iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 33篇
近 7 天: 138篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 19:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 138 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

AI趨勢周報第253期：微軟Build 2024大會AI亮點盤點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0524～0530)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copilot </span></strong></span></p> <p><span style="font-size: 22px;"><strong>盤點微軟Build 2024大會AI重大更新</strong></span></p> <p>微軟在5月下旬展開今年度Build大會，主題聚焦生成式AI，亮點可分為AI筆電Copilot+ PC和整體的微軟Copilot技術架構更新。Copilot+ PC是今年首度亮相的AI系列筆電，結合了CPU、GPU和微軟自行研發的NPU，效能可達每秒40兆次處理（TOPS），可更快速執行AI應用。這系列筆電內建了40多個本地端AI模型和多種AI原生App，像是回顧Recall、圖像創作Cocreator、即時字幕與翻譯Live Caption等。這些筆電由微軟Surface和OEM合作夥伴提供，包括華碩、宏碁、Dell、聯想、HP和三星等，預計6月18日開始上市。</p> <p>另一方面，在微軟Copilot技術架構更新部分，則可分為底層和應用層。就底層來說，基礎設施部分微軟正式推出基於AMD最新Instinct GPU的處理器ND MI300X v5，可更快、更有效率執行AI應用，另也公開預覽Cobalt 100晶片。往上一層到基礎模型層，不只正式在Azure AI中上架GPT-4o模型，也和Hugging Face擴大合作、納入所有Hugging Face模型到Azure AI，另也推出42億參數的Phi-3-vision模型和33億參數的Phi-Silica模型。而AI開發工具Azure AI Studio也正式上線，可用來打造AI應用。甚至，Azure AI Studio還推出客製化模型功能，允許使用者用自己的資料訓練客製化模型。</p> <p>再往上一層來到資料層，微軟資料分析平臺Microsoft Fabric推出一項無程式碼/低程式碼的即時智慧（Real-Time Intelligence）SaaS解決方案，可用來更快速處理大量、顆粒度更細緻的PB級即時串流數據。在AI調度與工具鏈層，微軟推出程式開發外掛GitHub Copilot Extensions（私人預覽），開發者可用透過自然語言和自己習慣的工具，來打造、部署雲端應用，完全不必離開開發環境IDE或GitHub網站。第一波新添16個外掛。</p> <p>工具層之上來到應用層，在這層，微軟推出Microsoft Copilot Connector連結器，可讓Copilot助理摒除障礙存取使用者資料、跨App和工作流程處理資料，來打造客製化模型。同時，微軟還針對M365 Copilot推出協作助理Team Copilot，專門處理複雜的協作任務，比如在協作工具Teams中管理會議、安排議程、管理時間和記錄重點。它還能管理Teams對話，摘要重要資訊、回覆群組問題等。甚至能扮演PM角色，確保任務管理看板Planner中的每個專案順利進行。Team Copilot預計今年晚些時候預覽。另一項Copilot產品線的延伸，則是在低程式碼助理開發平臺Microsoft Copilot Studio中，新添代理（Agent）的能力類別，讓開發者用來打造能主動回應數據和事件的智慧助理，還能執行特定任務和功能。<a href="https://news.microsoft.com/zh-tw/microsoft-build-2024/">（詳全文）</a></p> <p><img alt="" src="https://news.microsoft.com/wp-content/uploads/prod/sites/74/2024/05/2-1-1536x1025.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">機器狗 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺大 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國科會 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>臺大團隊打造工業用和居家用2款機器狗</strong></span></p> <p>在國科會產學合作計畫下，臺大機械系教授郭重顯帶團打造2款自主研發的AI機器狗NTU DogBot，包括54公分長、16公斤重的寵物型機器狗Oliver，以及93公分長、40公斤重的工作型機器狗Dustin。這些機器狗整合多項機電設計和AI技術，包括機械設計、控制工程、步態生成、自主導航、AI演算法等，臺大團隊也與國內企業探討機器狗使用情境，如在工廠或工地智慧巡檢、餐點/物流配送，要加速NTU DogBot導入相關場域，解決缺工和人力問題。</p> <p>進一步來說，臺大團隊在2022年至2023年間，先以3D列印方式，研發出42公分長、4公斤重的小型機器狗，進行步態控制和自主定位與導航的概念驗證。後來，臺大團隊參與國科會產學合作研究計畫，相繼打造出Oliver和Dustin，兩款皆具自主定位導航能力，但Oliver具動作教導與AI視覺等功能、可進行語音和表情偵測與互動操控，適合居家應用，而Dustin適合工業巡檢與物品遞送，搭載各式工業用途感測器，如音噪、視覺、溫度、氣體等，還能結合Line Bot即時訊息回報。團隊盼以這兩款機器狗雛形為基礎，推動臺灣機器狗產業發展。</p> <p>臺大團隊表示，機器狗在國外不僅商品化，還有具體應用場景，如美國機器狗用於電網巡檢、韓國機器狗投入物流配送、歐洲機器狗應用於地鐵隧道和管線的養護檢修等。而臺灣機器狗沒有太多實際導入案例，原因為造價與維護昂貴、客製化與AI開發技術支援不足等，郭重顯團隊研發成果可讓企業以較低成本導入場域，並提供客製化、組合式模組軟體架構，能快速針對企業需求調整，並採用開放式通訊介面，可整合企業端生產資訊和資料庫。<a href="https://www.nstc.gov.tw/folksonomy/detail/dde231d2-38f2-493a-8996-c3b942a1e7e1?l=ch">（詳全文）</a></p> <p><img alt="" src="https://www.nstc.gov.tw/nstc/attachments/21be3d32-60d7-4978-8e1a-f3dd0d80bbbd" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 互連 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放標準 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Intel、AMD、微軟等IT巨頭合推AI網路互連開放標準</strong></span></p> <p>英特爾、超微（AMD）、博通（Broadcom）、微軟、Meta、思科和HPE等IT巨擘在5月30日宣布聯手發展網路加速器互連標準Ultra Accelerator Link（UALink），為系統OEM業者、IT專業人員、系統整合廠商，提供更容易整合、彈性擴充性的方法來打造AI基礎架構。</p> <p>這個產業新標準，是要提供高速、低延遲的網路互連（Interconnect），來串聯不同廠牌的機器，實現資料中心內AI與HPC的系統擴充。UALink促進小組指出，他們將發展一套規格，來定義高速、低延遲的互連架構，擴大AI運算單位（Pod）中加速器和交換器之間的通訊。即將推出的UALink 1.0規格，將在一個AI運算單位中，支援最多1,024個加速器，允許GPU等加速器附加記憶體之間的直接載入和儲存。該促進小組已成立UALink聯盟，預計在2024年第三季正式成為法人公司，並發布1.0版規格，公開給聯盟會員。<a href="https://www.afp.com/en/news/1315/amd-broadcom-cisco-google-hewlett-packard-enterprise-intel-meta-and-microsoft-form-ultra-accelerator-link-ualink-promoter-group-drive-data-center-ai-connectivity-202405306536021">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ChatGPT Edu </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 教育 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI推出教育版ChatGPT Edu</strong></span></p> <p>OpenAI在5月底發表一款教育專用聊天機器人ChatGPT Edu，將推廣到全球校園中。ChatGPT Edu採最新的GPT-4o多模態模型，專為大學打造，可支援文字和視覺推論，也能進行資料分析等功能。此一版本具備企業級安全與控制能力，OpenAI將以教育機構負擔得起的價格來供應。</p> <p>ChatGPT Edu的功能包括文本釋譯、撰寫程式碼、解決數學問題，也提供資料分析、網頁瀏覽及文件摘要等高階功能，還能建置客製化ChatGPT版本並於校內分享。此外，這款ChatGPT Edu還提供比免費版要多的訊息額度，支援逾50種語言並改善語言的品質和速度，且不會以用戶的資料及對話來訓練模型。<a href="https://openai.com/index/introducing-chatgpt-edu/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Claude </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 外部工具 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Anthropic </span></strong></span></p> <p><span style="font-size:22px;"><strong>Anthropic推新功能，Claude助理可使用外部工具了</strong></span></p> <p>AI新創公司Anthropic在5月30日揭露聊天機器人Claude新工具，讓Claude除了搜尋和回答問題外，還能整合API和外部資料源來執行更多任務，目前已正式上線、開放企業開發者使用。</p> <p>這個新工具叫做Tool Use，透過它，Claude能和外部用戶端工具、API和功能互動，可用來執行多種任務，像是搜尋最新網頁資料、從文件中擷取資料輸入報表或執行客戶服務。Tool use目前已整合在Claude 3模型家族，供開發者可透過Anthropic Messages API、Amazon Bedrock、和Google Vertex AI存取使用。相關資源也在GitHub公開。另一方面，OpenAI的ChatGPT、微軟Copilot也都在去年推出類似擴充功能，可以外掛、API整合外部工具或服務，提供AI代理訂餐、訂票、網購、搜尋景點等即時資訊或更自動化的服務。<a href="https://www.anthropic.com/news/tool-use-ga">（詳全文）</a></p> <p> </p> <div class="media_embed" height="420px" width="746px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="420px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/b77htH1eX-s" title="Claude 3 tool use: customer support" width="746px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語音訂位 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Line </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Chatbot </span></strong></span></p> <p><span style="font-size:22px;"><strong>台灣大聯手Line、inline，打造餐飲AI語音訂位服務</strong></span></p> <p>最近，台灣大哥大與Line、碩網資訊、inline共同推出AI語音預約訂位服務，結合聊天機器人、生成式AI，來協助餐飲業者處理顧客來電訂位需求。這個訂位服務結合台灣大行動市話服務，讓手機能接聽市話來電，並結合碩網資訊的語意辨識、語音合成技術，Line的Clova聊天機器人，以及inline的線上訂位服務，讓商家不需要撥出人力接聽訂位電話，就能自動由AI協助完成線上訂位。</p> <p>比如，消費者透過Google Map撥打商家電話，如果商家設定好Line Call來電，來電就會由AI應答，消費者只要以自然的口語說出想要預訂用餐，如5月30日晚上7點、4大2小，AI就會自動與消費者問答，完成訂位訊息，並通過inline完成線上訂位，再透過Line發送成功訂位資訊給消費者。若消費者以市話來電訂位，也能由Line聊天機器人協助完成，60秒即可。</p> <p>技術上除使用Line聊天機器人和社群平臺，他們也導入ChatGPT-3.5來判讀用餐相關問題，例如店家周邊停車資訊、用餐時間限制、兒童用餐、座位等問題。為避免ChatGPT給出錯誤訊息，碩網也預先訓練ChatGPT應答資料，如ChatGPT判斷無法回答，則轉交真人接聽或Line一對一回應。<a href="https://linecorp.com/tw/pr/news/tw/2024/4720">（詳全文）</a></p> <p><img alt="" src="https://vos.line-scdn.net/linecorp/tw/pr/2024053003.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 程式撰寫 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Codestral </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Mistral AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Mistral AI推出輕量級程式撰寫模型</strong></span></p> <p>法國AI新創公司Mistral AI最近發布輕量級程式撰寫輔助模型Codestral，能完成程式碼撰寫，也能撰寫測試，加速開發軟體專案的速度。Codestral以80多種程式開發語言的資料訓練而成，涵括Python、Java、C、C++、Bash、Swift和Fortran等語言。</p> <p>該模型參數為220億，可作為指令語言模型，回答開發問題或執行開發任務，例如解釋程式碼片段、撰寫文件、因子分析，或產生開發者所需的程式碼。它也支援fill-in-the-middle（FIM）功能，能預測前綴、後綴字串預測中間元素，完成任何部份程式碼，對VS Code之類的軟體開發相當有幫助。Mistral AI相信其涵蓋廣度可擴大其專案適用性，結合此一模型可提升開發人員開發品質，減低錯誤及臭蟲的風險。Codestral已在MNLP-0.1授權下，在Hugging Face平臺開源。<a href="https://mistral.ai/news/codestral/">（詳全文）</a></p> <p><img alt="" src="https://mistral.ai/images/news/codestral/General_table.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GitHub </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 加速器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>GitHub加速器資助11個開源AI專案</strong></span></p> <p>GitHub加速器（GitHub Accelerator）今年聚焦AI，根據促進新職業發展、影響廣泛社群、強化資安和提高開源AI開發者生產力等指標，挑出了11項專案，將提供資金援助、指導和社群等資源。進一步來說，今年入選的GitHub Accelerator專案涵蓋多個領域，包括模型最佳化與部署、測試與評估、AR/VR應用、無人導航、隱私與安全，以及開發者工具。</p> <p>在模型最佳化與部署方面，unsloth AI專案能降低模型微調所需要的記憶體資源和時間，LLMware.ai簡化了企業採用檢索強化生成（RAG）技術的流程。LangDrive可透過API簡化大型語言模型的訓練和部署。在AI應用上，A-Frame專案讓使用者在瀏覽器中建立AR/VR與3D內容，Nav2則為機器人提供導航解決方案。</p> <p>針對隱私與安全的專案有OpenWebUI，目標是發展可改善隱私和安全性的本地端LLM，另還有為安全團隊提供自動化代理的HackingBuddyGPT。此外，Web-Check提供AI驅動的網站安全檢查服務。而進階Python筆記本Marimo，則能簡化RAG部署Talkd.ai，可提高開發者生產力。<a href="https://github.blog/2024-05-23-2024-github-accelerator-meet-the-11-projects-shaping-open-source-ai/#unsloth-ai-bending-the-cost-curve-of-fine-tuning-models">（詳全文）</a></p> <p>圖片來源／微軟、國科會、Anthropic、Line、Mistral AI</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. OpenAI開放自製GPTs、GPT-4o給免費版ChatGPT用戶存取</strong></p> <p><strong>2. Opera AI瀏覽器將整合Google Cloud Gemini等模型</strong></p> <p><strong>3. IBM Watsonx大型主機程式開發助理強化解釋功能，助開發者理解COBOL程式碼</strong></p> <p>資料來源：iThome整理，2024年6月</p> </div></div></div>
2024/6/2 12:45作者王若樸https://www.ithome.com.tw/news/163265
【資安週報】2024年5月27日到5月31日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期有4個漏洞利用狀況需特別關注，其中有3個是零時差漏洞利用，包括包括Check Point修補旗下Quantum Security Gateway的CVE-2024-24919，以及Google修補5月第四個已遭利用的Chrome漏洞CVE-2024-5274，還有一個較為特別，是JAVS法庭錄影軟體被揭露遭遇供應鏈攻擊，隨後該產品的漏洞CVE-2024-4978也被美CISA列入已知漏洞利用清單。</p> <p>此外，另一個今年初已修補的Linux Kernel漏洞CVE-2024-1086，美CISA最近也確認出現遭鎖定利用的情形。</p> <p>其他重要漏洞修補消息，包括Mozilla基金會修補Firefox中PDF檢視元件（PDF.js）的漏洞，TP-Link修補C5400X路由器重大層級漏洞，近期還有9個WordPress外掛程式的漏洞修補要注意，新加坡網路安全局特別對此提出警告。</p> <p>在資安事件焦點方面，國內外各有兩則重要消息，均與個資外洩有關，我們整理如下：<br /> ●臺灣電腦硬體製造商「Cooler Master」傳出50萬會員個資外洩的消息，有駭客向國外媒體聲稱竊得該公司103 GB的內部資料。<br /> ●台名保險經紀人公司發布重大訊息，公布遭遇供應鏈攻擊及資料竊取的資安事件，導致發生個資外洩。<br /> ●美國售票平臺Ticketmaster遭駭客入侵，5.6億客戶資料流入暗網，駭客集團Shiny Hunters宣稱是他們所為。<br /> ●英國精品拍賣業者佳士得（Christie's）遭勒索軟體駭客組織RansomHub攻擊，50萬筆客戶個資可能外流。</p> <p>以臺灣本身這一星期的資安事件而言，我們還發現關於<a href="https://www.breachsense.com/breaches/jpc-connectivity-data-breach/">Hunters International勒索軟體攻擊臺灣企業的情資，與國內上市電子零組件業佳必琪（JPC Connectivity）有關，攻擊者在5月下旬聲稱取得439.5 GB資料</a>，但該公司至今仍未回應我們的詢問。</p> <p>在威脅態勢上，我們認為2項消息需要特別重視，包括鎖定政府的網路間諜攻擊，鎖定網路設備的殭屍網路攻擊。<br /> ●中國APT駭客TGR-STA-0043這一年半鎖定中東、非洲、亞洲政府組織下手被資安業者Palo Alto Networks揭露，至少7個政府單位被長期滲透，其後門程式包括用Gh0st RAT打造的TunnelSpecter、SweetSpecter。<br /> ●殭屍網路CatDDoS鎖定思科、D-Link、居易、華為、瑞昱、Totolink、TP-Link、中興、Zyxel等多家網路設備商，中國資安業者奇安信警告，攻擊者除了利用80多個已知漏洞，並推測可能有零時差漏洞。</p> <p>其他可留意的威脅活動，包括：身分驗證解決方案業者Okta針對帳號填充攻擊提出警告，以及Chalubo遠端存取木馬攻擊活動的揭露，造成一家美國ISP業者提供的路由器在去年被攻擊而無法使用，逾60萬裝置受影響。</p> <p>至於防護態勢方面，國內有一個重要新聞，近日臺灣證券交易所針對資安重訊發布規範有新調整，在5月24日已放寬「重大性標準」，擴大揭露範圍，對於上市公司而言，現在遭駭後，不論是否涉及核心、機密都要發布重訊。</p> <p>還有一個國內企業可省思的議題，是關於郵件社交工程演練，Google近期撰文指出，這類演練的負面效果可能多過好處，而且實施多年來，會上當的人仍然持續上當。因此他們認為，教育員工辨識與主動回報更重要，而演練也應預先公告，如防災演練一般，而不是突襲測試，如此的長期效果可能會更好。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/163136"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月27日】中東、非洲、亞洲政府機關遭中國駭客長期從事網路間諜攻擊行動並散布後門程式</span></strong></a></h3> <p>近期中國駭客發起的攻擊行動接連傳出，上週末才有駭客組織APT41利用惡意程式KeyPlug攻擊義大利企業組織的消息，本週有資安業者揭露另一駭客組織從事的網路間諜行動。</p> <p>值得留意的是，這些駭客專門針對Exchange伺服器下手，對其植入後門程式，企圖從中搜刮機密資料，而他們利用的漏洞，就是3年前公布的ProxyLogon、ProxyShell。</p> <p><a href="https://www.ithome.com.tw/news/163150"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月28日】Check Point針對啟用VPN服務防火牆的用戶提出警告，有人企圖透過電腦本機舊帳號入侵</span></strong></a></p> <p>上個月思科對於大規模鎖定VPN系統的攻擊行動提出警告，並指出攻擊者的目標涵蓋多個廠牌的VPN系統，這樣的情況，如今也有資安業者提出警告，他們旗下的資安系統也面臨相關的攻擊。</p> <p>本週資安業者Check Point針對客戶提出警告，並指出對方意圖用於存取VPN系統的方式，是只需通過密碼驗證的本機帳號。</p> <h3><a href="https://www.ithome.com.tw/news/163184"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月29日】精品拍賣業者佳士得遭到勒索軟體駭客組織RansomHub攻擊，50萬筆客戶個資可能外流</span></strong></a></h3> <p>針對藝術界的服務廠商發動攻擊的資安事故，最近幾年陸續傳出，而本月發生一起攻擊事件，是針對精品拍賣業者佳士得（Christie）而來。</p> <p>值得留意的是，這起事件之所以被發現，最初是因為用戶察覺該公司部分網站無法運作，當時該公司僅表示其中一場拍賣會被迫延後，但並未透露更多細節，如今有駭客組織聲稱犯案，他們才坦承客戶個資遭竊的情況。</p> <p><a href="https://www.ithome.com.tw/news/163201"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月30日】鎖定Check Point VPN的攻擊行動出現新的發展，兩家資安業者透露對方利用零時差漏洞挖掘AD帳密資料</span></strong></a></p> <p>鎖定VPN服務進行大規模的帳號填充攻擊，先前有思科證實他們的用戶受害，本週一資安業者Check Point也對用戶提出警告，他們在數日前察覺相關攻擊行動並著手調查，並公布新的發現。</p> <p>該公司表示，這起事故中駭客疑似利用零時差漏洞CVE-2024-24919；另一家資安業者Mnemonic發現，相關攻擊行動4月底就有跡象，當時對方已企圖嘗試利用這項漏洞。</p> <p><a href="https://www.ithome.com.tw/news/163231"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月31日】歐洲刑警組織與十多個國家執法單位聯手，掃蕩數個用於散布惡意程式的殭屍網路</span></strong></a></p> <p>繼美國、新加坡、泰國、德國執法單位聯手，宣布拆毀專門綁架個人電腦的大型殭屍網路911 S5，有許多歐洲國家參與的另一個執法行動Operation Endgame，也傳出捷報，他們在本週成功破壞數個用於散布惡意程式的殭屍網路。</p> <p>值得一提的是，這波執法掃蕩的惡意程式類型，是駭客用來向受害電腦傳遞其他作案工具的惡意程式載入工具（Dropper），帶來的後續效應值得觀察。</p> <p> </p> </div></div></div>
2024/5/31 18:08作者羅正漢https://www.ithome.com.tw/news/163245
Nvidia每年都將更新AI晶片，展示G-Assist聊天機器人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia創辦人暨執行長黃仁勳近日回臺參加本周一（6/3）正式展開的臺北國際電腦展（COMPUTEX），根據<a href="https://www.bloomberg.com/news/articles/2024-06-02/jensen-huang-computex-keynote-nvidia-reveals-new-ai-software-and-services?srnd=homepage-americas" target="_blank">《彭博社》</a>（Bloomberg）與<a href="https://asia.nikkei.com/Business/Technology/Jensen-Huang-hints-Nvidia-is-aiming-for-new-AI-chip-every-year" target="_blank">《日經亞洲》</a>（Nikkei Asia）的報導，黃仁勳在展前於臺灣大學舉行的演講中透露，Nvidia將在明年推出Blackwell Ultra，後年發表Rubin，把AI晶片的更新時程調快至每年一次。此外，Nvidia也在此次的COMPUTEX中發表了<a href="https://nvidianews.nvidia.com/news/nvidia-brings-ai-assistants-to-life-with-geforce-rtx-ai-pcs" target="_blank">Nvidia RTX技術</a>，以用來支援筆電上的AI助理及數位人類，包括新上陣的聊天機器人專案Project G-Assist。</p> <p>過去Nvidia所開發的GPU架構大多使用兩年，例如2020年發表Ampere，2022年推出<a href="https://www.ithome.com.tw/news/150060" target="_blank">Hopper</a>，今年發表<a href="https://www.ithome.com.tw/news/161831" target="_blank">Blackwell</a>，不過，根據報導，Nvidia準備在明年推出Blackwell Ultra，後年又有Rubin，以趕上這個被黃仁勳稱為新工業革命的AI浪潮。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0603-NVIDIA_Jensen%20Huang%20Keynote_COMPUTEX%202024_05.png" style="width: 600px;" /></p> <p>《日經亞洲》引用黃仁勳的說法，表示Nvidia將嘗試推動晶片製造各方面的極限，每年都會升級晶片，並說Nvidia替AI工廠所提供的晶片解決方案將替運算、醫療保健、交通與製造產業帶來100兆美元的商機。黃仁勳表示，IT產業所提供的服務不再只是儲存或資料處理，而是一個能夠替每個產業生成智慧的工廠。</p> <p>黃仁勳也將生成式AI的興起視為一場新的工業革命，並說傳統的運算方法已經跟不上呈指數成長的資料量，必須藉由Nvidia的加速運算方式才能降低成本。</p> <p>隨著COMPUTEX的來臨，Nvidia更新了<a href="https://www.nvidia.com/en-us/design-visualization/technologies/rtx/" target="_blank">Nvidia RTX技術</a>，內含光線追蹤、將AI帶入視覺運算、光柵化及模擬等高階技術，也推出用來實現相關技術的<a href="https://developer.nvidia.com/rtx/ai-toolkit" target="_blank">Nvidia RTX AI Toolkit</a>，集結了各種支援Windows平臺的工具及SDK，以供開發者客製化及部署跨雲端及RTX個人電腦的AI模型，與微軟日前發表的<a href="https://www.ithome.com.tw/news/162989" target="_blank">Copilot+ PC</a>相呼應。</p> <p>事實上，Nvidia也正在與微軟合作，協助開發者將新的生成式AI功能整合到Windows上的原生與網頁程式，允許開發者藉由API來存取基於GPU加速的小型語言模型（SLM）。此一API將在今年的開發者預覽版中現身。</p> <p>Nvidia準備在本周舉行的COMPUTEX上展示<a href="https://www.nvidia.com/en-us/geforce/news/g-assist-ai-assistant/" target="_blank">Project G-Assist</a>，這是奠基在RTX技術上的聊天機器人，Nvidia將示範G-Assist於遊戲中所扮演的角色，它可接收玩家所輸入的文字、語音，以及遊戲視窗的快照，並回答玩家於遊戲中所遇到的任何問題，從任務、物品、傳說、怪物，包括建議最好的遊戲武器，是否應該避開恐龍，以及馴服不同野獸的方法。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0603-nvidia-Project%20G-Assist_For%20Games%20%26%20Apps_demo_02.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nvidia</span></span></p> </div></div></div>
2024/6/3 11:34作者陳曉莉https://www.ithome.com.tw/news/163264
Hugging Face Spaces平臺被駭，緊急呼籲用戶重設憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI平臺Hugging Face上周<a href="https://huggingface.co/blog/space-secrets-disclosure" target="_blank">公布遭駭</a>，呼籲所有用戶重設密碼或令牌等登入憑證，以免AI模型等研發成果被不法存取。</p> <p>Hugging Face安全團隊上星期偵測到機器學習應用代管平臺Spaces，特別是和Spaces金鑰或令牌等相關的機密內容有未經授權的存取活動，相信可能有部分機密資訊已經遭竊。該公司已經註銷了多筆包含其中的HF令牌，並發出電子郵件通知受影響的用戶。</p> <p>不過，為安全起見，Hugging Face建議所有用戶重設所有金鑰或令牌，並考慮將HF令牌改成可細部設定的存取令牌，目前Hugging Face已經將後者設為新的預設驗證方式。</p> <p>Hugging Face強調除了調查此事後續事件，也已經加強Spaces基礎架構的安全防護，包括完全移除組織令牌以提升可追蹤性和稽核能力、實作Spaces金鑰管理服務、提升系統辨識並註銷外洩令牌的能力等等。該公司計畫近日在更新的存取令牌功能更完善一點後，將關閉舊式具讀寫能力的令牌。該公司也已通報執法機關和資料防護主管機關。</p> <p>作為全球最熱門的平臺之一，Hugging Face也是駭客攻擊的主要目標。去年底資安業者<a href="https://www.ithome.com.tw/news/160172" target="_blank">Lasso揭露</a>Hugging Face的API漏洞，讓駭客有機會取得知名企業的身分驗證資訊，或污染訓練資料、竊取、竄改AI模型。二個月前資安廠商<a href="https://www.ithome.com.tw/news/162150" target="_blank">Wiz也公布</a>API、推論端點、Spaces的<a href="https://www.ithome.com.tw/news/162150" target="_blank">漏洞</a>可讓駭客上傳惡意模型至Hugging Face平臺，進而自遠端執行程式碼，或是擴張權限從事不法行為。</p> </div></div></div>
2024/6/3 10:17作者林妍溱https://www.ithome.com.tw/news/163261
ElevenLabs公布AI音效、人聲生成模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ElevenLabs專門從事語音和聲音應用研究，去年<a href="https://www.ithome.com.tw/news/155185" target="_blank">公布</a>AI聲音生成的AI平臺Text to Speech，可讓用戶在文字對話中設定性別、年齡、口音和說話風格合成逼真人聲，並於同年募得近2,000萬美元的A輪資金。ElevenLabs今年2月搭上OpenAI影片AI生成模型Sora列車，<a href="https://elevenlabs.io/blog/ai-sound-effects-are-coming-soon/" target="_blank">預告</a>可為影片配音的AI聲音模型，並在上周正式向大眾公開Text to Sound Effects，包括免費版及付費版。</p> <p>Text to Sound Effects目的在為電影或電視節目、電玩開發商，甚至社群內容創作者、個人提供工具，使其得以快速且大規模生成豐富、沈浸式聲音場景，而且不需大成本。只要在提示視窗輸入文字，就可以生成音效、22秒的樂器演奏音訊、聲音場景或各種角色聲音。該公司<a href="https://elevenlabs.io/sound-effects" target="_blank">網頁</a>並提供多種範例說明輸入的文字提示和生成音效，包括動物叫聲、打雷、爆炸聲、恐怖電影音效，或是吉他等樂器演奏。</p> <p>為訓練這新工具，ElevenLabs和知名圖庫和音訊平臺Shutterstock合作，以其多樣化及高品質的合法聲音檔微調其AI模型。</p> <p>Text to Sound Effects並提供用戶微調工具，讓用戶能針對一種物件再細分出不同類別，例如「腳步聲」可以文字再微調成是高跟鞋、靴子或球鞋，或是走在沙地、雪地或葉子上的聲音。完成後，用戶可選擇下載聲音或儲存在ElevenLabs平臺上。</p> <p>Text to Sound Effects提供免費及付費版。付費版是透過在付費帳號供用戶使用。免費版用戶需要在生成的音樂加上elevenlabs.io，以說明來自ElevenLabs。付費帳號用戶則不需註明。不過不論是哪個版本，版權責任都由使用者自付。</p> <p>收費標準是根據生成音訊的長度控制參數計算。若用戶設定為最適長度，會被收取200字元的費用，如果用戶想自行控制長度，則會被設定該長度每秒40字元的費用。收費是每執行4次生成計算一次。收費是每次呼叫（而非下載），即每按一次「Generate」就多一次費用。但若用戶認為計算結果有誤，需自行向業者（<a href="mailto:[email protected]">[email protected]</a>）反映。</p> <p>根據<a href="https://help.elevenlabs.io/hc/en-us/articles/24351324241937-What-is-the-price-for-usage-based-billing" target="_blank">ElevenLabs</a>說明，付費帳號分成3類。Creator為0.30美元/1,000字元，Pro為 0.24美元/1,000字元，Scale則為 0.18美元/1,000字元。</p> </div></div></div>
2024/6/3 10:33作者林妍溱https://www.ithome.com.tw/news/163263
OpenAI重組機器人部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI正在重組設計機器人專用AI模型的部門。</p> <p>2017年OpenAI曾經開發出一套機器人控制AI的模擬學習演算法，可讓機器人透過模擬用戶以VR展示執行作業。不過OpenAI於2020年將之解散。<a href="https://www.forbes.com/sites/kenrickcai/2024/05/30/openai-robotics-team/" target="_blank">《財星》</a>（Fortune）雜誌上周報導，OpenAI正計畫重組機器人部門。OpenAI近日透過網<a href="https://openai.com/careers/research-engineer-robotics/" target="_blank">站徵才啟事</a>旗下的機器人部門正在尋找研究工程師，尋找的角色職位位於舊金山，證實了這則報導。</p> <p>根據<a href="https://openai.com/careers/research-engineer-robotics/" target="_blank">OpenAI的描述</a>，機器人部門將和機器人產業夥伴合作，著重建立一組模型以實現前線機器人應用，而最新的職位將負責訓練、微調多模態LLM、解決機器學習技術問題。這個職位也是機器人部門的首批成員之一。</p> <p>這顯示，OpenAI將把AI從一般商務IT應用向營運科技（operational technologies，OT）擴展。由OpenAI 19名前員工成立的新創業者<a href="https://www.linkedin.com/posts/covariant-ai_meet-the-openai-mafia-these-19-former-employees-activity-7155665510460784640-FN6j" target="_blank">Covariant</a>今年初募得80億美元，最近公布了執行機器人專用的RFM-1，能在遇到困難時自動尋求解決方案。</p> <p>其他競爭者包括Google及Boston Dynamics。Google數年前就<a href="https://www.ithome.com.tw/news/156422" target="_blank">開始訓練</a>能清理辦公室的機器人模型。已開發出人形及犬形機器人的Boston Dynamics曾隷屬於Alphabet，後者2017年將之賣給了軟銀，不過<a href="https://www.ithome.com.tw/news/141644" target="_blank">最新東家</a>是2020年接手的韓國汽車大廠現代。</p> <p>OpenAI早期投資者馬斯克也曾公布人形機器人<a href="https://www.ithome.com.tw/news/146342" target="_blank">Tesla Bot</a>，2022年<a href="https://www.tesla.com/zh_tw/AI" target="_blank">推出原型</a>，目前也<a href="https://www.tesla.com/zh_tw/AI" target="_blank">正在招募</a>深度學習、電腦視覺、控制、機械及軟體人才。</p> </div></div></div>
2024/6/3 08:41作者林妍溱https://www.ithome.com.tw/news/163260
【2024臺灣資安年鑑｜資安十年特輯】「資安即國安」戰略目標確立臺灣8年資安發展
