iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 20篇
近 24 小時: 35篇
近 7 天: 135篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 13:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 135 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

駭客架設多個冒充不同廠牌防毒軟體的網站，針對Windows、安卓裝置散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客假借提供知名應用程式，藉此散布惡意軟體的情況不斷發生，而最近隨著資安威脅加劇，有人乾脆佯稱提供防毒軟體來引誘使用者上當，而且，這樣的情況連續發生數起。</p> <p>資安業者Trellix提出警告，<a href="https://www.trellix.com/blogs/research/a-catalog-of-hazardous-av-sites-a-tale-of-malware-hosting/">他們看到宣稱提供防毒軟體的冒牌網站，鎖定Windows及安卓用戶而來</a>。這些網站號稱提供Avast、Bitdefender、Malwarebytes的防毒軟體，攻擊者藉此散布不同的惡意程式。</p> <p>其中，他們看到冒牌Avast網站（avast-securedownload.com）是專門針對安卓用戶而來，一旦用戶下載APK檔案並安裝，裝置就會被對方控制，從而部署或刪除套件、讀取通話記錄及簡訊、得知其網路連線狀態。此外，攻擊者還會將其用於挖礦，並追蹤其地理位置。</p> <p>而對於冒牌的Bitdefender、Malwarebytes網站bitdefender-app.com、malwarebytes.pro，駭客則是用來對Windows電腦散布竊資軟體Lumma Stealer、StealC。</p> <p>值得一提的是，Trellix研究人員也發現冒充自家產品元件的執行檔AMCoreDat.exe，此惡意程式會在特定資料夾建立多個檔案，並寫入有效酬載的部分內容，再透過AutoIt3重新編譯而成。攻擊者這麼做的目的，就是迴避防毒軟體的偵測。</p> </div></div></div>
2024/5/28 16:50作者周峻佑https://www.ithome.com.tw/news/163149
中國設立475億美元的國家半導體基金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國國家集成電路產業投資三期股份有限公司（國家大基金三期）在5月24日成立，凝聚了19個機構的資金，註冊資本額達3,440億元人民幣（約475億美元），以用來投資半導體的完整產業鏈。</p> <p>原本可用來查詢該公司詳細資訊的中國國家企業信用信息<a href="https://bt.gsxt.gov.cn/corp-query-search-1.html" target="_blank">公示系統</a>在中國及美國媒體揭露此事後，已無法再查到相關資訊。然而，參與該基金投資的6家中國國有銀行，則在本周一（5/27）分別發出了公告，包括中國銀行、建設銀行、農業銀行、工商銀行、交通銀行與郵儲銀行。</p> <p>中國的國家大基金其實類似美國的《晶片與科學法案》（Chips and Science Act，CHIPS Act），都是為了要強化各自的半導體供應鏈，美國總統拜登（Joe Biden）在2022年8月所簽署的<a href="https://www.ithome.com.tw/news/152402" target="_blank">CHIPS Act</a>，計畫提撥2,800億美元的經費來推動美國的創新與科技，當中有527億美元與半導體有關。</p> <p>而受到美國制裁的中國其實更早就發展出由國家支撐的「國家集成電路產業投資」，整合不同組織的資金來投資中國本地的半導體供應鏈，第一期現身於2014年，資金約為1,387億元人民幣，第二期成立於2019年，資金約為2,041億元人民幣，而近日才成立的第三期，資金則高達3,440億元人民幣，除了是資本額最高的一期，也是首度引進6大銀行的資金，這些銀行所投入的金額不一，但皆同意會在10年內到位。</p> <p>其中，<a href="https://pic.bankofchina.com/bocappd/report/202405/P020240527625287819859.pdf" target="_blank">中國銀行</a>準備出資215億元人民幣，占股6.25%，<a href="https://www1.hkexnews.hk/listedco/listconews/sehk/2024/0527/2024052700903_c.pdf" target="_blank">交通銀行</a>則出資200億元人民幣，持股5.81%，<a href="http://www2.ccb.com/chn/attachDir/2024/05/2024052716234298464.pdf" target="_blank">建設銀行</a>亦將出資215億元人民幣，占股6.25%，6家銀行總計將出資1,140億美元，占33%。</p> <p>根據中國媒體<a href="https://www.chnfund.com/article/AR6bb96a42-b0af-1055-b3a2-3a12cc8f6d2d" target="_blank">《中國基金報》</a>的報導，國家大基金三期的前三大股東還包括中國財政部的600億元人民幣，國開金融的360億元人民幣，以及上海國盛集團的300億元人民幣，而它們皆為中國的國有組織。</p> <p>總之，國家大基金是中國用來投資境內所有半導體供應鏈的私募基金，主要是為了支援半導體產業完整產業鏈的融資需求，若計算先前的兩期資金，基金規模已然超過6,868億元人民幣，約950億美元。</p> <p>《中國基金報》引用華鑫證券的研究報告指出，國家大基金的前兩期主要投資設備與材料領域，而隨著AI的發展，第三期除了延續先前的投資外，也會將演算晶片與儲存晶片列為關鍵投資領域。</p> </div></div></div>
2024/5/28 14:12作者陳曉莉https://www.ithome.com.tw/news/163145
Kubernetes專案為維持平臺中立性，完成移除內建雲端供應商原生支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發團隊已完成<a href="https://kubernetes.io/blog/2024/05/20/completing-cloud-provider-migration/">移除Kubernetes專案內建的雲端供應商整合</a>，並且建立4個新的子系統來替代這些功能，包括雲端控制管理器、API伺服器網路代理、Kubelet憑證提供者外部套件，以及搬遷儲存使用容器儲存介面（CSI）系統。而之所以開發團隊要對Kubernetes雲端供應商的內建支援進行調整，其目的在於使其成為真正供應商中立的平臺。</p> <p>Kubernetes在早期發展的時候，透過內建雲端供應商的支援，來促進普及並減少複雜性，同時也建立了一套標準化實踐，來確保Kubernetes在不同的雲端環境具有一致性，但隨著Kubernetes專案的成熟和廣受採用，內建雲端供應商支援出現維護上的複雜性和擴展限制。</p> <p>之前Kubernetes為了要對各雲端供應商提供原生支援，開發團隊需要維護數百萬行的Go程式碼，而這個複雜性隨著專案發展持續增加，另外，開發團隊也有意使Kubernetes成為真正的供應商中立平臺，因此從Kubernetes 1.7版本開始，專案便啟動刪除內建雲端供應商整合（KEP-2395）的計畫。</p> <p>經過多個版本後，開發團隊終於成功將所有雲端供應商整合，從核心Kubernetes儲存庫搬遷到外部套件，專案因此刪除了約150萬行的程式碼，Kubernetes核心元件的二進位檔還大幅瘦身減少了40％。</p> <p>這次Kubernetes程式碼搬遷影響眾多元件，重要的程式碼路徑仰賴最初5個雲端供應商，包括Google雲端、AWS、Azure、OpenStack和vSphere的內建整合，要將這些程式碼從核心切分出來，開發團隊建立4個新的子系統，雲端控制管理器、API伺服器網路代理、Kubelet憑證提供商擴充外部套件，以及儲存搬遷使用CSI系統。</p> <p>雲端控制管理器取代kube-controller-manager和Kubelet中，直接和雲端API互動的功能，而API伺服器網路代理則取代kube-apiserver的SSH通道功能。Kubelet憑證提供商擴充外部套件取代了Kubelet內建功能，用於動態取得託管在Google雲端、AWS和Azure上映像檔註冊表的憑證。而管理Kubernetes和其他容器調度工具中的區塊和檔案儲存系統，則搬遷使用CSI控制平面標準。</p> <p>子系統經過數個版本的測試，現在都已經達到正式版本的成熟度，而且官方也預告，從Kubernetes 1.31開始，內建的雲端供應商支援將永久停用，並從核心元件中刪除。</p> </div></div></div>
2024/5/28 13:04作者李建興https://www.ithome.com.tw/news/163143
從午夜暴雪和XZ Utils兩大資安事件中，微軟揭露學到這三件事
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在微軟Build 2024大會第2天，微軟兩位跨開發和資安部門主管分享了未來安全計畫（Secure Future Initiative，SFI）執行至今的經驗，尤其是從午夜暴雪（Midnight Blizzard）資安事件中學習到的2大課題，如使用系統託管身分辨識工具、刪除70多萬個未使用的應用程式來保護工程系統。他們也從XZ Utils供應鏈攻擊事件中，意識到開源生態和安全文化的重要性，要透過培訓方式提高跨團隊資安意識。</p> <p><span style="font-size:24px;"><strong>為確保技術架構安全執行，微軟發起未來安全計畫</strong></span></p> <p>在微軟Build 2024大會第一天，微軟執行長Satya Nadella揭露了智慧助理Copilot技術架構，由底層的AI基礎設施、模型、資料、AI調度與工具鏈，再往上到Copilot助理層（含微軟Copilot和使用者客製化Copilot）、Copilot擴充等組成。而這些層的最外圍，就由AI安全與資安包圍，確保從最底層的基礎設施到最上層的應用，都能安全執行。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/copilot%20stack.JPG" /></p> <p>大會上，微軟開發者部門總裁Julia Liuson和微軟威脅情資部門客戶副總裁John Lambert共同說明，他們如何聯手實現AI安全與資安目標，以及計畫實踐以來學習到的寶貴經驗。進一步來說，Julia Luison的團隊負責開發，打造不少全球廣泛使用的開發者工具，像是Visual Studio Code、Visual Studio和GitHub等產品。John Lambert除了帶領威脅情資團隊，還是傑出的資安專家。自去年底以來，他們密切合作，「尤其在過去3個月來，我們一起工作的頻率比過去10年還要高，」John Lambert形容。</p> <p>這是因為，一如Satya Nadella在大會首日透露的，為實現AI安全與資安，微軟去年11月底發起未來安全計畫，遵守安全設計（Security by design）、安全預設（Security by default）和安全維運等3大原則。在這3個原則下，有6項安全文化和治理作法，包括保護身分和秘密、保護租戶和獨立產品系統、保護網路、保護工程系統、監控與偵測威脅，以及加速因應和恢復。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SFI%20(1).JPG" /></p> <p>而Julia Liuson和John Lambert特別聚焦與開發者息息相關的2項作法，也就是保護身分和秘密、保護工程系統。</p> <p><span style="font-size:24px;"><strong>從午夜暴雪學習到的經驗1：使用對的工具</strong></span></p> <p>John Lambert表示，現在的企業組織遭受威脅者（Threat actors）攻擊的頻率更勝以往。比如光是去年，微軟就發現密碼相關的攻擊就增加了10倍以上，達到300億次，估算可造成8兆美元的損失。而微軟的任務，就是要阻攔威脅者行為，並在去年追蹤到300多次威脅。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BA%8B%E4%BB%B6%E8%AA%BF%E6%9F%A5.JPG" /></p> <p>他繼續指出，駭客最普遍的攻擊目標是訊息，且駭客攻擊的思維是找到一個破口後延伸擴散。「他們鎖定信任鏈和存取轉接點；我常說防禦者用清單思考，攻擊者用圖學（Graphs）思考。午夜暴雪（Midnight Blizzard）就是其一。」</p> <p>午夜暴雪是俄羅斯的駭客組織，專門攻擊政府和IT企業（如下圖），微軟自己就曾遭受攻擊。John Lambert表示，午夜暴雪的圖學攻擊策略是獲取憑證，因此他們鎖定開發者，想得到開發者憑證，並用這些憑證建立攻擊圖，進而掌握公司機密。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/midnight.JPG" /></p> <p>為防止開發者不小心在Email或原始程式碼中洩漏秘密，微軟建立了GitHub Advenced Security工具來掃描秘密，這就是前述所提到的保護身分和秘密的一種作法。Julia Liuson表示，他們與客戶部門在GitHub Advanced Security開啟秘密掃描時，幾乎100%的客戶發現其原始程式碼中存在一些秘密，甚至有時候第一次掃描就發現數千個秘密。</p> <p>但這個掃描工具也有缺點，就是它可能無法識別每個秘密，而且這些秘密沒有明確特徵，也很難被辨識。因此，<strong>使用系統託管的身分識別（System managed identities）工具</strong>就很重要，它不只能自動更換授權所需的關鍵資訊、降低人工成本，還能快速回應。這是微軟從午夜暴雪事件學習到的重要一課。</p> <p>「我們希望所有應用程式都受到系統託管身分識別的保護，」Julia Liuson繼續說明：「長期而言，我們希望不再使用任何密碼。」如此，開發者就不會不小心把這些秘密資訊遺留在原始程式碼中，或Email給他們的朋友，也不必再定期更換密碼。</p> <p>但她也直言這個目標不容易實現，尤其許多雲端解決方案仍強調使用密碼，這是整個IT產業普遍存在的問題。微軟也正努力改善自家工具，讓工具的使用更簡單、更自然，讓開發者不會注意到系統託管身分識別工具正在執行，「這才是真正需要安全第一的文化變革之處；要在安全第一的條件下，兼顧生產力和簡單性。」她說。</p> <p><span style="font-size:24px;"><strong>從午夜暴雪學習到的經驗2：保護工程系統</strong></span></p> <p>除了秘密資訊，保護工程系統也很重要。John Lambert指出，午夜暴雪曾攻擊一家德州企業SolarWinds，在他們產品開發的過程中植入後門，想透過滲透軟體供應鏈，來接觸到最終的客戶企業。這個例子凸顯了保護工程系統的重要性，這也是微軟未來安全計畫的6項安全文化和治理作法之一。</p> <p>微軟如何保護工程系統？首先，他們刪除了70多萬個未使用的示範（demo）應用程式、範例應用程式和測試應用程式，也刪除了許多與這些應用程式有關的儲存庫和建置流程。因為，只要還有憑證、還能存取資源，就會被威脅者所利用。</p> <p>因此Julia Liuson總結，有2個非常重要的經驗教訓，可改善整體安全維運環境，首先就是從所有工程系統中，刪除不需要的應用程式，再來是以對待正式上線程式的嚴格標準，來對待非正式上線的示範、範例和測試等3類應用程式。這也是微軟未來安全計畫的重要任務之一。</p> <p><span style="font-size:24px;"><strong>開源生態圈也是攻擊目標，推動培訓提高安全文化</strong></span></p> <p>除了企業內部的工程系統，Julia Liuson還點出另一個常被攻擊的目標，也就是開源開發生態系。這類攻擊大多是社交工程，今年上半年就有個XZ Utils開源專案的例子，威脅者多年來一直在這個專案植入後門，這些後門只讓XZ Utils執行速度慢了些，很難讓人察覺問題。</p> <p>但，微軟PostgreSQL開發者Andres Freund在進行回歸測試時發現了速度變慢的問題，一番研究之後，確認XZ Utils資料壓縮程式庫被植入後門，並點出這是一場供應鏈攻擊事件，引發全球性的調查。</p> <p>「雖然微軟並未受到這個後門的影響，但這是安全文化發揮作用的好例子，」John Lambert說。微軟除了時時檢視現有的OSS管理系統是否夠好、足以防禦資安攻擊，也將自己的經驗整合到GitHub Advenced Security工具相依性檢視中。比如，他們利用GitHub軟體專案相依性自動管理工具Dependabot，來警示開發者哪些儲存庫正使用有漏洞的軟體，並協助開發者解決問題。</p> <p>不單靠工具發出警報通知，Julia Liuson認為，正確的安全文化也很關鍵，「微軟和整個產業都需要文化變革，培養安全第一的文化。」尤其是透過培訓，來提高團隊對充滿不確定性的資安意識，同時保有好奇心與創意。她也表示，微軟將繼續改善自家系統和工具，並優化客戶部門的程式碼和工作流程，提高整體安全性。</p> <p></p> </div></div></div>
2024/5/28 11:15作者王若樸https://www.ithome.com.tw/news/163139
xAI完成60億美元的B輪增資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由馬斯克（Elon Musk）創立的xAI周日（5/26）<a href="https://x.ai/blog/series-b" target="_blank">宣布</a>已完成60億美元的B輪增資，將用來將xAI的首批產品推向市場，建置先進的基礎設施，以及加速未來技術的研發。xAI增資前的市值為180億美元。</p> <p>此次增資所引進的股東包括Valor Equity Partners、Vy Capital、Andreessen Horowitz、Sequoia Capital、Fidelity Management & Research Company、Prince Alwaleed Bin Talal，及Kingdom Holding等。之所以陣容龐大是因為開發AI的成本非常昂貴，根據《<a href="https://www.theinformation.com/articles/musk-plans-xai-supercomputer-dubbed-gigafactory-of-compute" target="_blank">The Information</a> 》的報導，xAI的超級電腦需要10萬個Nvidia的H100晶片，以用來開發更強大的、支援Grok聊天機器人的大型語言模型（LLM）。</p> <p>其實不只是xAI，不管是<a href="https://www.ithome.com.tw/review/160499" target="_blank">Google</a>或是<a href="https://www.ithome.com.tw/news/161752" target="_blank">Meta</a>在建置AI基礎設施時，動輒都使用數萬個H100。而每個H100的價格可能落在2.5萬美元左右，10萬個就是25億美元。此外，目前領先群雄的OpenAI，所獲得的微軟投資規模就超過了130億美元。</p> <p>馬斯克原本是OpenAI在2015年創立時的共同創辦人與捐助者，在2018年疑因掌權不成拂袖而去，並於2023年7月自行創立了xAI。xAI的腳步飛快，同年11月就發表了大型語言模型Grok-1與聊天機器人<a href="https://www.ithome.com.tw/news/159651" target="_blank">Grok</a>，今年3月開源<a href="https://www.ithome.com.tw/news/161812" target="_blank">Grok-1</a>，4月發表<a href="https://www.ithome.com.tw/news/162050" target="_blank">Grok-1.5</a>，幾天後又推出具備圖像理解能力的<a href="https://www.ithome.com.tw/news/162363" target="_blank">Grok-1.5V</a>。</p> <p>不過，身為ChatGPT競爭者的Grok迄今尚未開放一般使用者存取，而是僅供同屬馬斯克麾下的<a href="https://www.ithome.com.tw/news/162142" target="_blank">X Premium</a>付費訂閱用戶使用。</p> </div></div></div>
2024/5/28 11:30作者陳曉莉https://www.ithome.com.tw/news/163140
Check Point證實旗下的VPN系統遭到鎖定，駭客用來入侵企業網路環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月思科提出警告，旗下防火牆搭載的遠端VPN（RAVPN）存取服務，遭遇密碼潑灑（Password Spray）攻擊，到了4月，<a href="https://www.ithome.com.tw/news/162367">該公司旗下的威脅情報團隊Talos指出</a>，不只他們的VPN系統成為目標，有駭客鎖定Check Point、SonicWall、Fortinet、Ubiquiti等多個廠牌的VPN系統、SSH服務進行大規模暴力破解攻擊的情況，如今有其他業者證實旗下產品遭遇相關攻擊。</p> <p>5月27日<a href="https://blog.checkpoint.com/security/enhance-your-vpn-security-posture">資安業者Check Point提出警告</a>，他們察覺有越來越多駭客組織企圖透過遠端存取VPN的方式，取得初期存取目標企業網路環境的管道。</p> <p>他們觀察到VPN系統遭到破壞的情況，並指出駭客攻擊了多家資安業者提供的系統。對此，該公司對客戶的相關系統進行監控。結果在5月24日，他們確認有少部分疑似未經授權嘗試登入的情況，這些存取利用電腦本機的舊帳號進行VPN連線，而這些帳號只有透過密碼進行保護。</p> <p>針對這樣的情況，該公司召集事件回應、研究、技術服務、產品專家組成專案小組進一步調查，他們在24小時內又發現疑似遭受異常存取的客戶。</p> <p>對此，他們呼籲企業組織的IT人員，應檢查這類系統是否存在本機帳號，並調查使用情形，若是必須維持只使用密碼進行身分驗證，IT人員應增加另一層身分驗證措施來增加網路環境的安全。</p> <p>該公司<a href="https://support.checkpoint.com/results/sk/sk182336">提供</a>了指令碼，供IT人員清查是否有使用本機帳號的情況，也發布修補程式，讓企業組織能封鎖這類帳號的存取VPN系統。</p> </div></div></div>
2024/5/28 12:01作者周峻佑https://www.ithome.com.tw/news/163141
傳聞蘋果將與OpenAI合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/newsletters/2024-05-26/apple-ios-18-macos-15-ai-features-project-greymatter-privacy-openai-deal-lwni63s3" target="_blank">《彭博社》</a>（Bloomberg）本周報導，蘋果將在下個月舉行的WWDC開發者大會上發表許多的人工智慧（AI）功能，包括於最新的iOS 18與macOS 15中整合AI能力，也會基於自家的大型語言模型來改善個人助理Siri，而有鑑於蘋果尚無能力推出足以與其它業者較勁的聊天機器人，因此已與OpenAI達成合作協議，亦可望於WWDC上宣布。</p> <p>蘋果是美國大型科技業者中的AI晚進者，迄今涉及AI的發表僅有Apple Silicon平臺的專用AI框架<a href="https://www.ithome.com.tw/news/160205" target="_blank">MLX</a>、多模態AI模型<a href="https://www.ithome.com.tw/news/160517" target="_blank">Ferret</a>、圖片編修模型<a href="https://www.ithome.com.tw/news/161244" target="_blank">MGIE</a>、另一多模態AI模型<a href="https://www.ithome.com.tw/news/161825" target="_blank">MM1</a>，以及可於裝置上執行的AI模型<a href="https://www.ithome.com.tw/news/162544" target="_blank">OpenELM</a>等，但大部分並未引起太多關注，且迄今亦無端出任何針對消費者的AI服務。</p> <p>比較受到矚目的是蘋果已<a href="https://www.ithome.com.tw/news/161261" target="_blank">收購</a>超過30家的AI新創，或者是該公司正在開發<a href="https://www.ithome.com.tw/news/162737" target="_blank">AI資料中心晶片</a>。</p> <p>不過，蘋果已於今年初<a href="https://www.ithome.com.tw/news/161134" target="_blank">承諾</a>要部署生成式AI，也將成為WWDC大會的發表重點。</p> <p>根據報導，iOS 18與macOS 15都將整合AI能力，於裝置上或是透過雲端來處理AI任務，諸如轉錄語音備忘錄、以AI來修飾照片、更可靠的Spotlight搜尋能力、電子郵件或文字簡訊的回覆建議、更聰明的Safari搜尋、基於新LLM的Siri等，比較特別的是蘋果將於表情符號中整合生成式AI，讓系統可以根據使用者所發送的文字來即時創造一個新表情符號。</p> <p>此外，先前《彭博社》<a href="https://www.ithome.com.tw/news/161827" target="_blank">即曾報導</a>蘋果正在與Google及OpenAI協商，以決定是要在iPhone上整合Gemini或ChatGPT，本周的報導則透露最終蘋果是與OpenAI達成了協議。</p> <p>其實蘋果在手機市場上最大的競爭對手三星，也沒有使用自家的AI基礎設施，而是與Google合作，在手機上<a href="https://www.ithome.com.tw/news/160904" target="_blank">整合</a>Google Gemini來執行AI任務。但外傳蘋果並不打算獨鍾OpenAI，仍繼續與Google及Anthropic協商合作的可能性。</p> </div></div></div>
2024/5/28 12:17作者陳曉莉https://www.ithome.com.tw/news/163142
HPE交換器強打資安優先，支援MACsec與VXLANsec加密
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_aruba_cx_9300s-32c8d_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年來，HPE逐步擴大資料中心交換器產品的陣容，例如，<a href="https://blogs.arubanetworks.com/solutions/hpe-aruba-introduces-400gbe-switches-for-the-most-demanding-environments/">2022年6月底</a>推出該公司首款400GbE交換器CX 9300-32D（商品貨號為<a href="https://buy.hpe.com/emea_middle_east/en/networking/switches/fixed-port-l3-managed-ethernet-switches/aruba-9300-switch-products/hpe-aruba-networking-9300%E2%80%9132d-32p-qsfp%E2%80%91dd-2p-10g-sfp-front%E2%80%91to%E2%80%91back-6-fans-2-ac-psu-bundle/p/r9a29a">R9A29A</a>與<a href="https://buy.hpe.com/emea_middle_east/en/networking/switches/fixed-port-l3-managed-ethernet-switches/aruba-9300-switch-products/hpe-aruba-networking-9300%E2%80%9132d-32p-qsfp%E2%80%91dd-2p-10g-sfp-back%E2%80%91to%E2%80%91front-6-fans-2-ac-psu-bundle/p/r9a30a">R9A30A</a>），<a href="https://www.ithome.com.tw/review/155801">去年3月我們報導這款產品</a>，到了今年5月，他們針對CX 9300系列，發表新款機型CX 9300S-32C8D（商品貨號為<a href="https://buy.hpe.com/us/en/networking/switches/fixed-port-l3-managed-ethernet-switches/aruba-9300-switch-products/hpe-aruba-networking-9300s-32p-qsfp28-100g-8p-qsfp%E2%80%91dd-400g-front%E2%80%91to%E2%80%91back-6xfan-2xac-bundle/p/s0f82a">S0F82A</a>與與<a href="https://buy.hpe.com/asia_pac/en/networking/switches/fixed-port-l3-managed-ethernet-switches/aruba-9300-switch-products/hpe-aruba-networking-9300s-32p-qsfp28-100g-8p-qsfp%E2%80%91dd-400g-back%E2%80%91to%E2%80%91front-6xfan-2xac-bundle/p/s0f84a">S0F84A</a>），主要特色是延伸網路安全防護功能，可同時支援MACsec、IPsec與VXLANsec等技術，提供全程加密防護，企業不需要為了運用這樣的機制，而需額外建置多種資安服務，就能實現安全的資料中心互連（Data Center Interconnect，DCI），以及主機代管（co-location）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Aruba Networking CX series.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Aruba%20Networking%20CX%20series.jpg" style="width: 398px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HPE CX 9300 SWITCH.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20CX%209300%20SWITCH.jpg" style="width: 198px;" /></a></p> <p>就技術規格而言，CX 9300S-32C8D與CX 9300-32D一樣採用1U尺寸機箱，搭配6臺風扇與2臺電源供應器，每臺設備的網路交換容量為8 Tbps（CX 9300-32D為25.6 Tbps），內建32個100GbE網路埠（可設置為200GbE模式）、8個400GbE埠，以及2個用於遙測的10GbE網路埠（CX 9300-32D為32個100/200/400GbE埠與2個10GbE埠）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Aruba Networking Switchi-2024-05-21.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Aruba%20Networking%20Switchi-2024-05-21.jpg" style="width: 600px;" /></a></p> <p>以這裡提供的大量100GbE埠而言，可用於連接伺服器的10/25/100/200GbE網路埠，單埠可分接為4個25GbE埠或4個10GbE埠（須設置為40GbE埠）；至於數量較少的400GbE埠，則用於連接內部交織網路。基於這樣的配置，9300S-32C8D可用於建置兼容100GbE與400GbE的資料中心網路環境之餘，也能協助企業提升枝葉與骨幹網路組態，從10GbE一路升級至25GbE，以至100GbE的EVPN-VXLAN（乙太網路—虛擬可擴展式區域網路）。</p> <p>而在安全網路環境的布建上，以MACsec的部署方式而言，能在園區網路或資料中心網路內部，提供點對點的加密保護，9300S-32C8D可用於網路第3層架構的核心交換器（L3-Core switch），以及匯集交換器（L3-Aggregation switch），以單臺設備而言，網路交換容量在這樣的加密安全模式之下，可達到6.4 Tbps；若用於建置分支辦公室與總部互連的IPsec加密連線，或是延伸網路第2層與第三層服務、實現EVPN資料中心互連的VXLANsec機制，9300S-32C8D可提供的網路交換容量為4.8 Tbps。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20CX%209300S-Front.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20CX%209300S-Back.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;">產品資訊</span></p> <p><strong>HPE Aruba Networking CX 9300S系列</strong><br /> ●原廠：HPE Aruba Networking<br /> ●建議售價：廠商未提供<br /> ●機型名稱：9300S-32C8D（商品貨號為）<br /> ●網路介面：32個200GbE埠（QSFP28）+8個400GbE埠（QSFP-DD）<br /> ●機箱尺寸：1U<br /> ●網路交換容量：8 Tbps，啟用MACsec為6.4 Tbps，啟用IPsec/VXLANsec為4.8 Tbps<br /> ●MAC位址數量：枝葉交換器4.8萬個，骨幹交換器19.2萬個<br /> ●封包緩衝記憶體：82 MB<br /> ●散熱風扇：6臺，可選擇機前送至機背或機背送至機前等兩種風向<br /> ●電源供應器：2臺1600瓦（1+1備援），可選機前送至機背或機背送至機前等兩種風向</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/5/28 11:00作者李宗翰https://www.ithome.com.tw/review/163127
提供64個OSFP112網路埠，Dell推出首款800GbE交換器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_powerswitch_z9864f-on_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從2022年至今，我們看到陸續看到多家網路設備廠商推出800GbE交換器，2023年隨著AI伺服器市場的快速增長，帶動資料中心超高速網路規格的升級需求，而在2024年上半，先有Nvidia在3月召開的GTC大會推出Spectrum-X800，而Dell在5月舉行的Dell Technologies World大會，也終於發表該公司首款800GbE交換器PowerSwitch Z9864F-ON，預計8月正式推出。</p> <p>Dell強調，它是專為多種用途而設計的產品，適用於AI/ML交織網路、Web 2.0、企業與雲端服務供應商的資料中心網路，這些環境都面臨密集的運算與儲存流量，以及雲端物聯網、串流影音處理等層面的應用需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20PowerSwitch-2024-05-23.jpg" style="width: 600px;" /></p> <p>這款網路設備採用的交換器晶片是<a href="https://www.broadcom.com/products/ethernet-connectivity/switching/strataxgs/bcm78900-series">Broadcom的Tomahawk 5</a>，同於我們去年10月介紹的800GbE交換器<a href="https://www.ithome.com.tw/review/159203">Edgecore Networks DCS560</a>，可支援進階的認知路由（Cognitive Routing）、動態負載平衡，以及涵蓋各層面的壅塞控制能力，目的都是為了管理AI或ML工作負載，因為這些任務在執行過程當中，都可能導致大型、低混亂度的網路流向，所以需要這些功能幫忙。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell Power Switch ASIC1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Power%20Switch%20ASIC1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Dell Power Switch ASIC2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Power%20Switch%20ASIC2.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Broadcom%20Enhanced-Ethernet-blog-diagram.jpg" style="width: 400px;" /></p> <p>在此同時，Z9864F-ON也支援克洛斯（Clos）與非克洛斯（non-Clos）這兩種網路拓樸架構，Dell會設法將這款機型成為各種網路設計的多種產品選擇。</p> <p>Z9864F-ON本身配備64個800GbE網路埠，具有兩倍的網路交換容量，根據Dell公布的技術規格，新推出的Z9864F-ON在半雙工狀態為51.2 Tbps，全雙工為102.4 Tbps，<a href="https://www.ithome.com.tw/review/154544">既有的Z9664F-ON</a>的全雙工處理為51.2 Tbps。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Power%20Switch%20800G-2024-05-23.jpg" style="width: 600px;" /></p> <p>而在資料中心橋接（DCB）的相關應用機制上，上述兩款交換器均支援網路流向的政策控制（PFC）、資料中心橋接交換（DCBX）、強化傳輸選擇（ETS），Z9864F-ON額外支援RoCEv2，Dell表示，這款交換器可確保尖峰效能，並針對RoCEv2與其他新興的RDMA協定，提供最低的尾部延遲（tail latency）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell Z9864-cabletoclouds-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Z9864-cabletoclouds-2.jpg" style="width: 600px;" /></a></p> <p>若用於生成式AI的骨幹網路環境當中，Z9864F-ON傳輸效能可達到上一代機型的兩倍，Dell表示，原因在於它導入現代化的網路處理架構，例如共享緩衝記憶體架構（shared-buffer），而能具備高吞吐量、低延遲、易於擴展執行規模的特色，因應存取需求最大的網路環境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Z9864-cabletoclouds-1.jpg" style="width: 600px;" /></p> <p>因此，這款機型也被列為打造Dell AI Factory基礎架構的重要元件，而能在兩層式的克洛斯網路拓樸架構，支援基於大量PowerEdge XE9680伺服器而成的8千個GPU叢集部署。Dell強調，Z9864F-ON這款交換器的推出，可確保他們能夠提供橫貫所有環節的乙太網路AI交織網路（Ethernet AI fabrics），突顯PowerEdge XE9680帶來的AI解決方案效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-Dell Enabling GenAIUse case with Dell Enterprise SONiC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-Dell%20Enabling%20GenAIUse%20case%20with%20Dell%20Enterprise%20SONiC.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Dell PowerSwitch Z9864F-ON</strong><br /> ●原廠：Dell<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U<br /> ●網路埠：64個100/200/400/800GbE埠（OSFP112）、2個10GbE埠（SFP+），64個800GbE埠可分接128個400GbE埠、256個200GbE埠、256個100GbE埠，或是32個800GbE埠，或是64個400GbE埠<br /> ●封包交換容量：51.2 Tbps（半雙工），102.4Tbps（全雙工）<br /> ●封包緩衝記憶體：165.2 MB<br /> ●系統運算與儲存資源：英特爾Xeon-D系列處理器（Ice Lake）Xeon D-1714、32 GB記憶體<br /> ●作業系統平臺：Enterprise SONiC Distribution by Dell Technologies<br /> ●搭配ASIC晶片：Broadcom Tomahawk 5<br /> ●電源供應器：2臺3000瓦（1+1備援）<br /> ●風扇：4臺（3+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/5/28 09:50作者李宗翰https://www.ithome.com.tw/review/163048
