iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 06:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

博通宣布VMware Cloud on AWS服務銷售策略的重大調整，未來將不再由AWS直接銷售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日，有傳言VMware與AWS合作推出的VMware Cloud on AWS服務將會終止。有用戶收到AWS的<a href="https://aws.amazon.com/tw/vmware/migrationaccelerator/">促銷優惠，</a>可以將其託管在AWS的VMware Cloud on AWS服務遷移到原生AWS服務。AWS甚至還<a href="https://aws.amazon.com/tw/blogs/mt/migrate-vmware-virtual-machines-to-amazon-ec2-with-the-aws-application-migration-service-replication-agent/">發表文章</a>教用戶如何將VMware 的虛擬機器遷移到自家EC2。AWS一連串舉措，引起外界聯想，AWS未來是否將不再提供VMware Cloud on AWS服務。</p> <p>直到6日，博通執行長Hock Tan親上火線，在<a href="https://www.broadcom.com/blog/vmware-cloud-on-aws-here-today-here-tomorrow">官方部落格發表文章</a>，澄清VMware Cloud on AWS並未終止，將一如往常地持續為客戶提供服務，不過，他同時宣布了VMware Cloud on AWS服務銷售策略的重大調整，未來將不再由AWS或其通路合作夥伴負責銷售，而是由博通或其經銷商接手銷售。</p> <p>VMware Cloud on AWS是VMware與AWS在2016年推出的混合雲服務，讓企業可以在VMWare私有雲及AWS公雲的混合雲基礎架構上執行應用。2018年還推出政府雲的VMware Cloud on AWS版本。</p> <p>VMware Cloud on AWS的技術底層是的VMware SDDC軟體堆疊，可以將內部以vSphere為基礎的環境移轉並延伸EC2上執行的AWS公雲環境，加速企業往雲端遷移。AWS在2019年開始在臺灣提供VMware Cloud on AWS服務，因此在臺灣也有不少企業用戶。此外，中華電信也與AWS合作提供整合VMware Cloud on AWS上的服務。</p> <p>對於現有VMware Cloud on AWS 的用戶，博通提出一個過渡方案，對於那些按月付款的一年或三年訂閱的用戶，AWS 將繼續提供服務，直到其訂閱期限結束。在這之後，如果用戶希望繼續使用，則需要博通向進行續訂。</p> <p>Hock Tan最後強調，VMware Cloud on AWS提供與VMware Cloud Foundation (VCF) 相同的軟體，無論是在公有雲還是本地部署中，都能夠協助企業實現基礎架構的現代化，並以最佳的TCO達成此目標。</p> </div></div></div>
2024/5/8 09:04作者余至浩https://www.ithome.com.tw/news/162753
【資安月報】2024年4月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年4月的資安月報中，物聯網安全的發展態勢成一大焦點，國際間有兩則重要新聞，一是英國產品安全暨電信基礎設施法（PSTI Act）正式生效，一是FIDO聯盟揭露IoT身分識別FDO標準即將有首批認證產品出爐。</p> <p>特別的是，我們注意到，這兩個涉及IoT安全不同層面的新聞，其實在某種程度上有一重要共通點：要讓「預設密碼」安全問題真正消失！因此，2024年將會是一個重要的轉捩點。</p> <p>長期以來，大家應該已經注意到，絕大多數IoT裝置都存在預設密碼、通用密碼的情況，像是admin、1234、0000等，更糟糕的是，許多使用者都不會更改這些預設密碼。</p> <p>由於這些預設密碼，大多在產品說明書或網路上都查得到，甚至過往這類產品還有萬用工程密碼、帳密寫死的情形，這都給了網路犯罪者相當大的可乘之機。</p> <p>記得今年初，我們看到美國CISA新公布Secure by Design系列警報，當時有一則就是──敦促製造商拒用預設密碼，避免相關的濫用威脅。</p> <p>CISA明確指出，依據多年來的經驗，期待顧客在購買產品後去變更預設密碼，是不切實際的一件事，多數顧客並不會這麼作。因此，只有在產品設計製造階段，就要設法消除預設密碼存在這件事。</p> <p>然而，儘管多年來資安界提倡Secure by Design，這三四年來，IoT設備通過資安標準認證的態勢亦相當顯著，但大家更關注的是，全球各國IoT資安立法的進度，因為這會是更強的一股力道，來規範產品安全。</p> <h2><strong>英國PSTI法案生效，強制規範消費性IoT安全，違反最高罰1000萬英鎊或營業額4%</strong></h2> <p>為何我們前面說2024會是一大轉捩點？</p> <p>這是因為，在2020年提出的歐盟《網路韌性法》（Cyber Resilience Act），以及英國《產品安全暨電信基礎設施法》（PSTI Act），都將在2024年正式發布。</p> <p>尤其英國PSTI法案，已經率先在今年4月29日生效。這不僅標示著，在英國當地銷售的物聯網產品，都必需遵循這項法令。更重要的是，英國成為全球第一個強制消費性IoT裝置必需達到最低資安標準的國家，尤其是禁止使用通用預設密碼、弱密碼，別具意義。</p> <p>儘管在此之前，美國兩州已有相關立法，包括加州法案SB 327與奧勒岡州法案HB 2395，均在2020年生效，但以國家層級而言，英國顯然是更積極。</p> <p>而且，在英國帶頭之後，還有歐盟網路韌性法也即將正式通過，由於涉及了大半歐洲市場，因此同樣受矚目。目前最新消息是，歐盟網路韌性法已在立法程序最後階段，預計最近兩個月生效。</p> <p>大家可以想見的是，這些法案不只影響物聯網設備安全，更影響了各國物聯網資安立法，同時也影響著臺灣許多物聯網相關產業。</p> <p>以這次英國PSTI法案來看，有哪些重點值得關注？我們簡單列舉如下：</p> <p>首先，這項法案由英國產品安全與標準辦公室（OPSS）負責執行，其規範對象，針對了所有可連網的消費性智慧裝置，包括：智慧型手機／平板、連網攝影機、路由器，以及各式智慧家居產品（如智慧門鈴、嬰兒監視器、智慧家電），還有智慧穿戴設備等。</p> <p>其次，這項法案所設定最低的安全標準，主要聚焦3大重點，分別是：</p> <p>●每個產品的密碼必須是唯一的，或由產品使用者更改密碼設定。這意味著禁止通用密碼，並對密碼強度有相關要求，或是用戶在首次使用時，必須重新設置一組新的密碼。</p> <p>●產品製造商必須提供通報產品安全性問題的聯絡資訊</p> <p>●產品製造商必需以明確且透明的方式，將產品生命週期的資訊公布給消費者。</p> <p>更重要的是，若是違反PSTI法案，情節嚴重者最高可被罰款1000萬英鎊，或全球營業額4％作為罰款。</p> <h3><strong>解決預設密碼問題成定局，</strong>國<strong>際間還有更多IoT安全規範正在發展</strong></h3> <p>除了上述新聞事件，近一年來國際間其實還有諸多發展。</p> <p>例如，在美國方面，聯邦通訊委員會（FCC）去年下半宣布針對智慧裝置祭出<a href="https://www.ithome.com.tw/news/157860">US Cyber Trust Mark安全標章</a>；在亞洲方面，<a href="https://www.asiatoday.co.kr/view.php?key=20231214010008923">南韓今年初宣布與新加坡簽署物聯網安全認證體系MOU</a>。</p> <p>對於臺灣而言，雖然我國在2018年就由經濟部與NCC啟動了物聯網資安標章制度，並成為公部門優先採購的安全產品，但如何有進一步發展，是我們持續關注的焦點。</p> <p>至於即將正式發布的歐盟網路韌性法，4月4日也有新消息。最新發布的一份文件「<a href="https://www.enisa.europa.eu/publications/cyber-resilience-act-requirements-standards-mapping">Cyber Resilience Act Requirements Standards Mapping</a>」，聚焦將網路韌性法附件所列出的每一項基本要求，與現有的資安標準一一對應。這不僅可以評估現有標準的涵蓋範圍，還能評估哪些標準需要更新或修訂，以涵蓋CRA的所有要求，更重要的是，可以幫助製造商遵循網路韌性法，以及識別其產品需要符合哪些標準。</p> <h2><strong>無密碼身分識別持續受重視，</strong><strong>FDO認證產品今年出爐</strong></h2> <p>另一重要消息是，FIDO聯盟近年推動的IoT設備身分識別標準，如今即將有首波FDO（FIDO Device Onboard）認證產品問世。</p> <p>這項消息，FIDO聯盟於4月在臺舉辦FDO Taipei Workshop活動上首度宣布，我們在活動現場亦得知，不僅Intel、Red Hat、Dell、英飛凌（Infineon）等科技大廠看重FDO的發展，也有越南業者VinCSS積極打造相關應用，臺灣亦有工業電腦廠東擎科技積極參與，並有望成為首批通過FDO認證產品的業者。</p> <p>回顧過去幾年，FIDO聯盟在無密碼身分識別方式的推動上，先是提出了UAF、U2F與FIDO2標準，促進了線上服務登入可免記密碼，到了最近幾年，他們顯然是將焦點朝向IoT領域，推出FDO標準，期望透過建立一個新的IoT開放標準，讓物聯網裝置註冊可以更安全又有效率。</p> <p>這項FDO開放標準有何特性？簡單來說，可應用在物聯網設備啟用時的身分驗證，幫助降低人為導致的資安風險，例如在製造、零售、醫療等場域，可望擺脫傳統IoT布署過程存在人工作業、預設密碼的狀況。</p> <p>綜合來看，我們可以發現，解決IoT設備端的預設密碼安全問題，確實在2024年有重要進展。</p> <p>無論如何，大家可以想見的是，居家與產業環境中連接的物聯網設備是日益增長，讓攻擊者有可乘之機的狀況也會越多，因此，IoT安全性的變革至關重要。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/162149"><span style="color: rgb(178, 34, 34);">【資安週報】2024年4月1日到4月3日</span></a></strong></h2> <p>在這一星期IT界與資安界最重大的新聞，就是有開發人員意外發現了XZ/liblzma被植入後門的事件，紅帽也公布了XZ相關漏洞CVE-2024–3094，本期有多篇新聞與此事件有關。</p> <p>所幸的是，這次能夠及早揪出了這個潛藏的後門，目前只有部分Liunx版本受影響，影響層面還不是太廣，然而，這起針對開源軟體的供應鏈攻擊事件，正持續受到調查與探討。</p> <p>不只是意外發現的過程，後門植入的手法，更讓各界吃驚的是，涉及此事件提交的GitHub帳號，竟是從2021、2022年就開設帳號並逐漸取得原始XZ維護者的信任，這樣的潛伏歷程備受矚目，也再次引發各界對於開源軟體安全議題的探討。</p> <p>還有兩個Linux漏洞的揭露值得關注，一是名為Flipping Pages、涉及netfilter元件的漏洞，一是名為WallEscape、涉及util-linux 套件的漏洞。這兩個漏洞的修補，分別在今年1月底與3月底釋出，近期研究人員各自揭露漏洞細節與並利用場景，同時呼籲尚未因應的用戶盡速更新。</p> <p>在其他漏洞利用消息方面，使用AI框架Ray的企業組織需特別留意，去年11月底Anyscale揭露5個漏洞，唯有CVE-2023-48022漏洞沒有修補，甚至認定這並非漏洞，但如今有資安業者揭露已濫用該漏洞的攻擊活動ShadowRay。</p> <p>Google Pixel手機用戶也要當心，在Android的4月安全更新公告中，有兩個Pixel的資訊洩漏漏洞已有跡象受到針對性利用，分別CVE-2024-29745、CVE-2024-29748，本期資安日報尚未提及，在此補上。</p> <p>在最近的資安事件中，還有2則新聞我們認為值得重視，分別發生在美國網路安全暨基礎設施安全局（CISA），以及非營利組織OWASP基金會。我們整理如下：<br /> <span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">●</span>美國CISA亦受到年初Ivanti系統漏洞影響，駭客針對美國聯邦高風險化學關鍵設施，入侵CISA提供的化學品資安評估工具（CSAT），並成功部署了Web Shell，且另一關鍵基礎設施資安資訊工具CISA Gateway也受影響。<br /> <span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">●</span>以公布十大網站資安風險而廣為知名的OWASP基金會，最近發布資料外洩通知，說明2006至2014年的成員簡歷檔案可能外洩，原因出在一臺舊的維基（Wiki）網頁伺服器，當中存在組態配置不當的問題。</p> <p>此外，國內發生一起7所高中校務系統遭駭的事件，根據教育部公布的初步調查，我們認為，當中有兩個議題值得留意與警惕。一是關於駭客勒索的對象，並非這些學校，而是打造校務行政系統的亞昕資訊，另一是通用帳號密碼的問題，調查中發現駭客先入侵1所學校的系統，獲得登入該校務系統的帳密，但駭客利用同一組帳號密碼，也能成功登入其他6所學校的系統。另亞昕有其他說法，說明此事件影響單機版校務行政系統，並指出駭客是針對受害客戶的主機入侵。有待後續調查釐清。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/162288"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年4月8日到4月12日</span></strong></a></h2> <p>在這一星期的漏洞消息方面，包含微軟、SAP、Adobe、西門子、施耐德電機等每月例行安全更新修補釋出，Rust開發團隊修補CVSS滿分10分的重大漏洞，以及LG修補智慧電視多個漏洞，而且，傳出5個漏洞已遭利用的消息。</p> <p>（一）微軟修補了兩個已經遭利用的零時差漏洞，分別是涉及SmartScreen繞過的漏洞CVE-2024-29988，以及關於Proxy Driver欺騙的漏洞CVE-2024-26234。<br /> （二）臺廠D-Link停止維護的多款NAS機型被發現多個新漏洞，其中2個已遭利用，除了本周資安日報提及的漏洞CVE-2024-3273，還有<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-3272">CVE-2024-3272</a>也已經遭到利用。D-Link呼籲用戶應儘速淘汰這些設備。<br /> （三）另一個本周資安日報尚未提及的漏洞，是Palo Alto Networks週五揭露旗下防火牆產品的零時差漏洞<a href="https://www.ithome.com.tw/news/162282">CVE-2024-3400</a>，並計畫於14日釋出修補，然而，發現漏洞被利用於攻擊活動的情形最早在3月下旬。</p> <p>還有兩項漏洞的揭露也值得留意，一是影響多個專案的新型態HTTP/2漏洞遭揭露，已登記9個CVE編號，另一是有研究人員發現網頁伺服器元件Lighttpd漏洞曾在2018年被默默修補，不只影響AMI MegaRAC的BMC韌體，進而影響Intel、聯想伺服器廠商。</p> <p>在資安事件焦點方面，國內上市櫃接連遭遇資安事件的狀況備受矚目，等於短短一週內，就有5家公司發布資安重訊，涵蓋生技、旅遊、塑化、食品與光電等不同產業，我們整理如下：</p> <p>●4月7日，上櫃生技醫療業佰研說明旗下電商「無毒的家」會員資料外洩事件。<br /> ●4月8日，上櫃觀光餐旅業富野說明旗下分公司資訊系統遭受網路攻擊。<br /> ●4月9日，上市塑膠工業聯成說明發生網路資安事件。<br /> ●4月9日，上市食品工業聯華說明發生網路資安事件。<br /> ●4月11日，上市光電業聯合再生公告有部分系統遭受駭客攻擊，導致工廠停工。</p> <p>值得注意的是，聯華實業、聯成化科均屬於聯華神通集團（MiTAC-Synnex Group），而我們在今年2月也曾注意到該集團的通路大廠聯強有疑似遭駭的消息在流傳，是否有更多災情尚不得而知；富野是近兩個月第二度遭遇事件，該公司表示上次事件後已規畫資安強化作為，但需要更多時間建置，因此未能阻擋這次攻擊。關於聯合再生的後續狀況，<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=105433&SPOKE_DATE=20240412&COMPANY_ID=3576">我們在此補充，該公司隔日已對此事件發布重訊</a>更新近況，表示在確認工廠產線設備未受影響後，已於11日當日下午復工生產。</p> <p>綜觀這些事件的公告，我們認為，由於主管機關證交所對於資安事故揭露要求越來越嚴格，因此不只是資料外洩開始出現在上市櫃公司的重訊，企業對於事件後續狀況的揭露，也比過往要積極，雖然短期內會讓大家產生資安問題似乎發生得比過去密集的印象，然而，隨著企業資安威脅態勢越來越透明，這些攤在陽光底下的亂象才是真正反映現況，有助於大家正視問題！</p> <p>在關注臺灣資安事件之餘，國際間也有一些重大事件，包括：日本光學設備製造商Hoya傳出遭勒索軟體駭客組織Hunters International攻擊，遭索討1,000萬美元贖金，越南石油公司PV Oil遭到勒索軟體攻擊，以及智利資料中心IxMetro Powerhost遭遇勒索軟體SEXi攻擊。</p> <p>此外，全球還有多個資安威脅的最新態勢，我們特別注意到在金融業、媒體政要領域，各有一項需要慎防的威脅。</p> <p>●對於金融業而言，國際信用卡組織Visa發布資安通報，說明最近一波的惡意軟體JsOutProx攻擊，並呼籲發卡銀行、處理機構及相關單位需嚴加防範；<br /> ●對於手持iPhone的記者、官員或政治人物而言，蘋果最近發現部分用戶遭到傭兵間諜軟體（Mercenary Spyware）鎖定，已通知可能遭鎖定的92國用戶，並建議依照步驟來提升裝置防護層級。</p> <p>在其他惡意活動的揭露方面，我們認為可留意下列消息，例如，語音網釣威脅又一例，LastPass示警，說明該公司員工收到一連串的電話、簡訊、語音郵件，並指出對方透過WhatsApp冒充公司執行長傳送Deepfake的語音訊息；過去曾攻擊Canon、全錄、LG的勒索軟體組織Maze，最近有資安業者揭露其成員可能東山再起，以名為Red CryptoApp的勒索軟體駭客組織重新出發，再度危害企業。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/162434"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年4月15日到4月19日</span></strong></a></h2> <p>在這一週的漏洞消息中，有Oracle發布今年第2季例行更新要注意，還有一個受到更多IT界關注的漏洞修補，是老牌終端機及傳檔工具Putty的開發團隊發布vuln-p521-bias漏洞通告，指出攻擊者可透過CVE-2024-31497漏洞，獲取NIST P521曲線演算法的ECDSA私鑰，因此，用戶除了更新軟體，也要立即撤銷並替換新的私鑰。所幸的是，這次漏洞僅有使用521位元的ECDSA私鑰的用戶受影響。</p> <p>在漏洞利用方面，有一則已知漏洞新傳出遭利用的消息，3月時中繼資料管理工具OpenMetadata維護團隊修補了5個漏洞，近期有研究人員發現，有攻擊者利用這些漏洞攻擊企業K8s環境，並部署挖礦軟體。</p> <p>另一值得留意的是，上期周報提及Palo Alto Networks修補已遭利用的零時差漏洞CVE-2024-3400，後續有研究人員指出，全球有8.2萬臺曝險，臺灣也有1,344臺這類設備，它們都是處於暴露於網際網路且尚未修補此漏洞的狀態。</p> <p>在資安威脅焦點方面，近期有3類型的攻擊活動，我們認為值得多加留意，包括鎖定VPN與SSH的攻擊，鎖定路由器的攻擊，以及網釣威脅與活動。<br /> ●多個廠牌的VPN系統或SSH服務正被攻擊者鎖定，發起大規模暴力破解攻擊，思科表示不只是自家產品，還有Check Point、Fortinet、SonicWall、Miktrotik、居易、Ubiquiti的設備遭鎖定，並發現針對遠端桌面的網頁存取服務攻擊的情況。<br /> ●過去幾週有不少殭屍網路鎖定路由器攻擊的狀況，最近又有新的活動被揭露，有資安研究人員發現Moobot、Miori、Condi、 AGoent、Gafgyt與Mirai變種這6種殭屍網路病毒，都在利用TP-Link去年修補的路由器漏洞發動入侵。<br /> ●近期一家美國電信服務商員工帳密遭網釣、內部系統遭存取的事件引發思科示警，因為該電信商負責Duo用戶的MFA簡訊通知及VoIP訊息，因此思科提醒用戶，留意遭竊資訊可能被攻擊者用於社交工程攻擊。<br /> ●去年一起鎖定美國大型汽車製造商的攻擊行動被資安業者揭露，當中指出攻擊者一開始發送的網釣郵件，是假冒免費IP位址掃描工具軟體Advanced IP Scanner為誘餌，顯然，IT人員持續成為駭客發動網釣的目標，必需抱持更大警覺。</p> <p>關於前幾個星期發生的兩起重大事件，最近有後續消息傳出<i>。</i>首先，對於日前XZ/liblzma後門事件，攻擊者竟潛伏為合法維護者的狀況，近日OpenJS基金會示警，表示收到一系列電子郵件，其內容是要求為熱門JavaScript專案指定新的維護者，因此他們與OpenSSF共同提醒開源維護者，需慎防這樣的社交工程攻擊手法；另一是上週蘋果罕見對全球92國iPhone用戶提出警告，如今有研究人員透露進一步細節，指出攻擊者使用的間諜軟體是LightSpy。</p> <p>在其他資安威脅態勢上，全球近來發生不少重大網路攻擊事件，都與政府或關鍵基礎設施有關，我們整理如下：<br /> ●臺灣外交部的機密資料傳出在暗網被兜售，外交部指出這些資料的來源可疑，涉及境外變造、偽造等不法行為，以及操弄認知作戰的意圖，將持續調查。<br /> ●在南海局勢升溫之際，有資安業者揭露近期中國駭客針對菲律賓的假訊息與駭客攻擊活動增加3倍。<br /> ●聯合國開發計畫署近期表示，哥本哈根聯合國城的IT基礎設施上月底遭網路攻擊，部分人力與採購資料遭竊。<br /> ●俄羅斯駭客組織Sandworm近期動作頻頻，不只鎖定烏克蘭關鍵基礎設施，也鎖定美國、波蘭的供水設施，以及法國的水力發電系統發動攻擊。<br /> ●針對俄羅斯持續發動網路攻擊，烏克蘭方面近期傳出反擊，該國駭客組織Blackjack宣稱，已入侵俄國工業感應器及監控基礎設施製造商Moscollector。</p> <p>還有3起勒索軟體攻擊事件也成新聞焦點。包括：總部位於荷蘭的晶片製造商Nexperia遭遇勒索軟體攻擊，旅館集團Omni傳出遭勒索軟體駭客組織Daixin攻擊，以及本期日報尚未提及的另一事件，那就是臺灣電子零組件大廠群光電子傳出遭Hunters international勒索軟體攻擊，在週末期間揭露，雖然影響似乎不大，因為群光回應媒體表示，事件未達重訊發布標準。</p> <p>但因消息曝光在週末，且涉及臺灣上市公司，加上駭客聲稱取得1.2TB、414萬個檔案，因此受到國人關切。在事件曝光後，群光電子也依據重大訊息發布規定，當媒體報導公司發生資安事件可能影響投資人之投資決策，需發布重大訊息，因此<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=115459&SPOKE_DATE=20240421&COMPANY_ID=2385">群光電子也在週日中午針對媒體報導發生網路資安事件一事發布重訊</a>，內容指出他們確時遭受網路攻擊，已啟動防禦與復原作業，並重申這次事件未達資安重訊發布標準，以及未有個資、機密文件檔案資料外洩。至於駭客組織聲稱竊取的檔案為何，有待更多後續消息揭露才能進一步得知。</p> <p style="margin: 0px;">此外，在前一星期的資安日報中，我們已經報導屬於聯華神通集團（MiTAC-Synnex Group）的兩家上市公司聯華實業、聯成化科，同時發布資安事件重訊說明發生網路資安事件，而且後續我們還注意到，傳出已有駭客組織宣稱竊取聯成480 GB的資料，不過我們尚未看到該公司有進一步說明。這起事件的影響性可能比群光的事件還大，不過其他國內媒體有報導此事的並不多，大多是將焦點集中在群光。</p> <p style="margin: 0px;"> </p> <h2><a href="https://www.ithome.com.tw/news/162567"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年4月22日到4月26日</span></strong></a></h2> <p>這一星期3則漏洞利用消息，有兩起涉及零時差漏洞利用，當中最受關注的是，思科修補了旗下ASA及FTD防火牆的2個零時差漏洞CVE-2024-20353、CVE-2024-20359，原因在於，思科Talos同時公布了調查狀況，指出年初經客戶通報安全性問題，調查後發現當時已有攻擊活動，並是國家級駭客UAT4356（亦稱Storm-1849）所為。</p> <p>另一事件發生在檔案伺服器軟體CrushFTP，該團隊宣布修補已遭利用的零時差漏洞CVE-2024-4040，有研究人員指出駭客很可能是鎖定政治目標收集情報。</p> <p>還有一個已知漏洞利用情形，是微軟詳細揭露了俄羅斯駭客組織APT28近年的攻擊手法，當中利用了Windows Print Spooler服務漏洞CVE-2022-38028。因此，近日美國CISA將之列入已知利用漏洞清單。</p> <p>其他漏洞消息方面，有一則影響全球10億用戶的消息，是市面上常見的中國拼音輸入法被發現存在諸多漏洞。為了幫助這些用戶不受攻擊者監控輸入內容，加拿大公民實驗室已向8家輸入法供應商通報大批漏洞，多家廠商已針對最嚴重的漏洞進行修補，但Vivo、小米卻並未針對通報回覆。</p> <p>在資安威脅態勢方面，有4則新聞我們認為值得重視，這些攻擊趨勢研究的面向，涵蓋SAP用戶、網頁伺服器被鎖定、CDN快取遭濫用、以及AI的趨勢，我們整理如下：</p> <p>●SAP用戶注意，有兩家資安業者警告，鎖定SAP旗下應用系統的勒索軟體攻擊行動在2023年大增，不僅攻擊活動比兩年前暴增4倍，SAP的RCE漏洞在黑市的價格也水漲船高，顯示駭客正對此有高度興趣。<br /> ●鎖定網頁伺服器已知漏洞並部署Web Shell的攻擊行動被揭露，目的是植入勒索軟體Adhublika，而全球受害數量最多的國家除了美國與印度，臺灣居於第三。<br /> ●駭客組織CoralRaider攻擊行動被揭露，研究人員指出對方使用CDN快取伺服器存放惡意程式，這將導致網路防禦系統可能無法對其進行偵測而放行。<br /> ●最新一項大學研究報告指出，LLM Agents將能自動利用具CVE編號、已被揭露的One-day漏洞，實測10個LLM的結果顯示，GPT-4成功完成這項工作，再次顯現AI帶來的風險與挑戰。</p> <p>此外，本期周報也新補上一則AI監管的最新動向，是<a href="https://fpf.org/blog/setting-the-stage-connecticut-senate-bill-2-lays-the-groundwork-for-responsible-ai-in-the-states/">美國康乃狄克州議會在24日通過了SB 2</a>，若是之後順利發布，SB 2將成為美國第一部監管民營企業開發與部署人工智慧的法案，成為與歐盟AI法案相當的立法。</p> <p>還有2則值得警惕的攻擊態勢，是關於駭客正鎖定資安管理不善的國防產業，以及鎖定網路邊際裝置來入侵。</p> <p>●韓國國防承包商傳出遭北韓駭客組織攻擊，導致相關機密資料被竊取，韓國警方提出警告，並指出多個北韓駭客組織利用了這些公司資安管理不善的情況進行滲透。<br /> ●Google Cloud發布M-Trends報告，除了談及過去一年攻擊者如何利用AiTM入侵多重驗證保護措施，網路釣魚技術在現代化安全控管機制下的演變，並指出中國駭客逐漸以缺乏EDR系統防護的網路邊際裝置與平臺為目標。</p> <p>至於其他最新惡意活動的揭露，本星期的焦點還包括：安卓金融木馬SoumniBot、惡意軟體SSLoad、竊資軟體RedLine等，以及駭客組織BlackTech利用新的後門程式Deuterbear的揭露。</p> <p>在資安事件方面，本星期發生多種類型攻擊事件，涵蓋零時差漏洞攻擊、軟體供應鏈攻擊、關鍵CI攻擊與資料外洩。這4則新聞如下：<br /> ●年初Ivanti零時差漏洞有新的受害組織，資安研究機構MITRE近日公布他們用於研究、開發、原型設計的協作網路環境NERVE遭入侵。<br /> ●防毒軟體eScan的更新機制竟成派送惡意程式GuptiMiner幫兇，研究人員指出是北韓駭客Kimsuky發動的軟體供應鏈攻擊，透過複雜的中間人攻擊手法，針對大型企業網路環境來部署後門程式。<br /> ●美國德州小鎮2起供水系統遭攻擊的事件，導致供水系統出現溢流現象，已手動控制因應，研判俄羅斯駭客組織Sandworm（APT44）所為。<br /> ●長榮航空在25日夜間發布資安事件，說明察覺不明人士取得旅客帳號資料並透過惡意IP位址登入網站，發現300多名旅客資料被存取。此外，先前<a href="https://www.ithome.com.tw/news/162568">群光遭駭事件這周末又有後續消息，我們在此補上，該公司指出駭客組織新揭露的SpaceX資料非機密資料</a>。</p> <p>特別的是，還有一起案外案，是北韓雲端伺服器組態不當造成資料外洩，當中資料顯示，疑似美國多家影音平臺動畫製作外包給中國公司，中國公司又外包給北韓動畫公司，導致違反美國政府禁令的狀況曝光。</p> <p>在防禦態勢上，這一星期有2項新進展，首先，我國數位發展部正式公布國家資通安全研究院（資安院）接手TWCERT/CC，這項消息其實我們在1月初採訪TWCERT/CC得知並揭露，2月也有對此的專訪報導，最近4月24日，<a href="https://moda.gov.tw/press/background-information/12418">數位發展部部長唐鳳與資安院院長何全德不僅正式宣布此事，同時還揭露5大推動策略</a>。</p> <p>其次，推動IoT開放標準協定FDO的FIDO聯盟，近日在臺舉辦FDO WorkShop活動，該單位認證計畫主管透露，首批通過FDO標準認證的名單將於近1到2月內公布，有4家廠商進度最快，臺灣工業電腦廠東擎科技也包括在內。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/162577">2024年3月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/161921">2024年2月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/161237">2024年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160880">2023年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160289">2023年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159582">2023年10月資安月報</a></h3> <h3> </h3> <h2><strong>無密碼身分識別持續受重視，</strong><strong>FDO認證產品今年出爐</strong></h2> <div> </div> </div></div></div>
2024/5/7 11:27作者羅正漢https://www.ithome.com.tw/news/162730
【資安日報】5月7日，執法單位預告將揭露勒索軟體駭客組織LockBit首腦身分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11個國家的執法單位於2月20日宣布破獲勒索軟體駭客LockBit的基礎設施，但與其他駭客組織的攻堅行動有所不同，執法單位後續表明他們掌握其首腦LockBitSupps身分，意有所指對方很可能住在遭到制裁的俄羅斯，事隔2個多月，此事又有新的進展。</p> <p>這些執法單位預告，將於指定的時間公布LockBitSupps身分，並在4天內關閉LockBit的網站，後續情況如何，有待進一步的觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162739"><strong style="font-size: 22px;">執法單位再度針對勒索軟體駭客LockBit的網站出手，預告透露對方更多身分相關資訊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GM1lfxjWYAAugIa.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GM1lfxjWYAAugIa.jpg" style="width: 300px; float: right;" /></a>2月下旬多國執法單位聯手圍剿勒索軟體駭客LockBit的基礎設施，後來不到一個星期的時間，對方疑似捲土重來，並將美國聯邦調查局（FBI）列為受害組織，雙方之間的攻防，最近又有新的進展。</p> <p>5月6日資安研究員Jon DiMaggio發現，執法單位疑似再度修改LockBit的網站，預告將在世界協調時間（UTC）7日下午2時公開發表聲明，內容包含該駭客組織首領LockBitSupps的身分，並並透露將公布其他不為人知的事情，在4天後關閉網站。該名研究人員認為，這次執法單位應該是來真的，可信度很高。</p> <p>對此，駭客向另一個資安研究團隊VX-Vnderground透露，認為執法單位宣稱的並非事實，表明他們仍持續從事攻擊行動，將會公布新的受害組織名單。</p> <p><a href="https://www.ithome.com.tw/news/162747"><strong style="font-size: 22px;">微軟圖學資料分析服務Graph的API遭駭客用於惡意通訊，攻擊烏克蘭組織</strong></a></p> <p>資安業者賽門鐵克提出警告，他們看到有越來越多駭客，在攻擊行動當中，濫用微軟圖學資料分析服務Graph的API，並指出駭客這麼做的目的，通常是也利用微軟雲端服務架設C2基礎設施的情況下，能夠促進相關通訊的進行。</p> <p>研究人員看到利用上述手法針對烏克蘭組織的攻擊行動，對方使用名為BirdyClient（或OneDriveBirdyClient）的惡意程式，並將其偽製成筆記型電腦觸控板驅動程式ALPS Pointing Device Driver（Apoint.exe）相關的DLL程式庫元件vxdiff.dll。</p> <p>此惡意程式的主要功能，就是連接微軟Graph的API，並利用雲端檔案共享服務OneDrive充當C2伺服器，然後讓攻擊者能上傳或下載檔案。不過，攻擊者的動機為何？研究人員指出，由於尚未找到其他作案工具，目前無從得知意圖，也不確定攻擊者的身分。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.infosecurity-magazine.com/news/revil-ransomware-affiliate"><strong style="font-size: 20px;">勒索軟體REvil附屬組織成員將面臨13年刑期</strong></a></p> <p>◆<a href="https://www.avanan.com/blog/custom-qr-code-phishing-templates"><strong style="font-size: 20px;">駭客冒充受害者所屬公司，寄送帶有QR Code的釣魚郵件，意圖騙取帳密資料</strong></a></p> <p>◆<a href="https://www.malwarebytes.com/blog/news/2024/05/watch-out-for-tech-support-scams-lurking-in-sponsored-search-results"><strong style="font-size: 20px;">駭客買下Google贊助商廣告，對搜尋知名新聞網站、網路公司的用戶進行技術支援詐騙</strong></a></p> <p>◆<a href="https://blog.kandji.io/malware-cuckoo-infostealer-spyware"><strong style="font-size: 20px;">間諜軟體Cuckoo鎖定macOS用戶而來，Intel與M系列處理器的電腦都是目標</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162741"><strong style="font-size: 22px;">研究人員揭露可洩露VPN流量的漏洞TunnelVision</strong></a></p> <p></p> <p>5月6日資安業者Leviathan Security Group揭露名為TunnelVision的漏洞，一旦攻擊者觸發，就有機會將用戶的VPN流量洩露到相同區域網路上的其他電腦，該漏洞被登記為CVE-2024-3661列管，CVSS風險評分為7.6。</p> <p>研究人員指出，TunnelVision可繞過VPN封包，藉由作業系統內建、用來自動分配IP位址的動態主機配置協定（DHCP），迫使目標使用者的流量離開VPN通道，進而有機會讓駭客可窺探流量。由於此手法並未破壞VPN所控制的通道，因而不會觸發VPN的網路自動斷開（Kill Switch）機制，使得用戶誤以為自己的流量仍受到VPN保護。</p> <p>由於TunnelVision攻擊手法是讓用戶脫離VPN的保護，嚴格來說，這並非VPN系統本身的漏洞，但研究人員還是透過電子前線基金會（EFF）及美國網路安全暨基礎設施安全局（CISA），向超過50個VPN供應商通報此事。</p> <p><strong style="font-size: 22px;">其他漏洞與威脅</strong></p> <p>◆<a href="https://blog.oversecured.com/20-Security-Issues-Found-in-Xiaomi-Devices/"><strong style="font-size: 20px;">研究人員在小米行動裝置多個應用程式找出20個漏洞</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162726"><strong style="font-size: 22px;">Google Cloud整合Gemini、Mandiant、VirusTotal，推出AI安全方案</strong></a></p> <p></p> <p>5月6日Google Cloud於RSA大會宣布推出名為Google Threat Intelligence的威脅情資服務，將以Gemini 1.5 Pro模型為基礎，整合資安分析產品線Mandiant與惡意程式解析服務VirusTotal而成。這項服務以AI助理Gemini提供簡單易用的介面，方便用戶以自然語言查詢Google旗下產品及公開資源為基礎的資安知識。</p> <p>該公司宣稱，結合其安全資料庫的Gemini，可簡化企業安全部門的研究作業。以分析WannaCry檔案為例，只需34秒就能完成逆向工程，並找出如何一擊阻絕運作。Gemini模型也提供實體萃取（Entity Extraction）工具，使AI助理能從網路搜尋公開研究資訊及產業報告，然後整理成結構清楚的資訊。</p> <p><a href="https://www.ithome.com.tw/news/162695"><strong style="font-size: 22px;">微軟公布安全未來倡議的6大支柱，將部署全新安全治理框架</strong></a></p> <p></p> <p>去年微軟帳戶（MSA）消費者簽章金鑰的外洩，導致中國駭客組織Storm-0558於微軟服務中潛伏超過1個月，滲透歐美地區的25個政府組織，今年初俄羅斯駭客組織Midnight Blizzard又成功入侵微軟測試租戶帳戶，長達兩個月才被發現。對此，美國國土安全部網路安全審查委員會（CSRB）認為，微軟的資安文化不足，無法防堵這些可以預防的意外，應進行根本性的安全改革。</p> <p>對此，5月3日微軟以去年提出的安全未來倡議（Secure Future Initiative，SFI）為基礎，提出相關的具體措施，他們根據SFI的3大核心概念：設計安全（Secure by Design）、以安全為預設（Secure by Default）、安全操作（Secure Operations），提出了6大支柱暨目標。包括：保護身分與機密、保護租戶並隔離生產系統、保護網路、保護工程系統、監控與檢測威脅，以及加快回應與修復速度。</p> <p>再者，該公司也宣布將部署全新的安全治理框架，新設多個副資安長執位，執行長Satya Nadella更宣告，微軟的政策將全面以資安為優先。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162725"><strong>【5月6日】德國與捷克證實去年遭遇俄羅斯駭客APT28利用特定Outlook漏洞攻擊事故</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162669"><strong>【5月3日】殭屍網路Goldoon鎖定D-Link家用路由器DIR-645老舊漏洞發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162601"><strong>【5月2日】Docker Hub遭濫用，被用來散播惡意程式與架設釣魚網站的映像儲存庫比例高達2成</strong></a></p> </div></div></div>
2024/5/7 16:53作者周峻佑https://www.ithome.com.tw/news/162751
資安業者揭露可外洩VPN流量的安全漏洞TunnelVision
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Leviathan Security Group周一（5/6）<a href="https://www.leviathansecurity.com/blog/tunnelvision" target="_blank">揭露了一個名為TunnelVision的安全漏洞</a>，它可將用戶的VPN流量外洩給位於同一區域網路上的駭客，其漏洞編號為CVE-2024-3661。</p> <p>根據研究人員的說明，TunnelVision是個可繞過VPN封裝的新型網路技術，藉由作業系統所內建的、用來自動分配IP位址的動態主機配置協定（Dynamic Host Configuration Protocol，DHCP），就可迫使目標使用者的流量離開VPN通道，進而讓駭客可窺探其流量，由於此一手法並未破壞VPN所控制的通道，因而不會觸發VPN的網路自動斷開（Kill Switch）機制，而讓使用者誤以為自己的流量仍受到VPN保護。</p> <p>於是，倘若使用者連結的對象是個HTTP網站，那麼傳輸內容將會被一覽無遺，若是造訪加密的HTTPS網站，駭客就只能察看使用者所連結的對象。此一技術自2002年便存在，但無法確定是否曾被濫用。</p> <p>駭客的攻擊方式是企圖成為攻擊目標的DHCP伺服器，包括設立一個流氓DHCP伺服器，取代合法的DHCP伺服器來回應用戶，或是透過位址解析協定（Address Resolution Protocol，ARP）欺騙來攔截DHCP伺服器及客戶端之間的流量，並將流量導至VPN之外。</p> <p>嚴格來說TunnelVision並不算是VPN服務的安全漏洞，因為它並未破壞VPN的加密安全技術，且VPN的功能依然健全，駭客只是迫使目標對象偏離VPN通道。而Leviathan亦將TunnelVision解釋成DHCP、路由表與VPN的運作方式。</p> <p>由於簡單地移除DHCP功能是不可行的，可能造成某些合法連線中斷，因此Leviathan建議VPN業者在支援它們的作業系統上導入網路命名空間（Namespace），以讓介面及路由表脫離區域網路的控制，而除了內建命名空間的Linux之外，Leviathan也建議其它作業系統採用Namespace。</p> <p>Leviathan已找到在Linux系統上防範TunnelVision攻擊的緩解措施，但此一措施存在一個側通道，可被用來執行針對性的阻斷服務攻擊，或是藉由流量分析將流量目的去匿名化。</p> <p>儘管這並不真的算是VPN漏洞，但Leviathan已透過電子前線基其會（EFF）及CISA通知了全球逾50個VPN供應商，另也提醒VPN業者不應誇大VPN的安全性，因為它們並無法保證使用者在不受信任網路上的流量可被保護，例如公共Wi-Fi。</p> </div></div></div>
2024/5/7 15:38作者陳曉莉https://www.ithome.com.tw/news/162741