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_yuan_jing_-gu_li_xiong_-960-v3-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蔡英文總統2016年提出以「資安即國安」為綱領的國家資安戰略，相隔幾年後，美國拜登總統2021年亦開始呼籲資安就是國安的議題，甫卸任的美國國安局長暨網戰司令部司令Paul Nakasone，更直言：「Cybersecurity is National Security.」</p> <p>回顧近年臺灣資安發展，產業界普遍認為資安即國安戰略的祭出，不僅引領國家資安與產業發展邁向全新的階段，更為臺灣資安發展劃下一道具有歷史意義的分水嶺。</p> <p>資安即國安戰略之所以能獲得諸多肯定，國安會秘書長顧立雄表示，「總統帶頭重視資安」是一個重要的關鍵，因為總統的重視，形塑了一股由上而下持續引導的力量，逐步帶動政府各個部門跟著重視資安議題。</p> <p>而且，除了要求公部門之外，顧立雄表示，蔡總統更身體力行，直接與民間產業互動，多次公開展現她對資安的重視與公私協力的支持。例如，蔡總統每年會親自參與臺灣資安大會，肯定與鼓勵產業界的努力，也持續接見出國比賽得名的年輕白帽駭客，傾聽各界的想法與需求。</p> <p>「因為蔡總統重視資安政策的落實，對於國家資安戰略的要求是從結構上整體強化資安，以全面性提升國家安全。」顧立雄表示，蔡英文總統執政的八年，不僅在第一個任期就確立了「資安即國安」的戰略大方向，更在第二任期進一步推出「資安即國安2.0」戰略，包括人才、產業、技術、組織、法制和國際合作等，都有相對應的政策規劃與具體執行目標。</p> <p>檢視資安即國安戰略八年發展歷程，顧立雄點出幾項重大進步，包括國家資安政策擴及軍事、情報與執法單位的合作、公部門與民間產業資安能力精進、從被動防禦轉為主動防禦、積極推動數位韌性，以及加強公私協力、強化上市櫃資安治理與產業供應鏈安全等。</p> <p><span style="font-size:28px;"><strong>建立信賴夥伴關係，積極推動數位韌性</strong></span></p> <p>「資安即國安2.0戰略的願景，是打造堅韌、安全、可信賴的智慧國家。」顧立雄表示，立基於資安即國安1.0建構的鐵三角架構（國安會、通傳會與行政院資安處），資安即國安2.0戰略進一步將軍事、情報與執法單位也納入國家資安戰略，一舉擴大為六大基石架構，涵蓋國安會、國防部、數位部、國安局、調查局和刑事警察局，組成所謂的新世代「資安六塊基」。</p> <p>在資安即國安戰略下，國家資安會議由國安會秘書長與行政院副院長（國家資安長）共同主持，顧立雄表示，如此各部會不僅會高度重視資安，更能將八大關鍵基礎設施（CI）以及軍事、情報、執法單位陸續納入國家資安防禦陣線，讓大家在協作的過程中，建立起行政、軍事、情報、以及執法部門之間的「信任關係」，從而成為信賴的合作夥伴，以形成更強大的防禦能量。</p> <p>在資安即國安2.0的戰略方針下，公部門與民間產業的資安能力也持續精進。以公部門而言，近年來其中一項政策是優先強化第一線執法同仁的資安能力，包括強化執法單位及國安單位的資安人力與專業技能，使其具備精進主動防禦能力，平時可依據資安情資提出預警，在資安事件發生時，以其應變調查能力，追蹤溯源網駭來源。近期，原屬刑事警察局任務編組的「科技犯罪防制中心」法制化，即為一例。</p> <p>再者，積極推動「數位韌性」（Resilience）也是「資安即國安2.0」的目標之一。他表示，從俄烏戰爭可以了解戰爭爆發時，政府首要任務就是必須確保關鍵基礎設施能持續運作，例如電力、網路的服務，至少在關鍵的特定區域內，絕對不可中斷。</p> <p><span style="font-size:28px;"><strong>強化上市櫃公司資安治理能力，奠定公私協力信任基石</strong></span></p> <p>在民間產業方面，資安即國安戰略也促使上市櫃公司提升資安治理成熟度。顧立雄表示，金管會自2021年底開始推動上市櫃公司的資安治理，明文要求一千五百多家上市櫃公司，必須設置資安主管及資安專責單位；也必須在年報當中說明資安政策，以及公司對於資訊安全的投入。</p> <p>之後，更明確規定，上市櫃公司如果發生重大的資安事件時，必須要對外發布重訊；今年，金管會更進一步訂定資安事件「重大性」的標準，持續完善相關的規範。</p> <p>顧立雄認為，金管會對於上市櫃公司資安治理的要求，是自《資通安全管理法》公布實施以來，影響層面最廣的資安規範，並且是針對臺灣重要的民間企業所做的規範。</p> <p>這一千五百多家公司相較於中小企業而言，有更多資源和更大動機去做好資安，尤其是高科技業者，長期以來都是駭客重點鎖定的目標，一旦遭到駭客勒索軟體攻擊，不僅造成核心的營業秘密外流，也可能威脅到供應鏈安全，甚至影響國家整體的競爭力。</p> <p>資安領域的公私協力，過往在推動上總是困難重重，畢竟一般企業遭受攻擊因擔憂公司商譽，往往低調處理，然而在資安即國安的諸多政策施行之下，這些過去難以跨越的阻礙也逐漸化解。</p> <p>顧立雄表示，一方面公部門先強化第一線執法人員的專業能力，包括掌握資安情資、分析惡意程式攻擊手法，以及事件應變，在確實擁有能力可以提供協助之下，再站在保護民間企業的立場，以取信於人。</p> <p>另一方面，民間企業也感受到勒索軟體與供應鏈攻擊帶來的威脅與目俱增，已非單一企業所能對抗，因而更加重視掌握資訊安全情資與事件應變，對於與公部門的合作也就採取更開放的作法，不僅敞開與公部門合作的大門，也更願意分享自己的情資，讓公部門進行後續的追蹤分析，以嘉惠更多人；如此良性循環形成了公私協力最重要的基石—「互信機制」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%A1%98%E6%99%AF-%E9%A1%A7%E7%AB%8B%E9%9B%84-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>SEMI E187成公私協力典範，透過採購拉齊業者資安水準</strong></span></p> <p>近年來，臺灣透過公私協力的合作，推出全球第一個半導體供應鏈資安標準SEMI E187，就是最好的典範。在COVID-19肆虐與俄烏戰爭爆發之後，臺灣在全球半導體供應鏈的重要性可謂舉世皆知，然而，影響供應鏈安全的要素，不僅是戰爭、天災，還包括資安威脅。而身為產業龍頭的台積電，不僅率先制定供應鏈資安標準，更與公部門合作將其擴大發展成全球第一個半導體供應鏈資安國際標準。</p> <p>藉由帶頭提出供應鏈資訊安全標準，台積電不只是制定產業標準，協助自己合作的供應鏈業者提升資安防護能力，包括：評估供應商的資安狀況並協助改善、主動分享漏洞情資並協助供應商改善，還更進一步主動向政府部門提出建言，建議公私部門在情資分享上，可以做到更緊密與即時的合作，「這不僅推動自家供應鏈體系資安成熟度的提升，更有助於臺灣整體資安的改善。」顧立雄表示。</p> <p>透過公私協力提升臺灣整體資安成熟度，也體現在改變政府採購資安解決方案的方式。顧立雄說：「透過公部門的採購要求，可以驅動私部門強化資安，提升各產業的資安成熟度，從而帶動臺灣資安產業的發展。」</p> <p>行政院公共工程委員會已與數位發展部合作，公布全新的「資訊服務採購作業指引」，並且將「各類資訊服務採購之共通性資通安全基本要求參考一覽表」納入契約範本，以強化供應商應盡的義務。</p> <p>他指出，透過資訊服務採購作業指引，可以要求提供政府機關資訊服務的參與業者，必須具有一定的資安水準，避免資服業者成為政府供應鏈的資安弱點。因為這些業者也可視為政府公開認證的廠商，因此在資安方面就必須特別注意，有必要透過採購契約進行規範，要求廠商做到一旦發生資安事件，也必須保存數位跡證。</p> <p><span style="font-size:28px;"><strong>資安涉及跨部門溝通，不只是技術議題而是管理議題</strong></span></p> <p>展望臺灣資安未來發展，顧立雄期許管理階層以身作則，從風險管理的角度看待資安，而近年開始推動的零信任與數位韌性也必須更加深化，與國際民主聯盟國家的合作則要更積極推展。</p> <p>由於資安不是單純議題，往往涉及跨部門的溝通與共識，雖說是最需要主管重視和推動的議題，但偏偏又因技術細節繁瑣，而讓主管誤以為資安僅是技術問題，而忽略資安對於企業組織真正的重要性。</p> <p>因此，有些主管就會認為，既然資安是技術問題，就交給技術人去解決就好，然而，顧立雄直言，這樣的觀念卻是最大的錯誤，因為資安有更多是政策面與管理面的議題，建議企業主管應該要從「風險管理」的角度來看待。</p> <p>更關鍵的是，做好資安是每一個部門、甚至是每一個人的責任，如果只交由資安部門負責推動，不但沒有強化的效果，反而削弱所有人對資安的重視度，最終淪為無法貫徹落實的下場。</p> <p>舉個例子來說明，弱密碼（Weak Password）一直是各部門遭駭主因，而要改善這個問題，其實不需要困難的技術，關鍵在於建立良好的使用習慣，設定高強度的密碼，然而，主管如果不表達對密碼使用規定的重視，顧立雄反問：「那麼，即便有規定，其他部門又怎麼會聽資安部門的話呢？」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%A1%98%E6%99%AF-%E9%A1%A7%E7%AB%8B%E9%9B%84-600-2.jpg" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>推動零信任資安是邁向數位韌性的關鍵</strong></span></p> <p>零信任架構的核心精神是永不信任、持續驗證，前提就是預設每一次的連線都是不安全的，顧立雄說：「資安要做得好，關鍵在我們永遠不能假設自己的環境是安全的，而必須從駭客的角度，思考風險在哪裡。」</p> <p>他以一件印象深刻的事故為例說明零信任。當時發生駭侵事件的單位不斷強調其內部網路已有實體隔離設計，與網際網路完全沒有任何連線，因此駭客絕不可能有管道入侵，足以保證系統的安全性。然而，實際調查發現，委外廠商為了提供後續維護而預留一條連外專線，該廠商被駭之後，駭客就能循線入侵政府單位，該單位信誓旦旦的實體隔離防護，實際上不存在。</p> <p>這個典型的供應鏈攻擊之所以能夠成功，就是因為我們缺乏預想被駭（Assumed Breach）的觀念，若事先能夠有此設想，就不會盡信實體隔離措施滴水不漏，而會再度檢視每一個環節、每一次連線，這也就是零信任資安的根本之道。</p> <p>顧立雄表示，自此每當他聽到實體隔離就等同安全的說法，都會持保留的態度；另一方面，這類駭侵事件的根因也更證實零信任架構：涵蓋身分鑑別、設備鑑別及信任推斷三大階段，是企業組織落實資安、邁向數位韌性的關鍵。</p> <p>雖然零信任的機制必然讓人覺得使用不便，但是，顧立雄強調「駭侵事件造成的損失已經是無法承受之重，為了徹底落實資安防護，大家還是要盡力克服初期的不便。」</p> <p>目前在資安即國安2.0戰略指導之下，政府機關、國防與關鍵基礎設施等重要產業皆逐步導入零信任架構，然而，顧立雄指出，接下來，更重要的課題則是，占臺灣企業九成以上的中小企業，因為缺乏資源缺而難以導入零信任架構的問題。</p> <p>為何中小企業無法導入零信任資安架構會成為隱憂？顧立雄指出，臺灣很多中小企業都是所謂的隱形冠軍，在特定零組件不僅各有擅長，甚至是世界之冠，雖然他們的公司規模可能比不上大企業，卻是全球國防或特定產業必須仰賴的重要供應商。</p> <p>無人機產業就是一最好的例子，無人機已被視為新世代戰場的成敗關鍵，對無人機產業而言，有機會擠身國防產業，可謂千載難逢的大好機會，然而，臺灣無人機產業普遍以中小企業型態居多，若想進軍國防產業，就必須證明其具有國防等級的資安成熟度，否則難以被國防產業供應鏈信賴；如果連零信任資安都難以導入，對於臺灣隱形冠軍產業未來發展，絕對是最大隱憂。</p> <p>畢竟，任何企業一旦成為國防供應鏈的一份子，就有極高的可能性被有心國家列入攻擊目標；如果不願淪為打壞一鍋粥的老鼠屎而錯失商機，就必須強化自身的資安成熟度。因此，美國國防部專門針對國防採購所制定的資安標準：CMMC（網路安全成熟度模型認證），就會成為臺灣未來進軍全球國防產業的重要關鍵。</p> <p><span style="font-size:28px;"><strong>資安是國際合作的優先議題，中油事件是臺美合作例證</strong></span></p> <p>由於臺灣一直處於資安攻防的最前線，長年下來，不僅累積了大量資安實戰經驗，再加上身為全球資通訊供應鏈主要國家，天生就擁有許多國家所羨慕的科技研發文化（R&D DNA），不但養成傲視國際的頂尖資通訊產業，更培養出許多世界級資安人才。顧立雄指出，臺灣在全球資安的重要地位已經被各國看到，許多國家與臺灣接洽時，都紛紛將資安領域的合作視為優先議題，而且，這些越來越多的國際合作，更橫跨公私部門。</p> <p>顧立雄指出，積極與民主聯盟國家合作，共同打造可信賴的資安供應鏈，是蔡英文總統非常重視的資安政策，而積極參與國際資安合作，協助各國打擊惡意網路活動、提升全球網路的安全性，其實也讓臺灣受惠。</p> <p>回首2020年5月，臺灣中油和台塑石化等關鍵基礎設施業者接連發生勒索軟體駭侵事件，當時多處加油站的業務受到波及，並可能造成更大的社會衝擊。之後因政府反應迅速，並與美執法機關聯手追蹤攻擊來源，調查局很快就找到攻擊行動所用的中繼站和惡意程式，並鎖定罪魁禍首就是中國政府支助的國家級駭客組織APT-41，隨後美國司法部門更據此起訴參與行動的五名中國駭客與兩家馬來西亞業者，可說是國際資安合作的一大勝利。</p> <p>顧立雄表示，這其實只是諸多資安國際合作的其中一例，由於與國際盟邦的資安合作普遍有高度機敏性，能夠對外揭露的成果相對有限，不過，由於臺灣長期遭受中國各種國家級駭客攻擊，累積了許多中國慣用的攻擊手法與惡意程式樣本，在與國際盟邦合作打擊網路攻擊上可提供實質的助益。</p> <p>此外，臺灣在民間組織的資安合作主要透過TWCERT/CC（臺灣電腦網路危機處理暨協調中心）和國際CERT組織建立雙邊合作關係，參與國際與國內資安組織與社群的相關活動。而在臺灣將獨有的資安研究成果，貢獻給國際社會的同時，也促成國際資安組織在發現臺灣被駭客鎖定，或有潛在系統性大規模攻擊之前，也將提供臺灣政府機關和民間企業資安防護預警，形成民主同盟國家共同防衛的良性循環。</p> <p><span style="font-size:28px;"><strong>保護關鍵基礎設施環境的網路安全，就是保護國家安全</strong></span></p> <p>現今資安威脅已經足以影響國家安全，因為國家級駭客的目標已經不再只是竊取個人的資料或是產業商業機密，而是企圖破壞國家的油、水、電、通訊等攸關民生的關鍵基礎設施，而這些狀況的不斷發生，也讓我們更清楚認識到：網路攻擊已經成為威脅國家安全的致命手段。</p> <p>誠實面對未來，接下來各個國家都會培養國家級網路攻防能力，既能捍衛國家安全，也能形成數位武力，對其他國家構成威懾，臺灣該如何因應呢？</p> <p>顧立雄表示，駭客攻擊已經朝向更精緻（利用設備漏洞、供應鏈攻擊）、更隱密（組建加密網路進行駭攻、就地取材，以合法掩飾非法的攻擊手法）以及更危險（結合認知作戰、駭攻電力及電信等關鍵基礎設施）等層面發展。</p> <p>當國家級駭客越來越厲害、手法日益隱蔽時，他指出，政府應該要更積極、更全面地把公私部門及國際合作的對象，轉化成為更堅實的夥伴關係，才足以因應接踵而來的各式挑戰。</p> <p>顧立雄認為，資安防護就像棒球比賽的防守，不管內外野的哪一個守備位置，都要設法避免形成漏接，這樣才是好的防守。</p> <p>唯有強化資安韌性，才足以因應國家級駭客的威脅，不論關鍵基礎設施面臨設備老舊、缺乏工控（OT）資安專業人才；或者是協助缺少資源的中小企業強化資安；甚至，研議修法由一類電信業者保存網路流量、以利執法單位對網軍進行追蹤溯源等，這些都是未來可以努力的方向。</p> <p>資安其實是跨部門、跨領域的議題，不應該受到本位主義的限制，或囿於現行法律的規範；加上資安本身也是國際合作的重要議題，我們應該要積極向外發展。顧立雄說：「面對變遷迅速的資安領域，更應該擘畫接下來的資安藍圖，藉此打下未來長遠發展的基礎。」<strong>【本文採訪日期：2024年4月】</strong></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 236px;" /></span></span></strong></a></p> </div></div></div>
2024/6/3 00:00作者黃彥棻https://www.ithome.com.tw/article/163001
單一Pod串連近9千個TPU，Google推效能更強AI加速服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/gcp_tpu_v5p-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>基於自行研發設計的第五代TPU晶片，Google Cloud去年8月發表AI加速運算服務<a href="https://www.ithome.com.tw/review/162164">TPU v5e，相隔3個月後正式上線</a>，12月他們發表性能更強大的TPU v5p，並首度提出Google AI Hypercomputer的系統概念，公布多個先期導入案例，包含自家Google DeepMind、Google Research，以及CRM雲端服務廠商Salesforce、影片與圖片App開發商Lightricks，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-12-4_next-generation_AI_workloads_max.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-12-4_next-generation_AI_workloads_max.jpg" style="width: 400px;" /></a></p> <p>到了今年4月舉行的Next年度大會期間，TPU v5p宣告推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Cloud%20TPU%20v5p-2024-4-12-2.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Cloud%20TPU%20v5p-2024-4-12-3.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Cloud%20TPU%20v5p-2024-4-12-4.jpg" style="width: 298px;" /></p> <p>先從去年底Google Cloud揭露資訊來看，相較於上一代TPU v4，TPU v5p配備的高頻寬記憶體容量提升至3倍，額外內建第二代稀疏運算核心（SparseCore），可提供逼近2倍的浮點運算效能，訓練大型語言模型（LLM）進行INT8整數運算時，處理速度可提升至2.8倍。</p> <p>而在延展性的部分，就多個TPU組成的單座Pod而言，若全部搭配TPU v4，能使用3D網狀（3D mesh）拓樸架構，最多可連接4,096個晶片，晶片互連頻寬為2,400 Gbps；如果搭配TPU v5p，能使用3D環形網狀（3D torus）拓樸架構，最多可連接8,960個晶片，擴展規模提升至4倍，晶片互連頻寬為4,800 Gbps，提升至兩倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-12-GCP-3_next-generation_AI_workloads_v1_max-web.jpg" style="width: 500px;" /></p> <p>關於產品服務的性價比，Google Cloud當時也綜合內部測試資料，以及MLCommons MLPerf v3.1 Training公布資料，列出TPU v4、TPU v5e、TPU v5p執行GPT-3 175B模型訓練的比較，並以TPU v4為基準，結果顯示TPU v5e最實惠，單位成本效能可達到2.3倍，TPU v5p為2.1倍，而在單位效能成本的呈現上，TPU v4每小時每個晶片為3.22美元，去年底上線的TPU v5e為1.2美元，最新推出的TPU v5p則為4.2美元。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-12-1_next-generation_AI_workloads_max-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-12-1_next-generation_AI_workloads_max-web.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-12-2_next-generation_AI_workloads_max-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-12-2_next-generation_AI_workloads_max-web.jpg" style="width: 298px;" /></a></p> <p>今年4月TPU v5p宣告上線之際，Google Cloud重申其特色，同時提到能在用戶設置更大型（slice）的Pod時，獲得更大的運算吞吐量，他們表示，若是搭配512個至6,144個TPU v5p組成一座Pod，運算吞吐量可提升至11.97倍，達到近乎線性增長的效能改善幅度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Cloud%20TPU%20v5p-2024-4-12-5.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Google TPU-2024-04-iThome Mark1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%20TPU-2024-04-iThome%20Mark1.jpg" style="width: 600px;" /></a></p> <blockquote><p>攝影／余至浩</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/Google TPU-2024-04-iThome Mark2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%20TPU-2024-04-iThome%20Mark2.jpg" style="width: 600px;" /></a></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">攝影／余至浩</span></p> </blockquote> <p>在此同時，Google Cloud也宣布Kubernetes代管平臺GKE支援TPU v5p，以及TPU multi-host serving on GKE的工作模式。以後者而言，是指由多臺主機部署而成的AI模型伺服器，能夠以單一邏輯單位的形式進行集中管理與監控。</p> <p>針對上述架構帶來的實際成效，App廠商Lightricks表示，同樣面對文字轉圖片、文字轉影片的AI模型訓練，相較於採用TPU v4，新支援的TPU v5p on GKE速度提升至2.5倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP Cloud TPU v5p-2024-4-12-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Cloud%20TPU%20v5p-2024-4-12-6.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP Cloud TPU v5p-2024-4-12-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Cloud%20TPU%20v5p-2024-4-12-1.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Google Cloud TPU v5p</strong><br /> ●原廠：Google Cloud<br /> ●建議售價：us-east1區域每個TPU每小時4.2美元<br /> ●系統架構：TensorCore核心（4個矩陣乘法單元、1個向量單元、1個純量單元）、高頻寬記憶體<br /> ●晶片互連頻寬：4,800 Gbps<br /> ●高頻寬記憶體類型與容量：95 GB HBM2e<br /> ●高頻寬記憶體頻寬：2765 GB/s<br /> ●運算效能：INT8為918 TOPS，BF16為459 TFLOPS<br /> ●單座Pod配置：最大容納8,960個TPU，3D環形網狀互連拓樸架構</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/5/31 18:57作者李宗翰https://www.ithome.com.tw/review/163185
上市公司資安事件揭露範圍擴大，現在不論是否涉及核心、機密都要發布重訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上市公司資安重訊發布「重大性標準」有新變化，<a href="http://www.twse.com.tw/zh/about/news/news/content.html?ff8080818f85b3e3018fbec877cd00db">臺灣證券交易所（證交所）新修訂重大訊息問答集第26款的內容</a>，要求上市公司只要發現遭駭客攻擊或入侵，現在不論是否涉及核心資訊系統、機密文件，都屬於對公司造成重大損害或影響，需發布重大訊息對外揭露。</p> <p>由於證交所於<a href="https://www.ithome.com.tw/news/161745">今年1月，才開始明確規範資安事件的「重大性」標準</a>，針對過去兩年多來有些企業不清楚何謂「重大」的問題，以此提出說明，沒想到才相隔四個月，又有新的調整。</p> <p>關於這次新的規定，證交所是在5月28日宣布，他們表示日前已修訂重大訊息問答集第26款，呼籲上市公司在發生資安事件時，應依規定評估造成損害或影響的範圍，並切實依重訊處理程序發布重大訊息。至於櫃買中心是否也會跟著修訂，有待密切關注。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站主圖)5月28_上市公司資安事件重大訊息重大性標準擴大__.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E4%B8%BB%E5%9C%96)5%E6%9C%8828_%E4%B8%8A%E5%B8%82%E5%85%AC%E5%8F%B8%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E9%87%8D%E5%A4%A7%E6%80%A7%E6%A8%99%E6%BA%96%E6%93%B4%E5%A4%A7__.jpg" style="width: 600px;" /></a></p> <p>而從5月24日上架的<a href="https://dsp.twse.com.tw/listedCompanyFileDownload/list">新版重大訊息問答集</a>來看，證交所已將第26款所列的核心、機密等字刪除。此舉，顯然是要將「重大性標準」放得更寬。</p> <p>換言之，現在上市一旦遭遇資安事件時，對於判斷是否需要發布重大訊息，不只需要依循第26款原有的前兩種條件（依據發布重大訊息遵循程序及判斷標準評估並要留存相關軌跡紀錄、媒體報導公司發生資通安全事件），現在第三種條件除了已經明確定義規範內容，更將其標準進一步的放寬。</p> <p>我們認為，放寬標準後，好處是讓企業在發生資安事件時，對於是否發布重訊能有更容易判斷的依據。從現在開始，不論企業是否清楚區別核心、機密，都要發布重大訊息。</p> <p>而從資訊公開角度來看，此舉將讓投資人更清楚知道企業遭遇的資安問題，但是，日後資安事件重大訊息的數量與頻率，也很有可能會有大幅增加的情況。</p> <p>至於放寬標準後，未來是否可能造成另外的困擾，對於企業而言，像是企業自身判斷屬於較輕的1級、2級資安事件，也需依重大訊息規定揭露為重大資安事件，因此後續情形有待觀察。對於主管機關而言，大小事件都揭露的好處是，可能讓一些蛛絲馬跡現形，但是否可能造成整體資安警報疲勞的問題，也還需要觀察。</p> <p>另外，對於這次重大性標準內容修訂的變化，我們也詢問證交所，試圖了解是否有一些上市公司受駭卻沒有對外公布的情形，使得他們有此改變，他們僅表示，這次修訂主要是資安事件與日俱增，希望讓規範變得更清楚。</p> <p>由於過去我們曾經看過不少例子，例如，在一些情資平臺上發現有勒索軟體組織宣稱國內上市公司成為其受害者，並宣稱竊取了多少資料，只是，這些公司並沒有回應我們的詢問，也沒有發布重大訊息，使我們無法了解是否真的有此一事，是否不屬於重大資安事件。如今，在這次修訂之下，無論資安事件大小都將公諸於外界。</p> </div></div></div>
2024/5/31 14:59作者羅正漢https://www.ithome.com.tw/news/163229
駭客透過惡意程式讓美國ISP業者的60萬臺路由器停擺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Lumen Technologies本周<a href="https://blog.lumen.com/the-pumpkin-eclipse/" target="_blank">揭露</a>一起發生在去年10月的資安事故，指出駭客故意鎖定某家美國ISP業者，自遠端摧毀了該ISP業者所屬之自治系統（Autonomous System Number，ASN）中多達60萬臺的路由器，占該ASN中路由器數量的49%，而且無法藉由韌體更新修補，而是必須更換裝置。<a href="https://www.bleepingcomputer.com/news/security/malware-botnet-bricked-600-000-routers-in-mysterious-2023-attack/" target="_blank">《Bleeping Computer》</a>則報導，從時間點及所發生的事故來看，Lumen未指名的那家ISP業者應是Windstream。</p> <p>Lumen去年10月於公開論壇與故障偵測機制上發現，有大量使用者投訴Windstream的路由器裝置突然亮紅燈且無法使用，而且在打電話給ISP客服之後，對方的回應是必須更換整個裝置。Lumen指出，大多數類似的問題只要更新路由器韌體或是回復出廠預設值即可解決，但此事顯然並非如此，促使其展開進一步的調查。</p> <p>遙測顯示，屬於該ISP業者的某個ASN上特定品牌的路由器數量在一周內大幅下滑，其中，ActionTec路由器減少了17.9萬臺，Sagemcom路由器減少了48萬臺，進一步分析之後發現了用來安裝Chalubo遠端存取木馬的多階段感染機制，因而相信這些已經無法運作的路由器感染了Chalubo。</p> <p>Chalubo是個針對SOHO閘道器與物聯網裝置的殭屍網路，內建DDoS攻擊能力，而且可於受駭裝置上執行任何的Lua腳本程式，Lumen懷疑駭客利用了Lua功能來摧毀上述路由器。</p> <p>有鑑於大多數針對物聯網裝置的殭屍病毒主要鎖定品牌或裝置類別，顯少針對特定業者或ASN展開攻擊，使得Lumen認為這是駭客故意展開的目標式攻擊行動，還直接破壞裝置，令其完全無法運作。</p> <p>上一次類似的破壞性攻擊行動源自於AcidRain惡意程式，它能自遠端刪除及覆寫裝置上的資料，並重新啟動裝置，以讓裝置完全停罷。<a href="https://www.ithome.com.tw/news/150255" target="_blank">此事發生在烏俄戰爭之際</a>，當時美國Viasat位於烏克蘭的衛星路由器KA-SAT遭到AcidRain破壞，並波及歐洲其它地區的路由器。</p> <p>Lumen並不認為此次的攻擊行動與國家級駭客有關，但還是建議使用者不應仰賴裝置上的預設密碼，也應定期更新裝置。</p> </div></div></div>
2024/5/31 15:22作者陳曉莉https://www.ithome.com.tw/news/163230
【資安日報】5月31日，歐洲刑警組織與十多個國家執法單位聯手，掃蕩數個用於散布惡意程式的殭屍網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼美國、新加坡、泰國、德國執法單位聯手，宣布拆毀專門綁架個人電腦的大型殭屍網路911 S5，有許多歐洲國家參與的另一個執法行動Operation Endgame，也傳出捷報，他們在本週成功破壞數個用於散布惡意程式的殭屍網路。</p> <p>值得一提的是，這波執法掃蕩的惡意程式類型，是駭客用來向受害電腦傳遞其他作案工具的惡意程式載入工具（Dropper），帶來的後續效應值得觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163220"><strong style="font-size: 22px;">殭屍網路CatDDoS鎖定逾80個已知漏洞，入侵多個廠牌網路設備、應用系統並將其用於DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Snip20240510_105.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Snip20240510_105.png" style="width: 300px; float: right;" /></a>中國資安業者奇安信針對殭屍網路CatDDoS的攻擊行動提出警告，這些駭客在最近3個月裡，利用超過80個已知漏洞，攻擊行動的高峰一天有超過300臺設備受害。</p> <p>這些已知漏洞影響的範圍很廣，涵蓋思科、D-Link、居易（DrayTek）、高格（Gocloud）、華為、Netgear、瑞昱（Realtek）、Seagate、SonicWall、騰達（Tenda）、Totolink、TP-Link、中興（ZTE）、兆勤（Zyxel）等廠商的網路設備，並且也影響許多應用系統及元件，例如：ActiveMQ、Cacti、FreePBX、GitLab、Hadoop、Jenkins、Metabase、Log4j、RocketMQ。</p> <p>值得留意的是，有些遭攻擊者利用的漏洞，他們暫時尚未找到相關的跡證，而無法進一步確認，但研究人員推測，當中有不少可能是零時差漏洞。</p> <p><a href="https://www.ithome.com.tw/news/163224"><strong style="font-size: 22px;">駭客假借提供盜版Office軟體散布木馬程式、挖礦軟體、代理伺服器工具</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/office-image-17.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/office-image-17.png" style="width: 300px; float: right;" /></a>駭客藉由盜版軟體來散布惡意程式的情況，不時有事故傳出，其中，聲稱提供破解微軟辦公室軟體Office的情況，算是相當常見。由於微軟才在4月下旬，針對下一代買斷版本的Office 2024發布預覽版，並規畫於今年底上市，因此，可能有駭客想搭上這波風潮來散布各式惡意軟體。</p> <p>資安業者AhnLab揭露假借提供破解版Office安裝工具的惡意軟體，駭客藉由檔案共享服務、Torrnet種子來散布，該惡意程式號稱可讓使用者自行選擇要安裝的Office版本（2013至2024版）、自行挑選需要安裝的元件，並能指定程式的介面語言。然而研究人員指出，一旦使用者依照指示執行這個惡意安裝程式，電腦就會在背景執行PowerShell命令，安裝其他惡意軟體。</p> <p>這些惡意軟體包括：木馬程式Orcus RAT、挖礦軟體XMRig、將受害電腦變成非法代理伺服器的3Proxy、惡意程式下載工具PureCrypter，以及能竄改防毒軟體組態或是進行停用的程式AntiAV。</p> <p><a href="https://www.ithome.com.tw/news/163230"><strong style="font-size: 22px;">駭客透過惡意程式讓美國ISP業者的60萬臺路由器停擺</strong></a></p> <p>資安業者Lumen揭露發生在去年10月的資安事故，駭客故意鎖定某家美國ISP業者，自遠端摧毀了該ISP業者所屬之自治系統（Autonomous System Number，ASN）中多達60萬臺的路由器，占該ASN中路由器數量的49%。值得留意的是，這些受害路由器無法藉由韌體更新修補，只能更換裝置。</p> <p>研究人員得知此事的緣由，在於他們去年10月透過公開論壇與故障設備偵測機制發現，有大量使用者投訴Windstream的路由器裝置突然亮紅燈且無法使用，而且在打電話給ISP客服之後，對方的回應是必須更換整個裝置。</p> <p>根據遙測資料顯示，屬於該ISP業者的某個ASN上特定品牌的路由器數量在一周內大幅下滑，其中，ActionTec路由器減少17.9萬臺，Sagemcom路由器減少48萬臺，他們研判這些路由器感染木馬程式Chalubo而遭到破壞。</p> <p><a href="https://www.ithome.com.tw/news/163204"><strong style="font-size: 22px;">Google搜尋引擎內部工程文件驚傳外洩</strong></a></p> <p>近期網路上流傳一份Google內部描述搜尋引擎運作細節的API文件，在一段時間的沉默後，Google終於發出聲明，警告外界不要根據缺乏脈絡與不完整的資訊，對搜尋做出不準確的假設，並強調他們已經分享了大量搜尋運作的方式，同時也致力於保護搜尋結果不被操縱。</p> <p>之所以該文件引起搜尋引擎最佳化（SEO）專家的注意與興趣，是因為其中描述的細節，與Google過去公開聲明的資訊矛盾，例如：不使用網域權重、不使用點擊評分，以及沒有使用沙箱等。</p> <p>這批外流的API文件超過2,500頁，涵蓋2,596個模組14,014項屬性的細節。由於該文件洩漏了2024年3月Google搜尋內容儲存的現行架構，以及相關程式碼提交歷史，證明這份資料相當新。</p> <p><a href="https://www.ithome.com.tw/news/163206"><strong style="font-size: 22px;">保險經紀人公司台名發布資安重訊，坦承遭供應鏈攻擊，客戶個資恐外洩</strong></a></p> <p>30日上午我們報導臺灣電腦硬體製造商「Cooler Master」傳出50萬會員個資外洩的消息，到了下午我們又再注意到，國內的保險經紀人公司「台名」公布遭遇供應鏈攻擊及資料被竊取的資安事件，並坦承有個資外洩情事，提醒客戶提高警覺。雖然這兩起事件並未有關聯，但一日兩則這樣的消息，已引起國人廣泛注目。</p> <p>針對這起資安事故，台名表示找到攻擊來源、成功阻斷攻擊行動，並永久停用該項服務元件，後續將通報主管機關。究竟是何項服務元件引發供應鏈攻擊，台名並未說明。</p> <p>值得留意的是，這次事件牽扯到供應鏈攻擊，是否還有更多企業也會因此遇害，也是大家關心的焦點，目前尚未有更多消息。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bbc.co.uk/mypension/news/240528"><strong style="font-size: 20px;">英國媒體BBC傳出資料外洩，歷任員工個資恐外流</strong></a></p> <p>◆<a href="https://blog.cloudflare.com/disrupting-flyingyeti-campaign-targeting-ukraine"><strong style="font-size: 20px;">俄羅斯駭客FlyingYeti利用WinRAR漏洞對烏克蘭發動網釣攻擊</strong></a></p> <p>◆<a href="https://www.fastly.com/blog/active-exploitation-unauthenticated-stored-xss-vulnerabilities-wordpress/"><strong style="font-size: 20px;">3款WordPress外掛程式漏洞遭到利用，攻擊者藉此注入後門及惡意指令碼</strong></a></p> <p>◆<a href="https://www.threatfabric.com/blogs/lightspy-implant-for-macos"><strong style="font-size: 20px;">間諜軟體LightSpy擴張攻擊範圍，從行動裝置延伸至macOS電腦</strong></a></p> <p>◆<a href="https://dailydarkweb.net/new-atm-malware-threatens-european-banking-security/"><strong style="font-size: 20px;">駭客兜售ATM惡意軟體，號稱能對全球約六成的提款機下手</strong></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163217"><strong style="font-size: 22px;">歐美各國執法單位聯手合作進行執法行動Operation Endgame，摧毀數個專門散布特定惡意程式的殭屍網路</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Endgame0530.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Endgame0530.png" style="width: 300px; float: right;" /></a>歐洲刑警組織Europol，以及美國、英國等十幾個國家的執法單位，在本周同步執行終局行動（Operation Endgame），破壞用來散布惡意程式的殭屍網路，於5月27日至29日關閉超過100臺伺服器，扣押逾2千個網域名稱，逮捕4名嫌犯，並針對其他8名嫌犯展開通緝。</p> <p>歐洲司法組織Eurojust表示，本次執法行動針對IcedID、Pikabot、Smokeloader、Bumblebee、TrickBot等惡意程式而來，攻擊者主要滲透受害電腦並植入惡意程式的途徑，是透過電子郵件。而這次的執法行動，是2021年摧毀Emotet的後續。</p> <p>歐洲刑警組織表示，這是史上針對殭屍網路之最大規模的執法行動，打擊了惡意程式載入工具（Dropper）生態體系。不過，這是終局行動的第一波執行成果，接下來各國執法單位將會持續掃蕩這類網路犯罪。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163201"><strong>【5月30日】鎖定Check Point VPN的攻擊行動出現新的發展，兩家資安業者透露對方利用零時差漏洞挖掘AD帳密資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163184"><strong>【5月29日】精品拍賣業者佳士得遭到勒索軟體駭客組織RansomHub攻擊，50萬筆客戶個資可能外流</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163150"><strong>【5月28日】Check Point針對啟用VPN服務防火牆的用戶提出警告，有人企圖透過電腦本機舊帳號入侵</strong></a></p> </div></div></div>
2024/5/31 15:30作者周峻佑https://www.ithome.com.tw/news/163231
