坦德開始利用雲原生平臺Gravity向外擴張數位銀行業務。三月底的年度股東大會上，桑坦德銀行執行長Ana Botín表示，桑坦德銀行將在2024年下半年推出一個新的數位存款解決方案，結合Gravity平臺和Openbank，快速將他們的數位通路擴張至其他國家，為桑坦德在美國開啟新階段。她也提到，美國會是集團的關鍵市場，它將會是第一個展現桑坦德全球化經營模式的區域。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 勤業</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></h3> <h3>勤業發布報告提醒銀行業者關注生成式AI風險，提出五項建議措施</h3> <p>勤業近期發布《2024全球銀行業及資本市場趨勢展望》報告，提醒銀行業者將AI納入營運流程時，需特別留意生成式AI風潮下的資料保護、身分驗證、詐騙等挑戰。</p> <p>報告建議銀行業者在引進新技術時，應進行四個措施，第一，將深度偽造檢測技術納入反詐欺系統，提高身分驗證的準確性和安全性。第二，加強對合成身分識別系統的檢測，提升系統對合成身分資料的辨識能力。第三，加強員工培訓，提高員工對帳戶盜用、網路釣魚和商業電子郵件洩露等問題的警覺性。第四，在聊天機器人工具中設置資料隱私限制，保護客戶隱私和敏感資訊。第五，建立記錄透明度和可解釋性框架，定期測試生成式AI模型，確保其運作正常且符合法規要求。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 香港</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子支付 </span></strong></span></h3> <h3>香港第一支計程車電子支付平臺上線，計費錶可連接電子錢包，自動結算金額</h3> <p>近日，香港金融科技商wonder打造的計程車電子支付平臺Taxi Pay正式上線，是香港第一支計程車專用的電子支付平臺。這套支付平臺的特殊點，是採用了自家開發的計程車計費錶，不僅能用來計算車費，也能串連至司機的電子錢包，加速乘客下車前的結帳流程。</p> <p>當計程車司機按下計費錶的停錶鍵，乘客可以掃描車上QR code，或是利用車上的支付裝置，使用信用卡或行動支付工具付款。當乘客付款成功，司機的計費錶會顯示綠色，代表完成收費，同時車費也已匯至司機的電子錢包中。目前香港已有超過1,000臺計程車使用這項服務。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本索尼銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 穩定幣 </span></strong></span></h3> <h3>日本索尼銀行計畫發行穩定幣，預計整合至未來發行的Ｗeb3娛樂型應用程式</h3> <p>日本索尼旗下的索尼銀行（sony bank）計畫在Polygon PoS鏈上發行穩定幣，近日也宣布啟動實驗計畫。索尼銀行除了要透過實驗確定穩定幣的發行、贖回和分配機制，也會測試零知識證明（ZK-Proof）技術是否利於進行身分驗證。</p> <p>今年3月，索尼銀行宣布要在今年夏季推出一款Ｗeb3娛樂型應用程式「Sony Bank CONNECT 」。他們目前正在根據顧客需求設計區塊鏈架構的錢包，並考慮在未來將錢包和穩定幣整合至遊戲。</p> <p><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永續 </span></strong></span></p> <h3>日本保險公司Aioi Nissay Dowa計畫開發一個AI模型，能夠量化企業對環境產生的影響</h3> <p>近日，日本保險公司Aioi Nissay Dowa宣布開始開發一個AI模型，能夠量化企業活動對自然環境的商業風險，協助企業在投資評估時納入生物多樣性議題。這個模型將提供給企業客戶使用，讓企業進行城市開發、資源開發，和農地開發等開發計畫時，能評估計畫對預定地環境帶來的影響和風險。另外，這個模型評估企業整體對生物多樣性產生的負面影響。這個模型預計會在今年推出。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);">其他重要Fintech新聞</h3> <ul> <li>彭博社報導，香港將批准第一支比特幣現貨ETF<br /> </li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／摩根大通</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年4月</p> <p></p> </div></div></div>
2024/4/16 02:23作者李昀璇https://www.ithome.com.tw/news/162280
【資安日報】4月15日，XZ Utils供應鏈攻擊傳出有新災情
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月底研究人員發現資料壓縮程式庫XZ Utils專案遭遇供應鏈攻擊，影響採用的SSHD元件，但採用此程式庫套件及其中的LZMA資料壓縮程式庫liblzma專案甚多，難道只有SSHD中招嗎？</p> <p>事隔兩週，目前尚未有相關組織或是研究人員提出進一步說明，然而，在此不明朗的情況下，類似的供應鏈攻擊事故再度傳出。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162292"><strong style="font-size: 22px;">XZ Utils供應鏈攻擊再傳災情，以Rust打造的程式庫liblzma也遭植入後門程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2024-04-10-at-17_05_39.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2024-04-10-at-17_05_39.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Phylum指出，他們發現以程式語言Rust實作的liblzma遭遇供應鏈攻擊，維護者於4月5日將其中一個元件liblzma-sys進行0.3.2改版，但研究人員發現，當中被植入了「XZ後門程式」，而有可能導致該程式庫面臨潛在威脅，或是被用於寄生攻擊。</p> <p>程式庫liblzma原是在XZ Utils實作的LZMA資料壓縮程式庫，有人以Rust程式語言打造同名程式庫，上架於Rust套件庫crates.io，提供給開發者運用。</p> <p>對此，研究人員9日於該專案的程式碼儲存庫GitHub通報此事，數個小時後開發者移除相關程式碼。在下架之前，受影響的liblzma、liblzma-sys程式庫分別被下載5,500及1,100次。</p> <p><a href="https://www.ithome.com.tw/news/162302"><strong style="font-size: 22px;">D-Link停止支援的NAS設備，三天內已出現1百多起攻擊者嘗試利用的活動</strong></a></p> <p>上週研究人員Netsecfish針對D-Link網路儲存設備（NAS）揭露高風險漏洞CVE-2024-3273，並指出該漏洞涵蓋2項弱點，確認有4款設備受到影響，估計全球有超過9.2萬臺可從網際網路存取的NAS曝險。威脅情報業者GreyNoise、Shadowserver基金會在Netsecfish揭露漏洞後進行追蹤，結果發現，事隔數日漏洞攻擊有顯著升溫的現象。</p> <p>GreyNoise指出，在9日研究人員公布此事時，他們只看到1個攻擊來源IP位址，但如今已有超過140個IP位址嘗試利用漏洞，並在10日達到高峰，當天有118個IP位址從事漏洞利用攻擊。Shadowserver基金會也有類似的發現，他們在10日表示，在3天內看到有151個IP位址嘗試利用CVE-2024-3273。並指出部分攻擊行動與散布殭屍網路病毒Mirai及其變種有關。</p> <p>值得留意的是，D-Link也更新資安公告內容，並指出曝露上述漏洞的設備，總共有20款。</p> <p><a href="https://www.ithome.com.tw/news/162283"><strong style="font-size: 22px;">日本光學設備製造商Hoya傳出遭到勒索軟體駭客組織Hunters International攻擊，遭索討1,000萬美元贖金</strong></a></p> <p></p> <p>4月4日日本光學設備製造商Hoya證實，他們在3月30日偵測到網路安全事故，日本總部及數個事業部門的IT系統受到影響，現在有更多消息傳出。