iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 33篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 19:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

雲端LLM服務用戶當心！帳密若失竊，存取權恐被轉賣給網路犯罪份子，每個月可能還要支付150萬元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型語言模型（LLM）爆紅，全球都關注採用這類人工智慧技術或服務的應用系統發展，而在資安風險的層面上，絕大多數關注的層面是圍繞著提示的濫用，以及訓練資料的竄改，以雲端原生防護產品著稱的資安新創公司<a href="https://sysdig.com/blog/llmjacking-stolen-cloud-credentials-used-in-new-ai-attack/">Sysdig，本週揭露新的攻擊手法，</a>他們觀察到有些惡意活動利用盜取的雲端服務身分憑證，而且是鎖定前10大雲端LLM服務，並將這種行為稱為LLM綁架（LLMjacking），在上述情境之下，攻擊者會將LLM存取權賣給其他網路犯罪份子，同時，這些雲端服務帳號持有者可能還在持續支付使用LLM應用的帳單，形同幫歹徒的AI使用而埋單。</p> <p>用戶的雲端服務身分憑證之所以被偷走，Sysdig僅簡略表示是來自一個擁有許多用戶的系統，由於當中執行具有CVE-2021-3129漏洞的PHP框架Laravel，而導致這些資料外流。</p> <p>關於LLM綁架具體運作流程，根據Sysdig的描述，一旦攻擊者拿到雲端服務的初步存取方式，他們會挖出登入憑證、獲取雲端環境的存取權，而在這裡他們會試圖存取雲端服務廠商在此代管的LLM模型。在他們觀察到的執行個體當中，業者在這個環境所設置的Anthropic Claude v2/v3模型，是遭到攻擊者鎖定濫用的目標，如果上述狀況沒被發現，受害者為了LLM的使用每天可能需支付超過4.6萬美元（逼近新臺幣150萬元）。</p> <p>Sysdig研究人員也發現一些證據，例如，LLM的反向代理被用於提供這些遭駭帳號的存取權，從這狀況研判，攻擊者是有財務層面的動機，另一個可能動機則是為了提取LLM訓練資料。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LLMJacking-Attack_4.png" style="width: 600px;" /></p> </div></div></div>
2024/5/10 18:01作者李宗翰https://www.ithome.com.tw/news/162817
研究人員揭露CPU推測執行漏洞攻擊新手法Pathfinder，能用來洩露加密金鑰與資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於CPU資安漏洞的研究，持續成為電腦科學界的熱門議題，在4月底、5月初，由國際計算機協會（ACM）舉行的年度程式語言與作業系統架構支援大會（ASPLOS），<a href="https://dl.acm.org/doi/10.1145/3620666.3651382">有一篇由多位學者共同發表的論文探討攻擊CPU的新手法，稱為Pathfinder</a>，作者來自加州大學聖地牙哥分校、普渡大學、喬治亞理工學院、北卡羅來納州大學教堂山分校、Google。</p> <p>與2018年引發各界熱烈關注的<a href="https://www.ithome.com.tw/tags/spectre">CPU重大漏洞Spectre</a>相同的是，Pathfinder所要突顯的問題，同樣與CPU的分支預測機制有關，也是屬於推測執行類型的漏洞。因為學者透過這篇論文所要探討的對象，主要是CPU的動態分支預測器（Conditional Branch Predictor）的歷程暫存器（Path History Register，PHR），以及預測歷程資料表（Prediction History Tables，PHTs），有心人士可在這些地方進行內容的洩漏與修改。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/acm%20Read%20doublet%20194%20of%20the%20PHR.png" style="width: 600px;" /></p> <p>如此一來，可促成兩種類型的攻擊，一種是濫用讀取指令，針對受害者程式進行整個控制流程過往內容的復原，例如，可將處理JPEG圖像的程式庫libjpeg例行的整合控制流程擷取下來，而得以將原本應祕密存取的圖像還原出來；另一種是濫用寫入指令，而能發動高解析度的瞬間攻擊，例如，可運用金鑰還原的攻擊手法對抗AES加密保護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Examples of Recovered Images by Pathfinder.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Examples%20of%20Recovered%20Images%20by%20Pathfinder.jpg" style="width: 600px;" /></a></p> <p>關於這樣的問題，學者們在去年11月通報英特爾與AMD。</p> <p>英特爾向他們表示已通知受此狀況影響的硬體與軟體供應商，並於<a href="https://www.intel.com/content/www/us/en/security-center/announcement/intel-security-announcement-2024-04-26-001.html">今年4月26日發布資安公告</a>，說明該篇研究描述的狀況是建立在Spectre v1漏洞的基礎之上，他們認為並未出現新的安全顧慮，因此不打算發布新的CVE編號與處理指引。</p> <p>AMD預告將在資安公告AMD-SB-7016說明，而在4月26日他們發布相關公告，可能是因為與學者的溝通出差錯，或是臨時變更，發出的<a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7015.html">資安公告編號卻是AMD-SB-7015</a>，他們在此否認自家產品具有如該篇論文描述的漏洞濫用問題。</p> </div></div></div>
2024/5/10 16:11作者李宗翰https://www.ithome.com.tw/news/162814
TikTok將開始自動辨識與標記AI生成內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.tiktok.com/en-us/partnering-with-our-industry-to-advance-ai-transparency-and-literacy" target="_blank">TikTok周四（5/9）宣布</a>，將開始支援內容憑證（Content Credentials）的讀取，以自動辨識及標記由AI生成的內容（AI-generated content，AIGC）。</p> <p>其實TikTok早自<a href="https://newsroom.tiktok.com/en-us/new-labels-for-disclosing-ai-generated-content" target="_blank">去年9月即推出工具</a>，以協助該平臺的創作者替他們的AI生成內容添加標籤，亦開始測試自動標記AI生成內容的方法。當時TikTok還規定，若發現沒有加上標籤的AI生成內容，即可能將它們移除。</p> <p>TikTok本周的發表則與內容出處暨真實性聯盟（Coalition for Content Provenance and Authenticity，C2PA）所開發的內容憑證有關，這是一個防篡改的元資料，記載著內容製作/編輯時間、地點或方式等創作資訊。身為C2PA成員的TikTok宣布將支援對內容憑證的讀取，以立即辨識與標記AIGC。</p> <p>這意謂著TikTok除了可自動及標記該平臺創作者的AIGC之外，也將辨識來自其它平臺、同時導入內容憑證的AIGC，新功能即日起支援該平臺上的圖像及影片，也將於近日支援單純的聲音內容。</p> <p>TikTok亦計畫於未來幾個月於TikTok內容嵌入內容憑證，以協助其它相容的平臺可自動對TikTok內容進行標記。</p> <p>C2PA是由微軟、Adobe、Arm、英特爾、BBC及Truepic在2021年的2月共同創立，主要任務為制定技術標準以證明媒體內容的歷史、來源或出處，以解決不實資訊或內容詐欺等問題，<a href="https://www.ithome.com.tw/news/162769" target="_blank">OpenAI亦於本周宣布加入</a>C2PA的指導委員會。</p> </div></div></div>
2024/5/10 13:24作者陳曉莉https://www.ithome.com.tw/news/162803
Ivanti漏洞遭Mirai殭屍網路濫用，目的是傳輸惡意酬載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/160823">今年1月揭露的Ivanti資安產品漏洞CVE-2023-46805、CVE-2024-21887</a>，這幾個月以來，<a href="https://www.ithome.com.tw/tags/cve-2023-46805">陸續引發許多風波</a>，連全球最了解駭客手法的資安組織<a href="https://www.ithome.com.tw/news/162772">MITRE都不幸淪陷</a>，現在連Mirai殭屍網路也想乘機利用，企圖藉此大量散播惡意軟體。</p> <p>本週（5月7日）資安與網路設備廠商Juniper Networks旗下的<a href="https://blogs.juniper.net/en-us/security/protecting-your-network-from-opportunistic-ivanti-pulse-secure-vulnerability-exploitation?web_view=true">Juniper Threat Labs發布監測報告</a>，揭露他們發現Mirai殭屍網路試圖利用這批漏洞，執行遠端程式碼執行，目的是廣泛散播惡意程式。</p> <p>攻擊者主要濫用Ivanti產品的兩個漏洞，其中，針對CVE-2023-46805的部分，主要是運用略過身分認證與路徑穿越這兩個弱點，使得他們得以存取敏感資源；另一個漏洞是CVE-2024-21887，攻擊者可運用注入任何命令的弱點，而能夠執行指令碼，進而部署多種惡意軟體，研究人員也在其他受監測的執行個體，發現攻擊者透過以curl、Python寫成的反向shell技術來濫用CVE-2024-21887，而得以控制那些存在弱點的系統，最近他們更發現經由shell指令碼傳遞Mirai酬載的狀況。</p> <p>分析當中的指令執行順序，攻擊者試圖抹除檔案、從遠端伺服器下載指令碼、設定可執行的許可，並且執行一段指令碼，目的是感染系統。而根據研究人員在這段過程所得到的酬載來進行分析，他們已識別出這是Mirai殭屍網路所使用的工具。</p> </div></div></div>
2024/5/10 12:49作者李宗翰https://www.ithome.com.tw/news/162802
Neuralink披露其首個大腦植入物出現問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由馬斯克（Elon Musk）共同創立的<a href="https://neuralink.com/blog/prime-study-progress-update-user-experience/" target="_blank">Neuralink本周坦承</a>，今年1月下旬於第一位受試者Noland Arbaugh腦袋中，所植入裝置的部分Thread自大腦中脫落了，以致於用來記錄腦內神經活動的有效電極變少了。目前Neuralink藉由修改演算法及介面來維持其功能。</p> <p>Neuralink所打造的腦機介面可利用腦部活動的訊號來控制電腦等裝置，最早被命名為Telepathy，用於首個人類臨床試驗中的裝置則稱作N1，但Neuralink於最新的部落格中又將它稱為Link。Link在64條幾乎不可見的細線（Thread）上分布了1,024個電極，藉由這些電極來記錄腦內的神經活動，再將相關訊號傳送到行動程式上以控制外部裝置。</p> <p>29歲的Arbaugh是<a href="https://www.ithome.com.tw/news/161886" target="_blank">第一位接受植入的人體試驗患者</a>，他因為一場事故造成頸部以下全面癱瘓，目前對Link的適應似乎還不錯，他利用大腦來控制滑鼠游標，於是可在電腦上跟朋友玩西洋棋、《文明帝國VI》，也可瀏覽網路，進行直播，或是使用MacBook上的其它程式。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/ZzNHxC96rDE?si=raRzxQ-wxYFVhj8a" title="YouTube video player" width="560px"></iframe></div> <p>最近一周Arbaugh使用Link長達69小時，除了平常日替研究所貢獻的40小時之外，其在周末的個人使用及娛樂也會超過10小時。</p> <p>不過，Neuralink發現，在Arbaugh動完手術的幾周後，有些Thread自大腦中脫落了，造成有效電極的數量減少，使其每秒所傳遞的資料量（BPS）也變少了，於是他們修改了記錄演算法，以讓Link對神經群體訊號的感應更加敏銳，同時改善了將訊號轉成移動游標的技術，並強化使用者介面，現在Link效能甚至超越了原本的樣子。</p> <p>根據《華爾街日報》（Wall Street Journal，WSJ）的報導，Neuralink早在2月下旬就發現Link所捕獲的資料變少了，但上述的改變令他們仍能在3月成功對外展示，且該公司是在WSJ詢問後才決定對外公開，惟並未說明Thread脫落的原因。</p> <p>Neuralink今年的目標是將Link植入其他10人的腦袋中。</p> </div></div></div>
2024/5/10 11:38作者陳曉莉https://www.ithome.com.tw/news/162801
【iThome 2024 CIO大調查系列 1｜企業IT投資總論】GAI浪潮和上雲驅力，帶動IT投資重回2位數成長
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_p2-ittou_zi_zong_lun_-960-jpg_0.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="color:#B22222;">生成式AI應用</span>浪潮是今年企業大舉加碼IT的關鍵助力。臺灣大型企業整體IT投資力道強勁，在2024年的IT投資，再度達到2位數。包括金融業、醫療業、服務業和一般製造業的IT投資成長率都破10%，甚至，金融業達到16%之高。</strong></p> <p><strong>整體IT投資金額平均達到1億9千多萬元，金融業更高達11億9千多萬元。進一步細分成八大IT重點，可以看到IT預算分布的流動，從數位轉型開始流向其他項目。整體產業的數位轉型預算比去年減少了8.9%，但是其他七項IT重點投資在今年都是正成長。<span style="color:#B22222;">其中以上雲預算增加幅度最高</span>，大幅提高了35.6%，平均達到1,005萬元，金融業上雲費用甚至是翻倍成長（104.6%），醫療業也增加了快一倍（95.8%）。</strong></p> <p><strong>在GAI浪潮帶動下，AI投資規模今年也有兩位數的成長，尤其像金融業的AI投資暴增了9成，政府機關AI預算也加碼了6成。過去幾年，金融與醫療主管機關對上雲法規的鬆綁，政府機關則為了提高數位韌性而積極上雲，在以SaaS形式為主的GAI浪潮助攻下，<span style="color:#B22222;">同時提高了企業上雲意願與AI投資力道</span>。</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2p2-IT%E6%8A%95%E8%B3%87%E7%B8%BD%E8%AB%96-600-1(1).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2p2-IT%E6%8A%95%E8%B3%87%E7%B8%BD%E8%AB%96-600-2(1).png" style="width: 600px;" /></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/%E5%B0%81%E9%9D%A2p2-IT%E6%8A%95%E8%B3%87%E7%B8%BD%E8%AB%96-600-4-%E5%A4%A7(1).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2p2-IT%E6%8A%95%E8%B3%87%E7%B8%BD%E8%AB%96-600-4-%E5%B0%8F.png" style="width: 600px;" /></a></p> <p><span style="font-size:16px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#FF8C00;"> 問卷說明 </span></strong></span> <span style="color:#696969;"><strong>iThome資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%</strong></span>。</span></p> <p><a href="https://www.ithome.com.tw/article/162793" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1181-feng_mian_p1-open-cioda_diao_cha_xi_lie_1-960x420_kao_bei_0.jpg?itok=CfW7OwsN" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/5/10 10:26作者王宏仁https://www.ithome.com.tw/article/162781
【iThome 2024 CIO大調查系列 1｜IT投資趨勢】IT投資布局更多角化，雲端比重明顯增加
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/p3-ittou_zi_qu_shi_-960-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>今年企業IT投資策略明顯有了改變。八大IT重點投資中，數位轉型、資安、Cloud、Big Data、AI（機器學習）、行動應用、邊緣運算（IoT）、DevOps，企業今年在這幾項的比重分配，明顯和去年不同。數位轉型比重和資安比重的下滑，是兩年投資策略最主要的不同，而今年唯一比重提高的重點投資項目是，企業上雲投資在IT投資中的占比。</strong></p> <p><strong>在2023年，數位轉型投資是企業八大IT投資重點中，比重最高的一項，達到9.9%，遠高於其他項目，甚至，去年數位轉型占比是Cloud占比的2倍，也是AI投資占比的3倍之高，資安占比也達到AI占比的2倍。企業明顯偏重於數位轉型相關的IT投資，遠高於AI相關的投資。</strong></p> <p><strong>但是，到了今年，在八大IT重點投資中，數位轉型預算是唯一負成長的項目，預算金額比去年足足減少了8.9%，不過，<span style="color:#B22222;">企業在上雲投資上，今年則是大幅加碼了3成5</span>，在AI與邊緣運算的投資也都加碼了1成。資安投資雖然在今年也是正成長，但是增加力道較弱，只有4.7%。</strong></p> <p><strong>企業對不同IT預算投資力道的調整，也反映到這8項重點投資的比重變化，企業數位轉型的占比從去年的9.9%下滑到7.3%，而資安投資占比也從去年的7.4％下降到6.3%，這兩項的差距縮小了。而今年企業大力加碼的上雲投資比重，從去年占IT投資的4.6％，今年提高到了5.1%，與資安投資只差1個百分比。整體來看，去年數位轉型與其他類投資之間高達2、3倍懸殊的落差，在今年明顯開始縮小，數位轉型占比在今年是AI占比的2倍多。</strong></p> <p><strong>企業今年對IT的重視程度沒有減少，反而更積極。去年IT預算占企業營收的比例只有2.7%，今年這個比例再度提高，IT預算占企業營收的比例達到了3%。換句話說，一家百億營收規模的企業，今年將會投入3億元到IT發展中。今年金融業的IT預算占營收比更高達了9%，遠高於各產業，也反映出金融業對IT的高度重視。</strong></p> <p><strong>不只在營收中的比重提高，有不少企業今年大力加碼投資IT。4成企業積極投資，今年IT預算成長率達到兩位數的增加，甚至有1.8％企業的IT預算今年是翻倍成長，醫療、金融、服務、一般製造業者均有IT預算翻倍成長者。</strong></p> <p><strong>不過，從八大IT重點投資雷達圖，更可以看到兩年投資分布的變化。整體策略分布比去年更平衡，數位轉型和資安占比雖然相對較高，但沒有像去年那樣特別凸顯，而<span style="color:#B22222;">上雲、Big Data、AI三者的占比幾乎並重</span>。換句話說，<span style="color:#B22222;">CIO今年IT投資布局更加考慮多角化的發展，不再只偏重數位轉型</span>。</strong></p> <p><strong>這並非是企業對數位轉型的重視減低了，而是企業數位轉型的發展，開始跨入了新的階段，企業不只聚焦在百花齊放的數位化變革，而要更有目的性的鎖定關鍵發展方向。從今年大調查可以看到<span style="color:#B22222;">，企業要從強化資安邁向資安轉型，要善用AI創新和決策更勝數位轉型，還要將數位轉型策略對齊ESG企業永續目標</span>。從這些企業IT投資重心的變化，可以看到CIO今年IT戰略的布局，得兼顧更多面向的發展。</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2P3-IT%E6%8A%95%E8%B3%87%E8%B6%A8%E5%8B%A2-600-1.png" style="width: 600px;" /></strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2P3-IT%E6%8A%95%E8%B3%87%E8%B6%A8%E5%8B%A2-600-2.png" style="width: 600px;" /></strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2P3-IT%E6%8A%95%E8%B3%87%E8%B6%A8%E5%8B%A2-600-3.png" style="width: 600px;" /></strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2P3-IT%E6%8A%95%E8%B3%87%E8%B6%A8%E5%8B%A2-600-4.png" style="width: 600px;" /></strong></p> <p><span style="font-size:16px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span> <span style="color: rgb(105, 105, 105);"><strong>iThome資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%</strong></span>。</span></p> <p><a href="https://www.ithome.com.tw/article/162793" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1181-feng_mian_p1-open-cioda_diao_cha_xi_lie_1-960x420_kao_bei_0.jpg?itok=CfW7OwsN" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/5/10 10:27作者王宏仁https://www.ithome.com.tw/article/162786
【iThome 2024 CIO大調查系列 1｜CIO年度目標】CIO更重視開創型IT戰略，AI創新優先度今年驟增
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_p4-ciomu_biao_-960-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="color:#B22222;">三軸轉型</span>，是CIO今年IT戰略的三大方向，從2024年CIO年度目標的排名變化，可以明顯看到<span style="color:#B22222;">AI、資安和企業永續</span>三大趨勢，開始超越了數位轉型的優先排名，成了企業轉型的新方向。</strong></p> <p><strong>數位轉型是這幾年企業IT發展的主軸，多數CIO採取的是穩健中求變革的IT發展策略，在兼顧資安與IT穩定的前提下，持續推動各項數位化的變革，從去年CIO年度目標排名就可以看到這個現象。數位轉型是名列第三的目標，僅次於強化資安和確保IT穩定，但是，到了2024年，這個排名出現了很大的變化，也意味著CIO過往的穩健策略，開始出現了不一樣的改變。</strong></p> <p><strong><span style="color:#B22222;">「AI創新應用與服務」</span>目標一口氣從去年第16名，更竄升到今年第3名，超越了13項CIO目標，AI創新的優先程度，今年甚至比確保IT穩定更高，這是最能明顯感受到CIO決策風格轉變的證據，從穩健IT策略，轉為開創型的IT決策風格，今年想要推動淨零碳排、靠IT創新超越競爭對手、靠新商業模式超越競爭對手等開創型IT策略的CIO，都比去年增加超過了4成以上。</strong></p> <p><strong>不只如此，「用AI強化分析與決策」也從去年的20名，超越了12項目標，進入了今年的十大目標排行榜，名列第8，僅次於強化數位韌性。為何AI創新和強化決策，成了CIO今年的重要策略，答案不言可喻，就是生成式AI浪潮。</strong></p> <p><strong>ChatGPT打開了使用者對GAI的期待和接受度，科技大廠紛紛投入技術競爭之下，加速了GAI技術的產品化和普及，可商用的GAI服務和開發工具紛紛出籠。在去年三大科技巨頭相繼推出企業級GAI產品和工具後，大大提高了帶動了企業今年採用GAI的意願。甚至有企業開始感受到GAI衝擊的急迫感，8.8％的CIO自評，GAI現在已經對所屬產業帶來重大改變，半數企業更評估3年內會帶來重大衝擊。商用工具的成熟，再加上技術衝擊帶來的急迫感，讓CIO今年願意更大膽地擁抱AI創新。</strong></p> <p><strong>今年CIO大調查，我們在CIO年度目標清單中，新增了一項<span style="color:#B22222;">「資安轉型」</span>目標，用來代表CIO將今年要推動如主動防禦、零信任架構、資安左移等新一代資安思維和做法，以凸顯與延續舊思維的「強化資安」目標的不同。去年只有30.8%的CIO將「資安轉型」列為年度目標，但是今年大幅增加到49.8%，幾乎是每兩家企業就有一家企業的CIO要推動。資安轉型的排名，超越了數位轉型和AI創新，成為第二名目標。</strong></p> <p><strong>為何企業更積極推動資安轉型？企業這兩年積極擁抱雲原生的同時，也開始擁抱零信任、DevSecOps等新世代資安作法。而以SaaS形式提供的GAI，成了企業加速上雲的關鍵推力，為了因應上雲風險，更加強了企業今年想要推動資安轉型的決心。</strong></p> <p><strong><span style="color:#B22222;">「ESG企業永續」</span>是另一項在今年排名超越了數位轉型的新目標，37%的CIO列為年度目標，金融業更高達了51%的CIO將其列入。今年要擁抱標準更高的「淨零碳排」目標的CIO比例，也從去年的12.1%，在今年增加到17.8%，高科技、一般製造和政府學校甚至超過2成CIO列為今年目標。<span style="color:#B22222;">25.6％的企業已經將數位轉型目標對齊ESG方向</span>，成了企業數位轉型的第三個新重點。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2p4-CIO%E7%9B%AE%E6%A8%99-600-1.png" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/files/%E5%B0%81%E9%9D%A2p4-CIO%E7%9B%AE%E6%A8%99-600-2-B(1).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2p4-CIO%E7%9B%AE%E6%A8%99-600-2-A(1).png" style="width: 600px;" /></a></p> <p><span style="font-size: 16px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span> <span style="color: rgb(105, 105, 105);"><strong>iThome資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%</strong></span>。</span></p> <p><a href="https://www.ithome.com.tw/article/162793" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1181-feng_mian_p1-open-cioda_diao_cha_xi_lie_1-960x420_kao_bei_0.jpg?itok=CfW7OwsN" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/5/10 10:27作者王宏仁https://www.ithome.com.tw/article/162787
【iThome 2024 CIO大調查系列 1｜數位轉型AI化】GAI開始衝擊近1成企業，加速4成企業推動數位轉型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_p5-ai-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>生成式AI席捲全球，但是不是已經開始衝擊臺灣的大型企業？在今年iThome CIO大調查中，我們特別增加了這一個問題，調查422家企業CIO或資安長的看法。</strong></p> <p><strong>高達8成CIO認為，GAI將會大幅改變企業和所屬產業，只是時間長短問題。其中更有8.8%的企業已經因為GAI而開始大幅改變，一年內會有大幅改變的企業已有8.8%。<span style="color:#B22222;">近半數CIO的看法是1～3年內，GAI會大幅改變企業。</span>可以說，至少近2成CIO，已經開始思維如何因應GAI帶來的重大衝擊，來調整2024年的IT策略和布局，對他們而言，GAI不是未來的趨勢，而是今年實實在在要面對的策略課題。</strong></p> <p><strong><span style="color:#B22222;">GAI浪潮</span>帶來的第一波實際應用，是對<span style="color:#B22222;">員工生產力和企業工作流程的變革</span>，這兩項都是企業向來推動數位轉型的重心，也因此，在今年iThome CIO大調查中，近4成CIO期望能用GAI來加速企業數位轉型的腳步，而且不分產業，各產業都有3～4成CIO想借重GAI加速轉型，GAI技術對所有企業來說都是全新的技術，也是不分產業的新技術起點，各產業CIO也都開始意識到這項技術浪潮的價值和重要性。</strong></p> <p><strong>不只是心中盤算和計畫，今年已經有14.2％的企業，開始採取行動，將GAI用於自家數位轉型的加速上，政府學校和金融業更是積極，這兩個產業開始嘗試用GAI加速轉型的比例都超過了2成。</strong></p> <p><strong>GAI不只可以用於數位轉型加速，整體來看臺灣企業的GAI發展成熟度，我們參考數位轉型發展成熟度的分級，也將GAI發展階段分成了6個階段，有需要但還沒計畫者、計畫階段、導入和驗證階段、正式上線階段、擴大採用階段到深化內化階段。臺灣企業大多處於計畫階段，以及導入和驗證階段，各有3成企業分別處於這兩個階段中，3成企業有興趣採用GAI，展開了規畫但還沒進行，而另有3成企業今年則是開始導入GAI技術，但處於技術熟悉、技術準備和PoC驗證階段，這兩項是大宗，也可說臺灣企業擁抱GAI的主流現況。</strong></p> <p><strong>但是，臺灣已經有少數積極擁抱的領頭羊，5.3％企業早在去年GAI技術出現時，就開始嘗試，今年進一步正式在關鍵系統、工作場所、對外產品或服務中採用GAI，不過規模不大，多屬於局部運用。</strong></p> <p><strong>不只是這群大膽嘗試的領頭羊，更有1.4%企業，不只技術力超群，也挖掘出GAI應用價值和場景，今年要開始大舉擴大GAI應用規模，建立系統化的流程、組織與架構，例如已有企業打造出能快速開發GAI應用的MLOps平臺，來加速採用更多GAI應用，不只如此，更有極少數，1%大型企業，從擴大應用進一步跨入了深化、內化階段，開始善用自己過去累積的IT和AI技術能量，想要讓GAI成為企業應用的DNA，決定關鍵AP未來都會預設採用GAI。這股GAI大浪已經衝擊了臺灣企業，也再一次考驗企業的技術力和數位轉型AI化的決心。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2p5-AI-600-1(1).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2p5-AI-600-2.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2p5-AI-600-3.png" style="width: 600px;" /></p> <p><span style="font-size: 16px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span> <span style="color: rgb(105, 105, 105);"><strong>iThome資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%</strong></span>。</span></p> <p><a href="https://www.ithome.com.tw/article/162793" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1181-feng_mian_p1-open-cioda_diao_cha_xi_lie_1-960x420_kao_bei_0.jpg?itok=CfW7OwsN" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/5/10 10:27作者王宏仁https://www.ithome.com.tw/article/162790
【iThome 2024 CIO大調查系列 1｜資安轉型】5成企業大舉推動資安轉型，政府和金融業最積極
