iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 31篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 18:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

駭客藉由Excel巨集進行多階段惡意軟體攻擊，針對烏克蘭電腦植入Cobalt Strike
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Fortinet針對<a href="https://www.fortinet.com/blog/threat-research/menace-unleashed-excel-file-deploys-cobalt-strike-at-ukraine">鎖定烏克蘭利用Excel巨集散布滲透測試工具Cobalt Strike的攻擊行動</a>提出警告，並指出對方在過程裡採用各種規避手法，來確保有效酬載能夠成功送達。</p> <p>駭客先是傳送內含烏克蘭文字的Excel巨集，一旦使用者依照指示啟用巨集，該檔案就會切換成分配軍事單位預算的工作表，而在此同時，巨集則會藉由公用程式regsvr32，在後臺部署DLL程式庫，以便下載作案工具。</p> <p>這個惡意程式下載工具在啟動的過程當中，會檢查目標電腦是否存在Avast防毒軟體及Process Hacker的處理程序，並確認電腦的地理位置在烏克蘭，然後從遠端伺服器下載另一個經過編碼處理的有效酬載，最終將Cobalt Strike的Beacon注入，並與C2伺服器建立連線。</p> <p><a href="https://s4.itho.me/sites/default/files/images/cobalt-process-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cobalt-process-diagram.png" style="width: 580px;" /></a></p> <p>值得留意的是，這種利用Excel巨集散布Cobalt Strike Beacon的攻擊行動，在烏克蘭已發生多起，例如：2022年有人以烏克蘭軍方為誘餌發動攻擊，2023年，烏克蘭電腦緊急應變團隊（CERT-UA）指出，駭客組織UAC-0057利用含有巨集及誘餌圖檔的XLS檔案，目的是在受害電腦植入PicassoLoader、Cobalt Strike Beacon。而這次的攻擊行動當中，駭客加入了更多的迴避手段，增加能夠成功的機率。</p> </div></div></div>
2024/6/14 10:34作者周峻佑https://www.ithome.com.tw/news/163380
【iThome 2024資安大調查系列2｜資安阻礙篇】資安人手不足成最大痛點，老舊系統淪為技術面資安阻礙
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_gu_shi_-p3zi_an_zu_ai_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業積極投入資安，今年更有半數企業要推動資安轉型，對於資安人才的需求也年年增加，加上金融監督管理委員會、臺灣證券交易所等主管機關，過去幾年要求上市櫃公司，建立專責資安團隊或設立專責資安人員，更成了資安人才的助力，掀起了全臺資安人才的搶奪大戰，讓資安人才成了近幾年IT人力市場的當紅炸子雞。</p> <p>但是，資安人才不足，也成了阻礙企業做好資安的頭號阻礙。根據今年iThome CIO大調查，高達49.1%企業因為資安人才不足而無法做好資安。這個比例甚至高於三大資安阻礙中的其他兩項，員工資安意識不足（46.9%）和資安預算不足（35.1%），過去幾年，員工資安意識不足向來是企業最頭痛的資安痛點，但是，隨著資安人才越來越不足，人才問題成了更大的挑戰。</p> <p>資安人才不足拖累企業資安作為，對哪些產業的影響較大？從調查數據可以看到，醫療業和政府學校都有超過6成企業受到影響，就連資安投資最多的金融業，也有51.9%苦於資安人才不足的問題。不過，一般製造業，看似只有38.7%企業受到影響，其實對一般製造業來說，人才不是最大的阻礙，員工資安意識低落和資安預算不足，才是更大的課題。</p> <p>若將資安阻礙分為兩大類，一類是組織面的阻礙，另一類是流程與技術面的阻礙來看。先來看組織面的排名，資安人手不足是最大的阻礙，其次是員工資安意識的問題，這兩項都有近半數企業列為痛點，有3成企業則苦於缺乏熟練的人員。值得注意的是，高層資安意識不足問題日益嚴重，今年有19.2%企業有這個痛點。尤其有16.4%企業的高層，低估了創新應用帶來的資安風險，例如ChatGPT風險，沒有做好對應的準備就嘗試新科技，也帶來不少資安的隱憂。</p> <p>在流程和技術面的資安阻礙，則以資訊系統老舊的問題最嚴重，多達30.6%的企業有此痛點。尤其高科技製造業和政府學校更各有4成企業視為阻礙，這幾年進入十年HIS系統升級潮的醫療業者，也有3成7因系統老舊而削弱了資安。有2成企業認為新興防護方案不足是一大問題，越來越多新一代的資安防護方案出爐，瞄準不同的資安防禦目標和領域，但是，資安沒有萬靈丹，更沒有萬能的百寶箱，也更考驗企業如何搭配（業者如何組合）不同的工具，來強化企業各面向的資安防禦。</p> <p>有兩大流程與技術面阻礙值得留意，有16.4%企業因為監控能力和可視性差，而來不及早一步發現惡意入侵行為，也有9.7%的企業對本身資安態勢了解不足而遭殃。這兩項都是凸顯了，企業必須積極轉變資安思維，擁抱新一代的資安對策，從過去的被動防禦，轉為主動防禦的做法，強化自己在識別和偵測能力的不足，才能更有效的因應資安威脅。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P3%E8%B3%87%E5%AE%89%E9%98%BB%E7%A4%99-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P3%E8%B3%87%E5%AE%89%E9%98%BB%E7%A4%99-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P3%E8%B3%87%E5%AE%89%E9%98%BB%E7%A4%99-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P3%E8%B3%87%E5%AE%89%E9%98%BB%E7%A4%99-600-4-PNG.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> </div></div></div>
2024/6/14 10:34作者王宏仁https://www.ithome.com.tw/article/163450
網路釣魚工具包V3B鎖定歐洲國家銀行而來，企圖竊取用戶登入資料及OTP
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Resecurity揭露新的駭客組織，對方自今年3月，<a href="https://www.resecurity.com/blog/article/cybercriminals-attack-banking-customers-in-eu-with-v3b-phishing-kit">在加密通訊軟體Telegram頻道與暗網社群裡，推廣名為V3B的網釣工具包</a>，並專注歐洲金融機構客戶從事相關攻擊。目前這些駭客的Telegram頻道至少吸引了1,255名成員，他們專門從事社交工程攻擊、SIM卡挾持（SIM Swapping）、金融卡詐欺等網路犯罪行為，估計已造成數百萬歐元損失。</p> <p>研究人員指出，這款網釣工具包鎖定超過54個歐盟金融機構的用戶而來，標榜提供專屬的本地化範本，能模仿各家網路銀行及電子商務系統的驗證流程，該工具包攻擊的範圍，遍及愛樂蘭、荷蘭、芬蘭、奧地利、德國、法國、比利時、希臘、盧森堡、義大利。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2add212dfa66fc9f99ec2385321cae5e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2add212dfa66fc9f99ec2385321cae5e.png" style="width: 580px;" /></a></p> <p>賣家以每月130至450美元的價格，提供租賃服務。而對於這組工具包的內容，主要涵蓋了兩個主要元件，其中一個是根據情境為基礎的帳密監聽系統V3B，另一個則是偽造的銀行線上驗證網頁。攻擊者可透過管理介面uPanel與受害者互動，從而取得動態密碼（OTP）。</p> <p>究竟這套工具包有什麼樣的特色吸引上千名打手租用？研究人員指出，賣家採用自行開發的內容管理系統（CMS）打造這套工具，並對程式碼採用多種混淆方式處理，從而迴避搜尋引擎偵測、逃過相關資安防護機制的檢測，可運作的週期較長。</p> <p>再者，則是賣家納入多種進階功能，包含了更新的Token、反機器人機制，並支援QR Code與PhotoTAN型式的多因素驗證和動態密碼，此外，該工具包同時提供電腦版及行動裝置的介面，甚至攻擊者能與受害者即時通訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/28bbd09015bdcafb401bd91cef0edf3e.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/28bbd09015bdcafb401bd91cef0edf3e.jpeg" style="width: 580px;" /></a></p> <p>值得一提的是支援PhotoTAN身分驗證的機制，這是行動銀行應用程式新興的驗證方法，在德國與瑞士有許多用戶使用，這種驗證機制牽涉以多臺裝置來達到進階身分驗證的目的。賣家特別支援這類身分驗證機制，代表該網釣工具套件相當新穎。</p> </div></div></div>
2024/6/14 10:37作者周峻佑https://www.ithome.com.tw/news/163378
研究人員針對新興勒索軟體駭客組織RansomHub進行調查，對方利用ZeroLogon入侵受害組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期不斷登上新聞版面的新興勒索軟體駭客組織RansomHub，接連針對美國醫療集團Change Healthcare、<a href="https://www.ithome.com.tw/news/163167">英國精品拍賣業者佳士得（Christie's）</a>、<a href="https://www.ithome.com.tw/news/163347">臺灣電腦製造商藍天（Clevo）</a>出手，這個從今年2月才出現的駭客組織，已竄升至過去幾個月第4大的勒索軟體，其威脅態勢也引起研究人員高度關注。</p> <p>資安業者賽門鐵克針對這個駭客組織著手進行身家調查，<a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/ransomhub-knight-ransomware">他們發現RansomHub的有效酬載與另一款名為Knight的勒索軟體具有高度相似性</a>，這兩款惡意程式都是透過Go語言打造，而且，大部分的版本使用名為Gobfuscate的工具進行混淆處理。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ransomhub-6.png.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ransomhub-6.png.png" style="width: 580px;" /></a></p> <blockquote><p>賽門鐵克指出，勒索軟體RansomHub於今年3月至5月，已成為全球第4大的勒索軟體威脅，僅次於LockBit、Play，以及Qilin。</p> </blockquote> <p>研究人員指出，這些勒索軟體的程式碼內容高度重疊，光是從程式碼的特徵難以區別彼此，在許多情況下，他們只能藉由資料外洩網站的網址來辨別。再者，在兩款勒索軟體命令列的功能說明也幾乎一致，是RansomHub多了休眠（暫停運作）的能力。</p> <p>而從勒索軟體加密檔案完成留下的勒索訊息而言，Knight使用的話語多半逐字出現在RansomHub的勒索訊息裡，這代表開發者延用舊的勒索訊息並調整部分內容。</p> <p>這兩款勒索軟體的運作模式也存在共通點，那就是在開始加密檔案之前，將受害電腦重新開機，以便檔案加密過程較不受到阻礙。根據這項特徵，研究人員推測，Knight和RansomHub很可能源自於2019年出現的Snatch。</p> <p>值得留意的是，雖然Knight和RansomHub存在許多共同點，但RansomHub並非Knight原班人馬東山再起，原因是Knight結束營運後於今年2月出售原始碼，因此研究人員認為，有人買下相關原始碼並組成了RansomHub。</p> <p>而對於RansomHub的攻擊流程，研究人員提及，他們看到這些駭客通常利用ZeroLogon（CVE-2020-1472）取得初始入侵的管道，對方藉此得到網域管理員權限，從而控制整個網域。</p> <p>這些駭客也擅長使用合法應用程式進行寄生攻擊，例如：使用遠端管理工具Atera、Splashtop進行遠端存取，運用NetScan對於受害組織的網路環境進行偵察。此外，他們也會利用iisreset.exe、iisrstas.exe停用IIS服務。</p> </div></div></div>
2024/6/14 10:38作者周峻佑https://www.ithome.com.tw/news/163376
【iThome 2024資安大調查系列2｜資安人才篇】4成企業今年要招募資安好手，資安事件應變人才最搶手
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_gu_shi_-p4zi_an_ren_li_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安人才不足成了各產業共同的資安阻礙，也因此，今年資安開缺的企業比例再創新高，達到41.9%，大概每兩家企業就有一家今年要招募資安人才。</p> <p>這幾年，兩大法遵推力下，包括影響公部門資安人力的政府資安管理法，以及主管機關對上市櫃公司的資安要求，大幅帶動了企業對於資安人力的建置，從今年CIO大調查的統計結果來看，企業平均專責資安人力達到了4.8人，尤以金融業的平均11.6人最多，其次是政府學校（4.4人）、高科技製造業（4.1人），醫療則是資安人力最少的產業，只有2.4人，比一般製造業的平均人數（2.9人）還要低。</p> <p>不過，企業現有資安人力，遠低於資安長心中理想的團隊規模，要足以對抗企業當前資安威脅，資安長期望平均要達到5.9人，換句話說，現有4.8人的規模，還少了近四分之一的人手。各產業都有資安人手達不到資安長期望的情況，又以醫療業和政府學校的落差最大，醫院和政府部門資安主管都希望再多4成資安人力才足夠。</p> <p>今年有4成企業要招募資安職缺，平均招募人數是2.7人，又以政府學校的招募人數需求最多，達到6.1人，主要來自少數一級政府機關、大型國營企業、大型學校為了資安轉型而展開的人力需求擴編，才拉高了整體平均值。其次，金融業平均要招募4.2人，也遠高於其他產業的平均資安人力需求量。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>今年兩千大企業資安人才需求約5,400人</strong></span></span></p> <p>我們每年一度的CIO大調查是鎖定2千大企業營收規模的企業族群，以此目標族群來推估，今年2千大企業的資安人才需求量約5,400人，其中金融業約有1千名資安人才的招募需求。</p> <p>企業不只是需要更多資安人力，還需要擅長不同專門資安能力的人才，來補足自身資安能力的弱點。在今年要招募資安職缺的企業中，以資安事件應變人才、威脅分析或鑑識人才、資安風險分析與評估人才，這三類人才的需求企業最多，超過6成企業想要招募這三類人才。</p> <p>另外，也有半數企業想要強化資訊基礎架構的資安防護能力，今年想要招募系統網路安全建置與架構人才，以及資安系統維運人力。</p> <p>值得注意的是，雲端資安人才也逐漸受到重視，近兩年金融和醫療法遵上雲鬆綁，以及製造業數位轉型的IT現代化浪潮，更多企業積極上雲，也帶動了企業對於雲端安全的重視，今年多達36.7%的企業想要招募熟諳雲端資安的人才。</p> <p>有兩類資安管理人才也逐漸受到矚目，今年有14.7%企業想要招募有能力管理委外資安的人才，以及12.3%企業想要招募擅長管理安全開發的人才。這也反映出，越來越多企業，對外重視委外供應商的資安管理，對內則要強化應用程式開發的安全。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P4%E8%B3%87%E5%AE%89%E4%BA%BA%E5%8A%9B-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P4%E8%B3%87%E5%AE%89%E4%BA%BA%E5%8A%9B-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P4%E8%B3%87%E5%AE%89%E4%BA%BA%E5%8A%9B-600-3-PNG.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> </div></div></div>
2024/6/14 10:49作者王宏仁https://www.ithome.com.tw/article/163451
中國駭客鎖定Fortinet防火牆漏洞從事的網路間諜活動受害規模擴大，全球逾2萬臺防火牆遭到滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年2月，荷蘭國家網路安全中心（NCSC）、軍事情報暨安全局（MIVD）、情報暨安全總局（AIVD）聯手，<a href="https://www.ncsc.nl/documenten/publicaties/2024/februari/6/mivd-aivd-advisory-coathanger-tlp-clear">針對中國資助的駭客從事的網路間諜攻擊行動公布調查結果</a>，這些駭客鎖定FortiGate防火牆、網頁安全閘道FortiProxy的SSL VPN漏洞CVE-2022-42475（CVSS風險評為9.8分），並對防火牆設備植入名為Coathanger的RAT木馬程式，MIVD持續進行調查而於本週正式揭露這起攻擊的受害規模，其實遠遠超出先前的發現。</p> <p>先前這些荷蘭軍情機構指出，根據他們的調查，受害用戶（user）的數量不到50個，其中一個受害組織是荷蘭國防部，所幸因受害網路環境與他們的主要網路環境有所區隔，使得入侵行動的衝擊不致於擴大。當時他們研判，對方的目標是國防部非機密專案的研發部門，以及2個外部的合作研究機構，但<a href="https://www.ncsc.nl/actueel/nieuws/2024/juni/10/aanhoudende-statelijke-cyberspionagecampagne-via-kwetsbare-edge-devices">MIVD進一步追查發現</a>，有數十個西方國家的政府機關、國防工業相關企業，以及國際組織受害。</p> <p>他們指出，駭客在Fortinet發布修補程式前的2個月就開始利用漏洞，有1.4萬臺設備受到感染，從2022年至2023年，對方至少掌握逾2萬臺FortiGate防火牆的存取權限。但實際的受害規模，這些軍情機構認為很有可能還會更大，他們研判駭客會藉此漏洞入侵數百個組織，從而進行竊取資料等攻擊行動。</p> <p>而對於駭客使用的惡意程式Coathanger，MIVD指出，即使他們已經公布相關調查結果，IT人員還是難以識別及清除，因此，對方很可能仍然能夠存取大量的受害系統。</p> <p>值得留意的是，MIVD特別提到，一旦受害設備被植入Coathanger，攻擊者就能永久存取系統，即使IT人員部署了更新程式，對方仍保有相關存取權限。這樣的情況，也導致防守端在因應相關的攻擊時，將面臨更加嚴峻的挑戰。</p> </div></div></div>
2024/6/13 18:23作者周峻佑https://www.ithome.com.tw/news/163443
【資安日報】6月13日，荷蘭針對中國駭客攻擊Fortinet防火牆設備的網路間諜行動進行深度調查，駭客挾持全球逾2萬臺…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>荷蘭今年2月在國防部察覺中國駭客從事的網路間諜攻擊行動，對方利用重大漏洞CVE-2022-42475對FortiGate防火牆下手，並植入木馬程式Coathanger，如今他們公布新的調查結果，指出這是一起大規模的全球攻擊行動，駭客從Fortinet修補漏洞的兩個月前，就進行相關攻擊。</p> <p>值得留意的是，駭客所使用的木馬程式，不僅難以察覺行蹤，更無法透過部署修補程式清除，因此荷蘭軍情機構認為，這起攻擊行動的受害規模，實際上可能還會再擴大。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163443"><strong style="font-size: 22px;">中國駭客鎖定Fortinet防火牆漏洞從事的網路間諜活動受害規模擴大，全球逾2萬臺防火牆遭到滲透</strong></a></p> <p>今年2月，荷蘭國家網路安全中心（NCSC）、軍事情報暨安全局（MIVD）、情報暨安全總局（AIVD）聯手，針對中國資助的駭客從事的網路間諜攻擊行動公布調查結果，這些駭客鎖定FortiGate防火牆、網頁安全閘道FortiProxy的SSL VPN漏洞CVE-2022-42475（CVSS風險評為9.8分），並對防火牆設備植入名為Coathanger的RAT木馬程式，MIVD持續進行調查而於本週正式揭露這起攻擊的受害規模，其實遠遠超出先前的發現。</p> <p>他們指出，駭客在Fortinet發布修補程式前的2個月就開始利用漏洞，有1.4萬臺設備受到感染，從2022年至2023年，對方至少掌握逾2萬臺FortiGate防火牆的存取權限。但實際的受害規模，這些軍情機構認為很有可能還會更大，他們研判駭客會藉此漏洞入侵數百個組織，從而進行竊取資料等攻擊行動。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/black-basta-ransomware-zero-day"><strong style="font-size: 20px;">勒索軟體駭客Black Basta利用Windows零時差漏洞提升權限</strong></a></p> <p></p> <p>◆<a href="https://www.wiz.io/blog/dero-cryptojacking-campaign-adapts-to-evade-detection"><strong style="font-size: 20px;">組態配置不當的Kubernetes叢集遭到鎖定，駭客將其用於挖掘加密貨幣Dero</strong></a></p> <p></p> <p>◆<a href="https://blog.sucuri.net/2024/06/hundreds-sites-targeted-by-fake-chrome-update-pop-ups.html"><strong style="font-size: 20px;">駭客鎖定WordPress網站下手，目的是要脅瀏覽網站的使用者瀏覽器過舊，藉此散布惡意程式</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163436"><strong style="font-size: 22px;">開源機器學習框架PyTorch存在重大漏洞，恐導致敏感的AI資料遭竊</strong></a></p> <p>有研究人員於今年4月，向漏洞懸賞平臺Huntr通報開源機器學習框架PyTorch存在重大層級漏洞CVE-2024-5480，CVSS風險評分達到10分，影響2.2.2版以前的PyTorch。對此，Huntr向通報者提供1,500美元予以獎勵，並於近日公布細節。</p> <p>這項漏洞存在於名為torch.distributed.rpc的框架，一旦開發者利用該框架進行RPC呼叫，過程中該框架並未驗證相關功能是否如開發者預期執行，使得攻擊者藉此漏洞透過網路使用RPC呼叫Python的功能，從而載入Python程式庫並執行任意命令。</p> <p>由於這項框架通常被用於分散式訓練，像是增強式學習、模型並用、參數伺服器訓練框架等應用場景，而有可能導致上述漏洞的影響範圍相當廣泛。</p> <p><a href="https://www.ithome.com.tw/news/163437"><strong style="font-size: 22px;">Google針對旗下Pixel手機發布6月份資安公告，權限提升漏洞已被用於攻擊行動</strong></a></p> <p>本月11日Google針對Pixel手機發布資安公告，修補50個資安漏洞，其中有19個權限提升漏洞、17個資訊洩露漏洞、5個阻斷服務（DoS）漏洞、4個遠端程式碼執行（RCE）漏洞，以及5個高通元件的漏洞。</p> <p>值得留意的是，該公司特別針對存在Pixel韌體的權限提升漏洞CVE-2024-32896提出警告，他們發現可能被利用的跡象，並指出疑似用於有限的、針對性的攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/163440"><strong style="font-size: 22px;">Arm針對顯示晶片Mali GPU核心驅動程式漏洞提出警告，已出現攻擊行動</strong></a></p> <p>上週Arm針對顯示晶片Mali GPU的核心驅動程式漏洞CVE-2024-4610提出警告，並指出這項漏洞影響Bifrost與Valhall兩種GPU的核心驅動程式，從r34p0至r40p0的所有版本都受到影響，他們已在r41p0版修補這項漏洞。</p> <p>值得留意的是，Arm在公告裡提及，他們獲報這項漏洞已被用於實際攻擊行動的情況。6月12日，美國網路安全暨基礎設施安全局（CISA）納入已遭到利用的漏洞目錄（KEV），要求聯邦機構必須於7月3日之前完成修補。</p> <p><a href="https://www.ithome.com.tw/news/163422"><strong style="font-size: 22px;">Adobe修補內容管理平臺Experience Manager、電商網站平臺Magento漏洞</strong></a></p> <p>本週二（6月11日）Adobe針對旗下10款產品發布更新，總共修補166個漏洞，其中，144個與內容管理平臺Experience Manager（AEM）有關，而這次他們對電商網站平臺Adobe Commerce及Magento Open Source發布的資安公告，重大層級漏洞的數量最多，也相當值得留意。</p> <p>除了上述兩種網站系統的漏洞，Adobe也針對旗下的XML文件處理軟體FrameMaker，揭露與修補兩個漏洞，分別是：CVE-2024-30299、CVE-2024-30300，皆屬於伺服器權限提升類型的弱點，這兩個漏洞CVSS風險評為10分、9.8分，是本次最為危險的漏洞。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.securityweek.com/ics-patch-tuesday-advisories-published-by-siemens-schneider-electric-aveva-cisa/"><strong style="font-size: 20px;">西門子、施耐德電機、Aveva針對工控與OT系統漏洞提出警告</strong></a></p> <p></p> <p>◆<a href="https://www.securityweek.com/chrome-126-firefox-127-patch-high-severity-vulnerabilities/"><strong style="font-size: 20px;">Chrome 126、Firefox 127正式推出，修補多項高風險記憶體資安漏洞</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163120"><strong style="font-size: 22px;">以儲存為中心的勒索軟體防護架構開始完整成形</strong></a></p> <p>在已邁入第10年的臺灣資安大會歷史中，儲存與備份、資料保護廠商，參與臺灣資安大會是晚近幾年的事。面對勒索軟體威脅的持續肆虐，儲存設備與備份保護平臺現在也無法置身事外。</p> <p>在這幾年的臺灣資安大會中，我們便見到在儲存設備領域，勒索軟體防護功能的持續擴展。最初的出發點，是導入不可變儲存技術（immutable storage），防止資料複本遭到惡意刪改。下一步是引進主動偵測能力，確保資料乾淨、不受感染。而到了今年的資安大會，我們從多家廠商的演講與展示當中，進一步見到儲存端開始形成一套完整防護架構，涵蓋資料治理、識別、偵測、資料保護、威脅回應與回復等多個面向。</p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163114"><strong style="font-size: 22px;">從重視網路安全到企業安全，為資安創業提供有利條件</strong></a></p> <p>臺灣資安產業在過去十年中，經歷了巨大的變革，從技術和社群層面到政府政策和產業實踐，都帶來了深遠的影響。身為臺灣資安連續創業家、也是奧義智慧創辦人兼執行長邱銘彰表示，十年前，資安技術主要是以賣各種網路和資安設備為主，但隨著技術的發展，以及重視並專研各種資安技術的資安社群興起，起到了推波助瀾的作用，資安產業逐漸從設備銷售轉向了服務導向。</p> <p>許多企業對於資安的重視層面也有變化，近幾年，從以往只關心資訊安全（Information Security）轉變到網路安全（Cyber Security），而且，現在更重視整體的企業安全（Safety）。邱銘彰認為，這些變化來自於多方因素的影響，從技術的發展到政府政策的改變，都對資安產業帶來深遠的影響，也為後來許多資安新創公司的成立和發展，提供了有利條件。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163429"><strong>【6月12日】微軟發布6月份例行更新，總共針對49個漏洞進行公告</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163398"><strong>【6月11日】紐約時報證實內部資料流入地下論壇，程式碼儲存庫帳密資料外流釀禍</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163361"><strong>【6月7日】勒索軟體駭客RansomHub聲稱入侵老牌筆電製造廠藍天電腦，引起國際資安媒體高度關注</strong></a></p> </div></div></div>
2024/6/13 18:44作者周峻佑https://www.ithome.com.tw/news/163444
Google針對旗下Pixel手機發布6月份資安公告，權限提升漏洞已被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月11日Google針對Pixel手機<a href="https://source.android.com/docs/security/bulletin/pixel/2024-06-01">發布資安公告</a>，修補50個資安漏洞，其中有19個權限提升漏洞、17個資訊洩露漏洞、5個阻斷服務（DoS）漏洞、4個遠端程式碼執行（RCE）漏洞，以及5個高通元件的漏洞。</p> <p>從漏洞的危險程度來看，當中7個屬於重大層級、24個高風險層級，其餘為中度風險漏洞。</p> <p>值得留意的是，該公司特別針對存在Pixel韌體的權限提升漏洞CVE-2024-32896提出警告，他們發現可能被利用的跡象，並指出疑似用於有限的、針對性的攻擊行動。</p> <p>在此之前，Google曾公布<a href="https://www.ithome.com.tw/news/162191">遭到鑑識公司利用的Pixel零時差漏洞</a>。今年4月，他們修補資訊洩露漏洞CVE-2024-29745、權限提升漏洞CVE-2024-29748，通報此事的GrapheneOS開發人員透露，鑑識公司積極利用這些漏洞，而能在不知道PIN碼的情況下解鎖手機。</p> </div></div></div>
2024/6/13 12:53作者周峻佑https://www.ithome.com.tw/news/163437
健保署聯手Google要打造糖尿病風險預測AI、加速大家醫計畫發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今日（6/13），健保署署長石崇良宣布與Google聯手，要採用Google Cloud和Google Health的資料工具、AI和算力等資源，再加上國衛院專業知識，來推動健保署健康臺灣計畫，特別是其中的慢性病風險管理AI醫療照護研究計畫。他們第一波要打造糖尿病風險預測模型，作為大家醫計畫中的一套AI風險預測模型，來根據未患病和已患病民眾的健康資訊，提供風險預測值，並以風險高低作為分級醫療參考。石崇良表示，這個做法可提高民眾病識感，也能加強醫院個案管理。他透露，糖尿病風險預測只是起點，接下來還會擴大到三高疾病的風險預測與健康管理，降低整體臺灣疾病負擔。</p> <p><span style="font-size:24px;"><strong>除了癌症，三高併發症也是臺灣疾病負擔大宗</strong></span></p> <p>石崇良指出，國際權威醫學期刊刺胳針刊出一份全球疾病負擔（Global Burden of Disease）圖表，他們收集了1990年至2021年的疾病資料，將造成民眾死亡與失能的疾病，以方塊大小來表示負擔比。其中，負擔大宗來自癌症、慢性疾病與併發症，包含糖尿病、慢性腎臟病、腦中風和缺血性心臟病等區塊，加總起來占了全球疾病負擔的16%左右。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%96%BE%E7%97%85%E8%B2%A0%E8%8D%B7.JPG" /></p> <p>相較起來，臺灣的疾病負擔也與全球趨勢類似。癌症依然是大宗，再來是占比6%左右的糖尿病，以及3%的慢性腎臟病、10%的腦中風與缺血性心臟病。「所以這4塊疾病，就是我們常講的高血糖、高血脂、高血壓等三高造成的，導致近20%的臺灣疾病負荷。」石崇良表示，若要讓臺灣民眾更健康，就得防治癌症和三高。</p> <p>要降低這些疾病負荷，得先找出致病因。根據臺大公共衛生學院流行病學與預防醫學研究所所長林先和等人在2017年發表的研究，石崇良點出，這些因子可分為3組，包括三高、BC肝和生活形態（如菸酒、體重、飲食），防範這些因子才能維持健康、降低死亡。</p> <p><span style="font-size:24px;"><strong>力推大家醫計畫，鎖定糖尿病和三高民眾</strong></span></p> <p>也因此，「我們必須改變過去的照護模式，從以疾病為主的照護，轉為以健康為主的照護。」石崇良表示，這個改變包含3部分，一是將過去的分段式照護，轉為協同照護和最終的整合式照護，再來是醫療給付部分，包括從過去疾病治療的論量計酬，轉為過渡期的疾病管理與論病計酬，再到最終的健康管理和論質計酬。但最重要的是，這些轉變得靠數位工具來支撐，不只有電子病歷，還要有雲端資料、AI數位醫療、IoT與遠距照護等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%85%A7%E8%AD%B7%E6%A8%A1%E5%BC%8F.JPG" /></p> <p>其中一大轉型計畫，就是健保署今年展開的大家醫計畫。這個計畫以原有的家醫計畫為基礎，對象包含代謝症候群防治計畫、慢性病P4P、癌症品質計畫等患者以及三高民眾，要透過全人照護模式，來擴大服務涵蓋率、改變生活形態，進而改善健康狀態。</p> <p>進一步來說，大家醫計畫有個重要工具：家醫大平臺，來整合特定民眾的健保資料、穿戴式裝置生理數據和生活形態資料，如血壓、血脂、血糖、眼底鏡、尿蛋白、疫苗施打、戒菸、BC肝篩檢、癌症篩檢和營養運動睡眠等，一方面透過平臺上的數據分析和風險偵測，來通知醫師和個管師，及早與高風險患者溝通、衛教，另也要提供追蹤和異常管理功能，如疫苗注射、篩檢後異常通知等。最後還要提供數據分析和個案慢性病指標，來協助醫師制定個人化治療方案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%B6%E9%86%AB%E5%A4%A7%E5%B9%B3%E8%87%BA.JPG" /></p> <p><span style="font-size:24px;"><strong>聯手Google、國衛院，打造糖尿病風險預測AI</strong></span></p> <p>石崇良表示，健保署目前正建置家醫大平臺，預計今年底前完工，之後會逐步優化平臺功能。而健保署今日與Google展開為期5年的合作，預計使用Google雲端算力資源、AI工具和資料處理工具等，來與國衛院共同打造專屬臺灣的疾病風險預測模型，第一波瞄準糖尿病風險預測模型。</p> <p>這是因為，在臺灣每10人就有1人罹患糖尿病，且其併發症嚴重，如心血管疾病、腎病、視網膜及神經病變等，需及早介入預防與治療。而且，糖尿病也是臺灣疾病負擔大宗之一。</p> <p>因此，在模型訓練資料部分，健保署會採用去識別化的性別、年齡、家族病史、風險資訊、國際疾病分類代碼ICD-10和檢驗檢查等資料，同時透過國衛院專業知識找出更多參數，來訓練糖尿病風險預測模型。</p> <p>同時，<a href="https://taiwan.googleblog.com/2024/06/cloud-summit-taipei-2024-ai-for-healthy-taiwan.html">Google表示</a>，健保署將採用Google Cloud一系列為醫療照護產業微調的基礎模型MedLM，在Vetex AI平臺上建置、訓練和測試客製化的生成式AI大型語言模型。接著，這些模型可用來預測患者第二型糖尿病患者的併發症風險。</p> <p>就流程來說，模型會透過健保署健保雲執行，醫療院所醫師上傳資料到健保雲，模型運算後會傳送結果給醫師和民眾。這個風險預測分2種，一是針對未患糖尿病的民眾，模型會提供10年內、5年內和1至3年內的罹病風險，另一是患糖尿病民眾，模型會提供數種風險預測，如總住院率、特定原因住院率、死亡率、慢性病罹患率等。</p> <p>而風險高低最後會以燈號表示，作為醫療分級參考，比如綠色為低風險、黃綠色為有風險、黃色是中風險、黃橙色中高風險、紅橙色高風險，紅色則是嚴重風險。其中，風險較低的民眾可建議至衛生所、門診就醫，黃色燈號則可轉介至地區醫院、黃橙色至區域醫院，高風險和嚴重風險則至醫學中心，以此達到分級醫療目標。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1715.JPG" /></p> <p>石崇良表示，所有相關資料只有健保署可存取，也會以最高規格來保護。他點出，未來健保署會透過上述風險分級結果，來擬定不同的給付計畫，制定不同風險個案的管理費。健保署也會視照顧成效，來給予獎勵，落實以質計酬的支付轉型目標。</p> <p>他表示，健保署與Google聯手的糖尿病風險預測AI是第一波應用，藉此拋磚引玉，來推動、擴大到更多慢性病和三高疾病風險管理，提高健康狀態。</p> <p></p> </div></div></div>
2024/6/13 17:38作者王若樸https://www.ithome.com.tw/news/163442
Arm針對顯示晶片Mali GPU核心驅動程式漏洞提出警告，已出現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週Arm針對顯示晶片Mali GPU的核心驅動程式漏洞CVE-2024-4610<a href="https://developer.arm.com/Arm Security Center/Mali GPU Driver Vulnerabilities">提出警告</a>，並指出這項漏洞影響Bifrost與Valhall兩種GPU的核心驅動程式，從r34p0至r40p0的所有版本都受到影響，他們已在r41p0版修補這項漏洞。</p> <p>而對於這項漏洞帶來的影響，該公司指出，攻擊者若是取得本機非特權使用者權限，就有機會產生不當的GPU記憶體操作程序，從而存取已被釋出的記憶體空間，<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-4610">CVSS風險評為5.5分</a>。</p> <p>值得留意的是，Arm在公告裡提及，他們獲報這項漏洞已被用於實際攻擊行動的情況。6月12日，美國網路安全暨基礎設施安全局（CISA）<a href="https://www.cisa.gov/news-events/alerts/2024/06/12/cisa-adds-two-known-exploited-vulnerabilities-catalog">納入已遭到利用的漏洞目錄（KEV）</a>，要求聯邦機構必須於7月3日之前完成修補。</p> </div></div></div>
2024/6/13 16:00作者周峻佑https://www.ithome.com.tw/news/163440
問題頻傳，微軟暫停擴大測試Windows 11 24H2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在6月18日即將開賣Copilot+ PC前夕，微軟本周卻將準備擴大測試的通路中緊急移除Windows 11 24H2。</p> <p>Windows 11 24H2是微軟實作AI PC的作業系統，該公司於5月20日將Windows 11 24H2（Build 26100.712）<a href="https://www.microsoft.com/en-us/windowsinsider/getting-started" target="_blank">透過Release Preview Channel釋出</a>給Insiders方案成員測試。這個版本包含HDR背景支援、Wi-Fi 7支援、省電功能、Sudo for Windows及Rust in Windows Kernel等功能。不過上周<a href="https://blogs.windows.com/windows-insider/2024/05/22/releasing-windows-11-version-24h2-to-the-release-preview-channel/" target="_blank">微軟在官方部落格公告</a>，暫時中止以Release Preview Channel發布24H2版，會在幾周後恢復發布。</p> <p>可能被媒體追問許久，微軟Windows主管<a href="https://x.com/brandonleblanc/status/1799478915582542199" target="_blank">Brandon LeBlanc在推特上說</a>，他沒有什麼部落格以外的訊息可提供的，微軟正努力讓該OS版本儘快發布。</p> <p>網路媒體<a href="https://www.windowslatest.com/2024/06/10/microsoft-pulls-windows-11-24h2-for-release-preview-testers-likely-due-to-issues/" target="_blank">Windows Latest指出</a>，一些用戶上周安裝24H2後即傳問題，例如有用戶從23H2升級後出現RunDLL錯誤訊息。其他用戶則抱怨不穩定、Word、電玩應用程式凍住、卡頓甚至當掉等情形。</p> <p>此外，因應資安專家的批評，<a href="https://www.ithome.com.tw/news/163381" target="_blank">微軟也緊急宣布</a>在6月18日Copilot+ PC上市前，把可自動快照紀錄用戶PC使用行為的Recall改為預設關閉，以平息隱私疑慮。</p> <p>不過用戶如果有備用機或不怕出問題的，現在仍可在Dev Channel下載安裝Windows 11 24H2。</p> </div></div></div>
