iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 26篇
近 24 小時: 26篇
近 7 天: 142篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/13
最近更新: 11/13 21:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.5%4 篇
發言者: 公職、政治人物 25.0%公司、團體 25.0%網友、民眾 25.0%尚未標記 25.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

6
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社3筆關係
中央社2筆關係
日經中文網1筆關係
東森新聞1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Martech雙周報第53期：又延期！隱私權沙盒遭主管機關駁回，Google推遲第三方Cookie退場時程至明年初
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0421~0504)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第三方Cookie</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷與隱私</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#精準行銷</span></span></strong><br /> <strong>主管機關對替代方案提出疑慮，Chrome第三方Cookie退場時間再延至明年初</strong></p> <p><a href="https://www.gov.uk/cma-cases/investigation-into-googles-privacy-sandbox-browser-changes#quarterly-reports">英國競爭及市場署（CMA）近日對Google的第三方Cookie替代方案隱私權沙盒（Privacy Sandbox）提出近80項疑慮</a>，包括未限制個資用途、資訊處理過程有資安疑慮、有壟斷疑慮、使用數據仍可辨認出個人身分等。</p> <p>隱私權沙盒不過關，Google也不願放棄現行精準行銷做法，<a href="http://privacysandbox.com/intl/en_us/news/update-on-the-plan-for-phase-out-of-third-party-cookies-on-chrome/">宣布將再次推遲第三方Cookie退場時間。聲明中寫到，如果能和主管機關達成共識，預計明年年初會重啟退場作業</a>。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#零複製</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#多雲混合雲</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI工程</span></span></strong><br /> <strong>Salesforce Data Cloud開始支援多家數據處理科技廠商的雙向零複製數據作業，更容易將企業各處數據用於行銷</strong></p> <p>Martech巨頭Salesforce旗下行銷數據雲端服務<a href="https://www.salesforce.com/news/press-releases/2024/04/25/zero-copy-partner-network/">Data Cloud開始支援多家廠商的雙向零複製（Bidirectional Zero-copy）數據存取</a>，目前支援Amazon Redshift、Databricks、GCP BigQuery、Snowflake、Microsoft Fabric、Azure Synapse等，不同廠商的數據湖、數據倉儲及數據分析工具。</p> <p>這意味著<span style="color:#000000;">，企業要整合散落於各處的數據到Data Cloud及AI開發平臺Einstien 1來進行行銷相關數據應用時，不再需要一一自行開發及管理各資料來源的Reverse ETL數據處理流程。Salesforce與這些數據工具的原生整合，也使數據來源有</span>更動時，所有應用到該數據的對應系統和服務也會自動更新。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AR廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AR素材製作</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#ML模型開發</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong><br /> <strong>Snap將AR功能整合進所有廣告格式，並推出AR廣告素材製作工具</strong></p> <p>社群媒體Snapchat母公司近年一直專注於AR功能開發，<a href="https://newsroom.snap.com/zh-Hans/more-snapchat-newfronts-2024">近日，他們更將AR濾鏡功能整合進所有廣告格式</a>，包括各式商品及品牌的影音和圖文廣告。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/snapartools.jpg" style="width: 600px;" /></p> <p>為了降低廣告主製作AR行銷素材門檻，他們還推出了AR素材製作工具及臉部效果製作工具，前者能快速將2D圖片製作成AR試穿戴等行銷素材，後者則是能讓廣告主快速訓練出專屬機器學習模型，來製作臉部特效濾鏡等效果<span style="color:#000000;">。</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#行銷與隱私</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#無痕模式</span></span></strong><br /> <strong>Google將不再能用無痕模式瀏覽紀錄來行銷，並刪除過往相關瀏覽數據</strong></p> <p><a href="https://www.documentcloud.org/documents/24527110-google-unopposed-settlement">近日，Google與美國聯邦法院達成協議，將刪除過往儲存的無痕模式瀏覽。</a>過往，就算Chrome瀏覽器使用者開啟無痕模式，Google仍會記錄使用者搜尋及瀏覽紀錄，與一般瀏覽紀錄存在同一個個人檔案中，並用來判斷使用者喜好及追蹤行銷成效。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CMS</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷素材製作</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SEO</span></span></strong><br /> <strong>HubSpot推出生成式AI行銷素材製作功能，快速生成多版本及格式的文字類行銷素材，甚至能自動進行SEO關鍵字研究</strong></p> <p>Martech大廠HubSpot<a href="https://www.hubspot.com/products/content">將生成式AI功能融入旗下內容製作及管理工具Content Hu</a>b，來支援快速文字行銷素材生成、投放及行銷成效追蹤，甚至能自動進行SEO關鍵字研究，來提供文案主題建議。</p> <p>新功能包括一般性圖文生成、以基礎素材生成多種版本及用途的文案、統一品牌用字遣詞和語氣、文字轉語音、聲音製作等素材製作功能，以及行銷素材管理、行銷成效A/B測試、SEO研究、部落格流量數據分析等輔助行銷決策及管理的工具。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI代投</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#GoogleAds</span></span></strong><br /> <strong>Google AI廣告代投解決方案Performance Max推出新AI代投功能及管理功能</strong></p> <p>以Google自家<span style="color:#000000;">AI</span>來操作Google Ads廣告投放的解決方案Performance Max新增了6項功能。其中<span style="color:#000000;">2個</span>是AI代投選項，包括客戶價值模式及挽留顧客模式。前者以促成高消費力受眾消費為廣告投放目標，新增於搜尋廣告Search Ads 360。後者則是利用AI辨識消費者行為模式，來決定投放策略，以求挽回流失客戶<span style="color:#000000;">。</span></p> <p>其他新增的是管理及測試功能，包括追蹤受眾年齡和性別組別等數據、即時行銷預算花費及轉換率追蹤功能、排除受眾IP地址功能，以及A/B測試廣告導向不同目標網址的行銷成效等。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#影片廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI分眾挑選</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CTV廣告</span></span></strong><br /> <strong>Google影音廣告解決方案新增更多AI分眾及AI廣告代投微調功能</strong></p> <p><a href="https://blog.google/products/marketingplatform/360/newfront-2024/">Google的影音廣告解決方案Display & Video 360也</a>有AI代投功能升級，廣告主可以用自然語言輸入理想受眾樣貌，再來讓AI挑選符合條件的分眾。接著，廣告主可以挑選優先行銷目標，如曝光度、消費行為轉換、觀看時間長度等，來微調AI代投策略。</p> <p>Display & Video 360還新增了實驗中心介面，可以實驗不同AI代投策略，並從儀表板監控投放成效。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Martech支出</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Martech利用率</span></strong></span><br /> <strong>美國CMO大調查：Martech支出占總行銷支出比例逐年提升，也更深入日常行銷流程</strong></p> <p><a href="https://cmosurvey.org/wp-content/uploads/2024/04/The_CMO_Survey-Highlights-and-Insights-Report-Spring_2024.pdf">美國2年一次的CMO大調查出爐</a>。調查顯示，企業投資及運用Martech的意願越來越高，Martech支出占總行銷預算支出比例從去年17%，來到今年20%，預計明年會提升到24%，5年後甚至成長到31%。不只如此，去年企業只在58.4%日常行銷流程運用Martech，今年則提升到了62.1%。</p> <p>不過，如何妥善挑選並運用適當Martech工具，對企業來說仍是一大挑戰。調查指出，企業採購的Martech工具中，只有56.4%被運用，也就是說，幾乎一半Martech工具都是徒增支出，毫無用武之地。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. X（Twitter）<a href="https://twitter.com/cstanley/status/1784636062767141339">將隱藏回覆、轉推等互動按鈕</a>，從過往類似做法經驗來看，<a href="http://https://www.npr.org/2020/11/12/934280798/twitter-says-steps-to-curb-election-misinformation-worked">恐大幅降低行銷互動率。</a></p> <p>2. 彭博披露，<a href="https://www.bloomberg.com/news/articles/2024-04-12/adobe-s-ai-firefly-used-ai-generated-images-from-rivals-for-training">Adobe圖片類生成式AI模型Firefly的訓練素材，包含上百萬張有版權疑慮的圖片。</a></p> <p>資料來源：iThome整理，2024年5月</p> <p>責任編輯：郭又華</p> <p></p> </div></div></div>
2024/5/3 18:34作者郭又華https://www.ithome.com.tw/news/162647
國科會TAIDE計畫與產學研合作擴大應用，4月底已釋出基於Llama3的測試版模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年2月，國科會宣示將結合臺灣在地文化推出本地的LLM模型，並集結國內產學研資源推動可信任AI對話引擎（TAIDE）計畫，今天（5/3）國科會展示TAIDE計畫最新進展，除了4月中已釋出基於Llama 2的TAIDE商用化模型，計畫團隊更跟上最新技術發展，4月底剛釋出基於Llama 3的TAIDE測試版，未來將透過更多產學研合作開發應用，希望讓TAIDE能深入更多產業應用。</p> <p>去年6月TAIDE計畫首次展現成果，以Meta開源的LLM模型Llama為基礎，蒐集大量的繁體中文資料，加上國網中心的超級電腦算力助攻，打造符合臺灣在地文化的對話引擎模型TAIDE，初期具備70億參數，可作摘要、翻譯、寫信、寫文章等功能，TAIDE計畫負責人陽明交大應數系教授李育杰並宣示，TAIDE模型接下來將朝更大參數規模及可商用化發展。</p> <p>距離初次成果不到一年，今年4月中釋出基於Llama 2，可商用的TAIDE LX-7B，另外還有學研用版本、具有130億參數的TAIDE LX-13B，國科會強調目前TAIDE模型在摘要、寫信、寫文章、英翻中、中翻英等都具不錯的表現，並且具備多輪對話、阻絕不恰當回應的能力。</p> <p>國科會主委吳政忠指出，過去一年結合研究團隊、資料團隊，以及國網中心提供的算力，結合產學研打造出符合臺灣文化的本地生成式AI引擎，今年4月中釋出TAIDE LX-7B，並且通過產學研的努力，驗證開發各種TAIDE應用，展現模型的可用性及多樣性。TAIDE團隊經過一年的演練，Meta於4月中釋出Llama 3，團隊僅花費4天就快速更新版本，相當不容易。</p> <p><span style="color:#B22222;"><strong>政府可望於年底提出AI基本法</strong></span></p> <p>吳政忠表示，TAIDE計畫一開始就希望結合產業、學術研究，如同造車一樣，TAIDE如同車輛的基本引擎，各行各業可以使用這個引擎設計開發自己車款。自生成式AI出現後，不只是科技產業應用，也會在各產業百工百業應用。生成式AI所帶來的影響，政府雖已針對公務使用提出指引，但只有這樣還是不夠，除了生產作業效率的提昇，還需顧及倫理及安全，今年底可望制定AI基本法。</p> <p>TAIDE計畫負責人李育杰表示，TAIDE計畫推動之初即希望不只是研究，也要讓產業加入，並期望帶動臺灣產業AI化，去年適逢Meta釋出可商用化的Llama2，讓TAIDE得以打造可商用的版本。不只是企業，為了讓全民都能使用TAIDE，團隊將TAIDE 7B模型作壓縮處理，現在模型已可在手機、筆電、平板電腦、桌機上執行。</p> <p>李育杰表示，今年4月15日團隊在Hugging Face釋出TAIDE LX-7B，隨後4月19日Meta釋出Llama 3，為了打造可信任的AI模型，得益於團隊過去一年練功打下的基礎，團隊僅花4天就完成Llama 3-TAIDE-LX-8B-Chat-Alpha 1測試版模型，並且已在4月29日在Hugging Face釋出。經過測試比較，這個基於Llama 3的TAIDE 8B模型，其效能表要比基於Llama 2，具有130億參數的TAIDE模型更好，甚至可比美採用Llama 2的TAIDE 70B模型。</p> <p>過去一年多的開發李育杰也分享TAIDE計畫開發的一些心得，過去一年多，由於開源LLM發展相當快速，他笑稱團隊真的是一直跟著趨勢跑，使用的開源LLM，從一開始採用的BLOOM，隨後使用Llama 1、Llama 2，中間出現Mistral，團隊也有採用Mistral，後來Llama 3出現。</p> <p>大型語言模型需要大量的運算資源，在算力方面，團隊雖有國網中心72片H100 GPU算力支援打造TAIDE，但AI模型需要仰賴大量算力，李育杰指出，國外的新創團隊甚至有1,500片H100，而Llama 3團隊則使用2,4000片的H100，顯示在國際算力的競爭，臺灣的TAIDE國家隊可獲得的資源相當有限，需要更聰明的方式推動本地LLM發展。</p> <p>未來，TAIDE將持續增加模型的多樣化，並且蒐集各領域的正體中文資料，持續加強模型的繁體中文表達能力，使其更具有臺灣特色。其次是，追蹤新的生成式AI發展，將最新的技術融入到模型的訓練中。</p> <p><span style="color:#B22222;"><strong>帶動TAIDE對話引擎的應用多樣性</strong></span></p> <p>在開發TAIDE模型的同時，過去一年多，與產學研合作開發相關的應用，今天也在現場展示產學研的TAIDE應用開發成果。</p> <p>例如陽明交大展示了以ChatGPT和TAIDE開發的台客語對話平臺（下圖），能以語音的方式對著電腦說話，電腦即可以華台客英語，以聽說讀寫翻譯或是回覆對話。另外，陽明交大也展示以TAIDE對話引擎開發的多語言翻譯功能，可翻譯英、日、印尼、越南語。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20240503_120821-600.jpg" style="width: 600px; height: 450px;" /></p> <p>高雄大學則是展示Kuwa GenAI OS（下圖），為本土開發的開源碼生成式AI應用平臺，搭載TAIDE模型，強調可讓個人或企業在地端執行TAIDE生成式AI應用服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/kuwa-600.jpg" style="width: 600px; height: 444px;" /></p> <p>中興大學則是以農業知識庫開發神農TAIDE，使用者可以發問，例如稻伏發生的原因，系統會從知識庫中快速過濾、摘要，提出發生稻伏的可能原因。另外，臺南大學則是將TAIDE應用在台英語的對話機器人，讓中小學生可透過機器人學習台語。</p> <p>另外，工研院電光所也運用TAIDE，結合Advanced RAG技術，針對鋼鐵的產業知識提供智慧化的問答檢索，例如詢問高爐或電弧爐相關的產業知識：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20240503_110434-300.jpg" style="width: 300px; height: 400px;" /></p> <p>資服業者也開始運用TAIDE，例如叡揚展示企業知識庫，透過語句查詢，快速檢索、摘要可能的資訊，另外，也針對公務人員使用的公文系統，透過生成式AI輔助公務人員生成公文（下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/writing-600.jpg" style="width: 600px; height: 293px;" /></p> <p> </p> </div></div></div>
2024/5/3 17:16作者蘇文彬https://www.ithome.com.tw/news/162663
俄羅斯駭客正在尋找水力設施工控系統的遠端存取破口，美國、加拿大、英國發布警告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月1日美國網路安全暨基礎設施安全局（CISA）聯合該國7個機關、加拿大網路安全中心（CCCS）、英國國家網路安全中心（NCSC-UK）提出警告，<a href="https://media.defense.gov/2024/May/01/2003454817/-1/-1/0/DEFENDING-OT-OPERATIONS-AGAINST-ONGOING-PRO-RUSSIA-HACKTIVIST-ACTIVITY.PDF">俄羅斯駭客為了破壞關鍵基礎設施的運作，正在尋找、入侵不安全的操作科技（OT）環境</a>。</p> <p>該資安公告指出，俄羅斯駭客從2022年就開始鎖定配置不當或不安全的OT設備而來，目的是擾亂關鍵基礎設施的運作，並產生干擾效應，主要是藉由控制工業控制系統（ICS）來達成。</p> <p>雖然這份公告是針對所有關鍵基礎設施而來，但這些機構點名今年傳出美國出現多起水力設施遭到未經授權人士遠端操控HMI的事故，<a href="https://www.bleepingcomputer.com/news/security/us-govt-warns-of-pro-russian-hacktivists-targeting-water-facilities/">資安新聞網站Bleeping Computer認為</a>，這份公告發布的原因，很有可能與<a href="https://www.ithome.com.tw/news/162507">俄羅斯駭客組織Cyber Army of Russia鎖定美國德州、印第安納州水力設施的攻擊行動</a>有關，並指出該組織也疑似對波蘭和法國出手。</p> <p>而對於攻擊者的身分，資安業者Mandiant推測，上述的資安事故，是與俄羅斯軍情機構GRU有關的駭客組織APT44所為。</p> <p>對此，這些機構也對於駭客的攻擊手法進行歸納，指出對方利用VNC通訊協定，並藉由5900埠存取人機互動介面（HMI），從而對OT環境的底層進行竄改，而且，往往是利用預設帳密或弱密碼，且缺乏雙因素驗證（MFA）防護機制的情況下而能得逞。</p> <p>再者，對方也濫用VNC的遠端框架緩衝協定（Remote Frame Buffer Protocol），登入HMI來控制整個OT環境。</p> <p>針對這樣的情況，此聯合公告呼籲這些關鍵基礎設施的IT人員採取行動，利用防火牆來保護HMI不受外部存取，並強化VNC的設置，應套用最新的修補軟體、啟用雙因素驗證、變更預設密碼等措施，來提升OT環境的整體資安防護。</p> </div></div></div>
2024/5/3 16:28作者周峻佑https://www.ithome.com.tw/news/162661
GAI競爭的新戰場
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺上的Google開發者傳教士Amanda Lewis，將喜歡的樂團表演影片的Youtube連結，輸入到服飾店的AI客服Chatbot中，要AI找出主唱身上穿的同款襯衫，AI果然找到了同樣款式但不同花色的衣服，還參考了Amanda Lewis在用戶資料的尺寸資訊，在Chatbot對話視窗中，列出目前有貨的顏色、價格和到貨時間，Amanda選了最快到貨的一款顏色。</p> <p>她改用語音通話模式，向AI客服確認了購物車中的襯衫訂單，AI參考了Amanda的喜好資料和過去消費紀錄，順便推薦了搭配的褲子、短靴，果然是Amanda喜歡的款式，她同意也一起加入購物車，AI算出加上營業稅後的總售價向Amanda確認。Amanda直接在電話中，授權AI取得會員紀錄中的信用卡資料，直接刷卡完成這次購物。</p> <p>這是Google今年Next大會中的其中一段展示，雖然是模擬服飾店，卻是實際用了Google新一代LLM模型Gemini 1.5版，所打造的商店客服Chatbot。這是其中一段，我覺得非常有意思的一段展示。</p> <p>不只是可以用真人口吻對話的AI客服，在這段示範中，AI客服，不只是提供服務的客服窗口，還取得顧客的授權，讀取顧客的個人檔案，進行購物和刷卡。這與過去只會解答問題、查詢資料的Chatbot有很大的不同。AI還能代表顧客來採取行動，這正是生成式AI最新的應用型態，GAI代理（Agent）。</p> <p>不同於對話式的ChatGPT類AI助手，智慧代理人更像是取得使用者授權後，直接採取行動的一隻隻GAI應用程式，就像是一隻隻取得授權的RPA（流程自動化機器人）程式，但是結合了GAI的理解能力，可以更彈性，也更聰明地執行更複雜的任務，就如同Amanda Lewis在臺上的示範，GAI代理可以理解她說的話，完成刷卡來購物。</p> <p>「GAI代理（Agent）將會翻轉開發者、企業與運算裝置和Web的互動的方式。」Google Cloud執行長Thomas Kurian在開場演講中強調。</p> <p>前年底ChatGPT 引爆全球生成式AI浪潮之後，多家科技巨頭在去年紛紛加入了生成式AI技術的競爭，不只推出自家LLM模型，更推出了不同的生成式AI開發工具，從微軟、AWS到Google，都加入了戰局。</p> <p>LLM模型選擇多元化，再加上GAI開發工具紛紛現身，今年掀起了新一波的生成式AI應用爆發潮，許多大企業紛紛開始嘗試生成式AI技術，尋找適合的應用場景，來打造自己的GAI應用，智慧代理人正是眾人看好的GAI應用型態。</p> <p>Thomas Kurian認為，依據代理任務的不同，還可以進一步細分成6大類GAI代理，包括了顧客代理、員工代理、創意代理、資料代理、程式開發代理、資安代理。購物GAI代理就是一種代表顧客行事的顧客代理。</p> <p>Google更把自家的NoCode生成式AI開發工具，從Gen App Builder，改名為Agent Builder，來凸顯自己從AI應用的開發，轉而更聚焦到智慧代理程式Agent的開發。</p> <p>隨著LLM模型的發展，在2023年百花齊放，生成式AI的競爭也從模型卡位戰，進入了GAI生態圈的競爭，科技大廠一方面比誰能支援更多種類的LLM模型，另一方面也推出更容易上手，快速開發各種GAI應用的開發工具，來吸引企業願意採用。</p> <p>到了今年，GAI代理，成了GAI的新競爭場域，Google率先搶進GAI代理開發生態圈的競爭，但不會是唯一一家，接下來，就看其他科技巨頭如何出招了。</p> <p><a href="https://www.ithome.com.tw/article/162607" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1180-feng_mian_p1-open-zhi_hao_-960x420_kao_bei_0.jpg?itok=LyBIWBbf" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/gai%E4%BB%A3%E7%90%86">GAI代理</a></div><div class="field-item odd"><a href="/tags/agent">Agent</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/genai">GenAI</a></div><div class="field-item even"><a href="/tags/google">google</a></div></div></div>
2024/5/3 15:32作者王宏仁https://www.ithome.com.tw/voice/162658
D-Link路由器老舊漏洞遭殭屍網路Goldoon鎖定，將特定型號路由器組成殭屍大軍從事DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Fortinet於上個月發現<a href="https://www.fortinet.com/blog/threat-research/new-goldoon-botnet-targeting-d-link-devices">殭屍網路Goldoon攻擊行動</a>，對方鎖定存在已知漏洞CVE-2015-2051的無線路由器DIR-645，並指出一旦目標設備遭到入侵，攻擊者可得到完整的控制權，並取得系統資訊，與C2伺服器建立通訊，然後發動DDoS攻擊。</p> <p>研究人員指出，根據他們的遙測資料，此殭屍網路的活動頻率於4月顯著增加，為之前的2倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fig02-goldoon-telemetry.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig02-goldoon-telemetry.png" style="width: 580px;" /></a></p> <p>針對駭客使用的漏洞CVE-2015-2051，<a href="https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10051">為9年前被揭露</a>，攻擊者可遠端利用該漏洞，透過家庭網路管理通訊協定（Home Network Administration Protocol，HNAP）介面，透過名為GetDeviceSettings的動作執行任意命令，CVSS風險評分達到了9.8。攻擊者可藉由偽造的HTTP請求，並於標頭嵌入惡意命令來達到目的。</p> <p>究竟攻擊者如何入侵路由器，研究人員並未特別說明，但指出一旦對方成功存取這些設備，就會從特定IP位址惡意程式下載工具（Dropper）指令碼，執行後會自動根據目標裝置的系統架構，下載對應的Goldoon程式，而該檔案執行後，就會下載名為i686-linux-gnu的檔案，並將自己刪除，以防留下證據。針對i686-linux-gnu的功能，就是下載殭屍網路病毒檔案。</p> <p>值得一提的是，上述用來下載殭屍網路病毒檔案的工具，其統一資源識別字串（URI）相當特別，含有特定的標頭，而能取得最終的酬載。若是使用者透過瀏覽器存取，則會出現錯誤訊息，聲稱原因是使用者是FBI探員他們幫不上忙，若不離開將會大開殺戒。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fig07-goldoon-error-message.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig07-goldoon-error-message.png" style="width: 580px;" /></a></p> <p>研究人員分析該殭屍網路病毒，指出必須透過特定參數才會啟動，並建立連線所需參數，並透過WolfSSL程式庫加密流量，將Google的DNS伺服器設為DNS解析器，然後嘗試與C2連線並接收指令。</p> <p>值得一提的是，此病毒可發動的攻擊多達27種，而為了讓該病毒能持續於受害路由器運作，對方也採用了多達10種方式來進行。</p> </div></div></div>
2024/5/3 15:41作者周峻佑https://www.ithome.com.tw/news/162660
微軟4月Windows更新弄壞了VPN連線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-23h2#vpn-connections-might-fail-after-installing-the-april-2024-security-update" target="_blank">微軟本周坦承</a>，於今年4月釋出的Windows更新可能造成Windows裝置的VPN連線失敗。</p> <p>影響到VPN服務的相關更新包括4月安全更新KB5036893，以及4月的非安全性預覽更新KB5036980，根據微軟的說法，只要是安裝4月9日或之後所釋出的更新，都有可能遇到VPN連線失敗的問題。</p> <p>現階段微軟並未說明造成此一情況的原因，僅說正在開發解決方案，會在下一個版本進行修補。</p> <p>受影響的版本包括Windows 10/11，以及Windows Server 2008/2012/2016/2019/2022，涵蓋家用電腦與企業裝置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0503-windows%20update-Known%20issues.png" style="width: 600px;" /></p> </div></div></div>
2024/5/3 14:57作者陳曉莉https://www.ithome.com.tw/news/162657
Dropbox數位簽章服務被駭影響所有用戶，包含曾接過文件的用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端硬碟業者Dropbox昨（2）日<a href="https://www.sec.gov/Archives/edgar/data/1467623/000146762324000024/dbx-20240429.htm" target="_blank">對主管機關美國證管（SEC）會通報</a>，旗下數位簽章服務HelloSign遭駭，影響該服務所有用戶，包括部分用戶金鑰及MFA驗證資訊遭到駭客存取，接收過其簽章文件用戶的電郵信箱恐也外洩。</p> <p>HelloSign是Dropbox 2019年收購的雲端簽核與文件工作流程平臺服務，當時其用戶超過80萬。在收購後，該方案改名為Dropbox Sign。</p> <p>Dropbox是在4月24日獲知Dropbox Sign的營運環境發生非經授權的存取活動。該公司安全回應部門很快終止了事件。經過調查，Dropbox發現攻擊者已存取了這項服務的資訊，影響所有用戶，包括用戶電子郵件信箱、使用者名稱及一般的帳號設定。另有部分用戶的電話號碼、雜湊加密過的密碼及特定驗證資訊，像是API金鑰、OAuth token、多因素驗證（multiple-factor authentication，MFA）資訊。</p> <p><a href="https://sign.dropbox.com/zh-TW/blog/a-recent-security-incident-involving-dropbox-sign" target="_blank">在其官網上</a>，Dropbox進一步說明，即使用戶沒有Dropbox帳號，但曾經接到或以Dropbox Sign簽收文件的用戶，其電子郵件及使用者名稱也會曝光。反過來說，如果用戶曾建立Dropbox Sign或HelloSign帳號，但未設立密碼（即他們是用「Sign up with Google Account」），則沒有密碼曝險的問題。</p> <p>Dropbox說，根據目前調查結果，沒有證據顯示用戶帳號下的內容，像是其文件、合約、範本或是支付資訊遭駭客存取。該公司也認為，事件範圍僅限Dropbox Sign的基礎架構，並不影響Dropbox其他產品的營運環境。</p> <p>該公司已重設用戶密碼、將任何連結Hello Sign的裝置登出，也進行所有API金鑰、OAuth tokens輪換。這家業者說已通報執法機關，會持續調查，事件矯正修復行動也持續進行中，並已開始通知所有受影響的用戶採取必要行動。</p> <p>不過Dropbox並未說明電子簽章服務確切受影響的用戶有多少，或是攻擊者如何存取Dropbox Sign環境。</p> <p>在營運面上，Dropbox相信此事件不會影響整體業務作業，但是他們尚未能評估事件之後對公司財務及營運結果的效應，因為可能會有官司、客戶行為改變以及主管機關的審查。</p> <p>這是Dropbox近年最新一起被駭事件。<a href="https://www.ithome.com.tw/news/108115" target="_blank">2016年媒體發現</a>這家雲端硬碟業者曾在2012年被駭，致使近7,000萬用戶帳密外洩。2022年11月該公司員工被網釣攻擊，<a href="https://www.ithome.com.tw/news/153968" target="_blank">讓駭客存取了</a>130個GitHub程式儲存庫。</p> </div></div></div>
2024/5/3 13:37作者林妍溱https://www.ithome.com.tw/news/162654
蘋果第二季財報出爐，iPhone銷售下滑10%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2024/05/apple-reports-second-quarter-results/" target="_blank">蘋果周四（5/2）公布該公司第二季財報</a>，該季蘋果創下908億美元的營收，年減4%，該季蘋果僅有服務營收呈現成長態勢，所有硬體裝置類別的營收全都下滑，其中，iPhone營收比去年同期下滑10.5%。儘管財報表現不佳，但由於蘋果當天宣布將買回價值1,100億美元的庫藏股，為史上最大規模，使其當天盤後股價上漲了6%，達183.46美元。</p> <p><a href="https://www.apple.com/newsroom/pdfs/fy2024-q2/FY24_Q2_Consolidated_Financial_Statements.pdf" target="_blank">在908億美元的營收中</a>，有669億美元屬於產品營收，下滑9.5%，另有239億美元為服務營收，成長14.2%。</p> <p>該季蘋果所有類別的硬體產品營收全都下滑，iPhone在第一季創下459.6億美元的營收，比去年同期下滑10.5%，Mac營收為74.5億美元，下滑3.9%，iPad營收為55.6億美元，下滑幅度達16.7%，穿戴、家庭及配件營收為79億美元，亦衰退9.6%</p> <p>其實從市場研究機構<a href="https://www.ithome.com.tw/news/162316" target="_blank">IDC日前發布的</a>第一季全球手機出貨量調查報告便可看出端倪，當時IDC發現iPhone出貨量大跌逾9%，三星則僅小幅萎縮0.7%，也讓三星在今年第一季再度成為全球智慧型手機龍頭。</p> <p>至於今年2月才開始於美國出貨的蘋果空間運算設備Apple Vision Pro，則尚未出現在蘋果的財報上，因而無從得知其銷售狀況，不過，蘋果產品分析師<a href="https://www.ithome.com.tw/news/162500" target="_blank">郭明錤先前曾披露</a>，蘋果已將Vision Pro今年的出貨量從70~80萬臺下修至40~50萬臺。</p> </div></div></div>
2024/5/3 13:52作者陳曉莉https://www.ithome.com.tw/news/162655
微軟通行密鑰開始支援消費者帳戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年5月的第一個周四（5/2）為世界密碼日（World Password Day），微軟與Google都在當天發表雙方在推動通行密鑰（Passkey）上的成果。其中，<a href="https://www.microsoft.com/en-us/security/blog/2024/05/02/microsoft-introduces-passkeys-for-consumer-accounts/" target="_blank">微軟宣布</a>開始支援微軟消費者帳戶的通行密鑰，<a href="https://blog.google/technology/safety-security/google-passkeys-update-april-2024/" target="_blank">而Google則說</a>，迄今已有4億個Google帳戶執行逾10億次的通行密鑰身分驗證。</p> <p>Passkey是由一組金鑰組成，其中的公鑰用於註冊網站或App，私鑰則是存放在用戶裝置上，在所登入的服務註冊了Passkey之後，使用者即可利用裝置上的生物辨識功能或裝置PIN碼來登入各式服務，由於它奠基在FIDO 2/WebAuthn標準上，因而得以跨平臺運作。</p> <p>在2022年的世界密碼日上，微軟、Google及蘋果<a href="https://www.ithome.com.tw/news/150793" target="_blank">共同宣布</a>擴大對專門推動無密碼的FIDO（Fast IDentity Online）聯盟的支持，加速無密碼時代的到來，主要使用的就是Passkey。</p> <p>微軟預測，Passkey將幾乎完全取代密碼，且自即日起，所有使用者都可透過Passkey來存取微軟帳戶，不管是利用位於蘋果、Google或Windows平臺上的人臉/指紋辨識或是裝置PIN碼。</p> <p><a href="https://aka.ms/addproof" target="_blank">微軟提供了一個連結</a>以讓使用者替微軟帳戶建立Passkey，倘若使用者是透過iPhone的人臉辨識建立了微軟帳戶的Passkey，那麼之後要在筆電上登入微軟帳戶時，只要以手機掃描微軟所提供的QR Code，接著於手機上辨識人臉，就能直接於筆電上登入。</p> <p>現在使用者已可藉由Passkey登入Microsoft 365及Copilot的網站與桌面程式，未來幾周將擴大至各種微軟行動程式。</p> <p>Google則說，不到一年的時間，就有4億個Google帳戶利用Passkey執行超過10億次的身分驗證，超越了使用者以簡訊一次性密碼或身分驗證程式執行登入的總和。Google強調，以Passkey登入不但可比輸入密碼節省50%的時間，還能有效防範網路釣魚攻擊，很快就會針對進階保護計畫（Advanced Protection Program）用戶導入Passkey。根據外界估計，全球使用者至少已註冊15億個Google帳戶。</p> <p>此外，除了早期採用Passkey的eBay、Uber、PayPal及WhatsApp之外，這一年來開始支援Passkey的業者，還包括GitHub、Amazon、1Password、Dashlane、Docusign、Kayak、Mercari、Shopify與日本Yahoo！等。</p> </div></div></div>