</p> <p>新聞媒體LeMagIT透露Hoya遭遇勒索軟體攻擊，並指出攻擊者的身分是Hunters International，對方聲稱取得約2 TB的內部資料，檔案數量約有170萬個，並向Hoya索討1千萬美元贖金，要脅不得討價還價。</p> <p>不過，這些駭客並未公布檔案內容的螢幕截圖，也沒有透露取得的資料及檔案類型，或是公布部分資料讓買家進行驗證，因此相關資訊的真實性仍有待進一步確認。</p> <p><a href="https://www.ithome.com.tw/news/162308"><strong style="font-size: 22px;">伊朗駭客MuddyWater採用外流的電子郵件帳號發動網釣攻擊，透過遠端管理工具控制受害電腦</strong></a></p> <p>根據資安業者Proofpoint對於伊朗駭客組織MuddyWater的攻擊行動揭露的細節，另一家資安業者Deep Instinct進一步分析，發現這些駭客濫用被駭的以色列公司電子郵件系統，寄送帶有PDF附件的郵件，這些PDF檔案含有Dropbox、OneDrive、Egnyte等雲端服務的連結，但其中一個新網域是過往這組人馬未曾使用，而引起Deep Instinct的研究人員注意。</p> <p>他們對此進行分析，發現這個網域疑似與以色列高等教育機構有關，經調查MuddyWater透過外流的電子郵件帳號，將相關連結傳送至salary.egnyte[.]com，當中有與kinneretacil.egnyte[.]com相關的連結，研究人員推測，對方很可能利用Kinneret的電子郵件帳號來散布連結，或是透過獎學金的名義攻擊教育機構，誘騙收信人依照指示安裝遠端管理工具Atera，從而對其電腦進行控制。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/roku-warns-576-000-accounts-hacked-in-new-credential-stuffing-attacks/"><strong style="font-size: 20px;">串流網路電視業者Roku遭遇帳號填充攻擊，57萬用戶恐受波及</strong></a></p> <p></p> <p>◆<a href="https://flatt.tech/research/posts/batbadbut-you-cant-securely-execute-commands-on-windows/"><strong style="font-size: 20px;">BatBadBut漏洞恐讓駭客在Windows電腦執行命令注入攻擊</strong></a></p> <p></p> <p>◆<a href="https://checkmarx.com/blog/new-technique-to-trick-developers-detected-in-an-open-source-supply-chain-attack/"><strong><span style="font-size: 20px;">駭客意圖操縱GitHub的搜尋功能，將其用於散布惡意軟體</span></strong></a></p> <p></p> <p>◆<a href="https://www.darkreading.com/vulnerabilities-threats/dprk-exploits-mitre-sub-techniques-phantom-dll-hijacking-tcc-abuse"><strong><span style="font-size: 20px;">北韓駭客利用新的「幻影DLL挾持」攻擊手法隱匿攻擊行蹤</span></strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162282"><strong style="font-size: 22px;">Palo Alto Networks防火牆零時差漏洞已出現攻擊行動</strong></a></p> <p></p> <p>4月10日資安業者Volexity偵測到駭客組織UTA0218針對客戶部署的Palo Alto Networks防火牆從事攻擊行動，對方鎖定防火牆作業系統PAN-OS的防護功能GlobalProtect，觸發其零時差漏洞，隨後研究人員收到客戶防火牆可疑流量的警報，進一步調查確認設備遭到破壞。隔日，他們又看到同一組人馬利用相同漏洞從事攻擊行動。</p> <p>研究人員進一步調查，這些駭客先從遠端滲透該廠牌防火牆，得逞後建立反向Shell，然後下載其他作案工具，其中包含後門程式Upstyle（但並未成功）。最終對方將防火牆的配置資料匯出，並以受害設備做為入侵目標組織的管道，然後進行橫向移動。他們研判對方從3月26日就開始從事相關攻擊，當時就有多個組織受害。</p> <p>對此，研究人員進行通報，Palo Alto確認這是命令注入漏洞CVE-2024-3400，CVSS風險評分為10，影響執行PAN-OS 10.2至11.1版作業系統的防火牆設備，雲端版本的Cloud NGFW，以及Panorama設備、Prisma Access不受影響。該公司也證實，該漏洞已被用於攻擊行動的情況，並從14日開始發布部分版本修補程式。</p> <p><a href="https://www.ithome.com.tw/news/162307"><strong style="font-size: 22px;">新型態Spectre v2攻擊手法影響搭載Intel處理器的Linux電腦</strong></a></p> <p>阿姆斯特丹自由大學VUSec研究團隊揭露新型態的Spectre V2推測執行漏洞攻擊手法，他們透過自行開發的工具檢查電腦是否存在相關漏洞，結果發現在Linux核心有其他可利用的小器具（Garget），而且還能繞過所有Intel採取的Spectre緩解措施。</p> <p>研究人員指出，這是首度發現存在於最新世代Intel處理器的Linux電腦的原生Spectre v2漏洞，攻擊者有可能以每秒3.5kb的資料量洩露核心記憶體的任意資料。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/telegram-fixes-windows-app-zero-day-used-to-launch-python-scripts/"><strong style="font-size: 20px;">Windows版Telegram用戶端程式存在零時差漏洞，有可能被拿來執行Python指令碼</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162267"><strong>【4月12日】蘋果一口氣對92個國家發出間諜軟體攻擊警報，要求受影響用戶應儘速採取保護措施</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162245"><strong>【4月11日】臉書出現提供生成式AI服務桌面軟體的詐騙粉絲頁，目的是誘使大家安裝惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162224"><strong>【4月10日】微軟在本月例行更新揭露近150個漏洞，數量創近年新高</strong></a></p> </div></div></div>
2024/4/15 18:28作者周峻佑https://www.ithome.com.tw/news/162311