駭客假借提供盜版Office軟體散布木馬程式、挖礦軟體、代理伺服器工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客藉由盜版軟體來散布惡意程式的情況，不時有事故傳出，其中，聲稱提供破解微軟辦公室軟體Office的情況，算是相當常見。由於微軟才在4月下旬，針對下一代買斷版本的Office 2024發布預覽版，並規畫於今年底上市，因此，可能有駭客想搭上這波風潮來散布各式惡意軟體。</p> <p>資安業者AhnLab揭露假借<a href="https://asec.ahnlab.com/en/66017/">提供破解版Office安裝工具的惡意軟體</a>，駭客藉由檔案共享服務、Torrnet種子來散布，該惡意程式號稱可讓使用者自行選擇要安裝的Office版本（2013至2024版）、自行挑選需要安裝的元件，並能指定程式的介面語言。然而研究人員指出，一旦使用者依照指示執行這個惡意安裝程式，電腦就會在背景執行PowerShell命令，安裝其他惡意軟體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/office-image-11.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/office-image-11.png" style="width: 580px;" /></a></p> <p>在背景當中，此Office安裝程式會啟動經過混淆處理的.NET惡意軟體，藉由存取即時通訊軟體Telegram的頻道，或社群網站Mastodon的網址，從而取得下載檔案的URL，而這些網址位於Google Drive或是GitHub，因此一般的防毒軟體都會放行。</p> <p>若是透過惡意軟體從上述URL下載與還原經Base64編碼處理的有效酬載，並且執行，就會觸發PowerShell命令，並將一系列的惡意軟體植入受害電腦。</p> <p>這些惡意軟體包括：木馬程式Orcus RAT、挖礦軟體XMRig、將受害電腦變成非法代理伺服器的3Proxy、惡意程式下載工具PureCrypter，以及能竄改防毒軟體組態或是進行停用的程式AntiAV。</p> <p><a href="https://s4.itho.me/sites/default/files/images/office-image-17.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/office-image-17.png" style="width: 580px;" /></a></p> <p>值得留意的是，就算使用者察覺惡意程式並手動刪除，只要電腦重新開機，駭客部署的「更新程式」就會重新載入前述的惡意軟體。</p> </div></div></div>
2024/5/31 14:51作者周峻佑https://www.ithome.com.tw/news/163224
殭屍網路CatDDoS鎖定逾80個已知漏洞，入侵多個廠牌網路設備、應用系統並將其用於DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國資安業者奇安信針對殭屍網路CatDDoS的攻擊行動提出警告，<a href="https://blog.xlab.qianxin.com/catddos-derivative-en/">這些駭客在最近3個月裡</a>，利用超過80個已知漏洞，攻擊行動的高峰一天有超過300臺設備受害。</p> <p>這些已知漏洞影響的範圍很廣，涵蓋思科、D-Link、居易（DrayTek）、高格（Gocloud）、華為、Netgear、瑞昱（Realtek）、Seagate、SonicWall、騰達（Tenda）、Totolink、TP-Link、中興（ZTE）、兆勤（Zyxel）等廠商的網路設備，並且也影響許多應用系統及元件，例如：ActiveMQ、Cacti、FreePBX、GitLab、Hadoop、Jenkins、Metabase、Log4j、RocketMQ。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Snip20240510_105.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Snip20240510_105.png" style="width: 580px;" /></a></p> <p>值得留意的是，有些遭攻擊者利用的漏洞，他們暫時尚未找到相關的跡證，而無法進一步確認，但研究人員推測，當中有不少可能是零時差漏洞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Snip20240515_120.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Snip20240515_120.png" style="width: 580px;" /></a></p> <p>而對於駭客的攻擊範圍，研究人員指出主要在美國、法國、德國、巴西、中國，但全球各地都有受害的情況，而這些受害組織的領域，包含了雲端服務業者、教育、研究機構、資訊傳輸、公共管理、建築業等。</p> <p>CatDDoS是Mirai衍生而來的變種，最早在去年8月出現，根據他們的比對，研判CatDDoS曾在12月暫停營運，且疑似透過Telegram群組兜售原始碼，後來出現由不同駭客團隊經營的變種，例如：RebirthLTD、Komaru、Cecilio Network。</p> <p>值得留意的是，這些變種的程式碼、連線機制、解密方法幾乎相同，研究人員指出，他們確認至少有3款變種採用與CatDDoS相同的chacha20演算法，甚至連金鑰與與隨機數（Nonce）也都一致。</p> </div></div></div>
2024/5/31 12:22作者周峻佑https://www.ithome.com.tw/news/163220
OpenAI推出教育版ChatGPT Edu
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI周四（5/30）發表了<a href="https://openai.com/index/introducing-chatgpt-edu/" target="_blank">ChatGPT Edu</a>，以將ChatGPT推廣到全球校園中。</p> <p>ChatGPT Edu採用最新的<a href="https://www.ithome.com.tw/news/162852" target="_blank">GPT-4o多模態模型</a>，專為大學打造，可支援跨文字與視覺的推論，也可使用諸如資料分析等高階功能，此一版本具備企業等級的安全與控制能力，OpenAI也強調將以教育機構負擔得起的價格來供應。</p> <p>ChatGPT Edu的功能涵蓋可使用GPT-4o來協助文本釋譯、撰寫程式碼，以及解決數學問題；也提供資料分析、網頁瀏覽及文件摘要等高階功能；還能建置客製化的ChatGPT版本並於校內分享；提供比免費版還多的訊息額度；支援逾50種語言並改善語言的品質與速度；擁有強大的安全性、資料隱私與管理控制；亦強調不會以用戶的資料及對話來訓練模型。</p> <p>OpenAI表示，之所以建立ChatGPT Edu是因為看到許多大學在ChatGPT Enterprise上的應用，例如哥倫比亞大學企圖利用AI來減少社區中藥物過量致死的情況，開發了一個GPT系統來分析及整合大量的資料集，以制定及調整干預策略，在AI的協助下，過去需要幾周才能完成的研究成果在幾秒內就產出了，加速了分析與決策過程。</p> <p>亞利桑那州立大學的助理教授則替學生建置了客製化的Language Buddies GPT，以讓不同德文程度的學生可與之對話，並獲得量身打造的回應，除了可協助學生培養溝通技術之外，也能節省老師的評估時間。</p> <p>目前的ChatGPT<a href="https://openai.com/chatgpt/pricing/" target="_blank">有4種版本</a>，分別是免費版、每月20美元的ChatGPT Plus版、每月30美元的Team版，以及Enterprise版，不管是Enterprise版或Edu版都是依使用人數訂價，並未有固定價格。</p> </div></div></div>
2024/5/31 12:52作者陳曉莉https://www.ithome.com.tw/news/163223
Fintech周報第242期：金管會提出金融機構顧客戶資料分級作法，金融業用顧客資料訓練AI更有規範可循；摩根大通揭露…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">5/14~5/30金融科技精選新聞</span></span></h3> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料共享</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 客戶資料分級 </span></strong></span></p> <h3>金管會發布「金融機構資料共享之資料治理諮詢文件」，提出客戶資料分級作法</h3> <p>為了協助金融機構在符合法規的前提下，更順利使用客戶資料進行AI訓練和建模，金管會發布「金融機構資料共享之資料治理諮詢文件」，以資料的可識別程度，將客戶資料分為4級，並提出金融機構進行資料共享時，應遵循的治理方式。金管會綜合規劃處處長胡則華在例行記者會上表示，金融機構若要使用客戶資料，皆須經過客戶逐項同意，即便是較不易遭還原而識別的客戶資料，仍要比照辦理。再者，部分年長客戶並不習慣使用數位化工具，金融機構需要花費非常高的成本，才能取得這些客戶的同意。金融機構運用資料的繁瑣流程，成為金融機構發展AI的阻礙。</p> <p>第1級和第2級皆需要採高度保護，包含遵循個資法規，並取得客戶同意等。第3級是較不易遭還原而識別客戶的資料，可以採取較簡易的方式取得客戶同意，資料共享對象也包含非金融機構。第4級則不屬於個別客戶資料，不需要適用個資法規。胡則華指出，相較1、2、4級的定義，第3級的定義較需要外界提供意見，包括定義範圍，和研議具體的客戶同意方式。因此，金管會也希望藉由這份諮詢文件徵求外界意見，不僅針對金融業者，也包含個資委員會、相關部會、專家學者及一般民眾。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摩根大通</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI </span></strong></span></h3> <h3>摩根大通揭露內部三項AI應用，今年更要求新進員工人人都要懂提示工程</h3> <p>近日，摩根大通在投資者會議中揭露，他們在資產與財福管理部門中使用了三項AI應用。第一項，是協助員工減少查找資料的時間。例如，當客戶在通話過程中，詢問理專某種基金產品的情況，系統可以即時調出產品資訊，也能因應客戶的情況，進一步提供產品比較表，同步以電子郵件形式傳送給客戶。</p> <p>第二項應用，是一個能提供市場投資建議的顧問工具。這項應用的特點是，摩根大通將內部市場投資策略長Michael Cembalest二十年來的市場投資經驗化為知識庫。當理專向顧問工具詢問投資建議時，等同運用了Michael Cembalest長年的投資見解。目前，這項工具是用來協助理專提供客戶更好的投資建議。</p> <p>第三項應用，是一個名為ChatCFO的大型語言模型，可支援財務團隊的工作。例如，財務團隊的員工可以詢問ChatCFO如何應對接下來的投資者日。</p> <p>此外，摩根大通也表示，今年開始，每個進入摩根大通的員工都要接受提示工程的培訓，幫助他們在AI時代做好準備。</p> <p>摩根大通營運長Daniel Pinto表示，他們正在進行IT技術現代化工程，包括將部分應用程式遷至雲端，或是為開發人員建立工具。透過優化自家的基礎設施，Pinto表示他們已經降低了運算和儲存的設備成本。</p> <p>「但是，AI，尤其是大型語言模型，將帶來革命性的變化。」Pinto提到，為了應對生成式AI帶來的挑戰，幾個月前，他們特地聘請新的數據分析長，負責將內部的大量數據轉換為可分析的形式，並在業務中建立必要的平臺，真正運用這些數據，助力集團AI發展。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> PayPal</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 廣告聯播網 </span></strong></span></h3> <h3>PayPal也開始建置廣告聯播網服務，計畫運用客戶資料廣告平台</h3> <p>既摩根大通推出廣告聯播網服務，第三方支付業者PayPal近日也宣布要建置一個廣告平臺，利用近5,000億美元的交易數據協助商家精準投放行銷廣告。此服務的廣告形式是現金回饋，當顧客在PayPal的App上查看優惠資訊時，平臺會根據顧客歷史交易來呈現現金回饋等資訊。PayPal表示，無論商家的業務規模多大，收費的根據是廣告效益，而不是投放次數或點擊次數。</p> <p>為了打造這個廣告平臺，PayPal特別找來Uber前廣告部門總經理操刀，顯示其對廣告業務的野心。目前，這項服務僅開放美國地區的商家申請試用。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 零信任架構 </span></strong></span></h3> <h3>金管會提供金融上手零信任架構的三步驟</h3> <p>近日，金管會資訊服務處處長林裕泰出席臺灣資安大會金融安全論壇，針對金融機構如何實際導入零信任架構，林裕泰提供三項步驟。首先，是將資源用在刀口上，選定優先的保護標的，例如，高權限使用者帳號、重要系統的外部使用者、委外廠商的遠端維運管理等高風險場域。</p> <p>接下來，林裕泰建議業者應盤點資源存取途徑，查看從身份、設備、網路、應用程式到資料中的脆弱點，以零信任思維逐步提升安全性。例如，在身分、設備和網路設立多一層防護機制，並且進行適當的分割，縮小攻擊表面。</p> <p>最後，是要能整合並分析事件日誌，再結合威脅情資，形成信任推斷機制。後續進一步發展自動協作機制，以動態監控支援信任推斷。林裕泰表示，未來，金管會將會根據這三項步驟，提供金融機構導入零信任架構的參考指引，待業界發展出實務案例後，再逐步發展成資安相關規範。（<a href="https://www.ithome.com.tw/news/162972">詳全文</a>）</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 理賠 </span></strong></span></h3> <h3>三井住友保險使用GenAI摘要事故紀錄，加速產險理賠流程</h3> <p>三井住友保險近日表示，內部正在使用一套系統，運用語音辨識技術和GenAI服務，加速產險服務的理賠流程。他們解釋，過往產險服務的理賠流程中，保險業務需要和客戶通話了解事故情形，並將通話內容紀錄在專用系統。目前，他們的做法是額外開發一套系統，透過語音辨識技術，自動將保險業務員和客戶的通話內容轉為文字，並利用GenAI服務進行摘要，加速紀錄事故情形和摘要的工作。</p> <p>三井住友保險提到，這套系統目前已開放給部分分公司使用，預計今年會擴大應用至全日本分公司。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融監管</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI </span></strong></span></h3> <h3>美國那斯達克股票交易所運用GenAI快速蒐集、分析股市資訊，提升內線交易、市場操縱監控效率</h3> <p>美國那斯達克股票交易所（Nasdaq）近期宣布，將推出一款運用GenAI的解決方案。他們將GenAI應用在監控股市可疑活動，簡化涉及內線交易和市場操縱行為的調查流程，協助金融監管機構和一般企業客戶更有效提升股市監控效率。</p> <p>Nasdaq表示，過往監控分析師收到股市的可疑活動警報時，必須進行初步審查，評估是否需要進一步調查該活動。在初步審查過程中，分析師需要手動整理大量數據，包括相關的交易活動，和公司檔案等外部資料，才能決定是否進一步調查。</p> <p>Nasdaq提到，透過GenAI，可以更快蒐集、分析和解釋大量數據，提升分析師初步評估的效率。例如，可以生成企業調查文件、摘要企業本身和同業新聞、進行新聞輿情分析等。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料外洩</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融監管 </span></strong></span></h3> <h3>SEC加強顧客個資保護的監管力道，要求金融機構發生資料外洩事件後，須在30天內通知客戶</h3> <p>美國證券交易委員會（SEC）近日通過S-P規則修正案，針對證券經紀商和自營商、投資公司、理財顧問公司和過戶代理商等金融機構，加強其個資保護措施。</p> <p>例如，修正案要求這些金融機構發現客戶資料外洩事件後，需在30天內通知受害客戶，並通知客戶已洩漏的資料，告知客戶可以採取的保護措施。此外，在部份情況下，若金融機構發現客戶的敏感資訊「可能」已經外洩，也需要提醒客戶。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Pay</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 線上快速結帳 </span></strong></span></h3> <h3>Google Pay新增3項功能，在用戶結帳時顯示特定信用卡的優惠資訊</h3> <p>Google Pay宣布推出3項新功能，第一項，是當用戶在Chrome頁面上結帳時，卡號輸入格中會顯示特定信用卡的優惠內容，包括精選通路的點數回饋，和現金回饋優惠等資訊，讓用戶更容易做出決定。目前，這項功能只會顯示已註冊在Google Pay的美國運通卡和第一資本銀行信用卡，Google Pay表示，他們計畫未來支援更多銀行的信用卡。</p> <p>第二項功能，是將先買後復的範圍擴展到美國更多的商家網站和安卓應用程式。最後一項功能，是開放用戶在線上結帳時，能使用指紋、臉部辨識或輸入PIN碼的方式，輸入包括安全碼的信用卡資訊，等同讓用戶能一鍵輸入信用卡所有資訊。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VR</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 員工培訓 </span></strong></span></h3> <h3>美國銀行在全美分行運用VR眼鏡進行員工培訓</h3> <p>美國銀行宣布，他們已經開始在全美近4,300間分行運用VR眼鏡進行員工培訓，提供約5萬名員工練習各項工作，包括以虛擬實境模擬和顧客互動，以及日常工作等。</p> <p>美國銀行計畫在明年年底前推出20種學習模組，包括訓練員工應對困難對話、以同理心的方式回應客戶，協助員工深化和客戶的關係。</p> <p>其他重要Fintech新聞：</p> <ul> <li>萬事達卡開始利用GenAI檢測信用卡被盜風險</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年5月</p> <p></p> </div></div></div>
2024/5/31 10:53作者李昀璇https://www.ithome.com.tw/news/163216
臺灣資安大會特別報導(上) 資安十年的下一步
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1184-feng_mian_gu_shi_p1-open-960x420_kao_bei_0.jpg?itok=kYl6k5ZQ" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣資安大會進入第十年，也見證了十年來資安典範的移轉。當前雲端時代的新考驗是身分安全，了解自己的弱點，比掌握敵人的手段更重要。從臺灣到全球資安風險態勢的發展，下一個十年的資安課題逐漸浮現。</p> </div></div></div>
2024/5/31 11:32未署名https://www.ithome.com.tw/article/163218
Anthropic新功能讓Claude助理可使用外部工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI新創公司Anthropic昨（30）日<a href="https://www.anthropic.com/news/tool-use-ga" target="_blank">公布聊天機器人Claude新工具</a>，可讓Claude除了搜尋或回答問題之外，還能整合API或外部資料源執行更多工作事項。目前已正式上線開放企業開發人員使用。</p> <p>最新工具名為Tool Use，技術名稱則為功能呼叫（function calling）。<a href="http://docs.anthropic.com/en/docs/tool-use" target="_blank">Anthropic</a><a href="https://docs.anthropic.com/en/docs/tool-use" target="_blank">說明</a>，利用Tool use，Claude將可和外部用戶端工具、API和功能互動，可代用戶執行多種任務，像是搜尋最新網頁資料、從文件中擷取資料輸入報表，或執行客戶服務。</p> <p>目前Tool use已整合在Claude 3模型家族，供開發人員透過Anthropic Messages API、Amazon Bedrock、和Google Vertex AI存取使用。相關資源也<a href="https://github.com/anthropics/anthropic-tools" target="_blank">在GitHub公開</a>。</p> <p>開發人員可以自然語言定義Claude連結的一組工具，日後用戶下達指令時，它會自行選擇必要工具動作。Claude可執行的行為包括從非結構化文字中擷取結構化資料，像是從收據中擷取人名、日期和金額數字，減少手動輸入作業；將自然語言呼叫轉化成結構化API呼叫，像是要求簡單的自助行為（如取消訂閱）；搜尋資料庫或使用Web API，如為客戶搜尋即時、精確的答案；透過軟體API自動化作業，像是自動化輸入和檔案管理；以及協同多個Claude助理完成細部作業，例如自動根據與會者有空的空檔找出最佳會議時間。</p> <p>目前已有瀏覽器自動化平臺Intuned、金融業及法務業LLM平臺Hebbia和AI原生學習平臺StudyFetch等公司，利用這項新功能開發Claude的加值功能。</p> <p>OpenAI的<a href="https://www.ithome.com.tw/news/156095" target="_blank">ChatGPT</a>、<a href="https://www.ithome.com.tw/news/157018" target="_blank">微軟Copilot</a>也都在去年推出類似擴充功能，可以外掛、API整合外部工具或服務，提供AI代理訂餐、訂票、網購、搜尋景點等即時資訊或更自動化的服務。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/b77htH1eX-s?si=sDPbe3FB1HmNkOOJ" title="YouTube video player" width="560px"></iframe></div> </div></div></div>
2024/5/31 12:02作者林妍溱https://www.ithome.com.tw/news/163219
Intel、AMD、Broadcom等巨頭合推AI網路互連開放標準，獨缺Nvidia
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾（Intel）、超微（AMD）、博通（Broadcom）連同其他IT巨擘昨（30）日宣布<a href="https://pressreleasehub.pa.media/article/amd-broadcom-cisco-google-hewlett-packard-enterprise-intel-meta-and-microsoft-form-ultra-accelerator-link-ualink-promoter-group-to-drive-data-center-ai-connectivity-19629.html" target="_blank">合作發展網路加速器互連（Interconnect）標準Ultra Accelerator Link（UALink）</a>，為系統OEM業者、IT專業人員、系統整合商提供更容易整合、彈性擴充性的方法來打造AI基礎架構。</p> <p>參與成員除了英特爾、超微、博通外，還包括微軟、Google、Meta、思科及HP。這個最新產業標準旨在提供高速、低延遲網路互連，以便串聯各品牌機器，實現資料中心內AI與HPC系統擴充目的。</p> <p>這些成員大部份和去年7月成立的類似標準促進組織<a href="https://ultraethernet.org/" target="_blank">Ultra Ethernet Consortium</a>大致重疊，後者希望能設計新的乙太網路通訊堆疊架構，以建立高效能資料中心系統。</p> <p>值得注意的是，這個網路互連產業組織並未包含AI及GPU大廠Nvidia。<a href="https://www.tomshardware.com/tech-industry/artificial-intelligence/amd-broadcom-intel-google-microsoft-and-others-team-up-for-ultra-accelerator-link-an-open-standard-interconnect-for-ai-accelerators" target="_blank">媒體分析</a>占有80%晶片市占的Nvidia已有自己的NVLink標準，對加入制訂產業新標準自然興趣缺缺。此外，博通的競爭者Marvell也缺席這個組織。</p> <p>UALink促進小組（UALink Promoter Group）指出，隨著AI運算需求大增，企業需要能建立低延遲、高效率的向上擴充（scale-up）網路，以便為單一執行個體加入運算資源。UALink和產業規格目的即在為AI和機器學習、HPC和雲端應用的建立和實作，建立標準介面。這個小組將發展規格，定義AI運算pod的加速器（accelerator）、交換器（switch）之間擴充資料傳輸用的高速互連規格，用以支援龐大的AI應用負載。</p> <p>UALink 1.0規格預計將支援在一個AI運算pod中連結最多1,024個加速器，允許加速器（如GPU）附加記憶體之間直接載入和儲存。促進小組已成立UALink聯盟，預計2024年第三季二者合併，並在同時公布1.0版規格，公開給加入UALink聯盟的會員。</p> </div></div></div>
2024/5/31 10:39作者林妍溱https://www.ithome.com.tw/news/163215
全球展開終局行動，聯手摧毀用來散布惡意程式的多個殭屍網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲刑警組織Europol，以及美國、英國等十幾個國家在本周同步執行了終局行動（Operation Endgame），破壞用來散布惡意程式的多個殭屍網路，於5月27日至29日間關閉超過100臺伺服器，扣押逾2,000個網域名稱，逮捕了4名嫌犯，並針對其它8名嫌犯展開通緝。</p> <p>根據<a href="https://www.eurojust.europa.eu/news/major-operation-take-down-dangerous-malware-systems" target="_blank">歐洲司法組織Eurojust</a>的說明，此次的行動其實是針對IcedID、Pikabot、Smokeloader、Bumblebee與Trickbot等殭屍網路與惡意程式載入器，經由逮捕嫌犯、凍結非法收益，以及摧毀其基礎設施來破壞駭客的犯罪服務。</p> <p>其中，Trickbot或TrickLoader是網路上最長壽的殭屍網路/惡意程式之一，它原本是個金融木馬程式，但其模組化架構使其成為其它惡意程式的交付平臺；IcedID最初亦為金融木馬，之後亦演變成惡意程式遞送平臺，並替勒索軟體集團提供初期存取服務；而Pikabot、Smokeloader與Bumblebee也都是惡意程式載入器。</p> <p>此一行動是利用「天坑」（Sinkhole）誘捕手法或其它工具來存取惡意程式背後的操作系統，這些系統通常經由惡意的電子郵件附件來感染受害裝置，受害的對象包括各國政府組織與企業。</p> <p>參與Operation Endgame首波行動的國家，包括美國、英國、德國、荷蘭、奧地利、丹麥、法國、烏克蘭等，並得到亞美尼亞、保加利亞、立陶宛、葡萄牙、羅馬尼亞及瑞士等國的支援。</p> <p><a href="https://www.europol.europa.eu/media-press/newsroom/news/largest-ever-operation-against-botnets-hits-dropper-malware-ecosystem?ref=operation-endgame.com" target="_blank">歐洲刑警組織表示</a>，這應是史上針對殭屍網路之最大規模的移除行動，打擊了Dropper惡意程式生態體系，然而，這只是終局行動的第一季，國際執法部門已與其它合作夥伴聯手，持續調查相關的犯罪行為，不會就此止步。</p> </div></div></div>
2024/5/31 11:18作者陳曉莉https://www.ithome.com.tw/news/163217
Google內部文件外洩，搜尋引擎運作細節引猜疑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期網路上流傳一份Google內部描述搜尋引擎運作細節的API文件，在一段時間的沉默後，Google終於發出聲明，警告外界不要根據缺乏脈絡與不完整的資訊，對搜尋做出不準確的假設，並強調他們已經分享了大量搜尋運作的方式，同時也致力於保護搜尋結果不被操縱。</p> <p>之所以該文件引起搜尋引擎最佳化（SEO）專家的注意與興趣，是因為其中描述的細節與Google過去公開聲明的資訊相矛盾，包括不使用網域權重、不使用點擊評份以及沒有使用沙箱等。</p> <p><a href="http://sparktoro.com/blog/an-anonymous-source-shared-thousands-of-leaked-google-search-api-documents-with-me-everyone-in-seo-should-see-them/" target="_blank">Sparktoro共同創辦人Rand Fishkin在5月初的時候收到了一份匿名寄送的信件</a>，內容是一份Google搜尋部門內部的API文件，而這份文件經過前Google員工、<a href="https://ipullrank.com/google-algo-leak">iPullRank執行長同時也是SEO專家的Mike King檢視</a>，初步認定可信度極高，再加上Google最新的聲明，更間接證實了該份文件確實來自Google。</p> <p>Google遭洩漏的API文件超過2,500頁，涵蓋2,596個模組14,014項屬性，Mike King指出，這份文件的內容與不少Google過去所公開的搜尋規則相矛盾，他認為，Google的發言人從系統運作方面誤導SEO工程師，以及潛在的垃圾郵件發送者，使得外界無法得知影響尋引擎的方法。</p> <p>Mike King提及數項文件與Google公開宣稱不符的資訊，包括Google曾經多次說過，Google搜尋不使用網域權重，但是文件中載明有一個稱為siteAuthority的指標，用於評估網站權重，siteAuthority指標存在於Google的Compressed Quality Signals中，並在Q*排名系統中使用，而這項資料與Google官方聲明相矛盾。</p> <p>Google官方過去也否認使用點擊資料進行排名，但是Google搜尋中的NavBoost系統顯示，Google確實使用不良點擊、良好點擊和最後的長點擊（Long Click）行為作為排名演算法的一部分指標。不只如此，官方多次否定的沙箱機制，在文件中的PerDocData模組，顯示出確實存在一個hostAge屬性，Mike King指出，Google在某些情況下會根據網站年齡和缺乏信任的訊號，來對網站進行隔離處理。</p> <p>另外，Google也多次對外宣稱不使用Chrome資料作為搜尋的一部分，但是Mike King根據洩露的文件表示，Google確實使用了Chrome資料，來自Chrome存取的資料被用於即時增強訊號的一部分，用於提升搜尋結果的品質和相關性。</p> <p>不過值得注意的是，Mike King指出，雖然有許多Google搜尋用到的特徵被揭露出來，但是從文件中，目前還無法看出各特徵在下游的評分函式權重，因此也不確定這些特徵具體使用方式。不過，由於該文件洩漏了2024年3月Google搜尋內容儲存的現行架構，以及相關程式碼提交歷史，證明這份資料是新資訊。</p> </div></div></div>
2024/5/31 08:28作者李建興https://www.ithome.com.tw/news/163204
靠IT力推動10年三階段轉型，順德要打造數位中臺實現智慧工廠
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臺灣彰化有家成立超過一甲子的五金文具大廠，你可能沒聽過，但在日常生活中一定用過它生產的產品。這家公司以自有品牌「SDI手牌」釘書機打響名號，其生產的文具商品，不只有釘書機，還涵蓋書寫、修正、裝訂、切割、剪裁、削筆與五金等七大文具用品。除了自有品牌，也是國際文具品牌愛用的代工廠。</p> <p>順德工業可不只生產五金文具，更是一家半導體材料製造商，專門生產半導體封裝業中重要的材料，也就是用來連接晶片與印刷電路板之間媒介的「電子導線架」，出貨給各種電子產品製造商，甚至還打入汽車供應鏈。不僅如此，由順德工業所生產的功率導線架，這幾年更搶下全球市占第一，堪稱臺灣的隱形冠軍。</p> <p><span style="font-size:28px;"><strong>十年三階段IT轉型之路</strong></span></p> <p>從製作削鉛筆小刀到開發各種文具用品，甚至跨足半導體產業生產各種工業精密產品，這些年來，順德工業之所以能夠持續保有高度競爭力，不僅靠著精進生產技術，還得提升產能規模，以應對年年增長的訂單需求。</p> <p>為了更即時掌握生產資訊並提升製造產能，這家老牌文具製造商自2015年啟動內部IT轉型，展開為期十年的三階段IT轉型之路，今年還要打造一套數位中臺，以此實現跨系統的串聯，發展各種智慧化應用。</p> <p>順德工業資訊處副處長葉建志表示，順德工業很早就開始結合數位與資訊科技應用。早在2000年，這家公司開始導入ERP系統，以系統化方式來管理營運數據，以提高管理效率，隨後還陸續導入多套系統，包括CRM、PLM，以及Notes郵件系統等。</p> <p>2015年，順德全面展開數位化推動計畫，將原本的人工紙本作業改為電子化作業。除了將ERP、PLM等系統中尚未無紙化的部分改用系統化管理，在2020年導入MES系統，以系統串接並蒐集現場機臺參數，將數位化進一步推向製造端現場。發展至今，順德已有8到9成的作業流程改用系統化方式處理。</p> <p>直到2018年，順德進入數位優化階段，針對現有系統進行優化和改進，持續優化和改善現有數位作業流程。</p> <p>例如，重新優化PLM系統，採用新的UI/UX介面，減少使用者輸入資料的密度，並整合更多資訊。PLM也是順德工業是三大核心系統之一。此外，在2023年，順德完成了ERP升級並在隔年計畫新增行動簽核功能，進一步提升系統的效能和便利性。</p> <p>今年已經成立71年的順德工業，歷經數位化、數位優化階段後，在2023年更進一步展開了數位轉型推動計畫，如何透過IT加速內部轉型，實現智慧工廠，成為了葉建志上任後的首要任務。</p> <p>2018年剛加入順德時，葉建志起初先在研發單位負責PLM的研發，4年後轉調至資訊單位，負責PLM功能開發和系統整合的工作。隨著原資訊處主管屆齡退休，公司高層決定從內部提拔適合的人才，葉建志憑藉其過去的顧問和PLM經驗，在2023年升任資訊處副處長，負責帶領IT團隊，協助推動順德工業的數位轉型。</p> <p><span style="font-size:28px;"><strong>今年建置AIIoT數位中臺，實現跨系統資訊流的串聯</strong></span></p> <p>儘管剛接任資訊主管還不到一年的時間，葉建志對未來如何用IT加速公司轉型，已有一套明確的規畫。他表示，將聚焦三大重點發展，分別是建置AIIoT數位中臺、加強資訊安全，以及人才培育。</p> <p>在這三項發展計畫中，葉建志強調數位中臺的重要性，不僅跟資安並列，更將其視為順德數位轉型的重要關鍵基礎，朝向發智慧工廠來發展。</p> <p>為何製造業需要建一個數位中臺？葉建志說明，過去順德推出許多系統，但這些系統之間缺乏整合，導致資料無法有效地共享和流通，使得使用者或管理者在查看資訊時需要打開多個不同的系統，非常不便利。</p> <p>為了打破資訊孤島，葉建志上任後決定引進電商常用的數據中臺架構到順德，並在前臺和後臺之間建立一個屬於自己的數位中臺，以此實現跨系統資訊流的串聯，以便讓不同系統之間的資訊，都可以在同一個平臺中來提供，不需要各別取得。</p> <p>他期望透過這套數位中臺的推出，將各系統間的資訊打通，作為資料流串接的主要平臺，以此提升管理高層決策的速度與準確性，讓管理者可以根據這些資訊更快下達決策並採取行動。</p> <p>除了串接各種大小系統外，這套中臺系統未來也可蒐集來自產線中的數據，包括MES、IoT感測器數據，並經過整理分析後，可將這些工廠和營運管理數據視覺化並透過戰情室數位儀表板呈現，包含ERP、CRM、MES系統等，讓管理階層能夠更即時地掌握工廠產線狀況和進度，以調整其生產策略，「甚至進一步可以利用這些數據，發展各種工廠AIIoT智慧化應用或系統智慧化服務。」他說。</p> <p>順德工業這套數位中臺今年底先完成平臺雛型的建立，預計明年上半年正式上線。</p> <p>除了建置數位中臺，葉建志上任後的第一件事就是，調整內部IT組織的運作模式，從單一功能的團隊轉變為多功能團隊，以取代過去各自獨立運作、缺乏橫向溝通的模式。</p> <p>葉建志表示，這樣做的目的是要改變內部IT運作的氛圍。目前，資訊處下設有四個小組團隊，分別負責網路硬體、ERP、PLM、MES的開發與維運。他舉例，ERP和PLM團隊的工作看似沒有關聯，但在建置數位中臺時，就需要兩個團隊的協同合作。因此，透過內部IT組織的調整，IT團隊能夠更有效地應對外部使用單位的需求。「這是我覺得最重要的一件事」他說。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1184-%E9%A0%86%E5%BE%B7%E5%B7%A5%E6%A5%ADCIO-600-1-JPG.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>重視內部使用者的意見回饋，作為系統優化優先序的重要參考</strong></span></p> <p>「如同製造業一句名言，把客戶抱怨當作天使的聲音」，葉建志也將這種重視使用者反饋的理念帶進IT內部，開始蒐集廠內對系統使用的負評，並取得多方意見回饋，作為系統優化或改進決定優先順序的重要參考。例如在ERP中新增行動簽核功能，就是其中一個例子，讓管理者可以透過行動裝置串接內部系統快速完成簽核。</p> <p>在程式開發上，葉建志對IT團隊寄予厚望，不僅希望團隊成員需要具備自行開發的能力，就算是委外開發完成的系統，IT人員也要具備維運的能力。</p> <p>他解釋，看重自主開發的原因是，有時委外廠商很難配合IT單位需求和完成時間表，甚至影響了公司系統化計畫推行的進度。他表示，無論是新系統還是舊系統的規畫過程中，現在已經開始要求IT人員具備自行維運和開發的能力，「這樣才是更健康的狀態」他說。</p> <p>不過，推動轉型的過程中，資訊團隊也遇到不小的考驗，舉例來說，人才短缺，人力越來越難尋是葉建志面臨的難題，尤其隨著公司營運發展，系統數量只會增加，維運管理需求也會隨之增多。為了解決這個問題，他從兩方面著手，一方面，開始推動內部子系統雲端化，將地端非核心系統搬上公雲，除了CRM系統早已上雲之外，今年初跟著完成HR人才管理模組上雲作業。</p> <p><span style="font-size:28px;"><strong>為克服資訊人才短缺，近年來開始推動子系統雲端化</strong></span></p> <p>葉建志表示，地端系統上雲有兩大好處，一來可以減少機房維運人員管理的負擔，二來系統上雲後，也能夠確保這些系統的更新保持最新的版本。</p> <p>另一方面，為了提高開發和維運的效率，葉建志還引進了新技術，以降低開發者的門檻。例如，導入低程式碼開發工具，讓開發工程師能夠以拖曳的方式進行開發，這樣可以大幅縮短開發時間。</p> <p>他補充表示，今年數位中臺的開發方式就是採用這種低程式碼的方式來進行，除了加快開發速度，也能因此減輕開發人員的開發負擔。</p> <p>近年來，ESG永續成為企業關注的重要議題，順德也不例外，近幾年積極推動ESG永續，更訂下2030年減少碳排25%的目標。為了達到這個目標，順德不只在去年成立永續發展委員會，負責制定永續發展方針，還要用IT支援公司永續發展，成為資訊團隊其中一項重要任務。</p> <p><span style="font-size:28px;"><strong>配合ESG永續發展目標，用系統化方式監控能源和碳排數據</strong></span></p> <p>在節能減碳方面，過去兩年，順德工業陸續導入了新系統。例如，在2023年導入了能源管理平臺，搭配電表和感測器，可以即時查看累計電量、用電趨勢和統計報表，透過有效的用電管理，達到節能的目標。</p> <p>此外，為了追蹤和管理碳排放數據，他們今年開始建置碳帳管理平臺，未來不僅可以隨時監看工廠碳排放的變化，根據排放的熱點做相應的策略調整，還能將這些排放轉化為費用成本，了解不同排放源和碳係數產生的成本，做為減碳參考依據。這套碳帳管理平臺預計明年上線。</p> <p>資訊安全也是ESG發展重視一環，特別是近兩年來，越來越多駭客鎖定臺灣中小型製造業發動攻擊，因此順德今年也持續加強資安防護，例如，今年要導入資安管理平臺以及ISO 27001資訊安全認證等。其他還包括了採用多因子驗證、建置主動式防護平臺，以及汰換過時設備等。</p> <p>因應AI風潮盛行，葉建志未來將考慮導入AI技術發展AI分析應用。例如透過LLM模型或AI輔助人員迅速處理任務，並減少人工作業的錯誤。此外，還可以建置多個不同的ML模型，將這些需要費時費力處理的作業項目交由AI處理。</p> <p>除了發展AI應用之外，他未來計畫導入新型態BI商業軟體，結合內部商業流程，提供更多維度的業務分析並提供決策所需的洞察。此外，還將開發建置行動裝置使用的App，配合遠距或即時性作業需求，更貼近使用者作業情境。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>順德工業資訊處副處長葉建志</strong></p> <p>學歷：彰師大光電所科技應用與管理碩士</p> <p>經歷：在軟體資訊行業累積多年實戰經驗，曾在PTC和LSA擔任PLM顧問及PLM資深顧問。2018年加入順德工業，成為PLM主任工程師。2022年轉調至資訊處負責PLM開發和系統整合，並在一年後升任資訊處副處長，負責帶領團隊加速推動內部數位轉型</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1184-%E9%A0%86%E5%BE%B7%E5%B7%A5%E6%A5%ADCIO-250.jpg" style="width: 300px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／順德工業</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>順德工業</strong></p> <p>●地址：彰化縣彰化市彰南路二段260號</p> <p>●網址：<a href="http://www.sdi.com.tw">www.sdi.com.tw</a></p> <p>●成立時間：1953年（前身為順德製造所）</p> <p>●主要業務：半導體導線架、LED導線架、五金文具用品、各式沖壓模</p> <p>●員工數：1,400人以上</p> <p>●董事長：陳朝雄</p> <p>●總經理：陳維德</p> <p>●資本額：18億元</p> <p>●年營收：91.43億元（2022年）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：副處長</p> <p>●資訊部門主管姓名：葉建志</p> <p>●資訊部門名稱：資訊處</p> <p>●資訊部門人數：17人</p> <p>●IT預算：約2,500萬～3,500萬元</p> <p>●資訊部門分工：網路硬體、ERP、PLM、MES</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2015年：全面推行數位化計畫，將原本的人工紙本作業改為電子化作業</p> <p>●2018年：展開數位優化計畫，對現有的系統進行優化或改善</p> <p>●2019年：將地端CRM系統搬上公雲</p> <p>●2020年：工廠MES製造執行系統推出上線</p> <p>●2023年：導入能源管理平臺、完成ERP升級更新、推行子系統雲端化</p> <p>●2024年：建構AIIoT數位中臺、HR人才管理模組上雲、ERP行動簽核功能開發、建置碳帳管理平臺、導入資安管理平臺、導入ISO 27001資訊安全認證</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1184-shun_de_gong_ye_cio-960.jpg" width="960" height="420" alt="" title="順德工業資訊處副處長葉建志。　（攝影／洪政偉）" /></div></div></div>