2024/5/3 14:04作者陳曉莉https://www.ithome.com.tw/news/162656
全面擁抱雲端服務，思科資安大轉型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_secure_cloud-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>縱觀整個企業IT市場的發展，資安防護需求長年處於居高不下的狀態，是許多新創公司崛起的熱門領域，也是既有大型廠商的兵家必爭之地，陸續透過自行開發與併購公司等手段，擴充本身的產品與技術實力，然而，要將這些成果整合、簡化成單一解決方案，卻並不容易，於是，我們經常在同一家廠商看到不同產品線山頭林立的狀況，而在這幾年隨著雲端服務的普及，有些廠商開始試著將旗下百花齊放的資安解決方案，納入單一平臺的品牌或概念識別，例如，趨勢科技的Trend Vision One，Check Point的Infinity、Fortinet的FortiGuard與Security Fabric。</p> <p>而對於同時擁有網路與資安產品的思科而言，近期積極推動好幾波轉型整併工程，例如，2020年他們推出新的產品線<a href="https://www.ithome.com.tw/review/138483">Secure X</a>，希望提供開放、雲端原生平臺連結旗下整合的多種資安解決方案，橫跨使用者與端點、雲端、網路、應用系統，提供更簡單、一致的使用體驗，後續也將上述4個領域的部分資安產品與服務，冠上Secure之名，打造可同時囊括這些資安解決方案的平臺，但這條轉型之路並未因此結束，因為接下來他們更積極擁抱雲端服務與AI創新技術，納入更多資安防護產品與服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2021-Cisso SecureX.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-Cisso%20SecureX.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2021-Cisco-SecureX-2-1000x516.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-Cisco-SecureX-2-1000x516.jpg" style="width: 600px;" /></a></p> <h3><strong><span style="color:#0000FF;">兩年多前，思科再度提出資安平臺新願景</span></strong></h3> <p>在2022年6月舉行的RSA全球資安大會上，思科預告將發展橫跨全球、透過雲端服務形式供應的整合平臺，能夠防護與連結各種形式與規模的組織，他們稱之為Cisco Security Cloud，透過這套開放平臺，在不會受到特定公有雲服務業者綑綁的狀態下，能夠防護整個IT生態系的完整性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Cloud-2022-06-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Cloud-2022-06-1.png" style="width: 600px;" /></a></p> <p>思科的目標是實現整合的操作體驗、統一的管理機制、最開放的平臺，提供資安威脅的預防、偵測、應變、矯正能力，而且能夠擴充使用規模，使人員與設備能夠安全連接，並且安全地存取位於任何地方的應用程式與資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-06-Cisco Security Cloud coverage.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-Cisco%20Security%20Cloud%20coverage.jpg" style="width: 600px;" /></a></p> <p>最初宣布這項規畫時，思科提出4大訴求，分別是安全的存取（Secure Access）、安全的邊緣（Secure Edge）、安全的維運（Secure Operations），以及簡化（Simplification）。</p> <p>在安全的存取方面，他們正在發展持續可信任存取技術（Continuous Trusted Access）、基於風險高低判定的身分驗證技術（Risk-based Authentication），以及連線階段信任分析（Session Trust Analysis），並且展示未來將推出的Cisco Secure Access，初期整合旗下的多因素身分驗證（MFA）與單一登入整合（SSO）系統Duo，以及雲端檔案共享服務Box。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Access-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Access-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-06-Cisco Security Cloud IT Policy.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-Cisco%20Security%20Cloud%20IT%20Policy.png" style="width: 600px;" /></a></p> <p>關於安全的邊緣（Secure Edge），思科推出安全存取服務邊緣（SASE）解決方案，名為Cisco+ Secure Connect Now，提供快速部署SASE與便於日常維運的雲端服務代管平臺，用戶可透過統一的儀表板介面進行管理，並且善用訂閱型態的資安服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Edge-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Edge-1.jpg" style="width: 600px;" /></a></p> <p>在安全的維運（Secure Operations）層面中，思科提出4種解決方案，包含：（1）可針對不同組織，提供個別訂製網路威脅情報的服務Talos Intel On-Demand；（2）具有自動提報警示至SecureX、且能對應至MITRE ATT&CK框架的Cisco Secure Cloud Analytics，（3）SecureX平臺正式提供Device Insights分析功能，可針對環境當中的設備資料，進行匯聚、交互關連、正規化等處理，並且整合弱點管理系統Kenna，以及端點安全系統Secure Endpoint，提供更完善的弱點優先順序管理；（4）Secure Firewall 3100系列，支援員工混合辦公模式的工作新常態，配備新的加密流量透視引擎，可運用AI與機器學習偵測潛藏的威脅。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Operation-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Operation-1.jpg" style="width: 600px;" /></a></p> <p>而在簡化（Simplification）的作法，思科祭出兩種解決方案。一是推出新的Secure Client，預計2022年中統合旗下一半資安產品與服務的各種代理程式，當中將涵蓋AnyConnect、Secure Endpoint、Umbrella，後續會再加入其他代理程式；另一是透過雲端服務的形式提供網路防火牆管理主控臺Secure Firewall Management Center，透過Cisco Defense Orchestrator的幫忙，整合雲端與內部環境的防火牆管理。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Simplification-1-2022-06.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Simplification-1-2022-06.jpg" style="width: 398px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Simplification-2-2022-06.jpg" style="width: 198px;" /></p> <p>針對開放資安平臺的打造，思科強調Cisco Security Cloud將具備5大特色。首先是雲端原生與多雲，橫跨混合辦公環境，安全連結使用者、裝置、物聯網，以至系統、應用程式、資料，提供最佳效能與天衣無縫的操作體驗，使資安更靠近使用者、資料，以及應用程式。</p> <p>第二是統一，整合的核心功能將涵蓋政策管理、管理主控臺、儀表板，提供更完善、貫穿所有環節的資安防護效率。</p> <p>第三是簡化，透過整併多種端點代理程式，減少使用者與IT人員的瑣碎工作，持續聚焦在用戶體驗改良。</p> <p>第四是基於AI或機器學習驅動各種功能，思科多種產品在保護各種設備與網路時，會獲取大量遙測資料，未來資安整合平臺可運用這些內容提升偵測、修改、自動化處理能力，改善本身的效率。</p> <p>第五是開放、可延伸更多功能應用，思科會提供用於整合的API，廣泛支援開發者生態系與市場需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-06-Cisco Security Cloud segment.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-Cisco%20Security%20Cloud%20segment.png" style="width: 600px;" /></a></p> <h3><strong><span style="color:#0000FF;">資安雲逐漸成形，思科持續新增與強化功能</span></strong></h3> <p>到了2023年2月舉行的Cisco Live! Amsterdam大會，思科揭露Cisco Security Cloud最新進展，當中涵蓋零信任、應用程式安全、安全連線（Secure Connectivity）等3大重點。</p> <p>零信任方面，Duo在基於風險高低判定的身分驗證技術上，首先，使用者可透過已知裝置（Remembered Devices）、Wi-Fi Fingerprint等功能，憑藉熟悉的應用程式、裝置、網路，即可維持在登入狀態，系統不需收集個人資料或所在地區的資訊；第二，為了強化抵禦網路釣魚攻擊的能力，Duo提供「可驗證的訊息推送（Verified Push）」功能，一旦發現用戶行為可能處於已知的攻擊模式之中，系統會要求輸入一段代碼，而不非僅用按鈕的動作確認身分；第三是擴充單一登入整合的功能，能透過通知提醒使用者在密碼過期之前進行重設。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-02-Cisco Live Security1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-Cisco%20Live%20Security1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-02-Cisco Live Security2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-Cisco%20Live%20Security2.jpg" style="width: 298px;" /></a></p> <p>關於應用程式安全，思科在專攻此用途的解決方案Full-Stack Observability（FSO），增設「業務風險狀態呈現（Business Risk Observability）」的功能，可透過整合可觀測性平臺AppDynamics的Cisco Secure Application，提供業務風險評分的機制，當中也結合Kenna Risk Meter風險評分系統、AppDynamics的Business Transactions應用程式監控元件、API安全系統Panoptica，以及Talos網路威脅情報服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-02-Cisco Live-Business Risk Observability.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-Cisco%20Live-Business%20Risk%20Observability.jpg" style="width: 600px;" /></a></p> <p>至於安全連線方面的應用，是指思科正式推出主打單一廠商特色的SASE解決方案Cisco+ Secure Connect，可延伸支援Viptela這套SD-WAN，能涵蓋該公司的SD-WAN交織網路，以及他們旗下的多種雲端安全服務，提供從任何地方存取任何系統與服務的安全管道。</p> <p>6月初舉行的Cisco Live! 2023大會，思科接續發布Cisco Security Cloud最新突破。在安全存取與安全連線方面，他們的SSE解決方案Cisco Secure Access正式成軍，7月開放部分使用，10月全面上線，特色在於提供通用的應用程式與IT資源存取體驗，單一、基於雲端服務來進行管理的主控臺，並且能夠更快偵測資安威脅與進行應變、調查（背後整合Talos網路威脅情報服務）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Cisco%20Secure%20Cloud-1.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Cisco%20Secure%20Cloud-2.jpg" style="width: 600px;" /></p> <p>第二項進展是生成式AI的應用，Cisco Security Cloud預先展示這方面的功能，思科將提供Policy Assistant與SOC Assistant。</p> <p>資安政策助手預計今年稍晚推出，可用於描述細部資安政策的內容，並協助評估如何跨越資安基礎架構的不同層面進行實作，初期將搭配思科的AI Assistant技術，能夠評估、產生更有效率的網路防火牆政策，也能運用企業與組織在Cisco Secure Firewall Management Center既有的政策，來進行這些設定管理工作，目標是在不犧牲細部控制能力的狀態下，可以實現更高的使用效率。</p> <p>至於SOC助手，在2023年4月底召開的RSA大會期間，思科首度揭露概念，而對於6月自家用戶大會介紹的特色，預計在會計年度結束提供，其餘功能在2024年上半供應。</p> <p>這項AI輔助機制如何會展現？思科表示，一旦發生資安事故，SOC助手會跨越電子郵件、網頁、端點、網路等環境，已知的所有事件的前後脈絡整理出來，然後告訴SOC分析人員確切發生的狀況與影響，接著這些人可在AI助手的陪伴之下，進行互動與推論，並運用可延展內容的潛在處理動作知識庫，以及將分析人員輸入內容考慮在內的資訊，去決定最適合的矯正方法。</p> <p>Cisco Security Cloud的第三項重點，落在混合辦公的網路安全防護。思科推出新款網路防火牆<a href="https://www.ithome.com.tw/review/158775">Secure Firewall 4200系列</a>，以及Secure Firewall作業系統軟體Firewall Threat Defense（FTD）的7.4版，提供進階的效能與使用彈性，強化密碼學處理的加速、叢集系統與模組化的支援，預計9月全面供應Secure Firewall 4200系列，12月會針對其餘機型提供7.4版作業系統。</p> <p>同時，思科也宣布推出多雲安全防護服務<a href="https://www.ithome.com.tw/review/157920">Cisco Multicloud Defense</a>，可橫跨四大公有雲環境，透過SaaS服務型態實施單一、即時套用的政策控管。</p> <p>最後一個資安防護層面是應用程式安全。思科在雲端原生應用程式防護解決方案Panoptica，提供雲端安全態勢管理（CSPM）的新功能，預計秋季提供，可協助持續遵循雲端安全的政策，以及隨著雲端服務使用規模的擴大而能執行對應的狀態監控。</p> <p>Panoptica也將配備新的攻擊路徑分析引擎，能夠運用圖學資料處理技術，執行進階的攻擊路徑分析，協助資安團隊面對整個雲端基礎架構時，可以快速識別與矯正潛在的威脅。</p> <p>同時，Panoptica還能整合思科的Full Stack Observability產品線，即時呈現業務風險的優先處理順序，協助資安與開發團隊掌握現況、具有控制能力，以及處理的知識與經驗，進而保護動態的雲端應用程式與基礎架構。</p> <h3><strong><span style="color: rgb(0, 0, 255);">思科</span></strong><span style="color:#0000FF;"><strong>資安雲開始明確提供3大解決方案套餐</strong></span></h3> <p>在2023年10月底舉行的Cisco Security Summit線上座談會之後，思科將旗下資安產品聚焦在三大應用案例：改善資安效率、強化使用者體驗，以及加速投資回收，並且普遍地結合零信任的原則，能夠提供使用者優先的體驗而不會犧牲安全性，目前已彙整成三種產品套餐，包含使用者防護（User Protection Suite）、雲端防護（Cloud Protection Suite）、外洩防護（Breach Protection Suite）。 </p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Security Suites-2023-H2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Security%20Suites-2023-H2.png" style="width: 600px;" /></a></p> <p>User Protection可用於協助使用者安全地從任何地方進行辦公，當大家存取SaaS、企業內部應用程式、通訊工具與其他業務資源時，可以獲得更有生產力的工作體驗，能夠免於受到網路釣魚、惡意軟體、身分盜用，以及勒索軟體等攻擊。</p> <p>Cloud Protection可用於混合雲與多雲環境，提供地端與雲端之間的互動存取防護，當中將整併多個控制點，提供能夠普遍觀照全局的能見度，並且可以降低風險。</p> <p>此項資安解決方案套餐本身內含動態框架，可適用於企業內部環境與雲端環境，提供因應資安威脅的情報，並透過減少攻擊面與保護全部的應用程式、工作負載，協助持續改善資安態勢。</p> <p>Breach Protection能夠運用基於資料、AI驅動的防護機制、整合第三方廠商的資安解決方案，使SOC分析人員快速偵測與因應各種進階威脅，像是勒索軟體、內部威脅、未知惡意軟體，以及資料外洩，提供加速應變的能力，以及簡化的操作體驗，從而處理複雜的資安威脅。</p> <p>舉例來說，企業能藉此橫跨電子郵件、端點、網路、雲端等多種環境，掌握整體資安能見度，並且進行相關的控制，從而強化威脅偵測與提升資安維運處理的流暢。</p> <p>關於套餐競爭優勢，思科在今年2月強調，最明顯的好處是透過單一供應商、單一產品編號（PID）或存貨單位（SKU）的形式，而且，套餐的授權計價結構很單純，是以每個使用者來估算，能夠更方便地因應所有重要客戶的聯繫與安全需求，提供完整功能。</p> <p>而且，相較於需同時面對多家供應商與不同類型的解決方案，思科在此實作的產品與技術整合機制，可大大降低複雜度，有效提升能見度與控制能力，進而強化監控與管理效率，帶來更理想的用戶體驗、增加用戶黏著度，對於採用思科套餐的資安代管服務業者（MSSP）而言，也能提升自身獲利能力與利潤。</p> <p>除此之外，對比於個別訂購產品，資安代管服務業者若能採用思科供應的單一套餐，思科宣稱成本可節省53％，因為可簡化採購流程、初始設定、整合、管理設定、技術支援，以及產品更新等工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-02-Cisco%20Security%20Cloud-overview.jpg" style="width: 600px;" /></p> <h3><span style="color:#0000FF;"><strong>事前預防：思科針對不同地點、用各種裝置的使用者，提供防護</strong></span></h3> <p>首先思科主推的資安雲方案是保護「使用者」相關面向的套餐，當中涵蓋的產品線，主要有Duo、Secure Access、Secure Email Threat Defense、Secure Endpoint，可針對身分認證（MFA）、應用程式與網路存取（SSE）、電子郵件，以及端點裝置使用（桌上型電腦、筆電、工作站、伺服器）等各個環節，協助企業與組織獲得這個防護層面的能見度與安全性保障。</p> <p>User Protection可選用2種服務層級：Essentials、Advantage，前者囊括的產品有Duo、Secure Access、Secure Email Threat Defense，後者額外提供Secure Endpoint。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-02-Cisco%20User%20Protection.png" style="width: 600px;" /></p> <p>以存取防護而言，思科可在員工存取應用程式或網際網路時，提供安全、高度整合而流暢的操作體驗，無論他們使用任何裝置、這些裝置屬於列管或非列管狀態，以及從內部網路、分支辦公室、家庭或其他地方連入，均可適用，這個套餐會協助管理過程中的每一個部分，無論是連至應用程式、進行身分認證獲得許可，並且提供環繞在使用者體驗的洞察分析，也能透過雲端服務的形態，輕鬆提供這些功能的使用。</p> <p>針對不同安全連線技術的使用，思科User Protection標榜能順利進行處理這些狀況，減少無謂的操作，例如，用於遠端存取時，可使用VPN、ZTNA的架構，而面對多種遠端網路與雲端服務應用程式的存取時，可提供單一登入整合（SSO）。在此同時，思科也結合基於風險評估而成的身分認證AI引擎，能夠辨識各種受到信任的狀況，人員工作時須頻繁進行身分認證的次數，得以有效減少，而當明確的身分認證受到批准，搭配思科的無密碼身分認證，可大幅簡化驗證程序，例如，只需用手指碰觸指紋辨識器或插上YubiKey這類行動身分驗證裝置。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20laptop-alpha-user-protection-paper.jpg" style="width: 600px;" /></p> <p>在應用情境的涵蓋上，思科User Protection可協助企業與組織驗證各種類型的裝置，無論是單位列管、開放自帶裝置（BYOD），或是通過內部安全查核而註冊、經由第三方安全查核而註冊，可涵蓋企業、約聘人員、合作廠商等類型使用者，均能以密碼學的防護處理，將使用者與裝置進行綁定，協助推展零信任策略，並且依各自需要的步調進行，提供零摩擦的存取體驗。</p> <p>對於可能受到攻擊的層面（Attack Surface）的掌握，思科本身具有服務30萬個客戶的Talos Intelligence網路威脅情報平臺，每天處理5千5百億起資安事件與280萬個惡意軟體樣本，而基於這樣龐大的遙測能力，可持續識別風險與改善企業、組織的資安態勢，思科User Protection均可整合到用戶環境當中，減少可被攻擊的弱點、增進保護，並支援不同使用者、應用程式、裝置的應用。</p> <p>在使用者存取系統、應用程式、網路服務的行為上，思科User Protection可協助改善能見度與控管能力，減少各自獨立、互不相通的資訊孤島存在。企業與組織能透過這樣的共同平臺，解決各個環節出現的問題，限制員工擅自使用各種工具狀況的擴散，降低系統管理的複雜度與日常負擔，同時，也可以簡化購買與管理這些工具的流程，透過當中提供的儀表板介面，促進作業順暢度，並且支援日益精簡的IT與資安人力，而得以在減少維運成本之餘，使整個團隊的運作更有效率、透過更有戰略的方式來推動各種業務進行。</p> <h3><span style="color:#0000FF;"><strong>事中偵測與應變：思科簡化資安維運作業與提升事故處理速度</strong></span></h3> <p>為了因應持續進化的網路攻擊手法，思科推出Breach Protection Suite套餐，提供廣泛理解各種侵襲模式的解決方案，因為當中可透過即時對應MITRE ATT&CK框架的方式，掌握觀察到的敵對行為所屬的戰略、伎倆及程序（TTPs）。</p> <p>思科表示，Breach Protection可選用3種服務層級：Essentials、Advantage、Premier（2024年之後新增），能分別滿足不同規模組織的需求，提供一系列防護機制，確保能完整涵蓋這個範圍的資安控管。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-02-Breach%20Cloud%20Protection.png" style="width: 600px;" /></p> <p>首先是基礎型解決方案Breach Protection Essentials，裡面結合電子郵件安全防護Secure Email Threat Defense、端點偵測與應變系統（EDR）Secure Endpoint Advantage、延伸偵測與應變系統（XDR）XDR Essentials，提供可立即使用的產品與服務包裝。</p> <p>思科之所以這樣的搭配，主要是因為絕大多數的網路攻擊，仍舊利用網釣郵件來傳遞濫用端點系統漏洞的惡意軟體，或透過端點應用程式、以寄生攻擊（Living-Off-the Land，LOL）的方式，有些會趁機提升可執行的權限，植入與維持惡意軟體的存在，有些則是經由橫向移動的方式，設法搜刮內部網路的各種數位資產（traverse laterally），對此Breach Protection Essentials的威脅偵測與應變機制，可處理上述的網路攻擊類型，以及Wizard Spider、Sandworm這類駭客團體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%202023-05-XDR-zesxrdctfvyg.jpg" style="width: 600px;" /></p> <p>若有進階防護需求，思科提供Breach Protection Advantage等級的解決方案，可涵蓋每個企業與組織可能面臨的所有網路攻擊，尤其是針對同時擁有IT、OT、IIoT的複雜環境，或是BlackTech、Volt Typhoon、Jaguar Tooth這類國家級駭客發動的精密攻擊。這個套餐結合網路型資安防護技術，能偵測位於雲端與企業內部環境的基礎架構威脅，能照應當前資安業界已知的所有網路攻擊類型。這個層級的Breach Protection套餐，同樣提供電子郵件安全防護Secure Email Threat Defense，端點偵測與應變系統搭配進階的Secure Endpoint Premier、延伸偵測與應變系統搭配進階的XDR Advantage，再加上Secure Network Analytics（前身為Stealthwatch）、Telemetry Broker，提供可立即使用的產品與服務包裝。</p> <p>對於想要獲得上述所有防護、本身卻沒有足夠資安人力，或是想要完全將SOC委外的企業與組織而言，思科供應的解決方案是Breach Protection Premier，可協助管理資安維運作業，或是將代管的多種資安服務包裝起來，從中負責保管事故因應的相關資訊，提供滲透測試服務、執行紅隊／藍隊／紫隊組建服務，以及代為處理威脅的偵測與應變工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Security%20Suites-2024-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E6%80%9D%E7%A7%91.jpg" style="width: 600px;" /></p> <p>而在套餐組成方式上，Breach Protection Premier搭配更多解決方案，不僅具備Breach Protection Essentials、Breach Protection Advantage這兩個層級的產品陣容，也提供代管延伸偵測與應變服務（MDR）、資安事故應變服務Talos Incident Response，以及資安態勢評估服務Technical Security Assessment。</p> <p>值得注意的是，Cisco Breach Protection Premier也適用於目前已採用第三方資安產品的企業與組織，可獲取同樣的技術成果。不過，思科也表示，若選用這個套餐，企業與組織能得到很大優惠的財務使用條款與總體持有成本，而不需要處理接合多家第三方廠商解決方案，以及透過多種主控臺進行管理的問題。</p> <h3><span style="color:#0000FF;"><strong>因應企業大規模採用混合雲與多雲架構，提供全面資安防護</strong></span></h3> <p>隨著企業上雲的潮流勢不可擋，如何在單雲、多雲、混合雲等不同環境確保資安，成為整體防護規畫的大難題，此時雖然能支援快速的應用程式開發與部署，但日常營運會面臨許多挑戰，例如，可受到攻擊的層面擴大、系統運作與資安狀態的能見度喪失，以及IT資源的不足。對此，許多資安廠商都呼籲，從開始上雲之際，就要採用涵蓋各種網路威脅的防治，且內建資安防護的單一解決方案，並且搭配使企業與組織得以安全穩定成長的框架。</p> <p>對於思科而言，他們目前可提供多面向的防護方法，結合彼此互補的解決方案，有助於減少攻擊面、保護在不同位置執行的應用程式，簡化在多雲、混合雲環境進行資安維運工作的複雜度，並幫助資安團隊獲得合適的資源而達到目標，促使企業與組織的業務成長。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-02-Cisco%20Cloud%20Protection.png" style="width: 600px;" /></p> <p>而在Cloud Protection套餐當中，思科表示，將會提供單一操作介面，用於橫跨多種雲端環境的管理與部署資安控制。IT人員只需編寫一次控管原則，運用這套解決方案內建的自動化處理與調度指揮，即可將這條政策部署到4大公有雲業者的服務，如此能大幅減少因為管理雲端網路安全而衍生的常態作業成本開支，以及教育訓練負擔。</p> <p>同時，Cloud Protection本身採用中立而非專屬特定雲端平臺的技術，可抑制搭配工具數量增加的狀況，提供能夠彈性使用的框架，而能在不同環境保護各種工作負載執行的應用程式。之後，企業與組織就能快速登記新的雲端服務帳號，以便合併或新增更多業務，並以此確保可以遵循整體資安的要求。</p> <p>除此之外，Cloud Protection也能整合到應用程式的開發與部署流程，促使這些系統建置的初期，就已內建資安防護。目前，思科預設提供超過100種API與整合機制，可輕鬆嵌入既有或新設的系統與數位資產，後續對於存在其中的資安弱點與攻擊面，能夠做到更深入的掌控。</p> <p>關於解決方案的組成，思科Cloud Protection目前匯集多種產品與技術，統合在單一框架，企業目前可選用2種服務層級：Essentials、Advantage，前者包含的產品，有Multicloud Defense（前身為Valtix）、Secure Workload（前身為Tetration）、Vulnerability Management（前身為Kenna.VM），後者額外提供Cloud Application Security（前身為Panoptica），以及Attack Surface Management（前身為Cisco Secure Cloud Insights）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Cloud Workload-467712-圖片來源-思科.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Cloud%20Workload-467712-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E6%80%9D%E7%A7%91.jpg" style="width: 600px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E4%BC%81%E6%A5%AD%E7%B4%9A%E8%B3%87%E5%AE%89%E5%A4%A7%E5%9E%8B%E8%A8%82%E9%96%B1%E6%9C%8D%E5%8B%99">企業級資安大型訂閱服務</a></div><div class="field-item odd"><a href="/tags/cisco-securex">Cisco SecureX</a></div><div class="field-item even"><a href="/tags/cisco-security-cloud">Cisco Security Cloud</a></div></div></div>
2024/5/3 12:25作者李宗翰https://www.ithome.com.tw/tech/162652
HPE Aruba修補網路設備作業系統危急漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月30日HPE Aruba Networking發布4月份資安公告，<a href="https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2024-004.txt">指出其網路設備作業系統ArubaOS存在10個漏洞</a>，影響Mobility Conductor（原Mobility Master）、Mobility Controller，以及由Aruba Central雲端控管的WLAN閘道、SD-WAN閘道等設備，且皆與透過PAPI通訊協定存取有關，攻擊者無須通過身分驗證就有機會觸發。</p> <p>其中，有4個漏洞：CVE-2024-26304、CVE-2024-26305、CVE-2024-33511、CVE-2024-33512被列為危急等級，皆為未經身分驗證的記憶體緩衝區溢位漏洞，CVSS風險評分都達到了9.8分。一旦遭到利用，攻擊者就有機會以特權使用者的身分，於作業系統底層執行任意程式碼。</p> <p>而這些漏洞涉及的元件，則有所不同。CVE-2024-26304與L2及L3的管理服務有關，而CVE-2024-26305則是出現在Utility處理程序，至於CVE-2024-33511為自動報告服務的弱點，而CVE-2024-33512，則在本機使用者身分驗證資料庫發現。</p> <p>對此，HPE Aruba Networking發布8.10.0.11、8.11.2.2、10.4.1.1、10.5.1.1、10.6.0.0版ArubaOS予以修補，並指出已終止維護的6.5.4至10.3版ArubaOS，以及8.6.0.4-2.2.x.x至8.7.0.0-2.3.0.x版的SD-WAN網路設備作業系統，也存在上述漏洞。</p> </div></div></div>
2024/5/3 11:59作者周峻佑https://www.ithome.com.tw/news/162653
LastPass完成自母公司GoTo分拆獨立
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>密碼管理服務業者<a href="https://www.businesswire.com/news/home/20240501835392/en/LastPass-Completes-Journey-to-Become-an-Independent-Company-with-Enhanced-Cybersecurity-Focus-and-Executive-Leadership-Team" target="_blank">LastPass宣布</a>已完成自母公司GoTo切割，成為一家獨立公司。</p> <p>LastPass表示，這是原名為LogMeIn的母公司GoTo履行它之前的承諾。<a href="https://www.logmein.com/zh/newsroom/press-release/2021/logmein-set-to-establish-lastpass-as-an-independent-cloud-security-company-amid-strong-market-demand" target="_blank">LogMeIn 2021年底宣布</a>將把LastPass分拆出來，以便公司能專注密碼安全服務發展。隨後2022年初LogMeIn<a href="https://www.logmein.com/zh/newsroom/press-release/2022/newly-rebranded-company-goto-disrupts-the-it-support-landscape-with-goto-resolve-a-new-modern-it-management-product-built-for-today-s-flexible-workforce" target="_blank">將公司改名為GoTo</a>，專門開發企業協同產品。</p> <p>獨立出來的LastPass將由既有持股的私募基金集團成立的LMI Parent公司管理，總部位於GoTo所在的波士頓。LastPass並將成立自有團隊和基礎架構。LastPass執行長仍為原來的Karim Toubba，另新增產品長、行銷長和資訊長。此外該公司也將成立專門的威脅情報團隊，提供鎖定LastPass、客戶的威脅活動之監控、分析及緩解。</p> <p>雖然LastPass強調是因應消費者及企業客戶強勁需求而獨立，不過可能先得重建客戶信心。2022年中LastPass<a href="https://www.ithome.com.tw/news/152730" target="_blank">公布被駭</a>，被竊取程式碼和技術資訊，但隨後「擠牙膏」式地透露消息，<a href="https://www.ithome.com.tw/news/155264" target="_blank">最後證實</a>連用戶密碼備份和加密金鑰也被駭客存取，並讓用戶接下來一年內接連遭遇攻擊。LastPass也因此被用戶<a href="https://www.ithome.com.tw/news/155011" target="_blank">集體控訴</a>告上法院。</p> </div></div></div>
2024/5/3 08:57作者林妍溱https://www.ithome.com.tw/news/162650
Google雲端AI新戰略
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1180-feng_mian_p1-open-zhi_hao_-960x420_kao_bei_0.jpg?itok=LyBIWBbf" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在4月Next大會中，Google Cloud一口氣發表眾多新產品和功能，幾乎都圍繞去年底多模態Gemini展開，還引進更強大、支援超長文本的模型版本，更要將雲端GAI觸角向下延伸到邊緣，瞄準下一個企業AI應用新戰場</p> </div></div></div>
2024/5/3 09:17作者余至浩https://www.ithome.com.tw/article/162607
