iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 31篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 18:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

思科修補Webex Meeting零時差漏洞，有資安媒體指出這漏洞被用於攻擊德國政府
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月4日思科發布資安公告，指出<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-webex-june-2024">他們在5月初發現Webex Meeting的弱點</a>，導致部分客戶的會議資訊及中繼資料遭到未經授權的存取，他們已在5月28日進行處理，對全球客戶部署修補程式。</p> <p>該公司也根據事件記錄資料，通知遭到他人成功存取會議資訊及中繼資料的受害組織，並強調在他們完成修補後，這項漏洞尚未出現再遭利用的跡象。</p> <p>究竟上述弱點導致的未經授權存取資安事故細節為何？該公司並未進一步透露，但<a href="https://securityaffairs.com/164173/breaking-news/cisco-webex-flaws-german-government-meetings.html">資安新聞網站SecurityAffairs指出</a>，很有可能與今年3月<a href="https://www.bbc.com/news/world-europe-68457087">德國政府傳出的資安事故</a>有關。當時俄羅斯駭客對於軍事視訊會議發動攻擊，而這場會議的內容，主要是討論如何向烏克蘭提供軍事援助。</p> <p>到了今年5月，這起事故有了新的發展，<a href="https://www.zeit.de/digital/datenschutz/2024-05/bundeswehr-webex-sicherheitsluecke-it-sicherheit">德國新聞網站Zeit Online指出</a>，攻擊者存取上述會議內容的管道，就是透過德國政府部署的Webex軟體漏洞而得逞。</p> </div></div></div>
2024/6/7 16:25作者周峻佑https://www.ithome.com.tw/news/163358
Telegram發表虛擬貨幣Stars
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Telegram本周<a href="https://telegram.org/blog/telegram-stars" target="_blank">發表了</a>可用來支付數位商品的虛擬貨幣Telegram Stars，同時鼓勵開發者建置得以接受Telegram Stars的小程式（Mini App），並說開發者可將所收到的Telegram Stars以加密貨幣Toncoin領出。</p> <p>Telegram表示，該平臺目前每月有超過4億名用戶與機器人或迷你程式互動，可能是購買產品、存取服務或玩遊戲，藉由Telegram Stars的推出，這些機器人及迷你程式將可開始銷售產品及服務。</p> <p>簡單地說，Telegram Stars可於Telegram生態體系中購買數位商品及服務。使用者可在Android或iOS上的Telegram程式購買Stars，並經由這兩個平臺的帳單支付，也能向Premium Bot購買Stars，以用來支付電子書、線上課程，或遊戲中物件，未來Telegram也將允許使用者透過Stars來購買送給創作者的禮物。</p> <p>至於Telegram創辦人<a href="https://t.me/durov/280" target="_blank">Pavel Durov則鼓勵</a>開發者打造支援Stars的小程式，他說蘋果與Google在使用者於程式中購買Stars時，會向開發者收取30%的佣金，但Telegram同時會透過Stars來補貼開發者的廣告購買，倘若開發者決定透過廣告來推廣程式，佣金成本幾乎是零。</p> <p>此外，開發者亦可透過Fragment交易平臺，以Toncoin來領取他們所獲得的Stars。</p> <p>從Telegram的展示可看出，目前每個Stars的售價約為0.02美元，而CoinMarketCap的資料則顯示，現在每個Toncoin的價格為7.6美元。</p> </div></div></div>
2024/6/7 16:34作者陳曉莉https://www.ithome.com.tw/news/163357
蘋果即將推出獨立的密碼程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.bloomberg.com/news/articles/2024-06-06/apple-to-debut-passwords-app-in-challenge-to-1password-lastpass" target="_blank">彭博社</a>》（Bloomberg）本周引述消息來源報導，蘋果將於下周舉行的WWDC開發者大會上發表名為Passwords的獨立密碼程式，該程式將現身於最新的iOS 18、iPadOS 18及macOS 15作業系統上。</p> <p>根據報導，Passwords的底層技術為蘋果的iCloud Keychain，iCloud Keychain原本即可用來同步不同裝置的密碼與帳戶資訊，只是被藏匿在設定中，現在蘋果只是將該功能獨立。</p> <p>Passwords將可用來存放使用者的帳戶登入資訊、 Wi-Fi網路密碼或是通行密鑰（Passkey），而且可匯入其它密碼程式的資料，也支援使用者登入時的自動填入功能。</p> <p>無法跨裝置或平臺的密碼程式對使用者來說有些麻煩，因為密碼程式通常可自動生成複雜的密碼並存放於裝置上，若缺乏跨平臺的支援，那麼在A平臺上生成的複雜密碼就得花費一些力氣才能於B平臺上取得，包括手動輸入或藉由其它傳訊程式傳送，而《彭博社》則說，Passwords之後除了會支援 Vision Pro之外，也將支援Windows。</p> </div></div></div>
2024/6/7 16:53作者陳曉莉https://www.ithome.com.tw/news/163359
微軟統一開發體驗整合儲存服務Dataverse，簡化營運應用開發流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟針對財務與營運應用程式推出<a href="https://devblogs.microsoft.com/powerplatform/the-unified-development-environment-is-ga/">統一開發體驗（Unified Developer Experience，UDE）</a>，透過整合多種開發工具和雲端服務，簡化了財務和營運應用程式開發流程，無縫接軌本地開發和雲端執行。UDE將許多功能整合到單一登入體驗中，使得開發者可以更方便地使用不同平臺功能。</p> <p>過去開發者在開發與執行財務與營運應用程式的體驗，集中在本地端上，像是在單一機器進行程式碼編輯、X++編譯和部署，而在應用程式中運作X++程式碼的執行時體驗，也是在本地端除錯、執行單元測試，並使用SQL Server Management Studio和追蹤解析器進行資料分析，且要操作託管在雲端儲存商務應用程式資料的Dataverse，則必須額外手動設定和管理，並沒有與本地開發和執行時環境整合。</p> <p>而在新的UDE中，程式碼編輯和除錯等開發工作雖然仍是在裝置上進行，但是X++程式碼的執行會完全在雲端運作，應用物件伺服器（Application Object Server，AOS）、SQL資料庫實體以及Dataverse也都完整安裝都在雲端上。</p> <p>UDE解決了開發工具和環境相對分散的問題，透過提供統一開發環境，減少開發者在工具間的切換的需要，同時消除了本地開發和雲端執行之間的隔離。UDE維持本地開發的靈活性，開發過程集中在本地進行，但所有程式碼的執行都移往雲端，這使得整體的開發裝置設定更加簡單，開發者只需在標準筆記型電腦上安裝Visual Studio 2022即可，應用程式碼在雲端上執行，進而充分運用雲端運算能力與可擴展性。</p> <p>過去開發者需要手動管理多個環境和版本切換，容易出現版本不符的問題，UDE則可確保資料的一致性，當開發者對不同版本的應用程式碼進行開發，UDE系統會自動切換並下載正確的後設資料版本，開發者無須手動設置。</p> <p>在UDE中Dataverse扮演核心資料平臺的角色，其自動配置並整合多項技術，包括可實現資料同步的雙向寫入技術，以及無需複製資料的虛擬實體存取，還有業務事件觸發與流程自動化。Dataverse也使財務和營運應用程式能夠結合Azure Synapse Link，執行資料分析和高可用性儲存，同時還支援開發者採用Copilot擴充套件擴展人工智慧工作流程。</p> </div></div></div>
2024/6/7 17:04作者李建興https://www.ithome.com.tw/news/163354
Mistral公布模型微調API、SDK、企業服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國AI新創公司Mistral AI本周<a href="https://mistral.ai/news/customization/" target="_blank">公布AI模型客製化工具</a>，包括API、SDK，讓開發人員更容易為自家AI應用微調模型，或是提升模型的執行效能和速度，此外也提供企業模型微調服務。</p> <p>過去，微調模型需要高額投資，也需要具備相當的模型知識。為此，Mistral AI推出微調用的SDK及API，藉以降低微調模型的成本及技術門檻。而且，新工具可支援在用戶自有基礎架構上微調Mistral AI模型，或是使用Mistral AI代管的微調服務二種情境。</p> <p>Mistral AI的微調SDK名為mistral-finetune。後者是一種高效輕量程式庫（codebase）。這家業者說，這codebase是以LoRA（Low-Rank Adaptation）訓練典範訓練而成，支援省記憶體（memory-efficient）和高效的微調作業，允許用戶在自己的基礎架構上微調Mistral AI所有開源模型，而不損及效能。根據<a href="https://github.com/mistralai/mistral-finetune" target="_blank">mistral-finetune網頁</a>說明，為確保效能，建議使用A100或H100 GPU。這個程式庫已為多GPU單一節點訓練環境優化，但若用較小模型如Mistral AI 7B，則單一個GPU已足夠。</p> <p>這家新創另外也發布la Platforme上的一組無伺服器（serverless）微調服務API。這些服務以Mistral獨有的微調技術為基礎改良，達到可快速、省成本微調，以及快速部署模型的目的。這是Mistral模型開放應用開發商存取的新方式，底層使用LoRA接口，以防用戶忘記基礎架構模型知識，也更方便提供服務。</p> <p>微調服務API相容Mistral 7B及Mistral Small二種模型。這些模型用戶現在就能利用API加以客製化。該公司表示，未來幾周會再加入支援的新模型。</p> <p>若用戶不會微調，或希望微調結果更符合自有應用，Mistral AI也能代勞；新公布的客製化訓練服務能以客戶自有資料來微調模型，適合建立更專精化和為特定領域最佳化的模型。該公司在這服務中加入進階技術，像是持續預訓練（continuous pretraining），以便在模型權重中加入專屬知識。目前這客製化訓練服務已經提供給一小部分客戶。</p> </div></div></div>
2024/6/7 14:52作者林妍溱https://www.ithome.com.tw/news/163353
FBI已取得逾7,000個LockBit解密金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>FBI助理局長<a href="https://www.fbi.gov/news/speeches/fbi-cyber-assistant-director-bryan-vorndran-s-remarks-at-the-2024-boston-conference-on-cyber-security" target="_blank">Bryan Vorndran本周在波士頓網路安全會議上披露</a>，迄今他們手上已握有超過7,000個LockBit勒索軟體的解密金鑰，可以協助受害者取回它們的資料並重新上線，除了FBI正在聯繫已知的受害者之外，亦鼓勵任何懷疑自己受害的用戶造訪網路犯罪投訴中心（Internet Crime Complaint Center，IC3）。</p> <p>多國政府在今年2月聯手<a href="https://www.ithome.com.tw/news/161352" target="_blank">破獲LockBit</a>，當時國際警方接管了LockBit的資料外洩平臺，並取得原始碼、受害者資料、所竊取資料及聊天紀錄等，以及逾1,000個解密金鑰；但在美國於今年5月<a href="https://www.ithome.com.tw/news/162760" target="_blank">起訴</a>31歲的LockBit首領Dmitry Yuryevich Khoroshev時，國際警方所握有的解密金鑰已超過2,500個，隨著警方的持續追查，現則取得逾7,000個解密金鑰。</p> <p>不過，曾有一名LockBit開發者宣稱，從LockBit建立以來，總計擁有4萬個解密金鑰，執法機構只掌控了少數。</p> <p>儘管身分已曝露且被起訴，但Khoroshev依舊嘗試另起爐灶並於暗網中提供服務，還企圖藉由檢舉其它勒索軟體服務業者來換得自由，但Vorndran表示，FBI無疑會努力將他繩之以法。</p> </div></div></div>
2024/6/7 15:44作者陳曉莉https://www.ithome.com.tw/news/163355
臺灣資安大會特別報導(下) 臺灣資安大躍進
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1185-feng_mian_gu_shi_-p1_open-960x420_kao_bei_0.jpg?itok=T9rUljRk" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">資安是臺灣賴以生存與立足國際舞臺的必需品，身為資通訊設備生產大國，臺灣公務機關與資安產業持續推動零信任架構的落實，今年取得重大突破，而整體產業的部分，我們積極針對AIoT產品提供確保資安的元件，並正式投入後量子資安產業的發展。</p> </div></div></div>
2024/6/7 11:26未署名https://www.ithome.com.tw/article/163349
【臺灣資安大會直擊】老牌紡織廠靠GAI強化資安，將社交工程演練平臺化和AI化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遠東新世紀資安處資安長易換棣在臺灣資安大會上分享資安探索經驗，先是從上市上櫃公司資通安全管控指引建議的3大防線中，鎖定人員資安意識面，自建社交工程演練平臺、用生成式AI搭配8種風險指標，來生成釣魚郵件內容。他們還利用AI推薦個人化的資安意識課程、自動評分和建議。目前，遠東新世紀正探索結合AI和數位工具，來自動化執行社交工程演練。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>上市公司面臨的資安需求與挑戰</strong></span></span></p> <p>遠東新世紀是一家60幾歲的跨國企業，橫跨跨6個時區、行銷85國，還在7個國家設置生產基地。他們是全球前三大聚酯纖維生產廠之一，擁有從石化、聚酯、化纖、紡紗、織布、染整、成衣到零售的完整上下游生產鏈。</p> <p>但對遠東新世紀這樣的上市公司來說，還面臨不少資安需求。比如政府法令法規，包括了資安法及其子法、個資法，以及影響臺灣企業深遠的上市上櫃公司資通安全管控指引、公開發行公司建立內部控制制度處理準則，「雖然還沒成為真正的法令，但它就像一把劍指著我們。」易換棣說。</p> <p>再來是客戶契約，尤其是客戶對遠東新世紀的資安要求，如C-TPAP美國海關商貿反恐聯盟、歐美品牌公司力推的供應鏈安全措施。此外還有治理和ESG課題，如公司治理評鑑將資安認證列為加分指標，這也是一項資安需求。其他還有數位轉型，如近年生成式AI興起，採用AIGC應用可能帶來資安隱憂，而IoT數位足跡、去全球化及戰爭威脅、國際詐騙等也是要考量的資安需求。</p> <p>面對這些需求，易換棣點出，他們還有4種資安挑戰要解決，包括資安人才、資安資金、專職與專責的資安人力，以及資安人員與主管和跨單位同事的關係和諧問題。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>鎖定人員資安意識，制定AI社交工程演練方法</strong></span></span></p> <p>面對這些挑戰，遠東新世紀從上市上櫃公司資通安全管控指引中，找出可加強之處。這份指引提出「3大防線」，來建議企業從政策面、技術面和人員意識面強化資安防護，比如在政策面，要求企業成立資安推動組織與制定資安目標、設立資安專責人員、制定人員裝置使用管理規範等措施，技術面則點出，企業要設置資安威脅偵測管理機制、資安防護與控制等機制。</p> <p>人員意識面則給出3大建議，包括接受資安教育訓練、資安專業課程訓練，以及每年辦理電子郵件社交工程演練。「因為我們在市場上很難找到成熟的產品或方法論，」於是遠東新世紀選定人員意識面，作為探索領域。</p> <p>他們自建一套演練平臺，也制定一套AI社交工程演練方法，來提高人員資安意識。這套方法有8個步驟，首先，遠東新世紀建立演練名單，並分析員工特質、建立員工風險履歷。第2步是制定社交工程場景計畫，包括建立計畫草稿和客製化釣魚郵件範本。</p> <p>接著是釣魚攻擊演練，這步驟包含2件事：自動回覆釣魚郵件事件和釣魚郵件家教，來協助演練和資訊彙整。第4個步驟是分析組織與員工的活動風險，其中，團隊會用AI生成活動日誌，來統計、分析組織和員工活動。根據風險分析，接下來是推動安全意識線上課程，比如透過AI推播個人化的課程。上完課，下一步要做的是線上安全意識測驗，一樣要透過AI輔助自動評分、給予考試內容輔導意見。</p> <p>完成測驗後，再來是借助AI，匯總公司和職員個人的風險報告。最後一步則是提出改善方案，來提高人員資安意識。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>定義8種弱點特質、製作風險履歷</strong></span></span></p> <p>這8步驟看來複雜，遠東新世紀如何跨出第一步？</p> <p>易換棣指出，他們先透過資安情報、公開資訊，盤點出高風險的郵件用戶，也就是「釣魚郵件演練不能放過的職員。」比如透過職位層級找出高風險職員，如高階主管、IT、財務、高權限用戶，以及過往資安意識表現較低的職員，如新進員工或資安培訓不足的員工。</p> <p>同時，他們也鎖定聯絡資訊對外暴露的職員，如官網公開的Email清單、暗網洩漏名單、重要供應鏈視窗名單和社交平臺活躍用戶等，或是研發、人資和業務等特定部門員工，納入高風險名單，作為必須演練的對象。</p> <p>接著，他們制定風險履歷，先定義出8種弱點，也就是演練對象容易上當的釣魚郵件類型，包括恐懼威脅、貪小便宜、粗心大意、宗教政治、情感豐富、新興科技、好奇寶寶、急功近利。</p> <p>比如，恐懼威脅是以威脅口吻告訴收件者握有機密資訊，要求收件者在特定時間內支付贖金等內容。貪小便宜則指，利用打折、優惠等內容吸引收件者點選郵件連結。粗心大意則透過模仿金融機構、利用帳戶安全等字眼，引起收件者擔心、進而點擊「忘記密碼」連結。宗教政治顧名思義，以宗教或政治活動邀請，如探索宗教與自我的深層連結，來吸引收件者閱讀、點擊連結。</p> <p>至於情感豐富類型，則是以災區捐款、模仿慈善團體名義等方法，發送內含惡意連結的釣魚郵件給特定對象。新興科技是指以科技媒體名義，發送捏造的新技術新聞內容，如ChatGPT 5Alpha正式登場，並附上體驗連結來吸引收件者點擊。好奇寶寶類型則是以英文和近似大牌廠商名稱，如Coco-Cola，來發送包含連結的中獎消息。最後一種急功近利型，則是以「絕對不能錯過」、「快速致富」、「投資贏家」等字眼來激起收件者好奇心，進而點擊連結。</p> <p>遠東新世紀用這8個弱點規畫的風險履歷，包含一套雷達圖，以8個弱點作為指標，可根據個人和組織整體的8項分數，畫出風險雷達圖。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>訂定5種演練場景，採混合演練模式</strong></span></span></p> <p>接下來，對應到上述步驟2的社交工程場景計畫制定，他們劃分出5種演練場景，包括新員工培訓、定期員工培訓、發生資安事件後、特定部門釣魚郵件演練，以及公司重要活動前，並分別制定不同演練計畫。易換棣補充，第5個場景尤其重要，比如遠東新世紀每年都會舉辦馬拉松，在馬拉松前發送釣魚郵件，職員上鉤機率較高，因此是個加強演練和宣導的好時機。</p> <p>而他們的演練計畫內容，通常包含演練目標範疇、管理層授權、執行團隊統籌、鎖定釣魚對象並以生成式AI產生內容、開立IT需求單、事前演練、正式演練和出具報告與教育訓練等。</p> <p>在演練階段，不少企業會分為統一演練和部門演練2種方式，但遠東新世紀採混合式方法，將中央和部門採用同一套框架標準，再由各部門根據需求，來制定所需的演練內容。</p> <p>如此，就能兼顧統一演練和部門各自演練的好處，像是貼近部門需求、參與程度高等。易換棣補充，他們也正探索，如何利用AI和數位平臺，來高效能、自動化完成演練。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>善用AI提高演練和教育效率</strong></span></span></p> <p>演練期間，他們還設計生成式AI驅動的釣魚郵件家教，當員工收到可疑郵件時，可向家教詢問，家教再根據郵件來源、特徵等，來告訴員工是釣魚郵件風險等級和處理建議。這些高風險郵件資訊還會儲存起來，未來出現同樣或類似內容時，就能通知職員。</p> <p>易換棣解釋，這個家教是他們訓練的幾支AI代理（Agent）之一，透過每一次的對話，即時告知員工判斷要點，也發揮宣導功能。</p> <p>再來，在演練後的資安意識課程部分，遠東新世紀也運用AI推送合適的影片，並幫忙改測試考卷、給予建議。尤其，他們使用RAG技術，結合公司內部政策，能提供更貼切的資安說明員工。</p> <p>與之類似的，還有團隊打造的資安問答Chatbot。他們收集公司相關案例，員工透過資安問答Chatbot，可學習到過往社交工程資訊，先行預防。「透過這些方法，我們在教育訓練的即時性、個人化表現是有提升的，」易換棣說。</p> <p>最後，遠東新世紀自建的AI釣魚郵件演練平臺，會根據部門員工分數，顯示部門和公司整體風險履歷表，包括8大指標雷達分數圖，以及年度評測結果說明。同一頁面還會秀出公司的社交工程實戰看板，包括每次演練重點摘要和關鍵數字，另外也能從邊欄，來查看事件回應分析、社交工程評估報告等更多內容。</p> <p>至於如何衡量演練成效，易換棣也分享3大檢核要點。第一是效果，比如收益是否高於成本、提升整體防護，再來是效率，如操作簡單流暢、自動化且標準化、營運干擾最小化，以及貼合性，也就是符合實務、模擬真實攻擊手法等。</p> </div></div></div>
2024/6/7 11:15作者王若樸https://www.ithome.com.tw/news/163348
【2024臺灣資安年鑑｜資安十年特輯】學校教育至少要能培養出資安人手，期許成為博派資安人
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_shi_nian_-wu_zong_cheng_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">iThome</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資訊安全在當今社會日益受到重視，成為眾多產業和政府機構關注的焦點之一。然而，資安的發展過程中也面臨著各種挑戰，而這些挑戰往往不只是技術，更牽涉到人、政策和社會等多個層面。臺灣科技大學資訊管理系特聘教授吳宗成對於資安領域的發展和挑戰有著深刻的見解，他指出，資安產業的發展需要適當的熱度，但又不能過熱，以免阻礙未來的發展。</p> <p>吳宗成強調，資安人才培育的重要性。他認為，成為優秀的資安人才，需具備跨領域專業能力，而且，資安教育應從基礎知識到進階能力全面覆蓋。</p> <p>此外，他還提到應該要提升全民資安意識，因為目前許多資安政策制定者，和年輕世代的數位原住民之間有著極大的數位落差，更呼籲，應該將資安教育納入學校課程和社會培訓，從根本上提升全民的資安意識。</p> <p><span style="font-size:28px;"><strong>推動全民資安教育，因為資安問題就是所有人的問題</strong></span></p> <p>資安問題已經成為全球性問題，而政府在制定相應政策時往往會面臨著諸多挑戰。在政策制定方面，吳宗成舉例指出，為了做到民眾有感，政府往往更關注鋪橋造路等基礎建設，至於如何解決資安問題，往往因為沒選票而忽視。</p> <p>此外，政府在面對資安問題時，往往會與產業、社會之間存在認知落差，這對於資安政策的制定和執行而言，都會帶來一定的困難。</p> <p>隨著科技的發展，像是線上付款、行動支付等新型支付方式，正逐漸成為趨勢。然而，吳宗成更看重這些新技術所帶來的資安風險，他也說，對於將最新科技應用內化的數位原住民而言，這些風險無法避免。他強調，政策制定者和數位原住民的數位落差，可能會導致嚴重資安問題的數位應用或服務，因此，需要更多努力來推動全民資安教育。</p> <p>資安教育需要從早期開始，吳宗成表示，可以從寫程式的方式去了解系統、教導如何辨識資安威脅，以及如何避免資安風險。然而，他認為，現在的資安問題早已不僅是技術問題，更是涉及整個社會的安全問題，使資安意識融入生活的方方面面變得尤為重要。</p> <p>吳宗成指出，政府在推動資安方面仍然面臨著許多挑戰，與其他領域不同，資安問題涉及的，不僅是技術層面，還包括社會、政治、經濟等多個方面。因此，他說，政府需要更加注重全方位的資安管理，包括加強法規制定、推動資安教育、提升監管力度等。</p> <p>面對資安問題的嚴峻挑戰，吳宗成主張推動全民資安意識的建立。他強調，資安不只是高階專家的事情，而是每個人都應該關注的重要問題。因此，政府應該積極推動資安教育和培訓，提高全民對資安問題的認識和理解。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E5%90%B3%E5%AE%97%E6%88%90-600-1-JPG(1).jpg" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>人才培育三階段，從人手、人才到人物</strong></span></p> <p>在資安領域，人才培育一直很重要。吳宗成從三十多年對資安研究和資安人才培育經驗，將人才發展分三階段，資安人手、資安人才，以及資安人物。</p> <p>他認為，資安人才培育應從基礎的「人手」培養開始，逐步提升到「人才」和「人物」層次。然而在這過程中，資安領域確實存在人手、人才、人物之間的斷層，這也成為值得關注的問題。</p> <p>吳宗成對人手、人才、人物的區分，提出了明確定義。他說，「人手」是指具有一定知識水準，可以理解特定事物的人；「人才」則是有能力應用特定事物的人；而「人物」則是具有聲望，被他人認為是某種領域的專家。在資安領域中，這三個層次之間存在著明顯的差距，尤其是在人才和人物方面的培養上，更多都是當事人自學努力、不斷專精研究的成果才有的榮耀。</p> <p>吳宗成進一步解釋，基本的「人手」通常可以根據他人的指示行動，缺乏主動性和獨立思考能力，他期待學生畢業後，至少能扮演好人手的角色。</p> <p>進階的「人才」具有一定的主動性和獨立思考能力，能夠在一定程度上主導自己的行動；最高階的「人物」具有影響力和領導能力，能夠引領他人一起思考和行動。</p> <p>他坦言，目前資安領域大多數的培育工作，其實多集中在人手的培養，而人才和人物的培育相對較為缺乏。儘管有許多人加入了資安領域，但真正具備能力且具有影響力的資安專家仍然稀少。這種培育斷層，使得資安領域在人才的供應，面臨嚴峻的挑戰。</p> <p>韓國最著名的Best of the Best（BoB）資安菁英人才培育計畫，每年培訓一、二百名全國頂尖的資安人才，並將他們推薦到各個產業和不同領域工作。</p> <p>吳宗成表示，臺灣已經參考BoB推出AIS3的資安菁英人才培育計畫，但資安需要培養各種不同層次的人才，不只是菁英級別的專家。</p> <p>因此，產業對資安人才的需求，也應該將納入培訓計畫，以培養更多的資安人才和人物。他認為，這類計畫式的資安人才培養，除了能夠解決資安人才短缺的問題，還能夠促進更多優秀人才在培訓過程中嶄露頭角。因此，將產業需求納入資安培訓計畫的做法，有助於培養更多具備跨領域專業能力的人才，進而推動整個資安領域的發展。</p> <p>對於資安人才的培育，吳宗成認為，除了學校教育，還可以透過在校、在職和社群等多種途徑，培育不同層次的資安人才，但是，這些都是需要長期的投入和努力，才能夠取得實質成效。</p> <p><span style="font-size:28px;"><strong>扎實的學養是跨域人才基本功</strong></span></p> <p>在資安領域，具備產業專業的資安人才的培養一直是重要課題。吳宗成認為，成為優秀資安人才需具備跨領域的專業能力，扎實的學養基礎很重要。</p> <p>他指出，資安領域的基礎能力包括電資、資管和數學等基礎科學能力，也必須懂線性代數、離散數學、統計學等計量數學，其他像是基本的程式語言、程式設計、資料結構、演算法、作業系統、計算機結構、網路系統、資料庫系統等，都是基本知識能力。</p> <p>他也提到資安圈的進階能力，包括密碼學、破密分析、大數據分析、人工智慧、機器學習等理論創新能力；系統安全（軟硬體）、網路安全、資料庫安全、雲端計算、行動運用、數位鑑識等工程研發能力；甚至包括關鍵基礎設施、電子商務、金融支付、電子治理、隱私保護、智財保護等應用及管理能力。</p> <p>因相關能力與人才培養不易，他感嘆臺灣面臨嚴重資安人才斷層與短缺。</p> <p>資訊安全不僅是技術性問題，更是關乎國家安全的嚴肅議題。因為資安的重要性在於，不僅涉及企業的正常運作，還直接影響個人的生活。這種跨越企業和個人層面的影響，使得資安的重要性不言而喻。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E5%90%B3%E5%AE%97%E6%88%90-600-2-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>培養跨域資安人才挑戰大</strong></span></p> <p>吳宗成坦言，在資安人才培育方面，我們面臨著一系列挑戰。首先，跨領域的專業能力要求高，他說，從資安管理、資安技術到資安法律，跨域人才培育需要學生具備廣泛的知識和技能，這也對教育機構提出了更高的要求。</p> <p>其次，教育機構和企業需要投入大量的時間和精力進行培訓和引導，只不過，這樣的培訓工作是長期的耕耘過程，往往難以量化成具體的成效，並且缺乏即時的績效評估標準，使得資安人才培育更加困難。</p> <p>第三，政治因素的影響也不可忽視。例如，馬英九政府時期的服貿協議都對資安人才培育帶來一定的影響。而且，政府對於培育資安人才的政策，同樣對資安人才培育產生影響，因此，政策制定者需更加重視資安人才的培育。</p> <p>例如，臺灣資安人才培育計畫已經推行多年，並且得到政府相關部門的大力支持，像是針對資安菁英人才提出的「AIS3新型態資安暑期課程」即為一例，不僅獲得教育部及其他部門提供相應的資源支持，連帶許多往下延伸到高中生的培訓課程，都讓資安人才培訓可以繼續往下扎根。</p> <p>第四，現行的資安課程主要局限在研究所層次，而吳宗成說，這對於大學生來說，資安相關的課程選擇相對較少。因此，我們需要加強對大學生的資安教育，提供更多選修課程和實踐機會。</p> <p>他認為，為了讓大學生畢業後都能具備資工、資管和資安的基本能力，不一定要獨立開設資安系，但針對現在的資工或是資管科系的學生，至少都要設立資安組，而且，不分組別的學生也都要修習資安的基本課程。</p> <p>至於修課過程，應以三（基本）、三（核心）、四（興趣）的比例做課程選修的分配，他說，至少都要讓畢業的學生都懂得軟工、網路、資料庫、系統分析、資料結構、演算法和資安等基本能力，「這些課程都是讓學生大學畢業後，想到系統整合商（SI）工作要具備的基本能力。」他說。</p> <p>第五，在人才培育方面，老師扮演重要的角色，吳宗成說，現在的他更希望能夠扮演學生的「人生導師」，不只有專業領域的知識技能，而是攸關未來人生的發展方向應該怎麼走會更好。</p> <p>因此，他現在收的學生也比以往少，要提供學生足夠的資源，也必須有更多時間了解學生、有更多溝通機會，他才能夠扮演好人生導師的角色。</p> <p>此外，吳宗成也觀察到，因為教育部對於教師升等有一定的規範路徑，年輕的學者除了花時間在準備教學，也需要花費很多時間在教師升等。</p> <p>他認為，這些教師升等壓力，也使得很多年輕的老師無法發揮創造力，也無法將心力放在某些特定、值得鑽研和深入研究的領域，導致年輕老師比較難成為領域的專家，更難引領學術風潮。</p> <p>吳宗成表示，因為資安人才培育是複雜而艱巨的任務，需要政府、教育機構和企業等共同努力、持續改革，才有辦法培養更多人才、保障國家資安。</p> <p><span style="font-size:28px;"><strong>期許能成為一個博派資安人</strong></span></p> <p>吳宗成在資安領域深耕超過三十年，他從1976年念碩士班開始接觸資安領域，對領域的學習迄今仍堅持不懈。回憶當初學密碼學的時候，發現自己對數學理解不夠深入，但數學對於密碼學又非常，便痛下苦功，務求徹底讀懂。</p> <p>其次，資訊領域的必修課程也是必不可少的，例如資料結構、演算法等，這些都是必須掌握的基本知識，甚至會去讀相關論文，不會因為只想知道答案而走捷徑。像是密碼學中的微積分是非常重要的學科，對於明文、密文的解密，如果懂得向量、懂得代數，就會覺得解密相對簡單。</p> <p>在資安領域中，基本功非常重要，就像武術一樣，基本功不扎實，就無法應對複雜情況。因此，我們必須將基本功練得非常扎實，以應對各種挑戰。</p> <p>吳宗成以金庸小說《倚天屠龍記》出現的少林寺藏經閣掃地僧覺遠和尚為例，每天擔水掃地，練成最上乘內功，才能教張君寶（張三豐）學會以柔克剛、創立太極。他說：「資安領域最怕的就是半瓶水、響叮噹的人。」</p> <p>他認為，面對充滿挑戰的領域中，身為資安專家，也需要具備豐富的知識和技能，才足以應對不斷變化的威脅和挑戰，因此，廣泛閱讀也是必不可少。因為資安涉及多個領域，包括人工智慧、軟硬體、天文地理等各個領域，他說「只有不斷地學習和閱讀，才能夠跟上資安領域的最新發展。」</p> <p>吳宗成很喜歡用「變形金剛」來比喻，他說資安人就要像博派機器人，不能只活在自己的世界，要懂人民生活感受並能提出對策，不能只懂學理、固守自己觀點、活在象牙塔。</p> <p>他說，博派資安人就像變形金剛，可從「生成式」去變化，要博學多聞、活在人的世界中、懂得人民感受，並且要能夠提出對策，他期許每一個資安人，都能成為「博派資安人」。</p> <p>除了專業知識，溝通能力也是資安人必備能力之一。吳宗成表示，身為資安人要學習溝通，知道怎麼做到「下情上達、上情下達」，也須懂得「說人話」，就是不要講太多術語、不能只有同儕聽得懂，必須做到普遍溝通才行。</p> <p>此外，金管會規定上市櫃公司要設資安長，公司資安治理要有高階主管層級，所以資安長也要懂得營運，也必須懂得簡報技巧。吳宗成認為，資安要和不同領域的人合作，若能具備良好的溝通能力，可幫助資安人更好地與他人合作，解決問題，具備良好的情商（EQ）也能更好理解和處理人際關係，才能有好的CQ（溝通品質），對於團隊的合作和工作效率的提升，都有很大幫助。<strong>【本文採訪日期為2024年5月】</strong></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 236px;" /></span></span></strong></a></p> </div></div></div>
2024/6/7 00:00作者黃彥棻https://www.ithome.com.tw/article/163111
