iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 00:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

AI趨勢周報第255期： Google DeepMind開源核融合裝置模擬器TORAX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0607～0613)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 核融合 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> JAX </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DeepMind </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google DeepMind打造核融合裝置模擬器TORAX，還開源了</strong></span></p> <p>最近，Google DeepMind開源一款可微分的托卡馬克（Tokamak）核心運輸模擬器TORAX，採JAX框架，以Python實作。這款TORAX結合了物理模組和機器學習模型，可用來計算托卡馬克核融合裝置中，離子熱傳輸、電子熱傳輸、粒子傳輸和電流擴散的耦合方程式。</p> <p>尤其JAX框架具有即時編譯和自動微分的優勢，TORAX可快速執行運算，也能實現梯度最佳化和基於Jacobi矩陣的PDE求解器。而且，JAX對類神經網路的開發和推論支援，也大幅促進了物理模型和機器學習代理的耦合。團隊也以RAPTOR碼來驗證TORAX，證明模擬等離子分布的結果是一致的。Google DeepMind表示，TORAX提供強大、多功能的工具，可用來實現快速且準確的前向建模、脈衝設計、軌跡優化和控制器設計，目前已<a href="https://github.com/google-deepmind/torax">在GitHub上開源</a>，要促進更多核融合的研究。<a href="https://torax.readthedocs.io/en/latest/index.html">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CNN </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 局部性 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta AI證實Transformer能跳脫鄰近局部性框架</strong></span></p> <p>日前，Meta AI和阿姆斯特丹大學發表最新研究，發現Transformer模型不必按照電腦視覺模型長年遵守的鄰近局部性（Locality），也能直接處理圖像中的單個像素，且表現更好，雖然因序列更長、運算成本更高。</p> <p>進一步來說，傳統電腦視覺架構，如卷積網路（CNN）、ViT等，都假定圖片中的鄰近像素更相關，並透過卷積核、池化操作和圖像切片等技術來計算鄰近像素，也因此出現將圖像分割為多個16x16的區塊、將這些區塊視為1個Token來計算的作法。這就是長久以來的鄰近局部性基本假設。</p> <p>但Meta AI和阿姆斯特丹大學以Transformer實驗，將每個像素視為一個個Token來處理，摒除了圖像2D網格結構的假設。他們將這種模型稱為PiT，經測試，PiT在物件分類、圖像生成等任務表現優異，甚至在某些領域，還大幅優於傳統方法。團隊表示，他們並非提倡以PiT取代ViT，而是證明Transformers透過對圖片單一像素運算（而非16×16的區塊），可達到非常好的表現，意味著模型能從單一像素中捕捉更多訊號。而這一發現，也挑戰了電腦視覺任務必須要有局部性的傳統觀念。<a href="https://arxiv.org/abs/2406.09415">（詳全文）</a></p> <p><img alt="" src="https://arxiv.org/html/2406.09415v1/x1.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 糖尿病 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健保署 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>健保署聯手Google要打造糖尿病風險預測AI</strong></span></p> <p>健保署日前宣布聯手Google，展開為期5年的合作，要使用Google雲端算力資源、MedLM基礎模型、Vertex AI平臺和資料處理工具等，來與國衛院共同打造專屬臺灣的疾病風險預測模型，第一波瞄準糖尿病風險預測模型。這是因為，在臺灣每10人就有1人罹患糖尿病，且其併發症嚴重，如心血管疾病、腎病、視網膜及神經病變等，需及早介入預防與治療。</p> <p>在模型訓練資料部分，健保署會採用去識別化的性別、年齡、家族病史、風險資訊、國際疾病分類代碼ICD-10和檢驗檢查等資料，同時透過國衛院專業知識找出更多參數，來訓練糖尿病風險預測模型。完成後，模型會透過健保署健保雲執行，醫療院所醫師上傳資料到健保雲，模型運算後會傳送結果給醫師和民眾。這個風險預測分2種，一是針對未患糖尿病的民眾，模型會提供10年內、5年內和1至3年內的罹病風險，另一是患糖尿病民眾，模型會提供數種風險預測，如總住院率、特定原因住院率、死亡率、慢性病罹患率等。</p> <p>其中，風險高低會以燈號表示，作為分級醫療參考，比如綠色為低風險、黃綠色為有風險、黃色是中風險、黃橙色中高風險、紅橙色高風險，紅色則是嚴重風險。風險較低的民眾可建議至衛生所、門診就醫，黃色燈號則可轉介至地區醫院、黃橙色至區域醫院，高風險和嚴重風險則至醫學中心，以此達到分級醫療目標。石崇良表示，健保署與Google聯手打造的糖尿病風險預測AI是第一波應用，藉此拋磚引玉，來推動、擴大到更多慢性病和三高疾病風險管理。<a href="https://www.ithome.com.tw/news/163442">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%B6%E9%86%AB%E5%A4%A7%E5%B9%B3%E8%87%BA.JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> HelpSteer2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia開源HelpSteer2資料集，可低成本確保LLM與人類偏好一致</strong></span></p> <p>最近，Nvidia開源一款資料集HelpSteer2，可用來訓練先進的獎勵模型，來引導大型語言模型（LLM）產出與人類偏好一致的回答。這個資料集共有10,681組提示和回答，並由1,000多名美國註釋者按Likert量表，對5種屬性標註。</p> <p>此團隊表示，他們用HelpSteer2資料集來訓練自家3,400億參數的Nemotron-4基本模型後，在RewardBench主要資料集測試，達到了最先進的92.0%準確率，優於任何現有的開放和專有模型。而且，這個資料集才1萬多個提示-回答組，比起現有的偏好資料集（如HH-RLHF）動輒數百萬組，大幅降低了運算成本。團隊表示，這個資料集可用來對齊Llamna-3-70B等這類LLM，來提高與人類偏好的一致性。<a href="https://huggingface.co/papers/2406.08673">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蘋果 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ChatGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Apple Intelligence </span></strong></span></p> <p><span style="font-size:22px;"><strong>整合ChatGPT！蘋果新推Apple Intelligence智慧功能</strong></span></p> <p>蘋果在日前舉行的WWDC開發者大會上發表AI服務Apple Intelligence，將進駐macOS Sequoia、iOS 18與iPadOS 18等蘋果作業系統。同時，蘋果也宣布與OpenAI合作，將在Siri、Writing Tools中整合GPT-4o驅動的ChatGPT。</p> <p>進一步來說，這款Apple Intelligence提供多項AI功能，包括寫作工具Writing Tools、圖像創作工具Image Playground、可客製化表情符號的Genmoji，以及強化的Siri。其中，Writing Tools可讓使用者在郵件、備忘錄、Pages或第三方的程式中，改寫、校對或摘要文本，還能透過Compose功能來存取ChatGPT的圖像工具，可在文字中嵌入圖像。</p> <p>再來，Image Playground將內建於訊息、Keynote、Pages等蘋果原生應用程式中，並支援採用Image Playground API的第三方程式，使用者可在幾秒內以文字描述、所挑選的主題、服裝、配件、地點或個人來創作圖像，還能以動畫、插圖或素描的方式呈現。Genmoji則允許使用者以文字描述來客製化表情符號。Apple Intelligence也改善了照片/影片搜尋功能，能以自然語言搜尋特定照片，例如「臉上貼著貼紙的Katie」，或找到影片中的特定段落。<a href="https://www.apple.com/newsroom/2024/06/introducing-apple-intelligence-for-iphone-ipad-and-mac/">（詳全文）</a></p> <p><img alt="" src="https://www.apple.com/newsroom/images/2024/06/introducing-apple-intelligence-for-iphone-ipad-and-mac/article/Apple-WWDC24-Apple-Intelligence-hero-240610_big.jpg.large_2x.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PyTorch </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 漏洞 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Huntr </span></strong></span></p> <p><span style="font-size:22px;"><strong>開源機器學習框架PyTorch存在重大漏洞</strong></span></p> <p>今年4月，有研究者向漏洞懸賞平臺Huntr通報開源機器學習框架PyTorch存在重大層級漏洞CVE-2024-5480，CVSS風險評分達到10分，影響2.2.2版以前的PyTorch。對此，Huntr向通報者提供1,500美元獎勵，並在日前公布細節。</p> <p>這漏洞位於torch.distributed.rpc框架，開發者使用該框架執行RPC呼叫時，該框架未驗證相關功能是否如開發者預期執行，因此攻擊者能藉機透過網路使用RPC呼叫Python功能，進而載入Python程式庫並執行任意命令。這個框架通常用於分散式訓練，如增強式學習、模型平行化等，因此影響範圍相當廣泛。研究人員也提供概念性驗證（PoC）程式碼，並指出該漏洞可能帶來的影響：由於攻擊者可將其用來遠端攻擊分散式訓練的master節點，一旦這些節點遭到入侵，對方就有機會竊取與AI有關的敏感資料。<a href="https://huntr.com/bounties/39811836-c5b3-4999-831e-46fee8fcade3">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ChromeOS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Android </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>要加速AI創新應用，ChromeOS將重整Android技術架構</strong></span></p> <p>Google日前宣布，ChromeOS很快就會重整Android技術架構，包括把Android Linux核心和Android框架當作ChromeOS基礎，來加速ChromeOS執行AI創新應用或其他新功能的速度。</p> <p>其實ChromeOS一直在向Android靠攏，Google自2016年就讓ChromeOS用戶執行Android程式，隔年更宣布採用ChromeOS的所有Chromebook筆電都將支援Google Play和Android程式。此外，自今年3月發表的ChromeOS 122起，ChromeOS也開始改用Android的藍牙架構Fluoride。Google解釋，把Android技術架構導入ChromeOS，可加速ChromeOS核心的AI創新腳步，簡化工程任務，有助於手機等各種裝置與Chromebook更相容。<a href="https://blog.chromium.org/2024/06/building-faster-smarter-chromebook.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 甲骨文 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI採用甲骨文雲端為基礎架構</strong></span></p> <p>甲骨文和OpenAI宣布合作，OpenAI將採用甲骨文雲端基礎架構（OCI），來擴展微軟Azure AI的基礎架構，加速執行模型推論等任務。這項合作涉及OpenAI、微軟Azure和甲骨文等3家業者，目的是要OCI作為類似備援方案，可從微軟Azure AI擴展到甲骨文雲端，來提供負載更高的處理能力。</p> <p>其中，光是OpenAI的ChatGPT AI服務，每月用戶數就超過1億，是最吃運算資源的任務。這項合作是讓OpenAI使用「OCI基礎架構上的Azure AI平臺」，來執行推論和其他作業，OpenAI最尖端的模型仍執行在與微軟合作的超級電腦上。<a href="https://www.oracle.com/news/announcement/openai-selects-oracle-cloud-infrastructure-to-extend-microsoft-azure-ai-platform-2024-06-11/">（詳全文）</a></p> <p>圖片來源／Meta AI、Apple</p> <p>攝影／王若樸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 微軟將預設關閉Copilot+ PC中的Recall功能，以平息隱私疑慮</strong></p> <p><strong>2. Databricks聯手Shutterstock推出企業級文生圖AI服務ImageAI</strong></p> <p><strong>3. 杜拜發起100萬提示者計畫（One Million Prompters），要在3年內培訓100萬名懂提示工程的AI人才</strong></p> <p>資料來源：iThome整理，2024年6月</p> </div></div></div>
2024/6/16 02:59作者王若樸https://www.ithome.com.tw/news/163479
AI醫療診斷業者Tempus AI登上那斯達克，首日股價上漲8%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用人工智慧技術來改善醫療服務的Tempus AI，在上周五（6/14）以TEM為代號登上美國那斯達克（Nasdaq）股市，每股發行價為37美元，上市首日股價即上漲8.78%，以40.25美元作收，創下逾66億美元的市值。</p> <p>Tempus AI是在2015年由Eric Lefkofsky所創立，專注於打造得以汲取即時醫療資料的平臺，以進行個人化的診斷，最早僅支援腫瘤，隨後日益擴展至神經心理學、心臟病、諸如Covid等傳染病，以及影像診斷等，現有的員工數量約為2,300名。</p> <p>根據Tempus AI<a href="https://www.sec.gov/Archives/edgar/data/1717115/000119312524142956/d221145ds1.htm" target="_blank">提交給美國證券交易委員會的文件</a>，該平臺建立了450個醫療照護資料連結網路，可即時提供複雜的多模態資料，覆蓋逾2,000個醫療照護機構。Tempus AI將去識別化的資料集中到統一的多模態資料庫中，以向客戶提供分析及決策服務。目前Tempus AI的用戶包括全球95%的大型製藥業者，以及來自數百個供應商網路的逾7,000名醫生。</p> <p>Tempus AI的三大產品線為基因組學、資料與服務，以及AI應用，在2022年與2023年的總營收分別是3.207億美元及5.318億美元，虧損則高達2.898億美元及2.141億美元。現階段有一半以上的營收都來自基因組學，AI應用則占不到總營收的1%。</p> <p>Tempus AI正在開發的AI應用專注於發展與提供基於演算法的診斷，把軟體當作醫療裝置，並建置及部署臨床決策支援工具，目前的主要產品為Next平臺，在日常產生的資料上部署基於機器學習的智慧層，以協助找出可能被忽略或未能及時處理的健康問題。不過，迄今AI應用的每季收入都不到100萬美元。</p> </div></div></div>