Gemini為核心，Google雲端AI戰略聚焦雲服務和生產力GAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「GAI代理（Agent）將會翻轉開發者、企業與運算裝置和Web的互動的方式。」Google Cloud執行長Thomas Kurian在今年Next大會開場時這樣強調，不分產業，企業紛紛利用生成式AI推動業務成長、增強用戶體驗，以及改善開發者生產力和提升IT維運效率，「許多行業正因為GAI而開始改變。」</p> <p>過去一年，企業GAI應用的風潮席捲全球，成了三大公雲積極搶攻的新戰場，微軟靠著OpenAI助攻，去年在這場雲端GAI大戰中取得先機，而Google後來居上，靠著自家PaLM模型和GAI生產力工具來迎戰，AWS則是到去年底年會上，對於企業GAI應用布局才有比較完整的布局與揭露。</p> <p>Google在生成式AI布局動作頻頻。去年8月的Next大會成了Google生成式AI的火力展示，更是對微軟Copilot戰略的反擊。進到2024年，Google更加快GAI產品發布和更新的腳步，積極布局新一代企業生成式AI建置需求。</p> <p>在今年的Next大會上，Google Cloud執行長Thomas Kurian在開場時強調，今年的策略將聚焦於加速企業業務和產業數位轉型，他同時也揭露了在AI布局的多項成果，其中包括不到一年，已有上百家主要企業都已經開始在內部應用中採用Gemini，包括了麥當勞、德國銀行、HCA健康、USS、Mayo Clinic醫療機構等，在今年大會期間，更舉辦超過300場企業GAI應用實例，涵蓋金融業、零售業、醫療業、製造業等。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Vertex AI和各種雲端服務中開始引進新一代Gemini 1.5模型</strong></span></span></p> <p>Google在今年2月發表性能更強大、能夠支援超長文本的Gemini 1.5多模態模型，更成為今年Next最受囑目的焦點。</p> <p>在Next大會，Google將這款最新版Gemini模型上架到生成式AI開發平臺Vertex AI的模型花園中，Gemini 1.5模型不僅可同時支援文字、圖片、影片、聲音及程式碼的輸入，而且在Token處理數量上也比1.0版多出了31倍，甚至比GPT-4 Turbo高出7.8倍，最多可支援輸入長達100萬個Token，相當於一次能處理1小時的影片、11小時的音訊或逾70萬字的內容。</p> <p>Vertex AI先提供了中階款模型Gemini 1.5 Pro的公開預覽，並推出兩個不同規模的版本，分別能處理12.8萬個和100萬個Token數量的資料。Google強調，Gemini 1.5 Pro模型在輸出品質上足以媲美前一版最高階Gemini 1.0 Ultra模型，同時能減少運算量。</p> <p>Gemini 1.5 Pro還支援處理語音音訊串流和視訊的音訊，並具備跨模態分析功能，能夠同時分析文字、圖片、視訊和音訊等不同類型的資料，此外，提供高品質的轉錄功能，可用於搜尋和分析。例如，可以使用Gemini 1.5 Pro對財報電話會議或投資人會議影片或錄音進行搜尋、分析和回答問題。</p> <p>目前已有United Wholesale Mortgage、SAP、TBS、Replit等企業開始在Vertex AI平臺上使用新版模型建立新的AI應用，包含AI驅動的顧客服務代理、學術指導導師，還能用AI分析大量複雜的財務文件、檢測文件中資訊不一致，以及用自然語言進行資料集的探索。</p> <p>最新的Gemini 1.5 Pro，現在也能在Gemini Cloud Assist雲端助手服務中以私人預覽方式提供，一次可以輸入最多30萬行的程式碼，意味著，可以在程式庫中執行大規模程式碼檢索、除錯及測試，亦有助於加快企業許多老舊系統的現代化改造，將大批老舊程式語言轉為現代語言。Google Cloud平臺與技術基礎架構總經理Brad Calder強調，Gemini程式開發AI助手讓開發人員的工作效率因此提高30%。</p> <p>在Next大會上，Google提出了5種企業上雲轉型的新路徑，可從五種雲端服務類型開始上雲，分別是基礎架構雲、開發者雲、數據雲、資安雲、協作雲。Google也將最新Genini模型整合到這幾類雲服務中，像是協助回答問題，提供AI預測等。</p> <p>以基礎架構雲為例，Google開始在企業資料中心部署的GDC分散式邊緣設備上提供各種開放AI模型，如Gemma、Llama等，並推出生成式AI搜尋支援功能，讓使用者可以透過自然語言搜尋從本地資料中心或邊緣環境上快速檢索和分析內部相關的資料和內容，從而提高員工工作效率和知識共享。</p> <p>Google更推出了多項基礎架構的技術創新，可以用來支持龐大AI發展的需求，像是正式推出新版的TPU v5p，還推出A3 Mega、Nvidia Blackwell GPU運算平臺，支援大規模的GAI模型訓練與推論。Google更展示首款專為資料中心設計的Arm架構處理器Axion，跟同級的x86虛擬機相比， Axion效能提高了50%，能源效率也提升60%，未來有可能將其與TPU一同用於GAI模型服務。目前這款處理器已在Spanner、BigQuery、GKE、Google地球引擎和YouTube廣告服務中使用。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1180-%E5%B0%81%E9%9D%A2-600-3.png" style="width: 584px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>在雲端應用生命周期管理上，Google推出名為Gemini Cloud Assist的雲端維運助手的私人預覽，也就是先前專用於IT維運設計的Duet AI助手進化版，不只採用最新Gemini模型，能夠涵蓋應用程式生命週期的管理，提供包括目標設計、安全、維運指導、故障排除等多方面輔助功能。另外提供效能和成本優化的建議。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／余至浩）</span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Google公布新生成式AI產品架構</strong></span></span></p> <p>Google Cloud在會中提出一個生成式AI產品架構藍圖，將生成式AI產品架構從過去生成式AI開發工具為主的開發架構，變成是擴大延伸到各種雲端服務的產品架構。</p> <p>這個產品技術框架可以進一步分為4層，雖然和過去生成式AI開發平臺Vertex AI都是4層架構，但兩者在本質上有很大的差別。新架構最底層是AI Hypercomputer超級電腦基礎架構，專門針對生成式AI強化推出的基礎架構，提供AI模型訓練和服務所需的各種AI加速硬體、軟體框架和相關系統資源，與Vertex AI的底層是以一般性的雲端基礎架構為主有所不同。</p> <p>再上一層是Gemini模型。原本Gemini只是Vertex AI模型花園中的一個模型，現在被拆分出來，成為與Vertex AI開發工具並重的另外一個重要的功能。這是因為Gemini模型已經變成支援Google Cloud所有產品的重要核心基礎模型。第三層是生成式AI平臺Vertex AI，包含了AI Studio、Colab、VS Code等各種GAI開發工具。最上層則是Google雲端服務和辦公生產力Workspace專用的Gemini助手，以及企業自建的生成式AI代理。</p> <p>新產品架構下的Vertex AI平臺，現在進一步加強企業GAI 代理開發的支援。</p> <p>例如在模型建置上，Google將Google搜尋作為可信來源的參考基準，推出Grounding with Google Search新服務，利用Google搜尋結果比對模型生成的內容，藉此提高回應品質並減少幻覺。在模型微調方面，Vertex AI提供簡化提示設計，讓開發者更容易撰寫出高品質的提示，並推出新提示管理工具，可用於管理、追蹤，比較不同提示版本的回應品質。此外，模型部署到正式環境前，開發人員也能利用新的模型評估機制AutoSxS比較兩個LLM模型版本的差異對於最後模型推論的影響，以此選擇最佳模型版本用於生產環境。</p> <p>Google這次推出了一站式AI解決方案，稱作Vertex Al Agent Builder，該方案進一步結合「搜尋」和「對話」兩類GAI應用套件，能快速在企業內部應用建立和部署No Code對話式生成式AI代理，且可與企業系統相連接，讓生成的回覆內容可以貼近企業的實際情況。</p> <p>Thomas Kurian指出，企業在Vertex AI中可以快速自建GAI代理，來執行不同任務，像是有顧客服務的AI代理、員工管理的AI代理，還有創意設計、數據分析、程式撰寫和資安等不同的AI代理。「每一個GAI代理都具有多模態執行能力，能夠同時處理多種資訊。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1180-%E5%B0%81%E9%9D%A2-600-1.png" style="width: 589px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Google公開了最新的TPU模組機架式機櫃（左圖）和雲端GPU機櫃（右圖），用來提供包含Gemini在內的GAI模型訓練和服務。每臺TPU模組機櫃最多可容納64個TPUv5p模組。</strong><span style="font-size: 14px;">（攝影／余至浩）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>雲端AI維運助手不只提供雲成本優化的建議，還支援目標驅動設計</strong></span></span></p> <p>Google今年雲端產品發布中另一個重要焦點，著重在加強其雲端服務GAI整合能力，與去年剛推出時相比，現在在Google雲端服務中不僅可以使用GAI助手完成更多任務，進一步也將其擴大到更多的服務中。</p> <p>Google今年開始以生成式AI助手Gemini為品牌，應用在各種雲端服務中，推出軟體開發AI助手、應用生命周期平臺的AI維運助手、資料分析平臺的AI分析助手，BI平臺的AI洞察助手，資料庫的A管理助手，以及資安的AI防護助手。</p> <p>AI維運助手的最大特色是，引進最新Gemini模型，涵蓋應用程式生命周期的維運管理。</p> <p>例如，AI維運助手現在能支援目標驅動設計的功能，讓維運人員可以用自然語言描述建立待測試的目標和使用者旅程流程，進而產生自訂的測試腳本，根據需求進一步提供架構配置、部署或設定，例如提供網路配置或協助三層架構應用程式部署、理解Terraform腳本等。</p> <p>此外，還能蒐集和分析Cloud Logging中各種日誌，提供IT團隊相關摘要和解釋，並提供故障排除的建議。甚至在身分權限控管上也能使用AI維運助手提供IAM身份識別與存取管理的建議，例如根據企業資料、加密偏好以及合規性需求在加密金鑰建立過程中提供協助。</p> <p>服務效能和成本優化也是AI維運助手這次新增的功能之一。例如可以偵測哪些叢集是在開發或測試環境中執行，或是被用於實驗的叢集，還可識別資源過剩的叢集並提供建議，讓管理者可以重新調整資源分配，降低雲端花費。</p> <p>在資料服務的AI助手上，Google Cloud持續強化旗下資料產品與Gemini的整合。舉例來說，現在在BigQuery資料倉儲中，資料分析人員可以自然語言方式向Gemini助手提需求進行資料準備、查找、分析及治理，並且能夠使用Gemini 1.0 Pro，執行多模態和進階推理的功能。</p> <p>不僅如此，BigQuery與Vertex AI之間的結合更緊密，使用者可以直接在BigQuery中存取Vertex AI中的AI 型，代表企業可以將這些AI模型、ML operators和統計分析功能納入到企業內部資料工作流程中，進行多模態析，包括結構化與非結構化資料。在BigQuery中能透過Vertex AI模型API處理文件檔案和音訊。不過目前這些Gemini功能大多處於預覽階段。</p> <p>在應用開發輔助方面，Google宣布其程式撰寫AI助手現已達企業級的安全和可靠，並支援最新的Gemini 1.5 Pro，可以在程式庫中執行大規模程式碼檢索、除錯及測試。在雲端資安防護方面也強化了與Gemini的整合。例如，將Gemini整合至SecOps維運流程中，並開始在威脅智慧情報服務與SCC安全指揮中心中提供相關的Gemini服務。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1180-%E5%B0%81%E9%9D%A2-600-2.png" style="width: 383px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>除了推出算力更強的AI硬體，Google首款資料中心設計的Arm架構處理器Axion首次公開亮相，未來有可能將其與TPU一同用於GAI模型服務。目前這款處理器已在Spanner、BigQuery、GKE、Google地球引擎和YouTube廣告服務中使用。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／余至浩）</span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>企業辦公生產力工具深度整合Gemini能力，還增添影片創作AI助手Vids</strong></span></span></p> <p>企業生產力應用是另一大雲端GAI戰場。為了力抗微軟M365，Google Workspace在今年二月開始引進Gemini模型，加強對Workspace內容的多模態進階理解能力，Google同時也將Workspace的AI助手Duet AI改名為Gemini，並推出商用版與企業版，提供更多企業級功能。</p> <p>Workspace目前擁有超過30億使用者和超過1,000萬付費訂閱客戶。Google Workspace的副總裁兼總經理Aparna Pappu表示，在近8個月內，在Workspace中使用Gemini服務的用戶超過一百萬人，還有上千家企業採用，包括Uber、Verizon、Sports Basement等。</p> <p>Workspace今年產品更新一大重點就是GAI。Gemini現在已經能夠跨Workspace產品線生成內容，Chat和Docs中都開始使用最新的Gemin模型。</p> <p>在Gmail中新增語音提示和即時潤色，只需向Gemin說出「幫助我寫作」，就能完成草稿，並且一鍵轉換為完整的電子郵件。Meet上新增了AI會議和傳訊的擴充功能，每位用戶每月10 美元，可以提供「為我做筆記」、「為我翻譯」等功能。還可以自動檢測和翻譯Meet中的字幕，最多支援 69 種語言，並在預覽版Chat中自動翻譯訊息、對話摘要和問題回答，將於今年稍後推出。</p> <p>Google也透過AI加強Workspace的資安防護，推出AI Security商用附加服務，能夠協助資安人員自動分類Google硬碟中的敏感文件並提供防護。此外在測試版Gmail中開始提供DLP資料外洩防護的控制和分類標簽功能，甚至之後將實驗後量子加密PQC演算法納入其中。</p> <p>Workspace這次還推出了全新的AI影片創作生產力服務Google Vids。這是一個整合影片、寫作、製作和編輯的AI助手，讓即使是不熟悉影片創作的行銷人員也能快速製作出各種影片內容，用於產品行銷、人才培訓、團體慶祝等活動。 Vids雖然採用了Gemini模型，但與OpenAI的短片生成AI模型Sora不同，並非生成完整的影片內容，而是根據使用者的描述從影片資料庫中找出相應的影片、圖片和背景音樂的場景，然後將它們整合在一起，協助使用者完成分鏡腳本、後製和編輯。這項實驗性服務預計在6月推出。</p> <p>隨著GAI應用在2024年大爆發，Thomas Kurian強調，企業正在迎來一個GAI代理的新時代，並且建立在全新、完全開放的AI平臺之上，「我們正在重塑雲端基礎架構，以因應此一趨勢。」</p> <p>不只搶攻雲端GAI，Google正在透過在手機上執行的輕量Gemini模型，以及用相同技術所開發的開源邊緣AI模型Gemma，瞄準企業邊緣GAI應用需求。</p> </div></div></div>
2024/5/3 06:00作者余至浩https://www.ithome.com.tw/news/162605
Google搶攻邊緣GAI的兩大關鍵策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我們的目的是透過邊緣GAI開源模型Gemma向開發者社群提供Gemini中可用功能。」Google Cloud執行長Thomas Kurian在Next會前一場亞太媒體活動上這樣強調，Google 將現有的Gemini模型推出了一個在Android裝置上跑的輕量版本，同時推出一個相同技術的開源版本，也就是Gemma。Gemini要利用Gemma搶佔邊緣GAI應用市場，同時借助開源社群將Gemini影響力擴大到更多應用領域。這是Google在邊緣AI的一大重要策略。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>靠龐大而成熟的Android生態系，瞄準行動裝置端中的GAI模型</strong></span></span></p> <p>Google去年底推出了可以在手機上執行推論的輕量版Gemini Nano模型，讓原本只在雲端伺服器上執行的Gemini模型，現在能夠瘦身進到行動裝置中，可離線執行生成式AI應用。</p> <p>Google不只率先推出能在手機上執行的GAI模型，還利用其龐大而成熟的Android生態系，使得Google在下一波邊緣GAI浪潮中，比起其他競爭對手更具優勢。尤其，現今全球擁有超過30億臺Android裝置，包括行動裝置、邊緣設備及IoT裝置等，未來都可以使用Google的GAI模型。</p> <p>Google一開始先將Gemini Nano整合到自家旗艦手機Pixel 8 Pro系列中，隨後在三星Galaxy S24手機中開始提供Gemini Nano模型的支援。在Next大會上，Google擴大了其支援的裝置，新增了Oppo和OnePlus兩款手機品牌，而且不限於旗艦機型，未來甚至中階手機也能夠執行。例如聯發科二款新晶片組未來將支援Gemini Nano，包括中階的Mediatek Dimensity 8300等。</p> <p>Google迄今並未沒有透露具體的硬體限制，但需要執行Gemini Nano模型，從現有手機硬體規格來看，除了配備AI晶片Tensor G3，以滿足生成式AI模型推論的運算需求之外，同時得要配備至少8GB或以上的記憶體。</p> <p>為了在行動裝置中能更好地執行LLM語言模型，Google提出了新框架，在原本的Android作業系統中新增了AI Core層，這是一個新的Android系統層級服務，可用來提供Gemini Nano模型的存取，同時提供模型管理、runtime和安全性等功能，以此提供模型更新並確保模型輸出的安全性。</p> <p>透過AI Core，開發者可以很容易在Android裝置上建立和執行LLM，並可以透過SDK與AI Core進行溝通，讓在OS上執行的App使用Gemini的功能。</p> <p>AI Core提供了LoRA模型微調功能，可以執行利用LoRA進行微調的推理，同時也能夠調度底層的硬體，如TPU或VPU，來支援模型推論所需的運算需求。目前AI Core僅包含在Android 14版本中，因此要使用AI Core，需將作業系統升級至該板本。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>安卓手機上現有的3種GAI應用</strong></span></span></p> <p>Google初期在Android行動裝置中提供3類Gemini應用，包括錄音App摘要、Gboard中的智慧回覆和聊天傳訊改寫。舉例來說，在Pixel 8 Pro手機的轉錄工具App中，Gemini Nano模型可以提供會議音檔的重點摘要。而在Gboard工具上則會根據鍵盤上的上下文輸入提供下一段文字的建議。在聊天訊息中，則能夠根據對話內容提供內容改寫的建議，並可在離線情況下執行這些裝置上的GAI應用。</p> <p>不過，現階段這些應用仍處於私人Beta測試階段，僅提供特定的開發人員進行測試使用。</p> <p>除了可離線執行裝置上GAI應用，使用者也可以利用Gemini API在行動裝置中執行較複雜的多模態AI任務，例如經由網路使用雲端上的中型模型，如Gemini 1.0 Pro，就能夠在手機上使用功能更強的Gemini助手回應和處理各種Workspace內容。</p> <p>在一場Android裝置GAI技術發展演講中，Google Android開發者關係工程師Thomas Ezan提到將GAI模型部署到Android裝置上的好處在於，資料可以就近在手機裝置上處理不需要傳雲，對於企業隱私保護性也較高，而且模型回應速度更即時，甚至遇到斷網也不怕。此外，企業執行模型推論增加的雲端成本也能降低。</p> <p>Thomas Ezan指出，Google目標是要讓每支App，都能夠使用生成式AI功能，甚至還要將Gemini變成是下一代App的關鍵必備能力。他預告接下來，還有其他功能陸續推出，包括裝置上個人化GAI功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1180-%E5%B0%81%E9%9D%A22-600.png" style="width: 599px;" /></p> <p><span style="color:#696969;"><strong>Google初期在Android行動裝置中提供3類Gemini應用，包括錄音摘要、Gboard鍵盤智慧回覆和聊天傳訊改寫。舉例來說，Pixel 8 Pro手機使用者可以在轉錄工具App中使用Gemini Nano模型提供會議音檔的重點摘要。此外，Gemini也能夠根據鍵盤上的上下文輸入提供文字的建議，而且聊天訊息對話過程中，也能根據原始內容提供改寫的建議。</strong><span style="font-size: 14px;">（攝影／余至浩）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Gemini要利用相同技術的GAI開源模型Gemma進軍邊緣AI</strong></span></span></p> <p>Google在邊緣AI策略，除了推出可在裝置上跑的Gemini Nano模型，還將另一款採用相同技術研發的邊緣GAI模型Gemma開源，要借助開源社群的力量將Gemini影響力向外擴散到更多應用領域之中，這是Google在邊緣AI另一大重要策略。</p> <p>Gemma是Google在今年2月釋出的一款輕量級邊緣GAI開源模型，用來挑戰臉書Meta的LlaMa。Gemma正式採用Apache-2.0授權釋出，因此其更易於散播，並且可以在桌機、筆電，甚至行動裝置、IoT裝置上執行。</p> <p>Gemma採用與Gemini模型系列相同的架構、訓練資料和訓練方法，利用了6兆個Tokens的資料集（包含網路文檔、數學和程式碼）進行訓練，而且同樣基於安全與負責任的AI原則設計。不過，與Gemini不同的是，Gemma並非多模態模型，僅能支援單一資料型態，目前僅支援英語輸入。</p> <p>Gemma發布後，Google隨後將Gemma和其商用GAI模型Gemini API並列在Google AI for developer頁面的GAI工具列表中，提供給開發人員使用，表明對其未來發展的重視。</p> <p>在會前一場亞太媒體活動上，Thomas Kurian透露對於這款邊緣GAI模型未來發展的企圖，他強調：「Gemma建立在與Gemini相同的基礎技術和能力上，目的是吸引開發者生態系統的加入，並透過Gemma向開發者社群提供Gemini中可用功能。」</p> <p>不只能夠透過社群回饋持續提高和改進Gemma模型的能力，Google同時也能將這些改進應用在正式的商用Gemini產品中，使模型表現越來越好，甚至借助開源社群的力量將Gemini影響力向外擴散到更多應用領域。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>借助開源力量將Gemini影響力向外擴散到更多應用領域</strong></span></span></p> <p>開發人員現在已經可以在Android裝置中安裝和執行Gemma，透過MediaPipe 釋出的實驗性LLM推論API，可以支援包括Gemma 2B模型在內的推論任務。Gemma現階段提供了70 億和20 億參數兩種版本，前者用在GPU和TPU上的應用部署和開發，後者則是專用在CPU為主的裝置應用上。</p> <p>不過在GPU的裝置上執行20億和70億的Gemma模型，分別需要至少8GB以上和24GB以上的記憶體。</p> <p>Google雖然不是唯一一家將自家GAI模型開源的公雲業者，例如微軟最近釋出了SLM模型Phi-3-min，同樣可以在行動裝置上執行。但是Google在Next大會上進一步在雲端LLM開發平臺Vertex中開始提供Gemma系列模型，包括程式碼生成模型CodeGemma等，讓企業可以在自家LLM應用中開始採用。</p> <p>此外，Google在其GDC分散式雲端服務中開始提供Gemma模型的支援，進一步將Gemma應用到了靠近資料所在的企業邊緣環境，例如工廠等。</p> </div></div></div>
2024/5/3 06:00作者余至浩https://www.ithome.com.tw/news/162606
內部資訊單位要轉為服務供應商，永豐餘靠IT推動三軸數位轉型
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣有家本土百年老字號的造紙廠，家中每天用的紙品，像是五月花、柔情、得意等常見品牌，多出自這家公司之手，甚至不只賣紙，這家造紙公司還賣起了食品、生技，甚至科技、能源等服務。</p> <p>跨足不同行業，讓永豐餘控股（以下稱永豐餘）在經營上發展出和一般傳產不一樣的經營模式，特別是在IT和數位科技運用上，永豐餘就像是一家資訊服務公司。早在20多年前，永豐餘開始強調IT自主開發，進一步把IT部門獨立成立新公司，提供資訊服務和技術支援，推動各子公司的數位化發展，還開始擁抱容器微服務架構，加速應用現代化轉型。未來還打算將這家獨立IT公司變成一家服務供應商，開始提供對外服務。</p> <p>在2022年加入永豐餘擔任資訊負責人的元信達資訊總經理郭興恩強調：「未來更要透過IT支援永豐餘的三軸轉型，朝向低碳化、數位化和智慧化發展。」</p> <p>造紙起家的永豐餘，早期專注於提供上下游製造一條龍的整合服務，後來跨出造紙核心本業，開展多元化的集團式經營，多年下來，橫跨科技、金融、生技、食品、能源等多個領域。目前永豐餘旗下有超過百家轉投資子公司，其中多數子公司的IT，由永豐餘IT部門，統一負責管理和維運。</p> <p>永豐餘在2000年就將集團資訊中心獨立成立新公司，也就是元信達資訊，不只從財務上百分之百持股，可以說明兩家的關係十分密切。郭興恩的直屬主管，就是身兼元信達董事長的永豐餘投控董事長，郭興恩不只直接向她匯報，還能參與投控經營團隊會議，提出各種投控資訊IT的規畫。此外，元信達舉行經營會議時，永豐餘經營者也會參與，共同討論未來IT策略方向，來支援永豐餘業務發展所需。</p> <p><span style="font-size:28px;"><strong>永豐餘展開核心ERP大改造，因應未來營運的發展</strong></span></p> <p>資訊部門在獨立成為公司後，接著展開永豐餘一系列的數位化推動計畫，例如對外建構電子化的完整供應鏈體系，並全面將總部財務營運作業e化，此外，資訊團隊還在2014年建立集團資訊制度管理規範，完成集團郵件系統上線等。</p> <p>在2015年，永豐餘高層當時做了一個重要決定，決定展開核心ERP大改造，要透過翻新ERP，來因應未來營運的發展。這是永豐餘有史以來，最重要的一次核心系統轉換。</p> <p>永豐餘採分階段導入新一代ERP，先從臺灣先上線，包括林漿紙事業群等先推出，在系統穩定運作一段時間後，大陸廠也跟進，前年在越南廠開始導入。</p> <p>導入新系統的同時，永豐餘資訊團隊一併對於旗下子公司、各廠展開IT架構的轉換，捨棄了過去各事業體各自部署一套ERP的做法，轉而採用集中式的架構，在總部提供一套ERP來支援子公司或海外工廠使用，來達到統一管理。</p> <p>郭興恩表示，新ERP上線後帶來的最大好處是，可以透過一套統一的ERP系統，將各子公司數據和資料統一管理，實現統一結帳和統一帳本，進而節省人力成本，縮短結帳時間，從一個月縮短到只需5天就能完成。</p> <p>在營運面上也有諸多好處。例如以前資料未經整合，無法即時更新庫存資訊，難以做到採購整合，現在則大大改善這個情況，而且通過建立統一資材跟採購中心，可更有效地進行採購，擁有更大的議價能力。</p> <p>不只核心營運系統要統一，隨著許多新併購公司加入，永豐餘還進一步開始將各子公司的IT和網路基礎架構也一併納管。基於資訊向上集中政策，永豐餘針對控股超過50%的重要子公司IT基礎設施由總部IT負責統籌和管理。同時對這些子公司進行分級，決定哪些應用系統的使用上需要集中統一管理。郭興恩上任後，更貫徹執行將這些政策落地。</p> <p>他形容，永豐餘IT就像是一個中央IT，負責統籌和管理這些共通性應用和服務，讓這些服務可以重複利用，而無需重新建置。此外，他們還建構專屬私有雲，根據每家公司的需求提供所需運算資源和儲存空間，供各子公司使用。他表示，這樣做的好處可以替公司節省成本，同時讓子公司遵循一套統一標準，並且進一步強化資安防護。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1180-CIO-%E6%B0%B8%E8%B1%90%E9%A4%98%E9%9B%86%E5%9C%98_600_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89_2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>IT架構大翻新，轉而擁抱容器化微服務新架構</strong></span></p> <p>過去20多年，永豐餘IT技術架構也歷經了幾次的重要轉變，從傳統的主從式架構逐漸轉向Web應用的架構，到2017年導入伺服器虛擬化，集中整併IT架構，郭興恩在2022年上任後進一步推動向容器化微服務架構的轉變。</p> <p>為何開始擁抱這種新架構？郭興恩指出，隨著新ERP導入以及資訊科技發展進入十倍速的時代，IT架構不斷翻新。同時，現今的運算能力不斷增強，雲端興起與網路頻寬加大，也給IT帶來新挑戰，因此，必須不斷緊跟新科技的腳步，持續升級系統，朝向現代化發展。</p> <p>尤其，永豐餘投控旗下近百家子公司，這些公司的規模大小不一，需求也各不相同，為了能更好地滿足各子公司的需求，就需有一個更具彈性的IT架構，而透過容器化微服務架構，能夠將原本的系統拆成更小型的功能模組，變成是如同積木一樣的組合，在這種架構下，「IT團隊可像堆疊積木般，根據每家公司的需求組合成不同的功能，應對多變的業務應用情境」郭興恩指出。</p> <p>採用這種IT架構還有另一個好處是，對於敏捷開發的契合度也更高，因為可以將應用不同功能各自獨立開發、測試與驗證之後，再組合成完整的服務。</p> <p>為了配合這樣的應用開發方式，永豐餘IT組織也經過調整，改為敏捷式組織，開發方式從過去的瀑布式開發改成Scrum敏捷開發，並先從系統開發部開始推行，接著才展開系統的改造。郭興恩說，現在團隊每天都有站立日會，並透過迭代式開發逐漸將舊有系統翻新成現代化。</p> <p>目前永豐餘已經在一些新的應用開發中採用容器架構，如智能助理，但對於現有系統的現代化改造卻相當耗時，需要將以前.NET的MVC架構轉成現代化的容器技術平臺架構，因此，在決定系統改造時，郭興恩採取了更審慎的態度，優先考慮選擇系統關鍵性高、已經使用很長時間且存在資安疑慮的系統進行改造。</p> <p>除了IT架構的轉換外，目前永豐餘投控IT團隊規模僅不到百人，但要應對近百家子公司IT和數位化需求，成了IT部門所要面對的考驗之一。為此，在開發優先順序上，郭興恩採取了不同的策略，對於各家子公司提出的開發需求，會優先考慮共用性高、成本效益好的共通性模組和應用，或是政府要求或商業關鍵應用優先開發。</p> <p>就像其他企業IT主管遇到的挑戰，郭興恩同樣也面臨IT人力不足的問題，如何在現有資訊人力的調度下，發揮最大的效益，也成了他任內一大任務。</p> <p>郭興恩擔任資訊負責人後，採取了一系列改革措施，一方面將系統開發部的多個部門整併為一個部門，捨棄過去一部門對應到一家公司技術支援的做法，讓IT開發人力的資源可以共用；另一方面，他也相當重視IT人才的轉型，鼓勵IT人員除了原有的工作之外，可以斜槓拓展新技能、學習新知識，因應快速變化的IT環境。</p> <p>「更重要的是知識與合作的再進化。」他指出，現在團隊已不再是以前的單打獨鬥，而是透過CI/CD的方式適應更敏捷的專案。因此，許多各自領域的知識可以互相共享，團隊成員不再僅專注在個人擅長的領域，必須能夠將其他流程面的知識也納入學習的範圍中，這樣做可以拓展人員的知識，學到更多更廣的事物。</p> <p><span style="font-size:28px;"><strong>靠IT推動永豐餘三軸轉型</strong></span></p> <p>永豐餘2023年提出未來發展目標，將朝向低碳化、數位化和智慧化三軸轉型。引進這種新的IT架構和應用開發方式，也就更能夠運用IT協助永豐餘加速轉型。</p> <p>像在智慧化方面，永豐餘自2019年也積極發展智慧製造，導入IoT、AI相關技術提高生產效率和品質。例如在造紙製程中導入自動虛擬量測（AVM）進行品質檢測，能夠提前偵測出異常的紙張，確保生產品質。目前已在中華紙漿久堂廠採用。</p> <p>AI不只應用在工廠端，因應近來爆紅的生成式AI浪潮，永豐餘IT團隊去年利用微軟Azure OpenAI服務，開發出了自己的生成式AI智能助理，供內部使用，協助進行內容翻譯、會議重點摘要等工作。</p> <p>不只要將傳統工廠轉型智慧工廠，永豐餘近幾年也積極投入ESG永續的發展，甚至透過IT輔助實現減碳的目標，例如建立集團碳平臺，讓各子公司能夠透過這套平臺即時查看工廠的碳排資訊等，作為改善碳排的參考依據。這套平臺去年底已推出上線。</p> <p>不僅如此，永豐餘在2022年建置區塊鏈供應鏈金融平臺，通過將供應鏈商流、金流、資訊流串聯到同一區塊鏈帳本中，要解決短鏈運籌模式下資訊片斷及無法驗證交易真實性的風險問題。永豐餘一開始先將平臺提供集團內的中心廠在使用，後來更擴大至上下游供應商。自上線到今年三月底，融資金額已經超過11億。今年更計畫將區塊鏈節點延伸到醫療器材產業鏈中。</p> <p>郭興恩表示，透過這套平臺，當中心廠跟供應商下單後，如果遇到供應商資金不足或帳期較長需要向銀行借款時，合作的銀行就可以根據訂單在平臺上查核資訊，包括應付帳款。由於些資料是從企業ERP系統取得，可作為可信化的債信數據，銀行可以從平臺上直接查看，有助於加快審核程序，讓供應商能夠獲得融資。</p> <p>正是因為區塊鏈供應鏈金融平臺和碳服務平臺都是建立在永豐餘的核心事業的基礎上，他指出，藉由這兩個平臺的擴展，未來有機會發展出新的商業模式，從循環經濟開始擴展永續生態圈聯盟鏈，在此策略之下，「IT能藉此從共享中心轉型為利潤事業，不只對內服務，還能創造更多價值。」郭興恩表示。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> CIO小檔案 </span></span></strong></p> <p><strong>元信達資訊總經理郭興恩</strong></p> <p>學歷：雲林科技大學資管所碩士</p> <p>經歷：在資訊服務產業擁有20年的IT資歷，曾在許多大型國際軟硬體與資訊服務公司待過，先後擔任過Oracle首席顧問、IBM諮詢副合夥人與DXC Technology臺灣總經理，2022年8月正式加入永豐餘擔任資訊負責人，帶領IT團隊推動集團三軸數位轉型</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1180-CIO-%E6%B0%B8%E8%B1%90%E9%A4%98%E9%9B%86%E5%9C%98_250_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.JPG" style="width: 250px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>永豐餘投資控股</strong></p> <p>●地址：高雄市大樹區久堂里久堂路14號</p> <p>●網址：<a href="http://www.yfy.com">www.yfy.com</a></p> <p>●成立時間：1924年</p> <p>●主要業務：林漿紙事業群、工紙紙器事業群、消費品事業群、以智慧能源及循環經濟創新綠能等相關業務的碳管理事業群等</p> <p>●員工數：11,000人以上</p> <p>●董事長：劉慧瑾</p> <p>●資本額： 166億元</p> <p>●年營收：738億元（2023年）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：總經理</p> <p>●資訊部門主管姓名：郭興恩</p> <p>●資訊部門名稱：元信達資訊</p> <p>●資訊部門人數：70人以上</p> <p>●資訊部門分工：營運系統部、系統開發部、應用系統部、數據與分析部、資訊安全部、創新專案管理部、行政管理部</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2000年：永豐餘將資訊部門獨立成立元信達資訊</p> <p>●2002年：推動永豐餘體系供應鏈電子化計畫</p> <p>●2006年：開始導入財務營運總部電子化</p> <p>●2014年：導入集團新世代郵件系統、建立集團資訊制度管理規範</p> <p>●2015年：集團共用資通視訊系統推出上線、導入集團新世代ERP應用系統</p> <p>●2016年：導入集團BPM企業流程管理系統</p> <p>●2017年：建置集團BI企業管理與高階戰情室平臺、導入客戶服務管理平臺、導入MES生管系統</p> <p>●2020年：建置E-Platform電商下單平臺</p> <p>●2022年：成立永豐餘區塊鏈供應鏈金融平臺聯盟計畫，建置完成SCM供應鏈管理平臺、成立集團(投控與中華紙漿)資安委員會、E-Box營業下單系統臺灣區上線</p> <p>●2023年：集團碳平臺上線</p> <p>●2024年：永豐餘區塊鏈供應鏈金融平臺跨入醫療器材產業鏈</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1180-cio-yong_feng_yu_ji_tuan_960_she_ying_hong_zheng_wei_.jpg" width="960" height="420" alt="" title="元信達資訊總經理郭興恩（攝影／洪政偉）" /></div></div></div>
2024/5/3 06:00作者余至浩https://www.ithome.com.tw/people/162608