Google Cloud第四代虛擬機器上陣，搭第五代Xeon-SP處理器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/google_n4-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上週舉行的Google Cloud年度用戶大會期間，該公司針對一般用途工作負載的運算服務產品線，發表兩款標榜為第四代虛擬機器的解決方案：N4、C4，其共通點為採用2023年12月推出的英特爾第五代Xeon Scalable處理器（代號為Emerald Rapids），以及從第三代虛擬機器開始導入的資安、網路、儲存卸載架構Titanium，也是目前四大公有雲業者當中，率先基於這套運算平臺推出運算服務的廠商。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Next-N4-1.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCE%20VM%20generation-2024-04.jpg" style="width: 600px;" /></p> <p>C4目前開放用戶預覽登記，對應的運算需求為高性價比，兼具彈性與成本的平衡，可支援需要強大效能的企業級應用系統，我們這次所要介紹的N4，目前已正式上線營運，對應的運算需求是多數一般用途工作負載的效能等級，不需要長時間持續供應尖峰處理能力，提供成本配置的彈性，例如，開發或測試環境、桌面虛擬化、微服務、商業智慧、程式碼儲存庫、資料分析、儲存與歸檔、中型流量的網站伺服器，以及內部應用系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Next-N4-3.jpg" style="width: 300px;" /> <a href="https://s4.itho.me/sites/default/files/images/GCE C4-N4-FEATURES.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCE%20C4-N4-FEATURES.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCE%20General-purpose%20VM.jpg" style="width: 600px;" /></p> <p>根據Google Cloud內部資料，相較於上一代N系列虛擬機器N2（運算平臺為英特爾第二代或第三代Xeon Scalable），今年他們新推出的N4，性價比的改善幅度為18％，用於MySQL資料庫系統這類關鍵工作負載時，更可達到39％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCE N4-FEATURES-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCE%20N4-FEATURES-1.jpg" style="width: 600px;" /></a></p> <p>若以價格來比較，同樣在asia-southeast1區域，採用搭配2顆虛擬處理器與8 GB記憶體的組態，新上市的n4-standard-2每月為85.35175768，既有的n2-standard-2每月為87.45838美元；採用搭配80顆虛擬處理器與640 GB記憶體時，新上市的n4-highmem-80每月為4480.9581824美元，既有的n2-highmem-80每月為4719.1288美元</p> <p>從系統資源規格的配置來比較，N4提供下列3種類型的組態，分別是：標準型（每顆虛擬處理器搭配4 GB記憶體）、高CPU型（每顆虛擬處理器搭配2 GB記憶體）、高記憶體型（每顆虛擬處理器搭配8 GB記憶體）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Google N4-Config.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%20N4-Config.jpg" style="width: 600px;" /></a></p> <p>以單臺虛擬機器的最大組態而言，N4可搭配80顆虛擬處理器，記憶體容量為640 GB（n4-highmem-80），而對比於Google Cloud現行其他一般用途的運算服務，N4目前可超越T2D（60顆虛擬處理器、240 GB記憶體），以及T2A（48顆虛擬處理器、192 GB記憶體）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCE VM-2024-04.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCE%20VM-2024-04.jpg" style="width: 400px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span><br /> <strong>Google Cloud Engine N4</strong><br /> ●原廠：Google Cloud<br /> ●建議售價：n4-standard-2，asia-southeast1（新加坡）區域預估每月費用為112.19美元<br /> ●採用處理器：英特爾第四代Xeon Scalable系列Xeon Platinum EMR60C<br /> ●提供服務規模選擇與最大組態：n4-highmem-80，80顆虛擬處理器、640 GB記憶體、網路頻寬最高為50 Gbps，儲存搭配平衡Hyperdisk（每臺虛擬機器最多掛載128臺硬碟）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/4/15 18:28作者李宗翰https://www.ithome.com.tw/review/162301
國科會釋出繁中語言模型TAIDE-LX-7B了！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年末ChatGPT爆紅，掀起大型語言模型（LLM）應用浪潮，為能夠在地化運用，國科會去年初就開始推動可信任生成式AI發展先期計畫（Trustworthy AI Dialogue Engine，簡稱TAIDE），來打造本土化LLM。經過1年多努力，國科會主委吳政忠今日（4/15）宣布釋出TAIDE-LX-7B，是一款結合臺灣文化的70億參數大型語言模型，可供產學研快速導入生成式AI、提供更多元服務。</p> <p><span style="font-size:24px;"><strong>具臺灣特色的可信任LLM</strong></span></p> <p>與現今其他大型語言模型不同，TAIDE-LX-7B模型具有繁體中文的文本生成能力。這是因為，團隊以Meta Llama-2-7B為基礎，額外擴充繁體中文字元、字詞，讓模型生成的文本更加流暢、精準，還更具有臺灣特色。</p> <p>尤其，訓練模型所使用的文本資料，皆以合法取得授權的文本來訓練。這麼做不只確保「可信任性」，還能協助TAIDE-LX-7B加強臺灣文化、用語與國情等知識，從而產生豐富多樣的文本內容。團隊也對模型加強訓練5大功能，包括自動摘要、寫信、寫文章、中翻英、英翻中等，並開發出多輪問答對話能力，讓模型能根據已生成的文本內容，接續使用者指令，產出更符合需求的文本。</p> <p>國科會希望，藉這次釋出，可促進TAIDE語言模型在公部門或民間機構的各類應用（含商業應用）。使用者現可進入<a href="https://taide.tw/">TAIDE官方網站</a>，了解模型發展目標與歷程，並點入網站上「TAIDE模型」<a href="https://taide.tw/index/download-model">連結</a>，再進入該頁面中提供的Huggingface連結下載，就可開始使用、體驗具有臺灣特色的大型語言模型。</p> <p><span style="font-size:24px;"><strong>已有不少應用案例出現</strong></span></p> <p>不只如此，TAIDE-LX-7B模型已有不少應用，比如高雄大學團隊開發一套開源生成式AI應用平臺Kuwa GenAI OS，專門讓開發者用來打造生成式AI應用；該平臺內建可串接多款開源LLM，TAIDE模型就包括在內，開發者可靈活組合、串接周邊功能，而使用者則能透過簡易的Web介面，來與後端模型互動。其他應用案例還有臺南大學的TAIDE臺語對話機器人、中興大學神農TAIDE、中研院行政常見問題回應、民間公司智慧客服等。</p> <p></p> </div></div></div>
2024/4/15 19:12作者王若樸https://www.ithome.com.tw/news/162312
