iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 20篇
近 24 小時: 31篇
近 7 天: 133篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 14:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 133 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

捷克、德國證實去年遭遇俄羅斯駭客APT28入侵，對方利用Outlook重大漏洞發起攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到俄羅斯軍情單位GRU指使的駭客組織APT28（也被稱做Forest Blizzard、Strontium），最近幾個月攻擊歐洲國家的情況變得更加頻繁，不時有相關事故出現，如今有兩個國家不約而同對該組織的攻擊行動提出警告，並指出駭客利用特定的已知漏洞發動攻擊。</p> <p>5月3日德國聯邦政府（Bundesregierung）、捷克外交部（MFA）發布公告，指出，這些駭客利用Outlook漏洞對他們國內的企業組織下手。這樣的情況，也引起歐盟、北約組織（NATO）、美國聯手譴責。</p> <p>德國聯邦政府指控<a href="https://www.bundesregierung.de/resource/blob/975226/2276130/ec59e50158ff9ba014025ba5abbfe6ec/2024-05-03-attribution-of-a-russian-cyber-campaign-data.pdf">該組織針對社會民主黨執行委員會發動攻擊</a>，對方在一段相對較長的時間裡，利用重大層級的Outlook漏洞，入侵數個電子郵件帳號，而該漏洞當時尚未被公布。該國亦指控，當地有多個政府機關及企業偵測到相關攻擊行動，而且，包含烏克蘭在內的其他歐洲國家，也出現類似情形。</p> <p>捷克外交部也發出聲明，指出自2023年起，<a href="https://mzv.gov.cz/jnp/en/issues_and_press/press_releases/statement_of_the_mfa_on_the_cyberattacks.html">該國部分企業組織遭遇該組織攻擊</a>，其共通點就是利用當時未知的Outlook漏洞。</p> <p>雖然上述兩則聲明並未透露漏洞的CVE編號，但<a href="https://thehackernews.com/2024/05/microsoft-outlook-flaw-exploited-by.html">資安新聞網站Hacker News指出</a>，此為重大層級的Outlook權限提升漏洞CVE-2023-23397，CVSS風險評為9.8分，一旦遭到利用，攻擊者就有機會取得使用者的Net-NTLMv2雜湊值，透過NTLM中繼攻擊，從而冒用該名使用者的身分通過驗證。</p> <p>對此，<a href="https://www.nato.int/cps/en/natohq/official_texts_225230.htm">北約組織</a>與<a href="https://www.consilium.europa.eu/en/press/press-releases/2024/05/03/cyber-statement-by-the-high-representative-on-behalf-of-the-eu-on-continued-malicious-behaviour-in-cyberspace-by-the-russian-federation/">歐盟</a>發出聲明，指控俄羅斯政府持續在網路空間不負責任的態度，對歐盟國家的安全構成威脅。<a href="https://www.state.gov/the-united-states-condemns-malicious-cyber-activity-targeting-germany-czechia-and-other-eu-member-states/">美國</a>、<a href="https://www.gov.uk/government/news/united-kingdom-joins-partners-in-condemnation-of-malicious-cyber-activity-by-russian-intelligence-services-uk-government-statement">英國</a>也譴責上述網路攻擊事故，美國並點名駭客攻擊德國利用的漏洞，就是CVE-2023-23397。</p> <p>而這並非APT28首度傳出利用此項Outlook漏洞發動攻擊的情況。去年12月，<a href="https://www.ithome.com.tw/news/160167">波蘭網路司令部表示</a>，他們發現該國的公家機關與企業組織遭遇相關漏洞攻擊，他們提供偵測工具，以便企業組織識別相關威脅。</p> </div></div></div>
2024/5/6 12:47作者周峻佑https://www.ithome.com.tw/news/162700
Delina揭露特權存取管理產品漏洞，4月中完成修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了進一步強化高權限者的身分與存取安全，部分企業導入特權存取管理（PAM）解決方案，然而，這類系統必須更嚴謹地進行開發與設計，因為一旦存在資安漏洞，可能又會形成新的重大風險，最近就發生一起這樣的事故，以PAM著稱的資安廠商Delinea，在4月12日（週五）該公司網站的服務狀態頁面當中，突然宣告他們正在調查一起資安事故，而在當天事故公告頁面提到，這起事故影響的服務已經處理好了，工作團隊部署修正機制，所有系統恢復正常運作，先前連至端點的流量也從阻擋改為開放。<img alt="" src="https://s4.itho.me/sites/default/files/images/2024-04-12-Delona%20outage.jpg" style="width: 600px;" /></p> <p>他們也在自家技術支援網站發布用戶處理指引，編號為KB-010572，描述影響的產品為Secret Server Cloud、Secret Server On-Premises，以及所面臨的問題與矯正的方法。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Delina%20Security%20bugs-KB.jpg" style="width: 600px;" /></p> <p>隔天他們在自家網站的信任中心網頁發布公告，表示發現旗下PAM產品Secret Server的SOAP API有漏洞，攻擊者可藉此跳過身分認證，初步處理對策是限制所有SOAP端點、使其無法存取所有區域，以避免暴露，此項阻擋機制將持續到Deliena能夠修補漏洞為止。</p> <p>14日Delinea正式發布Secret Server On-Premises的更新（11.7.000001），目的是解決SOAP API的重大漏洞，關於此產品先前版本的相同漏洞修補，會在測試完成之後釋出，該公司工程與資安團隊也進行調查，檢查是否有租戶資料外洩，當時他們並未發現有這樣的狀況，也沒有嘗試濫用這個漏洞的行為。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Delina%20Trust%20Center.jpg" style="width: 600px;" /></p> <p>此漏洞之所以發現，根據資安新聞媒體Help Net Security的報導，有兩大功臣。一位是先找到問題的<a href="https://straightblast.medium.com/all-your-secrets-are-belong-to-us-a-delinea-secret-server-authn-authz-bypass-adc26c800ad3">資安研究員Johnny Yu（straight_blast）</a>，並於2月中向該公司通報，但因為不是他們的付費客戶或組織而沒受理，於是他找上美國電腦網路危機處理暨協調中心（CERT）協調，直到4月12日Delina才發布公告承認此事；另一位是<a href="https://doublepulsar.com/delinea-has-cloud-security-incident-in-thycotic-secret-server-gaff-581a33990882">資安研究員Kevin Beaumont</a>，是他在4月12日發現Delinea Secret Server Cloud因資安事故而停擺至少5個小時的狀態，也在該公司網站看到他們發布公告，並確認此事與straight_blast發現的漏洞有關。</p> <p>到了4月29日，<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-33891">資安組織MITRE也為此發布正式漏洞編號為CVE-2024-33891</a>，CVSS風險評估為8.8分，屬於高度嚴重等級的資安漏洞，而現在Delina在KB-01057這份處理公告中，也明確列出需升級到11.5.000003、11.6.000026、11.7.000001這三個版本，可修補這個漏洞。</p> </div></div></div>
2024/5/6 12:56作者李宗翰https://www.ithome.com.tw/news/162701
Google將在明年6月關閉Google Fit、REST開發者API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2024/05/evolving-health-on-android-migrating-from-google-fit-apis-to-android-health.html" target="_blank">Google宣布</a>將於明年6月底關閉Google Fit開發者API，由Android Health取代，呼籲開發人員儘速啟動移轉。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-Google%20Fit%20Android%20API-Health%20Connect%20API.png" style="width: 426px;" /></p> <p>2022年起Google逐漸擴大對Android Health平臺的投資，作為其健康應用及硬體生態糸的單一統合基礎，目的在減少平臺零碎化，並簡化開發流程。Google預計將把Fit開發服務整合到Android Health平臺上，Google說這可為開發人員及使用者提供跨平臺無縫環境。為此Google Fit API包括REST API將在2025年6月30日關閉，讓開發人員有更多時間將開發工作轉移到Android Health。</p> <p>於此同時，從即日起，Google Fit API不再接受新註冊。該公司也建議開發人員及早行動，確保用戶使用的平順移轉。</p> <p>Google表示，Android Health API比起Fit API有多項優點。第一是在開發行走步數、距離和卡路里記錄功能，Android Health包含手機版紀錄（Recording）API，不需用戶Google帳號或存取API scope（範圍），也比原有的Android SensorManager（ASM）更省電。它可隨行走步數功能啟用，之後也將支援距離及卡路里計算。第二，手機版紀錄API讓開發人員最長可存取10天的資料。第三，開發出的App若整合Google Health Connect，即可存取Android生態體系的眾多App。此外，用戶資料是儲存在裝置上，用戶具有完整控制權。</p> <p>為讓開發人員移轉更平順，<a href="https://developer.android.com/health-and-fitness/guides/health-connect/migrate/migration-guide" target="_blank">Google也提供搬移指引</a>，協助其從Google Fit API搬移到Android Health產品，主要是Health Connect上。</p> <p>但對於也將在明年6月底關閉的Fit REST API，Google解釋，由於Android Health API將轉向裝置端模型，因此Fit REST API沒有取代方案。Google鼓勵開發人員轉移到Android Health API。</p> <p><a href="https://www.ithome.com.tw/news/154209" target="_blank">Health Connect為Google和三星共同開發</a>，旨在讓不同App的健康與健身資訊可以跨Android裝置互通。</p> <p>這家Android平臺大廠強調，Health Connect是其未來方向，除了Fitbit支援外，其他硬體夥伴如Withings、Signos、Oura、Peloton和Lifesum也都開發支援Android Health體系的產品。該公司鼓勵更多開發人員使用新的API家族，使Android平臺的連網健康及健身App更多元發展。雖然Google沒有強調，<a href="https://developer.samsung.com/health/blog/en/health/blog/accessing-samsung-health-data-through-health-connect" target="_blank">但三星穿戴裝置仍然經由Health Connect蒐集並匯整資料</a>。</p> <p><a href="https://9to5google.com/2024/05/04/google-fit-api-shutdown/" target="_blank">《9to5Google》</a>點出，Google並未說明Android、Wear OS及iOS平臺上開發的Fit App之後的命運。事實上，Google很早就沒有再更新Google Fit，最近一次要回溯到2022年，當時也只是將Fit App加入Health Connect支援。Fit沒有升級到最新的Material You設計語言，在Pixel Watch上，則是以Fitbit為主要App。由此可知，Google Fit雖然歷經Android Fit多次改名，仍然未逃過終止的命運，成為另一個走進歷史的產品。</p> </div></div></div>
2024/5/6 09:36作者林妍溱https://www.ithome.com.tw/news/162697
微軟公布安全未來倡議的6大支柱，部署全新的安全治理框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼去年11月<a href="https://www.ithome.com.tw/news/159624" target="_blank">提出</a>安全未來倡議（Secure Future Initiative，SFI），以及收到美國國土安全部網路安全審查委員會（Cyber Safety Review Board，CSRB）的<a href="https://www.ithome.com.tw/news/162123" target="_top">調查報告</a>之後，<a href="https://www.microsoft.com/en-us/security/blog/2024/05/03/security-above-all-else-expanding-microsofts-secure-future-initiative/" target="_blank">微軟上周五（5/3）提出了SFI的具體措施</a>，發表SFI的6大支柱，並宣布將部署全新的安全治理框架，新設多個副資安長執位，執行長<a href="https://blogs.microsoft.com/blog/2024/05/03/prioritizing-security-above-all-else/" target="_blank">Satya Nadella更宣告</a>微軟將全面以資安為優先的未來政策。</p> <p>CSRB對微軟的調查<a href="https://www.ithome.com.tw/news/157763" target="_blank">始於去年</a>微軟帳戶（MSA）消費者簽章金鑰的外洩，導致中國駭客組織Storm-0558於微軟服務中潛伏超過1個月，滲透歐美地區的25個政府組織，且<a href="https://www.ithome.com.tw/news/160947" target="_blank">今年初</a>俄羅斯駭客組織Midnight Blizzard又成功入侵微軟一個舊版的測試租戶帳戶，這次時間長達兩個月才被發現。CSRB認為，微軟的安全文化不足，才無法防堵這些可以預防的意外，建議微軟進行根本性的安全改革。</p> <p>於是，Nadella上周宣告，未來微軟整個組織都將投入SFI，以3大核心概念為基礎，分別是安全設計（Secure by Design）、以安全為預設（Secure by Default），以及安全操作（Secure Operations）。因此，未來微軟在設計任何產品及服務時，都將以安全為優先；也將在預設情況下啟用與強制執行安全保護；亦會持續改善安全控制及監控，以應對當前與未來的威脅。</p> <p>Nadella表示，安全是個團隊運動，不只是微軟安全團隊的任務，也是每個人的首要之務，亦為客戶的最大需求。在面臨安全與其它重要事項之間的權衡時，勢必以安全為優先；這意味著微軟在某些情況下將把安全性置於其它事務之上，不管是發布新功能，或是持續支援舊有系統。</p> <p>負責安全的微軟執行副總裁Charlie Bell則說明了對SFI的具體規畫，在基於安全設計、安全預設及安全操作的傘翼下，提出了SFI的6大支柱暨目標，包括保護身分與機密、保護租戶並隔離生產系統、保護網路、保護工程系統、監控與檢測威脅，以及加快回應與修復速度。</p> <p>這些目標直接符合微軟自Midnight Blizzard事件中所得到的教訓，以及CSRB對微軟所提出的4個、以及對所有雲端服務供應商所提出的12個建議，涵蓋安全文化、網路安全最佳實踐、審核日誌紀錄規範、數位身分標準與指南，以及透明度等。</p> <p>Bell指出，相關的支柱領導者正與各個不同的工程執行副總裁合作，以推動橫跨整個微軟的工程執行，不管是Microsoft Azure、Windows、Microsoft 365與Security部門，且每周都會有其它的產品團隊加入。</p> <p>為了貫徹SFI的目標，微軟實施了新的安全治理框架，將設立多個新的副資安長，建立這些副資安長與工程團隊的合作夥伴關係，共同負責監督SFI，管理風險，每周直接向資深管理團隊報告，董事會則會參與每季的進度報告。</p> <p>看起來微軟的確計畫從根本上改變該公司的安全文化，迄今已強制於微軟內部超過100萬個 Microsoft Entra ID租戶中自動強制執行多因素身分驗證，也已於生產及企業租戶中移除逾73萬個舊版或不符合最新SFI標準的應用程式，同時也擴大了日誌紀錄以替客戶提供更深入的可視性，亦開始透過通用缺陷列表（Common Weakness Enumeration，CWE）來公布微軟各種CVE的根本原因。</p> <p>Bell最後也呼應了執行長Nadella的說法，指出文化只能藉由日常行為來強化，在克服組織邊界時才能實現安全，並在從下而上、自端到端的問題解決過程中，令安全思維深植於微軟。</p> </div></div></div>
2024/5/6 09:46作者陳曉莉https://www.ithome.com.tw/news/162695
Synergy Research Group研究：微軟雲端服務逐漸縮小與AWS的差距
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市場研究機構Synergy Research Group上周<a href="https://www.srgresearch.com/articles/huge-cloud-market-sees-a-strong-bounce-in-growth-rate-for-the-second-consecutive-quarter" target="_blank">發布今年第一季</a>全球企業在雲端基礎設施上的支出報告，顯示企業對雲端的支出依然維持兩位數的成長，相較於去年同期，該季成長了21%，達到765億美元。最大的雲端服務供應商為Amazon，市占率為31%，微軟與Google則分別以25%及11%位居二、三名，顯示微軟正逐漸縮小與Amazon的距離。</p> <p>Synergy Research所調查的範疇涵蓋 IaaS、PaaS 及私有雲代管服務，迄今美國仍是全球最大的雲端服務市場，其市場規模超越整個亞太地區，但第一季的成長則由亞太地區領銜，不管是印度、日本、澳洲或韓國的成長率都超過25%，而美國亦有20%的成長。</p> <p>值得觀察的是，雖然Amazon依然為該市場的龍頭，但微軟與Google的成長則更為強勁。<a href="https://www.srgresearch.com/articles/huge-cloud-market-is-still-growing-at-34-per-year-amazon-microsoft-and-google-now-account-for-65-of-all-cloud-revenues" target="_blank">2022年第一季</a>時三者的市占率依序是33%、22%與10%，<a href="https://www.srgresearch.com/articles/q1-cloud-spending-grows-by-over-10-billion-from-2022-the-big-three-account-for-65-of-the-total" target="_blank">2023年第一季</a>則是32%、23%與10%，顯示Amazon的市占率逐年微幅下滑，反之微軟則微幅上升，雙方的差距漸次縮小。</p> <p>至於該市場其它的供應商也都呈現成長態勢，包括華為、Snowflake、MongoDB及甲骨文。</p> </div></div></div>
2024/5/6 08:23作者陳曉莉https://www.ithome.com.tw/news/162694
MedTech醫療科技雙周報第35期：Walmart旗下51家健康中心和虛擬照護服務將熄燈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0416～0430）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健康中心 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬照護 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Walmart </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Walmart將關閉51家健康中心和虛擬照護服務</strong></span></p> <p>4月30日，美國零售巨頭Walmart宣布將關閉旗下健康中心Walmart Health和虛擬健康照護服務Walmart Health Virtual Care，因為他們找不到永續的商業模式。進一步來說，Walmart在2019年開始成立健康中心，提供基礎醫療照護、牙科、行為健康、實驗室、X光和聽力學等服務，另也提供遠距醫療服務，但近年來各項成本高漲，不得不關閉健康中心和虛擬健康照護服務。</p> <p>Walmart目前還未公告各家健康中心關門的明確時間，但接下來，他們將把醫療專業知識和資源投注到4,600家藥局和3,000多家視力中心，來提供健康保健服務。Walmart表示，在過去幾年中，他們擴大了藥局能提供的臨床服務，未來將繼續提供免疫接種，並不斷發展檢測和治療服務、專業藥局藥物和照護等服務，如藥物治療管理和各種健康檢查。就視力中心來說，他們則不斷擴大光學業務，尤其近來完成了200家視力中心的擴增，最近還推出一套包括虛擬試戴功能的光學應用，能幫助民眾更輕鬆配眼鏡。<a href="https://corporate.walmart.com/news/2024/04/30/walmart-health-is-closing">（詳全文）</a></p> <blockquote><p><img alt="" src="https://corporate.walmart.com/content/corporate/en_us/news/2024/01/30/walmarts-augmented-reality-optical-try-on-lets-customer-visualize-customize-fits/jcr:content/newsimage.img.jpg/1706633637194.jpg" /></p> <p>Walmart接下來將把醫療照護資源投注到藥局和視力中心，擴展2大業務發展。</p> </blockquote> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子簽章 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位簽章 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 效力 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>電子簽章法修正法案獲立院三讀通過</strong></span></p> <p>電子簽章是一項重要的應用，對醫療院所來說也很常見，比如醫療機構製作電子病歷時，應於24小時內完成電子簽章。最近，由數位部提出的<a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/7e0472e2-c917-4b41-b00b-e30a5927d7ae">電子簽章法修正法案</a>，立法院在4月30日正式三讀通過。數位部表示，修正後的電子簽章法將滿足現今各種線上服務使用需求，可望加速電子簽章的使用普及。</p> <p>電子簽章法自2001年公布後，已超過20年未修法，這段時間網路普及、各種應用興起，為趕上如今的數位應用需求，數位部提出電子簽章法修正草案件。此次修法包含幾個方向，包括確立符合法規的電子文件及電子簽章，功能上等同於實體文件及簽章，不得因其電子形式而否認其法律效力；明定數位簽章為電子簽章的一種，確立兩者間的關係；有別於電子簽章，數位簽章因具備經政府許可憑證機構簽發憑證，推定本人親自簽名或蓋章的法律效力。</p> <p>為讓電子簽章應用更普及，數位部也計畫推動電子簽章解決方案服務能量登錄制度，由政府扮演第三方，透過登錄制度盤點電子簽章服務能量，建立電子簽章產業地圖。立法院三讀通過電子簽章法修正法案後，數位部將照行政程序法，在接下來6個月內制定相關的配套子法及辦法。數位部預期通過修法，未來推動電子簽章的普及運用，加速智慧政府及數位轉型目標，並塑造多元電子簽章發展的有利法制環境、促成電子簽章和國際對接和交流。<a href="https://www.ithome.com.tw/news/162597">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 基因編輯 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenCRISPRT-1 </span></strong></span></p> <p><span style="font-size:22px;"><strong>美國新創用LLM設計出人類基因編輯器</strong></span></p> <p>最近，美國一家新創公司Profluence揭露最新研究成果，他們用自家大型語言模型（LLM），產出一套基因編輯器OpenCRISPR-1，由類似Cas9的蛋白質和引導RNA組成，可用來修改基因。Profluence執行長Ali Madani表示，他們開源OpenCRISPR-1基因編輯器，目標是要降低基因編輯門檻、讓基因編輯更普及，加速治療創新。</p> <p>進一步來說，目前基因編輯的主流工具是CRISPR系統，它就像是一把剪刀，能用來將突變基因剪下，再貼上正常基因，來根治基因缺陷疾病。但這種做法有些隱憂，比如脫靶效應，也就是會修剪到其他非突變基因段，引發其他問題。而Profluence用超過1百萬個CRISPR操縱子（Operons）和26TB（Terabase）組裝基因體的資料，來訓練LLM。而該LLM最終產出OpenCRISPR-1，且經測試，OpenCRISPR-1不只與目前最佳的SpCas9等系統相媲美，還能大幅減少脫靶效應。最後，他們也開源這款工具，希望促進更多AI驅動的基因編輯工具研究。<a href="https://twitter.com/thisismadani/status/1782510590839406904">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺中榮總 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Healthcare GPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 病歷摘要 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>臺中榮總聯手陽明交大打造Healthcare GPT</strong></span></strong></p> <p>臺中榮總聯手陽明交大團隊，用醫院大量去辨識化的醫療資料，打造出一款醫療專用大型語言模型（LLM）智慧助理Healthcare GPT，能根據自然語言指令分擔醫護人員工作負擔、加速臨床作業流程。Healthcare GPT主打4大應用領域，包括自動病歷摘要、AI民眾問答諮詢、Email草稿生成，以及會議記錄和技術文件統整等知識管理。臺中榮總強調，這款Healthcare GPT採用地端私有雲硬體環境執行，免除資料外洩和隱私侵犯疑慮。</p> <p>進一步來說，第一項領域應用稱為病歷代理（Medical Record Agent），醫護透過口語指令，系統就能在15秒內自動生成病歷摘要。第二項應用領域是客服中心的AI諮詢系統（Call Center AI），可提供一對多同步回覆民眾問答，還能整合分析民眾提問，最後轉交護理師做進一步的諮詢。第三項應用領域是Email草稿生成，可根據信件內容、自動收集相關問題處置方式，來加速員工回覆，不必等待會辦其他單位。最後一項應用領域是知識管理代理（KM Agent），15秒就能快速獲取院內會議紀錄、技術文件和指導決策事項的精確整理，在會議中呈現更直觀的資料，有效理解過去決議的目標距離完成階段是否符合期程、幫助更精準地滾動式修正。中榮表示，Healthcare GPT除運用大量自然語言語料和院內累積的專業知識外，還加入頂尖醫療期刊文章作為語言模型學習來源，進一步提升文本生成品質。目前，他們還有數十個新功能專案正在研發中。<a href="https://www.vghtc.gov.tw/Module/BreakingNewsContent?BreakingNewsID=daaa744a-2924-4dec-a596-04aa10ad7cf7&WebMenuID=c47a00fc-ee22-4871-b6ec-5dc557ec27b3">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-04-18%20at%2012_03_53%20AM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">資安 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 中醫大附醫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料隱私 </span></strong></span></p> <p><span style="font-size:22px;"><strong>中醫大附醫通過2大國際資安認證</strong></span></p> <p>為因應各種可能的資安風險，中國醫藥大學附設醫院院長周德陽成立資安推動小組、個資保護小組，也帶領資訊室、醫工室、工務室、人體生物資料庫、醫事室等跨領域科室，來提高資訊、網路和個資保護等三大領域的安全性。4月初，他們獲得了2大國際資安新版認證ISO/CNS 27001:2022和ISO 27701:2019，號稱全臺首家獲此兩項認證的醫院。</p> <p>進一步來說，ISO 27001:2022改版內容更貼近臺灣資通安全管理法的要求，從資訊安全面向延伸至網路安全和隱私保護，更加強技術面資安管理，如威脅情資、雲端服務、組態管理、資料保護等議題。中醫大附醫自2023年初，就開始規畫改版驗證，5月便完成所有體系院所的資安人員2022年版LA轉版，歷經4個月完成2022年版政策與程序改版、落地執行，並於2023年10月至12月期間由SGS對中國醫藥大學體系醫療院所共7家進行聯合外稽，並通過驗證。</p> <p>ISO 27701:2019則是隱私資訊管理認證，是ISO國際標準組織在2019年發布的PIMS國際標準。衛福部2023年2月公告，要求受委託建置及管理電子病歷資訊系統者，必須於公告日起三年內取得ISO 27701認證。雖然還有三年寬限期，但中醫大附醫當時就開始規畫驗證，半年就完成PIMS政策與程序訂定、落地執行，同樣在2023年10月至12月期間由SGS進行外稽並通過驗證。<a href="https://www.cmuh.cmu.edu.tw/NewsInfo/NewsArticle?no=8718">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">高雄榮總 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 遠距醫療 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 視訊 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>高雄榮總成立智慧醫療暨遠距醫療照護中心</strong></span></strong></p> <p>4月30日，高雄榮總正式成立智慧醫療暨遠距醫療照護中心，提供多項遠距醫療服務，包括急診部提供榮民之家24小時遠距醫療諮詢，榮家住民當夜間或假日有醫療需求，也能透過榮家護理人員，以遠距醫療方式，與高榮急診室進行視訊諮詢，無需舟車勞頓送急診處理。再來，高榮家醫部除了長年在高屏地區提供偏鄉巡迴醫療服務外，也對偏鄉地區民眾，提供眼科、耳鼻喉科和皮膚科等特殊專科遠距醫療會診服務，同時也提供遠距藥事服務，透過視訊諮詢藥師相關藥物資訊和藥物整合服務，大幅降低民眾重複用藥問題。</p> <p>高榮揭露接下來的遠距醫療規畫，要將服務範圍擴大到長照機構，還要與在地醫療診所、矯正機關等合作服務，另也會針對偏遠地區的專科需求（如眼科、耳鼻喉科和皮膚科等）提供更多服務。此外，高榮也與業者合作，要透過遠距醫療照護平臺系統，來擴大遠距醫療會診諮詢服務對象，包括遠洋漁船舶工作人員、旅居國外人士（臺商）和國內公司派駐在外人員，或提供商旅醫療服務。<a href="https://www.facebook.com/vghks/posts/pfbid0GeT8E4rwcgGCK8u3goBRNRRsD2FmGfqxagnsMuGyZd7KwJVME1JhZWbyLaYcwYEal">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"><img alt="" src="https://scontent.ftpe8-1.fna.fbcdn.net/v/t39.30808-6/440456583_839434544877259_2387095244873789041_n.jpg?_nc_cat=108&ccb=1-7&_nc_sid=5f2048&_nc_ohc=aF-_vzoctvcQ7kNvgHYDWgl&_nc_ht=scontent.ftpe8-1.fna&oh=00_AfBcQ4bgSLYax5tTI3ADW23SaOwxiyldIERk8VO0NRQQ0A&oe=663D7F0E" /> 病歷 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> UnitedHealth </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 勒索攻擊 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>美國健康保險巨擘UnitedHealth揭露遭駭處理流程</strong></span></strong></p> <p>排名美國第五大企業的保險集團UnitedHealth Group執行長Andrew Witty日前在參議院聽證會中，首度對外證實旗下服務Change Healthcare在今年2月遭到勒索軟體攻擊，並由他決定向駭客支付贖金。</p> <p>Change Healthcare主要提供醫療業者的收入周期管理、支付管理以及健康資訊交換解決方案，每年處理150億筆的醫療照護交易，涉及三分之一的美國病患紀錄。在攻擊行動發生後，安全研究人員即發現勒索軟體組織BlackCat的錢包中收到價值2,200萬美元的比特幣，並證實為Andrew Witty授權支付。</p> <p>他也揭露自家對整起攻擊事件的處理程序，包括駭客在2月12日藉憑證自遠端存取Change Healthcare Citrix入口網站，由於網站原本未支援雙因素身分驗證，因此駭客成功滲透，在系統內汲取資訊，直到9天後才部署勒索軟體。察覺Change Healthcare系統被加密後，團隊迅速切斷Change Healthcare的連結環境，並在該月21日找來Google、微軟、思科和Amazon專家，以及Mandiant和Palo Alto Networks的安全團隊，重新打造Change Healthcare的技術基礎設施，包括更換數千臺筆記型電腦、輪替憑證、重建Change Healthcare的資料中心網路與核心服務，提高新的伺服器容量，在短短的幾周內完成這些原本需要幾個月的工作。<a href="https://www.finance.senate.gov/imo/media/doc/0501_witty_testimony.pdf">（詳全文）</a></p> <p>圖片來源／Walmart、臺中榮總、高雄榮總</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 國產腦瘤偵測AI產品通過6家醫學中心跨院訓練與驗證</strong></strong></p> <p><strong><strong>2. 新加坡國立大學醫院正建立全新消化中心，要用AI加持檢測、診斷和品質控管 </strong></strong></p> <p>資料來源：iThome整理，2024年5月</p> </div></div></div>
2024/5/5 01:06作者王若樸https://www.ithome.com.tw/news/162693