開發者論壇Stack Overflow宣布與OpenAI策略聯盟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發者論壇<a href="https://stackoverflow.co/company/press/archive/openai-partnership" target="_blank">Stack Overflow今日（5/7）宣布</a>，已與OpenAI簽署合作協議，允許OpenAI使用該平臺的內容來訓練大型語言模型，而Stack Overflow也將利用OpenAI的模型來強化OverflowAI。</p> <p>Stack Overflow是個以QA為基礎的開發者論壇，開發人員於該平臺上彼此協助解決各種疑難雜症。在ChatGPT於2022年底問世時，Stack Overflow曾因擔心平臺被生成式AI內容所淹沒，而<a href="https://meta.stackoverflow.com/questions/421831/policy-generative-ai-e-g-chatgpt-is-banned" target="_blank">一度封鎖</a>來自GenAI的內容。</p> <p>隨著GenAI的改善，Stack Overflow先是在今年3月宣布<a href="https://www.ithome.com.tw/news/161559" target="_blank">與Google合作</a>，讓Google Cloud的Gemini得以透過OverflowAPI存取其知識庫，在開發人員呼叫Gemini時提供開發建議、程式碼及回答問題。</p> <p>本周Stack Overflow與OpenAI的合作同樣允許OpenAI存取其OverflowAPI，亦允許OpenAI藉由Stack Overflow社群所提供的內容及回饋來改善OpenAI的模型，並會在ChatGPT中將特定內容標註來自Stack Overflow。</p> <p>另一方面，Stack Overflow也會利用OpenAI的模型來開發及改善自家的AI服務<a href="https://www.ithome.com.tw/news/158048" target="_blank">OverflowAI</a> 。</p> <p>Stack Overflow執行長Prashanth Chandrasekar表示，該平臺為全球最大的開發者社群，擁有超過5,900萬個問答，雙方的結盟將可重新定義開發人員的體驗，藉由社群的力量、一流的資料與AI體驗來推動效率與協作。該公司對於OverflowAPI及負責任AI的目標是使用經過審查、可靠及準確的資料來設定新標準。</p> <p>OpenAI及Stack Overflow之間首批合作的功能預計會在今年6月以前推出，這意味著屆時的ChatGPT將可提供來自Stack Overflow且經過驗證的技術知識。</p> </div></div></div>
2024/5/7 15:53作者陳曉莉https://www.ithome.com.tw/news/162745
微軟圖學資料分析服務Graph的API遭駭客用於惡意通訊，攻擊烏克蘭組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者賽門鐵克提出警告，他們看到有越來越多駭客，在攻擊行動當中，濫用微軟圖學資料分析服務Graph的API，並指出駭客這麼做的目的，通常是也利用微軟雲端服務架設C2基礎設施的情況下，能夠促進相關通訊的進行。</p> <p>研究人員看到<a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/graph-api-threats">利用上述手法針對烏克蘭組織的攻擊行動</a>，對方使用名為BirdyClient（或OneDriveBirdyClient）的惡意程式，並將其偽製成筆記型電腦觸控板驅動程式ALPS Pointing Device Driver（Apoint.exe）相關的DLL程式庫元件vxdiff.dll。</p> <p>此惡意程式的主要功能，就是連接微軟Graph的API，並利用雲端檔案共享服務OneDrive充當C2伺服器，然後讓攻擊者能上傳或下載檔案。不過，攻擊者的動機為何？研究人員指出，由於尚未找到其他作案工具，目前無從得知意圖，也不確定攻擊者的身分。</p> <p>但這並非駭客首度濫用Graph的API，最初是2021年資安業者Volexity發現，北韓駭客組織InkySquid在發動惡意軟體BlueLight攻擊行動的過程裡，就濫用這種API建立C2連線。曾經將該API用於攻擊行動的駭客組織，還包含了APT28、APT29、REF2924、Red Stinger、Flea、OilRig。</p> </div></div></div>
2024/5/7 15:57作者周峻佑https://www.ithome.com.tw/news/162747
執法單位再度針對勒索軟體駭客LockBit的網站出手，預告透露對方更多身分相關資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月下旬多國執法單位聯手圍剿勒索軟體駭客LockBit的基礎設施，後來不到一個星期的時間，<a href="https://www.ithome.com.tw/news/161467">對方疑似捲土重來</a>，並將美國聯邦調查局（FBI）列為受害組織，而雙防之間的攻防，最近又有新的進展。</p> <p>5月6日資安研究員Jon DiMaggio發現，執法單位疑似再度修改LockBit的網站，<a href="https://twitter.com/Jon__DiMaggio/status/1787196230402998528">預告將在世界協調時間（UTC）7日下午2時公開發表聲明</a>，內容包含該駭客組織首領LockBitSupps的身分，並透露還會公布其他不為人知的事情，在4天後關閉網站。該名研究人員認為，這次執法單位應該是來真的，可信度很高。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GM1lfxjWYAAugIa.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GM1lfxjWYAAugIa.jpg" style="width: 580px;" /></a></p> <p>對此，<a href="https://twitter.com/vxunderground?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1787234502323978385%7Ctwgr%5Efcdd96d8c4cfa931dbc14540c8d9ff3858ade849%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fsecurityaffairs.com%2F162778%2Fcyber-crime%2Flaw-enforcement-seized-lockbit-site-again.html">駭客向另一個資安研究團隊VX-Vnderground透露</a>，認為執法單位宣稱的並非事實，表明他們仍持續從事攻擊行動，將會公布新的受害組織名單。</p> </div></div></div>
2024/5/7 15:20作者周峻佑https://www.ithome.com.tw/news/162739
【moda專欄】淺談社會投資報酬率（SROI）用於政府施政及社會影響力評估
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0507-modazhuan_lan_-sroi-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>文／數位產業署通訊傳播組傳播推廣科何勝泉科長</strong></p> <p>以往產業著重於投資報酬率（Return on Investment, ROI），將每一元投入所獲得的經濟報酬視為主要決策參考依據。而在數位轉型及多元價值的浪潮下，數位發展部數位產業署（後簡稱為「數產署」）扮演關鍵的數位馬達角色，推動政策引導各行各業數位轉型時，不僅追求數位及經濟效益，更關注對於社會永續發展的影響力。</p> <p>例如，在數產署成立後便積極推動的「<a href="https://100.adi.gov.tw/" target="_blank">公益創新・徵案 100</a>」徵案活動，向民間廣徵運用通傳科技的公益創新提案，以解決目前社會上存在各式各樣的問題。「公益創新・徵案 100」導入「社會投資報酬率」（Social Return on Investment，簡稱 SROI）的評估標準，透過 SROI，可以更全面及客觀地衡量每個提案對於社會不同面向的影響，進而擴散通傳科技效益及社會影響力。</p> <p class="rtecenter"><a href="https://100.adi.gov.tw/ahvs" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0507-moda%E5%B0%88%E6%AC%84-%E5%85%AC%E7%9B%8A%E5%89%B5%E6%96%B0%E4%B8%BB%E8%A6%96%E8%A6%BA.png" style="width: 600px;" /></a></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>什麼是社會投資報酬率（SROI）？</strong></span></span></p> <p>SROI 近年來在政府部門、民間企業、公益組織等領域逐漸受到重視，作為在公共議題投資規劃方面，達成更完整和有效溝通的重要工具。</p> <p>傳統商業領域最重視的數據之一，莫過於投資報酬率（ROI），時至今日已成為大眾生活中耳熟能詳的名詞。不過， ROI 只看經濟產值，無法呈現投資後的環境及社會影響，囿於單一面向的思考，長期為人所詬病。</p> <p>SROI 提供了一套完整、具系統化的價值影響力評估方法，幫助評估公共政策、數位轉型規劃、投資方案等，對於整體社會、環境帶來的影響與效益。利害關係人的正負向感受將轉換為貨幣，讓大眾能夠理解每一塊錢的投資對於多元價值的影響。</p> <p>簡單來說， SROI 就是衡量投入經費或資源後，所產出「非經濟財務面」的回饋報酬。例如減少政府社會福利負擔、環境更舒適、民眾更健康或開心等。因此，評估 SROI 時，會全面衡量不同利害關係人在經濟價值、社會價值與環境價值及情緒感受等不同面向，並整合在一起，再賦予其貨幣價值進行評估和計算。</p> <p>SROI 的評估有「八大原則、六大步驟」。八大原則為：1.利害關係人的參與、2.瞭解執行專案所產生的影響、3.僅納入重要訊息、4.關鍵成果定價、5.不過分誇大成果、6.保持透明公開、7.審核成果、8.優化回應。</p> <p>而六大步驟則是：1.確認分析範圍與重要利害關係人、2.透過議合來釐清投入產出的成果描繪與影響改變、3.選用適當的財務代理變數來證明成果並賦予價值、4.運用四大影響因子建立價值變化之影響力範圍、5.考量利率、折現率及敏感度條件進行 SROI 的分析計算、6.提出充分且透明的報告與應用。</p> <p class="rtecenter"><a href="https://moda.gov.tw/press/multimedia/blog/12618" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0507-moda-SROI%E5%85%AD%E6%AD%A5%E9%A9%9F.jpg" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／數位部</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>政府部門導入社會投資報酬率（SROI）的契機</strong></span></span></p> <p>政府部門經常需要對政府施政和專案計畫進行評估，以確保所規劃政策和計畫能夠對於大眾產生最大效益。因此， SROI 評估成為政策規劃的重要工具，可協助政府評估政策與計畫的規劃是否達到預期的多元社會效益。</p> <p>數產署積極將 SROI 的概念導入評估方法中，像是前文提到的「公益創新・徵案 100」，手語視訊轉譯中心（簡稱：VRS）、5G 元宇宙專業職能作業訓練系統（簡稱：5G 職訓系統）等專案，都是運用 SROI 來衡量整體社會價值及影響力。</p> <p>「手語視訊轉譯系統」是由數產署與衛福部社家署合作，針對台灣 14 萬聽語障人士共同合作建置。數產署負責 VRS 系統建置，並於 113 年 6 月後移由衛福部社家署進行維運。VRS 主要透過手語翻譯員提供聽語障者與一般聽者之視訊轉譯及文字轉譯服務，以期透過通訊傳播科技的創新服務，建立聽語障礙人士無溝通障礙的數位環境，達到數位包容與數位平權的目標。</p> <p>「5G 職訓」由數產署與勞動部勞發署共同跨部會合作，並委託工研院於僑光科技大學建置全國第一個通過 5G 專網執照的學校單位。透過 5G 專網的快速、廣連結、高效率及資料保密特性，運用虛實整合技術來推動專業技術訓練，以期促進國內人才培育及提升就業機會目標。</p> <p>而「公益創新・徵案 100」是數產署以公開方式向民間廣徵具通傳科技的公益創新提案，鼓勵個人、新創團體及企業運用通訊傳播科技，導入多元社會公益創新以解決社會問題，並透過群眾募資方式，驗證社會大眾支持度，好的提案會獲得多數人的支持，最後才會達到永續營運並推廣公益理念及價值。</p> <p>以此案為例，數產署會首先衡量此專案的範圍，藉由實際訪談或座談，確認此專案的利害關係人，包含：參與徵案的團隊、參與募資的民眾、計畫輔導團隊及公部門等，並且釐清各利害關係人的投入、產出與描繪成果。亦有參與的團隊回饋，藉由 SROI 的評估，可以感受到團隊能見度提高、團隊凝聚力提高、團隊自信心提高等傳統上不易量化和說明的正面影響。</p> <p>我們藉由適切的財務代理變數，對成果進行衡量和定價，同時秉持不誇大原則，以及考慮四大影響力因子及折現率後，估算出 SROI 值，也就是參與徵案可以提升的社會投資報酬率。 SROI 衡量過程強調的是重視利害關係人的感受，因此，我們透過與團隊反覆溝通、確認討論結果，讓量化數值能更貼近專案所創造出來的社會價值，更具可信度。</p> <p>SROI 已經是國內外政府及民間機構在政府施政、計畫投入與決策的重要參考依據，以更客觀方式全面評估社會影響力，透過「投入的資源成本」與「產出的社會價值」之間的相互關聯，客觀衡量政府施政為社會所帶來的影響力，作為政府跨部會及跨領域的溝通橋樑，有助於後續強化政府決策及擴大社會福祉的目標。</p> <p><a href="https://moda.gov.tw/press/multimedia/blog/12618" target="_blank"><strong>（本文轉載自moda blog）</strong></a></p> </div></div></div>
2024/5/7 13:24署名 moda專欄https://www.ithome.com.tw/article/162738
外傳蘋果也在開發AI資料中心晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/tech/ai/apple-is-developing-ai-chips-for-data-centers-seeking-edge-in-arms-race-0bedd2b2" target="_blank">《華爾街日報》</a>（The Wall Street Journal，WSJ）本周引述消息來源報導，蘋果正在開發自己的晶片設計，以於資料中心伺服器執行AI軟體，專案名為ACDC（Apple Chips in Data Center）。</p> <p>蘋果正努力追趕微軟、Meta、Google及Amazon的AI能力，目前只有蘋果尚未提供AI聊天機器人，不過，蘋果除了已經<a href="https://www.ithome.com.tw/news/161261" target="_blank">購買逾30家AI新創公司</a>之外，執行長Tim Cook也宣布正努力開發AI功能，今年就會發表成果，外界則預計蘋果的AI服務可望於下個月舉行的WWDC大會上發表。此外，由於蘋果已有自製iPhone與Mac晶片的經驗，開發AI晶片並不令人意外。</p> <p>另一名來自Haitong International Securities的蘋果分析師Jeff Pu亦於日前指出，蘋果將在預計於今年秋天問世的iOS 18中提供AI功能，並結合M2 Ultra與M4晶片以支援遞送相關功能的AI伺服器。M系列是蘋果專為Mac所設計的處理器，目前最新的版本為M3，因此M4顯然是蘋果正在開發的版本。</p> <p>根據《<a href="https://appleinsider.com/articles/24/04/30/apple-to-unveil-ai-enabled-safari-browser-alongside-new-operating-systems" target="_blank">Apple Insider</a>》的報導，蘋果的AI服務可能包括於Safari瀏覽器中提供AI搜尋服務，利用AI來刪除不必要的網頁內容，也正在開發視覺搜尋功能，以及在iOS與macOS上增添AI功能。</p> </div></div></div>
2024/5/7 12:38作者陳曉莉https://www.ithome.com.tw/news/162737
IBM AI、自動化等軟體將在92國AWS軟體市集上架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2024-05-02-IBM-Expands-Software-Availability-to-92-Countries-in-AWS-Marketplace" target="_blank">IBM本周宣布</a>旗下超過六十款AI、資料、自動化、安全軟體及SaaS服務將在Amazon Web Services（AWS）軟體市集上架，以推向92國。</p> <p>在此之前，IBM軟體觸及區域僅侷限於丹麥、法國、德國、英國及美國。透過在全球性的AWS Marketplace上架，企業用戶可以更容易找到並採購軟體與服務。</p> <p>IBM新上架的產品有44種軟體及29項SaaS服務。詳細而言，這些服務包括供打造、部署及管理AI負載的watsonx AI and Data平臺、在開放資料湖架構上的資料商店Watsonx.data、企業AI應用開發平臺Watsonx.ai，以及二款IBM AI助理watsonx Assistant及watson Orchestrate等。用於治理的watsonx.governance也很快就會上架。</p> <p>其他上架軟體還有IBM資料庫Db2 Cloud Pak for Data，及來自IBM近年收購的<a href="https://www.ithome.com.tw/news/157535" target="_blank">Apptio</a>、<a href="https://newsroom.ibm.com/2021-06-17-IBM-Closes-Acquisition-of-Turbonomic-to-Deliver-Comprehensive-AIOps-Capabilities-for-Hybrid-Cloud" target="_blank">Turbonomic</a>和<a href="https://www.ibm.com/blog/instana/" target="_blank">Instana</a>的雲端自動化應用與網路管理軟體，以及IBM安全和永續軟體。這些都是在Red Hat OpenShift Service on AWS平臺上開發。這些雲端原生軟體利於用戶部署在AWS上，並提供彈性授權方式，包括SaaS和訂閱。</p> <p>IBM同時推出專為AWS設計的15項IBM顧問服務，可協助企業在AWS上部署具生成式AI能力的安全及產業別應用，這項服務將由來自IBM顧問服務事業群的一組AWS專門團隊提供。</p> </div></div></div>
2024/5/7 09:38作者林妍溱https://www.ithome.com.tw/news/162727
整合Gemini及Mandiant、VirusTotal技術，Google Cloud推出AI安全方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/identity-security/introducing-google-threat-intelligence-actionable-threat-intelligence-at-google-scale-at-rsa/" target="_blank">Google Cloud昨（6）日</a>在RSA大會上宣布一項整合旗下Mandiant、VirusTotal及Gemini模型的資安服務，讓企業更容易理解攻擊及更快速回應。</p> <p>名為Google Threat Intelligence的服務是以Gemini 1.5 Pro模型為基礎，整合資安分析產品線Mandiant與惡意程式解析服務VirusTotal而成。這項服務以AI助理Gemini提供簡單易用的介面，方便用戶以自然語言查詢Google旗下產品及公開資源為基礎的資安知識。</p> <p>Google Threat Intelligence的安全知識庫整合Mandiant威脅分析與回應知識，以及VirusTotal上來自眾多研究人員上傳的惡意程式分析資料，涵括Google Cloud安全服務分布網路上的惡意偵測器蒐集的攻擊動態、Mandiant研究部門的調查研究及安全報告、與逾100萬名VirusTotal使用者貢獻的惡意程式樣本與網站URL。最後，Gemini的搜尋對象也涵括網路上的公開威脅分析。</p> <p>Google說，結合其安全資料庫的Gemini可簡化企業安全部門的研究作業。例如Gemini助理分析WannaCry檔案只需34秒就能完成逆向工程，辨識出如何一擊絕殺其運作。Gemini模型也提供實體萃取（entity extraction）工具，使AI助理還能從網路搜尋公開研究資訊及產業報告迅速整理成結構清楚的資訊，包括動機、目標、戰術、技倆及程序（tactics, techniques, and procedures，TTP）、行動者、工具與入侵指標（indicators of compromise，IoC），並建議相應的回應行動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0507-Google%20Threat%20Intelligence-gemini-code%20insight-image%20by%20Mandiant%20(Google%20Cloud).jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google Cloud</span></span></p> <p>Google Threat Intelligence已整合到Google Cloud多種安全服務中，包括Google Security Operations、Mandiant Consulting、Security Command Center Enterprise和Chrome Enterprise。</p> <p>Google最新服務類似微軟早先推出的Security Copilot，<a href="https://www.ithome.com.tw/news/159442" target="_blank">後者</a>是以OpenAI的GPT-4生成式AI模型為基礎開發，以微軟的安全分析及情報資料庫，協助安全部門對抗網路威脅。微軟這項服務已開放給Microsoft 365用戶，且整合Microsoft 365 Defender，用戶可以Copilot查詢後者的威脅情報內容。</p> </div></div></div>
2024/5/7 09:11作者林妍溱https://www.ithome.com.tw/news/162726
【資安日報】5月6日，德國與捷克證實去年遭遇俄羅斯駭客APT28利用特定Outlook漏洞攻擊事故
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於去年3月修補Outlook權限提升漏洞CVE-2023-23397，年底波蘭證實公家機關及企業組織遭遇漏洞攻擊，而攻擊者的身分，就是惡名昭彰的俄羅斯駭客APT28，但該組織的相關攻擊行動，如今也傳出有其他國家受害。</p> <p>上週末捷克與德國證實，他們在去年微軟尚未修補漏洞之前，就有企業組織與政府機關遭遇相關攻擊，雖然他們沒有直接公布漏洞名稱，但根據國外媒體的報導，對方利用的漏洞就是CVE-2023-23397。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162700"><strong style="font-size: 22px;">捷克、德國證實去年遭遇俄羅斯駭客APT28入侵，對方利用Outlook重大漏洞發起攻擊</strong></a></p> <p>5月3日德國聯邦政府（Bundesregierung）、捷克外交部（MFA）發布公告，指出，這些駭客利用Outlook漏洞對他們國內的企業組織下手。這樣的情況，也引起歐盟、北約組織（NATO）、美國聯手譴責。</p> <p>德國聯邦政府指控該組織針對社會民主黨執行委員會發動攻擊，對方在一段相對較長的時間裡，利用重大層級的Outlook漏洞，入侵數個電子郵件帳號，而該漏洞當時尚未被公布。捷克外交部也發出聲明，指出自2023年起，該國部分企業組織遭遇該組織攻擊，其共通點就是利用當時未知的Outlook漏洞。</p> <p>雖然上述兩則聲明並未透露漏洞的CVE編號，但資安新聞網站Hacker News指出，此為重大層級的Outlook權限提升漏洞CVE-2023-23397，CVSS風險評為9.8分，一旦遭到利用，攻擊者就有機會取得使用者的Net-NTLMv2雜湊值，透過NTLM中繼攻擊，從而冒用該名使用者的身分通過驗證。</p> <p><a href="https://www.ithome.com.tw/news/162705"><strong style="font-size: 22px;">芬蘭有銀行用戶遭安卓惡意軟體攻擊，寄送詐騙警示簡訊，後續假借金融業者名義要求用戶下載冒牌防毒軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/pankki_haittis_infografiikka_web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/pankki_haittis_infografiikka_web.jpg" style="width: 300px; float: right;" /></a>5月3日芬蘭運輸和通訊局（Transport and Communications Agency，Traficom）提出警告，指出近期出現鎖定安卓用戶的惡意軟體攻擊行動，目的是竊取網路銀行帳戶當中的存款。他們得知有人以某些公司的名義發送簡訊，內容是關於帳號異常或是債務追討，並要求用戶撥打指定的電話號碼，進一步確認詳細情況。</p> <p>若是使用者照做，歹徒便回覆這是詐騙，使用者應採取進一步的防護措施因應。在通話過程當中，對方就會寄送另一則簡訊，聲稱提供McAfee防毒軟體安裝程式，若是用戶點選連結，下載APK檔案並執行安裝，手機就會被植入惡意程式，駭客可藉此存取手機應用程式及訊息，並從網路銀行洗劫受害者的帳戶。</p> <p><a href="https://www.ithome.com.tw/news/162719"><strong style="font-size: 22px;">假冒記者、NGO人員、網站、郵件寄送、短網址！伊朗APT42搜刮使用者憑證、竊取存放在M365雲服務的資料，並散播後門程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/untangling-apt42-fig17_max-1800x1800.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/untangling-apt42-fig17_max-1800x1800.png" style="width: 300px; float: right;" /></a>資安業者Mandiant指出，他們自2022年9月揭露隸屬於伊斯蘭革命護衛警察情報組織（IRGC-IO）的伊朗駭客組織APT42，近期這些駭客又有新的攻擊行動。</p> <p>研究人員指出，這些駭客冒充記者及社會運動人士，藉由持續通訊與受害者建立信任關係，向使用者發送會議邀請通知，或是合法檔案，透過社交工程的手法挖掘相關帳密資料，從而存取受害組織的雲端環境。得逞後，這些駭客竊取對伊朗有戰略價值的資料，過程中對方仰賴系統內建功能及開源工具，以便迴避偵測。</p> <p>除上述的竊取軍事機密情報，該組織也會藉由網路釣魚的方式，散布名為Nicecurl及Tamecat的後門程式，以便取得受害組織的初始存取權限，並拿來執行命令的管道，或是作為部署其他惡意軟的跳板。</p> <p><a href="https://www.ithome.com.tw/news/162717"><strong style="font-size: 22px;">美國證實去年底修補的GitLab危急漏洞CVE-2023-7028已出現攻擊行動</strong></a></p> <p></p> <p>今年1月11日，軟體開發平臺GitLab揭露與修補CVSS滿分10分的重大漏洞CVE-2023-7028，由於能在無需與使用者互動的狀態下，將重設密碼的電子郵件寄送至任何信箱，可能導致用戶帳號因此遭到非法接管，月底Shadowserver基金會警告，根據他們的偵測，未修補這個漏洞且能透過網際網路存取的GitLab伺服器，數量高達5,379臺（臺灣有52臺）。事隔3個月，美國證實該漏洞已出現攻擊行動。</p> <p>5月1日美國網路安全暨基礎設施安全局（CISA）將上述漏洞加入已遭利用漏洞的名單（KEV），並指出它成為惡意網路活動的常見攻擊手法，將對政府與企業造成嚴重風險，要求聯邦政府各單位需在5月22日之前，完成內部弱點管理的審視與更新作業。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://securityaffairs.com/162778/cyber-crime/law-enforcement-seized-lockbit-site-again.html"><strong style="font-size: 20px;">執法單位再度針對勒索軟體駭客LockBit的網站出手，預告透露對方更多身分相關資訊</strong></a></p> <p></p> <p>◆<a href="https://www.trendmicro.com/en_us/research/24/e/router-roulette.html"><strong style="font-size: 20px;">俄羅斯駭客組織APT28與相關網路犯罪組織操控EdgeRouter路由器、物聯網設備，經營殭屍網路Moobot</strong></a></p> <p></p> <p>◆<a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/graph-api-threats"><strong style="font-size: 20px;">微軟圖表資料分析Graph的API遭到駭客濫用的情況日益頻繁，對方將其用於惡意通訊、隱匿行蹤</strong></a></p> <p></p> <p>◆<a href="https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3762915/nsa-highlights-mitigations-against-north-korean-actor-email-policy-exploitation/"><strong style="font-size: 20px;">針對北韓駭客APT43濫用DMARC政策掩蓋網路釣魚攻擊，美國提出警告</strong></a></p> <p></p> <p>◆<a href="https://www.zscaler.com/blogs/security-research/zloader-learns-old-tricks"><strong style="font-size: 20px;">惡意程式Zloader捲土重來，駭客納入金融木馬Zeus的反分析機制</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162701"><strong style="font-size: 22px;">特權管理系統Delinea Secret Server修補高風險漏洞，恐被用於挾持管理員帳號</strong></a></p> <p></p> <p>以特權存取管理（PAM）著稱的資安廠商Delinea，在4月12日於服務狀態頁面當中，突然宣告他們正在調查一起資安事故，而在當天事故公告頁面提到，這起事故影響的服務已經處理好了，工作團隊部署修正機制，所有系統恢復正常運作，先前連至端點的流量，也從阻擋改為開放。該公司也在14日，發布11.7.000001版Secret Server On-Premises的更新予以修補。29日資安組織MITRE發布正式漏洞編號為CVE-2024-33891，CVSS風險評估為8.8分。</p> <p>值得留意的是，最早發現上述的漏洞，是2月中向該公司通報問題的資安研究員Johnny Yu（straight_blast），但因為不是該公司付費客戶當時並未受理，於是他找上美國電腦網路危機處理暨協調中心（CERT）協調此事。另一名察覺此事的是資安研究員Kevin Beaumont，他在4月12日發現Delinea Secret Server Cloud因資安事故而停擺至少5個小時的狀態，並確認與Johnny Yu通報的漏洞有關。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162699"><strong style="font-size: 22px;">防止電腦連上惡意網域，微軟宣布將為Windows加入零信任DNS技術</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/tojens_3-1714407804262.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/tojens_3-1714407804262.png" style="width: 300px; float: right;" /></a>為了強化企業組織的零信任防護，避免使用者不慎被帶往惡意網域，5月2日微軟宣布，他們打算在Windows作業系統當中，納入名為零信任DNS（Zero Trust DNS，ZTDNS）的防護機制，透過這項功能，Windows用戶將只能存取受信任的白名單網域，從而改善網路安全。目前ZTDNS為非公開預覽階段，但微軟預告，接下來將會對Insider測試人員提供，也會在未來成為Windows的正式功能。</p> <p>該公司表示，ZTDNS使用開放標準為基礎的網路協定，從而滿足OMB M-22-09及NIST SP 800-207等規範的零信任要求。ZTDNS整合該作業系統的DNS用戶端及Windows Filtering Platform（WFP），實現以網域名稱為基礎的流量過濾。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162669"><strong>【5月3日】殭屍網路Goldoon鎖定D-Link家用路由器DIR-645老舊漏洞發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162601"><strong>【5月2日】Docker Hub遭濫用，被用來散播惡意程式與架設釣魚網站的映像儲存庫比例高達2成</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162601"><strong>【4月30日】安卓金融木馬Brokewell透過冒牌Chrome更新網頁散布</strong></a></p> </div></div></div>
2024/5/6 18:20作者周峻佑https://www.ithome.com.tw/news/162725
芬蘭有銀行用戶遭安卓惡意軟體攻擊，寄送詐騙警示簡訊，後續假借金融業者名義要求用戶下載冒牌防毒軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月3日芬蘭運輸和通訊局（Transport and Communications Agency，Traficom）提出警告，<a href="https://www.kyberturvallisuuskeskus.fi/fi/ajankohtaista/kyberturvallisuuskeskuksen-viikkokatsaus-182024">指出近期出現鎖定安卓用戶的惡意軟體攻擊行動</a>，目的是竊取網路銀行帳戶當中的存款。</p> <p>他們得知有人以某些公司的名義發送簡訊，內容是關於帳號異常或是債務追討，並要求用戶撥打指定的電話號碼，進一步確認詳細情況。</p> <p>若是使用者照做，歹徒便回覆這是詐騙，使用者應採取進一步的防護措施因應。在通話過程當中，對方就會寄送另一則簡訊，聲稱提供McAfee防毒軟體安裝程式，若是用戶點選連結，下載APK檔案並執行安裝，手機就會被植入惡意程式，駭客可藉此存取手機應用程式及訊息，並從網路銀行洗劫受害者的帳戶。</p> <p><a href="https://s4.itho.me/sites/default/files/images/pankki_haittis_infografiikka_web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/pankki_haittis_infografiikka_web.jpg" style="width: 580px;" /></a></p> <p>而對於這起事故造成的損失，當地警方指出，在其中一起攻擊當中，<a href="https://poliisi.fi/-/poliisi-on-tunnistanut-jalleen-uudenlaisen-huijaustyypin-asianomistajalta-vietiin-95-000-euroa">受害者損失9.5萬歐元（約新臺幣33萬元）</a>。</p> <p>當地金融集團OP Financial Group也提出警告，<a href="https://www.op.fi/fi/-/juuri-nyt-yritysten-nimissa-lahetetaan-kalasteluviesteja-ala-soita-niissa-annettuihin-numeroihin?icmp=yl-atiili-2">並指出歹徒佯稱是銀行或是政府當局發送詐騙簡訊</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/260424_1.jpg" style="width: 449px;" /></p> <p>雖然上述的政府機關及金融機構並未透露惡意程式的細節，但根據歹徒向芬蘭民眾聲稱提供McAfee防毒軟體這項特徵，<a href="https://www.bleepingcomputer.com/news/security/finland-warns-of-android-malware-attacks-breaching-bank-accounts/">資安新聞網站Bleeping Computer認為</a>，很有可能是資安業者Fox-IT日前揭露的<a href="https://www.ithome.com.tw/news/162113#vultur">金融木馬Vultur</a>。</p> </div></div></div>
2024/5/6 15:23作者周峻佑https://www.ithome.com.tw/news/162705
假冒記者、NGO人員、網站、郵件寄送、短網址！伊朗APT42搜刮使用者憑證、竊取存放在M365雲服務的資料，並散播後門…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Mandiant指出，他們自2022年9月揭露隸屬於伊斯蘭革命護衛警察情報組織（IRGC-IO）的伊朗駭客組織APT42，<a href="https://cloud.google.com/blog/topics/threat-intelligence/untangling-iran-apt42-operations">近期這些駭客又有新的攻擊行動</a>，最終會在受害電腦部署名為Nicecurl及Tamecat的後門程式。</p> <p>研究人員指出，這些駭客冒充記者及社會運動人士，藉由持續通訊與受害者建立信任關係，向使用者發送會議邀請通知，或是合法檔案，透過社交工程的手法挖掘相關帳密資料，從而存取受害組織的雲端環境。得逞後，這些駭客竊取對伊朗有戰略價值的資料，過程中對方仰賴系統內建功能及開源工具，以便迴避偵測。</p> <p>除上述的竊取軍事機密情報，該組織也會藉由網路釣魚的方式，散布名為Nicecurl及Tamecat的後門程式，以便取得受害組織的初始存取權限，並拿來執行命令的管道，或是作為部署其他惡意軟的跳板。</p> <p>根據他們的調查，這些駭客利用至少3個基礎設施來針對政府機關、新聞媒體、非政府組織及社會運動人士而來。但無論對象為何，對方在攻擊行動裡，採用相似的策略、技術、流程（TTP），而網域名稱、誘餌則有所不同。</p> <p>在其中一種攻擊行動裡，這些駭客冒充華盛頓郵報、經濟學人、耶路撒冷郵報、Khaleej Times、Azadliq等新聞媒體及非政府組織，大多會利用拼寫錯誤的網域名稱，藉由發送帶有新聞內容的釣魚郵件，目的是將收信人導向冒牌Google登入網頁，從對伊朗感興趣的地緣政治實體、研究人員、新聞記者竊取帳密資料。</p> <p>而另一種攻擊手法，對方則是透過.top、.online、.site、.live等頂級網域名稱（TLD），架設冒牌的登入網頁、檔案代管服務、YouTube網站，然後假借邀請加入會議，或是共享檔案的名義寄送釣魚信，目標是對伊朗政權構成威脅的研究人員、記者、非政府組織領導人、人權鬥士，從而竊取他們的網路服務帳密資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/untangling-apt42-fig6_max-1500x1500.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/untangling-apt42-fig6_max-1500x1500.png" style="width: 580px;" /></a></p> <p>第3種則是針對美國及以色列的國防和外交事務相關人士而來，駭客偽裝成非政府組織、Mailer Daemon、短網址服務Bitly，疑似透過釣魚郵件發動攻擊。他們看到對方去年11月，針對以色列大學的核子物理學教授下手，企圖竊取Microsoft 365帳密。</p> <p>在透過上述3種管道取得帳密資料後，研究人員指出，他們在2022至2023年，看到這些駭客企圖從受害的美國、英國法律服務機構、非政府組織的公有雲基礎設施，竊取伊朗政府感興趣的敏感資料。</p> <p>他們看到對方透過社交工程取得帳密資料後，就會將受害者導向冒牌的Duo身分驗證服務來繞過雙因素驗證（MFA），得逞後就會利用收信軟體Thunderbird存取受害者的電子郵件信箱，然後存取Citrix應用程式，並透過遠端桌面連線（RDP）進行偵察。</p> <p><a href="https://s4.itho.me/sites/default/files/images/untangling-apt42-fig17_max-1800x1800.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/untangling-apt42-fig17_max-1800x1800.png" style="width: 580px;" /></a></p> <p>過程中駭客利用多種迴避偵測的手法，像是濫用Microsoft 365內建工具、檢視感興趣的資料後清除Chrome的瀏覽記錄，此外，駭客利用ExpressVPN服務、Cloudflare代管網域、臨時VPS伺服器來隱匿行蹤。</p> <p>而對於駭客使用的後門程式，研究人員指出，Nicecurl是透過VBS打造而成，攻擊者可加裝特定的外掛模組，以便執行特定任務，此後門程式透過HTTPS加密通訊協定與C2通訊。</p> <p>第2款後門程式Tamecat功能較為複雜，可執行PowerShell程式碼或C#指令碼，對方疑似藉此進行資料竊取及控制受害電腦。值得一提的是，攻擊者使用Base64混淆C2通訊流量，並能動態調整配置，從而迴避防毒軟體的偵測機制。</p> </div></div></div>
2024/5/6 17:19作者周峻佑https://www.ithome.com.tw/news/162719