伊朗駭客MuddyWater採用外流的電子郵件帳號發動網釣攻擊，透過遠端管理工具控制受害電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伊朗恐怖組織哈馬斯週末對以色列發空襲，300架自殺式無人機、巡弋飛彈、彈道飛彈從伊朗發射，襲擊耶路撒冷，以及以色列南部尼格夫沙漠、北部的戈蘭高地，但在此之前，伊朗駭客也增加對以色列企業組織的網路攻擊強度。</p> <p>根據資安業者Proofpoint對於伊朗駭客組織MuddyWater的攻擊行動揭露的細節，另一家資安業者Deep Instinct進一步分析，發現<a href="https://www.deepinstinct.com/blog/darkbeatc2-the-latest-muddywater-attack-framework">這些駭客濫用被駭的以色列公司電子郵件系統</a>，寄送帶有PDF附件的郵件，這些PDF檔案含有Dropbox、OneDrive、Egnyte等雲端服務的連結，但其中一個新網域是過往這組人馬未曾使用，而引起Deep Instinct的研究人員注意。</p> <p>他們對此進行分析，發現這個網域疑似與以色列高等教育機構有關，經調查MuddyWater透過外流的電子郵件帳號，將相關連結傳送至salary.egnyte[.]com，當中有與kinneretacil.egnyte[.]com相關的連結，研究人員推測，對方很可能利用Kinneret的電子郵件帳號來散布連結，或是透過獎學金的名義攻擊教育機構，誘騙收信人依照指示安裝遠端管理工具Atera，從而對其電腦進行控制。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fig03-current-muddywater-campign.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig03-current-muddywater-campign.png" style="width: 580px;" /></a></p> <p>研究人員發現，這些駭客採用了新的攻擊框架DarkBeatC2，用於架設Tactical RMM的管理控制臺，很有可能藉此對受害電腦部署勒索軟體。</p> <p>從攻擊者使用的網路釣魚攻擊來看，手法並未出現太多特殊之處，不只誘餌是相當常見的PDF檔案，部分濫用的雲端服務雖然在臺灣多數人並不熟悉，但與先前該組織的攻擊行動所採用的幾乎相同。至於最終用來控制受害電腦的合法遠端管理軟體Atera，也曾在多起攻擊行動出現。但值得留意的是，這些駭客借助其他駭客軟體供應鏈攻擊成果，從而製造來源看似可信的釣魚信。</p> <p>研究人員提及，上述提及對方針對的教育機構，是以色列軟體業者Rashim的客戶，而另一個組織Lord Nemesis曾對該公司下手，發動供應鏈攻擊，而很有可能取得這些教育機構的相關資料，並提供MuddyWater運用。由於該組人馬是另一個伊斯蘭革命衛隊（IRGC）資助的駭客組織Mint Sandstorm的旗下團體。換言之，這起攻擊行動應該與伊朗當局有所關連。</p> </div></div></div>
2024/4/15 16:41作者周峻佑https://www.ithome.com.tw/news/162308
【資安週報】2024年4月8日到4月12日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一星期的漏洞消息方面，包含微軟、SAP、Adobe、西門子、施耐德電機等每月例行安全更新修補釋出，Rust開發團隊修補CVSS滿分10分的重大漏洞，以及LG修補智慧電視多個漏洞，而且，傳出5個漏洞已遭利用的消息。</p> <p>（一）微軟修補了兩個已經遭利用的零時差漏洞，分別是涉及SmartScreen繞過的漏洞CVE-2024-29988，以及關於Proxy Driver欺騙的漏洞CVE-2024-26234。<br /> （二）臺廠D-Link停止維護的多款NAS機型被發現多個新漏洞，其中2個已遭利用，除了本周資安日報提及的漏洞CVE-2024-3273，還有<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-3272">CVE-2024-3272</a>也已經遭到利用。D-Link呼籲用戶應儘速淘汰這些設備。<br /> （三）另一個本周資安日報尚未提及的漏洞，是Palo Alto Networks週五揭露旗下防火牆產品的零時差漏洞<a href="https://www.ithome.com.tw/news/162282">CVE-2024-3400</a>，並計畫於14日釋出修補，然而，發現漏洞被利用於攻擊活動的情形最早在3月下旬。</p> <p>還有兩項漏洞的揭露也值得留意，一是影響多個專案的新型態HTTP/2漏洞遭揭露，已登記9個CVE編號，另一是有研究人員發現網頁伺服器元件Lighttpd漏洞曾在2018年被默默修補，不只影響AMI MegaRAC的BMC韌體，進而影響Intel、聯想伺服器廠商。</p> <p>在資安事件焦點方面，國內上市櫃接連遭遇資安事件的狀況備受矚目，等於短短一週內，就有5家公司發布資安重訊，我們整理如下：</p> <p>●4月7日，上櫃生技醫療業佰研說明旗下電商「無毒的家」會員資料外洩事件。<br /> ●4月8日，上櫃觀光餐旅業富野說明旗下分公司資訊系統遭受網路攻擊。<br /> ●4月9日，上市塑膠工業聯成說明發生網路資安事件。<br /> ●4月9日，上市食品工業聯華說明發生網路資安事件。<br /> ●4月11日，上市光電業聯合再生公告有部分系統遭受駭客攻擊，導致工廠停工。</p> <p>值得注意的是，富野是近兩個月第二度遭遇事件，該公司表示上次事件後已規畫資安強化作為，但需要更多時間建置，因此未能阻擋這次攻擊；關於聯合再生的後續狀況，<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=105433&SPOKE_DATE=20240412&COMPANY_ID=3576">我們在此補充，該公司隔日已對此事件發布重訊</a>更新近況，表示在確認工廠產線設備未受影響後，已於11日當日下午復工生產。</p> <p>綜觀這些事件的公告，我們認為，由於主管機關證交所對於資安事故揭露要求越來越嚴格，因此不只是資料外洩開始出現在上市櫃公司的重訊，企業對於事件後續狀況的揭露，也比過往要積極，雖然短期內會讓大家產生資安問題似乎發生得比過去密集的印象，然而，隨著企業資安威脅態勢越來越透明，這些攤在陽光底下的亂象才是真正反映現況，有助於大家正視問題！</p> <p>在關注臺灣資安事件之餘，國際間也有一些重大事件，包括：日本光學設備製造商Hoya傳出遭勒索軟體駭客組織Hunters International攻擊，遭索討1,000萬美元贖金，越南石油公司PV Oil遭到勒索軟體攻擊，以及智利資料中心IxMetro Powerhost遭遇勒索軟體SEXi攻擊。</p> <p>此外，全球還有多個資安威脅的最新態勢，我們特別注意到在金融業、媒體政要領域，各有一項需要慎防的威脅。</p> <p>●對於金融業而言，國際信用卡組織Visa發布資安通報，說明最近一波的惡意軟體JsOutProx攻擊，並呼籲發卡銀行、處理機構及相關單位需嚴加防範；<br /> ●對於手持iPhone的記者、官員或政治人物而言，蘋果最近發現部分用戶遭到傭兵間諜軟體（Mercenary Spyware）鎖定，已通知可能遭鎖定的92國用戶，並建議依照步驟來提升裝置防護層級。</p> <p>在其他惡意活動的揭露方面，我們認為可留意下列消息，例如，語音網釣威脅又一例，LastPass示警，說明該公司員工收到一連串的電話、簡訊、語音郵件，並指出對方透過WhatsApp冒充公司執行長傳送Deepfake的語音訊息；過去曾攻擊Canon、全錄、LG的勒索軟體組織Maze，最近有資安業者揭露其成員可能東山再起，以名為Red CryptoApp的勒索軟體駭客組織重新出發，再度危害企業。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/162157"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月8日】勒索軟體駭客組織Red CryptoApp聲稱入侵超過10個企業組織引起研究人員關注</span></strong></a></h3> <p style="margin: 0px;">勒索軟體駭客組織更換名稱捲土重來的情況，迄今已有數起，最近有個名為Red CryptoApp的駭客團體，宣稱已攻擊超過10個企業組織。察覺該組織行動的資安業者Netenrich推測，很有可能是2020年收手的Maze成員組成。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">值得留意的是，Red CryptoApp的做法較為激進，因為他們直接公布受害組織的資料，企圖藉此形成壓力讓受害組織乖乖付錢。</p> <p><a href="https://www.ithome.com.tw/news/162200"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月9日】惡意軟體JsOutProx鎖定亞太地區、中東及北非而來</span></strong></a></p> <p style="margin: 0px;">鎖定金融機構的惡意程式攻擊事故頻傳，一旦這些惡意軟體入侵受害者的裝置，便會試圖將他們的銀行帳戶洗劫一空，但如今，有一支名為JsOutProx的惡意程式引起國際信用卡組織注意，並對發卡銀行及相關單位提出警告。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">資安業者Resecurity也公布調查結果，並指出這起攻擊行動最大的特色之一，就是對方大肆濫用程式碼儲存庫GitLab。