2024/6/13 16:22作者林妍溱https://www.ithome.com.tw/news/163441
OpenAI採用甲骨文雲端為運行基礎架構，強調和微軟合作不變
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文和OpenAI本周<a href="https://www.oracle.com/news/announcement/openai-selects-oracle-cloud-infrastructure-to-extend-microsoft-azure-ai-platform-2024-06-11/" target="_blank">宣布一項合作</a>，OpenAI將以甲骨文雲端基礎架構（Oracle Cloud Infrastructure，OCI）作為擴展微軟Azure AI的基礎架構，以執行模型推論等任務。</p> <p>這項合作其實涉及OpenAI、微軟Azure及甲骨文三家業者，目的在讓OCI成為類似備援方案，為微軟Azure AI擴展到甲骨文雲端，為OpenAI負載提供更高處理能力。</p> <p>OpenAI的AI服務光是ChatGPT，每月用戶就超過1億，堪稱吃運算資源的怪獸。OpenAI執行長Sam Altman從不諱言其AI運算資源需求，<a href="https://venturebeat.com/ai/sam-altman-wants-up-to-7-trillion-for-ai-chips-the-natural-resources-required-would-be-mind-boggling/" target="_blank">外傳他希望</a>募集7兆美元蓋廠自產晶片以加速訓練AI模型的任務。</p> <p>或許因為OpenAI才宣布和蘋果合作，使ChatGPT整合到蘋果OS中，外界揣測可能影響OpenAI和微軟的合作關係。OpenAI在官方新聞發布後<a href="https://x.com/OpenAI/status/1800778542512550260" target="_blank">隨後澄清</a>，這項合作是讓OpenAI使用「OCI基礎架構上的Azure AI平臺」執行推論和其他作業。OpenAI最尖端的模型仍然執行在使用與微軟合作的超級電腦上。</p> <p>在公有雲市場方面，甲骨文OCI遠遠落後微軟或是今天宣布結盟的Google Cloud。根據市調業者<a href="https://www.fierce-network.com/multi-cloud/public-cloud-growth-back-baby" target="_blank">Synergy的數據</a>，截至今年第一季，公有雲市場仍以市占達31%的AWS居冠，微軟Azure和Google Cloud則分別擁有24%和11%市場。甲骨文則和IBM、騰訊同為2%。</p> <p>但甲骨文仍有相當知名的客戶，包括Nvidia DGX Cloud、馬斯克的xAI，以及Adept、Modal、MosaicML、Together AI、Twelve Labs等AI業者。在訓練大型語言模型時，OCI的Supercluster可擴展到64k NVIDIA Blackwell GPU或GB200 Grace Blackwell Superchips，透過超低延遲RDMA叢集網路連線。OCI Compute虛擬機器和OCI裸機Nvidia GPU執行個體並可支援生成式AI、電腦視覺、自然語言處理、推薦系統等應用程式。</p> </div></div></div>
2024/6/13 15:21作者林妍溱https://www.ithome.com.tw/news/163439
甲骨文和Google Cloud合作多雲環境、推Oracle Database@Google Cloud
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.oracle.com/news/announcement/oracle-and-google-cloud-announce-groundbreaking-multicloud-partnership-2024-06-11/" target="_blank">甲骨文昨（12）日宣布</a>將以合作取代競爭，和Google Cloud締結多雲合作，並將推出Google Cloud版的Oracle資料庫。</p> <p>甲骨文與Google Cloud的合作有二階段。其一，甲骨文雲端基礎架構（Oracle Cloud Infrastructure，OCI）和Google Cloud將透過Google Cloud的跨雲互連（Cross-Cloud Interconnect）整合。OCI是甲骨文提供的基礎架構硬體。</p> <p>跨雲互連是Google Cloud的直接連線服務，一開始將提供全球11個區域剛加入的客戶，以利將舊雲端平臺的一般性任務移轉到Google Cloud上，而無需搬移費用。在和甲骨文的合作中，<a href="https://cloud.google.com/network-connectivity/docs/interconnect/how-to/cci/oci/connectivity-overview" target="_blank">跨雲端互連</a>可在Google Cloud、OCI網路之間建立專有實體連線，這可使得部署在二個雲環境的資料交換更快速，也能實現更多元服務模式，雙方客戶可獲得Google Cloud及甲骨文共同支援服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0613-OCI-Google%20Cross-Cloud-Interconnect.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／甲骨文</span></span></p> <p>今年下半雙方將推出Oracle <a href="mailto:Database@Google">Database@Google</a> Cloud，強調這雲端資料庫具備甲骨文最高的資料庫和網路效能，功能和價格也和OCI平臺上的版本一樣。二家軟體巨人也會合作共同行銷，將Oracle <a href="mailto:Database@Google">Database@Google</a> Cloud推向多種產業，包括金融、醫療、零售、製造等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0613-Oracle%20Database%40Google%20Cloud-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google Cloud</span></span></p> <p>雙方合作將可提供甲骨文資料庫客戶Google Cloud雲端的好處。首先，他們可以在Google Cloud上部署甲骨文資料庫，以及相關服務如Oracle Exadata資料庫服務、Oracle Autonomous資料庫服務、MySQL Heatwave、複寫服務Oracle GoldenGate、或自動化回復與安全管理服務等。其次，甲骨文客戶可以更方便使用Google Cloud AI服務，如Vertex AI和Gemini基礎模型，以便執行AI推論或預測分析、或是開發AI應用。Oracle <a href="mailto:Database@Google">Database@Google</a> Cloud讓客戶得以直接存取部署於Google Cloud資料中心的OCI硬體上的甲骨文資料庫服務。</p> <p>最後，客戶可利用Oracle Zero-Downtime Migration等工具，把Oracle資料庫搬上Google Cloud。這項合作提供簡化的採購方式，客戶可以從Google Cloud Marketplace上購買Oracle <a href="mailto:Database@Google">Database@Google</a> Cloud，原有甲骨文客戶並可以享用自帶授權（Bring Your Own License，BYOL）及折扣方案如Oracle Support Rewards的好處。</p> <p>在Google Cloud資料中心直接管理Oracle Database服務的合作，今年下半將從美國和英國、德國展開，再陸續推向其他國家。先上線的服務包括Oracle Exadata Database Service、Oracle Autonomous Database Service和Oracle Real Application Clusters（RAC）。</p> <p>而OCI和Google跨雲互連服務今天已可提供給11個跨雲互連區域，包括澳洲、巴西、日本、新加坡、印度、美國等。</p> <p>甲骨文並非現在才和競爭者合作。去年9月，甲骨文也和微軟<a href="https://www.ithome.com.tw/news/158781" target="_blank">宣布了類似的合作</a>，推出了Oracle <a href="mailto:Database@Azure">Database@Azure</a>的服務，客戶得以直接存取部署於Microsoft Azure資料中心的OCI上的甲骨文資料庫服務。</p> </div></div></div>
2024/6/13 15:00作者林妍溱https://www.ithome.com.tw/news/163438
開源機器學習框架PyTorch存在重大漏洞，恐導致敏感的AI資料遭竊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有研究人員於今年4月，向漏洞懸賞平臺Huntr通報開源機器學習框架PyTorch存在重大層級漏洞CVE-2024-5480，CVSS風險評分達到10分，影響2.2.2版以前的PyTorch。對此，Huntr向通報者提供1,500美元予以獎勵，<a href="http://huntr.com/bounties/39811836-c5b3-4999-831e-46fee8fcade3">並於上週公布細節</a>。</p> <p>這項漏洞存在於名為torch.distributed.rpc的框架，一旦開發者利用該框架進行RPC呼叫，過程中該框架並未驗證相關功能是否如開發者預期執行，使得攻擊者藉此漏洞透過網路使用RPC呼叫Python的功能，從而載入Python程式庫並執行任意命令。</p> <p>由於這項框架通常被用於分散式訓練，像是增強式學習、模型並用、參數伺服器訓練框架等應用場景，而有可能導致上述漏洞的影響範圍相當廣泛。</p> <p>對於漏洞發生的原因，研究人員也提出說明。當torch.distributed.rpc框架在使用多處理器執行緒進行RPC通訊時，worker可使用特定的功能（如rpc.rpc_sync）將功能及張量（tensor）序列化並打包成PythonUDF套件，然後使用PythonCall進行傳送。</p> <p>接著，master節點將接收到的套件反序列化處理，並呼叫_run_function，過程中允許worker執行特定的功能，但由於功能呼叫並未受到限制，使得攻擊者透過呼叫Python內建的功能，就有機會發動遠端程式碼執行（RCE）攻擊。</p> <p>對此，研究人員也提供概念性驗證（PoC）程式碼，並指出該漏洞可能帶來的影響：由於攻擊者可將其用來遠端攻擊分散式訓練的master節點，一旦這些節點遭到入侵，對方就有機會竊取與AI有關的敏感資料。</p> </div></div></div>
2024/6/13 12:13作者周峻佑https://www.ithome.com.tw/news/163436
GovTech月報第30期：政府承諾以穩定供電、建置超級電腦、培育人才3做法促臺灣成為AI島
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0501~0604)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">賴清德</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>總統賴清德：打造臺灣成為AI島，將穩定能源供應，加強超級電腦建置及人才培育</strong></span></p> <p>總統賴清德近期在Computex開幕致詞時表示，政府將穩定供電提供多元綠電，建置超級電腦，並培養人才等措施，更多企業協助政府投資臺灣，以將臺灣打造成為人工智慧島。</p> <p>賴清德在致詞時表示，政府將完成3項基本工作，第一是，穩定供電並提供多元綠電，以及建立屬於臺灣的資料中心；第二是，建置超級電腦，未來若有必要，政府將投資建置符合需求的超級電腦，供產官學研使用，他並對Nvidia贈送第一臺超級電腦，台積電負擔部分營運費用表示感謝，；第三是，政府將持續培養ICT產業、晶圓製造、半導體、人工智慧等領域人才，使臺灣成為人工智慧島得以實現。</p> <p>他盼望企業界持續投資臺灣，讓AI在臺灣產業化發展，有更多創新應用，並使國內100多萬中小企業能夠AI化，讓臺灣成為人工智慧島，也能為經濟帶來實質功用，促成民眾生活更好。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">卓榮泰</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>行政院長卓榮泰盼公部門運用AI提升行政效率</strong></span></p> <p>行政院長卓榮泰上任舉行首次院會，由國科會報告可信任對話引擎TAIDE計畫成果，卓榮泰表示，未來盼望國科會繼續推動AI技術及研究，並且與其他部會合作加速產業應用，同時公部門也運用AI，以提高行政效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/MS(1).jpg" style="width: 600px; height: 337px;" /></p> <p>國科會報告TAIDE推動成果，目前已釋出可商用的TAIDE-7B模型，並研發學研使用的TAIDE-13B，國科會以寫文章、寫信、摘要、英翻中、中翻英5項任務，評測ChatGPT 3.5、TAIDE-7B與TAIDE-13B的表現，0<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "PingFang TC";">到</span>10<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "PingFang TC";">分，</span>ChatGPT 3.5<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "PingFang TC";">得分為</span>8.68<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "PingFang TC";">分，</span>TAIDE-7B<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "PingFang TC";">得分為</span>8.3<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "PingFang TC";">分，至於</span>TAIDE-13B<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "PingFang TC";">則是</span>8.74<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "PingFang TC";">分，表現相當於</span>ChatGPT 3.5<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "PingFang TC";">，並且具有在地知識，多輪對話及阻絕產生不當內容的能力。</span></p> <p>TAIDE計畫已與產學研合作開發應用，例如國臺客語，但缺少原住民語言，國科會表示，<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">TAIDE</span>模型訓練以文字資料為主，未來會加強原住民語言資料的取得，同時<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">TAIDE</span>也會向多模態發展。國科會也表示，<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">TAIDE</span>為基礎通用模型，已釋出供外界運用，未來公部門可以其業務資料，用於資料彙整、會議記錄彙整、寫公文或回覆民眾的詢問。</p> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">黃彥男</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>數位部長黃彥男：強化國內數位經濟發展環境，加速政府機關導入AI</strong></span></p> <p>新任數位發展部長黃彥男近期首次公開面對媒體，宣示數位部今後的施政方向，包括加強與各部會合作，建造數位高速公路，促進產業轉型及數位經濟發展。此外，作為政府轉型的推手，未來數位部也會透過輔導，加公務機關導入AI，以提高行政效率</p> <p>黃彥男指出，產業轉型及數位產業發展，仰賴建立數位高速公路，未來善用這條高速公路，促使資料及使用，是數位經濟發展的重要基礎，為了打擊不法行為，數位部計畫建構查詢通報系統，相關部會單位可以快速處理或驗證資料的真實性，讓民眾能夠查詢資訊的真偽，信任數位經濟高速公路提供真實的資訊。此外，也將透過異質通訊網路技術，例如4G、5G、海纜、微波、衛星等，以強化數位高速公路的韌性。</p> <p>在政府數位轉型工作上，黃彥男指出，基於過去數十年電子化政府發展基礎，導入AI是下一個目標，是政府向智慧化發展的關鍵，數位部將在全國推廣AI基本訓練，協助公部門人員具備AI基本技能，例如使用生成式AI預測、摘要內容等，提升行政效率。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">超級電腦</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>全球500大超級電腦：美國再添一座Exascale級超級電腦，臺灣AI超級電腦添新兵Taipei1</strong></span></p> <p>因應全球極端氣候變遷，新型病毒及醫學等研究需求，需仰賴大量運算資源模擬分析研究，近期全球500大超級電腦排名出爐，美國超級電腦Frontier以1.2Exaflop/s蟬連冠軍之外，美國能源部阿拉貢國家實驗室的Aurora也以1.012 Exaflop/s位居第2，成為第二個Exascale級超級電腦。</p> <p>此次臺灣共有6臺超級電腦進榜，成績最佳的是Nvidia Taiwan所建置的Taipei1超級電腦，採用Xeon處理器及Nvidia H100，以22.3 PFlop/s拿下第38名，其他超級電腦包括中央氣象局的兩臺超級電腦，國網中心也有三座超級電腦進榜，分別是臺灣杉2號、3號及Forerunner1。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0514-top500-taiwan-600.jpg" style="width: 600px; height: 544px;" /></p> <p>其中Taipei1為Nvidia建置的AI超級電腦，去年底完成建置，目的為協助AI研發，經濟部已與Nvidia達成協議，Nvidia將釋出部分運算資源免費供國內使用。經濟部預期在Nvidia Taipei1的支持下，有助於我國AI模型研發，透過高速運算資源，帶動臺灣的生成式AI核心技術發展。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">瑞典</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臉部辨識</span></font></strong></p> <p><span style="font-size:22px;"><strong>瑞典擬授權警方用公共場所攝影機即時臉部辨識技術以追蹤識別嫌犯</strong></span></p> <p>為打擊犯罪，瑞典政府近期表示，有意授權執法單位透過公共場所的攝影機，運用即時臉部辨識技術來追蹤識別涉及特定犯罪程度的嫌犯。</p> <p>去年12月瑞典政府即開始對授權執法單位使用監控攝影機，包括運用臉部辨識技術展開研究，近期司法部門提交報告給政府，該報告建議政府授權執法單位使用公共場所監控攝影機來打擊犯罪，但為了避免權力遭到濫用的情形，建議執法單位需獲得司法部門的同意才能使用。瑞典政府傾向採納建議，並準備研擬相關的計畫。</p> <p>在此之前，今年3月歐盟通過AI使用管理規則，禁止在公共場所使用即時臉部辨識技術，但執法單位可獲得例外，這些例外的案例，例如協尋失蹤者或受害者，以及迫在眉睫的恐怖攻擊威脅。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">澳洲</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font></strong></p> <p><span style="font-size:22px;"><strong>澳洲通過數位身分法案，建立跨公私部門的全國性數位身分系統</strong></span></p> <p>澳洲眾議會近期通過數位身分法案及相關的過渡法案，新法預計在今年11月就會開始生效，澳洲政府擬建立跨公私部門參與的全國性數位身分系統。</p> <p>澳洲政府稱法案通過，將為澳洲政府得以建立數位身分系統，並允許供應商及服務加入數位身分系統提供確定性，數位身分系統也將改善民眾在網路上的互動隱私及安全性；此外，數位身分法案也允許數位身分服務提供者自願加入認證，以強化其提供的身分驗證服務符合安全、隱私、身分驗證標準。</p> <p>澳洲政府財政部表示，數位身分系統將讓澳洲民眾得以更容易、安全的在網路上證明自己的身分，並且分享更少的身分訊息，讓更少的組織取得，通過更強的監管規範，降低身分被盜用的風險。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">環境保護</span></font></strong></p> <p><span style="font-size:22px;"><strong>桃園市打造AI環境污染辨識系統，協助稽查空氣品質、河川水質、環境衛生及噪音</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%E7%92%B0%E5%A2%83%E6%B1%A1%E6%9F%93%E8%BE%A8%E8%AD%98%E7%B3%BB%E7%B5%B1.jpg" style="width: 600px; height: 338px;" />桃園市每年收到超過2萬件的環境污染陳情案件，傳統上以人工稽查，耗費人力、時間，桃園市政府運用AI強化環境保護，運用電腦視覺技術打造AI環境污染辨識系統，利用這套系統監控空氣品質、河川水質、環境衛生、噪音管制4個方面，環保局表示，每年提高稽查效率達55%。</p> <p>這套AI環境污染辨識系統，包含7個AI影像辨識子系統，包含施工揚塵辨識、機動車輛智慧偵測辨識、判煙辨識、水色辨識、環境衛生辨識、營建路污辨識、改裝排氣管辨識等，並且結合空品感測器物聯網、水質物聯網、聲音照相等，對空氣品質、河川水質、環境衛生、機車噪音加強稽查管制。</p> <p>傳統稽查仰賴人工完成，運用機器視覺的即時監控、辨識，準確率達到8成，每件民眾陳情案可節省30到45分鐘，如果偵測到異常狀況，自動以Line或影像發出告警，提高稽查的效率，透過人機合作模式，2023年1月到2024年4月裁罰違規案件金額達1,400萬元。</p> <p>環保局也比較該系統上線後，對環境維護確實帶來效益，他們以實施後和實施前的3年（2020年到2022年）平均數據相比，空氣中硫氧化物濃度改善37%、氮氧化物則改善6%，空品不良的天數減少23%；水質方面，河川生化需氧量改善6.4%。亂丟垃圾的陳情數量下降51%、噪音陳情數量也下降23%。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">森林野火</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位孿生</span></font></strong></p> <p><span style="font-size:22px;"><strong>美國NASA要以數位孿生協助救災人員判斷森林野火情勢</strong></span></p> <p>美國太空總署NASA近期公布一項數位孿生野火(Wildfire Digital Twin)研究計畫，結合AI及感測數據，協助消防人員及救災單位預判野火燃燒走勢及濃煙飄移方向。</p> <p>美國、加拿大等幅闊地區，其森林經常面臨野火的風險，每當發生野火，除造成大面積珍貴林木被破壞、人民的財產生命蒙受損失，對環境也造成相當大的影響，一項研究顯示，因全球暖化，造成北方的夏季時間延長，使得野火發生的風險增加，去年8月一分研究報告顯示，光是野火造成的二氧化碳排放量，約佔全球排放的25%。</p> <p>該計畫利用蒐集的多種數據，例如現場設備的感測數據，飛行機或太空的偵測數據，加上人工智慧或機器學習技術預測野火燃燒路徑趨勢，產生數位孿生模型。相較於目前的野火及煙霧擴散所使用的模型，每個像素代表的空間解析度約為10公里，這個野火數位孿生模型的空間解析度為每像素10到30公尺，具有更細緻的空間解析度，並且產生模型也只要幾分鐘的時間。</p> <p>這項計畫結合馬里蘭大學等6所大學的研究團隊資源進行研究，針對野火現場缺乏網路通訊及超級電腦運資資源，數位孿生模型可以API，讓消防救災單位可以在筆電、平板電腦上執行這套野火數位孿生模型。</p> <p> </p> <p>圖片來源／總統府、國科會、TOP500、桃園市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.國科會：擬於10月底前提出AI基本法草案</strong></p> <p><strong>2.歐盟成立AI辦公室加強監管AI發展</strong></p> <p>資料來源：iThome整理，2024年5月</p> </div> </div></div></div>
2024/6/13 11:15作者蘇文彬https://www.ithome.com.tw/news/163375
Google研究以大型語言模型分析穿戴裝置健康資料，可給出高品質健身與睡眠建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型語言模型已經被用於處理各種模態的資料，包括文字、圖像、音訊和影片等，而現在<a href="https://research.google/blog/advancing-personal-health-and-wellness-insights-with-ai/">Google</a>也將大型語言模型應用於理解和推理個人健康問題和資料上，主要目標是要提升個人健康，該新研究特別著重於睡眠與健身這兩項早期死亡預測因子。</p> <p>Google研究展示了大型語言模型在健康資料上的潛在應用，可分析穿戴式裝置的健康資料，將零碎的資料點轉化為個人健康報告。大型語言模型利用程式碼生成和資訊檢索工具強化分析能力，使得人工智慧代理可以經迭代處理，分析穿戴式裝置多維時序資料。</p> <p>人工智慧代理運用Python直譯器進行複雜運算辨識趨勢，再透過搜尋引擎存取最新的醫療和健康知識庫，就可針對使用者給出個人化的建議和解釋。使用者可以詢問像是「如何在白天感覺更清醒且充滿活力？」等問題，人工智慧代理依據使用者穿戴式裝置所紀錄的睡眠時間，以及運動頻率給出具體建議。</p> <p>穿戴式裝置量測個人生理狀態和行為，紀錄連續且精細的資料，諸如步數、心率變異、睡眠持續時間等，結合大型語言模型，經由提供個人化報告與建議協助使用者實現健康目標。不過這件事並不容易，模型必須能夠對複雜時間序列和零散資料進行推理，並在個人健康背景下生成個人化解釋和建議。</p> <p>研究人員以「如何改善睡眠品質？」問題為例，說明人工智慧代理需要經歷一連串複雜分析步驟才能給出答案。步驟包括檢查資料的可用性、計算平均睡眠時長、辨識一段時間內的睡眠模式異常，並藉由全面分析使用者的健康狀況，做出更具意義和針對性的分析，再加上睡眠標準知識，提供使用者量身打造的睡眠改善建議。</p> <p>Google研究人員使用了Gemini模型微調版本PH-LLM。透過使用多模態編碼器，PH-LLM能夠更好地理解和解釋文字及時序感測資料。研究人員創建一組基準資料集，來評估模型與專家的能力差距，在健身領域，無論是Gemini Ultra 1.0模型還是PH-LLM模型的效能，都與健身專家沒有統計學上的差異，而在睡眠評估上，PH-LLM則與專家表現接近。</p> <p>過去雖然也有各種大型語言模型的醫療相關應用，但是卻很少使用來自行動或是穿戴式裝置的複雜資料，研究人員認為這些資料對於個人健康監測非常重要。該Google研究的主要貢獻，在於展示大型語言模型可以用於分析和解釋穿戴式裝置資料，並且證明其能力可媲美人類專家。</p> </div></div></div>
2024/6/13 08:30作者李建興https://www.ithome.com.tw/news/163427
【資安日報】6月12日，微軟發布6月份例行更新，總共針對49個漏洞進行公告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨（6月11日）微軟發布本月份例行更新，一共修補49個漏洞，<a href="https://www.ithome.com.tw/news/162875">相較於上個月公布多達60個漏洞</a>，已減少一些，而且，稍微值得慶幸的是，這次公布的漏洞尚未發現遭到駭客利用的跡象。</p> <p>但這次揭露還是有零時差漏洞，因為該漏洞的細節已在數個月前被公布，而這項漏洞與DNSSEC驗證機制有關，影響範圍可能會相當廣泛。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163417"><strong style="font-size: 22px;">勒索軟體駭客TellYouThePass鎖定近期公布的PHP重大漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Code-6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Code-6.png" style="width: 300px; float: right;" /></a></p> <p>上週臺灣資安業者戴夫寇爾針對他們向PHP通報的重大層級漏洞CVE-2024-4577提出警告，呼籲網站管理者儘速套用新版PHP程式，或是採取緩解措施，由於全球有近八成網站採用PHP，這項漏洞很快就有駭客將其用於攻擊行動。</p> <p>在PHP於6日發布新版軟體修補上述漏洞，隔日Shadowserver基金會就發現密罐陷阱出現漏洞嘗試利用的情況。接著在6月8日，資安業者Imperva發現勒索軟體駭客組織TellYouThePass利用這項漏洞從事攻擊，他們看到對方成功觸發漏洞後，於受害伺服器上執行PHP程式碼，利用名為system的功能進行寄生攻擊，透過執行檔mshta.exe執行攻擊者網頁伺服器上的HTML應用程式檔案，從而部署勒索軟體並加密檔案。</p> <p><a href="https://www.ithome.com.tw/news/163394"><strong style="font-size: 22px;">華邦電發布重訊說明疑似發生資料外洩，起因是合作廠商遭駭</strong></a></p> <p>記憶體大廠華邦電子在6月6日傍晚發布資安事件重大訊息，說明他們合作廠商的資訊系統遭不明人士入侵，導致該公司疑似發生資料外洩的狀況。</p> <p>根據華邦電子公告指出，這次事件主要是合作廠商資訊系統遭不明人士入侵，由於合作廠商向他們通報，指出與華邦電合作相關資料有外洩疑慮的狀況，因此，華邦電針對這樣的情況發布重訊說明。不過，他們並未明確指出是哪家合作廠商的資訊系統遭入侵。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.ncsc.nl/actueel/nieuws/2024/juni/10/aanhoudende-statelijke-cyberspionagecampagne-via-kwetsbare-edge-devices"><strong style="font-size: 20px;">荷蘭指出中國駭客鎖定全球Fortinet防火牆漏洞從事的網路間諜活動受害規模擴大，逾2萬臺防火牆遭到破壞</strong></a></p> <p></p> <p>◆<a href="https://blogs.infoblox.com/threat-intelligence/what-a-show-an-amplified-internet-scale-dns-probing-operation/"><strong style="font-size: 20px;">中國駭客組織SecShow在全球進行大規模DNS探測行動</strong></a></p> <p></p> <p>◆<a href="https://blog.nicovideo.jp/niconews/225099.html"><strong style="font-size: 20px;">日本影音共享平臺Niconico傳出遭到網路攻擊，被迫暫停相關服務</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163421"><strong style="font-size: 22px;">微軟發布6月例行更新，修補已被公布細節的DNSSEC零時差漏洞</strong></a></p> <p>微軟於6月11日發布本月例行更新（Patch Tuesday），總共修補49個漏洞，其中有一個零時差漏洞，而引起關注。</p> <p>此為網域名稱系統安全擴充程式（DNSSEC）的設計缺陷漏洞CVE-2023-50868，存在於DNSSEC驗證機制當中，假如DNS解析器使用NSEC3回應請求，攻擊者可藉由要求來自DNSSEC簽章區域的回應，就有機會讓實作DNSSEC驗證機制的解析器耗盡處理器的運算資源，CVSS風險評為7.5分，微軟為Windows Server 2012至2022版，發布相關的修補程式。</p> <p>這個漏洞有幾個特別的地方，首先，這項漏洞CVE編號並非微軟自行登記，而是由資安團體MITRE所為，而且，登記的時間在今年2月13日，距微軟發布修補程式間隔達4個月。</p> <p><a href="https://www.ithome.com.tw/news/163424"><strong style="font-size: 22px;">整合開發環境IntelliJ存在重大漏洞，恐曝露GitHub存取憑證</strong></a></p> <p>6月11日軟體開發業者JetBrains發布資安公告，指出他們在5月29日接獲通報，存在整合開發環境（IDE）IntelliJ平臺的漏洞CVE-2024-37051，有可能會影響拉取請求而被用於攻擊行動，CVSS風險評為9.3分。</p> <p>該公司指出，這項弱點影響IntelliJ平臺所有2023.1以上版本的IDE，只要開發者同時啟用他們提供的GitHub外掛程式，就有可能曝險。他們提供新版IDE及外掛程式修補漏洞，並呼籲開發者若曾透過這套IDE拉取GitHub專案，應註銷外掛程式所用的Token。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.securityweek.com/sap-patches-high-severity-vulnerabilities-in-financial-consolidation-netweaver/"><strong style="font-size: 20px;">SAP修補Financial Consolidation、NetWeaver高風險漏洞</strong></a></p> <p><a href="https://www.securityweek.com/sap-patches-high-severity-vulnerabilities-in-financial-consolidation-netweaver/"><strong style="font-size: 20px;"></strong></a></p> <p></p> <p>◆<a href="https://www.securityweek.com/critical-pytorch-vulnerability-can-lead-to-sensitive-ai-data-theft/"><strong style="font-size: 20px;">開源機器學習程式庫PyTorch存在重大漏洞，恐導致敏感的AI資料遭竊</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163423"><strong style="font-size: 22px;">AWS雲端安全會議強調資安文化，揭露多項幕後資安利器</strong></a></p> <p>「追根究底，資安文化是一切的根源。」AWS資安長Chris Betz在6月11日於美國費城舉辦的雲端安全會議re:Inforce 2024中強調資安文化的重要性。他指出，高階主管對資安的重視程度是建立文化的重要關鍵，AWS執行長與資安主管固定每週五與各部門總經理、產品經理與開發人員面對面討論資安問題，由執行長固定撥出時間討論資安，足以傳達高階主管對資安的重視程度。</p> <p>而為了讓資安落實能擴及全組織，AWS也透過資安守護者計畫，將資安團隊的資安專家派駐在各個部門，一起參與軟體開發流程，從Spring衝刺規畫會議、站立會議到資安審核，提供資安觀點的建議，既協助開發安全的軟體，也將資安最佳作法傳播到全公司上下。</p> <p>同時，AWS也推動員工自主決策的文化，任何同仁發現資安問題時，都有權力自主判斷將資安問題立即升級至必要的等級。Chris Betz指出，在他過往任職的經驗中，資安問題等級的提升往往代表負面意涵，然而在AWS的資安文化中，反而是要獎勵能及早意識到問題嚴重性，從而讓組織可以更快速採取行動的同仁。</p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163137"><strong style="font-size: 22px;">社群發展要有意識進行傳承，更應提供舞臺並讓參與者有收穫</strong></a></p> <p>資安社群在臺灣資安產業的發展過程中，扮演重要的關鍵角色。臺灣駭客協會理事長、也是資安公司戴夫寇爾執行長翁浩正表示，早期資安社群的領導者，因為對資安有高度熱情並具備理想性，透過分享知識與組織活動為目標，成功凝聚志同道合的人。</p> <p>由於資安社群擁有獨特的文化，例如各種次文化和迷因梗圖，翁浩正認為，這些文化元素為社群的參與者，提供歸屬感和向心力。此外，定期舉辦的活動也吸引了許多外界的人參與和投入。為了保持社群的發展和存續，翁浩正也意識到，社群的領導者必須開始進行有意識的傳承和管理，提供機會給新成員參與組織和活動，鼓勵他們發揮創造力和領導能力，這都有助於社群的持續發展。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163398"><strong>【6月11日】紐約時報證實內部資料流入地下論壇，程式碼儲存庫帳密資料外流釀禍</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163361"><strong>【6月7日】勒索軟體駭客RansomHub聲稱入侵老牌筆電製造廠藍天電腦，引起國際資安媒體高度關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163344"><strong>【6月6日】病理學暨診斷服務供應商Synnovis遭到勒索軟體攻擊導致倫敦醫院服務中斷，傳出是駭客組織Qilin所為</strong></a></p> </div></div></div>
2024/6/12 18:01作者周峻佑https://www.ithome.com.tw/news/163429