防裝置連上惡意網域，微軟將為Windows加入零信任DNS技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/networking-blog/announcing-zero-trust-dns-private-preview/ba-p/4110366" target="_blank">微軟上周宣布一項零信任安全技術</a>，可藉由鎖定Windows PC只能連結受信任的網域，以確保用戶及企業網路安全，未來也將整合到所有Windows中。</p> <p>新技術名為零信任DNS（Zero Trust DNS，ZTDNS），微軟也預告未來的Windows都將包含。微軟解釋，ZTDNS使用開放標準為基礎的網路協定以滿足零信任要求，如<a href="https://www.whitehouse.gov/wp-content/uploads/2022/01/M-22-09.pdf" target="_blank">OMB M-22-09</a>及<a href="https://csrc.nist.gov/pubs/sp/800/207/final" target="_blank">NIST SP 800-207</a>，適用以網域名識別網路流量的管理策略。</p> <p>ZTDNS可整合Windows DNS用戶端及Windows Filtering Platform（WFP），實現以網域名為基礎的鎖定。Windows內含一組支援DoH（DNS over HTTPS）或DoT（DNS over TLS）的伺服器，名為Protective DNS Server，這些元件將只解析列在白名單中的網域名。此外Windows也可能包含一組必須常保連線的IP子網路清單，並在連線時等待Protective DNS伺服器憑證身分資訊，好確認連線連到了正確的伺服器，或是用於用戶端驗證的憑證。</p> <p>其次，具有ZTDNS的Windows將封鎖Protective DNS伺服器連線以外、以及發現網路連線資訊必要的DHCP、DHCPv6、NDP流量以外的IPv4、IPv6連線。</p> <p>透過整合ZTDNS，未來從Windows PC上Protective DNS伺服器所發出任何一個包含IP解析動作的DNS回應，都會觸發連外流量的白名單檢查，這可確保使用系統DNS組態的應用程式和服務可獲得放行，連結到已解析的IP位置。反之，若應用程式和服務想對某個ZTDNS不認識（且未被手動加入例外清單）的IP位址傳送IPv4或IPv6流量時就會被封鎖。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-ZTDNS-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-microsoft.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> <p>但是Windows中的DNS伺服器若想扮演Zero Trust DNS角色，最基本要求是要能支援DoH或DoT，因為ZTNDS會拒絕Windows的明碼DNS連線。而在加密DNS連線上使用mTLS（mutual TLS，雙向驗證TLS）後，可允許Protective DNS按個別用戶端設定解析政策。微軟說，ZTDNS不使用新的網路協定，可確保其高相容性。</p> <p>ZTDNS現在為限制性預覽階段，微軟說之後等更多用戶獲得ZTDNS用戶端後，會再進一步擴大測試。</p> <p>但微軟也說明ZTDNS可能會影響一些現有安全性較低的連線。由於封鎖了所有無法判讀網域名的連外流量，因此一些網路協定包括mDNS、LLMNR、NetBIOS Name Resolution、UPnP和WebRTC等會失去作用。其中有些可以藉由定義一些例外IP子網路重新開啟，但那些無法預先得知IP的連線就是無解了。</p> <p>但微軟也提醒，列出例外IP白名單有二個需要考量的地方。一是必須精簡，免得白名單太長，二是只限全球獨一無二的IP位址，免得不同網域有相同IP位址的主機。</p> </div></div></div>
2024/5/6 16:32作者林妍溱https://www.ithome.com.tw/news/162699
未修補GitLab重大漏洞且暴露在網際網路的伺服器，目前還有兩千多臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月11日，<a href="https://about.gitlab.com/releases/2024/01/11/critical-security-release-gitlab-16-7-2-released/">軟體開發平臺GitLab揭露與修補CVSS滿分10分的重大漏洞CVE-2023-7028</a>，由於能在無需與使用者互動的狀態下，將重設密碼的電子郵件寄送至任何信箱，可能導致用戶帳號因此遭到非法接管，而且受到影響的版本不少，涵蓋GitLab社群版與企業版的16.1版至16.7.1版，引發軒然大波，當時該公司表示尚未偵測到任何濫用此漏洞的活動，但是，到了月底，Shadowserver基金會警告，根據他們的偵測，未修補這個漏洞且能透過網際網路存取的GitLab伺服器，數量高達5,379臺（臺灣有52臺）。</p> <p></p><div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">Running GitLab? We are sharing instances vulnerable to CVE-2023-7028 (Account Takeover via Password Reset without user interactions) - 5379 instances found worldwide (on 2024-01-23). Top: US (964) & Germany (730)</p> <p>Check for signs of compromise and patch: <a href="https://t.co/XqIbXO5GBp">https://t.co/XqIbXO5GBp</a> <a href="https://t.co/6f3v9oHaOG">pic.twitter.com/6f3v9oHaOG</a></p> <p>— The Shadowserver Foundation (@Shadowserver) <a href="https://twitter.com/Shadowserver/status/1750115947430416434?ref_src=twsrc%5Etfw">January 24, 2024</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p><a href="https://dashboard.shadowserver.org/zh-hant/statistics/combined/time-series/?date_range=180&source=http_vulnerable&source=http_vulnerable6&tag=cve-2023-7028%2B&dataset=unique_ips&limit=1000&group_by=geo&style=stacked"><img alt="" src="https://s4.itho.me/sites/default/files/images/SS-2024-01-23-CVE-2023-7028.png" style="width: 600px;" /></a></p> <p>相隔3個多月之後（5月1日），美國網際安全暨基礎設施安全局（CISA）宣布將此漏洞<a href="https://www.cisa.gov/news-events/alerts/2024/05/01/cisa-adds-one-known-exploited-vulnerability-catalog">加入已知遭濫用漏洞（KEV）型錄</a>，並表示它成為惡意網路活動的常見攻擊手法，將對政府與企業造成嚴重風險，因此，CISA要求聯邦政府各單位需在5月22日之前，完成內部弱點管理的審視與更新作業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/KEV-CVE-2023-7028.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/KEV-CVE-2023-7028.jpg" style="width: 600px;" /></a></p> <p>根據Shadowserver基金會的偵測，全球暴露在此漏洞風險且位於網際網路的伺服器數量，已下降至2,149臺（臺灣有11臺）。</p> <p><a href="https://dashboard.shadowserver.org/zh-hant/statistics/combined/time-series/?date_range=180&source=http_vulnerable&source=http_vulnerable6&tag=cve-2023-7028%2B&dataset=unique_ips&limit=1000&group_by=geo&style=stacked"><img alt="" src="https://s4.itho.me/sites/default/files/images/SS-2024-05-01-CVE-2023-7028.png" style="width: 600px;" /></a></p> <p> </p> </div></div></div>
2024/5/6 16:58作者李宗翰https://www.ithome.com.tw/news/162717
【資安週報】2024年4月29日到5月3日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期的漏洞消息中，GitLab在1月初修補的已知漏洞CVE-2023-7028最要留意，因為近期確定了攻擊者正開始鎖定利用的情況。</p> <p>還有WordPress Automatic Plugin在兩個月前修補CVSS風險評分9.9分的漏洞CVE-2024-27956，由於近期發現攻擊者正試圖積極利用這項漏洞接管網站，也引發研究人員示警。</p> <p>關於其他重要漏洞修補，包括：HPE Aruba Networking的4月資安公告中修補了4個重大漏洞，Brocade修補SAN管理軟體多個漏洞，以及程式語言R開發團隊修補高風險漏洞CVE-2024-27322。</p> <p>在資安事件方面，這一星期有多起資安事故成為焦點，不只Dropbox向美國證交所（SEC）通報重大資安事故受關注，還有加拿大、瑞典藥局與物流業者遭勒索攻擊，導致服務或供應中斷的事件。<br /> ●Dropbox揭露旗下Dropbox Sign數位簽章方案（原為HelloSign）遭駭，有部分用戶的金鑰及MFA驗證資訊遭存取，曾接收簽章文件的電子郵件信箱恐也外洩。<br /> ●加拿大連鎖藥局London Drugs遭遇網路攻擊，導致門市被迫暫停營業。當地<a href="https://www.youtube.com/watch?v=lrZ-6yBOMmc">80多家門市受影響</a>，並在<a href="https://www.cbc.ca/news/canada/british-columbia/drugstore-cyberattack-canada-1.7194503">關閉6天後正逐步開放重新營業</a>。<br /> ●瑞典物流業者Skanlog傳出遭遇勒索軟體攻擊，由於該物流與當地國營酒類專賣局Systembolaget合作，因此衝擊到當地酒品的供應，預估影響15%銷售額。<br /> ●福斯汽車傳出資料外洩，駭客疑似竊得逾1.9萬份涉及智慧財產權的機密資料。</p> <p>在威脅態勢上，我們認為有2項消息需要特別重視，當中涉及了關鍵CI的攻擊態勢，以及網釣威脅的現況。我們整理如下：</p> <p>（一）前幾個月美國各地不時傳出水力設施等關鍵CI遭攻擊的情況，最近美、加、英等7國網路安全機構聯手發布這方面的警告，當中說明駭客使用3種技術手法以遠端存取HMI，並對底層OT進行更改，例如：透過VNC通訊協定，濫用VNC的RFB遠端框架緩衝協定登入，以及利用5900埠的VNC。另也呼籲這些關鍵CI組織，應限制OT系統曝光於網際網路，並對所有存取OT網路的途徑實施MFA。</p> <p>（二）近期有資安業者揭露，近半年來假冒美國郵局的詐騙簡訊不斷，他們進而盤查仿冒美國郵件的網站，有68萬個網站帶有USPS字樣，顯然是為了混淆用戶而來，他們並從用戶的DNS查詢量發現，竟有49%都被導向釣魚網站，這突顯了網域名稱搶註、網釣攻擊仍泛濫的現象。</p> <p>另一值得注意的是，思科一個多月前指出，發現7個廠牌的設備或服務遭大規模暴力破解攻擊，如今Okta也表示，發現針對客戶的帳號填充（Credential Stuffing）攻擊在4月底呈現大幅增加的情況，並且都是濫用基於合法裝置而成的代理伺服器來發起攻擊。</p> <p>至於其他最新惡意活動的揭露，本星期的焦點還包括：殭屍網路Goldoon持續鎖定老舊無線路由器，惡意程式Cuttlefish鎖定小型路由器並具備零點擊攻擊能力，以及攻擊者濫用Docker Hub映像檔儲存庫出現新手法。</p> <p>在資安防護方面，國際間有一個重要新聞，英國產品安全暨電信基礎設施法PSTI Act於4月29日正式施行，當中明訂消費性IoT產品在出廠時，不得採用弱密碼或常見預設密碼，此舉也使英國成為全球首個強制在全國境內推動這項要求的國家。</p> <p>國內也有兩則消息，分別是：GiCS尋找資安女婕思的資安競賽活動今年第四度舉辦，以及金管會宣布對於設置資安長的要求將擴及電支機構，預計街口支付、一卡通、全支付、悠遊卡這4大業者將在首波範圍之內。</p> <p>至於技術層面，誘餌檔案的應用也越來越常見於資安防護，最近也有儲存系統廠商宣布，針對勒索軟體保護功能新增誘餌檔案（Decoy files）方式，以偵測攻擊者的非法存取行為。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/162579"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月29日】互動式BI系統Qlik Sense危急漏洞遭到鎖定，對方利用勒索軟體Cactus發動攻擊</span></strong></a></h3> <p>去年互動式BI系統Qlik Sense修補多個已知漏洞CVE-2023-41265、CVE-2023-41266、CVE-2023-48365，事隔2個月傳出駭客組織鎖定尚未修補的伺服器下手，對其植入勒索軟體Cactus加密檔案。事隔5個月，這波攻擊的態勢並未趨緩，但仍有不少伺服器仍未套用更新軟體而曝險。</p> <p>資安業者Fox-IT指出，截至今年4月17日，曝露於網際網路上的Qlik Sense伺服器超過6成存在前述漏洞，且已有超過100臺伺服器遭到入侵。</p> <p><a href="https://www.ithome.com.tw/news/162601"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月30日】安卓金融木馬Brokewell透過冒牌Chrome更新網頁散布</span></strong></a></p> <p>鎖定手機的金融木馬攻擊不時傳出，最近研究人員揭露名為Brokewell的惡意程式，並指出該惡意程式能繞過Android 13的防護機制，進而透過側載的方式執行其他作案工具。</p> <p>值得留意的是，Brokewell並非首款能繞過上述防護機制的安卓惡意軟體，但研究人員認為，攻擊者未來應該會透過租賃服務提供其他網路犯罪份子利用，使得該惡意軟體危害範圍進一步擴大。</p> <h3><a href="https://www.ithome.com.tw/news/162649"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月2日】Docker Hub遭濫用，被用來散播惡意程式與架設釣魚網站的映像儲存庫比例高達2成</span></strong></a></h3> <p>在針對Kubernetes環境的攻擊行動當中，駭客最常用來傳送惡意程式的方式，就是藉由映像檔儲存庫Docker Hub，透過拉取惡意Docker映像檔來進行，但如今有另一批人馬透過完全不同的角度來濫用此映像檔儲存庫。</p> <p>資安業者JFrog揭露最新一波攻擊行動，並指出其共通點，就是駭客建立的儲存庫都沒有Docker映像檔。</p> <p><a href="https://www.ithome.com.tw/news/162669"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月3日】殭屍網路Goldoon鎖定D-Link家用路由器DIR-645老舊漏洞發動攻擊</span></strong></a></p> <p style="margin: 0px;">一般而言，殭屍網路攻擊行動，往往針對多種類型的設備而來，或是對於多個漏洞發動攻擊，但最近資安業者Fortinet揭露的攻擊行動，駭客竟只針對單一型號的路由器，以及完成修補的已知漏洞下手。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">這起攻擊行動的特殊之處，在於對方專門對於家用路由器DIR-645而來，且利用已知漏洞CVE-2015-2051發動攻擊，而這個漏洞早在9年前就被修補，由此可見，仍有不少該型號設備尚未套用新版韌體而曝險。</p> </div></div></div>
2024/5/6 09:32作者羅正漢https://www.ithome.com.tw/news/162696
捷克、德國證實去年遭遇俄羅斯駭客APT28入侵，對方利用Outlook重大漏洞發起攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到俄羅斯軍情單位GRU指使的駭客組織APT28（也被稱做Forest Blizzard、Strontium），最近幾個月攻擊歐洲國家的情況變得更加頻繁，不時有相關事故出現，如今有兩個國家不約而同對該組織的攻擊行動提出警告，並指出駭客利用特定的已知漏洞發動攻擊。</p> <p>5月3日德國聯邦政府（Bundesregierung）、捷克外交部（MFA）發布公告，指出，這些駭客利用Outlook漏洞對他們國內的企業組織下手。這樣的情況，也引起歐盟、北約組織（NATO）、美國聯手譴責。</p> <p>德國聯邦政府指控<a href="https://www.bundesregierung.de/resource/blob/975226/2276130/ec59e50158ff9ba014025ba5abbfe6ec/2024-05-03-attribution-of-a-russian-cyber-campaign-data.pdf">該組織針對社會民主黨執行委員會發動攻擊</a>，對方在一段相對較長的時間裡，利用重大層級的Outlook漏洞，入侵數個電子郵件帳號，而該漏洞當時尚未被公布。該國亦指控，當地有多個政府機關及企業偵測到相關攻擊行動，而且，包含烏克蘭在內的其他歐洲國家，也出現類似情形。</p> <p>捷克外交部也發出聲明，指出自2023年起，<a href="https://mzv.gov.cz/jnp/en/issues_and_press/press_releases/statement_of_the_mfa_on_the_cyberattacks.html">該國部分企業組織遭遇該組織攻擊</a>，其共通點就是利用當時未知的Outlook漏洞。</p> <p>雖然上述兩則聲明並未透露漏洞的CVE編號，但<a href="https://thehackernews.com/2024/05/microsoft-outlook-flaw-exploited-by.html">資安新聞網站Hacker News指出</a>，此為重大層級的Outlook權限提升漏洞CVE-2023-23397，CVSS風險評為9.8分，一旦遭到利用，攻擊者就有機會取得使用者的Net-NTLMv2雜湊值，透過NTLM中繼攻擊，從而冒用該名使用者的身分通過驗證。</p> <p>對此，<a href="https://www.nato.int/cps/en/natohq/official_texts_225230.htm">北約組織</a>與<a href="https://www.consilium.europa.eu/en/press/press-releases/2024/05/03/cyber-statement-by-the-high-representative-on-behalf-of-the-eu-on-continued-malicious-behaviour-in-cyberspace-by-the-russian-federation/">歐盟</a>發出聲明，指控俄羅斯政府持續在網路空間不負責任的態度，對歐盟國家的安全構成威脅。<a href="https://www.state.gov/the-united-states-condemns-malicious-cyber-activity-targeting-germany-czechia-and-other-eu-member-states/">美國</a>、<a href="https://www.gov.uk/government/news/united-kingdom-joins-partners-in-condemnation-of-malicious-cyber-activity-by-russian-intelligence-services-uk-government-statement">英國</a>也譴責上述網路攻擊事故，美國並點名駭客攻擊德國利用的漏洞，就是CVE-2023-23397。</p> <p>而這並非APT28首度傳出利用此項Outlook漏洞發動攻擊的情況。去年12月，<a href="https://www.ithome.com.tw/news/160167">波蘭網路司令部表示</a>，他們發現該國的公家機關與企業組織遭遇相關漏洞攻擊，他們提供偵測工具，以便企業組織識別相關威脅。</p> </div></div></div>
2024/5/6 12:47作者周峻佑https://www.ithome.com.tw/news/162700
Delina揭露特權存取管理產品漏洞，4月中完成修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了進一步強化高權限者的身分與存取安全，部分企業導入特權存取管理（PAM）解決方案，然而，這類系統必須更嚴謹地進行開發與設計，因為一旦存在資安漏洞，可能又會形成新的重大風險，最近就發生一起這樣的事故，以PAM著稱的資安廠商Delinea，在4月12日（週五）該公司網站的服務狀態頁面當中，突然宣告他們正在調查一起資安事故，而在當天事故公告頁面提到，這起事故影響的服務已經處理好了，工作團隊部署修正機制，所有系統恢復正常運作，先前連至端點的流量也從阻擋改為開放。<img alt="" src="https://s4.itho.me/sites/default/files/images/2024-04-12-Delona%20outage.jpg" style="width: 600px;" /></p> <p>他們也在自家技術支援網站發布用戶處理指引，編號為KB-010572，描述影響的產品為Secret Server Cloud、Secret Server On-Premises，以及所面臨的問題與矯正的方法。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Delina%20Security%20bugs-KB.jpg" style="width: 600px;" /></p> <p>隔天他們在自家網站的信任中心網頁發布公告，表示發現旗下PAM產品Secret Server的SOAP API有漏洞，攻擊者可藉此跳過身分認證，初步處理對策是限制所有SOAP端點、使其無法存取所有區域，以避免暴露，此項阻擋機制將持續到Deliena能夠修補漏洞為止。</p> <p>14日Delinea正式發布Secret Server On-Premises的更新（11.7.000001），目的是解決SOAP API的重大漏洞，關於此產品先前版本的相同漏洞修補，會在測試完成之後釋出，該公司工程與資安團隊也進行調查，檢查是否有租戶資料外洩，當時他們並未發現有這樣的狀況，也沒有嘗試濫用這個漏洞的行為。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Delina%20Trust%20Center.jpg" style="width: 600px;" /></p> <p>此漏洞之所以發現，根據資安新聞媒體Help Net Security的報導，有兩大功臣。一位是先找到問題的<a href="https://straightblast.medium.com/all-your-secrets-are-belong-to-us-a-delinea-secret-server-authn-authz-bypass-adc26c800ad3">資安研究員Johnny Yu（straight_blast）</a>，並於2月中向該公司通報，但因為不是他們的付費客戶或組織而沒受理，於是他找上美國電腦網路危機處理暨協調中心（CERT）協調，直到4月12日Delina才發布公告承認此事；另一位是<a href="https://doublepulsar.com/delinea-has-cloud-security-incident-in-thycotic-secret-server-gaff-581a33990882">資安研究員Kevin Beaumont</a>，是他在4月12日發現Delinea Secret Server Cloud因資安事故而停擺至少5個小時的狀態，也在該公司網站看到他們發布公告，並確認此事與straight_blast發現的漏洞有關。</p> <p>到了4月29日，<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-33891">資安組織MITRE也為此發布正式漏洞編號為CVE-2024-33891</a>，CVSS風險評估為8.8分，屬於高度嚴重等級的資安漏洞，而現在Delina在KB-01057這份處理公告中，也明確列出需升級到11.5.000003、11.6.000026、11.7.000001這三個版本，可修補這個漏洞。</p> </div></div></div>
2024/5/6 12:56作者李宗翰https://www.ithome.com.tw/news/162701
Google將在明年6月關閉Google Fit、REST開發者API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2024/05/evolving-health-on-android-migrating-from-google-fit-apis-to-android-health.html" target="_blank">Google宣布</a>將於明年6月底關閉Google Fit開發者API，由Android Health取代，呼籲開發人員儘速啟動移轉。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-Google%20Fit%20Android%20API-Health%20Connect%20API.png" style="width: 426px;" /></p> <p>2022年起Google逐漸擴大對Android Health平臺的投資，作為其健康應用及硬體生態糸的單一統合基礎，目的在減少平臺零碎化，並簡化開發流程。Google預計將把Fit開發服務整合到Android Health平臺上，Google說這可為開發人員及使用者提供跨平臺無縫環境。為此Google Fit API包括REST API將在2025年6月30日關閉，讓開發人員有更多時間將開發工作轉移到Android Health。</p> <p>於此同時，從即日起，Google Fit API不再接受新註冊。該公司也建議開發人員及早行動，確保用戶使用的平順移轉。</p> <p>Google表示，Android Health API比起Fit API有多項優點。第一是在開發行走步數、距離和卡路里記錄功能，Android Health包含手機版紀錄（Recording）API，不需用戶Google帳號或存取API scope（範圍），也比原有的Android SensorManager（ASM）更省電。它可隨行走步數功能啟用，之後也將支援距離及卡路里計算。第二，手機版紀錄API讓開發人員最長可存取10天的資料。第三，開發出的App若整合Google Health Connect，即可存取Android生態體系的眾多App。此外，用戶資料是儲存在裝置上，用戶具有完整控制權。</p> <p>為讓開發人員移轉更平順，<a href="https://developer.android.com/health-and-fitness/guides/health-connect/migrate/migration-guide" target="_blank">Google也提供搬移指引</a>，協助其從Google Fit API搬移到Android Health產品，主要是Health Connect上。</p> <p>但對於也將在明年6月底關閉的Fit REST API，Google解釋，由於Android Health API將轉向裝置端模型，因此Fit REST API沒有取代方案。Google鼓勵開發人員轉移到Android Health API。</p> <p><a href="https://www.ithome.com.tw/news/154209" target="_blank">Health Connect為Google和三星共同開發</a>，旨在讓不同App的健康與健身資訊可以跨Android裝置互通。</p> <p>這家Android平臺大廠強調，Health Connect是其未來方向，除了Fitbit支援外，其他硬體夥伴如Withings、Signos、Oura、Peloton和Lifesum也都開發支援Android Health體系的產品。該公司鼓勵更多開發人員使用新的API家族，使Android平臺的連網健康及健身App更多元發展。雖然Google沒有強調，<a href="https://developer.samsung.com/health/blog/en/health/blog/accessing-samsung-health-data-through-health-connect" target="_blank">但三星穿戴裝置仍然經由Health Connect蒐集並匯整資料</a>。</p> <p><a href="https://9to5google.com/2024/05/04/google-fit-api-shutdown/" target="_blank">《9to5Google》</a>點出，Google並未說明Android、Wear OS及iOS平臺上開發的Fit App之後的命運。事實上，Google很早就沒有再更新Google Fit，最近一次要回溯到2022年，當時也只是將Fit App加入Health Connect支援。Fit沒有升級到最新的Material You設計語言，在Pixel Watch上，則是以Fitbit為主要App。由此可知，Google Fit雖然歷經Android Fit多次改名，仍然未逃過終止的命運，成為另一個走進歷史的產品。</p> </div></div></div>
2024/5/6 09:36作者林妍溱https://www.ithome.com.tw/news/162697
微軟公布安全未來倡議的6大支柱，部署全新的安全治理框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼去年11月<a href="https://www.ithome.com.tw/news/159624" target="_blank">提出</a>安全未來倡議（Secure Future Initiative，SFI），以及收到美國國土安全部網路安全審查委員會（Cyber Safety Review Board，CSRB）的<a href="https://www.ithome.com.tw/news/162123" target="_top">調查報告</a>之後，<a href="https://www.microsoft.com/en-us/security/blog/2024/05/03/security-above-all-else-expanding-microsofts-secure-future-initiative/" target="_blank">微軟上周五（5/3）提出了SFI的具體措施</a>，發表SFI的6大支柱，並宣布將部署全新的安全治理框架，新設多個副資安長執位，執行長<a href="https://blogs.microsoft.com/blog/2024/05/03/prioritizing-security-above-all-else/" target="_blank">Satya Nadella更宣告</a>微軟將全面以資安為優先的未來政策。</p> <p>CSRB對微軟的調查<a href="https://www.ithome.com.tw/news/157763" target="_blank">始於去年</a>微軟帳戶（MSA）消費者簽章金鑰的外洩，導致中國駭客組織Storm-0558於微軟服務中潛伏超過1個月，滲透歐美地區的25個政府組織，且<a href="https://www.ithome.com.tw/news/160947" target="_blank">今年初</a>俄羅斯駭客組織Midnight Blizzard又成功入侵微軟一個舊版的測試租戶帳戶，這次時間長達兩個月才被發現。CSRB認為，微軟的安全文化不足，才無法防堵這些可以預防的意外，建議微軟進行根本性的安全改革。</p> <p>於是，Nadella上周宣告，未來微軟整個組織都將投入SFI，以3大核心概念為基礎，分別是安全設計（Secure by Design）、以安全為預設（Secure by Default），以及安全操作（Secure Operations）。因此，未來微軟在設計任何產品及服務時，都將以安全為優先；也將在預設情況下啟用與強制執行安全保護；亦會持續改善安全控制及監控，以應對當前與未來的威脅。</p> <p>Nadella表示，安全是個團隊運動，不只是微軟安全團隊的任務，也是每個人的首要之務，亦為客戶的最大需求。在面臨安全與其它重要事項之間的權衡時，勢必以安全為優先；這意味著微軟在某些情況下將把安全性置於其它事務之上，不管是發布新功能，或是持續支援舊有系統。</p> <p>負責安全的微軟執行副總裁Charlie Bell則說明了對SFI的具體規畫，在基於安全設計、安全預設及安全操作的傘翼下，提出了SFI的6大支柱暨目標，包括保護身分與機密、保護租戶並隔離生產系統、保護網路、保護工程系統、監控與檢測威脅，以及加快回應與修復速度。</p> <p>這些目標直接符合微軟自Midnight Blizzard事件中所得到的教訓，以及CSRB對微軟所提出的4個、以及對所有雲端服務供應商所提出的12個建議，涵蓋安全文化、網路安全最佳實踐、審核日誌紀錄規範、數位身分標準與指南，以及透明度等。</p> <p>Bell指出，相關的支柱領導者正與各個不同的工程執行副總裁合作，以推動橫跨整個微軟的工程執行，不管是Microsoft Azure、Windows、Microsoft 365與Security部門，且每周都會有其它的產品團隊加入。</p> <p>為了貫徹SFI的目標，微軟實施了新的安全治理框架，將設立多個新的副資安長，建立這些副資安長與工程團隊的合作夥伴關係，共同負責監督SFI，管理風險，每周直接向資深管理團隊報告，董事會則會參與每季的進度報告。</p> <p>看起來微軟的確計畫從根本上改變該公司的安全文化，迄今已強制於微軟內部超過100萬個 Microsoft Entra ID租戶中自動強制執行多因素身分驗證，也已於生產及企業租戶中移除逾73萬個舊版或不符合最新SFI標準的應用程式，同時也擴大了日誌紀錄以替客戶提供更深入的可視性，亦開始透過通用缺陷列表（Common Weakness Enumeration，CWE）來公布微軟各種CVE的根本原因。</p> <p>Bell最後也呼應了執行長Nadella的說法，指出文化只能藉由日常行為來強化，在克服組織邊界時才能實現安全，並在從下而上、自端到端的問題解決過程中，令安全思維深植於微軟。</p> </div></div></div>
2024/5/6 09:46作者陳曉莉https://www.ithome.com.tw/news/162695
Synergy Research Group研究：微軟雲端服務逐漸縮小與AWS的差距
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市場研究機構Synergy Research Group上周<a href="https://www.srgresearch.com/articles/huge-cloud-market-sees-a-strong-bounce-in-growth-rate-for-the-second-consecutive-quarter" target="_blank">發布今年第一季</a>全球企業在雲端基礎設施上的支出報告，顯示企業對雲端的支出依然維持兩位數的成長，相較於去年同期，該季成長了21%，達到765億美元。最大的雲端服務供應商為Amazon，市占率為31%，微軟與Google則分別以25%及11%位居二、三名，顯示微軟正逐漸縮小與Amazon的距離。</p> <p>Synergy Research所調查的範疇涵蓋 IaaS、PaaS 及私有雲代管服務，迄今美國仍是全球最大的雲端服務市場，其市場規模超越整個亞太地區，但第一季的成長則由亞太地區領銜，不管是印度、日本、澳洲或韓國的成長率都超過25%，而美國亦有20%的成長。</p> <p>值得觀察的是，雖然Amazon依然為該市場的龍頭，但微軟與Google的成長則更為強勁。<a href="https://www.srgresearch.com/articles/huge-cloud-market-is-still-growing-at-34-per-year-amazon-microsoft-and-google-now-account-for-65-of-all-cloud-revenues" target="_blank">2022年第一季</a>時三者的市占率依序是33%、22%與10%，<a href="https://www.srgresearch.com/articles/q1-cloud-spending-grows-by-over-10-billion-from-2022-the-big-three-account-for-65-of-the-total" target="_blank">2023年第一季</a>則是32%、23%與10%，顯示Amazon的市占率逐年微幅下滑，反之微軟則微幅上升，雙方的差距漸次縮小。</p> <p>至於該市場其它的供應商也都呈現成長態勢，包括華為、Snowflake、MongoDB及甲骨文。</p> </div></div></div>
2024/5/6 08:23作者陳曉莉https://www.ithome.com.tw/news/162694
MedTech醫療科技雙周報第35期：Walmart旗下51家健康中心和虛擬照護服務將熄燈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0416～0430）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健康中心 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬照護 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Walmart </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Walmart將關閉51家健康中心和虛擬照護服務</strong></span></p> <p>4月30日，美國零售巨頭Walmart宣布將關閉旗下健康中心Walmart Health和虛擬健康照護服務Walmart Health Virtual Care，因為他們找不到永續的商業模式。進一步來說，Walmart在2019年開始成立健康中心，提供基礎醫療照護、牙科、行為健康、實驗室、X光和聽力學等服務，另也提供遠距醫療服務，但近年來各項成本高漲，不得不關閉健康中心和虛擬健康照護服務。</p> <p>Walmart目前還未公告各家健康中心關門的明確時間，但接下來，他們將把醫療專業知識和資源投注到4,600家藥局和3,000多家視力中心，來提供健康保健服務。Walmart表示，在過去幾年中，他們擴大了藥局能提供的臨床服務，未來將繼續提供免疫接種，並不斷發展檢測和治療服務、專業藥局藥物和照護等服務，如藥物治療管理和各種健康檢查。就視力中心來說，他們則不斷擴大光學業務，尤其近來完成了200家視力中心的擴增，最近還推出一套包括虛擬試戴功能的光學應用，能幫助民眾更輕鬆配眼鏡。<a href="https://corporate.walmart.com/news/2024/04/30/walmart-health-is-closing">（詳全文）</a></p> <blockquote><p><img alt="" src="https://corporate.walmart.com/content/corporate/en_us/news/2024/01/30/walmarts-augmented-reality-optical-try-on-lets-customer-visualize-customize-fits/jcr:content/newsimage.img.jpg/1706633637194.jpg" /></p> <p>Walmart接下來將把醫療照護資源投注到藥局和視力中心，擴展2大業務發展。</p> </blockquote> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子簽章 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位簽章 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 效力 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>電子簽章法修正法案獲立院三讀通過</strong></span></p> <p>電子簽章是一項重要的應用，對醫療院所來說也很常見，比如醫療機構製作電子病歷時，應於24小時內完成電子簽章。最近，由數位部提出的<a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/7e0472e2-c917-4b41-b00b-e30a5927d7ae">電子簽章法修正法案</a>，立法院在4月30日正式三讀通過。數位部表示，修正後的電子簽章法將滿足現今各種線上服務使用需求，可望加速電子簽章的使用普及。</p> <p>電子簽章法自2001年公布後，已超過20年未修法，這段時間網路普及、各種應用興起，為趕上如今的數位應用需求，數位部提出電子簽章法修正草案件。此次修法包含幾個方向，包括確立符合法規的電子文件及電子簽章，功能上等同於實體文件及簽章，不得因其電子形式而否認其法律效力；明定數位簽章為電子簽章的一種，確立兩者間的關係；有別於電子簽章，數位簽章因具備經政府許可憑證機構簽發憑證，推定本人親自簽名或蓋章的法律效力。</p> <p>為讓電子簽章應用更普及，數位部也計畫推動電子簽章解決方案服務能量登錄制度，由政府扮演第三方，透過登錄制度盤點電子簽章服務能量，建立電子簽章產業地圖。立法院三讀通過電子簽章法修正法案後，數位部將照行政程序法，在接下來6個月內制定相關的配套子法及辦法。數位部預期通過修法，未來推動電子簽章的普及運用，加速智慧政府及數位轉型目標，並塑造多元電子簽章發展的有利法制環境、促成電子簽章和國際對接和交流。<a href="https://www.ithome.com.tw/news/162597">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 基因編輯 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenCRISPRT-1 </span></strong></span></p> <p><span style="font-size:22px;"><strong>美國新創用LLM設計出人類基因編輯器</strong></span></p> <p>最近，美國一家新創公司Profluence揭露最新研究成果，他們用自家大型語言模型（LLM），產出一套基因編輯器OpenCRISPR-1，由類似Cas9的蛋白質和引導RNA組成，可用來修改基因。Profluence執行長Ali Madani表示，他們開源OpenCRISPR-1基因編輯器，目標是要降低基因編輯門檻、讓基因編輯更普及，加速治療創新。</p> <p>進一步來說，目前基因編輯的主流工具是CRISPR系統，它就像是一把剪刀，能用來將突變基因剪下，再貼上正常基因，來根治基因缺陷疾病。但這種做法有些隱憂，比如脫靶效應，也就是會修剪到其他非突變基因段，引發其他問題。而Profluence用超過1百萬個CRISPR操縱子（Operons）和26TB（Terabase）組裝基因體的資料，來訓練LLM。而該LLM最終產出OpenCRISPR-1，且經測試，OpenCRISPR-1不只與目前最佳的SpCas9等系統相媲美，還能大幅減少脫靶效應。最後，他們也開源這款工具，希望促進更多AI驅動的基因編輯工具研究。<a href="https://twitter.com/thisismadani/status/1782510590839406904">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺中榮總 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Healthcare GPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 病歷摘要 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>臺中榮總聯手陽明交大打造Healthcare GPT</strong></span></strong></p> <p>臺中榮總聯手陽明交大團隊，用醫院大量去辨識化的醫療資料，打造出一款醫療專用大型語言模型（LLM）智慧助理Healthcare GPT，能根據自然語言指令分擔醫護人員工作負擔、加速臨床作業流程。