iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 7篇
近 24 小時: 33篇
近 7 天: 133篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 09:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 131 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

蘋果替旗下作業系統導入Apple Intelligence智慧功能，將整合ChatGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在本周舉行的WWDC開發者大會上發表了Apple Intelligence，這是蘋果的AI服務，將同時進駐<a href="https://www.apple.com/newsroom/2024/06/macos-sequoia-takes-productivity-and-intelligence-on-mac-to-new-heights/" target="_blank">macOS Sequoia</a>、<a href="https://www.apple.com/newsroom/2024/06/ios-18-makes-iphone-more-personal-capable-and-intelligent-than-ever/" target="_blank">iOS 18</a>與<a href="https://www.apple.com/newsroom/2024/06/ipados-18-introduces-powerful-intelligence-features-and-apps-for-apple-pencil/" target="_blank">iPadOS 18</a>等蘋果作業系統，同一天蘋果也<a href="https://openai.com/index/openai-and-apple-announce-partnership/" target="_blank">宣布與OpenAI合作</a>，將在Siri與Writing Tools中整合基於GPT-4o的ChatGPT。</p> <p>同時在三大作業系統現身的Apple Intelligence提供多項AI功能，包括寫作工具Writing Tools、圖像創作工具Image Playground、可客製化表情符號的Genmoji、以及強化的Siri，當中的Writing Tools與Siri更直接整合了ChatGPT。</p> <p>Writing Tools允許使用者在郵件、備忘錄、Pages或第三方的程式中改寫、校對或摘要文本。其中的Rewrite來讓使用者選擇所撰寫的不同版本，可指定適合不同場合的文字風格，包括求職或派對邀請函；Proofread則能用來檢查文法、選擇詞彙或句子的結構，並提供修改建議；Summarize則在選擇文字後會自動形成容易理解的段落與重點摘要。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0611-WWDC%202024-Apple-Apple%20Intelligence-iPadOS-18-Writing-Tools-600.jpg" style="width: 600px;" /></p> <p>整合了ChatGPT的Writing Tools可協助使用者撰寫各種風格的文字，還能透過Compose功能來存取ChatGPT的圖像工具，以於文字中嵌入圖像。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0611-WWDC%202024-Apple-Apple%20Intelligence-ChatGPT%20(%EF%BC%93)-600(1).jpg" style="width: 590px;" /></p> <p>蘋果將Image Playground內建在訊息、Keynote、Pages等程式中，也支援採用Image Playground API的第三方程式，允許使用者於幾秒內以文字描述、所挑選的主題、服裝、配件、地點或個人來創作圖像，並選擇以動畫、插圖或素描的方式呈現。Genmoji則是允許使用者以文字描述來客製化表情符號。Apple Intelligence亦改善了照片/影片搜尋功能，能以自然語言搜尋特定照片，例如「臉上貼著貼紙的Katie」，或是找到影片中的特定段落。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0611-WWDC%202024-Apple-Apple%20Intelligence-iPadOS-18-Image-Playground-600.png" style="width: 600px;" /></p> <p>至於一直遭到詬病的Siri現在可回答數千個如何操作iPhone、iPad與Mac的問題，使用者也能直接命令它將朋友透過訊息傳來的地址加到該名友人的名片中，或是要求Siri將周六烤肉的所有照片傳送給Mary，要求Siri播放Jamie推薦的Podcast，或是詢問它親友的航班何時降落。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0611-Apple-WWDC24-macOS-Sequoia-Siri-update-600.jpg" style="width: 308px;" /></p> <p>當Siri無法回答時，它則會詢問使用者是否要向ChatGPT尋求答案，在使用者同意後即會仰賴ChatGPT技術，再由Siri負責回答。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0611-WWDC%202024-Apple-Apple%20Intelligence-ChatGPT%20(1)-600.png" style="width: 600px;" /></p> <p>蘋果強調，蘋果用戶不需建立OpenAI帳戶即可免費使用ChatGPT，且使用相關服務時將隱藏使用者的IP位址，OpenAI亦不會記錄使用者的指令，至於付費的ChatGPT訂閱用戶亦可連結至他們的帳戶，並於蘋果服務中直接使用付費功能。</p> <p>除了Apple Intelligence之外，macOS Sequoia、iOS 18與iPadOS 18都將內建獨立的Passwords程式，這是一款基於鑰匙圈技術的全新程式，讓使用者取得密碼、通行密碼、Wi-Fi密碼和雙重認證碼，也會針對常見的密碼弱點向使用者提出警告。蘋果表示，Passwords不僅可搭配Safari瀏覽器，也能與使用者的各種蘋果裝置，以及安裝iCloud程式的Windows裝置同步。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0611-WWDC%202024-Apple-iPadOS%2018-Passwords%20App-600.png" style="width: 600px;" /></p> <p>macOS Sequoia、iOS 18與iPadOS 18的開發者測試版即日釋出，公開測試版可望於下個月出爐，至於正式版則會在今年秋天問世，屆時也會一併推出Apple Intelligence測試版。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2024/6/11 11:08作者陳曉莉https://www.ithome.com.tw/news/163387
馬斯克揚言蘋果OS若整合ChatGPT，旗下公司將禁用蘋果裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>周二蘋果在年度技術大會WWDC宣布，自有應用程式將整合OpenAI的ChatGPT及GPT4o模型，科技大亨馬斯克（Elon Musk）則以安全為由，揚言旗下所有公司將禁用蘋果品牌裝置。</p> <p><a href="https://x.com/elonmusk/status/1800265431078551973" target="_blank">馬斯克透過社群平臺X說</a>，如果蘋果將OpenAI技術整合到OS層，他所有公司將禁用蘋果裝置，因這是令人無法接受、侵害安全的事。馬斯克擁有的公司包括X、xAI、特斯拉、SpaceX、開發腦機介面的NeuraLink、以及發展地下隧道交通系統的The Boring Company等。</p> <p class="rtecenter"><a href="https://x.com/elonmusk/status/1800265431078551973" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0611-Elon%20musk.png" style="width: 597px;" /></a></p> <p>馬斯克發文是回應周二WWDC上<a href="https://openai.com/index/openai-and-apple-announce-partnership/" target="_blank">蘋果與OpenAI的合作</a>。在兩公司的合作下，ChatGPT將整合到預定今年秋天釋出的iOS 18、iPadOS 18及macOS Sequoia中。屆時，訂閱ChatGPT付費版服務的iPhone、iPad及Mac電腦用戶，可直接透過Siri使用GPT-4o模型為基礎的ChatGPT，像是詢問ChatGPT問題或上傳PDF文件請她簡述內容等。</p> <p>馬斯克原本是OpenAI的主要贊助者，並曾和現任執行長Sam Altman共同擔任公司聯合主席。他於2018年離開OpenAI董事會，理由是減少OpenAI和也想發展AI的特斯拉之間的利益衝突。但雙方後來交惡。馬斯克今年3月<a href="https://www.ithome.com.tw/news/161593" target="_blank">控告OpenAI</a>違反「創立時的初衷」，包括開源開發成果及造福人類。不過OpenAI稱馬斯克當初是因無法控制OpenAI才負氣離開，現在的行為則起於由愛生恨。</p> <p>馬斯克控訴的ChatGPT安全問題，可能是基於這個聊天機器人會蒐集用戶輸入的資訊，包括用戶不慎輸入的公司機密文件或研發資訊，但ChatGPT付費版中的Teams和Enterprise版本，OpenAI稱不會蒐集用戶輸入的資訊，Plus版則需用戶主動變更為不允許蒐集資訊。</p> <p>馬斯克離開OpenAI後創立的XAI公司，已開發了LLM模型及聊天機器人Grok，<a href="https://www.ithome.com.tw/news/161716" target="_blank">並在今年三月開源</a>。</p> </div></div></div>
2024/6/11 09:32作者林妍溱https://www.ithome.com.tw/news/163384
【2024臺灣資安年鑑｜資安十年特輯】用臺灣人才、資金和產品，找出可複製的新創成功模式
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_shi_nian_-cai_song_ting_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去十年，臺灣資安業界發生的事情很多，TeamT5杜浦數位安全創辦人兼執行長蔡松廷表示，最重要的關鍵有兩件事情。</p> <p>首先，就是蔡英文總統於2016年就任以來，率先制定「資安即國安」的政府資安核心戰略方針。</p> <p>臺灣面對嚴峻的資安環境，各種網路攻擊沒有減少、網路環境更沒有變得更安全，甚至因為臺灣是中國網軍長期鎖定攻擊的對象，這也讓臺灣整體的網路環境所面臨到的資安威脅，比起其他國家更為嚴重。</p> <p>他說，這個「資安即國安」戰略帶出來的結果，是政府資源的投入，以及各界的重視，像是經濟部工業局到數發部資安署及數位產業署成立等，投入資安能量變大，讓做產業的能量也變大；另外，這個戰略同時影響臺灣產業對資安的態度，包括民間企業、CI（關鍵基礎設施）對資安的重視大於以往，產業的需求也對資安產業帶來直接影響。</p> <p>蔡松廷也不諱言，「資安即國安」已經是臺灣推動資安發展的重要里程碑，因為臺灣遭受中國強大網路攻擊，最早可以追溯到二十多年前，只不過，當時不論政府、企業甚至是資安產業等，對中國網軍攻擊的反應都很有限；而真正開始有資安資源的投入，嚴格來說，是近十年、近八年的事情，尤其是「資安即國安」資安戰略政策推出後，「有人推著走，進展會比較快。」他說。</p> <p>其次，就是各種法規對資安的要求，都會是滋養臺灣資安產業環境的土壤，也是推動臺灣產業資安的基礎，從資通安全管理法到相關細則的實施，以及金管會對於上市櫃公司各種資安要求都包含在內。「內在資安戰略政策，驅動外在產業資安的需求。」他說。</p> <p>在網路威脅多元化，迫使企業必須正視資安風險議題，加上政府支持以及政策作多的鼓勵下，過去十年來，也有不少臺灣資安新創公司在這片土地扎根、茁壯，以威脅情資研究分析立足臺灣、揚名世界的TeamT5（杜浦數位安全）也是其中一家資安新創業者。</p> <p>蔡松廷坦言，在臺灣做資安新創是一條辛苦的路，在資安短缺、人才不足、臺灣市場規模太小、海外市場拓展困難，以及缺乏導師引領的種種挑戰中，他希望所創立的公司可以用臺灣自己的資金和人才，創造出可以被複製的資安新創成功模式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E8%94%A1%E6%9D%BE%E5%BB%B7600-1-JPG.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><span style="font-size: 28px;"><strong>臺灣資安市場規模太小，不利資安新創公司發展</strong></span></p> <p>臺灣四面環海、是一個小島，蔡松廷認為，臺灣資安產業還沒有真正蓬勃發展的原因，跟市場的規模不夠大，有著直接關係。</p> <p>這些年來，雖然比以前增加很多資源、也多了很多資安預算及重視，但整體而言，對於拓展產業規模的效果還是有限的。畢竟，很多人重視資安，但仍局限在某些特定的產業別，他認為，嚴格來說，真正重視資安的還是少數，還沒有做到普遍重視資安。</p> <p>也因為臺灣資安市場規模不夠大，假設資安業者推出很成功的資安產品，但臺灣市場的回報相對有限，如果是在市場規模比較大的國家，例如美國甚至中國等，情況就不一樣了，「你同樣做一件成功的事情，但美國市場可以獲得的投資報酬率高，比起臺灣是十數倍的回收效果。」他說，這些市場的回報，就是能否繼續支持這家資安業者繼續發展的重要原因。</p> <p>臺灣以往最成功的例子就是趨勢科技，蔡松廷表示，趨勢科技因為很早就鎖定到日本市場發展，這是一個願意為軟體付費的國家，多年下來，趨勢科技在日本市場也有很深的耕耘。</p> <p>現在雖然有資安服務型業者，例如中華資安公司和安碁資訊等，都預計或已經在臺灣上市櫃的計畫，也希望藉此爭取市場上更多的資源，但蔡松廷認為，事實上，以臺灣目前的市場規模，想要再孕育出另外一家跟趨勢科技規模一樣大的資安公司，難度是非常高的。</p> <p>畢竟，他坦言，對臺灣資安業者而言，產業規模如果要做大，一定得進入其他海外市場；當然，如果是進入美國市場，不論從募資到上市，早就有一套完善的流程可以參考和複製，只是臺灣目前還做不到。</p> <p><span style="font-size: 28px;"><strong>臺灣資安新創公司還沒有出現可被複製的成功模式</strong></span></p> <p>「當初想要創業的初心其實很簡單，就是覺得資安好玩、對於可以把有熱情的興趣專長，轉換成可以賺錢、可以賴以維生的工作有興趣。」蔡松廷表示，原本只是玩資安技術，但後來越來越投入，資安就變成事業了。</p> <p>當興趣變成事業之後，很多事情和想法就有所轉變，他認為，創業和玩技術不一樣，創業要能夠成功，技術只是其中的一環，必須還有很多其他不同因素交互作用。</p> <p>關於自家公司技術、威脅研究、技術開發等層面的水準，蔡松廷都有足夠的信心，不論對於亞太地區的威脅了解、追蹤技術的方法和經驗，或者是資安事件處理經驗和能力，以及如何對抗APT攻擊者等，在他們與很多國外業者的交流過程中，已經得到印證。而這也是蔡松廷最自豪的部分，擁有世界一流的研究和技術，是支持蔡松廷繼續走下去的動力。</p> <p>他認為，臺灣資安新創的未來還是要走出臺灣才行，不然在臺灣可以獲得的資源實在很有限，除非像TXOne（睿控網安）從母公司趨勢科技及創投拿到足夠的資源，第一時間就衝向國際市場，然而，像是趨勢科技或是TXOne的創業過程，其實都難以被複製。</p> <p>的確！在這個時代，臺灣資安廠商的發展，還沒有一個成功模式可以參考複製，大家都還在努力摸索，試圖找出從臺灣出發的資安創業成功模式，現在檯面上資安新創公司各擅勝場，創業很好玩但也很辛苦，但他最煩惱的事情是，沒有人可以指導、分享經驗，告訴他接下來資安創業該怎麼走才是對的路。</p> <p>他進一步解釋，像是以色列的公司，只要做對一個技術或產品後，這家新創公司的未來發展，從募資、擴張、IPO、與美國市場直接連動、產品行銷等，各種人才都齊備，更有很多的成功模式和典範，提供新創業者獲得相關資源並學習，這樣就可以讓新創業者少走很多冤枉路。</p> <p>他認為，臺灣資安公司成功模式還沒有建立，目前看起來很成功的一兩家公司，也不是所有人可以模仿複製的，還需要一點時間去塑造。</p> <p><span style="font-size: 28px;"><strong>可以幫客戶解決問題的技術才有價值</strong></span></p> <p>從創業多年的經驗來看，蔡松廷認為臺灣有很多技術高手，卻極度缺乏「怎麼轉變知識和技術變成有價值的東西」的人，背後彰顯的問題就是，許多做技術的人，並不是真正知道「這個技術要解決什麼問題」。他說：「懂得怎麼解決甚麼樣的問題，技術才會有價值。」</p> <p>因為現在的產業環境，有太多製造問題的人，但最終要知道怎麼解決問題，才可以彰顯技術帶來的價值，這也是現在許多資安人缺乏的能力。「資安人必須要轉換思考層面，從了解技術怎麼帶給客戶價值、可以替客戶解決問題的技術才有價值。」他說。</p> <p>舉例而言，資安人員要懂得勒索軟體、加密入侵技術、比特幣……等，如果可以找出客戶願意付錢、請你用懂得的技術，幫忙企業解決防勒索軟體的問題，這就是技術的價值，更是一個好的創業題目。</p> <p>當然，要發揮技術的價值，不只需要具備足夠的知識，也要花時間了解客戶，但是，客戶是政府部門或民間企業，各自面對的問題並不一樣。只有鎖定正確的客戶標的、能夠深入淺出了解需求後，才能根據對資安的了解，選擇適合客戶的技術，設計的產品客戶才願意買單。</p> <p>只不過，蔡松廷也發現，臺灣很多資安人才在解決客戶的問題上，落後外商很多，這也是很多臺灣客戶為什麼喜歡買外商產品的原因。很多人都在問，臺灣資安業者怎麼跟外商競爭？</p> <p>他說，「只要可以讓客戶覺得，臺灣的產品『比較適合』客戶使用，就會願意下單。」所謂的適合，除了預算，還包括服務、適合臺灣環境、解決客戶問題、可偵測中國網軍APT攻擊、客戶信任等因素，但仍是漫漫長路。</p> <p>「資安要創業，就得要有團隊，因為很多駭客習慣自行鑽研技術、不擅長團隊合作。」他認為，關鍵在於，組織團隊的人必須知道怎麼用人，每個人要了解自己的角色定位，也有團隊概念、並且能夠彼此合作，因為個人的成功不等於事業的成功，團隊其實是不可或缺的，要做到一加一大於二。</p> <p>蔡松廷說：「我們公司靠團隊成功經營越南市場，執行長一次都沒去過越南，這是我們的驕傲，培養好的團隊之後，也讓我有時間思考未來策略規畫和經營方向。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E8%94%A1%E6%9D%BE%E5%BB%B7600-2-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="font-size: 28px;"><strong>只要有資安創業成功的模式，就一定會有號召力</strong></span></p> <p>臺灣資安產業發展首要面對的挑戰，是國際拓展問題，例如臺灣市場先天規模小，經營海外市場可能缺乏競爭力，出國推廣業務就是需要資金和人才，因為臺灣資安新創還沒有成功模式，對很多創投業者而言，估值很差。</p> <p>蔡松廷最感到困擾的就是「沒有導師可以問」，財務面有投資人可以問，但市場怎麼拓展、布局、切入，他目前只能和其他同為資安創業的同業人士，交流彼此對市場的經驗與想法。</p> <p>他不諱言，很多創投業者鼓勵他直接進入美國市場創業，因為有太多成功經驗，有太多人可以帶著你走到成功階段，「當然！（貿然）去美國，死得也很快。」他笑著表示。</p> <p>臺灣產業發展失衡，也造成人才失衡，蔡松廷表示，有許多頂尖人才都在竹科，許多資安高手也都被台積電、聯發科等大企業挖走，加上人才外流嚴重，很多人都在美國、高科技製造業、外商工作，最後才會到臺灣本土業者；另外，少子化不只影響資安產業，各大產業都受到類似衝擊。</p> <p>蔡松廷表示，他甚至曾經對一個剛畢業的資工系碩士生，開出前所未有的高薪，最後那名碩士生還是選擇到高科技公司任職。</p> <p>他說，不論產業或是人才失衡的問題，都很難解決，但這就是臺灣產業發展、人才流動的現實，必須接受。</p> <p>「創業成功要有足夠人才，以維持競爭力，」蔡松廷評估該公司的SWOT分析，技術人才還算有競爭力，但其他像是做資安產品規畫、資安行銷、資安銷售業務等，都經常都找不到合適的人，像是資安行銷、產品規畫人才，必須自己培養，要找到有能力做海外資安市場的業務人員更難。</p> <p>綜合而言，他認為資安新創公司要生存下去，遇到的最大難題就是「推到海外、成功落地、持續成長」，海外市場一定要有當地團隊經營市場，但是，經營海外市場不一定要馬上成立海外辦公室，一定要有當地的代理商才行。</p> <p><span style="font-size: 28px;"><strong>韌性決勝！在有限的時間內，將每個環節做好</strong></span></p> <p>面對國際情勢詭譎多變，加上資安威脅手法更難以偵測，臺灣未來應該如何「做好資安」呢？</p> <p>蔡松廷表示，答案是維持「韌性」，因為資安戰線太長，怎麼把韌性落實在每一個資安環節是大考驗，關鍵點就是：持續在「每一個防守環節做好每一件事情」，這是沒有止盡還得持續進化的旅程，須跟著駭客攻擊手法應變，時刻掌握新漏洞影響的系統環節。</p> <p>「如何短時間內做好應變，就是一種韌性。」他說，可以參考美國NIST推出的CSF（網路安全框架），從事前、事中、事後不同階段，知道做哪些事情能夠增加韌性；有框架和方法之後，就是要投入資源、培養人才，真正了解如何做好資安，以及如何落實資安的治理。<strong>【本文採訪日期為2024年4月】</strong></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 236px;" /></span></span></strong></a></p> </div></div></div>
2024/6/11 00:00作者黃彥棻https://www.ithome.com.tw/article/163212
《紐時》GitHub憑證外洩致270GB資料被公布網上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《Bleeping Computer》<a href="https://www.bleepingcomputer.com/news/security/new-york-times-source-code-stolen-using-exposed-github-token/" target="_blank">報導</a>，知名媒體《紐約時報》因今年稍早GitHub憑證外洩，讓駭客竊走包括程式碼在內的270GB資料。《紐時》也證實資料外洩一事。</p> <p>此事是由資安研究網站<a href="http://x.com/vxunderground/status/1798856571931263480" target="_blank">vx-underground</a><a href="https://x.com/vxunderground/status/1798856571931263480" target="_blank">披露</a>一名匿名用戶在地下論壇4chan張貼關於竊自《紐時》公司的資料而公開。這名駭客描述，外洩的270GB資料包含約5,000個GitHub儲存庫，其中不到30個有加密保護，外洩資訊有數目不詳的Tar檔共360萬個檔案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-new%20york%20times-leakage-by%20vx-underground.png" style="width: 600px;" /></p> <p>《Bleeping Computer》報導，該批檔案中包含一個文字檔，列出了竊自GitHub儲存庫6,200多個資料夾的詳細清單。根據資料夾名稱判斷，外洩的資訊涉及IT文件、基礎架構工具、程式原始碼等。</p> <p>《紐時》證實此事，並說是今年一月該公司GitHub憑證外洩有關。《紐時》表示第一時間已採取緩解行動，但沒有證據顯示公司內部系統遭非法存取，或影響公司營運。</p> <p>這事件是上周第二起知名公司機密被公開於4chan的事件。上周<a href="https://cybernews.com/news/new-york-times-source-code-leak-4chan-disney-club-pengiun/" target="_blank">迪士尼公司網路遭駭</a>，駭客竊走電玩遊戲《企鵝俱樂部》（Club Penguin）資料及該公司營運和廣告計畫共4.5GB並貼上網。據<a href="https://mashable.com/article/disney-hacked-club-penguin" target="_blank">媒體報導</a>，原因可能是迪士尼2017年關閉了這受歡迎的遊戲，令粉絲挾怨報復。</p> </div></div></div>
2024/6/10 18:49作者林妍溱https://www.ithome.com.tw/news/163383
LastPass Chrome外掛更新出包引發服務中斷，用戶被鎖大半天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周末密碼管理服務商LastPass發生外掛更新問題，致使服務無法使用超過8小時。</p> <p>LastPass用戶上周五（6/6）反映無法使用，促使該公司啟動調查，並於周末<a href="https://status.lastpass.com/" target="_blank">公告說明</a>。事件大約發生在協調時間同日下午5時，當時用戶會在試圖登入帳號時發生登入逾時。LastPass直到6月7日凌晨零時才公佈，原因出在一個Chrome瀏覽器外掛更新不慎造成後端基礎架構的載入問題，也開始著手修復。距首次公告超過8小時後，LastPass宣布服務效能已回到正常。</p> <p>雖然LastPass很快回應效能事件，但已引發用戶不滿。一名用戶<a href="https://www.reddit.com/r/Lastpass/comments/1d9s599/lastpass_is_down/" target="_blank">反映</a>他連離線登入都無法使用，另一名用戶則不滿LastPass基礎架構沒有備用機制，導致他所有網站都被鎖住，直到問題修復。用戶表達失望之餘，有人說考慮轉換服務，至少不必擔心資料外洩，也有人早就跳槽。</p> <p>這是LastPass繼2022年8月<a href="https://www.ithome.com.tw/news/152730" target="_blank">被駭</a>，造成程式碼及用戶<a href="https://www.ithome.com.tw/news/158995" target="_blank">資訊外洩</a>後，再度發生服務事件。LatPass的重大資安事件已引發用戶集體控告。去年公司又再<a href="https://www.ithome.com.tw/news/157506" target="_blank">發生</a>導入多因素驗證（MFA）未周詳規畫，致使用戶被強制登出後無法再登入，且未能在第一時間回覆用戶求助，令用戶感到心寒。</p> </div></div></div>
2024/6/10 16:25作者林妍溱https://www.ithome.com.tw/news/163382
Martech雙周報第55期：微軟揭露新行銷策略規畫助理工具，能自動化生成、比較多種策略並填寫廣告訂單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI技術對數位行銷界帶來的影響持續加深加廣，從行之有年的AI代投開始，去年以生成式AI支援素材生成及優化的工具開始百花齊放，近期數位廣告界更陸續推出用AI來輔助，甚至代理部分行銷策略規畫作業的功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #自動化廣告投放 #行銷策略規畫輔助</span></span></strong><br /> <strong>微軟揭露新行銷策略規畫助理工具，能根據非結構化文字提示來自動化生成、比較多種策略並填寫廣告訂單</strong></p> <p>微軟近日揭露一個內部正在試用的行銷策略規畫助理<a href="https://about.ads.microsoft.com/en/blog/post/may-2024/coplanner-revolutionizing-ad-operations-with-advanced-ai">Media CoPlanner</a>，可以根據非結構化文字提示，來自動化生成、比較多種策略，並自動填入廣告投放系統欄位，大幅降低從行銷策略發想到實際投放廣告的時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cpya(1).jpg" style="width: 600px;" /></p> <p>具體做法是，利用GPT-4來讀取行銷人員輸入的行銷策略形容，從中提取日期、出價、目標受眾等關鍵訊息，並轉化成JSON檔案。接著，拋轉這些資訊到微軟自家行銷管理及分析工具Yield Analytics，檢查廣告投放策略可行性，甚至會自行提出不同行銷做法組合，並比較預測成效。行銷人員選定行銷策略後，CoPlanner會自動將所需資訊填入廣告訂單管理系統中的欄位，省下人工輸入時間並降低操作失誤風險。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cpoms(1).jpg" style="width: 600px;" /></p> <p>目前，這些工具只在微軟內部使用，他們也未公布此工具的商品化時程，只表示會持強化此工具功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#自動化行銷 #生成式AI #行銷策略規畫輔助</span></span></strong><br /> <strong>Salesforce針對廣告主及零售業者推出行銷策略規畫助理功能</strong></p> <p>CRM大廠Salesforce也持續在旗下AI行銷產品線Einstein推出新功能，<a href="https://www.salesforce.com/news/press-releases/2024/05/22/einstein-copilot-marketing-commerce-news/">近期推出了針對一般廣告主及零售業者的行銷策略規畫助理Einstein Copilot for Marketing及Einstein Copilot for Commerce。</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/esiscopi.jpg" style="width: 600px;" /></p> <p>這兩個工具以聊天機器人形式呈現，會根據預設行銷模組，加上企業的數據及自然語言輸入，來生成對應內容。以一般廣告主的Einstein Copilot來說，可以根據生成行銷企畫建議、內容、KPI、受眾等。零售業者用的Einstein Copilot則可以自動化生成個人化推薦、適合SEO的商品描述，以及電商頁面素材等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#串流平臺廣告 #DSP #SSP</span></strong></span><br /> <strong>Netflix擴大程序化廣告合作生態圈，並預告明年推出自家廣告平臺</strong></p> <p>開始擁抱AVOD商業模式後，Netflix不斷增加對數位行銷科技的投資及布局。先前，他們已經透過Microsoft平臺販售程序化廣告<a href="https://about.netflix.com/en/news/netflix-upfront-2024-the-year-of-growth-and-momentum">。近日，他們更宣布要與The Trade Desk、Google Display & Video 360、Magnite等大型DSP及SSP合作提供更多程序化廣告服務。</a></p> <p>不只與大型Martech廠商合作，Netflix更自己投入IT資源開發Adtech。Netflix廣告業務總監Amy Reinhard預告，他們計畫2025年底前推出包括廣告投放及行銷數據洞察等功能的數位廣告平臺。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#DCR #第一方數據交換</span></span></strong><br /> <strong>Amazon針對廣告版位商推出成效數據協作工具，結合廣告主、廣告平臺等多方數據源來評估並優化廣告成效</strong></p> <p>Amazon針對網頁及串流電視廣告版位商的Martech產品線Amazon Publisher Services推出<a href="https://aws.amazon.com/tw/blogs/media/gaining-media-insights-while-protecting-customer-data-with-amazon-publisher-cloud-apc-powered-by-aws-clean-rooms/">數據協作產品Publisher Cloud</a>。這個產品以Amazon自家數據無塵室（DCR）為基礎，主打在符合隱私的前提下，整合廣告版位商、Amazon平臺、第三方數據數據商、廣告主、第三方廣告商等數據，來呈現出在版位商投放廣告時的成效。</p> <p>結合這些數據後，版位商還能利用此工具劃分出獨特分眾，並快速將版位及受眾打包，拋轉到Amazon DSP，供廣告主購買。此工具也具備簡單的即時數據分析功能，讓版位商能進一步調整自家廣告版面，來加強成效。</p> <p>此工具已正式推出，但目前只開放給美國及加拿大版位商使用。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #自動化投廣 #社群媒體電商</span></span></strong></p> <p><strong>Tiktok推出AI行銷素材製作平臺及自助式自動化行銷平臺</strong></p> <p><a href="https://newsroom.tiktok.com/en-us/tiktok-world-2024">短影音平臺Tiktok發表了多種數位行銷功能，</a>包括數項利用AI技術強化素材生成及廣告投放的功能。首先是Tiktok Symphony，一個利用生成式AI來輔助影片劇本寫作及素材優化的工具。</p> <p>不只如此，他們還針對一般廣告主及平臺上電商分別推出自動化投廣功能。前者是根據營收、互動及App安裝等轉換目標來自動化投廣的功能。廣告主設定好預算及轉換目標，並上傳相關廣告素材後，此功能便會利用預測型AI技術自動挑選適合素材，並投放廣告給適當受眾。後者功能與前者類似，不過還會進一步將合作夥伴抽成及電商平臺費用等支出也考量進廣告投放策略。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#供給方數據 #廣告版位數據分析 #流量分析</span></span></strong><br /> <strong>Amazon推出廣告版位商用的廣告數據分析工具</strong></p> <p>不只推出Publisher Cloud來整合多方數據以利於受眾劃分和廣告投放，<a href="https://aps.amazon.com/aps/resource/amazon-publisher-services-unveils-new-adtech-capabilities-at-annual-aps-summit/">Amazon還推出了以專門用來分析版位商自家廣告相關數據用的工具Signal IQ</a>。這個工具功能類似Google Analytics，可以用來分析網站，也就是廣告版位的各種互動數據。差別是，後者以廣告相關數據為分析主體，而非一般性網站事件。Signal IQ還結合了LiveRamp及Yahoo等其他廣告商的數據來源，進一步豐富版位商分析數據的面向。</p> <p>目前此工具仍處Beta階段，開放給歐美日版位商測試。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://www.facebook.com/business/news/catalog-product-video-a-new-solution-to-maximize-automation-performance">Meta商品目錄廣告開始支援影音素材，可以根據消費者瀏覽習性推播靜態或動態影像廣告</a></p> <p>2. <a href="https://www.wsj.com/articles/paypal-is-planning-an-ad-business-using-data-on-its-millions-of-shoppers-cc5e0625">PayPal將擴大廣告事業，利用手上交易資料來強化廣告投放</a></p> <p>3.<a href="https://www.nielsen.com/news-center/2024/nielsen-launches-the-media-distributor-gauge-first-convergent-tv-comparison-of-its-kind/"> 因應電視廣告型態多元化，尼爾森推出囊括不同電視類型的收視報告以更緊密追蹤受眾分布</a></p> <p>4. <a href="https://www.globenewswire.com/news-release/2024/05/29/2889951/0/en/Tealium-expands-global-capabilities-for-customers-with-European-Unified-ID-integration.html">CDP巨頭Tealium開始採用EU專用版UID 2.0，成為第一個直接整合此第一方數據解決方案的大型Martech商</a></p> <p>資料來源：iThome整理，2024年5月</p> <p>責任編輯：郭又華</p> <p>圖片來源：微軟、Salesforce</p> <p></p> </div></div></div>
2024/6/10 12:18作者郭又華https://www.ithome.com.tw/news/163321
微軟將預設關閉Copilot+ PC中的Recall功能，以平息隱私疑慮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在遭到隱私和安全性的質疑後，<a href="https://blogs.windows.com/windowsexperience/2024/06/07/update-on-the-recall-preview-feature-for-copilot-pcs/" target="_blank">微軟上周宣布</a>將Copilot+ PC中的Recall功能由預設改為自願加入（opt-in）。</p> <p>5月20日微軟偕高通與宏碁、華碩等OEM<a href="https://www.ithome.com.tw/news/162989" target="_blank">公布內建AI功能的Copilot+ PC</a>。其中Recall是最具代表性，也是Copilot+ PC專屬的功能。它能定期快照記錄使用者在PC上的上網或PC活動，可讓用戶檢視並回復之前應用程式執行狀態。但這項功能仰賴PC持續蒐集資料，引發資安專家穩私疑慮。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-surface-laptop--recall-Copilot%2B%20PC-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> <p>微軟在最新的宣布中指出，由於聽到業界應提供啟動Recall自主選擇的呼籲，微軟宣布在Copilot+ PC 6月18日開賣前更新Recall的設定，允許自願（opt-in）啟動，以便儲存快照在PC上。如果用戶未主動選擇啟動，它預設是關閉的。其次，要啟動Recall，必須註冊Windows Hello，而且要在Recall中檢視時間軸和搜尋，也必須經過Windows Hello生物驗證。第三，微軟為Recall再增加一層Windows Hello進階登入安全（Enhanced Sign-in Security，ESS）的適時（just-in-time）解密防護，只有在用戶驗證當下可以解密Recall快照，而且微軟也加密了搜尋索引資料庫。</p> <p>Recall的作用原理是記錄用戶在電腦上做的一切事情，再以AI加上索引，將之轉成可搜尋的快照。它在搜尋某份文件或某張相片、某檔案相當有效，即使用戶輸入的關鍵字很模糊。用戶也可透過時間軸來查詢內容，不管這些內容是存在於應用程式、網站或文件中，Recall也可提出建議。Recall個人化索引結果完全儲存在本機上，不會上傳雲端，還有多重安全防護，像是Recall記錄時會清楚告知用戶，且不會儲存Edge瀏覽器的隱私上網（InPrivate）快照及數位版權憑證，且允許用戶檢視、過濾和刪除它蒐集的快照。</p> <p>但資安專家仍對Recall有相當疑慮。例如安全專家<a href="https://www.windowscentral.com/microsoft/do-you-trust-microsoft-with-a-feature-like-windows-recall" target="_blank">Kevin Beaumont發現</a>，Recall的快照資料只在用戶未登入PC時才會加密，像是電腦被偷、被搶時會啟動加密保護。在用戶登入電腦情況下，Copilot+ PC系統不會加密，而是存在SQLite明碼資料庫上，表示這些資料可為人類或應用程式讀取。若用戶電腦遭植入間諜程式，使用紀錄即可能曝險。</p> <p>《The Register》認為，微軟提供的還不夠，因為Recall的網站過濾功能僅限使用Edge瀏覽器時，且無法能根據GDPR規定，在資料控制者刪除來源資料後，刪除應用程式內曝露的個資，造成處理個資組織的遵法問題。</p> <p>基於Recall的安全疑慮，英國政府已在上個月底<a href="https://www.ithome.com.tw/news/163045" target="_blank">啟動調查</a>。</p> </div></div></div>