【資安日報】5月2日，Docker Hub遭濫用，被用來散播惡意程式與架設釣魚網站的映像儲存庫比例高達2成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在針對Kubernetes環境的攻擊行動當中，駭客最常用來傳送惡意程式的方式，就是藉由映像檔儲存庫Docker Hub，透過拉取惡意Docker映像檔來進行，但如今有另一批人馬透過完全不同的角度來濫用此映像檔儲存庫。</p> <p>資安業者JFrog揭露最新一波攻擊行動，並指出其共通點，就是駭客建立的儲存庫都沒有Docker映像檔。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162636"><strong style="font-size: 22px;">攻擊者濫用Docker Hub映像檔儲存庫出現新的手法！近3百萬儲存庫被用於推送惡意程式、架設釣魚網站</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Docker-Img5-1-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Docker-Img5-1-1.jpg" style="width: 300px; float: right;" /></a></p> <p>攻擊者濫用Docker Hub映像檔儲存庫的情況，最常見的手法是上傳帶有惡意元件的映像檔，再從目標Kubernetes環境拉取，而能於受害系統植入惡意程式，從事相關攻擊。但也有其他駭客以不同方式濫用這種儲存庫，其手法的共通點，就是沒有上傳Docker映像檔。</p> <p>資安業者JFrog揭露濫用映像檔儲存庫Docker Hub的攻擊行動，就屬於這種例子。研究人員發現這波攻擊行動的原因，在於他們找到近460萬個並未包含Docker映像檔的儲存庫，研究人員進一步清查，結果發約有281萬個被用於攻擊行動，占全部的18.7%，換言之，平均每6個Docker Hub儲存庫就有1個被用於惡意行為。</p> <p>這些遭到濫用的Docker Hub儲存庫，大致上攻擊者將其用於3種類型的攻擊，其中大部分是被用於聲稱提供盜版軟體、遊戲作弊程式下載器（Downloader）的惡意軟體攻擊，有1,453,228個，占整體儲存庫的9.7%；其次是佯稱提供電子書的網路釣魚攻擊（eBook Phishing），有1,069,160個儲存庫被用來從事這類攻擊，占整體的7.1%。</p> <p><a href="https://www.ithome.com.tw/news/162640"><strong style="font-size: 22px;">從雲端服務下載檔案要小心！惡意軟體Latrodectus透過多次回覆釣魚信夾雜此類誘餌，並搭配冒牌Cloudflare圖靈驗證降低心防</strong></a></p> <p>研究人員ProxyLife與Cryptolaemus指出，攻擊者藉由回信互動型的網釣郵件（reply-chain phishing emails）來散布惡意程式Latrodectus，當中通常會含有PDF附件或是URL，一旦收信人依照指示開啟附件，或是點選URL，就有可能看到檔案存放於微軟Azure雲端空間的訊息。</p> <p>若是點選下載文件檔案的按鈕，收信人就會被導向偽造的Cloudflare圖靈驗證流程，要求解開簡單的數學問題。研究人員指出，駭客這麼做的目的，就是為了迴避資安系統的偵測。</p> <p>值得留意的是，一旦收信人輸入正確答案，電腦就會自動下載經重度混淆處理的JavaScript指令碼，執行後將從特定URL下載MSI安裝檔，於受害電腦植入DLL程式庫Latrodectus，並透過rundll32.exe載入，在後臺運作，等待接收惡意酬載或是攻擊者的命令。</p> <p><a href="https://www.ithome.com.tw/news/162633"><strong style="font-size: 22px;">惡意程式Cuttlefish鎖定小型路由器而來，企圖透過監控流量盜取帳密資料</strong></a></p> <p>資安業者Lumen揭露專門針對家用及小型辦公室路由器而來的惡意程式Cuttlefish，主要用途是從區域網路（LAN）流量發出的請求當中，挖掘帳密及各式身分驗證資料，但也能用於DNS及HTTP挾持，讓攻擊者存取受害組織的內部網路環境。</p> <p>研究人員指出，此惡意軟體還能透過零點擊攻擊的能力，藉由網路邊際設備擷取使用者及裝置的資料，並會透過被動的狀態嗅探封包，而且只有在符合駭客事先定義的環境條件下，才會啟動進行相關工作。Cuttlefish採用的封包探測器主要功能，就是在挖掘身分驗證資料，特別針對公有雲服務而來。</p> <p><a href="https://www.ithome.com.tw/news/162642"><strong style="font-size: 22px;">安卓惡意程式Wpeeper利用已遭入侵的WordPress網站接收攻擊命令</strong></a></p> <p>中國資安業者奇安信揭露惡意軟體Wpeeper的攻擊行動，此為鎖定安卓作業系統的後門程式，攻擊者可藉此收集受害裝置的系統資訊，並且進行檔案管理、上傳、下載，甚至可執行特定命令。</p> <p>但這款惡意軟體引起研究人員關注的地方在於，攻擊者在網路基礎設施上的規畫相當特別。首先，對方透過遭到入侵的WordPress網站，建立透過多個層次進行通訊的C2架構，企圖遮掩真正的C2伺服器位置。</p> <p>再者，他們利用連線階段（Session）的欄位來區分請求，並透過HTTPS加密通訊協定來保護攻擊流量。而對於C2發出的命令，攻擊者也透過AES演算法處理。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://media.defense.gov/2024/May/01/2003454817/-1/-1/0/DEFENDING-OT-OPERATIONS-AGAINST-ONGOING-PRO-RUSSIA-HACKTIVIST-ACTIVITY.PDF"><strong style="font-size: 20px;">針對俄羅斯駭客接連攻擊水力設施工控系統的現象，美國政府提出警告</strong></a></p> <p></p> <p>◆<a href="http://www.cisa.gov/news-events/alerts/2024/01/10/cisa-adds-one-known-exploited-vulnerability-catalog"><strong style="font-size: 20px;">美國證實去年底修補的GitLab危急漏洞CVE-2023-7028已出現攻擊行動</strong></a></p> <p></p> <p>◆<a href="https://www.prnewswire.com/news-releases/infoblox-threat-intel-discovers-muddling-meerkat-a-dns-operation-controlling-chinas-great-firewall-302129471.html"><strong style="font-size: 20px;">駭客組織Muddling Meerkat利用中國長城防火牆操縱DNS</strong></a></p> <p></p> <p>◆<a href="https://www.ithome.com.tw/news/162639"><strong style="font-size: 20px;">美國健康保險巨擘UnitedHealth坦承選擇低頭，向駭客支付贖金</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162626"><strong style="font-size: 22px;">程式語言R編譯過程存在高風險漏洞，恐導致供應鏈攻擊</strong></a></p> <p></p> <p>專精AI應用程式安全的資安業者HiddenLayer指出，程式語言R存在高風險漏洞CVE-2024-27322，此為反序列化（deserialization）瑕疵，可透過載入R資料序列（R Data Serialization，RDS）檔案、R套件來觸發，一旦攻擊者利用上述漏洞，就有機會執行任意程式碼，甚至有機會造成供應鏈攻擊，CVSS風險評分為8.8。對此，開發團隊推出4.4.0版予以修補。</p> <p>研究人員表示，這項漏洞牽涉R程式序列化及反序列化的過程。該程式語言在反序列化狀態下，載入RDS檔案或是套件時，因R語言支援惰性求值（Lazy Evaluation）的特性，未能及時檢查Promise物件相關參數造成。一旦攻擊者能覆寫RDX或RDB檔案，就機有會發動供應鏈攻擊。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://fedscoop.com/irs-information-systems-security-problems-financial-statements-gao/"><strong style="font-size: 20px;">美國國稅局傳出系統漏洞，恐導致財務報表不準確</strong></a></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162591"><strong style="font-size: 22px;">英國擬禁止特定物聯網裝置採用預設密碼</strong></a></p> <p>4月29日英國的《產品安全暨電信基礎設施法案（Product Security and Telecommunications Infrastructure Act，PSTI Act）》正式生效，當中規定物聯網裝置（IoT）最低安全標準，其中一項就是不得使用容易猜測或是在網路上可找到的預設密碼，而這是全球首度針對這類密碼進行規範的法令。</p> <p>這項法案要求物聯網裝置製造商必須遵守最低要求，除不得採用容易猜到的密碼，也明定要提供客戶窗口來受理及處理資安問題，再者，該法案也要求製造商及零售業者，必須公布產品能夠收到重要安全更新的最短時間。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162601"><strong>【4月30日】安卓金融木馬Brokewell透過冒牌Chrome更新網頁散布</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162579"><strong>【4月29日】互動式BI系統Qlik Sense危急漏洞遭到鎖定，對方利用勒索軟體Cactus發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162563"><strong>【4月26日】駭客鎖定網管人員散布後門程式MadMxShell，意圖取得入侵企業組織的管道</strong></a></p> </div></div></div>
2024/5/2 18:38作者周峻佑https://www.ithome.com.tw/news/162649
安卓惡意程式Wpeeper利用已遭入侵的WordPress網站接收攻擊命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國資安業者奇安信揭露<a href="https://blog.xlab.qianxin.com/playing-possum-whats-the-wpeeper-backdoor-up-to/">惡意軟體Wpeeper的攻擊行動</a>，此為鎖定安卓作業系統的後門程式，攻擊者可藉此收集受害裝置的系統資訊，並且進行檔案管理、上傳、下載，甚至可執行特定命令。</p> <p>但這款惡意軟體引起研究人員關注的地方在於，攻擊者在網路基礎設施上的規畫相當特別。首先，對方透過遭到入侵的WordPress網站，建立透過多個層次進行通訊的C2架構，企圖遮掩真正的C2伺服器位置。</p> <p>再者，他們利用連線階段（Session）的欄位來區分請求，並透過HTTPS加密通訊協定來保護攻擊流量。而對於C2發出的命令，攻擊者也透過AES演算法處理。</p> <p>研究人員起初是發現1個Linux執行檔（ELF），攻擊者透過2個網域散布，但僅有其中1個有資安業者標為惡意網域，另一個則為近期註冊而被視為無害；再者，惡意程式分析平臺VirusTotal上所有的防毒引擎，皆將此ELF檔案視為無害。雖然從副檔名的部分，看起來是針對Linux電腦而來，但研究人員進一步分析，確認這是安卓惡意程式。</p> <p>此惡意程式的來源，攻擊者疑似透過Uptodown App Store第三方市集下載應用程式的APK檔案，然後進行變造並嵌入一小段程式碼，一旦使用者執行安裝，就會下載惡意的ELF檔案並執行。</p> <p>值得留意的是，雖然這起攻擊行動維持不到一週，但當中使用的惡意程式都並未被資安公司判定為有害，照理來說，攻擊者沒有必要突然停止行動，因此研究人員推測，對方很可能在策畫更大規模的攻擊行動，目的是用於欺騙防毒軟體所使用的AI機器學習模型，讓他們的惡意程式更難被發現。</p> </div></div></div>
2024/5/2 17:44作者周峻佑https://www.ithome.com.tw/news/162642
GovTech月報第29期：數位部公共程式平臺上線，與六都聯手共推公共程式政策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0402~0430)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">公共程式</span></font></strong></p> <p><span style="font-size: 22px;"><strong>數位部公共程式平臺上線，未來將與六都聯手共推公共程式政策</strong></span></p> <p>數位部推動公共數位基礎建設政策，其中之一是推動公共程式平臺，近期在六都、國內外自由軟體社群見證下，宣布公共程式平臺（<a href="https://code.gov.tw/">https://code.gov.tw/</a>）上線，將政府機關開發的系統或服務平臺，透過Public code的方式開放，供外界或其他政府機關檢視及運用。</p> <p>數位部期望帶頭推動公共程式政策，讓外界共同檢視及運用公開的程式碼，除了讓其他有類似需求的公務機關得以運用，節省重新開發系統或服務平臺的成本，也透過公開程式碼，讓外部的民間企業、開發社群使用，透過改進功能或問題，讓公共程式也能借重外部資源精進優化。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/publicode-600.jpg" style="width: 600px; height: 326px;" /></p> <p>首波上架該平臺的共有15類22個公共程式，包含數位部的全球資訊網官網、政府資料開放平臺前端、ODF文件應用工具、公托報名管理系統，以及臺北市的城市儀表板、臺南市的登革熱防疫現場前端及後端工具，還有英國GDS政府數位服務團隊提供的GOV.UK Forms線上表單平臺及公部門業務訊息傳遞平臺GOV.UK Notify，還有Foundation for Public code提供的Publiccode.yml編輯器等工具。數位部也與臺北市、新北市等六都達成合作共識，未來將共同推廣公共程式政策，數位部也計畫在今年底前，提出訓練課堂、規範指引，希望促成更多公務機關加入推廣公共程式政策。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">人事</span></font></strong></p> <p><span style="font-size: 22px;"><strong>黃彥男將接任數位部長，劉鏡清將任國發會主委</strong></span></p> <p>隨著新任總統即將上任，行政院新的內閣名單也逐漸明朗化，現任數位發展部長唐鳳確定不會留任，未來部長將由中研院資訊科技創新研究中心特聘研究員黃彥男接任，國發會則由曾任IBM全球企業諮詢服務事業群總經理的劉鏡清出任。至於國科會主委則由南臺科技大學校長吳誠文擔任，政大商學院副院長彭金隆接掌金管會主委。</p> <p>準數位部長黃彥男，過去曾擔任中研院資訊科技創新研究中心主任，行政院科技會報副執行祕書，也曾擔任資策會副執行長、威達雲端總經理，具有豐富的政務協調、資通訊產業經驗。至於準國發會主委劉鏡清，過去曾是IBM工商事業群總經理，後來進入資誠企管顧問公司擔任副董事長暨總經理，並創立資誠創新諮詢公司擔任董事長，具有豐富的企業經營管理、資訊管理顧問經驗。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">電子簽章</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">打詐</span></font></strong></p> <p><span style="font-size: 22px;"><strong>立院三讀通過電子簽章法修正法案，數位部：擴大電子簽章應用</strong></span></p> <p>行政院於2月底通過電子簽章法修正法案，送交立法院審議，近期立法院三讀通過修正法案，為我國電子簽章法實施20多年來重大修法，主管機關數位部接下來將在半年內制定相關子法及配套辦法，並擴大推動電子簽法的應用。其中之一是，配合打詐專法，未來可能要求電商平臺，針對廣告或交易的賣家採用數位簽章，以類似實名制仰制詐騙歪風。</p> <p>此次修法幾項重點，包括確立電子文件及電子簽章，視同實體文件及簽章，不因電子形式而否認其效力；其次是數位簽章為電子簽章一部分，但數位簽章因具有政府許可憑證機構簽發的憑證，可推定為本人親簽。另外，目前公務機務公告特定業務排除適用電子簽法，將在新的電子簽章法開始實施後一年自動廢止，未來公告排除適用的機關將需接受電子簽章，但如果仍需要排除適用電子簽章，必需以立法修法的方式排除，考量到修法需要較長的時間，可向電子簽章法主管機關數位部申請展延1次，展延以2年為限。</p> <p>此外，修法也增加電子簽章與國外對接的規定，當安全條件相當的前提下，如憑證機構間有技術對接合作，雙方憑證機構符合歐盟或ISO國際標準，就能互相承認數位簽章。</p> <p>數位部預期電子簽章法修法後，確立電子簽章的法律效力，以及安全性更高的數位簽章，促使電子簽章的應用普及。其中在政府積極的打詐方面，未來電商等數位服務平臺，可要求賣家或廣告刊登者使用數位簽章，通過類實名制，來抑制交易詐騙及投資詐騙廣告盛行。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">衛星</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">太平島</span></font></strong></p> <p><span style="font-size:22px;"><strong>中軌衛星強化外島通訊韌性，太平島網路頻寬提升至25Mbps</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(10).jpg" style="width: 600px; height: 338px;" /></p> <p>距離台灣1,600多公里遠的太平島，為強化島上通訊網路韌性，近期政府在島上建立中軌衛星通訊系統，將太平島網路頻寬提高至25Mbps，增加約3.9倍。</p> <p>原先太平島的通訊仰賴同步軌道衛星ST2中新二號，扣除公務使用，剩餘可供駐守人員使用的網路頻寬相當有限，在電信技術中心、電信業者協助之下，太平島建置中軌衛星通訊系統後，支援SES mPower中軌衛星設備，供太平島上Wi-Fi及行動基地臺衛星網路傳輸規畫及建置。</p> <p>數位發展部推動以非同步軌道衛星提升國內網路通訊韌性計畫，計畫在今年底完成國內約700處設置非同步軌道衛星終端設備站點，太平島即為該計畫建置的站點之一，通過中軌衛星加強島上通訊網路韌性。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">英國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">行動應用</span></font></strong></p> <p><span style="font-size:22px;"><strong>政府服務擁抱行動應用，英國政府明年擬提出行動應用App戰略</strong></span></p> <p>隨著行動裝置及App使用普及，英國政府準備在明年提出行動應用App戰略，以統整政府各部門提供的政府服務聯合行動體驗，目前該戰略正由中央數位及數據辦公室（Central Digital and Data Office, CDDO）規畫中。</p> <p>這項戰略是英國政府於2022年提出的中型轉型計畫，該計畫為英國政府數位轉型2022年至2025年數位及資料路徑圖，目標是通過制定共同的行動App戰略、框架及技術標準，建立政府服務聯合行動體驗，CDDO正與各部門機關的資訊、技術主管討論，規畫原則及行動策略。</p> <p>10年前，在成本考量之下，英國政府並不鼓勵政府部門開發行動應用App，鼓勵優先開發網路服務，但是隨著行動裝置及App使用普及、社交媒體影響力大增，使得英國政府轉而擁抱App，例如政府數位服務（Government Digital Service, GDS）正在打造GOV.UK App，該App將奠基於現有已有570萬次下載的GOV.UK One Login身分驗證App的基礎之上，迎合現今民眾使用習慣，以擴大GDS社交媒體影響力，開發App建立GOV.UK品牌。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">英國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>英國內閣正測試AI Chatbot加快公文處理效率</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/redbox3-600.jpg" style="width: 600px; height: 403px;" /></p> <p>英國內閣正計畫擴大測試一項AI Chatbot，稱為Redbox Copilot，希望透過人工智慧聊天機器人技術，來協助英國政府公務人員提高公文處理效率。</p> <p>這項AI技術以英國政府傳統的紅色公文盒來命名，Redbox Copilot運用檢索增強生成（Retrieval-Augmented Generation, RAG）技術處理大量公文，掃描數千份公文，從中搜尋符合條件的公文，或是建立公文內容的摘要等等。目前Redbox Copilot由英國內閣辦公室部長Alex Burghart試用，準備擴大更多內閣首次試用。</p> <p>英國政府的AI開發團隊也公開程式的原始碼，希望促成外部開發人員參與協助改善其功能。未來全面上路後，英國政府公務人員可和聊天機器人對話，詢問公務信件及公務文件內容。該技術採用資料隱私及保留設計，以符合資料隱私的合規要求，另外，也針對本地部署及跨雲進行安全設計。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺中市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>臺中市運用AIoT技術加強監控營建工地揚塵污染</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ai%E6%8F%9A%E5%A1%B5%E8%BE%A8%E8%AD%98%E7%B3%BB%E7%B5%B1-1-600.jpg" style="width: 600px; height: 326px;" /></p> <p>大型營建工地常因為開挖、整地及工程車輛出入，造成工地揚塵污染空氣，臺中市政府環保局啟動科技防制措施，透過感測器、CCTV監控攝影、AI揚塵辨識、智慧灑水系統，當偵測揚塵污染達到預警值時，透過App推播示警之外，啟動灑水系統，降低工地揚塵污染情形。</p> <p>臺中市環保局表示，目前已在多處營建工地建置這套科技防制措施，結合CCTV監控系統、感測器，利用AI辨識系統，隨時監控工地是否發生揚塵污染，當偵測到揚塵污染達到警戒值時，自動啟動灑水系統，降低揚塵情形。相較於傳統上使用防塵網，這項科技防制措施可縮短污染發生的時間及人力，環保局估計防制效益至少提升20%。</p> <p>環保局指出，因應科技防制污染等相關技術成熟，未來營建工地應朝向智慧工地發展，工地在營建期間必然產生污染，透過科技防制抑制污染情形，呼籲營建業者編列經費，在工地建置科技防制措施，降低對周遭環境的污染。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">加拿大</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">生物辨識</span></font></strong></p> <p><span style="font-size:22px;"><strong>加拿大政府擬</strong></span><strong style="font-size: 22px;">結合臉部辨識技術，讓</strong><strong style="font-size: 22px;">旅客用手機自拍快速審核通關</strong></p> <p>加拿大政府擬改善邊境管理，讓旅客可通過其手機上的臉部辨識技術，來識別旅客的身分，以加快通關所需的程序及時間。</p> <p>目前加拿大邊境管制單位正對外招募合適的供應商，以開發配合新措拖的管理系統，招標金額約2,500萬美元。加拿大邊境服務局表示，計畫中的新措施將可讓旅客享有快速、無縫的旅行體驗，未來旅客可自行選擇是否使用這項系統，並且旅客的隱私資訊也會受到充分的保護。</p> <p>按照加拿大政府的規畫，新的邊境管理系統可將旅客護照的照片，和旅客使用其手機的自拍照進行配對。目前抵達加拿大的旅客，已可透過Digital Kiosk數位多媒體機或eGate閘道，通過臉部辨識驗證。</p> <p>邊境管理採用臉部辨識引發隱私侵犯的疑慮，加拿大議會目前也正蒐集相關的資訊，例如對黑人與亞洲人的錯誤辨識，或是不合法的大規模監控，以及對警察、情報單位的問責規範。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺南市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">智慧停車</span></font></strong></p> <p><span style="font-size: 22px;"><strong>臺南市逾8成路邊停車格智慧化，每年估節省381萬紙本單據</strong></span></p> <p>臺南市近期分享推動路邊停車格智慧化政策成果，該市自從2018年路邊收費停車格智慧化，現已有87%的路邊停車格完成智慧化，以自動化開單取代人工開單，每年估節省約381萬張的停車紙本單據，估減少4.5噸二氧化碳排放。</p> <p>臺南市政府交通局指出，該市1.5萬路邊收費停車格，目前已有4,000格採用智慧停車柱，9,000格採用地磁感應器，停車格智慧化比例達到87%，搭配智慧路邊停車計費系統，提升停車格周轉率69%，使用率達到59%，減少空置車位浪費。這套智慧路邊停車計費系統，提供民眾現場支付停車費，並提供無紙化開單，市府估計，多元化繳費管道取代過往超商代收、臨櫃現金收費，進一步節省1,748萬張繳費單據。</p> <p>市府也建置智慧停車雲端數據平臺，以蒐集路邊停車位的即時數據，讓用戶透過App查詢停車空位情形，估計平均節省民眾5至6分鐘的停車空位尋找時間，降低駕車繞行的碳排放。臺南市長黃偉哲指出，在長期的淨零碳排目標之下，未來臺南市路邊停車格的智慧化比例將以100%為目標。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">雲端</span></font></strong></p> <p><span style="font-size:22px;"><strong>數位部輔導農業部系統上雲，結合AI、無人機加速農業數位轉型</strong></span></p> <p>農業部與數位部聯手加速我國農業的數位轉型，近期展示透過雲端服務、無人載具、AI影像辨識等科技，協助農地的資源判影像判釋、判斷土壤資源肥力等等。</p> <p>這項合作是在雲世代雲端基礎建設計畫之下，運用數位科技促成新型態數位政府服務的成果，在數位部協助下，將農業部的「農地資源影像判釋服務」、「土壤資源及肥力診斷服務」、「航空衛星影像雲端服務」、「農業UAV影像二維三維應用服務」等系統移至商業公有雲。數位部表示，推動雲世代雲端基礎建設計畫，協助政府機關因應大量流量，提升作業效率、改善使用者體驗，兼降低基礎維運及開發所需的成本。</p> <p>傳統農業需要大量勞力，因應少子化人力短缺的問題，兩個部會也展示自動化農機、無人機噴藥，協助農作施藥，還有協助農民在災害發生時，申請農損補助的作業效率。透過跨部會合作，將AI、5G、衛星、無人機、物聯網等數位科技導入農業，加速農業的自動化、智慧化發展。</p> <p> </p> <p>圖片來源／臺南市政府、英國政府、數位部、臺中市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.南投拼智慧觀光，爭取溫泉區作為自駕車及車聯網實驗場域</strong></p> <p><strong>2.政府擴大5G普及外島，提升澎湖輪、澎湖5G網路涵蓋</strong></p> <p>資料來源：iThome整理，2024年4月</p> </div></div></div>
2024/5/2 18:09作者蘇文彬https://www.ithome.com.tw/news/162580
美國健康保險巨擘UnitedHealth坦承向駭客支付贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>UnitedHealth Group執行長Andrew Witty在本周三（5/1）舉行的參議院聽證會中，首度對外證實旗下服務Change Healthcare在今年2月遭到勒索軟體攻擊之後，由他決定向駭客支付了贖金。</p> <p>UnitedHealth Group為一健康保險集團，去年創造3,240億美元的營收，是美國的第五大企業。被駭的Change Healthcare為子公司Optum在2021年買下的，主要提供醫療業者的收入周期管理、支付管理，以及健康資訊交換解決方案，每年處理150億筆的醫療照護交易，涉及1/3的美國病患紀錄，此外，根據調查，此一攻擊行動影響了美國9成醫院的財務，還有7成醫院宣稱該事故影響它們照顧病人的能力，也讓美國參議院財政委員會對此一事件展開調查。</p> <p>在攻擊行動發生後，安全研究人員即發現勒索軟體組織BlackCat的錢包中收到了價值2,200萬美元的比特幣，並懷疑是由UnitedHealth所支付的贖金，卻一直未得到UnitedHealth的證實，然而，<a href="https://www.finance.senate.gov/imo/media/doc/0501_witty_testimony.pdf" target="_blank">Witty在本周的聽證會上坦承</a>，在面對此次攻擊時遇到許多挑戰，包括處理贖金要求，他以盡一切努力來保護人們的健康資訊為首要之務，因此決定支付贖金，而這也是他做過最艱難的決定之一。</p> <p>Witty也揭露了該公司對整起攻擊事件的處理程序，指出駭客是在2月12日藉由外洩的憑證自遠端存取Change Healthcare Citrix入口網站，該站並未支援雙因素身分驗證，成功滲透的駭客便在系統內汲取資訊，一直到9天後才部署了勒索軟體。</p> <p>在察覺Change Healthcare的系統被加密之後，該公司迅速切斷Change Healthcare的連結環境，並在21日迎來了來自Google、微軟、思科及Amazon的專家，再加上Mandiant和Palo Alto Networks的安全團隊，開始重新打造Change Healthcare的技術基礎設施，包括更換了數千臺筆記型電腦，輪替憑證，重建Change Healthcare的資料中心網路與核心服務，提高新的伺服器容量，在短短的幾周內便交付了一個在正常情況下、需要幾個月才能完成的全新技術環境。</p> <p>Witty表示，此一攻擊事件表明，加強醫療照護網路安全的需求日益增加，期待政策制定者與其它利益方合作，以制定強大與實用的解決方案。</p> </div></div></div>
2024/5/2 16:31作者陳曉莉https://www.ithome.com.tw/news/162639
通過圖靈驗證從雲端檔案共享空間下載檔案要小心！有人透過冒牌Cloudflare圖靈驗證散布惡意軟體Latrodectus
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疑似由惡意程式IcedID開發的另一款惡意軟體Latrodectus，日前有多組研究人員發現相關攻擊行動，對方將其當作後門運用，並於受害電腦側載EXE或DLL有效酬載，或是下達命令，最近又有新一波攻擊出現。</p> <p>研究人員ProxyLife與Cryptolaemus指出，<a href="https://www.bleepingcomputer.com/news/security/new-latrodectus-malware-attacks-use-microsoft-cloudflare-themes/">攻擊者藉由回信互動型的網釣郵件（reply-chain phishing emails）來發動攻擊</a>，當中通常會含有PDF附件或是URL，一旦收信人依照指示開啟附件，或是點選URL，就有可能看到檔案存放於微軟Azure雲端空間的訊息。</p> <p>若是點選下載文件檔案的按鈕，收信人就會被導向偽造的Cloudflare圖靈驗證流程，要求解開簡單的數學問題。研究人員指出，駭客這麼做的目的，就是為了迴避資安系統的偵測。</p> <p><a href="https://s4.itho.me/sites/default/files/images/solved-cloudflare-captcha-download-file.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/solved-cloudflare-captcha-download-file.jpg" style="width: 580px;" /></a></p> <p>值得留意的是，一旦收信人輸入正確答案，電腦就會自動下載經重度混淆處理的JavaScript指令碼，執行後將從特定URL下載MSI安裝檔，於受害電腦植入DLL程式庫Latrodectus，並透過rundll32.exe載入，在後臺運作，等待接收惡意酬載或是攻擊者的命令。</p> </div></div></div>
2024/5/2 16:38作者周峻佑https://www.ithome.com.tw/news/162640
Nvidia更新ChatRTX聊天機器人以支援語音提示及更多模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/ai-decoded-chatrtx-update/" target="_blank">Nvidia本周更新</a>其基於生成式預訓練模型（Generative Pre-trained Transformer，GPT）與Nvidia RTX系列GPU的ChatRTX聊天機器人，它可支援更多的開源模型，具備語音查詢能力，並可辨識圖片。</p> <p>ChatRTX為一由Nvidia所開發的GPT聊天機器人示範程式，在選擇了大型語言模型之後（LLM），使用者即可將它連至自己的文件、筆記、圖片或其它資料，藉由檢索增強生成（Retrieval-Augmented Generation，RAG）技術、TensorRT-LLM軟體與RTX加速，即可向此一客製化的聊天機器人提出問題，並得到相關的解答。由於它是直接在Windows PC或工作站上執行，可確保隱私及安全。</p> <p>Nvidia是<a href="https://blogs.nvidia.com/blog/chat-with-rtx-available-now/" target="_blank">在今年2月發表</a>ChatRTX，其系統需求包括Nvidia GeForce RTX 30/40系列GPU、Nvidia RTX Ampere或Ada Generation GPU，執行Windows 11作業系統，以及必須具備16GB或更多記憶體。</p> <p>使用者可透過ChatRTX將本地端的檔案當作資料集，首個版本支援.txt、.pdf、.doc/.docx和.xml等檔案格式，連至諸如Mistral或Llama 2的開源大型語言模型，以利用ChatRTX來查詢筆記及檔案，而且是在使用者的裝置上執行。</p> <p>新版增加了對Gemma與ChatGLM3模型的支援，也支援語言及圖像對比預訓練（CLIP）神經網路，並透過對Whisper的支援提供了語音查詢能力，額外支援jpeg、gif及png檔案格式。因此，現在使用者除了可以文字及語音與ChatRTX對話之外，還能搜尋照片與圖片。</p> <p><a href="https://www.nvidia.com/en-us/ai-on-rtx/chatrtx/" target="_blank">ChatRTX開放所有使用者免費下載</a>。</p> <p class="rtecenter"><a href="https://www.youtube.com/watch?v=zMROAxJQ7rk&embeds_referring_euri=https%3A%2F%2Fblogs.nvidia.com%2F" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0502-ChatRTX%20Update%20vedio.png" style="width: 500px;" /></a></p> </div></div></div>
2024/5/2 16:56作者陳曉莉https://www.ithome.com.tw/news/162641
攻擊者濫用Docker Hub映像檔儲存庫出現新的手法！近3百萬儲存庫被用於推送惡意程式、架設釣魚網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者濫用Docker Hub映像檔儲存庫的情況，最常見的手法是上傳帶有惡意元件的映像檔，再從目標Kubernetes環境拉取，而能於受害系統植入惡意程式，從事相關攻擊。但也有其他駭客以不同方式濫用這種儲存庫，其手法的共通點，就是沒有上傳Docker映像檔。</p> <p>資安業者JFrog揭露<a href="https://jfrog.com/blog/attacks-on-docker-with-millions-of-malicious-repositories-spread-malware-and-phishing-scams/">濫用映像檔儲存庫Docker Hub的攻擊行動</a>，就屬於這種例子。研究人員發現這波攻擊行動的原因，在於他們找到近460萬個並未包含Docker映像檔的儲存庫，研究人員進一步清查，結果發約有281萬個被用於攻擊行動，占全部的18.7%，換言之，平均每6個Docker Hub儲存庫就有1個被用於惡意行為。</p> <p>這些遭到濫用的Docker Hub儲存庫，大致上攻擊者將其用於3種類型的攻擊，其中大部分是被用於聲稱提供盜版軟體、遊戲作弊程式下載器（Downloader）的惡意軟體攻擊，有1,453,228個，占整體儲存庫的9.7%；其次是佯稱提供電子書的網路釣魚攻擊（eBook Phishing），有1,069,160個儲存庫被用來從事這類攻擊，占整體的7.1%。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Docker-Img5-1-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Docker-Img5-1-1.jpg" style="width: 580px;" /></a></p> <p>其中，針對前述的「下載器」攻擊，對方分別在2021年及去年發動兩波行動，而且，前後都使用完全相同的惡意酬載進行。一旦使用者依照指示操作對方提供的下載程式，電腦就會被部署惡意軟體。研究人員推測，這很有可能是大規模惡意軟體攻擊行動的一部分。</p> <p>而對於電子書網釣的部分，攻擊者聲稱提供完整版的電子書免費下載，若是使用者依照指示點選URL，就會被重新導向至另一個釣魚網頁，要求輸入信用卡資料。</p> <p>比較特別的是被研究人員歸類為「網站搜尋引擎最佳化（Website SEO）」的儲存庫濫用行為，這些儲存庫的內容多半無害，但對於攻擊目的的部分，研究人員表示並不清楚，推測對方很有可能是在從事真正的攻擊行動之前，將這些儲存庫拿來進行壓力測試。</p> </div></div></div>
2024/5/2 15:39作者周峻佑https://www.ithome.com.tw/news/162636
Google在2022年支付200億美元，以成為蘋果Safari預設搜尋引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部在2020年10月<a href="https://www.ithome.com.tw/news/140636" target="_blank">控告Google以不當手段</a>，維持其在搜尋與搜尋廣告業務上的壟斷地位，雙方的攻防揭露了Google許多不為人知的商業策略，包括支付大筆金額以讓Google搜尋成為其它瀏覽器的預設搜尋引擎，本周<a href="https://www.bloomberg.com/news/articles/2024-05-01/google-s-payments-to-apple-reached-20-billion-in-2022-cue-says" target="_blank">《彭博社》</a>（Bloomberg）引用最新公開的法院文件報導，光是在2022年，Google就付給蘋果200億美元，以讓Google成為Safari的預設搜尋引擎。</p> <p>報導指出，蘋果與Google早在2002年便展開合作，初期雙方屬於策略聯盟，並未涉及金錢交易，之後才協議讓蘋果可分享Google搜尋的廣告營收，且從2021年的5月起，Google每月支付給蘋果的搜尋廣告分潤就超過10億美元。</p> <p>先前便有<a href="https://www.ithome.com.tw/news/146417" target="_blank">分析師估計</a>，Google在2020年付給蘋果100億美元，2021年是150億美元。而根據《彭博社》的報導，Google付給蘋果的搜尋廣告營收比重為36%，在2022年達到200億美元。</p> <p>不過，在2022年的<a href="https://abc.xyz/assets/c4/d3/fb142c0f4a78a278d96ad5597ad9/2022q4-alphabet-earnings-release.pdf" target="_blank">Google財報</a>中，當年的Google搜尋廣告營收為426億美元，以36%的比重來看只有153億美元，分潤要接近一半才能達到200億美元。</p> <p>只是不論是哪個數字，都顯現了Google為了成為Safari預設搜尋引擎所願意負擔的成本，不只是蘋果，Google也與Mozilla簽署了類似的協議，<a href="https://www.theregister.com/2020/08/14/mozilla_google_search/" target="_blank">《The Register》</a>報導，自2021年至2023年間，Google每年大約支付4億至4.5億美元予Mozilla，以成為Firefox的預設搜尋引擎。</p> <p>最新的法院文件也透露，其實微軟也曾想要取代Google，成為Safari的預設搜尋引擎，並提出高達9成的廣告分潤，結果遭到蘋果拒絕。</p> <p><a href="https://www.courthousenews.com/landmark-google-antitrust-case-set-to-wrap-after-long-break/" target="_blank">《Courthouse News Service》</a>則報導，蘋果資深副總裁Eddy Cue在為此案作證時表示，蘋果之所以與Google達成獨家協議，是因為Google提供了市場上最好的產品，雙方的合作是互惠的。</p> </div></div></div>