Fintech周報第240期：日本太陽生命保險實驗以GenAI打造擬真業務員，進行保險產品銷售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">4/28~5/3金融科技精選新聞</span></span></h3> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 保險銷售</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI </span></strong></span></p> <h3>日本太陽生命保險實驗以GenAI打造擬真業務員，進行保險產品銷售</h3> <p>日本太陽生命保險近期揭露，內部從今年1月至3月，運用GenAI打造了一個擬真的保險業務員，並進行一連串的實驗。太陽生命保險的實驗分為兩個項目，一個是測試對話準確性，一個是觀察擬真業務員的外觀，例如人物動作和回應速度是否自然。</p> <p>在測試對話準確性的過程中，他們透過提示工程，提供模型保險銷售的對話情境和常見問答，實驗擬真業務員是否能與客戶進行產品銷售對話，以及是否能蒐集銷售保險產品所需的資訊。太陽生命保險表示，他們將進一步研究，了解這項技術是否能應用在商業用途中。</p> <p>太陽生命保險打造的擬真業務員，是參考了真實員工的外型，再運用GenAI生成。實驗結果顯示，虛擬的業務員能像人類一樣自然反應，可以用來接觸客戶。</p> <p>太陽生命保險表示，他們未來會考慮將這項技術運用在保險銷售，但還需降低幻覺率，加快AI回應速度，和提升應對惡意問題的能力。</p> <p><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 富蘭克林</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI </span></strong></span></p> <h3>富蘭克林坦伯頓基金計畫打造AI平臺，透過GenAI結合結構化資料和情境資料</h3> <p>富蘭克林坦伯頓基金近期宣布，將打造一個AI平臺，運用GenAI服務和RAG技術，來提升業務和行銷團隊的工作效率，並提供顧客個人化服務。</p> <p>富蘭克林坦伯頓基金表示，將客戶的財務狀況和投資目標等結構化資料，和最新的市場趨勢等情境資料，兩者相結合，是提供個人化服務的挑戰，同時也是創造差異化的關鍵。因此，他們運用生成式AI的主要目的，並不僅是使用簡單的摘要和對話功能，而是要透過結合結構化資料和特定情境資訊，在平臺上發展出更多強大的功能。</p> <p><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI指引 </span></strong></span></p> <h3>金管會將在六月公布金融業運用AI指引</h3> <p>針對金融業運用AI指引的發布時程，金管會近日在例行記者會上表示，內部已參考外界意見做相關調整，目前正在徵詢專家學者建議，預計會在六月發布正式指引。</p> <p>在記者會中，金管會創新中心專委劉秀玲提出三個較重要的修改建議。第一，指引部分內容採用舉例的方式說明適用性，可能帶來侷限性。第二，指引中可能會再針對不同AI部署方式增訂相關內容。第三，部分業者建議，運用高風險系統時未必需要由獨立性單位進行驗證，改為第三方稽核或評測單位進行驗證更為彈性。（<a href="https://www.ithome.com.tw/news/162599">詳全文</a>）</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子支付 </span></strong></span></h3> <h3>金管會推電支機構設資安專責單位，四間電支業者已開始籌組</h3> <p>為了提升電支機構的資安控管措施，近日，金管會宣布，已在四月請銀行公會研議電支機構設置資安專責單位的條件。</p> <p>銀行局副局長林志吉在例行記者會上表示，目前已和四間規模較大的電支機構溝通，分別是街口支付、全支付、一卡通和悠遊卡，四間都有意願設置資安專責單位。金管會給予半年緩衝期，開放四間機構在今年10月前設置資安主管、人員和專責單位。</p> <p>針對其餘6間電支機構，金管會則是請銀行公會研議電支機構設置資安專責單位的條件，在三個月內提報。林志吉說明，電支機構設置的資安單位主管未必須由副總級以上人員擔任，是否能兼任也有待進一步研議。</p> <p>另外，金管會也同時函請銀行公會修正電支安控基準，在半年內提報給金管會。</p> <p><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CFTC</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI長 </span></strong></span></p> <h3>美國商品期貨交易委員會設立AI長，負責以AI提升監管效率</h3> <p>負責監管美國期貨商品的美國商品期貨交易委員會（CFTC）近期宣布，任命Ted Kaouk為機構內的首任AI長，制定機構運用企業數據和AI的策略。Ted Kaouk表示，他將協助CFTC運用數據和AI，轉變機構內長期監管衍生性金融商品的能力，提升監管效率。</p> <p>去年10月，美國總統拜登簽署一份AI行政命令，要求美國政府部門提升AI監管能力。因應這項行政命令，今年3月，美國行政管理和預算局發布一份適用所有政府部門的AI政策，其中一項政策，便是要求每一個聯邦機構都必須設立負責主導與執行AI政策的AI長。</p> <p><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 麥格理銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 現金服務 </span></strong></span></p> <h3>澳洲麥格理銀行將停止提供分行現金和支票服務，打造全數位化銀行</h3> <p>澳洲大型銀行麥格理銀行近期將不再提供分行現金和支票服務，從5月20日起，麥格理銀行分行將不再提供櫃檯服務，澳洲民眾無法在麥格理銀行分行存入或領取支票，也無法購買支票簿。11月起，麥格理銀行分行所有支票和現金服務都會停止，民眾也將無法從他行跨行存款。</p> <p>麥格理銀行表示，他們目標是往全數位化邁進，因此，去年，他們就宣布要停止所有現金和支票服務。早在2021年，麥格理銀行就宣布開始將零售銀行的核心系統遷至公有雲。近期，麥格理的銀行與金融部門資訊長Richard Heeley在一場公開活動上透露，目前內部已有高達96％的系統在公有雲上運作。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);">其他重要Fintech新聞</h3> <ul> <li>玉山銀行的數位開戶服務和電支帳戶開戶服務通過碳足跡認證<br /> </li> <li>路透社報導，歐盟反壟斷監管機構將接受蘋果開放NFC技術的提議<br /> </li> <li>金融時報授權OpenAI使用內容，訓練底層的GPT模型</li> <li>澳洲央行將花費3,700萬美元汰換資料中心<br /> </li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／日本太陽生命保險</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年4月</p> <p></p> </div></div></div>
2024/5/3 21:08作者李昀璇https://www.ithome.com.tw/news/162691
【資安日報】5月3日，殭屍網路Goldoon鎖定D-Link家用路由器DIR-645老舊漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一般而言，殭屍網路攻擊行動，往往針對多種類型的設備而來，或是對於多個漏洞發動攻擊，但最近資安業者Fortinet揭露的攻擊行動，駭客竟只針對單一型號的路由器，以及完成修補的已知漏洞下手。</p> <p>這起攻擊行動的特殊之處，在於對方專門對於家用路由器DIR-645而來，且利用已知漏洞CVE-2015-2051發動攻擊，而這個漏洞早在9年前就被修補，由此可見，仍有不少該型號設備尚未套用新版韌體而曝險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162660"><strong style="font-size: 22px;">D-Link家用路由器DIR-645老舊漏洞遭殭屍網路Goldoon鎖定，遭綁架的設備被用來發動DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig02-goldoon-telemetry.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig02-goldoon-telemetry.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Fortinet於上個月發現殭屍網路Goldoon攻擊行動，對方鎖定存在已知漏洞CVE-2015-2051的無線路由器DIR-645，並指出這些設備一旦因為具有這些漏洞而遭到入侵，攻擊者可得到完整的控制權，並取得系統資訊，與C2伺服器建立通訊，然後發動DDoS攻擊。研究人員指出，根據他們的遙測資料，此殭屍網路的活動頻率於4月顯著增加，為之前的2倍。</p> <p>究竟攻擊者入侵路由器的過程與手法細節，研究人員並未特別說明，但指出一旦對方成功存取這些設備，就會從特定IP位址惡意程式下載工具（Dropper）指令碼，執行後會自動根據目標裝置的系統架構，下載對應的Goldoon程式，而該檔案執行後，就會下載名為i686-linux-gnu的檔案，並將自己刪除，以防留下證據。針對i686-linux-gnu的功能，就是下載殭屍網路病毒檔案。</p> <p><a href="https://www.ithome.com.tw/news/162654"><strong style="font-size: 22px;">雲端檔案共享服務Dropbox證實電子簽章服務遭駭，對方竊得身分驗證機密資料</strong></a></p> <p></p> <p>5月2日雲端硬碟業者Dropbox通報主管機關美國證券交易委員會（SEC），旗下數位簽章服務Dropbox Sign（原名HelloSign）遭駭，部分用戶的金鑰及雙因素驗證（MFA）資訊遭到駭客存取，接收過其簽章文件用戶的電子郵件信箱恐遭外洩。但他們並未透露受影響人數，以及事故發生的原因。</p> <p>該公司於4月24日得知Dropbox Sign的營運環境發生未經授權的存取活動，資安事件回應部門隨即著手處理，並終止相關存取。經調查該服務的相關資訊遭到對方存取，所有用戶都受到影響，包括電子郵件信箱、使用者名稱、帳號設定資訊等。</p> <p>值得留意的是，曾經收到並以Dropbox Sign簽收文件的使用者，即使他們沒有Dropbox帳號，電子郵件信箱及使用者名稱還是會曝光。根據該公司初步的調查結果，相關文件、合約、範本、付款資訊並未遭到存取，研判這起事故影響範圍局限於Dropbox Sign的基礎架構，不影響其他產品。</p> <p><a href="https://www.ithome.com.tw/news/162661"><strong style="font-size: 22px;">俄羅斯駭客正在尋找水力設施工控系統的遠端存取破口，美國、加拿大、英國發布警告</strong></a></p> <p>5月1日美國網路安全暨基礎設施安全局（CISA）聯合該國7個機關、加拿大網路安全中心（CCCS）、英國國家網路安全中心（NCSC-UK）提出警告，俄羅斯駭客為了破壞關鍵基礎設施的運作，正在尋找、入侵不安全的操作科技（OT）環境。</p> <p>對此，這些機構也對於駭客的攻擊手法進行歸納，指出對方利用VNC通訊協定，並藉由5900埠存取人機互動介面（HMI），從而對OT環境的底層進行竄改，而且，往往是利用預設帳密或弱密碼，且缺乏雙因素驗證（MFA）防護機制的情況下而能得逞。再者，對方也濫用VNC的遠端框架緩衝協定（Remote Frame Buffer Protocol），登入HMI來控制整個OT環境。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.qantasnewsroom.com.au/qantas-responds/statement-on-qantas-app-issue/"><strong style="font-size: 20px;">澳洲航空將旅客敏感資訊及登機證曝露給他人，起因是應用程式配置錯誤</strong></a></p> <p></p> <p>◆<a href="https://www.infosecurity-magazine.com/news/nato-sweden-surge-ddos-attacks/"><strong style="font-size: 20px;">北約新會員國瑞典遭遇大規模DDoS攻擊，在正式加入前達到高峰</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162653"><strong style="font-size: 22px;">HPE Aruba Networking修補網路設備作業系統重大漏洞，若不處理恐被用於RCE攻擊</strong></a></p> <p>4月30日HPE Aruba Networking發布4月份資安公告，指出其網路設備作業系統ArubaOS存在10個漏洞，影響Mobility Conductor（原Mobility Master）、Mobility Controller，以及由Aruba Central雲端控管的WLAN閘道、SD-WAN閘道等設備，且皆與透過PAPI通訊協定存取有關，攻擊者無須通過身分驗證就有機會觸發。</p> <p>其中，有4個漏洞：CVE-2024-26304、CVE-2024-26305、CVE-2024-33511、CVE-2024-33512被列為重大等級，皆為未經身分驗證的記憶體緩衝區溢位漏洞，CVSS風險評分都達到了9.8分。一旦遭到利用，攻擊者就有機會以特權使用者的身分，於作業系統底層執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/162600"><strong style="font-size: 22px;">Brocade旗下SAN管理軟體揭露與修補18個漏洞</strong></a></p> <p></p> <p>資安研究人員Pierre Barre在Brocade儲存區域網路（SAN）管理軟體SANnav發現多個漏洞，可能被用來攻擊光纖通道（Fibre Channel）交換器與SAN基礎設施。對此，該公司在今年4月發布2.3.1版修補相關弱點，當中共有18個漏洞，影響2.3.0版以前的所有SANnav版本，其中有15個漏洞已被指派CVE識別碼。</p> <p>值得留意的是，這些漏洞研究人員早在2022年9月透過Dell向Brocade通報，只因為研究人員對於2.1.1版SANnav進行調查，但當時該公司已推出2.2.2版而並未受理。直到去年5月研究人員確認新版也存在這些漏洞，Brocade才正式承認此事。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.microsoft.com/en-us/security/blog/2024/05/01/dirty-stream-attack-discovering-and-mitigating-a-common-vulnerability-pattern-in-android-apps/"><strong style="font-size: 20px;">研究人員揭露可針對小米檔案管理工具、WPS Office等安卓應用程式的攻擊手法Dirty Stream</strong></a></p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://www.cisa.gov/sites/default/files/2024-05/Secure_by_Design_Alert_Eliminating_Directory_Traversal_Vulnerabilities_in_Software_508c (3).pdf"><strong style="font-size: 20px;">美國針對路徑穿越漏洞提出警告，呼籲軟體供應商出貨前應進行清查</strong></a></p> <p></p> <p>◆<a href="https://www.cna.com.tw/news/afe/202405020400.aspx"><strong style="font-size: 20px;">街口、全支付等4家電子支付業者用戶突破250萬，10月底前將設資安專責部門</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162601"><strong>【5月2日】Docker Hub遭濫用，被用來散播惡意程式與架設釣魚網站的映像儲存庫比例高達2成</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162601"><strong>【4月30日】安卓金融木馬Brokewell透過冒牌Chrome更新網頁散布</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162579"><strong>【4月29日】互動式BI系統Qlik Sense危急漏洞遭到鎖定，對方利用勒索軟體Cactus發動攻擊</strong></a></p> </div></div></div>
2024/5/3 18:13作者周峻佑https://www.ithome.com.tw/news/162669
Martech雙周報第53期：又延期！隱私權沙盒遭主管機關駁回，Google推遲第三方Cookie退場時程至明年初
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0421~0504)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第三方Cookie</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷與隱私</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#精準行銷</span></span></strong><br /> <strong>主管機關對替代方案提出疑慮，Chrome第三方Cookie退場時間再延至明年初</strong></p> <p><a href="https://www.gov.uk/cma-cases/investigation-into-googles-privacy-sandbox-browser-changes#quarterly-reports">英國競爭及市場署（CMA）近日對Google的第三方Cookie替代方案隱私權沙盒（Privacy Sandbox）提出近80項疑慮</a>，包括未限制個資用途、資訊處理過程有資安疑慮、有壟斷疑慮、使用數據仍可辨認出個人身分等。</p> <p>隱私權沙盒不過關，Google也不願放棄現行精準行銷做法，<a href="http://privacysandbox.com/intl/en_us/news/update-on-the-plan-for-phase-out-of-third-party-cookies-on-chrome/">宣布將再次推遲第三方Cookie退場時間。聲明中寫到，如果能和主管機關達成共識，預計明年年初會重啟退場作業</a>。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#零複製</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#多雲混合雲</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI工程</span></span></strong><br /> <strong>Salesforce Data Cloud開始支援多家數據處理科技廠商的雙向零複製數據作業，更容易將企業各處數據用於行銷</strong></p> <p>Martech巨頭Salesforce旗下行銷數據雲端服務<a href="https://www.salesforce.com/news/press-releases/2024/04/25/zero-copy-partner-network/">Data Cloud開始支援多家廠商的雙向零複製（Bidirectional Zero-copy）數據存取</a>，目前支援Amazon Redshift、Databricks、GCP BigQuery、Snowflake、Microsoft Fabric、Azure Synapse等，不同廠商的數據湖、數據倉儲及數據分析工具。</p> <p>這意味著<span style="color:#000000;">，企業要整合散落於各處的數據到Data Cloud及AI開發平臺Einstien 1來進行行銷相關數據應用時，不再需要一一自行開發及管理各資料來源的Reverse ETL數據處理流程。Salesforce與這些數據工具的原生整合，也使數據來源有</span>更動時，所有應用到該數據的對應系統和服務也會自動更新。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AR廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AR素材製作</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#ML模型開發</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong><br /> <strong>Snap將AR功能整合進所有廣告格式，並推出AR廣告素材製作工具</strong></p> <p>社群媒體Snapchat母公司近年一直專注於AR功能開發，<a href="https://newsroom.snap.com/zh-Hans/more-snapchat-newfronts-2024">近日，他們更將AR濾鏡功能整合進所有廣告格式</a>，包括各式商品及品牌的影音和圖文廣告。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/snapartools.jpg" style="width: 600px;" /></p> <p>為了降低廣告主製作AR行銷素材門檻，他們還推出了AR素材製作工具及臉部效果製作工具，前者能快速將2D圖片製作成AR試穿戴等行銷素材，後者則是能讓廣告主快速訓練出專屬機器學習模型，來製作臉部特效濾鏡等效果<span style="color:#000000;">。</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#行銷與隱私</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#無痕模式</span></span></strong><br /> <strong>Google將不再能用無痕模式瀏覽紀錄來行銷，並刪除過往相關瀏覽數據</strong></p> <p><a href="https://www.documentcloud.org/documents/24527110-google-unopposed-settlement">近日，Google與美國聯邦法院達成協議，將刪除過往儲存的無痕模式瀏覽。</a>過往，就算Chrome瀏覽器使用者開啟無痕模式，Google仍會記錄使用者搜尋及瀏覽紀錄，與一般瀏覽紀錄存在同一個個人檔案中，並用來判斷使用者喜好及追蹤行銷成效。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CMS</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷素材製作</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SEO</span></span></strong><br /> <strong>HubSpot推出生成式AI行銷素材製作功能，快速生成多版本及格式的文字類行銷素材，甚至能自動進行SEO關鍵字研究</strong></p> <p>Martech大廠HubSpot<a href="https://www.hubspot.com/products/content">將生成式AI功能融入旗下內容製作及管理工具Content Hu</a>b，來支援快速文字行銷素材生成、投放及行銷成效追蹤，甚至能自動進行SEO關鍵字研究，來提供文案主題建議。</p> <p>新功能包括一般性圖文生成、以基礎素材生成多種版本及用途的文案、統一品牌用字遣詞和語氣、文字轉語音、聲音製作等素材製作功能，以及行銷素材管理、行銷成效A/B測試、SEO研究、部落格流量數據分析等輔助行銷決策及管理的工具。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI代投</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#GoogleAds</span></span></strong><br /> <strong>Google AI廣告代投解決方案Performance Max推出新AI代投功能及管理功能</strong></p> <p>以Google自家<span style="color:#000000;">AI</span>來操作Google Ads廣告投放的解決方案Performance Max新增了6項功能。其中<span style="color:#000000;">2個</span>是AI代投選項，包括客戶價值模式及挽留顧客模式。前者以促成高消費力受眾消費為廣告投放目標，新增於搜尋廣告Search Ads 360。後者則是利用AI辨識消費者行為模式，來決定投放策略，以求挽回流失客戶<span style="color:#000000;">。</span></p> <p>其他新增的是管理及測試功能，包括追蹤受眾年齡和性別組別等數據、即時行銷預算花費及轉換率追蹤功能、排除受眾IP地址功能，以及A/B測試廣告導向不同目標網址的行銷成效等。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#影片廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI分眾挑選</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CTV廣告</span></span></strong><br /> <strong>Google影音廣告解決方案新增更多AI分眾及AI廣告代投微調功能</strong></p> <p><a href="https://blog.google/products/marketingplatform/360/newfront-2024/">Google的影音廣告解決方案Display & Video 360也</a>有AI代投功能升級，廣告主可以用自然語言輸入理想受眾樣貌，再來讓AI挑選符合條件的分眾。接著，廣告主可以挑選優先行銷目標，如曝光度、消費行為轉換、觀看時間長度等，來微調AI代投策略。</p> <p>Display & Video 360還新增了實驗中心介面，可以實驗不同AI代投策略，並從儀表板監控投放成效。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Martech支出</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Martech利用率</span></strong></span><br /> <strong>美國CMO大調查：Martech支出占總行銷支出比例逐年提升，也更深入日常行銷流程</strong></p> <p><a href="https://cmosurvey.org/wp-content/uploads/2024/04/The_CMO_Survey-Highlights-and-Insights-Report-Spring_2024.pdf">美國2年一次的CMO大調查出爐</a>。調查顯示，企業投資及運用Martech的意願越來越高，Martech支出占總行銷預算支出比例從去年17%，來到今年20%，預計明年會提升到24%，5年後甚至成長到31%。不只如此，去年企業只在58.4%日常行銷流程運用Martech，今年則提升到了62.1%。</p> <p>不過，如何妥善挑選並運用適當Martech工具，對企業來說仍是一大挑戰。調查指出，企業採購的Martech工具中，只有56.4%被運用，也就是說，幾乎一半Martech工具都是徒增支出，毫無用武之地。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. X（Twitter）<a href="https://twitter.com/cstanley/status/1784636062767141339">將隱藏回覆、轉推等互動按鈕</a>，從過往類似做法經驗來看，<a href="http://https://www.npr.org/2020/11/12/934280798/twitter-says-steps-to-curb-election-misinformation-worked">恐大幅降低行銷互動率。</a></p> <p>2. 彭博披露，<a href="https://www.bloomberg.com/news/articles/2024-04-12/adobe-s-ai-firefly-used-ai-generated-images-from-rivals-for-training">Adobe圖片類生成式AI模型Firefly的訓練素材，包含上百萬張有版權疑慮的圖片。</a></p> <p>資料來源：iThome整理，2024年5月</p> <p>責任編輯：郭又華</p> <p></p> </div></div></div>
2024/5/3 18:34作者郭又華https://www.ithome.com.tw/news/162647
國科會TAIDE計畫與產學研合作擴大應用，4月底已釋出基於Llama3的測試版模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年2月，國科會宣示將結合臺灣在地文化推出本地的LLM模型，並集結國內產學研資源推動可信任AI對話引擎（TAIDE）計畫，今天（5/3）國科會展示TAIDE計畫最新進展，除了4月中已釋出基於Llama 2的TAIDE商用化模型，計畫團隊更跟上最新技術發展，4月底剛釋出基於Llama 3的TAIDE測試版，未來將透過更多產學研合作開發應用，希望讓TAIDE能深入更多產業應用。</p> <p>去年6月TAIDE計畫首次展現成果，以Meta開源的LLM模型Llama為基礎，蒐集大量的繁體中文資料，加上國網中心的超級電腦算力助攻，打造符合臺灣在地文化的對話引擎模型TAIDE，初期具備70億參數，可作摘要、翻譯、寫信、寫文章等功能，TAIDE計畫負責人陽明交大應數系教授李育杰並宣示，TAIDE模型接下來將朝更大參數規模及可商用化發展。</p> <p>距離初次成果不到一年，今年4月中釋出基於Llama 2，可商用的TAIDE LX-7B，另外還有學研用版本、具有130億參數的TAIDE LX-13B，國科會強調目前TAIDE模型在摘要、寫信、寫文章、英翻中、中翻英等都具不錯的表現，並且具備多輪對話、阻絕不恰當回應的能力。</p> <p>國科會主委吳政忠指出，過去一年結合研究團隊、資料團隊，以及國網中心提供的算力，結合產學研打造出符合臺灣文化的本地生成式AI引擎，今年4月中釋出TAIDE LX-7B，並且通過產學研的努力，驗證開發各種TAIDE應用，展現模型的可用性及多樣性。TAIDE團隊經過一年的演練，Meta於4月中釋出Llama 3，團隊僅花費4天就快速更新版本，相當不容易。</p> <p><span style="color:#B22222;"><strong>政府可望於年底提出AI基本法</strong></span></p> <p>吳政忠表示，TAIDE計畫一開始就希望結合產業、學術研究，如同造車一樣，TAIDE如同車輛的基本引擎，各行各業可以使用這個引擎設計開發自己車款。自生成式AI出現後，不只是科技產業應用，也會在各產業百工百業應用。生成式AI所帶來的影響，政府雖已針對公務使用提出指引，但只有這樣還是不夠，除了生產作業效率的提昇，還需顧及倫理及安全，今年底可望制定AI基本法。</p> <p>TAIDE計畫負責人李育杰表示，TAIDE計畫推動之初即希望不只是研究，也要讓產業加入，並期望帶動臺灣產業AI化，去年適逢Meta釋出可商用化的Llama2，讓TAIDE得以打造可商用的版本。不只是企業，為了讓全民都能使用TAIDE，團隊將TAIDE 7B模型作壓縮處理，現在模型已可在手機、筆電、平板電腦、桌機上執行。</p> <p>李育杰表示，今年4月15日團隊在Hugging Face釋出TAIDE LX-7B，隨後4月19日Meta釋出Llama 3，為了打造可信任的AI模型，得益於團隊過去一年練功打下的基礎，團隊僅花4天就完成Llama 3-TAIDE-LX-8B-Chat-Alpha 1測試版模型，並且已在4月29日在Hugging Face釋出。經過測試比較，這個基於Llama 3的TAIDE 8B模型，其效能表要比基於Llama 2，具有130億參數的TAIDE模型更好，甚至可比美採用Llama 2的TAIDE 70B模型。</p> <p>過去一年多的開發李育杰也分享TAIDE計畫開發的一些心得，過去一年多，由於開源LLM發展相當快速，他笑稱團隊真的是一直跟著趨勢跑，使用的開源LLM，從一開始採用的BLOOM，隨後使用Llama 1、Llama 2，中間出現Mistral，團隊也有採用Mistral，後來Llama 3出現。</p> <p>大型語言模型需要大量的運算資源，在算力方面，團隊雖有國網中心72片H100 GPU算力支援打造TAIDE，但AI模型需要仰賴大量算力，李育杰指出，國外的新創團隊甚至有1,500片H100，而Llama 3團隊則使用2,4000片的H100，顯示在國際算力的競爭，臺灣的TAIDE國家隊可獲得的資源相當有限，需要更聰明的方式推動本地LLM發展。</p> <p>未來，TAIDE將持續增加模型的多樣化，並且蒐集各領域的正體中文資料，持續加強模型的繁體中文表達能力，使其更具有臺灣特色。其次是，追蹤新的生成式AI發展，將最新的技術融入到模型的訓練中。</p> <p><span style="color:#B22222;"><strong>帶動TAIDE對話引擎的應用多樣性</strong></span></p> <p>在開發TAIDE模型的同時，過去一年多，與產學研合作開發相關的應用，今天也在現場展示產學研的TAIDE應用開發成果。</p> <p>例如陽明交大展示了以ChatGPT和TAIDE開發的台客語對話平臺（下圖），能以語音的方式對著電腦說話，電腦即可以華台客英語，以聽說讀寫翻譯或是回覆對話。另外，陽明交大也展示以TAIDE對話引擎開發的多語言翻譯功能，可翻譯英、日、印尼、越南語。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20240503_120821-600.jpg" style="width: 600px; height: 450px;" /></p> <p>高雄大學則是展示Kuwa GenAI OS（下圖），為本土開發的開源碼生成式AI應用平臺，搭載TAIDE模型，強調可讓個人或企業在地端執行TAIDE生成式AI應用服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/kuwa-600.jpg" style="width: 600px; height: 444px;" /></p> <p>中興大學則是以農業知識庫開發神農TAIDE，使用者可以發問，例如稻伏發生的原因，系統會從知識庫中快速過濾、摘要，提出發生稻伏的可能原因。另外，臺南大學則是將TAIDE應用在台英語的對話機器人，讓中小學生可透過機器人學習台語。</p> <p>另外，工研院電光所也運用TAIDE，結合Advanced RAG技術，針對鋼鐵的產業知識提供智慧化的問答檢索，例如詢問高爐或電弧爐相關的產業知識：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20240503_110434-300.jpg" style="width: 300px; height: 400px;" /></p> <p>資服業者也開始運用TAIDE，例如叡揚展示企業知識庫，透過語句查詢，快速檢索、摘要可能的資訊，另外，也針對公務人員使用的公文系統，透過生成式AI輔助公務人員生成公文（下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/writing-600.jpg" style="width: 600px; height: 293px;" /></p> <p> </p> </div></div></div>
2024/5/3 17:16作者蘇文彬https://www.ithome.com.tw/news/162663
俄羅斯駭客正在尋找水力設施工控系統的遠端存取破口，美國、加拿大、英國發布警告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月1日美國網路安全暨基礎設施安全局（CISA）聯合該國7個機關、加拿大網路安全中心（CCCS）、英國國家網路安全中心（NCSC-UK）提出警告，<a href="https://media.defense.gov/2024/May/01/2003454817/-1/-1/0/DEFENDING-OT-OPERATIONS-AGAINST-ONGOING-PRO-RUSSIA-HACKTIVIST-ACTIVITY.PDF">俄羅斯駭客為了破壞關鍵基礎設施的運作，正在尋找、入侵不安全的操作科技（OT）環境</a>。</p> <p>該資安公告指出，俄羅斯駭客從2022年就開始鎖定配置不當或不安全的OT設備而來，目的是擾亂關鍵基礎設施的運作，並產生干擾效應，主要是藉由控制工業控制系統（ICS）來達成。</p> <p>雖然這份公告是針對所有關鍵基礎設施而來，但這些機構點名今年傳出美國出現多起水力設施遭到未經授權人士遠端操控HMI的事故，<a href="https://www.bleepingcomputer.com/news/security/us-govt-warns-of-pro-russian-hacktivists-targeting-water-facilities/">資安新聞網站Bleeping Computer認為</a>，這份公告發布的原因，很有可能與<a href="https://www.ithome.com.tw/news/162507">俄羅斯駭客組織Cyber Army of Russia鎖定美國德州、印第安納州水力設施的攻擊行動</a>有關，並指出該組織也疑似對波蘭和法國出手。</p> <p>而對於攻擊者的身分，資安業者Mandiant推測，上述的資安事故，是與俄羅斯軍情機構GRU有關的駭客組織APT44所為。</p> <p>對此，這些機構也對於駭客的攻擊手法進行歸納，指出對方利用VNC通訊協定，並藉由5900埠存取人機互動介面（HMI），從而對OT環境的底層進行竄改，而且，往往是利用預設帳密或弱密碼，且缺乏雙因素驗證（MFA）防護機制的情況下而能得逞。</p> <p>再者，對方也濫用VNC的遠端框架緩衝協定（Remote Frame Buffer Protocol），登入HMI來控制整個OT環境。</p> <p>針對這樣的情況，此聯合公告呼籲這些關鍵基礎設施的IT人員採取行動，利用防火牆來保護HMI不受外部存取，並強化VNC的設置，應套用最新的修補軟體、啟用雙因素驗證、變更預設密碼等措施，來提升OT環境的整體資安防護。</p> </div></div></div>
2024/5/3 16:28作者周峻佑https://www.ithome.com.tw/news/162661
GAI競爭的新戰場