2024/6/10 13:12作者林妍溱https://www.ithome.com.tw/news/163381
【2024臺灣資安年鑑｜資安十年特輯】從重視網路安全到企業安全，為資安創業提供有利條件
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_shi_nian_-qiu_ming_zhang_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣資安產業在過去十年中，經歷了巨大的變革，從技術和社群層面到政府政策和產業實踐，都帶來了深遠的影響。</p> <p>身為臺灣資安連續創業家、也是奧義智慧創辦人兼執行長邱銘彰表示，十年前，資安技術主要是以賣各種網路和資安設備為主，但隨著技術的發展，以及重視並專研各種資安技術的資安社群興起，起到了推波助瀾的作用，資安產業逐漸從設備銷售轉向了服務導向。</p> <p>「先有了資安需求，就會帶動資安的供給，」他指出，像是APT（Advanced Persistent Threat，進階持續性威脅）攻擊對於政府和企業帶來重大的威脅，為了解決這樣的問題，便開始有人創立提供APT攻擊解決方案的資安新創公司。</p> <p>後來，政府開始從政策面支持資安產業的發展；更因為企業開始有更多的技術應用，連帶著，政府也從法規面對資安，開始有更多的規範和要求，帶動各界重視資安議題。</p> <p>他以金融業為例，金融業在金融科技（FinTech）和App應用程式，有許多的資安要求，促使金融業必須將更多的資源和預算用於資安方面，這也讓金融業對於資安的重視程度和資源投入，甚至超過了政府。</p> <p>許多企業對於資安的重視層面也有變化，近幾年，從以往只關心資訊安全（Information Security）轉變到網路安全（Cyber Security），而且，現在更重視整體的企業安全（Safety）。</p> <p>邱銘彰認為，這些變化來自於多方因素的影響，從技術的發展到政府政策的改變，都對資安產業帶來深遠的影響，也為後來許多資安新創公司的成立和發展，提供了有利條件。</p> <p><span style="font-size:28px;"><strong>資安即國安是挑戰，也是機會</strong></span></p> <p>在當今世界，資安已經成為國家安全的重要組成部分，特別是對於像臺灣這樣的國家來說，資安更是關鍵議題，因為任何資安漏洞，都可能對國家的穩定和發展構成威脅。</p> <p>因此，過去幾年來，政府即將資訊安全納入國家安全政策的重要範疇，推出「資安即國安」的大政策方針，而透過這樣的政策方向轉變，對於政府在制定和執行資安政策上，已經產生了相當顯著的影響。</p> <p>政府推出的資安政策，旨在提高國家的資安水準，保障國家關鍵基礎設施的安全，並應對不斷增加的資安威脅。隨著政府對於資安議題的認知和理解程度的提升，政府也開始意識到，資安不僅僅是企業和個人的問題，更是關乎國家安全的重要議題。</p> <p>由於資安議題關乎國家整體的安全和長期發展，需要政府、產業界和社會各界的共同努力，才能有效應對。因此，許多接手政府資安政策和產業發展計畫的公務人員，在制定和實施資安政策時，會更加注重全局的規畫和整合，力求實現資安在國家發展中的全面性和保障範圍。</p> <p>政府也通過與產業界的合作與協調，不只積極聽取各方意見和建議，制定更加符合實際產業需求的資安政策，更通過政策制定企業的資安規範，以應對日益增加的資安威脅與挑戰，做到保障國家、社會和企業的資訊安全。</p> <p>此外，隨著政府對資安產業的支持和投資，促進資安技術的創新活力，推動資安技術不斷進步和提升，提升臺灣資安產業在國際上的競爭力以及能見度，帶動不同行業之間的跨界合作，形成不同產業的資安生態聯盟，這些突破對於臺灣資安產業生態系統而言，都是一種良性循環。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E9%82%B1%E9%8A%98%E5%BD%B0-600-1-JPG.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／洪政偉）</span></p> <p><span style="font-size:28px;"><strong>企業從重視資訊安全到資安治理，產業龍頭帶頭重視資安</strong></span></p> <p>過去，企業對資安的關注面向，主要是各種資安威脅和網路攻擊，但隨著資安意識的提高，現在資安已經逐漸轉向資安治理和量化風險。</p> <p>邱銘彰表示，現在的企業逐漸意識到，資安不僅防禦威脅，還包括對資訊的保護和風險管理，從專注各種資安威脅轉而關注資安治理；不管是防範APT攻擊或是目標式勒索，早就成為資安部門的基本作為後，企業會更加關注資安團隊的效能和能量。</p> <p>顯而易見的是，資安的定義也從傳統的資訊安全，轉向更廣泛的安全概念，他指出，過去企業關注的是Security，但現在我們更加關注的是Safety；以前所談論的主要是資訊安全（Information Security），後來在意網路安全（Cyber Security），現在更重視的是企業安全（Safety），而不管是資訊安全或是網路安全，都是企業安全重要的一環，也反映了產業的發展與變化。</p> <p>這樣的轉變，也意味著，企業不只需要關注威脅和攻擊，也必須關注牽涉到企業維運的系統安全性和穩定性，這同時反映出，資安產業發展逐漸成熟，更體現了企業對資安有更高要求。</p> <p>「有一些產業龍頭公司的資安舉措，對資安產業的發展起到了示範作用。」邱銘彰說，以2018年8月發生的台積電產線電腦中毒事件為例，這對全臺灣帶來重大衝擊，也引起了整個高科技產業的警覺。</p> <p>他表示，許多產業龍頭公司因此紛紛加強對資安投入的資源和防範措施，也開始打造資安團隊，並且設立資安主管或資安長一職，承擔起企業的資安治理的重責大任。</p> <p>邱銘彰認為，這些產業龍頭公司的資安舉措，不僅提高整個產業的資安意識，也推動資安服務產業的發展。</p> <p><span style="font-size:28px;"><strong>法遵是企業願意投資資安的首要動機</strong></span></p> <p>邱銘彰表示，在臺灣資安產業的發展過程中，有一個因素扮演著關鍵的角色，那就是法遵。當資安合規要求成為主導，企業需要遵守法規才能獲得市場認可時，「資安不再只是成本，而是一個企業競爭的優勢。」他說。</p> <p>因為對於法遵合規的要求，經常占據企業資安投資的主要份額，在資安日益受到重視的背景之下，企業不得不遵守嚴格的法規和標準，以保護個人資料和敏感訊息。</p> <p>因此，法遵成為企業願意投資在資安的首要動機，而未遵從相關法規，則可能導致法律制裁和商業損失。當企業意識到，忽視資安可能導致嚴重後果，因此積極投資符合法規要求的資安措施時，邱銘彰認為資安將不再只是企業的「選擇」，而是不可或缺的要素。</p> <p>他也將臺灣企業對資安投資分為三類，首先是抓駭客和抵禦網路攻擊的投資，這方面的投資比例正逐漸減少中，畢竟，隨著資安威脅的演變，企業開始轉向更為全面的資安解決方案，而不僅是防禦特定攻擊。</p> <p>再者，就是滿足法遵合規要求的預算，邱銘彰說：「法遵也是企業資安預算主要投資的項目，」因為企業必須投入大量資源，來確保其業務符合相關法律法規要求，也必須做到保護客戶數據資料和個人隱私，相關預算往往難有刪減的空間。</p> <p>最後一種，其實也是邱銘彰最不想看到的資安預算安排方式，就是因為缺乏明確的目標和策略性規畫，而這種為資安預算而資安預算的作法，最終往往導致資安預算變成無效的投資，以及浪費。</p> <p>因為法遵是臺灣資安產業發展的關鍵因素，邱銘彰表示，隨著法規要求和資安投資的持續增加，臺灣的資安產業將繼續蓬勃發展；而隨著政府的介入，他也期望，未來數位發展部可以制定中央的資訊資安架構，作為企業推動相關工作的重要參考依據，這不僅有助於企業制定出更加全面和有效的資安防護策略，也可以為企業和個人提供更安全的數位環境。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E9%82%B1%E9%8A%98%E5%BD%B0-600-2-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>善用CTEM及紅藍隊的攻防演練，降低企業資安風險</strong></span></p> <p>以往，我們常將資安防禦視為被動反應，只在受攻擊時才採取行動。然而，現在的資安環境已經發生了變化，我們需要更加重視主動防禦，這意味著，不管是政府或是企業，都需要提前做好準備，對可能的威脅和攻擊進行盤點和識別，以便及時採取措施防範。</p> <p>對此，邱銘彰特別提到IT市場調研機構Gartner在2022年提出的CTEM（Continuous Threat Exposure Management，持續曝險管理），就會是一種新型態的資安管理模式。</p> <p>CTEM就是希望可以管理並解決企業內部環境中，各種無止盡的曝險清單，例如漏洞清單，希望可以做到識別並優先修復，對企業影響最大的風險曝露點，迅速識別出最危險的攻擊路徑，而非一味追蹤無數個漏洞。</p> <p>邱銘彰認為，CTEM結合資安防禦與業務營運，可以更好地理解並評估資安威脅，做到及時發現漏洞，還能發現企業無法修補的潛在風險，進而提高企業整體的資安防禦能力。而Gartner也預測，到2026年，根據CTEM計畫確定安全投資優先級別的企業，將減少三分之二的漏洞。</p> <p>此外，在資安防禦中，紅隊和藍隊分別扮演著非常重要的角色。他說，紅隊負責模擬攻擊，以測試系統的安全性和防禦能力，從而發現和修補可能存在的漏洞和弱點；而藍隊則負責量測系統的邊界，以及評估可能攻擊路徑，可以做到提前發現和預防潛在的威脅。</p> <p>因為資安是一個永遠在變化的領域，在資安防禦中，團隊協作是至關重要的。我們需要建立一個高效的團隊，將不同專業領域的人才聚集在一起，共同應對資安挑戰。只有通過團隊的協作和合作，我們才能更好地應對日益複雜和多變的資安環境。</p> <p><span style="font-size:28px;"><strong>資安創業初心，為了改變產業現況並擁有話語權</strong></span></p> <p>作為多年持續受到矚目的臺灣資安創業典範，早在2005年邱銘彰就創辦第一間資安公司：艾克索夫（X-Solve），主要是針對惡意文件提供防護並作惡意程式分析的廠商，並在2007年成功賣給美商阿碼科技（Armorize）。</p> <p>接著，邱銘彰在2011年又協同其他創業夥伴成立新的資安公司：艾斯酷博（Xecure Lab），主要鎖定當時大家最關注卻也最難解決的APT攻擊，因為該公司產品可以成功偵測APT惡意郵件，以及APT惡意程式，也在2014年成功賣給在美國上市的以色列安全公司Verint（威瑞特）。</p> <p>經歷兩次成功的資安創業後，邱銘彰在2017年11月，又協同吳明蔚和叢培侃共同創辦奧義智慧，是臺灣最早以人工智慧（AI）角度成功切入資安領域的資安新創。</p> <p>身為資安連續創業家，邱銘彰回顧創業初心，有著對資安產業滿滿關注和使命感。</p> <p>他坦言，創業的初心之一，就是想要改變資安產業的現狀。因為在過去，許多人對資安產業抱有負面看法，認為它充滿了問題和挑戰。</p> <p>然而，作為資安連續創業家，邱銘彰堅信「不能只是把嘆氣當做結尾，」他創業就是要積極地思考如何改變現狀，藉由提出創新的解決方案，積極參與資安產業的發展，促使資安產業朝向更加穩健的發展道路。</p> <p>他認為，只有成為資安產業的一份子，成為資安產業的玩家，才能為產業的進步和發展做出貢獻，才能具有話語權以及影響力，例如，可以通過積極參與產業活動、學術交流，以及與學校合作培育新人，做到努力擴大自己的影響範圍，積極推動資安產業的發展。</p> <p>邱銘彰表示，企業、學術界和政府應該攜手合作，加強對資安人才的培養和引進，培養出更多具有專業知識和創新能力的人才，為產業的發展提供強而有力支持，才能夠共同推動資安產業的創新和發展，建立起更加完備和穩健的產業生態系統。</p> <p>邱銘彰也深信：「技術創新是推動資安產業發展的關鍵。」隨著科技的不斷進步和演變，資安技術也將不斷更新和升級，也也成為資安產業發展的新動力和新機遇。</p> <p>由於奧義智慧是以AI切入資安領域的公司，邱銘彰認為，人工智慧技術的發展，如ChatGPT等，也對資安產業產生深遠影響。這些技術的應用，不僅提高資安攻擊的智能化水平，也為防禦提供新的思路和工具。資安人員需要不斷學習和適應，以應對新興技術帶來的挑戰。<strong>【本文採訪日期為2024年4月】</strong></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 236px;" /></span></span></strong></a></p> </div></div></div>
2024/6/10 00:00作者黃彥棻https://www.ithome.com.tw/article/163114
【2024臺灣資安年鑑｜資安十年特輯】法遵議題是驅動臺灣資安產業發展關鍵
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_shi_nian_-hong_wei_gan_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，各種資安攻擊威脅經歷巨大的轉變，從以往的低調潛伏國家型駭客，逐漸轉變為現在高調且引人注目的目標式勒索，這種攻擊形式的改變，深刻的影響了社會大眾和企業對資安威脅的認知，迫使他們必須更積極地應對網路威脅。</p> <p>趨勢科技臺灣區總經理洪偉淦提及，像是戰爭型態的改變，也對資安發展產生了重大影響。最具體的例子便是，2022年爆發的烏俄戰爭，更清楚彰顯出，國與國之間的對立，已經演變成以資訊戰為前提的情報戰爭。</p> <p>洪偉淦認為，這種戰爭型態的轉變讓人們意識到，現今的網路戰爭已經具有前所未有的影響力和危險性，也促使更多人對資安的重視。</p> <p>資安政策制定和推動，對臺灣資安發展扮演關鍵角色。洪偉淦表示，政府應該針對不斷變化的威脅環境，制定相應的法規要求，以保護國家和民眾的資訊安全，同時政府也為企業提供必要的政策支持和保護，以帶動資安產業整體發展，例如政府提供企業資金支持和稅收優惠等措施以促進資安產業發展。</p> <p>他以金管會為例，金管會修訂了上市櫃公司重大訊息公告程序，要求在發生資安事件時，必須發布重大訊息，這一舉措，不僅提高了企業對於資安的重視程度，更推動了資安市場的發展。</p> <p>資安人才的培育和扎根，是資安發展的關鍵因素之一。洪偉淦表示，臺灣資安社群在國際競賽中取得了優異成績，引起了政府的關注，而在這段期間，有許多資安新創公司也應運而生，進一步推動了臺灣資安產業的正向發展。</p> <p>洪偉淦認為，資安社群的興起，為臺灣提供了更多的資安人才，也為資安產業的未來發展注入新的活力；但是，政府對於資安人才的培養，不只是要提供相應的課程培訓，也應該通過配套的政策措施，吸引更多資安人才願意投入相關領域。例如，政府可以通過提高資安工作的薪資水準，並且改善工作環境等方式，藉此吸引更多資安人才願意投身資安產業。</p> <p>資安對提升臺灣國際競爭力，及國際角色的扮演，都具有關鍵的作用力。</p> <p>洪偉淦坦言，資安不僅僅是企業面臨的問題，也是國家面臨的問題，因此，政府不只要積極推動資安產業的發展，也應該將資安轉化為國家的競爭優勢，像是政府可以通過制定相應的政策措施，促進資安產業的穩健發展，同時，還可以為保障國家的資訊安全，提供更加堅實的基礎。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E6%B4%AA%E5%81%89%E6%B7%A6-600-1-JPG.jpg" style="width: 600px; height: 310px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>政府法遵要求，成臺灣資安發展主要動力</strong></span></p> <p>在臺灣資安產業的發展過程中，洪偉淦表示，政府的法規制定，對於塑造資安產業的發展方向和市場格局，扮演關鍵性的作用。長期以來，資安問題一直被視為重要議題，然而，隨著資安威脅日益增加，政府不得不加強相關法規制定，以應對不斷變化的威脅形勢。</p> <p>首先，政府透過法規制定，規範企業因應資安事件的作為。他進一步解釋，金管會於2021年4月修訂了「臺灣證券交易所股份有限公司對有價證券上市公司重大訊息之查證暨公開處理程序」，將資安事件納入企業發布重大訊息範疇，也規定相應的處理程序。</p> <p>政府這樣的舉措，規範上市櫃公司一旦發生資安事件，就必須立即發布相關的重大訊息，從而提高了企業對於資安的關注度，也使得資安管理成為公司營運不可或缺的一環。</p> <p>其次，政府法規也對企業的資安管理機制，提出具體要求。例如，金管會要求上市櫃公司必須設立資安專責單位，並指派資安長負責資安事務。洪偉淦認為，主管機關的要求，不僅使得企業高層對於資安議題更加重視，也為資安市場帶來了更多的機遇和挑戰。</p> <p>例如，金管會通過修訂內部控制制度處理準則，要求上市公司設置資安專責主管和資安專責人員，並將公司納入不同等級進行分類管理。這一舉措，同時強化企業的資安管理機制，進而提高企業對於資安議題的重視程度。</p> <p>他表示，對於符合相關規定的公司而言，設立資安專責單位，已經成為一項必要的法規要求，政府通過對資安事件的規範、對企業資安管理機制的要求，以及對資安管理的落實，政府法規讓企業正視資訊安全的重要性，也帶動並促進資安市場的發展和繁榮、拓展資安產業的規模。</p> <p><span style="font-size:28px;"><strong>台積電將資安事件，轉成產業資安的動力</strong></span></p> <p>除了政府的法規要求外，洪偉淦認為，台積電在2018年8月3日所爆發的資安事故，對於臺灣整體的資安發展，也是一個重大的轉捩點。</p> <p>台積電因為生產線電腦中毒，造成當機三天，該起資安事件，也讓台積電於當年的第三季，認列25.96億元的損失，也是臺灣企業因單起資安事件，造成實質損失最大的事件。</p> <p>洪偉淦表示，臺灣應該從台積電的資安事件中，要有更深刻的體會和學習。首先，台積電作為臺灣資安防護的模範生，爆發資安事件後，對各界帶來的震撼和衝擊，不僅在於事件本身造成的損失，更在於這次事件暴露了，即便是資安防護領域的佼佼者，也無法完全避免遭受資安攻擊的事實，這對臺灣資安產業而言，無疑是一次深刻的警醒。</p> <p>然而，洪偉淦認為，更值得各界關注的是，台積電在事件後所展現的應對措施和後續行動。他說，台積電從爆發資安事件後，不僅積極強化了內部和外部的資安防禦作為，更重要的是，他們還將對資安的要求，拓展到整個半導體供應鏈業者，推出半導體供應鏈的資安標準，這一項舉措對於整個半導體產業的資安建設而言，提供了一個重要的範例和引領，具有深遠的意義。</p> <p>台積電出面，聯合業界共同推動了半導體晶圓設備資安標準SEMI E187，並且也發布相關資安標準導入指南等具體規範，藉此提升半導體產業供應鏈的安全性。洪偉淦表示，台積電的作為，除了提高半導體產業整體的資安水準外，更彰顯出，臺灣在相關產業的領導地位和影響力。</p> <p>「資安議題不僅僅是技術層面的挑戰，更是一個管理和策略問題。」洪偉淦強調，台積電之所以能夠成功應對資安事件，不僅在於其技術能力強大，更在於其積極的管理以及策略措施。因此，如何從資安治理的角度出發，不斷完善企業的資安策略和流程，才能夠提高其對資安事件的應對能力。</p> <p>洪偉淦說，從全球爆發的Wannacry勒索軟體事件開始，大家就必須意識到，資安攻擊的形式和手法正在不斷的轉變，企業所面臨的網路威脅不斷增加，因此，面對持續演進的資安威脅時，不僅僅是消極被動的抵禦，更應做到主動積極的防護作為。</p> <p>台積電發生資安事件對於臺灣帶來的影響是深遠的，他表示，企業除了要從該起資安事件吸取教訓，不斷完善資安治理並提高資安防禦能力外，更要思考，如何將資安轉化為企業的競爭優勢，才能夠應對未來更大的挑戰。</p> <p>「資安不僅僅是一個保護系統安全的問題，更是一個企業的核心競爭力。」洪偉淦表示，資安是持續不間斷的過程，需要不斷地進行剖析和反思，只有讓資安成為企業的商業優勢，才能真正做到攻防兩端對等，才從被動防禦轉變為主動防禦。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E6%B4%AA%E5%81%89%E6%B7%A6-600-2-JPG.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／洪政偉）</span></p> <p><span style="font-size:28px;"><strong>臺灣資安產業面臨規模化、產品化和國際化挑戰</strong></span></p> <p>臺灣資安產業的發展過程中，面臨著一系列挑戰和關卡，包括市場認知、資安產品的規模化、國際化以及供應鏈資安要求等方面。這些問題不僅影響著企業的發展，也牽動著整個資訊安全產業的未來方向。</p> <p>第一個面臨的挑戰就是，如何提升市場對資安的認知，洪偉淦表示，許多企業高層對於資安的認知，仍然停留在將資安視為合規、不得不做的程度，並非將其視為業務上的競爭優勢。</p> <p>他坦言，這種觀念的轉變需要時間和空間去理解，同時還需要外在環境的推動，像是，企業如何應思考如何將資安納入公司競爭力，將資安視為能夠提升產品安全性、提供客戶更安心服務的競爭優勢；另外，供應鏈業者對資安的要求，這不僅是合規問題，更是影響企業是否能夠進入市場的競爭優勢。</p> <p>洪偉淦認為，臺灣資安產業面臨的挑戰，需要從企業能否認知資安是企業競爭優勢、資安產品如何做到規模化和國際化，以及供應鏈資安要求等多方面進行綜合考量和改進。</p> <p>臺灣有許多資安公司在快速成長的過程中，面臨著如何實現「規模化」的困境。洪偉淦表示，公司如果要做到規模化，就需要擁有更多「產品化」的思維，但同時也要面對，規模化擴大之後「國際化」所帶來的種種挑戰。</p> <p>他認為，唯有實現「產品化」，才能夠實現快速且大量的複製，公司才有辦法做到「規模化」；然而，公司做到規模化後，勢必朝向「國際化」發展，在這段過程當中，則需要大量資金投入，這也牽涉到臺灣在資本投資市場的改善，如何募得更多資金，有助於臺灣資安新創業者，進行海外市場的經營和拓銷，會是突破限制的重要關鍵。</p> <p><span style="font-size:28px;"><strong>臺灣資安產業發展面臨的五大挑戰與展望</strong></span></p> <p>過去十年，臺灣的資安產業經歷了蓬勃發展，但也面臨著不少挑戰。在這段時間裡，資安已然成為國安的一部分，然而，國際情勢的詭譎多變，以及資安威脅手法的演變，對於臺灣的資安產業發展提出了新的挑戰。</p> <p>首先，凸顯資安治理的重要性。企業在談及如何應對未來的資安挑戰時，洪偉淦便強調了資安治理的重要性，因為，資安治理不僅僅是關於技術層面的防禦，更包括對資安政策的制定和執行，以及對資產和流程的有效管理。他表示，透過良好的資安治理，企業才可以提高對資安威脅的應對能力，才能建立更為穩健的資安防禦體系。</p> <p>其次，重視技術更新與資安管理議題。技術的快速更新是資安產業一個永恆的挑戰，洪偉淦指出，面對不斷變化的技術和威脅，企業需要不斷更新自己的資安解決方案，以保護自身免受各種攻擊的威脅；同時，良好的資安管理也是至關重要的關鍵，因為，企業需要確保已有的資安設備和解決方案，可以得到有效的管理和監控，才能夠確保其正常運作和有效性。</p> <p>第三，落實法規的合規與資安實踐。隨著資安意識的提高，越來越多的法規和合規要求也在不斷出現。企業需要遵守這些法規，保證自身的資安運作符合相關的法律法規。然而，僅僅是達到法規的合規，還不足以確保資安，企業還需要將法規合規與實際的資安實踐相結合，才能夠確保資安措施能夠真正發揮作用。</p> <p>第四，重視PDCA循環與持續改進。</p> <p>持續改進是資安管理的重要原則，通過不斷進行的PDCA（Plan-Do-Check-Act）循環，企業可以不斷評估自身資安狀況，找出存在的問題和不足之處，並採取相對應的措施以進行改進。洪偉淦認為，這種持續改進的精神，對於確保企業資安的有效性，至關重要。</p> <p>最後，洪偉淦則強調教育與培訓對於企業資安發展的重要性。他表示，資安意識的提升需要從基層做起，企業應該加強員工的資安教育和培訓，提高他們的資安意識和技能，才能以更加理想的方式，因應未來將面對的各種資安挑戰。<strong>【本文採訪日期為2024年4月】</strong></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 236px;" /></span></span></strong></a></p> </div></div></div>
2024/6/9 00:00作者黃彥棻https://www.ithome.com.tw/article/163113
【2024臺灣資安年鑑｜資安十年特輯】企業重視資安的文化，不能只靠資安事件來驅動
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_shi_nian_-liu_pei_wen_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>幾乎每年在政府機關、上市櫃公司或關鍵基礎設施等領域，都會發生重大資安事件，帶來財務損失、商譽損失、喪失客戶信任度、損害民眾隱私甚至危害國安等負面影響。例如：2016年7月第一銀行ATM遭盜領八千萬元，2023年2月和泰iRent發生40萬會員資料外洩，今年2月，中華電信與國安國防機關出現合約文件外洩。</p> <p>第一金控副總經理兼資安長劉培文表示，相關的受駭單位都需要花費大量資源，去修復因為發生資安事件所帶來的後果，媒體廣泛報導而引發社會大眾的關注，也迫使企業必須正視資安的議題和風險。</p> <p>今年初，臺灣證券交易所修訂重大訊息問答集，明確規範資安事件的「重大性」標準為：「當公司核心資通系統遭入侵以致無法提供服務，即必須重訊揭露。」面對近期政府透過修正相關法令，強化上市櫃公司一旦發生重大資安事件時，都應該即時發布重訊，他說：「倘若企業遭到的資安損失，達到股本的30％或是新臺幣3億元以上時，就應該立即召開重訊記者會。」</p> <p>不過，只用資安事件重大與否驅動企業對於資安的重視，其實是不夠的，劉培文認為，更關鍵的部分在於，企業的資安文化是否已經有所改變？是否可做到平時就從小處著眼、防微杜漸？</p> <p>「企業的流程與資源決定了企業能做什麼，文化與價值觀則決定了企業不做什麼。」劉培文指出，只有從上到下、真正重視資安的企業，因為已有正確的文化與價值觀，才能夠看到輕微的事件與徵兆出現，或看到外部發生的資安事件後，便能夠在既有的流程與資源下，檢討事件背後的根因，甚至願意投資額外的資源、新的流程等，適度及早因應減降資安風險，形成良性循環以避免未來爆發重大事件。</p> <p>有人說，資安在企業組織扮演的角色就像賽車的煞車，但劉培文認為，如果資安人願意擴大視野、綜觀全局，那麼，資安人可以扮演的就不只是煞車的角色而已，而是在拉力賽車中，坐在副駕駛座的導航員。</p> <p>他進一步解釋，這個導航員在發展資訊安全策略和措施時，要觀察內外情勢、綜合考慮業務需求、用戶體驗和風險管理的因素，同時，還要適時地出聲提醒，以及有效溝通協調，確保資安措施不會阻礙業務的發展和創新，才能幫企業創造更大價值。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E5%8A%89%E5%9F%B9%E6%96%87-600-1-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>從5S來評估資安的進展與產業滲透率</strong></span></p> <p>資安認知是企業是否願意推動資安的重要關鍵，劉培文套用創新擴散理論來看，他相信認同資安重要性與價值的機關與企業，已經從16％對技術有狂熱的創新者（Innovators），以及較有遠見的早期採用者（Early Adaptors）的這群人，跨越創新鴻溝（Chasm），大舉向占比為84％的主流市場滲透。</p> <p>所以，不論企業或政府如何推動資安，劉培文表示，重點在於如何運用5S來評估資安的進展，這5S包括：範疇（Scope）、規模（Scale）、速度（Speed）、深度（Substantial），以及典範轉移（Shift of Paradigm）。</p> <p>他進一步說明，就是在每個不同產業範疇，都能做到讓資安滲透到每個業務線，並且每個業務線都能規模化，讓所有服務、產品及流程的整個生命週期，都能適時考慮資安，將有深度具實質影響力的資安控制措施設計在其中。</p> <p>劉培文以自己身處的金融業為例，2020年8月金管會推出金融資安行動方案1.0，以鼓勵的方式，推動一定規模金融機構及純網銀率先設置資安長；隔了一年，也就是2021年9月，修改金控及銀行內稽內控實施辦法，當中的第38-1條，就明確要求銀行必須要指派副總以上或職責相當之人兼任資訊安全長，並設置資安專責單位與主管。</p> <p>2021年12月，再針對上市櫃公司依資本額、業別及營收狀況區分為三級，以這樣的分級與分年推動方式，要求設立資安長、資安專責單位或資安專責人員。這樣的政策制定與推動創造了資安的需求，進而帶動資安的供給，讓資安人才與產業大幅成長，進而促成金融機構及上市櫃公司的資安水準提升。</p> <p>前述例子可看到，透過每年滾動修改政策（Speed），逐步擴大政策適用的範疇（Scope）與規模（Scale），就能帶動實質與深度（Substantial）變革。</p> <p>他也提及，金融資安行動方案2.0的精進的性質包括擴大適用、落實深化及鼓勵前瞻，例如金管會2023年擴大開放金融業上雲，就要求因應數位轉型及網路服務開放，增修訂自律規範，深化核心資料保全及營運持續演練，並鼓勵零信任網路部署，這些都是所謂的資安典範轉移（Shift of Paradigm）。</p> <p>他說「這個時代唯一不變的就是時代一直在變，」業務與資訊的典範勢必不斷遷移，資安自然無法置身事外。</p> <p><span style="font-size:28px;"><strong>資安產業發展難逃少子化衝擊，需正視雲端布局的重要性</strong></span></p> <p>資安產業蓬勃發展有三大核心驅動力，劉培文指出，第一是全球地緣政治局勢變化和不穩定性，特別是中國崛起影響力擴大，伴隨中美貿易戰加劇。</p> <p>其次，社會對於個人隱私權和數據保護意識的提高，人們對於個資與隱私侵犯的擔憂日增加，各國政府對於數據隱私和資訊安全的法規和合規要求，也越來越嚴格。</p> <p>第三，因為我們現在身處在第四次工業革命時代，數位技術、物聯網、人工智慧、基因工程等新興技術應用蓬勃發展，這很自然伴隨而來網路犯罪，以及駭客攻擊的猖獗。</p> <p>臺灣資安產業不脫這三種驅動力形成的框架，但他坦言，來自中國的網路攻擊又比其他國家有過之而無不及，也是臺灣資安產業發展最關鍵的驅動力。因為面臨對岸長期持續攻擊，也讓臺灣在資安人才養成與培育有很大進步，而有這樣大量的防護需求及專業人才供給，自然也就催生資安產業的發展。</p> <p>至於資安產業發展的挑戰，可將資安產業再細分，因為服務或產品形式不同，所需要的推動策略就不同。劉培文把資安產業概分為三類：管理諮詢、技術服務、軟體方案。</p> <p>管理諮詢類賣的是國際經驗與品牌，特別是因為各國監理制度及國際標準要求，所衍生出的制度建立需求；技術服務類賣的是在地客製化的服務需求，不論是滲透測試、攻防演練、SOC監控或事件處理，都屬於服務的範疇。</p> <p>他認為，不論管理諮詢或技術服務形式的資安服務，都是靠專業人力（head count），這些培養出來的諮詢和技術人才與各垂直產業（如金融、高科技）所需的產業資安人員流通容易。</p> <p>由於管理諮詢及技術服務目前還是非常仰賴高素質的人力，在資安管理法施行，以及上市櫃公司被要求設立資安長與資安專責部門、人員，是否對資安產業與產業資安間對人才的競爭造成不良影響，還有待觀察外，劉培文直指，在人力問題背後，隱含的是臺灣面對少子化對各個產業造成的衝擊。</p> <p>根據內政部統計，臺灣的出生率自2015年開始一路下滑，每年減少大約萬名新生兒；2023年上半年再創新低，只有6萬多名新生兒。低出生率連帶使社會新鮮人的人數大幅下降。教育部統計處指出，2018年前畢業生人數還有30萬人，推估到了2031年畢業生人數將僅剩20萬人。</p> <p>此外，整體勞動人口也呈現直線下降趨勢，2030年整體勞動人口相較2022年減少7%，2040年相較於2022年則將整整減少19%。簡言之，劉培文觀察到，若要改善資安產業甚至每個產業面臨的關卡，須正視少子化的問題。</p> <p>由於管理諮詢及技術服務的產值主要來自人員的服務，產業產值很難擺脫線性成長，劉培文認為，若要期待資安產業的產值能有指數成長，勢必要靠國內自主研發的資安軟體解決方案。</p> <p>但資安軟體解決方案嚴格來說，其核心主體是軟體，資安只是其中一項功能，比例上來說，劉培文表示，它更需要軟體開發與產業的量能，而這點可能是資安產業發展政策長期被忽略的。</p> <p>他表示，臺灣的軟體解決方案還必須具備能與國際級廠商產品競爭的性價比，且這個性價比的比較，是要求性能必須達到一定水準，而非單純只靠低價策略或政策保護。</p> <p>對產業資安來說，在選擇資安解決方案時，看重的是整體的安全程度、安全水準及性比，這也導致臺灣自主研發資安軟體解決方案的廠商，大多選擇利基市場，缺乏進入多功能、大規模且具國際競爭性市場的能量。</p> <p>在此同時，臺灣自主研發的資安軟體解決方案還要面對更具挑戰性的未來，劉培文指出，特別是生成式AI出現，讓企業組織上雲（尤其是公有雲）的步調加快後，政府是否有政策引導國內軟體解決方案的廠商，在雲端及早布局是非常重要的。可以預期的是，在進入公有雲市場後，產業中大者恆大的趨勢，將會比過去在地端的市場更明顯。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E5%8A%89%E5%9F%B9%E6%96%87-600-2-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>開放金融業上雲，打破技術、業務和資安邊界</strong></span></p> <p>劉培文同時負責銀行資訊、資安及數位的發展，他一直在內部提醒銀行要面對未來競爭，一定要在10年內轉型為數位指數型銀行，也就是所有產品、服務及作業流程，都能夠以「軟體定義」、「Al決策」及「數據驅動」。</p> <p>他先以金融業為例，說明未來金融業資安推動重點的5個方向，分別是：1、極端情境下的業務持續；2、全面性的雲端安全架構；3、結合AI的零信任做法；4、敏捷價值交付的資安流程；5、供應鏈資安治理及管理。</p> <p>他指出，金融業要面對極端情境下的業務持續，當然是因為臺灣面臨地緣政治衝突壓力升高，金融機構必須思考在境內主備中心均失能的狀況下，如何將民眾生活所需最小金融服務，集合在境外雲端運行、提供服務。</p> <p>「金融業者未來是否能夠做到這點，當然與金管會在去年8月調整大幅開放金融業上雲的政策有關。」劉培文表示，上雲政策又與各銀行在進行的資訊現代化相輔相成，因為不論服務中臺、數據中臺或核心系統轉型，其底層都仰賴雲原生的架構，因此雲端安全將成為銀行必須優先關注的第二個重點。而且因為政策的開放，銀行更容易也必須從多雲及混合雲的角度，重新思考雲端安全的架構與技術。</p> <p>由於上雲加快，技術邊境及業務邊境將更快被打破，他認為也讓原本是金融資安行動方案2.0重點的零信任，其推動的深化與規模化，面臨更大壓力。</p> <p>他進一步解釋，未來資安防護的挑戰是：須隨時監控、追蹤、評估與該身分相關的所有行為帶來的風險變動，並據此做風險變動評分，進而即時更動與實施對應此身份的資安政策，也因此動態改變與此身分相連的存取與防護邊界。如此細微與即時的管理，其複雜度與工作負荷，勢必遠超過現有資安單位以人力方式所能支應的情況。</p> <p><span style="font-size:28px;"><strong>學會用生成式AI的技術來解決資安問題</strong></span></p> <p>「資安永遠不是最終的目的，而是確保業務遂行的必要條件之一。」在2022年底生成式AI出現，2023年金管會大幅放寬金融業上雲後，劉培文相信，這對金融業的業務及資訊架構，將帶來革命性的轉變；資安也不可能停留在地端，必須要跟著上雲，同時學習如何運用AI來解決資安的各種問題。</p> <p>他相信，下個世代的「零信任」資安防護核心，最終也將如同業務與資訊的數位轉型，必須做到軟體定義、數據驅動以及Al決策。而生成式AI的誕生，更加確立賦能了這個發展方向。</p> <p>若資訊與資安部門能掌握金融上雲及生成式AI的技術能力，勢必也對金融業的業務數位轉型添加柴火。劉培文認為，金融業將能更有底氣轉型，成為敏捷的組織，利用DevOps / MLOps / DataOps小步快跑，交付數位產品的價值，此時資安就必須向左及向右移動，嵌入開發端及營運端。</p> <p>最後，當前述這幾點開始發展時，供應鏈資安管理的議題將更形嚴峻，不是單憑開發時運用SBOM或SCM軟體，以掌握軟體的來源及組成，還需同時考慮供應鏈及服務供應商的資安治理，確保大型供應商的資安品質及提升中小型供應商的資安水準，這些都是很困難的挑戰。<strong>【本文採訪日期為2024年4月】</strong></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 236px;" /></span></span></strong></a></p> </div></div></div>
2024/6/8 00:00作者黃彥棻https://www.ithome.com.tw/article/163112
永豐金集團數位轉型聚焦AI，從3大應用場景先落地