2024/6/17 11:46作者陳曉莉https://www.ithome.com.tw/news/163487
當局阻撓，Meta AI延後在歐盟地區上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應歐盟資料主管機關要求，<a href="https://about.fb.com/news/2024/06/building-ai-technology-for-europeans-in-a-transparent-and-responsible-way/" target="_blank">Meta宣布</a>暫時延後在歐盟地區推出Meta AI模型及服務。</p> <p>此舉乃是因應愛爾蘭資料保護委員會（Data Protection Commission，DPC）及英國資訊專員辦公室（Information Commissioner's Office）的要求，迫使這家社群平臺大廠變更其一周前的決定。</p> <p>上周Meta宣布，將繼其他國家之後，計畫近期把生成式AI功能、服務及模型，包括Meta AI助理及Llama推向歐洲。目前Meta AI已在包括美、加、澳、星等10多個國家上線。但Meta強調，為了提供更符合歐洲用戶需求的AI服務，其模型必須得以反映多元語言、地理區和文化事物的相關資訊，因此他們計畫使用在Meta平臺與產品，包括臉書和Instagram（IG）上公開分享的用戶內容，如公開粉絲專頁、動態內容及社群的貼文或回應來訓練模型。</p> <p>不過愛爾蘭當局代表其他國家的資料主管機關，要求Meta暫緩使用歐洲用戶的資料訓練其AI模型。英國資訊專員辦公室（ICO）也公開做出類似呼籲。</p> <p>Meta於周五回應，對主管機關的要求感到失望，尤其他們三月以來已積極配合當局的要求。Meta表示這是在AI開發的創新和競爭路上走回頭路，也延後歐洲用戶享受到的好處。</p> <p>Meta上周已表明，不用歐洲用戶的公開內容訓練，其AI功能就無法精準了解重要的區域語言、文化或流行主題，也就無法對歐洲用戶提供符合當地需求的AI服務。此外，Meta也說自己不是第一個這麼做的，Google和OpenAI等公司早已使用歐洲用戶來訓練AI。而且Meta宣稱自己的作法比其他人更透明，並提供更容易的控制選擇。</p> <p>因此，在歐洲主管機關的要求下，Meta認為現在無法在歐洲推出Meta AI。<a href="https://www.dataprotection.ie/news-media/latest-news/dpcs-engagement-meta-ai" target="_blank">愛爾蘭主管機關</a>對Meta的決定表達歡迎。<a href="https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2024/06/statement-in-response-to-metas-plans-to-train-generative-ai-with-user-data" target="_blank">英國政府</a>也肯定Meta的行動。Meta表示會持續和二個主管機關密切合作，讓歐洲用戶及早使用Meta AI，Meta同時承諾會解決英國ICO提出的要求。</p> <p>去年愛爾蘭當局調查後認為Meta蒐集歐洲經濟區的個人用戶資料，違反了歐盟隱私法GDPR（General Data Protection Regulation）禁止資料跨境傳輸的規定，並且判罰Meta 12億美元，創下GDPR罰款最高的紀錄。</p> </div></div></div>
2024/6/17 10:07作者林妍溱https://www.ithome.com.tw/news/163485
微軟延後部署Recall，將趕不及Copilot+ PC首發出貨
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2024/06/07/update-on-the-recall-preview-feature-for-copilot-pcs/" target="_blank">微軟上周宣布</a>具爭議的Recall功能將延後數星期提供給即將在本周二（6/18）正式出貨的Copilot+ PC，意謂著首批拿到的用戶不會使用到這項功能。</p> <p>微軟Windows +裝置事業群主管Pavan Davuluri指出，將把Copilot + PC的Recall預覽版改為給Windows Insiders測試方案的用戶，時間約數個星期。微軟計畫在傾聽測試用戶意見後，再把Recall預覽版部署給所有新出貨Copilot +PC用戶。微軟強調這項決定是為了提供可信賴、安全和紮實的體驗、在推出給所有Copilot + PC用戶前尋求更多回饋意見，也是反映其「安全未來倡議（Secure Future Initiative，SFI）」以安全為第一要務的精神。</p> <p>事實上，微軟上周就已一度暫緩發布Recall功能。微軟原本已在5月20日公測Copilot +PC需要的Windows 24H2，但<a href="https://www.ithome.com.tw/news/163441" target="_blank">上周一臨時宣布</a>暫時從即將出貨的Release Preview Channel移除數個星期，意謂著只提供給Insiders方案的測試用戶。</p> <p>暫緩擴大部署Windows 11 24H2的主要原因可能是效能及穩定性不佳，但在此之前微軟臨時宣布Recall由預設開啟改為預設關閉。Recall是Windows Copilot+ PC的主打應用程式，其原理是為用戶在PC上的活動定期拍照，並以AI加上索引，讓用戶可以透過查詢時間軸找出想尋找的應用程式、文件或檔案，還會提供建議。但安全專家卻批評Recall有安全疑慮，例如安全專家Kevin Beaumont發現這些快照是不加密儲存在Windows Copilot +PC上的資料庫，可能讓能存取PC的惡意程式或他人取得用戶重要資訊，如密碼或銀行帳戶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0617-copilot%20%2Bpc-recall.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>雖然微軟二周前<a href="https://www.ithome.com.tw/news/163381" target="_blank">承諾</a>會在Copilot +PC推出前改善Recall問題，並且增加以Windows Hello加密，但上周的宣布已顯示微軟無法趕得及首批Copilot +PC上市前完成修正。</p> </div></div></div>
2024/6/17 09:48作者林妍溱https://www.ithome.com.tw/news/163484
Cloud周報第202期：全球第40座！亞馬遜在臺AWS區域級資料中心明年初將啟用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞（06/16～06/12）</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺灣區域級資料中心 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">亞馬遜明年初啟用臺灣首座AWS區域級資料中心，可將延遲時間縮短至10毫秒內</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240612_030931800.jpg" style="width: 600px; height: 337px;" /></p> <p>亞馬遜AWS今天宣布了在臺的最新發展計畫，將在臺灣興建雲端資料中心。這也是AWS在全球公布的第40 座區域級（Region）雲端資料中心，預估未來臺灣企業使用AWS臺灣區域的延遲時間，有望從50多毫秒縮短到10毫秒以下。</p> <p>AWS香港暨台灣總經理王定愷預告，AWS這座臺灣雲端資料中心將於2025年初正式上線營運，並將以「Asia Pacific (Taipei)」的區域名稱，提供區域級公有雲服務。此外，他進一步表示，AWS計畫未來15年在臺投資數十億美元，支持臺灣雲端業務發展。</p> <p>從資料中心設計來看，這座資料中心同樣將由3個可用區域（AZ）組成且區域間彼此相隔，每個AZ之間都具有獨立的電源、冷卻和實體安全性，並透過冗餘、超低延遲網路串連，來實現服務或應用高可用性與高容錯。</p> <p>王定愷透露，隨著臺灣區域的啟用，未來，預估本地企業使用 AWS 服務的往返延遲時間有望進一步縮短至10毫秒以下。如果根據亞馬遜WorkSpaces 網站的檢測工具顯示，臺灣本地到 AWS 東京區域資料中心的往返時間最短，平均約為55毫秒。這意謂著改用臺灣區域資料中心後，往返延遲時間將能再減少約45毫秒。</p> <p>統計到今年6月12日為止，在AWS官網上公布的全球Region（區域級）雲端資料中心，加上已公布但還未啟用的區域，包括臺灣區域，全球共有40個，其中有7座是正在興建中的新雲端資料中心，</p> <p>隨著AWS臺灣雲端資料中心明年初啟用，意謂著臺灣三大公雲其中的兩家Google和AWS都已在臺灣啟用或即將啟用區域級雲端資料中心，微軟在幾年前也宣布臺灣雲端資料中心建置計畫，但目前仍在建置中，尚未公布啟用時程。隨著三大公雲落地臺灣，臺灣將進到多雲混合雲的競爭時代。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 私有雲運算 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">蘋果發表私有雲運算基礎設施，引進iPhone硬體安全和隱私機制，強化雲端LLM處理的用戶隱私與安全性</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-06-12%20%E4%B8%8A%E5%8D%886_57_20.png" style="width: 600px; height: 359px;" /></p> <p>在WWDC開發者大會上，蘋果不僅展示了可以在本機端離線執行的Apple Intelligence應用，對於需較高運算處理的LLM任務，蘋果還推出了一個全新私有雲運算基礎設施（Private Cloud Compute, PCC），該設施能在蘋果的私有雲中安全且可控地進行運算，並將處理結果回傳給用戶裝置。</p> <p>蘋果強調，這是專為私有AI處理設計的一套雲端智慧系統，採用客製化的Apple晶片和增強隱私設計的作業系統構建。該系統結合了Apple裝置安全和隱私機制，確保發送到PCC的個人用戶資料無法被任何人存取，包括蘋果自己。</p> <p>在PCC採用客製化的伺服器硬體中，整合Apple晶片的功能和安全性，並引進 iPhone中使用的相同硬體安全技術，包括Secure Enclave 和 Secure Boot，同時執行在以iOS 和 macOS基礎強化的子集新作業系統上，支援大型語言模型 (LLM) 的推理工作負載，意謂著可以利用程式碼簽署和沙箱等iOS安全技術，確保雲端LLM處理的用戶隱私與安全性。</p> <p>PCC本身也具備有雲端擴展能力，同時考慮到隱私，捨棄了傳統上對資料中心管理至關重要的通用軟體元件，例如遠端 shell 以及系統自我檢測和可觀察工具，改以專用元件取代。此外，在伺服器上使用Swift程式語言建立了新的機器學習堆疊，專用於託管雲端基礎模型。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">資料庫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Salesforce </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Salesforce正式推出資料雲向量資料庫，可支援非結構化資料處理</span></strong></p> <p>雲端CRM大廠Salesforce近日推出了資料雲向量資料庫服務，能夠協助企業處理內部非結構化資料，包括PDF、電子郵件、文字記錄和其他非結構化格式的客戶資料，使企業可以利用這些資料發展更深化的生成式AI 應用。</p> <p>透過這套向量資料庫，企業可以將非結構化資料來源，例如通話記錄、線上客戶評論和支援票證，直接整合到客戶檔案中，深入地了解客戶需求和偏好。此外，GenAI也可以利用這些資料增強銷售、服務、行銷和商務體驗的見解和內容，例如Einstein AI可以使用這些數據主動完成服務呼叫工作排程，幫助銷售團隊更快完成pipelines，並推動更具策略性的行銷活動。</p> <p>資料雲還能通過非結構化和結構化數據，利用Einstein 1平臺中 Salesforce元數據的功能，使分析師現在可以在Tableau 中進行探索和視覺化。此外，開發人員可以建立Salesforce Flow自動化，而業務使用者則可根據他們的生成式AI 提示進行操作。這減少了微調大型語言模型 (LLM) 的需求，同時提高了 Einstein Copilot 結果的準確性。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">安全漏洞 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Azure </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟Azure服務標籤中存有安全漏洞，可能允許駭客獲得未授權的雲端資源存取權限</span></strong></p> <p>微軟近日警告，Azure服務標籤可能被駭客偽造，繞過防火牆取得未經授權的雲端資源存取權限。</p> <p>微軟安全性回應中心（MSRC）於今年1月收到網路安全公司Tenable的通報，指其服務標籤功能存在漏洞，可能導致跨租戶存取Web資源。Tenable發現，某些Azure服務允許外站(<span class="ILfuVd" lang="zh" xml:lang="zh"><span class="hgKElc">Inbound Traffic</span></span>)透過服務標籤存取其服務，這可能使一個租戶中的攻擊者發送特製的Web請求來存取另一個租戶中的資源，且不執行任何身份驗證。</p> <p>研究發現，10個Azure服務易受攻擊，包括Azure應用程式洞察、Azure DevOps、Azure機器學習、Azure邏輯應用、Azure容器註冊表、Azure負載測試、Azure API管理、Azure資料工廠、Azure行動群組、Azure AI視訊索引器和Azure Chaos Studio。</p> <p>Tenable研究員Liv Matan表示，此漏洞使攻擊者能夠控制伺服器端請求，冒充受信任的Azure服務，繞過基於服務標籤的網路控制，存取Azure客戶的內部資產、資料和服務。</p> <p>微軟後來更新文檔，調整Azure服務標籤指導文件，並建議客戶檢查自身對服務標籤的使用情況，並確保採用了足夠的安全防護措施，對服務標籤的可信任網路流量進行身份驗證。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">甲骨文 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">甲骨文與GCP結盟，新服務將允許企業可直接於Azure中部署OCI資料庫服務</span></strong></p> <p>繼去年結盟微軟後，甲骨文最近宣布和Google Cloud合作，共同發表了Oracle <a href="mailto:Database@Google">Database@Google</a> Cloud服務，透過這項服務，Oracle企業用戶將得以直接存取部署於Azure公雲的甲骨文雲端基礎設施（Oracle Cloud Infrastructure，OCI）上的甲骨文資料庫服務。</p> <p>甲骨文強調此雲端資料庫具備甲骨文最高的資料庫和網路效能，功能和價格也和OCI平臺上的版本一樣，預計將於今年下半年推出，未來可以運用在多種產業，包括金融、醫療、零售、製造等。</p> <p>除了雲端資料庫合作外，雙方還宣布在GCP與OCI網路之間建立專有實體連線，提供跨雲互連整合服務，將使得部署在二個雲環境的資料交換更快速，也能讓雙方用戶可獲得Google Cloud及甲骨文共同支援服務。</p> <p> </p> <p>攝影:余至浩；圖片來源／Apple</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.博通再調整授權政策，不再提供VMware Cloud on AWS中按需使用量的服務模式</strong></p> <p><strong>2.OpenAI採用甲骨文雲端為運行基礎架構，強調和微軟合作不變</strong></p> <p> </p> <p><strong>資料來源：iThome整理，2024年6月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/6/17 09:52作者余至浩https://www.ithome.com.tw/news/163482