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_p6-zi_an_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>今年大型企業的資安戰略開始不一樣，不只要做好資安、強化資安，還要更進一步推動<span style="color:#B22222;">資安轉型</span>。</strong></p> <p><strong>每一年，只要調查CIO的年度目標，資安向來都是CIO優先度第一名的目標，超過8成CIO將強化資安列為年度目標。雖然在今年的iThome CIO大調查中，強化資安目標，依舊是優先度最高的CIO目標，但是，將這一項列為年度目標的CIO比例，從去年的81%，在今年下滑到72％。不是CIO對資安的重視度下滑了，而是CIO今年開始轉向更進階的資安戰略，也就是要推動資安轉型。<span style="color:#B22222;">今年高達49.8%的企業要推動資安轉型</span>，比去年的3成比例，足足多了快2成。半數企業不再只想延續舊有思維來強化資安，而要更進一步改變資安思維，從過去的被動防禦作法，轉為主動防禦的資安思維，也比過去更積極擁抱<span style="color:#B22222;">零信任</span>架構、推動<span style="color:#B22222;">資安左移</span>等新一代資安作法。資安轉型成了企業全新的轉型方向。從今年大調查結果可以看到，將零信任身分與設備鑑別納入今年資安投資重點的企業超過了2成，也有一成多的企業要採用零信任網路分段和信任推斷。</strong></p> <p><strong>從各產業來看，以政府學校（70.7%）金融業（61.1%）最積極推動資安轉型，這兩個產業對新一代零信任架構的採用意願也是各產業中最積極者。行政院這兩年大舉推動政府機關擁抱零信任，金管會也開始鼓勵金融機構採用。高達41.5%政府學校和38.9%金融機構今年資安投資重點是零信任身份與設備鑑別，遠高於其他產業。對於零信任網路分段和信任推斷，也有超過2成政府學校和金融業者今年要導入。</strong></p> <p><strong>零信任架構不只是為了強化內網安全，也讓企業可以更放心的上雲，擁抱混合雲。新一代資訊架構所用的微服務架構、容器化架構、跨雲混合雲，讓企業內網和外網之間的界線更加模糊，都讓傳統的網路多層式防護、縱深防禦作法越來越難以發揮作用，只有全面升級資安思維，從零信任角度重新設計防禦策略，才能在新一代資訊架構浪潮中發揮資安力。這正是為何越來越多企業積極推動IT現代化的同時，也同步展開資安轉型的緣故，企業越是積極上雲，擁抱雲原生技術，零信任架構的價值和必要性也就越加重要，還可以讓企業降低為了採用雲端GAI服務而上雲的風險。</strong></p> <p><strong>雲原生帶來另一個考驗是軟體供應鏈資安威脅，越來越多開發元件是開源技術，上游開源軟體的零時差漏洞，往往牽連整個下游生態圈，今年3月發震驚IT界的XZ程式庫遭植入後門事件，更反映出這項威脅的嚴峻。攻擊者長達2年潛伏，精心騙取開發社群的信心，進而暗中在上游元件中植入惡意程式碼。唯有將資安作為提前到開發流程前段，推動資安左移策略，或將資安整合到整個開發生命周期、DevOps流程中，才能徹底的杜絕可疑元件的污染，也能在零時差漏洞出現時，第一時間修補，<span style="color:#B22222;">今年要採用DevSecOps的企業達到17.1%</span>，尤其是金融業和服務業，每四家就有一家今年要擁抱DevSecOps，將資安更落實到整個開發流程中。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2p6-%E8%B3%87%E5%AE%89-600-1(1).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2p6-%E8%B3%87%E5%AE%89-600-2(1).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2p6-%E8%B3%87%E5%AE%89-600-3(1).png" style="width: 600px;" /></p> <p><span style="font-size: 16px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span> <span style="color: rgb(105, 105, 105);"><strong>iThome資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%</strong></span>。</span></p> <p><a href="https://www.ithome.com.tw/article/162793" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1181-feng_mian_p1-open-cioda_diao_cha_xi_lie_1-960x420_kao_bei_0.jpg?itok=CfW7OwsN" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/5/10 10:27作者王宏仁https://www.ithome.com.tw/article/162791
【iThome 2024 CIO大調查系列 1｜ESG永續轉型】企業永續成為數位轉型對齊方向，4成CIO定為年度目標
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_p7-esg-960_0.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>臺灣即將<span style="color:#B22222;">在2025年開徵碳稅</span>，環境部已盤點出超過500家的排碳大戶，成為首波碳費課徵對象。這意味著碳成本，開始成為企業營運成本的一環，企業永續不只是為了企業社會責任或企業形象的考量，更實際成為企業營運的核心。</strong></p> <p><strong>所以，這幾年可以看到，許多大型企業相當重視ESG議題，不只是高科技業者，金融業者，政府學校、甚至醫院都開始推動節能省碳，不少企業更喊出2030年碳中和或淨零排放的目標。數位化是企業推動永續的重要戰略，IT在企業ESG發展中的角色也越來越重要。這幾年ESG企業永續目標在CIO心中的優先程度，越來越高，從2022年到2023年，更是一口氣躍升了11名，擠進了CIO年度十大目標排名，企業永續發展也首度超越了數位轉型目標的排名。</strong></p> <p><strong>今年也不例外，ESG企業永續的排名再次高於數位轉型的排名，<span style="color:#B22222;">超過4成CIO將企業永續列為自己的年度工作目標</span>。企業也比過去更借重IT來推動ESG，超過2成企業將CIO納入企業永續發展委員會，1成7的企業還將資安長納入。<span style="color:#B22222;">25.6%企業的數位轉型開始對齊ESG目標</span>，為了永續而轉型成了企業重要發展方向，超過3成企業IT參與ESG績效指標的設計，首波面臨碳費徵收的高科技業者更高達了5成找來IT參與。碳盤查，碳排儀表板、內部系統實施碳定價，到擴大上雲、綠色IT等，都是企業永續發展常用的IT對策。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2p7-ESG-600-1.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2p7-ESG-600-2(1).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2p7-ESG-600-3(1).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2p7-ESG-600-4.png" style="width: 600px;" /></p> <p><span style="font-size: 16px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span> <span style="color: rgb(105, 105, 105);"><strong>iThome資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%</strong></span>。</span></p> <p><a href="https://www.ithome.com.tw/article/162793" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1181-feng_mian_p1-open-cioda_diao_cha_xi_lie_1-960x420_kao_bei_0.jpg?itok=CfW7OwsN" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/5/10 10:28作者王宏仁https://www.ithome.com.tw/article/162792
【iThome 2024 CIO大調查系列1】AI、資安和永續變革三箭齊發
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1181-feng_mian_p1-open-cioda_diao_cha_xi_lie_1-960x420_kao_bei_0.jpg?itok=CfW7OwsN" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對生成式AI應用浪潮，4成臺灣CIO今年要用AI創新，更加速企業上雲腳步。為了因應新挑戰帶來的風險，5成企業大動作推動資安轉型。因應碳稅明年上路，企業轉型計畫更積極對齊ESG目標，更多CIO參與企業永續高階決策。 AI、資安和永續，正是企業2024年的三大變革方向。</p> </div></div></div>
2024/5/10 10:28作者王宏仁https://www.ithome.com.tw/article/162793
Dell資安事件疑外洩近5千萬用戶資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電腦大廠Dell近月發生一樁網路安全事件，可能導致4,900萬個人或企業用戶資訊外洩。</p> <p>部份<a href="https://www.reddit.com/r/Dell/comments/1cnlzat/dell_data_breach/" target="_blank">Reddit</a>或<a href="https://twitter.com/WandrMe/status/1788537642784579931" target="_blank">X用戶</a>本周分別反映接到<a href="https://www.reddit.com/r/privacy/comments/1cnlbwr/dell_data_leak/" target="_blank">Dell以電子郵件通知</a>。Dell入口網站有關的資料庫發生一樁「事件」，導致其中和Dell採購相關的特定客戶資料外洩。Dell已經啟動調查，基於資料種類，該公司相信對客戶沒有重大風險。Dell也未說明事件起因是網路攻擊、作業不慎或其他原因。</p> <p class="rtecenter"><a href="https://twitter.com/WandrMe/status/1788537642784579931" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0510-dell%20leak.png" style="width: 500px;" /></a></p> <p>遭外洩的資訊包括姓名、住家地址、以及Dell硬體及訂單資訊，包括服務標籤、商品描述、訂單日期和相關的保固資訊。</p> <p>這樁調查和<a href="https://dailydarkweb.net/threat-actor-claims-sale-of-dell-database-containing-49-million-customer-records/" target="_blank">《The Daily Dark Web》</a>上個月底報導的Dell的資料外洩可能有關。根據報導，4月地下論壇上一名駭客正在兜售一批宣稱竊取自Dell的資料庫，資料庫包含2017年到2024年向該公司採購的4,900萬個客戶及其他資訊。貼文者說他是資料唯一持有者。</p> <p>外洩資訊中，有約700萬是個人／消費者採購，1,100萬來自消費市場的公司，其他還有企業、合作夥伴、學校以及「無法透露的」類別。買主國籍包括美國、中國、印度、澳洲及加拿大。資料型態包括消費者全名或公司名、住家地址、城市、省份、郵遞區號、國家、獨特的系統7位數服務標籤、出貨日期、監視器序列號碼、Dell客戶號、Dell訂單號碼等。</p> <p>貼文者也貼出了疑似出自Dell系統的表格擷圖，以證明其資料真實性。</p> <p>一名也接到電子郵件通知的用戶說他電腦上周被駭，不過不確定兩者之間是否有關係。</p> <p>另一方面，<a href="https://arstechnica.com/security/2024/05/dell-warns-of-incident-that-may-have-leaked-customers-personal-info/" target="_blank">Dell官方對媒體指出</a>，Dell的用戶通知信件和駭客論壇兜售一事兩者沒有關聯。但媒體<a href="https://arstechnica.com/information-technology/2016/01/latest-tech-support-scam-stokes-concerns-dell-customer-data-was-breached/" target="_blank">《Ars Technica》</a>質疑，Dell資料外洩可能要追溯到更早前，因為<a href="https://arstechnica.com/information-technology/2016/01/latest-tech-support-scam-stokes-concerns-dell-customer-data-was-breached/" target="_blank">2016年</a>及2017年多名用戶接到冒充Dell客服中心的詐騙電話，歹徒不僅知道用戶電話、住址外，還對產品序號及歷來支援紀錄瞭若指掌，顯示極可能是系統資料外洩的結果。</p> <p><a href="https://techcrunch.com/2024/05/09/dell-discloses-data-breach-of-customers-physical-addresses/" target="_blank">Dell官方也拒絕說明</a>這批接到通知的用戶數量。</p> </div></div></div>
2024/5/10 10:41作者林妍溱https://www.ithome.com.tw/news/162800
下雨不愁
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在北部地區就學與工作多年，養成攜帶雨傘的習慣，早期因為沒有智慧型手機與氣象App可隨時掌握天氣概況，因此，我經常因為沒帶傘而淋雨導致感冒，後續決定這筆錢不省了，若遇到下雨而手邊無傘，寧可不厭其煩、再花錢到便利商店重新買一支，勝過因此生病而衍生的種種不便與成本，同時也提醒自己要記得帶傘。</p> <p>長久下來，我在家中、辦公室、背包都備有折疊傘，在大部分狀況下，都可隨時因應突然下雨的狀況，至少可確保上半身、尤其是頭部不要因此著涼。至於鞋襪，我也在自己的辦公座位準備幾套，可進行替換，保持乾燥。</p> <p>作為以捷運這類大眾交通運輸工具代步或自行開車的人，這些應變機制應該就足以應付，但如果是以機車來往於各個地方，所需要的會是雨衣、雨褲、雨鞋，甚至可能需要備妥其他衣物替換，由於穿著這些雨具移動難免因燜熱而流汗，所以必須要處理這個狀況，以免影響其他同事辦公。</p> <p>戶外運動遇到下雨又是另一番光景，因為不論是否淋雨，身體一定會因為流汗而弄濕、弄髒，必須在結束後替換衣物。以跑步而言，有一定的經驗的人應該都不會受到很大的影響，只怕天雨路滑導致跌倒、天冷而失溫，或是突然被閃電擊中而受傷等狀況。</p> <p>提出這個每個人都會面臨的情境，是希望告訴大家：身處在這個世界的任何一個角落，我們必定會遇到下雨，而置身數位化全面普及的環境之中，無可避免會受到網路威脅的直接或間接影響，每個人該做的事情，是積極、持續認識這些資安風險與各種資安事故，正如同我們關心每天的氣象變化，並且及早進行各種必要的準備與預防措施，以便當下能夠充分因應各種可能發生的狀況。</p> <p>不過，「有備無患」、「未雨稠繆」的概念人盡皆知，甚至應該是基本常識，但每天的全球各地新聞總不乏各種離譜狀況發生。</p> <p>今年3月初，社群網站龍頭Meta公司的Facebook、Instagram、Threads發生故障，約1個半小時後才恢復正常；幾個禮拜之後，全球速食連鎖業者麥當勞發生大當機，十多個國家的麥當勞App和餐廳點餐系統停擺，許多門市不論現場或是網路都無法接單，有些可改用紙本作業來記錄訂單，有些只收現金，甚至還有直接打烊、當天停止營業的狀況。這類狀況並非今年特別多，以前也有一些令人印象深刻的例子，像是<a href="https://www.ithome.com.tw/news/151036" target="_blank"><span style="color:#3333ff;">2022年4月，DevOps平臺業者Atlassian發生大當機</span></a>，花了14天才復原。</p> <p>若論及勒索軟體、DDoS、資料外洩等重大資安事故，更是層出不窮，運用的滲透與攻擊手法五花八門，從粗製濫造到極端繁複都有可能。而這些資安威脅對於企業與組織運作造成的衝擊，也是形形色色，例如，早期常見的個人電腦中毒、硬碟損毀，之後出現網站首頁被竄改、網站服務停擺，到了近期，檔案遭到加密綁架、機敏資料與個資外洩、企業與個人身分遭冒用，更是司空見慣，幾乎天天上演。</p> <p>事實上，每個環節都可能遭到滲透、所有管制都可能被突破，我們需要進行的各種資安措施，需要涵蓋全局。例如，事前預防雖然無法完全保障資安，但仍須盡力防患於未然，能在敵人侵入前就予以阻隔，可有效降低後續處理成本；至於事中察覺與事後復原能力的強化，是在APT威脅猖獗之後開始興起的資安戰略，目的是促使大家充分具備各種威脅的偵測與應變能力，建立第二條防線，但這樣與威脅貼身肉搏，相較之下是更費時費力的，因此我們也不能輕易放棄事前預防工作，如果這麼做，就沒有退路了。</p> <p>面對詭譎多變的網路威脅態勢，資安的未來似乎難以令人樂觀其成，然而，生命總會找到出路，人類用幾千年的文明，突破了外在環境的限制，而得以安身立命，今日我們仍然擔心各種氣候變化，卻不那麼害怕，因為大家都在不斷尋找適應與解決問題的方法，希望能通過大自然的考驗，而在同時因應人為活動的各種變化時，我們沒有悲觀的本錢，只能繼續拼搏。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B6%B2%E8%B7%AF%E5%A8%81%E8%84%85">網路威脅</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div></div></div>
2024/5/10 10:07作者李宗翰https://www.ithome.com.tw/voice/162794
借重資訊科技加速農業管理轉型，農業部以數據強化循證治理
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在COVID-19疫情爆發之前，2018年全球爆發的非洲豬瘟，由於缺少藥物治療及疫苗，豬隻感染後發病及致死率最高可能達到100%，病毒甚至在冷凍豬肉存活最長可達1,000天，被世界動物衛生組織列為應通報疾病，包括歐洲、非洲、中國都被列為疫區，不論生鮮或加工的熟食肉品，只要帶進臺灣，可能造成國內養豬業淪陷，帶來難以估計衝擊。</p> <p>當時農業主管機關農委會如臨大敵，為防堵非洲豬瘟入境，機場禁止旅客入臺攜帶肉製品入境，並祭出最高30萬元重罰，農委會防檢局未雨籌謀，加強境內豬肉管理，每輛運豬車不論載運活體或屠體，都被要求安裝GPS。</p> <p>為追蹤管理運豬車動向，必需蒐集運豬車的即時動向數據，由於人力不足，防檢局找上農委會資訊中心尋求協助，農業部資訊司長蕭柊瓊回想她當時擔任資訊中心主任，接到防檢局的請求後，毅然決定接下這項任務。</p> <p>蕭柊瓊回憶，當時資訊團隊全力動員，開發運豬車管理追蹤系統，為了追蹤有問題的豬隻流向，必需要能做到以場追車，以及以車追場，一旦檢測發現某個養豬場或屠宰場出現問題豬隻，必需立即掌握哪些運豬車去過出現問題豬的場所，以及這批車先前去過的每一個地方，對這些場域建立電子圍籬加以控管，甚至從數據中進行路線分析，評估應該檢查的所有地點，所幸因機場管制得當，國內沒有爆發非洲豬瘟。</p> <p>雖然當時成功防堵了非洲豬瘟，為了避免疫情在管制鬆懈時突然爆發而措手不及，防檢署現在仍然繼續運用這套系統，而且不只是追查豬隻，也用來追蹤可能爆發禽流感的雞隻，時至今日資訊團隊仍不斷精進這套系統，例如當車輛進入屠宰場，通過攝影機影像就能即時辨識哪一輛車。考慮到活體豬隻的威脅比較大，不只是靜態的影像辨識哪一輛車，他們正研發利用影音串流，進一步判斷車上載運豬隻是屠體或活體。</p> <p>面對非洲豬瘟、禽流感等高傳染性的動植物疫情，加上全球極端氣候帶來劇烈環境變化，導致農畜產品發生供給及需求失衡，價格高漲直接衝擊民眾生活，現代農業管理面臨更大的轉型挑戰。</p> <p><span style="font-size:28px;"><strong>由資訊中心升為資訊司</strong></span></p> <p>去年8月，行政院組織改造，農委會正式升格為農業部，轄下所屬機關也跟著調整，例如過去的林務局改為林業及自然保育署，這波農業部門機關組織的改革中，資訊科技扮演重要的角色，資訊單位從農委會資訊中心改為農業部資訊司，IT部門的重要性有增無減。</p> <p>從農委會資訊中心主任接任農業部資訊司長，蕭柊瓊表示，IT部門的早期為農委會企畫處底下的資訊科，到任務編組性質的資訊中心，資訊中心雖非正式單位，但底下仍設置2個科，主任相當於副處長，到升格為正式組織的農業部資訊司，每一次組織調整，都提高IT在農業管理的重要性。</p> <p>從農委會資訊中心改為農業部資訊司，看似微小的組織變動，但是在農業主管機關的組織改造中，暗含組織角色的變化。</p> <p>蕭柊瓊解釋，資訊中心原本負責農委會內業務單位資訊化，為一個幕僚單位，資訊中心原本理應改為資訊處，但是在組織改革的規畫中，部長認為政府重視資通訊發展成立數位發展部，農委會資訊中心不應該僅是改制為資訊處，必需從幕僚單位成為一個業務單位，要能夠發展自己的業務，因此資訊中心改組為資訊司，和農民輔導司、畜牧司、動物保護司、農業科技司等並列。「IT受到高度重視，不只是農業部門，不只是整個政府，甚至已經是全球的重要趨勢」，蕭柊瓊說。</p> <p><span style="font-size:28px;"><strong>推動資訊向上集中，資安集中監管</strong></span></p> <p>然而，原本農委會時期，底下所屬機關龐雜，除了農糧署、林務局、水保局等較大的機關，還有位於各地的農業改良場，以及林業試驗所、水產試驗所、畜產試驗所等等，過去各單位建立自己的機房，各自服務網路對外連接，受到駭客攻擊的風險增加，如果各機關自建立資安防護，需要花費相當多的經費。</p> <p>因此蕭柊瓊接掌資訊中心後，配合當時國發會政策，2019年開始推動資訊向上集中政策，當時的24個所屬機關，除了特別准許自己維運管理資料中心的林務局、水保局（現為農業部林業及自然保育署、農村發展及水土保持署），以及尚未完全向上集中的農糧署、農田水利署，陸續將其他20個所屬機關都推動資訊向上集中，各機關單位在資訊向上集中後，僅留下通訊機房，對外系統及服務則集中到資訊司。</p> <p>農業部資訊司透過資訊向上集中，一方面節省IT管理成本，另一方面來幫助這些機關加速數位化，另外，對外的網路進出、服務系統都統一經由資訊司的機房控管，包括系統備援都由資訊司負責，達到資安集中管理的目的，並由資訊司統一制定各業務單位遵守的資安及個資保護SOP。</p> <p>蕭柊瓊指出，駭客攻擊手法層出不窮，通過資訊向上集中，儘量將攻擊造成傷害減到最低，過去合作廠商基於方便，從業者公司內網直接連接至農委會，現在嚴格禁止廠商的遠端連線，業者只能到農業部或所屬機關設置的跳板連線操作，雖然這麼做會造成業者的不方便，但是加強內部的資安管理，而且通過資訊向上集中到本部的資料中心，統一採購建置資安設備打造安全的堡壘，也能降低單位各自建置資安設備的投資。</p> <p>另外，這些機關也從資訊向上集中獲得更多好處，有的單位可能位處偏遠山區，單位內的人員編制有限，以一個改良場為例，因為人員編制較少，很難挪出一個人員編制為資訊人員，即使單位內編制一位資訊人員，因為單位的特殊性，資訊人員也很難獲得升遷的機會，隨著資訊向上集中，人員在職涯發展也有比較好的機會。</p> <p><span style="font-size:28px;"><strong>打造共用的行政系統、架站系統</strong></span></p> <p>雖然推動資訊向上集中能夠為各機關單位節省資源，但資訊向上集中還必需能提供具體的效益，才能吸引更多單位願意納入，於是資訊部門開始打造共用的雲端行政系統，讓各機關單位可以共同使用，例如公文、差勤、薪資等系統，讓各單位不需自建維護行政系統，雖然沒有強制其他機關單位使用共用行政系統，但是大部分機關單位選擇採用。</p> <p>由於農業部主管的農林漁牧業，不同機關的業務性質比較複雜，行政系統例如公文也有各自業務上的不同需求，他們利用分群的概念，評估機關的業務屬性，將性質比較接近的畫分為同一群，共分為4大群，包括農業部本部、局署、改良場、試驗所，若各機關有進一步的調整需求，可以委託廠商客製化，如此一來節省成本。</p> <p>此外，資訊團隊還推出共用的架站系統，供各機關單位架設官網，這個架站系統提供標準化的模組，讓其他機關單位可以運用，快速建立及調整官網內容。</p> <p>這套架站系統也在非洲豬瘟防疫工作上發揮效用，當時農委會需要在立即整合各項資訊在官網宣導，資訊單位就利用這套架站系統，快速建置非洲豬瘟相關新聞、國內法規、因應策略、Q&A等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1181-%E6%96%87%E5%BD%AC-%E8%BE%B2%E6%A5%AD%E9%83%A8-600-1(2).jpg" style="width: 562px;" /></p> <p><span style="font-size:28px;"><strong>善用數位工具強化循證治理</strong></span></p> <p>傳統農業工作仰賴大量人力，現在面臨人力短缺，年齡較大的農民不會使用等問題，農業的e化管理不易推展，為了提高農業管理e化，資訊單位在2014年開發農務e把抓App，讓農戶可透過App設定每塊耕地的地號，種植的作物，制定耕作歷，每天按計畫執行農務工作，讓農家透過手機或平板電腦就能掌握農地的工作進度，該App還運用拍照、打卡的社群網路概念，讓農家可以拍照上傳農作情形，除了作為農家的耕作紀錄，也可進一步作為生產履歷，讓消費者檢視作物的生產過程。</p> <p>雖然立意良善，但農務e把抓推動成果並不理想，當時委託廠商與農會合作舉辦說明會向農家推廣，在2017年僅有4千公頃農地採用，相較於全國高達71萬公頃的農地，採用率相當低。</p> <p>蕭柊瓊認為由廠商推動成效相當有限，因此她找上農糧署，由農糧署召集各地分署代表，蕭柊瓊親自帶領團隊推廣App，剖析這些App對農民帶來的好處。</p> <p>蕭柊瓊以過去發生颱風或水災，需要派人現地勘查掌握耕地的資訊情形，如果推廣農戶使用該App，留下耕作紀錄，節省地方政府派人現地勘查成本，後來獲得農糧署的支持，使用農務e把抓App的農地面積快速增加，第3年已增加至4萬公頃，現在有超過20萬公頃農地使用，即使扣除重覆計算，估計仍超過15萬公頃農地。</p> <p>另外，資訊團隊也利用資訊科技，提高對受災農戶的救助、補助作業效率，以往農戶提出救助申請，需由地方政府派人前往現勘，安排人工現勘每塊受災農地損失需花費較長的時間，資訊部門開發天然災害現地照相App，結合智慧型手機的GPS定位及雙鏡頭照相功能，不同於傳統GPS定位手機所在的位置，App能讓農民用手機拍下受到災害的農地，籍由GPS及雙鏡頭，結合拍攝者高度，計算拍照農地的地籍資料，上傳至系統申請農地災損補助。</p> <p>這項功能讓農戶可以自行拍照上傳，作為申請補助的佐證，但是依照法規需派人現場勘查，因此農糧署調整法規，讓農民得以數位工具提供佐證申請補助，在農糧署協助推廣下，現地照相App也逐漸獲得地方政府支持，去年屏東縣遭受颱風肆虐，縣府即鼓勵受災農民使用App拍照申請補助。</p> <p>「資訊司對外沒有手腳！一定要農糧署協助推廣才能快速推廣」，蕭柊瓊有感而發地說，IT單位自行推廣的效果有限，必需和業務單位緊密合作才能有效向外推廣。</p> <p><span style="font-size:28px;"><strong>善用數位科技強化農業循證治理</strong></span></p> <p>農業部現在也積極運用數位科技強化農業的循證治理。臺灣的稻作，每年在一期、二期稻作之間，還有裡作，為農民在二期稻作結束後，在隔年一期作還沒開始之前，農民利用裡作種植蔬菜，因此農業主管機關需要掌握農地的耕作動態，過去除了依靠人力現地勘查，也安排人工駕駛飛機從南到北，從空中拍攝農地取相，以掌握農地耕作動態。</p> <p>為此，資訊團隊還開發一套街景調查方法，在機車架設GoPro，以較慢的時速騎在農地小路，每2秒拍攝360度的周邊影像，資訊司運用裁切、AI影像辨識技術，現在已能辨識稻米、部分的雜糧及果樹等作物，目前正在增加可辨識的作物種類，至於機車難以到達的農地，以無人機空拍取相，搭配AI辨識農作。針對AI難以辨識的作物，由人工現場勘查。</p> <p>結合農民自行使用App拍照上傳農作資訊，以及人工駕駛飛機或無人機航拍、機車街景調查，蒐集資訊建立農地動態資料庫，當農民申請災害補助或是農業保險，根據農民上傳的數位證據，例如鳳梨田或稻田受災，農業部可以農地動態資料庫作為佐證，驗證受災農地是否真的種植稻米或鳳梨，加快對農民的協助及補助。</p> <p>不論是農地災害補助或是目前推動的農業保險，都需要蒐集資料追蹤更新農地耕作動態，「循證治理就是有證據的治理，通過數位工具蒐集資料作為佐證，能減輕傳統現地勘災的人力負擔，尤其是未來人力愈來愈缺乏，更需要導入數位工具協助治理」，蕭柊瓊說。</p> <p>過去幾年資訊司開發各種農務管理App，並和內政部測繪中心合作建立地籍圖，運用飛機航拍及AI影像辨識技術，建立農地動態資料庫，以及作物分布的坵塊圖，整合內部資料建置農民關聯式資料庫，加上地方政府及地區農業單位的支持，蕭柊瓊認為這些過去資訊部門的努力並沒有白費，現在天時地利人和，成為發展循證治理的有利條件。</p> <p>過去仰賴人工拿著紙本紀錄勘查結果，難免出錯或被遭人質疑，她認為循證治理則能夠提出證據，因此她常和同事分享，「只要有一點點改變，就能讓工作更有效率，調查更精確，管理也變得更好，為什麼不這樣做呢？」。</p> <p>蕭柊瓊開玩笑地說，自己過去在農業貿易部門「流浪」20年，再回到資訊單位，但不管在哪裡，她就像一位傳教士，總是不厭其煩對資訊團隊、委外廠商灌輸觀念，「農業的資訊部門要有獨特性，必需了解臺灣農業真正需求，才能讓臺灣農業數位化發展往前走。」蕭柊瓊強調。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1181-%E6%96%87%E5%BD%AC-%E8%BE%B2%E6%A5%AD%E9%83%A8-600-2.jpg" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p>●機關名稱：農業部</p> <p>●地址：臺北市中正區南海路37號</p> <p>●成立時間：2023年8月由農委會改制為農業部</p> <p>●主要業務：負責全國農業，農業資源永續利用、畜牧業及動物保護、農業科技、國際農業貿易合作、農業資訊管理等政策及法規。所屬機關督導農林漁牧業、自然保育、水土保持與農村發展、農田水利、農業金融與農業保險及農業技園區。另外，還督導農林水產畜牧作物產品及藥物試驗研究及推動。</p> <p>●機關首長：陳駿季</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：資訊司長</p> <p>●資訊部門主管姓名：蕭柊瓊</p> <p>●資訊部門人數：近30人</p> <p>●資訊部門分工：下設創新應用科、資訊規畫科、資訊服務科3科</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2019年：建置農業資料中心，整合本部暨所屬機關軟硬體共用資源。因應非洲豬瘟防疫需求，建置活豬暨屠體運輸車輛查核管理系統。建置整合農民關聯資料庫系統，整合本部及所屬機關的農民往來資料。</p> <p>●2020年：建立農業雲端架站平臺。</p> <p>●2021年：建置農業無人機飛行任務協作機制。</p> <p>●2022年：推出農產業天然災害現地照相App，勘災人員可以App拍照、定位地籍資訊，並將資料同步上傳救助系統，提升勘查效率。</p> <p>●2023年：發表智慧農業感測資料格式標準及測試規範，推動資料格式標準化，提升農業物聯網應用。配合食農教育法，規劃建置食農教育資訊整合平台，供外界運用。與氣象署合作建置農業氣象資料中心，提供低延遲氣象分析網格與高解析度氣象預測資訊，深化農業氣象跨域應用、促進資訊交換及服務推廣等三大面向，以加強極端氣候下的防災與調適，提升農業韌性。</p> <p>●2024年：推動中央與地方協作建置農地動態資料庫，運用飛航遙測影像、AI辨識技術，建立循證治理操作機制。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1181-wen_bin_-nong_ye_bu_-960.jpg" width="960" height="420" alt="" title="農業部資訊司長蕭柊瓊" /></div></div></div>
2024/5/10 06:00作者蘇文彬https://www.ithome.com.tw/people/162778
【資安日報】5月9日，BIG-IP Next集中控管系統的高風險漏洞有可能被用於建立隱藏帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近2年以來，可集中管理大量系統的平臺成為攻擊者偏好下手的目標，原因是這類平臺可控制的系統數量更多，一旦成功入侵，駭客可能因此獲得大量初期入侵與持續活動的據點。其中一個去年被駭客大肆針對的品牌F5，他們推出了下一代平臺BIG-IP Next，企圖提升安全性。</p> <p>然而，這個新平臺的核心元件BIG-IP Next Central Manager，近期被發現評為高風險層級的漏洞，揭露此事的研究人員指出，IT人員若不儘速處理，駭客能設置透過管理主控臺所無法檢視的「隱形」帳號，用來進行攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162779"><strong style="font-size: 22px;">繼德國、捷克控訴俄羅斯駭客APT28攻擊，波蘭也證實政府機關受害</strong></a></p> <p>上週末德國聯邦政府（Bundesregierung）、捷克外交部（MFA）發布公告，指控受到俄羅斯軍情單位GRU指使的駭客組織APT28（也被稱做Forest Blizzard、Strontium）攻擊，對方利用Outlook漏洞攻擊國內的企業組織，引發歐盟、北約組織（NATO）、美國聯手譴責，最近又有國家傳出受害。</p> <p>根據路透社的報導，5月8日波蘭國家研究院（National Research Institute，NASK）表示，該國政府機關近日遭到惡意軟體攻擊，根據入侵指標並比對過往的資安事故，NASK認為攻擊者就是APT28。對此，他們呼籲企業組織的網路管理員應進行確認，員工是否遭遇相關攻擊。</p> <p><a href="https://www.ithome.com.tw/news/162782"><strong style="font-size: 22px;">惡意程式載入工具HijackLoader透過動態解析迴避端點防護系統偵測</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig_6_hijackloader.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig_6_hijackloader.png" style="width: 300px; float: right;" /></a>資安業者Zscaler指出，他們在去年7月公布惡意軟體載入工具HijackLoader（也稱做IDAT Loader），經過持續改進，強化迴避偵測的能力，現在這個工具能夠更長期運作而不被發現。</p> <p>這些新功能包括：將惡意程式及相關武器加入Microsoft Defender的白名單、繞過使用者帳號控制（UAC）措施、採用處理程序挖空（Process Hollowing）手法，此外，對方亦針對端點防護系統（編按：這裡應指EDR系統）經常鎖定的內部API掛鉤進行迴避。</p> <p>針對迴避防毒軟體偵測的方式，研究人員指出，他們看到開發者運用名為Heaven's Gate的攻擊手法（在64位元電腦執行32位元處理程序，目的是隱匿API呼叫），並加入動態API解析、檢查處理程序黑名單、使用者模式掛鉤迴避能力。</p> <p><a href="https://www.ithome.com.tw/news/162780"><strong style="font-size: 22px;">採用WordPress快取外掛LiteSpeed Cache的網站注意！濫用2月底揭漏的漏洞的攻擊行動升溫</strong></a></p> <p>2月底資安業者Patchstack公布WordPress網站快取外掛程式LiteSpeed Cache漏洞，編號為CVE-2023-40000，此為跨網站指令碼（XSS）漏洞，CVSS風險評分達到8.3至8.8，網站加速產品供應商LiteSpeed Technologies發布5.7.0.1版予以修補，然而近期卻傳出鎖定尚未修補的WordPress網站的攻擊行動。</p> <p>提供WordPress網站資安掃描工具的WPScan提出警告，他們呼籲使用LiteSpeed Cache的網站管理員應儘速進行檢查，是否出現名為wpsupp-user的管理員帳號，原因是他們發現4月份鎖定該漏洞的攻擊行動出現顯著增加的情況。</p> <p>他們根據網頁應用程式防火牆（WAF）的事件記錄，這波攻擊分別在4月2日、27日出現高峰，其中掃描存在漏洞的來源IP位址次數最多的是94.102.51[.]144，總共有1,232,810次請求，其次是31.43.191[.]220，有70,472次請求。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://about.ascension.org/news/2024/05/network-interruption-update"><strong style="font-size: 20px;">醫療保健系統Ascension遭遇網路攻擊，將部分系統關閉因應</strong></a></p> <p></p> <p>◆<a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/790816/000119312524133132/d824906d8k.htm"><strong style="font-size: 20px;">房地產公司Brandywine Realty Trust傳出遭遇勒索軟體攻擊，部分業務應用系統運作受到影響</strong></a></p> <p></p> <p>◆<a href="https://www.usg.edu/news/release/notice_of_data_breach"><strong style="font-size: 20px;">針對去年發生的MOVEit零時差攻擊事故，喬治亞大學系統證實80萬人資料流出</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162774"><strong style="font-size: 22px;">BIG-IP Next集中控管系統存在高風險漏洞，攻擊者有可能取得管理控制權、建立隱藏帳號暗中行動</strong></a></p> <p>5月8日F5針對旗下的管理主控臺元件BIG-IP Next Central Manager發布20.2.0版，當中修補2項高風險漏洞CVE-2024-21793、CVE-2024-26026，這些漏洞存在於20.0.1至20.1.0版，CVSS風險評分皆為7.5，一旦遭到利用，攻擊者就能在未經身分驗證的情況下，藉由該系統的API執行惡意SQL敘述句（Statements），來觸發上述漏洞。</p> <p>通報漏洞的資安業者Eclypsium指出，攻擊者只要遠端利用上述其中任何1個漏洞，就可以存取BIG-IP Next Central Manager管理主控臺的圖形操作介面，從而得到完整的管理權限。</p> <p>值得留意的是，若是對方再透過其他手段，在BIG-IP Next Central Manager管理的BIG-IP Next系統建立新帳號，這些帳號將無法從Next Central Manager檢視，換言之，攻擊者可利用這種帳號暗中從事攻擊行動，且難以被察覺。</p> <p><a href="https://www.ithome.com.tw/news/162777"><strong style="font-size: 22px;">研究人員揭露NetScaler設備高風險漏洞，問題類似去年爆發的Citrix Bleed漏洞</strong></a></p> <p>資安業者Bishop Fox透露，他們在今年1月下旬發現Citrix NetScaler ADC及NetScaler Gateway記憶體越界讀取漏洞，並指出該漏洞存在於該系統進行身份驗證、授權、稽核（AAA），以及遠端存取的元件，影響13.1-50.23版NetScaler ADC及NetScaler Gateway，對此，Citrix向研究人員回覆，他們後續推出的13.1-51.15版已不受影響。</p> <p>值得留意的是，他們也提及該漏洞與去年造成重大災情的Citrix Bleed（CVE-2023-4966）幾乎一樣，因為新漏洞出現在閘道或AAA虛擬伺服器處理HTTP伺服器請求，與Citrix Bleed形成的原因完全一樣，差別是新漏洞危害較輕，不會直接洩露高度敏感的資訊。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://dl.acm.org/doi/10.1145/3620666.3651382"><strong style="font-size: 20px;">新的Spectre推測執行攻擊手法Pathfinder鎖定Intel處理器，能洩露加密金鑰</strong></a></p> <p></p> <p>◆<a href="https://source.android.com/docs/security/bulletin/2024-05-01"><strong style="font-size: 20px;">Google發布5月份安卓例行更新，修補重大漏洞</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162656"><strong style="font-size: 22px;">微軟、Google公布推動Passkey的成果</strong></a></p> <p>5月2日是今年的世界密碼日（World Password Day），微軟與Google都在當天發表各自推動通行密鑰（Passkey）上的成果。其中，微軟宣布開始支援微軟個人帳號的通行密鑰，而Google則說，迄今已有4億個Google帳號執行逾10億次的通行密鑰身分驗證。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162773"><strong>【5月8日】多明尼加COVID-19疫苗接種資訊外流，影響82萬人</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162751"><strong>【5月7日】執法單位預告將揭露勒索軟體駭客組織LockBit首腦身分</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162725"><strong>【5月6日】德國與捷克證實去年遭遇俄羅斯駭客APT28利用特定Outlook漏洞攻擊事故</strong></a></p> </div></div></div>