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「短期先成為最懂AI的金融公司，長期目標要成為最懂金融的科技公司。」永豐金控科技長張天豪用一句話點出他的AI理想目標。</p> <p>2020年，永豐金控啟動數位轉型，定調以AI作為集團的數位轉型核心。他們延攬成大電機系教授張天豪，擔任集團首任科技長，執掌數位科技處，主導永豐科技布局。當年，永豐在數位科技處下設立人工智慧實驗組，起初，團隊僅有8位AI工程師，擴大招幕後，至今已有30位AI工程師，輔助全集團開發、維運AI模型。</p> <p><span style="font-size:28px;"><strong>以三大類應用場景作為三大AI發展方向</strong></span></p> <p>永豐的AI策略強調應用面，瞄準業務行銷、風險決策、流程營運三大場景發展AI應用。不同於單從技術看AI，張天豪認為，從技術面切入，容易忽略金融業實際的需求，他改從應用角度為主，透過這三大類場景，讓AI逐步落地到集團內每個角落。這三大類場景也是他所鎖定的三大AI發展方向。</p> <p>不過，張天豪坦言，剛加入永豐時，對金融業務型態的掌握度不高，並非一開始就選定這三個發展方向。</p> <p>為了找出方向，他帶著團隊與子公司溝通，先和銀行積極合作，再逐步擴大至證券。「我的方式是盡量與每個單位都合作至少一個專案。」張天豪說。</p> <p>逐漸和多個處級單位展開多項專案後，張天豪和技術團隊漸漸掌握各單位的業務型態和需求，才歸納出三個發展方向。</p> <p>四年來，永豐內部超過100個AI專案，使用超過上百個AI模型，目前已提供約30項AI應用。</p> <p><span style="font-size:28px;"><strong>瞄準業務行銷、風險決策、流程營運三大應用場景</strong></span></p> <p>第一類場景的AI應用，是業務行銷AI，以「顧客行銷基因」作為核心應用。透過分析集團內顧客與商品往來的資料和數位足跡，建立每位顧客的行銷基因，來推薦個人化商品。</p> <p>顧客行銷基因可提供多項商品的推薦分數，包括房貸、基金、信貸和股票等商品。例如，業務人員可查詢顧客在不同金融商品的推薦指數，若顧客的股票推薦指數高，業務人員也可以進一步查詢更細的商品子類別推薦指數，例如台股或美股。</p> <p>另一方面，團隊也針對數位客戶或沉睡戶等特定客群額外建模，能根據客群屬性，提供不同的行銷建議。除了輔助業務人員的行銷工作，該應用也能在銀行App上運作，顯示推薦指數前三高的商品。</p> <p>第二類場景是風險決策AI，可協助相關單位進行風險管理工作，包括信貸風險預測、防盜刷、防詐騙、防洗錢等AI應用。</p> <p>此外，永豐也發展防舞弊應用，可偵測理專人員的可疑行為，提前一步防止行員挪用客戶資金。</p> <p>第三類場景是流程營運AI，用來協助提升員工生產力，輔助員工進行營運決策。主要應用涵蓋文件辨識服務，和報表自動化產出工具。</p> <p>除了能快速產出風險評估報告和新聞輿情分析，也能針對金管會的來文自動分類和分析。</p> <p>此外，永豐團隊也發展了不動產估價AI模型，不僅有助於內部相關單位審核房貸，也能協助營運部門進行分行據點選址。</p> <p><span style="font-size:28px;"><strong>通用型應用採批次執行AI運算，特定場景應用採API呼叫提供服務</strong></span></p> <p>根據不同的應用情境，永豐採取不同的AI服務提供方式，一種是，定期且預先執行模型的運算，將結果存放到資料庫。使用者可以通過系統連接資料庫，取得這些預先計算的結果，而不用直接呼叫模型。另一種是將模型部署在API伺服器上，當系統有需求時，即時呼叫API來獲得結果。</p> <p>前者適用於通用型服務，一項應用需提供給多個單位使用，顧客行銷基因就是其中一項例子。</p> <p>張天豪解釋，顧客行銷基因透過上百個模型運作而成，每個模型專注在不同的商品、服務、客群等面向，為了提供商品推薦功能，需要同時運作上百個模型，計算出每種商品或服務的分數，才能條列出推薦指數前三高的商品。</p> <p>若採用即時呼叫的AI服務提供方式，每當使用者登入銀行App時，就必須同時運作上百個模型，難以即時產出結果。因此，顧客行銷基因是採用提前運算的方式運作，避免影響顧客體驗。</p> <p>後者適用於特定場景的的應用，例如，支票辨識和不動產估價服務。</p> <p>相比顧客行銷基因，一次需求就要運作上百個模型，特定場景的應用服務只需透過單一模型計算一份資料，就能產生結果。以支票辨識為例，使用者每呼叫一次模型，模型僅需處理一張支票，即可輸出結果。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1185-%E6%B0%B8%E8%B1%90%E9%87%91%E6%8E%A7CTO-600_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><span style="font-size:28px;"><strong>和業務團隊建立信賴關係，是推動AI的關鍵</strong></span></p> <p>為了說服業務單位使用AI，張天豪和團隊從應用角度切入，在2021年開發顧客行銷基因，希望透過AI來協助業務單位進行精準行銷。</p> <p>在技術研發階段時，張天豪找了三位處級單位的主管參與實驗案，一口氣挑了八個產品進行概念驗證。</p> <p>「當時的想法是，只要八個產品中有一個是AI贏，就有機會吸引業務單位繼續往下走。」張天豪說。結果出乎意料，使用AI輔助行銷後，八個產品的行銷效益皆超過以往的人工作業模式。</p> <p>隨後，技術團隊順利將這項實驗專案轉為正式專案。如今，顧客行銷基因已發展成上百個AI模型運作的應用服務，可提供上百個商品或服務的推薦指數，協助集團內多個業務單位提升商品的行銷效益。</p> <p>經歷這段過程，張天豪認為，相比研發強大的技術，取得業務團隊的信賴，讓技術團隊和業務團隊間保有互信基礎，才是成功推動AI的關鍵。</p> <p><span style="font-size:28px;"><strong>迎戰生成式AI的技術變革</strong></span></p> <p>看準生成式AI的潛力，永豐也積極展開布局。</p> <p>張天豪表示，未來團隊將分為兩條路線推進生成式AI，一方面，持續以三大面向發展AI應用，另一方面，藉由生成式AI提升員工生產力，例如，快速摘要會議紀錄，或撰寫公文和報告等。</p> <p>張天豪表示，提升員工生產力背後的生成式AI應用多屬流程營運，可是，「這不是永豐目前任何一個AI模型擅長的領域。」</p> <p>張天豪看準的生成式AI潛力，是能透過單一模型，提供多種流程營運上的服務，而不用針對每個步驟重新訓練專屬的模型，「生成式AI有能力同時做這些事情。」</p> <p>生成式AI的應用場景，和過往應用AI的方式有所不同，即便是鑽研AI技術多年的張天豪都坦言，自己和團隊正在學習這項技術，從頭摸索生成式AI的應用場景。</p> <p>不過，張天豪並不擔憂技術演變所帶來的人才培育挑戰。他認為，科技技術不斷更替，未來仍有可能出現更卓越的科技，因此，AI技術本身不是重點，關鍵是，找到擁有學習能力的技術人才，且能適應快速變化的技術環境。</p> <p>早在AI資料科學家在招募初期，他就運用這項原則挑選人才，「看的不是AI技術有多強，而是發展潛力，包括學習心態正確、學習能力好。」秉持這項用人原則，張天豪慢慢建立AI團隊，從8位AI工程師，慢慢擴大至30位成員。</p> <p>生成式AI爆紅後，讓企業原本落後的領域，有了重新起跑的機會。張天豪樂觀看待這個變化，他期望自己的團隊相比同業能學得更快，「只要具備關鍵的心態和能力，就可以迎頭趕上。」</p> <p><span style="color:#333333;"><span style="font-size:28px;"><strong><span style="background-color:#FFD700;"> 從AI學者到企業CTO的換位衝擊 </span></strong></span></span></p> <p><strong>不同於同業的AI發展歷程，永豐金控的AI發展起點並不是在內部組織一個AI團隊，而是始於產學合作。</strong></p> <p><strong>永豐金控科技長張天豪認為，在集團從零開始發展AI的過程中，取得業務團隊信任，是推動AI的最大挑戰。</strong></p> <p><strong>早在2017年，於成大電機系擔任教授的他，就開始和永豐進行產學合作，協助永豐發展多項AI研究。張天豪回憶，團隊起初爭取了兩項適合發展AI的專案，後續也成功推出應用，但是，當時並未和業務單位建立足夠的合作基礎，即便技術團隊產出成果，也難以促進業務單位擁抱AI。</strong></p> <p><strong>正式進入業界後，挑戰才在後頭。在一場活動中，張天豪曾分享，原以為產學合作的專案能順利落地，「但進來以後我才知道，其實做得不怎麼樣。」張天豪解釋，並不是學界的技術在業界沒有價值，而是將合作專案完成後，離正式落地仍有一大段距離。</strong></p> <p><strong>例如，產學合作的AI專案一般使用Python語言撰寫，但銀行系統要串接使用AI模型，需要由C#撰寫而成。張天豪解釋，負責該項業務的團隊可能不具備相應的人力資源，難以支持這項維運工程。雖然可以對外尋求廠商協助，但由學生開發的程式碼，未必有廠商願意接手。經歷這段過程，張天豪體認到在學界執行方法論時，不會考慮到的實務細節，「光對落地這兩個字，定義就不一樣。」</strong></p> <p><strong>另一個學界和業界的差異，是能接觸真實且大量的資料，也是吸引張天豪踏入業界的原因之一。他解釋，以往在學界進行研究，為了比較研究成果，學界通常會使用同樣的資料集進行測試，但資料筆數並不大。例如，學界有份知名的信用評估資料，已有30年歷史，資料僅有1000筆，「你要贏過30年來的研究，或是提供準度以外的價值，才能發表一篇論文。」張天豪解釋，資料量較少的情況下，開發成果較難超越他人，反之，「進來（永豐）之後，在可運用的資料範圍及基礎下，可以做出更符合實際客戶需要的產品或服務。」</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> CTO小檔案 </span></span></strong></p> <p><strong>永豐金控科技長　張天豪</strong></p> <p>學歷：國立臺灣大學資訊工程學系博士</p> <p>經歷：現任永豐金控數位科技長、成功大學電機系教授。博士畢業於國立臺灣大學資訊工程學系，長年對AI領域等先進技術有所鑽研，於2017年起與永豐銀行進行產學合作，並於2020年擔任數位科技長，投入精準行銷、風險評估、流程自動化等領域，將AI技術實際導入金融應用場景。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/29_(%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)%E6%B0%B8%E8%B1%90%E9%87%91%E6%8E%A7.jpg" style="width: 280px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p>永豐金控</p> <p>●子公司：永豐銀行、永豐金證券、永豐金租賃、永豐投信、永豐創投</p> <p>●成立時間：2006年7月20日（前身為建華金控，成立於2002年5月9日）</p> <p>●主要業務：涵括銀行、證券、投信、租賃及創業投資等金融產業</p> <p>●員工數：截至2024年2月29日共10,397人</p> <p>●年營收：2023年淨收益達新臺幣539億元</p> <p>●董事長：陳思寬</p> <p>●總經理：朱士廷</p> <p>●部門名稱：數位科技處</p> <p>●部門主管：張天豪</p> <p>●直屬主管：朱士廷</p> <p>●部門分工：掌理永豐金控整體數位金融科技發展策略、數位應用技術研發等事項，並督導及協助子公司數位科技應用發展、數位資源規劃及整合。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI大事記 </span></strong></span></p> <p>●2020年：金控集團啟動數位變革專案，以「場景經營」與「AI與相關數位科技」兩大策略作為科技發展主軸。組織上，由張天豪擔任數位科技處處長，同時在數位科技處轄下設置「人工智慧實驗組」佈局相關研發資源。應用上，發展不動產估價模型和太陽能電廠售電躉購電費單辨識系統，為永豐首要發展的2項AI專案。</p> <p>●2021年：開始和銀行各個處室合作，發展顧客基因、AI智能影像辨識系統等技術應用。資料運用上，制定金控資料治理規章原則及管理架構，包含資料資產與品質管理要點、資料市集管理要點之制定與資料治理之各項管理及推動策略。</p> <p>●2022年：以三大場景業務行銷、流程營運、風險決策作為永豐AI應用發展主軸。陸續導入RPA機器人流程自動化、智能偵測信用卡盜刷模型、打造雲端公開資料平台爬蟲館等應用。資料運用上，整合跨子公司資料的金控客戶單一視圖H360資料庫，供金控與子公司的分析人員運用。</p> <p>●2023年：延伸顧客基因的場景應用面向，該項技術獲得「利用顧客基因之行銷系統」新型專利及「利用顧客基因之行銷系統與方法」發明專利。風險決策方面，結合「鷹眼識詐聯盟」與內部研發量能，透過開發、建置AI識詐模型以強化前端監測系統，於帳戶交易異常發生初期即時偵測。</p> <p>●2024年：持續以三大場景作為AI發展主軸，並持續研究最新生成式 AI 技術，挑選關鍵專案進行先導測試，並根據跨子公司之需求，制定具整合性與完整性之導入策略。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1185-cto-960.jpg" width="960" height="420" alt="" title="永豐金控科技長張天豪　（攝影／洪政偉）" /></div></div></div>
2024/6/8 01:50作者李昀璇https://www.ithome.com.tw/people/163351
臺灣資安超前部署
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在數位技術日益普及的世界裡，我們都想要不斷去除阻礙各種創新與進步的因素，然而，組織對外有駭客、惡意軟體等網路威脅虎視眈眈，對內有心懷不軌或網路衛生習慣不佳的員工、合作夥伴，滲透手法千變萬化、無孔不入，只有想不到，卻沒有做不到，從而導致大家必須付出更巨大的成本，建構可信賴的工作與生活環境。</p> <p>而由於數位世界長期面臨信任危機，資安領域開始有專家倡議解決此問題的框架，也就是如今人人耳熟能詳的零信任（Zero Trust），在這股風潮逐漸形成的過程中，我們持續向臺灣IT界介紹這樣的觀念，例如，在2018年7月，我們發布封面故事《<a href="https://www.ithome.com.tw/article/124684" target="_blank">零信任！重新定義資訊安全模式</a>》向大家說明，隔年我們用「Never Trust, Always Verify」來詮釋零信任，並對比過去的「trust but verify」，突顯傳統資安存在著「信任先於驗證」的盲點。</p> <p>後續我們持續報導零信任的發展動態，像是2021年7月發布的封面故事《<a href="https://www.ithome.com.tw/article/145711" target="_blank">零信任資安時代來臨</a>》，2022年8月發布《<a href="https://www.ithome.com.tw/zerotrust/zta101" target="_blank">ZTA 101</a>》幫大家整理NIST公布的重要參考標準文件SP 800-207，臺灣也在這一年揭露零信任網路戰略，定調政府零信任架構將分三大階段進行，依序聚焦「身分鑑別」、「設備鑑別」、「信任推斷」，2023年8月底，我們也發布封面故事《<a href="https://www.ithome.com.tw/article/158417" target="_blank">拓展零信任應用，臺灣啟動資安採購商機</a>》，報導政府與產業推動身分鑑別的成果，當時已有11家廠商推出的解決方案（8家國產廠商、3家外商），通過政府零信任架構身分鑑別功能符合性驗證，截至今年3月底，又增加兩家國產廠商。</p> <p>而在另一份政府零信任架構身分與設備鑑別功能符合性驗證通過名單中，也列出兩家國產廠商。</p> <p>至於信任推斷，數位發展部資通安全研究院已公布政府零信任架構信任推斷功能符合性驗證檢核表，但目前尚未公布功能符合性驗證的廠商。</p> <p>事實上，信任推斷是更加考驗廠商技術實力與投入發展意願的指標，我們曾經詢問幾家外商，他們對於政府推動的零信任架構都無法提出具體支援的承諾，甚至有些表示要客製而面有難色。</p> <p>原本我們認為這類型的零信任解決方案，因為廠商的產品與技術無法就緒，可能難以如政府預期的時程開始推動，沒想到在5月舉行的2024臺灣資安大會，我們真的看到<a href="https://www.ithome.com.tw/news/162960" target="_blank">有廠商端出這類型解決方案</a>，而且一口氣出現三家，他們都是出身臺灣本土的資安廠商，當中有公司是創立二十多年的老將，有近年來在國際資安市場發光發熱的新秀，有持續耕耘資安技術的電信廠商龍頭。</p> <p>我們之所以發現這些廠商能提供信任推斷解決方案，純屬意外！</p> <p>首先是在大會第二天的主題演講，曜祥網技在介紹他們對於零信任的理念與自身提供的產品時，「信任推斷」這項功能赫然出現在他們主打的功能特色當中，演講結束之後，我們向他們確認此功能的開發緣由，他們表示，是依據國家資安院的檢核表進行開發的，以符合法規的要求，而在該公司的展區當中，這套名為「零信任管理系統擴充」的解決方案，也成為主要的展示重點。</p> <p>第二家我們發現提供信任推斷功能的資安廠商，是這幾年來揚名海外的奧義智慧，他們是目前唯一且連續多次參加MITRE ATT&CK 評測的臺灣本土廠商，在今年臺灣資安大會第二天下午的演講，他們也介紹自行開發的決策控制器／信任推斷模組XCockpit ZeroTrust。</p> <p>第三家我們注意到具有信任推斷技術的廠商是中華電信，他們在大會第一天下午的演講，介紹他們開發的xTrust零信任網路系統，這套解決方案其實去年就已經在臺灣資安大會亮相，到了今年擴增信任推斷機制。</p> <p>除了許多臺灣廠商積極布局零信任架構，今年臺灣資安大會期間宣布成立的<a href="https://www.ithome.com.tw/news/162922" target="_blank">後量子資安產業聯盟</a>（PQC-CIA），我們也看到已經有臺灣廠商秀出他們的解決方案，例如，資深的電子郵件服務與安全廠商網擎資訊，他們長期發展的Mail2000郵件伺服器部署後量子加密技術，去年8月他們已宣布這項消息。</p> <p>除了上述廠商，臺灣目前有許多資安公司正在不斷努力實作，積極拓展AI、OT、萬物聯網等各種創新領域的資訊安全保護機制，我們的超前部署不只是公共衛生、當今熱門的AI硬體加速晶片製造等領域，資安產品與產品資安都會是臺灣能夠為世界做出巨大貢獻的領域。</p> <p><a href="https://www.ithome.com.tw/article/163349" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span></a><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><a href="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1185-feng_mian_gu_shi_-p1_open-960x420_kao_bei_0.jpg?itok=T9rUljRk"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1185-feng_mian_gu_shi_-p1_open-960x420_kao_bei_0.jpg?itok=T9rUljRk" style="width: 550px;" /></a></strong></span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9B%B6%E4%BF%A1%E4%BB%BB">零信任</a></div><div class="field-item odd"><a href="/tags/%E4%BF%A1%E4%BB%BB%E6%8E%A8%E6%96%B7">信任推斷</a></div><div class="field-item even"><a href="/tags/%E8%A8%AD%E5%82%99%E9%91%91%E5%88%A5">設備鑑別</a></div><div class="field-item odd"><a href="/tags/%E8%BA%AB%E5%88%86%E9%91%91%E5%88%A5">身分鑑別</a></div><div class="field-item even"><a href="/tags/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">臺灣資安大會</a></div></div></div>
2024/6/8 01:59作者李宗翰https://www.ithome.com.tw/voice/163374
【資安日報】6月7日，勒索軟體駭客RansomHub聲稱入侵老牌筆電製造廠藍天電腦，引起國際資安媒體高度關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近一個月勒索軟體駭客RansomHub犯下的資安事故頻頻，英國精品拍賣業者佳士得、美國醫療集團Change Healthcare皆傳出遭受攻擊而影響營運，而最近一起事故引起各界高度關注，駭客聲稱入侵臺灣老牌電腦製造商藍天電腦，並竊得200 GB內部資料。</p> <p>值得留意的是，已有不少資安專家公布駭客提供的資料，但截至目前為止藍天電腦並未在重大訊息當中，對於資料遭竊做出說明，後續發展有待進一步觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163347"><strong style="font-size: 22px;">老牌筆電廠藍天電腦傳出遭駭，勒索軟體駭客RansomHub聲稱竊得200 GB資料</strong></a></p> <p>繼月前群光電子遭駭後，最近藍天電腦傳出被不同勒索軟體組織攻擊的消息。根據國外資安媒體Cybernews報導，勒索軟體駭客組織RansomHub在6月4日聲稱攻擊臺灣老牌電腦設備廠藍天電腦（Clevo），竊得200 GB內部資料，由於近期AI PC相關議題正夯，國內電腦設備商資料遭竊的事故也引起國際關注，後續包括其他Cyber Insider、SecurityAffairs等國外資安媒體也都揭露此事。不過，目前該公司並未證實這項消息。</p> <p>RansomHub駭客組織在他們的洩密網站上表示，已將該公司「所有網路與備份全部加密」，並聲稱已滲透Clevo公司網路多時，甚至進一步威嚇表示，他們有足夠的時間分析製造商的產品、客戶與合作，並且下載了最重要與最敏感的資料。安全研究人員Dominic Alvieri透露，該公布了10份竊取自藍天電腦的文件，內容似乎包含產品規畫路線圖、筆電規格示意圖與簡介等。特別的是，在其中一張簡報截圖的畫面中，還有註記「會議討論不准外流」的文字。資安媒體Cyber Insider指出，RansomHub宣稱他們是針對透過社交工程與網路釣魚攻擊藍天電腦的一名員工，進而入侵該公司的系統。</p> <p>在6月7日下午2時58分藍天電腦發布重大訊息，針對媒體報導傳出資安事件做出回應，表示他們的資安單位偵測到網路傳輸異常，隨即啟動資安防禦及復原機制，同時也說明目前這次事件，未造成無法營運或無法正常提供服務的情形。只是，對於資料是否遭竊取的情形與調查，並未多做說明。</p> <p><a href="https://www.ithome.com.tw/news/163350"><strong style="font-size: 22px;">烏克蘭揭露針對鎖定武裝部隊的攻擊行動提出警告，駭客濫用檔案同步工具SyncThing竊取資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SickSync-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SickSync-1.jpg" style="width: 300px; float: right;" /></a>6月5日烏克蘭電腦緊急應變團隊（CERT-UA）指出，他們與烏克蘭武裝部隊網路安全中心（CCB）合作，揭露駭客組織UAC-0020（又稱Vermin）的攻擊行動「SickSync」，並指出對方的目標，就是針對烏克蘭武裝部隊而來。</p> <p>針對駭客發起的攻擊行動，對方先是寄送電子郵件，當中挾帶附件turrel.fop.wolf.rar，此為受到密碼保護的RAR自解壓縮檔。一旦收信人將附件開啟，電腦就會開啟誘餌PDF文件，並透過BAT批次檔執行惡意安裝檔sync.exe，於受害電腦植入作案工具。</p> <p>而該檔案的內容，包含了曾在2019年出現的惡意程式Spectr、檔案同步工具SyncThing，以及上述軟體所需的程式庫。</p> <p><a href="https://www.ithome.com.tw/news/163358"><strong style="font-size: 22px;">思科修補Webex Meeting零時差漏洞，有資安媒體指出這漏洞被用於攻擊德國政府</strong></a></p> <p>6月4日思科發布資安公告，指出他們在5月初發現Webex Meeting的弱點，導致部分客戶的會議資訊及中繼資料遭到未經授權的存取，他們已在5月28日進行處理，對全球客戶部署修補程式。</p> <p>究竟上述弱點導致的未經授權存取資安事故細節為何？該公司並未進一步透露，但資安新聞網站SecurityAffairs指出，很有可能與今年3月德國政府傳出的資安事故有關。當時俄羅斯駭客對於軍事視訊會議發動攻擊，而這場會議的內容，主要是討論如何向烏克蘭提供軍事援助。</p> <p><a href="https://www.ithome.com.tw/news/163360"><strong style="font-size: 22px;">開源網頁應用程式框架ThinkPHP已知漏洞遭到利用，中國駭客將其用於部署名為Dama的Web Shell</strong></a></p> <p>資安業者Akamai揭露中國駭客鎖定ThinkPHP應用程式的攻擊行動，對方曾去年10月鎖定少量企業組織下手，但近期相關攻擊再度出現，而且，規模較過往大上不少。而在這起攻擊行動中，駭客利用兩項已知漏洞來進行，分別是CVE-2018-20062、CVE-2019-9082，從編號來看，這些漏洞已公布5年以上。</p> <p>研究人員看到對方利用上述2項弱點，在目標伺服器植入名為public.txt的檔案，並將其儲存為roeter.php，而該檔案疑似來自位於中國、已遭入侵的伺服器。而上述的純文字檔案，內容包含了經混淆處理的Web Shell，研究人員稱為Dama，其功能是遠端控制伺服器。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.aquasec.com/blog/muhstik-malware-targets-message-queuing-services-applications/"><strong style="font-size: 20px;">殭屍網路Muhstik利用Apache RocketMQ弱點擴大DDoS攻擊規模</strong></a></p> <p></p> <p>◆<a href="https://www.trendmicro.com/en_us/research/24/f/commando-cat-a-novel-cryptojacking-attack-.html"><strong style="font-size: 20px;">研究人員揭露Commando Cat攻擊行動，駭客鎖定錯誤配置的Docker容器並用來挖礦</strong></a></p> <p>◆<a href="https://www.sonatype.com/blog/crytic-compilers-typosquats-known-crypto-library-drops-windows-trojan"><strong style="font-size: 20px;">冒牌PyPI套件Crytic-Compilers鎖定開發人員，意圖散布竊資軟體Lumma Stealer</strong></a></p> <p></p> <p>◆<a href="https://research.checkpoint.com/2024/inside-the-box-malwares-new-playground/"><strong style="font-size: 20px;">為迴避偵測，駭客濫用加殼軟體BoxedApp包裝惡意程式的情況日益頻繁</strong></a></p> <p>◆<a href="http://arcticwolf.com/resources/blog/lost-in-the-fog-a-new-ransomware-threat/"><strong style="font-size: 20px;">美國教育機構遭到勒索軟體Fog鎖定，攻擊者藉由外流的VPN帳密入侵網路環境</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163355"><strong style="font-size: 22px;">美國聯邦調查局取得逾7千個勒索軟體LockBit解密金鑰</strong></a></p> <p></p> <p>FBI助理局長Bryan Vorndran本周在波士頓網路安全會議上披露，迄今他們手上已握有超過7,000個LockBit勒索軟體的解密金鑰，可以協助受害者取回它們的資料並重新上線，除了FBI正在聯繫已知的受害者之外，亦鼓勵任何懷疑自己受害的用戶聯繫網路犯罪投訴中心（Internet Crime Complaint Center，IC3）。</p> <p>多國政府在今年2月聯手破獲LockBit，當時國際警方接管LockBit的資料外洩平臺，並取得原始碼、受害者資料、竊得資料及對話記錄等，以及逾1,000個解密金鑰；但在美國5月起訴31歲的LockBit首領Dmitry Yuryevich Khoroshev時，國際警方所握有的解密金鑰已超過2,500個，隨著警方的持續追查，現則取得逾7,000個解密金鑰。</p> <p><a href="https://www.ithome.com.tw/news/163348"><strong style="font-size: 22px;">老牌紡織廠靠生成式AI強化資安，將社交工程演練平臺化、AI化</strong></a></p> <p>遠東新世紀資安處資安長易換棣在臺灣資安大會CYBERSEC 2024上分享資安探索經驗，該公司先是從上市上櫃公司資通安全管控指引建議的3大防線中，鎖定人員資安意識面，自建社交工程演練平臺、用生成式AI搭配8種風險指標，來生成釣魚郵件內容。</p> <p>他們也利用AI推薦個人化的資安意識課程、自動評分和建議。目前，遠東新世紀正探索結合AI和數位工具，來自動化執行社交工程演練。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163344"><strong>【6月6日】病理學暨診斷服務供應商Synnovis遭到勒索軟體攻擊導致倫敦醫院服務中斷，傳出是駭客組織Qilin所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163317"><strong>【6月5日】針對烏克蘭政府恢復公營事業收費，俄羅斯駭客組織FlyingYeti策畫利用WinRAR漏洞的網釣攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163303"><strong>【6月4日】帛琉政府資料流入暗網，指控是中國政府指使勒索軟體駭客組織所為</strong></a></p> </div></div></div>
2024/6/7 17:59作者周峻佑https://www.ithome.com.tw/news/163361
開源網頁應用程式框架ThinkPHP已知漏洞遭到利用，中國駭客將其用於部署名為Dama的Web Shell
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Akamai揭露中國駭客鎖定ThinkPHP應用程式的攻擊行動，對方曾去年10月鎖定少量企業組織下手，<a href="https://www.akamai.com/blog/security-research/2024-thinkphp-applications-exploit-1-days-dama-webshell">但近期相關攻擊再度出現</a>，而且，規模較過往大上不少。</p> <p>什麼是ThinkPHP？這是在中國相當熱門的開源網頁應用程式開發框架，提供一系列的程式庫、元件、工具，藉由遵循Model-View-Controller（MVC）架構，來簡化開發網頁應用程式的流程。</p> <p>而在這起攻擊行動中，駭客利用兩項已知漏洞來進行，分別是CVE-2018-20062、CVE-2019-9082，從編號來看，這些漏洞已公布5年以上。</p> <p>其中，CVE-2018-20062出現在1.3版NoneCms，遠端攻擊者能藉此執行任意PHP程式碼，CVSS風險評分達到9.8。另一個漏洞CVE-2019-9082，則是出現在1.1.1版Open Source BMS，有可能導致遠端程式碼執行，CVSS風險評為8.8分。</p> <p>研究人員看到對方利用上述2項弱點，在目標伺服器植入名為public.txt的檔案，並將其儲存為roeter.php，而該檔案疑似來自位於中國、已遭入侵的伺服器。</p> <p>而上述的純文字檔案，內容包含了經混淆處理的Web Shell，研究人員稱為Dama，其功能是遠端控制伺服器。</p> <p>這個Web Shell具備許多進階功能，例如提供檔案管理介面，讓攻擊者能竄改檔案內容甚至是時戳，並收集特定資料的功能，研究人員指出，這使得攻擊者有機會找出可用於提升權限的漏洞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dama-interface.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/dama-interface.png" style="width: 580px;" /></a></p> <p>此外，該後門工具還能讓攻擊者掃描網路連接埠，或是對資料庫及伺服器的資料進一步存取，甚至能濫用Windows工作排程器設定WMI組態，新增高權限使用者。</p> <p>而對於攻擊來源，研究人員指出惡意酬載來自位於香港的伺服器，而這臺伺服器也被部署了Dama。對此，他們研判，受害伺服器一旦遭到入侵，就有可能被攻擊者納入基礎架構的節點。</p> </div></div></div>
2024/6/7 17:39作者周峻佑https://www.ithome.com.tw/news/163360
烏克蘭揭露針對鎖定武裝部隊的攻擊行動提出警告，駭客濫用檔案同步工具SyncThing竊取資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月5日烏克蘭電腦緊急應變團隊（CERT-UA）指出，他們與烏克蘭武裝部隊網路安全中心（CCB）合作，<a href="https://cert.gov.ua/article/6279600">揭露駭客組織UAC-0020（又稱Vermin）的攻擊行動「SickSync」</a>，並指出對方的目標，就是針對烏克蘭武裝部隊而來。</p> <p>對於攻擊者的身分，CERT-UA特別提及對方來自盧甘斯克人民共和國（LNR），這起攻擊行動是受到臨時占領的執法機構指使，由於俄羅斯在2022年10月幾乎占領整個盧甘斯克，換言之，CERT-UA認為俄羅斯政府是幕後主使。</p> <p>針對駭客發起的攻擊行動，對方先是寄送電子郵件，當中挾帶附件turrel.fop.wolf.rar，此為受到密碼保護的RAR自解壓縮檔。一旦收信人將附件開啟，電腦就會開啟誘餌PDF文件，並透過BAT批次檔執行惡意安裝檔sync.exe，於受害電腦植入作案工具。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SickSync-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SickSync-1.jpg" style="width: 580px;" /></a></p> <p>而該檔案的內容，包含了曾在2019年出現的惡意程式Spectr、檔案同步工具SyncThing，以及上述軟體所需的程式庫。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SickSync-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SickSync-2.jpg" style="width: 580px;" /></a></p> <p>值得一提的是，Spectr是採用模組化設計的惡意程式，具備從特定資料夾及外接式USB裝置收集檔案的能力，並可搜括Telegram、Signal、Skype等即時通訊軟體，以及Firefox、Edge、Chrome瀏覽器當中的帳密資料，或是連線階段內容。</p> <p>接著，對方透過SyncThing進行點對點的傳輸，以資料同步的方式將竊得資料流出。對此，CERT-UA表示，所有與SyncThing基礎設施相關（例如：*.syncthing.net）的互動情形，都可能是電腦遭到這波攻擊的跡象。</p> </div></div></div>
2024/6/7 12:45作者周峻佑https://www.ithome.com.tw/news/163350
PHP修補CGI參數可被用於注入攻擊的弱點，若不處理攻擊者有可能發動遠端程式碼執行攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣資安業者戴夫寇爾針對<a href="https://devco.re/blog/2024/06/06/security-alert-cve-2024-4577-php-cgi-argument-injection-vulnerability/#%E6%BC%8F%E6%B4%9E%E5%9B%9E%E5%A0%B1%E6%99%82%E9%96%93%E8%BB%B8">PHP程式語言於6月6日修補的漏洞CVE-2024-4577提出警告</a>，此為重大層級的遠端程式碼執行（RCE）漏洞，存在於CGI參數而有可能被用於注入攻擊。由於全球有近八成網站採用PHP，這項漏洞的影響範圍有可能會非常廣泛。</p> <p>這項漏洞發生的原因，在於此程式語言在設計時，忽略Windows作業系統對於字元編碼轉換的過程，採取最佳化對應（Best-Fit）的方式進行。攻擊者可在未經身分驗證的情況下，藉由特定字元序列繞過原本因應<a href="https://www.kb.cert.org/vuls/id/520827">PHP-CGI查詢字串參數漏洞CVE-2012-1823</a>的防護措施，而有機會藉由參數注入或其他手法，在遠端的PHP伺服器上執行任意程式碼。</p> <p>值得留意的是，研究人員提及這項漏洞影響所有Windows版本的PHP，PHP目前已發布<a href="https://www.php.net/ChangeLog-8.php#8.3.8">8.3.8</a>、<a href="https://www.php.net/ChangeLog-8.php#8.2.20">8.2.20</a>、<a href="https://www.php.net/downloads.php#v8.1.29">8.1.29</a>版予以修補，但對於已終止支援的8.0版、7.x、5.x版，戴夫寇爾也公布網站管理員檢查伺服器是否易受攻擊的方法，以及暫時的緩解措施。</p> <p>研究人員以最常搭配Apache HTTP Server的情境提出說明，他們已確認當Windows作業系統執行正體中文、簡體中文，或是日文的時候，攻擊者就有機會觸發上述漏洞，直接在遠端伺服器執行任意程式碼。</p> <p>他們也提及2種可被觸發漏洞的情形，其中一種是將PHP設置於CGI模式執行，另一種則是將PHP執行檔曝露於CGI資料夾，即使未透過CGI模式執行PHP，也會曝露相關風險。</p> <p>由於安裝Windows版XAMPP的預設組態，也將PHP執行檔存放於CGI資料夾，因此他們認為，使用這種套件的Windows主機，也可能受影響。</p> </div></div></div>
2024/6/7 15:32作者周峻佑https://www.ithome.com.tw/news/163356
思科修補Webex Meeting零時差漏洞，有資安媒體指出這漏洞被用於攻擊德國政府
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月4日思科發布資安公告，指出<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-webex-june-2024">他們在5月初發現Webex Meeting的弱點</a>，導致部分客戶的會議資訊及中繼資料遭到未經授權的存取，他們已在5月28日進行處理，對全球客戶部署修補程式。</p> <p>該公司也根據事件記錄資料，通知遭到他人成功存取會議資訊及中繼資料的受害組織，並強調在他們完成修補後，這項漏洞尚未出現再遭利用的跡象。</p> <p>究竟上述弱點導致的未經授權存取資安事故細節為何？該公司並未進一步透露，但<a href="https://securityaffairs.com/164173/breaking-news/cisco-webex-flaws-german-government-meetings.html">資安新聞網站SecurityAffairs指出</a>，很有可能與今年3月<a href="https://www.bbc.com/news/world-europe-68457087">德國政府傳出的資安事故</a>有關。當時俄羅斯駭客對於軍事視訊會議發動攻擊，而這場會議的內容，主要是討論如何向烏克蘭提供軍事援助。</p> <p>到了今年5月，這起事故有了新的發展，<a href="https://www.zeit.de/digital/datenschutz/2024-05/bundeswehr-webex-sicherheitsluecke-it-sicherheit">德國新聞網站Zeit Online指出</a>，攻擊者存取上述會議內容的管道，就是透過德國政府部署的Webex軟體漏洞而得逞。</p> </div></div></div>
2024/6/7 16:25作者周峻佑https://www.ithome.com.tw/news/163358
Telegram發表虛擬貨幣Stars
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Telegram本周<a href="https://telegram.org/blog/telegram-stars" target="_blank">發表了</a>可用來支付數位商品的虛擬貨幣Telegram Stars，同時鼓勵開發者建置得以接受Telegram Stars的小程式（Mini App），並說開發者可將所收到的Telegram Stars以加密貨幣Toncoin領出。</p> <p>Telegram表示，該平臺目前每月有超過4億名用戶與機器人或迷你程式互動，可能是購買產品、存取服務或玩遊戲，藉由Telegram Stars的推出，這些機器人及迷你程式將可開始銷售產品及服務。</p> <p>簡單地說，Telegram Stars可於Telegram生態體系中購買數位商品及服務。使用者可在Android或iOS上的Telegram程式購買Stars，並經由這兩個平臺的帳單支付，也能向Premium Bot購買Stars，以用來支付電子書、線上課程，或遊戲中物件，未來Telegram也將允許使用者透過Stars來購買送給創作者的禮物。</p> <p>至於Telegram創辦人<a href="https://t.me/durov/280" target="_blank">Pavel Durov則鼓勵</a>開發者打造支援Stars的小程式，他說蘋果與Google在使用者於程式中購買Stars時，會向開發者收取30%的佣金，但Telegram同時會透過Stars來補貼開發者的廣告購買，倘若開發者決定透過廣告來推廣程式，佣金成本幾乎是零。</p> <p>此外，開發者亦可透過Fragment交易平臺，以Toncoin來領取他們所獲得的Stars。</p> <p>從Telegram的展示可看出，目前每個Stars的售價約為0.02美元，而CoinMarketCap的資料則顯示，現在每個Toncoin的價格為7.6美元。</p> </div></div></div>
2024/6/7 16:34作者陳曉莉https://www.ithome.com.tw/news/163357
蘋果即將推出獨立的密碼程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.bloomberg.com/news/articles/2024-06-06/apple-to-debut-passwords-app-in-challenge-to-1password-lastpass" target="_blank">彭博社</a>》（Bloomberg）本周引述消息來源報導，蘋果將於下周舉行的WWDC開發者大會上發表名為Passwords的獨立密碼程式，該程式將現身於最新的iOS 18、iPadOS 18及macOS 15作業系統上。</p> <p>根據報導，Passwords的底層技術為蘋果的iCloud Keychain，iCloud Keychain原本即可用來同步不同裝置的密碼與帳戶資訊，只是被藏匿在設定中，現在蘋果只是將該功能獨立。</p> <p>Passwords將可用來存放使用者的帳戶登入資訊、 Wi-Fi網路密碼或是通行密鑰（Passkey），而且可匯入其它密碼程式的資料，也支援使用者登入時的自動填入功能。</p> <p>無法跨裝置或平臺的密碼程式對使用者來說有些麻煩，因為密碼程式通常可自動生成複雜的密碼並存放於裝置上，若缺乏跨平臺的支援，那麼在A平臺上生成的複雜密碼就得花費一些力氣才能於B平臺上取得，包括手動輸入或藉由其它傳訊程式傳送，而《彭博社》則說，Passwords之後除了會支援 Vision Pro之外，也將支援Windows。</p> </div></div></div>
2024/6/7 16:53作者陳曉莉https://www.ithome.com.tw/news/163359