Apple持續擴展Swift生態系，強化跨平臺支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple在開發者大會<a href="https://developer.apple.com/whats-new/" target="_blank">WWDC24推出一系列開發者工具更新</a>，除了眾所矚目的個人人工智慧功能Apple Intelligence之外，包括Xcode、Swift都有重大更新，就整體發展趨勢來看，Apple正逐漸改變過去封閉自家生態系的策略，並提供更多跨平臺的支援。</p> <p>過去Apple以其封閉的生態系統聞名，這種策略讓Apple的軟硬體能無縫整合，提供了良好的用戶體驗。不過，隨著科技的發展和市場變化，開發者和用戶對跨平臺的需求越來越高，Apple回應此一趨勢開始調整其策略，逐漸開放其生態系，並加強對跨平臺的支援。</p> <p>從程式語言Swift的發展，也能一窺Apple的策略變化。<a href="https://www.swift.org/blog/swiftlang-github/" target="_blank">Swift專案儲存庫搬遷到了專門的GitHub組織</a>，不再附屬於Apple之下，官方指出，這反映了Swift社群的成熟，同時也凸顯Swift在Apple自家生態系外的蓬勃發展。創建Swift專門的GitHub組織，將有助於Swift擴展覆蓋範圍至更多平臺與使用案例，擴大Swift的影響力。</p> <p class="rtecenter"><a href="https://github.com/swiftlang" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0617-%20GitHub-swiftlang.png" style="width: 600px;" /></a></p> <p>Swift最初僅限於Apple平臺，但隨後開始支援了Linux和Windows，不過要在這兩個平臺使用Swift，開發體驗仍遠不及Apple平臺，以自2015年就支援的Linux為例，要在其上進行建置並不容易，Swift編寫的Linux程式要能夠運作，除了需確保目標系統存在Swift執行環境和相依項目之外，針對特定Linux發行版或是特定主要版本建置的Swift程式，不一定能在其他發行版或是主要版本中運作。</p> <p>這是因為不同Linux發行版或是主要版本之間，可能存在不同函式庫、相依項目和系統配置，導致不相容的問題。現在Apple釋出了<a href="https://www.swift.org/documentation/articles/static-linux-getting-started.html" target="_blank">Static Linux SDK</a>解決這些問題，供開發者將程式建置成完全靜態連結的可執行檔案，沒有額外的相依項目代表著在任何一個Linux發行版上，唯一相依項目的就是Linux系統呼叫介面。</p> <p>Static Linux SDK可以在Swift編譯器和套件管理器支援的所有平臺上使用，也就是說，開發者可以在macOS上開發和測試應用程式，之後再建置和部署到Linux伺服器。Static Linux SDK是Swift強化用戶可定義平臺支援的作為之一，能夠提升對嵌入式和WebAssembly的支援。</p> <p>近年Apple也著手拓展Swift的可用性，透過語言伺服器協定（Language Server Protocol）支援不同的程式碼編輯器，包括 VS Code、Sublime Text等，使得更多開發者都能使用Swift。在WWDC24一堂名為「<a href="https://developer.apple.com/videos/play/wwdc2024/10197/" target="_blank">Go small with Embedded Swift</a>」的議程演講中，還出現了開發者使用NeoVim與CMake工具進行Swift開發的橋段。</p> </div></div></div>
2024/6/17 08:41作者李建興https://www.ithome.com.tw/news/163466
WD推出首款商用PCIe 5 SSD，躋身3百萬IOPS讀取效能俱樂部
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wd_ultrastar_dc_sn861_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div>去年初AMD與英特爾推出新一代伺服器處理器平臺，由於支援PCIe 5.0介面，<a href="https://www.ithome.com.tw/tags/pcie-50">促成更多廠商推出採用這種規格的產品</a>，以企業與資料中心等級固態硬碟而言，例如，同年8月，<a href="https://www.ithome.com.tw/review/158091">鎧俠（Kioxia）發表CD8P系列</a>，提供2.5吋U.2與E3.S這兩種外形，4K隨機讀取效能最高可達到200萬IOPS，4K循序讀取效能最高12,000 MB/s，儲存容量最大30,720 GB，並提供每日寫入量（DWPD）為1與3的款式；到了今年，<a href="https://www.ithome.com.tw/review/162973">群聯電子（Phison）5月中推出X200系列</a>，同樣提供2.5吋U.2與E3.S外形選擇，4K隨機讀取效能最高可達到300萬IOPS，4K循序讀取效能均為148,000 MB/s，儲存容量最大30.72 TB，儲存容量最大30,720 GB，也提供每日寫入量1與3的款式（X200E每日寫入量為3，X200P每日寫入量為1）。</div> <div> </div> <div>半個月後，WD終於發表該公司首款PCIe 5.0企業級固態硬碟產品，型號為Ultrastar DC SN861，儲存容量涵蓋2 TB、4 TB、8 TB、16 TB，提供2.5吋U.2、E1.S、E3.S等3種外形，預計今年稍晚，將公布更多E1.S外形與E3.S外形款式的細部資訊。</div> <div> </div> <div>目前WD對此系列產品提供2.5吋U.2與E1.S這兩種外形，其中E1.S款式的產品，現在已供應樣品，它們的每日寫入量皆為1，</div> <div> </div> <div><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20SN861-E1_S.jpg" style="width: 600px;" /></div> <div> </div> <div>至於U.2外形的產品，本月開始提供樣品，預計第三季量產，而當中1.60 TB、3.20 TB、6.4 TB容量款式，每日寫入量為3，1.92 TB、3.84 TB、7.68 TB容量款式，每日寫入量為1。</div> <div><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20SN861-U_2.jpg" style="width: 600px;" /></div> <div> </div> <div>針對大型語言模型（LLM）的訓練、推論，以及AI服務的部署，提供更好的反應能力，是Ultrastar DC SN861發表的最大賣點，因為單就隨機讀取效能而言，這批產品最大可達到330萬IOPS，相較於<a href="https://www.ithome.com.tw/review/158451">去年8月發表的Ultrastar DC SN655（110萬IOPS）</a>，增長幅度有3倍，讀取存取延遲也進一步降低（70微秒 vs. 80微秒）；而由於這批固態硬碟產品的耗電量維持在20瓦（E3.S外形款式為12瓦），因此，WD也標榜其具有更高的每瓦效能，可降低總持有成本。</div> <div><a href="https://s4.itho.me/sites/default/files/images/WD SN861-SPEC-U_2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20SN861-SPEC-U_2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/WD SN861-SPEC-E1_S.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20SN861-SPEC-E1_S.jpg" style="width: 298px;" /></a></div> <div> </div> <div>關於業界標準的遵循方面，Ultrastar DC SN861支援NVMe 2.0、NVMe MI 1.2c，以及OCP 2.0（應該是指OCP Datacenter NVMe SSD 2.0規格），而此系列產品的E1.S款式，還額外支援基於<span style="white-space:pre"> </span>TP4146技術提案而成的彈性資料置放標準，名為NVMe Flexible Data Placement（FDP），而這項標準發展的目的，是希望將寫入放大效應因子（Write Amplification Factor，WAF）降低到1，以延長儲存裝置的使用壽命、改善效能與見低延遲，提供更多元的NVMe資料置放方式。</div> <div><a href="https://s4.itho.me/sites/default/files/images/FDP1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FDP1.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/FDP2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FDP2.jpg" style="width: 298px;" /></a></div> <div> </div> <div><span style="color:#008080;"><strong>產品資訊</strong></span></div> <div> </div> <div><strong>WD Ultrastar DC SN861</strong></div> <div>●原廠：WD</div> <div>●建議售價：廠商未提供</div> <div>●儲存容量：U.2外形提供1.60 TB、1.92 TB、3.20 TB、3.84 TB、6.4 TB、7.68 TB，E1.S外形提供1.92 TB、3.84 TB、7.68 TB</div> <div>●外形：2.5吋U.2、E1.S厚15公釐</div> <div>●最高讀寫速度：循序13,700 MB/s與7,500 MB/s，隨機330萬IOPS與66.5萬IOPS</div> <div>●使用介面：PCIe 5.0 x4</div> <div>●耐用度：每日寫入量為3或1（U.2外形1.60 TB、3.20 TB、6.4 TB為3，U.2外形1.92 TB、3.84 TB、7.68 TB為1，E1.S外形均為1）</div> <div>●可靠度：250萬小時MTBF</div> <div> </div> <div>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</div> </div></div></div>
2024/6/16 17:07作者李宗翰https://www.ithome.com.tw/review/163454
謀定而後動，善用資安框架是上上策
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nian_jian_-shan_yong_zi_an_kuang_jia_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">NIST</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>主動關心資安議題的企業主增加了，即使是過往不受約束的產業也能感受迫切性，原因在於更多的重大事件發生、更嚴峻的法規、更精實的稽查標準所致。2023年10月公布「數位經濟相關產業個人資料檔案安全維護管理辦法」即引發數位黏著度高的產業族群關注，究竟資安該怎麼做才好？</p> <p>孫子兵法提到：「善戰者，先為不可勝，以待敵之可勝」，意思是說真正善於作戰的人，會先懂得規畫自己，讓自己成為不可被戰勝（立於不敗）的狀態。不過，資安是個涵蓋層面廣且專業複雜的綜合科學，加上迭代更新的速度快，造成資安門檻極高，而「資安框架」就是依據如此概念所發展而成的解法，是由一群有經驗的專家們有共識設計出的成功指南。這就像你如果想挑戰喜馬拉雅山攻頂，沒有比參照成功攻頂的一群專家所提出的方法更可靠。</p> <p>許多成熟好用的資安框架，其實都是屬於通用型態的好方法，而且不限於特定產業、單位規模、環境類型，像是NIST CSF、ISO 27001、CIS、CDM、TaSM、MITRE ATT&CK等，企業更可以評量自身狀態，設計不同階段的資安成長規畫，並且透過資安框架幫助，使企業將複雜的資安防護與管理機制變成清楚有條理的「設計藍圖」，從而完成可成功推展執行的資安戰略。</p> <p>以下我們將從企業該如何規畫資安策略、選擇需要的資安技術方案、以及建立攻擊向量等觀點，說明「謀定」而「後動」的具體做法。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B9%B4%E9%91%91-%E5%96%84%E7%94%A8%E8%B3%87%E5%AE%89%E6%A1%86%E6%9E%B6-600-4.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>企業資安的建構可利用各個不同特性的資安框架，並且搭配PDCA循環式管理，持續精進企業資安，如此一來，將有助於企業資安的成熟度不斷提升。</strong><span style="font-size:14px;">圖片來源／黃繼民</span></span></p> <p><span style="font-size: 28px;"><strong>Lesson One：打造企業資安基礎的最佳藍圖</strong></span></p> <p>NIST CSF是目前世界各國使用率最高的資安框架，由美國國家標準暨技術研究院（NIST）設計提出的資安框架Cybersecurity Framework（CSF），於2014年發布。NIST這個單位在資安領域有許多的貢獻，包括CSF資安框架，以及知名的SP 800系列各種規範指南，世界各國政府制定資安政策時，也依據NIST CSF及SP 800系列來規畫。</p> <p>NIST CSF資安框架的設計，是參考多種主要的資安標準與方法、集大成的最佳結果，因此CSF所提出的方法不只脈絡清楚、內容也更容易理解，加上能與其他的國際網路安全標準及資安框架彼此相容，例如：ISO 27001、CIS、COBIT，以及工控系統安全標準ISA 62443等，這點也是NIST CSF資安框架是最被推薦的資安藍圖的原因。</p> <p>目前NIST CSF 1.1是最普遍的版本，將資安任務分成五大主要功能：識別、保護、偵測、響應、復原，再往下展開各個功能的任務項目。而透過這五大功能，可以設計能幫助企業資安策略的規畫，促使其更有邏輯脈絡，並且可以進一步參照ISO 27001、ISO 27002、或是CIS的規範來設定資安政策辦法，套用PDCA持續性的管理及精進，從而能夠不斷提升企業資安成熟度。</p> <p>在2024年3月正式公布最新版的NIST CSF 2.0當中，額外新增了「治理」成為六大主要功能，強調企業組織的管理層參與資安治理，以及資安策略的重要性，而且ISO國際標準組織也正式將此NIST CSF五大功能的防禦概念，放入ISO/IEC 27002:2022資訊安全、網路安全及隱私保護的控制措施中，使企業組織能夠有更具體的規範描述可依循。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B9%B4%E9%91%91-%E5%96%84%E7%94%A8%E8%B3%87%E5%AE%89%E6%A1%86%E6%9E%B6-600-1.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>SANS Institute發布的一項研究發現，採用安全框架的組織中有近74%使用NIST CSF，幾乎是其他框架的兩倍。</strong><span style="font-size: 14px;">圖片來源／Expel</span></span></p> <p><span style="font-size: 28px;"><strong>善選資安防護技術方案，建立有效的佈防設計</strong></span></p> <p>在建構資安的做法上，許多企業經常先想到採買資安設備或取得資安證照，但往往造成資安幻覺（就像目前生成式AI給出的內容經常被質疑的AI幻覺），而透過有方法的構思部署，能夠將幻覺變成更實際的幫助，根據我的觀察與研究，OWASP CDM及TaSM這二個資安防護矩陣，就是最佳的方法。</p> <p>企業在藉由NIST CSF規畫出資安藍圖後，當然需要資安裝備跟執行控制來施作實踐，不過在面對資安攻擊威脅的多樣化及複雜性，加上市場上琳琅滿目的各種資安防護技術方案，即使是內行的資安人員也會產生選擇障礙。有鑒於此，OWASP CDM及TaSM的設計產生，便是為了幫助評估思索的資安框架，這二個資安框架都隸屬OWASP組織，也是基於NIST CSF為基底所衍生的5x5矩陣框架，目的接為幫助使用者快速建立有系統脈絡、能化繁為簡的思索方法，幫助使用者從不同的需求層面，思索有哪些資安技術方案能滿足需要，並且可發揮適當防護效果，也能作為檢視需補強缺口的部分。