iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 11:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】5月20日，與人工智慧系統開發相關的Python套件存在漏洞，恐導致資料外流、遠端執行程式碼攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天的資安日報新聞幾乎都與AI有關，這些包含了鎖定人工智慧專家的攻擊行動，針對人工智慧開發工具的漏洞揭露，以及相關資安框架的發表。</p> <p>其中最值得留意的部分，是關於人工智慧開發工具的漏洞公布，其中用於開發相關系統的Python套件llama_cpp_python漏洞CVE-2024-34359相當值得留意，因為有可能引發供應鏈攻擊。資安業者Checkmarx指出，在AI技術與資料共享平臺Hugging Face有超過6千個模型以此套件打造而曝險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162954"><strong style="font-size: 22px;">半導體業者逸昌遭駭客網路攻擊，部分資訊系統受影響，仍在復原中</strong></a></p> <p>5月17日傍晚17時23分，上櫃半導體業者逸昌科技發布資安事件重大訊息，說明公司內有部分資訊系統遭受駭客攻擊。</p> <p>該公司表示，他們發現網路傳輸異常，以及部分伺服器遭受駭客攻擊的情況，公司的資安單位已立即啟動防禦復原機制，並與外部資安公司技術專家合作處理。</p> <p>值得留意的是，他們表示目前資訊系統陸續恢復中，意味著公告當下的周五傍晚，這些受影響的資訊系統尚未完全復原。目前我們也正詢問該公司後續復原的狀況。</p> <p><a href="https://www.ithome.com.tw/news/162981"><strong style="font-size: 22px;">美國人工智慧專家遭到鎖定，攻擊者對其散布惡意程式SugarGh0st RAT</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/UNK_SweetSpecter-l11.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/UNK_SweetSpecter-l11.png" style="width: 300px; float: right;" /></a>資安業者Proofpoint揭露鎖定美國人工智慧專家而來的攻擊行動UNK_SweetSpecter，對方於今年5月，針對當地參與人工智慧工作的學術機構、政府服務、企業組織而來，意圖對其散布SugarGh0st RAT。</p> <p>值得留意的是，研究人員指出，這起攻擊行動極具針對性，駭客的目標不到10人，且皆與一家具領先地位的美國人工智慧組織有直接關係。</p> <p>由於5月初傳出美國政府有意限制中國存取生成式AI服務，若是中國企業組織使用相關技術受限，很有可能尋求駭客來取得相關資訊，進一步達成中國發展的目標。從這樣的情勢來看，發動攻擊的駭客，很有可能與中國之間有所關連。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.arrl.org/news/arrl-systems-service-disruption"><strong style="font-size: 20px;">美國無線電聯盟遭遇網路攻擊，營運被迫中斷</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/webtpa-data-breach-impacts-24-million-insurance-policyholders/"><strong style="font-size: 20px;">醫療保健計畫暨保險管理服務業者WebTPA資料外洩，逾240萬人受到影響</strong></a></p> <p></p> <p>◆<a href="http://www.rapid7.com/blog/post/2024/05/13/ongoing-malvertising-campaign-leads-to-ransomware/"><strong style="font-size: 20px;">勒索軟體駭客透過惡意廣告聲稱提供PuTTY、WinSCP，意圖對企業組織的網路管理員下手</strong></a></p> <p></p> <p>◆<a href="https://securityintelligence.com/x-force/grandoreiro-banking-trojan-unleashed/"><strong style="font-size: 20px;">遭跨國執法單位圍勦的金融木馬Grandoreiro傳出東山再起，駭客鎖定超過60個國家、1,500家銀行客戶發動攻擊</strong></a></p> <p>◆<a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/springtail-kimsuky-backdoor-espionage"><strong style="font-size: 20px;">韓國Linux主機遭到北韓駭客kimsuky鎖定，被植入後門程式Gomir</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162976"><strong style="font-size: 22px;">用於人工智慧系統的Python開發套件存在重大漏洞，恐導致系統資料外流</strong></a></p> <p>資安研究人員Patrick Peng揭露名為Llama Drama的漏洞，該漏洞存在於Python套件llama_cpp_python，攻擊者可藉此濫用其搭載的範本引擎Jinja2執行任意程式碼，CVSS風險評分達到9.7，開發者接獲通報發布0.2.72版llama_cpp_python予以修補，此漏洞被登記為CVE-2024-34359列管。值得留意的是，由於此套件的功能，主要是讓開發者能在Python環境整合AI模型，因此很有可能導致供應鏈攻擊。</p> <p>針對這項漏洞，資安業者Checkmarx藉由部落格文章，進一步說明可能帶來的影響範圍。他們指出漏洞的核心問題在於，此套件在處理範本資料的過程中，並未使用沙箱或是其他適當的防護措施。研究人員指出，雖然Jinja2支援在沙箱中運作，但套件開發者並未導入這類機制而曝險。</p> <p>值得留意的是，他們在AI技術與資料共享平臺Hugging Face上，發現超過6千個模型採用帶有範本的gguf格式，而有可能曝露於上述漏洞的風險。</p> <p><a href="https://www.ithome.com.tw/news/162983"><strong style="font-size: 22px;">Intel發布5月例新更新，修補人工智慧模型壓縮工具重大漏洞</strong></a></p> <p>上週二（5月14日）Intel發布5月份例行更新，總共公告41項漏洞，但特別的是，有別於過往公告主要都與處理器有關，這次最為危險的漏洞，存在於人工智慧模型壓縮工具Neural Compressor，被登記為CVE-2024-22476列管，該公司發布2.5.0版進行修補。</p> <p>根據該公司的資安公告，這項漏洞與輸入驗證不當有關，未經身分驗證的攻擊者有可能遠端利用漏洞，進而提升權限，CVSS風險評分為10。</p> <p>值得留意的是，這項漏洞可被遠端利用，且操作複雜度並不高，並對於資料的機密性、完整性、可用性有很大的影響。此外，攻擊者也不需要特殊權限，利用漏洞的過程，同樣無需使用者互動就能進行。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162960"><strong style="font-size: 22px;">響應政府推動零信任架構，多家廠商於臺灣資安大會展示信任推斷技術</strong></a></p> <p></p> <p>這幾年來，零信任成為當紅的資安概念，政府在2022年開始積極推動以「身分鑑別」、「設備鑑別」，以及「信任推斷」這3大核心機制組成的零信任架構。其中，今年的重點，聚焦在信任推斷的部分，因此相關的解決方案備受關注。</p> <p>在2024臺灣資安大會期間，我們看到具備這類功能的解決方案出現，曜祥網技（e-Soft）、奧義智慧、中華電信這3家資安公司，皆在會場上介紹具備相關功能的資安解決方案。未來將會有更多資安業者投入、提供這類零信任防護機制。</p> <p><a href="https://www.ithome.com.tw/news/162971"><strong style="font-size: 22px;">DeepMind發表AI安全框架Frontier Safety Framework</strong></a></p> <p></p> <p>5月17日Alphabet 旗下的AI技術研究公司DeepMind發表AI安全框架Frontier Safety Framework，同時闡述該公司分析與減輕AI模型招致未來風險的方法。</p> <p>此框架可用來主動識別未來可能造成嚴重傷害的AI能力，也可建立檢測及緩解相關傷害的機制。此框架著重於模型層面的強大能力可能導致的重大風險，像是特殊代理或複雜網路能力，將補充現有的對齊（Alignment）研究，以及Google既有的AI責任及安全實踐套件。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162953"><strong>【5月17日】研究人員公布GE超音波醫療設備一系列漏洞，並用來植入勒索軟體進行驗證</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162912"><strong>【5月16日】Google在一週內發布3次Chrome更新，修補已被用於攻擊行動的零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162880"><strong>【5月15日】微軟發布5月份例行更新，公告3個零時差漏洞受到各界關注</strong></a></p> </div></div></div>
2024/5/20 18:19作者周峻佑https://www.ithome.com.tw/news/162984
Android裝置App的資料共享方式有資安破口，研究人員揭露能以此發動的攻擊手法Dirty Stream，影響範圍廣大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟揭露新型態的<a href="https://www.microsoft.com/en-us/security/blog/2024/05/01/dirty-stream-attack-discovering-and-mitigating-a-common-vulnerability-pattern-in-android-apps/">路徑穿越攻擊手法Dirty Stream</a>，攻擊者可藉由惡意安卓應用程式，覆蓋另一個應用程式的程式資料夾的內容，而有可能執行任意程式碼，或是竊取Token。該公司指出，這麼一來，攻擊者有可能完全操控應用程式的行為，或是存取用戶帳號及相關的敏感資料。</p> <p>研究人員找到這種攻擊手法的原因，主要是他們在Google Play市集找到多款存在弱點的應用程式，值得留意的是，這些應用程式迄今至少被安裝超過40億次，其中有4款下載次數超過5億。他們公布兩個存在弱點的應用程式名稱，包含了小米發行的檔案管理工具Mi File Manager，以及辦公室軟體WPS Office，分別被下載超過10億次、5億次，兩家軟體開發商接獲通報後皆已進行修補。不過，研究人員認為，實際上還有其他的應用程式，也可能存在相關弱點而可能曝露於Dirty Stream的風險，因此這項弱點影響範圍，恐怕還會擴大。</p> <p>針對Dirty Stream有關的弱點，可區分為兩個層面。其中一種是實作資料與檔案共享的機制當中，開發者並未強制應用程式必須驗證收到的檔案內容，其中最常見的情況，是直接使用伺服器應用程式提供的檔案名稱暫存收到的檔案，假如伺服器應用程式配置惡意的「檔案提供者（FileProvider）」類別，宣告應用程式共用的特定檔案路徑，就有可能導致目標程式被覆寫重要檔案，從而產生嚴重的後果。</p> <p>另一種則是與共用目標（Shared Targets）有關，這是有關應用程式掌握的資料及檔案，宣告能夠傳送給那些程式的配置。一般而言，最常見的傳送目標包含郵件用戶端程式、社群網路軟體、即時通訊軟體、檔案編輯器、瀏覽器等。攻擊者可在惡意軟體當中，建立特定的共用目標條件，甚至可在使用者不知情的情況下，將特定檔案傳送給指定的應用程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2_-Dirty-stream-attack-20.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2_-Dirty-stream-attack-20.png" style="width: 580px;" /></a></p> <p>研究人員透過Mi File Manager展示如何發動Dirty Stream攻擊，他們透過該應用程式清理裝置垃圾檔案的元件來觸發相關弱點，從而在該檔案管理軟體植入惡意配置檔案，一旦啟動了垃圾清理功能，他們就能載入對應的惡意程式庫，並透過瀏覽器的使用者ID執行程式碼。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-16_-Getting-remote-access.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-16_-Getting-remote-access.png" style="width: 580px;" /></a></p> <p>為何他們選擇利用這款應用程式來進行驗證？研究人員指出，由於該檔案管理軟體具備透過FTP及SMB通訊協定進行遠端檔案共用的功能，一旦觸發相關弱點，受到影響的不只是單臺行動裝置，甚至可能影響內部網路的共享存取。</p> </div></div></div>
2024/5/20 13:03作者周峻佑https://www.ithome.com.tw/news/162969
美國人工智慧專家遭到鎖定，攻擊者對其散布惡意程式SugarGh0st RAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由惡意軟體Gh0stRAT衍生而來的RAT木馬程式SugarGh0st RAT，最早是<a href="https://blog.talosintelligence.com/new-sugargh0st-rat/">去年底由思科威脅情報團隊Talos揭露</a>，當時駭客針對烏茲別克和韓國下手，如今又有新的攻擊行動出現。</p> <p>資安業者Proofpoint揭露<a href="https://www.proofpoint.com/us/blog/threat-insight/security-brief-artificial-sweetener-sugargh0st-rat-used-target-american">鎖定美國人工智慧專家而來的攻擊行動UNK_SweetSpecter</a>，對方於今年5月，針對當地參與人工智慧工作的學術機構、政府服務、企業組織而來，意圖對其散布SugarGh0st RAT。</p> <p>值得留意的是，研究人員指出，這起攻擊行動極具針對性，駭客的目標不到10人，且皆與一家具領先地位的美國人工智慧組織有直接關係。</p> <p>他們在UNK_SweetSpecter攻擊行動的早期階段，發現攻擊者使用簡體中文的跡象，這樣的情況如同Talos的調查結果，但Proofpoint並未找到其他證據，無法確認攻擊者就是來自中國。</p> <p>不過，由於5月初傳出美國政府有意限制中國存取生成式AI服務，若是中國企業組織使用相關技術受限，很有可能尋求駭客來取得相關資訊，進一步達成中國發展的目標。從這樣的情勢來看，發動攻擊的駭客，很有可能與中國之間有所關連。</p> <p>針對這波攻擊行動的攻擊鏈，研究人員指出，對方濫用免費電子郵件信箱發送以AI主題為誘餌的信件，引誘收信人開啟ZIP壓縮檔附件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/UNK_SweetSpecter-l11.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/UNK_SweetSpecter-l11.png" style="width: 580px;" /></a></p> <p>一旦收信人依照指示打開附件，並執行當中的Windows捷徑檔案（LNK），電腦就會被植入JavaScript開發的惡意程式載入工具（Dropper）。該工具內含誘餌文件檔案、透過側載執行的ActiveX工具（程式庫），以及經過加密處理的可執行檔。</p> <p>若是此惡意程式載入工具執行，電腦就會顯示誘餌檔案讓收信人降低警覺，並載入其中的程式庫元件，使得駭客能透過JavaScript執行Windows的API，最終於受害電腦部署SugarGh0st RAT。</p> </div></div></div>
2024/5/20 16:51作者周峻佑https://www.ithome.com.tw/news/162981
Intel發布5月例新更新，修補人工智慧模型壓縮工具重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週二（5月14日）Intel發布5月份例行更新，總共<a href="https://www.intel.com/content/www/us/en/security-center/default.html">公告</a>41項漏洞，但特別的是，有別於過往公告主要都與處理器有關，這次最為危險的漏洞，存在於人工智慧模型壓縮工具Neural Compressor，被登記為CVE-2024-22476列管，該公司發布2.5.0版進行修補。</p> <p>Neural Compressor為開源的Python程式庫，<a href="https://www.intel.com/content/www/us/en/developer/articles/technical/an-easy-introduction-to-intel-neural-compressor.html">主要的功能是協助開發人員最佳化及精簡深度學習模型</a>。該工具的壓縮技術包含對於神經網路的修剪，或是刪除較不重要的參數、透過處理程序呼叫的量化來減少記憶體的需求，從而產生具備類似能力的小型模型。這麼做的最主要目的，就是為了用於行動裝置這類運算資源較為有限的設備，促進AI應用程式的開發。</p> <p>根據該公司的資安公告，<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-01109.html">這項漏洞與輸入驗證不當有關</a>，未經身分驗證的攻擊者有可能遠端利用漏洞，進而提升權限，CVSS風險評分為10。</p> <p>值得留意的是，這項漏洞可被遠端利用，且操作複雜度並不高，並對於資料的機密性、完整性、可用性有很大的影響。此外，攻擊者也不需要特殊權限，利用漏洞的過程，同樣無需使用者互動就能進行。</p> </div></div></div>
2024/5/20 17:33作者周峻佑https://www.ithome.com.tw/news/162983
【臺灣資安大會直擊】加速落實金融資安行動方案2.0，金管會提供金融上手零信任架構的三步驟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資安的改變從被動變主動，從單點控制變價值驅動。」金管會副主委邱淑貞5月16日在臺灣資安大會金融安全論壇開場時表示，資安過去僅針對個別事件進行處理和回復，隨著金融業大力運用數位化發展業務，資安現在和業務風控結合，成為驅動業務發展的關鍵，也是金融機構前進的重要動力。</p> <p>為了推動金融機構發展資安，金管會在2020年發布金融資安行動方案1.0，兩年後接著發布2.0版，延續1.0版四大策略，增加了14項精進措施，從鼓勵金融機構擁抱零信任架構，強化核心資料保全、舉辦資安長聯繫會議強化，推動重大資安事件的支援演訓等。</p> <p>如今，2.0版發布已過一年半，金管會資訊服務處處長林裕泰在論壇中強調，零信任架構和資安聯防是金管會力推的兩大面向。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_516%EF%BC%88%E5%9B%9B%EF%BC%89%EF%BC%8C701A%EF%BC%8C0945-1015%EF%BC%8C%E6%9E%97%E8%A3%95%E6%B3%B0_240520_2.jpg" style="width: 600px;" /></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">金管會資訊服務處處長林裕泰也出席</span>2024臺灣資安大會的金融資安論壇，他表示，零信任架構和資安聯防是金管會正在努力推動的面向。</p> </blockquote> <h3>提供導入零信任架構的三項步驟</h3> <p>林裕泰表示，近期，金管會密集和金融機構舉辦研討會，期望在龐大的架構下，找到推動零信任架構的共識。他認為，金融機構需要導入零信任架構原因有二，第一，業者無法確保外網十分安全，一旦資安有缺口，攻擊者一定會進入內網，第二，企業邊界越來越模糊，有許多遠端辦公的員工，業者難以控管場域外人員及設備安全。因此，金融機構需要從零信任架構重新檢視資安政策，例如，嘗試縮小攻擊表面、限縮損害的衝擊，最終讓內網的防護和外網同樣安全。</p> <p>針對金融機構如何實際導入零信任架構，林裕泰建議可以採取三項步驟，首先，是將資源用在刀口上，選定優先的保護標的，例如，高權限使用者帳號、重要系統的外部使用者、委外廠商的遠端維運管理等高風險場域，「先把實施範圍縮小，才能讓資源被高度使用。」</p> <p>接下來，林裕泰強調，「零信任最需保護的是資源，而不是入口。」零信任架構的重點，是在內網設立重重防護，抵擋駭客存取相關資源，所以，林裕泰建議業者應盤點資源存取途徑，查看從身份、設備、網路、應用程式到資料中的脆弱點，以零信任思維逐步提升安全性。例如，在身分、設備和網路設立多一層防護機制，並且進行適當的分割，縮小攻擊表面。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__59711514.jpg" style="width: 600px;" /></p> <blockquote><p>金管會資訊服務處處長林裕泰建議，業者在導入零信任架構時，應盤點資源存取路徑，以零信任思維強化防護機制。例如，在帳號登入時一律採取雙因子認證，在身分驗證上增加多一層防護。</p> </blockquote> <p>最後，是要能整合並分析事件日誌，再結合威脅情資，形成信任推斷機制。後續進一步發展自動協作機制，以動態監控支援信任推斷。「我們期待金融機構推動零信任架構的過程中，不是一步到位，而是類似美國CISA發布的零信任承受模型，從傳統、初始、進階再到最佳化，逐步精進的方式去實施。」林裕泰表示，未來，金管會將會根據這三項步驟，提供金融機構導入零信任架構的參考指引，待業界發展出實務案例後，再逐步發展成資安相關規範。</p> <h3>重視資安聯防中的動態情資分享</h3> <p>除了零信任架構，金管會也十分關注資安聯防的運作效能。林裕泰表示，去年F-ISAC（金融資安資訊分享及分析中心）提供的情資分享資訊中，76%的資訊來自金融機構會員，目前這個比例也穩定超過75%，「顯示F-ISAC和金融機構之間已建立了雙向互信的管道。」</p> <p>此外，金管會在今年開始調整會員分享資安情資的獎勵措施，除了靜態情資分享，也將動態情資分享納入評分標準，鼓勵業者分享更多類型的資安情報。除了針對地端的資安防護，林裕泰也表示，金管會正在關注雲端上的攻擊行為，評估現有的資安聯防機制是否能擴展至雲端上的資安防護。</p> <p>回顧金管會推動資安行動方案的過程，林裕泰表示，過去三年來，金管會和各相關單位嘗試將許多看似不相關的事物慢慢拼湊成完整的方案，「我們現在正在把零信任、資安防護監控有效性評估、資安情資分享和資安聯防的運作拼湊起來，整合所有相關資源，使整個推動更有脈絡。」</p> <p></p> </div></div></div>
2024/5/20 14:25作者李昀璇https://www.ithome.com.tw/news/162972
用於開發人工智慧系統的Python套件存在重大漏洞，恐導致系統資料外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員Patrick Peng揭露名為Llama Drama的漏洞，<a href="https://github.com/abetlen/llama-cpp-python/security/advisories/GHSA-56xg-wfcc-g829">該漏洞存在於Python套件llama_cpp_python</a>，攻擊者可藉此濫用其搭載的範本引擎Jinja2執行任意程式碼，<a href="https://github.com/abetlen/llama-cpp-python/security/advisories/GHSA-56xg-wfcc-g829">CVSS風險評分達到9.7</a>，開發者接獲通報發布0.2.72版llama_cpp_python予以修補，此漏洞被登記為CVE-2024-34359列管。值得留意的是，由於此套件的功能，主要是讓開發者能在Python環境整合AI模型，因此很有可能導致供應鏈攻擊。</p> <p>什麼是llama_cpp_python？這是能夠處理具有大量資料的AI模型的Python套件，結合Python易用並兼具C++性能較佳的特色，而被用於將AI模型與Python整合。至於這項漏洞的源頭，是該套件採用的Jinja2程式庫，此為熱門的Python文件呈現範本引擎，開發者通常將其用於產生HTML網頁，由於此程式庫還具備執行動態內容的能力，對於開發人員來說功能相當強大。</p> <p>針對這項漏洞，資安業者Checkmarx藉由部落格文章，<a href="https://checkmarx.com/blog/llama-drama-critical-vulnerability-cve-2024-34359-threatening-your-software-supply-chain/">進一步說明可能帶來的影響範圍</a>。他們指出漏洞的核心問題在於，此套件在處理範本資料的過程中，並未使用沙箱或是其他適當的防護措施。研究人員指出，雖然Jinja2支援在沙箱中運作，但套件開發者並未導入這類機制而曝險。</p> <p>研究人員指出，該弱點的類型為伺服器範本注入漏洞（Server Side Template Injection，SSTI），攻擊者有可能進行未經授權的操作，進行資料竊取，或是造成系統中斷作業的情形。</p> <p>值得留意的是，他們在人工智慧社群平臺Hugging Face上，發現超過6千個模型採用帶有範本的gguf格式，而有可能曝露於上述漏洞的風險。</p> <p>對此，Checkmarx研究人員認為，這項漏洞突顯人工智慧系統與軟體供應鏈安全的重要性，因為開發者採用的第三方程式庫或是框架若是存在弱點，就有機會危害整個系統，尤其人工智慧系統往往需要處理特別敏感的資料，一旦資料外流，造成的影響可能更加嚴重。</p> </div></div></div>
2024/5/20 15:57作者周峻佑https://www.ithome.com.tw/news/162976
提供雙機一體的HA備援，鴻璟新款桌上型網路防火牆登場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hong_jing_dual_ark-utm_16_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以深度封包檢測（DPI）技術著稱的鴻璟科技（Lionic），繼2021年登場的迷你防火牆產品<a href="https://www.ithome.com.tw/review/157584">Pico-UTM 100</a>，以及去年推出專攻工業網路環境的防火牆<a href="https://www.ithome.com.tw/review/157584">Tera-UTM 12</a>，在2024臺灣資安大會期間，他們再度發表新款機型Dual Ark-UTM 16，主打中小企業與公司駐外的分支辦公室等環境，最大特色是能在單一設備提供硬體與軟體的高可用性（HA）備援，而且，相較於<a href="https://www.ithome.com.tw/review/157584">Tera-UTM 12</a>，Dual Ark-UTM 16的防護效能略微提升，同時啟用防病毒、防駭客、防惡意網站等安全功能時，可達到900 Mbps，若需要同時管理多臺Dual Ark-UTM 16，同樣可透過該公司開發的集中管理系統（CMS）來進行，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ark UTM 16-Dashboard CHT.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ark%20UTM%2016-Dashboard%20CHT.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Ark UTM 16-CMS CHT.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ark%20UTM%2016-CMS%20CHT.jpg" style="width: 600px;" /></a></p> <p>單就硬體配置而言，Dual Ark-UTM 16採用2合1型態的機箱外殼，容納2臺節點模組，這應該是產品命名的由來：由兩臺Ark-UTM 16組成，它們分別配置5個LAN埠與1個WAN埠、1個USB埠、1個電源連接埠、1個電源開關，以及1個系統重置按鈕。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dual Ark-UTM 16 Front-CYBERSEC 2024.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dual%20Ark-UTM%2016%20Front-CYBERSEC%202024.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Dual Ark-UTM 16 back-CYBERSEC 2024.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dual%20Ark-UTM%2016%20back-CYBERSEC%202024.jpg" style="width: 298px;" /></a></p> <p>這樣的組態在當前的資安市場相當罕見，一般而言，網路防火牆若要使用高可用性配置，通常都會搭配多臺獨立設備來進行，幾乎沒有廠商採用類似多節點伺服器的高密度配置，鴻璟這款「雙胞胎」機型的推出，打破硬體防火牆產品長期以來的慣例。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Ark-UTM%2016_Lionic_back2-web.jpg" style="width: 600px;" /></p> <p>當管理者完成Dual Ark-UTM 16的高可用性設定之後，若其中一臺節點故障，備用節點會自動接替主要節點的工作，維持網路連線的持續與安全防護能力。</p> <p>根據這款機型的使用者手冊，企業可以設置高可用性群組，將兩臺以上的Ark-UTM 16加入其中（依據設定的群組編號與密碼來認定是否為同一個高可用性群組），完成這些作業之後，需將這些Ark-UTM 16的LAN埠接上同一臺網路交換器，接下來，可透過自動切換至另一臺節點接續運作的機制，確保網路連線不中斷。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Ark%20UTM%2016-HA%20CHT.jpg" style="width: 600px;" /></p> <p>除了獨特的硬體組態，鴻璟也在旗下的網路防火牆系統當中，擴增系統通知發送的管道。原本他們的防火牆主要以電子郵件寄送通知至網管人員，可設定一旦偵測到資安威脅就馬上發信，以及每天、每週定期寄送統計報告，摘要整理檢測歷程、威脅統計、系統異常記錄，現在也能經由即時通訊軟體Line將訊息發送到指定的人員帳號——若要使用這項功能，需依照Line Notify網站的說明指示，取得Line Token，然後到鴻璟防火牆網頁管理介面的系統管理設定新增這筆憑證。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Lionic%20Ark%20UTM-notification.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>鴻璟Dual Ark-UTM 16</strong><br /> ●原廠：鴻璟科技<br /> ●建議售價：廠商未提供<br /> ●網路埠：單臺設備總共有12個GbE埠（RJ-45埠）<br /> ●防火牆吞吐量：安全功能全部啟用（防病毒、防駭客、防惡意網站）為900 Mbps，安全功能全部啟用、搭配SSL或TLS加密連線掃描為700 Mbps<br /> ●硬體運算規格：2GB記憶體、4GB快閃記憶體<br /> ●運作環境溫度：攝氏0度到40度<br /> ●外觀：20.8 x 6.9 x 15公分</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/5/20 00:29作者李宗翰https://www.ithome.com.tw/review/162961
DeepMind發表AI安全框架Frontier Safety Framework
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet 旗下的AI技術研究公司DeepMind上周五（5/17）<a href="https://deepmind.google/discover/blog/introducing-the-frontier-safety-framework/" target="_blank">發表了AI安全框架</a>Frontier Safety Framework，同時闡述該公司分析與減輕先進AI模型招致未來風險的方法。</p> <p>DeepMind說明，該公司一直在突破AI的疆界，所開發的模型已改變了他們對於其可能性的理解，相信未來的AI技術將對社會帶來寶貴的工具，但他們同時也意識到，在繼續推動AI能力之際，相關的突破最終可能會招致超越現有模型的新風險。</p> <p>因此，DeepMind團隊建立了一套安全協定Frontier Safety Framework ，可用來主動識別未來可能造成嚴重傷害的AI能力，也可建立檢測及緩解相關傷害的機制。此一框架著重於模型層面的強大能力所能導致的重大風險，像是特殊代理或複雜網路能力，將補充現有的對齊（Alignment）研究，以及Google既有的AI責任及安全實踐套件。</p> <p>現在DeepMind所公布的則是Frontier Safety Framework的第一個版本，它有3個關鍵元件，其一是辨識模型是否具備造成重大傷害的能力，當中有個重要概念為關鍵能力水準（Critical Capability Levels，CCL），指的是模型可於高風險領域造成嚴重傷害的最低能力水準。</p> <p>其次為定期評估各種前沿模型以偵測它們達到CCL的時間點。DeepMind將開發一套「早期預警評估」的模型評估套件，並定期執行以於模型達到CCL之前發出通知。最後則是在模型能力超越早期預警評估時，實施緩解計畫，其緩解措施將著重於安全性及部署上，包括預防模型外洩及避免關鍵功能遭到濫用。</p> <p>目前DeepMind仍在探索Frontier Safety Framework，可望從逐步的部署，強化與產業、學術及政府的合作來改善框架，並預計於明年初全面實施該框架。</p> </div></div></div>
2024/5/20 14:22作者陳曉莉https://www.ithome.com.tw/news/162971
【資安週報】2024年5月13日到5月17日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一星期的漏洞消息中，以微軟與Google的5個零時差漏洞修補最受關注，並有4個是修補釋出前已發現遭鎖定利用。</p> <p>（一）微軟發布5月例行安全更新，修補60個漏洞中有3個零時差漏洞，其中MSHTML平臺安全功能繞過的CVE-2024-30040，以及涉及桌面視窗管理員（DWM）核心程式庫權限提升的CVE-2024-30051，這兩個漏洞已被用於攻擊行動。</p> <p>（二）Google這一周又再修補兩個已遭利用、存在於JavaScript引擎V8的零時差漏洞，分別是：記憶體越界寫入漏洞CVE-2024-4761以及，類型混淆漏洞CVE-2024-4947。短短7天內，Google已修補3個零時差漏洞。</p> <p>（三）D-Link旗下老舊路由器有兩個漏洞CVE-2021-40655、CVE-2014-100005，被美國CISA在5月16日列入已知漏洞利用清單，這也顯示產品壽命結束的產品仍持續遭攻擊者鎖定利用。</p> <p>還有多家IT廠商的每月例行安全更新修補發布，包括微軟、SAP、Adobe，Intel，以及西門子、施耐德電機、三菱電機、江森自控、Rockwell等，其他重要漏洞修補動向，包括：開源網路效能及配置管理框架Cacti，以及VMware、HP Aruba Networking、Cinterion。</p> <p>在資安新聞焦點方面，本周適逢2024 CYBERSEC臺灣資安大會舉行，今年是第十屆，舉辦規模更盛大，持續成為資安產業搭建一座技術交流、拓展商機的專業平臺，受到政府、資安產業與廣泛企業的重視。</p> <p>例如，總統蔡英文第6度出席大會並在開幕典禮致詞，說明政府將持續建立防禦機制、加強研發能量、積極培育人才，以提升國家數位韌性，並感謝長期對資安領域用心付出的大家。</p> <p>在520接任總統的賴清德，也在2024臺灣資安大會的第二天，率領新政府與資安發展相關的主管一同到場，共同關心臺灣資安產業的發展，他向大家承諾，新政府仍將繼續支持資安產業發展。</p> <p>此外，為了加速因應量子破密威脅，數位發展部數位產業署也在2024臺灣資安大會第三天的活動，宣布「後量子資安產業聯盟」成立，希望建立強健的公私夥伴關係，加速我國後量子資安產業的發展，並確保臺灣具有後量子密碼準備能力。</p> <p>在資安威脅態勢方面，國際上有不少政府遭受網路攻擊的揭露，並有多起涉及半導體、金融、醫藥產業的企業資安事件，受到資安界重視。我們整理如下：</p> <p>●韓國警察廳國家搜查本部在13日發出聲明，指出發現北韓駭客曾入侵該國法院長達兩年，大量民眾個資與詳細金融資料竊取，因為這些文件包含自述書、破產報告、結婚證書、醫療證明文件等。<br /> ●Google Cloud Mandiant Intelligence副總裁Sandra Joyce在臺灣資安大會主題演說中指出，中國駭客Dragonbridge對臺發起最新一波的Information Operations網路攻擊，是圍繞2024年1月臺灣總統大選而來。<br /> ●歐洲刑警組織證實入口網站遭駭，對方聲稱竊得員工資訊、原始碼、內部機密文件，由於該組織經常協調各國打擊網路犯罪，此事件也突顯駭客越來越囂張。<br /> ●芬蘭首都赫爾辛基市公布教育部門因存在已知漏洞未修補而遭入侵，導致上萬學生家長發生個資外洩事故。</p> <p>●國內又有半導體產業遭網路攻擊，臺灣上櫃公司逸昌科技發布資安事件重大訊息，說明發現網路傳輸異常，部份伺服器遭受駭客攻擊。<br /> ●金融領域在全球有兩大事件發生，一是桑坦德銀行因第三方供應商遭駭的資料外洩事件，由於影響智利、西班牙、烏拉圭客戶而備受關注；另一是匯豐、巴克萊銀行傳出遭初始入侵管道掮客聲稱竊得其資料庫、原始碼等敏感資料。<br /> ●澳洲電子處方箋業者MediSecure遭遇供應鏈攻擊，駭客加密檔案導致網站服務與電話中斷。</p> <p>此外，還有一個值得關注的威脅態勢，是Black Basta勒索軟體攻擊者近期發起的社交工程攻擊活動，正鎖定採用MDR的客戶而來，攻擊者先是利用寄發大量垃圾信件讓郵件安全防護方案失靈，然後再假冒技術人員致電表明提供協助，要求使用者部署遠端管理工具，或啟動Windows內建遠端協助工具「快速助手（Quick Assist）」，進而對目標電腦進行控制。</p> <p>在資安防禦動向上，還有我國行政院5月9日通過打詐專法「詐欺犯罪危害防制條例」的消息，這是針對網路廣告平臺應盡防詐義務的重要規範，涵蓋對象包括網路廣告平臺、電商業者、第三方支付業者、網路連線遊戲業者，當中並有5大重點，包括：境外業者提報法律代表，廣告中應揭露必要資訊，建立防詐管理措施，處理與通報詐欺廣告，以及配合檢警調或目的事業主管機關下架詐欺資訊。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/162840"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月13日】韓國警方證實法院大量民眾個資遭北韓駭客竊取，近1 TB資料流出但僅有少部分能確認受害者身分</span></strong></a></h3> <p>韓國政府發出聲明指出司法機關遭到北韓駭客攻擊！去年2月韓國法院察覺網路環境被植入惡意程式，去年底警方協助調查此事，結果發現，對方總共竊得1,014 GB機密資料，但他們僅能復原其中4.7 GB的內容，而得知少部分受害者身分。</p> <p>值得留意的是，從韓國法院察覺受害到警方介入調查，間隔長達10個月，這段期間相關的跡證很有可能遭到清除或是破壞，而難以進一步找出事故發生的原因。</p> <p><a href="https://www.ithome.com.tw/news/162861"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月14日】芬蘭首都證實資料外洩事故，起因是教育部門的遠端存取伺服器未修補已知漏洞</span></strong></a></p> <p>本週芬蘭首都赫爾辛基證實教育部門的資料外洩事故，駭客藉由存在已知漏洞的遠端存取伺服器，成功入侵教育部門的網路磁碟，存取大量內部檔案。</p> <p>至於為何該伺服器尚末修補？有待進一步釐清。對此，針對這起事故發生的原因，他們認為與漏洞修補與裝置管理不力有關。</p> <h3><a href="https://www.ithome.com.tw/news/162880"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月15日】微軟發布5月份例行更新，公告3個零時差漏洞受到各界關注</span></strong></a></h3> <p>昨日（5月14日）微軟發布本月的例行更新，總共修補60個漏洞，相較於<a href="https://www.ithome.com.tw/news/162224#patch-tuesday">上個月達到149個</a>，這次的數量僅約上個月的4成。</p> <p>僅管這次公布的漏洞數量大幅減少，但值得留意的是，這次有3個零時差漏洞，其中又以桌面視窗管理員（DWM）核心程式庫權限提升漏洞CVE-2024-30051最值得留意，因為有多組研究人員向微軟通報，並指出他們看到駭客將其用於攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/162912"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月16日】Google在一週內發布3次Chrome更新，修補已被用於攻擊行動的零時差漏洞</span></strong></a></p> <p>Google發布了新的電腦版Chrome 125，增加不少新功能，其中，與資安防護有關的部分，包含了新的隱私控制選項，目的是避免攻擊者挾持，而對於Windows版用戶，他們將網路服務放在沙箱執行。</p> <p>但在此同時，本次Google也修補9個弱點，當中包含了JavaScript引擎V8的高風險漏洞CVE-2024-4947，而這是該公司在最近一週修補的第3個零時差漏洞。</p> <p><a href="https://www.ithome.com.tw/news/162953"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月17日】研究人員公布GE超音波醫療設備一系列漏洞，並用來植入勒索軟體進行驗證</span></strong></a></p> <p>近年來醫療設備的資訊安全逐漸受到重視，有不少研究人員公布他們的分析結果，攻擊者很有可能藉此得知病人的資料，甚至是竄改儀器量測的結果。</p> <p>例如，最近資安業者Nozomi Networks揭露GE HealthCare超音波醫療設備的漏洞，他們表示，雖然攻擊者必須實際接觸設備，才能利用他們發現的漏洞，但這些設備通常會放置於公開的環境，一旦出現無人看管的空檔，就有機會對其下手。</p> <p> </p> </div></div></div>