微軟統一開發體驗整合儲存服務Dataverse，簡化營運應用開發流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟針對財務與營運應用程式推出<a href="https://devblogs.microsoft.com/powerplatform/the-unified-development-environment-is-ga/">統一開發體驗（Unified Developer Experience，UDE）</a>，透過整合多種開發工具和雲端服務，簡化了財務和營運應用程式開發流程，無縫接軌本地開發和雲端執行。UDE將許多功能整合到單一登入體驗中，使得開發者可以更方便地使用不同平臺功能。</p> <p>過去開發者在開發與執行財務與營運應用程式的體驗，集中在本地端上，像是在單一機器進行程式碼編輯、X++編譯和部署，而在應用程式中運作X++程式碼的執行時體驗，也是在本地端除錯、執行單元測試，並使用SQL Server Management Studio和追蹤解析器進行資料分析，且要操作託管在雲端儲存商務應用程式資料的Dataverse，則必須額外手動設定和管理，並沒有與本地開發和執行時環境整合。</p> <p>而在新的UDE中，程式碼編輯和除錯等開發工作雖然仍是在裝置上進行，但是X++程式碼的執行會完全在雲端運作，應用物件伺服器（Application Object Server，AOS）、SQL資料庫實體以及Dataverse也都完整安裝都在雲端上。</p> <p>UDE解決了開發工具和環境相對分散的問題，透過提供統一開發環境，減少開發者在工具間的切換的需要，同時消除了本地開發和雲端執行之間的隔離。UDE維持本地開發的靈活性，開發過程集中在本地進行，但所有程式碼的執行都移往雲端，這使得整體的開發裝置設定更加簡單，開發者只需在標準筆記型電腦上安裝Visual Studio 2022即可，應用程式碼在雲端上執行，進而充分運用雲端運算能力與可擴展性。</p> <p>過去開發者需要手動管理多個環境和版本切換，容易出現版本不符的問題，UDE則可確保資料的一致性，當開發者對不同版本的應用程式碼進行開發，UDE系統會自動切換並下載正確的後設資料版本，開發者無須手動設置。</p> <p>在UDE中Dataverse扮演核心資料平臺的角色，其自動配置並整合多項技術，包括可實現資料同步的雙向寫入技術，以及無需複製資料的虛擬實體存取，還有業務事件觸發與流程自動化。Dataverse也使財務和營運應用程式能夠結合Azure Synapse Link，執行資料分析和高可用性儲存，同時還支援開發者採用Copilot擴充套件擴展人工智慧工作流程。</p> </div></div></div>
2024/6/7 17:04作者李建興https://www.ithome.com.tw/news/163354
Mistral公布模型微調API、SDK、企業服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國AI新創公司Mistral AI本周<a href="https://mistral.ai/news/customization/" target="_blank">公布AI模型客製化工具</a>，包括API、SDK，讓開發人員更容易為自家AI應用微調模型，或是提升模型的執行效能和速度，此外也提供企業模型微調服務。</p> <p>過去，微調模型需要高額投資，也需要具備相當的模型知識。為此，Mistral AI推出微調用的SDK及API，藉以降低微調模型的成本及技術門檻。而且，新工具可支援在用戶自有基礎架構上微調Mistral AI模型，或是使用Mistral AI代管的微調服務二種情境。</p> <p>Mistral AI的微調SDK名為mistral-finetune。後者是一種高效輕量程式庫（codebase）。這家業者說，這codebase是以LoRA（Low-Rank Adaptation）訓練典範訓練而成，支援省記憶體（memory-efficient）和高效的微調作業，允許用戶在自己的基礎架構上微調Mistral AI所有開源模型，而不損及效能。根據<a href="https://github.com/mistralai/mistral-finetune" target="_blank">mistral-finetune網頁</a>說明，為確保效能，建議使用A100或H100 GPU。這個程式庫已為多GPU單一節點訓練環境優化，但若用較小模型如Mistral AI 7B，則單一個GPU已足夠。</p> <p>這家新創另外也發布la Platforme上的一組無伺服器（serverless）微調服務API。這些服務以Mistral獨有的微調技術為基礎改良，達到可快速、省成本微調，以及快速部署模型的目的。這是Mistral模型開放應用開發商存取的新方式，底層使用LoRA接口，以防用戶忘記基礎架構模型知識，也更方便提供服務。</p> <p>微調服務API相容Mistral 7B及Mistral Small二種模型。這些模型用戶現在就能利用API加以客製化。該公司表示，未來幾周會再加入支援的新模型。</p> <p>若用戶不會微調，或希望微調結果更符合自有應用，Mistral AI也能代勞；新公布的客製化訓練服務能以客戶自有資料來微調模型，適合建立更專精化和為特定領域最佳化的模型。該公司在這服務中加入進階技術，像是持續預訓練（continuous pretraining），以便在模型權重中加入專屬知識。目前這客製化訓練服務已經提供給一小部分客戶。</p> </div></div></div>
2024/6/7 14:52作者林妍溱https://www.ithome.com.tw/news/163353
FBI已取得逾7,000個LockBit解密金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>FBI助理局長<a href="https://www.fbi.gov/news/speeches/fbi-cyber-assistant-director-bryan-vorndran-s-remarks-at-the-2024-boston-conference-on-cyber-security" target="_blank">Bryan Vorndran本周在波士頓網路安全會議上披露</a>，迄今他們手上已握有超過7,000個LockBit勒索軟體的解密金鑰，可以協助受害者取回它們的資料並重新上線，除了FBI正在聯繫已知的受害者之外，亦鼓勵任何懷疑自己受害的用戶造訪網路犯罪投訴中心（Internet Crime Complaint Center，IC3）。</p> <p>多國政府在今年2月聯手<a href="https://www.ithome.com.tw/news/161352" target="_blank">破獲LockBit</a>，當時國際警方接管了LockBit的資料外洩平臺，並取得原始碼、受害者資料、所竊取資料及聊天紀錄等，以及逾1,000個解密金鑰；但在美國於今年5月<a href="https://www.ithome.com.tw/news/162760" target="_blank">起訴</a>31歲的LockBit首領Dmitry Yuryevich Khoroshev時，國際警方所握有的解密金鑰已超過2,500個，隨著警方的持續追查，現則取得逾7,000個解密金鑰。</p> <p>不過，曾有一名LockBit開發者宣稱，從LockBit建立以來，總計擁有4萬個解密金鑰，執法機構只掌控了少數。</p> <p>儘管身分已曝露且被起訴，但Khoroshev依舊嘗試另起爐灶並於暗網中提供服務，還企圖藉由檢舉其它勒索軟體服務業者來換得自由，但Vorndran表示，FBI無疑會努力將他繩之以法。</p> </div></div></div>
2024/6/7 15:44作者陳曉莉https://www.ithome.com.tw/news/163355
臺灣資安大會特別報導(下) 臺灣資安大躍進
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1185-feng_mian_gu_shi_-p1_open-960x420_kao_bei_0.jpg?itok=T9rUljRk" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">資安是臺灣賴以生存與立足國際舞臺的必需品，身為資通訊設備生產大國，臺灣公務機關與資安產業持續推動零信任架構的落實，今年取得重大突破，而整體產業的部分，我們積極針對AIoT產品提供確保資安的元件，並正式投入後量子資安產業的發展。</p> </div></div></div>
2024/6/7 11:26未署名https://www.ithome.com.tw/article/163349
【臺灣資安大會直擊】老牌紡織廠靠GAI強化資安，將社交工程演練平臺化和AI化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遠東新世紀資安處資安長易換棣在臺灣資安大會上分享資安探索經驗，先是從上市上櫃公司資通安全管控指引建議的3大防線中，鎖定人員資安意識面，自建社交工程演練平臺、用生成式AI搭配8種風險指標，來生成釣魚郵件內容。他們還利用AI推薦個人化的資安意識課程、自動評分和建議。目前，遠東新世紀正探索結合AI和數位工具，來自動化執行社交工程演練。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>上市公司面臨的資安需求與挑戰</strong></span></span></p> <p>遠東新世紀是一家60幾歲的跨國企業，橫跨跨6個時區、行銷85國，還在7個國家設置生產基地。他們是全球前三大聚酯纖維生產廠之一，擁有從石化、聚酯、化纖、紡紗、織布、染整、成衣到零售的完整上下游生產鏈。</p> <p>但對遠東新世紀這樣的上市公司來說，還面臨不少資安需求。比如政府法令法規，包括了資安法及其子法、個資法，以及影響臺灣企業深遠的上市上櫃公司資通安全管控指引、公開發行公司建立內部控制制度處理準則，「雖然還沒成為真正的法令，但它就像一把劍指著我們。」易換棣說。</p> <p>再來是客戶契約，尤其是客戶對遠東新世紀的資安要求，如C-TPAP美國海關商貿反恐聯盟、歐美品牌公司力推的供應鏈安全措施。此外還有治理和ESG課題，如公司治理評鑑將資安認證列為加分指標，這也是一項資安需求。其他還有數位轉型，如近年生成式AI興起，採用AIGC應用可能帶來資安隱憂，而IoT數位足跡、去全球化及戰爭威脅、國際詐騙等也是要考量的資安需求。</p> <p>面對這些需求，易換棣點出，他們還有4種資安挑戰要解決，包括資安人才、資安資金、專職與專責的資安人力，以及資安人員與主管和跨單位同事的關係和諧問題。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>鎖定人員資安意識，制定AI社交工程演練方法</strong></span></span></p> <p>面對這些挑戰，遠東新世紀從上市上櫃公司資通安全管控指引中，找出可加強之處。這份指引提出「3大防線」，來建議企業從政策面、技術面和人員意識面強化資安防護，比如在政策面，要求企業成立資安推動組織與制定資安目標、設立資安專責人員、制定人員裝置使用管理規範等措施，技術面則點出，企業要設置資安威脅偵測管理機制、資安防護與控制等機制。</p> <p>人員意識面則給出3大建議，包括接受資安教育訓練、資安專業課程訓練，以及每年辦理電子郵件社交工程演練。「因為我們在市場上很難找到成熟的產品或方法論，」於是遠東新世紀選定人員意識面，作為探索領域。</p> <p>他們自建一套演練平臺，也制定一套AI社交工程演練方法，來提高人員資安意識。這套方法有8個步驟，首先，遠東新世紀建立演練名單，並分析員工特質、建立員工風險履歷。第2步是制定社交工程場景計畫，包括建立計畫草稿和客製化釣魚郵件範本。</p> <p>接著是釣魚攻擊演練，這步驟包含2件事：自動回覆釣魚郵件事件和釣魚郵件家教，來協助演練和資訊彙整。第4個步驟是分析組織與員工的活動風險，其中，團隊會用AI生成活動日誌，來統計、分析組織和員工活動。根據風險分析，接下來是推動安全意識線上課程，比如透過AI推播個人化的課程。上完課，下一步要做的是線上安全意識測驗，一樣要透過AI輔助自動評分、給予考試內容輔導意見。</p> <p>完成測驗後，再來是借助AI，匯總公司和職員個人的風險報告。最後一步則是提出改善方案，來提高人員資安意識。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>定義8種弱點特質、製作風險履歷</strong></span></span></p> <p>這8步驟看來複雜，遠東新世紀如何跨出第一步？</p> <p>易換棣指出，他們先透過資安情報、公開資訊，盤點出高風險的郵件用戶，也就是「釣魚郵件演練不能放過的職員。」比如透過職位層級找出高風險職員，如高階主管、IT、財務、高權限用戶，以及過往資安意識表現較低的職員，如新進員工或資安培訓不足的員工。</p> <p>同時，他們也鎖定聯絡資訊對外暴露的職員，如官網公開的Email清單、暗網洩漏名單、重要供應鏈視窗名單和社交平臺活躍用戶等，或是研發、人資和業務等特定部門員工，納入高風險名單，作為必須演練的對象。</p> <p>接著，他們制定風險履歷，先定義出8種弱點，也就是演練對象容易上當的釣魚郵件類型，包括恐懼威脅、貪小便宜、粗心大意、宗教政治、情感豐富、新興科技、好奇寶寶、急功近利。</p> <p>比如，恐懼威脅是以威脅口吻告訴收件者握有機密資訊，要求收件者在特定時間內支付贖金等內容。貪小便宜則指，利用打折、優惠等內容吸引收件者點選郵件連結。粗心大意則透過模仿金融機構、利用帳戶安全等字眼，引起收件者擔心、進而點擊「忘記密碼」連結。宗教政治顧名思義，以宗教或政治活動邀請，如探索宗教與自我的深層連結，來吸引收件者閱讀、點擊連結。</p> <p>至於情感豐富類型，則是以災區捐款、模仿慈善團體名義等方法，發送內含惡意連結的釣魚郵件給特定對象。新興科技是指以科技媒體名義，發送捏造的新技術新聞內容，如ChatGPT 5Alpha正式登場，並附上體驗連結來吸引收件者點擊。好奇寶寶類型則是以英文和近似大牌廠商名稱，如Coco-Cola，來發送包含連結的中獎消息。最後一種急功近利型，則是以「絕對不能錯過」、「快速致富」、「投資贏家」等字眼來激起收件者好奇心，進而點擊連結。</p> <p>遠東新世紀用這8個弱點規畫的風險履歷，包含一套雷達圖，以8個弱點作為指標，可根據個人和組織整體的8項分數，畫出風險雷達圖。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>訂定5種演練場景，採混合演練模式</strong></span></span></p> <p>接下來，對應到上述步驟2的社交工程場景計畫制定，他們劃分出5種演練場景，包括新員工培訓、定期員工培訓、發生資安事件後、特定部門釣魚郵件演練，以及公司重要活動前，並分別制定不同演練計畫。易換棣補充，第5個場景尤其重要，比如遠東新世紀每年都會舉辦馬拉松，在馬拉松前發送釣魚郵件，職員上鉤機率較高，因此是個加強演練和宣導的好時機。</p> <p>而他們的演練計畫內容，通常包含演練目標範疇、管理層授權、執行團隊統籌、鎖定釣魚對象並以生成式AI產生內容、開立IT需求單、事前演練、正式演練和出具報告與教育訓練等。</p> <p>在演練階段，不少企業會分為統一演練和部門演練2種方式，但遠東新世紀採混合式方法，將中央和部門採用同一套框架標準，再由各部門根據需求，來制定所需的演練內容。</p> <p>如此，就能兼顧統一演練和部門各自演練的好處，像是貼近部門需求、參與程度高等。易換棣補充，他們也正探索，如何利用AI和數位平臺，來高效能、自動化完成演練。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>善用AI提高演練和教育效率</strong></span></span></p> <p>演練期間，他們還設計生成式AI驅動的釣魚郵件家教，當員工收到可疑郵件時，可向家教詢問，家教再根據郵件來源、特徵等，來告訴員工是釣魚郵件風險等級和處理建議。這些高風險郵件資訊還會儲存起來，未來出現同樣或類似內容時，就能通知職員。</p> <p>易換棣解釋，這個家教是他們訓練的幾支AI代理（Agent）之一，透過每一次的對話，即時告知員工判斷要點，也發揮宣導功能。</p> <p>再來，在演練後的資安意識課程部分，遠東新世紀也運用AI推送合適的影片，並幫忙改測試考卷、給予建議。尤其，他們使用RAG技術，結合公司內部政策，能提供更貼切的資安說明員工。</p> <p>與之類似的，還有團隊打造的資安問答Chatbot。他們收集公司相關案例，員工透過資安問答Chatbot，可學習到過往社交工程資訊，先行預防。「透過這些方法，我們在教育訓練的即時性、個人化表現是有提升的，」易換棣說。</p> <p>最後，遠東新世紀自建的AI釣魚郵件演練平臺，會根據部門員工分數，顯示部門和公司整體風險履歷表，包括8大指標雷達分數圖，以及年度評測結果說明。同一頁面還會秀出公司的社交工程實戰看板，包括每次演練重點摘要和關鍵數字，另外也能從邊欄，來查看事件回應分析、社交工程評估報告等更多內容。</p> <p>至於如何衡量演練成效，易換棣也分享3大檢核要點。第一是效果，比如收益是否高於成本、提升整體防護，再來是效率，如操作簡單流暢、自動化且標準化、營運干擾最小化，以及貼合性，也就是符合實務、模擬真實攻擊手法等。</p> </div></div></div>
2024/6/7 11:15作者王若樸https://www.ithome.com.tw/news/163348
【2024臺灣資安年鑑｜資安十年特輯】學校教育至少要能培養出資安人手，期許成為博派資安人
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_shi_nian_-wu_zong_cheng_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">iThome</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資訊安全在當今社會日益受到重視，成為眾多產業和政府機構關注的焦點之一。然而，資安的發展過程中也面臨著各種挑戰，而這些挑戰往往不只是技術，更牽涉到人、政策和社會等多個層面。臺灣科技大學資訊管理系特聘教授吳宗成對於資安領域的發展和挑戰有著深刻的見解，他指出，資安產業的發展需要適當的熱度，但又不能過熱，以免阻礙未來的發展。</p> <p>吳宗成強調，資安人才培育的重要性。他認為，成為優秀的資安人才，需具備跨領域專業能力，而且，資安教育應從基礎知識到進階能力全面覆蓋。</p> <p>此外，他還提到應該要提升全民資安意識，因為目前許多資安政策制定者，和年輕世代的數位原住民之間有著極大的數位落差，更呼籲，應該將資安教育納入學校課程和社會培訓，從根本上提升全民的資安意識。</p> <p><span style="font-size:28px;"><strong>推動全民資安教育，因為資安問題就是所有人的問題</strong></span></p> <p>資安問題已經成為全球性問題，而政府在制定相應政策時往往會面臨著諸多挑戰。在政策制定方面，吳宗成舉例指出，為了做到民眾有感，政府往往更關注鋪橋造路等基礎建設，至於如何解決資安問題，往往因為沒選票而忽視。</p> <p>此外，政府在面對資安問題時，往往會與產業、社會之間存在認知落差，這對於資安政策的制定和執行而言，都會帶來一定的困難。</p> <p>隨著科技的發展，像是線上付款、行動支付等新型支付方式，正逐漸成為趨勢。然而，吳宗成更看重這些新技術所帶來的資安風險，他也說，對於將最新科技應用內化的數位原住民而言，這些風險無法避免。他強調，政策制定者和數位原住民的數位落差，可能會導致嚴重資安問題的數位應用或服務，因此，需要更多努力來推動全民資安教育。</p> <p>資安教育需要從早期開始，吳宗成表示，可以從寫程式的方式去了解系統、教導如何辨識資安威脅，以及如何避免資安風險。然而，他認為，現在的資安問題早已不僅是技術問題，更是涉及整個社會的安全問題，使資安意識融入生活的方方面面變得尤為重要。</p> <p>吳宗成指出，政府在推動資安方面仍然面臨著許多挑戰，與其他領域不同，資安問題涉及的，不僅是技術層面，還包括社會、政治、經濟等多個方面。因此，他說，政府需要更加注重全方位的資安管理，包括加強法規制定、推動資安教育、提升監管力度等。</p> <p>面對資安問題的嚴峻挑戰，吳宗成主張推動全民資安意識的建立。他強調，資安不只是高階專家的事情，而是每個人都應該關注的重要問題。因此，政府應該積極推動資安教育和培訓，提高全民對資安問題的認識和理解。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E5%90%B3%E5%AE%97%E6%88%90-600-1-JPG(1).jpg" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>人才培育三階段，從人手、人才到人物</strong></span></p> <p>在資安領域，人才培育一直很重要。吳宗成從三十多年對資安研究和資安人才培育經驗，將人才發展分三階段，資安人手、資安人才，以及資安人物。</p> <p>他認為，資安人才培育應從基礎的「人手」培養開始，逐步提升到「人才」和「人物」層次。然而在這過程中，資安領域確實存在人手、人才、人物之間的斷層，這也成為值得關注的問題。</p> <p>吳宗成對人手、人才、人物的區分，提出了明確定義。他說，「人手」是指具有一定知識水準，可以理解特定事物的人；「人才」則是有能力應用特定事物的人；而「人物」則是具有聲望，被他人認為是某種領域的專家。在資安領域中，這三個層次之間存在著明顯的差距，尤其是在人才和人物方面的培養上，更多都是當事人自學努力、不斷專精研究的成果才有的榮耀。</p> <p>吳宗成進一步解釋，基本的「人手」通常可以根據他人的指示行動，缺乏主動性和獨立思考能力，他期待學生畢業後，至少能扮演好人手的角色。</p> <p>進階的「人才」具有一定的主動性和獨立思考能力，能夠在一定程度上主導自己的行動；最高階的「人物」具有影響力和領導能力，能夠引領他人一起思考和行動。</p> <p>他坦言，目前資安領域大多數的培育工作，其實多集中在人手的培養，而人才和人物的培育相對較為缺乏。儘管有許多人加入了資安領域，但真正具備能力且具有影響力的資安專家仍然稀少。這種培育斷層，使得資安領域在人才的供應，面臨嚴峻的挑戰。</p> <p>韓國最著名的Best of the Best（BoB）資安菁英人才培育計畫，每年培訓一、二百名全國頂尖的資安人才，並將他們推薦到各個產業和不同領域工作。</p> <p>吳宗成表示，臺灣已經參考BoB推出AIS3的資安菁英人才培育計畫，但資安需要培養各種不同層次的人才，不只是菁英級別的專家。</p> <p>因此，產業對資安人才的需求，也應該將納入培訓計畫，以培養更多的資安人才和人物。他認為，這類計畫式的資安人才培養，除了能夠解決資安人才短缺的問題，還能夠促進更多優秀人才在培訓過程中嶄露頭角。因此，將產業需求納入資安培訓計畫的做法，有助於培養更多具備跨領域專業能力的人才，進而推動整個資安領域的發展。</p> <p>對於資安人才的培育，吳宗成認為，除了學校教育，還可以透過在校、在職和社群等多種途徑，培育不同層次的資安人才，但是，這些都是需要長期的投入和努力，才能夠取得實質成效。</p> <p><span style="font-size:28px;"><strong>扎實的學養是跨域人才基本功</strong></span></p> <p>在資安領域，具備產業專業的資安人才的培養一直是重要課題。吳宗成認為，成為優秀資安人才需具備跨領域的專業能力，扎實的學養基礎很重要。</p> <p>他指出，資安領域的基礎能力包括電資、資管和數學等基礎科學能力，也必須懂線性代數、離散數學、統計學等計量數學，其他像是基本的程式語言、程式設計、資料結構、演算法、作業系統、計算機結構、網路系統、資料庫系統等，都是基本知識能力。</p> <p>他也提到資安圈的進階能力，包括密碼學、破密分析、大數據分析、人工智慧、機器學習等理論創新能力；系統安全（軟硬體）、網路安全、資料庫安全、雲端計算、行動運用、數位鑑識等工程研發能力；甚至包括關鍵基礎設施、電子商務、金融支付、電子治理、隱私保護、智財保護等應用及管理能力。</p> <p>因相關能力與人才培養不易，他感嘆臺灣面臨嚴重資安人才斷層與短缺。</p> <p>資訊安全不僅是技術性問題，更是關乎國家安全的嚴肅議題。因為資安的重要性在於，不僅涉及企業的正常運作，還直接影響個人的生活。這種跨越企業和個人層面的影響，使得資安的重要性不言而喻。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E5%90%B3%E5%AE%97%E6%88%90-600-2-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>培養跨域資安人才挑戰大</strong></span></p> <p>吳宗成坦言，在資安人才培育方面，我們面臨著一系列挑戰。首先，跨領域的專業能力要求高，他說，從資安管理、資安技術到資安法律，跨域人才培育需要學生具備廣泛的知識和技能，這也對教育機構提出了更高的要求。</p> <p>其次，教育機構和企業需要投入大量的時間和精力進行培訓和引導，只不過，這樣的培訓工作是長期的耕耘過程，往往難以量化成具體的成效，並且缺乏即時的績效評估標準，使得資安人才培育更加困難。</p> <p>第三，政治因素的影響也不可忽視。例如，馬英九政府時期的服貿協議都對資安人才培育帶來一定的影響。而且，政府對於培育資安人才的政策，同樣對資安人才培育產生影響，因此，政策制定者需更加重視資安人才的培育。</p> <p>例如，臺灣資安人才培育計畫已經推行多年，並且得到政府相關部門的大力支持，像是針對資安菁英人才提出的「AIS3新型態資安暑期課程」即為一例，不僅獲得教育部及其他部門提供相應的資源支持，連帶許多往下延伸到高中生的培訓課程，都讓資安人才培訓可以繼續往下扎根。</p> <p>第四，現行的資安課程主要局限在研究所層次，而吳宗成說，這對於大學生來說，資安相關的課程選擇相對較少。因此，我們需要加強對大學生的資安教育，提供更多選修課程和實踐機會。</p> <p>他認為，為了讓大學生畢業後都能具備資工、資管和資安的基本能力，不一定要獨立開設資安系，但針對現在的資工或是資管科系的學生，至少都要設立資安組，而且，不分組別的學生也都要修習資安的基本課程。</p> <p>至於修課過程，應以三（基本）、三（核心）、四（興趣）的比例做課程選修的分配，他說，至少都要讓畢業的學生都懂得軟工、網路、資料庫、系統分析、資料結構、演算法和資安等基本能力，「這些課程都是讓學生大學畢業後，想到系統整合商（SI）工作要具備的基本能力。」他說。</p> <p>第五，在人才培育方面，老師扮演重要的角色，吳宗成說，現在的他更希望能夠扮演學生的「人生導師」，不只有專業領域的知識技能，而是攸關未來人生的發展方向應該怎麼走會更好。</p> <p>因此，他現在收的學生也比以往少，要提供學生足夠的資源，也必須有更多時間了解學生、有更多溝通機會，他才能夠扮演好人生導師的角色。</p> <p>此外，吳宗成也觀察到，因為教育部對於教師升等有一定的規範路徑，年輕的學者除了花時間在準備教學，也需要花費很多時間在教師升等。</p> <p>他認為，這些教師升等壓力，也使得很多年輕的老師無法發揮創造力，也無法將心力放在某些特定、值得鑽研和深入研究的領域，導致年輕老師比較難成為領域的專家，更難引領學術風潮。</p> <p>吳宗成表示，因為資安人才培育是複雜而艱巨的任務，需要政府、教育機構和企業等共同努力、持續改革，才有辦法培養更多人才、保障國家資安。</p> <p><span style="font-size:28px;"><strong>期許能成為一個博派資安人</strong></span></p> <p>吳宗成在資安領域深耕超過三十年，他從1976年念碩士班開始接觸資安領域，對領域的學習迄今仍堅持不懈。回憶當初學密碼學的時候，發現自己對數學理解不夠深入，但數學對於密碼學又非常，便痛下苦功，務求徹底讀懂。</p> <p>其次，資訊領域的必修課程也是必不可少的，例如資料結構、演算法等，這些都是必須掌握的基本知識，甚至會去讀相關論文，不會因為只想知道答案而走捷徑。像是密碼學中的微積分是非常重要的學科，對於明文、密文的解密，如果懂得向量、懂得代數，就會覺得解密相對簡單。</p> <p>在資安領域中，基本功非常重要，就像武術一樣，基本功不扎實，就無法應對複雜情況。因此，我們必須將基本功練得非常扎實，以應對各種挑戰。</p> <p>吳宗成以金庸小說《倚天屠龍記》出現的少林寺藏經閣掃地僧覺遠和尚為例，每天擔水掃地，練成最上乘內功，才能教張君寶（張三豐）學會以柔克剛、創立太極。他說：「資安領域最怕的就是半瓶水、響叮噹的人。」</p> <p>他認為，面對充滿挑戰的領域中，身為資安專家，也需要具備豐富的知識和技能，才足以應對不斷變化的威脅和挑戰，因此，廣泛閱讀也是必不可少。因為資安涉及多個領域，包括人工智慧、軟硬體、天文地理等各個領域，他說「只有不斷地學習和閱讀，才能夠跟上資安領域的最新發展。」</p> <p>吳宗成很喜歡用「變形金剛」來比喻，他說資安人就要像博派機器人，不能只活在自己的世界，要懂人民生活感受並能提出對策，不能只懂學理、固守自己觀點、活在象牙塔。</p> <p>他說，博派資安人就像變形金剛，可從「生成式」去變化，要博學多聞、活在人的世界中、懂得人民感受，並且要能夠提出對策，他期許每一個資安人，都能成為「博派資安人」。</p> <p>除了專業知識，溝通能力也是資安人必備能力之一。吳宗成表示，身為資安人要學習溝通，知道怎麼做到「下情上達、上情下達」，也須懂得「說人話」，就是不要講太多術語、不能只有同儕聽得懂，必須做到普遍溝通才行。</p> <p>此外，金管會規定上市櫃公司要設資安長，公司資安治理要有高階主管層級，所以資安長也要懂得營運，也必須懂得簡報技巧。吳宗成認為，資安要和不同領域的人合作，若能具備良好的溝通能力，可幫助資安人更好地與他人合作，解決問題，具備良好的情商（EQ）也能更好理解和處理人際關係，才能有好的CQ（溝通品質），對於團隊的合作和工作效率的提升，都有很大幫助。<strong>【本文採訪日期為2024年5月】</strong></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 236px;" /></span></span></strong></a></p> </div></div></div>
2024/6/7 00:00作者黃彥棻https://www.ithome.com.tw/article/163111
老牌筆電廠藍天電腦傳出遭駭，勒索軟體駭客RansomHub聲稱竊得200GB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://cybernews.com/news/clevo-laptop-ransomware-attack-gaming-ransonhub/">國外資安媒體Cybernews報導，勒索軟體駭客組織RansomHub在6月4日聲稱攻擊臺灣老牌電腦設備廠藍天電腦（Clevo），竊得200GB內部資料</a>，由於近期AI PC相關議題正夯，國內電腦設備商資料遭竊的事故也引起國際關注，後續包括其他Cyber Insider、Security Affairs等國外資安媒體也都揭露此事。不過，目前該公司並未證實這項消息。</p> <p>基本上，藍天電腦最早以二線筆電代工廠聞名，並以OEM/ODM為主要業務與營運策略，是臺灣上市公司，屬於藍天集團。</p> <p>關於藍天電腦傳出遭駭一事，我們在昨日下午追蹤此一消息，以了解藍天電腦對於傳出資安事件的回應，或是駭客可能從何處獲取這批資料，但該公司至今日截稿前尚未回應我們的詢問，在臺灣證券交易所的公開資訊觀測站，也未看到該公司發布相關重大訊息。</p> <p>根據Cybernews指出，RansomHub駭客組織在他們的洩密網站上表示，已將該公司「所有網路與備份全部加密」，並聲稱已滲透Clevo公司網路多時，甚至進一步威嚇表示，他們有足夠的時間分析製造商的產品、客戶與合作，並且下載了最重要與最敏感的資料。另也列出他們竊取的文件類型多達18種，包含pdf、pptx、ppt、dwg、dxf、prt、sldprt、asm、sldasm、sdcpc、sdac、sdcc、sdwc、doc、dwt、dws、prt、sdp。</p> <p><a href="https://s4.itho.me/sites/default/files/images/藍天電腦遭駭20240604.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%97%8D%E5%A4%A9%E9%9B%BB%E8%85%A6%E9%81%AD%E9%A7%AD20240604.jpg" style="width: 600px;" /></a></p> <p>此外，安全研究人員<a href="https://twitter.com/AlvieriD/status/1797612907074843039">Dominic Alvieri也在X平臺揭露藍天電腦遭駭的消息</a>，並且指出RansomHub組織已公布了10份竊取自藍天電腦的文件，內容似乎包含產品規畫路線圖、筆電規格示意圖與簡介等。特別的是，在其中一張簡報截圖的畫面中，還有註記「會議討論不准外流」的文字。</p> <p>其他國外媒體也揭露這項消息，例如，<a href="https://cyberinsider.com/ransomhub-claims-attack-on-laptop-maker-clevo-leaks-confidential-docs/">國外資安媒體Cyber Insider指出，RansomHub宣稱他們是針對透過社交工程與網路釣魚攻擊藍天電腦的一名員工</a>，進而入侵該公司的系統，特別的是，Cyber Insider觀察到，過去RansomHub經常兜售他們竊取的資料，但是否在攻擊過程中發動惡意加密，先前並未被證實，而這次他們宣稱加密的情形，是之前不曾有過的狀況，因此值得留意後續狀況。而他們同樣表示，該公司未回應他們的詢問，因此這項消息仍有待官方證實；另一國外資安媒體<a href="https://securityaffairs.com/164126/data-breach/ransomhub-gang-hacked-frontier-communications.html">Security Affairs，也報導RansomHub攻擊的消息</a>，雖然該則報導的焦點是放在美電信業者Frontier Communications受駭，但當中的截圖也顯示藍天電腦同樣遇駭。</p> <p>對於這次遭駭事件傳出，有3個值得關注的焦點，首先，由於目前藍天電腦仍未回應我們，因此，對於這次攻擊與資料外洩的狀況尚未得到該公司的說法。但如果已確認有遭駭情形，由於藍天電腦是上市公司，目前仍未發布資安事件重大訊息，將違反上市公司重大訊息揭露規範。</p> <p>其次，藍天電腦與群光電子、群光電能、百腦匯、群光廣場同屬藍天集團，巧合的是，群光電子在先前4月底曾針對媒體報導發布重訊，坦承遭遇資安事件。不過，群光當時傳出的攻擊者是Hunters International，這次藍天電腦傳出的攻擊者是RansomHub，並不相同。</p> <p>第三，RansomHub是最近興起的勒索軟體組織，今年2月底才首次公開受害者，但我們注意到，近期該組織的動作頻頻，不久之前才傳出<a href="https://www.ithome.com.tw/news/163167">英國精品拍賣業者佳士得</a>、美國醫療集團Change Healthcare遭遇該組織攻擊，因此這個勒索軟體組織的動向，近期也特別受到資安圈的關注，如今若有臺灣企業遭該組織鎖定的情形，顯示可能還有其他公司可能也會成為目標。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(圖1)藍天電腦傳出遭駭，RansomHub宣稱竊得200GB資料.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)%E8%97%8D%E5%A4%A9%E9%9B%BB%E8%85%A6%E5%82%B3%E5%87%BA%E9%81%AD%E9%A7%AD%EF%BC%8CRansomHub%E5%AE%A3%E7%A8%B1%E7%AB%8A%E5%BE%97200GB%E8%B3%87%E6%96%99.jpg" style="width: 600px;" /></a></p> <p><strong>根據國外資安媒體Cybernews表示，勒索軟體駭客組織RansomHub聲稱已攻擊臺灣老牌藍天電腦（Clevo）並成功竊取200 GB的資料。</strong></p> </div></div></div>
2024/6/6 22:19作者羅正漢https://www.ithome.com.tw/news/163347
老牌筆電廠藍天電腦傳出遭駭，勒索軟體駭客RansomHub宣稱竊得200GB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://cybernews.com/news/clevo-laptop-ransomware-attack-gaming-ransonhub/">國外資安媒體Cybernews報導，勒索軟體駭客組織RansomHub在6月4日聲稱攻擊臺灣老牌電腦設備廠藍天電腦（Clevo），竊得200GB內部資料</a>，由於近期AI PC相關議題正夯，國內電腦設備商資料遭竊的事故也引起國際關注，後續包括其他Cyber Insider、Security Affairs等國外資安媒體也都揭露此事。不過，目前該公司並未證實這項消息。</p> <p>基本上，藍天電腦最早以二線筆電代工廠聞名，並以OEM/ODM為主要業務與營運策略，是臺灣上市公司，屬於藍天集團。</p> <p>關於藍天電腦傳出遭駭一事，我們在昨日下午追蹤此一消息，以了解藍天電腦對於傳出資安事件的回應，或是駭客可能從何處獲取這批資料，但該公司至今日截稿前尚未回應我們的詢問，在臺灣證券交易所的公開資訊觀測站，也未看到該公司發布相關重大訊息。</p> <p>根據Cybernews指出，RansomHub駭客組織在他們的洩密網站上表示，已將該公司「所有網路與備份全部加密」，並聲稱已滲透Clevo公司網路多時，甚至進一步威嚇表示，他們有足夠的時間分析製造商的產品、客戶與合作，並且下載了最重要與最敏感的資料。另也列出他們竊取的文件類型多達18種，包含pdf、pptx、ppt、dwg、dxf、prt、sldprt、asm、sldasm、sdcpc、sdac、sdcc、sdwc、doc、dwt、dws、prt、sdp。</p> <p><a href="https://s4.itho.me/sites/default/files/images/藍天電腦遭駭20240604.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%97%8D%E5%A4%A9%E9%9B%BB%E8%85%A6%E9%81%AD%E9%A7%AD20240604.jpg" style="width: 600px;" /></a></p> <p>此外，安全研究人員<a href="https://twitter.com/AlvieriD/status/1797612907074843039">Dominic Alvieri也在X平臺揭露藍天電腦遭駭的消息</a>，並且指出RansomHub組織已公布了10份竊取自藍天電腦的文件，內容似乎包含產品規畫路線圖、筆電規格示意圖與簡介等。特別的是，在其中一張簡報截圖的畫面中，還有註記「會議討論不准外流」的文字。</p> <p>其他國外媒體也揭露這項消息，例如，<a href="https://cyberinsider.com/ransomhub-claims-attack-on-laptop-maker-clevo-leaks-confidential-docs/">國外資安媒體Cyber Insider指出，RansomHub宣稱他們是針對透過社交工程與網路釣魚攻擊藍天電腦的一名員工</a>，進而入侵該公司的系統，特別的是，Cyber Insider觀察到，過去RansomHub經常兜售他們竊取的資料，但是否在攻擊過程中發動惡意加密，先前並未被證實，而這次他們宣稱加密的情形，是之前不曾有過的狀況，因此值得留意後續狀況。而他們同樣表示，該公司未回應他們的詢問，因此這項消息仍有待官方證實；另一國外資安媒體<a href="https://securityaffairs.com/164126/data-breach/ransomhub-gang-hacked-frontier-communications.html">Security Affairs，也報導RansomHub攻擊的消息</a>，雖然該則報導的焦點是放在美電信業者Frontier Communications受駭，但當中的截圖也顯示藍天電腦同樣遇駭。</p> <p>對於這次遭駭事件傳出，有3個值得關注的焦點，首先，由於目前藍天電腦仍未回應我們，因此，對於這次攻擊與資料外洩的狀況尚未得到該公司的說法。但如果已確認有遭駭情形，由於藍天電腦是上市公司，目前仍未發布資安事件重大訊息，將違反上市公司重大訊息揭露規範。</p> <p>其次，藍天電腦與群光電子、群光電能、百腦匯、群光廣場同屬藍天集團，巧合的是，群光電子在先前4月底曾針對媒體報導發布重訊，坦承遭遇資安事件。不過，群光當時傳出的攻擊者是Hunters International，這次藍天電腦傳出的攻擊者是RansomHub，並不相同。</p> <p>第三，RansomHub是最近興起的勒索軟體組織，今年2月底才首次公開受害者，但我們注意到，近期該組織的動作頻頻，不久之前才傳出<a href="https://www.ithome.com.tw/news/163167">英國精品拍賣業者佳士得</a>、美國醫療集團Change Healthcare遭遇該組織攻擊，因此這個勒索軟體組織的動向，近期也特別受到資安圈的關注，如今若有臺灣企業遭該組織鎖定的情形，顯示可能還有其他公司可能也會成為目標。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(圖1)藍天電腦傳出遭駭，RansomHub宣稱竊得200GB資料.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)%E8%97%8D%E5%A4%A9%E9%9B%BB%E8%85%A6%E5%82%B3%E5%87%BA%E9%81%AD%E9%A7%AD%EF%BC%8CRansomHub%E5%AE%A3%E7%A8%B1%E7%AB%8A%E5%BE%97200GB%E8%B3%87%E6%96%99.jpg" style="width: 600px;" /></a></p> <p><strong>根據國外資安媒體Cybernews表示，勒索軟體駭客組織RansomHub聲稱已攻擊臺灣老牌藍天電腦（Clevo）並成功竊取200 GB的資料。</strong></p> </div></div></div>
2024/6/6 16:29作者羅正漢https://www.ithome.com.tw/news/163337
GitHub Actions開始支援Arm64架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現在CI/CD平臺<a href="https://github.blog/2024-06-03-arm64-on-github-actions-powering-faster-more-efficient-build-systems/">GitHub Actions執行器也提供Arm64架構選項</a>，使得開發者可以更方便地在採用Arm64架構的地方，建置和部署程式。官方還提到，Arm64的GitHub Actions執行器相較於x64的執行器，價格低了37％。</p> <p>GitHub Actions執行器對Arm64架構的支援，由GitHub與Arm合作推出。GitHub管理執行器而所使用的映像檔則由Arm建立，提供開發者入門所必須的工具。</p> <p>過去開發者要使用GitHub在Arm架構上建置程式，必須自行在Arm64硬體上託管執行器，或是使用QEMU虛擬化模擬Arm64環境，並在虛擬化環境中執行GitHub Actions。不過，QEMU虛擬化執行速度比原生運作慢，效率較低。</p> <p>而現在用戶可以直接使用GitHub託管的Arm64執行器，進行建置、測試和部署各種應用程式，整個CI/CD工作流程都能在同個平臺上運作。</p> <p>Arm所建置的映像檔包括Ubuntu和Windows虛擬機器映像檔，目前Ubuntu 22.04映像檔配置完整的工具集，可讓開發者快速在Arm64執行器開始工作，官方計畫之後也會在Windows映像檔中添加開發工具，以及推出新的Ubuntu 22.04映像檔。</p> </div></div></div>