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺上的Google開發者傳教士Amanda Lewis，將喜歡的樂團表演影片的Youtube連結，輸入到服飾店的AI客服Chatbot中，要AI找出主唱身上穿的同款襯衫，AI果然找到了同樣款式但不同花色的衣服，還參考了Amanda Lewis在用戶資料的尺寸資訊，在Chatbot對話視窗中，列出目前有貨的顏色、價格和到貨時間，Amanda選了最快到貨的一款顏色。</p> <p>她改用語音通話模式，向AI客服確認了購物車中的襯衫訂單，AI參考了Amanda的喜好資料和過去消費紀錄，順便推薦了搭配的褲子、短靴，果然是Amanda喜歡的款式，她同意也一起加入購物車，AI算出加上營業稅後的總售價向Amanda確認。Amanda直接在電話中，授權AI取得會員紀錄中的信用卡資料，直接刷卡完成這次購物。</p> <p>這是Google今年Next大會中的其中一段展示，雖然是模擬服飾店，卻是實際用了Google新一代LLM模型Gemini 1.5版，所打造的商店客服Chatbot。這是其中一段，我覺得非常有意思的一段展示。</p> <p>不只是可以用真人口吻對話的AI客服，在這段示範中，AI客服，不只是提供服務的客服窗口，還取得顧客的授權，讀取顧客的個人檔案，進行購物和刷卡。這與過去只會解答問題、查詢資料的Chatbot有很大的不同。AI還能代表顧客來採取行動，這正是生成式AI最新的應用型態，GAI代理（Agent）。</p> <p>不同於對話式的ChatGPT類AI助手，智慧代理人更像是取得使用者授權後，直接採取行動的一隻隻GAI應用程式，就像是一隻隻取得授權的RPA（流程自動化機器人）程式，但是結合了GAI的理解能力，可以更彈性，也更聰明地執行更複雜的任務，就如同Amanda Lewis在臺上的示範，GAI代理可以理解她說的話，完成刷卡來購物。</p> <p>「GAI代理（Agent）將會翻轉開發者、企業與運算裝置和Web的互動的方式。」Google Cloud執行長Thomas Kurian在開場演講中強調。</p> <p>前年底ChatGPT 引爆全球生成式AI浪潮之後，多家科技巨頭在去年紛紛加入了生成式AI技術的競爭，不只推出自家LLM模型，更推出了不同的生成式AI開發工具，從微軟、AWS到Google，都加入了戰局。</p> <p>LLM模型選擇多元化，再加上GAI開發工具紛紛現身，今年掀起了新一波的生成式AI應用爆發潮，許多大企業紛紛開始嘗試生成式AI技術，尋找適合的應用場景，來打造自己的GAI應用，智慧代理人正是眾人看好的GAI應用型態。</p> <p>Thomas Kurian認為，依據代理任務的不同，還可以進一步細分成6大類GAI代理，包括了顧客代理、員工代理、創意代理、資料代理、程式開發代理、資安代理。購物GAI代理就是一種代表顧客行事的顧客代理。</p> <p>Google更把自家的NoCode生成式AI開發工具，從Gen App Builder，改名為Agent Builder，來凸顯自己從AI應用的開發，轉而更聚焦到智慧代理程式Agent的開發。</p> <p>隨著LLM模型的發展，在2023年百花齊放，生成式AI的競爭也從模型卡位戰，進入了GAI生態圈的競爭，科技大廠一方面比誰能支援更多種類的LLM模型，另一方面也推出更容易上手，快速開發各種GAI應用的開發工具，來吸引企業願意採用。</p> <p>到了今年，GAI代理，成了GAI的新競爭場域，Google率先搶進GAI代理開發生態圈的競爭，但不會是唯一一家，接下來，就看其他科技巨頭如何出招了。</p> <p><a href="https://www.ithome.com.tw/article/162607" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1180-feng_mian_p1-open-zhi_hao_-960x420_kao_bei_0.jpg?itok=LyBIWBbf" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/gai%E4%BB%A3%E7%90%86">GAI代理</a></div><div class="field-item odd"><a href="/tags/agent">Agent</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/genai">GenAI</a></div><div class="field-item even"><a href="/tags/google">google</a></div></div></div>
2024/5/3 15:32作者王宏仁https://www.ithome.com.tw/voice/162658
D-Link路由器老舊漏洞遭殭屍網路Goldoon鎖定，將特定型號路由器組成殭屍大軍從事DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Fortinet於上個月發現<a href="https://www.fortinet.com/blog/threat-research/new-goldoon-botnet-targeting-d-link-devices">殭屍網路Goldoon攻擊行動</a>，對方鎖定存在已知漏洞CVE-2015-2051的無線路由器DIR-645，並指出一旦目標設備遭到入侵，攻擊者可得到完整的控制權，並取得系統資訊，與C2伺服器建立通訊，然後發動DDoS攻擊。</p> <p>研究人員指出，根據他們的遙測資料，此殭屍網路的活動頻率於4月顯著增加，為之前的2倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fig02-goldoon-telemetry.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig02-goldoon-telemetry.png" style="width: 580px;" /></a></p> <p>針對駭客使用的漏洞CVE-2015-2051，<a href="https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10051">為9年前被揭露</a>，攻擊者可遠端利用該漏洞，透過家庭網路管理通訊協定（Home Network Administration Protocol，HNAP）介面，透過名為GetDeviceSettings的動作執行任意命令，CVSS風險評分達到了9.8。攻擊者可藉由偽造的HTTP請求，並於標頭嵌入惡意命令來達到目的。</p> <p>究竟攻擊者如何入侵路由器，研究人員並未特別說明，但指出一旦對方成功存取這些設備，就會從特定IP位址惡意程式下載工具（Dropper）指令碼，執行後會自動根據目標裝置的系統架構，下載對應的Goldoon程式，而該檔案執行後，就會下載名為i686-linux-gnu的檔案，並將自己刪除，以防留下證據。針對i686-linux-gnu的功能，就是下載殭屍網路病毒檔案。</p> <p>值得一提的是，上述用來下載殭屍網路病毒檔案的工具，其統一資源識別字串（URI）相當特別，含有特定的標頭，而能取得最終的酬載。若是使用者透過瀏覽器存取，則會出現錯誤訊息，聲稱原因是使用者是FBI探員他們幫不上忙，若不離開將會大開殺戒。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fig07-goldoon-error-message.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig07-goldoon-error-message.png" style="width: 580px;" /></a></p> <p>研究人員分析該殭屍網路病毒，指出必須透過特定參數才會啟動，並建立連線所需參數，並透過WolfSSL程式庫加密流量，將Google的DNS伺服器設為DNS解析器，然後嘗試與C2連線並接收指令。</p> <p>值得一提的是，此病毒可發動的攻擊多達27種，而為了讓該病毒能持續於受害路由器運作，對方也採用了多達10種方式來進行。</p> </div></div></div>
2024/5/3 15:41作者周峻佑https://www.ithome.com.tw/news/162660
微軟4月Windows更新弄壞了VPN連線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-23h2#vpn-connections-might-fail-after-installing-the-april-2024-security-update" target="_blank">微軟本周坦承</a>，於今年4月釋出的Windows更新可能造成Windows裝置的VPN連線失敗。</p> <p>影響到VPN服務的相關更新包括4月安全更新KB5036893，以及4月的非安全性預覽更新KB5036980，根據微軟的說法，只要是安裝4月9日或之後所釋出的更新，都有可能遇到VPN連線失敗的問題。</p> <p>現階段微軟並未說明造成此一情況的原因，僅說正在開發解決方案，會在下一個版本進行修補。</p> <p>受影響的版本包括Windows 10/11，以及Windows Server 2008/2012/2016/2019/2022，涵蓋家用電腦與企業裝置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0503-windows%20update-Known%20issues.png" style="width: 600px;" /></p> </div></div></div>
2024/5/3 14:57作者陳曉莉https://www.ithome.com.tw/news/162657
Dropbox數位簽章服務被駭影響所有用戶，包含曾接過文件的用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端硬碟業者Dropbox昨（2）日<a href="https://www.sec.gov/Archives/edgar/data/1467623/000146762324000024/dbx-20240429.htm" target="_blank">對主管機關美國證管（SEC）會通報</a>，旗下數位簽章服務HelloSign遭駭，影響該服務所有用戶，包括部分用戶金鑰及MFA驗證資訊遭到駭客存取，接收過其簽章文件用戶的電郵信箱恐也外洩。</p> <p>HelloSign是Dropbox 2019年收購的雲端簽核與文件工作流程平臺服務，當時其用戶超過80萬。在收購後，該方案改名為Dropbox Sign。</p> <p>Dropbox是在4月24日獲知Dropbox Sign的營運環境發生非經授權的存取活動。該公司安全回應部門很快終止了事件。經過調查，Dropbox發現攻擊者已存取了這項服務的資訊，影響所有用戶，包括用戶電子郵件信箱、使用者名稱及一般的帳號設定。另有部分用戶的電話號碼、雜湊加密過的密碼及特定驗證資訊，像是API金鑰、OAuth token、多因素驗證（multiple-factor authentication，MFA）資訊。</p> <p><a href="https://sign.dropbox.com/zh-TW/blog/a-recent-security-incident-involving-dropbox-sign" target="_blank">在其官網上</a>，Dropbox進一步說明，即使用戶沒有Dropbox帳號，但曾經接到或以Dropbox Sign簽收文件的用戶，其電子郵件及使用者名稱也會曝光。反過來說，如果用戶曾建立Dropbox Sign或HelloSign帳號，但未設立密碼（即他們是用「Sign up with Google Account」），則沒有密碼曝險的問題。</p> <p>Dropbox說，根據目前調查結果，沒有證據顯示用戶帳號下的內容，像是其文件、合約、範本或是支付資訊遭駭客存取。該公司也認為，事件範圍僅限Dropbox Sign的基礎架構，並不影響Dropbox其他產品的營運環境。</p> <p>該公司已重設用戶密碼、將任何連結Hello Sign的裝置登出，也進行所有API金鑰、OAuth tokens輪換。這家業者說已通報執法機關，會持續調查，事件矯正修復行動也持續進行中，並已開始通知所有受影響的用戶採取必要行動。</p> <p>不過Dropbox並未說明電子簽章服務確切受影響的用戶有多少，或是攻擊者如何存取Dropbox Sign環境。</p> <p>在營運面上，Dropbox相信此事件不會影響整體業務作業，但是他們尚未能評估事件之後對公司財務及營運結果的效應，因為可能會有官司、客戶行為改變以及主管機關的審查。</p> <p>這是Dropbox近年最新一起被駭事件。<a href="https://www.ithome.com.tw/news/108115" target="_blank">2016年媒體發現</a>這家雲端硬碟業者曾在2012年被駭，致使近7,000萬用戶帳密外洩。2022年11月該公司員工被網釣攻擊，<a href="https://www.ithome.com.tw/news/153968" target="_blank">讓駭客存取了</a>130個GitHub程式儲存庫。</p> </div></div></div>
2024/5/3 13:37作者林妍溱https://www.ithome.com.tw/news/162654
蘋果第二季財報出爐，iPhone銷售下滑10%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2024/05/apple-reports-second-quarter-results/" target="_blank">蘋果周四（5/2）公布該公司第二季財報</a>，該季蘋果創下908億美元的營收，年減4%，該季蘋果僅有服務營收呈現成長態勢，所有硬體裝置類別的營收全都下滑，其中，iPhone營收比去年同期下滑10.5%。儘管財報表現不佳，但由於蘋果當天宣布將買回價值1,100億美元的庫藏股，為史上最大規模，使其當天盤後股價上漲了6%，達183.46美元。</p> <p><a href="https://www.apple.com/newsroom/pdfs/fy2024-q2/FY24_Q2_Consolidated_Financial_Statements.pdf" target="_blank">在908億美元的營收中</a>，有669億美元屬於產品營收，下滑9.5%，另有239億美元為服務營收，成長14.2%。</p> <p>該季蘋果所有類別的硬體產品營收全都下滑，iPhone在第一季創下459.6億美元的營收，比去年同期下滑10.5%，Mac營收為74.5億美元，下滑3.9%，iPad營收為55.6億美元，下滑幅度達16.7%，穿戴、家庭及配件營收為79億美元，亦衰退9.6%</p> <p>其實從市場研究機構<a href="https://www.ithome.com.tw/news/162316" target="_blank">IDC日前發布的</a>第一季全球手機出貨量調查報告便可看出端倪，當時IDC發現iPhone出貨量大跌逾9%，三星則僅小幅萎縮0.7%，也讓三星在今年第一季再度成為全球智慧型手機龍頭。</p> <p>至於今年2月才開始於美國出貨的蘋果空間運算設備Apple Vision Pro，則尚未出現在蘋果的財報上，因而無從得知其銷售狀況，不過，蘋果產品分析師<a href="https://www.ithome.com.tw/news/162500" target="_blank">郭明錤先前曾披露</a>，蘋果已將Vision Pro今年的出貨量從70~80萬臺下修至40~50萬臺。</p> </div></div></div>
2024/5/3 13:52作者陳曉莉https://www.ithome.com.tw/news/162655
微軟通行密鑰開始支援消費者帳戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年5月的第一個周四（5/2）為世界密碼日（World Password Day），微軟與Google都在當天發表雙方在推動通行密鑰（Passkey）上的成果。其中，<a href="https://www.microsoft.com/en-us/security/blog/2024/05/02/microsoft-introduces-passkeys-for-consumer-accounts/" target="_blank">微軟宣布</a>開始支援微軟消費者帳戶的通行密鑰，<a href="https://blog.google/technology/safety-security/google-passkeys-update-april-2024/" target="_blank">而Google則說</a>，迄今已有4億個Google帳戶執行逾10億次的通行密鑰身分驗證。</p> <p>Passkey是由一組金鑰組成，其中的公鑰用於註冊網站或App，私鑰則是存放在用戶裝置上，在所登入的服務註冊了Passkey之後，使用者即可利用裝置上的生物辨識功能或裝置PIN碼來登入各式服務，由於它奠基在FIDO 2/WebAuthn標準上，因而得以跨平臺運作。</p> <p>在2022年的世界密碼日上，微軟、Google及蘋果<a href="https://www.ithome.com.tw/news/150793" target="_blank">共同宣布</a>擴大對專門推動無密碼的FIDO（Fast IDentity Online）聯盟的支持，加速無密碼時代的到來，主要使用的就是Passkey。</p> <p>微軟預測，Passkey將幾乎完全取代密碼，且自即日起，所有使用者都可透過Passkey來存取微軟帳戶，不管是利用位於蘋果、Google或Windows平臺上的人臉/指紋辨識或是裝置PIN碼。</p> <p><a href="https://aka.ms/addproof" target="_blank">微軟提供了一個連結</a>以讓使用者替微軟帳戶建立Passkey，倘若使用者是透過iPhone的人臉辨識建立了微軟帳戶的Passkey，那麼之後要在筆電上登入微軟帳戶時，只要以手機掃描微軟所提供的QR Code，接著於手機上辨識人臉，就能直接於筆電上登入。</p> <p>現在使用者已可藉由Passkey登入Microsoft 365及Copilot的網站與桌面程式，未來幾周將擴大至各種微軟行動程式。</p> <p>Google則說，不到一年的時間，就有4億個Google帳戶利用Passkey執行超過10億次的身分驗證，超越了使用者以簡訊一次性密碼或身分驗證程式執行登入的總和。Google強調，以Passkey登入不但可比輸入密碼節省50%的時間，還能有效防範網路釣魚攻擊，很快就會針對進階保護計畫（Advanced Protection Program）用戶導入Passkey。根據外界估計，全球使用者至少已註冊15億個Google帳戶。</p> <p>此外，除了早期採用Passkey的eBay、Uber、PayPal及WhatsApp之外，這一年來開始支援Passkey的業者，還包括GitHub、Amazon、1Password、Dashlane、Docusign、Kayak、Mercari、Shopify與日本Yahoo！等。</p> </div></div></div>
2024/5/3 14:04作者陳曉莉https://www.ithome.com.tw/news/162656
全面擁抱雲端服務，思科資安大轉型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_secure_cloud-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>縱觀整個企業IT市場的發展，資安防護需求長年處於居高不下的狀態，是許多新創公司崛起的熱門領域，也是既有大型廠商的兵家必爭之地，陸續透過自行開發與併購公司等手段，擴充本身的產品與技術實力，然而，要將這些成果整合、簡化成單一解決方案，卻並不容易，於是，我們經常在同一家廠商看到不同產品線山頭林立的狀況，而在這幾年隨著雲端服務的普及，有些廠商開始試著將旗下百花齊放的資安解決方案，納入單一平臺的品牌或概念識別，例如，趨勢科技的Trend Vision One，Check Point的Infinity、Fortinet的FortiGuard與Security Fabric。</p> <p>而對於同時擁有網路與資安產品的思科而言，近期積極推動好幾波轉型整併工程，例如，2020年他們推出新的產品線<a href="https://www.ithome.com.tw/review/138483">Secure X</a>，希望提供開放、雲端原生平臺連結旗下整合的多種資安解決方案，橫跨使用者與端點、雲端、網路、應用系統，提供更簡單、一致的使用體驗，後續也將上述4個領域的部分資安產品與服務，冠上Secure之名，打造可同時囊括這些資安解決方案的平臺，但這條轉型之路並未因此結束，因為接下來他們更積極擁抱雲端服務與AI創新技術，納入更多資安防護產品與服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2021-Cisso SecureX.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-Cisso%20SecureX.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2021-Cisco-SecureX-2-1000x516.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-Cisco-SecureX-2-1000x516.jpg" style="width: 600px;" /></a></p> <h3><strong><span style="color:#0000FF;">兩年多前，思科再度提出資安平臺新願景</span></strong></h3> <p>在2022年6月舉行的RSA全球資安大會上，思科預告將發展橫跨全球、透過雲端服務形式供應的整合平臺，能夠防護與連結各種形式與規模的組織，他們稱之為Cisco Security Cloud，透過這套開放平臺，在不會受到特定公有雲服務業者綑綁的狀態下，能夠防護整個IT生態系的完整性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Cloud-2022-06-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Cloud-2022-06-1.png" style="width: 600px;" /></a></p> <p>思科的目標是實現整合的操作體驗、統一的管理機制、最開放的平臺，提供資安威脅的預防、偵測、應變、矯正能力，而且能夠擴充使用規模，使人員與設備能夠安全連接，並且安全地存取位於任何地方的應用程式與資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-06-Cisco Security Cloud coverage.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-Cisco%20Security%20Cloud%20coverage.jpg" style="width: 600px;" /></a></p> <p>最初宣布這項規畫時，思科提出4大訴求，分別是安全的存取（Secure Access）、安全的邊緣（Secure Edge）、安全的維運（Secure Operations），以及簡化（Simplification）。</p> <p>在安全的存取方面，他們正在發展持續可信任存取技術（Continuous Trusted Access）、基於風險高低判定的身分驗證技術（Risk-based Authentication），以及連線階段信任分析（Session Trust Analysis），並且展示未來將推出的Cisco Secure Access，初期整合旗下的多因素身分驗證（MFA）與單一登入整合（SSO）系統Duo，以及雲端檔案共享服務Box。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Access-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Access-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-06-Cisco Security Cloud IT Policy.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-Cisco%20Security%20Cloud%20IT%20Policy.png" style="width: 600px;" /></a></p> <p>關於安全的邊緣（Secure Edge），思科推出安全存取服務邊緣（SASE）解決方案，名為Cisco+ Secure Connect Now，提供快速部署SASE與便於日常維運的雲端服務代管平臺，用戶可透過統一的儀表板介面進行管理，並且善用訂閱型態的資安服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Edge-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Edge-1.jpg" style="width: 600px;" /></a></p> <p>在安全的維運（Secure Operations）層面中，思科提出4種解決方案，包含：（1）可針對不同組織，提供個別訂製網路威脅情報的服務Talos Intel On-Demand；（2）具有自動提報警示至SecureX、且能對應至MITRE ATT&CK框架的Cisco Secure Cloud Analytics，（3）SecureX平臺正式提供Device Insights分析功能，可針對環境當中的設備資料，進行匯聚、交互關連、正規化等處理，並且整合弱點管理系統Kenna，以及端點安全系統Secure Endpoint，提供更完善的弱點優先順序管理；（4）Secure Firewall 3100系列，支援員工混合辦公模式的工作新常態，配備新的加密流量透視引擎，可運用AI與機器學習偵測潛藏的威脅。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Operation-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Operation-1.jpg" style="width: 600px;" /></a></p> <p>而在簡化（Simplification）的作法，思科祭出兩種解決方案。一是推出新的Secure Client，預計2022年中統合旗下一半資安產品與服務的各種代理程式，當中將涵蓋AnyConnect、Secure Endpoint、Umbrella，後續會再加入其他代理程式；另一是透過雲端服務的形式提供網路防火牆管理主控臺Secure Firewall Management Center，透過Cisco Defense Orchestrator的幫忙，整合雲端與內部環境的防火牆管理。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Simplification-1-2022-06.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Simplification-1-2022-06.jpg" style="width: 398px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Simplification-2-2022-06.jpg" style="width: 198px;" /></p> <p>針對開放資安平臺的打造，思科強調Cisco Security Cloud將具備5大特色。首先是雲端原生與多雲，橫跨混合辦公環境，安全連結使用者、裝置、物聯網，以至系統、應用程式、資料，提供最佳效能與天衣無縫的操作體驗，使資安更靠近使用者、資料，以及應用程式。</p> <p>第二是統一，整合的核心功能將涵蓋政策管理、管理主控臺、儀表板，提供更完善、貫穿所有環節的資安防護效率。</p> <p>第三是簡化，透過整併多種端點代理程式，減少使用者與IT人員的瑣碎工作，持續聚焦在用戶體驗改良。</p> <p>第四是基於AI或機器學習驅動各種功能，思科多種產品在保護各種設備與網路時，會獲取大量遙測資料，未來資安整合平臺可運用這些內容提升偵測、修改、自動化處理能力，改善本身的效率。</p> <p>第五是開放、可延伸更多功能應用，思科會提供用於整合的API，廣泛支援開發者生態系與市場需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-06-Cisco Security Cloud segment.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-Cisco%20Security%20Cloud%20segment.png" style="width: 600px;" /></a></p> <h3><strong><span style="color:#0000FF;">資安雲逐漸成形，思科持續新增與強化功能</span></strong></h3> <p>到了2023年2月舉行的Cisco Live! Amsterdam大會，思科揭露Cisco Security Cloud最新進展，當中涵蓋零信任、應用程式安全、安全連線（Secure Connectivity）等3大重點。</p> <p>零信任方面，Duo在基於風險高低判定的身分驗證技術上，首先，使用者可透過已知裝置（Remembered Devices）、Wi-Fi Fingerprint等功能，憑藉熟悉的應用程式、裝置、網路，即可維持在登入狀態，系統不需收集個人資料或所在地區的資訊；第二，為了強化抵禦網路釣魚攻擊的能力，Duo提供「可驗證的訊息推送（Verified Push）」功能，一旦發現用戶行為可能處於已知的攻擊模式之中，系統會要求輸入一段代碼，而不非僅用按鈕的動作確認身分；第三是擴充單一登入整合的功能，能透過通知提醒使用者在密碼過期之前進行重設。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-02-Cisco Live Security1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-Cisco%20Live%20Security1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-02-Cisco Live Security2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-Cisco%20Live%20Security2.jpg" style="width: 298px;" /></a></p> <p>關於應用程式安全，思科在專攻此用途的解決方案Full-Stack Observability（FSO），增設「業務風險狀態呈現（Business Risk Observability）」的功能，可透過整合可觀測性平臺AppDynamics的Cisco Secure Application，提供業務風險評分的機制，當中也結合Kenna Risk Meter風險評分系統、AppDynamics的Business Transactions應用程式監控元件、API安全系統Panoptica，以及Talos網路威脅情報服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-02-Cisco Live-Business Risk Observability.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-Cisco%20Live-Business%20Risk%20Observability.jpg" style="width: 600px;" /></a></p> <p>至於安全連線方面的應用，是指思科正式推出主打單一廠商特色的SASE解決方案Cisco+ Secure Connect，可延伸支援Viptela這套SD-WAN，能涵蓋該公司的SD-WAN交織網路，以及他們旗下的多種雲端安全服務，提供從任何地方存取任何系統與服務的安全管道。</p> <p>6月初舉行的Cisco Live! 2023大會，思科接續發布Cisco Security Cloud最新突破。在安全存取與安全連線方面，他們的SSE解決方案Cisco Secure Access正式成軍，7月開放部分使用，10月全面上線，特色在於提供通用的應用程式與IT資源存取體驗，單一、基於雲端服務來進行管理的主控臺，並且能夠更快偵測資安威脅與進行應變、調查（背後整合Talos網路威脅情報服務）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Cisco%20Secure%20Cloud-1.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Cisco%20Secure%20Cloud-2.jpg" style="width: 600px;" /></p> <p>第二項進展是生成式AI的應用，Cisco Security Cloud預先展示這方面的功能，思科將提供Policy Assistant與SOC Assistant。</p> <p>資安政策助手預計今年稍晚推出，可用於描述細部資安政策的內容，並協助評估如何跨越資安基礎架構的不同層面進行實作，初期將搭配思科的AI Assistant技術，能夠評估、產生更有效率的網路防火牆政策，也能運用企業與組織在Cisco Secure Firewall Management Center既有的政策，來進行這些設定管理工作，目標是在不犧牲細部控制能力的狀態下，可以實現更高的使用效率。</p> <p>至於SOC助手，在2023年4月底召開的RSA大會期間，思科首度揭露概念，而對於6月自家用戶大會介紹的特色，預計在會計年度結束提供，其餘功能在2024年上半供應。</p> <p>這項AI輔助機制如何會展現？思科表示，一旦發生資安事故，SOC助手會跨越電子郵件、網頁、端點、網路等環境，已知的所有事件的前後脈絡整理出來，然後告訴SOC分析人員確切發生的狀況與影響，接著這些人可在AI助手的陪伴之下，進行互動與推論，並運用可延展內容的潛在處理動作知識庫，以及將分析人員輸入內容考慮在內的資訊，去決定最適合的矯正方法。</p> <p>Cisco Security Cloud的第三項重點，落在混合辦公的網路安全防護。思科推出新款網路防火牆<a href="https://www.ithome.com.tw/review/158775">Secure Firewall 4200系列</a>，以及Secure Firewall作業系統軟體Firewall Threat Defense（FTD）的7.4版，提供進階的效能與使用彈性，強化密碼學處理的加速、叢集系統與模組化的支援，預計9月全面供應Secure Firewall 4200系列，12月會針對其餘機型提供7.4版作業系統。</p> <p>同時，思科也宣布推出多雲安全防護服務<a href="https://www.ithome.com.tw/review/157920">Cisco Multicloud Defense</a>，可橫跨四大公有雲環境，透過SaaS服務型態實施單一、即時套用的政策控管。</p> <p>最後一個資安防護層面是應用程式安全。思科在雲端原生應用程式防護解決方案Panoptica，提供雲端安全態勢管理（CSPM）的新功能，預計秋季提供，可協助持續遵循雲端安全的政策，以及隨著雲端服務使用規模的擴大而能執行對應的狀態監控。</p> <p>Panoptica也將配備新的攻擊路徑分析引擎，能夠運用圖學資料處理技術，執行進階的攻擊路徑分析，協助資安團隊面對整個雲端基礎架構時，可以快速識別與矯正潛在的威脅。</p> <p>同時，Panoptica還能整合思科的Full Stack Observability產品線，即時呈現業務風險的優先處理順序，協助資安與開發團隊掌握現況、具有控制能力，以及處理的知識與經驗，進而保護動態的雲端應用程式與基礎架構。</p> <h3><strong><span style="color: rgb(0, 0, 255);">思科</span></strong><span style="color:#0000FF;"><strong>資安雲開始明確提供3大解決方案套餐</strong></span></h3> <p>在2023年10月底舉行的Cisco Security Summit線上座談會之後，思科將旗下資安產品聚焦在三大應用案例：改善資安效率、強化使用者體驗，以及加速投資回收，並且普遍地結合零信任的原則，能夠提供使用者優先的體驗而不會犧牲安全性，目前已彙整成三種產品套餐，包含使用者防護（User Protection Suite）、雲端防護（Cloud Protection Suite）、外洩防護（Breach Protection Suite）。 </p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Security Suites-2023-H2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Security%20Suites-2023-H2.png" style="width: 600px;" /></a></p> <p>User Protection可用於協助使用者安全地從任何地方進行辦公，當大家存取SaaS、企業內部應用程式、通訊工具與其他業務資源時，可以獲得更有生產力的工作體驗，能夠免於受到網路釣魚、惡意軟體、身分盜用，以及勒索軟體等攻擊。</p> <p>Cloud Protection可用於混合雲與多雲環境，提供地端與雲端之間的互動存取防護，當中將整併多個控制點，提供能夠普遍觀照全局的能見度，並且可以降低風險。</p> <p>此項資安解決方案套餐本身內含動態框架，可適用於企業內部環境與雲端環境，提供因應資安威脅的情報，並透過減少攻擊面與保護全部的應用程式、工作負載，協助持續改善資安態勢。</p> <p>Breach Protection能夠運用基於資料、AI驅動的防護機制、整合第三方廠商的資安解決方案，使SOC分析人員快速偵測與因應各種進階威脅，像是勒索軟體、內部威脅、未知惡意軟體，以及資料外洩，提供加速應變的能力，以及簡化的操作體驗，從而處理複雜的資安威脅。</p> <p>舉例來說，企業能藉此橫跨電子郵件、端點、網路、雲端等多種環境，掌握整體資安能見度，並且進行相關的控制，從而強化威脅偵測與提升資安維運處理的流暢。</p> <p>關於套餐競爭優勢，思科在今年2月強調，最明顯的好處是透過單一供應商、單一產品編號（PID）或存貨單位（SKU）的形式，而且，套餐的授權計價結構很單純，是以每個使用者來估算，能夠更方便地因應所有重要客戶的聯繫與安全需求，提供完整功能。</p> <p>而且，相較於需同時面對多家供應商與不同類型的解決方案，思科在此實作的產品與技術整合機制，可大大降低複雜度，有效提升能見度與控制能力，進而強化監控與管理效率，帶來更理想的用戶體驗、增加用戶黏著度，對於採用思科套餐的資安代管服務業者（MSSP）而言，也能提升自身獲利能力與利潤。</p> <p>除此之外，對比於個別訂購產品，資安代管服務業者若能採用思科供應的單一套餐，思科宣稱成本可節省53％，因為可簡化採購流程、初始設定、整合、管理設定、技術支援，以及產品更新等工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-02-Cisco%20Security%20Cloud-overview.jpg" style="width: 600px;" /></p> <h3><span style="color:#0000FF;"><strong>事前預防：思科針對不同地點、用各種裝置的使用者，提供防護</strong></span></h3> <p>首先思科主推的資安雲方案是保護「使用者」相關面向的套餐，當中涵蓋的產品線，主要有Duo、Secure Access、Secure Email Threat Defense、Secure Endpoint，可針對身分認證（MFA）、應用程式與網路存取（SSE）、電子郵件，以及端點裝置使用（桌上型電腦、筆電、工作站、伺服器）等各個環節，協助企業與組織獲得這個防護層面的能見度與安全性保障。</p> <p>User Protection可選用2種服務層級：Essentials、Advantage，前者囊括的產品有Duo、Secure Access、Secure Email Threat Defense，後者額外提供Secure Endpoint。