蘋果揭露Apple Intelligence所使用的裝置與伺服器模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果藉由於旗下macOS Sequoia、iOS 18與iPadOS 18<a href="https://www.ithome.com.tw/news/163387" target="_blank">作業系統中整合Apple Intelligence</a>，加入了全球的人工智慧（AI）陣營，Apple Intelligence是由許多高效能生成式模型所組織，<a href="https://machinelearning.apple.com/research/introducing-apple-foundation-models" target="_blank">本周蘋果揭露了其中的兩個</a>，一個是裝置上的小型語言模型，另一個是伺服器上的較大型語言模型。</p> <p>其中，在裝置運作的語言模型不到30億個參數，另一個較大的語言模型則是透過Private Cloud Compute於基於蘋果晶片的伺服器上執行。蘋果利用取得授權的資料，以及透過AppleBot搜集的公開資料來訓練基礎模型，某些授權資料可用來強化特定功能，此外，蘋果亦強調不使用個人資料進行訓練，也會過濾低品質的內容。</p> <p>裝置與伺服器上的模型皆使用分組查詢注意（grouped-query-attention）機制，以優化注意力機制並提高模型效率，並有共享的輸入與輸出詞彙嵌入表，以降低記憶體需求及推論成本。裝置端模型的Token數量為49K，伺服器端模型的Token數量則是100K。</p> <p>蘋果藉由low-bit palletization與Low-Rank Adaptation（LoRA）微調技術，來減少裝置模型在推論時所需的資源，同時維持其準確性，也透過Talaria工具、激化量化、嵌入量化，以及關鍵值快取更新等方法來提升模型運作效率，因此，在 iPhone 15 Pro上，模型收到提示後生成第一個Token的時間只要0.6毫秒，平均每秒可生成30個Token。</p> <p>在預訓練的模型上，蘋果利用微調層來迎合使用者的日常活動，將小型神經模組（微調器）插入模型中，以改善模型對特定任務的執行能力。蘋果比較了自家裝置模型+微調器、與微軟Phi-3-mini在摘錄上的能力，發現不管是在電子郵件或是通知的摘錄上，人類對蘋果模型的摘錄結果都更為滿意。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0612-Apple%20Foundation%20Models-600-1.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0612-Apple%20Foundation%20Models-600-1(1).png" style="width: 600px;" /></a></p> <p>另外蘋果也比較這兩個模型與開源的Phi-3、Gemma、Mistral、DBRX及商用的GPT-3.5-Turbo及GPT-4-Turbo，顯示不管是在裝置模型或伺服器模型上，蘋果多半更受到人類評估人員的青睞，只有伺服器模型明顯落後GPT-4-Turbo。且不管是在輸出危害、安全提示、指令追蹤能力或是寫作能力上，兩個蘋果模型也都有不亞於其它競爭對手的表現。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0612-Apple%20Foundation%20Models-600-2.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0612-Apple%20Foundation%20Models-600-2.png" style="width: 600px;" /></a></p> <p>除了這兩個分別位於裝置及伺服器上的基礎模型之外，之後蘋果亦會陸續揭露該公司所使用的其它生成式模型，包括語言、擴散與程式碼模型等。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2024/6/12 17:00作者陳曉莉https://www.ithome.com.tw/news/163419
整合開發環境IntelliJ存在重大漏洞，恐曝露GitHub存取憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月11日軟體開發業者JetBrains發布資安公告，指出他們在5月29日接獲通報，<a href="https://blog.jetbrains.com/security/2024/06/updates-for-security-issue-affecting-intellij-based-ides-2023-1-and-github-plugin/">存在整合開發環境（IDE）IntelliJ平臺的漏洞CVE-2024-37051</a>，有可能會影響拉取請求而被用於攻擊行動，CVSS風險評為9.3分。</p> <p>當開發者使用基於這套IDE平臺時，攻擊者會藉由惡意內容，引誘拉取特定GitHub專案，從而讓開發者的存取Token外流至第三方主機。</p> <p>該公司指出，這項弱點影響IntelliJ平臺所有2023.1以上版本的IDE，只要開發者同時啟用他們提供的GitHub外掛程式，就有可能曝險。他們提供新版IDE及外掛程式修補漏洞，並呼籲開發者若曾透過這套IDE拉取GitHub專案，應註銷外掛程式所用的Token。</p> </div></div></div>
2024/6/12 17:35作者周峻佑https://www.ithome.com.tw/news/163424
Adobe修補內容管理平臺Experience Manager、電商網站平臺Magento漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二（6月11日）Adobe針對旗下10款產品發布更新，總共修補166個漏洞，其中，<a href="https://helpx.adobe.com/security/products/experience-manager/apsb24-28.html">大部分與內容管理平臺Experience Manager（AEM）有關</a>，而這次他們對電商網站平臺Adobe Commerce及Magento Open Source發布的資安公告，重大層級漏洞的數量最多，也相當值得留意。</p> <p>該公司本次針對AEM公布144個漏洞，影響AEM Cloud Service，以及自行管理的6.5.20以前版本，大部分漏洞為跨網站指令碼（XSS）漏洞，而有可能被用來執行任意程式碼。其中，最為嚴重的是安全功能繞過漏洞CVE-2024-26029，這項漏洞發生的原因為不適當的存取控制，CVSS風險評為7.5，被Adobe列為重大層級。</p> <p>這次Adobe公布最多重大層級漏洞的應用系統，<a href="https://helpx.adobe.com/security/products/magento/apsb24-40.html">是電商網站平臺Adobe Commerce及Magento Open Source</a>，他們總共修補了10個漏洞，其中有7個為重大層級。這些漏洞影響2.4.7版以下的Adobe Commerce、Magento Open Source，以及1.2.0至1.4.0版的Adobe Commerce Webhooks外掛程式。</p> <p>在這些重大層級的電商網站平臺漏洞當中，主要與伺服器偽造請求（SSRF）、XML外部實體參照的限制不當、身分驗證不當、輸入驗證不當，以及未限制危險類型的檔案上傳，而有可能被用於執行任意程式碼、提升權限，或是繞過安全防護功能，CVSS風險評分介於8.5至8.0。</p> <p>除了上述兩種網站系統的漏洞，Adobe也針對旗下的XML文件處理軟體FrameMaker，<a href="https://helpx.adobe.com/security/products/framemaker-publishing-server/apsb24-38.html">揭露與修補兩個漏洞</a>，分別是：CVE-2024-30299、CVE-2024-30300，皆屬於伺服器權限提升類型的弱點，這兩個漏洞CVSS風險評為10分、9.8分，是本次最為危險的漏洞。</p> </div></div></div>
2024/6/12 16:54作者周峻佑https://www.ithome.com.tw/news/163422
AWS雲端安全會議強調資安文化，揭露多項幕後資安利器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「追根究底，資安文化是一切的根源。」AWS資安長Chris Betz在今（11）日於美國費城舉辦的雲端安全會議re:Inforce 2024中強調資安文化的重要性。</p> <p>「正是文化，促使組織改變習慣，優先從資安的角度考量；正是文化，驅使我們以資安為本設計系統（Security by Design）；也因為文化的關係，我們將資安賦權於個人，讓整個組織都落實資安，同時也保持敏捷，從而讓業務運作不因資安而妥協。」不過，Chris也指出：「資安文化並非一蹴可幾，如果沒有持續強化與投資，建立起來的文化也會逐漸流失。」</p> <p>Chris Betz在擔任AWS資安長之前是美國金融機構Capital One資安長，在企業端身為多年客戶的他雖然理解AWS資安，但擔任資安長後對於AWS整體資安文化才有更深入的體會。他指出，高階主管對資安的重視程度是建立文化的重要關鍵，AWS執行長與資安主管固定每週五與各部門總經理、產品經理與開發人員面對面討論資安問題，由執行長固定撥出時間討論資安，足以傳達高階主管對資安的重視程度。</p> <p>「在這個會議中會深入討論資安的挑戰，據以制定產品發展藍圖，要求作出改變，並帶來真正的業務影響。」Chris表示：「這同時也是一次徹底的檢查，對資安文化產生深遠的影響。」</p> <p>AWS高階主管親自與各部門討論資安，也強化人人都必須承擔資安責任的重要性。Chris指出，每個團隊對自己負責的產品服務是最了解的，若再有資安當責意識，就能夠在產品設計的早期主動採取正確決策，不淪為被動補漏洞。而為了讓資安落實能擴及全組織，AWS也透過資安守護者計畫，將資安團隊的資安專家派駐在各個部門，一起參與軟體開發流程，從Spring衝刺規畫會議、站立會議到資安審核，提供資安觀點的建議，既協助開發安全的軟體，也將資安最佳作法傳播到全公司上下。</p> <p>同時，AWS也推動員工自主決策的文化，任何同仁發現資安問題時，都有權力自主判斷將資安問題立即升級至必要的等級。Chris指出，在他過往任職的經驗中，資安問題等級的提升往往代表負面意涵，然而在AWS的資安文化中，反而是要獎勵能及早意識到問題嚴重性，從而讓組織可以更快速採取行動的同仁。</p> <p>此外，Chris也揭露AWS為了打造安全的雲端平臺，在這幾年來從硬體自主設計、安全程式語言的選擇、自動化測試驗證、威脅偵測阻擋與合規等方面所做的改變。</p> <p>在硬體自主設計方面，AWS擁有自主設計的Graviton與Nitro晶片，去年推出的最新Graviton 4晶片，首度增加傳輸介面加密功能，包括DRAM記憶體、PCIe匯流排到Nitro加速卡，以及多處理器架構中Graviton之間傳輸介面的通訊加密，有助於防範硬體層面的攻擊。而Nitro除了藉由執行環境的隔離，確保用戶的資料無法被其他人，包括平臺營運者AWS所取得，亦新增端對端加密功能，提供用戶將需要加密保護的敏感人工智慧模型資料載入隔離保護的環境。</p> <p>在安全程式語言方面，Chris指出，Amazon與AWS近年來都大力擁抱記憶體安全程式語言Rust，在去年，Amazon營運中的應用程式已有高達98%都採用Rust開發，而AWS也在去年將內部以Rust開發的AWS Web Crypto函式庫開源釋出，提供支援FIPS加密標準與後量子密碼（PQC）加密功能。</p> <p>在測試與驗證方面，Chris也提及AWS鮮少討論的自動推理（Automated Reasoning），他指出，自動推理是利用數學方法，證明系統設計或實作是否遵守規格，以及證明系統是否依照預期的方式運作，而透過這個作法可以達到大規模的驗證。例如，AWS IAM身分存取管理平臺每秒要處理超過10億個API存取，而透過自動推理所開發的驗證工具—AWS去年開源的Cedar，才有辦法確保如此大規模存取行為的正確性。此外，自動推理也運用在驗證IPv6存取控制清單，每日可處理8萬次的存取控制清單的驗證，確保其網路架構的安全性。而在法遵方面，Chris也指出，目前AWS已通過143個資安標準與認證。</p> <p>此外，自AWS去年公開MedPot全球蜜罐網路之後，Chris也首度揭露用於偵測惡意攻擊行為的Sonaris系統，他表示，Sonaris會分析AWS基礎架構的網路流量與日誌服務，以偵測惡意攻擊行為，同時會結合資安情資自動發出警報、提供威脅緩解建議或是自動觸發緊急應變措施，例如若IAM用戶的權限設定存在風險，Sonaris檢測到就會通報防詐欺團隊以進一步處理，目前包括AWS Shield、VPC、Amazon S3與WAF都會受到Sonaris系統的保護。</p> <p>Chris指出，在過去12個月中，Sonaris已經阻止超過240億次針對S3 Bucket的惡意存取行為，也阻擋了超過2.6兆次試圖掃描EC2主機漏洞的攻擊。</p> <p>在re:Inforce 2024首日主題演講中，Chris也發表多項AWS雲端安全新服務，包括Amazon GuardDuty Malware Protection惡意程式防護首度支援Amazon S3，可掃描檢測S3儲存物件是否潛在病毒、惡意程式，並移至隔離區阻絕；Amazon IAM身分存取管理平臺繼提供多因素認證之後，更進一步支援Fido標準的Passkey無密碼登入作為第二個身分驗證方式，用戶可以透過裝置的身分驗證機制，如Windows Hello臉部辨識或Apple Touch ID等，以達到更便利同時確保安全的無密碼登入。此外，Amazon IAM Analyzer也利用自動推理技術，發掘久未使用的帳戶，提供管理者建議縮減帳戶權限，同時，亦可在部署前分析檢測具有存取關鍵資源或對外存取權限的帳戶，以降低風險。</p> <p>Amazon CloudTrail Lake稽核資料湖，亦首度整合生成式AI技術，提供自然語言查詢介面，讓管理者不需撰寫複雜的SQL查詢語法。而AWS Private CA也支援SCEP通訊協定發布憑證。</p> </div></div></div>
2024/6/12 17:14作者吳其勳https://www.ithome.com.tw/news/163423
微軟發布6月例行更新，修補已被公布細節的DNSSEC零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於6月11日發布本月例行更新（Patch Tuesday），<a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Jun">總共修補49個漏洞</a>，其中有一個零時差漏洞，而引起關注。</p> <p>此為網域名稱系統安全擴充程式（DNSSEC）的設計缺陷漏洞CVE-2023-50868，存在於DNSSEC驗證機制當中，假如DNS解析器使用NSEC3回應請求，攻擊者可藉由要求來自DNSSEC簽章區域的回應，就有機會讓實作DNSSEC驗證機制的解析器耗盡處理器的運算資源，CVSS風險評為7.5分，微軟為Windows Server 2012至2022版，發布相關的修補程式。</p> <p>這個漏洞有幾個特別的地方，首先，這項漏洞CVE編號並非微軟自行登記，而是由資安團體MITRE所為，而且，登記的時間在今年2月13日，距微軟發布修補程式間隔達4個月。通報漏洞的資安研究團隊German National Research Center for Applied Cybersecurity ATHENE於今年3月，發布相關學術論文說明細節。但<a href="https://www.rapid7.com/blog/post/2024/06/11/patch-tuesday-june-2024/">資安業者Rapid7指出</a>，這些研究人員在公布的論文當中，可能淡化了該漏洞的威力，而讓相關機構並未重視如何因應這項漏洞。</p> <p>值得留意的是，該研究團隊也在今年1月公布另一個<a href="https://www.ithome.com.tw/news/161286">名為KeyTrap的DNSSEC漏洞</a>，而受到各界的高度關注，該漏洞被登記為CVE-2023-50387。雖然微軟將這兩項DNSSEC漏洞都歸類為高風險層級，Rapid7的研究人員推測，很有可能微軟認為CVE-2023-50387較為嚴重，因此延後對CVE-2023-50868的處理。</p> <p>除了前述的DNSSEC漏洞，Rapid7、<a href="https://www.zerodayinitiative.com/blog/2024/6/11/the-june-2024-security-update-review">漏洞懸賞專案Zero Day Initiative（ZDI）</a>皆指出，列為重大漏洞的CVE-2024-30080也需留意，這是Microsoft Message Queuing（MSMQ）的遠端程式碼執行（RCE）漏洞，攻擊者可在未經身分驗證的情況下，在啟用MSMQ功能的電腦上提升權限，從而執行任意程式碼，CVSS風險評分達到9.8。</p> <p>Rapid7指出，雖然微軟並未透露進一步細節，但這項漏洞利用的複雜程度並不高，不需要取得權限，而且有許多應用程式（如Exchange）將其列為必要元件，後續情況有待觀察。ZDI則指出，透過這項漏洞可發展出網路蠕蟲程式，而有可能橫向感染其他MSMQ伺服器。</p> </div></div></div>
2024/6/12 16:01作者周峻佑https://www.ithome.com.tw/news/163421
勒索軟體駭客TellYouThePass鎖定近期公布的PHP重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週臺灣資安業者戴夫寇爾針對<a href="https://www.ithome.com.tw/news/163356">他們向PHP通報的重大層級漏洞CVE-2024-4577</a>提出警告，呼籲網站管理者儘速套用新版PHP程式，或是採取緩解措施，由於全球有近八成網站採用PHP，這項漏洞很快就有駭客將其用於攻擊行動。</p> <p>在PHP於6日發布新版軟體修補上述漏洞，隔日Shadowserver基金會就發現<a href="https://x.com/Shadowserver/status/1799053497490698548">密罐陷阱出現漏洞嘗試利用的情況</a>。接著在6月8日，資安業者Imperva發現<a href="https://www.imperva.com/blog/update-cve-2024-4577-quickly-weaponized-to-distribute-tellyouthepass-ransomware/">勒索軟體駭客組織TellYouThePass利用這項漏洞從事攻擊</a>，他們看到對方成功觸發漏洞後，於受害伺服器上執行PHP程式碼，利用名為system的功能進行寄生攻擊，透過執行檔mshta.exe執行攻擊者網頁伺服器上的HTML應用程式檔案。</p> <p>駭客初期於受害主機植入含有惡意VBScript指令碼的HTML應用程式檔案dd3.hta，該指令碼包含一個經過Base64編碼處理後的長字串，解碼後會產生執行檔，並在記憶體內載入、執行，而這個執行檔就是以.NET打造的勒索軟體TellYouThePass程式。</p> <p>一旦此勒索軟體啟動，便會向C2伺服器發送HTTP請求，傳送受害主機的系統資訊，為了迴避偵測，駭客將其偽裝成搜尋CSS樣式表資源的請求。</p> <p>最終該勒索軟體會列出所有資料夾、終止特定的處理程序、產生加密金鑰並加密檔案，並在網站根目錄留下勒索訊息READ_ME10.html。</p> <p>有受害者在資安新聞網站Bleeping Computer的論壇指出，<a href="https://www.bleepingcomputer.com/forums/t/798060/tellyouthepass-ransomware-locked;-read-me9html-support-topic/">對方向他勒索0.1個比特幣</a>，相當於6,742美元（新臺幣218,129元）。</p> <p>值得留意的是，仍有許多網站尚未修補這項漏洞而可能曝險。資安業者Censys指出，他們發現<a href="https://censys.com/cve-2024-4577/">約有458,800個存在漏洞的PHP實體</a>；資安業者Wiz表示，<a href="https://www.wiz.io/blog/critical-rce-php-cgi-vulnerability">約有34%雲端環境存在含有漏洞的PHP系統</a>。</p> </div></div></div>
2024/6/12 12:19作者周峻佑https://www.ithome.com.tw/news/163417
Apple Vision Pro本月要鋪貨到其它市場了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>於今年2月2日正式於美國上市的蘋果空間運算設備Apple Vision Pro，<a href="https://www.apple.com/newsroom/2024/06/apple-vision-pro-arrives-in-new-countries-and-regions-beginning-june-28/" target="_blank">即將於本月開始</a>鋪貨至中國、香港、日本與新加坡，下個月開始鋪貨至澳洲、加拿大、法國、德國與英國，前者將在6月13日開放預訂，6月28日上架，後者則會在6月28日開放預訂，7月12日上架。<a href="https://www.apple.com/newsroom/2024/06/visionos-2-brings-new-spatial-computing-experiences-to-apple-vision-pro/" target="_blank">蘋果同時宣布</a>，將在今年秋天釋出可免費升級的visionOS 2。</p> <p>Apple Vision Pro是蘋果的首款混合實境（MR）產品，售價高達3,499美元，儘管測試人員對它的能力<a href="https://www.ithome.com.tw/news/157260" target="_blank">感到驚豔</a>，卻遭Meta創辦人暨執行長祖克柏（Mark Zuckerberg）批評它只是個配備了更高解析度的顯示器，利用所有現有技術來推動，卻並沒有太多突破性的產品。且在產品正式問世後，用戶也批評它的舒適度，也有人說它的最佳用途是瀏覽照片及看電影，並不值這個價格。蘋果分析師<a href="https://www.ithome.com.tw/news/162500" target="_blank">郭明錤亦曾說</a>蘋果已將Apple Vision Pro今年的出貨量下調至40~50萬臺。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0611-Apple%20Vision%20Pro-600.png" style="width: 600px;" /></p> <p>迄今蘋果未曾公布Apple Vision Pro的出貨量，但說App Store現在已擁有超過2,000款專為該裝置所設計的程式，並有逾150萬款與之相容的iOS和iPadOS程式，還有更多的Mac應用程式可藉由Mac Virtual Display功能於Apple Vision Pro上使用。</p> <p>此外，蘋果亦於本周開始預覽Apple Vision Pro作業系統visionOS 2，新版本將讓使用者可直接利用自己的2D照片來轉換成空間照片，並提供新的手勢功能以快速存取Home View與控制中心，新增對滑鼠及實體Magic Keyboard鍵盤的支援，也能保留訪客的眼睛與手部資料30天。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0611-WWDC-Apple-visionOS.png" style="width: 600px;" /></p> <p>除了一般使用者的應用程式之外，企業開發人員也打造了各種visionOS程式，從培訓、模擬、專案設計到管理等。蘋果表示，visionOS 2中的條碼掃描或物件追蹤等新工具，將讓這些開發人員得以將程式能力擴展到醫療照護、製造、航太、汽車與其它領域。</p> <p>visionOS 2正式版預計於今年秋天釋出，屆時將供所有用戶免費更新。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2024/6/12 15:00作者陳曉莉https://www.ithome.com.tw/news/163390
馬斯克撤回對OpenAI的訴訟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，曾共同創辦OpenAI的馬斯克（Elon Musk）已於本周二（6/11）撤回對OpenAI，以及OpenAI共同創辦人暨執行長Sam Altman<a href="https://www.ithome.com.tw/news/161593" target="_blank">的訴訟</a>。</p> <p>當時馬斯克指控OpenAI與Altman違反創立時要開源及造福全人類的承諾，轉向積極獲利的道路。</p> <p>根據<a href="https://www.cnbc.com/2024/06/11/elon-musk-drops-suit-against-openai-and-sam-altman.html" target="_blank">CNBC</a>的報導，專家認為此案建立在一個有問題的基礎上，因為該案的核心並無正式的書面協議。此外，法官原本要在今日（6/12）舉行聽證會，且據稱已打算駁回此案。</p> <p>總之，這或許是馬斯克企圖行銷自己或自家AI公司xAI的手法，然而，OpenAI先前即曾公開<a href="https://openai.com/index/openai-elon-musk/" target="_blank">馬斯克的信件</a>，當時馬斯克自己也說OpenAI需要更龐大的資金才能與DeepMind競爭，也同意有時不分享科學是正確的選擇，還希望OpenAI能與特斯拉合併。此外，馬斯克也未能履行自己對OpenAI投入資金的承諾。</p> <p>從OpenAI的聲明來看，當初該公司與馬斯克之間所達到的最大共識，就是建置通用人工智慧的所需要的資源，遠比大家想像的要多上許多。</p> </div></div></div>
2024/6/12 12:19作者陳曉莉https://www.ithome.com.tw/news/163418
輝達超高密度GPU整櫃型AI伺服器系統亮相，9家廠商在Computex展出GB200 NVL72
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>搶攻爆量雲端AI應用需求商機，Nvidia持續推出打破市場慣用規格的解決方案！當其他廠商開始重視GPU、積極推出GPU伺服器時，他們早已開始打造DGX這類整合應用伺服器設備，而在自家GPU、GPU應用設備不斷推陳出新之際，Nvidia也發展出整櫃型解決方案DGX BasePOD、DGX SuperPOD，以及與四大公有雲服務業者合作推出DGX Cloud。</p> <p>這兩年以來，Nvidia發表結合自家GPU與自研Arm架構CPU的超級晶片GH200，以創新的方式克服GPU記憶體容量供不應求的困境，開創AI加速伺服器的新局。例如，在2023年5月底舉行的台北國際電腦展（Computex）期間，Nvidia與多家伺服器廠商合作推出搭配GH200的產品，並且基於這款融合式加速晶片發表新型態的多機櫃AI超級電腦系統DGX GH200，到了2023年底，他們也與公有雲服務龍頭AWS共同宣布，將引進Nvidia發展的新型多節點整合機櫃系統GH200 NVL32。</p> <p>而在今年6月初登場的2024台北國際電腦展，多達10家廠商展出Nvidia最新發表的AI整櫃伺服器系統GB200 NVL72，堪稱2024年上半全球最大規模的AI硬體軍火展示。</p> <p>以Computex活動現場而言，展出Nvidia這套系統的廠商有哪些？絕大部分都集中在南港展覽館1館，例如，1樓有技嘉科技（Gigabyte），3樓有緯創集團（Wistron）與緯穎科技（Wiwynn）、廣達集團的雲達科技（QCT），4樓有美超微（Supermicro）、華碩（Asus）、英業達（Inventec）、華擎科技的子公司永擎電子（ASRock Rack）、富士康科技集團的鴻佰科技（Ingrasys）；和碩聯合科技（Pegatron）則是在臺北市北投區的公司總部，展出Nvidia GB200 NVL72。</p> <p>之所以能在今年Computex期間，促成如此盛大的產品展示，最主要的原因可能在於，臺灣本身就是全球伺服器研發、設計與生產的重鎮，而在這些廠商與Nvidia近期密切合作之下，得以在產地就近展示最新研發製造的Nvidia專屬超級電腦伺服器系統。</p> <h3><span style="color:#0000FF;"><strong>Nvidia發表資料中心GPU架構Blackwell，導入此架構的超級晶片先出場，帶出新一代整櫃型AI加速伺服器系統產品上陣</strong></span></h3> <p>在今年3月舉行的GTC大會，Nvidia發表新一代GPU架構Blackwell，也特別標榜結合基於此架構而成的GPU晶片B200與Grace CPU的GB200 Grace Blackwell Superchip，以及大量採用這顆超級晶片的多節點整櫃系統GB200 NVL72，當時他們預告AWS、Google Cloud、Azure、Oracle Cloud Infrastructure這四大公有雲業者，將是第一批提供搭配Blackwell技術運算執行個體服務的廠商，除了微軟，其他三大公有雲均提到將導入GB200 NVL72系統。</p> <p>而在6月初登場的台北國際電腦展前夕，Nvidia共同創辦人暨執行長黃仁勳率先發表主題演講，當中透過一段動畫影片秀出GB200 NVL72的系統結構。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/t_jiScDhf3M?si=ImbX6CU_flHcQW6S" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>以單臺節點而言，依照由小而大的組成順序來看，分別是：將兩顆裸晶統合為單顆GPU的Blackwell，集結兩顆Blackwell與單顆Grace處理器的GB200 Grace Blackwell Superchip，搭配2張GB200超級晶片、ConnectX-800G InfiniBand SuperNIC網路卡、BlueField-3資料處理器的GB200 Compute Node（單臺節點有4顆Blackwell與2顆Grace）。</p> <p>就單臺機櫃而言，GB200 NVL72包含18臺GB200運算節點組成的GB200 Compute Tray（採用36張GB200 Grace Blackwell Superchip，提供72顆Blackwell與36顆Grace），9臺各自搭配兩顆NVLink Switch晶片組成的交換器組成的NVLink Switch System。</p> <p>若需建置多櫃型系統，搭配多臺GB200 NVL72之餘，可結合以多臺Quantum-X800 800G InfiniBand Switch交換器組成的機櫃進行串聯，組成GB200 NVL72 Compute Rack，再以多臺這樣的運算機櫃系統，建置一座完整的資料中心，提供3.2萬顆Blackwell GPU，成為促成產業新革命的AI工廠。</p> <h3><span style="color:#0000FF;"><strong>部分廠商公布GB200 NVL72系統組成機型與技術規格</strong></span></h3> <p>在2024台北國際電腦展期間公開亮相的GB200 NVL72當中，外型大同小異，多數廠商現場展出的是單櫃機型，例如，緯穎、永擎、技嘉、美超微、英業達，大多搭配1U尺寸的運算節點伺服器，其中，技嘉、英業達、和碩均展出搭配2U尺寸的運算節點伺服器，廠商們將這樣的配置稱為GB200 NVL36。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Wiwynn-GB200 NVL72-1-FB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Wiwynn-GB200%20NVL72-1-FB.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Web-2024-06-07-ASRock Rack GB200 NVL72-P1430159-攝影-李宗翰.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-2024-06-07-ASRock%20Rack%20GB200%20NVL72-P1430159-%E6%94%9D%E5%BD%B1-%E6%9D%8E%E5%AE%97%E7%BF%B0.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Web-Gigabyte GB200 NVL72-447796672_1002632334567391_6779329666239324629_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-Gigabyte%20GB200%20NVL72-447796672_1002632334567391_6779329666239324629_n.jpg" style="width: 198px;" /></a></p> <p>以英業達為例，他們展示整櫃式的GB200 NVL72之餘，旁邊擺設代號為Artemis的1U伺服器與2U伺服器，當中均配備2張GB200 Grace Blackwell Superchip、ConnectX-7 400Gb/s InfiniBand網路卡，以及BlueField-3 400Gb/s資料處理器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Web-Inventec GB200 NVL72-Computex-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-Inventec%20GB200%20NVL72-Computex-2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Web-Inventec GB200 NVL72-P1430225.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-Inventec%20GB200%20NVL72-P1430225.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Web-Inventec GB200 NVL72-P1430233.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-Inventec%20GB200%20NVL72-P1430233.jpg" style="width: 148px;" /></a></p> <p>其他廠商提供延伸搭配方式，像是雲達、華碩、鴻佰展出的產品，是一座伺服器機櫃搭配一座稱為側車（Side Car）的冷卻機櫃（編按：所謂的側車是一種液態冷卻機櫃搭配伺服器機櫃的部署形式，應該是借用兩輪機車側邊加裝附有單輪乘坐設備的比喻）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-%E9%B4%BB%E4%BD%B0GB200%20NVL72-DSC00646_1717477976.jpg" style="width: 600px;" /></p> <p>以雲達為例，他們與<a href="https://www.liteon.com/zh-tw/news/press-center/content/qct-nvidia-gb200-nvl72-powersolution">光寶科技（LiteOn）</a>展示搭載Nvidia GB200 NVL72的AI伺服器機櫃，在伺服器方面，雲達揭露當中搭配的伺服器有兩款機型，它們均配備雲達的直達晶片水冷技術（direct-to-chip liquid cooling）。</p> <p>其中一款伺服器，是2U機型QuantaGrid D75B-2U，在Nvidia GB200 NVL72的系統建置框架之下，可透過兩座機櫃容納72臺這樣的設備。另一款是現場展示的1U機型QuantaGrid D75B-1U，在Nvidia GB200 NVL72的系統建置框架之下，可透過單座機櫃容納72臺這樣的設備。D75B-1U本身搭載2張GB200 Grace Blackwell Superchip，雲達在此標明CPU可存取480 GB容量的LPDDR5X記憶體，GPU本身配備144GB容量HBM3e高頻寬記憶體，均搭配冷水板（Cold Plate）形式的液態冷卻配件；儲存裝置方面，這臺1U伺服器可容納8臺E1.S厚度15公釐外形的PCIe固態硬碟，以及1張M.2 2280外形的PCIe固態硬碟；在PCIe裝置擴充方面，D75B-1U可容納2張雙寬全高全長尺寸的介面卡，以及2張半高半長尺寸的介面卡，均支援PCIe 5.0 x16。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Web2-2024-06-06-QCT%20GB200%20NVL72-P1420902.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Web-QCT D75B-1U-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-QCT%20D75B-1U-1.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Web-QCT D75B-1U-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-QCT%20D75B-1U-2.jpg" style="width: 98px;" /></a></p> <p>至於機櫃與電源供應的部分，是由<a href="https://www.liteon.com/zh-tw/news/press-center/content/qct-nvidia-gb200-nvl72-powersolution">光寶自主設計與製造</a>，並且是遵循Nvidia最新提出的MGX機櫃規範的產品，而在Computex現場展示的Nvidia GB200 NVL72機櫃頂端，也特別標示<a href="https://www.youtube.com/watch?v=xAGIFITTzgU&ab_channel=QCT">QoolRack</a>作為獨立解決方案時，可供應120 KW電力。</p> <p>華碩則展出配備Nvidia GB200 NVL72系統的<a href="https://www.asus.com/event/nvidiagb200nvl72/">Asus ESC AI POD</a>，以及矗立在旁的液體至氣體熱交換器機櫃（Liquid-to-Air Heat Exchanger），其中，Asus ESC AI POD搭配的伺服器機型為ESC NM2N721-E1，特別的是，他們在這個展示用的機櫃套件側邊掛上一整面LED看板，持續播放動畫影片介紹Asus ESC AI POD的內部構造、電力供應配置與流經的元件，以及18臺運算槽的統合，Grace CPU、Blackwell GPU與NVLink Switch的互連關係。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-Asus%20GB200%20NVL72-P1430112.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Web Asus GB200 NVL72-P1430144.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web%20Asus%20GB200%20NVL72-P1430144.jpg" style="width: 298px;" /></a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/YF2FNYop8ZM?si=h-SIn_tdj8Z2Fo63" title="YouTube video player" width="560px"></iframe></div> <p>針對Nvidia GB200 NVL72系統的運算槽，華碩也在Computex現場展示機箱內部設計。我們可看到裡面配備2張GB200 Grace Blackwell Superchip，上面均覆蓋冷水板，而在機箱中間有個他們設計的電源配送板（Power Distribution Board，PDB），可將48伏特直流電轉換為12伏特直流電，供應Blackwell GPU使用；除此之外，這個運算槽還搭配可安裝E1.S外形固態硬碟的儲存模組，以及兩張BlueField-3資料處理器系列的雙寬全高半長款式B3240。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Asus%20ESC%20AI%20POD-Compute%20Tray%20francesco%20sinopoli%20Linkedin.jpg" style="width: 600px;" /></p> </div></div></div>
2024/6/12 12:31作者李宗翰https://www.ithome.com.tw/news/163407
【臺灣資安大會直擊】國內加密貨幣交易所XREX打造威脅引擎，快一步揪出詐騙、洗錢帳戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在加密貨幣交易所中，用戶隨時都能進行交易，這樣的特性雖然帶來便利，卻也被詐騙組織用來快速轉移非法資金。除了設置基礎安全機制增加防禦，交易所主要透過KYC和鏈上分析工具，來確認用戶真實性和分析資金流向，抵禦詐欺洗錢犯罪。但是，隨著詐騙和洗錢手法不斷升級，既有工具的功能有限，難以因應趨勢變化，成為交易所偵測詐騙和洗錢行為的一大挑戰。</p> <h3>開發威脅引擎，快速辨識可疑帳戶</h3> <p>在臺灣資安大會上，國內加密貨幣交易所XREX分享自家的風控機制。他們開發了一套威脅引擎，整合了用戶交易前、交易中、和交易後的資訊，並提供風險評估，協助內部團隊更快速針對犯罪行為做出應變。</p> <p>這款威脅引擎包含多個模組，能分析KYC、交易行為等資訊，並進行交易監控與性質分析等。引擎在每個階段蒐集的資訊都會分為多個屬性，並針對各別屬性進行風險評估。XREX首席資安工程師詹天豪解釋，當模型偵測到異常活動或明顯犯罪態樣，威脅引擎就會啟動分析，並採取必要控管機制。例如，用戶的IP位址在短時間內出現在不同地區，又或是用戶在交易時，其資金與高風險錢包有互動。</p> <p>最後，威脅引擎會針對多個屬性進行評估，依風險高低將帳戶分為低風險、中風險和高風險三種類型，並產出每日報表，供內部團隊快速辨識可疑帳戶。</p> <h3>情資蒐集：分析現有的詐騙、洗錢模式</h3> <p>除了打造威脅引擎加快預警步調，XREX內部也有金融犯罪調查團隊，負責情資蒐集，追蹤新形態的詐騙、洗錢模式。</p> <p>XREX區塊鏈金融犯罪調查師陳梅慧表示，目前與虛幣投資相關的騙局中，詐騙組織通常會鎖定初次接觸虛擬貨幣的民眾，誘導其開立虛擬貨幣帳戶，將法幣轉換為USDT（泰達幣），再轉帳至詐騙錢包。陳梅慧指出，這類騙局通常涉及多位被害者，當交易所發現平臺上同時出現多位新註冊用戶，並且，這些用戶將法幣轉換為USDT後，皆轉至同一個錢包，就會觸發交易所的風控機制。</p> <p>「但是，犯罪方也有應變措施去突破風控。」陳梅慧解釋，當交易被風控阻擋，詐騙組織會轉而誘導被害人轉往其他路徑，從本地交易所轉至境外交易所帳戶，或是個人錢包，最後再打入詐騙錢包。若這套模式仍舊被風控阻擋，詐騙組織就會引導被害人至實體店面，將資金匯入詐騙錢包。由於實體店面的情蒐能力較弱，較難阻止被害人繼續上當受騙。</p> <p>除了虛擬貨幣投資騙局，許多詐騙組織騙取法幣後，也會透過區塊鏈洗錢，將非法資金轉為虛擬貨幣，最後轉至詐騙錢包。陳梅慧說明，洗錢方通常會在多家本地交易所開設多個人頭帳戶，短時間內多次全額轉入和轉出不法資金。</p> <p>若交易所察覺這類帳戶使用相同IP地址，且資金最終都匯入同一個錢包，就會啟動風控機制。不過，洗錢方也會有應變措施，如同投資詐騙模式，利用境外交易所來規避監控。</p> <h3>建立交易所、銀行和執法單位三方聯防機制至關重要</h3> <p>當交易所進行足夠的情蒐後，要如何實際因應複雜的犯罪模式？陳梅慧認為，交易所、銀行，和執法單位的聯防至關重要，「當我們知道銀行端的用戶是警示戶，就可以快一步攔截資金。」她也期望，未來境外交易所也能加入聯防體系，共同提升加密貨幣交易所產業的防禦力道。</p> <p></p> </div></div></div>