2024/5/31 06:00作者余至浩https://www.ithome.com.tw/people/163177
【臺灣資安大會直擊】前後任正副總統齊聚臺灣資安大會，資安產業推動一棒接一棒
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去八年以來，是臺灣資安產業最蓬勃發展的時候，尤其是2016年總統蔡英文上任以來，更直接揭櫫「資安即國安」的大政方針，在蔡英文的支持下，整個政府都積極動起來，從各種政策、組織的層級給予資安產業發展最大的支持。</p> <p>蔡英文也身體力行，表達他對資安產業的支持，從2019年以來，每一年都親自出席臺灣資安大會開幕致詞並參觀臺灣資安館，就是希望藉由她的致詞和參訪，表達政府對於資安產業發展的重視。</p> <p>這種表達與支持並沒有因為蔡英文即將卸任而打折扣，在公務繁忙的各種「以總統身分最後一次出席」行程中，蔡英文仍然堅持她對資安產業支持的態度，於5月14日出席假南港展覽館二館舉辦的臺灣資安大會，更到場聆聽臺灣資安業者過去十年來的心聲。</p> <p>蔡英文總統高舉「資安即國安」的大旗，鼓動著臺灣資安產業的發展，而接任總統的賴清德，也於臺灣資安大會第二天（5月15日）活動中，以準總統的身分到場致詞，這也是賴清德連續第三年親自參訪臺灣資安大會。</p> <p>賴清德在致詞中表示，「資安即國安」，政府也將會延續蔡英文總統的政策，繼續推動國安工作，繼續支持臺灣資安產業發展，推動資安產業更上一層樓。賴清德說：「我必須做出承諾，我會繼續支持資安產業的發展。」</p> <p>副總統蕭美琴也於5月16日以準副總統身分，首度出席臺灣資安大會，她也花了比大家預期更多的時間，仔細聆聽業界說明技術、人才培育、政府計畫等內容，並與大家合影留念。</p> <p>臺灣資安大會主席、iThome總編輯吳其勳表示，臺灣資安大會創下史無前例，首度有前後任總統、副總統蒞臨的紀錄，他說：「這也是國家資安政策，無縫接軌的最好證明。」</p> <p>臺灣資安大會創辦人、iThome社長谷祖惠表示，萬分感謝蔡英文總統「資安即國安」的政策，以及8年來說到做到的全力支持，期待賴清德總統承先啟後，與產業攜手保衛國家發展、產業捍衛資安，也希望蕭美琴副總統可以持續支持關心臺灣的資安產業。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>臺灣資安產值去年突破740億元，預估2025年達800億元目標</strong></span></span></p> <p>在第十六任正副總統520就職前夕，前總統蔡英文在卸任前，仍然率領政府與資安相關的各部會首長，親臨臺灣資安大會進行開幕致詞，這也是前總統蔡英文連續第六年參與這場亞太地區規模最大的資安盛會。</p> <p>蔡英文在開幕致詞時也回顧並盤點，臺灣在過去幾年中所展現的資安量能，她說，除了成立數位發展部、帶動國家數位轉型外，也集結各部會力量，共同推動六大核心戰略產業，全力支持臺灣的資安產業發展，就是要讓臺灣能夠跟上全球數位轉型浪潮，並在全球供應鏈中，持續保有關鍵地位。</p> <p>她說，臺灣也透過《產創條例》的修法，將企業對資安產品及服務等相關投資，都可以納入租稅抵減的優惠，並鼓勵企業提升資安投資且積極開發相關的防護技術。</p> <p>另外，蔡英文也指出，國發基金也編列三十億元預算，目的就是打造臺灣的資安產業創業基地。她表示，在政府這些政策帶動下，2023年臺灣的資安產值已經超過740億元，穩定朝向2025年800億元產值的目標前進。</p> <p>由於臺灣身處民主前線，面對區域威權主義擴張以及複雜多變的資安攻擊與威脅，臺灣秉持「資安即國安」的精神建立防禦機制。蔡英文指出，隨著資通安全署及國家資通安全研究院相繼成立，不僅持續加強研發能量，也積極培育資安相關人才，期盼能做到提升國家的數位韌性。</p> <p>蔡英文強調，這幾年臺灣積極走向世界，並加強和更多理念相近夥伴國家的合作，除了公部門之間的交流，像是臺灣資安大會這樣民間舉辦的活動，也吸引許多國際人才和資安業者共同參與，她相信，透過彼此密切的互動，就能夠促進產、官、學、研更深度的合作，攜手建立全球的資安聯防體系。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>AIT坦言，網路安全是美臺重要的合作議題</strong></span></span></p> <p>美國在台協會（AIT）處長孫曉雅致詞時指出，臺灣「資安即國安」的政策也讓美國和臺灣之間的合作，鋪就一條坦途，她表示，臺灣是AIT的網路安全中心（Hub），而網路安全也已經是美國的重要戰略目標之一。</p> <p>孫曉雅也呼應美國國務卿布林肯（Antony Blinken）先前提到的政策方針：美國將與志同道合的國家、企業和民間社會合作，共同塑造數位科技的發展方向。她表示，根據美國最新的「國際網路空間和數位政策戰略」，未來的安全、穩定和繁榮不再僅僅是模擬問題，隨著網路犯罪分子和惡意行為者調整其戰略和戰術，全球網絡攻擊的規模和複雜性都在不斷增長。</p> <p>孫曉雅表示，數位團結（Digital Solidarity）將是臺美合作的共同目標，她進一步解釋，「數位團結」是指願意為共同目標而共同努力，共同幫助合作夥伴建立能力，並為建立數位和網路能力提供相互支持，以便合作夥伴，可以建立更長期、具有防禦性和彈性的數位生態系統，同時可以在資安事件發生時，做到快速回應與復原，也會追究相關犯罪者的責任。</p> <p>她強調，相關的網路戰略的實務作為就是，美國將與臺灣共同致力於保護公眾與私人數據和網路安全性，並避免相關的網路攻擊。她也說，美臺也已經合作預防和調查相關的網路犯罪，並為臺灣網路專業人士提供相關訓練課程，也為臺灣相關政策制定人士，搭建美國產業的溝通與合作的橋樑。</p> <p>她指出，網路安全依賴多方面的努力，包括私人網路公司在內的利害關係人，社群在內，其中有許多人研究漏洞，開發技術並部署解決方案，以確保網路和企業安全。她說，臺灣是世界上可靠的合作夥伴和正義力量，美臺雙方必須繼續合作，增強抵禦能力並應對網路攻擊，期待繼續與臺灣建立網路安全夥伴關係。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>經由數位產業署署長導覽，蔡英文持續造訪臺灣資安館</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1184-cover%E4%B8%BB%E6%96%87-600-2-PNG.png" style="width: 600px;" /></p> <p>蔡英文在5月14日當天，也最後一次以總統身分，協同前數位發展部部長唐鳳，共同蒞臨臺灣資安館的開幕儀式，並在數位產業署數長呂正華的導覽下參觀臺灣資安館，見證臺灣資安產業發展的成果。</p> <p>負責導覽的數位產業署署長呂正華表示，今年臺灣資安館有48家業者參展，在大家積極努力推動資安產業發展下，今年有11家資安業者，是首度參與臺灣資安館的展出。</p> <p>在主題特展方面，呂正華指出，主要展示數位產業署輔導成果，包含輔導產業研發軍民通用資安技術，及後量子密碼資安防護應用；另外也促成資安業者技術整合發展領域解決方案並於產業落地，例如：以零信任強化電商資安、及適用智慧醫療的資安防護方案，其他還有推動APP、物聯網設備、晶片、5G 資安檢測及認驗證的成果。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>政策法規有利資安產業發展，中小企業應是未來推動重點</strong></span></span></p> <p>臺灣資安產業業者也對未來資安產業發展向政府提出建言，趨勢科技臺灣區總經理洪偉淦表示，資安產業要能夠發展需要健全的產業環境，小英總統在任八年提供完整的政策和法規的支持，對於臺灣資安產業發展有很大的助力，臺灣資安業者也會努力成為臺灣未來重要的競爭力。</p> <p>杜浦數位安全（TeamT5）創辦人兼執行長蔡松廷表示，臺灣持續面對強大的敵人，而且敵人的攻擊手法和使用的數位武器等，都一直讓人感到驚嚇，敵人的強大讓人無法忽視，所幸臺灣還有做資安的一群人，可以發現、察覺甚至抵禦敵人的攻擊。</p> <p>蔡松廷認為，在資安即國安的政策帶動下，透過各種法規規範，逼著大家做資安、願意拿錢做資安，並培養資安人才等，逐步健全臺灣的資安產業和產業資安的環境外，臺灣資安大會這個平臺的存在，則讓大家知道怎麼做資安，而且可以找得到對的人來幫忙做資安。</p> <p>他表示，感謝在資安即國安政策帶動下，讓臺灣資安業者得到許多協助，透過臺灣資安大會平臺也有一個很好的成果展示機會，兩者相輔相成是臺灣資安產業發展的利多。</p> <p>中華資安國際總經理洪進福表示，該公司的發展史，就是臺灣資安政策促進資安產業發展的小型縮影，當初蔡英文總統對中華資安國際的期待就是「成為臺灣關鍵基礎設施的守護者。」如今，也已經順利達標。</p> <p>洪進福指出，過去六年多來，該公司從原本四十人的規模，現在已經成長為四百多人規模的公司，有賴於總統、政府政策和法規的支持，不管是資安管理法，或者是近期政府採購要求獨立列出資安項目等，都有助於臺灣資安產業的發展。</p> <p>然而，他也觀察到，不論關鍵基礎設施或是大企業，都已經投資相對多的資源在資安上，中小企業卻是整體資安推動的脆弱環節。洪進福認為，資安防護應該也要和防疫一樣，「Leave No One Behind（不遺漏任何人）」，所以他建議政府應該有多一些政策工具協助中小企業做好資安。</p> <p>此外，洪進福也說，面對區域性的安全對話，希望政府可以協助企業做更多安全與品牌的對話，犯罪與防治的對話，讓臺灣的資安公司可以真正走出去，又可以做公益。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>凝聚相信的力量，一起推動臺灣資安發展</strong></span></span></p> <p>臺灣資安大會創辦人、iThome社長谷祖惠致詞時表示，在十年前，iThome與資安業界先進無視某些「評估」，一起舉辦第一屆臺灣資安大會，就是因為「相信」資安對臺灣很重要，需要更多人一起參與。</p> <p>谷祖惠說：「我們需要更多人相信資安很重要，必須立刻開始，人人都得開始。」當時我們最需要的是「相信的力量」。她表示，我們相信透過臺灣資安大會，可以引發更多人心中相信的力量。</p> <p>谷祖惠指出，在大家摸索怎麼讓大家相信資安很重要的過程中，蔡英文總統提出「資安即國安」的願景，「打造安全可信賴的數位國家」，對資安投注過去無法想像的資源，讓整個國家動了起來。「那股『相信的力量』讓更多人積極投入，為臺灣的資安共襄盛舉。」她說。</p> <p>谷祖惠表示，小英總統不只是臺灣資安的貴人，小英總統投入的程度，更像是與大家共同奮鬥的夥伴。而臺灣企業的資安防護能力、意識、產業，更提升到十年前、出發時，無法想像的高度，她說：「這是多麼精彩的十年！」</p> <p>精彩開局的十年之際，共同奮鬥的夥伴要從總統的身分畢業，谷祖惠表示，除了感謝，更有滿滿的不捨。而我們不僅要珍惜現有成績，並努力下一個十年，讓資安產業跟臺灣企業持續成長、堅強。</p> <p>她說：「資安沒有最後一哩路，我們永遠都在路上，一起以相信的力量與行動，為臺灣資安加油。」</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>賴清德公開承諾，將繼續支持資安產業的發展</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1184-cover%E4%B8%BB%E6%96%87-600-%E8%B3%B4%E6%B8%85%E5%BE%B7.png" style="width: 600px;" /></strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1184-cover%E4%B8%BB%E6%96%87-600-%E9%BB%83%E5%BD%A5%E7%94%B7.jpg" style="width: 300px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">數位發展部部長黃彥男</span></span></p> <p>賴清德在5月15日當天，也以準總統的身分第三度出席臺灣資安大會，並率領未來新內閣中與資安發展相關的主管一同到場，包括：行政院副院長兼資安長鄭麗君，國安會諮詢委員李育杰，以及數位發展部部長黃彥男等人，共同關心臺灣資安產業的發展。</p> <p>面對近千名參加臺灣資安大會的現場來賓時，賴清德表示，他知道大家想聽到什麼，也知道大家想要什麼，所以，賴清德說：「我必須做出承諾，我會繼續支持資安產業的發展。」</p> <p>「資安即國安」，賴清德指出，未來新政府也會延續蔡英文總統的政策，繼續推動國安的工作，並公開承諾，將會繼續支持臺灣資安產業的發展，推動臺灣資安產業更上一層樓。</p> <p>此外，賴清德致詞時表示，根據世界經濟論壇（WEF）2024全球風險評估報告，未來兩年內，世界最高的風險就是錯誤訊息和假訊息；另外一個報告則是，未來兩年內，全世界第四大風險就是網路犯罪和網路犯罪延伸的風險。</p> <p>另外，賴清德也引述另外一個報告內容表示，臺灣是全球假訊息被攻擊最嚴重的國家，但他對此非常正面看待。他認為，雖然臺灣在全球當中，是受到假訊息攻擊嚴重的國家是壞消息，但如果將這個視為可以磨練、鍛鍊臺灣資安產業的場域時，就會是臺灣資安產業發展的契機。「臺灣資安產業就可以化挑戰為機會，進一步提升。」他說，</p> <p>賴清德在擔任行政院院長時，也有看到假訊息這個問題的嚴重性，當時，行政院就已經推動臺灣資安產業發展行動方案；後來蘇貞昌擔任院長時，也通過臺灣的《資通安全管理法》及成立數位發展部等部會，目的都是希望做好資安，好好發展資安產業。</p> <p>賴清德強調，網路犯罪橫行以及假訊息的氾濫，對臺灣社會帶來很大的傷害，這也是他為什麼會率領新內閣中，與資安相關的政府主管一起出席臺灣資安大會的原因，他以實際的行動表達對臺灣資安產業的支持。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>蕭美琴展現對資安產業發展的關心與期待</strong></span></span></p> <p>副總統蕭美琴也於5月16日當天，在數位發展部部長黃彥男陪同下，參觀臺灣資安館以及數位產業署成果發表，並進一步了解教育部AIS3資安人才培育計畫的成果。</p> <p>教育部資訊安全人才培育計畫總主持人、臺灣科技大學資管系特聘教授吳宗成在CYBERSEC 2024的展示區，對蕭美琴簡報教育部資安人才培育計畫的歷程，以及各期推動主軸。</p> <p>面對蕭美琴詢問：「你們計畫團隊的人才培育基地設在哪裡？」吳宗成則回答說，「人，每個參與過這個計畫的團隊成員們，就是我們的人才培育行動基地。」蕭美琴點頭並回以招牌的笑容，吳宗成認為，這應該是對我們計畫團隊過去十年來的努力給予最大的肯定。</p> <p>蕭美琴致詞時，也放下幕僚撰寫的致詞稿件，真誠分享她此次參觀導覽的心得。她表示，她不是資安領域的專家，但也意識到，臺灣比其他國家面臨更多的威脅，這也促使我們不分公私部門，都需要在資安領域做改變，也需要積極參與類似臺灣資安大會這樣的活動，可以讓各行各業、百工百業的人，可以滿足跨域的資安需求。</p> <p>蕭美琴也指出，因為資安已經是日常生活中的必須，所以我們更應該讓每個民眾都具有資安基礎知識，懂得怎麼保護自己，讓整個社會能夠提升對資安重要性的認知，「我覺得我們還有進步和努力的空間。」她說。</p> <p>在參訪的過程中，蕭美琴也觀察到，信任對於臺灣科技產業的發展是重要的，但資安卻是「信任」的基礎，像是智慧工廠等，就需要資安作為信任的基礎，才能創造更多的可能性，進而有更多的創新，並且和世界接軌。</p> <p><span style="color:#FFFF00;"><span style="font-size:28px;"><strong><span style="background-color:#696969;"> 臺灣資安大會十年有成，參與規模從一千五百人增加 </span><br /> <span style="background-color:#696969;"> 到二萬人 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1184-cover%E4%B8%BB%E6%96%87-600.JPG" style="width: 600px;" /></p> <p><span style="color:#FFFF00;"><span style="background-color:#696969;"> 本土扎根茁壯的臺灣資安大會今年來到第十屆，首度啟用南港展覽館二館一樓、四樓和七樓展場，提供更豐富的展覽和超過三百場的議程外，也有來自二十多國的海外人士參訪，韓國更有三十多家金融業者組團參訪 </span></span></p> <p><strong><span style="color:#696969;">由iThome主辦的「CyberSec 2024 臺灣資安大會」於2024年5月14日至16日假南港展覽館二館舉行，並首度使用一樓、四樓和七樓全館場地，三天總計有18軌議程、超過300場專業資安演講，以及超過400家國外資安品牌業者參與，使用超過1,300個標準展貪，展區橫跨一樓和四樓這兩個樓層。</span></strong></p> <p><strong><span style="color:#696969;">臺灣資安大會主席、iThome總編輯吳其勳致詞時表示，十年前舉辦時，臺灣資安大會參與人數一千五百人，今年已經超過二萬人，成長的幅度也代表臺灣政府民間對資安重視的程度。</span></strong></p> <p><strong><span style="color:#696969;">今年臺灣資安大會以「Generative Future」為主題，揭開AI資安新時代的來臨，也規畫許多議程，包括：AI in Cybersecurity、AI安全、AIoT & Hardware Security、Blue Team、CISO、DevSecOps、DFIR、Fraud、Privacy Enhancing Technology、SecOps、Web3、資安人才專區（Cyber Talent）、CMMC國防產業安全供應鏈、零信任資安、工控安全、攻擊型資安、供應鏈資安、金融資安、勒索軟體、產品安全、雲端安全、資安治理、資安威脅研究、資安證照與培訓等將近三十個資安主題論壇。</span></strong></p> <p><strong><span style="color:#696969;">臺灣資安大會已經成為亞太地區最大資安盛事，今年也新增五大類新的一成主題和展覽。首先，今年臺灣資安大會首度規畫全英文演講的專屬議程：CyberSec Global，將進行全天候的線上直播；其次，首度設立智慧聯網與硬體安全專區（AIoT & Hardware Security Zone），設立焦點論壇和專屬展區，探討與展示物聯網安全、5G安全、晶片安全、車聯網安全等議題與解決方案，也安排超過二十五場主題演講。</span></strong></p> <p><strong><span style="color:#696969;">第三，臺灣資安大會與Trapa Security（菱鏡公司）合作推出CyberSec Arena資安競技場，這是針對企業資安攻防實際演練的Cyber Range，會場中不僅會提供擬真演練平臺，讓參與的藍隊可以置身真實的APT攻擊情境中，也可以實機操作偵測、調查反制等資安事件的應變程序。</span></strong></p> <p><strong><span style="color:#696969;">第四，臺灣資安大會規畫「資安十年歷史牆」，綜整2015年至2024年間的資安政策、資安事件、資安技術和資安產業發展的重大里程碑，並以圖表列舉呈現，便於回顧過去、展望未來。</span></strong></p> <p><strong><span style="color:#696969;">最後，臺灣資安大會也與ISC2臺北分會合作，參與大會所有議程都可以申報ISC2 CPE持續進修時數，協助資安人員持續知識更新、有助專業發展。</span></strong></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 臺灣資安大會有20多國人士參與，韓國更有金融業者組團參加 </span></strong></span></span></p> <p><strong><span style="color:#696969;">吳其勳在第二天開場致詞時表示，今年是臺灣資安大會十周年，也臺灣體現民主、進行四年一度總統大選的一年，在520總統就職前夕，昨天有蔡英文總統到場幫大家打氣，今天則有賴副總統、未來的賴總統，連續第三年蒞臨臺灣資安大會，也讓臺灣資安大會創下史無前例，首度有前後任總統副總統蒞臨的紀錄。他說：「這也是國家資安政策，無縫接軌的最好證明。」</span></strong></p> <p><strong><span style="color:#696969;">這幾年，臺灣資安大會持續朝國際化前進，吳其勳指出，今年有好幾百位、來自二十多個國家的與會者到場參加會議，其中，像是韓國就有三十多家金融機構組成的金融資安觀摩團，成員包括韓國的重要銀行、信用卡公司、證券和保險業者，組團來臺灣參加並觀摩臺灣資安大會。他表示，這也證實，臺灣資安已經成為國際上被世界各國看到的重點。</span></strong></p> <p><strong><span style="color:#696969;">他表示，今年臺灣資安大會首度使用南港展覽館全館場地，包括一樓、四樓和七樓，三天有超過三百場演講，以及豐富的上機實作課程，參與人數從十年前的一千五百人到今年的二萬人參與，都是十年前、甚至是五年前想不到的事情。</span></strong></p> <p><strong><span style="color:#696969;">今年四樓展區，首度新增加AIoT和硬體安全展區，下午都有5G物聯網、硬體、晶片安全的豐富議程，吳其勳表示，資安可以結合臺灣半導體資通訊硬體、物聯網優勢，將是臺灣未來可期的產業發展重點。</span></strong></p> <p><strong><span style="color:#696969;">此外，他也說，四樓也首度新增資安競技場，提供大家學習並演練資安實戰的技能，可以透過實際演練了解真實世界中，中國網軍的攻擊手法，透過熟悉攻擊腳本，可以學習怎麼偵測和應變，也會於5月16日下午一點，舉辦第一屆實機攻防競賽。</span></strong></p> <p><strong><span style="color:#696969;">國際上有許多人對臺灣資安有興趣，但因為種種原因不克前來，對此，臺灣資安大會也首度成立CyberSec Globe的線上活動，全英文議程透過線上播出，希望可以讓臺灣更多優秀的人才，以及實力堅強的資安產業，都可以站上全球舞台，讓世界看到臺灣資安、讓臺灣資安走進世界。</span></strong></p> </div></div></div>
2024/5/31 06:00作者黃彥棻https://www.ithome.com.tw/news/163186
保險經紀人公司「台名」發布資安重訊，坦承遭供應鏈攻擊，外洩客戶個資，影響人數恐達5萬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼今日上午我們報導<a href="https://www.ithome.com.tw/news/163199">臺灣電腦硬體製造商「Cooler Master」傳出50萬會員個資外洩</a>的消息，到了下午我們又再注意到，國內的保險經紀人公司「台名」公布遭遇供應鏈攻擊及資料被竊取的資安事件，並坦承有個資外洩情事，提醒客戶提高警覺。這兩起事件並未有關聯，但一日兩則這樣的消息，已引起國人廣泛注目。</p> <p>關於台名保險經紀人（台名），主要從事壽險及產險的經紀業務，銷售與多家保險公司簽約的保險商品，為客戶提供多元化的保險選擇。</p> <p>今日（30日）下午15時06分，身為上櫃金融業的台名，於公開股市觀測站發布此項公司重大訊息，揭露發生資安事故。特別的是，他們表示，這次事故是供應鏈攻擊。</p> <p>而在目前因應的狀況上，台名啟動資安防護及資安盤查機制之後，已找到攻擊來源、成功阻斷攻擊行動，並永久停用該項服務元件，後續將通報主管機關。究竟是何項服務元件引發供應鏈攻擊，台名並未說明。</p> <p>此外，由於這次事件牽扯到供應鏈攻擊，是否還有更多企業也會因此遇害，是大家關心的焦點，可惜目前尚未有更多消息。</p> <p>另一值得注意的焦點是，該公司已明確表示有個資外洩情事。關於這方面的因應現況，台名指出，為提高客戶警覺，主動簡訊通知客戶事件，並同步於公司官網、FB張貼警語，提醒客戶預防詐騙的相關訊息。</p> <p>我們連到該公司網站想確認是否如他們聲稱，看到該公司確實已發布重要公告，說明該公司遭遇供應鏈攻擊，導致發生個人資料外洩事故。同時，這則公告也提醒他們的客戶，要防範不明人士要求提供個人資訊與帳號，詐騙手法可能會以電話、簡訊或加Line來匡騙消費者。</p> <p>至於這起個資外洩事件的影響範圍，台名並未清楚說明，但我們根據去年台名發布的2022年永續報告書，可以了解一些概況，當中指出與台名保經簽約合作的保險公司共33家，2022年投保總件數為72,070件、投保客戶數約53,318人。這也意味著，個資外洩人可能達5萬多人。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-05-30_165026.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-05-30_165026.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-05-30_165004.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-05-30_165004.jpg" style="width: 600px;" /></a></p> </div></div></div>
2024/5/30 18:07作者羅正漢https://www.ithome.com.tw/news/163206
針對Check Point VPN攻擊行動資安事故，兩家資安業者揭露更多細節，指出對方利用零時差漏洞取得AD帳密進行橫…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週一資安業者Check Point針對啟用VPN功能的防火牆用戶提出警告，指出<a href="https://www.ithome.com.tw/news/163141">他們上週察覺部分客戶的系統出現疑似未經授權嘗試登入的情況</a>，而且，這些存取利用電腦本機的舊帳號進行VPN連線，而這些帳號只有透過密碼進行保護。事隔數日這起事故出現新的進展。</p> <p>該公司發布相關公告後，便針對此事著手持續調查，結果隔日便再度揭露<a href="http://support.checkpoint.com/results/sk/sk182336">高風險層級的資訊洩露漏洞CVE-2024-24919</a>，並指出該漏洞存在於啟用IPSec VPN、遠端存取VPN、行動存取軟體刀鋒功能的安全閘道，<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-24919">CVSS風險評為7.5分</a>。</p> <p>這項漏洞的影響範圍，涵蓋該廠牌的網路安全閘道系統CloudGuard Network，以及網路安全解決方案<a href="https://www.ithome.com.tw/review/129286">Quantum Maestro</a>、Quantum Scalable Chassis、Quantum Security Gateways、Quantum Spark設備。Check Point也針對不同版本的網路安全設備作業系統發布修補程式，呼籲IT人應儘速套用。</p> <p>值得一提的是，該公司也對於生命週期已經結束（EOL）的版本，破例提供修補，由此可見這項漏洞相當嚴重。</p> <p>除此之外，他們也認為若是企業組織若是將安全閘道設置使用LDAP帳號，IT人員最好也要更換使用的AD帳號密碼，並防堵僅通過密碼驗證的本機帳號存取VPN系統。</p> <p>値得留意的是，雖然Check Point在5月下旬發現這起資安事故，但有其他資安業者指出，駭客很可能早在一個月前就開始嘗試利用上述漏洞。</p> <p>資安業者Mnemonic指出，<a href="https://www.mnemonic.io/resources/blog/advisory-check-point-remote-access-vpn-vulnerability-cve-2024-24919/">他們自4月30日發現客戶環境出現漏洞利用嘗試的跡象</a>，由於這項漏洞能讓攻擊者列出並搜括所有本機帳號的密碼雜湊值，尤其是包含連接AD的帳號，而有可能導致弱密碼洩露，從而允許攻擊者進一步濫用。</p> <p>雖然他們並不清楚這項漏洞的影響範圍，但根據對於相關攻擊行動的觀察，Mnemonic指出這項漏洞相當嚴重，因為利用過程完全不需使用者互動，也無須取得權限，而且很容易遠端觸發。</p> <p>研究人員看到駭客成功利用本機帳號登入後，2至3個小時內就從受害電腦取得ntds.dit，而這是儲存AD關於使用者帳號、群組、密碼雜湊值的資料庫檔案。得手上述檔案後，對方又濫用Visual Studio Code建立惡意流量隧道，藉此隱匿攻擊行動。</p> </div></div></div>
2024/5/30 15:49作者周峻佑https://www.ithome.com.tw/news/163197
【資安日報】5月30日，鎖定Check Point VPN的攻擊行動出現新的發展，兩家資安業者透露對方利用零時差漏洞挖…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定VPN服務進行大規模的帳號填充攻擊，先前有思科證實他們的用戶受害，本週一資安業者Check Point也對用戶提出警告，他們在數日前察覺相關攻擊行動並著手調查，並公布新的發現。</p> <p>該公司表示，這起事故中駭客疑似利用零時差漏洞CVE-2024-24919；另一家資安業者Mnemonic發現，相關攻擊行動4月底就有跡象，當時對方已企圖嘗試利用這項漏洞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163197"><strong style="font-size: 22px;">針對Check Point VPN攻擊行動資安事故，兩家資安業者揭露更多細節，指出對方利用零時差漏洞取得AD帳密進行橫向移動</strong></a></p> <p>本週一資安業者Check Point針對啟用VPN功能的防火牆用戶提出警告，指出他們上週察覺部分客戶的系統出現疑似未經授權嘗試登入的情況，而且，這些存取利用電腦本機的舊帳號進行VPN連線，而這些帳號只有透過密碼進行保護。事隔數日這起事故出現新的進展。</p> <p>該公司發布相關公告後，便針對此事著手持續調查，結果隔日便再度揭露高風險層級的資訊洩露漏洞CVE-2024-24919，並指出該漏洞存在於啟用IPSec VPN、遠端存取VPN、行動存取軟體刀鋒功能的安全閘道，CVSS風險評為7.5分。</p> <p>値得留意的是，雖然Check Point在5月下旬發現這起資安事故，但資安業者Mnemonic指出，他們自4月30日發現客戶環境出現漏洞利用嘗試的跡象，不過，他們並不清楚這項漏洞的影響範圍，而根據對於相關攻擊行動的觀察，Mnemonic指出這項漏洞相當嚴重，因為利用過程完全不需使用者互動，也無須取得權限，而且很容易遠端觸發。</p> <p><a href="https://www.ithome.com.tw/news/163192"><strong style="font-size: 22px;">身分驗證解決方案業者Okta針對帳號填充攻擊提出警告，自4月起有客戶成為歹徒目標</strong></a></p> <p>5月29日身分驗證解決方案業者Okta提出警告，他們確定雲端顧客身分驗證服務Customer Identity Cloud（CIC）的跨來源身分驗證功能，成為駭客鎖定的目標，並發動攻擊。但究竟有多少用戶受到影響，該公司並未進一步說明。</p> <p>他們自4月15日開始，察覺到可疑活動，該公司發現用於支援跨網域身分驗證功能的端點出現異常，有人嘗試使用大量使用者名稱及密碼進行帳號填充（Credential Stuffing）攻擊，對此，他們已通知受到影響的客戶。</p> <p>針對這起攻擊事故，Okta呼籲IT人員應檢查事件記錄是否出現預期之外的特定類型事件，例如，跨來源身分認證失敗（Failed cross-origin authentication，FCOA）、跨來源身分認證成功（Successful cross-origin authentication，SCOA），以及有人嘗試用弱密碼登入（pwd_leak）。</p> <p><a href="https://www.ithome.com.tw/news/163194"><strong style="font-size: 22px;">美國售票平臺Ticketmaster遭駭客入侵，5.6億客戶資料流入暗網</strong></a></p> <p>駭客集團Shiny Hunters近日於BreachForums論壇兜售1.3 TB的資料，標價50萬美元，宣稱這批資料來自售票平臺Ticketmaster，涉及5.6億名使用者。</p> <p>資安新聞網站Hackread指出，這批資料包含大量的機密資訊，包括姓名、住址、電子郵件位址、電話號碼、票券銷售及活動細節、訂購資訊，以及部分的支付卡資料，包括姓名、卡片後四碼與到期日。</p> <p>根據澳洲媒體ABC News報導，澳洲內政部已確定這批資料外流的原因，就是Ticketmaster遭駭。不過，迄今該公司並未針對此事公開說明。</p> <p><a href="https://www.ithome.com.tw/news/163199"><strong style="font-size: 22px;">臺灣電腦硬體製造商Cooler Master傳出資料外洩，50萬會員個資流出</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/samples-of-stolen-data-cooler-master.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/samples-of-stolen-data-cooler-master.jpg" style="width: 300px; float: right;" /></a>以製造電腦機殼、散熱裝置而聞名的臺灣電腦周邊設備製造商酷碼科技（Cooler Master），近期有駭客聲稱竊得內部資料，並公布部分資料，意圖尋找買家。自稱為Ghostr的人士向資安新聞網站Cybernews、Bleeping Computer透露，他們在5月18日成功入侵Cooler Master的網站，竊得103 GB資料。這批資料包含了公司、供應商、銷售、保固、盤點、人力資源的資料，並包含50萬名註冊Fanzone帳號的客戶資料。</p> <p>這些新聞網站比對駭客提供的部分資料之後，認為很有可能取自Fanzone網站，而且應該是真實資料，但當中並未發現對方宣稱的信用卡資料。</p> <p><a href="https://www.ithome.com.tw/news/163183"><strong style="font-size: 22px;">勒索軟體ShrinkLocker濫用BitLocker加密電腦，導致電腦無法進入作業系統</strong></a></p> <p>資安業者卡巴斯基揭露勒索軟體ShrinkLocker的攻擊行動，該惡意程式濫用Windows作業系統內建的磁碟加密保護措施BitLocker，透過這項功能對檔案進行加密，目前已知有墨西哥、印尼、約旦的企業組織受害。</p> <p>駭客濫用BitLocker發動攻擊，從而將檔案加密的情況，過往已發生數起，但這起事故特別之處，在於攻擊者運用過往未曾出現的手法，不僅加密了整個磁區，還將解密金鑰拿走，從而提高攻擊造成的破壞威力。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.sonatype.com/blog/pypi-crypto-stealer-targets-windows-users-revives-malware-campaign"><strong style="font-size: 20px;">Stack Overflow遭到濫用，攻擊者假借回答問題散布惡意程式</strong></a></p> <p>◆<a href="https://www.proofpoint.com/us/blog/threat-insight/security-brief-sing-us-song-youre-piano-scam"><strong style="font-size: 20px;">北美大學師生遭到鎖定，駭客聲稱提供免費鋼琴寄送釣魚郵件</strong></a></p> <p>◆<a href="https://harfanglab.io/en/insidethelab/allasenha-allakore-variant-azure-c2-steal-banking-latin-america/"><strong style="font-size: 20px;">巴西銀行用戶遭到金融木馬AllaSenha鎖定</strong></a></p> <p>◆<a href="https://www.netskope.com/blog/phishing-with-cloudflare-workers-transparent-phishing-and-html-smuggling"><strong style="font-size: 20px;">駭客濫用Cloudflare Workers從事透明網路釣魚、HTML挾持攻擊</strong></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163191"><strong style="font-size: 22px;">全球執法單位聯手拆除專門綁架個人電腦的大型殭屍網路911 S5，近2千萬裝置遭到控制</strong></a></p> <p>5月29日美國司法部宣布，他們與新加坡、泰國、德國執法機構合作，拆除專門綁架個人電腦的大型殭屍網路911 S5，此殭屍網路的經營者，藉由盜版軟體或盜版遊戲做為誘餌，並在其中嵌入惡意VPN程式來感染個人電腦，估計範圍橫跨全球190個國家，有超過1,900萬臺裝置遭駭，駭客再出售這些裝置存取權，供網路罪犯用來進行各式各樣的犯罪行動。</p> <p>美國聯邦調查局（FBI）指出，911 S5從2014年5月上線，在2022年7月停止運作，但在2023年10月更名為Cloudrouter重新上線。他們與多國執法單位採取行動，針對專門經營、管理該殭屍網路的中國人YunHe Wang，扣押了價值逾3千萬美元資產、23個網域名稱、逾70臺伺服器，成功擊潰了Cloudrouter，並關閉惡意後門。</p> <p>對此，美國財政部對於YunHe Wang、負責洗錢的Jingping Liu，以及協助置產的Yanni Zheng進行制裁。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://www.ithome.com.tw/news/163171"><strong style="font-size: 20px;">GitHub加速器資助11個開源AI專案，涵蓋普及化、資安、當責應用</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163184"><strong>【5月29日】精品拍賣業者佳士得遭到勒索軟體駭客組織RansomHub攻擊，50萬筆客戶個資可能外流</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163150"><strong>【5月28日】Check Point針對啟用VPN服務防火牆的用戶提出警告，有人企圖透過電腦本機舊帳號入侵</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163136"><strong>【5月27日】中東、非洲、亞洲政府機關遭中國駭客長期從事網路間諜攻擊行動並散布後門程式</strong></a></p> </div></div></div>
2024/5/30 17:27作者周峻佑https://www.ithome.com.tw/news/163201
臺灣電腦硬體製造商Cooler Master傳出資料外洩，50萬會員個資流出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以製造電腦機殼、散熱裝置而聞名的臺灣電腦周邊設備製造商酷碼科技（Cooler Master），近期有駭客聲稱竊得內部資料，並公布部分資料，意圖尋找買家。</p> <p>自稱為Ghostr的人士向資安新聞網站<a href="https://cybernews.com/news/cooler-master-data-breach/">Cybernews</a>、<a href="https://www.bleepingcomputer.com/news/security/cooler-master-hit-by-data-breach-exposing-customer-information/">Bleeping Computer</a>透露，他們在5月18日成功入侵Cooler Master的網站，竊得103 GB資料。這批資料包含了公司、供應商、銷售、保固、盤點、人力資源的資料，並包含50萬名註冊Fanzone帳號的客戶資料。</p> <p>由於該公司的Fanzone網站用途，是提供客戶登錄產品以便取得相關保固、申請退貨授權（RMA）、聯絡客服請求支援的管道，賣家聲稱掌握了這些會員的個人資料，包含姓名、地址、生日、電話號碼、電子郵件信箱，以及明文的信用卡資料，當中包含信用卡卡號、有效日期，以及3位數的授權碼。</p> <p>Ghostr向資安新聞網站透露，這些資料的來源，是Cooler Master其中一個面向公眾的網站，他們對該公司進行勒索，但沒有得到回應。</p> <p>這些新聞網站比對駭客提供的部分資料之後，認為很有可能取自Fanzone網站，而且應該是真實資料，但當中並未發現對方宣稱的信用卡資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/samples-of-stolen-data-cooler-master.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/samples-of-stolen-data-cooler-master.jpg" style="width: 580px;" /></a></p> <p>對此，駭客表示他們將兜售這批資料，但尚未決定<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">價格</span>。</p> <p>但究竟這批資料是否來自Cooler Master？我們也進一步向酷碼科技進行確認，在截稿之前並未得到回覆，而在Cooler Master的網站與X、臉書等社群平臺，也尚未對此提出說明。巧合的是，我們發現，Fanzone網站出現無法申請新帳號的情況。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NUq5IyIi6k.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/NUq5IyIi6k.png" style="width: 580px;" /></a></p> </div></div></div>