老牌筆電廠藍天電腦傳出遭駭，勒索軟體駭客RansomHub聲稱竊得200GB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://cybernews.com/news/clevo-laptop-ransomware-attack-gaming-ransonhub/">國外資安媒體Cybernews報導，勒索軟體駭客組織RansomHub在6月4日聲稱攻擊臺灣老牌電腦設備廠藍天電腦（Clevo），竊得200GB內部資料</a>，由於近期AI PC相關議題正夯，國內電腦設備商資料遭竊的事故也引起國際關注，後續包括其他Cyber Insider、Security Affairs等國外資安媒體也都揭露此事。不過，目前該公司並未證實這項消息。</p> <p>基本上，藍天電腦最早以二線筆電代工廠聞名，並以OEM/ODM為主要業務與營運策略，是臺灣上市公司，屬於藍天集團。</p> <p>關於藍天電腦傳出遭駭一事，我們在昨日下午追蹤此一消息，以了解藍天電腦對於傳出資安事件的回應，或是駭客可能從何處獲取這批資料，但該公司至今日截稿前尚未回應我們的詢問，在臺灣證券交易所的公開資訊觀測站，也未看到該公司發布相關重大訊息。</p> <p>根據Cybernews指出，RansomHub駭客組織在他們的洩密網站上表示，已將該公司「所有網路與備份全部加密」，並聲稱已滲透Clevo公司網路多時，甚至進一步威嚇表示，他們有足夠的時間分析製造商的產品、客戶與合作，並且下載了最重要與最敏感的資料。另也列出他們竊取的文件類型多達18種，包含pdf、pptx、ppt、dwg、dxf、prt、sldprt、asm、sldasm、sdcpc、sdac、sdcc、sdwc、doc、dwt、dws、prt、sdp。</p> <p><a href="https://s4.itho.me/sites/default/files/images/藍天電腦遭駭20240604.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%97%8D%E5%A4%A9%E9%9B%BB%E8%85%A6%E9%81%AD%E9%A7%AD20240604.jpg" style="width: 600px;" /></a></p> <p>此外，安全研究人員<a href="https://twitter.com/AlvieriD/status/1797612907074843039">Dominic Alvieri也在X平臺揭露藍天電腦遭駭的消息</a>，並且指出RansomHub組織已公布了10份竊取自藍天電腦的文件，內容似乎包含產品規畫路線圖、筆電規格示意圖與簡介等。特別的是，在其中一張簡報截圖的畫面中，還有註記「會議討論不准外流」的文字。</p> <p>其他國外媒體也揭露這項消息，例如，<a href="https://cyberinsider.com/ransomhub-claims-attack-on-laptop-maker-clevo-leaks-confidential-docs/">國外資安媒體Cyber Insider指出，RansomHub宣稱他們是針對透過社交工程與網路釣魚攻擊藍天電腦的一名員工</a>，進而入侵該公司的系統，特別的是，Cyber Insider觀察到，過去RansomHub經常兜售他們竊取的資料，但是否在攻擊過程中發動惡意加密，先前並未被證實，而這次他們宣稱加密的情形，是之前不曾有過的狀況，因此值得留意後續狀況。而他們同樣表示，該公司未回應他們的詢問，因此這項消息仍有待官方證實；另一國外資安媒體<a href="https://securityaffairs.com/164126/data-breach/ransomhub-gang-hacked-frontier-communications.html">Security Affairs，也報導RansomHub攻擊的消息</a>，雖然該則報導的焦點是放在美電信業者Frontier Communications受駭，但當中的截圖也顯示藍天電腦同樣遇駭。</p> <p>對於這次遭駭事件傳出，有3個值得關注的焦點，首先，由於目前藍天電腦仍未回應我們，因此，對於這次攻擊與資料外洩的狀況尚未得到該公司的說法。但如果已確認有遭駭情形，由於藍天電腦是上市公司，目前仍未發布資安事件重大訊息，將違反上市公司重大訊息揭露規範。</p> <p>其次，藍天電腦與群光電子、群光電能、百腦匯、群光廣場同屬藍天集團，巧合的是，群光電子在先前4月底曾針對媒體報導發布重訊，坦承遭遇資安事件。不過，群光當時傳出的攻擊者是Hunters International，這次藍天電腦傳出的攻擊者是RansomHub，並不相同。</p> <p>第三，RansomHub是最近興起的勒索軟體組織，今年2月底才首次公開受害者，但我們注意到，近期該組織的動作頻頻，不久之前才傳出<a href="https://www.ithome.com.tw/news/163167">英國精品拍賣業者佳士得</a>、美國醫療集團Change Healthcare遭遇該組織攻擊，因此這個勒索軟體組織的動向，近期也特別受到資安圈的關注，如今若有臺灣企業遭該組織鎖定的情形，顯示可能還有其他公司可能也會成為目標。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(圖1)藍天電腦傳出遭駭，RansomHub宣稱竊得200GB資料.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)%E8%97%8D%E5%A4%A9%E9%9B%BB%E8%85%A6%E5%82%B3%E5%87%BA%E9%81%AD%E9%A7%AD%EF%BC%8CRansomHub%E5%AE%A3%E7%A8%B1%E7%AB%8A%E5%BE%97200GB%E8%B3%87%E6%96%99.jpg" style="width: 600px;" /></a></p> <p><strong>根據國外資安媒體Cybernews表示，勒索軟體駭客組織RansomHub聲稱已攻擊臺灣老牌藍天電腦（Clevo）並成功竊取200 GB的資料。</strong></p> </div></div></div>
2024/6/6 22:19作者羅正漢https://www.ithome.com.tw/news/163347
老牌筆電廠藍天電腦傳出遭駭，勒索軟體駭客RansomHub宣稱竊得200GB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://cybernews.com/news/clevo-laptop-ransomware-attack-gaming-ransonhub/">國外資安媒體Cybernews報導，勒索軟體駭客組織RansomHub在6月4日聲稱攻擊臺灣老牌電腦設備廠藍天電腦（Clevo），竊得200GB內部資料</a>，由於近期AI PC相關議題正夯，國內電腦設備商資料遭竊的事故也引起國際關注，後續包括其他Cyber Insider、Security Affairs等國外資安媒體也都揭露此事。不過，目前該公司並未證實這項消息。</p> <p>基本上，藍天電腦最早以二線筆電代工廠聞名，並以OEM/ODM為主要業務與營運策略，是臺灣上市公司，屬於藍天集團。</p> <p>關於藍天電腦傳出遭駭一事，我們在昨日下午追蹤此一消息，以了解藍天電腦對於傳出資安事件的回應，或是駭客可能從何處獲取這批資料，但該公司至今日截稿前尚未回應我們的詢問，在臺灣證券交易所的公開資訊觀測站，也未看到該公司發布相關重大訊息。</p> <p>根據Cybernews指出，RansomHub駭客組織在他們的洩密網站上表示，已將該公司「所有網路與備份全部加密」，並聲稱已滲透Clevo公司網路多時，甚至進一步威嚇表示，他們有足夠的時間分析製造商的產品、客戶與合作，並且下載了最重要與最敏感的資料。另也列出他們竊取的文件類型多達18種，包含pdf、pptx、ppt、dwg、dxf、prt、sldprt、asm、sldasm、sdcpc、sdac、sdcc、sdwc、doc、dwt、dws、prt、sdp。</p> <p><a href="https://s4.itho.me/sites/default/files/images/藍天電腦遭駭20240604.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%97%8D%E5%A4%A9%E9%9B%BB%E8%85%A6%E9%81%AD%E9%A7%AD20240604.jpg" style="width: 600px;" /></a></p> <p>此外，安全研究人員<a href="https://twitter.com/AlvieriD/status/1797612907074843039">Dominic Alvieri也在X平臺揭露藍天電腦遭駭的消息</a>，並且指出RansomHub組織已公布了10份竊取自藍天電腦的文件，內容似乎包含產品規畫路線圖、筆電規格示意圖與簡介等。特別的是，在其中一張簡報截圖的畫面中，還有註記「會議討論不准外流」的文字。</p> <p>其他國外媒體也揭露這項消息，例如，<a href="https://cyberinsider.com/ransomhub-claims-attack-on-laptop-maker-clevo-leaks-confidential-docs/">國外資安媒體Cyber Insider指出，RansomHub宣稱他們是針對透過社交工程與網路釣魚攻擊藍天電腦的一名員工</a>，進而入侵該公司的系統，特別的是，Cyber Insider觀察到，過去RansomHub經常兜售他們竊取的資料，但是否在攻擊過程中發動惡意加密，先前並未被證實，而這次他們宣稱加密的情形，是之前不曾有過的狀況，因此值得留意後續狀況。而他們同樣表示，該公司未回應他們的詢問，因此這項消息仍有待官方證實；另一國外資安媒體<a href="https://securityaffairs.com/164126/data-breach/ransomhub-gang-hacked-frontier-communications.html">Security Affairs，也報導RansomHub攻擊的消息</a>，雖然該則報導的焦點是放在美電信業者Frontier Communications受駭，但當中的截圖也顯示藍天電腦同樣遇駭。</p> <p>對於這次遭駭事件傳出，有3個值得關注的焦點，首先，由於目前藍天電腦仍未回應我們，因此，對於這次攻擊與資料外洩的狀況尚未得到該公司的說法。但如果已確認有遭駭情形，由於藍天電腦是上市公司，目前仍未發布資安事件重大訊息，將違反上市公司重大訊息揭露規範。</p> <p>其次，藍天電腦與群光電子、群光電能、百腦匯、群光廣場同屬藍天集團，巧合的是，群光電子在先前4月底曾針對媒體報導發布重訊，坦承遭遇資安事件。不過，群光當時傳出的攻擊者是Hunters International，這次藍天電腦傳出的攻擊者是RansomHub，並不相同。</p> <p>第三，RansomHub是最近興起的勒索軟體組織，今年2月底才首次公開受害者，但我們注意到，近期該組織的動作頻頻，不久之前才傳出<a href="https://www.ithome.com.tw/news/163167">英國精品拍賣業者佳士得</a>、美國醫療集團Change Healthcare遭遇該組織攻擊，因此這個勒索軟體組織的動向，近期也特別受到資安圈的關注，如今若有臺灣企業遭該組織鎖定的情形，顯示可能還有其他公司可能也會成為目標。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(圖1)藍天電腦傳出遭駭，RansomHub宣稱竊得200GB資料.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)%E8%97%8D%E5%A4%A9%E9%9B%BB%E8%85%A6%E5%82%B3%E5%87%BA%E9%81%AD%E9%A7%AD%EF%BC%8CRansomHub%E5%AE%A3%E7%A8%B1%E7%AB%8A%E5%BE%97200GB%E8%B3%87%E6%96%99.jpg" style="width: 600px;" /></a></p> <p><strong>根據國外資安媒體Cybernews表示，勒索軟體駭客組織RansomHub聲稱已攻擊臺灣老牌藍天電腦（Clevo）並成功竊取200 GB的資料。</strong></p> </div></div></div>
2024/6/6 16:29作者羅正漢https://www.ithome.com.tw/news/163337
GitHub Actions開始支援Arm64架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現在CI/CD平臺<a href="https://github.blog/2024-06-03-arm64-on-github-actions-powering-faster-more-efficient-build-systems/">GitHub Actions執行器也提供Arm64架構選項</a>，使得開發者可以更方便地在採用Arm64架構的地方，建置和部署程式。官方還提到，Arm64的GitHub Actions執行器相較於x64的執行器，價格低了37％。</p> <p>GitHub Actions執行器對Arm64架構的支援，由GitHub與Arm合作推出。GitHub管理執行器而所使用的映像檔則由Arm建立，提供開發者入門所必須的工具。</p> <p>過去開發者要使用GitHub在Arm架構上建置程式，必須自行在Arm64硬體上託管執行器，或是使用QEMU虛擬化模擬Arm64環境，並在虛擬化環境中執行GitHub Actions。不過，QEMU虛擬化執行速度比原生運作慢，效率較低。</p> <p>而現在用戶可以直接使用GitHub託管的Arm64執行器，進行建置、測試和部署各種應用程式，整個CI/CD工作流程都能在同個平臺上運作。</p> <p>Arm所建置的映像檔包括Ubuntu和Windows虛擬機器映像檔，目前Ubuntu 22.04映像檔配置完整的工具集，可讓開發者快速在Arm64執行器開始工作，官方計畫之後也會在Windows映像檔中添加開發工具，以及推出新的Ubuntu 22.04映像檔。</p> </div></div></div>
2024/6/6 18:22作者李建興https://www.ithome.com.tw/news/163346
多個中國駭客組織狼狽為奸，鎖定東南亞政府機關從事網路間諜活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國政府資助的多個駭客組織，自2022年開始聯手，<a href="https://news.sophos.com/en-us/2024/06/05/operation-crimson-palace-sophos-threat-hunting-unveils-multiple-clusters-of-chinese-state-sponsored-activity-targeting-southeast-asia/">從事網路間諜攻擊行動Operation Crimson Palace</a>，對方的目標是東南亞知名的政府機關。</p> <p>資安業者Sophos的研究人員於去年5月，察覺這起攻擊行動的跡象並著手調查，結果確認其中3波攻擊Cluster Alpha（STAC1248）、Cluster Bravo（STAC1807），以及為期最長的Cluster Charlie（SCAT1305），值得留意的是，這些網路攻擊活動並非由單一駭客組織所為，而是由多組人馬出手，這些組織包括了Backdoor Diplomatic、REF5961、Worok、TA428，以及APT41旗下的團隊Earth Longzhi。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide1.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide1.jpeg" style="width: 580px;" /></a></p> <p>針對這3波攻擊，研究人員指出，他們發現了新的惡意程式CCoreDoor、PocoProxy，以及EagerBee的變種；再者，對方運用超過15種DLL側載手法，大部分濫用Windows服務、系統元件、防毒軟體檔案；此外，他們也發現駭客運用新興的迴避偵測技術，像是覆寫記憶體裡的ntdll.dll，將Sophos Endpoint Protection防毒軟體的代理程式與核心脫鉤。值得一提的是，這些攻擊的行為模式彼此不同，但根據遭駭的基礎設施，以及駭客工作的時間發現交集，研判有人從中居間協調、調度。</p> <p>對於Cluster Alpha，研究人員看到對方從去年3月初一直到8月進行攻擊行動，疑似濫用受害組織網路環境測試不同的技術，並以特殊手法停用防毒軟體、提升權限，這些駭客特別優先偵察伺服器映射的子網域、管理者帳號，以及AD相關的基礎設施。</p> <p>這些駭客會藉由部署名為EagerBee的惡意軟體變種，以竄改封包的功能切斷資安系統端點代理程式的通訊；再者，他們藉由Merlin Agent、PhantomNet、PowHeartBeat等惡意軟體建立C2通道，以便於受害電腦持續活動；附帶一提的是，對方用來寄生攻擊（LOLBins）的系統元件instsrv.exe、srvany.exe相當不尋常，而能取得SYSTEM權限。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide4.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide4.jpeg" style="width: 580px;" /></a></p> <p>另一波攻擊行動Cluster Bravo時間最短，僅在去年3月為期3週，這段時間正好與中國第14屆全國人民代表大會有所交集，駭客主要目標在於，濫用有效帳號於受害組織網路環境橫向散布，然後側載後門程式建立C2通訊。</p> <p>在這起攻擊行動裡，研究人員看到對方透過後門程式CCoreDoor進行橫向移動，並建立C2通訊。值得留意的是，他們發現駭客藉由覆寫記憶體內的ntdll.dll，將Sophos端點防護的代理程式與核心脫鉤。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide5.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide5.jpeg" style="width: 580px;" /></a></p> <p>最後一波攻擊行動Cluster Charlie持續時間最長，從去年3月至今年4月，研究人員在去年6月的其中一天看到攻擊活動激增，駭客對於受害組織網路環境裡的事件記錄進行大規模分析，並執行網路偵察，而這天正好是受害國家的假日。接著，駭客在幾個月中持續進行相關活動，最終洩露敏感資料，包含軍事與政治文件、基礎設施架構資料，以及相關的憑證及帳密資料。</p> <p>駭客使用過往未曾揭露的惡意程式PocoProxy進行C2通訊，並部署惡意軟體載入工具HUI，企圖將Cobalt Strike的Beacon注入mstsc.exe但並未成功。而對於竊取帳密資料的方式，這些駭客將LSASS轉譯器注入svchost.exe，從網域控制器擷取憑證。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide6.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide6.jpeg" style="width: 580px;" /></a></p> <p>由於遭受攻擊的目標是因南海領土問題與中國政府爆發多次衝突的組織，再加上攻擊者活動時間與中國上下班時間幾乎一致，且3波行動對方收集的資料與中國國家的利益相關，因此研究人員推測，這是一起長期性的網路間諜行動。</p> </div></div></div>
2024/6/6 15:33作者周峻佑https://www.ithome.com.tw/news/163333
歐洲多國遭到俄羅斯駭客APT28鎖定，利用惡意程式HeadLace、釣魚網頁發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯聯邦軍隊總參謀部情報總局（GRU）旗下的駭客組織APT28（該公司稱做BlueDelta）散布竊資軟體HeadLace的事故不時傳出，有研究人員針對這波攻擊行動進行深度調查，指出對方的攻擊目標遍及歐洲各國，但特別關注烏克蘭。</p> <p>資安業者Recorded Future<a href="https://www.recordedfuture.com/grus-bluedelta-targets-key-networks-in-europe-with-multi-phase-espionage-camp">針對HeadLace的攻擊行動著手調查</a>，結果發現，對方從去年4月至12月，利用地理圍欄技術，分成3個不同階段從事惡意軟體攻擊行動。駭客通常會透過釣魚郵件啟動攻擊鏈，有時會模仿合法通訊來增加成功機率。</p> <p>在攻擊的過程裡，駭客會濫用合法的網路服務（LIS），並搭配寄生攻擊（LOLBins），將攻擊行為混入一般的網路流量。</p> <p>值得留意的是，對方對於竊取帳密資料的管道，不光是透過上述竊資軟體，也會利用偽造的登入網頁來進行，他們鎖定的服務包括Yahoo和UKR[.]net，而且還會設置進階功能，以便重新傳輸多因素驗證資料，或是通過CAPTCHA人機圖靈驗證。這些駭客鎖定的目標，涵蓋烏克蘭國防部、該國武器進出口業者、歐洲鐵路基礎設施、亞塞拜然智庫。</p> <p>對於駭客的目的，研究人員認為，對於烏克蘭國防部及歐洲鐵路基礎設施的攻擊行動，很有可能想要取得與軍事行動有關的情報，從而調整戰術，或是策畫相關戰略。而攻擊亞塞拜然智庫的部分，他們研判是為了收集當地政策有關情資。</p> <p>特別的是，在部分攻擊行動裡，對方會透過雲端測試服務Mocky設置網頁，這些網頁會與被滲透的Ubiquiti路由器上的Python指令碼進行互動，從而竊取相關的帳密資料。</p> <p>在研究人員彙整的攻擊流程裡，大致上可區分為7個不同的階段，駭客先是檢測沙箱環境、作業系統、地理位置來確認攻擊目標，然後於受害電腦部署惡意的BAT批次檔，從而與特定API服務連接，以便執行一連串的Shell命令。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024_0514_Blue_delta_Report_info-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024_0514_Blue_delta_Report_info-2.jpg" style="width: 580px;" /></a></p> <p>而對於這些駭客的攻擊範圍，他們確認至少有13個國家是主要目標，其中有40%針對烏克蘭，但他們認為有10%針對土耳其而來也相當值得留意。</p> </div></div></div>
2024/6/6 16:36作者周峻佑https://www.ithome.com.tw/news/163338
抖音傳出企業與名人帳號遭到接管的情況，駭客藉由私訊功能的零時差漏洞得逞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.semafor.com/newsletter/06/02/2024/an-expensive-way-to-gain-relevance">Semaphor</a>、<a href="https://www.forbes.com/sites/emilybaker-white/2024/06/04/a-zero-day-tiktok-hack-is-taking-over-celebrity-and-brand-accounts/">富比士</a>等新聞網站的報導，上週有人利用抖音（TikTok）私訊功能的零時差漏洞，挾持數家公司與名人的帳號。Semaphor指出，第1個傳出遇害的是CNN的帳號，富比士則是透露該漏洞的危害，攻擊者只需發送惡意訊息並引誘目標用戶開啟，就能觸發漏洞，過程中無須受害者下載有效酬載，或是點選連結。</p> <p>對此，<a href="https://www.bleepingcomputer.com/news/security/tiktok-fixes-zero-day-bug-used-to-hijack-high-profile-accounts/">抖音發言人Jason Grosse向資安新聞網站Bleeping Computer透露</a>，他們的資安團隊察覺用來針對部分知名帳號的潛在漏洞，已採取相關措施阻止相關攻擊行動，並防範類似攻擊再度發生，該公司也與受害帳號的所有者合作，恢復他們的存取權限。</p> <p>這名發言人表示，根據初步調查結果，攻擊者破壞了少量抖音帳號，但並未透露受影響的用戶數量，也沒有對於零時差漏洞說明細節。</p> </div></div></div>
2024/6/6 17:01作者周峻佑https://www.ithome.com.tw/news/163340
趨勢科技在Computex展出整合Nvidia相關技術的AI資安解決方案Trend Vision One SPC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本週的Computex 2024資訊展當中，<a href="https://www.trendmicro.com/zh_tw/about/newsroom/press-releases/2024/2024-06-02.html">趨勢科技展示採用Nvidia技術的全新資料中心解決方案</a>Trend Vision One-Sovereign and Private Cloud（Trend Vision One SPC），這套系統針對想要運用AI的威力，卻擔心資安問題的企業組織與政府機關而設。</p> <p>這套解決方案整合了Nvidia AI Enterprise軟體平臺的推論微服務Nvidia Inference Microservice（NIM），該公司表示，NIM可加速雲端、資料中心、工作站部署生成式AI。</p> <p>而對於他們推出該解決方案的動機，起因是有許多企業組織為了降低隱私權、資料主權、法規遵循的疑慮，開始轉向在私有雲自行架設生成式AI解決方案。趨勢科技表示，這正是他們的資安平臺能發揮的地方，Trend Vision One SPC運用NIM最佳化AI推論的微服務，在地端執行趨勢科技「網路資安大型語言模型（Cyber Security LLM）」，透過改善資料隱私權、即時分析、加快威脅防範來提升資安解決方案的強度。</p> <p>此外，該解決方案也整合Nvidia其他技術，包含了DOCA App Shield應用程式開發介面、Morpheus應用程式框架，從而提高偵測及防範惡意活動的能力、加速資安威脅偵測。</p> </div></div></div>
2024/6/6 17:27作者周峻佑https://www.ithome.com.tw/news/163343
【資安日報】6月6日，病理學暨診斷服務供應商Synnovis遭到勒索軟體攻擊導致倫敦醫院服務中斷，傳出是駭客組織Qil…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>醫療院所及相關服務的供應商遭遇資安攻擊的情況，最近幾年越來越頻繁，一旦特定服務的供應商面臨攻擊，很有可能直接影響數家醫院的運作。</p> <p>例如，病理學暨診斷服務供應商Synnovis遭到勒索軟體攻擊的事故，就是這樣的例子，導致英國倫敦兩家主要醫院的部分業務被迫中斷，病人必須轉院就醫的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163329"><strong style="font-size: 22px;">英國倫敦醫院因服務供應商遭網路攻擊而中斷部分服務，資安專家指控是俄羅斯勒索軟體駭客組織Qilin所為</strong></a></p> <p>6月3日病理學暨診斷服務供應商Synnovis傳出遭到勒索軟體攻擊，英國倫敦多家國家健康服務（NHS）醫院的部分服務受到影響，這起資安事故造成Synnovis系統被鎖住，導致Guy's and St Thomas' NHS Foundation Trust、King's College Hospital NHS Foundation Trust兩家倫敦主要醫院的服務中斷，並有數家倫敦東南部的主要醫療照護業者也受到波及。</p> <p>英國國家網路安全中心（NCSC）首任執行長Ciaran Martin在5日接受英國廣播公司（BBC）廣播4臺採訪時透露，攻擊者是俄羅斯勒索軟體駭客組織Qilin，並認為對方出手的動機在於經濟利益，而並未意識到這樣的攻擊行為，會造成如此嚴重的醫療業務中斷。</p> <p><a href="https://www.ithome.com.tw/news/163333"><strong style="font-size: 22px;">多個中國駭客組織狼狽為奸，鎖定東南亞政府機關從事網路間諜活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide1.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide1.jpeg" style="width: 300px; float: right;" /></a>中國政府資助的多個駭客組織，自2022年開始聯手，從事網路間諜攻擊行動Operation Crimson Palace，對方的目標是東南亞知名的政府機關。</p> <p>資安業者Sophos的研究人員於去年5月，察覺這起攻擊行動的跡象並著手調查，結果確認其中3波攻擊Cluster Alpha（STAC1248）、Cluster Bravo（STAC1807），以及為期最長的Cluster Charlie（SCAT1305），值得留意的是，這些網路攻擊活動並非由單一駭客組織所為，而是由多組人馬出手，這些組織包括了Backdoor Diplomatic、REF5961、Worok、TA428，以及APT41旗下的團隊Earth Longzhi。</p> <p><a href="https://www.ithome.com.tw/news/163338"><strong style="font-size: 22px;">歐洲多國遭到俄羅斯駭客APT28鎖定，利用惡意程式HeadLace、釣魚網頁發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024_0514_Blue_delta_Report_info-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024_0514_Blue_delta_Report_info-2.jpg" style="width: 300px; float: right;" /></a>俄羅斯聯邦軍隊總參謀部情報總局（GRU）旗下的駭客組織APT28（該公司稱做BlueDelta）散布竊資軟體HeadLace的事故不時傳出，有研究人員針對這波攻擊行動進行深度調查，指出對方的攻擊目標遍及歐洲各國，但特別關注烏克蘭。</p> <p>資安業者Recorded Future針對HeadLace的攻擊行動著手調查，結果發現，對方從去年4月至12月，利用地理圍欄技術，分成3個不同階段從事惡意軟體攻擊行動。駭客通常會透過釣魚郵件啟動攻擊鏈，有時會模仿合法通訊來增加成功機率。</p> <p>對於駭客的目的，研究人員認為，對於烏克蘭國防部及歐洲鐵路基礎設施的攻擊行動，很有可能想要取得與軍事行動有關的情報，從而調整戰術，或是策畫相關戰略。而攻擊亞塞拜然智庫的部分，他們研判是為了收集當地政策有關情資。</p> <p><a href="https://www.ithome.com.tw/news/163340"><strong style="font-size: 22px;">抖音傳出企業與名人帳號遭到接管的情況，駭客藉由私訊功能的零時差漏洞得逞</strong></a></p> <p>根據Semaphor、富比士等新聞網站的報導，上週有人利用抖音（TikTok）私訊功能的零時差漏洞，挾持數家公司與名人的帳號。Semaphor指出，第1個傳出遇害的是CNN的帳號，富比士則是透露該漏洞的危害，攻擊者只需發送惡意訊息並引誘目標用戶開啟，就能觸發漏洞，過程中無須受害者下載有效酬載，或是點選連結。</p> <p>對此，抖音發言人Jason Grosse向資安新聞網站Bleeping Computer透露，他們的資安團隊察覺用來針對部分知名帳號的潛在漏洞，已採取相關措施阻止相關攻擊行動，並防範類似攻擊再度發生，根據初步調查結果，攻擊者破壞了少量抖音帳號，但該名發言人並未透露受影響的用戶數量，也沒有對於零時差漏洞說明細節。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/ransomhub-knight-ransomware"><strong style="font-size: 20px;">研究人員針對新興勒索軟體駭客組織RansomHub進行調查，對方買下勒索軟體Knight原始碼打造作案工具</strong></a></p> <p></p> <p>◆<a href="https://www.trellix.com/blogs/research/darkgate-again-but-improved/"><strong style="font-size: 20px;">惡意軟體DarkGate濫用AutoHotkey重新打造，加入更多規避技術</strong></a></p> <p></p> <p>◆<a href="https://www.trendmicro.com/en_us/research/24/f/targetcompany-s-linux-variant-targets-esxi-environments.html"><strong style="font-size: 20px;">VMware虛擬化平臺遭到勒索軟體TargetCompany鎖定</strong></a></p> <p></p> <p>◆<a href="https://cdn-dynmedia-1.microsoft.com/is/content/microsoftcorp/microsoft/final/en-us/microsoft-brand/documents/MTAC_Report_Russian_Influence_and_Paris_2024.pdf"><strong style="font-size: 20px;">兩個俄羅斯駭客組織聯手，企圖抹黑即將舉行的巴黎奧運</strong></a></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/exploit-for-critical-progress-telerik-auth-bypass-released-patch-now/"><strong style="font-size: 20px;">Progress修補旗下Telerik報告伺服器身分驗證繞過漏洞</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163343"><strong style="font-size: 22px;">趨勢科技在Computex展出整合Nvidia相關技術的AI資安解決方案Trend Vision One SPC</strong></a></p> <p>在本週的Computex 2024資訊展當中，趨勢科技展示採用Nvidia技術的全新資料中心解決方案Trend Vision One-Sovereign and Private Cloud（Trend Vision One SPC），這套系統針對想要運用AI的威力，卻擔心資安問題的企業組織與政府機關而設。</p> <p>這套解決方案整合了Nvidia AI Enterprise軟體平臺的推論微服務Nvidia Inference Microservice（NIM），該公司表示，NIM可加速雲端、資料中心、工作站部署生成式AI。</p> <p>此外，該解決方案也整合Nvidia其他技術，包含了DOCA App Shield應用程式開發介面、Morpheus應用程式框架，從而提高偵測及防範惡意活動的能力、加速資安威脅偵測。</p> <p><a href="https://www.ithome.com.tw/news/163311"><strong style="font-size: 22px;">邁向AIoT應用時代，臺灣硬體安全發展成商機</strong></a></p> <p>今年臺灣資安大會CYBERSEC 2024增設AIoT & Hardware Security Zone的AIoT硬體安全展區，鎖定智慧聯網與硬體安全這樣的主題，讓與會者在參加議程之際，對於一些特色產品也能夠更方便地就近去認識。</p> <p>在此展區共有10家國內外廠商在此呈現這方面的產品與應用，並有2家公協會介紹在晶片安全與物聯網資安認證的成果。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163317"><strong>【6月5日】針對烏克蘭政府恢復公營事業收費，俄羅斯駭客組織FlyingYeti策畫利用WinRAR漏洞的網釣攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163303"><strong>【6月4日】帛琉政府資料流入暗網，指控是中國政府指使勒索軟體駭客組織所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163276"><strong>【6月3日】美國證實Linux核心的網路元件Netfilter高風險漏洞已被用於攻擊行動</strong></a></p> </div></div></div>
2024/6/6 17:34作者周峻佑https://www.ithome.com.tw/news/163344
日月光半導體首座AI節能機房年底將啟用，以應對未來兩年不斷增長的AI和LLM發展所需