2024/6/6 18:22作者李建興https://www.ithome.com.tw/news/163346
多個中國駭客組織狼狽為奸，鎖定東南亞政府機關從事網路間諜活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國政府資助的多個駭客組織，自2022年開始聯手，<a href="https://news.sophos.com/en-us/2024/06/05/operation-crimson-palace-sophos-threat-hunting-unveils-multiple-clusters-of-chinese-state-sponsored-activity-targeting-southeast-asia/">從事網路間諜攻擊行動Operation Crimson Palace</a>，對方的目標是東南亞知名的政府機關。</p> <p>資安業者Sophos的研究人員於去年5月，察覺這起攻擊行動的跡象並著手調查，結果確認其中3波攻擊Cluster Alpha（STAC1248）、Cluster Bravo（STAC1807），以及為期最長的Cluster Charlie（SCAT1305），值得留意的是，這些網路攻擊活動並非由單一駭客組織所為，而是由多組人馬出手，這些組織包括了Backdoor Diplomatic、REF5961、Worok、TA428，以及APT41旗下的團隊Earth Longzhi。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide1.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide1.jpeg" style="width: 580px;" /></a></p> <p>針對這3波攻擊，研究人員指出，他們發現了新的惡意程式CCoreDoor、PocoProxy，以及EagerBee的變種；再者，對方運用超過15種DLL側載手法，大部分濫用Windows服務、系統元件、防毒軟體檔案；此外，他們也發現駭客運用新興的迴避偵測技術，像是覆寫記憶體裡的ntdll.dll，將Sophos Endpoint Protection防毒軟體的代理程式與核心脫鉤。值得一提的是，這些攻擊的行為模式彼此不同，但根據遭駭的基礎設施，以及駭客工作的時間發現交集，研判有人從中居間協調、調度。</p> <p>對於Cluster Alpha，研究人員看到對方從去年3月初一直到8月進行攻擊行動，疑似濫用受害組織網路環境測試不同的技術，並以特殊手法停用防毒軟體、提升權限，這些駭客特別優先偵察伺服器映射的子網域、管理者帳號，以及AD相關的基礎設施。</p> <p>這些駭客會藉由部署名為EagerBee的惡意軟體變種，以竄改封包的功能切斷資安系統端點代理程式的通訊；再者，他們藉由Merlin Agent、PhantomNet、PowHeartBeat等惡意軟體建立C2通道，以便於受害電腦持續活動；附帶一提的是，對方用來寄生攻擊（LOLBins）的系統元件instsrv.exe、srvany.exe相當不尋常，而能取得SYSTEM權限。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide4.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide4.jpeg" style="width: 580px;" /></a></p> <p>另一波攻擊行動Cluster Bravo時間最短，僅在去年3月為期3週，這段時間正好與中國第14屆全國人民代表大會有所交集，駭客主要目標在於，濫用有效帳號於受害組織網路環境橫向散布，然後側載後門程式建立C2通訊。</p> <p>在這起攻擊行動裡，研究人員看到對方透過後門程式CCoreDoor進行橫向移動，並建立C2通訊。值得留意的是，他們發現駭客藉由覆寫記憶體內的ntdll.dll，將Sophos端點防護的代理程式與核心脫鉤。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide5.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide5.jpeg" style="width: 580px;" /></a></p> <p>最後一波攻擊行動Cluster Charlie持續時間最長，從去年3月至今年4月，研究人員在去年6月的其中一天看到攻擊活動激增，駭客對於受害組織網路環境裡的事件記錄進行大規模分析，並執行網路偵察，而這天正好是受害國家的假日。接著，駭客在幾個月中持續進行相關活動，最終洩露敏感資料，包含軍事與政治文件、基礎設施架構資料，以及相關的憑證及帳密資料。</p> <p>駭客使用過往未曾揭露的惡意程式PocoProxy進行C2通訊，並部署惡意軟體載入工具HUI，企圖將Cobalt Strike的Beacon注入mstsc.exe但並未成功。而對於竊取帳密資料的方式，這些駭客將LSASS轉譯器注入svchost.exe，從網域控制器擷取憑證。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide6.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide6.jpeg" style="width: 580px;" /></a></p> <p>由於遭受攻擊的目標是因南海領土問題與中國政府爆發多次衝突的組織，再加上攻擊者活動時間與中國上下班時間幾乎一致，且3波行動對方收集的資料與中國國家的利益相關，因此研究人員推測，這是一起長期性的網路間諜行動。</p> </div></div></div>
2024/6/6 15:33作者周峻佑https://www.ithome.com.tw/news/163333
歐洲多國遭到俄羅斯駭客APT28鎖定，利用惡意程式HeadLace、釣魚網頁發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯聯邦軍隊總參謀部情報總局（GRU）旗下的駭客組織APT28（該公司稱做BlueDelta）散布竊資軟體HeadLace的事故不時傳出，有研究人員針對這波攻擊行動進行深度調查，指出對方的攻擊目標遍及歐洲各國，但特別關注烏克蘭。</p> <p>資安業者Recorded Future<a href="https://www.recordedfuture.com/grus-bluedelta-targets-key-networks-in-europe-with-multi-phase-espionage-camp">針對HeadLace的攻擊行動著手調查</a>，結果發現，對方從去年4月至12月，利用地理圍欄技術，分成3個不同階段從事惡意軟體攻擊行動。駭客通常會透過釣魚郵件啟動攻擊鏈，有時會模仿合法通訊來增加成功機率。</p> <p>在攻擊的過程裡，駭客會濫用合法的網路服務（LIS），並搭配寄生攻擊（LOLBins），將攻擊行為混入一般的網路流量。</p> <p>值得留意的是，對方對於竊取帳密資料的管道，不光是透過上述竊資軟體，也會利用偽造的登入網頁來進行，他們鎖定的服務包括Yahoo和UKR[.]net，而且還會設置進階功能，以便重新傳輸多因素驗證資料，或是通過CAPTCHA人機圖靈驗證。這些駭客鎖定的目標，涵蓋烏克蘭國防部、該國武器進出口業者、歐洲鐵路基礎設施、亞塞拜然智庫。</p> <p>對於駭客的目的，研究人員認為，對於烏克蘭國防部及歐洲鐵路基礎設施的攻擊行動，很有可能想要取得與軍事行動有關的情報，從而調整戰術，或是策畫相關戰略。而攻擊亞塞拜然智庫的部分，他們研判是為了收集當地政策有關情資。</p> <p>特別的是，在部分攻擊行動裡，對方會透過雲端測試服務Mocky設置網頁，這些網頁會與被滲透的Ubiquiti路由器上的Python指令碼進行互動，從而竊取相關的帳密資料。</p> <p>在研究人員彙整的攻擊流程裡，大致上可區分為7個不同的階段，駭客先是檢測沙箱環境、作業系統、地理位置來確認攻擊目標，然後於受害電腦部署惡意的BAT批次檔，從而與特定API服務連接，以便執行一連串的Shell命令。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024_0514_Blue_delta_Report_info-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024_0514_Blue_delta_Report_info-2.jpg" style="width: 580px;" /></a></p> <p>而對於這些駭客的攻擊範圍，他們確認至少有13個國家是主要目標，其中有40%針對烏克蘭，但他們認為有10%針對土耳其而來也相當值得留意。</p> </div></div></div>
2024/6/6 16:36作者周峻佑https://www.ithome.com.tw/news/163338
抖音傳出企業與名人帳號遭到接管的情況，駭客藉由私訊功能的零時差漏洞得逞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.semafor.com/newsletter/06/02/2024/an-expensive-way-to-gain-relevance">Semaphor</a>、<a href="https://www.forbes.com/sites/emilybaker-white/2024/06/04/a-zero-day-tiktok-hack-is-taking-over-celebrity-and-brand-accounts/">富比士</a>等新聞網站的報導，上週有人利用抖音（TikTok）私訊功能的零時差漏洞，挾持數家公司與名人的帳號。Semaphor指出，第1個傳出遇害的是CNN的帳號，富比士則是透露該漏洞的危害，攻擊者只需發送惡意訊息並引誘目標用戶開啟，就能觸發漏洞，過程中無須受害者下載有效酬載，或是點選連結。</p> <p>對此，<a href="https://www.bleepingcomputer.com/news/security/tiktok-fixes-zero-day-bug-used-to-hijack-high-profile-accounts/">抖音發言人Jason Grosse向資安新聞網站Bleeping Computer透露</a>，他們的資安團隊察覺用來針對部分知名帳號的潛在漏洞，已採取相關措施阻止相關攻擊行動，並防範類似攻擊再度發生，該公司也與受害帳號的所有者合作，恢復他們的存取權限。</p> <p>這名發言人表示，根據初步調查結果，攻擊者破壞了少量抖音帳號，但並未透露受影響的用戶數量，也沒有對於零時差漏洞說明細節。</p> </div></div></div>
2024/6/6 17:01作者周峻佑https://www.ithome.com.tw/news/163340
趨勢科技在Computex展出整合Nvidia相關技術的AI資安解決方案Trend Vision One SPC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本週的Computex 2024資訊展當中，<a href="https://www.trendmicro.com/zh_tw/about/newsroom/press-releases/2024/2024-06-02.html">趨勢科技展示採用Nvidia技術的全新資料中心解決方案</a>Trend Vision One-Sovereign and Private Cloud（Trend Vision One SPC），這套系統針對想要運用AI的威力，卻擔心資安問題的企業組織與政府機關而設。</p> <p>這套解決方案整合了Nvidia AI Enterprise軟體平臺的推論微服務Nvidia Inference Microservice（NIM），該公司表示，NIM可加速雲端、資料中心、工作站部署生成式AI。</p> <p>而對於他們推出該解決方案的動機，起因是有許多企業組織為了降低隱私權、資料主權、法規遵循的疑慮，開始轉向在私有雲自行架設生成式AI解決方案。趨勢科技表示，這正是他們的資安平臺能發揮的地方，Trend Vision One SPC運用NIM最佳化AI推論的微服務，在地端執行趨勢科技「網路資安大型語言模型（Cyber Security LLM）」，透過改善資料隱私權、即時分析、加快威脅防範來提升資安解決方案的強度。</p> <p>此外，該解決方案也整合Nvidia其他技術，包含了DOCA App Shield應用程式開發介面、Morpheus應用程式框架，從而提高偵測及防範惡意活動的能力、加速資安威脅偵測。</p> </div></div></div>
2024/6/6 17:27作者周峻佑https://www.ithome.com.tw/news/163343
【資安日報】6月6日，病理學暨診斷服務供應商Synnovis遭到勒索軟體攻擊導致倫敦醫院服務中斷，傳出是駭客組織Qil…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>醫療院所及相關服務的供應商遭遇資安攻擊的情況，最近幾年越來越頻繁，一旦特定服務的供應商面臨攻擊，很有可能直接影響數家醫院的運作。</p> <p>例如，病理學暨診斷服務供應商Synnovis遭到勒索軟體攻擊的事故，就是這樣的例子，導致英國倫敦兩家主要醫院的部分業務被迫中斷，病人必須轉院就醫的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163329"><strong style="font-size: 22px;">英國倫敦醫院因服務供應商遭網路攻擊而中斷部分服務，資安專家指控是俄羅斯勒索軟體駭客組織Qilin所為</strong></a></p> <p>6月3日病理學暨診斷服務供應商Synnovis傳出遭到勒索軟體攻擊，英國倫敦多家國家健康服務（NHS）醫院的部分服務受到影響，這起資安事故造成Synnovis系統被鎖住，導致Guy's and St Thomas' NHS Foundation Trust、King's College Hospital NHS Foundation Trust兩家倫敦主要醫院的服務中斷，並有數家倫敦東南部的主要醫療照護業者也受到波及。</p> <p>英國國家網路安全中心（NCSC）首任執行長Ciaran Martin在5日接受英國廣播公司（BBC）廣播4臺採訪時透露，攻擊者是俄羅斯勒索軟體駭客組織Qilin，並認為對方出手的動機在於經濟利益，而並未意識到這樣的攻擊行為，會造成如此嚴重的醫療業務中斷。</p> <p><a href="https://www.ithome.com.tw/news/163333"><strong style="font-size: 22px;">多個中國駭客組織狼狽為奸，鎖定東南亞政府機關從事網路間諜活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide1.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide1.jpeg" style="width: 300px; float: right;" /></a>中國政府資助的多個駭客組織，自2022年開始聯手，從事網路間諜攻擊行動Operation Crimson Palace，對方的目標是東南亞知名的政府機關。</p> <p>資安業者Sophos的研究人員於去年5月，察覺這起攻擊行動的跡象並著手調查，結果確認其中3波攻擊Cluster Alpha（STAC1248）、Cluster Bravo（STAC1807），以及為期最長的Cluster Charlie（SCAT1305），值得留意的是，這些網路攻擊活動並非由單一駭客組織所為，而是由多組人馬出手，這些組織包括了Backdoor Diplomatic、REF5961、Worok、TA428，以及APT41旗下的團隊Earth Longzhi。</p> <p><a href="https://www.ithome.com.tw/news/163338"><strong style="font-size: 22px;">歐洲多國遭到俄羅斯駭客APT28鎖定，利用惡意程式HeadLace、釣魚網頁發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024_0514_Blue_delta_Report_info-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024_0514_Blue_delta_Report_info-2.jpg" style="width: 300px; float: right;" /></a>俄羅斯聯邦軍隊總參謀部情報總局（GRU）旗下的駭客組織APT28（該公司稱做BlueDelta）散布竊資軟體HeadLace的事故不時傳出，有研究人員針對這波攻擊行動進行深度調查，指出對方的攻擊目標遍及歐洲各國，但特別關注烏克蘭。</p> <p>資安業者Recorded Future針對HeadLace的攻擊行動著手調查，結果發現，對方從去年4月至12月，利用地理圍欄技術，分成3個不同階段從事惡意軟體攻擊行動。駭客通常會透過釣魚郵件啟動攻擊鏈，有時會模仿合法通訊來增加成功機率。</p> <p>對於駭客的目的，研究人員認為，對於烏克蘭國防部及歐洲鐵路基礎設施的攻擊行動，很有可能想要取得與軍事行動有關的情報，從而調整戰術，或是策畫相關戰略。而攻擊亞塞拜然智庫的部分，他們研判是為了收集當地政策有關情資。</p> <p><a href="https://www.ithome.com.tw/news/163340"><strong style="font-size: 22px;">抖音傳出企業與名人帳號遭到接管的情況，駭客藉由私訊功能的零時差漏洞得逞</strong></a></p> <p>根據Semaphor、富比士等新聞網站的報導，上週有人利用抖音（TikTok）私訊功能的零時差漏洞，挾持數家公司與名人的帳號。Semaphor指出，第1個傳出遇害的是CNN的帳號，富比士則是透露該漏洞的危害，攻擊者只需發送惡意訊息並引誘目標用戶開啟，就能觸發漏洞，過程中無須受害者下載有效酬載，或是點選連結。</p> <p>對此，抖音發言人Jason Grosse向資安新聞網站Bleeping Computer透露，他們的資安團隊察覺用來針對部分知名帳號的潛在漏洞，已採取相關措施阻止相關攻擊行動，並防範類似攻擊再度發生，根據初步調查結果，攻擊者破壞了少量抖音帳號，但該名發言人並未透露受影響的用戶數量，也沒有對於零時差漏洞說明細節。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/ransomhub-knight-ransomware"><strong style="font-size: 20px;">研究人員針對新興勒索軟體駭客組織RansomHub進行調查，對方買下勒索軟體Knight原始碼打造作案工具</strong></a></p> <p></p> <p>◆<a href="https://www.trellix.com/blogs/research/darkgate-again-but-improved/"><strong style="font-size: 20px;">惡意軟體DarkGate濫用AutoHotkey重新打造，加入更多規避技術</strong></a></p> <p></p> <p>◆<a href="https://www.trendmicro.com/en_us/research/24/f/targetcompany-s-linux-variant-targets-esxi-environments.html"><strong style="font-size: 20px;">VMware虛擬化平臺遭到勒索軟體TargetCompany鎖定</strong></a></p> <p></p> <p>◆<a href="https://cdn-dynmedia-1.microsoft.com/is/content/microsoftcorp/microsoft/final/en-us/microsoft-brand/documents/MTAC_Report_Russian_Influence_and_Paris_2024.pdf"><strong style="font-size: 20px;">兩個俄羅斯駭客組織聯手，企圖抹黑即將舉行的巴黎奧運</strong></a></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/exploit-for-critical-progress-telerik-auth-bypass-released-patch-now/"><strong style="font-size: 20px;">Progress修補旗下Telerik報告伺服器身分驗證繞過漏洞</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163343"><strong style="font-size: 22px;">趨勢科技在Computex展出整合Nvidia相關技術的AI資安解決方案Trend Vision One SPC</strong></a></p> <p>在本週的Computex 2024資訊展當中，趨勢科技展示採用Nvidia技術的全新資料中心解決方案Trend Vision One-Sovereign and Private Cloud（Trend Vision One SPC），這套系統針對想要運用AI的威力，卻擔心資安問題的企業組織與政府機關而設。</p> <p>這套解決方案整合了Nvidia AI Enterprise軟體平臺的推論微服務Nvidia Inference Microservice（NIM），該公司表示，NIM可加速雲端、資料中心、工作站部署生成式AI。</p> <p>此外，該解決方案也整合Nvidia其他技術，包含了DOCA App Shield應用程式開發介面、Morpheus應用程式框架，從而提高偵測及防範惡意活動的能力、加速資安威脅偵測。</p> <p><a href="https://www.ithome.com.tw/news/163311"><strong style="font-size: 22px;">邁向AIoT應用時代，臺灣硬體安全發展成商機</strong></a></p> <p>今年臺灣資安大會CYBERSEC 2024增設AIoT & Hardware Security Zone的AIoT硬體安全展區，鎖定智慧聯網與硬體安全這樣的主題，讓與會者在參加議程之際，對於一些特色產品也能夠更方便地就近去認識。</p> <p>在此展區共有10家國內外廠商在此呈現這方面的產品與應用，並有2家公協會介紹在晶片安全與物聯網資安認證的成果。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163317"><strong>【6月5日】針對烏克蘭政府恢復公營事業收費，俄羅斯駭客組織FlyingYeti策畫利用WinRAR漏洞的網釣攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163303"><strong>【6月4日】帛琉政府資料流入暗網，指控是中國政府指使勒索軟體駭客組織所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163276"><strong>【6月3日】美國證實Linux核心的網路元件Netfilter高風險漏洞已被用於攻擊行動</strong></a></p> </div></div></div>
2024/6/6 17:34作者周峻佑https://www.ithome.com.tw/news/163344
日月光半導體首座AI節能機房年底將啟用，以應對未來兩年不斷增長的AI和LLM發展所需
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日月光半導體年底將啟用首座全新的水冷散熱資料中心，這座新機房不僅將成為PUE低於1.2的節能機房，還是一座擁有強大AI運算能力的AI節能機房，目標是要能應付每年1.2倍增長的AI運算需求，以因應未來兩年的AI應用及LLM<span style="white-space: pre-wrap;">（大型語言模型）</span>發展所需。</p> <p>日月光很早展開了數位轉型，朝向智慧工廠來轉型，2018年開始導入AI，逐步將AI應用於製程中，提升良率與生產效能。日月光同年建造第一座關燈智慧工廠，並在接下來4年內將關燈工廠增加到36座。隨著AI應用日益成熟，日月光在2021年建構IAI（Industry AI）平臺，推動AI全民化應用，進一步將AI應用從內場域製造推向組織內部，從智慧資安、品質檢驗、智慧診斷，到智慧設計、參數最佳化以及智慧營運等領域。</p> <p>日月光半導體高雄廠副總李政傑提表示，目前，日月光的AI應用主要集中在製造端，結合深度學習和大數據，搭配自動化機器人技術，提升生產效能。此外，AI也應用於廠務節能減碳等環保項目。</p> <p>近來火紅的生成式AI技術，日月光也開始導入，主要應用於兩方面，一是協助行政單位處理大量文書和影像，減少人力負擔；另一方面，在工程領域中，利用生成式AI生成多樣的研發樣本，幫助工程師提高研發新原型的成功率。</p> <p>儘管AI需求呈現指數型成長，對機房運算需求也越來越大，可是，運算增長同時也帶來溫室氣體排放的增加，光靠現有機房設計已經難以解決而必須採用新作法。</p> <p>尤其近幾年，ESG永續發展已成為了企業必須重視的重要議題，日月光自己承諾2030年辦公室淨零，2050年生產製造據點淨零的目標。為了每年需降低5～10％溫室氣體排放，如何兼顧AI需求和ESG永續發展，成了日月光IT面臨的重要挑戰，所以日月光決定打造新一代水冷散熱IT機房，來應對這項挑戰。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240605_065759041.jpg" style="width: 600px; height: 297px;" /></p> <p>日月光即將在高雄啟用的AI新機房，將採用Supermicro的水冷式散熱技術，由中華系統整合進行布建，在這座新機房中引進新一代水冷AI伺服器及節能技術。</p> <p>李政傑表示，新機房設計上導入水冷式散熱設計，不僅利用伺服器本身的水冷機制，讓冷水通過主機板快速帶走熱能，取代過去氣冷式機房的冷熱通道散熱方式，此外，機櫃水冷散熱設計上，提供包含了散熱板、冷卻分配單元（CDU）、冷卻分配分流管（CDM）以及整座冷卻塔，可幫助其降低機房溫度、耗電量以及整體總耗能。</p> <p>李政傑指出，與傳統氣冷式機房相比，新一代節能機房採用水冷散熱技術後，能耗可降低20%以上，預期PUE值將從1.51下降至1.2以下。這樣不僅節能，也有助於減少碳排放。</p> <p>在這座AI機房中，未來將部署多臺AI伺服器機櫃系統，根據Supermicro提供的硬體規格，每臺AI伺服器主機內搭載了2個32核Intel CPU與8個Nvidia H100 GPU。李政傑表示，這座新機房未來啟用後目標是滿足年增113%的算力需求，可將AI運用在產品生產、工程研發以及營運上，加速推動智慧製造。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240605_064719487.jpg" style="width: 600px; height: 337px;" /></p> </div></div></div>
2024/6/6 15:55作者余至浩https://www.ithome.com.tw/news/163334
Computex：微軟Copilot+PC筆電首次在臺亮相，各種AI PC應用開放體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟甫於5月下旬發表Copilot+PC，推動新一波AI PC浪潮，本周舉行的Computex，本土兩大品牌宏碁、華碩紛紛展示Copilot+PC，現場並展示AI PC應用，包括以文字生成圖像、以圖生圖、即時翻譯字幕等等。 </p> <p>微軟提出的Copilot+PC，係內建40多個AI小模型，為新一代的AI筆電增添更多智慧化功能，為了滿足AI運算需求，Copilot+PC需具備NPU神經處理單元，以優化內建的AI功能，依微軟定義，NPU需具備40TOPS以上的算力，並且配備至少16GB記憶體及256GB SSD。此外，這些筆電還必需具有較長的電池續航時間，但並沒有規範多長的續航力。 </p> <p>微軟Copilot+PC首個合作夥伴為高通，搭載Snadragon X系列行動平臺，NPU算力最高達到45TOPS，滿足微軟Copilot+PC對NPU的要求，包括華碩、宏碁、Dell、HP、聯想將推出產品，預計6月18日陸續上市。</p> <p><span style="color:#B22222;"><strong>華碩、宏碁展示首批高通Copilot+PC產品 </strong></span></p> <p>宏碁與華碩身為本地業者，且在全球PC市場佔有一席之地，在今年Computex展示首波微軟Copilot+PC筆電。華碩即展示Vivobook及ProArt系列筆電，其中ProArt系列為創作者使用的筆電，現場展示採用高通Snapdragon X系列行動平臺的PZ13，這款筆電支援手寫筆進行創作，使用者可在螢幕上手繪，搭配Copilot+PC的AI功能Cocreator，用戶只要用手寫筆在螢幕上畫一個粗略的外形輪廓，並以文字描述概念，再選擇畫風，電腦就會自動生成圖像。 </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5789-600.jpg" style="width: 600px; height: 399px;" /></p> <p>例如使用手寫筆簡單地畫一顆樹，並且輸入Treehouse的文字描述，選擇畫風後，螢幕的右上方就會生成一個樹屋的圖像，不過，從生成的圖像來看，僅有樹屋而沒有背景，圖像畫面較為單調，現場工作人員表示，如果要更多的背景，可以手寫筆添加更多細節，或是在文字敘述上以一段話描述想要創作的景物，來為自動生成的圖像增加更豐富的內容。 </p> <p>除了Cocreator，另一個生成式AI應用MuseTree，可以圖生圖，即使不具有繪圖天分的一般人，只要使用手寫筆或滑鼠描繪一顆樹及房子，選擇畫風，例如童畫風格，電腦會自動運算處理，生成樹屋的4張圖像，讓使用者選擇最接近你想要的創作內容。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5791-600.jpg" style="width: 600px; height: 399px;" /> </p> <p>現場人員表示，MuseTree的底層採用Stable Diffusion，可以根據使用者簡略的畫圖，自動生成4種圖像，每張圖約需要5秒，因此需要數十秒的時間，就會生成4張圖像，讓使用者自行選擇。此外，這些產生的圖像不只有樹屋，還帶有背景，例如陸地、海底，或是天馬行空的奇幻場景。 </p> <p>另一款搭載高通Snapdragon X行動平臺的Copilot+PC為Vovobook筆電S15，相較於以內容創作為主的ProArt，Vovobook訴求一般的筆電使用者，目前已在國內電商平臺上架，定價約4.9萬元。現場展示YouTube影音，將影片內容的韓文發音同步翻譯成英文字幕，這項功能為Copilot+PC的AI功能即時字幕(Live Caption)，能夠將YouTube的影音內容、線上會議，甚至是筆電發出的音訊，將中、法、俄等40多種語言翻譯為英文字幕。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5801-600.jpg" style="width: 600px; height: 399px;" /></p> <p>另一家PC大廠宏碁，在今年Computex攤位上特別闢了一個Copilot+PC專區，展示旗下搭載高通Snapdragon X Elite行動平臺的Swift AI筆電，強調NPU算力達到45TOPS，微軟Copilot+PC的AI應用體驗，還有高通平臺較長的電池續航力，長達26小時的電池續航力。</p> <p>不少參觀者在宏碁展示的Copilot+PC專區體驗AI PC的功能，其中Copilot+PC機種Swift 14，展示自然語言的對話方式，要求AI搜尋提供相關的資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/aisearch.jpg" style="width: 600px; height: 390px;" /></p> <p><span style="color:#B22222;"><strong>其他AI PC也同臺亮相</strong></span></p> <p>除了微軟與高通合作首波Copilot+PC筆電成為Computex展出焦點，吸引不少人體驗之外。英特爾去年推動的AI PC，根據英特爾統計，目前全球約有超過800萬臺AI PC，此次Computex中不同規格、機型設計的AI PC也成為展示的重點之一。</p> <p>而且，英特爾與AMD兩家X86處理器大廠不約而同，在今年Computex發表新一代的行動處理器。英特爾發表Core Ultra筆電中代號LunarLake行動處理器，整合CPU、GPU及NPU，其中NPU較前一代大幅提升算力至48TOPS，使其NPU算力達到微軟Copilot+PC的要求；至於AMD則是發表第3代的Ryzen AI（Strix Point），NPU一舉提升至50TOPS，同樣提升旗下產品的AI PC戰力。英特爾、AMD最新一代行動處理器，其NPU算力達到Copilot+PC的NPU算力門檻，代表未來上市的新筆電將可支援微軟Copilot+PC，但需要等待微軟釋出更新。</p> <p>華碩就在攤位展示ProArt創作者筆電，其中一款機型搭載AMD Ryzen AI300系列行動處理器及Nvidia Geforce RTX4070的ProArt P16，這款16吋大螢幕的創作者筆電，內建華碩獨家AI App，包括Story Cube及MuseTree。</p> <p>由於AMD Ryzen AI300系列處理器內整合NPU具備50TOPS，符合微軟Copilot+PC的要求，因此這款筆電目前雖然還不是微軟合作的Copilot+PC產品，但之後可支援微軟Copilot+PC，因此現場產品說明牌上也說明支援Copilot+PC。但是據現場人員說明，AMD Ryzen AI300處理器可能在7月推出，微軟之後可能釋出該平臺的Copilot+PC，讓用戶更新OS，使用微軟內建的AI應用。</p> <p>至於英特爾在Computex期間正式發表LunarLake行動處理器，整合CPU、GPU及NPU，其中NPU算力提高至48TOPS，也符合微軟Copilot+PC對NPU算力的要求，但是據了解，LunarLake可能要等到第三季或第四季才會推出，且微軟對LunarLake平臺的Copilot+PC更新可能要到年底才會釋出，因此暫時不會太快在市場上看到英特爾平臺的Copilot+PC。另外，在Computex展示的LunarLake筆電多為靜態展示，為避免參觀者實機操作，以透明壓克力保護LunarLake平臺筆電。</p> <p>Computex上展示多款AI PC，部分機型主要搭載獨立顯示卡，例如Nvidia Geforce RTX系列，強調平臺的AI總合算力達到100至300多TOPS，大部分的AI算力來自高階的獨立顯示卡，可在筆電上執行一些較吃重的AI模型應用，另一部分機型額外搭載NPU，以應付AI工作負載。</p> </div></div></div>
2024/6/6 17:00作者蘇文彬https://www.ithome.com.tw/news/163335
Google正逐步淘汰網頁版的地圖時間軸功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google去年12月<a href="https://blog.google/products/maps/updates-to-location-history-and-new-controls-coming-soon-to-maps/" target="_blank">宣布</a>，將變更Google Maps上的「定位記錄」（Location History）功能，包括將其更名為「時間軸」（Timeline），以及將它自動存放於裝置上。最近已陸續有用戶收到Google的通知，提醒他們下載想要儲存的時間軸，否則屆時將會移除存放於雲端的時間軸資料。</p> <p>時間軸為Google Maps的一項個人化功能，可根據定位記錄來呈現使用者所去過的地點、路線或行程，它的預設值是關閉的，使用者可在登入Google帳戶後啟用它，並將時間軸資料存放於雲端，只要登入Google帳戶即可存取。</p> <p>去年Google僅宣布要把時間軸存放於Android或iOS裝置上，並未強調將關閉其雲端儲存功能。不過，根據Google官網上的<a href="https://support.google.com/maps/answer/14169818" target="_blank">說明</a>，由於未來時間軸上的資料將直接來自行動裝置，未來電腦上的Maps將無法再存取時間軸，使用者可下載最新的Google Maps程式將舊有的時間軸資料移轉到裝置上。</p> <p>此外，最近陸續有時間軸用戶收到Google的<a href="https://support.google.com/maps/community-guide/276228911/changes-underway-for-google-maps-timeline?hl=en" target="_blank">郵件通知</a>，指出在使用者啟用時間軸之後，它即會自動於裝置上建立及儲存，為了避免遺失曾有的記錄，應於期限前下載或遷移資料。</p> <p>現階段已有不少時間軸用戶收到通知，但Google所提出的期限都不同。此外，在裝置上啟用時間軸時，預設值是每3個月會自動移除相關記錄，但使用者亦可變更該時程或直接設為不刪除。</p> <p><span class="c-message__sender c-message_kit__sender" data-qa="message_sender" data-stringify-text="Jasmine" data-stringify-type="replace" style="box-sizing: inherit; color: rgb(29, 28, 29); word-break: break-word; font-weight: 900; font-family: Slack-Lato, Slack-Fractions, appleLogo, sans-serif; font-size: 15px; font-variant-ligatures: common-ligatures; background-color: rgb(248, 248, 248);"><span class="p-member_profile_hover_card" role="presentation" style="box-sizing: inherit; width: fit-content; height: fit-content; display: inline-flex;"><button class="c-link--button c-message__sender_button" data-message-sender="UBRH3F1HS" data-qa="message_sender_name" style="box-sizing: inherit; cursor: pointer; background-image: initial; background-position: 0px 0px; background-size: initial; background-repeat: initial; background-attachment: initial; background-origin: initial; background-clip: initial; border-width: 0px; border-style: initial; border-color: initial; padding: 0px; font: inherit; overflow: initial; text-align: initial; vertical-align: baseline; margin: 0px;" tabindex="0" type="button"></button></span></span></p> </div></div></div>
2024/6/6 16:19作者陳曉莉https://www.ithome.com.tw/news/163336
Google收購能在ChromeOS執行Windows App的工具業者Cameyo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周三<a href="https://cloud.google.com/blog/products/chrome-enterprise/chromeos-cameyo-reimagining-legacy-apps-for-the-modern-enterprise" target="_blank">宣布收購</a>能在ChromeOS裝置上執行Windows應用的虛擬化工具業者Cameyo。</p> <p>透過收購這家公司Cameyo的技術和團隊，將有助於Chromebook等Google產品用戶連結大量Windows應用。本收購案金額不詳。</p> <p>傳統上，企業若欲在較新裝置執行舊式App，必須仰賴虛擬桌面軟體（或稱虛擬桌機基礎架構，VDI方案），但此類方案有較高的技術門檻，且有延遲性，以及安全管理不易等挑戰。</p> <p>Cameyo提供的是虛擬應用程式遞送（Virtual App Delivery，VAD）方案，即將Windows應用程式封裝成一個獨立的exe檔案，即可免除軟體安裝程序而在裝置上執行。VAD方案有許多好處，一來因不需安裝應用程式，可簡化管理，IT部門不需擔心更新版本或修補漏洞，二來用戶也不必登入個別虛擬桌機環境帳號就可使用，提升使用便利性。該公司方案也受到許多個人用戶喜愛。</p> <p>Google去年就和Cameyo<a href="https://chromeenterprise.google/intl/zh_tw/recommended/cameyo/" target="_blank">合作</a>，整合Cameyo和ChromeOS本機檔案系統，並強化剪貼簿支援以便以PWA（progressive web app）形式執行虛擬應用，並讓虛擬應用程式安全而簡單存取本機資料和檔案。</p> <p>而現在Google的收購則可讓使用ChromeOS裝置的企業，或是教育用戶更方便使用Windows App，讓Windows和其他Web App可同時在Chrome環境中使用，也能維持用戶使用體驗的一致性。</p> <p>這樁收購是Google因應微軟Windows 365方案切入精簡終端裝置的回應作法。利用Windows 365，Windows OS和應用可以串流到客戶中心、銀行行員、PoS等僅具基本運算及儲存能力的機器上使用。Chromebook雖然便宜，但支援ChromeOS的企業應用並不多，透過VAD方案，可擴大支援ChromeOS裝置的生態體系（ecosystem）。</p> <p>Google於5月<a href="https://chromeenterprise.google/intl/en_uk/recommended/" target="_blank">開始</a>，為能在ChromeOS裝置執行的企業App加入「通過Chrome Enterprise Recommended驗證」的標示，便於用戶辨識已為ChromeOS優化的企業應用。</p> </div></div></div>