2024/5/2 13:17作者陳曉莉https://www.ithome.com.tw/news/162634
惡意程式Cuttlefish鎖定小型路由器而來，企圖透過監控流量盜取帳密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Lumen揭露<a href="https://blog.lumen.com/eight-arms-to-hold-you-the-cuttlefish-malware/">專門針對家用及小型辦公室路由器而來的惡意程式Cuttlefish</a>，主要用途是從LAN流量發出的請求當中挖掘帳密及各式身分驗證資料，但也能用於DNS及HTTP挾持，讓攻擊者存取受害組織的內部網路環境。</p> <p>研究人員指出，此惡意軟體還能透過零點擊攻擊的能力，藉由網路邊際設備擷取使用者及裝置的資料，並會透過被動的狀態嗅探封包，而且只有在符合駭客事先定義的環境條件下，才會啟動進行相關工作。Cuttlefish採用的封包探測器主要功能，就是在挖掘身分驗證資料，特別針對公有雲服務而來。</p> <p>為了隱匿行蹤，攻擊者透過VPN隧道，或是濫用合法裝置而成的代理伺服器（Residential Proxies）來建立連線，並透過外流的帳密資料存取目標裝置，這麼做的目的，很可能就是要迴避異常登入的有關偵測機制。</p> <p>根據研究人員的分析，這波攻擊行動從去年10月發生，到今年4月下旬結束。不過這款惡意程式出現的時間更早，他們去年7月27日就看到該惡意程式的行動。</p> <p>而受害者所在的地理位置，主要是土耳其，根據對於C2伺服器的連線，研究人員看到在去年10月初的大規模攻擊行動裡，有99%來自土耳其的IP位址，其中約93%來自兩家電信網路服務供應商，受害組織包含當地航空業者、衛星服務供應商。但除此之外，他們也看到仰賴該國網路基礎設施的其他組織受害。</p> <p>但究竟對方怎麼入侵這些路由器？研究人員表示並不清楚，然而，一旦得逞，攻擊者就會下載bash指令碼，收集特定主機資料並傳至C2，接著，這個指令碼也會下載Cuttlefish並執行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cuttlefish1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cuttlefish1.png" style="width: 580px;" /></a></p> <p>至於攻擊者的身分，研究人員並未透露具備的駭客組織國藉或是名稱。但他們對於其程式碼進行分析，結果發現Cuttlefish與另一款名為HiatusRAT的惡意程式攻擊行動有關，兩者的目標都與中國利益有關，言下之意很有可能就是該國的駭客所為。</p> </div></div></div>
2024/5/2 12:48作者周峻佑https://www.ithome.com.tw/news/162633
Anthropic發表AI助理Claude免費iOS程式及企業方案Team
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>被外界視為最有潛力挑戰OpenAI的Anthropic，於周三（5/1）發表了<a href="https://www.anthropic.com/news/team-plan-and-ios" target="_blank">免費的iOS程式</a>及首個企業方案Claude Team，目前Claude iOS已開放下載，而Claude Team最少的訂閱數量為5名成員。</p> <p>Anthropic原本提供免費及Pro兩種方案，任何人都可註冊免費版，目前的免費版可存取Claude 3 Sonnet模型，提供網頁版及iOS/iPad程式，每月訂閱費率20美元的Pro版則可存取Claude 3 Opus，可在流量高峰時優先使用，亦能搶先體驗新功能。</p> <p>至於新的Team方案則涵蓋了Pro版的所有功能，但額外提供更多的使用量，可存取Claude 3的所有家族模型，包括Opus、Sonnet 和 Haiku，支援20萬個Token的脈絡，也提供了集中計費及管理工具，並可提前試用各種協作功能，其每人每月訂閱費率為30美元，最少訂閱數量為5名。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0502-Anthropic-Claude%20Team%20plan-create%20project(1).png" style="width: 600px;" /></p> <p>Anthropic計畫於未來幾周推出新的協作功能，包括透過可靠來源來驗證AI所生成的主張，或者是整合程式碼庫或客戶關係管理系統等資料庫，也可與同事共同修改由AI生成的文字或專案。</p> <p>而免費的Claude iOS程式則可接續來自網頁的聊天內容，亦支援視覺功能，可上傳手機上或新拍攝的照片進行分析。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0502-Anthropic-%20Claude%20iOS%20app-600.png" style="width: 454px;" /></p> <p>Anthropic是在今年3月發表<a href="https://www.ithome.com.tw/news/161610" target="_blank">Claude 3模型家族</a>，並被研究人員視為是<a href="https://www.ithome.com.tw/news/161705" target="_blank">最有潛力挑戰OpenAI GPT-4</a>的模型。由出自OpenAI的兄妹Dario Amodei與Daniela Amodei共同創辦的Anthropic，亦是Google及Amazon<a href="https://www.ithome.com.tw/news/159545" target="_blank">爭相投資</a>的AI新秀。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Anthropic</span></span></p> </div></div></div>
2024/5/2 11:45作者陳曉莉https://www.ithome.com.tw/news/162632
MongoDB推出一站式企業GAI應用開發工具方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NoSQL資料庫供應商<a href="https://investors.mongodb.com/news-releases/news-release-details/mongodb-launches-new-program-enterprises-build-modern" target="_blank">MongoDB公布名為MongoDB AI應用方案</a>（MongoDB AI Application Program，MAAP）的一站式開發工具方案，協助企業端到端開發及部署具有生成式AI（GAI）的企業應用。</p> <p>MAAP包含MongoDB及其夥伴提供的軟體工具、基礎架構及服務的一站式企業工具，涵括顧問服務、基礎模型、雲端基礎架構、生成式AI框架與模型代管服務，協助企業從設計、建造、部署及擴增完成生成式AI應用的開發。</p> <p>這項方案以MongoDB的雲端資料庫MongoDB Atlas為基礎，搭配該公司企業服務，以及合作夥伴提供的工具及服務。合作夥伴包括大型雲端平臺如微軟Azure、 Google Cloud、Amazon Web Services（AWS），專業代管平臺Anyscale、 Together AI、服務業者PeerIslands、企業搜尋方案Pureinsights、AI基礎模型業者Anthropic、Cohere、Fireworks.ai，以及開發工具及框架供應商如Credal.ai、gravity9、 LangChain、 LlamaIndex、Nomic等。</p> </div></div></div>
2024/5/2 10:16作者林妍溱https://www.ithome.com.tw/news/162625
程式開發語言R爆有程式碼執行漏洞，可用於供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://hiddenlayer.com/research/r-bitrary-code-execution/" target="_blank">開源碼程式語言R被發現</a>有一個允許攻擊者執行惡意程式碼的重大漏洞，開發機構本周發布新版修補。</p> <p>本漏洞為資安業者HiddenLayer研究人員Kasimir Schulz和Kieran Evans通報，命名為CVE-2024-27322。<a href="https://www.kb.cert.org/vuls/id/238194" target="_blank">CERT公告</a>說明，最新漏洞為一反序列化（deserialization）瑕疵，允許惡意檔案在反序列化時執行任意程式碼。這項攻擊若牽涉套件，則可能引發供應鏈攻擊。本漏洞風險值被列為8.8。</p> <p>R語言支援資料序列化（data serialization）。序列化是指將物件轉換成可儲存格式，反序列化則是將儲存格式轉換成物件。序列化和反序列化發生在資料儲存及網路上傳輸，對開發人員來說，也經常發生在程式開發過程中：從套件庫下載套件即牽涉反序列化。但序列化與反序列化過程很容易遭到惡意人士濫用。</p> <p>R語言開發使用RDS檔案格式進行序列化資料的儲存或傳送。RDS格式包括二種：.rdb檔及.rdx檔。R程式執行過程使用readRDS函式從套件庫讀取這二種檔案，再以eva1函式評估檔案中的表達式（expression）的值，以便將物件由RDS檔解壓縮並反序列化，在目標平臺上執行。</p> <p>研究人員指出，CVE-2024-27322即牽涉R程式序列化／反序列化過程中，利用　promise物件及惰性求值（lazy evaluation）。在反序列化載入RDS檔或套件時，由於R支援惰性求值（lazy evaluation），未能及時檢查Promise物件RDS檔中的指令值。攻擊者可建立包含有特定指令值的RDS檔，再以社交工程誘使使用者下載。因此若是惡意RDS檔，則使用者程式參照RDS檔時就會直接執行指令程式碼。若物件是組譯成R套件，攻擊者可將之加入R儲存庫中，等其他使用者載入該套件時即執行程式碼。研究人員指出，一旦攻擊者只要能覆寫掉原本的.rdx或.rdb檔，就能以R套件發動供應鏈攻擊。</p> <p>不過在獲得通報後，<a href="https://cran.r-project.org/doc/manuals/r-release/NEWS.html" target="_blank">R語言開發單位已發布新版本R Core Version 4.4.0</a>解決這項漏洞。安全廠商呼籲開發人員儘速更新。</p> </div></div></div>
2024/5/2 11:13作者林妍溱https://www.ithome.com.tw/news/162626
Amazon Q正式登場，預覽可自動建置AI程式的Amazon Q Apps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon周二（4/30）<a href="https://press.aboutamazon.com/2024/4/aws-announces-general-availability-of-amazon-q-the-most-capable-generative-ai-powered-assistant-for-accelerating-software-development-and-leveraging-companies-internal-data" target="_blank">宣布全面推出</a>於去年11月<a href="https://www.ithome.com.tw/news/160064" target="_blank">發表</a>的AI聊天機器人Amazon Q，並開始預覽可自動建置基於生成式AI之應用程式的Amazon Q Apps。</p> <p>能以自然語言溝通的Amazon Q現階段僅專注於企業應用，並未支援一般消費者使用，它提供<a href="https://aws.amazon.com/tw/blogs/aws/amazon-q-business-now-generally-available-helps-boost-workforce-productivity-with-generative-ai/" target="_blank">Amazon Q Business</a>及Amazon Q Developer兩種版本，前者每名使用者的每月訂閱費用為20美元，後者則是25美元。</p> <p>Amazon Q Business主要的功用在於組織企業內部的資料庫，可連結逾40種企業系統，涵蓋Amazon S3、Salesforce、Google Drive、Microsoft 365、ServiceNow、Gmail、Slack、Atlassian 及 Zendesk等，亦可連結企業的身分服務供應商，以依據使用者的角色及可存取的資料提供相關且精確的解答。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-amazon%20q-business-1-diagram-1.jpg" style="width: 600px;" /></p> <p>Amazon Q Business也可協助使用者自動產生所需的內容或完成各種任務，不管是會議紀錄的摘要，撰寫電子郵件或部落格，亦可於Amazon的BI服務QuickSight中使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0501-Amazon%20Q%20in%20QuickSight-3.png" style="width: 600px;" /></p> <p>至於Amazon Q Developer除了擁有Amazon Q Business版本的所有功能之外，額外具備了開發者能力。例如它是個AWS專家，可提供各種AWS功能、服務及解決方案的指導，或者是優化所使用的AWS資源，更重要的是它還能協助開發者偵錯、測試及最佳化程式碼；或是最佳化應用程式；還能以自然語言解釋程式碼，協助開發者快速熟悉陌生的專案與程式碼；協助升級程式碼；將自然語言轉換成SQL查詢。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0501-Amazon%20Q%20Developer%20chatting-600.png" style="width: 600px;" /></p> <p>Amazon Q Developer聊天介面可支援AWS控制臺、AWS Console、Slack、Microsoft Teams，以及各種熱門的整合開發環境（IDE）。</p> <p>由於Amazon Q可依據企業內部的程式碼庫自行定義適合的程式碼撰寫規定，先前曾試用Amazon Q Developer的BT Group宣稱該公司接受了Amazon Q所提出的37%的程式碼建議，澳洲國家銀行（National Australia Bank）則說它們接受了50%的程式碼建議。</p> <p>至於自本周開始預覽的Amazon Q Apps則允許使用者以自然語言，描述所需的應用程式，就能自動產生基於生成式AI的應用程式，而無需任何撰寫程式碼的經驗，例如人力資源部門要替新進員工制定入職計畫時，只要說明要依照公司既有的最佳實踐替新進員工建立入職計畫，必須具備員工編號欄位，Amazon Q Apps可在幾秒內生成一個可供不同招聘團隊使用的應用程式，替不同的新員工打造個人化的入職計畫。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0501-Amazon%20Q-app%20creator.png" style="width: 389px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> </div></div></div>
2024/5/1 14:47作者陳曉莉https://www.ithome.com.tw/news/162610
微軟要在印尼投資17億美元以建置雲端及AI基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟執行長Satya Nadella周二（4/30）於印尼舉行的<a href="https://news.microsoft.com/apac/2024/04/30/microsoft-announces-us1-7-billion-investment-to-advance-indonesias-cloud-and-ai-ambitions/" target="_blank">Microsoft Build：AI Day會議上宣布</a>，將投入17億美元以推動印尼的雲端及AI基礎設施，並替當地84萬名人口提供AI技能機會，這也是微軟29年來在印尼最大的一筆投資。</p> <p>此一投資可望替印尼的AI轉型奠定基礎，其中包括建立微軟於印尼的第一個資料中心區域，以滿足當地對雲端運算服務日益增加的需求。此外，根據Kearney的研究，AI將替東南亞的國內生產總值（GDP）帶來1兆美元的貢獻，而印尼便占了3,660億美元。</p> <p>此外，微軟也計畫訓練當地的AI人才，對象包括學生、女性、弱勢及非營利組織的社群，預計讓84萬名人口取得AI技能。</p> <p>儘管印尼被列為開發中國家，但該國為全球第四大人口國，也是亞太地區僅次於中國及印度的第三大人口國，而印尼亦擁有310萬的GitHub開發者，同樣名列亞太地區第三名。</p> <p>根據<a href="https://github.blog/2023-11-08-the-state-of-open-source-and-ai/" target="_blank">GitHub去年底的統計</a>，從全球來看，美國、印度與中國為該平臺前三大開發者社群，印尼則排名第九；該統計也列出了亞太地區成長最快的社群，前五名依序是新加坡（年增39%）、印度（36%）、香港（35%）、越南（34%）與印尼（31%），然而，除了印度與印尼之外，並無其它國家入選全球前十大GitHub社群，微軟則預期印尼將在2026年擠上全球前五名。</p> </div></div></div>
2024/5/1 15:06作者陳曉莉https://www.ithome.com.tw/news/162611
傳蘋果挖角Google人才、成立歐洲AI實驗室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在AI領域急起直追，透過挖角及收購新創公司，強化研發實力，並已在瑞士悄悄成立AI實驗室。</p> <p>《<a href="https://www.ft.com/content/87054a60-dc4d-4238-a4b9-93ab48f22f56" target="_blank">金融時報</a>》分析LinkedIn使用者動態及蘋果公開職缺資訊報導，蘋果近來積極招募人才以擴充AI及機器學習部門，其中似乎特別鎖定Google AI員工。</p> <p>蘋果<a href="https://www.ithome.com.tw/news/127847" target="_blank">2018年找來</a>Google AI及搜尋部門主管John Giannandrea，隨後任命他為機器學習和人工智慧策略部門資深副總裁，主導將AI整合到蘋果所有產品，以及改善Core ML等開發工具，以創造「更個人化、智慧化的自然互動」。《金融時報》報導，蘋果近來又從Google挖來至少36人。</p> <p>報導另外指出，這家iPhone製造商也在瑞士蘇黎世悄悄成立AI實驗室。因為蘇黎世理工學院的關係，Nvidia、蘋果及Meta都在當地設有分公司。但報導引述蘇黎世理工學院（ETH Zurich）教授Luc van Gool指出，蘋果近日又在當地成立一個名為Vision Lab的實驗室，成員來自當地二家AI新創公司。一是發展臉部表情及3D動作捕捉技術供應商Faceshift，二是用於電商平臺圖像辨識業者Fashwell。其實蘋果已分別在2015年及2019年收購這二家公司。</p> <p>報導引述Vision Lab發表的論文，顯示已有生成式AI研發成果。像是用戶可以文字或圖片輸入提示，由代理程式查詢結果。例如用戶將相機對準衣服拍照或查詢「這哪裏有賣？」，代理程式即回傳可購買的店家或網站。</p> <p>這家iPhone及Mac電腦製造商希望能為裝置加入AI功能以深化服務，維持銷售動能。蘋果執行長Tim Cook曾在年初宣布今年內會有AI相關產品推出。雖然官方還是沒有說明其AI進展，但上周蘋果研發部門<a href="https://www.ithome.com.tw/news/162544" target="_blank">公布OpenELM AI模型</a>系列，最小者為2.7億參數，已具有在裝置上執行提示的能力。</p> </div></div></div>
2024/5/1 15:18作者林妍溱https://www.ithome.com.tw/news/162612
Android通用核心將移除RISC-V支援，但Google否認不再支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.androidauthority.com/android-drop-risc-v-kernel-3438330/" target="_blank">Android Authority</a>》報導，Google的Android共通核心（Android Common Kernel，ACK）近日更新，移除了對RISC-V指令的支援。但Google團隊仍表示會持續支援該架構。</p> <p>Google Android系統團隊本周發布AOSP（Android Open Source Project）一系列修補程式，將移除ACK對RISC-V64的支援。這些修補程式的描述文字表示，「將終止對RISC64 GKI核心的支援。」GKI（General Kernel Image）是ACK分支之一加上跨硬體執行的程式碼，目標是提供通用的、可移植的核心映像，減少裝置製造商的工作量，確保Android安全性及可攜性。</p> <p>對期待Android支援RISC-V的開發人員或產業人士而言，這是一大挫敗。RISC-V作為開源指令集架構，結合效能及功率效益，受到物聯網（IoT）、車用及穿戴裝置開發商愛用以支援新式應用。例如高通、Bosch、英飛凌（Infineon）、恩智浦（NXP）<a href="https://www.qualcomm.com/news/releases/2023/08/leading-semiconductor-industry-players-join-forces-to-accelerate" target="_blank">去年宣布成立合資公司</a>以開發RISC-V架構的處理器。</p> <p>在Google方面，這家軟體平臺大廠去年1月宣布ACK支援RISC-V架構，並<a href="https://github.com/riscv-android-src/riscv-android?tab=readme-ov-file" target="_blank">持續更新</a>加入其他工具。去年10月<a href="https://www.ithome.com.tw/news/159332" target="_blank">Google和高通宣布</a>合作開發穿戴裝置用的RISC-V晶片（品牌名為RISC-V Snapdragon Wear），<a href="https://www.ithome.com.tw/news/159576" target="_blank">Google並宣布</a>推進支援，將在今年公布模擬器，讓Android開發人員能編寫RISC-V平臺的原生程式碼。外界原本預期或許會有RISC-V晶片的WearOS智慧型手錶。</p> <p>在ACK移除對RISC-V核心、Build及模擬器的支援後，任何公司想組譯可執行在RISC-V平臺的Android，未來就必須自行維護具有ACK和相關程式碼的Linux核心。雖然媒體推測這也意謂著Android將完全不再支援RISC-V。但Google對媒體表示，Android還是會持續支援。Google解釋，GKI迭代速度很快，因此公司尚未準備好提供通用的單一映像檔。</p> <p>在Google有進一步支援（或不支援）的行動前，Android Authority指出，由於Google目前只有驗證包含特定ACK分支的GKI核心，這表示短期間內不會看到Android on RISC-V的硬體問世。</p> <p>這項行動和Google將資源全數集中投資巨大的AI是否有關不得而知。<a href="https://www.ithome.com.tw/news/162586" target="_blank">Google本周傳出</a>將裁減開發工具Python、Flutter、Dart等部門人力，將工作移轉到成本較低的海外地區。</p> </div></div></div>
2024/5/1 14:15作者林妍溱https://www.ithome.com.tw/news/162609
Amazon首季營收成長13%，AWS成長17%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon周二（4/30）<a href="https://ir.aboutamazon.com/news-release/news-release-details/2024/Amazon.com-Announces-First-Quarter-Results-68b9258cd/" target="_blank">公布今年第一季財報</a>，該季的總營收達到1,433億美元，成長13%。其中，AWS的營收占了250億美元，成長17%，整體而言，Amazon的淨收入達到104億美元，比去年同期增加了225%，當天Amazon的盤後股價上漲了1.26%，為177.2美元。</p> <p>該季Amazon的北美零售業務締造863.4億美元的營收，成長12.3%，營業利潤為49.8億美元，成長454%。國際零售業務營收為319.4億美元，成長9.7%，但營業利潤為9億美元，去年同期則是虧損12.5億美元。至於AWS該季營收則為250.4億美元，成長17%，但營業利潤達94.2億美元，成長84%。</p> <p>Amazon執行長Andy Jassy表示，隨著各家公司強化其基礎設施以更加現代化，再加上AWS的AI功能所帶來的吸引力，AWS的成長率正在重新加速，以第一季來看，AWS的年收入將可達到1,000億美元。</p> <p>此外，Amazon在零售業務上不僅開始提供每日低價產品，並加快送貨速度，亦力求降低服務成本；同時Stores及Prime Video的廣告業務也正在成長。該季Amazon的廣告營收達118億美元，年增24%，是Amazon服務細項中成長最快的類別。</p> <p>目前Amazon的全球員工數為152.1萬人，年增4%，而這也是最近6季以來，員工數唯一呈現正成長的一季，顯示應已脫離疫情後的裁員潮。</p> </div></div></div>
2024/5/1 12:23作者陳曉莉https://www.ithome.com.tw/news/162604
幣安前執行長趙長鵬被判刑4個月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為全球最大加密貨幣平臺幣安（Binance）創辦人暨前執行長的趙長鵬，在去年11月<a href="https://www.ithome.com.tw/news/159946" target="_blank">承認參與洗錢活動</a>之後，在本周二（4/30）舉行的量刑聽證會中，美國法官Richard Jones判處了4個月的監禁，相較於美國司法部所求處的3年刑期，或者是另一加密貨幣交易平臺<a href="https://www.ithome.com.tw/news/162034" target="_blank">FTX創辦人被判處</a>的25年刑期，這對趙長鵬來說應是個好消息。</p> <p>美國的調查顯示，幣安既未確實履行反洗錢計畫，也無視美國的制裁規定，依舊允許遭到美國制裁的國家與美國用戶交易，例如美國用戶與伊朗用戶之間的交易就超過9億美元。法官認為幣安將公司成長及獲利置於美國法令之上，且同時違反了美國的多項法令，最終幣安同意支付43億美元的罰款，而趙長鵬則同意辭去執行長一職，亦支付了5,000萬美元的罰款。</p> <p>在對趙長鵬的量刑中，儘管Jones認為趙長鵬擁有必要的資金、財務能力與人力，卻未能抓住遵守美國法令的機會，但也說並無證據顯示趙長鵬曾被告知幣安的非法活動。</p> <p>Jones也說他閱讀了大量來自趙長鵬親友的支持信件，發現他們對趙長鵬的描述都是一致的，亦即他是個慈善家，再加上趙長鵬是自與美國沒有引渡條款的阿拉伯聯合大公國自願來美受審，都讓他決定輕判。</p> <p>其實在量刑之前，趙長鵬自己就寄了<a href="https://storage.courtlistener.com/recap/gov.uscourts.wawd.328570/gov.uscourts.wawd.328570.81.1.pdf" target="_blank">道歉信</a>給法官，另外，法官還至少收到了超過160封<a href="https://storage.courtlistener.com/recap/gov.uscourts.wawd.328570/gov.uscourts.wawd.328570.81.2.pdf" target="_blank">支持趙長鵬的信件</a>，當中包括來自趙長鵬妻子何一（He Yi）的信件（有中、英文版）。</p> <p>外界估計趙長鵬依然握有幣安的主要股權，身價高達330億美元。</p> </div></div></div>
2024/5/1 11:46作者陳曉莉https://www.ithome.com.tw/news/162603
Brocade儲存區域網路管理軟體發現多個漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://pierrekim.github.io/blog/2024-04-24-brocade-sannav-18-vulnerabilities.html#suspicious-network-traffic-www.gridgain.com">資安研究人員Pierre Barre在Brocade儲存區域網路（SAN）管理軟體SANnav發現多個漏洞</a>，可能被用來攻擊光纖通道（Fibre Channel）交換器與SAN基礎設施。</p> <p>SANnav包括SANnav Management Portal與SANnav Global View等2項元件，可透過圖形化介面，提供自動化的SAN管理服務，幫助用戶簡化SAN環境的管理作業，免除繁瑣指令，並以易於理解的可視化資訊，掌握SAN環境的運作。</p> <p>Pierre Barre通報的SANnav軟體漏洞一共有18個，會影響2.3.0版以前的所有SANnav版本，其中有15個漏洞已被指派CVE識別碼。</p> <p>Pierre Barre早在2022年9月時，便透過Dell向Brocade通報這些問題，但當時Barre測試的SANnav版本是2.1.1版，而Brocade已推出新的2.2.2版，因而未接受Barre的安全通報。後來Barre在2023年5月確認2.2.2版仍存在這些漏洞，並額外通報3個新漏洞，Borcade才正式承認這些漏洞，並於2024年4月發布修正檔，將SANnav更新到2.3.1版以修補這些漏洞。</p> <p>第1個漏洞CVE-2024-4159，是因為SANnav的虛擬機器缺乏預設防火牆保護，從而允許攻擊者存取SANnav內含的Apache Kafka事件串流平臺API。</p> <p>第2個漏洞未獲CVE識別碼，是SANnav的HTTPS連接如果遭到攻擊者阻擋時，將會轉用HTTP來連接，從而讓攻擊者可以從SANnav的資料傳輸中尋找密碼資訊。</p> <p>第3個漏洞CVE-2024-4161，SANnav是透過未加密的明文，來接收Brocade光纖交換器的系統日誌（Syslog）流量。</p> <p>第4個漏洞CVE-2024-29966，與未獲CVE識別碼的第5個漏洞，分別是不安全的系統帳戶root與sannav，前者的密碼是在產品文件中公開的，而後者也使用相同密碼。</p> <p>第6個漏洞CVE-2024-2859，是系統預設可以透過root權限，在OpenSSH 設定檔設定不安全的選項。</p> <p>第7個漏洞CVE-2024-29961，與第17個漏洞CVE-2024-29961，都是SANnav存在可疑網路流量的問題，分別會向ignite.apache.org與<a href="http://www.gridgain.com">www.gridgain.com</a>定期發送HTTPS請求，讓人不解且顯得可疑。</p> <p>第8個漏洞未獲CVE編號，以及第9個漏洞CVE-2024-29967，都是SANnav的Postgres資料庫存取不安全，Postgres資料庫存取沒有身分認證機制，可透過任何Docker執行個體存取，並藉此存取內含敏感資料的dcmdb資料庫，且能覆寫Postgres Docker執行個體的關鍵檔案。</p> <p>第10個漏洞CVE-2024-29967與第11個漏洞CVE-2024-29964，都是SANnav的Docker執行個體運作不安全，允許攻擊者透過取代特定目錄中的二進位檔案來接管SANnav，且任何Docker執行個體都能編輯系統與日誌的組態；此外，構成SANnav的40個Docker執行個體，彼此間是以HTTP互連，配置上也存在多個漏洞，其中4個執行個體擁有較大的權限，可允許攻擊者接管整個SANnav。</p> <p>第12個漏洞CVE-2024-29965是不安全的備份程序，擁有本機存取權限的攻擊者可以將SANnav的備份檔案還原到其他裝置上，進而從中找出敏感的配置與密碼資訊。</p> <p>第13個漏洞CVE-2024-4159是防火牆規則不一致，SANnav提供了對應IPv4與IPv6的防火牆規則，但彼此間存在一些不一致，增加了IPv6連接遭受攻擊的機會。</p> <p>第14個漏洞CVE-2024-29962，是內含密碼與日誌的檔案存取權限不安全，攻擊者可藉此獲得密碼與讀取日誌。</p> <p>第15個漏洞CVE-2024-4173，是可透過多個WAN埠，存取SANnav內含的Kafka事件串流平臺，且缺乏身分驗證。攻擊者可透過暴露在WAN連接環境上的Kafka平臺，來攻擊SANnav系統。</p> <p>第16個漏洞CVE-2024-2996，與第18個漏洞CVE-2024-29963，分別是SANnav的SSH密鑰，以及Docker的TLS存取密鑰，都是在原廠OVA映像檔中寫死（Hardcoded）的型式，攻擊者有藉此破解與攻擊SSH與TLS傳輸的可能，所有基於原廠OVA映像檔部署的SANnav，都受這2個漏洞影響。</p> </div></div></div>
2024/4/30 18:04作者張明德https://www.ithome.com.tw/news/162600
金管會公布金融業運用AI指引最新進度，6月發布正式指引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會在去年10月發布金融業運用AI的六大核心原則，去年底更公布「金融業運用AI指引」草案，分別敘述金融業落實AI核心原則的建議作法，對外開放60天徵詢意見。金管會創新中心專委劉秀玲今日在例行記者會上表示，內部已參考外界意見做相關調整，目前正在徵詢專家學者建議，預計會在六月發布正式指引。</p> <p>這份指引草案的主要架構是將AI系統生命周期分為4個階段，分別是系統規畫及設計、資料蒐集及輸入、模型建立及驗證，和系統佈署及監控，建議業者在各個階段落實核心原則的作法。指引是為了鼓勵金融業在風險可控的情況下導入、使用及管理AI，性質屬於行政指導，不具法律拘束力。</p> <p>在記者會中，劉秀玲提出三個較重要的修正建議。第一，指引部分內容採用舉例的方式說明適用性，可能帶來侷限性，因此，金管可能調整說明方式，強調指引中的舉例僅供參考，增加指引適用的彈性。</p> <p>第二，AI模型部署方式包含自建、委外和外購三種方式，不同部署方式在適用AI指引時有不同情境，需要依據業者和合作廠商的分工情形，來釐清責任歸屬，因此，金管會可能會再針對不同部署方式增訂相關內容。</p> <p>第三，指引內容提到，業者運用高風險系統時，應由第三方稽核或評測單位進行獨立驗證。然而，部分業者建議，未必需要由獨立性單位進行驗證，改為第三方稽核或評測單位進行驗證更為彈性。</p> <p>目前，金管會尚在徵詢專家學者意見，評估如何修正指引內容，因此，劉秀玲表示，尚未確定將參採哪些建議。</p> <p></p> </div></div></div>
2024/4/30 17:59作者李昀璇https://www.ithome.com.tw/news/162599