2024/5/9 17:52作者周峻佑https://www.ithome.com.tw/news/162785
行政院通過打詐專法，Google、Meta等網路廣告平臺未盡防詐義務最高開罰2,500萬元，嚴重者可限制流量或阻擋連結
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院今天（5/9）通過外界期待的「詐欺犯罪危害防治條例」，也就是俗稱的打詐專法，未來將連同其他法規，包括洗錢防制法、科技偵查及保障法、通訊保障及監察法，合稱打詐新四法，一起送到立法院審議。在新的打詐專法中，明訂金融、電信、數位產業的打詐義務，其中在數位產業方面，要求Google、Meta等網路廣告平臺業者在臺設立法律代表，依法配合防詐，若情節嚴重者最高可罰2,500萬元，未改正者由專家審議，祭出停止解析或限制接取等重罰。</p> <p>行政院制定打詐專法，以彌補先前由各目事業主管機關祭出行政處罰的不足，因此針對打詐需求制定專法，內政部聯合法務部、金管會、NCC、數位部共同研擬。例如在執法面，規定犯罪者刑責、提高假釋門檻，以自首或窩裡反獎勵等等；而在產業面，制定金融防詐、通訊防詐、數位產業防詐的相關規範，明訂各產業應盡義務及罰則。</p> <p><span style="color:#B22222;"><strong>網路廣告平臺應盡防詐義務，罰款最高2,500萬元</strong></span></p> <p>在數位產業方面，數位部指出，專法規定數位產業防詐的義務，受管理的對象包括網路廣告平臺、電商業者、第三方支付業者、網路連線遊戲業者，其中網路廣告平臺業者例如Google、Meta、Line等，而電商業者例如Momo、蝦皮、Yahoo!購物等，第三方支付業者例如ECPay等，網路連線遊戲業者，包含點數發行業者，例如遊戲橘子等。</p> <p>其中網路廣告平臺業者，如為境外業者，必需指定在臺的法律代理人，可以是自然人或法人，包括律師或會計師事務所，以解決過去境外平臺業者難以納管的問題。另外，專法也要求網路廣告平臺刊出廣告必需揭露資訊，例如廣告主及標示偽造或AI生成內容。平臺業者還必需驗證廣告主及出資業者身分，訂定防詐計畫及透明度報告。</p> <p>網路廣告平臺執行詐欺廣告處理或通報，包括移除、限制瀏覽、停止播放及暫停涉詐用戶服務，協助政府機關移除詐欺廣告及訊息，避免民眾接觸詐欺廣告；詐欺訊息需在收到主管機關、檢警通知後下架，並需在收到司法檢察或警察機關通知後，3日內提供資料。（圖片來源：數位部）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0508_%E9%98%BB%E8%A9%90%E9%A0%98%E5%9F%9F%E5%B1%95%E9%96%8B-04-600.jpg" style="width: 600px; height: 600px;" /></p> <p>值得注意的是，在打詐專法裡，稱網路廣告平臺業者為達到一定規模者，但並沒有說明一定規模的門檻，數位部現階段並沒有提出規模的具體標準是多少，可能等待打詐專法獲立法院審議通過後，再研擬規模門檻。</p> <p>數位部數位產業署副署長林俊秀表示，為了鼓勵數位產業業者配合，設有免除保密及避風港條款，也就是業者執行防詐工作，免除其保守祕密的義務，當對其他用戶造成損失，也不負損害賠償責任。</p> <p>但是相對的，罰責部分，針對網路廣告平臺業者未依通知下架詐騙廣告，罰鍰分為三級，最高可處罰2,500萬元，情節嚴重者，甚至經專家審議結果，可以流量管制或阻擋連結。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0508_%E9%98%BB%E8%A9%90%E9%A0%98%E5%9F%9F%E5%B1%95%E9%96%8B-05-600.jpg" style="width: 600px; height: 600px;" /></p> <p>對於電商、網路連線遊戲業者、第三方支付業者防詐義務相似，例如要求業者加強用戶KYC身分查核，加強控管措施，例如詐欺宣導、延後撥款、拒絕或停止服務，並且建立同業聯防機制，還有保存紀錄資料提供給司法警察機關，以利調查。</p> <p><span style="color:#B22222;"><strong>虛擬資產業者納入金融防詐</strong></span></p> <p>金管會也配合研訂涉及金融機構的內容，共計7條條文。「涉及到詐欺犯罪過程中的金流跟幣流，我們都會納進來控管。」金管會銀行局副局長童政彰在例行記者會上說明，這7條條文除了規範金融機構，也特別納入虛擬資產服務的事業或人員（VASP）。除了要求業者控管信用卡和存款帳戶，也納入新興的金融支付工具，如電子支付帳號和虛擬資產帳號。</p> <p>童政彰指出，專法目的是避免金融服務淪為歹徒犯罪的工具，業者本身也需做好識詐、防詐的宣導工作。金融業者應做好風險控管，包含事前客戶身分的審查，事中相關金流的追蹤，還有事後發現異常必要的管控措施，包括暫停交易、拒絕提供服務，此外，也建立同業照會制度，讓金融業者做好防詐。</p> <p>專法也要求金融業者需保留相關資料及交易紀錄，包含事前客戶身分審查、金流等資料，提供予司法警察機關。金融業者依照司法警察機關的通知，對可疑帳戶進行管控，以遏止不法交易的進行。其他規定還包括建立金警聯防機制，金融業者收到司法警察機關通知後，透過聯防通報阻斷犯罪集團的資金流竄，包括虛擬資產，依司法警察機關通知，返還民眾遭詐款項。（圖片來源：金管會）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%87%91%E8%9E%8D%E9%98%B2%E8%A9%90-600.jpg" style="width: 600px; height: 338px;" /></p> <p>根據異常交易相關規範，不法交易帳戶分為兩大類，第一類帳戶為警示帳戶，警察可直接通知銀行，將帳戶列為警示帳戶。第二類帳戶可稱為可疑帳戶，涵蓋八種可疑情況，範圍十分廣泛，包括許多類型案例。</p> <p>「但在實務在操作上，我們沒有辦法即時管控第二類帳戶。」童政彰舉例說明，過往銀行進行臨櫃關懷，成功阻擋用戶將錢匯入可疑帳戶，卻因為沒有犯罪事實和被害人，導致警方無權要求銀行業者控管該可疑帳戶。因此，專法中的第九條特別設置通報機制，當司法警察機關接獲業者通報後，可根據刑事偵辦的資料，快速通知其他業者控管可疑帳戶，提升可疑帳戶的控管機制。</p> <p>針對業者如何在實務中與警方建立聯防機制，童政彰表示，銀行公會將會組成工作小組，邀請業者和司法機關交換意見，研議實務上的操作細節，包括同業間的照會機制、司法警察機關和金融業者間的通報機制等。</p> <p>另外，打詐專法也賦予金融業者執行防詐工作時，免除金融業者保守祕密的義務，並且提供避風港條款，例如不慎凍結無關他人帳戶，可不負賠償責任。童政彰指出，不論是免除保密義務或避風港條款，目的都是要讓金融業者能全力做好防詐工作。相對地，業者如果沒有配合，例如沒有提供相關資料或交易紀錄、未建立聯防通報，處罰20萬以上、200萬元以下罰鍰，情節重大者，罰鍰可至5倍。</p> <p><span style="color:#B22222;"><strong>電信業加強落實KYC，針對詐欺用戶可停斷話</strong></span></p> <p>至於通訊產業方面，NCC說明對電信業者的4項防詐義務，包括落實電信服務的核對登錄制度、防堵疑似詐欺行為及用戶、防止電信服務任意轉讓、控管高風險用戶濫用電信服務。</p> <p>NCC法律事務處副處長謝佩穎指出，電信業者落實對用戶的KYC，核對登錄身分證明文件，當電信業者收到司法警察機關通知，疑似詐欺或確定從事詐欺的用戶，需對該用戶重新KYC，限制及停止其電信服務，即停斷話。對於曾因詐欺被停止電信服務的用戶，針對這類高風險用戶可能濫用服務，限制該用戶申請電信服務數量。</p> <p>另外，針對境外高風險電信業者的國際漫遊，俗稱黑莓卡，國內電信需確認使用者是否有入境資料，無入境者則不提供服務，如果臨櫃提供身分資料經核對登入者則為例外，至於有入境者提供電信服務，但如果發現異常使用行為，也會限制及停止其電信服務。</p> </div></div></div>
2024/5/9 18:22作者蘇文彬https://www.ithome.com.tw/news/162783
惡意程式載入工具HijackLoader透過動態解析迴避端點防護系統偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了迴避資安系統的偵測，部分惡意軟體採用拆解架構、分為多個階段的執行方式，開始運作時，才會透過載入器下載需要的內容，再進行後續行動，例如投放其他惡意軟體，而提供這類功能的工具通常被稱為惡意軟體載入器（Loader），資安廠商持續追蹤的HijackLoader（也稱做IDAT Loader）正是其中一種工具，它是<a href="https://www.zscaler.com/blogs/security-research/technical-analysis-hijackloader">自去年開始出現的</a>，開發者採取模組化設計，使得該工具可加裝指定模組來進行程式碼注入、執行命令，並且能在受害電腦植入多種惡意軟體。<a href="https://www.zscaler.com/blogs/security-research/hijackloader-updates">研究人員在3月至4月看到新的變種</a>，並指出攻擊手法變得更加隱密。</p> <p>資安業者Zscaler指出，他們在去年7月公布此惡意軟體載入工具，如今對方陸續進行改進，強化迴避偵測的能力，而能活動更長的時間不被發現。</p> <p>這些新功能包括：將惡意程式及相關武器加入Microsoft Defender的白名單、繞過使用者帳號控制（UAC）措施、採用處理程序挖空（Process Hollowing）手法，此外，對方亦針對端點防護系統（編按：這裡應指EDR系統）經常鎖定的內部API掛鉤進行迴避。</p> <p>針對迴避防毒軟體偵測的方式，研究人員指出，他們看到開發者運用名為Heaven's Gate的攻擊手法（在64位元電腦執行32位元處理程序，目的是隱匿API呼叫），並加入動態API解析、檢查處理程序黑名單、使用者模式掛鉤迴避能力。</p> <p>而對於此惡意程式載入工具的運用，研究人員指出他們看到主要是散布名為Amadey的惡意軟體，有52.9%攻擊行動與此有關。</p> <p>其他藉此投放的惡意程式，多為竊資軟體，其中又以<a href="https://www.ithome.com.tw/news/160011">Lumma</a>最為大宗，占23.5%，但也有散布Meta Stealer、Racoon、Rhadamanthys，以及RAT木馬程式Remcos的情況。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fig_6_hijackloader.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig_6_hijackloader.png" style="width: 580px;" /></a></p> </div></div></div>
2024/5/9 17:24作者周峻佑https://www.ithome.com.tw/news/162782
繼德國、捷克控訴俄羅斯駭客APT28攻擊，波蘭也證實政府機關受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週末<a href="https://www.ithome.com.tw/news/162700">德國聯邦政府（Bundesregierung）、捷克外交部（MFA）發布公告</a>，指控受到俄羅斯軍情單位GRU指使的駭客組織APT28（也被稱做Forest Blizzard、Strontium）攻擊，對方利用Outlook漏洞攻擊國內的企業組織，引發歐盟、北約組織（NATO）、美國聯手譴責，最近又有國家傳出受害。</p> <p>根據路透社的報導，<a href="https://www.reuters.com/technology/cybersecurity/poland-says-it-was-targeted-by-hacking-attack-russia-linked-group-apt28-2024-05-08/">5月8日波蘭國家研究院（National Research Institute，NASK）表示</a>，該國政府機關近日遭到惡意軟體攻擊，根據入侵指標並比對過往的資安事故，NASK認為攻擊者就是APT28。對此，他們呼籲企業組織的網路管理員應進行確認，員工是否遭遇相關攻擊。</p> <p>但對於有多少政府機關受害，以及對方所使用的攻擊手法、惡意軟體名稱，NASK並未進一步說明。</p> </div></div></div>
2024/5/9 15:32作者周峻佑https://www.ithome.com.tw/news/162779
採用WordPress快取外掛LiteSpeed Cache的網站注意！濫用２月底揭漏的漏洞的攻擊行動升溫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月底資安業者Patchstack公布WordPress網站快取外掛程式LiteSpeed Cache漏洞，<a href="https://patchstack.com/articles/xss-vulnerability-in-litespeed-cache-plugin-affecting-4-million-sites/">編號為CVE-2023-40000</a>，此為跨網站指令碼（XSS）漏洞，CVSS風險評分達到8.3至8.8，網站加速產品供應商LiteSpeed Technologies發布5.7.0.1版予以修補，然而近期卻傳出鎖定尚未修補的WordPress網站的攻擊行動。</p> <p>提供WordPress網站資安掃描工具的WPScan提出警告，他們呼籲使用LiteSpeed Cache的網站管理員應儘速進行檢查，是否出現名為wpsupp-user的管理員帳號，原因是他們發現4月份鎖定該漏洞的攻擊行動出現顯著增加的情況。</p> <p>他們根據網頁應用程式防火牆（WAF）的事件記錄，這波攻擊分別在4月2日、27日出現高峰，其中掃描存在漏洞的來源IP位址次數最多的是94.102.51[.]144，總共有1,232,810次請求，其次是31.43.191[.]220，有70,472次請求。</p> <p>對此，WPScan也提供清理受害網站的方法，並公布來源惡意URL與IP位址的特徵，關於攻擊者建立管理員帳號的方式，也被他們找出模式：大多利用JavaScript惡意軟體來進行。</p> </div></div></div>
2024/5/9 16:19作者周峻佑https://www.ithome.com.tw/news/162780
研究人員揭露NetScaler設備高風險漏洞，問題類似去年爆發的Citrix Bleed漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Bishop Fox透露，<a href="https://bishopfox.com/blog/netscaler-adc-and-gateway-advisory">他們在今年1月下旬發現Citrix NetScaler ADC及NetScaler Gateway記憶體越界讀取漏洞</a>，並指出該漏洞存在於該系統進行身份驗證、授權、稽核（AAA），以及遠端存取的元件，影響13.1-50.23版NetScaler ADC及NetScaler Gateway，對此，Citrix向研究人員回覆，他們後續推出的13.1-51.15版已不受影響。</p> <p>針對這項漏洞，研究人員指出，一旦NetScaler設備配置為閘道或AAA虛擬伺服器，攻擊者就有機會遠端竊取敏感資訊，過程中無須通過身分驗證。他們認為對方有機會從記憶體還原特定資料，因為研究人員觀察到NetScaler設備洩露POST請求的現象，而這種請求很有可能內含帳密資料或是cookie。</p> <p>值得留意的是，他們也提及該漏洞與去年造成重大災情的Citrix Bleed（CVE-2023-4966）幾乎一樣，因為新漏洞出現在閘道或AAA虛擬伺服器處理HTTP伺服器請求，與Citrix Bleed形成的原因完全一樣，差別是新漏洞危害較輕，不會直接洩露高度敏感的資訊。</p> <p>雖然研究人員1月25日向Citrix通報此事，該廠商回應該漏洞確實存在，但他們隨後在2月2日表示，1月16日上架的13.1-51.15版不受影響。然而在<a href="https://docs.netscaler.com/en-us/updates?product=NetScaler-ADC-%28includes-NetScaler-Gateway%29&version=13.1&build=51.15">相關發行公告文件</a>裡，表明該版本僅針對<a href="https://support.citrix.com/article/CTX584986/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve20236548-and-cve20236549">CVE-2023-6548、CVE-2023-6549</a>兩項資安漏洞進行修補。</p> <p>這可能有幾種情況，例如：該公司有可能已得知此弱點並著手處理，但並未向用戶公告，或者，他們認為這並非資安漏洞，而沒有公開相關資訊。對此，新聞網站<a href="https://www.darkreading.com/cyber-risk/citrix-addresses-high-severity-flaw-in-netscaler-adc-and-gateway">Dark Reading</a>、<a href="https://www.csoonline.com/article/2098805/citrix-quietly-fixes-a-new-critical-vulnerability-similar-to-citrix-bleed.html">CSO Online</a>推測，Citrix應該是悄悄對NetScaler進行修補。</p> </div></div></div>
2024/5/9 15:13作者周峻佑https://www.ithome.com.tw/news/162777
鈺登跨入AI，推出搭配英特爾四代Xeon SP與Gaudi2的伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/edgecore_networks_ags8200_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年台北國際電腦展即將於6月初登場，有些臺灣IT廠商會在活動前一個月發布新聞稿，部分用意是告訴全世界他們即將在此展示新推出的產品與技術，請順便逛逛這些公司的網站，或許會有意外的發現。</p> <p>例如，最近我們在追查Wi-Fi 7產品消息時，意外看到網路設備廠商鈺登科技（Edgecore Networks）在5月2日，宣布推出該公司第一款Wi-Fi 7基地臺EAP105，而在查看他們的網站時，赫然發現產品分類選單當中，除了標榜長期發展的雲端資料中心、服務供應商、企業、光纖、作業系統等各式網路解決方案，竟然多了「AI/ML」的類別，這裡包含AI交換器（也就是我們<a href="https://www.ithome.com.tw/review/159203">去年10月報導的800GbE交換器</a>），竟然還有AI伺服器，大大顛覆我們對該公司的既有認知！</p> <p><a href="https://s4.itho.me/sites/default/files/images/Edgecore Networks AGS8200 overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Edgecore%20Networks%20AGS8200%20overview.jpg" style="width: 200px;" /></a></p> <p>這款AI伺服器的產品名稱是AGS8200，採用8U尺寸的機箱，搭配兩顆<a href="https://www.ithome.com.tw/tech/155638">英特爾第四代Xeon Scalable處理器</a>，以及8個OAM外形的AI加速器<a href="https://www.ithome.com.tw/review/155484">Gaudi2</a>。由於Gaudi2在MLCommon提交的多次測試結果，例如，MLPerf Training <a href="https://habana.ai/blog/since-habanas-last-mlperf-submission/">2.0</a>、<a href="https://habana.ai/blog/habana-gaudi2-makes-another-performance-leap-on-mlperf-benchmark/">2.1</a>、<a href="https://habana.ai/blog/new-mlcommons-results-highlight-impressive-competitive-ai-gains-for-intel/">3.0</a>、<a href="https://www.intel.com/content/www/us/en/newsroom/news/new-gaudi-2-xeon-performance-ai-inference.html#gs.8jg8u4">4.0</a>，均有相當優異的效能與性價比表現，而引發整個AI應用市場關注。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AGS8200-F-Storaage.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AGS8200-F-Storaage.jpg" style="width: 245px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AGS8200-B-Port.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AGS8200-B-Port.jpg" style="width: 298px;" /></a></p> <p>然而，市面上的Gaudi2伺服器選擇並不多，第一波於2022年推出的產品，搭配的處理器是<a href="https://www.ithome.com.tw/tags/%E7%AC%AC%E4%B8%89%E4%BB%A3xeon-scalable">英特爾第三代Xeon Scalable系列</a>，例如，Supermicro的SYS-820GH-TNR2、緯穎科技的SV600G2，到了2023年，開始出現搭配英特爾第四代Xeon Scalable系列處理器的Gaudi2伺服器，例如，<a href="https://www.ieisystem.com/about/news/10655.html">浪潮信息的NF5698G7</a>、<a href="https://www.kaytus.com/product/ai/12100.html">Kaytus的KR6298V2</a>、<a href="https://www.dataknox.io/gpu-servers/5698m7">Dataknox的5698M7</a>（這三款機型規格完全一樣）。</p> <p>如果想採購臺灣廠商生產的Gaudi2伺服器，而且希望搭配英特爾第四代Xeon Scalable系列處理器，AGS8200的出現，顯然提供市場更多選擇。在今年3月，與鈺登科技合作的德國網路設備加值服務廠商<a href="https://stordis.com/open-networking/revolutionizing-ai-ml-edgecores-ags8200/">Stordis</a>，率先在當地展覽展示他們新推出的AI伺服器AGS8200。</p> <p><a href="https://stordis.com/product-category/switching/ai-ml/"><img alt="" src="https://s4.itho.me/sites/default/files/images/Stordis_Edgecore%20Networks%20AI%20Solutions.jpg" style="width: 600px;" /></a></p> <p>鈺登科技表示，基於<a href="http://www.ithome.com.tw/review/159203">本身800GbE AI交換器</a>，了解到企業應用需要整個系統的解決方案，所以推出EdgecoreAI系列產品，預計5月中下旬發表AGS8200相關的新聞稿，並將於<a href="https://www.edge-core.com/event/join-edgecore-at-computex-2024-enabling-the-connectivity-of-the-ai-revolution/">Computex展示</a>，屆時將介紹他們的AI整體解決方案，包含採用Broadcom Tomahawk 5晶片的800GbE交換器、AI伺服器、光纖網路，以及開放網路作業系統SONiC。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Edgecore AI solutions.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Edgecore%20AI%20solutions.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Edgecore Networks AGS8200</strong><br /> ●原廠：鈺登科技<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：8U<br /> ●處理器：2顆，Intel第四代Xeon Scalable系列Xeon Platinum 8454H<br /> ●記憶體：32個DDR5-4800，插滿128 GB，可達到4 TB<br /> ●儲存配置：16臺2.5吋硬碟或固態硬碟+8臺NVMe固態硬碟，8臺2.5吋硬碟或固態硬碟+16臺NVMe固態硬碟，機箱內部有2臺M.2固態硬碟<br /> ●I/O擴充介面：8個PCIe介面卡插槽插槽（6個全高、2個半高）、1個OCP 3.0裝置插槽<br /> ●電源供應器：8臺（系統搭配1+1臺2700瓦，GPU搭配3+3臺3000瓦），最高使用5700瓦<br /> ●風扇：14+1臺，支援熱插拔<br /> ●加速器配置： 8臺Intel Gaudi HL-225H（OAM夾層卡）<br /> ●網路介面：6個400GbE（QSFP-DD）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/5/9 15:57作者李宗翰https://www.ithome.com.tw/review/162767
搶搭Ampere架構末班車？輝達推出新款入門級工作站GPU
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_rtx_a1000_main1.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年以來，Nvidia在專業繪圖處理器產品線當中，持續推出採用<a href="https://www.ithome.com.tw/tags/nvidia-ada-lovelace">Ada Lovelace架構的筆電與桌上型工作站GPU</a>，單就今年第一季，他們發表<a href="https://www.ithome.com.tw/review/161465">桌上型工作站GPU產品RTX 2000 Ada Generation，以及筆電GPU產品RTX 1000 Ada Generation、RTX 500 Ada Generation</a>，然而，令人意想不到的是，他們在4月中新發表的產品，居然是回頭採用上一代架構Ampere的RTX A1000與RTX A400，而且，特別的是，Nvidia現在就公開這兩款產品的詳細技術規格，而且在他們<a href="https://store.nvidia.com/en-us/">網站的線上市集</a>也直接亮出價格，分別為365美元與135美元。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia RTX A1000 Price.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20RTX%20A1000%20Price.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Nvidia RTX A400 Price.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20RTX%20A400%20Price.png" style="width: 298px;" /></a></p> <p>事實上，可安裝在筆電工作站的RTX A1000，早在2022年上半推出，而Nvidia最新推出的RTX A1000，則是可安裝在桌上型工作站的產品，目前已登錄在彙整所有輝達專業繪圖處理器的產品資料表，應該會先上市，Nvidia表示，將透過PNY、Ryoyo Electric等<a href="https://www.leadtek.com/cht/products/workstation_graphics(2)/NVIDIA_RTX_A1000(51012)/detail">代理商</a>供應全球市場，RTX A400預計5月開始供應通路銷售。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia Professional Graphics-2024-04-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Professional%20Graphics-2024-04-2.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20RTX%20A1000%20PNY.jpg" style="width: 600px;" /></p> <p>這兩款GPU均配備第三代Tensor核心、第二代RT核心，以及Ampere架構的CUDA核心，記憶體容量各為8 GB與4 GB，並且搭配NVENC第7代編碼引擎、NVDEC第5代解碼引擎，也支援AV1多媒體視訊編碼的解碼處理，熱設計功耗（TDP）均為50瓦。</p> <p>相較於輝達現行採用Ada Lovelace架構與Ampere架構的專業繪圖處理器，大多採用雙槽外形、PCIe 4.0 x16介面，RTX A1000與RTX A400卻是唯二採用單槽外形、PCIe 4.0 x8介面的產品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia Ampere ProGraphics.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Ampere%20ProGraphics.jpg" style="width: 600px;" /></a></p> <p>單就RTX A1000而言，相較於上一代款式T1000，運算效能大幅提升。</p> <p>根據Nvidia的內部測試數據，在生成式AI處理的部分（Stable Diffusion），RTX A1000的相對效能可達到T1000的3.6倍，主要是因為新品內建72顆Tensor核心；在著色處理的部分（Arnold Render Test），相對效能可達到3.2倍，主要是因為新品內建18顆RT核心；在繪圖處理的部分（SPECviewperf），新品效能增長至1.7倍；在2D與3D電腦輔助設計（CAD）的部分（SolidWorks 2022），新品效能提升至1.5倍。</p> <p>而在多媒體視訊的處理上，Nvidia表示，RTX A1000用於串流編碼時，速度提升38％，解碼的效能增長更顯著，可達到2倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia RTX A1000 Performance.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20RTX%20A1000%20Performance.png" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Nvidia RTX A1000</strong><br /> ●原廠：Nvidia<br /> ●建議售價：365美元<br /> ●CUDA處理核心數量：2,304個<br /> ●Tensor Core數量：72個<br /> ●RT Core數量：18個<br /> ●內建記憶體容量：8 GB GDDR6<br /> ●記憶體頻寬：192 GB/s<br /> ●連接介面：PCIe 4.0 x8<br /> ●支援NVLink：否<br /> ●單精度運算效能：6.7 TFLOPS<br /> ●外觀尺寸：單槽半高全長<br /> ●DisplayPort埠：Mini DisplayPort 1.4a版規格，4個<br /> ●耗電量：50瓦<br /> ●支援繪圖處理API：Shader Model 6.6、OpenGL 4.6、DirectX 12、Vulkan 1.3<br /> ●支援運算處理API：CUDA 11.6、DirectCompute、OpenCL 3.0</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/5/9 14:38作者李宗翰https://www.ithome.com.tw/review/162752