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日月光半導體年底將啟用首座全新的水冷散熱資料中心，這座新機房不僅將成為PUE低於1.2的節能機房，還是一座擁有強大AI運算能力的AI節能機房，目標是要能應付每年1.2倍增長的AI運算需求，以因應未來兩年的AI應用及LLM<span style="white-space: pre-wrap;">（大型語言模型）</span>發展所需。</p> <p>日月光很早展開了數位轉型，朝向智慧工廠來轉型，2018年開始導入AI，逐步將AI應用於製程中，提升良率與生產效能。日月光同年建造第一座關燈智慧工廠，並在接下來4年內將關燈工廠增加到36座。隨著AI應用日益成熟，日月光在2021年建構IAI（Industry AI）平臺，推動AI全民化應用，進一步將AI應用從內場域製造推向組織內部，從智慧資安、品質檢驗、智慧診斷，到智慧設計、參數最佳化以及智慧營運等領域。</p> <p>日月光半導體高雄廠副總李政傑提表示，目前，日月光的AI應用主要集中在製造端，結合深度學習和大數據，搭配自動化機器人技術，提升生產效能。此外，AI也應用於廠務節能減碳等環保項目。</p> <p>近來火紅的生成式AI技術，日月光也開始導入，主要應用於兩方面，一是協助行政單位處理大量文書和影像，減少人力負擔；另一方面，在工程領域中，利用生成式AI生成多樣的研發樣本，幫助工程師提高研發新原型的成功率。</p> <p>儘管AI需求呈現指數型成長，對機房運算需求也越來越大，可是，運算增長同時也帶來溫室氣體排放的增加，光靠現有機房設計已經難以解決而必須採用新作法。</p> <p>尤其近幾年，ESG永續發展已成為了企業必須重視的重要議題，日月光自己承諾2030年辦公室淨零，2050年生產製造據點淨零的目標。為了每年需降低5～10％溫室氣體排放，如何兼顧AI需求和ESG永續發展，成了日月光IT面臨的重要挑戰，所以日月光決定打造新一代水冷散熱IT機房，來應對這項挑戰。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240605_065759041.jpg" style="width: 600px; height: 297px;" /></p> <p>日月光即將在高雄啟用的AI新機房，將採用Supermicro的水冷式散熱技術，由中華系統整合進行布建，在這座新機房中引進新一代水冷AI伺服器及節能技術。</p> <p>李政傑表示，新機房設計上導入水冷式散熱設計，不僅利用伺服器本身的水冷機制，讓冷水通過主機板快速帶走熱能，取代過去氣冷式機房的冷熱通道散熱方式，此外，機櫃水冷散熱設計上，提供包含了散熱板、冷卻分配單元（CDU）、冷卻分配分流管（CDM）以及整座冷卻塔，可幫助其降低機房溫度、耗電量以及整體總耗能。</p> <p>李政傑指出，與傳統氣冷式機房相比，新一代節能機房採用水冷散熱技術後，能耗可降低20%以上，預期PUE值將從1.51下降至1.2以下。這樣不僅節能，也有助於減少碳排放。</p> <p>在這座AI機房中，未來將部署多臺AI伺服器機櫃系統，根據Supermicro提供的硬體規格，每臺AI伺服器主機內搭載了2個32核Intel CPU與8個Nvidia H100 GPU。李政傑表示，這座新機房未來啟用後目標是滿足年增113%的算力需求，可將AI運用在產品生產、工程研發以及營運上，加速推動智慧製造。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240605_064719487.jpg" style="width: 600px; height: 337px;" /></p> </div></div></div>
2024/6/6 15:55作者余至浩https://www.ithome.com.tw/news/163334
Computex：微軟Copilot+PC筆電首次在臺亮相，各種AI PC應用開放體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟甫於5月下旬發表Copilot+PC，推動新一波AI PC浪潮，本周舉行的Computex，本土兩大品牌宏碁、華碩紛紛展示Copilot+PC，現場並展示AI PC應用，包括以文字生成圖像、以圖生圖、即時翻譯字幕等等。 </p> <p>微軟提出的Copilot+PC，係內建40多個AI小模型，為新一代的AI筆電增添更多智慧化功能，為了滿足AI運算需求，Copilot+PC需具備NPU神經處理單元，以優化內建的AI功能，依微軟定義，NPU需具備40TOPS以上的算力，並且配備至少16GB記憶體及256GB SSD。此外，這些筆電還必需具有較長的電池續航時間，但並沒有規範多長的續航力。 </p> <p>微軟Copilot+PC首個合作夥伴為高通，搭載Snadragon X系列行動平臺，NPU算力最高達到45TOPS，滿足微軟Copilot+PC對NPU的要求，包括華碩、宏碁、Dell、HP、聯想將推出產品，預計6月18日陸續上市。</p> <p><span style="color:#B22222;"><strong>華碩、宏碁展示首批高通Copilot+PC產品 </strong></span></p> <p>宏碁與華碩身為本地業者，且在全球PC市場佔有一席之地，在今年Computex展示首波微軟Copilot+PC筆電。華碩即展示Vivobook及ProArt系列筆電，其中ProArt系列為創作者使用的筆電，現場展示採用高通Snapdragon X系列行動平臺的PZ13，這款筆電支援手寫筆進行創作，使用者可在螢幕上手繪，搭配Copilot+PC的AI功能Cocreator，用戶只要用手寫筆在螢幕上畫一個粗略的外形輪廓，並以文字描述概念，再選擇畫風，電腦就會自動生成圖像。 </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5789-600.jpg" style="width: 600px; height: 399px;" /></p> <p>例如使用手寫筆簡單地畫一顆樹，並且輸入Treehouse的文字描述，選擇畫風後，螢幕的右上方就會生成一個樹屋的圖像，不過，從生成的圖像來看，僅有樹屋而沒有背景，圖像畫面較為單調，現場工作人員表示，如果要更多的背景，可以手寫筆添加更多細節，或是在文字敘述上以一段話描述想要創作的景物，來為自動生成的圖像增加更豐富的內容。 </p> <p>除了Cocreator，另一個生成式AI應用MuseTree，可以圖生圖，即使不具有繪圖天分的一般人，只要使用手寫筆或滑鼠描繪一顆樹及房子，選擇畫風，例如童畫風格，電腦會自動運算處理，生成樹屋的4張圖像，讓使用者選擇最接近你想要的創作內容。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5791-600.jpg" style="width: 600px; height: 399px;" /> </p> <p>現場人員表示，MuseTree的底層採用Stable Diffusion，可以根據使用者簡略的畫圖，自動生成4種圖像，每張圖約需要5秒，因此需要數十秒的時間，就會生成4張圖像，讓使用者自行選擇。此外，這些產生的圖像不只有樹屋，還帶有背景，例如陸地、海底，或是天馬行空的奇幻場景。 </p> <p>另一款搭載高通Snapdragon X行動平臺的Copilot+PC為Vovobook筆電S15，相較於以內容創作為主的ProArt，Vovobook訴求一般的筆電使用者，目前已在國內電商平臺上架，定價約4.9萬元。現場展示YouTube影音，將影片內容的韓文發音同步翻譯成英文字幕，這項功能為Copilot+PC的AI功能即時字幕(Live Caption)，能夠將YouTube的影音內容、線上會議，甚至是筆電發出的音訊，將中、法、俄等40多種語言翻譯為英文字幕。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5801-600.jpg" style="width: 600px; height: 399px;" /></p> <p>另一家PC大廠宏碁，在今年Computex攤位上特別闢了一個Copilot+PC專區，展示旗下搭載高通Snapdragon X Elite行動平臺的Swift AI筆電，強調NPU算力達到45TOPS，微軟Copilot+PC的AI應用體驗，還有高通平臺較長的電池續航力，長達26小時的電池續航力。</p> <p>不少參觀者在宏碁展示的Copilot+PC專區體驗AI PC的功能，其中Copilot+PC機種Swift 14，展示自然語言的對話方式，要求AI搜尋提供相關的資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/aisearch.jpg" style="width: 600px; height: 390px;" /></p> <p><span style="color:#B22222;"><strong>其他AI PC也同臺亮相</strong></span></p> <p>除了微軟與高通合作首波Copilot+PC筆電成為Computex展出焦點，吸引不少人體驗之外。英特爾去年推動的AI PC，根據英特爾統計，目前全球約有超過800萬臺AI PC，此次Computex中不同規格、機型設計的AI PC也成為展示的重點之一。</p> <p>而且，英特爾與AMD兩家X86處理器大廠不約而同，在今年Computex發表新一代的行動處理器。英特爾發表Core Ultra筆電中代號LunarLake行動處理器，整合CPU、GPU及NPU，其中NPU較前一代大幅提升算力至48TOPS，使其NPU算力達到微軟Copilot+PC的要求；至於AMD則是發表第3代的Ryzen AI（Strix Point），NPU一舉提升至50TOPS，同樣提升旗下產品的AI PC戰力。英特爾、AMD最新一代行動處理器，其NPU算力達到Copilot+PC的NPU算力門檻，代表未來上市的新筆電將可支援微軟Copilot+PC，但需要等待微軟釋出更新。</p> <p>華碩就在攤位展示ProArt創作者筆電，其中一款機型搭載AMD Ryzen AI300系列行動處理器及Nvidia Geforce RTX4070的ProArt P16，這款16吋大螢幕的創作者筆電，內建華碩獨家AI App，包括Story Cube及MuseTree。</p> <p>由於AMD Ryzen AI300系列處理器內整合NPU具備50TOPS，符合微軟Copilot+PC的要求，因此這款筆電目前雖然還不是微軟合作的Copilot+PC產品，但之後可支援微軟Copilot+PC，因此現場產品說明牌上也說明支援Copilot+PC。但是據現場人員說明，AMD Ryzen AI300處理器可能在7月推出，微軟之後可能釋出該平臺的Copilot+PC，讓用戶更新OS，使用微軟內建的AI應用。</p> <p>至於英特爾在Computex期間正式發表LunarLake行動處理器，整合CPU、GPU及NPU，其中NPU算力提高至48TOPS，也符合微軟Copilot+PC對NPU算力的要求，但是據了解，LunarLake可能要等到第三季或第四季才會推出，且微軟對LunarLake平臺的Copilot+PC更新可能要到年底才會釋出，因此暫時不會太快在市場上看到英特爾平臺的Copilot+PC。另外，在Computex展示的LunarLake筆電多為靜態展示，為避免參觀者實機操作，以透明壓克力保護LunarLake平臺筆電。</p> <p>Computex上展示多款AI PC，部分機型主要搭載獨立顯示卡，例如Nvidia Geforce RTX系列，強調平臺的AI總合算力達到100至300多TOPS，大部分的AI算力來自高階的獨立顯示卡，可在筆電上執行一些較吃重的AI模型應用，另一部分機型額外搭載NPU，以應付AI工作負載。</p> </div></div></div>
2024/6/6 17:00作者蘇文彬https://www.ithome.com.tw/news/163335
Google正逐步淘汰網頁版的地圖時間軸功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google去年12月<a href="https://blog.google/products/maps/updates-to-location-history-and-new-controls-coming-soon-to-maps/" target="_blank">宣布</a>，將變更Google Maps上的「定位記錄」（Location History）功能，包括將其更名為「時間軸」（Timeline），以及將它自動存放於裝置上。最近已陸續有用戶收到Google的通知，提醒他們下載想要儲存的時間軸，否則屆時將會移除存放於雲端的時間軸資料。</p> <p>時間軸為Google Maps的一項個人化功能，可根據定位記錄來呈現使用者所去過的地點、路線或行程，它的預設值是關閉的，使用者可在登入Google帳戶後啟用它，並將時間軸資料存放於雲端，只要登入Google帳戶即可存取。</p> <p>去年Google僅宣布要把時間軸存放於Android或iOS裝置上，並未強調將關閉其雲端儲存功能。不過，根據Google官網上的<a href="https://support.google.com/maps/answer/14169818" target="_blank">說明</a>，由於未來時間軸上的資料將直接來自行動裝置，未來電腦上的Maps將無法再存取時間軸，使用者可下載最新的Google Maps程式將舊有的時間軸資料移轉到裝置上。</p> <p>此外，最近陸續有時間軸用戶收到Google的<a href="https://support.google.com/maps/community-guide/276228911/changes-underway-for-google-maps-timeline?hl=en" target="_blank">郵件通知</a>，指出在使用者啟用時間軸之後，它即會自動於裝置上建立及儲存，為了避免遺失曾有的記錄，應於期限前下載或遷移資料。</p> <p>現階段已有不少時間軸用戶收到通知，但Google所提出的期限都不同。此外，在裝置上啟用時間軸時，預設值是每3個月會自動移除相關記錄，但使用者亦可變更該時程或直接設為不刪除。</p> <p><span class="c-message__sender c-message_kit__sender" data-qa="message_sender" data-stringify-text="Jasmine" data-stringify-type="replace" style="box-sizing: inherit; color: rgb(29, 28, 29); word-break: break-word; font-weight: 900; font-family: Slack-Lato, Slack-Fractions, appleLogo, sans-serif; font-size: 15px; font-variant-ligatures: common-ligatures; background-color: rgb(248, 248, 248);"><span class="p-member_profile_hover_card" role="presentation" style="box-sizing: inherit; width: fit-content; height: fit-content; display: inline-flex;"><button class="c-link--button c-message__sender_button" data-message-sender="UBRH3F1HS" data-qa="message_sender_name" style="box-sizing: inherit; cursor: pointer; background-image: initial; background-position: 0px 0px; background-size: initial; background-repeat: initial; background-attachment: initial; background-origin: initial; background-clip: initial; border-width: 0px; border-style: initial; border-color: initial; padding: 0px; font: inherit; overflow: initial; text-align: initial; vertical-align: baseline; margin: 0px;" tabindex="0" type="button"></button></span></span></p> </div></div></div>
2024/6/6 16:19作者陳曉莉https://www.ithome.com.tw/news/163336
Google收購能在ChromeOS執行Windows App的工具業者Cameyo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周三<a href="https://cloud.google.com/blog/products/chrome-enterprise/chromeos-cameyo-reimagining-legacy-apps-for-the-modern-enterprise" target="_blank">宣布收購</a>能在ChromeOS裝置上執行Windows應用的虛擬化工具業者Cameyo。</p> <p>透過收購這家公司Cameyo的技術和團隊，將有助於Chromebook等Google產品用戶連結大量Windows應用。本收購案金額不詳。</p> <p>傳統上，企業若欲在較新裝置執行舊式App，必須仰賴虛擬桌面軟體（或稱虛擬桌機基礎架構，VDI方案），但此類方案有較高的技術門檻，且有延遲性，以及安全管理不易等挑戰。</p> <p>Cameyo提供的是虛擬應用程式遞送（Virtual App Delivery，VAD）方案，即將Windows應用程式封裝成一個獨立的exe檔案，即可免除軟體安裝程序而在裝置上執行。VAD方案有許多好處，一來因不需安裝應用程式，可簡化管理，IT部門不需擔心更新版本或修補漏洞，二來用戶也不必登入個別虛擬桌機環境帳號就可使用，提升使用便利性。該公司方案也受到許多個人用戶喜愛。</p> <p>Google去年就和Cameyo<a href="https://chromeenterprise.google/intl/zh_tw/recommended/cameyo/" target="_blank">合作</a>，整合Cameyo和ChromeOS本機檔案系統，並強化剪貼簿支援以便以PWA（progressive web app）形式執行虛擬應用，並讓虛擬應用程式安全而簡單存取本機資料和檔案。</p> <p>而現在Google的收購則可讓使用ChromeOS裝置的企業，或是教育用戶更方便使用Windows App，讓Windows和其他Web App可同時在Chrome環境中使用，也能維持用戶使用體驗的一致性。</p> <p>這樁收購是Google因應微軟Windows 365方案切入精簡終端裝置的回應作法。利用Windows 365，Windows OS和應用可以串流到客戶中心、銀行行員、PoS等僅具基本運算及儲存能力的機器上使用。Chromebook雖然便宜，但支援ChromeOS的企業應用並不多，透過VAD方案，可擴大支援ChromeOS裝置的生態體系（ecosystem）。</p> <p>Google於5月<a href="https://chromeenterprise.google/intl/en_uk/recommended/" target="_blank">開始</a>，為能在ChromeOS裝置執行的企業App加入「通過Chrome Enterprise Recommended驗證」的標示，便於用戶辨識已為ChromeOS優化的企業應用。</p> </div></div></div>
2024/6/6 14:54作者林妍溱https://www.ithome.com.tw/news/163331
SAP將以15億美元買下數位採用平臺WalkMe
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SAP周三（6/5）<a href="https://news.sap.com/2024/06/sap-enters-agreement-to-acquire-walkme/" target="_blank">宣布</a>，將以每股14美元買下知名的數位採用平臺WalkMe，總價約為15億美元。消息一出，當天WalkMe的股價即上漲42.95%，以13.78美元作收。</p> <p>WalkMe為一軟體即服務公司，為一數位採用平臺（Digital Adoption Platform，DAP）業者，可引導組織用戶使用應用程式，同時深入理解及分析使用者與應用程式介面的互動。它在2021年登上美國那斯達克股市，當時的市值曾達25億美元。</p> <p>SAP表示，WalkMe的解決方案提供使用者先進的指南與自動化功能，協助他們在不同的應用程式之間執行任務，以讓組織得以應對持續不斷的技術變遷，讓底層的應用程式能有更高的採用率，進而實現應用程式與組織的價值。</p> <p>此外，WalkMe也步入生成式AI領域，即將於6月發表WalkMeX，這是個生成式AI助理，它會持續在線上協助使用者執行任何應用程式，並提供建議。未來SAP的生成式AI助理Joule及Enable Now 都會整合WalkMe的解決方案以造福SAP客戶，且WalkMe也將繼續支援SAP之外的各種應用程式。</p> <p>SAP及WalkMe董事會皆已通過此一交易，預計於今年第三季完成。</p> </div></div></div>
2024/6/6 15:10作者陳曉莉https://www.ithome.com.tw/news/163332
【臺灣資安大會直擊】邁向AIoT應用時代，臺灣硬體安全發展成商機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年的臺灣資安大會，不只提供資安議程與資安品牌展覽，幫助大家了解最新資安趨勢，還有多個特別規畫的主題展覽，展現資安的多種特色與樣貌，例如，已經連續7年登場的臺灣資安館，以及連續4年擴大舉辦的Cyber Talent資安人才專區。</p> <p>特別的是，今年還有一個全新亮點是──AIoT & Hardware Security Summit，這項主題議程在臺灣資安大會連續三天登場，共有26場專家演說，主要議題涵蓋：IEC 62443、工業物聯網（IIoT）、OT、關鍵CI、SBOM、O-RAN，以及車聯網安全、硬體安全晶片，以及物聯網的攻擊手法與資安認證等。</p> <p>雖然上述多家AIoT資安相關廠商的展覽，主要設於大會CYBERSEC EXPO展區，但特別的是，今年大會另增設AIoT & Hardware Security Zone的展區，鎖定智慧聯網與硬體安全這樣的主題，讓與會者在參加議程之際，對於一些特色產品也能夠更方便地就近去認識。在此AIoT硬體安全展區，共有10家國內外廠商在此呈現這方面的產品與應用，並有2家公協會在現場展示晶片安全與物聯網資安認證的成果。</p> <p>與普遍資安議題相比，這類智慧聯網與硬體安全領域，雖然不是企業主要關注焦點，但以整個資安環境而言，是相當重要的基礎環節。</p> <p>例如，發展超過20年的TPM安全晶片，這樣的硬體模組不只能用於驗證電腦平臺完整性，也可安全儲存密碼、使用者憑證、加密金鑰等敏感資訊，並提供基於硬體的加密功能。</p> <p>事實上，全球越來越重視這方面的技術發展，不只是多家國際科技大廠致力於此，對於身為電子製造重鎮的臺灣而言，也同樣在積極針對AIoT產品提升資安功能，發展硬體安全元件與推動晶片物聯網安全，這也成為提升我國硬體產業價值的新契機。</p> <h2><strong>硬體安全成主要焦點，PUF與Secure Flash最吸睛</strong></h2> <p>今日的AIoT資安領域，有哪些重要發展值得關注？在今年臺灣資安大會的AIoT展區現場，可以看出不同的應用發展面，例如，PUF技術、安全快閃記憶體，以及硬體加密模組等。</p> <h3><span style="color:#0099ff;"><strong>熵碼科技（PUFsecurity）</strong></span></h3> <p>首先，是晶片層級安全技術的矽智財（IP）解決方案。</p> <p>多年前我們報導臺灣硬體資安產業時，曾介紹物理不可仿製功能（Physically Unclonable Function，PUF）技術，是業者正在發展的路線之一。PUF的運作原理，主要是利用製造IC時的特徵值計算出數位指紋，自然生成獨一無二的密碼，是產生數位指紋的全新方法。</p> <p>在2019年，臺灣就已有力旺、旺宏等業者投入發展，而熵碼科技就是力旺成立的子公司，他們在2024臺灣資安大會展示兩種解決方案，分別是PUFrt與PUFcc。簡單來說，PUFrt就像保險箱，可以安全儲存敏感資訊，PUFcc 則是包含PUFrt的功能，同時提供保險箱與加密晶片的功能。</p> <p>為何衍生出這樣的解決方案？原來，力旺約在2016年在安全OTP之上發展PUF技術，當時雖有這樣的晶片指紋技術，但系統端不知該如何應用這樣的產品，2019年他們成立熵碼科技，花了兩年設計出上述兩種IP，讓客戶能夠易於整合到各式系統架構。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）AIoT %26 Hardware Security _熵碼科技_PUF_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89AIoT%20%26%20Hardware%20Security%20_%E7%86%B5%E7%A2%BC%E7%A7%91%E6%8A%80_PUF_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a><br /> </p> <h3><span style="color:#0099ff;"><strong>旺宏電子（Macronix）</strong></span></h3> <p>第二個吸引大家的資安元件，是安全快閃記憶體（Secure Flash）產品。其實在去年的臺灣資安大會，旺宏就曾在AI安全論壇發表演說，闡釋AI與快閃記憶體安全之間的重要關聯性。</p> <p>到了今年臺灣資安大會的AIoT硬體安全展區，該公司不僅介紹自家ArmorFlash系列產品，也展示應用場景。</p> <p class="rteright"><a href="https://s4.itho.me/sites/default/files/images/（圖2）AIoT %26 Hardware Security_旺宏電子_Secure Flash_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89AIoT%20%26%20Hardware%20Security_%E6%97%BA%E5%AE%8F%E9%9B%BB%E5%AD%90_Secure%20Flash_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 400px; float: right;" /></a></p> <p>例如，在Smart Lock智慧電子鎖的設置上，這種門鎖可辨識指紋、人臉等機敏資料，而搭配ArmorFlash的儲存解決方案，就能同時提供身分驗證、加密通訊和可靠資料儲存的保護。相較之下，一般Flash的儲存與讀寫完全沒有安全機制。</p> <p>而且，為了確保整體系統安全性，ArmorFlash本身也採用PUF技術，每一晶片的PUF Code都不相同，即便單一晶片遭破解侵入，也不會擴及其他晶片。</p> <p>現場人員並表示，像是Nvidia自家車用平臺，就採用ArmorFlash系列快閃記憶體解決方案。<br /> </p> <h3><span style="color:#0099ff;"><strong>華邦電子（Winbond）</strong></span></h3> <p>第三個現場展出的相關資安應用，也是安全快閃記憶體的產品。</p> <p>先前我們報導物聯網安全SESIP標準時，曾介紹華邦電子發展的安全快閃記憶體，將安全功能內建在Flash Memory，像是包含Secure Data Storage、Secure Over-The-Air、Secure Boot，以及位處架構最底層的Root of Trust（RoT）等安全機制。</p> <p>在今年的臺灣資安大會期間，該公司介紹TrustME W77Q系列的Secure Flash，也展示應用實例。例如，現場展示EtherWAN推出的IIoT設備，全名是AiR GUARD工業物聯網資安級行動通訊閘道器，當中搭載華邦的W77Q，並用上了產品中的硬體信任根（RoT），以及Secure Storage功能，可保護儲存其中的程式碼與資料。</p> <p>另外，華邦電子也展示安全記憶體在NXP、STM、Intel平臺的應用方式，只要將一般Flash置換成Secure Flash，即可採用不同安全功能，像是Secure OTA Firmware Update、Hardware Binding等。</p> <p>他們並還透露，目前此系列產品最高容量為1 GB，下一代將提升至2 GB，Secure OTA也會支援PQC演算法。較可惜的是，更高階的TrustME W75F（CC EAL 5+）系列，未在本次展示之列。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）AIoT %26 Hardware Security_華邦電子_Secure Flash_攝影羅正漢.jpg.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89AIoT%20%26%20Hardware%20Security_%E8%8F%AF%E9%82%A6%E9%9B%BB%E5%AD%90_Secure%20Flash_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg.jpg" style="width: 600px;" /></a><br /> </p> <h3><span style="color:#0099ff;"><strong>伊諾瓦科技（Enova）</strong></span></h3> <p>第四個展示的AIoT硬體安全產品，是伊諾瓦科技的硬體加密晶片模組與裝置，包括即時加解密安全模組X-Wall MX+，以及Enigma 3.1硬體加密器。</p> <p>我們過去曾報導Enigma 2，如今新一代產品有何不同？主要是應用了新款高速硬體加密晶片X-Wall MX+。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）AIoT %26 Hardware Security_伊諾瓦科技_硬體加密模組晶片_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89AIoT%20%26%20Hardware%20Security_%E4%BC%8A%E8%AB%BE%E7%93%A6%E7%A7%91%E6%8A%80_%E7%A1%AC%E9%AB%94%E5%8A%A0%E5%AF%86%E6%A8%A1%E7%B5%84%E6%99%B6%E7%89%87_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 400px; float: right;" /></a></p> <p>就功能而言，不只是提供硬體式檔案層加密，可針對隨身碟本身及電腦上可讀取到的磁碟機與檔案加密，新增加的功能，還包括能夠作為金鑰生成的媒介，提供CloudKey的應用。</p> <p>而這當中的關鍵就是X-Wall MX+，此產品同時是符合美國NIST FIPS 140-2 Level 3認證的安全晶片。</p> <p>另外他們也展示搭載同款晶片的不同產品應用，目前仍是處於參考架構設計的階段，其外型有如外接硬碟盒，當中以X-Wall MX+為核心，可連接不同廠牌的SSD或傳統硬碟HDD，以直接獲得硬體式加密效果。<br /> 　</p> <h2><strong>國際大廠也參加AIoT展區，展示最新解決方案</strong></h2> <p>不只是本土廠商，在2024臺灣資安大會的AIoT硬體安全展區現場，也有國際大廠展示其產品與應用。例如英飛凌、是德科技，以及Silicon Labs等。</p> <h3><strong><span style="color:#0099ff;">英飛凌（Infineon）</span></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5s）AIoT %26 Hardware Security_英飛凌_Optiga TPM_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965s%EF%BC%89AIoT%20%26%20Hardware%20Security_%E8%8B%B1%E9%A3%9B%E5%87%8C_Optiga%20TPM_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 277px; float: right;" /></a></p> <p>該公司最知名的產品當屬TPM晶片，已經發展20多年之久，他們在本次大會上展示多款資安IC晶片，主要是Optiga系列產品。例如，這次展示的SLB9672晶片，是近年該公司Optiga TPM系列的新款安全晶片，並且首度採用後量子加密技術於韌體更新機制。</p> <p>另外還有3款Optiga Trust產品也很特別，可涵蓋多種層面。以Trust Charge Evaluation Kit而言，這是產業中首款用於安全無線充電的身分驗證解決方案，並含完整系統整合支援，可支援Qi 1.3無線充電標準。其他還有對應IoT安全性開發套件的Trust M IoT Security Development Kit，以及為智慧家庭裝置增加Matter標準與安全功能的Trust M MTR。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5B）AIoT %26 Hardware Security_英飛凌_Optiga TPM_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965B%EF%BC%89AIoT%20%26%20Hardware%20Security_%E8%8B%B1%E9%A3%9B%E5%87%8C_Optiga%20TPM_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0099ff;"><strong>是德科技（Keysight）</strong></span></h3> <p>這家公司主要展示其IoT Security Assessment解決方案，過去我們接觸該公司所看到的解決方案，多是在無線射頻量測與驗證方面，8年前他們併購提供網路與資安測試能力的Ixia，到了2023年底，他們新併購一家韌體分析業者Firmalyzer。</p> <p>在這次大會期間，他們向大家介紹IoT Security Assessment的新功能，整合了韌體分析技術，提供韌體相關的SBOM、CVEs、弱點、Binary Analysis評估功能，還有Information Findings功能可進一步揪出潛在威脅。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）AIoT %26 Hardware Security_是德科技_IoT Security Assessmint_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89AIoT%20%26%20Hardware%20Security_%E6%98%AF%E5%BE%B7%E7%A7%91%E6%8A%80_IoT%20Security%20Assessmint_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0099ff;"><strong>Silicon Labs、益登科技（EDOM）</strong></span></h3> <p>在智慧家庭裝置領域，一年半前Matter標準1.0版發布，這不只可解決各家智慧家庭裝置互連的相容性問題，更重要的是，還具備資安功能的種種要求，等於是要確保產品搭載的晶片跟軟體的安全。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7）AIoT %26 Hardware Security_Silicon Labs與益燈科技_一站式Matter開發平臺_攝影羅正漢(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89AIoT%20%26%20Hardware%20Security_Silicon%20Labs%E8%88%87%E7%9B%8A%E7%87%88%E7%A7%91%E6%8A%80_%E4%B8%80%E7%AB%99%E5%BC%8FMatter%E9%96%8B%E7%99%BC%E5%B9%B3%E8%87%BA_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2(1).jpg" style="width: 320px; float: right;" /></a></p> <p>在這次大會期間，Silicon Labs與代理商益登科技共同展示最新物聯網解決方案，就是聚焦於提供一站式Matter開發平臺。</p> <p>Silicom Lab也在現場展示其產品，他們主要提供多種符合Matter標準的開發套件，可加速廠商開發Matter設備。例如，EFR32MG24、EFR32MG12等多協定無線SoC，以及SiWx、WF200等無線SoC。</p> <h2><strong>鎖定AIoT資安商機，IT、OT業者亦積極切入</strong></h2> <p>談到資安，臺灣本土的IT與OT廠商也現身於2024臺灣資安大會AIoT硬體安全展區，介紹他們在這方面的解決方案。</p> <h3><strong><span style="color:#0099ff;">全景軟體</span></strong></h3> <p>近年全景軟體與英飛凌合作，整合其硬體安全晶片，加上全景軟體設計的SDK、設備憑證PKI管理機制，進而建立其IoT解決方案，並對應設備業者對於IEC 62443標準的合規要求。</p> <p>透過這樣的搭配與建置，顯然是將他們多年來「人的認證」經驗，延伸至「物的認證」。像是在設備憑證燒錄、工廠機器生產憑證簽發及驗證管理，從韌體簽章，到憑證管理、憑證載入，以及最後的機器載入生產憑證記錄。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖8）AIoT %26 Hardware Security_全景軟體_IoT資安解決方案_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89AIoT%20%26%20Hardware%20Security_%E5%85%A8%E6%99%AF%E8%BB%9F%E9%AB%94_IoT%E8%B3%87%E5%AE%89%E8%A7%A3%E6%B1%BA%E6%96%B9%E6%A1%88_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0099ff;"><strong>四零四科技（Moxa）</strong></span></h3> <p>就OT、IT整合式解決方案而言，四零四科技展出EDR-G9010系列多合一工業安全路由器，具有防火牆/NAT/VPN及Layer 2網管型交換器功能，以保護工業AIoT邊緣運算。</p> <p>他們現場展示3款機型，強調可部署於OT環境的不同位置，建構OT領域的縱深防禦。例如，旗艦型產品EDR-G9010-VPN-2MGSFP，可用於OT和IT網路分段，另一款機身較小、去年新改版的EDR-8010，可用於OT特定區域的保護，還有一款體積更小、預計今年夏季才會新推出的產品，可用於一對一的關鍵資產防護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖9）AIoT %26 Hardware Security_四零四科技_EDRG9010工控安全路由器_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969%EF%BC%89AIoT%20%26%20Hardware%20Security_%E5%9B%9B%E9%9B%B6%E5%9B%9B%E7%A7%91%E6%8A%80_EDRG9010%E5%B7%A5%E6%8E%A7%E5%AE%89%E5%85%A8%E8%B7%AF%E7%94%B1%E5%99%A8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a><br /> </p> <p><a href="https://s4.itho.me/sites/default/files/images/2024臺灣資安大會AIoT %26 Hardware Security_應體安全_智慧聯網_9大解決方案.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83AIoT%20%26%20Hardware%20Security_%E6%87%89%E9%AB%94%E5%AE%89%E5%85%A8_%E6%99%BA%E6%85%A7%E8%81%AF%E7%B6%B2_9%E5%A4%A7%E8%A7%A3%E6%B1%BA%E6%96%B9%E6%A1%88.jpg" style="width: 600px;" /></a></p> <p> </p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>近年國內還有兩項重要計劃，包括推動晶片安全測試規範與物聯網資安標章</strong></span></h2> <p>在AIoT展區，國內還有兩家公協會參與，介紹我國在AIoT領域中，對於晶片安全與物聯網資安的重要進展。</p> <p>例如，以台灣區電子電子工業同業公會（TEEMA，簡稱電電公會）而言，他們說明了自家「資訊安全暨生態系統委員會」的重要專案成果，就是晶片安全面向的發展。</p> <p>簡單來說，電電公會的資安委員會於2021年成立，近年在政府計畫支持下，與資策會共同完成晶片安全標準暨測試規範，並發布產業標準，他們的下一步目標是，逐步建構這方面的生態系統，協助國內晶片業者提升產品安全功能，以及爭取成為晶片安全認證發證單位。</p> <p>此外，還有台灣資通產業標準協會（TAICS），他們也在現場介紹物聯網資安驗證成果。由於我國NCC、經濟部推動這個物聯網標章已經多年，從最早的影像監控系統、網路攝影機、無線路由器、機上盒、智慧巴士車載資通訊系統，一直到智慧路燈、空氣品質感測裝置、消費性物聯網產品、數據機、門禁系統。因此TAICS表示，除了希望更多業者加入，他們也將持續更進一步促進國際標準的連結。<br /> </p> </div></div></div>