【資安日報】4月30日，安卓金融木馬Brokewell透過冒牌Chrome更新網頁散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定手機的金融木馬攻擊不時傳出，最近研究人員揭露名為Brokewell的惡意程式，並指出該惡意程式能繞過Android 13的防護機制，進而透過側載的方式執行其他作案工具。</p> <p>值得留意的是，Brokewell並非首款能繞過上述防護機制的安卓惡意軟體，但研究人員認為，攻擊者未來應該會透過租賃服務提供其他網路犯罪份子利用，使得該惡意軟體危害範圍進一步擴大。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162593"><strong style="font-size: 22px;">金融木馬Brokewell挾持安卓裝置，從而竊取機敏資料、洗劫金融帳戶</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide1-Apr-17-2024-10-25-40-6370-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide1-Apr-17-2024-10-25-40-6370-PM.png" style="width: 300px; float: right;" /></a></p> <p>資安業者ThreatFabric發現名為Brokewell的安卓金融木馬，並指出該惡意程式具備廣泛的設備接管功能，攻擊者也開發了名為Brokewell Android Loader的惡意程式載入元件，從而繞過Google在Android 13加入輔助服務（Accessibility Service）管制，而能側載應用程式。</p> <p>這個惡意程式被發現的原因，是研究人員看到冒牌的Google Chrome更新網頁，與正牌網頁極為相似，不同之處在於：正牌網頁同時提供「取得Chrome」和「我想更新Chrome」的連結，冒牌網頁只有「更新Chrome」的按鈕。但這種差異，恐怕多數使用者都無法輕易察覺。</p> <p>根據研究人員的觀察，Brokewell幾乎每天都有更新，顯示駭客相當勤勞，他們也推測，未來這項攻擊模式很有可能朝向租賃服務發展，從而吸引其他網路犯罪份子，以此對更多地區發動相關攻擊。</p> <p><a href="https://www.ithome.com.tw/news/162589"><strong style="font-size: 22px;">福斯汽車傳出資料外洩，駭客疑似竊得逾1.9萬份機密資料</strong></a></p> <p></p> <p>德國媒體ZDFheute及明鏡（Spiegel）指出，他們取得汽車大廠福斯（Volkswagen）針對網路攻擊的調查文件，從而揭露一起未曾揭露的資安事故。</p> <p>根據這份文件，福斯從2010年至2015年遭駭客入侵，包含智慧財產相關的檔案遭到外洩。對方疑似從2010年調查該公司的IT基礎架構，尋找可用漏洞，並於次年成功存取，並在2014年多次將機密資料傳至外部伺服器，這些駭客犯案後亦清除作案跡證。</p> <p>後來資安專家調查發現，對方共發起3波攻擊，竊得汽油引擎、變速箱研發資料，而對於近年興趣的電動車，相關開發資料也慘遭毒手，估計總共超過1.9萬份文件外流。根據對方的IP位址，作案工具及時區，推測攻擊者來自中國，相關證據指向中國政府及解放軍。</p> <p><a href="https://www.ithome.com.tw/news/162598"><strong style="font-size: 22px;">身分驗證解決方案業者Okta提出警告，鎖定該公司用戶的帳號填充攻擊爆增</strong></a></p> <p>4月27日身分驗證解決方案業者Okta的資安團隊提出警告，繼思科從3月下旬發現鎖定多個廠牌的SSL VPN系統的大規模暴力破解攻擊，他們也在本月19日至26日，發現針對客戶的帳號填充（Credential Stuffing）攻擊大幅增加，而且，攻擊來源疑似是幾乎相同的攻擊基礎設施。但究竟有多少用戶受害？該公司並未說明。</p> <p>究竟對方如何取得使用者的帳密資料？該公司認為，駭客很可能是透過其他資料外洩事故，或是藉由網路釣魚及惡意軟體攻擊取得。</p> <p>值得留意的是，這些攻擊具有相同的特徵，那就是駭客仰賴隱身服務Tor來發出請求，而且，數以百萬的請求過程，也都透過濫用合法裝置的代理伺服器服務（Residential Proxies）進行。</p> <p><a href="https://www.ithome.com.tw/news/162576"><strong style="font-size: 22px;">冒牌美國郵局網釣網站流量超越正牌網站</strong></a></p> <p></p> <p>資安業者Akamai指出，他們員工收到許多佯稱是美國郵局（United States Postal Service，USPS）的詐騙簡訊，從而調查發現，從去年10月至今年2月，用戶DNS查詢僅有51%導向正牌的美國郵局網站，其餘都被導向釣魚網站，而且，每逢特定節日，釣魚網站的DNS查詢次數就會遠大於正牌網站。</p> <p>根據研究人員的調查，全球至少有超過68萬個含有USPS字串的釣魚網域名稱，其中約有27萬個採用.com、27萬個採用.top、5.8萬個採用.shop、3萬個採用.xyz、1.6萬個採用.org。</p> <p>雖然他們在調查期間，觀察到正牌網站的DNS查詢量略多於釣魚網站，但研究人員指出，這樣的結果是因過濾資料的方式造成，實際上惡意流量顯然超過了合法流量，這也突顯網域名稱搶註與網釣攻擊泛濫的現象。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.deepinstinct.com/blog/uncorking-old-wine-zero-day-cobalt-strike-loader"><strong style="font-size: 20px;">烏克蘭遭遇Office已知漏洞攻擊，對方利用PowerPoint檔案散布Cobalt Strike</strong></a></p> <p></p> <p>◆<a href="https://securityaffairs.com/162333/cyber-crime/swedens-liquor-supply-ransomware-attack.html"><strong style="font-size: 20px;">瑞典物流業者Skanlog傳出遭遇勒索軟體攻擊，導致當地酒品供應受到衝擊</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/london-drugs-pharmacy-chain-closes-stores-after-cyberattack/"><strong style="font-size: 20px;">加拿大連鎖藥局London Drugs遭遇網路攻擊，被迫暫停營業</strong></a></p> <p></p> <p>◆<a href="https://securityaffairs.com/162479/security/icici-bank-technical-glitch.html"><strong style="font-size: 20px;">印度銀行ICICI行動應用程式配置錯誤，導致逾1.7萬張信用卡資料曝光</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162590"><strong style="font-size: 22px;">針對防火牆危急漏洞CVE-2024-3400，Palo Alto Networks證實攻擊者有可能藉此持續存取受害裝置</strong></a></p> <p>4月12日資安業者Palo Alto Networks發布資安公告，指出旗下防火牆存在危急漏洞CVE-2024-3400，CVSS風險評分達到10分，此漏洞存在於防火牆作業系統PAN-OS的GlobalProtect功能，未經授權的攻擊者有機會使用root權限，在防火牆上執行任意程式碼。</p> <p>當時通報此事的資安業者Volexity指出，他們察覺這項漏洞的原因，是發現客戶的防火牆出現可疑的攻擊流量。Palo Alto也在17日證實，漏洞利用出現增加的情況，且有第三方公布概念性驗證程式碼（PoC），如今情況又有新的進展。</p> <p>30日該公司再度更新資安公告，指出他們針對前述的PoC手法進行分析，確認一旦攻擊者加以利用，即使IT人員對防火牆進行升級或是重置，對方仍能持續在受害裝置上活動，並以root層級執行命令。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162596"><strong style="font-size: 22px;">第4屆尋找資安女婕思資安競賽優勝者出爐</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GiCS-2024-Final.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GiCS-2024-Final.jpg" style="width: 300px; float: right;" /></a>為了培養多元的資安人才，近年來國家科學及技術委員會與教育部聯手，舉辦GiCS尋找資安女婕思資安競賽，今年已邁入第4屆。本次競賽自3月8日開放報名，上週末舉行決賽並發表成果。</p> <p>本次競賽於4月27日，在臺南沙崙資安暨智慧科技研發大樓舉辦決賽，比賽結果出爐，在資安闖天關的賽事當中，高中職組的冠軍是臺中高工及文華高中組成的WHC隊，拿下大專校院組冠軍的隊伍名稱相當特殊，叫做「逢甲大學是一所積極新創、學科齊全，在國際上具有重要影響力與競爭力的綜合性大學，歡迎大家報考逢甲大學」。</p> <p>而在另一場創意發想賽，高中職組由內湖高中「美少女戰四」隊得到冠軍，大專院校今年首度分為兩組，其中，資訊相關科系組的冠軍是元智大學「查某囝仔」隊，非相關科系組別的第一名，是中國文化及逢甲大學組成「蘑菇蘑菇讓我把你帶回家」隊。</p> <p><a href="https://www.ithome.com.tw/news/162396"><strong style="font-size: 22px;">儲存系統廠商CTERA強化勒索軟體防護能力</strong></a></p> <p>從雲端閘道器起家的CTERA，主力產品是基於GFS分散式檔案系統（Global File System）平臺的CTERA Edge Filer儲存裝置，以及雲端儲存服務，可建立跨多雲的分散式檔案儲存環境。為了對抗勒索軟體威脅，CTERA也在去年年中為其儲存平臺提供勒索軟體保護功能，其中包括基於機器學習的即時攻擊偵測、零時差漏洞濫用防護、事件管理儀表板，以及即時復原等功能。</p> <p>日前CTERA又為勒索軟體保護功能新增基於誘餌檔案（Decoy files）的資料外洩防護能力，可藉此偵測攻擊者的非授權存取行為，並即時展開對應，降低資料外洩的風險。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<a href="https://www.gov.uk/government/news/new-laws-to-protect-consumers-from-cyber-criminals-come-into-force-in-the-uk"><strong style="font-size: 20px;">英國擬禁止特定物聯網裝置採用預設密碼</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162579"><strong>【4月29日】互動式BI系統Qlik Sense危急漏洞遭到鎖定，對方利用勒索軟體Cactus發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162563"><strong>【4月26日】駭客鎖定網管人員散布後門程式MadMxShell，意圖取得入侵企業組織的管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162538"><strong>【4月25日】思科證實防火牆零時差漏洞遭國家級駭客利用，於政府機關植入後門程式</strong></a></p> </div></div></div>
2024/4/30 18:08作者周峻佑https://www.ithome.com.tw/news/162601
行政院提名翁柏宗、陳炳宏擔任NCC下一任正、副主委
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NCC現任委員任期即將於7月底到期，行政院公布提名人選，由翁柏宗擔任NCC主任委員，傳播學者陳炳宏擔任副主任委員，目前提名人選已送立院審議。如果獲得通過，新委員任期將從今年8月擔任至2028年7月底。</p> <p><strong>NCC副主委翁柏宗被行政院提名為下任主委：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/09_%E7%BF%81%E6%9F%8F%E5%AE%97_NCC_%E5%89%AF%E4%B8%BB%E5%A7%94%E6%9A%A8%E7%99%BC%E8%A8%80%E4%BA%BA600.jpg" style="width: 600px; height: 400px;" /></p> <p>依照作業程序，行政院在現任NCC委員卸任前3個月提名，新的提名人選中，翁柏宗現為NCC副主委暨發言人，一路從過去電信管理局、電信總局、電信技術中心，到NCC擔任委員、副主委，具有深厚的電信監理背景。</p> <p>陳炳宏則是師大大眾傳播所教授，正好與目前擔任NCC委員之一的王維菁同為師大傳所教授，陳炳宏專長為傳播產業研究、媒體素養等。</p> <p>其他兩位委員提名人選為羅慧雯與詹懿廉，其中羅慧雯為世新大學傳播管理系教授，具經濟學背景，擅長政治經濟、媒體經濟、傳播政策法規等，而詹懿廉則為NCC平台事業管理處長。</p> </div></div></div>
2024/4/30 19:06作者蘇文彬https://www.ithome.com.tw/news/162602
第4屆尋找資安女婕思資安競賽優勝者出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了培養更多資安女力，近年來國家科學及技術委員會與教育部聯手，舉辦GiCS尋找資安女婕思資安競賽，今年已邁入第4屆。本次競賽自3月8日開放報名，上週末舉行決賽並發表成果。</p> <p>本次競賽於4月27日，<a href="https://www.nstc.gov.tw/folksonomy/detail/f59e0470-9896-4fd0-b9be-c6ece7ac4b02?l=ch">在臺南沙崙資安暨智慧科技研發大樓舉辦決賽</a>，比賽結果出爐，在資安闖天關的賽事當中，高中職組的冠軍是臺中高工及文華高中組成的WHC隊，拿下大專校院組冠軍的隊伍名稱相當特殊，叫做「逢甲大學是一所積極新創、學科齊全，在國際上具有重要影響力與競爭力的綜合性大學，歡迎大家報考逢甲大學」。</p> <p>而在另一場創意發想賽，高中職組由內湖高中「美少女戰四」隊得到冠軍，大專院校今年首度分為兩組，其中，資訊相關科系組的冠軍是元智大學「查某囝仔」隊，非相關科系組別的第一名，是中國文化及逢甲大學組成「蘑菇蘑菇讓我把你帶回家」隊。</p> <p>本次資安競賽總共有超過4千人參加，同樣有國際交流賽程，一起進行互動的單位是韓國漢陽大學。</p> <p>比賽過程當中，兩組賽事各有特色，以資安闖天關而言，決賽場地不只是主場域的CTF關卡，也將情境解謎部分，結合一間藍軍攻防室進行；而在創意發想賽的部分，有隊伍在初賽提出相當吸引大家注意的議題，例如晉級隊伍探討量子運算對現有加密體系的衝擊、生成式AI及假新聞、使用導航遭駭可能衍生人身安全問題。</p> </div></div></div>
2024/4/30 16:23作者周峻佑https://www.ithome.com.tw/news/162596
電子簽章法修正法案獲立院三讀通過
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由數位部提出的電子簽章法修正法案，在2月底行政院通過，並提交立法院審議後，立法院今天(4/30)正式三讀通過。數位部表示，修正後的電子簽章法將滿足現今數位時代下，各種線上服務使用需求，可望加速電子簽章的使用普及。</p> <p>國內電子簽章法自2001年公布後，已有超過20年未修法，這段時間網路普及、各種網路應用興起，為趕上現今數位時代下的應用需求，數位部提出電子簽章法修正草案件，希望通過修法，讓電子簽章及數位簽章更能滿足現今數位環境的需求。</p> <p>此次修法包含幾個方向，例如確立符合法規的電子文件及電子簽章，功能上等同於實體文件及簽章，不得因其電子形式而否認其法律效力；並且明定數位簽章為電子簽章的一種，確立兩者間的關係；有別於電子簽章，數位簽章因具備經政府許可憑證機構簽發憑證，推定本人親自簽名或蓋章的法律效力。</p> <p>考量到不同族群、年齡層使用者的數位科技落差，此次修法也採納數位包容精神，明定採用電子形式之前，應在合理期間內給予相對使用者反對機會，並且告知相對使用者，如果沒有表示反對，推定同意採用電子形式。</p> <p>此外，此次也新增主管機關許可外國憑證機構之前的原則，在具備安全條件相當的前提下，除國際互惠之外，包括合乎國際技術標準的技術對接合作，另外，主管機關應定期調查行政院各部會及民間憑證機構，對電子簽章的核定、簽發、應用等情形，並且每年公布國際法規及市場的相關需求調查及研究。</p> <p>過去可能因為舊版電子簽章法對電子文件及電子簽章的法律效力不夠明確，部分的公務機關公告排除適用電子簽章，為加速政府機關對電子文件及電子簽章的使用，現在修法後將刪除公務機關公告排除適用，並明定排除適用的公告在修法實施一年後停止適用，但主管機關可展延一次，展延以2年為限。</p> <p>數位部表示，部分機關以行政公告排除適用電子簽章，一年後將停止適用，如果經過評估仍仍必需排除適用電子簽章，應儘速透過法規修法排除適用，考慮到修法可能花費較多的時間，可向數位部提出展延。</p> <p>為使電子簽章應用更為普及，數位部也計畫推動電子簽章解決方案服務能量登錄制度，由政府扮演第三方，透過登錄制度盤點電子簽章服務能量，建立電子簽章產業地圖。</p> <p>在立法院三讀通過電子簽章法修正法案後，數位部依照行政程序法，接下來需在6個月內制定相關的配套子法及辦法。數位部預期通過修法，未來推動電子簽章的普及運用，加速智慧政府及數位轉型的政策目標，並塑造多元電子簽章發展的有利法制環境，並且促成電子簽章和國際對接、交流往來。</p> <p>此次修法因確立電子文件及電子簽章的法律效力，還有使用政府許可憑證機構簽發憑證的數位簽章可推定本人親簽，具有更高的法律效力，區分電子簽章、數位簽章的法律效力，未來數位服務可因應不同的簽章的法律效力提供對應等級的服務。</p> <p>以電商的交易行為舉例，電商平臺為防止詐欺，可向網路賣家要求數位簽章，以類似實名制確認賣家身分，防止不肖業者欺詐的行為，至於付款的買家則可以使用效力較低的電子簽章即可。</p> </div></div></div>
2024/4/30 16:47作者蘇文彬https://www.ithome.com.tw/news/162597
身分驗證解決方案業者Okta提出警告，鎖定該公司用戶的帳號填充攻擊爆增
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月27日身分驗證解決方案業者Okta的資安團隊提出警告，繼思科從3月下旬發現鎖定多個廠牌的SSL VPN系統的大規模暴力破解攻擊，他們也在本月19日至26日，<a href="https://sec.okta.com/blockanonymizers">發現針對客戶的帳號填充（Credential Stuffing）攻擊大幅增加</a>，而且，攻擊來源疑似是幾乎相同的攻擊基礎設施。</p> <p>究竟對方如何取得使用者的帳密資料？該公司認為，駭客很可能是透過其他資料外洩事故，或是藉由網路釣魚及惡意軟體攻擊取得。</p> <p>值得留意的是，這些攻擊具有相同的特徵，那就是駭客仰賴Tor這類匿名服務來發出請求，而且，數以百萬的請求過程，也都透過非法代理伺服器服務（Residential Proxies）進行。</p> <p>而對於遭到攻擊的組織，Okta指出具有相似的組態，那就是他們大多執行Okta Classic Engine，而名為ThreatInsight的功能僅啟用稽核模式。此外，這些組織的身分驗證政策當中，也允許來自匿名代理伺服器發出的請求。</p> <p>對此，Okta也提出一系列防護措施，包含啟用ThreatInsight的事件記錄功能與加強防護模式、切換採用Okta Identity Engine、禁止來自匿名代理伺服器的存取等。但究竟有多少用戶受害？該公司並未說明。</p> </div></div></div>
2024/4/30 16:54作者周峻佑https://www.ithome.com.tw/news/162598
金融木馬Brokewell挾持安卓裝置，從而竊取機敏資料、洗劫金融帳戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者ThreatFabric發現名為Brokewell的安卓金融木馬，<a href="https://www.threatfabric.com/blogs/brokewell-do-not-go-broke-by-new-banking-malware">並指出該惡意程式具備廣泛的設備接管功能</a>，甚至能繞過Android 13新納入的防護機制。</p> <p>這個惡意程式被發現的原因，是研究人員看到冒牌的Google Chrome更新網頁，與正牌網頁極為相似，不同之處在於：正牌網頁同時提供「取得Chrome」和「我想更新Chrome」的連結，冒牌網頁只有「更新Chrome」的按鈕。但這種差異，恐怕多數使用者都無法輕易察覺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide1-Apr-17-2024-10-25-40-6370-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide1-Apr-17-2024-10-25-40-6370-PM.png" style="width: 580px;" /></a></p> <p>一旦使用者依照指示下載「瀏覽器更新」，手機就有可能被植入Brokewell。此惡意程式的主要功能，主要涵蓋了資料竊取及遠端控制能力。</p> <p>其中，針對資料竊取的部分，該惡意程式可在銀行應用程式執行的過程進行覆蓋畫面，從而竊取帳密資料，而對於盜取相關資料的管道，攻擊者也可透過挖掘cookie內容而得。一旦使用者完成登入流程，Brokewell就會儲存連線階段的cookie，並傳送到C2伺服器。</p> <p>另一方面，Brokewell也搭載名為Accessibility Logging的功能，從而截取受害裝置的所有事件，例如：使用者點選、滑動、文字輸入、開啟應用程式等，並且將其傳送到C2伺服器。此外，該惡意程式也具備多種間諜軟體功能，能夠收集裝置資訊、通話記錄、地理位置，而且還能錄音。</p> <p>一旦竊得特定帳密資料，攻擊者就能透過遠端控制功能，對裝置進行接管。值得留意的是，對方能將螢幕亮度調到最暗，並將手機靜音，而使得暗中操作受害手機難以被察覺，甚至有可能被用來發動自動轉帳系統（Automated Transfer System，ATS）攻擊。</p> <p>再者，攻擊者也開發了名為Brokewell Android Loader的惡意程式載入元件，從而繞過Google在Android 13加入輔助服務（Accessibility Service）管制，而能側載應用程式。</p> <p>根據研究人員的觀察，Brokewell幾乎每天都有更新，顯示駭客相當勤勞，他們也推測，未來這項攻擊模式很有可能朝向租賃服務發展，從而吸引其他網路犯罪份子，以此對更多地區發動相關攻擊。</p> </div></div></div>
2024/4/30 15:44作者周峻佑https://www.ithome.com.tw/news/162593
歐盟將iPadOS也納入《數位市場法》管轄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_24_2363" target="_blank">EC）周一（4/29）宣布</a>，繼iOS、Safari及App Store之後，蘋果的iPadOS也已被納入《數位市場法》（Digital Markets Act，DMA）的管轄範圍，要求蘋果於6個月內遵循。</p> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/qanda_20_2349" target="_blank">DMA</a>主要規範那些擁有龐大影響力，被視為守門人（Gatekeeper）的品牌與數位服務，以確保公平及開放的數位市場，其門檻包括最近3年每年在歐洲經濟區（EEA）營收超過75億歐元，或市值超過750億歐元，以及服務在歐盟每月活躍最終用戶超過4,500萬，或每年活躍企業用戶超過1萬。</p> <p>EC表示，蘋果的商業用戶超過DMA閥值的11倍，最終用戶數則接近閥值。此外，最終用戶被鎖在iPadOS上，蘋果利用其龐大的生態系統來阻止使用者轉至其它平板電腦的作業系統，企業用戶也被鎖在iPadOS上，因為它擁有龐大且具備商業吸引力的用戶群，同時它也是遊戲等特定程式的關鍵平臺。</p> <p>首批受到DMA規範的業者及服務已於今年3月6日的截止日之前履行EC的要求，而新加入的iPadOS也必須在6個月內符合要求，包括允許歐洲用戶自Apple App Store以外的市集下載程式，移除預裝於iPad上的程式，以及自行選擇裝置上的預設服務等。</p> <p>而遊戲業者<a href="https://twitter.com/FortniteGame/status/1784978857331691672" target="_blank">Epic Games</a>也在EC宣布此事的同一天指出，先前遭到蘋果下架的遊戲《要塞英雄》（Fortnite），很快就會重返歐洲市場的iPhone，也會在今年重返該市場的iPad。</p> <p>現階段EC仍在調查其它品牌或服務是否應納入DMA，已於今年3月收到Booking、ByteDance和X的通知，稱其服務規模可能達到DMA的門檻，EC可望於5月13日以前作出決議。</p> </div></div></div>
2024/4/30 15:49作者陳曉莉https://www.ithome.com.tw/news/162594
GitHub預覽AI開發者環境Copilot Workspace
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub本周一（4/29）<a href="https://github.blog/2024-04-29-github-copilot-workspace/" target="_blank">釋出了GitHub Copilot Workspace技術預覽版</a>，這是GitHub所設計的、基於各種Copilot代理人的開發者環境，允許開發者以自然語言與Copilot代理人互動，並在Copilot Workspace中接續完成腦力激盪、規畫、建置、測試與執行程式碼，也可於Copilot Workspace中查看從想法到完成程式碼的整個過程。</p> <p>GitHub執行長Thomas Dohmke指出，Copilot Workspace為一使用自然語言打造軟體的全新方式，讓開發者更快也更輕鬆地交付開發者的創造力，令經驗豐富的開發者得以系統思考者的身分進行操作，大幅降低建置軟體的門檻。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0430-GitHub%20Copilot%20Workspace-starts%20with%20the%20task.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0430-GitHub%20Copilot%20Workspace-offers%20a%20step-by-step%20plan.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／GitHub</span></span></p> <p>Dohmke說明，過去的兩年來，生成式AI從根本上改變了開發者的格局，它大多作為嵌入開發者環境中的工具，例如2022年推出的GitHub Copilot是編輯器中的自動結對工程師，提升了55%的開發者工作效率，去年發布了GitHub Copilot Chat，釋放自然語言在撰寫程式碼、除錯與測試上的能力，而Copilot Workspace則允許開發者得以利用自然語言來集思廣益、規畫、建置、測試並執行程式碼，這是個以任務為中心的服務，所有的程序都是透過不同的Copilot代理人來完成，同時也讓開發者完全控制流程的每一步。</p> <p>因此，開發者自GitHub Repository或GitHub Issue中就能使用Copilot Workspace，利用Copilot代理人作為開發者的第二個大腦，從發想階段就取得AI的協助，接著GitHub Repository會藉由對程式碼庫或問題回覆等資料的深入理解，提供逐步的解決計畫，並以自然語言列出清單。</p> <p>開發者可編輯由Copilot Workspace所提出的任何內容，確定計畫後即可直接於Copilot Workspace中執行程式碼，再進入底層的GitHub Codespace來調整程式碼，亦可透過連結與團隊共享工作區，之後即可提交拉取請求，執行GitHub Actions，針對程式碼進行安全掃描，以及要求團隊成員檢查程式碼。</p> <p>此外，Copilot Workspace可同時支援桌上型電腦、筆電與行動裝置。</p> <p>另一方面，GitHub Next負責人Jonathan Carter向<a href="https://techcrunch.com/2024/04/29/copilot-workspace-is-githubs-take-on-ai-powered-software-engineering/" target="_blank">《TechCrunch》</a>透露了更多有關Copilot Workspace的想法。Carter說，開發者在啟動一個新專案時，最容易卡住的地方就是不知該從何開始，特別是如何處理程式碼、要編輯哪些檔案，或者是各種解決方案的權衡，而Copilot Workspace即可減輕此一負擔。</p> <p>不過，目前GitHub也還不確定要如何將Copilot Workspace商品化，此一預覽版將可進一步令GitHub了解開發者會如何使用該服務，以及該服務的價值所在。</p> <p class="rtecenter"><a href="https://www.youtube.com/watch?v=L5Xny6yehUg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0430-GitHub%20Copilot%20Workspace-vedio.png" style="width: 600px;" /></a></p> </div></div></div>
2024/4/30 16:07作者陳曉莉https://www.ithome.com.tw/news/162595
英國祭出新法令，禁止IoT裝置採用容易被猜到或可在網路上找到的預設密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國的《產品安全暨電信基礎設施法案》（Product Security and Telecommunications Infrastructure Act，PSTI Act）<a href="https://www.gov.uk/government/news/new-laws-to-protect-consumers-from-cyber-criminals-come-into-force-in-the-uk" target="_blank">於本周一（4/29）正式生效</a>，當中規定了IoT裝置的最低安全標準，包括不得使用容易猜測或是在網路上可找到的預設密碼，也是全球首個導入相關規範的法令。</p> <p>根據統計，英國99%的成年人至少擁有一臺智慧裝置，而英國的每個家庭平均擁有9臺連網裝置，Which?的研究顯示，一個充滿智慧裝置的家庭，單周就可能遭到來自全球超過1.2萬次的駭客攻擊，而針對其中5臺裝置來猜測其薄弱密碼的攻擊便高達2,684次。</p> <p>PSTI Act所定義的IoT裝置涵蓋所有連網的智慧裝置，從智慧喇叭、智慧電視、串流裝置、智慧門鈴、嬰兒監視器、監視器、手機、遊戲機、平板電腦、智慧手錶、健身追蹤裝置、智慧冰箱、智慧洗衣機，一直到智慧水/電錶等。</p> <p>該法令要求上述所有IoT裝置的製造商必須符合最低的安全標準，包括不得採用諸如admin或12345等容易猜測的密碼，也不得使用可在網路上找到或被分享的預設密碼；必須提供窗口來接受及處理安全問題，也必須提供重要安全更新的最短修補時程。</p> <p>此外，由於大多數的智慧裝置都不是在英國製造，因此PSTI Act也適用於進口或零售相關商品的業者，違者最高可處1,000萬英鎊的罰款或是全球收入的4%。</p> <p>此一法令是為了避免利用IoT裝置的大規模攻擊行動，特別是在2016年被發現的殭屍病毒Mirai滲透了坊間60款採用預設帳號及密碼的IoT裝置，挾持了逾60萬個IoT裝置，再針對目標對象展開分散式服務阻斷（DDoS）攻擊，受害者涵蓋全球最大代管業者之一的<a href="https://www.ithome.com.tw/news/108660" target="_blank">OVH</a>，美國網路效能管理公司<a href="https://www.ithome.com.tw/news/109225" target="_blank">Dyn</a>，賴比瑞亞最大的電信業者Lonestar，<a href="https://www.ithome.com.tw/news/109944" target="_blank">德國電信</a>（Deutsche Telekom），以及英國銀行Lloyds與蘇格蘭銀行Royal Bank of Scotland。</p> <p>英國國家網路安全中心<a href="https://www.ncsc.gov.uk/files/Security-law-smart-devices-NCSC.pdf" target="_blank">（NCSC）則建議</a>消費者檢查現有的IoT裝置，包括變更它們的預設密碼，採用更強大的密碼，或是啟用雙因素身分驗證，同時部署IoT裝置的最新版韌體。</p> </div></div></div>
2024/4/30 14:20作者陳曉莉https://www.ithome.com.tw/news/162591
公共程式平臺上線，首波開放22個公共程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部今天（4/30）正式推出公共程式平臺（code.gov.tw），數位部今與國內六都代表、民間社群、國際倡議組織共同啟用公共程式平臺，為推動公共程式（Public Code）的精神，將政府機關開發的軟體程式碼視為公共財，公開程式碼讓外界及其他政府機關檢視及運用。</p> <p>公共程式的精神在國外發展較早，國內也有自由軟體、開放原始碼社群倡議，數位發展部在去年便開始規畫推動公共程式，終於在今天上線公共程式平臺，數位發展部與地方縣市政府合作，透過公共程式讓外界檢視運用，讓外界或其他政府機關依照自己的需求，檢視及運用這些公共程式，縮短重新開發的時間、節省成本。</p> <p>目前數位部已與臺北市、新北市、桃園市、臺中市、臺南市、高雄市六都取得合作共識，正在進行配套措施以共同推動公共程式，數位部強調未來會邀請更多政府機關加入推動公共程式。</p> <p>數位發展部長唐鳳指出，任何人可以公共程式平臺，直接使用或改進程式碼，在原有的程式碼基礎上創新精進，同時也能減輕公務機關的負擔，公共程式平臺如同一間圖書館，供外界借閱，產生新的論文，回饋到圖書館。發揮公共程式的另一個價值，透過公私協力，達成全民數位韌性。</p> <p>目前公共程式平臺已上架15個類別22個公共程式，數位部釋出的政府資料開放平臺前端、全球資訊網、ODF文件應用工具、公共程式平臺、公托報名管理系統，臺北市的城市儀表板、臺南市登革熱防疫現場工具（前端及後端），此外，公共程式平臺上還提供英國GDS政府數位服務團隊提供的GOV.UK Forms線上表單平臺及公部門業務訊息傳遞平臺GOV.UK Notify，還有Foundation for Public code提供的Publiccode.yml編輯器等工具。</p> <p>公共程式平臺推出僅是開始，數位發展部計畫全面的推動公共程式政策，涵蓋資訊系統、人才培育、規範指引，今年底預計推出針對公務機關的訓練課程、規範指引，輔導公共機關加入推動公共程式。</p> </div></div></div>
2024/4/30 14:57作者蘇文彬https://www.ithome.com.tw/news/162592
針對防火牆危急漏洞CVE-2024-3400，Palo Alto Networks證實攻擊者有可能藉此持續存取受害裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月12日資安業者Palo Alto Networks發布資安公告，<a href="https://www.ithome.com.tw/news/162282">指出旗下防火牆存在危急漏洞CVE-2024-3400</a>，CVSS風險評分達到10分，此漏洞存在於防火牆作業系統PAN-OS的GlobalProtect功能，未經授權的攻擊者有機會使用root權限，在防火牆上執行任意程式碼。</p> <p>當時通報此事的資安業者Volexity指出，他們察覺這項漏洞的原因，是發現客戶的防火牆出現可疑的攻擊流量。Palo Alto也在17日證實，漏洞利用出現增加的情況，且有第三方公布概念性驗證程式碼（PoC），如今情況又有新的進展。</p> <p>30日該公司<a href="https://www.darkreading.com/vulnerabilities-threats/palo-alto-updates-remediation-for-max-critical-firewall-bug">再度更新資安公告</a>，指出他們針對前述的PoC手法進行分析，確認一旦攻擊者加以利用，即使IT人員對防火牆進行升級或是重置，對方仍能持續在受害裝置上活動，並以root層級執行命令。</p> <p>不過，該公司強調，套用修補程式或是Threat Prevention的特徵碼，都能完全阻絕遠端程式碼執行（RCE），從而攔阻上述的漏洞遭到後續利用的情況，再者，目前他們也尚未察覺前述PoC被用於攻擊行動的跡象。</p> </div></div></div>
2024/4/30 12:37作者周峻佑https://www.ithome.com.tw/news/162590
Google開發工具部門裁員，影響Flutter、Dart、Python等團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2024/04/29/google-lays-off-staff-from-flutter-dart-python-weeks-before-its-developer-conference/" target="_blank">《Techcrunch》</a>報導，在Google I/O舉行前夕，Google傳出裁員消息，影響Flutter、Dart、Python開發工具及其他部門。Google官方也證實此事。</p> <p>受到影響的員工在<a href="https://www.reddit.com/r/technology/comments/1cfzuhf/google_layoffs_sundar_pichailed_company_fires/" target="_blank">Reddit</a>及<a href="https://news.ycombinator.com/item?id=40176338" target="_blank">Hacker News</a>上透露此事。一名Python團隊員工指出，該部門負責維護Python runtime、為Google員工排除問題，並和AI、機器學習等其他部門合作緊密，但不到10名員工仍全部遭到裁撤。<a href="https://social.coop/@Yhg1s/112332127058328855" target="_blank">另一名員工說</a>Google計畫將這工作轉移到其他工資較便宜的地區，像是德國慕尼黑。</p> <p>Flutter及Dart部門也受到影響。該部門產品經理Kevin Moore則在Reddit上<a href="https://www.reddit.com/r/FlutterDev/comments/1cduhra/comment/l1j9eoo/?rdt=45765" target="_blank">證實此事</a>。他說裁員決定是上面好幾層的主管所下，並且影響不只Flutter和Dart，「很多」團隊及很多專案都受到影響。</p> <p>Google開發工具部門裁員，影響的不只是員工，也令企業用戶擔憂未來以這些工具開發的應用及服務要如何維護。Moore無法承諾，只說已投資Google開發工具的客戶會感到緊張，「Google都了解」。</p> <p>Google官方也承認進行人事精簡。Google說為了確保公司在2023年下半到2024年能掌握市場機會，多個團隊經歷變動，以便讓團隊更有效率、去除組織層級，並使資源更有效運用。</p> <p>《Techcrunch》指出，Google通報的裁員人數為50名左右。</p> <p>Google官方對媒體表示會依當局要求提供受影響的員工支援，包括在Google內部轉職或外部就業協助，以及其他財務上的支持等。</p> <p>本周Google才<a href="https://www.ithome.com.tw/news/162555" target="_blank">宣布</a>亮麗的財報，今年第一季營收成長15%，Google執行長Sundar Pichai並宣布將以AI為中心投資及新產品開發。</p> </div></div></div>
2024/4/30 11:07作者林妍溱https://www.ithome.com.tw/news/162586
金融時報授權OpenAI使用內容訓練AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI與英國《金融時報》（Financial Times，FT）<a href="https://aboutus.ft.com/press_release/openai" target="_blank">宣布策略合作</a>，OpenAI將可使用其內容訓練AI模型，並提供給OpenAI的用戶。</p> <p>根據雙方最新合作，FT將授權OpenAI使用其新聞內容訓練底層GPT模型，提升模型有效性，而且OpenAI的ChatGPT將可在回應用戶的內容中，包含FT特定新聞摘要、引述、以及內容連結。</p> <p>此外，FT也宣布已在今年稍早成為ChatGPT Enterprise版本的客戶，所有FT員工都可使用ChatGPT提升生產力，強化創意。ChatGPT可用於草擬信件、為會議或文章摘錄重點、規劃活動或腦力激盪。</p> <p>FT向來只提供付費訂閱，每月最低費用為39美元。透過這項合作，ChatGPT用戶也能存取過去無法閱讀到新聞內容，有用戶認為，長期而言，可能會影響該報的付費訂閱商業模式。</p> <p>這是OpenAI取得內容授權打通AI訓練關卡的最新一家主流媒體。這家AI業者去年12月和今年3月<a href="https://www.ithome.com.tw/news/161783" target="_blank">已取得</a>德國媒體Axel Springer、法國媒體《Le Monde》以及西語媒體集團Prisa Media旗下刊物《El Pais》、《Cinco Dias》、《As》及《El Huffpost》的使用授權。在圖片方面，去年7月OpenAI<a href="https://www.prnewswire.com/news-releases/shutterstock-expands-partnership-with-openai-signs-new-six-year-agreement-to-provide-high-quality-training-data-301873298.html" target="_blank">也取得了</a>知名圖庫Shutterstock 6年授權，可使用其圖片、影片、音樂和metadata來訓練其DALL-E模型。</p> </div></div></div>
2024/4/30 11:21作者林妍溱https://www.ithome.com.tw/news/162587