2024/6/12 13:09作者李昀璇https://www.ithome.com.tw/news/163373
甲骨文抓Java盜版擴大稽核對象
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文一月調漲Java授權方案，一些想使用盜版Java軟體的企業要小心了，因為甲骨文開始擴大稽核的企業對象。</p> <p>英國IT媒體<a href="https://www.theregister.com/2024/06/10/fortune_200_oracle_java_audit/?td=rt-3a" target="_blank">The Register引述授權業者報導</a>，甲骨文近日向財星200大企業寄發Java授權稽核的通知信件，也是首度將稽核企業範疇由超大型企業擴大到大型企業。</p> <p><a href="https://www.oracle.com/java/technologies/java-se-subscription-faq.html" target="_blank">甲骨文今年初公布</a>名為Java SE統一訂閱（Java SE Universal Subscription）的授權方案，取代舊式的Java SE桌機版訂閱。兩者差別是，Java SE統一訂閱方案允許用戶將Java授權用於桌機、伺服器和第三方雲平臺。此外，甲骨文支援涵括完整Java環境，包括第三方函式庫及runtime，因此甲骨文也會和第三方業者合作，以提供客戶支援。甲骨文形容，新方案是「簡單、低成本的每月訂閱方案」，可提供24x7服務、20多種語言的Java SE 8桌機版管理、監控和部署功能。</p> <p>根據<a href="https://www.oracle.com/a/ocom/docs/corporate/pricing/java-se-subscription-pricelist-5028356.pdf" target="_blank">Java SE統一訂閱文件</a>，新方案依企業員工人數收費，購買999人以下的授權，每人每月15美元，但單價依人數級距調降。1,000-2,999人每人月費12美元，4萬人到4萬9,999人為每人月費5.25美元。5萬人以上則提供專案價。</p> <p>甲骨文定義的員工為「任何支援內部公司營運的兼職、全職、臨時員工，以及約聘、外包人員」，而不只是使用Java軟體的開發人員。</p> <p>雖然官方說詞宣稱更為划算，但業界評估，企業將面臨高漲的成本。根據顧問公司<a href="https://www.theregister.com/2023/07/24/oracle_java_license_terms/" target="_blank">Gartner的估算</a>，新方案對大型企業可能造成成本翻揚2倍到5倍。</p> <p>一家提供從Java轉移到開源軟體的服務商原本相信，甲骨文只會稽核財星50大（Fortune 50）的超大型企業，應該不會查核財星100大或200大的公司，雖然甲骨文的確會發信給一些員工幾百人的公司，要求說明Java使用狀況。但他們5月開始聽到有更小型的企業收到甲骨文的信件，要求補繳授權費用，顯示由於去年全球通膨影響，企業面臨營運壓力，讓甲骨文等軟體巨擘尋求擴大稽核範圍維持營收。</p> <p>根據甲骨文剛發布的<a href="https://investor.oracle.com/investor-news/news-details/2024/Oracle-Announces-Fiscal-2024-Fourth-Quarter-and-Fiscal-Full-Year-Financial-Results/default.aspx" target="_blank">2024年會計年度第4季財報</a>，上季公司營收143億美元，（以美元計價）年增3%。其中雲端授權和本地授權業務較去年下滑15%。雲端服務及授權支援則成長9%。</p> </div></div></div>
2024/6/12 11:21作者林妍溱https://www.ithome.com.tw/news/163415
亞馬遜宣布在臺首座AWS區域級資料中心，不只100%用再生能源還要投資十億美元支持雲端業務發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>亞馬遜AWS 今天宣布了在臺的最新發展計畫，將在臺灣興建雲端資料中心。這也是 AWS 十年來在臺灣的最大規模投資，同時也是 AWS 在全球公布的第 40 座區域級（Region）雲端資料中心。AWS計畫未來15年在臺投資數十億美元，支持臺灣雲端業務發展。</p> <p>AWS在臺灣的雲端資料中心預計將在2025年正式上線營運。未來，該資料中心將以「Asia Pacific (Taipei)」的區域名稱，提供區域級公有雲服務。</p> <p>AWS在臺北建置的區域資料中心與兩年前在臺灣啟用的Local Zone本地雲端機房相比，不僅規模更大，而且提供全套AWS全套服務，同時也能為臺灣企業就近提供各種低延遲應用的執行，如線上遊戲、AR/VR應用，同時也能配合醫療、金融等監管行業法遵的需求。</p> <p>AWS香港暨台灣總經理王定愷透露，臺灣區域的服務往返延遲時間，有望進一步縮短延10毫秒以下。如果根據亞馬遜WorkSpaces網站的數據，檢測用戶瀏覽器到亞馬遜網路往反時間顯示，比較臺灣本地到AWS東京區域資料中心的往反時間最短，平均約55毫秒，隨著臺灣區域的啟用，預估本地企業使用AWS服務所需往返延遲時間，將減少40毫秒左右。。</p> <p>從資料中心設計來看，AWS表示，這座臺北區域資料中心將是100%再生能源，以符合AWS對於2040年營運淨零碳排的承諾，此外，這座資料中心同樣將由3個可用區域（AZ）組成且彼此相隔，每個AZ之間都具有獨立的電源、冷卻和實體安全性，並透過冗餘、超低延遲網路串連，來實現應用高可用性與高容錯。</p> <p>統計到今年6月12日為止，在AWS官網上公布的全球Region（區域級）雲端資料中心，加上已公布但還未啟用的區域，包括臺灣區域，全球共有40個，其中有7座是正在興建中的新雲端資料中心，</p> <p>AWS近兩年持續擴大其雲端資料中心涵蓋範圍，光是2023年就有4座雲端資料中心興建計劃，去年1月澳洲第2座資料中心計畫（14年45億美元）、3月馬來西亞資料中心（14年60億美元）、8月以色列資料中心（14年72 億美元），以及12月加拿大第二座資料中心（14年179 億美元）。</p> <p>截至今年6月為止，AWS還宣布另外兩座新資料中心計畫，分別是2月墨西哥資料中心（15年50億美元），以及3月沙烏地阿拉伯王國資料中心（53 億美元）最後是今年6月臺灣資料中心。</p> <p>隨著AWS全新雲端資料中心明年初啟用，意謂著臺灣目前三大公雲其中的兩家Google 和AWS都已在臺灣啟用或即將啟用區域級雲端資料中心，微軟在幾年幾也宣布將臺灣雲端資料中心建置計劃，但目前仍建置中，尚未公布啟用時程。隨著三大公雲落地臺灣，臺灣將進到多雲混合雲的競爭時代。</p> <p></p> </div></div></div>
2024/6/12 11:51作者余至浩https://www.ithome.com.tw/news/163410
Raspberry Pi上市首日大漲38%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發樹莓派（Raspberry Pi）單板電腦的Raspberry Pi於本周二（6/11）以每股280便士（2.8英鎊）的價格，登上倫敦證券交易所（London Stock Exchange，LSE），代號為RPI，首日即大漲38%，以385便士作收。不過，這幾天僅供特定投資人進行有條件的交易，要等到本周五（6/14）才開放大眾交易。</p> <p>在2008年創立於英國的Raspberry Pi主要開發低價的單板電腦，價格從數美元到數十美元不等，自成立以來已售出超過6,000萬臺樹莓派，初期的銷售對象為科技愛好者與教育工作者，但隨後受到工業及嵌入式應用的歡迎，現在後者已占全球樹莓派單板電腦銷售額的2/3強。</p> <p>儘管單價便宜，但Raspberry Pi在2021、2022與2023年的營收達到1.41億、1.88億及2.66億英鎊，並分別有1,877萬、2,007萬及3,753萬英鎊的營業利潤。</p> <p>根據彭博社（Bloomberg）<a href="https://finance.yahoo.com/news/british-pc-maker-raspberry-pi-soars-in-london-trading-debut-101125662.html" target="_blank">的分析</a>，Raspberry Pi替倫敦股市注入一股活水，因為它是自遊戲業者Devolver Digital於2021年上市以來，第一家於該股市籌資超過1億美元的科技公司，先前倫敦股市也曾希望創立於英國的Arm在該國上市，但Arm最終<a href="https://www.ithome.com.tw/news/158735" target="_blank">選擇了</a>美國那斯達克（Nasdaq）股市。</p> </div></div></div>
2024/6/12 10:30作者陳曉莉https://www.ithome.com.tw/news/163412
微軟7月終止支援消費者用的GPT開發工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/topic/d1de6c3a-4c7a-4bcd-98ff-2f65f3d23cd1" target="_blank">微軟本周宣布</a>，將從7月10日終止支援個人使用的Copilot Pro方案的Copilot GPTs，並且關閉GPT Builder開發工具。</p> <p>GPT Builder是一項AI開發工具，可讓特別是開發人員以文字下指令開發出具備專門領域知識和用途的Copilot GPTs，像是購物網站能自建一個根據消費者菜單建議購物清單的聊天機器人，類似OpenAI的GPTs。三月間微軟將GPT Builder<a href="https://www.ithome.com.tw/news/161744" target="_blank">提供給</a>Copilot Pro用戶，後者則是設計給個人用戶的開發方案，月費20美元。</p> <p>但新聞網站<a href="https://www.windowscentral.com/software-apps/copilot-pros-gpt-builder-bites-the-microsoft-graveyard-dust-as-the-company-prioritizes-refinement-of-core-experiences" target="_blank">Windows Central</a>報導，微軟近日通知，將從7月10日起，終止支援這項服務。微軟也會從7月10日到14日，刪除包括微軟和所有客戶建的GPTs及相關GPT資料。</p> <p>微軟解釋，公司一直持續評估消費性Copilot的延伸可能，排定產品核心功能優先順序。為此微軟計畫把GPTs聚焦在商務和企業應用情境，因而決定終止消費者Copilot GPTs服務。</p> <p>由於下個月微軟就會將所有Copilot Pro用戶的GPT和資料刪除，微軟呼籲用戶採取行動，像是儲存開發指引。用戶可以以編輯模型開啟GPT，找到「configure」分頁，將指引複製並儲存於其他地方，作為在其他平臺上重建GPT的參考。</p> <p>如果用戶認為再也沒有理由使用Copilot Pro，微軟也<a href="https://support.microsoft.com/en-us/account-billing/cancel-a-copilot-pro-subscription-ec3698b0-cdac-4f50-a4a6-c998a02960f1" target="_blank">提供了</a>取消訂閱的入口網頁。</p> </div></div></div>
2024/6/12 09:25作者林妍溱https://www.ithome.com.tw/news/163411
C++熱度漲，TIOBE Index排名達歷史新高第2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>已有約40年歷史的C++，這個月在<a href="https://www.tiobe.com/tiobe-index/">TIOBE Index排名</a>來到第2名，這不僅是C++有史以來排名最高的一次，另外也是C語言有史以來名次最低的一次，跌落至第3名。C++的發明，一開始被當作C語言的強化版，且因為擁有類別（Classes）也被稱為C語言的物件導向版。</p> <p>C++主要優勢在於其效能和可擴展性，被廣泛應用在嵌入式系統、遊戲開發和金融交易軟體領域。從2011年第3個C++標準發布以來，國際標準組織維持每3年更新一次C++標準，TIOBE執行長Paul Jansen認為，儘管大多數開發者無法跟上3年一次的更新腳步，但這種策略的確成功讓C++持續進步脫胎換骨。</p> <p>有趣的是，儘管各方都呼籲要少用C++，C++的受歡迎程度卻在TIOBE Index排名上升。微軟Azure技術長Mark Russinovich曾在2022年呼籲考量安全性和可靠性，開發者應該要放棄C/C++改用Rust。同一年，Google也指出，Android記憶體安全漏洞數量大幅下降的關鍵，正是將Rust作為C/C++程式碼的替代方案。</p> <p>今年2月，美國白宮發布的報告中呼籲科技界應主動減少網路攻擊面，並在軟體漏洞方面，開發人員應該放棄C/C++，改用記憶體安全程式語言，以提升軟體安全性。不過，C++之父Bjarne Stroustrup則回應白宮，認為拜登政府不該忽視C++一直以來對安全性所做的努力。整體來說，儘管C++面臨記憶體安全方面的考驗，但是在TIOBE Index排名上升，表示其在開發者社群中持續受到重視與使用。</p> <p>除了C++，6月TIOBE Index排名的亮點還有首次達到排名第7的Go，以及排名歷史新高的Rust，達到了第17名。</p> </div></div></div>
2024/6/12 08:42作者李建興https://www.ithome.com.tw/news/163400
蘋果官方證實iPhone提供最少5年軟體支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應英國一項新法，蘋果官方首次明文公布對iPhone至少提供5年的軟體技術支援。</p> <p>蘋果是因應英國產品安全和電信基礎架構法（Product Security and Telecommunications Infrastructure，PSTI）而向官方提供資訊。今年4月29日<a href="https://www.gov.uk/government/publications/the-uk-product-security-and-telecommunications-infrastructure-product-security-regime" target="_blank">正式上路</a>的PSTI為安全法規，規範在英國生產或輸入、在當地銷售的連網裝置。其要求包括消費者連網產品，如智能電視、網路連接相機和揚聲器，必須對抗網路攻擊有更高的安全性，以保護個人隱私和安全、禁止使用單一通用之預設密碼、供應商應具備漏洞揭露政策，並向客戶公開正採取何種防禦及處理漏洞措施等。</p> <p>蘋果在PSTI法之下也<a href="https://regulatoryinfo.apple.com/cwt/api/ext/file?fileId=securityTelecommunication%2FiPhone%2015%20Pro%20Max%20%28Model%20A3106%29_V0.pdf" target="_blank">提供iPhone 15 Pro Max支援文件</a>。文件說明，iPhone 15 Pro Max最初提供日為2023年9月22日，而預定的支援期為最初提供日以後的最少5年。</p> <p>《<a href="https://www.androidauthority.com/iphone-software-support-commitment-3449135/" target="_blank">Android Authority</a>》說明，這是蘋果首次明文公布iPhone的軟體技術支援期限。在此之前，蘋果從來沒有正式說明此事。</p> <p>相較之下，不論是Google Pixel或三星Galaxy系列，或是其他Android手機供應商都會明確公布軟體支援期限。Google對Pixel 6只提供3年的作業系統更新及5年的安全更新。不過，去年秋天推出<a href="https://www.ithome.com.tw/news/159141" target="_blank">Pixel 8的支援期限</a>一舉延長到7年。</p> <p>雖然蘋果明訂僅提供最少5年的軟體支援，但《Android Authority》說明，一般而言，蘋果實際支援應該會超過這段年限，也有iPhone在推出6年或更久以後仍能接獲安全更新。事實上，一如微軟會在發現重大安全漏洞時，發布例外更新，修補已不再支援的消費者或伺服器版本Windows，像是Windows XP、Vista、Windows 2000等，蘋果在安全專家揭露一些重大漏洞時，也會釋出例外安全更新來修補它已不支援的舊款iPhone。</p> </div></div></div>
2024/6/12 04:00作者林妍溱https://www.ithome.com.tw/news/163386
【2024臺灣資安年鑑｜資安十年特輯】社群發展要有意識進行傳承，更應提供舞臺並讓參與者有收穫
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_shi_nian_-weng_hao_zheng_-960-jpg-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安社群在臺灣資安產業的發展過程中，扮演重要的關鍵角色，臺灣駭客協會理事長、也是資安公司戴夫寇爾執行長翁浩正表示，早期資安社群的領導者，因為對資安有高度熱情並具備理想性，透過分享知識與組織活動為目標，成功凝聚志同道合的人。他說，這些社群帶頭者的領導和努力，也為資安社群的形成，打下堅實的基礎。</p> <p>資安社群擁有獨特的文化，例如各種次文化和迷因梗圖等，翁浩正認為，這些文化元素為社群的參與者，提供歸屬感和向心力。此外，定期舉辦的活動也吸引了許多外界的人參與和投入。</p> <p>許多資安社群都仰賴志願參與的義工，組織和舉辦活動，促進交流和互動，還提高參與者的資安技術水平和認識。但是，近年來，不僅是資安社群，許多社群都出現萎縮現象，翁浩正認為，主要是疫情和人們對線上活動的偏好，開始有許多社群的實體聚會改為線上，參與人數也呈現下降趨勢。</p> <p>隨著時間推移，社群成員結構發生變化。早期願意花時間投入社群活動的成員減少，新一代成員更注重生活和工作平衡，對社群的投入也相應減少。</p> <p>為了保持社群的發展和存續，翁浩正也意識到，社群的領導者必須開始進行有意識的傳承和管理，但是，制度化的管理方式雖然可以幫助管理社群，社群成員不一定認同這種管理方式。</p> <p>臺灣的資安社群在過去十年取得可喜的成就，但也面臨一些挑戰，他表示，藉由社群領導者和成員的共同努力，臺灣的資安社群將繼續發展壯大，並為臺灣資安產業做出更大貢獻。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E7%BF%81%E6%B5%A9%E6%AD%A3-600-1-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>臺灣資安社群的傳承和持續是最大挑戰</strong></span></p> <p>首先，翁浩正表示，我們需要認知到，社群的參與者對資安的熱情是存在的，但也面臨歸屬感不足的問題。過去如HITCON或是TDOH等，提供讓資安愛好者聚集的平臺，但隨著時間推移，社群的經營目前遇到困難。</p> <p>最主要的挑戰是其實就是社群的傳承和持續。翁浩正坦言，社群的發展往往依賴於帶頭者的領導和激勵，但隨著時間的流逝，後續新的領導者難以順利接棒，社群的傳承變得困難。</p> <p>因為缺乏持續的領導和組織，使得社群的活力逐漸下降。他認為，若想要維持社群的活力，定期的聚會是必不可少，但如何吸引新成員的參與，並讓社群形成凝聚力，是需克服的難題。</p> <p>再者，隨著網路學習管道的增加，他觀察到，有許多人更傾向於通過線上途徑學習資安知識，而不是參加實體社群活動。這使得實體社群活動的參與人數減少，社群的凝聚力受到影響。</p> <p>第三，缺乏好的、有凝聚力的平臺，使資安社群成員難建立歸屬感，他說，因為沒有吸引人、激勵人、讓人長期參與的平臺，也使社群發展受限。</p> <p>臺灣的資安社群正面臨一些挑戰，但同時也有應對之策。翁浩正表示，社群的領導者應該開始注重「有意識的傳承」，提供機會給新成員參與組織和活動，鼓勵他們發揮創造力和領導能力，這都有助於社群的持續發展。</p> <p>他認為，定期舉辦各種活動如讀書會、研討會，能提供交流學習的平臺，有助於增加社群凝聚力和吸引力。</p> <p><span style="font-size:28px;"><strong>社群對臺灣資安產業的貢獻</strong></span></p> <p>透過資安社群的參與和活動，不僅加強資安專業人士之間的交流與合作，也提升整個產業的水準和競爭力。</p> <p>翁浩正表示，資安社群通常被視為學習型組織，這意味著他們對於最新的資安威脅和技術變化，有著敏銳洞察力。相較之下，許多企業和資安公司往往專注於解決眼前遇到的資安問題，缺乏對未來趨勢的研究和預測能力。資安社群通常能夠更早發現新的資安威脅，反應更為迅速。</p> <p>他表示，資安社群的核心是技術交流和知識分享，在這樣的環境中，專業人士可以分享他們的經驗和見解，共同探討資安領域的挑戰和解決方案；而透過這種開放式的溝通和合作，資安專業人士也能夠獲得更多的學習機會，提高自身的技術水準。</p> <p>因為資安社群不僅關注當前的資安問題，還致力於進行前瞻性的資安研究。翁浩正指出，通過對未來資安趨勢的探索和分析，資安社群能夠提前預見可能出現的威脅，可以為產業的發展提供有價值的建議和方向。「這種前瞻性的研究對於資安產業的成長和創新至關重要。」他說。</p> <p>他說：「資安社群也是人才培育和交流的重要平臺。」新進人員藉由參與各種大大小小的活動，就有機會與行業內的資深人士交流，學習經驗和技術。這種交流不僅促進了個人的成長，也有助於培育更多的資安專業人才，為產業的未來發展注入新的活力和動力。</p> <p><span style="font-size:28px;"><strong>更多社群參與者，傾向參加網路活動勝於實體聚會</strong></span></p> <p>資安社群在過去和現在的差異則是不斷演進的過程，翁浩正表示，不管是從參與人數的變化，到參與方式的轉變，社群的本質和影響力也不斷改變。在這個過程中，最需要抱持的心態就是：不斷學習和調整，才能夠應對新的挑戰和機遇。</p> <p>過去，參與社群活動的人數比現在多，因為網路資源相對較少，當時，人們更習慣透過實體聚會和活動建立社群。然而，隨著網路的普及和教育資源的增加，有越來越多人更傾向於通過線上平臺來參與社群活動，例如，在社交媒體加入群組或討論區，參與網路論壇或線上會議等。這種參與方式的轉變反映人們對於便利性和彈性的需求，同時反映科技在社會生活中日益重要的作用。這也導致實體聚會的參與人數直線下降。儘管如此，社群仍然是人們聚集，分享興趣和經驗的重要場所。</p> <p>網路教學資源的增加，也為人們提供了更多學習的機會，但同時帶來了更多的競爭和壓力。在這種情況下，翁浩正表示，社群的角色就變得更加重要，因為社群可以提供支持和共享資源的平臺，協助社群成員應對各種挑戰。</p> <p>在社群的演進過程中，我們需要不斷學習和調整。過去的經驗和教訓，可以幫助我們更好地應對當前和未來的挑戰，同時也應該保持開放的態度，不斷嘗試新的方法和工具。他說：「關鍵在於『要持續做對的事情』，」這意味著，社群運作需要不斷評估和調整參與的策略和行動，以確保社群在變化的環境中，仍保持活躍和有影響力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E7%BF%81%E6%B5%A9%E6%AD%A3-600-2-JPG.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><span style="font-size:28px;"><strong>創業者從社群找尋三觀相符的工作伙伴</strong></span></p> <p>「每個人資安創業過程，都是獨一無二的，無法被複製。」翁浩正說道，但他也肯定，資安社群與資安創業之間，存在微妙而重要的連結。這種連結不僅有助於促進資安產業的發展，還可以為創業者提供豐富的人才和支持。</p> <p>首先，他表示，通過參與社群活動，創業者可以找到志同道合的夥伴和專業人才，因為資安社群的成員，通常都是對資安技術充滿熱情的人，具有豐富的專業知識和經驗，是許多資安創業團隊中，不可或缺的一部分。</p> <p>此外，社群活動也是促進交流和合作的平臺，創業者可以通過與其他成員的互動，得到寶貴的建議和回饋，都有助於自身的成長和發展。</p> <p>翁浩正肯定，資安社群活動也是資安創業者，可以了解潛在合作夥伴的一個重要途徑。通過參與演講、競賽等活動，創業者可以觀察社群成員的品性、能力，以及對資安技術的熱情程度等，進一步篩選合適的合作夥伴，這有助於建立具有共同目標和價值觀的團隊，也能提高創業的成功率和效率。</p> <p>資安社群通過舉辦各類活動，分享最新的資安技術和趨勢，為行業注入新的活力和創新力；社群也為資安行業人才的培養和成長，提供良好的平臺，吸引了越來越多的人投身資安領域，推動了整個行業的發展和壯大。</p> <p>社群參與者除了可以找到志同道合夥伴，也可以找到增加工作履歷的實習機會，透過積累資安實踐的經驗，擴展人脈關係，可以在行業中建立聲譽和影響力，這對社群成員未來就業或創業，都可奠定良好基礎。</p> <p>然而，資安社群與資安創業之間的連結，也可能帶來一些衝擊。首先，社群活動需要投入大量的時間和精力，這可能影響創業者的日常工作和生活。此外，社群成員的品質和能力也不盡相同，有些人可能只是單純參加活動，而沒有真正的貢獻和價值。因此，創業者需要謹慎評估社群活動的利弊，選擇適合自己的參與方式和節奏。</p> <p><span style="font-size:28px;"><strong>制定資安法是轉捩點，可借鑑CSF和CDM框架</strong></span></p> <p>政府在臺灣資安發展扮演引領和推動的重要角色。二十年前，政府成立行政院資通安全會報，這是重要的里程碑，也為後續成立技服中心奠基。</p> <p>翁浩正表示，2018年資安法的制定更是另一個重要的里程碑，這使得資安議題從nice to have變成must to have，從而提升資安的重要性和緊迫性。政府的行動和政策制定，影響著企業、供應鏈和媒體各界對資安的認知和行動，也將資安議題提升到了更高的層面。</p> <p>資安是需要全社會共同參與的問題，需要從上而下的推動和引導才能取得成功。所以，在推動資安發展的過程中，政府和領導者的積極參與和呼籲，不僅能有效引導整個社會的行動和努力方向，對於資安的重要性和必要性的認知，也需要從領導者和政府開始，逐漸滲透到整個社會。</p> <p>學習和借鑑國際經驗和框架，對於資安的發展是很重要的。翁浩正舉例，美國NIST的網路安全框架CSF（Cyber Security Framework），以及美國銀行前首席安全科學家Sounil Yu提出網路防禦矩陣CDM（Cyber Defense Matrix）安全模型，都是成熟且經過試煉的資安框架，可做參考和借鑒。</p> <p>他認為，透過運用這些框架和最佳實踐，臺灣可以更好地了解現況，制定適合自己的資安策略和措施，從而提升資安水準和競爭力。</p> <p>事實上，此刻被形容為VUCA時代，即具有異變性（Volatility）、不確定性（Uncertainty）、複雜性（Complexity）和模糊性（Ambiguity）。翁浩正認為，資安威脅的特性在這樣的背景下，更顯得多變和複雜；而攻擊型態和環境複雜且未知，都會讓人慌張、覺得做什麼都不夠。但他說，我們不應被這些不確定性困擾，而是要積極應對，建立資安韌性，使我們能夠應對各種挑戰。</p> <p><span style="font-size:28px;"><strong>做為資安革命者，對內改變規則且對外尋求創新</strong></span></p> <p>資安對臺灣的重要性不言而喻，隨著資訊科技的發展，不僅是個人和企業，整個國家也面臨前所未有的挑戰。在這樣的背景下，我們要以革命者姿態，積極參與並推動改革，確保資安。</p> <p>對於資安問題，翁浩正表示，我們應將自己視為革命者，積極參與並改變現有的狀況。這也意味著，必須在規則內參與，並尋求從內部進行改革。因為我們這樣，不能被固有的思維框架所束縛，而應該敢於挑戰現狀，尋求創新和改進。只有這樣，才能在資安領域中保持競爭力，應對不斷變化的威脅。</p> <p>回顧過去的十年，臺灣在資安領域取得了顯著的進步，無論是在技術研發、政策制定還是資安意識的提高方面，都取得了令人矚目的成就。這得益於政府、企業和個人的共同努力，以及整個社會對資安重要性的認識和提高。在未來，我們應該繼續保持這種努力，持續把資源給願意多貢獻、多努力的參與者，共同推動資安事業的發展。</p> <p>儘管臺灣在資安取得進步，但威脅仍然存在，而且，資安問題永遠都在，尤其在國家層面上的資安威脅，是不會消失的，我們需要做的不是根據特定的敵人去應對，而是要把原本該做的事情做好，建立強大的資安體系，提高自身資安水準。<strong>【本文採訪日期為2024年4月】</strong></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 236px;" /></span></span></strong></a></p> </div></div></div>
2024/6/12 00:00作者黃彥棻https://www.ithome.com.tw/article/163137
零售IT雙周報第36期：批發商也做零售媒體聯播網，聯合天然食品開設橫跨30,000間零售通路的RMN
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0526~0608)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#批發商RMN #供應商廣告 #跨零售通路RMN</span></span></strong><br /> <strong>批發商也做RMN，聯合天然食品要把RMN做進30,000間零售通路</strong></p> <p>RMN興起後，開始有廣告商串聯起跨零售商數據及通路，來打造跨零售業者的廣告聯播網<a href="https://ir.unfi.com/news/press-release-details/2024/United-Natural-Foods-Launches-National-Retail-Media-Network-for-Independent-and-Regional-Grocers-in-Partnership-with-Swiftly/default.aspx">。現在，連批發公司也加入戰局。大型食品批發商聯合天然食品打造跨零售通路的RMN</a>，在自己有上架商品的30,000處零售通路，用自家銷售數據輔助精準行銷，投放11,000家供應商商品的廣告。</p> <p>這個做法可以讓批發商更好掌握自家不同商品線的行銷做法，還可以將RMN作為蒐集第一線通路銷售情況及消費者行為的接觸點──這是原本批發商難以蒐集到的。對零售業者的好處則是，不用自行從頭打造RMN相關IT建設，也能發揮通路優勢來內導入精準行銷。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #購物助手 #RAG</span></span><br /> Walmart正在實驗生成式AI購物助手功能，不僅能回答問題還能主動詢問進階、個人化考量點來輔助決策</strong></p> <p><a href="https://www.ithome.com.tw/news/159271">在應用生成式AI於搜尋、產品介紹等功能後</a>，Walmart開始實驗對話式購物助手，用自然語言協助顧客做出購買決策。用聊天機器人來回答購物相關問題，並推薦對應商品，已經不算稀奇事。不過，<a href="https://tech.walmart.com/content/walmart-global-tech/en_us/blog/post/walmart-is-building-a-genai-powered-shopping-assistant.html">Walmart聊天機器人特別之處是，會主動從制式規格以外的面向，反問顧客更多他們原本可能沒想到的問題，來更進一步完善購物決策。</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/walmartgenai.png" style="width: 300px;" /></p> <p>比方說，當顧客詢問「哪種電視最適合看足球比賽？」，此機器人不只能根據產品規格列出推薦資訊及商品，還會進一步詢問「你放電視的房間光線如何？」等問題。這樣一來，就算顧客不熟悉商品、不知道從何問起，仍有可能提供個人化且有效的購買建議。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#沉浸式電商 #遊戲電商 #進軍元宇宙</span></span></strong> <br /> <strong>沉浸式打工？Ikea開設元宇宙商店，還招募給薪職店員</strong></p> <p>Ikea將於著名元宇宙遊戲Roblox中開設虛擬門市。特別的是，他們不只設計了展間、餐廳等遊戲內體驗，<a href="https://www.ikea.com/gb/en/newsroom/corporate-news/ikea-is-opening-a-new-store-on-roblox-pub8a9272d0">更正式開出職缺，讓玩家應徵元宇宙商店短期打工店員，</a>在商店內負責整理店面、打菜。甚至，連店員應徵面試都會在遊戲內進行。Ikea會給付這些店員等同於實體店員薪資的報酬，表現優良的店員還有可能升職，或轉到其他部門。</p> <p>去年「進軍元宇宙」熱潮中，許多品牌只是到一款遊戲內打造一個短期展間，讓玩家單方面進去觀看。今年，則有更多賣場、遊戲及品牌開始嘗試不同做法，除了Ikea開始招募元宇宙店員，還有Roblox自己開始正式營運元宇宙廣告服務、Walmart打造可以實際購物的元宇宙電商等，更加商業化的做法。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#沉浸式電商 #店內數位體驗 #OMO零售</span></span><br /> 家居賣場Lowe's於門市內設置虛擬廚房設計體驗，結合沉浸式電商與真人店員推銷優勢</strong></p> <p>美國有兩千多家分店的家居賣場Lowe's開始於自家賣場內設置沉浸式電商體驗區，由店員引導顧客穿戴Apple Vision Pro，<a href="https://www.prnewswire.com/news-releases/lowes-pioneers-a-new-era-of-in-store-kitchen-design-with-apple-vision-pro-302161923.html">透過Lowe's室內裝潢App來模擬理想廚房擺設</a>。完成後，可以將設計檔輸出為PDF檔，方便保存或轉傳給親友、室內設計師等不同人。</p> <p>許多賣場及品牌都有為VR裝置打造專屬模擬裝潢App，Lowe's則不只有打造App，更選擇在門市內提供此體驗。結合沉浸式電商中可以隨選隨試用的特色，以及店員引導角色，可以同時達到教學、推銷、個人化互動等作用，顧及線下零售可真人互動的優勢。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#零售第一手數據 #消費者旅途追蹤</span></span><br /> Walmart推出消費者旅途分析工具，支援供應商調整行銷策略</strong></p> <p>Walmart在給供應商分析消費者行為的服務Walmart Luminate中，<a href="http://https://corporate.walmart.com/news/2024/06/04/better-data-better-outcomes-walmart-data-ventures-launches-digital-landscapes">新增了消費者旅途分析工具</a>。此工具可以揭露消費者從哪裡下手尋找商品、尋找商品的時機、消費者從尋找商品到購買的行為歷程，並比較供應商商品與同類型其他商品在消費者旅途中的轉換率等表現。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/waldigi.png" style="width: 600px;" /></p> <p>這個工具不只收錄了Walmart銷售數據，還包括消費者從哪些外部通路進入Walmart通路。結合兩者，供應商便能追蹤消費者從接觸商品資訊到實際消費的歷程，以及不同通路行銷活動的轉換率。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人機物流 #電商功能整合</span></span><br /> Walmart持續規模化無人機物流，將飛機送貨服務從特設網站轉移到一般電商App中</strong> </p> <p>布局無人機送貨服務數年後，Walmart無人機物流服務範圍已經能涵蓋美國第四大都會區──德州Dallas-Fort Worth都會區──75%人口所在。過往，顧客要使用此服務，只能到無人機服務提供商Wing及Zipline設置的專屬網站。現在，<a href="https://corporate.walmart.com/news/2024/06/06/walmarts-retail-renaissance-brings-better-to-life-with-innovation-integrations">Walmart則正式將無人機送貨服務選項整合到自家官方電商App中。</a></p> <p>這意味著，Walmart開始將無人機物流視為正規送貨方法。這個做法也有利於他們蒐集更多無人機物流相關的顧客購物行為數據，用來支援未來發展更多數據分析及數位行銷等服務。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://newsroom.tiktok.com/en-us/tiktok-world-2024">Tiktok針對自家平臺上電商廣告代投功能，還會將合作夥伴抽成及電商平臺費用等支出考量進廣告投放策略</a></p> <p>2. 男性機能服飾品牌Rhone利用3D掃描科技取代人工丈量，來提供服飾量身訂做服務</p> <p>3. <a href="https://www.salesforce.com/news/press-releases/2024/05/22/einstein-copilot-marketing-commerce-news/">Salesforce推出零售業者用AI代理Einstein Copilot，能自動化生成適合SEO的商品描述、個人化推薦，以及電商頁面素材等</a></p> <p>4. <a href="https://www.prnewswire.com/news-releases/dollar-general-selects-criteo-to-enhance-its-retail-media-offering-302160556.html">美國有上萬間分店的連鎖雜貨店Dollar General擴大營運RMN，開放透過第三方DSP投廣至自家線上線下通路</a></p> <p>資料來源：iThome整理，2023年6月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Walmart</p> <p></p> </div></div></div>
2024/6/11 20:34作者郭又華https://www.ithome.com.tw/news/163397