2024/6/6 11:06作者羅正漢https://www.ithome.com.tw/news/163311
Nvidia市值達3兆美元，超越蘋果，成為僅次微軟的全球第二大企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>乘著AI噴射機的繪圖晶片龍頭Nvidia本周三（6/5）股價上漲了5.16%，以1,224.4美元作收，不僅創下股價新高，其市值也首度突破3兆美元大關，達3.012兆美元，超越了蘋果的3.003兆美元，成為僅次於微軟的全球第二大最有價值的企業。微軟昨天收盤時的市值為3.151兆美元。</p> <p>Nvidia的突飛猛進來自於2022年3月發表的Hopper GPU架構，以及基於該架構的H100 GPU，H100 GPU是在同年的9月量產，售價介於2.5萬美元至3萬美元之間，主要被應用在AI伺服器（資料中心）上。不過，銷售數字的起飛則始於截至2023年7月底的<a href="https://nvidianews.nvidia.com/news/nvidia-announces-financial-results-for-second-quarter-fiscal-2024" target="_blank">2024財年第二季</a>，該季Nvidia創下135.1億美元的營收，成長101%，其中，資料中心營收即占了103.2億美元，成長171%。</p> <p>之後的每一季Nvidia的營收成長率都超過200%，最近一次截至今年4月28日的<a href="https://www.ithome.com.tw/news/163047" target="_blank">財報顯示</a>，該公司的營收已達到260億美元，成長262%，資料中心占了226億美元，且市場對於H100 GPU的需求始終強勁，也讓Nvidia決定每年都更新AI晶片架構，除了今年已發表的Blackwell之外，明年將推出Blackwell Ultra，後年則是Rubin。</p> <p>此外，基於Blackwell架構的B100 GPU價格亦高達37,500美元。</p> <p>外界對AI GPU的強烈需求也反映在Nvidia的股價上，去年底Nvidia的股價還不到500美元，但今年以來持續飆升直至本周的1,224美元。Nvidia計畫於周四（6/6）進行股票分割，將每股拆分為10股，當天收盤後仍持有Nvidia股票的用戶即可自動參與。</p> </div></div></div>
2024/6/6 11:35作者陳曉莉https://www.ithome.com.tw/news/163327
Stability AI釋出文字生成聲音模型開源版本Stable Audio Open
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stability AI周三（6/5）釋出了文字生成聲音模型的開源版本<a href="http://stability.ai/news/introducing-stable-audio-open" target="_blank">Stable Audio Open</a>，在使用者輸入文字描述後，它便能生成長達47秒的樣本與聲音效果。</p> <p>Stability AI以超過48萬個聲音紀錄來訓練Stable Audio Open模型，其中超過9成的紀錄來自Freesound，另有少數來自「免費音樂檔案」（Free Music Archive ，FMA），所有的音訊檔都取得了免費的共享許可，並使用預訓練的T5（Text-to-Text Transfer Transformer）文字模型來處理與生成文本。</p> <p>Stable Audio Open讓使用者輸入簡單的文字提示，即可生成最多長達47秒的高品質聲音，Stability AI宣稱它很適合用來建立鼓點、音樂即興片段、環境音效、模擬錄音，或是其它與音樂及聲音有關的樣本。開源版本的好處之一還包括使用者可以利用自己的聲音資料來調整模型，例如鼓手可以加入自己的錄音樣本來生成新的節奏。</p> <p>其實該公司在去年9月便先推出了商業版的<a href="https://www.ithome.com.tw/news/158741" target="_blank">Stable Audio</a>，同時提供免費與付費方案。Stability AI解釋，Stable Audio可生成高品質、完整且長達3分鐘的連貫音樂結構，而Stable Audio Open則專注於聲音樣本、音效與製作元素，儘管Stable Audio Open能夠生成簡短的音樂，但並未針對完成的歌曲、旋律或人聲進行優化。</p> <p>使用者也可逕自利用Stable Audio免費版來測試與Stable Audio Open的差異，Stable Audio Open 1.0現階段則可透過<a href="https://huggingface.co/stabilityai/stable-audio-open-1.0" target="_blank">Hugging Face取得</a>。</p> </div></div></div>
2024/6/6 11:57作者陳曉莉https://www.ithome.com.tw/news/163328
樹莓派推出要價70美元的AI套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>樹莓派（Raspberry Pi）周二（6/4）發表了<a href="https://www.raspberrypi.com/news/raspberry-pi-ai-kit-available-now-at-70/" target="_blank">支援Raspberry Pi 5單板電腦的AI套件</a>，安裝後將可用來建置複雜的AI視覺應用程式，此一套件是與以色列AI業者Hailo Technologies合作開發，售價70美元。</p> <p>2017年成立的Hailo是一家AI處理器與加速器的設計及製造公司，該公司所設計的處理器或加速器專供自駕車、監視器或自主移動機器人使用。</p> <p>而Raspberry Pi AI Kit則是結合了樹莓派的M.2 HAT+擴充板，以及Hailo的Hailo-8L AI加速模組，以用來建置AI視覺應用，並標榜相關應用不僅可即時執行，也具備低延遲與低功耗的特性。不管是偵測物件、語義與實例分割、姿勢估計或臉部特徵偵測等神經網路，全部都在Hailo-8L協同處理器上執行，以讓Raspberry Pi 5的CPU能夠執行其它任務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0605-%20Raspberry%20Pi%20AI%20Kit%20disassembled-B.png" style="width: 519px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0605-Raspberry%20Pi%20AI%20Kit.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Raspberry Pi</span></span></p> <p>Raspberry Pi AI Kit支援每秒13兆次操作（TOPS）的推論性能，單通道PCIe 3.0連結的傳輸速度為8Gbps，無縫整合Raspberry Pi的作業系統與軟體，並相容於Raspberry Pi與第三方所生產的相機。此外，它不僅可於單個相機鏡頭執行多個神經網路，也能同時在不同的鏡頭上執行多個神經網路，其高效排程能力可更靈活地利用硬體資源以提高效率。</p> <p>Hailo已經打造了一個<a href="https://github.com/hailo-ai/hailo_model_zoo/tree/master/docs/public_models/HAILO8L" target="_blank">模型資料庫</a>，羅列各種已經過預訓練的神經網路模型，供使用者快速部署或優化。</p> <p>而為了簡化相機及AI應用的整合，其相機應用專用的rpicam-apps套件現在擁有一個後處理模板，可將神經網路推論整合至相機管線中即時執行，藉由預先安裝的Hailo Tappas後處理函式庫，只要幾百行的C++程式碼便可創造出先進的AI應用，此一整合很快也會延伸至Picamera2框架。</p> </div></div></div>
2024/6/5 15:40作者陳曉莉https://www.ithome.com.tw/news/163313
【2024臺灣資安年鑑｜資安十年特輯】資安產業具備輕資產、高價值特性，吸引年輕人投入創業
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_shi_nian_-he_quan_de_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣的資安產業曾是一個小眾市場的角落，然而過去十年它經歷翻天覆地的變化，由被忽視的領域轉變為備受政府、企業關注的關鍵產業。</p> <p>這種變革背後，國家資通安全研究院院長何全德認為，「資安即國安」戰略推動，為臺灣資安產業的蓬勃發展奠定基礎；而《資安法》實施也帶動了企業對資安的重視，使得資安成為企業營運中不可或缺的一環；監管機關對於資安標準的要求，迫使企業不得不投入更多資源和精力，以便提升資安水準，從而拉動市場需求。這是一系列外在因素的綜合作用，從政策、需求到技術發展，無不影響著資安產業的興盛。</p> <p>資安產業的蓬勃發展，不僅是政策的推動，更是來自於實際的需求。何全德表示，供應鏈的要求，企業曾遭受駭客入侵的教訓，以及數位轉型和淨零轉型的推動，都成為了資安市場增長的推動力。此外，在COVID-19爆發後，數位轉型的加速使得更多人開始使用網路和科技工具，進一步推動資安需求。</p> <p>過去，資安被視為被動的防禦性工作，但如今它已成為企業營運的標準配備。許多企業都意識到：無論面對駭客攻擊，或遵守主管機關提出來的法遵要求，良好的資安措施都不可或缺。</p> <p>展望未來十年，何全德對臺灣資安產業抱持著樂觀的態度。他指出，數位轉型的加速和全球淨零轉型的推動，都將進一步擴大資安產業的市場空間；另外，像是安碁資訊、中華資安等公司的上市櫃計畫以及軟體公司的崛起，更加顯示了資安產業的潛力。</p> <p>臺灣資安產業的崛起，不僅是一個產業的蓬勃發展，更是新型態的數位經濟的象徵。他表示，資安產業具有輕資產和高價值的特性，將為年輕人帶來更多的就業機會，同時，也將促進財富的重新分配，將為臺灣的經濟發展帶來新的動力，也將為全球的數位化進程注入更多的活力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E4%BD%95%E5%85%A8%E5%BE%B7-600-1-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>臺灣電子化政府為臺灣資安發展奠定基礎</strong></span></p> <p>在臺灣電子化政府的發展歷程中，資訊安全政策的推動扮演了至關重要的角色。何全德在公務部門服務超過四十年，作為臺灣電子化政府發展的幕後推手之一的他表示，從電子化政府的元年到資安政策的推動，臺灣資安政策是如何演進的呢？</p> <p>1996年被譽為臺灣電子化政府的元年。當時舉辦的「網路世界博覽會Expo96」，標誌著政府正式將網路引進到其運作，他說：「儘管當時的網站只是靜態的，僅提供簡單的資訊服務，但就是這一步，真正奠定了臺灣電子化政府的基礎。」</p> <p>在陳水扁總統任期中，資安政策開始受到重視，在其第一個任期內便成立跨部會協調的行政院資通安全會報，並建立資通安全會報技術服務中心。何全德表示，這樣的組織和作為，也讓政府各部門之間有了真正跨部門合作的機會，進而提升電子化政府的資安意識。</p> <p>資安政策的法制化是推動資訊安全的重要一環，他指出，當時政府積極推動《電子簽章法》，並引進國際標準，例如英國資安標準BS7799，這些舉措為臺灣政府資安工作的推動，提供參考依據及鞏固臺灣資安政策的基礎，使其得以正式化和法制化。</p> <p>除了法制化，資安意識的普及和資安人才的培訓，也是推動資安政策的重要步驟。政府積極推動資安意識的普及化，並且投入資安專業人才的培養——最早是成立資安會報技術服務中心，之後才將技服中心改成行政法人，於2023年元月正式成立資安院。</p> <p>面對日益複雜的資安威脅，他表示，政府開始建立資安事件應變機制，各機關開始設立通報應變聯絡人，並建立政府全體系通報應變機制，政府也將進一步推動資安意識的普及，鞏固全社會對資安工作的支持和參與。</p> <p>此外，政府開始定期進行兩年實施一次的資安國際演練（Cyber Offensive and Defensive Exercise，CODE），藉此檢驗各機關及關鍵基礎設施的資安應變能力，並提高資安整體防禦水準。</p> <p><span style="font-size:28px;"><strong>臺灣資安政策成形，最早在2001年成立資安會報</strong></span></p> <p>網路科技的快速發展帶來了人類文明進步，也衍生一系列負面問題例如網路成癮和網路犯罪。在這樣的背景下，政府的資安政策與法制逐步成熟。</p> <p>何全德表示，經歷陳水扁總統、馬英九總統到蔡英文總統等三位總統、共六個總統任期，不同政府的時期，資安政策也經歷演變與調整，資訊安全已經成為政府與社會普遍關注的共同議題。</p> <p>1996年，臺灣開始踏上電子化政府的道路，政府開始意識到資訊安全的重要性。然而，當時的資安工作，主要偏重於宣導保護資料和電子郵件安全，對於資安風險的認識還不深刻，主要仍是透過行政指導的方式推動資安工作。</p> <p>當政府逐漸意識到需要跨部會協調、推動資安工作時，在2001年，陳水扁政府時期，率先成立行政院國家資通安全會報，專門負責協調各部門間的資安工作。這樣的行動，也彰顯出臺灣資安政策的發展，已從早期單純的宣導，往制度化和法制化邁出最重要一步。</p> <p>2016年蔡英文總統上任後，提出了「資安即國安1.0」戰略，並於同年八月成立了行政院資安處，負責草擬《資安法》，於2019年元旦正式實施。</p> <p>他解釋，《資安法》的制定是臺灣資安政策發展的里程碑，該法規定各級機關應該配置的資安專責人員數量，並訂定《資通安全責任等級分級辦法》，明確列出各級機關的資安責任等級，還律定了各機關的防護水準，從根本上提高國家的資安防護能力。</p> <p>政府不僅強調了法制基礎，還積極投入資安相關建設。何全德表示，在國科會主委吳政忠的支持下，政府在科技預算內撥出25億資安專案經費，開始建立資安監控中心（SOC）和資安情資分享中心（ISAC）等。</p> <p>在蔡英文總統任內，資安更是被視為重要議題，她推動了「資安即國安」1.0和2.0的國家戰略，從積極成立行政院資安處，強調資安在國家安全中的重要性；也接著成立資安院，接手執行資安政策、協助政府處理資安事件，以及培養資安人才等任務。</p> <p>在蔡英文政府時期，臺灣的資安政策雖然取得重大進展，但仍面臨著新的挑戰和問題，政府仍將繼續加強法制建設和執行力度，提高資安防禦能力。</p> <p>面對未來，他說，政府除了繼續加強法制建設和執行力度，提高資安防禦能力。同時，政府還將加強對資安意識的普及和培訓，積極培養更多的資安專業人才，同時推動資安即國安戰略。</p> <p>即將於今年五月二十日就職第十六任總統的賴清德，也提出「五打七安」政策，即打擊「黑、金、槍、毒、詐」，也將治安、食安、道安、公安、校安、居安，以及網路資通安全這七項，列為重要的安全工作，可以看出，資安也將是未來賴清德總統重要政見之一。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E4%BD%95%E5%85%A8%E5%BE%B7-600-2-JPG.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／洪政偉）</span></p> <p><span style="font-size:28px;"><strong>要求上市櫃公司設立資安長，是資安發展重要里程碑</strong></span></p> <p>在臺灣，隨著國家資安戰略的制定成立資安組織，並制定《資安法》相關法規，包括公務機關及特定非公務機關，就有法規遵循義務，例如規定A級機關要做滲透測試、成立SOC（資安監控中心）等，相關的資安需求就會帶動資安市場的發展，也會逐漸演變成資安市場的商機。</p> <p>現任國安會秘書長顧立雄在金管會主委任內，配合國家政策推動金融機構的資安，後續也有金融資安行動方案1.0、2.0陸續推出，對於金融資安的作為提出很明確的規範。</p> <p>何全德認為，金管會要求上市櫃公司分級、分年成立資安專責單位、設立資安部門主管，尤其是設立副總等級資安長的要求，更是臺灣產業資安的重要里程碑，「這也讓資安長暨資訊長後，成為企業營運時重要的主管。」他說。</p> <p>何全德表示，資安院成立就是為了支持和協助政府及關鍵基礎設施（CI），做好資安防護、人才培訓，以及產業資安相關的技術研發，幫國家培養各式的資安人才。</p> <p><span style="font-size:28px;"><strong>資安院出面訂定適用臺灣的「資安職能基準」</strong></span></p> <p>過去，美國曾發布NICE網路安全人才框架，定義7大類別、33個專業領域，以及52個工作角色；到了2022年10月，歐盟網路安全局（ENISA）亦發布ECSF網路人才技能框架，定義出資安團隊12種角色，為資安人才的分類和培養提供了重要參考。</p> <p>他認為，這些框架定義不同類型的資安角色和相應的技能要求，為資安人才的培養和評估提供了標準和依據。</p> <p>何全德表示，資安院在這樣的背景下，由資安院人培中心出面，參考美國NICE和歐盟ECSF的框架，建立通用於臺灣的「資安職能基準」，並將臺灣資安人才依不同職能類別和專業領域，分為19種，也會定義相應的知識、技術和能力（KSAs）；進一步而言，根據這套基準可制定相應的課綱、教材和測驗，以培養評估資安人才的能力。</p> <p>「資安人才的培養，是保障國家和企業資訊安全的重要保障。」何全德說，而人才培養工作是資安院的重要職能之一，通過制定和推廣資安職能基準，資安院可透過更理想的方式，對資安人才進行培養和評估，確保其具備所需的專業知識和技能，提高資安人才整體水準。目前資安院先推出資安長班，以及資安事件工程師班，在這種職能訓練之外，未來還會辦理高階實戰班人才；因為資安要分不同產業領域，必須做適地化，且根據不同產業做不同教材。</p> <p>他認為，資安院作為支持和協助政府和關鍵基礎設施（CI）的資安工作的單位，可以扮演數位強力膠的關鍵角色，透過幫助企業和組織更精確了解自身資安需求，從而更好地配置資源，提高資安整體水準，也能更精確地表述企業與組織本身培養哪些人才，以及自己需要哪類人才，讓需求更精確。</p> <p>何全德也觀察到，這個數位時代的資安需求持續攀升，也催生出許多資安新創公司，他們不僅提供純粹的資安服務，還讓一些傳統SI（系統整合商）開始跨足資安業務，這也促使資安產業化的發展趨勢。</p> <p>作為資安風險較高的金融業，對資安解決方案的需求更是持續增加，何全德表示，金融機構積極尋求更有效的資安保護方案，應對不斷變化的威脅和攻擊，不只為資安技術創新和應用提供巨大商機，也成為資安市場發展一大驅動力。</p> <p>然而，資安不僅是個行業，它還需要不同領域之間的合作和交流，例如，金融業與資安公司的合作、政府與企業的合作等，這種跨領域的合作促進了資安市場的健康發展。在這樣的趨勢下，我們可預見資安市場將會繼續成長，為各行業帶來更多機遇和挑戰。</p> <p><span style="font-size:28px;"><strong>從技術、管理和教育面落實，確保人員、系統和資料安全</strong></span></p> <p>資訊安全一直是臺灣數位化發展的關鍵，何全德表示，面對技術持續變化、資料持續增加，可以從兩個三角形來思考資安的因應策略。</p> <p>第一個三角形，是強調技術、管理和教育訓練在資安工作的重要性。他指出，透過資安技術的自主研發，加上落實資安政策的管理、稽核與執行，並且藉由教育訓練的方式，把重視資安的全民資安意識，深植每個人的腦中。</p> <p>「資安院還有一個重要任務，就是要提升全民資安意識，」何全德認為，政府和企業要開展相對應的資安宣傳活動和教育訓練外，也必須提高終端使用者（End User）對資安的重視程度。</p> <p>第二個三角形，是從人員、系統、資料這三個面向來看。何全德認為，人員就涉及兩個重要議題：人員安全和人才儲備；其次是系統保護，最後是資料保護。何全德說，這是具有戰略思考的保護策略，需從多個層面確保資訊安全，因為未來的資安不僅是技術防禦，更應注重資料保護和系統架構的安全性，ZTA（零信任架構）是更加安全和靈活的架構，可以有效保護系統和資料。</p> <p>他也提醒法律的重要性，法律應該與時俱進，以應對不斷變化的資安挑戰。何全德表示，政府可以通過法規和採購政策，提高企業和組織的資安意識和能力，從而全面提升國家資安水準。</p> <p>面對未來，「應該要持續關注AI在資安領域的應用」他表示，AI發展為資安領域帶來新的機遇和挑戰，例如，AI在漏洞掃描、攻防演練的應用，都可以藉此提高資安防禦效率和能力。</p> <p>他也強調韌性（Resilience）的重要性，因為韌性已經是資安領域的重要趨勢，不僅要做到資安事件的溯源，連資安防禦也必須做到向左移動到開發端等，才能應對日益複雜的資安威脅。</p> <p>因為資安是全球性的問題，他認為，臺灣需要加強國際合作和交流，共同應對跨國的資安威脅，保障全球資訊安全的同時，也就是保障臺灣的網路安全。<strong>【本文採訪日期為2024年4月】</strong></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 236px;" /></span></span></strong></a></p> </div></div></div>
2024/6/6 00:00作者黃彥棻https://www.ithome.com.tw/article/163110
【資安日報】6月5日，針對烏克蘭政府恢復公營事業收費，俄羅斯駭客組織FlyingYeti策畫利用WinRAR漏洞的網釣…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週雲端服務業者Cloudflare公布由俄羅斯駭客組織FlyingYeti策畫的網釣攻擊行動，並指出對方架設架設冒牌公營事件網站，意圖在當地政府恢復收取、追討積欠公營事業費用的情況下，引誘烏克蘭民眾上當。</p> <p>值得一提的是，這起攻擊行動駭客意圖濫用Cloudflare Workers與GitHub的服務隱匿行蹤，這兩家公司進行反制，讓對方難以繼續從事攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163316"><strong style="font-size: 22px;">俄羅斯駭客FlyingYeti利用WinRAR漏洞對烏克蘭發動網釣攻擊，目的是散布惡意程式CookBox並控制受害電腦</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FlyingYeti4-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FlyingYeti4-5.png" style="width: 300px; float: right;" /></a>雲端服務業者Cloudflare揭露自今年4月出現的網路釣魚攻擊行動，俄羅斯駭客組織FlyingYeti（亦被稱為UAC-0149）針對烏克蘭民眾因政府的緊急命令即將到期，恢復收取積欠的公營事業費用，而可能面臨龐大債務的情況，架設冒牌的基輔Komunalka社會住宅網站來引誘他們上當，而有可能導致電腦被部署PowerShell惡意程式CookBox，過程中對方濫用Cloudflare Workers與GitHub，以及WinRAR漏洞CVE-2023-38831。</p> <p>對此，Cloudforce One採取反制行動，延後對方發動攻擊的時間，他們先是封鎖駭客使用的Cloudflare Worker，而對方企圖新帳號設置多個Cloudflare Worker，但後續皆遭到停用，導致駭客更改攻擊鏈，由GitHub存取前述RAR檔案。研究人員向GitHub通報此事，該程式碼儲存庫下架相關專案，並移除釣魚網站。</p> <p><a href="https://www.ithome.com.tw/news/163310"><strong style="font-size: 22px;">美國證實7年前Oracle WebLogic Server作業系統命令注入漏洞被用於攻擊行動</strong></a></p> <p>6月3日美國網路安全暨基礎設施安全局（CISA）針對一項7年前公布的漏洞CVE-2017-3506提出警告，指出掌握駭客已將這項漏洞用於攻擊行動的證據，他們將其納入已知遭到利用的漏洞目錄（KEV），要求聯邦機構在6月24日前完成修補。</p> <p>雖然CISA並未針對駭客利用漏洞的情況說明細節，但有鑑於該漏洞已公布7年之久，網路上已有研究人員公布概念性驗證（PoC）程式碼，攻擊者若要利用漏洞，無須自行從頭分析，IT人員還是要盡速套用相關修補程式。</p> <p><a href="https://www.ithome.com.tw/news/163304"><strong style="font-size: 22px;">防詐公司Gogolook發布資安事件重訊，網站部分服務遭非法存取</strong></a></p> <p>創新板上市公司走著瞧-創（Gogolook）在6月4日公布遭遇網路資安事件，該公司於傍晚18時18分發布重大訊息，說明內部資安團隊發現有部落格專欄的網站服務，發生未經授權存取的情況。</p> <p>根據Gogolook的說明，他們的資安團隊監控到網站部分服務（服務項目：部落格專欄），遭不明人士意圖嘗試未經授權的存取，發現後已即時做出因應，全面啟動資安防禦與攔阻機制，同時與第三方資安廠商積極展開調查。他們也說明了目前的調查結果，沒有網站會員個人資料及公司內部機密資訊遭存取情形。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.fortinet.com/blog/threat-research/menace-unleashed-excel-file-deploys-cobalt-strike-at-ukraine"><strong style="font-size: 20px;">駭客藉由Excel巨集進行多階段惡意軟體攻擊，針對烏克蘭電腦植入Cobalt Strike</strong></a></p> <p></p> <p>◆<a href="https://www.ptsecurity.com/ww-en/analytics/pt-esc-threat-intelligence/hellhounds-operation-lahat-part-2/"><strong style="font-size: 20px;">俄羅斯電力公司、IT業者、政府機關遭到木馬程式Decoy Dog攻擊</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/australian-mining-company-discloses-breach-after-bianlian-leaks-data/"><strong style="font-size: 20px;">澳洲礦業公司Northern Minerals傳出遭到勒索軟體「變臉」攻擊</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/tiktok-fixes-zero-day-bug-used-to-hijack-high-profile-accounts/"><strong style="font-size: 20px;">抖音傳出企業與名人帳號遭到接管的情況，駭客藉由私訊功能的零時差漏洞得逞</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/american-radio-relay-league-says-it-was-hacked-by-an-international-cyber-group/"><strong style="font-size: 20px;">針對5月中旬遭遇網路攻擊，美國無線電中繼聯盟ARRL指控是惡意的國際網路組織所為</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163308"><strong style="font-size: 22px;">兆勤針對生命週期已經結束的NAS設備發布緊急更新，修補重大層級漏洞</strong></a></p> <p>6月4日兆勤（Zyxel Networks）針對旗下網路儲存設備NAS326、NAS542發布資安公告，指出這些設備存在5項漏洞CVE-2024-29972、CVE-2024-29973、CVE-2024-29974、CVE-2024-29975、CVE-2024-29976，並指出有鑑於其中3項漏洞極為嚴重，即使這些設備生命週期已於去年底結束，他們還是決定破例提供新版韌體修補重大漏洞。至於這些漏洞是否已遭到利用，該公司並未提出說明。</p> <p>這些得到修補的漏洞，包含了命令注入漏洞CVE-2024-29972、CVE-2024-29973，以及遠端程式碼執行（RCE）漏洞CVE-2024-29974，皆為重大層級，CVSS風險評分也都達到9.8分。</p> <p><a href="https://www.ithome.com.tw/news/163315"><strong style="font-size: 22px;">美國網路寬頻業者Cox修補數據機授權繞過漏洞，若不處理攻擊者可用於挖掘用戶個資</strong></a></p> <p>漏洞賞金獵人Sam Curry揭露美國大型網路寬頻業者Cox Communications於3月修補的權限繞過漏洞，攻擊者能遠端濫用曝露的後端API，從而重置數百萬臺數據機的組態，並竊取用戶的敏感個資。他發現超過700個曝露的API，其中不少提供了管理功能，一旦攻擊者藉由重新傳輸HTTP請求，就有機會在未經授權的情況下執行命令。</p> <p>由於Cox是美國最大的寬頻網路業者之一，服務遍及超過30個州、擁有近700萬個企業與個人用戶，這樣的漏洞影響相當廣泛。對此，Cox於3月初獲報後著手處理，並得到研究人員的確認。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162869"><strong style="font-size: 22px;">資安典範正轉移，接下來10年臺灣資安產業應積極擁抱AI新科技</strong></a></p> <p>臺灣資安產業現今蓬勃發展，奧義智慧科技創辦人邱銘彰在今年資安大會中，細數過去幾個重要發展的關鍵點，並指出現在正面臨典範的轉移及方法的革新。由於資安的觀點及關心的重點不斷移動，從網路（DoS）端到伺服器（Web），到終端（APT滲透測試），再到身分（雲端），資安的戰場不斷移動，過去的資安鑑識以電腦為單位，現在進入雲端時代，以每個Workflow為鑑識單位，這並非代表舊的問題消失，而是發現新問題出現。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163303"><strong>【6月4日】帛琉政府資料流入暗網，指控是中國政府指使勒索軟體駭客組織所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163276"><strong>【6月3日】美國證實Linux核心的網路元件Netfilter高風險漏洞已被用於攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163231"><strong>【5月31日】歐洲刑警組織與十多個國家執法單位聯手，掃蕩數個用於散布惡意程式的殭屍網路</strong></a></p> </div></div></div>
2024/6/5 18:07作者周峻佑https://www.ithome.com.tw/news/163317