</p> <h3><a href="https://www.ithome.com.tw/news/162224"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月10日】微軟在本月例行更新揭露近150個漏洞，數量創近年新高</span></strong></a></h3> <p>昨天（9日）有許多廠商發布本月份的漏洞例行更新，微軟、Adobe、SAP、西門子、施耐德電機皆公布相關資安公告及修補程式，用戶應留意相關資訊，並儘速安排、部署相關更新軟體。</p> <p>其中最值得留意的部分，是微軟這次公告的內容，他們總共緩解了149個漏洞，數量再創新高，一舉超越<a href="https://www.ithome.com.tw/news/157742#patch-tuesday">去年7月揭露與緩解132個漏洞</a>的紀錄。</p> <p><a href="https://www.ithome.com.tw/news/162245"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月11日】臉書出現提供生成式AI服務桌面軟體的詐騙粉絲頁，目的是誘使大家安裝惡意程式</span></strong></a></p> <p style="margin: 0px;">散布竊資軟體的攻擊行動頻傳，其中結合時下熱門的生成式AI服務為誘餌的情況，相當值得留意。最近就有一起假借提供桌面版程式的攻擊行動，駭客透過臉書廣告來從事攻擊行動，使用者若是依照指示取得對方提供的桌面版軟體，電腦就有可能被植入竊資軟體。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">特別的是，攻擊者其中一個臉書粉絲頁竟維持長達一年，累積120萬用戶追蹤，但為何此粉絲頁這麼久才被發現，研究人員並未說明。</p> <p><a href="https://www.ithome.com.tw/news/162267"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月12日】蘋果一口氣對92個國家發出間諜軟體攻擊警報，要求受影響用戶應儘速採取保護措施</span></strong></a></p> <p style="margin: 0px;">這兩天蘋果大動作發出警告，而受到全球關注，他們向部分疑似遭到傭兵間諜軟體（Mercenary Spyware）鎖定的用戶發出通知，提醒這些用戶應提高自己使用的裝置防護層級，並尋求專家協助及進行後續調查。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">而這並非該公司首度針對間諜軟體呼籲用戶提高詧覺，去年10月，他們就曾對國家級駭客的竊密攻擊提出警告。</p> <p> </p> </div></div></div>
2024/4/15 12:52作者羅正漢https://www.ithome.com.tw/news/162288
D-Link停止支援的NAS設備，三天內已出現1百多起攻擊者嘗試利用的活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週研究人員Netsecfish針對D-Link網路儲存設備（NAS）揭露高風險漏洞CVE-2024-3273，<a href="https://www.ithome.com.tw/news/162189">並指出該漏洞涵蓋2項弱點，確認有4款設備受到影響</a>，估計全球有超過9.2萬臺可從網際網路存取的NAS曝險。</p> <p>由於上述設備已達生命週期結束（EOL）狀態，D-Link表明不予修補，僅呼籲用戶應儘速淘汰設備，如今開始出現越來越多嘗試利用漏洞的情況。</p> <p>威脅情報業者GreyNoise、Shadowserver基金會在Netsecfish揭露漏洞後進行追蹤，結果發現，事隔數日漏洞攻擊有顯著升溫的現象。</p> <p>GreyNoise指出，在9日研究人員公布此事時，他們只看到1個攻擊來源IP位址，但如今<a href="https://viz.greynoise.io/tags/d-link-nas-cve-2024-3273-rce-attempt?days=10">已有超過140個IP位址嘗試利用漏洞</a>，並在10日達到高峰，當天有118個IP位址從事漏洞利用攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/L30eTogt0J.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/L30eTogt0J.png" style="width: 580px;" /></a></p> <p>Shadowserver基金會也有類似的發現，他們在10日表示，<a href="https://twitter.com/Shadowserver/status/1778012506771886458">在3天內看到有151個IP位址嘗試利用CVE-2024-3273</a>。並指出<a href="https://twitter.com/Shadowserver/status/1778012103594426648">部分攻擊行動與散布殭屍網路病毒Mirai及其變種有關</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GKzEhUgWcAAbpXN.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GKzEhUgWcAAbpXN.jpg" style="width: 580px;" /></a></p> <blockquote><p>Shadowserver基金會指出，他們看到利用D-Link網路儲存設備漏洞CVE-2024-3273出現大幅增加的情況，在4月9日有61個攻擊IP位址，遠超過其他利用該廠牌設備路由器漏洞的情況。<strong><span style="color:#A9A9A9;">（圖片來源／Shadowserver基金會）</span></strong></p> </blockquote> <p>特別的是，前述的兩個弱點已被登記了第2個CVE編號。原本的CVE-2024-3273現在主要針對命令注入的部分，而新的編號CVE-2024-3272，<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-3272">則針對寫死帳密的弱點進行列管</a>，CVSS風險評分達到9.8。</p> <p>再者，<a href="https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10383">D-Link也更新資安公告內容</a>，並指出曝露上述漏洞的設備，總共有20款。</p> </div></div></div>
2024/4/15 13:08作者周峻佑https://www.ithome.com.tw/news/162302
新型態Spectre v2攻擊手法影響搭載Intel處理器的Linux電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>阿姆斯特丹自由大學VUSec研究團隊揭露<a href="https://www.vusec.net/projects/native-bhi/">新型態的Spectre V2推測執行漏洞攻擊手法</a>，他們透過自行開發的工具檢查電腦是否存在相關漏洞，結果發現在Linux核心有其他可利用的小器具（Garget），而且還能繞過所有Intel採取的Spectre緩解措施。</p> <p>研究人員指出，這是首度發現存在於最新世代Intel處理器的Linux電腦的原生Spectre v2漏洞，攻擊者有可能以每秒3.5kb的資料量洩露核心記憶體的任意資料。</p> <p>先前研究人員發現兩種Spectre v2攻擊手法，分別是稱做名為分支目標注入（Branch Target Injection，BTI）和分支歷史注入（Branch History Injection，BHI），而這次他們公布的發現，也與BHI有關，但與原先揭露的手法有所不同，因為它們不需依賴可在Linux系統核心執行的eBPF過濾器，使得原本Intel建議用戶的緩解措施無效。</p> <p>未經身分驗證的攻擊者可利用新的漏洞，從而推測並跳躍至特定小器具，最終達到洩漏處理器占用的記憶體資料內容，<a href="https://kb.cert.org/vuls/id/155143">這項弱點被登記為CVE-2024-2201</a>，對此，Intel表示<a href="https://www.intel.com/content/www/us/en/developer/articles/technical/software-security-guidance/technical-documentation/branch-history-injection.html">將在未來推出的處理器當中，藉由硬體機制緩解BHI弱點帶來的衝擊</a>。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/YTTMaLVvRpA?si=YC6CMJQjj06FRXT3" title="YouTube video player" width="560"></iframe></p> </div></div></div>