2024/6/6 14:54作者林妍溱https://www.ithome.com.tw/news/163331
SAP將以15億美元買下數位採用平臺WalkMe
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SAP周三（6/5）<a href="https://news.sap.com/2024/06/sap-enters-agreement-to-acquire-walkme/" target="_blank">宣布</a>，將以每股14美元買下知名的數位採用平臺WalkMe，總價約為15億美元。消息一出，當天WalkMe的股價即上漲42.95%，以13.78美元作收。</p> <p>WalkMe為一軟體即服務公司，為一數位採用平臺（Digital Adoption Platform，DAP）業者，可引導組織用戶使用應用程式，同時深入理解及分析使用者與應用程式介面的互動。它在2021年登上美國那斯達克股市，當時的市值曾達25億美元。</p> <p>SAP表示，WalkMe的解決方案提供使用者先進的指南與自動化功能，協助他們在不同的應用程式之間執行任務，以讓組織得以應對持續不斷的技術變遷，讓底層的應用程式能有更高的採用率，進而實現應用程式與組織的價值。</p> <p>此外，WalkMe也步入生成式AI領域，即將於6月發表WalkMeX，這是個生成式AI助理，它會持續在線上協助使用者執行任何應用程式，並提供建議。未來SAP的生成式AI助理Joule及Enable Now 都會整合WalkMe的解決方案以造福SAP客戶，且WalkMe也將繼續支援SAP之外的各種應用程式。</p> <p>SAP及WalkMe董事會皆已通過此一交易，預計於今年第三季完成。</p> </div></div></div>
2024/6/6 15:10作者陳曉莉https://www.ithome.com.tw/news/163332
【臺灣資安大會直擊】邁向AIoT應用時代，臺灣硬體安全發展成商機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年的臺灣資安大會，不只提供資安議程與資安品牌展覽，幫助大家了解最新資安趨勢，還有多個特別規畫的主題展覽，展現資安的多種特色與樣貌，例如，已經連續7年登場的臺灣資安館，以及連續4年擴大舉辦的Cyber Talent資安人才專區。</p> <p>特別的是，今年還有一個全新亮點是──AIoT & Hardware Security Summit，這項主題議程在臺灣資安大會連續三天登場，共有26場專家演說，主要議題涵蓋：IEC 62443、工業物聯網（IIoT）、OT、關鍵CI、SBOM、O-RAN，以及車聯網安全、硬體安全晶片，以及物聯網的攻擊手法與資安認證等。</p> <p>雖然上述多家AIoT資安相關廠商的展覽，主要設於大會CYBERSEC EXPO展區，但特別的是，今年大會另增設AIoT & Hardware Security Zone的展區，鎖定智慧聯網與硬體安全這樣的主題，讓與會者在參加議程之際，對於一些特色產品也能夠更方便地就近去認識。在此AIoT硬體安全展區，共有10家國內外廠商在此呈現這方面的產品與應用，並有2家公協會在現場展示晶片安全與物聯網資安認證的成果。</p> <p>與普遍資安議題相比，這類智慧聯網與硬體安全領域，雖然不是企業主要關注焦點，但以整個資安環境而言，是相當重要的基礎環節。</p> <p>例如，發展超過20年的TPM安全晶片，這樣的硬體模組不只能用於驗證電腦平臺完整性，也可安全儲存密碼、使用者憑證、加密金鑰等敏感資訊，並提供基於硬體的加密功能。</p> <p>事實上，全球越來越重視這方面的技術發展，不只是多家國際科技大廠致力於此，對於身為電子製造重鎮的臺灣而言，也同樣在積極針對AIoT產品提升資安功能，發展硬體安全元件與推動晶片物聯網安全，這也成為提升我國硬體產業價值的新契機。</p> <h2><strong>硬體安全成主要焦點，PUF與Secure Flash最吸睛</strong></h2> <p>今日的AIoT資安領域，有哪些重要發展值得關注？在今年臺灣資安大會的AIoT展區現場，可以看出不同的應用發展面，例如，PUF技術、安全快閃記憶體，以及硬體加密模組等。</p> <h3><span style="color:#0099ff;"><strong>熵碼科技（PUFsecurity）</strong></span></h3> <p>首先，是晶片層級安全技術的矽智財（IP）解決方案。</p> <p>多年前我們報導臺灣硬體資安產業時，曾介紹物理不可仿製功能（Physically Unclonable Function，PUF）技術，是業者正在發展的路線之一。PUF的運作原理，主要是利用製造IC時的特徵值計算出數位指紋，自然生成獨一無二的密碼，是產生數位指紋的全新方法。</p> <p>在2019年，臺灣就已有力旺、旺宏等業者投入發展，而熵碼科技就是力旺成立的子公司，他們在2024臺灣資安大會展示兩種解決方案，分別是PUFrt與PUFcc。簡單來說，PUFrt就像保險箱，可以安全儲存敏感資訊，PUFcc 則是包含PUFrt的功能，同時提供保險箱與加密晶片的功能。</p> <p>為何衍生出這樣的解決方案？原來，力旺約在2016年在安全OTP之上發展PUF技術，當時雖有這樣的晶片指紋技術，但系統端不知該如何應用這樣的產品，2019年他們成立熵碼科技，花了兩年設計出上述兩種IP，讓客戶能夠易於整合到各式系統架構。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）AIoT %26 Hardware Security _熵碼科技_PUF_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89AIoT%20%26%20Hardware%20Security%20_%E7%86%B5%E7%A2%BC%E7%A7%91%E6%8A%80_PUF_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a><br /> </p> <h3><span style="color:#0099ff;"><strong>旺宏電子（Macronix）</strong></span></h3> <p>第二個吸引大家的資安元件，是安全快閃記憶體（Secure Flash）產品。其實在去年的臺灣資安大會，旺宏就曾在AI安全論壇發表演說，闡釋AI與快閃記憶體安全之間的重要關聯性。</p> <p>到了今年臺灣資安大會的AIoT硬體安全展區，該公司不僅介紹自家ArmorFlash系列產品，也展示應用場景。</p> <p class="rteright"><a href="https://s4.itho.me/sites/default/files/images/（圖2）AIoT %26 Hardware Security_旺宏電子_Secure Flash_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89AIoT%20%26%20Hardware%20Security_%E6%97%BA%E5%AE%8F%E9%9B%BB%E5%AD%90_Secure%20Flash_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 400px; float: right;" /></a></p> <p>例如，在Smart Lock智慧電子鎖的設置上，這種門鎖可辨識指紋、人臉等機敏資料，而搭配ArmorFlash的儲存解決方案，就能同時提供身分驗證、加密通訊和可靠資料儲存的保護。相較之下，一般Flash的儲存與讀寫完全沒有安全機制。</p> <p>而且，為了確保整體系統安全性，ArmorFlash本身也採用PUF技術，每一晶片的PUF Code都不相同，即便單一晶片遭破解侵入，也不會擴及其他晶片。</p> <p>現場人員並表示，像是Nvidia自家車用平臺，就採用ArmorFlash系列快閃記憶體解決方案。<br /> </p> <h3><span style="color:#0099ff;"><strong>華邦電子（Winbond）</strong></span></h3> <p>第三個現場展出的相關資安應用，也是安全快閃記憶體的產品。</p> <p>先前我們報導物聯網安全SESIP標準時，曾介紹華邦電子發展的安全快閃記憶體，將安全功能內建在Flash Memory，像是包含Secure Data Storage、Secure Over-The-Air、Secure Boot，以及位處架構最底層的Root of Trust（RoT）等安全機制。</p> <p>在今年的臺灣資安大會期間，該公司介紹TrustME W77Q系列的Secure Flash，也展示應用實例。例如，現場展示EtherWAN推出的IIoT設備，全名是AiR GUARD工業物聯網資安級行動通訊閘道器，當中搭載華邦的W77Q，並用上了產品中的硬體信任根（RoT），以及Secure Storage功能，可保護儲存其中的程式碼與資料。</p> <p>另外，華邦電子也展示安全記憶體在NXP、STM、Intel平臺的應用方式，只要將一般Flash置換成Secure Flash，即可採用不同安全功能，像是Secure OTA Firmware Update、Hardware Binding等。</p> <p>他們並還透露，目前此系列產品最高容量為1 GB，下一代將提升至2 GB，Secure OTA也會支援PQC演算法。較可惜的是，更高階的TrustME W75F（CC EAL 5+）系列，未在本次展示之列。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）AIoT %26 Hardware Security_華邦電子_Secure Flash_攝影羅正漢.jpg.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89AIoT%20%26%20Hardware%20Security_%E8%8F%AF%E9%82%A6%E9%9B%BB%E5%AD%90_Secure%20Flash_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg.jpg" style="width: 600px;" /></a><br /> </p> <h3><span style="color:#0099ff;"><strong>伊諾瓦科技（Enova）</strong></span></h3> <p>第四個展示的AIoT硬體安全產品，是伊諾瓦科技的硬體加密晶片模組與裝置，包括即時加解密安全模組X-Wall MX+，以及Enigma 3.1硬體加密器。</p> <p>我們過去曾報導Enigma 2，如今新一代產品有何不同？主要是應用了新款高速硬體加密晶片X-Wall MX+。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）AIoT %26 Hardware Security_伊諾瓦科技_硬體加密模組晶片_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89AIoT%20%26%20Hardware%20Security_%E4%BC%8A%E8%AB%BE%E7%93%A6%E7%A7%91%E6%8A%80_%E7%A1%AC%E9%AB%94%E5%8A%A0%E5%AF%86%E6%A8%A1%E7%B5%84%E6%99%B6%E7%89%87_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 400px; float: right;" /></a></p> <p>就功能而言，不只是提供硬體式檔案層加密，可針對隨身碟本身及電腦上可讀取到的磁碟機與檔案加密，新增加的功能，還包括能夠作為金鑰生成的媒介，提供CloudKey的應用。</p> <p>而這當中的關鍵就是X-Wall MX+，此產品同時是符合美國NIST FIPS 140-2 Level 3認證的安全晶片。</p> <p>另外他們也展示搭載同款晶片的不同產品應用，目前仍是處於參考架構設計的階段，其外型有如外接硬碟盒，當中以X-Wall MX+為核心，可連接不同廠牌的SSD或傳統硬碟HDD，以直接獲得硬體式加密效果。<br /> 　</p> <h2><strong>國際大廠也參加AIoT展區，展示最新解決方案</strong></h2> <p>不只是本土廠商，在2024臺灣資安大會的AIoT硬體安全展區現場，也有國際大廠展示其產品與應用。例如英飛凌、是德科技，以及Silicon Labs等。</p> <h3><strong><span style="color:#0099ff;">英飛凌（Infineon）</span></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5s）AIoT %26 Hardware Security_英飛凌_Optiga TPM_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965s%EF%BC%89AIoT%20%26%20Hardware%20Security_%E8%8B%B1%E9%A3%9B%E5%87%8C_Optiga%20TPM_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 277px; float: right;" /></a></p> <p>該公司最知名的產品當屬TPM晶片，已經發展20多年之久，他們在本次大會上展示多款資安IC晶片，主要是Optiga系列產品。例如，這次展示的SLB9672晶片，是近年該公司Optiga TPM系列的新款安全晶片，並且首度採用後量子加密技術於韌體更新機制。</p> <p>另外還有3款Optiga Trust產品也很特別，可涵蓋多種層面。以Trust Charge Evaluation Kit而言，這是產業中首款用於安全無線充電的身分驗證解決方案，並含完整系統整合支援，可支援Qi 1.3無線充電標準。其他還有對應IoT安全性開發套件的Trust M IoT Security Development Kit，以及為智慧家庭裝置增加Matter標準與安全功能的Trust M MTR。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5B）AIoT %26 Hardware Security_英飛凌_Optiga TPM_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965B%EF%BC%89AIoT%20%26%20Hardware%20Security_%E8%8B%B1%E9%A3%9B%E5%87%8C_Optiga%20TPM_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0099ff;"><strong>是德科技（Keysight）</strong></span></h3> <p>這家公司主要展示其IoT Security Assessment解決方案，過去我們接觸該公司所看到的解決方案，多是在無線射頻量測與驗證方面，8年前他們併購提供網路與資安測試能力的Ixia，到了2023年底，他們新併購一家韌體分析業者Firmalyzer。</p> <p>在這次大會期間，他們向大家介紹IoT Security Assessment的新功能，整合了韌體分析技術，提供韌體相關的SBOM、CVEs、弱點、Binary Analysis評估功能，還有Information Findings功能可進一步揪出潛在威脅。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）AIoT %26 Hardware Security_是德科技_IoT Security Assessmint_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89AIoT%20%26%20Hardware%20Security_%E6%98%AF%E5%BE%B7%E7%A7%91%E6%8A%80_IoT%20Security%20Assessmint_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0099ff;"><strong>Silicon Labs、益登科技（EDOM）</strong></span></h3> <p>在智慧家庭裝置領域，一年半前Matter標準1.0版發布，這不只可解決各家智慧家庭裝置互連的相容性問題，更重要的是，還具備資安功能的種種要求，等於是要確保產品搭載的晶片跟軟體的安全。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7）AIoT %26 Hardware Security_Silicon Labs與益燈科技_一站式Matter開發平臺_攝影羅正漢(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89AIoT%20%26%20Hardware%20Security_Silicon%20Labs%E8%88%87%E7%9B%8A%E7%87%88%E7%A7%91%E6%8A%80_%E4%B8%80%E7%AB%99%E5%BC%8FMatter%E9%96%8B%E7%99%BC%E5%B9%B3%E8%87%BA_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2(1).jpg" style="width: 320px; float: right;" /></a></p> <p>在這次大會期間，Silicon Labs與代理商益登科技共同展示最新物聯網解決方案，就是聚焦於提供一站式Matter開發平臺。</p> <p>Silicom Lab也在現場展示其產品，他們主要提供多種符合Matter標準的開發套件，可加速廠商開發Matter設備。例如，EFR32MG24、EFR32MG12等多協定無線SoC，以及SiWx、WF200等無線SoC。</p> <h2><strong>鎖定AIoT資安商機，IT、OT業者亦積極切入</strong></h2> <p>談到資安，臺灣本土的IT與OT廠商也現身於2024臺灣資安大會AIoT硬體安全展區，介紹他們在這方面的解決方案。</p> <h3><strong><span style="color:#0099ff;">全景軟體</span></strong></h3> <p>近年全景軟體與英飛凌合作，整合其硬體安全晶片，加上全景軟體設計的SDK、設備憑證PKI管理機制，進而建立其IoT解決方案，並對應設備業者對於IEC 62443標準的合規要求。</p> <p>透過這樣的搭配與建置，顯然是將他們多年來「人的認證」經驗，延伸至「物的認證」。像是在設備憑證燒錄、工廠機器生產憑證簽發及驗證管理，從韌體簽章，到憑證管理、憑證載入，以及最後的機器載入生產憑證記錄。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖8）AIoT %26 Hardware Security_全景軟體_IoT資安解決方案_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89AIoT%20%26%20Hardware%20Security_%E5%85%A8%E6%99%AF%E8%BB%9F%E9%AB%94_IoT%E8%B3%87%E5%AE%89%E8%A7%A3%E6%B1%BA%E6%96%B9%E6%A1%88_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0099ff;"><strong>四零四科技（Moxa）</strong></span></h3> <p>就OT、IT整合式解決方案而言，四零四科技展出EDR-G9010系列多合一工業安全路由器，具有防火牆/NAT/VPN及Layer 2網管型交換器功能，以保護工業AIoT邊緣運算。</p> <p>他們現場展示3款機型，強調可部署於OT環境的不同位置，建構OT領域的縱深防禦。例如，旗艦型產品EDR-G9010-VPN-2MGSFP，可用於OT和IT網路分段，另一款機身較小、去年新改版的EDR-8010，可用於OT特定區域的保護，還有一款體積更小、預計今年夏季才會新推出的產品，可用於一對一的關鍵資產防護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖9）AIoT %26 Hardware Security_四零四科技_EDRG9010工控安全路由器_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969%EF%BC%89AIoT%20%26%20Hardware%20Security_%E5%9B%9B%E9%9B%B6%E5%9B%9B%E7%A7%91%E6%8A%80_EDRG9010%E5%B7%A5%E6%8E%A7%E5%AE%89%E5%85%A8%E8%B7%AF%E7%94%B1%E5%99%A8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a><br /> </p> <p><a href="https://s4.itho.me/sites/default/files/images/2024臺灣資安大會AIoT %26 Hardware Security_應體安全_智慧聯網_9大解決方案.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83AIoT%20%26%20Hardware%20Security_%E6%87%89%E9%AB%94%E5%AE%89%E5%85%A8_%E6%99%BA%E6%85%A7%E8%81%AF%E7%B6%B2_9%E5%A4%A7%E8%A7%A3%E6%B1%BA%E6%96%B9%E6%A1%88.jpg" style="width: 600px;" /></a></p> <p> </p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>近年國內還有兩項重要計劃，包括推動晶片安全測試規範與物聯網資安標章</strong></span></h2> <p>在AIoT展區，國內還有兩家公協會參與，介紹我國在AIoT領域中，對於晶片安全與物聯網資安的重要進展。</p> <p>例如，以台灣區電子電子工業同業公會（TEEMA，簡稱電電公會）而言，他們說明了自家「資訊安全暨生態系統委員會」的重要專案成果，就是晶片安全面向的發展。</p> <p>簡單來說，電電公會的資安委員會於2021年成立，近年在政府計畫支持下，與資策會共同完成晶片安全標準暨測試規範，並發布產業標準，他們的下一步目標是，逐步建構這方面的生態系統，協助國內晶片業者提升產品安全功能，以及爭取成為晶片安全認證發證單位。</p> <p>此外，還有台灣資通產業標準協會（TAICS），他們也在現場介紹物聯網資安驗證成果。由於我國NCC、經濟部推動這個物聯網標章已經多年，從最早的影像監控系統、網路攝影機、無線路由器、機上盒、智慧巴士車載資通訊系統，一直到智慧路燈、空氣品質感測裝置、消費性物聯網產品、數據機、門禁系統。因此TAICS表示，除了希望更多業者加入，他們也將持續更進一步促進國際標準的連結。<br /> </p> </div></div></div>
2024/6/6 11:06作者羅正漢https://www.ithome.com.tw/news/163311
Nvidia市值達3兆美元，超越蘋果，成為僅次微軟的全球第二大企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>乘著AI噴射機的繪圖晶片龍頭Nvidia本周三（6/5）股價上漲了5.16%，以1,224.4美元作收，不僅創下股價新高，其市值也首度突破3兆美元大關，達3.012兆美元，超越了蘋果的3.003兆美元，成為僅次於微軟的全球第二大最有價值的企業。微軟昨天收盤時的市值為3.151兆美元。</p> <p>Nvidia的突飛猛進來自於2022年3月發表的Hopper GPU架構，以及基於該架構的H100 GPU，H100 GPU是在同年的9月量產，售價介於2.5萬美元至3萬美元之間，主要被應用在AI伺服器（資料中心）上。不過，銷售數字的起飛則始於截至2023年7月底的<a href="https://nvidianews.nvidia.com/news/nvidia-announces-financial-results-for-second-quarter-fiscal-2024" target="_blank">2024財年第二季</a>，該季Nvidia創下135.1億美元的營收，成長101%，其中，資料中心營收即占了103.2億美元，成長171%。</p> <p>之後的每一季Nvidia的營收成長率都超過200%，最近一次截至今年4月28日的<a href="https://www.ithome.com.tw/news/163047" target="_blank">財報顯示</a>，該公司的營收已達到260億美元，成長262%，資料中心占了226億美元，且市場對於H100 GPU的需求始終強勁，也讓Nvidia決定每年都更新AI晶片架構，除了今年已發表的Blackwell之外，明年將推出Blackwell Ultra，後年則是Rubin。</p> <p>此外，基於Blackwell架構的B100 GPU價格亦高達37,500美元。</p> <p>外界對AI GPU的強烈需求也反映在Nvidia的股價上，去年底Nvidia的股價還不到500美元，但今年以來持續飆升直至本周的1,224美元。Nvidia計畫於周四（6/6）進行股票分割，將每股拆分為10股，當天收盤後仍持有Nvidia股票的用戶即可自動參與。</p> </div></div></div>
2024/6/6 11:35作者陳曉莉https://www.ithome.com.tw/news/163327
Stability AI釋出文字生成聲音模型開源版本Stable Audio Open
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stability AI周三（6/5）釋出了文字生成聲音模型的開源版本<a href="http://stability.ai/news/introducing-stable-audio-open" target="_blank">Stable Audio Open</a>，在使用者輸入文字描述後，它便能生成長達47秒的樣本與聲音效果。</p> <p>Stability AI以超過48萬個聲音紀錄來訓練Stable Audio Open模型，其中超過9成的紀錄來自Freesound，另有少數來自「免費音樂檔案」（Free Music Archive ，FMA），所有的音訊檔都取得了免費的共享許可，並使用預訓練的T5（Text-to-Text Transfer Transformer）文字模型來處理與生成文本。</p> <p>Stable Audio Open讓使用者輸入簡單的文字提示，即可生成最多長達47秒的高品質聲音，Stability AI宣稱它很適合用來建立鼓點、音樂即興片段、環境音效、模擬錄音，或是其它與音樂及聲音有關的樣本。開源版本的好處之一還包括使用者可以利用自己的聲音資料來調整模型，例如鼓手可以加入自己的錄音樣本來生成新的節奏。</p> <p>其實該公司在去年9月便先推出了商業版的<a href="https://www.ithome.com.tw/news/158741" target="_blank">Stable Audio</a>，同時提供免費與付費方案。Stability AI解釋，Stable Audio可生成高品質、完整且長達3分鐘的連貫音樂結構，而Stable Audio Open則專注於聲音樣本、音效與製作元素，儘管Stable Audio Open能夠生成簡短的音樂，但並未針對完成的歌曲、旋律或人聲進行優化。</p> <p>使用者也可逕自利用Stable Audio免費版來測試與Stable Audio Open的差異，Stable Audio Open 1.0現階段則可透過<a href="https://huggingface.co/stabilityai/stable-audio-open-1.0" target="_blank">Hugging Face取得</a>。</p> </div></div></div>
2024/6/6 11:57作者陳曉莉https://www.ithome.com.tw/news/163328
樹莓派推出要價70美元的AI套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>樹莓派（Raspberry Pi）周二（6/4）發表了<a href="https://www.raspberrypi.com/news/raspberry-pi-ai-kit-available-now-at-70/" target="_blank">支援Raspberry Pi 5單板電腦的AI套件</a>，安裝後將可用來建置複雜的AI視覺應用程式，此一套件是與以色列AI業者Hailo Technologies合作開發，售價70美元。</p> <p>2017年成立的Hailo是一家AI處理器與加速器的設計及製造公司，該公司所設計的處理器或加速器專供自駕車、監視器或自主移動機器人使用。</p> <p>而Raspberry Pi AI Kit則是結合了樹莓派的M.2 HAT+擴充板，以及Hailo的Hailo-8L AI加速模組，以用來建置AI視覺應用，並標榜相關應用不僅可即時執行，也具備低延遲與低功耗的特性。不管是偵測物件、語義與實例分割、姿勢估計或臉部特徵偵測等神經網路，全部都在Hailo-8L協同處理器上執行，以讓Raspberry Pi 5的CPU能夠執行其它任務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0605-%20Raspberry%20Pi%20AI%20Kit%20disassembled-B.png" style="width: 519px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0605-Raspberry%20Pi%20AI%20Kit.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Raspberry Pi</span></span></p> <p>Raspberry Pi AI Kit支援每秒13兆次操作（TOPS）的推論性能，單通道PCIe 3.0連結的傳輸速度為8Gbps，無縫整合Raspberry Pi的作業系統與軟體，並相容於Raspberry Pi與第三方所生產的相機。此外，它不僅可於單個相機鏡頭執行多個神經網路，也能同時在不同的鏡頭上執行多個神經網路，其高效排程能力可更靈活地利用硬體資源以提高效率。</p> <p>Hailo已經打造了一個<a href="https://github.com/hailo-ai/hailo_model_zoo/tree/master/docs/public_models/HAILO8L" target="_blank">模型資料庫</a>，羅列各種已經過預訓練的神經網路模型，供使用者快速部署或優化。</p> <p>而為了簡化相機及AI應用的整合，其相機應用專用的rpicam-apps套件現在擁有一個後處理模板，可將神經網路推論整合至相機管線中即時執行，藉由預先安裝的Hailo Tappas後處理函式庫，只要幾百行的C++程式碼便可創造出先進的AI應用，此一整合很快也會延伸至Picamera2框架。</p> </div></div></div>
2024/6/5 15:40作者陳曉莉https://www.ithome.com.tw/news/163313
【2024臺灣資安年鑑｜資安十年特輯】資安產業具備輕資產、高價值特性，吸引年輕人投入創業
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_shi_nian_-he_quan_de_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣的資安產業曾是一個小眾市場的角落，然而過去十年它經歷翻天覆地的變化，由被忽視的領域轉變為備受政府、企業關注的關鍵產業。</p> <p>這種變革背後，國家資通安全研究院院長何全德認為，「資安即國安」戰略推動，為臺灣資安產業的蓬勃發展奠定基礎；而《資安法》實施也帶動了企業對資安的重視，使得資安成為企業營運中不可或缺的一環；監管機關對於資安標準的要求，迫使企業不得不投入更多資源和精力，以便提升資安水準，從而拉動市場需求。這是一系列外在因素的綜合作用，從政策、需求到技術發展，無不影響著資安產業的興盛。</p> <p>資安產業的蓬勃發展，不僅是政策的推動，更是來自於實際的需求。何全德表示，供應鏈的要求，企業曾遭受駭客入侵的教訓，以及數位轉型和淨零轉型的推動，都成為了資安市場增長的推動力。此外，在COVID-19爆發後，數位轉型的加速使得更多人開始使用網路和科技工具，進一步推動資安需求。</p> <p>過去，資安被視為被動的防禦性工作，但如今它已成為企業營運的標準配備。許多企業都意識到：無論面對駭客攻擊，或遵守主管機關提出來的法遵要求，良好的資安措施都不可或缺。</p> <p>展望未來十年，何全德對臺灣資安產業抱持著樂觀的態度。他指出，數位轉型的加速和全球淨零轉型的推動，都將進一步擴大資安產業的市場空間；另外，像是安碁資訊、中華資安等公司的上市櫃計畫以及軟體公司的崛起，更加顯示了資安產業的潛力。</p> <p>臺灣資安產業的崛起，不僅是一個產業的蓬勃發展，更是新型態的數位經濟的象徵。他表示，資安產業具有輕資產和高價值的特性，將為年輕人帶來更多的就業機會，同時，也將促進財富的重新分配，將為臺灣的經濟發展帶來新的動力，也將為全球的數位化進程注入更多的活力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E4%BD%95%E5%85%A8%E5%BE%B7-600-1-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>臺灣電子化政府為臺灣資安發展奠定基礎</strong></span></p> <p>在臺灣電子化政府的發展歷程中，資訊安全政策的推動扮演了至關重要的角色。何全德在公務部門服務超過四十年，作為臺灣電子化政府發展的幕後推手之一的他表示，從電子化政府的元年到資安政策的推動，臺灣資安政策是如何演進的呢？</p> <p>1996年被譽為臺灣電子化政府的元年。當時舉辦的「網路世界博覽會Expo96」，標誌著政府正式將網路引進到其運作，他說：「儘管當時的網站只是靜態的，僅提供簡單的資訊服務，但就是這一步，真正奠定了臺灣電子化政府的基礎。」</p> <p>在陳水扁總統任期中，資安政策開始受到重視，在其第一個任期內便成立跨部會協調的行政院資通安全會報，並建立資通安全會報技術服務中心。何全德表示，這樣的組織和作為，也讓政府各部門之間有了真正跨部門合作的機會，進而提升電子化政府的資安意識。</p> <p>資安政策的法制化是推動資訊安全的重要一環，他指出，當時政府積極推動《電子簽章法》，並引進國際標準，例如英國資安標準BS7799，這些舉措為臺灣政府資安工作的推動，提供參考依據及鞏固臺灣資安政策的基礎，使其得以正式化和法制化。</p> <p>除了法制化，資安意識的普及和資安人才的培訓，也是推動資安政策的重要步驟。政府積極推動資安意識的普及化，並且投入資安專業人才的培養——最早是成立資安會報技術服務中心，之後才將技服中心改成行政法人，於2023年元月正式成立資安院。</p> <p>面對日益複雜的資安威脅，他表示，政府開始建立資安事件應變機制，各機關開始設立通報應變聯絡人，並建立政府全體系通報應變機制，政府也將進一步推動資安意識的普及，鞏固全社會對資安工作的支持和參與。</p> <p>此外，政府開始定期進行兩年實施一次的資安國際演練（Cyber Offensive and Defensive Exercise，CODE），藉此檢驗各機關及關鍵基礎設施的資安應變能力，並提高資安整體防禦水準。</p> <p><span style="font-size:28px;"><strong>臺灣資安政策成形，最早在2001年成立資安會報</strong></span></p> <p>網路科技的快速發展帶來了人類文明進步，也衍生一系列負面問題例如網路成癮和網路犯罪。在這樣的背景下，政府的資安政策與法制逐步成熟。</p> <p>何全德表示，經歷陳水扁總統、馬英九總統到蔡英文總統等三位總統、共六個總統任期，不同政府的時期，資安政策也經歷演變與調整，資訊安全已經成為政府與社會普遍關注的共同議題。</p> <p>1996年，臺灣開始踏上電子化政府的道路，政府開始意識到資訊安全的重要性。然而，當時的資安工作，主要偏重於宣導保護資料和電子郵件安全，對於資安風險的認識還不深刻，主要仍是透過行政指導的方式推動資安工作。</p> <p>當政府逐漸意識到需要跨部會協調、推動資安工作時，在2001年，陳水扁政府時期，率先成立行政院國家資通安全會報，專門負責協調各部門間的資安工作。這樣的行動，也彰顯出臺灣資安政策的發展，已從早期單純的宣導，往制度化和法制化邁出最重要一步。</p> <p>2016年蔡英文總統上任後，提出了「資安即國安1.0」戰略，並於同年八月成立了行政院資安處，負責草擬《資安法》，於2019年元旦正式實施。</p> <p>他解釋，《資安法》的制定是臺灣資安政策發展的里程碑，該法規定各級機關應該配置的資安專責人員數量，並訂定《資通安全責任等級分級辦法》，明確列出各級機關的資安責任等級，還律定了各機關的防護水準，從根本上提高國家的資安防護能力。</p> <p>政府不僅強調了法制基礎，還積極投入資安相關建設。何全德表示，在國科會主委吳政忠的支持下，政府在科技預算內撥出25億資安專案經費，開始建立資安監控中心（SOC）和資安情資分享中心（ISAC）等。</p> <p>在蔡英文總統任內，資安更是被視為重要議題，她推動了「資安即國安」1.0和2.0的國家戰略，從積極成立行政院資安處，強調資安在國家安全中的重要性；也接著成立資安院，接手執行資安政策、協助政府處理資安事件，以及培養資安人才等任務。</p> <p>在蔡英文政府時期，臺灣的資安政策雖然取得重大進展，但仍面臨著新的挑戰和問題，政府仍將繼續加強法制建設和執行力度，提高資安防禦能力。</p> <p>面對未來，他說，政府除了繼續加強法制建設和執行力度，提高資安防禦能力。同時，政府還將加強對資安意識的普及和培訓，積極培養更多的資安專業人才，同時推動資安即國安戰略。</p> <p>即將於今年五月二十日就職第十六任總統的賴清德，也提出「五打七安」政策，即打擊「黑、金、槍、毒、詐」，也將治安、食安、道安、公安、校安、居安，以及網路資通安全這七項，列為重要的安全工作，可以看出，資安也將是未來賴清德總統重要政見之一。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E4%BD%95%E5%85%A8%E5%BE%B7-600-2-JPG.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／洪政偉）</span></p> <p><span style="font-size:28px;"><strong>要求上市櫃公司設立資安長，是資安發展重要里程碑</strong></span></p> <p>在臺灣，隨著國家資安戰略的制定成立資安組織，並制定《資安法》相關法規，包括公務機關及特定非公務機關，就有法規遵循義務，例如規定A級機關要做滲透測試、成立SOC（資安監控中心）等，相關的資安需求就會帶動資安市場的發展，也會逐漸演變成資安市場的商機。</p> <p>現任國安會秘書長顧立雄在金管會主委任內，配合國家政策推動金融機構的資安，後續也有金融資安行動方案1.0、2.0陸續推出，對於金融資安的作為提出很明確的規範。</p> <p>何全德認為，金管會要求上市櫃公司分級、分年成立資安專責單位、設立資安部門主管，尤其是設立副總等級資安長的要求，更是臺灣產業資安的重要里程碑，「這也讓資安長暨資訊長後，成為企業營運時重要的主管。」他說。</p> <p>何全德表示，資安院成立就是為了支持和協助政府及關鍵基礎設施（CI），做好資安防護、人才培訓，以及產業資安相關的技術研發，幫國家培養各式的資安人才。</p> <p><span style="font-size:28px;"><strong>資安院出面訂定適用臺灣的「資安職能基準」</strong></span></p> <p>過去，美國曾發布NICE網路安全人才框架，定義7大類別、33個專業領域，以及52個工作角色；到了2022年10月，歐盟網路安全局（ENISA）亦發布ECSF網路人才技能框架，定義出資安團隊12種角色，為資安人才的分類和培養提供了重要參考。</p> <p>他認為，這些框架定義不同類型的資安角色和相應的技能要求，為資安人才的培養和評估提供了標準和依據。</p> <p>何全德表示，資安院在這樣的背景下，由資安院人培中心出面，參考美國NICE和歐盟ECSF的框架，建立通用於臺灣的「資安職能基準」，並將臺灣資安人才依不同職能類別和專業領域，分為19種，也會定義相應的知識、技術和能力（KSAs）；進一步而言，根據這套基準可制定相應的課綱、教材和測驗，以培養評估資安人才的能力。</p> <p>「資安人才的培養，是保障國家和企業資訊安全的重要保障。」何全德說，而人才培養工作是資安院的重要職能之一，通過制定和推廣資安職能基準，資安院可透過更理想的方式，對資安人才進行培養和評估，確保其具備所需的專業知識和技能，提高資安人才整體水準。目前資安院先推出資安長班，以及資安事件工程師班，在這種職能訓練之外，未來還會辦理高階實戰班人才；因為資安要分不同產業領域，必須做適地化，且根據不同產業做不同教材。</p> <p>他認為，資安院作為支持和協助政府和關鍵基礎設施（CI）的資安工作的單位，可以扮演數位強力膠的關鍵角色，透過幫助企業和組織更精確了解自身資安需求，從而更好地配置資源，提高資安整體水準，也能更精確地表述企業與組織本身培養哪些人才，以及自己需要哪類人才，讓需求更精確。</p> <p>何全德也觀察到，這個數位時代的資安需求持續攀升，也催生出許多資安新創公司，他們不僅提供純粹的資安服務，還讓一些傳統SI（系統整合商）開始跨足資安業務，這也促使資安產業化的發展趨勢。</p> <p>作為資安風險較高的金融業，對資安解決方案的需求更是持續增加，何全德表示，金融機構積極尋求更有效的資安保護方案，應對不斷變化的威脅和攻擊，不只為資安技術創新和應用提供巨大商機，也成為資安市場發展一大驅動力。</p> <p>然而，資安不僅是個行業，它還需要不同領域之間的合作和交流，例如，金融業與資安公司的合作、政府與企業的合作等，這種跨領域的合作促進了資安市場的健康發展。在這樣的趨勢下，我們可預見資安市場將會繼續成長，為各行業帶來更多機遇和挑戰。</p> <p><span style="font-size:28px;"><strong>從技術、管理和教育面落實，確保人員、系統和資料安全</strong></span></p> <p>資訊安全一直是臺灣數位化發展的關鍵，何全德表示，面對技術持續變化、資料持續增加，可以從兩個三角形來思考資安的因應策略。</p> <p>第一個三角形，是強調技術、管理和教育訓練在資安工作的重要性。他指出，透過資安技術的自主研發，加上落實資安政策的管理、稽核與執行，並且藉由教育訓練的方式，把重視資安的全民資安意識，深植每個人的腦中。</p> <p>「資安院還有一個重要任務，就是要提升全民資安意識，」何全德認為，政府和企業要開展相對應的資安宣傳活動和教育訓練外，也必須提高終端使用者（End User）對資安的重視程度。</p> <p>第二個三角形，是從人員、系統、資料這三個面向來看。何全德認為，人員就涉及兩個重要議題：人員安全和人才儲備；其次是系統保護，最後是資料保護。何全德說，這是具有戰略思考的保護策略，需從多個層面確保資訊安全，因為未來的資安不僅是技術防禦，更應注重資料保護和系統架構的安全性，ZTA（零信任架構）是更加安全和靈活的架構，可以有效保護系統和資料。</p> <p>他也提醒法律的重要性，法律應該與時俱進，以應對不斷變化的資安挑戰。何全德表示，政府可以通過法規和採購政策，提高企業和組織的資安意識和能力，從而全面提升國家資安水準。</p> <p>面對未來，「應該要持續關注AI在資安領域的應用」他表示，AI發展為資安領域帶來新的機遇和挑戰，例如，AI在漏洞掃描、攻防演練的應用，都可以藉此提高資安防禦效率和能力。</p> <p>他也強調韌性（Resilience）的重要性，因為韌性已經是資安領域的重要趨勢，不僅要做到資安事件的溯源，連資安防禦也必須做到向左移動到開發端等，才能應對日益複雜的資安威脅。</p> <p>因為資安是全球性的問題，他認為，臺灣需要加強國際合作和交流，共同應對跨國的資安威脅，保障全球資訊安全的同時，也就是保障臺灣的網路安全。<strong>【本文採訪日期為2024年4月】</strong></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 236px;" /></span></span></strong></a></p> </div></div></div>