Healthcare GPT主打4大應用領域，包括自動病歷摘要、AI民眾問答諮詢、Email草稿生成，以及會議記錄和技術文件統整等知識管理。臺中榮總強調，這款Healthcare GPT採用地端私有雲硬體環境執行，免除資料外洩和隱私侵犯疑慮。</p> <p>進一步來說，第一項領域應用稱為病歷代理（Medical Record Agent），醫護透過口語指令，系統就能在15秒內自動生成病歷摘要。第二項應用領域是客服中心的AI諮詢系統（Call Center AI），可提供一對多同步回覆民眾問答，還能整合分析民眾提問，最後轉交護理師做進一步的諮詢。第三項應用領域是Email草稿生成，可根據信件內容、自動收集相關問題處置方式，來加速員工回覆，不必等待會辦其他單位。最後一項應用領域是知識管理代理（KM Agent），15秒就能快速獲取院內會議紀錄、技術文件和指導決策事項的精確整理，在會議中呈現更直觀的資料，有效理解過去決議的目標距離完成階段是否符合期程、幫助更精準地滾動式修正。中榮表示，Healthcare GPT除運用大量自然語言語料和院內累積的專業知識外，還加入頂尖醫療期刊文章作為語言模型學習來源，進一步提升文本生成品質。目前，他們還有數十個新功能專案正在研發中。<a href="https://www.vghtc.gov.tw/Module/BreakingNewsContent?BreakingNewsID=daaa744a-2924-4dec-a596-04aa10ad7cf7&WebMenuID=c47a00fc-ee22-4871-b6ec-5dc557ec27b3">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-04-18%20at%2012_03_53%20AM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">資安 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 中醫大附醫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料隱私 </span></strong></span></p> <p><span style="font-size:22px;"><strong>中醫大附醫通過2大國際資安認證</strong></span></p> <p>為因應各種可能的資安風險，中國醫藥大學附設醫院院長周德陽成立資安推動小組、個資保護小組，也帶領資訊室、醫工室、工務室、人體生物資料庫、醫事室等跨領域科室，來提高資訊、網路和個資保護等三大領域的安全性。4月初，他們獲得了2大國際資安新版認證ISO/CNS 27001:2022和ISO 27701:2019，號稱全臺首家獲此兩項認證的醫院。</p> <p>進一步來說，ISO 27001:2022改版內容更貼近臺灣資通安全管理法的要求，從資訊安全面向延伸至網路安全和隱私保護，更加強技術面資安管理，如威脅情資、雲端服務、組態管理、資料保護等議題。中醫大附醫自2023年初，就開始規畫改版驗證，5月便完成所有體系院所的資安人員2022年版LA轉版，歷經4個月完成2022年版政策與程序改版、落地執行，並於2023年10月至12月期間由SGS對中國醫藥大學體系醫療院所共7家進行聯合外稽，並通過驗證。</p> <p>ISO 27701:2019則是隱私資訊管理認證，是ISO國際標準組織在2019年發布的PIMS國際標準。衛福部2023年2月公告，要求受委託建置及管理電子病歷資訊系統者，必須於公告日起三年內取得ISO 27701認證。雖然還有三年寬限期，但中醫大附醫當時就開始規畫驗證，半年就完成PIMS政策與程序訂定、落地執行，同樣在2023年10月至12月期間由SGS進行外稽並通過驗證。<a href="https://www.cmuh.cmu.edu.tw/NewsInfo/NewsArticle?no=8718">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">高雄榮總 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 遠距醫療 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 視訊 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>高雄榮總成立智慧醫療暨遠距醫療照護中心</strong></span></strong></p> <p>4月30日，高雄榮總正式成立智慧醫療暨遠距醫療照護中心，提供多項遠距醫療服務，包括急診部提供榮民之家24小時遠距醫療諮詢，榮家住民當夜間或假日有醫療需求，也能透過榮家護理人員，以遠距醫療方式，與高榮急診室進行視訊諮詢，無需舟車勞頓送急診處理。再來，高榮家醫部除了長年在高屏地區提供偏鄉巡迴醫療服務外，也對偏鄉地區民眾，提供眼科、耳鼻喉科和皮膚科等特殊專科遠距醫療會診服務，同時也提供遠距藥事服務，透過視訊諮詢藥師相關藥物資訊和藥物整合服務，大幅降低民眾重複用藥問題。</p> <p>高榮揭露接下來的遠距醫療規畫，要將服務範圍擴大到長照機構，還要與在地醫療診所、矯正機關等合作服務，另也會針對偏遠地區的專科需求（如眼科、耳鼻喉科和皮膚科等）提供更多服務。此外，高榮也與業者合作，要透過遠距醫療照護平臺系統，來擴大遠距醫療會診諮詢服務對象，包括遠洋漁船舶工作人員、旅居國外人士（臺商）和國內公司派駐在外人員，或提供商旅醫療服務。<a href="https://www.facebook.com/vghks/posts/pfbid0GeT8E4rwcgGCK8u3goBRNRRsD2FmGfqxagnsMuGyZd7KwJVME1JhZWbyLaYcwYEal">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"><img alt="" src="https://scontent.ftpe8-1.fna.fbcdn.net/v/t39.30808-6/440456583_839434544877259_2387095244873789041_n.jpg?_nc_cat=108&ccb=1-7&_nc_sid=5f2048&_nc_ohc=aF-_vzoctvcQ7kNvgHYDWgl&_nc_ht=scontent.ftpe8-1.fna&oh=00_AfBcQ4bgSLYax5tTI3ADW23SaOwxiyldIERk8VO0NRQQ0A&oe=663D7F0E" /> 病歷 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> UnitedHealth </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 勒索攻擊 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>美國健康保險巨擘UnitedHealth揭露遭駭處理流程</strong></span></strong></p> <p>排名美國第五大企業的保險集團UnitedHealth Group執行長Andrew Witty日前在參議院聽證會中，首度對外證實旗下服務Change Healthcare在今年2月遭到勒索軟體攻擊，並由他決定向駭客支付贖金。</p> <p>Change Healthcare主要提供醫療業者的收入周期管理、支付管理以及健康資訊交換解決方案，每年處理150億筆的醫療照護交易，涉及三分之一的美國病患紀錄。在攻擊行動發生後，安全研究人員即發現勒索軟體組織BlackCat的錢包中收到價值2,200萬美元的比特幣，並證實為Andrew Witty授權支付。</p> <p>他也揭露自家對整起攻擊事件的處理程序，包括駭客在2月12日藉憑證自遠端存取Change Healthcare Citrix入口網站，由於網站原本未支援雙因素身分驗證，因此駭客成功滲透，在系統內汲取資訊，直到9天後才部署勒索軟體。察覺Change Healthcare系統被加密後，團隊迅速切斷Change Healthcare的連結環境，並在該月21日找來Google、微軟、思科和Amazon專家，以及Mandiant和Palo Alto Networks的安全團隊，重新打造Change Healthcare的技術基礎設施，包括更換數千臺筆記型電腦、輪替憑證、重建Change Healthcare的資料中心網路與核心服務，提高新的伺服器容量，在短短的幾周內完成這些原本需要幾個月的工作。<a href="https://www.finance.senate.gov/imo/media/doc/0501_witty_testimony.pdf">（詳全文）</a></p> <p>圖片來源／Walmart、臺中榮總、高雄榮總</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 國產腦瘤偵測AI產品通過6家醫學中心跨院訓練與驗證</strong></strong></p> <p><strong><strong>2. 新加坡國立大學醫院正建立全新消化中心，要用AI加持檢測、診斷和品質控管 </strong></strong></p> <p>資料來源：iThome整理，2024年5月</p> </div></div></div>
2024/5/5 01:06作者王若樸https://www.ithome.com.tw/news/162693
Fintech周報第240期：日本太陽生命保險實驗以GenAI打造擬真業務員，進行保險產品銷售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">4/28~5/3金融科技精選新聞</span></span></h3> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 保險銷售</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI </span></strong></span></p> <h3>日本太陽生命保險實驗以GenAI打造擬真業務員，進行保險產品銷售</h3> <p>日本太陽生命保險近期揭露，內部從今年1月至3月，運用GenAI打造了一個擬真的保險業務員，並進行一連串的實驗。太陽生命保險的實驗分為兩個項目，一個是測試對話準確性，一個是觀察擬真業務員的外觀，例如人物動作和回應速度是否自然。</p> <p>在測試對話準確性的過程中，他們透過提示工程，提供模型保險銷售的對話情境和常見問答，實驗擬真業務員是否能與客戶進行產品銷售對話，以及是否能蒐集銷售保險產品所需的資訊。太陽生命保險表示，他們將進一步研究，了解這項技術是否能應用在商業用途中。</p> <p>太陽生命保險打造的擬真業務員，是參考了真實員工的外型，再運用GenAI生成。實驗結果顯示，虛擬的業務員能像人類一樣自然反應，可以用來接觸客戶。</p> <p>太陽生命保險表示，他們未來會考慮將這項技術運用在保險銷售，但還需降低幻覺率，加快AI回應速度，和提升應對惡意問題的能力。</p> <p><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 富蘭克林</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI </span></strong></span></p> <h3>富蘭克林坦伯頓基金計畫打造AI平臺，透過GenAI結合結構化資料和情境資料</h3> <p>富蘭克林坦伯頓基金近期宣布，將打造一個AI平臺，運用GenAI服務和RAG技術，來提升業務和行銷團隊的工作效率，並提供顧客個人化服務。</p> <p>富蘭克林坦伯頓基金表示，將客戶的財務狀況和投資目標等結構化資料，和最新的市場趨勢等情境資料，兩者相結合，是提供個人化服務的挑戰，同時也是創造差異化的關鍵。因此，他們運用生成式AI的主要目的，並不僅是使用簡單的摘要和對話功能，而是要透過結合結構化資料和特定情境資訊，在平臺上發展出更多強大的功能。</p> <p><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI指引 </span></strong></span></p> <h3>金管會將在六月公布金融業運用AI指引</h3> <p>針對金融業運用AI指引的發布時程，金管會近日在例行記者會上表示，內部已參考外界意見做相關調整，目前正在徵詢專家學者建議，預計會在六月發布正式指引。</p> <p>在記者會中，金管會創新中心專委劉秀玲提出三個較重要的修改建議。第一，指引部分內容採用舉例的方式說明適用性，可能帶來侷限性。第二，指引中可能會再針對不同AI部署方式增訂相關內容。第三，部分業者建議，運用高風險系統時未必需要由獨立性單位進行驗證，改為第三方稽核或評測單位進行驗證更為彈性。（<a href="https://www.ithome.com.tw/news/162599">詳全文</a>）</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子支付 </span></strong></span></h3> <h3>金管會推電支機構設資安專責單位，四間電支業者已開始籌組</h3> <p>為了提升電支機構的資安控管措施，近日，金管會宣布，已在四月請銀行公會研議電支機構設置資安專責單位的條件。</p> <p>銀行局副局長林志吉在例行記者會上表示，目前已和四間規模較大的電支機構溝通，分別是街口支付、全支付、一卡通和悠遊卡，四間都有意願設置資安專責單位。金管會給予半年緩衝期，開放四間機構在今年10月前設置資安主管、人員和專責單位。</p> <p>針對其餘6間電支機構，金管會則是請銀行公會研議電支機構設置資安專責單位的條件，在三個月內提報。林志吉說明，電支機構設置的資安單位主管未必須由副總級以上人員擔任，是否能兼任也有待進一步研議。</p> <p>另外，金管會也同時函請銀行公會修正電支安控基準，在半年內提報給金管會。</p> <p><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CFTC</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI長 </span></strong></span></p> <h3>美國商品期貨交易委員會設立AI長，負責以AI提升監管效率</h3> <p>負責監管美國期貨商品的美國商品期貨交易委員會（CFTC）近期宣布，任命Ted Kaouk為機構內的首任AI長，制定機構運用企業數據和AI的策略。Ted Kaouk表示，他將協助CFTC運用數據和AI，轉變機構內長期監管衍生性金融商品的能力，提升監管效率。</p> <p>去年10月，美國總統拜登簽署一份AI行政命令，要求美國政府部門提升AI監管能力。因應這項行政命令，今年3月，美國行政管理和預算局發布一份適用所有政府部門的AI政策，其中一項政策，便是要求每一個聯邦機構都必須設立負責主導與執行AI政策的AI長。</p> <p><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 麥格理銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 現金服務 </span></strong></span></p> <h3>澳洲麥格理銀行將停止提供分行現金和支票服務，打造全數位化銀行</h3> <p>澳洲大型銀行麥格理銀行近期將不再提供分行現金和支票服務，從5月20日起，麥格理銀行分行將不再提供櫃檯服務，澳洲民眾無法在麥格理銀行分行存入或領取支票，也無法購買支票簿。11月起，麥格理銀行分行所有支票和現金服務都會停止，民眾也將無法從他行跨行存款。</p> <p>麥格理銀行表示，他們目標是往全數位化邁進，因此，去年，他們就宣布要停止所有現金和支票服務。早在2021年，麥格理銀行就宣布開始將零售銀行的核心系統遷至公有雲。近期，麥格理的銀行與金融部門資訊長Richard Heeley在一場公開活動上透露，目前內部已有高達96％的系統在公有雲上運作。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);">其他重要Fintech新聞</h3> <ul> <li>玉山銀行的數位開戶服務和電支帳戶開戶服務通過碳足跡認證<br /> </li> <li>路透社報導，歐盟反壟斷監管機構將接受蘋果開放NFC技術的提議<br /> </li> <li>金融時報授權OpenAI使用內容，訓練底層的GPT模型</li> <li>澳洲央行將花費3,700萬美元汰換資料中心<br /> </li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／日本太陽生命保險</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年4月</p> <p></p> </div></div></div>
2024/5/3 21:08作者李昀璇https://www.ithome.com.tw/news/162691
【資安日報】5月3日，殭屍網路Goldoon鎖定D-Link家用路由器DIR-645老舊漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一般而言，殭屍網路攻擊行動，往往針對多種類型的設備而來，或是對於多個漏洞發動攻擊，但最近資安業者Fortinet揭露的攻擊行動，駭客竟只針對單一型號的路由器，以及完成修補的已知漏洞下手。</p> <p>這起攻擊行動的特殊之處，在於對方專門對於家用路由器DIR-645而來，且利用已知漏洞CVE-2015-2051發動攻擊，而這個漏洞早在9年前就被修補，由此可見，仍有不少該型號設備尚未套用新版韌體而曝險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162660"><strong style="font-size: 22px;">D-Link家用路由器DIR-645老舊漏洞遭殭屍網路Goldoon鎖定，遭綁架的設備被用來發動DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig02-goldoon-telemetry.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig02-goldoon-telemetry.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Fortinet於上個月發現殭屍網路Goldoon攻擊行動，對方鎖定存在已知漏洞CVE-2015-2051的無線路由器DIR-645，並指出這些設備一旦因為具有這些漏洞而遭到入侵，攻擊者可得到完整的控制權，並取得系統資訊，與C2伺服器建立通訊，然後發動DDoS攻擊。研究人員指出，根據他們的遙測資料，此殭屍網路的活動頻率於4月顯著增加，為之前的2倍。</p> <p>究竟攻擊者入侵路由器的過程與手法細節，研究人員並未特別說明，但指出一旦對方成功存取這些設備，就會從特定IP位址惡意程式下載工具（Dropper）指令碼，執行後會自動根據目標裝置的系統架構，下載對應的Goldoon程式，而該檔案執行後，就會下載名為i686-linux-gnu的檔案，並將自己刪除，以防留下證據。針對i686-linux-gnu的功能，就是下載殭屍網路病毒檔案。</p> <p><a href="https://www.ithome.com.tw/news/162654"><strong style="font-size: 22px;">雲端檔案共享服務Dropbox證實電子簽章服務遭駭，對方竊得身分驗證機密資料</strong></a></p> <p></p> <p>5月2日雲端硬碟業者Dropbox通報主管機關美國證券交易委員會（SEC），旗下數位簽章服務Dropbox Sign（原名HelloSign）遭駭，部分用戶的金鑰及雙因素驗證（MFA）資訊遭到駭客存取，接收過其簽章文件用戶的電子郵件信箱恐遭外洩。但他們並未透露受影響人數，以及事故發生的原因。</p> <p>該公司於4月24日得知Dropbox Sign的營運環境發生未經授權的存取活動，資安事件回應部門隨即著手處理，並終止相關存取。經調查該服務的相關資訊遭到對方存取，所有用戶都受到影響，包括電子郵件信箱、使用者名稱、帳號設定資訊等。</p> <p>值得留意的是，曾經收到並以Dropbox Sign簽收文件的使用者，即使他們沒有Dropbox帳號，電子郵件信箱及使用者名稱還是會曝光。根據該公司初步的調查結果，相關文件、合約、範本、付款資訊並未遭到存取，研判這起事故影響範圍局限於Dropbox Sign的基礎架構，不影響其他產品。</p> <p><a href="https://www.ithome.com.tw/news/162661"><strong style="font-size: 22px;">俄羅斯駭客正在尋找水力設施工控系統的遠端存取破口，美國、加拿大、英國發布警告</strong></a></p> <p>5月1日美國網路安全暨基礎設施安全局（CISA）聯合該國7個機關、加拿大網路安全中心（CCCS）、英國國家網路安全中心（NCSC-UK）提出警告，俄羅斯駭客為了破壞關鍵基礎設施的運作，正在尋找、入侵不安全的操作科技（OT）環境。</p> <p>對此，這些機構也對於駭客的攻擊手法進行歸納，指出對方利用VNC通訊協定，並藉由5900埠存取人機互動介面（HMI），從而對OT環境的底層進行竄改，而且，往往是利用預設帳密或弱密碼，且缺乏雙因素驗證（MFA）防護機制的情況下而能得逞。再者，對方也濫用VNC的遠端框架緩衝協定（Remote Frame Buffer Protocol），登入HMI來控制整個OT環境。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.qantasnewsroom.com.au/qantas-responds/statement-on-qantas-app-issue/"><strong style="font-size: 20px;">澳洲航空將旅客敏感資訊及登機證曝露給他人，起因是應用程式配置錯誤</strong></a></p> <p></p> <p>◆<a href="https://www.infosecurity-magazine.com/news/nato-sweden-surge-ddos-attacks/"><strong style="font-size: 20px;">北約新會員國瑞典遭遇大規模DDoS攻擊，在正式加入前達到高峰</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162653"><strong style="font-size: 22px;">HPE Aruba Networking修補網路設備作業系統重大漏洞，若不處理恐被用於RCE攻擊</strong></a></p> <p>4月30日HPE Aruba Networking發布4月份資安公告，指出其網路設備作業系統ArubaOS存在10個漏洞，影響Mobility Conductor（原Mobility Master）、Mobility Controller，以及由Aruba Central雲端控管的WLAN閘道、SD-WAN閘道等設備，且皆與透過PAPI通訊協定存取有關，攻擊者無須通過身分驗證就有機會觸發。</p> <p>其中，有4個漏洞：CVE-2024-26304、CVE-2024-26305、CVE-2024-33511、CVE-2024-33512被列為重大等級，皆為未經身分驗證的記憶體緩衝區溢位漏洞，CVSS風險評分都達到了9.8分。一旦遭到利用，攻擊者就有機會以特權使用者的身分，於作業系統底層執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/162600"><strong style="font-size: 22px;">Brocade旗下SAN管理軟體揭露與修補18個漏洞</strong></a></p> <p></p> <p>資安研究人員Pierre Barre在Brocade儲存區域網路（SAN）管理軟體SANnav發現多個漏洞，可能被用來攻擊光纖通道（Fibre Channel）交換器與SAN基礎設施。對此，該公司在今年4月發布2.3.1版修補相關弱點，當中共有18個漏洞，影響2.3.0版以前的所有SANnav版本，其中有15個漏洞已被指派CVE識別碼。</p> <p>值得留意的是，這些漏洞研究人員早在2022年9月透過Dell向Brocade通報，只因為研究人員對於2.1.1版SANnav進行調查，但當時該公司已推出2.2.2版而並未受理。直到去年5月研究人員確認新版也存在這些漏洞，Brocade才正式承認此事。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.microsoft.com/en-us/security/blog/2024/05/01/dirty-stream-attack-discovering-and-mitigating-a-common-vulnerability-pattern-in-android-apps/"><strong style="font-size: 20px;">研究人員揭露可針對小米檔案管理工具、WPS Office等安卓應用程式的攻擊手法Dirty Stream</strong></a></p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://www.cisa.gov/sites/default/files/2024-05/Secure_by_Design_Alert_Eliminating_Directory_Traversal_Vulnerabilities_in_Software_508c (3).pdf"><strong style="font-size: 20px;">美國針對路徑穿越漏洞提出警告，呼籲軟體供應商出貨前應進行清查</strong></a></p> <p></p> <p>◆<a href="https://www.cna.com.tw/news/afe/202405020400.aspx"><strong style="font-size: 20px;">街口、全支付等4家電子支付業者用戶突破250萬，10月底前將設資安專責部門</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162601"><strong>【5月2日】Docker Hub遭濫用，被用來散播惡意程式與架設釣魚網站的映像儲存庫比例高達2成</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162601"><strong>【4月30日】安卓金融木馬Brokewell透過冒牌Chrome更新網頁散布</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162579"><strong>【4月29日】互動式BI系統Qlik Sense危急漏洞遭到鎖定，對方利用勒索軟體Cactus發動攻擊</strong></a></p> </div></div></div>
2024/5/3 18:13作者周峻佑https://www.ithome.com.tw/news/162669
Martech雙周報第53期：又延期！隱私權沙盒遭主管機關駁回，Google推遲第三方Cookie退場時程至明年初
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0421~0504)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第三方Cookie</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷與隱私</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#精準行銷</span></span></strong><br /> <strong>主管機關對替代方案提出疑慮，Chrome第三方Cookie退場時間再延至明年初</strong></p> <p><a href="https://www.gov.uk/cma-cases/investigation-into-googles-privacy-sandbox-browser-changes#quarterly-reports">英國競爭及市場署（CMA）近日對Google的第三方Cookie替代方案隱私權沙盒（Privacy Sandbox）提出近80項疑慮</a>，包括未限制個資用途、資訊處理過程有資安疑慮、有壟斷疑慮、使用數據仍可辨認出個人身分等。</p> <p>隱私權沙盒不過關，Google也不願放棄現行精準行銷做法，<a href="http://privacysandbox.com/intl/en_us/news/update-on-the-plan-for-phase-out-of-third-party-cookies-on-chrome/">宣布將再次推遲第三方Cookie退場時間。聲明中寫到，如果能和主管機關達成共識，預計明年年初會重啟退場作業</a>。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#零複製</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#多雲混合雲</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI工程</span></span></strong><br /> <strong>Salesforce Data Cloud開始支援多家數據處理科技廠商的雙向零複製數據作業，更容易將企業各處數據用於行銷</strong></p> <p>Martech巨頭Salesforce旗下行銷數據雲端服務<a href="https://www.salesforce.com/news/press-releases/2024/04/25/zero-copy-partner-network/">Data Cloud開始支援多家廠商的雙向零複製（Bidirectional Zero-copy）數據存取</a>，目前支援Amazon Redshift、Databricks、GCP BigQuery、Snowflake、Microsoft Fabric、Azure Synapse等，不同廠商的數據湖、數據倉儲及數據分析工具。</p> <p>這意味著<span style="color:#000000;">，企業要整合散落於各處的數據到Data Cloud及AI開發平臺Einstien 1來進行行銷相關數據應用時，不再需要一一自行開發及管理各資料來源的Reverse ETL數據處理流程。Salesforce與這些數據工具的原生整合，也使數據來源有</span>更動時，所有應用到該數據的對應系統和服務也會自動更新。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AR廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AR素材製作</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#ML模型開發</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong><br /> <strong>Snap將AR功能整合進所有廣告格式，並推出AR廣告素材製作工具</strong></p> <p>社群媒體Snapchat母公司近年一直專注於AR功能開發，<a href="https://newsroom.snap.com/zh-Hans/more-snapchat-newfronts-2024">近日，他們更將AR濾鏡功能整合進所有廣告格式</a>，包括各式商品及品牌的影音和圖文廣告。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/snapartools.jpg" style="width: 600px;" /></p> <p>為了降低廣告主製作AR行銷素材門檻，他們還推出了AR素材製作工具及臉部效果製作工具，前者能快速將2D圖片製作成AR試穿戴等行銷素材，後者則是能讓廣告主快速訓練出專屬機器學習模型，來製作臉部特效濾鏡等效果<span style="color:#000000;">。</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#行銷與隱私</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#無痕模式</span></span></strong><br /> <strong>Google將不再能用無痕模式瀏覽紀錄來行銷，並刪除過往相關瀏覽數據</strong></p> <p><a href="https://www.documentcloud.org/documents/24527110-google-unopposed-settlement">近日，Google與美國聯邦法院達成協議，將刪除過往儲存的無痕模式瀏覽。</a>過往，就算Chrome瀏覽器使用者開啟無痕模式，Google仍會記錄使用者搜尋及瀏覽紀錄，與一般瀏覽紀錄存在同一個個人檔案中，並用來判斷使用者喜好及追蹤行銷成效。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CMS</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷素材製作</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SEO</span></span></strong><br /> <strong>HubSpot推出生成式AI行銷素材製作功能，快速生成多版本及格式的文字類行銷素材，甚至能自動進行SEO關鍵字研究</strong></p> <p>Martech大廠HubSpot<a href="https://www.hubspot.com/products/content">將生成式AI功能融入旗下內容製作及管理工具Content Hu</a>b，來支援快速文字行銷素材生成、投放及行銷成效追蹤，甚至能自動進行SEO關鍵字研究，來提供文案主題建議。</p> <p>新功能包括一般性圖文生成、以基礎素材生成多種版本及用途的文案、統一品牌用字遣詞和語氣、文字轉語音、聲音製作等素材製作功能，以及行銷素材管理、行銷成效A/B測試、SEO研究、部落格流量數據分析等輔助行銷決策及管理的工具。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI代投</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#GoogleAds</span></span></strong><br /> <strong>Google AI廣告代投解決方案Performance Max推出新AI代投功能及管理功能</strong></p> <p>以Google自家<span style="color:#000000;">AI</span>來操作Google Ads廣告投放的解決方案Performance Max新增了6項功能。其中<span style="color:#000000;">2個</span>是AI代投選項，包括客戶價值模式及挽留顧客模式。前者以促成高消費力受眾消費為廣告投放目標，新增於搜尋廣告Search Ads 360。後者則是利用AI辨識消費者行為模式，來決定投放策略，以求挽回流失客戶<span style="color:#000000;">。</span></p> <p>其他新增的是管理及測試功能，包括追蹤受眾年齡和性別組別等數據、即時行銷預算花費及轉換率追蹤功能、排除受眾IP地址功能，以及A/B測試廣告導向不同目標網址的行銷成效等。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#影片廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI分眾挑選</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CTV廣告</span></span></strong><br /> <strong>Google影音廣告解決方案新增更多AI分眾及AI廣告代投微調功能</strong></p> <p><a href="https://blog.google/products/marketingplatform/360/newfront-2024/">Google的影音廣告解決方案Display & Video 360也</a>有AI代投功能升級，廣告主可以用自然語言輸入理想受眾樣貌，再來讓AI挑選符合條件的分眾。接著，廣告主可以挑選優先行銷目標，如曝光度、消費行為轉換、觀看時間長度等，來微調AI代投策略。</p> <p>Display & Video 360還新增了實驗中心介面，可以實驗不同AI代投策略，並從儀表板監控投放成效。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Martech支出</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Martech利用率</span></strong></span><br /> <strong>美國CMO大調查：Martech支出占總行銷支出比例逐年提升，也更深入日常行銷流程</strong></p> <p><a href="https://cmosurvey.org/wp-content/uploads/2024/04/The_CMO_Survey-Highlights-and-Insights-Report-Spring_2024.pdf">美國2年一次的CMO大調查出爐</a>。調查顯示，企業投資及運用Martech的意願越來越高，Martech支出占總行銷預算支出比例從去年17%，來到今年20%，預計明年會提升到24%，5年後甚至成長到31%。不只如此，去年企業只在58.4%日常行銷流程運用Martech，今年則提升到了62.1%。</p> <p>不過，如何妥善挑選並運用適當Martech工具，對企業來說仍是一大挑戰。調查指出，企業採購的Martech工具中，只有56.4%被運用，也就是說，幾乎一半Martech工具都是徒增支出，毫無用武之地。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. X（Twitter）<a href="https://twitter.com/cstanley/status/1784636062767141339">將隱藏回覆、轉推等互動按鈕</a>，從過往類似做法經驗來看，<a href="http://https://www.npr.org/2020/11/12/934280798/twitter-says-steps-to-curb-election-misinformation-worked">恐大幅降低行銷互動率。</a></p> <p>2. 彭博披露，<a href="https://www.bloomberg.com/news/articles/2024-04-12/adobe-s-ai-firefly-used-ai-generated-images-from-rivals-for-training">Adobe圖片類生成式AI模型Firefly的訓練素材，包含上百萬張有版權疑慮的圖片。</a></p> <p>資料來源：iThome整理，2024年5月</p> <p>責任編輯：郭又華</p> <p></p> </div></div></div>
2024/5/3 18:34作者郭又華https://www.ithome.com.tw/news/162647
國科會TAIDE計畫與產學研合作擴大應用，4月底已釋出基於Llama3的測試版模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年2月，國科會宣示將結合臺灣在地文化推出本地的LLM模型，並集結國內產學研資源推動可信任AI對話引擎（TAIDE）計畫，今天（5/3）國科會展示TAIDE計畫最新進展，除了4月中已釋出基於Llama 2的TAIDE商用化模型，計畫團隊更跟上最新技術發展，4月底剛釋出基於Llama 3的TAIDE測試版，未來將透過更多產學研合作開發應用，希望讓TAIDE能深入更多產業應用。</p> <p>去年6月TAIDE計畫首次展現成果，以Meta開源的LLM模型Llama為基礎，蒐集大量的繁體中文資料，加上國網中心的超級電腦算力助攻，打造符合臺灣在地文化的對話引擎模型TAIDE，初期具備70億參數，可作摘要、翻譯、寫信、寫文章等功能，TAIDE計畫負責人陽明交大應數系教授李育杰並宣示，TAIDE模型接下來將朝更大參數規模及可商用化發展。</p> <p>距離初次成果不到一年，今年4月中釋出基於Llama 2，可商用的TAIDE LX-7B，另外還有學研用版本、具有130億參數的TAIDE LX-13B，國科會強調目前TAIDE模型在摘要、寫信、寫文章、英翻中、中翻英等都具不錯的表現，並且具備多輪對話、阻絕不恰當回應的能力。</p> <p>國科會主委吳政忠指出，過去一年結合研究團隊、資料團隊，以及國網中心提供的算力，結合產學研打造出符合臺灣文化的本地生成式AI引擎，今年4月中釋出TAIDE LX-7B，並且通過產學研的努力，驗證開發各種TAIDE應用，展現模型的可用性及多樣性。TAIDE團隊經過一年的演練，Meta於4月中釋出Llama 3，團隊僅花費4天就快速更新版本，相當不容易。</p> <p><span style="color:#B22222;"><strong>政府可望於年底提出AI基本法</strong></span></p> <p>吳政忠表示，TAIDE計畫一開始就希望結合產業、學術研究，如同造車一樣，TAIDE如同車輛的基本引擎，各行各業可以使用這個引擎設計開發自己車款。自生成式AI出現後，不只是科技產業應用，也會在各產業百工百業應用。生成式AI所帶來的影響，政府雖已針對公務使用提出指引，但只有這樣還是不夠，除了生產作業效率的提昇，還需顧及倫理及安全，今年底可望制定AI基本法。</p> <p>TAIDE計畫負責人李育杰表示，TAIDE計畫推動之初即希望不只是研究，也要讓產業加入，並期望帶動臺灣產業AI化，去年適逢Meta釋出可商用化的Llama2，讓TAIDE得以打造可商用的版本。不只是企業，為了讓全民都能使用TAIDE，團隊將TAIDE 7B模型作壓縮處理，現在模型已可在手機、筆電、平板電腦、桌機上執行。</p> <p>李育杰表示，今年4月15日團隊在Hugging Face釋出TAIDE LX-7B，隨後4月19日Meta釋出Llama 3，為了打造可信任的AI模型，得益於團隊過去一年練功打下的基礎，團隊僅花4天就完成Llama 3-TAIDE-LX-8B-Chat-Alpha 1測試版模型，並且已在4月29日在Hugging Face釋出。經過測試比較，這個基於Llama 3的TAIDE 8B模型，其效能表要比基於Llama 2，具有130億參數的TAIDE模型更好，甚至可比美採用Llama 2的TAIDE 70B模型。</p> <p>過去一年多的開發李育杰也分享TAIDE計畫開發的一些心得，過去一年多，由於開源LLM發展相當快速，他笑稱團隊真的是一直跟著趨勢跑，使用的開源LLM，從一開始採用的BLOOM，隨後使用Llama 1、Llama 2，中間出現Mistral，團隊也有採用Mistral，後來Llama 3出現。</p> <p>大型語言模型需要大量的運算資源，在算力方面，團隊雖有國網中心72片H100 GPU算力支援打造TAIDE，但AI模型需要仰賴大量算力，李育杰指出，國外的新創團隊甚至有1,500片H100，而Llama 3團隊則使用2,4000片的H100，顯示在國際算力的競爭，臺灣的TAIDE國家隊可獲得的資源相當有限，需要更聰明的方式推動本地LLM發展。</p> <p>未來，TAIDE將持續增加模型的多樣化，並且蒐集各領域的正體中文資料，持續加強模型的繁體中文表達能力，使其更具有臺灣特色。其次是，追蹤新的生成式AI發展，將最新的技術融入到模型的訓練中。</p> <p><span style="color:#B22222;"><strong>帶動TAIDE對話引擎的應用多樣性</strong></span></p> <p>在開發TAIDE模型的同時，過去一年多，與產學研合作開發相關的應用，今天也在現場展示產學研的TAIDE應用開發成果。</p> <p>例如陽明交大展示了以ChatGPT和TAIDE開發的台客語對話平臺（下圖），能以語音的方式對著電腦說話，電腦即可以華台客英語，以聽說讀寫翻譯或是回覆對話。另外，陽明交大也展示以TAIDE對話引擎開發的多語言翻譯功能，可翻譯英、日、印尼、越南語。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20240503_120821-600.jpg" style="width: 600px; height: 450px;" /></p> <p>高雄大學則是展示Kuwa GenAI OS（下圖），為本土開發的開源碼生成式AI應用平臺，搭載TAIDE模型，強調可讓個人或企業在地端執行TAIDE生成式AI應用服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/kuwa-600.jpg" style="width: 600px; height: 444px;" /></p> <p>中興大學則是以農業知識庫開發神農TAIDE，使用者可以發問，例如稻伏發生的原因，系統會從知識庫中快速過濾、摘要，提出發生稻伏的可能原因。另外，臺南大學則是將TAIDE應用在台英語的對話機器人，讓中小學生可透過機器人學習台語。</p> <p>另外，工研院電光所也運用TAIDE，結合Advanced RAG技術，針對鋼鐵的產業知識提供智慧化的問答檢索，例如詢問高爐或電弧爐相關的產業知識：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20240503_110434-300.jpg" style="width: 300px; height: 400px;" /></p> <p>資服業者也開始運用TAIDE，例如叡揚展示企業知識庫，透過語句查詢，快速檢索、摘要可能的資訊，另外，也針對公務人員使用的公文系統，透過生成式AI輔助公務人員生成公文（下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/writing-600.jpg" style="width: 600px; height: 293px;" /></p> <p> </p> </div></div></div>