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-02-Cisco%20User%20Protection.png" style="width: 600px;" /></p> <p>以存取防護而言，思科可在員工存取應用程式或網際網路時，提供安全、高度整合而流暢的操作體驗，無論他們使用任何裝置、這些裝置屬於列管或非列管狀態，以及從內部網路、分支辦公室、家庭或其他地方連入，均可適用，這個套餐會協助管理過程中的每一個部分，無論是連至應用程式、進行身分認證獲得許可，並且提供環繞在使用者體驗的洞察分析，也能透過雲端服務的形態，輕鬆提供這些功能的使用。</p> <p>針對不同安全連線技術的使用，思科User Protection標榜能順利進行處理這些狀況，減少無謂的操作，例如，用於遠端存取時，可使用VPN、ZTNA的架構，而面對多種遠端網路與雲端服務應用程式的存取時，可提供單一登入整合（SSO）。在此同時，思科也結合基於風險評估而成的身分認證AI引擎，能夠辨識各種受到信任的狀況，人員工作時須頻繁進行身分認證的次數，得以有效減少，而當明確的身分認證受到批准，搭配思科的無密碼身分認證，可大幅簡化驗證程序，例如，只需用手指碰觸指紋辨識器或插上YubiKey這類行動身分驗證裝置。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20laptop-alpha-user-protection-paper.jpg" style="width: 600px;" /></p> <p>在應用情境的涵蓋上，思科User Protection可協助企業與組織驗證各種類型的裝置，無論是單位列管、開放自帶裝置（BYOD），或是通過內部安全查核而註冊、經由第三方安全查核而註冊，可涵蓋企業、約聘人員、合作廠商等類型使用者，均能以密碼學的防護處理，將使用者與裝置進行綁定，協助推展零信任策略，並且依各自需要的步調進行，提供零摩擦的存取體驗。</p> <p>對於可能受到攻擊的層面（Attack Surface）的掌握，思科本身具有服務30萬個客戶的Talos Intelligence網路威脅情報平臺，每天處理5千5百億起資安事件與280萬個惡意軟體樣本，而基於這樣龐大的遙測能力，可持續識別風險與改善企業、組織的資安態勢，思科User Protection均可整合到用戶環境當中，減少可被攻擊的弱點、增進保護，並支援不同使用者、應用程式、裝置的應用。</p> <p>在使用者存取系統、應用程式、網路服務的行為上，思科User Protection可協助改善能見度與控管能力，減少各自獨立、互不相通的資訊孤島存在。企業與組織能透過這樣的共同平臺，解決各個環節出現的問題，限制員工擅自使用各種工具狀況的擴散，降低系統管理的複雜度與日常負擔，同時，也可以簡化購買與管理這些工具的流程，透過當中提供的儀表板介面，促進作業順暢度，並且支援日益精簡的IT與資安人力，而得以在減少維運成本之餘，使整個團隊的運作更有效率、透過更有戰略的方式來推動各種業務進行。</p> <h3><span style="color:#0000FF;"><strong>事中偵測與應變：思科簡化資安維運作業與提升事故處理速度</strong></span></h3> <p>為了因應持續進化的網路攻擊手法，思科推出Breach Protection Suite套餐，提供廣泛理解各種侵襲模式的解決方案，因為當中可透過即時對應MITRE ATT&CK框架的方式，掌握觀察到的敵對行為所屬的戰略、伎倆及程序（TTPs）。</p> <p>思科表示，Breach Protection可選用3種服務層級：Essentials、Advantage、Premier（2024年之後新增），能分別滿足不同規模組織的需求，提供一系列防護機制，確保能完整涵蓋這個範圍的資安控管。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-02-Breach%20Cloud%20Protection.png" style="width: 600px;" /></p> <p>首先是基礎型解決方案Breach Protection Essentials，裡面結合電子郵件安全防護Secure Email Threat Defense、端點偵測與應變系統（EDR）Secure Endpoint Advantage、延伸偵測與應變系統（XDR）XDR Essentials，提供可立即使用的產品與服務包裝。</p> <p>思科之所以這樣的搭配，主要是因為絕大多數的網路攻擊，仍舊利用網釣郵件來傳遞濫用端點系統漏洞的惡意軟體，或透過端點應用程式、以寄生攻擊（Living-Off-the Land，LOL）的方式，有些會趁機提升可執行的權限，植入與維持惡意軟體的存在，有些則是經由橫向移動的方式，設法搜刮內部網路的各種數位資產（traverse laterally），對此Breach Protection Essentials的威脅偵測與應變機制，可處理上述的網路攻擊類型，以及Wizard Spider、Sandworm這類駭客團體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%202023-05-XDR-zesxrdctfvyg.jpg" style="width: 600px;" /></p> <p>若有進階防護需求，思科提供Breach Protection Advantage等級的解決方案，可涵蓋每個企業與組織可能面臨的所有網路攻擊，尤其是針對同時擁有IT、OT、IIoT的複雜環境，或是BlackTech、Volt Typhoon、Jaguar Tooth這類國家級駭客發動的精密攻擊。這個套餐結合網路型資安防護技術，能偵測位於雲端與企業內部環境的基礎架構威脅，能照應當前資安業界已知的所有網路攻擊類型。這個層級的Breach Protection套餐，同樣提供電子郵件安全防護Secure Email Threat Defense，端點偵測與應變系統搭配進階的Secure Endpoint Premier、延伸偵測與應變系統搭配進階的XDR Advantage，再加上Secure Network Analytics（前身為Stealthwatch）、Telemetry Broker，提供可立即使用的產品與服務包裝。</p> <p>對於想要獲得上述所有防護、本身卻沒有足夠資安人力，或是想要完全將SOC委外的企業與組織而言，思科供應的解決方案是Breach Protection Premier，可協助管理資安維運作業，或是將代管的多種資安服務包裝起來，從中負責保管事故因應的相關資訊，提供滲透測試服務、執行紅隊／藍隊／紫隊組建服務，以及代為處理威脅的偵測與應變工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Security%20Suites-2024-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E6%80%9D%E7%A7%91.jpg" style="width: 600px;" /></p> <p>而在套餐組成方式上，Breach Protection Premier搭配更多解決方案，不僅具備Breach Protection Essentials、Breach Protection Advantage這兩個層級的產品陣容，也提供代管延伸偵測與應變服務（MDR）、資安事故應變服務Talos Incident Response，以及資安態勢評估服務Technical Security Assessment。</p> <p>值得注意的是，Cisco Breach Protection Premier也適用於目前已採用第三方資安產品的企業與組織，可獲取同樣的技術成果。不過，思科也表示，若選用這個套餐，企業與組織能得到很大優惠的財務使用條款與總體持有成本，而不需要處理接合多家第三方廠商解決方案，以及透過多種主控臺進行管理的問題。</p> <h3><span style="color:#0000FF;"><strong>因應企業大規模採用混合雲與多雲架構，提供全面資安防護</strong></span></h3> <p>隨著企業上雲的潮流勢不可擋，如何在單雲、多雲、混合雲等不同環境確保資安，成為整體防護規畫的大難題，此時雖然能支援快速的應用程式開發與部署，但日常營運會面臨許多挑戰，例如，可受到攻擊的層面擴大、系統運作與資安狀態的能見度喪失，以及IT資源的不足。對此，許多資安廠商都呼籲，從開始上雲之際，就要採用涵蓋各種網路威脅的防治，且內建資安防護的單一解決方案，並且搭配使企業與組織得以安全穩定成長的框架。</p> <p>對於思科而言，他們目前可提供多面向的防護方法，結合彼此互補的解決方案，有助於減少攻擊面、保護在不同位置執行的應用程式，簡化在多雲、混合雲環境進行資安維運工作的複雜度，並幫助資安團隊獲得合適的資源而達到目標，促使企業與組織的業務成長。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-02-Cisco%20Cloud%20Protection.png" style="width: 600px;" /></p> <p>而在Cloud Protection套餐當中，思科表示，將會提供單一操作介面，用於橫跨多種雲端環境的管理與部署資安控制。IT人員只需編寫一次控管原則，運用這套解決方案內建的自動化處理與調度指揮，即可將這條政策部署到4大公有雲業者的服務，如此能大幅減少因為管理雲端網路安全而衍生的常態作業成本開支，以及教育訓練負擔。</p> <p>同時，Cloud Protection本身採用中立而非專屬特定雲端平臺的技術，可抑制搭配工具數量增加的狀況，提供能夠彈性使用的框架，而能在不同環境保護各種工作負載執行的應用程式。之後，企業與組織就能快速登記新的雲端服務帳號，以便合併或新增更多業務，並以此確保可以遵循整體資安的要求。</p> <p>除此之外，Cloud Protection也能整合到應用程式的開發與部署流程，促使這些系統建置的初期，就已內建資安防護。目前，思科預設提供超過100種API與整合機制，可輕鬆嵌入既有或新設的系統與數位資產，後續對於存在其中的資安弱點與攻擊面，能夠做到更深入的掌控。</p> <p>關於解決方案的組成，思科Cloud Protection目前匯集多種產品與技術，統合在單一框架，企業目前可選用2種服務層級：Essentials、Advantage，前者包含的產品，有Multicloud Defense（前身為Valtix）、Secure Workload（前身為Tetration）、Vulnerability Management（前身為Kenna.VM），後者額外提供Cloud Application Security（前身為Panoptica），以及Attack Surface Management（前身為Cisco Secure Cloud Insights）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Cloud Workload-467712-圖片來源-思科.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Cloud%20Workload-467712-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E6%80%9D%E7%A7%91.jpg" style="width: 600px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E4%BC%81%E6%A5%AD%E7%B4%9A%E8%B3%87%E5%AE%89%E5%A4%A7%E5%9E%8B%E8%A8%82%E9%96%B1%E6%9C%8D%E5%8B%99">企業級資安大型訂閱服務</a></div><div class="field-item odd"><a href="/tags/cisco-securex">Cisco SecureX</a></div><div class="field-item even"><a href="/tags/cisco-security-cloud">Cisco Security Cloud</a></div></div></div>
2024/5/3 12:25作者李宗翰https://www.ithome.com.tw/tech/162652
HPE Aruba修補網路設備作業系統危急漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月30日HPE Aruba Networking發布4月份資安公告，<a href="https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2024-004.txt">指出其網路設備作業系統ArubaOS存在10個漏洞</a>，影響Mobility Conductor（原Mobility Master）、Mobility Controller，以及由Aruba Central雲端控管的WLAN閘道、SD-WAN閘道等設備，且皆與透過PAPI通訊協定存取有關，攻擊者無須通過身分驗證就有機會觸發。</p> <p>其中，有4個漏洞：CVE-2024-26304、CVE-2024-26305、CVE-2024-33511、CVE-2024-33512被列為危急等級，皆為未經身分驗證的記憶體緩衝區溢位漏洞，CVSS風險評分都達到了9.8分。一旦遭到利用，攻擊者就有機會以特權使用者的身分，於作業系統底層執行任意程式碼。</p> <p>而這些漏洞涉及的元件，則有所不同。CVE-2024-26304與L2及L3的管理服務有關，而CVE-2024-26305則是出現在Utility處理程序，至於CVE-2024-33511為自動報告服務的弱點，而CVE-2024-33512，則在本機使用者身分驗證資料庫發現。</p> <p>對此，HPE Aruba Networking發布8.10.0.11、8.11.2.2、10.4.1.1、10.5.1.1、10.6.0.0版ArubaOS予以修補，並指出已終止維護的6.5.4至10.3版ArubaOS，以及8.6.0.4-2.2.x.x至8.7.0.0-2.3.0.x版的SD-WAN網路設備作業系統，也存在上述漏洞。</p> </div></div></div>
2024/5/3 11:59作者周峻佑https://www.ithome.com.tw/news/162653
LastPass完成自母公司GoTo分拆獨立
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>密碼管理服務業者<a href="https://www.businesswire.com/news/home/20240501835392/en/LastPass-Completes-Journey-to-Become-an-Independent-Company-with-Enhanced-Cybersecurity-Focus-and-Executive-Leadership-Team" target="_blank">LastPass宣布</a>已完成自母公司GoTo切割，成為一家獨立公司。</p> <p>LastPass表示，這是原名為LogMeIn的母公司GoTo履行它之前的承諾。<a href="https://www.logmein.com/zh/newsroom/press-release/2021/logmein-set-to-establish-lastpass-as-an-independent-cloud-security-company-amid-strong-market-demand" target="_blank">LogMeIn 2021年底宣布</a>將把LastPass分拆出來，以便公司能專注密碼安全服務發展。隨後2022年初LogMeIn<a href="https://www.logmein.com/zh/newsroom/press-release/2022/newly-rebranded-company-goto-disrupts-the-it-support-landscape-with-goto-resolve-a-new-modern-it-management-product-built-for-today-s-flexible-workforce" target="_blank">將公司改名為GoTo</a>，專門開發企業協同產品。</p> <p>獨立出來的LastPass將由既有持股的私募基金集團成立的LMI Parent公司管理，總部位於GoTo所在的波士頓。LastPass並將成立自有團隊和基礎架構。LastPass執行長仍為原來的Karim Toubba，另新增產品長、行銷長和資訊長。此外該公司也將成立專門的威脅情報團隊，提供鎖定LastPass、客戶的威脅活動之監控、分析及緩解。</p> <p>雖然LastPass強調是因應消費者及企業客戶強勁需求而獨立，不過可能先得重建客戶信心。2022年中LastPass<a href="https://www.ithome.com.tw/news/152730" target="_blank">公布被駭</a>，被竊取程式碼和技術資訊，但隨後「擠牙膏」式地透露消息，<a href="https://www.ithome.com.tw/news/155264" target="_blank">最後證實</a>連用戶密碼備份和加密金鑰也被駭客存取，並讓用戶接下來一年內接連遭遇攻擊。LastPass也因此被用戶<a href="https://www.ithome.com.tw/news/155011" target="_blank">集體控訴</a>告上法院。</p> </div></div></div>
2024/5/3 08:57作者林妍溱https://www.ithome.com.tw/news/162650
Google雲端AI新戰略
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1180-feng_mian_p1-open-zhi_hao_-960x420_kao_bei_0.jpg?itok=LyBIWBbf" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在4月Next大會中，Google Cloud一口氣發表眾多新產品和功能，幾乎都圍繞去年底多模態Gemini展開，還引進更強大、支援超長文本的模型版本，更要將雲端GAI觸角向下延伸到邊緣，瞄準下一個企業AI應用新戰場</p> </div></div></div>
2024/5/3 09:17作者余至浩https://www.ithome.com.tw/article/162607
Gemini為核心，Google雲端AI戰略聚焦雲服務和生產力GAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「GAI代理（Agent）將會翻轉開發者、企業與運算裝置和Web的互動的方式。」Google Cloud執行長Thomas Kurian在今年Next大會開場時這樣強調，不分產業，企業紛紛利用生成式AI推動業務成長、增強用戶體驗，以及改善開發者生產力和提升IT維運效率，「許多行業正因為GAI而開始改變。」</p> <p>過去一年，企業GAI應用的風潮席捲全球，成了三大公雲積極搶攻的新戰場，微軟靠著OpenAI助攻，去年在這場雲端GAI大戰中取得先機，而Google後來居上，靠著自家PaLM模型和GAI生產力工具來迎戰，AWS則是到去年底年會上，對於企業GAI應用布局才有比較完整的布局與揭露。</p> <p>Google在生成式AI布局動作頻頻。去年8月的Next大會成了Google生成式AI的火力展示，更是對微軟Copilot戰略的反擊。進到2024年，Google更加快GAI產品發布和更新的腳步，積極布局新一代企業生成式AI建置需求。</p> <p>在今年的Next大會上，Google Cloud執行長Thomas Kurian在開場時強調，今年的策略將聚焦於加速企業業務和產業數位轉型，他同時也揭露了在AI布局的多項成果，其中包括不到一年，已有上百家主要企業都已經開始在內部應用中採用Gemini，包括了麥當勞、德國銀行、HCA健康、USS、Mayo Clinic醫療機構等，在今年大會期間，更舉辦超過300場企業GAI應用實例，涵蓋金融業、零售業、醫療業、製造業等。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Vertex AI和各種雲端服務中開始引進新一代Gemini 1.5模型</strong></span></span></p> <p>Google在今年2月發表性能更強大、能夠支援超長文本的Gemini 1.5多模態模型，更成為今年Next最受囑目的焦點。</p> <p>在Next大會，Google將這款最新版Gemini模型上架到生成式AI開發平臺Vertex AI的模型花園中，Gemini 1.5模型不僅可同時支援文字、圖片、影片、聲音及程式碼的輸入，而且在Token處理數量上也比1.0版多出了31倍，甚至比GPT-4 Turbo高出7.8倍，最多可支援輸入長達100萬個Token，相當於一次能處理1小時的影片、11小時的音訊或逾70萬字的內容。</p> <p>Vertex AI先提供了中階款模型Gemini 1.5 Pro的公開預覽，並推出兩個不同規模的版本，分別能處理12.8萬個和100萬個Token數量的資料。Google強調，Gemini 1.5 Pro模型在輸出品質上足以媲美前一版最高階Gemini 1.0 Ultra模型，同時能減少運算量。</p> <p>Gemini 1.5 Pro還支援處理語音音訊串流和視訊的音訊，並具備跨模態分析功能，能夠同時分析文字、圖片、視訊和音訊等不同類型的資料，此外，提供高品質的轉錄功能，可用於搜尋和分析。例如，可以使用Gemini 1.5 Pro對財報電話會議或投資人會議影片或錄音進行搜尋、分析和回答問題。</p> <p>目前已有United Wholesale Mortgage、SAP、TBS、Replit等企業開始在Vertex AI平臺上使用新版模型建立新的AI應用，包含AI驅動的顧客服務代理、學術指導導師，還能用AI分析大量複雜的財務文件、檢測文件中資訊不一致，以及用自然語言進行資料集的探索。</p> <p>最新的Gemini 1.5 Pro，現在也能在Gemini Cloud Assist雲端助手服務中以私人預覽方式提供，一次可以輸入最多30萬行的程式碼，意味著，可以在程式庫中執行大規模程式碼檢索、除錯及測試，亦有助於加快企業許多老舊系統的現代化改造，將大批老舊程式語言轉為現代語言。Google Cloud平臺與技術基礎架構總經理Brad Calder強調，Gemini程式開發AI助手讓開發人員的工作效率因此提高30%。</p> <p>在Next大會上，Google提出了5種企業上雲轉型的新路徑，可從五種雲端服務類型開始上雲，分別是基礎架構雲、開發者雲、數據雲、資安雲、協作雲。Google也將最新Genini模型整合到這幾類雲服務中，像是協助回答問題，提供AI預測等。</p> <p>以基礎架構雲為例，Google開始在企業資料中心部署的GDC分散式邊緣設備上提供各種開放AI模型，如Gemma、Llama等，並推出生成式AI搜尋支援功能，讓使用者可以透過自然語言搜尋從本地資料中心或邊緣環境上快速檢索和分析內部相關的資料和內容，從而提高員工工作效率和知識共享。</p> <p>Google更推出了多項基礎架構的技術創新，可以用來支持龐大AI發展的需求，像是正式推出新版的TPU v5p，還推出A3 Mega、Nvidia Blackwell GPU運算平臺，支援大規模的GAI模型訓練與推論。Google更展示首款專為資料中心設計的Arm架構處理器Axion，跟同級的x86虛擬機相比， Axion效能提高了50%，能源效率也提升60%，未來有可能將其與TPU一同用於GAI模型服務。目前這款處理器已在Spanner、BigQuery、GKE、Google地球引擎和YouTube廣告服務中使用。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1180-%E5%B0%81%E9%9D%A2-600-3.png" style="width: 584px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>在雲端應用生命周期管理上，Google推出名為Gemini Cloud Assist的雲端維運助手的私人預覽，也就是先前專用於IT維運設計的Duet AI助手進化版，不只採用最新Gemini模型，能夠涵蓋應用程式生命週期的管理，提供包括目標設計、安全、維運指導、故障排除等多方面輔助功能。另外提供效能和成本優化的建議。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／余至浩）</span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Google公布新生成式AI產品架構</strong></span></span></p> <p>Google Cloud在會中提出一個生成式AI產品架構藍圖，將生成式AI產品架構從過去生成式AI開發工具為主的開發架構，變成是擴大延伸到各種雲端服務的產品架構。</p> <p>這個產品技術框架可以進一步分為4層，雖然和過去生成式AI開發平臺Vertex AI都是4層架構，但兩者在本質上有很大的差別。新架構最底層是AI Hypercomputer超級電腦基礎架構，專門針對生成式AI強化推出的基礎架構，提供AI模型訓練和服務所需的各種AI加速硬體、軟體框架和相關系統資源，與Vertex AI的底層是以一般性的雲端基礎架構為主有所不同。</p> <p>再上一層是Gemini模型。原本Gemini只是Vertex AI模型花園中的一個模型，現在被拆分出來，成為與Vertex AI開發工具並重的另外一個重要的功能。這是因為Gemini模型已經變成支援Google Cloud所有產品的重要核心基礎模型。第三層是生成式AI平臺Vertex AI，包含了AI Studio、Colab、VS Code等各種GAI開發工具。最上層則是Google雲端服務和辦公生產力Workspace專用的Gemini助手，以及企業自建的生成式AI代理。</p> <p>新產品架構下的Vertex AI平臺，現在進一步加強企業GAI 代理開發的支援。</p> <p>例如在模型建置上，Google將Google搜尋作為可信來源的參考基準，推出Grounding with Google Search新服務，利用Google搜尋結果比對模型生成的內容，藉此提高回應品質並減少幻覺。在模型微調方面，Vertex AI提供簡化提示設計，讓開發者更容易撰寫出高品質的提示，並推出新提示管理工具，可用於管理、追蹤，比較不同提示版本的回應品質。此外，模型部署到正式環境前，開發人員也能利用新的模型評估機制AutoSxS比較兩個LLM模型版本的差異對於最後模型推論的影響，以此選擇最佳模型版本用於生產環境。</p> <p>Google這次推出了一站式AI解決方案，稱作Vertex Al Agent Builder，該方案進一步結合「搜尋」和「對話」兩類GAI應用套件，能快速在企業內部應用建立和部署No Code對話式生成式AI代理，且可與企業系統相連接，讓生成的回覆內容可以貼近企業的實際情況。</p> <p>Thomas Kurian指出，企業在Vertex AI中可以快速自建GAI代理，來執行不同任務，像是有顧客服務的AI代理、員工管理的AI代理，還有創意設計、數據分析、程式撰寫和資安等不同的AI代理。「每一個GAI代理都具有多模態執行能力，能夠同時處理多種資訊。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1180-%E5%B0%81%E9%9D%A2-600-1.png" style="width: 589px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Google公開了最新的TPU模組機架式機櫃（左圖）和雲端GPU機櫃（右圖），用來提供包含Gemini在內的GAI模型訓練和服務。每臺TPU模組機櫃最多可容納64個TPUv5p模組。</strong><span style="font-size: 14px;">（攝影／余至浩）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>雲端AI維運助手不只提供雲成本優化的建議，還支援目標驅動設計</strong></span></span></p> <p>Google今年雲端產品發布中另一個重要焦點，著重在加強其雲端服務GAI整合能力，與去年剛推出時相比，現在在Google雲端服務中不僅可以使用GAI助手完成更多任務，進一步也將其擴大到更多的服務中。</p> <p>Google今年開始以生成式AI助手Gemini為品牌，應用在各種雲端服務中，推出軟體開發AI助手、應用生命周期平臺的AI維運助手、資料分析平臺的AI分析助手，BI平臺的AI洞察助手，資料庫的A管理助手，以及資安的AI防護助手。</p> <p>AI維運助手的最大特色是，引進最新Gemini模型，涵蓋應用程式生命周期的維運管理。</p> <p>例如，AI維運助手現在能支援目標驅動設計的功能，讓維運人員可以用自然語言描述建立待測試的目標和使用者旅程流程，進而產生自訂的測試腳本，根據需求進一步提供架構配置、部署或設定，例如提供網路配置或協助三層架構應用程式部署、理解Terraform腳本等。</p> <p>此外，還能蒐集和分析Cloud Logging中各種日誌，提供IT團隊相關摘要和解釋，並提供故障排除的建議。甚至在身分權限控管上也能使用AI維運助手提供IAM身份識別與存取管理的建議，例如根據企業資料、加密偏好以及合規性需求在加密金鑰建立過程中提供協助。</p> <p>服務效能和成本優化也是AI維運助手這次新增的功能之一。例如可以偵測哪些叢集是在開發或測試環境中執行，或是被用於實驗的叢集，還可識別資源過剩的叢集並提供建議，讓管理者可以重新調整資源分配，降低雲端花費。</p> <p>在資料服務的AI助手上，Google Cloud持續強化旗下資料產品與Gemini的整合。舉例來說，現在在BigQuery資料倉儲中，資料分析人員可以自然語言方式向Gemini助手提需求進行資料準備、查找、分析及治理，並且能夠使用Gemini 1.0 Pro，執行多模態和進階推理的功能。</p> <p>不僅如此，BigQuery與Vertex AI之間的結合更緊密，使用者可以直接在BigQuery中存取Vertex AI中的AI 型，代表企業可以將這些AI模型、ML operators和統計分析功能納入到企業內部資料工作流程中，進行多模態析，包括結構化與非結構化資料。在BigQuery中能透過Vertex AI模型API處理文件檔案和音訊。不過目前這些Gemini功能大多處於預覽階段。</p> <p>在應用開發輔助方面，Google宣布其程式撰寫AI助手現已達企業級的安全和可靠，並支援最新的Gemini 1.5 Pro，可以在程式庫中執行大規模程式碼檢索、除錯及測試。在雲端資安防護方面也強化了與Gemini的整合。例如，將Gemini整合至SecOps維運流程中，並開始在威脅智慧情報服務與SCC安全指揮中心中提供相關的Gemini服務。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1180-%E5%B0%81%E9%9D%A2-600-2.png" style="width: 383px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>除了推出算力更強的AI硬體，Google首款資料中心設計的Arm架構處理器Axion首次公開亮相，未來有可能將其與TPU一同用於GAI模型服務。目前這款處理器已在Spanner、BigQuery、GKE、Google地球引擎和YouTube廣告服務中使用。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／余至浩）</span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>企業辦公生產力工具深度整合Gemini能力，還增添影片創作AI助手Vids</strong></span></span></p> <p>企業生產力應用是另一大雲端GAI戰場。為了力抗微軟M365，Google Workspace在今年二月開始引進Gemini模型，加強對Workspace內容的多模態進階理解能力，Google同時也將Workspace的AI助手Duet AI改名為Gemini，並推出商用版與企業版，提供更多企業級功能。</p> <p>Workspace目前擁有超過30億使用者和超過1,000萬付費訂閱客戶。Google Workspace的副總裁兼總經理Aparna Pappu表示，在近8個月內，在Workspace中使用Gemini服務的用戶超過一百萬人，還有上千家企業採用，包括Uber、Verizon、Sports Basement等。</p> <p>Workspace今年產品更新一大重點就是GAI。Gemini現在已經能夠跨Workspace產品線生成內容，Chat和Docs中都開始使用最新的Gemin模型。</p> <p>在Gmail中新增語音提示和即時潤色，只需向Gemin說出「幫助我寫作」，就能完成草稿，並且一鍵轉換為完整的電子郵件。Meet上新增了AI會議和傳訊的擴充功能，每位用戶每月10 美元，可以提供「為我做筆記」、「為我翻譯」等功能。還可以自動檢測和翻譯Meet中的字幕，最多支援 69 種語言，並在預覽版Chat中自動翻譯訊息、對話摘要和問題回答，將於今年稍後推出。</p> <p>Google也透過AI加強Workspace的資安防護，推出AI Security商用附加服務，能夠協助資安人員自動分類Google硬碟中的敏感文件並提供防護。此外在測試版Gmail中開始提供DLP資料外洩防護的控制和分類標簽功能，甚至之後將實驗後量子加密PQC演算法納入其中。</p> <p>Workspace這次還推出了全新的AI影片創作生產力服務Google Vids。這是一個整合影片、寫作、製作和編輯的AI助手，讓即使是不熟悉影片創作的行銷人員也能快速製作出各種影片內容，用於產品行銷、人才培訓、團體慶祝等活動。 Vids雖然採用了Gemini模型，但與OpenAI的短片生成AI模型Sora不同，並非生成完整的影片內容，而是根據使用者的描述從影片資料庫中找出相應的影片、圖片和背景音樂的場景，然後將它們整合在一起，協助使用者完成分鏡腳本、後製和編輯。這項實驗性服務預計在6月推出。</p> <p>隨著GAI應用在2024年大爆發，Thomas Kurian強調，企業正在迎來一個GAI代理的新時代，並且建立在全新、完全開放的AI平臺之上，「我們正在重塑雲端基礎架構，以因應此一趨勢。」</p> <p>不只搶攻雲端GAI，Google正在透過在手機上執行的輕量Gemini模型，以及用相同技術所開發的開源邊緣AI模型Gemma，瞄準企業邊緣GAI應用需求。</p> </div></div></div>
2024/5/3 06:00作者余至浩https://www.ithome.com.tw/news/162605
Google搶攻邊緣GAI的兩大關鍵策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我們的目的是透過邊緣GAI開源模型Gemma向開發者社群提供Gemini中可用功能。」Google Cloud執行長Thomas Kurian在Next會前一場亞太媒體活動上這樣強調，Google 將現有的Gemini模型推出了一個在Android裝置上跑的輕量版本，同時推出一個相同技術的開源版本，也就是Gemma。Gemini要利用Gemma搶佔邊緣GAI應用市場，同時借助開源社群將Gemini影響力擴大到更多應用領域。這是Google在邊緣AI的一大重要策略。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>靠龐大而成熟的Android生態系，瞄準行動裝置端中的GAI模型</strong></span></span></p> <p>Google去年底推出了可以在手機上執行推論的輕量版Gemini Nano模型，讓原本只在雲端伺服器上執行的Gemini模型，現在能夠瘦身進到行動裝置中，可離線執行生成式AI應用。</p> <p>Google不只率先推出能在手機上執行的GAI模型，還利用其龐大而成熟的Android生態系，使得Google在下一波邊緣GAI浪潮中，比起其他競爭對手更具優勢。尤其，現今全球擁有超過30億臺Android裝置，包括行動裝置、邊緣設備及IoT裝置等，未來都可以使用Google的GAI模型。</p> <p>Google一開始先將Gemini Nano整合到自家旗艦手機Pixel 8 Pro系列中，隨後在三星Galaxy S24手機中開始提供Gemini Nano模型的支援。在Next大會上，Google擴大了其支援的裝置，新增了Oppo和OnePlus兩款手機品牌，而且不限於旗艦機型，未來甚至中階手機也能夠執行。例如聯發科二款新晶片組未來將支援Gemini Nano，包括中階的Mediatek Dimensity 8300等。</p> <p>Google迄今並未沒有透露具體的硬體限制，但需要執行Gemini Nano模型，從現有手機硬體規格來看，除了配備AI晶片Tensor G3，以滿足生成式AI模型推論的運算需求之外，同時得要配備至少8GB或以上的記憶體。</p> <p>為了在行動裝置中能更好地執行LLM語言模型，Google提出了新框架，在原本的Android作業系統中新增了AI Core層，這是一個新的Android系統層級服務，可用來提供Gemini Nano模型的存取，同時提供模型管理、runtime和安全性等功能，以此提供模型更新並確保模型輸出的安全性。</p> <p>透過AI Core，開發者可以很容易在Android裝置上建立和執行LLM，並可以透過SDK與AI Core進行溝通，讓在OS上執行的App使用Gemini的功能。</p> <p>AI Core提供了LoRA模型微調功能，可以執行利用LoRA進行微調的推理，同時也能夠調度底層的硬體，如TPU或VPU，來支援模型推論所需的運算需求。目前AI Core僅包含在Android 14版本中，因此要使用AI Core，需將作業系統升級至該板本。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>安卓手機上現有的3種GAI應用</strong></span></span></p> <p>Google初期在Android行動裝置中提供3類Gemini應用，包括錄音App摘要、Gboard中的智慧回覆和聊天傳訊改寫。舉例來說，在Pixel 8 Pro手機的轉錄工具App中，Gemini Nano模型可以提供會議音檔的重點摘要。而在Gboard工具上則會根據鍵盤上的上下文輸入提供下一段文字的建議。在聊天訊息中，則能夠根據對話內容提供內容改寫的建議，並可在離線情況下執行這些裝置上的GAI應用。</p> <p>不過，現階段這些應用仍處於私人Beta測試階段，僅提供特定的開發人員進行測試使用。</p> <p>除了可離線執行裝置上GAI應用，使用者也可以利用Gemini API在行動裝置中執行較複雜的多模態AI任務，例如經由網路使用雲端上的中型模型，如Gemini 1.0 Pro，就能夠在手機上使用功能更強的Gemini助手回應和處理各種Workspace內容。</p> <p>在一場Android裝置GAI技術發展演講中，Google Android開發者關係工程師Thomas Ezan提到將GAI模型部署到Android裝置上的好處在於，資料可以就近在手機裝置上處理不需要傳雲，對於企業隱私保護性也較高，而且模型回應速度更即時，甚至遇到斷網也不怕。此外，企業執行模型推論增加的雲端成本也能降低。</p> <p>Thomas Ezan指出，Google目標是要讓每支App，都能夠使用生成式AI功能，甚至還要將Gemini變成是下一代App的關鍵必備能力。他預告接下來，還有其他功能陸續推出，包括裝置上個人化GAI功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1180-%E5%B0%81%E9%9D%A22-600.png" style="width: 599px;" /></p> <p><span style="color:#696969;"><strong>Google初期在Android行動裝置中提供3類Gemini應用，包括錄音摘要、Gboard鍵盤智慧回覆和聊天傳訊改寫。舉例來說，Pixel 8 Pro手機使用者可以在轉錄工具App中使用Gemini Nano模型提供會議音檔的重點摘要。此外，Gemini也能夠根據鍵盤上的上下文輸入提供文字的建議，而且聊天訊息對話過程中，也能根據原始內容提供改寫的建議。</strong><span style="font-size: 14px;">（攝影／余至浩）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Gemini要利用相同技術的GAI開源模型Gemma進軍邊緣AI</strong></span></span></p> <p>Google在邊緣AI策略，除了推出可在裝置上跑的Gemini Nano模型，還將另一款採用相同技術研發的邊緣GAI模型Gemma開源，要借助開源社群的力量將Gemini影響力向外擴散到更多應用領域之中，這是Google在邊緣AI另一大重要策略。</p> <p>Gemma是Google在今年2月釋出的一款輕量級邊緣GAI開源模型，用來挑戰臉書Meta的LlaMa。Gemma正式採用Apache-2.0授權釋出，因此其更易於散播，並且可以在桌機、筆電，甚至行動裝置、IoT裝置上執行。</p> <p>Gemma採用與Gemini模型系列相同的架構、訓練資料和訓練方法，利用了6兆個Tokens的資料集（包含網路文檔、數學和程式碼）進行訓練，而且同樣基於安全與負責任的AI原則設計。不過，與Gemini不同的是，Gemma並非多模態模型，僅能支援單一資料型態，目前僅支援英語輸入。</p> <p>Gemma發布後，Google隨後將Gemma和其商用GAI模型Gemini API並列在Google AI for developer頁面的GAI工具列表中，提供給開發人員使用，表明對其未來發展的重視。</p> <p>在會前一場亞太媒體活動上，Thomas Kurian透露對於這款邊緣GAI模型未來發展的企圖，他強調：「Gemma建立在與Gemini相同的基礎技術和能力上，目的是吸引開發者生態系統的加入，並透過Gemma向開發者社群提供Gemini中可用功能。」</p> <p>不只能夠透過社群回饋持續提高和改進Gemma模型的能力，Google同時也能將這些改進應用在正式的商用Gemini產品中，使模型表現越來越好，甚至借助開源社群的力量將Gemini影響力向外擴散到更多應用領域。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>借助開源力量將Gemini影響力向外擴散到更多應用領域</strong></span></span></p> <p>開發人員現在已經可以在Android裝置中安裝和執行Gemma，透過MediaPipe 釋出的實驗性LLM推論API，可以支援包括Gemma 2B模型在內的推論任務。Gemma現階段提供了70 億和20 億參數兩種版本，前者用在GPU和TPU上的應用部署和開發，後者則是專用在CPU為主的裝置應用上。</p> <p>不過在GPU的裝置上執行20億和70億的Gemma模型，分別需要至少8GB以上和24GB以上的記憶體。</p> <p>Google雖然不是唯一一家將自家GAI模型開源的公雲業者，例如微軟最近釋出了SLM模型Phi-3-min，同樣可以在行動裝置上執行。但是Google在Next大會上進一步在雲端LLM開發平臺Vertex中開始提供Gemma系列模型，包括程式碼生成模型CodeGemma等，讓企業可以在自家LLM應用中開始採用。</p> <p>此外，Google在其GDC分散式雲端服務中開始提供Gemma模型的支援，進一步將Gemma應用到了靠近資料所在的企業邊緣環境，例如工廠等。</p> </div></div></div>