俄羅斯駭客FlyingYeti利用WinRAR漏洞對烏克蘭發動網釣攻擊，目的是散布惡意程式CookBox並控制受害電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端服務業者Cloudflare揭露自<a href="https://blog.cloudflare.com/disrupting-flyingyeti-campaign-targeting-ukraine">今年4月出現的網路釣魚攻擊行動</a>，俄羅斯駭客組織FlyingYeti（亦被稱為UAC-0149）針對烏克蘭民眾因政府的緊急命令即將到期，<a href="https://en.interfax.com.ua/news/economic/959388.html">恢復收取積欠的公營事業費用</a>，而可能面臨龐大債務的情況，架設冒牌的基輔Komunalka社會住宅網站來引誘他們上當，而有可能導致電腦被部署PowerShell惡意程式CookBox，過程中對方濫用Cloudflare Workers與GitHub，以及WinRAR漏洞CVE-2023-38831。</p> <p>4月18日，該公司旗下的威脅情報團隊Cloudforce One偵測到FlyingYeti疑似準備發起攻擊行動的跡象，經比對這些駭客曾使用烏克蘭電腦緊急應變團隊（CERT-UA）揭露的攻擊手法，去年秋季對當地國防機構散布CookBox。</p> <p>後來研究人員進行追蹤，這些駭客在4月中旬至5月中旬進行偵察，建立網釣的誘餌內容，並著手開發惡意程式，當時他們推測，對方很有可能打算在東正教復活節後發動攻擊。</p> <p>而對於駭客準備的攻擊鏈，研究人員指出，對方先是透過債務重組或是與付款相關的電子郵件，引誘收信人點選連結，並將他們帶往架設在GitHub的冒牌Komunalka社會住宅付款網站，該網站指示收信人下載Word檔案。</p> <p><a href="https://s4.itho.me/sites/default/files/images/FlyingYeti4-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FlyingYeti4-5.png" style="width: 580px;" /></a></p> <p>然而若是收信人照做，點選下載按鈕，電腦就會向Cloudflare Worker發出HTTP POST請求，對方藉此過濾目標，完成後下載RAR壓縮檔到受害電腦。</p> <p>此壓縮檔內含數個檔案，其中一個檔名帶有大量Unicode字元U+201F，此字元在Windows作業系統顯示為空格，攻擊者這麼做的目的，就是為了讓收信人降低戒心，忽略此檔案實際是CMD批次檔。</p> <p><a href="https://s4.itho.me/sites/default/files/images/FlyingYeti2-11.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FlyingYeti2-11.png" style="width: 580px;" /></a></p> <p>而這個壓縮檔內含另一個無害的付款發票PDF檔案，一旦收信人透過WinRAR開啟壓縮檔，並試圖檢視PDF檔案，就會觸發CVE-2023-38831，執行CMD檔案，從而啟動CookBox，而能讓攻擊者持續於受害電腦上活動。</p> <p>值得留意的是，CMD檔案還會開啟壓縮檔裡的其他Word檔案，這些檔案內容看起來是烏克蘭官方文件，很有可能是用來轉移收信人的注意力。</p> <p>對此，Cloudforce One採取反制行動，延後對方發動攻擊的時間，他們先是封鎖駭客使用的Cloudflare Worker，而對方企圖新帳號設置多個Cloudflare Worker，但後續皆遭到停用，導致駭客更改攻擊鏈，由GitHub存取前述RAR檔案。</p> <p>研究人員向GitHub通報此事，該程式碼儲存庫下架相關專案，並移除釣魚網站。他們也提供PowerShell指令碼，並對於Splunk、微軟雲端資安資訊及事件管理（SIEM）平臺Sentinel提供相關的偵測規則，來識別駭客駭客在受害電腦觸發CVE-2023-38831的情況。</p> </div></div></div>
2024/6/5 17:19作者周峻佑https://www.ithome.com.tw/news/163316
兆勤針對生命週期已經結束的NAS設備發布緊急更新，修補重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月4日兆勤（Zyxel Networks）<a href="https://www.zyxel.com/tw/zh/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-nas-products-06-04-2024">針對旗下網路儲存設備NAS326、NAS542發布資安公告</a>，指出這些設備存在5項漏洞CVE-2024-29972、CVE-2024-29973、CVE-2024-29974、CVE-2024-29975、CVE-2024-29976，並指出有鑑於其中3項漏洞極為嚴重，即使這些設備生命週期已於去年底結束，他們還是決定破例提供新版韌體修補重大漏洞。至於這些漏洞是否已遭到利用，該公司並未提出說明。</p> <p>這些得到修補的漏洞，包含了命令注入漏洞CVE-2024-29972、CVE-2024-29973，以及遠端程式碼執行（RCE）漏洞CVE-2024-29974，皆為重大層級，CVSS風險評分也都達到9.8分。</p> <p>其中，CVE-2024-29972位於名為remote_help-cgi的CGI程式，而CVE-2024-29973則是發生在setCookie參數，攻擊者能在未經授權的情況下，藉由發送偽造的HTTP POST請求，從而執行部分作業系統層級的命令。</p> <p>至於另一個重大層級漏洞CVE-2024-29974，出現在名為file_upload-cgi的CGI程式，未經授權的攻擊者能藉由上傳偽造的組態，藉此漏洞執行任意程式碼。</p> <p>通報上述漏洞的<a href="https://outpost24.com/blog/zyxel-nas-critical-vulnerabilities/">資安業者Outpost24也公布相關細節</a>，表示他們發現漏洞的原因，是在調查<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">去年</span>重大層級的預先身分驗證命令注入漏洞CVE-2023-27992（CVSS風險評為9.8分）的過程，發現兆勤修補該漏洞的方式，主要是藉由加入基礎的過濾機制，並限制最大長度，從而達到防堵攻擊者藉由/favicon.ico繞過身分驗證，但這麼做難以防範周全。</p> <p>研究人員指出，兆勤藉由加入更多過濾規則來緩解漏洞，而非解決程式碼依賴eval( )函數的根本問題，由於過濾機制與身分驗證並未集中處理，而是取決於每個端點決定身分驗證是否適用，或是輸入的資料對於eval( )而言是否足夠安全。為了驗證上述設計邏緝產生的缺陷，他們製作有效酬載來驗證新發現的漏洞。</p> <p>他們也對這些漏洞補充說明，像是CVE-2024-29972涉及名為NsaRescueAngel的後門帳號，而且，該帳號具備root權限；而CVE-2024-29974不只能用於發動遠端執行程式碼攻擊，還能讓攻擊者持續在受害裝置上活動。</p> </div></div></div>
2024/6/5 12:16作者周峻佑https://www.ithome.com.tw/news/163308
美國證實7年前Oracle WebLogic Server作業系統命令注入漏洞被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月3日美國網路安全暨基礎設施安全局（CISA）針對一項7年前公布的漏洞CVE-2017-3506提出警告，<a href="https://www.cisa.gov/news-events/alerts/2024/06/03/cisa-adds-one-known-exploited-vulnerability-catalog">指出掌握駭客已將這項漏洞用於攻擊行動的證據</a>，他們將其納入已知遭到利用的漏洞目錄（KEV），要求聯邦機構在6月24日前完成修補。</p> <p>這項弱點存在於Oracle WebLogic Server，<a href="https://nvd.nist.gov/vuln/detail/CVE-2017-3506">為高風險層級的作業系統命令注入漏洞</a>，CVSS風險評為7.4分，影響10.3.6.0、12.1.3.0、12.2.1.0、12.2.1.1、12.2.1.2等多個版本，Oracle於2017年4月進行修補。</p> <p>未經身分驗證的攻擊者藉由觸發漏洞，有機會在透過HTTP網路連線入侵目標伺服器。一旦成功利用漏洞，對方就能竄改、產生、刪除伺服器上所有重要資料，或是對於資料進行完全存取。</p> <p>雖然CISA並未針對駭客利用漏洞的情況說明細節，但有鑑於該漏洞已公布7年之久，網路上已有研究人員公布概念性驗證（PoC）程式碼，攻擊者若要利用漏洞，無須自行從頭分析，IT人員還是要盡速套用相關修補程式。</p> </div></div></div>
2024/6/5 12:59作者周峻佑https://www.ithome.com.tw/news/163310
美國網路寬頻業者Cox修補數據機授權繞過漏洞，若不處理攻擊者可用於挖掘用戶個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>漏洞賞金獵人Sam Curry揭露<a href="https://samcurry.net/hacking-millions-of-modems">美國大型網路寬頻業者Cox Communications於3月修補的權限繞過漏洞</a>，攻擊者能遠端濫用曝露的後端API，從而重置數百萬臺數據機的組態，並竊取用戶的敏感個資。</p> <p>這名研究人員對於Cox的數據機感到興趣，起因是2年前他居家辦公的時候，發生非常怪異的現象。當時他正測試一項XXE漏洞，透過外部HTTP伺服器走私檔案，卻發現有人攔截並重放相關流量，經調查攻擊者來源卻是南美洲資安業者使用的DigitalOcean網域，懷疑對方利用數據機的弱點下手。當時，他向Cox更換數據機後，這起事故不了了之。</p> <p>直到今年初，他與其他從業人員提及此事，才再度著手調查。結果發現，攻擊者很有可能並非直接對數據機下手，而是透過該公司客服人員遠端控制裝置的API達到目的。</p> <p>Sam Curry尋線調查此事找出存在於API的弱點，並指出攻擊者一旦成功利用，就能取得該網路服務供應商技術支援人員類似的權限，然後存取該公司任何客戶的數據機，覆蓋組態設定並在裝置上執行命令。</p> <p>利用這項漏洞，攻擊者還能利用公開的API挖掘用戶的姓名、電話號碼、電子郵件信箱等資料，從而尋找下手目標，竊取能夠識別個人身分的資訊（PII）。</p> <p>研究人員指出，他發現超過700個曝露的API，其中不少提供了管理功能，一旦攻擊者藉由重放HTTP請求，就有機會在未經授權的情況下執行命令。</p> <p>由於Cox是美國最大的寬頻網路業者之一，服務遍及超過30個州、擁有近700萬個企業與個人用戶，這樣的漏洞影響相當廣泛。對此，Cox於3月初獲報後著手處理，並得到研究人員的確認。</p> </div></div></div>
2024/6/5 15:53作者周峻佑https://www.ithome.com.tw/news/163315
Google開源半監督式框架SPADE，即使標記資料不足也可高效偵測異常
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開源了一個稱為<a href="https://opensource.googleblog.com/2024/05/semi-supervised-anomaly-detection-under-distribution-mismatch.html">SPADE（Semi-supervised Pseudo-labeler Anomaly Detection with Ensembling）</a>半監督異常偵測框架，這個方法的優勢在於，能夠克服其他半監督異常偵測方法的缺點。SPADE只需要少量已標記與大量未標記資料，即可高效地偵測異常。</p> <p>異常偵測應用範疇很廣，包括API安全、金融詐欺、製造缺陷等領域，皆可透過辨識資料和預期模式的不同，來找出異常項目。SPADE是Google所開發的高效異常偵測方法，其使用一組單類分類器（One-Class Classifiers，OCCs），作為虛擬標籤器和監督分類器，特別適合已標記與未標記樣本數量存在分布差異的資料集。</p> <p>由於建立大規模標記資料集的過程不只耗時且成本昂貴，而SPADE利用半監督學習方法，僅需少量標記資料即可達到良好的偵測效果，進而降低資料標記成本。</p> <p>研究人員也解釋，大多數半監督式方法假設已標記和未標記資料來自相同的分布，也就是已標記和未標記資料由相同的來源或是機制生成，具有相似的分布特性和模式。但是實際情況通常並非如此，已標記資料可能僅包含一種類型的異常，但是未標記資料卻包含多種類型的異常，或是標記資料僅包含易於標記的樣本。</p> <p>SPADE能夠解決大多數半監督式方法的缺陷，其運作方式是先使用多個單類分類器來學習資料中正常樣本的特徵，接著這些分類器分別對未標記的資料進行預測，生成虛擬標籤，猜測異常與正常的資料，但只有當所有分類器一致認為特定樣本為異常時，才會真正將其標記為異常。通過虛擬標籤以及原始標記資料，一起訓練監督異常模型，完成訓練後，該模型便可用於偵測新資料中的異常。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEh2FvN4jPAY3yruX3mGEVHG_RRrrHHTq9qdb-msotQ64fMbX-zhxoFzcEH1p1pUBYrihngQGLJfp9FDblWPPJU2D6UL9hi_iByL6jbRgoMPWk6zi-Ja385RFTwUFLjVlv5irso_LLE_lGYfk8sqE-KT7cEGuC1erN8AH3glHA-HSS4nPjhFgBxTqRV1Op4/s1600/image1.gif" style="width: 580px;" /></p> <p>簡單來說，SPADE透過猜測異常樣本，並利用猜測結果與標記資料一起訓練模型，實現更高效精確的異常偵測。</p> </div></div></div>
2024/6/5 16:20作者李建興https://www.ithome.com.tw/news/163314
Databricks買下Tabular，企圖改善資料相容性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料與AI業者Databricks周二（6/4）宣布，已同意買下資料管理業者Tabular，準備改善資料湖倉（Lakehouse）格式的相容性。雙方並未揭露交易細節，但《<a href="https://www.wsj.com/articles/databricks-to-buy-data-management-startup-tabular-in-bid-for-ai-clients-829e5bcf" target="_blank">華爾街日報</a>》（Wall Street Journal）報導，此一交易規模介於10億~20億美元之間，預計於今年7月完成交易。</p> <p>Databricks與Tabular的創辦人都來自開源社群。其中，Databricks在2013年由Apache Spark的原始創辦者所設立，Apache Spark為一鎖定大規模資料處理的開源統一分析工具，之後Databricks也打造了開源的Delta Lake資料湖專案；至於Tabular則是在2021年由Ryan Blue、Daniel Weeks和Jason Reid所創立，Blue與Weeks在任職於Netflix時開發了「冰山」（Iceberg）專案，這是個用於大型分析表格的格式，之後把它捐給了Apache軟體基金會。</p> <p>迄今全球已有超過500名工程師貢獻Delta Lake專案，並有逾1萬家企業使用Delta Lake，平均每天處理4 EB以上的資料量。</p> <p>Databricks表示，Delta Lake與Iceberg專案在差不多的時間問世，皆為資料湖倉格式主要的開源標準，可惜的是，雖然它們都是基於Apache Parquet並有類似的目標與設計，卻因彼此獨立開發而互不相容。在收購Tabular之後，Databricks打算與Delta Lake及Iceberg密切合作，推動彼此格式的互動。</p> <p>至於<a href="https://tabular.io/blog/tabular-is-joining-databricks/" target="_blank">Tabular也說</a>，資料生態體系充斥著開放表格格式的討論，大家都希望能夠有一個安全且集中的資料架構，可連結到各種專業的運算框架或引擎，從而解鎖新的資料管理及分析能力，與Databricks攜手建置一個共同的資料標準將可實現此一願景。</p> </div></div></div>
2024/6/5 15:04作者陳曉莉https://www.ithome.com.tw/news/163312
防詐公司Gogolook發布資安事件重訊，網站部分服務遭非法存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>創新板上市公司走著瞧-創（Gogolook）在6月4日公布遭遇網路資安事件，該公司於傍晚18時18分發布重大訊息，說明內部資安團隊發現有部落格專欄的網站服務，發生未經授權存取的情況。</p> <p>根據Gogolook的說明，他們的資安團隊監控到網站部分服務（服務項目：部落格專欄），遭不明人士意圖嘗試未經授權的存取，發現後已即時做出因應，全面啟動資安防禦與攔阻機制，同時與第三方資安廠商積極展開調查。他們也說明了目前的調查結果，沒有網站會員個人資料及公司內部機密資訊遭存取情形。</p> <p>對於這次遭駭的部落格專欄的網站服務，我們也進一步詢問該公司，雖然Gogolook還是沒有說明是哪一個網站出事，但他們表示，這次受影響的網站沒有會員登入服務，而此事件存取影響範圍也僅限於此，因當下受到既有資安防禦措施阻擋，而未擴及其餘服務，所以，這次事件並未影響其他網站服務與內部系統。</p> <p>另一值得我們關注的焦點在於，雖然這次資安事件並非核心資訊系統遭駭，但由於臺灣證券交易所已在5月底，放寬資安重訊發布的重大性標準，擴大資安事件揭露範圍，因此該公司對於這次事件的處理方式，也算是依照新規範如實揭露，讓大大小小的資安事件發生都能透明化。</p> </div></div></div>
2024/6/5 10:16作者羅正漢https://www.ithome.com.tw/news/163304
十多名OpenAI及DeepMind員工簽署公開信，期望獲得警告AI風險的權利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有11名OpenAI的前任及現任員工，再加上兩名DeepMind的前任與現任員工，在本周<a href="https://righttowarn.ai/" target="_blank">簽署了一封公開信</a>「對先進AI發出警告的權利」（A Right to Warn about Advanced Artificial Intelligence），在這13名AI從業人員中，有6名現任員工，但有5位是匿名的，或許是擔心遭到報復或受到杯葛。</p> <p>他們在信中表示，相信AI對人類帶來好處的潛力，但也理解AI可能帶來的嚴重風險，包括強化現有的不平等、操縱、不實資訊，或是失去對AI系統的控制而造成人類滅絕等，它們是AI領域公開承認的風險，原本期望可在科學界、立法者與公眾的充分指引下得到緩解，然而，他們認為AI公司有很強的財務動機來避免有效的監督。</p> <p>此外，AI公司擁有大量的非公開資訊，包括系統能力與侷限性，保護措施的充分性，以及不同傷害的風險等級等，但它們現階段只有與政府分享部分資訊的微小義務，而未與民間分享。當政府未能對其有效監督之際，員工就是少數能夠督促它們負責的人，但他們擔心各種的挾怨報復。</p> <p>因此，他們提出了幾點的呼籲，包括不強制員工簽署禁止批評公司的協議，也不報復那些提出風險批評的員工；AI公司應建立一個匿名舉報機制，以允許前任或現任員工可向董事會、監管機構或獨立組織來檢舉風險問題；AI公司應該在貿易機密與智慧財產權受到適當保護的情況下，支持開放批評的文化；不報復那些在其它檢舉途徑失效，而公開分享風險機密訊息的員工。</p> <p>該活動的召集人之一是OpenAI治理部門的前研究員Daniel Kokotajlo，<a href="https://x.com/DKokotajlo67142/status/1797994238468407380" target="_blank">他透過X解釋</a>，他在失去對OpenAI可負責任建置通用AI的信心之後，於今年4月辭職。</p> <p class="rtecenter"><a href="http://x.com/DKokotajlo67142/status/1797994238468407380" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0605-Daniel%20Kokotajlo.png" style="width: 586px;" /></a></p> <p>Kokotajlo表示，他在加入OpenAI時，曾經希望隨著系統變得更強大，會在安全研究上投入更多的資金，但OpenAI從未有此轉變，意識到此事的同事開始離職，他不是第一個，也不會是最後一個。此外，在他離職的時候，OpenAI要求他簽署一份協議，阻止他批評公司，若不簽署就會失去他的OpenAI股權。</p> <p>Kokotajlo認為，AI系統並非普通軟體，它們是從大量資料中學習的人工神經網路，對於這些系統的運作、可能超越人類智慧，或是能否具備與人類一致的利益，都有許多的未知，與此同時，相關技術幾乎缺乏監督，反而是由AI企業自治，而經濟動機與對技術的興奮，不時令這些業者快速行動並打破常規。</p> <p>最後決定拒絕簽署噤聲協議的Kokotajlo強調，讓研究人員噤聲並使他們害怕報復是危險的，因為他們是目前唯一能夠警告公眾的人。</p> </div></div></div>
2024/6/5 12:23作者陳曉莉https://www.ithome.com.tw/news/163309
思科搶搭AI列車，砸10億美元成立AI投資基金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI已成消費性及企業IT王道，網路設備及伺服器大廠思科周二<a href="https://www.ciscoinvestments.com/giving-usd1b-some-perspective" target="_blank">宣布了第一筆大型投資</a>，將成立10億美元AI投資基金，包含投資新創公司。</p> <p>思科旗下投資部門Cisco Investment指出，這筆投資將用於贊助新創公司，及擴展安全而穩定的AI解決方案開發。在此投資計畫中，Cohere、Mistral AI與Scale AI等新創公司獲得資金挹注。目前思科已經投資了2億美元，但並未說明對三家新創的投資金額。</p> <p>Cohere為加拿大業者，提供大型語言模型及檢索增強生成（retrieval-augmented generation，RAG）技術，可滿足企業需求。Mistral AI為法國AI業者，以開源模型Mistral Large及Mixtral 8x7B引發業界關注；Scale AI則提供資料為中心端到端平臺，思科於5月<a href="https://scale.com/blog/scale-ai-series-f" target="_blank">參與</a>了該公司F輪募資成為該輪最大策略投資者。</p> <p>思科強調自己並非AI投資新進者。過去幾年思科已做過20多家AI收購及投資，強化思科產品線的生成式AI和機器學習能力。思科也說將和AI業者合作產品，讓思科得以扮演AI平臺及中立供應商角色，為客戶提供AI方案。</p> <p>思科成為最新一家巨額投資AI的IT大廠。之前，微軟以逾百億美元投資OpenAI，Anthropic則分別獲得<a href="https://www.ithome.com.tw/news/159545" target="_blank">Google</a> 23億和<a href="https://www.ithome.com.tw/news/162016" target="_blank">Amazon</a> 40億美元投資。2023年成立的Mistral AI更在不到半年先後獲得4.5億的注資，投資者包括<a href="https://techcrunch.com/2024/02/27/microsoft-made-a-16-million-investment-in-mistral-ai/" target="_blank">微軟</a>、<a href="https://www.linkedin.com/posts/jamesmawson_mistral-becomes-the-talk-of-davos-as-business-activity-7154026251094036482-L-yg" target="_blank">Nvidia</a>及知名私募基金a16z等，公司估值20億美元。</p> </div></div></div>
2024/6/5 10:36作者林妍溱https://www.ithome.com.tw/news/163305
微軟證實裁員、重整MR部門，可能不再開發HoloLens 3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟昨（4）日證實公司將裁員，包括混合實境（mixed reality，MR）部門重整，但將持續銷售HoloLens 2裝置。<a href="https://www.cnbc.com/2024/06/03/microsoft-confirms-mixed-reality-layoffs-will-keep-selling-hololens-2.htm" target="_blank">《CNBC》</a>昨日引述消息人士報導，微軟本周稍早在公司內以郵件宣布將裁減逾1,000人，影響包括MR在內的硬體部門。微軟官方證實此消息，也可能意謂著不會推出HoloLens 3。</p> <p>不過微軟稱此事並不會影響賣給美軍的作戰用軍事MR頭戴裝置IVAS。此外，微軟一方面表示會持續銷售HoloLens，另一方面也說，會持續投資Windows 365，以便「觸及更廣大的MR生態體系」，意味著將以Windows 365和其他品牌的VR/MR硬體業者合作，自己將更著重應用服務。</p> <p>但此事極可能表示不會有HoloLens 3了。HoloLens 3,499美元的定價，使外界從它一問世就懷疑企業和消費者的接受度。儘管HoloLens 2調整為企業用途，仍然未能提振銷售。2022年HoloLens<a href="https://www.ithome.com.tw/news/151356" target="_blank">部門改組</a>，軟、硬體開發人員分別併入Teams和Windows部門。有趣的是，<a href="https://www.ithome.com.tw/news/149215" target="_blank">微軟曾堅持</a>HoloLens 3不會停止開發，現在已經淡化這件事。</p> <p>事實上，微軟現有重心已經轉移AI及Copilot上，龐大的投資讓微軟沒有理由再持續開發HoloLens。</p> <p>現在微軟最主要任務，應該是完成對美國國防部提供的軍用MR頭戴裝置的合約。微軟2021年拿下美國陸軍220億美元訂單，以HoloLens打造整合式視覺擴增系統（IVAS），預定以10年出貨12萬頂。不過第一代裝置讓美國士兵測試後，出現噁心、頭痛、眼睛疲勞等問題，迫使微軟必須持續改良以滿足合約，並確保美軍持續下單量。</p> <p>微軟5月才偕PC品牌業者公布Copilot+ PC，晶片業者除了高通外，本周在Computex大會上，AMD和英特爾也相繼公布了分別代號為Strix Point和Lunar Lake的下一代處理器。加上秋天即將推出Windows 11 24H2，微軟正在積極準備，推動下一波PC換機潮。</p> </div></div></div>
2024/6/5 11:18作者林妍溱https://www.ithome.com.tw/news/163306
【2024臺灣資安年鑑｜資安十年特輯】修訂產業創新條例，推動「資安產業化」以及「產業資安化」是主要目標
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_shi_nian_-lu_zheng_hua_-960-jpg_0.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣資安政策的演進，在過去十年成為引人注目的焦點。隨著蔡英文總統的兩個任期──八年的執政，臺灣的資安政策走上更加積極的道路，尤其是她在任內制定「資安即國安」的國家戰略方針，不僅對臺灣的資安環境帶來重大的影響，也在全球資安治理引起了高度且廣泛的注意。</p> <p>數位發展部數位產業署署長呂正華表示，首先，從政治層面來看，總統對於資安的高度重視，是政府部門及整個國家機器重視資安的關鍵推動力。</p> <p>蔡英文總統對資安政策的支持，不僅僅在口頭上表達，也以實際政策作為展示推動資安的決心。例如，蔡英文總統親自出席臺灣資安大會，並對臺灣資安產業的發展，給予全方位的支持。</p> <p>他指出，這種由總統帶頭、其他像是副總統、行政院長、各部會首長跟進的作為，充分展現出高層領導人重視及參與的政治關注，使得資安議題在政府層面獲得充分的關注與推動。</p> <p>連帶的，呂正華表示，這種上行下效的氛圍，也會督促行政部門會更積極開展各項與資安相關的工作，對於資安政策的實施，和整個國家資安環境的改善，都會帶來很正面的效果。</p> <p>其次，從政策層面來看，蔡總統重視資安的作為，也為行政部門的政策制定，提供強而有力的支持，例如，因應民間企業希望政府可以透過投資抵減的方式，鼓勵企業多多投資在資安上，行政部門之間彼此協調、透過《產業創新條例》10-1條的修正，包括端、網、雲和服務，都納入投資抵減範圍。</p> <p>根據統計數據顯示，2023年申請產創條例的資安投資抵減金額達到78.18億元，共計612件。這顯示出政府對於資安產業的支持力度不斷增強，為產業的發展提供了實質性的幫助和激勵。</p> <p>呂正華表示，這一舉措不只為資安產業的發展，提供了實質性支持和激勵，使得資安產業得以蓬勃發展，從而鼓勵企業增加對資安的投入；同時，政府還積極提供試驗場域，為資安產業的創新和發展提供了良好的環境。</p> <p>這些政策舉措的實施，使得臺灣的資安產業得以蓬勃發展，成為了國家經濟發展的一大亮點。</p> <p>「資安產業化」和「產業資安化」一直是政府在推動資安發展時重要的工作項目，並列為重要的政策目標。呂正華認為，這意味著政府不僅僅關注於提升資安產業的競爭力，同時也重視於提升整個產業鏈的資安水準。這種全面性的政策部署，不僅為資安政策實施提供了有力的保障，也同時為臺灣的資安產業發展打下了堅實的基礎。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E5%91%82%E6%AD%A3%E8%8F%AF-600-1-JPG.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">（攝影／洪政偉）</span></p> <p><span style="font-size:28px;"><strong>社群投入與商機迸發，帶動臺灣資安產業快速起飛</strong></span></p> <p>呂正華公務職涯都跟數位產業有密切關係，從工業局電子資訊組組長、工業局副局長、工業局局長，直到擔任數位產業署署長，這段期間，資安產業有了很大變化，因為原先只是數位產業的一環，但隨著許多出國打CTF（搶旗攻防賽）的學生和選手，在全球取得優異成績，加上政府主管開始支持相關的比賽時，資安發展火苗逐漸燃起。</p> <p>呂正華指出，「年輕人把過去學的資安技術做產業推動，不只是學校學的工具知識，更開始實踐理想、成立資安公司。」資安產業化的重要性，不僅是因為科技發展的推動，更是因為數位轉型的進程中，各項資料都會往雲端走，資訊保護變得尤為關鍵。</p> <p>然而，臺灣資安產業的崛起也面臨著一系列挑戰。他也說，臺灣不斷面對來自世界各地的網路攻擊，這對於企業和政府的資訊基礎設施，提出了嚴峻的考驗，例如美國聯邦眾議院議長裴洛西議長訪臺的時刻，關鍵基礎設施出現電子看板系統的不設防，更突顯了這一挑戰的嚴重性。</p> <p>不過，呂正華表示，因為有過去的經驗累積，加上臺灣有越來越多讓人印象深刻的資安產品和服務，以及來自產官學研等領域的合作及政策的推動，他對於臺灣關鍵基礎設施的防護能力，還是有一定的信心。</p> <p><span style="font-size:28px;"><strong>許多網路威脅鎖定臺灣，接連多起事故也喚醒企業重視資安</strong></span></p> <p>臺灣資安產業發展在過去十年，受到哪些外在因素影響呢？美國聯邦眾議院議長裴洛西來臺，中國駭客對臺灣發動網路攻擊的事件獲得媒體大幅報導，他表示，這種高度關注和警覺性，使越來越多企業和廠商意識到資安的重要。</p> <p>臺灣半導體業龍頭台積電曾因資安事件而遭受損失，但隨後與工研院展開合作，積極制定全球半導體供應鏈的資安標準SEMI E 187，這一標準在2023年1月成功推廣至整個半導體、面板、印刷電路板等產業，為整個產業鏈的資安保護提供有力保障；同時，供應鏈業者也可購買符合SEMI E 187資安標準的設備，進一步提升整個供應鏈的資訊安全水準。</p> <p>資安產業的發展，不僅是企業自身問題，更是系統性問題，呂正華認為，這需要政府提供系統性的支持和指導，政府可從多個面向著手，包括資安產業的發展、產業資安的提升，以及資安人才的培育等方面，制定相應的政策措施，為資安產業的整體健康發展，提供有力的保障。</p> <p>他同意臺灣資安大會也是好的平臺，可看到廠商投入成果，也讓更多人選擇資安解決方案時，知道臺灣國產方案和國際廠商的不同服務之處，當然，有些臺灣資安業者提供的解決方案，已經滿足某些企業的需求，鼓勵大家選用臺廠方案；某些產業因為需求不同，會選擇選國外原廠解決方案，也同樣有助於臺灣整體資安產業、產業資安的發展。</p> <p><span style="font-size:28px;"><strong>零信任資安提升資安水準，DIGITAL+鼓勵業者研發創新</strong></span></p> <p>資安是個隱匿在數位時代陰影下的關鍵課題，對於臺灣這個高度依賴資訊科技的國家而言，更是必須正視的挑戰。然而，隨著資安環境的不斷演變和威脅的不斷升級，臺灣資安產業面臨著一系列前所未有的挑戰和考驗。</p> <p>面對更頻繁的資安攻擊，臺灣必須不斷培養更多的資安公司，資安解決方案更要做到與時俱進。目前推行的零信任資安和軍民通用資安等措施，已經在一定程度上提升了資安水準。</p> <p>但隨著時間推移，網路威脅的風險不斷演進，特別是對於中小企業而言，投入資安的壓力往往難以承受，更需要政府提供更多資源，以應對日益嚴峻的資安挑戰。</p> <p>主管機關目前已透過法遵要求關鍵基礎設施業者，例如金融或是醫療等產業都必須設立資安長、資安主管並成立資安專責單位，但是，現在其他更多產業或者中小企業，更在意淨零排放議題，因為他們面對的是：No ESG No Money的議題。</p> <p>政府也意識到這個問題，呂正華表示，數位產業署推動的「DIGITAL+數位創新補助平臺計畫」，這是針對產業的研發需求，鼓勵軟體資訊服務業者投入創新研發活動，厚植資訊服務業研發能量，進而加速提升產業競爭力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E5%91%82%E6%AD%A3%E8%8F%AF-600-2-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>資安量能登錄與否，成為政府與企業採購選擇廠商重要資格</strong></span></p> <p>為了改善產業資安的發展，呂正華指出，政府透過政策引導方式，建立產業資安的生態系統。</p> <p>改善資安產業需要一點一滴做，政府自2018年開放業者申請「資安能量登錄」以來，不重複申請者有154家廠商通過；資安自主產品認定自2019年開放申請以來，不重複申請者有68家廠商通過。「這已經成為企業採購的重要指標，也是供應商展示專業品牌的重要途徑。」呂正華說，這些都可以達到盤點資安量能，並可以成為臺灣資安自主產品的採購資料庫。</p> <p>他表示，政府採購將通過資安能量登錄列為「廠商招標資格項目」之一，通過能量登錄，已經是廠商能否成為政府採購選商名單中的必要標準項目，例如，臺南市、臺北市工務局及醫藥品查驗中心等計畫案，都有列入資安能量登錄的資格要求；同樣的，也有企業將資安量能登錄與否，視為能否納入企業採購選商清單的資格之一。</p> <p>而通過資安量能登錄的廠商，可以藉由證書向客戶展示專業能力、品牌價值，並為公司形象加分、豎立品牌專業、達到擴展商機的概念。他認為，政府藉由強化「資安能量登錄」和「資安自主產品」認定的推廣和支持，可以鼓勵更多的企業參與其中，建立健康的產業資安生態系統。</p> <p><span style="font-size:28px;"><strong>政府提供資安檢測工具，鼓勵產業進行資安檢測服務</strong></span></p> <p>另外，為了協助產業掌握資安防護現況，呂正華表示，政府也提供資安檢測工具，協助受測企業掌握組織內部的資安防護現況，結合端點防禦、滲透測試、強化網路系統架構等業者，組成固定服務團踱，提升整體資安防護力。</p> <p>他指出，目前推動臺灣重點產業加強投入資安防護資源，也鼓勵採用臺灣資安自主解決方案，迄今提供241家臺灣重點產業，進行產業資安檢測服務，促成至少八千萬延伸資安產業商機。</p> <p>企業資安檢測的項目，則包括：資安風險現況評估、主機系統弱點掃描、資訊設備組太檢測、網路封包側路分析、惡意程式或檔案檢視，以及防火牆連線設定檢視。</p> <p>為了提升產業資安韌性，政府也支持企業進行紅隊演練，培養主動升級的能力。呂正華指出，目前已經輔導包括日月光、華碩、勝一化工等製造業（占45％），以及富邦momo、東森得意購、博客來等數位產業（占55％），共計23家的企業進行紅隊演練。</p> <p>他表示，這些企業透過紅隊演練，可以知道如何強化供應鏈安全、知道如何妥善修補資安漏洞，如果需要資安廠商提供協助時，這一份已經完成資安能量登錄的業者清單，就是可供選擇廠商參考的依據。</p> <p><span style="font-size:28px;"><strong>推動並落實半導體資安標準SEMI E187</strong></span></p> <p>由台積電協同工研院及產業，共同主導全球半導體資安標準制定，並且輔導產業落實SEMI E187，呂正華認為，這就是推動產業資安的最佳例證。</p> <p>SEMI E187於2022年1月正式發布，舉辦誓師大會並號召產業支持標準落實，參與業者包括：SEMI國際半導體產業協會、TEEIA臺灣電子設備協會、TPSA臺灣顯示器暨應用產業協會、TSIA臺灣半導體協會，以及帆宣、志聖、京鼎、均豪、東捷、盟立、泓陽、凱諾等半導體設備商共襄盛舉；並於9月與公協會合辦論壇研討會、提供顧問諮詢服務和補助資源，並建置合規方案體驗區，產出參考實務指引（Reference Practice）。</p> <p>呂正華說，2023年最重要的任務就是建立合規案例，推出SEMI E187檢核表（Check List）並舉辦工作坊推廣，也會輔導業者生產全球首批符合SEMI E187規範的機臺，並協助業者獲得SEMI E 187合規性驗證（VoC）。</p> <p>在2023年7月，SEMI E187標準在美國舊金山舉行的美國國際半導體展SEMICON West，榮獲「SEMI 2023國際標準貢獻獎」；截至目前為止，臺灣也積極在沙崙資安服務基地、臺灣資安大會資安館、SEMICON資安主題館進行推廣展示。</p> <p><span style="font-size:28px;"><strong>資安社群朝向產業化發展，大企業更願意投資新創資安業者</strong></span></p> <p>呂正華表示，臺灣資安社群成群發展，並有白帽駭客社群產業化的趨勢，包括奧義智慧、杜浦數位安全、戴夫寇爾、關楗、法泥、如梭、池安、博歐、資芯、菱鏡、可立可、互聯安睿、泰瑞爾等13家業者，均來自駭客社群。</p> <p>另外，他表示，更有許多企業積極投資新創資安公司，例如：詮安科技投資匯智安全、鑒真數位投資區塊科技、趨勢科技投資TXOne（睿控網安）、新漢科技投資椰棗科技、力旺科技投資熵碼科技、合勤科技投資黑貓資訊、趨勢科技投資VicOne、中華電信投資中華資安國際、宏碁投資安碁資訊、敦陽科技投資雲智維科技、精誠科技投資智慧資安、中興保全投資保華資安等。</p> <p>呂正華也說，為了幫臺灣資安業者找到更多國際資安投資挹注，積極輔導新創業者參與國際競賽和募資，例如，德國DEKRA集團併購安華聯網、美國Fintech獨角獸Circle併購博歐科技、奧義智慧和來毅數位科技分別獲得美國以及美國、荷蘭的資金投資，都有助於打入國際市場。</p> <p>此外，他也說，為了協助臺灣資安業者拓展國際市場，數位產業署會和一些臺灣的資安業者到東南亞舉辦資安日，也會到泰國、馬來西亞等東南亞國家，推廣臺灣的優質資安解決方案，也會跟著當地系統整合商（SI）展開更密切的合作。<strong>【本文採訪日期為2024年4月】</strong></p> </div></div></div>