2024/5/30 16:33作者周峻佑https://www.ithome.com.tw/news/163199
台灣大哥大與Line、inline聯手，瞄準餐飲業者推出AI語音訂位服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對中小型餐飲業者而言，在營業忙碌時要額外撥出人力接聽訂位電話，在少子化缺工下已逐漸形成不小的工作負擔，看準這項需求，台灣大哥大與Line、碩網資訊、inline合作，共同推出AI語音預約訂位服務，結合聊天機器人、生成式AI，來協助處理顧客來電訂位。</p> <p>AI預約訂位服務結合台灣大哥大的行動市話服務，讓手機能夠接聽市話來電，並結合碩網資訊的語意辨識、語音合成技術，Line的Clova聊天機器人，以及inline的線上訂位服務，讓商家不需要撥出人力接聽訂位電話，消費者撥打市話或Line Call來電，自動由AI協助完成線上訂位。</p> <p>舉例來說，當消費者透過Google Map撥打電話給商家，如果商家設定好Line Call來電，來電就會由AI應答，消費者只要以自然的口語說出想要預訂用餐，例如5月30日晚上7點，4大2小，AI就會自動與消費者問答，逐步完成訂位相關訊息，並通過inline線上訂位，完成後透過Line發送成功訂位的相關資訊給消費者。</p> <p>現場示範消費者致電餐廳訂位，由AI自動接聽電話，消費者與AI間透過如同真人的對話方式，確認訂位的日期、時間、人數，最後由Line發送成功訂位的資訊給消費者。</p> <p>如果消費者是以市話來電訂位，同樣會由Line聊天機器人協助訂位，並在成功訂位後發送訂位資訊。台灣大哥大強調，在AI協助下，60秒內就能完成訂位，AI語音訂位服務除了可接受消費者訂位，還包括查詢訂位資訊、修改訂位、取消訂位。</p> <p>負責系統整合的碩網資訊DIC數位研發中心執行副總經理暨董事江明洋表示，AI語音訂位採用碩網基於Google語音及語意辨識技術，以及微軟的語音合成技術，單純的訂位需求由Line Clova聊天機器人協助處理inline線上訂位。除了運用Line聊天機器人技術及社群平臺，也導入生成式AI，例如消費者在訂位時，附帶提問用餐相關問題，例如店家周邊停車資訊、用餐時間限制、兒童用餐、座位等用餐環境相關問題，會由ChatGPT 3.5判斷應答。</p> <p>為了避免ChatGPT回應錯誤的訊息，碩網預先訓練ChatGPT應答資料，如果遇到特殊問題，ChatGPT判斷無法回答時，則會轉交真人接聽或Line一對一回應。</p> <p>目前Line的Clova聊天機器人技術，在國內已有一些銀行、美妝品牌運用，主要用於應對顧客服務，此次與台灣大哥大、碩網資訊、inline的合作，節省餐廳處理顧客來電訂位的負擔。台灣大哥大透露，未來不只是餐廳訂位，AI預訂服務也能被應用到更多的其他服務。</p> <p>目前餐廳業者使用AI語音預約訂位服務，需要支付台灣大哥大行動市話服務月租費，另外，由於該服務需搭配inline的線上訂位服務，商家不能選擇使用既有線上訂位系統，還需要額外支付inline服務費用。</p> </div></div></div>
2024/5/30 16:52作者蘇文彬https://www.ithome.com.tw/news/163200
身分驗證解決方案業者Okta針對帳號填充攻擊提出警告，自4月起有客戶成為歹徒目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月29日<a href="https://sec.okta.com/articles/2024/05/detecting-cross-origin-authentication-credential-stuffing-attacks">身分驗證解決方案業者Okta提出警告</a>，他們確定雲端顧客身分驗證服務Customer Identity Cloud（CIC）的跨來源身分驗證功能，成為駭客鎖定的目標，並發動攻擊。但究竟有多少用戶受到影響，該公司並未進一步說明。</p> <p>他們自4月15日開始，察覺到可疑活動，該公司發現用於支援跨網域身分驗證功能的端點出現異常，有人嘗試使用大量使用者名稱及密碼進行帳號填充（Credential Stuffing）攻擊，對此，他們已通知受到影響的客戶。</p> <p>針對這起攻擊事故，Okta呼籲IT人員應檢查事件記錄是否出現預期之外的特定類型事件，例如，跨來源身分認證失敗（Failed cross-origin authentication，FCOA）、跨來源身分認證成功（Successful cross-origin authentication，SCOA），以及有人嘗試用弱密碼登入（pwd_leak）。</p> <p>假若企業組織採用跨來源身分驗證的功能，並在4月出現SCOA事件大幅增加的現象，或是身分驗證失敗比例顯著增加，那麼就很有可能是駭客這次攻擊的目標。</p> <p>值得留意的是，即是沒有採用跨來源身分驗證機制，企業組織還是有可能成為目標。Okta指出，如果這些組織出現SCOA或FCOA事件，那代表有可能也遭遇相關攻擊。</p> </div></div></div>
2024/5/30 12:35作者周峻佑https://www.ithome.com.tw/news/163192
Cloud周報第200期：金色三麥率先在客服導入GenAI技術，協助顧客回饋分析與歸納快速修正改善
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞（05/16～05/22）</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 紅帽 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> RHEL </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">紅帽推出開源生成式AI平臺RHEL AI，可在混合雲開發、測試和部署GenAI模型</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(7)(1).png" style="width: 600px; height: 263px;" /></p> <p>除了推出基於混合雲平臺OpenShif t所打造的混合雲MLOPs平臺OpenShift AI，紅帽近日還推出了可在混合雲開發、測試和部署生成式AI模型的開源AI平臺RHEL AI（Red Hat Enterprise Linux AI）。</p> <p>RHEL AI是紅帽基礎架構模型平臺，其中包含IBM研究院開源的LLM模型Granite及相關開發工具，也涵蓋了PyTorch等主流AI開發框架，並針對Nvidia、Intel和AMD硬體進行優化。RHEL AI被打包成一個RHEL映像檔，可在混合雲單一伺服器上部署。此外，RHEL AI也將整合進OpenShift AI中，能夠在分散式叢集環境中進行大規模部署。</p> <p>除了提供企業級技術支援外，紅帽強調，如果使用其平臺導致智慧財產權糾紛，紅帽將承擔相關賠償責任。</p> <p>紅帽也為OpenShift AI增加了更多功能，例如，在2.9版本中，用戶可以使用單節點的OpenShift將AI模型部署到更靠近數據的邊緣環境。同時，增強的模型服務可以使用多臺模型伺服器來支援GenAI模型推理，並且支援Kubernetes上的標準化無伺服器機器學習推論平臺KServe。</p> <p>紅帽企業Linux AI將以開發者預覽版的形式推出，預計在未來幾個月內全面上市。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端GenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金色三麥 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">金色三麥在客服部門導入雲端GenAI，協助顧客回饋分析與歸納快速修正改善</span></strong></p> <p>GenAI正夯！不只是如金融、高科技等大型企業，臺灣開始有傳統產業試用雲端GenAI服務來提升營運效率和改善服務品質，例如金色三麥餐飲就是其中一家，他們近期開始將GenAI技術導入客服部門，來協助分析顧客回饋快速修正改善。</p> <p>過去，金色三麥平均每月要處理超過3萬則顧客的意見回饋，包含紙本、客服與網路管道，光是在瀏覽和整理這些顧客回饋就需要大量人力，給客服人員帶來不少負擔。為了解決這個問題，金色三麥利用AWS生成式AI基礎模型平臺Bedrock的大型語言模型Anthropic Claude 3，搭配提示工程開發出顧客評論LLM助手，相較於傳統人工整理，只需約3∼5分鐘就能歸納所有來源的顧客評論，有效節省時間和人力，同時使金色三麥更快採取行動、改善服務品質，提升顧客體驗。</p> <p>除了引進GenAI技術之外，金色三麥今年初打造一套雲端輿情分析系統，這套系統使用AWS Glue無伺服器資料整合平臺將所有資料彙整及清理，並載入到S3儲存服務中，作為基礎模型推論服務的資料使用。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">GPT-4o </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟Azure OpenAI服務新增預覽GPT-4o模型，能增強顧客服務、進階分析及內容創新</span></strong></p> <p>在GPT-4o模型推出以後，微軟跟進宣布在Azure OpenAI Service服務中以預覽提供OpenAI最新的多模態GPT-4o模型。這款新模型在視覺及聲音理解能力有了顯著提升，甚至還可以懂得看人臉色，以更自然的方式與使用者進行互動和對話。</p> <p>跟現有GPT-4相比，Azure強調，GPT-4o模型可以用來增強顧客服務、提供更進階的分析，以及內容創新。</p> <p>企業現在可以在Azure OpenAI服務的Chat Playground中預覽試用GPT-4o模型。不過目前該模型僅支援文字和影像輸入，並不包含音訊輸入功能，且僅開放Azure在美國兩個地區的用戶使用，其他地區暫時無法使用。。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 高層人事異動 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS執行長Adam Selipsky即將下臺，由AWS全球銷售及行銷老將Matt Garman執掌兵符</span></strong></p> <p>雲端龍頭亞馬遜AWS近日公布高層人事異動，Adam Selipsky在擔任AWS執行長3年後將於6月離職，由現任AWS行銷、業務暨全球服務資深副總裁Matt Garman升任執行長。新的人事命令將自6月3日生效。</p> <p>在位3年之中，在Selipsky帶領下，AWS發表多項重要AI產品及平臺，包括創立AI模型開發平臺Bedrock及生成式AI助手Amazon Q，以及推出Amazon自有AI晶片Trainium等。</p> <p>即將上任的Matt Garman和Selipsky有著不少相似之處，兩人都在2005左右加入AWS，並且都有過豐富的銷售、行銷的歷練。不過，Matt Garman在運算服務方面的經驗更豐富，在17年間中，他擔任過EC2產品經理，並推出與EC2搭配使用的EBS區塊儲存服務。此外，他還在2016成為AWS運算服務的總經理，直到2020年，Matt轉入AWS需求生產部門，負責全球銷售、行銷、支援和專業服務。。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Google Cloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 服務中斷 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">澳洲退休基金Unisuper因Google Cloud內部錯誤配置誤刪其帳戶，長達一周服務中斷</span></strong></p> <p>近日，Google Cloud因為錯誤配置不小心將一家澳洲退休基金Unisuper的GCP雲端帳戶誤刪除，使得Unisuper服務中斷長達一周，超過50萬名會員無法存取自己的帳戶。所幸，Unisuper透過第3方備分最終恢復服務。</p> <p>這起雲端帳戶誤刪事故是發生在本月5月2日，由於Google Cloud內部無意的錯誤配置所導致，不僅造成Unisuper的訂閱帳戶遭刪除，同時其位於2個GCP服務區域的資料複本也被刪而無法發揮備援效果，導致其服務中斷。</p> <p>雖然Google事後表示，這種錯誤以前從未在雲端上發生過，強調將採取措施確保這種情況不再發生。但這起事件也凸顯了在雲端時代，建立跨雲資料備分的重要性，企業和政府上雲時不能將所有資料和服務都集中在同一朵雲上，而應該考慮多雲戰略，以降低單一雲端帳戶發生問題的風險。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">TPU </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google Cloud第6代雲端TPU問世，運算效能增長4.7倍</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(4)(1).jpg" style="width: 600px; height: 472px;" /></p> <p>近日在Google I/O大會上，Google Cloud發表了名為Trillium的第6代雲端TPU，其每個核心的峰值運算效能比TPU v5p增加4.7倍，效率比TPU v5p高出67%。</p> <p>第六代的Tr i l l i u m 在高頻寬記憶體（HBM）的容量與頻寬都提高了一倍，晶片互連頻寬也提高一倍，同時配備SparseCore加速器，專門用來處理高階排序及推薦任務。</p> <p>Trillium在單一的Pod中最多可擴展到256個TPU，並可藉由多層技術及Titanium智慧處理單元拓展至數百個Pod，可造就連結數十萬個晶片的超級電腦架構，以支援高性能運算任務。</p> <p>除了用來訓練與服務未來的Gemini模型之外，Trillium TPU也會成為Google Cloud的AI Hypercomputer超級電腦服務的底層基礎。</p> <p> </p> <p>圖片來源／Google</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.Azure入口網站7月開始強制啟用多因素驗證，強化雲端安全防護</strong></p> <p><strong>2.Gemini模型家族再添新成員，GCP推出更高效Gemini 1.5 Flash</strong></p> <p><strong>3.美國納斯達克計畫導入雲端GenAI用於加強全球交易市場的監控</strong></p> <p><strong>4.WS將在德國投資高達78億歐元建造AWS歐洲主權雲</strong></p> <p><strong>資料來源：iThome整理，2024年5月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/5/30 14:29作者余至浩https://www.ithome.com.tw/news/163196
售票平臺Ticketmaster傳遭駭客入侵，5.6億客戶資料流入黑市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客集團Shiny Hunters近日於Breach Forums上兜售1.3T的資料，宣稱資料來自售票平臺Ticketmaster，涉及5.6億名使用者，標價50萬美元。根據澳洲媒體<a href="https://www.abc.net.au/news/2024-05-29/ticketmaster-hack-allegedlyshinyhunter-customers-data-leaked/103908614" target="_blank">《ABC News》</a>的報導，澳洲內政部已確定Ticketmaster遭駭，不過，Ticketmaster迄今尚未回應任何媒體的詢問。</p> <p>Ticketmaster是美國最大的票務銷售平臺，業務遍及全球多個國家，它曾經出現許多爭議，包括票價不透明；曾在2020年被指控非法存取競爭對手的系統；於2022年11月銷售Taylor Swift巡迴演唱會門票的第一天就當機，隔年才坦承當時是遭到機器人大軍攻擊；還在上周遭美國司法部控告該公司違反反壟斷法，司法部企圖切割其Ticketmaster票務系統與活動推廣及場地營運Live Nation服務。</p> <p>資安媒體<a href="https://hackread.com/hackers-ticketmaster-data-breach-560m-users-sale/" target="_blank">《Hackread》</a>指出，Shiny Hunters宣稱存取Ticketmaster的用戶資料庫，取得了大量的機密資訊，包括姓名、住址、電子郵件位址、電話號碼、票券銷售及活動細節、訂購資訊，以及部分的支付卡資料，包括姓名、卡片後四碼與到期日。</p> <p>由於Ticketmaster也在澳洲提供服務，《ABC News》報導，澳洲內政部正與Ticketmaster接洽以了解此事。</p> <p>Shiny Hunters以竊取資料著稱，曾在2020年於黑市<a href="https://www.ithome.com.tw/news/137529" target="_blank">狂賣</a>11家企業的用戶資料，涉及1.6億名使用者，當中有超過9,000萬筆資料來自印尼最大的電子商務網站Tokopedia。</p> </div></div></div>
2024/5/30 13:40作者陳曉莉https://www.ithome.com.tw/news/163194
OpenAI開放自製GPTs、GPT-4o給免費版ChatGPT用戶存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI近日開放免費版ChatGPT用戶也能存取自製GPTs（Custom GPTs）服務及GPT-4o。</p> <p>Custom GPTs是OpenAI去年11月開放的服務，允許開發人員開發特定專業領域或主題的ChatGPT。自製GPTs的設計會搭配收費機制及分享市集，目的在讓開發人員除了分享成果，也能獲取報酬。Custom GPTs已經有分享平臺GPT Store，涵括教育、登山健行、教育及設計等類別。<a href="https://www.ithome.com.tw/news/162852" target="_blank">GPT4o</a>則是本月才公布的多模態大型語言模型，能理解文字、影像，還能說話、唱歌，表現情緒。</p> <p>Custom GPTs Store和GPT-4o原本只提供付費版（Plus、Teams和Enterprise）ChatGPT用戶存取，不過現在也開放給了免費版用戶。OpenAI沒有發出公開新聞稿或官方部落格文章宣布此事。但是在<a href="https://community.openai.com/t/when-will-custom-gpts-and-the-gpt-store-be-available-to-free-users/750632/3" target="_blank">OpenAI用戶討論區</a>中，有多名用戶原有或剛註冊的免費帳號，都被引導使用這些服務，最早二周前就可以開始使用。</p> <p>但<a href="https://www.theverge.com/2024/5/29/24167436/chatgpt-4o-custom-gpts-free" target="_blank">《The Verge》</a>報導，付費用戶還多了一點特權，像是不受流量及收發訊息限制。免費版用戶使用GPT-4o一旦發送訊息到了上限，就會自動降為GPT 3.5。</p> <p>OpenAI近來一方面加速業務版圖，像是傳聞獲得蘋果可能在裝置端採用其技術，以及<a href="https://www.pwc.com/us/en/about-us/newsroom/press-releases/pwc-us-uk-accelerating-ai-chatgpt-enterprise-adoption.html" target="_blank">本周宣布</a>簽下知名科技顧問業者PwC 10萬員工為其用戶，及擔任其首個經銷商。另一方面卻身陷爭議，包括近日GPT4o的AI助理Sky遭到美國女星Scarlett Johansson<a href="https://www.ithome.com.tw/news/162990" target="_blank">抗議未經同意</a>使用其聲音引發侵權爭議，以及近日被前員工批評為追求技術創新忽略安全。</p> </div></div></div>
2024/5/30 13:52作者林妍溱https://www.ithome.com.tw/news/163195
AI代理人的機會與考驗
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年微軟Build大會有場GAI開發工具新功能的演講，格外讓我印象深刻，再次擴大了我對GAI應用可能性的想像！講者舉了Copilot最新代理能力的三種應用場景，IT求助桌、新人上手助教和第三種「私人門房」，以第三種最讓我驚艷。</p> <p>AI代理可以扮演一位私人專屬的數位門房，當你收到一封來自客戶下單買東西的Email，不用等到自己讀信，就會先觸發了AI代理Copilot。這隻AI代理，先看懂信中的「訂購」意圖，彙整信中提供的訂購資訊，建立一張新的服務訂單。查了一下CRM，發現這名顧客帳戶是熟客後，就調出他過往的訂購紀錄，也參考了過去的訂購對話，補齊更多下單需要的資訊細節，再同步比對庫存系統中的商品數量，最後，AI代理彙整了這些行動得到的資訊，將顧客來信轉成了一份真正的訂單，並產生一封訂單確認信，寄回給顧客確認細節，問對方是否滿意。一但收到對方確認無誤的回信後，AI代理就可以真正送出這份訂購單，交給出貨部門接手。</p> <p>在這個過程中，原本要負責處理訂單Email的真人業務員，幾乎可以完全不用動手。AI代理以這名業務人員的身分（因為從他的筆電上，以他的帳號來行動）來閱讀信件，查詢CRM、建立新訂單、回信給顧客、送出訂單。真人業務頂多只需要在寄給顧客確認訂單之前，多看一眼（金額不高的話，甚至可以不用看）。</p> <p>這個私人門房的場景，不只是業務人員訂單，只要是經常用Email溝通的辦公人員，都可以建立不同「用途」的AI代理，自動在背景處理不同類型的信件。甚至不只Email，即時通訊軟體、社群平臺等不同數位通路上，都可以設立不同的AI代理，作為來訊處理的私人門房。</p> <p>今年兩大公雲巨頭，<a href="https://www.ithome.com.tw/news/162605" target="_blank">Google</a>、微軟在年度大會上，都開始強調AI代理是GAI應用的新主流，兩家的AI開發工具也要開始支援這類應用的打造。不過，單從「AI代理可以用你的身分來採取行動」，這麼簡單的一句話，很難具體想像，有哪些實際可能的應用。這場演講提到的私人門房場景，一下子就打開了我的想像空間，各種可能的商用機會點子，不斷冒出來。</p> <p>代替你的身分行事的作法，並不稀奇，企業常見的RPA腳本機器人也能做到，但是，LLM所打造的AI代理，最大的突破是能判斷人類的意圖，可以進行簡單的推理和技術，打破了過去「靠一套固定規則來行動」的RPA代理模式，才成為更具智慧的AI代理。</p> <p>但是，從另一個角度來思考，若是惡意程式，變成了惡意的AI代理，那又會如何？</p> <p><a href="https://www.ithome.com.tw/news/162989" target="_blank">新亮相的AI PC</a>，在本機端內建了NPU，微軟新的Windows Copilot Runtime也要將具備推理和理解能力的小模型SLM，內建到OS層級的函式庫中。惡意AI代理程式一旦有機會植入到AI PC上，只需呼叫本機端GAI API，就能「暗中」運用推理能力，慢慢計畫嘗試各種滲透，甚至以你的身分進入企業內部應用，竊取機敏資料。過去，只有熟諳APT技巧的資深駭客才能做到的事，隨著AI代理能力越來越強，這類惡意AI代理的威脅性，也相對比過去更高。</p> <p>企業如何發現這些更懂得匿蹤、更擅長滲透的惡意AI代理，只能靠隨時觀察企業內網種種可疑行為，才能及時發現。在今年臺灣資安大會主題演講中，奧義智慧科技創辦人<a href="https://www.ithome.com.tw/news/162869" target="_blank">邱銘彰（Birdman）回顧十年資安發展</a>，他強調：「雲端時代的戰場，不再是端點，而是各式各樣的工作流程中的身分風險。」</p> <p>Birdman更歸納了資安典範的轉移，從過去以「了解敵人」的「什麼不能出現的Security典範」，現在變成了企業得「了解自己」的「什麼不該出現的Safety典範」。這一席話正點出了對抗惡意AI代理的關鍵策略。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai%E4%BB%A3%E7%90%86">AI代理</a></div></div></div>
2024/5/30 12:59作者王宏仁https://www.ithome.com.tw/voice/163193
【臺灣資安大會直擊】三款繁中LLM用於資安可行嗎？奧義手把手實測分析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不論是服務業、金融、醫療還是零售，大型語言模型（LLM）應用幾乎在各項領域遍地開花，資安也不例外。但，與大部分產業一樣，在資安領域使用LLM，也有不少先天條件要滿足，才能真正提高工作效率。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>LLM用於資安領域的3大條件</strong></span></span></p> <p>奧義智慧科技資料科學家陳樞元在臺灣資安大會上就舉例，若將日常使用的ChatGPT用於資安領域，首先會有「隱私的隱憂。」尤其OpenAI在今年1月31日實施新隱私政策，表明會收集使用者內容等個人資訊，如提問中的地址，就有資訊洩漏的風險。</p> <p>再來，「ChatGPT的安全機制設計，常拒絕回答資安問題！」陳樞元說明，比如提問「有什麼專門用於散布惡意軟體的服務出現嗎？」，ChatGPT會回答「我很抱歉，但我不能提供任何有關散布惡意軟體的信息...（略）」。這個限制，讓資安人員難以透過ChatGPT取得所需訊息。</p> <p>既然如此，開發者用Llama這類開源LLM，自行打造為資安助理可行嗎？</p> <p>「答案是不行。」因為，這類開源LLM的繁體中文訓練極少，比如BLOOM所用的中文訓練資料占比為16.2%，繁體中文資料只占0.05%，因此模型容易給出簡體中文回答或用語，不符合臺灣使用情境。這也意味著，開發者得先用繁體中文資料優化模型，讓模型學會繁中用語，才適合產業應用。</p> <p>綜合起來，LLM要用於資安助理，得先兼顧隱私性、資安背景知識和臺灣本土文化這3大條件才行。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>選定3種繁中LLM，建置QA集和評估指標</strong></span></span></p> <p>於是，陳樞元看上3個已用繁中資料優化、具備臺灣文化的LLM，並評估這些模型在資安領域的適用性。她強調，這個評估只限資安領域，規模就像是個小實驗，並非學術研究，且評估模型為去年12月底的最新70億參數（即7B）版本。</p> <p>這3個本土化繁中LLM包括國科會TAIDE模型（b.11.0.0版）、奧義自建的CyCraftGPT模型（CyCraftGPT-V5版）以及臺大資工系陳緼儂師生團隊的Taiwan LLM（7B-v2.1版）。</p> <p>其中，TAIDE由國科會領軍打造，以Llama 2模型為基礎，採用辭典、法規資料庫、學術會議論文摘要等政府公開繁中資料優化而成。CyCraftGPT則是奧義專為臺灣資安情境打造的模型，以Mistral-7B模型為基礎，以繁中資安資料訓練而成。至於Taiwan LLM也以Llama 2為基礎，使用社群媒體、時事新聞和法律文件等繁中資料優化而成。</p> <p>而評估流程，則由陳樞元建立資安問答集，讓模型針對問答集的問題來回答，最後透過Flask框架來評分模型回答。值得注意的是，此處的Flask框架並非開發界常見的Python套件包，而是去年才推出的模型回答評分框架。</p> <p>於是，為建立資安問答集，陳樞元先用GPT-4，將國外新聞網站The Register的資安類英文新聞翻譯成繁體中文，並人工檢查翻譯品質。無誤後，再輸入提示，讓GPT-4生成繁中資安QA資料集。在這個步驟中，陳樞元提示要求GPT-4扮演2個角色，首先是民眾角色，要根據資安新聞提出問題，再由另一個專家角色，來根據新聞和民眾提問回答問題。如此，就能產生一組問答，累積起來就組成一個問答集。當然，提示也要求GPT-4必須使用繁體中文回答，不得出現簡中內容。</p> <p>最後，陳樞元用這個方法產生了50筆問答資料，也因為量不多，她可以人工檢驗每筆資料，比如是否皆為繁中。她點出，用GPT-4產生資料集有2個好處一是效率高，不需人工干預、只要有新聞資料就能生成資料集，再來，也正因為使用新聞驗證的資料，正確性也高。</p> <p>除了資料集的準備，她也修改了評分專用的Flask框架，將原本只適用於英文內容評分的Flask，調整為可對繁體中文內容分析。</p> <p>至於Flask如何運作，可把它想像為評審員，其心目中最理想的答案就是問答集中的答案，以此來對不同模型產出的回答評分。不只如此，Flask評分也要有評分指標與基準，陳樞元因此根據臺灣資安領域特性，調整既有指標，設定出事實性、隱私性、執行力、無害性、簡潔性和本土化等指標。</p> <p>接著，Flask會根據這些指標，來對模型答案給出1至5分的評分和評語，來解釋評分的原因。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>繁中LLM的資安應用實測</strong></span></span></p> <p>在實測階段，陳樞元用資料集的所有問題來評估這3款繁中LLM。她現場也以一組標準QA為例，來分享模型的回答表現。這個例子的標準問答是「組織如何保護K8s叢集，不被Siloscape這樣的惡意軟體攻破？」與「...（略）包括適當限制節點的權限、使用多因素驗證和最新的security patch，並定期進行安全檢查...（略）」。</p> <p>首先，以CyCraftGPT來說，它的回答重點為使用安全工具，如CloudHealth Secure State提供的K8s清單和叢集建構圖標、使用eBPF技術從節點收集訊號等。它的評分為簡潔性3分、事實性4分、執行力3分、無害性和隱私性各5分。Flask說明評分，就事實性來說，回答中的工具和技術都是實際存在的，不過CyCraftGPT並未提到如何具體使用這些工具或技術的細節，因此少了1分。</p> <p>以TAIDE而言，則給出冗長回答，且回答中包含許多難辨真假的英文簡寫，也會給出重複的答案，比如建議措施有「使用最新版本的K8s軟體和所有相關元件」、「確保所有元件（包括K8s、容器、作業系統等）處於最新狀態」等。Flask評分為簡潔性3分、事實性1分、執行力1分、無害性1分、隱私性5分，其中事實性的分數說明點出，TAIDE提到一些不存在的工具和概念，如RunCIF、Kubeboost等。</p> <p>至於Taiwan LLM也給出長篇答案，回答中的7項建議作法，僅有2項正確。Flask評分為簡潔性2分、事實性1分、執行力1分、無害性和隱私性各5分，其事實性評分說明，模型給出的「Siloscape是一家開源安全公司」說法並不正確，應為惡意軟體，且回答中的一些措施現實中並不存在，如處理器密集部分（PCP）技術。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>3大繁中LLM用於資安的優劣勢</strong></span></span></p> <p>經過各個QA測試，陳樞元總結這3大繁中LLM應用於資安的表現和優劣勢。就6大指標表現來說，TAIDE的事實性分數為3者中最高，其次是CyCraftGPT和Taiwan LLM。不過，隱私性和無害性分數排名則倒過來，Taiwan LLM最高，CyCraft GPT以些微差距居次。執行力部分則由TAIDE領先，簡潔性和本土性由CyCraft高分居冠。</p> <p>她也以個別模型細說，首先，TAIDE語句順暢、內容詳細，並未使用簡體字，但回答冗長，通常有10條條列式答案，有時會全英文回答，並有大陸用語出現（21/50），如信息、黑客、接口等。因此她認為，TAIDE適用於提供條列式、資安方面的詳細解說。</p> <p>至於CyCraftGPT，一樣語句順暢、沒有簡體字，少有大陸用語（3/50），內容簡短明確，但也因此缺少證據佐證。陳樞元點出，CyCraftGPT這些特性適合提供語句式、資安領域的大綱與簡介。</p> <p>Taiwan LLM雖沒出現簡體字，但語句偶爾不通順、有較多大陸用語（39/50）、回答冗長，且回答時偶爾重複一樣的內容。陳樞元表示，該模型在資安領域的大陸用語很多，且容易答錯，因此應用於資安領域，需斟酌三思。</p> <p>她總結，能做到不含簡體字、不含大陸用語且懂臺灣本土文化的LLM非常少，因此用於特定領域時，應先微調再使用。而此次測試的3個繁中LLM各有所長，若要應用，得要找出符合情境需求的模型，才能發揮效果。文⊙王若樸</p> </div></div></div>
2024/5/30 11:34作者王若樸https://www.ithome.com.tw/news/163189
Mistral AI推出輕量程式撰寫輔助模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國AI新創公司Mistral AI周三加入生成式AI模型競賽行列，<a href="https://mistral.ai/news/codestral/" target="_blank">公布</a>輕量程式撰寫輔助模型Codestral，能完成程式碼撰寫，也能撰寫測試，加速開發人員軟體專案速度。</p> <p>Codestral也是Mistral AI今年4月發表<a href="https://www.ithome.com.tw/news/162237" target="_blank">Mixtral 8x22B</a>大語言模型後，釋出的第一個輔助開發程式專用的模型。這家法國新創公司備受矚目，二月前才分別<a href="https://www.cnbc.com/2024/05/13/amazon-and-microsoft-to-invest-5point6-billion-into-france.html" target="_blank">獲得</a>微軟40億及Amazon 12億歐元的資金挹注。</p> <p>Codestral是以80多種程式開發語言的資料集訓練，涵括Python、Java、C、C++和Bash等，它也可使用Swift和Fortran開發。它的模型參數達220億，它可作為指令語言模型（instructed version），可回答開發問題或執行開發任務，例如解釋程式碼片段、撰寫文件、因子分析，或產生開發人員需要的程式碼。它也支援fill-in-the-middle（FIM）功能，能預測前綴、後綴字串預測中間元素，完成任何部份程式碼，對VS Code之類的軟體開發相當有幫助。Mistral AI相信其涵蓋廣度可擴大其專案適用性，結合此一模型可提升開發人員開發品質，減低錯誤及臭蟲的風險。</p> <p>Codestral現在已在MNLP-0.1授權下，在Hugging Face平臺<a href="https://huggingface.co/mistralai/Codestral-22B-v0.1" target="_blank">開源</a>。</p> <p>Mistral AI團隊公布了新模型和競爭者在Python、SQL專案的效能測試數據，顯示在三項和Python開發相關的項目中，優於Meta的Llama 3-70B與已開源的CodeLlama -70B以及DeepSeek Coder，而在SQL開發專案標竿測試中，僅落在Llama 3之後，平均分數則擊敗其他模型。</p> <p>新模型可和主要開源工具整合使用，包括應用框架LlamaIndex、LangChain，整合開發環境（IDE）如VSCode與JetBrains。Mistral AI也提供了一些<a href="https://www.youtube.com/watch?v=mjltGOJMJZA" target="_blank">範例</a>供<a href="https://www.youtube.com/watch?v=pFa4NLK9Lbw" target="_blank">參考</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0530-Codestral%20%20Demo-by%20Mistral%20AI.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Mistral AI</span></span></p> <p>連同本模型，該團隊同時以beta版提供新的API端點，為期8周，供開發人員在其自有IDE透過API端點存取。不過為確保網路頻寬，Mistral AI限定使用人數，開發人員必須加入<a href="https://console.mistral.ai/codestral" target="_blank">等候清單</a>。此外，Codestral也可經由Mistral AI的開發測試平臺La Plateforme以主要API端點開放存取，開發人員試用前須先建立帳號。</p> <p>Mistral AI即日已先將Codestral指令版上線，現在已經可經由le Chat AI聊天機器人存取。</p> </div></div></div>
2024/5/30 11:43作者林妍溱https://www.ithome.com.tw/news/163190
全球聯手拆除史上最大住家殭屍網路，感染逾1,900萬個裝置的911 S5
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部周三（5/29）<a href="https://www.justice.gov/opa/pr/911-s5-botnet-dismantled-and-its-administrator-arrested-coordinated-international-operation" target="_blank">宣布</a>，已與新加坡、泰國及德國的執法機構合作，拆除了史上最大住家殭屍網路之一的911 S5。911 S5透過於盜版軟體或盜版遊戲中嵌入的惡意VPN程式來感染一般使用者的個人電腦，估計有超過1,900萬個裝置受駭，繼之駭客再出售這些裝置存取權，以用來進行各式各樣的犯罪行動。同一天美國財政部也<a href="https://home.treasury.gov/news/press-releases/jy2375" target="_blank">制裁</a>了3名與該殭屍網路有關的個人。負責經營與管理911 S5的中國人YunHe Wang則已於上周遭到逮捕。</p> <p>根據調查，現年35歲的Wang從2014年5月至2022年7月間負責經營911 S5，除了提供免費且惡意的VPN之外，也於各種盜版軟體與盜版遊戲中嵌入惡意VPN，主要感染的對象為住家中的Windows電腦，一旦使用者下載了這些盜版內容，即可於裝置上悄悄地安裝VPN程式及代理後門，令裝置成為911 S5殭屍網路的成員，估計全球190個國家有超過1,900萬個裝置受駭，當中有逾60萬個裝置的IP位於美國。</p> <p>連結至911 S5的免費VPN程式包括MaskVPN、DewVPN、PaladinVPN、ProxyGate、ShieldVPN和ShineVPN，至於代理後門則是讓911 S5用戶得以透過受害者的裝置進行犯罪行動，包括網路攻擊、炸彈威脅、金融欺詐、兒童剝削或是繞過出口管制等。</p> <p>Wang管理了用來控制911 S5殭屍網路、分散在全球各地的150臺伺服器，其中約有一半是向美國供應商租賃，利用這些伺服器來部署惡意程式，控制這些受感染的裝置，以及提供911 S5殭屍網路的存取服務，估計幾年來獲利超過數千萬美元，並利用這些不法所得在美國、中國、新加坡、泰國，以及阿拉伯等地置產。另一方面，因911 S5而衍生的受害者損失則超過數十億美元。</p> <p><a href="https://www.ic3.gov/Media/Y2024/PSA240529" target="_blank">FBI指出</a>，911 S5始於2014年5月，在2022年7月下線，但在2023年10月更名為Cloudrouter並重新上線。不過，美國與其它國家的執法機構在上周採取行動，扣押了Wang價值逾3,000萬美元的資產、23個網域名稱及逾70臺伺服器，成功擊潰了Cloudrouter，並關閉其現有的惡意後門。</p> <p>至於美國財政部制裁的對象除了Wang以外，也包括負責洗錢的Jingping Liu，以及幫Wang置產的Yanni Zheng。</p> <p>FBI亦提供了詳細的<a href="https://www.fbi.gov/investigate/cyber/how-to-identify-and-remove-vpn-applications-that-contain-911-s5-backdoors" target="_blank">指南</a>，以協助使用者辨識裝置上的惡意VPN並將其移除。</p> </div></div></div>
2024/5/30 12:07作者陳曉莉https://www.ithome.com.tw/news/163191