</p> <p><span style="color: rgb(178, 34, 34);"><strong>OWASP CDM（Cyber Defense Matrix）</strong></span></p> <p>OWASP CDM網絡防禦矩陣，是2016年在美國銀行擔任首席安全科學家Sounil Yu提出的5x5的網格矩陣，在第一維度橫軸，是以涵蓋NIST CSF的五大功能為基礎，而在第二維度的縱軸項目，則是以設備裝置、應用程式、網路、資料、及人員等五個資產類別。</p> <p>在這個由二維結構組成的矩陣圖中，能幫助我們將所想要保護的資產類別先定義出來，再逐一從識別、保護、偵測、響應，以及復原等五大資安框架進行盤點，思考各項資產需要的資安技術方案；CDM方法的操作方式不只可以從資產層面的需求出發，也可以反過來從各位所研擬出的各種資安政策、須遵循的規範，或針對市場上的資安技術方案層面思索。</p> <p><span style="color: rgb(178, 34, 34);"><strong>OWASP TaSM（Threat and Safeguard Matrix）</strong></span></p> <p>OWASP TaSM威脅與保護矩陣，是以「行動」面向的檢視方法，由資安專家G Mark Hardy和Ross Young發起，目的是幫助CISO對於企業商務營運擬定合適、需要的縱深防禦計畫。</p> <p>基本上，TaSM也是同樣採用NIST CSF的五大功能為基礎所設計出來的5x5網格矩陣，但更是從面對威脅（Threat）所需的安全保護（Safeguard）而構建出的二維矩陣方法。</p> <p>在第一維度的橫軸，TaSM以涵蓋了NIST CSF的五大功能以及安全防護為主；第二維度的橫軸則是從資安威脅為面向，例如企業最常遭遇的Web應用程式攻擊、網路釣魚、第三資料遺失、供應鏈攻擊、以及DDoS阻斷服務攻擊等。</p> <p>有鑒於任何一種保護技術方案的選擇與導入都需要付出成本（包括經費、時間、人力、資源），因此，如何將寶貴、有限的資源，以有效率的方式，依據企業的狀態及資安策略進行合適的防護建立，並且發揮效果；最重要的是，避免「聽說、跟風、不知所以然」的瞎選方式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B9%B4%E9%91%91-%E5%96%84%E7%94%A8%E8%B3%87%E5%AE%89%E6%A1%86%E6%9E%B6-600-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>在2024年3月正式公布NIST CSF 2.0新版本，從之前CSF 1.1的五大功能重新定義發展成CSF 2.0的六大功能，而且在原本的五大功能：識別（Identify）、保護（Protect）、偵測（Detect）、響應（Respond）、復原（Recover），再新增第六功能：治理（Govern），藉此強調企業資安治理與策略的重要性。</strong><span style="font-size: 14px;">圖片來源／NIST</span></span></p> <p><span style="font-size: 28px;"><strong>面對攻擊來襲，你更需要攻擊向量視角</strong></span></p> <p>前面我們提到分別從設計企業資安策略的NIST CSF開始，以及如何選取合適企業資安防護方案的OWASP CDM與TaSM，都是屬於為了建構企業資安的準備，而且，這一切的準備都是為了面對攻擊來犯。</p> <p>企業必須先建立「遭受資安攻擊是不可避免」的心態概念，因此，如何趕緊察覺攻擊來犯的蛛絲馬跡，是防範未然跟避免災損的最佳方法，但是困擾大家的問題是：看不出、也看不懂發生什麼資安攻擊？雖然資安攻擊的手法複雜，但是仍然有施展的過程與跡象可以被觀察出來，例如，早年有「網絡攻擊鏈（Cyber Kill Chain）」可用來描繪關於企業遭遇攻擊入侵的過程階段，到了近幾年以來，資安領域最為推崇MITRE ATT&CK Framework提出的方法。</p> <p>MITRE ATT&CK全名為MITRE Adversarial Tactics Techniques and Common Knowledge，是由非營利組織MITRE所提出、持續維護的資安框架，它主要是從駭客角度針對網絡攻擊入侵進行分類和說明的指南，ATT&CK框架發布於2015年，是現今最主要作為檢視資安攻擊活動的攻擊戰術、攻擊技術以及攻擊模式的知識庫，並且不斷地被持續更新。</p> <p>我們可以將MITRE ATT&CK視為一種描繪資安攻擊活動的共通語言，有助於入侵手法的描述、分類和理解威脅行為上，能有一套共通標準。MITRE ATT&CK將入侵流程定義成14個戰術（Tactic），包括：偵查、資源開發、初步訪問、執行惡意程式碼、持續性控制、權限提升、防禦規避、憑證存取、探查環境、橫向移動、資料收集，以及事件發生（命令與控制、洩漏及影響）等，並且描述每個戰術所採取的技術（Technique）及程序（Procedure），提供結構化的方法，有助於資安專業人員更好理解與判讀威脅行為。</p> <p>順道一提，MITRE ATT&CK可以與NIST CSF的偵測與響應之間，進行相互策略應用搭配，企業以NIST CSF制訂資安策略需要的具體評量指標，便可利用MITRE ATT&CK來設定。</p> <p>此外，企業在利用OWASP CDM或TaSM，進行所需資安防護技術方案的評選時，也可以檢視該項防護技術方案是否具備或支援MITRE ATT&CK的情報內容，例如，現今的XDR技術技術方案便是一種，有助於企業面臨資安威脅時，能夠快速展開攻擊視角來掌握整體情況，並且可以迅速展開準確的防禦行動應變。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B9%B4%E9%91%91-%E5%96%84%E7%94%A8%E8%B3%87%E5%AE%89%E6%A1%86%E6%9E%B6-600-3A.png" style="width: 400px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B9%B4%E9%91%91-%E5%96%84%E7%94%A8%E8%B3%87%E5%AE%89%E6%A1%86%E6%9E%B6-600-3B.png" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>目前隸屬於OWASP的 CDM及TaSM，都是幫助評估資安策略所需的保護方案，大家可將不同威脅套用到這兩種框架中，思索相關保護方法。</strong><span style="font-size: 14px;">圖片來源／OWASP</span></span></p> <p><strong><span style="font-size: 28px;">資安威脅是無限賽局，善用方法才是破解之道</span></strong></p> <p>資安威脅是場無限賽局，隨著各種新型的數位科技問世，往往都是攻擊方會取得先機，而防守方的企業則經常處於被動應對的狀態，因此，企業的資安防護想要搶佔先機，就必須採取更睿智聰明的方法。對此，我想再次引用孫子兵法所提到的「上兵伐謀」，企業資安策略與防護的重點在於：能夠有效率地破除駭客攻擊的計謀與手段，最不需要的是跟駭客團體進行軍武競賽，因為，將寶貴資源用在企業競爭力更值得。</p> <p>隨著數位化的爆發式發展，「數位信任（Digital Trust）」勢必將成為數位世代的重要指標，我們無法預期未來的數位是否能發展出電影第一玩家，或駭客任務的模式，然而，已知與未知型態的資安攻擊卻對數位信任造成衝擊。</p> <p>借用BSI數位信任專家Mark Brown在<數位信任新紀元>一文所言，「數位信任」並非網路安全的新鮮詞，但其內容涵蓋會影響客戶、使用者，以及和利害關係人對於企業信任的諸多因素，企業唯有仰賴資安才能順利運作並獲得完善保護。資安是建立數位信任的關鍵要素，更是刻不容緩的任務，懂得善用方法，才是建立企業資安最睿智聰明的上上策。<strong>文⊙懷生數位處長黃繼民</strong></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color:#FFFFFF;"><span style="font-size:22px;"><span style="background-color:#3399ff;"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color:#FFFFFF;"><span style="font-size:22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 250px;" /></span></span></strong></a></p> </div></div></div>
2024/6/16 00:00未署名https://www.ithome.com.tw/article/163232
臺灣虛擬通貨公會正式成立！下一步是訂定自律規範，落實產業分類分級管理機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣虛擬通貨公會在昨日正式成立，首屆公會共有24間業者入會，由幣託科技共同創辦人暨執行長鄭光泰當選首屆理事長，副理事長則由XREX共同創辦人暨集團營收長蕭滙宗當選。在成立大會中，理事長鄭光泰表示，制定合理且有效的自律規範，和打造區塊鏈上下游產業鏈，是公會接下來的重要推動事項。</p> <p>早在去年九月，金管會就發布虛擬通貨業者指導原則，擬定業者須遵循的十大原則方向，包括建立營運系統、資訊安全及冷熱錢包管理機制等。而虛擬通貨公會的首要任務，就是根據原則框架，來制定自律規範。</p> <p>「監管要他律，需要有相對應的技術、平台和資源。」輔當選副理事長的蕭匯宗在一個podcast節目中解釋，虛擬通貨公會成立後的影響性，除了建立業者與主管機關間的溝通橋樑，也要透過建立自律規範，來輔助主管機關更掌握這個新興產業，進一步制定合適的監管機制，甚至能成為未來主管機關制定專法的參考依據。</p> <p>除了制定自律規範，公會另一項重要推動事項，是打造區塊鏈上下游產業鏈。目前，虛擬通貨公會已制定產業的分級分類機制，在公會創始成員名單中，24間業者依據業務涵蓋範疇區分為三類，各類別還會依據公司規模分為兩級。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/448321771_10160594965458423_2524454279877905203_n.jpg" style="background-color: transparent; color: rgb(0, 0, 0); font-family: Arial, sans-serif; font-size: 11pt; white-space-collapse: preserve; width: 600px;" /></p> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:10pt;"><span><span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-06-14%20202322.png" style="width: 600px;" /></span></span></p> <blockquote><p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:10pt;"><span style="background-color: transparent; color: rgb(0, 0, 0); font-family: Arial, sans-serif; font-size: 11pt; white-space-collapse: preserve;">在虛擬通貨業者的洗錢防制法令遵循聲明中，敘述了五大類業務項目，正是虛擬通貨公會的分級分類機制的分類依據。A類是從事所有業務項目的業者，B類是從事第一到第三項業務中，任兩項的業者，C類則是從事第四、第五項業務，或其他業務項目業者。甲、乙級則是根據公司資產規模和員工數分級，各個類別中有不同的分級標準。（圖表來源：XREX）</span></p> </blockquote> <p>公會表示，未來會妥善執行分級分類管理。意味著，往後新加入的業者也需要依照這個分類分級機制接受管理，透過與同類別企業合作，促進整個產業前進。</p> <p>另外，公會也會推動和執法單位合作反詐騙、反洗錢，更要建立警方和產業間的聯防機制，提升產業整體的防禦力道。例如，公會籌備小組在今年三月，就已和法務部研議更具體的可疑交易通報機制。</p> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:10pt;"> </p> <div> </div> </div></div></div>
2024/6/14 20:46作者李昀璇https://www.ithome.com.tw/news/163468
【資安日報】6月14日，勒索軟體駭客組織Black Basta在微軟提供漏洞修補3個月前，利用掌握到的資安弱點打造攻擊…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者賽門鐵克近期針對勒索軟體駭客Black Basta、RansomHub的攻擊行動進行調查，並公布相關發現，其中，較為值得留意的是，Black Basta掌握了微軟尚未修補的Windows系統弱點，而能在3個月的空窗期製作漏洞利用工具並用於攻擊行動。</p> <p>值得留意的是，微軟在修補漏洞的當下，並未察覺漏洞遭到利用的跡象，而是直到最近，才有研究人員察覺，該漏洞已於去年被用於網路攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163455"><strong style="font-size: 22px;">勒索軟體駭客Black Basta利用Windows零時差漏洞提升權限</strong></a></p> <p>今年3月微軟修補Windows錯誤回報服務的漏洞CVE-2024-26169（CVSS風險評分為7.8），一旦攻擊者利用這項漏洞，就有機會提升權限。但最近研究人員指出，有人在微軟修補之前將其用於攻擊行動。</p> <p>資安業者賽門鐵克調查一起勒索軟體Black Basta攻擊事故，駭客組織Cardinal（Storm-1811、UNC4394）成功在受害電腦植入惡意程式DarkGate的載入工具之後，接著就部署CVE-2024-26169的漏洞利用工具，值得留意的是，研究人員找到的兩個惡意程式檔案，皆在微軟推出修補之前出現，其中一個是在今年2月27日製作，另一個則是在去年12月18日產生。這樣的情況，代表駭客至少在3個月前，就將其當作零時差漏洞用於攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/163376"><strong style="font-size: 22px;">研究人員針對新興勒索軟體駭客組織RansomHub進行調查，對方利用ZeroLogon入侵受害組織</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ransomhub-6.png.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ransomhub-6.png.png" style="width: 300px; float: right;" /></a>近期不斷登上新聞版面的新興勒索軟體駭客組織RansomHub，接連針對美國醫療集團Change Healthcare、英國精品拍賣業者佳士得（Christie's）、臺灣電腦製造商藍天（Clevo）出手，這個從今年2月才出現的駭客組織，已竄升至過去幾個月第4大的勒索軟體，其威脅態勢也引起研究人員高度關注。</p> <p>資安業者賽門鐵克針對這個駭客組織著手進行身家調查，他們發現RansomHub的有效酬載與另一款名為Knight的勒索軟體具有高度相似性，這兩款惡意程式都是透過Go語言打造，而且，大部分的版本使用名為Gobfuscate的工具進行混淆處理。</p> <p>而對於RansomHub的攻擊流程，研究人員提及，他們看到這些駭客通常利用ZeroLogon（CVE-2020-1472）取得初始入侵的管道，對方藉此得到網域管理員權限，從而控制整個網域。</p> <p><a href="https://www.ithome.com.tw/news/163378"><strong style="font-size: 22px;">網路釣魚工具包V3B鎖定歐洲國家銀行而來，企圖竊取用戶登入資料及OTP</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2add212dfa66fc9f99ec2385321cae5e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2add212dfa66fc9f99ec2385321cae5e.png" style="width: 300px; float: right;" /></a>資安業者Resecurity揭露新的駭客組織，對方自今年3月，在加密通訊軟體Telegram頻道與暗網社群裡，推廣名為V3B的網釣工具包，並專注歐洲金融機構客戶從事相關攻擊。目前這些駭客的Telegram頻道至少吸引了1,255名成員，他們專門從事社交工程攻擊、SIM卡挾持（SIM Swapping）、金融卡詐欺等網路犯罪行為，估計已造成數百萬歐元損失。</p> <p>研究人員指出，這款網釣工具包鎖定超過54個歐盟金融機構的用戶而來，標榜提供專屬的本地化範本，能模仿各家網路銀行及電子商務系統的驗證流程，該工具包攻擊的範圍，遍及愛樂蘭、荷蘭、芬蘭、奧地利、德國、法國、比利時、希臘、盧森堡、義大利。