2024/5/19 19:16作者羅正漢https://www.ithome.com.tw/news/162959
網路內容是短暫的？這10年來有25%的網頁消失
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Pew Research Center上周<a href="https://www.pewresearch.org/data-labs/2024/05/17/when-online-content-disappears/" target="_blank">發布一項研究報告</a>，指出數位時代的網路內容並不見得是長存的，指出在2013年到2023年的10年間，有25%的網頁消失了，當中的16%其網域依然存在，只是網頁無法存取，另外的9%是整個網域名稱都失效了。</p> <p>愈久的內容無法存取的比例愈高，例如2013年的網頁中，到了去年即無法存取的比例高達38%，若是2021年所蒐集的網頁，2023年無法存取的比例則是20%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-38%25%20of%20webpages%20from%202013%20are%20no%20longer%20accessible-image%20credit-Pew%20Research%20Center-2.png" style="width: 600px;" /></p> <p>Pew Research Center所研究的對象涉及新聞、政府、維基百科（Wikipedia）及Twitter（X）。例如蒐集了來自2,063個新聞網站的50萬個網頁，這些網頁含有逾1,400萬個對外連結，對外連結的中位數為20個，當中有23%個新聞網頁至少含有一個失效連結。</p> <p>Pew Research Center也蒐集了50萬個美國聯邦、州或地方政府的網頁，這些網頁所含的連結總數為4,200萬個，連結數量的中位數為50個，且高達86%都是連至政府網頁。在這些政府網頁中，有21%至少包含一個失效連結。</p> <p>在維基百科上Pew Research Center則蒐集了5萬個英文頁面，並檢查參考欄位的連結，有多達82%的維基百科網頁至少含有一個參考連結，整體有超過100萬個參考連結。分析顯示，有53%的維基百科頁面至少含有一個失效的連結，整體而言，維基百科所引用的逾100萬個參考連結中，有11%無法存取。</p> <p>Pew Research Center亦於今年3月至4月蒐集了Twitter上的近500萬則推文，但在6月15日時，發現有18%的推文不復存在，大多數是因為帳戶被設為私有了、暫停了或是被刪除了，只有少數是特定推文被移除。消失的推文有高達49%為土耳其文，有42%是阿拉伯文，且它們通常是新設的帳戶。</p> </div></div></div>
2024/5/20 13:30作者陳曉莉https://www.ithome.com.tw/news/162970
【moda專欄】電子簽章法新制與產業新興應用場景
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0520-moda-dian_zi_qian_zhang_fa_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>作者／數位產業署平臺經濟組黃國源｜數位產業署政策規劃組雷雅淇｜數位發展部部長室彭筱婷</strong></p> <p>在日常生活中我們常常需要簽名來證明本人身份，像是刷信用卡、拿包裹、結婚離婚或是租房買房等等。而當數位科技越來越深入生活之後，我們能不能利用數位技術，讓「簽名」變得更加便利又安全？「電子簽章」便應運而生，現在，我們可以看見電子簽章已經常出現在銀行金融服務與保險業、資訊技術與電信、健康醫療、法律與政府等多個應用場景。</p> <p>不過，不是把簽名存成圖片檔就是電子簽章，因為這樣沒辦法證明是本人簽名。在臺灣，具有法律效力的電子簽章，需要符合《電子簽章法》的相關規範，尤其是利用演算法與加密技術，可以確保電子簽章的安全性更高。</p> <p>但到底什麼是電子簽章？我們又會在什麼時候用到它？從施行以來 20 年都還沒改版的《電子簽章法》，近期將會有哪些調整呢？本篇文章將簡述電子簽章的修法緣由，以及修法之後如何帶動產業發展，以及達到從源頭助防詐的效果。</p> <hr /> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>什麼是電子簽章？為何要修《電子簽章法》？</strong></span></span></p> <p>電子簽章指的是依附在電子文件上，能識別簽署者身份、確保文件完整的數位技術，且要符合《電子簽章法》的規範才具有法律效力。它可能是文字簽名、圖片、聲音或是指紋等生物特徵，當進一步利用演算法與加密技術時，可以確保電子簽章的安全性更高。像是在報稅時使用的「自然人憑證」、零接觸申辦保險及金融服務等，都是電子簽章的相關應用。</p> <p>也就是說，只是「把簽名存成圖片檔」，並不符合電子簽章，必須包含「身份識別」、「數位技術」和「符合法規」這三大要件，才是電子簽章。</p> <p>而「數位簽章」是電子簽章的其中一種，除了要符合既有電子簽章的定義之外，還必須要「使用公開金鑰驗證技術」，並且有「政府核定的憑證機構所簽發的憑證」，這樣的安全性與公信力，數位簽章具有「推定」和本人親自簽署一樣的效力。</p> <p>有鑒於電子簽章技術日新月異，數位部在 2022 年 12 月發佈了產經字第 1114000229 號的「具電子簽章效力之電子簽章技術」函釋，列舉了符合《電子簽章法》中，「電子簽章」效力的演算法及國際技術標準。</p> <p>其中包含：公開金鑰基礎建設（Public Key Infrastructure）技術與架構，例如網際網路工程任務組（IETF）公開金鑰基礎建設小組（PKIX）所制定的標準，或是以國際組織或主要國家所制訂的簽章格式或演算法，例如歐洲電信標準協會（ETSI）、美國國家標準研究院（NIST）等單位所制定或核可的簽章演算法。</p> <p>也就是說，依現行電子簽章法，只要使用函釋例示的演算法或技術標準，足以驗證能達到電子簽章法第 2 條第 2 款「電子簽章係指依附於電子文件並與其相關連，用以辨識及確認電子文件簽署人身分、資格及電子文件真偽者」，就屬於電子簽章法定義的電子簽章。</p> <p>而為了更全面推動電子簽章的普及運用，因應數位生活型態改變而增加的各式數位應用服務，數位部推動《電子簽章法》修法，並已於 113 年 4 月 26 日由立法院三讀通過。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>有哪些修法重點？</strong></span></span></p> <p>使用電子簽章有許多好處：讓簽約的流程更為快速、減少維護和管理文件的費用與時間成本。同時，因為《電子簽章法》所規範的是已經安全認證的技術架構與演算法，因此以能確保文件傳輸與交易的安全。再者，無紙化作業也呼應了國際節能減碳的趨勢。</p> <p>以下簡要說明這次的修法重點：</p> <p><span style="color:#3399ff;"><strong>1.明示電子簽章和紙本具同等功能</strong></span></p> <p>書面文件、簽章變成電子形式後的「效力」，是電子簽章發展以來最關鍵的核心概念。為了消除疑慮，數位部參考了國際案例，像是聯合國貿易法委員會電子商務模範法、美國聯邦全球與國家商務電子簽章法、韓國電子簽章法、歐盟內部市場電子身分識別與可信賴電子交易服務規則（eIDAS Regulation）等國際法例，規範了電子文件與電子簽章的效力等同紙本文件，不能因為它是電子的形式而否認其法律效力。</p> <p><span style="color:#3399ff;"><strong>2.電子簽章與數位簽章關係明確化，與明定數位簽章效力更強</strong></span></p> <p>這次修法也明定數位簽章為電子簽章的一種類型。數位簽章除了要符合電子簽章的三個條件，另外還需要（1）使用公開金鑰驗證技術，（2）政府核定的憑證機構所簽發的憑證，才是數位簽章。因為這樣的安全性與公信力，數位簽章具有「推定」和本人親自簽署一樣的效力。</p> <p>以「印章」來比喻，如果電子簽章是一般可以自行找人刻的印章，那數位簽章就像是經過印鑑證明的印章，因為有第三方認證，因此效力更強。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-moda-%E9%9B%BB%E5%AD%90%E7%B0%BD%E7%AB%A0%E6%B3%95-%E5%9C%961.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／數位部</span></span></p> <p><span style="color:#3399ff;"><strong>3.調整經相對人之要件</strong></span></p> <p>現行條文中若要使用電子簽章，需要使用者同意的規定，會在某些實務狀況上有些窒礙難行。為兼顧數位化需求與數位包容，因此這次修法，刪除了使用電子簽章需要經過當事人同意的必要條件，但也賦予了當事人能夠拒絕使用電子簽章的權利。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-moda-%E9%9B%BB%E5%AD%90%E7%B0%BD%E7%AB%A0%E6%B3%95-%E5%9C%962.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／數位部</span></p> <p><span style="color:#3399ff;"><strong>4.減少公告排除電子簽章法適用之可能性</strong></span></p> <p>為了提升行政機關對電子文件、電子簽章的應用，這次修法刪除了目前行政機關可以公告排除使用電子簽章的規定，並設定 3 年落日條款。考量到司法程序的特殊性，因此司法程序暫先不適用本法的規定。</p> <p><span style="color:#3399ff;"><strong>5.考量未來電子簽章國際對接的機會</strong></span></p> <p>為了讓國際合作能更蓬勃發展，本次修法也增加了「技術對接合作」的條件。在安全條件一樣的情況下，如果符合兩國的互惠或者技術對接條件，外國的憑證機構和本國的憑證具有一定的效力。反之，我們的憑證也可以到外國實施，這是雙向互惠的。</p> <p>這次修法，不只能夠塑造更有利於電子簽章發展的法治環境，促進電子簽章能與國際接軌，也可以加速普及與和推廣到更多元的應用，進而達成智慧政府和數位轉型的政策目標。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>《電子簽章法》如何帶動產業發展？</strong></span></span></p> <p><span style="color:#3399ff;"><strong>能量登錄制度的建立</strong></span></p> <p>徒法不足以自行，為了要健全產業生態、提升電子簽章供需的效能，數位部研擬規劃能量登錄制度。本著資訊透明化的精神，要求相關業者登錄其服務種類、技術標準等資訊於數位部指定的公開網站，以期能清楚呈現市面上各種符合《電子簽章法》規範的解決方案。</p> <p>目前規劃分為三個方向：數位簽章憑證機構、數位簽章解決方案，以及單純的電子簽章服務。各類登錄的審查重點有所不同，第二類及第三類側重於引導業者主動公開技術資訊，提供消費者選擇參考，申請登錄的業者通過機制所定資格審查後，由數位部數位產業署召開審議會進行實質內容審查。</p> <p>能量登錄制度不為特定業者背書，而是透過這樣的機制去促進產業自律、自發性提升服務品質，也增加主管機關對於產業現況的掌握與管理。</p> <p><span style="color:#3399ff;"><strong>源頭防詐：推動網路廣告驗證數位簽章</strong></span></p> <p>完善電子簽章相關規範不僅有助於防範詐騙，也能從源頭防詐。數位部目前正與經濟部研議新增「網路廣告平臺業者」的營業項目，並由數位部主管，未來計畫推動網路廣告平臺驗證廣告刊登者的數位簽章。這將提供平臺更便利的機制確認客戶身分，同時透過跨平臺聯防機制，更迅速下架網路詐騙廣告。</p> <p>以目前在 Meta 的臉書、IG 等社群平臺刊登政治廣告為例，Meta 會進行 KYC（Know Your Customer，客戶身分確認）審核，要求廣告刊登者提供身分證正反面影本等資料。修法通過後，KYC 將可採認數位簽章，將審核流程自動化，降低網路廣告平臺的審核成本，進而擴大這項作法適用範圍。</p> <p>目前在 Meta 刊登投資廣告並不需要 KYC，只有被檢警調認定的一頁式詐騙，可以進行阻斷網域，並在 24 小時內下架廣告。但在下架前仍會顯示廣告，且民眾仍可點擊此連結（雖然只會看到 165 的防詐警示，不會有實質損失），有沒有更好的做法？數位部在《詐欺危害防制條例》草案裡明定，網路廣告平臺業者「應以數位簽章、快速身分識別機制或其他安全性相當之技術或方式，驗證委託刊播者及出資者之身分」。這將使得各平臺在檢警認定詐騙時能夠透過聯防平臺同步得知資訊，進而快速下架同一簽署人刊登的其他廣告，達到跨平臺聯防的目標。</p> <p><span style="color:#3399ff;"><strong>結合新科技的發展應用</strong></span></p> <p>電子簽章與新科技的結合，可以提供過往紙本簽署時無法支援的解決方案。例如，運用融合多項技術的數位簽名技術，可在簽名當下同步錄影，並在用戶簽名當下同步記錄簽署當下的人、事、時、地、物，避免電子簽名造成的偽簽爭議等後續狀況，解決行動裝置遠距簽署及簽署人簽名認定不易的問題，大幅協助醫療院所縮短文書處理時間，進而改善醫療人力的工作量，備受醫療產業肯定。</p> <p>此外，也有日本本土業者提出企業型電子簽章（事業者署名型）之 NFT 印鑑，其構想是活用 NFT 獨一無二的特點，使個人訊息與印章緊密連結，並且使用生物特徵對本人身分進行嚴格認證，以增進民眾對 NFT 印鑑的熟悉度與信任度。此項於 2021 年推出、屬日本首創的 NFT 印鑑服務，透過難以竄改之區塊鏈進行記錄，確實留下「何時由誰因為何種目的簽署」之確實證據，此種運用新興電子簽章技術，可省略公司內部繁瑣的印章管理作業，節省成本與勞力。</p> <p><span style="color:#3399ff;"><strong>完善電子簽章制度，推動產業生態</strong></span></p> <p>本次電子簽章法的修法方向，包括明定電子文件地位、區分電子簽章定義、放寬同意規定等，不只有利電子簽章系統與國際標準銜接及商務往來，也能加速智慧政府進展及社會數位轉型。</p> <p>配套實施的登錄制度則將協助產業提高經營透明度，引導業者揭露更多技術細節與資訊，預期將全面提升現行產業生態。數位部作為電子簽章法的主管機關，將持續與產官學三方充分合作推動電子簽章的多元應用，開創數位新紀元。</p> <p>下一篇，我們會介紹電子簽章的技術細節，讓大家了解便利安全的電子簽章是如何形成的，<a href="https://moda.gov.tw/press/multimedia/blog/12794" target="_blank">文章請見：電子簽章的相關技術介紹</a></p> <p><a href="https://moda.gov.tw/press/multimedia/blog/12792" target="_blank"><strong>（本文轉載自moda blog）</strong></a></p> </div></div></div>
2024/5/20 12:26署名 moda專欄https://www.ithome.com.tw/article/162967
Ampere、高通合作AI晶片，主打無GPU運算環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>晶片新創業者<a href="https://www.prnewswire.com/news-releases/ampere-scales-ampereone-product-family-to-256-cores-announces-joint-work-with-qualcomm-cloud-ai-accelerators-302147199.html" target="_blank">Ampere宣布</a>將與高通（Qualcomm）合作開發一款Arm-based AI晶片，以低成本及省電等效益挑戰Nvidia，並預告正在研發256核心CPU。</p> <p>Ampere是一家Arm-based晶片開發商，自稱開發出第一個雲端原生處理器。微軟Azure、Google Cloud和Oracle Cloud都推出使用Ampere Altra CPU的雲端服務，甲骨文甚至於2023年<a href="https://www.itnews.com.au/news/oracle-spends-more-than-us100-million-on-ampere-chips-600560" target="_blank">投資Ampere </a>1億美元為其主要投資者之一。Ampere Altra CPU是為執行即時AI作業，像是聊天機器人、資料分析及影片內容分析而設計，具備高速推論能力，但訴求比Nvidia GPU便宜。Ampere主要最新宣布中，一是和高通合作開發AI伺服器晶片，二是公告其12通道DDR5平臺處理器的未來CPU產品。</p> <p>首先，Ampere與高通合作整合其CPU及後者的Cloud AI 100 Ultra AI加速器，開發專為處理LLM推論作業設計的資料中心伺服器晶片，目的在創造無GPU的AI推論（GPU-Free AI Inferencing）。一開始這項合作將使用7奈米的Ampere Altra，在幾個月後加入更新、3奈米的AmpereOne選項。而雙方合作產品第一個客戶是Supermicro，雙方表示以後也會再推廣到其他客戶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-Ampere%20Strategy%20%26%20Roadmap%20Update%202024-600-1.png" style="width: 540px;" /></p> <p>另一項宣布是關於AmpereOne。AmpereOne為支援12通道DDR5記憶體的處理器平臺，現有規畫產品為192核心，預計今年下半推出。AmpereOne下一代為256核心產品，使用相同的氣冷式散熱技術，號稱比現有市面上產品效能提高40%。Ampere也強調AmpereOne產品在OEM及ODM硬體平臺上的效能跑分數據，比AMD伺服器處理器Genoa及Bergamo系列分別高50%及15%，每機架效能則高出34%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-Ampere%20Scales%20AmpereOne%C2%AE%20Product%20Family%20to%20256%20Cores-3-2.png" style="width: 500px;" /></p> <p>另外，Meta Llama 3現在也登上Oracle Cloud Ampere-based服務，後者底層為128核心Ampere Altera CPU，完全沒有GPU，但該公司說，運行Llama 3的效能不輸執行Nvidia A10+x86 CPU的環境，但用電量僅對手的1/3。</p> <p>其他宣布包括Ampere加入AI平臺聯盟中新成立的UCIe（通用小晶片互連，Universal Chiplet Interconnect Express）工作小組，將秉持開放介面標準，以便在未來CPU中可整合Ampere和客戶的技術；Ampere CPU結合NETINT的影片處理晶片Quadra T1U，提供360即時通道的同步轉碼，並使用OpenAI Whisper模型提供40道串流的即時翻譯字幕。另外，其CPU除了記憶體標註（Memory Tagging）、QoS執行（QOS Enforcement）及網格壅塞管理（Mesh Congestion Management）等功能外，也新增FlexSKU功能，允許客戶在橫向（scale out）及向上擴充（scale up）部署情境中使用同一SKU。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Ampere</span></span></p> </div></div></div>
2024/5/20 10:21作者林妍溱https://www.ithome.com.tw/news/162964
ChatGPT付費版用戶將可從Google Drive、微軟OneDrive上傳檔案、建立圖表
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/improvements-to-data-analysis-in-chatgpt/" target="_blank">OpenAI宣布</a>ChatGPT最新資料分析功能，包括可直接從Google Drive和微軟OneDrive上傳檔案，以及和表格、圖表互動等功能。ChatGPT Plus用戶上傳的資料預設會用於OpenAI訓練模型，但用戶可以選擇退出（opt-out）。</p> <p>最新功能是以OpenAI最新<a href="https://www.ithome.com.tw/news/162852" target="_blank">多模態模型GPT-4o</a>為基礎，並將在未來幾周內陸續部署提供給ChatGPT Plus、Teams與Enterprise版。</p> <p>最新資料分析功能是利用ChatGPT理解資料集，並以自然語言完成任務的能力。使用者上傳一個以上檔案後，ChatGPT就會代用戶撰寫和執行Python程式碼。它可執行多種任務，像是合併與清理大型資料集、建立圖表、發掘洞見等，節省分析專家處理資料的時間，也幫助入門新手執行進階分析。</p> <p>新增的功能之一是可直接從Google Drive和微軟OneDrive上傳檔案到ChatGPT，不再需要先下載到桌機再上傳這個聊天機器人。OpenAI說，這也能讓ChatGPT更快理解Google Sheets、Docs、Slides與微軟的Excel、Word和PowerPoint檔案。</p> <p>其次，ChatGPT現在允許用戶即時和表格互動。用戶加入一組資料集時，ChatGPT會建立一個互動表格，用戶可以全螢幕檢視、編輯內容。用戶也可以點入特定區域詢問問題，或從ChatGPT建議的問題追問下去，像是要求它合併每月支付的試算表，再建立可依支出類型分類的樞紐分析表。</p> <p class="rtecenter"><a href="https://videos.ctfassets.net/kftzwdyauwt9/53vpRFoUfkNWrpLgCvpS24/e590882bd97f07864d07958a76853168/3_Updating_tables_dynamically.mp4" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-chatgpt-paid-Work%20on%20tables%20in%20real-time.png" style="width: 600px;" /></a></p> <p>最後，ChatGPT還讓用戶透過對話建立客製化圖表，像是長條圖、折線圖、圓餅圖及散布圖。之後用戶可將游標移到圖表上，再以對話提出其他要求，或自行調整顏色。最後再將圖表下載用於文件或PPT中。如果用戶要求的圖表ChatGPT不支援，它會生成靜態版本。</p> <p class="rtecenter"><a href="https://videos.ctfassets.net/kftzwdyauwt9/57iW9EM3jGA38MBAo6eTGL/8dbe8b8bbccf79f5618459abec4dd536/4_Customizing_charts__1_.mp4" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-chatgpt-paid-Customize%20presentation-ready%20charts.png" style="width: 600px;" /></a></p> <p>OpenAI同時保證，不會利用ChatGPT Teams和Enterprise用戶上傳的資料訓練模型。<strong>ChatGPT Plus的資料預設會被用於訓練</strong>，但用戶可以透過<a href="https://help.openai.com/en/articles/5722486-how-your-data-is-used-to-improve-model-performance" target="_blank">資料控管頁</a>選擇退出。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-chatgpt-paid-Improvements%20to%20data%20analysis%20in%20ChatGPT-opt%20out-800.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> </div></div></div>
2024/5/20 09:43作者林妍溱https://www.ithome.com.tw/news/162963
Azure 7月將強制啟用多因素驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/core-infrastructure-and-security/microsoft-will-require-mfa-for-all-azure-users/bc-p/4143356/highlight/true#M6078" target="_blank">微軟宣布</a>，今年7月將強制Azure用戶啟用多因素驗證（multi-factor authentication，MFA），提供多一層安全防護，不過Azure代管的應用和服務不在此列。</p> <p>微軟表示，現在已經很多雲端服務使用MFA，要求用戶提供2種以上的身分憑證作為存取服務或資源時的驗證。根據微軟自家報告，99.9%的被駭帳號未啟用MFA，報告也發現，MFA可阻擋99.2%的帳號駭人，是最有效的安全措施之一。疫情後混合辦公的作業型態普及，遠端攻擊安全風險升高，MFA能減少公司網路資源遭不明人士存取的風險，能減低帳號被駭及公司資料外洩風險，此外，還能協助公司滿足多種資安標準與法規要求，像是「支付卡產業資料安全標準」（PCI DSS）、健康保險可移植性和責任法案（HIPAA）、歐盟一般資料保護規則（GDPR）及美國國家標準技術局（NIST）等。<a href="https://www.microsoft.com/en/microsoft-cloud/resources/built-in-security" target="_blank">微軟去年11月公布</a>的安全未來計畫（Secure Future Initiative）三項工程革新之一，即在租戶層部署新式身分防護和MFA。</p> <p>從2024年7月起，Azure將漸進推動這項政策，以減少對用戶的衝擊。微軟會先從Azure portal開始要求，之後漸次推廣到CLI、PowerShell及Terraform。</p> <p>但這項政策不會主動適用Azure上代管的App、網站或服務，會由其管理決定驗證政策。此外，服務用於自動化的服務主體（service principal）物件、代管身分、作業負載身分和類似的token-based帳號也會排除在外，但微軟還是會針對緊急情況如Break-glass帳號（緊急情況使用的特權帳號）等蒐集用戶意見。MFA並沒有opt-out的選項，但若是用戶真的沒法使用，微軟還是可能允許例外，不過細節要等微軟之後正式通知。</p> <p>微軟之後將透過正式電子郵件和通知預先告知。最早強制啟用MFA的Azure portal，必要時也可能多給一些時間，但微軟仍呼籲管理員及用戶及早行動，透過MFA精靈的協助啟用MFA。</p> <p>現在Entra ID（原Azure AD）已支援多種MFA方法，包括使用Microsoft Authenticator App、簡訊、電話、或硬體金鑰，供用戶選擇偏好的方式。管理員也可利用Entra ID條件存取政策調整，要根據何種訊號，如用戶地點、裝置、角色或風險層級來啟用MFA，並建議管理員現在先檢查開發用的Entra ID及存取Azure Resource Manager的API，必要時也了解如何將用戶身分變更為服務主體及代管身分。</p> </div></div></div>
2024/5/20 08:48作者林妍溱https://www.ithome.com.tw/news/162962
【臺灣資安大會直擊】響應政府推動零信任架構，多家廠商推出信任推斷技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩年前，依據第六期「國家資通安全發展方案（110年至113年）」<a href="https://www.ithome.com.tw/news/152538">推動零信任架構試行與導入</a>，行政院國家資通安全會報技術服務中心公開說明零信任網路發展與推廣的計畫，訂出「身分鑑別」、「設備鑑別」，以及「信任推斷」這3大核心機制，依照當時規畫時程，2022年、<a href="https://www.ithome.com.tw/article/158417">2023年</a>應陸續導入身分鑑別、設備鑑別，2024年的重點則是信任推斷。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TW ZTA-progress.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TW%20ZTA-progress.jpg" style="width: 600px;" /></a></p> <p>而<a href="https://www.nics.nat.gov.tw/core_business/cybersecurity_defense/ZTA/Related_Documents_and-Forms/">截至目前為止</a>，關於身分鑑別與設備鑑別的部分，已歷經《功能符合性驗證檢核表》、《功能符合性驗證通過廠商清單》、《部署驗證檢核表》、《導入建議》等文件的發布，至於信任推斷，是今年2月公布功能符合性驗證檢核表，整個資安界都在密切注意後續進展。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TW ZTA相關文件與表單2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TW%20ZTA%E7%9B%B8%E9%97%9C%E6%96%87%E4%BB%B6%E8%88%87%E8%A1%A8%E5%96%AE2.jpg" style="width: 600px;" /></a></p> <p>而在5月中登場的2024臺灣資安大會，我們終於看到有多家廠商踏出重要一步，因為他們率先推出具備信任推斷功能的資安解決方案，相當不容易。</p> <p>首先我們注意到這系列技術突破的重要發布消息，是在大會第二天上午進行的其中一場主題演講，成立25年之久、以內網端點資安合規產品著稱的曜祥網技（e-Soft），首度公開展示他們的零信任解決方案。</p> <p>在闡述提升資安治理成熟度的第二主軸：落實零信任架構的導入時，該公司技術經理黃士滄向所有與會者，介紹新推出的「零信任管理系統擴充」，因應政府參考NIST SP800-207標準而設計的零信任架構，支援資源門戶的部署方式（Resource Portal Based Deployment），提供三大檢查程序：身分鑑別、設備鑑別，以及信任推斷。</p> <p><a href="https://s4.itho.me/sites/default/files/images/e-soft ZTA0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/e-soft%20ZTA0.jpg" style="width: 600px;" /></a></p> <p>曜祥網技強調，企業與組織要建立「以連網設備管理為核心的零信任架構」，在網路邊界尚未消失之前，需在內部環境建置網路存取控管的架構（Inside Trust Zone），任何設備不能隨插即用（連網），需通過合規的檢查，檢查資安組態的套用是否落實，可由該公司的全方位資安智慧平台（Security Intelligence Portal，SIP）擔綱相關的作業；若使用者在內部環境要進一步連接重要的資通系統，這時就要啟動身分鑑別、設備鑑別，以及信任推斷（Zero Trust Zone）。他們認為企業目前與未來的環境，將會存在混合式的零信任存取架構。</p> <p><a href="https://s4.itho.me/sites/default/files/images/e-soft ZTA1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/e-soft%20ZTA1.jpg" style="width: 600px;" /></a></p> <p>以零信任區域的存取方式而言，曜祥網技認為，企業與組織需建立「以重要資源管理為核心的零信任架構」，當使用者要連到重要的資通系統時，需透過反向代理（Reverse Proxy）連到決策引擎，進行相對應的檢查，通過之後才能開通網路，而非直接連線。</p> <p><a href="https://s4.itho.me/sites/default/files/images/e-soft ZTA2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/e-soft%20ZTA2.jpg" style="width: 600px;" /></a></p> <p>接下來，黃士滄也展示一段將近4分鐘的使用者操作示範影片，呈現在他們零信任架構之下的網站服務實際存取流程。而在2024臺灣資安大會結束後，我們向曜祥網技洽詢這套解決方案的開發依據，他們表示，ZTA零信任管理系統是依據國家資安院的檢核表進行開發，符合法規的要求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/e-soft ZTA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/e-soft%20ZTA.jpg" style="width: 600px;" /></a></p> <p>另一家我們得知能夠提供信任推斷解決方案的廠商，是以AI資安聞名的奧義智慧科技（CyCraft），他們在2024臺灣資安大會第二天尾聲的演講，也特別提到他們已開發出具備這類零信任架構功能的產品。</p> <p>之所以發展這方面的技術，部分原因來自奧義智慧加入數位發展部數位產業署的112年零信任資安場域實證計畫，他們藉由電商的場域來達到零信任的導入。</p> <p>奧義智慧科技研究主任陳仲寬表示，就NIST提出的零信任架構組成元件而言，我國政府零信任架構要求的身分鑑別與設備鑑別，主要對應的是政策資訊點（Policy Information Point，PIP），這部分的實作，他們與另一家臺灣資安廠商全景軟體（Changing）合作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft%20ZTA1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-CyCraft ZTA1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-CyCraft%20ZTA1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CyCraft ZTA2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft%20ZTA2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CyCraft ZTA3 PIP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft%20ZTA3%20PIP.jpg" style="width: 298px;" /></a></p> <p>而在信任推斷的部分，則是政策決策點（Policy Decision Point，PDP）涉及如何建立動態的策略，奧義智慧提出的作法，是設立決策引擎作為存取閘道，需通過身分識別與裝置識別這兩個項目，之後會透過API介接，取得全景FIDO相關資訊、端點的風險、身分的風險，以及外部政策的風險。決策控制器XCockpit ZeroTrust會向各種PIP索取資料，把這些資訊整合起來，若這些狀況都經過認可，就會核發鑑別聲明，讓使用者能夠存取到資源（機關資通系統）；相反地，若接收到端點偵測到資安風險，例如存在惡意程式的行為或駭客活動跡象，決策控制器就會藉此判斷現在狀況有危險，認定本次資源存取不合法，進而限制使用者存取。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-CyCraft ZTA0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-CyCraft%20ZTA0.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-CyCraft ZTA2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-CyCraft%20ZTA2.jpg" style="width: 600px;" /></a></p> <p>而在去年底公布的2023零信任應用示範案例的影片當中，奧義智慧科技共同創辦人叢培侃也強調，透過他們發展的零信任解決方案，能夠將傳統以知識為驗證基礎的模式（用帳號密碼登入），轉變為以風險因子判斷的模式（可同時考量到使用者的裝置是否安全、是否有合法的Token），來強化整個登入的流程。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/scvEiCMHoQE?si=ux7M78beYkIk3riW" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>除了上述兩家廠商，中華電信於2023臺灣資安大會於臺灣資安館展出的xTrust零信任網路系統，今年再度參展並強調具有信任推斷功能。在2024臺灣資安大會的第一天下午，中華電信研究院資通安全研究所主任級研究員孫漢傑發表演講，介紹此產品結合身分鑑別、設備鑑別、AI/ML 信任推斷分析、支援 FIDO2 國際標準、資料過濾和日誌紀錄等關鍵技術。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1%E9%9B%B6%E4%BF%A1%E4%BB%BB%E7%B6%B2%E8%B7%AF%E7%B3%BB%E7%B5%B1-1-2024-05-16-Web.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1%E9%9B%B6%E4%BF%A1%E4%BB%BB%E7%B6%B2%E8%B7%AF%E7%B3%BB%E7%B5%B1-2-2024-05-16-Web.jpg" style="width: 298px;" /></p> <p>在國際資安廠商的部分，我們也問到幾家業者，請他們談談自家產品對於信任推斷的支援。</p> <p>首先是趨勢科技（Trend Micro），今年他們在自家展區介紹整體解決方案平臺VisionOne的三大支柱之一：Zero Trust Secure Access，他們表示，若企業與組織採用趨勢科技的產品與服務，已能因應零信任架構的三大要求，趨勢科技也透過與其他廠商合作的方式來達成。以身分鑑別為例，趨勢科技目前可整合Microsoft Entra ID（Azure Active Directory）或是其他目錄服務來達成；關於設備健康度檢查，趨勢科技支援多種檢測條件、例如是否安裝防毒軟體或系統最新的漏洞修補版本；在信任推斷的部分，趨勢科技整合八大面向精準算出單一設備的風險分數，並備妥API供其他廠商進行演算。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TrendMicro ZTSA-0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TrendMicro%20ZTSA-0.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/TrendMicro ZTSA1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TrendMicro%20ZTSA1.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TrendMicro ZTSA2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TrendMicro%20ZTSA2.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/TrendMicro%20ZTSA3.jpg" style="width: 298px;" /></p> <p>另一家廠商是近期主打「Data Security Everywhere」的Forcepoint，他們的資料遺失預防（DLP）解決方案內建的Risk-Adaptive Protection（RAP），可收集使用者行為與該公司DLP資安事故資訊，運用他們發展的行為指標分析模型（Indicator of Behavior），計算出使用者的資安風險分數，而這些數值之後能主動與DLP系統進行溝通，以便根據風險等級的變化自動實施強制控管政策。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Forcepoint RAP1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Forcepoint%20RAP1.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Forcepoint%20RAP2.jpg" style="width: 298px;" /></p> <p>顯然Forcepoint提出的解決方案與現行臺灣資安廠商著重的作法大異其趣，因為他們主攻資料外洩及使用者行為的分析，而非端點與網路的層面，但我們不能否認信任涵蓋的面向原本就是廣泛的，結合更多角度來定義與驗證信任程度高低，的確有其必要性，也期盼能有越來越多資安廠商一起合作，共同響應政府零信任架構的推動，面對層出不窮的內外部資安威脅，能夠持續做到看得見、守得牢、管得好等目標。</p> </div></div></div>