AI搜尋給出離譜答案，Google緊急撤除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google AI搜尋服務上周出現異常，給出要使用者為披薩加入膠水，以及歐巴馬是穆斯林等答案，Google已在周末緊急關閉某些答案，並稱這只是少數個案。</p> <p>出問題的是Google I/O 2024上公布的AI Overview。這是Google將AI整合進搜尋的實驗中的功能，原先名為搜尋生成體驗（Search Generative Experience），Google自去年就陸續測試，並在上周開發者大會上擴大部署。不同於一般的Google搜尋是Google根據用戶輸入的關鍵字產出搜尋結果，旨在引導用戶連到第三方網頁，AI Overview是在所有搜尋結果上方，列出以AI模型產出的答案。</p> <p>多名用戶測試後通報AI Overview給出離譜的答案。例如<a href="https://x.com/heavenrend/status/1793346515261432027" target="_blank">AI Overview建議</a>一名用戶在起司中加入膠水以增加在披薩上的黏著性，這建議是取自Reddit上用戶張貼的笑話貼文。另一名用戶被告知吞一些岩石以協助攝取礦物質、維生素及幫助消化，這通常是來自動物學文章。</p> <p class="rtecenter"><a href="https://x.com/heavenrend/status/1793346515261432027/photo/1" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0528-ai%20overview-SG-r01%20on%20X.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><a href="https://x.com/heavenrend/status/1793346515261432027/photo/1" target="_top"><span style="color:#696969;">圖片來源／SG-r01 on X</span></a></span></p> <p>另外，AI Overview也給出明顯錯誤的資訊。例如它<a href="https://x.com/melmitchell1/status/1793749621690474696" target="_blank">告訴一名用戶</a>，美國前總統歐巴馬（Barack Obama）是穆斯林，以及傑克遜總統（Andrew Jackson）<a href="https://bsky.app/profile/illumi.me/post/3kt3gm2jayc2k" target="_blank">畢業於</a>威斯康辛大學麥迪遜分校。</p> <p>在<a href="https://www.cnet.com/tech/services-and-software/glue-in-pizza-eat-rocks-googles-ai-search-is-mocked-for-bizarre-answers/" target="_blank">媒體</a><a href="https://www.theverge.com/2024/5/24/24164119/google-ai-overview-mistakes-search-race-openai" target="_blank">報導</a>後，Google已經將這些答案移除。Google官方<a href="https://www.pcmag.com/news/google-is-taking-swift-action-to-remove-inaccurate-ai-overview-responses" target="_blank">回應</a>，AI Overview給的答案大部份都是來自網頁深層連結的高品質資訊，而許多（報導中的可笑）案例是「少見的查詢」，而也已經修正，未能為該公司複製。</p> <p>Google並重申，一如搜尋服務其他功能，AI Overview經過廣泛測試。Google已依據其內容政策「迅速行動」，移除這些答案，並將利用這些案例作為開發改良基礎，包括已經推出的AI Overview。</p> </div></div></div>
2024/5/28 08:40作者林妍溱https://www.ithome.com.tw/news/163138
開源資料處理框架Apache Flink在3年前公布的弱點，美國CISA證實被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月23日美國網路安全暨基礎設施安全局（CISA）將開源資料處理框架Apache Flink漏洞CVE-2020-17519，<a href="https://www.cisa.gov/news-events/alerts/2024/05/23/cisa-adds-one-known-exploited-vulnerability-catalog">列入已被利用的漏洞名單（KEV）</a>，並要求聯邦機構於6月13日前完成修補。</p> <p>這項漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2020-17519">源自於1.11.0版Flink導入的變更</a>，攻擊者可藉由JobManager處理程序的REST介面，在本機的檔案系統讀取任意檔案，CVSS風險評為7.5分，IT人員應升級1.11.3或1.12.0以上的版本來緩解漏洞。</p> <p>雖然CISA並未透露有關漏洞被利用的相關細節，無從得知攻擊者的身分及目的，但值得留意的是，Apache基金會於2021年1月公告、修補這項漏洞，相關資訊已被公布超過3年，也有研究人員公布概念性驗證的攻擊程式碼，這代表攻擊者相關利用漏洞不需自行從頭研究，後續可能有更多攻擊者加入嘗試利用漏洞的行列。</p> </div></div></div>
2024/5/27 18:23作者周峻佑https://www.ithome.com.tw/news/163135
【資安日報】5月27日，中東、非洲、亞洲政府機關遭中國駭客長期從事網路間諜攻擊行動並散布後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期中國駭客發起的攻擊行動接連傳出，上週末才有駭客組織APT41利用惡意程式KeyPlug攻擊義大利企業組織的消息，本週有資安業者揭露另一駭客組織從事的網路間諜行動。</p> <p>值得留意的是，這些駭客專門針對Exchange伺服器下手，對其植入後門程式，企圖從中搜刮機密資料，而他們利用的漏洞，就是3年前公布的ProxyLogon、ProxyShell。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163129"><strong style="font-size: 22px;">中國駭客組織鎖定中東、非洲、亞洲政府機關，發動Operation Diplomatic Specter攻擊行動，散布後門程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-130751-133584-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-130751-133584-7.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Palo Alto Networks針對中國APT駭客TGR-STA-0043發起的攻擊行動Operation Diplomatic Specter提出警告，駭客從2022年底，針對中東、非洲、亞洲的政府組織下手，至少有7個政府單位確認長期遭到網路間諜攻擊，對方利用相當罕見的電子郵件滲透手法，對受害伺服器進行大規模的情報收集工作。</p> <p>這些駭客究竟如何入侵受害組織？研究人員指出，對方多半重覆利用Exchange伺服器的弱點，而能成功取得入侵的初始管道，其中兩個經常被利用的漏洞，包含了ProxyLogon（CVE-2021-26855）、ProxyShell（CVE-2021-34473）。</p> <p>他們也觀察到駭客使用的後門程式TunnelSpecter、SweetSpecter，並指出兩者皆採用部分木馬程式Gh0st RAT的程式碼打造而成，TunnelSpecter著重於DNS隧道能力，而SweetSpecter則是與另一支名為SugarGh0st RAT的惡意軟體存在相似之處。</p> <p><a href="https://www.ithome.com.tw/news/163126"><strong style="font-size: 22px;">JAVS法庭錄影軟體遭遇供應鏈攻擊，攻擊者在安裝程式植入後門</strong></a></p> <p>資安業者Rapid7提出警告，他們發現在8.3.7版法庭錄影解決方案JAVS Viewer發現後門程式，攻擊者能夠藉此控制受害設備，呼籲已安裝該版本程式的用戶應儘速完整重設裝置，並重設相關的帳密因應，並改用8.3.8版的JAVS Viewer。</p> <p>研究人員在本月10日著手調查一起事故，發現受害電腦存放JAVS Viewer應用程式的當中，名為fffmpeg.exe的檔案正在執行（正常應該ffmpeg.exe，而本次被偵測到異常的執行檔檔名卻多了1個f）。他們追蹤後發現，其感染來源是名為JAVS Viewer Setup 8.3.7.250-1.exe的執行檔，但值得留意的是，該檔案於3月5日自JAVS網站下載，卻經由發行授與者為Vanguard Tech Limited的Authenticode憑證進行簽署。</p> <p>對此，JAVS也在5月22日做出回應，表示他們藉由持續監控並與政府機關合作，察覺有人竄改他們在網站上提供的8.3.7版JAVS Viewer，隨後便撤下所有相關的檔案，並重設密碼，並對所有JAVS系統進行調查。</p> <p><a href="https://www.ithome.com.tw/news/163135"><strong style="font-size: 22px;">開源資料處理框架Apache Flink在3年前公布的弱點，美國CISA證實被用於攻擊行動</strong></a></p> <p>5月23日美國網路安全暨基礎設施安全局（CISA）將開源資料處理框架Apache Flink漏洞CVE-2020-17519，列入已被利用的漏洞名單（KEV），並要求聯邦機構於6月13日前完成修補。</p> <p>雖然CISA並未透露有關漏洞被利用的相關細節，無從得知攻擊者的身分及目的，但值得留意的是，Apache基金會於2021年1月公告、修補這項漏洞，相關資訊已被公布超過3年，也有研究人員公布概念性驗證的攻擊程式碼，這代表攻擊者相關利用漏洞不需自行從頭研究，後續可能有更多攻擊者加入嘗試利用漏洞的行列。</p> <p><a href="https://www.ithome.com.tw/news/163082"><strong style="font-size: 22px;">針對企業寄信測試員工資安意識，Google認為效果不彰，甚至可能帶來危害</strong></a></p> <p></p> <p>為了提升員工對於釣魚信的警覺，許多企業藉由發送測試信來了解員工的警戒程度，但Google資安事件經理Matt Linton近期卻對此提出警告，這種做法勞民傷財且效果不彰，害處多過於好處。對此，他認為寄測試信前應事先預告，避免突擊測試，才能達到真正的目的。</p> <p>雖然這種做法概念類似火災演練的測試，但實際上存在多種負面影響，首先是不具實質效果，再者是增加員工困擾並增加資安部門工作負擔。</p> <p>對此，Matt Linton提出說明，他表示這項演練工作執行多年下來，釣魚郵件仍是駭客入侵企業組織內部環境的主要管道，而且，會中招的員工難以透過測試信件提高警覺。再者，則是測試信件的做法，很有可能導致承辦的資安人員必須繞過系統防護機制，甚至是建立用來放水的白名單。最後是用戶若是不慎誤點信件，將增加資安部門工作負擔，且有可能因此導致員工降低對公司的信任。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://research.checkpoint.com/2024/sharp-dragon-expands-towards-africa-and-the-caribbean/"><strong style="font-size: 20px;">非洲、加勒比地區政府機關遭中國駭客組織Sharp Panda盯上</strong></a></p> <p></p> <p>◆<a href="https://www.trellix.com/blogs/research/a-catalog-of-hazardous-av-sites-a-tale-of-malware-hosting/"><strong style="font-size: 20px;">駭客聲稱提供防毒軟體為由，針對Windows、安卓裝置散布惡意程式</strong></a></p> <p></p> <p>◆<a href="https://cert.gov.ua/article/6276584"><strong style="font-size: 20px;">烏克蘭針對駭客組織UAC-0006的攻擊行動升溫提出警告，對方大肆藉由釣魚郵件散布惡意軟體SmokeLoader</strong></a></p> <p></p> <p>◆<a href="https://www.websiteplanet.com/news/india-biometric-breach-report/"><strong style="font-size: 20px;">印度應用系統開發業者資料外洩，曝露當地軍方及警察生物辨識資料</strong></a></p> <p></p> <p>◆<a href="https://techcrunch.com/2024/05/22/spyware-found-on-hotel-check-in-computers/"><strong style="font-size: 20px;">美國旅館入住系統傳出遭植入間諜程式pcTattletale</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163115"><strong style="font-size: 22px;">Google修補本月第4個Chrome零時差漏洞CVE-2024-5274</strong></a></p> <p></p> <p>繼5月15日Chrome發布125.0.6422.60/.61版本，修補高風險零時差漏洞CVE-2024-4947，23日再度發布125.0.6422.112/.113版本，這次是為了修補高風險漏洞CVE-2024-5274而來，請大家趕快到Chrome的「設定」或「說明」，點「關於Chrome」確認版本是否更新至此版以後的版本。</p> <p>CVE-2024-5274存在Chrome採用的JavaScript引擎V8，Google僅簡單描述問題是類型混淆（Type Confusion），與稍早揭露的CVE-2024-4947屬於同類型的問題。回顧整個2024年5月，Chrome至今已累積發布4個零時差漏洞，令人擔憂。</p> <p><a href="https://www.ithome.com.tw/news/163133"><strong style="font-size: 22px;">Firefox用於存取PDF檔案的元件存在弱點，有可能被用於執行任意JavaScript程式碼</strong></a></p> <p>本月14日Mozilla基金會發布Firefox 126，當中修補PDF檢視元件（PDF.js）高風險漏洞CVE-2024-4367，此漏洞發生的原因，在於處理字型時缺乏類型檢查，導致能被攻擊者用來執行任意JavaScript程式碼。</p> <p>通報這項漏洞的資安業者Codean Labs上週也提出說明，指出PDF.js由JavaScript開發而成，但弱點並非來自此指令碼的功能，而是字型的處理層面。為了驗證此項威脅的可行性，他們藉由特定參數觸發PDF.js漏洞，從而插入任意的JavaScript程式碼並執行。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163090"><strong>【5月24日】研究人員揭露中國駭客組織APT41的作案工具KeyPlug，並指出有可能也提供當地資安業者安洵運用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163066"><strong>【5月23日】微軟推出AI電腦新功能Recall引發隱私爭議，英國主管機官宣布啟動調查</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163037"><strong>【5月22日】針對研究人員指控修補NAS作業系統漏洞速度太慢，威聯通發布聲明說明處理進度</strong></a></p> </div></div></div>
2024/5/27 18:46作者周峻佑https://www.ithome.com.tw/news/163136
研究發現GPT-4的財報預測能力勝過人類分析師
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>芝加哥大學布斯商學院（University of Chicago Booth School of Business）的幾名研究人員最近<a href="https://papers.ssrn.com/sol3/papers.cfm?abstract_id=4835311" target="_blank">發表了一篇報告</a>，指出OpenAI所開發的大型語言模型（LLM）GPT-4就算在缺乏任何敘述或產業資訊的狀態下，提供其財務報表之後，在預測組織獲利變化的能力上優於人類金融分析師，此外，該模型的準確性也與其它經過專門訓練的模型相當。</p> <p>研究人員先將上市公司的財報進行標準化與匿名化的過程，包括省略公司名稱，以標籤替換了年份，統一不同公司的財務報表格式，再設計提示，要求GPT-4分析財報，並確定該組織未來的獲利走向，另也開發一個思維鏈（Chain-of-Thought，CoT）提示，以有效地教導模型模仿金融分析師。</p> <p class="rtecenter"><a href="https://papers.ssrn.com/sol3/papers.cfm?abstract_id=4835311" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-CoT.png" style="width: 600px;" /></a></p> <p><a href="https://papers.ssrn.com/sol3/papers.cfm?abstract_id=4835311" target="_top"><span style="font-size:14px;">圖片來源／芝加哥大學布斯商學院</span></a></p> <p>人類金融分析師在預測公司未來1個月、3個月及6個月獲利走向的準確率，分別是53%、56%及57%，而未使用CoT的GPT-4則是52%，但若加上CoT，那麼GPT-4的表現則達到60%。此外，研究人員將GPT-4 CoT與其它兩個經過訓練的Stepwise Logistic Regression與ANN模型進行比較，發現其準確度超越Stepwise Logistic Regression，並與ANN相當。</p> <p class="rtecenter"><a href="http://papers.ssrn.com/sol3/papers.cfm?abstract_id=4835311" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-Financial%20Statement%20Analysis%20with%20Large%20Language%20Models-1(1).png" style="width: 431px;" /></a></p> <p class="rtecenter"><a href="http://papers.ssrn.com/sol3/papers.cfm?abstract_id=4835311" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-Financial%20Statement%20Analysis%20with%20Large%20Language%20Models-2.png" style="width: 502px;" /></a></p> <p><a href="https://papers.ssrn.com/sol3/papers.cfm?abstract_id=4835311" target="_top"><span style="font-size: 14px;">圖片來源／芝加哥大學布斯商學院</span></a></p> <p>分析顯示，GPT-4的傑出表現來自於，它會藉由分析趨勢具財務比例來獲取有用的洞見，再利用其對理論的理解與經濟進行推論，而且GPT-4所生成的財報分析敘述是非常有參考價值的。同時，研究人員也發現，大型語言模型在需要直覺及類似人類推論的任務中有出色的表現，此一跨領域的執行任務的能力透露了通用AI的現身，並突顯出LLM在決策中的作用，可能比先前所以為的更為重要。</p> <p>不過，該報告強調，此一結果顯示GPT與人類分析師是互補的，而非替代的，在分析師可能會出現偏見或分歧時，GPT將略占優勢，然而，當GPT無法獲得額外的重要脈絡時，分析師便更具價值。</p> <p>賓州大學沃頓商學院專門研究AI的副教授<a href="https://x.com/emollick/status/1794056462349861273" target="_blank">Ethan Mollick則說</a>，這是一篇很多人都在等的論文：「是的，GPT-4可以協助人們挑選股票，擊敗人類和其它專為金融而訓練的機器學習模型。」</p> </div></div></div>
2024/5/27 16:47作者陳曉莉https://www.ithome.com.tw/news/163128
中國駭客組織鎖定中東、非洲、亞洲政府機關，發動Operation Diplomatic Specter攻擊行動，散布後…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Palo Alto Networks針對中國APT駭客TGR-STA-0043發起的<a href="https://unit42.paloaltonetworks.com/operation-diplomatic-specter/">攻擊行動Operation Diplomatic Specter</a>提出警告，駭客從2022年底，針對中東、非洲、亞洲的政府組織下手，至少有7個政府單位確認長期遭到網路間諜攻擊，對方利用相當罕見的電子郵件滲透手法，對受害伺服器進行大規模的情報收集工作。</p> <p>究竟這些駭客的目的是什麼？研究人員認為，對方試圖取得外交與經濟業務單位、大使館、軍事機構、政治會議，以及特定國家的部會、高層官員情報，而這些皆與地緣政治有關。他們看到駭客幾乎每天都竊取情報，主要手法是滲透目標組織機構的郵件伺服器來進行。</p> <p>研究人員研判，這起攻擊行動是單一駭客組織進行，但他們並不清楚對方打算如何運用相關情報。而這起事故也突顯為中國政府從事間諜行動的駭客，收集情報的範圍越來越廣，他們試圖取得亞洲地區以外的相關資訊，並延伸至中東和非洲。</p> <p>這些駭客究竟如何入侵受害組織？研究人員指出，對方多半重覆利用Exchange伺服器的弱點，而能成功取得入侵的初始管道，其中兩個經常被利用的漏洞，包含了ProxyLogon（CVE-2021-26855）、ProxyShell（CVE-2021-34473）。</p> <p>他們也觀察到駭客使用的後門程式TunnelSpecter、SweetSpecter，並指出兩者皆採用部分木馬程式Gh0st RAT的程式碼打造而成，TunnelSpecter著重於DNS隧道能力，而SweetSpecter則是與另一支名為SugarGh0st RAT的惡意軟體存在相似之處。這些後門程式，讓對方能持續秘密存取受害組織的網路，並執行任何命令、竊取資料，以及在受害主機植入更多惡意工具。</p> <p>研究人員指出，這起攻擊行動與中國資助駭客從事網路間諜攻擊有關，因為，這些駭客使用中國APT駭客共用的基礎設施，從事行動的時間也很規律。值得一提的是，對方在C2伺服器的架設上，運用了中國當地的虛擬專屬伺服器（VPS）服務。</p> <p>此外，對方在使用的工具及文件當中，也存在大量的簡體中文註解，而且在本次攻擊行動裡，他們看到駭客廣泛使用中國駭客經常使用的工具，包括：修改版Gh0st RAT、PlugX、Htran、中國菜刀（China Chopper）等惡意程式。</p> <p>鎖定中東及非洲政府機關而來，並利用Exchange漏洞發動攻擊的情況，上週也有研究人員提出警告。資安業者Positive Technologies指出，<a href="https://www.ptsecurity.com/ww-en/analytics/pt-esc-threat-intelligence/positive-technologies-detects-a-series-of-attacks-via-microsoft-exchange-server/">他們發現有人自2021年開始，利用ProxyShell入侵政府機關</a>，並在Exchange伺服器嵌入鍵盤側錄工具（Keylogger），至少有30個組織受害。</p> </div></div></div>
2024/5/27 16:51作者周峻佑https://www.ithome.com.tw/news/163129
Firefox用於存取PDF檔案的元件存在弱點，有可能被用於執行任意JavaScript程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月14日Mozilla基金會發布Firefox 126，當中修補PDF檢視元件（PDF.js）<a href="https://www.mozilla.org/en-US/security/advisories/mfsa2024-21/#CVE-2024-4367">高風險漏洞CVE-2024-4367</a>，此漏洞發生的原因，在於處理字型時缺乏類型檢查，導致能被攻擊者用來執行任意JavaScript程式碼。</p> <p>通報這項漏洞的資安業者Codean Labs<a href="https://codeanlabs.com/blog/research/cve-2024-4367-arbitrary-js-execution-in-pdf-js/">上週也提出說明</a>，指出PDF.js由JavaScript開發而成，但弱點並非來自此指令碼的功能，而是字型的處理層面。</p> <p>由於對於TrueType等現代格式的字型，PDF.js主要透過瀏覽器的字型渲染工具處理，但除此之外，此JavaScript指令碼必須將字元轉換成頁面上的曲線來呈現，因此，若要促使執行效能提升，開發者會為每個字型預先編譯路徑產生器。</p> <p>為了驗證此項威脅的可行性，他們藉由特定參數觸發PDF.js漏洞，從而插入任意的JavaScript程式碼並執行。一旦使用者在Firefox開啟惡意PDF檔案，攻擊者就有機會利用漏洞來達到目的。</p> </div></div></div>
2024/5/27 17:40作者周峻佑https://www.ithome.com.tw/news/163133
JAVS法庭錄影軟體遭遇供應鏈攻擊，攻擊者在安裝程式植入後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Rapid7提出警告，<a href="https://www.rapid7.com/blog/post/2024/05/23/cve-2024-4978-backdoored-justice-av-solutions-viewer-software-used-in-apparent-supply-chain-attack/">他們發現在8.3.7版法庭錄影解決方案JAVS Viewer發現後門程式</a>，攻擊者能夠藉此控制受害設備，呼籲已安裝該版本程式的用戶應儘速完整重設裝置，並重設相關的帳密因應，並改用8.3.8版的JAVS Viewer。</p> <p>Justice AV Solutions（JAVS）是專門為法庭環境提供數位影音記錄開庭內容的美國軟體開發公司，他們的系統提供法庭、陪審團室、看守所、議會、聽證會、演講室使用，號稱全球有超過1萬處部署。</p> <p>研究人員在本月10日著手調查一起事故，發現受害電腦存放JAVS Viewer應用程式的當中，名為fffmpeg.exe的檔案正在執行（正常應該ffmpeg.exe，而本次被偵測到異常的執行檔檔名卻多了1個f）。他們追蹤後發現，其感染來源是名為JAVS Viewer Setup 8.3.7.250-1.exe的執行檔，但值得留意的是，該檔案於3月5日自JAVS網站下載，卻經由發行授與者為Vanguard Tech Limited的Authenticode憑證進行簽署。</p> <p>而上述的fffmpeg.exe運作過程裡，研究人員看到會執行加密處理的PowerShell指令碼，攻擊者藉此停用Windows事件追蹤器（ETW），並繞過反惡意程式碼掃描介面（AMSI）。</p> <p>接著，研究人員看到對方從C2伺服器下載其他惡意程式的有效酬載，執行後會產生Python指令碼，搜刮電腦上瀏覽器的帳密資料。</p> <p>他們與開源威脅情資比對，研判fffmpeg.exe與GateDoor、Rustdoor兩隻惡意程式有關。針對這起事故，研究人員登記為CVE-2024-4978進行列管。</p> <p>對此，JAVS也在5月22日做出回應，表示他們藉由持續監控並與政府機關合作，察覺有人竄改他們在網站上提供的8.3.7版JAVS Viewer，隨後便撤下所有相關的檔案，並重設密碼，並對所有JAVS系統進行調查。</p> <p>他們確認，JAVS.com網站上的檔案沒有再出現惡意軟體，再者，本次資安事故當中，JAVS原始碼、憑證、內部系統並未受到影響，其他版本軟體也並未受害。</p> <p>該公司也呼籲已安裝該版本檢視器的用戶，應檢查是否有fffmpeg.exe的處理程序正在執行，藉此識別電腦是否遭遇相關攻擊。</p> </div></div></div>
2024/5/27 15:39作者周峻佑https://www.ithome.com.tw/news/163126
AI時代全面啟動：今年AI伺服器出貨量兩位數成長，AI PC開始交付，推動智慧型手機出貨量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在2022年的12月底，發表了基於大型語言模型（LLM）的聊天機器人服務ChatGPT，點燃了全球人工智慧（AI）的戰火，在這一年多以來，<a href="https://www.ithome.com.tw/news/161705" target="_blank">多家AI業者相繼浮出檯面</a>，而微軟、Google、與Meta及蘋果也紛紛擴大對AI的投資，可同時高效處理大量資料的GPU因可用來加速AI及機器學習的複雜運算，而讓GPU龍頭業者<a href="https://www.ithome.com.tw/news/163047" target="_blank">Nvidia身價水漲船高</a>，此外，不管是AI伺服器、AI PC，或者是AI在手機上的應用，都如同箭在弦上。</p> <p>其中，AI伺服器是專門用來執行複雜AI任務的電腦系統，像是深度學習、機器學習或資料分析，它們配備了高性能處理器、GPU與專用的AI加速器，以迎合AI演算法的密集運算需求，並可區分為AI資料、AI訓練及AI推論等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%E4%BC%BA%E6%9C%8D%E5%99%A8%E7%A4%BA%E6%84%8F%E5%9C%96-%E9%88%BA%E7%99%BB%E7%A7%91%E6%8A%80.png" style="width: 404px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">AI伺服器示意圖（Edgecore Networks AGS8200）</span></span></p> <p>根據市場研究機構Global Market Insights<a href="https://www.gminsights.com/industry-analysis/ai-server-market" target="_blank">的統計</a>，2023年全球AI伺服器市場規模為383億美元，預計自今年到2032年間，將以平均每年18%的速度成長，直至2032年的1,774億美元。</p> <p>另一研究機構<a href="https://www.trendforce.com/presscenter/news/20240229-12048.html" target="_blank">集邦科技</a>（TrendForce）則說，今年的全球伺服器出貨量可望成長2.05%，達1,365萬臺，其中，AI伺服器占了12.1%，而各家業者的AI伺服器出貨量在今年都可望有兩位數成長。</p> <p><a href="https://market.us/report/ai-server-market/?trk=article-ssr-frontend-pulse_little-text-block" target="_blank">Market.us</a>的看法則更樂觀，該公司估計去年全球AI伺服器市場規模為310億美元，其中有39%的伺服器是用來執行AI訓練。而從今年到2033年，該市場的每年平均成長率將達到30.3%，在2033年達到4,300億美元的規模。</p> <p>除了企業或組織所使用的AI伺服器之外，消費者端的裝置也隨後邁入AI世代。根據<a href="https://www.idc.com/getdoc.jsp?containerId=prUS51851424" target="_blank">IDC的定義</a>，硬體支援的AI PC指的是PC含有一個神經處理單元（NPU），以於裝置上執行特定的AI功能，但其NPU的運算能力低於每秒40兆次（TOPS），屬於目前正在出貨的晶片；新一代的AI PC應該包括一個具備每秒40~60兆次運算能力的NPU，以及以AI為優先的作業系統；而高階AI PC則應具備大於60 TOPS的運算能力，可望於未來幾年出現。</p> <p>微軟於日前發表的<a href="https://www.ithome.com.tw/news/162989" target="_blank">Copilot+ PC</a>即符合IDC對新一代AI PC的定義，它每秒可實現40兆次以上的操作，支援全天候的電池續航力，也可存取最先進的AI模型，以解鎖更多的功能。</p> <p class="rtecenter"><a href="http://www.ithome.com.tw/news/162989" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-microsoft-Copilot%2B%20PCs-2.jpg" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">微軟Copilot+ PC</span></span></p> <p>負責裝置與消費者研究的IDC集團副總裁 Tom Mainelli指出，業者將利用更快的性能、更低的推論成本，以及裝置上的安全與隱私優勢來實現提高用戶生產力的承諾，今年將可看到AI PC出貨量開始增加，AI PC也會在未來幾年從小眾走向主流，到了2027年，新一代AI PC的出貨量將是硬體支援AI PC的兩倍。</p> <p>將AI任務從雲端導入用戶端的三大原因，包括消除資料往返來提高性能，把資料保留在裝置上可強化隱私與安全性，再加上可減少存取雲端資源的成本。</p> <p>整體而言，AI PC的出貨量可望從2024年的近5,000萬臺逐年增加，將於2027年超過1.67億臺，屆時的AI PC將占全球PC出貨量的近60%。事實上，高通通訊長Clare Conley<a href="https://www.qualcomm.com/news/onq/2023/12/generative-ai-in-2024-6-consumer-tech-trends-for-next-year" target="_blank">亦曾指出</a>，PC市場將在今年經歷一場變革性的改變，原因包括AI PC的出現，再加上今、明兩年剛好進入筆電更換的超級周期，依照金融服務業者Morgan Stanley的預測，今年將有40%的筆電需要更換，明年則成長到65%，這兩大需求將推動PC的新時代。</p> <p>AI不僅從雲端遷移到PC，也將以同樣的理由遷移至智慧型手機。Morgan Stanley<a href="https://www.morganstanley.com/ideas/edge-ai-devices-diffusion" target="_blank">分析</a>，隨著生成式AI被嵌入到裝置上，邊緣AI（Edge AI）將令消費者看到全新的功能，手機製造商則會看到銷售成長。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-galaxy%20ai.png" style="width: 477px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">邊緣AI示意圖（三星Galaxy AI）</span></span></p> <p>Morgan Stanley預期邊緣AI的趨勢，將在未來兩年內推動智慧型手機的銷售量，扭轉2021年以來的放緩趨勢，估計今年出貨量可成長3.9%，明年成長4.4%。</p> <p>Morgan Stanley也列出了邊緣AI可能的殺手級應用，涵蓋持續感應的相機鏡頭，於使用者不觸碰螢幕的狀態下，就能檢測使用者是否在看著它，而自動解鎖或鎖住螢幕；或是在用戶無法握住裝置時提供手勢控制；提供專業級的攝影能力，可自動微調或修飾畫面元素；以及更聰明的語音助手等。新硬體帶來的新應用可能會引發新的硬體產品周期，從而提高銷售量。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／iThome、微軟、三星</span></span></p> </div></div></div>
2024/5/27 15:59作者陳曉莉https://www.ithome.com.tw/news/163125