美國四大電信業者出售客戶位置存取權限，被罰近2億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦通訊委員會<a href="https://docs.fcc.gov/public/attachments/DOC-402213A1.pdf" target="_blank">（FCC）周一（4/29）宣布</a>，美國四大電信營運商T-Mobile、AT&T、Sprint及Verizon因在未取得客戶的同意下，非法分享客戶位置資訊的存取權限，而分別面臨8,000萬美元、5,700萬美元、1,200萬美元與4,700萬美元的罰款。而根據《Ars Technica》的報導，上述業者都準備提出上訴。</p> <p>FCC的調查<a href="https://www.ithome.com.tw/news/130440" target="_blank">始於2019年</a>，先是媒體披露有人可以藉由第三方服務，根據電話號碼找到號碼主人的位置，隨後消費者即提出了集體訴訟。且FCC在2020年<a href="https://www.ithome.com.tw/news/136090" target="_blank">便曾開罰</a>這些電信業者，惟當時因FCC內部問題而令此事暫時擱置。</p> <p>現在FCC舊事重提，指出上述的每一家電信業者都將客戶位置資訊存取權限，出售給不同的聚合商（Aggregator），這些聚合商再將它們轉售給第三方的位置服務供應商，此外，電信業者也都企圖將取得客戶同意權的義務轉嫁至下游業者，意謂著許多時候都無法取得有效的客戶同意，而且就算當電信業者意識到相關的保障措施不足，依然繼續出售位置資訊的存取權限。</p> <p>根據美國通訊法令《Communications Act》，電信業者必須採取合理措施來保護客戶的某些資訊，包括位置資訊在內，電信業者不僅被要求要維護相關資訊的保密性，要使用、揭露或允許存取相關資訊時還必須取得客戶的明確同意，此一條款亦適用於與第三方分享客戶資訊時。</p> <p>除了必須保障消費者的隱私之外，FCC也擔心此一存取權落入壞人之手，或是被用於邪惡目的。</p> <p>不過，電信業者也提出了反駁。AT&T向媒體發出聲明，指出FCC要求它替已於合約中註明必須取得客戶同意的另一家業者承擔責任，是不公平的。而Verizon則說，相關專案早在5年前就已關閉，且當時僅有一家業者未經授權取得極少數的客戶資訊。</p> <p>事件發生之時，T-Mobile與Sprint還是兩家不同的公司，但它們已於2020年合併，代表T-Mobile將負擔9,200萬美元的罰款。</p> <p>不管是T-Mobile、AT&T及Sprint，都準備針對FCC的裁決提出上訴。</p> </div></div></div>
2024/4/30 11:51作者陳曉莉https://www.ithome.com.tw/news/162588
傳福斯汽車遭駭客竊取機密資料逾1.9萬檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國媒體報導，德國福斯汽車（Volkswagen）曾遭到駭客入侵網路，並竊取近2萬份和汽車與電動車相關的機密文件，時間長達5年。</p> <p>德國<a href="https://www.zdf.de/nachrichten/wirtschaft/volkswagen-china-hacking-industriespionage-emobilitaet-100.html" target="_blank">ZDFheute</a>及《明鏡》（Spiegel）記者看到一份福斯針對網路攻擊的調查文件做出報導。</p> <p>這份文件顯示，這家汽車大廠網路從2010年到2015年之間遭一個駭客組織入侵，外洩包含智財的檔案。駭客可能在2010年即開始研究福斯汽車的IT基礎架構，尋找可能濫用的漏洞，他們成功在2011年存取福斯IT基礎架構，並在2014年之間，多次將機密文件傳送到外部伺服器。在犯案後，還刪除了作案跡證。</p> <p>但事後調查的資安專家恢復證據，得以重建駭客竊取文件的目標。文件顯示，遭到竊取的檔案包括汽油引擎、變速箱、雙離合器變速箱（dual-clutch transmission）研究。此外，福斯汽車的電動車，包括引擎、燃料電池研究相關文件也是駭客下手的目標。總計共有超過1.9萬份文件遭到竊取。</p> <p>三波攻擊來自同一組人，至於駭客的身份，根據福斯文件，研究人員從駭客的IP位址、使用的軟體工具及時區，推測駭客來自中國。雖然沒有確切證據，但資料指向源自中國政府、甚至解放軍。</p> <p>不過中國駐德國大使駁斥中國政府涉入本案，強調中國也同樣譴責網路間諜活動。</p> <p>去年9月福斯汽車<a href="https://www.theregister.com/2023/09/28/volkswagen_crippled_it_disruption/" target="_blank">曾發生</a>IT設施運作中斷事件，導致5座工廠暫停營運。但該公司表示並非網路攻擊。</p> <p>汽車大廠自來是竊密行動的目標。2021年汽車大廠<a href="https://www.ithome.com.tw/news/148328" target="_blank">Volvo Cars</a>網路也遭駭，致使公司研發資料被竊。其他車廠從福特、通用、豐田、法拉利等，也都發生被駭客攻擊或中勒索軟體，導致客戶個資外流。</p> </div></div></div>
2024/4/30 12:11作者林妍溱https://www.ithome.com.tw/news/162589
Fintech周報第239期：日本SBI證券宣布已將股票交易系統遷移至公雲環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="line-height:1.38;margin-top:10pt;margin-bottom:4pt;"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">4/15~4/26金融科技精選新聞</span></span></h3> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本SBI證券</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 證券上雲 </span></strong></span></p> <h3>日本SBI證券宣布已將股票交易系統遷移至公雲環境</h3> <p>近年來，日本政府改變投資政策，鼓勵市民投入股市，包括推動NISA新制，免除小額投資的稅金，交易人數逐漸增加。為了因應快速增加的客戶數量和交易量，日本SBI證券近期宣布，他們已經將境內股票交易系統遷移至公雲環境，單日境內股票交易金額超過2兆日元（約4,000億新臺幣）。此外，SBI證券也計畫在2026年逐步將其他業務系統遷至雲端。</p> <p>2019年，SBI證券戶僅有約471萬戶，到了去年，帳戶數量飆升到1,106萬戶，今年更是突破1,200萬戶，位居日本第一。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 玉山金控 </span></strong></span></p> <h3>一支API提供12項應用服務，玉山金控GenAI平臺大解密</h3> <p>玉山金控在今年初向內部推出GenAI平臺GENIE，目前已啟用11項應用服務，1項服務正在開發中。GENIE平臺有兩大特色：API化服務和檢索增強生成（RAG）技術。一方面，GENIE是一隻獨立的API，可以整合到多種延伸應用服務，內部系統可以透過API串接來使用GENIE的功能。另一方面，玉山自建豐富的金融知識庫，藉RAG技術，來提升LLM模型回應金融領域問題的精準度。</p> <p>玉山金控目前規畫的12項GenAI應用服務中，可區分為基礎和進階應用服務。前者包括純文字和圖片生成、會議記錄生成和摘要總結翻譯等，能適用於多種場景。後者則是針對場景開發進階版應用服務，提升平臺在特定場景的服務能力。例如，法規文件比對、市場資訊摘要和生成，或運用客服資料進行顧客情緒分析。（<a href="https://www.ithome.com.tw/article/162552">詳全文</a>）</p> <p><span id="docs-internal-guid-5ae5dfa2-7fff-f0cc-37f8-85ac501e189b"><span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"></span></span></p> <p></p> <p dir="ltr" style="line-height:1.38;margin-top:10pt;margin-bottom:0pt;"><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 輔助軟體開發 </span></strong></span></p> <h3>澳洲澳盛銀行使用GenAI輔助軟體開發，並協助業務單位撰寫更精準的需求</h3> <p>澳洲澳盛銀行近日在一場活動中揭露，內部正在運用生成式AI協助軟體開發，包括分析業務需求，協助工程師將需求轉為技術架構，和撰寫自動化測試腳本。</p> <p>澳盛銀行平臺工程和SRE主管Rico Zhabg在活動中展示了一套解決方案Ensayo AI，這套解決方案由數千個系統規格、產品文件、監管要求等資料訓練而成，除了輔助開發，也可以協助業務單位撰寫更準確的需求單，讓工程師更快速地實現業務需求。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數據分析 </span></strong></span></p> <h3>日本純網銀SBI Sumishin運用GenAI開發數據分析工具，協助快速分析數據和製作報表</h3> <p>日本純網銀SBI Sumishin近日揭露，他們運用生成式AI開發了一款數據分析工具Shadow，協助業務人員快速分析數據，並生成報表資料。</p> <p>在這款數據分析工具中，使用者可以透過聊天的方式，請Shadow協助分析資料和產出報表，包括預測業績情況、分析數據潛藏的趨勢，和製作可視化圖表。</p> <div><img alt="" src="https://s4.itho.me/sites/default/files/images/img_corp_news_240423_pc.png" style="width: 600px;" /></div> <div> <h3 dir="ltr" style="line-height:1.38;margin-top:16pt;margin-bottom:4pt;"><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 保險立約 </span></strong></span></h3> <h3>日本保險公司Sompo Japan運用生成式AI協助加快火災保險立約流程</h3> <p>近日，日本保險公司Sompo Japan將生成式AI應用在保險立約流程，協助業務員快速統整客戶資料，為客戶撰寫適當的合約。</p> <p>傳統流程中，業務員需要確認客戶的資產，並轉寫為文件。部分業務員管理大量客戶，每個客戶可能提供不同格式的資產文件，需要花費時間統整，若遇到資產數量龐大的客戶，也需要業務員逐一確認和轉寫。因此，Sompo Japan將生成式AI導入這項流程，支援多種格式的文件辨識，協助確認客戶資產資訊並自動轉寫為合約。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 加拿大</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放銀行 </span></strong></span></p> <h3>加拿大預計在今年秋季完成開放銀行相關規範</h3> <p>加拿大政府宣布，將在今年完成開放銀行架構的立法，讓消費者可以安全地共享金融數據。他們預計在今年春季推出規範中的其中一部份，包括制定治理框架、開放範圍，和技術標準。其餘要素包括認證方式、通則，和安全措施將會在今年秋季陸續完成立法。</p> <p>為了確保和美國的開放銀行框架一致，加拿大參考美國作法，由金融消費者保護局作為開放銀行推動者，負責監督銀行業者，以及建立相關規範。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放金融</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中小企業貸款 </span></strong></span></p> <h3>英國計畫從開放銀行走向開放金融，財政部指定業界主導相關政策</h3> <p>近日，英國財政部經濟事務秘書Bim Afolami MP在一場公開活動上宣布，將成立開放金融專案小組，藉由開放金融數據，來提高中小企業的貸款機會。這個專案小組將由英國的金融機構和科技公司組成，並由英國創新技術金融中心（CFIT）擔任主席。CFIT表示，他們將負責挖掘適合的開放金融案例，解鎖更多資料，並建立API，提高中小企業金融便利性，同時，專案小組將尋找一些方式來鼓勵企業共享財務數據。</p> <p>CFIT在宣布作為開放金融專案小組主席後，接著宣布開啟中小企業貸款解決方案的實驗計畫。這個實驗計畫的參與對象包含巴克萊銀行，計畫將透過開放財務數據，和自動化申請書填寫的步驟，來提高資料準確性，協助加速信用評估和放貸決策流程。</p> <h3 dir="ltr" style="line-height: 1.38; margin-top: 10pt; margin-bottom: 4pt;"><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英國</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放銀行 </span></strong></span></h3> <h3>英國正在規畫開放銀行的長期的監管機構和框架</h3> <p>2017年，英國政府要求境內九家最大金融機構成立一個組織，負責推動開放銀行政策。如今，這個組織已完成階段性任務，英國金融監管機構也開始規畫建立開放銀行的監管機構。近期，由英國金融行為監理總署（FCA）、支付系統監管機構（PSR）、財政部等機構組成的聯合監理委員會（JROC）發佈了對開放銀行下一階段的建議文件，主要針對如何建立開放銀行監管機構、提供機構的定位、發展方向和工作內容。</p> <p>這份建議文件認為開放銀行在走向長期監管之前，需要先建立臨時性的組織負責接管開放銀行的政策運作。文件中提出未來兩年的開放銀行路徑圖，由臨時性組織負責推動五個關鍵項目，提高便利性、降低金融犯罪、保護消費者權益、改善第三方業者和使用者間的資訊流，和增加新服務，進行「非自動轉帳VRP」試點計畫。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英國渣打銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放API </span></strong></span></p> <h3>英國渣打銀行推出開放銀行市集，上架適用臺灣版本的API供企業測試</h3> <p>為了簡化和第三方企業合作的流程，英國渣打銀行近期推出開放銀行市集，上架包括臺灣共33個地區版本的API。企業註冊帳號並通過渣打銀行審核後，開放銀行市集才會提供API更細節的資訊，部分API會提供企業方一個沙盒環境，讓企業使用API開發或測試產品。</p> <p>英國渣打銀行的開放銀行市集中，提供8組適用於臺灣的API，分別是帳戶查詢、支付、通知和訂閱、證券服務、報告、外匯擔保、交易狀態和數據管理工具的API。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 樂天Pay</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 支付 </span></strong></span></p> <h3>日本樂天Pay將整合旗下所有支付應用程式</h3> <p>日本樂天Pay近期宣布，將整合樂天集團旗下所有支付應用程式，樂天點數、樂天Edy和樂天Pay三個應用程式，打造一個支付類的超級應用程式。</p> <p>樂天Pay向媒體透露，他們的整合作業將分為兩階段。第一階段是先將樂天點數App整合至樂天Pay，接著再整合可提供跨幣種儲值的預付型電子錢包樂天Edy App。第二階段是加強樂天Pay和信用卡App的連結，包括添加分期付款、小額貸款和查詢明細等功能至樂天Pay。此外，樂天Pay也計畫導入AI，協助顧客管理資金。</p> <div> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年4月</p> </div> </div> </div></div></div>
2024/4/29 13:21作者李昀璇https://www.ithome.com.tw/news/162572
【資安月報】2024年3月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以今年3月的資安新聞而言，隨著2023年的結束，如今正有多個重要的資安年度報告揭露，統整出2023全年的真實威脅態勢，包括零時差漏洞利用、BEC詐騙、投資詐騙、勒索軟體攻擊等面向。</p> <p>雖然我們先前已經報導部分重點，然而，當中其實還有一些關鍵態勢，我們認為相當值得企業關切。</p> <h2><span style="color:#ff0000;"><strong>2023零時差漏洞利用報告出爐，5大重點受關注</strong></span></h2> <p>首先，Google在3月27日公布一份2023零時差漏洞利用的年度報告，指出這方面的威脅又變嚴峻，因為2023年共有97個零時差漏洞利用的情形，比2022年的62個增加了5成。不過仍低於2021年創記錄的106個。</p> <p>為何零時差漏洞攻擊、零時差漏洞利用的威脅需要重視？大家先要能夠區別的是，以零時差漏洞（Zero-day）而言，其實包含了被成功利用與尚未被利用的狀態，而這份報告一直以來都是聚焦在－－零時差漏洞利用，也就是駭客先找出未知漏洞並在外部成功利用（Zero-day Exploited in-the-wild），已經造成災情，廠商只能在事後發現、修補並釋出更新。</p> <p>關於這份2023年度報告所呈現的重要態勢？基本上，我們可以簡單統整為5大重點，包括：</p> <p>●針對第三方元件如函式庫的零時差漏洞攻擊，有越來越多的趨勢。事實上，我們在去年10月就察覺到涉及底層、上游漏洞增加的情形。<br /> ●針對企業產品（含資安產品與裝置）的零時差漏洞攻擊，比往年增長近5成。<br /> ●商業間諜供應商（CSV）持續挖掘大量消費者平臺（如行動裝置、OS、瀏覽器等）的零時差漏洞。<br /> ●中國政府駭客組織發動的零時差漏洞攻擊大增，並且遠高於俄羅斯、北韓、伊朗等駭客組織<br /> ●經濟動機駭客組織發動的零時差漏洞攻擊，比往年減少。</p> <h3><span style="color:#0000CD;"><strong>駭客鎖定企業產品的零時差漏洞利用，比往年激增5成！每年都有更多IT供應商遭鎖定</strong></span></h3> <p>我們還可以如何解讀這些內容？最近4月，剛好Google在臺舉辦資安研討會，來自Google Cloud的專家對於這份報告，提供更深入說明。</p> <p>雖然，我們看到，2023年度的零時差漏洞利用數量，還不及2021年，但Google Cloud Security暨Mandiant亞太區及日本首席技術總監Steve Ledzian認為，有一項重要變化值得關切。他指的是上述5大重點中，所提的第2點。</p> <p>Steve Ledzian指出，在企業方面，現在已有更多的供應商與產品成為攻擊目標，例如，2023年這類型數量增加為36個，而2021年與2022年則是25個與22個。而且針對企業特定技術的攻擊，同樣有所增加。</p> <p>特別的是，Steve Ledzian還強調一個現況：近年被鎖定的IT供應商是越來越多。</p> <p>他解釋，多年來，IT技術一直由少數主要供應商主導，但隨著企業使用了更多不同廠商的產品與服務，成為攻擊目標的廠商數量，也成逐年持續增加的情況。</p> <p>Steve Ledzian並給出明確統計數據，例如，2019年只有4個供應商的產品，成為零時差漏洞利用的攻擊鎖定目標，2020年為7個，2021年13個，2022年17個，到了2023年則是增加至21個。</p> <p>這樣的結果，也呼應了Steve Ledzia在這場研討會上所介紹的一個觀點－－Securing Edge Devices，他指出，我們現在需要建立抵禦邊緣裝置攻擊的韌性。</p> <p>為何會有這項說法？他列出了5大類型，並且指出在這些不同層面，近期都發生了零時差漏洞被利用的情形。包括：郵件邊緣裝置（Email Edge Device）、檔案分享邊緣裝置（File Sharing Edge Device）、遠端存取邊緣裝置（Remote Access Edge Device）、行動存取邊緣裝置（Mobile Access Edge Device）、虛擬裝置（Virtualization Device）。</p> <p>換言之，我們其實也可以透過這樣的類型畫分，來了解Google是如何看待邊緣裝置被鎖定的威脅態勢。</p> <p>這當中又以遠端存取邊緣裝置，是最嚴重的類型。因為單是最近一年多的時間內，就可看到多個品牌產品的零時差漏洞被利用。例如，Ivanti Connect Secure（CVE-2023-46805、CVE-2024-21887、CVE-2024-22024），Citrix NetScaler（CVE-2023-4966），GoAnywhere（CVE-2024-0204），ScreenConnect（CVE-2024-1709、CVE-2023-1708）等。</p> <p>此外，對於這份報告的發布，Steve Ledzian還提到了一個新的變化，他表示：「這次發布的研究報告，是首次由Google威脅分析小組（TAG）與Mandiant全面整合分析結果而成。」</p> <p>換言之，這並不像過往我們所知的，Google與Madiant這兩家公司會各自發布相關統計數據。顯然，自2022年Google宣布併購Madiant後，雙方在此方面已有深入的整合。</p> <p>不過，由於過去兩家公司提出的數據不同，有各自整理的資料，因此我們特別詢問，這樣的統計數量是否還會有遺漏情形？Steve Ledzian表示，這些數量大部分是他們自己追蹤，以及從可以信賴的OSINT公開來源情報所得，的確可能還有其他零時差漏洞利用，但因為沒有放在公開來源情報，他們也無從知道與了解。</p> <h2><span style="color:#ff0000;"><strong>FBI發布2023網路犯罪調查報告，BEC詐騙、投資詐騙、勒索軟體的危害變更嚴峻</strong></span></h2> <p>另一份重要年度報告，是美國聯邦調查局（FBI）網路犯罪投訴中心（IC3）在3月7日發布的《2023 Internet Crime Report》，雖然這裡的數據統計以美國地區為主，但因為IC3在此方面所蒐集的資料，相對其他國家執法單位而言，其樣本數量夠大且類型豐富，因此IC3所統計的資料也常視為一重要指標。</p> <p>在這份最新年度報告中，FBI指出2023年受理的案件達88萬件，比前一年增長10%，損失金額也比前一年增加22%，持續呈現逐年增長的態勢。</p> <p>至於去年網路犯罪態勢有哪些重要變化？我們認為有3大焦點，分別是：BEC詐騙、投資詐騙、勒索軟體。</p> <h3><span style="color: rgb(0, 0, 205);"><strong>BEC詐騙</strong></span></h3> <p>首先，商業電子郵件（BEC）詐騙的威脅已經被FBI警告多年，2023年帶來的損失金額已接近30億美元，共有21,489件被受理。平均起來，每日都有58家企業報案，相當驚人。</p> <p>特別的是，我們找出過去3年的IC3的統計數據可以發現，這類網路犯罪投訴數量均維持在1.9萬到2.2萬件之間。這也意味著，每年都有2萬家當地企業遭遇BEC詐騙，並沒有趨緩的情形。</p> <p>對於臺灣企業而言，雖然我國警政署往年也會公布這方面的統計數據，但現在少有這類新聞事件曝光，因此，我們認為有需要再度提醒普遍企業，這類威脅態勢在國際間其實並未減少，不應輕忽。</p> <h3><span style="color: rgb(0, 0, 205);"><strong>投資詐騙</strong></span></h3> <p>其次，投資詐騙日益嚴峻，成為近兩年最猖獗的網路犯罪型態。自從2022年開始，帶來的相關損失躍居網路詐騙首位，到了2023年，損失金額再度攀高，已經達到2020年的3倍，且大多數與加密貨幣詐欺有關。</p> <p>在臺灣，近來有這類事件發生，例如今年我國檢警調偵辦「ACE王牌交易所」勾結虛擬貨幣詐騙集團吸金一案。</p> <h3><span style="color: rgb(0, 0, 205);"><strong>勒索軟體</strong></span></h3> <p>第三，勒索軟體攻擊的網路犯罪再趨嚴重，IC3去年收到2,825多件關於勒索軟體攻擊的投訴案件，顯示在2022年下降後、2023年又呈現上升趨勢。</p> <p>值得注意的是，根據IC3指出，2023年有1,193個重大基礎設施遭到勒索軟體攻擊，比2022年的870個明顯更高，突顯攻擊重大基礎設施持續成鎖定目標，其中醫療保健部門佔這些投訴的2成，在當地16種關鍵基礎設施中最高。</p> <p>雖然臺灣沒有較全面的這類統計資訊，但以我們在3月報導的上市櫃資安封面故事而言，可看出民間企業遇駭事件確實增加，且2023年的勒索軟體攻擊事件，的確比2022年更多。</p> <p>無論如何，上述這些2023全年威脅態勢的公布，已經告訴我們，這些威脅引發的危害仍在加劇，並未有減緩跡象，因此，儘管臺灣企業組織現在越來越重視資安，但也要記住，我們在2024年所面對的威脅與挑戰，也是變得更為嚴峻。</p> <h2><strong><span style="color:#ff0000;">月底發生XZ後門事件，軟體供應鏈攻擊威脅也不容輕忽</span></strong></h2> <p>除了上述4大威脅面向，還有軟體供應鏈攻擊的態勢要注意，這是因為3月底發現了一起重大事件，XZ程式庫竟遭潛伏的維護者植入後門。</p> <p>關於這起事件，最令開發圈、資安圈在意的是，攻擊者竟然以長期臥底方式，將自己長期假扮為正常的開源貢獻者，一開始提交的內容都要幫助專案維護，行動很正常，等到取得原始專案開源維護者的信任，自己擁有更多權限之後，才露出真實目的，進而要以神不知鬼不覺的技術，將後門植入上游軟體供應鏈。</p> <p>由於開源貢獻者來自全球各地，要如何防範一開始沒有任何異常舉動的臥底內鬼？要如何揪出這個在GitHub使用代號Jia Tan（JiaT75）且暗中植入後門的攻擊者真實身分？如今都成為開源界積極探討的議題。</p> <p>雖然過去也有主打開源安全管理的資安業者，有發布軟體供應鏈攻擊的年度報告。只是，我們認為，這一威脅面的影響深遠，但又可能不像其他網路威脅那樣受關注，因此產業間是否會有更好的辦法來面對？或許值得各界都能更進一步去探討。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/161700"><span style="color: rgb(178, 34, 34);">【資安週報】2024年3月4日到3月8日</span></a></strong></h2> <p>回顧這一星期的資安新聞前，先來聊聊最近臺灣上市櫃公司接連發布資安事件重大訊息的現況，最近我們發布的封面故事，就是特別以此為題的報導與探討，當中整理出<a href="https://www.ithome.com.tw/news/161666">2023年臺灣上市櫃公司有23起資安事件相關重大訊息</a>，並得知這些資安事故的背後，多半是勒索攻擊造成，另一方面，<a href="https://www.ithome.com.tw/news/161667">早已不斷受媒體關注的個資外洩消息，近一年也登上重訊版面</a>，在我們進一步追蹤下，更是發現先前諾貝兒、雄獅遭網路駭客攻擊事件的後續消息，就有因個資外洩受個資法的情形，且開罰金額已經提高至200萬，不同於過去的20萬。</p> <p>這些現象的出現，在在突顯企業經營層在看待營運風險時，需更重視勒索攻擊的危害，以及個資外洩的影響。特別的是，在我們與證交所聯繫過程中，還發現<a href="https://www.ithome.com.tw/news/161667#%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E9%87%8D%E5%A4%A7%E6%80%A7%E6%A8%99%E6%BA%96">資安事件「重大性」的認定，已有明確標準可依循，上市公司的部分在1月已經完成相關修訂</a>，上櫃公司的部分也確定即將發布。</p> <p>在關注企業揭露資安事件之餘，我們還有不同資安領域的消息需要重視。</p> <p>在本星期的漏洞利用消息方面，有3個重點，企業需優先因應的是蘋果與JetBrains的漏洞。<br /> （一）蘋果修補多款產品的2個記憶體損壞漏洞CVE-2024-23225、CVE-2024-23296，都是已遭鎖定攻擊的零時差漏洞。<br /> （二）JetBrains修補旗下CI/CD軟體平臺TeamCity的兩個漏洞，特別的是，由於該公司沒有知會通報漏洞的Rapid7、私下修補且不公開漏洞，使得Rapid7同日公開漏洞細節。後續，外界發現漏洞CVE-2024-27198已遭鎖定利用。<br /> （三）兩個老舊漏洞近期發現遭鎖定利用，包括：2021年8月的Sunhillo SureLine OS命令列注入漏洞（CVE-2021-36380），以及去年6月的Android Pixel資訊揭露漏洞（CVE-2023-21237）。本期資安日報尚未提及，在此補上。<br /> 其他可留意的漏洞修補消息，包括VMware修補旗下多款產品的4個重大漏洞，以及臉書修補密碼重置漏洞。</p> <p>在資安事件焦點方面，一開始提及勒索軟體與個資外洩的威脅態勢，本週也有多起這方面的新聞報導，我們整理如下：<br /> ●勒索軟體駭客組織Dunghill在2月29日聲稱入侵上櫃公司安瑞科技，我們取得安瑞的回應，他們表示子公司Array US於3月1日，偵測到資訊系統遭受病毒攻擊。目前調查未有客戶敏感資料外洩，也不影響營運。<br /> ●美國CISA等多個機構針對近期勒索軟體Phobos的攻擊態勢提出警告，2月有新的變種出現，主要鎖定關鍵基礎設施、地方政府、急難、教育與醫療單位。<br /> ●去年底Line用戶個資外洩事件有後續消息，原因是LYC與關係企業Naver Cloud因部分系統共用，而雙方於韓國採用的外包廠商，其員工電腦遭到惡意程式感染，因此最近日本總務省要求兩家公司應切割IT基礎架構。<br /> ●美國運通向客戶通知發生資料外洩事件，原因是第三方信用卡交易處理服務提供商的系統遭駭客入侵，導致有未經授權存取的情況。</p> <p>還有一項針對我國而來的攻擊活動，需要大家關注。繼月前有資安業者Trellix發布報告，指出臺灣總統大選投票前一天所遭受的網路攻擊大幅增加，近日又有趨勢科技揭露這方面的態勢，指出中國駭客組織Earth Lusca在去年12月至今年1月的新一波攻擊活動中，會使用地緣政治議題為誘餌來發動網釣攻擊，並且其內容疑似盜用未發表的專家文章。由於研究報告中提到相關文章遭盜用、相關政治專家或所屬組織可能遭入侵，我們認為，上述人士需趕緊檢視自身裝置、帳號的防護，避免受害卻仍不自覺。</p> <p style="margin: 0px;">在資安防禦態勢上，我們注意有3個重點，主要針對開發安全與LLM的安全。</p> <p>首先，開發者要注意！最近GitHub將去年推出的推送保護（Push Protection）功能，改為預設啟用。特別的是，我們發現GitHub在宣布此消息之餘，同時提到他們最近在公開儲存庫掃描時的發現：今年已偵測到上百萬筆機密資料洩漏（API金鑰、令牌與各種機密），如此大量只發生在短短兩個月內。此一情形，很有可能就是現在將Push Protection改為預設啟用的原因。</p> <p>此外，前幾年美國白宮邀科技大廠解決開源安全問題時，改用記憶體安全程式語言，就是十大重點工作之一，最近美國白宮更是發布相關報告，親自呼籲科技界主動減少網路攻擊面，不要使用缺乏記憶體安全相關功能的C和C++。這樣的態勢值得臺灣政府及所有IT資訊產業關注，畢竟要打造可信賴的供應鏈生態體系，軟體開發安全亦是關鍵，尤其是各種可濫用的軟體漏洞中，記憶體安全漏洞佔了絕大多數，因此是所有程式開發相關都要設法克服的挑戰。</p> <p>最後是大型語言模型（LLM）當紅，如今面對提示詞注入、模型拒絕服務，以及敏感資訊洩漏這三種模型攻擊，如何設法應對成挑戰，最近開始有資安業者發表可應對這些威脅的網頁應用防火牆（WAF），Cloudflare指出，其作用可阻擋有問題的請求輸入模型，並具備敏感資料偵測能力，可用於阻止在回應中洩漏機密資料，另一方面，也可阻止使用者將資料傳送到公用LLM。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/161807"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年3月11日到3月15日</span></strong></a></h2> <p>這一星期適逢多家廠商發布每月安全更新，包括微軟、Adobe、SAP等多家IT業者，以及西門子、施耐德電機等ICS工控業者，大家關切這些例行修補之餘，還有一些安全性弱點消息也要留意，例如：威聯通NAS，思科SSL VPN用戶端軟體，以及應用程式開發平臺OpenEdge的漏洞修補。</p> <p>特別的是，我們近期還注意到WordPress有多個外掛程式漏洞的陸續揭漏，當中以存在Bricks Builder外掛編輯器的重大RCE漏洞CVE-2024-25600，需要特別重視，因為多家業者發現已將其用於攻擊行動。此外，另一外掛程式Popup Builder去年修補的漏洞CVE-2023-6000，近期也發現被遭駭客積極鎖定利用的狀況。</p> <p>在資安事件方面，有一起關於臺灣企業的事件引發極大關注，是宏碁菲律賓分公司傳出資料外洩，宏碁已證實當地分公司有部分員工資料被存取，是菲律賓的外部供應商發生資料外洩事故造成。值得注意的是，日前我們報導上市櫃遭網路攻擊的現況時，資安專家指出，現在勒索攻擊的型態，並不全是用加密方式綁架資料而進行勒索，「偷資料的勒索」也逐漸成為常態，而上述事件中，目前傳出消息是只有資料被偷，對方並未使用勒索軟體或是加密檔案，至於後續是否有向宏碁勒索的行為，暫不得而知。</p> <p>此外，還有美法兩國的重大資料外洩消息，例如，美國移民主管機關的敏感資料流入駭客論壇，原因是IT承包商遭駭，以及法國失業救濟機構France Travail遭入侵，4,300萬人個資恐流出。</p> <p>國際有個重大資安事故的消息，全球也正在關注後續發展。法國總理辦公室最近公開表示，當地多個政府機構遭受了「前所未有的強度」的網路攻擊，據當地媒體指出，法國各部會網站是遭DDoS攻擊，而法國政府也採取措施，成立危機反制小組來應對，由於今年7月法國將舉辦2024奧運，還有6月舉行的歐洲議會選舉，該國國防顧問先前也示警，近期相關活動可能成為網路攻擊的重要目標。</p> <p>在威脅態勢上，美國聯邦調查局（FBI）發布2023年度網路犯罪報告，強調勒索軟體駭客攻擊關鍵基礎設施日益頻繁，我們在此列出重點，幫助大家快速了解。<br /> ●勒索軟體的影響再次上升，在FBI接獲的2,825件勒索軟體攻擊事故中，有1,193件是針對關鍵基礎設施（CI）有關的組織而來，相當於每5起事故就有2起是針對CI，這樣的比例比前一年度更高。<br /> ●從犯罪型態來看，商業電子郵件詐騙（BEC）危害程度居高不下，FBI表示，2023年此類犯罪損失高達29億美元。我們對比了前兩年的BEC損失，分別是23億美元、27億美元，可看出企業必須持續嚴防這類威脅。<br /> ●投資詐騙問題越來越大，2022年損失達33億美元，超越BEC而成為傷害最大的犯罪型態，2023年這類損失金額更是達到45億美元。</p> <p>在其他重要威脅態勢上，這星期還有不少勒索軟體最新動向的揭露，我們整理如下：</p> <p>●勒索軟體駭客組織BianLian最近的攻擊行動，是利用前一陣子TeamCity的漏洞來發起入侵。<br /> ●由勒索軟體駭客組織GhostSec、Stormous發起的雙重勒索攻擊，正利用名為GhostLocker 2.0的勒索軟體，鎖定中東、非洲、亞洲企業發動攻擊。<br /> ●去年4月出現的勒索軟體駭客組織RA World，攻擊目標原本是美國、韓國，後續擴展至德國、印度，以及臺灣，拉丁美洲現在也被鎖定。</p> <p>回到國內，關於上市櫃公司資安事件揭露的規範，最近有重要消息發布。我們先前報導臺灣證券交易所發布新版重訊問答集，裡面具體列出「上市公司」的資安事件重大性標準，而對於「上櫃公司」資安事件重大性標準的規範，則是在3月8日由證券櫃檯買賣中心發布。簡單來說，當中明訂核心系統遭駭，官網遭駭、DDoS、個資外洩、造成服務受影響中斷等，都屬重大性事件，而且，都需要發布重大訊息告知投資人。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/161926"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年3月18日到3月22日</span></strong></a></h2> <p>這一星期的漏洞消息，在留意Atlassian修補CI/CD工具Bamboo重大漏洞，以及Ivanti修補同步應用系統Standalone Sentry的重大漏洞之餘，還一個大家可能容易忽略的消息是，1月HTTP非同步傳輸框架Aiohttp修補漏洞CVE-2024-23334，近期出現利用該漏洞的攻擊行動，研究人員認為，可能是勒索軟體駭客組織ShadowSyndicate所為。</p> <p>在重大資安新聞方面，我們認為，最需要優先關注國際貨幣基金組織與富士通的遭駭事件。</p> <p>國際貨幣基金組織（IMF）在15日公布遭遇網路攻擊事件，全球也正在關注後續發展。基本上，IMF是在二戰後為了穩定國際金融而成立，最近他們公布在一個月前發現遭遇網路攻擊，有11個電子郵件帳號被入侵。這不免令人聯想到1月微軟、HPE遭俄羅斯駭客Midnight Blizzard攻擊的事件，因為共通點這些機構都使用微軟雲端電子郵件服務。</p> <p>另一個IT界很關注的消息是富士通遭駭，該公司在15日發布資安公告，說明IT系統遭入侵，發現多臺電腦出現惡意軟體，目前該公司正調查被入侵的情況與確認資料是否外洩，暫不清楚是否有其他企業或其客戶資料受波及，有待後續調查結果公布。</p> <p>至於臺灣資安近況方面，趨勢科技近期發布2023年資安威脅態勢報告的新聞稿，當中特別強調臺灣須留意駭客組織Earth Estries動態，並指出對方專門針對政府機關與科技業而來，大家要密切關注後續狀況。</p> <p>其他重要資安新聞焦點，包括涉及Firebase曝險、竊資軟體與中國駭客組織動態的新聞，我們整理如下：<br /> ●企業需注意Firebase配置不當的曝險問題，研究人員進行這方面的大規模盤點，發現有900個網站曝險，暴露近2千萬筆明文帳密資料。<br /> ●駭客不只利用HTML Smuggling手法來迴避偵測，最近還出現新的作法，例如竊資軟體AZORult還用上反射式程式碼載入的手法來規避偵測並啟動。<br /> ●中國駭客組織Earth Krahang近兩年的攻擊活動被揭露，有45國、上百個組織被鎖定，已確認70個組織遭入侵，多是政府機關，另發現116個組織遭鎖定。</p> <p>關於新攻擊手法研究與漏洞的揭露，我們認為有3項消息，值得企業與資安研究人員重視，涵蓋DoS攻擊、LLM漏洞，以及利用處理器微架構特性的旁路攻擊手法：<br /> （一）發現新型阻斷服務攻擊手法Loop DoS，德國CISPA亥姆霍茲資安中心指出，利用UDP通訊協定上封包驗證不足的弱點CVE-2024-2169，可導致彼此訊息無限循環回應，不只老舊通訊協定有同樣狀況，目前普遍常用的DNS、NTP、TFTP也受影響。<br /> （二）有研究人員揭露3個新的Google Gemini聊天機器人潛在的威脅，分別是可繞過安全防護機制的漏洞，利用Gemini Pro虛構生成功能的提示越獄漏洞，以及模擬重新設定的漏洞。<br /> （三）多名大學研究人員共同揭露<a href="https://www.ithome.com.tw/news/161909">GoFetch微架構旁路攻擊</a>，資安日報近期尚未報導這方面消息，但已引發不小的關注，此手法是透過記憶體資料預先讀取機制DMP，從常數時間程式實作中竊取加密金鑰，且蘋果M系列處理器易受此攻擊影響。</p> <p>在防禦態勢上，這星期有2項新進展，成為資安圈與開發圈的焦點。例如，提升組織內軟體供應鏈可見性的軟體安全評估工具GUAC，如今成為OpenSSF孵化專案，以及程式碼儲存庫GitHub發布程式碼自動掃描修復功能（Code Scanning Autofix），可協助開發者快速解決程式碼中的漏洞，目前已經支援JavaScript、TypeScript、Java與Python。</p> <p>此外，國際間還有兩個安全指引的頒布，可以作為企業組織的借鏡與參考。一是英國發布雲端資料收集與監控系統（SCADA）安全指引，因為已有許多企業組織將SCADA遷移到雲端，而這樣的資訊過去也算比較少見；另一是因應中國駭客組織Volt Typhoon的威脅，最近英美等多國網路安全機構，提出防禦指引。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/162041"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年3月25日到3月29日</span></strong></a></h2> <p>在這一星期有多個已知漏洞出現首度遭利用的消息，其中1個是短短一週前才修補，就發現被利用於攻擊行動，因此特別受關注，那就是Fortinet端點管理伺服器FortiClient EMS的漏洞CVE-2023-48788。</p> <p>其他近期確認遭鎖定利用的已知漏洞，還包括：微軟SharePoint Server的漏洞（CVE-2023-24955），Ivanti EPM CSA的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-44529">CVE-2021-44529</a>），以及門禁解決方案Nice Linear eMerge E3-Series OS的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2019-7256">CVE-2019-7256</a>）。後兩項本期資安日報尚未提及，一併補上。</p> <p>另補充<a href="http://www.ithome.com.tw/news/162040">周末一則最新消息是關於XZ Utils資料壓縮程式遭植入後門</a>，紅帽已指派漏洞CVE-2024-3094，由於此事件涉及SSHD（Secure Shell Daemon）供應鏈攻擊，正受廣泛關注。</p> <p>關於零時差漏洞攻擊的最新態勢，持續受大眾關注，隨著2023年過去，最近Google公布這方面的年度報告，我們認為，有3個現象值得大家關注：（一）針對第三方元件攻擊顯著增加；（二）針對企業裝置、資安產品攻擊，比往年增長近5成，（三）中國政府支持駭客組織發動的攻擊大增，去年利用了12個零時差漏洞發動攻擊。</p> <p>此外，關於上述提到中國駭客組織的危害，最近另一起資安新聞也提到這方面的狀況。最近美國方面有新的消息，該國司法部起訴7名參與APT31的中國公民，其財政部也宣布制裁武漢曉睿智科技（Wuhan XRZ），已確認這是一家幌子公司，背後是負責APT 31行動的中國湖北省國家安全局設立。在此同時，還有多國網路安全機構與執法單位，出面指控近年遭到中國政府支持駭客組織的攻擊，包括英國、芬蘭、紐西蘭與澳洲等。</p> <p>在最近的資安威脅態勢上，殭屍網路TheMoon的攻擊活動，是本星期的一大焦點事件。這是因為，雖然它的攻擊目標都是挾持生命週期終止（EOL）的家用及小型辦公室（SOHO）路由器、物聯網設備，但最近短短72小時內，竟有超過6千臺華碩路由器被攻佔。</p> <p>在其他威脅態勢方面，有勒索軟體與網釣工具的揭露，值得企業與資安研究人員重視，還有一些攻擊技術與資安風險的揭露，雖然存在於不同領域，但可能的危害情境貼近於生活日常，引發許多人的好奇與重視，我們整理如下：</p> <p>●勒索軟體Agenda的攻擊在去年底顯著增加，如今更是發現，攻擊活動中會利用嵌入勒索軟體檔案的PowerShell指令碼，對VMware ESXi、vCenter進行橫向感染，竄改ESXi主機root密碼。</p> <p>●網路犯罪領域有新的攻擊工具出現，被不同資安業者揭露，例如，半年多前現身的Tycoon 2FA的AiTM網釣攻擊套件，最近有被廣泛使用的情形；還有網路釣魚套件工具包Darcula，是針對手機用戶而來。</p> <p>●飯店業者注意！全球數百萬間的飯店房門能被一張複製的偽造鑰匙卡破解，有資安研究人員發現，經常被應用在飯店與住宅大樓Saflok系統的RFID電子鎖產品有漏洞（Unsaflok），由於門鎖更新或更換耗時，五個月來進度僅完成36%。</p> <p>●Google搜尋引擎近期加入SGE功能，將生成式AI融入搜尋結果，但有人發現給出的結果中，會推薦垃圾網站及惡意網站，推測可能是SEO中毒攻擊造成。</p> <p>●資安部落格<a href="https://krebsonsecurity.com/2024/03/recent-mfa-bombing-attacks-targeting-apple-users/">KrebsonSecurity指出最近出現針對蘋果用戶的「MFA轟炸」攻擊</a>，這種釣魚攻擊，涉及一個看似蘋果密碼重置功能的漏洞。雖然近期資安日報尚未報導這方面消息，但已引發不小的討論與關注。</p> <p>另外，防禦態勢上，這星期有兩項新進展，成為資安圈與開發圈的焦點。例如，上星期Pwn2Own漏洞挖掘大賽舉行，參賽的資安研究人員在8個競賽類別總計找出29個零時差漏洞，除了研究人員共獲得113萬美元的獎勵，提供產品的廠商後續也將針對這些漏洞予以修補，目前Firefox、Google以針對各自不同的2個漏洞進行修補。</p> <p>另一是美國CISA發布第4則Secure by Design Alert，強調SQL注入漏洞不該一再發生，他們並以去年駭客利用MOVEit Transfer漏洞大舉入侵為例，呼籲開發人員、軟體製造商在出廠前務必審查程式碼是否含有SQL注入漏洞。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/161921">2024年2月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/161237">2024年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160880">2023年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160289">2023年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159582">2023年10月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159207">2023年9月資安月報</a></h3> <h3> </h3> <p> </p> </div></div></div>