2024/5/19 23:58作者李宗翰https://www.ithome.com.tw/news/162960
臺灣半導體業者逸昌遭網路攻擊，部分資訊系統受影響，仍在復原中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又有臺灣半導體業遭遇網路攻擊，在5月17日（周五）傍晚17時23分，上櫃半導體業者逸昌科技發布資安事件重大訊息，說明公司內有部份資訊系統遭受駭客攻擊。</p> <p>由於今年1月鴻海集團旗下半導體大廠京鼎精密遭網路攻擊，如今再有逸昌科技發生網路資安事件的消息，成為國內半導體公司關注焦點。</p> <p>基本上，逸昌科技這家半導體公司，主要從事晶圓測試、晶圓雷射修整製造、 IC 最終測試、外觀檢查、捲帶包裝、以及代客出貨等服務。</p> <p>對於這次資安事件，根據該公司的說明，他們發現網路傳輸異常，以及部份伺服器遭受駭客攻擊的情況。而他們的資安單位已立即啟動防禦復原機制，並與外部資安公司技術專家合作處理。</p> <p>值得留意的是，他們表示目前資訊系統陸續恢復中，意味著公告當下的周五傍晚，這些受影響的資訊系統尚未完全復原。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E4%B8%8A%E6%AB%83%E5%8D%8A%E5%B0%8E%E9%AB%94%E6%A5%AD%E9%80%B8%E6%98%8C%E7%99%BC%E7%94%9F%E7%B6%B2%E8%B7%AF%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6.png" style="width: 600px;" /></p> </div></div></div>
2024/5/18 14:09作者羅正漢https://www.ithome.com.tw/news/162954
【臺灣資安大會直擊】為量子破密危機做準備，臺灣郵件安全業者網擎資訊已開始部署PQC演算法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在量子破密的危機之下，許多企業擔心駭客「先竊取，後解密（Harvest Now, Decrypt Later，HNDL）」的攻擊手法，因此，支援新的後量子演算法，正成為現在關注的一大重點。</p> <p>在2024臺灣資安大會第三天的後量子安全國際研討會上，除了<a href="https://www.ithome.com.tw/news/162922">有數位產業署宣布「後量子資安產業聯盟」成立，以及多位PQC領域專家介紹最新發展態勢</a>，特別的是，還有國內軟硬體業者揭露相關成果與近況，亦成為現場矚目焦點。</p> <p>例如，國內郵件伺服器與雲端服務大廠網擎資訊，去年9月就曾宣布，已為其產品部署後量子加密技術，在這次大會中，該公司執行長廖長健也首度公開揭露相關細節。</p> <p>事實上，我們當時已經關注此一發展，因為，去年8月先是池安量子資安宣布成立「量子安全遷移中心」，還有Google宣布Chrome 116版將支援X25519Kyber768產生TLS加密連線中的對稱式金鑰，到了9月，我們又再注意到，在企業IT產品領域中，網擎資訊是臺灣首個宣布為其產品導入PQC演算法的廠商。</p> <p>對於HTTPS層面的公鑰密碼系統更換，廖長健說明了他們在這方面的經驗。基本上，升級PQC演算法不只是產品本身要支援，所有相關環境都要支援才能有用。</p> <p>近年國際間有幾個重要發展，促使網擎資訊也能有更進一步開始行動，首先是Cloudflare在2022年宣布推出後量子Kyber測試版，讓所有通過Cloudflare的網站服務可啟用該功能。</p> <p>其次是2023年8月，Google宣布Chrome 116版開始以混合支援方式支援PQC加密技術，在這樣的環境配合之下，網擎在Google宣布的一個月後，也公布了他們的Mail2000郵件伺服器已部署後量子加密技術，而他們之所以能在如此短時間內完成，其實背後也借助了量子安全遷移中心之力，讓自家產品建立起後量子密碼的準備能力。</p> <p>不過，廖長健也以自身產品為例，說明整體環境其實還有諸多面向都需要配合，才能徹底發揮效用。</p> <p>這是因為，雖然Mail2000在TLS 1.3版之下可支援PQC加密技術，但目前僅使用Google Chrome瀏覽器的網頁介面環境，還有一些應用面向只能沿用舊的加密技術。</p> <p>例如，在POP、IMAP面向的郵件用戶端程式，像是Outllok等郵件軟體也要支援才行，在SMTP面向的郵件傳送代理程式，目前即便一些大廠也都尚未準備就緒，像是Gmail只支援inbound的部分，Microsoft 365與其他多數都是inbound與outbonud都還沒有支援。因此，他也希望在PQC標準正式發布後，各方面的進展都能加快。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(圖6)網擎資訊導入後量子密碼學.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%966)%E7%B6%B2%E6%93%8E%E8%B3%87%E8%A8%8A%E5%B0%8E%E5%85%A5%E5%BE%8C%E9%87%8F%E5%AD%90%E5%AF%86%E7%A2%BC%E5%AD%B8.jpg" style="width: 600px;" /></a></p> <p><strong>網擎資訊執行長廖長健以一張圖來介紹X25519Kyber768後量子密碼的金鑰交換運作，並指出TLS 1.3的重要性。</strong></p> <p>另外，在SoC（System on a Chip）設計領域，深耕RISC-V領域多年的臺灣矽智財業者晶心科技，該公司總部管理室特助張弘毅也提到該領域的一些重要進展，例如，關於RISC-V PQC工作小組的最新動向，目前正進行後量子密碼學擴展規範的工作，其實去年已經開始進行，今年1月7日則是到了公開審查階段。</p> <p>雖然大家都在談要確保臺灣具有後量子密碼準備能力，不過實際採取行動更是關鍵，如今我們可以看到，臺灣已有IT產業、SoC設計產業正付諸行動。</p> </div></div></div>
2024/5/17 15:14作者羅正漢https://www.ithome.com.tw/news/162950
VMware修補單機PC虛擬化軟體的高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月14日VMware<a href="https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24280">發布資安公告</a>，指出旗下的虛擬化平臺VMware Workstation、Fusion存在4項漏洞，他們發布VMware Workstation 17.5.2、Fusion 13.5.2予以修補。</p> <p>這些漏洞當中，最嚴重的是評為重大層級的CVE-2024-22267，從虛擬藍牙裝置元件（vbluetooth）發現，為記憶體釋放後又再存取使用（Use After Free）的漏洞，攻擊者一旦取得本機管理員權限，就有機會對虛擬機器利用這項漏洞，藉由主機上的VMX處理程序，在虛擬機器上執行程式碼，CVSS風險評分為9.3。</p> <p>另外3個漏洞CVE-2024-22268、CVE-2024-22269、CVE-2024-22270，危險程度皆為高風險層級，其中，CVE-2024-22269、CVE-2024-22270為資訊洩露漏洞，分別存在於虛擬藍牙裝置，以及主機與虛機機器的檔案共用系統（Host Guest File System，HGFS）。至於CVE-2024-22268，則是與Shader的元件有關，為記憶體緩衝區溢位漏洞。而這些漏洞的CVSS風險評分，皆為7.1分。</p> <p>值得一提的是，以上所有漏洞都是透過趨勢科技旗下的漏洞懸賞專案Zero Day Initiative向VMware通報，除了CVE-2024-22268，其餘皆來自漏洞挖掘競賽Pwn2Own Vancouver 2024，由資安業者Theori、Star Labs SG組成的隊伍發現。</p> </div></div></div>
2024/5/17 16:18作者周峻佑https://www.ithome.com.tw/news/162952
【資安日報】5月17日，研究人員公布GE超音波醫療設備一系列漏洞，並用來植入勒索軟體進行驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來醫療設備的資訊安全逐漸受到重視，有不少研究人員公布他們的分析結果，攻擊者很有可能藉此得知病人的資料，甚至是竄改儀器量測的結果。</p> <p>例如，最近資安業者Nozomi Networks揭露GE HealthCare超音波醫療設備的漏洞，他們表示，雖然攻擊者必須實際接觸設備，才能利用他們發現的漏洞，但這些設備通常會放置於公開的環境，一旦出現無人看管的空檔，就有機會對其下手。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162951"><strong style="font-size: 22px;">研究人員揭露GE HealthCare超音波醫療設備漏洞，並指出能被用於部署惡意程式、搜刮病人檢查結果</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6642fb1af8010eb6f34b3443_ransomw.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/6642fb1af8010eb6f34b3443_ransomw.jpg" style="width: 300px; float: right;" /></a>資安業者Nozomi Networks揭露GE HealthCare旗下的Vivid Ultrasound系列超音波醫療設備弱點，他們總共找到11個漏洞，並指出這些漏洞將會造成多種層面的影響，例如，竊取病人檢測資料，甚至攻擊者有機會在設備上植入勒索軟體。</p> <p>研究人員指出，攻擊者若要利用他們發現的漏洞，必須實際存取該醫療設備，因為過程中需要透過設備上的鍵盤及觸控板進行操作。不過，這也不能代表用戶就能掉以輕心，因為，攻擊者只需1分鐘的時間，就足以植入惡意程式，這也代表這類設備最好隨時都要有人看管，才能減少曝險的機會。</p> <p>他們針對心臟超音波影像系統Vivid T9進行調查，並重點放在預載的網頁應用程式Common Service Desktop，以及安裝於Windows工作站電腦的應用程式EchoPAC，該軟體的主要功能，是讓醫生能夠檢視上述系統取得的超音波影像。結果他們發現了11個漏洞，其中的寫死帳密弱點CVE-2024-27107為重大層級，CVSS風險評分最高，達到了9.6分。</p> <p><a href="https://www.ithome.com.tw/news/162952"><strong style="font-size: 22px;">VMware修補單機PC虛擬化軟體的高風險漏洞</strong></a></p> <p>5月14日VMware發布資安公告，指出旗下的虛擬化平臺VMware Workstation、Fusion存在4項漏洞，他們發布VMware Workstation 17.5.2、Fusion 13.5.2予以修補。</p> <p>這些漏洞當中，最嚴重的是評為重大層級的CVE-2024-22267，從虛擬藍牙裝置元件（vbluetooth）發現，為記憶體釋放後又再存取使用（Use After Free）的漏洞，攻擊者一旦取得本機管理員權限，就有機會對虛擬機器利用這項漏洞，藉由主機上的VMX處理程序，在虛擬機器上執行程式碼，CVSS風險評分為9.3。</p> <p>另外3個漏洞CVE-2024-22268、CVE-2024-22269、CVE-2024-22270，危險程度皆為高風險層級，其中，CVE-2024-22269、CVE-2024-22270為資訊洩露漏洞，分別存在於虛擬藍牙裝置，以及主機與虛機機器的檔案共用系統（Host Guest File System，HGFS）。至於CVE-2024-22268，則是與Shader的元件有關，為記憶體緩衝區溢位漏洞。而這些漏洞的CVSS風險評分，皆為7.1分。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/medisecure-e-script-firm-hit-by-large-scale-ransomware-data-breach/"><strong style="font-size: 20px;">澳洲電子處方箋業者MediSecure遭遇供應鏈攻擊，駭客加密檔案導致網站服務與電話中斷</strong></a></p> <p></p> <p>◆<a href="https://www.securityweek.com/900k-impacted-by-data-breach-at-mississippi-healthcare-provider/"><strong style="font-size: 20px;">針對去年密西西比州醫療保健系統Singing River Health System遭遇勒索軟體攻擊，調查發現資料外洩範圍擴大，近90萬人受影響</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/nissan-north-america-data-breach-impacts-over-53-000-employees/"><strong style="font-size: 20px;">日本汽車大廠日產北美分公司去年遭駭，逾5.3萬歷任員工資料外洩</strong></a></p> <p></p> <p>◆<a href="https://www.hackread.com/intelbroker-hacker-hsbc-barclays-data-breach/"><strong style="font-size: 20px;">初始入侵管道掮客IntelBroker聲稱竊得匯豐、巴克萊銀行資料庫、原始碼等敏感資料</strong></a></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2024-006.txt"><strong style="font-size: 20px;">HP Aruba Networking修補路由器重大漏洞</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162771"><strong style="font-size: 22px;">Akamai將以4.5億美元併購API資安業者Noname</strong></a></p> <p></p> <p>資安業者Akamai於5月7日宣布，將以4.5億美元買下API資安業者Noname所有股權，雙方預計於今年第二季完成交易。</p> <p>該公司指出，將Noname納入麾下可強化現有API安全解決方案，另一方面也期望藉由雙方已建立的銷售、行銷、合作夥伴資源，擴大服務規模。</p> <p>具體而言，Akamai計畫結合Noname的能力提供完整的API安全套件，協助客戶更容易發現影子API、檢查安全漏洞及發現攻擊行動，亦將迅速整合Noname功能至Akamai的應用程式及API平臺。</p> <p><a href="https://www.ithome.com.tw/news/162914"><strong style="font-size: 22px;">資安業者Palo Alto Networks將買下IBM QRadar SaaS資產，雙方將建立廣泛的合作關係</strong></a></p> <p></p> <p>本月15日資安業者Palo Alto Networks與IBM宣布策略聯盟，內容包括Palo Alto買下QRadar SaaS資產，並於Cortex XSIAM整合Watsonx大型語言模型，進而加入精準人工智慧（Precision AI）解決方案。他們併購QRadar的交易，預計今年9月完成</p> <p>雙方將在安全營運、威脅管理、DevSecOps方面進行合作，將內部安全解決方案平臺化。IBM對於混合雲端和人工智慧的資料安全、身分和存取管理方面，將加速創新和投資，Palo Alto也將成為IBM跨網路、雲端與安全營運中心（SOC）的首選合作夥伴。</p> <p>他們也會共同設立安全營運中心與網路靶場（Cyber Range），目的是讓客戶能夠體驗兩家產品線整合後的價值。</p> <p><a href="https://www.ithome.com.tw/news/162936"><strong style="font-size: 22px;">SIEM解決方案供應商LogRhythm、Exabeam宣布合併</strong></a></p> <p>繼思科3月完成280億美元重金併購Splunk，以及5月中Palo Alto Networks宣布向IBM買下QRadar的SaaS資產，又有安全資訊與事件管理（SIEM）廠商整併。</p> <p>5月15日LogRhythm與Exabeam宣布將進行合併，並預計於今年第三季完成。不過，對於這起併購案的其他細節，例如：如何合併，以及合併後的執行長人選，或是擁有整併後公司的投資者身分，兩家公司並未進行說明。此外，他們也沒有透露交易金額。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162922"><strong style="font-size: 22px;">臺灣後量子資安產業聯盟正式成立，凝聚產官學研能量，加速相關產業發展</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PQC-CIA-annouce.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PQC-CIA-annouce.jpg" style="width: 300px; float: right;" /></a>利用量子運算破解目前公鑰加密技術的全新威脅即將出現，影響遍及政府憑證、金融交易、醫療隱私、物聯網等廣泛領域，全球都在加速準備因應，臺灣在這方面的發展，也是國內民眾關注的焦點，如今我國有了全新的策略，要促成產官學研公私聯手。</p> <p>在2024 CYBERSEC臺灣資安大會第三天（5月16日），數位發展部數位產業署宣布成立「後量子資安產業聯盟」（PQC Cybersecurity Industry Alliance，PQC-CIA），這也象徵著臺灣在後量子密碼發展，正跟上全球新興趨勢，現在將要藉由各方資源整合，加速推動我國後量子資安相關產業的發展。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162912"><strong>【5月16日】Google在一週內發布3次Chrome更新，修補已被用於攻擊行動的零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162880"><strong>【5月15日】微軟發布5月份例行更新，公告3個零時差漏洞受到各界關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162861"><strong>【5月14日】芬蘭首都證實資料外洩事故，起因是教育部門的遠端存取伺服器未修補已知漏洞</strong></a></p> </div></div></div>
2024/5/17 16:40作者周峻佑https://www.ithome.com.tw/news/162953
【臺灣資安大會直擊】臺灣後量子資安產業聯盟正式成立，凝聚產官學研能量，加速相關產業發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用<a href="https://www.ithome.com.tw/news/141985">量子運算破解目前公鑰加密技術的全新威脅即將出現</a>，影響遍及政府憑證、金融交易、醫療隱私、物聯網等廣泛領域，全球都在加速準備因應，臺灣在這方面的發展，也是國內民眾關注的焦點，如今我們有了全新的策略，要促成產官學研的公私聯手，在2024 CYBERSEC臺灣資安大會第三天（5月16日），數位發展部數位產業署宣布成立「後量子資安產業聯盟」（PQC Cybersecurity Industry Alliance，PQC-CIA），這也象徵著臺灣在後量子密碼發展，正跟上全球新興趨勢，例如今年2月，推動開放原始碼軟體發展的<a href="https://www.ithome.com.tw/news/161236">Linux基金會已宣布成立專屬的PQCA聯盟，促進後量子密碼學發展</a>，對於我國而言，現在將要藉由各方資源整合，加速推動我國後量子資安相關產業的發展。</p> <h2><strong>打造公私夥伴關係平臺才能加速產業發展</strong></h2> <p>在臺灣後量子資安產業聯盟啟動的儀式上，數位發展部數位產業署副署長林俊秀到場致詞，說明我國將聚焦晶片研發、應用檢測與推廣培訓這3大主軸，即將接任數位部長、現為中央研究院特聘研究員的黃彥男也到場支持，身為聯盟召集人、鴻海研究院執行長的李維斌，更是公布了該聯盟的目標與願景。</p> <p>李維斌表示，關於量子破密的危害，有如過去Y2K事件造成的廣泛影響，但衝擊可是更大且更深遠。</p> <p>雖然先前已有一些臺灣產業重視這方面的研究，但李維斌強調，現在我們需要共同、整體地推動，因為每個人的角色不一樣，不論產業、研發單位或政府，都無法單靠自己完成所有事，因此，建立後量子資安產業聯盟這樣的平臺，至關重要，希望將不同角色的大家整合起來，相互協調，這樣才能讓整體發展加速。</p> <p>他認為，臺灣有這方面的基礎研究，也有硬體，只要大家在軟體方面多重視一點，就有希望加速提升我國在後量子密碼應用領域的競爭力。</p> <p>因此，李維斌指出，這個全新的聯盟將有3大使命，包括：建立強健的公私夥伴關係（Public-Private Partnership，PPP），加速後量子產業的發展，以及採取行動確保臺灣具備後量子密碼準備能力。</p> <p>而他們的願景就是，讓臺灣走在全球量子準備與創新的前沿，並與全球夥伴建立PQC合作關係。</p> <p>同時，李維斌也介紹了這個聯盟的組織架構，除了由他擔任聯盟召集人，逄愛君教授擔任副召集人，聯盟內設有3個工作小組，分別是技術小組（Technical SIG）、應用小組（Application SIG），以及準備小組（Readiness SIG）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖1)後量子產業聯盟成立_李維斌.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%961)%E5%BE%8C%E9%87%8F%E5%AD%90%E7%94%A2%E6%A5%AD%E8%81%AF%E7%9B%9F%E6%88%90%E7%AB%8B_%E6%9D%8E%E7%B6%AD%E6%96%8C.jpg" style="width: 600px;" /></a></p> <p><strong>在後量子資安產業聯盟成立後，李維斌指出，聯盟內部將設3個小組，首先是技術專門小組而言，將由工研院來執行，負責研究密碼學與硬體與軟體設計；第二是應用專門小組，由資策會執行，目標是促進特定領域採用PQC應用程式，以及擴展PQC技術至更廣泛的領域；第三是準備專門小組，由工研院執行，任務是提供指引、提升公私夥伴關係（PPP），建立平臺與培訓。</strong></p> <p>此外，對於後量子資安產業聯盟的成立，數位產業署也表示，這個平臺將成為相關業者共同討論與交流的重要媒介，聯盟也會針對晶片研發、應用檢測與推廣培訓這3大主軸來推動，並促成國內資安自主研發技術的進步與創新，讓臺灣在後量子資安議題的技術能量，可以更被國際看得見。</p> <h2><strong>多位PQC領域專家現身說法，公開最新發展態勢</strong></h2> <p>在後量子資安產業聯盟成立之餘，現場還有後量子安全國際研討會的議程，有多位PQC領域專家介紹這方面的發展態勢，讓大家對最新現況能有更多認識。</p> <p>例如，身為臺灣PQC領域的關鍵人物的中央研究院研究員<a href="https://www.ithome.com.tw/news/141987">楊柏因</a>，同樣出席這場大會，並在後續演說當中，再次強調需重視量子電腦對密碼學與資安的影響，因為將衝擊現有公鑰密碼系統，包括RSA、DH、DSA、ECDSA、ECDH等。</p> <p>要如何因應這項威脅？PQC後量子演算法是當前的重點，這幾年已然發展成形。美國國家標準技術研究所（NIST）很早就採取行動，在2016年發起PQC標準化競賽，到了2022年7月已有初步結果，公布首批入選的4款演算法。</p> <p>同時，楊伯因還提到最新進展，包括：上述4個入選演算法，其標準有望於2024年夏天正式發布，而且，NIST又再為數位簽章項目，額外增加候選演算法，並在去年7月公布收到40個提交項目。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖2)後量子產業聯盟成立_楊伯因.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%962)%E5%BE%8C%E9%87%8F%E5%AD%90%E7%94%A2%E6%A5%AD%E8%81%AF%E7%9B%9F%E6%88%90%E7%AB%8B_%E6%A5%8A%E4%BC%AF%E5%9B%A0.jpg" style="width: 600px; height: 263px;" /></a></p> <p><strong>中央研究院研究員楊柏因</strong><strong>說明NIST PQC演算法標準化競賽的最新發展，例如，2022年7月已經宣布首批入選4款演算法，預計今夏會發布標準，特別的是，後續NIST額外徵選數位簽章項目的候選演算法，如今已有40個提交項目。</strong></p> <p>經常在臺進行PQC演算法研究的荷蘭愛因霍芬科技大學博士教授Tanja Lange，她也介紹了這方面的國際趨勢，指出一些國家已經提出這方面的戰略。</p> <p>例如，美國白宮在2022年5月發布的國家安全備忘錄，就是要促進美國在量子運算領域居於領先地位，並開始要求當地政府機構系統遷徙至PQC系統；歐洲網路安全局（ENISA）在2021年5月，先是提出了名為「PQC：現狀與量子威脅緩解」的報告，到了2022年10月再提出「PQC-整合研究」報告。</p> <p>此外，中國也啟動PQC演算法設計競賽，韓國亦舉辦KpqC競賽，目標是提升國家的後量子密碼學能力。</p> <p>而在NIST標準之外，網際網路工程工作小組（IETF）已將兩種基於Hash的演算法標準化，目前正針對4款PQC演算法與橢圓曲線加密結合的方法提出草案；國際標準組織ISO也有相關進展，包括正要出版ISO 14888-4狀態依賴的HASH機制，以及針對ISO 18033-2進行改版。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖3)後量子產業聯盟成立_Tanja Lange.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%963)%E5%BE%8C%E9%87%8F%E5%AD%90%E7%94%A2%E6%A5%AD%E8%81%AF%E7%9B%9F%E6%88%90%E7%AB%8B_Tanja%20Lange.jpg" style="width: 600px;" /></a></p> <p><strong>轉換PQC需及早準備，荷蘭愛因霍芬科技大學博士教授Tanja Lange指出，不只美國要求聯邦政府系統朝向PQC遷徙，歐洲也同樣重視，還有許多國家與不同產業都在努力。</strong></p> <p>臺灣推動PQC的新創廠商<a href="https://www.ithome.com.tw/news/158213">池安量子資安</a>，也參加這場活動，該公司的量子安全遷移中心主任的Matthias J. Kannwischer公布後量子密碼的應用現況。他先前也在中央研究院資訊科學研究所擔任博士後研究員。</p> <p>他表示，從全球網站來看，若透過Cloudflare Rader來檢視HTTPS流量中的後量子加密採用率，在2024年4月7日到4月21日之間，可以發現PQC演算法採用率明顯大增，從3%增至超過12%，他認為，這與Chrome為TLS 1.3和QUIC連線開始預設採用PQC演算法混合支援方式有關。</p> <p>另外他也以臺灣數位發展部網站為例，背後的TLS 1.3傳輸加密設定就是X25519Kyber768Draft00，也就意味支援PQC演算法。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖4B)後量子產業聯盟成立_Matthias J_ Kannwischer.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%964B)%E5%BE%8C%E9%87%8F%E5%AD%90%E7%94%A2%E6%A5%AD%E8%81%AF%E7%9B%9F%E6%88%90%E7%AB%8B_Matthias%20J_%20Kannwischer.jpg" style="width: 600px;" /></a></p> <p><strong>儘管PQC標準尚未正式發布，不過在2018年出爐的TLS 1.3版，已經支援最新PQC演算法，臺灣是否有網站伺服器啟用TLS 1.3，並且加密連線設定支援X25519Kyber768Draft00？</strong><strong>池安量子資安的量子安全遷移中心主任Matthias J. Kannwischer表示，臺灣的數位發展部網站就是一例。</strong></p> <p>特別的是，他還提到一件事，關於NIST後續為數位簽章項目所額外增加的候選演算法中，40個提交項目中，有8個是基於臺灣的提交項目。這也顯示臺灣在此方面的能量，在國際間可說是相當不容小覷。</p> <p>整體而言，臺灣在後量子密碼方面的能量並不容小覷，但我們的進展可能因為個別進行而不如期望，因此，加速我國相關產業推動將是關鍵，如今後量子資安產業聯盟成立，希望更能凝聚國內後量子資安產業研發能量。</p> </div></div></div>
2024/5/17 11:35作者羅正漢https://www.ithome.com.tw/news/162922
研究人員揭露GE HealthCare超音波醫療設備漏洞，並指出能被用於部署惡意程式、搜刮病人檢查結果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Nozomi Networks<a href="https://www.nozominetworks.com/blog/ge-healthcare-vivid-ultrasound-vulnerabilities">揭露GE HealthCare旗下的Vivid Ultrasound系列超音波醫療設備弱點</a>，他們總共找到11個漏洞，並指出這些漏洞將會造成多種層面的影響，例如，竊取病人檢測資料，甚至攻擊者有機會在設備上植入勒索軟體。</p> <p>研究人員指出，攻擊者若要利用他們發現的漏洞，必須實際存取該醫療設備，因為過程中需要透過設備上的鍵盤及觸控板進行操作。不過，這也不能代表用戶就能掉以輕心，因為，攻擊者只需1分鐘的時間，就足以植入惡意程式，這也代表這類設備最好隨時都要有人看管，才能減少曝險的機會。</p> <p><a href="https://s4.itho.me/sites/default/files/images/6642fb1af8010eb6f34b3443_ransomw.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/6642fb1af8010eb6f34b3443_ransomw.jpg" style="width: 580px;" /></a></p> <p>他們針對心臟超音波影像系統Vivid T9進行調查，並重點放在預載的網頁應用程式Common Service Desktop，以及安裝於Windows工作站電腦的應用程式EchoPAC，該軟體的主要功能，是讓醫生能夠檢視上述系統取得的超音波影像。</p> <p>結果他們發現了11個漏洞，其中的寫死帳密弱點CVE-2024-27107為重大層級，CVSS風險評分最高，達到了9.6分。</p> <p>另外有6個高風險漏洞CVE-2020-6977、CVE-2024-1628、CVE-2024-27110、CVE-2024-1630、CVE-2024-27109、CVE-2024-1486，這些漏洞涉及防護功能失效、作業系統命令注入、能以不需要的權限執行、路徑穿越、帳密保護不足，以及重要資源權限分配不正確的情況，CVSS風險評分介於8.4至7.4分。</p> <p>究竟這些弱點會帶來那些危害？研究人員表示，所有的漏洞他們都能用來拿到root權限，並執行任意程式碼。他們規畫了漏洞利用攻擊鏈，先是透過防護功能失效漏洞CVE-2020-6977，跳脫Kiosk模式取得Vivid T9的控制權，接著，再利用命令注入漏洞CVE-2024-1628來實現程式碼執行的目的，最終他們成功在Vivid T9部署勒索軟體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/6642fbe10dbe3cdbce44c4d1_ransomw.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6642fbe10dbe3cdbce44c4d1_ransomw.png" style="width: 580px;" /></a></p> <p>上述的攻擊過程，雖然攻擊者必須實際接觸超音波設備，但研究人員表示，若要加快攻擊速度，駭客還能準備惡意隨身碟，一旦接上USB埠，就能模擬鍵盤和滑鼠，自動化執行所有攻擊步驟。他們實際製作一個專用隨身碟並進行測試，結果可在大約1分鐘完成所有攻擊步驟。</p> <p>而針對另一種攻擊手法，研究人員利用CVE-2024-27107，而能在未通過身分驗證的情況下，對於EchoPAC下手，存取本機病人資料庫的內容。他們表示，攻擊者可藉由外流的VPN帳密取得醫院內部網路的存取權限，掃描存在上述漏洞的EchoPAC發動攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/6642fb3f1a966de40262810c_data_ac.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6642fb3f1a966de40262810c_data_ac.png" style="width: 580px;" /></a></p> <p>對此，<a href="https://www.gehealthcare.com/services/lifecycle-management/product-security-portal/security">GE HealthCare也發布資安公告</a>，並提供相關說明，研究人員也呼籲，醫護人員應隨時看管超音波設備，而對於部署EchoPAC的電腦，他們認為應封鎖特定流入的流量因應。</p> </div></div></div>
2024/5/17 15:37作者周峻佑https://www.ithome.com.tw/news/162951
索尼音樂公開聲明退出AI訓練
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>索尼音樂集團（Sony Music Group，SMG）與旗下的Sony Music Publishing（SMP）與Sony Music Entertainment（SME）<a href="https://www.sonymusic.com/sonymusic/declaration-of-ai-training-opt-out/" target="_blank">本周正式對外聲明</a>，將退出AI訓練，禁止任何業者在尚未取得授權的狀態下，以其內容訓練AI模型。英國《金融時報》（Financial Times，FT）則<a href="https://www.ft.com/content/c5b93b23-9f26-4e6b-9780-a5d3e5e7a409" target="_blank">引述消息來源報導</a>，除了公開聲明之外，索尼也發出警告信通知全球的AI開發者，包括OpenAI、微軟與Google等。</p> <p>索尼表示，該集團一直擁抱以負責任的AI作為創意工具的潛力，可徹底改變詞曲作者及唱片藝術家創作音樂的方式，也支持創作者利用新技術來支持藝術，技術的發展經常改變創意產業的發展方向，AI也不例外。</p> <p>然而，相關的創新必須確保詞曲作者與唱片藝術家的權利，讓版權得到尊重，因此，除非SMP與SME特別授權，否則明確禁止及退出針對其內容的任何文字與資料的挖礦、網頁抓取或類似的重製及使用，涵蓋音樂作品、歌詞、錄音、視聽作品、藝術創作、圖像或資料等。</p> <p>索尼也強調，不管是任何目的或方式都不應違反SMP與SME的合法權利，像是用來訓練、開發或商業化AI系統，或是以機器人、抓取工具或其它自動流程來汲取資料。</p> <p>而根據FT的報導，索尼發給各大AI開發者的警告信中，直接指出依照業者所發布的AI系統資訊，有理由相信它們已未經索尼授權即使用其內容來訓練、開發與商業化AI系統，重申索尼的立場，並指稱業者剝奪了索尼對AI系統的控制權，以及適當的補償。索尼亦於信中要求開發者於下周之前提供所使用內容的詳細資訊。</p> </div></div></div>
2024/5/17 13:32作者陳曉莉https://www.ithome.com.tw/news/162949
Ruby 3.4.0預覽版引入預設啟用凍結字串過渡措施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ruby 3.4.0第一預覽版<a href="https://www.ruby-lang.org/en/news/2024/05/16/ruby-3-4-0-preview1-released/">釋出</a>，替預設啟用凍結字串（Frozen String Literals）作準備。從該版本開始，未包含frozen_string_literal註解的字串被修改時，執行時程式會發出棄用警告，而這項變更的目的在於推廣凍結字串，所採取的過渡性措施。</p> <p>在Ruby中，凍結字串是一種不可變的字串。當一個字串被凍結之後，就無法再被修改，而這有助於提高效能和減少不必要的記憶體分配。從Ruby 2.3開始，開發者可以使用frozen_string_literal: true註解，將檔案中的所有字串預設為凍結狀態，如此便可在編寫和執行程式時，避免意外的字串修改，進而提升程式的穩定性和效能。</p> <p>Ruby在2.3版本中加入frozen_string_literal: true註解時，原本預計要在Ruby 3.0時預設啟用，但這個計畫因為會造成大量相容性問題而被放棄，但是Ruby創始人松本行弘（Yukihiro Matsumoto，Matz）仍希望未來可預設啟用這項功能。</p> <p>為了要讓這項功能可行，需要合理的搬遷計畫，解決向後相容問題，因為立刻啟用將會破壞許多現有程式碼，所以開發團隊引入了棄用期，這個過渡會發出棄用警告，當未來會被凍結的字串被修改時發出警告。</p> <p>儘管添加棄用警告可能造成開發者不滿，但是官方根據過往經驗，起初在Ruby 2.7引入關鍵字參數棄用時，社群也出現許多抱怨的聲音，但是最終仍接受，因此現在官方也開始對修改凍結字串發出棄用警告，逐步推動凍結字串預設啟用進度。</p> </div></div></div>