2024/5/3 06:00作者余至浩https://www.ithome.com.tw/news/162606
內部資訊單位要轉為服務供應商，永豐餘靠IT推動三軸數位轉型
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣有家本土百年老字號的造紙廠，家中每天用的紙品，像是五月花、柔情、得意等常見品牌，多出自這家公司之手，甚至不只賣紙，這家造紙公司還賣起了食品、生技，甚至科技、能源等服務。</p> <p>跨足不同行業，讓永豐餘控股（以下稱永豐餘）在經營上發展出和一般傳產不一樣的經營模式，特別是在IT和數位科技運用上，永豐餘就像是一家資訊服務公司。早在20多年前，永豐餘開始強調IT自主開發，進一步把IT部門獨立成立新公司，提供資訊服務和技術支援，推動各子公司的數位化發展，還開始擁抱容器微服務架構，加速應用現代化轉型。未來還打算將這家獨立IT公司變成一家服務供應商，開始提供對外服務。</p> <p>在2022年加入永豐餘擔任資訊負責人的元信達資訊總經理郭興恩強調：「未來更要透過IT支援永豐餘的三軸轉型，朝向低碳化、數位化和智慧化發展。」</p> <p>造紙起家的永豐餘，早期專注於提供上下游製造一條龍的整合服務，後來跨出造紙核心本業，開展多元化的集團式經營，多年下來，橫跨科技、金融、生技、食品、能源等多個領域。目前永豐餘旗下有超過百家轉投資子公司，其中多數子公司的IT，由永豐餘IT部門，統一負責管理和維運。</p> <p>永豐餘在2000年就將集團資訊中心獨立成立新公司，也就是元信達資訊，不只從財務上百分之百持股，可以說明兩家的關係十分密切。郭興恩的直屬主管，就是身兼元信達董事長的永豐餘投控董事長，郭興恩不只直接向她匯報，還能參與投控經營團隊會議，提出各種投控資訊IT的規畫。此外，元信達舉行經營會議時，永豐餘經營者也會參與，共同討論未來IT策略方向，來支援永豐餘業務發展所需。</p> <p><span style="font-size:28px;"><strong>永豐餘展開核心ERP大改造，因應未來營運的發展</strong></span></p> <p>資訊部門在獨立成為公司後，接著展開永豐餘一系列的數位化推動計畫，例如對外建構電子化的完整供應鏈體系，並全面將總部財務營運作業e化，此外，資訊團隊還在2014年建立集團資訊制度管理規範，完成集團郵件系統上線等。</p> <p>在2015年，永豐餘高層當時做了一個重要決定，決定展開核心ERP大改造，要透過翻新ERP，來因應未來營運的發展。這是永豐餘有史以來，最重要的一次核心系統轉換。</p> <p>永豐餘採分階段導入新一代ERP，先從臺灣先上線，包括林漿紙事業群等先推出，在系統穩定運作一段時間後，大陸廠也跟進，前年在越南廠開始導入。</p> <p>導入新系統的同時，永豐餘資訊團隊一併對於旗下子公司、各廠展開IT架構的轉換，捨棄了過去各事業體各自部署一套ERP的做法，轉而採用集中式的架構，在總部提供一套ERP來支援子公司或海外工廠使用，來達到統一管理。</p> <p>郭興恩表示，新ERP上線後帶來的最大好處是，可以透過一套統一的ERP系統，將各子公司數據和資料統一管理，實現統一結帳和統一帳本，進而節省人力成本，縮短結帳時間，從一個月縮短到只需5天就能完成。</p> <p>在營運面上也有諸多好處。例如以前資料未經整合，無法即時更新庫存資訊，難以做到採購整合，現在則大大改善這個情況，而且通過建立統一資材跟採購中心，可更有效地進行採購，擁有更大的議價能力。</p> <p>不只核心營運系統要統一，隨著許多新併購公司加入，永豐餘還進一步開始將各子公司的IT和網路基礎架構也一併納管。基於資訊向上集中政策，永豐餘針對控股超過50%的重要子公司IT基礎設施由總部IT負責統籌和管理。同時對這些子公司進行分級，決定哪些應用系統的使用上需要集中統一管理。郭興恩上任後，更貫徹執行將這些政策落地。</p> <p>他形容，永豐餘IT就像是一個中央IT，負責統籌和管理這些共通性應用和服務，讓這些服務可以重複利用，而無需重新建置。此外，他們還建構專屬私有雲，根據每家公司的需求提供所需運算資源和儲存空間，供各子公司使用。他表示，這樣做的好處可以替公司節省成本，同時讓子公司遵循一套統一標準，並且進一步強化資安防護。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1180-CIO-%E6%B0%B8%E8%B1%90%E9%A4%98%E9%9B%86%E5%9C%98_600_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89_2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>IT架構大翻新，轉而擁抱容器化微服務新架構</strong></span></p> <p>過去20多年，永豐餘IT技術架構也歷經了幾次的重要轉變，從傳統的主從式架構逐漸轉向Web應用的架構，到2017年導入伺服器虛擬化，集中整併IT架構，郭興恩在2022年上任後進一步推動向容器化微服務架構的轉變。</p> <p>為何開始擁抱這種新架構？郭興恩指出，隨著新ERP導入以及資訊科技發展進入十倍速的時代，IT架構不斷翻新。同時，現今的運算能力不斷增強，雲端興起與網路頻寬加大，也給IT帶來新挑戰，因此，必須不斷緊跟新科技的腳步，持續升級系統，朝向現代化發展。</p> <p>尤其，永豐餘投控旗下近百家子公司，這些公司的規模大小不一，需求也各不相同，為了能更好地滿足各子公司的需求，就需有一個更具彈性的IT架構，而透過容器化微服務架構，能夠將原本的系統拆成更小型的功能模組，變成是如同積木一樣的組合，在這種架構下，「IT團隊可像堆疊積木般，根據每家公司的需求組合成不同的功能，應對多變的業務應用情境」郭興恩指出。</p> <p>採用這種IT架構還有另一個好處是，對於敏捷開發的契合度也更高，因為可以將應用不同功能各自獨立開發、測試與驗證之後，再組合成完整的服務。</p> <p>為了配合這樣的應用開發方式，永豐餘IT組織也經過調整，改為敏捷式組織，開發方式從過去的瀑布式開發改成Scrum敏捷開發，並先從系統開發部開始推行，接著才展開系統的改造。郭興恩說，現在團隊每天都有站立日會，並透過迭代式開發逐漸將舊有系統翻新成現代化。</p> <p>目前永豐餘已經在一些新的應用開發中採用容器架構，如智能助理，但對於現有系統的現代化改造卻相當耗時，需要將以前.NET的MVC架構轉成現代化的容器技術平臺架構，因此，在決定系統改造時，郭興恩採取了更審慎的態度，優先考慮選擇系統關鍵性高、已經使用很長時間且存在資安疑慮的系統進行改造。</p> <p>除了IT架構的轉換外，目前永豐餘投控IT團隊規模僅不到百人，但要應對近百家子公司IT和數位化需求，成了IT部門所要面對的考驗之一。為此，在開發優先順序上，郭興恩採取了不同的策略，對於各家子公司提出的開發需求，會優先考慮共用性高、成本效益好的共通性模組和應用，或是政府要求或商業關鍵應用優先開發。</p> <p>就像其他企業IT主管遇到的挑戰，郭興恩同樣也面臨IT人力不足的問題，如何在現有資訊人力的調度下，發揮最大的效益，也成了他任內一大任務。</p> <p>郭興恩擔任資訊負責人後，採取了一系列改革措施，一方面將系統開發部的多個部門整併為一個部門，捨棄過去一部門對應到一家公司技術支援的做法，讓IT開發人力的資源可以共用；另一方面，他也相當重視IT人才的轉型，鼓勵IT人員除了原有的工作之外，可以斜槓拓展新技能、學習新知識，因應快速變化的IT環境。</p> <p>「更重要的是知識與合作的再進化。」他指出，現在團隊已不再是以前的單打獨鬥，而是透過CI/CD的方式適應更敏捷的專案。因此，許多各自領域的知識可以互相共享，團隊成員不再僅專注在個人擅長的領域，必須能夠將其他流程面的知識也納入學習的範圍中，這樣做可以拓展人員的知識，學到更多更廣的事物。</p> <p><span style="font-size:28px;"><strong>靠IT推動永豐餘三軸轉型</strong></span></p> <p>永豐餘2023年提出未來發展目標，將朝向低碳化、數位化和智慧化三軸轉型。引進這種新的IT架構和應用開發方式，也就更能夠運用IT協助永豐餘加速轉型。</p> <p>像在智慧化方面，永豐餘自2019年也積極發展智慧製造，導入IoT、AI相關技術提高生產效率和品質。例如在造紙製程中導入自動虛擬量測（AVM）進行品質檢測，能夠提前偵測出異常的紙張，確保生產品質。目前已在中華紙漿久堂廠採用。</p> <p>AI不只應用在工廠端，因應近來爆紅的生成式AI浪潮，永豐餘IT團隊去年利用微軟Azure OpenAI服務，開發出了自己的生成式AI智能助理，供內部使用，協助進行內容翻譯、會議重點摘要等工作。</p> <p>不只要將傳統工廠轉型智慧工廠，永豐餘近幾年也積極投入ESG永續的發展，甚至透過IT輔助實現減碳的目標，例如建立集團碳平臺，讓各子公司能夠透過這套平臺即時查看工廠的碳排資訊等，作為改善碳排的參考依據。這套平臺去年底已推出上線。</p> <p>不僅如此，永豐餘在2022年建置區塊鏈供應鏈金融平臺，通過將供應鏈商流、金流、資訊流串聯到同一區塊鏈帳本中，要解決短鏈運籌模式下資訊片斷及無法驗證交易真實性的風險問題。永豐餘一開始先將平臺提供集團內的中心廠在使用，後來更擴大至上下游供應商。自上線到今年三月底，融資金額已經超過11億。今年更計畫將區塊鏈節點延伸到醫療器材產業鏈中。</p> <p>郭興恩表示，透過這套平臺，當中心廠跟供應商下單後，如果遇到供應商資金不足或帳期較長需要向銀行借款時，合作的銀行就可以根據訂單在平臺上查核資訊，包括應付帳款。由於些資料是從企業ERP系統取得，可作為可信化的債信數據，銀行可以從平臺上直接查看，有助於加快審核程序，讓供應商能夠獲得融資。</p> <p>正是因為區塊鏈供應鏈金融平臺和碳服務平臺都是建立在永豐餘的核心事業的基礎上，他指出，藉由這兩個平臺的擴展，未來有機會發展出新的商業模式，從循環經濟開始擴展永續生態圈聯盟鏈，在此策略之下，「IT能藉此從共享中心轉型為利潤事業，不只對內服務，還能創造更多價值。」郭興恩表示。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> CIO小檔案 </span></span></strong></p> <p><strong>元信達資訊總經理郭興恩</strong></p> <p>學歷：雲林科技大學資管所碩士</p> <p>經歷：在資訊服務產業擁有20年的IT資歷，曾在許多大型國際軟硬體與資訊服務公司待過，先後擔任過Oracle首席顧問、IBM諮詢副合夥人與DXC Technology臺灣總經理，2022年8月正式加入永豐餘擔任資訊負責人，帶領IT團隊推動集團三軸數位轉型</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1180-CIO-%E6%B0%B8%E8%B1%90%E9%A4%98%E9%9B%86%E5%9C%98_250_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.JPG" style="width: 250px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>永豐餘投資控股</strong></p> <p>●地址：高雄市大樹區久堂里久堂路14號</p> <p>●網址：<a href="http://www.yfy.com">www.yfy.com</a></p> <p>●成立時間：1924年</p> <p>●主要業務：林漿紙事業群、工紙紙器事業群、消費品事業群、以智慧能源及循環經濟創新綠能等相關業務的碳管理事業群等</p> <p>●員工數：11,000人以上</p> <p>●董事長：劉慧瑾</p> <p>●資本額： 166億元</p> <p>●年營收：738億元（2023年）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：總經理</p> <p>●資訊部門主管姓名：郭興恩</p> <p>●資訊部門名稱：元信達資訊</p> <p>●資訊部門人數：70人以上</p> <p>●資訊部門分工：營運系統部、系統開發部、應用系統部、數據與分析部、資訊安全部、創新專案管理部、行政管理部</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2000年：永豐餘將資訊部門獨立成立元信達資訊</p> <p>●2002年：推動永豐餘體系供應鏈電子化計畫</p> <p>●2006年：開始導入財務營運總部電子化</p> <p>●2014年：導入集團新世代郵件系統、建立集團資訊制度管理規範</p> <p>●2015年：集團共用資通視訊系統推出上線、導入集團新世代ERP應用系統</p> <p>●2016年：導入集團BPM企業流程管理系統</p> <p>●2017年：建置集團BI企業管理與高階戰情室平臺、導入客戶服務管理平臺、導入MES生管系統</p> <p>●2020年：建置E-Platform電商下單平臺</p> <p>●2022年：成立永豐餘區塊鏈供應鏈金融平臺聯盟計畫，建置完成SCM供應鏈管理平臺、成立集團(投控與中華紙漿)資安委員會、E-Box營業下單系統臺灣區上線</p> <p>●2023年：集團碳平臺上線</p> <p>●2024年：永豐餘區塊鏈供應鏈金融平臺跨入醫療器材產業鏈</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1180-cio-yong_feng_yu_ji_tuan_960_she_ying_hong_zheng_wei_.jpg" width="960" height="420" alt="" title="元信達資訊總經理郭興恩（攝影／洪政偉）" /></div></div></div>
2024/5/3 06:00作者余至浩https://www.ithome.com.tw/people/162608
【資安日報】5月2日，Docker Hub遭濫用，被用來散播惡意程式與架設釣魚網站的映像儲存庫比例高達2成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在針對Kubernetes環境的攻擊行動當中，駭客最常用來傳送惡意程式的方式，就是藉由映像檔儲存庫Docker Hub，透過拉取惡意Docker映像檔來進行，但如今有另一批人馬透過完全不同的角度來濫用此映像檔儲存庫。</p> <p>資安業者JFrog揭露最新一波攻擊行動，並指出其共通點，就是駭客建立的儲存庫都沒有Docker映像檔。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162636"><strong style="font-size: 22px;">攻擊者濫用Docker Hub映像檔儲存庫出現新的手法！近3百萬儲存庫被用於推送惡意程式、架設釣魚網站</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Docker-Img5-1-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Docker-Img5-1-1.jpg" style="width: 300px; float: right;" /></a></p> <p>攻擊者濫用Docker Hub映像檔儲存庫的情況，最常見的手法是上傳帶有惡意元件的映像檔，再從目標Kubernetes環境拉取，而能於受害系統植入惡意程式，從事相關攻擊。但也有其他駭客以不同方式濫用這種儲存庫，其手法的共通點，就是沒有上傳Docker映像檔。</p> <p>資安業者JFrog揭露濫用映像檔儲存庫Docker Hub的攻擊行動，就屬於這種例子。研究人員發現這波攻擊行動的原因，在於他們找到近460萬個並未包含Docker映像檔的儲存庫，研究人員進一步清查，結果發約有281萬個被用於攻擊行動，占全部的18.7%，換言之，平均每6個Docker Hub儲存庫就有1個被用於惡意行為。</p> <p>這些遭到濫用的Docker Hub儲存庫，大致上攻擊者將其用於3種類型的攻擊，其中大部分是被用於聲稱提供盜版軟體、遊戲作弊程式下載器（Downloader）的惡意軟體攻擊，有1,453,228個，占整體儲存庫的9.7%；其次是佯稱提供電子書的網路釣魚攻擊（eBook Phishing），有1,069,160個儲存庫被用來從事這類攻擊，占整體的7.1%。</p> <p><a href="https://www.ithome.com.tw/news/162640"><strong style="font-size: 22px;">從雲端服務下載檔案要小心！惡意軟體Latrodectus透過多次回覆釣魚信夾雜此類誘餌，並搭配冒牌Cloudflare圖靈驗證降低心防</strong></a></p> <p>研究人員ProxyLife與Cryptolaemus指出，攻擊者藉由回信互動型的網釣郵件（reply-chain phishing emails）來散布惡意程式Latrodectus，當中通常會含有PDF附件或是URL，一旦收信人依照指示開啟附件，或是點選URL，就有可能看到檔案存放於微軟Azure雲端空間的訊息。</p> <p>若是點選下載文件檔案的按鈕，收信人就會被導向偽造的Cloudflare圖靈驗證流程，要求解開簡單的數學問題。研究人員指出，駭客這麼做的目的，就是為了迴避資安系統的偵測。</p> <p>值得留意的是，一旦收信人輸入正確答案，電腦就會自動下載經重度混淆處理的JavaScript指令碼，執行後將從特定URL下載MSI安裝檔，於受害電腦植入DLL程式庫Latrodectus，並透過rundll32.exe載入，在後臺運作，等待接收惡意酬載或是攻擊者的命令。</p> <p><a href="https://www.ithome.com.tw/news/162633"><strong style="font-size: 22px;">惡意程式Cuttlefish鎖定小型路由器而來，企圖透過監控流量盜取帳密資料</strong></a></p> <p>資安業者Lumen揭露專門針對家用及小型辦公室路由器而來的惡意程式Cuttlefish，主要用途是從區域網路（LAN）流量發出的請求當中，挖掘帳密及各式身分驗證資料，但也能用於DNS及HTTP挾持，讓攻擊者存取受害組織的內部網路環境。</p> <p>研究人員指出，此惡意軟體還能透過零點擊攻擊的能力，藉由網路邊際設備擷取使用者及裝置的資料，並會透過被動的狀態嗅探封包，而且只有在符合駭客事先定義的環境條件下，才會啟動進行相關工作。Cuttlefish採用的封包探測器主要功能，就是在挖掘身分驗證資料，特別針對公有雲服務而來。</p> <p><a href="https://www.ithome.com.tw/news/162642"><strong style="font-size: 22px;">安卓惡意程式Wpeeper利用已遭入侵的WordPress網站接收攻擊命令</strong></a></p> <p>中國資安業者奇安信揭露惡意軟體Wpeeper的攻擊行動，此為鎖定安卓作業系統的後門程式，攻擊者可藉此收集受害裝置的系統資訊，並且進行檔案管理、上傳、下載，甚至可執行特定命令。</p> <p>但這款惡意軟體引起研究人員關注的地方在於，攻擊者在網路基礎設施上的規畫相當特別。首先，對方透過遭到入侵的WordPress網站，建立透過多個層次進行通訊的C2架構，企圖遮掩真正的C2伺服器位置。</p> <p>再者，他們利用連線階段（Session）的欄位來區分請求，並透過HTTPS加密通訊協定來保護攻擊流量。而對於C2發出的命令，攻擊者也透過AES演算法處理。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://media.defense.gov/2024/May/01/2003454817/-1/-1/0/DEFENDING-OT-OPERATIONS-AGAINST-ONGOING-PRO-RUSSIA-HACKTIVIST-ACTIVITY.PDF"><strong style="font-size: 20px;">針對俄羅斯駭客接連攻擊水力設施工控系統的現象，美國政府提出警告</strong></a></p> <p></p> <p>◆<a href="http://www.cisa.gov/news-events/alerts/2024/01/10/cisa-adds-one-known-exploited-vulnerability-catalog"><strong style="font-size: 20px;">美國證實去年底修補的GitLab危急漏洞CVE-2023-7028已出現攻擊行動</strong></a></p> <p></p> <p>◆<a href="https://www.prnewswire.com/news-releases/infoblox-threat-intel-discovers-muddling-meerkat-a-dns-operation-controlling-chinas-great-firewall-302129471.html"><strong style="font-size: 20px;">駭客組織Muddling Meerkat利用中國長城防火牆操縱DNS</strong></a></p> <p></p> <p>◆<a href="https://www.ithome.com.tw/news/162639"><strong style="font-size: 20px;">美國健康保險巨擘UnitedHealth坦承選擇低頭，向駭客支付贖金</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162626"><strong style="font-size: 22px;">程式語言R編譯過程存在高風險漏洞，恐導致供應鏈攻擊</strong></a></p> <p></p> <p>專精AI應用程式安全的資安業者HiddenLayer指出，程式語言R存在高風險漏洞CVE-2024-27322，此為反序列化（deserialization）瑕疵，可透過載入R資料序列（R Data Serialization，RDS）檔案、R套件來觸發，一旦攻擊者利用上述漏洞，就有機會執行任意程式碼，甚至有機會造成供應鏈攻擊，CVSS風險評分為8.8。對此，開發團隊推出4.4.0版予以修補。</p> <p>研究人員表示，這項漏洞牽涉R程式序列化及反序列化的過程。該程式語言在反序列化狀態下，載入RDS檔案或是套件時，因R語言支援惰性求值（Lazy Evaluation）的特性，未能及時檢查Promise物件相關參數造成。一旦攻擊者能覆寫RDX或RDB檔案，就機有會發動供應鏈攻擊。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://fedscoop.com/irs-information-systems-security-problems-financial-statements-gao/"><strong style="font-size: 20px;">美國國稅局傳出系統漏洞，恐導致財務報表不準確</strong></a></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162591"><strong style="font-size: 22px;">英國擬禁止特定物聯網裝置採用預設密碼</strong></a></p> <p>4月29日英國的《產品安全暨電信基礎設施法案（Product Security and Telecommunications Infrastructure Act，PSTI Act）》正式生效，當中規定物聯網裝置（IoT）最低安全標準，其中一項就是不得使用容易猜測或是在網路上可找到的預設密碼，而這是全球首度針對這類密碼進行規範的法令。</p> <p>這項法案要求物聯網裝置製造商必須遵守最低要求，除不得採用容易猜到的密碼，也明定要提供客戶窗口來受理及處理資安問題，再者，該法案也要求製造商及零售業者，必須公布產品能夠收到重要安全更新的最短時間。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162601"><strong>【4月30日】安卓金融木馬Brokewell透過冒牌Chrome更新網頁散布</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162579"><strong>【4月29日】互動式BI系統Qlik Sense危急漏洞遭到鎖定，對方利用勒索軟體Cactus發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162563"><strong>【4月26日】駭客鎖定網管人員散布後門程式MadMxShell，意圖取得入侵企業組織的管道</strong></a></p> </div></div></div>
2024/5/2 18:38作者周峻佑https://www.ithome.com.tw/news/162649
安卓惡意程式Wpeeper利用已遭入侵的WordPress網站接收攻擊命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國資安業者奇安信揭露<a href="https://blog.xlab.qianxin.com/playing-possum-whats-the-wpeeper-backdoor-up-to/">惡意軟體Wpeeper的攻擊行動</a>，此為鎖定安卓作業系統的後門程式，攻擊者可藉此收集受害裝置的系統資訊，並且進行檔案管理、上傳、下載，甚至可執行特定命令。</p> <p>但這款惡意軟體引起研究人員關注的地方在於，攻擊者在網路基礎設施上的規畫相當特別。首先，對方透過遭到入侵的WordPress網站，建立透過多個層次進行通訊的C2架構，企圖遮掩真正的C2伺服器位置。</p> <p>再者，他們利用連線階段（Session）的欄位來區分請求，並透過HTTPS加密通訊協定來保護攻擊流量。而對於C2發出的命令，攻擊者也透過AES演算法處理。</p> <p>研究人員起初是發現1個Linux執行檔（ELF），攻擊者透過2個網域散布，但僅有其中1個有資安業者標為惡意網域，另一個則為近期註冊而被視為無害；再者，惡意程式分析平臺VirusTotal上所有的防毒引擎，皆將此ELF檔案視為無害。雖然從副檔名的部分，看起來是針對Linux電腦而來，但研究人員進一步分析，確認這是安卓惡意程式。</p> <p>此惡意程式的來源，攻擊者疑似透過Uptodown App Store第三方市集下載應用程式的APK檔案，然後進行變造並嵌入一小段程式碼，一旦使用者執行安裝，就會下載惡意的ELF檔案並執行。</p> <p>值得留意的是，雖然這起攻擊行動維持不到一週，但當中使用的惡意程式都並未被資安公司判定為有害，照理來說，攻擊者沒有必要突然停止行動，因此研究人員推測，對方很可能在策畫更大規模的攻擊行動，目的是用於欺騙防毒軟體所使用的AI機器學習模型，讓他們的惡意程式更難被發現。</p> </div></div></div>
2024/5/2 17:44作者周峻佑https://www.ithome.com.tw/news/162642
GovTech月報第29期：數位部公共程式平臺上線，與六都聯手共推公共程式政策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0402~0430)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">公共程式</span></font></strong></p> <p><span style="font-size: 22px;"><strong>數位部公共程式平臺上線，未來將與六都聯手共推公共程式政策</strong></span></p> <p>數位部推動公共數位基礎建設政策，其中之一是推動公共程式平臺，近期在六都、國內外自由軟體社群見證下，宣布公共程式平臺（<a href="https://code.gov.tw/">https://code.gov.tw/</a>）上線，將政府機關開發的系統或服務平臺，透過Public code的方式開放，供外界或其他政府機關檢視及運用。</p> <p>數位部期望帶頭推動公共程式政策，讓外界共同檢視及運用公開的程式碼，除了讓其他有類似需求的公務機關得以運用，節省重新開發系統或服務平臺的成本，也透過公開程式碼，讓外部的民間企業、開發社群使用，透過改進功能或問題，讓公共程式也能借重外部資源精進優化。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/publicode-600.jpg" style="width: 600px; height: 326px;" /></p> <p>首波上架該平臺的共有15類22個公共程式，包含數位部的全球資訊網官網、政府資料開放平臺前端、ODF文件應用工具、公托報名管理系統，以及臺北市的城市儀表板、臺南市的登革熱防疫現場前端及後端工具，還有英國GDS政府數位服務團隊提供的GOV.UK Forms線上表單平臺及公部門業務訊息傳遞平臺GOV.UK Notify，還有Foundation for Public code提供的Publiccode.yml編輯器等工具。數位部也與臺北市、新北市等六都達成合作共識，未來將共同推廣公共程式政策，數位部也計畫在今年底前，提出訓練課堂、規範指引，希望促成更多公務機關加入推廣公共程式政策。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">人事</span></font></strong></p> <p><span style="font-size: 22px;"><strong>黃彥男將接任數位部長，劉鏡清將任國發會主委</strong></span></p> <p>隨著新任總統即將上任，行政院新的內閣名單也逐漸明朗化，現任數位發展部長唐鳳確定不會留任，未來部長將由中研院資訊科技創新研究中心特聘研究員黃彥男接任，國發會則由曾任IBM全球企業諮詢服務事業群總經理的劉鏡清出任。至於國科會主委則由南臺科技大學校長吳誠文擔任，政大商學院副院長彭金隆接掌金管會主委。</p> <p>準數位部長黃彥男，過去曾擔任中研院資訊科技創新研究中心主任，行政院科技會報副執行祕書，也曾擔任資策會副執行長、威達雲端總經理，具有豐富的政務協調、資通訊產業經驗。至於準國發會主委劉鏡清，過去曾是IBM工商事業群總經理，後來進入資誠企管顧問公司擔任副董事長暨總經理，並創立資誠創新諮詢公司擔任董事長，具有豐富的企業經營管理、資訊管理顧問經驗。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">電子簽章</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">打詐</span></font></strong></p> <p><span style="font-size: 22px;"><strong>立院三讀通過電子簽章法修正法案，數位部：擴大電子簽章應用</strong></span></p> <p>行政院於2月底通過電子簽章法修正法案，送交立法院審議，近期立法院三讀通過修正法案，為我國電子簽章法實施20多年來重大修法，主管機關數位部接下來將在半年內制定相關子法及配套辦法，並擴大推動電子簽法的應用。其中之一是，配合打詐專法，未來可能要求電商平臺，針對廣告或交易的賣家採用數位簽章，以類似實名制仰制詐騙歪風。</p> <p>此次修法幾項重點，包括確立電子文件及電子簽章，視同實體文件及簽章，不因電子形式而否認其效力；其次是數位簽章為電子簽章一部分，但數位簽章因具有政府許可憑證機構簽發的憑證，可推定為本人親簽。另外，目前公務機務公告特定業務排除適用電子簽法，將在新的電子簽章法開始實施後一年自動廢止，未來公告排除適用的機關將需接受電子簽章，但如果仍需要排除適用電子簽章，必需以立法修法的方式排除，考量到修法需要較長的時間，可向電子簽章法主管機關數位部申請展延1次，展延以2年為限。</p> <p>此外，修法也增加電子簽章與國外對接的規定，當安全條件相當的前提下，如憑證機構間有技術對接合作，雙方憑證機構符合歐盟或ISO國際標準，就能互相承認數位簽章。</p> <p>數位部預期電子簽章法修法後，確立電子簽章的法律效力，以及安全性更高的數位簽章，促使電子簽章的應用普及。其中在政府積極的打詐方面，未來電商等數位服務平臺，可要求賣家或廣告刊登者使用數位簽章，通過類實名制，來抑制交易詐騙及投資詐騙廣告盛行。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">衛星</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">太平島</span></font></strong></p> <p><span style="font-size:22px;"><strong>中軌衛星強化外島通訊韌性，太平島網路頻寬提升至25Mbps</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(10).jpg" style="width: 600px; height: 338px;" /></p> <p>距離台灣1,600多公里遠的太平島，為強化島上通訊網路韌性，近期政府在島上建立中軌衛星通訊系統，將太平島網路頻寬提高至25Mbps，增加約3.9倍。</p> <p>原先太平島的通訊仰賴同步軌道衛星ST2中新二號，扣除公務使用，剩餘可供駐守人員使用的網路頻寬相當有限，在電信技術中心、電信業者協助之下，太平島建置中軌衛星通訊系統後，支援SES mPower中軌衛星設備，供太平島上Wi-Fi及行動基地臺衛星網路傳輸規畫及建置。</p> <p>數位發展部推動以非同步軌道衛星提升國內網路通訊韌性計畫，計畫在今年底完成國內約700處設置非同步軌道衛星終端設備站點，太平島即為該計畫建置的站點之一，通過中軌衛星加強島上通訊網路韌性。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">英國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">行動應用</span></font></strong></p> <p><span style="font-size:22px;"><strong>政府服務擁抱行動應用，英國政府明年擬提出行動應用App戰略</strong></span></p> <p>隨著行動裝置及App使用普及，英國政府準備在明年提出行動應用App戰略，以統整政府各部門提供的政府服務聯合行動體驗，目前該戰略正由中央數位及數據辦公室（Central Digital and Data Office, CDDO）規畫中。</p> <p>這項戰略是英國政府於2022年提出的中型轉型計畫，該計畫為英國政府數位轉型2022年至2025年數位及資料路徑圖，目標是通過制定共同的行動App戰略、框架及技術標準，建立政府服務聯合行動體驗，CDDO正與各部門機關的資訊、技術主管討論，規畫原則及行動策略。</p> <p>10年前，在成本考量之下，英國政府並不鼓勵政府部門開發行動應用App，鼓勵優先開發網路服務，但是隨著行動裝置及App使用普及、社交媒體影響力大增，使得英國政府轉而擁抱App，例如政府數位服務（Government Digital Service, GDS）正在打造GOV.UK App，該App將奠基於現有已有570萬次下載的GOV.UK One Login身分驗證App的基礎之上，迎合現今民眾使用習慣，以擴大GDS社交媒體影響力，開發App建立GOV.UK品牌。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">英國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>英國內閣正測試AI Chatbot加快公文處理效率</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/redbox3-600.jpg" style="width: 600px; height: 403px;" /></p> <p>英國內閣正計畫擴大測試一項AI Chatbot，稱為Redbox Copilot，希望透過人工智慧聊天機器人技術，來協助英國政府公務人員提高公文處理效率。</p> <p>這項AI技術以英國政府傳統的紅色公文盒來命名，Redbox Copilot運用檢索增強生成（Retrieval-Augmented Generation, RAG）技術處理大量公文，掃描數千份公文，從中搜尋符合條件的公文，或是建立公文內容的摘要等等。目前Redbox Copilot由英國內閣辦公室部長Alex Burghart試用，準備擴大更多內閣首次試用。</p> <p>英國政府的AI開發團隊也公開程式的原始碼，希望促成外部開發人員參與協助改善其功能。