2024/6/6 00:00作者黃彥棻https://www.ithome.com.tw/article/163110
【資安日報】6月5日，針對烏克蘭政府恢復公營事業收費，俄羅斯駭客組織FlyingYeti策畫利用WinRAR漏洞的網釣…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週雲端服務業者Cloudflare公布由俄羅斯駭客組織FlyingYeti策畫的網釣攻擊行動，並指出對方架設架設冒牌公營事件網站，意圖在當地政府恢復收取、追討積欠公營事業費用的情況下，引誘烏克蘭民眾上當。</p> <p>值得一提的是，這起攻擊行動駭客意圖濫用Cloudflare Workers與GitHub的服務隱匿行蹤，這兩家公司進行反制，讓對方難以繼續從事攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163316"><strong style="font-size: 22px;">俄羅斯駭客FlyingYeti利用WinRAR漏洞對烏克蘭發動網釣攻擊，目的是散布惡意程式CookBox並控制受害電腦</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FlyingYeti4-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FlyingYeti4-5.png" style="width: 300px; float: right;" /></a>雲端服務業者Cloudflare揭露自今年4月出現的網路釣魚攻擊行動，俄羅斯駭客組織FlyingYeti（亦被稱為UAC-0149）針對烏克蘭民眾因政府的緊急命令即將到期，恢復收取積欠的公營事業費用，而可能面臨龐大債務的情況，架設冒牌的基輔Komunalka社會住宅網站來引誘他們上當，而有可能導致電腦被部署PowerShell惡意程式CookBox，過程中對方濫用Cloudflare Workers與GitHub，以及WinRAR漏洞CVE-2023-38831。</p> <p>對此，Cloudforce One採取反制行動，延後對方發動攻擊的時間，他們先是封鎖駭客使用的Cloudflare Worker，而對方企圖新帳號設置多個Cloudflare Worker，但後續皆遭到停用，導致駭客更改攻擊鏈，由GitHub存取前述RAR檔案。研究人員向GitHub通報此事，該程式碼儲存庫下架相關專案，並移除釣魚網站。</p> <p><a href="https://www.ithome.com.tw/news/163310"><strong style="font-size: 22px;">美國證實7年前Oracle WebLogic Server作業系統命令注入漏洞被用於攻擊行動</strong></a></p> <p>6月3日美國網路安全暨基礎設施安全局（CISA）針對一項7年前公布的漏洞CVE-2017-3506提出警告，指出掌握駭客已將這項漏洞用於攻擊行動的證據，他們將其納入已知遭到利用的漏洞目錄（KEV），要求聯邦機構在6月24日前完成修補。</p> <p>雖然CISA並未針對駭客利用漏洞的情況說明細節，但有鑑於該漏洞已公布7年之久，網路上已有研究人員公布概念性驗證（PoC）程式碼，攻擊者若要利用漏洞，無須自行從頭分析，IT人員還是要盡速套用相關修補程式。</p> <p><a href="https://www.ithome.com.tw/news/163304"><strong style="font-size: 22px;">防詐公司Gogolook發布資安事件重訊，網站部分服務遭非法存取</strong></a></p> <p>創新板上市公司走著瞧-創（Gogolook）在6月4日公布遭遇網路資安事件，該公司於傍晚18時18分發布重大訊息，說明內部資安團隊發現有部落格專欄的網站服務，發生未經授權存取的情況。</p> <p>根據Gogolook的說明，他們的資安團隊監控到網站部分服務（服務項目：部落格專欄），遭不明人士意圖嘗試未經授權的存取，發現後已即時做出因應，全面啟動資安防禦與攔阻機制，同時與第三方資安廠商積極展開調查。他們也說明了目前的調查結果，沒有網站會員個人資料及公司內部機密資訊遭存取情形。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.fortinet.com/blog/threat-research/menace-unleashed-excel-file-deploys-cobalt-strike-at-ukraine"><strong style="font-size: 20px;">駭客藉由Excel巨集進行多階段惡意軟體攻擊，針對烏克蘭電腦植入Cobalt Strike</strong></a></p> <p></p> <p>◆<a href="https://www.ptsecurity.com/ww-en/analytics/pt-esc-threat-intelligence/hellhounds-operation-lahat-part-2/"><strong style="font-size: 20px;">俄羅斯電力公司、IT業者、政府機關遭到木馬程式Decoy Dog攻擊</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/australian-mining-company-discloses-breach-after-bianlian-leaks-data/"><strong style="font-size: 20px;">澳洲礦業公司Northern Minerals傳出遭到勒索軟體「變臉」攻擊</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/tiktok-fixes-zero-day-bug-used-to-hijack-high-profile-accounts/"><strong style="font-size: 20px;">抖音傳出企業與名人帳號遭到接管的情況，駭客藉由私訊功能的零時差漏洞得逞</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/american-radio-relay-league-says-it-was-hacked-by-an-international-cyber-group/"><strong style="font-size: 20px;">針對5月中旬遭遇網路攻擊，美國無線電中繼聯盟ARRL指控是惡意的國際網路組織所為</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163308"><strong style="font-size: 22px;">兆勤針對生命週期已經結束的NAS設備發布緊急更新，修補重大層級漏洞</strong></a></p> <p>6月4日兆勤（Zyxel Networks）針對旗下網路儲存設備NAS326、NAS542發布資安公告，指出這些設備存在5項漏洞CVE-2024-29972、CVE-2024-29973、CVE-2024-29974、CVE-2024-29975、CVE-2024-29976，並指出有鑑於其中3項漏洞極為嚴重，即使這些設備生命週期已於去年底結束，他們還是決定破例提供新版韌體修補重大漏洞。至於這些漏洞是否已遭到利用，該公司並未提出說明。</p> <p>這些得到修補的漏洞，包含了命令注入漏洞CVE-2024-29972、CVE-2024-29973，以及遠端程式碼執行（RCE）漏洞CVE-2024-29974，皆為重大層級，CVSS風險評分也都達到9.8分。</p> <p><a href="https://www.ithome.com.tw/news/163315"><strong style="font-size: 22px;">美國網路寬頻業者Cox修補數據機授權繞過漏洞，若不處理攻擊者可用於挖掘用戶個資</strong></a></p> <p>漏洞賞金獵人Sam Curry揭露美國大型網路寬頻業者Cox Communications於3月修補的權限繞過漏洞，攻擊者能遠端濫用曝露的後端API，從而重置數百萬臺數據機的組態，並竊取用戶的敏感個資。他發現超過700個曝露的API，其中不少提供了管理功能，一旦攻擊者藉由重新傳輸HTTP請求，就有機會在未經授權的情況下執行命令。</p> <p>由於Cox是美國最大的寬頻網路業者之一，服務遍及超過30個州、擁有近700萬個企業與個人用戶，這樣的漏洞影響相當廣泛。對此，Cox於3月初獲報後著手處理，並得到研究人員的確認。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162869"><strong style="font-size: 22px;">資安典範正轉移，接下來10年臺灣資安產業應積極擁抱AI新科技</strong></a></p> <p>臺灣資安產業現今蓬勃發展，奧義智慧科技創辦人邱銘彰在今年資安大會中，細數過去幾個重要發展的關鍵點，並指出現在正面臨典範的轉移及方法的革新。由於資安的觀點及關心的重點不斷移動，從網路（DoS）端到伺服器（Web），到終端（APT滲透測試），再到身分（雲端），資安的戰場不斷移動，過去的資安鑑識以電腦為單位，現在進入雲端時代，以每個Workflow為鑑識單位，這並非代表舊的問題消失，而是發現新問題出現。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163303"><strong>【6月4日】帛琉政府資料流入暗網，指控是中國政府指使勒索軟體駭客組織所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163276"><strong>【6月3日】美國證實Linux核心的網路元件Netfilter高風險漏洞已被用於攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163231"><strong>【5月31日】歐洲刑警組織與十多個國家執法單位聯手，掃蕩數個用於散布惡意程式的殭屍網路</strong></a></p> </div></div></div>
2024/6/5 18:07作者周峻佑https://www.ithome.com.tw/news/163317
俄羅斯駭客FlyingYeti利用WinRAR漏洞對烏克蘭發動網釣攻擊，目的是散布惡意程式CookBox並控制受害電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端服務業者Cloudflare揭露自<a href="https://blog.cloudflare.com/disrupting-flyingyeti-campaign-targeting-ukraine">今年4月出現的網路釣魚攻擊行動</a>，俄羅斯駭客組織FlyingYeti（亦被稱為UAC-0149）針對烏克蘭民眾因政府的緊急命令即將到期，<a href="https://en.interfax.com.ua/news/economic/959388.html">恢復收取積欠的公營事業費用</a>，而可能面臨龐大債務的情況，架設冒牌的基輔Komunalka社會住宅網站來引誘他們上當，而有可能導致電腦被部署PowerShell惡意程式CookBox，過程中對方濫用Cloudflare Workers與GitHub，以及WinRAR漏洞CVE-2023-38831。</p> <p>4月18日，該公司旗下的威脅情報團隊Cloudforce One偵測到FlyingYeti疑似準備發起攻擊行動的跡象，經比對這些駭客曾使用烏克蘭電腦緊急應變團隊（CERT-UA）揭露的攻擊手法，去年秋季對當地國防機構散布CookBox。</p> <p>後來研究人員進行追蹤，這些駭客在4月中旬至5月中旬進行偵察，建立網釣的誘餌內容，並著手開發惡意程式，當時他們推測，對方很有可能打算在東正教復活節後發動攻擊。</p> <p>而對於駭客準備的攻擊鏈，研究人員指出，對方先是透過債務重組或是與付款相關的電子郵件，引誘收信人點選連結，並將他們帶往架設在GitHub的冒牌Komunalka社會住宅付款網站，該網站指示收信人下載Word檔案。</p> <p><a href="https://s4.itho.me/sites/default/files/images/FlyingYeti4-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FlyingYeti4-5.png" style="width: 580px;" /></a></p> <p>然而若是收信人照做，點選下載按鈕，電腦就會向Cloudflare Worker發出HTTP POST請求，對方藉此過濾目標，完成後下載RAR壓縮檔到受害電腦。</p> <p>此壓縮檔內含數個檔案，其中一個檔名帶有大量Unicode字元U+201F，此字元在Windows作業系統顯示為空格，攻擊者這麼做的目的，就是為了讓收信人降低戒心，忽略此檔案實際是CMD批次檔。</p> <p><a href="https://s4.itho.me/sites/default/files/images/FlyingYeti2-11.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FlyingYeti2-11.png" style="width: 580px;" /></a></p> <p>而這個壓縮檔內含另一個無害的付款發票PDF檔案，一旦收信人透過WinRAR開啟壓縮檔，並試圖檢視PDF檔案，就會觸發CVE-2023-38831，執行CMD檔案，從而啟動CookBox，而能讓攻擊者持續於受害電腦上活動。</p> <p>值得留意的是，CMD檔案還會開啟壓縮檔裡的其他Word檔案，這些檔案內容看起來是烏克蘭官方文件，很有可能是用來轉移收信人的注意力。</p> <p>對此，Cloudforce One採取反制行動，延後對方發動攻擊的時間，他們先是封鎖駭客使用的Cloudflare Worker，而對方企圖新帳號設置多個Cloudflare Worker，但後續皆遭到停用，導致駭客更改攻擊鏈，由GitHub存取前述RAR檔案。</p> <p>研究人員向GitHub通報此事，該程式碼儲存庫下架相關專案，並移除釣魚網站。他們也提供PowerShell指令碼，並對於Splunk、微軟雲端資安資訊及事件管理（SIEM）平臺Sentinel提供相關的偵測規則，來識別駭客駭客在受害電腦觸發CVE-2023-38831的情況。</p> </div></div></div>
2024/6/5 17:19作者周峻佑https://www.ithome.com.tw/news/163316
兆勤針對生命週期已經結束的NAS設備發布緊急更新，修補重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月4日兆勤（Zyxel Networks）<a href="https://www.zyxel.com/tw/zh/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-nas-products-06-04-2024">針對旗下網路儲存設備NAS326、NAS542發布資安公告</a>，指出這些設備存在5項漏洞CVE-2024-29972、CVE-2024-29973、CVE-2024-29974、CVE-2024-29975、CVE-2024-29976，並指出有鑑於其中3項漏洞極為嚴重，即使這些設備生命週期已於去年底結束，他們還是決定破例提供新版韌體修補重大漏洞。至於這些漏洞是否已遭到利用，該公司並未提出說明。</p> <p>這些得到修補的漏洞，包含了命令注入漏洞CVE-2024-29972、CVE-2024-29973，以及遠端程式碼執行（RCE）漏洞CVE-2024-29974，皆為重大層級，CVSS風險評分也都達到9.8分。</p> <p>其中，CVE-2024-29972位於名為remote_help-cgi的CGI程式，而CVE-2024-29973則是發生在setCookie參數，攻擊者能在未經授權的情況下，藉由發送偽造的HTTP POST請求，從而執行部分作業系統層級的命令。</p> <p>至於另一個重大層級漏洞CVE-2024-29974，出現在名為file_upload-cgi的CGI程式，未經授權的攻擊者能藉由上傳偽造的組態，藉此漏洞執行任意程式碼。</p> <p>通報上述漏洞的<a href="https://outpost24.com/blog/zyxel-nas-critical-vulnerabilities/">資安業者Outpost24也公布相關細節</a>，表示他們發現漏洞的原因，是在調查<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">去年</span>重大層級的預先身分驗證命令注入漏洞CVE-2023-27992（CVSS風險評為9.8分）的過程，發現兆勤修補該漏洞的方式，主要是藉由加入基礎的過濾機制，並限制最大長度，從而達到防堵攻擊者藉由/favicon.ico繞過身分驗證，但這麼做難以防範周全。</p> <p>研究人員指出，兆勤藉由加入更多過濾規則來緩解漏洞，而非解決程式碼依賴eval( )函數的根本問題，由於過濾機制與身分驗證並未集中處理，而是取決於每個端點決定身分驗證是否適用，或是輸入的資料對於eval( )而言是否足夠安全。為了驗證上述設計邏緝產生的缺陷，他們製作有效酬載來驗證新發現的漏洞。</p> <p>他們也對這些漏洞補充說明，像是CVE-2024-29972涉及名為NsaRescueAngel的後門帳號，而且，該帳號具備root權限；而CVE-2024-29974不只能用於發動遠端執行程式碼攻擊，還能讓攻擊者持續在受害裝置上活動。</p> </div></div></div>
2024/6/5 12:16作者周峻佑https://www.ithome.com.tw/news/163308
美國證實7年前Oracle WebLogic Server作業系統命令注入漏洞被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月3日美國網路安全暨基礎設施安全局（CISA）針對一項7年前公布的漏洞CVE-2017-3506提出警告，<a href="https://www.cisa.gov/news-events/alerts/2024/06/03/cisa-adds-one-known-exploited-vulnerability-catalog">指出掌握駭客已將這項漏洞用於攻擊行動的證據</a>，他們將其納入已知遭到利用的漏洞目錄（KEV），要求聯邦機構在6月24日前完成修補。</p> <p>這項弱點存在於Oracle WebLogic Server，<a href="https://nvd.nist.gov/vuln/detail/CVE-2017-3506">為高風險層級的作業系統命令注入漏洞</a>，CVSS風險評為7.4分，影響10.3.6.0、12.1.3.0、12.2.1.0、12.2.1.1、12.2.1.2等多個版本，Oracle於2017年4月進行修補。</p> <p>未經身分驗證的攻擊者藉由觸發漏洞，有機會在透過HTTP網路連線入侵目標伺服器。一旦成功利用漏洞，對方就能竄改、產生、刪除伺服器上所有重要資料，或是對於資料進行完全存取。</p> <p>雖然CISA並未針對駭客利用漏洞的情況說明細節，但有鑑於該漏洞已公布7年之久，網路上已有研究人員公布概念性驗證（PoC）程式碼，攻擊者若要利用漏洞，無須自行從頭分析，IT人員還是要盡速套用相關修補程式。</p> </div></div></div>
2024/6/5 12:59作者周峻佑https://www.ithome.com.tw/news/163310
美國網路寬頻業者Cox修補數據機授權繞過漏洞，若不處理攻擊者可用於挖掘用戶個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>漏洞賞金獵人Sam Curry揭露<a href="https://samcurry.net/hacking-millions-of-modems">美國大型網路寬頻業者Cox Communications於3月修補的權限繞過漏洞</a>，攻擊者能遠端濫用曝露的後端API，從而重置數百萬臺數據機的組態，並竊取用戶的敏感個資。</p> <p>這名研究人員對於Cox的數據機感到興趣，起因是2年前他居家辦公的時候，發生非常怪異的現象。當時他正測試一項XXE漏洞，透過外部HTTP伺服器走私檔案，卻發現有人攔截並重放相關流量，經調查攻擊者來源卻是南美洲資安業者使用的DigitalOcean網域，懷疑對方利用數據機的弱點下手。當時，他向Cox更換數據機後，這起事故不了了之。</p> <p>直到今年初，他與其他從業人員提及此事，才再度著手調查。結果發現，攻擊者很有可能並非直接對數據機下手，而是透過該公司客服人員遠端控制裝置的API達到目的。</p> <p>Sam Curry尋線調查此事找出存在於API的弱點，並指出攻擊者一旦成功利用，就能取得該網路服務供應商技術支援人員類似的權限，然後存取該公司任何客戶的數據機，覆蓋組態設定並在裝置上執行命令。</p> <p>利用這項漏洞，攻擊者還能利用公開的API挖掘用戶的姓名、電話號碼、電子郵件信箱等資料，從而尋找下手目標，竊取能夠識別個人身分的資訊（PII）。</p> <p>研究人員指出，他發現超過700個曝露的API，其中不少提供了管理功能，一旦攻擊者藉由重放HTTP請求，就有機會在未經授權的情況下執行命令。</p> <p>由於Cox是美國最大的寬頻網路業者之一，服務遍及超過30個州、擁有近700萬個企業與個人用戶，這樣的漏洞影響相當廣泛。對此，Cox於3月初獲報後著手處理，並得到研究人員的確認。</p> </div></div></div>
2024/6/5 15:53作者周峻佑https://www.ithome.com.tw/news/163315
Google開源半監督式框架SPADE，即使標記資料不足也可高效偵測異常
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開源了一個稱為<a href="https://opensource.googleblog.com/2024/05/semi-supervised-anomaly-detection-under-distribution-mismatch.html">SPADE（Semi-supervised Pseudo-labeler Anomaly Detection with Ensembling）</a>半監督異常偵測框架，這個方法的優勢在於，能夠克服其他半監督異常偵測方法的缺點。SPADE只需要少量已標記與大量未標記資料，即可高效地偵測異常。</p> <p>異常偵測應用範疇很廣，包括API安全、金融詐欺、製造缺陷等領域，皆可透過辨識資料和預期模式的不同，來找出異常項目。SPADE是Google所開發的高效異常偵測方法，其使用一組單類分類器（One-Class Classifiers，OCCs），作為虛擬標籤器和監督分類器，特別適合已標記與未標記樣本數量存在分布差異的資料集。</p> <p>由於建立大規模標記資料集的過程不只耗時且成本昂貴，而SPADE利用半監督學習方法，僅需少量標記資料即可達到良好的偵測效果，進而降低資料標記成本。</p> <p>研究人員也解釋，大多數半監督式方法假設已標記和未標記資料來自相同的分布，也就是已標記和未標記資料由相同的來源或是機制生成，具有相似的分布特性和模式。但是實際情況通常並非如此，已標記資料可能僅包含一種類型的異常，但是未標記資料卻包含多種類型的異常，或是標記資料僅包含易於標記的樣本。</p> <p>SPADE能夠解決大多數半監督式方法的缺陷，其運作方式是先使用多個單類分類器來學習資料中正常樣本的特徵，接著這些分類器分別對未標記的資料進行預測，生成虛擬標籤，猜測異常與正常的資料，但只有當所有分類器一致認為特定樣本為異常時，才會真正將其標記為異常。通過虛擬標籤以及原始標記資料，一起訓練監督異常模型，完成訓練後，該模型便可用於偵測新資料中的異常。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEh2FvN4jPAY3yruX3mGEVHG_RRrrHHTq9qdb-msotQ64fMbX-zhxoFzcEH1p1pUBYrihngQGLJfp9FDblWPPJU2D6UL9hi_iByL6jbRgoMPWk6zi-Ja385RFTwUFLjVlv5irso_LLE_lGYfk8sqE-KT7cEGuC1erN8AH3glHA-HSS4nPjhFgBxTqRV1Op4/s1600/image1.gif" style="width: 580px;" /></p> <p>簡單來說，SPADE透過猜測異常樣本，並利用猜測結果與標記資料一起訓練模型，實現更高效精確的異常偵測。</p> </div></div></div>
2024/6/5 16:20作者李建興https://www.ithome.com.tw/news/163314
Databricks買下Tabular，企圖改善資料相容性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料與AI業者Databricks周二（6/4）宣布，已同意買下資料管理業者Tabular，準備改善資料湖倉（Lakehouse）格式的相容性。雙方並未揭露交易細節，但《<a href="https://www.wsj.com/articles/databricks-to-buy-data-management-startup-tabular-in-bid-for-ai-clients-829e5bcf" target="_blank">華爾街日報</a>》（Wall Street Journal）報導，此一交易規模介於10億~20億美元之間，預計於今年7月完成交易。</p> <p>Databricks與Tabular的創辦人都來自開源社群。其中，Databricks在2013年由Apache Spark的原始創辦者所設立，Apache Spark為一鎖定大規模資料處理的開源統一分析工具，之後Databricks也打造了開源的Delta Lake資料湖專案；至於Tabular則是在2021年由Ryan Blue、Daniel Weeks和Jason Reid所創立，Blue與Weeks在任職於Netflix時開發了「冰山」（Iceberg）專案，這是個用於大型分析表格的格式，之後把它捐給了Apache軟體基金會。</p> <p>迄今全球已有超過500名工程師貢獻Delta Lake專案，並有逾1萬家企業使用Delta Lake，平均每天處理4 EB以上的資料量。</p> <p>Databricks表示，Delta Lake與Iceberg專案在差不多的時間問世，皆為資料湖倉格式主要的開源標準，可惜的是，雖然它們都是基於Apache Parquet並有類似的目標與設計，卻因彼此獨立開發而互不相容。在收購Tabular之後，Databricks打算與Delta Lake及Iceberg密切合作，推動彼此格式的互動。</p> <p>至於<a href="https://tabular.io/blog/tabular-is-joining-databricks/" target="_blank">Tabular也說</a>，資料生態體系充斥著開放表格格式的討論，大家都希望能夠有一個安全且集中的資料架構，可連結到各種專業的運算框架或引擎，從而解鎖新的資料管理及分析能力，與Databricks攜手建置一個共同的資料標準將可實現此一願景。</p> </div></div></div>
2024/6/5 15:04作者陳曉莉https://www.ithome.com.tw/news/163312
防詐公司Gogolook發布資安事件重訊，網站部分服務遭非法存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>創新板上市公司走著瞧-創（Gogolook）在6月4日公布遭遇網路資安事件，該公司於傍晚18時18分發布重大訊息，說明內部資安團隊發現有部落格專欄的網站服務，發生未經授權存取的情況。</p> <p>根據Gogolook的說明，他們的資安團隊監控到網站部分服務（服務項目：部落格專欄），遭不明人士意圖嘗試未經授權的存取，發現後已即時做出因應，全面啟動資安防禦與攔阻機制，同時與第三方資安廠商積極展開調查。他們也說明了目前的調查結果，沒有網站會員個人資料及公司內部機密資訊遭存取情形。</p> <p>對於這次遭駭的部落格專欄的網站服務，我們也進一步詢問該公司，雖然Gogolook還是沒有說明是哪一個網站出事，但他們表示，這次受影響的網站沒有會員登入服務，而此事件存取影響範圍也僅限於此，因當下受到既有資安防禦措施阻擋，而未擴及其餘服務，所以，這次事件並未影響其他網站服務與內部系統。</p> <p>另一值得我們關注的焦點在於，雖然這次資安事件並非核心資訊系統遭駭，但由於臺灣證券交易所已在5月底，放寬資安重訊發布的重大性標準，擴大資安事件揭露範圍，因此該公司對於這次事件的處理方式，也算是依照新規範如實揭露，讓大大小小的資安事件發生都能透明化。</p> </div></div></div>
2024/6/5 10:16作者羅正漢https://www.ithome.com.tw/news/163304
十多名OpenAI及DeepMind員工簽署公開信，期望獲得警告AI風險的權利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有11名OpenAI的前任及現任員工，再加上兩名DeepMind的前任與現任員工，在本周<a href="https://righttowarn.ai/" target="_blank">簽署了一封公開信</a>「對先進AI發出警告的權利」（A Right to Warn about Advanced Artificial Intelligence），在這13名AI從業人員中，有6名現任員工，但有5位是匿名的，或許是擔心遭到報復或受到杯葛。</p> <p>他們在信中表示，相信AI對人類帶來好處的潛力，但也理解AI可能帶來的嚴重風險，包括強化現有的不平等、操縱、不實資訊，或是失去對AI系統的控制而造成人類滅絕等，它們是AI領域公開承認的風險，原本期望可在科學界、立法者與公眾的充分指引下得到緩解，然而，他們認為AI公司有很強的財務動機來避免有效的監督。</p> <p>此外，AI公司擁有大量的非公開資訊，包括系統能力與侷限性，保護措施的充分性，以及不同傷害的風險等級等，但它們現階段只有與政府分享部分資訊的微小義務，而未與民間分享。當政府未能對其有效監督之際，員工就是少數能夠督促它們負責的人，但他們擔心各種的挾怨報復。</p> <p>因此，他們提出了幾點的呼籲，包括不強制員工簽署禁止批評公司的協議，也不報復那些提出風險批評的員工；AI公司應建立一個匿名舉報機制，以允許前任或現任員工可向董事會、監管機構或獨立組織來檢舉風險問題；AI公司應該在貿易機密與智慧財產權受到適當保護的情況下，支持開放批評的文化；不報復那些在其它檢舉途徑失效，而公開分享風險機密訊息的員工。</p> <p>該活動的召集人之一是OpenAI治理部門的前研究員Daniel Kokotajlo，<a href="https://x.com/DKokotajlo67142/status/1797994238468407380" target="_blank">他透過X解釋</a>，他在失去對OpenAI可負責任建置通用AI的信心之後，於今年4月辭職。</p> <p class="rtecenter"><a href="http://x.com/DKokotajlo67142/status/1797994238468407380" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0605-Daniel%20Kokotajlo.png" style="width: 586px;" /></a></p> <p>Kokotajlo表示，他在加入OpenAI時，曾經希望隨著系統變得更強大，會在安全研究上投入更多的資金，但OpenAI從未有此轉變，意識到此事的同事開始離職，他不是第一個，也不會是最後一個。此外，在他離職的時候，OpenAI要求他簽署一份協議，阻止他批評公司，若不簽署就會失去他的OpenAI股權。</p> <p>Kokotajlo認為，AI系統並非普通軟體，它們是從大量資料中學習的人工神經網路，對於這些系統的運作、可能超越人類智慧，或是能否具備與人類一致的利益，都有許多的未知，與此同時，相關技術幾乎缺乏監督，反而是由AI企業自治，而經濟動機與對技術的興奮，不時令這些業者快速行動並打破常規。</p> <p>最後決定拒絕簽署噤聲協議的Kokotajlo強調，讓研究人員噤聲並使他們害怕報復是危險的，因為他們是目前唯一能夠警告公眾的人。</p> </div></div></div>
2024/6/5 12:23作者陳曉莉https://www.ithome.com.tw/news/163309
思科搶搭AI列車，砸10億美元成立AI投資基金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI已成消費性及企業IT王道，網路設備及伺服器大廠思科周二<a href="https://www.ciscoinvestments.com/giving-usd1b-some-perspective" target="_blank">宣布了第一筆大型投資</a>，將成立10億美元AI投資基金，包含投資新創公司。</p> <p>思科旗下投資部門Cisco Investment指出，這筆投資將用於贊助新創公司，及擴展安全而穩定的AI解決方案開發。在此投資計畫中，Cohere、Mistral AI與Scale AI等新創公司獲得資金挹注。目前思科已經投資了2億美元，但並未說明對三家新創的投資金額。</p> <p>Cohere為加拿大業者，提供大型語言模型及檢索增強生成（retrieval-augmented generation，RAG）技術，可滿足企業需求。Mistral AI為法國AI業者，以開源模型Mistral Large及Mixtral 8x7B引發業界關注；Scale AI則提供資料為中心端到端平臺，思科於5月<a href="https://scale.com/blog/scale-ai-series-f" target="_blank">參與</a>了該公司F輪募資成為該輪最大策略投資者。</p> <p>思科強調自己並非AI投資新進者。過去幾年思科已做過20多家AI收購及投資，強化思科產品線的生成式AI和機器學習能力。思科也說將和AI業者合作產品，讓思科得以扮演AI平臺及中立供應商角色，為客戶提供AI方案。</p> <p>思科成為最新一家巨額投資AI的IT大廠。之前，微軟以逾百億美元投資OpenAI，Anthropic則分別獲得<a href="https://www.ithome.com.tw/news/159545" target="_blank">Google</a> 23億和<a href="https://www.ithome.com.tw/news/162016" target="_blank">Amazon</a> 40億美元投資。2023年成立的Mistral AI更在不到半年先後獲得4.5億的注資，投資者包括<a href="https://techcrunch.com/2024/02/27/microsoft-made-a-16-million-investment-in-mistral-ai/" target="_blank">微軟</a>、<a href="https://www.linkedin.com/posts/jamesmawson_mistral-becomes-the-talk-of-davos-as-business-activity-7154026251094036482-L-yg" target="_blank">Nvidia</a>及知名私募基金a16z等，公司估值20億美元。</p> </div></div></div>
2024/6/5 10:36作者林妍溱https://www.ithome.com.tw/news/163305
微軟證實裁員、重整MR部門，可能不再開發HoloLens 3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟昨（4）日證實公司將裁員，包括混合實境（mixed reality，MR）部門重整，但將持續銷售HoloLens 2裝置。<a href="https://www.cnbc.com/2024/06/03/microsoft-confirms-mixed-reality-layoffs-will-keep-selling-hololens-2.htm" target="_blank">《CNBC》</a>昨日引述消息人士報導，微軟本周稍早在公司內以郵件宣布將裁減逾1,000人，影響包括MR在內的硬體部門。微軟官方證實此消息，也可能意謂著不會推出HoloLens 3。</p> <p>不過微軟稱此事並不會影響賣給美軍的作戰用軍事MR頭戴裝置IVAS。此外，微軟一方面表示會持續銷售HoloLens，另一方面也說，會持續投資Windows 365，以便「觸及更廣大的MR生態體系」，意味著將以Windows 365和其他品牌的VR/MR硬體業者合作，自己將更著重應用服務。</p> <p>但此事極可能表示不會有HoloLens 3了。HoloLens 3,499美元的定價，使外界從它一問世就懷疑企業和消費者的接受度。儘管HoloLens 2調整為企業用途，仍然未能提振銷售。2022年HoloLens<a href="https://www.ithome.com.tw/news/151356" target="_blank">部門改組</a>，軟、硬體開發人員分別併入Teams和Windows部門。有趣的是，<a href="https://www.ithome.com.tw/news/149215" target="_blank">微軟曾堅持</a>HoloLens 3不會停止開發，現在已經淡化這件事。</p> <p>事實上，微軟現有重心已經轉移AI及Copilot上，龐大的投資讓微軟沒有理由再持續開發HoloLens。</p> <p>現在微軟最主要任務，應該是完成對美國國防部提供的軍用MR頭戴裝置的合約。微軟2021年拿下美國陸軍220億美元訂單，以HoloLens打造整合式視覺擴增系統（IVAS），預定以10年出貨12萬頂。不過第一代裝置讓美國士兵測試後，出現噁心、頭痛、眼睛疲勞等問題，迫使微軟必須持續改良以滿足合約，並確保美軍持續下單量。</p> <p>微軟5月才偕PC品牌業者公布Copilot+ PC，晶片業者除了高通外，本周在Computex大會上，AMD和英特爾也相繼公布了分別代號為Strix Point和Lunar Lake的下一代處理器。加上秋天即將推出Windows 11 24H2，微軟正在積極準備，推動下一波PC換機潮。</p> </div></div></div>
2024/6/5 11:18作者林妍溱https://www.ithome.com.tw/news/163306
【2024臺灣資安年鑑｜資安十年特輯】修訂產業創新條例，推動「資安產業化」以及「產業資安化」是主要目標