2024/5/17 13:47作者李建興https://www.ithome.com.tw/news/162948
彙整產業意見，工程會公布資服採購經費估算編列手冊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了解決長久以來政府資訊服務採購的問題，行政院公共工程委員會協同數位發展部，已經於去年九月，發布「資訊服務採購作業指引」，讓所有政府資訊服務採購都可以採用不定底價最有利標（固定費用/費率）、杜絕機關買菜送蔥的不當回饋，強化資安因為駭客攻擊等作為，大幅改善政府採購人員針對資訊服務採購時的痛點。</p> <p>不過，行政院公共工程委員會副主委葉哲良表示，為了做到從源頭編列合理預算，工程會和數位部於五月一日正式公布「資服務採購經費估算編列手冊」（業界簡稱預算手冊），此一經費估算編列手冊經過產業界多次討論、意見彙整後才正式產出。他指出，預算手冊公布後，馬上就可以用於今年七月，針對明年預算招標的資服採購案。</p> <p>他指出，這份預算編列手冊是屬於操作型手冊，採取正面表列的方式，可以大幅度減輕負責政府資訊、資安委外的公務人員壓力；對於未來各個機關資訊、資安的委外採購事項，都可以參照經費估算編列手冊的內容「照表操課」進行編列，對於促進資訊、資安產業的發展也有正向助益。</p> <h2><strong>彙整產業經驗，列出資服採購的專案階段和成本項目</strong></h2> <p>許多公務機關的資訊、資安事項多採委外辦理，他說，為了便利採購機關能充分理解資訊服務採購經費項目的內涵及預算組成，並且促進資訊服務採購的費用合理化，工程會才和數位發展部以及相關資訊、資安產業界與相關公協會等，共同研擬制定預算手冊，經過產業界討論及數位部提供意見後，才正式對外公布。</p> <p>「這個預算手冊將可以協助機關，從計畫階段即掌握資訊服務採購的工作項目，並合理評估預算。」他說，預算手冊其實是操作型手冊，做正面表列to-do模式，明文寫出哪一些是預算編列時應該做的內容，to do列表不僅可以減少公務人員的壓力，也可以避免踩雷。</p> <p>這份預算手冊的內容架構，是包含資訊服務採購的規畫（包含可行性評估、規畫及設計）、開發（包含細部設計、開發及測試）、建置（含現場建置、整合及整體測試）以及保固維運的等不同階段。</p> <p>該預算手冊也用於電腦軟體或硬體有關的資訊服務，包括：整體規畫、系統整合、系統稽核、系統管理、網路管理、軟體開發、軟體驗證、軟體維護、硬體維護、硬體操作、機房設施管理、備援服務、網路服務、顧問諮詢、資料庫建置、資料處理、資料登錄或訓練推廣等相關預算架構及項目。</p> <p>該預算手冊也清楚載明機關參考使用時，應該要根據不同資訊服務類及個案採購內容，選擇需要的經費項目並得合併項目，核實考量費用；有必要時，也可以依據政府採購法第34條，對於主管機關的資訊網路刊登相關資料，公開說明或徵求廠商提供參考資料，由各界協助檢視個案瘀求以及經費編列的合理性。</p> <p>更重要的是，其他資訊服務類型也可以參考相關成本架構、補充說明及案例做合理調整。</p> <h2><strong>根據成本組成，獨立框計資安費用</strong></h2> <p>葉哲良表示，現在大家都在談敏捷，不過敏捷並不是只一味強調快速，而是快速中還必須有效率，像是預算手冊中的第二章就拆分資訊服務的成本項目，不只有成本大項，還包括更多的成本細項。</p> <p>他說，如果從成本大項開始，依序從規劃、系統設計、建置、維運到行政管理及教育訓練等編列預算，看起來並不敏捷，如果要更敏捷的話，可以花比較多的心力在最剛開始的規畫成本，然後依照客戶需求和專案里程碑，重複系統設計和建置階段，相對以往從頭到尾的瀑布式開發方式，可以更有彈性和效率。</p> <p>他也以代號C01的「規畫成本」大項為例，其中就包含像是資料蒐集、調查、分析的資料處理服務費（細項代號01），也有細項代號05的架構/技術概念驗證費（PoC）。</p> <p>另外，成本大項代號C02的「系統設計、開發及財物採購成本」中，有細項代號01的設備採購成本（含附加系統及首次保固成本）、細項代號02的軟體授權採購或訂閱成本、細項代號03的延長本故成本，以及細項代號04的資訊基礎資源租賃成本（地端或雲端），上述01～04的細項成本，就必須將實際涉資安的部分，得計列資安費用。</p> <p>但如果是成本大項代號02中，細項代號13的應用軟體或系統開發測試資安檢測技術服務費，或是細項代號15的資安制度顧問輔導等項目，就可以直接計列資安費用。</p> <p>葉哲良表示，工程會的資服採購規定要獨立框列計算資安費用，未來，工程會就可以針對各部會資服採購做統計，可以更直觀的看出，資安費用占整體資訊費用的比例為何，目前美國公司資安占資服費用比例大約8％～9％，一些高科技公司大概15％。甚至於，「未來還可以統計各部會資安和資服費用的占比，並且依照個機關資安等級排序，或許可以看出一些端倪。」葉哲良說。</p> <h2><strong>採購態樣搭配成本項目，可以得知哪些成本是必要或選擇性項目</strong></h2> <p>至於預算手冊第三章就是說明資訊服務的成本組成，他表示，各機關不管是採用瀑布式開發或是敏捷式開發，都可以依照各自實務上的需求，調整各計畫階段生命週期和其計畫成本。</p> <p>每一個計畫都會經歷下述階段，包括：規畫階段（階段代號P01）、設計開發階段（階段代號P02），以及建置階段（含線上/備援/測試場域建置）（階段代號P03）、維運階段（階段代號P04）、綜合階段（階段代號P05）、物價調整費（階段代號P06）、預備費（階段代號P07）和營業稅（階段代號P08）等。</p> <p>而計畫階段包括子階段，都可以對應大項計畫成本，以綜合階段為例，可以對上行政管理費用（成本大項代號C05）、教育訓練費用（成本大項代號C06）和其他費用（成本大項代號C07）。</p> <p>葉哲良表示，在預算手冊中，也詳細區分出九大類資訊服務採購樣態，包括SaaS、PaaS和IaaS服務樣態外，也明列資訊和資安系統規畫服務、應用軟體或系統開發服務、既有系統後續擴充以及應用軟體和系統維運服務等樣態。</p> <p>葉哲良表示，將資訊服務採購的樣態和計畫成本代號進行比對後，就可以清楚知道，哪一些計畫成本是必要選項，哪一些是選擇性選項。</p> <h2><strong>預算手冊是操作型手冊，降低公務人員編列預算的壓力</strong></h2> <p>預算手冊最重要的就是，提供公務機關可以先確認九大類資訊採購樣態，以及各樣態所需要的成本項目進行逐項、細項考量，確認是否為該資服採購案所需的費用，不僅可以做到讓該項目的預算可以核實編列費用、整併相關細項費用，也可以做到簡化預算內容以及避免重複或遺漏編列的問題。</p> <p>而預算編列的方式，也是依照成本項目的特性，可以選擇適合的單位做編列，例如，系統開發服務需要15人/月，或是防毒軟體延長保固二年、實體防火牆含守年原廠保固三臺等。</p> <p>葉哲良表示，這次預算手冊中，也明定可以依照市場機制制定人事費用的計算基準，「人事費用沒有標準價，只要報得出來，也可以是用公司內部的人事薪資表作為基準。」他說，只要提得出來就可以作為參考，畢竟一分錢一分貨，厲害的高手和初出茅廬的新手，薪資一定是不同級距。</p> <p>至於管理費用的部份，葉哲良指出，在預算手冊中也開放業者可以自己填寫，就算管理費用很高也可以照填，但重點在於：全部管理費用不可以超過「直接薪資扣除獎金後的百分之一百」，因為不可以打爛市場、還是要維持市場競爭力。</p> <p>葉哲良表示，這本預算手冊是操作型的手冊，五月一日公布後，因為清楚列出哪些是可以編列的預算項目，也大幅降低公務人員在編列資服採購預算時的壓力。</p> <p> </p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/5/17 12:51作者黃彥棻https://www.ithome.com.tw/news/162943
Reddit也與OpenAI簽署合作協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於今年2月<a href="https://www.ithome.com.tw/news/161440" target="_blank">提供</a>平臺資料予Google訓練AI模型之後，新聞社群Reddit周四（5/16）再<a href="https://www.redditinc.com/blog/reddit-and-oai-partner" target="_blank">宣布與OpenAI建立合作夥伴關係</a>。</p> <p>根據雙方的協議，OpenAI將把Reddit內容帶到ChatGPT及其它新產品，以協助使用者發現並與Reddit社群互動。OpenAI將存取可供應Reddit即時及結構化資料的Data API，以令OpenAI的AI工具能夠更好地理解與呈現Reddit內容，特別是最新的主題。反之，Reddit也將提供新的AI功能予Reddit用戶及版主。</p> <p>此外，OpenAI也同意成為Reddit的廣告合作夥伴。</p> <p>接連將平臺內容供應給兩大AI業者進行訓練，Reddit表示，保持網路開放是重要的，其中一部分是確保Reddit的內容可供研究及教育人員存取，此外，採用大型語言模型、機器學習及AI將令Reddit可改善用戶體驗。</p> <p>主要收入為廣告的Reddit甫於今年3月21日登上紐約股市，其發行價為34美元，當天以48%的漲幅收在50.44美元，上市前的Reddit一直處於虧損狀態，2022年與2023年的年度營收為6.66億美元及8.04億美元，分別虧損了1.58億美元及9,000萬美元。</p> <p>根據<a href="https://investor.redditinc.com/news-events/news-releases/news-details/2024/Reddit-Announces-First-Quarter-2024-Results/" target="_blank">Reddit今年第一季的財報</a>，該季營收成長了48%，達2.43億美元，因為上市費用而大幅虧損了5.8億美元，儘管外傳Google支付6,000萬美元予Reddit以取得內容授權，但財報中並未特別披露。周四Reddit的盤後股價上漲逾11%，將股價推升至63美元。</p> </div></div></div>
2024/5/17 12:51作者陳曉莉https://www.ithome.com.tw/news/162945
5G趨勢月報第54期：高雄輕軌導入5G專網，強化軌道行駛安全及月臺管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>04/10~05/10精選5G趨勢新聞</strong></span></h3> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>高雄輕軌</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>高雄輕軌導入5G專網，改善行車控制軌道安全</strong></span></p> </div> <div> <p>在交通部補助之下，高雄輕軌導入5G專網，利用5G專用網路整合軌道通訊、資料、應用，改善軌道運輸管理、軌道行車安全。</p> <p>高雄輕軌是在電信業者協助之下，導入5G SA獨立專網，在輕軌觀光人潮最多的C10光榮碼頭至C14哈瑪星站之間，重新定義軌道通訊模組及功能，利用專網打造5G TaaS(Transportation as a Service)交通整合應用平臺，包括輕軌工作人員可透過5G專網手機作個別或群組通話，文字或影像傳輸。</p> <p>而通過5G及AIoT加強軌道安全管理，蒐集輕軌車頭光達、CCTV影像，以偵測軌道及月臺異常情形，除了向駕駛輕軌的駕駛人員告警之外，也向行控中心告警，由行控中心聯絡駕駛人員或月臺人員協助處理。另外，高雄輕軌也利用CCTV影像及AI辨識，偵測乘客行為是否有刷卡付費，對於沒有刷票的乘客，辨識其衣物、外觀、性別等特徵，透過5G傳送至行控中心，同時也通知查票人員協助處理。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>行動網路普及</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>涵蓋率</b></span></font></p> <div> <p><span style="font-size: 22px;"><strong>擴大行動寬頻網路普及，高雄與澎湖間航線行動寬頻網路涵蓋率提高至9成</strong></span></p> </div> <div> <p>近期數位部與電信業者合作，改善高雄與澎湖之間的行動寬頻網路涵蓋率，將行動寬頻網路涵蓋率從22%提高至91%，讓往返兩地的民眾有足夠的寬頻網路可供使用。</p> <p>民眾往來高雄與澎湖，海上主要搭乘交通船湖湖輪，全程約128公里，過去只要離開岸邊，即離開陸地基地臺訊號範圍，輪船只能依靠同步軌道衛星通訊，但由於頻寬有限，乘客無法順暢上網、通話，可通話上網時間不到1小時，上網速度不到1Mbps。換言之，過去民眾搭乘澎湖輪，必需忍受無法順暢上網、通話的不便。</p> <p>在政府經費補助之下，建置基地臺，船上電信設備，改善高雄市、臺南市、湖湖縣岸上81座基地臺，例如在船隻航行的沿線制高點擴建基地臺，並調整優化岸上基地臺發射角度，將行動寬頻網路訊號涵蓋率至9成，網路速度也提高到10到50Mbps，在訊號較好的地點，足以供乘客上網、通話，甚至觀看影音內容，在交通船遭遇緊急情況，也能利用行動寬頻網路傳送影像，與外界保持溝通。</p> <p>但是，目前在航程中有一段距離岸邊較遠，因距離岸邊基地臺較遠，訊號範圍比較差，網速容易因為天候狀況、乘客上網使用多寡受到影響。</p> </div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>公有雲</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>核網</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>德國Telefónica建置雲端5G核網，改善資源使用彈性及網路可用性</strong></span></p> </div> <div> <p>德國Telefónica近期與Nokia、AWS達成協議，將在AWS公有雲服務上部署Nokia的5G核心網路，在第一階段的設計中，雲端部署的5G核心網路將具備100萬用戶容量。</p> <p>德國Telefónica表示，透過新的架構方式，將帶來新的靈活及彈性，該公司正在建立未來的網路，新的雲端5G核網也同時象徵轉型過程中重要的一步，該公司也是首批採用新架構的電信商之一。</p> <p>新架構所帶來的好處，在資源分配上，電信商得以依照需求分配資源，例如當發生服務異常的情形，可以在手動修復而沒有中斷服務的情形下，將流量自動引導至其他伺服器，提高網路的可用性，有利於依賴5G網路的應用服務。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>RedCap</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>物聯網</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>德國O2 Telefónica在慕尼黑展開5G RedCap物聯網測試</strong></span></p> </div> <div> <p>德國O2 Telefónica近期宣布在慕尼黑展開5G RedCap測試，通過5G RedCap以降低終端裝置，例如穿戴裝置、工業感測器、監控系統對5G網路的需求，讓這些裝置得以更具成本效益的方式生產，並整合到現行網路中運作。</p> <p>O2 Telefónica在其現行5G網路中，測試整合5G RedCap裝置，以低成本、高效益方式連接數百萬裝置及設備，這些裝置採用5G RedCap的無線電模組。O2 Telefónica宣稱其5G網路已準備好支援5G RedCap裝置。</p> <p>相較於以高效能設計的5G大頻寬、低延遲連接，5G RedCap能夠讓物聯網裝置針對需求連接5G網路，例如因需要傳輸的數據量較低，使用較小的頻寬，但是仍具備比4G低的延遲，另外在支援5G RedCap的網路攝影機，可以快速傳輸影像，但其成本要比傳統5G攝影機低，且消耗的能源也比較低。</p> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>聯發科</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>AI</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>聯發科推出天璣9300+，瞄準生成式AI手機應用</strong></span></p> </div> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/mtk-600.jpg" style="width: 600px; height: 527px;" /></p> <p>看準生成式AI帶動手機新一波應用潛力，IC設計商聯發科近期在開發者大會中發表新一代天璣9300+旗艦5G生成式AI行動晶片，搭配天璣AI開發套件，瞄準全球將興起的生成式AI手機市場。</p> <p>聯發科新的行動晶片採用全大核CPU架構，8個核心分別採用4個最高頻可達3.4GHz的Cortex-X4超大核，以及4個主頻為2.0GHz的Cortex-A720大核。聯發科強調該行動晶片具備AI推測解碼加速技術LoRA Fusion 2.0，效能提升10%，並可支援主流的LLM，包含Gemini Nano、Llama 2及Llama 3等。</p> <p>在通訊方面，天璣9300+支援Wi-Fi 7，在MLO多重連結模式、320MHz頻寬之下，最快可達6.5Gbps；並整合5G R16數據機，支援4載波聚合，5G下載最快能達到7Gbps。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>特斯拉</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <div> <p><span style="font-size: 22px;"><strong>特斯拉將在柏林的超級工廠導入5G專網</strong></span></p> </div> <div> <p>電動汽車業者特斯拉近期在社交平臺X釋出影片，揭露將於德國柏林的超級工廠導入5G專網，運用專網來提高製造及倉儲設施的運作效率，使移動的機器設備之間能夠以更可高靠的方式進行溝通並持續運作。</p> <p>特斯拉網路團隊表示，導入5G專網改變工廠部署網路的方式，特別是室外，傳統上，室外部署網路需要大量投資在光纖和能源，現在則可在建築物上架設小型天線，就能連接室外的設備。</p> <p>特斯拉並沒有說明柏林的超級工廠何時建置完成5G專網，但強調該公司為汽車產業中最早將5G推向工業的企業之一，除了柏林的超級工廠，未來也準備擴展至全球。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Cummins</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <div> <p><span style="font-size: 22px;"><strong>Cummins紐約州發動機工廠導入5G專網，採用中立主機同時強化公網與專網訊號</strong></span></p> </div> <div> <p>重型柴油引擎供應商Cummins與Verizon合作，在其位於紐約州的發動機工廠導入5G專網，並首次結合Verizon中立主機（Neutral Host Network），來強化工廠內公共網路、專網訊號，讓員工及訪客可以獲得較好的行動網路服務。</p> <p>Verizon為Cummins的工廠建置中立主機，所謂中立主機是讓員工和一般用戶，不論使用哪一家的行動服務營運商，都能在特定的場所利用其專用網路設備來強化行動訊號，一方面透過專用網路滿足企業營運管理的需求，並透過中立主機來強化公共網路連接。</p> <p>位於Lakewood的工廠佔地約30萬坪，約有1,500名員工，每天製造生產500輛卡車使用的引擎。這項網路合作案，將為工廠內的員工及設備提供行動網路服務，例如自主移動機器人AMR，用以監控產線上半成品是否有缺陷的電腦視覺技術，用於培訓及操作的AR或VR，以及各種監控設備運作及健康狀態的感測器。Cummins希望透過導入5G專網，更快、可靠的網路來加速向工業4.0轉型發展。</p> <p> </p> <p>圖片來源／高雄捷運、聯發科</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.NTT Docomo、NTT與NEC聯手測試無線寬頻技術，可達100Gbps</strong></p> <p><strong>2.數位部補助1.3萬座5G基地臺建置</strong></p> <p>資料來源：iThome整理，2024年4月</p> <p> </p> <p> </p> </div> </div> </div> </div> </div> </div> </div> </div> </div></div></div>
2024/5/17 13:14作者蘇文彬https://www.ithome.com.tw/news/162841
SIEM解決方案供應商LogRhythm、Exabeam宣布合併
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/158878">思科以280億美元重金併購Splunk</a>、<a href="https://www.ithome.com.tw/news/162914">Palo Alto Networks宣布向IBM買下QRadar的SaaS資產</a>，又有投入安全資訊與事件管理（SIEM）解決方案的資安業者出現整併的情況。</p> <p>5月15日<a href="https://logrhythm.com/press-releases/logrhythm-and-exabeam-announce-intent-to-merge/">LogRhythm</a>與<a href="https://www.exabeam.com/newsroom/logrhythm-and-exabeam-announce-intent-to-merge/">Exabeam</a>宣布將進行合併，並預計於今年第三季完成。不過，對於這起併購案的其他細節，例如：如何合併，以及合併後的執行長人選，或是擁有整併後公司的投資者身分，兩家公司並未進行說明。此外，他們也沒有透露交易金額。</p> <p>針對此事，LogRhythm執行長Chris O’Malley認為，兩家公司經驗的結合，將加速AI驅動的資安解決方案創新。他們將憑藉超過20年專精SIEM及內部存取行為監控（UEBA）領域、全球數千個客戶的實績，建立以員工啟發的新公司。</p> <p>而Exabeam執行長Adam Geller則表示，兩家公司聯手後，將繼續結合AI、自動化、SIEM、UEBA、資安事件分析，藉由提供全面性應對網路安全威脅的解決方案，來推動資安監控中心（SOC）的創新。</p> </div></div></div>
2024/5/17 12:13作者周峻佑https://www.ithome.com.tw/news/162936
Google公布Home API，建構智慧家庭生態系
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google昨（16）日宣布<a href="https://developers.googleblog.com/en/home-apis-enabling-all-developers-to-build-for-the-home/" target="_blank">智慧家庭平臺Home API及Home runtime</a>，讓第三方App開發商得以存取Matter相容裝置，邀請開發商加入成為Google Home平臺的生態系。</p> <p>這是在Google及蘋果、Amazon等大廠<a href="https://www.ithome.com.tw/news/153467" target="_blank">加入支援智慧家庭標準Matter</a>後，Google的最新進展。透過三大巨頭的支持，所有支援Matter標準的App、服務與裝置將能彼此相容互通，讓消費者可以一個App管理多種連網裝置，例如智慧電燈、中央空調、影音設備或門鎖等，建構自動化運作環境。Google宣稱，透過開放Home平臺眾多API，開發商得以開發存取6億的相容裝置、Google的Matter網路基礎架構及Google自動化引擎的App，不論是Android或iOS版App。</p> <p>例如Device API及Structure API，讓開發商App得以存取相容Matter的裝置，控制和管理已連上Google Home平臺的裝置，像是Nest智慧溫控裝置或Matter智慧燈泡。新增的Commissioning API讓使用者可透過Home App、第三方App，或是Android的Fast Pair設定Matter裝置，而無需建立新的Matter網路。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0517-Google-Home%20APIs-Device%20and%20Structure%20APIs.png" style="width: 600px;" /></p> <p>此外，為了讓眾多家庭連網裝置共同協作，Google之前也提供<a href="https://www.googlenestcommunity.com/t5/Blog/New-starters-and-actions-for-automations-now-available-in-Home-app/ba-p/471729" target="_blank">script編輯工具</a>，讓有進階能力的用戶以生成式AI助理撰寫script實現自動化，不過本周Google宣布了新的Automation API，可讓使用者以第三方App以Google Home平臺的自動化引擎及智慧訊號（signal）設定自動化。自動化可以由家中裝置訊號驅動，像是以動作感測器啟動占用（occupancy）事件（如自動顯示浴室有人使用中），從智慧電視驅動媒體事件，或家電驅動模式變更，也可利用Google定義的智慧訊號如在家（home）及離開（away），Google的訊號可以將多個裝置訊號混合，以適用更精準的自動化（如「離開」可驅動空調和燈泡關閉、監視攝影機開啟、門鎖自動上鎖等）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0517-Google-Home%20APIs-Automations%20API.png" style="width: 600px;" /></p> <p>Google也宣布占據智慧家庭控制中樞的新計畫。中樞（hub）是一個能從遠端或在家中控制Wi-Fi及Thread網路的Matter裝置。今年稍晚，Google將升級其中樞（hub）裝置，推出Home runtime，讓支援Google TV串流平臺的裝置，如Chromecast with Google TV、具有Google TV的（Android 14以上）電視、LG智慧電視等，都能扮演Google Home的控制中樞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0517-Google-Home%20Runtime.png" style="width: 600px;" /></p> <p>目前Google正在為Google Home整合這些API，該公司宣稱，早期測試顯示裝置控制速度加快3倍，而以Home API開發的App本地端控制速度也更快、更靈活。</p> <p>Google表示現在已和多家知名品牌業者合作，開發整合Home API及Google Home平臺的App，類型涵括照明、安全、汽車、能源和娛樂如LG、Volvo、ADT、GE等，當然也會整合Google Pixel手機。Home API目前開放限量測試，Google也邀請開發商填寫<a href="https://developers.home.google.com/io/2024?hl=zh-tw#upcoming-preview-programs" target="_blank">等候清單</a>，以加入Home API或Home runtime的測試，但表示會漸次擴大邀請，預計第一批Home API開發的App，會在今年秋天於Play Store及App Store上架。</p> <p class="rtecenter"> </p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/D7fEDizrqCs?si=xLruQp9fa0IhuhdC" title="YouTube video player" width="560px"></iframe></div> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/5/17 10:34作者林妍溱https://www.ithome.com.tw/news/162921
傳微軟自製Cobalt 100晶片下周將供Azure客戶預覽使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2024/05/16/microsofts-custom-cobalt-chips-will-come-to-azure-next-week/" target="_blank">Techcrunch報導</a>，微軟可能將在下周舉行的技術大會Build，公布自製晶片Cobalt 100在內的多項雲端軟、硬體技術。</p> <p>微軟是在去年11月的Ignite大會上正式<a href="https://www.ithome.com.tw/news/159884" target="_blank">公布自製晶片</a>的計畫，包括執行Azure雲端上通用型運算作業的Arm架構處理器Microsoft Azure Cobalt CPU，以及執行AI及生成式AI而設計的Microsoft Azure Maia 100 AI加速器。其中Cobalt 100為128核心的64位元晶片，是為通用工作負載的效能最佳化的低耗能晶片，號稱比Azure使用的前幾代Arm晶片效能提升40%，目前已用於Teams及Azure SQL服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0517-Microsoft%20chips.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> <p>報導指出，微軟雲端暨AI事業群執行副總裁Scott Guthrie在Build的會前分析師簡報會議中，將Cobalt類比AWS的Graviton晶片。微軟預定在下周Build大會中，將以公開預覽版開放Azure客戶使用Cobalt 100，目前已有Adobe、雲端資料分析平臺Snowflake等早期客戶試用。</p> <p>除了Cobalt 100外，報導指出，下周微軟也會公布AMD MI300X GPU-based的Azure服務。Guthrie說這款GPU是用於Azure OpenAI服務最具成本效益的GPU。另外也將預覽「即時智慧系統」，可讓用戶將資料即時串流到其資料分析平臺。這新的即時智慧系統將原生支援開源資料分析平臺Kafka，並支援包括競爭資料分析服務AWS Kinesis及Google Cloud的Pub/Sub。</p> <p>微軟資料分析平臺Fabric支援的資料格式，也會從Databricks的Parquet再擴增到Snowflake的Iceberg格式，實現Snowflake和Fabric之間的資料相容，彼此可展示對方的資料。</p> <p>最後，Copilot也會在Azure平臺佔有角色。微軟主管預告，Azure的新功能可讓Azure平臺上的開發人員利用Copilot以自然語言管理雲端資源。</p> <p>而在本周<a href="https://www.ithome.com.tw/news/162852" target="_blank">OpenAI</a>及<a href="https://www.ithome.com.tw/news/162877" target="_blank">Google I/O</a>相繼有重大AI服務宣布後，可以想見，微軟可能還會公布其他旗艦級產品消息。</p> </div></div></div>
2024/5/17 08:53作者林妍溱https://www.ithome.com.tw/news/162919
SAS技術長重磅揭露生成式AI產品策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「過去，企業想靠AI獲益，就得自建AI。現在，企業則是買AI服務來優化業務，生成式AI亦是。」SAS技術長Byan Harris在今年度Innovate 2024大會開幕式上，一語道出企業AI需求轉向，這個轉向，也正是老牌數據分析大廠SAS產品布局的重要參考。</p> <p>於是，在今年大會上，他們以生成式AI深化AI產品策略，不只端出智能開發助理、高品質的合成資料產生器，還有生成式AI加持的新產品與新功能，如AI開發工具、開箱即用的AI模型套件等。他們如何從統計分析起家，運用生成式AI鞏固AI產品線？</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>從數據分析起家，近年轉型為AI供應商</strong></span></span></p> <p>很難想像六十多年前的1960年代，臺灣才剛進入電視時代，遠在太平洋另一端的美國，就有8所南部大學聯手，要開發一套通用統計軟體，來分析多樣的農業數據。</p> <p>這項軟體開發專案以北卡羅來納州立大學為首，因為他們擁有當時先進的大型主機，有足夠算力處理巨量資料。1976年，他們成立同名軟體公司、正式開賣第一代統計分析系統（Statistical Analysis System），賽仕電腦（SAS）從此誕生。往後的數十年，他們成為財富500強企業的愛用品牌，在臺灣還有500多家產業用戶。</p> <p>2016年是一個重要轉捩點。他們推出新一代主力產品雲端資料分析平臺SAS Viya，提供視覺化分析統計、資料探勘和機器學習應用，甚至整合當時熱門的IoT數據分析，打下後來AI產品布局的重要基礎。</p> <p>之後，他們以Viya為主軸，持續擴大AI產品和功能，尤其增添模型生命周期管理功能與服務，從建模前的資料處理、建模時的模型選擇、模型訓練、AI部署和上線後監控等環節，甚至是AutoML等自動化處理機制，也都包含在內，轉型成了AI生命周期管理工具的供應商。</p> <p>在產品形式上，他們瞄準3大類角色需求，包括自建AI者、解決方案購買者、模型訂閱者，來打造相對應的產品和服務。比如，SAS針對需要自建模型的企業，就提供了建模平臺，來讓企業使用。針對有設備管理需求的企業，則提供維修預測解決方案。又或是企業需要輕量化模型來優化供應鏈作業，SAS也推出API模型訂閱服務，來讓業者整合至既有的技術生態圈中。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>生成式AI策略亮點1：多功能開發助理</strong></span></span></p> <p>這還不夠。面對生成式AI迅速爆紅，SAS隨之調整AI產品發展方向，先是在2023年年會上宣布大型語言模型（LLM）新策略，要將微軟Azure OpenAI服務整合至Viya生態系。</p> <p>於是，今年他們實作出生成式AI產品，首先是在大會上發表的多功能SAS Viya Copilot智能開發助理。Bryan Harris說明，為確保LLM正確回答，SAS早已建立一套機制，能將使用者輸入的問題，對比系統內建儲存的提示（Prompts）和企業知識庫，並以SAS計量引擎來強化LLM的回答邏輯，確保問答內容高度一致，滿足企業實務需求。</p> <p>有了這份保障，SAS首度亮相的生成式AI智能助理Viya Copilot，可執行資料清理、資料探勘、機器學習建模、統計分析、程式碼生成等任務，甚至還能客製化，供企業打造符合各產業需求的小幫手，提高開發者、資料科學家和業務使用者的生產力。</p> <p>SAS全球AI與GenAI產品策略負責人Marinela Profi進一步舉例，Viya Copilot可幫助使用者思考分析應用新情境，比如，使用者想從既有資料集中，找出可行的分析應用，這時就能詢問Viya Copilot「目前有哪些可分析的資料集」，助理搜尋資料庫後即顯示可用資料集，如美國每日空氣品質資料集和每月空氣品質資料。</p> <p>此時，使用者可點選想要分析的資料集，假設是美國每月空氣品質資料集，Viya Copilot就會給出可行的分析點子，如趨勢分析、地理分析、季節分析或州與州的對比等。使用者點選其中一項後，系統會產出相對應的分析圖表，供使用者參考或詢問後續分析應用問題。資料科學出身的Marinela Profi補充，智能助理的這種用法不只加速資料清理工作，還支援多種語言，如義大利文、西班牙文、中文、阿拉伯文和英文等。</p> <p>除了給分析情境點子，Viya Copilot還能根據資料集給出建模建議，比如時間序列預測、迴歸分析、廣義線性模型、機器學習等。使用者只要點選提供的建議，智能助理就會快速執行、給出結果。甚至，使用者還能透過Viya Copilot生成儀表板，來呈現這些建模或分析成果，供內部決策高層參考。</p> <p>不只如此，Marinela Profi點出，使用者還能順著前面執行的分析結果或建模結果，要求Viya Copilot顯示這些結果的原始程式碼，並在SAS Studio開發環境中開啟。之後，使用者也能在開發環境中使用智能助理，來處理程式碼任務，如常見的程式碼生成、解釋、除錯、精進和轉換（如將Python轉為SAS語言）等，甚至還能「發想」，要助理給出可行的應用建議。</p> <p>Marinela Profi現場實作，智能助理根據給定的程式碼，如前述建模結果的程式碼，來提供幾種發想建議，像是修正預測模型、調整預測期、增強視覺化和錯誤分析等。使用者只要點選其中一項，智能助理就會進行下一個任務。</p> <p>甚至，「你還能客製化打造自己產業專屬的智能助理！」她表示，使用者可打開客製化視窗，輸入想要的助理名稱、任務描述，再上傳一些企業文件，就能快速打造客製化的Viya Copilot助理，如保險、銀行、醫療等產業專用助理。她強調，企業資料皆保留在企業端，並不會上傳至SAS端。</p> <p>目前這個Viya Copilot助理開放特定用戶預覽使用。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>生成式AI亮點2：合成資料產生器</strong></span></span></p> <p>今年度大會上揭露的另一款生成式AI亮點產品，是一款無程式碼／低程式碼的合成資料產生器Data Maker，可用來快速生成高品質的合成資料。一如智能助理，SAS在去年年會上，就預告合成資料工具的研發。當時，他們擴展生成式對抗網路（GAN）演算法、優化預測模型，今年則正式發布用來生成合成資料的工具。</p> <p>Bryan Harris表示，他們開發這款工具的目的，是因為真實世界資料的運用面臨許多挑戰，比如取得成本高、數量不足、有隱私疑慮或存在偏差（Bias）。於是，為解決痛點、讓使用者有足夠的高品質資料來打造AI應用，SAS 設計出Data Maker。</p> <p>這款工具可讓使用者生成高品質的合成資料，還兼顧資料隱私與安全，更有利於後續的AI模型訓練和分析應用。Marinela Profi接著說明，在操作上，使用者上傳真實的範本資料後，即可點選生成合成資料。產出合成資料的同時，系統也會自動給出合成資料的品質分數，以及與上傳資料的相關性、分布、差異和合成資料樣本等細節，供使用者檢視比對。而產出的合成資料，會以csv形式提供，使用者可下載用於其它用途。目前，這個產生器已對特定使用者開放預覽測試。</p> <p>美國紙張木材製造龍頭大廠Georgia-Pacific的AI資深總監Sam Coyne還現身說法，他們自行打造一款ChatGP智慧助理，底層採用AWS機器學習服務、SAS智能決策服務，再加上建模、知識處理等工具輔助，打造出上層的智能助理，進一步納入合成資料產生器，來產出合成的木頭影像，可用來加強AI影像辨識能力。</p> <p>除了Viya Copilot和合成資料產生器，SAS針對生成式AI強化分析平臺支援能力、新添不少GenAI功能。比如，Viya平臺新增生成式AI調度機制，能將現有平臺系統整合更多外部生成式AI模型，來讓使用者用LLM打造所需工具。同時，SAS行銷科技工具Customer Intelligence 360在去年增加即時行銷計畫、客戶旅程設計和創意開發等生成式AI功能的基礎上，今年進一步新添3大新GenAI特點，包括可用自然語言提示來鎖定推薦的受眾群體、可用問答方式來理解受眾數據，以及生成式AI建議的Email標題等。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>生成式AI亮點3：AI開發工具</strong></span></span></p> <p>另一方面，用生成式AI深化雲端資料分析平臺主線之餘，SAS在2023年大會就預告，將擴展AI開發工具產品線，包括2大低門檻AI應用開發工具Workbench和App Factory，要搶進AI開發市場。</p> <p>在今年技術年會上，Bryan Harris進一步宣布AI應用開發工具Workbench正式上線，這是一款隨選的雲端開發分析環境，使用者可用偏好的程式語言，如SAS、Python來建模與分析，今年預計還會新添R語言。</p> <p>尤其Viya Workbench主打自助式服務，開發者可按需求來進行資料分析和建立機器學習模型，而且模型程式撰寫、程式碼最佳化和測試等過程都能簡化，比如透過SAS分析程式（PROC）和Python API來加速模型開發，或結合Python函示庫來提高執行效能，還不需大幅更改Python程式。該工具能在更短時間啟動處理大型資料集和複雜運算，減少原本所需的IT成本。</p> <p>如同其他AI開發工具，Viya Workbench可用來建模、訓練和評估模型，它也添加生成式AI優化，開發者可用自然語言提示，來生成SAS語言的程式碼、進一步編輯，或進行程式語言轉換，來加速開發作業。除了在SAS自家平臺使用，Viya Workbench還將在今年第2季透過Amazon AWS Marketplace提供，未來還會擴大到更多雲端供應商和SaaS部署選項。