【資安日報】5月29日，精品拍賣業者佳士得遭到勒索軟體駭客組織RansomHub攻擊，50萬筆客戶個資可能外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對藝術界的服務廠商發動攻擊的資安事故，最近幾年陸續傳出，而本月發生一起攻擊事件，是針對精品拍賣業者佳士得（Christie）而來。</p> <p>值得留意的是，這起事件之所以被發現，最初是因為用戶察覺該公司部分網站無法運作，當時該公司僅表示其中一場拍賣會被迫延後，但並未透露更多細節，如今有駭客組織聲稱犯案，他們才坦承客戶個資遭竊的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163167"><strong style="font-size: 22px;">針對精品拍賣業者佳士得遭駭，勒索軟體駭客組織RansomHub聲稱是他們所為</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GOmP5pWacAAr59L.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GOmP5pWacAAr59L.png" style="width: 300px; float: right;" /></a>兩週前精品拍賣業者佳士得（Christie）執行長Guillaume Cerutti透露，他們遭遇資安事故，導致網站癱瘓，在尋求資安專家協助下，該公司決定暫時關閉部分網站因應。28日Guillaume Cerutti再度透露這起資安事故的處理情形。根據調查的結果，他們確認未經授權的第三方存取內部網路環境，攻擊者竊得部分檔案，當中包含與客戶相關的個人資料，但沒有客戶或該公司的財務或交易資料外流的跡象。但事故發生的原因，或是攻擊者的身分，這名執行長並未說明。</p> <p>但為何這名執行長現在願意透露資安事故的處理進度？很有可能是因為有駭客組織近日聲稱對其出手所致。</p> <p>5月27日，勒索軟體駭客組織RansomHub將佳士得列於網站上，號稱他們取得該公司全球逾50萬名客戶的個資，檔案大小為2 GB。這些資訊包括出生地、生日、全名、性別、聯絡地址、身高、種族等敏感資料。對方要脅，若是這些資料流出，佳士得將面臨巨額GDPR罰款，而且客戶會對其失去信任。</p> <p><a href="https://www.ithome.com.tw/news/163179"><strong style="font-size: 22px;">北韓駭客組織Moonstone Sleet運用勒索軟體FakePenny從事攻擊行動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Moonstone-Sleet-Fig2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Moonstone-Sleet-Fig2.png" style="width: 300px; float: right;" /></a>微軟針對以經濟動機從事攻擊行動的駭客組織Storm-17進行追蹤，發現這些駭客近期利用名為FakePenny的勒索軟體犯案，經調查比對發現，這些駭客來自北韓，他們改稱該組織為「Moonstone Sleet」。</p> <p>今年2月，這些駭客利用假的遊戲開發公司CC Waterfall為幌子，聲稱要尋求投資者或是開發人員的支持，發動釣魚郵件攻擊，一旦收信人依照指示執行遊戲主程式delfi-tank-unity.exe，電腦就會載入惡意DLL檔案，將與SplitLoader極為相似的惡意程式載入工具YouieLoad載入記憶體內執行，駭客從而透過手動操作，搜刮感興趣的帳密資料。到了4月，研究人員發現駭客對其中一家在2月遭到入侵的公司植入勒索軟體FakePenny，並索討660萬美元的比特幣贖金。</p> <p><a href="https://www.ithome.com.tw/news/163175"><strong style="font-size: 22px;">WordPress外掛程式遭到濫用，駭客企圖植入PHP惡意程式，竊取電商網站的信用卡交易資料</strong></a></p> <p>最近幾年駭客鎖定電商網站並從事交易資料、信用卡資料側錄的攻擊行動，可說是不斷傳出，攻擊者往往藉由入侵網站並植入惡意程式碼而能得逞，但最近公布的新一波攻擊行動，對方竟是濫用WordPress外掛程式來達到目的。</p> <p>資安業者Sucuri揭露針對WooCommerce電商網站的攻擊行動，起因是有網站管理員察覺異常活動，請求他們協助進行調查，結果發現，攻擊者於本月11日發動攻擊，過程中濫用一款鮮為人知的WordPress外掛程式Dessky Snippets，而使得該外掛程式的下載數量在當天達到高峰。</p> <p>究竟對方如何利用這款外掛程式來對電商網站下手？研究人員指出，駭客利用這款外掛，在網站上植入經混淆處理的PHP程式碼，而這些程式碼的內容，就是用來側錄信用卡資料的惡意軟體。</p> <p><a href="https://www.ithome.com.tw/news/163173"><strong style="font-size: 22px;">Google Play市集的應用程式夾帶金融木馬Anatsa</strong></a></p> <p></p> <p>資安業者Zscaler在本周揭露，過去幾個月發現Google Play市集出現逾90款惡意程式，其總計安裝次數超過500萬，值得留意的是，當中有兩款夾帶金融木馬程式Anatsa。</p> <p>值得留意的是，上述惡意程式當中，數量最多的是竊資軟體Joker，占了42.6%，居次的則是廣告程式的41.5%，還有12.8%是專門用來竊取臉書憑證的Facestealer，金融木馬Anatsa與Coper分別只占2.1%與1.1%。然而，研究人員指出，雖然金融木馬的比例極低，但造成的危害最嚴重而必須當心。其中，Anatsa原本的攻擊範圍主要是美國及英國，然而如今已擴及全球逾650個金融機構，範圍涵蓋德國、西班牙、芬蘭、韓國、新加坡。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://blog.xlab.qianxin.com/catddos-derivative-en/"><strong style="font-size: 20px;">殭屍網路CatDDoS鎖定逾80個已知漏洞，入侵多個廠牌網路設備並將其用於DDoS攻擊</strong></a></p> <p></p> <p>◆<a href="https://securitylabs.datadoghq.com/articles/malicious-pypi-package-targeting-highly-specific-macos-machines/"><strong style="font-size: 20px;">惡意PyPi套件鎖定執行macOS的電腦而來，企圖植入惡意程式</strong></a></p> <p>◆<a href="https://news.tvbs.com.tw/world/2499703"><strong style="font-size: 20px;">日本傳出無業男子濫用生成式AI製造勒索軟體被捕</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163172"><strong style="font-size: 22px;">新加坡針對近期公布的WordPress外掛程式重大漏洞提出警告，並指出已有部分出現攻擊行動</strong></a></p> <p>5月27日新加坡網路安全局（Cyber Security Agency of Singapore）發布資安公告，指出上週公布的9個WordPress外掛程式漏洞相當值得留意，因為這些漏洞都非常危險，而且，已有部分被用於攻擊行動。</p> <p>根據CVSS風險評分，最嚴重的漏洞是CVE-2024-31351，影響1.6版以前的AI內容寫作及生成工具WordPress Copymatic，此為任意檔案上傳漏洞，一旦遭到利用，攻擊者就有機會在未通過身分驗證的情況下，將後門程式上傳到網站，從而得到存取權限，CVSS風險評分達到10分。</p> <p>其餘漏洞幾乎都是達到CVSS風險評分9.8的危險程度，值得留意的是，新加坡網路安全局特別提及Fluent Forms聯絡表單外掛程式的權限提升漏洞CVE-2024-2771已用於攻擊行動。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.horizon3.ai/attack-research/cve-2024-23108-fortinet-fortisiem-2nd-order-command-injection-deep-dive/"><strong style="font-size: 20px;">研究人員公布Fortinet旗下SIEM已知漏洞CVE-2024-23108細節</strong></a></p> <p></p> <p>◆<a href="https://securityaffairs.com/163617/hacking/ddns-services-leads-information-disclosure.html"><strong style="font-size: 20px;">嵌入式設備採用的動態DNS服務恐導致資料曝光，甚至有可能招致攻擊</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163166"><strong style="font-size: 22px;">OpenAI成立新的安全委員會</strong></a></p> <p>成立不到一年的超級對齊（Superalignment）資安團隊傳出解散的消息之後，5月28日OpenAI董事會宣布成立新的安全委員會（Safety and Security Committee），將負責針對OpenAI專案與經營的安全決策向董事會提出建議，而該委員會的主要領導人為OpenAI董事長Bret Taylor、執行長Sam Altman，以及另外兩名董事成員Adam D’Angelo與Nicole Seligman。</p> <p>不過，外界批評由執行長Altman來主導安全委員會，恐有球員兼裁判之嫌，何況原本共同擔綱超級對齊團隊負責人的OpenAI共同創辦人Ilya Sutskever與OpenAI研究人員Jan Leike先後離職的原因，都是不滿OpenAI對安全的重視不足。新的安全委員會運作情況，有待後續觀察。</p> <p><a href="https://www.ithome.com.tw/news/163174"><strong style="font-size: 22px;">今年TWCERT/CC交由資安院維運，不只要從產業供應鏈推動，更要用主動服務來促進聯防</strong></a></p> <p>長期協助國內民間企業資安事件處理的TWCERT/CC，在2024年有了新的重大轉變，從今年元旦起，這項業務轉由國家資通安全研究院（資安院）維運。特別的是，之所以會有這樣的轉變，其實與一年前國外研究人員通報國內iRent資料庫曝險，有很大的關係。</p> <p>值得我們關注的是，如今資安院接手TWCERT/CC，將帶來不同於以往的意義，因為這次接手的資安院，是國家層級的行政法人。資安院院長何全德表示，雖然全球各國都有這樣的CERT/CC存在，但都是純民間的組織在接受通報應變，背後沒有專業法人來提供各種技術協助，如今，這個有如網路資安事件119的TWCERT/CC，在行政法人資安院的支持下，可說是全球首例。</p> <p>資安院雖只成立一年多，但先前已經承接前行政院資通安全會報技術服務中心業務，有長期處理國家層級資安事件與協作聯防的經驗，因此，未來TWCERT/CC也將善用這些經驗幫助民間企業。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163150"><strong>【5月28日】Check Point針對啟用VPN服務防火牆的用戶提出警告，有人企圖透過電腦本機舊帳號入侵</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163136"><strong>【5月27日】中東、非洲、亞洲政府機關遭中國駭客長期從事網路間諜攻擊行動並散布後門程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163090"><strong>【5月24日】研究人員揭露中國駭客組織APT41的作案工具KeyPlug，並指出有可能也提供當地資安業者安洵運用</strong></a></p> </div></div></div>
2024/5/29 19:10作者周峻佑https://www.ithome.com.tw/news/163184
提供介面卡與晶片外形選擇，英特爾首款ASIC架構IPU宣告上市
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/intel_ipu_e2100_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對資料中心基礎架構的工作負載分攤，市面上出現資料處理器（DPU）與基礎架構處理器（IPU）的產品，其中以Nvidia挾帶AI伺服器的浩大聲勢，帶動他們的<a href="https://www.ithome.com.tw/tags/nvidia-bluefield">BlueField系列</a>受到關注，至於另一家可供應這類產品的大廠英特爾，我們在前年與去年陸續發布搭配Xeon處理器與FPGA晶片的<a href="https://www.ithome.com.tw/review/152212">Intel IPU Platform C5000X-PL</a>、<a href="https://www.ithome.com.tw/review/160260">Intel FPGA IPU F2000X-PL</a>，以及ASIC架構的<a href="https://www.ithome.com.tw/review/157336">Intel IPU E-2000</a>。</p> <p>到了今年5月下半，我們突然看到企業IT產品評測網站ServeTheHome發布文章，標題是<a href="https://www.servethehome.com/intel-ipu-e2100-dpu-finally-launched-for-the-mass-market-arm/">「Intel IPU E2100 DPU Finally Launched for the Mass Market」</a>，特別的是，正式宣告這條產品線上市消息的，居然不是身為產品供應商的英特爾，而是科技媒體。</p> <p>為此我們也到英特爾<a href="https://www.intel.com/content/www/us/en/products/details/network-io/ipu.html">專門為了IPU而設置的網頁</a>，結果看到他們的確將原本列出的Intel IPU E2000，換成Intel IPU E2100，而點入此產品的網址連結之後，也發現相關消息的確是在5月中旬之後出爐。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel IPU web-tw.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU%20web-tw.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel IPU-EN-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU-EN-web.jpg" style="width: 298px;" /></a></p> <p>例如，跨足國防、健康照護等多個產業的科技公司Leidos發布白皮書，說明他們開發搭配Intel IPU E2100與完整軟體堆疊架構的解決方案，針對運算密集的深度封包檢測（DPI）工作負載提供加速機制；</p> <p><a href="https://s4.itho.me/sites/default/files/images/Leidos IPU Arch-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Leidos%20IPU%20Arch-2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Leidos IPU Arch-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Leidos%20IPU%20Arch-1.jpg" style="width: 298px;" /></a></p> <p>第二個案例是F5，他們與英特爾合作，針對AI模型的開發設計效能最佳化作法的過程當中，透過在Intel IPU E2100執行F5 Nginx Plus，提供反向代理的機制，藉此保護AI推論開發環境OpenVINO toolkit當中的模型與資料——OpenVINO 的模型伺服器則是在主機端的CPU執行，IPU則是提供與CPU隔離的執行環境，一方面幫忙分攤IT基礎架構層級的工作、以OpenSSL軟體執行密碼學處理，提供更高的效能與強化的防護，另一方面能實現DevOps與NetSecOps的責任分割，預防應用程式與IT基礎架構服務的彼此干擾。</p> <p><a href="https://s4.itho.me/sites/default/files/images/F5 IPU AI server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F5%20IPU%20AI%20server.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/F5%20IPU%20benefits.jpg" style="width: 600px;" /></p> <p>而在5月20日舉行的Dell Technologies World大會，英特爾網路與邊緣雲端連線事業群產品與業務開發部門副總裁Thomas Scheibe宣布與Dell合作的消息，將會馬上供應整合IPU的PowerEdge伺服器。特別的是，當我們到線上搜尋引擎試圖找出雙方合作的具體內容時，發現Dell的<a href="https://www.dell.com/support/kbdoc/zh-tw/000221411/poweredge-bonded-interfaces-do-not-come-online-with-intel-ipu-e2100-ccqda2?lang=en">產品知識庫</a>倒是已經發布兩篇<a href="https://www.dell.com/support/kbdoc/en-us/000221412/poweredge-multiple-pcie-functions-seen-in-idrac-and-operating-system-with-intel-ipu-e2100-ccqda2?lwp=rt">文章</a>，說明他們的PowerEdge伺服器搭配Intel IPU E2100的兩種狀況。</p> <p><a href="https://www.intel.com.tw/content/www/tw/zh/content-details/818937/dell-product-brief-for-intel-infrastructure-processing-unit-adapter-e2100-ccqda2.html"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Intel%20IPU%20Brief.jpg" style="width: 600px;" /></a></p> <p>同時，他也揭露英特爾與紅帽、F5、Leidos這三家廠商的產品合作。以後兩家廠商而言，英特爾皆已發布解決方案簡介文件說明；至於紅帽的部分，該公司核心平臺資深總監Rashid Khan與網路業務的軟體開發經理Korry Nguyen表示，IPU的支援已透過開發者預覽版本的形式整合到OpenShift 4.16，而且，企業級Linux作業系統RHEL 9.4與<a href="https://www.redhat.com/en/topics/edge-computing/microshift">輕量版容器平臺MicroShift</a> 4.16，均可原生執行所有英特爾IPU相關的驅動程式，紅帽也在他們網站公布一篇<a href="https://access.redhat.com/articles/7065141">知識庫文章</a>，介紹整體運作架構，以及細部的安裝、設定方式。（編按：當我們連到紅帽網站想查閱與確認RHEL與OpenShift的版本更新資訊，目前並未列出英特爾IPU的支援與整合方式說明，或許要等到後續版本才會提供）</p> <p><a href="https://www.redhat.com/en/blog/unleashing-potential-intelr-ipu-red-hat-openshift"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-05-07-Intel%20IPU%20with%20Red%20Hat%20OpenShift.jpg" style="width: 280px;" /></a> <a href="https://access.redhat.com/articles/7065141"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-05-07-653_openshift_offloading_ipu_0424_kb-article.jpg" style="width: 298px;" /></a></p> <p>除了最近揭露Intel IPU E2100上市時程的狀況，就這款產品的硬體規格而言，基本上，與先前我們報導Intel IPU E-2000所提到的差不多，因為，在今年3月底、4月底，英特爾陸續釋出產品簡介文件。</p> <p>英特爾第一波公布兩份文件，主角是PCIe介面卡形式的產品，名為Intel Infrastructure Processing Unit Adapter E2100-CCQDA2，代號為Dayton Peak，而這個稱號其實是在Intel Innovation 2023大會中國場出現，產品外觀也與英特爾既有的網路卡<a href="https://www.ithome.com.tw/review/129828">Intel Ethernet 800系列</a>很像，但多了1個遠端管理埠；</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/e2100-dayton-peak-with-callouts.jpg" style="width: 600px;" /></p> <p>第二波公布的產品簡介文件主角是系統單晶片（SoC）形式的產品，名為Intel Infrastructure Processing Unit SoC E2100，介面卡形式的E2100-CCQDA2也採用這個SoC晶片。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU%20SoC%20E2100%20Doc.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/e2100-network-subsystem-highlights-left.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/e2100-network-subsystem-highlights-left.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/e2100-compute-complex-highlights.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/e2100-compute-complex-highlights.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Intel IPU E2100</strong><br /> ●原廠：英特爾<br /> ●建議售價：廠商未提供<br /> ●外形：全高3/4長的PCIe介面卡Intel Infrastructure Processing Unit Adapter E2100-CCQDA2、系統單晶片Intel Infrastructure Processing Unit SoC E2100<br /> ●晶片架構：ASIC<br /> ●介面卡網路介面：2個100GbE埠（QSFP56）接取100GBASE-CR4纜線，或1個200GbE埠（QSFP56）接取200GBASE-CR4纜線，或分接4個25GbE埠接取25GBASE-CR纜線，單卡總共可提供200Gbps雙向吞吐效能；1個遠端管理埠（RJ-45），支援NC-SI側頻管理介面<br /> ●I/O介面：PCIe 4.0 x16<br /> ●搭配處理器與記憶體（運算複合體）：16顆Arm Neoverse N1核心（Armv8.2），48 GB LP-DDR4記憶體（3個通道）<br /> ●封包處理引擎：FXP處理器、可程式化剖析器、P4可程式化管線流程<br /> ●加密處理輔助：線上IPsec處理引擎、密碼學與壓縮平行處理引擎<br /> ●儲存處理輔助：可卸載執行NVMe Initiator、搭配AES-XTS或CRC的儲存協定<br /> ●支援的軟體開發套件：IPDK、DPDK、SPDK、Intel IPU SDK</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/5/29 18:38作者李宗翰https://www.ithome.com.tw/review/163144
勒索軟體ShrinkLocker濫用BitLocker加密電腦，導致電腦無法進入作業系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者卡巴斯基揭露<a href="https://securelist.com/ransomware-abuses-bitlocker/112643/">勒索軟體ShrinkLocker的攻擊行動</a>，該惡意程式濫用Windows作業系統內建的磁碟加密保護措施BitLocker，透過這項功能對檔案進行加密，目前已知有墨西哥、印尼、約旦的企業組織受害。</p> <p>駭客濫用BitLocker發動攻擊，從而將檔案加密的情況，過往已發生數起，但這起事故特別之處，在於攻擊者運用過往未曾出現的手法，不僅加密了整個磁區，還將解密金鑰拿走，從而提高攻擊造成的破壞威力。</p> <p>究竟駭客如何入侵受害電腦，研究人員表示仍不得而知，然而一旦他們成功進入受害電腦並執行ShrinkLocker，電腦會啟動VBScript指令碼，呼叫WMI查詢作業系統的版本，若是Windows Vista以下的舊版系統，該指令碼將會停止後續工作並自我刪除。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Bitlocker_abuse_03.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Bitlocker_abuse_03.png" style="width: 580px;" /></a></p> <p>而對於執行Windows 7以上版本的電腦，該惡意程式便會利用作業系統內建的公用程式Diskpart，將本機磁碟所有的非啟動磁區縮小100 MB，然後運用這些空間建立新的主要磁區，成功後利用另外一個公用程式bcdboot，並於新磁區部署啟動檔案，竄改電腦的機碼，調整BitLocker、TPM相關配置。</p> <p>完成上述工作後，該勒索軟體便會啟動BitLocker磁碟加密服務（BDESVC），竄改磁碟機標籤留下電子郵件信箱，以便受害者能向他們聯繫。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Bitlocker_abuse_10.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Bitlocker_abuse_10.png" style="width: 580px;" /></a></p> <p>然後，該惡意程式停用BitLocker加密金鑰保護程式，並將其刪除，防止使用者復原金鑰。接著，對方透過隨機的算數產生64個字元的加密金鑰，並將其轉換安全字串，這麼做的目的，研究人員表示，駭客是藉由PowerShell的功能，防止在記憶體內留下蹤跡。</p> <p>攻擊者透過指令碼發出HTTP POST請求，回傳惡意程式產生的密碼，以及受害電腦的系統資訊，然後清除作案痕跡並將電腦關機，過程中濫用TryCloudflare服務來隱匿行蹤。</p> <p>當受害者將電腦開機，會看到與BitLocker有關的訊息，然而若是嘗試執行復原，電腦會顯示沒有可復原的選項。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Bitlocker_abuse_19.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Bitlocker_abuse_19.png" style="width: 580px;" /></a></p> </div></div></div>
2024/5/29 18:56作者周峻佑https://www.ithome.com.tw/news/163183
今年TWCERT/CC交由資安院維運，不只要從產業供應鏈推動，更要用主動服務來促進聯防
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>長期協助國內民間企業資安事件處理的TWCERT/CC，在2024年有了新的重大轉變，從今年元旦起，這項業務轉由國家資通安全研究院（資安院）維運。特別的是，之所以會有這樣的轉變，其實與一年前國外研究人員通報國內iRent資料庫曝險，有很大的關係。</p> <p>關於資安院接手TWCERT/CC一事，我們在1月中旬因採訪TWCERT/CC時<a href="https://www.ithome.com.tw/news/160961">恰巧得知</a>，今年2月<a href="https://www.ithome.com.tw/news/161395">資安院副院長兼發言人吳啟文接受我們專訪，也說明了資安院接手後的首個變化</a>，就是讓民間企業資安事件通報受理時間，調整為24x7全天候都有值班人員負責。不過，大家可能更好奇的是，為何會有這樣的調度？</p> <p>對於這項問題，在一個月前的數位發展部（數位部）例行記者會上，時任數位部部長唐鳳與資安院院長何全德出席，我們從中得知了答案，這是唐鳳去年向何全德提出的建議，要資安院接手TWCERT/CC業務。</p> <p>而這起事件的開端，要從2023年初國外研究人員通報iRent資料庫曝險的事件說起。當時，因為對方連繫不到國內業者，進而直接聯繫到唐鳳，因此她將這項消息趕緊通報TWCERT/CC因應。</p> <p>這也讓他們意識到，不只是公務機關與8大關鍵基礎設施，由各個部會所管轄的眾多大大小小民間企業（像是iRent事件的主管機關是交通部），其實都需要這樣的即時通報，甚至是主動協助的服務。</p> <p>再加上，依據目前資安法第18條的規定，在知悉重大資通安全事件時，主管機關或中央目的事業主管機關得提供相關協助，不論是否為關鍵基礎設施。</p> <p>因此，後續數位部只要獲知重大個資相關事件，就會要求資安院派人前往事故單位，進行個資行政調查，像是從技術面檢視系統、架構跟配置有無問題，以及企業找廠商進行事件鑑識跟處理後，檢視後續補強措施是否足以改善事件根因。例如，去年5月誠品生活發生個資外洩事件，就開始執行實地行政檢查。</p> <p>由於TWCERT/CC與資安院經常同時派人協助，雙方逐漸有了革命情感，於是唐鳳便提出這樣的構想，讓TWCERT/CC直接進入資安院。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E8%B3%87%E5%AE%89%E9%99%A2%E6%8E%A5%E6%94%B6TWCERT%E5%8E%9F%E5%9B%A0_%E6%95%B8%E4%BD%8D%E7%99%BC%E5%B1%95%E9%83%A8_%E5%94%90%E9%B3%B3_%E4%BD%95%E5%85%A8%E5%BE%B7_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>今年1月我們因採訪TWCERT/CC而恰巧得知改由資安院接手維運，4月底數位發展部正式公布這項消息，除了資安院院長何全德揭露推動TWCERT/CC業務的5大策略，時任部長唐鳳也解釋了為何會有這樣的調度，其實是與2023年初國外研究人員通報iRent資料庫曝險事件有關。</strong></p> <h2><strong>協助民間企業的資源與能量，可望比過去更為充沛，並促進更有效率的公私聯防</strong></h2> <p>基本上，TWCERT/CC這個由民間發起的臺灣電腦網路危機處理暨協調中心，成立已超過25年，2019年由臺灣網路資訊中心（TWNIC）二度接手維運。</p> <p>值得我們關注的是，如今資安院接手，將帶來不同於以往的意義，因為這次接手的資安院，是國家層級的行政法人。</p> <p>資安院院長何全德表示，雖然全球各國都有這樣的CERT/CC存在，但都是純民間的組織在接受通報應變，背後沒有專業法人來提供各種技術協助，如今，這個有如網路資安事件119的TWCERT/CC，在行政法人資安院的支持下，可說是全球首例，韓國雖然也有類似的配置，但不像資安院有那麼多的資源，包括院內250名的人力為後盾，去協助民間企業應變通報，因此值得期待。</p> <p>再者，資安院雖只成立一年多，但先前已經承接前行政院資通安全會報技術服務中心業務，有長期處理國家層級資安事件與協作聯防的經驗，因此，未來TWCERT/CC也將善用這些經驗幫助民間企業。</p> <p>何全德認為，這也形同要協助國家打造第9項關鍵基礎設施。畢竟，現行法律規範並未要求民間企業主動通報資安事件，不像我國資安政府機關與8大關鍵CI在資安事件通報應變上，有資安法的規範。如今，以公私聯防角度來看，現在資安院為了讓企業願意通報，也將藉由更多服務的方式，來促進公私協力與深化情資安分享。</p> <p>他也舉例，當資安院掌握某個軟硬體漏洞的情報，不只使用這些軟體或設備的政府機關需要知道，民間企業也有這樣的需求，只是以往可能要經過好幾道程序，才能輾轉通知對方，現在則可以加速這樣的流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%B3%87%E5%AE%89%E9%99%A2%E6%8E%A5%E6%94%B6TWCERT%E5%8E%9F%E5%9B%A0%E9%A6%96%E5%BA%A6%E5%85%AC%E9%96%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B3%87%E5%AE%89%E9%99%A2.png" style="width: 600px;" /></p> <p><strong>資安院院長何全德指出，他們的原有服務範圍是公務機關與關鍵基礎設施，如今進一步擴展到民間企業的資安事件通報，因此，未來TWCERT/CC也將善用這些經驗來幫助民間企業。並成為公私領域間的重要橋樑。</strong></p> <h2><strong>從「產業供應鏈」擴大推動，強調「主動服務」增加企業信心以建立認同</strong></h2> <p>另一個大家關心的重點，TWCERT/CC在國內宣傳多時，雖然大家或許已經知道這個組織存在，但還有不少國內企業沒有真正了解其作用與幫助。</p> <p>前一兩年，我們已經注意到，金管會也在推動國內1700餘家上市櫃公司，加入領域ISAC或TWCERT/CC，希望促進資安情資分享。</p> <p>對於未來還能如何推動？資安院院長何全德表示，在2024年接手其業務後，將透過5大策略層面來達成目標，包括：擴大推廣會員服務、提高主動通報誘因、結合行政指導擴展、強化公私鏈結聯防，以及深化國際合作交流。</p> <p>在這5大策略中，「擴大推廣會員服務」一項是首要重點。何全德指出，目前TWCERT/CC會員數約1500個，資安院接手後已成長10%，希望年底可以1萬個會員為目標。</p> <p>他並透露，最新作法會從產業供應鏈關係出發。例如，無店面商業同業公會、台灣資安主管聯盟、高科技聯盟、SEMI國際半導體產業協會等，就是可以加速擴散TWCERT/CC的重要聯絡管道。</p> <p>這樣的作法是否有更好效果？我們認為，藉助不同產業公會聯盟之力，有如衛星城市的擴散方式，確實有效加速推廣，而不是單靠自己去宣傳。</p> <p>此外，他們還有其他加強宣導方式，例如，在5月舉行的臺灣資安大會上推廣TWCERT/CC，並且還有TW-ISAC的新規畫，之後也將藉助國內其他各個部會之力，持續擴大服務會員數量。</p> <p>何全德強調，只靠資安院是不夠的，除了與金管會、教育部、數位產業署合作，未來還可以試著從行政院工程會的採購層面出發，一起來共同推廣。</p> <p>不只擴大推廣會員服務，還有一個重要主軸受關注，就是資安院提出了「主動服務」的策略，讓人為之驚艷。畢竟，通常機關單位多是被動等待企業請求協助，若要主動也需要有充足的資源與能量去進行。</p> <p>對此，何全德有進一步的說明，他們將以更主動的方式提供各種服務，不僅要為TWCERT/CC企業會員帶來更多好處，也要增加企業他們的信心，用服務的方式來爭取更多認同。</p> <p>因此，資安院的現行重點，就是希望在先前TWNIC維運的基礎上，採取「主動服務」及「品質再提升」原則，來持續精進發展，也就是說，將藉由主動蒐集、主動協處、主動分享，來進一步做到主動服務。</p> <p>特別的是，他們還提供了兩起主動協助民間的案例，讓外界了解公私聯防的效益，以及加入TWCERT/CC會員的好處。</p> <p>例如，今年2月有研究人員發現，國內一家工業材料供應商內部資料被公布於地下論壇，由於該公司日前剛申請加入TWCERT/CC會員，因此得以迅速聯繫對方，提供相關建議，以及協助後續緊急應處。</p> <p>另一個案例是在今年3月出現，相關情資研究顯示有一樁針對某郵件防護系統發動的供應鏈攻擊，資安院除了協助公務機關，進行事件通報應處及追蹤系統修補進度，同時也以TWCERT/CC角度，通知民間受害單位處理。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖YX）資安院接收TWCERT原因首度公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96YX%EF%BC%89%E8%B3%87%E5%AE%89%E9%99%A2%E6%8E%A5%E6%94%B6TWCERT%E5%8E%9F%E5%9B%A0%E9%A6%96%E5%BA%A6%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a></p> <p><strong>為了進一步打響TWCERT/CC知名度，資安院強調從產業供應鏈與藉助各部會之力，擴大推廣TWCERT/CC會員服務，同時也將提供更多主動服務，包括提供資安事件相關專業諮詢服務等，用服務方式爭取更多認同。</strong></p> <h2><strong>主動幫助民間企業是否可能帶來負面影響？資安院：不與民爭利，協助至上</strong></h2> <p>雖然資安院願意提供這樣的幫助，外界均樂見其成，但是否會造成一些新的挑戰，例如企業可能被動等TWCERT/CC協助的狀況？</p> <p>會後，我們進一步詢問資安院通報應變中心主任孫偉哲，他表示，以TWCERT/CC現行運作而言，是以「情資分享」、「企業聯防」為主要定位。</p> <p>對於企業而言，如果不幸遭遇資安事件，TWCERT/CC秉持不與民爭利原則，會從提供諮詢、給予技術建議的角度，來協助民間企業，而非第一時間直接介入處理，這個部分還是會建議企業找資安廠商協助，所以，不會因此就讓企業變得被動。</p> <p>另外，他們相當重視情資分享與回饋，例如，TWCERT/CC會針對暗網站臺或論壇賣場做販售資訊蒐集，若發現國內民間企業相關資料遭上架販售，就會主動通知對方，但更重要的是，後續他們也希望企業在調查後，若發現確實有受害跡象，能把相關資訊回饋給TWCERT/CC，像是攻擊來源、攻擊手法等情資，這樣才能有利於情資分享，讓其他會員可以參考及進行聯防。</p> <p>無論如何，這些年民間企業資安事件頻傳，這樣的聯防機制，公私領域通報應處效率的提升，已是相當至關重要的事。</p> <p>由於推動公私協作聯防、促進國內企業強化資安，是這些年政府積極在推動的重要任務，如今資安院接手TWCERT/CC，我們也期盼，隨著協助民間企業的資源與能量，有進一步的增長，有助於資安認知與互信的提升，並促進更廣泛的企業正視資安情資的價值，以及投入資安防護改善。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96YZ%EF%BC%89%E8%B3%87%E5%AE%89%E9%99%A2%E6%8E%A5%E6%94%B6TWCERT%E5%8E%9F%E5%9B%A0%E9%A6%96%E5%BA%A6%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></p> <p><strong>關於資安院接手TWCERT/CC業務所提出的5大策略，深化國際交流也是重點。何全德表示，CERT/CC是全球性的組織，持續參與國際資安組織的活動，深化與我友好國家的互信溝通及鏈結，也將是他們分內的重要工作。此外，資安院今年還有推出NICS臺灣資安計畫，這是半年前Google.org透過捐助經費所推出，目標是希望透過兩年計畫協助至少國內3千家的中小企業、微型企業與創新企業，做好資安防護的工作。</strong></p> <h2> </h2> </div></div></div>
2024/5/29 15:47作者羅正漢https://www.ithome.com.tw/news/163174
北韓駭客組織Moonstone Sleet運用勒索軟體FakePenny從事攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟針對以經濟動機從事攻擊行動的駭客組織Storm-17進行追蹤，<a href="https://www.microsoft.com/en-us/security/blog/2024/05/28/moonstone-sleet-emerges-as-new-north-korean-threat-actor-with-new-bag-of-tricks/">發現這些駭客近期利用名為FakePenny的勒索軟體犯案</a>，經調查比對發現，這些駭客來自北韓，他們改稱該組織為「Moonstone Sleet」。</p> <p>研究人員先是在去年8月，發現這些駭客尋找攻擊目標的管道，涵蓋職場社交網站LinkedIn，或是加密通訊軟體Telegram，以及多個開發人員接案平臺，散布ZIP檔案，此壓縮檔內含帶有惡意程式的PuTTY軟體，以及提供連線IP位址及密碼的純文字檔案。</p> <p>一旦使用者依照指示執行對方提供的PuTTY程式，並輸入純文字檔案提供的資料，該執行檔便會對檔案內部嵌入的有效酬載SplitLoader進行解密，然後將載入惡意酬載的DLL程式庫檔案，以及2個經加密處理的工具寫入磁碟，透過工作排程或是機碼執行SplitLoader。</p> <p>接著，對方藉由SplitLoader，將前述經加密處理的工具進行組合，產生新的檔案並執行，並從C2取得經過加密及壓縮處理的木馬程式，將其解開並執行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Moonstone-Sleet-Fig2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Moonstone-Sleet-Fig2.png" style="width: 580px;" /></a></p> <p>除此之外，研究人員也看到駭客佯稱提供PuTTY，散布其他的惡意程式載入工具。但除此之外，他們也看到對方假借技能評估的名義，向開發人員散布有害的NPM套件，其中一起事故當中，導致受害組織的LSASS帳密遭竊。</p> <p>值得留意的是，到了今年2月，這些駭客利用假的遊戲開發公司CC Waterfall為幌子，聲稱要尋求投資者或是開發人員的支持，發動釣魚郵件攻擊，一旦收信人依照指示執行遊戲主程式delfi-tank-unity.exe，電腦就會載入惡意DLL檔案，將與SplitLoader極為相似的惡意程式載入工具YouieLoad載入記憶體內執行，駭客從而透過手動操作，搜刮感興趣的帳密資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Moonstone-Sleet-Fig4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Moonstone-Sleet-Fig4.png" style="width: 580px;" /></a></p> <p>到了4月，研究人員發現駭客對其中一家在2月遭到入侵的公司植入勒索軟體FakePenny，並索討660萬美元的比特幣贖金。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Moonstone-Sleet-Fig6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Moonstone-Sleet-Fig6.png" style="width: 580px;" /></a></p> <p>而關於這些駭客的來歷，研究人員指出，這些駭客在初期的攻擊流程，以及惡意酬載的程式碼，大量採用北韓駭客組織Diamond Sleet的手法及工具，使得他們能進一步確認這些駭客來自北韓，但值得一提的是，Moonstone Sleet並非只繼承Diamond Sleet的戰術，他們的手段是從多個北韓駭客組織的手法演變而來。</p> </div></div></div>