</p> <p><a href="https://www.ithome.com.tw/news/163380"><strong style="font-size: 22px;">駭客藉由Excel巨集進行多階段惡意軟體攻擊，針對烏克蘭電腦植入Cobalt Strike</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/cobalt-process-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cobalt-process-diagram.png" style="width: 300px; float: right;" /></a>資安業者Fortinet針對鎖定烏克蘭利用Excel巨集散布滲透測試工具Cobalt Strike的攻擊行動提出警告，並指出對方在過程裡採用各種規避手法，來確保有效酬載能夠成功送達。</p> <p>駭客先是傳送內含烏克蘭文字的Excel巨集，一旦使用者依照指示啟用巨集，該檔案就會切換成分配軍事單位預算的工作表，而在此同時，巨集則會藉由公用程式regsvr32，在後臺部署DLL程式庫，以便下載作案工具。</p> <p>這個惡意程式下載工具在啟動的過程當中，會檢查目標電腦是否存在Avast防毒軟體及Process Hacker的處理程序，並確認電腦的地理位置在烏克蘭，然後從遠端伺服器下載另一個經過編碼處理的有效酬載，最終將Cobalt Strike的Beacon注入，並與C2伺服器建立連線。</p> <p><a href="https://www.ithome.com.tw/news/163447"><strong style="font-size: 22px;">研究人員揭露Veeam剛修補的重大漏洞技術細節與利用方式</strong></a></p> <p>不久前的5月21日，備份與資料保護軟體廠商Veeam，發布Veeam Backup & Replication備份軟體12.1.2.172更新版本，修補Veeam Backup Enterprise Manager（VBEM）集中管理控制臺的4個漏洞，但只簡略提及這些漏洞造成的影響，而未交代具體的技術細節。</p> <p>最近資安研究人員Sina Kheirkha則針對嚴重程度最高的CVE-2024-29849，提出了他的分析結果，以及可行的利用漏洞方式。研究人員指出問題是出在Veeam API的SSO token驗證程序並不完備，用於驗證SSO token有效與否的STSService URL網址，本身並不會經過驗證，所以攻擊者可以將SSO token驗證請求，導向到自己控制的惡意伺服器伺服器上，所以Veeam API向惡意伺服器詢問攻擊者的SSO token是否有效時，自然會得到「有效」的回應。</p> <p><a href="https://www.ithome.com.tw/news/163456"><strong style="font-size: 22px;">半導體矽晶圓廠環球晶圓發布重大訊息，部分資訊系統遭受攻擊，恐有產線受到影響</strong></a></p> <p>6月13日傍晚5時半導體矽晶圓廠環球晶圓（環球晶）發布重大訊息，證實有部分資訊系統在12日晚間遭到駭客攻擊。該公司資安單位在察覺異狀後，隨即啟動相關防禦及復原機制，並委請外部資安業者的技術專家協助處理。</p> <p>而對於這起事故帶來的影響，他們後來也向中央社透露後續確認的情況，指出有少數廠區的部分產線受到影響，對此，他們將會使用庫存因應，若有部分無法及時供應，有可能延遲至第3季初出貨。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://blog.trailofbits.com/2024/06/11/exploiting-ml-models-with-pickle-file-attacks-part-1/"><strong style="font-size: 20px;">研究人員揭露針對機器學習模型而來的攻擊手法Sleepy Pickle</strong></a></p> <p></p> <p>◆<a href="https://intezer.com/blog/research/ssload-technical-malware-analysis/"><strong style="font-size: 20px;">惡意程式載入工具PhantomLoader冒充中國防毒軟體元件，被用於散布惡意軟體SSLoad</strong></a></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.securityweek.com/apple-patches-vision-pro-vulnerability-used-in-first-ever-spatial-computing-hack/"><strong style="font-size: 20px;">蘋果發布作業系統更新，首度修補Vision Pro獨有的虛擬實境運算漏洞</strong></a></p> <p></p> <p>◆<a href="https://securityaffairs.com/164494/security/fortios-high-severity-code-execution-flaws.html"><strong style="font-size: 20px;">Fortinet修補防火牆作業系統高風險層級的程式碼執行漏洞</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163449"><strong style="font-size: 22px;">企業自信心帶動資安轉型意願，識別力信心最低成短板</strong></a></p> <p>資安自信心成為資安變革的動力，更多臺灣大型企業，資安自信心比過去更高，也更想要改變資安戰略的做法。根據iThome 2024資安大調查的分析結果顯示，強化資安向來是企業資訊長排名第一的年度目標，但今年以此為目標的CIO減少了，轉而代之的是，更多企業資訊長、資安長聚焦在資安轉型，不只是做好，而要更積極展開資安變革。今年高達49.8%的企業資安長，將資安轉型定為年度目標，遠高於去年的30.8%比例。</p> <p>高達46%的企業資訊長、資安長對企業資安能力有信心，這個比例遠高於去年的28.7%。更多企業相信自己有足夠的能力，因應層出不窮的資安風險和威脅，也更願意做出改變。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://news.pts.org.tw/article/699798"><strong style="font-size: 20px;">英國智庫皇家國際事務研究所舉辦2024年網路安全會議，邀請數位發展部分享臺灣防禦策略</strong></a></p> <p></p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163113"><strong style="font-size: 22px;">法遵議題是驅動臺灣資安產業發展關鍵</strong></a></p> <p>資安政策制定和推動，對臺灣資安發展扮演關鍵角色。趨勢科技臺灣區總經理洪偉淦表示，政府應該針對不斷變化的威脅環境，制定相應的法規要求，以保護國家和民眾的資訊安全，同時政府也為企業提供必要的政策支持和保護，以帶動資安產業整體發展，例如政府提供企業資金支持和稅收優惠等措施以促進資安產業發展。</p> <p>洪偉淦坦言，資安不僅僅是企業面臨的問題，也是國家面臨的問題，因此，政府不只要積極推動資安產業的發展，也應該將資安轉化為國家的競爭優勢，像是政府可以通過制定相應的政策措施，促進資安產業的穩健發展，同時，還可以為保障國家的資訊安全，提供更加堅實的基礎。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163444"><strong>【6月13日】荷蘭針對中國駭客攻擊Fortinet防火牆設備的網路間諜行動進行深度調查，駭客挾持全球逾2萬臺設備</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163429"><strong>【6月12日】微軟發布6月份例行更新，總共針對49個漏洞進行公告</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163398"><strong>【6月11日】紐約時報證實內部資料流入地下論壇，程式碼儲存庫帳密資料外流釀禍</strong></a></p> </div></div></div>
2024/6/14 12:49作者周峻佑https://www.ithome.com.tw/news/163458
【臺灣資安大會直擊】富邦金建立跨子公司偽冒案件應變小組，系統化執行偽冒網站下架作業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，詐騙集團不僅會利用簡訊發送偽冒企業的釣魚網站連結，誘導民眾輸入個資及信用卡資料，更會在社群網站中假冒企業老闆和名人專家，誘使民眾加入投資群組，進一步詐取金錢。即便企業努力下架偽冒網站、群組，但「今天下架，明天又上架」的循環通常得持續兩三周，才會稍微停歇。富邦金控資安長蘇清偉在臺灣資安大會中點出。</p> <p>為了讓集團更系統化的下架偽冒網站和詐騙群組，富邦金控在內部推動一系列措施，先是制定集團一致性處理準則，包括定義案件樣態、建立明確處理機制，接著集結金控和子公司人員成立偽冒案件應變團隊，在接獲相關案件通報後，快速建立因應決策。同時，集團內部也使用自動化工具來進行網路監控，協助搜查偽冒訊息或網站。</p> <h3>制定處理準則三步驟：定義案件樣態、成立應變小組、建立處理機制</h3> <p>富邦制定處理準則的第一步，是定義案件樣態。富邦將偽冒案件分為四種，分別是釣魚網站及App偽冒、媒體偽冒、通訊軟體偽冒，和其他偽冒案件。其中，媒體偽冒專指社群中常見的偽冒粉絲專業或帳號，通訊軟體偽冒則是透過Line或簡訊等通訊軟體散播偽冒訊息的案件，例如假冒富邦員工發送文件，或是假冒富邦高階經理人創立投資群組等。</p> <p>第二步，是成立應變小組。富邦的作法，是整合金控和子公司的資安部門、品牌公關、風管單位和法尊單位，當收穫相關案件，會立即成立一個跨部門群組，決議案件的樣態並分派受理單位。蘇清偉解釋，不同案件樣態的處理機制、負責單位有所差異，例如，品牌公關對臉書操作較熟悉，因此，臉書上的偽冒帳號，就會由品牌公關主責下架作業。</p> <p>第三步，是制定完整的處理機制。富邦的偽冒案件處理機制可分為六大步驟。首先，當公司收穫案件通知，就會主動通報應變小組。除了透過人工作業方式查獲偽冒案件，如客戶反映、臉書通報和內部職員反映，富邦也有使用自動化工具來偵測釣魚網站和App。</p> <p>接著，由應變小組依案件樣態分派受理單位。當受理單位收到案件後，會先進行查證，並向查證單位通報。確認案件確為偽冒案件後，受理單位會依風險矩陣判別案件的風險等級，再根據等級高低執行因應措施，結案後再回報辦理情形。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__61472793.jpg" style="width: 600px;" /></p> <blockquote><p>富邦的偽冒案件處理機制分為六大步驟。第一步，當公司收穫案件通知，就會主動通報應變小組。第二步，應變小組受理案件後，會依案件樣態分派受理單位。接著，受理單位收到案件後，會先進行查證，並向查證單位通報。確認案件確為偽冒案件後，受理單位會依風險矩陣判別案件的風險等級。到了第五步，則是處理階段，由受理單位根據等級高低執行因應措施，結案後再回報辦理情形。</p> </blockquote> <p>蘇清偉解釋，富邦採用的風險矩陣，是以影響程度和業務關聯性作為指標，兩者皆區分出三種層級，可將案件歸類為高風險、中風險和低風險三種類別。若案件屬於高風險案件，需要立即處置，包括呈報公司總經理核備，或是向警察機關報案、尋求司法機關協助等。若為中風險，則至少需要公告澄清，低風險偽冒案件則是包含透過官方管道檢舉下架。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__61472794.jpg" style="width: 600px;" /></p> <blockquote><p>富邦採用的風險矩陣是以影響程度和業務關聯程度做為判別指標，兩者皆可分為低、中、高三種層級。受理單位可運用這個風險矩陣來判定案件的風險等級。</p> </blockquote> <p>在案件處理的階段中，富邦除了和公部門協力阻止詐騙行動，也和電信業者合作，當發現偽冒網站時，能快速終止DNS解析服務，早一步阻擋民眾連上釣魚網站。</p> <h3>半年內處理近300件偽冒案件，警銀連線平均不到半天就能下架臉書假帳號</h3> <p>依循這套機制，2023年下半年，富邦處理近300件偽冒案件。其中，釣魚網站及App偽冒案件占多數，即便每件都能成功下架，但平均需要9天的時間，才能順利結案，是最容易接觸到客戶的一類偽冒樣態。</p> <p>通訊軟體偽冒則須要平均4.7天，才能成功下架。蘇清偉指出，由於特定通訊軟體的檢舉作業須要經過舉證，有時檢舉案件會因資訊不足而難以立案。至於媒體偽冒，則是處理速度最快的樣態，透過與刑事局合作，平均半天內就能成功下架。</p> <p>根據半年來的實務經驗，蘇清偉點出目前企業的防詐困境。在處理媒體和通訊軟體的偽冒案件時，主要有四個困境。第一，各個社群平臺需要審核作業時間，無法在第一時間下架偽冒平臺。第二，官方檢舉不會主動回報檢舉執行進度，需要人工逐案確認。第三，官方檢舉常遇到檢舉不成立，或因資訊不足而無法受理檢舉案件的情況，影響下架作業。第四，客戶通報時，若未提供案件詳細資訊，企業也無法進一步執行檢舉和下架。至於其他類型的偽冒案件，因利用非數位化的形式進行詐騙，企業難以有效追查詐騙來源，也無法進一步執行後續處理動作。</p> <p>詐騙手法日新月異，業者為了應變，只能不斷地和詐騙組織周旋，「你一停，你就輸了！客戶接觸到假資料後，可能就受害了。」因此，蘇清偉也鼓勵同業一起擔任淨化網路的角色，下架偽冒訊息，守護客戶的安全。</p> <p></p> </div></div></div>
2024/6/14 17:37作者李昀璇https://www.ithome.com.tw/news/163467
仁來瘋背後的產業AI革命新思維
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年的五六月，向來是大型IT廠商爭相舉辦年度用戶活動的重要時刻，同樣在這段期間舉行的台北國際電腦展（Computex），過去兩年以來，吸引越來越多人關注，最大原因是Nvidia共同創辦人暨執行長黃仁勳的到訪，掀起全臺灣與全球的數位科技狂潮，今年更有媒體將這股全民追星旋風稱為仁來瘋（Jensanity）。</p> <p>去年Computex的週一開場由黃仁勳他在南港展覽館2館的主題演講開始，今年黃仁勳再度訪臺，演講提早在活動前一個週日晚間7點進行，到場地更大的臺灣大學綜合體育館，展開難得的夜間主題演講，而<a href="https://www.youtube.com/watch?v=pKXDVsWZmUU&t=6093s" target="_blank">這場線上直播的影片</a>截至6月13日為止，觀看次數就已經累積到500萬。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/pKXDVsWZmUU?si=4f6QSLgCJXuJrzeR&start=144" title="YouTube video player" width="560px"></iframe></div> <p>除此之外，這兩年的Computex活動期間，在伺服器廠商美超微共同創辦人暨執行長梁見後的主題演講，他都前去站臺，因此也吸引許多人關注。由於臺灣大部分媒體的焦點，均在兩人的過往生平軼事、生涯發展有多麼勵志，關於他們如何促進AI發展的規畫反而語焉不詳，也讓我重新去看今年兩人的演講影片。</p> <p>如果不想看長篇大論，我推薦大家去看Supermicro的演講，尤其是黃仁勳作為客座來賓的段落，言簡意賅點出今年他們推動的技術變革關鍵，他信手拈來兩段話，道破Nvidia今年主打的AI工廠（AI Factory）概念。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/HQnNpZFIhpA?si=bpTYmoRYxJ_EfC5i&start=1760" title="YouTube video player" width="560px"></iframe></div> <p>黃仁勳說，在未來，運算吞吐量就代表著營收，因為一切關乎詞元的生成（token generation），而詞元生成是以每百萬個詞元的費用來計算，就像能源是以千瓦小時（kWh）來計算，我們如今已發明新的有價商品，如果能夠以更快速度產生它、達到更高的吞吐量、更高的使用率，我們就會獲得更大的營收，他深信這是千真萬確的，因為它可以是能夠直接衡量的。</p> <p>接下來，他用三個簡單對比，突顯他們打造的數位科技新願景有別於傳統IT。他說，基於上述理由，Nvidia將這樣的系統環境建置稱之為工廠，而非資料中心、檔案伺服器檢索檔案，或是用於交換電子郵件，因為重點在於這樣的「工廠」可以直接產生營收，因此他們稱為AI工廠。</p> <p>關於AI工廠的解釋，黃仁勳在稍早Nvidia主場的演講是有更完整的論述，那一整段話並不只是為了鋪陳、炒熱氣氛。</p> <p>在他提到臉上疤痕的由來、推崇臺灣的夜市，以及長年賣水果的小販之後，黃仁勳開始解釋AI工廠的由來。</p> <p>回顧ChatGPT誕生之前，AI主要是感知（Perception）與感測（Detection），ChatGPT讓全世界見識到生成式AI，起初只能一次生成一個文字形式的詞元，如今可產生各種我們知道其意義的資訊，像是圖片、圖表、歌曲、演講、影片，以及化學物質、蛋白質、基因、天氣、物理等領域的詞元，可透過AI模型學習意義，然後生成相關內容。因此，用這種方法為任何有價值的事物生成詞元，任何能學習的事物都可以生成，因此，黃仁勳認為，我們現在要進入的不只是AI時代，而是生成式AI時代，而供應這些能力的系統原是超級電腦，如今進化為資料中心，而且能生產詞元，使其成為AI工廠，同時，這樣的工廠能夠產生（generate）、創造（create）、生產（produce）具有重大價值的東西，他稱為「一種新的商品」，也呼應後續Supermicro演講所言。</p> <p>就像交流發電機產生電子，Nvidia的AI生成器產生詞元，都能提供所有產業所需要的東西，帶來龐大商機，也將成為一場「新的產業革命」，因為可透過新的工廠，為每個產業生產新的高價值商品，而且這種作法具有高度可擴充性（scalable）與可複製性（repeatable ）。黃仁勳直言，這是3兆美元市場規模的IT產業，即將打造出可直接服務100兆美元市場規模其他產業的商品，這樣的商品不只是用於資訊儲存或資料處理，而是能為各種產業生成智慧的工廠，因此，IT將成為製造業，不只是生產電腦的製造業，而是將電腦用於製造。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/computex">Computex</a></div><div class="field-item odd"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item even"><a href="/tags/%E9%BB%83%E4%BB%81%E5%8B%B3">黃仁勳</a></div><div class="field-item odd"><a href="/tags/%E4%BB%81%E4%BE%86%E7%98%8B">仁來瘋</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/ai%E5%B7%A5%E5%BB%A0">AI工廠</a></div></div></div>