2024/4/29 16:29作者羅正漢https://www.ithome.com.tw/news/162577
【資安日報】4月29日，互動式BI系統Qlik Sense危急漏洞遭到鎖定，對方利用勒索軟體Cactus發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年互動式BI系統Qlik Sense修補多個已知漏洞CVE-2023-41265、CVE-2023-41266、CVE-2023-48365，事隔2個月傳出駭客組織鎖定尚未修補的伺服器下手，對其植入勒索軟體Cactus加密檔案。事隔5個月，這波攻擊的態勢並未趨緩，但仍有不少伺服器仍未套用更新軟體而曝險。</p> <p>資安業者Fox-IT指出，截至今年4月17日，曝露於網際網路上的Qlik Sense伺服器超過6成存在前述漏洞，且已有超過100臺伺服器遭到入侵。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162575"><strong style="font-size: 22px;">互動式BI系統Qlik Sense遭勒索軟體Cactus攻擊，3千多臺伺服器曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/top-20-countries-vulnerable-qlik-sense.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/top-20-countries-vulnerable-qlik-sense.png" style="width: 300px; float: right;" /></a></p> <p>去年8月底互動式BI系統Qlik Sense修補被稱為ZeroQlik的兩項漏洞，分別是HTTP隧道漏洞CVE-2023-41265，以及路徑穿越漏洞CVE-2023-41266，CVSS風險評分為9.6、8.2分。</p> <p>隔月，該公司再度公布名為DoubleQlik的漏洞，此為繞過針對上述漏洞修補程式的弱點，並被登記CVE-2023-48365，CVSS風險評為9.6。近日研究人員提出警告，自11月勒索軟體駭客Cactus利用上述漏洞發動攻擊，迄今至少已有100臺伺服器被攻入，但令人憂心的是，這些漏洞仍有超過3千臺伺服器尚未修補，而可能成為對方下手的對象。</p> <p>上週資安業者Fox-IT指出，他們在4月17日於網際網路上找到5,205臺Qlik Sense伺服器，其中有3,143臺尚未修補上述漏洞而曝險，這些伺服器位於美國的數量最多，有396臺，其次是義大利、巴西、荷蘭，分別有260臺、244臺、241臺。</p> <p><a href="https://www.ithome.com.tw/news/162578"><strong style="font-size: 22px;">研究人員揭露PlugX惡意程式攻擊行動，半年針對170個國家、近250萬臺電腦下手</strong></a></p> <p>去年3月資安業者Sophos發現專門鎖定USB裝置的惡意程式PlugX變種，有其他研究人員進一步進行追蹤，並公布相關細節。資安業者Sekoia根據上述的調查結果，買下對方曾經使用的C2網域進行研究，結果發現他們每天會從超過170個國家的受害電腦，收到約9萬至10萬次的請求。截至目前為止，他們總共看到2,495,297個試圖與C2網域進行互動的IP位址。</p> <p>研究人員指出，逾8成受害電腦集中於15個國家，其中最多的是奈及利亞、印度、中國、伊朗、印尼。根據受害的國家來看，有不少是發生在參與中國一帶一路基礎設施發展的合作國家，因此研究人員推測，這波攻擊行動的目的，是在收集各國對於一帶一路相關策略及安全相關的情資，主要是為了中國海洋及經濟層面的利益。</p> <p><a href="https://www.ithome.com.tw/news/162554"><strong style="font-size: 22px;">中東政府遭到後門程式CR4T鎖定，老牌檔案管理共享軟體Total Commander安裝檔遭改裝夾帶惡意程式下載器</strong></a></p> <p>資安業者卡巴斯基揭露名為DuneQuixote的攻擊行動，他們在今年2月察覺此事，對方針對中東政府機關而來，意圖於網路環境部署後門程式CR4T。</p> <p>研究人員總共看到攻擊者使用超過30個惡意程式下載工具，並指出而這些軟體大致可區分兩種類型，其中一種是透過老牌檔案管理工具Total Commander的安裝程式挾帶，而引起研究人員的關注。</p> <p><a href="https://www.ithome.com.tw/news/162515"><strong style="font-size: 22px;">北韓駭客Kimsuky濫用生成式AI從事網路間諜行動</strong></a></p> <p>微軟針對北韓駭客組織濫用大型語言模型（LLM）及生成式AI工具的情況提出警告，對方藉此讓攻擊危害更為顯著、效率更為提升。</p> <p>該公司與OpenAI的研究人員發現，北韓駭客組織Kimsuky（亦稱Emerald Sleet、TA427）在鎖定韓國專家從事魚叉式網路釣魚攻擊行動時，就利用LLM來強化效果。再者，他們也發現這些駭客利用LLM來研究漏洞，或是對於專門研究北韓事務的專家及組織從事偵察工作。</p> <p><a href="https://www.ithome.com.tw/news/162568"><strong style="font-size: 22px;">群光電子遭駭事故傳出後續，對方聲稱取得SpaceX相關檔案，該公司表示為非機密資料</strong></a></p> <p></p> <p>4月15日勒索軟體駭客組織Hunters International聲稱攻擊臺灣電腦周邊產品大廠群光電子（Chicony Electronics），竊得1.2 TB內部資料，引起國內媒體廣泛報導，21日群光發布重大訊息針對此事提出說明，強調這起事故無個資及機密文件資料外洩，事隔一週，又出現新的發展。</p> <p>27日駭客釋出竊得資料，當中包含運動攝影機廠商GoPro產品的資料，以及太空科技公司SpaceX的相關資料，資安專家Dominic Alvieri在社群網站X標註創辦人馬斯克，要讓該公司留意此事。對此，群光再度發布重大訊息，指出駭客公布的都是已經量產、市面上可買得到的產品資料，並非機密。</p> <p><a href="https://www.ithome.com.tw/news/162574"><strong style="font-size: 22px;">針對京鼎1月遭駭，證交所指出該公司延遲發布重大訊息開罰</strong></a></p> <p>今年1月鴻海集團旗下半導體設備大廠京鼎遭網路攻擊，駭客當時曾罕見竄改該公司網站首頁而引起軒然大波，近期出現新的進展。4月26日證券交易所指出，因該公司延遲發布重大訊息，他們根據相關規定開罰10萬元。</p> <p>證交所指出，他們發現京鼎的內部控制制度設計及執行，以及對子公司之監督與管理未依「公開發行公司建立內部控制制度處理準則」第5條、第11條、第38條規定辦理的情況。再者，京鼎美國子公司於2024年1月8日，發生駭客攻擊伺服器及加密文檔事件，經查符合證交所「對有價證券上市公司重大訊息之查證暨公開處理程序」第4條第1項第26款之情事。證交所指出，京鼎公司延遲輸入公開資訊觀測站重大訊息畫面。</p> <p><a href="https://www.ithome.com.tw/news/162569"><strong style="font-size: 22px;">員警涉嫌內神通外鬼，查詢165反詐騙平臺示警銀行帳號，將相關資料洩露給詐騙集團</strong></a></p> <p>新北市警局傳出有員警涉嫌查詢特定帳戶資訊，並提供犯罪集團濫用的情況。近期檢警追查某起案件時，意外發現36歲新北市新莊分局丹鳳派出所員警王晟育涉案，且疑似收賄。</p> <p>這名員警於2021年7月至2022年12月底，利用派出所內公務電腦，登入內政部警政署警政知識聯網系統，存取165反詐騙系統平臺，查詢警示帳戶通報情形、受理案號，以及被害人姓名、銀行帳號等資料。接著，該名員警利用即時通訊軟體，將上述資料傳送新莊裕民里前里長曾榆期，該名前里長再提供給詐騙集團，目的是讓對方了解被害者是否報案，他們的銀行帳號是否遭到警示或是凍結。這些被流出的個資，至少有24筆。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/okta-warns-of-unprecedented-credential-stuffing-attacks-on-customers/"><strong style="font-size: 20px;">鎖定Okta用戶的帳號填充攻擊爆增</strong></a></p> <p></p> <p>◆<a href="https://www.threatfabric.com/blogs/brokewell-do-not-go-broke-by-new-banking-malware"><strong style="font-size: 20px;">金融木馬Brokewell挾持安卓裝置，從而竊取機敏資料</strong></a></p> <p></p> <p>◆<a href="https://www.securonix.com/blog/analysis-of-devpopper-new-attack-campaign-targeting-software-developers-likely-associated-with-north-korean-threat-actors/"><strong style="font-size: 20px;">研究人員揭露佯稱提供職缺的攻擊行動Dev Popper，意圖在開發人員電腦植入Python後門</strong></a></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://twitter.com/Shadowserver/status/1783399676521168935"><strong style="font-size: 20px;">逾1,400臺CruchFTP檔案共享伺服器尚未修補CVE-2024-4040</strong></a></p> <p></p> <p>◆<a href="http://patchstack.com/database/vulnerability/wp-automatic/wordpress-automatic-plugin-3-92-0-unauthenticated-arbitrary-sql-execution-vulnerability"><strong style="font-size: 20px;">WordPress自動化內容匯入外掛程式存在危急漏洞，攻擊者有機會得到管理者權限並植入後門</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162395"><strong style="font-size: 22px;">Commvault併購雲端災難復原軟體新創廠商Appranix</strong></a></p> <p>長期經營備份與災難復原領域的廠商Commvault，宣布併購雲端災難復原軟體廠商Appranix，藉此更新雲端服務基礎架構。</p> <p>Appranix是成立於2016年的雲端原生復原軟體廠商，可藉由快照與公有雲儲存資源，為公有雲平臺應用程式提供保護，在雲端應用程式遭遇災害或攻擊而中斷時，幫助用戶迅速恢復應用程式運行，可支援AWS、Azure與Google Cloud等主要公有雲平臺。</p> <p>Commvault自身也有基於Commvault Cloud的雲端災難復原服務，而透過併購Appranix，將能藉由整合後者的產品，擴展與更新Commvault Cloud的基礎技術架構，強化災難復原服務能力。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162563"><strong>【4月26日】駭客鎖定網管人員散布後門程式MadMxShell，意圖取得入侵企業組織的管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162538"><strong>【4月25日】思科證實防火牆零時差漏洞遭國家級駭客利用，於政府機關植入後門程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162511"><strong>【4月24日】北韓雲端伺服器傳出組態不當，曝露間接承攬美國多家影音平臺外包動畫製作的情況</strong></a></p> </div></div></div>
2024/4/29 17:13作者周峻佑https://www.ithome.com.tw/news/162579
網釣太猖獗！假冒的美國郵局網站流量相當或勝過真實網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因為員工收到了來自美國郵局（United States Postal Service，USPS）的詐騙簡訊，促使<a href="https://www.akamai.com/blog/security-research/phishing-usps-malicious-domains-traffic-equal-to-legitimate-traffic" target="_blank">資安業者Akamai對此展開調查，發現</a>自2023年10月到2024年2月間，用戶的DNS查詢量只有51%導向正確的USPS網站（<a href="http://www.usps.com">www.usps.com</a>），另有49%都導向了網路釣魚網站，而且在特定的節日前後，這些網釣網站的DNS查詢量都大幅勝過真實的USPS。</p> <p>調查顯示，仿冒USPS官網的網釣網址通常屬於搶註的組合網址（Combosquatting），亦即在這些網址中嵌入了USPS的名稱，Akamai篩選了那些使用明顯USPS字樣的網釣網址，顯示全球最少被註冊了超過68萬個假冒為USPS的網釣網站，當中有逾27萬個使用.com，也有27萬個使用.top，另有5.8萬個採用.shop，3萬個使用.xyz，還有1.6萬個是.org。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0429-Phishing%20Campaigns%20Targeting%20USPS-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FAkamai.png" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Akamai</span></p> <p>而引來最多流量的前四個USPS網釣網站則是usps-post[.]world 、uspspost[.]me、usps-postoffices[.]top與stamps-usps[.]online。</p> <p>Akamai在這5個月追蹤了USPS官網以及眾多網釣網站的流量，發現網釣網站在平日的流量可能略低於USPS官網，但只要一到假日或送禮高峰期，例如感恩節或聖誕假期，網釣網站的流量就會大幅超越真實的USPS網站，因為駭客企圖利用此一人們與郵政都非常繁忙的季節來執行詐騙。</p> <p>在Akamai員工收到的詐騙簡訊中寫著：「其USPS包裏已經送到倉庫，但因地址資訊不清楚所以無法遞送，要求使用者於12個小時內透過簡訊內附上的連結來確認地址...」接著便將使用者導至網釣網站來騙取個資。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0429-Phishing%20Campaigns%20Targeting%20USPS-Fig_%201%EF%BC%9AUSPS%20smishing%20attempt%20sent%20to%20team%20member-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FAkamai.png" style="width: 250px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Akamai</span></span></p> <p>研究人員指出，雖然USPS官網在調查期間依舊取得了DNS總查詢量的51%，但因過濾資料的方式不同，在現實世界中，惡意流量顯然會超過合法流量，同時也顯示了組合搶註技術於網釣領域中非常成功。</p> </div></div></div>
2024/4/29 16:22作者陳曉莉https://www.ithome.com.tw/news/162576
研究人員揭露PlugX惡意程式攻擊行動，半年針對170個國家、近250萬臺電腦下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年3月資安業者Sophos發現<a href="https://news.sophos.com/en-us/2023/03/09/border-hopping-plugx-usb-worm/">專門鎖定USB裝置的惡意程式PlugX變種</a>，有其他研究人員進一步進行追蹤，並公布相關細節。</p> <p>資安業者Sekoia根據上述的調查結果，於去年9月以7美元的代價，<a href="https://blog.sekoia.io/unplugging-plugx-sinkholing-the-plugx-usb-worm-botnet/">買下對方曾經使用的C2網域進行研究</a>，結果發現他們每天會從超過170個國家的受害電腦，收到約9萬至10萬次的請求。截至目前為止，他們總共看到2,495,297個試圖與C2網域進行互動的IP位址。</p> <p><a href="https://s4.itho.me/sites/default/files/images/map-plugx.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/map-plugx.png" style="width: 580px;" /></a></p> <p>研究人員指出，逾8成受害電腦集中於15個國家，其中最多的是奈及利亞、印度、中國、伊朗、印尼。根據受害的國家來看，有不少是發生在參與中國一帶一路基礎設施發展的合作國家，因此研究人員推測，這波攻擊行動的目的，是在收集各國對於一帶一路相關策略及安全相關的情資，主要是為了中國海洋及經濟層面的利益。</p> <p><a href="https://s4.itho.me/sites/default/files/images/graph-plugx.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/graph-plugx.png" style="width: 580px;" /></a></p> <p>對此，他們也找出能遠端清除惡意程式的做法，並提供各國電腦緊急應變小組（CERT）運用，但也強調，這個方法只能刪除被植入電腦的PlugX，無法清理已遭感染的隔離網路（Air-gapped Network），以及USB裝置上的惡意程式。</p> </div></div></div>
2024/4/29 16:36作者周峻佑https://www.ithome.com.tw/news/162578
互動式BI系統Qlik Sense遭勒索軟體Cactus攻擊，3千多臺伺服器曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年8月底互動式BI系統Qlik Sense修補<a href="https://community.qlik.com/t5/Official-Support-Articles/Critical-Security-fixes-for-Qlik-Sense-Enterprise-for-Windows/ta-p/2110801">被稱為ZeroQlik的兩項漏洞</a>，分別是HTTP隧道漏洞CVE-2023-41265，以及路徑穿越漏洞CVE-2023-41266，CVSS風險評分為9.6、8.2分。</p> <p>隔月，該公司再度公布<a href="https://community.qlik.com/t5/Official-Support-Articles/Critical-Security-fixes-for-Qlik-Sense-Enterprise-for-Windows/ta-p/2120325">名為DoubleQlik的漏洞</a>，此為繞過針對上述漏洞修補程式的弱點，並被登記CVE-2023-48365，CVSS風險評為9.6。近日研究人員提出警告，自11月勒索軟體駭客Cactus利用上述漏洞發動攻擊，至少已有100臺伺服器受害，但迄今仍有超過3千臺伺服器尚未修補而曝險。</p> <p>上週資安業者Fox-IT指出，他們<a href="https://blog.fox-it.com/2024/04/25/sifting-through-the-spines-identifying-potential-cactus-ransomware-victims/#b1d246b2-3ef5-4ed3-9f2c-aaf61cc7acf0">在4月17日於網際網路上找到5,205臺Qlik Sense伺服器</a>，其中有3,143臺尚未修補上述漏洞而曝險，這些伺服器美國最多，有396臺，其次是義大利、巴西、荷蘭，分別有260臺、244臺、241臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/top-20-countries-vulnerable-qlik-sense.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/top-20-countries-vulnerable-qlik-sense.png" style="width: 580px;" /></a></p> <p>而對於已經遭到勒索軟體感染的情況，總共有122臺受害，最多的仍是美國，有49臺，西班牙、義大利、英國各有13臺、11臺、8臺。</p> <p>對此，研究人員也公布檢查Qlik Sense伺服器是否遭駭的方法，並呼籲IT人員應避免將此系統曝露於網際網路。</p> <p><a href="https://s4.itho.me/sites/default/files/images/powershell-dir-listing-qle-fonts.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/powershell-dir-listing-qle-fonts.png" style="width: 580px;" /></a></p> <blockquote><p>研究人員指出，駭客組織Cactus在從事勒索軟體攻擊的過程中，會在Qlik Sense的字型資料部署2個字型檔案qle.tff、qle.woff，由於這些檔案並非Qlik Sense內建，因此IT人員能以此判斷是否遭受相關攻擊。<strong><span style="color:#696969;">（圖片來源／Fox-IT）</span></strong></p> </blockquote> </div></div></div>
2024/4/29 15:32作者周峻佑https://www.ithome.com.tw/news/162575
針對京鼎1月遭駭，證交所指出該公司延遲發布重大訊息開罰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月鴻海集團旗下半導體設備大廠京鼎遭網路攻擊，<a href="https://www.ithome.com.tw/news/160856">駭客當時曾罕見竄改該公司網站首頁</a>而引起軒然大波，近期出現新的進展。<a href="https://www.twse.com.tw/zh/about/news/news/content.html?ff8080818eead609018f19b6242a009b">4月26日證券交易所指出</a>，因該公司延遲發布重大訊息，他們根據相關規定開罰。</p> <p>證交所指出，他們發現京鼎的內部控制制度設計及執行，以及對子公司之監督與管理未依「公開發行公司建立內部控制制度處理準則」第5條、第11條、第38條規定辦理的情況。</p> <p>再者，京鼎美國子公司於2024年1月8日，發生駭客攻擊伺服器及加密文檔事件，經查符合證交所「對有價證券上市公司重大訊息之查證暨公開處理程序」第4條第1項第26款之情事。證交所指出，京鼎公司延遲輸入公開資訊觀測站重大訊息畫面。</p> <p>根據上述發現，證交所對京鼎處以違約金10萬元，並發函通知該公司日後應確實依照規定辦理，他們將持續追蹤改善情形。</p> </div></div></div>
2024/4/29 14:25作者周峻佑https://www.ithome.com.tw/news/162574
攝影分享平臺EyeEm變更服務條款，將利用平臺上的照片來訓練AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攝影分享平臺EyeEm的一名用戶Powen Shiah在4月初<a href="https://twitter.com/polexa/status/1776226330180305035" target="_blank">收到該平臺的來信</a>，指稱該平臺變更其服務條款，將利用平臺上的照片來訓練AI模型，若不願意自己的照片被使用，則必須自行刪除。</p> <p>EyeEm在2011年創立於德國，為一攝影照片交流平臺，提供用戶有關照片、技術或經驗的分享，在2015年推出EyeEm Market，允許用戶藉由該市集出售自己的攝影作品，並透過人工智慧（AI）技術，替品牌、機構或個人媒合適合的攝影作品，當時該平臺擁有1,800萬名用戶，以及超過7,000萬張的照片，曾被視為Instagram在歐洲的主要競爭者之一。</p> <p>該平臺在2021年以接近4,000萬美元賣給了瑞士的社交網站Talenthouse，不過，自2022年夏天開始，EyeEm平臺上的創作者開始對外抱怨沒有收到應有的報酬，該平臺也在2023年4月申請破產，繼之西班牙圖片庫業者Freepik在同年10月買下了EyeEm。</p> <p>EyeEm近日變更了<a href="https://www.eyeem.com/terms/photographers" target="_blank">服務條款中的8.1節</a>，指出只要將內容上傳至EyeEm社群，等同於授權該平臺可轉讓及可再授權的權利，不僅得以複製、遞送、公開展示、製作衍生商品及傳播，還能使用這些內容來訓練、發展及改善軟體、演算法與機器學習模型，不同意的話便不應將內容上傳。</p> <p>相關的條款同時適用於上傳至EyeEm社群及EyeEm Market的內容。</p> <p>因此，不希望自己的攝影作品被免費用來訓練AI模型的EyeEm用戶，可以直接刪除於EyeEm社群中所分享的內容，或是於EyeEm Market 中提出刪除申請，但自EyeEm Market或其合作夥伴平臺上完全刪除最多可能需要180天。</p> </div></div></div>
2024/4/29 14:01作者陳曉莉https://www.ithome.com.tw/news/162573
【資安週報】2024年4月22日到4月26日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期3則漏洞利用消息，有兩起涉及零時差漏洞利用，當中最受關注的是，思科修補了旗下ASA及FTD防火牆的2個零時差漏洞CVE-2024-20353、CVE-2024-20359，原因在於，思科Talos同時公布了調查狀況，指出年初經客戶通報安全性問題，調查後發現當時已有攻擊活動，並是國家級駭客UAT4356（亦稱Storm-1849）所為。</p> <p>另一事件發生在檔案伺服器軟體CrushFTP，該團隊宣布修補已遭利用的零時差漏洞CVE-2024-4040，有研究人員指出駭客很可能是鎖定政治目標收集情報。</p> <p>還有一個已知漏洞利用情形，是微軟詳細揭露了俄羅斯駭客組織APT28近年的攻擊手法，當中利用了Windows Print Spooler服務漏洞CVE-2022-38028。因此，近日美國CISA將之列入已知利用漏洞清單。</p> <p>其他漏洞消息方面，有一則影響全球10億用戶的消息，是市面上常見的中國拼音輸入法被發現存在諸多漏洞。為了幫助這些用戶不受攻擊者監控輸入內容，加拿大公民實驗室已向8家輸入法供應商通報大批漏洞，多家廠商已針對最嚴重的漏洞進行修補，但Vivo、小米卻並未針對通報回覆。</p> <p>在資安威脅態勢方面，有4則新聞我們認為值得重視，這些攻擊趨勢研究的面向，涵蓋SAP用戶、網頁伺服器被鎖定、CDN快取遭濫用、以及AI的趨勢，我們整理如下：</p> <p>●SAP用戶注意，有兩家資安業者警告，鎖定SAP旗下應用系統的勒索軟體攻擊行動在2023年大增，不僅攻擊活動比兩年前暴增4倍，SAP的RCE漏洞在黑市的價格也水漲船高，顯示駭客正對此有高度興趣。<br /> ●鎖定網頁伺服器已知漏洞並部署Web Shell的攻擊行動被揭露，目的是植入勒索軟體Adhublika，而全球受害數量最多的國家除了美國與印度，臺灣居於第三。<br /> ●駭客組織CoralRaider攻擊行動被揭露，研究人員指出對方使用CDN快取伺服器存放惡意程式，這將導致網路防禦系統可能無法對其進行偵測而放行。<br /> ●最新一項大學研究報告指出，LLM Agents將能自動利用具CVE編號、已被揭露的One-day漏洞，實測10個LLM的結果顯示，GPT-4成功完成這項工作，再次顯現AI帶來的風險與挑戰。</p> <p>此外，本期周報也新補上一則AI監管的最新動向，是<a href="https://fpf.org/blog/setting-the-stage-connecticut-senate-bill-2-lays-the-groundwork-for-responsible-ai-in-the-states/">美國康乃狄克州議會在24日通過了SB 2</a>，若是之後順利發布，SB 2將成為美國第一部監管民營企業開發與部署人工智慧的法案，成為與歐盟AI法案相當的立法。</p> <p>還有2則值得警惕的攻擊態勢，是關於駭客正鎖定資安管理不善的國防產業，以及鎖定網路邊際裝置來入侵。</p> <p>●韓國國防承包商傳出遭北韓駭客組織攻擊，導致相關機密資料被竊取，韓國警方提出警告，並指出多個北韓駭客組織利用了這些公司資安管理不善的情況進行滲透。<br /> ●Google Cloud發布M-Trends報告，除了談及過去一年攻擊者如何利用AiTM入侵多重驗證保護措施，網路釣魚技術在現代化安全控管機制下的演變，並指出中國駭客逐漸以缺乏EDR系統防護的網路邊際裝置與平臺為目標。</p> <p>至於其他最新惡意活動的揭露，本星期的焦點還包括：安卓金融木馬SoumniBot、惡意軟體SSLoad、竊資軟體RedLine等，以及駭客組織BlackTech利用新的後門程式Deuterbear的揭露。</p> <p>在資安事件方面，本星期發生多種類型攻擊事件，涵蓋零時差漏洞攻擊、軟體供應鏈攻擊、關鍵CI攻擊與資料外洩。這4則新聞如下：<br /> ●年初Ivanti零時差漏洞有新的受害組織，資安研究機構MITRE近日公布他們用於研究、開發、原型設計的協作網路環境NERVE遭入侵。<br /> ●防毒軟體eScan的更新機制竟成派送惡意程式GuptiMiner幫兇，研究人員指出是北韓駭客Kimsuky發動的軟體供應鏈攻擊，透過複雜的中間人攻擊手法，針對大型企業網路環境來部署後門程式。<br /> ●美國德州小鎮2起供水系統遭攻擊的事件，導致供水系統出現溢流現象，已手動控制因應，研判俄羅斯駭客組織Sandworm（APT44）所為。<br /> ●長榮航空在25日夜間發布資安事件，說明察覺不明人士取得旅客帳號資料並透過惡意IP位址登入網站，發現300多名旅客資料被存取。此外，先前<a href="https://www.ithome.com.tw/news/162568">群光遭駭事件這周末又有後續消息，我們在此補上，該公司指出駭客組織新揭露的SpaceX資料非機密資料</a>。</p> <p>特別的是，還有一起案外案，是北韓雲端伺服器組態不當造成資料外洩，當中資料顯示，疑似美國多家影音平臺動畫製作外包給中國公司，中國公司又外包給北韓動畫公司，導致違反美國政府禁令的狀況曝光。</p> <p>在防禦態勢上，這一星期有2項新進展，首先，我國數位發展部正式公布國家資通安全研究院（資安院）接手TWCERT/CC，這項消息其實我們在1月初採訪TWCERT/CC得知並揭露，2月也有對此的專訪報導，最近4月24日，<a href="https://moda.gov.tw/press/background-information/12418">數位發展部唐鳳與資安院院長何全德不僅正式宣布此事，同時還揭露5大推動策略</a>。</p> <p>其次，推動IoT開放標準協定FDO的FIDO聯盟，近日在臺舉辦FDO WorkShop活動，該單位認證計畫主管透露，首批通過FDO標準認證的名單將於近1到2月內公布，有4家廠商進度最快，臺灣工業電腦廠東擎科技也包括在內。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/162448"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月22日】資安研究機構MITRE證實遭遇Ivanti零時差漏洞攻擊</span></strong></a></h3> <p>一月份Ivanti針對Connect Secure公布兩個零時差漏洞，當時通報此事的資安業者Volexity就表示，這些漏洞自去年底就被中國駭客用於攻擊行動，但迄今鮮少有組織出面證實受害。</p> <p>但諷刺的是，傳出受害的組織，竟然都是引領全球資安防禦的機構。上個月，美國網路安全暨基礎設施安全局（CISA）傳出遭到攻擊，而到了最近，維護資安防護框架的資安研究機構MITRE，也證實受害。</p> <p><a href="https://www.ithome.com.tw/news/162476"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月23日】研究人員揭露新舊作業系統路徑轉換弱點，並指出能被當作rootkit發動攻擊</span></strong></a></p> <p>資安業者SafeBreach指出，Windows作業系統存在名為MagicDot的漏洞，這項弱點與新舊版本作業系統的路徑轉換有關，一旦將其利用，攻擊者有可能將其當作惡意程式運用。</p> <p>值得留意的是，為維持新舊作業系統相容性，MagicDot微軟並未完全修補，使得這項弱點很可能被拿來挖掘新的攻擊手法。</p> <h3><a href="https://www.ithome.com.tw/news/162511"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月24日】北韓雲端伺服器傳出組態不當，曝露間接承攬美國多家影音平臺外包動畫製作的情況</span></strong></a></h3> <p>伺服器存取未設密碼保護在網路「裸奔」的離譜情況不時傳出，但過往這類事故外界關注的焦點，通常是這些資料曝光造成的危害，如今有一起事故成為國際的政治焦點。</p> <p>近期有專門研究北韓相關事務的媒體指出，他們發現1臺配置錯誤的雲端儲存伺服器，其內容與動畫製作有關，而且當中存放的資料當中，竟然有多個美國串流服務平臺播放的動畫，以及製作這些數位內容的工作討論。</p> <p><a href="https://www.ithome.com.tw/news/162538"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月25日】思科證實防火牆零時差漏洞遭國家級駭客利用，於政府機關植入後門程式</span></strong></a></p> <p>針對思科防火牆而來的攻擊行動近期不斷傳出，先是一個月前有人鎖定提供遠端存取VPN服務（RAVPN）的防火牆設備下手，進行密碼潑灑攻擊，現在傳出有國家級駭客從去年12月開始，對其進行零時差漏洞攻擊。</p> <p>值得留意的是，這些駭客在攻擊行動半年前就找到這些漏洞，而思科在攻擊發生後的3個月才進行修補，受害情況有待研究人員進一步調查。</p> <p><a href="https://www.ithome.com.tw/news/162563"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月26日】駭客鎖定網管人員散布後門程式MadMxShell，意圖取得入侵企業組織的管道</span></strong></a></p> <p>利用Google廣告散布惡意程式的攻擊行動頻傳，但最近有一起散布後門程式MadMxShell攻擊行動，特別引起研究人員的注意。因為，有別於相關攻擊行動主要是針對個人，這起攻擊行動背後恐怕有更大的目的。</p> <p>這些駭客聲稱提供多種網路管理工具，並希望引誘IT人員上當，進而取得入侵整個組織的管道。</p> </div></div></div>
2024/4/27 08:13作者羅正漢https://www.ithome.com.tw/news/162567