未來全面上路後，英國政府公務人員可和聊天機器人對話，詢問公務信件及公務文件內容。該技術採用資料隱私及保留設計，以符合資料隱私的合規要求，另外，也針對本地部署及跨雲進行安全設計。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺中市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>臺中市運用AIoT技術加強監控營建工地揚塵污染</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ai%E6%8F%9A%E5%A1%B5%E8%BE%A8%E8%AD%98%E7%B3%BB%E7%B5%B1-1-600.jpg" style="width: 600px; height: 326px;" /></p> <p>大型營建工地常因為開挖、整地及工程車輛出入，造成工地揚塵污染空氣，臺中市政府環保局啟動科技防制措施，透過感測器、CCTV監控攝影、AI揚塵辨識、智慧灑水系統，當偵測揚塵污染達到預警值時，透過App推播示警之外，啟動灑水系統，降低工地揚塵污染情形。</p> <p>臺中市環保局表示，目前已在多處營建工地建置這套科技防制措施，結合CCTV監控系統、感測器，利用AI辨識系統，隨時監控工地是否發生揚塵污染，當偵測到揚塵污染達到警戒值時，自動啟動灑水系統，降低揚塵情形。相較於傳統上使用防塵網，這項科技防制措施可縮短污染發生的時間及人力，環保局估計防制效益至少提升20%。</p> <p>環保局指出，因應科技防制污染等相關技術成熟，未來營建工地應朝向智慧工地發展，工地在營建期間必然產生污染，透過科技防制抑制污染情形，呼籲營建業者編列經費，在工地建置科技防制措施，降低對周遭環境的污染。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">加拿大</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">生物辨識</span></font></strong></p> <p><span style="font-size:22px;"><strong>加拿大政府擬</strong></span><strong style="font-size: 22px;">結合臉部辨識技術，讓</strong><strong style="font-size: 22px;">旅客用手機自拍快速審核通關</strong></p> <p>加拿大政府擬改善邊境管理，讓旅客可通過其手機上的臉部辨識技術，來識別旅客的身分，以加快通關所需的程序及時間。</p> <p>目前加拿大邊境管制單位正對外招募合適的供應商，以開發配合新措拖的管理系統，招標金額約2,500萬美元。加拿大邊境服務局表示，計畫中的新措施將可讓旅客享有快速、無縫的旅行體驗，未來旅客可自行選擇是否使用這項系統，並且旅客的隱私資訊也會受到充分的保護。</p> <p>按照加拿大政府的規畫，新的邊境管理系統可將旅客護照的照片，和旅客使用其手機的自拍照進行配對。目前抵達加拿大的旅客，已可透過Digital Kiosk數位多媒體機或eGate閘道，通過臉部辨識驗證。</p> <p>邊境管理採用臉部辨識引發隱私侵犯的疑慮，加拿大議會目前也正蒐集相關的資訊，例如對黑人與亞洲人的錯誤辨識，或是不合法的大規模監控，以及對警察、情報單位的問責規範。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺南市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">智慧停車</span></font></strong></p> <p><span style="font-size: 22px;"><strong>臺南市逾8成路邊停車格智慧化，每年估節省381萬紙本單據</strong></span></p> <p>臺南市近期分享推動路邊停車格智慧化政策成果，該市自從2018年路邊收費停車格智慧化，現已有87%的路邊停車格完成智慧化，以自動化開單取代人工開單，每年估節省約381萬張的停車紙本單據，估減少4.5噸二氧化碳排放。</p> <p>臺南市政府交通局指出，該市1.5萬路邊收費停車格，目前已有4,000格採用智慧停車柱，9,000格採用地磁感應器，停車格智慧化比例達到87%，搭配智慧路邊停車計費系統，提升停車格周轉率69%，使用率達到59%，減少空置車位浪費。這套智慧路邊停車計費系統，提供民眾現場支付停車費，並提供無紙化開單，市府估計，多元化繳費管道取代過往超商代收、臨櫃現金收費，進一步節省1,748萬張繳費單據。</p> <p>市府也建置智慧停車雲端數據平臺，以蒐集路邊停車位的即時數據，讓用戶透過App查詢停車空位情形，估計平均節省民眾5至6分鐘的停車空位尋找時間，降低駕車繞行的碳排放。臺南市長黃偉哲指出，在長期的淨零碳排目標之下，未來臺南市路邊停車格的智慧化比例將以100%為目標。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">雲端</span></font></strong></p> <p><span style="font-size:22px;"><strong>數位部輔導農業部系統上雲，結合AI、無人機加速農業數位轉型</strong></span></p> <p>農業部與數位部聯手加速我國農業的數位轉型，近期展示透過雲端服務、無人載具、AI影像辨識等科技，協助農地的資源判影像判釋、判斷土壤資源肥力等等。</p> <p>這項合作是在雲世代雲端基礎建設計畫之下，運用數位科技促成新型態數位政府服務的成果，在數位部協助下，將農業部的「農地資源影像判釋服務」、「土壤資源及肥力診斷服務」、「航空衛星影像雲端服務」、「農業UAV影像二維三維應用服務」等系統移至商業公有雲。數位部表示，推動雲世代雲端基礎建設計畫，協助政府機關因應大量流量，提升作業效率、改善使用者體驗，兼降低基礎維運及開發所需的成本。</p> <p>傳統農業需要大量勞力，因應少子化人力短缺的問題，兩個部會也展示自動化農機、無人機噴藥，協助農作施藥，還有協助農民在災害發生時，申請農損補助的作業效率。透過跨部會合作，將AI、5G、衛星、無人機、物聯網等數位科技導入農業，加速農業的自動化、智慧化發展。</p> <p> </p> <p>圖片來源／臺南市政府、英國政府、數位部、臺中市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.南投拼智慧觀光，爭取溫泉區作為自駕車及車聯網實驗場域</strong></p> <p><strong>2.政府擴大5G普及外島，提升澎湖輪、澎湖5G網路涵蓋</strong></p> <p>資料來源：iThome整理，2024年4月</p> </div></div></div>
2024/5/2 18:09作者蘇文彬https://www.ithome.com.tw/news/162580
美國健康保險巨擘UnitedHealth坦承向駭客支付贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>UnitedHealth Group執行長Andrew Witty在本周三（5/1）舉行的參議院聽證會中，首度對外證實旗下服務Change Healthcare在今年2月遭到勒索軟體攻擊之後，由他決定向駭客支付了贖金。</p> <p>UnitedHealth Group為一健康保險集團，去年創造3,240億美元的營收，是美國的第五大企業。被駭的Change Healthcare為子公司Optum在2021年買下的，主要提供醫療業者的收入周期管理、支付管理，以及健康資訊交換解決方案，每年處理150億筆的醫療照護交易，涉及1/3的美國病患紀錄，此外，根據調查，此一攻擊行動影響了美國9成醫院的財務，還有7成醫院宣稱該事故影響它們照顧病人的能力，也讓美國參議院財政委員會對此一事件展開調查。</p> <p>在攻擊行動發生後，安全研究人員即發現勒索軟體組織BlackCat的錢包中收到了價值2,200萬美元的比特幣，並懷疑是由UnitedHealth所支付的贖金，卻一直未得到UnitedHealth的證實，然而，<a href="https://www.finance.senate.gov/imo/media/doc/0501_witty_testimony.pdf" target="_blank">Witty在本周的聽證會上坦承</a>，在面對此次攻擊時遇到許多挑戰，包括處理贖金要求，他以盡一切努力來保護人們的健康資訊為首要之務，因此決定支付贖金，而這也是他做過最艱難的決定之一。</p> <p>Witty也揭露了該公司對整起攻擊事件的處理程序，指出駭客是在2月12日藉由外洩的憑證自遠端存取Change Healthcare Citrix入口網站，該站並未支援雙因素身分驗證，成功滲透的駭客便在系統內汲取資訊，一直到9天後才部署了勒索軟體。</p> <p>在察覺Change Healthcare的系統被加密之後，該公司迅速切斷Change Healthcare的連結環境，並在21日迎來了來自Google、微軟、思科及Amazon的專家，再加上Mandiant和Palo Alto Networks的安全團隊，開始重新打造Change Healthcare的技術基礎設施，包括更換了數千臺筆記型電腦，輪替憑證，重建Change Healthcare的資料中心網路與核心服務，提高新的伺服器容量，在短短的幾周內便交付了一個在正常情況下、需要幾個月才能完成的全新技術環境。</p> <p>Witty表示，此一攻擊事件表明，加強醫療照護網路安全的需求日益增加，期待政策制定者與其它利益方合作，以制定強大與實用的解決方案。</p> </div></div></div>
2024/5/2 16:31作者陳曉莉https://www.ithome.com.tw/news/162639
通過圖靈驗證從雲端檔案共享空間下載檔案要小心！有人透過冒牌Cloudflare圖靈驗證散布惡意軟體Latrodectus
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疑似由惡意程式IcedID開發的另一款惡意軟體Latrodectus，日前有多組研究人員發現相關攻擊行動，對方將其當作後門運用，並於受害電腦側載EXE或DLL有效酬載，或是下達命令，最近又有新一波攻擊出現。</p> <p>研究人員ProxyLife與Cryptolaemus指出，<a href="https://www.bleepingcomputer.com/news/security/new-latrodectus-malware-attacks-use-microsoft-cloudflare-themes/">攻擊者藉由回信互動型的網釣郵件（reply-chain phishing emails）來發動攻擊</a>，當中通常會含有PDF附件或是URL，一旦收信人依照指示開啟附件，或是點選URL，就有可能看到檔案存放於微軟Azure雲端空間的訊息。</p> <p>若是點選下載文件檔案的按鈕，收信人就會被導向偽造的Cloudflare圖靈驗證流程，要求解開簡單的數學問題。研究人員指出，駭客這麼做的目的，就是為了迴避資安系統的偵測。</p> <p><a href="https://s4.itho.me/sites/default/files/images/solved-cloudflare-captcha-download-file.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/solved-cloudflare-captcha-download-file.jpg" style="width: 580px;" /></a></p> <p>值得留意的是，一旦收信人輸入正確答案，電腦就會自動下載經重度混淆處理的JavaScript指令碼，執行後將從特定URL下載MSI安裝檔，於受害電腦植入DLL程式庫Latrodectus，並透過rundll32.exe載入，在後臺運作，等待接收惡意酬載或是攻擊者的命令。</p> </div></div></div>
2024/5/2 16:38作者周峻佑https://www.ithome.com.tw/news/162640
Nvidia更新ChatRTX聊天機器人以支援語音提示及更多模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/ai-decoded-chatrtx-update/" target="_blank">Nvidia本周更新</a>其基於生成式預訓練模型（Generative Pre-trained Transformer，GPT）與Nvidia RTX系列GPU的ChatRTX聊天機器人，它可支援更多的開源模型，具備語音查詢能力，並可辨識圖片。</p> <p>ChatRTX為一由Nvidia所開發的GPT聊天機器人示範程式，在選擇了大型語言模型之後（LLM），使用者即可將它連至自己的文件、筆記、圖片或其它資料，藉由檢索增強生成（Retrieval-Augmented Generation，RAG）技術、TensorRT-LLM軟體與RTX加速，即可向此一客製化的聊天機器人提出問題，並得到相關的解答。由於它是直接在Windows PC或工作站上執行，可確保隱私及安全。</p> <p>Nvidia是<a href="https://blogs.nvidia.com/blog/chat-with-rtx-available-now/" target="_blank">在今年2月發表</a>ChatRTX，其系統需求包括Nvidia GeForce RTX 30/40系列GPU、Nvidia RTX Ampere或Ada Generation GPU，執行Windows 11作業系統，以及必須具備16GB或更多記憶體。</p> <p>使用者可透過ChatRTX將本地端的檔案當作資料集，首個版本支援.txt、.pdf、.doc/.docx和.xml等檔案格式，連至諸如Mistral或Llama 2的開源大型語言模型，以利用ChatRTX來查詢筆記及檔案，而且是在使用者的裝置上執行。</p> <p>新版增加了對Gemma與ChatGLM3模型的支援，也支援語言及圖像對比預訓練（CLIP）神經網路，並透過對Whisper的支援提供了語音查詢能力，額外支援jpeg、gif及png檔案格式。因此，現在使用者除了可以文字及語音與ChatRTX對話之外，還能搜尋照片與圖片。</p> <p><a href="https://www.nvidia.com/en-us/ai-on-rtx/chatrtx/" target="_blank">ChatRTX開放所有使用者免費下載</a>。</p> <p class="rtecenter"><a href="https://www.youtube.com/watch?v=zMROAxJQ7rk&embeds_referring_euri=https%3A%2F%2Fblogs.nvidia.com%2F" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0502-ChatRTX%20Update%20vedio.png" style="width: 500px;" /></a></p> </div></div></div>
2024/5/2 16:56作者陳曉莉https://www.ithome.com.tw/news/162641
攻擊者濫用Docker Hub映像檔儲存庫出現新的手法！近3百萬儲存庫被用於推送惡意程式、架設釣魚網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者濫用Docker Hub映像檔儲存庫的情況，最常見的手法是上傳帶有惡意元件的映像檔，再從目標Kubernetes環境拉取，而能於受害系統植入惡意程式，從事相關攻擊。但也有其他駭客以不同方式濫用這種儲存庫，其手法的共通點，就是沒有上傳Docker映像檔。</p> <p>資安業者JFrog揭露<a href="https://jfrog.com/blog/attacks-on-docker-with-millions-of-malicious-repositories-spread-malware-and-phishing-scams/">濫用映像檔儲存庫Docker Hub的攻擊行動</a>，就屬於這種例子。研究人員發現這波攻擊行動的原因，在於他們找到近460萬個並未包含Docker映像檔的儲存庫，研究人員進一步清查，結果發約有281萬個被用於攻擊行動，占全部的18.7%，換言之，平均每6個Docker Hub儲存庫就有1個被用於惡意行為。</p> <p>這些遭到濫用的Docker Hub儲存庫，大致上攻擊者將其用於3種類型的攻擊，其中大部分是被用於聲稱提供盜版軟體、遊戲作弊程式下載器（Downloader）的惡意軟體攻擊，有1,453,228個，占整體儲存庫的9.7%；其次是佯稱提供電子書的網路釣魚攻擊（eBook Phishing），有1,069,160個儲存庫被用來從事這類攻擊，占整體的7.1%。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Docker-Img5-1-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Docker-Img5-1-1.jpg" style="width: 580px;" /></a></p> <p>其中，針對前述的「下載器」攻擊，對方分別在2021年及去年發動兩波行動，而且，前後都使用完全相同的惡意酬載進行。一旦使用者依照指示操作對方提供的下載程式，電腦就會被部署惡意軟體。研究人員推測，這很有可能是大規模惡意軟體攻擊行動的一部分。</p> <p>而對於電子書網釣的部分，攻擊者聲稱提供完整版的電子書免費下載，若是使用者依照指示點選URL，就會被重新導向至另一個釣魚網頁，要求輸入信用卡資料。</p> <p>比較特別的是被研究人員歸類為「網站搜尋引擎最佳化（Website SEO）」的儲存庫濫用行為，這些儲存庫的內容多半無害，但對於攻擊目的的部分，研究人員表示並不清楚，推測對方很有可能是在從事真正的攻擊行動之前，將這些儲存庫拿來進行壓力測試。</p> </div></div></div>
2024/5/2 15:39作者周峻佑https://www.ithome.com.tw/news/162636
Google在2022年支付200億美元，以成為蘋果Safari預設搜尋引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部在2020年10月<a href="https://www.ithome.com.tw/news/140636" target="_blank">控告Google以不當手段</a>，維持其在搜尋與搜尋廣告業務上的壟斷地位，雙方的攻防揭露了Google許多不為人知的商業策略，包括支付大筆金額以讓Google搜尋成為其它瀏覽器的預設搜尋引擎，本周<a href="https://www.bloomberg.com/news/articles/2024-05-01/google-s-payments-to-apple-reached-20-billion-in-2022-cue-says" target="_blank">《彭博社》</a>（Bloomberg）引用最新公開的法院文件報導，光是在2022年，Google就付給蘋果200億美元，以讓Google成為Safari的預設搜尋引擎。</p> <p>報導指出，蘋果與Google早在2002年便展開合作，初期雙方屬於策略聯盟，並未涉及金錢交易，之後才協議讓蘋果可分享Google搜尋的廣告營收，且從2021年的5月起，Google每月支付給蘋果的搜尋廣告分潤就超過10億美元。</p> <p>先前便有<a href="https://www.ithome.com.tw/news/146417" target="_blank">分析師估計</a>，Google在2020年付給蘋果100億美元，2021年是150億美元。而根據《彭博社》的報導，Google付給蘋果的搜尋廣告營收比重為36%，在2022年達到200億美元。</p> <p>不過，在2022年的<a href="https://abc.xyz/assets/c4/d3/fb142c0f4a78a278d96ad5597ad9/2022q4-alphabet-earnings-release.pdf" target="_blank">Google財報</a>中，當年的Google搜尋廣告營收為426億美元，以36%的比重來看只有153億美元，分潤要接近一半才能達到200億美元。</p> <p>只是不論是哪個數字，都顯現了Google為了成為Safari預設搜尋引擎所願意負擔的成本，不只是蘋果，Google也與Mozilla簽署了類似的協議，<a href="https://www.theregister.com/2020/08/14/mozilla_google_search/" target="_blank">《The Register》</a>報導，自2021年至2023年間，Google每年大約支付4億至4.5億美元予Mozilla，以成為Firefox的預設搜尋引擎。</p> <p>最新的法院文件也透露，其實微軟也曾想要取代Google，成為Safari的預設搜尋引擎，並提出高達9成的廣告分潤，結果遭到蘋果拒絕。</p> <p><a href="https://www.courthousenews.com/landmark-google-antitrust-case-set-to-wrap-after-long-break/" target="_blank">《Courthouse News Service》</a>則報導，蘋果資深副總裁Eddy Cue在為此案作證時表示，蘋果之所以與Google達成獨家協議，是因為Google提供了市場上最好的產品，雙方的合作是互惠的。</p> </div></div></div>
2024/5/2 13:17作者陳曉莉https://www.ithome.com.tw/news/162634
惡意程式Cuttlefish鎖定小型路由器而來，企圖透過監控流量盜取帳密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Lumen揭露<a href="https://blog.lumen.com/eight-arms-to-hold-you-the-cuttlefish-malware/">專門針對家用及小型辦公室路由器而來的惡意程式Cuttlefish</a>，主要用途是從LAN流量發出的請求當中挖掘帳密及各式身分驗證資料，但也能用於DNS及HTTP挾持，讓攻擊者存取受害組織的內部網路環境。</p> <p>研究人員指出，此惡意軟體還能透過零點擊攻擊的能力，藉由網路邊際設備擷取使用者及裝置的資料，並會透過被動的狀態嗅探封包，而且只有在符合駭客事先定義的環境條件下，才會啟動進行相關工作。Cuttlefish採用的封包探測器主要功能，就是在挖掘身分驗證資料，特別針對公有雲服務而來。</p> <p>為了隱匿行蹤，攻擊者透過VPN隧道，或是濫用合法裝置而成的代理伺服器（Residential Proxies）來建立連線，並透過外流的帳密資料存取目標裝置，這麼做的目的，很可能就是要迴避異常登入的有關偵測機制。</p> <p>根據研究人員的分析，這波攻擊行動從去年10月發生，到今年4月下旬結束。不過這款惡意程式出現的時間更早，他們去年7月27日就看到該惡意程式的行動。</p> <p>而受害者所在的地理位置，主要是土耳其，根據對於C2伺服器的連線，研究人員看到在去年10月初的大規模攻擊行動裡，有99%來自土耳其的IP位址，其中約93%來自兩家電信網路服務供應商，受害組織包含當地航空業者、衛星服務供應商。但除此之外，他們也看到仰賴該國網路基礎設施的其他組織受害。</p> <p>但究竟對方怎麼入侵這些路由器？研究人員表示並不清楚，然而，一旦得逞，攻擊者就會下載bash指令碼，收集特定主機資料並傳至C2，接著，這個指令碼也會下載Cuttlefish並執行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cuttlefish1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cuttlefish1.png" style="width: 580px;" /></a></p> <p>至於攻擊者的身分，研究人員並未透露具備的駭客組織國藉或是名稱。但他們對於其程式碼進行分析，結果發現Cuttlefish與另一款名為HiatusRAT的惡意程式攻擊行動有關，兩者的目標都與中國利益有關，言下之意很有可能就是該國的駭客所為。</p> </div></div></div>
2024/5/2 12:48作者周峻佑https://www.ithome.com.tw/news/162633
Anthropic發表AI助理Claude免費iOS程式及企業方案Team
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>被外界視為最有潛力挑戰OpenAI的Anthropic，於周三（5/1）發表了<a href="https://www.anthropic.com/news/team-plan-and-ios" target="_blank">免費的iOS程式</a>及首個企業方案Claude Team，目前Claude iOS已開放下載，而Claude Team最少的訂閱數量為5名成員。</p> <p>Anthropic原本提供免費及Pro兩種方案，任何人都可註冊免費版，目前的免費版可存取Claude 3 Sonnet模型，提供網頁版及iOS/iPad程式，每月訂閱費率20美元的Pro版則可存取Claude 3 Opus，可在流量高峰時優先使用，亦能搶先體驗新功能。</p> <p>至於新的Team方案則涵蓋了Pro版的所有功能，但額外提供更多的使用量，可存取Claude 3的所有家族模型，包括Opus、Sonnet 和 Haiku，支援20萬個Token的脈絡，也提供了集中計費及管理工具，並可提前試用各種協作功能，其每人每月訂閱費率為30美元，最少訂閱數量為5名。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0502-Anthropic-Claude%20Team%20plan-create%20project(1).png" style="width: 600px;" /></p> <p>Anthropic計畫於未來幾周推出新的協作功能，包括透過可靠來源來驗證AI所生成的主張，或者是整合程式碼庫或客戶關係管理系統等資料庫，也可與同事共同修改由AI生成的文字或專案。</p> <p>而免費的Claude iOS程式則可接續來自網頁的聊天內容，亦支援視覺功能，可上傳手機上或新拍攝的照片進行分析。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0502-Anthropic-%20Claude%20iOS%20app-600.png" style="width: 454px;" /></p> <p>Anthropic是在今年3月發表<a href="https://www.ithome.com.tw/news/161610" target="_blank">Claude 3模型家族</a>，並被研究人員視為是<a href="https://www.ithome.com.tw/news/161705" target="_blank">最有潛力挑戰OpenAI GPT-4</a>的模型。由出自OpenAI的兄妹Dario Amodei與Daniela Amodei共同創辦的Anthropic，亦是Google及Amazon<a href="https://www.ithome.com.tw/news/159545" target="_blank">爭相投資</a>的AI新秀。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Anthropic</span></span></p> </div></div></div>
2024/5/2 11:45作者陳曉莉https://www.ithome.com.tw/news/162632
MongoDB推出一站式企業GAI應用開發工具方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NoSQL資料庫供應商<a href="https://investors.mongodb.com/news-releases/news-release-details/mongodb-launches-new-program-enterprises-build-modern" target="_blank">MongoDB公布名為MongoDB AI應用方案</a>（MongoDB AI Application Program，MAAP）的一站式開發工具方案，協助企業端到端開發及部署具有生成式AI（GAI）的企業應用。</p> <p>MAAP包含MongoDB及其夥伴提供的軟體工具、基礎架構及服務的一站式企業工具，涵括顧問服務、基礎模型、雲端基礎架構、生成式AI框架與模型代管服務，協助企業從設計、建造、部署及擴增完成生成式AI應用的開發。</p> <p>這項方案以MongoDB的雲端資料庫MongoDB Atlas為基礎，搭配該公司企業服務，以及合作夥伴提供的工具及服務。合作夥伴包括大型雲端平臺如微軟Azure、 Google Cloud、Amazon Web Services（AWS），專業代管平臺Anyscale、 Together AI、服務業者PeerIslands、企業搜尋方案Pureinsights、AI基礎模型業者Anthropic、Cohere、Fireworks.ai，以及開發工具及框架供應商如Credal.ai、gravity9、 LangChain、 LlamaIndex、Nomic等。</p> </div></div></div>
2024/5/2 10:16作者林妍溱https://www.ithome.com.tw/news/162625
程式開發語言R爆有程式碼執行漏洞，可用於供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://hiddenlayer.com/research/r-bitrary-code-execution/" target="_blank">開源碼程式語言R被發現</a>有一個允許攻擊者執行惡意程式碼的重大漏洞，開發機構本周發布新版修補。</p> <p>本漏洞為資安業者HiddenLayer研究人員Kasimir Schulz和Kieran Evans通報，命名為CVE-2024-27322。<a href="https://www.kb.cert.org/vuls/id/238194" target="_blank">CERT公告</a>說明，最新漏洞為一反序列化（deserialization）瑕疵，允許惡意檔案在反序列化時執行任意程式碼。這項攻擊若牽涉套件，則可能引發供應鏈攻擊。本漏洞風險值被列為8.8。</p> <p>R語言支援資料序列化（data serialization）。序列化是指將物件轉換成可儲存格式，反序列化則是將儲存格式轉換成物件。序列化和反序列化發生在資料儲存及網路上傳輸，對開發人員來說，也經常發生在程式開發過程中：從套件庫下載套件即牽涉反序列化。但序列化與反序列化過程很容易遭到惡意人士濫用。</p> <p>R語言開發使用RDS檔案格式進行序列化資料的儲存或傳送。RDS格式包括二種：.rdb檔及.rdx檔。R程式執行過程使用readRDS函式從套件庫讀取這二種檔案，再以eva1函式評估檔案中的表達式（expression）的值，以便將物件由RDS檔解壓縮並反序列化，在目標平臺上執行。</p> <p>研究人員指出，CVE-2024-27322即牽涉R程式序列化／反序列化過程中，利用　promise物件及惰性求值（lazy evaluation）。在反序列化載入RDS檔或套件時，由於R支援惰性求值（lazy evaluation），未能及時檢查Promise物件RDS檔中的指令值。攻擊者可建立包含有特定指令值的RDS檔，再以社交工程誘使使用者下載。因此若是惡意RDS檔，則使用者程式參照RDS檔時就會直接執行指令程式碼。若物件是組譯成R套件，攻擊者可將之加入R儲存庫中，等其他使用者載入該套件時即執行程式碼。研究人員指出，一旦攻擊者只要能覆寫掉原本的.rdx或.rdb檔，就能以R套件發動供應鏈攻擊。</p> <p>不過在獲得通報後，<a href="https://cran.r-project.org/doc/manuals/r-release/NEWS.html" target="_blank">R語言開發單位已發布新版本R Core Version 4.4.0</a>解決這項漏洞。安全廠商呼籲開發人員儘速更新。</p> </div></div></div>
2024/5/2 11:13作者林妍溱https://www.ithome.com.tw/news/162626
Amazon Q正式登場，預覽可自動建置AI程式的Amazon Q Apps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon周二（4/30）<a href="https://press.aboutamazon.com/2024/4/aws-announces-general-availability-of-amazon-q-the-most-capable-generative-ai-powered-assistant-for-accelerating-software-development-and-leveraging-companies-internal-data" target="_blank">宣布全面推出</a>於去年11月<a href="https://www.ithome.com.tw/news/160064" target="_blank">發表</a>的AI聊天機器人Amazon Q，並開始預覽可自動建置基於生成式AI之應用程式的Amazon Q Apps。</p> <p>能以自然語言溝通的Amazon Q現階段僅專注於企業應用，並未支援一般消費者使用，它提供<a href="https://aws.amazon.com/tw/blogs/aws/amazon-q-business-now-generally-available-helps-boost-workforce-productivity-with-generative-ai/" target="_blank">Amazon Q Business</a>及Amazon Q Developer兩種版本，前者每名使用者的每月訂閱費用為20美元，後者則是25美元。</p> <p>Amazon Q Business主要的功用在於組織企業內部的資料庫，可連結逾40種企業系統，涵蓋Amazon S3、Salesforce、Google Drive、Microsoft 365、ServiceNow、Gmail、Slack、Atlassian 及 Zendesk等，亦可連結企業的身分服務供應商，以依據使用者的角色及可存取的資料提供相關且精確的解答。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-amazon%20q-business-1-diagram-1.jpg" style="width: 600px;" /></p> <p>Amazon Q Business也可協助使用者自動產生所需的內容或完成各種任務，不管是會議紀錄的摘要，撰寫電子郵件或部落格，亦可於Amazon的BI服務QuickSight中使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0501-Amazon%20Q%20in%20QuickSight-3.png" style="width: 600px;" /></p> <p>至於Amazon Q Developer除了擁有Amazon Q Business版本的所有功能之外，額外具備了開發者能力。例如它是個AWS專家，可提供各種AWS功能、服務及解決方案的指導，或者是優化所使用的AWS資源，更重要的是它還能協助開發者偵錯、測試及最佳化程式碼；或是最佳化應用程式；還能以自然語言解釋程式碼，協助開發者快速熟悉陌生的專案與程式碼；協助升級程式碼；將自然語言轉換成SQL查詢。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0501-Amazon%20Q%20Developer%20chatting-600.png" style="width: 600px;" /></p> <p>Amazon Q Developer聊天介面可支援AWS控制臺、AWS Console、Slack、Microsoft Teams，以及各種熱門的整合開發環境（IDE）。</p> <p>由於Amazon Q可依據企業內部的程式碼庫自行定義適合的程式碼撰寫規定，先前曾試用Amazon Q Developer的BT Group宣稱該公司接受了Amazon Q所提出的37%的程式碼建議，澳洲國家銀行（National Australia Bank）則說它們接受了50%的程式碼建議。</p> <p>至於自本周開始預覽的Amazon Q Apps則允許使用者以自然語言，描述所需的應用程式，就能自動產生基於生成式AI的應用程式，而無需任何撰寫程式碼的經驗，例如人力資源部門要替新進員工制定入職計畫時，只要說明要依照公司既有的最佳實踐替新進員工建立入職計畫，必須具備員工編號欄位，Amazon Q Apps可在幾秒內生成一個可供不同招聘團隊使用的應用程式，替不同的新員工打造個人化的入職計畫。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0501-Amazon%20Q-app%20creator.png" style="width: 389px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> </div></div></div>
2024/5/1 14:47作者陳曉莉https://www.ithome.com.tw/news/162610
微軟要在印尼投資17億美元以建置雲端及AI基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟執行長Satya Nadella周二（4/30）於印尼舉行的<a href="https://news.microsoft.com/apac/2024/04/30/microsoft-announces-us1-7-billion-investment-to-advance-indonesias-cloud-and-ai-ambitions/" target="_blank">Microsoft Build：AI Day會議上宣布</a>，將投入17億美元以推動印尼的雲端及AI基礎設施，並替當地84萬名人口提供AI技能機會，這也是微軟29年來在印尼最大的一筆投資。</p> <p>此一投資可望替印尼的AI轉型奠定基礎，其中包括建立微軟於印尼的第一個資料中心區域，以滿足當地對雲端運算服務日益增加的需求。此外，根據Kearney的研究，AI將替東南亞的國內生產總值（GDP）帶來1兆美元的貢獻，而印尼便占了3,660億美元。</p> <p>此外，微軟也計畫訓練當地的AI人才，對象包括學生、女性、弱勢及非營利組織的社群，預計讓84萬名人口取得AI技能。</p> <p>儘管印尼被列為開發中國家，但該國為全球第四大人口國，也是亞太地區僅次於中國及印度的第三大人口國，而印尼亦擁有310萬的GitHub開發者，同樣名列亞太地區第三名。</p> <p>根據<a href="https://github.blog/2023-11-08-the-state-of-open-source-and-ai/" target="_blank">GitHub去年底的統計</a>，從全球來看，美國、印度與中國為該平臺前三大開發者社群，印尼則排名第九；該統計也列出了亞太地區成長最快的社群，前五名依序是新加坡（年增39%）、印度（36%）、香港（35%）、越南（34%）與印尼（31%），然而，除了印度與印尼之外，並無其它國家入選全球前十大GitHub社群，微軟則預期印尼將在2026年擠上全球前五名。</p> </div></div></div>
2024/5/1 15:06作者陳曉莉https://www.ithome.com.tw/news/162611