零售IT雙周報第35期：帶進自己喜歡的元宇宙！Reebok推出客製化元宇宙遊戲內球鞋的服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0511~0525)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #元宇宙商品</span></span></strong><br /> <strong>Reebok賣起了客製化元宇宙遊戲</strong><strong>球鞋，讓消費者帶入自己喜歡的遊戲中</strong></p> <p>實體品牌進軍元宇宙又有新招。與其在遊戲中打造單調的體驗空間<a href="https://www.prnewswire.com/news-releases/reebok-unveils-reebok-impact-with-futureverse-302140811.html">，運動品牌Reebok選擇販售客製化數位商品，讓消費者自行帶到喜歡的元宇宙裡面</a>。近日，Reebok推出客製化虛擬球鞋服務，消費者將任意照片傳到活動官方Instagram帳號，Reebok就會利用生成式AI技術，根據照片構圖和色調生成球鞋設計。消費者可以免費下載圖片，或是付費購買可以匯入到Roblox、Fortnite等元宇宙類遊戲的檔案，把球鞋帶進所選遊戲中。</p> <p>零售業者常見的「進駐元宇宙」做法是，在遊戲中策展，或是打造只能展示非常少量商品的虛擬商店。Reebok的做法，不僅利用生成式AI打造客製化體驗，還不用花費設計、建設、維運虛擬門市的成本，而是提供體驗加值，讓消費者在自己已經喜歡的元宇宙遊戲使用自家商品。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#原物料追蹤 #進出貨追蹤</span></span></strong><br /> <strong>統一資訊推出食安資訊解決方案，可整合內部產品溯源資訊並自動化申報政府食安追蹤系統</strong></p> <p>鎖定零售及食品製造業的食安管理需求，統一資訊推出食安資訊解決方案。此產品可透過API串接企業ERP、WMS、MRP（物料需求規畫）等系統，或者用手動匯入，來整合這些系統的資訊。透過登錄詳細食品規格與食品進出流向紀錄，零售業者在食安事件爆發時，能快速確認自家產品是否有用到不良食材，快速下架相關批次商品。</p> <p>匯入數據後，此解決方案可依據法遵要求歸檔產品基本資料與產品進出流向報表，並快速產出上下游關聯及溯源紀錄，供主管機關及品質認證稽查之用，或者快速生成包括產品成分、供應商、貨號、原料日期等資訊的網頁，放入企業網站中揭露給消費者查詢。每個月，會自動化申報所需資訊到至衛福部的「食品追溯追蹤管理系統」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/P2-%20%E7%B5%B1%E4%B8%80%E8%B3%87%E8%A8%8A%E9%A3%9F%E5%AE%89%E8%B3%87%E8%A8%8A%E8%A7%A3%E6%B1%BA%E6%96%B9%E6%A1%88%E5%9B%9B%E5%A4%A7%E5%8A%9F%E8%83%BD%E5%84%AA%E5%8B%A2%EF%BC%8C%E5%8A%A9%E4%BC%81%E6%A5%AD%E6%B3%95%E9%81%B5%E5%8F%8A%E7%AE%A1%E7%90%86%E9%A2%A8%E9%9A%AA.png" style="width: 600px;" /></p> <p>目前，此解決方案的功能主要針對零售及食品製造業設計，今年統一資訊將進一步開發針對餐飲業的應用情境。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體電商 #OMO電商</span></span></strong><br /> <strong>Pinterest與實體雜誌合作推出OMO購物體驗，結合雜誌購物與圖像型社群媒體平臺的探索功能</strong></p> <p>圖像型社群媒體平臺Pinterest與生活雜誌RealSimple合作推出「可購物雜誌」體驗。此體驗的技術相當簡單，只是將雜誌中品項透過QR Code連結到數位平臺。</p> <p>特別之處是，這些QR Code不是直接連結到電商平臺，而是以探索圖像為主要功能的社群媒體平臺Pinterest。消費者不只會看到雜誌中同款品項，還能進一步探索與此品項類似主題的其他圖像，再透過Pinterest電商功能購買。也就是說，這不只是一種單純透過線下型錄連結到線上商品頁面的電商功能，更是一個從主題式雜誌出發，導引到有強大推薦演算法數位平臺的商品探索（Product Discovery）體驗。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#零售數據 #RMN</span></span></strong><br /> <strong>Walmart開始在國際市場推出零售數據分析解決方案給供應商</strong></p> <p><a href="https://corporate.walmart.com/news/2024/05/16/walmart-announces-global-launch-of-walmart-luminate">電商龍頭Walmart的顧客數據分析平臺Walmart Luminate將於國際市場推出</a>，今年預計在墨西哥和加拿大上線。這個平臺是用來給供應商瀏覽和分析顧客行為、輿論及通路銷售表現的付費服務。<a href="https://www.ithome.com.tw/news/162566">近期，Walmart還將此服務和旗下RMN服務Walmart Connect整合</a>，進一步加速供應商從分析數據到實際應用洞察於行銷的過程。</p> <p>Walmart表示，自家大型供應商中，高達9成有訂閱此服務，中小型供應商訂閱數也占總訂閱數一半。隨著零售數據越來越受品牌重視，許多零售商開始推出RMN廣告服務，想變現自家數據。不過，從Walmart Luminate的發展歷程來看，光是能提供數據分析工具，不用打造Martech工具，就已經有可觀商業價值。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI倉儲用量調度 #自動化倉儲 #WMS</span></span></strong><br /> <strong>永聯物流推出智慧倉儲服務，利用智慧用量預測系統搭配每年可更新租用量的商業模式來強化倉儲運用彈性</strong></p> <p>永聯物流近日發表智慧倉儲Omega 2。這是與超市龍頭全聯使用的Omega 1倉儲同系列智慧倉儲。此倉儲WMS由永聯自行開發，能整合租用業者的訂單資訊、倉儲管理資訊和自動化設備調度等資訊，還能根據客戶需要，進一步串聯不同自動化設備。</p> <p>永聯利用AI/ML技術來強化倉儲營運，一個應用是，讓自動化設備學習倉儲營運，並模擬營運，來持續強化營運效率。他們也會利用AI預測識別設備潛在問題，整合各個功能的維修排程，來提升設備穩定性與安全性，未來更計畫利用營運數據發展數位孿生技術，來進一步強化設備管理。不只如此，他們用影像辨識技術來監控碼頭與進出貨區域，提高碼頭區營運效率，並利用生成式A打造智慧客服中心以提升回應租用業者的效率。</p> <p>他們還會利用AI技術來預測租用客戶的倉儲使用量，搭配每年可以更新租約的商業模式，來強化倉儲空間利用率。另外，此倉儲同時支援B2C和B2B倉儲，有利於多商業模式品牌降低追蹤及調度存貨的成本。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#庫存管理 #機器學習</span></span></strong><br /> <strong>英國大型連鎖超市Asda導入庫存數據修正技術，預期能減少上百萬件商品庫存錯估情況</strong></p> <p><a href="https://www.retailinsight.io/blog/asda-teams-up-with-retail-insight-to-transform-in-store-replenishment">在英國有超過800家分店的大型連鎖超市Asda導入庫存數據修正技術</a>，為旗下超市打造專屬庫存追蹤模型，來預測門市高估了實際庫存的情況，並通知店員檢查、更正庫存數據。</p> <p>因POS等系統中數據與實際存貨有落差，導致門市高估實際庫存，可能影響商家進貨、銷售數據分析、會計等問題，在試營運的9個月間，Asda已經移除了160萬筆被錯估庫存量的商品，效果顯著，因而決定正式導入所有門市。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#元宇宙零售 #沉浸式電商 #社群媒體電商</span></span></strong><br /> <strong>Walmart推出沉浸式電商體驗，具備商品展示與探索、電商、小遊戲、創作者商品介紹等功能</strong></p> <p>在與Roblox等元宇宙遊戲合作推出沉浸式電商體驗後，<a href="https://walmartrealm.com/">Walmart自行打造了一套大型沉浸式電商網站Walmart Realm</a>。這個網站有多個主題展間，可以與環境進行互動、探索和購買商品、遊玩小遊戲以獲得優惠、以及觀看社群及創作者的商品介紹。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/walrealm(1).png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. 露天市集推出生成式AI賣場設計工具，可以快速製作情境化的商品圖片並自由組合廣告版位、影片</p> <p>2. 金色三麥導入ML銷量預測技術降低2成食材浪費，並導入生成式AI技術打造顧客回饋彙整機器人以加速服務品質改善</p> <p>3. Google搜尋結果頁面將新增更多沉浸式購物功能，包括虛擬試穿戴及呈現更多AI生成的3D素材 </p> <p>資料來源：iThome整理，2023年5月</p> <p>責任編輯：郭又華</p> </div></div></div>
2024/5/27 14:39作者郭又華https://www.ithome.com.tw/news/163106
【資安週報】2024年5月20日到5月24日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一星期漏洞消息中，有兩個已知漏洞利用情形需優先關注，包括2021年初修補的Apache Flink漏洞CVE-2020-17519，以及2023年修補的NextGen Healthcare Mirth Connect（醫療保健資料整合平臺）漏洞CVE-2023-43208，最近美CISA已確認有攻擊者鎖定利用的情形。</p> <p>其他重要漏洞修補動向，包括Git、GitLab、GitHub，以及Veeam與威聯通NAS的漏洞修補。特別的是，還有兩項修補與AI相關，包括Python套件llama_cpp_python修補一重大漏洞，研究人員揭露此一名為Llama Drama的漏洞恐導致系統資料外流，而在Intel的5月例行安全更新中，亦修補一項存在於AI模型壓縮工具Neural Compressor的重大漏洞。</p> <p>在威脅態勢焦點上，這一星期有多起網路攻擊事件揭露與中國駭客鎖定攻擊有關，攻擊目標涵蓋歐洲、美洲與南海多國，我們整理如下：</p> <p>●南海各國政府高層接連遭中國駭客組織Unfading Sea Haze鎖定攻擊，資安業者Bitdefender已確認至少有8個軍事單位與政府機關受害，而調查相關攻擊行動顯示駭客已暗中活動超過5年。<br /> ●義大利企業遭中國駭客組織APT41鎖定，被部署名為KeyPlug的後門程式，資安業者將其手法與今年2月中國資安業者安洵流出資料比對，發現文件所提Hector的RAT木馬程式，很可能就是本次調查的KeyPlug。<br /> ●美國AI專家遭鎖定，攻擊者對其散布惡意程式SugarGh0st RAT，資安業者Proofpoint指出這起攻擊行動鎖定目標不到10人，極具針對性。由於5月初傳出美國政府有意限制中國存取生成式AI服務，不排除攻擊者與中國有所關連。</p> <p>其他攻擊手法與態勢，我們認為近期有2類型的攻擊活動可多加留意，包括利用非法代理伺服器、濫用Foxit PDF Reader與PuTTY等多款知名工具的現況。</p> <p>●駭客藉由代理伺服器服務（Residential Proxy）從事攻擊的情況增加，最新發現是中國駭客利用非法代理伺服器ORB網路隱藏連線行蹤。<br /> ●Foxit PDF Reader用戶近期遭攻擊行動鎖定，駭客是利用使用者經常未詳細檢視彈出式對話框內容等方式，針對其用戶散布多種惡意程式。<br /> ●又有攻擊者透過惡意廣告聲稱提供PuTTY、WinSCP等知名工具，顯然這樣的攻擊行動是鎖定企業對企業組織的系統管理員而來。</p> <p>在資安防禦態勢上，臺灣資安大會的新聞仍是最大焦點，不僅揭露國內最新發展，像是我國金管會資安推動與政府零信任架構推動現況，也有最新國際動向解析，包括最新歐盟重要資安法規（NIS 2、DORA、網路韌性法）趨勢，荷蘭網路威脅態勢與防護經驗等。</p> <p>另外，在打擊網路詐騙領域最近一連有兩起重要消息，一是Tinder母公司Match Group，社交平臺Meta與Coinbase等多家加密貨幣交易平臺連首宣布成立Tech Against Scams聯盟，聚焦打擊網路愛情詐騙與殺豬騙局；一是臺灣防詐及資安公司Gogolook（走著瞧-創）舉行重大訊息記者會，宣布董事會通過1.56億元併購荷蘭的數位防詐服務商ScamAdviser，期待進一步深入走進企業防詐服務，以及跨入歐美市場。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/162984"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月20日】與人工智慧系統開發相關的Python套件存在漏洞，恐導致資料外流、遠端執行程式碼攻擊</span></strong></a></h3> <p>今天的資安日報新聞幾乎都與AI有關，這些包含了鎖定人工智慧專家的攻擊行動，針對人工智慧開發工具的漏洞揭露，以及相關資安框架的發表。</p> <p>其中最值得留意的部分，是關於人工智慧開發工具的漏洞公布，其中用於開發相關系統的Python套件llama_cpp_python漏洞CVE-2024-34359相當值得留意，因為有可能引發供應鏈攻擊。資安業者Checkmarx指出，在AI技術與資料共享平臺Hugging Face有超過6千個模型以此套件打造而曝險。</p> <p><a href="https://www.ithome.com.tw/news/163006"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月21日】金融木馬Grandoreiro傳出東山再起，駭客攻擊範圍從拉丁美洲擴及全球逾60個國家</span></strong></a></p> <p>惡名昭彰的金融木馬Grandoreiro，曾在今年1月跨國執法行動後消聲匿跡，但最近有研究人員提出警告，這些駭客準備了2個月就捲土重來，而且發動攻擊的範圍變得更廣，從拉丁美洲擴及全世界。</p> <p>究竟駭客如何大幅增加攻擊的力道及範圍？研究人員推測，對方很有可能透過惡意軟體租賃服務的方式，吸引許多打手上門、加入攻擊的行列。</p> <h3><a href="https://www.ithome.com.tw/news/163037"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月22日】針對研究人員指控修補NAS作業系統漏洞速度太慢，威聯通發布聲明說明處理進度</span></strong></a></h3> <p>想要快速處理漏洞的修補，單靠研究人員及早通報是不夠的，IT設備廠商必須設法加快漏洞的確認與修補，最近資安業者揭露NAS廠商威聯通產品漏洞，再度突顯此問題的影響。上週五（5月17日）資安業者watchTowr表示，他們已向威聯通通報15個NAS漏洞，但僅有4個完成修補，大部分從通報至今已超過4個月卻尚未處理。</p> <p>事隔4日，威聯通發布新聞稿公布處理情形，罕見的是，他們也對於修補速度過慢的情況做出承諾，表明日後針對重大及高風險層級漏洞，將於45日內完成處理，並發布修補程式。</p> <p><a href="https://www.ithome.com.tw/news/163066"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月23日】微軟推出AI電腦新功能Recall引發隱私爭議，英國主管機官宣布啟動調查</span></strong></a></p> <p>微軟近日<a href="https://www.ithome.com.tw/news/162988">揭露新一代NPU加速的AI筆電</a>，並將其命名為Copilot+ PC，主打內建40多個地端AI模型和原生AI應用程式，包括能快速找出所需資訊的Recall、圖像創作Cocreator，以及能將四十多種語言即時翻譯為英文的即時字幕（Live Caption）等AI加持的工具。</p> <p>然而值得留意的是，以背景快照記錄使用者活動，以便用戶搜尋電腦檔案及上網活動的Recall，公布後便引發外界對於隱私上的爭議，英國個資保護主管機關宣布將介入調查此事。</p> <p><a href="https://www.ithome.com.tw/news/163090"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月24日】研究人員揭露中國駭客組織APT41的作案工具KeyPlug，並指出有可能也提供當地資安業者安洵運用</span></strong></a></p> <p>最近有研究人員針對惡名昭彰的中國駭客駭客組織APT41攻擊行動進行調查，並指出對方使用名為KeyPlug的後門程式攻擊義大利的企業組織，其手法相當複雜、刁鑽。</p> <p>雖然這並非這些駭客首度運用KeyPlug，但研究人員比對這次的作案工具特徵，認為他們疑似曾更換軟體的名稱提供中國資安業者安洵使用，這間接印證兩者之間有合作關係的現象。</p> <p> </p> </div></div></div>
2024/5/27 09:41作者羅正漢https://www.ithome.com.tw/news/163116
Google投資3.5億美元予印度最大電商Flipkart
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>印度最大電子商務平臺<a href="https://storiesflistgv2.blob.core.windows.net/stories/2024/05/Final-Approved-Media-Statement-Google-invests-in-Flipkart.pdf" target="_blank">Flipkart上周宣布</a>已完成新一輪由Walmart領頭的增資，並引入Google的資金，根據<a href="https://www.reuters.com/technology/google-invest-350-mln-indias-flipkart-valuing-co-37-bln-source-says-2024-05-24/" target="_blank">《路透社》</a>（Reuters）與<a href="https://techcrunch.com/2024/05/24/google-invests-350-million-in-indias-flipkart/" target="_blank">《TechCrunch》</a>的報導，Google此次挹注了近3.5億美元，而Flipkart的估值則為360億美元。</p> <p>Flipkart是由兩名曾在Amazon工作的印度人Sachin Bansal與Binny Bansal所創立，該公司設立於新加坡，但總部位在印度，主要經營的市場也在印度，是印度最大的電子商務平臺，Snapdeal與Amazon則分居二、三名。而全球最大零售商Walmart則是在2018年5月，以160億美元<a href="https://www.ithome.com.tw/news/123064" target="_blank">取得</a>Flipkart的77%股權當時Flipkart的市值約為200億美元，現在則增加至360億美元。</p> <p>印度現為全球僅次於中國的第二大電子商務市場，而Flipkart的市占率則高達48%。除了Walmart之外，eBay、微軟、騰訊及軟體銀行的願景基金，也都在更早之前就成為Flipkart的股東，而今則加入了Google。</p> <p>根據Flipkart的說明，此次Google所投入的不僅是資金，還包括雙方的雲端合作，將協助Flipkart擴張其業務，以及加強其數位基礎設施的現代化，以服務整個印度的客戶。</p> <p>由於與Amazon在印度屬於競爭關係，而讓Flipkart沒能選擇採用AWS服務，但也沒選擇微軟，而是花落Google。</p> </div></div></div>
2024/5/27 11:50作者陳曉莉https://www.ithome.com.tw/news/163119
微軟Edge瀏覽器能即時翻譯YouTube、新聞影片，還能配音
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周<a href="https://www.microsoft.com/zh-tw/edge/features/real-time-video-translation?form=MA13FJ" target="_blank">宣布</a>為Edge瀏覽器新增即時影片翻譯功能，可將YouTube及《路透社》、《彭博》等內容網站影片以AI即時翻譯成特定語言，或是添加配音。</p> <p>這項服務是微軟上周<a href="https://www.ithome.com.tw/news/162988" target="_blank">Build大會</a>上公布的新功能之一。在此之前，Edge只能翻譯網頁文字，新增的功能以AI即時翻譯及文字生成功能，讓用戶以Edge瀏覽器觀看不論是影片片段或串流影片時，都能近乎即時翻譯內容。只要將滑鼠懸停在影片上、從自動出現的選單中選擇翻譯的來源與目標語言，數秒鐘就能顯示翻譯字幕。Edge甚至也提供配音，使用者可以選擇其中之一或全部都要。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-Real-time%20video%20translation-edge-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>第一次使用時，系統會提示用戶同意安裝用戶要求的語言，用戶同意後，Windows就會在裝置上安裝翻譯模型。安裝是一次性作業，安裝時也能持續觀看影片。</p> <p>這功能現在能將西班牙文和韓語影片翻譯成英語，以及將英語影片翻譯成北印度語、德語、西語、義大利語、西班牙文和俄語。目前可使用Edge即時翻譯的網站包括YouTube、路透社、CNBC新聞、彭博社、LinkedIn、線上課程平臺Coursera及印度的Money Control。微軟表示，有些網站內容，像是教育、新聞、vblog或敍事性內容影片翻譯的效果會比較好，微軟也說會持續擴充支援的網站。</p> <p>微軟強調，翻譯作業完全在用戶裝置上完成，所有影片或聲音內容、數據都不會離開用戶裝置或在雲端處理。</p> <p>至於翻譯品質，微軟提醒，AI生成的內容可能存在錯誤，此外，也可能受到背景音樂、影片中說話的人數，來源語言等，該公司也致力於持續提升翻譯品質。</p> <p><span class="c-message__sender c-message_kit__sender" data-qa="message_sender" data-stringify-text="林妍溱" data-stringify-type="replace" style="box-sizing: inherit; color: rgb(29, 28, 29); word-break: break-word; font-weight: 900; font-family: Slack-Lato, Slack-Fractions, appleLogo, sans-serif; font-size: 15px; font-variant-ligatures: common-ligatures;"><span class="p-member_profile_hover_card" role="presentation" style="box-sizing: inherit; width: fit-content; height: fit-content; display: inline-flex;"><button class="c-link--button c-message__sender_button" data-message-sender="UBR7Y6HEV" data-qa="message_sender_name" style="box-sizing: inherit; cursor: pointer; background-image: initial; background-position: 0px 0px; background-size: initial; background-repeat: initial; background-attachment: initial; background-origin: initial; background-clip: initial; border-width: 0px; border-style: initial; border-color: initial; padding: 0px; font: inherit; overflow: initial; text-align: initial; vertical-align: baseline; margin: 0px;" tabindex="0" type="button"></button></span></span></p> </div></div></div>
2024/5/27 10:17作者林妍溱https://www.ithome.com.tw/news/163117
ICQ將於6月底終止營運
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ICQ將在6月27日終止營運，為許多X、Y世代的最初消費性網路通訊體驗<a href="https://icq.com/desktop/en?#mac" target="_blank">畫下休止符</a>。</p> <p>ICQ營運業者VK上周貼出公告，並鼓勵用戶改用該公司其他訊息服務及協同平臺。</p> <p>ICQ由以色列公司Mirabilis於1996年推出，允許使用者1對1即時傳訊，也可以留言給離線用戶。用戶安裝ICQ軟體後都會被分派一組編號，而非現在以自己的電子郵件信箱或可取任意暱稱，然後在系統列顯示一朵小花，小花顏色顯示用戶狀態（如綠色為線上，紅色為離線，花上有食指表示請勿打擾，花上有空白矩型表示Away），用戶也可依此判斷對方狀態。</p> <p>ICQ同期出現的點對點通訊軟體包括AOL Instant Messenger及微軟MSN Messenger。ICQ功能雖然基本，但也因簡單使用而廣受歡迎，ICQ經典的「Uh oh!」來訊提示音是許多用戶最愛的記憶，但ICQ功能更新較慢，許多用戶轉向可貼表情、介面更豐富的微軟MSN Messenger，以及可打P2P VoIP電話的Skype。很快沒落的ICQ 1998年被AOL收購，2010年AOL又將之出售給俄國投資集團Digital Sky Technologies（DST），營運者為Mail.Ru（後改名為VK）。它極盛時間註冊用戶高達1億，2010年被收購時也有4,200萬每日經常用戶。</p> <p>現在ICQ也能傳送照片、撥打語音或視訊通話，用的人應該不多，不過仍然有人因為特殊目的使用ICQ。2021年1月WhatsApp修改用戶條款，可將用戶資料分享母公司Meta其他服務（如Facebook），讓香港地區改用管理較鬆的ICQ，當月下載量<a href="https://www.nhregister.com/business/article/Are-we-in-1996-again-ICQ-users-in-Hong-Kong-15898736.php" target="_blank">一度大增</a>35%。巴西媒體<a href="https://nucleo.jor.br/especiais/2023-06-22-grupos-publicos-de-pornografia-infantil-sao-compartilhados-no-facebook/" target="_blank">研究發現</a>，在Instagram、Facebook Messenger、WhatsApp、WeChat、或蘋果iMessage等主流通訊應用程式嚴管的今天，管制較鬆的ICQ被用來傳送兒童色情圖片。</p> </div></div></div>
2024/5/27 11:12作者林妍溱https://www.ithome.com.tw/news/163118
Chrome本月修補第4個零時差漏洞，也是2024年以來第8個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼5月15日Chrome發布<a href="https://www.ithome.com.tw/news/162904">125.0.6422.60/.61版本，修補高風險零時差漏洞CVE-2024-4947</a>，23日再度發布<a href="https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_23.html">125.0.6422.112/.113版本</a>，這次是為了修補高風險漏洞CVE-2024-5274而來，請大家趕快到Chrome的「設定」或「說明」，點「關於Chrome」確認版本是否更新至此版以後的版本。</p> <p>CVE-2024-5274存在Chrome採用的JavaScript引擎V8，Google僅簡單描述問題是類型混淆（Type Confusion），與稍早揭露的CVE-2024-4947屬於同類型的問題。</p> <p>由該公司威脅分析事業群的Clément Lecigne與Chrome Security團隊的Brendon Tiszka這兩位通報，並表示已發現該漏洞已受到廣泛濫用。</p> <p>回顧整個2024年5月，Chrome至今已累積發布4個零時差漏洞，令人擔憂。首先是<a href="https://www.ithome.com.tw/news/162822">5月9日公告</a>的CVE-2024-4671與124.0.6367.201/.202改版，第2個是<a href="https://www.ithome.com.tw/news/162872">5月13日公告</a>的CVE-2024-4761與124.0.6367.207/.208改版，第3個是<a href="https://www.ithome.com.tw/news/162904">5月15日公告</a>的CVE-2024-4947與125.0.6422.60/.61改版，第4個則是最新揭露的CVE-2024-5274與125.0.6422.112/.113改版，CVE-2024-5274也是Chrome今年以來第8個零時差漏洞。</p> </div></div></div>
2024/5/26 23:51作者李宗翰https://www.ithome.com.tw/news/163115
【moda專欄】隱私強化技術：平衡資料保護與資料應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0525-moda-yin_si_qiang_hua_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>作者／數位發展部多元創新司吳品樺分析師</strong></p> <p>進入網路時代後，隨著資料大量的累積，探勘潛藏其中的資訊已成為人類創新的原動力。政府將資料釋出作為開放資料（open data）已是常見的做法，也加速了公共政策、產品服務等可衍生廣大效益的領域發展。然而，當資料涉及個資或敏感內容時，從符合法律規範、保障隱私及考量承擔風險的角度來看，就不宜逕行開放這些資料。</p> <p>為了解決上述資料再利用的痛點，數位發展部（後簡稱「數位部」）推動「隱私強化技術（Privacy Enhancing Technologies，簡稱 PETs）」，以平衡隱私保護與資料運用需求。本文將討論，有哪些隱私強化技術可以幫助我們產生與原始資料特徵相似，但不洩漏隱私資訊的資料集，進而替代原始資料的釋出及運用，讓參與的各利害關係人，都能安心無負擔的進行資料分析。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0525-moda-%E9%9A%B1%E7%A7%81%E5%BC%B7%E5%8C%96-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;"><strong>隱私強化技術效益（來源：數位發展部「隱私強化技術應用指引」）</strong>（圖片來源／數位部）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>資料分享適用的隱私強化技術</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0525-moda-%E9%9A%B1%E7%A7%81%E5%BC%B7%E5%8C%96-600-2.png" style="width: 600px;" /></p> <p><strong><span style="font-size:14px;"><span style="color:#696969;">資料分享適用的隱私強化技術（來源：數位發展部「隱私強化技術應用指引」）</span></span></strong><span style="font-size:14px;"><span style="color:#696969;">（圖片來源／數位部）</span></span></p> <p>當我們已經匯集了資料，卻礙於隱私無法直接分享給他人應用時，可以透過如差分隱私、合成資料等方式，取代傳統的k-匿名化等技術，來模糊化原始資料包含的隱私資訊或個人識別資訊，以產生兼顧隱私保護及資料應用需求的衍生資料，供後續資料共享及分析應用。</p> <p>接下來我們將會簡單介紹各項隱私強化技術：</p> <p><strong><span style="color:#3399ff;">差分隱私（Differential Privacy, DP）</span></strong></p> <p>差分隱私的概念，是在要分享的資料中加入適當的雜訊，把可供識別的敏感資訊模糊化，進而達成保護隱私的目的。產製差分隱私資料集的方式有很多種，其一為統計原始表格式資料態樣及分佈頻率後，在各樣態資料分佈頻率上添加雜訊，以及藉由後處理機制增進雜訊分佈的合理性，最後再轉換回表格的形式，獲得衍生資料集。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0525-moda-%E9%9A%B1%E7%A7%81%E5%BC%B7%E5%8C%96-600-3.png" style="width: 600px;" /></p> <p><strong><span style="font-size:14px;"><span style="color:#696969;">以列聯表機制產生差分隱私資料集（來源：數位發展部「隱私強化技術應用指引」）</span></span></strong><span style="font-size:14px;"><span style="color:#696969;">（圖片來源／數位部）</span></span></p> <p>在處理差分隱私的過程中，加入的雜訊量，會根據設定的隱私預算（privacy budget, ε）而變化。其值越大添加的雜訊越少，資料也越接近真實；相對的，當隱私預算越小，隱私保護力越高但資料較失真。該怎麼設定隱私預算並沒有一定的標準，必須在保護力與資料實用性上取得平衡。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0525-moda-%E9%9A%B1%E7%A7%81%E5%BC%B7%E5%8C%96-600-4.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong><span style="font-size:14px;">隱私預算對資料的影響（來源：參考國家資通安全研究院「隱私強化技術應用推動計畫」）</span></strong><span style="font-size:14px;">（圖片來源／數位部）</span></span></p> <p>差分隱私的教母級人物 Cynthia Dwork 在《差分隱私的算法基礎（The Algorithmic Foundations of Differential Privacy ）》一書中，將差分隱私比喻為資料持有者對資料當事人的承諾：「當資料當事人允許他的資料被用於任何研究或分析時，無論是否可取得其他研究、資料集或資訊來源，資料當事人都不會遭受到任何不利的影響。」正因為差分隱私可以提供上述的保證，因此特別適合應用在對外釋出資料的情境。</p> <p>因為資料一經釋出，我們通常就難以約束取得資料的人如何使用資料，也就無法掌控資料，但如果釋出經過差分隱私的資料，即便他人任意操作、應用，都仍能保有符合隱私預算的保護力。例如，美國普查局 2008 年在發佈通勤模式微觀資料時就應用了差分隱私技術，確保研究各地居民的通勤狀況時，不會洩漏居民的居住地或工作地等個資。</p> <p><span style="color:#3399ff;"><strong>合成資料（Synthetic Data）</strong></span></p> <p>合成資料是藉由資料生成技術，產生具有和真實資料統計特徵與結構的人造資料。隨著生成式AI的發展，大語言模型（Large Language Model，LLM）和生成對抗網路（Generative Adversarial Network, GAN）都是現在合成資料會使用到的技術。生成對抗網路架構的特色在於擁有生成器（Generator）與鑑別器（Discriminator）：生成器負責生成資料集，鑑別器則負責辨別生成的資料集與真實資料的相似性。反覆經歷生成、鑑別、彼此競爭學習的過程，直到鑑別器無法分辨生成資料集的真偽，則代表該生成資料集已具有真實資料相似的資料特徵，但細部數值完全是生成而來的。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0525-moda-%E9%9A%B1%E7%A7%81%E5%BC%B7%E5%8C%96-600-5.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong><span style="font-size:14px;">以生成對抗網路產生合成資料（來源：數位發展部「隱私強化技術應用指引」）</span></strong><span style="font-size:14px;">（圖片來源／數位部）</span></span></p> <p>而大語言模型則是利用其對於文字的理解及預測來產製符合人類觀點的資料樣態，因此生成的資料可能不符合實際應用目的。下圖簡單示範對生成式 AI 提出合成資料的需求，包含資料集的欄位、統計特性、資料筆數等，由生成式 AI 生成一批合成資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0525-moda-%E9%9A%B1%E7%A7%81%E5%BC%B7%E5%8C%96-600-6.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;"><strong>以生成 AI 生成合成資料示意圖</strong>（圖片來源／數位部）</span></span></p> <p>因為合成資料內容是 AI 生成的特性，確保了與真實資料沒有絕對的關聯性。因此，當我們希望盡可能避免揭露真實資料時，可用合成資料替代真實資料進行統計分析、機器學習訓練等應用。以下舉一些相關的使用案例：</p> <p>●加拿大統計局透過合成資料，生成包含人口普查、健康和死亡資料等敏感資訊的資料集，可在不侵犯個人隱私的情況下，產製高可用性且貼近真實的資料讓黑客松競賽參賽者進行分析。</p> <p>●英國臨床研究資料庫（Clinical Practice Research Datalink, CPRD），透過合成資料技術，提供接近真實資料的心血管疾病與 COVID-19 資料集，讓研究人員能夠透過各種分析或機器學習手段，進行對社會有益的研究。</p> <p><span style="color:#3399ff;"><strong>傳統的 k-匿名化（k-anonymization）</strong></span></p> <p>傳統的去識別化方式，包含抑制/編修（Suppression/Redaction）、遮罩（Masking）、記號化（Tokenization）、雜湊化（Hashing）、泛化（Generalization）等等，像是將表格式資料中的姓名用「〇」取代、將身分證字號置換為另一組符合身分證字號編碼原則的假數字、將年齡 25 歲，泛化為年齡 20~29 歲等，都是去識別化。</p> <p>其中，k-匿名化結合了各種去識別化技術，運用上述這些方式，來模糊化資料，確保每筆資料都至少有其他 k-1 筆相同的資料來互相掩護。如下圖所示，以年齡為例，若 k=5 則表示每一筆資料都至少要有 5-1=4 筆其他相同資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0525-moda-%E9%9A%B1%E7%A7%81%E5%BC%B7%E5%8C%96-600-7.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;"><span style="font-size:14px;">k-匿名化概念</span></span></strong><span style="color:#696969;"><span style="font-size:14px;">（圖片來源／數位部）</span></span></p> <p>k-匿名化是種單純且傳統的去識別化方式，從隱私保護的角度來判斷資料模糊化的程度，要做到較好的隱私防護，k必須設定成較大的數值，資料也會更模糊，但也有可能導致太特殊的資料被刪除；除此之外，真實資料經過k-匿名化處理後對外公開，仍具有一定的隱私洩漏風險。</p> <p>假設有一份「X區罹患罕見疾病名冊」，經k-匿名化後雖然資料已經模糊化，但是與另一份「X區年齡分佈名冊」進行比對，則有可能被識別出哪些人罹患了罕見疾病。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0525-moda-%E9%9A%B1%E7%A7%81%E5%BC%B7%E5%8C%96-600-8.png" style="width: 506px;" /></p> <p><span style="color:#696969;"><strong><span style="font-size:14px;">k-匿名化資料集透過外部資料再識別</span></strong><span style="font-size:14px;">（圖片來源／數位部）</span></span></p> <p>因此，在技術發達的現在，除非資料運用的範圍是可控的，否則並不鼓勵直接釋出 k-匿名化後的資料供他人自由運用。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>隱私強化技術並非遙不可及</strong></span></span></p> <p>有鑒於隱私強化技術可以保障資料的隱私，在各種 AI 及資料科學發展的進程中，妥善的應用隱私強化技術更可以加深資料當事人，與非個資數據利用者之間的信任關係。</p> <p>為了促進各界瞭解隱私強化技術，及降低技術應用的成本，數位發展部已公告「隱私強化技術應用指引」（<a href="https://gov.tw/Byk">https://gov.tw/Byk</a>）、發展「資料共享分析之隱私保護開源方案」，並規數位劃公共建設，為政府機關建立跨領域資料安全鏈結及增強隱私防護，以降低各界應用隱私強化技術的門檻。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0525-moda-%E9%9A%B1%E7%A7%81%E5%BC%B7%E5%8C%96-600-9.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#696969;"><span style="font-size:14px;">資料共享分析之隱私保護開源方案架構圖</span></span></strong><span style="color:#696969;"><span style="font-size:14px;">（圖片來源／數位部）</span></span></p> <p>「資料共享分析之隱私保護開源方案」的設計目的，是解決單位間分享資料的障礙，以解決業務痛點的應用情境。它可以從 2 個環節來保護隱私：</p> <p>●多個單位的敏感資料，可以藉由基本的隱私保護措施（例如假名化或是加密技術）匯集，避免直接提供未經處理的直接、間接識別欄位。</p> <p>●運用差分隱私、合成資料等方式，來進行匿名化及資料最小化，並保留這些非個資數據的分析特徵，代替原始資料進行後續的資料洞察。</p> <p>需要注意的是，在原始資料經過隱私強化處理的過程中，為保障資料機敏性而加入的雜訊、資料泛化的程度、刪除的離群資料及生成的人造資料等，都將影響衍生資料與原始資料間的差距，也連動資料隱私保護力與後端資料應用的準確性。</p> <p>在全球發展資料驅動治理及 AI 創新的趨勢下，資料是數位轉型的核心，面對龐大資料應用需求，除呼籲資料處理仍須符合法律規範、公平及透明原則外，更建議進一步認識各種隱私強化技術、了解其效益及限制，並視使用情境擇定合適技術，互相搭配並予以驗證，確認資料可用性及保護力，以平衡資料保護與資料應用需求，進而建構公眾信任之資料創新環境，加速資料生態的共榮發展，促進社會發展、福國利民。</p> <p><a href="https://moda.gov.tw/press/multimedia/blog/12810" target="_blank"><span style="color:#696969;"><strong>（本文轉載自moda blog）</strong></span></a></p> </div></div></div>