Arm財報出爐，營收成長47%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發半導體架構與設計的<a href="https://investors.arm.com/static-files/0c5f0128-b149-4196-9ef6-3c618ec2782b" target="_blank">Arm周三（5/8）公布</a>其截至今年3月31日的2024財年第四季財報，該季Arm創下9.28億美元的營收，成長47%，每股盈餘為0.36美元，高於分析師預期，但因對長期的展望趨於保守，使得該公司當天盤後股價下滑了8.97%，跌至96.56美元。</p> <p>在9.28億美元的營收中，有4.14億美元屬於授權與其它營收，比去年同期成長60%，而專利使用費則占了5.14億美元，成長37%，該季基於Arm技術的晶片出貨量達到70億個。由於Arm主要收取專利與技術授權費用，使其毛利率高達97%。</p> <p>Arm指出，授權與其它營收的大幅成長，來自於該季出現了許多新的ATA（Arm Total Access）合約，再加上外界對其自資料中心至邊緣電腦的AI應用需求升溫所致。至於專利營收的成長則是源自於智慧型手機的銷售，與Arm v9架構的滲透力。</p> <p>不過，採用Arm技術的晶片出貨量在該季比去年同期減少了10%。Arm解釋，這主要是受到工業IoT的庫存調整影響，不過，僅管IoT晶片的產量非常大，但價格相對較低，因此並未對Arm的收入帶來太多影響。</p> <p>目前Arm的全球員工數為7,096名，該公司人力在一年來增加了19%，且有高達83%為工程師。</p> <p>儘管Arm對本季或長期的展望都略高於或等於分析師的預期，但或許是因為市場對Arm的期望太高，也有人擔心AI相關股價的漲幅已超過其合理價格，而令Arm盤後出現跌勢。</p> </div></div></div>
2024/5/9 14:42作者陳曉莉https://www.ithome.com.tw/news/162776
提供14G傳輸效能與雙IoT頻道，HPE將於7月推出Wi-Fi 7基地臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_aruba_networking_730_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在多家廠商推出企業級Wi-Fi 7基地臺之後，HPE Aruba Networking終於在今年4月底宣布推出首款產品730系列，預計7月上市，若要管理這批機型，需透過以SaaS訂閱服務型態的雲端管理平臺HPE Aruba Networking Central來進行。</p> <p>首先是Wi-Fi網路效能的突破，單就6 GHz這個頻段而言，730系列基地臺可提供的無線通訊容量，號稱比其他競爭產品增加30％，能連接的物聯網設備數量也增加1倍。</p> <p>基本上，若是2.4 GHz、5 GHz、6 GHz這3個頻段同時啟用的狀態下，730系列基地臺匯集所有頻寬的資料傳輸率為9.3 Gbps，未來隨著系統軟體平臺的版本更新，它們也可設置為2個5 GHz，或是2個6 GHz，資料傳輸率最高可達到14.4 Gbps（5 GHz + 6 GHz + 6 GHz）。在此之前，縱觀企業級Wi-Fi 7基地臺產品，唯有<a href="https://www.ithome.com.tw/review/161329">Extreme Networks的AP5020</a>，提供這類支援軟體定義無線通訊模式的功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE 6GHz Wi-Fi models.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%206GHz%20Wi-Fi%20models.jpg" style="width: 600px;" /></a></p> <p>除此之外，這批產品支援超級三頻濾波技術（Ultra Tri-Band，UTB），可消除5 GHz與6 GHz鄰近頻段的干擾，得以更順暢地同時使用這兩個頻段，獲取更大的無線網路效能與容量。UTB並非全新推出的技術，首度亮相是<a href="https://www.ithome.com.tw/review/146062">在2021年登場的Wi-Fi 6E基地臺630</a>系列，而在隔年發表的另一款Wi-Fi 6E基地臺650系列，HPE Aruba Networking更詳細說明<a href="https://blogs.arubanetworks.com/industries/the-wi-fi-6e-challenges-6-ghz-ultra-tri-band-filtering/">UTB的運作方式</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Managing 5 GHz—6 GHz channel interference.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Managing%205%20GHz%E2%80%946%20GHz%20channel%20interference.png" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Wi-Fi6E_challenge_blog4.png" style="width: 480px;" /></p> <p>在此同時，這批基地臺具備多種資安防護機制，以硬體而言，該公司的Wi-Fi基地臺大多都內建信任平臺模組（TPM），能以安全的方式存放身分憑證、金鑰、開機程式碼，具備防偽機制，也提供Kensington防盜鎖插槽。</p> <p>而在軟體控管的部分，它們提供政策存取控管與網路第7層防火牆，可搭配雲端網路端點防護解決方案HPE Aruba Networking Central Client Insights，藉此提升企業對於物聯網活動的掌握能力，以及自動化的動態網路分段（Dynamic Segmentation），以便針對使用者與物聯網設備執行角色存取控管。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Aruba Central Client Insights.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Aruba%20Central%20Client%20Insights.jpg" style="width: 600px;" /></a></p> <p>關於連線加密與身分驗證的部分，730系列支援WPA、WPA2、WPA3，以及Enhanced Open等規格。</p> <p>以WPA系列而言，它們支援搭配商用國家級安全演算法（CNSA）的WPA3 Enterprise，以及支援對等同時驗證（SAE）的WPA3 Personal，提供註冊使用者裝置的安全自助式服務，可用於園區網路環境；而在WPA2的部分，它們支援多個預先共用金鑰（MPSK），可簡化WPA2裝置的通關金鑰管理，一旦修改單臺設備的Wi-Fi密碼或設備類型，其他設備不需要手動處理變更。</p> <p>而在Enhanced Open的應用，通常搭配隨機無線加密（OWE）標準，當使用者透過730系列基地臺連至開放網路時，每個連線階段都會自動進行加密，以便防護輸入的密碼與存取的資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Aruba PSK.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Aruba%20PSK.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Aruba PSK Admin.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Aruba%20PSK%20Admin.jpg" style="width: 600px;" /></a></p> <p>此外，HPE Aruba Networking將在此支援新的網路鏈結層加密機制MACsec，預計今年10月開始提供，如此一來，可將有線網路的這類型防護延伸至Wi-Fi基地臺（屆時將使用5GbE網路埠）。</p> <p>針對物聯網的應用，730系列基地臺支援藍牙5.4、Zigbee（802.15.4）這兩種無線通訊方式，整合全向式天線、提供兩個專屬通訊頻道，可支援高密度的物聯網環境部署需求；同時，這批基地臺本身內建兩個USB埠，可廣泛連接各種使用不同專屬協定的物聯網設備。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Aruba IoT connected.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Aruba%20IoT%20connected.jpg" style="width: 600px;" /></a></p> <p>而在天線配置上，它們提供整合、非永久設置的外部天線搭配選項，可用於無線通訊較困難的環境當中。</p> <p>在集中管理的作業上，企業在此可透過HPE Aruba Networking Central提供的IoT Operations儀表板，加速裝置註冊流程的進行，而不需要為了不同物聯網廠商設置高度重疊的專屬層疊網路。而且，730系列基地臺可作為物聯網設備的連接器與內部網路處理元件，直接與第三方的物聯網服務溝通。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Aruba IoT Operation.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Aruba%20IoT%20Operation.jpg" style="width: 600px;" /></a></p> <p>在Wi-Fi裝置定位的服務上，730系列基地臺號稱是第一批採用新標準802.11az的產品，可提供1公尺以內範圍的位置感知服務，因應即時處理、身歷其境、工業等類型的應用案例，可實現具備自我定位感知能力的網路環境（self-location networks）。</p> <p>值得注意的是，這批基地臺也內建全球導航衛星系統（GNSS）接收器、支援L1頻段（1575.42 MHz）與L5頻段（1176.45MHz），能處理美國GPS、歐盟Galileo、俄羅斯GLONASS、中國北斗這4大系統的信號，同時，它們也配備氣壓感測器，提供精準度更高的室內定位測量能力，並且因應多樓層建築物執行不同海拔高度的定位機制，而能進行不同樓層平面位置分布的繪製。除此之外，它們也支援兩種近距離無線通訊：藍牙與Zigbee，可支援物聯網定位資料的雙向傳輸，可提升與使用者之間的互動（user engagement），也能用來追蹤重要資產是否持續放在應有的位置，減少損失。</p> <p>由於730系列需要承擔更多功能需求，HPE Aruba Networking也特別在這批產品當中，配置更大量的硬體資源，他們表示，比起上一代機型，SDRAM記憶體與快閃記憶體容量均增加1倍，以便在此執行多個不同應用專屬的容器，進而加速資料傳輸與本機資料處理能力，能夠密切掌握溫度或動作的即時狀態變化，產生更快的反應。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>HPE Aruba Networking 730系列</strong><br /> ●原廠：HPE Aruba Networking<br /> ●建議售價：廠商未提供<br /> ●機型：外部天線型AP‑734、內部天線型AP‑735<br /> ●支援無線網路標準：802.11a/b/g/n/ac/ax/be<br /> ●天線架構：6GHz、5GHz、2.4GHz均為2x2:2SS，MU-MIMO<br /> ●傳輸速度：最大匯聚頻寬14.4 Gbps（兩個6 GHz），6 GHz為5.8 Gbps，5 GHz為2.9 Gbps，2.4 GHz為688 Mbps<br /> ●連接埠：2個5 GbE埠（支援PoE）、2個USB 2.0埠<br /> ●供電方式：DC輸入（USB-C埠）或PoE<br /> ●整合其他無線通訊技術：BLE（藍牙5.4）、Zigbee<br /> ●作業系統平臺：HPE Aruba Networking Wireless Operating System AOS 10.7.0.0</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/5/9 13:58作者李宗翰https://www.ithome.com.tw/review/162692
BIG-IP Next集中控管系統存在高風險漏洞，攻擊者有可能取得管理控制權、建立隱藏帳號暗中行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月8日F5針對旗下的管理主控臺元件BIG-IP Next Central Manager發布20.2.0版，當中修補2項高風險漏洞<a href="https://my.f5.com/manage/s/article/K000138732">CVE-2024-21793</a>、<a href="https://my.f5.com/manage/s/article/K000138733">CVE-2024-26026</a>，這些漏洞存在於20.0.1至20.1.0版，CVSS風險評分皆為7.5，一旦遭到利用，攻擊者就能在未經身分驗證的情況下，藉由該系統的API執行惡意SQL敘述句（Statements），來觸發上述漏洞。</p> <p>通報漏洞的<a href="https://eclypsium.com/blog/big-vulnerabilities-in-next-gen-big-ip/">資安業者Eclypsium指出</a>，攻擊者只要遠端利用上述其中任何1個漏洞，就可以存取BIG-IP Next Central Manager管理主控臺的圖形操作介面，從而得到完整的管理權限。</p> <p>值得留意的是，若是對方再透過其他手段，在BIG-IP Next Central Manager管理的BIG-IP Next系統建立新帳號，這些帳號將無法從Next Central Manager檢視，換言之，攻擊者可利用這種帳號暗中從事攻擊行動，且難以被察覺。</p> <p>雖然這兩個漏洞的CVSS風險評分相同，但研究人員指出，他們認為SQL注入漏洞CVE-2024-26026較危險，因為在所有BIG-IP Next裝置的組態都含有這項弱點，攻擊者有可能直接用來繞過身分驗證流程。對此，他們也藉由該漏洞取得管理員帳號的密碼雜湊值，來進行概念性驗證（PoC）。</p> <p>另一個漏洞CVE-2024-21793，則是發生在BIG-IP Next Central Manager處理OData查詢的過程，從而允許攻擊者注入OData查詢過濾參數，而有可能洩露敏感資訊。值得一提的是，只有在BIG-IP Next系統啟用LDAP的情況下，才會出現這項弱點。</p> <p>除上述兩個漏洞，研究人員表示，他們其實一共通報了5個漏洞，但其他3個尚未登記CVE編號，也尚未進行修補。</p> <p>這些F5並未發布公告的漏洞，其中1個是可用來進行伺服器請求偽造（SSRF）呼叫任何裝置、卻未記載於說明文件的API，攻擊者只要能夠登入BIG-IP Next Central Manager，就有機會建立主控臺看不到的管理者帳號。</p> <p>另外兩個漏洞分別是：管理員密碼雜湊處理強度不足，而有可能遭到暴力破解攻擊；以及管理員能在不需輸入密碼的情況下，任意重設自己的密碼。一旦攻擊者結合其他漏洞進行利用，就有機會在無須知道管理員密碼的情況下，封鎖所有合法使用者帳號的存取。</p> </div></div></div>
2024/5/9 12:07作者周峻佑https://www.ithome.com.tw/news/162774
DeepMind發表可預測所有生命分子結構的AlphaFold 3模型，推出AlphaFold Server免費平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet 旗下的AI研究公司DeepMind與藥物發現公司Isomorphic Labs攜手，於周三（5/8）<a href="https://blog.google/technology/ai/google-deepmind-isomorphic-alphafold-3-ai-model/#life-molecules" target="_blank">發表了AlphaFold 3模型</a>，可用來預測所有生命分子的結構與相互作用，在預測蛋白質與其它分子類型的相互作用上，其準確率比現有的方法增加了50%。該研究已登上<a href="https://www.nature.com/articles/s41586-024-07487-w" target="_blank">《自然》（Nature）科學期刊</a>，同時DeepMind亦推出免費但僅供研究的<a href="https://golgi.sandbox.google.com/about" target="_blank">AlphaFold Server平臺</a>。</p> <p>不管是植物、動物或是人類的細胞內都有數十億個分子機器，由蛋白質、DNA與其它分子組成，它們無法獨立運作，因此只有藉由觀察它們如何在數百萬種組合中相互運作，才能真正理解生命的過程。</p> <p>DeepMind在2020年發表的<a href="https://www.ithome.com.tw/news/141398" target="_blank">AlphaFold 2</a>主要是提供蛋白質結構的預測，迄今全球已有超過數百萬的研究人員利用AlphaFold 2來發現瘧疾疫苗或癌症治療方式，在期刊上也被引用逾2萬次。而最新的AlphaFold 3模型也是奠基在AlphaFold 2上，只是將預測能力從蛋白質擴大至廣泛的生物分子，此舉將可開啟更多科學上的變革，包括開發生物可再生材料、更有彈性的作物，以及加速藥物設計與基因研究等。</p> <p>DeepMind指出，AlphaFold 3以前所未有的準確度預測所有生命分子的結構及相互作用，在蛋白質與其它分子類型的相互作用上，比現有預測方法的準確度提高了50%，而對某些重要的相互作用類別，準確度更提高了一倍。</p> <p>例如在AlphaFold 3針對普通感冒病毒（冠狀病毒OC43）中的刺突蛋白（7PNM）與抗體及單糖相互作用時的結構預測，與其真實結構準確匹配。提高人們對此類免疫系統過程的了解將有助於強化對冠狀病毒的認識，包括COVID-19在內，因而得以提高改善治療的可能性。</p> <p>AlphaFold 3可藉由預測藥物中常用的配體或抗體等分子與蛋白質之間的相互作用來改善藥物設計，DeepMind宣稱它在藥物的相互作用上比PoseBusters基準測設中最好的傳統方法還要準確50%，而且不必輸入任何的結構資訊，使得AlphaFold 3成為第一個超越物理生物分子結構預測工具的AI系統。</p> <p>同一天DeepMind也發表了免費的AlphaFold Server供研究人員使用，<a href="https://golgi.sandbox.google.com/about#what-biological-molecule-types-can-be-modeled-with-alphafold-server?" target="_blank">可用來預測蛋白質如何與細胞中的其它眾多分子相互作用</a>，每個任務最多只能包含5,000個Token，每天最多只能執行10個任務，禁止將輸出用於對接與篩選工具，也不能用來訓練機器學習模型或相關技術。</p> <p>DeepMind期望AlphaFold 3能夠改善人們對生物世界及藥物發現上的理解，而自DeepMind拆分的Isomorphic Labs也已開始與不同的製藥公司合作，以將該模型應用在現實世界的藥物設計。</p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/9ufplEgtq8w?si=ClRqhlHQr6fbpdrq" title="YouTube video player" width="560px"></iframe></div> </div></div></div>
2024/5/9 12:08作者陳曉莉https://www.ithome.com.tw/news/162775
針對Ivanti零時差漏洞攻擊事件，資安研究機構MITRE公布事故發生的完整過程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月19日<a href="https://www.ithome.com.tw/news/162443">資安研究機構MITRE證實遭駭</a>，對方透過一月份Ivanti公布的Connect Secure零時差漏洞，入侵他們用於研究、開發、原型設計的協作網路環境「網路實驗、研究及虛擬化環境（NERVE）」，最近該機構針對事故發生的過程，公布進一步的調查結果，<a href="https://medium.com/mitre-engenuity/technical-deep-dive-understanding-the-anatomy-of-a-cyber-intrusion-080bddc679f3">並指出攻擊者在作案過程中，運用多達5個後門程式及Web Shell</a>。</p> <p>5月4日MITRE指出，駭客先是透過Ivanti零時差漏洞繞過身分驗證流程，入侵NERVE得逞，接著藉由一個遭他們奪走的管理員帳號存取VMware虛擬化基礎架構，然後部署後門程式及Web Shell，以便持續存取NERVE並挖掘帳密資料。</p> <p>根據調查結果，這起攻擊行動最早可追溯到去年12月31日，對方在Ivanti設備植入了RootRot的Web Shell，以便將這類設備作為存取NERVE內部系統的跳板。此工具是中國駭客組織UNC5221製作，但MITRE並未明確指出這起事故是他們所為。</p> <p>到了1月4日，攻擊者對NERVE進行偵察，透過Ivanti設備與vCenter進行互動，並與ESXi主機建立連線，接著，對方利用遠端桌面連線（RDP）成功存取數個NERVE帳號，並藉由竊得的帳密存取使用者的瀏覽器書籤，並進行檔案共享，從而深入了解網路架構。</p> <p>次日（5日）駭客操縱虛擬機器（VM）並試圖控制基礎設施。對方利用竊得的管理者帳密資料，透過NERVE內部IP位址通過身分驗證，進行橫向移動。</p> <p>事隔兩天（7日），這些駭客再度存取虛擬機器，並部署另外兩個惡意酬載，它們分別是後門程式BrickStorm，以及名為BeeFlush的Web Shell，這些工具使得攻擊者建立C2通訊，並能執行任意命令。</p> <p>攻擊者利用名為vpxuser的預設帳號，以及vSphere的管理API，進行7次API呼叫並取得已掛載及未掛載的磁碟名單，然後切換成管理員帳號建立3個新的虛擬機器，用來部署前述的BrickStorm、BeeFlush。</p> <p>但值得留意的是，這起攻擊行動裡，駭客不光利用Ivanti的零時差漏洞，還濫用Connect Secure特定元件外傳竊得資料。</p> <p>根據系統記憶體的分析，MITRE發現11日對方策畫將竊得資料傳出，而暫存這些檔案的地方，竟是Ivanti裝置上的說明文件網站。此外，駭客上傳名為WireFire（或稱GiftedVisitor）的Web Shell，這是以Python打造的指令碼，可接收、執行命令。</p> <p>事隔一週，19日對方利用NERVE的內部IP位址，對一個稱做BushWalk的Web Shell發出網路連線的請求。之後，駭客從2月中旬至3月中旬，持續於NERVE活動，並進行橫向移動，試圖存取其他資源，但沒有成功。</p> </div></div></div>
2024/5/8 18:10作者周峻佑https://www.ithome.com.tw/news/162772
【資安日報】5月8日，多明尼加COVID-19疫苗接種資訊外流，影響82萬人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>醫療產業個資保護不力的情況，可說是不時有事故傳出，但過往這類事故造成的危害，大多是曝光個人的疾病及心理狀態，而帶來嚴重後果，鮮少會波及大量民眾。</p> <p>但最近一起資料外洩事故，有可能曝露整個國家的醫療能量。有人聲稱掌握82萬多明尼加民眾接種COVID-19疫苗的情況，資安業者Resecurity指出，攻擊者很有可能藉此得知該國醫療環境狀態，而將相關資訊彙整，用於發動後續攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162766"><strong style="font-size: 22px;">多明尼加傳出資料外洩，82萬人COVID-19疫苗接種資訊恐曝光</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2dd40d5020b26056344ea17df84dd3e3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2dd40d5020b26056344ea17df84dd3e3.png" style="width: 300px; float: right;" /></a></p> <p>近日有人在駭客論壇BreachForums聲稱掌握82萬名民眾的個人識別資訊（PII），而這些資料來自2018年5月與臺灣斷交的加勒比海島國多明尼加，資安業者Resecurity指出，這些資料與COVID-19疫苗接種資訊有關，內容涵蓋身分證字號、姓名、性別、戶籍、生日，以及疫苗接種資料。其中，針對疫苗接種的部分，資料包括劑量、接種地點、接種日期，以及疫苗的類型。</p> <p>研究人員指出，了解疫苗接種率及分布情況，很有機會進一步得知該國的醫療保康基礎設施、因應流行傳染病的能力、人口特徵的情況，而有機會成為駭客日後發動其他攻擊的情資。</p> <p><a href="https://www.ithome.com.tw/news/162770"><strong style="font-size: 22px;">英國國防部傳出資料外洩，部分退伍軍人的薪資資料流出</strong></a></p> <p>5月7日英國國防大臣格蘭．夏普斯（Grant Shapps）向下議院進行報告時，指出他們最近幾天察覺有部分武裝部隊的薪資系統遭到駭客入侵，在察覺這起資安事故之後，暫停處理所有付款，並隔離受害系統。而對於這起事故的攻擊者，他表示國防部掌握作案駭客組織的證據，不排除背後有國家勢力介入。</p> <p>而對於受害的系統，格蘭．夏普斯強調，此為完全與英國國防部核心網路分開的外部系統，且並未與軍方主要人資系統連線。該系統委由承包商經營，有證據指出相關作業存在潛在弱點，導致攻擊者容易找出存取的管道。</p> <p>根據英國國防部的初步調查，尚未發現相關資料遭到破壞的跡象，但他們也提及部分退伍軍人可能受到影響，並寄送電子郵件進行通知。</p> <p><a href="https://www.ithome.com.tw/news/162756"><strong style="font-size: 22px;">加拿大連鎖藥局London Drugs遭網路攻擊，79間門市暫停營業超過一星期</strong></a></p> <p>加拿大連鎖藥局賣場London Drugs在4月底傳遭勒索軟體攻擊，79家門市因此事件暫時關閉，直到5月5日重新開放了半數門市，最近5月7日他們預告，所有門市都將恢復營運。由於藥局超過一星期都無法營業，而且至今其藥房客戶還無法開新處方箋，持續引發外界關注。</p> <p>根據加拿大廣播公司電視台（CBC）報導指出，由於連鎖門市暫時關閉，許多顧客因此被拒於門外，但有藥劑師在藥局門口提供相關諮詢。CBC也引述當地資安專家說法，指出這是事件很可能遭遇某種勒索軟體的攻擊，並認為這次災情也將成為許多大公司的警訊。</p> <p><a href="https://www.ithome.com.tw/news/162772"><strong style="font-size: 22px;">針對Ivanti零時差漏洞攻擊事件，資安研究機構MITRE公布事故發生的完整過程</strong></a></p> <p>4月19日資安研究機構MITRE證實遭駭，對方透過一月份Ivanti公布的Connect Secure零時差漏洞，入侵他們用於研究、開發、原型設計的協作網路環境「網路實驗、研究及虛擬化環境（NERVE）」，最近該機構針對事故發生的過程，公布進一步的調查結果，並指出攻擊者在作案過程中，運用多達5個後門程式及Web Shell。</p> <p>5月4日MITRE指出，駭客先是透過Ivanti零時差漏洞繞過身分驗證流程，入侵NERVE得逞，接著藉由一個遭他們奪走的管理員帳號存取VMware虛擬化基礎架構，然後部署後門程式及Web Shell，以便持續存取NERVE並挖掘帳密資料。</p> <p>根據調查結果，這起攻擊行動最早可追溯到去年12月31日，對方在Ivanti設備植入了RootRot的Web Shell，以便將這類設備作為存取NERVE內部系統的跳板。此工具是中國駭客組織UNC5221製作，但MITRE並未明確指出這起事故是他們所為。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://lab.wallarm.com/cve-2024-2876-wordpress-plug-in-threatens-90000-websites/"><strong style="font-size: 20px;">WordPress電子郵件訂閱管理外掛已知漏洞出現攻擊行動，逾9萬網站曝險</strong></a></p> <p></p> <p>◆<a href="https://wpscan.com/blog/surge-of-javascript-malware-in-sites-with-vulnerable-versions-of-litespeed-cache-plugin/"><strong style="font-size: 20px;">WordPress網站快取外掛LiteSpeed Cache已知漏洞被用於攻擊行動</strong></a></p> <p></p> <p>◆<a href="https://www.zscaler.com/blogs/security-research/hijackloader-updates"><strong style="font-size: 20px;">惡意程式載入工具IDAT Loader透過動態解析迴避端點防護系統偵測</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/docgo-discloses-cyberattack-after-hackers-steal-patient-health-data/"><strong style="font-size: 20px;">行動醫療業者DocGo遭遇網路攻擊，病人健康資料外流</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/panda-restaurants-discloses-a-data-breach-after-corporate-systems-hack/"><strong style="font-size: 20px;">中式快餐連鎖集團Panda Restaurant傳出資料外洩</strong></a></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162760"><strong style="font-size: 22px;">美國公布勒索軟體駭客組織LockBit首腦身分</strong></a></p> <p></p> <p>11個國家的執法單位聯手於2月攻陷勒索軟體駭客組織LockBit，關閉相關的伺服器及加密貨幣帳戶，隨後他們宣布已掌握首腦LockBitSupps的身分，事隔2個月，執法單位更直接表明，<a href="https://www.ithome.com.tw/news/162739">將於世界協調時間（UTC）7日下午2時公開相關資料</a>。</p> <p>美國司法部於5月7日公布LockBit首腦的身分，是現年31歲的俄羅斯人Dmitry Yuryevich Khoroshev，並指控他違反26項法令。美國、英國、澳洲同日宣布對此人進行制裁。</p> <p>根據調查，Dmitry Yuryevich Khoroshev在2019年9月至2024年5月間擔任LockBit勒索軟體的開發者及管理員，將其打造成勒索軟體租用服務（RaaS），招募眾多的會員（Affiliate）來執行勒索軟體攻擊。此人建置了LockBit的基礎設施，提供部署勒索軟體所需工具，並負責維護專屬資料外洩網站。收到贖金後會員與首腦以8成、2成分贜。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162751"><strong>【5月7日】執法單位預告將揭露勒索軟體駭客組織LockBit首腦身分</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162725"><strong>【5月6日】德國與捷克證實去年遭遇俄羅斯駭客APT28利用特定Outlook漏洞攻擊事故</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162669"><strong>【5月3日】殭屍網路Goldoon鎖定D-Link家用路由器DIR-645老舊漏洞發動攻擊</strong></a></p> </div></div></div>
2024/5/8 18:41作者周峻佑https://www.ithome.com.tw/news/162773
OpenAI加入C2PA指導委員會，測試Deepfake圖像偵測工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/understanding-the-source-of-what-we-see-and-hear-online" target="_blank">OpenAI於周二（5/7）宣布</a>，已加入內容出處暨真實性聯盟（Coalition for Content Provenance and Authenticity，C2PA）的指導委員會，除了將擴大對C2PA的投資外，同一天亦開始測試Deepfake圖像偵測工具，協助使用者辨識內容是否出自AI。</p> <p><a href="https://c2pa.org/post/c2pa_initial_pr/" target="_blank">C2PA</a>是由微軟、Adobe、Arm、英特爾、BBC及Truepic在2021年的2月共同創立，這是個聯合發展基金會（Joint Development Foundation，JDF）專案，主要任務為制定技術標準以證明媒體內容的歷史、來源或出處，以解決不實資訊或內容詐欺等問題，因此，該組織替常見的格式制定來源規範，不管是圖像、影像、音訊或文字。現在的C2PA也成為AI時代的深偽技術（Deepfake）守門人，且<a href="https://c2pa.org/membership/" target="_blank">C2PA的陣容</a>也愈來愈龐大，包括AWS及高通等業者也都已加入。</p> <p>C2PA指導委員會的成員皆承諾要積極開發及推動內容憑證（Content Credential）的使用，於內容中嵌入憑證來建立使用者對數位內容的信任，為C2PA所設計的開放標準之一。該委員會的既有成員還包括Adobe、BBC、英特爾、微軟、Google、Publicis Groupe、Sony和Truepic 。</p> <p>今年初OpenAI就在由DALL·E 3生成的圖像中加入了C2PA的元資料，以記載該圖像的出處，本周OpenAI宣布未來也將把C2PA整合到影像生成模型Sora。</p> <p>除了C2PA之外，OpenAI也在開發新的技術來強化數位內容的完整性，包括部署防篡改的浮水印或是偵測分類器等工具，即日起便開放研究實驗室或非營利單位申請測試偵測分類器，以協助OpenAI評估分類器的有效性並分析其實際應用。</p> <p>根據OpenAI的內部測試，該分類器在辨識DALL·E 3作品或非AI作品上的準確度高達98%，只有不到0.5%的非AI生成圖像被標記來自DALL·E 3。不過，若要是區分圖像是來自DALL·E 3或其它AI模型，準確度就沒那麼高。</p> <p>此外，OpenAI也正將音訊浮水印整合到Voice Engine語音模型中，惟目前仍處於研究預覽階段。</p> </div></div></div>
2024/5/8 16:25作者陳曉莉https://www.ithome.com.tw/news/162769
英國國防部傳出資料外洩，部分退伍軍人的薪資資料流出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月7日英國國防大臣格蘭．夏普斯（Grant Shapps）向下議院進行報告時，<a href="https://www.gov.uk/government/speeches/defence-secretary-oral-statement-to-provide-a-defence-personnel-update-07-may-2024">指出他們最近幾天察覺有部分武裝部隊的薪資系統遭到駭客入侵</a>，在察覺這起資安事故之後，暫停處理所有付款，並隔離受害系統。而對於這起事故的攻擊者，他表示國防部掌握作案駭客組織的證據，不排除背後有國家勢力介入。</p> <p>而對於受害的系統，格蘭．夏普斯強調，此為完全與英國國防部核心網路分開的外部系統，且並未與軍方主要人資系統連線。該系統委由承包商經營，有證據指出相關作業存在潛在弱點，導致攻擊者容易找出存取的管道。</p> <p>究竟該系統存放那些資料？英國國防部表示，受害系統存放正規人員、預備役人員，以及部分近期退伍軍人的個資，包含姓名、詳細的銀行資料，部分亦含有地址。</p> <p>根據英國國防部的初步調查，尚未發現相關資料遭到破壞的跡象，但他們也提及部分退伍軍人可能受到影響，並寄送電子郵件進行通知。</p> <p>至於這起資安事故是否影響相關人員的權益？格蘭．夏普斯表示，4月份所有薪資皆已發放，但部分費用的支付會延遲，他們預計在5月10日撥款。此外，所有大額款項的發放並未受到影響。退伍運人的薪資、退休金也沒有受到波及。</p> </div></div></div>