2024/6/14 15:33作者李宗翰https://www.ithome.com.tw/voice/163465
ChromeOS將以大量Android技術堆疊進行開發以加速AI部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.chromium.org/2024/06/building-faster-smarter-chromebook.html" target="_blank">Google本周宣布</a>，ChromeOS很快就會在大量的Android技術堆疊上進行開發，包括把Android Linux核心及Android框架當作ChromeOS的基礎，以更快替ChromeOS用戶帶來AI、創新或其它新功能。</p> <p>其實ChromeOS一直在向Android靠攏，Google自2016年便讓ChromeOS用戶可執行Android程式，隔年更宣布採用ChromeOS的所有Chromebook都將支援Google Play與Android程式，此外，自今年3月發表的<a href="https://chromeos.dev/en/posts/androids-bluetooth-stack-fluoride-comes-to-chromeos" target="_blank">ChromeOS 122</a>起，ChromeOS亦開始改用Android所使用的藍牙堆疊Fluoride。</p> <p>Google解釋，把Android技術堆疊導入ChromeOS，可望加速ChromeOS核心的AI創新腳步，簡化工程任務，同時協助諸如手機及配件等各種裝置與Chromebook更為相容，此外，Google也將繼續供應ChromeOS用戶所喜愛的安全性、外觀及管理能力。</p> <p>不過，Google現在才開始改善相關的技術堆疊，可能還需要一陣子才能符合消費者的需求，屆時將提供無縫轉移的更新體驗，在這期間仍會維持正常的ChromeOS軟體更新與創新。</p> <p>這幾年以來，有關Google可能合併ChromeOS與Android<a href="https://www.ithome.com.tw/news/99629" target="_blank">的傳聞一直不斷</a>，但此一名為Andromeda的內部專案很快就告吹，據說原因是Google認為這兩個平臺都很成功，得以各自發展。</p> <p>但即便到了現在，Google仍持續整合這兩個平臺，<a href="https://www.androidauthority.com/chrome-os-running-on-pixel-3442496/" target="_blank">Android Authority</a>於上個月報導，Google正企圖於Pixel手機上執行ChromeOS，該公司開發了一個特殊的ChromeOS版本Ferrochrome，並透過Android虛擬框架（Android Virtualization Framework，AVF）於Pixel上執行。</p> <p>不管Google最後是否會合併這兩個作業系統，至少目前ChromeOS與Android之間的互動能力與技術分享都一直在強化中。</p> </div></div></div>
2024/6/14 14:29作者陳曉莉https://www.ithome.com.tw/news/163463
整合IT與OT強化資料應用，高捷靠IT加速轉型智慧軌道運輸
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衝擊全球近3年的COVID-19重創旅遊業，連帶也影響大眾運輸業，以南臺灣的高雄捷運（簡稱高捷）為例，受到疫情的影響，日運量從多年辛苦經營的18萬人次，2021年6月因疫情進入三級警報，日運量不到2.4萬人次，創下通車營運以來最低的人次。直到疫情緩解後才回升，2024年5月，日運量達到16.7萬人次，高雄捷運逐步從疫情衝擊中復甦。</p> <p>因應搭乘旅客驟減，高雄捷運減少列車班次因應，但沒有因疫情而減緩精進營運及服務，高雄捷運積極運用科技，從傳統大眾運輸加速轉型為智慧軌道運輸，以提高運輸服務體驗，例如2020年和各家電信業者合作，導入5G於高雄捷運，以改善捷運車站、車廂內4G及5G的訊號涵蓋死角問題；2022年在示範車站導入節能的電子紙等等。</p> <p><span style="font-size:28px;"><strong>推動IT與OT整合加速轉型</strong></span></p> <p>成立超過20年的高雄捷運也致力於整合IT及OT，以改善公司營運及服務，背後推手是高雄捷運資訊室主任楊進成，電機工程背景出身的他，2003年便加入高雄捷運的營運籌備階段，最初進入相當於捷運心藏的行控中心，因當時高捷行控中心仍在規畫建置期，他回想當時曾參訪臺北捷運行控中心，作為高捷行控中心的規畫參考。</p> <p>當時，在行控中心任職期間，楊進成與其他同事深深感受到，資訊不足對營運的影響。以列車的故障排除為例，控制工程師不只要記住每一種故障的代碼，還得熟知每一項代碼的通報及排除程序，才能正確應對，對控制工程師的工作帶來重擔，尤其是新手。因此，楊進成在行控中心時開發一套故障排除的輔助系統，當發生故障時，工程師只要輸入故障代碼，系統即提供如何排除故障的相關資訊。</p> <p>傳統上，OT環境為避免外部取得資料，多為封閉的控制系統，為轉型為智慧軌道運輸，高捷思考如何取得OT資料，以協助優化營運管理，他們研究如何自號誌控制系統取得資料，利用網路流量複製的概念，以側錄的方式擷取號誌系統資料，成功自號誌系統取得資料的經驗，讓楊進成與同事更有信心，進一步研究OT的資料結構，以及如何對OT資料進一步加值運用，開發輔助行控中心工作的不同輔助資訊系統。</p> <p>在高層的支持下，2022年楊進成轉調資訊室帶領高捷IT團隊，整合IT與OT也就成為他的任務之一。</p> <p><span style="font-size:28px;"><strong>規畫建置機電資料交換平臺取得OT資料</strong></span></p> <p>他進入資訊室後，發現為了取得OT資料，必需向維修單位取得資料，而高雄捷運仍持續規畫建置新的路線，為了突破20多年來只能在OT環境傳送OT資料的架構限制，他向捷運局提出新的架構，未來規畫建置機電資料交換平臺，讓新的路線可以依照新的資料交換架構，將OT營運資料向外拋，進一步作加值運用。</p> <p>「未來軌道運輸系統發展趨勢是，需要提供旅客更多服務，就需要從OT取得更多的資料」，楊進成表示，IT與OT的整合，在營運方面，IT可以協助紀錄OT資料，運用AI大數據分析找出跡證，對可能發生故障前的偶發狀況，預判是否即將發生故障，提供維修單位擬定整修計畫的參考。</p> <p>不過，由於每個OT系統的資料格式都不相同，高捷與供應商的合約並未要求OT系統得遵循統一的資料格式，這也增加了說服其他單位、委外OT業者提供統一OT資料的難度，因此，楊進成改變策略，希望供應商協助提供OT資料複本，清楚說明其資料結構，讓機電資料交換平臺可以介接到各個OT系統，IT從平臺取得OT資料時，能夠知道資料來自哪個OT設備或子系統，IT解譯這些資料之後，再將資料存放到資料庫，後續用於AI大數據分析應用。</p> <p>除了IT從OT取得資料加值應用，高捷也嘗試將IT的資料整合至OT，改善乘車服務體驗。舉例來說，旅客在月臺上候車，通常會觀看月臺上的PIDS列車資訊系統，也就是月臺上的LCD螢幕顯示的列車到站時間，PIDS是根據OT營運設備的資料計算列車到站時間，然而，旅客經常會抱怨，PIDS系統顯示的到站時間與官網提供的資訊存在落差，PIDS顯示列車進站，但實際上列車並未進站，而官網顯示到站時間比較準確。</p> <p>楊進成解釋，列車因種種原因臨時調度，PIDS難以反映列車調度修改預估到站時間，IT團隊原先想從PIDS取得OT資料，但發現需經過重重解密最終決定放棄，改為蒐集列車的GPS即時定位資料，即使列車臨時調度，也能蒐集準確的列車位置，在官網上提供列車真實的到站時間。為了解決官網上的資訊與PIDS的列車到站時間不一致的問題，IT團隊與PIDS供應商討論，希望將官網的列車動態資訊提供給PIDS系統，讓月臺候車旅客參考，楊進成表示，這是IT結合OT，以IT協助改善OT的例子。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1186-CIO-%E6%8A%BD%E8%A8%80-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89-PNG.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>B級非公務機關強化資安管理</strong></span></p> <p>由於高捷屬於民生相關的大眾運輸服務，被認定為CI關鍵基礎設施，但由於高捷為BOT營運的民間公司，去年他們被指定為B級非公務機關，依規定應達到相應的資安管理規定。除了來自外部的資安等級要求，高捷內部也面臨資安風險增加，成立超過20年的高捷，內部有不少OT設備系統已經老舊，如果使用現代的防毒防駭工具，可能產生不必要的問題，影響系統的穩定運作，這些老舊系統仍維持1、20年前狀態，如何強化內部資安管理，成為IT的重要課題。</p> <p>因此楊進成上任後，加強高捷內部的資安管理。以IT與OT的整合為例，機電資料交換平臺與每個OT系統一對一介接，每個系統與平臺介接都有獨立的防火牆，可以各自獨立阻隔，不僅避免IT與OT整合的資安風險，也能防範OT與OT系統之間遭到入侵。</p> <p>楊進成表示，建置機電資料交換平臺介接各個OT系統取得資料，為避免平臺讓每個OT系統透通，導致駭客有可趁之機，必需確保資料交換過程的安全性。</p> <p>他認為，不論系統設計的如何安全、如何獨立，仍然很難預測發生什麼問題，因此需從零信任的角度，預想當某個系統發生問題，該怎麼做才不會擴散到其他系統。</p> <p>在這樣的想法下，儘管規畫建置機電資料交換平臺介接各個OT系統，但是在IT端並非直接介接機電資料交換平臺，而是透過一臺主機介接機電資料交換平臺，以互鎖IP方式取得OT資料。</p> <p>另外，高捷也加強資訊設備控管，在高層支持下，高捷公司今年規定，凡是資訊產品採購，在採購之前先向資訊室說明，即使是用於OT主機的資訊產品，也需交由資訊室協助採購這些產品，以避免採購特殊規格產品或是採購五花八門資訊產品，資訊室也能收回其他部門暫時不用的資訊設備，再依其他部門的需要提供給他們使用，加強資訊設備的資產管理。</p> <p>另外，過去高捷採購設備，廠商承諾定期更新威脅情資，但他發現廠商僅承諾提供威脅情資更新服務，卻沒有明確的更新頻率，如此一來，可能在威脅情資尚未更新之前，系統的漏洞就先被駭客發現，因此他要求廠商加快威脅情資的更新，降低被駭的風險。</p> <p>至於外部遠端工作使用的VPN，過去員工只要申請VPN，就能透過帳號密碼登入連線，但是楊進成認為傳統做法存在一定的風險，如果VPN使用者帳密被盜用，就會產生資安風險，因此高捷IT推出高捷資安通，讓使用者申請VPN之前，先在裝置上安裝資安通，以對硬體進行認證，並掌握裝置上使用的軟體，如果使用的是個人的資訊設備，則要求安裝防毒軟體。</p> <p>換言之，為避免傳統的VPN帳密可能被盜用的風險，高捷對於VPN登入，先進行使用者AD的員工身分認證，再認證其輸入的VPN帳密，搭配資安通對設備特徵認證，才允許登入使用VPN遠端連線。</p> <p>另外，高捷也透過資安通蒐集每位員工所使用的資訊設備資料，楊進成表示，IT掌握這些資訊設備的硬體及軟體使用情形，例如配發給員工使用的電腦，透過檢核比對確認電腦內是否安裝未經申請的軟體，不同於坊間偵測工具，只有在電腦執行軟體才會發現，他希望即使沒有執行軟體，仍能通過定期或不定期檢核找出不該安裝的軟體。</p> <p>楊進成指出，這麼做的好處是，首先加強資訊設備的資產管理，瞭解每個申請使用的資訊設備使用情形，是否妥善被使用或是被閒置的冗餘設備，其次是，通過檢核發現員工的電腦內出現不明的軟體，可能是遭駭客植入惡意軟體，依據過去的經驗，如果遭到駭客入侵，可能潛伏一段時間伺機而動，直到惡意軟體開始打包竊取帳密，才會偵測到異常行為，而通過檢核比對發現員工電腦內安裝不明軟體，不需等到軟體被執行，能夠及早發現駭客入侵。</p> <p>從傳統大眾運輸到轉型為智慧軌道運輸，高捷也積極導入AIoT，例如高捷為加強乘車安全，在科專計畫補助下在捷運、輕軌車廂安裝AI box，結合車廂內的攝影機，偵測車廂內乘客是否有影響安全的異常行為，當偵測到異常行為，分別向列車上的司機員、遠端的行控中心示警，由司機員、行控中心進一步判別異常情形是否危及乘車安全、如何應處。另外，他們也導入另一項科專計畫，利用車廂內攝影機，運用AI影像辨識車廂的擁擠度。</p> <p>從行控中心利用OT資料開發輔助系統，到帶領資訊團隊，楊進成在高層期許下，一方面強化資安管理、資訊設備資產管理，一方面也積極推動IT與OT整合，促使高捷向智慧軌道運輸業轉型，「在高捷朝智慧軌道運輸的轉型過程中，IT扮演中樞匯整角色，將散落各地的資料整合後，再進一步作數據分析加值運用」，楊進成說。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>高雄捷運資訊室主任　楊進成</strong></p> <p>學歷：健行技術學院電機工程系</p> <p>經歷：1997年在東元資訊的維修單位，負責製程自動化設備維護、機器手臂調校、人機介面優化等工作；2003年進入默克光電的維修單位，參與製程自動化連結、IT與OT資訊整合規畫及導入。2003年底加入高捷，參與行控中心籌備規畫及建置，2022年擔任資訊室主任。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1186-CIO-%E9%AB%98%E6%8D%B7-250.jpg" style="width: 249px;" /></p> <p><strong>高雄捷運公司</strong></p> <p>●地址：高雄市前鎮區中安路１號</p> <p>●成立時間：2000年</p> <p>●主要業務：捷運交通運輸事業</p> <p>●員工數：1,568人</p> <p>●董事長：楊岳崑</p> <p>●總經理：王亞洲</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：資訊室主任</p> <p>●資訊部門主管姓名：楊進成</p> <p>●資訊部門人數：21人</p> <p>●資訊部門分工：系統課及設施課，系統課負責資訊系統應用軟體開發與維運、資訊系統與機電及外部系統之介面與整合，設施課負責資訊基礎設施建置與維護管理、規劃及推動資通安全管理業務</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2001年：導入ERP</p> <p>●2007年：運務管理、維修管理系統上線</p> <p>●2013年：建置一卡通票證公司資訊系統，由資訊系統處改制為資訊室</p> <p>●2014年：建置高雄輕軌管理資訊系統、電子發票管理系統</p> <p>●2016年：虛擬主機系統擴充，建置高捷多卡通系統，建置軟體開發專案管理系統，營運改善管理系統</p> <p>●2020年：新ERP系統建置</p> <p>●2022年：建置高雄輕軌列車即時動態系統、災害即時資訊通報系統、規劃建置人工智慧整合平臺</p> <p>●2023年：資通安全專責人員納編、建置高捷資安通、導入端點偵測與回應軟體（EDR）及威脅偵測與應變機制（MDR）、導入ISO 27001：2022轉版認證</p> <p>●2024年：導入GitHub Copilot、導入雲端服務</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1186-cio-gao_jie_-960.jpg" width="960" height="420" alt="" title="高雄捷運資訊室主任楊進成　（攝影／洪政偉）" /></div></div></div>