2024/5/25 20:25署名 moda專欄https://www.ithome.com.tw/article/163107
Angular 18改進Hydration的國際化支援，穩定提供Material 3與可延遲檢視功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.angular.dev/angular-v18-is-now-available-e79d5ac0affe?gi=68067db268f1" target="_blank">前端框架Angular 18出爐</a>，這個版本的主要目標在於改進現有功能。在Angular 17中加入，提供JavaScript直覺程式碼編寫風格，具有降低開發者對文件依賴，以及良好類型檢查方法的內建控制流程語法，還有用於改進延遲載入的可延遲檢視（Deferrable Views）功能，經過數月發展之後已經在Angular 18穩定，開發者可放心用於產品開發上。</p> <p>在數月前開發團隊引入對Material 3的實驗性支援，現在也於Angular 18中穩定。開發團隊也已經使用Material 3的主題和文件，更新Angular Material元件官方網站material.angular.io。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Angular%20v18-Material%203-stable.png" style="width: 600px;" /></p> <p>Angular開發團隊與Chrome Aurora團隊合作，於Angular 18引入i18n（Internationalization）模組的Hydration支援，這代表伺服器端渲染現在可以高效處理多語言內容。Hydration是指客戶端將伺服器端預渲染的靜態HTML，轉變成動態網頁的過程，這種技術讓客戶端不需要從頭開始建構整個DOM，而是將靜態內容轉換成可互動元素，因此可以明顯提高首次載入的速度。</p> <p>加入i18n支援後，伺服器端結合Hydration，可以在加快頁面載入時間的同時，確保多語言內容的正確呈現。</p> <p>此外，開發團隊也加入一項實驗性的變更偵測機制，目的是要改善開發者體驗與效能。目前Angular使用zone.js函式庫來觸發變更偵測，但是zone.js存在一些開發者體驗和效能上的缺陷，而這次Angular開發團隊推出一系列實驗性API，允許開發者在不仰賴zone.js的情況下使用Angular。</p> <p>不仰賴zone.js的變更偵測架構，與微前端的可組合性更好，與其他框架的互通性更佳，而且由於不仰賴zone.js，初始渲染和執行時間得以加快，且程式大小縮減頁面載入速度加快，堆疊追蹤更易讀，開發者除錯起來也更輕鬆。</p> </div></div></div>
2024/5/24 18:37作者李建興https://www.ithome.com.tw/news/163088
【資安日報】5月24日，研究人員揭露中國駭客組織APT41的作案工具KeyPlug，並指出有可能也提供當地資安業者安洵…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近有研究人員針對惡名昭彰的中國駭客駭客組織APT41攻擊行動進行調查，並指出對方使用名為KeyPlug的後門程式攻擊義大利的企業組織，其手法相當複雜、刁鑽。</p> <p>雖然這並非這些駭客首度運用KeyPlug，但研究人員比對這次的作案工具特徵，認為他們疑似曾更換軟體的名稱提供中國資安業者安洵使用，這間接印證兩者之間有合作關係的現象。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163086"><strong style="font-size: 22px;">中國駭客組織APT41鎖定義大利企業組織，散布後門程式KeyPlug</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/keyplug-image15.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/keyplug-image15.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Tinexta Cyber旗下的Yoroi惡意軟體研究團隊揭露中國駭客組織APT41近期的攻擊行動，這些駭客鎖定義大利的企業組織而來，部署名為KeyPlug的後門程式，駭客以C++開發而成，並打造Windows及Linux版本，並能透過HTTP、TCP、UDP等多種網路通訊協定接收來自C2的命令。而對於駭客使用這個後門程式的時間，他們推測最早在2021年6月可能就開始使用。</p> <p>附帶一提，他們也將這項APT41使用的作案工具與今年2月中國資安業者安洵（i-Soon，或寫作Anxun）流出的資料進行比對，並指出這批資料當中提到一種名為Hector的RAT木馬程式，很有可能就是他們本次調查的KeyPlug。</p> <p><a href="https://www.ithome.com.tw/news/163089"><strong style="font-size: 22px;">針對Ivanti零時差漏洞攻擊事故，資安組織MITRE揭露駭客濫用VMware虛擬化平臺的細節</strong></a></p> <p>上個月資安組織MITRE證實今年1月遭遇Ivanti零時差漏洞攻擊，當中提及駭客操弄受害網路環境的VMware虛擬化平臺來埋藏行蹤，現在他們將攻擊手法的細節公諸於世，讓IT人員能夠察覺、防範這類新興威脅。</p> <p>MITRE指出，駭客在企圖濫用虛擬化環境之前，已得到ESXi基礎架構的管理權限，並藉由系統服務帳號，產生用於攻擊行動的虛擬機器（VM），這麼做的目的，就是讓管理者無法從vCenter管理主控臺察覺這些VM的存在。</p> <p>針對此種新興攻擊手法，MITRE提供相關的檢測方式，並公布兩款能掃描這類威脅的指令碼工具，它們分別是：由MITRE打造的Invoke-HiddenVMQuery，以及資安業者CrowdStrike開發的VirtualGHOST。</p> <p><a href="https://www.ithome.com.tw/news/163078"><strong style="font-size: 22px;">臺藝大校友網站個資驚傳外洩，校方緊急關閉網站、請求Google協助清除暫存內容</strong></a></p> <p>本週臺灣藝術大學發出資安公告，指出他們的校友聯絡中心網站存在資安問題，任何人透過Google搜尋就有機會看到申請校友證的個資，他們緊急將網站關閉，請求Google協助清除暫存內容，並對於含有機敏個資的中級系統，全面進行弱點掃描。</p> <p>臺藝大在18日接獲校友反映，任何人只要透過Google搜尋，就有機會看到校友的個資，這些資料與申請校友證有關，包含姓名、身分證字號、地址、室內電話號碼、行動電話號碼、電子郵件信箱。</p> <p>電算中心獲報後進行緊急應變措施，並將對於含有機敏個資的中級系統進行弱點掃描、修復，並對於個資欄位進行遮罩及加密處理。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.rapid7.com/blog/post/2024/05/23/cve-2024-4978-backdoored-justice-av-solutions-viewer-software-used-in-apparent-supply-chain-attack/"><strong style="font-size: 20px;">JAVS法庭錄影軟體遭遇供應鏈攻擊，攻擊者在安裝程式植入後門</strong></a></p> <p></p> <p>◆<a href="https://research.checkpoint.com/2024/bad-karma-no-justice-void-manticore-destructive-activities-in-israel/"><strong style="font-size: 20px;">資料破壞軟體BiBi Wiper出現新變種，鎖定以色列、阿爾巴尼亞發動攻擊</strong></a></p> <p>◆<a href="https://udn.com/news/story/7324/7982008"><strong style="font-size: 20px;">桃園市埔頂地區變更計畫案公展資料洩露民眾個資，都發局坦承疏失</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163077"><strong style="font-size: 22px;">Ivanti修補端點管理程式EPM重大層級的SQL注入漏洞</strong></a></p> <p>5月21日資安業者Ivanti發布本月份資安公告，修補Avalanche、Neurons for ITSM、Connect Secure（ICS）、Secure Access、Endpoint Manager（EPM）等旗下產品16個漏洞。</p> <p>值得留意的是，這次有超過半數漏洞與EPM有關，而且，這些漏洞多為高風險或重大層級。本次Ivanti共為EPM修補10個漏洞，這些漏洞皆為SQL注入漏洞，存在於EPM核心伺服器，影響2022 SU5以前的版本，一旦遭到利用，攻擊者就能在未經身分驗證的情況下，透過EPM所在的網路環境執行任意程式碼，CVSS風險評分有6個為9.6分，其餘為8.4分。</p> <p><a href="https://www.ithome.com.tw/news/163080"><strong style="font-size: 22px;">GitLab揭露高風險漏洞，未經身分驗證的攻擊者恐發動XSS攻擊接管帳號</strong></a></p> <p>5月22日GitLab發布社群版（CE）及企業版（EE）的17.0.1、16.11.3、16.10.6更新，當中修補7個漏洞，其中有1個被列為高風險層級，而特別值得留意。</p> <p>這項高風險漏洞是CVE-2024-4835，為一鍵點擊的帳號挾持漏洞，攻擊者可製作惡意網頁，在未經身分驗證的情況下，利用Visual Studio Code程式碼編輯器（網頁IDE）觸發漏洞進行跨網站指令碼（XSS）攻擊，從而洩漏使用者機敏資訊，進而有機會接管帳號，CVSS風險評為8.0分。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163084"><strong style="font-size: 22px;">Gogolook以1.5億元併購荷蘭防詐服務商ScamAdviser，盼加速企業服務推向全球市場</strong></a></p> <p>以阻擋惡意電話與簡訊Whoscall聞名，去年於創新板掛牌上市的Gogolook（走著瞧-創），於24日在臺灣證券交易所召開重大訊息記者會，說明將併購總部位於荷蘭的數位防詐服務商ScamAdviser，期待進一步帶動企業端服務，加速擴及全球市場。</p> <p>Gogolook財務長黃鈺文在重大訊息記者會上表示，該公司本日召開董事會通過海外股權收購案，預計以不超過450萬歐元現金（約新臺幣1.56億元），取得此防詐服務商100%股權，預計於今年第三季前完成交割。</p> <p>對於Gogolook而言，這次併購有何效益？黃鈺文在記者會提到三大重點，簡單來說，首先，強化防詐技術與擴展不同防護場景，其次是深入走進企業防詐服務，第三是跨入歐美市場。而我們可以看出，尤其是後兩者的效益，是Gogolook非常看重的部分。</p> <p><a href="https://www.ithome.com.tw/news/163079"><strong style="font-size: 22px;">政府推動零信任架構，今年完成A級機關導入身分鑑別，2機關將先導入信任推斷機制</strong></a></p> <p>在今年CYBERSEC 2024臺灣資安大會上，國家資通安全研究院副院長吳啟文分享臺灣推動零信任架構策略及現況，他指出目前為優先推動A級機關導入零信任架構，2023年將身分鑑別導入機關，特別是以導入T-Road的機關為優先，去年數位部開始輔導22個A級機關導入身分鑑別、選定2個機關試行導入設備鑑別。</p> <p>數位部從2023年開始推動A級機關導入零信任架構，預定在2024年完成全部A級機關導入身分鑑別機制。目前資安院已公告信任推斷的驗證檢核表，供廠商產品送驗參考，2024年計畫由2個機關導入信任推斷機制，作為未來推動政策參考，資安院也會持續鼓勵廠商投入零信任相關產品開發，並納入共同供應契約，為政府導入零信任架構作好準備。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.cyberark.com/press/cyberark-signs-definitive-agreement-to-acquire-machine-identity-management-leader-venafi-from-thoma-bravo/"><strong style="font-size: 20px;">身分驗證資安業者CyberArk以15億美元買下機器識別管理公司Venafi</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-to-start-killing-off-vbscript-in-second-half-of-2024/"><strong style="font-size: 20px;">微軟宣布將於今年下半棄用VBScript，並規畫3階段將其退役</strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163066"><strong>【5月23日】微軟推出AI電腦新功能Recall引發隱私爭議，英國主管機官宣布啟動調查</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163037"><strong>【5月22日】針對研究人員指控修補NAS作業系統漏洞速度太慢，威聯通發布聲明說明處理進度</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163006"><strong>【5月21日】金融木馬Grandoreiro傳出東山再起，駭客攻擊範圍從拉丁美洲擴及全球逾60個國家</strong></a></p> </div></div></div>
2024/5/24 16:52作者周峻佑https://www.ithome.com.tw/news/163090
Gogolook以1.5億元併購荷蘭防詐服務商ScamAdviser，盼加速企業服務推向全球市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以阻擋惡意電話與簡訊Whoscall聞名，去年於創新板掛牌上市的Gogolook（走著瞧-創），該公司於今日（24日）於臺灣證券交易所召開重大訊息記者會，說明將併購總部位於荷蘭的數位防詐服務商ScamAdviser，期待進一步帶動企業端服務，加速擴及全球市場。</p> <p>值得我們注意的是，由於臺灣資安業者併購國外公司並不多見，因此，這次併購案相當吸引產業目光。</p> <p>Gogolook財務長黃鈺文在重大訊息記者會上表示，今日Gogolook召開董事會，通過海外股權收購案，預計以不超過450萬歐元現金，取得防詐服務商ScamAdviser（公司名為Ecommerce Operations B.V.）100%股權，約新台幣1.56億元，預計於今年第三季前完成交割。</p> <p>對於Gogolook而言，這次併購有何效益？黃鈺文在記者會提到三大重點，簡單來說，首先，強化防詐技術與擴展不同防護場景，其次是深入走進企業防詐服務，第三是跨入歐美市場。而我們可以看出，尤其是後兩者的效益，是Gogolook非常看重的部分。</p> <p>具體而言，在防詐技術面上，Gogolook將藉助ScamAdviser的網域風險評級與分析方面的獨特技術，強化自身的網域防詐能力與資料庫護城河，以充實既有消費端與企業端的防詐解決方案，同時，也看重能增加電話與簡訊以外的數位保護場景。此外，他們還希望透過強化資料源來建立AI時代的優勢。</p> <p>在深入企業防詐服務方面，由於ScamAdviser在企業客戶防詐服務有多年經驗，因此在這次併購下，希望讓消費者端服務起家的Gogolook，可以加速掌握企業端服務的運作模式。以Gogolook 2023 年全年營收來看，企業端服務營收僅占4%，因此Gogolook認為這方面的長期成長值得期待。</p> <p>在跨入歐美市場方面，由於Gogolook目前營收有9成以上都來自亞洲，因此Gogolook看重ScamAdviser在歐美地區的網站流量、品牌知名度，希望使Gogolook更順利將旗下服務跨出亞洲。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Gogolook%E5%AE%A3%E5%B8%83%E4%BD%B5%E8%B3%BCScamAdviser.jpg" style="width: 600px;" /><br /> <strong>ScamAdviser網站提供了免費網站安全檢查服務，目前已經支援多種語系，包括英文、德文、西班牙文、法文、義大利文、荷蘭文、日文、葡萄牙文、羅馬尼亞文、烏克蘭文、繁體中文與簡體中文。</strong></p> <p>在這次併購消息公布之後，我們也詢問他們將如何推動ScamAdviser？Gogolook表示，由於Google整體的營運發展規模較大，因此將可提供ScamAdviser更多資源，加速商業發展，提升雙方合作的綜效。</p> <p>另一個我們關注的面向是，這個在歐美知名的ScamAdviser網站服務，雖然已有提供繁體中文介面，但在臺灣並不算知名，是否會再國內積極推廣？該公司表示，由於ScamAdviser已陸續將詐騙網域的資料與分析技術，結合在Whoscall在內的產品線的功能中，因此，對於臺灣用戶而言，可以使用原本熟悉的工具提升防詐保護力。</p> <p>無論如何，反詐騙需求高漲，<a href="https://www.ithome.com.tw/news/163015">日前國際間才傳出新消息，是Tinder母公司Match Group、社交平臺Meta，以及多家加密貨幣平臺，共同成立新聯盟Tech Against Scams</a>，目標對抗網路愛情詐騙與殺豬騙局的金融詐騙活動。</p> <p>如今，再有臺廠Gogolook併購ScamAdviser的消息，都顯示詐騙威脅態勢的增溫，也帶動防詐產業的進化。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E7%AC%AC%E4%B8%80%E5%B1%86%E4%BA%9E%E6%B4%B2%E9%98%B2%E8%A9%90%E9%AB%98%E5%B3%B0%E6%9C%83_Gogolook%E8%88%87GASA_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>去年底，全球反詐聯盟GASA在臺舉辦亞洲防詐高峰會，當時GASA董事總經理暨ScamAdviser執行長Jorij Abraham（圖右）就有來臺發表演說，並與Gogolook執行長郭建甫（圖左）共同揭露《亞洲詐騙調查報告》，分析國際最新詐騙態勢。如今，隨著Gogolook併購ScamAdviser，顯然也是期望在防詐服務與區域上，透過互補方式，進一步強化整體的全球防詐能量。</strong></p> </div></div></div>
2024/5/24 14:57作者羅正漢https://www.ithome.com.tw/news/163084
中國駭客組織APT41鎖定義大利企業組織，散布後門程式KeyPlug
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Tinexta Cyber旗下的Yoroi惡意軟體研究團隊<a href="https://yoroi.company/en/research/uncovering-an-undetected-keyplug-implant-attacking-industries-in-italy/">揭露中國駭客組織APT41近期的攻擊行動</a>，這些駭客鎖定義大利的企業組織而來，部署名為KeyPlug的後門程式，駭客以C++開發而成，並打造Windows及Linux版本，並能透過HTTP、TCP、UDP等多種網路通訊協定接收來自C2的命令。而對於駭客使用這個後門程式的時間，他們推測最早在2021年6月可能就開始使用。</p> <p>研究人員指出，針對KeyPlug的調查結果，印證APT41攻擊的手法相當複雜，該惡意程式可在受害網路環境存活長達數個月，而且，端點回應與偵測（EDR）、以網路為基礎的入侵偵測系統（NIDS）皆無法察覺其惡意行為。</p> <p>在針對Windows電腦的攻擊行動中，駭客透過以.NET Framework打造的惡意程式載入工具，使用AES演算法解密特定圖示檔案（.ICO），然後呼叫名為VirtualAlloc的API分配記憶體位置，並將解密完成的後門程式存放在記憶體內，接著對方竄改記憶體防護機制，以便透過名為VirtualProtect的API呼叫、執行Shell Code，而這麼做的目的，就是確保該Shell Code完成解密後，能在受害電腦系統上執行。</p> <p>接著，攻擊者使用自行打造的雜湊值演算法，讓Shell Code動態載入API，並呼叫VirtualAlloc函式功能，取得另一個記憶體區塊，解密並載入KeyPlug。</p> <p>該後門程式會解密組態配置檔案，然後透過WMIC進行偵察，並藉由Cloudflare的CDN與WebSocket Secure通訊協定，與C2進行通訊。</p> <p>至於Linux版本的KeyPlug，研究人員指出，相較於Windows版本來得複雜，而且經過VMProtect處理，且看似有採用UPX加殼，但卻無法直接解開。此惡意程式在執行過程會解密有效酬載，完成後藉由系統呼叫重新載入，這麼做的目的，導致資安人員分析該惡意軟體變得更加困難。</p> <p>附帶一提，他們也將這項APT41使用的作案工具與<a href="https://www.ithome.com.tw/news/161454">今年2月中國資安業者安洵（i-Soon，或寫作Anxun）流出的資料</a>進行比對，並指出這批資料當中提到一種名為Hector的RAT木馬程式，很有可能就是他們本次調查的KeyPlug。在此之前，也有資安業者點出兩者之間的關係，資安業者Recorded Future曾表示，他們認為兩者之間有所關連。</p> <p><a href="https://s4.itho.me/sites/default/files/images/keyplug-image15.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/keyplug-image15.png" style="width: 580px;" /></a></p> </div></div></div>
2024/5/24 15:27作者周峻佑https://www.ithome.com.tw/news/163086
針對Ivanti零時差漏洞攻擊事故，資安組織MITRE揭露駭客濫用VMware虛擬化平臺的細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安機構MITRE先後於<a href="https://www.ithome.com.tw/news/162443">4月19日</a>、<a href="https://www.ithome.com.tw/news/162772">5月3日</a>，針對他們1月遭遇Ivanti零時差漏洞攻擊的事故，公布駭客攻擊的手法、事件發生的過程，以及過程中使用的後門程式、Shell Code等作案工具。當時他們曾透露攻擊者入侵該組織用於研究、開發、原型設計的協作網路環境「網路實驗、研究及虛擬化環境（NERVE）」時，藉由VMware虛擬化平臺來維持在該環境當中活動，<a href="https://medium.com/mitre-engenuity/infiltrating-defenses-abusing-vmware-in-mitres-cyber-intrusion-4ea647b83f5b">現在該機構進一步說明相關細節</a>。</p> <p>該資安機構指出，對方透過Ivanti零時差漏洞成功入侵NERVE後，先是對VMware vCenter植入後門程式BrickStorm，以及名為BeeFlush的Web Shell，然後透過另外2個稱為WireFire、BushWalk的Web Shell來竊取資料。</p> <p>但究竟對方如何隱匿相關攻擊行蹤？MITRE指出，駭客在企圖濫用虛擬化環境之前，已得到ESXi基礎架構的管理權限。</p> <p>駭客藉由系統服務帳號，產生用於攻擊行動的虛擬機器（VM），這麼做的目的，就是讓管理者無法從vCenter管理主控臺察覺這些VM的存在。</p> <p>接著，他們在今年1月5日，操縱這些VM並使用外流的管理者帳號，對於整個基礎設施進行控制。對方也在vCenter伺服器的Tomcat元件中，植入以JSP打造稱為BeeFlush的Web Shell，目的是執行以Python為基礎的隧道工具，使得駭客建立的VM，能與ESXi的管理程式能夠進行SSH連線。</p> <p>事隔2日，這些駭客存取VM並部署惡意酬載BrickStorm，值得留意的是，他們也濫用虛擬化平臺的預設帳號Vpxuser，呼叫7個API，目的是進行偵察，盤點已掛載及未掛載的磁碟。</p> <p>而對於駭客所使用的VM，還具備另一項特徵，那就是這些VM具備兩組網路介面，其中一種是用於連接網際網路，以便接收C2通訊；另一種則是與內部環境的子網路進行連線。</p> <p>該組織表示，這代表IT人員透過vCenter集中管理主控臺來管理VM，很有可能難以察覺攻擊者的行為，對此，MITRE提供相關的檢測方式，並公布兩款能掃描這類威脅的指令碼工具，它們分別是：由MITRE打造的Invoke-HiddenVMQuery，以及資安業者CrowdStrike開發的VirtualGHOST。</p> </div></div></div>
2024/5/24 16:37作者周峻佑https://www.ithome.com.tw/news/163089
Spotify將在年底終結首個硬體設備Car Thing
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.spotify.com/us/article/car-thing-discontinued/" target="_blank">Spotify本周宣布</a>，該公司在2021年發表的車上串流裝置Car Thing將在今年12月9日停止運作。</p> <p>Car Thing為Spotify的首款硬體產品，允許用戶連至手機時透過語音及車上喇叭系統來控制Spotify，它配備一個4吋的觸控螢幕，更容易選擇曲目，不過，它僅支援Spotify Premium付費用戶，也沒有太多獨特的功能，使得許多人將它稱為Spotify的搖控器。</p> <p>Spotify在2021年10月開始小規模測試Car Thing，2022年2月正式對外銷售，售價為90美元，但該公司在同年7月便宣布停產Car Thing，之後還曾將其降價至50美元。</p> <p>而根據Spotify本周的更新，Car Thing裝置自今年12月9日之後將無法再運作，目前並無計畫推出Car Thing的新版本或替代產品，建議用戶將它重置為出廠預設值，以將它回收。</p> <p>事實上，要在車上聆聽Spotify有許多方法，通常是直接將手機與車上娛樂系統連結即可，包括Spotify Connect、藍牙、AUX或USB傳輸線，或者是Android Auto與Apple CarPlay，而且現在有許多汽車的娛樂系統直接內建了Spotify。</p> <p>不過，Spotify沒有任何退款計畫，要求用戶直接把Car Thing拿去回收的態度還是<a href="https://community.spotify.com/t5/forums/searchpage/tab/message?filter=dateRangeType&q=car%20thing&rangeTime=24h&collapse_discussion=true" target="_blank">惹毛了一些人</a>，也有人<a href="https://www.reddit.com/r/spotify/comments/1cyxzyg/vote_to_open_source_car_thing/" target="_blank">開始號召</a>，要求Spotify將Car Thing開源。</p> </div></div></div>
2024/5/24 15:28作者陳曉莉https://www.ithome.com.tw/news/163087
【臺灣資安大會直擊】資安院：政府推動零信任架構，今年完成A級機關導入身分鑑別，2機關將先導入信任推斷機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「隨著資料及服務的雲端化，使用者的行動化，使用設備的多元化，傳統資安防禦以網路作為信任邊界的作法愈來愈困難」，在今年臺灣資安大會上，國家資通安全研究院副院長吳啟文分享我國推動零信任架構策略及現況時說。</p> <p>傳統以網路為邊界，網路內存取值得信任，而來自網路外的存取不被信任，然而，現今有不少資安風險來自網路內，使得此一傳統防禦觀念受到挑戰，近幾年以保護資料及應用存取，強調對資料存取永不信任（Never Trust）且必需驗證（Always Verify）的零信任架構興起。</p> <p>吳啟文表示，零信任架構從早期的概念探討，近幾年更發展至實務部署規畫階段，美國、英國、新加坡、日本、歐盟等相繼發表其零信任架構推動策略，在網路疆界不再，沒有內外網分別，資安威脅無所不在之下，零信任架構成為重要國家強化自身網路安全的對策。值得一提的是，零信任導入並非一次性技術汰換，在推動實施過程中，需與傳統模式混合運作。</p> <p>他以較早推動的美國為例，美國從2021年總統拜登提出行政命令，要求聯邦政府推動零信任架構，美國政府發表零信任架構安全原則，基於該原則，美國總務署GSA提出零信任採購指引，國防部DOD提出零信任策略，美國網路暨基礎設施安全局（CISA）也提出零信任成熟度模型。美國國家標準暨技術研究院（NIST）也發布零信任架構SP 800-207、實施指引草案，以及SP 800-63身分與存取管理指引第四版草案等。</p> <p>吳啟文指出，美國推動零信任是以整個組織推動。以國防部為例，他們將零信任架構分為7個支柱，使用者、裝置、應用程式與工作負載、資料、網路與環境、自動化與協作、可視化與分析，共畫分45個能力（Capabilities）推動依成熟度分為目標等級（Target level）及進階等級（Advanced level），並訂定2027年達到雲信任架構部署的Target level。</p> <p>CISA於2023年4月發表零信任成熟度模型2.0，將零信任能力分為5個支柱，身分、裝置、網路、應用程式與工作負載、資料，並將每個支柱成熟度分為4個階段，傳統階段（Traditional）、起始階段（Initial）、進階階段（Advanced）、最佳階段（Optimal）。不同於國防部的架構，CISA將可視性與分析、自動化與協作、治理3項，視為5個支柱的共同基礎。</p> <p>韓國則在2023年6月由科學技術情報通訊部（MSIT）發表零信任準則1.0，作為政府機關、企業導入零信任架構參考，該準則將零信任架構分為6個支柱，身分、設備、網路、系統、應用、資料，並建議規畫成熟度目標，應考慮組織內外部影響因素，例如現有技術及政策法規，以及相關的ISMS驗證、雲端安全驗證、資通訊及資安驗證等。</p> <p>值得一提的是，韓國政府列出零信任的6個應用情境，包括母公司與分公司的遠端存取、第三方協作、內部網路與網際網路、內部與雲端部署、物聯網、工業控制，列出不同應用情境之下，推動零信任的目標、實踐重點，供各產業不同情境的組織在落實零信任架構時參考。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20240515_141134-600.jpg" style="width: 600px; height: 391px;" /></p> <p><strong><span style="color:#B22222;">我國導入零信任架構策略3大核心機制：身分鑑別、設備鑑別、信任推斷</span></strong></p> <p>臺灣也不落人後，主要參考NIST SP800-207，以及身分與存取管理的SP800-63，分為身分鑑別、設備鑑別、信任推斷。吳啟文表示，考慮到整個組織推動較為困難，因此選擇以核心資通訊系統導入，並以基準（baseline）的概念推動，未來可以從身分鑑別、設備鑑別、信任推斷，逐漸擴大至整個組織。</p> <p>依據NIST SP800-207，採用資源門戶的部署方式（Resource Portal-Based Deployment），零信任架構分為核心組件、支援組件，核心組件控制資源的存取，負責鑑別、授權、管理連線，支援組件則是支援存取決策的周邊系統，例如身分管理、活動日誌、威脅情資、資料存取政策等等。</p> <p>我國將零信任分為3大核心機制，身分鑑別、設備鑑別、信任推斷。其中的身分鑑別採用多因子身分鑑別（例如FIDO無密碼驗證）與鑑別聲明；設備鑑別則是鑑別使用設備、設備健康管理；信任推斷則是綜合使用者的身分、設備及行為各方面，作為信任推斷的依據。</p> <p>依照NIST SP800-63-3，該標準建立的身分鑑別機制，將身分鑑的嚴謹度定義為身分保證等級（IAL）、鑑別保證等級（AAL）、聯邦保護等級（FAL），每個身分鑑別等級的嚴謹程度又分為3個1、2、3等級（數字愈高，等級愈高），我國採用基準概念，政府公部門推動零信任架構，至少需滿足IAL2、AAL3及FAL2（下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ID-600.jpg" style="width: 600px; height: 373px;" /></p> <p>在身分鑑別方面，採無密碼雙因子，例如FIDO2鑑別使用者的身分，至於由身分鑑別者（Identity Party，IdP）提供給服務提供者（Relying Party，RP）的使用者身分鑑別聲明，需採用簽章或加密技術，確保RP可解密及驗證鑑別聲明，確保聲明的機密性及完整性。</p> <p>在設備鑑別方面，採用公開金鑰技術作為設備鑑別，由設備上的TPM安全晶片或代理程式產生金鑰憑證，完成設備註冊及鑑別；同時也持續監控設備的健康狀態，依據設備健康狀態計算對該設備的健康信任等級。</p> <p>吳啟文指出，設備健康狀態包含作業系統更新、防毒更新、應用軟體更新、組態合規等，根據不同的狀態評分，計算使用設備的健康信任等級。</p> <p>至於信任推斷方面，基於信任推斷來決定存取權限，信任推斷機制可能制定規則、分數，或是混合規則與分數。以分數為例，依使用情境計算每次存取的信任分數，綜合參考身分鑑別、設備鑑別、設備健康、IP位址、登入時間，還有外部情資如CVSS評分、EPSS漏洞利用評分等等，根據上述資料計算信任等級，再依權重、信任等級計算出信任分數，依不同的信任分數允許或是拒絕存取。</p> <p>吳啟文表示，我國推動零信任雖然以身分鑑別、設備鑑別、信任推斷為3大核心，分別對應國防部DOD零信任架構7大支柱中的「使用者」、「裝置」、「可視化與分析」，但是在我國的零信任系統架構中，也對應DOD的「應用程式與工作負載」、「資料」、「自動化與協作」、「網路與環境」4個支柱。此外，「應用程式與工作負載」、「資料安全」則回歸我國的資通安全管理法要求。</p> <p>與DOD的零信任架構45項能力相比，他認為，我國的零信任架構並未詳細定義相關技術，例如資料外洩防護、軟體定義網路、手機裝置管理、自動動態規則，這些在未來可成為我國精進方向。另外，如以CISA零信任成熟度模型來看，我國的零信任架構要求，在CISA的「身分」、「裝置」、「網路」3個支柱方面，我國的規定可達到成熟度模型中的進階階段（Adavanced），至於「應用程式與工作負載」、「資料」2個支柱則達到起始階段（Initial）大部分能力，CISA的部分成熟度能力，例如應用程式先測試再部署、資料分類分別，屬於管理面的要求，可由資通安全管理法來補足。</p> <p><strong><span style="color:#B22222;">今年3月中接受政府零信任架構信任推斷產品驗證</span></strong></p> <p>配合政府機關推動零信任架構，從2022年開始接受政府零信任架構身分鑑別、設備鑑別2項產品功能符合性與整合驗證服務，2024年3月中開始接受信任推斷產品功能符合性驗證申請。廠商送驗分為業者依檢核表自評、業者依檢核表展示功能、業者至資安院驗測3個階段。截至5月15日為止，已有13項產品通過身分鑑別的，2項通過設備鑑別。</p> <p>吳啟文表示，為促使廠商彼此合作整合，鼓勵業者申請身分鑑別、身分鑑別+設備鑑別、身分鑑別+設備鑑別+信任推斷等驗證模式。對於業者反映驗證作業緩慢的問題，未來資安院將與學校合作，增加受理的能量。另外，也希望廠商送驗產品提交資安檢測報告的必要性，因為在檢測時發現分部產品存在漏洞，希望增加產品本身的資安檢測。</p> <p><strong><span style="color:#B22222;">去年先以資安責任A級機關優先導入身分鑑別</span></strong></p> <p>我國政府零信任架構推動，依照「第六期國家資通安全發展方案」（2021年至2024年）中「善用智慧前瞻科技，主動抵禦潛在威脅」推動策略，訂定在2021年完成零信任架構、概念性驗證及部署規畫，從2022年到2024年遴選2個機關，逐年導入身分鑑別、設備鑑別、信任推斷。至於遴選機關的標準，以機關的帳號集中度高、資通訊向上集中度高、外網存取需求高、機關配合意願高為條件，數位發展部扮演領頭羊的角色，2022年成立時即在建置資通訊系統時導入零信任網路機制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ZT-600.jpg" style="width: 600px; height: 384px;" /></p> <p>目前為優先推動A級機關導入零信任架構，2023年將身分鑑別導入機關，特別是以導入T-Road的機關為優先，去年數位部開始輔導22個A級機關導入身分鑑別；2023年選定2個機關試行導入設備鑑別。</p> <p>政府導入零信任架構，首先進行資源規畫，因為以資通訊系統導入為主，先盤點各機關的核心資通訊系統，盤點不同系統的身分鑑別方式、連線方式，使用的身分鑑別伺服器、作業系統、開發程式語言等，以進一步制定導入優先順序。另外，也針對使用實體安全金鑰或手機App，評估2種FIDO身分鑑別方式的優缺點。</p> <p>身分鑑別導入的過程中，機關需要3臺主機或VM，用以部署決策引擎、存取閘道、FIDO2伺服器，並且和機關內現有的身分鑑別伺服器介接，針對使用帳號完成一致性測試，接下來是與資通訊系統介接，包括網路組態調整。2023年更進一步試行身分鑑別與設備鑑別的整合流程，為保有彈性，對於身分鑑別、設備鑑別兩者的先後執行順序沒有限制。</p> <p><span style="color:#B22222;"><strong>經費及人力影響機關導入意願，加強不同業者產品相容性及整合</strong></span></p> <p>經過一兩年的試行、導入，吳啟文也綜整政府機關試行零信任架構的幾個挑戰，例如受限於經費及人力，影響機關導入的意願，這部分數位發展部已編列預算，協助資安責任的A級機關優先導入零信任架構的身分鑑別機制。另外，各機關內資通訊系統相當多元，可能委託不同廠商開發，因此在身分鑑別機制介接資通訊系統，面臨調整成本及廠商配合意願。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ZT-infor-600.jpg" style="width: 600px; height: 384px;" /></p> <p>至於身分鑑別機制所使用的FIDO2身分驗證，目前包括實體安全金鑰及手機App，其中實體安全金鑰，相較於手機，容易遺失，需要加強資產管理。</p> <p>另一項挑戰是，零信任產品後續相容性問題，由於我國推動零信任架構的身分鑑別、設備鑑別、信任推斷3個核心機制，可能採用不同業者的產品，後續導入必需考量到解決相容性及整合問題，目前資安院已協調通過驗證的業者，必需提供API及相關文件，供其他業者的產品克服整合的問題。</p> <p>經過近一兩年機關試行導入蒐集回饋意見，例如支援更多元的身分鑑別方式，以支援實體或行動自然人憑證；另外，也需優化設備鑑別註冊流程，以及將身分鑑別時介接的資通訊系統擴大至VDI行動辦公室。此外，更換廠商的鑑別核心機制，機關希望有更大的彈性整合，並且相關日誌可整合至Log server，並且能輸出報表。吳啟文表示，這些意見可作為未來精進推動零信任架構的參考。</p> <p>吳啟文表示，數位部從2023年開始推動A級機關導入零信任架構，預定在2024年完成全部A級機關導入身分鑑別機制。目前資安院已公告信任推斷的驗證檢核表，供廠商產品送驗參考，2024年計畫由2個機關導入信任推斷機制，作為未來推動政策參考，資安院也會持續鼓勵廠商投入零信任相關產品開發，並納入共同供應契約，為政府導入零信任架構作好準備。</p> </div></div></div>