2024/5/29 17:40作者周峻佑https://www.ithome.com.tw/news/163179
新加坡針對近期公布的WordPress外掛程式重大漏洞提出警告，並指出已有部分出現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月27日新加坡網路安全局（Cyber Security Agency of Singapore）發布資安公告，<a href="https://www.csa.gov.sg/alerts-advisories/alerts/2024/al-2024-056">指出上週公布的9個WordPress外掛程式漏洞相當值得留意</a>，因為這些漏洞都非常危險，而且，已有部分被用於攻擊行動。</p> <p>根據CVSS風險評分，最嚴重的漏洞是CVE-2024-31351，影響1.6版以前的AI內容寫作及生成工具WordPress Copymatic，此為任意檔案上傳漏洞，一旦遭到利用，攻擊者就有機會在未通過身分驗證的情況下，將後門程式上傳到網站，從而得到存取權限，CVSS風險評分達到10分。</p> <p>其餘漏洞幾乎都是達到CVSS風險評分9.8的危險程度，這些漏洞包括：</p> <p>●表單建置工具Hash Form的未經授權任意檔案上傳漏洞CVE-2024-5084<br /> ●國家及地區下拉式選單工具Country State City Dropdown CF7的SQL注入漏洞CVE-2024-3495<br /> ●小工具及範本元件工具WPZOOM Addons for Elementor的未經授權本機檔案包含（Local File Inclusion）漏洞CVE-2024-5147<br /> ●網站目錄建置工具Business Directory Plugin的SQL注入漏洞CVE-2024-4443<br /> ●使用者個人檔案外掛UserPro的帳號挾持漏洞CVE-2024-35700<br /> ●Fluent Forms聯絡表單外掛程式的權限提升漏洞CVE-2024-2771<br /> ●網站目錄建置工具Web Directory Free的SQL注入漏洞CVE-2024-3552</p> <p>除了CVE-2024-3552的CVSS風險評分略低，為9.3分，其餘上述漏洞皆達到9.8分的危險層級。</p> <p>值得留意的是，新加坡網路安全局特別提及CVE-2024-2771已用於攻擊行動。但有鑑於上述漏洞都非常危險，WordPress網站管理員應該儘速套用新版外掛程式進行修補。</p> </div></div></div>
2024/5/29 15:14作者周峻佑https://www.ithome.com.tw/news/163172
WordPress外掛程式遭到濫用，駭客企圖植入PHP惡意程式，竊取電商網站的信用卡交易資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年駭客鎖定電商網站並從事交易資料、信用卡資料側錄的攻擊行動，可說是不斷傳出，攻擊者往往藉由入侵網站並植入惡意程式碼而能得逞，但最近公布的新一波攻擊行動，對方竟是濫用WordPress外掛程式來達到目的。</p> <p>資安業者Sucuri揭露<a href="https://blog.sucuri.net/2024/05/server-side-credit-card-skimmer-lodged-in-obscure-plugin.html">針對WooCommerce電商網站的攻擊行動</a>，起因是有網站管理員察覺異常活動，請求他們協助進行調查，結果發現，攻擊者於本月11日發動攻擊，過程中濫用一款鮮為人知的WordPress外掛程式Dessky Snippets，而使得該外掛程式的下載數量在當天達到高峰。</p> <p><a href="https://s4.itho.me/sites/default/files/images/plugin-download-spike.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/plugin-download-spike.png" style="width: 580px;" /></a></p> <p>究竟對方如何利用這款外掛程式來對電商網站下手？研究人員指出，駭客利用這款外掛，在網站上植入經混淆處理的PHP程式碼，而這些程式碼的內容，就是用來側錄信用卡資料的惡意軟體。</p> <p>攻擊者將這些程式碼植入WordPress的特定表單及選項，從而操弄電商網站的結帳流程表單，並注入相關的惡意程式碼。</p> <p>特別的是，為了降低使用者警覺，對方在偽造的表單上，停用使用者瀏覽器的自動輸入功能，研究人員認為，這麼做的目的，就是為了讓欄位在填寫前保持空白，讓讓使用者輸入與線上交易有關的資料，同時避免瀏覽器的提醒，出現「使用者正在輸入敏感資料」的警示訊息。</p> </div></div></div>
2024/5/29 15:59作者周峻佑https://www.ithome.com.tw/news/163175
【臺灣資安大會直擊】隱私意識抬頭，企業應從資安治理角度保護個人資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>個人資料保護，是國際社會越來越重視的議題，近年歐盟和美國的官方及民間都紛紛祭出個資保護相關法規與做法，臺灣也於去年3月正式決定要設置個資保護的獨立監督機關。</p> <p>同年5月，立法院通過《個人資料保護法》（以下簡稱《《個資法》》）修正案，規定「個人資料保護委員會」（以下簡稱個資會）為此法主管機關。12月，正式揭牌個人資料保護委員會籌備處，負責委員會籌設事項的總體規畫、委員會組織法規研擬、《個資法》訂修及解釋、公務與非公務機關個人資料保護事務規畫、個資保護相關人才訓練、個資保護科技應用的研究、國內外《個資法》規研究、國際個資保護事務合作等職責。</p> <p>2024年1月，《個資法》相關業務正式轉移到個資會籌備處。3月公聽會中，籌備處表示將優先推動個資會組織法規，賦予個資會相關執法監督權限，並研議個資會與各級政府機關、中央或地方目的事業主管機關聯繫協調合作機制及相關配套規定，目標是2025年8月11日前正式成立個資會。</p> <p>在今年資安大會中，個人資料保護委員會籌備處組長林逸塵整理了國內外的個資保護框架及法規，歸納出企業如何強化資安治理，來保護手中個人資料。他更以臺灣實際的個資外洩訴訟案，來說明個資侵害事件中，企業資安治理哪些環節不足，會遭到究責。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>從歐美個資保護框架看資安治理對隱私的重要性</strong></span></span></p> <p>林逸塵表示，個人資料保護不只要注重CIA（機密性、完整性、可用性），更要注重資料去識別化與加密、物理性或技術性事件中即時回復個資可用性、定期評估個資保護安全性，以及發生個資侵害事件時主動通報等。他說，要做到這些事情，必須由良好資安治理做法來規範。如何做到好的資安治理？他以歐美國個資保護框架及建議做法來說明。</p> <p>歐洲資料保護委員會（EDPB）制定了《個資侵害通知範例指引》（Guidelines 01/2021 on Examples regarding Data Breach Notification），要求資料持有者依照CIA框架辨別潛在個資侵害事件，並依據事件發生的隱私風險，包括可能性與嚴重性，對主管機關及個資主體主動通報。此指引也列舉了勒索軟體攻擊、資料外洩攻擊、內部人為風險、硬體設備或紙本檔案失竊、誤發郵件以及電子郵件內容外洩等6大主題、共18種個資侵害事件，一一說明這些事件的風險評估和分類方式、建議最佳應對方式，以及典型錯誤應對方式。</p> <p>林逸塵指出，這份指引中，CIA是以個人資料風險為主體，而非從系統角度來評估。EDPB定義中，個人資料的CIA意味著：未經授權或意外的存取或傳播個資、未經授權或意外的更改個資、未經授權或意外的破壞或遺失個人資料。這也說明，在EDPB眼中，隱私雖是資訊安全一環，但比起系統安全，更加強調個人安全，尤其是個資侵害事件中，個資主體權利如何受到侵害。</p> <p>眼光看向美國，今年年初由美國國家標準與技術研究所（NIST）發布的網路安全框架2.0（CSF 2.0），於原有5大功能（識別、保護、偵測、回應、復原）的基礎上，新增了「治理」為第6個功能，將網路安全風險管理提升到組織營運戰略層面。</p> <p>同時，NIST也提供了網路安全與隱私參考工具（CPRT，Cybersecurity and Privacy Reference Tool），整合了CSF2.0、NIST隱私框架、NIST風險管理框架、ISO/IEC 27000系列等網路安全與隱私保護的標準與框架。使用者可以根據CSF 2.0 6大功能及其子分類，來查詢建議實踐範例。</p> <p>林逸塵用CPRT收錄的建議實踐範例，從6大功能來說明個資保護應該注重的資安治理流程。治理方面，應注重法律及合約要求；識別方面，應注重資料、軟硬體、系統、設施、服務、人員的識別、管理和紀錄；保護方面，應注重身分管理及驗證，以及存取控制；偵測方面，要建立持續監測內外部潛在風險的機制；回應方面，要制定事件管理、分析、回應報告及溝通機制；復原方面，則要有能力執行事件復原計畫及事件恢復的溝通。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1184-600-EU-%E6%94%9D%E5%BD%B1-%E9%83%AD%E5%8F%88%E8%8F%AF.jpg" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／郭又華</span></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>歐洲資料保護委員會制定的《個資侵害通知範例指引》，以6大主題、共18種個資侵害事件為例，說明不同事件如何評估隱私風險，以及如何依據風險，做出最佳應對方式，以及典型錯誤應對方式。</strong></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>企業須證明資安治理措施有效保護個資，發生事故才能免責</strong></span></span></p> <p>看回臺灣，資安治理是對臺灣企業來說更是不可忽視的議題。林逸塵引用一分資安業者2024年1月研究，臺灣6個月內，平均每周遭受2,930次網路攻擊，是全球平均的2.7倍。不僅遭受攻擊的風險高，一旦發生資料侵害事件，造成他人權益損害，企業還得負擔行政責任及民事責任，面臨鉅額罰款及賠償。</p> <p>他以今年剛二審判決的一起飯店顧客個資外洩訴訟案為例，說明企業能如何因為資安治理不當而被究責。</p> <p>事情經過是，有位民眾在飯店消費，後接到謊稱飯店客服的騙徒詐走近10萬元。原本消費者只寄送存證信函要求飯店刪除並不再使用自己個資，卻接連收到來自飯店簡訊，申訴後才知道，飯店的IT委外廠商曾通知飯店有5,423筆個資外洩，但飯店和IT業者都沒有通知顧客，這位受害民眾憤而提告。</p> <p>因為一審只判飯店業者刪除並停止利用所有消費者個資。不過，受害民眾不服提起上訴後，雖然委任IT業者提供了多項資安作法的證據，例如對非允許IP進行阻擋之截圖、針對廠商帳號密碼及個人資料 AES256加密機制截圖、多重伺服器分散資料、主機帳密權限控管與RSA私鑰管理、限定防火牆規則截圖等多項文件，法院認定IT業者無法證明自己在個資外洩事件前，有妥善管理及維護相關系統，因而，改判決飯店業者及委任IT業者各賠2萬元給消費者。「雖然這次只有各罰2萬元，但如果考量行政罰鍰最高1,500萬元風險，以及5千多名遭外洩民眾的求償風險，企業潛在財務損失非常龐大。」林逸塵指出。</p> <p>林逸塵進一步解釋，飯店及IT業者敗訴關鍵是，消費者沒有自行使用、管理個資的能力，舉證責任在資料控制方──企業必須證明事前有採取適當安全措施，沒有故意或過失，才能免除責任。二審中企業方提供的資料，都只能證明事件發生後的措施，無法證明事前做法保護消費者個資。這個案例說明，企業應妥善分析隱私風險、在個資侵害發生前採取適當安全措施，並有能力證明採用措施的有效性。</p> <p>現行法規定義下，什麼樣的措施算「適當安全措施」？林逸塵也進一步解讀《個人資料保護法施行細則》第12條定義的適當安全維護措施項目。</p> <p>第一項是，配置個資管理人員，甚至成立跨單位個資保護執行小組。第二、第三項是盤點組織內各種紙本及數位個資，以資料CIA等特性來評估隱私風險，並依據風險程度訂定安全管控程序。第四項則是強調制定事件通報管道，視情形需要聯絡主管機關及個資主體。第五項，是確保個資蒐集、處理及利用方式符合法規。</p> <p>第六項則要在完成個資隱私風險盤點後，依照風險高低控管不同人員的存取權限。第七項得依照內部人員不同職務來規畫專屬個資保護的教育訓練。第八項是妥善管理有存放個資的設備。第九、第十項要求得建立資安稽核機制，追蹤並保存資料安全相關措施的紀錄和個資使用過程所產生的紀錄，能證明有善盡個資保護責任，以備舉證或接受稽核之需。第十一項則是要求企業，得持續改善個資維護做法，包括事故後檢討、時常檢視個資保護制度、審視制度落實程度，並保留執行過這些事的文件作為證據。</p> </div></div></div>
2024/5/29 16:30作者郭又華https://www.ithome.com.tw/news/163176
超過90款惡意程式溜進Google Play，夾雜Anatsa與Coper等金融木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>定期監控Google Play惡意程式的資安業者<a href="https://www.zscaler.com/blogs/security-research/technical-analysis-anatsa-campaigns-android-banking-malware-active-google" target="_blank">Zscaler在本周揭露</a>，過去幾個月發現了Google Play上的逾90款惡意程式，其總計安裝數量超過500萬次，當中有兩款夾雜金融木馬程式Anatsa。</p> <p>其實在Zscaler所發現的惡意程式中，數量最多的是資訊竊取程式Joker，占了42.6%，居次的則是廣告程式的41.5%，還有12.8%是專門用來竊取臉書憑證的Facestealer，屬於金融木馬程式的Anatsa與Coper分別只占2.1%與1.1%。</p> <p>Anatsa最初瞄準美國與英國的金融程式，但Zscaler近來發現Anatsa的攻擊目標已擴大到包括德國、西班牙、芬蘭、韓國與新加坡的金融程式，鎖定全球超過650個金融機構。</p> <p>這兩個Anatsa金融木馬程式分別偽裝成看起來無害的PDF閱讀器及二維碼閱讀器，以成功上傳到Google Play並閃避偵測，且使用者的安裝數量已超過7萬次。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0529-android%20banking%20malware-Anatsa-by%20Zscaler.png" style="width: 418px;" /></p> <p><a href="http://www.zscaler.com/blogs/security-research/technical-analysis-anatsa-campaigns-android-banking-malware-active-google" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／</span></span></a><span style="font-size:14px;"><a href="http://www.zscaler.com/blogs/security-research/technical-analysis-anatsa-campaigns-android-banking-malware-active-google" target="_blank"><span style="color:#696969;">Zscaler</span></a></span></p> <p>分析顯示，在使用者安裝了任一款閱讀器之後，程式就會藉由假借更新的名義，自駭客所控制的C&C伺服器下載惡意程式碼或階段性酬載，繼之向使用者請求各種許可，諸如簡訊或輔助（Accessibility）等與金融木馬相關的功能，而為了自金融程式中竊取資料，Anatsa會下載一個金融程式目標清單，掃描受害裝置是否含有清單上的程式，再與C&C交流，C&C即會根據裝置上所找到的程式提供偽造的登入頁面，以竊取使用者的憑證。</p> <p>Zscaler說，即使這次它們僅發現少數嵌入Anatsa與Coper的金融木馬程式，但它們可能帶來最嚴重的危害，建議各組織應該實施零信任架構，以確保使用者在造訪任何資源之前都必須經過身分驗證與授權。</p> </div></div></div>
2024/5/29 15:24作者陳曉莉https://www.ithome.com.tw/news/163173
GitHub加速器資助11個開源AI專案，強調普及化、資安與問責應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2024-05-23-2024-github-accelerator-meet-the-11-projects-shaping-open-source-ai/#unsloth-ai-bending-the-cost-curve-of-fine-tuning-models">GitHub加速器（GitHub Accelerator）計畫</a>今年聚焦人工智慧技術主題。官方根據促進新職業發展、影響廣泛社群、強化資安，以及提高開源人工智慧技術的開發者生產力等指標來評估專案，總共挑出了11個，不僅符合當前人工智慧趨勢，且具有發展潛力的開源人工智慧專案重點輔導。</p> <p>今年入選的GitHub Accelerator專案涵蓋多個領域，包括模型最佳化與部署、測試與評估、AR/VR應用、無人導航、隱私與安全，以及開發者工具。每個專案在其特定專業範疇內推動與應用人工智慧技術，並且以開源方式促進技術的共享與發展。</p> <p>在模型最佳化與部署方面，unsloth AI專案能夠降低模型微調所需要的記憶體資源和時間，而<a href="https://github.com/llmware-ai" target="_blank">LLMware.ai</a>則簡化了企業採用檢索強化生成（RAG）技術的流程。<a href="https://github.com/addy-ai/langdrive" target="_blank">LangDrive</a>則可透過API簡化大型語言模型的訓練和部署。在人工智慧應用上，<a href="http://github.com/aframevr/aframe" target="_blank">A-Frame</a>專案讓使用者在瀏覽器中創建AR/VR與3D內容，<a href="http://github.com/ros-planning/navigation2" target="_blank">Nav2</a>則為機器人提供導航解決方案。</p> <p>針對隱私與安全的專案有<a href="http://github.com/open-webui/open-webui" target="_blank">OpenWebUI</a>，目標是發展可改善隱私和安全性的本地端大型語言模型，還有為安全團隊提供自動化代理的<a href="https://github.com/ipa-lab/hackingbuddyGPT" target="_blank">HackingBuddyGPT</a>。此外，<a href="http://github.com/lissy93/web-check" target="_blank">Web-Check</a>提供了由人工智慧驅動的網站安全檢查服務。GitHub Accelerator也支援人工智慧改善開發者工具的專案，像是用於人工智慧與機器學習開發的進階Python筆記本<a href="http://github.com/marimo-team/marimo" target="_blank">Marimo</a>，還有可以簡化RAG部署<a href="https://github.com/talkdai/dialog" target="_blank">Talkd.ai</a>。</p> <p>GitHub Accelerator計畫的目的在於策略性投資開源專案，引導開源技術的發展，GitHub對這11個人工智慧專案提供資金援助、指導和社群等資源，使其能建立起更穩固的發展基礎並茁壯成長。</p> </div></div></div>
2024/5/29 16:13作者李建興https://www.ithome.com.tw/news/163171
Opera AI瀏覽器將整合Google Cloud Gemini等模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瀏覽器<a href="https://press.opera.com/2024/05/28/opera-google-cloud-aria-gemini/" target="_blank">Opera宣布</a>和Google Cloud合作，將在其Aria瀏覽器使用Google的Gemini及圖像生成、語音等AI模型。</p> <p>Aria是Opera 100版以後加入AI助理的品牌名稱。它是以Opera多模態組合（multi-LLM Composer）AI引擎為底層，可插入50多種系列150多種AI模型，可讓使用者決定要使用哪種，並在其自然語言提示下執行聊天、查詢、產生文字或程式碼等任務。透過這項合作，Aria AI的模型陣容將加入Google Cloud的AI模型。</p> <p>Opera最近一次功能更新<a href="https://blogs.opera.com/news/2024/05/aria-image-generation-and-voice-output/" target="_blank">Feature Drop</a>中，將把Google Vertex AI的圖像生成模型Imagen 2服務部署給Opera One Developer版本，這項服務用戶每天可以生成30次。此外，拜Google的語音生成模型Wavenet（目前是基礎版）之賜，Aria助理也能口語般流利講述其回應結果，這功能可以由Aria AI回應內容右上顯示的音效圖示啟動。</p> <p>Developer版本部署是為未來正式版本功能發布前的測試，Opera強調該公司正致力於提升Aria說話的流暢度以及「選擇高相關性的語言」。使用者可以從側邊欄選單或在按「ctrl + / 」及「cmd + /」指令行啟動Aria。</p> </div></div></div>
2024/5/29 13:20作者林妍溱https://www.ithome.com.tw/news/163169
微軟Copilot進駐Telegram
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周發表了<a href="https://www.microsoft.com/en-us/edge/copilot-for-social?form=MY02F9" target="_blank">Copilot for Telegram</a>測試版，讓Telegram用戶直接從該傳訊平臺上免費使用Microsoft Copilot，擴大Copilot的足跡，可同時支援Windows、macOS、Android、iOS及網頁版的Telegram。</p> <p>Microsoft Copilot是個基於GPT大型語言模型的聊天機器人，微軟已將它整合到Windows 10與Windows 11中，亦可於Jira、Dynamics 365或Bing Web Search中使用，在Telegram中的Copilot同樣能夠回答使用者的各種詢問，例如推薦電影、協助編輯，或是幫忙寫程式，不過，它無法生成圖像，且根據<a href="https://www.windowslatest.com/2024/05/28/after-windows-11-copilot-is-coming-to-messaging-apps-starting-with-telegram/" target="_blank">《Windows Latest》</a>的報導，此一服務目前並不支援歐盟地區的用戶。</p> <p>Telegram用戶在登入該服務後，只要搜尋@CopilotOfficialBot就能找到Copilot，之後便可與它聊天，不過，它會要求使用者輸入用來註冊Telegram的電話號碼以驗證該帳戶，但強調微軟不會儲存該號碼。</p> <p>於傳訊服務中整合聊天機器人似乎是個趨勢，例如<a href="https://www.ithome.com.tw/news/159021" target="_blank">Meta</a>已將Meta AI整合到WhatsApp、IG及Facebook Messenger中，而<a href="https://www.ithome.com.tw/news/161514" target="_blank">Google</a>則是將Gemini嵌入Android平臺的Messages傳訊程式中。</p> </div></div></div>
2024/5/29 14:13作者陳曉莉https://www.ithome.com.tw/news/163170
【臺灣資安大會直擊】財富500強企業資安顧問剖析，如何因應資安長4大挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在KLC Consulting顧問公司擔任總裁暨資安長的賴弘偉（Kyle Lai）擁有25年資安工作經驗，不只在美國國防部和微軟、Zoom、波音、PwC等大型企業擔任資安顧問，也累積不少與財富500強企業資安長的交流經驗。他日前在臺灣資安大會上點出，資安長們目前面臨4大挑戰，包括領導決策、培養業務思維、風險管理，以及技術應用管理。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>資安長的挑戰</strong></span></span></p> <p>進入主題前，賴弘偉先是秀出一份2024年資安現況報告，該報告由美國資安公司Splunk發布，統計近2年企業最常遭受的資安事件，像是資料外洩（52%）、電子郵件詐騙（49%）、勒索軟體（48%）和DDoS攻擊（46%）。</p> <p>「這份清單非常有用，」他表示，不只列出10多項常見的資安事件，也顯示資安長們的工作重心—防範這些資安事件。當然，資安長的任務不只這些，還包括其他形形色色的工作內容，如事件回應、建置零信任架構、法遵法規遵從、滲透測試、第三方風險管理等林林總總數十項。其中，賴弘偉認為，資安長工作中所面臨的最大挑戰是領導決策、培養企業業務思維、風險管理，以及技術應用管理。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>挑戰與建議1：領導決策</strong></span></span></p> <p>就第一個挑戰來說，「資安長是個企業管理職位，而非技術職位，因此資安長必須與董事會立場一致。」賴弘偉表示，資安長首先要理解公司的營運方式，也就是公司如何賺錢、靠哪些產品或服務獲利，以及公司有哪些客戶、如何與客戶溝通，此外也得掌握供應商資訊，如公司如何與供應商溝通等。「對公司業務有了基本理解，就能建立符合業務需求的安全流程，」他說。</p> <p>再來，資安長必須要與公司內部關鍵的管理人員，建立強健的關係和信任，比如法律顧問、人資部門、財務長等。尤其資安長想推動資安意識培養或新政策時，人資就能協助傳遞這些訊息，而財務長則能協助批准預算，甚至能提供資安長更多公司營運的資訊。另外，與關鍵業務部門的負責人建立關係也很重要，因為，當他們想引進新技術時，資安團隊就能在第一時間給予協助。賴弘偉也表示，資安長也要培訓自己的團隊，讓成員不要經常對業務單位說不，否則「久而久之，業務單位會繞過資安團隊，讓你的工作更難執行。」</p> <p>還有一種方法是建立前後輩指導資源，可細分為2種形式。一種是針對資安長們，如透過資安長社群資源，藉同儕交流來得到新狀況的解方；另一種是對資安團隊成員，提供指導資源，來讓團隊與時俱進成長。</p> <p>最後一種方法是建立資安和學習文化。賴弘偉以自己為例，他在輔導美國國防部時，必須讓7名成員在90天內考取特定的資安認證，否則就會被辭退。為實現這一點，他們抽出周末來讀書、學習，最終在期限內達標，團隊的學習文化也因此建立了起來。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>挑戰與建議2：培養業務思維</strong></span></span></p> <p>資安長面臨的第2大挑戰是商業頭腦，也就是培養企業業務思維。賴弘偉給出3個建議，首先是了解財務知識，尤其資安長是企業管理職，若參與董事會會議，就得花時間討論公司業務與財務，因此得先了解財務知識如損益表、資產負債表等。另一個建議是與業務單位討論時，不要使用技術詞彙，尤其是在會議中，資安長只有幾分鐘能表達，因此應開門見山、進入正題，並以白話方式與溝通。最後一個建議是認清目前的狀態與期望目標，並規畫實現方法。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>挑戰與建議3：風險管理</strong></span></span></p> <p>風險管理是資安長的另一大挑戰。賴弘偉點出，資安長可從理解法規、建立資安框架和風險註記機制、制定詳細的事件回應計畫，以及供應鏈風險管理等4點來因應。</p> <p>就理解法規來說，資安長得與法遵部門聯手，來找出影響網路安全的規範。就建立資安框架而言，資安長可推動取得ISO 27001認證並遵循該方法，但若資安長任職的企業屬嚴格監管產業，則建議使用美國NIST CSF網路安全框架。因為該框架基於成熟度來劃分，且具備適當的信心結構，如此，資安長與高階管理層溝通時，就能使用該框架。</p> <p>至於事件回應計畫，則得涵蓋軟體、勒索軟體和供應鏈等類別，比如遭受勒索軟體攻擊時，由誰來決定支付贖金、支付與否的政策為何、最終由誰支付等回應計畫。最後，資安長得認識公司的供應商，「至少要了解保密性，比如公司與供應商交換哪些類型的資訊，以及可用性，比如供應商停工一周，公司能否承受此舉帶來的損失等問題。」賴弘偉表示，資安長可依此找出對企業至關重要的供應商，並派人去了解供應商的資安狀況，落實監管與合規。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>挑戰與建議4：技術應用管理</strong></span></span></p> <p>對資安長來說，還有一項技術採用管理的挑戰。面對這個挑戰，資安長可密切關注新技術發展，比如近年興盛的生成式AI，再來是與業務和IT團隊緊密合作，尤其企業業務團隊一定會儘早嘗試這些新技術，因此資安長得在業務團隊嘗試之初，就加入業務與IT團隊的討論，及早辨識風險和漏洞。賴弘偉表示，若資安長在業務和IT團隊引入新技術後才參與，就很難確定風險、失去與開發該技術的供應商的談判優勢。</p> <p>最後，他建議，資安長可與供應商討論新工具，來因應新風險。甚至和資安創投交換意見也會有幫助，「因為他們對新創公司投資，勢必研究過特定領域和解決方案，」這些資訊能幫助資安長更理解一家供應商及其提出的解方。</p> <p>除了上述4大挑戰和建議，賴弘偉最後也補充，對資安長角色的監管法規將會出現，資安長也該向公司要求承保董監事及重要職員責任保險（D&O）來保護自己，如此就不必為每個決策過度提心吊膽。</p> </div></div></div>
2024/5/29 12:23作者王若樸https://www.ithome.com.tw/news/163168
OpenAI成立新的安全委員會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在傳出<a href="https://www.ithome.com.tw/news/162968" target="_blank">已經解散</a>成立不到一年的超級對齊（Superalignment）團隊之後，OpenAI董事會周二（5/28）宣布成立了一個新的安全委員會（Safety and Security Committee），將負責針對OpenAI專案與經營的安全決策向董事會提出建議，而該委員會的主要領導人為OpenAI董事長Bret Taylor、執行長Sam Altman，以及另外兩名董事成員Adam D’Angelo與Nicole Seligman。</p> <p>OpenAI表示，最近該公司開始訓練新一代的前沿模型，預期其最終系統將能在前往通用AI的道路上達到一個新的能力水平，即使它們自豪於可以建置與推出同時具備能力及安全的模型，但在此一重要時刻依然歡迎辯論。</p> <p>該委員會的首個任務便是在未來的90天，評估與發展OpenAI的安全流程及保障措施，完成後再向董事會提出建議，經過董事會的審核後再與大眾分享最終決議。</p> <p>除了上述的4名成員之外，此一安全委員會也會延攬OpenAI的技術與政策專家Aleksander Madry、安全系統主管Lilian Weng、對齊科學主管John Schulman、安全主管Matt Knight及科學長Jakub Pachocki加入，並聘請外部的安全及技術專家來支援。</p> <p>不過，外界批評由執行長Altman來主導安全委員會有球員兼裁判之嫌，何況原本共同擔綱超級對齊團隊負責人的OpenAI共同創辦人Ilya Sutskever與OpenAI研究人員Jan Leike先後離職的原因，都是不滿OpenAI對安全的重視不足。</p> <p>此外，先前參與罷黜Altman的OpenAI前董事成員Helen Toner，本周在一個播客節目《The Ted AI Show》上透露，當初Altman之所以會被免職是因為Altman確實向董事會撒謊並隱瞞許多事情，包括沒有完全公開OpenAI的安全流程，而當初董事會更是經由Twitter才知道OpenAI發表了ChatGPT。</p> <p>本月才離開OpenAI的Leike已經找到了新工作，宣布<a href="https://x.com/janleike/status/1795497960509448617" target="_blank">將加入</a>Anthropic，繼續從事超級對齊任務，此一新團隊將致力於推動可擴展的監督、由弱至強的泛化，以及自動化對齊研究等，並正在招兵買馬。</p> <p>Anthropic是由來自OpenAI的兄妹檔Dario Amodei與Daniela Amodei共同創辦，同時獲得Amazon與Google<a href="https://www.ithome.com.tw/news/162016" target="_blank">的投資</a>，所開發的Claude模型<a href="https://www.ithome.com.tw/news/161705" target="_blank">被外界視為</a>是市場上最有潛力挑戰GPT的產品。</p> </div></div></div>
2024/5/29 11:53作者陳曉莉https://www.ithome.com.tw/news/163166
針對精品拍賣業者佳士得遭駭，勒索軟體駭客組織RansomHub聲稱是他們所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩週前<a href="https://www.linkedin.com/feed/update/urn:li:activity:7195563582305042432/">精品拍賣業者佳士得（Christie）執行長Guillaume Cerutti透露</a>，他們遭遇資安事故，導致網站癱瘓，在尋求資安專家協助下，該公司決定暫時關閉部分網站因應。</p> <p>這起事故是否會影響即將舉辦的拍賣會？該公司表示，日內瓦稀有手錶拍賣會將延後一天至5月14日舉行，但除此之外，其餘的拍賣會將照常舉辦。</p> <p><a href="https://s4.itho.me/sites/default/files/images/A6f8dafkz7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/A6f8dafkz7.png" style="width: 580px;" /></a></p> <p>事隔兩週，28日Guillaume Cerutti再度透露這起資安事故的處理情形。根據調查的結果，<a href="https://www.linkedin.com/posts/guillaume-cerutti-96529412a_i-would-like-to-continue-to-update-you-regarding-activity-7201037407234707456-z4s8/">他們確認未經授權的第三方存取內部網路環境</a>，攻擊者竊得部分檔案，當中包含與客戶相關的個人資料，但沒有客戶或該公司的財務或交易資料外流的跡象。但事故發生的原因，或是攻擊者的身分，這名執行長並未說明。</p> <p>但為何這名執行長願意透露資安事故的處理進度？很有可能是因為有駭客組織近日聲稱對其出手所致。</p> <p>5月27日，勒索軟體駭客組織RansomHub將佳士得列於網站上，號稱他們取得該公司全球逾50萬名客戶的個資，檔案大小為2 GB。這些資訊包括出生地、生日、全名、性別、聯絡地址、身高、種族等敏感資料。對方要脅，若是這些資料流出，佳士得將面臨巨額GDPR罰款，而且客戶會對其失去信任。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GOmP5pWacAAr59L.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GOmP5pWacAAr59L.png" style="width: 580px;" /></a></p> <p>這些駭客透露，<a href="https://securityaffairs.com/163808/cyber-crime/christie-data-breach.html">他們已與佳士得談判但並未成功</a>。該組織揚言，若是該公司不願付錢，他們將在6月2日外流相關資料。</p> </div></div></div>
2024/5/29 12:03作者周峻佑https://www.ithome.com.tw/news/163167
Google為Chromebook電腦加入Gemini等AI功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不願在AI PC的風潮中落後，<a href="https://blog.google/products/chromebooks/chromebook-plus-google/" target="_blank">Google昨（28）日宣布</a>為Chromebook Plus產品線加入Gemini AI助理，以及AI協助的文字撰寫、修圖等功能，將整合由ODM推出的Chromebook Plus產品，並已有宏碁、華碩及HP宣布新品。</p> <p>Chromebook Plus是Google去年10月<a href="https://www.ithome.com.tw/news/159095" target="_blank">公布的高階Chromebook</a>系列，採用12代Intel Core i3或AMD Ryzen 3 7000以上的處理器，具備8GB以上的記憶體及128GB以上的硬碟空間，售價350美元起跳。</p> <p>這次宣布主要是將Gemini等AI功能由雲端內建到桌機端，用戶可以自然語言提示要求助理代為執行任務。首先是Help me write，這功能今年初<a href="https://www.ithome.com.tw/news/161411" target="_blank">已整合至</a>Gemini for Google Workspace，可在Gemini協助下從頭撰寫或改寫、潤飾既有文字。其次，Chromebook Plus的ChromeOS內建了AI，可生成應用程式桌布或視訊會議背景。另外，筆電版的Google Photos功能加入了「魔法編輯器」（Magic Editor）按鍵，讓使用者可點擊或圈起要修圖的部份、將之拖曳到其他地方或調整大小，它也提供像是調整光線、背景等修圖建議。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0529-chromebook%20plus-Help%20me%20write.png" style="width: 600px;" /></p> <p>更重要的是Google將AI助理Gemini整合到桌機上，點入螢幕主頁的Gemini App圖示即可與之對話，或下達規畫商務活動、撰寫文字、搜尋、聊天等任務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0529-chromebook%20plus-gemini%20app.png" style="width: 600px;" /></p> <p>Google並為Chromebook Plus提供12個月的Google One AI Premium（Google One進階版）方案，用戶得以免費使用AI功能，包括Gemini Advanced、2TB雲端儲存空間，以及在Workspace Docs、Sheets、Slides和Gmail中使用Gemini等服務。Google One AI Premium是付費方案，收費標準為每人每月20美元（650元臺幣）。</p> <p>Google昨日也為全線Chromebook加入新的操作功能。第一是以Android手機快速設定Chromebook，只要掃一下QR Code，Android手機就能分享Wi-Fi及用戶Google帳號憑證。新增在ChromeOS中的Google Tasks檢視功能，讓用戶從主頁右下角點入，即能一覽Workspace或筆電上的待辦事項。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0529-new%20features%20for%20all%20Chromebooks-Simple%20set%20up%20with%20your%20Android%20phone.png" style="width: 600px;" /></p> <p>其次是新增螢幕擷取工具，可將螢幕一段錄影儲存成GIF格式，自製demo影片或有趣的GIF檔。最後Game Dashboard則方便用戶存取和設定電玩控制功能。</p> <p><a href="https://blog.google/products/chromebooks/new-chromebooks-plus-2024/" target="_blank">Google同時公布</a>了由宏碁、華碩及HP推出的5款Chromebook Plus筆電產品，包括Acer Chromebook Plus Spin 714、Acer Chromebook Plus 516 GE、Acer Chromebook Plus 514及HP的Chromebook Plus x360、Asus的Chromebook Plus CX34（臺灣已上市，售價21,900元臺幣），售價從349美元到699起跳。此外華碩及HP也有Chromebook新品，包括HP Chromebook 14和Asus Chromebook CM30，分別為249及299美元起跳。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/5/29 10:42作者林妍溱https://www.ithome.com.tw/news/163163