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>生成式AI亮點4：開箱即用AI模型套件</strong></span></span></p> <p>不只是AI開發工具的擴張，這次，Bryan Harris也根據2023年預告的模型即產品（Models as Products）模式，即結合自家多年顧問經驗、智財和資產來打造產業專屬AI模型產品，進一步宣布推出SAS Models模型服務，也就是一款AI模型套件。呼應了開場那句「現在，企業透過購買AI服務來盡可能優化業務」的需求轉向，也是因應「模型訂閱者」需求的新產品。</p> <p>這款AI模型套件，「是我們先前宣布投資十億美元發展產業服務的承諾之一。」SAS AI暨進階分析副總裁Udo Sglavo指出，這個套件採個人授權制，內含一系列輕量級、為不同產業設計的AI模型，並結合SAS自家解決方案，如平臺服務，可用來加速企業部署AI的工作流程。</p> <p>AI模型套件的目的，是要讓企業以更低門檻、更彈性的方式來打造AI應用，且有別於傳統耗費多時的AI實作流程，AI模型套件中包含的模型經特別設計，可快速整合企業系統，快速實現可信任AI、部署上線。</p> <p>SAS強調，目前市場主流大多聚焦以LLM為主的生成式AI，但實際狀況是，LLM只是真實世界中正式部署AI的一小部分。因此，他們這次推出的AI模型套件不單只是LLM，還針對特定產業設計專屬模型，如欺詐偵測、供應鏈優化、企業／組織管理、文件對話和醫療照護支付整合等。</p> <p>Udo Sglavo現場揭露一款文件視覺（Document Vision）模型，可將非結構化資料轉換成結構化資料，比如將包含手寫資訊和表格圖片的PDF文件，轉換為JSON檔案或SAS資料集、Parquet檔案等，還能進一步整合至SAS Viya平臺，以便進行後續分析應用。這是AI模型套件中第一波揭露的模型之一，預計今年晚些時候正式上線。</p> <p>AI模型套件主打降低使用門檻、開箱即用。Udo Sglavo進一步說明，這個模型套件中的模型，可應用於各種產業和情境，像是金融、物流、製造、政府機構、醫療、法律和稅務等領域，甚至能讓不具專業技能的使用者透過自然語言提示，來執行分析任務，大幅降低使用門檻。</p> <p>這項產品的發布，正是SAS去年提出的模型即產品模式實踐，也是另一款具備生成式AI特點的重要產品。</p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> Viya Copilot功能 </span></strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Viya%20Copilot%E5%8A%9F%E8%83%BD1%EF%BC%9A%E5%88%86%E6%9E%90%E5%BB%BA%E8%AD%B0.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 功能1：分析建議 </span></strong></span></p> <p><span style="color:#696969;"><strong>使用者可透過Viya Copilot助理找出可行的建模或分析應用，比如先請助理找出合適的資料集，再請助理給出可行的建模／分析方式，擇一點選即可獲得結果。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／SAS）</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Viya%20Copilot%E5%8A%9F%E8%83%BD2%EF%BC%9A%E7%A8%8B%E5%BC%8F%E7%A2%BC%E5%BB%BA%E8%AD%B0.png" style="width: 564px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 功能2：程式碼建議 </span></strong></span></p> <p><span style="color:#696969;"><strong>使用者可要求助理將前述的建模或分析結果，以程式碼方式呈現，並能在SAS開發環境開啟。之後，使用者一樣能使用智能助理，來執行多種程式碼功能。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／SAS）</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Viya%20Copilot%E5%8A%9F%E8%83%BD3%EF%BC%9A%E5%AE%A2%E8%A3%BD%E5%8C%96.png" style="width: 558px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 功能3：客製化 </span></strong></span></p> <p><span style="color:#696969;"><strong>除了常見的分析和程式碼功能，使用者還能客製化，打造產業專屬的智能助理。只要輸入名稱、任務描述和上傳一些企業資料，就能建立客製化開發助理。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／SAS）</span></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 合成資料工具 </span></strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1182-%E5%90%88%E6%88%90%E8%B3%87%E6%96%99%E7%94%A2%E7%94%9F%E5%99%A8.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 合成資料產生器 </span></strong></span></p> <p><span style="color:#696969;"><strong>使用者上傳一份真實範例資料，這款合成資料產生器就能生成合成資料，並給出品質分數，以及與真實資料的相關性、分布等數據。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／SAS）</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1182-%E5%90%88%E6%88%90%E8%B3%87%E6%96%99%E6%87%89%E7%94%A8%E5%AF%A6%E4%BE%8B.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 合成資料應用實例 </span></strong></span></p> <p><span style="color:#696969;"><strong>紙張木材製造龍頭廠商Georgia-Pacific在自行開發的智能助理ChatGP中，結合這款合成資料產生器，可用來生成木樁圖像，來強化AI模型辨識能力。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／SAS）</span></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 非結構化資料轉換模型 </span></strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1182-%E6%96%B0%E6%8E%A8%E6%96%87%E4%BB%B6%E8%A6%96%E8%A6%BA%E6%A8%A1%E5%9E%8B.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 新推文件視覺模型 </span></strong></span></p> <p><span style="color:#696969;"><strong>SAS在新推的AI模型套件中揭露一款文件視覺模型，可將包含手寫資訊和圖表的PDF等非結構化資料，轉換為結構化資料。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／SAS）</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1182-PDF%E8%A1%A8%E6%A0%BC%E8%BD%89%E6%88%90JSON%E6%A0%BC%E5%BC%8F.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> PDF表格轉成JSON格式 </span></strong></span></p> <p><span style="color:#696969;"><strong>該模型可將前述PDF文件，轉換為JSON格式檔案，供使用者進行後續分析應用或其他處置。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／SAS）</span></p> <p><span style="color:#FFFFFF;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1182-PDF%E8%A1%A8%E6%A0%BC%E8%BC%B8%E5%87%BA%E6%88%90Parquet%E6%A0%BC%E5%BC%8F.png" style="width: 600px;" /></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> PDF表格輸出成Parquet格式 </span></strong></span></p> <p><span style="color:#696969;"><strong>不只是JSON檔案，文件視覺模型還能將PDF資料轉換為其他格式，如符合SAS平臺本身規格的檔案，或是Parquet格式檔案。該模型預計今年正式上線。</strong><span style="font-size:14px;">（圖片來源／SAS）</span></span></p> <p><a href="https://www.ithome.com.tw/article/162903" style="font-size: 22px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多相關報導請見 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1182-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=RDLjwB3I" style="width: 550px;" /></strong></a></p> </div></div></div>
2024/5/17 06:00作者王若樸https://www.ithome.com.tw/news/162871
SAS揭露3大類AI監管與治理工具與服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不只主打生成式AI，在今年Innovate 2024年會上，數據分析大廠SAS還聚焦另一關鍵領域：AI監管與治理，並推出新工具和服務，來因應日漸高漲的企業需求。</p> <p>這些新產品，包括整合在雲端資料分析平臺Viya、猶如營養標示卡的AI模型卡（Model Cards），清楚顯示模型各種指標，如準確率、模型漂移等。另一產品是SAS AI治理顧問服務，透過會議輔導方式，來協助企業落實合規的AI治理，同時，他們還釋出可信任AI生命周期（Trustworthy AI Life Cycle）工作流程，專門對應美國國家標準暨技術研究院（NIST）制定的AI風險管理框架需求，方便企業實踐風險管制。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>3年前就開始布局AI監管發展藍圖</strong></span></span></p> <p>這不是SAS第一次聚焦AI監管與治理。早在2019年，SAS在主力產品Viya平臺新添自動化機器學習建模功能的同時，就高調宣布了機器學習模型的解釋功能，來因應企業和監管單位對AI黑盒子的擔憂，藉此提高模型透明度和可解釋性。</p> <p>後來，2021年，他們進一步鎖定AI倫理，發起數據倫理措施（Data Ethics Practice），由時任SAS總監、現任SAS副總裁的Reggie Townsend擔任指揮官角色。當時，他才剛被任命為美國商務部國家人工智慧諮詢委員會（NAIAC）成員，負責對美國政府提供AI發展建議。而對內，他則負責組成SAS跨職能團隊，來指導、整合全球作業，以公平方式開發和部署兼具包容性的AI，提供給內外部顧客。</p> <p>隔年，SAS在數據倫理措施的原則下，進一步發起負責任創新行動，要全面開發負責任的演算法、AI應用，甚至要找出整個創新過程中可能發生的偏見，並在模型部署的每個階段確保公平性。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>AI監管與治理亮點1：模型標示卡</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E6%A8%A1%E5%9E%8B%E5%8D%A1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-SAS.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>SAS今年年會發表的AI模型卡猶如模型的營養成分表，記載了模型各種關鍵指標和變動記錄，方便企業使用者落實AI監管措施。</strong><span style="font-size: 14px;">（圖片來源／SAS）</span></span></p> <p>在這些策略基礎下，今年，SAS首度亮相了AI監管工具模型卡。這是因為，如何將AI模型以通俗易懂的方式，呈現給所有參與AI生命周期工作中的人員，是一件很困難的事。再加上AI監管法規在世界各地越來越嚴格，比如歐盟議會今年3月通過AI法案，來規範AI風險等級與相應措施，美國去年則發布AI行政命令，同樣規範AI系統風險和對社會的衝擊與因應方法。</p> <p>臺灣去年則由行政院提出公家機關生成式AI指引，年底則有產業主管機關發布金融業運用AI指引草案，來規範金融機構使用AI需達到的公平性、可解釋性等要求，今年初數位部旗下AI評測中心則發布包含公平性、準確度等指標在內的評測規範。對企業來說，如何呈現模型表現和相關指標，讓監管機構容易理解，成為另一重要課題。</p> <p>看準這波需求，Reggie Townsend在2024年年會上揭露模型卡功能，能讓企業或組織內的利害關係人，不論是開發者還是董事會董事，都能查看易懂的模型重要資訊。這個模型卡功能，預計今年中正式上線。</p> <p>模型卡的運作方式是，直接根據SAS產品內容來為使用者註冊的模型，自動產生模型卡，使用者不必手動建立。不只是SAS平臺提供的模型，因SAS Viya已有用於管理開源的架構，因此也能替開源模型自動建立模型卡，目前從Python模型開始支援。</p> <p>模型卡內容會特別突顯準確性、公平性和模型漂移等指標。尤其，模型漂移是模型性能隨條件變化而下降的重要指標，可用來判斷模型的適用性。</p> <p>除了這些，模型卡還包含詳細的模型治理資訊，像是模型上次修改的時間、誰對模型做出貢獻、哪些人對模型負責等，方便使用者組織解決模型效能異常問題。SAS表示，模型卡還涵蓋模型使用資訊，可供企業或組織查明預期用途、超出範圍的應用和限制資訊。對企業和組織來說，這些訊息可因應業務營運所需的透明度和規範檢查，讓使用單位更輕鬆符合法遵。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>AI監管與治理亮點2：顧問服務與監管工具</strong></span></span></p> <p>除了提供模型指標，為更進一步提供現有顧客AI監管和治理服務，SAS自己也成立了AI治理顧問服務（AI Governance Advisory）團隊，透過會議方式來協助企業達到AI治理目標。目前，SAS已試辦這項顧問服務，其中中東歐洲最大的金融機構PZU波蘭保險集團，就有採用。</p> <p>PZU集團部署了300個AI和機器學習模型來協助日常業務營運，如客戶分析、欺詐偵測等。但近幾年，AI監管法規越來越完備，PZU集團便在去年5月開始與SAS AI治理顧問團隊展開專案，來建立更完善的AI監管與治理制度。</p> <p>他們表示，這個試辦服務可為企業帶來幾大好處，包括從可信任且分散式的決策制定中，取得更高生產力，或是透過更好地劃分資料當責性，來加深信任，以及能留住呼籲負責任創新的高階人才等。</p> <p>另一方面，SAS也注意到美國NIST在去年推出的AI風險管理框架（AI RMF）。這是一份關於AI系統設計、開發、部署和使用的指南，也成為美國企業組織在缺乏官方法規的情況下，用來設計可信任和負責任AI的重要參考。</p> <p>於是，SAS根據NIST AI風險管理框架，設計出一套可信任AI生命周期工作流程，來讓企業和組織更容易實作NIST的AI風險管理框架。</p> <p>首先，這款工作流程定義了個別角色和工作期望，並收集所需文件、列出考量因素，透過自動化來簡化實作的工作流程。之後，企業或組織會得到一個正式模型，附帶一個文件，來說明他們已做好盡職調查、確保模型是公平的，且作業流程不會造成任何傷害。</p> <p>除此之外，這款工作流程還能讓使用者記載，自家AI系統可能產生的社會影響思考。</p> <p>比如，使用者可透過工作流程的幾個步驟，來確保訓練資料能足夠代表被影響的受眾群體，且模型的預測能力和表現，在受保護的類別中都差不多。這些步驟可確保模型不會造成負面影響，或傷害特定群體，而且，使用者還能建立人為介入（Human-in-the-loop）的任務，來確保模型一直準確、有效。</p> <p>目前，使用者可從SAS模型管理資源的GitHub上，下載可信任AI生命周期工作流程。預計不久後，使用者也能在NIST AI風險中心下載這個工作流程。</p> <p><a href="https://www.ithome.com.tw/article/162903" style="font-size: 22px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多相關報導請見 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1182-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=RDLjwB3I" style="width: 550px;" /></strong></a></p> </div></div></div>
2024/5/17 06:00作者王若樸https://www.ithome.com.tw/news/162899
中東歐最大金融集團如何治理AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一家擁有200年歷史、中東歐洲地區最大的金融集團，此時此刻正靠300多個AI模型協助執行旗下業務，他們如何管理這些模型？如何實現AI治理？</p> <p>「首先要確保資料品質、劃定資料角色和權責，最後引入第三方輔助和建議，來完善AI治理制度，」波蘭保險集團PZU數據長暨分析長Marek Wilczewski在一場會議上說道。對他們來說，這場AI治理之旅也才剛開始。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>部署300個模型支援業務，還成立資料治理委員會</strong></span></span></p> <p>PZU這家保險集團最初於1803年問世，以經營保險和銀行業務起家。200多年後的今天，他們被評為中、東歐地區最大保險與銀行集團，2022年淨收益達7.22億歐元。</p> <p>隨著業務不斷增長，PZU發展出幾條主要產品線，像是產物保險、人壽保險、資產管理規模（AUM）等。為因應這些增長，PZU集團在制定2021年至2024年的年度策略時，規畫出穩定、誠實、負責和創新等4大面向，更將AI／機器學習（ML）、進階分析、數位化和流程優化列為創新重點，同時也在誠實面向強調透明度和法遵。這些策略重點，成為了PZU集團推動AI監管治理的遠因。</p> <p>他們重視AI與數位化，是因為PZU集團在過去25年來，一直運用大量資料來協助業務發展。比如，在這數十年間，他們整合了100多套來源系統的數據，也培養出3,300多位活躍的BI使用者。這些數據，主要用來打造各種業務工具，如行銷、客戶價值洞察、獲取新客、留客、保險理賠、詐欺偵測、風險管理、員工與銷售網路管理等。</p> <p>「資料已成為我們的關鍵資產！」Marek Wilczewski說明，這些資料促使PZU集團發展出進階AI分析應用，目前部署超過300個AI／ML模型，來協助精算、客戶關係管理（CRM）、欺詐管理和保險理賠等領域業務。</p> <p>他進一步舉例，就ML來說，他們運用廣義線性模型（GLM）、梯度提升模型（GBM）和資料探勘等技術，來輔助保險精算、核保、CRM、理賠和欺詐偵測等作業。在AI應用上，PZU集團則與新創公司一起打造內部解決方案，比如他們有套通過醫學認證的1分鐘皮膚檢測App，能針對使用者的皮膚影像，來判斷皮膚癌風險；另也有套客服AI，能根據使用者提供的物件照片快速判斷損壞程度，同時偵測欺詐的可能性。甚至，他們還結合衛星影像，打造一款照片分析和偵測工具，能用來比對衛星照片，進一步判斷農業保護申請理賠的損害程度與理賠內容，加速理賠流程。</p> <p>不只如此，PZU集團還部署了90支RPA自動化機器人，用於100多個作業流程，每年使用量更高達1,100多萬次。</p> <p>面對如此大量的AI應用，PZU集團也早已發展出成熟的模型維運（ModelOps）作法。Marek Wilczewski指出，他們將模型維運成熟度分為3個等級，第1級是初階的製造階段，包括進行PoC專案／最小可行性專案MVP、仍需手動建模和驗證，但開始建立AI／ML工具鏈和技能知識。</p> <p>第2等級是工廠階段，包括具備可擴展、統一的模型開發部署與監控方法，建立標準化的分析流程、集中管理模型庫和程式碼版本、強化透明度和可解釋性文化等，但品質評估仍需人工手動處理。最後一級是工業化階段，即具備集團等級的角色分工與原則、產業化擴展性、模型交付時間縮短、具流程自動化和自助式的業務工具、能自動化重新訓練模型、元件可重複使用等，Marek Wilczewski點出，PZU集團就正處於第3級的工業化階段。</p> <p>也因此，如此仰賴資料的PZU集團，在好幾年前就已制定一套資料治理模式和原則，來定期檢測和管理資料品質。Marek Wilczewski直言：「人的問題很難處理，因為沒人想對資料品質負責。」於是，他們當時推派各大高階主管，來成立資料治理委員會，並定義各種資料角色，包括資料擁有者、業務系統擁有者、資訊使用者、領域專家和支援角色等，並對這些角色分派不同的資料管理責任，以確保資料持續發揮商業價值為由，來要求各部門職員，做好資料管理工作。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>因應AI監管法規，PZU找來第三方建立治理機制</strong></span></span></p> <p>但Marek Wilczewski話鋒一轉，這2年，各國際組織和大國大動作推動AI監管法規，比如去年美國發布AI行政命令、美國國家標準暨技術研究院（NIST）發布AI風險管理框架、今年3月歐盟議會通過AI法案等。他表示，這些法規的共通點，都是對AI系統可能造成的社會和環境風險分級，並對高風險AI系統要求透明、負責、合乎倫理，且必須要有監管單位出現、對違規者祭出罰則。</p> <p>有鑑於此，PZU集團也動起來，要建立更完善的AI監管與治理機制，而非只靠原有的資料治理作法。於是，在原本的資料品質控管和資料治理基礎上，PZU集團資料治理委員會進一步成立AI監管團隊，由一個特殊的資訊管理部門主導。這個部門很特別，其成員為各個業務和IT單位的代表，且每位代表都對應到AI法案有關的領域。</p> <p>與此同時，PZU集團也開始評估第三方廠商，想藉第三方之力來完善AI治理機制。Marek Wilczewski表示，他們研究發現，大型供應商如微軟、Google、IBM、SAS等皆有各自因應歐盟AI法案的負責任AI作法，但他們最後選擇SAS，不只因為SAS近年發起數據倫理措施（DEP）和AI治理顧問服務，還因為PZU集團自1995年開始，就採用SAS的資料倉儲、BI和分析解決方案，來處理客戶關係管理、欺詐管理等重要業務。</p> <p>於是，2023年5月至11月，雙方展開第一階段合作。他們先是建立AI監管治理框架，將其切分為4大方向，包括監督、法遵與控制、文化、平臺與維運。其中，監督是指整個集團的AI治理、策略及執行成效，法遵與控制則指效能、風險管理，平臺與維運包括基礎設施支援的標準流程，文化則指系統性的治理規則與措施。</p> <p>在第一階段，他們先鎖定資料來源為內部的AI應用，將其納入AI監管治理範圍。這個AI監管治理流程，可分為輸入階段、AI治理團隊研討階段，以及將選中的AI應用或產品，來進行4大方向分析與核對階段。就輸入階段來說，他們參考了外部法規、負責任AI規則、PZU集團與外部合作夥伴、外部法律觀點，接著由AI治理團隊開設研討會，來對AI應用進行資料、分析、安全、業務、創新、IT、法遵和風險等面向討論。</p> <p>之後，選定的AI產品會進行框架4面向分析，例如在監督部分，需符合AI系統定義、建立符合規範的風險管理模式，在法遵與控制部分，則進行風險分級分類、確認相依性，在文化部分則要符合AI模型列管清單、滿足負責任和可信任AI定義。至於平臺與維運部分，則要能供自助式使用，還要符合合作規則等。</p> <p>不只如此，PZU也參考廠商提出的技術性AI治理框架，包括資料管理、解釋性、偵測能力、隱私與安全、應對措施和模型維運的做法。其中，資料管理涵蓋資料品質、註釋資料（Metadata）、資料準備和資料資產目錄，解釋性則指自然語言解釋、因果推論、代理模型解釋等，偵測能力則是針對偏差和公平性的偵測與評估，應對措施包括降低和預防偏差、運用合成資料等。而模型維運，則涵蓋生命周期管理、模型決策與監控。這些技術性要求，也是PZU集團的AI治理目標，接下來，他們將繼續標準化更多AI應用流程，並將使用外部資料來源的AI應用，也納入治理範圍。</p> <p><a href="https://www.ithome.com.tw/article/162903" style="font-size: 22px;" target="_blank"><strong><span style="color:#FFFFFF;"><span style="background-color: rgb(51, 153, 255);"> 更多相關報導請見 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1182-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=RDLjwB3I" style="width: 550px;" /></strong></a></p> </div></div></div>
2024/5/17 06:00作者王若樸https://www.ithome.com.tw/news/162900
SAS揭露3大創新實驗方向
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI應用已成各科技大廠技術年會的標配，除了它，還有哪些技術能讓人耳目一新？</p> <p>轉型為AI工具供應商的老牌數據分析大廠SAS在今年度Innovate 2024大會上，不意外地力擁生成式AI，發表智能開發助理、合成資料產生器、AI應用開發工具和更多生成式AI功能，同時也擴展AI監管工具和治理顧問服務，來鞏固AI產品線。</p> <p>但在年會最後一天，他們揭露創新實驗室發展亮點，瞄準未來趨勢，包括數位雙生、實體整合（Entity resolution）和量子運算等3大主軸。</p> <p>其中，數位雙生就像是企業的分身，可透過數位方式預測特定情境下的運行變化，實體整合則指將零散、有缺失的資料歸戶到同一個實體，量子運算則可用來加速原本耗時的複雜運算，如腎臟移植匹配。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>創新亮點1：數位雙生</strong></span></span></p> <p>數位雙生並非第一次出現在SAS年會上。2023年，SAS技術長Bryan Harris在該年年會上就強調數位雙生，透過建置企業的數位身分，包括組織人事、營運細節、進銷貨、物流等關鍵數據，就能用來模擬「假如......會怎樣？」的情境，尤其是企業業務中斷的模擬，或供應鏈發生問題時的衝擊預測，來加速企業的反應能力。</p> <p>今年，SAS執行長辦公室執行副總裁Gavin Day延續這個主軸，進一步說明，數位雙生是將實體資產虛擬化模擬的作法，如建築、人、組織等，可用來模擬、預測特定條件下的可能變化。現場以一家大型零售廠商為例，該廠使用者可在SAS平臺儀表板上，檢視物流、供應鏈和整體表現數據。甚至，SAS本次揭露的Viya Copilot智能助理，還整合數位雙生，能在平臺上自動提示使用者營收和生產變化，比如根據最新資訊預測，整體營收可達到89萬美金，但某項產品可能無法達到預期生產量，並給出具體的缺失數量。接著，使用者可詢問這個缺失何時會發生，助理就會給出詳細月份，供企業預先準備。</p> <p>另一方面，使用者也能透過智能助理，來詢問、模擬不同決策的可能狀況，比如決策者接受公司訊息通知，分部工廠將關廠30天，此時就能詢問智能助理，關廠30天可能帶來的收益和服務衝擊。又或是，這個關廠對某項產品的買一送一促銷活動，有何影響。</p> <p>在這些問題背後，系統會進行一連串模擬運算，並在給出智能助理文字回答的同時，也會在平臺儀表板上，顯示各項指標的預測數字，如獲利、營收、服務水準和生產單位等。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>創新亮點2：實體整合</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1182-%E5%B0%81%E9%9D%A2P6-%E8%8B%A5%E6%A8%B8-%E5%89%B5%E6%96%B0-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FSAS.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">實體整合（Entity resolution）是指將來自不同系統的資料，整合、歸戶到同一實體上，比如將州政府各個系統的人物資料，彙整為完整的單一檔案。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">（圖片來源／SAS）</span></span></p> <p>另一創新重點是實體整合，這是一種將來自不同系統的分散資訊，歸戶到同一個實體（Entity）的作法，又可稱為數據匹配。Gavin Day指出，實體整合很重要，不只能獲得一個完整的實體數據，對AI開發來說，更能達到資料清理的效用。因為透過數據匹配、將零散的資料歸戶清理乾淨，就能降低「Garbage in，garbage out」的窘境。</p> <p>SAS資深資料科學家Charles Cavalier現場舉例，實體整合可用於資料歸戶，比如美國各個州政府系統中，有著各式各樣的民眾資料，如教育資料、駕照、醫療資料、稅收資料等，同一位民眾在不同系統的資料，可能以不同姓名寫法呈現（如縮寫），或可能缺失某些重要資訊（如電話中間碼、車牌號碼等）。但透過深度學習等方法，從不同系統中、眾多類似人名的資料裡，正確歸納出特定個人的完整資訊，這就是實體整合。實體整合使用到的技術，則包括機器學習、深度學習和圖類神經網路等，Charles Cavalier強調，原本在單一類別或系統中缺失的資料（如電話、教育程度等），甚至能因實體整合而補足。</p> <p>在實際應用上，就有國家政府機關，使用SAS Viya平臺和實體整合功能，來進行網路分析，進一步揪出稅務詐欺模式，他們也因此補足了60億筆稅務紀錄，也因抓出逃漏稅、獲得了額外的6.35億美元稅收。</p> <p>至於實體整合的下一步，Charles Cavalier透露，SAS AI建模團隊打算建置Transformer小型語言模型，作為基礎模型，接著對模型做實體整合任務微調，來讓模型學會實體分類，進一步提高實體整合的能力。他也表示，團隊目前正研究生成式資料處理技術和深度嵌入，搭配這些技術，就能用來在不同資料集中找出同一個實體的描述紀錄，就像是資料歸戶，另也能用於搜尋任務。之後，SAS計畫將這些能力整合到既有產品中。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>創新亮點3：量子運算</strong></span></span></p> <p>最後一項創新主軸是量子運算。早在年會開幕式上，Bryan Harris就揭露量子運算將是接下來SAS創新實驗室的重點發展，而且，「我們實驗發現，透過結合量子運算和傳統運算的混合運算架構，能大幅改善運算結果。」他也表示，量子運算在未來1、2年的發展，就會像是生成式AI之於AI一樣，帶來翻天覆地的變化。</p> <p>而SAS應用AI暨建模部門總監Jinxin Yi現場以腎臟捐贈配對為例，來說明量子運算加速後的運算結果。</p> <p>他表示，就腎臟移植配對來說，通常三分之一的捐贈者和受贈者無法第一次就配對成功。為解決這個問題，常見的做法是使用圖學，用點來代表捐贈者，以邊（點與點之間的直線距離）代表捐贈者與受贈者的匹配程度，並從這些點與邊形成的網路中，找出最合適的腎臟移植配對候選組，這個候選組可由好幾個點（即捐贈者與受贈者）組成。SAS團隊就採這種方法來計算。</p> <p>但這種方法，這需要大量且複雜的運算，就算是用SAS本身優化過的運算方法，也得要180秒才能得出99.4%的最佳解。但使用SAS打造的量子解算器，30秒就能找出100%的最佳解。</p> <p class="rtecenter"><strong><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2P6-%E8%8B%A5%E6%A8%B8-%E5%89%B5%E6%96%B0-600-2%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FSAS.png" style="width: 600px;" /></span></strong></p> <p><strong><span style="color:#696969;">SAS創新實驗室力推量子運算，以腎臟移植為例，為找出最合適的移植配對組，用量子解算器加速後，取得最佳解的時間可縮短為30秒。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／SAS）</span></p> <p><span style="font-size:22px;"><a href="https://www.ithome.com.tw/article/162903" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多相關報導請見 </span></strong></span></a></span><span style="color:#FFFFFF;"><span style="font-size:22px;"><a href="https://www.ithome.com.tw/article/162903" target="_blank"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1182-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=RDLjwB3I" style="width: 550px;" /></strong></a></span></span></p> </div></div></div>
2024/5/17 06:00作者王若樸https://www.ithome.com.tw/news/162901
不畏十年技術債升級難題，均一四年完成平臺大改造
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>技術汰舊換新，是每個經營超過十年的組織，都必須經歷的過程。營運邁入第12個年頭的均一教育平臺，也正在面對這項挑戰。</p> <p>均一教育平臺，是目前全臺最大的免費線上教育平臺，由非營利的均一平台教育基金會（簡稱均一）負責營運，提供超過9萬2千題練習題、3萬5千部教學影片，涵蓋國小至高中的教學資源，至今服務超過440萬名師生。</p> <p>均一平臺的基礎程式碼專案junyiacademy，複製自全球最大免費線上教學平臺可汗學院（Khan academy）2013年所釋出的開源程式碼，這是一套單體式架構的線上課程平臺系統。均一開發團隊更以此為基礎，十年來打造了許多在地化功能。隨著帳戶數和內容逐漸擴增，程式碼的複雜度與日俱增，後續的開發和維運也變得越來越不容易。</p> <p><span style="font-size:28px;"><strong>平臺發展超過十年，程式碼過時且架構複雜雙重挑戰</strong></span></p> <p>「早期看到蠻多產品發展機會、市場對接點，在基礎不夠好時就行動，造成了後續的疊床架屋。」均一平台教育基金會平臺營運總監蕭仲廷坦言。</p> <p>他回憶，組織草創初期，技術團隊尚未建立成熟的開發和管理知識，開發過程沒有確保程式碼的品質，隨著平臺內容和客製化功能越來越豐富，技術債也不斷累積，逐漸拖慢了開發新功能的速度。</p> <p>程式碼的架構複雜，不僅造成開發速度緩慢，後續維運不易，甚至，也讓開發團隊的自信心越來越低落。每當產品經理提出需求，技術人員往往得花大量時間改動相關的程式碼，越來越不敢給出太大的承諾，久而久之，「慢慢變成只做小功能，無法讓平臺大幅進展。」蕭仲廷說。雖無法治標，均一先建立監控機制，將程式臭蟲資訊視覺化，也調整開發流程來因應，但均一還有更大的挑戰。</p> <p>均一平臺所用的開發語言是Python 2，長年來，開發團隊都用同樣版本的開發語言，來打造各種新功能。但在2020年，Python軟體基金會宣布停止維護Python 2，無疑對均一投下一枚震撼彈。</p> <p>蕭仲廷表示，Python的優勢是豐富的生態圈，但在官方停止支援舊版語言後，新套件開發者可能會放棄支援舊版，這也意味著，開發語言不升級，恐怕未來無法使用新出現的好工具，「均一想不斷迭代各種新功能，無法使用新套件，對工程師是一件痛苦的事。」</p> <p>更大的風險是，「繼續使用舊版語言，就像溫水煮青蛙，」蕭仲廷解釋，系統乍看沒有問題，「一旦發生問題就會很難處理。」</p> <p>為了避免陷入這樣的困境，均一決定在2019年展開程式碼大升級，從Python 2升級至Python 3。</p> <p><span style="font-size:28px;"><strong>小規模嘗試微服務架構，卻造成後續維運不易</strong></span></p> <p>均一更希望趁著語言升級之際，同時改善程式碼架構的複雜度，蕭仲廷決定改用微服務架構，來改造原本的大型單體式系統。</p> <p>不過，是不是能夠直接用新版語言就地重構呢？均一志工先在2018年繪製出平臺母專案junyiacademy的相依性架構圖，發現不同節點間的相依性遠比想像中更複雜，不僅無法找出模組的邊界，模組之間也很難定義出上下層的位階，來進一步拆解。這也是可汗學院升級系統時遇到的同樣挑戰。</p> <p>均一所用的公雲環境，對Python 2和 3所支援的SDK截然不同，得花很大比例的程式碼人工修改才能支援新版。後來，均一決定放棄花了十年維護的母專案程式碼，不用新版語言重構，而是用Python 3直接開發全新版本的功能。均一也沒有一口氣同時改寫全套系統，而是從既有架構中，先拆出一支可以獨立提供的元件服務，先翻新該服務的程式碼，再陸續解除服務中多餘的依賴關係。經過小規模試做，均一成功將拆解出內容管理服務，先用Pyhone 3開發出了微服務的版本。</p> <p>均一原以為照著同樣的作法，就能慢慢將老舊架構上的元件和功能一一翻新，沒想到又遇到另一個難關，內容管理服務上線後，後續在維運上卻問題不斷。</p> <p>蕭仲廷解釋，平臺的核心是內容和帳號管理，許多案例和功能都依賴內容服務，彼此會有許多程式碼串接和整合。當這個核心功能獨立之後，反而提高了維運的困難度。例如，每次系統修改時，開發團隊得同時修改舊版平臺和新版內容服務兩邊的程式碼，增加了不少工作時間，有時開發人員修改程式碼時，忽略了另一邊的調整，反而衍生更多系統故障的可能性。</p> <p>經歷一番波折，均一決定將用新版語言開發的內容管理功能，再次整合回舊有單體式架構的系統中，暫時放棄獨立成微服務的做法。一切看似重頭來過，但蕭仲廷樂觀看待這一段過程，「至少我們嘗試過了架構精簡和升級Python 3，過程中也培養出升級程式碼的選題判斷力。」</p> <p><span style="font-size:28px;"><strong>重整旗鼓，歷經4年完成程式碼升級</strong></span></p> <p>即使遭遇架構轉換挫敗，均一並未因此停住腳步。2021年，他們轉而專注在程式碼升級工程，先逐步淘汰Python 2，將程式碼更換為Python 3。均一不是一口氣汰換所有程式碼，而是將舊版語言的程式碼，和新版語言的程式碼，分成兩支不同的服務同時執行，蕭仲廷以「邊開車邊換輪子」來形容這個做法，如此一來，「可以逐步修改程式碼，同時確保系統不會斷線。」</p> <p>在重整過時程式碼時，蕭仲廷坦言，「最大挑戰的是建立一步步的處理策略。」均一花了不少時間，</p> <p>才制定出一套程式碼升級的修改步驟，指派團隊中少數幾位工程師負責系統升級，歷經了4年，他們總共升級了400個API、200個頁面，也更新了20個第三方套件。</p> <p>在開發Python 3新版程式碼前，均一技術團隊先盤點出升級範圍，要求技術團隊不再用Python 2開發新功能，避免增加更多升級負擔，才開始改寫既有程式碼與Python 3相容，並且同步精簡程式碼。</p> <p>到了2021年第四季，均一完成了第一階段工程，不只完成了多項升級，更清除了一半的程式碼。到了2022年初，均一技術團隊開始更新所用的第三方Python套件，共計20個套件。他們也升級雲端基礎設施，來提供Python 3的執行環境。到了2022年，均一先完成了所有網頁頁面程式的升級。</p> <p>由於技術團隊中並非所有工程師都投入升級工程，因此，均一也在開發流程中設置了Python 3的程式碼檢核機制，確保新開發的功能不再使用過時程式碼。到了2023年，正式環境預設改用Python 3，3月時將內容管理服務整合回主站，陸續將相關API從v1版升級到了v2版本後，均一在2024年初完成了全部的升級，並在今年2月時移除了老舊程式碼，完成全平臺的升級工程。