傳蘋果挖角Google人才、成立歐洲AI實驗室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在AI領域急起直追，透過挖角及收購新創公司，強化研發實力，並已在瑞士悄悄成立AI實驗室。</p> <p>《<a href="https://www.ft.com/content/87054a60-dc4d-4238-a4b9-93ab48f22f56" target="_blank">金融時報</a>》分析LinkedIn使用者動態及蘋果公開職缺資訊報導，蘋果近來積極招募人才以擴充AI及機器學習部門，其中似乎特別鎖定Google AI員工。</p> <p>蘋果<a href="https://www.ithome.com.tw/news/127847" target="_blank">2018年找來</a>Google AI及搜尋部門主管John Giannandrea，隨後任命他為機器學習和人工智慧策略部門資深副總裁，主導將AI整合到蘋果所有產品，以及改善Core ML等開發工具，以創造「更個人化、智慧化的自然互動」。《金融時報》報導，蘋果近來又從Google挖來至少36人。</p> <p>報導另外指出，這家iPhone製造商也在瑞士蘇黎世悄悄成立AI實驗室。因為蘇黎世理工學院的關係，Nvidia、蘋果及Meta都在當地設有分公司。但報導引述蘇黎世理工學院（ETH Zurich）教授Luc van Gool指出，蘋果近日又在當地成立一個名為Vision Lab的實驗室，成員來自當地二家AI新創公司。一是發展臉部表情及3D動作捕捉技術供應商Faceshift，二是用於電商平臺圖像辨識業者Fashwell。其實蘋果已分別在2015年及2019年收購這二家公司。</p> <p>報導引述Vision Lab發表的論文，顯示已有生成式AI研發成果。像是用戶可以文字或圖片輸入提示，由代理程式查詢結果。例如用戶將相機對準衣服拍照或查詢「這哪裏有賣？」，代理程式即回傳可購買的店家或網站。</p> <p>這家iPhone及Mac電腦製造商希望能為裝置加入AI功能以深化服務，維持銷售動能。蘋果執行長Tim Cook曾在年初宣布今年內會有AI相關產品推出。雖然官方還是沒有說明其AI進展，但上周蘋果研發部門<a href="https://www.ithome.com.tw/news/162544" target="_blank">公布OpenELM AI模型</a>系列，最小者為2.7億參數，已具有在裝置上執行提示的能力。</p> </div></div></div>
2024/5/1 15:18作者林妍溱https://www.ithome.com.tw/news/162612
Android通用核心將移除RISC-V支援，但Google否認不再支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.androidauthority.com/android-drop-risc-v-kernel-3438330/" target="_blank">Android Authority</a>》報導，Google的Android共通核心（Android Common Kernel，ACK）近日更新，移除了對RISC-V指令的支援。但Google團隊仍表示會持續支援該架構。</p> <p>Google Android系統團隊本周發布AOSP（Android Open Source Project）一系列修補程式，將移除ACK對RISC-V64的支援。這些修補程式的描述文字表示，「將終止對RISC64 GKI核心的支援。」GKI（General Kernel Image）是ACK分支之一加上跨硬體執行的程式碼，目標是提供通用的、可移植的核心映像，減少裝置製造商的工作量，確保Android安全性及可攜性。</p> <p>對期待Android支援RISC-V的開發人員或產業人士而言，這是一大挫敗。RISC-V作為開源指令集架構，結合效能及功率效益，受到物聯網（IoT）、車用及穿戴裝置開發商愛用以支援新式應用。例如高通、Bosch、英飛凌（Infineon）、恩智浦（NXP）<a href="https://www.qualcomm.com/news/releases/2023/08/leading-semiconductor-industry-players-join-forces-to-accelerate" target="_blank">去年宣布成立合資公司</a>以開發RISC-V架構的處理器。</p> <p>在Google方面，這家軟體平臺大廠去年1月宣布ACK支援RISC-V架構，並<a href="https://github.com/riscv-android-src/riscv-android?tab=readme-ov-file" target="_blank">持續更新</a>加入其他工具。去年10月<a href="https://www.ithome.com.tw/news/159332" target="_blank">Google和高通宣布</a>合作開發穿戴裝置用的RISC-V晶片（品牌名為RISC-V Snapdragon Wear），<a href="https://www.ithome.com.tw/news/159576" target="_blank">Google並宣布</a>推進支援，將在今年公布模擬器，讓Android開發人員能編寫RISC-V平臺的原生程式碼。外界原本預期或許會有RISC-V晶片的WearOS智慧型手錶。</p> <p>在ACK移除對RISC-V核心、Build及模擬器的支援後，任何公司想組譯可執行在RISC-V平臺的Android，未來就必須自行維護具有ACK和相關程式碼的Linux核心。雖然媒體推測這也意謂著Android將完全不再支援RISC-V。但Google對媒體表示，Android還是會持續支援。Google解釋，GKI迭代速度很快，因此公司尚未準備好提供通用的單一映像檔。</p> <p>在Google有進一步支援（或不支援）的行動前，Android Authority指出，由於Google目前只有驗證包含特定ACK分支的GKI核心，這表示短期間內不會看到Android on RISC-V的硬體問世。</p> <p>這項行動和Google將資源全數集中投資巨大的AI是否有關不得而知。<a href="https://www.ithome.com.tw/news/162586" target="_blank">Google本周傳出</a>將裁減開發工具Python、Flutter、Dart等部門人力，將工作移轉到成本較低的海外地區。</p> </div></div></div>
2024/5/1 14:15作者林妍溱https://www.ithome.com.tw/news/162609
Amazon首季營收成長13%，AWS成長17%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon周二（4/30）<a href="https://ir.aboutamazon.com/news-release/news-release-details/2024/Amazon.com-Announces-First-Quarter-Results-68b9258cd/" target="_blank">公布今年第一季財報</a>，該季的總營收達到1,433億美元，成長13%。其中，AWS的營收占了250億美元，成長17%，整體而言，Amazon的淨收入達到104億美元，比去年同期增加了225%，當天Amazon的盤後股價上漲了1.26%，為177.2美元。</p> <p>該季Amazon的北美零售業務締造863.4億美元的營收，成長12.3%，營業利潤為49.8億美元，成長454%。國際零售業務營收為319.4億美元，成長9.7%，但營業利潤為9億美元，去年同期則是虧損12.5億美元。至於AWS該季營收則為250.4億美元，成長17%，但營業利潤達94.2億美元，成長84%。</p> <p>Amazon執行長Andy Jassy表示，隨著各家公司強化其基礎設施以更加現代化，再加上AWS的AI功能所帶來的吸引力，AWS的成長率正在重新加速，以第一季來看，AWS的年收入將可達到1,000億美元。</p> <p>此外，Amazon在零售業務上不僅開始提供每日低價產品，並加快送貨速度，亦力求降低服務成本；同時Stores及Prime Video的廣告業務也正在成長。該季Amazon的廣告營收達118億美元，年增24%，是Amazon服務細項中成長最快的類別。</p> <p>目前Amazon的全球員工數為152.1萬人，年增4%，而這也是最近6季以來，員工數唯一呈現正成長的一季，顯示應已脫離疫情後的裁員潮。</p> </div></div></div>
2024/5/1 12:23作者陳曉莉https://www.ithome.com.tw/news/162604
幣安前執行長趙長鵬被判刑4個月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為全球最大加密貨幣平臺幣安（Binance）創辦人暨前執行長的趙長鵬，在去年11月<a href="https://www.ithome.com.tw/news/159946" target="_blank">承認參與洗錢活動</a>之後，在本周二（4/30）舉行的量刑聽證會中，美國法官Richard Jones判處了4個月的監禁，相較於美國司法部所求處的3年刑期，或者是另一加密貨幣交易平臺<a href="https://www.ithome.com.tw/news/162034" target="_blank">FTX創辦人被判處</a>的25年刑期，這對趙長鵬來說應是個好消息。</p> <p>美國的調查顯示，幣安既未確實履行反洗錢計畫，也無視美國的制裁規定，依舊允許遭到美國制裁的國家與美國用戶交易，例如美國用戶與伊朗用戶之間的交易就超過9億美元。法官認為幣安將公司成長及獲利置於美國法令之上，且同時違反了美國的多項法令，最終幣安同意支付43億美元的罰款，而趙長鵬則同意辭去執行長一職，亦支付了5,000萬美元的罰款。</p> <p>在對趙長鵬的量刑中，儘管Jones認為趙長鵬擁有必要的資金、財務能力與人力，卻未能抓住遵守美國法令的機會，但也說並無證據顯示趙長鵬曾被告知幣安的非法活動。</p> <p>Jones也說他閱讀了大量來自趙長鵬親友的支持信件，發現他們對趙長鵬的描述都是一致的，亦即他是個慈善家，再加上趙長鵬是自與美國沒有引渡條款的阿拉伯聯合大公國自願來美受審，都讓他決定輕判。</p> <p>其實在量刑之前，趙長鵬自己就寄了<a href="https://storage.courtlistener.com/recap/gov.uscourts.wawd.328570/gov.uscourts.wawd.328570.81.1.pdf" target="_blank">道歉信</a>給法官，另外，法官還至少收到了超過160封<a href="https://storage.courtlistener.com/recap/gov.uscourts.wawd.328570/gov.uscourts.wawd.328570.81.2.pdf" target="_blank">支持趙長鵬的信件</a>，當中包括來自趙長鵬妻子何一（He Yi）的信件（有中、英文版）。</p> <p>外界估計趙長鵬依然握有幣安的主要股權，身價高達330億美元。</p> </div></div></div>
2024/5/1 11:46作者陳曉莉https://www.ithome.com.tw/news/162603
Brocade儲存區域網路管理軟體發現多個漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://pierrekim.github.io/blog/2024-04-24-brocade-sannav-18-vulnerabilities.html#suspicious-network-traffic-www.gridgain.com">資安研究人員Pierre Barre在Brocade儲存區域網路（SAN）管理軟體SANnav發現多個漏洞</a>，可能被用來攻擊光纖通道（Fibre Channel）交換器與SAN基礎設施。</p> <p>SANnav包括SANnav Management Portal與SANnav Global View等2項元件，可透過圖形化介面，提供自動化的SAN管理服務，幫助用戶簡化SAN環境的管理作業，免除繁瑣指令，並以易於理解的可視化資訊，掌握SAN環境的運作。</p> <p>Pierre Barre通報的SANnav軟體漏洞一共有18個，會影響2.3.0版以前的所有SANnav版本，其中有15個漏洞已被指派CVE識別碼。</p> <p>Pierre Barre早在2022年9月時，便透過Dell向Brocade通報這些問題，但當時Barre測試的SANnav版本是2.1.1版，而Brocade已推出新的2.2.2版，因而未接受Barre的安全通報。後來Barre在2023年5月確認2.2.2版仍存在這些漏洞，並額外通報3個新漏洞，Borcade才正式承認這些漏洞，並於2024年4月發布修正檔，將SANnav更新到2.3.1版以修補這些漏洞。</p> <p>第1個漏洞CVE-2024-4159，是因為SANnav的虛擬機器缺乏預設防火牆保護，從而允許攻擊者存取SANnav內含的Apache Kafka事件串流平臺API。</p> <p>第2個漏洞未獲CVE識別碼，是SANnav的HTTPS連接如果遭到攻擊者阻擋時，將會轉用HTTP來連接，從而讓攻擊者可以從SANnav的資料傳輸中尋找密碼資訊。</p> <p>第3個漏洞CVE-2024-4161，SANnav是透過未加密的明文，來接收Brocade光纖交換器的系統日誌（Syslog）流量。</p> <p>第4個漏洞CVE-2024-29966，與未獲CVE識別碼的第5個漏洞，分別是不安全的系統帳戶root與sannav，前者的密碼是在產品文件中公開的，而後者也使用相同密碼。</p> <p>第6個漏洞CVE-2024-2859，是系統預設可以透過root權限，在OpenSSH 設定檔設定不安全的選項。</p> <p>第7個漏洞CVE-2024-29961，與第17個漏洞CVE-2024-29961，都是SANnav存在可疑網路流量的問題，分別會向ignite.apache.org與<a href="http://www.gridgain.com">www.gridgain.com</a>定期發送HTTPS請求，讓人不解且顯得可疑。</p> <p>第8個漏洞未獲CVE編號，以及第9個漏洞CVE-2024-29967，都是SANnav的Postgres資料庫存取不安全，Postgres資料庫存取沒有身分認證機制，可透過任何Docker執行個體存取，並藉此存取內含敏感資料的dcmdb資料庫，且能覆寫Postgres Docker執行個體的關鍵檔案。</p> <p>第10個漏洞CVE-2024-29967與第11個漏洞CVE-2024-29964，都是SANnav的Docker執行個體運作不安全，允許攻擊者透過取代特定目錄中的二進位檔案來接管SANnav，且任何Docker執行個體都能編輯系統與日誌的組態；此外，構成SANnav的40個Docker執行個體，彼此間是以HTTP互連，配置上也存在多個漏洞，其中4個執行個體擁有較大的權限，可允許攻擊者接管整個SANnav。</p> <p>第12個漏洞CVE-2024-29965是不安全的備份程序，擁有本機存取權限的攻擊者可以將SANnav的備份檔案還原到其他裝置上，進而從中找出敏感的配置與密碼資訊。</p> <p>第13個漏洞CVE-2024-4159是防火牆規則不一致，SANnav提供了對應IPv4與IPv6的防火牆規則，但彼此間存在一些不一致，增加了IPv6連接遭受攻擊的機會。</p> <p>第14個漏洞CVE-2024-29962，是內含密碼與日誌的檔案存取權限不安全，攻擊者可藉此獲得密碼與讀取日誌。</p> <p>第15個漏洞CVE-2024-4173，是可透過多個WAN埠，存取SANnav內含的Kafka事件串流平臺，且缺乏身分驗證。攻擊者可透過暴露在WAN連接環境上的Kafka平臺，來攻擊SANnav系統。</p> <p>第16個漏洞CVE-2024-2996，與第18個漏洞CVE-2024-29963，分別是SANnav的SSH密鑰，以及Docker的TLS存取密鑰，都是在原廠OVA映像檔中寫死（Hardcoded）的型式，攻擊者有藉此破解與攻擊SSH與TLS傳輸的可能，所有基於原廠OVA映像檔部署的SANnav，都受這2個漏洞影響。</p> </div></div></div>
2024/4/30 18:04作者張明德https://www.ithome.com.tw/news/162600
金管會公布金融業運用AI指引最新進度，6月發布正式指引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會在去年10月發布金融業運用AI的六大核心原則，去年底更公布「金融業運用AI指引」草案，分別敘述金融業落實AI核心原則的建議作法，對外開放60天徵詢意見。金管會創新中心專委劉秀玲今日在例行記者會上表示，內部已參考外界意見做相關調整，目前正在徵詢專家學者建議，預計會在六月發布正式指引。</p> <p>這份指引草案的主要架構是將AI系統生命周期分為4個階段，分別是系統規畫及設計、資料蒐集及輸入、模型建立及驗證，和系統佈署及監控，建議業者在各個階段落實核心原則的作法。指引是為了鼓勵金融業在風險可控的情況下導入、使用及管理AI，性質屬於行政指導，不具法律拘束力。</p> <p>在記者會中，劉秀玲提出三個較重要的修正建議。第一，指引部分內容採用舉例的方式說明適用性，可能帶來侷限性，因此，金管可能調整說明方式，強調指引中的舉例僅供參考，增加指引適用的彈性。</p> <p>第二，AI模型部署方式包含自建、委外和外購三種方式，不同部署方式在適用AI指引時有不同情境，需要依據業者和合作廠商的分工情形，來釐清責任歸屬，因此，金管會可能會再針對不同部署方式增訂相關內容。</p> <p>第三，指引內容提到，業者運用高風險系統時，應由第三方稽核或評測單位進行獨立驗證。然而，部分業者建議，未必需要由獨立性單位進行驗證，改為第三方稽核或評測單位進行驗證更為彈性。</p> <p>目前，金管會尚在徵詢專家學者意見，評估如何修正指引內容，因此，劉秀玲表示，尚未確定將參採哪些建議。</p> <p></p> </div></div></div>
2024/4/30 17:59作者李昀璇https://www.ithome.com.tw/news/162599
【資安日報】4月30日，安卓金融木馬Brokewell透過冒牌Chrome更新網頁散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定手機的金融木馬攻擊不時傳出，最近研究人員揭露名為Brokewell的惡意程式，並指出該惡意程式能繞過Android 13的防護機制，進而透過側載的方式執行其他作案工具。</p> <p>值得留意的是，Brokewell並非首款能繞過上述防護機制的安卓惡意軟體，但研究人員認為，攻擊者未來應該會透過租賃服務提供其他網路犯罪份子利用，使得該惡意軟體危害範圍進一步擴大。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162593"><strong style="font-size: 22px;">金融木馬Brokewell挾持安卓裝置，從而竊取機敏資料、洗劫金融帳戶</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide1-Apr-17-2024-10-25-40-6370-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide1-Apr-17-2024-10-25-40-6370-PM.png" style="width: 300px; float: right;" /></a></p> <p>資安業者ThreatFabric發現名為Brokewell的安卓金融木馬，並指出該惡意程式具備廣泛的設備接管功能，攻擊者也開發了名為Brokewell Android Loader的惡意程式載入元件，從而繞過Google在Android 13加入輔助服務（Accessibility Service）管制，而能側載應用程式。</p> <p>這個惡意程式被發現的原因，是研究人員看到冒牌的Google Chrome更新網頁，與正牌網頁極為相似，不同之處在於：正牌網頁同時提供「取得Chrome」和「我想更新Chrome」的連結，冒牌網頁只有「更新Chrome」的按鈕。但這種差異，恐怕多數使用者都無法輕易察覺。</p> <p>根據研究人員的觀察，Brokewell幾乎每天都有更新，顯示駭客相當勤勞，他們也推測，未來這項攻擊模式很有可能朝向租賃服務發展，從而吸引其他網路犯罪份子，以此對更多地區發動相關攻擊。</p> <p><a href="https://www.ithome.com.tw/news/162589"><strong style="font-size: 22px;">福斯汽車傳出資料外洩，駭客疑似竊得逾1.9萬份機密資料</strong></a></p> <p></p> <p>德國媒體ZDFheute及明鏡（Spiegel）指出，他們取得汽車大廠福斯（Volkswagen）針對網路攻擊的調查文件，從而揭露一起未曾揭露的資安事故。</p> <p>根據這份文件，福斯從2010年至2015年遭駭客入侵，包含智慧財產相關的檔案遭到外洩。對方疑似從2010年調查該公司的IT基礎架構，尋找可用漏洞，並於次年成功存取，並在2014年多次將機密資料傳至外部伺服器，這些駭客犯案後亦清除作案跡證。</p> <p>後來資安專家調查發現，對方共發起3波攻擊，竊得汽油引擎、變速箱研發資料，而對於近年興趣的電動車，相關開發資料也慘遭毒手，估計總共超過1.9萬份文件外流。根據對方的IP位址，作案工具及時區，推測攻擊者來自中國，相關證據指向中國政府及解放軍。</p> <p><a href="https://www.ithome.com.tw/news/162598"><strong style="font-size: 22px;">身分驗證解決方案業者Okta提出警告，鎖定該公司用戶的帳號填充攻擊爆增</strong></a></p> <p>4月27日身分驗證解決方案業者Okta的資安團隊提出警告，繼思科從3月下旬發現鎖定多個廠牌的SSL VPN系統的大規模暴力破解攻擊，他們也在本月19日至26日，發現針對客戶的帳號填充（Credential Stuffing）攻擊大幅增加，而且，攻擊來源疑似是幾乎相同的攻擊基礎設施。但究竟有多少用戶受害？該公司並未說明。</p> <p>究竟對方如何取得使用者的帳密資料？該公司認為，駭客很可能是透過其他資料外洩事故，或是藉由網路釣魚及惡意軟體攻擊取得。</p> <p>值得留意的是，這些攻擊具有相同的特徵，那就是駭客仰賴隱身服務Tor來發出請求，而且，數以百萬的請求過程，也都透過濫用合法裝置的代理伺服器服務（Residential Proxies）進行。</p> <p><a href="https://www.ithome.com.tw/news/162576"><strong style="font-size: 22px;">冒牌美國郵局網釣網站流量超越正牌網站</strong></a></p> <p></p> <p>資安業者Akamai指出，他們員工收到許多佯稱是美國郵局（United States Postal Service，USPS）的詐騙簡訊，從而調查發現，從去年10月至今年2月，用戶DNS查詢僅有51%導向正牌的美國郵局網站，其餘都被導向釣魚網站，而且，每逢特定節日，釣魚網站的DNS查詢次數就會遠大於正牌網站。</p> <p>根據研究人員的調查，全球至少有超過68萬個含有USPS字串的釣魚網域名稱，其中約有27萬個採用.com、27萬個採用.top、5.8萬個採用.shop、3萬個採用.xyz、1.6萬個採用.org。</p> <p>雖然他們在調查期間，觀察到正牌網站的DNS查詢量略多於釣魚網站，但研究人員指出，這樣的結果是因過濾資料的方式造成，實際上惡意流量顯然超過了合法流量，這也突顯網域名稱搶註與網釣攻擊泛濫的現象。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.deepinstinct.com/blog/uncorking-old-wine-zero-day-cobalt-strike-loader"><strong style="font-size: 20px;">烏克蘭遭遇Office已知漏洞攻擊，對方利用PowerPoint檔案散布Cobalt Strike</strong></a></p> <p></p> <p>◆<a href="https://securityaffairs.com/162333/cyber-crime/swedens-liquor-supply-ransomware-attack.html"><strong style="font-size: 20px;">瑞典物流業者Skanlog傳出遭遇勒索軟體攻擊，導致當地酒品供應受到衝擊</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/london-drugs-pharmacy-chain-closes-stores-after-cyberattack/"><strong style="font-size: 20px;">加拿大連鎖藥局London Drugs遭遇網路攻擊，被迫暫停營業</strong></a></p> <p></p> <p>◆<a href="https://securityaffairs.com/162479/security/icici-bank-technical-glitch.html"><strong style="font-size: 20px;">印度銀行ICICI行動應用程式配置錯誤，導致逾1.7萬張信用卡資料曝光</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162590"><strong style="font-size: 22px;">針對防火牆危急漏洞CVE-2024-3400，Palo Alto Networks證實攻擊者有可能藉此持續存取受害裝置</strong></a></p> <p>4月12日資安業者Palo Alto Networks發布資安公告，指出旗下防火牆存在危急漏洞CVE-2024-3400，CVSS風險評分達到10分，此漏洞存在於防火牆作業系統PAN-OS的GlobalProtect功能，未經授權的攻擊者有機會使用root權限，在防火牆上執行任意程式碼。</p> <p>當時通報此事的資安業者Volexity指出，他們察覺這項漏洞的原因，是發現客戶的防火牆出現可疑的攻擊流量。Palo Alto也在17日證實，漏洞利用出現增加的情況，且有第三方公布概念性驗證程式碼（PoC），如今情況又有新的進展。</p> <p>30日該公司再度更新資安公告，指出他們針對前述的PoC手法進行分析，確認一旦攻擊者加以利用，即使IT人員對防火牆進行升級或是重置，對方仍能持續在受害裝置上活動，並以root層級執行命令。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162596"><strong style="font-size: 22px;">第4屆尋找資安女婕思資安競賽優勝者出爐</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GiCS-2024-Final.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GiCS-2024-Final.jpg" style="width: 300px; float: right;" /></a>為了培養多元的資安人才，近年來國家科學及技術委員會與教育部聯手，舉辦GiCS尋找資安女婕思資安競賽，今年已邁入第4屆。本次競賽自3月8日開放報名，上週末舉行決賽並發表成果。</p> <p>本次競賽於4月27日，在臺南沙崙資安暨智慧科技研發大樓舉辦決賽，比賽結果出爐，在資安闖天關的賽事當中，高中職組的冠軍是臺中高工及文華高中組成的WHC隊，拿下大專校院組冠軍的隊伍名稱相當特殊，叫做「逢甲大學是一所積極新創、學科齊全，在國際上具有重要影響力與競爭力的綜合性大學，歡迎大家報考逢甲大學」。</p> <p>而在另一場創意發想賽，高中職組由內湖高中「美少女戰四」隊得到冠軍，大專院校今年首度分為兩組，其中，資訊相關科系組的冠軍是元智大學「查某囝仔」隊，非相關科系組別的第一名，是中國文化及逢甲大學組成「蘑菇蘑菇讓我把你帶回家」隊。</p> <p><a href="https://www.ithome.com.tw/news/162396"><strong style="font-size: 22px;">儲存系統廠商CTERA強化勒索軟體防護能力</strong></a></p> <p>從雲端閘道器起家的CTERA，主力產品是基於GFS分散式檔案系統（Global File System）平臺的CTERA Edge Filer儲存裝置，以及雲端儲存服務，可建立跨多雲的分散式檔案儲存環境。為了對抗勒索軟體威脅，CTERA也在去年年中為其儲存平臺提供勒索軟體保護功能，其中包括基於機器學習的即時攻擊偵測、零時差漏洞濫用防護、事件管理儀表板，以及即時復原等功能。</p> <p>日前CTERA又為勒索軟體保護功能新增基於誘餌檔案（Decoy files）的資料外洩防護能力，可藉此偵測攻擊者的非授權存取行為，並即時展開對應，降低資料外洩的風險。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<a href="https://www.gov.uk/government/news/new-laws-to-protect-consumers-from-cyber-criminals-come-into-force-in-the-uk"><strong style="font-size: 20px;">英國擬禁止特定物聯網裝置採用預設密碼</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162579"><strong>【4月29日】互動式BI系統Qlik Sense危急漏洞遭到鎖定，對方利用勒索軟體Cactus發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162563"><strong>【4月26日】駭客鎖定網管人員散布後門程式MadMxShell，意圖取得入侵企業組織的管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162538"><strong>【4月25日】思科證實防火牆零時差漏洞遭國家級駭客利用，於政府機關植入後門程式</strong></a></p> </div></div></div>
2024/4/30 18:08作者周峻佑https://www.ithome.com.tw/news/162601
行政院提名翁柏宗、陳炳宏擔任NCC下一任正、副主委
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NCC現任委員任期即將於7月底到期，行政院公布提名人選，由翁柏宗擔任NCC主任委員，傳播學者陳炳宏擔任副主任委員，目前提名人選已送立院審議。如果獲得通過，新委員任期將從今年8月擔任至2028年7月底。</p> <p><strong>NCC副主委翁柏宗被行政院提名為下任主委：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/09_%E7%BF%81%E6%9F%8F%E5%AE%97_NCC_%E5%89%AF%E4%B8%BB%E5%A7%94%E6%9A%A8%E7%99%BC%E8%A8%80%E4%BA%BA600.jpg" style="width: 600px; height: 400px;" /></p> <p>依照作業程序，行政院在現任NCC委員卸任前3個月提名，新的提名人選中，翁柏宗現為NCC副主委暨發言人，一路從過去電信管理局、電信總局、電信技術中心，到NCC擔任委員、副主委，具有深厚的電信監理背景。</p> <p>陳炳宏則是師大大眾傳播所教授，正好與目前擔任NCC委員之一的王維菁同為師大傳所教授，陳炳宏專長為傳播產業研究、媒體素養等。</p> <p>其他兩位委員提名人選為羅慧雯與詹懿廉，其中羅慧雯為世新大學傳播管理系教授，具經濟學背景，擅長政治經濟、媒體經濟、傳播政策法規等，而詹懿廉則為NCC平台事業管理處長。</p> </div></div></div>
2024/4/30 19:06作者蘇文彬https://www.ithome.com.tw/news/162602
第4屆尋找資安女婕思資安競賽優勝者出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了培養更多資安女力，近年來國家科學及技術委員會與教育部聯手，舉辦GiCS尋找資安女婕思資安競賽，今年已邁入第4屆。本次競賽自3月8日開放報名，上週末舉行決賽並發表成果。</p> <p>本次競賽於4月27日，<a href="https://www.nstc.gov.tw/folksonomy/detail/f59e0470-9896-4fd0-b9be-c6ece7ac4b02?l=ch">在臺南沙崙資安暨智慧科技研發大樓舉辦決賽</a>，比賽結果出爐，在資安闖天關的賽事當中，高中職組的冠軍是臺中高工及文華高中組成的WHC隊，拿下大專校院組冠軍的隊伍名稱相當特殊，叫做「逢甲大學是一所積極新創、學科齊全，在國際上具有重要影響力與競爭力的綜合性大學，歡迎大家報考逢甲大學」。</p> <p>而在另一場創意發想賽，高中職組由內湖高中「美少女戰四」隊得到冠軍，大專院校今年首度分為兩組，其中，資訊相關科系組的冠軍是元智大學「查某囝仔」隊，非相關科系組別的第一名，是中國文化及逢甲大學組成「蘑菇蘑菇讓我把你帶回家」隊。</p> <p>本次資安競賽總共有超過4千人參加，同樣有國際交流賽程，一起進行互動的單位是韓國漢陽大學。</p> <p>比賽過程當中，兩組賽事各有特色，以資安闖天關而言，決賽場地不只是主場域的CTF關卡，也將情境解謎部分，結合一間藍軍攻防室進行；而在創意發想賽的部分，有隊伍在初賽提出相當吸引大家注意的議題，例如晉級隊伍探討量子運算對現有加密體系的衝擊、生成式AI及假新聞、使用導航遭駭可能衍生人身安全問題。</p> </div></div></div>
2024/4/30 16:23作者周峻佑https://www.ithome.com.tw/news/162596
電子簽章法修正法案獲立院三讀通過
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由數位部提出的電子簽章法修正法案，在2月底行政院通過，並提交立法院審議後，立法院今天(4/30)正式三讀通過。數位部表示，修正後的電子簽章法將滿足現今數位時代下，各種線上服務使用需求，可望加速電子簽章的使用普及。</p> <p>國內電子簽章法自2001年公布後，已有超過20年未修法，這段時間網路普及、各種網路應用興起，為趕上現今數位時代下的應用需求，數位部提出電子簽章法修正草案件，希望通過修法，讓電子簽章及數位簽章更能滿足現今數位環境的需求。</p> <p>此次修法包含幾個方向，例如確立符合法規的電子文件及電子簽章，功能上等同於實體文件及簽章，不得因其電子形式而否認其法律效力；並且明定數位簽章為電子簽章的一種，確立兩者間的關係；有別於電子簽章，數位簽章因具備經政府許可憑證機構簽發憑證，推定本人親自簽名或蓋章的法律效力。</p> <p>考量到不同族群、年齡層使用者的數位科技落差，此次修法也採納數位包容精神，明定採用電子形式之前，應在合理期間內給予相對使用者反對機會，並且告知相對使用者，如果沒有表示反對，推定同意採用電子形式。</p> <p>此外，此次也新增主管機關許可外國憑證機構之前的原則，在具備安全條件相當的前提下，除國際互惠之外，包括合乎國際技術標準的技術對接合作，另外，主管機關應定期調查行政院各部會及民間憑證機構，對電子簽章的核定、簽發、應用等情形，並且每年公布國際法規及市場的相關需求調查及研究。</p> <p>過去可能因為舊版電子簽章法對電子文件及電子簽章的法律效力不夠明確，部分的公務機關公告排除適用電子簽章，為加速政府機關對電子文件及電子簽章的使用，現在修法後將刪除公務機關公告排除適用，並明定排除適用的公告在修法實施一年後停止適用，但主管機關可展延一次，展延以2年為限。</p> <p>數位部表示，部分機關以行政公告排除適用電子簽章，一年後將停止適用，如果經過評估仍仍必需排除適用電子簽章，應儘速透過法規修法排除適用，考慮到修法可能花費較多的時間，可向數位部提出展延。</p> <p>為使電子簽章應用更為普及，數位部也計畫推動電子簽章解決方案服務能量登錄制度，由政府扮演第三方，透過登錄制度盤點電子簽章服務能量，建立電子簽章產業地圖。</p> <p>在立法院三讀通過電子簽章法修正法案後，數位部依照行政程序法，接下來需在6個月內制定相關的配套子法及辦法。數位部預期通過修法，未來推動電子簽章的普及運用，加速智慧政府及數位轉型的政策目標，並塑造多元電子簽章發展的有利法制環境，並且促成電子簽章和國際對接、交流往來。</p> <p>此次修法因確立電子文件及電子簽章的法律效力，還有使用政府許可憑證機構簽發憑證的數位簽章可推定本人親簽，具有更高的法律效力，區分電子簽章、數位簽章的法律效力，未來數位服務可因應不同的簽章的法律效力提供對應等級的服務。</p> <p>以電商的交易行為舉例，電商平臺為防止詐欺，可向網路賣家要求數位簽章，以類似實名制確認賣家身分，防止不肖業者欺詐的行為，至於付款的買家則可以使用效力較低的電子簽章即可。</p> </div></div></div>
2024/4/30 16:47作者蘇文彬https://www.ithome.com.tw/news/162597
身分驗證解決方案業者Okta提出警告，鎖定該公司用戶的帳號填充攻擊爆增
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月27日身分驗證解決方案業者Okta的資安團隊提出警告，繼思科從3月下旬發現鎖定多個廠牌的SSL VPN系統的大規模暴力破解攻擊，他們也在本月19日至26日，<a href="https://sec.okta.com/blockanonymizers">發現針對客戶的帳號填充（Credential Stuffing）攻擊大幅增加</a>，而且，攻擊來源疑似是幾乎相同的攻擊基礎設施。</p> <p>究竟對方如何取得使用者的帳密資料？該公司認為，駭客很可能是透過其他資料外洩事故，或是藉由網路釣魚及惡意軟體攻擊取得。</p> <p>值得留意的是，這些攻擊具有相同的特徵，那就是駭客仰賴Tor這類匿名服務來發出請求，而且，數以百萬的請求過程，也都透過非法代理伺服器服務（Residential Proxies）進行。</p> <p>而對於遭到攻擊的組織，Okta指出具有相似的組態，那就是他們大多執行Okta Classic Engine，而名為ThreatInsight的功能僅啟用稽核模式。此外，這些組織的身分驗證政策當中，也允許來自匿名代理伺服器發出的請求。</p> <p>對此，Okta也提出一系列防護措施，包含啟用ThreatInsight的事件記錄功能與加強防護模式、切換採用Okta Identity Engine、禁止來自匿名代理伺服器的存取等。但究竟有多少用戶受害？該公司並未說明。</p> </div></div></div>
2024/4/30 16:54作者周峻佑https://www.ithome.com.tw/news/162598