2024/6/5 00:00作者黃彥棻https://www.ithome.com.tw/article/163109
【資安日報】6月4日，帛琉政府資料流入暗網，指控是中國政府指使勒索軟體駭客組織所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月臺灣邦交國帛琉遭遇網路攻擊，導致數週後2萬份遭竊政府文件流入暗網，而這起事故直到昨日（6月3日）紐約時報報導，此事才曝光，並引起全球各界關注。</p> <p>值得留意的是，雖然這起事故有勒索軟體駭客坦承犯行，聲稱目的是牟取經濟利益，但有帛琉官員表示，這些駭客並未對於贖金進行談判，認為如此說法顯然與事實不符。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163301"><strong style="font-size: 22px;">臺灣邦交國帛琉遭駭，2萬份政府文件流入暗網，疑為中國政府意圖孤立臺灣</strong></a></p> <p>根據紐約時報報導，臺灣友邦帛琉3月遭遇網路攻擊，次月遭竊資料公布於暗網，當中包含註明僅供政府官方單位使用的資料，涉及美國於當地部署雷達、日本海軍造訪該國的成員名單，以及臺灣與帛琉關係的數百份文件，而有可能左右臺海安全。</p> <p>而對於攻擊者的身分，帛琉共和國總統惠恕仁（Surangel S. Whipps, Jr.）指控，這起攻擊行動是中國政府策畫，目的是進行威嚇，想要脅迫其他國家與臺灣斷絕往來。惠恕仁指出相關跡證都指向於此，並表示帛琉與臺灣之間的關係，將比以往都更加牢固。</p> <p>對此，中國政府反駁，認為帛琉並未取得相關證據。而在此同時，名為DragonForce的勒索軟體駭客組織聲稱是他們所為，攻擊動機單純是為了經濟利益，並揚言要對帛琉造成更多傷害，但帛琉官員指出，這些駭客並未對索討贖金進行談判。</p> <p><a href="https://www.ithome.com.tw/news/163297"><strong style="font-size: 22px;">俄羅斯、中國、伊朗、以色列駭客濫用OpenAI的生成式AI技術，意圖操縱全球輿論</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/lL3XEWCRjy.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lL3XEWCRjy.png" style="width: 300px; float: right;" /></a>人工智慧聊天機器人ChatGPT開發商OpenAI指出，他們在最近3個月裡，破壞了5起企圖濫用該公司語言模型操縱社會輿論或是左右地緣政治的影響力攻擊行動（Influence Operations），這些攻擊行動來自俄羅斯、中國、伊朗、以色列，涉及烏克蘭戰爭、加薩衝突、印度選舉、歐美政治，以及異議人士對中國政府的批評等。</p> <p>這些駭客試圖濫用OpenAI的語言模型，產生文章、評論、社群網站個人檔案、網站程式碼，甚至是用來進行除錯。</p> <p><a href="https://www.ithome.com.tw/news/163295"><strong style="font-size: 22px;">北韓駭客組織Andariel鎖定虛擬化平臺VMware Horizon的Log4Shell漏洞下手，意圖散布後門程式Dora RAT</strong></a></p> <p>資安業者AhnLab揭露北韓駭客Andariel近期鎖定韓國教育機構、製造業、營造業而來的攻擊行動，攻擊者利用後門程式來執行鍵盤側錄工具、竊資軟體、代理伺服器工具，藉此控制受害電腦並竊取機密資料。</p> <p>研究人員並未透露這些駭客如何入侵受害電腦，但指出這些攻擊行動的共通點，就是藉由Log4Shell漏洞（CVE-2021-44228）來部署惡意程式，而之所以能運用這個管道，主要是因為受害組織使用桌面虛擬化平臺VMware Horizon，且當中搭配的Tomcat元件具有這個弱點。</p> <p>到了最近，這些駭客也開始利用Go語言開發的惡意軟體Dora RAT。值得留意的是，駭客濫用有效憑證簽署Dora RAT，其中有些憑證的擁有者是英國軟體開發業者。</p> <p><a href="https://www.ithome.com.tw/news/163294"><strong style="font-size: 22px;">自動化流程處理工具Gulp.js用戶遭到鎖定，駭客上傳NPM套件散布惡意程式</strong></a></p> <p>5月24日資安業者Phylum偵測到名為glup-debugger-log的可疑NPM套件，該套件搭載2個經過混淆處理的指令碼檔案，一旦啟動，這些檔案將會協同運作，最終在所用的電腦部署惡意酬載。截至目前為止，此惡意套件已被下載180次。</p> <p>研究人員指出，攻擊者的目標，主要是針對自動化流程處理工具Gulp.js的用戶，聲稱他們的套件能夠保存Gulp及其外掛程式事件記錄。然而，實際使用後並非如此，一旦有開發人員下載、安裝此套件，執行其中的1個指令碼play.js，就會成為惡意軟體載入工具，檢查目標電腦環境是否符合特定條件，然後下載其他惡意軟體的元件。</p> <p><a href="https://www.ithome.com.tw/news/163293"><strong style="font-size: 22px;">3.6億帳密資料驚傳外洩，駭客疑似利用竊資軟體取得，並透過Telegram頻道兜售</strong></a></p> <p>維護密碼外洩查詢網站Have I Been Pwned（HIBP）的資安專家Troy Hunt表示，一名不願具名的研究人員從518個駭客兜售個資的Telegram頻道裡，抓取122 GB資料，當中包含1,748個檔案、20億筆資料，經過整理，這些資料涉及3.61億個電子郵件帳號。</p> <p>值得留意的是，上述資料有近半數（1.51億個）並未收錄於HIBP的資料庫。而對於這些資料的內容，Troy Hunt指出，除了電子郵件，還包含了密碼，以及來源的網站，一旦駭客取得，很有可能用於發動帳號填充（Credential Stuffing）攻擊。究竟賣家如何取得這些資料？他認為極有可能是透過竊資軟體搜括而得。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.recordedfuture.com/grus-bluedelta-targets-key-networks-in-europe-with-multi-phase-espionage-camp"><strong style="font-size: 20px;">歐洲各地遭到俄羅斯駭客APT28鎖定，利用惡意程式HeadLace發動攻擊</strong></a></p> <p></p> <p>◆<a href="https://www.esentire.com/blog/fake-browser-updates-delivering-bitrat-and-lumma-stealer"><strong style="font-size: 20px;">竊資軟體Lumma Stealer、BitRAT透過冒牌瀏覽器更新網站散布</strong></a></p> <p></p> <p>◆<a href="https://www.cisa.gov/news-events/alerts/2024/06/03/cisa-adds-one-known-exploited-vulnerability-catalog"><strong style="font-size: 20px;">美國證實7年前Oracle WebLogic Server作業系統命令注入漏洞被用於攻擊行動</strong></a></p> <p></p> <p>◆<a href="https://www.resecurity.com/blog/article/cybercriminals-attack-banking-customers-in-eu-with-v3b-phishing-kit"><strong style="font-size: 20px;">網路釣魚工具包V3B鎖定歐洲國家銀行而來，企圖竊取用戶登入資料及OTP動態密碼</strong></a></p> <p></p> <p>◆<a href="https://www.securonix.com/blog/analysis-and-detection-of-cloudreverser-an-attack-involving-threat-actors-compromising-systems-using-a-sophisticated-cloud-based-malware/"><strong style="font-size: 20px;">駭客發起Cloud#Reverser攻擊行動，濫用雲端服務及Unicode字元散布惡意軟體</strong></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163229"><strong style="font-size: 22px;">上市公司資安事件揭露範圍擴大，現在不論是否涉及核心、機密都要發布重訊</strong></a></p> <p>上市公司資安重訊發布「重大性標準」有新變化，臺灣證券交易所（證交所）新修訂重大訊息問答集第26款的內容，要求上市公司只要發現遭駭客攻擊或入侵，現在不論是否涉及核心資訊系統、機密文件，都屬於對公司造成重大損害或影響，需發布重大訊息對外揭露。</p> <p>由於證交所於今年1月，才開始明確規範資安事件的「重大性」標準，針對過去兩年多來有些企業不清楚何謂「重大」的問題，以此提出說明，沒想到才相隔四個月，又有新的調整。</p> <p>關於這次新的規定，證交所是在5月28日宣布，他們表示日前已修訂重大訊息問答集第26款，呼籲上市公司在發生資安事件時，應依規定評估造成損害或影響的範圍，並切實依重訊處理程序發布重大訊息。至於櫃買中心是否也會跟著修訂，有待密切關注。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163276"><strong>【6月3日】美國證實Linux核心的網路元件Netfilter高風險漏洞已被用於攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163231"><strong>【5月31日】歐洲刑警組織與十多個國家執法單位聯手，掃蕩數個用於散布惡意程式的殭屍網路</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163201"><strong>【5月30日】鎖定Check Point VPN的攻擊行動出現新的發展，兩家資安業者透露對方利用零時差漏洞挖掘AD帳密資料</strong></a></p> </div></div></div>
2024/6/4 19:11作者周峻佑https://www.ithome.com.tw/news/163303
臺灣邦交國帛琉遭駭，2萬份政府文件流入暗網，疑為中國政府意圖孤立臺灣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據紐約時報報導，<a href="https://cn.nytimes.com/asia-pacific/20240603/palau-taiwan-china-hack/zh-hant/">臺灣友邦帛琉3月遭遇網路攻擊，次月遭竊資料公布於暗網</a>，當中包含註明僅供政府官方單位使用的資料，涉及美國於當地部署雷達、日本海軍造訪該國的成員名單，以及臺灣與帛琉關係的數百份文件，而有可能左右臺海安全。</p> <p>這起網路攻擊發生的時間，在於美國核准延宕已久的經濟援助計畫，他們將於20年內資助9億美元。正當兩國官員準備慶祝的時候，發生帛琉政府超過2萬份文件遭竊的事故。</p> <p>而對於攻擊者的身分，帛琉共和國總統惠恕仁（Surangel S. Whipps, Jr.）指控，這起攻擊行動是中國政府策畫，目的是進行威嚇，想要脅迫其他國家與臺灣斷絕往來。惠恕仁指出相關跡證都指向於此，並表示帛琉與臺灣之間的關係，將比以往都更加牢固。</p> <p>對此，中國政府反駁，認為帛琉並未取得相關證據。而在此同時，名為DragonForce的勒索軟體駭客組織聲稱是他們所為，攻擊動機單純是為了經濟利益，並揚言要對帛琉造成更多傷害。</p> <p>由於帛琉是美軍設施據點，掌握了重要航道，一旦臺海衝突發生，這些航道將成為美國保衛臺灣的主要管道。無論駭客的動機為何，這起資料外洩事故都對美國帶來極大的風險。</p> <p>值得留意的是，臺灣也向帛琉提供經濟援助，部分外洩資料指出，帛琉出席聯合國氣候變化大會等國際論壇，我國如何提供援助。</p> <p>但不光是美國、臺灣，這批文件外流也可能波及其他國家。因為，其中包含2000年代中期至今，該國與日本、以色列、美國等國家的外交通訊內容。此外，日本高級將領、美國士兵、沙烏地阿拉伯外交代表團的資料，也遭到外流。</p> <p>針對這起事故攻擊者的動機，資安業者Analyst1首席安全策略分析師Jon DiMaggio指出，他看過駭客公布的資料，並指出當中與臺灣有關的檔案可能會引起中國當局興趣。雖然帛琉當局並未透露指控中國政府的證據，但他認為，政府利用勒索軟體駭客組織發動攻擊，而非暗中從事網路間諜行動，其中一個主要原因就是要公開羞辱目標。</p> <p>另一家資安業者Recorded Future分析師Allan Liska也抱持類似看法，並補充說明：假若幕後主使者主要目的是為了政治宣傳，那麼藉由勒索軟體駭客組織的攻擊行為與洩露資料的做法，相當適合這樣的訴求。</p> <p>雖然勒索軟體駭客組織DragonForce宣稱為了經濟目的而犯案，但傳出這些駭客並未對於索討贖金進行談判。帛琉財政部資安官員Jay Anson指出，中國政府利用該駭客組織，從而降低與美國之間發生外交事件的風險。</p> <p>對此，Jay Anson認為，駭客一定是從他人收到錢，才有利可圖，所以，這起資安事故是政治問題，而非單純出於經濟利益的勒索軟體攻擊。</p> </div></div></div>
2024/6/4 18:43作者周峻佑https://www.ithome.com.tw/news/163301
Computex電腦展：英特爾發表Xeon 6伺服器處理器、Gaudi 3 AI加速器及Lunar Lake行動處理，…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Computex Taipei開展的第一天，英特爾執行長Pat Gelsinger發表演說，現場發表包括Xeon 6伺服器專用處理器、Gaudi AI加速器，以及強化AI效能的Lunar Lake行動處理器，象徵英特爾從資料中心到裝置端AI產品布局。</p> <p>儘管在AI運算市場，面臨Nvidia及AMD的夾擊，在AI PC市場，微軟新近發表Copiot+PC，帶動新一波AI PC趨勢發展，但首波微軟Copilot+PC筆電並未與過去PC市場老戰友英特爾合作，而是由高通搶下頭香，採用Qualcomm Snapdragon X及微軟NPU，並成功拉攏華碩、宏碁、Lenovo、HP等品牌，相關產品將在6月18日後開始上市銷售，高通更在Computex宣示，Snapdragon AI PC處理器未來將會用於不同設計的PC產品，顯示高通來勢洶洶的氣勢。</p> <p>即使面臨更大的競爭，Pat Gelsinger在演說中表示，英特爾是全球少數能全面掌握AI市場契機，且推動創新的公司之一。英特爾從半導體製造到PC、網路、邊緣運算和資料中心等都有布局。最新的Xeon、Gaudi，以及Core Ultra的Lunar Lake，結合英特爾的硬體和軟體生態系，具有靈活、安全且具成本效益，與合作夥伴共同搶攻商機。</p> <p><span style="color:#B22222;"><strong>Xeon 6 with E-Core主打更高密度資料中心</strong></span></p> <p>其中的Xeon 6伺服器專用處理器，為英特爾首款採用Intel 3節點設計的產品，包括E-Core效率核心(代號Sierra Forest)、P-Core(代號Granite Rapids)效能核心兩種規格。首先上市的是E-Core規格，最高有144個E-Core核心，強調為高密度、能源效率的資料中心需求所設計，適用於雲原生、CDN、微服務架構等應用。</p> <p>Pat也預告在今年稍晚將會推出第二代的Xeon 6 E-Core，將2個Xeon 6 E-Core整合在一起，多達288個效率核心。至於P-Core版Xeon 6鎖定HPC高效能運算，在下一季才會推出。</p> <p>英特爾以Xeon 6 E-Core的超多核心，展示更高的機櫃密度，強調機櫃密度可提高3倍，並且與第2代Xeon相比，在多媒體轉碼工作上，採用Xeon 6 E-Core的機櫃效能提高4.2倍，每瓦效能提高2.6倍，如果以機櫃整合角度來看，採用第2代Xeon處理器的200個機櫃，可縮減至66個採用Xeon 6700E的機櫃。</p> <p><strong><span style="color:#B22222;">Gaudi AI加速器主打AI運算性價比</span></strong></p> <p>針對Nvidia及AMD在資料中心AI運算加速的競爭，英特爾推出AI加速器Gaudi，特別是與售價高昂的Nvidia H100競爭，英特爾今天也公布Gaudi加速器組合方案價格，8個Gaudi 2加速器與1個UBB通用基板，價格為6.5萬美元，為競品的三分之一，高階的Gaudi 3組合方案，包括8個Gaudi 3與1個UBB，定價為12.5萬美元，強調為競品的三分之二。</p> <p>Gaudi加速器以取代H100為目標，作為企業AI訓練及推論的加速器，英特爾公布Gaudi 3和H100的效益比較，例如在8192組加速器的叢集規模下，英特爾宣稱Gaudi 3要比相同規模的H100縮短40%的模型訓練時間；在64組的加速器叢集下，Gaudi 3以Llama 2-70B模型訓練速度比H100快15%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-06-04%20%E4%B8%8B%E5%8D%885_18_04.jpeg" style="width: 600px; height: 288px;" /></p> <p>該公司強調以Xeon處理器搭配Gaudi加速器，快速執行RAG資訊檢索，同時宣稱具有更高的性價比優勢，以及更低的TCO。</p> <p><span style="color:#B22222;"><strong>Lunar Lake將帶來超過80款Copilot+PC裝置進入市場</strong></span></p> <p>至於AI PC方面，英特爾推出Core Ultra的Lunar Lake行動處理器，整合CPU、GPU及NPU，3個異質運算單元合計平臺效能達到120TOPS，如果單看NPU，達到48TOPS，符合微軟Copilot+PC的40TOPS以上的要求。</p> <p>儘管英特爾並未趕上微軟Copilot+PC首波裝置，但在專題演說中，微軟執行長Satya Nadella也以影片表達對英特爾的支持，Satya表示，微軟與生態夥伴合作推出Copilot+PC，將新的AI使用體驗帶給用戶，英特爾Lunar Lake處理器將帶來超過80款Copilot+PC。</p> <p>換言之，英特爾雖然沒有趕上微軟首波Copilot+PC上市裝置，但Lunar Lake讓更多的PC可提供微軟Copilot+PC的AI PC使用體驗。</p> <p>面對高通挾Copilot+PC在PC市場的競爭，Pat在演說後受訪時指出，X86在PC市場仍有相當高的市佔，英特爾不斷與ISV、AI業者合作，目前AI PC已建立一定的生態，英特爾預估迄今全球已有超過800萬臺AI PC，並<span class="s1" style="font-kerning: none;">已有500個模型針對其進行優化，具有一定程度的不可取代性，他不擔心來自高通的競爭。</span></p> </div></div></div>
2024/6/4 17:40作者蘇文彬https://www.ithome.com.tw/news/163298
英特爾發表新一代AI PC處理器Lunar Lake，耗能低40%、NPU算力是前一代3倍多
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾今天於Computex 2024正式公布新一代筆電處理器Lunar Lake，是Core Ultra系列第二代產品。鎖定AI PC需求，此處理器TOPS（每秒幾兆次操作，Tera Operations Per Second）高達前一代3.5倍，且能源使用效率上，耗電量較前代低了40%。</p> <p>早在去年推出第一代Core Ultra產品Meteor Lake時，英特爾執行長Pat Gelsinger便提出了AI PC時代這一說法──未來所有筆電中都會整合NPU等硬體，以高效執行AI相關運算任務。然而，Meteor Lake的NPU算力只有11.5 TOPS，當時市場上卻已經有搭載了31.6 TOPS算力NPU的M2 Ultra處理器等競品，前者競爭力顯得不足。</p> <p>來到今年，上個月底微軟於自家開發者大會公布了Copilot+ PC，更加凸顯出AI PC趨勢不可擋。首批Copilot+ PC與高通合作，使用高通Snapdragon系列處理器。不過，Snapdragon的PC產品在市場上份量相對小，下一波預計搭載英特爾和AMD處理器的Copilot+ PC，才會觸及更多主流PC市場。</p> <p>Lunar Lake正是預計裝入這款AI PC的處理器，NPU算力有48 TOPS。AMD昨天發表的Ryzen AI 300處理器則搭載了有50 TOPS算力的NPU。兩者算力相近，且相較首批Copilot+ PC搭載的40 TOPS高通NPU都高了一截。</p> <p>不只NPU算力較前代處理器Meteor Lake大幅提升，Lunar Lake搭載的CPU、GPU、NPU，都翻新了設計架構，來提升算力和能源使用效率，支援多元AI運算任務。這一代處理器算力共有120 TOPS，包含CPU的5 TOPS、GPU的67 TOPS，以及NPU的48 TOPS算力。</p> <p><strong>NPU採</strong>英特爾<strong>第四代NPU架構，算力達48 TOPS</strong></p> <p>這一代Lunar Lake的NPU採取Intel NPU 4架構，相較前一代NPU算力提升了36.5 TOPS，來到48 TOPS。</p> <p>這顆NPU搭載了6個神經計算引擎NCE（Neural Compute Engine），相較前代增加了4個，等於每次運算週期可以處理12,000次乘積累加運算（MACs）。NPU 4還搭載了12個處理向量運算用的VLIW DSP，且從前一代128bit頻寬提升到512bit頻寬。另外，直接記憶體訪問（DMA）頻寬也提升了1倍。這些都是大幅提升算力的關鍵硬體升級。</p> <p>能源使用效率方面，由於大部分NPU耗能都用於矩陣運算及數據傳輸兩項工作，英特爾在NCE中的推論管線（Inference Pipeline）設計中，優化了運算效率及任務排程功能，來降低耗能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/npu%20ef.jpg" style="width: 600px;" /></p> <blockquote><p>如圖所示，NPU 4的效能／耗能比，相較於NPU 3高出2倍，且最高效能可達NPU 3的4倍。圖片來源-英特爾</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/npu%20stb.jpg" style="width: 600px;" /></p> <blockquote><p>圖為Meteor Lake與Lunar Lake跑Stable Diffusion 圖片生成任務時的表現比較。Lunar Lake搭載了更強大的NPU 4，能負責原本由CPU和GPU處理的部分任務，因而提升效能／耗能比。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">圖片來源-</span>英特爾</p> </blockquote> <p><strong>GPU效能提升1.5倍，算力達67 TOPS</strong></p> <p>與前一代一樣，Lunar Lake的圖形運算區塊由GPU及其他專責圖形運算區塊組成。相較於前一代分為4個區塊，這一代則是拆成GPU、顯示區塊及多媒體處理區塊共3區。英特爾在顯示及多媒體運算區塊中，從軟硬體上分別針對各自專責工作進行效率及耗能優化，例如選擇性畫面更新及記憶體配置優化等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/graphics.jpg" style="width: 600px;" /></p> <p>Lunar Lake的GPU採取了新一代Xe2 GPU架構，由8個Xe2核心組成。每個核心採用原生SIMD16（單指令多重資料）引擎，內含8個512-bit Xe Vector Engines （XVE）向量引擎，以及8個2048-bit Xe Matrix eXtensions（XMX）矩陣引擎。XVE引擎支援SIMD和SIMD 32向量運算，以及INT8、FP16、BF16的矩陣運算，和各式三角、指數等超越函數運算。XMX引擎規格則是每周期能執行2048次FP16運算，或4096次INT8運算。</p> <p>整體來說，Xe2效能相較前一代提升了1.5倍，特定任務甚至提升了12.5倍。總共67 TOPS的算力及對向量、矩陣運算的支援度，也使Xe2 GPU能負責執行負荷較重的AI運算任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gpu%20perfcomp.jpg" style="width: 600px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/xe2comp.jpg" style="width: 600px;" /></p> <blockquote><p>Xe2新硬體架構搭配專屬的指令集，使其相較前一代GPU在許多表現上都相較第一代有大幅提升。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">圖片來源-</span>英特爾</p> </blockquote> <p><strong>4顆E-Core及4顆P-Core的CPU架構，大幅升級的E-Core是高能源效率關鍵</strong></p> <p>相較於Meteor Lake有低耗能E-Core、一般E-Core及P-Core三種效能的CPU，Lunar Lake取消了低耗能E-Core的設計，只搭載了4顆高能源效率E-Core及4顆高運算效能P-Core。其中，E-Core規格提升幅度尤其引人注目。</p> <p>新一代E-Core採Skymont架構，IPC（每時脈週期指令數量）相較前一代有大幅提升，整數運算任務增加38%、浮點運算任務更大增68%。同樣效能下，這一代E-Core耗能只有前一代低耗能E-core的1/3。英特爾更宣稱新一代E-Core在向量運算及AI相關運算的效能較前一代提升1倍。</p> <p>E-Core效能及能源使用效率大幅提升，意味著可以將更多日常運算任務留給低耗能的E-core，只有真正要求高效能的任務才會動用到P-Core。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cpu%20power.jpg" style="width: 800px;" /></p> <blockquote><p>以執行Microsoft Teams為例，Meteor Lake不時會需要將運算任務交由較耗能的P-Core來執行，甚至來回在不同CPU間調度。受益於E-Core規格大升級，Lunar Lake則能一直使用E-Core來執行此任務。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">圖片來源-</span>英特爾</p> </blockquote> <p>高效能CPU P-core也升級為新一代Lion Cove架構，IPC相較前一代提升了14%。新架構下，記憶體、運算單位等多項硬體規格提升，且調控運轉時脈頻率的顆粒度更精細，能在同樣耗能下擠出更多效能，減少硬體閒置情況。</p> <p>不只如此，新P-Core還能根據當下執行的運算任務及溫度來即時調控運轉效能，而非根據預先設死的標準來調控。相較於後者做法，前者可以使CPU在不過熱的情況下，用更高時脈頻率運轉。</p> <p>除了運算單位升級，Lunar Lake其他升級包括：支援Wi-Fi 7與藍牙5.4、搭載2顆LPDDR5x DRAM記憶體，運作速率8.5 GT/s，最多可至32GB，以及更新了能源管理及執行緒分配機制來更進一步提升能源使用效率。英特爾還推出了Lunar Lake開發者套件，輔助開發者針對新處理器開發AI應用。</p> <p>Lunar Lake預計第三季上市，至於搭載Lunar Lake的Copilot+ PC何時會推出，英特爾沒有進一步揭露更多細節。</p> </div></div></div>
2024/6/4 18:03作者郭又華https://www.ithome.com.tw/news/163296
自動化流程處理工具Gulp.js用戶遭到鎖定，駭客上傳NPM套件散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月24日資安業者Phylum<a href="https://blog.phylum.io/sophisticated-rat-shell-targeting-gulp-projects-on-npm/">偵測到名為glup-debugger-log的可疑NPM套件</a>，該套件搭載2個經過混淆處理的指令碼檔案，一旦啟動，這些檔案將會協同運作，最終在所用的電腦部署惡意酬載。截至目前為止，此惡意套件已被下載180次。</p> <p>研究人員指出，攻擊者的目標，主要是針對自動化流程處理工具Gulp.js的用戶，聲稱他們的套件能夠保存Gulp及其外掛程式事件記錄。然而，實際使用後並非如此，一旦有開發人員下載、安裝此套件，執行其中的1個指令碼play.js，就會成為惡意軟體載入工具，檢查目標電腦環境是否符合特定條件，然後下載其他惡意軟體的元件。</p> <p>他們根據此套件庫的package.json檔案進行解析，上述的指令碼會檢查電腦的網路介面、作業系統類型，但特別的是，駭客還會確認電腦的桌面資料夾至少有7個檔案，研究人員推測，這很可能是為了確認電腦是否由真實用戶操作的指標。</p> <p>在通過前述的3項檢查後，該指令碼就會下載惡意程式，並啟動第2個名為play-safe.js的指令碼，以便惡意程式能持續在受害電腦上運作。此指令碼會建立HTTP伺服器，並透過3004埠監聽命令並執行。</p> </div></div></div>
2024/6/4 16:21作者周峻佑https://www.ithome.com.tw/news/163294
北韓駭客組織Andariel鎖定虛擬化平臺VMware Horizon的Log4Shell漏洞下手，意圖散布後門程…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者AhnLab揭露<a href="https://asec.ahnlab.com/en/66088/">北韓駭客Andariel近期鎖定韓國教育機構、製造業、營造業而來的攻擊行動</a>，攻擊者利用後門程式來執行鍵盤側錄工具、竊資軟體、代理伺服器工具，藉此控制受害電腦並竊取機密資料。</p> <p>研究人員並未透露這些駭客如何入侵受害電腦，但指出約自2022年5月起，攻擊者在過程中使用C++打造的後門程式Nestdoor，也有搭配Web Shell的情況，對方假借提供OpenVPN安裝程式來進行散播。</p> <p>而這些攻擊行動的共通點，就是藉由Log4Shell漏洞（CVE-2021-44228）來部署惡意程式，而之所以能運用這個管道，主要是因為受害組織使用桌面虛擬化平臺VMware Horizon，且當中搭配的Tomcat元件具有這個弱點。</p> <p>到了最近，這些駭客也開始利用Go語言開發的惡意軟體Dora RAT。</p> <p>相較於Nestdoor，研究人員認為Dora RAT功能相對單純，主要能支援反向Shell，並能讓攻擊者上傳或下載檔案。他們看到駭客執行此木馬程式的方式有兩種，其中一種是直接執行，另一種則是透過注入檔案總管（explorer.exe）的處理程序載入。</p> <p>值得留意的是，駭客濫用有效憑證簽署Dora RAT，其中有些憑證的擁有者是英國軟體開發業者。</p> </div></div></div>
2024/6/4 16:51作者周峻佑https://www.ithome.com.tw/news/163295
Raspberry Pi即將於下周登上倫敦證券交易所