</p> <p>最近，均一技術團隊的焦點重新回到架構重整課題，再次挑戰將既有架構改為微服務架構。</p> <p>有了過往的經驗，均一團隊不再大刀闊斧，而是先從架構明確或周邊的功能開始著手。若產品經理期望改動較複雜的功能，技術團隊也會參考以往經驗，來評估可行性和時程。不只如此，均一也趁重整架構之際，同步找出可淘汰的平臺功能，來節省不必要的重構工作。目前，他們也將平臺前端伺服器部署到容器化雲端環境。未來，均一架構重整工程會對齊發展策略來調整。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1182_%E8%95%AD%E4%BB%B2%E5%BB%B7_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89_02.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>投入生成式AI應用，靠提示工程打造AI助教</strong></span></p> <p>除了汰換程式碼和架構重整，去年，均一也看準生成式AI的潛力，開始發展AI教學助理。蕭仲廷表示，過往均一內容偏重數理科教材，語言科目相對較弱。ChatGPT問世後，蕭仲廷看上其英文能力強，成了均一用來強化語言科目教材的切入點。</p> <p>例如，去年3月，均一推出英語口說助教Jutor測試版，讓學生同時練習英文檢定標準的聽力與閱讀，AI助教會提供改寫建議，以中文解釋更好的回答方式。正式版還能協助高中生練習學測英文作文，以學測的評分標準來批改使用者上傳的英文作文。</p> <p>今年四月，均一還推出了一款AI影片學習助教的測試版，可以協助老師生成備課資源，將平臺上的教學影片轉化為課程計畫，輸出搭配影片使用的學習單等，還能隨時回覆學生問題，並以蘇格拉底式的對話方式引導學生思考，而不是直接給予答案。</p> <p>均一主要透過提示工程來調校LLM模型的回應，打造出多款生成式AI應用。蕭仲廷解釋，他們注重探索更多潛在應用領域，「持續關注和嘗試，但不會躁進，」一旦出現更成熟的新技術或既有技術成本大幅降低，招募人力到位，他們就會切入發展教育領域AI。</p> <p><span style="font-size:28px;"><strong>期望吸引更多認同組織價值的技術人才</strong></span></p> <p>擔任平臺營運總監的蕭仲廷，在均一從事軟體開發已邁入第八個年頭。不過，蕭仲廷坦言，物理系畢業後，他無意往本科發展，對未來相當迷惘，為求一份穩定收入，才報名參加創業學校的課程，開始學習軟體開發。受訓時，他發現自己比他人能更快上手，漸漸地萌生了以技術協助他人的想法。結訓後，他留在創業學校協助培訓新創團隊。</p> <p>但蕭仲廷沒有忘記在培訓時萌生的想法，比起協助一群人，他更希望靠技術力，對社會發揮更大的影響力。蕭仲廷反覆問自己：「是不是我生命中接受的教育出了問題，導致我對未來迷茫？」這個疑問，促使他加入均一，希望靠自己的能力改善教育現況，幫助教育體系中的學生不再迷茫。沒想到，一待就過了8年。</p> <p>回首均一草創階段，軟體工程團隊人數不到十人，工程師不僅需要自己繪製介面，甚至要擔起產品經理的工作，前往教育現場蒐集第一線使用者需求。蕭仲廷沒有將這些工作視為負擔，反而認為自己十分幸運，能實際接觸到產品開發的全套流程。不同一般企業，「均一團隊成員更主動積極，更感受到自己的付出能對社會有所貢獻。」蕭仲廷說。</p> <p>進入均一不到一年，蕭仲廷主動接手開發教案共享平臺。菜鳥工程師的他，捲起袖子從零做起，從系統開發、雲端基礎設施管理、測試、設計介面，到部署上線，幾乎一手包辦，他也實際從教師社群尋找關鍵使用者，挖掘使用需求，開發相應的功能。系統正式上線後，不僅協助教師獲得更好的交流環境，也讓效益回饋至學生學習上，讓蕭仲廷得到不少成就感。</p> <p>有了當時的經驗，蕭仲廷帶領技術團隊時，願意嘗試理解不同工程師的開發願景，讓成員更有成就感。雖然非營利組織的薪資條件不如商業公司，但蕭仲廷相信，均一有機會吸引到更多願意嘗試不同路徑的資訊人才，就像八年前的他，將迷茫化為一份助力，用IT技術來提升臺灣的教育環境。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>均一平台教育基金會平臺營運總監蕭仲廷</strong></p> <p>學歷：臺灣師範大學物理學系</p> <p>經歷：大學畢業後參與課程與自學數位新創知識與撰寫程式碼的技能，曾在新創學校任職。在2016年加入均一，曾任軟體工程師、產品負責人、軟體組長，目前擔任平臺營運總監，帶領20人的平臺營運團隊，組織平臺開發走向，並在今年完成系統升級工程</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1182-%E5%9D%87%E4%B8%80%E5%B9%B3%E5%8F%B0%E6%95%99%E8%82%B2%E5%9F%BA%E9%87%91%E6%9C%83.jpg" style="width: 276px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 組織檔案 </span></strong></span></p> <p><strong>均一平台教育基金會</strong></p> <p>●成立時間：2017年（均一教育平臺在 2012 上線，由誠致教育基金會維運，在 2017 年底成立均一平台教育基金會後接手經營）</p> <p>●主要服務內容：營運線上教學平臺，免費提供全臺國小至高中師生使用、舉辦教師研習活動。累積註冊人次達485萬人。</p> <p>●員工數：截至2022年共72人</p> <p>●董事長兼執行長：呂冠緯</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 平臺營運部門檔案 </span></strong></span></p> <p>●平臺營運主管職稱：平臺營運總監</p> <p>●平臺營運部門主管姓名：蕭仲廷</p> <p>●平臺營運部門人數：20人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2012年：取得可汗學院授權後，沿用可汗學院約80萬行程式碼和教學影片，均一教育平臺正式上線</p> <p>●2013年：對應臺灣教育體制課程設計，開始錄製國小至高中的數學課程，開發對應的練習題</p> <p>●2014年~2016年：平臺建置更多教材內容，提供教學影片</p> <p>●2017年：均一教育平臺新增和優化多項功能、ShareClass平臺上線</p> <p>●2018年：新增教師自組卷功能和共享班級功能</p> <p>●2019年：運用AI診斷學生的學習能力，自動推薦符合學生能力的題目、小規模嘗試微服務架構</p> <p>●2021年：開始將Python 2升級至Python 3</p> <p>●2022年：升級第三方Python套件和雲端基礎設施、將獨立的內容管理功能整合回既有架構、升級頁面和API、建立Python 3單元測試</p> <p>●2023年：平臺前端伺服器和GAI工具測試環境改部署到公雲容器化服務</p> <p>●2024年：移除以Python 2撰寫的程式碼、完成程式碼升級工程、推出正式版英語口說助教Jutor和影片學習助教AI狐狸貓測試版</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1182-xiao_zhong_ting_-she_ying_hong_zheng_wei_.jpg" width="960" height="420" alt="" title="均一平台教育基金會平臺營運總監蕭仲廷　（攝影／洪政偉）" /></div></div></div>
2024/5/17 06:00作者李昀璇https://www.ithome.com.tw/people/162902
老牌數據分析大廠押寶GenAI
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1182-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=RDLjwB3I" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">在今年Innovate 2024大會上，數據分析大廠SAS終於揭露生成式AI策略與產品，不只有AI分析智能助理Viya Copilot，還有高品質合成資料工具、AI開發工具和開箱即用的輕量化模型套件。同時，他們還擴展AI監管產品線與創新實驗方向，瞄準量子運算、數位雙生和實體整合</p> </div></div></div>
2024/5/17 06:00作者王若樸https://www.ithome.com.tw/article/162903
奇美醫院聯手新樓醫院，用共享雲端AI模式縮短城鄉醫療差距
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在2022年8月，奇美醫院就與新樓醫院簽訂醫療人工智慧合作契約書，要透過導入奇美醫院的急診胸痛與肺炎雲端AI病情預測服務，來讓新樓醫院麻豆新樓醫院急診室使用，減輕急診醫師負擔。近2年後的今天，雙方揭露執行成果，比如透過AI預測胸痛病人1個月內死亡與心肌梗塞風險，來協助新樓醫院急診室醫師更快預測病情變化、提供適當的治療措施，對資淺的醫師特別有幫助。奇美醫院認為，這種成功的雲端AI分享模式不只縮短城鄉醫療數位落差，還可進一步擴大，比如鼓勵更多醫院貢獻各式AI應用服務、甚至發展出醫療AI市集，來提供更多樣的醫療服務。</p> <p><strong><span style="font-size:24px;">2022年展開合作，胸痛預測AI輔助救助高風險患者</span></strong></p> <p>進一步來說，奇美醫院自2019年成立AI中心，由劉忠峰教授擔任中心主任，來組隊打造AI基礎建設、導入專業開發平臺，發展醫療AI應用。該中心在2023年進一步升級為智慧醫療中心，奇美醫院強調，有別於常見的醫療影像AI應用，他們專攻以電子病歷為基礎的AI預測模型，並聯手資訊室將AI成果整合至醫院醫療資訊系統（HIS），實際落地於臨床診間，包含奇美醫院3院區共採用了30類AI病情預測系統，涵蓋急診、外科、麻醉、加護病房、生殖醫學、透析中心、胸腔內科、小兒科等科室。</p> <p>不過，打造醫療AI成本高昂，不只要有巨量的醫療數據，還要有強大的運算設備和資源。為了讓更多醫院和病人受惠於醫療AI，奇美醫院和新樓醫院在2022年簽約，要先導入奇美醫院自家的急診胸痛預測AI和肺炎預測AI，來供新樓醫院與麻豆新樓醫院急診室使用。就急診胸痛AI來說，可預測胸痛病人一個月內的死亡和心肌梗塞風險，肺炎預測AI則能預測肺炎患者的呼吸衰竭、敗血症或休克和死風險。</p> <p>不過，由於雙方醫療作業有所差異，為了讓新樓醫院順利使用這些AI服務，奇美醫院調整、優化AI預測模型，並對每個模型提供特徵重要性圖（SHAP圖），來讓使用者精確掌握主要影響風險的關鍵因素。最後，雙方在2023年10月成功連線測試「胸痛病人」病情預測功能，也在今年2月成功連線測試「肺炎病人」病情預測功能。他們統計，新樓醫院急診導入奇美醫院AI預測系統近3個月以來，整體預測準確性（AUC）約九成，與奇美醫院原始模型相近。</p> <div align="center" dir="ltr" style="margin-left:0pt;"> <table style="border:none;border-collapse:collapse;"> <colgroup> <col width="560" /><br /> </colgroup> <tbody> <tr style="height:0pt"> <td style="border-left:solid #000000 0.5pt;border-right:solid #000000 0.5pt;border-bottom:solid #000000 0.5pt;border-top:solid #000000 0.5pt;vertical-align:middle;background-color:#e5dfec;padding:0pt 5.75pt 0pt 5.75pt;overflow:hidden;overflow-wrap:break-word;"> <p dir="ltr" style="line-height:1.2;text-align: center;margin-top:0pt;margin-bottom:0pt;"><span id="docs-internal-guid-fa1adb0a-7fff-5802-0ff1-e49e2e8d6abd"><span style="font-size: 12pt; font-family: Arial, sans-serif; color: rgb(227, 108, 9); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"><span style="border:none;display:inline-block;overflow:hidden;width:546px;height:283px;"><img alt="奇美預測畫面" height="283" src="https://lh7-us.googleusercontent.com/qH1a45P6YutVVBbXVhvqaMXrYaQcx61x91tbNxp945F3C42y2BnyS054emtwQ-QRkCxNkjKn6tLe8r60CWSACfJcOUbsbRbuR_dDgVWQM_bK2KvHW18Ic1edetnOhGFS3kgaX1KdmD8ek78fIu6dTA" style="margin-left:0px;margin-top:0px;" width="546" /></span></span></span></p> </td> </tr> <tr style="height:275.95pt"> <td style="border-left:solid #000000 0.5pt;border-right:solid #000000 0.5pt;border-bottom:solid #000000 0.5pt;border-top:solid #000000 0.5pt;vertical-align:middle;background-color:#e5dfec;padding:0pt 5.75pt 0pt 5.75pt;overflow:hidden;overflow-wrap:break-word;"> <p dir="ltr" style="line-height:1.2;text-align: center;margin-top:0pt;margin-bottom:0pt;"><span id="docs-internal-guid-fa1adb0a-7fff-5802-0ff1-e49e2e8d6abd"><span style="font-size: 12pt; font-family: Arial, sans-serif; color: rgb(227, 108, 9); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"><span style="border:none;display:inline-block;overflow:hidden;width:469px;height:442px;"><img alt="新樓預測畫面" height="458.5823345184326" src="https://lh7-us.googleusercontent.com/j8cW40ksub60a2O0dACKpojglkmo0JF_1pNJzLakqCEOTHSGPqKgGRVMMsdGszWtm8vXchn2_nlqgxKKsHOzQb2Jac3BduMmZ0D_lMZBhl7-P6czpDAyeG4LDbrer72vKhD84xNAQ_09vrBXOPqGUA" style="margin-left:0px;margin-top:0px;" width="469" /></span></span></span></p> </td> </tr> </tbody> </table> </div> <p dir="ltr" style="line-height:1.2;text-align: center;margin-top:0pt;margin-bottom:0pt;"><span id="docs-internal-guid-fa1adb0a-7fff-5802-0ff1-e49e2e8d6abd"><span style="font-size: 12pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;">系統預測結果畫面（上：奇美醫院畫面；下：新樓醫院畫面）</span></span></p> <p>就實際案例來說，新樓醫院就透過胸痛雲端AI病情預測服務，成功救助一名82歲長者。該長者本身患有糖尿病和冠心症，也做過心導管支架，但自行停用心臟藥物3年，日前因突發胸痛、呼吸困難至新樓醫院急診就醫。當時，她血壓偏低、血氧濃度僅有91%且呼吸急促，心電圖也呈現陳舊性心肌梗塞，但心肌酵素正常。由於情況複雜棘手，無法確定是否有急性心肌梗塞現象，急診室因此使用奇美醫院的胸痛雲端AI預測輔助，發現該患者在1個月內發生心肌梗塞的機率為43.3%、死亡率高達94.64%。經心導管檢查後，他們發現左側主幹和前降支動脈嚴重阻塞，左心室收縮功能只剩30%，因此立即啟動緊急心導管手術、及時放置血管支架，恢復患者血流，6天後順利出院。</p> <p>要實現共享雲端醫療AI，很重要的一點是資安合規。劉忠峰表示，奇美醫院和新樓醫院長久以來都通過ISO27001 ISMS資訊安全管理系統認證，奇美醫院還採用SSL非對稱加密機制和JWT技術，來強化傳輸身份的安全驗證。</p> <p>與此同時，臺南新樓醫院院長劉啓擧表示，自奇美醫院的AI預測服務上線後，對急診室提供實質上幫助，尤其是對資歷尚淺的醫師。比如，AI可協助他們更快預測病情可能的變化，進而能儘早提供適當的處置措施，提高應變效率和更好地運用醫療資源，新樓醫院醫護還因此感受醫療AI的好處。</p> <p><span style="font-size:24px;"><strong>不只要縮小城鄉醫療數位落差，還盼進一步擴大發展</strong></span></p> <p>奇美醫院院長林宏榮指出，奇美醫院與新樓醫院合作建立安全的AI雲端分享機制，是臺灣發展醫療AI的重要里程碑。這種成功模式，有機會讓醫界運用AI來縮小城鄉醫療數位落差，實現醫療平權。</p> <p>他也點出，在這個雲端分享平臺上，除了奇美醫院，也期盼更多醫院貢獻各式AI應用服務，來讓更多醫療機構從平臺獲得AI輔助，就像是各家優秀的醫療團隊進駐偏鄉離島，不僅能提升醫院醫療品質，還能幫助降低總體醫療成本。甚至，未來能朝建立醫療AI市集方向思考，亦即透過各家醫院合作研發，來提高AI模型適用性與品質、打造更多種類的醫療AI服務，並對各國人民開放使用。</p> <p></p> </div></div></div>
2024/5/16 23:57作者王若樸https://www.ithome.com.tw/news/162917
【資安日報】5月16日，Google在一週內發布3次Chrome更新，修補已被用於攻擊行動的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布了新的電腦版Chrome 125，增加不少新功能，其中，與資安防護有關的部分，包含了新的隱私控制選項，來避免攻擊者挾持，而對於Windows版用戶，他們將網路服務放在沙箱執行。</p> <p>但在此同時，本次Google也修補9個弱點，當中包含了JavaScript引擎V8的高風險漏洞CVE-2024-4947，而這是該公司在最近一週修補的第3個零時差漏洞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162907"><strong style="font-size: 22px;">Windows遠端協助工具「快速助手」遭到濫用，駭客從事勒索軟體Black Basta攻擊行動</strong></a></p> <p>5月10日資安業者Rapid7揭露一項社交工程攻擊行動，駭客鎖定採用威脅偵測與應變代管服務（Managed Detection and Response，MDR）的企業組織而來，利用垃圾郵件轟炸目標用戶的電子郵件信箱，然後撥打電話表示能提供協助，引誘用戶下載遠端管理軟體，其中一種是Windows作業系統內建的「快速助手（Quick Assist）」，攻擊者的身分很可能與勒索軟體駭客組織Black Basta有關。而相關的攻擊行動，最近有了新的發現。</p> <p>微軟也針對這項社交工程攻擊著手調查，並指出攻擊者的身分是出於經濟動機的駭客組織Storm-1811，而這個組織經常會在攻擊行動部署勒索軟體Black Basta。他們從4月中旬看到對方從事攻擊行動，先是透過語音網路釣魚（Vishing）來引誘目標用戶上當，然後啟動快速助手控制目標電腦，從而散布ScreenConnect、NetSupport Manager等遠端管理工具，以及惡意程式QBot、滲透測試工具Cobalt Strike，最終達到部署勒索軟體的目的。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.welivesecurity.com/en/eset-research/moon-backdoors-lunar-landing-diplomatic-missions/"><strong style="font-size: 20px;">歐洲外交機關遭俄羅斯駭客Turla鎖定，植入後門程式LunarWeb、LunarMail</strong></a></p> <p></p> <p>◆<a href="https://www.santander.com/content/dam/santander-com/en/stories/contenido-stories/2024/statement.pdf"><strong style="font-size: 20px;">桑坦德銀行傳出資料外洩，影響智利、西班牙、烏拉圭客戶，起因是第三方供應商遭駭</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162904"><strong style="font-size: 22px;">Google發布Chrome 125新版，一週內修補3個零時差漏洞受到關注</strong></a></p> <p>5月15日Google發布Chrome 125新版本（125.0.6422.60、61），當中總共修補9個漏洞，值得留意的是高風險漏洞CVE-2024-4947，Google指出已被用於實際攻擊行動，而這是自5月9日以來，該公司修補的第3個零時差漏洞。</p> <p>這項漏洞存在於JavaScript引擎V8，為類型混淆弱點，由資安業者卡巴斯基13日通報。Google並未進一步說明細節，而對於提供研究人員的獎勵，他們表示有待進一步決定。</p> <p><a href="https://www.ithome.com.tw/news/162898"><strong style="font-size: 22px;">Adobe發布5月例行更新，修補PDF編輯工具、檢視器，以及FrameMaker、Animate等多項應用程式漏洞</strong></a></p> <p>本週二Adobe發布5月份例行修補，針對旗下的Acrobat及Acrobat Reader、Illustrator、Substance 3D Painter、Substance 3D Designer、Animate、FrameMaker、Dreamweaver、Aero等多項產品發布更新，總共修補35個漏洞，這些漏洞多數同時影響Windows版及macOS版用戶，該公司表示，截至發布公告為止，他們尚未發現漏洞遭到利用的跡象。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24280"><strong style="font-size: 20px;">VMware修補虛擬化平臺在Pwn2Own 2024揭露的高風險漏洞</strong></a></p> <p></p> <p>◆<a href="https://www.securityweek.com/intel-publishes-41-security-advisories-for-over-90-vulnerabilities/"><strong style="font-size: 20px;">Intel發布5月例新更新，修補逾90個漏洞</strong></a></p> <p></p> <p>◆<a href="https://www.securityweek.com/ics-patch-tuesday-advisories-published-by-siemens-rockwell-mitsubishi-electric/"><strong style="font-size: 20px;">西門子、三菱電機、江森自控、Rockwell發布5月份工控系統資安公告</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162873"><strong style="font-size: 22px;">賴清德準總統公開承諾，新政府仍將繼續支持資安產業發展</strong></a></p> <p>下週一（5月20日）臺灣第16任、新任總統賴清德即將走馬上任，此次他率領未新內閣中與資安發展相關的主管，一同蒞臨CYBERSEC 2024臺灣資安大會，包括：現任青平臺基金會董事長、候任行政院副院長兼資安長鄭麗君，中研院資創中心研究員、候任國安會諮詢委員李育杰，以及中研院資創中心特聘研究員、候任數位發展部部長黃彥男等人，共同關心臺灣資安產業的發展。</p> <p>賴清德致詞表示，未來新政府也會延續蔡英文總統「資安即國安」的政策繼續推動資安，並公開承諾，將會繼續支持臺灣資安產業的發展，推動產業更上一層樓。</p> <p>他也提及，臺灣是全球假訊息被攻擊最嚴重的國家，如果將這個視為可以磨練、鍛鍊臺灣資安產業的場域時，就會是臺灣資安產業發展的契機。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162783"><strong style="font-size: 22px;">行政院通過打詐專法，Google、Meta等網路廣告平臺未盡防詐義務最高開罰2,500萬元，嚴重者可限制流量或阻擋連結</strong></a></p> <p>行政院5月9日通過外界期待的「詐欺犯罪危害防治條例」，也就是俗稱的打詐專法，未來將連同其他法規，包括洗錢防制法、科技偵查及保障法、通訊保障及監察法，合稱打詐新四法，一起送到立法院審議。</p> <p>在新的打詐專法中，明訂金融、電信、數位產業的打詐義務，其中在數位產業方面，要求Google、Meta等網路廣告平臺業者在臺設立法律代表，依法配合防詐，若情節嚴重者最高可罰2,500萬元，未改正者由專家審議，祭出停止解析或限制接取等重罰。</p> <p><a href="https://www.ithome.com.tw/news/162910"><strong style="font-size: 22px;">美國聯邦通訊委員會揭露機器人電話駭客組織Royal Tiger，意圖打擊當地報稅季語音網釣氾濫的現象</strong></a></p> <p>5月13日美國聯邦通訊委員會（FCC）揭露名為Royal Tiger的駭客組織，該組織專門透過機器人撥打電話（Robocall）犯案，他們經常假冒政府機關、銀行、企業組織，利用偽冒的電話號碼撥打電話，聲稱提供信用卡低利分期優惠，來引誘受害者上當，過程中濫用生成式AI複製的聲音來進行。</p> <p>為何公布此駭客組織的相關細節？主要與美國執法單位4月進行的「春季掃蕩（Spring Cleaning）」執法行動有關，該行動的主要目的，就是打擊在該國報稅季當中，以電話撥打機器人（Robocaller）宣稱能提供納稅人減稅的網釣攻擊。</p> <p>FCC將Royal Tiger歸於消費者通訊資訊服務威脅（Consumer Communications Information Services Threat，C-CIST），並公布該組織的相關細節，以便地方政府與國內外執法單位，識別、調查其攻擊行動及攻擊基礎設施。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162880"><strong>【5月15日】微軟發布5月份例行更新，公告3個零時差漏洞受到各界關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162861"><strong>【5月14日】芬蘭首都證實資料外洩事故，起因是教育部門的遠端存取伺服器未修補已知漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162840"><strong>【5月13日】韓國警方證實法院大量民眾個資遭北韓駭客竊取，近1 TB資料流出但僅有少部分能確認受害者身分</strong></a></p> </div></div></div>
2024/5/16 12:32作者周峻佑https://www.ithome.com.tw/news/162912
Palo Alto Networks將收購IBM QRadar SaaS資產，與IBM建立廣泛的合作關係
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>總部設於美國的跨國資安業者Palo Alto Networks與IBM本周三（5/15）<a href="https://newsroom.ibm.com/2024-05-15-Palo-Alto-Networks-and-IBM-to-Jointly-Provide-AI-powered-Security-Offerings-IBM-to-Deliver-Security-Consulting-Services-Across-Palo-Alto-Networks-Security-Platforms" target="_blank">宣布策略聯盟</a>，協議內容包括Palo Alto Networks將買下IBM旗下的QRadar SaaS資產，並於Cortex XSIAM中整合watsonx大型語言模型；而IBM則會與Palo Alto Networks合作，把內部安全解決方案平臺化，同時Palo Alto Networks亦將成為IBM的首選網路安全合作夥伴。</p> <p>IBM QRadar為一模組化的安全套件，其產品包括端點偵測與回應（EDR）、端點多層偵測與回應（XDR），以及受控的端點偵測與回應（MDR）等利用機器學習技術的端點安全產品，以及QRadar SIEM安全分析工具，可自動化編排事件回應流程的QRadar SOAR，以及日誌洞察與管理產品QRadar Log Insights 。</p> <p>Palo Alto Networks將收購QRadar SaaS資產，以及QRadar的智慧財產權，交易完成後將把QRadar SaaS用戶端，遷移到Palo Alto Networks旗下的AI安全操作平臺Cortex XSIAM，打算保留在本地端的QRadar用戶則可繼續獲得IBM的功能與支援，包括安全性、可用性及修補重要臭蟲，IBM也會負責更新相關客戶的現有連結器與擴大使用能力。</p> <p>對於選擇遷移到Cortex XSIAM的QRadar SaaS及本地端用戶，則會由 IBM及Palo Alto Networks共同合作，提供免費且流暢的遷移服務。而且舉凡有QRadar的本地端用戶選擇遷移到Cortex XSIAM，IBM都可獲得額外的款項。</p> <p>此一併購交易預計於今年9月完成。</p> <p>除了買下QRadar SaaS資產外，Palo Alto Networks也準備在Cortex XSIAM中整合IBM的watsonx大型語言模型，以提供額外的精準人工智慧（Precision AI）解決方案。</p> <p>至於IBM的回饋則包括與Palo Alto Networks合作，將內部安全解決方案平臺化；讓Palo Alto Networks成為IBM跨網路、雲端與安全營運中心（SOC）的首選合作夥伴；在拓展的安全產品中採用Palo Alto Networks平臺；針對逾1,000名安全顧問進行遷移、採用與部署Palo Alto Networks產品的教育訓練；也將與Palo Alto Networks在安全營運、威脅管理及DevSecOps上展開合作。</p> <p>雙方還將共同設立安全營運中心與網路靶場（Cyber Range），前者帶來受控的安全營運中心，後者則提供身歷其境的安全體驗，以供客戶理解Palo Alto Networks安全產品的價值。</p> </div></div></div>
2024/5/16 14:31作者陳曉莉https://www.ithome.com.tw/news/162914
英特爾發表可用來快速連結兩臺電腦的Thunderbolt Share規格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾（Intel）周三（5/15）<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-unlocks-ultra-fast-pc-to-pc-with-thunderbolt-share.html" target="_blank">發表了Thunderbolt Share規格</a>，這是一個軟體解決方案，可替兩臺Windows電腦提供快速且低延遲的連結，以實現螢幕共用或是快速的檔案傳輸，即將於6月初開放使用者下載軟體，前提是所使用的電腦或配件必須至少有一個擁有Thunderbolt Share授權。</p> <p>Thunderbolt原本是由英特爾與蘋果共同開發的硬體介面，主要用來連結電腦與配件，根據聯想（Lenovo）的<a href="https://www.lenovo.com/us/en/glossary/thunderbolt-vs-usb-c/?orgRef=https%253A%252F%252Fwww.google.com%252F" target="_blank">說明</a>，Thunderbolt 3的傳輸速度最高可達40 Gbps，但USB Type C 3.2僅有10 Gbps。</p> <p>至於相容於Thunderbolt Share的Thunderbolt 4及Thunderbolt 5，其最快的傳輸速度則分別為40 Gbps與80 Gbps。</p> <p>當兩臺支援Thunderbolt 4或Thunderbolt 5的Windows電腦利用Thunderbolt Share相連時，使用者可透過滑鼠及鍵盤實現順暢且無壓縮的螢幕分享能力；且只要簡單地拖曳就能在兩臺電腦之間快速傳遞檔案；亦可讓兩名使用者共享大型檔案以進行協作；電腦之間可直接連結，或是透過諸如Thunderbolt擴充埠來支援Thunderbolt配件的連結；強調不影響Wi-Fi及乙太網路的安全連線，也不會危及雲端網路的性能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-Thunderbolt%20Share-intel-3.png" style="width: 600px;" /></p> <p>Thunderbolt Share預計於今年6月初開放下載，目前僅適用於Windows 10/11，儘管它可以被安裝在滿足基本軟/硬體需求的系統上，但要執行Thunderbolt Share，必須至少有一臺連結的電腦或Thunderbolt配件具備Thunderbolt Share授權，電腦也必須配備Thunderbolt 4或Thunderbolt 5傳輸埠，並使用支援Thunderbolt 4或Thunderbolt 5的纜線。</p> <p>預計於今年下半年支援Thunderbolt Share的電腦/配件製造商包括聯想、宏碁、微星、Razer、Kensington、Belkin、Promise、Plugable及OWC等，產品上將被嵌入一個類似閃電的白色箭頭商標以作為支援Thunderbolt Share的識別。</p> </div></div></div>
2024/5/16 14:54作者陳曉莉https://www.ithome.com.tw/news/162915
Anthropic延攬IG共同創辦人為產品長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic周三宣布Instagram共同創辦人Mike Krieger將加入團隊，擔任產品長一職。</p> <p>Krieger在加入Anthropic後，將掌管該公司的產品工程、產品管理及產品設計，以協助擴增企業應用套件，將Claude AI模型推向更多用戶。</p> <p>Krieger是IG共同創辦人之一，也曾共同創辦個人化新聞業者Artifact。在IG擔任技術長期間，Krieger將工程部門擴大為超過450人的團隊，用戶也突破10億人。而在Artifact被Yahoo收購前，也待了3年打造出App。Anthropic相信Krieger擁有完成產品開發生命周期，從寫程式到產品願景及領導的專業知識，是這個位子的最佳人選。</p> <p>AI競賽引發各軟體公司高階人才爭奪戰。在OpenAI執行長Sam Altman加入不到一周後又離開，微軟3月從Inflection<a href="https://www.ithome.com.tw/news/161865" target="_blank">挖角共同創辦人Mustafa Suleyman</a>加入並率領其AI部門。OpenAI共同創辦人Ilya Sutskever也在本周<a href="https://www.ithome.com.tw/news/162887" target="_blank">宣布離開</a>公司。之前曾有傳言馬斯克（Elon Musk）找他加入xAI公司，並出任管理團隊。</p> </div></div></div>
2024/5/16 12:21作者林妍溱https://www.ithome.com.tw/news/162911
美國聯邦通訊委員會揭露機器人電話駭客組織Royal Tiger，意圖打擊當地報稅季語音網釣氾濫的現象
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月13日美國聯邦通訊委員會（FCC）<a href="https://docs.fcc.gov/public/attachments/DA-24-388A1.pdf">揭露名為Royal Tiger的駭客組織</a>，該組織專門透過機器人撥打電話（Robocall）犯案，他們經常假冒政府機關、銀行、企業組織，利用偽冒的電話號碼撥打電話，聲稱提供信用卡低利分期優惠，來引誘受害者上當，過程中濫用生成式AI複製的聲音來進行。</p> <p>而對於這些駭客的身分，FCC表示，該組織成員來自多個國家，包含印度、英國、阿拉伯聯合大公國（UAE）、美國。此組織的首腦是Prince Jashvantlal Anand，其副手是Kaushal Bhavsar，經營多家被用於撥打非法電話的美國公司，包括VoIP業者Illum Telecommunication Limited、PZ Telecommunication LLC、One Eye LLC。</p> <p>這些駭客將騷擾電話轉接到位於德州的Great Choice Telecom，此公司曾因撥打自動騷擾電話，被FCC與聯邦交易委員會（FTC）重罰2.25億美元，並勒令停業。</p> <p>為何公布此駭客組織的相關細節？主要與美國執法單位4月進行的「<a href="https://www.fcc.gov/document/fcc-orders-provider-cease-national-tax-relief-program-robocalls">春季掃蕩（Spring Cleaning）</a>」執法行動有關，該行動的主要目的，就是打擊在該國報稅季當中，以電話撥打機器人（Robocaller）宣稱能提供納稅人減稅的網釣攻擊。</p> <p>FCC將Royal Tiger歸於消費者通訊資訊服務威脅（Consumer Communications Information Services Threat，C-CIST），並公布該組織的相關細節，以便地方政府與國內外執法單位，識別、調查其攻擊行動及攻擊基礎設施。</p> </div></div></div>
2024/5/16 11:33作者周峻佑https://www.ithome.com.tw/news/162910