2024/5/3 17:16作者蘇文彬https://www.ithome.com.tw/news/162663
俄羅斯駭客正在尋找水力設施工控系統的遠端存取破口，美國、加拿大、英國發布警告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月1日美國網路安全暨基礎設施安全局（CISA）聯合該國7個機關、加拿大網路安全中心（CCCS）、英國國家網路安全中心（NCSC-UK）提出警告，<a href="https://media.defense.gov/2024/May/01/2003454817/-1/-1/0/DEFENDING-OT-OPERATIONS-AGAINST-ONGOING-PRO-RUSSIA-HACKTIVIST-ACTIVITY.PDF">俄羅斯駭客為了破壞關鍵基礎設施的運作，正在尋找、入侵不安全的操作科技（OT）環境</a>。</p> <p>該資安公告指出，俄羅斯駭客從2022年就開始鎖定配置不當或不安全的OT設備而來，目的是擾亂關鍵基礎設施的運作，並產生干擾效應，主要是藉由控制工業控制系統（ICS）來達成。</p> <p>雖然這份公告是針對所有關鍵基礎設施而來，但這些機構點名今年傳出美國出現多起水力設施遭到未經授權人士遠端操控HMI的事故，<a href="https://www.bleepingcomputer.com/news/security/us-govt-warns-of-pro-russian-hacktivists-targeting-water-facilities/">資安新聞網站Bleeping Computer認為</a>，這份公告發布的原因，很有可能與<a href="https://www.ithome.com.tw/news/162507">俄羅斯駭客組織Cyber Army of Russia鎖定美國德州、印第安納州水力設施的攻擊行動</a>有關，並指出該組織也疑似對波蘭和法國出手。</p> <p>而對於攻擊者的身分，資安業者Mandiant推測，上述的資安事故，是與俄羅斯軍情機構GRU有關的駭客組織APT44所為。</p> <p>對此，這些機構也對於駭客的攻擊手法進行歸納，指出對方利用VNC通訊協定，並藉由5900埠存取人機互動介面（HMI），從而對OT環境的底層進行竄改，而且，往往是利用預設帳密或弱密碼，且缺乏雙因素驗證（MFA）防護機制的情況下而能得逞。</p> <p>再者，對方也濫用VNC的遠端框架緩衝協定（Remote Frame Buffer Protocol），登入HMI來控制整個OT環境。</p> <p>針對這樣的情況，此聯合公告呼籲這些關鍵基礎設施的IT人員採取行動，利用防火牆來保護HMI不受外部存取，並強化VNC的設置，應套用最新的修補軟體、啟用雙因素驗證、變更預設密碼等措施，來提升OT環境的整體資安防護。</p> </div></div></div>
2024/5/3 16:28作者周峻佑https://www.ithome.com.tw/news/162661
GAI競爭的新戰場
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺上的Google開發者傳教士Amanda Lewis，將喜歡的樂團表演影片的Youtube連結，輸入到服飾店的AI客服Chatbot中，要AI找出主唱身上穿的同款襯衫，AI果然找到了同樣款式但不同花色的衣服，還參考了Amanda Lewis在用戶資料的尺寸資訊，在Chatbot對話視窗中，列出目前有貨的顏色、價格和到貨時間，Amanda選了最快到貨的一款顏色。</p> <p>她改用語音通話模式，向AI客服確認了購物車中的襯衫訂單，AI參考了Amanda的喜好資料和過去消費紀錄，順便推薦了搭配的褲子、短靴，果然是Amanda喜歡的款式，她同意也一起加入購物車，AI算出加上營業稅後的總售價向Amanda確認。Amanda直接在電話中，授權AI取得會員紀錄中的信用卡資料，直接刷卡完成這次購物。</p> <p>這是Google今年Next大會中的其中一段展示，雖然是模擬服飾店，卻是實際用了Google新一代LLM模型Gemini 1.5版，所打造的商店客服Chatbot。這是其中一段，我覺得非常有意思的一段展示。</p> <p>不只是可以用真人口吻對話的AI客服，在這段示範中，AI客服，不只是提供服務的客服窗口，還取得顧客的授權，讀取顧客的個人檔案，進行購物和刷卡。這與過去只會解答問題、查詢資料的Chatbot有很大的不同。AI還能代表顧客來採取行動，這正是生成式AI最新的應用型態，GAI代理（Agent）。</p> <p>不同於對話式的ChatGPT類AI助手，智慧代理人更像是取得使用者授權後，直接採取行動的一隻隻GAI應用程式，就像是一隻隻取得授權的RPA（流程自動化機器人）程式，但是結合了GAI的理解能力，可以更彈性，也更聰明地執行更複雜的任務，就如同Amanda Lewis在臺上的示範，GAI代理可以理解她說的話，完成刷卡來購物。</p> <p>「GAI代理（Agent）將會翻轉開發者、企業與運算裝置和Web的互動的方式。」Google Cloud執行長Thomas Kurian在開場演講中強調。</p> <p>前年底ChatGPT 引爆全球生成式AI浪潮之後，多家科技巨頭在去年紛紛加入了生成式AI技術的競爭，不只推出自家LLM模型，更推出了不同的生成式AI開發工具，從微軟、AWS到Google，都加入了戰局。</p> <p>LLM模型選擇多元化，再加上GAI開發工具紛紛現身，今年掀起了新一波的生成式AI應用爆發潮，許多大企業紛紛開始嘗試生成式AI技術，尋找適合的應用場景，來打造自己的GAI應用，智慧代理人正是眾人看好的GAI應用型態。</p> <p>Thomas Kurian認為，依據代理任務的不同，還可以進一步細分成6大類GAI代理，包括了顧客代理、員工代理、創意代理、資料代理、程式開發代理、資安代理。購物GAI代理就是一種代表顧客行事的顧客代理。</p> <p>Google更把自家的NoCode生成式AI開發工具，從Gen App Builder，改名為Agent Builder，來凸顯自己從AI應用的開發，轉而更聚焦到智慧代理程式Agent的開發。</p> <p>隨著LLM模型的發展，在2023年百花齊放，生成式AI的競爭也從模型卡位戰，進入了GAI生態圈的競爭，科技大廠一方面比誰能支援更多種類的LLM模型，另一方面也推出更容易上手，快速開發各種GAI應用的開發工具，來吸引企業願意採用。</p> <p>到了今年，GAI代理，成了GAI的新競爭場域，Google率先搶進GAI代理開發生態圈的競爭，但不會是唯一一家，接下來，就看其他科技巨頭如何出招了。</p> <p><a href="https://www.ithome.com.tw/article/162607" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1180-feng_mian_p1-open-zhi_hao_-960x420_kao_bei_0.jpg?itok=LyBIWBbf" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/gai%E4%BB%A3%E7%90%86">GAI代理</a></div><div class="field-item odd"><a href="/tags/agent">Agent</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/genai">GenAI</a></div><div class="field-item even"><a href="/tags/google">google</a></div></div></div>
2024/5/3 15:32作者王宏仁https://www.ithome.com.tw/voice/162658
D-Link路由器老舊漏洞遭殭屍網路Goldoon鎖定，將特定型號路由器組成殭屍大軍從事DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Fortinet於上個月發現<a href="https://www.fortinet.com/blog/threat-research/new-goldoon-botnet-targeting-d-link-devices">殭屍網路Goldoon攻擊行動</a>，對方鎖定存在已知漏洞CVE-2015-2051的無線路由器DIR-645，並指出一旦目標設備遭到入侵，攻擊者可得到完整的控制權，並取得系統資訊，與C2伺服器建立通訊，然後發動DDoS攻擊。</p> <p>研究人員指出，根據他們的遙測資料，此殭屍網路的活動頻率於4月顯著增加，為之前的2倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fig02-goldoon-telemetry.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig02-goldoon-telemetry.png" style="width: 580px;" /></a></p> <p>針對駭客使用的漏洞CVE-2015-2051，<a href="https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10051">為9年前被揭露</a>，攻擊者可遠端利用該漏洞，透過家庭網路管理通訊協定（Home Network Administration Protocol，HNAP）介面，透過名為GetDeviceSettings的動作執行任意命令，CVSS風險評分達到了9.8。攻擊者可藉由偽造的HTTP請求，並於標頭嵌入惡意命令來達到目的。</p> <p>究竟攻擊者如何入侵路由器，研究人員並未特別說明，但指出一旦對方成功存取這些設備，就會從特定IP位址惡意程式下載工具（Dropper）指令碼，執行後會自動根據目標裝置的系統架構，下載對應的Goldoon程式，而該檔案執行後，就會下載名為i686-linux-gnu的檔案，並將自己刪除，以防留下證據。針對i686-linux-gnu的功能，就是下載殭屍網路病毒檔案。</p> <p>值得一提的是，上述用來下載殭屍網路病毒檔案的工具，其統一資源識別字串（URI）相當特別，含有特定的標頭，而能取得最終的酬載。若是使用者透過瀏覽器存取，則會出現錯誤訊息，聲稱原因是使用者是FBI探員他們幫不上忙，若不離開將會大開殺戒。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fig07-goldoon-error-message.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig07-goldoon-error-message.png" style="width: 580px;" /></a></p> <p>研究人員分析該殭屍網路病毒，指出必須透過特定參數才會啟動，並建立連線所需參數，並透過WolfSSL程式庫加密流量，將Google的DNS伺服器設為DNS解析器，然後嘗試與C2連線並接收指令。</p> <p>值得一提的是，此病毒可發動的攻擊多達27種，而為了讓該病毒能持續於受害路由器運作，對方也採用了多達10種方式來進行。</p> </div></div></div>
2024/5/3 15:41作者周峻佑https://www.ithome.com.tw/news/162660
微軟4月Windows更新弄壞了VPN連線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-23h2#vpn-connections-might-fail-after-installing-the-april-2024-security-update" target="_blank">微軟本周坦承</a>，於今年4月釋出的Windows更新可能造成Windows裝置的VPN連線失敗。</p> <p>影響到VPN服務的相關更新包括4月安全更新KB5036893，以及4月的非安全性預覽更新KB5036980，根據微軟的說法，只要是安裝4月9日或之後所釋出的更新，都有可能遇到VPN連線失敗的問題。</p> <p>現階段微軟並未說明造成此一情況的原因，僅說正在開發解決方案，會在下一個版本進行修補。</p> <p>受影響的版本包括Windows 10/11，以及Windows Server 2008/2012/2016/2019/2022，涵蓋家用電腦與企業裝置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0503-windows%20update-Known%20issues.png" style="width: 600px;" /></p> </div></div></div>
2024/5/3 14:57作者陳曉莉https://www.ithome.com.tw/news/162657
Dropbox數位簽章服務被駭影響所有用戶，包含曾接過文件的用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端硬碟業者Dropbox昨（2）日<a href="https://www.sec.gov/Archives/edgar/data/1467623/000146762324000024/dbx-20240429.htm" target="_blank">對主管機關美國證管（SEC）會通報</a>，旗下數位簽章服務HelloSign遭駭，影響該服務所有用戶，包括部分用戶金鑰及MFA驗證資訊遭到駭客存取，接收過其簽章文件用戶的電郵信箱恐也外洩。</p> <p>HelloSign是Dropbox 2019年收購的雲端簽核與文件工作流程平臺服務，當時其用戶超過80萬。在收購後，該方案改名為Dropbox Sign。</p> <p>Dropbox是在4月24日獲知Dropbox Sign的營運環境發生非經授權的存取活動。該公司安全回應部門很快終止了事件。經過調查，Dropbox發現攻擊者已存取了這項服務的資訊，影響所有用戶，包括用戶電子郵件信箱、使用者名稱及一般的帳號設定。另有部分用戶的電話號碼、雜湊加密過的密碼及特定驗證資訊，像是API金鑰、OAuth token、多因素驗證（multiple-factor authentication，MFA）資訊。</p> <p><a href="https://sign.dropbox.com/zh-TW/blog/a-recent-security-incident-involving-dropbox-sign" target="_blank">在其官網上</a>，Dropbox進一步說明，即使用戶沒有Dropbox帳號，但曾經接到或以Dropbox Sign簽收文件的用戶，其電子郵件及使用者名稱也會曝光。反過來說，如果用戶曾建立Dropbox Sign或HelloSign帳號，但未設立密碼（即他們是用「Sign up with Google Account」），則沒有密碼曝險的問題。</p> <p>Dropbox說，根據目前調查結果，沒有證據顯示用戶帳號下的內容，像是其文件、合約、範本或是支付資訊遭駭客存取。該公司也認為，事件範圍僅限Dropbox Sign的基礎架構，並不影響Dropbox其他產品的營運環境。</p> <p>該公司已重設用戶密碼、將任何連結Hello Sign的裝置登出，也進行所有API金鑰、OAuth tokens輪換。這家業者說已通報執法機關，會持續調查，事件矯正修復行動也持續進行中，並已開始通知所有受影響的用戶採取必要行動。</p> <p>不過Dropbox並未說明電子簽章服務確切受影響的用戶有多少，或是攻擊者如何存取Dropbox Sign環境。</p> <p>在營運面上，Dropbox相信此事件不會影響整體業務作業，但是他們尚未能評估事件之後對公司財務及營運結果的效應，因為可能會有官司、客戶行為改變以及主管機關的審查。</p> <p>這是Dropbox近年最新一起被駭事件。<a href="https://www.ithome.com.tw/news/108115" target="_blank">2016年媒體發現</a>這家雲端硬碟業者曾在2012年被駭，致使近7,000萬用戶帳密外洩。2022年11月該公司員工被網釣攻擊，<a href="https://www.ithome.com.tw/news/153968" target="_blank">讓駭客存取了</a>130個GitHub程式儲存庫。</p> </div></div></div>
2024/5/3 13:37作者林妍溱https://www.ithome.com.tw/news/162654
蘋果第二季財報出爐，iPhone銷售下滑10%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2024/05/apple-reports-second-quarter-results/" target="_blank">蘋果周四（5/2）公布該公司第二季財報</a>，該季蘋果創下908億美元的營收，年減4%，該季蘋果僅有服務營收呈現成長態勢，所有硬體裝置類別的營收全都下滑，其中，iPhone營收比去年同期下滑10.5%。儘管財報表現不佳，但由於蘋果當天宣布將買回價值1,100億美元的庫藏股，為史上最大規模，使其當天盤後股價上漲了6%，達183.46美元。</p> <p><a href="https://www.apple.com/newsroom/pdfs/fy2024-q2/FY24_Q2_Consolidated_Financial_Statements.pdf" target="_blank">在908億美元的營收中</a>，有669億美元屬於產品營收，下滑9.5%，另有239億美元為服務營收，成長14.2%。</p> <p>該季蘋果所有類別的硬體產品營收全都下滑，iPhone在第一季創下459.6億美元的營收，比去年同期下滑10.5%，Mac營收為74.5億美元，下滑3.9%，iPad營收為55.6億美元，下滑幅度達16.7%，穿戴、家庭及配件營收為79億美元，亦衰退9.6%</p> <p>其實從市場研究機構<a href="https://www.ithome.com.tw/news/162316" target="_blank">IDC日前發布的</a>第一季全球手機出貨量調查報告便可看出端倪，當時IDC發現iPhone出貨量大跌逾9%，三星則僅小幅萎縮0.7%，也讓三星在今年第一季再度成為全球智慧型手機龍頭。</p> <p>至於今年2月才開始於美國出貨的蘋果空間運算設備Apple Vision Pro，則尚未出現在蘋果的財報上，因而無從得知其銷售狀況，不過，蘋果產品分析師<a href="https://www.ithome.com.tw/news/162500" target="_blank">郭明錤先前曾披露</a>，蘋果已將Vision Pro今年的出貨量從70~80萬臺下修至40~50萬臺。</p> </div></div></div>
2024/5/3 13:52作者陳曉莉https://www.ithome.com.tw/news/162655
微軟通行密鑰開始支援消費者帳戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年5月的第一個周四（5/2）為世界密碼日（World Password Day），微軟與Google都在當天發表雙方在推動通行密鑰（Passkey）上的成果。其中，<a href="https://www.microsoft.com/en-us/security/blog/2024/05/02/microsoft-introduces-passkeys-for-consumer-accounts/" target="_blank">微軟宣布</a>開始支援微軟消費者帳戶的通行密鑰，<a href="https://blog.google/technology/safety-security/google-passkeys-update-april-2024/" target="_blank">而Google則說</a>，迄今已有4億個Google帳戶執行逾10億次的通行密鑰身分驗證。</p> <p>Passkey是由一組金鑰組成，其中的公鑰用於註冊網站或App，私鑰則是存放在用戶裝置上，在所登入的服務註冊了Passkey之後，使用者即可利用裝置上的生物辨識功能或裝置PIN碼來登入各式服務，由於它奠基在FIDO 2/WebAuthn標準上，因而得以跨平臺運作。</p> <p>在2022年的世界密碼日上，微軟、Google及蘋果<a href="https://www.ithome.com.tw/news/150793" target="_blank">共同宣布</a>擴大對專門推動無密碼的FIDO（Fast IDentity Online）聯盟的支持，加速無密碼時代的到來，主要使用的就是Passkey。</p> <p>微軟預測，Passkey將幾乎完全取代密碼，且自即日起，所有使用者都可透過Passkey來存取微軟帳戶，不管是利用位於蘋果、Google或Windows平臺上的人臉/指紋辨識或是裝置PIN碼。</p> <p><a href="https://aka.ms/addproof" target="_blank">微軟提供了一個連結</a>以讓使用者替微軟帳戶建立Passkey，倘若使用者是透過iPhone的人臉辨識建立了微軟帳戶的Passkey，那麼之後要在筆電上登入微軟帳戶時，只要以手機掃描微軟所提供的QR Code，接著於手機上辨識人臉，就能直接於筆電上登入。</p> <p>現在使用者已可藉由Passkey登入Microsoft 365及Copilot的網站與桌面程式，未來幾周將擴大至各種微軟行動程式。</p> <p>Google則說，不到一年的時間，就有4億個Google帳戶利用Passkey執行超過10億次的身分驗證，超越了使用者以簡訊一次性密碼或身分驗證程式執行登入的總和。Google強調，以Passkey登入不但可比輸入密碼節省50%的時間，還能有效防範網路釣魚攻擊，很快就會針對進階保護計畫（Advanced Protection Program）用戶導入Passkey。根據外界估計，全球使用者至少已註冊15億個Google帳戶。</p> <p>此外，除了早期採用Passkey的eBay、Uber、PayPal及WhatsApp之外，這一年來開始支援Passkey的業者，還包括GitHub、Amazon、1Password、Dashlane、Docusign、Kayak、Mercari、Shopify與日本Yahoo！等。</p> </div></div></div>
2024/5/3 14:04作者陳曉莉https://www.ithome.com.tw/news/162656
全面擁抱雲端服務，思科資安大轉型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_secure_cloud-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>縱觀整個企業IT市場的發展，資安防護需求長年處於居高不下的狀態，是許多新創公司崛起的熱門領域，也是既有大型廠商的兵家必爭之地，陸續透過自行開發與併購公司等手段，擴充本身的產品與技術實力，然而，要將這些成果整合、簡化成單一解決方案，卻並不容易，於是，我們經常在同一家廠商看到不同產品線山頭林立的狀況，而在這幾年隨著雲端服務的普及，有些廠商開始試著將旗下百花齊放的資安解決方案，納入單一平臺的品牌或概念識別，例如，趨勢科技的Trend Vision One，Check Point的Infinity、Fortinet的FortiGuard與Security Fabric。</p> <p>而對於同時擁有網路與資安產品的思科而言，近期積極推動好幾波轉型整併工程，例如，2020年他們推出新的產品線<a href="https://www.ithome.com.tw/review/138483">Secure X</a>，希望提供開放、雲端原生平臺連結旗下整合的多種資安解決方案，橫跨使用者與端點、雲端、網路、應用系統，提供更簡單、一致的使用體驗，後續也將上述4個領域的部分資安產品與服務，冠上Secure之名，打造可同時囊括這些資安解決方案的平臺，但這條轉型之路並未因此結束，因為接下來他們更積極擁抱雲端服務與AI創新技術，納入更多資安防護產品與服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2021-Cisso SecureX.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-Cisso%20SecureX.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2021-Cisco-SecureX-2-1000x516.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-Cisco-SecureX-2-1000x516.jpg" style="width: 600px;" /></a></p> <h3><strong><span style="color:#0000FF;">兩年多前，思科再度提出資安平臺新願景</span></strong></h3> <p>在2022年6月舉行的RSA全球資安大會上，思科預告將發展橫跨全球、透過雲端服務形式供應的整合平臺，能夠防護與連結各種形式與規模的組織，他們稱之為Cisco Security Cloud，透過這套開放平臺，在不會受到特定公有雲服務業者綑綁的狀態下，能夠防護整個IT生態系的完整性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Cloud-2022-06-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Cloud-2022-06-1.png" style="width: 600px;" /></a></p> <p>思科的目標是實現整合的操作體驗、統一的管理機制、最開放的平臺，提供資安威脅的預防、偵測、應變、矯正能力，而且能夠擴充使用規模，使人員與設備能夠安全連接，並且安全地存取位於任何地方的應用程式與資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-06-Cisco Security Cloud coverage.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-Cisco%20Security%20Cloud%20coverage.jpg" style="width: 600px;" /></a></p> <p>最初宣布這項規畫時，思科提出4大訴求，分別是安全的存取（Secure Access）、安全的邊緣（Secure Edge）、安全的維運（Secure Operations），以及簡化（Simplification）。</p> <p>在安全的存取方面，他們正在發展持續可信任存取技術（Continuous Trusted Access）、基於風險高低判定的身分驗證技術（Risk-based Authentication），以及連線階段信任分析（Session Trust Analysis），並且展示未來將推出的Cisco Secure Access，初期整合旗下的多因素身分驗證（MFA）與單一登入整合（SSO）系統Duo，以及雲端檔案共享服務Box。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Access-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Access-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-06-Cisco Security Cloud IT Policy.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-Cisco%20Security%20Cloud%20IT%20Policy.png" style="width: 600px;" /></a></p> <p>關於安全的邊緣（Secure Edge），思科推出安全存取服務邊緣（SASE）解決方案，名為Cisco+ Secure Connect Now，提供快速部署SASE與便於日常維運的雲端服務代管平臺，用戶可透過統一的儀表板介面進行管理，並且善用訂閱型態的資安服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Edge-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Edge-1.jpg" style="width: 600px;" /></a></p> <p>在安全的維運（Secure Operations）層面中，思科提出4種解決方案，包含：（1）可針對不同組織，提供個別訂製網路威脅情報的服務Talos Intel On-Demand；（2）具有自動提報警示至SecureX、且能對應至MITRE ATT&CK框架的Cisco Secure Cloud Analytics，（3）SecureX平臺正式提供Device Insights分析功能，可針對環境當中的設備資料，進行匯聚、交互關連、正規化等處理，並且整合弱點管理系統Kenna，以及端點安全系統Secure Endpoint，提供更完善的弱點優先順序管理；（4）Secure Firewall 3100系列，支援員工混合辦公模式的工作新常態，配備新的加密流量透視引擎，可運用AI與機器學習偵測潛藏的威脅。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Operation-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Operation-1.jpg" style="width: 600px;" /></a></p> <p>而在簡化（Simplification）的作法，思科祭出兩種解決方案。一是推出新的Secure Client，預計2022年中統合旗下一半資安產品與服務的各種代理程式，當中將涵蓋AnyConnect、Secure Endpoint、Umbrella，後續會再加入其他代理程式；另一是透過雲端服務的形式提供網路防火牆管理主控臺Secure Firewall Management Center，透過Cisco Defense Orchestrator的幫忙，整合雲端與內部環境的防火牆管理。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Simplification-1-2022-06.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Simplification-1-2022-06.jpg" style="width: 398px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Simplification-2-2022-06.jpg" style="width: 198px;" /></p> <p>針對開放資安平臺的打造，思科強調Cisco Security Cloud將具備5大特色。首先是雲端原生與多雲，橫跨混合辦公環境，安全連結使用者、裝置、物聯網，以至系統、應用程式、資料，提供最佳效能與天衣無縫的操作體驗，使資安更靠近使用者、資料，以及應用程式。</p> <p>第二是統一，整合的核心功能將涵蓋政策管理、管理主控臺、儀表板，提供更完善、貫穿所有環節的資安防護效率。</p> <p>第三是簡化，透過整併多種端點代理程式，減少使用者與IT人員的瑣碎工作，持續聚焦在用戶體驗改良。</p> <p>第四是基於AI或機器學習驅動各種功能，思科多種產品在保護各種設備與網路時，會獲取大量遙測資料，未來資安整合平臺可運用這些內容提升偵測、修改、自動化處理能力，改善本身的效率。</p> <p>第五是開放、可延伸更多功能應用，思科會提供用於整合的API，廣泛支援開發者生態系與市場需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-06-Cisco Security Cloud segment.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-Cisco%20Security%20Cloud%20segment.png" style="width: 600px;" /></a></p> <h3><strong><span style="color:#0000FF;">資安雲逐漸成形，思科持續新增與強化功能</span></strong></h3> <p>到了2023年2月舉行的Cisco Live! Amsterdam大會，思科揭露Cisco Security Cloud最新進展，當中涵蓋零信任、應用程式安全、安全連線（Secure Connectivity）等3大重點。</p> <p>零信任方面，Duo在基於風險高低判定的身分驗證技術上，首先，使用者可透過已知裝置（Remembered Devices）、Wi-Fi Fingerprint等功能，憑藉熟悉的應用程式、裝置、網路，即可維持在登入狀態，系統不需收集個人資料或所在地區的資訊；第二，為了強化抵禦網路釣魚攻擊的能力，Duo提供「可驗證的訊息推送（Verified Push）」功能，一旦發現用戶行為可能處於已知的攻擊模式之中，系統會要求輸入一段代碼，而不非僅用按鈕的動作確認身分；第三是擴充單一登入整合的功能，能透過通知提醒使用者在密碼過期之前進行重設。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-02-Cisco Live Security1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-Cisco%20Live%20Security1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-02-Cisco Live Security2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-Cisco%20Live%20Security2.jpg" style="width: 298px;" /></a></p> <p>關於應用程式安全，思科在專攻此用途的解決方案Full-Stack Observability（FSO），增設「業務風險狀態呈現（Business Risk Observability）」的功能，可透過整合可觀測性平臺AppDynamics的Cisco Secure Application，提供業務風險評分的機制，當中也結合Kenna Risk Meter風險評分系統、AppDynamics的Business Transactions應用程式監控元件、API安全系統Panoptica，以及Talos網路威脅情報服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-02-Cisco Live-Business Risk Observability.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-Cisco%20Live-Business%20Risk%20Observability.jpg" style="width: 600px;" /></a></p> <p>至於安全連線方面的應用，是指思科正式推出主打單一廠商特色的SASE解決方案Cisco+ Secure Connect，可延伸支援Viptela這套SD-WAN，能涵蓋該公司的SD-WAN交織網路，以及他們旗下的多種雲端安全服務，提供從任何地方存取任何系統與服務的安全管道。</p> <p>6月初舉行的Cisco Live! 2023大會，思科接續發布Cisco Security Cloud最新突破。在安全存取與安全連線方面，他們的SSE解決方案Cisco Secure Access正式成軍，7月開放部分使用，10月全面上線，特色在於提供通用的應用程式與IT資源存取體驗，單一、基於雲端服務來進行管理的主控臺，並且能夠更快偵測資安威脅與進行應變、調查（背後整合Talos網路威脅情報服務）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Cisco%20Secure%20Cloud-1.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Cisco%20Secure%20Cloud-2.jpg" style="width: 600px;" /></p> <p>第二項進展是生成式AI的應用，Cisco Security Cloud預先展示這方面的功能，思科將提供Policy Assistant與SOC Assistant。</p> <p>資安政策助手預計今年稍晚推出，可用於描述細部資安政策的內容，並協助評估如何跨越資安基礎架構的不同層面進行實作，初期將搭配思科的AI Assistant技術，能夠評估、產生更有效率的網路防火牆政策，也能運用企業與組織在Cisco Secure Firewall Management Center既有的政策，來進行這些設定管理工作，目標是在不犧牲細部控制能力的狀態下，可以實現更高的使用效率。</p> <p>至於SOC助手，在2023年4月底召開的RSA大會期間，思科首度揭露概念，而對於6月自家用戶大會介紹的特色，預計在會計年度結束提供，其餘功能在2024年上半供應。</p> <p>這項AI輔助機制如何會展現？思科表示，一旦發生資安事故，SOC助手會跨越電子郵件、網頁、端點、網路等環境，已知的所有事件的前後脈絡整理出來，然後告訴SOC分析人員確切發生的狀況與影響，接著這些人可在AI助手的陪伴之下，進行互動與推論，並運用可延展內容的潛在處理動作知識庫，以及將分析人員輸入內容考慮在內的資訊，去決定最適合的矯正方法。</p> <p>Cisco Security Cloud的第三項重點，落在混合辦公的網路安全防護。思科推出新款網路防火牆<a href="https://www.ithome.com.tw/review/158775">Secure Firewall 4200系列</a>，以及Secure Firewall作業系統軟體Firewall Threat Defense（FTD）的7.4版，提供進階的效能與使用彈性，強化密碼學處理的加速、叢集系統與模組化的支援，預計9月全面供應Secure Firewall 4200系列，12月會針對其餘機型提供7.4版作業系統。</p> <p>同時，思科也宣布推出多雲安全防護服務<a href="https://www.ithome.com.tw/review/157920">Cisco Multicloud Defense</a>，可橫跨四大公有雲環境，透過SaaS服務型態實施單一、即時套用的政策控管。</p> <p>最後一個資安防護層面是應用程式安全。思科在雲端原生應用程式防護解決方案Panoptica，提供雲端安全態勢管理（CSPM）的新功能，預計秋季提供，可協助持續遵循雲端安全的政策，以及隨著雲端服務使用規模的擴大而能執行對應的狀態監控。</p> <p>Panoptica也將配備新的攻擊路徑分析引擎，能夠運用圖學資料處理技術，執行進階的攻擊路徑分析，協助資安團隊面對整個雲端基礎架構時，可以快速識別與矯正潛在的威脅。</p> <p>同時，Panoptica還能整合思科的Full Stack Observability產品線，即時呈現業務風險的優先處理順序，協助資安與開發團隊掌握現況、具有控制能力，以及處理的知識與經驗，進而保護動態的雲端應用程式與基礎架構。</p> <h3><strong><span style="color: rgb(0, 0, 255);">思科</span></strong><span style="color:#0000FF;"><strong>資安雲開始明確提供3大解決方案套餐</strong></span></h3> <p>在2023年10月底舉行的Cisco Security Summit線上座談會之後，思科將旗下資安產品聚焦在三大應用案例：改善資安效率、強化使用者體驗，以及加速投資回收，並且普遍地結合零信任的原則，能夠提供使用者優先的體驗而不會犧牲安全性，目前已彙整成三種產品套餐，包含使用者防護（User Protection Suite）、雲端防護（Cloud Protection Suite）、外洩防護（Breach Protection Suite）。 </p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Security Suites-2023-H2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Security%20Suites-2023-H2.png" style="width: 600px;" /></a></p> <p>User Protection可用於協助使用者安全地從任何地方進行辦公，當大家存取SaaS、企業內部應用程式、通訊工具與其他業務資源時，可以獲得更有生產力的工作體驗，能夠免於受到網路釣魚、惡意軟體、身分盜用，以及勒索軟體等攻擊。</p> <p>Cloud Protection可用於混合雲與多雲環境，提供地端與雲端之間的互動存取防護，當中將整併多個控制點，提供能夠普遍觀照全局的能見度，並且可以降低風險。</p> <p>此項資安解決方案套餐本身內含動態框架，可適用於企業內部環境與雲端環境，提供因應資安威脅的情報，並透過減少攻擊面與保護全部的應用程式、工作負載，協助持續改善資安態勢。</p> <p>Breach Protection能夠運用基於資料、AI驅動的防護機制、整合第三方廠商的資安解決方案，使SOC分析人員快速偵測與因應各種進階威脅，像是勒索軟體、內部威脅、未知惡意軟體，以及資料外洩，提供加速應變的能力，以及簡化的操作體驗，從而處理複雜的資安威脅。</p> <p>舉例來說，企業能藉此橫跨電子郵件、端點、網路、雲端等多種環境，掌握整體資安能見度，並且進行相關的控制，從而強化威脅偵測與提升資安維運處理的流暢。</p> <p>關於套餐競爭優勢，思科在今年2月強調，最明顯的好處是透過單一供應商、單一產品編號（PID）或存貨單位（SKU）的形式，而且，套餐的授權計價結構很單純，是以每個使用者來估算，能夠更方便地因應所有重要客戶的聯繫與安全需求，提供完整功能。</p> <p>而且，相較於需同時面對多家供應商與不同類型的解決方案，思科在此實作的產品與技術整合機制，可大大降低複雜度，有效提升能見度與控制能力，進而強化監控與管理效率，帶來更理想的用戶體驗、增加用戶黏著度，對於採用思科套餐的資安代管服務業者（MSSP）而言，也能提升自身獲利能力與利潤。</p> <p>除此之外，對比於個別訂購產品，資安代管服務業者若能採用思科供應的單一套餐，思科宣稱成本可節省53％，因為可簡化採購流程、初始設定、整合、管理設定、技術支援，以及產品更新等工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-02-Cisco%20Security%20Cloud-overview.jpg" style="width: 600px;" /></p> <h3><span style="color:#0000FF;"><strong>事前預防：思科針對不同地點、用各種裝置的使用者，提供防護</strong></span></h3> <p>首先思科主推的資安雲方案是保護「使用者」相關面向的套餐，當中涵蓋的產品線，主要有Duo、Secure Access、Secure Email Threat Defense、Secure Endpoint，可針對身分認證（MFA）、應用程式與網路存取（SSE）、電子郵件，以及端點裝置使用（桌上型電腦、筆電、工作站、伺服器）等各個環節，協助企業與組織獲得這個防護層面的能見度與安全性保障。</p> <p>User Protection可選用2種服務層級：Essentials、Advantage，前者囊括的產品有Duo、Secure Access、Secure Email Threat Defense，後者額外提供Secure Endpoint。