2024/5/24 15:29作者蘇文彬https://www.ithome.com.tw/news/163079
Kotlin 2.0登場！預設啟用K2編譯器多平臺支援再強化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Android主要開發語言<a href="https://blog.jetbrains.com/kotlin/2024/05/celebrating-kotlin-2-0-fast-smart-and-multiplatform/">Kotlin 2.0</a>現在已經正式發布，這是帶有K2編譯器的重大更新版本，新的K2編譯器不只能夠更好地理解程式碼，編譯速度也提升一倍，而且使Kotlin 2.0的多平臺支援更強大，伺服器端、網頁、桌面、iOS和Android應用程式，都可以共用同一套程式碼庫。</p> <p>K2編譯器現在已經成為Kotlin 2.0預設的穩定編譯器，適用於JVM、原生、WebAssembly和JavaScript等各種目標平臺。K2編譯器的一大特色，便是效能的顯著提升，加快了新語言功能的開發，並且統一了Kotlin所支援的所有平臺，替多平臺專案提供更好的架構。為了確保K2編譯器的穩定性，JetBrains團隊已經編譯了來自用戶和內部專案總共1,000萬行的程式碼，在測試過程，也已有1.8萬名開發者與8萬個專案參與測試。</p> <p>由於Kotlin 2.0採用了新的K2編譯器，因此在多平臺的支援上，有了長足的改進。在之前Kotlin編譯器的設計，無法於編譯時分離通用和平臺程式碼集，所以通用程式碼可能會存取平臺程式碼，而這可能會因平臺差異而產生不同的行為，此外，通用程式碼中的一些編譯器配置和相依項目，也會洩漏到平臺程式碼中，通用程式碼和平臺的界線變得模糊，可能導致程式碼難以維護和管理，甚至發生錯誤。</p> <p>在Kotlin 2.0中，由於K2編譯器重新設計了編譯架構，在編譯期間嚴格分離通用和平臺程式碼集，開發團隊提到，這項變更的好處在使用expected和actual函式的時候會更為明顯，因為過去通用程式碼中的函式呼叫，可能會解析到平臺中的函式，但現在這種情況已經得到改正。</p> <p>除了編譯時通用和平臺程式碼分離之外，另一個多平臺功能更新是expect和actual宣告的可見等級管理調整。在Kotlin 2.0之前，多平臺專案使用expect和actual宣告，兩者必須具有相同的可見性等級，例如expect宣告為public，則相對應的actual宣告也必須是public。</p> <p>而Kotlin 2.0的expect和actual宣告，則可以具有不同的可見性等級，只是actual宣告的可見性等級，必須比expect宣告更寬鬆，或更具包容性。這個改進使得多平臺開發更為靈活，允許在不同平臺調整可見性層級，並同時維持程式碼的一致性和可讀性。</p> <p>Kotlin 2.0編譯速度大幅提升，部分專案甚至可達到之前版本的2倍速，除了編譯速度，IntelliJ IDEA的K2模式效能也有明顯改進，在IntelliJ IDEA Ultimate的程式碼庫中，程式碼突出顯示的速度提升至1.8倍，程式碼完成速度也是之前的1.5倍。目前K2模式的IntelliJ IDEA還在Alpha階段，官方預計會在2024年底成為預設模式。</p> <p>Kotlin 2.0也提供對Compose Multiplatform專案的原生支援，Jetpack Compose編譯器被合併到Kotlin儲存庫中與Kotlin一同發布，開發者使用Compose Multiplatform進行多平臺UI開發將會更方便。Kotlin開發團隊正在積極開發新一代Kotlin Multiplatform函式庫格式，供開發者從任意主機開發和發布Kotlin Multiplatform函式庫與通用Kotlin函式庫。</p> </div></div></div>
2024/5/24 15:43作者李建興https://www.ithome.com.tw/news/163081
Bing傳出服務中斷，波及Copilot、ChatGPT與DuckDuckGo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>約莫在臺灣時間昨天（5/23）下午四點多，微軟搜尋引擎服務Bing<a href="https://x.com/mayank_jee/status/1793560213498581389" target="_blank">出現服務中斷</a>，也波及了使用Bing搜尋的<a href="https://x.com/MSFT365Status/status/1793564067191259271" target="_blank">Microsoft Copilot</a>、<a href="https://x.com/DuckDuckGo/status/1793557968027570527" target="_blank">DuckDuckGo</a>及OpenAI的<a href="https://status.openai.com/incidents/kg1szc9qhk4k" target="_blank">ChatGPT</a>，而且中斷時間超過8小時。</p> <p class="rtecenter"><a href="https://x.com/mayank_jee/status/1793560213498581389/photo/1" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-bing%20outage.png" style="width: 600px;" /></a></p> <p><a href="https://x.com/mayank_jee/status/1793560213498581389" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Mayank Parmar</span></span></a></p> <p>Bing是微軟所開發的搜尋引擎，現今的市占率為3.64%，雖然遠低於Google的90.91%，但它依然是全球第二大搜尋引擎，且擁有DuckDuckGo及Ecosia等搜尋引擎客戶，也整合至ChatGPT以提供即時資訊。</p> <p>外界猜測出問題的可能是Bing API。在這段期間，因為無法使用Bing而影響了ChatGPT的網路瀏覽功能，而不管是在網頁上、Windows或程式中使用Copilot，它都顯示離線。</p> <p>目前微軟尚未揭露肇事原因。</p> </div></div></div>
2024/5/24 14:21作者陳曉莉https://www.ithome.com.tw/news/163083
美國證券交易委員會通過8款以太幣現貨ETF的上市申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國證券交易委員會<a href="https://www.sec.gov/files/tm/lk87adfs99.pdf" target="_blank">（SEC）周四（5/23）通過</a>了由芝加哥選擇權交易所（Cboe）、紐約證券全電子證券交易所NYSE Arca，以及那斯達克交易所（Nasdaq）所提出的8款以太幣（Ether）現貨ETF的上市申請，不過，這些ETF在上市之前，還必須個別提交S-1註冊聲明以供審核。</p> <p>SEC才在今年1月<a href="https://www.ithome.com.tw/news/160800" target="_blank">通過</a>比特幣（Bitcoin）現貨ETF，現在又通過以太幣現貨ETF，給加密貨幣社群打了強心針，以太幣價格漲幅超過1%，目前每枚為3,816美元。</p> <p>其實先前外界認為SEC通過此一提案的機率只有2成，不過，5名美國眾議院議員周三（5/22）<a href="https://x.com/matthew_sigel/status/1793617719604252699" target="_blank">寄出一封信件予SEC</a>，先是稱讚它們批准了比特幣現貨ETF，繼之要求SEC在考量加密貨幣投資產品時，必須維持一致與公平的方法，因為適用於比特幣的法令也同樣適用於以太幣。</p> <p>目前比特幣為全球第一大加密貨幣，市值已突破1.3兆美元，排名第二的以太幣市值為4,570億美元。</p> <p>此次通過的8款以太幣現貨ETF產品分別來自VanEck、Ark Invest、BlackRock、Fidelity、Franklin Templeton、Bitwise、Grayscale和Invesco，預計今年便可上市。</p> </div></div></div>
2024/5/24 15:07作者陳曉莉https://www.ithome.com.tw/news/163085
Google指企業發釣魚信件測試員工反而有害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多企業常在發送釣魚信件以測試員工對此類威脅的警戒，<a href="https://security.googleblog.com/2024/05/on-fire-drills-and-phishing-tests.html" target="_blank">但Google專家卻警告</a>，這作法害處多過好處，包括勞民傷財及效果不彰。</p> <p>一些企業IT或資安部門會對員工發送釣魚信件，目的在提高員工資安防護意識。Google則是根據美國聯邦風險與授權管理計劃（FedRAMP）規定，由資安部門實施釣魚信件測試。在這類測試中，公司製作並對員工發送釣魚信件，再監測有誰對此類信件有回應，例如點擊信件中的連結或下載附件，這些員工就會被要求「加強教育」。但Google安全事件經理Matt Linton指出，這種類似火災演練的測試，實則有很多負面影響，包括沒有實質效果、繞過正常防護機制，而且增加員工困擾及資安部門工作負擔。</p> <p>其一是沒有證據顯示這類測試有助於減少釣魚信件攻擊成功率。從結果來看，釣魚郵件測試實施這幾年來，釣魚信依舊是駭客駭入內部網路的首要方法，而且研究顯示，會中計的人仍然持續中計。其二是一些釣魚測試會繞過或降低系統控制，甚至美國FedRAMP指引要求企業IT部門這麼做。後果是讓測試人員刻意不模仿真正的駭客攻擊手法，或建立放水的白名單，後者若不小心落在真正駭客手裏反而造成風險。</p> <p>研究人員還說，這類測試大幅增加資安部門的工作負擔，因為用戶誤點信件的警報並沒有用處，反倒占住他們寶貴的時間及作業頻寬。此外，員工可能因為公司資安部門「玩弄」他們而降低信任，長期而言不利公司安全防護。最後，一些具有多個產品線的大型企業員工，這些測試可能相互重疊，導致重覆作業，影響生產力。</p> <p>Linton建議，教育員工辨識釣魚信件及社交工程、並主動回報，可讓資安團隊早一步採取回應措施。但和防火安全訓練一樣，測試前應預先公告而非突擊測試，因為訓練才是重點，而不是驚嚇與欺騙。</p> <p>他並提醒演練中應讓員工練習通報，並且蒐集有用資料，像是完成測試的用戶數、開啟郵件和通報時間間隔、通報提升到資安小組的時間點，以及信件發出後1、4及24小時通報的案件數。</p> </div></div></div>
2024/5/24 13:53作者林妍溱https://www.ithome.com.tw/news/163082
零售商業模式質變中
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1183-feng_mian_p1-open-you_hua_-960x420_kao_bei_0.jpg?itok=NOPYTCUE" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫情紅利消失，電商急需尋找新的動能來維持高成長。數位轉型後的實體零售商，開始用技術拓展新商機。臺灣零售業者不約而同發展零售媒體聯播網，不只要賣商品，更要用零售數據和通路助攻，賣起顧客的眼球，在臺灣掀起一波跨界廣告業務的浪潮。</p> </div></div></div>
2024/5/24 13:03作者郭又華https://www.ithome.com.tw/article/163069
Ivanti修補端點管理程式EPM重大層級的SQL注入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月21日資安業者Ivanti發布<a href="https://forums.ivanti.com/s/article/Security-Advisory-May-2024">本月份資安公告</a>，修補Avalanche、Neurons for ITSM、Connect Secure（ICS）、Secure Access、Endpoint Manager（EPM）等旗下產品16個漏洞。</p> <p>值得留意的是，這次有超過半數漏洞與EPM有關，而且，這些漏洞多為高風險或重大層級。本次Ivanti共為EPM修補10個漏洞，這些漏洞皆為SQL注入漏洞，存在於EPM核心伺服器，影響2022 SU5以前的版本，一旦遭到利用，攻擊者就能在未經身分驗證的情況下，透過EPM所在的網路環境執行任意程式碼，CVSS風險評分有6個為9.6分，其餘為8.4分。</p> <p>該公司<a href="https://forums.ivanti.com/s/article/KB-Security-Advisory-EPM-May-2024">為EPM 2022 SU5發布熱修補檔案</a>，IT人員應依照指示置換特定路徑的檔案，並關閉EPM Console、執行IISReset來完成修補。</p> <p>而對於本次修補的漏洞，Ivanti表示皆尚未發現遭到利用的跡象。</p> </div></div></div>
2024/5/24 11:29作者周峻佑https://www.ithome.com.tw/news/163077
Martech雙周報第54期：經歷多年試水溫，大型元宇宙遊戲Roblox終於正式開賣遊戲內廣告版位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0505~0518)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#遊戲內廣告 #元宇宙廣告 #程序化廣告</span></span></strong><br /> <strong>元宇宙遊戲Roblox終於正式開賣遊戲內廣告版位，將支援自助式及程序化購買</strong></p> <p>與眾多大型零售及奢侈品牌實驗遊戲內廣告後，<a href="https://corp.roblox.com/2024/05/01/roblox-expands-immersive-video-ads-access-to-all-advertisers-adds-new-measurement-partners/">知名元宇宙遊戲Roblox終於正式對所有廣告主開賣遊戲內版位</a>。這個版位會在遊戲內3D看板中播放2D影片廣告，因此廣告主不須具備3D行銷素材製作能力。</p> <p>目前，此類型廣告僅支援自助式投廣，未來會進一步支援程序化廣告購買。Roblox也和Integral Ad Science和Kantar等第三方廣告成效測量商合作，來辨別3D遊戲環境中的無效流量，以及推算實際對品牌帶來哪些行銷成效。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#數據湖屋 #組合式CDP #Zero-copy #數據整合</span></span></strong><br /> <strong>Amperity推出Lakehouse CDP，不用Reverse ETL機制就能快速從數據源整合及啟用數據</strong></p> <p><a href="https://www.businesswire.com/news/home/20240516347167/en/Amperity-Redefines-Composability-with-the-World’s-First-Lakehouse-CDP">行銷數據科技廠商Amperity推出Lakehouse CDP</a>，能直接從Snowflake、Databricks等廠商的Data Lakehouse讀取、整合數據，再將整合後的數據集用於CDP顧客分析、生成式AI應用製作、行銷規畫等功能，或者共享數據到企業其他工具，進一步處理數據。</p> <p><a href="https://amperity.com/data-warehouse-demo-request">這個數據整合功能背後的技術原理是</a>，根據Data Lakehouse廠商的數據格式，以及Amperity自家機器學習演算法，來辨認出數據種類，以快速梳理、整合資料。整合資料前，使用者可以先檢查此工具給予不同數據欄位的語意標籤，確保欄位匹配正確。此技術是一種零拷貝技術，整合資料及使用資料的過程中，都是從資料來源讀取。當原始數據有變動，都會即時反應在CDP報表及其他數據處理工具中。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/damp.png" style="width: 600px;" /></p> <p>這種Lakehouse CDP，最大特色是能快速讀取、整合、使用、共享數據，企業容易快速開始使用。相較來說，傳統CDP導入前需要花費大量時間來梳理、串聯、複製數據，過程繁複，成為不少企業導入途中放棄的痛點。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#LBS行銷 #計程車廣告 #OMO廣告 #DOOH廣告</span></span></strong><br /> <strong>大型計程車App Curb推出OMO個人化廣告解決方案，將乘車旅途細分為多段曝光機會來精準投放</strong></p> <p>美國大型計程車叫車App Curb推出OMO廣告解決方案，<a href="https://www.gocurb.com/post/journey-connect-360-degree-ad-solution-addressable-targeting">不只單在App或計程車的數位看板上投放廣告，而是將叫車到下車的使用者旅途分隔為不同曝光階段，依序於消費者叫車、等車、上車、下車頁面，於App或數位看板投放一系列廣告。</a>這些廣告會根據人口統計特徵、所在地點、支付方法、裝置類型、Email、手機門號等資訊來進行精準投放。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#全球Martech版圖 #生成式AI #SaaS</span></span></strong><br /> <strong>2024全球Martech版圖出爐，生成式AI大爆發使Martech產品數量年成長高達</strong>27.8%</p> <p><a href="https://chiefmartec.com/2024/05/2024-marketing-technology-landscape-supergraphic-14106-martech-products-27-8-growth-yoy/">Martech之父Scott Brinker更新了全球Martech版圖的2024版本。</a>今年，此版圖收錄了14,106個產品，與去年相比增加了3,068件，年增率高達27.8%。Scott Brinker分析，如此爆炸性的成長，與生成式AI技術普及有關。許多Martech工具都是以GPT、Gemini、Llama等LLM為基礎，打造而成的AI助理。</p> <p>Scott Brinker指出另一個有趣的統計數據是，今年Martech產品流失率（Churn rate）只有2.1%，總共只M工具鏈，也仍然以原有品牌單獨販賣自家產品。還有些SaaS服務就算營運不佳，但成本幾乎只有維持雲端服務的費用，只要維持少數訂閱者即能持續生存。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/landscape2024.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Martech大調查 #Martech工具整合 #Martech工具採購</span></span></strong><br /> <strong>2024 Martech大調查出爐，高整合能力Martech解決方案搭配專門小型工具成主流應用模式</strong></p> <p><a href="https://chiefmartec.com/2024/05/3-counterintuitive-surprises-about-composable-martech-stacks-in-the-state-of-martech-2024-report/">Scott Brinker同時也發布了2024年度的Martech大調查</a>，報告企業使用Martech的情況及痛點。Scott Brinker指出，一個有趣現象是，所有企業都有一套核心Martech解決方案作為主要Martech平臺，但超過8成會用其他Martech工具來取代核心Martech平臺上的部分功能。舉例來說，企業的CRM有內建簡訊行銷功能，卻會再採購另一套簡訊行銷工具來專門進行數位行銷。為何有這麼多企業採取這種看似不利於減少Martech採購費用及管理Martech工具的做法？</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1716460027023.jpg" style="width: 600px;" /></p> <p>調查顯示，企業這麼做的理由中，「為了使用更好的行銷功能」遙遙領先，接著依序是「減少花費」，「更好的UI/UX」，「以及更容易治理／控管數據使用情況」。Scott Brinker進一步分析，就算企業核心行銷平臺有特定行銷功能，該功能仍可能過於陽春、控制選項過少、使用者介面不友善，甚至是需要額外付費才能使用。他說，這也意味著，企業採購核心Martech平臺時，應特別注重平臺與外部工具整合、串接的能力。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN #DCR #串流平臺行銷</span></span></strong><br /> <strong>Walmart RMN生態圈再擴大，串聯Disney串流平臺的廣告版位及觀眾數據</strong></p> <p><a href="https://press.disneyadvertising.com/disney-advertising-and-walmart-connect-to-bring-closed-loop-attribution-to-streaming-advertisers">零售龍頭Walmart旗下RMN Walmart Connect與Disney廣告生態圈串聯。</a>兩者將透過數據無塵室（DCR）技術，匹配前者消費者數據及後者觀眾數據，來強化廣告主在兩邊生態圈投放廣告時的精準度與追蹤能力。廣告主也能透過Walmart的DSP，來程序化投放廣告到Disney旗下串流平臺Disney+與Hulu。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI工程 #顧客數據標註 #自動貼標</span></span></strong><br /> <strong>CDP巨頭Tealium推出AI工程用的自動貼標、授權管理等顧客數據處理功能</strong></p> <p><a href="https://tealium.com/press-releases/tealium-for-ai-release/">繼Salesforce後，又一個Martech巨頭Tealium開始推出AI工程輔助工具，將企業顧客資料快速轉化為可以用於開發AI模型的資料</a>。</p> <p>這個工具支援數據蒐集、數據治理、情境數據貼標、數據標準化，以及數據啟用等，不同環節所需的數據處理。除了常見數據處理工具有的功能外，Tealium還利用顧客數據處理專業，打造了顧客數據使用授權管理、自動顧客數據貼標、數據使用法遵等功能。此工具與三大公有雲以及Snowflake、Databricks等大型數據處理科技廠商的生態系串接，以支援即時數據拋轉和應用。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Maretch動態：</span></strong></span></p> <p>1. <a href="https://forbusiness.snapchat.com/blog/measuring-carbon-emissions-with-scope3">Snapchat開始對自家數位行銷活動進行炭盤查，其中以AR廣告排炭量最少</a></p> <p>2. <a href="https://www.salesforce.com/news/stories/unified-knowledge-news/">Salesforce推出整合企業內外部數據的服務，可用來打造知識管理機器人等產品來支援客服</a></p> <p>3. <a href="https://www.facebook.com/business/news/Introducing-Enhanced-Gen-AI-Features-and-Other-Tools-to-Help-Build-Your-Business">Meta推出更進階的行銷圖文生成功能，未來還要用Llama 3打造可生成符合品牌語氣文案的功能</a></p> <p>資料來源：iThome整理，2024年5月</p> <p>責任編輯：郭又華</p> <p>圖片來源：chief martec、Roblox、Amperity</p> <p></p> </div></div></div>
2024/5/24 10:58作者郭又華https://www.ithome.com.tw/news/163065
SAP在臺首次展示S/4 HANA ERP中的生成式AI助理功能，今年計畫新增100個企業AI應用場景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日在臺灣舉行的SAP NOW大會上，SAP不只首度公開展示了GenAI助理Joule在ERP系統中的應用，還提出了商業AI架構，重新定義企業營運方式，更宣布今年將推出100個新的AI場景，協助企業解決內部流程或業務面的各種問題。</p> <p>為了協助企業數位轉型，SAP在會中提出三大策略面向，包括以數據驅動商業流程、全面性AI賦能以及綠色帳本助力永續發展。</p> <p>在數據驅動商業流程中，SAP以商業技術雲端平臺BTP和雲端ERP為主軸，來改善和優化企業營運流程；而在全面性AI賦能方面，則要用AI賦能商業流程智慧化，包括提供開箱即用的內嵌商業AI服務，以及推出生成式AI助理Joule等。這也是SAP近期積極發展的重點，此外，在企業永續方案上，SAP還將在ERP中整合了綠色帳本功能，加速企業永續發展。</p> <p>SAP臺灣總經理陳志惟表分享了目前SAP在AI方面的成果，包括超過2.7萬家企業客戶採用其商業AI方案。在商業AI場景的應用上，去年第4季新增了34個場景，他預告今年將推出100個新的場景。</p> <p>儘管生成式AI在今年爆紅，陳志惟指出，SAP強調的是商業AI，更加聚焦於當AI進入到企業級應用時，如何透過AI協助企業轉變內部流程、作業，以應對新的商業發展模式或需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/898989.jpg" style="width: 600px; height: 338px;" /></p> <p>SAP 現階段提出的企業AI應用場景，包含了財務、供應鏈、客戶體驗、採購、人力資源、IT與跨職能共六大場景，每個場景都還可以細分不同任務。例如在財務AI應用場景中，企業可以使用AI處理稅務合規性、現金申請、智慧權責發生制、差旅費審計、差旅費核驗、發票處理、商業誠信篩選、貨物和發票收據比對以及行動費用登錄等任務。</p> <p>又如在供應鏈AI應用場景中，AI可以協助處理在途庫存管理、視覺化檢查、需求預測與感測、項目成本預測、預測交貨處理、需求驅動補貨、正向調度、現場服務安排、資產預測與優化、慢速材料移動預測以及收貨單處理等多種任務。</p> <p>SAP台灣客戶諮詢負責人吳孟穎表示，SAP的六大企業AI應用場景中包含各種生成式AI應用。例如，在人力資源方面，企業可以利用生成式AI生成職缺說明、面試問題和學習建議；在客戶體驗方面，能以自然語言生成相關內容、票證和產品描述；在供應鏈管理上，則可使用生成式AI結合影像辨識來識別和處理物流出貨單，並自動生成出貨文件。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240522_063151806.jpg" style="width: 600px; height: 338px;" /></p> <p>SAP還提出商業AI架構，要用商業AI重新定義企業營運方式，並帶進許多AI生態合作夥伴，包括Google Cloud、IBM、微軟、AWS、Nvidia、Cohere 、databricks、Anthrop\c等。</p> <p>SAP的商業AI架構分為三層，最底層是AI基礎層，它架構在SAP商業技術雲端平臺上，能夠介接主流的LLM模型，包括OpenAI的GPT、IBM Watson、Google Cloud以及Nvidia等。企業可以在內部場景中對接並試用不同的LLM模型，找出最適合自己的模型，甚至可以使用自己開發的LLM模型。</p> <p>上一層是內嵌式AI層，將生成式AI在內的商業AI帶進SAP全線產品，協助企業將業務場景智慧化，包括雲端ERP、HR管理、支出管理商業網路、供應鏈管理、CRM管理以及商業技術雲端平臺。</p> <p>最上一層是SAP生成式AI助理Joule。企業用戶可以透過自然語言方式提問，Joule會根據提問內容找出來相對應的數據、進行分析並給出建議，包括洞察問題、提供智能見解和輔助決策，企業不需要考慮資料存放在哪一套SAP系統。雖然Joule目前主要使用SAP自身的數據，但未來企業可以透過底層的AI基礎模型延伸，取得外部數據。</p> <p>吳孟穎表示，目前Joule已經在SAP人資雲服務中運用。今年底，將整合到ERP系統中，明年CRM和採購雲也將陸續採用。她提到說，目前已有臺灣企業客戶正在展開GenAI的PoC試驗。</p> <p>SAP這次在臺公開展示了GenAI助理Joule在ERP系統中的應用，如何透過Joule快速提供企業財務分析洞察資訊，讓營運管理高層可以更快擬定決策並採取行動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240522_074836922.jpg" style="width: 600px; height: 338px;" /></p> <p>過去，企業若想從S/4 HANA ERP中獲得財務業務洞察，通常需要大量人工操作，包括手動分析利潤和專案、分析專案中的數據、建立摘要、設定專案優先序，並將發掘的洞見整理成摘要，然後與團隊成員分享這些結果。</p> <p>從現場展示的應用中，使用者只需在ERP系統中的對話介面提出問題，Joule助理就能協助完成大多數的操作及分析流程，獲得最終的洞察結果，從提供專案資料、給出詳細的專案摘要，到提供關鍵利潤和專案優先序等，都能透過Joule來協助完成，大幅節省資料分析和整理時間。不過，目前Joule主要提供英文輸入，尚未包含中文。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240522_075020211.jpg" style="width: 600px; height: 338px;" /></p> </div></div></div>
2024/5/24 09:56作者余至浩https://www.ithome.com.tw/news/163057
零售業尋找新成長動能，RMN商業模式在臺崛起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不分實體或數位，臺灣大型零售業者近一年都相繼將廣告業務，視為下一波重要成長動能。舉凡電商、百貨、超市、量販、超商等零售領域，不少指標企業開始發展零售媒體聯播網（RMN，Retail Media Network），少數先行者更開張了RMN廣告服務。</p> <p>RMN是零售業者利用數據及通路兩大優勢打造而成的廣告服務。零售業者持有的第一方顧客數據，不僅完整記錄消費細節與顧客身分，且通常獲得顧客授權，可用於精準行銷，投放廣告到自家零售通路。零售通路本身就是消費場景，從廣告曝光到實際消費中間阻力少，且身處零售通路的廣告受眾，多為具備消費意願，正在購買決策最後階段的消費者。這些優勢，使行銷經費容易轉換為實際消費行為，廣告投資報酬率（ROAS，Return On Advertisement Spending）高。</p> <p>不過，零售業者一直以來都手握第一方數據和消費通路優勢。他們為何在這個時間點，打算從已然成熟的數位廣告市場中打下一片天地？這波「不務正業」的浪潮，是從何而來？</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>疫後零售環境加上第三方Cookie退場，推動RMN崛起</strong></span></span></p> <p>早在7、8年前，臺灣就有電商利用強大數據力，於自家通路開啟個人化廣告版位，提供平臺賣家對自家顧客進行個人化行銷。但是，直到2023年，才是RMN在臺蓬勃崛起的一年。</p> <p>這一年，Google終於宣布第三方Cookie退場時程，數位廣告行銷精準度與行銷成效追蹤受到衝擊，零售業者手上所擁有的龐大使用者資料，成了精準行銷新的數據石油，受到越來越多數位行銷業者青睞。</p> <p>許多實體零售業者因疫情而展開數位轉型，數位化程度及數據利用功力大增，成為促成RMN崛起的一大因素。超市和百貨界龍頭全聯和新光三越，都在疫情間加速了數位轉型，打造了現代化數據基礎建設及運用方法。這兩家龍頭企業也不約而同的在相近時期看中了RMN商機，前者正在規畫相關業務，後者則已經開始試營運。</p> <p>另一方面，對電商來說，後疫情時代，消費者習慣從純線上走到線上線下流動，導致電商疫情紅利消失，營收成長幅度大幅減少，必須尋找新的成長動能。本已高度數位化，且會利用數據來進行精準行銷的電商，自然也將眼光放在RMN這個國外已經證明可行的商業模式上。</p> <p>手上數據的價值更大，數位能力更強了，急需尋找新成長動力的大型零售商，紛紛跨界，加入數位行銷的戰場，仿效國外零售龍頭Amazon的作法，開始發展臺灣本土的RMN。超市一哥全聯福利中心開始籌備、百貨龍頭新光三越開始試營運、電商龍頭Momo及超商雙雄之一的全家更正式推出了RMN服務。他們都是看中了零售業者得天獨厚的數位行銷優勢，可以結合科技，打造成具有高競爭力的廣告業務。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>利用零售媒體優勢搶占數位行銷市場，新增可靠收入來源</strong></span></span></p> <p>臺灣電商龍頭Momo也感受到了疫情紅利消失。Momo也受環境因素影響，去年營收成長幅度只有7%，相較於前兩年疫情期間高達23.6%和17%的成長幅度，明顯下滑許多。</p> <p>RMN是Momo今年用來注入新成長能量的重要做法，希望希望將自家1,400萬會員數據及每月3,200萬網站人流量轉換為廣告收入。為了發展RMN，Momo成立了專屬部門，更投入大量資金，使IT預算成為他們去年少數有明顯增長的營業費用項目。</p> <p>Momo總經理谷元宏曾在今年媒體春酒上表示，在設計廣告主操作RMN系統的UI/UX設計，以及強化廣告匹配演算法來提升廣告預期ROAS時，都是以不輸Google等廣告巨頭為目標。目標是，從這些巨頭手中，搶占自家品牌商的行銷預算大餅。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>用RMN開啟更多精準行銷形式與機會，以衝刺零售營業額</strong></span></span></p> <p>長年耕耘會員數據的超商雙雄之一全家便利商店，同樣看上RMN可以帶來的新成長力道，在去年正式推出了RMN業務。</p> <p>全家數位戰略核心是要促成更多交易完成。過往，他們利用會員數據等第一手零售數據做輔助，對自家會員祭出許多不同行銷做法，來嘗試提升會員交易頻率和客單價。但是到了2023年初，全家於自家法說會中提到，當訂閱模式疲乏、零售毛利緊縮時，跨界廣告業務做RMN，是填補此成長動能缺口的做法。</p> <p>「我們做RMN主要目的不是賺取廣告財，而是促成顧客完成交易。」掌舵全家RMN的商品本部副本部長兼整合行銷部部長陳菀揚說明，全家目前經營廣告業務的態度是，用不同型態的行銷方法，來促成顧客在線上或實體零售場域完成更多交易。</p> <p>這個出發點，也使全家和Momo的RMN經營模式大有不同。相較於後者容易規模化、規格化的自助式即時競價模式，全家採取人工接案的商業模式，由行銷部門深度思考、規畫，如何結合通路與專案特性，來最大化行銷效果。這也使他們採用了許多有別於常規RMN的行銷模式，以及追蹤和優化這些模式的方法。例如，於實體門市中進行LBS行銷，再利用A/B測試來測量行銷成效等。他們還期望能透過廣告業務，與更多原本沒有在全家通路販售商品的品牌進行異業合作，以創造更多商機。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1183-c-%E4%B8%BB%E6%96%87600--%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%85%A8%E5%AE%B6%E4%BE%BF%E5%88%A9%E5%95%86%E5%BA%97.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>全家開始利用於實體門市通路投放廣告，包括自家門市電子看板，以及利用LBS行銷技術在入店時推播廣告到顧客通訊軟體。</strong><span style="font-size:14px;">（圖片來源／全家便利商店）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>數據基礎建設是加入RMN戰局的關鍵能力</strong></span></span></p> <p>搶先於其他大型零售商推出RMN服務的全家和Momo，都不是從零開始。</p> <p>自2016年，全家就開始為了經營數位會員而佈局，陸續導入顧客數據管理做法及技術，並建立了一種用數據滾數據的模式──依據數據開發出新服務，再從新服務中蒐集更多顧客數據。舉例來說，他們從跨店咖啡寄杯功能的數據中，鎖定了周期回購商機，再從顧客回購習慣出發，陸續推出家庭訂閱制、多人訂閱制等熱門功能。這些利用顧客數據來進行個人化行銷的做法與經驗，都沿用到了RMN業務流程。</p> <p>Momo也早已慣於用數據來支援日常營運。用零售數據支援RMN業務前，他們就會用CDP、SCM，以及其他數據處理科技來輔助商品管理、數位行銷、物流規畫、行銷策略等營業面向。高數據可用性及豐富數據應用經驗，成為他們半年內完成RMN系統建置的助力。</p> <p>不只全家和Momo，Pinkoi、露天、第一網站都是臺灣率先跨入RMN的先行者。這些先行者的共通點是，都具備了良好數據處理流程及底層技術架構，這正是建置和維運RMN的技術關鍵。最少，需要能在近乎即時的效率下處理巨量數據，隨時維持服務穩定性，並確保數據容易追蹤、分析。</p> <p>不少RMN先行者也都挖掘出各自獨特的數據競爭優勢──Pinkoi以特殊領域電商數據自行訓練出多模態多功能的AI模型；露天以上百萬間賣家數據打造了賣家分級模型；第一網站則建立了一系列快速梳理、整合、分類及應用上百間電商商品數據的處理流程。這些做法，都是為了充分發揮自己手中零售數據特性，來取得獨門行銷競爭力。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>跨界數位業務需面臨技術與組織面挑戰</strong></span></span></p> <p>利用數據來進行數位行銷，是有助於零售業者跨界數位廣告業務的重要能力。不過，要打造完善的RMN系統及業務不是光靠既有技術就夠，零售業者還會遭遇更多技術挑戰，甚至組織面挑戰。全家、Momo，以及其他行之有年的電商，都不例外。</p> <p>第一個是技術面挑戰。當精準行銷技術從自用走到商用，零售業者必須要能用客觀指標證明自家RMN行銷成效高到能與其他廣告通路競爭──這意味著，廣告系統要有能力處理大量請求、迅速清洗數據雜訊、避免廣告作弊與詐騙，且商品推薦演算法的精準度要能與專業Martech廠商匹敵。Momo電商事業資深副總經理洪偉釗坦言，直至今日，他們RMN的商品推薦演算法仍有不少加強空間，且強化演算法到ROAS足以吸引廣告主，是他們最大挑戰。</p> <p>再來是組織面轉變。零售業者既有行銷及IT等部門必須學習數位行銷領域的業務邏輯和相關知識，甚至為了經營RMN業務而徵招專職人才。Momo就開了至少7種職缺，來完善RMN系統和業務流程。全家則是制定了一系列制度，將原本行銷部門轉化為RMN廣告業務、廣告投手及行銷專案負責人，快速累積跨通路數位行銷經驗及廣告版位供給方的業務邏輯。</p> <p>最後還要整合這些技術與組織。零售業者還須在內部調度IT、行銷甚至業務等部門，以及和外部Martech技術供應廠商密切合作。陳菀揚說，如何跨部門溝通數位行銷業務邏輯及需求，以確保數位行銷每一個環節都順暢，是他們經營RMN的最大挑戰。</p> <p>這幾年來，零售業不斷發展「斜槓」業務，從品項的多元化，到通路型態的多元化，一路走出了零售本業，進入了業務多元化時期，賣起廣告板位。就如超市超商化，和超商超市化兩種斜槓做法，看似同歸，實則殊途，不同型態的零售業者開發RMN業務時，也會面臨各自挑戰。接下來，我們將分別探討實體及虛擬的大型零售商如何進入廣告市場，並從先行者案例中，了解RMN背後應備有的技術實力。</p> <p><a href="https://www.ithome.com.tw/article/163069" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1183-feng_mian_p1-open-you_hua_-960x420_kao_bei_0.jpg?itok=NOPYTCUE" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/5/24 06:00作者郭又華https://www.ithome.com.tw/news/163023