2024/4/15 15:23作者周峻佑https://www.ithome.com.tw/news/162307
XZ Utils供應鏈攻擊再傳災情，以Rust打造的程式庫liblzma也遭植入後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩週前微軟研究人員Andres Freund意外發現<a href="https://www.ithome.com.tw/news/162040">涉及SSH伺服器的供應鏈攻擊</a>，並指出問題是在SSHD（Secure Shell Daemon）採用的資料壓縮程式庫XZ Utils，攻擊者對其中的LMZA壓縮演算法元件liblzma出手，在其程式碼埋入後門，<a href="https://www.ithome.com.tw/news/162130">潛伏長達3年</a>，Red Hat將其登記為CVE-2024-3094列管，CVSS風險評分達到10分，震驚整個開源社群及資安界。</p> <p>但XZ Utils及其中的liblzma元件並非只有SSHD採用，開源專案運用的情況相關廣泛，究竟其影響範圍如何，是否有人著手進行清查？迄今尚未有相關組織或研究人員提出說明。然而，在此情況不明的態勢下，又傳出有此後門程式的供應鏈攻擊事故。</p> <p>資安業者Phylum指出，他們發現<a href="https://blog.phylum.io/rust-crate-shipping-xz-backdoor/">以程式語言Rust實作的liblzma遭遇供應鏈攻擊</a>，維護者於4月5日將其中一個元件liblzma-sys進行0.3.2改版，但研究人員發現，當中被植入了「XZ後門程式」，而有可能導致該程式庫面臨潛在威脅，或是被用於寄生攻擊。</p> <p>程式庫liblzma原是在XZ Utils實作的LZMA資料壓縮程式庫，有人以Rust程式語言打造同名程式庫，上架於Rust套件庫crates.io，供這種程式語言的開發者運用。</p> <p>對此，研究人員9日於該專案的程式碼儲存庫GitHub通報此事，數個小時後開發者移除相關程式碼。在下架之前，受影響的liblzma、liblzma-sys程式庫分別被下載5,500及1,100次。</p> </div></div></div>
2024/4/15 11:17作者周峻佑https://www.ithome.com.tw/news/162292
三星裝置端AI功能延伸到舊款手機、平板
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星從去年起為最新款頂級款智慧型手機加入AI功能，不過上周<a href="https://r1.community.samsung.com/t5/%EA%B0%A4%EB%9F%AD%EC%8B%9C-s/s22-one-ui-6-1-5%EC%9B%94%EC%B4%88%EC%98%88%EC%A0%95/td-p/26442659" target="_blank">三星在社群公告</a>，5月起，舊版手機S21、S22及同系列平板，將可獲得Galaxy AI功能。</p> <p>三星是在今年初上市的Galaxy 24首度加入AI功能，包含Google Gemini Nano為基礎的聊天機器人、AI搜尋功能。本月初三星再將手機端AI功能<a href="https://www.samsung.com/tw/galaxy-ai/" target="_blank">擴大到</a>Galaxy S23 FE、S23、以及Z Flip 5、Z Fold 5。</p> <p>在上周宣布下，三星5月將為更早推出的機種，包括2022年的S22F、Flip 4/Fold 4、Tab S8F以及2021年的S21F、Flip 3/Flip 3釋出OneUI 6.1版，並由此提供AI功能。但基於硬體規格，舊機種僅會獲得部份AI功能，例如2022年的產品可得到影片即時慢動作（Instant Slow-mo）之外的所有Galaxy AI功能，而2021年產品只會有Circle to Search和Magic Rewrite。</p> <p>同時間，三星宣布Galaxy AI將可獲得更多語言支援，並部署到今年和去年的產品。在原有13種語言外，新增的語言支援包括阿拉伯語、印尼及俄語及三種方言：澳洲英語、廣東話及加拿大法語。三星計畫今年還會再增加繁體中文、歐洲葡語、羅馬尼亞、土耳其、荷蘭及瑞典語。</p> <p>Galaxy AI功能包括即時雙向語音與文字翻譯、分割螢幕翻譯、Gemini聊天機器人為基礎的對話、重點摘要、以及聽寫（transcription），以及網頁內容重點整理及翻譯功能。</p> <p>用戶必須開啟手機上的「設定」App下載安裝語言套件包，以取得新AI語言支援。</p> </div></div></div>
2024/4/15 10:30作者林妍溱https://www.ithome.com.tw/news/162290
Google One的VPN服務今年將關閉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周宣布將在今年內關閉付費服務Google One中的VPN功能。</p> <p><a href="https://www.androidauthority.com/vpn-by-google-one-shut-down-3433530/" target="_blank">Android Authority</a>首先報導，Google周五以電子郵件通知Google One用戶今年內的服務變更。Google並向<a href="https://9to5google.com/2024/04/11/google-one-vpn-discontinued/" target="_blank">9to5Google</a>證實此事。</p> <p>Google VPN原本包含在寬頻服務Google Fi，2020年<a href="https://www.ithome.com.tw/news/140862" target="_blank">納入</a>付費服務Google One中。這項服務免費提供給選用2TB Google Drive以上的用戶，2022年Pixel 7推出時也內含免費的VPN。Google One的VPN服務原本月費9.99美元，去年Google將費用調降為1.99美元。</p> <p>Google對媒體表示，公司將重新聚焦，以支援「最有需求的Google One功能」。</p> <p>不過，Google VPN服務仍然會持續提供給Pixel 7以上的用戶。Pixel 8改為內建VPN，而且Google<a href="https://support.google.com/pixelphone/answer/2819573" target="_blank">說明</a>7、7 Pro、7a及Fold機種也將在6月更新，改為內建VPN，不再需要安裝Google One App。此外，寬頻服務Google Fi的VPN也仍然持續。</p> <p>Google VPN之前引發一些爭議。有用戶<a href="https://www.ithome.com.tw/news/162139" target="_blank">發現</a>，從去年底開始，Google VPN會將Windows及Mac電腦VPN的DNS設定，自動變更為Google DNS伺服器（8.8.8.8），不論用戶原有設定為何，而且即使關閉甚至刪掉Google VPN，都無法改掉Google設定。Google年初承諾改善，但似乎到上周問題仍未解決。</p> </div></div></div>
2024/4/15 11:00作者林妍溱https://www.ithome.com.tw/news/162291
【iThome 2024資安大調查系列1】2024企業最需警戒的資安風險