2024/5/8 16:40作者周峻佑https://www.ithome.com.tw/news/162770
Akamai宣布將收購API安全業者Noname
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.akamai.com/newsroom/press-release/akamai-announces-intent-to-acquire-api-security-company-noname" target="_blank">美國資安業者Akamai周二（6/7）宣布</a>，準備以4.5億美元買下API安全業者Noname所有已發行的股權，雙方預計於今年第二季完成交易。</p> <p>API的全名為應用程式介面（Application Programming Interface），亦即不同電腦程式的交流介面，不過，它也是駭客的攻擊目標之一，不管是利用漏洞、假冒身分、錯誤授權，或者是發動服務阻斷攻擊等，進而造成資料外洩或服務中斷。至於Noname則針對不同的產業提供了確保API安全的各種解決方案，包括發現所有API、阻止API攻擊、測試API的漏洞、尋找敏感資料，以及簡化合規性等。Akamai的調查顯示，針對API的攻擊行動年成長率高達109%。</p> <p>Akamai表示，將Noname納入麾下一方面得以強化Akamai現有的API安全解決方案，加速Akamai滿足客戶的能力，另一方面也期望藉由Akamai已建立的銷售、行銷及合作夥伴資源，來擴大Akamai的服務規模。</p> <p>具體而言，Akamai計畫結合Noname的能力提供完整的API安全套件，協助客戶更容易發現影子API、檢查安全漏洞及發現攻擊行動，亦將迅速整合Noname功能至Akamai的應用程式及API平臺上。</p> <p>Noname創辦人暨執行長Oz Golan指出，結合Akamai與Noname的API安全產品之後，將可替不論是在雲端、原生邊緣、本地端或其它供應商平臺上的API提供保護能力。</p> <p>不過，根據<a href="https://techcrunch.com/2024/05/07/akamai-confirms-acquisition-of-noname-for-450m/" target="_blank">《TechCrunch》</a>的報導，Noname在2021年12月增資時的估值為10億美元，現在則縮水了一半。</p> </div></div></div>
2024/5/8 17:02作者陳曉莉https://www.ithome.com.tw/news/162771
多明尼加傳出資料外洩，82萬人COVID-19疫苗接種資訊恐曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日有人在駭客論壇BreachForums聲稱掌握82萬名民眾的個人識別資訊（PII），而這些資料來自2018年5月與臺灣斷交的多明尼加，資安業者Resecurity指出，<a href="http://www.resecurity.com/blog/article/leak-of-dominican-covid-vaccination-data-on-the-dark-web-is-enticing-for-cybercriminals-and-nation-state-actors">這些資料與COVID-19疫苗接種資訊有關</a>，內容涵蓋身分證字號、姓名、性別、戶籍、生日，以及疫苗接種資料。</p> <p>其中，針對疫苗接種的部分，資料包括劑量、接種地點、接種日期，以及疫苗的類型。</p> <p>而究竟賣家如何取得這些資料？研究人員表示仍不清楚，但他們看到論壇上的另一名駭客指出，這些資料與2022年4月當地旅遊業者Caribe Tours外流的有所交集。發起該攻擊的駭客組織是Kelvin Security，根據西班牙警方的調查，這些駭客從2020年發動超過300次網路攻擊。</p> <p>然而，資料的正確性有待確認，因為這名駭客與多明尼加政府的入口網站比對，發現身分證字號與姓名無法對應的情況。儘管如此，研究人員指出，這些是敏感的醫療健康資料，對駭客相當有價值。對於尋求經濟利益的駭客，能用來發起針對性的網路釣魚攻擊，或是進行保險詐欺，也可將資料賣給廣告業者。國家級駭客則能對於該國的疫苗資料進行情報收集。</p> <p>研究人員指出，了解疫苗接種率及分布情況，很有機會進一步得知該國的醫療保康基礎設施、因應流行傳染病的能力、人口特徵的情況，而有機會成為駭客日後發動其他攻擊的情資。</p> <p>對於這起資安事故，他們認為突顯駭客開始加強對拉丁美洲（LATAM）的攻擊力道，並引述專注美國醫療資訊法案的HIPAA Journal觀察，指出近期駭客偏好優先針對健康資料下手，原因是相較於其他個資，這類資料遭竊較難被發現，而能夠濫用的時間較長。</p> <p>不過，有資安新聞網站指出，這些資料還有可能被進一步濫用。例如，HackRead認為，取得這些資料的人士有可能利用錯誤訊息誤導民眾、操縱社會輿論，甚至還可能用來向政府盜領疫苗接種獎勵。</p> </div></div></div>
2024/5/8 14:57作者周峻佑https://www.ithome.com.tw/news/162766
美國起訴並制裁31歲的LockBit勒索軟體首領
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/opa/pr/us-charges-russian-national-developing-and-operating-lockbit-ransomware" target="_blank">美國司法部周二（5/7）揭露</a>了LockBit勒索軟體集團的首領身分，他是現年31歲的俄羅斯人Dmitry Yuryevich Khoroshev，除了指控他違反26項美國法令之外，美國、澳洲與英國也在同一天<a href="https://home.treasury.gov/news/press-releases/jy2326" target="_blank">宣布制裁Khoroshev</a>。</p> <p>根據調查，Khoroshev是在2019年9月至2024年5月間擔任LockBit勒索軟體的開發者及管理員，將LockBit打造成勒索軟體即服務（RaaS），招募了眾多的會員（Affiliate）來執行勒索軟體攻擊。Khoroshev建置了LockBit的基礎設施，提供部署LockBit所需的工具，並負責維護LockBit專用的資料外洩網站。從事攻擊的會員可獲得贖金的8成，另有2成則流向Khoroshev。</p> <p>在這幾年間，LockBit勒索軟體集團至少在120個國家發動攻擊，受害者超過2,500名，包括個人、小型企業、跨國公司、醫院、學校、非營利組織、關鍵基礎設施及政府機構等，自受害者取得的贖金超過5億美元，但受害者因受到攻擊所招致的損失則高達數十億美元。</p> <p>儘管各國已在今年2月<a href="https://www.ithome.com.tw/news/161379" target="_blank">聯手攻陷LockBit</a>，包括關閉相關的伺服器及加密貨幣帳戶，然而，LockBit卻積極地捲土重來，當中，Khoroshev依然扮演著重要的角色。這也使得美國祭出高達1,000萬美元的懸賞金額，鼓勵外界提供可將逮捕Khoroshev或將其定罪的資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0508-U_S_%20Department%20of%20State-reward-Dmitry%20Yuryevich%20Khoroshev-600.png" style="width: 600px;" /></p> <p>美國、澳洲及英國同聲宣布制裁Khoroshev，將凍結Khoroshev在各國境內的資產，並發布旅行禁令。</p> <p>就算LockBit力求復甦，但<a href="https://www.nationalcrimeagency.gov.uk/news/lockbit-leader-unmasked-and-sanctioned" target="_blank">根據英國的統計</a>，從今年2月破獲LockBit以來，境內每月的LockBit攻擊次數減少了73%，且實際的攻擊行動似乎是由較低階的會員所進行，影響程度較低。</p> <p>至於<a href="https://www.europol.europa.eu/media-press/newsroom/news/new-measures-issued-against-lockbit" target="_blank">歐洲刑警組織（Europol）</a>則說，它們現有握有超過2,500個LockBit勒索軟體的解密金鑰，並正分別與受害者聯繫以提供支援，受害者亦可透過<a href="https://www.nomoreransom.org/en/index.html" target="_blank">No More Ransom</a>查詢相關的解決方案。</p> </div></div></div>
2024/5/8 13:33作者陳曉莉https://www.ithome.com.tw/news/162760
加拿大連鎖藥局London Drugs遭網路攻擊，79間門市暫停營業超過一星期
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在我們日常生活周遭，若是習以為常的連鎖超商或藥局遭遇網路攻擊事件，而且一星期都無法營業，大家可能感到不可思議，不過，最近國際間就有這樣的狀況發生。</p> <p>加拿大連鎖藥局London Drugs在4月底傳遭勒索軟體攻擊，79家門市因此事件暫時關閉，直到5月5日重新開放了半數門市，最近5月7日他們預告，所有門市都將恢復營運。由於藥局超過一星期都無法營業，而且至今其藥房客戶還無法開新處方箋，持續引發外界關注。</p> <p>關於這次事件，London Drugs在社群平臺X持續公布事件因應的最新消息，<a href="https://twitter.com/LondonDrugs/status/1785336940080054748">他們表示，在4月28日發現遭遇網路攻擊</a>，出於謹慎考量，暫時關閉加拿大西部地區的所有實體門市。</p> <p>最近5月7日，<a href="https://twitter.com/LondonDrugs/status/1787537115829739809">London Drugs宣布</a>門市已逐漸恢復營運，但也說明由於店內系統復雜，需要與多個第三方供應商系統連接，而這些系統對於確保連接安全與順暢上，均有不同的要求，因此還要一段時間才能解決，例如，藥房客戶仍受系統連接問題影響，目前無法受理新處方箋。</p> <p>而根據加拿大廣播公司電視台（CBC）<a href="https://www.youtube.com/watch?v=gcAHLj6BQM8">報導</a>指出，由於連鎖門市暫時關閉，許多顧客因此被拒於門外，但有藥劑師在藥局門口提供相關諮詢。<a href="https://www.cbc.ca/news/canada/british-columbia/london-drugs-stores-remain-closed-1.7189160">CBC也引述當地資安專家說法，指出這是事件很可能遭遇某種勒索軟體的攻擊</a>，並認為這次災情也將成為許多大公司的警訊</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)London%20Drugs.png" style="width: 595px;" /></p> <p><strong>針對這次網路攻擊事件，加拿大連鎖藥局London Drugs在社群平臺X發文表示，除了先前已有40家門市重新開放營運，預計在5月7日將全數恢復。</strong></p> </div></div></div>
2024/5/8 11:57作者羅正漢https://www.ithome.com.tw/news/162756
蘋果發表M4晶片，更新iPad產品線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周二（5/7）發表了<a href="https://www.apple.com/tw/newsroom/2024/05/apple-introduces-m4-chip/" target="_blank">新一代的M4晶片</a>，並更新了iPad產品線，包括首個採用M4晶片的蘋果產品<a href="https://www.apple.com/tw/newsroom/2024/05/apple-unveils-stunning-new-ipad-pro-with-m4-chip-and-apple-pencil-pro/" target="_blank">iPad Pro</a>，以及採用M2晶片的<a href="https://www.apple.com/tw/newsroom/2024/05/apple-unveils-the-redesigned-11-inch-and-all-new-13-inch-ipad-air-with-m2/" target="_blank">iPad Air</a>。</p> <p>M系列是由蘋果自行設計的晶片，蘋果甫於去年10月才發表<a href="https://www.ithome.com.tw/news/159571" target="_blank">M3</a>，不到一年的時間就推出M4，外界揣測這是蘋果為了加速部署AI，以追上其它科技巨頭所訂定的策略。</p> <p>M4採用台積電的3奈米製程，由280億個電晶體組成，搭載最多10核心的CPU，包括4個效能核心與6個節能核心，兩者都具備強化的新一代機器學習（ML）加速器，而同樣搭載最高10核心的GPU則支援動態快取功能，以提高GPU的平均利用率。</p> <p>蘋果指出，M4擁有飛快的神經網路引擎（Neural Engine），這是專門用來加速AI任務的IP區塊，每秒可執行38兆次的運算，是A11 Bionic晶片的60倍快，再搭配CPU的ML加速器，高效能的GPU，以及更高頻寬的統一記憶體，使得M4成為超強的AI晶片。先前Haitong International Securities分析師Jeff Pu即曾表示，蘋果的AI伺服器將有賴M2 Ultra及M4的結合。</p> <p>率先採用M4的是iPad Pro，包括11吋及13吋版本，相較於上一代搭載M2晶片的版本，新版iPad Pro的CPU效能提升了1.5倍；M4的GPU亦替iPad Pro帶來全新的動態快取、硬體加速網格著色及光線追蹤等能力；在搭配更高統一記憶體頻寬下，執行Octane等專業算圖程式的效能最多可比M2快了4倍，且M4只需使用一半的電力即可提供相同的效能。</p> <p>此外，M4的神經網路引擎也令iPad Pro成為可支援AI運算的裝置，例如在Final Cut Pro中只要輕點一下就能輕鬆地分離4K影片中的主體及背景。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0508-M4-%20iPad%20Pro(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>儘管是最高階的iPad版本，但這兩款iPad Pro也是蘋果史上最輕薄的版本，它們的厚度約為5.1mm，重量分別只有444公克及579公克。</p> <p>11吋iPad Pro的最低售價為34,900元新臺幣，13吋則為45,900元新臺幣，值得注意的是，支援行動網路的iPad Pro移除了實體的SIM卡插槽，僅支援eSIM。</p> <p>同一天更新的iPad家族還有iPad Air，把原本使用的M1晶片升級至M2，包括11吋及13吋版本。M2版 iPad Air的速度比上一代快了50%，最低售價分別是19,900元新臺幣及26,900元新臺幣。</p> </div></div></div>
2024/5/8 12:40作者陳曉莉https://www.ithome.com.tw/news/162758
甲骨文公布AI開發助理Oracle Code Assist
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼微軟、Google、OpenAI、GitHub等公司之後，甲骨文也加入AI開發工具助理的競賽。甲骨文本周公布程式開發助理<a href="https://www.oracle.com/news/announcement/oracle-code-assist-can-help-developers-build-applications-faster-with-ai-2024-05-07/" target="_blank">Oracle Code Assist</a>，協助企業開發Java程式。</p> <p>Oracle Code Assist是以甲骨文雲端Oracle Cloud Infrastructure（OCI）模型為底層，為Java、SQL程式以及OCI上的應用開發優化。甲骨文強調這個開發助理以多種軟體程式庫訓練而成，並經過OCI服務API、程式設計模式、以及甲骨文自有Java、SQL、OCI，和該公司其他軟體如雲端商務應用NetSuite的SuiteScript等最佳實作（Best Practice）微調。它允許使用者以自然語言互動，為其在整個程式開發過程提供協助，包括程式碼生成、產生API文件或評論予以註解，並提供重點解釋，以便幫助開發人員了解開發原理、檢視或重構現有程式碼；它也能提供修改建議，或產生pull request以便將程式碼變更合併軟體程式庫中；這工具還能建立單元或功能測試，且支援多種測試input類型，提升程式碼品質。</p> <p>Oracle Code Assist還有一些進階功能，包括可整合企業的程式碼框架、函式庫或產業標準等提供客製化建議；篩檢自己產生的程式碼，以免用到不當授權的程式碼；或是將程式碼以新版函式庫更新。它也能根據企業軟體開發最佳實作檢查程式bug和效率低落之處。最後，這工具可整合OCI service API及最佳實作，為運行在OCI上的程式提供建議。</p> <p>Oracle Code Assist將可以外掛形式整合常見的開發環境使用，如JetBrains IntelliJ IDEA及微軟Visual Studio Code等。現有使用甲骨文雲環境開發人員現在已可啟用這工具，該公司說未來這工具也會以產品形式提供給外部開發人員，後者可能會需要付費。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/BCSNq6Bn89o?si=tqcdPwr-KF74dT5-" title="YouTube video player" width="560px"></iframe></div> </div></div></div>
2024/5/8 11:47作者林妍溱https://www.ithome.com.tw/news/162755
新創業者方案讓藍牙裝置直連衛星，欲取代寬頻網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一家名為<a href="https://hubblenetwork.com/blog/" target="_blank">Hubble Network</a>的美國新創公司開發出以衛星傳送地面裝置藍牙訊號，號稱比傳統寬頻網路覆蓋範圍更廣，且更省電。</p> <p>位於西雅圖的Hubble Network去年在A輪募資中，獲得創投公司Transpose Platform及Y Combinator等投資2000萬美元，今年3月該公司才發射了二顆衛星到近地軌道，這是其藍牙資料傳輸方案的一部分。這家新創公司宣稱，利用他們的專利技術，其低軌衛星可從600公里高空接收大小僅3.5mm的藍牙晶片發出的訊號。</p> <p>Hubble對<a href="https://techcrunch.com/2024/05/02/hubble-network-connects-a-bluetooth-chip-to-a-satellite-for-the-first-time/" target="_blank">Techcrunch</a>形容，其專利技術類似放大鏡，能將微弱的藍牙訊號放大並接收，使其有效傳輸距離放大到超過1公里。</p> <p>Hubble Network的方案訴求在解決寬頻網路的問題。根據該公司官網上說明，傳統網路無法覆蓋偏遠地區、很耗電、而且大規模舖設成本高昂。一般市售藍牙裝置只要更新軟體就能使用Hubble的方案，連到衛星網路，中間無需收發器。業者宣稱，和傳統寬頻網路相比，公司方案可全球覆蓋，但用電量及營運成本僅1/20及1/50，他們相信這是物聯網的革命，對每年全球銷售量達50億的藍牙裝置有深遠影響。</p> <p>Hubble指出，在產業應用上，其方案可用於農業，以低耗電、低成本的感測器取代昂貴的硬體，或是用於需要穩定通訊的國防應用。該公司表示已經在消費裝置、建築、基礎架構、供應鏈、物流及能源、國防產業與客戶展開測試。</p> <p>不過除了華麗的行銷說詞外，該公司官網並未提供任何傳輸率或傳輸速度的數據。</p> </div></div></div>
2024/5/8 11:58作者林妍溱https://www.ithome.com.tw/news/162757
IBM推出RedHat AI平臺，開源Granite模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM昨（7）日公布<a href="https://www.redhat.com/en/about/press-releases/red-hat-delivers-accessible-open-source-generative-ai-innovation-red-hat-enterprise-linux-ai" target="_blank">Red Hat Enterprise Linux AI（RHEL AI）</a>，讓企業用戶可在混合雲端開發、測試和部署生成式AI模型。</p> <p>RHEL AI為Red Hat首個基礎架構模型平臺，包含IBM研究院開源的大型語言模型（LLM）Granite及相關開發工具。IBM表示，整個解決方案將包成一個RHEL映像檔，可用於在混合雲上部署單一伺服器。RHEL也將整合到混合雲MLOPs平臺OpenShift AI中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0508-%20Red%20Hat%20Enterprise%20Linux%20AI-RHEL%20AI-2.png" style="width: 565px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Red Hat</span></span></p> <p>Granite是<a href="https://www.ibm.com/products/watsonx-ai/foundation-models" target="_blank">IBM研究院開發</a>的旗艦級decoder-only Transformer架構LLM，<a href="https://newsroom.ibm.com/2023-09-28-IBM-Announces-Availability-of-watsonx-Granite-Model-Series,-Client-Protections-for-IBM-watsonx-Models" target="_blank">去年9月發布</a>。Granite模型家族的4個模型可用於AI助理、財務應用、多語（英、西、葡、德、法語）翻譯，以及日文專用版本。</p> <p>包含在RHEL AI中的<a href="https://huggingface.co/ibm/granite-7b-base" target="_blank">Granite模型</a>則是IBM開源的<a href="https://research.ibm.com/blog/granite-code-models-open-source" target="_blank">Granite 70億模型（Granite-7b-base）</a>，它是Meta Llama2-7B基礎模型變種，是以2兆token資料集訓練而成，context length達4K tokens。</p> <p>除了Granite模型外，新方案還包含IBM研究院提供的模型訓練開發方法和工具，名為Large-scale Alignment for chatBots（LAB）。IBM說明，LAB方法使用分類指引（taxonomy-guided）的資料合成與新式多階段調校框架，可藉由減少人員標註及免除昂貴模型，降低AI模型開發門檻，也能藉由指明領域知識及技能、使用大量生成的資料來訓練、改進模型。</p> <p>配合在RHEL AI專案，Red Hat也設立以LAB開源社群InstructLab，藉由開源Granite模型吸引開發人員加入貢獻。</p> <p>RHEL AI除了單獨提供，也可包含在混合機器學習運行MLOPs平臺OpenShift AI中，以便在分散式叢集環境中大規模部署。開發人員可使用OpenShift的Kubernetes引擎來訓練並執行AI模型，並使用內建的MLOPs功能管理其生命周期。IBM開發工具watsonx.ai是在OpenShift AI上開發，將可基於RHEL AI能力得以提升AI開發資料管理、模型治理能力。</p> </div></div></div>
2024/5/8 10:19作者林妍溱https://www.ithome.com.tw/news/162754
博通宣布VMware Cloud on AWS服務銷售策略的重大調整，未來將不再由AWS直接銷售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日，有傳言VMware與AWS合作推出的VMware Cloud on AWS服務將會終止。有用戶收到AWS的<a href="https://aws.amazon.com/tw/vmware/migrationaccelerator/">促銷優惠，</a>可以將其託管在AWS的VMware Cloud on AWS服務遷移到原生AWS服務。AWS甚至還<a href="https://aws.amazon.com/tw/blogs/mt/migrate-vmware-virtual-machines-to-amazon-ec2-with-the-aws-application-migration-service-replication-agent/">發表文章</a>教用戶如何將VMware 的虛擬機器遷移到自家EC2。AWS一連串舉措，引起外界聯想，AWS未來是否將不再提供VMware Cloud on AWS服務。</p> <p>直到6日，博通執行長Hock Tan親上火線，在<a href="https://www.broadcom.com/blog/vmware-cloud-on-aws-here-today-here-tomorrow">官方部落格發表文章</a>，澄清VMware Cloud on AWS並未終止，將一如往常地持續為客戶提供服務，不過，他同時宣布了VMware Cloud on AWS服務銷售策略的重大調整，未來將不再由AWS或其通路合作夥伴負責銷售，而是由博通或其經銷商接手銷售。</p> <p>VMware Cloud on AWS是VMware與AWS在2016年推出的混合雲服務，讓企業可以在VMWare私有雲及AWS公雲的混合雲基礎架構上執行應用。2018年還推出政府雲的VMware Cloud on AWS版本。</p> <p>VMware Cloud on AWS的技術底層是的VMware SDDC軟體堆疊，可以將內部以vSphere為基礎的環境移轉並延伸EC2上執行的AWS公雲環境，加速企業往雲端遷移。AWS在2019年開始在臺灣提供VMware Cloud on AWS服務，因此在臺灣也有不少企業用戶。此外，中華電信也與AWS合作提供整合VMware Cloud on AWS上的服務。</p> <p>對於現有VMware Cloud on AWS 的用戶，博通提出一個過渡方案，對於那些按月付款的一年或三年訂閱的用戶，AWS 將繼續提供服務，直到其訂閱期限結束。在這之後，如果用戶希望繼續使用，則需要博通向進行續訂。</p> <p>Hock Tan最後強調，VMware Cloud on AWS提供與VMware Cloud Foundation (VCF) 相同的軟體，無論是在公有雲還是本地部署中，都能夠協助企業實現基礎架構的現代化，並以最佳的TCO達成此目標。</p> </div></div></div>
2024/5/8 09:04作者余至浩https://www.ithome.com.tw/news/162753
【資安月報】2024年4月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年4月的資安月報中，物聯網安全的發展態勢成一大焦點，國際間有兩則重要新聞，一是英國產品安全暨電信基礎設施法（PSTI Act）正式生效，一是FIDO聯盟揭露IoT身分識別FDO標準即將有首批認證產品出爐。</p> <p>特別的是，我們注意到，這兩個涉及IoT安全不同層面的新聞，其實在某種程度上有一重要共通點：要讓「預設密碼」安全問題真正消失！因此，2024年將會是一個重要的轉捩點。</p> <p>長期以來，大家應該已經注意到，絕大多數IoT裝置都存在預設密碼、通用密碼的情況，像是admin、1234、0000等，更糟糕的是，許多使用者都不會更改這些預設密碼。</p> <p>由於這些預設密碼，大多在產品說明書或網路上都查得到，甚至過往這類產品還有萬用工程密碼、帳密寫死的情形，這都給了網路犯罪者相當大的可乘之機。</p> <p>記得今年初，我們看到美國CISA新公布Secure by Design系列警報，當時有一則就是──敦促製造商拒用預設密碼，避免相關的濫用威脅。</p> <p>CISA明確指出，依據多年來的經驗，期待顧客在購買產品後去變更預設密碼，是不切實際的一件事，多數顧客並不會這麼作。因此，只有在產品設計製造階段，就要設法消除預設密碼存在這件事。</p> <p>然而，儘管多年來資安界提倡Secure by Design，這三四年來，IoT設備通過資安標準認證的態勢亦相當顯著，但大家更關注的是，全球各國IoT資安立法的進度，因為這會是更強的一股力道，來規範產品安全。</p> <h2><strong>英國PSTI法案生效，強制規範消費性IoT安全，違反最高罰1000萬英鎊或營業額4%</strong></h2> <p>為何我們前面說2024會是一大轉捩點？</p> <p>這是因為，在2020年提出的歐盟《網路韌性法》（Cyber Resilience Act），以及英國《產品安全暨電信基礎設施法》（PSTI Act），都將在2024年正式發布。</p> <p>尤其英國PSTI法案，已經率先在今年4月29日生效。這不僅標示著，在英國當地銷售的物聯網產品，都必需遵循這項法令。更重要的是，英國成為全球第一個強制消費性IoT裝置必需達到最低資安標準的國家，尤其是禁止使用通用預設密碼、弱密碼，別具意義。</p> <p>儘管在此之前，美國兩州已有相關立法，包括加州法案SB 327與奧勒岡州法案HB 2395，均在2020年生效，但以國家層級而言，英國顯然是更積極。</p> <p>而且，在英國帶頭之後，還有歐盟網路韌性法也即將正式通過，由於涉及了大半歐洲市場，因此同樣受矚目。目前最新消息是，歐盟網路韌性法已在立法程序最後階段，預計最近兩個月生效。</p> <p>大家可以想見的是，這些法案不只影響物聯網設備安全，更影響了各國物聯網資安立法，同時也影響著臺灣許多物聯網相關產業。</p> <p>以這次英國PSTI法案來看，有哪些重點值得關注？我們簡單列舉如下：</p> <p>首先，這項法案由英國產品安全與標準辦公室（OPSS）負責執行，其規範對象，針對了所有可連網的消費性智慧裝置，包括：智慧型手機／平板、連網攝影機、路由器，以及各式智慧家居產品（如智慧門鈴、嬰兒監視器、智慧家電），還有智慧穿戴設備等。</p> <p>其次，這項法案所設定最低的安全標準，主要聚焦3大重點，分別是：</p> <p>●每個產品的密碼必須是唯一的，或由產品使用者更改密碼設定。這意味著禁止通用密碼，並對密碼強度有相關要求，或是用戶在首次使用時，必須重新設置一組新的密碼。</p> <p>●產品製造商必須提供通報產品安全性問題的聯絡資訊</p> <p>●產品製造商必需以明確且透明的方式，將產品生命週期的資訊公布給消費者。</p> <p>更重要的是，若是違反PSTI法案，情節嚴重者最高可被罰款1000萬英鎊，或全球營業額4％作為罰款。</p> <h3><strong>解決預設密碼問題成定局，</strong>國<strong>際間還有更多IoT安全規範正在發展</strong></h3> <p>除了上述新聞事件，近一年來國際間其實還有諸多發展。</p> <p>例如，在美國方面，聯邦通訊委員會（FCC）去年下半宣布針對智慧裝置祭出<a href="https://www.ithome.com.tw/news/157860">US Cyber Trust Mark安全標章</a>；在亞洲方面，<a href="https://www.asiatoday.co.kr/view.php?key=20231214010008923">南韓今年初宣布與新加坡簽署物聯網安全認證體系MOU</a>。</p> <p>對於臺灣而言，雖然我國在2018年就由經濟部與NCC啟動了物聯網資安標章制度，並成為公部門優先採購的安全產品，但如何有進一步發展，是我們持續關注的焦點。</p> <p>至於即將正式發布的歐盟網路韌性法，4月4日也有新消息。最新發布的一份文件「<a href="https://www.enisa.europa.eu/publications/cyber-resilience-act-requirements-standards-mapping">Cyber Resilience Act Requirements Standards Mapping</a>」，聚焦將網路韌性法附件所列出的每一項基本要求，與現有的資安標準一一對應。這不僅可以評估現有標準的涵蓋範圍，還能評估哪些標準需要更新或修訂，以涵蓋CRA的所有要求，更重要的是，可以幫助製造商遵循網路韌性法，以及識別其產品需要符合哪些標準。</p> <h2><strong>無密碼身分識別持續受重視，</strong><strong>FDO認證產品今年出爐</strong></h2> <p>另一重要消息是，FIDO聯盟近年推動的IoT設備身分識別標準，如今即將有首波FDO（FIDO Device Onboard）認證產品問世。</p> <p>這項消息，FIDO聯盟於4月在臺舉辦FDO Taipei Workshop活動上首度宣布，我們在活動現場亦得知，不僅Intel、Red Hat、Dell、英飛凌（Infineon）等科技大廠看重FDO的發展，也有越南業者VinCSS積極打造相關應用，臺灣亦有工業電腦廠東擎科技積極參與，並有望成為首批通過FDO認證產品的業者。</p> <p>回顧過去幾年，FIDO聯盟在無密碼身分識別方式的推動上，先是提出了UAF、U2F與FIDO2標準，促進了線上服務登入可免記密碼，到了最近幾年，他們顯然是將焦點朝向IoT領域，推出FDO標準，期望透過建立一個新的IoT開放標準，讓物聯網裝置註冊可以更安全又有效率。</p> <p>這項FDO開放標準有何特性？簡單來說，可應用在物聯網設備啟用時的身分驗證，幫助降低人為導致的資安風險，例如在製造、零售、醫療等場域，可望擺脫傳統IoT布署過程存在人工作業、預設密碼的狀況。</p> <p>綜合來看，我們可以發現，解決IoT設備端的預設密碼安全問題，確實在2024年有重要進展。</p> <p>無論如何，大家可以想見的是，居家與產業環境中連接的物聯網設備是日益增長，讓攻擊者有可乘之機的狀況也會越多，因此，IoT安全性的變革至關重要。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/162149"><span style="color: rgb(178, 34, 34);">【資安週報】2024年4月1日到4月3日</span></a></strong></h2> <p>在這一星期IT界與資安界最重大的新聞，就是有開發人員意外發現了XZ/liblzma被植入後門的事件，紅帽也公布了XZ相關漏洞CVE-2024–3094，本期有多篇新聞與此事件有關。</p> <p>所幸的是，這次能夠及早揪出了這個潛藏的後門，目前只有部分Liunx版本受影響，影響層面還不是太廣，然而，這起針對開源軟體的供應鏈攻擊事件，正持續受到調查與探討。</p> <p>不只是意外發現的過程，後門植入的手法，更讓各界吃驚的是，涉及此事件提交的GitHub帳號，竟是從2021、2022年就開設帳號並逐漸取得原始XZ維護者的信任，這樣的潛伏歷程備受矚目，也再次引發各界對於開源軟體安全議題的探討。</p> <p>還有兩個Linux漏洞的揭露值得關注，一是名為Flipping Pages、涉及netfilter元件的漏洞，一是名為WallEscape、涉及util-linux 套件的漏洞。這兩個漏洞的修補，分別在今年1月底與3月底釋出，近期研究人員各自揭露漏洞細節與並利用場景，同時呼籲尚未因應的用戶盡速更新。</p> <p>在其他漏洞利用消息方面，使用AI框架Ray的企業組織需特別留意，去年11月底Anyscale揭露5個漏洞，唯有CVE-2023-48022漏洞沒有修補，甚至認定這並非漏洞，但如今有資安業者揭露已濫用該漏洞的攻擊活動ShadowRay。</p> <p>Google Pixel手機用戶也要當心，在Android的4月安全更新公告中，有兩個Pixel的資訊洩漏漏洞已有跡象受到針對性利用，分別CVE-2024-29745、CVE-2024-29748，本期資安日報尚未提及，在此補上。