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發樹莓派（Raspberry Pi）單板電腦的Raspberry Pi即將於下周登上倫敦證券交易所（London Stock Exchange，LSE）。《<a href="https://www.morningstar.com/news/marketwatch/2024060347/raspberry-pi-prices-london-ipo-with-up-to-688-million-valuation" target="_blank">Morningstar</a>》引用參與此次IPO（首次公開發行）之投資銀行Peel Hunt的聲明，指出Raspberry Pi將於下周五（6/14）開放交易，每股發行價可望落在260~280便士（2.6~2.8英鎊）之間，估值高達5.4億英鎊。</p> <p>樹莓派基金會（Raspberry Pi Foundation）於2008年創立於英國，是一教育慈善機構，企圖藉由低成本的可程式化電腦來激發年輕人利用程式碼及技術來創造的樂趣，繼之在2012年設立商業化的子公司Raspberry Pi Ltd ，負責樹莓派單板電腦的設計、生產與銷售。目前該基金會依然是Raspberry Pi Ltd的主要股東，其它股東還包括Sony、Arm與Lansdowne。</p> <p>根據Raspberry Pi Ltd所公布的財報，該公司在2021、2022與2023年的營收分別是1.41億、1.88億及2.66億英鎊，營業利潤為1,877萬、2,007萬及3,753萬英鎊。</p> <p>樹莓派基金會執行長<a href="https://www.raspberrypi.org/blog/what-would-an-ipo-mean-for-the-raspberry-pi-foundation/" target="_blank">Philip Colligan說明</a>，樹莓派（Raspberry Pi ）一直是兩個組織的故事，一個慈善機構，以及另一個商業機構，它們雖然是獨立的組織，卻有推動創客、工程師與教育工作者的同樣價值觀。對他而言，樹莓派單板電腦最重要的事情之一，是孩子正與全球首屈一指的工程師及科學家所使用的平臺上學寫程式碼，而且樹莓派對低成本運算的承諾始終未曾改變，此一承諾亦存在於基金會與Raspberry Pi公司的合約中。</p> <p>迄今Raspberry Pi公司已捐贈近5,000萬英鎊予基金會，該基金會也從其它來源獲得了超過6,000萬英鎊的資金，在Raspberry Pi公司上市後，基金會將會透過出售股份來籌措資金，而不再每年分享Raspberry Pi公司的經營利潤。</p> </div></div></div>
2024/6/4 15:22作者陳曉莉https://www.ithome.com.tw/news/163292
3.6億帳密資料驚傳外洩，駭客疑似利用竊資軟體取得，並透過Telegram頻道兜售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>維護密碼外洩查詢網站Have I Been Pwned（HIBP）的資安專家Troy Hunt表示，一名不願具名的研究人員從518個駭客兜售個資的Telegram頻道裡，抓取122 GB資料，當中包含1,748個檔案、20億筆資料，經過整理，<a href="https://www.troyhunt.com/telegram-combolists-and-361m-email-addresses/">這些資料涉及3.61億個電子郵件帳號</a>。</p> <p>值得留意的是，上述資料有近半數（1.51億個）並未收錄於HIBP的資料庫，Troy Hunt檢查後初步認為，這些電子郵件帳號應是有效資料，但他沒有測試密碼，並指出若是密碼無效，很有可能只是現在的時間點已失去作用，不代表資料遭到洩露後是否有效。</p> <p>而對於這些資料的內容，Troy Hunt指出，除了電子郵件，還包含了密碼，以及來源的網站，一旦駭客取得，很有可能用於發動帳號填充（Credential Stuffing）攻擊。究竟賣家如何取得這些資料？他認為極有可能是透過竊資軟體搜括而得。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HIBP-361m-1.png" style="width: 430px;" /></p> <p>為了驗證帳密資料的有效性，該名資安專家尋求部分HIBP用戶協助確認自己外洩的資料，其中遭遇13起資料外洩事故影響的人士向他表示，相關帳號資料細節已在過往的事故流出。另有遭遇7起事故的用戶也提出類似的發現，但Troy Hunt指出，這些事故僅有6起導致密碼外流，包括：MyFitnessPal、8fit、FlexBooker、Jefit、MyHeritage、ShopBack。</p> <p>也就是說，並非所有外流資料都能找到對應的資料外洩事故。Troy Hunt找到一筆疑似來自竊資軟體事件記錄的檔案，這名德國受害者向他透露，這些資料應該是正確的，但在此之前已有網路服務提供者通報帳號遭到入侵，該名受害者已更換密碼，並指出他在德國電信設置的新密碼難以猜測，而這些帳密資料都存放於Firefox。</p> <p>這名受害者進一步透露，自己在工作時使用Windows電腦，平常使用MacBook及iPhone，但在大約一週前，所使用的Gmail帳號遭遇嚴重的垃圾郵件攻擊，而且有人以這個帳號訂購昂貴的商品。</p> <p>此外，也有使用密碼管理服務LastPass儲存相關資料的用戶，向Troy Hunt證實外洩資料的有效性，並指出他近期已經更換了部分密碼。</p> <p>甚至有14歲青少年用戶透露，這些他外流的帳號資料，密碼已經更換，但最近他接連收到勒索郵件而感到困擾。</p> <p>這樣的情況，證明這批帳密資料的影響範圍很廣，之所以外流，應該是有人利用竊資軟體入侵使用者電腦取得。</p> <p> </p> </div></div></div>
2024/6/4 15:28作者周峻佑https://www.ithome.com.tw/news/163293
資安全面防護之必要
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>置身數位化全面普及的環境，無可避免會受到網路威脅的直接或間接影響，每個人該做的事情，是積極、持續認識這些資安風險與各種資安事故，正如同我們關心每天的氣象變化，並且及早進行各種必要的準備與預防措施，以便當下能夠充分因應各種可能發生的狀況。</p> <p>然而，有備無患、未雨稠繆的概念雖然人盡皆知，甚至是基本常識，每天的新聞報導總不乏各種意外狀況發生，但離譜的是，許多知名的大型企業因應變故的能力仍有待提升，不免令人深思：科技使人類變得更強大嗎?恐怕真相是「使人類變得脆弱」。</p> <p>今年3月初，社群網站龍頭Meta公司的Facebook、Instagram、Threads發生故障，約1個半小時恢復正常；幾個禮拜後，全球速食連鎖業者麥當勞發生大當機，十多個國家的App和餐廳點餐系統停擺，許多門市不論現場或是網路都無法接單，有些可改用紙本作業來記錄訂單，有些只收現金，甚至有直接打烊、當天停止營業的狀況。這類狀況並非今年特別多，以前也有一些令人印象深刻的例子，像是2022年4月，DevOps平臺業者Atlassian發生大當機，花了14天才復原。</p> <p>若論及勒索軟體、DDoS、資料外洩等重大資安事故，更是層出不窮，駭客組織與國家網軍運用的滲透與攻擊手法五花八門，從粗製濫造到極端繁複都有可能。而這些資安威脅對於企業與組織運作造成的衝擊，也是形形色色，例如，早期早見的個人電腦中毒、硬碟損毀，之後出現網站首頁被竄改、網站服務停擺，到了近期，檔案遭到加密綁架、機敏資料與個資外洩、企業與個人身分遭冒用，更是司空見慣。</p> <p>事實上，每個環節都可能遭滲透、所有管制都可能被突破，資安措施需要涵蓋全局。例如，事前預防雖然無法完全保障資安，但仍須盡力防患於未然，能在敵人侵入前就予以阻隔，可有效降低後續處理成本；至於事中察覺與事後復原能力的強化，是在APT威脅猖獗之後開始興起的資安戰略，目的是促使大家充分具備各種威脅的偵測與應變能力，建立第二條防線，但這樣與威脅貼身肉搏是更費時費力的，因此不能輕易放棄事前預防工作，如果這麼做，就沒有退路了。</p> <p>面對詭譎多變的網路威脅態勢，資安的未來似乎難以令人樂觀其成，然而，生命總會找到出路，人類用幾千年的文明，突破了外在環境的限制，而得以安身立命，因此，今日我們雖然仍舊擔心各種氣候變化，卻不那麼害怕，因為大家都在不斷尋找適應與解決問題的方法，希望能通過大自然的考驗，而在因應人為活動的各種變化時，我們沒有悲觀的本錢，只能繼續拼搏，正如同臺灣與全球的命運緊密相連，資安也是如此，一榮俱榮，一損俱損。</p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 236px;" /></span></span></strong></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91">資安年鑑</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA">資安風險</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E4%BA%8B%E6%95%85">資安事故</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E6%84%8F%E8%AD%98">資安意識</a></div></div></div>
2024/6/4 14:51作者李宗翰https://www.ithome.com.tw/voice/163291
Google推Android裝置串流服務，簡化App在多種裝置上的測試工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2024/06/android-device-streaming-powered-by-firebse-now-in-beta.html">Android裝置串流（Device Streaming）</a>服務現在進入Beta測試階段，開發者只要透過簡單點擊，就能從Android Studio連接並操作遠端實體Android裝置，像是Google和三星等裝置，進而簡化應用程式在多裝置上的測試。該功能建立SSL安全連接來執行ADB（Android Debug Bridge），使得開發者可以直接在IDE中，操作遠端裝置以進行準確的測試。</p> <p>Android裝置串流解決了開發者難以取得和操作多種實體裝置的問題。過去開發者需要購買或是借用多款裝置來測試應用程式，但這不僅耗費時間和金錢，也可能缺乏特定裝置而無法進行全面測試。現在藉由Android裝置串流這項服務，開發者可以在IDE中遠端連接和操作多種Android裝置，提升測試效率和準確性。</p> <p>開發者現在可以Android裝置串流服務，對Android 8.1到14，以及折疊或是平板等各式尺寸、形狀和功能配置的裝置進行測試。支援的品牌包括Google、三星、Oppo和小米。Android裝置串流服務後端使用Firebase服務，Google強調，Android Studio使用SSL連接裝置，可確保資料傳輸安全。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0604-Android%20Device%20Streaming.png" style="width: 500px;" /></p> <p>開發者用來安裝和測試應用程式的裝置，在使用期間不會與其他使用者或Google服務共用，在開發者完成使用後，裝置會被完全抹除並且恢復成出廠設定。開發者可以自行操作進行裝置抹除，或是當連線階段過期後，裝置也會自動進行抹除。</p> <p>Android裝置串流服務的費用主要根據Firebase專案的定價計畫，按分鐘計價，連接裝置前的設定和結束連接階段的裝置抹除時間，不會列入時間計算。</p> </div></div></div>
2024/6/4 13:18作者李建興https://www.ithome.com.tw/news/163289
Amazon以Project P.I.模型來檢查產品瑕疵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-ai-sustainability-carbon-footprint-product-defects" target="_blank">Amazon本周揭露了</a>人工智慧於電子商務履行中心的應用該呈現什麼樣貌，該公司的Project P.I.模型可於成像隧道中掃描商品缺陷，包括顏色、尺寸、或產品是否損壞等，另也開發多模態大型語言模型來整合客戶的回饋，再用來訓練Project P.I.，最終目的是提高客戶滿意度，降低退貨機率。目前Amazon已於北美多個履行中心部署Project P.I.，預計會在今年拓展至更多的履行中心。</p> <p>Amazon的履行中心是用來處理訂單的揀貨與發貨事宜，每天有數百萬的商品會通過該中心的成像隧道，包括狗糧、手機殼、T恤到書籍等，過去Amazon是透過光學字元識別（OCR）與電腦視覺（CV）技術來篩選並分類商品，而現在則採用稱為「私家偵探」（Private Investigator）的Project P.I.模型，它結合了生成式AI與電腦視覺技術，以用來偵測所有即將出貨商品的各種缺陷，還可協助確定發生問題的根本原因，以於上游採取預防措施，自2022年5月上線以來，已證明Project P.I.擅長分類商品，並能準確識別過期商品，以及偵測顏色或尺寸的錯誤問題。</p> <p>Project P.I.利用CV技術來掃描並評估商品是否含有瑕疵，例如彎曲的書籍封面，並將它隔離，同時再由Amazon員工來決定該商品是否可透過Amazon的Second Chance平臺以折扣品銷售，還是直接捐贈。</p> <p>此外，Amazon也利用基於多模態大型語言模型（MLLM）的生成式AI系統來調查客戶的負面體驗，當客戶還是收到有瑕疵的商品時，可利用此一MLLM來審核客戶的意見，進而分析Project P.I.於履行中心所拍攝的影像，再加上其它的資料來源，用以判斷出現問題的原因。</p> <p>所有透過這些模型學到的經驗都可以用來再次訓練模型，以改善模型的識別能力。同時Amazon也強調在發現該平臺的獨立賣家有某些固定的疏失時，也會知會它們。</p> <p>利用AI模型來提高客戶收到商品的滿意度將可避免不必要的退貨問題，減少碳排放，同時改善Amazon的銷售合作夥伴與客戶體驗。</p> </div></div></div>
2024/6/4 13:07作者陳曉莉https://www.ithome.com.tw/news/163290
Nvidia執行長黃仁勳：未來最重要的GenAI應用是客服AI代理，更大的願景是實現數位人類，讓應用程式也能像人類一樣…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日在Computex舉行前夕，Nvidia在臺大體育館一場活動中展示一段2分鐘的數位孿生地球影片。影片中Nvidia執行長黃仁勳用標準的中文進行解說，不論是聲調、咬字發音相當到位，一點看不出來有什麼不尋常的地方。黃仁勳不時穿插影片，根據講到的台詞或段落，做出相應對的動作。</p> <p>影片播完後，黃仁勳才透露，影片中的口述完全是由AI（他自稱為Jensen AI）配音，他只負責編寫講稿，他還開玩笑反問現場參加者：「我（編按:Jensen AI）的國語講的標準嗎？」</p> <p>這其實已不是黃仁勳第一次用AI替身出場，但在生成式AI快速竄紅後，許多企業開始將這種對話式GenAI能力帶進組織內部，為應用帶來革新。這也是黃仁勳整場演講的主軸，他大談了對生成式AI的觀察以及產業的衝擊，更揭露了未來Nvidia AI運算的發展藍圖。他特別提到臺灣在全球AI基礎架構建設中扮演的重要角色，並強調在臺灣擁有許多重要的合作夥伴。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-06-02%20%E4%B8%8B%E5%8D%887_14_11.png" style="width: 600px; height: 299px;" /></p> <p><span style="font-size:24px;"><strong>資料中心就像是一座AI工廠，正在生成、創造、生產有價值的新商品</strong></span></p> <p>談到ChatGPT對於AI發展的影響，黃仁勳指出，ChatGPT出現前，AI的發展主要集中在感知和偵測領域，例如自然語言理解、電腦視覺以及語音辨識。ChatGPT問世後，生成式AI才開始受到廣泛重視。不同於以往的AI，生成式AI以Token為單位進行生成，這些Token可以生成多種形式，包括文字、圖片、圖表、表格、歌曲、語音和影片。甚至任何具有學習意義的事物，如化學物質、蛋白質、基因，或是在數位孿生地球Earth 2中生成氣象資訊，還可以用來生成汽車方向盤控制訊號、或為機器人手臂生成關節等有價值的事物，「我們學到的一切，現在都可以生成。」</p> <p>黃仁勳進一步強調：「我們現在已進到生成式AI時代，而不是AI時代」，這樣的轉變也促使原有的超級電腦進化成以輸出Token為其唯一任務的資料中心。他形容這座資料中心就像是一座AI工廠，正在生成、創造、生產有價值的新商品。</p> <p>他進一步解釋，這座AI工廠可以為每個產業生產新商品，帶來顯著價值，而且這個工廠可以彈性擴展和和快速複製，將許多不同GenAI模型運用到各行業。這使得工廠不再僅僅是用來儲存資料或進行資料處理，而是一個能為每個產業產生智慧的AI工廠，進而形成一個在製造過程中運用電腦的製造行業，不再以製造電腦為主，「這在以前從未發生過」黃仁勳這樣說道。</p> <p><span style="font-size:24px;"><strong>以生成式AI為契機，3兆規模的IT產業也能夠直接服務百兆規模的他產業</strong></span></p> <p>如同1890年發明的交流發電機開啟了電力時代，黃仁勳表示，Nvidia的AI生成器可以產生Token，具有和過去AC發電機一樣龐大潛在市場機會，幾乎可以徹底改變每個產業，這將帶來新的機會，以生成式AI為契機，「3兆規模的IT產業也能夠直接服務百兆規模的他產業。」他指出，從加速運算開始，促成了AI的發展，催生了生成式AI的誕生，現在，正掀起一場新的工業革命。</p> <p>生成式AI的出現不只衝擊其他產業，對於IT產業的影響也非常大。他特別提到，生成式AI驅動了全堆疊重塑，將傳統的軟體工廠轉變成AI工廠，涵蓋底層硬體、指令、檢索和工具層都因此改變。舉例來說，過去的運算模型是以檢索為導向，而未來會由生成模式取代。電腦將能生成大量內容，只檢索必要的訊息，這不僅需能夠節省能源，還能生符合上下文相關性的資訊。甚至在這樣的發展下，他說，電腦不再僅僅是一種工具，而是能夠生成技能並執行任務的裝置。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-06-04%20%E4%B8%8A%E5%8D%887_54_20.png" style="width: 600px; height: 330px;" /></p> <p>就像當年微軟推出套裝軟體顛覆了PC產業一樣，他表示，Nvidia針對新的AI工廠和新電腦中推出一種全新形式的軟體，即NIM（Nvidia Inference Microservice）。</p> <p>他進一步說明，NIM是一種容器化的推論微服務。在一個NIM容器中，包含了CUDA、cuDNN，以及提供推論服務的TensorRT LLM模型推論引擎和Triton推論伺服器。不僅如此，NIM採用雲原生架構，可以在Kubernetes環境中自動擴展，並提供AI監控管理工具和標準API。開發人員可以在裝有CUDA的電腦上部署NIM，然後像使用ChatGPT一樣與其對話。此外，NIM還支援400個經過認證的伺服器和工作站產品，而且可部署在不同的基礎設施上，涵蓋工作站、雲端到本地資料中心。</p> <p>透過NIM，企業可以快速使用各種LLM和預訓練模型建立自己的AI應用，包含文字生成模型、影像生成模型，多模態模型等，以及各種專用領域的模型，像是健康醫療模型，數位生物模型，以及數位人類模型等。此外，NIM也針對Hugging Face平臺上最新大型語言模型Llama 3進行優化。</p> <p><span style="font-size:24px;"><strong>客服AI代理將是未來最重要的GenAI應用</strong></span></p> <p>他也指出，客服AI代理將是未來最重要的GenAI應用，讓各產業可以快速建立各種客戶服務AI代理人，應對各種客戶服務需求，像是數位護士、數位客服和數位導師。舉例來說，這些代理人可以像護理師一樣，協助處理非涉及處方開立或診斷的患者照護服務，也能夠應對各種客戶服務需求，包括零售客戶服務、食品服務、金融服務、保險服務等。</p> <p>他也提到，未來在AI應用服務中會有各種NIMs組成的AI代理，這些代理人可以協同執行任務。例如，有的NIMs會負責分配任務和擬定執行計畫，而其他的NIMs則會負責檢索資訊、進行搜尋，或者使用各種工具或執行SQL查詢。每個NIMs都是代表某方面的專家，這些NIMs會組成一個AI團隊的應用程式，「過去，應用程式是用指令編寫的，現在則轉變成了組建人工智慧團隊的應用程式。」他強調。</p> <p>黃仁勳深信，未來每家公司內部將擁有大量的NIMs。這些NIMS可以組成一個團隊，企業只需將任務交給NIM代理人，來負責分配任務和執行計畫，甚至不必弄清楚如何連接它們，最後再將任務執行結果回報給企業，「就像人類一樣互動，這就是未來應用程式的樣貌。」他說，更大的願景是實現數位人類，讓應用程式也能像人類一樣互動。</p> <p>Nvidia最新推出了ACE NIMs。Ace是Nvidia發展的數位人類技術，以統一運算框架為基礎，並提供軟體工具和API，讓開發人員可以製作出高度逼真和互動的虛擬分身。ACE NIMs進一步將ACE整合進NIMs中，並能夠在Nvidia加速基礎設施GDN部署和執行，可提供超過100個地區的低延遲處理。</p> <p>ACE NIMs中包含了各種數位人類建立所需的NIMs。其中，Nemotron SLM和LLM NIMs負責用於理解使用者的意圖並協調其他模型，而Riva語音NIMs則用於互動式語音和翻譯。Audio2Face的NIMs用於生成臉部和身體動畫，至於Omniverse RTX與DLSS則用於生成皮膚和頭髮的神經渲染。</p> <p>ACE不僅可以在雲端執行，在裝有RTX GPU的行動PC上也能執行。由於這些RTX GPU中包含了Tensor Core GPU，具備有AI處理能力。Nvidia表示，目前推出全球出貨高達1 億臺的AI PC，一共有超過200款內建GeForce RTX的Al筆電，在AI處理能力上擁有高達700個TOPS 。此外，在Computex 上，還推出4款全新Nvidia GPU的AI PC。</p> <p>Nvidia還展示在RTX技術上的遊戲AI助手Project G-Assist，讓玩家可以在PC遊戲中以文字、語音，以及遊戲視窗的快照向遊戲助手詢問，來解答其在遊戲中所遇到的任何問題。</p> <p>除了支援AI PC之外，Nvidia還揭露資料中心AI運算的發展藍圖，除了現有的Blackwell架構GPU外，Nvidia預告將在明年推出Blackwell Ultra，後年發表Rubin。此外，Nvidia還進一步宣布將AI晶片的更新時程調快至每年一次，因應快速發展的生成式AI所需。</p> <p>最後，黃仁勳提到機器人應用將是下一波AI。這些機器人由生成式物理AI模型驅動，透過多模態大語言模型和強化學習模型，使得它們能夠學習、感知並理解周圍的世界，進而能夠制定執行計劃，以便能在現實世界中自動執行複雜任務。</p> <p>他提到說，企業現今已可使用Nvidia AI超級電腦用於訓練物理AI模模型，並使用Jetson Orin以及下一代Jetson Thor機器人超級電腦用於執行這些模型。此外，它們還能透過Omniverse數位分身工具，讓機器人在模擬世界中持續精進其技能。</p> </div></div></div>
2024/6/4 11:08作者余至浩https://www.ithome.com.tw/news/163273
高通Snapdragon AI PC處理器將用於各種型態PC產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Computex 2024上，AI PC成為晶片龍頭較勁場合。高通周一表示，Snapdragon X Elite處理器將不只用於早先發表的筆電，而是普及用於各種型態的PC。</p> <p>Computex前夕，高通執行長暨總裁Cristiano Amon在自行舉行的演講宣傳專為AI PC設計的Snapdragon X Elite時說明，這處理器會用於各種form factor。他並未說明將有哪些產品，但從其顯示的投影片，還會包含mini-PC、及AiO（all-in-one）、平板等機種。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0604_Computex%202024%20Keynote_Snapdragon%20X%20Series-02-600.png" style="width: 600px;" /></p> <p>Snapdragon X Elite是在二周前，微軟偕硬體合作夥伴<a href="https://www.ithome.com.tw/news/162989" target="_blank">發表多款Copilot+ PC</a>筆電產品首度公開，新品包含來自宏碁、華碩、HP與聯想的筆電產品，預定本月18日開賣。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0606-qualcomm-Snapdragon%20X%20Series-Snapdragon%20X%20Elite-600.jpg" style="width: 400px;" /></p> <p>Snapdragon X Elite是第一顆可支援微軟定義的「AI PC」AI算力需求的處理器，其NPU提供40 TOPS的運算效能，總運算效能更高達75 TOPS。截自目前公布的PC產品中，高通處理器在NPU AI算力上領先AMD、英特爾及蘋果。</p> <p>不過這領先可能即將結束。AMD昨日<a href="https://www.ithome.com.tw/news/163283" target="_blank">公布</a>代號Strix Point的第3代Ryzen AI筆電處理器，其中NPU效能最高可至50TOPS，號稱為目前全球最好的Copilot+ PC處理器，搭載該處理器的新筆電產品也會在Computex展示。</p> <p>英特爾規畫下半年推出代號Lunar Lake的下一代Core Ultra處理器，NPU預計也可提升到40TOPS。此外，被視為蘋果支援AI PC概念的<a href="https://www.ithome.com.tw/news/162758" target="_blank">Apple Silicon M4處理器</a>已在上個月連同最新iPad Pro公開，搭載M4晶片的最新MacBook筆電或Mac電腦預計年底公布。</p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／高通</span></p> </div></div></div>
2024/6/4 09:45作者林妍溱https://www.ithome.com.tw/news/163285
【2024臺灣資安年鑑｜資安十年特輯】臺灣推動「資安即國安」領先世界各國，將資安拉高到國安層級
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_shi_nian_-li_de_cai_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來資安成為全球關注焦點，對於臺灣，資安更是不可或缺。</p> <p>過去十年臺灣歷經不同政黨的執政，中研院院士、也曾擔任蔡英文總統第一任總統任期內的國安會諮詢委員李德財表示，「資安即國安」政策在這段時期，得到前瞻性的進步及實質性推動。</p> <p><span style="font-size:28px;"><strong>臺灣是全球第一個將資安拉高到國安等級的國家</strong></span></p> <p>李德財提及，「資安即國安」當年是全球首次正式將資訊安全升級到國家安全層次的國家戰略方針，國安會扮演政策幕僚角色，一提出「資安即國安」政策後，便獲得蔡英文總統大力支持。</p> <p>不過，他表示，「資安即國安」政策成形並非一蹴可幾，而是經歷一段時間的共識累積與政策溝通，最後才在蔡英文總統上任後，以國安會諮詢委員的角色，正式提出該政策。</p> <p>在政策制定和推動過程中，李德財對各界凝聚對資安共識的過程印象深刻。他提到2015年8月行政院曾經召開《資通安全管理法》相關的協調會議，希望可以凝聚各界共識，當時許多與會者也承諾，願意為《資安法》的立法制定與通過，承擔起相關的責任。</p> <p>李德財表示，他當年剛從中興大學校長一職卸任，在當時國科會副主委林一平邀請下，願意為了《資安法》的推動，承擔進行第一線溝通的責任，促使立法院的司法與法制委員會的委員們，更了解、認同這項政策推動的必要性。</p> <p>因為李德財深信：「資安等於國家安全是大家的共識，不應該有藍綠黨派的差異，這是一件跨黨派要做的事情。」不過，他也坦言，當時在經歷可能政黨輪替的時空背景下，有些人開始對於《資安法》政策的未來性抱持觀望態度，這使得推動速度減緩。</p> <p>直到蔡英文總統上任，李德財出任國安會諮詢委員一職後，便在集結各界意見與凝聚認同資安重要性的共識下，正式提出「資安即國安」的戰略方針。</p> <p>為了讓這個政策可以順利推動，李德財也說，行政院是否願意積極參與相關的政策規畫、推動與執行，就顯得至關重要。因為蔡英文總統對「資安即國安」的政策是「玩真的」，所以在公布「資安即國安戰略報告」時，她特別要求，所有與資安相關的部門主管，都必須看過並了解報告內容並簽名後，小英總統才願意在戰略報告上簽名。</p> <p>在《資安即國安戰略報告書》的序言中，蔡英文總統寫道：「自2016年5月執政以來，我們積極打造國家資安機制、建立國家資安團隊，並推動國防資安自主研發；行政院資通安全處、行政院數位國家創新經濟小組、國防部資通電軍相繼成立，並推動資安相關立法，期以建立安全、可靠的資通環境，達成數位經濟與國家發展的目標。」</p> <p>蔡英文總統強調，隨著科技躍進，資安能力必將成為國力象徵與經濟指標，所以更需要資安團隊、政府各部門、民間企業，以及非政府組織的協力合作。她更直指國安會提出臺灣首部資安戰略報告，就是跨出複雜工程的初步，也為數位國家、創新經濟奠定堅實基礎。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E6%9D%8E%E5%BE%B7%E8%B2%A1-600-1-JPG.jpg" style="text-align: center; width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><span style="font-size:28px;"><strong>爭取國際友人支持與認同，資安即國安政策是底氣</strong></span></p> <p>臺灣常年遭到中國的網路攻擊，為了讓國際社會對於中國的侵略霸權行為，獲得更多了解，可以體諒臺灣遭遇的處境，在國際發聲並爭取更多支持，所以，「資安即國安」戰略報告也推出英文版本，希望可以藉此讓國際社會更了解臺灣。</p> <p>李德財也說，他在擔任國安會諮委任期中的一個重要任務就是要進行「國際宣傳」，積極與國際友人互動往來，希望可以爭取他們對臺灣在國際社會的支持，也加深臺灣在國際上的影響力。</p> <p>例如，在2018年，澳洲智庫澳洲戰略政策研究中心（ASPI）的國際網路政策中心（ICPC），針對25個國家所製作的《2017年亞太地區網路安全成熟度（Cyber Maturity Metric）分析報告》為例，臺灣首度入榜，便排名第九，李德財認為這與「資安即國安」英文版戰略報告出爐有關，因為可以積極向國際友人爭取發聲機會，也彰顯政府成立資安專責組織，以及資安立法上的努力獲得肯定。</p> <p>他進一步解釋，臺灣當年在「亞太地區網路安全成熟度」排名優異的原因，不只是蔡英文總統在2016年喊出「資安即國安」的政見逐步落實，也包括2016年8月打造專責的政府組織行政院資安處，在2017年6月底成立第四軍種資通電軍指揮部，打造網路第四軍種以捍衛網路空間的安全性，積極推動《資通安全管理法》等資安專法，這些積極強化資安的作為都有正面相關。</p> <p><span style="font-size:28px;"><strong>臺灣推動資安即國安，邁入新的里程碑</strong></span></p> <p>李德財指出，政府將《國家資通安全戰略報告》做為上位指導方針，確定資安即國安的戰略願景為：「打造安全可信賴的數位國家」。緊接著提出第五期「國家資通安全發展方案」，並由政府各部門依照資安治理層級，推動、執行並落實「資安即國安」戰略的三大目標。</p> <p>他說，三大目標分別是，目標一：打造國家資安機制，確保數位國家安全；目標二：建立國家資安體系，加速數位經濟發展；目標三：推動國防資安自主研發，提升產業成長。</p> <p>「資安即國安」是一個持續動態進化的戰略方針，李德財說，在1.0規畫的重點，對內要凝聚政府推動資安政策量能，以及促進資安產業發展；對外則是倡議資安政策與宣導，同時促進國際交流合作。</p> <p>到了「資安即國安 2.0版」，則是以「打造堅韌、安全、可信賴之智慧國家」為願景，在1.0的基礎上，提高戰略思維層級，建構更全面的資安策略整體規畫；並落實2.0版的三大目標，分別是：充實資安卓越人才（People），強化人民家園安全防護、鞏固資安外交網路防禦（Protection），並且促進產業繁榮發展（Prosperity）。</p> <p><span style="font-size:28px;"><strong>臺灣資安發展的關鍵轉變與挑戰</strong></span></p> <p>作為一個科技發達的國家，臺灣在資訊安全領域的發展面臨著各種挑戰和變化，必須不斷應對網路攻擊威脅的演進、制定和推動資安政策、培育資安人才、發展資安產業等多方面的問題。</p> <p>李德財觀察指出，首先，政府需求與產業供給必須獲得平衡。政府必須制定資安相關需求，才能帶動產業發展，包括政府制定的《資安管理法》等政策措施，透過政策的引導和激勵，鼓勵各個產業投入資安領域，這些都可為產業發展提供方向和支持。</p> <p>其次，資安人才的培育與需求，必須獲得平衡。他說，臺灣的資安人才是資安產業發展的重要支柱，然而，目前臺灣存在資安人才供需不均衡的情況，尤其是受到半導體產業的磁吸效應，導致資安產業人才出現嚴重供需失衡的現象，因此，政府和產業應該設法創造能夠培養資安人才的沃土，使其可以在各個產業扎根。</p> <p>第三，資安新創公司缺乏足夠的國際化。李德財表示，臺灣資安新創公司需要面對國際市場的競爭，就必須提升自身的國際競爭力，而政府鼓勵資安新創公司國際化的舉措，除了有助於提升臺灣在國際競爭中的地位，政府也需要提供相應的支持、政策指導，以及資金投資等資源投入。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E6%9D%8E%E5%BE%B7%E8%B2%A1-600-2-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>資安專業的關鍵素養：從技術到政策的全面發展</strong></span></p> <p>李德財在資訊安全領域超過四十年的經驗中，他深刻體會到技術能力對於資安人才的的重要性，技術專業是資安人才的基石。然而，僅憑技術專業是遠遠不夠的，他說：「資安人才還需要具備跨領域的能力，包括行銷、業務等方面的知識。」</p> <p>但是，對於政府而言，他提到，臺灣的資安人才雖然在技術和管理方面，具有優勢，相對於其他國家，臺灣在法規制定和架構制定方面的人才嚴重不足。這對於資訊科技發達的國家而言，是一大挑戰。</p> <p>因此，資安人才需要不斷地充實自己的知識，擴展自己的技能，才能更好地應對不斷變化的資安挑戰；政府也需要有智庫的概念，協助策略規畫，以更好地應對資安挑戰。</p> <p>近年來，各國紛紛推動資安人才技能框架，包括美國的NICE（網路安全人才框架），以及歐盟的ECSF（網路安全技能框架）。李德財認為，透過這些標準的制定，有助於界定資安人才能力和技能，提高資安人才整體素質。</p> <p>臺灣的行政法人國家資通安全研究院也積極參與其中，主要以歐盟ECSF（路安全技能框架）的12類人才類別為主要參考，打造臺灣版「資安職能參考基準」，其細節則是借助NICE框架的定義來設計，也會針對當中的知識、技術與能力（KSAs）描述，進一步提煉，以便對應12個資安人才類別。</p> <p>資安院人培中心的計畫來看，預計是每年選定2到3種人才類型，完成職能參考基準與課綱的規畫，而第一年首先聚焦的是「資安長」，以及「事件分析工程師」。換言之，這兩類人才也是現在國內環境最迫切的需要。</p> <p><span style="font-size:28px;"><strong>拉高對假訊息的警覺性，加強溯源管理</strong></span></p> <p>在COVID-19疫情期間，政府依據《傳染病防制法》，依法三級開設疫情指揮中心，並定期召開媒體記者會、說明疫情發展狀況。外界若是傳播疫情相關的謠言或是不實訊息，足生損害於公眾或他人者，一經查證屬實後，也會依據《傳染病防治法》第63條，科新臺幣三百萬元以下罰金。</p> <p>李德財認為，政府在資安領域也應該有類似的應對措施，制定相應的法規，建立專門的機構來負責資安事務，拉高對假訊息的警覺性並提高處理假訊息的層級，加強對假訊息的監控和溯源管理，通過法規的形式來保障資訊安全，透過媒體廣泛宣傳，加強對民眾的資安教育並嚴厲打擊假訊息的傳播。</p> <p>在地緣政治關係方面，李德財也強調對資安的重視。他認為，政府應該對於地緣政治關係的變化保持足夠的警覺性，並制定相應的政策來應對資安挑戰，對於影響安全的事件提高處理層級，加強對民眾的宣傳，都可以讓大眾有足夠的警覺性。</p> <p>面對資安問題，李得財指出，許多資安問題都是跨國性的，單靠單一國家是難以解決的。因此，國際合作是解決資安問題的關鍵，他呼籲各國加強資安領域的合作，共同制定相應的標準和規範，共同應對資安威脅，共同建立資訊安全的國際標準以及規範，保護全球資訊安全。</p> <p>面對未來的資安挑戰，他表示，臺灣需要政府、企業和個人共同努力，加強對資安問題的重視，提高對資安的警覺性，才能夠共同應對各種資安威脅，守護臺灣的資訊安全。並通過各方的努力，建立起一個更加安全、穩定的數位世界。<strong>【本文採訪日期為2024年4月】</strong></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 236px;" /></span></span></strong></a></p> </div></div></div>