【臺灣RMN實例：全家】從會員經營到RMN，全家靠通路優勢打造全通路廣告業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全家便利商店是臺灣少數推出橫跨線上線下通路RMN的大型零售業者。2023年，許多同行仍在建置或試營運RMN時，他們已經推出Family Ads廣告服務，販售從實體門市，到會員App、社群媒體、通訊軟體等線上通路的廣告版位。</p> <p>為了經營RMN，全家打造了一系列制度和IT系統，來支援跨通路行銷專案管理、投放和成效追蹤。主導RMN業務的全家商品本部副本部長兼整合行銷部部長陳菀揚說，搶先系統化經營RMN的關鍵是，全家從數位會員開始就贏在起跑點上。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>數位會員經營成為打造RMN的戰略與技術基礎</strong></span></span></p> <p>臺灣超商中，全家最早提出「可追蹤會員」概念。2016年，全家捨棄手中200萬筆既有會員資料，從頭開始打造以App為中心的會員機制，用App追蹤會員數據來經營會員關係。2019年，他們的CRM流程已經細緻到以個別分店為單位，2021年更導入了AI自動化行銷解決方案。</p> <p>陳菀揚說，全家是臺灣最早開始經營數位會員的超商，且經營風格靈活，有助於發展更多數位做法。一路至今，全家會員App持續推出各式功能及行銷模組，例如以最受歡迎的咖啡寄杯功能為基礎，推出咖啡周期購買、商品周期購買、以及親友間共享周期購買商品等熱門功能，搜集更多面向的顧客數據，同時衝高數位通路流量。</p> <p>2年多前，全家意識到商品訂閱制的極限，也注意到國外崛起的RMN趨勢，開始思考自家經營RMN的可能性。「我們掌握很多流量，但這些流量未必都能轉換成實際交易。RMN也許可以讓這些流量轉換成更多交易財，順便還能拿到廣告財。」陳菀揚說明全家當時切入的考量。</p> <p>於是，全家數位戰略從強化零售本業做法，一步跨入了數位廣告領域。</p> <p>陳菀揚補充，雖然開始販售廣告，不過全家打造RMN的目的，以提升自家通路交易量為主，賺取廣費只是次要目的。這的做法延續一貫的會員經營策略，以提升既有客戶消費頻率及客單價為目的的精神。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>將RMN作為OMO零售的流量變現工具</strong></span></span></p> <p>作為大型實體零售商，他們發展和經營RMN的做法，與常見電商RMN模式大不相同。</p> <p>全家RMN籌備期的第一件事是，思考如何為每一種高人流量的通路，設計不同的專屬廣告版位，來捕捉這些顧客的眼光──這與以搜尋和展示廣告為主的電商非常不同。</p> <p>第一種通路是實體門市。「實體門市一直是重要行銷場所，只是沒那麼即時、沒那麼自動化。」陳菀揚分析，店內外海報、貨架上的插卡，都是行銷訊息，缺點是效率差、費人力。舉例來說，一個鎖定上班族午餐時段的海報，在周末晚上幾乎無法發揮行銷效益，但要店員不斷更換，又會增加大量勞動成本。全家決定為了RMN，開始導入電子看板，搭配內容排程及推播系統，依照適當時機、地點，來自動化呈現出適當行銷訊息。還要導入LBS行銷方案Line Beacon，當顧客入店時，可以透過即時通訊軟體行銷。</p> <p>再來是全家數位通路的核心，會員App，不只在既有熱門功能加入了行銷元素，更為RMN開發新功能。除了開放一般的平面廣告版位，供廣告主投放影片或圖片，還活用多種互動式行銷模組、個人化商場、票券等功能，來打造多元數位行銷呈現形式。</p> <p>最後一種重要通路是社群媒體和通訊軟體等自媒體。「全家IG有50萬粉絲，可以把自己當成網紅。」陳菀揚說。這類通路包括Facebook粉專、Instagram頁面、Line官方帳號等，全家決定提供貼文及直播的廣告方式。</p> <p>訂出不同通路的廣告形式後，全家於2022年著手建置RMN。陳菀揚說，全家App原本就會進行數位行銷，建置RMN專屬行銷模組，沒有遇到太多困難。反而是，在一間間實體門市建置實體電子看板及Line Beacon，並建立廣告投放系統和制度，更為費時。</p> <p>花了一年多，全家在6成門市，約2,500家分店建置了電子看板，並於1,000家門市裝設了Line Beacon感應器。實體門市RMN硬體建置達到一定程度後，2023年，全家開始對外提供RMN服務。</p> <p>與電商RMN常見的RTB模式不同，全家採取了專案式商業模式，以客製化OMO行銷專案的方式來銷售。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>專案式打造跨通路、多行銷格式的RMN行銷內容</strong></span></span></p> <p>陳菀揚說，全家RMN主要目的是提升既有客戶消費頻率及客單價。與其採取容易規模化的RTB模式來快速賺取廣告費，他們寧願挑選最有潛力的行銷案件，為每個通路細緻設計行銷形式與內容，來追求行銷效果最大化。</p> <p>在專案管理上，全家指派行銷人員來擔任專案負責人及通路負責人。前者以整個行銷專案為單位，負責與各行銷通路負責人協調內容細節；後者則是以行銷通路為單位，負責各專案內容遞送的排程與實際系統操作等細節。一個行銷人員同時身負兩種角色。</p> <p>通路負責人可以透過不同的內容排程和遞送系統，來組合不同通路上的廣告，包括實體店面看板廣告、Line Beacon廣告、會員App廣告等，前兩者系統是由全家和硬體供應商合作開發，後者則是由全家IT團隊及負責全家SI的子公司精藤共同打造。</p> <p>全家也將多項內部技術，用來提高RMN廣告投放的精準度，包括了既有會員貼標、商品貼標、會員購買預測模型及門市表現數據分析等技術。</p> <p>專案負責人制定行銷專案時，可以善用全家線上及線下通路高流量的優勢，同時運用實體門市、數位通路及自媒體廣告。例如，行銷咖啡時，搭配社群媒體直播、App內個人化促銷，及實體門市上班時間的看板推播。</p> <p>雖然全家RMN可以搭售實體與數位的廣告服務，不過，兩種通路廣告的投放方式和成效追蹤邏輯有很大的不同。</p> <p>因為實體門市較難於入店階段分辨顧客身分，全家在這個通路的RMN廣告投放模式是，針對不同時段及地點會出現的客群和消費情境，來投放不同的Line Beacon推播和電子看板廣告。除了行銷商品和品牌，這些實體門市的廣告版位，也用來投放消費促進的訊息，例如提醒點數即將到期、提醒春節買票等。</p> <p>如何測量實體門市廣告的成效？全家發揮了大型連鎖超商優勢，利用A/B測試，比較有無投放廣告的門市間，相關交易或顧客行為是否有明顯差異。就算無法追蹤個別顧客行為，仍可分辨出廣告的行銷成效。</p> <p>而會員App等數位通路則採取常見的分眾精準行銷作法，可以根據會員消費習慣及特徵來投放對應行銷內容。除了傳統圖文廣告，會員App上還有以特定商品、品牌或議題為主題的集點、抽獎、地圖、樣品派送、個人化商城等行銷模組，都可用於RMN專案的操作。</p> <p>成效追蹤上，全家結合了會員於App上的行為與實體門市消費記錄，可以具體計算出廣告曝光轉換為實際消費行為的比例。整合線上線下通路的優勢，讓全家能精準追蹤一般難以觀察的行銷活動成效。陳菀揚以派樣品行銷為例說明，過往實體派樣，很難追蹤行銷成效，且耗費人力，但是，全家能從會員中找出適合受眾來派送兌換券，一路追蹤開啟率、使用率，甚至是回購率。</p> <p>原本，全家還自行設計了一套追蹤方法及數據格式來呈現行銷成效。不過，許多廣告主會在各種各種行銷通路投放廣告，需要有統一數據格式來綜合評估整體行銷預算的效益。應廣告主要求，全家後來改用CPM、CPC等常見追蹤指標來製作報表。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>RMN煉成的廣告業務經驗，回頭強化超商零售行銷</strong></span></span></p> <p>全家數位策略從零售一路發展到廣告做法，為內部帶來了不少轉變。首先是，有許多行銷訊息不需要實體門市店員負責傳達，降低了店員勞務同時，仍能保有行銷成效。舉例來說，他們曾在Happy go點數到期前3天於面板播放兌點提醒廣告。就算店員不口頭提醒，只靠推送廣告，有播放的門市，兌點率仍較無播放的門市高出17%。</p> <p>再來，全家看待廣告的思維也變得更全面。「為廣告主優化廣告成效的做法，也可以用於自家廣告的投放。」陳菀揚說明，過往全家只有投放自家廣告的需求方視角，提供RMN服務後，更學會了如何從供給方視角看待數位廣告。同時具有兩邊視角，使他們能從更多角度來優化自身及外部廣告主的行銷活動。</p> <p>全家的RMN還創造了更多異業合作的契機。原本沒有在全家販售商品或業務的廣告主，可以透過派樣、消費回饋等各種行銷形式，與全家自有通路合作，間接帶來更多人流及消費契機。</p> <p>RMN上路近一年，陳菀揚表示，全家過去數位做法打下良好技術基礎，打造RMN系統時，沒有遇到太多技術瓶頸。不過，負責整合系統與數據的IT人員，開始需要學習數位行銷邏輯，才能和行銷部門密切溝通、合作，以加速專案執行及驗證行銷成果的效率。這是全家仍待解決的IT人才轉型挑戰。</p> <p>下一步，全家計畫持續在更多分店安裝RMN所需硬體設備，並進一步整合單店銷售資訊流及廣告投放資訊流，來更即時的追蹤行銷轉換率，快速調整線下行銷策略。</p> <p><a href="https://www.ithome.com.tw/article/163069" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1183-feng_mian_p1-open-you_hua_-960x420_kao_bei_0.jpg?itok=NOPYTCUE" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/5/24 06:00作者郭又華https://www.ithome.com.tw/news/163025
【臺灣RMN實例：Momo】RMN成Momo下一波成長動能，要與廣告龍頭搶市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年宣布進軍廣告業務後，電商龍頭Momo於今年正式開始營運名為Momo Ads的RMN廣告業務。Momo總經理谷元宏表示，儘管連續兩年交出營收破千億元的成績單，他們仍積極開發新成長動能，來面臨環境及時代的挑戰。這次，他們決定開發零售以外的收入來源。</p> <p>疫情紅利消失，臺灣電商整體營收成長率從2021年18.3%，一路下滑到2023年的1.9%，Momo同樣受到大環境衝擊，營收年成長率從疫情期間動輒兩位數，甚至一度高達23.6%，卻在去年縮減到只剩下7%，所以，跨界選擇RMN作為新戰場。</p> <p>Momo經營RMN的另一個理由是，跟上國外行之有年的趨勢。「並不是我們特別聰明，想得到要做這件事。」谷元宏笑道，一直以來，Momo靠CDP及SCM系統來管理會員及商品數據，支援商品行銷及推薦，也會與供應商討論如何優化商品推出時機、促銷活動時機等行銷決策。觀望數年後，他們才決定進一步用這些數據和行銷洞察，來發展廣告業務商機。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>出道即意圖對標Google，演算法精準度是競爭力關鍵</strong></span></span></p> <p>Momo電商事業資深副總經理洪偉釗進一步解釋，過往他們與供應商合作行銷時，透過業務人員，以專案形式與供應商洽談價格、行銷資源跟廣告版位。這種做法類似於傳統看板式廣告或策展式廣告，而非精準行銷數位廣告。</p> <p>這次推出Momo Ads，則是挪出一部分原本用於專案式行銷的版位，來發展自動化、可規模化的RMN商業模式，嘗試利用精準行銷做法，來提升廣告收入及行銷成效。</p> <p>Ｍomo的RMN一開始鎖定與廣告巨頭競爭，「ROAS（廣告投資報酬率）足以媲美主流數位廣告平臺，如Google或Meta等巨頭，才能吸引廣告主來投廣。」谷元宏道出Momo對自家RMN業務的期許。</p> <p>因為Momo有許多供應商都是大型品牌，不只會在電商平臺行銷，更會在Meta、Google等常見通路進行數位行銷。要經營廣告業務，Momo就得和這些廣告巨頭競爭品牌的行銷預算。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>投入大量IT資源並成立專職部門，半年完成RMN初步建置</strong></span></span></p> <p>從零售業務跨界到相對陌生的數位行銷業務，Momo投入了大量IT預算，是他們2023年少數明顯增長的營業費用類型之一。</p> <p>去年春天宣布進軍廣告業意願後，Momo同年8月如火如荼的展開建置作業，花費半年左右時間，完成了投廣與追蹤的UI/UX、商品推薦演算法、CTR/CVR預估模型等支援RMN服務的技術建置。</p> <p>洪偉釗表示，這些技術和功能大多由Momo自行開發，部分則是買斷國內外Martech廠商程式碼來自行修改，再整合進自家RMN產品中。</p> <p>為了強化自家RMN產品競爭力，洪偉釗說，Momo從UI/UX及底層廣告推薦演算法精準度兩方面下手。</p> <p>首先是UI/UX。Momo將RMN服務打造為一個獨立平臺，供應商想投放廣告時，不需要進行任何IT整合，便能至平臺自助式投放廣告及瀏覽報表平臺。洪偉釗說，平臺上的報表工具可以供廣告主監控瀏覽、點擊曝光、成交數、成交單品等數據，且數據新鮮度是即時的。來快速調整廣告投放策略。這些數據中，成交數據尤其重要，可以用來具體判斷行銷轉換率，是電商發展RMN的一大優勢。</p> <p>Momo自行開發了廣告即時競價（RTB）的主要架構和相關推薦演算法，也整合了許多第三方Martech廠商。洪偉釗說明，Momo希望將國內外Martech廠商、不同功能的程式碼視為元件，微調後整合進自家RMN架構，來強化整體底層技術。不過，有些廠商沒有賣斷程式碼，無法自行客製和整合，另外，更有許多Martech廠商的精準行銷技術難以驗證成效，這是Momo仍在嘗試解決的兩大挑戰。</p> <p>他們很早開始開始招募專職數位行銷人才來發展RMN產品及業務，後來更正式成立EC廣告業務部，專門負責RMN相關技術及業務。從此部門的職缺類別，也能看出他們發展RMN服務的未來規畫。</p> <p>新職缺主要集中於EC廣告業務部旗下2個課級單位，第一是開發及維護廣告平臺的廣告平臺課，包括廣告平臺產品PM、推薦與搜尋廣告PM、展示廣告PM等，負責對應產品的需求分析、競品調查研究、功能制定、設計規畫、上線及迭代。</p> <p>廣告平臺課還開始招募要求IT或統計學背景的廣告結算與反作弊產品PM及廣告數據分析師。前者負責流量端及客戶側行為分析，打造作弊行為挖掘模型、設計作弊感知體系、建設行銷數據監控體系及評估體系，更要收集和挖掘數位行銷相關灰色產業情報，來設計反作弊攻防機制。</p> <p>廣告數據分析師則是負責建立廣告業務數據追蹤的系統性做法與指標，規畫、收集、處理、分析和預測數據，來對廣告業務提出改善建議。這些數據包括廣告產品及廣告受眾相關數據。</p> <p>另一個開缺的部門是廣告銷售課，要招募熟悉數位行銷的廣告業務，以及負責投放策略及投放流程優化的廣告企畫，負責RMN廣告業務的銷售與溝通，並將客戶投廣需求反映回內部。</p> <p>去年雙11節前後，Momo先試營運推出搜尋廣告。與少數廠商嘗試合作、溝通商業模式後，今年3月，正式宣布RMN上路，新增了展示型廣告等更多廣告呈現形式。</p> <p>「大部分精準行銷演算法所用的數據都一樣，差別是，即時處理情況下，靠演算法匹配人貨能夠多精準。」洪偉釗直言，雖然Momo Ads建置完成了，且能達到一定的ROAS水準，但目前的廣告內容推薦精準度，距離Momo想挑戰的Google還有不小距離。</p> <p>洪偉釗認為，廣告成效比不上Google，自然不容易吸引廣告主，如何快速強化精準行銷相關演算法，是目前Momo營運RMN服務最大挑戰。他們一方面以國外RMN及廣告業者做法為研究對象來鑽研相關技術，另一方面和供應商溝通行銷需求，來修正改善方向。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>從中小型第三方廠商開始，逐步吸引更多廣告主</strong></span></span></p> <p>宣布正式營運RMN同時，Momo也開始試營運開店平臺服務，讓自行營運賣場的第三方賣家進駐。谷元宏認為，此服務有望與RMN服務發揮綜效，讓一批第三方賣家初期客戶，為Momo RMN業務注入一波成長動能。「開店平臺店家希望掌握更多行銷自主性和彈性，自助式投廣模式的RMN，正好符合這個需求。」反而是，原本合作的供應商仍以大型行銷合作案為主，需要時間接受RMN行銷模式。</p> <p>不過，谷元宏有信心，隨著自家RMN進步，ROAS達到一定程度，各種規模與性質的品牌都會認同RMN作為廣告平臺的價值。「只要證明投放廣告更划算，行銷經費自然會流過來，甚至不只是用來促銷，還會用來提升整體品牌及商品曝光率。」</p> <p>未來，Momo還考慮將自家第一方數據用於外部通路的廣告投放。「長期來看，Momo跟品牌的關係是，幫助他們的商品賣得更好，所以，Momo一定會考慮將數據用於各種促進交易的用途，包括將廣告投放到第三方場域。」谷元宏說。</p> <p><a href="https://www.ithome.com.tw/article/163069" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1183-feng_mian_p1-open-you_hua_-960x420_kao_bei_0.jpg?itok=NOPYTCUE" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/5/24 06:00作者郭又華https://www.ithome.com.tw/news/163028
靠雲端維運工程撐起全球服務，SAS資訊長新課題是影子AI
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一家發跡於1960年代、轉型為雲原生資料分析和AI生命周期管理的數據分析大廠SAS，不只提供各類資料分析平臺功能，還支援AI模型訓練、部署與維運監測等服務，用戶遍布140多個國家、更是財富500強企業的愛用品牌。</p> <p>這些用戶中不乏講求高時效的金融巨頭、零售老店、大型醫院或是電信等大型產業業者，如何維持內部平臺和對外服務的穩定，來滿足大型企業顧客即時分析的需求，是SAS資訊長Jay Upchurch從2019年加入SAS之後，每一天都要面臨的挑戰。</p> <p><em><span style="font-size:28px;"><strong>維持穩定的關鍵：雲端維運工程</strong></span></em></p> <p>隨著SAS近幾年逐漸將原本的分析工具軟體，發展出一套雲端SaaS服務模式來提供，Jay Upchurch的挑戰也轉向雲端維運。</p> <p>目前，維運雲端服務的主流方法論是網站可靠性工程（SRE）。這是一套由Google提出的網站維運實踐方法論，提供了一系列用來確保企業系統可靠性的實作、指標和管理做法，後來也成為許多雲端業者和大型企業維運的作法。</p> <p>SRE的核心理念是要不斷最佳化系統架構和維運流程，比如開發自動化維運機制來提高工作效率，同時確保系統運作可靠，還要兼具擴充性。</p> <p>在SRE文化中，SRE團隊需要與開發團隊、IT維運團隊一起合作，在開發軟體的同時，整合自動化維運機制，來優化IT維運，甚至像Google做到最極致時，SRE團隊還具備了高級權限，能直接關閉有問題或發生事故的線上服務。</p> <p>不過，「SAS是一家歷史悠久的企業，不像Google以數位原生方式發展。」Jay Upchurch指出，SRE這種系統維運方法涉及許多改變，比如需拆分現有職責、改變團隊編制，因此「要成立單獨的SRE團隊，對我們而言有點挑戰，因為我們不是（如Google）那樣建立的，」他說。</p> <p>雖然SAS無法輕易套用SRE這套雲端維運最佳實踐作法，不過，他們自己後來也發展出了一套自己的雲端維運工程（Cloud Operation Engineering），將內部資訊基礎設施、平臺、雲端應用和服務等元件視為一套IT服務來維運。這些維運工作，涵蓋了網路維護、伺服器管理、服務可用性維持、風險管理和災難復原等。</p> <p>Jay Upchurch進一步說明，在雲端維運工程中，維運工作主要由IT維運工程師和研發工程師分擔，兩者角色相加，就等於所謂的SRE。</p> <p>比如，研發工程師肩負系統程式優化任務，擁有權限來處理有問題或需要優化的服務、確保服務可用性。而IT維運工程師不只要管理基礎設施，還負責開發與使用自動化工具，來讓工作流程更有效率。</p> <p>「這兩種角色在SAS內部無縫溝通，就是我們實現SRE的方式。」Jay Upchurch說。</p> <p><em><span style="font-size:28px;"><strong>靠基礎設施即程式碼自動管理</strong></span></em></p> <p>與此同時，對SAS來說，具備彈性靈活的基礎設施也相當重要，如此才能大規模提供穩定、快速的AI資料分析服務，給座落全球各地的企業組織使用。</p> <p>「我們好幾年前就決定，將內部所有基礎設施視為程式碼（Infrastructure as Code，簡稱IaC）。」Jay Upchurch的意思是，SAS幾年前就以程式碼來自動管理基礎設施，包括作業系統、資料庫連結和儲存等，不必人工手動處理。</p> <p>因為，手動管理基礎設施不僅耗費時間，還容易發生錯誤，尤其是大規模管理時。透過基礎設施即程式碼模式，他們能自行定義所需的基礎設施狀態、自動化管理基礎設施，不必每個步驟都手動一一設置。</p> <p>不只是提高了效率，另一個更大的效益是，「IaC讓我們以非常經濟的方式來維運基礎設施，」Jay Upchurch強調，當使用者用畢特定基礎設施資源時，就可以自動關閉預留的雲端資源、恢復到合理的供給量狀態，確保使用者只會用到所需的量，進而節省使用成本。</p> <p>不只內部如此，當SAS提供對外服務時，也採用這種IaC方式。</p> <p>Jay Upchurch坦言：「我們也會擔心服務延遲，不只是BI儀表板的順暢，也希望所有人的傳輸速度都一樣順暢。」為確保自家平臺足夠靈活、在客戶業務需要時滿足需求，他們也透過IaC作法，自動化處理各種對外服務所用的資訊基礎設施。</p> <p><em><span style="font-size:28px;"><strong>延伸內部自動化經驗，發展成對外服務</strong></span></em></p> <p>不只內部應用，Jay Upchurch指出，他們還將累積至今的自動化基礎設施管理經驗，進一步發展成一套產品。</p> <p>像是SAS在今年產品大會上，也發表了一款雲原生AI開發工具，可用來代管模型和運算基礎設施，像是虛擬機的生命周期，自動調度運算資源，並實現自動配置和自動終止，來大幅降低基礎設施管理需求。</p> <p>原本SAS只是一家老牌的數據分析軟體商，隨著這幾年積極上雲，將自家數據分析工具轉型，發展出一套套新的雲端分析SaaS服務後，資訊部門將這些產品上雲背後所累積的龐大IT維運經驗商品化，現在也變成了可以對外提供服務的產品。將IT內部經驗產品化，也讓SAS跨入了軟體技術開發工具領域，不只是數據分析商，現在更成了一家開發工具商。</p> <p>Jay Upchurch透露，SAS自己也用這款AI開發工具，打造了一款內部專用的預防性維護平臺，專門用來監控辦公園區內的一套飛輪電池系統（Flywheel Energy System）的運作狀態。這是一種新興的能源技術，用來儲存機械能的次世代儲能系統，透過提高飛輪的速度，將能量轉換成旋轉動能的形式來儲存，等到需要輸出電力時，再降低轉速，將動能轉化成電能來釋出。美國太空總署已經用於多處太空站，也有汽車公司和UPS業者用來打造新一代電池系統。</p> <p>當SAS園區服務中斷時，也會啟動這套飛輪電池系統來供電，而不是傳統的電池供電。不過，這種新興的飛輪維護成本相當高昂，為了降低成本，得在發生損壞前及早介入，SAS利用自家的IoT和電腦視覺技術，打造一款AI模型來預測飛輪電池系統的運作狀態。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1183-CIO-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-SAS-PNG.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／SAS</span></p> <p><em><span style="font-size:28px;"><strong>CIO新挑戰1：兼顧業務營運</strong></span></em></p> <p>對Jay Upchurch來說，技術不是唯一的挑戰。「在過去十年間，CIO的角色發生重大變化！」他點出，尤其是COVID-19疫情後，許多業務模式轉為純數位化的形式，多數解決方案也改以數位方式交付，就連SAS自己的客戶，也不再要求下載式或光碟式的軟體產品，而是改用數位服務為主。</p> <p>這也意味著，CIO在企業策略中，扮演了越來越重要的角色。他直言：「當今的資訊長應該在公司業務營運和企業服務間，取得良好平衡。」意思是，CIO也該涉獵到業務營運，培養商業思維，他自己就是如此。Jay Upchurch不只要擔任SAS全球IT團隊的指揮官，還身兼雲端部門執行副總裁，時常參與高層決策、負責雲端營運業務。</p> <p>不只是他自己跨界IT與業務，他也希望讓IT員工可以與業務單位更融洽的合作，Jay Upchurch推動了一項業務關係經理（BRM）機制，安排IT職員擔任業務關係經理，到各個業務單位中工作，來促進雙方的夥伴關係。</p> <p>舉例來說，SAS在人資、財務、法務、顧問等部門，就安排幾位業務關係經理，並在分配到的部門學習「他們的語言」，來理解每個部門面臨的挑戰、適時調整業務的IT需求方向，最後運用IT技術來克服這些業務面的挑戰。不只如此，SAS還正將這些業務關係經理累積的建議和經驗，整合到自家系統，同時也用來優化對外服務，兼顧IT治理與創新。</p> <p><em><span style="font-size:28px;"><strong>CIO新挑戰2：影子AI</strong></span></em></p> <p>前述的業務模式和使用者需求轉向數位化，不只帶給CIO業務營運的新挑戰，更帶來了影子IT的棘手難題。Jay Upchurch表示，當所有業務和產品都以數位方式交付，公司內部就會出現影子IT行為，不少員工未經核准就使用某些軟硬體或其他系統和服務，而且IT部門往往對這些行為不知情。</p> <p>隨著AI和生成式AI越來越普及，影子AI的問題也層出不窮。Jay Upchurch本身也負責資安職責，他表示，為確保內部智慧財產和機敏資料安全，SAS制定一套監管和治理措施，來把關職員使用軟硬體或系統服務，盡可能降低影子IT和影子AI風險。</p> <p>但同時，為了不讓這些監管治理手段遏止創新，他們也組織數據倫理措施等團隊，在符合資安和資訊保護的前提下，鼓勵內部創新。</p> <p>除了靠內部制度解決CIO挑戰，Jay Upchurch也點出CIO社群的重要性。「CIO的工作並不輕鬆，每位CIO平均在職年份才3到4年，」因此，為讓資訊長工作更順利，他也參與CIO社群，透過同儕交流來學習、因應新狀況。</p> <p><em><span style="font-size:28px;"><strong>用技術解決問題，而非發展技術再找出問題</strong></span></em></p> <p>話鋒一轉，許多科技龍頭這兩年的產品戰略紛紛擁抱生成式AI，SAS也不例外，同樣在年會上聚焦生成式AI的相關產品策略或新產品。不過，Jay Uprchurch直言：「我們沒有生成式AI策略，只有商業策略，不論是AI、生成式AI或是BI，都是驅動策略的助力。」</p> <p>Jay Uprchurch解釋，對CIO來說，職責不是先發展技術，再找出該技術可解決的問題、包裝成商業策略，而是要反過來，先在問題中尋找技術可以派上用場的地方，再來發展使用情境，最後形成商業策略。「這才是CIO該有的心態，」他強調。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>SAS資訊長暨執行副總裁　Jay Upchurch</strong></p> <p>學歷：北卡羅來納大學電腦科學系畢業</p> <p>經歷：曾任AT&T、USinternetworking和Interpath Communications多個管理層職務，後來至系統商MICROS Systems擔任資訊長，直到Oracle併購該廠商，他進入Oracle擔任旅宿與零售雲端副總裁。2019年加入SAS，帶領全球IT也兼任雲端營運部門副總裁</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%AC%E5%8F%B8%E5%A4%96%E8%A7%80-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-SAS.jpg" style="width: 280px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／SAS</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>SAS</strong></p> <p>●總部：美國北卡羅來納州卡瑞</p> <p>●成立時間：1976年</p> <p>●主要業務：提供雲原生資料分析平臺、AI模型生命周期管理平臺、行銷科技工具、IoT數據分析與醫藥開發服務</p> <p>●員工數：約12,000人</p> <p>●年營收：32億美元</p> <p>●創辦人暨執行長：Jim Goodnight</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：資訊長</p> <p>●資訊部門主管姓名：Jay Upchruch</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●1976年：SAS正式成立，推出第一代數據分析軟體產品Base SAS</p> <p>●1987年：整套SAS系統以C語言重新改寫，取代IBM PL/1程式語言</p> <p>●1989年：推出首款Mac專用統計程式包JMP</p> <p>●2016年：推出SAS Viya雲端資料分析平臺，提供視覺化分析統計、資料探勘和機器學習應用，以及IoT數據整合分析功能</p> <p>●2019年：發布AutoML自動化工具、開源模型管理工具</p> <p>●2022年：Viya分析平臺於AWS市集上架、發起負責任創新專案</p> <p>●2023年：預告整合微軟Azure OpenAI應用，預告AI應用開發工具App Factory與Viya Workbench，在行銷科技工具CI 365新添生成式AI功能；推出韌性評估工具</p> <p>●2024年：正式推出AI開發工具Viya Workbench、智能開發助理Viya Copilot、合成資料產生器Data Maker，以及AI治理顧問服務</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1182-cio-tu_pian_lai_yuan_-sas.jpg" width="960" height="420" alt="" title="SAS資訊長暨執行副總裁 Jay Upchurch（圖片來源／SAS）" /></div></div></div>
2024/5/24 06:00作者王若樸https://www.ithome.com.tw/people/163038
觀察：全球RMN逐漸規模化且多樣化，臺灣零售業才剛起步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早期，RMN這個商業模式看似專屬於電商，在搜尋與商品頁面顯示推薦商品。不過，隨著更多線上線下零售業者，甚至是廣告業者加入戰局，他們開始探索最適合自家營業型態及技術水準的行銷方法，RMN的行銷型態與經營策略也隨之擴充。</p> <p>全球零售龍頭Walmart就是由線下零售商業務，一路發展出大規模，且行銷型態多元的RMN。2021年，他們與Martech廠商The Trade Desk合作打造了自己的廣告需求平臺（DSP，Demand Side Platform）Walmart Connect，販售許多形式的行銷選項，包括線上搜尋廣告、展示型廣告，線下門市的數位看板及自助結帳機顯示廣告、樣品派送、聲音廣播，還有生鮮外送時的樣品附贈，以及戶外大型活動等。</p> <p>接著，他們開始從自有通路（On-site）走到外部通路（Off-site）行銷，尤其在聯網電視（CTV，Connected Television）通路下重本布局，結合會員消費數據和CTV觀看數據，來投放廣告。前年，他們與CTV巨頭Roku合作推出電視購物廣告，主打不跳轉畫面就能購物。去年則新增CTV購物功能，利用串流平臺Peacock的技術辨識出節目畫面內物品，並比對出Walmart商品目錄中相同或類似商品，供消費者直接於串流平臺介面購買。後來更砸下23億美元買下另一家CTV業者Vizio，將廣告觸角深入更多家庭電視中。他們也持續和更多串流業者進行數據和行銷通路的整合。</p> <p>近月，他們更將旗下顧客行為分析服務Luminate與Connect整合。前者是提供給供應商的顧客行為、輿論及通路銷售表現分析服務，整合後供應商便能從該平臺直接使用Connect服務，加速數據分析到實際應用的流程。</p> <p>2024年，他們還要擴大廣告投放選項、拓展廣告通路、增加精準度及追蹤能力，以及提供更多行銷活動和素材設計方案。這包括開放更多商家使用自助式程序化廣告投放功能、開放非供應商成為廣告主、進攻國際廣告市場、進軍短影音行銷通路、新增更多行銷成效分析選項，以及推出自助式行銷活動設計輔助及成效追蹤工具等。</p> <p>3年來，他們不只一路整合零售業各種數據和通路，更主動開發新行銷通路、學習Martech技術，來打造涵蓋通路廣、行銷型態多元的大型RMN，儼然成為一個大型Martech及媒體代理商，去年廣告營收更高達34億美元。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>臺灣RMN模式也開始多元化發展</strong></span></span></p> <p>看回臺灣，7、8年前開始，Pinkoi、露天、第一網站等先行者已經在經營「經典款」的RMN──在電商等數位通路投放圖文等平面廣告。近一兩年，則開始有零售業者從這些經典款電商RMN的行銷模式，在規模與多元性上發展出更多不同的RMN變體。例如Momo加入戰局，打造出高度自動化、自助式投放的RMN，有意將此生意做大到遠超其他電商的規模。</p> <p>另一個大型零售業者全家的RMN則呈現出行銷型態多元性，可以讓廣告主用精細、複雜的邏輯，客製化他們在全家線上線下曝光策略，用多元廣告型態打出組合技。這使全家RMN成為了一種有別於傳統數位或實體廣告的獨特通路。</p> <p>甚至，開始有零售業者不做RMN，而是將RMN的核心競爭優勢──消費數據和零售通路──拆分出來，打造新型態廣告服務。</p> <p>開店平臺91App就是看中RMN核心競爭力之一的消費數據，在數位廣告領域可以進行更多變現。去年，他們自行打造了一個名為Jooii的AI模型，用來支援平臺上商家進行數位行銷。今年更進一步將使用者特徵、消費者訊號、商品理解與意圖、消費情境與軌跡等數據，與媒體集團關鍵評論網合作，利用Jooii模型分析出投放策略來投廣到後者通路，再用同一個模型來分析行銷活動成效。</p> <p>統一資訊則是活用了大型連鎖零售通路的優勢，將統一超商每個分店的Google商家資料頁面開設廣告版位。不過，他們目前不會取得或運用消費者在Google上的個資、喜好行為等數據。</p> <p>還有廣告商利用Martech領域的技術和知識，將RMN的核心競爭力融入廣告服務。例如，Martech廠商禾多移動整合了上百家零售商及其他非零售媒體的數據和行銷通路，打造出可一站式投放和分析廣告的RMN聯盟。The Trade Desk則是和Foodpanda等大型零售業者合作，協助他們將RMN廣告透過TTD的DSP投放到外部通路。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1183-c-%E5%A4%9A%E5%85%83%E7%AD%96%E7%95%A5%2B%E6%AF%94%E8%BC%83%E8%A1%A8-600B-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1183-c-%E5%A4%9A%E5%85%83%E7%AD%96%E7%95%A5%2B%E6%AF%94%E8%BC%83%E8%A1%A8-600.png" style="width: 600px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/163069" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1183-feng_mian_p1-open-you_hua_-960x420_kao_bei_0.jpg?itok=NOPYTCUE" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/5/24 06:00作者郭又華https://www.ithome.com.tw/news/163039
【臺灣RMN實例：露天市集】善用賣家大數據媒合，導MLOps強化場景行銷AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在2008年，本土C2C電商龍頭露天市集就開始經營廣告業務。到了2017年，他們開始利用數據來進一步驅動廣告業務，成立專責數據團隊，陸續推出了即時競價（RTB，Real-time Bidding）的關聯性廣告、廣告代投機器人等現代化數位行銷服務，也利用自家數據規模優勢，和其他零售商進行聯合數位行銷。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>發揮C2C電商特性，用百萬間賣場數據作為精準行銷依據</strong></span></span></p> <p>露天推出的精準行銷服務都利用了一項零售業界少有的數據優勢，就是C2C電商平臺高達172萬間賣數據。他們做了一套自動化賣家管理機制，不只能過濾掉劣質賣家，維護平臺交易品質，更能用來優化廣告和搜尋等數位行銷情境的商品排序。</p> <p>進一步來說，露天從3個層級來對賣家評分，綜合這些層級的評分後，給予每個賣家各自的最終評分，並依照此評分調整賣家所有商品的曝光優先度。</p> <p>這3個層級是賣場特性、銷售行為、商品特性。賣場特性包括會員所在地區、寄送地點分布、IP地址等賣場基本資料等；銷售行為包含訊息即時回應率、賣家的整體被點擊率、銷售滿意度、行銷轉換率等；商品特性層級則是包括商品貼標、商品如期出貨率、金物流選項多元性等。</p> <p>露天也沒忘了用1,950萬名消費者數據來強化數位行銷。他們從頭自建了一整套消費者數據蒐集和分析平臺，紀錄消費者進站、瀏覽、點擊、加入購物車等，每一天累積超過千萬筆的事件Log。</p> <p>蒐集這些數據後，結合露天自己的零售專業知識，為消費者貼上動靜態標籤，靜態標籤包括性別等客觀事實，動態則包括行為模式和預測型標籤。前者是消費者近期購物行為，後者則是綜合各式標籤及零售知識推論出的可能消費者分類，例如高流失風險消費者，或消費者可能的實際年齡層等。</p> <p>為了密切追蹤消費者動態興趣，露天甚至會在推薦內容中混入一些與消費者標籤關聯性較低的內容，來測試消費者興趣近期是否有變動。並且，為了最大化預測型貼標對精準行銷的效益，他們在貼標時，還會同時使用不同演算法，例如Random forest、SVM、XGBoost等，並交叉比較不同演算法貼標後的行銷成效。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>為了數據驅動精準行銷目標，打造數據基礎架構</strong></span></span></p> <p>露天現在的數據基礎架構及數據工程流程，也為了善用龐大賣家及買家數據驅動精準行銷為前提來設計。</p> <p>多年前，由於露天網站流量龐大，為了節省商用網站流量分析服務的費用，他們自行打造了TypeScript Log及RTB Log紀錄器，作為替代品。直到2、3年前，他們進一步開始打造數據中臺，蒐集TS Log、RTB Log、ERP資料等原始資料，再經過ETL/ELT流程，整合廣告數據、網站數據及ERP數據，建立了專用的儲存及分析工具鏈。</p> <p>露天數據分析師可以根據應用情境，到不同資料庫探勘及分析數據，再用BI工具來視覺化分析、呈現結果，與其他團隊或部門溝通。露天還會儲存過往數據分析師使用這些分析工具的查詢及存取紀錄，作為數據處理的經驗傳承。未來有類似分析需求時，不用從頭思考查詢指令，或需要包含哪些數據維度。這種做法也使經驗較少的數據分析師或非數據相關專業的主管能快速上手，使用這些數據分析工具。</p> <p>為了快速開發、迭代ML模型，針對更多商業場景打造專屬模型，露天近年更導入了MLOps工作方法，統一數據查詢、數據集整理、模型訓練及更新、API生成、模型部署等流程，來縮短並標準化ML模型開發生命周期。這些不同場景的模型成了優化精準行銷重要的關鍵技術。目前，露天網站上有十多個專屬ML模型在負責不同行銷場景。</p> <p>下一步，露天還要增加工程團隊對於數據變動及系統異常的反應速度。一方面，他們要整合SCM及廣告系統，來加速賣家及廣告數據同步效率；另一方面，還要為內部系統打造全自動化警報系統，一有異常就會自動通知負責工程師處理。</p> <p><a href="https://www.ithome.com.tw/article/163069" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1183-feng_mian_p1-open-you_hua_-960x420_kao_bei_0.jpg?itok=NOPYTCUE" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/5/24 06:00作者郭又華https://www.ithome.com.tw/news/163062