蘋果為新款iOS裝置加入眼球追蹤、防動暈及音樂觸覺等輔助功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>響應全球無障礙體認日（Global Accessibility Awareness Day），<a href="https://www.apple.com/newsroom/2024/05/apple-announces-new-accessibility-features-including-eye-tracking/" target="_blank">蘋果宣布</a>將為iOS裝置加入，包括眼球控制、防止暈車、用振動「演奏」音樂等多項輔助功能。Vision Pro也將加入更多障礙輔助功能。</p> <p>新的輔助功能包括眼動追蹤、音樂觸覺（Music Haptic）、語音捷徑及車輛移動提示（Vehicle Motion Cue）。<a href="https://www.macrumors.com/2024/05/15/ios-18-accessibility-features/" target="_blank">MacRumors</a>、<a href="https://9to5mac.com/2024/05/15/daily-may-15-2024/" target="_blank">9to5Mac</a>報導，將在預定今年稍晚的iOS 18、iPadOS 18、macOS 15或visionOS 2推出。眼動追蹤讓手不方便的用戶以眼球控制並使用iPad或iPhone。這項功能是以裝置前方的相機和裝置上機器學習技術為基礎，幾秒鐘就能設定及校準完成，所有設定和控制所需的資料都儲存在裝置上，不會傳送給蘋果。利用眼動追蹤功能，用戶可以眼球操作App各元素，並以Dwell Control功能作動每個元素，進而存取實體鍵、或實現滑、點等其他動作。</p> <p>音樂觸覺則提供給有聽力障礙的用戶。iPhone上的觸感引擎會根據音樂聲響產生點擊、觸感或振動效果。這功能適用於Apple Music上數百萬首歌曲，也將提供API供開發人員整合在其應用程式中。</p> <p class="rtecenter"><a href="https://www.apple.com/newsroom/videos/apple-accessibility-music-haptics/large_2x.mp4" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0516-ios-Music%20Haptics.png" style="width: 237px;" /></a></p> <p>語音捷徑功能（下圖）讓iPhone及iPad用戶可設定給Siri理解的捷徑，以便執行複雜任務。聆聽非典型語音（Listen for Atypical Speech）則是提供多種少見語音的辨識選擇，適用於腦性麻痺、肌萎縮性側索硬化（ALS，即漸凍人）或中風等病患，使他們得以使用iPhone功能。該功能使用裝置端機器學習技術來了解用戶語音樣態，因底層技術包含於iOS 17，因此僅較新iOS裝置支援。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Apple-accessibility-features-Vocal-Shortcuts-600.png" style="width: 600px;" /></p> <p>車輛移動提示則是為了減少在車上使用iPhone及iPad暈車而設計。研究顯示，暈車或動暈症（motion sickness）一般是人所感覺及所看見事物引發的感官衝突（sensor conflict）所致。這項功能啟用時，螢幕邊緣的動態小點會反映車輛動作的變化，可以減少感官衝突，又不干擾主要內容。車輛移動提示是利用裝置上的感測器辨識出用戶身處移動的車輛。iPhone用戶可設定這功能自動開啟，或是透過控制中心手動開關。</p> <p class="rtecenter"><a href="https://www.apple.com/newsroom/videos/apple-accessibility-vehicle-motion-cues/large_2x.mp4" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0516-apple%20ios-Vehicle%20Motion%20Cues.png" style="width: 348px;" /></a></p> <p>Vision Pro已有數十項輔助功能，今年內將再加入即時字幕，包括visionOS的FaceTime。Vision Pro將在Apple沈浸式影片加入移動字幕功能，並支援Made for iPhone耳機或人工耳蝸聽力處理器等聽力設備。新功能包括降低透明度、智慧反向（smart invert）及調暗閃爍，以適應有弱視問題的用戶。</p> <p>此外，CarPlay也將包含新輔助功能，如語音控制、顏色濾鏡和聲音辨識。語音控制讓用戶可以說話控制App和CarPlay，聲音辨識可告知聾人或有聽覺障礙者路車上警笛或喇叭聲，顏色濾鏡則可提供視覺輔助，如粗字體或較大字體，使CarPlay更清楚。</p> <p>其他功能還包括旁白、閱讀器加入放大鏡、點字螢幕輸入支援日文、可在打字時字體放大的Hover Typing、個人聲音支援中文、即時語音可和即時字幕同步相容、利用螢幕一小部分作為觸控板的「虛擬觸控板」、利用相機將點擊解讀為開關的Switch Control，以及語音控制支援特定字彙和複雜字詞等。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2024/5/16 11:44作者林妍溱https://www.ithome.com.tw/news/162909
VMware開放個人免費使用Workstation Pro與Fusion Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>博通（Broadcom）於去年11月買下VMware後持續調整其產品策略，<a href="https://blogs.vmware.com/cloud-foundation/2024/05/14/vmware-desktop-hypervisor-pro-apps-now-available-for-personal-use/" target="_blank">本周二（5/14）宣布</a>將開放個人免費使用兩款桌面虛擬化管理軟體，包括VMware Workstation Pro與VMware Fusion Pro，同時停產功能較為陽春的VMware Workstation Player與VMware Fusion Player 。</p> <p>Workstation Pro主要支援採用英特爾及AMD處理器的Windows與Linux作業系統，Fusion Pro則是適用於基於英特爾及蘋果自製晶片的Mac電腦，兩者皆屬桌面虛擬化管理軟體，允許使用者建立本地端的虛擬化環境來安裝其它作業系統，也許是為了了解技術，或者是測試軟體、複雜系統、瀏覽器、應用或遊戲等。</p> <p>原本僅供專業人士付費使用的Workstation Pro與Fusion Pro現在將提供兩種授權模式，包括免費個人使用（Free Personal Use）與付費商業使用（Paid Commercial Use），使用者可根據其使用案例來決定是否需要付費訂閱以取得商業授權。且個人版或商業版軟體的功能完全一致。</p> <p>因此，現在使用者只需透過support.broadcom.com註冊，並下載<a href="https://support.broadcom.com/group/ecx/productdownloads?subfamily=VMware+Workstation+Pro" target="_blank">Workstation Pro</a>與<a href="https://support.broadcom.com/group/ecx/productdownloads?subfamily=VMware+Fusion" target="_blank">Fusion Pro</a>即可取得它們的免費使用版。</p> <p>負責虛擬機管理產品的VMware經理Michael Roy指出，Workstation與Fusion是許多人使用的第一批VMware產品，它們是理解虛擬化與vSphere基礎知識的重要工具，而商業組織則利用它們來開發及測試程式與系統，以及用來與組織的vSphere環境互動，此一改變的目的是簡化將VMware桌面虛擬機管理程式推向市場的方式。</p> <p>隨著專業版免費開放個人使用，VMware也將停產Workstation Player與Fusion Player。Workstation Player與Fusion Player原本也提供個人免費版與商業付費版，現在也已停售付費版，其中，擁有Fusion Player個人使用授權的用戶只要升級到Fusion 13.5.2，並刪除其授權金鑰，就能直接取得Fusion Pro的完整功能且不再需要金鑰。Workstation Player用戶則必須重新下載與安裝Workstation Pro，其預設授權即為免費的個人使用。</p> <p>此外，現階段使用Fusion Player 13和Workstation Player 17商業授權的用戶可繼續使用相關產品，且無需新的授權金鑰，直至有效支援期限到期。屆時VMware建議用戶升級至Pro版。</p> <p>雖然Workstation Player與Fusion Player都將停產，但VMware會繼續支援它們直至產品原本設定的生命周期與支援期限到期為止。</p> </div></div></div>
2024/5/16 10:27作者陳曉莉https://www.ithome.com.tw/news/162908
Windows遠端協助工具「快速助手」遭到濫用，駭客從事勒索軟體Black Basta攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月10日<a href="https://www.rapid7.com/blog/post/2024/05/10/ongoing-social-engineering-campaign-linked-to-black-basta-ransomware-operators/">資安業者Rapid7揭露一項社交工程攻擊行動</a>，駭客鎖定採用威脅偵測與應變代管服務（Managed Detection and Response，MDR）的企業組織而來，利用垃圾郵件轟炸目標用戶的電子郵件信箱，然後撥打電話表示能提供協助，引誘用戶下載遠端管理軟體，其中一種是Windows作業系統內建的「快速助手（Quick Assist）」，攻擊者的身分很可能與勒索軟體駭客組織Black Basta有關。而相關的攻擊行動，最近有了新的發現。</p> <p>微軟也針對這項社交工程攻擊著手調查，並指出攻擊者的身分是出於經濟動機的駭客組織Storm-1811，而這個組織經常會在攻擊行動部署勒索軟體Black Basta。<a href="https://www.microsoft.com/en-us/security/blog/2024/05/15/threat-actors-misusing-quick-assist-in-social-engineering-attacks-leading-to-ransomware/">他們從4月中旬看到對方從事攻擊行動</a>，先是透過語音網路釣魚（Vishing）來引誘目標用戶上當，然後啟動快速助手控制目標電腦，從而散布ScreenConnect、NetSupport Manager等遠端管理工具，以及惡意程式QBot、滲透測試工具Cobalt Strike，最終達到部署勒索軟體的目的。</p> <p>研究人員指出，對方通常會試圖冒充技術人員或是服務臺（Help Desk）人員，假借修復目標電腦的名義部署遠端管理工具，以便對其進行控制。但究竟駭客怎麼讓電腦「故障」？研究人員指出，對方利用名為連結列表（Link Listing）的電子郵件轟炸攻擊手法，為使用者大量訂閱電子報，間接透過這些訂閱內容將用戶電子郵件信箱淹沒，然後再撥打電話宣稱能協助解決問題。</p> <p>在通話的過程中，駭客引誘使用者按下快速鍵CTRL+Windows+Q，啟動快速助手並輸入安全性驗證碼，進而掌控受害者的電腦。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/QuickAssist_Oftg6QtZCO.png" style="width: 580px;" /></p> <p>大多數人可能對於快速助手這個名稱感到冒生，這項工具微軟在Windows 10導入，主要用途是提供技術人員能透過網際網路遠端協助用戶排除問題。微軟最早提供類似的功能是在Windows XP作業系統上，當時叫做「Windows遠端協助（Windows Remote Assistance）」。</p> <p>一旦使用者依照指示允許攻擊者進行控制，對方就會透過cURL命令下載一系列的批次檔或是ZIP壓縮檔，用途是傳送惡意酬載。研究人員看到攻擊者會使用QBot，但也有下載遠端管理工具的情況。</p> <p>研究人員指出，攻擊者運用QBot傳遞Cobalt Strike及其他惡意酬載，而遠端管理工具ScreenConnect則是用於進行橫向移動，至於NetSupport Manager，對方拿來安裝其他惡意程式，或是對受害電腦執行命令。在部分攻擊行動裡，駭客也會濫用OpenSSH來建立SSH隧道，以便持續在受害環境行動。</p> <p>攻擊者在結束通話後，會進一步進行偵察並橫向移動，然後使用PsExec於受害組織的網路環境部署勒索軟體並加密檔案。</p> </div></div></div>
2024/5/16 10:03作者周峻佑https://www.ithome.com.tw/news/162907
【臺灣資安大會現場直擊】美國資安顧問公司總裁：資安長的4大挑戰與建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>KLC Consulting顧問公司總裁暨資安長賴弘偉（Kyle Lai）在資安界工作25年多，不只在美國國防部和微軟、Zoom、波音、PwC等大型企業擔任資安顧問，也累積不少與財富500強企業資安長的交流經驗。他今日在臺灣資安大會上點出，資安長們目前面臨4大挑戰，包括領導決策、培養業務思維、風險管理，以及技術應用管理。</p> <p>因應這些挑戰，他建議，資安長在進行領導決策和培養業務思維時，首先要與董事會立場一致、理解公司業務，特別是財務術語，再來透過合作，建立企業內強健的信任關係，並提供前後輩指導資源。至於風險管理，則要先理解法規、建立詳細的事件回應計畫、供應鏈風險管理計畫，而因應技術應用管理挑戰，則要緊盯新技術發展、與業務單位和IT單位的新技術應用緊密合作，並與廠商諮詢新工具，來更好地評估應用風險。</p> <p><span style="font-size:24px;"><strong>資安長面臨的4大挑戰</strong></span></p> <p>賴弘偉先是秀出一份2024年資安現況報告（State of Security 2024），該報告由美國資安公司Splunk發布，統計近2年企業最常遭受的資安事件，像是資料外洩（52%）、業務相關的電子郵件詐騙（49%）、勒索軟體（48%）和DDoS攻擊（46%）等（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0385.JPG" /></p> <p>「這份清單非常有用，」他表示，不只列出10多項常見的資安事件，也顯示資安長們的工作重心—防範這些資安事件。當然，資安長的任務不只防範問題，還包括其他形形色色的工作內容，如事件回應、建置零信任架構、法遵法規遵從、滲透測試、第三方風險管理等林林總總數十項。</p> <p>其中，賴弘偉認為，資安長工作中所面臨的最大挑戰是領導決策、培養企業業務思維、風險管理，以及技術應用管理。</p> <p><span style="font-size:24px;"><strong>挑戰與建議1：領導決策</strong></span></p> <p>就第一個挑戰來說，「資安長是個企業管理職位，而非技術職位，因此資安長必須與董事會立場一致。」賴弘偉表示，資安長首先要理解公司的營運方式，也就是公司如何賺錢、靠哪些產品或服務獲利，以及公司有哪些客戶、如何與客戶溝通，此外也得掌握供應商資訊，如公司如何與供應商溝通等。「對公司業務有了基本理解，就能建立符合業務需求的安全流程，」他說。</p> <p>再來，資安長必須要與公司內部關鍵的管理人員，建立強健的關係和信任，比如法律顧問、人資部門、財務長等。尤其資安長想推動資安意識培養或新政策時，人資就能協助傳遞這些訊息，而財務長則能協助批准預算，甚至能提供資安長更多公司營運的資訊。另外，與關鍵業務部門的負責人建立關係也很重要，因為，當他們想引進新技術時，資安團隊就能在第一時間給予協助。賴弘偉也表示，資安長也要培訓自己的團隊，讓成員不要經常對業務單位說不，否則「久而久之，業務單位會繞過資安團隊，讓你的工作更難執行。」</p> <p>還有一種方法是建立前後輩指導資源，可細分為2種形式。一種是針對資安長們，如透過資安長社群資源，藉同儕交流來得到新狀況的解方；另一種是對資安團隊成員，提供指導資源，來讓團隊與時俱進成長。</p> <p>最後一種方法是建立資安和學習文化。賴弘偉以自己為例，他在輔導美國國防部時，必須讓7名成員在90天內考取特定的資安認證，否則就會被辭退。為實現這一點，他們抽出周末來讀書、學習，最終在期限內達標，團隊的學習文化也因此建立了起來。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B1%BA%E7%AD%96.JPG" /></p> <p><span style="font-size:24px;"><strong>挑戰與建議2：培養業務思維</strong></span></p> <p>資安長面臨的第2大挑戰是商業頭腦，也就是要培養企業業務思維。賴弘偉給出3個建議（如下圖），首先是了解財務知識，尤其資安長是企業管理職，若參與董事會會議，就得花時間討論公司業務與財務，因此得先了解財務知識如損益表、資產負債表等。另一個建議是與業務單位討論時，不要使用技術詞彙，尤其是在會議中，資安長只有幾分鐘能表達，因此應開門見山、進入正題，並以白話方式與其他單位溝通。最後一個建議是認清目前的狀態與期望目標，並規畫實現方式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%95%86%E5%8B%99.JPG" /></p> <p><span style="font-size:24px;"><strong>挑戰與建議3：風險管理</strong></span></p> <p>風險管理是資安長的另一大挑戰。賴弘偉點出，資安長可從理解法規、建立資安框架和風險註記機制、制定詳細的事件回應計畫，以及供應鏈風險管理等4點來因應（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%A2%A8%E9%9A%AA.JPG" /></p> <p>就理解法規來說，資安長得與法遵部門聯手，來找出影響網路安全的規範。再來，就建立資安框架而言，資安長可推動取得ISO 27001認證並遵循該方法，但若資安長任職的公司屬於嚴格監管產業，則建議使用美國NIST CSF網路安全框架。賴弘偉點出，該框架基於成熟度來劃分，且具備適當的信心結構，如此，資安長與高階管理層溝通時，使用該框架就會容易許多。</p> <p>至於事件回應計畫，則得涵蓋軟體、勒索軟體和供應鏈等類別，比如遭受勒索軟體攻擊時，由誰來決定支付贖金、支付與否的政策為何、最終由誰支付等回應計畫。</p> <p>最後，資安長得認識公司的供應商，「至少要了解保密性，比如公司與供應商交換哪些類型的資訊，以及可用性，比如供應商停工一周，公司能否承受此舉帶來的損失等問題。」賴弘偉表示，資安長可依此找出對企業至關重要的供應商，並派人去了解供應商的資安狀況，落實監管與合規。</p> <p><span style="font-size:24px;"><strong>挑戰與建議4：技術應用管理</strong></span></p> <p>對資安長來說，還有一項技術採用管理的挑戰。面對這個挑戰，資安長可密切關注新技術發展，比如近年興盛的生成式AI，再來是與業務和IT團隊緊密合作，尤其企業業務團隊一定會儘早嘗試這些新技術，因此資安長得在業務團隊嘗試之初，就加入業務與IT團隊的討論，及早辨識風險和漏洞。賴弘偉表示，若資安長在業務和IT團隊引入新技術後才參與其中，就會很難確定風險，並失去與開發該技術的供應商的談判優勢。</p> <p>最後，他建議，資安長可與供應商討論新工具，來因應新風險。甚至，和資安創投交換意見也會幫助，「因為他們對新創公司投資，勢必研究過特定領域和解決方案，」賴弘偉認為，這些資訊能幫助資安長更理解一家公司及其提出的解方。</p> <p>除了上述4大挑戰和建議，賴弘偉最後也補充，對資安長角色的監管法規將會出現，資安長也該向公司要求承保董監事及重要職員責任保險（D&O）來保護自己，如此就不必為每個決策過度提心吊膽。</p> <p></p> </div></div></div>
2024/5/15 22:34作者王若樸https://www.ithome.com.tw/news/162897
Google發布Chrome 125新版，一週內修補3個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月15日Google發布<a href="https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_15.html">Chrome 125新版本（125.0.6422.60、61）</a>，當中總共修補9個漏洞，值得留意的是高風險漏洞CVE-2024-4947，Google指出已被用於實際攻擊行動，而這是自5月9日以來，該公司修補的第3個零時差漏洞。</p> <p>這項漏洞存在於JavaScript引擎V8，為類型混淆弱點，由資安業者卡巴斯基13日通報。Google並未進一步說明細節，而對於提供研究人員的獎勵，他們表示有待進一步決定。</p> <p>一般來說，攻擊者往往會藉由讀取或寫入記憶體，觸發類型混淆弱點造成瀏覽器當掉，但他們也有可能利用這類漏洞來執行任意程式碼。</p> <p>此漏洞是今年Google修補的第7個被積極利用的Chrome零時差漏洞，而在不到一週前，該公司已為124版發布2次更新，修補2項零時差漏洞，分別是<a href="https://www.ithome.com.tw/news/162822">視覺呈現元件的記憶體釋放後又再存取使用（Use After Free）漏洞CVE-2024-4671</a>，以及<a href="https://www.ithome.com.tw/news/162872">V8記憶體越界寫入漏洞CVE-2024-4761</a>。</p> </div></div></div>
2024/5/16 08:59作者周峻佑https://www.ithome.com.tw/news/162904
資安十年
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是iThome舉辦臺灣資安大會的第十年，超過3百場資安演講，也聚集了超過500家資安品牌參展，參與人數從十年前的一千五百人，到今年多達二萬人來參與。臺灣資安大會也從一場在地的資安會議，現在已經成為亞洲最大規模的資安展，數百位來自二十多個國家的與會者到場參加，像韓國就有三十多家金融機構組成的金融資安觀摩團，包括韓國的重要銀行、信用卡公司、證券和保險業者，一起組團來臺灣參加臺灣資安大會。</p> <p>今年的臺灣資安大會在520新總統就職典禮前一周舉辦，但是，總統蔡英文仍舊趕在任期結束前，再次參加臺灣資安大會擔任第一天開場演講，這是她連續第六年參加，今年同樣帶了政府與資安相關各部會首長參加，甚至一一參觀臺灣資安館中48家在地業者的展示。</p> <p>臺灣在2018年提出了第一部資安戰略報告，將資安拉高到國安層級，積極推動資通安全基礎建設和全民資安各項作為。2021年時，蔡英文更在臺灣資安大會上宣布了「資安即國安2.0」戰略，從國家資安，政府資安的強化，進一步要發展臺灣自己的資安產業力，將資安產業視為國家六大核心戰略產業之一。</p> <p>3年來，政府投入了不少政策推動力道，像是透過產創條例的修法，將資安產品及服務等投資納入租稅優惠，來鼓勵企業提升資安投資及開發相關的防護技術。</p> <p>或像是這幾年也強化了對上市櫃公司資通安全管理的法遵要求，不只是提升各產業的整體資安能量，也創造了龐大的在地資安需求。國發基金更編列了三十億元，來打造臺灣的資安產業創業基地。資安人才成了科技人才中的當紅炸子雞，今年的臺灣資安館，也一口氣多了11家新參加的本土資安業者。蔡英文在今年臺灣資安大會開場演講強調， 2023年臺灣的資安產值已經超過740億元，穩定朝向2025年800億元產值的目標前進。</p> <p>不只蔡英文總統，下一任總統當選人賴清德也連續第三年來參加臺灣資安大會，他在資安大會第二天，率領新內閣多位資安相關主管來關心臺灣資安產業發展現況，像是新內閣中的行政院副院長兼資安長鄭麗君以及數位發展部部長黃彥男等。</p> <p>賴清德同樣強調「資安即國安」，他也承諾，未來的新政府，會延續蔡英文總統的政策，繼續推動國安的工作，並將繼續支持臺灣資安產業的發展，推動臺灣資安產業更上一層樓。</p> <p>從2015年到2024年，臺灣資安大會十年，正好見證也參與了臺灣資安發展最蓬勃的十年，但這十年也是資安挑戰和考驗變化最劇烈的十年，不斷的改變是IT技術的本質，資安的威脅和挑戰更是如此。2015年那年才新出現了6,487個新漏洞，但是到了2023年，新漏洞已經暴增到26,447個，今年更預估會超過3萬個新漏洞。</p> <p>奧義智慧科技創辦人邱銘彰（Birdman）回顧十年資安發展，資安發展從網路課題（以DoS攻擊為主），歷經了伺服器課題（以Web攻擊為主），前幾年轉而聚焦端點課題（以APT攻擊為主），而現在最新的資安課題則是Identity（身分）課題（以雲端攻擊為主）。「雲端時代的戰場，不再是端點，而是各式各樣的工作流程中的身分風險。」他強調。</p> <p>也因此，這十年來，企業的資安戰略已經出現了典範轉移，邱銘彰歸納，從過去以「了解敵人」的「什麼不能出現的Security典範」，現在轉而變成「了解自己」的「什麼不該出現的Safety典範」，許多不該出現的存取行為、操作記錄都成了判斷資安風險高低，即時告警和阻斷的關鍵。</p> <p>在新的資安典範中，企業得在自己熟悉的IT場域中，找出風險最高，最容易發生攻擊的弱點環節來防禦，邱銘彰比喻，就像是要找出城市中最容易發生車禍的高風險路口，將資源集中到這些路口來防範車禍發生。</p> <p>早在2014年，臺灣資安全就流傳Birdman的一句話，「臺灣雖然是一個礦產、石油等天然資源缺乏的國家，卻是一個擁有源源不絕惡意程式的天然資源國家。」他的這句話，點出了臺灣發展資安最獨特的國際級「優勢」，這個優勢正是過去十年，臺灣資安產業蓬勃發展的重要推力。</p> <p>但在下個十年，新的技術浪潮來襲，生成式AI浪潮掀起了全新的資安衝擊，邱銘彰觀察，多模態AI、合成資料（Synthetic Data）和因果推斷（Causal Inference），這將是資安結合AI後的三大未來趨勢，將會大大改變許多資安專業人員的工作樣貌。</p> <p>邱銘彰的預言，正是臺灣企業和臺灣資安產業，下個資安十年的第一道挑戰和課題。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4">資安十年</a></div><div class="field-item odd"><a href="/tags/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">臺灣資安大會</a></div></div></div>
2024/5/16 09:04作者王宏仁https://www.ithome.com.tw/voice/162905
Android新增失竊偵測、防護功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Google I/O 2024上，Google<a href="https://blog.google/products/android/android-theft-protection/" target="_blank">宣布新的Android失竊防護</a>（Android Theft Protection）功能，在手機失竊或被搶前、後及發生時都能發揮防護作用，防止手機被重設或竊取資料。</p> <p>新增的防護功能今年稍晚會透過Google Play服務，部署給Android 10以上的用戶，有些則只會提供給Android 15。</p> <p>最新的Android裝置失竊防護功能涵括失竊或被搶之前、剛發生及發生後等時期。為平時的Android裝置及資料加入防護功能，首先是回復出廠設定需輸入裝置或Google帳號密碼，防止手機被竊賊回復出廠設定後出售。其次是一項新功能，可在Android中建立私密空間以隱藏敏感App如網銀、電子錢包或醫療程式，並以另外的PIN鎖定，防止隱私或財務資料曝光。此外，一項進階驗證防護，旨在防止竊賊知道手機PIN後想變更PIN、存取Passkey或關閉原有的失竊防護，這功能一經啟動，會在偵測到手機位於陌生地方時，要求進行生物辨識（如指紋）驗證才能進行以上變更。</p> <p>在手機被搶時，新的失竊偵測鎖（Theft Detection Lock）可利用Google AI功能偵測有人從用戶手上搶走手機、試圖跑步或騎車、開車逃逸的動作。一旦根據感測器數據判斷為搶案，新功能會迅速鎖定手機。其次，若搶匪或小偷試圖關閉連線，或是多次驗證失敗，新的離線裝置鎖（Offline Device Lock）可自動鎖定手機螢幕。</p> <p>Android 5以上的裝置已有Find My Device，但現在起，關閉Find My Device或延後螢幕鎖定保護時間，都需要PIN、密碼或生物驗證（如指紋辨識），以增加歹徒破解難度。不過為防有用戶失去手機後忘記Google帳號密碼，而無法Find My Device遠端鎖定手機（或刪除資料），Google也為Find My Device加入遠端鎖（Remote Lock）新選項，允許以行動電話號碼及一道簡單的安全問題，從任何裝置鎖定螢幕。</p> <p>出廠重設防護更新、App私密空間會連同Android 15一起推出。而失竊偵測鎖、離線裝置鎖，以及遠端鎖則會在今年稍後，透過Google Play服務提供給Android 10以上的裝置。而根據地點判斷的進階驗證防護功能，則會在今年內部署給特定手機（至少包括最新款Pixel手機）。</p> </div></div></div>
2024/5/16 09:10作者林妍溱https://www.ithome.com.tw/news/162906
Adobe發布5月例行更新，修補PDF編輯工具、檢視器，以及FrameMaker、Animate等多項應用程式漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二Adobe發布5月份例行修補，針對旗下的Acrobat及Acrobat Reader、Illustrator、Substance 3D Painter、Substance 3D Designer、Animate、FrameMaker、Dreamweaver、Aero等多項產品發布更新，總共修補35個漏洞，這些漏洞多數同時影響Windows版及macOS版用戶，該公司表示，截至發布公告為止，他們尚未發現漏洞遭到利用的跡象。</p> <p>其中，最值得留意的是Acrobat及Acrobat Reader相關漏洞，<a href="https://helpx.adobe.com/security/products/acrobat/apsb24-29.html">該公司共修補12個漏洞</a>，為所有應用程式數量最多，而且，大多數被列為重大層級。</p> <p>這些被歸為重大等級的漏洞有9個，共通點是其影響層面，攻擊者若是利用就有可能執行任意程式碼。從漏洞的類型來看，主要與記憶體釋放後又再存取使用（Use After Free）有關，但也有輸入驗證不當、存取控制不當引發的漏洞。</p> <p>從修補的漏洞數量而言，數量第2多的是文件排版軟體FrameMaker，<a href="https://helpx.adobe.com/security/products/framemaker-publishing-server/apsb24-37.html">本次Adobe共緩解了8個漏洞</a>，其中有5個為重大層級，一旦遭到利用，攻擊者就有機會執行任意程式碼。這些漏洞涉及越界寫入、越界讀取、記憶體緩衝區溢位等情形。</p> <p>另一個公布漏洞數量也相當多的是向量圖形動畫軟體Animate，<a href="https://helpx.adobe.com/security/products/animate/apsb24-36.html">總共有7個漏洞</a>，當中有6個為可被用於執行任意程式碼的重大層級漏洞，這些漏洞發生的原因，包含了越界寫入、記憶體緩衝區溢位，以及空指標取消引用（NULL Pointer Dereference）的弱點。</p> </div></div></div>
2024/5/16 07:49作者周峻佑https://www.ithome.com.tw/news/162898
Google公布Firebase Genkit、多平臺開發環境Project IDX開放公測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>周三在Google I/O 2024上，除了公布最新Gemini AI模型外，Google也針對開發人員<a href="https://developers.googleblog.com/en/google-io-2024-recap-making-ai-accessible-and-helpful-for-every-developer/" target="_blank">提供了多項開發AI應用的新工具及服務</a>，包括多平臺開發環境Project IDX開放測試，以及開發框架Firebase Genkit等。</p> <p>Project IDX和Firebase Genkit皆為Google全堆疊多平臺開發工具的一部份。Project IDX首先於去年8月<a href="https://www.ithome.com.tw/news/158215" target="_blank">發表</a>，一開始Project IDX是以邀請制上線，僅提供少數用戶，現在則<a href="https://idx.google.com/?pli=1" target="_blank">以Beta版開放</a>更多開發人員使用，不再需要加入watch list。</p> <p>Project IDX是在Google Cloud上打造的Web開發服務，目的是開發人員打開瀏覽器就能開發程式，簡化開發、管理及部署完整堆疊的開發工作。Project IDX具備熱門框架及支援多種語言，內建和Chrome DevTools、Lighthouse與Cloud Run的整合，並有AI輔助開發與預覽、發布。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-google-Project%20IDX-4.png" style="width: 421px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-google-Project%20IDX-3.png" style="width: 600px;" /></p> <p>Google也為App雲端開發平臺Firebase加入開發AI App的新功能。其一為Genkit；Genkit是開源開發框架，可簡化AI助理的開發、部署和效能監控。Genkit以Vertex AI外掛形式提供，提供Firebase開發人員Gemini與Imagen 2模型，以及文字嵌入（text embeddings）等功能。現在Genkit支援Typescript/JavaScript，很快就會支援Go語言。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-Firebase%20Genkit-projecy%20IDX-google.png" style="width: 600px;" /></p> <p>Google也和Nvidia合作為Gemma模型最佳化產品效能，讓開發人員可在RTX GPU上以Genkit為工具，以開源模型Ollama或Google自己的Gemma為基礎模型開發App。</p> <p>Project IDX和Genkit之外，Google還宣布新版本開發語言工具Flutter 3.22及Dart 3.4，特色包括Flutter Impeller渲染引擎在Android效能提升30%、支援WebAssembly，以及可加速開發速度的實驗性語言功能Dart Macros等。</p> <p>對於Web開發專案，Google宣布將Gemini Nano整合到Chrome桌機版，以提供內建AI功能。這一方面是給一般用戶的新功能，但另一方面，對開發人員而言，可簡化Web程式部署，因為開發商不需下載或更新模型、解決儲存驅逐（storage eviction）、runtime記憶體不足等問題，也能利用硬體加速。</p> <p><a href="https://developers.googleblog.com/en/google-io-2024-recap-making-ai-accessible-and-helpful-for-every-developer/" target="_blank">其他開發工具的宣布</a>還包括裝置上基礎模型管理系統服務AlCore，目前已部署給Pixel 9 Pro及Samsung Galaxy S24系列，可方便在Android手機上執行Gemini Nano；Android Studio的AI程式撰寫助理Studio Bot推向200多國；以及Vertex AI的開源框架從原先LangChain，再擴增到LlamaIndex等。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/5/16 06:00作者林妍溱https://www.ithome.com.tw/news/162890
Meta的企業版臉書Facebook Workplace要在2026年退役了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.workplace.com/help/work/1167689491269151" target="_blank">Meta於本周公告</a>，旗下的企業版臉書Facebook Workplace將在2026年退役，目前用戶仍可正常使用，但到了2025年的9月1日起就只能讀取及下載資料，預計於2026年6月1日正式關閉。</p> <p>臉書是在2016年10月<a href="https://www.ithome.com.tw/news/108955" target="_blank">發表</a>Facebook Workplace，這是供企業使用的封閉版臉書，除了具備基本的臉書交流及社團功能之外，也嵌入了企業管理能力。</p> <p>Meta僅說關閉Facebook Workplace是個艱難的決定，並未說明原因。不過，Meta向《<a href="https://www.pymnts.com/meta/2024/meta-to-phase-out-workplace-over-next-2-years/" target="_blank">PYMNTS</a>》透露，讓Workplace退役可讓Meta專注於打造人工智慧及元宇宙技術，相信這些技術將從根本上重塑人們的工作方式，在關閉之前，Meta將協助客戶轉移到Zoom的Workvivo產品，而這也是Meta唯一的首選遷移合作夥伴。</p> <p>《TechCruch》則引述消息來源報導，這些年來Workplace受到許多挑戰，不管是競爭對手Slack、Teams的出現，或是關鍵員工的離去，也未從COVID-19疫情中復原。</p> <p>最近一次Meta公布其Workplace用戶數是在2021年5月，當時Workplace的付費訂閱用戶數達到了700萬名，且年成長率高達40%。</p> <p>為了安撫Workplace用戶，從今年9月1日到明年8月31日的Workplace服務將提供50%的折扣，到了明年9月，只能存取及下載，而無法上傳資料的階段，便不再向客戶收費。</p> </div></div></div>
2024/5/15 16:01作者陳曉莉https://www.ithome.com.tw/news/162892
OpenAI共同創辦人Ilya Sutskever離職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2015年與Sam Altman等人共同創辦OpenAI，也是OpenAI科學長的Ilya Sutskever，昨晚（5/14）<a href="https://twitter.com/ilyasut/status/1790517455628198322" target="_blank">透過X宣布</a>將離開OpenAI，同一天<a href="https://twitter.com/sama/status/1790518031640347056" target="_blank">Altman也透過X</a>表達他對Sutskever的感謝，同時宣布接任OpenAI科學長的人選是Jakub Pachocki。</p> <p>在OpenAI董事會於去年11月17日<a href="https://www.ithome.com.tw/news/159901" target="_blank">開除Altman</a>時，身為OpenAI董事的Sutskever也投下了贊成票，據稱雙方是對AI的安全性看法產生了分歧，兩天後<a href="https://www.ithome.com.tw/news/159922" target="_blank">微軟就宣布</a>要成立AI新創並交由被免職的Altman來管理，並有超過9成的OpenAI員工誓言<a href="https://www.ithome.com.tw/news/159926" target="_blank">要追隨Altman</a>，但不到一周的時間，Altman便<a href="https://www.ithome.com.tw/news/159962" target="_blank">回鍋OpenAI</a>。</p> <p>在此一事件之後，Sutskever便離開了OpenAI董事會，且根據《<a href="https://www.nytimes.com/2024/05/14/technology/ilya-sutskever-leaving-openai.html" target="_blank">紐約時報</a>》（New York Times）的報導，Sutskever雖然仍是OpenAI的員工，但再也沒有重返工作崗位。</p> <p>現年38歲的Sutskever同時擁有俄羅斯、以色列與加拿大的公民身分，為多倫多大學計算機科學的哲學博士。Sutskever表示，相信OpenAI在Altman等人的領導下會建構既安全又有益的通用人工智慧，而接下來他將從事對他個人非常有意義的專案。</p> <p>至於Altman除了感謝Sutskever的貢獻外，亦描述Sutskever是個有才華、具遠見、溫暖又有同情心的人，並專注於替人類實現最美好的未來。</p> <p>新任的OpenAI科學長Pachocki之前為該公司的研究總監，曾領導GPT-4和OpenAI Five的開發，以及大規模強化學習與深度學習的最佳化，擁有卡內基梅隆大學理論計算機科學的博士學位。</p> </div></div></div>
2024/5/15 15:10作者陳曉莉https://www.ithome.com.tw/news/162887
殭屍網路Ebury從2009年出現，迄今已感染40萬臺Linux主機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者ESET針對<a href="https://www.welivesecurity.com/en/eset-research/ebury-alive-unseen-400k-linux-servers-compromised-cryptotheft-financial-gain/">名為Ebury的殭屍網路病毒攻擊行動提出警告</a>，指出該惡意程式從2009年開始活動，迄今已感染約40萬臺Linux主機，截至2023年底，仍有超過10萬臺主機遭到控制。</p> <p>研究人員針對近期的攻擊行動進行分析，指出駭客偏好先針對伺服器代管服務業者下手，然後向這些廠商租用虛擬機器的用戶發動供應鏈攻擊。</p> <p>攻擊者最初入侵伺服器的管道，是透過外流的帳密資料進行帳號填充攻擊得逞。一旦成功存取目標主機，他們的惡意程式就會從wtmp、known_hosts搜括SSH連線清單，並竊取其中的SSH金鑰，然後用於試圖入侵其他伺服器；此外，他們也發現駭客利用伺服器上軟體的已知漏洞，進一步提升權限的情況。</p> <p>接著，這些駭客透過位址解析協定（ARP），將目標伺服器的SSH流量重新導向至他們控制的伺服器，藉此進一步在使用者登入的過程截取帳密。</p> <p>值得留意的是，假若目標伺服器被用於代管加密貨幣錢包，對方還會透過前述的帳密資料來洗劫加密貨幣。</p> <p>研究人員指出，他們看到攻擊者也以此殭屍網路病毒散布其他惡意程式模組，這些涵蓋了能將受害伺服器充當代理伺服器使用的HelimodProxy、重新導向流量的HelimodRedirect、側錄網站表單內容的HelimodSteal、將網站用戶重新導向惡意URL的KernelRedirect，以及攔截HTTP請求竊取其中機密內容的FrizzySteal。</p> </div></div></div>