</p> <p>在最近的資安事件中，還有2則新聞我們認為值得重視，分別發生在美國網路安全暨基礎設施安全局（CISA），以及非營利組織OWASP基金會。我們整理如下：<br /> <span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">●</span>美國CISA亦受到年初Ivanti系統漏洞影響，駭客針對美國聯邦高風險化學關鍵設施，入侵CISA提供的化學品資安評估工具（CSAT），並成功部署了Web Shell，且另一關鍵基礎設施資安資訊工具CISA Gateway也受影響。<br /> <span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">●</span>以公布十大網站資安風險而廣為知名的OWASP基金會，最近發布資料外洩通知，說明2006至2014年的成員簡歷檔案可能外洩，原因出在一臺舊的維基（Wiki）網頁伺服器，當中存在組態配置不當的問題。</p> <p>此外，國內發生一起7所高中校務系統遭駭的事件，根據教育部公布的初步調查，我們認為，當中有兩個議題值得留意與警惕。一是關於駭客勒索的對象，並非這些學校，而是打造校務行政系統的亞昕資訊，另一是通用帳號密碼的問題，調查中發現駭客先入侵1所學校的系統，獲得登入該校務系統的帳密，但駭客利用同一組帳號密碼，也能成功登入其他6所學校的系統。另亞昕有其他說法，說明此事件影響單機版校務行政系統，並指出駭客是針對受害客戶的主機入侵。有待後續調查釐清。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/162288"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年4月8日到4月12日</span></strong></a></h2> <p>在這一星期的漏洞消息方面，包含微軟、SAP、Adobe、西門子、施耐德電機等每月例行安全更新修補釋出，Rust開發團隊修補CVSS滿分10分的重大漏洞，以及LG修補智慧電視多個漏洞，而且，傳出5個漏洞已遭利用的消息。</p> <p>（一）微軟修補了兩個已經遭利用的零時差漏洞，分別是涉及SmartScreen繞過的漏洞CVE-2024-29988，以及關於Proxy Driver欺騙的漏洞CVE-2024-26234。<br /> （二）臺廠D-Link停止維護的多款NAS機型被發現多個新漏洞，其中2個已遭利用，除了本周資安日報提及的漏洞CVE-2024-3273，還有<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-3272">CVE-2024-3272</a>也已經遭到利用。D-Link呼籲用戶應儘速淘汰這些設備。<br /> （三）另一個本周資安日報尚未提及的漏洞，是Palo Alto Networks週五揭露旗下防火牆產品的零時差漏洞<a href="https://www.ithome.com.tw/news/162282">CVE-2024-3400</a>，並計畫於14日釋出修補，然而，發現漏洞被利用於攻擊活動的情形最早在3月下旬。</p> <p>還有兩項漏洞的揭露也值得留意，一是影響多個專案的新型態HTTP/2漏洞遭揭露，已登記9個CVE編號，另一是有研究人員發現網頁伺服器元件Lighttpd漏洞曾在2018年被默默修補，不只影響AMI MegaRAC的BMC韌體，進而影響Intel、聯想伺服器廠商。</p> <p>在資安事件焦點方面，國內上市櫃接連遭遇資安事件的狀況備受矚目，等於短短一週內，就有5家公司發布資安重訊，涵蓋生技、旅遊、塑化、食品與光電等不同產業，我們整理如下：</p> <p>●4月7日，上櫃生技醫療業佰研說明旗下電商「無毒的家」會員資料外洩事件。<br /> ●4月8日，上櫃觀光餐旅業富野說明旗下分公司資訊系統遭受網路攻擊。<br /> ●4月9日，上市塑膠工業聯成說明發生網路資安事件。<br /> ●4月9日，上市食品工業聯華說明發生網路資安事件。<br /> ●4月11日，上市光電業聯合再生公告有部分系統遭受駭客攻擊，導致工廠停工。</p> <p>值得注意的是，聯華實業、聯成化科均屬於聯華神通集團（MiTAC-Synnex Group），而我們在今年2月也曾注意到該集團的通路大廠聯強有疑似遭駭的消息在流傳，是否有更多災情尚不得而知；富野是近兩個月第二度遭遇事件，該公司表示上次事件後已規畫資安強化作為，但需要更多時間建置，因此未能阻擋這次攻擊。關於聯合再生的後續狀況，<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=105433&SPOKE_DATE=20240412&COMPANY_ID=3576">我們在此補充，該公司隔日已對此事件發布重訊</a>更新近況，表示在確認工廠產線設備未受影響後，已於11日當日下午復工生產。</p> <p>綜觀這些事件的公告，我們認為，由於主管機關證交所對於資安事故揭露要求越來越嚴格，因此不只是資料外洩開始出現在上市櫃公司的重訊，企業對於事件後續狀況的揭露，也比過往要積極，雖然短期內會讓大家產生資安問題似乎發生得比過去密集的印象，然而，隨著企業資安威脅態勢越來越透明，這些攤在陽光底下的亂象才是真正反映現況，有助於大家正視問題！</p> <p>在關注臺灣資安事件之餘，國際間也有一些重大事件，包括：日本光學設備製造商Hoya傳出遭勒索軟體駭客組織Hunters International攻擊，遭索討1,000萬美元贖金，越南石油公司PV Oil遭到勒索軟體攻擊，以及智利資料中心IxMetro Powerhost遭遇勒索軟體SEXi攻擊。</p> <p>此外，全球還有多個資安威脅的最新態勢，我們特別注意到在金融業、媒體政要領域，各有一項需要慎防的威脅。</p> <p>●對於金融業而言，國際信用卡組織Visa發布資安通報，說明最近一波的惡意軟體JsOutProx攻擊，並呼籲發卡銀行、處理機構及相關單位需嚴加防範；<br /> ●對於手持iPhone的記者、官員或政治人物而言，蘋果最近發現部分用戶遭到傭兵間諜軟體（Mercenary Spyware）鎖定，已通知可能遭鎖定的92國用戶，並建議依照步驟來提升裝置防護層級。</p> <p>在其他惡意活動的揭露方面，我們認為可留意下列消息，例如，語音網釣威脅又一例，LastPass示警，說明該公司員工收到一連串的電話、簡訊、語音郵件，並指出對方透過WhatsApp冒充公司執行長傳送Deepfake的語音訊息；過去曾攻擊Canon、全錄、LG的勒索軟體組織Maze，最近有資安業者揭露其成員可能東山再起，以名為Red CryptoApp的勒索軟體駭客組織重新出發，再度危害企業。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/162434"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年4月15日到4月19日</span></strong></a></h2> <p>在這一週的漏洞消息中，有Oracle發布今年第2季例行更新要注意，還有一個受到更多IT界關注的漏洞修補，是老牌終端機及傳檔工具Putty的開發團隊發布vuln-p521-bias漏洞通告，指出攻擊者可透過CVE-2024-31497漏洞，獲取NIST P521曲線演算法的ECDSA私鑰，因此，用戶除了更新軟體，也要立即撤銷並替換新的私鑰。所幸的是，這次漏洞僅有使用521位元的ECDSA私鑰的用戶受影響。</p> <p>在漏洞利用方面，有一則已知漏洞新傳出遭利用的消息，3月時中繼資料管理工具OpenMetadata維護團隊修補了5個漏洞，近期有研究人員發現，有攻擊者利用這些漏洞攻擊企業K8s環境，並部署挖礦軟體。</p> <p>另一值得留意的是，上期周報提及Palo Alto Networks修補已遭利用的零時差漏洞CVE-2024-3400，後續有研究人員指出，全球有8.2萬臺曝險，臺灣也有1,344臺這類設備，它們都是處於暴露於網際網路且尚未修補此漏洞的狀態。</p> <p>在資安威脅焦點方面，近期有3類型的攻擊活動，我們認為值得多加留意，包括鎖定VPN與SSH的攻擊，鎖定路由器的攻擊，以及網釣威脅與活動。<br /> ●多個廠牌的VPN系統或SSH服務正被攻擊者鎖定，發起大規模暴力破解攻擊，思科表示不只是自家產品，還有Check Point、Fortinet、SonicWall、Miktrotik、居易、Ubiquiti的設備遭鎖定，並發現針對遠端桌面的網頁存取服務攻擊的情況。<br /> ●過去幾週有不少殭屍網路鎖定路由器攻擊的狀況，最近又有新的活動被揭露，有資安研究人員發現Moobot、Miori、Condi、 AGoent、Gafgyt與Mirai變種這6種殭屍網路病毒，都在利用TP-Link去年修補的路由器漏洞發動入侵。<br /> ●近期一家美國電信服務商員工帳密遭網釣、內部系統遭存取的事件引發思科示警，因為該電信商負責Duo用戶的MFA簡訊通知及VoIP訊息，因此思科提醒用戶，留意遭竊資訊可能被攻擊者用於社交工程攻擊。<br /> ●去年一起鎖定美國大型汽車製造商的攻擊行動被資安業者揭露，當中指出攻擊者一開始發送的網釣郵件，是假冒免費IP位址掃描工具軟體Advanced IP Scanner為誘餌，顯然，IT人員持續成為駭客發動網釣的目標，必需抱持更大警覺。</p> <p>關於前幾個星期發生的兩起重大事件，最近有後續消息傳出<i>。</i>首先，對於日前XZ/liblzma後門事件，攻擊者竟潛伏為合法維護者的狀況，近日OpenJS基金會示警，表示收到一系列電子郵件，其內容是要求為熱門JavaScript專案指定新的維護者，因此他們與OpenSSF共同提醒開源維護者，需慎防這樣的社交工程攻擊手法；另一是上週蘋果罕見對全球92國iPhone用戶提出警告，如今有研究人員透露進一步細節，指出攻擊者使用的間諜軟體是LightSpy。</p> <p>在其他資安威脅態勢上，全球近來發生不少重大網路攻擊事件，都與政府或關鍵基礎設施有關，我們整理如下：<br /> ●臺灣外交部的機密資料傳出在暗網被兜售，外交部指出這些資料的來源可疑，涉及境外變造、偽造等不法行為，以及操弄認知作戰的意圖，將持續調查。<br /> ●在南海局勢升溫之際，有資安業者揭露近期中國駭客針對菲律賓的假訊息與駭客攻擊活動增加3倍。<br /> ●聯合國開發計畫署近期表示，哥本哈根聯合國城的IT基礎設施上月底遭網路攻擊，部分人力與採購資料遭竊。<br /> ●俄羅斯駭客組織Sandworm近期動作頻頻，不只鎖定烏克蘭關鍵基礎設施，也鎖定美國、波蘭的供水設施，以及法國的水力發電系統發動攻擊。<br /> ●針對俄羅斯持續發動網路攻擊，烏克蘭方面近期傳出反擊，該國駭客組織Blackjack宣稱，已入侵俄國工業感應器及監控基礎設施製造商Moscollector。</p> <p>還有3起勒索軟體攻擊事件也成新聞焦點。包括：總部位於荷蘭的晶片製造商Nexperia遭遇勒索軟體攻擊，旅館集團Omni傳出遭勒索軟體駭客組織Daixin攻擊，以及本期日報尚未提及的另一事件，那就是臺灣電子零組件大廠群光電子傳出遭Hunters international勒索軟體攻擊，在週末期間揭露，雖然影響似乎不大，因為群光回應媒體表示，事件未達重訊發布標準。</p> <p>但因消息曝光在週末，且涉及臺灣上市公司，加上駭客聲稱取得1.2TB、414萬個檔案，因此受到國人關切。在事件曝光後，群光電子也依據重大訊息發布規定，當媒體報導公司發生資安事件可能影響投資人之投資決策，需發布重大訊息，因此<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=115459&SPOKE_DATE=20240421&COMPANY_ID=2385">群光電子也在週日中午針對媒體報導發生網路資安事件一事發布重訊</a>，內容指出他們確時遭受網路攻擊，已啟動防禦與復原作業，並重申這次事件未達資安重訊發布標準，以及未有個資、機密文件檔案資料外洩。至於駭客組織聲稱竊取的檔案為何，有待更多後續消息揭露才能進一步得知。</p> <p style="margin: 0px;">此外，在前一星期的資安日報中，我們已經報導屬於聯華神通集團（MiTAC-Synnex Group）的兩家上市公司聯華實業、聯成化科，同時發布資安事件重訊說明發生網路資安事件，而且後續我們還注意到，傳出已有駭客組織宣稱竊取聯成480 GB的資料，不過我們尚未看到該公司有進一步說明。這起事件的影響性可能比群光的事件還大，不過其他國內媒體有報導此事的並不多，大多是將焦點集中在群光。</p> <p style="margin: 0px;"> </p> <h2><a href="https://www.ithome.com.tw/news/162567"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年4月22日到4月26日</span></strong></a></h2> <p>這一星期3則漏洞利用消息，有兩起涉及零時差漏洞利用，當中最受關注的是，思科修補了旗下ASA及FTD防火牆的2個零時差漏洞CVE-2024-20353、CVE-2024-20359，原因在於，思科Talos同時公布了調查狀況，指出年初經客戶通報安全性問題，調查後發現當時已有攻擊活動，並是國家級駭客UAT4356（亦稱Storm-1849）所為。</p> <p>另一事件發生在檔案伺服器軟體CrushFTP，該團隊宣布修補已遭利用的零時差漏洞CVE-2024-4040，有研究人員指出駭客很可能是鎖定政治目標收集情報。</p> <p>還有一個已知漏洞利用情形，是微軟詳細揭露了俄羅斯駭客組織APT28近年的攻擊手法，當中利用了Windows Print Spooler服務漏洞CVE-2022-38028。因此，近日美國CISA將之列入已知利用漏洞清單。</p> <p>其他漏洞消息方面，有一則影響全球10億用戶的消息，是市面上常見的中國拼音輸入法被發現存在諸多漏洞。為了幫助這些用戶不受攻擊者監控輸入內容，加拿大公民實驗室已向8家輸入法供應商通報大批漏洞，多家廠商已針對最嚴重的漏洞進行修補，但Vivo、小米卻並未針對通報回覆。</p> <p>在資安威脅態勢方面，有4則新聞我們認為值得重視，這些攻擊趨勢研究的面向，涵蓋SAP用戶、網頁伺服器被鎖定、CDN快取遭濫用、以及AI的趨勢，我們整理如下：</p> <p>●SAP用戶注意，有兩家資安業者警告，鎖定SAP旗下應用系統的勒索軟體攻擊行動在2023年大增，不僅攻擊活動比兩年前暴增4倍，SAP的RCE漏洞在黑市的價格也水漲船高，顯示駭客正對此有高度興趣。<br /> ●鎖定網頁伺服器已知漏洞並部署Web Shell的攻擊行動被揭露，目的是植入勒索軟體Adhublika，而全球受害數量最多的國家除了美國與印度，臺灣居於第三。<br /> ●駭客組織CoralRaider攻擊行動被揭露，研究人員指出對方使用CDN快取伺服器存放惡意程式，這將導致網路防禦系統可能無法對其進行偵測而放行。<br /> ●最新一項大學研究報告指出，LLM Agents將能自動利用具CVE編號、已被揭露的One-day漏洞，實測10個LLM的結果顯示，GPT-4成功完成這項工作，再次顯現AI帶來的風險與挑戰。</p> <p>此外，本期周報也新補上一則AI監管的最新動向，是<a href="https://fpf.org/blog/setting-the-stage-connecticut-senate-bill-2-lays-the-groundwork-for-responsible-ai-in-the-states/">美國康乃狄克州議會在24日通過了SB 2</a>，若是之後順利發布，SB 2將成為美國第一部監管民營企業開發與部署人工智慧的法案，成為與歐盟AI法案相當的立法。</p> <p>還有2則值得警惕的攻擊態勢，是關於駭客正鎖定資安管理不善的國防產業，以及鎖定網路邊際裝置來入侵。</p> <p>●韓國國防承包商傳出遭北韓駭客組織攻擊，導致相關機密資料被竊取，韓國警方提出警告，並指出多個北韓駭客組織利用了這些公司資安管理不善的情況進行滲透。<br /> ●Google Cloud發布M-Trends報告，除了談及過去一年攻擊者如何利用AiTM入侵多重驗證保護措施，網路釣魚技術在現代化安全控管機制下的演變，並指出中國駭客逐漸以缺乏EDR系統防護的網路邊際裝置與平臺為目標。</p> <p>至於其他最新惡意活動的揭露，本星期的焦點還包括：安卓金融木馬SoumniBot、惡意軟體SSLoad、竊資軟體RedLine等，以及駭客組織BlackTech利用新的後門程式Deuterbear的揭露。</p> <p>在資安事件方面，本星期發生多種類型攻擊事件，涵蓋零時差漏洞攻擊、軟體供應鏈攻擊、關鍵CI攻擊與資料外洩。這4則新聞如下：<br /> ●年初Ivanti零時差漏洞有新的受害組織，資安研究機構MITRE近日公布他們用於研究、開發、原型設計的協作網路環境NERVE遭入侵。<br /> ●防毒軟體eScan的更新機制竟成派送惡意程式GuptiMiner幫兇，研究人員指出是北韓駭客Kimsuky發動的軟體供應鏈攻擊，透過複雜的中間人攻擊手法，針對大型企業網路環境來部署後門程式。<br /> ●美國德州小鎮2起供水系統遭攻擊的事件，導致供水系統出現溢流現象，已手動控制因應，研判俄羅斯駭客組織Sandworm（APT44）所為。<br /> ●長榮航空在25日夜間發布資安事件，說明察覺不明人士取得旅客帳號資料並透過惡意IP位址登入網站，發現300多名旅客資料被存取。此外，先前<a href="https://www.ithome.com.tw/news/162568">群光遭駭事件這周末又有後續消息，我們在此補上，該公司指出駭客組織新揭露的SpaceX資料非機密資料</a>。</p> <p>特別的是，還有一起案外案，是北韓雲端伺服器組態不當造成資料外洩，當中資料顯示，疑似美國多家影音平臺動畫製作外包給中國公司，中國公司又外包給北韓動畫公司，導致違反美國政府禁令的狀況曝光。</p> <p>在防禦態勢上，這一星期有2項新進展，首先，我國數位發展部正式公布國家資通安全研究院（資安院）接手TWCERT/CC，這項消息其實我們在1月初採訪TWCERT/CC得知並揭露，2月也有對此的專訪報導，最近4月24日，<a href="https://moda.gov.tw/press/background-information/12418">數位發展部部長唐鳳與資安院院長何全德不僅正式宣布此事，同時還揭露5大推動策略</a>。</p> <p>其次，推動IoT開放標準協定FDO的FIDO聯盟，近日在臺舉辦FDO WorkShop活動，該單位認證計畫主管透露，首批通過FDO標準認證的名單將於近1到2月內公布，有4家廠商進度最快，臺灣工業電腦廠東擎科技也包括在內。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/162577">2024年3月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/161921">2024年2月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/161237">2024年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160880">2023年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160289">2023年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159582">2023年10月資安月報</a></h3> <h3> </h3> <h2><strong>無密碼身分識別持續受重視，</strong><strong>FDO認證產品今年出爐</strong></h2> <div> </div> </div></div></div>
2024/5/7 11:27作者羅正漢https://www.ithome.com.tw/news/162730
【資安日報】5月7日，執法單位預告將揭露勒索軟體駭客組織LockBit首腦身分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11個國家的執法單位於2月20日宣布破獲勒索軟體駭客LockBit的基礎設施，但與其他駭客組織的攻堅行動有所不同，執法單位後續表明他們掌握其首腦LockBitSupps身分，意有所指對方很可能住在遭到制裁的俄羅斯，事隔2個多月，此事又有新的進展。</p> <p>這些執法單位預告，將於指定的時間公布LockBitSupps身分，並在4天內關閉LockBit的網站，後續情況如何，有待進一步的觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162739"><strong style="font-size: 22px;">執法單位再度針對勒索軟體駭客LockBit的網站出手，預告透露對方更多身分相關資訊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GM1lfxjWYAAugIa.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GM1lfxjWYAAugIa.jpg" style="width: 300px; float: right;" /></a>2月下旬多國執法單位聯手圍剿勒索軟體駭客LockBit的基礎設施，後來不到一個星期的時間，對方疑似捲土重來，並將美國聯邦調查局（FBI）列為受害組織，雙方之間的攻防，最近又有新的進展。</p> <p>5月6日資安研究員Jon DiMaggio發現，執法單位疑似再度修改LockBit的網站，預告將在世界協調時間（UTC）7日下午2時公開發表聲明，內容包含該駭客組織首領LockBitSupps的身分，並並透露將公布其他不為人知的事情，在4天後關閉網站。該名研究人員認為，這次執法單位應該是來真的，可信度很高。</p> <p>對此，駭客向另一個資安研究團隊VX-Vnderground透露，認為執法單位宣稱的並非事實，表明他們仍持續從事攻擊行動，將會公布新的受害組織名單。</p> <p><a href="https://www.ithome.com.tw/news/162747"><strong style="font-size: 22px;">微軟圖學資料分析服務Graph的API遭駭客用於惡意通訊，攻擊烏克蘭組織</strong></a></p> <p>資安業者賽門鐵克提出警告，他們看到有越來越多駭客，在攻擊行動當中，濫用微軟圖學資料分析服務Graph的API，並指出駭客這麼做的目的，通常是也利用微軟雲端服務架設C2基礎設施的情況下，能夠促進相關通訊的進行。</p> <p>研究人員看到利用上述手法針對烏克蘭組織的攻擊行動，對方使用名為BirdyClient（或OneDriveBirdyClient）的惡意程式，並將其偽製成筆記型電腦觸控板驅動程式ALPS Pointing Device Driver（Apoint.exe）相關的DLL程式庫元件vxdiff.dll。</p> <p>此惡意程式的主要功能，就是連接微軟Graph的API，並利用雲端檔案共享服務OneDrive充當C2伺服器，然後讓攻擊者能上傳或下載檔案。不過，攻擊者的動機為何？研究人員指出，由於尚未找到其他作案工具，目前無從得知意圖，也不確定攻擊者的身分。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.infosecurity-magazine.com/news/revil-ransomware-affiliate"><strong style="font-size: 20px;">勒索軟體REvil附屬組織成員將面臨13年刑期</strong></a></p> <p>◆<a href="https://www.avanan.com/blog/custom-qr-code-phishing-templates"><strong style="font-size: 20px;">駭客冒充受害者所屬公司，寄送帶有QR Code的釣魚郵件，意圖騙取帳密資料</strong></a></p> <p>◆<a href="https://www.malwarebytes.com/blog/news/2024/05/watch-out-for-tech-support-scams-lurking-in-sponsored-search-results"><strong style="font-size: 20px;">駭客買下Google贊助商廣告，對搜尋知名新聞網站、網路公司的用戶進行技術支援詐騙</strong></a></p> <p>◆<a href="https://blog.kandji.io/malware-cuckoo-infostealer-spyware"><strong style="font-size: 20px;">間諜軟體Cuckoo鎖定macOS用戶而來，Intel與M系列處理器的電腦都是目標</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162741"><strong style="font-size: 22px;">研究人員揭露可洩露VPN流量的漏洞TunnelVision</strong></a></p> <p></p> <p>5月6日資安業者Leviathan Security Group揭露名為TunnelVision的漏洞，一旦攻擊者觸發，就有機會將用戶的VPN流量洩露到相同區域網路上的其他電腦，該漏洞被登記為CVE-2024-3661列管，CVSS風險評分為7.6。</p> <p>研究人員指出，TunnelVision可繞過VPN封包，藉由作業系統內建、用來自動分配IP位址的動態主機配置協定（DHCP），迫使目標使用者的流量離開VPN通道，進而有機會讓駭客可窺探流量。由於此手法並未破壞VPN所控制的通道，因而不會觸發VPN的網路自動斷開（Kill Switch）機制，使得用戶誤以為自己的流量仍受到VPN保護。</p> <p>由於TunnelVision攻擊手法是讓用戶脫離VPN的保護，嚴格來說，這並非VPN系統本身的漏洞，但研究人員還是透過電子前線基金會（EFF）及美國網路安全暨基礎設施安全局（CISA），向超過50個VPN供應商通報此事。</p> <p><strong style="font-size: 22px;">其他漏洞與威脅</strong></p> <p>◆<a href="https://blog.oversecured.com/20-Security-Issues-Found-in-Xiaomi-Devices/"><strong style="font-size: 20px;">研究人員在小米行動裝置多個應用程式找出20個漏洞</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162726"><strong style="font-size: 22px;">Google Cloud整合Gemini、Mandiant、VirusTotal，推出AI安全方案</strong></a></p> <p></p> <p>5月6日Google Cloud於RSA大會宣布推出名為Google Threat Intelligence的威脅情資服務，將以Gemini 1.5 Pro模型為基礎，整合資安分析產品線Mandiant與惡意程式解析服務VirusTotal而成。這項服務以AI助理Gemini提供簡單易用的介面，方便用戶以自然語言查詢Google旗下產品及公開資源為基礎的資安知識。</p> <p>該公司宣稱，結合其安全資料庫的Gemini，可簡化企業安全部門的研究作業。以分析WannaCry檔案為例，只需34秒就能完成逆向工程，並找出如何一擊阻絕運作。Gemini模型也提供實體萃取（Entity Extraction）工具，使AI助理能從網路搜尋公開研究資訊及產業報告，然後整理成結構清楚的資訊。</p> <p><a href="https://www.ithome.com.tw/news/162695"><strong style="font-size: 22px;">微軟公布安全未來倡議的6大支柱，將部署全新安全治理框架</strong></a></p> <p></p> <p>去年微軟帳戶（MSA）消費者簽章金鑰的外洩，導致中國駭客組織Storm-0558於微軟服務中潛伏超過1個月，滲透歐美地區的25個政府組織，今年初俄羅斯駭客組織Midnight Blizzard又成功入侵微軟測試租戶帳戶，長達兩個月才被發現。對此，美國國土安全部網路安全審查委員會（CSRB）認為，微軟的資安文化不足，無法防堵這些可以預防的意外，應進行根本性的安全改革。</p> <p>對此，5月3日微軟以去年提出的安全未來倡議（Secure Future Initiative，SFI）為基礎，提出相關的具體措施，他們根據SFI的3大核心概念：設計安全（Secure by Design）、以安全為預設（Secure by Default）、安全操作（Secure Operations），提出了6大支柱暨目標。包括：保護身分與機密、保護租戶並隔離生產系統、保護網路、保護工程系統、監控與檢測威脅，以及加快回應與修復速度。</p> <p>再者，該公司也宣布將部署全新的安全治理框架，新設多個副資安長執位，執行長Satya Nadella更宣告，微軟的政策將全面以資安為優先。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162725"><strong>【5月6日】德國與捷克證實去年遭遇俄羅斯駭客APT28利用特定Outlook漏洞攻擊事故</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162669"><strong>【5月3日】殭屍網路Goldoon鎖定D-Link家用路由器DIR-645老舊漏洞發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162601"><strong>【5月2日】Docker Hub遭濫用，被用來散播惡意程式與架設釣魚網站的映像儲存庫比例高達2成</strong></a></p> </div></div></div>
2024/5/7 16:53作者周峻佑https://www.ithome.com.tw/news/162751
資安業者揭露可外洩VPN流量的安全漏洞TunnelVision
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Leviathan Security Group周一（5/6）<a href="https://www.leviathansecurity.com/blog/tunnelvision" target="_blank">揭露了一個名為TunnelVision的安全漏洞</a>，它可將用戶的VPN流量外洩給位於同一區域網路上的駭客，其漏洞編號為CVE-2024-3661。</p> <p>根據研究人員的說明，TunnelVision是個可繞過VPN封裝的新型網路技術，藉由作業系統所內建的、用來自動分配IP位址的動態主機配置協定（Dynamic Host Configuration Protocol，DHCP），就可迫使目標使用者的流量離開VPN通道，進而讓駭客可窺探其流量，由於此一手法並未破壞VPN所控制的通道，因而不會觸發VPN的網路自動斷開（Kill Switch）機制，而讓使用者誤以為自己的流量仍受到VPN保護。</p> <p>於是，倘若使用者連結的對象是個HTTP網站，那麼傳輸內容將會被一覽無遺，若是造訪加密的HTTPS網站，駭客就只能察看使用者所連結的對象。此一技術自2002年便存在，但無法確定是否曾被濫用。</p> <p>駭客的攻擊方式是企圖成為攻擊目標的DHCP伺服器，包括設立一個流氓DHCP伺服器，取代合法的DHCP伺服器來回應用戶，或是透過位址解析協定（Address Resolution Protocol，ARP）欺騙來攔截DHCP伺服器及客戶端之間的流量，並將流量導至VPN之外。</p> <p>嚴格來說TunnelVision並不算是VPN服務的安全漏洞，因為它並未破壞VPN的加密安全技術，且VPN的功能依然健全，駭客只是迫使目標對象偏離VPN通道。而Leviathan亦將TunnelVision解釋成DHCP、路由表與VPN的運作方式。</p> <p>由於簡單地移除DHCP功能是不可行的，可能造成某些合法連線中斷，因此Leviathan建議VPN業者在支援它們的作業系統上導入網路命名空間（Namespace），以讓介面及路由表脫離區域網路的控制，而除了內建命名空間的Linux之外，Leviathan也建議其它作業系統採用Namespace。</p> <p>Leviathan已找到在Linux系統上防範TunnelVision攻擊的緩解措施，但此一措施存在一個側通道，可被用來執行針對性的阻斷服務攻擊，或是藉由流量分析將流量目的去匿名化。</p> <p>儘管這並不真的算是VPN漏洞，但Leviathan已透過電子前線基其會（EFF）及CISA通知了全球逾50個VPN供應商，另也提醒VPN業者不應誇大VPN的安全性，因為它們並無法保證使用者在不受信任網路上的流量可被保護，例如公共Wi-Fi。</p> </div></div></div>
2024/5/7 15:38作者陳曉莉https://www.ithome.com.tw/news/162741
開發者論壇Stack Overflow宣布與OpenAI策略聯盟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發者論壇<a href="https://stackoverflow.co/company/press/archive/openai-partnership" target="_blank">Stack Overflow今日（5/7）宣布</a>，已與OpenAI簽署合作協議，允許OpenAI使用該平臺的內容來訓練大型語言模型，而Stack Overflow也將利用OpenAI的模型來強化OverflowAI。</p> <p>Stack Overflow是個以QA為基礎的開發者論壇，開發人員於該平臺上彼此協助解決各種疑難雜症。在ChatGPT於2022年底問世時，Stack Overflow曾因擔心平臺被生成式AI內容所淹沒，而<a href="https://meta.stackoverflow.com/questions/421831/policy-generative-ai-e-g-chatgpt-is-banned" target="_blank">一度封鎖</a>來自GenAI的內容。</p> <p>隨著GenAI的改善，Stack Overflow先是在今年3月宣布<a href="https://www.ithome.com.tw/news/161559" target="_blank">與Google合作</a>，讓Google Cloud的Gemini得以透過OverflowAPI存取其知識庫，在開發人員呼叫Gemini時提供開發建議、程式碼及回答問題。</p> <p>本周Stack Overflow與OpenAI的合作同樣允許OpenAI存取其OverflowAPI，亦允許OpenAI藉由Stack Overflow社群所提供的內容及回饋來改善OpenAI的模型，並會在ChatGPT中將特定內容標註來自Stack Overflow。</p> <p>另一方面，Stack Overflow也會利用OpenAI的模型來開發及改善自家的AI服務<a href="https://www.ithome.com.tw/news/158048" target="_blank">OverflowAI</a> 。</p> <p>Stack Overflow執行長Prashanth Chandrasekar表示，該平臺為全球最大的開發者社群，擁有超過5,900萬個問答，雙方的結盟將可重新定義開發人員的體驗，藉由社群的力量、一流的資料與AI體驗來推動效率與協作。該公司對於OverflowAPI及負責任AI的目標是使用經過審查、可靠及準確的資料來設定新標準。</p> <p>OpenAI及Stack Overflow之間首批合作的功能預計會在今年6月以前推出，這意味著屆時的ChatGPT將可提供來自Stack Overflow且經過驗證的技術知識。</p> </div></div></div>
2024/5/7 15:53作者陳曉莉https://www.ithome.com.tw/news/162745
微軟圖學資料分析服務Graph的API遭駭客用於惡意通訊，攻擊烏克蘭組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者賽門鐵克提出警告，他們看到有越來越多駭客，在攻擊行動當中，濫用微軟圖學資料分析服務Graph的API，並指出駭客這麼做的目的，通常是也利用微軟雲端服務架設C2基礎設施的情況下，能夠促進相關通訊的進行。</p> <p>研究人員看到<a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/graph-api-threats">利用上述手法針對烏克蘭組織的攻擊行動</a>，對方使用名為BirdyClient（或OneDriveBirdyClient）的惡意程式，並將其偽製成筆記型電腦觸控板驅動程式ALPS Pointing Device Driver（Apoint.exe）相關的DLL程式庫元件vxdiff.dll。</p> <p>此惡意程式的主要功能，就是連接微軟Graph的API，並利用雲端檔案共享服務OneDrive充當C2伺服器，然後讓攻擊者能上傳或下載檔案。不過，攻擊者的動機為何？研究人員指出，由於尚未找到其他作案工具，目前無從得知意圖，也不確定攻擊者的身分。</p> <p>但這並非駭客首度濫用Graph的API，最初是2021年資安業者Volexity發現，北韓駭客組織InkySquid在發動惡意軟體BlueLight攻擊行動的過程裡，就濫用這種API建立C2連線。曾經將該API用於攻擊行動的駭客組織，還包含了APT28、APT29、REF2924、Red Stinger、Flea、OilRig。</p> </div></div></div>
2024/5/7 15:57作者周峻佑https://www.ithome.com.tw/news/162747