【臺灣RMN實例：第一網站】整合百家電商6億商品資訊，打造多通路廣告聯播網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型比價網飛比價格的母公司第一網站不只在自有通路經營廣告業務，還經營著包含200多家外部論壇、新聞網站、部落格等數位通路的聯播網廣告服務，以及利用自家使用者行為數據來代投Google廣告等第三方通路的服務。</p> <p>經營這些廣告業務，第一網站必須經手來自上百家電商的6億筆商品數據、每個月高達800萬次網站造訪人次，以及每個月有60億次廣告聯播網請求。好在，第一網站工程主管及麾下團隊中，有許多人是2000年初期就開始於Yahoo奇摩，用有限資源處理超大量數據的老將，能從流程及底層系統雙管齊下，來蒐集及處理第一網站經營廣告業務所需數據。</p> <p>蒐集資料方面，第一網站不只要蒐集自家數位通路的資料，更要蒐集上百家電商的商品數據到自家網站上，來做比價及數位行銷。為了快速梳理來自上百個資料源的6億筆電商商品數據，他們也設計了一系列商品資料蒐集及初步梳理的方法。</p> <p>首先是根據電商規模和技術成熟度，來制定不同的資料接收方法。有些電商可以直接進行串接系統，有些則需要第一網站自行爬蟲。蒐集完這些資料，他們還得將所有來源的商品資料整理成相同格式。</p> <p>為了方便梳理數據，第一網站向其他電商索取資料時，會先嘗試限縮資料格式到數種標準格式。他們要求對方用Google、Meta等國際大廠訂定的標準交換格式，或者直接用第一網站自制格式，來提供資料。</p> <p>不過，就算先於蒐集階段指定了資料格式，這些資料仍多為半結構化資料。下一步，第一網站還得用機器學習模型辨認出這些資料中的商品特徵，判斷出商品名稱、規格、標價、實際售價、促銷活動等資訊，再將所有商品資訊轉化為統一資料格式。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>降低處理海巨量資料的成本</strong></span></span></p> <p>第一網站數據儲存及處理流程設計，是為了日常營運時能短時間內處理數據、降低數據儲存成本，並降低機器處理數據時的運算成本。</p> <p>第一網站依照資料完整度，將資料分成3個層級。第一層級是蒐集自不同資料來源的完整原始資料。這層級資料量最大，也最零散，難以直接應用。經過梳理、整合後，會成為第二層級。例如，同一個使用者的點擊和瀏覽紀錄，在第一層級是分開數據，到第二層級才會結合起來。</p> <p>第二層級的資料分類、歸納後，則會成為第三層級資料。這層級資料量最少，可保存最長時間。第一層級只會於Hadoop叢集保留2至4周，第二層級資料則會保留3至6個月，第三層級更可保留長達1至2年。</p> <p>原則上，第一網站工程團隊鮮少直接使用第一層級資料。研究和開發新功能時，則會探勘第二層級資料，嘗試尋找出有價值的資訊，例如使用者行為特徵等。功能或服務正式上線後，第一網站要求工程團隊只用第三層資料來進行日常作業。</p> <p>前兩層級資料都是研究用原始資料，使用時都是整批讀取的Full table operation。只有資料量最小的第三層級資料，需要為了隨機存取而做索引。這種用途分類法，能有效降低機器處理資料時的運算成本，也能進一步壓低資料處理時間。</p> <p>第一網站還使用了許多做法，來降低處理大量數據導致機器負荷過重的風險，尤其是面臨流量峰值時。這包括開發平行處理機制來降低硬體閒置時間、非同步化請求和回應來避免任務霸佔伺服器資源、利用訊息佇列緩解瞬間流量，以及為不同熱門程度的商品設定不同頻率的資料同步周期等。</p> <p>從數據基礎架構到其他細節做法，都是為了使第一網站能有效率處理超大量數據，能營運比價網、在內部通路投廣的RMN，甚至到走到外部通路的聯播網時，且維持高服務穩定性。</p> <p><a href="https://www.ithome.com.tw/article/163069" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1183-feng_mian_p1-open-you_hua_-960x420_kao_bei_0.jpg?itok=NOPYTCUE" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/5/24 06:00作者郭又華https://www.ithome.com.tw/news/163067
【臺灣RMN實例：Pinkoi】以垂直領域數據自建模型，從自動化進階AI化投廣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>設計類垂直電商Pinkoi的RMN也不是從零開始打造，而是先有技術，再有商業模式。2015年，為了用更智慧化的方法進行數位行銷，他們開始翻新基礎數據架構，整合自家不同來源的第一方數據，並開始利用設計領域數據及顧客數據，來打造商品推薦演算法。</p> <p>不料，他們嘗試了幾個開源推薦模型，發現設計類電商數據過於特殊，必須從頭自行打造專屬AI模型才能有效用於數位行銷。結果是，他們建立了一個多功能、多模態的AI模型，具備NLP、分類、排序、CV等功能。</p> <p>這個模型還能替陌生的非規格化商品自動貼上多語言標籤。這意味著，賣家與Pinkoi方都不需要了解一件商品有哪些特性，也不需要知道一個商品可能有哪些暱稱、別稱，就可以完整在該商品上貼好這些標籤。接著，Pinkoi會再綜合這些標籤，來媒合商品與顧客。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>應廣告主需求陸續開發廣告功能</strong></span></span></p> <p>來到2018年，許多賣家主動許願，希望有一個付費提升曝光機會的管道，這個AI模型便再次派上用場。以此AI模型為基礎，RMN團隊寫了一系列廣告投放用推薦模組，根據不同廣告版面的行銷目的，來調整推薦商品的關聯性高低，或加強時下熱門主題相關商品的排序優先度。</p> <p>雖然已經手握推薦演算法技術，不過要打造自動化廣告投放系統，Pinkoi還有許多數位行銷的技術知識需要從頭學習。他們投入了4成工程資源，花費許多心力在研究Facebook（現Meta）和Google兩大廣告巨頭的Martech開發方法及投廣機制，並將這些知識結合自家AI推薦技術，打造出自己的RMN服務──一個有AI投廣助手的自助式RTB廣告平臺。</p> <p>歷年來，他們陸續開發了商品推薦、商品組合推薦、品牌推薦等廣告形式，支援網頁版、iOS及Android商城。甚至，今年AI模型分類能力進一步強化後，開始有能力將消費者標籤進一步區分為長期「購物人格」和短期「即時動機」2大類標籤，進一步強化了推薦能力。購物人格是由價值主張、興趣、地域性文化、風格等4大分類標籤組成，即時動機則包含聖誕節送禮、婚禮布置等透露短期消費目的標籤。</p> <p>能提取更多、更細緻的標籤，便可以使推薦結果更個人化，做到兩個人進行一模一樣的操作（展現即時動機），仍會分別收到不同商品推薦。甚至，不必被動等待消費者表明本次造訪網站的動機，Pinkoi就可以主動推薦合適商品和品牌給消費者。受益於這個技術突破，他們今年得以打造主動推播型RMN廣告格式。</p> <p>他們還打造了AI廣告投放建議機制，號稱30秒就能開始投廣，只要設定預算和欲行銷商品，AI助手就可以幫忙完成其他設定。做法是，AI模型分析商家成長模式，向商家推薦RMN廣告投放策略及參數設定。例如商家已有穩定客源，系統會建議下一步成長動能是獲取新客源，投放策略得重視陌生潛在買家的曝光。甚至，可以為每一則廣告提供優化建議，賣家可以選擇立即套用，快速完成設定。未來，他們還要進一步強化此功能，連商品標題、關鍵字及行銷預算等基本設定，AI都能根據實際行銷結果來提供修正建議。</p> <p>Pinkoi的RMN推薦演算法最大特色是，曝光優先度以綜合商品與賣場的品質為主，而不會只看廣告出價──廣告主出價只是排序演算法眾多參數中的其中一項，商品品質及關聯性才是決定曝光順序的主要依據。Pinkoi SaaS產品負責人李少昱說，他們會打造AI代投功能來搭配這種非價高者得的曝光機制，就是希望賣家專注於提供優質商品，而非過度計較廣告出價策略。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>維運RMN服務的技術基本功</strong></span></span></p> <p>Pinkoi的RMN每年高達74億次請求，不考慮巔峰情況，平均每秒要處理230次請求。一次RMN廣告請求的完整流程是，顧客進入頁面，系統發送廣告版面性質、顧客輸入內容等資訊到廣告競價系統。經過賣家競價、檢查賣家行銷預算餘額等程序後，廣告推薦演算法方能開始排序廣告內容。後續，Pinkoi還要紀錄廣告曝光情形、顧客互動行為等數據，作為後續廣告成效追蹤及賣家投放建議的依據。</p> <p>為了顧及顧客體驗，Pinkoi認為，廣告與一般商品內容等網站元素，需要幾乎同時完成載入。，另外，為了確保廣告數據正確性及服務穩定性，他們還必須過濾掉異常數據流量。要達到這些目的，Pinkoi有3大做法。</p> <p>首先，為了即時因應流量波動，他們不只使用公雲自動擴充（Auto-scaling）功能，還自行打造了用量調整機制，利用機器學習預測流量變動，來調整雲端資源的租用量。</p> <p>再來，他們回頭找出推薦演算法中，不須即時運算的數據，預先進行批次處理，來壓低即時運算運算對機器的負荷。例如，商品品質分數這個參數的變動頻率不大，可以每天計算一次，而不需要每次推薦都重算。</p> <p>他們還設計了雙重異常流量辨識機制，第一層辨識機制，當造訪者流量剛進來時，會依據流量來源等常見機器人行為模式來篩選。若機器人成功騙過第一層機制，Pinkoi還會根據造訪者行為模式來事後追認異常流量。</p> <p>即使先前打造了一個強大的AI模型來進行數位行銷，Pinkoi要將數位行銷活動商業化，仍需投入大量IT資源來維運，甚至打造專屬RMN的制度和技術機制。不過，李少昱說，RMN已經成為上萬個賣家持續使用的關鍵功能，且確實提升整體平臺的交易量，更貢獻了總營收3成，因此仍會持續投入IT資源到此商業模式中。</p> <p><a href="https://www.ithome.com.tw/article/163069" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1183-feng_mian_p1-open-you_hua_-960x420_kao_bei_0.jpg?itok=NOPYTCUE" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/5/24 06:00作者郭又華https://www.ithome.com.tw/news/163068
零售業開始大賣眼球
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>跟上全球零售質變的浪潮，臺灣零售業也開始質變。從各種實體商品、數位商品，這兩年，開始積極地賣起顧客的「注意力」。</p> <p>疫情零接觸商機，讓臺灣電商營收暴增許多，光在2021年臺灣電商營收成長率最高達到18.3%之多，不只是電商，整個零售業都因疫情而加快數位化，轉型成電商來抗疫，大型零售業者、超商、百貨都開啟了線上商城或推出電商App。</p> <p>不過，隨著疫情逐漸平息，疫情紅利消失，到了2023年，下滑到只有1.9%的微幅成長。可是，為了抗疫，而發展的各種線上商城、數位通路，都還在。民眾也養成了跨通路消費習慣，不只實體店面，數位通路也成了他們購物、逛街（站）常去的地方。</p> <p>消費者行為的轉變，促使許多傳統的零售業者，更加積極展開線上線下整合的新商業模式，追蹤顧客數據和經營會員經濟。幾乎每一家大型百貨、超商、零售業者，都比過去更注重數位通路、追蹤各種會員的上站、登入App的「逛街」行為、消費數據，甚至跨大到非會員的消費旅程追蹤。</p> <p>我的手機這兩年就多裝了5、6家零售業的會員App，不論到實體或線上結帳時，店員（App）都會詢問，要不要掃碼、集點，想盡辦法要留下了我的消費足跡。</p> <p>零售業者想用這些顧客數據進行精準行銷，向顧客推薦更多他可能感興趣的商品，來創造更多商品的銷售機會。我們在2023年就看到許多零售業，在疫情後，轉為線上線下通路並重，開始發展平臺式的會員數據管理術，就是要搜集、整合、分析和善用來自不同通路的龐大顧客數據，來進行各種精準行銷。</p> <p>同樣的廣告版面，不只可行銷自家商品，還可以用來行銷其他人的商品。我們開始看到臺灣零售業者開始跨入了另一個截然不同的新商業模式，零售業者賣起了廣告，成了新的數位行銷通路商、數位廣告平臺商。</p> <p><a href="https://www.ithome.com.tw/news/163025" target="_blank">全家便利商店</a>去年正式對旗下供應商以專案方式開賣自家廣告，<a href="https://www.ithome.com.tw/news/163028" target="_blank">電商龍頭Momo</a>的廣告即時競價平臺則在今年正式上線，任何人都可以下單，就像Google網路廣告投放模式一樣。會員數破350萬人的百貨龍頭新光三越，也開始試營運廣告業務，每年對千萬會員發出10億點數的超市一哥全聯福利中心，正緊鑼密鼓地籌備廣告業務。統一超商則是低調地推出了客製化行銷推播跟數據行銷服務。臺灣更有少數零售業者，早在多年前就開始銷售線上廣告版面，例如設計類垂直電商<a href="https://www.ithome.com.tw/news/163068" target="_blank">Pinkoi</a>、導購網<a href="https://www.ithome.com.tw/news/163067" target="_blank">飛比價格</a>。</p> <p>臺灣吹起了一股零售業跨界廣告業的浪潮。這不是臺灣零售業現在獨創的新商業模式，全球零售龍頭Walmart早在2021年就打造出自己的廣告需求平臺，提供自家供應商，各式各樣的行銷形式，從線上搜尋廣告、展示型廣告，到線下上萬家門市的數位看板、自助結帳機螢幕廣告，甚至是店內聲音廣播、樣品派送，連生鮮外送時的樣品附贈行銷都可以購買。</p> <p>到了2024年，Walmart廣告通路更開放給非供應商，跨出美國進軍國際廣告市場，短影音行銷通路，甚至有自己的成效追蹤工具和自助式行銷活動設計。不告訴你這是Walmart，完全會以為是一家國際級廣告平臺商。Walmart光在2022年的廣告營收高達27億美元。但Walmart不是特例，全球電商龍頭Amazon在同一年的廣告營收更高達了377億美元，超過臺幣1兆元！</p> <p>這個由零售業以自家數據和數位通路跨界所發展出來的廣告模式就稱為零售媒體聯播網（RMN，Retail Media Network），已經是國外零售業者，這幾年來重要的發展戰略之一，也形成了一股浪潮，尤其在第三方Cookie機制訂出退場時程之後，零售業手中的數據，更成了發展數位行銷殺手級應用的重要來源。</p> <p>臺灣早在7、8年前開始，<a href="https://www.ithome.com.tw/news/163068" target="_blank">Pinkoi</a>、<a href="https://www.ithome.com.tw/news/163062" target="_blank">露天</a>、<a href="http://www.ithome.com.tw/news/163067" target="_blank">第一網站</a>等先行者就開始經營RMN，過去2年，大型零售業者、電商、百貨紛紛跟進，在臺灣形成了一股RMN浪潮，也讓臺灣零售業開始質變，越來越像是賣商品、賣廣告的IT科技業。</p> <p><a href="https://www.ithome.com.tw/article/163069" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1183-feng_mian_p1-open-you_hua_-960x420_kao_bei_0.jpg?itok=NOPYTCUE" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9B%B6%E5%94%AE%E6%A5%AD">零售業</a></div><div class="field-item odd"><a href="/tags/%E6%95%B8%E4%BD%8D%E8%A1%8C%E9%8A%B7">數位行銷</a></div><div class="field-item even"><a href="/tags/%E6%95%B8%E4%BD%8D%E5%BB%A3%E5%91%8A">數位廣告</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B6%E5%94%AE%E5%AA%92%E9%AB%94%E8%81%AF%E6%92%AD%E7%B6%B2">零售媒體聯播網</a></div><div class="field-item even"><a href="/tags/rmn">RMN</a></div></div></div>
2024/5/24 06:00作者王宏仁https://www.ithome.com.tw/voice/163070
【資安日報】5月23日，微軟推出AI電腦新功能Recall引發隱私爭議，英國主管機官宣布啟動調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟近日<a href="https://www.ithome.com.tw/news/162988">揭露新一代NPU加速的AI筆電</a>，並將其命名為Copilot+ PC，主打內建40多個地端AI模型和原生AI應用程式，包括能快速找出所需資訊的Recall、圖像創作Cocreator，以及能將四十多種語言即時翻譯為英文的即時字幕（Live Caption）等AI加持的工具。</p> <p>然而值得留意的是，以背景快照記錄使用者活動，以便用戶搜尋電腦檔案及上網活動的Recall，公布後便引發外界對於隱私上的爭議，英國個資保護主管機關宣布將介入調查此事。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163064"><strong style="font-size: 22px;">Foxit PDF Reader用戶遭到鎖定，駭客利用軟體彈出視窗的內容進行社交工程攻擊，散布多種惡意軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Foxit-image-18.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Foxit-image-18.png" style="width: 300px; float: right;" /></a></p> <p>關於檢視PDF文件的免費軟體，最常見的是Adobe的Acrobat Reader，過去曾有許多駭客與惡意軟體緊盯它的資安漏洞，除此之外，市面上另一個同樣應用類型軟體Foxit PDF Reader，也是攻擊者的目標之一，最近有駭客專門針對這個軟體的使用者發動攻擊。</p> <p>資安業者Check Point揭露鎖定Foxit PDF Reader用戶而來的攻擊行動，對方用來散布多種惡意程式，包括：Agent Tesla、AsyncRAT、DCRat、NanoCore RAT、NjRAT、Pony、Remcos RAT、XWorm。</p> <p>研究人員指出，這些攻擊行動利用了使用者經常並未詳細檢視彈出式對話框內容，就直接點選預設選項內容的情況，引誘該PDF檢視工具的用戶上當。有鑑於濫用這種手法的情況近期不斷上演，Foxit接獲他們的通報後，也承諾計畫在後續的2024.3版進行處理。</p> <p><a href="https://www.ithome.com.tw/news/163055"><strong style="font-size: 22px;">南海軍事單位與政府機關遭中國駭客組織Unfading Sea Haze鎖定，暗中從事情報收集超過5年</strong></a></p> <p>資安業者Bitdefender揭露專門鎖定南海國家政府高層的中國駭客組織Unfading Sea Haze，他們確認至少有8個軍事單位與政府機關受害，相關攻擊行動最早可追溯到2018年，換言之，這些駭客暗中活動已超過5年。</p> <p>研究人員指出，根據他們找到駭客不同時期使用的作案工具，對方運用了木馬程式Gh0st RAT的變種，以及多種.NET惡意酬載，攻擊過程會藉由名為SharpJSHandler的工具執行JavaScript程式碼，這些手法不僅讓他們認為Unfading Sea Haze與中國有關，上述執行JavaScript程式碼的工具，也出現在與APT41有關的後門程式funnyswitch。不過，研究人員指出，除此之外兩組駭客的作案工具並未出現其他共通點，因此他們認為，這是中國駭客組織之間共用程式碼所致。</p> <p>究竟這些駭客如何入侵受害組織？研究人員表示事隔6年導致證據缺乏，並不清楚如何做到。但他們確認對方在長時間的攻擊行動裡，會多次重新取得受害系統的存取權限，其中一種做法是透過釣魚郵件進行。</p> <p><a href="https://www.ithome.com.tw/news/163058"><strong style="font-size: 22px;">中國駭客用非法代理伺服器ORB網路隱藏連線行蹤，導致資安偵測難度大幅提升</strong></a></p> <p>為了埋藏行蹤，駭客藉由代理伺服器服務（Residential Proxy）從事攻擊行動的情況日益頻繁，最近有研究人員針對這種現象提出警告。</p> <p>資安業者Mandiant揭露名為Operational Relay Box networks（下稱ORB網路）代理伺服器服務，並指出中國APT駭客利用這種服務從事網路間諜活動的情況越來越常見。這種網路組成的方式很類似殭屍網路，主要由虛擬專用伺服器（VPS），以及存在弱點的物聯網（IoT）裝置、路由器組成，而且，這些設備通常生命週期已結束（EOL），或是不再受到製造商支援。</p> <p><a href="https://www.ithome.com.tw/news/163049"><strong style="font-size: 22px;">半導體設備廠京鼎發布資安重訊，說明駭客本月21日公開資料源於1月資安事故外流檔案</strong></a></p> <p>今年1月鴻海旗下的半導體設備廠京鼎傳出遭到入侵，駭客竄改該公司網站，宣稱竊得5 TB內部資料，但究竟是只有網站受到影響，還是公司的IT環境遭到勒索軟體攻擊？最近又有新的消息傳出。</p> <p>5月21日晚間19時14分京鼎發布重大訊息，表示他們發現駭客在網路上公開竊得資料，而這些資料的來源，根據他們的調查，就是上述的資安事故流出，他們曾在1月16日發布重大訊息說明此事。</p> <p>根據上述的公告內容，雖然京鼎仍然沒有說明遭遇的攻擊類型，但也證實駭客確實得手該公司內部資料的情況。只是這些資料內容為何，以及曝光後影響的層面，有待進一步說明。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.recordedfuture.com/exploring-the-depths-of-solarmarkers-multi-tiered-infrastructure"><strong style="font-size: 20px;">竊資軟體SolarMarker採用多層基礎設施，意圖躲避資安人員及執法單位打擊犯罪</strong></a></p> <p></p> <p>◆<a href="https://cyble.com/blog/new-antidot-android-banking-trojan-masquerading-as-google-play-updates/"><strong style="font-size: 20px;">安卓木馬Antidot偽裝成Google Play更新程式引誘使用者上當，意圖竊取帳密資料、聯絡人資訊、簡訊</strong></a></p> <p></p> <p>◆<a href="https://www.ptsecurity.com/ww-en/analytics/pt-esc-threat-intelligence/positive-technologies-detects-a-series-of-attacks-via-microsoft-exchange-server/"><strong style="font-size: 20px;">非洲與中東遭到鎖定，駭客利用微軟Exchange已知漏洞散布惡意程式Keylogger</strong></a></p> <p></p> <p>◆<a href="https://www.securityweek.com/omnivision-says-personal-information-stolen-in-ransomware-attack/"><strong style="font-size: 20px;">半導體製造商OmniVision去年9月遭遇勒索軟體攻擊，證實有出現資料外洩的情況</strong></a></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://forums.ivanti.com/s/article/Security-Advisory-May-2024"><strong style="font-size: 20px;">Ivanti修補端點管理程式重大層級的漏洞</strong></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163045"><strong style="font-size: 22px;">微軟系統即將推出的Recall功能引發爭議，英國政府啟動調查</strong></a></p> <p></p> <p>本週微軟發表具備強大AI功能的新型態電腦Copilot+ PC，並揭露名為Recall的新功能，號稱可更容易搜尋使用者曾於電腦上操作的任何內容。然而，這項功能也引發AI將用戶資料看光光的疑慮，對此，英國隱私主管單位資訊委員辦公室（Information Commissioner's Office，ICO）宣布，他們著手進行調查。</p> <p>雖然微軟允許用戶刪除相關記錄，或是調查記錄的時間範圍、停用Recall，並強調索引結果不會上傳雲端，但是外界點出其他疑慮。例如，Recall的快照功能不會隱藏用戶帳密，過濾網站功能僅限Edge；有不具名資安專家指出該功能無法根據GDPR規定，刪除應用程式曝露的個資。</p> <p><a href="https://www.ithome.com.tw/news/163031"><strong style="font-size: 22px;">荷蘭網路威脅態勢與防護經驗大公開，荷蘭資安三角洲專家強調資安韌性需擴及各產業供應鏈</strong></a></p> <p>全球各國都在重視資安的推動，歐洲的發展也是全球關注的焦點，2024臺灣資安大會也持續推動國際交流，邀請荷蘭資安三角洲Security Delta（HSD）基金會的專家親自到場發表主題演說，闡述荷蘭所面對的威脅態勢，以及採取的網路安全策略與行動。</p> <p>在本次大會主題演說上，荷蘭資安三角洲基金會總監Joris den Bruinen特別以荷蘭為例，說明隨著資安威脅持續轉變，改變遊戲規則的Game changers正衝擊著我們，不同規模大小企業、政府與民眾都要有所體認。</p> <p>Joris den Bruinen強調，資安領域的公私協力、國際交流都很重要，HSD持續聚焦於緊密的產學合作，以促成活躍的資安生態系，而他們的重要任務，就是加速HSD成員間的合作，並在知識、創新、市場、資金、人才層面為其創造價值。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163037"><strong>【5月22日】針對研究人員指控修補NAS作業系統漏洞速度太慢，威聯通發布聲明說明處理進度</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163006"><strong>【5月21日】金融木馬Grandoreiro傳出東山再起，駭客攻擊範圍從拉丁美洲擴及全球逾60個國家</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162984"><strong>【5月20日】與人工智慧系統開發相關的Python套件存在漏洞，恐導致資料外流、遠端執行程式碼攻擊</strong></a></p> </div></div></div>
2024/5/23 18:54作者周峻佑https://www.ithome.com.tw/news/163066
Foxit PDF Reader用戶遭到鎖定，駭客利用應用程式流程設計弱點進行社交工程攻擊，散布多種惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於檢視PDF文件的免費軟體，最常見的是Adobe的Acrobat Reader，過去曾有許多駭客與惡意軟體緊盯它的資安漏洞，除此之外，市面上另一個同樣應用類型軟體Foxit PDF Reader，也是攻擊者的目標之一，最近有駭客專門針對這個軟體的使用者發動攻擊。</p> <p>資安業者Check Point揭露鎖定Foxit PDF Reader用戶而來的攻擊行動，對方用來散布多種惡意程式，包括：Agent Tesla、AsyncRAT、DCRat、NanoCore RAT、NjRAT、Pony、Remcos RAT、XWorm。</p> <p>研究人員指出，這些攻擊行動利用了使用者經常並未詳細檢視彈出式對話框內容，就直接點選預設選項內容的情況，引誘該PDF檢視工具的用戶上當。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Foxit-image-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Foxit-image-7.png" style="width: 580px;" /></a></p> <p>他們也特別詳細展示使用者上鉤的場景：當使用者開啟對方提供的PDF檔案後，Foxit PDF Reader會彈出訊息說明部分功能因資安風險考量已被停用，詢問用戶是否暫時開啟相關功能，若不慎按下確定，就會彈出第2則訊息。</p> <p>而這個彈出式視窗的內容，其實是PDF檔案要求執行特定的應用程式，若按下預設的OK鍵，就會允許電腦執行攻擊者想要啟動的作案工具，觸發對方設計的攻擊鏈。<a href="https://s4.itho.me/sites/default/files/images/Foxit-image-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Foxit-image-5.png" style="width: 580px;" /></a></p> <p>在其中一波攻擊行動裡，駭客散布與軍事有關的PDF檔案，一旦使用者開啟檔案並同意放行開啟特定程式，電腦就會取得惡意程式下載工具並執行，然後被植入兩款惡意酬載，導致電腦內部資料外洩。這起攻擊行動在4月5日達到高峰，研究人員指出攻擊者的身分是DoNot Team（APT-C-35）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/JN326YDWP3-rId42.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/JN326YDWP3-rId42.png" style="width: 580px;" /></a></p> <p>另一波攻擊行動疑似鎖定美國用戶，使用者打開對方提供的PDF檔案並進行操作，電腦就會可能被植入第一階段酬載，接著觸發一系列的惡意軟體感染流程，最終於受害電腦部署竊資軟體，以及挖礦程式XMRig、lolMiner。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Foxit-image-18.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Foxit-image-18.png" style="width: 580px;" /></a></p> <p>研究人員指出，雖然這種型態的弱點，同時帶有對使用者進行網路釣魚的成分，引誘他們根據習慣直接點選確定而上當，但有鑑於濫用這種手法的情況近期不斷上演，Foxit接獲他們的通報後，也承諾計畫在後續的2024.3版進行處理。</p> <p>但為何這種攻擊過往鮮少被發現？研究人員表示有2個原因，首先是大部分對於PDF檢視器的攻擊，都是針對Acrobat Reader而來，再者，則是大多數的沙箱及資安研究人員，也都是利用Acrobat Reader觸發惡意程式，而該PDF檢視器不易受到這種弱點影響。</p> </div></div></div>
2024/5/23 18:25作者周峻佑https://www.ithome.com.tw/news/163064
卓榮泰首次行政院會：盼AI加速應用，提升民間企業生產力及公部門行政效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院新內閣在5月20日上任後，行政院長卓榮泰今天（5/23）首次舉行行政院會，其中國科會提報可信任生成式AI對話引擎TAIDE（Trustworthy AI Dialogue Engine）成果，在寫文章、寫信、翻譯等任務工作上，與ChatGPT 3.5相當，行政院長卓榮泰指示，盼望國科會持續精進AI技術研究，與其他部會合作加速產業應用，以及公部門運用，提高行政效率。</p> <p>卓榮泰表示，臺灣在半導體產業領先世界，也是民主供應鏈不可缺的夥伴，為維持關鍵戰略地位，必需掌握AI發展趨勢，擴大AI基礎建設及人才投資，讓臺灣成為AI的領頭羊，打造臺灣的大型語言模型，同時符合總統賴清德上任後提出的AI島願景。請國科會持續精進AI技術及應用，並與相關部會協助發展加值應用，加速導入業界，提高民間企業的生產力，並導入政府部門及公共服務領域，提供更夕便民服務，並提升行政效率。</p> <p>國科會在去年開始推動生成式AI對話引擎TAIDE，以打造具有臺灣本地文化特色的LLM，滿足國內使用需求，這項計畫集結AI相關人才、高速運算、繁體中文資料，整合產學研人力及資源全力發展臺灣的LLM。</p> <p><span style="color:#B22222;"><strong>TAIDE模型在5大日常工作上表現評測上與ChatGPT 3.5相當</strong></span></p> <p>去年6月公布採用Llama及中文資料，70億參數的學研版TAIDE模型，去年9月推出基於Llama 2，可商用的TAIDE-7B模型，先供產學研合作夥伴測試，2024年1月發表基於Llama 2，具有130億參數的學研版TAIDE-13B，並且開發700億參數的TAIDE-70B（學研版），今年4月正式開源可商用的TAIDE LX-7B模型，供外界使用。另外，今年4月中Meta發表Llama 3，TAIDE團隊也在4月底釋出基於Llama3的測試版TAIDE模型。</p> <p>國研院科政中心副主任徐玉梅表示，TAIDE開發的目的為可信任，因此對於訓練的資料嚴格把關，目前TAIDE模型的表現，利用評測工具，以辦公室日常的工作任務，例如寫文章、寫信、摘要、英翻中、中翻英5項任務，TAIDE-13B模型的表現已和ChatGPT-3.5相當。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/MS.jpg" style="width: 600px; height: 337px;" /></p> <p>以5項任務來評測，評分為0到10分，ChatGPT 3.5得到8.68分，可商用的TAIDE-7B為8.3分，學研用的TAIDE-13B為8.74分。如果以中文mt-bench為評測工具，同樣以0到10分為評分，ChatGPT 3.5得到8.72分，可商用的TAIDE-7B只有6.24分，學研用的TAIDE-13B則是8.48分。</p> <p>儘管4月底已釋出基於Llama 3的測試版模型，但目前TAIDE模型仍以Llama 2為主，結合繁體中文訓練資料。為了取得繁體中文資料，TAIDE團隊從「字詞語料」、「通用文本」、「特定領域」三方面盤點公私部門的資料，逐一取得授權，目前資料授權單位涵蓋中央部會、地方政府及民間組織，已完成處理的繁體中文資料共113.6GB，用於訓練模型。徐玉梅指出，未來精進及發展更大規模的模型，還需要各界提供更多的資料，以訓練模型。</p> <p>至於算力方面，原本臺灣杉二號建置32臺Nvidia V100，供TAIDE模型專用。政府去年以1.1億元建置Nvidia H100，並與暨有臺灣杉二號整合，去年12月正式服務，模型訓練所需的時間縮短一半。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/MS-2.jpg" style="width: 600px; height: 332px;" /></p> <p>為了讓模型符合需求，團隊開發模型的同時，也和產學研合作，例如知識檢索、跨，在產業方面，有業者結合模型開發企業專用的AI一體機，還有知識管理查詢、公文輔助文稿。</p> <p>徐玉梅表示，在計畫推動一開始，就與產學研共同合作，目前的合作案例，一部分在開發中，部分則已商品化，也有一些正與政府部門接洽，希望推動實際的應用。</p> <p>目前TAIDE模型的應用已有國臺客語，缺少原住民語言，她補充說明，目前TAIDE以純文字為主，訓練模型需要大量資料，原住民語言資料多以影像、影音為主，原住民語言的資料蒐集比較不易，後續會與原住民委員會，或是從數位典藏國家型計畫尋找可利用的原住民語言資料，TAIDE第一階段為純文字資料，後續會發展多模態發展，蒐集圖片資料。</p> <p>至於未來產業及公部門如何運用？國科會政務副主委林法正表示，TAIDE為基礎或通用模型，釋出供外界運用，公部門可結合其業務特有的資料，可應用在資料彙整、會議記錄彙整，寫公文，或是回覆民眾的詢問。TAIDE計畫剛開始與教授合作，因此最初應用在教育方面，未來在法律、醫療的應用也正在發展中。</p> <p>AI快速發展應用，各國制定專門的法規，臺灣也在研擬AI基本法，林法正指出，因AI科技發展非常快，各國在制定基本法上都採取觀望態度，因應外界的期望，國科會原本預定今年底提出基本法給行政院，如果行政院認為有需要提前，可提前至10月提出基本法。</p> </div></div></div>
2024/5/23 18:29作者蘇文彬https://www.ithome.com.tw/news/163063
中國駭客用非法代理伺服器ORB網路隱藏連線行蹤，導致資安偵測難度大幅提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了埋藏行蹤，駭客藉由代理伺服器服務（Residential Proxy）從事攻擊行動的情況日益頻繁，最近有研究人員針對這種現象提出警告。</p> <p>資安業者Mandiant揭露<a href="https://cloud.google.com/blog/topics/threat-intelligence/china-nexus-espionage-orb-networks">名為Operational Relay Box networks（下稱ORB網路）代理伺服器服務</a>，並指出中國APT駭客利用這種服務從事網路間諜活動的情況越來越常見。這種網路組成的方式很類似殭屍網路，主要由虛擬專用伺服器（VPS），以及存在弱點的物聯網（IoT）裝置、路由器組成，而且，這些設備通常生命週期已結束（EOL），或是不再受到製造商支援。</p> <p>這種網路通常會租用VPS節點，並結合專門滲透路由器的惡意軟體而來，使其能增加綁架設備的數量，從而擴大網路流量轉送（Relaying Traffic）的規模。</p> <p>駭客利用這種網狀網路從事間諜活動，可以混淆受害裝置與C2基礎設施的流量，並利用零時差漏洞攻擊網路邊界裝置。</p> <p>研究人員指出，已有許多資安業者警告這種網路濫用的情況，但值得留意的是，眾多中國駭客已在網路間諜活動廣泛利用ORB網路，產生重大影響。</p> <p>首先，是這種網路打破過往駭客自行打造攻擊基礎設施的概念，通常由中國境內的獨立企業組織、承包商、網路管理員經營，而非單一駭客組織控制。</p> <p>再者，則是ORB網路的基礎設施壽命週期很短，研究人員看到與ORB節點有關的IP位址壽命最短只有31天，而對於中國承包這種網路服務的業者來說，他們甚至有辦法每個月就輪替一定比例的基礎設施。</p> <p>而過往防禦方確認攻擊來源的指標，其中一種就是根據駭客基礎設施的IP位址，來做為判斷攻擊者身分的依據。然而，在中國駭客大肆利用ORB網路的情況下，無法依賴這項依據判斷攻擊來源，而且，與攻擊設施特徵有關的入侵指標（IoC），也難以識別駭客的行動。</p> <p>研究人員針對其中2個中國駭客用於間諜攻擊行動的ORB網路，公布相關細節。</p> <p>其中一個是名為ORB3（或稱SpaceHop）的ORB網路，包括APT5、APT15在內的中國駭客組織將其用於偵察行動，或是從事漏洞利用攻擊。該網路曾在2022年12月用於CVE-2022-27518漏洞攻擊，此漏洞存在於Citrix NetScaler ADC及Gateway設備，CVSS風險評分達9.8，而攻擊者的身分就是APT5。</p> <p>該網路使用雲端供應商位於中國及香港的環境，架設中繼伺服器（Relay server），並透過開源C2框架管理下游節點。</p> <p><a href="https://s4.itho.me/sites/default/files/images/china-nexus-orb-networks-fig3_max-2100x2100.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/china-nexus-orb-networks-fig3_max-2100x2100.jpg" style="width: 580px;" /></a></p> <p>另一個APT31等中國駭客組織運用的ORB網路ORB2（或稱FloraHox），研究人員指出它的架構較為複雜，與ORB3成為明顯的對比。這個網路由對手控制操作伺服器（Adversary Controlled Operations Server，ACOS），多個廠牌遭駭的連網裝置，以及VPS組成。</p> <p>這個網路包含多個子網域，由連網裝置組成，而這些裝置皆被植入專為路由器打造的惡意酬載，其中一種名為FlowerWater。</p> <p>而對於遭到擺布的連網裝置，研究人員提及當中含有思科、華碩、居易等廠牌多種類型的路由器，其共通點是產品本身很老舊，生命週期已經結束。</p> <p><a href="https://s4.itho.me/sites/default/files/images/china-nexus-orb-networks-fig4_max-2100x2100.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/china-nexus-orb-networks-fig4_max-2100x2100.jpg" style="width: 580px;" /></a></p> </div></div></div>