【資安日報】6月11日，紐約時報證實內部資料流入地下論壇，程式碼儲存庫帳密資料外流釀禍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客近期在地下論壇4chan公布知名企業組織的內部資料的情況，已有數起，其中最近一起是知名媒體紐約時報的資安事故。駭客聲稱，他們手上握有270 GB資料，其中包含約5千個GitHub儲存庫，但僅有少部分採取加密保護處理。</p> <p>對此，紐約時報證實有資料外流的情況，並指出這批資料流出的原因，是他們今年1月程式碼儲存庫GitHub的帳密資料遭竊引起。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163383"><strong style="font-size: 22px;">紐約時報270 GB資料流入地下論壇4chan，起因疑為GitHub帳密資料外洩</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/4chan-newyorktimes.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/4chan-newyorktimes.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，知名新聞媒體紐約時報因今年稍早GitHub憑證外洩，駭客竊走包括程式碼在內的270 GB資料。紐約時報也證實資料外洩一事。</p> <p>此事是由資安研究團隊VX-underground最早披露，有人地下論壇4chan張貼訊息，聲稱握有竊自紐約時報的資料。這名人士描述，外洩的270 GB資料內容，共360萬個檔案，其中包含約5,000個GitHub儲存庫，其中不到30個經過加密保護處理。</p> <p>紐約時報證實此事，並說是今年一月該公司GitHub憑證外洩有關，他們已於第一時間已採取緩解行動，但沒有證據顯示公司內部系統遭非法存取，或影響公司營運。</p> <p><a href="https://www.ithome.com.tw/news/163382"><strong style="font-size: 22px;">密碼管理解決方案LastPass傳出服務中斷，起因是瀏覽器外掛更新出錯釀禍</strong></a></p> <p></p> <p>6月6日密碼管理服務LastPass用戶反映無法使用的情況，促使該公司啟動調查，並於周末公告說明。事件大約發生在協調時間6日下午5時，當時用戶若是嘗試登入帳號，會出現登入逾時的訊息。而對於這起事故發生的原因，LastPass直到6月7日凌晨零時才公布，起因是Chrome瀏覽器外掛更新出錯，不慎造成後端基礎架構的載入問題，該公司開始著手修復。距首次公告超過8小時後，LastPass宣布服務效能已回到正常。</p> <p>此起事故引發用戶不滿。有用戶反映無法離線登入，也有人不滿LastPass基礎架構沒有備用機制，導致他所有網站都被鎖住。而這是2022年8月LastPass遭駭後，再度發生服務異常的事故。</p> <p><a href="https://www.ithome.com.tw/news/163396"><strong style="font-size: 22px;">勒索軟體攻擊盯上GitHub用戶儲存庫！駭客冒充GitHub資安團隊發起Gitloker行動</strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，自稱是Gitlokers的人士假冒GitHub資安及人力資源團隊，透過惡意OAuth應用程式挾持程式碼儲存庫並進行破壞。</p> <p>自今年2月，部分開發人員收到由<a href="mailto:[email protected]">[email protected]</a>的電子郵件，這些信件的內容多半提及工作職缺，或者是資安警示。而在此之前，開發者會面臨儲存庫的垃圾評論被標注，或是收到遭竊GitHub帳號的拉取請求等狀況。有受害用戶證實，他們的GitHub帳號疑似遭到投訴而被停用，並失去所有儲存庫的存取權限。</p> <p>值得留意的是，一旦開發人員上當，他們的儲存庫會遭到抹除，對方將其重新命名並留下勒索訊息README.me，要受害者依照指示透過Telegram來談判、復原檔案。</p> <p><a href="https://www.ithome.com.tw/news/163395"><strong style="font-size: 22px;">Apache RocketMQ已知弱點遭濫用，殭屍網路Muhstik藉此綁架未修補漏洞的分散式訊息串流系統，擴大DDoS攻擊規模</strong></a></p> <p>資安業者Aqua Security揭露最新一波的殭屍網路Muhstik攻擊行動，駭客這次鎖定的目標，是包含Apache RocketMQ在內的分散式訊息串流資料平臺，並利用已知漏洞將殭屍網路病毒植入目標伺服器，目的是將其用來發動DDoS攻擊。</p> <p>研究人員透過蜜罐陷阱（Hoenypot）偵測到數十起鎖定RocketMQ的攻擊行為，對方利用重大層級的遠端程式碼執行漏洞CVE-2023-33246（CVSS風險評為9.8分），一旦成功利用，就能得到初期的存取權限，然後執行遠端IP位址代管的Shell指令碼，下載殭屍網路病毒檔案。</p> <p><a href="https://www.ithome.com.tw/news/163379"><strong style="font-size: 22px;">竊資軟體Lumma Stealer、BitRAT透過冒牌瀏覽器更新網站散布</strong></a></p> <p>資安業者eSentire針對竊資軟體Lumma Stealer、BitRAT的攻擊行動提出警告，對方在今年5月，透過冒牌Chrome更新網站散布上述惡意程式，該網站被注入了惡意JavaScript程式碼。</p> <p>一旦電腦載入上述網頁，就會觸發JavaScript指令碼，將使用者重新導向到另一個網頁。接著，駭客藉由chatgpt-app[.]cloud網站，在受害電腦自動下載名為Update.zip的壓縮檔，最終部署竊資軟體Lumma Stealer、BitRAT，並讓攻擊者能持續在受害電腦活動。</p> <p><a href="https://www.ithome.com.tw/news/163381"><strong style="font-size: 22px;">為平息外界的隱私疑慮，微軟宣布預設關閉AI筆電的Recall功能</strong></a></p> <p></p> <p>5月20日微軟偕高通與宏碁、華碩等OEM廠商，公布內建AI功能的Copilot+ PC，其中名為回顧（Recall）的功能最具代表性，但也由於該功能仰賴電腦持續蒐集各式資料，引發資安專家隱私疑慮。對此，上週微軟宣布，此功能將預設改為自願加入（opt-in）。</p> <p>該公司表示，這項功能預設關閉，用戶若要開啟，必須要註冊Windows Hello身分驗證機制才能完成啟用，未來用戶要檢視Recall時間軸或是搜尋，也要進行Windows Hello生物驗證。此外，他們將為Recall新增進階防護機制，加密索引資料庫。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/cylance-confirms-data-breach-linked-to-third-party-platform/"><strong style="font-size: 20px;">資安業者Cylance傳出資料外洩，起因是第三方平臺遭駭</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/arm-warns-of-actively-exploited-flaw-in-mali-gpu-kernel-drivers/"><strong style="font-size: 20px;">Arm針對顯示晶片Mali GPU核心驅動程式漏洞提出警告，指出已被用於攻擊行動</strong></a></p> <p></p> <p>◆<a href="https://www.sonatype.com/blog/crytic-compilers-typosquats-known-crypto-library-drops-windows-trojan"><strong style="font-size: 20px;">冒牌PyPI套件Crytic-Compilers鎖定開發人員，意圖散布竊資軟體Lumma Stealer</strong></a></p> <p>◆<a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/fake-advanced-ip-scanner-installer-delivers-dangerous-cobaltstrike-backdoor/"><strong style="font-size: 20px;">有人假借提供網路工具</strong></a><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/fake-advanced-ip-scanner-installer-delivers-dangerous-cobaltstrike-backdoor/"><strong style="font-size: 20px;">Advanced IP Scanner，目的是散布Cobalt Strike充當後門</strong></a></p> <p>◆<a href="https://medium.com/@amitassaraf/3-6-uncovering-design-flaws-in-the-visual-studio-code-marketplace-ea1d8e8b0171"><strong style="font-size: 20px;">研究人員上傳Visual Studio Code佈景主題擴充套件調查市集安全，結果有超過100家企業組織上當</strong></a></p> <p></p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163212"><strong style="font-size: 22px;">用臺灣人才、資金和產品，找出可複製的新創成功模式</strong></a></p> <p>過去十年，臺灣資安業界發生的事情很多，TeamT5杜浦數位安全創辦人兼執行長蔡松廷表示，最重要的關鍵有兩件事情。</p> <p>首先，就是蔡英文總統於2016年就任以來，率先制定「資安即國安」的政府資安核心戰略方針。這個「資安即國安」戰略帶出來的結果，是政府資源的投入，以及各界的重視；另外，這個戰略同時影響臺灣產業對資安的態度，包括民間企業、CI（關鍵基礎設施）對資安的重視大於以往，產業的需求也對資安產業帶來直接影響。</p> <p>其次，就是各種法規對資安的要求，都會是滋養臺灣資安產業環境的土壤，也是推動臺灣產業資安的基礎，從資通安全管理法到相關細則的實施，以及金管會對於上市櫃公司各種資安要求都包含在內。「內在資安戰略政策，驅動外在產業資安的需求。」他說。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163361"><strong>【6月7日】勒索軟體駭客RansomHub聲稱入侵老牌筆電製造廠藍天電腦，引起國際資安媒體高度關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163344"><strong>【6月6日】病理學暨診斷服務供應商Synnovis遭到勒索軟體攻擊導致倫敦醫院服務中斷，傳出是駭客組織Qilin所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163317"><strong>【6月5日】針對烏克蘭政府恢復公營事業收費，俄羅斯駭客組織FlyingYeti策畫利用WinRAR漏洞的網釣攻擊</strong></a></p> </div></div></div>
2024/6/11 17:53作者周峻佑https://www.ithome.com.tw/news/163398
華邦電發布重訊說明疑似發生資料外洩，起因是合作廠商遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>記憶體大廠華邦電子在6月6日傍晚發布資安事件重大訊息，說明他們合作廠商的資訊系統遭不明人士入侵，導致該公司疑似發生資料外洩的狀況。</p> <p>根據華邦電子公告指出，這次事件主要是合作廠商資訊系統遭不明人士入侵，由於合作廠商向他們通報，指出與華邦電合作相關資料有外洩疑慮的狀況，因此，華邦電針對這樣的情況發布重訊說明。不過，他們並未明確指出是哪家合作廠商的資訊系統遭入侵。</p> <p>關於目前的因應與影響，華邦電表示，合作廠商已加強資訊安全管制，這起事件對公司的營運或財務無重大影響。</p> <p>值得關注的是，雖然外界對此事的了解相當有限，但該公司的確遵循證交所的新規範，如實公布。</p> <p>時序進入6月以來，目前已有3家上市公司揭露發生資安事件，除了華邦電，還包括<a href="https://www.ithome.com.tw/news/163304">防詐公司Gogolook（走著瞧-創）</a>，以及<a href="https://www.ithome.com.tw/news/163347">老牌筆電廠藍天電腦</a>，而在新的資安重訊發布規範的要求之下，的確促使更多臺灣企業的資安事件浮上檯面，而這次華邦電發布的重大訊息，也讓所有人了解到資安事故的揭露並不局限於每一家公司，與其合作的廠商所遭遇的資安事件，其實也都可能讓公司本身受到影響而必須主動公告，讓更多人提高警覺。</p> </div></div></div>
2024/6/11 15:52作者羅正漢https://www.ithome.com.tw/news/163394
Apache RocketMQ已知弱點遭濫用，殭屍網路Muhstik藉此綁架未修補漏洞的分散式訊息串流系統，擴大DDo…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Aqua Security揭露<a href="https://www.aquasec.com/blog/muhstik-malware-targets-message-queuing-services-applications/">最新一波的殭屍網路Muhstik攻擊行動</a>，駭客這次鎖定的目標，是包含Apache RocketMQ在內的分散式訊息串流資料平臺，並利用已知漏洞將殭屍網路病毒植入目標伺服器，目的是將其用來發動DDoS攻擊。</p> <p>研究人員透過蜜罐陷阱（Hoenypot）偵測到數十起鎖定RocketMQ的攻擊行為，對方利用重大層級的遠端程式碼執行漏洞CVE-2023-33246（CVSS風險評為9.8分），一旦成功利用，就能得到初期的存取權限，然後執行遠端IP位址代管的Shell指令碼，下載殭屍網路病毒檔案。</p> <p>值得留意的是，駭客將殭屍網路病毒Muhstik的檔案命名為pty3，複製到多個資料夾路徑，以便直接從記憶體內執行，而不會在作業系統裡留下活動痕跡；再者，對方竄改了Linux作業系統的開機組態，在伺服器啟動後自動載入該殭屍網路病毒。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Muhstik-figure_1_new.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Muhstik-figure_1_new.jpg" style="width: 580px;" /></a></p> <p>此外，該惡意程式還會掃描SSH服務進行橫向移動，從而感染其他電腦。</p> <p>但為何對方運用一年前公布的已知漏洞發起攻勢？研究人員利用物聯網搜尋引擎Shodan進行調查，結果發現，全球約有5,216臺RocketMQ伺服器，曝露於CVE-2023-33246的資安風險當中，而這些伺服器幾乎位於中國。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Muhstik-figure_10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Muhstik-figure_10.jpg" style="width: 580px;" /></a></p> <p>值得留意的是，這項漏洞在今年一月傳出已遭到嘗試利用的情況。<a href="https://www.ithome.com.tw/news/160715#CVE-2023-33246">當時Shadowserver基金會指出</a>，已有駭客透過近400個來源IP位址，試圖利用CVE-2023-33246及CVE-2023-37582。</p> </div></div></div>
2024/6/11 16:32作者周峻佑https://www.ithome.com.tw/news/163395
勒索軟體攻擊盯上GitHub用戶儲存庫！駭客冒充GitHub資安團隊發起Gitloker行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據資安新聞網站Bleeping Computer的報導，有人假冒GitHub資安及人力資源團隊，<a href="https://www.bleepingcomputer.com/news/security/gitloker-attacks-abuse-github-notifications-to-push-malicious-oauth-apps/">透過惡意OAuth應用程式挾持程式碼儲存庫並進行破壞</a>。</p> <p>自今年2月，部分開發人員收到由<a href="mailto:[email protected]">[email protected]</a>的電子郵件，這些信件的內容多半提及工作職缺，或者是資安警示。而在此之前，開發者會面臨儲存庫的垃圾評論被標注，或是收到遭竊GitHub帳號的拉取請求等狀況。有受害用戶證實，他們的GitHub帳號疑似遭到投訴而被停用，並失去所有儲存庫的存取權限。</p> <p>這起攻擊行動最早是<a href="https://x.com/1ZRR4H/status/1798412587484496068">CronUp資安研究員Germán Fernández揭露</a>，並指出自稱是Gitlokers的人士佯裝為GitHub團隊，聲稱寄送資料遭竊的緊急通知，表示他們已保護備份資料。研究人員也公布<a href="https://x.com/1ZRR4H/status/1798926893246447708">對方使用的網域名稱</a>。</p> <p>對方要求開發人員重新登入GitHub帳號，並提供OAuth應用程式授權，這些請求的權限涵蓋私人儲存庫的存取、使用者個資，以及刪除這名用戶管理的儲存庫。</p> <p>值得留意的是，一旦開發人員上當，<a href="https://x.com/1ZRR4H/status/1798928900392886391">他們的儲存庫會遭到抹除</a>，對方將其重新命名並留下勒索訊息README.me，要受害者依照指示透過Telegram來談判、復原檔案。</p> </div></div></div>
2024/6/11 17:08作者周峻佑https://www.ithome.com.tw/news/163396
Proofpoint關閉垃圾郵件寄送者黑名單服務SORBS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據媒體<a href="https://www.theregister.com/2024/06/07/sorbs_closed/?td=rt-4a" target="_blank">The Register的報導</a>，美國資安業者Proofpoint已經關閉於2001年設立的「垃圾郵件及開放中繼封鎖系統」（Spam and Open Relay Blocking System，SORBS），這是一個涉嫌發送或中繼垃圾郵件的電子郵件伺服器名單，在封鎖時免費提供了超過1,200萬個被列為黑名單的伺服器，而Proofpoint也已向該報證實了此事。</p> <p>SORBS的運作方式是設置一個垃圾郵件陷阱，以捕獲向該陷阱傳送垃圾郵件及未經請求之大量郵件的IP位址或IP範圍，這些被列為嫌犯的有可能是真的被用來發送垃圾郵件的伺服器，也有可能是外洩的電子郵件帳戶，或者是被病毒感染而生成的垃圾郵件網路，以及開放的中繼站。SORBS專案可用來協助組織封鎖來自黑名單的郵件，也允許意外被列入黑名單的伺服器或IP申請除名，全球有超過20萬個組織採用SORBS所提供的資料。</p> <p>Proofpoint向The Register表示，該公司是在充分考慮影響該服務持續性的各種因素之後，才決定關閉SORBS，SORBS已於6月5日正式停用，該服務將不再包含任何與特定伺服器或IP聲譽有關的資訊，有鑑於坊間有許多替代性解決方案，Proofpoint不便推薦特定產品，組織應視需求自行選擇其它產品。</p> <p>儘管SORBS網站仍然存在，但服務已中止。</p> <p>另一媒體CSO則引用反垃圾郵件專家<a href="https://www.csoonline.com/article/2139705/spam-blocklist-sorbs-shuts-down-after-over-two-decades.html" target="_blank">Anne Mitchell的看法指出</a>，SORBS服務被關閉的唯一原因就是它並不賺錢。</p> <p>在20年前建立該專案並持續負責維護的工程師Michelle Sullivan一周前<a href="https://www.linkedin.com/feed/update/urn:li:activity:7202108788026335233/" target="_blank">便透露</a>，她已被告知SORBS即將關閉，代表她也將被Proofpoint裁員，正在尋覓新工作。</p> </div></div></div>
2024/6/11 15:48作者陳曉莉https://www.ithome.com.tw/news/163393
OpenAI官方發布.NET函式庫取代原Azure.AI.OpenAI套件功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI推出了官方<a href="https://devblogs.microsoft.com/dotnet/openai-dotnet-library/">.NET API函式庫Beta測試版</a>，讓.NET應用程式可以方便取用OpenAI REST API，提供完整的OpenAI API支援，包括Assistants v2以及聊天完成服務，也支援最新的GPT-4o模型。</p> <p>這個OpenAI與微軟合作的官方.NET函式庫，使開發者能夠將OpenAI和Azure OpenAI功能整合到應用程式中。除了已經有的Python和TypeScript/JavaScript等OpenAI函式庫，現在.NET開發者也擁有官方函式庫，滿足多種程式語言開發者的需求。</p> <p>不過，原本微軟就有自己的Azure.AI.OpenAI套件，為適用於.NET的Azure OpenAI用戶端，其提供.NET慣用介面與Azure SDK生態系的整合，可用於連接Azure OpenAI資源與非Azure OpenAI推理端點。</p> <p>而隨著OpenAI推出官方.NET函式庫，<a href="https://www.nuget.org/packages/Azure.AI.OpenAI/2.0.0-beta.1#readme-body-tab">Azure.AI.OpenAI客戶端函式庫也轉型成為輔助函式庫</a>。該函式庫能夠配置用戶端，使其與官方OpenAI .NET函式庫搭配使用，並且針對特定場景的需求和回應模型提供強類型擴充支援。</p> <p>Azure.AI.OpenAI函式庫將透過AzureOpenAIClient連接Azure OpenAI資源，並且包含特定於Azure概念的擴充功能，例如負責任人工智慧內容過濾等，OpenAI和Azure OpenAI之間所有通用功能，將共用相同的場景客戶端、方法以及請求/回應型別，<a href="https://devblogs.microsoft.com/dotnet/openai-dotnet-library/#comment-20864">微軟指出</a>，這將會增加Azure與非Azure服務間的互通性。簡單來說，Azure.AI.OpenAI存在的目的是讓開發者能夠更好地在Azure平臺使用OpenAI模型。</p> </div></div></div>
2024/6/11 15:02作者李建興https://www.ithome.com.tw/news/163389
【ＷＷDC觀察】蘋果「私有AI」戰略終於出爐，真正目標是主導全新AI隱私標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果終於公布了他們自己GAI戰略，也就是「蘋果智慧」戰略，同樣也是瞄準Cloud+Edge，這一步跟微軟今年Build的戰略轉向是一致的，不再單靠公雲AI服務來實現。</p> <p>但是，蘋果打出了一個最大的差異化，就是「私有AI」的概念，可由個人高度控制，資料不會外流（就算要外流，也是個人自己決定授權出去，例如給外面的Chatgpt，不算蘋果的責任，而改由個人自己付全責。）</p> <p>私有AI在個人裝置（筆電，平板，手機）上雖然容易實現，但這些裝置算力不夠，怎麼辦？還是需要雲端算力，所以，蘋果搭配推出了一項「Private Cloud Compute」（私有雲端算力），這不是一個新技術或新產品（很多公雲的VPC服務就是如此)，就是<strong>讓使用者自帶金鑰（避免公雲偷讀資料，或傳輸過程遭攔截破解）來加密上傳到雲端的所有資料，就能讓所用的各種雲端服務，用起來像「自己的雲端環境」，</strong>只有自己才看得懂所有上面流動的資料，蘋果還承諾不會儲存任何資料，更開放第三方來查驗隱私做法。</p> <p>透過這個「私有雲端算力」，<strong>蘋果更喊出一個新口號「AI隱私的全新標準」，包括了「你的資料永不保留」、「只用於你請求的用途」、「可驗證的隱私承諾」這三點。</strong>蘋果也強調，「私有雲端算力」服務，將會遵守這三項要求，會開放第三方來查驗（標準三）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/wwdc-ai3rule.png" /></p> <p>試著想像，當年，蘋果提出APP追蹤透明度（App Tracking Transparency），簡稱ATT隱私策略，對臉書帶來多大的影響（多大的憤怒），這一次，這個AI隱私標準，也可能會帶來同等，甚至更大的標準影響力。這才是蘋果GAI戰略更大的戰略目標，不是主導技術，而是主導標準。</p> <p>我感到好奇的是蘋果用「私有雲端算力」而非VPC，或者私有AI算力來描述，這也透露出，蘋果默默展開了另一個新的公雲服務產品線，私有的雲端算力服務。未來說不定，會開放給第三方，就變成了公雲常見的VPC，上面可以放各種雲服務，VM，容器，Serverless，有的沒有。或者，可以把蘋果提供的SDK和服務，放到這個私有雲端算力環境來執行，就變成了私有的蘋果API服務產品線<br /> 蘋果再次以Siri為UI體驗的核心，打造了一個多模態通用型UI(以前只能用講的，現在也可以打字，Chat with Siri，之後，vision眼鏡中的手勢說不定也可以跟Siri整合)，用GAI來升級Siri的互動能力，</p> <p>不過，蘋果沒有將外面的LLM，例如ChatGPT放到Siri核心，而是<a href="https://www.ithome.com.tw/news/163387">改用「整合串接」形式</a>，短時間，可以用Chatgpt的GPT-4o的能力，彌補Siri現有理解能力的不足（畢竟比較慢發展），以便和其他對手（AI PC、AI Phone、Copilot+PC競爭），長時間，可以整合第二家（Google Gimini），以夷制夷，來和OpenAI談到更好的合作條件，例如透過Siri呼叫Gpt-4o竟是免費，可用額度應該不會太少，不像現在的Chatgpt免費版，半小時不到就用完免費額度。</p> <p>另外一個採取「整合串接」外部LLM服務的優點就是，Siri都會取得使用者的同意，才會把資料丟給Chatgpt，這就是責任轉嫁，讓使用者自己對提供出去的資料負責。蘋果自己仍然維持「完整的隱私捍衛者」形象和價值。</p> <p>最後一個好處是，哪一天蘋果跟OpenAI鬧翻（條件談不攏），隨時可以「斷開」不再整合，這也就讓蘋果有一把大刀，可以隨時砍斷與OpenAI或其他廠商的合作，不會被綁定。（等到自己LLM夠強，蘋果應該會慢慢砍斷或削弱，與其他人的連結）</p> <p><strong>資料保護和隱私威脅是雲端GAI服務最大的考驗之一，蘋果很聰明地用自己的品牌價值（隱私捍衛者），創造了另一種類型的GAI服務模式。</strong></p> <p>雖然蘋果整場Keynote都聚焦在「個人」、「你的資料」、「你的控制權」，但是企業用怎麼辦？說不定，蘋果正在醞釀「企業管理平台」，把這些個人可以高度控制的裝置上的「個人控制權」整合到一個單一控制平台，來套用企業隱私和資安政策，就變成了「企業高度控制」的「員工個人裝置」了。應該很快就可以看到這類企業級產品的誕生。</p> </div></div></div>
2024/6/11 13:25作者王宏仁https://www.ithome.com.tw/news/163391
【資安週報】2024年6月3日到6月7日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期的漏洞修補動向，以PHP程式語言修補CGI參數注入弱點CVE-2024-4577的RCE漏洞最受關注，所有Windows版本的PHP都存在這項漏洞，XAMPP也受影響。特別的是，這項弱點是由臺灣資安業者奧義智慧通報與揭露，以PHP搭配Apache HTTP Server的情境為例，當Windows作業系統執行正體中文、簡體中文或日文，攻擊者就有機會觸發上述漏洞，<a href="https://blog.orange.tw/2024/06/cve-2024-4577-yet-another-php-rce.html">該公司資安研究人員Orange Tsai另也指出</a>，誰會想到12年前已證明妥善修補的漏洞CVE-2012-1823，會因為Windows的一個小功能而被繞過。</p> <p>其他重要漏洞消息，包括兆勤針對產品生命周期已經結束的NAS設備提供緊急更新；還有一個已知漏洞利用情形值得留意，是多年前Oracle WebLogic Server就修補的CVE-2017-3506，最近被美CISA列入已知漏洞利用清單。</p> <p>在資安事件焦點方面，以國內而言，特別要注意的是，上市公司資安事件揭露範圍擴大，臺灣證券交易所在5月底有新規範，現在不論是否涉及核心、機密都要發布重訊，而6月初就有3起上市公司發布資安重訊。<br /> ●防詐公司Gogolook發布資安事件重訊，網站部分服務遭非法存取，雖然這次事件看似只涉及靜態網站服務遭非法存取，但該公司也依證交所新規範如實公布。<br /> ●記憶體大廠華邦電子發布重大訊息，說明合作廠商資訊系統遭不明人士入侵，導致華邦與該公司合作的相關資料疑似有部分資料外洩情形。<br /> ●老牌筆電廠藍天電腦傳出遭駭，勒索軟體駭客RansomHub聲稱竊得200 GB資料，該公司直到國外媒體曝光消息2日後才發布重大訊息，但僅說明資安單位偵測到網路傳輸異常，隨即啟動資安防禦及復原機制。</p> <p>國際間也有多起重要事件，主要涉及醫療供應商、政府機關、礦業，以及ML應用代管平臺等不同層面，我們整理如下：</p> <p>●英國倫敦多家醫院因服務供應商Synnovis遭網路攻擊而中斷部分服務，該國NCSC指出，這次事件是經濟動機的俄羅斯勒索軟體駭客組織Qilin所為。<br /> ●臺灣邦交國帛琉傳出遭遇網路攻擊，紐約時報報導指出遭竊資料涉及當地美國雷達部署、日本海軍造訪該國的成員名單，以及臺灣與帛琉關係的數百份文件，該國政府已證實2萬份政府文件遭竊，並指出此事是中國出於政治動機所謀劃。<br /> ●澳洲礦業公司Northern Minerals在澳洲證交所公布遭網路攻擊，勒索軟體「變臉」（BianLian）組織宣稱是他們所為，此事引起澳洲金融媒體關注，因為澳洲政府日前才要求中資減持Northern Minerals股份。<br /> ●南韓資安業者揭露北韓駭客組織Andariel近期攻擊行動目標，是當地教育機構、製造業、營造業，鎖定虛擬化平臺VMware Horizon的Log4Shell漏洞下手，意圖散布後門程式Dora RAT。<br /> ●Hugging Face在5月底揭露發生秘密洩露事件，說明偵測到ML應用代管平臺Spaces有未經授權存取的活動，該公司呼籲用戶重設密碼或Token等登入憑證。</p> <p>還有2項威脅態勢，我們認為值得重視，包括：多個中國駭客組織聯手發起網路間諜攻擊行動，以及濫用生成式AI以操弄輿論的影響力行動（Influence Operations）持續增加。</p> <p>（一）資安業者Sophos揭露最新研究報告指出，中國政府資助的多個駭客組織自2022年開始聯手，針對東南亞知名的政府機關，發動網路間諜攻擊行動Operation Crimson Palace，這些組織包括了Backdoor Diplomatic、REF5961、Worok、TA428，以及APT41旗下的團隊Earth Longzhi。</p> <p>（二）OpenAI揭露最近3個月他們破壞了5個隱密操弄輿論的影響力行動，指出中俄等駭客組織試圖濫用AI來達到操控輿論。這些攻擊行動主要針對烏克蘭戰爭、加薩衝突、印度選舉、歐美政治，以及異議人士對中國政府的批評的議題，並藉助OpenAI的語言模型來產生多種語言的簡短評論與長篇內容，為社交媒體編造姓名與簡介帳戶，以及進行開源研究、調校程式碼，還有翻譯與校對文字等。</p> <p>在資安防禦態勢上，關於藉助AI來精進社交工程演練的方法，我們注意到有國內企業提出新的方法：遠東新世紀在2024臺灣資安大會分享了他們在這方面的經驗，主要是善用AI提高演練和教育效率，例如，他們透過定義8種弱點特質、製作風險履歷，進而繪製成風險雷達圖。在實際社交工程演練上，他們也會設法盤點出高風險的郵件用戶，加上風險分析，並用AI來做到推播個人化的課程、輔助自動評分、給予考試內容輔導意見，甚至也打造釣魚郵件家教的應用來即時告知員工判斷要點。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/163276"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月3日】美國證實Linux核心的網路元件Netfilter高風險漏洞已被用於攻擊行動</span></strong></a></h3> <p>美國網路安全暨基礎設施安全局（CISA）上週發布資安公告，表示他們增列2個漏洞至已遭利用的漏洞目錄（KEV），這兩項漏洞分別是：Check Point安全閘道漏洞CVE-2024-24919、Linux核心元件漏洞CVE-2024-1086。</p> <p>其中，CVE-2024-24919已有資安業者透露相關細節，但今年1月公布的CVE-2024-1086，目前尚未有研究人員或資安機構公布相關攻擊行動細節，後續的發展有待觀察。</p> <p><a href="https://www.ithome.com.tw/news/163303"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月4日】帛琉政府資料流入暗網，指控是中國政府指使勒索軟體駭客組織所為</span></strong></a></p> <p>今年3月臺灣邦交國帛琉遭遇網路攻擊，導致數週後2萬份遭竊政府文件流入暗網，而這起事故直到昨日（6月3日）紐約時報報導，此事才曝光，並引起全球各界關注。</p> <p>值得留意的是，雖然這起事故有勒索軟體駭客坦承犯行，聲稱目的是牟取經濟利益，但有帛琉官員表示，這些駭客並未對於贖金進行談判，認為如此說法顯然與事實不符。</p> <h3><a href="https://www.ithome.com.tw/news/163317"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月5日】針對烏克蘭政府恢復公營事業收費，俄羅斯駭客組織FlyingYeti策畫利用WinRAR漏洞的網釣攻擊</span></strong></a></h3> <p>上週雲端服務業者Cloudflare公布由俄羅斯駭客組織FlyingYeti策畫的網釣攻擊行動，並指出對方架設架設冒牌公營事件網站，意圖在當地政府恢復收取、追討積欠公營事業費用的情況下，引誘烏克蘭民眾上當。</p> <p>值得一提的是，這起攻擊行動駭客意圖濫用Cloudflare Workers與GitHub的服務隱匿行蹤，這兩家公司進行反制，讓對方難以繼續從事攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/163344"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月6日】病理學暨診斷服務供應商Synnovis遭到勒索軟體攻擊導致倫敦醫院服務中斷，傳出是駭客組織Qilin所為</span></strong></a></p> <p>醫療院所及相關服務的供應商遭遇資安攻擊的情況，最近幾年越來越頻繁，一旦特定服務的供應商面臨攻擊，很有可能直接影響數家醫院的運作。</p> <p>例如，病理學暨診斷服務供應商Synnovis遭到勒索軟體攻擊的事故，就是這樣的例子，導致英國倫敦兩家主要醫院的部分業務被迫中斷，病人必須轉院就醫的情況。</p> <p><a href="https://www.ithome.com.tw/news/163361"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月7日】勒索軟體駭客RansomHub聲稱入侵老牌筆電製造廠藍天電腦，引起國際資安媒體高度關注</span></strong></a></p> <p>最近一個月勒索軟體駭客RansomHub犯下的資安事故頻頻，英國精品拍賣業者佳士得、美國醫療集團Change Healthcare皆傳出遭受攻擊而影響營運，而最近一起事故引起各界高度關注，駭客聲稱入侵臺灣老牌電腦製造商藍天電腦，並竊得200 GB內部資料。</p> <p>值得留意的是，已有不少資安專家公布駭客提供的資料，但截至目前為止藍天電腦並未在重大訊息當中，對於資料遭竊做出說明，後續發展有待進一步觀察。</p> <p> </p> </div></div></div>
2024/6/11 09:41作者羅正漢https://www.ithome.com.tw/news/163385
AI趨勢周報第254期：如何知道RAG能耐？Meta推CRAG測試基準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0531～0606)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> RAG </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span></p> <p><span style="font-size: 22px;"><strong>如何知道RAG能耐？Meta推CRAG測試基準</strong></span></p> <p>自大型語言模型（LLM）應用興起以來，檢索增強生成（RAG）一直是降低LLM產生幻覺和胡言亂語的主流方法。但如何衡量RAG效力，又是另一門課題。最近，Meta AI團隊就推出一款名為CRAG的測試基準，可用來測試RAG系統的表現，也就是LLM結合外部知識進行問答的能力。</p> <p>CRAG包含4,409個問答組，測試範圍橫跨5大領域，如金融、運動、音樂、電影和百科，另外包含8種問題類型，像是條件式簡單問題、比較型問題、加總型問題等。CRAG可測試2種RAG能力，包括網路搜尋和API串接形式，讓使用者了解自家系統在動態和靜態事實下的檢索、合成與生成能力。</p> <p>Meta團隊也用CRAG來評估LLM，發現最先進的語言模型準確率只有34%，透過RAG加持可提升到44%。而且，即便是業界先進的系統，在處理動態和複雜查詢時，也只能回答63%的問題且不產生幻覺。Meta希望透過CRAG，來推動問答系統的創新和進步，克服語言模型的幻覺和知識差距。與此同時，CRAG也是Meta今年3月展開的<a href="https://www.aicrowd.com/challenges/meta-comprehensive-rag-benchmark-kdd-cup-2024">KDD Cup 2024挑戰賽</a>基準，全球已有數千名參賽者來測試、精進自家RAG系統，Meta團隊也會持續擴充CRAG，來推進RAG技術發展。<a href="https://arxiv.org/html/2406.04744v1">（詳全文）</a></p> <p><img alt="" src="https://i.imgur.com/PqA6pM0.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI機房 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日月光 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 水冷 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>日月光年底要啟用首座水冷AI機房</strong></span></p> <p>日月光半導體日前在Computex大會中揭露，將於今年底啟用其位於高雄的首座水冷散熱資料中心。該機房不只是全新AI運算設備基地，更是一座節能標竿機房，目標PUE（能源使用效率）值低於1.2。這個機房是要滿足每年增長1.2倍的AI運算需求，來因應未來兩年AI應用和大型語言模型（LLM）快速發展趨勢。</p> <p>這座AI機房採用Supermicro的水冷式散熱技術，並由中華系統整合佈建。機房內的伺服器將搭載最新水冷機制，通過冷水直接帶走主機板熱能，取代傳統氣冷的冷熱通道方式。這種設計的機房能耗，比氣冷方式減少了20%以上，有助於達成日月光ESG永續發展目標。該AI機房也將配置多臺AI伺服器機櫃系統，據Supermicro提供的硬體規格，每臺AI伺服器主機內搭載2個32核Intel CPU與8個Nvidia H100 GPU。日月光計畫用這座AI機房加速智慧製造，並在產品生產、工程研發及營運上開發新的AI應用。<a href="https://www.ithome.com.tw/news/163334">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/pxl_20240605_065859303.jpg?itok=MTiQMZmg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 音效生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ElevenLabs </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>ElevenLabs新AI工具可細緻地生成音效</strong></span></p> <p>AI新創ElevenLabs專攻語音和聲音技術研究，去年先是推出AI平臺Text to Speech，可讓用戶根據文字設定，合成不同性別、年齡、口音和風格的語音。今年2月，ElevenLabs預告與OpenAI合作，要用其影片生成模型Sora，來打造可為影片配音的AI模型，最近正式公開這款音效生成工具Text to Sound Effects。</p> <p>Text to Sound Effects可讓使用者調整音效，例如「腳步聲」可細分為高跟鞋、靴子或球鞋的聲音，甚至還能模擬不同環境的音效，如沙地、雪地或葉子上的腳步聲。ElevenLabs也與Shutterstock合作，利用其高品質的合法音訊資料庫微調AI模型，確保生成音效的多樣性和真實性。該工具提供免費及付費版本，免費版用戶需在生成的音效中標註來自ElevenLabs，而付費版本則無需此限制。<a href="https://elevenlabs.io/blog/sound-effects-are-here/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI晶片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> RTX </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia揭AI晶片計畫，另推RTX新技術和Chatbot專案</strong></span></p> <p>Nvidia創辦人暨執行長黃仁勳日前在臺大演講中，透露Nvidia AI晶片新計畫，包括加速AI晶片的更新周期、每年推出一款新晶片，尤其是明年將推出的Blackwell Ultra和後年的Rubin，來因應他強調的新工業革命AI浪潮。在日前的Computex大會上，Nvidia發表也最新RTX技術，包括光線追蹤、AI視覺運算、光柵化及模擬等，另推出用來實現相關技術的Nvidia RTX AI Toolkit，集結各種支援Windows平臺的工具和SDK，供開發者客製化AI模型、跨雲端及RTX個人電腦部署。</p> <p>此外，Nvidia也新推聊天機器人Project G-Assist，這款RTX技術加持的AI助理可用於遊戲，能接收玩家的文字、語音和遊戲視窗快照，並回答遊戲中遇到的問題，如任務指引、物品建議和怪物資訊等。同時，Nvidia也與微軟合作，要助開發者將生成式AI功能整合到Windows原生網頁程式，也能使用API存取GPU加速的小型語言模型（SLM），來更輕鬆部署AI應用。這款API將在今年以開發者預覽版釋出。