執法單位再度針對勒索軟體駭客LockBit的網站出手，預告透露對方更多身分相關資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月下旬多國執法單位聯手圍剿勒索軟體駭客LockBit的基礎設施，後來不到一個星期的時間，<a href="https://www.ithome.com.tw/news/161467">對方疑似捲土重來</a>，並將美國聯邦調查局（FBI）列為受害組織，而雙防之間的攻防，最近又有新的進展。</p> <p>5月6日資安研究員Jon DiMaggio發現，執法單位疑似再度修改LockBit的網站，<a href="https://twitter.com/Jon__DiMaggio/status/1787196230402998528">預告將在世界協調時間（UTC）7日下午2時公開發表聲明</a>，內容包含該駭客組織首領LockBitSupps的身分，並透露還會公布其他不為人知的事情，在4天後關閉網站。該名研究人員認為，這次執法單位應該是來真的，可信度很高。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GM1lfxjWYAAugIa.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GM1lfxjWYAAugIa.jpg" style="width: 580px;" /></a></p> <p>對此，<a href="https://twitter.com/vxunderground?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1787234502323978385%7Ctwgr%5Efcdd96d8c4cfa931dbc14540c8d9ff3858ade849%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fsecurityaffairs.com%2F162778%2Fcyber-crime%2Flaw-enforcement-seized-lockbit-site-again.html">駭客向另一個資安研究團隊VX-Vnderground透露</a>，認為執法單位宣稱的並非事實，表明他們仍持續從事攻擊行動，將會公布新的受害組織名單。</p> </div></div></div>
2024/5/7 15:20作者周峻佑https://www.ithome.com.tw/news/162739
【moda專欄】淺談社會投資報酬率（SROI）用於政府施政及社會影響力評估
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0507-modazhuan_lan_-sroi-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>文／數位產業署通訊傳播組傳播推廣科何勝泉科長</strong></p> <p>以往產業著重於投資報酬率（Return on Investment, ROI），將每一元投入所獲得的經濟報酬視為主要決策參考依據。而在數位轉型及多元價值的浪潮下，數位發展部數位產業署（後簡稱為「數產署」）扮演關鍵的數位馬達角色，推動政策引導各行各業數位轉型時，不僅追求數位及經濟效益，更關注對於社會永續發展的影響力。</p> <p>例如，在數產署成立後便積極推動的「<a href="https://100.adi.gov.tw/" target="_blank">公益創新・徵案 100</a>」徵案活動，向民間廣徵運用通傳科技的公益創新提案，以解決目前社會上存在各式各樣的問題。「公益創新・徵案 100」導入「社會投資報酬率」（Social Return on Investment，簡稱 SROI）的評估標準，透過 SROI，可以更全面及客觀地衡量每個提案對於社會不同面向的影響，進而擴散通傳科技效益及社會影響力。</p> <p class="rtecenter"><a href="https://100.adi.gov.tw/ahvs" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0507-moda%E5%B0%88%E6%AC%84-%E5%85%AC%E7%9B%8A%E5%89%B5%E6%96%B0%E4%B8%BB%E8%A6%96%E8%A6%BA.png" style="width: 600px;" /></a></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>什麼是社會投資報酬率（SROI）？</strong></span></span></p> <p>SROI 近年來在政府部門、民間企業、公益組織等領域逐漸受到重視，作為在公共議題投資規劃方面，達成更完整和有效溝通的重要工具。</p> <p>傳統商業領域最重視的數據之一，莫過於投資報酬率（ROI），時至今日已成為大眾生活中耳熟能詳的名詞。不過， ROI 只看經濟產值，無法呈現投資後的環境及社會影響，囿於單一面向的思考，長期為人所詬病。</p> <p>SROI 提供了一套完整、具系統化的價值影響力評估方法，幫助評估公共政策、數位轉型規劃、投資方案等，對於整體社會、環境帶來的影響與效益。利害關係人的正負向感受將轉換為貨幣，讓大眾能夠理解每一塊錢的投資對於多元價值的影響。</p> <p>簡單來說， SROI 就是衡量投入經費或資源後，所產出「非經濟財務面」的回饋報酬。例如減少政府社會福利負擔、環境更舒適、民眾更健康或開心等。因此，評估 SROI 時，會全面衡量不同利害關係人在經濟價值、社會價值與環境價值及情緒感受等不同面向，並整合在一起，再賦予其貨幣價值進行評估和計算。</p> <p>SROI 的評估有「八大原則、六大步驟」。八大原則為：1.利害關係人的參與、2.瞭解執行專案所產生的影響、3.僅納入重要訊息、4.關鍵成果定價、5.不過分誇大成果、6.保持透明公開、7.審核成果、8.優化回應。</p> <p>而六大步驟則是：1.確認分析範圍與重要利害關係人、2.透過議合來釐清投入產出的成果描繪與影響改變、3.選用適當的財務代理變數來證明成果並賦予價值、4.運用四大影響因子建立價值變化之影響力範圍、5.考量利率、折現率及敏感度條件進行 SROI 的分析計算、6.提出充分且透明的報告與應用。</p> <p class="rtecenter"><a href="https://moda.gov.tw/press/multimedia/blog/12618" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0507-moda-SROI%E5%85%AD%E6%AD%A5%E9%A9%9F.jpg" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／數位部</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>政府部門導入社會投資報酬率（SROI）的契機</strong></span></span></p> <p>政府部門經常需要對政府施政和專案計畫進行評估，以確保所規劃政策和計畫能夠對於大眾產生最大效益。因此， SROI 評估成為政策規劃的重要工具，可協助政府評估政策與計畫的規劃是否達到預期的多元社會效益。</p> <p>數產署積極將 SROI 的概念導入評估方法中，像是前文提到的「公益創新・徵案 100」，手語視訊轉譯中心（簡稱：VRS）、5G 元宇宙專業職能作業訓練系統（簡稱：5G 職訓系統）等專案，都是運用 SROI 來衡量整體社會價值及影響力。</p> <p>「手語視訊轉譯系統」是由數產署與衛福部社家署合作，針對台灣 14 萬聽語障人士共同合作建置。數產署負責 VRS 系統建置，並於 113 年 6 月後移由衛福部社家署進行維運。VRS 主要透過手語翻譯員提供聽語障者與一般聽者之視訊轉譯及文字轉譯服務，以期透過通訊傳播科技的創新服務，建立聽語障礙人士無溝通障礙的數位環境，達到數位包容與數位平權的目標。</p> <p>「5G 職訓」由數產署與勞動部勞發署共同跨部會合作，並委託工研院於僑光科技大學建置全國第一個通過 5G 專網執照的學校單位。透過 5G 專網的快速、廣連結、高效率及資料保密特性，運用虛實整合技術來推動專業技術訓練，以期促進國內人才培育及提升就業機會目標。</p> <p>而「公益創新・徵案 100」是數產署以公開方式向民間廣徵具通傳科技的公益創新提案，鼓勵個人、新創團體及企業運用通訊傳播科技，導入多元社會公益創新以解決社會問題，並透過群眾募資方式，驗證社會大眾支持度，好的提案會獲得多數人的支持，最後才會達到永續營運並推廣公益理念及價值。</p> <p>以此案為例，數產署會首先衡量此專案的範圍，藉由實際訪談或座談，確認此專案的利害關係人，包含：參與徵案的團隊、參與募資的民眾、計畫輔導團隊及公部門等，並且釐清各利害關係人的投入、產出與描繪成果。亦有參與的團隊回饋，藉由 SROI 的評估，可以感受到團隊能見度提高、團隊凝聚力提高、團隊自信心提高等傳統上不易量化和說明的正面影響。</p> <p>我們藉由適切的財務代理變數，對成果進行衡量和定價，同時秉持不誇大原則，以及考慮四大影響力因子及折現率後，估算出 SROI 值，也就是參與徵案可以提升的社會投資報酬率。 SROI 衡量過程強調的是重視利害關係人的感受，因此，我們透過與團隊反覆溝通、確認討論結果，讓量化數值能更貼近專案所創造出來的社會價值，更具可信度。</p> <p>SROI 已經是國內外政府及民間機構在政府施政、計畫投入與決策的重要參考依據，以更客觀方式全面評估社會影響力，透過「投入的資源成本」與「產出的社會價值」之間的相互關聯，客觀衡量政府施政為社會所帶來的影響力，作為政府跨部會及跨領域的溝通橋樑，有助於後續強化政府決策及擴大社會福祉的目標。</p> <p><a href="https://moda.gov.tw/press/multimedia/blog/12618" target="_blank"><strong>（本文轉載自moda blog）</strong></a></p> </div></div></div>
2024/5/7 13:24署名 moda專欄https://www.ithome.com.tw/article/162738
外傳蘋果也在開發AI資料中心晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/tech/ai/apple-is-developing-ai-chips-for-data-centers-seeking-edge-in-arms-race-0bedd2b2" target="_blank">《華爾街日報》</a>（The Wall Street Journal，WSJ）本周引述消息來源報導，蘋果正在開發自己的晶片設計，以於資料中心伺服器執行AI軟體，專案名為ACDC（Apple Chips in Data Center）。</p> <p>蘋果正努力追趕微軟、Meta、Google及Amazon的AI能力，目前只有蘋果尚未提供AI聊天機器人，不過，蘋果除了已經<a href="https://www.ithome.com.tw/news/161261" target="_blank">購買逾30家AI新創公司</a>之外，執行長Tim Cook也宣布正努力開發AI功能，今年就會發表成果，外界則預計蘋果的AI服務可望於下個月舉行的WWDC大會上發表。此外，由於蘋果已有自製iPhone與Mac晶片的經驗，開發AI晶片並不令人意外。</p> <p>另一名來自Haitong International Securities的蘋果分析師Jeff Pu亦於日前指出，蘋果將在預計於今年秋天問世的iOS 18中提供AI功能，並結合M2 Ultra與M4晶片以支援遞送相關功能的AI伺服器。M系列是蘋果專為Mac所設計的處理器，目前最新的版本為M3，因此M4顯然是蘋果正在開發的版本。</p> <p>根據《<a href="https://appleinsider.com/articles/24/04/30/apple-to-unveil-ai-enabled-safari-browser-alongside-new-operating-systems" target="_blank">Apple Insider</a>》的報導，蘋果的AI服務可能包括於Safari瀏覽器中提供AI搜尋服務，利用AI來刪除不必要的網頁內容，也正在開發視覺搜尋功能，以及在iOS與macOS上增添AI功能。</p> </div></div></div>
2024/5/7 12:38作者陳曉莉https://www.ithome.com.tw/news/162737
IBM AI、自動化等軟體將在92國AWS軟體市集上架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2024-05-02-IBM-Expands-Software-Availability-to-92-Countries-in-AWS-Marketplace" target="_blank">IBM本周宣布</a>旗下超過六十款AI、資料、自動化、安全軟體及SaaS服務將在Amazon Web Services（AWS）軟體市集上架，以推向92國。</p> <p>在此之前，IBM軟體觸及區域僅侷限於丹麥、法國、德國、英國及美國。透過在全球性的AWS Marketplace上架，企業用戶可以更容易找到並採購軟體與服務。</p> <p>IBM新上架的產品有44種軟體及29項SaaS服務。詳細而言，這些服務包括供打造、部署及管理AI負載的watsonx AI and Data平臺、在開放資料湖架構上的資料商店Watsonx.data、企業AI應用開發平臺Watsonx.ai，以及二款IBM AI助理watsonx Assistant及watson Orchestrate等。用於治理的watsonx.governance也很快就會上架。</p> <p>其他上架軟體還有IBM資料庫Db2 Cloud Pak for Data，及來自IBM近年收購的<a href="https://www.ithome.com.tw/news/157535" target="_blank">Apptio</a>、<a href="https://newsroom.ibm.com/2021-06-17-IBM-Closes-Acquisition-of-Turbonomic-to-Deliver-Comprehensive-AIOps-Capabilities-for-Hybrid-Cloud" target="_blank">Turbonomic</a>和<a href="https://www.ibm.com/blog/instana/" target="_blank">Instana</a>的雲端自動化應用與網路管理軟體，以及IBM安全和永續軟體。這些都是在Red Hat OpenShift Service on AWS平臺上開發。這些雲端原生軟體利於用戶部署在AWS上，並提供彈性授權方式，包括SaaS和訂閱。</p> <p>IBM同時推出專為AWS設計的15項IBM顧問服務，可協助企業在AWS上部署具生成式AI能力的安全及產業別應用，這項服務將由來自IBM顧問服務事業群的一組AWS專門團隊提供。</p> </div></div></div>
2024/5/7 09:38作者林妍溱https://www.ithome.com.tw/news/162727
整合Gemini及Mandiant、VirusTotal技術，Google Cloud推出AI安全方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/identity-security/introducing-google-threat-intelligence-actionable-threat-intelligence-at-google-scale-at-rsa/" target="_blank">Google Cloud昨（6）日</a>在RSA大會上宣布一項整合旗下Mandiant、VirusTotal及Gemini模型的資安服務，讓企業更容易理解攻擊及更快速回應。</p> <p>名為Google Threat Intelligence的服務是以Gemini 1.5 Pro模型為基礎，整合資安分析產品線Mandiant與惡意程式解析服務VirusTotal而成。這項服務以AI助理Gemini提供簡單易用的介面，方便用戶以自然語言查詢Google旗下產品及公開資源為基礎的資安知識。</p> <p>Google Threat Intelligence的安全知識庫整合Mandiant威脅分析與回應知識，以及VirusTotal上來自眾多研究人員上傳的惡意程式分析資料，涵括Google Cloud安全服務分布網路上的惡意偵測器蒐集的攻擊動態、Mandiant研究部門的調查研究及安全報告、與逾100萬名VirusTotal使用者貢獻的惡意程式樣本與網站URL。最後，Gemini的搜尋對象也涵括網路上的公開威脅分析。</p> <p>Google說，結合其安全資料庫的Gemini可簡化企業安全部門的研究作業。例如Gemini助理分析WannaCry檔案只需34秒就能完成逆向工程，辨識出如何一擊絕殺其運作。Gemini模型也提供實體萃取（entity extraction）工具，使AI助理還能從網路搜尋公開研究資訊及產業報告迅速整理成結構清楚的資訊，包括動機、目標、戰術、技倆及程序（tactics, techniques, and procedures，TTP）、行動者、工具與入侵指標（indicators of compromise，IoC），並建議相應的回應行動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0507-Google%20Threat%20Intelligence-gemini-code%20insight-image%20by%20Mandiant%20(Google%20Cloud).jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google Cloud</span></span></p> <p>Google Threat Intelligence已整合到Google Cloud多種安全服務中，包括Google Security Operations、Mandiant Consulting、Security Command Center Enterprise和Chrome Enterprise。</p> <p>Google最新服務類似微軟早先推出的Security Copilot，<a href="https://www.ithome.com.tw/news/159442" target="_blank">後者</a>是以OpenAI的GPT-4生成式AI模型為基礎開發，以微軟的安全分析及情報資料庫，協助安全部門對抗網路威脅。微軟這項服務已開放給Microsoft 365用戶，且整合Microsoft 365 Defender，用戶可以Copilot查詢後者的威脅情報內容。</p> </div></div></div>
2024/5/7 09:11作者林妍溱https://www.ithome.com.tw/news/162726
【資安日報】5月6日，德國與捷克證實去年遭遇俄羅斯駭客APT28利用特定Outlook漏洞攻擊事故
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於去年3月修補Outlook權限提升漏洞CVE-2023-23397，年底波蘭證實公家機關及企業組織遭遇漏洞攻擊，而攻擊者的身分，就是惡名昭彰的俄羅斯駭客APT28，但該組織的相關攻擊行動，如今也傳出有其他國家受害。</p> <p>上週末捷克與德國證實，他們在去年微軟尚未修補漏洞之前，就有企業組織與政府機關遭遇相關攻擊，雖然他們沒有直接公布漏洞名稱，但根據國外媒體的報導，對方利用的漏洞就是CVE-2023-23397。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162700"><strong style="font-size: 22px;">捷克、德國證實去年遭遇俄羅斯駭客APT28入侵，對方利用Outlook重大漏洞發起攻擊</strong></a></p> <p>5月3日德國聯邦政府（Bundesregierung）、捷克外交部（MFA）發布公告，指出，這些駭客利用Outlook漏洞對他們國內的企業組織下手。這樣的情況，也引起歐盟、北約組織（NATO）、美國聯手譴責。</p> <p>德國聯邦政府指控該組織針對社會民主黨執行委員會發動攻擊，對方在一段相對較長的時間裡，利用重大層級的Outlook漏洞，入侵數個電子郵件帳號，而該漏洞當時尚未被公布。捷克外交部也發出聲明，指出自2023年起，該國部分企業組織遭遇該組織攻擊，其共通點就是利用當時未知的Outlook漏洞。</p> <p>雖然上述兩則聲明並未透露漏洞的CVE編號，但資安新聞網站Hacker News指出，此為重大層級的Outlook權限提升漏洞CVE-2023-23397，CVSS風險評為9.8分，一旦遭到利用，攻擊者就有機會取得使用者的Net-NTLMv2雜湊值，透過NTLM中繼攻擊，從而冒用該名使用者的身分通過驗證。</p> <p><a href="https://www.ithome.com.tw/news/162705"><strong style="font-size: 22px;">芬蘭有銀行用戶遭安卓惡意軟體攻擊，寄送詐騙警示簡訊，後續假借金融業者名義要求用戶下載冒牌防毒軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/pankki_haittis_infografiikka_web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/pankki_haittis_infografiikka_web.jpg" style="width: 300px; float: right;" /></a>5月3日芬蘭運輸和通訊局（Transport and Communications Agency，Traficom）提出警告，指出近期出現鎖定安卓用戶的惡意軟體攻擊行動，目的是竊取網路銀行帳戶當中的存款。他們得知有人以某些公司的名義發送簡訊，內容是關於帳號異常或是債務追討，並要求用戶撥打指定的電話號碼，進一步確認詳細情況。</p> <p>若是使用者照做，歹徒便回覆這是詐騙，使用者應採取進一步的防護措施因應。在通話過程當中，對方就會寄送另一則簡訊，聲稱提供McAfee防毒軟體安裝程式，若是用戶點選連結，下載APK檔案並執行安裝，手機就會被植入惡意程式，駭客可藉此存取手機應用程式及訊息，並從網路銀行洗劫受害者的帳戶。</p> <p><a href="https://www.ithome.com.tw/news/162719"><strong style="font-size: 22px;">假冒記者、NGO人員、網站、郵件寄送、短網址！伊朗APT42搜刮使用者憑證、竊取存放在M365雲服務的資料，並散播後門程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/untangling-apt42-fig17_max-1800x1800.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/untangling-apt42-fig17_max-1800x1800.png" style="width: 300px; float: right;" /></a>資安業者Mandiant指出，他們自2022年9月揭露隸屬於伊斯蘭革命護衛警察情報組織（IRGC-IO）的伊朗駭客組織APT42，近期這些駭客又有新的攻擊行動。</p> <p>研究人員指出，這些駭客冒充記者及社會運動人士，藉由持續通訊與受害者建立信任關係，向使用者發送會議邀請通知，或是合法檔案，透過社交工程的手法挖掘相關帳密資料，從而存取受害組織的雲端環境。得逞後，這些駭客竊取對伊朗有戰略價值的資料，過程中對方仰賴系統內建功能及開源工具，以便迴避偵測。</p> <p>除上述的竊取軍事機密情報，該組織也會藉由網路釣魚的方式，散布名為Nicecurl及Tamecat的後門程式，以便取得受害組織的初始存取權限，並拿來執行命令的管道，或是作為部署其他惡意軟的跳板。</p> <p><a href="https://www.ithome.com.tw/news/162717"><strong style="font-size: 22px;">美國證實去年底修補的GitLab危急漏洞CVE-2023-7028已出現攻擊行動</strong></a></p> <p></p> <p>今年1月11日，軟體開發平臺GitLab揭露與修補CVSS滿分10分的重大漏洞CVE-2023-7028，由於能在無需與使用者互動的狀態下，將重設密碼的電子郵件寄送至任何信箱，可能導致用戶帳號因此遭到非法接管，月底Shadowserver基金會警告，根據他們的偵測，未修補這個漏洞且能透過網際網路存取的GitLab伺服器，數量高達5,379臺（臺灣有52臺）。事隔3個月，美國證實該漏洞已出現攻擊行動。</p> <p>5月1日美國網路安全暨基礎設施安全局（CISA）將上述漏洞加入已遭利用漏洞的名單（KEV），並指出它成為惡意網路活動的常見攻擊手法，將對政府與企業造成嚴重風險，要求聯邦政府各單位需在5月22日之前，完成內部弱點管理的審視與更新作業。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://securityaffairs.com/162778/cyber-crime/law-enforcement-seized-lockbit-site-again.html"><strong style="font-size: 20px;">執法單位再度針對勒索軟體駭客LockBit的網站出手，預告透露對方更多身分相關資訊</strong></a></p> <p></p> <p>◆<a href="https://www.trendmicro.com/en_us/research/24/e/router-roulette.html"><strong style="font-size: 20px;">俄羅斯駭客組織APT28與相關網路犯罪組織操控EdgeRouter路由器、物聯網設備，經營殭屍網路Moobot</strong></a></p> <p></p> <p>◆<a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/graph-api-threats"><strong style="font-size: 20px;">微軟圖表資料分析Graph的API遭到駭客濫用的情況日益頻繁，對方將其用於惡意通訊、隱匿行蹤</strong></a></p> <p></p> <p>◆<a href="https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3762915/nsa-highlights-mitigations-against-north-korean-actor-email-policy-exploitation/"><strong style="font-size: 20px;">針對北韓駭客APT43濫用DMARC政策掩蓋網路釣魚攻擊，美國提出警告</strong></a></p> <p></p> <p>◆<a href="https://www.zscaler.com/blogs/security-research/zloader-learns-old-tricks"><strong style="font-size: 20px;">惡意程式Zloader捲土重來，駭客納入金融木馬Zeus的反分析機制</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162701"><strong style="font-size: 22px;">特權管理系統Delinea Secret Server修補高風險漏洞，恐被用於挾持管理員帳號</strong></a></p> <p></p> <p>以特權存取管理（PAM）著稱的資安廠商Delinea，在4月12日於服務狀態頁面當中，突然宣告他們正在調查一起資安事故，而在當天事故公告頁面提到，這起事故影響的服務已經處理好了，工作團隊部署修正機制，所有系統恢復正常運作，先前連至端點的流量，也從阻擋改為開放。該公司也在14日，發布11.7.000001版Secret Server On-Premises的更新予以修補。29日資安組織MITRE發布正式漏洞編號為CVE-2024-33891，CVSS風險評估為8.8分。</p> <p>值得留意的是，最早發現上述的漏洞，是2月中向該公司通報問題的資安研究員Johnny Yu（straight_blast），但因為不是該公司付費客戶當時並未受理，於是他找上美國電腦網路危機處理暨協調中心（CERT）協調此事。另一名察覺此事的是資安研究員Kevin Beaumont，他在4月12日發現Delinea Secret Server Cloud因資安事故而停擺至少5個小時的狀態，並確認與Johnny Yu通報的漏洞有關。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162699"><strong style="font-size: 22px;">防止電腦連上惡意網域，微軟宣布將為Windows加入零信任DNS技術</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/tojens_3-1714407804262.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/tojens_3-1714407804262.png" style="width: 300px; float: right;" /></a>為了強化企業組織的零信任防護，避免使用者不慎被帶往惡意網域，5月2日微軟宣布，他們打算在Windows作業系統當中，納入名為零信任DNS（Zero Trust DNS，ZTDNS）的防護機制，透過這項功能，Windows用戶將只能存取受信任的白名單網域，從而改善網路安全。目前ZTDNS為非公開預覽階段，但微軟預告，接下來將會對Insider測試人員提供，也會在未來成為Windows的正式功能。</p> <p>該公司表示，ZTDNS使用開放標準為基礎的網路協定，從而滿足OMB M-22-09及NIST SP 800-207等規範的零信任要求。ZTDNS整合該作業系統的DNS用戶端及Windows Filtering Platform（WFP），實現以網域名稱為基礎的流量過濾。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162669"><strong>【5月3日】殭屍網路Goldoon鎖定D-Link家用路由器DIR-645老舊漏洞發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162601"><strong>【5月2日】Docker Hub遭濫用，被用來散播惡意程式與架設釣魚網站的映像儲存庫比例高達2成</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162601"><strong>【4月30日】安卓金融木馬Brokewell透過冒牌Chrome更新網頁散布</strong></a></p> </div></div></div>
2024/5/6 18:20作者周峻佑https://www.ithome.com.tw/news/162725
芬蘭有銀行用戶遭安卓惡意軟體攻擊，寄送詐騙警示簡訊，後續假借金融業者名義要求用戶下載冒牌防毒軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月3日芬蘭運輸和通訊局（Transport and Communications Agency，Traficom）提出警告，<a href="https://www.kyberturvallisuuskeskus.fi/fi/ajankohtaista/kyberturvallisuuskeskuksen-viikkokatsaus-182024">指出近期出現鎖定安卓用戶的惡意軟體攻擊行動</a>，目的是竊取網路銀行帳戶當中的存款。</p> <p>他們得知有人以某些公司的名義發送簡訊，內容是關於帳號異常或是債務追討，並要求用戶撥打指定的電話號碼，進一步確認詳細情況。</p> <p>若是使用者照做，歹徒便回覆這是詐騙，使用者應採取進一步的防護措施因應。在通話過程當中，對方就會寄送另一則簡訊，聲稱提供McAfee防毒軟體安裝程式，若是用戶點選連結，下載APK檔案並執行安裝，手機就會被植入惡意程式，駭客可藉此存取手機應用程式及訊息，並從網路銀行洗劫受害者的帳戶。</p> <p><a href="https://s4.itho.me/sites/default/files/images/pankki_haittis_infografiikka_web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/pankki_haittis_infografiikka_web.jpg" style="width: 580px;" /></a></p> <p>而對於這起事故造成的損失，當地警方指出，在其中一起攻擊當中，<a href="https://poliisi.fi/-/poliisi-on-tunnistanut-jalleen-uudenlaisen-huijaustyypin-asianomistajalta-vietiin-95-000-euroa">受害者損失9.5萬歐元（約新臺幣33萬元）</a>。</p> <p>當地金融集團OP Financial Group也提出警告，<a href="https://www.op.fi/fi/-/juuri-nyt-yritysten-nimissa-lahetetaan-kalasteluviesteja-ala-soita-niissa-annettuihin-numeroihin?icmp=yl-atiili-2">並指出歹徒佯稱是銀行或是政府當局發送詐騙簡訊</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/260424_1.jpg" style="width: 449px;" /></p> <p>雖然上述的政府機關及金融機構並未透露惡意程式的細節，但根據歹徒向芬蘭民眾聲稱提供McAfee防毒軟體這項特徵，<a href="https://www.bleepingcomputer.com/news/security/finland-warns-of-android-malware-attacks-breaching-bank-accounts/">資安新聞網站Bleeping Computer認為</a>，很有可能是資安業者Fox-IT日前揭露的<a href="https://www.ithome.com.tw/news/162113#vultur">金融木馬Vultur</a>。</p> </div></div></div>
2024/5/6 15:23作者周峻佑https://www.ithome.com.tw/news/162705
假冒記者、NGO人員、網站、郵件寄送、短網址！伊朗APT42搜刮使用者憑證、竊取存放在M365雲服務的資料，並散播後門…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Mandiant指出，他們自2022年9月揭露隸屬於伊斯蘭革命護衛警察情報組織（IRGC-IO）的伊朗駭客組織APT42，<a href="https://cloud.google.com/blog/topics/threat-intelligence/untangling-iran-apt42-operations">近期這些駭客又有新的攻擊行動</a>，最終會在受害電腦部署名為Nicecurl及Tamecat的後門程式。</p> <p>研究人員指出，這些駭客冒充記者及社會運動人士，藉由持續通訊與受害者建立信任關係，向使用者發送會議邀請通知，或是合法檔案，透過社交工程的手法挖掘相關帳密資料，從而存取受害組織的雲端環境。得逞後，這些駭客竊取對伊朗有戰略價值的資料，過程中對方仰賴系統內建功能及開源工具，以便迴避偵測。</p> <p>除上述的竊取軍事機密情報，該組織也會藉由網路釣魚的方式，散布名為Nicecurl及Tamecat的後門程式，以便取得受害組織的初始存取權限，並拿來執行命令的管道，或是作為部署其他惡意軟的跳板。</p> <p>根據他們的調查，這些駭客利用至少3個基礎設施來針對政府機關、新聞媒體、非政府組織及社會運動人士而來。但無論對象為何，對方在攻擊行動裡，採用相似的策略、技術、流程（TTP），而網域名稱、誘餌則有所不同。</p> <p>在其中一種攻擊行動裡，這些駭客冒充華盛頓郵報、經濟學人、耶路撒冷郵報、Khaleej Times、Azadliq等新聞媒體及非政府組織，大多會利用拼寫錯誤的網域名稱，藉由發送帶有新聞內容的釣魚郵件，目的是將收信人導向冒牌Google登入網頁，從對伊朗感興趣的地緣政治實體、研究人員、新聞記者竊取帳密資料。</p> <p>而另一種攻擊手法，對方則是透過.top、.online、.site、.live等頂級網域名稱（TLD），架設冒牌的登入網頁、檔案代管服務、YouTube網站，然後假借邀請加入會議，或是共享檔案的名義寄送釣魚信，目標是對伊朗政權構成威脅的研究人員、記者、非政府組織領導人、人權鬥士，從而竊取他們的網路服務帳密資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/untangling-apt42-fig6_max-1500x1500.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/untangling-apt42-fig6_max-1500x1500.png" style="width: 580px;" /></a></p> <p>第3種則是針對美國及以色列的國防和外交事務相關人士而來，駭客偽裝成非政府組織、Mailer Daemon、短網址服務Bitly，疑似透過釣魚郵件發動攻擊。他們看到對方去年11月，針對以色列大學的核子物理學教授下手，企圖竊取Microsoft 365帳密。</p> <p>在透過上述3種管道取得帳密資料後，研究人員指出，他們在2022至2023年，看到這些駭客企圖從受害的美國、英國法律服務機構、非政府組織的公有雲基礎設施，竊取伊朗政府感興趣的敏感資料。</p> <p>他們看到對方透過社交工程取得帳密資料後，就會將受害者導向冒牌的Duo身分驗證服務來繞過雙因素驗證（MFA），得逞後就會利用收信軟體Thunderbird存取受害者的電子郵件信箱，然後存取Citrix應用程式，並透過遠端桌面連線（RDP）進行偵察。</p> <p><a href="https://s4.itho.me/sites/default/files/images/untangling-apt42-fig17_max-1800x1800.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/untangling-apt42-fig17_max-1800x1800.png" style="width: 580px;" /></a></p> <p>過程中駭客利用多種迴避偵測的手法，像是濫用Microsoft 365內建工具、檢視感興趣的資料後清除Chrome的瀏覽記錄，此外，駭客利用ExpressVPN服務、Cloudflare代管網域、臨時VPS伺服器來隱匿行蹤。</p> <p>而對於駭客使用的後門程式，研究人員指出，Nicecurl是透過VBS打造而成，攻擊者可加裝特定的外掛模組，以便執行特定任務，此後門程式透過HTTPS加密通訊協定與C2通訊。</p> <p>第2款後門程式Tamecat功能較為複雜，可執行PowerShell程式碼或C#指令碼，對方疑似藉此進行資料竊取及控制受害電腦。值得一提的是，攻擊者使用Base64混淆C2通訊流量，並能動態調整配置，從而迴避防毒軟體的偵測機制。</p> </div></div></div>