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-02-Cisco%20User%20Protection.png" style="width: 600px;" /></p> <p>以存取防護而言，思科可在員工存取應用程式或網際網路時，提供安全、高度整合而流暢的操作體驗，無論他們使用任何裝置、這些裝置屬於列管或非列管狀態，以及從內部網路、分支辦公室、家庭或其他地方連入，均可適用，這個套餐會協助管理過程中的每一個部分，無論是連至應用程式、進行身分認證獲得許可，並且提供環繞在使用者體驗的洞察分析，也能透過雲端服務的形態，輕鬆提供這些功能的使用。</p> <p>針對不同安全連線技術的使用，思科User Protection標榜能順利進行處理這些狀況，減少無謂的操作，例如，用於遠端存取時，可使用VPN、ZTNA的架構，而面對多種遠端網路與雲端服務應用程式的存取時，可提供單一登入整合（SSO）。在此同時，思科也結合基於風險評估而成的身分認證AI引擎，能夠辨識各種受到信任的狀況，人員工作時須頻繁進行身分認證的次數，得以有效減少，而當明確的身分認證受到批准，搭配思科的無密碼身分認證，可大幅簡化驗證程序，例如，只需用手指碰觸指紋辨識器或插上YubiKey這類行動身分驗證裝置。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20laptop-alpha-user-protection-paper.jpg" style="width: 600px;" /></p> <p>在應用情境的涵蓋上，思科User Protection可協助企業與組織驗證各種類型的裝置，無論是單位列管、開放自帶裝置（BYOD），或是通過內部安全查核而註冊、經由第三方安全查核而註冊，可涵蓋企業、約聘人員、合作廠商等類型使用者，均能以密碼學的防護處理，將使用者與裝置進行綁定，協助推展零信任策略，並且依各自需要的步調進行，提供零摩擦的存取體驗。</p> <p>對於可能受到攻擊的層面（Attack Surface）的掌握，思科本身具有服務30萬個客戶的Talos Intelligence網路威脅情報平臺，每天處理5千5百億起資安事件與280萬個惡意軟體樣本，而基於這樣龐大的遙測能力，可持續識別風險與改善企業、組織的資安態勢，思科User Protection均可整合到用戶環境當中，減少可被攻擊的弱點、增進保護，並支援不同使用者、應用程式、裝置的應用。</p> <p>在使用者存取系統、應用程式、網路服務的行為上，思科User Protection可協助改善能見度與控管能力，減少各自獨立、互不相通的資訊孤島存在。企業與組織能透過這樣的共同平臺，解決各個環節出現的問題，限制員工擅自使用各種工具狀況的擴散，降低系統管理的複雜度與日常負擔，同時，也可以簡化購買與管理這些工具的流程，透過當中提供的儀表板介面，促進作業順暢度，並且支援日益精簡的IT與資安人力，而得以在減少維運成本之餘，使整個團隊的運作更有效率、透過更有戰略的方式來推動各種業務進行。</p> <h3><span style="color:#0000FF;"><strong>事中偵測與應變：思科簡化資安維運作業與提升事故處理速度</strong></span></h3> <p>為了因應持續進化的網路攻擊手法，思科推出Breach Protection Suite套餐，提供廣泛理解各種侵襲模式的解決方案，因為當中可透過即時對應MITRE ATT&CK框架的方式，掌握觀察到的敵對行為所屬的戰略、伎倆及程序（TTPs）。</p> <p>思科表示，Breach Protection可選用3種服務層級：Essentials、Advantage、Premier（2024年之後新增），能分別滿足不同規模組織的需求，提供一系列防護機制，確保能完整涵蓋這個範圍的資安控管。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-02-Breach%20Cloud%20Protection.png" style="width: 600px;" /></p> <p>首先是基礎型解決方案Breach Protection Essentials，裡面結合電子郵件安全防護Secure Email Threat Defense、端點偵測與應變系統（EDR）Secure Endpoint Advantage、延伸偵測與應變系統（XDR）XDR Essentials，提供可立即使用的產品與服務包裝。</p> <p>思科之所以這樣的搭配，主要是因為絕大多數的網路攻擊，仍舊利用網釣郵件來傳遞濫用端點系統漏洞的惡意軟體，或透過端點應用程式、以寄生攻擊（Living-Off-the Land，LOL）的方式，有些會趁機提升可執行的權限，植入與維持惡意軟體的存在，有些則是經由橫向移動的方式，設法搜刮內部網路的各種數位資產（traverse laterally），對此Breach Protection Essentials的威脅偵測與應變機制，可處理上述的網路攻擊類型，以及Wizard Spider、Sandworm這類駭客團體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%202023-05-XDR-zesxrdctfvyg.jpg" style="width: 600px;" /></p> <p>若有進階防護需求，思科提供Breach Protection Advantage等級的解決方案，可涵蓋每個企業與組織可能面臨的所有網路攻擊，尤其是針對同時擁有IT、OT、IIoT的複雜環境，或是BlackTech、Volt Typhoon、Jaguar Tooth這類國家級駭客發動的精密攻擊。這個套餐結合網路型資安防護技術，能偵測位於雲端與企業內部環境的基礎架構威脅，能照應當前資安業界已知的所有網路攻擊類型。這個層級的Breach Protection套餐，同樣提供電子郵件安全防護Secure Email Threat Defense，端點偵測與應變系統搭配進階的Secure Endpoint Premier、延伸偵測與應變系統搭配進階的XDR Advantage，再加上Secure Network Analytics（前身為Stealthwatch）、Telemetry Broker，提供可立即使用的產品與服務包裝。</p> <p>對於想要獲得上述所有防護、本身卻沒有足夠資安人力，或是想要完全將SOC委外的企業與組織而言，思科供應的解決方案是Breach Protection Premier，可協助管理資安維運作業，或是將代管的多種資安服務包裝起來，從中負責保管事故因應的相關資訊，提供滲透測試服務、執行紅隊／藍隊／紫隊組建服務，以及代為處理威脅的偵測與應變工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Security%20Suites-2024-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E6%80%9D%E7%A7%91.jpg" style="width: 600px;" /></p> <p>而在套餐組成方式上，Breach Protection Premier搭配更多解決方案，不僅具備Breach Protection Essentials、Breach Protection Advantage這兩個層級的產品陣容，也提供代管延伸偵測與應變服務（MDR）、資安事故應變服務Talos Incident Response，以及資安態勢評估服務Technical Security Assessment。</p> <p>值得注意的是，Cisco Breach Protection Premier也適用於目前已採用第三方資安產品的企業與組織，可獲取同樣的技術成果。不過，思科也表示，若選用這個套餐，企業與組織能得到很大優惠的財務使用條款與總體持有成本，而不需要處理接合多家第三方廠商解決方案，以及透過多種主控臺進行管理的問題。</p> <h3><span style="color:#0000FF;"><strong>因應企業大規模採用混合雲與多雲架構，提供全面資安防護</strong></span></h3> <p>隨著企業上雲的潮流勢不可擋，如何在單雲、多雲、混合雲等不同環境確保資安，成為整體防護規畫的大難題，此時雖然能支援快速的應用程式開發與部署，但日常營運會面臨許多挑戰，例如，可受到攻擊的層面擴大、系統運作與資安狀態的能見度喪失，以及IT資源的不足。對此，許多資安廠商都呼籲，從開始上雲之際，就要採用涵蓋各種網路威脅的防治，且內建資安防護的單一解決方案，並且搭配使企業與組織得以安全穩定成長的框架。</p> <p>對於思科而言，他們目前可提供多面向的防護方法，結合彼此互補的解決方案，有助於減少攻擊面、保護在不同位置執行的應用程式，簡化在多雲、混合雲環境進行資安維運工作的複雜度，並幫助資安團隊獲得合適的資源而達到目標，促使企業與組織的業務成長。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-02-Cisco%20Cloud%20Protection.png" style="width: 600px;" /></p> <p>而在Cloud Protection套餐當中，思科表示，將會提供單一操作介面，用於橫跨多種雲端環境的管理與部署資安控制。IT人員只需編寫一次控管原則，運用這套解決方案內建的自動化處理與調度指揮，即可將這條政策部署到4大公有雲業者的服務，如此能大幅減少因為管理雲端網路安全而衍生的常態作業成本開支，以及教育訓練負擔。</p> <p>同時，Cloud Protection本身採用中立而非專屬特定雲端平臺的技術，可抑制搭配工具數量增加的狀況，提供能夠彈性使用的框架，而能在不同環境保護各種工作負載執行的應用程式。之後，企業與組織就能快速登記新的雲端服務帳號，以便合併或新增更多業務，並以此確保可以遵循整體資安的要求。</p> <p>除此之外，Cloud Protection也能整合到應用程式的開發與部署流程，促使這些系統建置的初期，就已內建資安防護。目前，思科預設提供超過100種API與整合機制，可輕鬆嵌入既有或新設的系統與數位資產，後續對於存在其中的資安弱點與攻擊面，能夠做到更深入的掌控。</p> <p>關於解決方案的組成，思科Cloud Protection目前匯集多種產品與技術，統合在單一框架，企業目前可選用2種服務層級：Essentials、Advantage，前者包含的產品，有Multicloud Defense（前身為Valtix）、Secure Workload（前身為Tetration）、Vulnerability Management（前身為Kenna.VM），後者額外提供Cloud Application Security（前身為Panoptica），以及Attack Surface Management（前身為Cisco Secure Cloud Insights）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Cloud Workload-467712-圖片來源-思科.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Cloud%20Workload-467712-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E6%80%9D%E7%A7%91.jpg" style="width: 600px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E4%BC%81%E6%A5%AD%E7%B4%9A%E8%B3%87%E5%AE%89%E5%A4%A7%E5%9E%8B%E8%A8%82%E9%96%B1%E6%9C%8D%E5%8B%99">企業級資安大型訂閱服務</a></div><div class="field-item odd"><a href="/tags/cisco-securex">Cisco SecureX</a></div><div class="field-item even"><a href="/tags/cisco-security-cloud">Cisco Security Cloud</a></div></div></div>
2024/5/3 12:25作者李宗翰https://www.ithome.com.tw/tech/162652
HPE Aruba修補網路設備作業系統危急漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月30日HPE Aruba Networking發布4月份資安公告，<a href="https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2024-004.txt">指出其網路設備作業系統ArubaOS存在10個漏洞</a>，影響Mobility Conductor（原Mobility Master）、Mobility Controller，以及由Aruba Central雲端控管的WLAN閘道、SD-WAN閘道等設備，且皆與透過PAPI通訊協定存取有關，攻擊者無須通過身分驗證就有機會觸發。</p> <p>其中，有4個漏洞：CVE-2024-26304、CVE-2024-26305、CVE-2024-33511、CVE-2024-33512被列為危急等級，皆為未經身分驗證的記憶體緩衝區溢位漏洞，CVSS風險評分都達到了9.8分。一旦遭到利用，攻擊者就有機會以特權使用者的身分，於作業系統底層執行任意程式碼。</p> <p>而這些漏洞涉及的元件，則有所不同。CVE-2024-26304與L2及L3的管理服務有關，而CVE-2024-26305則是出現在Utility處理程序，至於CVE-2024-33511為自動報告服務的弱點，而CVE-2024-33512，則在本機使用者身分驗證資料庫發現。</p> <p>對此，HPE Aruba Networking發布8.10.0.11、8.11.2.2、10.4.1.1、10.5.1.1、10.6.0.0版ArubaOS予以修補，並指出已終止維護的6.5.4至10.3版ArubaOS，以及8.6.0.4-2.2.x.x至8.7.0.0-2.3.0.x版的SD-WAN網路設備作業系統，也存在上述漏洞。</p> </div></div></div>
2024/5/3 11:59作者周峻佑https://www.ithome.com.tw/news/162653
LastPass完成自母公司GoTo分拆獨立
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>密碼管理服務業者<a href="https://www.businesswire.com/news/home/20240501835392/en/LastPass-Completes-Journey-to-Become-an-Independent-Company-with-Enhanced-Cybersecurity-Focus-and-Executive-Leadership-Team" target="_blank">LastPass宣布</a>已完成自母公司GoTo切割，成為一家獨立公司。</p> <p>LastPass表示，這是原名為LogMeIn的母公司GoTo履行它之前的承諾。<a href="https://www.logmein.com/zh/newsroom/press-release/2021/logmein-set-to-establish-lastpass-as-an-independent-cloud-security-company-amid-strong-market-demand" target="_blank">LogMeIn 2021年底宣布</a>將把LastPass分拆出來，以便公司能專注密碼安全服務發展。隨後2022年初LogMeIn<a href="https://www.logmein.com/zh/newsroom/press-release/2022/newly-rebranded-company-goto-disrupts-the-it-support-landscape-with-goto-resolve-a-new-modern-it-management-product-built-for-today-s-flexible-workforce" target="_blank">將公司改名為GoTo</a>，專門開發企業協同產品。</p> <p>獨立出來的LastPass將由既有持股的私募基金集團成立的LMI Parent公司管理，總部位於GoTo所在的波士頓。LastPass並將成立自有團隊和基礎架構。LastPass執行長仍為原來的Karim Toubba，另新增產品長、行銷長和資訊長。此外該公司也將成立專門的威脅情報團隊，提供鎖定LastPass、客戶的威脅活動之監控、分析及緩解。</p> <p>雖然LastPass強調是因應消費者及企業客戶強勁需求而獨立，不過可能先得重建客戶信心。2022年中LastPass<a href="https://www.ithome.com.tw/news/152730" target="_blank">公布被駭</a>，被竊取程式碼和技術資訊，但隨後「擠牙膏」式地透露消息，<a href="https://www.ithome.com.tw/news/155264" target="_blank">最後證實</a>連用戶密碼備份和加密金鑰也被駭客存取，並讓用戶接下來一年內接連遭遇攻擊。LastPass也因此被用戶<a href="https://www.ithome.com.tw/news/155011" target="_blank">集體控訴</a>告上法院。</p> </div></div></div>
2024/5/3 08:57作者林妍溱https://www.ithome.com.tw/news/162650
Google雲端AI新戰略
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1180-feng_mian_p1-open-zhi_hao_-960x420_kao_bei_0.jpg?itok=LyBIWBbf" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在4月Next大會中，Google Cloud一口氣發表眾多新產品和功能，幾乎都圍繞去年底多模態Gemini展開，還引進更強大、支援超長文本的模型版本，更要將雲端GAI觸角向下延伸到邊緣，瞄準下一個企業AI應用新戰場</p> </div></div></div>
2024/5/3 09:17作者余至浩https://www.ithome.com.tw/article/162607
Gemini為核心，Google雲端AI戰略聚焦雲服務和生產力GAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「GAI代理（Agent）將會翻轉開發者、企業與運算裝置和Web的互動的方式。」Google Cloud執行長Thomas Kurian在今年Next大會開場時這樣強調，不分產業，企業紛紛利用生成式AI推動業務成長、增強用戶體驗，以及改善開發者生產力和提升IT維運效率，「許多行業正因為GAI而開始改變。」</p> <p>過去一年，企業GAI應用的風潮席捲全球，成了三大公雲積極搶攻的新戰場，微軟靠著OpenAI助攻，去年在這場雲端GAI大戰中取得先機，而Google後來居上，靠著自家PaLM模型和GAI生產力工具來迎戰，AWS則是到去年底年會上，對於企業GAI應用布局才有比較完整的布局與揭露。</p> <p>Google在生成式AI布局動作頻頻。去年8月的Next大會成了Google生成式AI的火力展示，更是對微軟Copilot戰略的反擊。進到2024年，Google更加快GAI產品發布和更新的腳步，積極布局新一代企業生成式AI建置需求。</p> <p>在今年的Next大會上，Google Cloud執行長Thomas Kurian在開場時強調，今年的策略將聚焦於加速企業業務和產業數位轉型，他同時也揭露了在AI布局的多項成果，其中包括不到一年，已有上百家主要企業都已經開始在內部應用中採用Gemini，包括了麥當勞、德國銀行、HCA健康、USS、Mayo Clinic醫療機構等，在今年大會期間，更舉辦超過300場企業GAI應用實例，涵蓋金融業、零售業、醫療業、製造業等。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Vertex AI和各種雲端服務中開始引進新一代Gemini 1.5模型</strong></span></span></p> <p>Google在今年2月發表性能更強大、能夠支援超長文本的Gemini 1.5多模態模型，更成為今年Next最受囑目的焦點。</p> <p>在Next大會，Google將這款最新版Gemini模型上架到生成式AI開發平臺Vertex AI的模型花園中，Gemini 1.5模型不僅可同時支援文字、圖片、影片、聲音及程式碼的輸入，而且在Token處理數量上也比1.0版多出了31倍，甚至比GPT-4 Turbo高出7.8倍，最多可支援輸入長達100萬個Token，相當於一次能處理1小時的影片、11小時的音訊或逾70萬字的內容。</p> <p>Vertex AI先提供了中階款模型Gemini 1.5 Pro的公開預覽，並推出兩個不同規模的版本，分別能處理12.8萬個和100萬個Token數量的資料。Google強調，Gemini 1.5 Pro模型在輸出品質上足以媲美前一版最高階Gemini 1.0 Ultra模型，同時能減少運算量。</p> <p>Gemini 1.5 Pro還支援處理語音音訊串流和視訊的音訊，並具備跨模態分析功能，能夠同時分析文字、圖片、視訊和音訊等不同類型的資料，此外，提供高品質的轉錄功能，可用於搜尋和分析。例如，可以使用Gemini 1.5 Pro對財報電話會議或投資人會議影片或錄音進行搜尋、分析和回答問題。</p> <p>目前已有United Wholesale Mortgage、SAP、TBS、Replit等企業開始在Vertex AI平臺上使用新版模型建立新的AI應用，包含AI驅動的顧客服務代理、學術指導導師，還能用AI分析大量複雜的財務文件、檢測文件中資訊不一致，以及用自然語言進行資料集的探索。</p> <p>最新的Gemini 1.5 Pro，現在也能在Gemini Cloud Assist雲端助手服務中以私人預覽方式提供，一次可以輸入最多30萬行的程式碼，意味著，可以在程式庫中執行大規模程式碼檢索、除錯及測試，亦有助於加快企業許多老舊系統的現代化改造，將大批老舊程式語言轉為現代語言。Google Cloud平臺與技術基礎架構總經理Brad Calder強調，Gemini程式開發AI助手讓開發人員的工作效率因此提高30%。</p> <p>在Next大會上，Google提出了5種企業上雲轉型的新路徑，可從五種雲端服務類型開始上雲，分別是基礎架構雲、開發者雲、數據雲、資安雲、協作雲。Google也將最新Genini模型整合到這幾類雲服務中，像是協助回答問題，提供AI預測等。</p> <p>以基礎架構雲為例，Google開始在企業資料中心部署的GDC分散式邊緣設備上提供各種開放AI模型，如Gemma、Llama等，並推出生成式AI搜尋支援功能，讓使用者可以透過自然語言搜尋從本地資料中心或邊緣環境上快速檢索和分析內部相關的資料和內容，從而提高員工工作效率和知識共享。</p> <p>Google更推出了多項基礎架構的技術創新，可以用來支持龐大AI發展的需求，像是正式推出新版的TPU v5p，還推出A3 Mega、Nvidia Blackwell GPU運算平臺，支援大規模的GAI模型訓練與推論。Google更展示首款專為資料中心設計的Arm架構處理器Axion，跟同級的x86虛擬機相比， Axion效能提高了50%，能源效率也提升60%，未來有可能將其與TPU一同用於GAI模型服務。目前這款處理器已在Spanner、BigQuery、GKE、Google地球引擎和YouTube廣告服務中使用。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1180-%E5%B0%81%E9%9D%A2-600-3.png" style="width: 584px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>在雲端應用生命周期管理上，Google推出名為Gemini Cloud Assist的雲端維運助手的私人預覽，也就是先前專用於IT維運設計的Duet AI助手進化版，不只採用最新Gemini模型，能夠涵蓋應用程式生命週期的管理，提供包括目標設計、安全、維運指導、故障排除等多方面輔助功能。另外提供效能和成本優化的建議。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／余至浩）</span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Google公布新生成式AI產品架構</strong></span></span></p> <p>Google Cloud在會中提出一個生成式AI產品架構藍圖，將生成式AI產品架構從過去生成式AI開發工具為主的開發架構，變成是擴大延伸到各種雲端服務的產品架構。</p> <p>這個產品技術框架可以進一步分為4層，雖然和過去生成式AI開發平臺Vertex AI都是4層架構，但兩者在本質上有很大的差別。新架構最底層是AI Hypercomputer超級電腦基礎架構，專門針對生成式AI強化推出的基礎架構，提供AI模型訓練和服務所需的各種AI加速硬體、軟體框架和相關系統資源，與Vertex AI的底層是以一般性的雲端基礎架構為主有所不同。</p> <p>再上一層是Gemini模型。原本Gemini只是Vertex AI模型花園中的一個模型，現在被拆分出來，成為與Vertex AI開發工具並重的另外一個重要的功能。這是因為Gemini模型已經變成支援Google Cloud所有產品的重要核心基礎模型。第三層是生成式AI平臺Vertex AI，包含了AI Studio、Colab、VS Code等各種GAI開發工具。最上層則是Google雲端服務和辦公生產力Workspace專用的Gemini助手，以及企業自建的生成式AI代理。</p> <p>新產品架構下的Vertex AI平臺，現在進一步加強企業GAI 代理開發的支援。</p> <p>例如在模型建置上，Google將Google搜尋作為可信來源的參考基準，推出Grounding with Google Search新服務，利用Google搜尋結果比對模型生成的內容，藉此提高回應品質並減少幻覺。在模型微調方面，Vertex AI提供簡化提示設計，讓開發者更容易撰寫出高品質的提示，並推出新提示管理工具，可用於管理、追蹤，比較不同提示版本的回應品質。此外，模型部署到正式環境前，開發人員也能利用新的模型評估機制AutoSxS比較兩個LLM模型版本的差異對於最後模型推論的影響，以此選擇最佳模型版本用於生產環境。</p> <p>Google這次推出了一站式AI解決方案，稱作Vertex Al Agent Builder，該方案進一步結合「搜尋」和「對話」兩類GAI應用套件，能快速在企業內部應用建立和部署No Code對話式生成式AI代理，且可與企業系統相連接，讓生成的回覆內容可以貼近企業的實際情況。</p> <p>Thomas Kurian指出，企業在Vertex AI中可以快速自建GAI代理，來執行不同任務，像是有顧客服務的AI代理、員工管理的AI代理，還有創意設計、數據分析、程式撰寫和資安等不同的AI代理。「每一個GAI代理都具有多模態執行能力，能夠同時處理多種資訊。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1180-%E5%B0%81%E9%9D%A2-600-1.png" style="width: 589px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Google公開了最新的TPU模組機架式機櫃（左圖）和雲端GPU機櫃（右圖），用來提供包含Gemini在內的GAI模型訓練和服務。每臺TPU模組機櫃最多可容納64個TPUv5p模組。</strong><span style="font-size: 14px;">（攝影／余至浩）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>雲端AI維運助手不只提供雲成本優化的建議，還支援目標驅動設計</strong></span></span></p> <p>Google今年雲端產品發布中另一個重要焦點，著重在加強其雲端服務GAI整合能力，與去年剛推出時相比，現在在Google雲端服務中不僅可以使用GAI助手完成更多任務，進一步也將其擴大到更多的服務中。</p> <p>Google今年開始以生成式AI助手Gemini為品牌，應用在各種雲端服務中，推出軟體開發AI助手、應用生命周期平臺的AI維運助手、資料分析平臺的AI分析助手，BI平臺的AI洞察助手，資料庫的A管理助手，以及資安的AI防護助手。</p> <p>AI維運助手的最大特色是，引進最新Gemini模型，涵蓋應用程式生命周期的維運管理。</p> <p>例如，AI維運助手現在能支援目標驅動設計的功能，讓維運人員可以用自然語言描述建立待測試的目標和使用者旅程流程，進而產生自訂的測試腳本，根據需求進一步提供架構配置、部署或設定，例如提供網路配置或協助三層架構應用程式部署、理解Terraform腳本等。</p> <p>此外，還能蒐集和分析Cloud Logging中各種日誌，提供IT團隊相關摘要和解釋，並提供故障排除的建議。甚至在身分權限控管上也能使用AI維運助手提供IAM身份識別與存取管理的建議，例如根據企業資料、加密偏好以及合規性需求在加密金鑰建立過程中提供協助。</p> <p>服務效能和成本優化也是AI維運助手這次新增的功能之一。例如可以偵測哪些叢集是在開發或測試環境中執行，或是被用於實驗的叢集，還可識別資源過剩的叢集並提供建議，讓管理者可以重新調整資源分配，降低雲端花費。</p> <p>在資料服務的AI助手上，Google Cloud持續強化旗下資料產品與Gemini的整合。舉例來說，現在在BigQuery資料倉儲中，資料分析人員可以自然語言方式向Gemini助手提需求進行資料準備、查找、分析及治理，並且能夠使用Gemini 1.0 Pro，執行多模態和進階推理的功能。</p> <p>不僅如此，BigQuery與Vertex AI之間的結合更緊密，使用者可以直接在BigQuery中存取Vertex AI中的AI 型，代表企業可以將這些AI模型、ML operators和統計分析功能納入到企業內部資料工作流程中，進行多模態析，包括結構化與非結構化資料。在BigQuery中能透過Vertex AI模型API處理文件檔案和音訊。不過目前這些Gemini功能大多處於預覽階段。</p> <p>在應用開發輔助方面，Google宣布其程式撰寫AI助手現已達企業級的安全和可靠，並支援最新的Gemini 1.5 Pro，可以在程式庫中執行大規模程式碼檢索、除錯及測試。在雲端資安防護方面也強化了與Gemini的整合。例如，將Gemini整合至SecOps維運流程中，並開始在威脅智慧情報服務與SCC安全指揮中心中提供相關的Gemini服務。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1180-%E5%B0%81%E9%9D%A2-600-2.png" style="width: 383px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>除了推出算力更強的AI硬體，Google首款資料中心設計的Arm架構處理器Axion首次公開亮相，未來有可能將其與TPU一同用於GAI模型服務。目前這款處理器已在Spanner、BigQuery、GKE、Google地球引擎和YouTube廣告服務中使用。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／余至浩）</span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>企業辦公生產力工具深度整合Gemini能力，還增添影片創作AI助手Vids</strong></span></span></p> <p>企業生產力應用是另一大雲端GAI戰場。為了力抗微軟M365，Google Workspace在今年二月開始引進Gemini模型，加強對Workspace內容的多模態進階理解能力，Google同時也將Workspace的AI助手Duet AI改名為Gemini，並推出商用版與企業版，提供更多企業級功能。</p> <p>Workspace目前擁有超過30億使用者和超過1,000萬付費訂閱客戶。Google Workspace的副總裁兼總經理Aparna Pappu表示，在近8個月內，在Workspace中使用Gemini服務的用戶超過一百萬人，還有上千家企業採用，包括Uber、Verizon、Sports Basement等。</p> <p>Workspace今年產品更新一大重點就是GAI。Gemini現在已經能夠跨Workspace產品線生成內容，Chat和Docs中都開始使用最新的Gemin模型。</p> <p>在Gmail中新增語音提示和即時潤色，只需向Gemin說出「幫助我寫作」，就能完成草稿，並且一鍵轉換為完整的電子郵件。Meet上新增了AI會議和傳訊的擴充功能，每位用戶每月10 美元，可以提供「為我做筆記」、「為我翻譯」等功能。還可以自動檢測和翻譯Meet中的字幕，最多支援 69 種語言，並在預覽版Chat中自動翻譯訊息、對話摘要和問題回答，將於今年稍後推出。</p> <p>Google也透過AI加強Workspace的資安防護，推出AI Security商用附加服務，能夠協助資安人員自動分類Google硬碟中的敏感文件並提供防護。此外在測試版Gmail中開始提供DLP資料外洩防護的控制和分類標簽功能，甚至之後將實驗後量子加密PQC演算法納入其中。</p> <p>Workspace這次還推出了全新的AI影片創作生產力服務Google Vids。這是一個整合影片、寫作、製作和編輯的AI助手，讓即使是不熟悉影片創作的行銷人員也能快速製作出各種影片內容，用於產品行銷、人才培訓、團體慶祝等活動。 Vids雖然採用了Gemini模型，但與OpenAI的短片生成AI模型Sora不同，並非生成完整的影片內容，而是根據使用者的描述從影片資料庫中找出相應的影片、圖片和背景音樂的場景，然後將它們整合在一起，協助使用者完成分鏡腳本、後製和編輯。這項實驗性服務預計在6月推出。</p> <p>隨著GAI應用在2024年大爆發，Thomas Kurian強調，企業正在迎來一個GAI代理的新時代，並且建立在全新、完全開放的AI平臺之上，「我們正在重塑雲端基礎架構，以因應此一趨勢。」</p> <p>不只搶攻雲端GAI，Google正在透過在手機上執行的輕量Gemini模型，以及用相同技術所開發的開源邊緣AI模型Gemma，瞄準企業邊緣GAI應用需求。</p> </div></div></div>
2024/5/3 06:00作者余至浩https://www.ithome.com.tw/news/162605
Google搶攻邊緣GAI的兩大關鍵策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我們的目的是透過邊緣GAI開源模型Gemma向開發者社群提供Gemini中可用功能。」Google Cloud執行長Thomas Kurian在Next會前一場亞太媒體活動上這樣強調，Google 將現有的Gemini模型推出了一個在Android裝置上跑的輕量版本，同時推出一個相同技術的開源版本，也就是Gemma。Gemini要利用Gemma搶佔邊緣GAI應用市場，同時借助開源社群將Gemini影響力擴大到更多應用領域。這是Google在邊緣AI的一大重要策略。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>靠龐大而成熟的Android生態系，瞄準行動裝置端中的GAI模型</strong></span></span></p> <p>Google去年底推出了可以在手機上執行推論的輕量版Gemini Nano模型，讓原本只在雲端伺服器上執行的Gemini模型，現在能夠瘦身進到行動裝置中，可離線執行生成式AI應用。</p> <p>Google不只率先推出能在手機上執行的GAI模型，還利用其龐大而成熟的Android生態系，使得Google在下一波邊緣GAI浪潮中，比起其他競爭對手更具優勢。尤其，現今全球擁有超過30億臺Android裝置，包括行動裝置、邊緣設備及IoT裝置等，未來都可以使用Google的GAI模型。</p> <p>Google一開始先將Gemini Nano整合到自家旗艦手機Pixel 8 Pro系列中，隨後在三星Galaxy S24手機中開始提供Gemini Nano模型的支援。在Next大會上，Google擴大了其支援的裝置，新增了Oppo和OnePlus兩款手機品牌，而且不限於旗艦機型，未來甚至中階手機也能夠執行。例如聯發科二款新晶片組未來將支援Gemini Nano，包括中階的Mediatek Dimensity 8300等。</p> <p>Google迄今並未沒有透露具體的硬體限制，但需要執行Gemini Nano模型，從現有手機硬體規格來看，除了配備AI晶片Tensor G3，以滿足生成式AI模型推論的運算需求之外，同時得要配備至少8GB或以上的記憶體。</p> <p>為了在行動裝置中能更好地執行LLM語言模型，Google提出了新框架，在原本的Android作業系統中新增了AI Core層，這是一個新的Android系統層級服務，可用來提供Gemini Nano模型的存取，同時提供模型管理、runtime和安全性等功能，以此提供模型更新並確保模型輸出的安全性。</p> <p>透過AI Core，開發者可以很容易在Android裝置上建立和執行LLM，並可以透過SDK與AI Core進行溝通，讓在OS上執行的App使用Gemini的功能。</p> <p>AI Core提供了LoRA模型微調功能，可以執行利用LoRA進行微調的推理，同時也能夠調度底層的硬體，如TPU或VPU，來支援模型推論所需的運算需求。目前AI Core僅包含在Android 14版本中，因此要使用AI Core，需將作業系統升級至該板本。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>安卓手機上現有的3種GAI應用</strong></span></span></p> <p>Google初期在Android行動裝置中提供3類Gemini應用，包括錄音App摘要、Gboard中的智慧回覆和聊天傳訊改寫。舉例來說，在Pixel 8 Pro手機的轉錄工具App中，Gemini Nano模型可以提供會議音檔的重點摘要。而在Gboard工具上則會根據鍵盤上的上下文輸入提供下一段文字的建議。在聊天訊息中，則能夠根據對話內容提供內容改寫的建議，並可在離線情況下執行這些裝置上的GAI應用。</p> <p>不過，現階段這些應用仍處於私人Beta測試階段，僅提供特定的開發人員進行測試使用。</p> <p>除了可離線執行裝置上GAI應用，使用者也可以利用Gemini API在行動裝置中執行較複雜的多模態AI任務，例如經由網路使用雲端上的中型模型，如Gemini 1.0 Pro，就能夠在手機上使用功能更強的Gemini助手回應和處理各種Workspace內容。</p> <p>在一場Android裝置GAI技術發展演講中，Google Android開發者關係工程師Thomas Ezan提到將GAI模型部署到Android裝置上的好處在於，資料可以就近在手機裝置上處理不需要傳雲，對於企業隱私保護性也較高，而且模型回應速度更即時，甚至遇到斷網也不怕。此外，企業執行模型推論增加的雲端成本也能降低。</p> <p>Thomas Ezan指出，Google目標是要讓每支App，都能夠使用生成式AI功能，甚至還要將Gemini變成是下一代App的關鍵必備能力。他預告接下來，還有其他功能陸續推出，包括裝置上個人化GAI功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1180-%E5%B0%81%E9%9D%A22-600.png" style="width: 599px;" /></p> <p><span style="color:#696969;"><strong>Google初期在Android行動裝置中提供3類Gemini應用，包括錄音摘要、Gboard鍵盤智慧回覆和聊天傳訊改寫。舉例來說，Pixel 8 Pro手機使用者可以在轉錄工具App中使用Gemini Nano模型提供會議音檔的重點摘要。此外，Gemini也能夠根據鍵盤上的上下文輸入提供文字的建議，而且聊天訊息對話過程中，也能根據原始內容提供改寫的建議。</strong><span style="font-size: 14px;">（攝影／余至浩）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Gemini要利用相同技術的GAI開源模型Gemma進軍邊緣AI</strong></span></span></p> <p>Google在邊緣AI策略，除了推出可在裝置上跑的Gemini Nano模型，還將另一款採用相同技術研發的邊緣GAI模型Gemma開源，要借助開源社群的力量將Gemini影響力向外擴散到更多應用領域之中，這是Google在邊緣AI另一大重要策略。</p> <p>Gemma是Google在今年2月釋出的一款輕量級邊緣GAI開源模型，用來挑戰臉書Meta的LlaMa。Gemma正式採用Apache-2.0授權釋出，因此其更易於散播，並且可以在桌機、筆電，甚至行動裝置、IoT裝置上執行。</p> <p>Gemma採用與Gemini模型系列相同的架構、訓練資料和訓練方法，利用了6兆個Tokens的資料集（包含網路文檔、數學和程式碼）進行訓練，而且同樣基於安全與負責任的AI原則設計。不過，與Gemini不同的是，Gemma並非多模態模型，僅能支援單一資料型態，目前僅支援英語輸入。</p> <p>Gemma發布後，Google隨後將Gemma和其商用GAI模型Gemini API並列在Google AI for developer頁面的GAI工具列表中，提供給開發人員使用，表明對其未來發展的重視。</p> <p>在會前一場亞太媒體活動上，Thomas Kurian透露對於這款邊緣GAI模型未來發展的企圖，他強調：「Gemma建立在與Gemini相同的基礎技術和能力上，目的是吸引開發者生態系統的加入，並透過Gemma向開發者社群提供Gemini中可用功能。」</p> <p>不只能夠透過社群回饋持續提高和改進Gemma模型的能力，Google同時也能將這些改進應用在正式的商用Gemini產品中，使模型表現越來越好，甚至借助開源社群的力量將Gemini影響力向外擴散到更多應用領域。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>借助開源力量將Gemini影響力向外擴散到更多應用領域</strong></span></span></p> <p>開發人員現在已經可以在Android裝置中安裝和執行Gemma，透過MediaPipe 釋出的實驗性LLM推論API，可以支援包括Gemma 2B模型在內的推論任務。Gemma現階段提供了70 億和20 億參數兩種版本，前者用在GPU和TPU上的應用部署和開發，後者則是專用在CPU為主的裝置應用上。</p> <p>不過在GPU的裝置上執行20億和70億的Gemma模型，分別需要至少8GB以上和24GB以上的記憶體。</p> <p>Google雖然不是唯一一家將自家GAI模型開源的公雲業者，例如微軟最近釋出了SLM模型Phi-3-min，同樣可以在行動裝置上執行。但是Google在Next大會上進一步在雲端LLM開發平臺Vertex中開始提供Gemma系列模型，包括程式碼生成模型CodeGemma等，讓企業可以在自家LLM應用中開始採用。</p> <p>此外，Google在其GDC分散式雲端服務中開始提供Gemma模型的支援，進一步將Gemma應用到了靠近資料所在的企業邊緣環境，例如工廠等。</p> </div></div></div>
2024/5/3 06:00作者余至浩https://www.ithome.com.tw/news/162606
內部資訊單位要轉為服務供應商，永豐餘靠IT推動三軸數位轉型