<a href="https://nvidianews.nvidia.com/news/nvidia-brings-ai-assistants-to-life-with-geforce-rtx-ai-pcs">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI套件 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 樹莓派 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電腦視覺 </span></strong></span></p> <p><span style="font-size:22px;"><strong>樹莓派推出70美元AI套件，強化視覺應用</strong></span></p> <p>樹莓派（Raspberry Pi）日前推出支援Raspberry Pi 5單板電腦的AI套件，售價70美元。該套件是樹莓派與以色列AI公司Hailo Technologies合作開發，目的是要提高AI視覺應用的建置效率。進一步來說，這個AI套件結合了樹莓派的M.2 HAT+擴充板和Hailo-8L AI加速模組，具即時執行、低延遲和低功耗等特性。也因此，Raspberry Pi 5能高效率運行複雜的AI視覺應用，如物體偵測、語義分割、姿勢估計和臉部特徵識別等。</p> <p>該套件可執行每秒13兆次操作（TOPS）的推論，單通道PCIe 3.0連結傳輸速度為8Gbps，無縫整合Raspberry Pi的作業系統和軟體，也兼容多種相機。此外，它也能在單個或多個相機鏡頭上同時執行多個神經網路。Hailo也建立一個模型資料庫，包含各種預訓練神經網路模型，方便用戶快速部署或優化。此外，為簡化相機與AI應用整合，其專屬rpicam-apps套件現在擁有後處理模板，可將神經網路推論整合至相機工作流程中即時執行，並預裝了Hailo Tappas後處理函式庫，讓用戶只需幾百行C++程式碼便能建置AI應用。這一整合很快也會擴展到Picamera2框架。<a href="https://www.raspberrypi.com/news/raspberry-pi-ai-kit-available-now-at-70/">（詳全文）</a></p> <p><img alt="" src="https://www.raspberrypi.com/app/uploads/2024/05/AI-kit-disassembled-small.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 音效 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Stability AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Stable Audio Open </span></strong></span></p> <p><span style="font-size:22px;"><strong>Stability AI釋出文字生成音效模型Stable Audio Open</strong></span></p> <p>Stability AI近日釋出文字生成聲音模型的開源版本Stable Audio Open，使用者輸入文字描述後，就能生成長達47秒的音檔。這個模型是Stability AI以48萬多個音檔訓練而成，其中超過9成來自Freesound，另有少數來自「免費音樂檔案」（FMA），所有音訊都取得免費的共享許可，並使用預訓練T5文字模型來處理、生成文本。</p> <p>Stability AI表示，Stable Audio Open很適合用來建立鼓點、音樂即興片段、環境音效、模擬錄音或其它與音樂和聲音有關的樣本。開源版本的好處是，使用者可用自己的聲音來調整模型，例如鼓手可加入自己的錄音樣本，來生成新的節奏。<a href="https://stability.ai/news/introducing-stable-audio-open">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Lunar Lake </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 英特爾 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI PC </span></strong></span></p> <p><span style="font-size:22px;"><strong>英特爾發表新一代AI PC處理器Lunar Lake</strong></span></p> <p>英特爾在今年度Computex大會揭露新一代筆電處理器Lunar Lake，是Core Ultra系列第二代產品。該處理器每秒可處理48兆次（TOPS），是前一代的3.5倍，耗電量則低了40%。</p> <p>進一步來說，上個月底微軟發表AI系列筆電Copilot+ PC，首批筆電與高通合作，採高通Snapdragon系列處理器，但Snapdragon的PC產品在市場上份量相對小，下一波預計搭載英特爾和AMD處理器的Copilot+ PC，才會觸及更多主流PC市場。而Lunar Lake就會出現在這批PC中，其搭載的CPU、GPU、NPU算力共有120 TOPS，包含CPU的5 TOPS、GPU的67 TOPS，以及NPU的48 TOPS算力，可更快速執行AI應用。Lunar Lake預計第三季上市，至於搭載Lunar Lake的Copilot+ PC何時會推出，英特爾沒有進一步揭露更多細節。<a href="https://www.intel.com/content/www/us/en/newsroom/news/computex-2024-ai-everywhere-power-performance-affordability.html#gs.a3t61u">（詳全文）</a></p> <p><img alt="" src="https://www.intel.com/content/dam/www/central-libraries/us/en/images/2024-06/newsroom-intel-lunar-lake-1.jpg.rendition.intel.web.1648.927.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 異常偵測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 半監督 </span></strong></span></p> <p><span style="font-size:22px;"><strong>資料不足也能有效偵測，Google開源半監督式框架SPADE</strong></span></p> <p>Google開源一款SPADE半監督式異常偵測框架，能克服其他半監督異常偵測方法，只需少量已標記和大量未標記資料，就能高效率偵測異常。異常偵測應用範圍很廣，涵蓋API安全、金融詐欺、製造缺陷等領域，而Google開發的SPADE使用一組單類分類器（OCCs），作為虛擬標籤器和監督分類器，特別適合用來處理少量已標記資料和大量為標記樣本的資料集。</p> <p>這是因為，要建立大規模標記資料集不僅耗時且成本昂貴，SPADE利用半監督學習方法，可降低這個成本。在運作方式上，SPADE先使用多個單類分類器來學習資料中的正常樣本特徵，接著，這些分類器分別對未標記的資料進行預測，生成虛擬標籤，猜測異常與正常的資料，但只有當所有分類器一致認為特定樣本為異常時，才會真正將其標記為異常。再來用虛擬標籤和原始標記資料，來訓練監督異常模型，完成後，模型就能用來偵測新資料中的異常。<a href="https://opensource.googleblog.com/2024/05/semi-supervised-anomaly-detection-under-distribution-mismatch.html">（詳全文）</a></p> <p>圖片來源／Meta AI、樹莓派、英特爾</p> <p>攝影／余至浩</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. AMD發表第3代Ryzen AI筆電處理器，NPU效能達50TOPS、用低能耗帶來新AI體驗</strong></p> <p><strong>2. Databricks買下Tabular，要改善資料相容性</strong></p> <p><strong>3. 阿里巴巴發表新款語言模型Qwen2，支援128K Token、多數表現勝過Llama 3</strong></p> <p>資料來源：iThome整理，2024年6月</p> </div></div></div>
2024/6/9 10:51作者王若樸https://www.ithome.com.tw/news/163388
蘋果替旗下作業系統導入Apple Intelligence智慧功能，將整合ChatGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在本周舉行的WWDC開發者大會上發表了Apple Intelligence，這是蘋果的AI服務，將同時進駐<a href="https://www.apple.com/newsroom/2024/06/macos-sequoia-takes-productivity-and-intelligence-on-mac-to-new-heights/" target="_blank">macOS Sequoia</a>、<a href="https://www.apple.com/newsroom/2024/06/ios-18-makes-iphone-more-personal-capable-and-intelligent-than-ever/" target="_blank">iOS 18</a>與<a href="https://www.apple.com/newsroom/2024/06/ipados-18-introduces-powerful-intelligence-features-and-apps-for-apple-pencil/" target="_blank">iPadOS 18</a>等蘋果作業系統，同一天蘋果也<a href="https://openai.com/index/openai-and-apple-announce-partnership/" target="_blank">宣布與OpenAI合作</a>，將在Siri與Writing Tools中整合基於GPT-4o的ChatGPT。</p> <p>同時在三大作業系統現身的Apple Intelligence提供多項AI功能，包括寫作工具Writing Tools、圖像創作工具Image Playground、可客製化表情符號的Genmoji、以及強化的Siri，當中的Writing Tools與Siri更直接整合了ChatGPT。</p> <p>Writing Tools允許使用者在郵件、備忘錄、Pages或第三方的程式中改寫、校對或摘要文本。其中的Rewrite來讓使用者選擇所撰寫的不同版本，可指定適合不同場合的文字風格，包括求職或派對邀請函；Proofread則能用來檢查文法、選擇詞彙或句子的結構，並提供修改建議；Summarize則在選擇文字後會自動形成容易理解的段落與重點摘要。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0611-WWDC%202024-Apple-Apple%20Intelligence-iPadOS-18-Writing-Tools-600.jpg" style="width: 600px;" /></p> <p>整合了ChatGPT的Writing Tools可協助使用者撰寫各種風格的文字，還能透過Compose功能來存取ChatGPT的圖像工具，以於文字中嵌入圖像。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0611-WWDC%202024-Apple-Apple%20Intelligence-ChatGPT%20(%EF%BC%93)-600(1).jpg" style="width: 590px;" /></p> <p>蘋果將Image Playground內建在訊息、Keynote、Pages等程式中，也支援採用Image Playground API的第三方程式，允許使用者於幾秒內以文字描述、所挑選的主題、服裝、配件、地點或個人來創作圖像，並選擇以動畫、插圖或素描的方式呈現。Genmoji則是允許使用者以文字描述來客製化表情符號。Apple Intelligence亦改善了照片/影片搜尋功能，能以自然語言搜尋特定照片，例如「臉上貼著貼紙的Katie」，或是找到影片中的特定段落。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0611-WWDC%202024-Apple-Apple%20Intelligence-iPadOS-18-Image-Playground-600.png" style="width: 600px;" /></p> <p>至於一直遭到詬病的Siri現在可回答數千個如何操作iPhone、iPad與Mac的問題，使用者也能直接命令它將朋友透過訊息傳來的地址加到該名友人的名片中，或是要求Siri將周六烤肉的所有照片傳送給Mary，要求Siri播放Jamie推薦的Podcast，或是詢問它親友的航班何時降落。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0611-Apple-WWDC24-macOS-Sequoia-Siri-update-600.jpg" style="width: 308px;" /></p> <p>當Siri無法回答時，它則會詢問使用者是否要向ChatGPT尋求答案，在使用者同意後即會仰賴ChatGPT技術，再由Siri負責回答。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0611-WWDC%202024-Apple-Apple%20Intelligence-ChatGPT%20(1)-600.png" style="width: 600px;" /></p> <p>蘋果強調，蘋果用戶不需建立OpenAI帳戶即可免費使用ChatGPT，且使用相關服務時將隱藏使用者的IP位址，OpenAI亦不會記錄使用者的指令，至於付費的ChatGPT訂閱用戶亦可連結至他們的帳戶，並於蘋果服務中直接使用付費功能。</p> <p>除了Apple Intelligence之外，macOS Sequoia、iOS 18與iPadOS 18都將內建獨立的Passwords程式，這是一款基於鑰匙圈技術的全新程式，讓使用者取得密碼、通行密碼、Wi-Fi密碼和雙重認證碼，也會針對常見的密碼弱點向使用者提出警告。蘋果表示，Passwords不僅可搭配Safari瀏覽器，也能與使用者的各種蘋果裝置，以及安裝iCloud程式的Windows裝置同步。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0611-WWDC%202024-Apple-iPadOS%2018-Passwords%20App-600.png" style="width: 600px;" /></p> <p>macOS Sequoia、iOS 18與iPadOS 18的開發者測試版即日釋出，公開測試版可望於下個月出爐，至於正式版則會在今年秋天問世，屆時也會一併推出Apple Intelligence測試版。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2024/6/11 11:08作者陳曉莉https://www.ithome.com.tw/news/163387
馬斯克揚言蘋果OS若整合ChatGPT，旗下公司將禁用蘋果裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>周二蘋果在年度技術大會WWDC宣布，自有應用程式將整合OpenAI的ChatGPT及GPT4o模型，科技大亨馬斯克（Elon Musk）則以安全為由，揚言旗下所有公司將禁用蘋果品牌裝置。</p> <p><a href="https://x.com/elonmusk/status/1800265431078551973" target="_blank">馬斯克透過社群平臺X說</a>，如果蘋果將OpenAI技術整合到OS層，他所有公司將禁用蘋果裝置，因這是令人無法接受、侵害安全的事。馬斯克擁有的公司包括X、xAI、特斯拉、SpaceX、開發腦機介面的NeuraLink、以及發展地下隧道交通系統的The Boring Company等。</p> <p class="rtecenter"><a href="https://x.com/elonmusk/status/1800265431078551973" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0611-Elon%20musk.png" style="width: 597px;" /></a></p> <p>馬斯克發文是回應周二WWDC上<a href="https://openai.com/index/openai-and-apple-announce-partnership/" target="_blank">蘋果與OpenAI的合作</a>。在兩公司的合作下，ChatGPT將整合到預定今年秋天釋出的iOS 18、iPadOS 18及macOS Sequoia中。屆時，訂閱ChatGPT付費版服務的iPhone、iPad及Mac電腦用戶，可直接透過Siri使用GPT-4o模型為基礎的ChatGPT，像是詢問ChatGPT問題或上傳PDF文件請她簡述內容等。</p> <p>馬斯克原本是OpenAI的主要贊助者，並曾和現任執行長Sam Altman共同擔任公司聯合主席。他於2018年離開OpenAI董事會，理由是減少OpenAI和也想發展AI的特斯拉之間的利益衝突。但雙方後來交惡。馬斯克今年3月<a href="https://www.ithome.com.tw/news/161593" target="_blank">控告OpenAI</a>違反「創立時的初衷」，包括開源開發成果及造福人類。不過OpenAI稱馬斯克當初是因無法控制OpenAI才負氣離開，現在的行為則起於由愛生恨。</p> <p>馬斯克控訴的ChatGPT安全問題，可能是基於這個聊天機器人會蒐集用戶輸入的資訊，包括用戶不慎輸入的公司機密文件或研發資訊，但ChatGPT付費版中的Teams和Enterprise版本，OpenAI稱不會蒐集用戶輸入的資訊，Plus版則需用戶主動變更為不允許蒐集資訊。</p> <p>馬斯克離開OpenAI後創立的XAI公司，已開發了LLM模型及聊天機器人Grok，<a href="https://www.ithome.com.tw/news/161716" target="_blank">並在今年三月開源</a>。</p> </div></div></div>
2024/6/11 09:32作者林妍溱https://www.ithome.com.tw/news/163384
【2024臺灣資安年鑑｜資安十年特輯】用臺灣人才、資金和產品，找出可複製的新創成功模式
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_shi_nian_-cai_song_ting_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去十年，臺灣資安業界發生的事情很多，TeamT5杜浦數位安全創辦人兼執行長蔡松廷表示，最重要的關鍵有兩件事情。</p> <p>首先，就是蔡英文總統於2016年就任以來，率先制定「資安即國安」的政府資安核心戰略方針。</p> <p>臺灣面對嚴峻的資安環境，各種網路攻擊沒有減少、網路環境更沒有變得更安全，甚至因為臺灣是中國網軍長期鎖定攻擊的對象，這也讓臺灣整體的網路環境所面臨到的資安威脅，比起其他國家更為嚴重。</p> <p>他說，這個「資安即國安」戰略帶出來的結果，是政府資源的投入，以及各界的重視，像是經濟部工業局到數發部資安署及數位產業署成立等，投入資安能量變大，讓做產業的能量也變大；另外，這個戰略同時影響臺灣產業對資安的態度，包括民間企業、CI（關鍵基礎設施）對資安的重視大於以往，產業的需求也對資安產業帶來直接影響。</p> <p>蔡松廷也不諱言，「資安即國安」已經是臺灣推動資安發展的重要里程碑，因為臺灣遭受中國強大網路攻擊，最早可以追溯到二十多年前，只不過，當時不論政府、企業甚至是資安產業等，對中國網軍攻擊的反應都很有限；而真正開始有資安資源的投入，嚴格來說，是近十年、近八年的事情，尤其是「資安即國安」資安戰略政策推出後，「有人推著走，進展會比較快。」他說。</p> <p>其次，就是各種法規對資安的要求，都會是滋養臺灣資安產業環境的土壤，也是推動臺灣產業資安的基礎，從資通安全管理法到相關細則的實施，以及金管會對於上市櫃公司各種資安要求都包含在內。「內在資安戰略政策，驅動外在產業資安的需求。」他說。</p> <p>在網路威脅多元化，迫使企業必須正視資安風險議題，加上政府支持以及政策作多的鼓勵下，過去十年來，也有不少臺灣資安新創公司在這片土地扎根、茁壯，以威脅情資研究分析立足臺灣、揚名世界的TeamT5（杜浦數位安全）也是其中一家資安新創業者。</p> <p>蔡松廷坦言，在臺灣做資安新創是一條辛苦的路，在資安短缺、人才不足、臺灣市場規模太小、海外市場拓展困難，以及缺乏導師引領的種種挑戰中，他希望所創立的公司可以用臺灣自己的資金和人才，創造出可以被複製的資安新創成功模式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E8%94%A1%E6%9D%BE%E5%BB%B7600-1-JPG.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><span style="font-size: 28px;"><strong>臺灣資安市場規模太小，不利資安新創公司發展</strong></span></p> <p>臺灣四面環海、是一個小島，蔡松廷認為，臺灣資安產業還沒有真正蓬勃發展的原因，跟市場的規模不夠大，有著直接關係。</p> <p>這些年來，雖然比以前增加很多資源、也多了很多資安預算及重視，但整體而言，對於拓展產業規模的效果還是有限的。畢竟，很多人重視資安，但仍局限在某些特定的產業別，他認為，嚴格來說，真正重視資安的還是少數，還沒有做到普遍重視資安。</p> <p>也因為臺灣資安市場規模不夠大，假設資安業者推出很成功的資安產品，但臺灣市場的回報相對有限，如果是在市場規模比較大的國家，例如美國甚至中國等，情況就不一樣了，「你同樣做一件成功的事情，但美國市場可以獲得的投資報酬率高，比起臺灣是十數倍的回收效果。」他說，這些市場的回報，就是能否繼續支持這家資安業者繼續發展的重要原因。</p> <p>臺灣以往最成功的例子就是趨勢科技，蔡松廷表示，趨勢科技因為很早就鎖定到日本市場發展，這是一個願意為軟體付費的國家，多年下來，趨勢科技在日本市場也有很深的耕耘。</p> <p>現在雖然有資安服務型業者，例如中華資安公司和安碁資訊等，都預計或已經在臺灣上市櫃的計畫，也希望藉此爭取市場上更多的資源，但蔡松廷認為，事實上，以臺灣目前的市場規模，想要再孕育出另外一家跟趨勢科技規模一樣大的資安公司，難度是非常高的。</p> <p>畢竟，他坦言，對臺灣資安業者而言，產業規模如果要做大，一定得進入其他海外市場；當然，如果是進入美國市場，不論從募資到上市，早就有一套完善的流程可以參考和複製，只是臺灣目前還做不到。</p> <p><span style="font-size: 28px;"><strong>臺灣資安新創公司還沒有出現可被複製的成功模式</strong></span></p> <p>「當初想要創業的初心其實很簡單，就是覺得資安好玩、對於可以把有熱情的興趣專長，轉換成可以賺錢、可以賴以維生的工作有興趣。」蔡松廷表示，原本只是玩資安技術，但後來越來越投入，資安就變成事業了。</p> <p>當興趣變成事業之後，很多事情和想法就有所轉變，他認為，創業和玩技術不一樣，創業要能夠成功，技術只是其中的一環，必須還有很多其他不同因素交互作用。</p> <p>關於自家公司技術、威脅研究、技術開發等層面的水準，蔡松廷都有足夠的信心，不論對於亞太地區的威脅了解、追蹤技術的方法和經驗，或者是資安事件處理經驗和能力，以及如何對抗APT攻擊者等，在他們與很多國外業者的交流過程中，已經得到印證。而這也是蔡松廷最自豪的部分，擁有世界一流的研究和技術，是支持蔡松廷繼續走下去的動力。</p> <p>他認為，臺灣資安新創的未來還是要走出臺灣才行，不然在臺灣可以獲得的資源實在很有限，除非像TXOne（睿控網安）從母公司趨勢科技及創投拿到足夠的資源，第一時間就衝向國際市場，然而，像是趨勢科技或是TXOne的創業過程，其實都難以被複製。</p> <p>的確！在這個時代，臺灣資安廠商的發展，還沒有一個成功模式可以參考複製，大家都還在努力摸索，試圖找出從臺灣出發的資安創業成功模式，現在檯面上資安新創公司各擅勝場，創業很好玩但也很辛苦，但他最煩惱的事情是，沒有人可以指導、分享經驗，告訴他接下來資安創業該怎麼走才是對的路。</p> <p>他進一步解釋，像是以色列的公司，只要做對一個技術或產品後，這家新創公司的未來發展，從募資、擴張、IPO、與美國市場直接連動、產品行銷等，各種人才都齊備，更有很多的成功模式和典範，提供新創業者獲得相關資源並學習，這樣就可以讓新創業者少走很多冤枉路。</p> <p>他認為，臺灣資安公司成功模式還沒有建立，目前看起來很成功的一兩家公司，也不是所有人可以模仿複製的，還需要一點時間去塑造。</p> <p><span style="font-size: 28px;"><strong>可以幫客戶解決問題的技術才有價值</strong></span></p> <p>從創業多年的經驗來看，蔡松廷認為臺灣有很多技術高手，卻極度缺乏「怎麼轉變知識和技術變成有價值的東西」的人，背後彰顯的問題就是，許多做技術的人，並不是真正知道「這個技術要解決什麼問題」。他說：「懂得怎麼解決甚麼樣的問題，技術才會有價值。」</p> <p>因為現在的產業環境，有太多製造問題的人，但最終要知道怎麼解決問題，才可以彰顯技術帶來的價值，這也是現在許多資安人缺乏的能力。「資安人必須要轉換思考層面，從了解技術怎麼帶給客戶價值、可以替客戶解決問題的技術才有價值。」他說。</p> <p>舉例而言，資安人員要懂得勒索軟體、加密入侵技術、比特幣……等，如果可以找出客戶願意付錢、請你用懂得的技術，幫忙企業解決防勒索軟體的問題，這就是技術的價值，更是一個好的創業題目。</p> <p>當然，要發揮技術的價值，不只需要具備足夠的知識，也要花時間了解客戶，但是，客戶是政府部門或民間企業，各自面對的問題並不一樣。只有鎖定正確的客戶標的、能夠深入淺出了解需求後，才能根據對資安的了解，選擇適合客戶的技術，設計的產品客戶才願意買單。</p> <p>只不過，蔡松廷也發現，臺灣很多資安人才在解決客戶的問題上，落後外商很多，這也是很多臺灣客戶為什麼喜歡買外商產品的原因。很多人都在問，臺灣資安業者怎麼跟外商競爭？</p> <p>他說，「只要可以讓客戶覺得，臺灣的產品『比較適合』客戶使用，就會願意下單。」所謂的適合，除了預算，還包括服務、適合臺灣環境、解決客戶問題、可偵測中國網軍APT攻擊、客戶信任等因素，但仍是漫漫長路。</p> <p>「資安要創業，就得要有團隊，因為很多駭客習慣自行鑽研技術、不擅長團隊合作。」他認為，關鍵在於，組織團隊的人必須知道怎麼用人，每個人要了解自己的角色定位，也有團隊概念、並且能夠彼此合作，因為個人的成功不等於事業的成功，團隊其實是不可或缺的，要做到一加一大於二。</p> <p>蔡松廷說：「我們公司靠團隊成功經營越南市場，執行長一次都沒去過越南，這是我們的驕傲，培養好的團隊之後，也讓我有時間思考未來策略規畫和經營方向。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E8%94%A1%E6%9D%BE%E5%BB%B7600-2-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="font-size: 28px;"><strong>只要有資安創業成功的模式，就一定會有號召力</strong></span></p> <p>臺灣資安產業發展首要面對的挑戰，是國際拓展問題，例如臺灣市場先天規模小，經營海外市場可能缺乏競爭力，出國推廣業務就是需要資金和人才，因為臺灣資安新創還沒有成功模式，對很多創投業者而言，估值很差。</p> <p>蔡松廷最感到困擾的就是「沒有導師可以問」，財務面有投資人可以問，但市場怎麼拓展、布局、切入，他目前只能和其他同為資安創業的同業人士，交流彼此對市場的經驗與想法。</p> <p>他不諱言，很多創投業者鼓勵他直接進入美國市場創業，因為有太多成功經驗，有太多人可以帶著你走到成功階段，「當然！（貿然）去美國，死得也很快。」他笑著表示。</p> <p>臺灣產業發展失衡，也造成人才失衡，蔡松廷表示，有許多頂尖人才都在竹科，許多資安高手也都被台積電、聯發科等大企業挖走，加上人才外流嚴重，很多人都在美國、高科技製造業、外商工作，最後才會到臺灣本土業者；另外，少子化不只影響資安產業，各大產業都受到類似衝擊。</p> <p>蔡松廷表示，他甚至曾經對一個剛畢業的資工系碩士生，開出前所未有的高薪，最後那名碩士生還是選擇到高科技公司任職。</p> <p>他說，不論產業或是人才失衡的問題，都很難解決，但這就是臺灣產業發展、人才流動的現實，必須接受。</p> <p>「創業成功要有足夠人才，以維持競爭力，」蔡松廷評估該公司的SWOT分析，技術人才還算有競爭力，但其他像是做資安產品規畫、資安行銷、資安銷售業務等，都經常都找不到合適的人，像是資安行銷、產品規畫人才，必須自己培養，要找到有能力做海外資安市場的業務人員更難。</p> <p>綜合而言，他認為資安新創公司要生存下去，遇到的最大難題就是「推到海外、成功落地、持續成長」，海外市場一定要有當地團隊經營市場，但是，經營海外市場不一定要馬上成立海外辦公室，一定要有當地的代理商才行。</p> <p><span style="font-size: 28px;"><strong>韌性決勝！在有限的時間內，將每個環節做好</strong></span></p> <p>面對國際情勢詭譎多變，加上資安威脅手法更難以偵測，臺灣未來應該如何「做好資安」呢？</p> <p>蔡松廷表示，答案是維持「韌性」，因為資安戰線太長，怎麼把韌性落實在每一個資安環節是大考驗，關鍵點就是：持續在「每一個防守環節做好每一件事情」，這是沒有止盡還得持續進化的旅程，須跟著駭客攻擊手法應變，時刻掌握新漏洞影響的系統環節。</p> <p>「如何短時間內做好應變，就是一種韌性。」他說，可以參考美國NIST推出的CSF（網路安全框架），從事前、事中、事後不同階段，知道做哪些事情能夠增加韌性；有框架和方法之後，就是要投入資源、培養人才，真正了解如何做好資安，以及如何落實資安的治理。<strong>【本文採訪日期為2024年4月】</strong></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 236px;" /></span></span></strong></a></p> </div></div></div>
2024/6/11 00:00作者黃彥棻https://www.ithome.com.tw/article/163212
《紐時》GitHub憑證外洩致270GB資料被公布網上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《Bleeping Computer》<a href="https://www.bleepingcomputer.com/news/security/new-york-times-source-code-stolen-using-exposed-github-token/" target="_blank">報導</a>，知名媒體《紐約時報》因今年稍早GitHub憑證外洩，讓駭客竊走包括程式碼在內的270GB資料。《紐時》也證實資料外洩一事。</p> <p>此事是由資安研究網站<a href="http://x.com/vxunderground/status/1798856571931263480" target="_blank">vx-underground</a><a href="https://x.com/vxunderground/status/1798856571931263480" target="_blank">披露</a>一名匿名用戶在地下論壇4chan張貼關於竊自《紐時》公司的資料而公開。這名駭客描述，外洩的270GB資料包含約5,000個GitHub儲存庫，其中不到30個有加密保護，外洩資訊有數目不詳的Tar檔共360萬個檔案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-new%20york%20times-leakage-by%20vx-underground.png" style="width: 600px;" /></p> <p>《Bleeping Computer》報導，該批檔案中包含一個文字檔，列出了竊自GitHub儲存庫6,200多個資料夾的詳細清單。根據資料夾名稱判斷，外洩的資訊涉及IT文件、基礎架構工具、程式原始碼等。</p> <p>《紐時》證實此事，並說是今年一月該公司GitHub憑證外洩有關。《紐時》表示第一時間已採取緩解行動，但沒有證據顯示公司內部系統遭非法存取，或影響公司營運。</p> <p>這事件是上周第二起知名公司機密被公開於4chan的事件。上周<a href="https://cybernews.com/news/new-york-times-source-code-leak-4chan-disney-club-pengiun/" target="_blank">迪士尼公司網路遭駭</a>，駭客竊走電玩遊戲《企鵝俱樂部》（Club Penguin）資料及該公司營運和廣告計畫共4.5GB並貼上網。據<a href="https://mashable.com/article/disney-hacked-club-penguin" target="_blank">媒體報導</a>，原因可能是迪士尼2017年關閉了這受歡迎的遊戲，令粉絲挾怨報復。</p> </div></div></div>
2024/6/10 18:49作者林妍溱https://www.ithome.com.tw/news/163383
LastPass Chrome外掛更新出包引發服務中斷，用戶被鎖大半天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周末密碼管理服務商LastPass發生外掛更新問題，致使服務無法使用超過8小時。</p> <p>LastPass用戶上周五（6/6）反映無法使用，促使該公司啟動調查，並於周末<a href="https://status.lastpass.com/" target="_blank">公告說明</a>。事件大約發生在協調時間同日下午5時，當時用戶會在試圖登入帳號時發生登入逾時。LastPass直到6月7日凌晨零時才公佈，原因出在一個Chrome瀏覽器外掛更新不慎造成後端基礎架構的載入問題，也開始著手修復。距首次公告超過8小時後，LastPass宣布服務效能已回到正常。</p> <p>雖然LastPass很快回應效能事件，但已引發用戶不滿。一名用戶<a href="https://www.reddit.com/r/Lastpass/comments/1d9s599/lastpass_is_down/" target="_blank">反映</a>他連離線登入都無法使用，另一名用戶則不滿LastPass基礎架構沒有備用機制，導致他所有網站都被鎖住，直到問題修復。用戶表達失望之餘，有人說考慮轉換服務，至少不必擔心資料外洩，也有人早就跳槽。</p> <p>這是LastPass繼2022年8月<a href="https://www.ithome.com.tw/news/152730" target="_blank">被駭</a>，造成程式碼及用戶<a href="https://www.ithome.com.tw/news/158995" target="_blank">資訊外洩</a>後，再度發生服務事件。LatPass的重大資安事件已引發用戶集體控告。去年公司又再<a href="https://www.ithome.com.tw/news/157506" target="_blank">發生</a>導入多因素驗證（MFA）未周詳規畫，致使用戶被強制登出後無法再登入，且未能在第一時間回覆用戶求助，令用戶感到心寒。</p> </div></div></div>
2024/6/10 16:25作者林妍溱https://www.ithome.com.tw/news/163382
Martech雙周報第55期：微軟揭露新行銷策略規畫助理工具，能自動化生成、比較多種策略並填寫廣告訂單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI技術對數位行銷界帶來的影響持續加深加廣，從行之有年的AI代投開始，去年以生成式AI支援素材生成及優化的工具開始百花齊放，近期數位廣告界更陸續推出用AI來輔助，甚至代理部分行銷策略規畫作業的功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #自動化廣告投放 #行銷策略規畫輔助</span></span></strong><br /> <strong>微軟揭露新行銷策略規畫助理工具，能根據非結構化文字提示來自動化生成、比較多種策略並填寫廣告訂單</strong></p> <p>微軟近日揭露一個內部正在試用的行銷策略規畫助理<a href="https://about.ads.microsoft.com/en/blog/post/may-2024/coplanner-revolutionizing-ad-operations-with-advanced-ai">Media CoPlanner</a>，可以根據非結構化文字提示，來自動化生成、比較多種策略，並自動填入廣告投放系統欄位，大幅降低從行銷策略發想到實際投放廣告的時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cpya(1).jpg" style="width: 600px;" /></p> <p>具體做法是，利用GPT-4來讀取行銷人員輸入的行銷策略形容，從中提取日期、出價、目標受眾等關鍵訊息，並轉化成JSON檔案。接著，拋轉這些資訊到微軟自家行銷管理及分析工具Yield Analytics，檢查廣告投放策略可行性，甚至會自行提出不同行銷做法組合，並比較預測成效。行銷人員選定行銷策略後，CoPlanner會自動將所需資訊填入廣告訂單管理系統中的欄位，省下人工輸入時間並降低操作失誤風險。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cpoms(1).jpg" style="width: 600px;" /></p> <p>目前，這些工具只在微軟內部使用，他們也未公布此工具的商品化時程，只表示會持強化此工具功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#自動化行銷 #生成式AI #行銷策略規畫輔助</span></span></strong><br /> <strong>Salesforce針對廣告主及零售業者推出行銷策略規畫助理功能</strong></p> <p>CRM大廠Salesforce也持續在旗下AI行銷產品線Einstein推出新功能，<a href="https://www.salesforce.com/news/press-releases/2024/05/22/einstein-copilot-marketing-commerce-news/">近期推出了針對一般廣告主及零售業者的行銷策略規畫助理Einstein Copilot for Marketing及Einstein Copilot for Commerce。</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/esiscopi.jpg" style="width: 600px;" /></p> <p>這兩個工具以聊天機器人形式呈現，會根據預設行銷模組，加上企業的數據及自然語言輸入，來生成對應內容。以一般廣告主的Einstein Copilot來說，可以根據生成行銷企畫建議、內容、KPI、受眾等。零售業者用的Einstein Copilot則可以自動化生成個人化推薦、適合SEO的商品描述，以及電商頁面素材等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#串流平臺廣告 #DSP #SSP</span></strong></span><br /> <strong>Netflix擴大程序化廣告合作生態圈，並預告明年推出自家廣告平臺</strong></p> <p>開始擁抱AVOD商業模式後，Netflix不斷增加對數位行銷科技的投資及布局。先前，他們已經透過Microsoft平臺販售程序化廣告<a href="https://about.netflix.com/en/news/netflix-upfront-2024-the-year-of-growth-and-momentum">。近日，他們更宣布要與The Trade Desk、Google Display & Video 360、Magnite等大型DSP及SSP合作提供更多程序化廣告服務。</a></p> <p>不只與大型Martech廠商合作，Netflix更自己投入IT資源開發Adtech。Netflix廣告業務總監Amy Reinhard預告，他們計畫2025年底前推出包括廣告投放及行銷數據洞察等功能的數位廣告平臺。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#DCR #第一方數據交換</span></span></strong><br /> <strong>Amazon針對廣告版位商推出成效數據協作工具，結合廣告主、廣告平臺等多方數據源來評估並優化廣告成效</strong></p> <p>Amazon針對網頁及串流電視廣告版位商的Martech產品線Amazon Publisher Services推出<a href="https://aws.amazon.com/tw/blogs/media/gaining-media-insights-while-protecting-customer-data-with-amazon-publisher-cloud-apc-powered-by-aws-clean-rooms/">數據協作產品Publisher Cloud</a>。這個產品以Amazon自家數據無塵室（DCR）為基礎，主打在符合隱私的前提下，整合廣告版位商、Amazon平臺、第三方數據數據商、廣告主、第三方廣告商等數據，來呈現出在版位商投放廣告時的成效。</p> <p>結合這些數據後，版位商還能利用此工具劃分出獨特分眾，並快速將版位及受眾打包，拋轉到Amazon DSP，供廣告主購買。此工具也具備簡單的即時數據分析功能，讓版位商能進一步調整自家廣告版面，來加強成效。</p> <p>此工具已正式推出，但目前只開放給美國及加拿大版位商使用。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #自動化投廣 #社群媒體電商</span></span></strong></p> <p><strong>Tiktok推出AI行銷素材製作平臺及自助式自動化行銷平臺</strong></p> <p><a href="https://newsroom.tiktok.com/en-us/tiktok-world-2024">短影音平臺Tiktok發表了多種數位行銷功能，</a>包括數項利用AI技術強化素材生成及廣告投放的功能。首先是Tiktok Symphony，一個利用生成式AI來輔助影片劇本寫作及素材優化的工具。</p> <p>不只如此，他們還針對一般廣告主及平臺上電商分別推出自動化投廣功能。前者是根據營收、互動及App安裝等轉換目標來自動化投廣的功能。廣告主設定好預算及轉換目標，並上傳相關廣告素材後，此功能便會利用預測型AI技術自動挑選適合素材，並投放廣告給適當受眾。後者功能與前者類似，不過還會進一步將合作夥伴抽成及電商平臺費用等支出也考量進廣告投放策略。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#供給方數據 #廣告版位數據分析 #流量分析</span></span></strong><br /> <strong>Amazon推出廣告版位商用的廣告數據分析工具</strong></p> <p>不只推出Publisher Cloud來整合多方數據以利於受眾劃分和廣告投放，<a href="https://aps.amazon.com/aps/resource/amazon-publisher-services-unveils-new-adtech-capabilities-at-annual-aps-summit/">Amazon還推出了以專門用來分析版位商自家廣告相關數據用的工具Signal IQ</a>。這個工具功能類似Google Analytics，可以用來分析網站，也就是廣告版位的各種互動數據。差別是，後者以廣告相關數據為分析主體，而非一般性網站事件。Signal IQ還結合了LiveRamp及Yahoo等其他廣告商的數據來源，進一步豐富版位商分析數據的面向。</p> <p>目前此工具仍處Beta階段，開放給歐美日版位商測試。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://www.facebook.com/business/news/catalog-product-video-a-new-solution-to-maximize-automation-performance">Meta商品目錄廣告開始支援影音素材，可以根據消費者瀏覽習性推播靜態或動態影像廣告</a></p> <p>2. <a href="https://www.wsj.com/articles/paypal-is-planning-an-ad-business-using-data-on-its-millions-of-shoppers-cc5e0625">PayPal將擴大廣告事業，利用手上交易資料來強化廣告投放</a></p> <p>3.<a href="https://www.nielsen.com/news-center/2024/nielsen-launches-the-media-distributor-gauge-first-convergent-tv-comparison-of-its-kind/"> 因應電視廣告型態多元化，尼爾森推出囊括不同電視類型的收視報告以更緊密追蹤受眾分布</a></p> <p>4. <a href="https://www.globenewswire.com/news-release/2024/05/29/2889951/0/en/Tealium-expands-global-capabilities-for-customers-with-European-Unified-ID-integration.html">CDP巨頭Tealium開始採用EU專用版UID 2.0，成為第一個直接整合此第一方數據解決方案的大型Martech商</a></p> <p>資料來源：iThome整理，2024年5月</p> <p>責任編輯：郭又華</p> <p>圖片來源：微軟、Salesforce</p> <p></p> </div></div></div>