2024/6/14 15:11作者蘇文彬https://www.ithome.com.tw/people/163464
日本立法禁止蘋果與Google阻礙與之競爭的第三方程式市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據日本通訊社<a href="https://english.kyodonews.net/news/2024/06/bc2d7f45d456-japan-enacts-law-to-curb-apple-googles-app-dominance.html#google_vignette" target="_blank">Kyodo News的報導</a>，日本參議院在本周四（6/13）通過了針對特定智慧型手機軟體的競爭法案《Act on Promotion of Competition for Specified Smartphone Software》，要求服務供應商不得禁止第三方推出自己的應用程式市集，以及不得禁止第三方支付系統等，預計於2025年底生效，向<a href="https://www.ithome.com.tw/news/161035" target="_blank">歐盟的《數位市場法》</a>（Digital Markets Act）看齊，將矛頭指向了Google與蘋果。</p> <p>根據日本公平交易委員會（JFTC）<a href="https://www.jftc.go.jp/file/240612EN2.pdf" target="_blank">所公布的法規摘錄</a>，除了上述之外，該法令還要求供應商應該讓使用者更容易變更預設設定，也必須提供瀏覽器的選擇螢幕；其搜尋服務不得偏袒自家產品；不得搜括競爭應用程式的資料供自己的程式所用；開發商所使用的作業系統功能應該與供應商所使用的效能一致。</p> <p>違反上述規定的業者，將被處以業者於日本境內營收的20%的罰款，累犯則可能提高到30%。</p> <p>Kyodo News指出，日本現有的反壟斷法令只向違法業者收取6%的法款，新法令的罰款規模是原來的3倍。</p> <p>蘋果與Google等業者也已於今年3月開始遵循歐盟於去年5月正式實施的《數位市場法》，該法同樣要求這兩大業者必須允許第三方程式市集及支付系統，開放瀏覽器選擇權，以及與第三方服務互通。</p> </div></div></div>
2024/6/14 13:20作者陳曉莉https://www.ithome.com.tw/news/163460
勒索軟體駭客Black Basta利用Windows零時差漏洞提升權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月微軟修補Windows錯誤回報服務的漏洞CVE-2024-26169（CVSS風險評分為7.8），一旦攻擊者利用這項漏洞，就有機會提升權限。但最近研究人員指出，有人在微軟修補之前將其用於攻擊行動。</p> <p>資安業者賽門鐵克調查一起<a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/black-basta-ransomware-zero-day">勒索軟體Black Basta攻擊事故</a>，駭客組織Cardinal（Storm-1811、UNC4394）成功在受害電腦植入惡意程式DarkGate的載入工具之後，接著就部署CVE-2024-26169的漏洞利用工具，濫用系統檔案werkernel.sys並產生登錄檔，並將Debugger的數值設定為特定的路徑名稱，從而以管理員權限啟動Shell的系統權限。但稍微值得慶幸的是，這些駭客最終並未成功部署勒索軟體。</p> <p>值得留意的是，研究人員找到的兩個惡意程式檔案，皆在微軟推出修補之前出現，其中一個是在今年2月27日製作，另一個則是在去年12月18日產生。這樣的情況，代表駭客至少在3個月前，就將其當作零時差漏洞用於攻擊行動。</p> </div></div></div>
2024/6/14 11:56作者周峻佑https://www.ithome.com.tw/news/163455
【iThome 2024資安大調查系列2｜資安投資重點】多數企業聚焦識別和防護對策，少數企業展開全面性資安防禦
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_gu_shi_-p6zi_an_tou_zi_chong_dian_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近半數企業今年要展開資安轉型，3成要推動零信任資安，尤其是金融業與政府學校，更有近半企業將零信任資安列為今年投資重點。</p> <p>企業在2024年如何布局資安投資，來支援這兩大目標呢？我們將34項資安投資重點，對應到美國銀行首席安全科學家Sounil Yu在2016年發明的網路防禦矩陣CDM（Cyber Defense Matrix）。</p> <p>CDM是一個5乘5的矩陣，橫軸包括了NIST CSF的五大類別，項目包括：識別、保護、偵測、回應、復原，而縱軸則是以資產類別來畫分，包括了設備、應用程式、網路，資料與人員等項目。</p> <p>在34項資安投資中，依據企業在2024年對每一項的採用率數據，分為企業2024年採用率最高的Top10，Top11～20，Top21～30三類，分別以深藍色、淺綠色和紅色來區分，並且界定出每一項資安投資所對應的NIST CSF五大類別，以及可保護的資產類別，再對應到CDM這個矩陣上，可以繪製出2024年企業資安投資的CDM網路防禦矩陣圖。</p> <p>可以看到Top30採用項目涵蓋的重點分散，多落在保護和識別，也不一定能在不同防禦面向上，涵蓋到各類資產，像是散彈打鳥的瞄準重點，防護性不夠完整。</p> <p>採用率Top20的項目，納入了零信任資安的三大做法，身分與設備識別、網路分段、信任推斷，因此涵蓋到各類資產的識別和防護。只有少數企業可以更全面的涵蓋到偵測、回應和復原。</p> <p>企業可以將自己的資安投資重點，繪製出同樣的網路防禦矩陣，來和整體產業的CDM矩陣比對，可以用來比較整體產業資安戰略的分布和自家戰略的差異，作為調整資安戰略的參考。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P6%E8%B3%87%E5%AE%89%E6%8A%95%E8%B3%87%E9%87%8D%E9%BB%9E-600-1-PNG.png" style="width: 600px; height: 525px;" /></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P6%E8%B3%87%E5%AE%89%E6%8A%95%E8%B3%87%E9%87%8D%E9%BB%9E-600-2-PNG(2).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P6%E8%B3%87%E5%AE%89%E6%8A%95%E8%B3%87%E9%87%8D%E9%BB%9E-600-2(%E5%B0%8F)-PNG(1).png" style="width: 600px;" /></a></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P6-600-4-PNG.png" style="text-align: center;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P6%E8%B3%87%E5%AE%89%E6%8A%95%E8%B3%87%E9%87%8D%E9%BB%9E-600-4(%E5%B0%8F)-PNG.png" style="width: 600px;" /></a></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P6-600-3-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P6%E8%B3%87%E5%AE%89%E6%8A%95%E8%B3%87%E9%87%8D%E9%BB%9E-600-3(%E5%B0%8F)-PNG.png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> </div></div></div>
2024/6/14 12:24作者王宏仁https://www.ithome.com.tw/article/163453
半導體矽晶圓廠環球晶圓發布重大訊息，部分資訊系統遭受攻擊，恐有產線受到影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月13日傍晚5時半導體矽晶圓廠環球晶圓（環球晶）發布重大訊息，<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=170157&SPOKE_DATE=20240613&COMPANY_ID=6488">證實有部分資訊系統在12日晚間遭到駭客攻擊</a>。該公司資安單位在察覺異狀後，隨即啟動相關防禦及復原機制，並委請外部資安業者的技術專家協助處理。</p> <p>而對於這起事故帶來的影響，他們在公告中指出，目前正在積極會同專家進行調查及復原的工作，對於公司營運造成的影響尚在釐清。他們也對於保險理賠的部分指出，理賠金額有待進一步估算。並強調未來將持續網路及資訊基礎架構的資安管控，來確保資訊安全。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WR2gJnmLyq.png" style="width: 580px;" /></p> <p>他們後來也向中央社透露後續確認的情況，<a href="https://www.cna.com.tw/news/afe/202406130325.aspx">指出有少數廠區的部分產線受到影響</a>，對此，他們將會使用庫存因應，若有部分無法及時供應，有可能延遲至第3季初出貨。</p> </div></div></div>
2024/6/14 12:25作者周峻佑https://www.ithome.com.tw/news/163456
三星傳挖角蘋果Siri主管統率AI開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>財經媒體彭博<a href="https://www.bloomberg.com/news/articles/2024-06-11/samsung-taps-apple-siri-veteran-to-lead-north-american-ai-group" target="_blank">（Bloomberg）報導</a>，南韓電子大廠三星已聘請蘋果Siri開發主管來領導新成立的AI研究中心。</p> <p>彭博引述消息人士報導，三星近日合併多倫多和加州山景市（Mountain View）的團隊，成立北美AI中心，並延聘了蘋果Siri口語與情境AI團隊主管Murat Akbacak擔任新組織的主管。報導指出，三星這次組織重整目的是提升作業效率，也已在內部公布此事。</p> <p><a href="https://www.linkedin.com/in/murat-akbacak-10a9872/details/experience/" target="_blank">Akbacak在LinkedIn資料頁</a>截至本文發布前，仍然顯示人在蘋果任職。根據其職務描述，他的工作是定義和執行Siri策略，專注口語和多模態AI的個人化、情境化及精進。他之前的背景還包括微軟及史丹福大學。</p> <p>彭博報導，三星挖角Akbacak是希望藉此強化其Bixby聊天機器人以及Galaxy AI的開發。三星2017年就推出了Bixby，也試圖將Bixby定位為智慧家庭管理助理，可控制其<a href="https://www.ithome.com.tw/news/120320" target="_blank">智慧冰箱</a>及其他家電。但以功能及知名度而言，Bixby算不上成功。三星也有<a href="https://www.ithome.com.tw/news/159705" target="_blank">Samsung Gauss AI模型</a>，但今年初推出的旗艦手機Galaxy S24還是仰賴Google Gemini Nano AI模型及Gemini助理。</p> <p>另一方面，本周的WWDC上，蘋果宣布了裝置端AI功能Apple Intelligence，並引入OpenAI的ChatGPT與iOS/iPadOS 18和macOS Sequoia的Siri整合，使原本在聊天機器人服務落後的蘋果，一舉趕上Google和微軟。</p> </div></div></div>
2024/6/14 12:34作者林妍溱https://www.ithome.com.tw/news/163457
新創公司公測類似OpenAI Sora的影片AI生成服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年初OpenAI公布的生成式AI影片服務Sora引發市場震撼，本周又有另一家新創公司公布能產生同樣高品質影片的AI服務，名為Dream Machine。</p> <p>這家新創公司是總部位於舊金山的Luma AI，於2021年創立。根據<a href="https://techcrunch.com/2024/01/09/luma-raises-43m-to-build-ai-that-crafts-3d-models/" target="_blank">Techcrunch報導</a>，該公司創辦人之一的Alex Yu是柏克萊大學的AI研究人員，Amit Jain則曾在蘋果擔任Vision Pro多媒體體驗開發。該公司去年11月才募得430萬美元，今年初就在B輪中募到了4,300萬美元。</p> <p>近日Luma AI公布的<a href="https://lumalabs.ai/dream-machine" target="_blank">Dream Machine</a>是類似Open AI的Sora，可讓用戶輸入自然語言生成逼真的影片。Dream Machine號稱2分鐘就能產出每秒120影格的5秒流暢、高畫質的短影片。根據網站描述，它是直接以影片訓練的高擴充性及高效的transformer模型，能產生精準、一致化而精緻的場景。</p> <p>Dream Machine也是該公司打造統合式「想像力引擎」的第一步，昨日Dream Machine開放大眾試用。不過，首日上線後卻因網路塞車引來抱怨。<a href="https://www.techradar.com/computing/artificial-intelligence/a-new-openai-sora-rival-just-landed-for-ai-videos-and-you-can-use-it-right-now-for-free" target="_blank">Techradar</a>花了超過20分鐘才看到影片。<a href="https://venturebeat.com/ai/we-dont-need-sora-anymore-lumas-new-ai-video-generator-dream-machine-slammed-with-traffic-after-debut/" target="_blank">另有報導指出</a>，有不少用戶等了數小時。</p> <p>Luma AI產品與成長部門主管Barkley Dai透過<a href="https://discord.com/channels/991613372439212142/1250229424369176647/1250508123483930776" target="_blank">該公司Discord帳號</a>說明，公司面臨極高運算需求，正在緊急增加頻寬。他稍後補充說，雖經增加頻寬，但仍需數小時來消化已發出的處理呼叫。該公司仍強調正常情況下只要2到3分鐘，就能將文字指令轉化成影片。</p> <p>Dream Machine是Luma AI最新成果。這家新創去年11月<a href="https://www.youtube.com/watch?v=7IEe2Uz7r5M" target="_blank">公布3D模型重建模型Luma</a>，可讓使用者透過拍攝照片來建立3D模型。今年初，該公司又發表Genie，將用戶輸入的文字轉化成3D模型。此外，<a href="https://lumalabs.ai/luma-api" target="_blank">它還提供一項服務</a>，用戶可將錄下的一段影片上傳就能產出影片中的3D場景，可加速遊戲或電影製作。</p> </div></div></div>
2024/6/14 13:01作者林妍溱https://www.ithome.com.tw/news/163459
【iThome 2024資安大調查系列2｜資安信心篇】企業自信心帶動資安轉型意願，識別力信心最低成短板