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣有家本土百年老字號的造紙廠，家中每天用的紙品，像是五月花、柔情、得意等常見品牌，多出自這家公司之手，甚至不只賣紙，這家造紙公司還賣起了食品、生技，甚至科技、能源等服務。</p> <p>跨足不同行業，讓永豐餘控股（以下稱永豐餘）在經營上發展出和一般傳產不一樣的經營模式，特別是在IT和數位科技運用上，永豐餘就像是一家資訊服務公司。早在20多年前，永豐餘開始強調IT自主開發，進一步把IT部門獨立成立新公司，提供資訊服務和技術支援，推動各子公司的數位化發展，還開始擁抱容器微服務架構，加速應用現代化轉型。未來還打算將這家獨立IT公司變成一家服務供應商，開始提供對外服務。</p> <p>在2022年加入永豐餘擔任資訊負責人的元信達資訊總經理郭興恩強調：「未來更要透過IT支援永豐餘的三軸轉型，朝向低碳化、數位化和智慧化發展。」</p> <p>造紙起家的永豐餘，早期專注於提供上下游製造一條龍的整合服務，後來跨出造紙核心本業，開展多元化的集團式經營，多年下來，橫跨科技、金融、生技、食品、能源等多個領域。目前永豐餘旗下有超過百家轉投資子公司，其中多數子公司的IT，由永豐餘IT部門，統一負責管理和維運。</p> <p>永豐餘在2000年就將集團資訊中心獨立成立新公司，也就是元信達資訊，不只從財務上百分之百持股，可以說明兩家的關係十分密切。郭興恩的直屬主管，就是身兼元信達董事長的永豐餘投控董事長，郭興恩不只直接向她匯報，還能參與投控經營團隊會議，提出各種投控資訊IT的規畫。此外，元信達舉行經營會議時，永豐餘經營者也會參與，共同討論未來IT策略方向，來支援永豐餘業務發展所需。</p> <p><span style="font-size:28px;"><strong>永豐餘展開核心ERP大改造，因應未來營運的發展</strong></span></p> <p>資訊部門在獨立成為公司後，接著展開永豐餘一系列的數位化推動計畫，例如對外建構電子化的完整供應鏈體系，並全面將總部財務營運作業e化，此外，資訊團隊還在2014年建立集團資訊制度管理規範，完成集團郵件系統上線等。</p> <p>在2015年，永豐餘高層當時做了一個重要決定，決定展開核心ERP大改造，要透過翻新ERP，來因應未來營運的發展。這是永豐餘有史以來，最重要的一次核心系統轉換。</p> <p>永豐餘採分階段導入新一代ERP，先從臺灣先上線，包括林漿紙事業群等先推出，在系統穩定運作一段時間後，大陸廠也跟進，前年在越南廠開始導入。</p> <p>導入新系統的同時，永豐餘資訊團隊一併對於旗下子公司、各廠展開IT架構的轉換，捨棄了過去各事業體各自部署一套ERP的做法，轉而採用集中式的架構，在總部提供一套ERP來支援子公司或海外工廠使用，來達到統一管理。</p> <p>郭興恩表示，新ERP上線後帶來的最大好處是，可以透過一套統一的ERP系統，將各子公司數據和資料統一管理，實現統一結帳和統一帳本，進而節省人力成本，縮短結帳時間，從一個月縮短到只需5天就能完成。</p> <p>在營運面上也有諸多好處。例如以前資料未經整合，無法即時更新庫存資訊，難以做到採購整合，現在則大大改善這個情況，而且通過建立統一資材跟採購中心，可更有效地進行採購，擁有更大的議價能力。</p> <p>不只核心營運系統要統一，隨著許多新併購公司加入，永豐餘還進一步開始將各子公司的IT和網路基礎架構也一併納管。基於資訊向上集中政策，永豐餘針對控股超過50%的重要子公司IT基礎設施由總部IT負責統籌和管理。同時對這些子公司進行分級，決定哪些應用系統的使用上需要集中統一管理。郭興恩上任後，更貫徹執行將這些政策落地。</p> <p>他形容，永豐餘IT就像是一個中央IT，負責統籌和管理這些共通性應用和服務，讓這些服務可以重複利用，而無需重新建置。此外，他們還建構專屬私有雲，根據每家公司的需求提供所需運算資源和儲存空間，供各子公司使用。他表示，這樣做的好處可以替公司節省成本，同時讓子公司遵循一套統一標準，並且進一步強化資安防護。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1180-CIO-%E6%B0%B8%E8%B1%90%E9%A4%98%E9%9B%86%E5%9C%98_600_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89_2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>IT架構大翻新，轉而擁抱容器化微服務新架構</strong></span></p> <p>過去20多年，永豐餘IT技術架構也歷經了幾次的重要轉變，從傳統的主從式架構逐漸轉向Web應用的架構，到2017年導入伺服器虛擬化，集中整併IT架構，郭興恩在2022年上任後進一步推動向容器化微服務架構的轉變。</p> <p>為何開始擁抱這種新架構？郭興恩指出，隨著新ERP導入以及資訊科技發展進入十倍速的時代，IT架構不斷翻新。同時，現今的運算能力不斷增強，雲端興起與網路頻寬加大，也給IT帶來新挑戰，因此，必須不斷緊跟新科技的腳步，持續升級系統，朝向現代化發展。</p> <p>尤其，永豐餘投控旗下近百家子公司，這些公司的規模大小不一，需求也各不相同，為了能更好地滿足各子公司的需求，就需有一個更具彈性的IT架構，而透過容器化微服務架構，能夠將原本的系統拆成更小型的功能模組，變成是如同積木一樣的組合，在這種架構下，「IT團隊可像堆疊積木般，根據每家公司的需求組合成不同的功能，應對多變的業務應用情境」郭興恩指出。</p> <p>採用這種IT架構還有另一個好處是，對於敏捷開發的契合度也更高，因為可以將應用不同功能各自獨立開發、測試與驗證之後，再組合成完整的服務。</p> <p>為了配合這樣的應用開發方式，永豐餘IT組織也經過調整，改為敏捷式組織，開發方式從過去的瀑布式開發改成Scrum敏捷開發，並先從系統開發部開始推行，接著才展開系統的改造。郭興恩說，現在團隊每天都有站立日會，並透過迭代式開發逐漸將舊有系統翻新成現代化。</p> <p>目前永豐餘已經在一些新的應用開發中採用容器架構，如智能助理，但對於現有系統的現代化改造卻相當耗時，需要將以前.NET的MVC架構轉成現代化的容器技術平臺架構，因此，在決定系統改造時，郭興恩採取了更審慎的態度，優先考慮選擇系統關鍵性高、已經使用很長時間且存在資安疑慮的系統進行改造。</p> <p>除了IT架構的轉換外，目前永豐餘投控IT團隊規模僅不到百人，但要應對近百家子公司IT和數位化需求，成了IT部門所要面對的考驗之一。為此，在開發優先順序上，郭興恩採取了不同的策略，對於各家子公司提出的開發需求，會優先考慮共用性高、成本效益好的共通性模組和應用，或是政府要求或商業關鍵應用優先開發。</p> <p>就像其他企業IT主管遇到的挑戰，郭興恩同樣也面臨IT人力不足的問題，如何在現有資訊人力的調度下，發揮最大的效益，也成了他任內一大任務。</p> <p>郭興恩擔任資訊負責人後，採取了一系列改革措施，一方面將系統開發部的多個部門整併為一個部門，捨棄過去一部門對應到一家公司技術支援的做法，讓IT開發人力的資源可以共用；另一方面，他也相當重視IT人才的轉型，鼓勵IT人員除了原有的工作之外，可以斜槓拓展新技能、學習新知識，因應快速變化的IT環境。</p> <p>「更重要的是知識與合作的再進化。」他指出，現在團隊已不再是以前的單打獨鬥，而是透過CI/CD的方式適應更敏捷的專案。因此，許多各自領域的知識可以互相共享，團隊成員不再僅專注在個人擅長的領域，必須能夠將其他流程面的知識也納入學習的範圍中，這樣做可以拓展人員的知識，學到更多更廣的事物。</p> <p><span style="font-size:28px;"><strong>靠IT推動永豐餘三軸轉型</strong></span></p> <p>永豐餘2023年提出未來發展目標，將朝向低碳化、數位化和智慧化三軸轉型。引進這種新的IT架構和應用開發方式，也就更能夠運用IT協助永豐餘加速轉型。</p> <p>像在智慧化方面，永豐餘自2019年也積極發展智慧製造，導入IoT、AI相關技術提高生產效率和品質。例如在造紙製程中導入自動虛擬量測（AVM）進行品質檢測，能夠提前偵測出異常的紙張，確保生產品質。目前已在中華紙漿久堂廠採用。</p> <p>AI不只應用在工廠端，因應近來爆紅的生成式AI浪潮，永豐餘IT團隊去年利用微軟Azure OpenAI服務，開發出了自己的生成式AI智能助理，供內部使用，協助進行內容翻譯、會議重點摘要等工作。</p> <p>不只要將傳統工廠轉型智慧工廠，永豐餘近幾年也積極投入ESG永續的發展，甚至透過IT輔助實現減碳的目標，例如建立集團碳平臺，讓各子公司能夠透過這套平臺即時查看工廠的碳排資訊等，作為改善碳排的參考依據。這套平臺去年底已推出上線。</p> <p>不僅如此，永豐餘在2022年建置區塊鏈供應鏈金融平臺，通過將供應鏈商流、金流、資訊流串聯到同一區塊鏈帳本中，要解決短鏈運籌模式下資訊片斷及無法驗證交易真實性的風險問題。永豐餘一開始先將平臺提供集團內的中心廠在使用，後來更擴大至上下游供應商。自上線到今年三月底，融資金額已經超過11億。今年更計畫將區塊鏈節點延伸到醫療器材產業鏈中。</p> <p>郭興恩表示，透過這套平臺，當中心廠跟供應商下單後，如果遇到供應商資金不足或帳期較長需要向銀行借款時，合作的銀行就可以根據訂單在平臺上查核資訊，包括應付帳款。由於些資料是從企業ERP系統取得，可作為可信化的債信數據，銀行可以從平臺上直接查看，有助於加快審核程序，讓供應商能夠獲得融資。</p> <p>正是因為區塊鏈供應鏈金融平臺和碳服務平臺都是建立在永豐餘的核心事業的基礎上，他指出，藉由這兩個平臺的擴展，未來有機會發展出新的商業模式，從循環經濟開始擴展永續生態圈聯盟鏈，在此策略之下，「IT能藉此從共享中心轉型為利潤事業，不只對內服務，還能創造更多價值。」郭興恩表示。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> CIO小檔案 </span></span></strong></p> <p><strong>元信達資訊總經理郭興恩</strong></p> <p>學歷：雲林科技大學資管所碩士</p> <p>經歷：在資訊服務產業擁有20年的IT資歷，曾在許多大型國際軟硬體與資訊服務公司待過，先後擔任過Oracle首席顧問、IBM諮詢副合夥人與DXC Technology臺灣總經理，2022年8月正式加入永豐餘擔任資訊負責人，帶領IT團隊推動集團三軸數位轉型</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1180-CIO-%E6%B0%B8%E8%B1%90%E9%A4%98%E9%9B%86%E5%9C%98_250_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.JPG" style="width: 250px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>永豐餘投資控股</strong></p> <p>●地址：高雄市大樹區久堂里久堂路14號</p> <p>●網址：<a href="http://www.yfy.com">www.yfy.com</a></p> <p>●成立時間：1924年</p> <p>●主要業務：林漿紙事業群、工紙紙器事業群、消費品事業群、以智慧能源及循環經濟創新綠能等相關業務的碳管理事業群等</p> <p>●員工數：11,000人以上</p> <p>●董事長：劉慧瑾</p> <p>●資本額： 166億元</p> <p>●年營收：738億元（2023年）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：總經理</p> <p>●資訊部門主管姓名：郭興恩</p> <p>●資訊部門名稱：元信達資訊</p> <p>●資訊部門人數：70人以上</p> <p>●資訊部門分工：營運系統部、系統開發部、應用系統部、數據與分析部、資訊安全部、創新專案管理部、行政管理部</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2000年：永豐餘將資訊部門獨立成立元信達資訊</p> <p>●2002年：推動永豐餘體系供應鏈電子化計畫</p> <p>●2006年：開始導入財務營運總部電子化</p> <p>●2014年：導入集團新世代郵件系統、建立集團資訊制度管理規範</p> <p>●2015年：集團共用資通視訊系統推出上線、導入集團新世代ERP應用系統</p> <p>●2016年：導入集團BPM企業流程管理系統</p> <p>●2017年：建置集團BI企業管理與高階戰情室平臺、導入客戶服務管理平臺、導入MES生管系統</p> <p>●2020年：建置E-Platform電商下單平臺</p> <p>●2022年：成立永豐餘區塊鏈供應鏈金融平臺聯盟計畫，建置完成SCM供應鏈管理平臺、成立集團(投控與中華紙漿)資安委員會、E-Box營業下單系統臺灣區上線</p> <p>●2023年：集團碳平臺上線</p> <p>●2024年：永豐餘區塊鏈供應鏈金融平臺跨入醫療器材產業鏈</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1180-cio-yong_feng_yu_ji_tuan_960_she_ying_hong_zheng_wei_.jpg" width="960" height="420" alt="" title="元信達資訊總經理郭興恩（攝影／洪政偉）" /></div></div></div>
2024/5/3 06:00作者余至浩https://www.ithome.com.tw/people/162608
【資安日報】5月2日，Docker Hub遭濫用，被用來散播惡意程式與架設釣魚網站的映像儲存庫比例高達2成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在針對Kubernetes環境的攻擊行動當中，駭客最常用來傳送惡意程式的方式，就是藉由映像檔儲存庫Docker Hub，透過拉取惡意Docker映像檔來進行，但如今有另一批人馬透過完全不同的角度來濫用此映像檔儲存庫。</p> <p>資安業者JFrog揭露最新一波攻擊行動，並指出其共通點，就是駭客建立的儲存庫都沒有Docker映像檔。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162636"><strong style="font-size: 22px;">攻擊者濫用Docker Hub映像檔儲存庫出現新的手法！近3百萬儲存庫被用於推送惡意程式、架設釣魚網站</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Docker-Img5-1-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Docker-Img5-1-1.jpg" style="width: 300px; float: right;" /></a></p> <p>攻擊者濫用Docker Hub映像檔儲存庫的情況，最常見的手法是上傳帶有惡意元件的映像檔，再從目標Kubernetes環境拉取，而能於受害系統植入惡意程式，從事相關攻擊。但也有其他駭客以不同方式濫用這種儲存庫，其手法的共通點，就是沒有上傳Docker映像檔。</p> <p>資安業者JFrog揭露濫用映像檔儲存庫Docker Hub的攻擊行動，就屬於這種例子。研究人員發現這波攻擊行動的原因，在於他們找到近460萬個並未包含Docker映像檔的儲存庫，研究人員進一步清查，結果發約有281萬個被用於攻擊行動，占全部的18.7%，換言之，平均每6個Docker Hub儲存庫就有1個被用於惡意行為。</p> <p>這些遭到濫用的Docker Hub儲存庫，大致上攻擊者將其用於3種類型的攻擊，其中大部分是被用於聲稱提供盜版軟體、遊戲作弊程式下載器（Downloader）的惡意軟體攻擊，有1,453,228個，占整體儲存庫的9.7%；其次是佯稱提供電子書的網路釣魚攻擊（eBook Phishing），有1,069,160個儲存庫被用來從事這類攻擊，占整體的7.1%。</p> <p><a href="https://www.ithome.com.tw/news/162640"><strong style="font-size: 22px;">從雲端服務下載檔案要小心！惡意軟體Latrodectus透過多次回覆釣魚信夾雜此類誘餌，並搭配冒牌Cloudflare圖靈驗證降低心防</strong></a></p> <p>研究人員ProxyLife與Cryptolaemus指出，攻擊者藉由回信互動型的網釣郵件（reply-chain phishing emails）來散布惡意程式Latrodectus，當中通常會含有PDF附件或是URL，一旦收信人依照指示開啟附件，或是點選URL，就有可能看到檔案存放於微軟Azure雲端空間的訊息。</p> <p>若是點選下載文件檔案的按鈕，收信人就會被導向偽造的Cloudflare圖靈驗證流程，要求解開簡單的數學問題。研究人員指出，駭客這麼做的目的，就是為了迴避資安系統的偵測。</p> <p>值得留意的是，一旦收信人輸入正確答案，電腦就會自動下載經重度混淆處理的JavaScript指令碼，執行後將從特定URL下載MSI安裝檔，於受害電腦植入DLL程式庫Latrodectus，並透過rundll32.exe載入，在後臺運作，等待接收惡意酬載或是攻擊者的命令。</p> <p><a href="https://www.ithome.com.tw/news/162633"><strong style="font-size: 22px;">惡意程式Cuttlefish鎖定小型路由器而來，企圖透過監控流量盜取帳密資料</strong></a></p> <p>資安業者Lumen揭露專門針對家用及小型辦公室路由器而來的惡意程式Cuttlefish，主要用途是從區域網路（LAN）流量發出的請求當中，挖掘帳密及各式身分驗證資料，但也能用於DNS及HTTP挾持，讓攻擊者存取受害組織的內部網路環境。</p> <p>研究人員指出，此惡意軟體還能透過零點擊攻擊的能力，藉由網路邊際設備擷取使用者及裝置的資料，並會透過被動的狀態嗅探封包，而且只有在符合駭客事先定義的環境條件下，才會啟動進行相關工作。Cuttlefish採用的封包探測器主要功能，就是在挖掘身分驗證資料，特別針對公有雲服務而來。</p> <p><a href="https://www.ithome.com.tw/news/162642"><strong style="font-size: 22px;">安卓惡意程式Wpeeper利用已遭入侵的WordPress網站接收攻擊命令</strong></a></p> <p>中國資安業者奇安信揭露惡意軟體Wpeeper的攻擊行動，此為鎖定安卓作業系統的後門程式，攻擊者可藉此收集受害裝置的系統資訊，並且進行檔案管理、上傳、下載，甚至可執行特定命令。</p> <p>但這款惡意軟體引起研究人員關注的地方在於，攻擊者在網路基礎設施上的規畫相當特別。首先，對方透過遭到入侵的WordPress網站，建立透過多個層次進行通訊的C2架構，企圖遮掩真正的C2伺服器位置。</p> <p>再者，他們利用連線階段（Session）的欄位來區分請求，並透過HTTPS加密通訊協定來保護攻擊流量。而對於C2發出的命令，攻擊者也透過AES演算法處理。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://media.defense.gov/2024/May/01/2003454817/-1/-1/0/DEFENDING-OT-OPERATIONS-AGAINST-ONGOING-PRO-RUSSIA-HACKTIVIST-ACTIVITY.PDF"><strong style="font-size: 20px;">針對俄羅斯駭客接連攻擊水力設施工控系統的現象，美國政府提出警告</strong></a></p> <p></p> <p>◆<a href="http://www.cisa.gov/news-events/alerts/2024/01/10/cisa-adds-one-known-exploited-vulnerability-catalog"><strong style="font-size: 20px;">美國證實去年底修補的GitLab危急漏洞CVE-2023-7028已出現攻擊行動</strong></a></p> <p></p> <p>◆<a href="https://www.prnewswire.com/news-releases/infoblox-threat-intel-discovers-muddling-meerkat-a-dns-operation-controlling-chinas-great-firewall-302129471.html"><strong style="font-size: 20px;">駭客組織Muddling Meerkat利用中國長城防火牆操縱DNS</strong></a></p> <p></p> <p>◆<a href="https://www.ithome.com.tw/news/162639"><strong style="font-size: 20px;">美國健康保險巨擘UnitedHealth坦承選擇低頭，向駭客支付贖金</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162626"><strong style="font-size: 22px;">程式語言R編譯過程存在高風險漏洞，恐導致供應鏈攻擊</strong></a></p> <p></p> <p>專精AI應用程式安全的資安業者HiddenLayer指出，程式語言R存在高風險漏洞CVE-2024-27322，此為反序列化（deserialization）瑕疵，可透過載入R資料序列（R Data Serialization，RDS）檔案、R套件來觸發，一旦攻擊者利用上述漏洞，就有機會執行任意程式碼，甚至有機會造成供應鏈攻擊，CVSS風險評分為8.8。對此，開發團隊推出4.4.0版予以修補。</p> <p>研究人員表示，這項漏洞牽涉R程式序列化及反序列化的過程。該程式語言在反序列化狀態下，載入RDS檔案或是套件時，因R語言支援惰性求值（Lazy Evaluation）的特性，未能及時檢查Promise物件相關參數造成。一旦攻擊者能覆寫RDX或RDB檔案，就機有會發動供應鏈攻擊。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://fedscoop.com/irs-information-systems-security-problems-financial-statements-gao/"><strong style="font-size: 20px;">美國國稅局傳出系統漏洞，恐導致財務報表不準確</strong></a></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162591"><strong style="font-size: 22px;">英國擬禁止特定物聯網裝置採用預設密碼</strong></a></p> <p>4月29日英國的《產品安全暨電信基礎設施法案（Product Security and Telecommunications Infrastructure Act，PSTI Act）》正式生效，當中規定物聯網裝置（IoT）最低安全標準，其中一項就是不得使用容易猜測或是在網路上可找到的預設密碼，而這是全球首度針對這類密碼進行規範的法令。</p> <p>這項法案要求物聯網裝置製造商必須遵守最低要求，除不得採用容易猜到的密碼，也明定要提供客戶窗口來受理及處理資安問題，再者，該法案也要求製造商及零售業者，必須公布產品能夠收到重要安全更新的最短時間。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162601"><strong>【4月30日】安卓金融木馬Brokewell透過冒牌Chrome更新網頁散布</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162579"><strong>【4月29日】互動式BI系統Qlik Sense危急漏洞遭到鎖定，對方利用勒索軟體Cactus發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162563"><strong>【4月26日】駭客鎖定網管人員散布後門程式MadMxShell，意圖取得入侵企業組織的管道</strong></a></p> </div></div></div>
2024/5/2 18:38作者周峻佑https://www.ithome.com.tw/news/162649
安卓惡意程式Wpeeper利用已遭入侵的WordPress網站接收攻擊命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國資安業者奇安信揭露<a href="https://blog.xlab.qianxin.com/playing-possum-whats-the-wpeeper-backdoor-up-to/">惡意軟體Wpeeper的攻擊行動</a>，此為鎖定安卓作業系統的後門程式，攻擊者可藉此收集受害裝置的系統資訊，並且進行檔案管理、上傳、下載，甚至可執行特定命令。</p> <p>但這款惡意軟體引起研究人員關注的地方在於，攻擊者在網路基礎設施上的規畫相當特別。首先，對方透過遭到入侵的WordPress網站，建立透過多個層次進行通訊的C2架構，企圖遮掩真正的C2伺服器位置。</p> <p>再者，他們利用連線階段（Session）的欄位來區分請求，並透過HTTPS加密通訊協定來保護攻擊流量。而對於C2發出的命令，攻擊者也透過AES演算法處理。</p> <p>研究人員起初是發現1個Linux執行檔（ELF），攻擊者透過2個網域散布，但僅有其中1個有資安業者標為惡意網域，另一個則為近期註冊而被視為無害；再者，惡意程式分析平臺VirusTotal上所有的防毒引擎，皆將此ELF檔案視為無害。雖然從副檔名的部分，看起來是針對Linux電腦而來，但研究人員進一步分析，確認這是安卓惡意程式。</p> <p>此惡意程式的來源，攻擊者疑似透過Uptodown App Store第三方市集下載應用程式的APK檔案，然後進行變造並嵌入一小段程式碼，一旦使用者執行安裝，就會下載惡意的ELF檔案並執行。</p> <p>值得留意的是，雖然這起攻擊行動維持不到一週，但當中使用的惡意程式都並未被資安公司判定為有害，照理來說，攻擊者沒有必要突然停止行動，因此研究人員推測，對方很可能在策畫更大規模的攻擊行動，目的是用於欺騙防毒軟體所使用的AI機器學習模型，讓他們的惡意程式更難被發現。</p> </div></div></div>
2024/5/2 17:44作者周峻佑https://www.ithome.com.tw/news/162642
GovTech月報第29期：數位部公共程式平臺上線，與六都聯手共推公共程式政策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0402~0430)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">公共程式</span></font></strong></p> <p><span style="font-size: 22px;"><strong>數位部公共程式平臺上線，未來將與六都聯手共推公共程式政策</strong></span></p> <p>數位部推動公共數位基礎建設政策，其中之一是推動公共程式平臺，近期在六都、國內外自由軟體社群見證下，宣布公共程式平臺（<a href="https://code.gov.tw/">https://code.gov.tw/</a>）上線，將政府機關開發的系統或服務平臺，透過Public code的方式開放，供外界或其他政府機關檢視及運用。</p> <p>數位部期望帶頭推動公共程式政策，讓外界共同檢視及運用公開的程式碼，除了讓其他有類似需求的公務機關得以運用，節省重新開發系統或服務平臺的成本，也透過公開程式碼，讓外部的民間企業、開發社群使用，透過改進功能或問題，讓公共程式也能借重外部資源精進優化。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/publicode-600.jpg" style="width: 600px; height: 326px;" /></p> <p>首波上架該平臺的共有15類22個公共程式，包含數位部的全球資訊網官網、政府資料開放平臺前端、ODF文件應用工具、公托報名管理系統，以及臺北市的城市儀表板、臺南市的登革熱防疫現場前端及後端工具，還有英國GDS政府數位服務團隊提供的GOV.UK Forms線上表單平臺及公部門業務訊息傳遞平臺GOV.UK Notify，還有Foundation for Public code提供的Publiccode.yml編輯器等工具。數位部也與臺北市、新北市等六都達成合作共識，未來將共同推廣公共程式政策，數位部也計畫在今年底前，提出訓練課堂、規範指引，希望促成更多公務機關加入推廣公共程式政策。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">人事</span></font></strong></p> <p><span style="font-size: 22px;"><strong>黃彥男將接任數位部長，劉鏡清將任國發會主委</strong></span></p> <p>隨著新任總統即將上任，行政院新的內閣名單也逐漸明朗化，現任數位發展部長唐鳳確定不會留任，未來部長將由中研院資訊科技創新研究中心特聘研究員黃彥男接任，國發會則由曾任IBM全球企業諮詢服務事業群總經理的劉鏡清出任。至於國科會主委則由南臺科技大學校長吳誠文擔任，政大商學院副院長彭金隆接掌金管會主委。</p> <p>準數位部長黃彥男，過去曾擔任中研院資訊科技創新研究中心主任，行政院科技會報副執行祕書，也曾擔任資策會副執行長、威達雲端總經理，具有豐富的政務協調、資通訊產業經驗。至於準國發會主委劉鏡清，過去曾是IBM工商事業群總經理，後來進入資誠企管顧問公司擔任副董事長暨總經理，並創立資誠創新諮詢公司擔任董事長，具有豐富的企業經營管理、資訊管理顧問經驗。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">電子簽章</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">打詐</span></font></strong></p> <p><span style="font-size: 22px;"><strong>立院三讀通過電子簽章法修正法案，數位部：擴大電子簽章應用</strong></span></p> <p>行政院於2月底通過電子簽章法修正法案，送交立法院審議，近期立法院三讀通過修正法案，為我國電子簽章法實施20多年來重大修法，主管機關數位部接下來將在半年內制定相關子法及配套辦法，並擴大推動電子簽法的應用。其中之一是，配合打詐專法，未來可能要求電商平臺，針對廣告或交易的賣家採用數位簽章，以類似實名制仰制詐騙歪風。</p> <p>此次修法幾項重點，包括確立電子文件及電子簽章，視同實體文件及簽章，不因電子形式而否認其效力；其次是數位簽章為電子簽章一部分，但數位簽章因具有政府許可憑證機構簽發的憑證，可推定為本人親簽。另外，目前公務機務公告特定業務排除適用電子簽法，將在新的電子簽章法開始實施後一年自動廢止，未來公告排除適用的機關將需接受電子簽章，但如果仍需要排除適用電子簽章，必需以立法修法的方式排除，考量到修法需要較長的時間，可向電子簽章法主管機關數位部申請展延1次，展延以2年為限。</p> <p>此外，修法也增加電子簽章與國外對接的規定，當安全條件相當的前提下，如憑證機構間有技術對接合作，雙方憑證機構符合歐盟或ISO國際標準，就能互相承認數位簽章。</p> <p>數位部預期電子簽章法修法後，確立電子簽章的法律效力，以及安全性更高的數位簽章，促使電子簽章的應用普及。其中在政府積極的打詐方面，未來電商等數位服務平臺，可要求賣家或廣告刊登者使用數位簽章，通過類實名制，來抑制交易詐騙及投資詐騙廣告盛行。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">衛星</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">太平島</span></font></strong></p> <p><span style="font-size:22px;"><strong>中軌衛星強化外島通訊韌性，太平島網路頻寬提升至25Mbps</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(10).jpg" style="width: 600px; height: 338px;" /></p> <p>距離台灣1,600多公里遠的太平島，為強化島上通訊網路韌性，近期政府在島上建立中軌衛星通訊系統，將太平島網路頻寬提高至25Mbps，增加約3.9倍。</p> <p>原先太平島的通訊仰賴同步軌道衛星ST2中新二號，扣除公務使用，剩餘可供駐守人員使用的網路頻寬相當有限，在電信技術中心、電信業者協助之下，太平島建置中軌衛星通訊系統後，支援SES mPower中軌衛星設備，供太平島上Wi-Fi及行動基地臺衛星網路傳輸規畫及建置。</p> <p>數位發展部推動以非同步軌道衛星提升國內網路通訊韌性計畫，計畫在今年底完成國內約700處設置非同步軌道衛星終端設備站點，太平島即為該計畫建置的站點之一，通過中軌衛星加強島上通訊網路韌性。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">英國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">行動應用</span></font></strong></p> <p><span style="font-size:22px;"><strong>政府服務擁抱行動應用，英國政府明年擬提出行動應用App戰略</strong></span></p> <p>隨著行動裝置及App使用普及，英國政府準備在明年提出行動應用App戰略，以統整政府各部門提供的政府服務聯合行動體驗，目前該戰略正由中央數位及數據辦公室（Central Digital and Data Office, CDDO）規畫中。</p> <p>這項戰略是英國政府於2022年提出的中型轉型計畫，該計畫為英國政府數位轉型2022年至2025年數位及資料路徑圖，目標是通過制定共同的行動App戰略、框架及技術標準，建立政府服務聯合行動體驗，CDDO正與各部門機關的資訊、技術主管討論，規畫原則及行動策略。</p> <p>10年前，在成本考量之下，英國政府並不鼓勵政府部門開發行動應用App，鼓勵優先開發網路服務，但是隨著行動裝置及App使用普及、社交媒體影響力大增，使得英國政府轉而擁抱App，例如政府數位服務（Government Digital Service, GDS）正在打造GOV.UK App，該App將奠基於現有已有570萬次下載的GOV.UK One Login身分驗證App的基礎之上，迎合現今民眾使用習慣，以擴大GDS社交媒體影響力，開發App建立GOV.UK品牌。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">英國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>英國內閣正測試AI Chatbot加快公文處理效率</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/redbox3-600.jpg" style="width: 600px; height: 403px;" /></p> <p>英國內閣正計畫擴大測試一項AI Chatbot，稱為Redbox Copilot，希望透過人工智慧聊天機器人技術，來協助英國政府公務人員提高公文處理效率。</p> <p>這項AI技術以英國政府傳統的紅色公文盒來命名，Redbox Copilot運用檢索增強生成（Retrieval-Augmented Generation, RAG）技術處理大量公文，掃描數千份公文，從中搜尋符合條件的公文，或是建立公文內容的摘要等等。目前Redbox Copilot由英國內閣辦公室部長Alex Burghart試用，準備擴大更多內閣首次試用。</p> <p>英國政府的AI開發團隊也公開程式的原始碼，希望促成外部開發人員參與協助改善其功能。未來全面上路後，英國政府公務人員可和聊天機器人對話，詢問公務信件及公務文件內容。該技術採用資料隱私及保留設計，以符合資料隱私的合規要求，另外，也針對本地部署及跨雲進行安全設計。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺中市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>臺中市運用AIoT技術加強監控營建工地揚塵污染</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ai%E6%8F%9A%E5%A1%B5%E8%BE%A8%E8%AD%98%E7%B3%BB%E7%B5%B1-1-600.jpg" style="width: 600px; height: 326px;" /></p> <p>大型營建工地常因為開挖、整地及工程車輛出入，造成工地揚塵污染空氣，臺中市政府環保局啟動科技防制措施，透過感測器、CCTV監控攝影、AI揚塵辨識、智慧灑水系統，當偵測揚塵污染達到預警值時，透過App推播示警之外，啟動灑水系統，降低工地揚塵污染情形。</p> <p>臺中市環保局表示，目前已在多處營建工地建置這套科技防制措施，結合CCTV監控系統、感測器，利用AI辨識系統，隨時監控工地是否發生揚塵污染，當偵測到揚塵污染達到警戒值時，自動啟動灑水系統，降低揚塵情形。相較於傳統上使用防塵網，這項科技防制措施可縮短污染發生的時間及人力，環保局估計防制效益至少提升20%。</p> <p>環保局指出，因應科技防制污染等相關技術成熟，未來營建工地應朝向智慧工地發展，工地在營建期間必然產生污染，透過科技防制抑制污染情形，呼籲營建業者編列經費，在工地建置科技防制措施，降低對周遭環境的污染。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">加拿大</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">生物辨識</span></font></strong></p> <p><span style="font-size:22px;"><strong>加拿大政府擬</strong></span><strong style="font-size: 22px;">結合臉部辨識技術，讓</strong><strong style="font-size: 22px;">旅客用手機自拍快速審核通關</strong></p> <p>加拿大政府擬改善邊境管理，讓旅客可通過其手機上的臉部辨識技術，來識別旅客的身分，以加快通關所需的程序及時間。</p> <p>目前加拿大邊境管制單位正對外招募合適的供應商，以開發配合新措拖的管理系統，招標金額約2,500萬美元。加拿大邊境服務局表示，計畫中的新措施將可讓旅客享有快速、無縫的旅行體驗，未來旅客可自行選擇是否使用這項系統，並且旅客的隱私資訊也會受到充分的保護。</p> <p>按照加拿大政府的規畫，新的邊境管理系統可將旅客護照的照片，和旅客使用其手機的自拍照進行配對。目前抵達加拿大的旅客，已可透過Digital Kiosk數位多媒體機或eGate閘道，通過臉部辨識驗證。</p> <p>邊境管理採用臉部辨識引發隱私侵犯的疑慮，加拿大議會目前也正蒐集相關的資訊，例如對黑人與亞洲人的錯誤辨識，或是不合法的大規模監控，以及對警察、情報單位的問責規範。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺南市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">智慧停車</span></font></strong></p> <p><span style="font-size: 22px;"><strong>臺南市逾8成路邊停車格智慧化，每年估節省381萬紙本單據</strong></span></p> <p>臺南市近期分享推動路邊停車格智慧化政策成果，該市自從2018年路邊收費停車格智慧化，現已有87%的路邊停車格完成智慧化，以自動化開單取代人工開單，每年估節省約381萬張的停車紙本單據，估減少4.5噸二氧化碳排放。</p> <p>臺南市政府交通局指出，該市1.5萬路邊收費停車格，目前已有4,000格採用智慧停車柱，9,000格採用地磁感應器，停車格智慧化比例達到87%，搭配智慧路邊停車計費系統，提升停車格周轉率69%，使用率達到59%，減少空置車位浪費。這套智慧路邊停車計費系統，提供民眾現場支付停車費，並提供無紙化開單，市府估計，多元化繳費管道取代過往超商代收、臨櫃現金收費，進一步節省1,748萬張繳費單據。</p> <p>市府也建置智慧停車雲端數據平臺，以蒐集路邊停車位的即時數據，讓用戶透過App查詢停車空位情形，估計平均節省民眾5至6分鐘的停車空位尋找時間，降低駕車繞行的碳排放。臺南市長黃偉哲指出，在長期的淨零碳排目標之下，未來臺南市路邊停車格的智慧化比例將以100%為目標。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">雲端</span></font></strong></p> <p><span style="font-size:22px;"><strong>數位部輔導農業部系統上雲，結合AI、無人機加速農業數位轉型</strong></span></p> <p>農業部與數位部聯手加速我國農業的數位轉型，近期展示透過雲端服務、無人載具、AI影像辨識等科技，協助農地的資源判影像判釋、判斷土壤資源肥力等等。</p> <p>這項合作是在雲世代雲端基礎建設計畫之下，運用數位科技促成新型態數位政府服務的成果，在數位部協助下，將農業部的「農地資源影像判釋服務」、「土壤資源及肥力診斷服務」、「航空衛星影像雲端服務」、「農業UAV影像二維三維應用服務」等系統移至商業公有雲。數位部表示，推動雲世代雲端基礎建設計畫，協助政府機關因應大量流量，提升作業效率、改善使用者體驗，兼降低基礎維運及開發所需的成本。</p> <p>傳統農業需要大量勞力，因應少子化人力短缺的問題，兩個部會也展示自動化農機、無人機噴藥，協助農作施藥，還有協助農民在災害發生時，申請農損補助的作業效率。透過跨部會合作，將AI、5G、衛星、無人機、物聯網等數位科技導入農業，加速農業的自動化、智慧化發展。</p> <p> </p> <p>圖片來源／臺南市政府、英國政府、數位部、臺中市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.南投拼智慧觀光，爭取溫泉區作為自駕車及車聯網實驗場域</strong></p> <p><strong>2.政府擴大5G普及外島，提升澎湖輪、澎湖5G網路涵蓋</strong></p> <p>資料來源：iThome整理，2024年4月</p> </div></div></div>
2024/5/2 18:09作者蘇文彬https://www.ithome.com.tw/news/162580
美國健康保險巨擘UnitedHealth坦承向駭客支付贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>UnitedHealth Group執行長Andrew Witty在本周三（5/1）舉行的參議院聽證會中，首度對外證實旗下服務Change Healthcare在今年2月遭到勒索軟體攻擊之後，由他決定向駭客支付了贖金。</p> <p>UnitedHealth Group為一健康保險集團，去年創造3,240億美元的營收，是美國的第五大企業。被駭的Change Healthcare為子公司Optum在2021年買下的，主要提供醫療業者的收入周期管理、支付管理，以及健康資訊交換解決方案，每年處理150億筆的醫療照護交易，涉及1/3的美國病患紀錄，此外，根據調查，此一攻擊行動影響了美國9成醫院的財務，還有7成醫院宣稱該事故影響它們照顧病人的能力，也讓美國參議院財政委員會對此一事件展開調查。</p> <p>在攻擊行動發生後，安全研究人員即發現勒索軟體組織BlackCat的錢包中收到了價值2,200萬美元的比特幣，並懷疑是由UnitedHealth所支付的贖金，卻一直未得到UnitedHealth的證實，然而，<a href="https://www.finance.senate.gov/imo/media/doc/0501_witty_testimony.pdf" target="_blank">Witty在本周的聽證會上坦承</a>，在面對此次攻擊時遇到許多挑戰，包括處理贖金要求，他以盡一切努力來保護人們的健康資訊為首要之務，因此決定支付贖金，而這也是他做過最艱難的決定之一。</p> <p>Witty也揭露了該公司對整起攻擊事件的處理程序，指出駭客是在2月12日藉由外洩的憑證自遠端存取Change Healthcare Citrix入口網站，該站並未支援雙因素身分驗證，成功滲透的駭客便在系統內汲取資訊，一直到9天後才部署了勒索軟體。</p> <p>在察覺Change Healthcare的系統被加密之後，該公司迅速切斷Change Healthcare的連結環境，並在21日迎來了來自Google、微軟、思科及Amazon的專家，再加上Mandiant和Palo Alto Networks的安全團隊，開始重新打造Change Healthcare的技術基礎設施，包括更換了數千臺筆記型電腦，輪替憑證，重建Change Healthcare的資料中心網路與核心服務，提高新的伺服器容量，在短短的幾周內便交付了一個在正常情況下、需要幾個月才能完成的全新技術環境。</p> <p>Witty表示，此一攻擊事件表明，加強醫療照護網路安全的需求日益增加，期待政策制定者與其它利益方合作，以制定強大與實用的解決方案。</p> </div></div></div>
2024/5/2 16:31作者陳曉莉https://www.ithome.com.tw/news/162639
通過圖靈驗證從雲端檔案共享空間下載檔案要小心！有人透過冒牌Cloudflare圖靈驗證散布惡意軟體Latrodectus
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疑似由惡意程式IcedID開發的另一款惡意軟體Latrodectus，日前有多組研究人員發現相關攻擊行動，對方將其當作後門運用，並於受害電腦側載EXE或DLL有效酬載，或是下達命令，最近又有新一波攻擊出現。</p> <p>研究人員ProxyLife與Cryptolaemus指出，<a href="https://www.bleepingcomputer.com/news/security/new-latrodectus-malware-attacks-use-microsoft-cloudflare-themes/">攻擊者藉由回信互動型的網釣郵件（reply-chain phishing emails）來發動攻擊</a>，當中通常會含有PDF附件或是URL，一旦收信人依照指示開啟附件，或是點選URL，就有可能看到檔案存放於微軟Azure雲端空間的訊息。</p> <p>若是點選下載文件檔案的按鈕，收信人就會被導向偽造的Cloudflare圖靈驗證流程，要求解開簡單的數學問題。研究人員指出，駭客這麼做的目的，就是為了迴避資安系統的偵測。</p> <p><a href="https://s4.itho.me/sites/default/files/images/solved-cloudflare-captcha-download-file.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/solved-cloudflare-captcha-download-file.jpg" style="width: 580px;" /></a></p> <p>值得留意的是，一旦收信人輸入正確答案，電腦就會自動下載經重度混淆處理的JavaScript指令碼，執行後將從特定URL下載MSI安裝檔，於受害電腦植入DLL程式庫Latrodectus，並透過rundll32.exe載入，在後臺運作，等待接收惡意酬載或是攻擊者的命令。</p> </div></div></div>