2024/5/6 17:19作者周峻佑https://www.ithome.com.tw/news/162719
防裝置連上惡意網域，微軟將為Windows加入零信任DNS技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/networking-blog/announcing-zero-trust-dns-private-preview/ba-p/4110366" target="_blank">微軟上周宣布一項零信任安全技術</a>，可藉由鎖定Windows PC只能連結受信任的網域，以確保用戶及企業網路安全，未來也將整合到所有Windows中。</p> <p>新技術名為零信任DNS（Zero Trust DNS，ZTDNS），微軟也預告未來的Windows都將包含。微軟解釋，ZTDNS使用開放標準為基礎的網路協定以滿足零信任要求，如<a href="https://www.whitehouse.gov/wp-content/uploads/2022/01/M-22-09.pdf" target="_blank">OMB M-22-09</a>及<a href="https://csrc.nist.gov/pubs/sp/800/207/final" target="_blank">NIST SP 800-207</a>，適用以網域名識別網路流量的管理策略。</p> <p>ZTDNS可整合Windows DNS用戶端及Windows Filtering Platform（WFP），實現以網域名為基礎的鎖定。Windows內含一組支援DoH（DNS over HTTPS）或DoT（DNS over TLS）的伺服器，名為Protective DNS Server，這些元件將只解析列在白名單中的網域名。此外Windows也可能包含一組必須常保連線的IP子網路清單，並在連線時等待Protective DNS伺服器憑證身分資訊，好確認連線連到了正確的伺服器，或是用於用戶端驗證的憑證。</p> <p>其次，具有ZTDNS的Windows將封鎖Protective DNS伺服器連線以外、以及發現網路連線資訊必要的DHCP、DHCPv6、NDP流量以外的IPv4、IPv6連線。</p> <p>透過整合ZTDNS，未來從Windows PC上Protective DNS伺服器所發出任何一個包含IP解析動作的DNS回應，都會觸發連外流量的白名單檢查，這可確保使用系統DNS組態的應用程式和服務可獲得放行，連結到已解析的IP位置。反之，若應用程式和服務想對某個ZTDNS不認識（且未被手動加入例外清單）的IP位址傳送IPv4或IPv6流量時就會被封鎖。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-ZTDNS-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-microsoft.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> <p>但是Windows中的DNS伺服器若想扮演Zero Trust DNS角色，最基本要求是要能支援DoH或DoT，因為ZTNDS會拒絕Windows的明碼DNS連線。而在加密DNS連線上使用mTLS（mutual TLS，雙向驗證TLS）後，可允許Protective DNS按個別用戶端設定解析政策。微軟說，ZTDNS不使用新的網路協定，可確保其高相容性。</p> <p>ZTDNS現在為限制性預覽階段，微軟說之後等更多用戶獲得ZTDNS用戶端後，會再進一步擴大測試。</p> <p>但微軟也說明ZTDNS可能會影響一些現有安全性較低的連線。由於封鎖了所有無法判讀網域名的連外流量，因此一些網路協定包括mDNS、LLMNR、NetBIOS Name Resolution、UPnP和WebRTC等會失去作用。其中有些可以藉由定義一些例外IP子網路重新開啟，但那些無法預先得知IP的連線就是無解了。</p> <p>但微軟也提醒，列出例外IP白名單有二個需要考量的地方。一是必須精簡，免得白名單太長，二是只限全球獨一無二的IP位址，免得不同網域有相同IP位址的主機。</p> </div></div></div>
2024/5/6 16:32作者林妍溱https://www.ithome.com.tw/news/162699
未修補GitLab重大漏洞且暴露在網際網路的伺服器，目前還有兩千多臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月11日，<a href="https://about.gitlab.com/releases/2024/01/11/critical-security-release-gitlab-16-7-2-released/">軟體開發平臺GitLab揭露與修補CVSS滿分10分的重大漏洞CVE-2023-7028</a>，由於能在無需與使用者互動的狀態下，將重設密碼的電子郵件寄送至任何信箱，可能導致用戶帳號因此遭到非法接管，而且受到影響的版本不少，涵蓋GitLab社群版與企業版的16.1版至16.7.1版，引發軒然大波，當時該公司表示尚未偵測到任何濫用此漏洞的活動，但是，到了月底，Shadowserver基金會警告，根據他們的偵測，未修補這個漏洞且能透過網際網路存取的GitLab伺服器，數量高達5,379臺（臺灣有52臺）。</p> <p></p><div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">Running GitLab? We are sharing instances vulnerable to CVE-2023-7028 (Account Takeover via Password Reset without user interactions) - 5379 instances found worldwide (on 2024-01-23). Top: US (964) & Germany (730)</p> <p>Check for signs of compromise and patch: <a href="https://t.co/XqIbXO5GBp">https://t.co/XqIbXO5GBp</a> <a href="https://t.co/6f3v9oHaOG">pic.twitter.com/6f3v9oHaOG</a></p> <p>— The Shadowserver Foundation (@Shadowserver) <a href="https://twitter.com/Shadowserver/status/1750115947430416434?ref_src=twsrc%5Etfw">January 24, 2024</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p><a href="https://dashboard.shadowserver.org/zh-hant/statistics/combined/time-series/?date_range=180&source=http_vulnerable&source=http_vulnerable6&tag=cve-2023-7028%2B&dataset=unique_ips&limit=1000&group_by=geo&style=stacked"><img alt="" src="https://s4.itho.me/sites/default/files/images/SS-2024-01-23-CVE-2023-7028.png" style="width: 600px;" /></a></p> <p>相隔3個多月之後（5月1日），美國網際安全暨基礎設施安全局（CISA）宣布將此漏洞<a href="https://www.cisa.gov/news-events/alerts/2024/05/01/cisa-adds-one-known-exploited-vulnerability-catalog">加入已知遭濫用漏洞（KEV）型錄</a>，並表示它成為惡意網路活動的常見攻擊手法，將對政府與企業造成嚴重風險，因此，CISA要求聯邦政府各單位需在5月22日之前，完成內部弱點管理的審視與更新作業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/KEV-CVE-2023-7028.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/KEV-CVE-2023-7028.jpg" style="width: 600px;" /></a></p> <p>根據Shadowserver基金會的偵測，全球暴露在此漏洞風險且位於網際網路的伺服器數量，已下降至2,149臺（臺灣有11臺）。</p> <p><a href="https://dashboard.shadowserver.org/zh-hant/statistics/combined/time-series/?date_range=180&source=http_vulnerable&source=http_vulnerable6&tag=cve-2023-7028%2B&dataset=unique_ips&limit=1000&group_by=geo&style=stacked"><img alt="" src="https://s4.itho.me/sites/default/files/images/SS-2024-05-01-CVE-2023-7028.png" style="width: 600px;" /></a></p> <p> </p> </div></div></div>
2024/5/6 16:58作者李宗翰https://www.ithome.com.tw/news/162717
【資安週報】2024年4月29日到5月3日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期的漏洞消息中，GitLab在1月初修補的已知漏洞CVE-2023-7028最要留意，因為近期確定了攻擊者正開始鎖定利用的情況。</p> <p>還有WordPress Automatic Plugin在兩個月前修補CVSS風險評分9.9分的漏洞CVE-2024-27956，由於近期發現攻擊者正試圖積極利用這項漏洞接管網站，也引發研究人員示警。</p> <p>關於其他重要漏洞修補，包括：HPE Aruba Networking的4月資安公告中修補了4個重大漏洞，Brocade修補SAN管理軟體多個漏洞，以及程式語言R開發團隊修補高風險漏洞CVE-2024-27322。</p> <p>在資安事件方面，這一星期有多起資安事故成為焦點，不只Dropbox向美國證交所（SEC）通報重大資安事故受關注，還有加拿大、瑞典藥局與物流業者遭勒索攻擊，導致服務或供應中斷的事件。<br /> ●Dropbox揭露旗下Dropbox Sign數位簽章方案（原為HelloSign）遭駭，有部分用戶的金鑰及MFA驗證資訊遭存取，曾接收簽章文件的電子郵件信箱恐也外洩。<br /> ●加拿大連鎖藥局London Drugs遭遇網路攻擊，導致門市被迫暫停營業。當地<a href="https://www.youtube.com/watch?v=lrZ-6yBOMmc">80多家門市受影響</a>，並在<a href="https://www.cbc.ca/news/canada/british-columbia/drugstore-cyberattack-canada-1.7194503">關閉6天後正逐步開放重新營業</a>。<br /> ●瑞典物流業者Skanlog傳出遭遇勒索軟體攻擊，由於該物流與當地國營酒類專賣局Systembolaget合作，因此衝擊到當地酒品的供應，預估影響15%銷售額。<br /> ●福斯汽車傳出資料外洩，駭客疑似竊得逾1.9萬份涉及智慧財產權的機密資料。</p> <p>在威脅態勢上，我們認為有2項消息需要特別重視，當中涉及了關鍵CI的攻擊態勢，以及網釣威脅的現況。我們整理如下：</p> <p>（一）前幾個月美國各地不時傳出水力設施等關鍵CI遭攻擊的情況，最近美、加、英等7國網路安全機構聯手發布這方面的警告，當中說明駭客使用3種技術手法以遠端存取HMI，並對底層OT進行更改，例如：透過VNC通訊協定，濫用VNC的RFB遠端框架緩衝協定登入，以及利用5900埠的VNC。另也呼籲這些關鍵CI組織，應限制OT系統曝光於網際網路，並對所有存取OT網路的途徑實施MFA。</p> <p>（二）近期有資安業者揭露，近半年來假冒美國郵局的詐騙簡訊不斷，他們進而盤查仿冒美國郵件的網站，有68萬個網站帶有USPS字樣，顯然是為了混淆用戶而來，他們並從用戶的DNS查詢量發現，竟有49%都被導向釣魚網站，這突顯了網域名稱搶註、網釣攻擊仍泛濫的現象。</p> <p>另一值得注意的是，思科一個多月前指出，發現7個廠牌的設備或服務遭大規模暴力破解攻擊，如今Okta也表示，發現針對客戶的帳號填充（Credential Stuffing）攻擊在4月底呈現大幅增加的情況，並且都是濫用基於合法裝置而成的代理伺服器來發起攻擊。</p> <p>至於其他最新惡意活動的揭露，本星期的焦點還包括：殭屍網路Goldoon持續鎖定老舊無線路由器，惡意程式Cuttlefish鎖定小型路由器並具備零點擊攻擊能力，以及攻擊者濫用Docker Hub映像檔儲存庫出現新手法。</p> <p>在資安防護方面，國際間有一個重要新聞，英國產品安全暨電信基礎設施法PSTI Act於4月29日正式施行，當中明訂消費性IoT產品在出廠時，不得採用弱密碼或常見預設密碼，此舉也使英國成為全球首個強制在全國境內推動這項要求的國家。</p> <p>國內也有兩則消息，分別是：GiCS尋找資安女婕思的資安競賽活動今年第四度舉辦，以及金管會宣布對於設置資安長的要求將擴及電支機構，預計街口支付、一卡通、全支付、悠遊卡這4大業者將在首波範圍之內。</p> <p>至於技術層面，誘餌檔案的應用也越來越常見於資安防護，最近也有儲存系統廠商宣布，針對勒索軟體保護功能新增誘餌檔案（Decoy files）方式，以偵測攻擊者的非法存取行為。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/162579"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月29日】互動式BI系統Qlik Sense危急漏洞遭到鎖定，對方利用勒索軟體Cactus發動攻擊</span></strong></a></h3> <p>去年互動式BI系統Qlik Sense修補多個已知漏洞CVE-2023-41265、CVE-2023-41266、CVE-2023-48365，事隔2個月傳出駭客組織鎖定尚未修補的伺服器下手，對其植入勒索軟體Cactus加密檔案。事隔5個月，這波攻擊的態勢並未趨緩，但仍有不少伺服器仍未套用更新軟體而曝險。</p> <p>資安業者Fox-IT指出，截至今年4月17日，曝露於網際網路上的Qlik Sense伺服器超過6成存在前述漏洞，且已有超過100臺伺服器遭到入侵。</p> <p><a href="https://www.ithome.com.tw/news/162601"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月30日】安卓金融木馬Brokewell透過冒牌Chrome更新網頁散布</span></strong></a></p> <p>鎖定手機的金融木馬攻擊不時傳出，最近研究人員揭露名為Brokewell的惡意程式，並指出該惡意程式能繞過Android 13的防護機制，進而透過側載的方式執行其他作案工具。</p> <p>值得留意的是，Brokewell並非首款能繞過上述防護機制的安卓惡意軟體，但研究人員認為，攻擊者未來應該會透過租賃服務提供其他網路犯罪份子利用，使得該惡意軟體危害範圍進一步擴大。</p> <h3><a href="https://www.ithome.com.tw/news/162649"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月2日】Docker Hub遭濫用，被用來散播惡意程式與架設釣魚網站的映像儲存庫比例高達2成</span></strong></a></h3> <p>在針對Kubernetes環境的攻擊行動當中，駭客最常用來傳送惡意程式的方式，就是藉由映像檔儲存庫Docker Hub，透過拉取惡意Docker映像檔來進行，但如今有另一批人馬透過完全不同的角度來濫用此映像檔儲存庫。</p> <p>資安業者JFrog揭露最新一波攻擊行動，並指出其共通點，就是駭客建立的儲存庫都沒有Docker映像檔。</p> <p><a href="https://www.ithome.com.tw/news/162669"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月3日】殭屍網路Goldoon鎖定D-Link家用路由器DIR-645老舊漏洞發動攻擊</span></strong></a></p> <p style="margin: 0px;">一般而言，殭屍網路攻擊行動，往往針對多種類型的設備而來，或是對於多個漏洞發動攻擊，但最近資安業者Fortinet揭露的攻擊行動，駭客竟只針對單一型號的路由器，以及完成修補的已知漏洞下手。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">這起攻擊行動的特殊之處，在於對方專門對於家用路由器DIR-645而來，且利用已知漏洞CVE-2015-2051發動攻擊，而這個漏洞早在9年前就被修補，由此可見，仍有不少該型號設備尚未套用新版韌體而曝險。</p> </div></div></div>
2024/5/6 09:32作者羅正漢https://www.ithome.com.tw/news/162696
捷克、德國證實去年遭遇俄羅斯駭客APT28入侵，對方利用Outlook重大漏洞發起攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到俄羅斯軍情單位GRU指使的駭客組織APT28（也被稱做Forest Blizzard、Strontium），最近幾個月攻擊歐洲國家的情況變得更加頻繁，不時有相關事故出現，如今有兩個國家不約而同對該組織的攻擊行動提出警告，並指出駭客利用特定的已知漏洞發動攻擊。</p> <p>5月3日德國聯邦政府（Bundesregierung）、捷克外交部（MFA）發布公告，指出，這些駭客利用Outlook漏洞對他們國內的企業組織下手。這樣的情況，也引起歐盟、北約組織（NATO）、美國聯手譴責。</p> <p>德國聯邦政府指控<a href="https://www.bundesregierung.de/resource/blob/975226/2276130/ec59e50158ff9ba014025ba5abbfe6ec/2024-05-03-attribution-of-a-russian-cyber-campaign-data.pdf">該組織針對社會民主黨執行委員會發動攻擊</a>，對方在一段相對較長的時間裡，利用重大層級的Outlook漏洞，入侵數個電子郵件帳號，而該漏洞當時尚未被公布。該國亦指控，當地有多個政府機關及企業偵測到相關攻擊行動，而且，包含烏克蘭在內的其他歐洲國家，也出現類似情形。</p> <p>捷克外交部也發出聲明，指出自2023年起，<a href="https://mzv.gov.cz/jnp/en/issues_and_press/press_releases/statement_of_the_mfa_on_the_cyberattacks.html">該國部分企業組織遭遇該組織攻擊</a>，其共通點就是利用當時未知的Outlook漏洞。</p> <p>雖然上述兩則聲明並未透露漏洞的CVE編號，但<a href="https://thehackernews.com/2024/05/microsoft-outlook-flaw-exploited-by.html">資安新聞網站Hacker News指出</a>，此為重大層級的Outlook權限提升漏洞CVE-2023-23397，CVSS風險評為9.8分，一旦遭到利用，攻擊者就有機會取得使用者的Net-NTLMv2雜湊值，透過NTLM中繼攻擊，從而冒用該名使用者的身分通過驗證。</p> <p>對此，<a href="https://www.nato.int/cps/en/natohq/official_texts_225230.htm">北約組織</a>與<a href="https://www.consilium.europa.eu/en/press/press-releases/2024/05/03/cyber-statement-by-the-high-representative-on-behalf-of-the-eu-on-continued-malicious-behaviour-in-cyberspace-by-the-russian-federation/">歐盟</a>發出聲明，指控俄羅斯政府持續在網路空間不負責任的態度，對歐盟國家的安全構成威脅。<a href="https://www.state.gov/the-united-states-condemns-malicious-cyber-activity-targeting-germany-czechia-and-other-eu-member-states/">美國</a>、<a href="https://www.gov.uk/government/news/united-kingdom-joins-partners-in-condemnation-of-malicious-cyber-activity-by-russian-intelligence-services-uk-government-statement">英國</a>也譴責上述網路攻擊事故，美國並點名駭客攻擊德國利用的漏洞，就是CVE-2023-23397。</p> <p>而這並非APT28首度傳出利用此項Outlook漏洞發動攻擊的情況。去年12月，<a href="https://www.ithome.com.tw/news/160167">波蘭網路司令部表示</a>，他們發現該國的公家機關與企業組織遭遇相關漏洞攻擊，他們提供偵測工具，以便企業組織識別相關威脅。</p> </div></div></div>
2024/5/6 12:47作者周峻佑https://www.ithome.com.tw/news/162700
Delina揭露特權存取管理產品漏洞，4月中完成修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了進一步強化高權限者的身分與存取安全，部分企業導入特權存取管理（PAM）解決方案，然而，這類系統必須更嚴謹地進行開發與設計，因為一旦存在資安漏洞，可能又會形成新的重大風險，最近就發生一起這樣的事故，以PAM著稱的資安廠商Delinea，在4月12日（週五）該公司網站的服務狀態頁面當中，突然宣告他們正在調查一起資安事故，而在當天事故公告頁面提到，這起事故影響的服務已經處理好了，工作團隊部署修正機制，所有系統恢復正常運作，先前連至端點的流量也從阻擋改為開放。<img alt="" src="https://s4.itho.me/sites/default/files/images/2024-04-12-Delona%20outage.jpg" style="width: 600px;" /></p> <p>他們也在自家技術支援網站發布用戶處理指引，編號為KB-010572，描述影響的產品為Secret Server Cloud、Secret Server On-Premises，以及所面臨的問題與矯正的方法。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Delina%20Security%20bugs-KB.jpg" style="width: 600px;" /></p> <p>隔天他們在自家網站的信任中心網頁發布公告，表示發現旗下PAM產品Secret Server的SOAP API有漏洞，攻擊者可藉此跳過身分認證，初步處理對策是限制所有SOAP端點、使其無法存取所有區域，以避免暴露，此項阻擋機制將持續到Deliena能夠修補漏洞為止。</p> <p>14日Delinea正式發布Secret Server On-Premises的更新（11.7.000001），目的是解決SOAP API的重大漏洞，關於此產品先前版本的相同漏洞修補，會在測試完成之後釋出，該公司工程與資安團隊也進行調查，檢查是否有租戶資料外洩，當時他們並未發現有這樣的狀況，也沒有嘗試濫用這個漏洞的行為。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Delina%20Trust%20Center.jpg" style="width: 600px;" /></p> <p>此漏洞之所以發現，根據資安新聞媒體Help Net Security的報導，有兩大功臣。一位是先找到問題的<a href="https://straightblast.medium.com/all-your-secrets-are-belong-to-us-a-delinea-secret-server-authn-authz-bypass-adc26c800ad3">資安研究員Johnny Yu（straight_blast）</a>，並於2月中向該公司通報，但因為不是他們的付費客戶或組織而沒受理，於是他找上美國電腦網路危機處理暨協調中心（CERT）協調，直到4月12日Delina才發布公告承認此事；另一位是<a href="https://doublepulsar.com/delinea-has-cloud-security-incident-in-thycotic-secret-server-gaff-581a33990882">資安研究員Kevin Beaumont</a>，是他在4月12日發現Delinea Secret Server Cloud因資安事故而停擺至少5個小時的狀態，也在該公司網站看到他們發布公告，並確認此事與straight_blast發現的漏洞有關。</p> <p>到了4月29日，<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-33891">資安組織MITRE也為此發布正式漏洞編號為CVE-2024-33891</a>，CVSS風險評估為8.8分，屬於高度嚴重等級的資安漏洞，而現在Delina在KB-01057這份處理公告中，也明確列出需升級到11.5.000003、11.6.000026、11.7.000001這三個版本，可修補這個漏洞。</p> </div></div></div>
2024/5/6 12:56作者李宗翰https://www.ithome.com.tw/news/162701
Google將在明年6月關閉Google Fit、REST開發者API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2024/05/evolving-health-on-android-migrating-from-google-fit-apis-to-android-health.html" target="_blank">Google宣布</a>將於明年6月底關閉Google Fit開發者API，由Android Health取代，呼籲開發人員儘速啟動移轉。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-Google%20Fit%20Android%20API-Health%20Connect%20API.png" style="width: 426px;" /></p> <p>2022年起Google逐漸擴大對Android Health平臺的投資，作為其健康應用及硬體生態糸的單一統合基礎，目的在減少平臺零碎化，並簡化開發流程。Google預計將把Fit開發服務整合到Android Health平臺上，Google說這可為開發人員及使用者提供跨平臺無縫環境。為此Google Fit API包括REST API將在2025年6月30日關閉，讓開發人員有更多時間將開發工作轉移到Android Health。</p> <p>於此同時，從即日起，Google Fit API不再接受新註冊。該公司也建議開發人員及早行動，確保用戶使用的平順移轉。</p> <p>Google表示，Android Health API比起Fit API有多項優點。第一是在開發行走步數、距離和卡路里記錄功能，Android Health包含手機版紀錄（Recording）API，不需用戶Google帳號或存取API scope（範圍），也比原有的Android SensorManager（ASM）更省電。它可隨行走步數功能啟用，之後也將支援距離及卡路里計算。第二，手機版紀錄API讓開發人員最長可存取10天的資料。第三，開發出的App若整合Google Health Connect，即可存取Android生態體系的眾多App。此外，用戶資料是儲存在裝置上，用戶具有完整控制權。</p> <p>為讓開發人員移轉更平順，<a href="https://developer.android.com/health-and-fitness/guides/health-connect/migrate/migration-guide" target="_blank">Google也提供搬移指引</a>，協助其從Google Fit API搬移到Android Health產品，主要是Health Connect上。</p> <p>但對於也將在明年6月底關閉的Fit REST API，Google解釋，由於Android Health API將轉向裝置端模型，因此Fit REST API沒有取代方案。Google鼓勵開發人員轉移到Android Health API。</p> <p><a href="https://www.ithome.com.tw/news/154209" target="_blank">Health Connect為Google和三星共同開發</a>，旨在讓不同App的健康與健身資訊可以跨Android裝置互通。</p> <p>這家Android平臺大廠強調，Health Connect是其未來方向，除了Fitbit支援外，其他硬體夥伴如Withings、Signos、Oura、Peloton和Lifesum也都開發支援Android Health體系的產品。該公司鼓勵更多開發人員使用新的API家族，使Android平臺的連網健康及健身App更多元發展。雖然Google沒有強調，<a href="https://developer.samsung.com/health/blog/en/health/blog/accessing-samsung-health-data-through-health-connect" target="_blank">但三星穿戴裝置仍然經由Health Connect蒐集並匯整資料</a>。</p> <p><a href="https://9to5google.com/2024/05/04/google-fit-api-shutdown/" target="_blank">《9to5Google》</a>點出，Google並未說明Android、Wear OS及iOS平臺上開發的Fit App之後的命運。事實上，Google很早就沒有再更新Google Fit，最近一次要回溯到2022年，當時也只是將Fit App加入Health Connect支援。Fit沒有升級到最新的Material You設計語言，在Pixel Watch上，則是以Fitbit為主要App。由此可知，Google Fit雖然歷經Android Fit多次改名，仍然未逃過終止的命運，成為另一個走進歷史的產品。</p> </div></div></div>
2024/5/6 09:36作者林妍溱https://www.ithome.com.tw/news/162697
微軟公布安全未來倡議的6大支柱，部署全新的安全治理框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼去年11月<a href="https://www.ithome.com.tw/news/159624" target="_blank">提出</a>安全未來倡議（Secure Future Initiative，SFI），以及收到美國國土安全部網路安全審查委員會（Cyber Safety Review Board，CSRB）的<a href="https://www.ithome.com.tw/news/162123" target="_top">調查報告</a>之後，<a href="https://www.microsoft.com/en-us/security/blog/2024/05/03/security-above-all-else-expanding-microsofts-secure-future-initiative/" target="_blank">微軟上周五（5/3）提出了SFI的具體措施</a>，發表SFI的6大支柱，並宣布將部署全新的安全治理框架，新設多個副資安長執位，執行長<a href="https://blogs.microsoft.com/blog/2024/05/03/prioritizing-security-above-all-else/" target="_blank">Satya Nadella更宣告</a>微軟將全面以資安為優先的未來政策。</p> <p>CSRB對微軟的調查<a href="https://www.ithome.com.tw/news/157763" target="_blank">始於去年</a>微軟帳戶（MSA）消費者簽章金鑰的外洩，導致中國駭客組織Storm-0558於微軟服務中潛伏超過1個月，滲透歐美地區的25個政府組織，且<a href="https://www.ithome.com.tw/news/160947" target="_blank">今年初</a>俄羅斯駭客組織Midnight Blizzard又成功入侵微軟一個舊版的測試租戶帳戶，這次時間長達兩個月才被發現。CSRB認為，微軟的安全文化不足，才無法防堵這些可以預防的意外，建議微軟進行根本性的安全改革。</p> <p>於是，Nadella上周宣告，未來微軟整個組織都將投入SFI，以3大核心概念為基礎，分別是安全設計（Secure by Design）、以安全為預設（Secure by Default），以及安全操作（Secure Operations）。因此，未來微軟在設計任何產品及服務時，都將以安全為優先；也將在預設情況下啟用與強制執行安全保護；亦會持續改善安全控制及監控，以應對當前與未來的威脅。</p> <p>Nadella表示，安全是個團隊運動，不只是微軟安全團隊的任務，也是每個人的首要之務，亦為客戶的最大需求。在面臨安全與其它重要事項之間的權衡時，勢必以安全為優先；這意味著微軟在某些情況下將把安全性置於其它事務之上，不管是發布新功能，或是持續支援舊有系統。</p> <p>負責安全的微軟執行副總裁Charlie Bell則說明了對SFI的具體規畫，在基於安全設計、安全預設及安全操作的傘翼下，提出了SFI的6大支柱暨目標，包括保護身分與機密、保護租戶並隔離生產系統、保護網路、保護工程系統、監控與檢測威脅，以及加快回應與修復速度。</p> <p>這些目標直接符合微軟自Midnight Blizzard事件中所得到的教訓，以及CSRB對微軟所提出的4個、以及對所有雲端服務供應商所提出的12個建議，涵蓋安全文化、網路安全最佳實踐、審核日誌紀錄規範、數位身分標準與指南，以及透明度等。</p> <p>Bell指出，相關的支柱領導者正與各個不同的工程執行副總裁合作，以推動橫跨整個微軟的工程執行，不管是Microsoft Azure、Windows、Microsoft 365與Security部門，且每周都會有其它的產品團隊加入。</p> <p>為了貫徹SFI的目標，微軟實施了新的安全治理框架，將設立多個新的副資安長，建立這些副資安長與工程團隊的合作夥伴關係，共同負責監督SFI，管理風險，每周直接向資深管理團隊報告，董事會則會參與每季的進度報告。</p> <p>看起來微軟的確計畫從根本上改變該公司的安全文化，迄今已強制於微軟內部超過100萬個 Microsoft Entra ID租戶中自動強制執行多因素身分驗證，也已於生產及企業租戶中移除逾73萬個舊版或不符合最新SFI標準的應用程式，同時也擴大了日誌紀錄以替客戶提供更深入的可視性，亦開始透過通用缺陷列表（Common Weakness Enumeration，CWE）來公布微軟各種CVE的根本原因。</p> <p>Bell最後也呼應了執行長Nadella的說法，指出文化只能藉由日常行為來強化，在克服組織邊界時才能實現安全，並在從下而上、自端到端的問題解決過程中，令安全思維深植於微軟。</p> </div></div></div>
2024/5/6 09:46作者陳曉莉https://www.ithome.com.tw/news/162695