2024/6/10 12:18作者郭又華https://www.ithome.com.tw/news/163321
微軟將預設關閉Copilot+ PC中的Recall功能，以平息隱私疑慮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在遭到隱私和安全性的質疑後，<a href="https://blogs.windows.com/windowsexperience/2024/06/07/update-on-the-recall-preview-feature-for-copilot-pcs/" target="_blank">微軟上周宣布</a>將Copilot+ PC中的Recall功能由預設改為自願加入（opt-in）。</p> <p>5月20日微軟偕高通與宏碁、華碩等OEM<a href="https://www.ithome.com.tw/news/162989" target="_blank">公布內建AI功能的Copilot+ PC</a>。其中Recall是最具代表性，也是Copilot+ PC專屬的功能。它能定期快照記錄使用者在PC上的上網或PC活動，可讓用戶檢視並回復之前應用程式執行狀態。但這項功能仰賴PC持續蒐集資料，引發資安專家穩私疑慮。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-surface-laptop--recall-Copilot%2B%20PC-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> <p>微軟在最新的宣布中指出，由於聽到業界應提供啟動Recall自主選擇的呼籲，微軟宣布在Copilot+ PC 6月18日開賣前更新Recall的設定，允許自願（opt-in）啟動，以便儲存快照在PC上。如果用戶未主動選擇啟動，它預設是關閉的。其次，要啟動Recall，必須註冊Windows Hello，而且要在Recall中檢視時間軸和搜尋，也必須經過Windows Hello生物驗證。第三，微軟為Recall再增加一層Windows Hello進階登入安全（Enhanced Sign-in Security，ESS）的適時（just-in-time）解密防護，只有在用戶驗證當下可以解密Recall快照，而且微軟也加密了搜尋索引資料庫。</p> <p>Recall的作用原理是記錄用戶在電腦上做的一切事情，再以AI加上索引，將之轉成可搜尋的快照。它在搜尋某份文件或某張相片、某檔案相當有效，即使用戶輸入的關鍵字很模糊。用戶也可透過時間軸來查詢內容，不管這些內容是存在於應用程式、網站或文件中，Recall也可提出建議。Recall個人化索引結果完全儲存在本機上，不會上傳雲端，還有多重安全防護，像是Recall記錄時會清楚告知用戶，且不會儲存Edge瀏覽器的隱私上網（InPrivate）快照及數位版權憑證，且允許用戶檢視、過濾和刪除它蒐集的快照。</p> <p>但資安專家仍對Recall有相當疑慮。例如安全專家<a href="https://www.windowscentral.com/microsoft/do-you-trust-microsoft-with-a-feature-like-windows-recall" target="_blank">Kevin Beaumont發現</a>，Recall的快照資料只在用戶未登入PC時才會加密，像是電腦被偷、被搶時會啟動加密保護。在用戶登入電腦情況下，Copilot+ PC系統不會加密，而是存在SQLite明碼資料庫上，表示這些資料可為人類或應用程式讀取。若用戶電腦遭植入間諜程式，使用紀錄即可能曝險。</p> <p>《The Register》認為，微軟提供的還不夠，因為Recall的網站過濾功能僅限使用Edge瀏覽器時，且無法能根據GDPR規定，在資料控制者刪除來源資料後，刪除應用程式內曝露的個資，造成處理個資組織的遵法問題。</p> <p>基於Recall的安全疑慮，英國政府已在上個月底<a href="https://www.ithome.com.tw/news/163045" target="_blank">啟動調查</a>。</p> </div></div></div>
2024/6/10 13:12作者林妍溱https://www.ithome.com.tw/news/163381
【2024臺灣資安年鑑｜資安十年特輯】從重視網路安全到企業安全，為資安創業提供有利條件
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_shi_nian_-qiu_ming_zhang_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣資安產業在過去十年中，經歷了巨大的變革，從技術和社群層面到政府政策和產業實踐，都帶來了深遠的影響。</p> <p>身為臺灣資安連續創業家、也是奧義智慧創辦人兼執行長邱銘彰表示，十年前，資安技術主要是以賣各種網路和資安設備為主，但隨著技術的發展，以及重視並專研各種資安技術的資安社群興起，起到了推波助瀾的作用，資安產業逐漸從設備銷售轉向了服務導向。</p> <p>「先有了資安需求，就會帶動資安的供給，」他指出，像是APT（Advanced Persistent Threat，進階持續性威脅）攻擊對於政府和企業帶來重大的威脅，為了解決這樣的問題，便開始有人創立提供APT攻擊解決方案的資安新創公司。</p> <p>後來，政府開始從政策面支持資安產業的發展；更因為企業開始有更多的技術應用，連帶著，政府也從法規面對資安，開始有更多的規範和要求，帶動各界重視資安議題。</p> <p>他以金融業為例，金融業在金融科技（FinTech）和App應用程式，有許多的資安要求，促使金融業必須將更多的資源和預算用於資安方面，這也讓金融業對於資安的重視程度和資源投入，甚至超過了政府。</p> <p>許多企業對於資安的重視層面也有變化，近幾年，從以往只關心資訊安全（Information Security）轉變到網路安全（Cyber Security），而且，現在更重視整體的企業安全（Safety）。</p> <p>邱銘彰認為，這些變化來自於多方因素的影響，從技術的發展到政府政策的改變，都對資安產業帶來深遠的影響，也為後來許多資安新創公司的成立和發展，提供了有利條件。</p> <p><span style="font-size:28px;"><strong>資安即國安是挑戰，也是機會</strong></span></p> <p>在當今世界，資安已經成為國家安全的重要組成部分，特別是對於像臺灣這樣的國家來說，資安更是關鍵議題，因為任何資安漏洞，都可能對國家的穩定和發展構成威脅。</p> <p>因此，過去幾年來，政府即將資訊安全納入國家安全政策的重要範疇，推出「資安即國安」的大政策方針，而透過這樣的政策方向轉變，對於政府在制定和執行資安政策上，已經產生了相當顯著的影響。</p> <p>政府推出的資安政策，旨在提高國家的資安水準，保障國家關鍵基礎設施的安全，並應對不斷增加的資安威脅。隨著政府對於資安議題的認知和理解程度的提升，政府也開始意識到，資安不僅僅是企業和個人的問題，更是關乎國家安全的重要議題。</p> <p>由於資安議題關乎國家整體的安全和長期發展，需要政府、產業界和社會各界的共同努力，才能有效應對。因此，許多接手政府資安政策和產業發展計畫的公務人員，在制定和實施資安政策時，會更加注重全局的規畫和整合，力求實現資安在國家發展中的全面性和保障範圍。</p> <p>政府也通過與產業界的合作與協調，不只積極聽取各方意見和建議，制定更加符合實際產業需求的資安政策，更通過政策制定企業的資安規範，以應對日益增加的資安威脅與挑戰，做到保障國家、社會和企業的資訊安全。</p> <p>此外，隨著政府對資安產業的支持和投資，促進資安技術的創新活力，推動資安技術不斷進步和提升，提升臺灣資安產業在國際上的競爭力以及能見度，帶動不同行業之間的跨界合作，形成不同產業的資安生態聯盟，這些突破對於臺灣資安產業生態系統而言，都是一種良性循環。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E9%82%B1%E9%8A%98%E5%BD%B0-600-1-JPG.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／洪政偉）</span></p> <p><span style="font-size:28px;"><strong>企業從重視資訊安全到資安治理，產業龍頭帶頭重視資安</strong></span></p> <p>過去，企業對資安的關注面向，主要是各種資安威脅和網路攻擊，但隨著資安意識的提高，現在資安已經逐漸轉向資安治理和量化風險。</p> <p>邱銘彰表示，現在的企業逐漸意識到，資安不僅防禦威脅，還包括對資訊的保護和風險管理，從專注各種資安威脅轉而關注資安治理；不管是防範APT攻擊或是目標式勒索，早就成為資安部門的基本作為後，企業會更加關注資安團隊的效能和能量。</p> <p>顯而易見的是，資安的定義也從傳統的資訊安全，轉向更廣泛的安全概念，他指出，過去企業關注的是Security，但現在我們更加關注的是Safety；以前所談論的主要是資訊安全（Information Security），後來在意網路安全（Cyber Security），現在更重視的是企業安全（Safety），而不管是資訊安全或是網路安全，都是企業安全重要的一環，也反映了產業的發展與變化。</p> <p>這樣的轉變，也意味著，企業不只需要關注威脅和攻擊，也必須關注牽涉到企業維運的系統安全性和穩定性，這同時反映出，資安產業發展逐漸成熟，更體現了企業對資安有更高要求。</p> <p>「有一些產業龍頭公司的資安舉措，對資安產業的發展起到了示範作用。」邱銘彰說，以2018年8月發生的台積電產線電腦中毒事件為例，這對全臺灣帶來重大衝擊，也引起了整個高科技產業的警覺。</p> <p>他表示，許多產業龍頭公司因此紛紛加強對資安投入的資源和防範措施，也開始打造資安團隊，並且設立資安主管或資安長一職，承擔起企業的資安治理的重責大任。</p> <p>邱銘彰認為，這些產業龍頭公司的資安舉措，不僅提高整個產業的資安意識，也推動資安服務產業的發展。</p> <p><span style="font-size:28px;"><strong>法遵是企業願意投資資安的首要動機</strong></span></p> <p>邱銘彰表示，在臺灣資安產業的發展過程中，有一個因素扮演著關鍵的角色，那就是法遵。當資安合規要求成為主導，企業需要遵守法規才能獲得市場認可時，「資安不再只是成本，而是一個企業競爭的優勢。」他說。</p> <p>因為對於法遵合規的要求，經常占據企業資安投資的主要份額，在資安日益受到重視的背景之下，企業不得不遵守嚴格的法規和標準，以保護個人資料和敏感訊息。</p> <p>因此，法遵成為企業願意投資在資安的首要動機，而未遵從相關法規，則可能導致法律制裁和商業損失。當企業意識到，忽視資安可能導致嚴重後果，因此積極投資符合法規要求的資安措施時，邱銘彰認為資安將不再只是企業的「選擇」，而是不可或缺的要素。</p> <p>他也將臺灣企業對資安投資分為三類，首先是抓駭客和抵禦網路攻擊的投資，這方面的投資比例正逐漸減少中，畢竟，隨著資安威脅的演變，企業開始轉向更為全面的資安解決方案，而不僅是防禦特定攻擊。</p> <p>再者，就是滿足法遵合規要求的預算，邱銘彰說：「法遵也是企業資安預算主要投資的項目，」因為企業必須投入大量資源，來確保其業務符合相關法律法規要求，也必須做到保護客戶數據資料和個人隱私，相關預算往往難有刪減的空間。</p> <p>最後一種，其實也是邱銘彰最不想看到的資安預算安排方式，就是因為缺乏明確的目標和策略性規畫，而這種為資安預算而資安預算的作法，最終往往導致資安預算變成無效的投資，以及浪費。</p> <p>因為法遵是臺灣資安產業發展的關鍵因素，邱銘彰表示，隨著法規要求和資安投資的持續增加，臺灣的資安產業將繼續蓬勃發展；而隨著政府的介入，他也期望，未來數位發展部可以制定中央的資訊資安架構，作為企業推動相關工作的重要參考依據，這不僅有助於企業制定出更加全面和有效的資安防護策略，也可以為企業和個人提供更安全的數位環境。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E9%82%B1%E9%8A%98%E5%BD%B0-600-2-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>善用CTEM及紅藍隊的攻防演練，降低企業資安風險</strong></span></p> <p>以往，我們常將資安防禦視為被動反應，只在受攻擊時才採取行動。然而，現在的資安環境已經發生了變化，我們需要更加重視主動防禦，這意味著，不管是政府或是企業，都需要提前做好準備，對可能的威脅和攻擊進行盤點和識別，以便及時採取措施防範。</p> <p>對此，邱銘彰特別提到IT市場調研機構Gartner在2022年提出的CTEM（Continuous Threat Exposure Management，持續曝險管理），就會是一種新型態的資安管理模式。</p> <p>CTEM就是希望可以管理並解決企業內部環境中，各種無止盡的曝險清單，例如漏洞清單，希望可以做到識別並優先修復，對企業影響最大的風險曝露點，迅速識別出最危險的攻擊路徑，而非一味追蹤無數個漏洞。</p> <p>邱銘彰認為，CTEM結合資安防禦與業務營運，可以更好地理解並評估資安威脅，做到及時發現漏洞，還能發現企業無法修補的潛在風險，進而提高企業整體的資安防禦能力。而Gartner也預測，到2026年，根據CTEM計畫確定安全投資優先級別的企業，將減少三分之二的漏洞。</p> <p>此外，在資安防禦中，紅隊和藍隊分別扮演著非常重要的角色。他說，紅隊負責模擬攻擊，以測試系統的安全性和防禦能力，從而發現和修補可能存在的漏洞和弱點；而藍隊則負責量測系統的邊界，以及評估可能攻擊路徑，可以做到提前發現和預防潛在的威脅。</p> <p>因為資安是一個永遠在變化的領域，在資安防禦中，團隊協作是至關重要的。我們需要建立一個高效的團隊，將不同專業領域的人才聚集在一起，共同應對資安挑戰。只有通過團隊的協作和合作，我們才能更好地應對日益複雜和多變的資安環境。</p> <p><span style="font-size:28px;"><strong>資安創業初心，為了改變產業現況並擁有話語權</strong></span></p> <p>作為多年持續受到矚目的臺灣資安創業典範，早在2005年邱銘彰就創辦第一間資安公司：艾克索夫（X-Solve），主要是針對惡意文件提供防護並作惡意程式分析的廠商，並在2007年成功賣給美商阿碼科技（Armorize）。</p> <p>接著，邱銘彰在2011年又協同其他創業夥伴成立新的資安公司：艾斯酷博（Xecure Lab），主要鎖定當時大家最關注卻也最難解決的APT攻擊，因為該公司產品可以成功偵測APT惡意郵件，以及APT惡意程式，也在2014年成功賣給在美國上市的以色列安全公司Verint（威瑞特）。</p> <p>經歷兩次成功的資安創業後，邱銘彰在2017年11月，又協同吳明蔚和叢培侃共同創辦奧義智慧，是臺灣最早以人工智慧（AI）角度成功切入資安領域的資安新創。</p> <p>身為資安連續創業家，邱銘彰回顧創業初心，有著對資安產業滿滿關注和使命感。</p> <p>他坦言，創業的初心之一，就是想要改變資安產業的現狀。因為在過去，許多人對資安產業抱有負面看法，認為它充滿了問題和挑戰。</p> <p>然而，作為資安連續創業家，邱銘彰堅信「不能只是把嘆氣當做結尾，」他創業就是要積極地思考如何改變現狀，藉由提出創新的解決方案，積極參與資安產業的發展，促使資安產業朝向更加穩健的發展道路。</p> <p>他認為，只有成為資安產業的一份子，成為資安產業的玩家，才能為產業的進步和發展做出貢獻，才能具有話語權以及影響力，例如，可以通過積極參與產業活動、學術交流，以及與學校合作培育新人，做到努力擴大自己的影響範圍，積極推動資安產業的發展。</p> <p>邱銘彰表示，企業、學術界和政府應該攜手合作，加強對資安人才的培養和引進，培養出更多具有專業知識和創新能力的人才，為產業的發展提供強而有力支持，才能夠共同推動資安產業的創新和發展，建立起更加完備和穩健的產業生態系統。</p> <p>邱銘彰也深信：「技術創新是推動資安產業發展的關鍵。」隨著科技的不斷進步和演變，資安技術也將不斷更新和升級，也也成為資安產業發展的新動力和新機遇。</p> <p>由於奧義智慧是以AI切入資安領域的公司，邱銘彰認為，人工智慧技術的發展，如ChatGPT等，也對資安產業產生深遠影響。這些技術的應用，不僅提高資安攻擊的智能化水平，也為防禦提供新的思路和工具。資安人員需要不斷學習和適應，以應對新興技術帶來的挑戰。<strong>【本文採訪日期為2024年4月】</strong></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 236px;" /></span></span></strong></a></p> </div></div></div>
2024/6/10 00:00作者黃彥棻https://www.ithome.com.tw/article/163114
【2024臺灣資安年鑑｜資安十年特輯】法遵議題是驅動臺灣資安產業發展關鍵
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_shi_nian_-hong_wei_gan_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，各種資安攻擊威脅經歷巨大的轉變，從以往的低調潛伏國家型駭客，逐漸轉變為現在高調且引人注目的目標式勒索，這種攻擊形式的改變，深刻的影響了社會大眾和企業對資安威脅的認知，迫使他們必須更積極地應對網路威脅。</p> <p>趨勢科技臺灣區總經理洪偉淦提及，像是戰爭型態的改變，也對資安發展產生了重大影響。最具體的例子便是，2022年爆發的烏俄戰爭，更清楚彰顯出，國與國之間的對立，已經演變成以資訊戰為前提的情報戰爭。</p> <p>洪偉淦認為，這種戰爭型態的轉變讓人們意識到，現今的網路戰爭已經具有前所未有的影響力和危險性，也促使更多人對資安的重視。</p> <p>資安政策制定和推動，對臺灣資安發展扮演關鍵角色。洪偉淦表示，政府應該針對不斷變化的威脅環境，制定相應的法規要求，以保護國家和民眾的資訊安全，同時政府也為企業提供必要的政策支持和保護，以帶動資安產業整體發展，例如政府提供企業資金支持和稅收優惠等措施以促進資安產業發展。</p> <p>他以金管會為例，金管會修訂了上市櫃公司重大訊息公告程序，要求在發生資安事件時，必須發布重大訊息，這一舉措，不僅提高了企業對於資安的重視程度，更推動了資安市場的發展。</p> <p>資安人才的培育和扎根，是資安發展的關鍵因素之一。洪偉淦表示，臺灣資安社群在國際競賽中取得了優異成績，引起了政府的關注，而在這段期間，有許多資安新創公司也應運而生，進一步推動了臺灣資安產業的正向發展。</p> <p>洪偉淦認為，資安社群的興起，為臺灣提供了更多的資安人才，也為資安產業的未來發展注入新的活力；但是，政府對於資安人才的培養，不只是要提供相應的課程培訓，也應該通過配套的政策措施，吸引更多資安人才願意投入相關領域。例如，政府可以通過提高資安工作的薪資水準，並且改善工作環境等方式，藉此吸引更多資安人才願意投身資安產業。</p> <p>資安對提升臺灣國際競爭力，及國際角色的扮演，都具有關鍵的作用力。</p> <p>洪偉淦坦言，資安不僅僅是企業面臨的問題，也是國家面臨的問題，因此，政府不只要積極推動資安產業的發展，也應該將資安轉化為國家的競爭優勢，像是政府可以通過制定相應的政策措施，促進資安產業的穩健發展，同時，還可以為保障國家的資訊安全，提供更加堅實的基礎。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E6%B4%AA%E5%81%89%E6%B7%A6-600-1-JPG.jpg" style="width: 600px; height: 310px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>政府法遵要求，成臺灣資安發展主要動力</strong></span></p> <p>在臺灣資安產業的發展過程中，洪偉淦表示，政府的法規制定，對於塑造資安產業的發展方向和市場格局，扮演關鍵性的作用。長期以來，資安問題一直被視為重要議題，然而，隨著資安威脅日益增加，政府不得不加強相關法規制定，以應對不斷變化的威脅形勢。</p> <p>首先，政府透過法規制定，規範企業因應資安事件的作為。他進一步解釋，金管會於2021年4月修訂了「臺灣證券交易所股份有限公司對有價證券上市公司重大訊息之查證暨公開處理程序」，將資安事件納入企業發布重大訊息範疇，也規定相應的處理程序。</p> <p>政府這樣的舉措，規範上市櫃公司一旦發生資安事件，就必須立即發布相關的重大訊息，從而提高了企業對於資安的關注度，也使得資安管理成為公司營運不可或缺的一環。</p> <p>其次，政府法規也對企業的資安管理機制，提出具體要求。例如，金管會要求上市櫃公司必須設立資安專責單位，並指派資安長負責資安事務。洪偉淦認為，主管機關的要求，不僅使得企業高層對於資安議題更加重視，也為資安市場帶來了更多的機遇和挑戰。</p> <p>例如，金管會通過修訂內部控制制度處理準則，要求上市公司設置資安專責主管和資安專責人員，並將公司納入不同等級進行分類管理。這一舉措，同時強化企業的資安管理機制，進而提高企業對於資安議題的重視程度。</p> <p>他表示，對於符合相關規定的公司而言，設立資安專責單位，已經成為一項必要的法規要求，政府通過對資安事件的規範、對企業資安管理機制的要求，以及對資安管理的落實，政府法規讓企業正視資訊安全的重要性，也帶動並促進資安市場的發展和繁榮、拓展資安產業的規模。</p> <p><span style="font-size:28px;"><strong>台積電將資安事件，轉成產業資安的動力</strong></span></p> <p>除了政府的法規要求外，洪偉淦認為，台積電在2018年8月3日所爆發的資安事故，對於臺灣整體的資安發展，也是一個重大的轉捩點。</p> <p>台積電因為生產線電腦中毒，造成當機三天，該起資安事件，也讓台積電於當年的第三季，認列25.96億元的損失，也是臺灣企業因單起資安事件，造成實質損失最大的事件。</p> <p>洪偉淦表示，臺灣應該從台積電的資安事件中，要有更深刻的體會和學習。首先，台積電作為臺灣資安防護的模範生，爆發資安事件後，對各界帶來的震撼和衝擊，不僅在於事件本身造成的損失，更在於這次事件暴露了，即便是資安防護領域的佼佼者，也無法完全避免遭受資安攻擊的事實，這對臺灣資安產業而言，無疑是一次深刻的警醒。</p> <p>然而，洪偉淦認為，更值得各界關注的是，台積電在事件後所展現的應對措施和後續行動。他說，台積電從爆發資安事件後，不僅積極強化了內部和外部的資安防禦作為，更重要的是，他們還將對資安的要求，拓展到整個半導體供應鏈業者，推出半導體供應鏈的資安標準，這一項舉措對於整個半導體產業的資安建設而言，提供了一個重要的範例和引領，具有深遠的意義。</p> <p>台積電出面，聯合業界共同推動了半導體晶圓設備資安標準SEMI E187，並且也發布相關資安標準導入指南等具體規範，藉此提升半導體產業供應鏈的安全性。洪偉淦表示，台積電的作為，除了提高半導體產業整體的資安水準外，更彰顯出，臺灣在相關產業的領導地位和影響力。</p> <p>「資安議題不僅僅是技術層面的挑戰，更是一個管理和策略問題。」洪偉淦強調，台積電之所以能夠成功應對資安事件，不僅在於其技術能力強大，更在於其積極的管理以及策略措施。因此，如何從資安治理的角度出發，不斷完善企業的資安策略和流程，才能夠提高其對資安事件的應對能力。</p> <p>洪偉淦說，從全球爆發的Wannacry勒索軟體事件開始，大家就必須意識到，資安攻擊的形式和手法正在不斷的轉變，企業所面臨的網路威脅不斷增加，因此，面對持續演進的資安威脅時，不僅僅是消極被動的抵禦，更應做到主動積極的防護作為。</p> <p>台積電發生資安事件對於臺灣帶來的影響是深遠的，他表示，企業除了要從該起資安事件吸取教訓，不斷完善資安治理並提高資安防禦能力外，更要思考，如何將資安轉化為企業的競爭優勢，才能夠應對未來更大的挑戰。</p> <p>「資安不僅僅是一個保護系統安全的問題，更是一個企業的核心競爭力。」洪偉淦表示，資安是持續不間斷的過程，需要不斷地進行剖析和反思，只有讓資安成為企業的商業優勢，才能真正做到攻防兩端對等，才從被動防禦轉變為主動防禦。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E6%B4%AA%E5%81%89%E6%B7%A6-600-2-JPG.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／洪政偉）</span></p> <p><span style="font-size:28px;"><strong>臺灣資安產業面臨規模化、產品化和國際化挑戰</strong></span></p> <p>臺灣資安產業的發展過程中，面臨著一系列挑戰和關卡，包括市場認知、資安產品的規模化、國際化以及供應鏈資安要求等方面。這些問題不僅影響著企業的發展，也牽動著整個資訊安全產業的未來方向。</p> <p>第一個面臨的挑戰就是，如何提升市場對資安的認知，洪偉淦表示，許多企業高層對於資安的認知，仍然停留在將資安視為合規、不得不做的程度，並非將其視為業務上的競爭優勢。</p> <p>他坦言，這種觀念的轉變需要時間和空間去理解，同時還需要外在環境的推動，像是，企業如何應思考如何將資安納入公司競爭力，將資安視為能夠提升產品安全性、提供客戶更安心服務的競爭優勢；另外，供應鏈業者對資安的要求，這不僅是合規問題，更是影響企業是否能夠進入市場的競爭優勢。</p> <p>洪偉淦認為，臺灣資安產業面臨的挑戰，需要從企業能否認知資安是企業競爭優勢、資安產品如何做到規模化和國際化，以及供應鏈資安要求等多方面進行綜合考量和改進。</p> <p>臺灣有許多資安公司在快速成長的過程中，面臨著如何實現「規模化」的困境。洪偉淦表示，公司如果要做到規模化，就需要擁有更多「產品化」的思維，但同時也要面對，規模化擴大之後「國際化」所帶來的種種挑戰。</p> <p>他認為，唯有實現「產品化」，才能夠實現快速且大量的複製，公司才有辦法做到「規模化」；然而，公司做到規模化後，勢必朝向「國際化」發展，在這段過程當中，則需要大量資金投入，這也牽涉到臺灣在資本投資市場的改善，如何募得更多資金，有助於臺灣資安新創業者，進行海外市場的經營和拓銷，會是突破限制的重要關鍵。</p> <p><span style="font-size:28px;"><strong>臺灣資安產業發展面臨的五大挑戰與展望</strong></span></p> <p>過去十年，臺灣的資安產業經歷了蓬勃發展，但也面臨著不少挑戰。在這段時間裡，資安已然成為國安的一部分，然而，國際情勢的詭譎多變，以及資安威脅手法的演變，對於臺灣的資安產業發展提出了新的挑戰。</p> <p>首先，凸顯資安治理的重要性。企業在談及如何應對未來的資安挑戰時，洪偉淦便強調了資安治理的重要性，因為，資安治理不僅僅是關於技術層面的防禦，更包括對資安政策的制定和執行，以及對資產和流程的有效管理。他表示，透過良好的資安治理，企業才可以提高對資安威脅的應對能力，才能建立更為穩健的資安防禦體系。</p> <p>其次，重視技術更新與資安管理議題。技術的快速更新是資安產業一個永恆的挑戰，洪偉淦指出，面對不斷變化的技術和威脅，企業需要不斷更新自己的資安解決方案，以保護自身免受各種攻擊的威脅；同時，良好的資安管理也是至關重要的關鍵，因為，企業需要確保已有的資安設備和解決方案，可以得到有效的管理和監控，才能夠確保其正常運作和有效性。</p> <p>第三，落實法規的合規與資安實踐。隨著資安意識的提高，越來越多的法規和合規要求也在不斷出現。企業需要遵守這些法規，保證自身的資安運作符合相關的法律法規。然而，僅僅是達到法規的合規，還不足以確保資安，企業還需要將法規合規與實際的資安實踐相結合，才能夠確保資安措施能夠真正發揮作用。</p> <p>第四，重視PDCA循環與持續改進。</p> <p>持續改進是資安管理的重要原則，通過不斷進行的PDCA（Plan-Do-Check-Act）循環，企業可以不斷評估自身資安狀況，找出存在的問題和不足之處，並採取相對應的措施以進行改進。洪偉淦認為，這種持續改進的精神，對於確保企業資安的有效性，至關重要。</p> <p>最後，洪偉淦則強調教育與培訓對於企業資安發展的重要性。他表示，資安意識的提升需要從基層做起，企業應該加強員工的資安教育和培訓，提高他們的資安意識和技能，才能以更加理想的方式，因應未來將面對的各種資安挑戰。<strong>【本文採訪日期為2024年4月】</strong></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 236px;" /></span></span></strong></a></p> </div></div></div>
2024/6/9 00:00作者黃彥棻https://www.ithome.com.tw/article/163113
【2024臺灣資安年鑑｜資安十年特輯】企業重視資安的文化，不能只靠資安事件來驅動
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_shi_nian_-liu_pei_wen_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>幾乎每年在政府機關、上市櫃公司或關鍵基礎設施等領域，都會發生重大資安事件，帶來財務損失、商譽損失、喪失客戶信任度、損害民眾隱私甚至危害國安等負面影響。例如：2016年7月第一銀行ATM遭盜領八千萬元，2023年2月和泰iRent發生40萬會員資料外洩，今年2月，中華電信與國安國防機關出現合約文件外洩。</p> <p>第一金控副總經理兼資安長劉培文表示，相關的受駭單位都需要花費大量資源，去修復因為發生資安事件所帶來的後果，媒體廣泛報導而引發社會大眾的關注，也迫使企業必須正視資安的議題和風險。</p> <p>今年初，臺灣證券交易所修訂重大訊息問答集，明確規範資安事件的「重大性」標準為：「當公司核心資通系統遭入侵以致無法提供服務，即必須重訊揭露。」面對近期政府透過修正相關法令，強化上市櫃公司一旦發生重大資安事件時，都應該即時發布重訊，他說：「倘若企業遭到的資安損失，達到股本的30％或是新臺幣3億元以上時，就應該立即召開重訊記者會。」</p> <p>不過，只用資安事件重大與否驅動企業對於資安的重視，其實是不夠的，劉培文認為，更關鍵的部分在於，企業的資安文化是否已經有所改變？是否可做到平時就從小處著眼、防微杜漸？</p> <p>「企業的流程與資源決定了企業能做什麼，文化與價值觀則決定了企業不做什麼。」劉培文指出，只有從上到下、真正重視資安的企業，因為已有正確的文化與價值觀，才能夠看到輕微的事件與徵兆出現，或看到外部發生的資安事件後，便能夠在既有的流程與資源下，檢討事件背後的根因，甚至願意投資額外的資源、新的流程等，適度及早因應減降資安風險，形成良性循環以避免未來爆發重大事件。</p> <p>有人說，資安在企業組織扮演的角色就像賽車的煞車，但劉培文認為，如果資安人願意擴大視野、綜觀全局，那麼，資安人可以扮演的就不只是煞車的角色而已，而是在拉力賽車中，坐在副駕駛座的導航員。</p> <p>他進一步解釋，這個導航員在發展資訊安全策略和措施時，要觀察內外情勢、綜合考慮業務需求、用戶體驗和風險管理的因素，同時，還要適時地出聲提醒，以及有效溝通協調，確保資安措施不會阻礙業務的發展和創新，才能幫企業創造更大價值。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E5%8A%89%E5%9F%B9%E6%96%87-600-1-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>從5S來評估資安的進展與產業滲透率</strong></span></p> <p>資安認知是企業是否願意推動資安的重要關鍵，劉培文套用創新擴散理論來看，他相信認同資安重要性與價值的機關與企業，已經從16％對技術有狂熱的創新者（Innovators），以及較有遠見的早期採用者（Early Adaptors）的這群人，跨越創新鴻溝（Chasm），大舉向占比為84％的主流市場滲透。</p> <p>所以，不論企業或政府如何推動資安，劉培文表示，重點在於如何運用5S來評估資安的進展，這5S包括：範疇（Scope）、規模（Scale）、速度（Speed）、深度（Substantial），以及典範轉移（Shift of Paradigm）。</p> <p>他進一步說明，就是在每個不同產業範疇，都能做到讓資安滲透到每個業務線，並且每個業務線都能規模化，讓所有服務、產品及流程的整個生命週期，都能適時考慮資安，將有深度具實質影響力的資安控制措施設計在其中。</p> <p>劉培文以自己身處的金融業為例，2020年8月金管會推出金融資安行動方案1.0，以鼓勵的方式，推動一定規模金融機構及純網銀率先設置資安長；隔了一年，也就是2021年9月，修改金控及銀行內稽內控實施辦法，當中的第38-1條，就明確要求銀行必須要指派副總以上或職責相當之人兼任資訊安全長，並設置資安專責單位與主管。</p> <p>2021年12月，再針對上市櫃公司依資本額、業別及營收狀況區分為三級，以這樣的分級與分年推動方式，要求設立資安長、資安專責單位或資安專責人員。這樣的政策制定與推動創造了資安的需求，進而帶動資安的供給，讓資安人才與產業大幅成長，進而促成金融機構及上市櫃公司的資安水準提升。</p> <p>前述例子可看到，透過每年滾動修改政策（Speed），逐步擴大政策適用的範疇（Scope）與規模（Scale），就能帶動實質與深度（Substantial）變革。</p> <p>他也提及，金融資安行動方案2.0的精進的性質包括擴大適用、落實深化及鼓勵前瞻，例如金管會2023年擴大開放金融業上雲，就要求因應數位轉型及網路服務開放，增修訂自律規範，深化核心資料保全及營運持續演練，並鼓勵零信任網路部署，這些都是所謂的資安典範轉移（Shift of Paradigm）。</p> <p>他說「這個時代唯一不變的就是時代一直在變，」業務與資訊的典範勢必不斷遷移，資安自然無法置身事外。</p> <p><span style="font-size:28px;"><strong>資安產業發展難逃少子化衝擊，需正視雲端布局的重要性</strong></span></p> <p>資安產業蓬勃發展有三大核心驅動力，劉培文指出，第一是全球地緣政治局勢變化和不穩定性，特別是中國崛起影響力擴大，伴隨中美貿易戰加劇。</p> <p>其次，社會對於個人隱私權和數據保護意識的提高，人們對於個資與隱私侵犯的擔憂日增加，各國政府對於數據隱私和資訊安全的法規和合規要求，也越來越嚴格。</p> <p>第三，因為我們現在身處在第四次工業革命時代，數位技術、物聯網、人工智慧、基因工程等新興技術應用蓬勃發展，這很自然伴隨而來網路犯罪，以及駭客攻擊的猖獗。</p> <p>臺灣資安產業不脫這三種驅動力形成的框架，但他坦言，來自中國的網路攻擊又比其他國家有過之而無不及，也是臺灣資安產業發展最關鍵的驅動力。因為面臨對岸長期持續攻擊，也讓臺灣在資安人才養成與培育有很大進步，而有這樣大量的防護需求及專業人才供給，自然也就催生資安產業的發展。</p> <p>至於資安產業發展的挑戰，可將資安產業再細分，因為服務或產品形式不同，所需要的推動策略就不同。劉培文把資安產業概分為三類：管理諮詢、技術服務、軟體方案。</p> <p>管理諮詢類賣的是國際經驗與品牌，特別是因為各國監理制度及國際標準要求，所衍生出的制度建立需求；技術服務類賣的是在地客製化的服務需求，不論是滲透測試、攻防演練、SOC監控或事件處理，都屬於服務的範疇。</p> <p>他認為，不論管理諮詢或技術服務形式的資安服務，都是靠專業人力（head count），這些培養出來的諮詢和技術人才與各垂直產業（如金融、高科技）所需的產業資安人員流通容易。</p> <p>由於管理諮詢及技術服務目前還是非常仰賴高素質的人力，在資安管理法施行，以及上市櫃公司被要求設立資安長與資安專責部門、人員，是否對資安產業與產業資安間對人才的競爭造成不良影響，還有待觀察外，劉培文直指，在人力問題背後，隱含的是臺灣面對少子化對各個產業造成的衝擊。</p> <p>根據內政部統計，臺灣的出生率自2015年開始一路下滑，每年減少大約萬名新生兒；2023年上半年再創新低，只有6萬多名新生兒。低出生率連帶使社會新鮮人的人數大幅下降。教育部統計處指出，2018年前畢業生人數還有30萬人，推估到了2031年畢業生人數將僅剩20萬人。</p> <p>此外，整體勞動人口也呈現直線下降趨勢，2030年整體勞動人口相較2022年減少7%，2040年相較於2022年則將整整減少19%。簡言之，劉培文觀察到，若要改善資安產業甚至每個產業面臨的關卡，須正視少子化的問題。</p> <p>由於管理諮詢及技術服務的產值主要來自人員的服務，產業產值很難擺脫線性成長，劉培文認為，若要期待資安產業的產值能有指數成長，勢必要靠國內自主研發的資安軟體解決方案。</p> <p>但資安軟體解決方案嚴格來說，其核心主體是軟體，資安只是其中一項功能，比例上來說，劉培文表示，它更需要軟體開發與產業的量能，而這點可能是資安產業發展政策長期被忽略的。</p> <p>他表示，臺灣的軟體解決方案還必須具備能與國際級廠商產品競爭的性價比，且這個性價比的比較，是要求性能必須達到一定水準，而非單純只靠低價策略或政策保護。</p> <p>對產業資安來說，在選擇資安解決方案時，看重的是整體的安全程度、安全水準及性比，這也導致臺灣自主研發資安軟體解決方案的廠商，大多選擇利基市場，缺乏進入多功能、大規模且具國際競爭性市場的能量。</p> <p>在此同時，臺灣自主研發的資安軟體解決方案還要面對更具挑戰性的未來，劉培文指出，特別是生成式AI出現，讓企業組織上雲（尤其是公有雲）的步調加快後，政府是否有政策引導國內軟體解決方案的廠商，在雲端及早布局是非常重要的。可以預期的是，在進入公有雲市場後，產業中大者恆大的趨勢，將會比過去在地端的市場更明顯。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E5%8A%89%E5%9F%B9%E6%96%87-600-2-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>開放金融業上雲，打破技術、業務和資安邊界</strong></span></p> <p>劉培文同時負責銀行資訊、資安及數位的發展，他一直在內部提醒銀行要面對未來競爭，一定要在10年內轉型為數位指數型銀行，也就是所有產品、服務及作業流程，都能夠以「軟體定義」、「Al決策」及「數據驅動」。</p> <p>他先以金融業為例，說明未來金融業資安推動重點的5個方向，分別是：1、極端情境下的業務持續；2、全面性的雲端安全架構；3、結合AI的零信任做法；4、敏捷價值交付的資安流程；5、供應鏈資安治理及管理。</p> <p>他指出，金融業要面對極端情境下的業務持續，當然是因為臺灣面臨地緣政治衝突壓力升高，金融機構必須思考在境內主備中心均失能的狀況下，如何將民眾生活所需最小金融服務，集合在境外雲端運行、提供服務。</p> <p>「金融業者未來是否能夠做到這點，當然與金管會在去年8月調整大幅開放金融業上雲的政策有關。」劉培文表示，上雲政策又與各銀行在進行的資訊現代化相輔相成，因為不論服務中臺、數據中臺或核心系統轉型，其底層都仰賴雲原生的架構，因此雲端安全將成為銀行必須優先關注的第二個重點。而且因為政策的開放，銀行更容易也必須從多雲及混合雲的角度，重新思考雲端安全的架構與技術。</p> <p>由於上雲加快，技術邊境及業務邊境將更快被打破，他認為也讓原本是金融資安行動方案2.0重點的零信任，其推動的深化與規模化，面臨更大壓力。</p> <p>他進一步解釋，未來資安防護的挑戰是：須隨時監控、追蹤、評估與該身分相關的所有行為帶來的風險變動，並據此做風險變動評分，進而即時更動與實施對應此身份的資安政策，也因此動態改變與此身分相連的存取與防護邊界。如此細微與即時的管理，其複雜度與工作負荷，勢必遠超過現有資安單位以人力方式所能支應的情況。</p> <p><span style="font-size:28px;"><strong>學會用生成式AI的技術來解決資安問題</strong></span></p> <p>「資安永遠不是最終的目的，而是確保業務遂行的必要條件之一。」在2022年底生成式AI出現，2023年金管會大幅放寬金融業上雲後，劉培文相信，這對金融業的業務及資訊架構，將帶來革命性的轉變；資安也不可能停留在地端，必須要跟著上雲，同時學習如何運用AI來解決資安的各種問題。</p> <p>他相信，下個世代的「零信任」資安防護核心，最終也將如同業務與資訊的數位轉型，必須做到軟體定義、數據驅動以及Al決策。而生成式AI的誕生，更加確立賦能了這個發展方向。</p> <p>若資訊與資安部門能掌握金融上雲及生成式AI的技術能力，勢必也對金融業的業務數位轉型添加柴火。劉培文認為，金融業將能更有底氣轉型，成為敏捷的組織，利用DevOps / MLOps / DataOps小步快跑，交付數位產品的價值，此時資安就必須向左及向右移動，嵌入開發端及營運端。</p> <p>最後，當前述這幾點開始發展時，供應鏈資安管理的議題將更形嚴峻，不是單憑開發時運用SBOM或SCM軟體，以掌握軟體的來源及組成，還需同時考慮供應鏈及服務供應商的資安治理，確保大型供應商的資安品質及提升中小型供應商的資安水準，這些都是很困難的挑戰。<strong>【本文採訪日期為2024年4月】</strong></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 236px;" /></span></span></strong></a></p> </div></div></div>