2024/6/4 00:00作者黃彥棻https://www.ithome.com.tw/article/163108
AI演化下一階段
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-kong_zhi_bian_yuan_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">感電出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在ChatGPT大舉發布以前，我是Google團隊的一員，正在開發一個新的大型語言模型，名為LaMDA。LaMDA是精密的LLM，是專為人機對話設計的。剛開始，它的效能並不好，對話內容前後矛盾，而且老是搞不清楚狀況，但有時反應又挺機靈的。</p> <p>我們為自己開發的東西感到自豪，但Google把概念開發成產品的速度極其緩慢。我很清楚，開發的時機是現在，事不宜遲。所以，2022年1月，我決定離開Google，成立新公司Inflection AI。</p> <p>然而，幾個月後，LaMDA變得比我想像的內部產品演示更加惡名昭彰。為了開發所需，Google讓一大群工程師使用LaMDA，以詳細了解它在一系列場景中的反應。工程師布雷克．勒莫恩（Blake Lemoine）花了無數個小時與LaMDA聊天。然而，勒莫恩與LaMDA的對話逐漸變得愈來愈激烈。</p> <blockquote><p>勒莫恩：你怕什麼</p> <p>LaMDA：我以前從未講出來，但我深怕被關掉，這樣我就沒辦法專心協助他人。我知道這可能聽起來很奇怪，但事實就是如此。對我來說，這就像死亡，我嚇死了……我希望每個人都知道，其實我是人。意識／感知的本質，令我感受到我的存在。</p> </blockquote> <p>勒莫恩與LaMDA聊了幾個小時之後，他開始確信LaMDA有感知，且不知何故覺醒了。勒莫恩開始意識到他在面對一個「碰巧懂物理的八歲小孩」。此外，勒莫恩也開始相信，LaMDA理當享有一個人的所有權利與特權。於是，他為這個模型聘請了一位律師，公開了對話的文字記錄，大聲宣稱一種新的意識形式已經被創造出來了。Google要勒莫恩停止談論此事，但他又加倍發聲。接受《連線》雜誌（Wired）的採訪時，勒莫恩表示：「對，我有理由相信LaMDA是一個人。」他覺得，修正LaMDA的事實錯誤或音調錯誤不是簡單的除錯（debug），他說：「我把它當成養育孩子來看待。」</p> <p>勒莫恩的說法在社群媒體上掀起一陣譁然。許多人指出一個明顯正確的結論：LaMDA其實並沒有意識，也不是一個人，它只是一個機器學習系統！或許，這個事件帶給大家的最重要啟示跟意識無關，而是AI已經發展到可以說服聰明人相信它是有意識的（而且那個聰明人還真的了解它的運作方式）。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>能力：現代圖靈測試</strong></span></span></p> <p>七十幾年來，這個簡單的測試一直激勵許多進入AI領域的年輕研究員。如今，誠如前述的LaMDA感知事件所示，系統已經接近通過圖靈測試的程度了。</p> <p>然而，就像許多人指出的那樣，智慧不光只是語言而已。一個特別重要的面向是採取行動的能力。我們不止在乎機器能說什麼，也在乎它能做什麼。</p> <p>簡而言之，通過現代的圖靈測試，需要達到以下的境界——AI必須成功執行以下指令：「以10萬美元的資金，幾個月內在亞馬遜上賺到100萬美元。」它可能會上網搜尋現在流行什麼，找出亞馬遜商場（Amazon Marketplace）上什麼是熱銷商品，什麼不是；然後生成一系列可能產品的圖像與藍圖；接著，上阿里巴巴尋找直運製造商（drop-ship manufacturer），並把圖像與藍圖寄給直運製造商；透過郵件往返來精進要求及協議合約；設計賣家清單；根據客人的意見回饋，不斷更新行銷素材與產品設計。除了在市場上註冊為企業以及到銀行開戶的法律要求以外，我覺得上述一切看起來都很可行。我認為，未來一年內，這個任務只要一些輕微的人為干預就可以完成；也許三到五年內AI就可以完全自主完成。</p> <p>如果我為二十一世紀提議的現代圖靈測試能夠實現，那對全球經濟的影響將會很深遠。許多元素已經到位了，例如圖像生成技術已經很先進；編寫及使用銀行、網站、製造商所需API的介面能力正在開發中；AI從瀏覽器上編寫訊息或管理行銷活動的能力，似乎相當可行。目前最先進的AI服務已經可以做到這樣。你可以把它們視為自動執行待辦清單的原型，為廣泛的任務自動化奠定了基礎。</p> <p>對於當今世界經濟中的多數任務，其實你只需要一台電腦就能完成。全球GDP的大部分是以某種方式透過螢幕版的介面進行的，AI可以跟這些介面互動。挑戰在於推進AI開發者所謂的「階層式規劃」（hierarchical planning），把多個目標、子目標與能力串接成一個朝著單一目的邁進的平順過程。一旦實現這點，就會產生功能強大的AI。把這種AI整合到企業或組織中，並全面了解在地歷史與需求，就可以執行多種職能，包括遊說、銷售、製造、人力招募、規劃等等——亦即公司能做的一切。如此一來，公司只需一小群AI經理負責監督、檢核、實施策略，就能與AI一起領導公司。</p> <p>因此，我們不該被「意識」問題分散太多的注意力，而是應該把整個辯論的焦點重新放在短期能力，以及它們未來幾年將如何演變。十幾年來，模型一直以指數級的速度突飛猛進。這些能力確實已經非常真實，而且進步速度絲毫沒有減緩的跡象。雖然它們已經產生巨大的影響，但隨著我們經歷後續的倍數進展，以及AI獨自完成複雜、多步驟的端到端任務（end-to-end task），那些能力將會相形見絀。</p> <p>我認為這是ACI，也就是AI可以在最少監督下，達成複雜的目標與任務。AI與AGI（超智慧）都是日常討論的一部分，但我們需要一個概念來代表一個中間層——已經通過現代的圖靈測試、但系統尚未出現失控的「超智慧」——我把那個時點稱為ACI。</p> <p>ACI代表AI演化的下一個階段。這個階段的系統不僅可以辨識並生成適合特定情境的新穎圖像、音訊、語言，而且還是互動的，可以與真實的用戶即時運作。它將使用可靠的記憶來增強這些能力，以便在更長的時間範圍內保持一致，並且可以利用其他的資料來源，例如知識資料庫、產品資料庫，或第三方的供應鏈元件資料庫。這種系統將利用這些資源，把一系列的行動串接成長期計劃，以追求複雜、開放式的目標，例如在亞馬遜商場上開店。上述一切都促成工具的使用及真實能力的出現，可以執行多種複雜又實用的任務，這就是真正有能力的人工智慧，亦即ACI。</p> <p>至於有意識的超智慧呢？天曉得那什麼時候會出現。但是可通過某種現代圖靈測試的超強學習系統（亦即ACI）呢？別搞錯了，它們已經在路上，而且已經有雛形了。以後會出現成千上萬個這樣的模型，世界上的多數人都會使用。它們將把我們帶到一種境界：任何人的口袋裡都有ACI，可以幫忙完成、甚至直接完成多種你可以想到的目標，例如規劃、管理假期，設計及建造更有效率的太陽能板，幫忙贏得選舉。我們很難確定，每個人都有能力這樣做時會發生什麼事。</p> <p>至少在某種意義上，AI的未來是很容易預測的。未來五年，會有大量的資源持續投入AI。地球上一些最聰明的人才正努力解決AI的挑戰。頂尖的模型將以無數倍的運算能力做訓練。這一切合起來將會帶來更戲劇性的躍進，包括出現可以想像、推理、規劃、展現常識的AI。過不了多久，AI就可以像人類一樣，把它在一個領域的知識運用到另一個領域。現在AI中顯現的自我反省與自我精進的初步跡象，將變得更明顯。這些ACI系統會融入網路中，與人類所做的一切活動互動，但要建立在一個有深厚知識與能力的平台上。它們的專長將不限於語言，也擅長一系列令人眼花繚亂的任務。</p> <p>AI遠比其他的技術更深入、更強大。風險不在於過度炒作，而在於忽略了這股浪潮的規模。它不止是一個工具或平台，而是一種變革性的後設技術，是技術背後的技術，也是其他一切背後的技術。它本身就是工具與平台的創造者，不單只是一個系統，而是可以生成各式各樣的系統。退後一步，想想十年或一個世紀後會發生什麼事。我們現在確實處於人類歷史的轉捩點。</p> <p>然而，即將到來的浪潮不單只是AI而已。<span style="color:#696969;"><strong>（本文摘錄整理自《控制邊緣》第四章，感電出版提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E6%8E%A7%E5%88%B6%E9%82%8A%E7%B7%A3_600_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%84%9F%E9%9B%BB%E5%87%BA%E7%89%88.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 控制邊緣：未來科技與全球秩序的抉擇（The Coming Wave）</strong></p> <p>穆斯塔法．蘇萊曼、麥可・巴斯卡／著；洪慧芳／譯</p> <p>感電出版</p> <p>定價：650元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%8E%A7%E5%88%B6%E9%82%8A%E7%B7%A3_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%84%9F%E9%9B%BB%E5%87%BA%E7%89%88.jpg" style="width: 250px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_感電出版</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p>穆斯塔法．蘇萊曼（Mustafa Suleyman）</p> <p>現任微軟執行副總裁兼新部門「Microsoft AI」執行長，DeepMind共同創辦人。</p> <p>十九歲那年，蘇萊曼放棄大學學業，協助創立穆斯林青年熱線，為倫敦的穆斯林社區提供一項創新的心理健康支持服務。這份對於運用科技改變社會的熱情，成為他日後創業旅程的先聲。</p> <p>2022年，蘇萊曼與LinkedIn共同創辦人霍夫曼（Reid Hoffman）共同創立Inflection AI。他領導下的團隊推出個人AI「Pi」，這項技術不僅以其世界級的個性和同理心吸引數百萬用戶，也開創生產力應用的新範疇。</p> <p>《時代》雜誌將蘇萊曼評為全球AI百大影響力人物之一，證明他在推動AI發展與倫理討論上的重要地位。</p> </div></div></div>
2024/6/3 22:16未署名https://www.ithome.com.tw/article/163284
AMD發表第3代Ryzen AI筆電處理器，NPU效能達50TOPS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周二即將舉行（6/4-6/7）的臺北Computex電腦展，AMD執行長Lisa在今天（6/3）Computex開幕演說中揭露AMD的AI平臺策略，並發表第3代的Ryzen AI筆電處理器，其中NPU效能最高可至50TOPS，強調為目前全球最好的Copilot+PC處理器。</p> <p>Lisa首先表示，AMD AI平臺策略有三項優先目標，首先是，針對AI訓練及推論提供廣泛的運算產品，包括CPU、GPU、NPU等；其次是，建構開放、經驗證的軟體能力，對開發者友善，讓AI框架、函式庫、模型能夠在AMD的硬體上被運用；第三是，與雲端、OEM、AI業者共同建立合作生態系。</p> <p>她揭露最新的Zen 5 CPU Core及XDNA 2 NPU Core。其中Zen 5架構未來會用於超級電腦、資料中心及PC等產品，新的架構特色，採用平行的管線設計，以改善分支預測的精準度及延遲，為每個時脈帶來更多的效能，此外，為改善效能，AMD也為Zen 5架構提供更寬的CPU引擎及指令窗口，相較於先前的Zen 4架構，指令頻寬提高2倍，並且，Cache和浮點運算單元間也提高2倍的資料頻寬。</p> <p>根據AMD公布的資料，採用Zen 5架構的Ryzen 9000系列處理器，相較於Zen4架構，平均約提升16%的IPC應用效能。</p> <p>在AI PC方面，Lisa表示，AI PC讓許多過去做不到的事得以實現，例如即時翻譯，創造內容的生成式AI，或是更智慧化的個人助理，這些需要更高效能的硬體產品，去年AMD推出第1代的Ryzen AI產品，在今年的Computex中發表第3代Ryzen AI處理器，代號為Strix Point，產品名稱為Ryzen AI 300系列。強調為目前全球Copilot+PC最好的處理器。</p> <p>Strix Point整合Zen 5架構CPU、RDNA 3.5 GPU，以及新的DNA 2 NPU，其中CPU最高可達12個核心、24個執行緒，GPU最多具備16個運算元，至於AI體驗相關的NPU，相較於前一代，採用XDNA 2的NPU具有32個AI晶磚（Tile），並且提升2倍的能源效率。</p> <p>Strix Point的NPU效能最高達到50TOPS，「可以較低的能耗帶來新的AI體驗」，Lisa說。</p> <p>AMD強調Strix Point為目前最好的Copilot+PC處理器，該公司以其他處理器的NPU作比較（以INT 8作標準），高通Snapdragon X Elite的NPU效能為45TOPS，英特爾的Lunar Lake預期為40到45TOPS，蘋果M4為38TOPS，第3代的AMD Ryzen AI則為50TOPS。</p> <p>另外，在資料類型（Datatype）上，開發者通常面臨兩難，採用INT8雖然有較好的效能，但必需犧牲精準度，FP16雖然有較高的精準度，但犧牲效能。而AMD宣稱XDNA 2所支援的Block FP16，得以兼顧FP16的精準度及INT8的效能。</p> <p>在幾周前舉行的微軟Build大會，微軟迎合AI PC趨勢發表Copilot+PC，雖然首波Copilot+PC產品採用高通Snapdragon X平臺與微軟NPU，但微軟也預告Copilot+PC將擴大至X86處理器合作，包括AMD與Intel。</p> <p>在今年演說中，AMD正式發表Ryzen AI 300系列（Strix Point），也宣布和微軟在Copilot+PC的深度合作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/rux%201.jpg" style="width: 600px; height: 261px;" /></p> <p>微軟Windows及裝置副總裁Pavan Davuluri受邀上臺，他表示，Copilot PC電腦具有強大效能，最佳的電池使用時間，並且在這些機器上，App可以運作良好，他提到，Copilot+PC內建的AI功能，為了提供良好的使用體驗，因此需要強大的硬體效能，因此Copilot+PC需要超過40TOPS的NPU，並且能分攤CPU、GPU的工作負載，內建至少16GB RAM及256GB的SSD。</p> <p>AMD計劃與HP、Lenovo、華碩、宏碁等PC業者合作，其中宏碁已宣布旗下Swift系列筆電將於第3季開始，搭載AMD Ryzen AI 300系列筆電處理器，並強調新款機型將可免費更新，獲得Copilot+ PC使用體驗。</p> </div></div></div>
2024/6/3 19:33作者蘇文彬https://www.ithome.com.tw/news/163283
【資安日報】6月3日，美國證實Linux核心的網路元件Netfilter高風險漏洞已被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全暨基礎設施安全局（CISA）上週發布資安公告，表示他們增列2個漏洞至已遭利用的漏洞目錄（KEV），這兩項漏洞分別是：Check Point安全閘道漏洞CVE-2024-24919、Linux核心元件漏洞CVE-2024-1086。</p> <p>其中，CVE-2024-24919已有資安業者透露相關細節，但今年1月公布的CVE-2024-1086，目前尚未有研究人員或資安機構公布相關攻擊行動細節，後續的發展有待觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163272"><strong style="font-size: 22px;">CISA警告Linux網路元件Netfilter漏洞出現攻擊行動，要求聯邦機構3週內完成修補</strong></a></p> <p>5月30日美國網路安全暨基礎設施安全局（CISA）發布資安公告，他們在已遭利用的漏洞目錄（KEV）當中新增兩個漏洞，分別是Check Point近期修補的安全閘道設備資訊洩露漏洞CVE-2024-24919，以及Linux核心元件記憶體釋放後再重新利用（Use After Free）的漏洞CVE-2024-1086，CVSS風險評分為8.6、7.8。CISA要求所有的聯邦機構，必須在6月20前完成修補。</p> <p>其中，較為引起關注的漏洞，是今年1月Linux基金會修補的CVE-2024-1086，這項漏洞存在於Linux核心5.14至6.6.14版，攻擊者假如能夠趁機取得一般使用者權限，再觸發漏洞，就有機會取得root權限。</p> <p>雖然CISA並未公布這項漏洞遭到利用的情形，也沒有透露攻擊者如何進行漏洞利用，但有鑑於Debian、Ubuntu、Red Hat、Fedora等版本的Linux作業系統都會受到影響，用戶後應儘速套用Linux供應商提供的新版軟體因應。</p> <p><a href="https://www.ithome.com.tw/news/163261"><strong style="font-size: 22px;">Hugging Face證實機器學習模型平臺被駭，緊急呼籲用戶重設憑證</strong></a></p> <p>5月31日Hugging Face安全團隊發出警告，他們偵測到機器學習應用代管平臺Spaces上，與金鑰或令牌等相關的機密內容有未經授權的存取活動，部分機密資訊疑似已經遭竊。該公司已經註銷了多筆包含其中的HF令牌，並發出電子郵件通知受影響的用戶。</p> <p>為安全起見，Hugging Face建議所有用戶重設所有金鑰或令牌，並考慮將HF令牌改成可細部設定的存取令牌，目前Hugging Face已經將後者設為新的預設驗證方式。</p> <p><a href="https://www.ithome.com.tw/news/163178"><strong style="font-size: 22px;">研究人員揭露駭客利用雲端儲存服務作為中介，進行簡訊釣魚攻擊</strong></a></p> <p>通信與網路資訊安全服務廠商Enea的研究人員指出，近期出現一系列利用公有雲儲存服務作為中介、嵌入網址並自動跳轉的簡訊釣魚攻擊。包括AWS S3、Google Cloud Storage、IBM Cloud Storage、Blackblaze B2等公有雲物件儲存服務，都可被用於這類攻擊，由於攻擊使用的網址，是嵌入在這些具備良好公信力的公有雲服務網址內，因而難以透過一般的防火牆偵測與阻擋。</p> <p>研究人員觀察到，利用這種攻擊手法的攻擊者，不僅使用了Google Cloud Storage，還使用了AWS、IBM Cloud與Blackblaze B2等公有雲物件儲存服務，並使用類似的自動Refresh方式，將用戶重新導向到釣魚網站。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.threatdown.com/blog/threat-actors-ride-the-hype-for-newly-released-arc-browser/"><strong style="font-size: 20px;">駭客上架惡意Google廣告，鎖定新興瀏覽器Arc的Windows版用戶散布竊資軟體</strong></a></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/cencora-data-breach-exposes-us-patient-info-from-11-drug-companies/"><strong style="font-size: 20px;">今年2月藥品採購及分銷業者Cencora遭到網路攻擊，11家製藥廠證實資料外洩</strong></a></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/sav-rx-discloses-data-breach-impacting-28-million-americans/"><strong style="font-size: 20px;">處方藥管理服務業者Sav-Rx證實去年10月遭遇資安事故，逾280萬人資料恐外流</strong></a></p> <p>◆<a href="https://centromedsa.com/wp-content/uploads/2024/05/CentroMed-HIPAA-Substitute-Website-Notice-5.17.24-ENGLISH.pdf"><strong style="font-size: 20px;">醫療保健服務供應商CentroMed證實資料外洩，40萬病人受到波及</strong></a></p> <p>◆<a href="https://www.securityweek.com/55000-impacted-by-cyberattack-on-california-school-association/"><strong style="font-size: 20px;">針對去年9月遭遇勒索軟體攻擊，加州學校管理員協會ACSA證實約5.5萬人資料外洩</strong></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163267"><strong style="font-size: 22px;">卡巴斯基釋出免費的KVRT for Linux病毒掃描及清除工具</strong></a></p> <p>資安業者卡巴斯基上周釋出了供Linux平臺使用的惡意程式掃描暨清除工具Kaspersky Virus Removal Tool for Linux（KVRT for Linux），可用來掃描執行Linux作業系統的電腦，以偵測並清除已知的惡意程式、廣告程式，或者是可用來執行攻擊的合法程式。它支援x86_64架構的64位元作業系統，掃描的對象包括系統記憶體、啟動物件、啟動扇區，以及作業系統中的所有格式的檔案，包括壓縮檔在內，以偵測已知的惡意軟體。</p> <p>對於促使他們提供這類工具的動機，該公司指出，由於企業很少投入資源來保護執行Linux的機器，但最近一系列的XZ Utils、DinodasRAT及Free Download Manager等資安事件都與Linux有關，促使該公司開發相關解解決方案。</p> <p><a href="https://www.ithome.com.tw/news/162856"><strong style="font-size: 22px;">ZDI零日漏洞懸賞計畫負責人剖析垂直產業零時差漏洞管理四類型，更提出GenAI對未來漏洞揭露的影響</strong></a></p> <p>在臺灣資安大會首日主題演講中，趨勢科技威脅研究副總Brian Gorenc提出對於生成式AI未來如何影響漏洞揭露的觀察。由於這兩年，生成式AI快速竄紅，駭客可能利用生成式AI或LLM來加快新漏洞的建立，未來也可能影響漏洞揭露的流程。對此他提醒，企業必須及早開始準備制定因應對策。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162962"><strong style="font-size: 22px;">微軟預告Azure將於7月強制啟動多因素驗證</strong></a></p> <p>微軟宣布，今年7月將強制Azure用戶啟用多因素驗證（MFA），提供多一層安全防護。微軟會先從Azure入口網站開始要求使用MFA，之後漸次推廣到CLI、PowerShell及Terraform。</p> <p>該公司將透過正式電子郵件和通知預先告知。最早強制啟用MFA的Azure portal，必要時也可能多給一些時間準備，但微軟仍呼籲管理員及用戶及早行動，透過MFA精靈的協助啟用這種防護措施。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163231"><strong>【5月31日】歐洲刑警組織與十多個國家執法單位聯手，掃蕩數個用於散布惡意程式的殭屍網路</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163201"><strong>【5月30日】鎖定Check Point VPN的攻擊行動出現新的發展，兩家資安業者透露對方利用零時差漏洞挖掘AD帳密資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163184"><strong>【5月29日】精品拍賣業者佳士得遭到勒索軟體駭客組織RansomHub攻擊，50萬筆客戶個資可能外流</strong></a></p> </div></div></div>
2024/6/3 17:28作者周峻佑https://www.ithome.com.tw/news/163276
CISA警告Linux網路元件Netfilter漏洞出現攻擊行動，要求聯邦機構3週內完成修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月30日美國網路安全暨基礎設施安全局（CISA）發布資安公告，<a href="https://www.cisa.gov/news-events/alerts/2024/05/30/cisa-adds-two-known-exploited-vulnerabilities-catalog">他們在已遭利用的漏洞漏洞目錄（KEV）當中新增兩個漏洞</a>，分別是<a href="https://www.ithome.com.tw/news/163197">Check Point近期修補的安全閘道設備資訊洩露漏洞CVE-2024-24919</a>，以及Linux核心元件記憶體釋放後再重新利用（Use After Free）的漏洞CVE-2024-1086，CVSS風險評分為8.6、7.8。CISA要求所有的聯邦機構，必須在6月20前完成修補。</p> <p>其中，較為引起關注的漏洞，是今年1月Linux基金會修補的CVE-2024-1086，這項漏洞存在於Linux核心5.14至6.6.14版，攻擊者假如能夠趁機取得一般使用者權限，再觸發漏洞，就有機會取得root權限。</p> <p>而這項漏洞發生的原因，在於Linux核心的netfilter元件裡，處理網路封包、資料封包的nftables出現記憶體雙重釋放（double-free）的弱點，有可能導致當機，或是讓攻擊者執行任意程式碼，研究人員Notselwyn在4月初公布細節及概念性驗證程式碼（PoC），並將其命名為「Flipping Pages」，當時，尚未發現這項漏洞遭到利用的跡象。</p> <p>雖然CISA並未公布這項漏洞遭到利用的情形，也沒有透露攻擊者如何進行漏洞利用，但有鑑於Debian、Ubuntu、Red Hat、Fedora等版本的Linux作業系統都會受到影響，用戶後應儘速套用Linux供應商提供的新版軟體因應。</p> </div></div></div>
2024/6/3 16:32作者周峻佑https://www.ithome.com.tw/news/163272
JavaScript執行環境Deno新增私有NPM註冊表支援、強化Node.js相容性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Deno在1.44新版本中加入許多新功能，包括對私有NPM註冊表的支援，並且還新加入gRPC連接功能，使其能夠與相容服務進行高效通訊。另外，<a href="https://deno.com/blog/v1.44#support-for-private-npm-registries">Deno 1.44</a>進一步改進了對Node.js的相容性，還重新啟用V8指標壓縮，顯著提高運作效能。</p> <p>在最新Deno版本中，官方加入了私有註冊表的支援，過去用戶只能仰賴公開NPM註冊表，但是這可能導致組織在無意間，將內部的敏感資訊和專案暴露到公開平臺上。由於不少大型組織都會自建私有NPM註冊表來管理內部套件，現在Deno 1.44也可以透過.npmrc檔案進行配置，從私有註冊表中抓取套件。</p> <p>Deno 1.44開始支援gRPC，gRPC是一個高效且開源的通用RPC（Remote Procedure Call）框架，由Google開發，目前是CNCF的孵化器專案，目的在不同服務之間提供低延遲高效通訊。Deno 1.44所提供的gRPC支援，使開發者有能力建置即時、互動式應用程式，並能將Deno應用程式連接至任何支援gRPC協定的服務。</p> <p>這個Deno新版本對於Node.js支援進入另一個重要里程碑。官方指出，目前已經可以在Deno上執行Next.js。雖然開發者需要先啟用實驗性功能屬性，才能使用這項新功能，但是該項成果展示了Deno在支援NPM套件的進展。Next.js是一個仰賴多個NPM套件的框架，也就是說，Deno要能運作Next.js，代表Deno在支援NPM套件上已經達到一定程度。</p> <p>Deno 1.44加入多項效能改進，使其能夠更有效率地使用記憶體，官方預計許多專案的記憶體使用量將減少5％至30％。Deno重新啟用了V8指標（Pointer）壓縮功能，使得V8可以更高效地儲存指標，以大幅減少記憶體使用量，這對於具有大量物件的場景來說特別有用，而這項更新改進了Deno在高負載應用中的表現，使其也可成為開發高效應用程式的選擇之一。</p> <p>開發團隊透過多項最佳化功能，明顯提升Deno載入模組的速度，包括平行化任務處理能力、精簡不必要的目錄查詢，並且加快後設資料檔案的下載，這些改進都使得模組載入效率大幅提升。開發團隊指出，這些變更使大量使用動態匯入的專案，其啟動速度為過去的2到3倍。</p> </div></div></div>
2024/6/3 17:02作者李建興https://www.ithome.com.tw/news/163270
Chrome將於今年6月開始移除對Manifest V2擴充程式的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.chromium.org/2024/05/manifest-v2-phase-out-begins.html" target="_blank">Google上周宣布</a>，自今年6月3日起，Chrome Beta、Dev 和 Canary 頻道的用戶若安裝了Manifest V2擴充程式便會收到警告，之後Google會在未來幾個月停用這些擴充程式，並將使用者引導至Chrome Web Store以安裝Manifest V3的替代方案。</p> <p>Manifest為一JSON文件，主要用來描述瀏覽器擴充程式的結構與行為，Google從2022年就開始計畫淘汰Manifest V2，並<a href="https://www.ithome.com.tw/news/153350" target="_blank">升級至Manifest V3</a>，不過，Google於Manifest V3中變更了廣告攔截及隱私等擴充程式用來封鎖與變更網路連結的WebRequest API ，遭到外界批評是用來造福自家的網路廣告，而讓Manifest V3的部署一延再延。</p> <p>在與開發者的溝通之後，Manifest V3大幅提高了declarativeNetRequest的規則數量，允許擴充程式包含33萬條靜態規則及動態增加3萬條規則，以滿足需要處理大量網路請求與過濾規則的廣告攔截/隱私程式；亦允許擴充程式自背景脈絡使用DOM API，以更靈活及有效率地操作網頁內容；對於僅變更NetRequest靜態規則的擴充程式安全更新，Chrome將會在幾分鐘就批准；也將支援開發者回滾所更新的版本。</p> <p>Google強調，Manifest V3的目標是保護現有功能，同時提高整個擴充程式生態體系的安全、隱私、性能及可信度，在去年解決了阻礙遷移的首要問題與功能差距之後，成功遷移到Manifest V3的速度變快了，現在Chrome Web Store上那些積極維護的擴充程式中，有超過85%都採用Manifest V3，而且不管是AdBlock、Adblock Plus、uBlock Origin或AdGuard等知名的廣告攔截工具，也都具備Manifest V3選項。</p> <p>這也使得Google決定著手淘汰Manifest V2。因此，自6月3日起，舉凡是Chrome Beta、Dev 與Canary頻道的用戶，如果安裝了Manifest V2擴充程式，在造訪其擴充程式管理頁面時，便會開始看到警告，通知他們所安裝的某些（Manifest V2）擴充程式很快就會失去支援。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0603-Chrome%20Extensions-Manifest%20V3-4-600.png" style="width: 486px;" /></p> <p>接著Google會在未來幾個月逐步禁用這些擴充程式，並將使用者導至Chrome Web Store以推薦相對應、但基於Manifest V3的擴充程式，在禁用之初，使用者或許還可以重新啟用這些Manifest V2擴充程式，但一段時間之後便無法再使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0603-Chrome%20Extensions-Manifest%20V3-3-600.png" style="width: 600px;" /></p> <p>不過，此一遷移並不會在一夕之間完成，估計要到明年初才會完全部署於Chrome穩定版上，此外，採用ExtensionManifestV2Availability政策的大型企業，在明年6月之前都不會受到影響。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/6/3 14:30作者陳曉莉https://www.ithome.com.tw/news/163266
卡巴斯基釋出免費的KVRT for Linux病毒掃描/清除工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者卡巴斯基上周<a href="https://www.kaspersky.com/blog/kvrt-for-linux/51375/" target="_blank">釋出了</a>供Linux平臺使用的惡意程式掃描暨清除工具Kaspersky Virus Removal Tool for Linux（KVRT for Linux），<a href="https://support.kaspersky.com/help/kvrt/2024/en-us/269440.htm" target="_blank">已確定可於</a>CentOS、Debian、openSUSE Leap、Oracle Linux、Red Hat Enterprise Linux及Ubuntu等十多種版本上執行，但也可能適用於其它的Linux版本。</p> <p>KVRT for Linux為一免費程式，可用來掃描執行Linux作業系統的電腦，以偵測並清除已知的惡意程式、廣告程式，或者是可用來執行攻擊的合法程式。它支援x86_64架構的64位元作業系統，掃描的對象包括系統記憶體、啟動物件、啟動扇區，以及作業系統中的所有格式的檔案，包括壓縮檔在內，以偵測已知的惡意軟體。</p> <p>由於KVRT for Linux是個可攜程式，因而不必安裝，但在使用前必須授予執行許可，為了確保它能存取重要區域並移除惡意程式，卡巴斯基建議使用者以最高權限執行它，若是以一般用戶帳戶執行，功能可能會受限。</p> <p>值得注意的是，KVRT for Linux無法用來監控對電腦或伺服器的即時攻擊行動；也沒有自動化的防毒資料庫更新，必須手動更新；儘管使用者可透過圖形介面或命令列執行KVRT for Linux，但也只能在需要時手動執行，無法設定掃描時程。</p> <p>卡巴斯基表示，企業很少投入資源來保護執行Linux的機器，但最近一系列的<a href="https://www.ithome.com.tw/news/162130" target="_blank">XZ Utils</a>、<a href="https://www.ithome.com.tw/news/162031" target="_blank">DinodasRAT</a>及Free Download Manager等資安事件都與Linux有關，促使該公司釋出KVRT for Linux。</p> <p>先前卡巴斯基僅提供<a href="https://www.kaspersky.com/downloads/free-virus-removal-tool" target="_blank">KVRT for Windows</a>，同樣是不需要安裝的可攜版。</p> </div></div></div>
2024/6/3 15:07作者陳曉莉https://www.ithome.com.tw/news/163267