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1177-cover-feng_xian_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是我們第四度發布企業資安風險圖，彙整了422家大型企業或知名企業IT主管、資安主管對於25項資安風險的威脅和衝擊評估，繪製出了這一份臺灣大型企業用的2024～2025企業資安風險圖，還細分成6個產業的風險分布圖，揭露每個產業各自的資安態勢。</p> <p>今年所調查的25項資安風險，還可細分為三大類，攻擊者的風險5項、攻擊途徑的風險8項，以及12項攻擊事件的風險項目。對企業來說，面對這三類風險的因應策略，有很大的不同，因應攻擊者的風險，企業得學會攻擊者的思維，像是可以參考ATT&CK資安框架，來了解可能遭遇的網路攻擊手法，來設計攻防演練和強化自身防護能力的參考。</p> <p>而針對不同的攻擊途徑，則得考慮企業對不同途徑（這往往也是面對顧客的服務通路）的依賴程度，來強化對關鍵通路的資安，設計專門的防護機制。而在資安事件的對策上，偵測能力和應變能力是關鍵，一方面提前發現可疑行跡來阻斷災情，另一方面則是在災情不可避免的發生後，快速應變和緩解，盡可能降低損失和衝擊。</p> <p>每一年、每一個產業的企業資安風險圖的分布，都不太一樣，因為每一年企業所面臨的資安態勢都會變化。企業可以依據每一年，自己所屬產業的資安風險圖，來了解這三大類共25項風險項目的發生可能性，以及衝擊高低。</p> <p>越是出現在第一象限的資安風險，就越是得高度警戒的項目，也是資安資源優先投入的重點，尤其我們都會整合風險高低和衝擊高低，歸納出當年的必要風險和次要風險，這兩項就是企業在未來一年高度可能發生，也是非提前防範不可的風險。</p> <p>今年的12大風險項目，看似與去年十大風險項目很像，前六項的內容和順序，的確都和去年相當，社交工程手段連續兩年名列年度最高風險（最容易發生的資安風險），4成企業都認為未來一年極可能遭遇，二到六名依序是勒索軟體資安事件、駭客、釣魚網站、資安漏洞、商業郵件詐騙。</p> <p>但是，去年名列第七的ChatGPT淪為攻擊工具的風險，在今年下滑到了第11名。今年大調查新增加的風險項目「被植入竊資軟體/後門木馬」則以些微差距，超越ChatGPT風險，成了今年第10項資安風險。</p> <p>從整體產業風險來看，ChatGPT風險看似下降，高度擔心此風險的企業也從去年的20.9%，今年減少了一些下滑到17.1%。但若進一步來檢視不同產業，會發現仍有很大的產業落差。高科技製造業是最擔心ChatGPT和GAI（生成式AI）風險的產業，每四家就有一家高科技業者認為，自己未來一年非常有可能遭遇此攻擊。醫療業和金融業也都有將近2成企業擔心。去年特別擔心ChatGPT風險的政府機關（去年21.7%）和一般製造業（去年23.2%），在今年都大幅下滑到15%以下。2022年開始爆紅的ChatGPT和GAI，企業經過一年的嘗試、模索，開始從莫名驚喜和擔憂，轉為更務實的看待，來評估可能的威脅風險處理。</p> <p><span style="font-size:28px;"><strong>運用深偽技術的商業詐騙，成為明確的資安新威脅</strong></span></p> <p>值得留意的有一項快速浮現的風險是「深偽技術（Deepfake）冒用事件」，今年有8.5%企業列為未來一年極可能發生的風險，這個比例在去年只有4.4%，今年幾乎翻了快一倍。尤其是金融業，去年幾乎沒有金融業者擔心這項風險，但今年卻暴增到14.8%。政府機關也從去年的4.3％，今年增加到9.8%，多了一倍的政府機關與學校格外擔心這項風險。</p> <p>雖然早在2022年，美國聯邦調查局就發布警告提醒企業小心深偽技術的風險，但是，直到今年2月，在香港爆發了一起結合商業郵件詐騙和深偽技術的詐騙攻擊，損失高達2億港幣。一家跨國企業員工收到駭客假冒總部財務長要求轉帳的郵件，雖然員工謹慎地要求視訊，但駭客偽造相關與會者的長相和聲音非常逼真，讓員工卸下心防而依照指示轉帳，事後才發現上當。這起真實的深偽商業詐騙事件，引起各界重視，金融界更是高度警戒。因此，在今年資安風險圖上，可看到深偽技術的風險程度明顯增加許多。一般製造業的擔心也不亞於金融，多達13.3%一般製造業者擔心遭遇到同樣的深偽詐騙。</p> <p><span style="font-size:28px;"><strong>臺灣企業大大低估了軟體供應鏈資安威脅的風險</strong></span></p> <p>還有一項排名不高但值得企業資安長留意的資安風險，今年資安大調查中，只有4.0%企業擔心未來一年發生「軟體供應鏈資安事件」，在25項風險中名列倒數第三，擔心的企業百分比甚至比去年4.9%還要更少。但這項臺灣企業格外輕忽的資安風險，卻是美國政府、大型跨國企業格外擔心的重大威脅。</p> <p>尤其在今年3月29日<a href="https://www.ithome.com.tw/news/162130" target="_blank">，發生了一起震驚IT界的XZ程式庫遭植入後門事件</a>，攻擊者精心潛伏，扮演熱心的開源貢獻者，花了2年時間參與開放原始碼軟體專案XZ的維護，來獲取其他開發人員的信心，為了就是暗中植入惡意程式碼。</p> <p>只因有位開發者察覺SSH登入失敗及變慢500毫秒的異狀，才揪出暗藏的後門程式碼，揭露了此項精心設計的供應鏈攻擊，還沒有感染到整個Linux作業系統軟體鏈，否則後果不堪設想，任何一家使用了Linux作業系統的企業（幾乎是每一家了），都會出現了10分威脅度後門漏洞。</p> <p>雖然這起事件發生在今年資安大調查執行時間之後，從大調查，還無法看到這起事件對臺灣企業資安警戒心的影響，但在事件發生之前，臺灣企業普遍對於軟體供應鏈攻擊的威脅感，非常的低，從今年資安大調查結果，只有4％的企業擔心這樣風險，就可以得知。隨著XZ資安後門事件的爆發，軟體供應鏈資安勢必再次成為資安界的熱門課題，臺灣企業得改變心態，開始正視這項風險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1177-COVER-%E9%A2%A8%E9%9A%AA-%E5%9C%961.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1177-COVER-%E9%A2%A8%E9%9A%AA-%E5%9C%962(2).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1177-COVER-%E9%A2%A8%E9%9A%AA-%E5%9C%963.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 問卷說明 </span></span> iThome資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業資安最高主管占了62.8%，企業CIO則占了71.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> </div></div></div>
2024/4/15 11:10作者王宏仁https://www.ithome.com.tw/article/162252
Palo Alto Networks防火牆平臺PAN-OS含有已被利用的安全漏洞，允許駭客執行任意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/" target="_blank">資安業者Volexity近日發現</a>了Palo Alto Networks的防火牆平臺PAN-OS含有一個安全漏洞，已被駭客用來攻擊Volexity客戶，Palo Alto Networks很快便<a href="https://security.paloaltonetworks.com/CVE-2024-3400" target="_blank">發出安全公告</a>，指出該漏洞編號為CVE-2024-3400，是個作業系統的命令注入漏洞，允許未經授權的駭客執行任意程式，已計畫於4月14日進行修補。</p> <p>PAN-OS為Palo Alto Networks所開發的作業系統，支援該公司所有的防火牆產品。根據Volexity的描述，該公司是在4月10日收到來自客戶防火牆的可疑流量警報，調查發現該裝置已被危害，隔天，同一駭客又以同樣的手法危害了另一家客戶。</p> <p>Volexity將此一駭客命名為UTA0218，其攻擊手法是先自遠端滲透受害者的防火牆裝置，建立一個Reverse Shell，再下載更多的工具至被駭裝置上。UTA0218鎖定自被駭裝置匯出配置資料，並利用相關資料作為入口以於受害組織內進行橫向移動。</p> <p>儘管是在4月10日才確定該漏洞已遭到利用，但Volexity隨後的調查顯示，從今年3月26日以來，便有不同的組織受害。