2024/6/8 00:00作者黃彥棻https://www.ithome.com.tw/article/163112
永豐金集團數位轉型聚焦AI，從3大應用場景先落地
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「短期先成為最懂AI的金融公司，長期目標要成為最懂金融的科技公司。」永豐金控科技長張天豪用一句話點出他的AI理想目標。</p> <p>2020年，永豐金控啟動數位轉型，定調以AI作為集團的數位轉型核心。他們延攬成大電機系教授張天豪，擔任集團首任科技長，執掌數位科技處，主導永豐科技布局。當年，永豐在數位科技處下設立人工智慧實驗組，起初，團隊僅有8位AI工程師，擴大招幕後，至今已有30位AI工程師，輔助全集團開發、維運AI模型。</p> <p><span style="font-size:28px;"><strong>以三大類應用場景作為三大AI發展方向</strong></span></p> <p>永豐的AI策略強調應用面，瞄準業務行銷、風險決策、流程營運三大場景發展AI應用。不同於單從技術看AI，張天豪認為，從技術面切入，容易忽略金融業實際的需求，他改從應用角度為主，透過這三大類場景，讓AI逐步落地到集團內每個角落。這三大類場景也是他所鎖定的三大AI發展方向。</p> <p>不過，張天豪坦言，剛加入永豐時，對金融業務型態的掌握度不高，並非一開始就選定這三個發展方向。</p> <p>為了找出方向，他帶著團隊與子公司溝通，先和銀行積極合作，再逐步擴大至證券。「我的方式是盡量與每個單位都合作至少一個專案。」張天豪說。</p> <p>逐漸和多個處級單位展開多項專案後，張天豪和技術團隊漸漸掌握各單位的業務型態和需求，才歸納出三個發展方向。</p> <p>四年來，永豐內部超過100個AI專案，使用超過上百個AI模型，目前已提供約30項AI應用。</p> <p><span style="font-size:28px;"><strong>瞄準業務行銷、風險決策、流程營運三大應用場景</strong></span></p> <p>第一類場景的AI應用，是業務行銷AI，以「顧客行銷基因」作為核心應用。透過分析集團內顧客與商品往來的資料和數位足跡，建立每位顧客的行銷基因，來推薦個人化商品。</p> <p>顧客行銷基因可提供多項商品的推薦分數，包括房貸、基金、信貸和股票等商品。例如，業務人員可查詢顧客在不同金融商品的推薦指數，若顧客的股票推薦指數高，業務人員也可以進一步查詢更細的商品子類別推薦指數，例如台股或美股。</p> <p>另一方面，團隊也針對數位客戶或沉睡戶等特定客群額外建模，能根據客群屬性，提供不同的行銷建議。除了輔助業務人員的行銷工作，該應用也能在銀行App上運作，顯示推薦指數前三高的商品。</p> <p>第二類場景是風險決策AI，可協助相關單位進行風險管理工作，包括信貸風險預測、防盜刷、防詐騙、防洗錢等AI應用。</p> <p>此外，永豐也發展防舞弊應用，可偵測理專人員的可疑行為，提前一步防止行員挪用客戶資金。</p> <p>第三類場景是流程營運AI，用來協助提升員工生產力，輔助員工進行營運決策。主要應用涵蓋文件辨識服務，和報表自動化產出工具。</p> <p>除了能快速產出風險評估報告和新聞輿情分析，也能針對金管會的來文自動分類和分析。</p> <p>此外，永豐團隊也發展了不動產估價AI模型，不僅有助於內部相關單位審核房貸，也能協助營運部門進行分行據點選址。</p> <p><span style="font-size:28px;"><strong>通用型應用採批次執行AI運算，特定場景應用採API呼叫提供服務</strong></span></p> <p>根據不同的應用情境，永豐採取不同的AI服務提供方式，一種是，定期且預先執行模型的運算，將結果存放到資料庫。使用者可以通過系統連接資料庫，取得這些預先計算的結果，而不用直接呼叫模型。另一種是將模型部署在API伺服器上，當系統有需求時，即時呼叫API來獲得結果。</p> <p>前者適用於通用型服務，一項應用需提供給多個單位使用，顧客行銷基因就是其中一項例子。</p> <p>張天豪解釋，顧客行銷基因透過上百個模型運作而成，每個模型專注在不同的商品、服務、客群等面向，為了提供商品推薦功能，需要同時運作上百個模型，計算出每種商品或服務的分數，才能條列出推薦指數前三高的商品。</p> <p>若採用即時呼叫的AI服務提供方式，每當使用者登入銀行App時，就必須同時運作上百個模型，難以即時產出結果。因此，顧客行銷基因是採用提前運算的方式運作，避免影響顧客體驗。</p> <p>後者適用於特定場景的的應用，例如，支票辨識和不動產估價服務。</p> <p>相比顧客行銷基因，一次需求就要運作上百個模型，特定場景的應用服務只需透過單一模型計算一份資料，就能產生結果。以支票辨識為例，使用者每呼叫一次模型，模型僅需處理一張支票，即可輸出結果。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1185-%E6%B0%B8%E8%B1%90%E9%87%91%E6%8E%A7CTO-600_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><span style="font-size:28px;"><strong>和業務團隊建立信賴關係，是推動AI的關鍵</strong></span></p> <p>為了說服業務單位使用AI，張天豪和團隊從應用角度切入，在2021年開發顧客行銷基因，希望透過AI來協助業務單位進行精準行銷。</p> <p>在技術研發階段時，張天豪找了三位處級單位的主管參與實驗案，一口氣挑了八個產品進行概念驗證。</p> <p>「當時的想法是，只要八個產品中有一個是AI贏，就有機會吸引業務單位繼續往下走。」張天豪說。結果出乎意料，使用AI輔助行銷後，八個產品的行銷效益皆超過以往的人工作業模式。</p> <p>隨後，技術團隊順利將這項實驗專案轉為正式專案。如今，顧客行銷基因已發展成上百個AI模型運作的應用服務，可提供上百個商品或服務的推薦指數，協助集團內多個業務單位提升商品的行銷效益。</p> <p>經歷這段過程，張天豪認為，相比研發強大的技術，取得業務團隊的信賴，讓技術團隊和業務團隊間保有互信基礎，才是成功推動AI的關鍵。</p> <p><span style="font-size:28px;"><strong>迎戰生成式AI的技術變革</strong></span></p> <p>看準生成式AI的潛力，永豐也積極展開布局。</p> <p>張天豪表示，未來團隊將分為兩條路線推進生成式AI，一方面，持續以三大面向發展AI應用，另一方面，藉由生成式AI提升員工生產力，例如，快速摘要會議紀錄，或撰寫公文和報告等。</p> <p>張天豪表示，提升員工生產力背後的生成式AI應用多屬流程營運，可是，「這不是永豐目前任何一個AI模型擅長的領域。」</p> <p>張天豪看準的生成式AI潛力，是能透過單一模型，提供多種流程營運上的服務，而不用針對每個步驟重新訓練專屬的模型，「生成式AI有能力同時做這些事情。」</p> <p>生成式AI的應用場景，和過往應用AI的方式有所不同，即便是鑽研AI技術多年的張天豪都坦言，自己和團隊正在學習這項技術，從頭摸索生成式AI的應用場景。</p> <p>不過，張天豪並不擔憂技術演變所帶來的人才培育挑戰。他認為，科技技術不斷更替，未來仍有可能出現更卓越的科技，因此，AI技術本身不是重點，關鍵是，找到擁有學習能力的技術人才，且能適應快速變化的技術環境。</p> <p>早在AI資料科學家在招募初期，他就運用這項原則挑選人才，「看的不是AI技術有多強，而是發展潛力，包括學習心態正確、學習能力好。」秉持這項用人原則，張天豪慢慢建立AI團隊，從8位AI工程師，慢慢擴大至30位成員。</p> <p>生成式AI爆紅後，讓企業原本落後的領域，有了重新起跑的機會。張天豪樂觀看待這個變化，他期望自己的團隊相比同業能學得更快，「只要具備關鍵的心態和能力，就可以迎頭趕上。」</p> <p><span style="color:#333333;"><span style="font-size:28px;"><strong><span style="background-color:#FFD700;"> 從AI學者到企業CTO的換位衝擊 </span></strong></span></span></p> <p><strong>不同於同業的AI發展歷程，永豐金控的AI發展起點並不是在內部組織一個AI團隊，而是始於產學合作。</strong></p> <p><strong>永豐金控科技長張天豪認為，在集團從零開始發展AI的過程中，取得業務團隊信任，是推動AI的最大挑戰。</strong></p> <p><strong>早在2017年，於成大電機系擔任教授的他，就開始和永豐進行產學合作，協助永豐發展多項AI研究。張天豪回憶，團隊起初爭取了兩項適合發展AI的專案，後續也成功推出應用，但是，當時並未和業務單位建立足夠的合作基礎，即便技術團隊產出成果，也難以促進業務單位擁抱AI。</strong></p> <p><strong>正式進入業界後，挑戰才在後頭。在一場活動中，張天豪曾分享，原以為產學合作的專案能順利落地，「但進來以後我才知道，其實做得不怎麼樣。」張天豪解釋，並不是學界的技術在業界沒有價值，而是將合作專案完成後，離正式落地仍有一大段距離。</strong></p> <p><strong>例如，產學合作的AI專案一般使用Python語言撰寫，但銀行系統要串接使用AI模型，需要由C#撰寫而成。張天豪解釋，負責該項業務的團隊可能不具備相應的人力資源，難以支持這項維運工程。雖然可以對外尋求廠商協助，但由學生開發的程式碼，未必有廠商願意接手。經歷這段過程，張天豪體認到在學界執行方法論時，不會考慮到的實務細節，「光對落地這兩個字，定義就不一樣。」</strong></p> <p><strong>另一個學界和業界的差異，是能接觸真實且大量的資料，也是吸引張天豪踏入業界的原因之一。他解釋，以往在學界進行研究，為了比較研究成果，學界通常會使用同樣的資料集進行測試，但資料筆數並不大。例如，學界有份知名的信用評估資料，已有30年歷史，資料僅有1000筆，「你要贏過30年來的研究，或是提供準度以外的價值，才能發表一篇論文。」張天豪解釋，資料量較少的情況下，開發成果較難超越他人，反之，「進來（永豐）之後，在可運用的資料範圍及基礎下，可以做出更符合實際客戶需要的產品或服務。」</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> CTO小檔案 </span></span></strong></p> <p><strong>永豐金控科技長　張天豪</strong></p> <p>學歷：國立臺灣大學資訊工程學系博士</p> <p>經歷：現任永豐金控數位科技長、成功大學電機系教授。博士畢業於國立臺灣大學資訊工程學系，長年對AI領域等先進技術有所鑽研，於2017年起與永豐銀行進行產學合作，並於2020年擔任數位科技長，投入精準行銷、風險評估、流程自動化等領域，將AI技術實際導入金融應用場景。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/29_(%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)%E6%B0%B8%E8%B1%90%E9%87%91%E6%8E%A7.jpg" style="width: 280px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p>永豐金控</p> <p>●子公司：永豐銀行、永豐金證券、永豐金租賃、永豐投信、永豐創投</p> <p>●成立時間：2006年7月20日（前身為建華金控，成立於2002年5月9日）</p> <p>●主要業務：涵括銀行、證券、投信、租賃及創業投資等金融產業</p> <p>●員工數：截至2024年2月29日共10,397人</p> <p>●年營收：2023年淨收益達新臺幣539億元</p> <p>●董事長：陳思寬</p> <p>●總經理：朱士廷</p> <p>●部門名稱：數位科技處</p> <p>●部門主管：張天豪</p> <p>●直屬主管：朱士廷</p> <p>●部門分工：掌理永豐金控整體數位金融科技發展策略、數位應用技術研發等事項，並督導及協助子公司數位科技應用發展、數位資源規劃及整合。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI大事記 </span></strong></span></p> <p>●2020年：金控集團啟動數位變革專案，以「場景經營」與「AI與相關數位科技」兩大策略作為科技發展主軸。組織上，由張天豪擔任數位科技處處長，同時在數位科技處轄下設置「人工智慧實驗組」佈局相關研發資源。應用上，發展不動產估價模型和太陽能電廠售電躉購電費單辨識系統，為永豐首要發展的2項AI專案。</p> <p>●2021年：開始和銀行各個處室合作，發展顧客基因、AI智能影像辨識系統等技術應用。資料運用上，制定金控資料治理規章原則及管理架構，包含資料資產與品質管理要點、資料市集管理要點之制定與資料治理之各項管理及推動策略。</p> <p>●2022年：以三大場景業務行銷、流程營運、風險決策作為永豐AI應用發展主軸。陸續導入RPA機器人流程自動化、智能偵測信用卡盜刷模型、打造雲端公開資料平台爬蟲館等應用。資料運用上，整合跨子公司資料的金控客戶單一視圖H360資料庫，供金控與子公司的分析人員運用。</p> <p>●2023年：延伸顧客基因的場景應用面向，該項技術獲得「利用顧客基因之行銷系統」新型專利及「利用顧客基因之行銷系統與方法」發明專利。風險決策方面，結合「鷹眼識詐聯盟」與內部研發量能，透過開發、建置AI識詐模型以強化前端監測系統，於帳戶交易異常發生初期即時偵測。</p> <p>●2024年：持續以三大場景作為AI發展主軸，並持續研究最新生成式 AI 技術，挑選關鍵專案進行先導測試，並根據跨子公司之需求，制定具整合性與完整性之導入策略。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1185-cto-960.jpg" width="960" height="420" alt="" title="永豐金控科技長張天豪　（攝影／洪政偉）" /></div></div></div>
2024/6/8 01:50作者李昀璇https://www.ithome.com.tw/people/163351
臺灣資安超前部署
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在數位技術日益普及的世界裡，我們都想要不斷去除阻礙各種創新與進步的因素，然而，組織對外有駭客、惡意軟體等網路威脅虎視眈眈，對內有心懷不軌或網路衛生習慣不佳的員工、合作夥伴，滲透手法千變萬化、無孔不入，只有想不到，卻沒有做不到，從而導致大家必須付出更巨大的成本，建構可信賴的工作與生活環境。</p> <p>而由於數位世界長期面臨信任危機，資安領域開始有專家倡議解決此問題的框架，也就是如今人人耳熟能詳的零信任（Zero Trust），在這股風潮逐漸形成的過程中，我們持續向臺灣IT界介紹這樣的觀念，例如，在2018年7月，我們發布封面故事《<a href="https://www.ithome.com.tw/article/124684" target="_blank">零信任！重新定義資訊安全模式</a>》向大家說明，隔年我們用「Never Trust, Always Verify」來詮釋零信任，並對比過去的「trust but verify」，突顯傳統資安存在著「信任先於驗證」的盲點。</p> <p>後續我們持續報導零信任的發展動態，像是2021年7月發布的封面故事《<a href="https://www.ithome.com.tw/article/145711" target="_blank">零信任資安時代來臨</a>》，2022年8月發布《<a href="https://www.ithome.com.tw/zerotrust/zta101" target="_blank">ZTA 101</a>》幫大家整理NIST公布的重要參考標準文件SP 800-207，臺灣也在這一年揭露零信任網路戰略，定調政府零信任架構將分三大階段進行，依序聚焦「身分鑑別」、「設備鑑別」、「信任推斷」，2023年8月底，我們也發布封面故事《<a href="https://www.ithome.com.tw/article/158417" target="_blank">拓展零信任應用，臺灣啟動資安採購商機</a>》，報導政府與產業推動身分鑑別的成果，當時已有11家廠商推出的解決方案（8家國產廠商、3家外商），通過政府零信任架構身分鑑別功能符合性驗證，截至今年3月底，又增加兩家國產廠商。</p> <p>而在另一份政府零信任架構身分與設備鑑別功能符合性驗證通過名單中，也列出兩家國產廠商。</p> <p>至於信任推斷，數位發展部資通安全研究院已公布政府零信任架構信任推斷功能符合性驗證檢核表，但目前尚未公布功能符合性驗證的廠商。</p> <p>事實上，信任推斷是更加考驗廠商技術實力與投入發展意願的指標，我們曾經詢問幾家外商，他們對於政府推動的零信任架構都無法提出具體支援的承諾，甚至有些表示要客製而面有難色。</p> <p>原本我們認為這類型的零信任解決方案，因為廠商的產品與技術無法就緒，可能難以如政府預期的時程開始推動，沒想到在5月舉行的2024臺灣資安大會，我們真的看到<a href="https://www.ithome.com.tw/news/162960" target="_blank">有廠商端出這類型解決方案</a>，而且一口氣出現三家，他們都是出身臺灣本土的資安廠商，當中有公司是創立二十多年的老將，有近年來在國際資安市場發光發熱的新秀，有持續耕耘資安技術的電信廠商龍頭。</p> <p>我們之所以發現這些廠商能提供信任推斷解決方案，純屬意外！</p> <p>首先是在大會第二天的主題演講，曜祥網技在介紹他們對於零信任的理念與自身提供的產品時，「信任推斷」這項功能赫然出現在他們主打的功能特色當中，演講結束之後，我們向他們確認此功能的開發緣由，他們表示，是依據國家資安院的檢核表進行開發的，以符合法規的要求，而在該公司的展區當中，這套名為「零信任管理系統擴充」的解決方案，也成為主要的展示重點。</p> <p>第二家我們發現提供信任推斷功能的資安廠商，是這幾年來揚名海外的奧義智慧，他們是目前唯一且連續多次參加MITRE ATT&CK 評測的臺灣本土廠商，在今年臺灣資安大會第二天下午的演講，他們也介紹自行開發的決策控制器／信任推斷模組XCockpit ZeroTrust。</p> <p>第三家我們注意到具有信任推斷技術的廠商是中華電信，他們在大會第一天下午的演講，介紹他們開發的xTrust零信任網路系統，這套解決方案其實去年就已經在臺灣資安大會亮相，到了今年擴增信任推斷機制。</p> <p>除了許多臺灣廠商積極布局零信任架構，今年臺灣資安大會期間宣布成立的<a href="https://www.ithome.com.tw/news/162922" target="_blank">後量子資安產業聯盟</a>（PQC-CIA），我們也看到已經有臺灣廠商秀出他們的解決方案，例如，資深的電子郵件服務與安全廠商網擎資訊，他們長期發展的Mail2000郵件伺服器部署後量子加密技術，去年8月他們已宣布這項消息。</p> <p>除了上述廠商，臺灣目前有許多資安公司正在不斷努力實作，積極拓展AI、OT、萬物聯網等各種創新領域的資訊安全保護機制，我們的超前部署不只是公共衛生、當今熱門的AI硬體加速晶片製造等領域，資安產品與產品資安都會是臺灣能夠為世界做出巨大貢獻的領域。</p> <p><a href="https://www.ithome.com.tw/article/163349" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span></a><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><a href="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1185-feng_mian_gu_shi_-p1_open-960x420_kao_bei_0.jpg?itok=T9rUljRk"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1185-feng_mian_gu_shi_-p1_open-960x420_kao_bei_0.jpg?itok=T9rUljRk" style="width: 550px;" /></a></strong></span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9B%B6%E4%BF%A1%E4%BB%BB">零信任</a></div><div class="field-item odd"><a href="/tags/%E4%BF%A1%E4%BB%BB%E6%8E%A8%E6%96%B7">信任推斷</a></div><div class="field-item even"><a href="/tags/%E8%A8%AD%E5%82%99%E9%91%91%E5%88%A5">設備鑑別</a></div><div class="field-item odd"><a href="/tags/%E8%BA%AB%E5%88%86%E9%91%91%E5%88%A5">身分鑑別</a></div><div class="field-item even"><a href="/tags/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">臺灣資安大會</a></div></div></div>
2024/6/8 01:59作者李宗翰https://www.ithome.com.tw/voice/163374
【資安日報】6月7日，勒索軟體駭客RansomHub聲稱入侵老牌筆電製造廠藍天電腦，引起國際資安媒體高度關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近一個月勒索軟體駭客RansomHub犯下的資安事故頻頻，英國精品拍賣業者佳士得、美國醫療集團Change Healthcare皆傳出遭受攻擊而影響營運，而最近一起事故引起各界高度關注，駭客聲稱入侵臺灣老牌電腦製造商藍天電腦，並竊得200 GB內部資料。</p> <p>值得留意的是，已有不少資安專家公布駭客提供的資料，但截至目前為止藍天電腦並未在重大訊息當中，對於資料遭竊做出說明，後續發展有待進一步觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163347"><strong style="font-size: 22px;">老牌筆電廠藍天電腦傳出遭駭，勒索軟體駭客RansomHub聲稱竊得200 GB資料</strong></a></p> <p>繼月前群光電子遭駭後，最近藍天電腦傳出被不同勒索軟體組織攻擊的消息。根據國外資安媒體Cybernews報導，勒索軟體駭客組織RansomHub在6月4日聲稱攻擊臺灣老牌電腦設備廠藍天電腦（Clevo），竊得200 GB內部資料，由於近期AI PC相關議題正夯，國內電腦設備商資料遭竊的事故也引起國際關注，後續包括其他Cyber Insider、SecurityAffairs等國外資安媒體也都揭露此事。不過，目前該公司並未證實這項消息。</p> <p>RansomHub駭客組織在他們的洩密網站上表示，已將該公司「所有網路與備份全部加密」，並聲稱已滲透Clevo公司網路多時，甚至進一步威嚇表示，他們有足夠的時間分析製造商的產品、客戶與合作，並且下載了最重要與最敏感的資料。安全研究人員Dominic Alvieri透露，該公布了10份竊取自藍天電腦的文件，內容似乎包含產品規畫路線圖、筆電規格示意圖與簡介等。特別的是，在其中一張簡報截圖的畫面中，還有註記「會議討論不准外流」的文字。資安媒體Cyber Insider指出，RansomHub宣稱他們是針對透過社交工程與網路釣魚攻擊藍天電腦的一名員工，進而入侵該公司的系統。</p> <p>在6月7日下午2時58分藍天電腦發布重大訊息，針對媒體報導傳出資安事件做出回應，表示他們的資安單位偵測到網路傳輸異常，隨即啟動資安防禦及復原機制，同時也說明目前這次事件，未造成無法營運或無法正常提供服務的情形。只是，對於資料是否遭竊取的情形與調查，並未多做說明。</p> <p><a href="https://www.ithome.com.tw/news/163350"><strong style="font-size: 22px;">烏克蘭揭露針對鎖定武裝部隊的攻擊行動提出警告，駭客濫用檔案同步工具SyncThing竊取資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SickSync-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SickSync-1.jpg" style="width: 300px; float: right;" /></a>6月5日烏克蘭電腦緊急應變團隊（CERT-UA）指出，他們與烏克蘭武裝部隊網路安全中心（CCB）合作，揭露駭客組織UAC-0020（又稱Vermin）的攻擊行動「SickSync」，並指出對方的目標，就是針對烏克蘭武裝部隊而來。</p> <p>針對駭客發起的攻擊行動，對方先是寄送電子郵件，當中挾帶附件turrel.fop.wolf.rar，此為受到密碼保護的RAR自解壓縮檔。一旦收信人將附件開啟，電腦就會開啟誘餌PDF文件，並透過BAT批次檔執行惡意安裝檔sync.exe，於受害電腦植入作案工具。</p> <p>而該檔案的內容，包含了曾在2019年出現的惡意程式Spectr、檔案同步工具SyncThing，以及上述軟體所需的程式庫。</p> <p><a href="https://www.ithome.com.tw/news/163358"><strong style="font-size: 22px;">思科修補Webex Meeting零時差漏洞，有資安媒體指出這漏洞被用於攻擊德國政府</strong></a></p> <p>6月4日思科發布資安公告，指出他們在5月初發現Webex Meeting的弱點，導致部分客戶的會議資訊及中繼資料遭到未經授權的存取，他們已在5月28日進行處理，對全球客戶部署修補程式。</p> <p>究竟上述弱點導致的未經授權存取資安事故細節為何？該公司並未進一步透露，但資安新聞網站SecurityAffairs指出，很有可能與今年3月德國政府傳出的資安事故有關。當時俄羅斯駭客對於軍事視訊會議發動攻擊，而這場會議的內容，主要是討論如何向烏克蘭提供軍事援助。</p> <p><a href="https://www.ithome.com.tw/news/163360"><strong style="font-size: 22px;">開源網頁應用程式框架ThinkPHP已知漏洞遭到利用，中國駭客將其用於部署名為Dama的Web Shell</strong></a></p> <p>資安業者Akamai揭露中國駭客鎖定ThinkPHP應用程式的攻擊行動，對方曾去年10月鎖定少量企業組織下手，但近期相關攻擊再度出現，而且，規模較過往大上不少。而在這起攻擊行動中，駭客利用兩項已知漏洞來進行，分別是CVE-2018-20062、CVE-2019-9082，從編號來看，這些漏洞已公布5年以上。</p> <p>研究人員看到對方利用上述2項弱點，在目標伺服器植入名為public.txt的檔案，並將其儲存為roeter.php，而該檔案疑似來自位於中國、已遭入侵的伺服器。而上述的純文字檔案，內容包含了經混淆處理的Web Shell，研究人員稱為Dama，其功能是遠端控制伺服器。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.aquasec.com/blog/muhstik-malware-targets-message-queuing-services-applications/"><strong style="font-size: 20px;">殭屍網路Muhstik利用Apache RocketMQ弱點擴大DDoS攻擊規模</strong></a></p> <p></p> <p>◆<a href="https://www.trendmicro.com/en_us/research/24/f/commando-cat-a-novel-cryptojacking-attack-.html"><strong style="font-size: 20px;">研究人員揭露Commando Cat攻擊行動，駭客鎖定錯誤配置的Docker容器並用來挖礦</strong></a></p> <p>◆<a href="https://www.sonatype.com/blog/crytic-compilers-typosquats-known-crypto-library-drops-windows-trojan"><strong style="font-size: 20px;">冒牌PyPI套件Crytic-Compilers鎖定開發人員，意圖散布竊資軟體Lumma Stealer</strong></a></p> <p></p> <p>◆<a href="https://research.checkpoint.com/2024/inside-the-box-malwares-new-playground/"><strong style="font-size: 20px;">為迴避偵測，駭客濫用加殼軟體BoxedApp包裝惡意程式的情況日益頻繁</strong></a></p> <p>◆<a href="http://arcticwolf.com/resources/blog/lost-in-the-fog-a-new-ransomware-threat/"><strong style="font-size: 20px;">美國教育機構遭到勒索軟體Fog鎖定，攻擊者藉由外流的VPN帳密入侵網路環境</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163355"><strong style="font-size: 22px;">美國聯邦調查局取得逾7千個勒索軟體LockBit解密金鑰</strong></a></p> <p></p> <p>FBI助理局長Bryan Vorndran本周在波士頓網路安全會議上披露，迄今他們手上已握有超過7,000個LockBit勒索軟體的解密金鑰，可以協助受害者取回它們的資料並重新上線，除了FBI正在聯繫已知的受害者之外，亦鼓勵任何懷疑自己受害的用戶聯繫網路犯罪投訴中心（Internet Crime Complaint Center，IC3）。</p> <p>多國政府在今年2月聯手破獲LockBit，當時國際警方接管LockBit的資料外洩平臺，並取得原始碼、受害者資料、竊得資料及對話記錄等，以及逾1,000個解密金鑰；但在美國5月起訴31歲的LockBit首領Dmitry Yuryevich Khoroshev時，國際警方所握有的解密金鑰已超過2,500個，隨著警方的持續追查，現則取得逾7,000個解密金鑰。</p> <p><a href="https://www.ithome.com.tw/news/163348"><strong style="font-size: 22px;">老牌紡織廠靠生成式AI強化資安，將社交工程演練平臺化、AI化</strong></a></p> <p>遠東新世紀資安處資安長易換棣在臺灣資安大會CYBERSEC 2024上分享資安探索經驗，該公司先是從上市上櫃公司資通安全管控指引建議的3大防線中，鎖定人員資安意識面，自建社交工程演練平臺、用生成式AI搭配8種風險指標，來生成釣魚郵件內容。</p> <p>他們也利用AI推薦個人化的資安意識課程、自動評分和建議。目前，遠東新世紀正探索結合AI和數位工具，來自動化執行社交工程演練。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163344"><strong>【6月6日】病理學暨診斷服務供應商Synnovis遭到勒索軟體攻擊導致倫敦醫院服務中斷，傳出是駭客組織Qilin所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163317"><strong>【6月5日】針對烏克蘭政府恢復公營事業收費，俄羅斯駭客組織FlyingYeti策畫利用WinRAR漏洞的網釣攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163303"><strong>【6月4日】帛琉政府資料流入暗網，指控是中國政府指使勒索軟體駭客組織所為</strong></a></p> </div></div></div>
2024/6/7 17:59作者周峻佑https://www.ithome.com.tw/news/163361
開源網頁應用程式框架ThinkPHP已知漏洞遭到利用，中國駭客將其用於部署名為Dama的Web Shell
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Akamai揭露中國駭客鎖定ThinkPHP應用程式的攻擊行動，對方曾去年10月鎖定少量企業組織下手，<a href="https://www.akamai.com/blog/security-research/2024-thinkphp-applications-exploit-1-days-dama-webshell">但近期相關攻擊再度出現</a>，而且，規模較過往大上不少。</p> <p>什麼是ThinkPHP？這是在中國相當熱門的開源網頁應用程式開發框架，提供一系列的程式庫、元件、工具，藉由遵循Model-View-Controller（MVC）架構，來簡化開發網頁應用程式的流程。</p> <p>而在這起攻擊行動中，駭客利用兩項已知漏洞來進行，分別是CVE-2018-20062、CVE-2019-9082，從編號來看，這些漏洞已公布5年以上。</p> <p>其中，CVE-2018-20062出現在1.3版NoneCms，遠端攻擊者能藉此執行任意PHP程式碼，CVSS風險評分達到9.8。另一個漏洞CVE-2019-9082，則是出現在1.1.1版Open Source BMS，有可能導致遠端程式碼執行，CVSS風險評為8.8分。</p> <p>研究人員看到對方利用上述2項弱點，在目標伺服器植入名為public.txt的檔案，並將其儲存為roeter.php，而該檔案疑似來自位於中國、已遭入侵的伺服器。</p> <p>而上述的純文字檔案，內容包含了經混淆處理的Web Shell，研究人員稱為Dama，其功能是遠端控制伺服器。</p> <p>這個Web Shell具備許多進階功能，例如提供檔案管理介面，讓攻擊者能竄改檔案內容甚至是時戳，並收集特定資料的功能，研究人員指出，這使得攻擊者有機會找出可用於提升權限的漏洞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dama-interface.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/dama-interface.png" style="width: 580px;" /></a></p> <p>此外，該後門工具還能讓攻擊者掃描網路連接埠，或是對資料庫及伺服器的資料進一步存取，甚至能濫用Windows工作排程器設定WMI組態，新增高權限使用者。</p> <p>而對於攻擊來源，研究人員指出惡意酬載來自位於香港的伺服器，而這臺伺服器也被部署了Dama。對此，他們研判，受害伺服器一旦遭到入侵，就有可能被攻擊者納入基礎架構的節點。</p> </div></div></div>
2024/6/7 17:39作者周峻佑https://www.ithome.com.tw/news/163360
烏克蘭揭露針對鎖定武裝部隊的攻擊行動提出警告，駭客濫用檔案同步工具SyncThing竊取資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月5日烏克蘭電腦緊急應變團隊（CERT-UA）指出，他們與烏克蘭武裝部隊網路安全中心（CCB）合作，<a href="https://cert.gov.ua/article/6279600">揭露駭客組織UAC-0020（又稱Vermin）的攻擊行動「SickSync」</a>，並指出對方的目標，就是針對烏克蘭武裝部隊而來。</p> <p>對於攻擊者的身分，CERT-UA特別提及對方來自盧甘斯克人民共和國（LNR），這起攻擊行動是受到臨時占領的執法機構指使，由於俄羅斯在2022年10月幾乎占領整個盧甘斯克，換言之，CERT-UA認為俄羅斯政府是幕後主使。</p> <p>針對駭客發起的攻擊行動，對方先是寄送電子郵件，當中挾帶附件turrel.fop.wolf.rar，此為受到密碼保護的RAR自解壓縮檔。一旦收信人將附件開啟，電腦就會開啟誘餌PDF文件，並透過BAT批次檔執行惡意安裝檔sync.exe，於受害電腦植入作案工具。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SickSync-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SickSync-1.jpg" style="width: 580px;" /></a></p> <p>而該檔案的內容，包含了曾在2019年出現的惡意程式Spectr、檔案同步工具SyncThing，以及上述軟體所需的程式庫。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SickSync-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SickSync-2.jpg" style="width: 580px;" /></a></p> <p>值得一提的是，Spectr是採用模組化設計的惡意程式，具備從特定資料夾及外接式USB裝置收集檔案的能力，並可搜括Telegram、Signal、Skype等即時通訊軟體，以及Firefox、Edge、Chrome瀏覽器當中的帳密資料，或是連線階段內容。</p> <p>接著，對方透過SyncThing進行點對點的傳輸，以資料同步的方式將竊得資料流出。對此，CERT-UA表示，所有與SyncThing基礎設施相關（例如：*.syncthing.net）的互動情形，都可能是電腦遭到這波攻擊的跡象。</p> </div></div></div>
2024/6/7 12:45作者周峻佑https://www.ithome.com.tw/news/163350
PHP修補CGI參數可被用於注入攻擊的弱點，若不處理攻擊者有可能發動遠端程式碼執行攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣資安業者戴夫寇爾針對<a href="https://devco.re/blog/2024/06/06/security-alert-cve-2024-4577-php-cgi-argument-injection-vulnerability/#%E6%BC%8F%E6%B4%9E%E5%9B%9E%E5%A0%B1%E6%99%82%E9%96%93%E8%BB%B8">PHP程式語言於6月6日修補的漏洞CVE-2024-4577提出警告</a>，此為重大層級的遠端程式碼執行（RCE）漏洞，存在於CGI參數而有可能被用於注入攻擊。由於全球有近八成網站採用PHP，這項漏洞的影響範圍有可能會非常廣泛。</p> <p>這項漏洞發生的原因，在於此程式語言在設計時，忽略Windows作業系統對於字元編碼轉換的過程，採取最佳化對應（Best-Fit）的方式進行。攻擊者可在未經身分驗證的情況下，藉由特定字元序列繞過原本因應<a href="https://www.kb.cert.org/vuls/id/520827">PHP-CGI查詢字串參數漏洞CVE-2012-1823</a>的防護措施，而有機會藉由參數注入或其他手法，在遠端的PHP伺服器上執行任意程式碼。</p> <p>值得留意的是，研究人員提及這項漏洞影響所有Windows版本的PHP，PHP目前已發布<a href="https://www.php.net/ChangeLog-8.php#8.3.8">8.3.8</a>、<a href="https://www.php.net/ChangeLog-8.php#8.2.20">8.2.20</a>、<a href="https://www.php.net/downloads.php#v8.1.29">8.1.29</a>版予以修補，但對於已終止支援的8.0版、7.x、5.x版，戴夫寇爾也公布網站管理員檢查伺服器是否易受攻擊的方法，以及暫時的緩解措施。</p> <p>研究人員以最常搭配Apache HTTP Server的情境提出說明，他們已確認當Windows作業系統執行正體中文、簡體中文，或是日文的時候，攻擊者就有機會觸發上述漏洞，直接在遠端伺服器執行任意程式碼。</p> <p>他們也提及2種可被觸發漏洞的情形，其中一種是將PHP設置於CGI模式執行，另一種則是將PHP執行檔曝露於CGI資料夾，即使未透過CGI模式執行PHP，也會曝露相關風險。</p> <p>由於安裝Windows版XAMPP的預設組態，也將PHP執行檔存放於CGI資料夾，因此他們認為，使用這種套件的Windows主機，也可能受影響。</p> </div></div></div>
2024/6/7 15:32作者周峻佑https://www.ithome.com.tw/news/163356