2024/5/15 13:28作者周峻佑https://www.ithome.com.tw/news/162878
【資安日報】5月15日，微軟發布5月份例行更新，公告3個零時差漏洞受到各界關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨日（5月14日）微軟發布本月的例行更新，總共修補60個漏洞，相較於<a href="https://www.ithome.com.tw/news/162224#patch-tuesday">上個月達到149個</a>，這次的數量僅約上個月的4成。</p> <p>僅管這次公布的漏洞數量大幅減少，但值得留意的是，這次有3個零時差漏洞，其中又以桌面視窗管理員（DWM）核心程式庫權限提升漏洞CVE-2024-30051最值得留意，因為有多組研究人員向微軟通報，並指出他們看到駭客將其用於攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162870"><strong style="font-size: 22px;">臺灣飽受中國駭客網路攻擊，Google在臺揭露最新一波輿論影響行動，目的是干擾臺灣總統大選</strong></a></p> <p></p> <p>近年來，無所不在的駭客網路攻擊，已讓傳統網路安全攻防有了進一步的延伸，擴展至認知安全的混合戰，在2024 CYBERSEC臺灣資安大會上，長年追蹤國家級駭客攻擊的Google Cloud Mandiant，不僅向所有臺灣與會者介紹他們觀察到的攻擊活動，並說明了臺灣所遭遇的真實現況。</p> <p>Google Cloud Mandiant Intelligence主席Sandra Joyce指出，他們從2019年開始密切追蹤的中國駭客組織Dragonbridge，當時該組織的鎖定目標是，污衊香港抗議者的名譽，但如今也針對臺灣而來。她首次揭露該組織的最新一波活動，是圍繞著2024年1月我國的總統大選而來。</p> <p>她表示，Dragonbridge這次散布的內容有幾個主軸，包括：試圖汙名化一些公眾人物，指控美國與臺灣串通灌票等，還有一些活動是針對臺灣年輕人而來，鼓勵他們投票的同時也夾帶批評特定政黨，以及許許多多不同議題。該組織針對臺灣從事相關攻擊，已經至少5年。</p> <p><a href="https://www.ithome.com.tw/news/162878"><strong style="font-size: 22px;">殭屍網路Ebury從2009年出現，迄今已感染40萬臺Linux主機</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure-2.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-2.jpeg" style="width: 300px; float: right;" /></a></p> <p>資安業者ESET針對名為Ebury的殭屍網路病毒攻擊行動提出警告，指出該惡意程式從2009年開始活動，迄今已感染約40萬臺Linux主機，截至2023年底，仍有超過10萬臺主機遭到控制。</p> <p>研究人員針對近期的攻擊行動進行分析，指出駭客偏好先針對伺服器代管服務業者下手，然後向這些廠商租用虛擬機器的用戶發動供應鏈攻擊。</p> <p>攻擊者最初入侵伺服器的管道，是透過外流的帳密資料進行帳號填充攻擊得逞。一旦成功存取目標主機，他們的惡意程式就會從wtmp、known_hosts搜括SSH連線清單，並竊取其中的SSH金鑰，然後用於試圖入侵其他伺服器；此外，他們也發現駭客利用伺服器上軟體的已知漏洞，進一步提升權限的情況。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/fcc-reveals-royal-tiger-its-first-tagged-robocall-threat-actor/"><strong style="font-size: 20px;">美國揭露機器人電話駭客組織Royal Tiger</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162875"><strong style="font-size: 22px;">微軟發布5月份例行更新，修補3個零時差漏洞</strong></a></p> <p>5月14日微軟發布本月份例行更新（Patch Tuesday），總共修補60個漏洞，包含17個權限提升漏洞、2個安全功能繞過漏洞、27個遠端程式碼執行（RCE）漏洞、7個資訊洩露漏洞、3個阻斷服務（DoS）漏洞，以及4個可被用於欺騙的漏洞。</p> <p>這些漏洞當中，最受到關注的是3個零時差漏洞，根據CVSS風險評分的高低，依序是：MSHTML平臺安全功能繞過漏洞CVE-2024-30040、桌面視窗管理員（DWM）核心程式庫權限提升漏洞CVE-2024-30051，以及Visual Studio阻斷服務漏洞CVE-2024-30046。</p> <p>其中，CVE-2024-30040、CVE-2024-30051已被攻擊者積極用於攻擊行動，美國網路安全暨基礎設施安全局（CISA）同日將其列入已被利用的漏洞名冊（KEV），要求聯邦機構在6月4日前完成修補。而CVE-2024-30046的部分，則是在微軟發布資安公告之前，就被公開揭露。</p> <p><a href="https://www.ithome.com.tw/news/162872"><strong style="font-size: 22px;">Google修補Chrome漏洞CVE-2024-4761，與上一個零時差漏洞僅相隔不到一週</strong></a></p> <p>5月13日Google發布電腦版Chrome更新124.0.6367.207、208，該公司表示，這個版本主要修補高風險漏洞CVE-2024-4761，這項漏洞存在於JavaScript引擎V8，為記憶體越界寫入的問題，由不具名的研究人員在9日通報，而這是今年Google修補的第6個Chrome零時差漏洞。</p> <p>該公司表示，他們已經得知漏洞被用於攻擊行動的情況。不過，他們這次依然沒有透露進一步的細節，也沒有透露頒發通報者的獎勵金額。值得留意的是，Google才在上週發布124.0.6367.201、202版Chrome，修補另一個也被用於攻擊行動的零時差漏洞CVE-2024-4671，兩次更新間隔僅有4天，皆由不具名的研究人員通報，這也突顯針對瀏覽器弱點而來的威脅加劇的現象。</p> <p><a href="https://www.ithome.com.tw/news/162876"><strong style="font-size: 22px;">開源網路效能及配置管理框架Cacti存在重大漏洞，若不修補有可能被攻擊者用於執行任意程式碼</strong></a></p> <p>5月12日開源網路效能及配置管理框架Cacti發布1.2.27版，當中總共修補9個漏洞，其中最值得留意的是被列為重大等級的CVE-2024-29895、CVE-2024-25641。</p> <p>其中，CVE-2024-29895為命令注入漏洞，攻擊者可在Cacti伺服器的PHP元件啟用register_argc_argv功能的情況下，對伺服器下達任意命令，過程中無須通過身分驗證，CVSS風險評為10分。</p> <p>另一個重大層級的漏洞CVE-2024-25641，此為任意檔案寫入漏洞，存在於套件匯入功能，一旦攻擊者通過身分驗證，且取得匯入範本的權限，就有機會在網頁伺服器執行任意PHP程式碼，從而發動遠端程式碼執行（RCE）攻擊，CVSS風險評分為9.1。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.securityweek.com/sap-patches-critical-vulnerabilities-in-cx-commerce-netweaver/"><strong style="font-size: 20px;">SAP修補CX Commerce、NetWeaver重大漏洞</strong></a></p> <p></p> <p>◆<a href="https://www.securityweek.com/adobe-patches-critical-flaws-in-reader-acrobat/"><strong style="font-size: 20px;">Adobe發布5月例行更新，修補PDF編輯工具、檢視器重大漏洞</strong></a></p> <p></p> <p>◆<a href="https://ssd-disclosure.com/ssd-advisory-d-link-dir-x4860-security-vulnerabilities/"><strong style="font-size: 20px;">研究人員公布D-Link EXO AX4800路由器零時差漏洞的概念性驗證程式碼</strong></a></p> <p></p> <p>◆<a href="https://usa.kaspersky.com/about/press-releases/2024_kaspersky-identifies-significant-security-risks-in-widely-used-cinterion-modems"><strong style="font-size: 20px;">Cinterion工控數據機存在漏洞，攻擊者有機會透過簡訊執行任意程式碼</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162862"><strong style="font-size: 22px;">蔡英文總統連續6年親臨臺灣資安大會，臺灣資安產值去年突破740億元</strong></a></p> <p>CYBERSEC 2024臺灣資安大會於5月14日於南港展覽館舉行，總統蔡英文率領政府與資安相關各部會首長，親臨會場並進行開幕致詞，她已連續6年到場參與這場亞太地區規模最大的資安盛會。</p> <p>蔡英文致詞時表示，過去幾年臺灣持續展現並發展資安量能，除了成立數位發展部、帶動國家數位轉型外，也集結各部會力量，共同推動六大核心戰略產業，全力支持臺灣的資安產業發展，要讓臺灣能夠跟上全球數位轉型浪潮，並在全球供應鏈中，持續保有關鍵地位。在相關政策帶動下，2023年臺灣的資安產值已經超過740億元，穩定朝向2025年800億元產值的目標前進。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162861"><strong>【5月14日】芬蘭首都證實資料外洩事故，起因是教育部門的遠端存取伺服器未修補已知漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162840"><strong>【5月13日】韓國警方證實法院大量民眾個資遭北韓駭客竊取，近1 TB資料流出但僅有少部分能確認受害者身分</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162815"><strong>【5月10日】CYBERSEC 2024臺灣資安大會下周舉行，逾300場專業資安演講與超大規模資安品牌展覽即將登場</strong></a></p> </div></div></div>
2024/5/15 13:46作者周峻佑https://www.ithome.com.tw/news/162880
【臺灣資安大會直擊】汽車關鍵核心的ADAS系統成為駭客鎖定目標，如何避免未來自駕車遭駭而失控將是更大的挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臺灣資安大會第二天主題演講中，臺上的Vic One威脅研究副總張裕敏借用電影《斷訊》的場景，描述全城市訊號中斷時，特斯拉車上無法收到自駕車軟體的控制訊號，結果許多特斯拉汽車相互追撞，塞滿了所有道路，「同樣的場景，如果將來被駭客操控，每輛車子都能遙控，情況可能差不多。」他這樣說道。</p> <p>張裕敏指出，對駭客而言，城市中擁有許多車輛，每輛車子都可能被遙控，駭客入侵後可能對整座城市發起勒索，或對車主進行勒索，若被勒索者不從，駭客可能將整座城市的車輛引導撞成一團，進而引起大規模的恐慌。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240515_030502803.jpeg" /></p> <p>這段描述了大規模自駕車遭駭的資安場景，雖然只是想像中的未來情景，但也反映了當自駕車遭到駭客入侵後失控可能帶來的後果，不僅會影響行車安全，甚至嚴重可能影響整個城市的安全。</p> <p>身為趨勢科技資安老將，張裕敏過去在APT攻擊、駭客攻防與駭客手法趨勢研究方面很有經驗，2022年趨勢科技成立汽車資安新創Vic One，張裕敏在該公司擔任汽車網路威脅研究副總，率領團隊投入汽車領域資安研究。</p> <p>儘管，目前臺灣自駕車發展仍處在等級2，也就是能夠做到車道維持、自動停車、自動跟車等功能，但是在美國，已經開放等級3的自駕車在路上行駛，可以在大部分情況下自動駕駛。張裕敏表示，最快今年底就會有等級4的汽車就會推出，明年甚至可以購買到等級4或5的車款。</p> <p>他觀察到，隨著越來越多高度自動化的汽車上路，也就越容易出現交通大打結的情況。例如，舊金山去年到今年就發生了10多起因為自駕車引起的交通堵塞事件。</p> <p>不光是自駕車有資安風險，隨汽車越來越依賴軟體，成為駭客鎖定的目標，汽車資安防護也成了重要的議題。尤其是汽車關鍵核心的先進輔助駕駛（ADAS）系統，需要更高的資安防護，才能降低被駭的風險。</p> <p>一般而言，ADAS的重要核心元件，包括了感測器和攝影機、雷達和光學雷達，運算平臺和演算法。當駭客入侵了這些核心元件，也就可能從遠端操控汽車ADAS的功能，造成嚴重的資安危機。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240515_030803873.jpeg" /></p> <h3>鎖定汽車ADAS攻擊的三大類型</h3> <p>張裕敏統計歷年汽車資安事件，從2005迄今發生300多起因為駭客攻擊產生的汽車資安事件，可以進一步分析駭客攻擊手法，如何入侵車輛，達到遠端攻擊的目標。</p> <p>張裕敏由此整理出了數十種鎖定汽車ADAS攻擊的三大類型，分別是運算平臺的威脅、感測器的威脅，以及演算法的威脅，總共涵蓋了28種攻擊樣態。</p> <p>在ADAS的安全威脅樹狀圖中，每一個樹狀結構都代表一種攻擊。其中，感測器的威脅包括多種攻擊方式。例如，駭客可能對毫米波雷達進行干擾攻擊，對超音波雷達則可能發動干擾攻擊和欺騙攻擊。對於高畫質攝影機，可能採取致盲攻擊、光線干擾和實體阻檔等手段。而在光達的利用方面，則可能採取中繼攻擊，電池干擾、遮敝攻擊等，以及GPS和V2X系統，都可能成為攻擊的目標。</p> <p>在運算平臺的威脅方面，不僅包含了IT領域常見的軟體和作業系統，還增加晶片項目，包括了偵錯埠資安、日誌存取權限、敏感性資料檢查、私鑰管理、晶片連接服務、晶片支援服務、韌體逆向保護、晶片封裝測試、加密演算法驗證等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240515_031252995.jpg" style="width: 600px; height: 338px;" /></p> <p>在演算法的威脅方面，則以程式碼洩漏和演算法邏輯異常為主。舉例來說，演算法邏輯錯誤中，包含了多種可能錯誤造成演算法邏輯異常，例如邊界條件錯誤、狀態管理錯誤、不一致的資料處理、演算法複雜度問題、演算法存在死鎖或競爭條件，以及異常處理不當等。</p> <p>對ADAS與自動動駕駛的安全防護，各國也有提出相應安全規範要求車廠落實，如美國SAE的J3016，歐洲UN/ECE 157等。</p> <p>面對汽車資安的威脅，張裕敏提到一些應對措施，除了持續收集情資預作風險控管之外，車廠需要不斷加強ADAS在行車安全的提升，同時，面對網路攻擊的風險日益增加，車輛製造商必須投資強化安全措施，防範潛在的威脅，另外，對於車主來說，應該慎選車輛配件並確保其具有認證，以增加車輛的安全性。</p> </div></div></div>
2024/5/15 13:57作者余至浩https://www.ithome.com.tw/news/162879
Google I/O：Gemini模型家族新成員Gemini 1.5 Flash及第六代雲端TPU報到
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於周二（5/14）舉行的Google I/O開發者大會上，<a href="https://blog.google/technology/developers/google-io-2024-collection/" target="_blank">發表了</a>十多項全新或改善的服務與產品，幾乎全都圍繞著人工智慧（AI），包括推出新的文字生成影片模型<a href="https://blog.google/technology/ai/google-generative-ai-veo-imagen-3/#veo" target="_blank">Veo</a>，第六代的Google Cloud TPU──<a href="https://cloud.google.com/blog/products/compute/introducing-trillium-6th-gen-tpus/" target="_blank">Trillium</a>，開源視覺語言模型<a href="https://developers.googleblog.com/en/gemma-family-and-toolkit-expansion-io-2024/" target="_blank">PaliGemma</a>，於Gemini模型家族增添<a href="https://blog.google/technology/ai/google-gemini-update-flash-ai-assistant-io-2024/" target="_blank">Gemini 1.5 Flash</a>，以及於搜尋中整合<a href="https://blog.google/products/search/generative-ai-google-search-may-2024/" target="_blank">AI Overviews</a>，於Google Photo中嵌入<a href="https://blog.google/products/photos/ask-photos-google-io-2024/" target="_blank">Ask Photos with Gemini</a>等。</p> <p><span style="font-size:28px;"><strong>Trillium TPU峰值運算性能增加了4.7倍，效率提升67%</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-google%20io%2024-Trillium%20TPU.jpg" style="width: 600px;" /></p> <p>TPU的全名為張量處理單元（Tensor Processing Unit），是Google專為神經網路機器學習所設計的特殊應用積體電路（ASIC），Google自2015年便開始於內部使用TPU，一直到2018才開始將其授權給第三方使用。</p> <p>Google積極開發TPU，上一版的Cloud TPU v5p甫於去年12月<a href="https://www.ithome.com.tw/news/160206" target="_blank">發表</a>，第六代的Trillium在高頻寬記憶體（HBM）的容量與頻寬都提高了一倍，晶片互連頻寬也提高一倍，同時它配備第三代、專門用來處理高階排序及推薦任務的SparseCore加速器；且其每個核心的峰值運算性能比TPU v5p增加了4.7倍，效率亦比TPU v5p多出了67%。</p> <p>此外，Trillium在單一的Pod中最多可擴展到256個TPU，並可藉由多層技術（Multislice Technology）及Titanium智慧處理單元拓展至數百個Pod，可造就連結數十萬個晶片的超級電腦架構，以支援高性能運算任務。</p> <p>想當然爾，Trillium TPU將支撐下一波AI模型的訓練，除了Google DeepMind將用它來訓練與服務未來的Gemini模型之外，也有其它業者已計畫利用Trillium TPU來訓練模型。同時Trillium TPU也會成為Google Cloud AI Hypercomputer超級電腦服務的基礎。</p> <p><span style="font-size:28px;"><strong>Gemini模型家族加入新成員Gemini 1.5 Flash</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-google%20io%2024-gemini%201_5%20flash.jpg" style="width: 600px;" /></strong></span></p> <p>原本Google的Gemini模型家族有3種版本，分別是可於手機上運作的Gemini Nano、通用版的Gemini Pro，以及最強大的Gemini Ultra，但本周添了新血Gemini Flash，由於它奠基在Gemini 1.5上，目前稱為Gemini 1.5 Flash。</p> <p>根據Google的解釋，Gemini 1.5 Flash是利用Gemini 1.5 Pro蒸餾而成，屬於Gemini 1.5 Pro的精簡版，它將大模型的基本知識與技能轉移到更小卻更高效的模型中。它們同樣支援100萬個Token的脈絡，但Gemini 1.5 Flash特別針對大規模容量及大規模的高頻率任務進行了最佳化，它是速度最快的Gemini API版本。</p> <p>儘管它僅是輕量級的Gemini 1.5 Pro，但Google強調它對於大量資訊有強大的多模態推理能力，擅長摘要、聊天應用程式、圖像、影像字幕、從大量文字及表格中汲取資料等。</p> <p>Gemini 1.5 Flash每100萬個Token的輸入費用為0.35美元，每100萬個Token的輸出費用則是0.53美元，比Gemini 1.5 Pro分別是3.5美元及1.75美元的價格便宜許多。</p> <p><span style="font-size:28px;"><strong>影片生成模型Veo報到</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-VideoFX%20powered%20by%20Veo%20video%20generation%20model-google%20deepmind.png" style="width: 600px;" /></p> <p>在推出了圖像生成模型Imagen及音樂生成模型<a href="https://www.ithome.com.tw/news/159923" target="_blank">Lyria</a>之後，由Google所開發的影片生成模型Veo也在本周出爐。</p> <p>根據<a href="https://deepmind.google/technologies/veo/" target="_blank">DeepMind的說明</a>，Veo可用來生成1080p且可超過1分鐘的高解析度影片，並支援不同電影與視覺風格。它可準確捕捉使用者所輸入文字的細微差別及語氣，還能理解各種電影效果的提示，例如延遲攝影或空拍。</p> <p>Veo將使每個人都能製作影片，不管是經驗豐富的製作人、企圖分享知識的教育家，或只是充滿抱負的創作者。</p> <p>Veo的部分功能將在未來幾周透過Google實驗室中的新工具VideoFX，遞送給部分創作者，目前屬封閉預覽階段，得先提出申請。</p> <p><span style="font-size:28px;"><strong>視覺語言模型PaliGemma可將視覺資訊轉為文字</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-google%20io-paligemma.jpg" style="width: 600px;" /></p> <p>本周開源的視覺語言模型（Vision-Language Model，VLM）PaliGemma則是奠基在Google的開源語言模型<a href="https://www.ithome.com.tw/news/161409" target="_blank">Gemma</a>及視覺模型SigLIP之上，它是個多模態模型，可輸入圖像或文字，並生成文字，支援多種視覺語言任務，例如圖像的字幕、短影片的字幕、視覺問答、閱讀文字、檢測物件，或是物件分割等。</p> <p>PaliGemma是個小型語言模型，意謂著它不需要大量的記憶體或處理能力即可執行，適用於個人電腦、智慧型手機或物聯網裝置等資源受限的設備，可用來啟用更多的搜尋能力，或是幫助視障人士理解周圍的世界。</p> <p><span style="font-size:28px;"><strong>將AI整合至搜尋的AI Overviews與Ask Photos with Gemini</strong></span></p> <p>AI技術的發展最終還是要回歸到應用上。即日起，Google將在美國市場全面推出AI Overviews，這是Google<a href="https://www.ithome.com.tw/news/157080" target="_blank">在去年5月發表</a>AI搜尋測試平臺Search Labs時所實驗的服務之一，如今將它正名為AI Overviews。</p> <p>AI Overviews奠基在Gemini模型上，由於還在發展中，目前並沒有精確的定義，大抵是利用AI來協助搜尋用戶找到更完整、更有組織的答案。例如當使用者搜尋「閃電與打雷的連結」時，AI Overviews就會跳出一篇完整的答案，使用者可選擇簡化該答案，或是要求它更細緻地說明解答。</p> <p>此外，Google也打算進一步強化AI Overviews的能力，藉由Gemini模型的多步驟推論功能，協助解答使用者的複雜問題，認為與其將問題分成不同的搜尋，不如一次就提出複雜的問題，例如要找一家熱門、位置好、交通方便而且有折扣的瑜珈教室，只要交給AI Overviews就能直接找出答案。該功能隨後將透過Search Labs開放預覽。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-google%20io%2024-ai%20overview-2.png" style="width: 497px;" /></p> <p>Ask Photos with Gemini則是將多模態模型應用在Google Photos的AI服務，亦即幫使用者於Google Photos中找到所需的照片，簡單的像是「秀出我去過的國家公園的最佳照片。」還能進一步詢問「我去年在哪裡露營？」或是「我的禮券何時會過期？」</p> <p>Google計畫近日就會開始部署Ask Photos with Gemini，這是項實驗性功能，不確定能否成為正式功能。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/5/15 14:03作者陳曉莉https://www.ithome.com.tw/news/162877
微軟發布5月份例行更新，修補3個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月14日<a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-May">微軟發布本月份例行更新</a>（Patch Tuesday），總共修補60個漏洞，<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-may-2024-patch-tuesday-fixes-3-zero-days-61-flaws/">包含</a>17個權限提升漏洞、2個安全功能繞過漏洞、27個遠端程式碼執行（RCE）漏洞、7個資訊洩露漏洞、3個阻斷服務（DoS）漏洞，以及4個可被用於欺騙的漏洞。</p> <p>這些漏洞當中，最受到關注的是3個零時差漏洞，根據CVSS風險評分的高低，依序是：MSHTML平臺安全功能繞過漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-30040">CVE-2024-30040</a>、桌面視窗管理員（DWM）核心程式庫權限提升漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-30051">CVE-2024-30051</a>，以及Visual Studio阻斷服務漏洞CVE-2024-30046。</p> <p>其中，CVE-2024-30040、CVE-2024-30051已被攻擊者積極用於攻擊行動，<a href="https://www.cisa.gov/news-events/alerts/2024/05/14/cisa-adds-two-known-exploited-vulnerabilities-catalog">美國網路安全暨基礎設施安全局（CISA）同日將其列入已被利用的漏洞名冊（KEV）</a>，要求聯邦機構在6月4日前完成修補。而CVE-2024-30046的部分，則是在微軟發布資安公告之前，就被公開揭露。</p> <p>本次公布的零時差漏洞裡，最受到研究人員關注的是CVE-2024-30051，若是攻擊者成功觸發漏洞，就有機會得到SYSTEM權限，CVSS風險評分為7.8。通報漏洞的資安業者卡巴斯基表示，<a href="https://securelist.com/cve-2024-30051/112618/">他們看到有多組人馬用於攻擊行動</a>，目的是要散布包含QBot在內的多款惡意程式。Google、中國資安業者安恒信息（DBAPPSecurity）也向微軟通報漏洞，並指出他們看到相關攻擊行動。</p> <p>另一個也被用於攻擊行動的CVE-2024-30040能繞過Microsoft 365及Office的物件連結與嵌入（OLE）防護機制，攻擊者一旦成功利用，可藉由引誘使用者下載、開啟惡意檔案，而有機會獲得相關權限並執行任意程式碼，CVSS風險評為8.8分。</p> <p>至於CVE-2024-30046，<a href="http://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2024-30046">微軟在公告中指出</a>，攻擊者若要利用該漏洞，需要進行高度複雜的攻擊，他們指出攻擊者需要透過發送持續性或間歇性的資料，耗費時間反覆嘗試利用，在贏得競爭條件的情況下才有機會成功利用，CVSS風險評分為5.9，該公司為Visual Studio 2022提供修補程式。</p> <p>值得留意的是，由於大部分的資料傳輸都是連續或間歇性進行，且微軟並未公布其他細節，僅透露他們發布公告前漏洞就被揭露，因此實際帶來的影響程度有待觀察。</p> <p>附帶一提的是，Zero Day Initiative（ZDI）與Rapid7皆提出呼籲，應特別留意本次公布的SharePoint Server漏洞。</p> <p>ZDI針對<a href="https://www.zerodayinitiative.com/blog/2024/5/14/the-may-2024-security-update-review">他們通報的資訊洩漏漏洞CVE-2024-30043提出警告</a>，此為SharePoint Server 2019的XML外部實體注入（XXE）漏洞，雖然CVSS風險評分僅有6.5，但通過身分驗證的攻擊者有機會利用SharePoint Farm服務帳號的高權限，存取本機檔案，還有可能進行NLTM重放（NTLM Relay）攻擊，或是發動伺服器請求偽造（SSRF）攻擊。</p> <p>Rapid7則是針對<a href="https://www.rapid7.com/blog/post/2024/05/14/patch-tuesday-may-2024/">微軟列為重大等級的RCE漏洞CVE-2024-30044提出警告</a>，因為該漏洞具備較低的利用需求，攻擊者僅需取得低權限就有機會利用。<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-30044">微軟也在資安公告中指出</a>，這項漏洞接下來被利用的可能性很高。</p> </div></div></div>
2024/5/15 12:26作者周峻佑https://www.ithome.com.tw/news/162875
開源網路效能及配置管理框架Cacti存在重大漏洞，若不修補有可能被攻擊者用於執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月12日開源網路效能及配置管理框架Cacti發布1.2.27版，當中總共修補9個漏洞，其中最值得留意的是被列為重大等級的<a href="https://github.com/Cacti/cacti/security/advisories/GHSA-cx8g-hvq8-p2rv">CVE-2024-29895</a>、<a href="https://github.com/Cacti/cacti/security/advisories/GHSA-vjph-r677-6pcc">CVE-2024-25641</a>。</p> <p>其中，CVE-2024-29895為命令注入漏洞，攻擊者可在Cacti伺服器的PHP元件啟用register_argc_argv功能的情況下，對伺服器下達任意命令，過程中無須通過身分驗證，CVSS風險評為10分。</p> <p>另一個重大層級的漏洞CVE-2024-25641，此為任意檔案寫入漏洞，存在於套件匯入功能，一旦攻擊者通過身分驗證，且取得匯入範本的權限，就有機會在網頁伺服器執行任意PHP程式碼，從而發動遠端程式碼執行（RCE）攻擊，CVSS風險評分為9.1。</p> <p>開發團隊也針對這次修補的漏洞提供概念性驗證（PoC），並呼籲用戶儘速套用新版程式。</p> </div></div></div>
2024/5/15 12:54作者周峻佑https://www.ithome.com.tw/news/162876
賴清德準總統公開承諾，新政府仍將繼續支持資安產業發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>下週一（520）即是臺灣第十六任、新任總統副總統就職典禮，值此繁忙之際，現任副總統賴清德、也是下一任總統當選人百忙之中，連續第三年蒞臨臺灣資安大會。賴清德此次並率領未來新內閣中與資安發展相關的主管一同到場，包括：現任青平臺基金會董事長、候任行政院副院長兼資安長鄭麗君，中研院資創中心研究員、候任國安會諮詢委員李育杰，以及中研院資創中心特聘研究員、候任數位發展部部長黃彥男等人，共同關心臺灣資安產業的發展。</p> <p>賴清德蒞臨臺灣資安大會並致開幕詞表示，「資安即國安」，未來新政府也會延續蔡英文總統的政策，繼續推動國安的工作，並公開承諾，將會繼續支持臺灣資安產業的發展，推動臺灣資安產業更上一層樓。</p> <h2><strong>假訊息是臺灣最大資安風險，卻也是產業升級鍛鍊的機會</strong></h2> <p>賴清德致詞時指出，根據世界經濟論壇（WEF）2024全球風險評估報告，未來兩年內，世界最高的風險就是錯誤訊息和假訊息；另外一個報告則是，未來兩年內，全世界第四大風險就是網路犯罪和網路犯罪延伸的風險。</p> <p>另外，賴清德也引述另外一個報告內容表示，臺灣是全球假訊息被攻擊最嚴重的國家，但他對此非常正面看待。他認為，雖然臺灣在全球當中，是受到假訊息攻擊嚴重的國家是壞消息，但如果將這個視為可以磨練、鍛鍊臺灣資安產業的場域時，就會是臺灣資安產業發展的契機。「臺灣資安產業就可以化挑戰為機會，進一步提升。」他說，</p> <p>賴清德表示，他在擔任行政院院長時，也有看到假訊息這個問題的嚴重性，當時，行政院就已經推動臺灣資安產業發展行動方案；後來蘇貞昌院長時，也通過臺灣的《資通安全管理法》以及成立數位發展部等部會，目的都是希望做好資安，好好發展資安產業。他強調，這也是他為什麼會率領新內閣與資安相關的政府未來同仁，一起出席臺灣資安大會的原因，這就是他用實際行動表達對資安產業的支持。</p> <h2><strong>臺灣資安大會有20多國人士參與，韓國更有金融業者組團參加</strong></h2> <p>臺灣資安大會主席、iThome總編輯吳其勳開幕致詞時表示，今年是臺灣資安大會十周年，也臺灣體現民主、進行四年一度總統大選的一年，在520總統就職前夕，昨天有蔡英文總統到場幫大家打氣，今天則有賴副總統、未來的賴總統，連續第三年蒞臨臺灣資安大會，也讓臺灣資安大會創下史無前例，首度有前後任總統副總統蒞臨的紀錄。他說：「這也是國家資安政策，無縫接軌的最好證明。」</p> <p>這幾年，臺灣資安大會持續朝國際化前進，吳其勳指出，今年有好幾百位、來自二十多個國家的與會者到場參加會議，其中，像是韓國就有三十多家金融機構組成的金融資安觀摩團，成員包括韓國的重要銀行、信用卡公司、證券和保險業者，組團來臺灣參加並觀摩臺灣資安大會。他表示，這也證實，臺灣資安已經成為國際上被世界各國看到的重點。</p> <p>他表示，今年臺灣資安大會首度使用南港展覽館全館場地，包括一樓、四樓和七樓，三天有超過三百場演講，以及豐富的上機實作課程，參與人數從十年前的一千五百人到今年的二萬人參與，都是十年前、甚至是五年前想不到的事情。</p> <p>今年四樓展區，首度新增加AIoT和硬體安全展區，下午都有5G物聯網、硬體、晶片安全的豐富一成，吳其勳表示，資安可以結合臺灣半導體資通訊硬體、物聯網優勢，將是臺灣未來可期的產業發展重點。</p> <p>此外，他也說，四樓也首度新增資安競技場，提供大家學習並演練資安實戰的技能，可以透過實際演練了解真實世界中，中國網軍的攻擊手法，透過熟悉攻擊腳本，可以學習怎麼偵測和應變，也會於5月16日下午一點，舉辦第一屆實機攻防競賽。</p> <p>國際上有許多人對臺灣資安有興趣，但因為種種原因不克前來，對此，臺灣資安大會也首度成立CyberSec Globe的線上活動，全英文議程透過線上播出，希望可以讓臺灣更多優秀的人才，以及實力堅強的資安產業，都可以站上全球舞台，讓世界看到臺灣資安、讓臺灣資安走進世界。</p> <p> </p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/5/15 11:36作者黃彥棻https://www.ithome.com.tw/news/162873
AWS執行長Adam Selipsky將在6月下臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon雲端事業部門Amazon Web Services（AWS）執行長Adam Selipsky將在6月下臺，成為Amazon最新一樁人事變動的主角。</p> <p>《<a href="https://www.theverge.com/2024/5/14/24156306/amazon-web-services-aws-ceo-stepping-down" target="_blank">The Verge</a>》取得Amazon執行長Andy Jassy昨（14）日公司電子郵件得知這項消息，隨後該公司透過<a href="https://www.aboutamazon.com/news/company-news/leadership-update-aws-adam-selipsky-matt-garman" target="_blank">官方部落格</a>證實並正式宣布。</p> <p>Selipsky將離開公司，追尋「下一個挑戰」，其遺缺將由AWS行銷、業務暨全球服務資深副總裁Matt Garman接任。人事命令將自6月3日生效。</p> <p>Selipsky 2005年就加入Amazon，在11年期間內擔任行銷、業務與服務職位。他於2016年跳槽資料視覺化軟體公司Tableau，並在3年後連同Salesforce的收購後持續留任。Selipsky <a href="https://www.ithome.com.tw/news/143431" target="_blank">2021年回鍋</a>Amazon，在Jessy成為Amazon執行長後接任其位。</p> <p>在位3年之中，Selipsky有許多和AI有關的事蹟，包括創立AI模型開發平臺Amazon Bedrock及生成式AI支援助理Amazon Q，投資Anthropic 40億美元，以及推出Amazon自有AI晶片Trainium等。</p> <p>Selipsky離職原因不明。AWS向來是公有雲市占龍頭，掌握約33%以上市占，領先微軟Azure及Google Cloud。但近年在AI逐漸成為雲端業務要角後，AWS在技術及知名度上已逐漸被對手趕上。根據分析機構<a href="https://www.crn.com/news/cloud/2024/microsoft-vs-aws-vs-google-cloud-earnings-q1-2024-face-off" target="_blank">Synergy Research Group</a>的數據，今年第一季微軟Azure雲業績及年度預期收入（annual run rate）分別達267億及1,070億美元，超越AWS的250億及1,000億美元。</p> <p>另一方面，Jessy 2021年上任後，Amazon人事已大幅變動。去年該公司消費性電子產品主管<a href="https://www.ithome.com.tw/news/158265" target="_blank">David Limp下臺</a>，開發Alexa的部門也經過重組，和AI部門整合，傳將於年中推出收費的AI-based Alexa服務。</p> </div></div></div>
2024/5/15 11:49作者林妍溱https://www.ithome.com.tw/news/162874