2024/5/2 16:38作者周峻佑https://www.ithome.com.tw/news/162640
Nvidia更新ChatRTX聊天機器人以支援語音提示及更多模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/ai-decoded-chatrtx-update/" target="_blank">Nvidia本周更新</a>其基於生成式預訓練模型（Generative Pre-trained Transformer，GPT）與Nvidia RTX系列GPU的ChatRTX聊天機器人，它可支援更多的開源模型，具備語音查詢能力，並可辨識圖片。</p> <p>ChatRTX為一由Nvidia所開發的GPT聊天機器人示範程式，在選擇了大型語言模型之後（LLM），使用者即可將它連至自己的文件、筆記、圖片或其它資料，藉由檢索增強生成（Retrieval-Augmented Generation，RAG）技術、TensorRT-LLM軟體與RTX加速，即可向此一客製化的聊天機器人提出問題，並得到相關的解答。由於它是直接在Windows PC或工作站上執行，可確保隱私及安全。</p> <p>Nvidia是<a href="https://blogs.nvidia.com/blog/chat-with-rtx-available-now/" target="_blank">在今年2月發表</a>ChatRTX，其系統需求包括Nvidia GeForce RTX 30/40系列GPU、Nvidia RTX Ampere或Ada Generation GPU，執行Windows 11作業系統，以及必須具備16GB或更多記憶體。</p> <p>使用者可透過ChatRTX將本地端的檔案當作資料集，首個版本支援.txt、.pdf、.doc/.docx和.xml等檔案格式，連至諸如Mistral或Llama 2的開源大型語言模型，以利用ChatRTX來查詢筆記及檔案，而且是在使用者的裝置上執行。</p> <p>新版增加了對Gemma與ChatGLM3模型的支援，也支援語言及圖像對比預訓練（CLIP）神經網路，並透過對Whisper的支援提供了語音查詢能力，額外支援jpeg、gif及png檔案格式。因此，現在使用者除了可以文字及語音與ChatRTX對話之外，還能搜尋照片與圖片。</p> <p><a href="https://www.nvidia.com/en-us/ai-on-rtx/chatrtx/" target="_blank">ChatRTX開放所有使用者免費下載</a>。</p> <p class="rtecenter"><a href="https://www.youtube.com/watch?v=zMROAxJQ7rk&embeds_referring_euri=https%3A%2F%2Fblogs.nvidia.com%2F" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0502-ChatRTX%20Update%20vedio.png" style="width: 500px;" /></a></p> </div></div></div>
2024/5/2 16:56作者陳曉莉https://www.ithome.com.tw/news/162641
攻擊者濫用Docker Hub映像檔儲存庫出現新的手法！近3百萬儲存庫被用於推送惡意程式、架設釣魚網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者濫用Docker Hub映像檔儲存庫的情況，最常見的手法是上傳帶有惡意元件的映像檔，再從目標Kubernetes環境拉取，而能於受害系統植入惡意程式，從事相關攻擊。但也有其他駭客以不同方式濫用這種儲存庫，其手法的共通點，就是沒有上傳Docker映像檔。</p> <p>資安業者JFrog揭露<a href="https://jfrog.com/blog/attacks-on-docker-with-millions-of-malicious-repositories-spread-malware-and-phishing-scams/">濫用映像檔儲存庫Docker Hub的攻擊行動</a>，就屬於這種例子。研究人員發現這波攻擊行動的原因，在於他們找到近460萬個並未包含Docker映像檔的儲存庫，研究人員進一步清查，結果發約有281萬個被用於攻擊行動，占全部的18.7%，換言之，平均每6個Docker Hub儲存庫就有1個被用於惡意行為。</p> <p>這些遭到濫用的Docker Hub儲存庫，大致上攻擊者將其用於3種類型的攻擊，其中大部分是被用於聲稱提供盜版軟體、遊戲作弊程式下載器（Downloader）的惡意軟體攻擊，有1,453,228個，占整體儲存庫的9.7%；其次是佯稱提供電子書的網路釣魚攻擊（eBook Phishing），有1,069,160個儲存庫被用來從事這類攻擊，占整體的7.1%。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Docker-Img5-1-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Docker-Img5-1-1.jpg" style="width: 580px;" /></a></p> <p>其中，針對前述的「下載器」攻擊，對方分別在2021年及去年發動兩波行動，而且，前後都使用完全相同的惡意酬載進行。一旦使用者依照指示操作對方提供的下載程式，電腦就會被部署惡意軟體。研究人員推測，這很有可能是大規模惡意軟體攻擊行動的一部分。</p> <p>而對於電子書網釣的部分，攻擊者聲稱提供完整版的電子書免費下載，若是使用者依照指示點選URL，就會被重新導向至另一個釣魚網頁，要求輸入信用卡資料。</p> <p>比較特別的是被研究人員歸類為「網站搜尋引擎最佳化（Website SEO）」的儲存庫濫用行為，這些儲存庫的內容多半無害，但對於攻擊目的的部分，研究人員表示並不清楚，推測對方很有可能是在從事真正的攻擊行動之前，將這些儲存庫拿來進行壓力測試。</p> </div></div></div>
2024/5/2 15:39作者周峻佑https://www.ithome.com.tw/news/162636
Google在2022年支付200億美元，以成為蘋果Safari預設搜尋引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部在2020年10月<a href="https://www.ithome.com.tw/news/140636" target="_blank">控告Google以不當手段</a>，維持其在搜尋與搜尋廣告業務上的壟斷地位，雙方的攻防揭露了Google許多不為人知的商業策略，包括支付大筆金額以讓Google搜尋成為其它瀏覽器的預設搜尋引擎，本周<a href="https://www.bloomberg.com/news/articles/2024-05-01/google-s-payments-to-apple-reached-20-billion-in-2022-cue-says" target="_blank">《彭博社》</a>（Bloomberg）引用最新公開的法院文件報導，光是在2022年，Google就付給蘋果200億美元，以讓Google成為Safari的預設搜尋引擎。</p> <p>報導指出，蘋果與Google早在2002年便展開合作，初期雙方屬於策略聯盟，並未涉及金錢交易，之後才協議讓蘋果可分享Google搜尋的廣告營收，且從2021年的5月起，Google每月支付給蘋果的搜尋廣告分潤就超過10億美元。</p> <p>先前便有<a href="https://www.ithome.com.tw/news/146417" target="_blank">分析師估計</a>，Google在2020年付給蘋果100億美元，2021年是150億美元。而根據《彭博社》的報導，Google付給蘋果的搜尋廣告營收比重為36%，在2022年達到200億美元。</p> <p>不過，在2022年的<a href="https://abc.xyz/assets/c4/d3/fb142c0f4a78a278d96ad5597ad9/2022q4-alphabet-earnings-release.pdf" target="_blank">Google財報</a>中，當年的Google搜尋廣告營收為426億美元，以36%的比重來看只有153億美元，分潤要接近一半才能達到200億美元。</p> <p>只是不論是哪個數字，都顯現了Google為了成為Safari預設搜尋引擎所願意負擔的成本，不只是蘋果，Google也與Mozilla簽署了類似的協議，<a href="https://www.theregister.com/2020/08/14/mozilla_google_search/" target="_blank">《The Register》</a>報導，自2021年至2023年間，Google每年大約支付4億至4.5億美元予Mozilla，以成為Firefox的預設搜尋引擎。</p> <p>最新的法院文件也透露，其實微軟也曾想要取代Google，成為Safari的預設搜尋引擎，並提出高達9成的廣告分潤，結果遭到蘋果拒絕。</p> <p><a href="https://www.courthousenews.com/landmark-google-antitrust-case-set-to-wrap-after-long-break/" target="_blank">《Courthouse News Service》</a>則報導，蘋果資深副總裁Eddy Cue在為此案作證時表示，蘋果之所以與Google達成獨家協議，是因為Google提供了市場上最好的產品，雙方的合作是互惠的。</p> </div></div></div>
2024/5/2 13:17作者陳曉莉https://www.ithome.com.tw/news/162634
惡意程式Cuttlefish鎖定小型路由器而來，企圖透過監控流量盜取帳密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Lumen揭露<a href="https://blog.lumen.com/eight-arms-to-hold-you-the-cuttlefish-malware/">專門針對家用及小型辦公室路由器而來的惡意程式Cuttlefish</a>，主要用途是從LAN流量發出的請求當中挖掘帳密及各式身分驗證資料，但也能用於DNS及HTTP挾持，讓攻擊者存取受害組織的內部網路環境。</p> <p>研究人員指出，此惡意軟體還能透過零點擊攻擊的能力，藉由網路邊際設備擷取使用者及裝置的資料，並會透過被動的狀態嗅探封包，而且只有在符合駭客事先定義的環境條件下，才會啟動進行相關工作。Cuttlefish採用的封包探測器主要功能，就是在挖掘身分驗證資料，特別針對公有雲服務而來。</p> <p>為了隱匿行蹤，攻擊者透過VPN隧道，或是濫用合法裝置而成的代理伺服器（Residential Proxies）來建立連線，並透過外流的帳密資料存取目標裝置，這麼做的目的，很可能就是要迴避異常登入的有關偵測機制。</p> <p>根據研究人員的分析，這波攻擊行動從去年10月發生，到今年4月下旬結束。不過這款惡意程式出現的時間更早，他們去年7月27日就看到該惡意程式的行動。</p> <p>而受害者所在的地理位置，主要是土耳其，根據對於C2伺服器的連線，研究人員看到在去年10月初的大規模攻擊行動裡，有99%來自土耳其的IP位址，其中約93%來自兩家電信網路服務供應商，受害組織包含當地航空業者、衛星服務供應商。但除此之外，他們也看到仰賴該國網路基礎設施的其他組織受害。</p> <p>但究竟對方怎麼入侵這些路由器？研究人員表示並不清楚，然而，一旦得逞，攻擊者就會下載bash指令碼，收集特定主機資料並傳至C2，接著，這個指令碼也會下載Cuttlefish並執行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cuttlefish1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cuttlefish1.png" style="width: 580px;" /></a></p> <p>至於攻擊者的身分，研究人員並未透露具備的駭客組織國藉或是名稱。但他們對於其程式碼進行分析，結果發現Cuttlefish與另一款名為HiatusRAT的惡意程式攻擊行動有關，兩者的目標都與中國利益有關，言下之意很有可能就是該國的駭客所為。</p> </div></div></div>
2024/5/2 12:48作者周峻佑https://www.ithome.com.tw/news/162633
Anthropic發表AI助理Claude免費iOS程式及企業方案Team
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>被外界視為最有潛力挑戰OpenAI的Anthropic，於周三（5/1）發表了<a href="https://www.anthropic.com/news/team-plan-and-ios" target="_blank">免費的iOS程式</a>及首個企業方案Claude Team，目前Claude iOS已開放下載，而Claude Team最少的訂閱數量為5名成員。</p> <p>Anthropic原本提供免費及Pro兩種方案，任何人都可註冊免費版，目前的免費版可存取Claude 3 Sonnet模型，提供網頁版及iOS/iPad程式，每月訂閱費率20美元的Pro版則可存取Claude 3 Opus，可在流量高峰時優先使用，亦能搶先體驗新功能。</p> <p>至於新的Team方案則涵蓋了Pro版的所有功能，但額外提供更多的使用量，可存取Claude 3的所有家族模型，包括Opus、Sonnet 和 Haiku，支援20萬個Token的脈絡，也提供了集中計費及管理工具，並可提前試用各種協作功能，其每人每月訂閱費率為30美元，最少訂閱數量為5名。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0502-Anthropic-Claude%20Team%20plan-create%20project(1).png" style="width: 600px;" /></p> <p>Anthropic計畫於未來幾周推出新的協作功能，包括透過可靠來源來驗證AI所生成的主張，或者是整合程式碼庫或客戶關係管理系統等資料庫，也可與同事共同修改由AI生成的文字或專案。</p> <p>而免費的Claude iOS程式則可接續來自網頁的聊天內容，亦支援視覺功能，可上傳手機上或新拍攝的照片進行分析。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0502-Anthropic-%20Claude%20iOS%20app-600.png" style="width: 454px;" /></p> <p>Anthropic是在今年3月發表<a href="https://www.ithome.com.tw/news/161610" target="_blank">Claude 3模型家族</a>，並被研究人員視為是<a href="https://www.ithome.com.tw/news/161705" target="_blank">最有潛力挑戰OpenAI GPT-4</a>的模型。由出自OpenAI的兄妹Dario Amodei與Daniela Amodei共同創辦的Anthropic，亦是Google及Amazon<a href="https://www.ithome.com.tw/news/159545" target="_blank">爭相投資</a>的AI新秀。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Anthropic</span></span></p> </div></div></div>
2024/5/2 11:45作者陳曉莉https://www.ithome.com.tw/news/162632
MongoDB推出一站式企業GAI應用開發工具方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NoSQL資料庫供應商<a href="https://investors.mongodb.com/news-releases/news-release-details/mongodb-launches-new-program-enterprises-build-modern" target="_blank">MongoDB公布名為MongoDB AI應用方案</a>（MongoDB AI Application Program，MAAP）的一站式開發工具方案，協助企業端到端開發及部署具有生成式AI（GAI）的企業應用。</p> <p>MAAP包含MongoDB及其夥伴提供的軟體工具、基礎架構及服務的一站式企業工具，涵括顧問服務、基礎模型、雲端基礎架構、生成式AI框架與模型代管服務，協助企業從設計、建造、部署及擴增完成生成式AI應用的開發。</p> <p>這項方案以MongoDB的雲端資料庫MongoDB Atlas為基礎，搭配該公司企業服務，以及合作夥伴提供的工具及服務。合作夥伴包括大型雲端平臺如微軟Azure、 Google Cloud、Amazon Web Services（AWS），專業代管平臺Anyscale、 Together AI、服務業者PeerIslands、企業搜尋方案Pureinsights、AI基礎模型業者Anthropic、Cohere、Fireworks.ai，以及開發工具及框架供應商如Credal.ai、gravity9、 LangChain、 LlamaIndex、Nomic等。</p> </div></div></div>
2024/5/2 10:16作者林妍溱https://www.ithome.com.tw/news/162625
程式開發語言R爆有程式碼執行漏洞，可用於供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://hiddenlayer.com/research/r-bitrary-code-execution/" target="_blank">開源碼程式語言R被發現</a>有一個允許攻擊者執行惡意程式碼的重大漏洞，開發機構本周發布新版修補。</p> <p>本漏洞為資安業者HiddenLayer研究人員Kasimir Schulz和Kieran Evans通報，命名為CVE-2024-27322。<a href="https://www.kb.cert.org/vuls/id/238194" target="_blank">CERT公告</a>說明，最新漏洞為一反序列化（deserialization）瑕疵，允許惡意檔案在反序列化時執行任意程式碼。這項攻擊若牽涉套件，則可能引發供應鏈攻擊。本漏洞風險值被列為8.8。</p> <p>R語言支援資料序列化（data serialization）。序列化是指將物件轉換成可儲存格式，反序列化則是將儲存格式轉換成物件。序列化和反序列化發生在資料儲存及網路上傳輸，對開發人員來說，也經常發生在程式開發過程中：從套件庫下載套件即牽涉反序列化。但序列化與反序列化過程很容易遭到惡意人士濫用。</p> <p>R語言開發使用RDS檔案格式進行序列化資料的儲存或傳送。RDS格式包括二種：.rdb檔及.rdx檔。R程式執行過程使用readRDS函式從套件庫讀取這二種檔案，再以eva1函式評估檔案中的表達式（expression）的值，以便將物件由RDS檔解壓縮並反序列化，在目標平臺上執行。</p> <p>研究人員指出，CVE-2024-27322即牽涉R程式序列化／反序列化過程中，利用　promise物件及惰性求值（lazy evaluation）。在反序列化載入RDS檔或套件時，由於R支援惰性求值（lazy evaluation），未能及時檢查Promise物件RDS檔中的指令值。攻擊者可建立包含有特定指令值的RDS檔，再以社交工程誘使使用者下載。因此若是惡意RDS檔，則使用者程式參照RDS檔時就會直接執行指令程式碼。若物件是組譯成R套件，攻擊者可將之加入R儲存庫中，等其他使用者載入該套件時即執行程式碼。研究人員指出，一旦攻擊者只要能覆寫掉原本的.rdx或.rdb檔，就能以R套件發動供應鏈攻擊。</p> <p>不過在獲得通報後，<a href="https://cran.r-project.org/doc/manuals/r-release/NEWS.html" target="_blank">R語言開發單位已發布新版本R Core Version 4.4.0</a>解決這項漏洞。安全廠商呼籲開發人員儘速更新。</p> </div></div></div>
2024/5/2 11:13作者林妍溱https://www.ithome.com.tw/news/162626
Amazon Q正式登場，預覽可自動建置AI程式的Amazon Q Apps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon周二（4/30）<a href="https://press.aboutamazon.com/2024/4/aws-announces-general-availability-of-amazon-q-the-most-capable-generative-ai-powered-assistant-for-accelerating-software-development-and-leveraging-companies-internal-data" target="_blank">宣布全面推出</a>於去年11月<a href="https://www.ithome.com.tw/news/160064" target="_blank">發表</a>的AI聊天機器人Amazon Q，並開始預覽可自動建置基於生成式AI之應用程式的Amazon Q Apps。</p> <p>能以自然語言溝通的Amazon Q現階段僅專注於企業應用，並未支援一般消費者使用，它提供<a href="https://aws.amazon.com/tw/blogs/aws/amazon-q-business-now-generally-available-helps-boost-workforce-productivity-with-generative-ai/" target="_blank">Amazon Q Business</a>及Amazon Q Developer兩種版本，前者每名使用者的每月訂閱費用為20美元，後者則是25美元。</p> <p>Amazon Q Business主要的功用在於組織企業內部的資料庫，可連結逾40種企業系統，涵蓋Amazon S3、Salesforce、Google Drive、Microsoft 365、ServiceNow、Gmail、Slack、Atlassian 及 Zendesk等，亦可連結企業的身分服務供應商，以依據使用者的角色及可存取的資料提供相關且精確的解答。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-amazon%20q-business-1-diagram-1.jpg" style="width: 600px;" /></p> <p>Amazon Q Business也可協助使用者自動產生所需的內容或完成各種任務，不管是會議紀錄的摘要，撰寫電子郵件或部落格，亦可於Amazon的BI服務QuickSight中使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0501-Amazon%20Q%20in%20QuickSight-3.png" style="width: 600px;" /></p> <p>至於Amazon Q Developer除了擁有Amazon Q Business版本的所有功能之外，額外具備了開發者能力。例如它是個AWS專家，可提供各種AWS功能、服務及解決方案的指導，或者是優化所使用的AWS資源，更重要的是它還能協助開發者偵錯、測試及最佳化程式碼；或是最佳化應用程式；還能以自然語言解釋程式碼，協助開發者快速熟悉陌生的專案與程式碼；協助升級程式碼；將自然語言轉換成SQL查詢。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0501-Amazon%20Q%20Developer%20chatting-600.png" style="width: 600px;" /></p> <p>Amazon Q Developer聊天介面可支援AWS控制臺、AWS Console、Slack、Microsoft Teams，以及各種熱門的整合開發環境（IDE）。</p> <p>由於Amazon Q可依據企業內部的程式碼庫自行定義適合的程式碼撰寫規定，先前曾試用Amazon Q Developer的BT Group宣稱該公司接受了Amazon Q所提出的37%的程式碼建議，澳洲國家銀行（National Australia Bank）則說它們接受了50%的程式碼建議。</p> <p>至於自本周開始預覽的Amazon Q Apps則允許使用者以自然語言，描述所需的應用程式，就能自動產生基於生成式AI的應用程式，而無需任何撰寫程式碼的經驗，例如人力資源部門要替新進員工制定入職計畫時，只要說明要依照公司既有的最佳實踐替新進員工建立入職計畫，必須具備員工編號欄位，Amazon Q Apps可在幾秒內生成一個可供不同招聘團隊使用的應用程式，替不同的新員工打造個人化的入職計畫。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0501-Amazon%20Q-app%20creator.png" style="width: 389px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> </div></div></div>
2024/5/1 14:47作者陳曉莉https://www.ithome.com.tw/news/162610
微軟要在印尼投資17億美元以建置雲端及AI基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟執行長Satya Nadella周二（4/30）於印尼舉行的<a href="https://news.microsoft.com/apac/2024/04/30/microsoft-announces-us1-7-billion-investment-to-advance-indonesias-cloud-and-ai-ambitions/" target="_blank">Microsoft Build：AI Day會議上宣布</a>，將投入17億美元以推動印尼的雲端及AI基礎設施，並替當地84萬名人口提供AI技能機會，這也是微軟29年來在印尼最大的一筆投資。</p> <p>此一投資可望替印尼的AI轉型奠定基礎，其中包括建立微軟於印尼的第一個資料中心區域，以滿足當地對雲端運算服務日益增加的需求。此外，根據Kearney的研究，AI將替東南亞的國內生產總值（GDP）帶來1兆美元的貢獻，而印尼便占了3,660億美元。</p> <p>此外，微軟也計畫訓練當地的AI人才，對象包括學生、女性、弱勢及非營利組織的社群，預計讓84萬名人口取得AI技能。</p> <p>儘管印尼被列為開發中國家，但該國為全球第四大人口國，也是亞太地區僅次於中國及印度的第三大人口國，而印尼亦擁有310萬的GitHub開發者，同樣名列亞太地區第三名。</p> <p>根據<a href="https://github.blog/2023-11-08-the-state-of-open-source-and-ai/" target="_blank">GitHub去年底的統計</a>，從全球來看，美國、印度與中國為該平臺前三大開發者社群，印尼則排名第九；該統計也列出了亞太地區成長最快的社群，前五名依序是新加坡（年增39%）、印度（36%）、香港（35%）、越南（34%）與印尼（31%），然而，除了印度與印尼之外，並無其它國家入選全球前十大GitHub社群，微軟則預期印尼將在2026年擠上全球前五名。</p> </div></div></div>
2024/5/1 15:06作者陳曉莉https://www.ithome.com.tw/news/162611
傳蘋果挖角Google人才、成立歐洲AI實驗室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在AI領域急起直追，透過挖角及收購新創公司，強化研發實力，並已在瑞士悄悄成立AI實驗室。</p> <p>《<a href="https://www.ft.com/content/87054a60-dc4d-4238-a4b9-93ab48f22f56" target="_blank">金融時報</a>》分析LinkedIn使用者動態及蘋果公開職缺資訊報導，蘋果近來積極招募人才以擴充AI及機器學習部門，其中似乎特別鎖定Google AI員工。</p> <p>蘋果<a href="https://www.ithome.com.tw/news/127847" target="_blank">2018年找來</a>Google AI及搜尋部門主管John Giannandrea，隨後任命他為機器學習和人工智慧策略部門資深副總裁，主導將AI整合到蘋果所有產品，以及改善Core ML等開發工具，以創造「更個人化、智慧化的自然互動」。《金融時報》報導，蘋果近來又從Google挖來至少36人。</p> <p>報導另外指出，這家iPhone製造商也在瑞士蘇黎世悄悄成立AI實驗室。因為蘇黎世理工學院的關係，Nvidia、蘋果及Meta都在當地設有分公司。但報導引述蘇黎世理工學院（ETH Zurich）教授Luc van Gool指出，蘋果近日又在當地成立一個名為Vision Lab的實驗室，成員來自當地二家AI新創公司。一是發展臉部表情及3D動作捕捉技術供應商Faceshift，二是用於電商平臺圖像辨識業者Fashwell。其實蘋果已分別在2015年及2019年收購這二家公司。</p> <p>報導引述Vision Lab發表的論文，顯示已有生成式AI研發成果。像是用戶可以文字或圖片輸入提示，由代理程式查詢結果。例如用戶將相機對準衣服拍照或查詢「這哪裏有賣？」，代理程式即回傳可購買的店家或網站。</p> <p>這家iPhone及Mac電腦製造商希望能為裝置加入AI功能以深化服務，維持銷售動能。蘋果執行長Tim Cook曾在年初宣布今年內會有AI相關產品推出。雖然官方還是沒有說明其AI進展，但上周蘋果研發部門<a href="https://www.ithome.com.tw/news/162544" target="_blank">公布OpenELM AI模型</a>系列，最小者為2.7億參數，已具有在裝置上執行提示的能力。</p> </div></div></div>
2024/5/1 15:18作者林妍溱https://www.ithome.com.tw/news/162612
Android通用核心將移除RISC-V支援，但Google否認不再支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.androidauthority.com/android-drop-risc-v-kernel-3438330/" target="_blank">Android Authority</a>》報導，Google的Android共通核心（Android Common Kernel，ACK）近日更新，移除了對RISC-V指令的支援。但Google團隊仍表示會持續支援該架構。</p> <p>Google Android系統團隊本周發布AOSP（Android Open Source Project）一系列修補程式，將移除ACK對RISC-V64的支援。這些修補程式的描述文字表示，「將終止對RISC64 GKI核心的支援。」GKI（General Kernel Image）是ACK分支之一加上跨硬體執行的程式碼，目標是提供通用的、可移植的核心映像，減少裝置製造商的工作量，確保Android安全性及可攜性。</p> <p>對期待Android支援RISC-V的開發人員或產業人士而言，這是一大挫敗。RISC-V作為開源指令集架構，結合效能及功率效益，受到物聯網（IoT）、車用及穿戴裝置開發商愛用以支援新式應用。例如高通、Bosch、英飛凌（Infineon）、恩智浦（NXP）<a href="https://www.qualcomm.com/news/releases/2023/08/leading-semiconductor-industry-players-join-forces-to-accelerate" target="_blank">去年宣布成立合資公司</a>以開發RISC-V架構的處理器。</p> <p>在Google方面，這家軟體平臺大廠去年1月宣布ACK支援RISC-V架構，並<a href="https://github.com/riscv-android-src/riscv-android?tab=readme-ov-file" target="_blank">持續更新</a>加入其他工具。去年10月<a href="https://www.ithome.com.tw/news/159332" target="_blank">Google和高通宣布</a>合作開發穿戴裝置用的RISC-V晶片（品牌名為RISC-V Snapdragon Wear），<a href="https://www.ithome.com.tw/news/159576" target="_blank">Google並宣布</a>推進支援，將在今年公布模擬器，讓Android開發人員能編寫RISC-V平臺的原生程式碼。外界原本預期或許會有RISC-V晶片的WearOS智慧型手錶。</p> <p>在ACK移除對RISC-V核心、Build及模擬器的支援後，任何公司想組譯可執行在RISC-V平臺的Android，未來就必須自行維護具有ACK和相關程式碼的Linux核心。雖然媒體推測這也意謂著Android將完全不再支援RISC-V。但Google對媒體表示，Android還是會持續支援。Google解釋，GKI迭代速度很快，因此公司尚未準備好提供通用的單一映像檔。</p> <p>在Google有進一步支援（或不支援）的行動前，Android Authority指出，由於Google目前只有驗證包含特定ACK分支的GKI核心，這表示短期間內不會看到Android on RISC-V的硬體問世。</p> <p>這項行動和Google將資源全數集中投資巨大的AI是否有關不得而知。<a href="https://www.ithome.com.tw/news/162586" target="_blank">Google本周傳出</a>將裁減開發工具Python、Flutter、Dart等部門人力，將工作移轉到成本較低的海外地區。</p> </div></div></div>
2024/5/1 14:15作者林妍溱https://www.ithome.com.tw/news/162609
Amazon首季營收成長13%，AWS成長17%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon周二（4/30）<a href="https://ir.aboutamazon.com/news-release/news-release-details/2024/Amazon.com-Announces-First-Quarter-Results-68b9258cd/" target="_blank">公布今年第一季財報</a>，該季的總營收達到1,433億美元，成長13%。其中，AWS的營收占了250億美元，成長17%，整體而言，Amazon的淨收入達到104億美元，比去年同期增加了225%，當天Amazon的盤後股價上漲了1.26%，為177.2美元。</p> <p>該季Amazon的北美零售業務締造863.4億美元的營收，成長12.3%，營業利潤為49.8億美元，成長454%。國際零售業務營收為319.4億美元，成長9.7%，但營業利潤為9億美元，去年同期則是虧損12.5億美元。至於AWS該季營收則為250.4億美元，成長17%，但營業利潤達94.2億美元，成長84%。</p> <p>Amazon執行長Andy Jassy表示，隨著各家公司強化其基礎設施以更加現代化，再加上AWS的AI功能所帶來的吸引力，AWS的成長率正在重新加速，以第一季來看，AWS的年收入將可達到1,000億美元。</p> <p>此外，Amazon在零售業務上不僅開始提供每日低價產品，並加快送貨速度，亦力求降低服務成本；同時Stores及Prime Video的廣告業務也正在成長。該季Amazon的廣告營收達118億美元，年增24%，是Amazon服務細項中成長最快的類別。</p> <p>目前Amazon的全球員工數為152.1萬人，年增4%，而這也是最近6季以來，員工數唯一呈現正成長的一季，顯示應已脫離疫情後的裁員潮。</p> </div></div></div>
2024/5/1 12:23作者陳曉莉https://www.ithome.com.tw/news/162604
幣安前執行長趙長鵬被判刑4個月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為全球最大加密貨幣平臺幣安（Binance）創辦人暨前執行長的趙長鵬，在去年11月<a href="https://www.ithome.com.tw/news/159946" target="_blank">承認參與洗錢活動</a>之後，在本周二（4/30）舉行的量刑聽證會中，美國法官Richard Jones判處了4個月的監禁，相較於美國司法部所求處的3年刑期，或者是另一加密貨幣交易平臺<a href="https://www.ithome.com.tw/news/162034" target="_blank">FTX創辦人被判處</a>的25年刑期，這對趙長鵬來說應是個好消息。</p> <p>美國的調查顯示，幣安既未確實履行反洗錢計畫，也無視美國的制裁規定，依舊允許遭到美國制裁的國家與美國用戶交易，例如美國用戶與伊朗用戶之間的交易就超過9億美元。法官認為幣安將公司成長及獲利置於美國法令之上，且同時違反了美國的多項法令，最終幣安同意支付43億美元的罰款，而趙長鵬則同意辭去執行長一職，亦支付了5,000萬美元的罰款。</p> <p>在對趙長鵬的量刑中，儘管Jones認為趙長鵬擁有必要的資金、財務能力與人力，卻未能抓住遵守美國法令的機會，但也說並無證據顯示趙長鵬曾被告知幣安的非法活動。</p> <p>Jones也說他閱讀了大量來自趙長鵬親友的支持信件，發現他們對趙長鵬的描述都是一致的，亦即他是個慈善家，再加上趙長鵬是自與美國沒有引渡條款的阿拉伯聯合大公國自願來美受審，都讓他決定輕判。</p> <p>其實在量刑之前，趙長鵬自己就寄了<a href="https://storage.courtlistener.com/recap/gov.uscourts.wawd.328570/gov.uscourts.wawd.328570.81.1.pdf" target="_blank">道歉信</a>給法官，另外，法官還至少收到了超過160封<a href="https://storage.courtlistener.com/recap/gov.uscourts.wawd.328570/gov.uscourts.wawd.328570.81.2.pdf" target="_blank">支持趙長鵬的信件</a>，當中包括來自趙長鵬妻子何一（He Yi）的信件（有中、英文版）。</p> <p>外界估計趙長鵬依然握有幣安的主要股權，身價高達330億美元。</p> </div></div></div>
2024/5/1 11:46作者陳曉莉https://www.ithome.com.tw/news/162603
Brocade儲存區域網路管理軟體發現多個漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://pierrekim.github.io/blog/2024-04-24-brocade-sannav-18-vulnerabilities.html#suspicious-network-traffic-www.gridgain.com">資安研究人員Pierre Barre在Brocade儲存區域網路（SAN）管理軟體SANnav發現多個漏洞</a>，可能被用來攻擊光纖通道（Fibre Channel）交換器與SAN基礎設施。</p> <p>SANnav包括SANnav Management Portal與SANnav Global View等2項元件，可透過圖形化介面，提供自動化的SAN管理服務，幫助用戶簡化SAN環境的管理作業，免除繁瑣指令，並以易於理解的可視化資訊，掌握SAN環境的運作。</p> <p>Pierre Barre通報的SANnav軟體漏洞一共有18個，會影響2.3.0版以前的所有SANnav版本，其中有15個漏洞已被指派CVE識別碼。</p> <p>Pierre Barre早在2022年9月時，便透過Dell向Brocade通報這些問題，但當時Barre測試的SANnav版本是2.1.1版，而Brocade已推出新的2.2.2版，因而未接受Barre的安全通報。後來Barre在2023年5月確認2.2.2版仍存在這些漏洞，並額外通報3個新漏洞，Borcade才正式承認這些漏洞，並於2024年4月發布修正檔，將SANnav更新到2.3.1版以修補這些漏洞。</p> <p>第1個漏洞CVE-2024-4159，是因為SANnav的虛擬機器缺乏預設防火牆保護，從而允許攻擊者存取SANnav內含的Apache Kafka事件串流平臺API。</p> <p>第2個漏洞未獲CVE識別碼，是SANnav的HTTPS連接如果遭到攻擊者阻擋時，將會轉用HTTP來連接，從而讓攻擊者可以從SANnav的資料傳輸中尋找密碼資訊。</p> <p>第3個漏洞CVE-2024-4161，SANnav是透過未加密的明文，來接收Brocade光纖交換器的系統日誌（Syslog）流量。</p> <p>第4個漏洞CVE-2024-29966，與未獲CVE識別碼的第5個漏洞，分別是不安全的系統帳戶root與sannav，前者的密碼是在產品文件中公開的，而後者也使用相同密碼。</p> <p>第6個漏洞CVE-2024-2859，是系統預設可以透過root權限，在OpenSSH 設定檔設定不安全的選項。</p> <p>第7個漏洞CVE-2024-29961，與第17個漏洞CVE-2024-29961，都是SANnav存在可疑網路流量的問題，分別會向ignite.apache.org與<a href="http://www.gridgain.com">www.gridgain.com</a>定期發送HTTPS請求，讓人不解且顯得可疑。</p> <p>第8個漏洞未獲CVE編號，以及第9個漏洞CVE-2024-29967，都是SANnav的Postgres資料庫存取不安全，Postgres資料庫存取沒有身分認證機制，可透過任何Docker執行個體存取，並藉此存取內含敏感資料的dcmdb資料庫，且能覆寫Postgres Docker執行個體的關鍵檔案。</p> <p>第10個漏洞CVE-2024-29967與第11個漏洞CVE-2024-29964，都是SANnav的Docker執行個體運作不安全，允許攻擊者透過取代特定目錄中的二進位檔案來接管SANnav，且任何Docker執行個體都能編輯系統與日誌的組態；此外，構成SANnav的40個Docker執行個體，彼此間是以HTTP互連，配置上也存在多個漏洞，其中4個執行個體擁有較大的權限，可允許攻擊者接管整個SANnav。</p> <p>第12個漏洞CVE-2024-29965是不安全的備份程序，擁有本機存取權限的攻擊者可以將SANnav的備份檔案還原到其他裝置上，進而從中找出敏感的配置與密碼資訊。</p> <p>第13個漏洞CVE-2024-4159是防火牆規則不一致，SANnav提供了對應IPv4與IPv6的防火牆規則，但彼此間存在一些不一致，增加了IPv6連接遭受攻擊的機會。</p> <p>第14個漏洞CVE-2024-29962，是內含密碼與日誌的檔案存取權限不安全，攻擊者可藉此獲得密碼與讀取日誌。</p> <p>第15個漏洞CVE-2024-4173，是可透過多個WAN埠，存取SANnav內含的Kafka事件串流平臺，且缺乏身分驗證。攻擊者可透過暴露在WAN連接環境上的Kafka平臺，來攻擊SANnav系統。</p> <p>第16個漏洞CVE-2024-2996，與第18個漏洞CVE-2024-29963，分別是SANnav的SSH密鑰，以及Docker的TLS存取密鑰，都是在原廠OVA映像檔中寫死（Hardcoded）的型式，攻擊者有藉此破解與攻擊SSH與TLS傳輸的可能，所有基於原廠OVA映像檔部署的SANnav，都受這2個漏洞影響。</p> </div></div></div>
2024/4/30 18:04作者張明德https://www.ithome.com.tw/news/162600