金融木馬Brokewell挾持安卓裝置，從而竊取機敏資料、洗劫金融帳戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者ThreatFabric發現名為Brokewell的安卓金融木馬，<a href="https://www.threatfabric.com/blogs/brokewell-do-not-go-broke-by-new-banking-malware">並指出該惡意程式具備廣泛的設備接管功能</a>，甚至能繞過Android 13新納入的防護機制。</p> <p>這個惡意程式被發現的原因，是研究人員看到冒牌的Google Chrome更新網頁，與正牌網頁極為相似，不同之處在於：正牌網頁同時提供「取得Chrome」和「我想更新Chrome」的連結，冒牌網頁只有「更新Chrome」的按鈕。但這種差異，恐怕多數使用者都無法輕易察覺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide1-Apr-17-2024-10-25-40-6370-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide1-Apr-17-2024-10-25-40-6370-PM.png" style="width: 580px;" /></a></p> <p>一旦使用者依照指示下載「瀏覽器更新」，手機就有可能被植入Brokewell。此惡意程式的主要功能，主要涵蓋了資料竊取及遠端控制能力。</p> <p>其中，針對資料竊取的部分，該惡意程式可在銀行應用程式執行的過程進行覆蓋畫面，從而竊取帳密資料，而對於盜取相關資料的管道，攻擊者也可透過挖掘cookie內容而得。一旦使用者完成登入流程，Brokewell就會儲存連線階段的cookie，並傳送到C2伺服器。</p> <p>另一方面，Brokewell也搭載名為Accessibility Logging的功能，從而截取受害裝置的所有事件，例如：使用者點選、滑動、文字輸入、開啟應用程式等，並且將其傳送到C2伺服器。此外，該惡意程式也具備多種間諜軟體功能，能夠收集裝置資訊、通話記錄、地理位置，而且還能錄音。</p> <p>一旦竊得特定帳密資料，攻擊者就能透過遠端控制功能，對裝置進行接管。值得留意的是，對方能將螢幕亮度調到最暗，並將手機靜音，而使得暗中操作受害手機難以被察覺，甚至有可能被用來發動自動轉帳系統（Automated Transfer System，ATS）攻擊。</p> <p>再者，攻擊者也開發了名為Brokewell Android Loader的惡意程式載入元件，從而繞過Google在Android 13加入輔助服務（Accessibility Service）管制，而能側載應用程式。</p> <p>根據研究人員的觀察，Brokewell幾乎每天都有更新，顯示駭客相當勤勞，他們也推測，未來這項攻擊模式很有可能朝向租賃服務發展，從而吸引其他網路犯罪份子，以此對更多地區發動相關攻擊。</p> </div></div></div>
2024/4/30 15:44作者周峻佑https://www.ithome.com.tw/news/162593
歐盟將iPadOS也納入《數位市場法》管轄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_24_2363" target="_blank">EC）周一（4/29）宣布</a>，繼iOS、Safari及App Store之後，蘋果的iPadOS也已被納入《數位市場法》（Digital Markets Act，DMA）的管轄範圍，要求蘋果於6個月內遵循。</p> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/qanda_20_2349" target="_blank">DMA</a>主要規範那些擁有龐大影響力，被視為守門人（Gatekeeper）的品牌與數位服務，以確保公平及開放的數位市場，其門檻包括最近3年每年在歐洲經濟區（EEA）營收超過75億歐元，或市值超過750億歐元，以及服務在歐盟每月活躍最終用戶超過4,500萬，或每年活躍企業用戶超過1萬。</p> <p>EC表示，蘋果的商業用戶超過DMA閥值的11倍，最終用戶數則接近閥值。此外，最終用戶被鎖在iPadOS上，蘋果利用其龐大的生態系統來阻止使用者轉至其它平板電腦的作業系統，企業用戶也被鎖在iPadOS上，因為它擁有龐大且具備商業吸引力的用戶群，同時它也是遊戲等特定程式的關鍵平臺。</p> <p>首批受到DMA規範的業者及服務已於今年3月6日的截止日之前履行EC的要求，而新加入的iPadOS也必須在6個月內符合要求，包括允許歐洲用戶自Apple App Store以外的市集下載程式，移除預裝於iPad上的程式，以及自行選擇裝置上的預設服務等。</p> <p>而遊戲業者<a href="https://twitter.com/FortniteGame/status/1784978857331691672" target="_blank">Epic Games</a>也在EC宣布此事的同一天指出，先前遭到蘋果下架的遊戲《要塞英雄》（Fortnite），很快就會重返歐洲市場的iPhone，也會在今年重返該市場的iPad。</p> <p>現階段EC仍在調查其它品牌或服務是否應納入DMA，已於今年3月收到Booking、ByteDance和X的通知，稱其服務規模可能達到DMA的門檻，EC可望於5月13日以前作出決議。</p> </div></div></div>
2024/4/30 15:49作者陳曉莉https://www.ithome.com.tw/news/162594
GitHub預覽AI開發者環境Copilot Workspace
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub本周一（4/29）<a href="https://github.blog/2024-04-29-github-copilot-workspace/" target="_blank">釋出了GitHub Copilot Workspace技術預覽版</a>，這是GitHub所設計的、基於各種Copilot代理人的開發者環境，允許開發者以自然語言與Copilot代理人互動，並在Copilot Workspace中接續完成腦力激盪、規畫、建置、測試與執行程式碼，也可於Copilot Workspace中查看從想法到完成程式碼的整個過程。</p> <p>GitHub執行長Thomas Dohmke指出，Copilot Workspace為一使用自然語言打造軟體的全新方式，讓開發者更快也更輕鬆地交付開發者的創造力，令經驗豐富的開發者得以系統思考者的身分進行操作，大幅降低建置軟體的門檻。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0430-GitHub%20Copilot%20Workspace-starts%20with%20the%20task.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0430-GitHub%20Copilot%20Workspace-offers%20a%20step-by-step%20plan.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／GitHub</span></span></p> <p>Dohmke說明，過去的兩年來，生成式AI從根本上改變了開發者的格局，它大多作為嵌入開發者環境中的工具，例如2022年推出的GitHub Copilot是編輯器中的自動結對工程師，提升了55%的開發者工作效率，去年發布了GitHub Copilot Chat，釋放自然語言在撰寫程式碼、除錯與測試上的能力，而Copilot Workspace則允許開發者得以利用自然語言來集思廣益、規畫、建置、測試並執行程式碼，這是個以任務為中心的服務，所有的程序都是透過不同的Copilot代理人來完成，同時也讓開發者完全控制流程的每一步。</p> <p>因此，開發者自GitHub Repository或GitHub Issue中就能使用Copilot Workspace，利用Copilot代理人作為開發者的第二個大腦，從發想階段就取得AI的協助，接著GitHub Repository會藉由對程式碼庫或問題回覆等資料的深入理解，提供逐步的解決計畫，並以自然語言列出清單。</p> <p>開發者可編輯由Copilot Workspace所提出的任何內容，確定計畫後即可直接於Copilot Workspace中執行程式碼，再進入底層的GitHub Codespace來調整程式碼，亦可透過連結與團隊共享工作區，之後即可提交拉取請求，執行GitHub Actions，針對程式碼進行安全掃描，以及要求團隊成員檢查程式碼。</p> <p>此外，Copilot Workspace可同時支援桌上型電腦、筆電與行動裝置。</p> <p>另一方面，GitHub Next負責人Jonathan Carter向<a href="https://techcrunch.com/2024/04/29/copilot-workspace-is-githubs-take-on-ai-powered-software-engineering/" target="_blank">《TechCrunch》</a>透露了更多有關Copilot Workspace的想法。Carter說，開發者在啟動一個新專案時，最容易卡住的地方就是不知該從何開始，特別是如何處理程式碼、要編輯哪些檔案，或者是各種解決方案的權衡，而Copilot Workspace即可減輕此一負擔。</p> <p>不過，目前GitHub也還不確定要如何將Copilot Workspace商品化，此一預覽版將可進一步令GitHub了解開發者會如何使用該服務，以及該服務的價值所在。</p> <p class="rtecenter"><a href="https://www.youtube.com/watch?v=L5Xny6yehUg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0430-GitHub%20Copilot%20Workspace-vedio.png" style="width: 600px;" /></a></p> </div></div></div>
2024/4/30 16:07作者陳曉莉https://www.ithome.com.tw/news/162595
英國祭出新法令，禁止IoT裝置採用容易被猜到或可在網路上找到的預設密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國的《產品安全暨電信基礎設施法案》（Product Security and Telecommunications Infrastructure Act，PSTI Act）<a href="https://www.gov.uk/government/news/new-laws-to-protect-consumers-from-cyber-criminals-come-into-force-in-the-uk" target="_blank">於本周一（4/29）正式生效</a>，當中規定了IoT裝置的最低安全標準，包括不得使用容易猜測或是在網路上可找到的預設密碼，也是全球首個導入相關規範的法令。</p> <p>根據統計，英國99%的成年人至少擁有一臺智慧裝置，而英國的每個家庭平均擁有9臺連網裝置，Which?的研究顯示，一個充滿智慧裝置的家庭，單周就可能遭到來自全球超過1.2萬次的駭客攻擊，而針對其中5臺裝置來猜測其薄弱密碼的攻擊便高達2,684次。</p> <p>PSTI Act所定義的IoT裝置涵蓋所有連網的智慧裝置，從智慧喇叭、智慧電視、串流裝置、智慧門鈴、嬰兒監視器、監視器、手機、遊戲機、平板電腦、智慧手錶、健身追蹤裝置、智慧冰箱、智慧洗衣機，一直到智慧水/電錶等。</p> <p>該法令要求上述所有IoT裝置的製造商必須符合最低的安全標準，包括不得採用諸如admin或12345等容易猜測的密碼，也不得使用可在網路上找到或被分享的預設密碼；必須提供窗口來接受及處理安全問題，也必須提供重要安全更新的最短修補時程。</p> <p>此外，由於大多數的智慧裝置都不是在英國製造，因此PSTI Act也適用於進口或零售相關商品的業者，違者最高可處1,000萬英鎊的罰款或是全球收入的4%。</p> <p>此一法令是為了避免利用IoT裝置的大規模攻擊行動，特別是在2016年被發現的殭屍病毒Mirai滲透了坊間60款採用預設帳號及密碼的IoT裝置，挾持了逾60萬個IoT裝置，再針對目標對象展開分散式服務阻斷（DDoS）攻擊，受害者涵蓋全球最大代管業者之一的<a href="https://www.ithome.com.tw/news/108660" target="_blank">OVH</a>，美國網路效能管理公司<a href="https://www.ithome.com.tw/news/109225" target="_blank">Dyn</a>，賴比瑞亞最大的電信業者Lonestar，<a href="https://www.ithome.com.tw/news/109944" target="_blank">德國電信</a>（Deutsche Telekom），以及英國銀行Lloyds與蘇格蘭銀行Royal Bank of Scotland。</p> <p>英國國家網路安全中心<a href="https://www.ncsc.gov.uk/files/Security-law-smart-devices-NCSC.pdf" target="_blank">（NCSC）則建議</a>消費者檢查現有的IoT裝置，包括變更它們的預設密碼，採用更強大的密碼，或是啟用雙因素身分驗證，同時部署IoT裝置的最新版韌體。</p> </div></div></div>
2024/4/30 14:20作者陳曉莉https://www.ithome.com.tw/news/162591
公共程式平臺上線，首波開放22個公共程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部今天（4/30）正式推出公共程式平臺（code.gov.tw），數位部今與國內六都代表、民間社群、國際倡議組織共同啟用公共程式平臺，為推動公共程式（Public Code）的精神，將政府機關開發的軟體程式碼視為公共財，公開程式碼讓外界及其他政府機關檢視及運用。</p> <p>公共程式的精神在國外發展較早，國內也有自由軟體、開放原始碼社群倡議，數位發展部在去年便開始規畫推動公共程式，終於在今天上線公共程式平臺，數位發展部與地方縣市政府合作，透過公共程式讓外界檢視運用，讓外界或其他政府機關依照自己的需求，檢視及運用這些公共程式，縮短重新開發的時間、節省成本。</p> <p>目前數位部已與臺北市、新北市、桃園市、臺中市、臺南市、高雄市六都取得合作共識，正在進行配套措施以共同推動公共程式，數位部強調未來會邀請更多政府機關加入推動公共程式。</p> <p>數位發展部長唐鳳指出，任何人可以公共程式平臺，直接使用或改進程式碼，在原有的程式碼基礎上創新精進，同時也能減輕公務機關的負擔，公共程式平臺如同一間圖書館，供外界借閱，產生新的論文，回饋到圖書館。發揮公共程式的另一個價值，透過公私協力，達成全民數位韌性。</p> <p>目前公共程式平臺已上架15個類別22個公共程式，數位部釋出的政府資料開放平臺前端、全球資訊網、ODF文件應用工具、公共程式平臺、公托報名管理系統，臺北市的城市儀表板、臺南市登革熱防疫現場工具（前端及後端），此外，公共程式平臺上還提供英國GDS政府數位服務團隊提供的GOV.UK Forms線上表單平臺及公部門業務訊息傳遞平臺GOV.UK Notify，還有Foundation for Public code提供的Publiccode.yml編輯器等工具。</p> <p>公共程式平臺推出僅是開始，數位發展部計畫全面的推動公共程式政策，涵蓋資訊系統、人才培育、規範指引，今年底預計推出針對公務機關的訓練課程、規範指引，輔導公共機關加入推動公共程式。</p> </div></div></div>
2024/4/30 14:57作者蘇文彬https://www.ithome.com.tw/news/162592
針對防火牆危急漏洞CVE-2024-3400，Palo Alto Networks證實攻擊者有可能藉此持續存取受害裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月12日資安業者Palo Alto Networks發布資安公告，<a href="https://www.ithome.com.tw/news/162282">指出旗下防火牆存在危急漏洞CVE-2024-3400</a>，CVSS風險評分達到10分，此漏洞存在於防火牆作業系統PAN-OS的GlobalProtect功能，未經授權的攻擊者有機會使用root權限，在防火牆上執行任意程式碼。</p> <p>當時通報此事的資安業者Volexity指出，他們察覺這項漏洞的原因，是發現客戶的防火牆出現可疑的攻擊流量。Palo Alto也在17日證實，漏洞利用出現增加的情況，且有第三方公布概念性驗證程式碼（PoC），如今情況又有新的進展。</p> <p>30日該公司<a href="https://www.darkreading.com/vulnerabilities-threats/palo-alto-updates-remediation-for-max-critical-firewall-bug">再度更新資安公告</a>，指出他們針對前述的PoC手法進行分析，確認一旦攻擊者加以利用，即使IT人員對防火牆進行升級或是重置，對方仍能持續在受害裝置上活動，並以root層級執行命令。</p> <p>不過，該公司強調，套用修補程式或是Threat Prevention的特徵碼，都能完全阻絕遠端程式碼執行（RCE），從而攔阻上述的漏洞遭到後續利用的情況，再者，目前他們也尚未察覺前述PoC被用於攻擊行動的跡象。</p> </div></div></div>
2024/4/30 12:37作者周峻佑https://www.ithome.com.tw/news/162590
Google開發工具部門裁員，影響Flutter、Dart、Python等團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2024/04/29/google-lays-off-staff-from-flutter-dart-python-weeks-before-its-developer-conference/" target="_blank">《Techcrunch》</a>報導，在Google I/O舉行前夕，Google傳出裁員消息，影響Flutter、Dart、Python開發工具及其他部門。Google官方也證實此事。</p> <p>受到影響的員工在<a href="https://www.reddit.com/r/technology/comments/1cfzuhf/google_layoffs_sundar_pichailed_company_fires/" target="_blank">Reddit</a>及<a href="https://news.ycombinator.com/item?id=40176338" target="_blank">Hacker News</a>上透露此事。一名Python團隊員工指出，該部門負責維護Python runtime、為Google員工排除問題，並和AI、機器學習等其他部門合作緊密，但不到10名員工仍全部遭到裁撤。<a href="https://social.coop/@Yhg1s/112332127058328855" target="_blank">另一名員工說</a>Google計畫將這工作轉移到其他工資較便宜的地區，像是德國慕尼黑。</p> <p>Flutter及Dart部門也受到影響。該部門產品經理Kevin Moore則在Reddit上<a href="https://www.reddit.com/r/FlutterDev/comments/1cduhra/comment/l1j9eoo/?rdt=45765" target="_blank">證實此事</a>。他說裁員決定是上面好幾層的主管所下，並且影響不只Flutter和Dart，「很多」團隊及很多專案都受到影響。</p> <p>Google開發工具部門裁員，影響的不只是員工，也令企業用戶擔憂未來以這些工具開發的應用及服務要如何維護。Moore無法承諾，只說已投資Google開發工具的客戶會感到緊張，「Google都了解」。</p> <p>Google官方也承認進行人事精簡。Google說為了確保公司在2023年下半到2024年能掌握市場機會，多個團隊經歷變動，以便讓團隊更有效率、去除組織層級，並使資源更有效運用。</p> <p>《Techcrunch》指出，Google通報的裁員人數為50名左右。</p> <p>Google官方對媒體表示會依當局要求提供受影響的員工支援，包括在Google內部轉職或外部就業協助，以及其他財務上的支持等。</p> <p>本周Google才<a href="https://www.ithome.com.tw/news/162555" target="_blank">宣布</a>亮麗的財報，今年第一季營收成長15%，Google執行長Sundar Pichai並宣布將以AI為中心投資及新產品開發。</p> </div></div></div>
2024/4/30 11:07作者林妍溱https://www.ithome.com.tw/news/162586
金融時報授權OpenAI使用內容訓練AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI與英國《金融時報》（Financial Times，FT）<a href="https://aboutus.ft.com/press_release/openai" target="_blank">宣布策略合作</a>，OpenAI將可使用其內容訓練AI模型，並提供給OpenAI的用戶。</p> <p>根據雙方最新合作，FT將授權OpenAI使用其新聞內容訓練底層GPT模型，提升模型有效性，而且OpenAI的ChatGPT將可在回應用戶的內容中，包含FT特定新聞摘要、引述、以及內容連結。</p> <p>此外，FT也宣布已在今年稍早成為ChatGPT Enterprise版本的客戶，所有FT員工都可使用ChatGPT提升生產力，強化創意。ChatGPT可用於草擬信件、為會議或文章摘錄重點、規劃活動或腦力激盪。</p> <p>FT向來只提供付費訂閱，每月最低費用為39美元。透過這項合作，ChatGPT用戶也能存取過去無法閱讀到新聞內容，有用戶認為，長期而言，可能會影響該報的付費訂閱商業模式。</p> <p>這是OpenAI取得內容授權打通AI訓練關卡的最新一家主流媒體。這家AI業者去年12月和今年3月<a href="https://www.ithome.com.tw/news/161783" target="_blank">已取得</a>德國媒體Axel Springer、法國媒體《Le Monde》以及西語媒體集團Prisa Media旗下刊物《El Pais》、《Cinco Dias》、《As》及《El Huffpost》的使用授權。在圖片方面，去年7月OpenAI<a href="https://www.prnewswire.com/news-releases/shutterstock-expands-partnership-with-openai-signs-new-six-year-agreement-to-provide-high-quality-training-data-301873298.html" target="_blank">也取得了</a>知名圖庫Shutterstock 6年授權，可使用其圖片、影片、音樂和metadata來訓練其DALL-E模型。</p> </div></div></div>
2024/4/30 11:21作者林妍溱https://www.ithome.com.tw/news/162587
美國四大電信業者出售客戶位置存取權限，被罰近2億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦通訊委員會<a href="https://docs.fcc.gov/public/attachments/DOC-402213A1.pdf" target="_blank">（FCC）周一（4/29）宣布</a>，美國四大電信營運商T-Mobile、AT&T、Sprint及Verizon因在未取得客戶的同意下，非法分享客戶位置資訊的存取權限，而分別面臨8,000萬美元、5,700萬美元、1,200萬美元與4,700萬美元的罰款。而根據《Ars Technica》的報導，上述業者都準備提出上訴。</p> <p>FCC的調查<a href="https://www.ithome.com.tw/news/130440" target="_blank">始於2019年</a>，先是媒體披露有人可以藉由第三方服務，根據電話號碼找到號碼主人的位置，隨後消費者即提出了集體訴訟。且FCC在2020年<a href="https://www.ithome.com.tw/news/136090" target="_blank">便曾開罰</a>這些電信業者，惟當時因FCC內部問題而令此事暫時擱置。</p> <p>現在FCC舊事重提，指出上述的每一家電信業者都將客戶位置資訊存取權限，出售給不同的聚合商（Aggregator），這些聚合商再將它們轉售給第三方的位置服務供應商，此外，電信業者也都企圖將取得客戶同意權的義務轉嫁至下游業者，意謂著許多時候都無法取得有效的客戶同意，而且就算當電信業者意識到相關的保障措施不足，依然繼續出售位置資訊的存取權限。</p> <p>根據美國通訊法令《Communications Act》，電信業者必須採取合理措施來保護客戶的某些資訊，包括位置資訊在內，電信業者不僅被要求要維護相關資訊的保密性，要使用、揭露或允許存取相關資訊時還必須取得客戶的明確同意，此一條款亦適用於與第三方分享客戶資訊時。</p> <p>除了必須保障消費者的隱私之外，FCC也擔心此一存取權落入壞人之手，或是被用於邪惡目的。</p> <p>不過，電信業者也提出了反駁。AT&T向媒體發出聲明，指出FCC要求它替已於合約中註明必須取得客戶同意的另一家業者承擔責任，是不公平的。而Verizon則說，相關專案早在5年前就已關閉，且當時僅有一家業者未經授權取得極少數的客戶資訊。</p> <p>事件發生之時，T-Mobile與Sprint還是兩家不同的公司，但它們已於2020年合併，代表T-Mobile將負擔9,200萬美元的罰款。</p> <p>不管是T-Mobile、AT&T及Sprint，都準備針對FCC的裁決提出上訴。</p> </div></div></div>
2024/4/30 11:51作者陳曉莉https://www.ithome.com.tw/news/162588
傳福斯汽車遭駭客竊取機密資料逾1.9萬檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國媒體報導，德國福斯汽車（Volkswagen）曾遭到駭客入侵網路，並竊取近2萬份和汽車與電動車相關的機密文件，時間長達5年。</p> <p>德國<a href="https://www.zdf.de/nachrichten/wirtschaft/volkswagen-china-hacking-industriespionage-emobilitaet-100.html" target="_blank">ZDFheute</a>及《明鏡》（Spiegel）記者看到一份福斯針對網路攻擊的調查文件做出報導。</p> <p>這份文件顯示，這家汽車大廠網路從2010年到2015年之間遭一個駭客組織入侵，外洩包含智財的檔案。駭客可能在2010年即開始研究福斯汽車的IT基礎架構，尋找可能濫用的漏洞，他們成功在2011年存取福斯IT基礎架構，並在2014年之間，多次將機密文件傳送到外部伺服器。在犯案後，還刪除了作案跡證。</p> <p>但事後調查的資安專家恢復證據，得以重建駭客竊取文件的目標。文件顯示，遭到竊取的檔案包括汽油引擎、變速箱、雙離合器變速箱（dual-clutch transmission）研究。此外，福斯汽車的電動車，包括引擎、燃料電池研究相關文件也是駭客下手的目標。總計共有超過1.9萬份文件遭到竊取。</p> <p>三波攻擊來自同一組人，至於駭客的身份，根據福斯文件，研究人員從駭客的IP位址、使用的軟體工具及時區，推測駭客來自中國。雖然沒有確切證據，但資料指向源自中國政府、甚至解放軍。</p> <p>不過中國駐德國大使駁斥中國政府涉入本案，強調中國也同樣譴責網路間諜活動。</p> <p>去年9月福斯汽車<a href="https://www.theregister.com/2023/09/28/volkswagen_crippled_it_disruption/" target="_blank">曾發生</a>IT設施運作中斷事件，導致5座工廠暫停營運。但該公司表示並非網路攻擊。</p> <p>汽車大廠自來是竊密行動的目標。2021年汽車大廠<a href="https://www.ithome.com.tw/news/148328" target="_blank">Volvo Cars</a>網路也遭駭，致使公司研發資料被竊。其他車廠從福特、通用、豐田、法拉利等，也都發生被駭客攻擊或中勒索軟體，導致客戶個資外流。</p> </div></div></div>
2024/4/30 12:11作者林妍溱https://www.ithome.com.tw/news/162589
Fintech周報第239期：日本SBI證券宣布已將股票交易系統遷移至公雲環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="line-height:1.38;margin-top:10pt;margin-bottom:4pt;"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">4/15~4/26金融科技精選新聞</span></span></h3> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本SBI證券</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 證券上雲 </span></strong></span></p> <h3>日本SBI證券宣布已將股票交易系統遷移至公雲環境</h3> <p>近年來，日本政府改變投資政策，鼓勵市民投入股市，包括推動NISA新制，免除小額投資的稅金，交易人數逐漸增加。為了因應快速增加的客戶數量和交易量，日本SBI證券近期宣布，他們已經將境內股票交易系統遷移至公雲環境，單日境內股票交易金額超過2兆日元（約4,000億新臺幣）。此外，SBI證券也計畫在2026年逐步將其他業務系統遷至雲端。</p> <p>2019年，SBI證券戶僅有約471萬戶，到了去年，帳戶數量飆升到1,106萬戶，今年更是突破1,200萬戶，位居日本第一。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 玉山金控 </span></strong></span></p> <h3>一支API提供12項應用服務，玉山金控GenAI平臺大解密</h3> <p>玉山金控在今年初向內部推出GenAI平臺GENIE，目前已啟用11項應用服務，1項服務正在開發中。GENIE平臺有兩大特色：API化服務和檢索增強生成（RAG）技術。一方面，GENIE是一隻獨立的API，可以整合到多種延伸應用服務，內部系統可以透過API串接來使用GENIE的功能。另一方面，玉山自建豐富的金融知識庫，藉RAG技術，來提升LLM模型回應金融領域問題的精準度。</p> <p>玉山金控目前規畫的12項GenAI應用服務中，可區分為基礎和進階應用服務。前者包括純文字和圖片生成、會議記錄生成和摘要總結翻譯等，能適用於多種場景。後者則是針對場景開發進階版應用服務，提升平臺在特定場景的服務能力。例如，法規文件比對、市場資訊摘要和生成，或運用客服資料進行顧客情緒分析。（<a href="https://www.ithome.com.tw/article/162552">詳全文</a>）</p> <p><span id="docs-internal-guid-5ae5dfa2-7fff-f0cc-37f8-85ac501e189b"><span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"></span></span></p> <p></p> <p dir="ltr" style="line-height:1.38;margin-top:10pt;margin-bottom:0pt;"><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 輔助軟體開發 </span></strong></span></p> <h3>澳洲澳盛銀行使用GenAI輔助軟體開發，並協助業務單位撰寫更精準的需求</h3> <p>澳洲澳盛銀行近日在一場活動中揭露，內部正在運用生成式AI協助軟體開發，包括分析業務需求，協助工程師將需求轉為技術架構，和撰寫自動化測試腳本。</p> <p>澳盛銀行平臺工程和SRE主管Rico Zhabg在活動中展示了一套解決方案Ensayo AI，這套解決方案由數千個系統規格、產品文件、監管要求等資料訓練而成，除了輔助開發，也可以協助業務單位撰寫更準確的需求單，讓工程師更快速地實現業務需求。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數據分析 </span></strong></span></p> <h3>日本純網銀SBI Sumishin運用GenAI開發數據分析工具，協助快速分析數據和製作報表</h3> <p>日本純網銀SBI Sumishin近日揭露，他們運用生成式AI開發了一款數據分析工具Shadow，協助業務人員快速分析數據，並生成報表資料。</p> <p>在這款數據分析工具中，使用者可以透過聊天的方式，請Shadow協助分析資料和產出報表，包括預測業績情況、分析數據潛藏的趨勢，和製作可視化圖表。</p> <div><img alt="" src="https://s4.itho.me/sites/default/files/images/img_corp_news_240423_pc.png" style="width: 600px;" /></div> <div> <h3 dir="ltr" style="line-height:1.38;margin-top:16pt;margin-bottom:4pt;"><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 保險立約 </span></strong></span></h3> <h3>日本保險公司Sompo Japan運用生成式AI協助加快火災保險立約流程</h3> <p>近日，日本保險公司Sompo Japan將生成式AI應用在保險立約流程，協助業務員快速統整客戶資料，為客戶撰寫適當的合約。</p> <p>傳統流程中，業務員需要確認客戶的資產，並轉寫為文件。部分業務員管理大量客戶，每個客戶可能提供不同格式的資產文件，需要花費時間統整，若遇到資產數量龐大的客戶，也需要業務員逐一確認和轉寫。因此，Sompo Japan將生成式AI導入這項流程，支援多種格式的文件辨識，協助確認客戶資產資訊並自動轉寫為合約。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 加拿大</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放銀行 </span></strong></span></p> <h3>加拿大預計在今年秋季完成開放銀行相關規範</h3> <p>加拿大政府宣布，將在今年完成開放銀行架構的立法，讓消費者可以安全地共享金融數據。他們預計在今年春季推出規範中的其中一部份，包括制定治理框架、開放範圍，和技術標準。其餘要素包括認證方式、通則，和安全措施將會在今年秋季陸續完成立法。</p> <p>為了確保和美國的開放銀行框架一致，加拿大參考美國作法，由金融消費者保護局作為開放銀行推動者，負責監督銀行業者，以及建立相關規範。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放金融</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中小企業貸款 </span></strong></span></p> <h3>英國計畫從開放銀行走向開放金融，財政部指定業界主導相關政策</h3> <p>近日，英國財政部經濟事務秘書Bim Afolami MP在一場公開活動上宣布，將成立開放金融專案小組，藉由開放金融數據，來提高中小企業的貸款機會。這個專案小組將由英國的金融機構和科技公司組成，並由英國創新技術金融中心（CFIT）擔任主席。CFIT表示，他們將負責挖掘適合的開放金融案例，解鎖更多資料，並建立API，提高中小企業金融便利性，同時，專案小組將尋找一些方式來鼓勵企業共享財務數據。</p> <p>CFIT在宣布作為開放金融專案小組主席後，接著宣布開啟中小企業貸款解決方案的實驗計畫。這個實驗計畫的參與對象包含巴克萊銀行，計畫將透過開放財務數據，和自動化申請書填寫的步驟，來提高資料準確性，協助加速信用評估和放貸決策流程。</p> <h3 dir="ltr" style="line-height: 1.38; margin-top: 10pt; margin-bottom: 4pt;"><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英國</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放銀行 </span></strong></span></h3> <h3>英國正在規畫開放銀行的長期的監管機構和框架</h3> <p>2017年，英國政府要求境內九家最大金融機構成立一個組織，負責推動開放銀行政策。如今，這個組織已完成階段性任務，英國金融監管機構也開始規畫建立開放銀行的監管機構。近期，由英國金融行為監理總署（FCA）、支付系統監管機構（PSR）、財政部等機構組成的聯合監理委員會（JROC）發佈了對開放銀行下一階段的建議文件，主要針對如何建立開放銀行監管機構、提供機構的定位、發展方向和工作內容。</p> <p>這份建議文件認為開放銀行在走向長期監管之前，需要先建立臨時性的組織負責接管開放銀行的政策運作。文件中提出未來兩年的開放銀行路徑圖，由臨時性組織負責推動五個關鍵項目，提高便利性、降低金融犯罪、保護消費者權益、改善第三方業者和使用者間的資訊流，和增加新服務，進行「非自動轉帳VRP」試點計畫。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英國渣打銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放API </span></strong></span></p> <h3>英國渣打銀行推出開放銀行市集，上架適用臺灣版本的API供企業測試</h3> <p>為了簡化和第三方企業合作的流程，英國渣打銀行近期推出開放銀行市集，上架包括臺灣共33個地區版本的API。企業註冊帳號並通過渣打銀行審核後，開放銀行市集才會提供API更細節的資訊，部分API會提供企業方一個沙盒環境，讓企業使用API開發或測試產品。</p> <p>英國渣打銀行的開放銀行市集中，提供8組適用於臺灣的API，分別是帳戶查詢、支付、通知和訂閱、證券服務、報告、外匯擔保、交易狀態和數據管理工具的API。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 樂天Pay</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 支付 </span></strong></span></p> <h3>日本樂天Pay將整合旗下所有支付應用程式</h3> <p>日本樂天Pay近期宣布，將整合樂天集團旗下所有支付應用程式，樂天點數、樂天Edy和樂天Pay三個應用程式，打造一個支付類的超級應用程式。</p> <p>樂天Pay向媒體透露，他們的整合作業將分為兩階段。第一階段是先將樂天點數App整合至樂天Pay，接著再整合可提供跨幣種儲值的預付型電子錢包樂天Edy App。第二階段是加強樂天Pay和信用卡App的連結，包括添加分期付款、小額貸款和查詢明細等功能至樂天Pay。此外，樂天Pay也計畫導入AI，協助顧客管理資金。</p> <div> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年4月</p> </div> </div> </div></div></div>
2024/4/29 13:21作者李昀璇https://www.ithome.com.tw/news/162572