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_shi_nian_-lu_zheng_hua_-960-jpg_0.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣資安政策的演進，在過去十年成為引人注目的焦點。隨著蔡英文總統的兩個任期──八年的執政，臺灣的資安政策走上更加積極的道路，尤其是她在任內制定「資安即國安」的國家戰略方針，不僅對臺灣的資安環境帶來重大的影響，也在全球資安治理引起了高度且廣泛的注意。</p> <p>數位發展部數位產業署署長呂正華表示，首先，從政治層面來看，總統對於資安的高度重視，是政府部門及整個國家機器重視資安的關鍵推動力。</p> <p>蔡英文總統對資安政策的支持，不僅僅在口頭上表達，也以實際政策作為展示推動資安的決心。例如，蔡英文總統親自出席臺灣資安大會，並對臺灣資安產業的發展，給予全方位的支持。</p> <p>他指出，這種由總統帶頭、其他像是副總統、行政院長、各部會首長跟進的作為，充分展現出高層領導人重視及參與的政治關注，使得資安議題在政府層面獲得充分的關注與推動。</p> <p>連帶的，呂正華表示，這種上行下效的氛圍，也會督促行政部門會更積極開展各項與資安相關的工作，對於資安政策的實施，和整個國家資安環境的改善，都會帶來很正面的效果。</p> <p>其次，從政策層面來看，蔡總統重視資安的作為，也為行政部門的政策制定，提供強而有力的支持，例如，因應民間企業希望政府可以透過投資抵減的方式，鼓勵企業多多投資在資安上，行政部門之間彼此協調、透過《產業創新條例》10-1條的修正，包括端、網、雲和服務，都納入投資抵減範圍。</p> <p>根據統計數據顯示，2023年申請產創條例的資安投資抵減金額達到78.18億元，共計612件。這顯示出政府對於資安產業的支持力度不斷增強，為產業的發展提供了實質性的幫助和激勵。</p> <p>呂正華表示，這一舉措不只為資安產業的發展，提供了實質性支持和激勵，使得資安產業得以蓬勃發展，從而鼓勵企業增加對資安的投入；同時，政府還積極提供試驗場域，為資安產業的創新和發展提供了良好的環境。</p> <p>這些政策舉措的實施，使得臺灣的資安產業得以蓬勃發展，成為了國家經濟發展的一大亮點。</p> <p>「資安產業化」和「產業資安化」一直是政府在推動資安發展時重要的工作項目，並列為重要的政策目標。呂正華認為，這意味著政府不僅僅關注於提升資安產業的競爭力，同時也重視於提升整個產業鏈的資安水準。這種全面性的政策部署，不僅為資安政策實施提供了有力的保障，也同時為臺灣的資安產業發展打下了堅實的基礎。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E5%91%82%E6%AD%A3%E8%8F%AF-600-1-JPG.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">（攝影／洪政偉）</span></p> <p><span style="font-size:28px;"><strong>社群投入與商機迸發，帶動臺灣資安產業快速起飛</strong></span></p> <p>呂正華公務職涯都跟數位產業有密切關係，從工業局電子資訊組組長、工業局副局長、工業局局長，直到擔任數位產業署署長，這段期間，資安產業有了很大變化，因為原先只是數位產業的一環，但隨著許多出國打CTF（搶旗攻防賽）的學生和選手，在全球取得優異成績，加上政府主管開始支持相關的比賽時，資安發展火苗逐漸燃起。</p> <p>呂正華指出，「年輕人把過去學的資安技術做產業推動，不只是學校學的工具知識，更開始實踐理想、成立資安公司。」資安產業化的重要性，不僅是因為科技發展的推動，更是因為數位轉型的進程中，各項資料都會往雲端走，資訊保護變得尤為關鍵。</p> <p>然而，臺灣資安產業的崛起也面臨著一系列挑戰。他也說，臺灣不斷面對來自世界各地的網路攻擊，這對於企業和政府的資訊基礎設施，提出了嚴峻的考驗，例如美國聯邦眾議院議長裴洛西議長訪臺的時刻，關鍵基礎設施出現電子看板系統的不設防，更突顯了這一挑戰的嚴重性。</p> <p>不過，呂正華表示，因為有過去的經驗累積，加上臺灣有越來越多讓人印象深刻的資安產品和服務，以及來自產官學研等領域的合作及政策的推動，他對於臺灣關鍵基礎設施的防護能力，還是有一定的信心。</p> <p><span style="font-size:28px;"><strong>許多網路威脅鎖定臺灣，接連多起事故也喚醒企業重視資安</strong></span></p> <p>臺灣資安產業發展在過去十年，受到哪些外在因素影響呢？美國聯邦眾議院議長裴洛西來臺，中國駭客對臺灣發動網路攻擊的事件獲得媒體大幅報導，他表示，這種高度關注和警覺性，使越來越多企業和廠商意識到資安的重要。</p> <p>臺灣半導體業龍頭台積電曾因資安事件而遭受損失，但隨後與工研院展開合作，積極制定全球半導體供應鏈的資安標準SEMI E 187，這一標準在2023年1月成功推廣至整個半導體、面板、印刷電路板等產業，為整個產業鏈的資安保護提供有力保障；同時，供應鏈業者也可購買符合SEMI E 187資安標準的設備，進一步提升整個供應鏈的資訊安全水準。</p> <p>資安產業的發展，不僅是企業自身問題，更是系統性問題，呂正華認為，這需要政府提供系統性的支持和指導，政府可從多個面向著手，包括資安產業的發展、產業資安的提升，以及資安人才的培育等方面，制定相應的政策措施，為資安產業的整體健康發展，提供有力的保障。</p> <p>他同意臺灣資安大會也是好的平臺，可看到廠商投入成果，也讓更多人選擇資安解決方案時，知道臺灣國產方案和國際廠商的不同服務之處，當然，有些臺灣資安業者提供的解決方案，已經滿足某些企業的需求，鼓勵大家選用臺廠方案；某些產業因為需求不同，會選擇選國外原廠解決方案，也同樣有助於臺灣整體資安產業、產業資安的發展。</p> <p><span style="font-size:28px;"><strong>零信任資安提升資安水準，DIGITAL+鼓勵業者研發創新</strong></span></p> <p>資安是個隱匿在數位時代陰影下的關鍵課題，對於臺灣這個高度依賴資訊科技的國家而言，更是必須正視的挑戰。然而，隨著資安環境的不斷演變和威脅的不斷升級，臺灣資安產業面臨著一系列前所未有的挑戰和考驗。</p> <p>面對更頻繁的資安攻擊，臺灣必須不斷培養更多的資安公司，資安解決方案更要做到與時俱進。目前推行的零信任資安和軍民通用資安等措施，已經在一定程度上提升了資安水準。</p> <p>但隨著時間推移，網路威脅的風險不斷演進，特別是對於中小企業而言，投入資安的壓力往往難以承受，更需要政府提供更多資源，以應對日益嚴峻的資安挑戰。</p> <p>主管機關目前已透過法遵要求關鍵基礎設施業者，例如金融或是醫療等產業都必須設立資安長、資安主管並成立資安專責單位，但是，現在其他更多產業或者中小企業，更在意淨零排放議題，因為他們面對的是：No ESG No Money的議題。</p> <p>政府也意識到這個問題，呂正華表示，數位產業署推動的「DIGITAL+數位創新補助平臺計畫」，這是針對產業的研發需求，鼓勵軟體資訊服務業者投入創新研發活動，厚植資訊服務業研發能量，進而加速提升產業競爭力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E5%91%82%E6%AD%A3%E8%8F%AF-600-2-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>資安量能登錄與否，成為政府與企業採購選擇廠商重要資格</strong></span></p> <p>為了改善產業資安的發展，呂正華指出，政府透過政策引導方式，建立產業資安的生態系統。</p> <p>改善資安產業需要一點一滴做，政府自2018年開放業者申請「資安能量登錄」以來，不重複申請者有154家廠商通過；資安自主產品認定自2019年開放申請以來，不重複申請者有68家廠商通過。「這已經成為企業採購的重要指標，也是供應商展示專業品牌的重要途徑。」呂正華說，這些都可以達到盤點資安量能，並可以成為臺灣資安自主產品的採購資料庫。</p> <p>他表示，政府採購將通過資安能量登錄列為「廠商招標資格項目」之一，通過能量登錄，已經是廠商能否成為政府採購選商名單中的必要標準項目，例如，臺南市、臺北市工務局及醫藥品查驗中心等計畫案，都有列入資安能量登錄的資格要求；同樣的，也有企業將資安量能登錄與否，視為能否納入企業採購選商清單的資格之一。</p> <p>而通過資安量能登錄的廠商，可以藉由證書向客戶展示專業能力、品牌價值，並為公司形象加分、豎立品牌專業、達到擴展商機的概念。他認為，政府藉由強化「資安能量登錄」和「資安自主產品」認定的推廣和支持，可以鼓勵更多的企業參與其中，建立健康的產業資安生態系統。</p> <p><span style="font-size:28px;"><strong>政府提供資安檢測工具，鼓勵產業進行資安檢測服務</strong></span></p> <p>另外，為了協助產業掌握資安防護現況，呂正華表示，政府也提供資安檢測工具，協助受測企業掌握組織內部的資安防護現況，結合端點防禦、滲透測試、強化網路系統架構等業者，組成固定服務團踱，提升整體資安防護力。</p> <p>他指出，目前推動臺灣重點產業加強投入資安防護資源，也鼓勵採用臺灣資安自主解決方案，迄今提供241家臺灣重點產業，進行產業資安檢測服務，促成至少八千萬延伸資安產業商機。</p> <p>企業資安檢測的項目，則包括：資安風險現況評估、主機系統弱點掃描、資訊設備組太檢測、網路封包側路分析、惡意程式或檔案檢視，以及防火牆連線設定檢視。</p> <p>為了提升產業資安韌性，政府也支持企業進行紅隊演練，培養主動升級的能力。呂正華指出，目前已經輔導包括日月光、華碩、勝一化工等製造業（占45％），以及富邦momo、東森得意購、博客來等數位產業（占55％），共計23家的企業進行紅隊演練。</p> <p>他表示，這些企業透過紅隊演練，可以知道如何強化供應鏈安全、知道如何妥善修補資安漏洞，如果需要資安廠商提供協助時，這一份已經完成資安能量登錄的業者清單，就是可供選擇廠商參考的依據。</p> <p><span style="font-size:28px;"><strong>推動並落實半導體資安標準SEMI E187</strong></span></p> <p>由台積電協同工研院及產業，共同主導全球半導體資安標準制定，並且輔導產業落實SEMI E187，呂正華認為，這就是推動產業資安的最佳例證。</p> <p>SEMI E187於2022年1月正式發布，舉辦誓師大會並號召產業支持標準落實，參與業者包括：SEMI國際半導體產業協會、TEEIA臺灣電子設備協會、TPSA臺灣顯示器暨應用產業協會、TSIA臺灣半導體協會，以及帆宣、志聖、京鼎、均豪、東捷、盟立、泓陽、凱諾等半導體設備商共襄盛舉；並於9月與公協會合辦論壇研討會、提供顧問諮詢服務和補助資源，並建置合規方案體驗區，產出參考實務指引（Reference Practice）。</p> <p>呂正華說，2023年最重要的任務就是建立合規案例，推出SEMI E187檢核表（Check List）並舉辦工作坊推廣，也會輔導業者生產全球首批符合SEMI E187規範的機臺，並協助業者獲得SEMI E 187合規性驗證（VoC）。</p> <p>在2023年7月，SEMI E187標準在美國舊金山舉行的美國國際半導體展SEMICON West，榮獲「SEMI 2023國際標準貢獻獎」；截至目前為止，臺灣也積極在沙崙資安服務基地、臺灣資安大會資安館、SEMICON資安主題館進行推廣展示。</p> <p><span style="font-size:28px;"><strong>資安社群朝向產業化發展，大企業更願意投資新創資安業者</strong></span></p> <p>呂正華表示，臺灣資安社群成群發展，並有白帽駭客社群產業化的趨勢，包括奧義智慧、杜浦數位安全、戴夫寇爾、關楗、法泥、如梭、池安、博歐、資芯、菱鏡、可立可、互聯安睿、泰瑞爾等13家業者，均來自駭客社群。</p> <p>另外，他表示，更有許多企業積極投資新創資安公司，例如：詮安科技投資匯智安全、鑒真數位投資區塊科技、趨勢科技投資TXOne（睿控網安）、新漢科技投資椰棗科技、力旺科技投資熵碼科技、合勤科技投資黑貓資訊、趨勢科技投資VicOne、中華電信投資中華資安國際、宏碁投資安碁資訊、敦陽科技投資雲智維科技、精誠科技投資智慧資安、中興保全投資保華資安等。</p> <p>呂正華也說，為了幫臺灣資安業者找到更多國際資安投資挹注，積極輔導新創業者參與國際競賽和募資，例如，德國DEKRA集團併購安華聯網、美國Fintech獨角獸Circle併購博歐科技、奧義智慧和來毅數位科技分別獲得美國以及美國、荷蘭的資金投資，都有助於打入國際市場。</p> <p>此外，他也說，為了協助臺灣資安業者拓展國際市場，數位產業署會和一些臺灣的資安業者到東南亞舉辦資安日，也會到泰國、馬來西亞等東南亞國家，推廣臺灣的優質資安解決方案，也會跟著當地系統整合商（SI）展開更密切的合作。<strong>【本文採訪日期為2024年4月】</strong></p> </div></div></div>
2024/6/5 00:00作者黃彥棻https://www.ithome.com.tw/article/163109
【資安日報】6月4日，帛琉政府資料流入暗網，指控是中國政府指使勒索軟體駭客組織所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月臺灣邦交國帛琉遭遇網路攻擊，導致數週後2萬份遭竊政府文件流入暗網，而這起事故直到昨日（6月3日）紐約時報報導，此事才曝光，並引起全球各界關注。</p> <p>值得留意的是，雖然這起事故有勒索軟體駭客坦承犯行，聲稱目的是牟取經濟利益，但有帛琉官員表示，這些駭客並未對於贖金進行談判，認為如此說法顯然與事實不符。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163301"><strong style="font-size: 22px;">臺灣邦交國帛琉遭駭，2萬份政府文件流入暗網，疑為中國政府意圖孤立臺灣</strong></a></p> <p>根據紐約時報報導，臺灣友邦帛琉3月遭遇網路攻擊，次月遭竊資料公布於暗網，當中包含註明僅供政府官方單位使用的資料，涉及美國於當地部署雷達、日本海軍造訪該國的成員名單，以及臺灣與帛琉關係的數百份文件，而有可能左右臺海安全。</p> <p>而對於攻擊者的身分，帛琉共和國總統惠恕仁（Surangel S. Whipps, Jr.）指控，這起攻擊行動是中國政府策畫，目的是進行威嚇，想要脅迫其他國家與臺灣斷絕往來。惠恕仁指出相關跡證都指向於此，並表示帛琉與臺灣之間的關係，將比以往都更加牢固。</p> <p>對此，中國政府反駁，認為帛琉並未取得相關證據。而在此同時，名為DragonForce的勒索軟體駭客組織聲稱是他們所為，攻擊動機單純是為了經濟利益，並揚言要對帛琉造成更多傷害，但帛琉官員指出，這些駭客並未對索討贖金進行談判。</p> <p><a href="https://www.ithome.com.tw/news/163297"><strong style="font-size: 22px;">俄羅斯、中國、伊朗、以色列駭客濫用OpenAI的生成式AI技術，意圖操縱全球輿論</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/lL3XEWCRjy.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lL3XEWCRjy.png" style="width: 300px; float: right;" /></a>人工智慧聊天機器人ChatGPT開發商OpenAI指出，他們在最近3個月裡，破壞了5起企圖濫用該公司語言模型操縱社會輿論或是左右地緣政治的影響力攻擊行動（Influence Operations），這些攻擊行動來自俄羅斯、中國、伊朗、以色列，涉及烏克蘭戰爭、加薩衝突、印度選舉、歐美政治，以及異議人士對中國政府的批評等。</p> <p>這些駭客試圖濫用OpenAI的語言模型，產生文章、評論、社群網站個人檔案、網站程式碼，甚至是用來進行除錯。</p> <p><a href="https://www.ithome.com.tw/news/163295"><strong style="font-size: 22px;">北韓駭客組織Andariel鎖定虛擬化平臺VMware Horizon的Log4Shell漏洞下手，意圖散布後門程式Dora RAT</strong></a></p> <p>資安業者AhnLab揭露北韓駭客Andariel近期鎖定韓國教育機構、製造業、營造業而來的攻擊行動，攻擊者利用後門程式來執行鍵盤側錄工具、竊資軟體、代理伺服器工具，藉此控制受害電腦並竊取機密資料。</p> <p>研究人員並未透露這些駭客如何入侵受害電腦，但指出這些攻擊行動的共通點，就是藉由Log4Shell漏洞（CVE-2021-44228）來部署惡意程式，而之所以能運用這個管道，主要是因為受害組織使用桌面虛擬化平臺VMware Horizon，且當中搭配的Tomcat元件具有這個弱點。</p> <p>到了最近，這些駭客也開始利用Go語言開發的惡意軟體Dora RAT。值得留意的是，駭客濫用有效憑證簽署Dora RAT，其中有些憑證的擁有者是英國軟體開發業者。</p> <p><a href="https://www.ithome.com.tw/news/163294"><strong style="font-size: 22px;">自動化流程處理工具Gulp.js用戶遭到鎖定，駭客上傳NPM套件散布惡意程式</strong></a></p> <p>5月24日資安業者Phylum偵測到名為glup-debugger-log的可疑NPM套件，該套件搭載2個經過混淆處理的指令碼檔案，一旦啟動，這些檔案將會協同運作，最終在所用的電腦部署惡意酬載。截至目前為止，此惡意套件已被下載180次。</p> <p>研究人員指出，攻擊者的目標，主要是針對自動化流程處理工具Gulp.js的用戶，聲稱他們的套件能夠保存Gulp及其外掛程式事件記錄。然而，實際使用後並非如此，一旦有開發人員下載、安裝此套件，執行其中的1個指令碼play.js，就會成為惡意軟體載入工具，檢查目標電腦環境是否符合特定條件，然後下載其他惡意軟體的元件。</p> <p><a href="https://www.ithome.com.tw/news/163293"><strong style="font-size: 22px;">3.6億帳密資料驚傳外洩，駭客疑似利用竊資軟體取得，並透過Telegram頻道兜售</strong></a></p> <p>維護密碼外洩查詢網站Have I Been Pwned（HIBP）的資安專家Troy Hunt表示，一名不願具名的研究人員從518個駭客兜售個資的Telegram頻道裡，抓取122 GB資料，當中包含1,748個檔案、20億筆資料，經過整理，這些資料涉及3.61億個電子郵件帳號。</p> <p>值得留意的是，上述資料有近半數（1.51億個）並未收錄於HIBP的資料庫。而對於這些資料的內容，Troy Hunt指出，除了電子郵件，還包含了密碼，以及來源的網站，一旦駭客取得，很有可能用於發動帳號填充（Credential Stuffing）攻擊。究竟賣家如何取得這些資料？他認為極有可能是透過竊資軟體搜括而得。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.recordedfuture.com/grus-bluedelta-targets-key-networks-in-europe-with-multi-phase-espionage-camp"><strong style="font-size: 20px;">歐洲各地遭到俄羅斯駭客APT28鎖定，利用惡意程式HeadLace發動攻擊</strong></a></p> <p></p> <p>◆<a href="https://www.esentire.com/blog/fake-browser-updates-delivering-bitrat-and-lumma-stealer"><strong style="font-size: 20px;">竊資軟體Lumma Stealer、BitRAT透過冒牌瀏覽器更新網站散布</strong></a></p> <p></p> <p>◆<a href="https://www.cisa.gov/news-events/alerts/2024/06/03/cisa-adds-one-known-exploited-vulnerability-catalog"><strong style="font-size: 20px;">美國證實7年前Oracle WebLogic Server作業系統命令注入漏洞被用於攻擊行動</strong></a></p> <p></p> <p>◆<a href="https://www.resecurity.com/blog/article/cybercriminals-attack-banking-customers-in-eu-with-v3b-phishing-kit"><strong style="font-size: 20px;">網路釣魚工具包V3B鎖定歐洲國家銀行而來，企圖竊取用戶登入資料及OTP動態密碼</strong></a></p> <p></p> <p>◆<a href="https://www.securonix.com/blog/analysis-and-detection-of-cloudreverser-an-attack-involving-threat-actors-compromising-systems-using-a-sophisticated-cloud-based-malware/"><strong style="font-size: 20px;">駭客發起Cloud#Reverser攻擊行動，濫用雲端服務及Unicode字元散布惡意軟體</strong></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163229"><strong style="font-size: 22px;">上市公司資安事件揭露範圍擴大，現在不論是否涉及核心、機密都要發布重訊</strong></a></p> <p>上市公司資安重訊發布「重大性標準」有新變化，臺灣證券交易所（證交所）新修訂重大訊息問答集第26款的內容，要求上市公司只要發現遭駭客攻擊或入侵，現在不論是否涉及核心資訊系統、機密文件，都屬於對公司造成重大損害或影響，需發布重大訊息對外揭露。</p> <p>由於證交所於今年1月，才開始明確規範資安事件的「重大性」標準，針對過去兩年多來有些企業不清楚何謂「重大」的問題，以此提出說明，沒想到才相隔四個月，又有新的調整。</p> <p>關於這次新的規定，證交所是在5月28日宣布，他們表示日前已修訂重大訊息問答集第26款，呼籲上市公司在發生資安事件時，應依規定評估造成損害或影響的範圍，並切實依重訊處理程序發布重大訊息。至於櫃買中心是否也會跟著修訂，有待密切關注。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163276"><strong>【6月3日】美國證實Linux核心的網路元件Netfilter高風險漏洞已被用於攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163231"><strong>【5月31日】歐洲刑警組織與十多個國家執法單位聯手，掃蕩數個用於散布惡意程式的殭屍網路</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163201"><strong>【5月30日】鎖定Check Point VPN的攻擊行動出現新的發展，兩家資安業者透露對方利用零時差漏洞挖掘AD帳密資料</strong></a></p> </div></div></div>
2024/6/4 19:11作者周峻佑https://www.ithome.com.tw/news/163303
臺灣邦交國帛琉遭駭，2萬份政府文件流入暗網，疑為中國政府意圖孤立臺灣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據紐約時報報導，<a href="https://cn.nytimes.com/asia-pacific/20240603/palau-taiwan-china-hack/zh-hant/">臺灣友邦帛琉3月遭遇網路攻擊，次月遭竊資料公布於暗網</a>，當中包含註明僅供政府官方單位使用的資料，涉及美國於當地部署雷達、日本海軍造訪該國的成員名單，以及臺灣與帛琉關係的數百份文件，而有可能左右臺海安全。</p> <p>這起網路攻擊發生的時間，在於美國核准延宕已久的經濟援助計畫，他們將於20年內資助9億美元。正當兩國官員準備慶祝的時候，發生帛琉政府超過2萬份文件遭竊的事故。</p> <p>而對於攻擊者的身分，帛琉共和國總統惠恕仁（Surangel S. Whipps, Jr.）指控，這起攻擊行動是中國政府策畫，目的是進行威嚇，想要脅迫其他國家與臺灣斷絕往來。惠恕仁指出相關跡證都指向於此，並表示帛琉與臺灣之間的關係，將比以往都更加牢固。</p> <p>對此，中國政府反駁，認為帛琉並未取得相關證據。而在此同時，名為DragonForce的勒索軟體駭客組織聲稱是他們所為，攻擊動機單純是為了經濟利益，並揚言要對帛琉造成更多傷害。</p> <p>由於帛琉是美軍設施據點，掌握了重要航道，一旦臺海衝突發生，這些航道將成為美國保衛臺灣的主要管道。無論駭客的動機為何，這起資料外洩事故都對美國帶來極大的風險。</p> <p>值得留意的是，臺灣也向帛琉提供經濟援助，部分外洩資料指出，帛琉出席聯合國氣候變化大會等國際論壇，我國如何提供援助。</p> <p>但不光是美國、臺灣，這批文件外流也可能波及其他國家。因為，其中包含2000年代中期至今，該國與日本、以色列、美國等國家的外交通訊內容。此外，日本高級將領、美國士兵、沙烏地阿拉伯外交代表團的資料，也遭到外流。</p> <p>針對這起事故攻擊者的動機，資安業者Analyst1首席安全策略分析師Jon DiMaggio指出，他看過駭客公布的資料，並指出當中與臺灣有關的檔案可能會引起中國當局興趣。雖然帛琉當局並未透露指控中國政府的證據，但他認為，政府利用勒索軟體駭客組織發動攻擊，而非暗中從事網路間諜行動，其中一個主要原因就是要公開羞辱目標。</p> <p>另一家資安業者Recorded Future分析師Allan Liska也抱持類似看法，並補充說明：假若幕後主使者主要目的是為了政治宣傳，那麼藉由勒索軟體駭客組織的攻擊行為與洩露資料的做法，相當適合這樣的訴求。</p> <p>雖然勒索軟體駭客組織DragonForce宣稱為了經濟目的而犯案，但傳出這些駭客並未對於索討贖金進行談判。帛琉財政部資安官員Jay Anson指出，中國政府利用該駭客組織，從而降低與美國之間發生外交事件的風險。</p> <p>對此，Jay Anson認為，駭客一定是從他人收到錢，才有利可圖，所以，這起資安事故是政治問題，而非單純出於經濟利益的勒索軟體攻擊。</p> </div></div></div>
2024/6/4 18:43作者周峻佑https://www.ithome.com.tw/news/163301
Computex電腦展：英特爾發表Xeon 6伺服器處理器、Gaudi 3 AI加速器及Lunar Lake行動處理，…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Computex Taipei開展的第一天，英特爾執行長Pat Gelsinger發表演說，現場發表包括Xeon 6伺服器專用處理器、Gaudi AI加速器，以及強化AI效能的Lunar Lake行動處理器，象徵英特爾從資料中心到裝置端AI產品布局。</p> <p>儘管在AI運算市場，面臨Nvidia及AMD的夾擊，在AI PC市場，微軟新近發表Copiot+PC，帶動新一波AI PC趨勢發展，但首波微軟Copilot+PC筆電並未與過去PC市場老戰友英特爾合作，而是由高通搶下頭香，採用Qualcomm Snapdragon X及微軟NPU，並成功拉攏華碩、宏碁、Lenovo、HP等品牌，相關產品將在6月18日後開始上市銷售，高通更在Computex宣示，Snapdragon AI PC處理器未來將會用於不同設計的PC產品，顯示高通來勢洶洶的氣勢。</p> <p>即使面臨更大的競爭，Pat Gelsinger在演說中表示，英特爾是全球少數能全面掌握AI市場契機，且推動創新的公司之一。英特爾從半導體製造到PC、網路、邊緣運算和資料中心等都有布局。最新的Xeon、Gaudi，以及Core Ultra的Lunar Lake，結合英特爾的硬體和軟體生態系，具有靈活、安全且具成本效益，與合作夥伴共同搶攻商機。</p> <p><span style="color:#B22222;"><strong>Xeon 6 with E-Core主打更高密度資料中心</strong></span></p> <p>其中的Xeon 6伺服器專用處理器，為英特爾首款採用Intel 3節點設計的產品，包括E-Core效率核心(代號Sierra Forest)、P-Core(代號Granite Rapids)效能核心兩種規格。首先上市的是E-Core規格，最高有144個E-Core核心，強調為高密度、能源效率的資料中心需求所設計，適用於雲原生、CDN、微服務架構等應用。</p> <p>Pat也預告在今年稍晚將會推出第二代的Xeon 6 E-Core，將2個Xeon 6 E-Core整合在一起，多達288個效率核心。至於P-Core版Xeon 6鎖定HPC高效能運算，在下一季才會推出。</p> <p>英特爾以Xeon 6 E-Core的超多核心，展示更高的機櫃密度，強調機櫃密度可提高3倍，並且與第2代Xeon相比，在多媒體轉碼工作上，採用Xeon 6 E-Core的機櫃效能提高4.2倍，每瓦效能提高2.6倍，如果以機櫃整合角度來看，採用第2代Xeon處理器的200個機櫃，可縮減至66個採用Xeon 6700E的機櫃。</p> <p><strong><span style="color:#B22222;">Gaudi AI加速器主打AI運算性價比</span></strong></p> <p>針對Nvidia及AMD在資料中心AI運算加速的競爭，英特爾推出AI加速器Gaudi，特別是與售價高昂的Nvidia H100競爭，英特爾今天也公布Gaudi加速器組合方案價格，8個Gaudi 2加速器與1個UBB通用基板，價格為6.5萬美元，為競品的三分之一，高階的Gaudi 3組合方案，包括8個Gaudi 3與1個UBB，定價為12.5萬美元，強調為競品的三分之二。</p> <p>Gaudi加速器以取代H100為目標，作為企業AI訓練及推論的加速器，英特爾公布Gaudi 3和H100的效益比較，例如在8192組加速器的叢集規模下，英特爾宣稱Gaudi 3要比相同規模的H100縮短40%的模型訓練時間；在64組的加速器叢集下，Gaudi 3以Llama 2-70B模型訓練速度比H100快15%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-06-04%20%E4%B8%8B%E5%8D%885_18_04.jpeg" style="width: 600px; height: 288px;" /></p> <p>該公司強調以Xeon處理器搭配Gaudi加速器，快速執行RAG資訊檢索，同時宣稱具有更高的性價比優勢，以及更低的TCO。</p> <p><span style="color:#B22222;"><strong>Lunar Lake將帶來超過80款Copilot+PC裝置進入市場</strong></span></p> <p>至於AI PC方面，英特爾推出Core Ultra的Lunar Lake行動處理器，整合CPU、GPU及NPU，3個異質運算單元合計平臺效能達到120TOPS，如果單看NPU，達到48TOPS，符合微軟Copilot+PC的40TOPS以上的要求。</p> <p>儘管英特爾並未趕上微軟Copilot+PC首波裝置，但在專題演說中，微軟執行長Satya Nadella也以影片表達對英特爾的支持，Satya表示，微軟與生態夥伴合作推出Copilot+PC，將新的AI使用體驗帶給用戶，英特爾Lunar Lake處理器將帶來超過80款Copilot+PC。</p> <p>換言之，英特爾雖然沒有趕上微軟首波Copilot+PC上市裝置，但Lunar Lake讓更多的PC可提供微軟Copilot+PC的AI PC使用體驗。</p> <p>面對高通挾Copilot+PC在PC市場的競爭，Pat在演說後受訪時指出，X86在PC市場仍有相當高的市佔，英特爾不斷與ISV、AI業者合作，目前AI PC已建立一定的生態，英特爾預估迄今全球已有超過800萬臺AI PC，並<span class="s1" style="font-kerning: none;">已有500個模型針對其進行優化，具有一定程度的不可取代性，他不擔心來自高通的競爭。</span></p> </div></div></div>
2024/6/4 17:40作者蘇文彬https://www.ithome.com.tw/news/163298
英特爾發表新一代AI PC處理器Lunar Lake，耗能低40%、NPU算力是前一代3倍多
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾今天於Computex 2024正式公布新一代筆電處理器Lunar Lake，是Core Ultra系列第二代產品。鎖定AI PC需求，此處理器TOPS（每秒幾兆次操作，Tera Operations Per Second）高達前一代3.5倍，且能源使用效率上，耗電量較前代低了40%。</p> <p>早在去年推出第一代Core Ultra產品Meteor Lake時，英特爾執行長Pat Gelsinger便提出了AI PC時代這一說法──未來所有筆電中都會整合NPU等硬體，以高效執行AI相關運算任務。然而，Meteor Lake的NPU算力只有11.5 TOPS，當時市場上卻已經有搭載了31.6 TOPS算力NPU的M2 Ultra處理器等競品，前者競爭力顯得不足。</p> <p>來到今年，上個月底微軟於自家開發者大會公布了Copilot+ PC，更加凸顯出AI PC趨勢不可擋。首批Copilot+ PC與高通合作，使用高通Snapdragon系列處理器。不過，Snapdragon的PC產品在市場上份量相對小，下一波預計搭載英特爾和AMD處理器的Copilot+ PC，才會觸及更多主流PC市場。</p> <p>Lunar Lake正是預計裝入這款AI PC的處理器，NPU算力有48 TOPS。AMD昨天發表的Ryzen AI 300處理器則搭載了有50 TOPS算力的NPU。兩者算力相近，且相較首批Copilot+ PC搭載的40 TOPS高通NPU都高了一截。</p> <p>不只NPU算力較前代處理器Meteor Lake大幅提升，Lunar Lake搭載的CPU、GPU、NPU，都翻新了設計架構，來提升算力和能源使用效率，支援多元AI運算任務。這一代處理器算力共有120 TOPS，包含CPU的5 TOPS、GPU的67 TOPS，以及NPU的48 TOPS算力。</p> <p><strong>NPU採</strong>英特爾<strong>第四代NPU架構，算力達48 TOPS</strong></p> <p>這一代Lunar Lake的NPU採取Intel NPU 4架構，相較前一代NPU算力提升了36.5 TOPS，來到48 TOPS。</p> <p>這顆NPU搭載了6個神經計算引擎NCE（Neural Compute Engine），相較前代增加了4個，等於每次運算週期可以處理12,000次乘積累加運算（MACs）。NPU 4還搭載了12個處理向量運算用的VLIW DSP，且從前一代128bit頻寬提升到512bit頻寬。另外，直接記憶體訪問（DMA）頻寬也提升了1倍。這些都是大幅提升算力的關鍵硬體升級。</p> <p>能源使用效率方面，由於大部分NPU耗能都用於矩陣運算及數據傳輸兩項工作，英特爾在NCE中的推論管線（Inference Pipeline）設計中，優化了運算效率及任務排程功能，來降低耗能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/npu%20ef.jpg" style="width: 600px;" /></p> <blockquote><p>如圖所示，NPU 4的效能／耗能比，相較於NPU 3高出2倍，且最高效能可達NPU 3的4倍。圖片來源-英特爾</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/npu%20stb.jpg" style="width: 600px;" /></p> <blockquote><p>圖為Meteor Lake與Lunar Lake跑Stable Diffusion 圖片生成任務時的表現比較。Lunar Lake搭載了更強大的NPU 4，能負責原本由CPU和GPU處理的部分任務，因而提升效能／耗能比。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">圖片來源-</span>英特爾</p> </blockquote> <p><strong>GPU效能提升1.5倍，算力達67 TOPS</strong></p> <p>與前一代一樣，Lunar Lake的圖形運算區塊由GPU及其他專責圖形運算區塊組成。相較於前一代分為4個區塊，這一代則是拆成GPU、顯示區塊及多媒體處理區塊共3區。英特爾在顯示及多媒體運算區塊中，從軟硬體上分別針對各自專責工作進行效率及耗能優化，例如選擇性畫面更新及記憶體配置優化等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/graphics.jpg" style="width: 600px;" /></p> <p>Lunar Lake的GPU採取了新一代Xe2 GPU架構，由8個Xe2核心組成。每個核心採用原生SIMD16（單指令多重資料）引擎，內含8個512-bit Xe Vector Engines （XVE）向量引擎，以及8個2048-bit Xe Matrix eXtensions（XMX）矩陣引擎。XVE引擎支援SIMD和SIMD 32向量運算，以及INT8、FP16、BF16的矩陣運算，和各式三角、指數等超越函數運算。XMX引擎規格則是每周期能執行2048次FP16運算，或4096次INT8運算。</p> <p>整體來說，Xe2效能相較前一代提升了1.5倍，特定任務甚至提升了12.5倍。總共67 TOPS的算力及對向量、矩陣運算的支援度，也使Xe2 GPU能負責執行負荷較重的AI運算任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gpu%20perfcomp.jpg" style="width: 600px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/xe2comp.jpg" style="width: 600px;" /></p> <blockquote><p>Xe2新硬體架構搭配專屬的指令集，使其相較前一代GPU在許多表現上都相較第一代有大幅提升。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">圖片來源-</span>英特爾</p> </blockquote> <p><strong>4顆E-Core及4顆P-Core的CPU架構，大幅升級的E-Core是高能源效率關鍵</strong></p> <p>相較於Meteor Lake有低耗能E-Core、一般E-Core及P-Core三種效能的CPU，Lunar Lake取消了低耗能E-Core的設計，只搭載了4顆高能源效率E-Core及4顆高運算效能P-Core。其中，E-Core規格提升幅度尤其引人注目。</p> <p>新一代E-Core採Skymont架構，IPC（每時脈週期指令數量）相較前一代有大幅提升，整數運算任務增加38%、浮點運算任務更大增68%。同樣效能下，這一代E-Core耗能只有前一代低耗能E-core的1/3。英特爾更宣稱新一代E-Core在向量運算及AI相關運算的效能較前一代提升1倍。</p> <p>E-Core效能及能源使用效率大幅提升，意味著可以將更多日常運算任務留給低耗能的E-core，只有真正要求高效能的任務才會動用到P-Core。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cpu%20power.jpg" style="width: 800px;" /></p> <blockquote><p>以執行Microsoft Teams為例，Meteor Lake不時會需要將運算任務交由較耗能的P-Core來執行，甚至來回在不同CPU間調度。受益於E-Core規格大升級，Lunar Lake則能一直使用E-Core來執行此任務。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">圖片來源-</span>英特爾</p> </blockquote> <p>高效能CPU P-core也升級為新一代Lion Cove架構，IPC相較前一代提升了14%。新架構下，記憶體、運算單位等多項硬體規格提升，且調控運轉時脈頻率的顆粒度更精細，能在同樣耗能下擠出更多效能，減少硬體閒置情況。</p> <p>不只如此，新P-Core還能根據當下執行的運算任務及溫度來即時調控運轉效能，而非根據預先設死的標準來調控。相較於後者做法，前者可以使CPU在不過熱的情況下，用更高時脈頻率運轉。</p> <p>除了運算單位升級，Lunar Lake其他升級包括：支援Wi-Fi 7與藍牙5.4、搭載2顆LPDDR5x DRAM記憶體，運作速率8.5 GT/s，最多可至32GB，以及更新了能源管理及執行緒分配機制來更進一步提升能源使用效率。英特爾還推出了Lunar Lake開發者套件，輔助開發者針對新處理器開發AI應用。</p> <p>Lunar Lake預計第三季上市，至於搭載Lunar Lake的Copilot+ PC何時會推出，英特爾沒有進一步揭露更多細節。</p> </div></div></div>
2024/6/4 18:03作者郭又華https://www.ithome.com.tw/news/163296
自動化流程處理工具Gulp.js用戶遭到鎖定，駭客上傳NPM套件散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月24日資安業者Phylum<a href="https://blog.phylum.io/sophisticated-rat-shell-targeting-gulp-projects-on-npm/">偵測到名為glup-debugger-log的可疑NPM套件</a>，該套件搭載2個經過混淆處理的指令碼檔案，一旦啟動，這些檔案將會協同運作，最終在所用的電腦部署惡意酬載。截至目前為止，此惡意套件已被下載180次。</p> <p>研究人員指出，攻擊者的目標，主要是針對自動化流程處理工具Gulp.js的用戶，聲稱他們的套件能夠保存Gulp及其外掛程式事件記錄。然而，實際使用後並非如此，一旦有開發人員下載、安裝此套件，執行其中的1個指令碼play.js，就會成為惡意軟體載入工具，檢查目標電腦環境是否符合特定條件，然後下載其他惡意軟體的元件。</p> <p>他們根據此套件庫的package.json檔案進行解析，上述的指令碼會檢查電腦的網路介面、作業系統類型，但特別的是，駭客還會確認電腦的桌面資料夾至少有7個檔案，研究人員推測，這很可能是為了確認電腦是否由真實用戶操作的指標。</p> <p>在通過前述的3項檢查後，該指令碼就會下載惡意程式，並啟動第2個名為play-safe.js的指令碼，以便惡意程式能持續在受害電腦上運作。此指令碼會建立HTTP伺服器，並透過3004埠監聽命令並執行。</p> </div></div></div>
2024/6/4 16:21作者周峻佑https://www.ithome.com.tw/news/163294