</p> <p>至於<a href="https://unit42.paloaltonetworks.com/cve-2024-3400/" target="_blank">Palo Alto Networks也證實</a>，CVE-2024-3400允許未經授權的駭客於防火牆上以最高權限（Root）執行任意程式碼，其CVSS風險評分為最高的10.0。</p> <p>此外，該漏洞影響了PAN-OS 10.2、PAN-OS 11.0及PAN-OS 11.1等版本的作業系統，但僅限於其防火牆配置啟用GlobalProtect閘道與裝置遙測功能，並未波及Cloud NGFW雲端防火牆、Panorama設備或Prisma Access。即使Palo Alto Networks已計畫於4月14日修補，但用戶亦可暫時關閉遙測功能來緩解漏洞。</p> <p class="rtecenter"><a href="http://security.paloaltonetworks.com/CVE-2024-3400" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0415-CVE-2024-3400%20PAN-OS-Palo%20Alto%20Networks.png" style="width: 539px;" /></a></p> </div></div></div>
2024/4/15 09:03作者陳曉莉https://www.ithome.com.tw/news/162282
光學大廠Hoya傳勒索軟體攻擊，被竊走近200萬份文件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導日本光學大廠Hoya 3月底遭到勒索軟體攻擊，竊取將近200萬份文件，並被勒索1千萬美元贖金。</p> <p>Hoya以製造玻璃聞名，除了是知名鏡片品牌，產品也涵蓋晶片生產必要的光罩基板，是半導體供應鏈重要一環。<a href="https://ssl4.eir-parts.net/doc/7741/tdnet/2418411/00.pdf" target="_blank">這家日本光學大廠日前(4/4)公布</a>3月30日偵測到一起網路安全事件，影響日本總部及數個事業部門的IT系統。該公司表示已啟動調查，了解影響範圍，包括是否有個資或機密資料受到波及。</p> <p>不過上周法國<a href="https://www.tomshardware.com/tech-industry/cyber-security/critical-euv-chipmaking-tool-supplier-hacked-pressed-to-pay-dollar10-million-for-ransomware-unlock-hoya-dismisses-hack-as-an-it-system-incident" target="_blank">媒體LeMagIT揭露</a>，Hoya是遭到了勒索軟體攻擊，宣稱是名為Hunters International的組織所為。報導並貼出關於資料外洩網站對這次攻擊事件的相關資訊，包括已取得170萬份（約2TB）的文件檔案，及向Hoya索討1千萬美元贖金，歹徒並祭出不得討價還價也不折扣的原則。資安媒體<a href="https://www.bleepingcomputer.com/news/security/optics-giant-hoya-hit-with-10-million-ransomware-demand/" target="_blank">Bleeping Computer</a>也發現這樁勒索軟體攻擊的證據。</p> <p>不過駭客並未公布任何文件擷圖，也未提供竊得的檔案類型或相關描述。</p> <p>Hunters International為去年年中出現的勒索軟體即服務（Ransom-as-a-Service,RaaS），據報導可能是2023年初被美、德及荷蘭警方聯手破獲的Hive勒索軟體死灰復燃後改名而成的勒索軟體，因為兩者程式碼有60%重疊。但<a href="https://www.bleepingcomputer.com/news/security/new-hunters-international-ransomware-possible-rebrand-of-hive/" target="_blank">Hunter International</a>否認兩者的關聯性。</p> <p>Hoya至今尚未提供攻擊的調查進展，也未回應關於勒索軟體攻擊報導。</p> </div></div></div>
2024/4/15 09:50作者林妍溱https://www.ithome.com.tw/news/162283
AI生態系Python獨大，Go缺乏關鍵函式庫應用阻礙多
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Go團隊公開了最新<a href="https://go.dev/blog/survey2024-h1-results#mlai">開發者調查</a>的結果，該調查其中一項值得關注的重點，是Go開發者在使用大型語言模型的狀況，以及對Go語言支援人工智慧應用開發的回饋。結果顯示，雖然不少Go開發者，已經使用Go或是希望將人工智慧工作負載搬遷至Go，但是卻都面臨函式庫與文件生態系不足的挑戰。</p> <p>Go團隊針對開發者在生成式人工智慧應用程式的開發經驗，進行更深入的探究，調查發現，有50％的受訪者來自正在建置或是探索人工智慧服務的組織，其中又有56％的人正參與開發人工智慧功能，也就是整體受訪者的四分之一，正在開發或使用生成式人工智慧服務。</p> <p>在這些專業使用生成式人工智慧服務的Go開發人員中，有81％的人使用OpenAI的ChatGPT或DALL-E模型，並且有53％的受訪者，至少使用一種開源模型，如Llama、Mistral等。</p> <p>Go團隊指出，超過千名員工的大型組織與較小組織在使用模型的傾向上略有不同，大型組織使用OpenAI模型的比例略低為74％，較小組織則為83％，而使用其他專有模型方面，大型組織比例22％，略高於較小組織的11％。</p> <p>而在開源模型的使用上，則與公司規模無關，無論大型組織還是較小組織，都有超過一半的公司選擇使用開源模型，分別是51％和53％。但對整體受訪者來說，有高達47％的受訪者偏好開源模型，只有19％的人偏好使用專有模型，37％的受訪者表示對開源或專有模型沒有特別偏好。</p> <p>正在建置人工智慧功能的受訪者，其中約有三分之一表示已經使用Go語言，開發包括新功能原型和整合大型語言服務。受訪者認為Go特別適用於資料工作管線和託管API端點，比例分別為37％和41％。</p> <p>而之所以受訪者認為Go適合用於開發人工智慧工作負載有多項原因。Go程式語言設計追求簡潔清晰，對處理大量資料和高並行人工智慧任務來說很重要，由於Go具有先進的並行機制，在進行大規模處理時，程式碼可以更為簡潔且安全，而且Go程式在編譯之後，可以成為一個獨立的二進位檔案，不需要相依外部項目，簡化了部署過程。</p> <p>相較於人工智慧開發的另一個熱門語言Python，Go的特性是更為穩定，且使用的運算資源更低，更容易在生產環境中應用。</p> <p>不過，Go團隊也發現，其中有四分之一的受訪者，雖然也希望將Go用於開發人工智慧應用，但是面臨一些阻礙。Go團隊提到，人工智慧生態系以Python為中心，開發者所熟悉的函式庫和框架都是以Python開發，而資料科學家和研究人員也都熟悉使用Python。其中有62％正參與人工智慧功能開發的受訪者，已經使用Python整合生成式人工智慧模型，而在這群體中，有57％的人希望可以使用Go。</p> <p>在已經使用Python開發人工智慧功能的受訪者，有92％當Go也具有與Python函式庫相同功能的專案時，他們會願意使用Go整合生成式人工智慧系統。</p> <p>不過，與Python生態系相比，Go不僅缺乏許多函式庫，而且開發者也普遍認為，Go在相關函式庫的投資較少，像是Python的Pandas函式庫是資料科學領域的核心工具之一，Go目前沒有相對應的函式庫，因此要在Go中進行資料處理和分析便更為困難。</p> <p>目前人工智慧領域專家都很熟悉Python，會在Python中進行實驗和建立概念性驗證，但是Go缺乏Python函式庫的變體，因此削弱了開發人員嘗試將Python程式移植到Go中，以Go建立生產人工智慧應用的能力。</p> <p>雖然Go在可靠性和效能等方面，都可以在呼叫GPT-4或Gemini等託管模型表現良好，但是卻在建立、評估和部署自訂模型方面受到挑戰，主要原因還是Go缺乏相關的函式庫，限制了Go在人工智慧領域中被更廣泛的應用。</p> </div></div></div>
2024/4/15 08:20作者李建興https://www.ithome.com.tw/news/162272