2024/5/23 17:05作者周峻佑https://www.ithome.com.tw/news/163058
荷蘭HSD專家在臺揭露最新歐盟資安法規趨勢，NIS 2、DORA、CRA是重要焦點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於國際資安態勢，在今年2024臺灣資安大會上，荷蘭資安三角洲（HSD）基金會總監Joris den Bruinen不只在主題演說中，<a href="https://www.ithome.com.tw/news/163031">闡釋了荷蘭如何應對網路安全新興威脅</a>，同時他也介紹近年歐洲資安立法的態勢。</p> <p>事實上，在歐盟層面，過去10年在數位領域已出現許多重要立法，大家最熟悉的莫過於多年前的GDPR，而如今還有人工智慧法案、網路韌性法正推動上路，持續引發國內企業與產業的關注。</p> <p>這次Joris den Bruinen介紹3項應對資安威脅的最新重要立法，讓大家可以有基本的認識。</p> <h3><strong><span style="color: rgb(178, 34, 34);">NIS 2</span></strong></h3> <p>例如，2022年底發布的歐洲第二版資安指令NIS 2，<a href="https://www.ithome.com.tw/news/151044">我們先前曾經多次報導</a>，Joris對此有更深入的說明，他指出，這個NIS 2將在今年10月18日成為強制性指令，所有成員國都要依循並完成立法，這將是一個新的重大里程碑。</p> <p>原因在於，NIS 1主要針對關鍵基礎設施，因此它在荷蘭的定義非常狹隘，主要是政府、銀行、能源部門，而NIS 2的定義不再狹窄，而是擴及更廣泛的重要中大型產業。Joris表示，荷蘭大約有6千個組織，包括食品、物流與高科技產業，都將納入規範。</p> <p>換言之，我們保護的對象已從「關鍵」擴大至「必要」。</p> <p>而且，NIS 2還帶來一個不同於過往的意義：現在是要董事會負責並承擔責任，不再是IT單位、資安長（CISO）的事。配套上也會成立監管機構，一旦沒有即時通報，或是未盡該有防護之責，將會面對罰則。而且，董事會不僅是對自身組織負責，也要對整個供應鏈負責。</p> <h3><strong><span style="color: rgb(178, 34, 34);">DORA（Digital Operational Resilience Act）</span></strong></h3> <p>針對金融領域，在2022年底歐盟還有通過數位營運韌性法案（DORA），<a href="https://www.ithome.com.tw/news/153223">我國金管會在兩年前曾表示，這是推動災害應變復原運作機制落實的一項重要參考</a>。</p> <p>這項法案將在2025年1月17日前生效，Joris指出，這項法案針對金融實體、服務提供者及ICT提供者而來，在此立法下將有更嚴格的規範，以應對更多風險，並界定更多責任。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>CRA（Cyber Resilience Act）</strong></span></h3> <p>在關注企業組織之餘，Joris表示，我們也要讓產品與服務更加安全，做到Secure by Design，而網路韌性法（CRA）就是針對所有軟硬體數位產品的基本資安要求而來，不論路由器、防火牆，實體、網路系統到物聯網產品等，都在規範之內。目前草案已在通過發布的最後階段。</p> <p>換言之，未來有了這項立法，產品、服務的提供者都將在這項立法下承擔責任。</p> <p>此外，還有2019年網路安全法案（Cyber Security Act）授權給歐盟網路安全局（ENISA）更實質的力量，建立網路安全認證框架，並在2023年提出新的修正，要擴及更多領域。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖4）荷蘭HSD威脅態勢網路策略大公開_Joris den Bruinen.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%964%EF%BC%89%E8%8D%B7%E8%98%ADHSD%E5%A8%81%E8%84%85%E6%85%8B%E5%8B%A2%E7%B6%B2%E8%B7%AF%E7%AD%96%E7%95%A5%E5%A4%A7%E5%85%AC%E9%96%8B_Joris%20den%20Bruinen.jpg" style="width: 600px;" /></a></p> <p>整體而言，Joris強調，這些資安規範的基本原則就是風險管理，這是一個很好的出發點，不論是董事會要負責，或是盡到該有的資安防護之責。</p> <p>對於如何算是做到應盡之責，Joris認為，網路衛生相當重要，在既有資安管理上採取更主動且良好的防護方式，就像維持自身健康一般，幫助組織預防與降低網路攻擊的風險。</p> <p>而網路衛生這樣的觀念，至今也不斷被強調著，他舉例，今年5月初美國RSA大會上，一位美國官員指出，如果你有良好的網絡衛生，可能95%的問題都會被解決。</p> </div></div></div>
2024/5/23 12:12作者羅正漢https://www.ithome.com.tw/news/163051
IBM開源程式開發專用Granite語言模型，效能超越當前多數開源模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM以Apache 2.0授權條款開源一系列<a href="https://research.ibm.com/blog/granite-code-models-open-source">Granite程式碼模型</a>，大小從30億到340億參數，包括基礎模型和指令跟隨模型，可用於應用程式現代化任務，甚至也可在記憶體有限的裝置上運作。經多個基準測試實驗，Granite程式碼模型在包括程式碼生成、修復與解釋任務，較多數開源程式碼大型語言模型的表現更好。</p> <p>Granite程式碼模型具有多個變體，而IBM提到，針對大部分企業使用案例，80億參數的Granite程式碼模型，是權重、執行成本和功能最合適的組合。同時Granite程式碼模型也有高達340億參數的變體，而IBM使用一種稱為深度放大（Depth Upscaling）的方式，來訓練這些較大型的模型。</p> <p>深度放大是一種增加模型層數的方法，以340億參數的Granite程式碼模型來說，研究人員創建了兩個200億參數的模型變體，每個變體有52層，藉由將第一個變體的最後8層，以及第二個變體的前8層去掉，再將這兩個模型合併，形成一個88層、具340億參數的新模型。研究人員提到，該方法將使模型層數更深，以提高其效能。</p> <p>官方同時也發表了Granite程式碼指令跟隨模型，該模型經過Git提交和人工綜合指令，還有開源合成程式碼指令資料集微調。</p> <p>研究人員針對當前各種Apache 2.0授權的開源模型，以HumanEvalPack、HumanEvalPlus和RepoBench基準測試進行比較。Granite程式碼系列模型在Python、JavaScript、Java、Go、C++和Rust程式語言的程式碼合成，修復、解釋、編輯和翻譯都表現良好。</p> <p>雖有部分模型在生成和修復程式碼等任務超越Granite程式碼模型，但整體來說，Granite程式碼模型能力表現平均，在多項測試中都獲得第一的位置。開發者現在已經可以在Hugging Face、GitHub、watsonx.ai和RHEL AI平臺使用到Granite程式碼系列模型。</p> </div></div></div>
2024/5/23 17:19作者李建興https://www.ithome.com.tw/news/163056
針對駭客近期在網路上公開的資料，半導體設備廠京鼎表示為今年1月資安事故外流的檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月鴻海旗下的半導體設備廠京鼎傳出遭到入侵，<a href="https://www.ithome.com.tw/news/160856">駭客竄改該公司網站，宣稱竊得5 TB內部資料</a>，但究竟是只有網站受到影響，還是公司的IT環境遭到勒索軟體攻擊？最近又有新的消息傳出。</p> <p>5月21日晚間19時14分京鼎發布重大訊息，<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=191412&SPOKE_DATE=20240521&COMPANY_ID=3413">表示他們發現駭客在網路上公開竊得資料</a>，而這些資料的來源，根據他們的調查，就是上述的資安事故流出，他們曾在1月16日發布重大訊息說明此事。</p> <p>而針對這起事故的處理情形，該公司指出已在今年1月通報政府部門，亦通知客戶。他們也全面檢視資安防禦機制並啟動相關檢測，強調遵守個資保護法規、遵循相關法律規定。而對於這起事故帶來的影響，他們評估對營運尚無重大影響。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/oHN8W2YPI1.png" style="width: 550px;" /></p> <p>根據上述的公告內容，雖然京鼎仍然沒有說明遭遇的攻擊類型，但也證實駭客確實得手該公司內部資料的情況。只是這些資料內容為何，以及曝光後影響的層面，有待進一步說明。</p> </div></div></div>
2024/5/23 11:36作者周峻佑https://www.ithome.com.tw/news/163049
荷蘭網路威脅態勢與防護經驗大公開，荷蘭資安三角洲專家強調資安韌性需擴及各產業供應鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【臺灣資安大會直擊】全球各國都在重視資安的推動，歐洲的發展也是全球關注的焦點，2024臺灣資安大會也持續推動國際交流，邀請荷蘭資安三角洲Security Delta（HSD）的專家親自到場發表主題演說，闡述荷蘭所面對的威脅態勢，以及採取的網路安全策略與行動。</p> <p>關於荷蘭，以地理位置而言，大家可能知道荷蘭的阿姆斯特丹是歐洲最繁忙的機場，並有著歐洲第一大港鹿特丹，若是在高科技產業的層面上，大家可能想到臺灣有台積電，荷蘭有艾司摩爾（ASML），但在資安威脅態勢上，荷蘭是否面對與我們相類似的問題，大家或許不曾想過。</p> <p>在本次大會主題演說上，荷蘭資安三角洲（HSD）基金會總監Joris den Bruinen特別以荷蘭為例，說明隨著資安威脅持續轉變，改變遊戲規則的Game changers正衝擊著我們，不同規模大小企業、政府與民眾都要有所體認。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖2B）荷蘭HSD威脅態勢網路策略大公開_Joris den Bruinen.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962B%EF%BC%89%E8%8D%B7%E8%98%ADHSD%E5%A8%81%E8%84%85%E6%85%8B%E5%8B%A2%E7%B6%B2%E8%B7%AF%E7%AD%96%E7%95%A5%E5%A4%A7%E5%85%AC%E9%96%8B_Joris%20den%20Bruinen.jpg" style="width: 600px;" /></a></p> <p>對於荷蘭而言，近年遭遇哪些重大網路威脅？Joris舉出5起影響甚鉅的資安事件。</p> <p>首先，在2017年鹿特丹港口曾發生三分之一停止運作的情形，原因是俄羅斯駭客針對烏克蘭發動大規模網路攻擊，連帶航運巨擘馬士基旗下碼頭營運商APM Terminals也受NotPetya攻擊影響所導致。這起事件衝擊了我們的實體世界，造成龐大的損失。</p> <p>荷蘭高科技業ASML也經常受到攻擊，有一段時間更是同時遭遇網路攻擊與內部員工竊密的威脅。這類攻擊導致了智慧財產權被竊取的問題。</p> <p>不只是大型跨國公司有資安危機，荷蘭當地知名的製造業VDL集團，3年前也遭遇勒索軟體攻擊，特別的是，這是一個家族企業，也成為網路攻擊的目標。</p> <p>荷蘭物流公司Bakker Logistiek也曾遭遇勒索軟體攻擊，但這起資安事件還嚴重影響民眾，因為，當時超市販售的乳酪竟因此事件而缺貨。</p> <p>Log4j漏洞的資安危機也是一例，全球都受影響。這個開源元件存在於許多軟體之中，就像食品中的糖一樣，到處都有，我們甚至不知道它在哪裡，這對許多企業組織來說，就是一場嚴重的網路危機。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%965%EF%BC%89%E8%8D%B7%E8%98%ADHSD%E5%A8%81%E8%84%85%E6%85%8B%E5%8B%A2%E7%B6%B2%E8%B7%AF%E7%AD%96%E7%95%A5%E5%A4%A7%E5%85%AC%E9%96%8B_Joris%20den%20Bruinen.jpg" style="width: 600px;" /></p> <h2><strong>網路威脅日益複雜，荷蘭政府重視公私協力，也要幫助中小企業</strong></h2> <p>上述這些就是荷蘭所面對的威脅現況，若是更進一步來看，關於整體歐洲的資安威脅態勢，Joris den Bruinen引用歐盟網路安全局（ENISA）公布的2020年的15大網路威脅，說明現在態勢已是更複雜的威脅組合。</p> <p>例如，惡意程式、勒索軟體等這些威脅，經常從網路釣魚開始，這樣的威脅結合已成為荷蘭的首要威脅，還有假冒執行長的商業電子郵件詐騙，為荷蘭國家經濟帶來嚴重損失。</p> <p>未來我們還將面臨新的威脅，近年就有一些預料之外的重要變化，例如，因地緣政治國家相關攻擊的風險持續攀升，網路犯罪即服務商業模式讓勒索軟體攻擊事件大增，新技術也會帶來更多新興風險，像是IT/OT漏洞的持續成長，以及生成式AI被用於惡意軟體創造與網路釣魚手法改進。</p> <p>Joris den Bruinen表示，根據ENISA公布的「2030年10大新興網路安全威脅」，我們可以看出一些端倪。從軟體相依性的供應鏈攻擊、運用新興技術散播不實資訊，數位監控威權主義崛起，一直到技術短缺、AI濫用等，都是重要議題。</p> <p>因此，這些年來，不論荷蘭或是歐盟，都在持續設法積極應對資安風險。</p> <p>荷蘭本身如何應對這些威脅？Joris表示，他們在2012年制定了第一個戰略，建立國家級的荷蘭網路安全中心（NCSC），專注於荷蘭政府部門與關鍵基礎設施的保護，共涵蓋350多個組織。</p> <p>然而，只保護350個組織是不夠的，特別是考慮到資安威脅在不同層面的擴散，因此，2018年政府開始意識到要幫助中小企業，於是成立數位信任中心（Digital Trust Center，DTC）。而且，預計2026年，NCSC與DTC將進一步整合。</p> <p>從整體歐洲層面來看，還有ENISA歐盟網路安全局這樣的組織，推動成員國提升整體網路安全水準。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖7）荷蘭HSD威脅態勢網路策略大公開_Joris den Bruinen.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%967%EF%BC%89%E8%8D%B7%E8%98%ADHSD%E5%A8%81%E8%84%85%E6%85%8B%E5%8B%A2%E7%B6%B2%E8%B7%AF%E7%AD%96%E7%95%A5%E5%A4%A7%E5%85%AC%E9%96%8B_Joris%20den%20Bruinen.jpg" style="width: 600px;" /></a></p> <p>至於這些機構的重要行動上，聚焦在公共政策、公私合作夥伴關係，宣導活動，以及責任悖論。</p> <p>他強調，建立公私合作夥伴關係是一大重點，如資安資訊分享與分析中心（ISAC），讓大家更好提前應對嚴重威脅，一旦事件發生，NCSC也會告知公眾並幫助受害企業。而在資安意識提升活動舉辦上，每年會有不同重點，像是針對老人、年輕人、中小企業等不同族群，還有歐洲網路安全月、網路安全周等活動等宣傳活動。</p> <p>關於責任悖論，他指出，若個人和組織都認為網路安全是另一個人的責任，又如果是每個人都負責，最後可能沒有人會負責，因此政府的因應就是需要透過立法來界定與規範。</p> <p>近年就有幾個重要的法案，例如：在網路安全策略上，2022年底發布的歐洲第二版資安指令NIS 2，將在今年10月18日成為強制性指令，使保護的對象從關鍵CI擴大至重要中大型產業；針對金融資安領域，2022年底還有通過數位營運韌性法案（DORA），預計將在2025年1月17日前生效；針對產品安全領域，還有已在最後通過發布階段的網路韌性法（Cyber Resilience Act，CRA）。</p> <h2><strong>荷蘭HSD建構產官學研聚落，以加速發展網路安全解決方案為目標</strong></h2> <p>另一方面，Joris談到了自身組織荷蘭HSD，強調公私合作夥伴關係、生態系統的建立，也是整體資安推動的重要一環。</p> <p>事實上，關於荷蘭HSD，可能有些人更有印象是海牙資安三角洲（The Hague Security Delta，HSD），在Joris的介紹下，我們才發現，這個2013年7月成立的非營利組織HSD基金會，現已更名為Security Delta（HSD），H代表荷蘭，原本Hague（海牙）一字已經去除。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%963%EF%BC%89%E8%8D%B7%E8%98%ADHSD%E5%A8%81%E8%84%85%E6%85%8B%E5%8B%A2%E7%B6%B2%E8%B7%AF%E7%AD%96%E7%95%A5%E5%A4%A7%E5%85%AC%E9%96%8B_Joris%20den%20Bruinen.jpg" style="width: 600px;" /></p> <p>Joris表示，HSD是荷蘭重要的資安產業聚落，有超過300個官方與民間組織加入其中，是一個集結產官學研的公私協力平臺，也是一個創新基地，專注於城市、國家與關鍵基礎設施保護等重要議題。</p> <p>特別的是，在HSD的成員中，不只是有荷蘭政府單位，還有大型企業、中小企業、國際組織、研究單位、教育界的夥伴，國際合作同樣重要，因此成員中不僅包含大型國際資安業者，並且也有來自臺灣的夥伴。</p> <p>例如，為了打入歐洲市場，在荷蘭設有辦公室的幾家臺灣業者，包括：身份認證業者來毅數位科技（Lydec&Keypasco），網路安全硬體設備製造商立端科技（Lanner），還有工業技術研究院（ITRI）亦在當地設有辦事處。事實上，近幾年來臺灣與荷蘭相互之間，已有多次的國際資安交流活動。</p> <p>Joris強調，資安領域的公私協力、國際交流都很重要，HSD持續聚焦於緊密的產學合作，以促成活躍的資安生態系，而他們的重要任務，就是加速HSD成員間的合作，並在知識、創新、市場、資金、人才層面為其創造價值。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%966%EF%BC%89%E8%8D%B7%E8%98%ADHSD%E5%A8%81%E8%84%85%E6%85%8B%E5%8B%A2%E7%B6%B2%E8%B7%AF%E7%AD%96%E7%95%A5%E5%A4%A7%E5%85%AC%E9%96%8B_Joris%20den%20Bruinen.jpg" style="width: 600px;" /></p> <p>關於HDS在創新上的發展經過，Joris提到HSD近年特別重視3大主題，包括：網路安全與韌性、資料與AI，以及智慧安全社會，因此，HSD本身也建立了一套資安創新方法，透過4步驟來創造更多合作契機。</p> <p>例如，從一開始的探索階段，研究思考問題是什麼？是否已有解決方案？是否需要創新或新知識？</p> <p>接著是成立聯盟階段，以找出相互可以合作夥伴與方式，再到營運聯盟階段，共同開發和測試創新解決方案，以及最後的收穫階段，展示全新解決方案，並盡可能在國內和國際上推廣。</p> <p>整體而言，有了公私夥伴關係這樣的平臺，如何促進合作、加速合作就是重點，尤其是供應鏈的合作。</p> <p>為了讓大家更好理解，Joris以荷蘭重要的農業發展為例。他表示，隨著多年來的轉變，傳統用馬耕地到現在成為非常創新領域，而背後是一個完整的供應鏈，從種子、肥料與溫室場域，到種植者、市場、物流到最終消費的零售業。這當中不僅有IT技術，還有溫室氣候控制等各式設備，並有營運、流程、策略等層面。</p> <p>因此，荷蘭在建立HSD創新中心時就汲取了相關教訓，我們需要共同合作，才能在整個領域做到有效推動，並要聚焦在協助建立資安意識，並確保所有相關企業知道如何增強數位安全。</p> <p>甚至，他們也將相關經驗套用到荷蘭製造業，這項策略是從荷蘭南方開始試行，再擴展至全國境內。</p> <p>Joris強調，我們必須確保的不只是個別企業，而是要讓整個供應鏈，都能在網路韌性上達到更高的水準。</p> </div></div></div>
2024/5/23 14:36作者羅正漢https://www.ithome.com.tw/news/163031
外傳開發Ai Pin的Humane有意求售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《彭博社》（Bloomberg）本周引述消息來源<a href="https://www.bloomberg.com/news/articles/2024-05-22/wearable-ai-startup-humane-is-said-to-explore-potential-sale" target="_blank">報導</a>，甫於今年4月於美國推出首款AI裝置Ai Pin的Humane已經在尋找買家，開價7.5億至10億美元。</p> <p>Humane是由曾參與過Mac、iPhone、iPad、iPod、Apple TV及Apple Watch等蘋果產品介面設計的Imran Chaudhri，以及同樣任職於蘋果，擔任軟體工程師的妻子Bethany Bongiorno在2018年共同創立，所打造的第一款產品Ai Pin並無螢幕設計，標榜只要透過語音就能與之互動，並可把所需資訊投影至掌心，裝置售價為699美元，每月必須額外支付24美元來取得電話、通訊、雲端儲存及AI服務。</p> <p>然而，Ai Pin上市後的風評並不佳。除了裝置太重不方便別到襯衫或是會過熱等小問題之外，Ai Pin的電池續航力不佳，反應太慢，招致各界的<a href="https://www.ithome.com.tw/news/162250" target="_blank">批評</a>。</p> <p>即使Humane去年增資時的估值高達8.5億美元，但當時Ai Pin還未上市，目前並不確定有誰會想要接手Humane。</p> <p> </p> </div></div></div>
2024/5/23 14:52作者陳曉莉https://www.ithome.com.tw/news/163054
南海軍事單位與政府機關遭中國駭客組織Unfading Sea Haze鎖定，暗中從事情報收集超過5年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Bitdefender<a href="https://www.bitdefender.com/blog/businessinsights/deep-dive-into-unfading-sea-haze-a-new-threat-actor-in-the-south-china-sea/">揭露專門鎖定南海國家政府高層的中國駭客組織Unfading Sea Haze</a>，他們確認至少有8個軍事單位與政府機關受害，相關攻擊行動最早可追溯到2018年，換言之，這些駭客暗中活動已超過5年。</p> <p>研究人員指出，根據他們找到駭客不同時期使用的作案工具，對方運用了木馬程式Gh0st RAT的變種，以及多種.NET惡意酬載，攻擊過程會藉由名為SharpJSHandler的工具執行JavaScript程式碼，這些手法不僅讓他們認為Unfading Sea Haze與中國有關，上述執行JavaScript程式碼的工具，也出現在與APT41有關的後門程式funnyswitch。不過，研究人員指出，除此之外兩組駭客的作案工具並未出現其他共通點，因此他們認為，這是中國駭客組織之間共用程式碼所致。</p> <p>究竟這些駭客如何入侵受害組織？研究人員表示事隔6年導致證據缺乏，並不清楚如何做到。但他們確認對方在長時間的攻擊行動裡，會多次重新取得受害系統的存取權限，其中一種做法是透過釣魚郵件進行。</p> <p>這些釣魚信內含惡意檔案，其中包含偽裝成文件的Windows捷徑（LNK）檔案，他們發現駭客從去年3月至5月，多次以此手法嘗試發動攻擊，並藉由提供防毒軟體Microsoft Defender安裝程式及指引，或是當時美國政治議題做為誘餌。</p> <p>值得留意的是，攻擊者會在LNK的命令當中，加入冗長的註解，這麼做的目的很有可能是為了迴避偵測。</p> <p>但特別的是，駭客的程式碼執行過程當中，會特別檢查目標電腦是否有ESET防毒軟體的核心服務處理程序ekrn.exe，並在沒有該處理程序的情況下才會繼續執行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/image-png-May-20-2024-04-42-49-1999-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-png-May-20-2024-04-42-49-1999-PM.png" style="width: 580px;" /></a></p> <p>接著他們執行PowerShell命令，濫用微軟的開發工具Microsoft Build Engine（MSBuild），從遠端SMB伺服器上搜尋專案檔案，藉此在記憶體執行駭客的惡意程式碼，而不會在受害電腦留下做案痕跡。這些惡意程式碼是名為SerialPktdoor的後門程式，功能是能讓對方遠端操控電腦。</p> <p><a href="https://s4.itho.me/sites/default/files/images/image-png-May-20-2024-04-43-30-4481-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-png-May-20-2024-04-43-30-4481-PM.png" style="width: 580px;" /></a></p> <p>此外，攻擊者濫用Windows電腦預設停用的本機管理員帳號Administrator，竄改其密碼並啟用，但為了不讓使用者察覺，他們又更動機碼，讓這個帳號在登入畫面隱藏。</p> <p>一旦成功入侵，這些駭客就會藉由鍵盤側錄程式xkeylog截取使用者輸入的內容，並透過竊資軟體、PowerShell指令碼挖掘瀏覽器存放的用戶資料。</p> <p>從去年開始，對方不只濫用MSBuild載入前述後門程式，還會部署Gh0st RAT變種，研究人員看到SilentGh0st、InsidiousGh0st、TranslucentGh0st、EtherealGh0st、FluffyGh0st等多款變種程式。</p> <p>最終駭客透過curl工具，並利用FTP協定外傳竊得的資料，過程中濫用動態產生的帳密隱匿流量。</p> </div></div></div>
2024/5/23 15:13作者周峻佑https://www.ithome.com.tw/news/163055
微軟正式推出雲端原生開發框架.NET Aspire，部署、災難恢復、監控功能一應俱全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>能夠簡化.NET雲端開發的開發框架<a href="https://devblogs.microsoft.com/dotnet/dotnet-aspire-general-availability/">.NET Aspire</a>正式發布。該框架包含工具、範本和NuGet套件，使得創建分散式應用程式變得更容易。目前開發者已可在Visual Studio 2022 17.10、.NET CLI和VS Code中使用.NET Aspire。</p> <p>建立雲端原生應用程式仍是一項複雜的任務，程式開發和部署過程繁瑣，開發者需要耗費大量時間處理雲端架構的細節，特別是當應用程式存在高流量和大規模存取需求時，技術和架構設計的要求更高。此外，開發分散式應用程式還需要關注服務健康度檢查、負載平衡和訊息傳遞等問題。</p> <p>.NET Aspire提供了完整的解決方案來協助開發者克服這些問題。其提供工具、範本和NuGet，簡化開發工作，簡化雲端原生應用程式的開發工作，使開發者更能專注在業務邏輯上。另外，.NET Aspire與微軟按需服務整合，滿足雲端應用程式的擴展需求。</p> <p>同時，.NET Aspire支援Health Checks、YARP、HttpClientFactory和gRPC等技術與函式庫，並運用微軟新發展的Native AOT（Ahead-of-Time Compilation）技術，平衡應用程式大小與效能。開發者也可以透過使用SDK Container Builds，將任意.NET應用程式轉為容器快速部署到雲端。</p> <p>特別的是，.NET Aspire提供App Host工具，來簡化分散式應用程式的本地開發，該工具讓開發者使用C#描述，配置應用程式及所需要的服務，而一旦App Host啟動之後，便會開始自動啟用所需的資源，諸如資料庫和快取伺服器，並注入必要的配置，使應用程式各部分都能夠順利運作和通訊。</p> <p>App Host使應用程式的雲端部署更簡單，藉由應用程式模型詳細資訊，.NET Aspire可以簡單部署程式到雲端或是Kubernetes。開發者不需要改變目前的部署方式，但使用App Host能夠有更好的部署體驗，像是透過Azure Developer CLI可以直接部署.NET Aspire App Host中的資源到Azure Container Apps，Visual Studio也可以支援直接從Solution Explorer發布到Azure，而對Kubernetes來說，開發者也可以使用易用的命令列工具Aspir8進行部署。</p> <p>.NET Aspire網頁儀表板Aspire Dashboard，則會顯示開發中應用程式的詳細資訊，包括資源、端點、環境變數和日誌，該儀表板也會呈現OpenTelemetry的結構化日誌、分散式追蹤和指標資訊，這些資料儲存在記憶體中，提供接近即時的狀態檢視圖。Aspire Dashboard為獨立工具，是一個可以供開發者簡單觀察資料的方法。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0523-Aspire%20Dashboard.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0523-Aspire%20Dashboard-B.png" style="width: 600px;" /></a></p> <p>.NET Aspire提供元件擴充功能，例如資料庫連接、訊息傳遞、快取、雲端服務連接以及可觀察性功能等。.NET Aspire元件是NuGet套件，能夠自動加入客戶端函式庫所需要的額外相依項目，並且與應用程式的相依注入和配置系統整合。這些元件預設啟用重要的可靠性和可觀察性功能，開發者不需要更改程式碼即可完成配置。</p> </div></div></div>
2024/5/23 15:17作者李建興https://www.ithome.com.tw/news/163052
便利臺灣政府機關採購雲端服務，工程會公布「資訊雲端服務採購契約範本」供參
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當金管會開放金融業者上雲後，政府也已經正視這股趨勢，體認到雲端服務已經是政府資訊服務採購的某一種主流。為了便利招標的政府機關單位，以及預計投標的資訊服務業者，行政院公共工程委員會（簡稱工程會）協同數位發展部，在彙整產業意見後，於日前（5月17日）正式公布「資訊雲端服務採購契約範本」（業界簡稱雲端採購範本）。</p> <p>時任行政院公共工程委員會副主委葉哲良表示，因應資訊雲端化及循環經濟的趨勢，政府以取得雲端服務代替傳統購買的模式，將成為資訊採購的主流，但不論是採購人員的心態、與會計制度、採購契約的內容，都必須有新思維、新轉變；因此，工程會協同數位部透過凝聚各方的專業及共識，建立雲端服務專用的契約範本，引導機關邁向雲端。</p> <p>「雲端採購範本」是依照政府採購法第63條第1項規定，要求政府各類採購契約以採用公共工程委員會訂定的範本為原則，且該採購範本內容，是工程會與相關公協會、廠商討論後一起訂定的，適用範圍為提供既有軟體系統轉換至雲端服務、雲端服務（SaaS）及雲端平臺（PaaS/IaaS）公有雲與私有雲的線上服務。</p> <p>另外，葉哲良也說，在資安部分，也將統計各部會年度資安經費佔IT的占比，並與全球相關領域數據做比對，以作為政府施政時的參考，達到資安與國安同時兼顧的目標。</p> <p>不過，此次雲端採購範本正式版本公告後，我們可以發現有些意外的變化。原本工程會和產業界討論時，有設立一條希望可以透過「保險」來轉嫁機關和資服業者風險的條文，但最後在正式版本中該保險條文則被刪除，不論是保護自己的專業責任險、防範駭客入侵的第三責任險，或者是以數據保護為核心的資安險等，都從正式版本中被拿掉。</p> <h2><strong>雲端採購範本屬於服務採購，不適用於設備類的租賃轉移合約</strong></h2> <p>葉哲良指出，這個「資訊雲端服務採購契約範本」是由甲方的機關擬好所需要的內容，再提供給乙方的資服業者看內容是否合適，這主要提供給機關編列採購雲端服務時的契約範本參考，包括各種SaaS、PaaS或IaaS等公雲或私雲的雲端服務的採購，並不適用於租賃到期後將財產轉移給機關的作法，這種租賃轉移大多為資本門為主的設備採購案。</p> <p>他進一步解釋，這份「資訊雲端服務採購契約範本」是參考原本的資訊手冊修改而來，過去太過重視硬體採購，現在應該改成服務採購的概念，若是機關在採購雲端服務之餘仍需要額外的硬體設備，就應該另外採購硬體設備，不應該將硬體和服務採購混在一起。</p> <p>葉哲良指出，以目前政府採購的預算編列方式，硬體採購多以資本門的編列為主，但資訊或資安服務採購則多以經常門科目進行編列，預算法對於資本門有專屬的定義，立法院進行預算審查時，有時候會採取統一刪除經常門多少百分比的方式，造成政府資訊或資安服務採購預算編列不足。但他認為，在現在資訊和資安服務比重逐漸增加時，機關應該妥善編列預算，取得所需的資訊或資安服務，也是一大考驗。</p> <h2><strong>明列禁用陸籍人士和產品，禁在中港澳跨境資料傳輸</strong></h2> <p>這個雲端採購範本總計有21條條文，在這次訂定雲端採購範本中，有幾項重要條文值得關注。葉哲良指出，第8條「履約管理」的條文中，第8-3-1條中，明確規定「廠商執行本案之團隊成員（含分包廠商）不得為陸籍人士（係指接觸本採購案資料之人員）」。</p> <p>但這中間可能會遇到一些雲端服務業者在境外提供相關雲端服務，此時該如何限制陸籍人士不得參與該專案呢？葉哲良回答：「境內採用國籍管理，境外則採用資料流管理的方式，確保資料流經的節點，都不會有陸籍人士。」</p> <p>第19條「保密及安全需求」條文中，在第19-5條中也明確規範，提供服務的業者，不可以使用大陸廠牌的資通訊軟體、硬體或雲端服務等；第19-6條更清楚規定，雲端資料儲存地點不得位於大陸（含香港及澳門）境內，並不得在中港澳地區做跨境資料傳輸。</p> <h2><strong>明訂業者需提供6個月以上日誌檔，契約結束後保留日誌檔6個月</strong></h2> <p>雖然《資通安全管理法》主要是規範公務機關以及特定非公務機關，但根據雲端採購範本中的第15條「權利及責任」條文中，第15-14條「資通安全責任」的規定，在第15-14-1條便明確要求投標的廠商，必須遵守《資通安全管理法》以及相關子法與行政院頒訂各項資通安全規範及標準，也必須遵守機關資通安全管理及保密的相關規定。若以供應鏈的概念來看，提供公務機關資訊、資安和雲端服務的業者，一旦順利得標，都會受到《資通安全管理法》的規範。</p> <p>其中，提供和保留雲端服務系統的各種日誌檔（Log），也是此次雲端採購範本中，有詳細規範的項目。例如，第15-14-2條明定：廠商要提供雲端服務與履約標的的相關日誌，包括：應用程式日誌（AP Log）、登入日誌（Logon Log）、網站日誌（Web Log，若無法提供，廠商提出證明，經機關同意後得免提供）、作業系統日誌（OS Event Log）和其他保存期限至少6個月的相關日誌。</p> <p>第15-15條明定：廠商於終止或解除雲端服務採購契約或履約完成後，應該要提供前6個月雲端服務與履約標的相關的日誌記錄，否則機關得依比率，不發還保證金。</p> <p>第17條「契約終止、解除及暫停執行」條文中，其中第17-11-6條明確規範「廠商提供之雲端服務與履約標的相關之日誌，應於契約終止或解除或期滿後保存6個月。」</p> <p>根據這份雲端採購範本的規定，清楚訂定業者必須要提供機關6個月以上的各種日誌檔案（Log），契約結束後也必須保留日誌6個月。葉哲良表示，未來保留各種日誌檔至少6個月以上，契約結束後也必須保留日誌檔6個月的規範，將會成為臺灣各行各業的低標。</p> <h2><strong>不可歸責廠商事由造成的違約金計算，以契約價金總額20％為上限</strong></h2> <p>在政府各種採購契約中，以往對於違約金的估算，都由機關依照往例或參考其他機關標準制定，此次在雲端採購範本中，也在第14條「違約金」的條文中明定違約金的上限。例如，根據第14-3條規定，如果是不可抗力或不可歸責於廠商的事由導致違約時，屬於行政違約，違約金的計算以契約價金總額的20％為上限。</p> <p>但如果是因為廠商的內部過失，導致可歸責於廠商事由，致使無法提供保存期限內的存取記錄和日誌檔時，就可依照第14-4條規定，依照契約價金總額的2％計算違約金，若計算出的違約金不滿一萬元者，仍以一萬元計算；如果未能限期改善者，則可以按次處罰，且不受20％違約金上限的規範。</p> <p>廠商如果違反資安相關法令，或者是知道機關或廠商發生資安事件時，依照雲端採購範本第15-14-3條規定，廠商必須在知道發生資安事件的1小時內通報機關，並提出緊急應變處置且配合機關做後續處理。</p> <p>如果廠商無法配合上述規定的話，依照第14-5條違約金的規定，可以以契約價金總額的10％作為違約金，不受契約價金總額20％的違約金上限規定。</p> <p>葉哲良表示，雲端採購範本也將資安事件的通報正式明文化，避免以往曾經發生過，機關發生資安事件後，廠商或機關就刪除Log來隱瞞資安事件的發生。</p> <p>資安是未來政府所有資服採購或是雲端服務採購時的重要項目，根據第2條「履約標的」條文中第2-4條規定，在雲端採購範本涉及的資通系統，都必須在招標時，就確定其資安防護需求等級是普級、中級還是高級，如果招標時沒有清楚載明防護等級，都以普級視之。</p> <p>而且，機關對於資安防護等級需求的應該搭配何種資安作為，則必須參考「各類資訊（服務）採購之共通性資通安全基本要求參考一覽表」中，針對：雲端服務（SaaS）套裝型、雲端微服務（SaaS）辦公室生產力工具、既有雲端微服務（SaaS）客製化需求更版、雲端平臺（PaaS或IaaS）、應用軟體或系統維運服務的類型，依據所需要的資安防護等級，執行並落實所需要的防護項目內容。</p> <table border="1" cellpadding="1" cellspacing="1" style="width:500px;"> <caption> <h3>「資訊雲端服務採購契約範本」條文</h3> </caption> <tbody> <tr> <td> <h3>第1條契約文件及效力</h3> </td> </tr> <tr> <td> <h3>第2條履約標的</h3> </td> </tr> <tr> <td> <h3>第3條契約價金之給付</h3> </td> </tr> <tr> <td> <h3>第4條契約價金之調整</h3> </td> </tr> <tr> <td> <h3>第5條契約價金之給付條件</h3> </td> </tr> <tr> <td> <h3>第6條稅捐</h3> </td> </tr> <tr> <td> <h3>第7條履約期限</h3> </td> </tr> <tr> <td> <h3>第8條履約管理</h3> </td> </tr> <tr> <td> <h3>第9條履約標的品管</h3> </td> </tr> <tr> <td> <h3>第10條保證金（由機關擇定後於招標時載明，無者免填）</h3> </td> </tr> <tr> <td> <h3>第11條驗收</h3> </td> </tr> <tr> <td> <h3>第12條遲延履約</h3> </td> </tr> <tr> <td> <h3>第13條保固（無者免填）</h3> </td> </tr> <tr> <td> <h3>第14條違約金</h3> </td> </tr> <tr> <td> <h3>第15條權利及責任</h3> </td> </tr> <tr> <td> <h3>第16條契約變更及轉讓</h3> </td> </tr> <tr> <td> <h3>第17條契約終止、解除及暫停執行</h3> </td> </tr> <tr> <td> <h3>第18條爭議處理</h3> </td> </tr> <tr> <td> <h3>第19條保密及安全需求</h3> </td> </tr> <tr> <td> <h3>第20條其他</h3> </td> </tr> <tr> <td> <h3>第21條服務績效</h3> </td> </tr> </tbody> </table> <h3> 資料來源：行政院公共工程委員會，2024年5月</h3> <h3> </h3> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <p> </p> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/5/23 12:04作者黃彥棻https://www.ithome.com.tw/news/163050