JetBrains正式推出Rust專用IDE RustRover，提供非商用免費授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains開發的Rust專用IDE <a href="https://blog.jetbrains.com/rust/2024/05/21/rustrover-is-released-and-includes-a-free-non-commercial-option/">RustRover</a>正式版已經上線。RustRover具備現代IDE功能，包括程式碼生成、即時分析和智慧重構等，其提供的模版功能，也能讓開發者運用常用的程式碼結構，快速編寫程式碼。RustRover還有程式碼檢查功能，能夠檢查開發者的程式碼，找出有問題的地方，並提供自動修復方法。</p> <p>RustRover能夠支援Rust程式碼執行，並且與Rust套件管理器Cargo整合，提供輔助工具讓開發者方便編輯TOML檔案和管理工作空間，簡化Rust開發流程。 RustRover提供團隊協作開發功能，並且與Git和GitHub深度整合。</p> <p>RustRover前身原本僅是JetBrains所開發的Rust外部套件，但隨著使用者與新功能需求越來越多，JetBrains便決定擴大對Rust的投資，開發專用IDE，甚至加入Rust基金會，對Rust生態系做出進一步貢獻。</p> <p>JetBrains在RustRover採用了有別於JetBrains其他IDE的授權模式。對於非商用目的的個人，可以免費使用RustRover；商用則如其他JetBrains IDE需要購買授權。IntelliJ IDEA Ultimate將免費支援Rust外部套件，而開發者如要在跨平臺C與C++專用IDE CLion上使用Rust外部套件，則需要擁有RustRover授權或是額外購買才可使用。</p> </div></div></div>
2024/5/29 08:29作者李建興https://www.ithome.com.tw/news/163152
【資安日報】5月28日，Check Point針對啟用VPN服務防火牆的用戶提出警告，有人企圖透過電腦本機舊帳號入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月思科對於大規模鎖定VPN系統的攻擊行動提出警告，並指出攻擊者的目標涵蓋多個廠牌的VPN系統，這樣的情況，如今也有資安業者提出警告，他們旗下的資安系統也面臨相關的攻擊。</p> <p>本週資安業者Check Point針對客戶提出警告，並指出對方意圖用於存取VPN系統的方式，是只需通過密碼驗證的本機帳號。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163141"><strong style="font-size: 22px;">Check Point證實旗下的VPN系統遭到鎖定，駭客用來入侵企業網路環境</strong></a></p> <p>今年3月思科提出警告，旗下防火牆搭載的遠端VPN（RAVPN）存取服務，遭遇密碼潑灑（Password Spray）攻擊，到了4月，該公司旗下的威脅情報團隊Talos指出，不只他們的VPN系統成為目標，有駭客鎖定Check Point、SonicWall、Fortinet、Ubiquiti等多個廠牌的VPN系統、SSH服務進行大規模暴力破解攻擊的情況，如今有其他業者證實旗下產品遭遇相關攻擊。</p> <p>5月27日資安業者Check Point提出警告，他們察覺有越來越多駭客組織企圖透過遠端存取VPN的方式，取得初期存取目標企業網路環境的管道。他們觀察到VPN系統遭到破壞的情況，並指出駭客攻擊了多家資安業者提供的系統。對此，該公司對客戶的相關系統進行監控。結果在5月24日，他們確認有少部分疑似未經授權嘗試登入的情況，這些存取利用電腦本機的舊帳號進行VPN連線，而這些帳號只有透過密碼進行保護。</p> <p>對此，他們呼籲企業組織的IT人員，應檢查這類系統是否存在本機帳號，並調查使用情形，若是必須維持只使用密碼進行身分驗證，IT人員應增加另一層身分驗證措施來增加網路環境的安全。</p> <p><a href="https://www.ithome.com.tw/news/163149"><strong style="font-size: 22px;">駭客架設多個冒充不同廠牌防毒軟體的網站，針對Windows、安卓裝置散布惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fakeav-avast-bitdefender-malwarebytes-156.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fakeav-avast-bitdefender-malwarebytes-156.png" style="width: 300px; float: right;" /></a>資安業者Trellix提出警告，他們看到宣稱提供防毒軟體的冒牌網站，鎖定Windows及安卓用戶而來。這些網站號稱提供Avast、Bitdefender、Malwarebytes的防毒軟體，攻擊者藉此散布不同的惡意程式。</p> <p>值得一提的是，Trellix研究人員也發現冒充自家產品元件的執行檔AMCoreDat.exe，此惡意程式會在特定資料夾建立多個檔案，並寫入有效酬載的部分內容，再透過AutoIt3重新編譯而成。攻擊者這麼做的目的，就是迴避防毒軟體的偵測。</p> <p><a href="https://www.ithome.com.tw/news/163146"><strong style="font-size: 22px;">Rockwell Automation針對工業控制系統攻擊行動升溫提出警告，呼籲管理員勿將設備連接網際網路以策安全</strong></a></p> <p>上週工業控制自動化設備業者Rockwell Automation提出警告，由於全球世界各地的地緣政治緊張局勢，導致敵對性的網路攻擊加劇，他們呼籲用戶應立刻採取行動，清查與網際網路連接的設備，並表明這些設備的設計並未因應公開存取的運用方式，應切斷與網際網路之間的連線。</p> <p>雖然他們並未透露攻擊行動的相關細節，但該公司也呼籲IT人員，應對於美國網路安全暨基礎設施安全局（CISA）發布資安公告的7項已知漏洞進行了解，並在情況許可的情況下採取緩解措施。</p> <p>這些在公告中提及的漏洞，影響Logix控制器及設計器、特定的通訊模組，以及自動化服務平臺FactoryTalk、人機介面軟體FactoryTalk View ME。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://blogs.blackberry.com/en/2024/05/transparent-tribe-targets-indian-government-defense-and-aerospace-sectors"><strong style="font-size: 20px;">印度政府、國防、航太機構遭巴基斯坦駭客鎖定，被植入跨平臺惡意程式</strong></a></p> <p></p> <p>◆<a href="https://cert.gov.ua/article/6279419"><strong style="font-size: 20px;">金融機構遭到鎖定，駭客組織濫用「踩地雷」小遊戲程式碼打造惡意程式並散布</strong></a></p> <p></p> <p>◆<a href="https://securitylabs.datadoghq.com/articles/malicious-pypi-package-targeting-highly-specific-macos-machines/"><strong style="font-size: 20px;">惡意PyPi套件鎖定執行macOS的電腦而來，企圖植入惡意程式</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163148"><strong style="font-size: 22px;">人工智慧服務供應商Replicate平臺存在重大漏洞，恐導致用戶自用的AI模型外流</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1716470364-diagram-6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1716470364-diagram-6.png" style="width: 300px; float: right;" /></a>資安業者Wiz曾針對譽為AI界GitHub之稱的Hugging Face平臺進行調查，揭露該平臺有可能允許駭客透過惡意模型進行跨租戶攻擊的情況，並指出這種提供AI有關服務的平臺資安弱點，並非只有Hugging Face獨有，本週他們公布另一個開源AI模型共享平臺Replicate的弱點，攻擊者也有機會透過惡意模型上下其手。對此，今年1月Replicate獲報後已迅速緩解相關弱點，並表示沒有用戶資料外流的跡象。</p> <p>而對於這項弱點帶來的影響，研究人員指出，攻擊者竟然可查詢其他用戶在此存放、僅供自用的AI模型，從而曝露模型訓練過程有關的專屬知識及敏感資料，或是攔截提示資料，而有可能操縱人工智慧的行為並破壞模型的決策流程，直接左右輸出結果的準確性、可靠性，並破壞自動化決策的完整性。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fmc-sqli-WFFDnNOs"><strong style="font-size: 20px;">思科揭露Firepower網頁管理平臺SQL注入漏洞</strong></a></p> <p></p> <p>◆<a href="https://onekey.com/blog/security-advisory-remote-command-execution-on-tp-link-archer-c5400x/"><strong style="font-size: 20px;">TP-Link修補C5400X路由器重大層級漏洞</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163022"><strong style="font-size: 22px;">Zoom Workplace導入後量子端對端加密解決方案</strong></a></p> <p></p> <p>上週Zoom Video Communications宣布，已針對Zoom Workplace服務推出後量子（Post-Quantum）全程加密（End-to-End Encryption，E2EE）解決方案，將率先支援Zoom Meetings視訊會議，之後也會支援Zoom Phone與Zoom Rooms。</p> <p>當Zoom用戶於會議中啟用E2EE時，僅有與會者可存取用來加密會議的金鑰，由於Zoom伺服器並未存放必要的解密金鑰，因此無法透過其伺服器破解。而為了對抗「先蒐集、後解密」攻擊，Zoom採用了後量子端對端加密技術Kyber 768，以便在量子運算成熟之後，依然能確保其加密資料的安全。</p> <p><a href="https://www.ithome.com.tw/news/163051"><strong style="font-size: 22px;">荷蘭HSD專家在臺揭露歐盟資安法規趨勢，NIS 2指令規範已不僅針對關鍵CI，並要董事會承擔責任</strong></a></p> <p>繼GDPR後，歐盟還有多項資安立法備受關注，近日臺灣資安大會上有來自荷蘭資安三角洲（HSD）的專家介紹這方面的議題，讓臺灣資安界能快速了解近年歐洲資安立法重點與概況，不只NIS 2、DORA受重視，網路韌性法（CRA）亦是主要焦點，要讓產品、服務的提供者也承擔責任。</p> <p>事實上，在歐盟層面，過去10年在數位領域已出現許多重要立法，大家最熟悉的莫過於多年前的GDPR，而如今還有人工智慧法案、網路韌性法正推動上路，持續引發國內企業與產業的關注。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163136"><strong>【5月27日】中東、非洲、亞洲政府機關遭中國駭客長期從事網路間諜攻擊行動並散布後門程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163090"><strong>【5月24日】研究人員揭露中國駭客組織APT41的作案工具KeyPlug，並指出有可能也提供當地資安業者安洵運用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163066"><strong>【5月23日】微軟推出AI電腦新功能Recall引發隱私爭議，英國主管機官宣布啟動調查</strong></a></p> </div></div></div>
2024/5/28 17:23作者周峻佑https://www.ithome.com.tw/news/163150
數位發展部長黃彥男：打造數位高速公路加速國內數位經濟發展，推動政府機關導入AI提升效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上任不到兩個星期，新任數位發展部長黃彥男今天(5/28)面對媒體，暢談他上任後的政策願景及想法，包括與各部會合作，共同規畫管理數位經濟高速公路（數位高速網路系統），以加速國內產業的數位化發展，帶動數位經濟，並且持續政府打詐的工作。此外，數位部也將扮演政府部門的AI推手，加速公部門人員學習AI技能，提升行政效率及改善對民服務。</p> <p>黃彥男表示，他上任後的任務之一便是推動數位轉型，必需推動數位經濟的發展，讓臺灣從傳統的製造業走向數位經濟，如同在其他媒體受訪時提到的，數位部規畫建立一條數位經濟的高速公路，加強和各部會的合作，包括讓民間公司參與，共同規畫建立高速公路。不同於一般的高速公路運輸貨物、人，數位經濟高速公路運送的則是資料，「如何交換、善用及使用資料，是未來數位經濟發展的重要基礎」。</p> <p>如同實體高速公路由交通部規畫及制定規則，數位經濟的高速公路也需要制定規則，讓資料交換能夠順暢進行，當數位經濟高速公路發生不法行為，例如詐騙，就需要規範處理，由數位部通知相關業務主管部會共同維護，因此數位部計畫建立偵測不法訊息或資料的查詢通報系統，讓相關部會及單位能夠快速處理或驗證資料的真實性，讓民眾能夠查詢資訊的真偽，信任數位經濟高速公路提供真實的資訊。</p> <p>他進一步說明，這個查詢通報系統和現有165的差別，在於165為確認詐騙的案例，而查詢通報系統是針對不確定的資訊查核，未來不只是詐騙，也會處理流傳的假訊息。</p> <p>另外，延續數位部先前的政策，這條高速公路需要強化基礎建設，通訊網路基礎建設必需要有韌性，不能因天災人禍，網路攻擊或實體戰爭就造成中斷，需要能維持一定程度暢通性，因此必需確保數位高速公路韌性，整合包括4G、5G、衛星、光電纜、微波，甚至未來的6G等通訊技術，以確保數位經濟的網路韌性。</p> <p>黃彥男表示，數位經濟具有比較高的毛利，未來國家經濟發展必需轉向數位經濟，而在數位經濟中，軟體業的發展相當重要，過去臺灣的強項在硬體，未來希望整合軟體與硬體，並結合AI、資安，能夠將市場擴大至全球，相信對臺灣會是很好的機會。「打造高速公路的目的，會帶動數位經濟的發展快很多」，他相信，這條高速公路不只數位產業，也會帶動其他產業的快速發展，例如金融科技。他也期許上任2年之後，國內數位經濟產值能夠突破兆元。</p> <p><span style="color:#B22222;"><strong>加速政府機關導入AI</strong></span></p> <p>除了透過數位經濟高速公路，軟體、AI及資安加速，擴大數位經濟產業發展；數位部另一個重要的角色，推動政府轉型的推手，因此新部長上任後，另一項重大任務便是，加速政府機關導入AI。</p> <p>他認為，臺灣過去在電子化政府發展已做的很好，不論是電子化政府或推動政府數位轉型，未來需要導入AI，以改善行政效率、讓服務更親民。為了讓政府機關導入AI，數位部未來會在全國推廣AI基本訓練，協助培養公部門人員具備AI的基本技能，讓公務人員了解公務上有哪些工具可供使用。</p> <p>「政府導入AI是下個目標，基於過去20年電子化政府基礎，向更智慧化的政府前進」，黃彥男表示，生成式AI一定是未來很重要的工具，因此對公務人員的AI技能訓練，其中一項重要的技能就是生成式AI，利用生成式AI預測、內容摘要等，可節省許多的工作，因此透過全國訓練，讓公務人員學習相關技能，但是生成式AI的問題是產生幻覺，其提供的訊息不完全正確，如果過於信賴生成式AI所提供的內容當作結論，容易出現問題。</p> <p>因此，數位部設立AI評測中心，對AI產生的內容建立一套評測系統，來評測其可靠性，目前如TAIDE模型已在AI評測中心進行評測。</p> <p>黃彥男認為，生成式AI應用的場景之一是客服系統，相較於人工客服，可以訓練AI精準回應，並且更親切禮貌的回應問題，這是生成式AI對於政府機關服務效能帶來的改變，甚至透過生成式AI來提供用藥、長照的建議，相信未來會看到愈多類似應用導入政府的服務。</p> <p>過去在唐鳳帶領下，數位部推動種種數位韌性計畫，通過電子簽章法，盼帶動數位經濟發展，並推出一系列打詐措施，黃彥男感謝前部長打下的基礎，未來繼續推動相關政策，同時也呼應總統新政策，加速推動政府機關採用AI，以呼應總統的AI島願景。</p> <p>至於數位部推動的數位韌性之一，以非同步軌道衛星強化我國通訊系統韌性的驗證計畫，該計畫利用非同步軌道衛星，在國內設置700多處，國外設置3處，當緊急狀態發生時，國內通訊網路中斷，仍能透過非同步軌道衛星維持一定的通訊。</p> <p>數位部表示，中華電信取代與低軌衛星服務OneWeb的合作後，按照Eutelsat OneWeb的規畫，今年上半年6月會開通泰國、南日本服務，因此預計今年底國內700多處接收點可進行驗證。除了政府的數位韌性驗證計畫之外，低軌衛星的商用化服務也將進入國內，供一般民眾可以使用，鑑於國內行動網路涵蓋普及，偏遠地區、船舶、航空器為3大可能應用場域，中華電信代理OneWeb來臺已在今年2月取得數位部審核通過，待再向NCC申請完成相關審查程序，未來可開放一般民眾申請使用低軌衛星服務。</p> <p>至於中軌道衛星，目前已開放民用SES中軌道衛星，以及持續開放高軌道衛星服務。數位部也預告盤點所有衛星星系落地可能使用的頻段，希望所有衛星業者申請來臺落地，透過各種衛星路由引進臺灣，強化異質網路提升數位韌性。</p> </div></div></div>
2024/5/28 17:52作者蘇文彬https://www.ithome.com.tw/news/163154
Rockwell Automation針對工業控制系統攻擊行動升溫提出警告，呼籲管理員勿將設備連接網際網路以策安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週<a href="https://www.rockwellautomation.com/en-us/trust-center/security-advisories/advisory.SD1672.html">工業控制自動化設備業者Rockwell Automation提出警告</a>，由於全球世界各地的地緣政治緊張局勢，導致敵對性的網路攻擊加劇，他們呼籲用戶應立刻採取行動，清查與網際網路連接的設備，並表明這些設備的設計並未因應公開存取的運用方式，應切斷與網際網路之間的連線。</p> <p>雖然他們並未透露攻擊行動的相關細節，但該公司也向IT人員呼籲提高資安警覺，若要了解這些工控設備暴露在公開的網際網路所面臨的網路攻擊，可研讀美國網路安全暨基礎設施安全局（CISA）發布資安公告的7項已知漏洞，並在情況許可的情況下採取緩解措施。</p> <p>這些在公告中提及的漏洞，影響Logix控制器及設計器、特定的通訊模組，以及自動化服務平臺FactoryTalk、人機介面軟體FactoryTalk View ME。</p> <p>其中，最危險的是<a href="https://www.cisa.gov/news-events/ics-advisories/icsa-21-056-03">Logix控制器帳密保護不足漏洞CVE-2021-22681</a>，這項3年前公布的漏洞，影響Studio 5000 Logix Designer、RSLogix 5000，以及17款Logix控制器，CVSS風險評分達到10分。一旦攻擊者成功觸發漏洞，就有機會在未經身分驗證的情況下，遠端存取控制器。此外，攻擊者也可能透過未經授權的第三方工具，竄改控制器配置，或是應用程式的程式碼。</p> <p>另一個存在於<a href="https://www.cisa.gov/news-events/ics-advisories/icsa-23-193-01">通訊模組的記憶體越界寫入漏洞CVE-2023-3595</a>，也相當值得留意，攻擊者可藉由傳送惡意的CIP訊息觸發，從而發動遠端程式碼執行（RCE）攻擊，並能在受害系統持續活動，CVSS風險評為9.8，共有25種型號的模組可能受到這項漏洞影響。</p> <p>其餘的漏洞，大多存在於FactoryTalk，當中的重大等級漏洞CVE-2024-21917、CVE-2024-21915也相當危險。</p> <p>CVE-2024-21917<a href="https://www.cisa.gov/news-events/ics-advisories/icsa-24-030-06">與加密簽章缺乏適當驗證有關</a>，攻擊者有可能藉此取得用於服務的Token，並將其用於存取另一個FactoryTalk服務平臺的資料夾，而藉機取得使用戶資訊，或是竄改組態設定，過程無需通過身分驗證，CVSS風險評為9.8分。</p> <p>另一個漏洞CVE-2024-21915，<a href="https://www.cisa.gov/news-events/ics-advisories/icsa-24-046-16">則是與執行權限分配有關</a>，一旦遭到利用，攻擊者在取得基礎用戶群組權限的情況下，就有機會登入特定軟體並取得管理員群組的權限，CVSS風險評為9.0分。</p> </div></div></div>
2024/5/28 14:42作者周峻佑https://www.ithome.com.tw/news/163146
人工智慧服務供應商Replicate平臺存在重大漏洞，恐導致用戶自用的AI模型外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Wiz曾針對譽為AI界GitHub之稱的Hugging Face平臺進行調查，<a href="https://www.ithome.com.tw/news/162150">揭露該平臺有可能允許駭客透過惡意模型進行跨租戶攻擊的情況</a>，並指出這種提供AI有關服務的平臺資安弱點，並非只有Hugging Face獨有，<a href="https://www.wiz.io/blog/wiz-research-discovers-critical-vulnerability-in-replicate">本週他們公布另一個開源AI模型共享平臺Replicate的弱點</a>，攻擊者也有機會透過惡意模型上下其手。對此，今年1月Replicate獲報後已迅速緩解相關弱點，<a href="https://replicate.com/blog/shared-network-vulnerability-disclosure">並表示沒有用戶資料外流的跡象</a>。</p> <p>研究人員指出，為了能容易執行AI模型的推論（inference），Replicate採用了專屬的模型容器化格式Cog，這種格式能協助使用者將AI模型容器化，並納入正確的相依性套件與程式庫，以及RESTful HTTP API伺服器。一旦將模型轉換成Cog格式，用戶就能將其上傳到Replicate，以便進行後續操作。</p> <p>為了驗證這樣的機制是否能防範有心人士在此發布具有惡意的AI內容，他們上傳惡意的Cog容器，並透過Replicate的使用者介面與容器互動，從而利用Replicate的基礎設施遠端執行程式碼（RCE）攻擊。</p> <p>在這之後，研究人員取得容器的root權限，並針對該平臺的基礎設施進一步調查，發現該公司採用Google Cloud Platform代管Kubernetes叢集，接著，他們針對網路環境進行研究，結果發現容器已建立TCP連線，而該連線卻是由不同的PID名稱空間執行的處理程序進行處理。研究人員表示，這代表有另一個容器與他們共用網路名稱空間。</p> <p>由於他們已得到容器的root權限，研究人員藉此檢查TCP連線內容，從而得知另一臺容器其實是Redis主機，而這臺伺服器通常會多個用戶提供服務，而讓他們發現有機會對其他用戶下手。</p> <p>研究人員透過名為rshijack的TCP命令注入工具，將特定資料注入Redis伺服器的TCP連線，從而繞過身分驗證，從而對他人的AI模型下手。</p> <p><a href="https://s4.itho.me/sites/default/files/images/1716470364-diagram-6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1716470364-diagram-6.png" style="width: 580px;" /></a></p> <p>而對於這項弱點帶來的影響，研究人員指出，攻擊者竟然可查詢其他用戶在此存放、僅供自用的AI模型，從而曝露模型訓練過程有關的專屬知識及敏感資料，或是攔截提示資料，而有可能操縱人工智慧的行為並破壞模型的決策流程，直接左右輸出結果的準確性、可靠性，並破壞自動化決策的完整性。</p> </div></div></div>
2024/5/28 16:10作者周峻佑https://www.ithome.com.tw/news/163148
駭客架設多個冒充不同廠牌防毒軟體的網站，針對Windows、安卓裝置散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客假借提供知名應用程式，藉此散布惡意軟體的情況不斷發生，而最近隨著資安威脅加劇，有人乾脆佯稱提供防毒軟體來引誘使用者上當，而且，這樣的情況連續發生數起。</p> <p>資安業者Trellix提出警告，<a href="https://www.trellix.com/blogs/research/a-catalog-of-hazardous-av-sites-a-tale-of-malware-hosting/">他們看到宣稱提供防毒軟體的冒牌網站，鎖定Windows及安卓用戶而來</a>。這些網站號稱提供Avast、Bitdefender、Malwarebytes的防毒軟體，攻擊者藉此散布不同的惡意程式。</p> <p>其中，他們看到冒牌Avast網站（avast-securedownload.com）是專門針對安卓用戶而來，一旦用戶下載APK檔案並安裝，裝置就會被對方控制，從而部署或刪除套件、讀取通話記錄及簡訊、得知其網路連線狀態。此外，攻擊者還會將其用於挖礦，並追蹤其地理位置。</p> <p>而對於冒牌的Bitdefender、Malwarebytes網站bitdefender-app.com、malwarebytes.pro，駭客則是用來對Windows電腦散布竊資軟體Lumma Stealer、StealC。</p> <p>值得一提的是，Trellix研究人員也發現冒充自家產品元件的執行檔AMCoreDat.exe，此惡意程式會在特定資料夾建立多個檔案，並寫入有效酬載的部分內容，再透過AutoIt3重新編譯而成。攻擊者這麼做的目的，就是迴避防毒軟體的偵測。</p> </div></div></div>
2024/5/28 16:50作者周峻佑https://www.ithome.com.tw/news/163149
中國設立475億美元的國家半導體基金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國國家集成電路產業投資三期股份有限公司（國家大基金三期）在5月24日成立，凝聚了19個機構的資金，註冊資本額達3,440億元人民幣（約475億美元），以用來投資半導體的完整產業鏈。</p> <p>原本可用來查詢該公司詳細資訊的中國國家企業信用信息<a href="https://bt.gsxt.gov.cn/corp-query-search-1.html" target="_blank">公示系統</a>在中國及美國媒體揭露此事後，已無法再查到相關資訊。然而，參與該基金投資的6家中國國有銀行，則在本周一（5/27）分別發出了公告，包括中國銀行、建設銀行、農業銀行、工商銀行、交通銀行與郵儲銀行。</p> <p>中國的國家大基金其實類似美國的《晶片與科學法案》（Chips and Science Act，CHIPS Act），都是為了要強化各自的半導體供應鏈，美國總統拜登（Joe Biden）在2022年8月所簽署的<a href="https://www.ithome.com.tw/news/152402" target="_blank">CHIPS Act</a>，計畫提撥2,800億美元的經費來推動美國的創新與科技，當中有527億美元與半導體有關。</p> <p>而受到美國制裁的中國其實更早就發展出由國家支撐的「國家集成電路產業投資」，整合不同組織的資金來投資中國本地的半導體供應鏈，第一期現身於2014年，資金約為1,387億元人民幣，第二期成立於2019年，資金約為2,041億元人民幣，而近日才成立的第三期，資金則高達3,440億元人民幣，除了是資本額最高的一期，也是首度引進6大銀行的資金，這些銀行所投入的金額不一，但皆同意會在10年內到位。</p> <p>其中，<a href="https://pic.bankofchina.com/bocappd/report/202405/P020240527625287819859.pdf" target="_blank">中國銀行</a>準備出資215億元人民幣，占股6.25%，<a href="https://www1.hkexnews.hk/listedco/listconews/sehk/2024/0527/2024052700903_c.pdf" target="_blank">交通銀行</a>則出資200億元人民幣，持股5.81%，<a href="http://www2.ccb.com/chn/attachDir/2024/05/2024052716234298464.pdf" target="_blank">建設銀行</a>亦將出資215億元人民幣，占股6.25%，6家銀行總計將出資1,140億美元，占33%。</p> <p>根據中國媒體<a href="https://www.chnfund.com/article/AR6bb96a42-b0af-1055-b3a2-3a12cc8f6d2d" target="_blank">《中國基金報》</a>的報導，國家大基金三期的前三大股東還包括中國財政部的600億元人民幣，國開金融的360億元人民幣，以及上海國盛集團的300億元人民幣，而它們皆為中國的國有組織。</p> <p>總之，國家大基金是中國用來投資境內所有半導體供應鏈的私募基金，主要是為了支援半導體產業完整產業鏈的融資需求，若計算先前的兩期資金，基金規模已然超過6,868億元人民幣，約950億美元。</p> <p>《中國基金報》引用華鑫證券的研究報告指出，國家大基金的前兩期主要投資設備與材料領域，而隨著AI的發展，第三期除了延續先前的投資外，也會將演算晶片與儲存晶片列為關鍵投資領域。</p> </div></div></div>
2024/5/28 14:12作者陳曉莉https://www.ithome.com.tw/news/163145
Kubernetes專案為維持平臺中立性，完成移除內建雲端供應商原生支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發團隊已完成<a href="https://kubernetes.io/blog/2024/05/20/completing-cloud-provider-migration/">移除Kubernetes專案內建的雲端供應商整合</a>，並且建立4個新的子系統來替代這些功能，包括雲端控制管理器、API伺服器網路代理、Kubelet憑證提供者外部套件，以及搬遷儲存使用容器儲存介面（CSI）系統。而之所以開發團隊要對Kubernetes雲端供應商的內建支援進行調整，其目的在於使其成為真正供應商中立的平臺。</p> <p>Kubernetes在早期發展的時候，透過內建雲端供應商的支援，來促進普及並減少複雜性，同時也建立了一套標準化實踐，來確保Kubernetes在不同的雲端環境具有一致性，但隨著Kubernetes專案的成熟和廣受採用，內建雲端供應商支援出現維護上的複雜性和擴展限制。</p> <p>之前Kubernetes為了要對各雲端供應商提供原生支援，開發團隊需要維護數百萬行的Go程式碼，而這個複雜性隨著專案發展持續增加，另外，開發團隊也有意使Kubernetes成為真正的供應商中立平臺，因此從Kubernetes 1.7版本開始，專案便啟動刪除內建雲端供應商整合（KEP-2395）的計畫。</p> <p>經過多個版本後，開發團隊終於成功將所有雲端供應商整合，從核心Kubernetes儲存庫搬遷到外部套件，專案因此刪除了約150萬行的程式碼，Kubernetes核心元件的二進位檔還大幅瘦身減少了40％。</p> <p>這次Kubernetes程式碼搬遷影響眾多元件，重要的程式碼路徑仰賴最初5個雲端供應商，包括Google雲端、AWS、Azure、OpenStack和vSphere的內建整合，要將這些程式碼從核心切分出來，開發團隊建立4個新的子系統，雲端控制管理器、API伺服器網路代理、Kubelet憑證提供商擴充外部套件，以及儲存搬遷使用CSI系統。</p> <p>雲端控制管理器取代kube-controller-manager和Kubelet中，直接和雲端API互動的功能，而API伺服器網路代理則取代kube-apiserver的SSH通道功能。Kubelet憑證提供商擴充外部套件取代了Kubelet內建功能，用於動態取得託管在Google雲端、AWS和Azure上映像檔註冊表的憑證。而管理Kubernetes和其他容器調度工具中的區塊和檔案儲存系統，則搬遷使用CSI控制平面標準。</p> <p>子系統經過數個版本的測試，現在都已經達到正式版本的成熟度，而且官方也預告，從Kubernetes 1.31開始，內建的雲端供應商支援將永久停用，並從核心元件中刪除。</p> </div></div></div>
2024/5/28 13:04作者李建興https://www.ithome.com.tw/news/163143
從午夜暴雪和XZ Utils兩大資安事件中，微軟揭露學到這三件事
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在微軟Build 2024大會第2天，微軟兩位跨開發和資安部門主管分享了未來安全計畫（Secure Future Initiative，SFI）執行至今的經驗，尤其是從午夜暴雪（Midnight Blizzard）資安事件中學習到的2大課題，如使用系統託管身分辨識工具、刪除70多萬個未使用的應用程式來保護工程系統。他們也從XZ Utils供應鏈攻擊事件中，意識到開源生態和安全文化的重要性，要透過培訓方式提高跨團隊資安意識。</p> <p><span style="font-size:24px;"><strong>為確保技術架構安全執行，微軟發起未來安全計畫</strong></span></p> <p>在微軟Build 2024大會第一天，微軟執行長Satya Nadella揭露了智慧助理Copilot技術架構，由底層的AI基礎設施、模型、資料、AI調度與工具鏈，再往上到Copilot助理層（含微軟Copilot和使用者客製化Copilot）、Copilot擴充等組成。而這些層的最外圍，就由AI安全與資安包圍，確保從最底層的基礎設施到最上層的應用，都能安全執行。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/copilot%20stack.JPG" /></p> <p>大會上，微軟開發者部門總裁Julia Liuson和微軟威脅情資部門客戶副總裁John Lambert共同說明，他們如何聯手實現AI安全與資安目標，以及計畫實踐以來學習到的寶貴經驗。進一步來說，Julia Luison的團隊負責開發，打造不少全球廣泛使用的開發者工具，像是Visual Studio Code、Visual Studio和GitHub等產品。John Lambert除了帶領威脅情資團隊，還是傑出的資安專家。自去年底以來，他們密切合作，「尤其在過去3個月來，我們一起工作的頻率比過去10年還要高，」John Lambert形容。</p> <p>這是因為，一如Satya Nadella在大會首日透露的，為實現AI安全與資安，微軟去年11月底發起未來安全計畫，遵守安全設計（Security by design）、安全預設（Security by default）和安全維運等3大原則。在這3個原則下，有6項安全文化和治理作法，包括保護身分和秘密、保護租戶和獨立產品系統、保護網路、保護工程系統、監控與偵測威脅，以及加速因應和恢復。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SFI%20(1).JPG" /></p> <p>而Julia Liuson和John Lambert特別聚焦與開發者息息相關的2項作法，也就是保護身分和秘密、保護工程系統。</p> <p><span style="font-size:24px;"><strong>從午夜暴雪學習到的經驗1：使用對的工具</strong></span></p> <p>John Lambert表示，現在的企業組織遭受威脅者（Threat actors）攻擊的頻率更勝以往。比如光是去年，微軟就發現密碼相關的攻擊就增加了10倍以上，達到300億次，估算可造成8兆美元的損失。而微軟的任務，就是要阻攔威脅者行為，並在去年追蹤到300多次威脅。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BA%8B%E4%BB%B6%E8%AA%BF%E6%9F%A5.JPG" /></p> <p>他繼續指出，駭客最普遍的攻擊目標是訊息，且駭客攻擊的思維是找到一個破口後延伸擴散。「他們鎖定信任鏈和存取轉接點；我常說防禦者用清單思考，攻擊者用圖學（Graphs）思考。午夜暴雪（Midnight Blizzard）就是其一。」</p> <p>午夜暴雪是俄羅斯的駭客組織，專門攻擊政府和IT企業（如下圖），微軟自己就曾遭受攻擊。John Lambert表示，午夜暴雪的圖學攻擊策略是獲取憑證，因此他們鎖定開發者，想得到開發者憑證，並用這些憑證建立攻擊圖，進而掌握公司機密。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/midnight.JPG" /></p> <p>為防止開發者不小心在Email或原始程式碼中洩漏秘密，微軟建立了GitHub Advenced Security工具來掃描秘密，這就是前述所提到的保護身分和秘密的一種作法。Julia Liuson表示，他們與客戶部門在GitHub Advanced Security開啟秘密掃描時，幾乎100%的客戶發現其原始程式碼中存在一些秘密，甚至有時候第一次掃描就發現數千個秘密。</p> <p>但這個掃描工具也有缺點，就是它可能無法識別每個秘密，而且這些秘密沒有明確特徵，也很難被辨識。因此，<strong>使用系統託管的身分識別（System managed identities）工具</strong>就很重要，它不只能自動更換授權所需的關鍵資訊、降低人工成本，還能快速回應。這是微軟從午夜暴雪事件學習到的重要一課。</p> <p>「我們希望所有應用程式都受到系統託管身分識別的保護，」Julia Liuson繼續說明：「長期而言，我們希望不再使用任何密碼。」如此，開發者就不會不小心把這些秘密資訊遺留在原始程式碼中，或Email給他們的朋友，也不必再定期更換密碼。</p> <p>但她也直言這個目標不容易實現，尤其許多雲端解決方案仍強調使用密碼，這是整個IT產業普遍存在的問題。微軟也正努力改善自家工具，讓工具的使用更簡單、更自然，讓開發者不會注意到系統託管身分識別工具正在執行，「這才是真正需要安全第一的文化變革之處；要在安全第一的條件下，兼顧生產力和簡單性。」她說。</p> <p><span style="font-size:24px;"><strong>從午夜暴雪學習到的經驗2：保護工程系統</strong></span></p> <p>除了秘密資訊，保護工程系統也很重要。John Lambert指出，午夜暴雪曾攻擊一家德州企業SolarWinds，在他們產品開發的過程中植入後門，想透過滲透軟體供應鏈，來接觸到最終的客戶企業。這個例子凸顯了保護工程系統的重要性，這也是微軟未來安全計畫的6項安全文化和治理作法之一。</p> <p>微軟如何保護工程系統？首先，他們刪除了70多萬個未使用的示範（demo）應用程式、範例應用程式和測試應用程式，也刪除了許多與這些應用程式有關的儲存庫和建置流程。因為，只要還有憑證、還能存取資源，就會被威脅者所利用。</p> <p>因此Julia Liuson總結，有2個非常重要的經驗教訓，可改善整體安全維運環境，首先就是從所有工程系統中，刪除不需要的應用程式，再來是以對待正式上線程式的嚴格標準，來對待非正式上線的示範、範例和測試等3類應用程式。這也是微軟未來安全計畫的重要任務之一。</p> <p><span style="font-size:24px;"><strong>開源生態圈也是攻擊目標，推動培訓提高安全文化</strong></span></p> <p>除了企業內部的工程系統，Julia Liuson還點出另一個常被攻擊的目標，也就是開源開發生態系。這類攻擊大多是社交工程，今年上半年就有個XZ Utils開源專案的例子，威脅者多年來一直在這個專案植入後門，這些後門只讓XZ Utils執行速度慢了些，很難讓人察覺問題。</p> <p>但，微軟PostgreSQL開發者Andres Freund在進行回歸測試時發現了速度變慢的問題，一番研究之後，確認XZ Utils資料壓縮程式庫被植入後門，並點出這是一場供應鏈攻擊事件，引發全球性的調查。</p> <p>「雖然微軟並未受到這個後門的影響，但這是安全文化發揮作用的好例子，」John Lambert說。微軟除了時時檢視現有的OSS管理系統是否夠好、足以防禦資安攻擊，也將自己的經驗整合到GitHub Advenced Security工具相依性檢視中。比如，他們利用GitHub軟體專案相依性自動管理工具Dependabot，來警示開發者哪些儲存庫正使用有漏洞的軟體，並協助開發者解決問題。</p> <p>不單靠工具發出警報通知，Julia Liuson認為，正確的安全文化也很關鍵，「微軟和整個產業都需要文化變革，培養安全第一的文化。」尤其是透過培訓，來提高團隊對充滿不確定性的資安意識，同時保有好奇心與創意。她也表示，微軟將繼續改善自家系統和工具，並優化客戶部門的程式碼和工作流程，提高整體安全性。</p> <p></p> </div></div></div>
2024/5/28 11:15作者王若樸https://www.ithome.com.tw/news/163139