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/p2zi_an_xin_xin_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安自信心成為資安變革的動力，更多臺灣大型企業，資安自信心比過去更高，也更想要改變資安戰略的做法。</p> <p>疫情後加快了企業IT現代化的腳步，轉型成高度數位化的營運型態，這兩年的生成式AI浪潮，再次帶動了臺灣企業的上雲浪潮。當前，企業面臨的資安態勢，比過去更嚴峻，但是，面對勒索軟體高度產業化、雲端資安威脅更加多樣化、軟體供應鏈更頻繁出現雪崩式漏洞威脅，許多企業不再像過去以被動防護為主，轉而積極採取主動防禦作為，擁抱新世代零信任資安架構，更將資安應對左移，延伸到軟體開發階段，前期業務規畫作業中，從產品、服務、企業應用發展的前期，就開始做好資安。</p> <p>強化資安向來是企業資訊長排名第一的年度目標，但今年以此為目標的CIO，減少了，轉而代之的是，更多企業資訊長、資安長聚焦更根本的資安轉型，不只是做好，而要更積極展開資安變革。今年高達49.8%的企業資安長，將資安轉型定為年度目標，遠高於去年的30.8%比例。</p> <p>在今年iThome資安大調查可以看到，高達46%的企業資訊長、資安長對企業資安能力有信心，這個比例遠高於去年的28.7%。更多企業相信自己，夠有能力來因應層出不窮的資安風險和威脅，也更願意做出改變，來迎戰。</p> <p>不過，仍有4成多企業自安自信心在及格邊緣，只是大致有信心，一成企業只有點信心，2.1%企業甚至對自己的資安能力，完全沒有信心。以整體產業的資安信心水準來看，約達到67.1分左右，比去年的64.2分，今年明顯增加了不少。各產業的資安信心水準也各有高低，金融業（74.8分）和政府學校（72.1分）的評分相對較高，都超過了70分，而醫療業的分數最低，只有61.3分，在60及格線的邊緣。</p> <p>企業整體資安的強度，取決於最弱的一環，為了更進一步反映臺灣企業的資安短處，在今年大調查中，我們以美國NIST CSF 2.0的6大核心構面，從治理、識別、保護、偵測、應變和復原等六項，來了解企業資安信心的分布，讓資安長自評哪一項最強，那一項較弱？</p> <p>從調查中可以看到，六項中，53.4%企業對復原能力有信心，而只有41%的企業對識別能力有信心。換句話說，復原能力是臺灣企業的資安強項，而如何識別、分辨各種潛在的資安風險和威脅，是臺灣企業資安能力相對不足，也是未來需要優先強化的方向。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/P2%E8%B3%87%E5%AE%89%E4%BF%A1%E5%BF%83-600-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/P2%E8%B3%87%E5%AE%89%E4%BF%A1%E5%BF%83-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/P2%E8%B3%87%E5%AE%89%E4%BF%A1%E5%BF%83-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/P2%E8%B3%87%E5%AE%89%E4%BF%A1%E5%BF%83-600-4-PNG.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> </div></div></div>
2024/6/14 10:20作者王宏仁https://www.ithome.com.tw/article/163449
駭客藉由Excel巨集進行多階段惡意軟體攻擊，針對烏克蘭電腦植入Cobalt Strike
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Fortinet針對<a href="https://www.fortinet.com/blog/threat-research/menace-unleashed-excel-file-deploys-cobalt-strike-at-ukraine">鎖定烏克蘭利用Excel巨集散布滲透測試工具Cobalt Strike的攻擊行動</a>提出警告，並指出對方在過程裡採用各種規避手法，來確保有效酬載能夠成功送達。</p> <p>駭客先是傳送內含烏克蘭文字的Excel巨集，一旦使用者依照指示啟用巨集，該檔案就會切換成分配軍事單位預算的工作表，而在此同時，巨集則會藉由公用程式regsvr32，在後臺部署DLL程式庫，以便下載作案工具。</p> <p>這個惡意程式下載工具在啟動的過程當中，會檢查目標電腦是否存在Avast防毒軟體及Process Hacker的處理程序，並確認電腦的地理位置在烏克蘭，然後從遠端伺服器下載另一個經過編碼處理的有效酬載，最終將Cobalt Strike的Beacon注入，並與C2伺服器建立連線。</p> <p><a href="https://s4.itho.me/sites/default/files/images/cobalt-process-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cobalt-process-diagram.png" style="width: 580px;" /></a></p> <p>值得留意的是，這種利用Excel巨集散布Cobalt Strike Beacon的攻擊行動，在烏克蘭已發生多起，例如：2022年有人以烏克蘭軍方為誘餌發動攻擊，2023年，烏克蘭電腦緊急應變團隊（CERT-UA）指出，駭客組織UAC-0057利用含有巨集及誘餌圖檔的XLS檔案，目的是在受害電腦植入PicassoLoader、Cobalt Strike Beacon。而這次的攻擊行動當中，駭客加入了更多的迴避手段，增加能夠成功的機率。</p> </div></div></div>
2024/6/14 10:34作者周峻佑https://www.ithome.com.tw/news/163380
【iThome 2024資安大調查系列2｜資安阻礙篇】資安人手不足成最大痛點，老舊系統淪為技術面資安阻礙
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_gu_shi_-p3zi_an_zu_ai_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業積極投入資安，今年更有半數企業要推動資安轉型，對於資安人才的需求也年年增加，加上金融監督管理委員會、臺灣證券交易所等主管機關，過去幾年要求上市櫃公司，建立專責資安團隊或設立專責資安人員，更成了資安人才的助力，掀起了全臺資安人才的搶奪大戰，讓資安人才成了近幾年IT人力市場的當紅炸子雞。</p> <p>但是，資安人才不足，也成了阻礙企業做好資安的頭號阻礙。根據今年iThome CIO大調查，高達49.1%企業因為資安人才不足而無法做好資安。這個比例甚至高於三大資安阻礙中的其他兩項，員工資安意識不足（46.9%）和資安預算不足（35.1%），過去幾年，員工資安意識不足向來是企業最頭痛的資安痛點，但是，隨著資安人才越來越不足，人才問題成了更大的挑戰。</p> <p>資安人才不足拖累企業資安作為，對哪些產業的影響較大？從調查數據可以看到，醫療業和政府學校都有超過6成企業受到影響，就連資安投資最多的金融業，也有51.9%苦於資安人才不足的問題。不過，一般製造業，看似只有38.7%企業受到影響，其實對一般製造業來說，人才不是最大的阻礙，員工資安意識低落和資安預算不足，才是更大的課題。</p> <p>若將資安阻礙分為兩大類，一類是組織面的阻礙，另一類是流程與技術面的阻礙來看。先來看組織面的排名，資安人手不足是最大的阻礙，其次是員工資安意識的問題，這兩項都有近半數企業列為痛點，有3成企業則苦於缺乏熟練的人員。值得注意的是，高層資安意識不足問題日益嚴重，今年有19.2%企業有這個痛點。尤其有16.4%企業的高層，低估了創新應用帶來的資安風險，例如ChatGPT風險，沒有做好對應的準備就嘗試新科技，也帶來不少資安的隱憂。</p> <p>在流程和技術面的資安阻礙，則以資訊系統老舊的問題最嚴重，多達30.6%的企業有此痛點。尤其高科技製造業和政府學校更各有4成企業視為阻礙，這幾年進入十年HIS系統升級潮的醫療業者，也有3成7因系統老舊而削弱了資安。有2成企業認為新興防護方案不足是一大問題，越來越多新一代的資安防護方案出爐，瞄準不同的資安防禦目標和領域，但是，資安沒有萬靈丹，更沒有萬能的百寶箱，也更考驗企業如何搭配（業者如何組合）不同的工具，來強化企業各面向的資安防禦。</p> <p>有兩大流程與技術面阻礙值得留意，有16.4%企業因為監控能力和可視性差，而來不及早一步發現惡意入侵行為，也有9.7%的企業對本身資安態勢了解不足而遭殃。這兩項都是凸顯了，企業必須積極轉變資安思維，擁抱新一代的資安對策，從過去的被動防禦，轉為主動防禦的做法，強化自己在識別和偵測能力的不足，才能更有效的因應資安威脅。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P3%E8%B3%87%E5%AE%89%E9%98%BB%E7%A4%99-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P3%E8%B3%87%E5%AE%89%E9%98%BB%E7%A4%99-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P3%E8%B3%87%E5%AE%89%E9%98%BB%E7%A4%99-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P3%E8%B3%87%E5%AE%89%E9%98%BB%E7%A4%99-600-4-PNG.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> </div></div></div>
2024/6/14 10:34作者王宏仁https://www.ithome.com.tw/article/163450
網路釣魚工具包V3B鎖定歐洲國家銀行而來，企圖竊取用戶登入資料及OTP
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Resecurity揭露新的駭客組織，對方自今年3月，<a href="https://www.resecurity.com/blog/article/cybercriminals-attack-banking-customers-in-eu-with-v3b-phishing-kit">在加密通訊軟體Telegram頻道與暗網社群裡，推廣名為V3B的網釣工具包</a>，並專注歐洲金融機構客戶從事相關攻擊。目前這些駭客的Telegram頻道至少吸引了1,255名成員，他們專門從事社交工程攻擊、SIM卡挾持（SIM Swapping）、金融卡詐欺等網路犯罪行為，估計已造成數百萬歐元損失。</p> <p>研究人員指出，這款網釣工具包鎖定超過54個歐盟金融機構的用戶而來，標榜提供專屬的本地化範本，能模仿各家網路銀行及電子商務系統的驗證流程，該工具包攻擊的範圍，遍及愛樂蘭、荷蘭、芬蘭、奧地利、德國、法國、比利時、希臘、盧森堡、義大利。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2add212dfa66fc9f99ec2385321cae5e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2add212dfa66fc9f99ec2385321cae5e.png" style="width: 580px;" /></a></p> <p>賣家以每月130至450美元的價格，提供租賃服務。而對於這組工具包的內容，主要涵蓋了兩個主要元件，其中一個是根據情境為基礎的帳密監聽系統V3B，另一個則是偽造的銀行線上驗證網頁。攻擊者可透過管理介面uPanel與受害者互動，從而取得動態密碼（OTP）。</p> <p>究竟這套工具包有什麼樣的特色吸引上千名打手租用？研究人員指出，賣家採用自行開發的內容管理系統（CMS）打造這套工具，並對程式碼採用多種混淆方式處理，從而迴避搜尋引擎偵測、逃過相關資安防護機制的檢測，可運作的週期較長。</p> <p>再者，則是賣家納入多種進階功能，包含了更新的Token、反機器人機制，並支援QR Code與PhotoTAN型式的多因素驗證和動態密碼，此外，該工具包同時提供電腦版及行動裝置的介面，甚至攻擊者能與受害者即時通訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/28bbd09015bdcafb401bd91cef0edf3e.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/28bbd09015bdcafb401bd91cef0edf3e.jpeg" style="width: 580px;" /></a></p> <p>值得一提的是支援PhotoTAN身分驗證的機制，這是行動銀行應用程式新興的驗證方法，在德國與瑞士有許多用戶使用，這種驗證機制牽涉以多臺裝置來達到進階身分驗證的目的。賣家特別支援這類身分驗證機制，代表該網釣工具套件相當新穎。</p> </div></div></div>
2024/6/14 10:37作者周峻佑https://www.ithome.com.tw/news/163378
研究人員針對新興勒索軟體駭客組織RansomHub進行調查，對方利用ZeroLogon入侵受害組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期不斷登上新聞版面的新興勒索軟體駭客組織RansomHub，接連針對美國醫療集團Change Healthcare、<a href="https://www.ithome.com.tw/news/163167">英國精品拍賣業者佳士得（Christie's）</a>、<a href="https://www.ithome.com.tw/news/163347">臺灣電腦製造商藍天（Clevo）</a>出手，這個從今年2月才出現的駭客組織，已竄升至過去幾個月第4大的勒索軟體，其威脅態勢也引起研究人員高度關注。</p> <p>資安業者賽門鐵克針對這個駭客組織著手進行身家調查，<a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/ransomhub-knight-ransomware">他們發現RansomHub的有效酬載與另一款名為Knight的勒索軟體具有高度相似性</a>，這兩款惡意程式都是透過Go語言打造，而且，大部分的版本使用名為Gobfuscate的工具進行混淆處理。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ransomhub-6.png.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ransomhub-6.png.png" style="width: 580px;" /></a></p> <blockquote><p>賽門鐵克指出，勒索軟體RansomHub於今年3月至5月，已成為全球第4大的勒索軟體威脅，僅次於LockBit、Play，以及Qilin。</p> </blockquote> <p>研究人員指出，這些勒索軟體的程式碼內容高度重疊，光是從程式碼的特徵難以區別彼此，在許多情況下，他們只能藉由資料外洩網站的網址來辨別。再者，在兩款勒索軟體命令列的功能說明也幾乎一致，是RansomHub多了休眠（暫停運作）的能力。</p> <p>而從勒索軟體加密檔案完成留下的勒索訊息而言，Knight使用的話語多半逐字出現在RansomHub的勒索訊息裡，這代表開發者延用舊的勒索訊息並調整部分內容。</p> <p>這兩款勒索軟體的運作模式也存在共通點，那就是在開始加密檔案之前，將受害電腦重新開機，以便檔案加密過程較不受到阻礙。根據這項特徵，研究人員推測，Knight和RansomHub很可能源自於2019年出現的Snatch。</p> <p>值得留意的是，雖然Knight和RansomHub存在許多共同點，但RansomHub並非Knight原班人馬東山再起，原因是Knight結束營運後於今年2月出售原始碼，因此研究人員認為，有人買下相關原始碼並組成了RansomHub。</p> <p>而對於RansomHub的攻擊流程，研究人員提及，他們看到這些駭客通常利用ZeroLogon（CVE-2020-1472）取得初始入侵的管道，對方藉此得到網域管理員權限，從而控制整個網域。</p> <p>這些駭客也擅長使用合法應用程式進行寄生攻擊，例如：使用遠端管理工具Atera、Splashtop進行遠端存取，運用NetScan對於受害組織的網路環境進行偵察。此外，他們也會利用iisreset.exe、iisrstas.exe停用IIS服務。</p> </div></div></div>
2024/6/14 10:38作者周峻佑https://www.ithome.com.tw/news/163376
【iThome 2024資安大調查系列2｜資安人才篇】4成企業今年要招募資安好手，資安事件應變人才最搶手
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_gu_shi_-p4zi_an_ren_li_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安人才不足成了各產業共同的資安阻礙，也因此，今年資安開缺的企業比例再創新高，達到41.9%，大概每兩家企業就有一家今年要招募資安人才。</p> <p>這幾年，兩大法遵推力下，包括影響公部門資安人力的政府資安管理法，以及主管機關對上市櫃公司的資安要求，大幅帶動了企業對於資安人力的建置，從今年CIO大調查的統計結果來看，企業平均專責資安人力達到了4.8人，尤以金融業的平均11.6人最多，其次是政府學校（4.4人）、高科技製造業（4.1人），醫療則是資安人力最少的產業，只有2.4人，比一般製造業的平均人數（2.9人）還要低。</p> <p>不過，企業現有資安人力，遠低於資安長心中理想的團隊規模，要足以對抗企業當前資安威脅，資安長期望平均要達到5.9人，換句話說，現有4.8人的規模，還少了近四分之一的人手。各產業都有資安人手達不到資安長期望的情況，又以醫療業和政府學校的落差最大，醫院和政府部門資安主管都希望再多4成資安人力才足夠。</p> <p>今年有4成企業要招募資安職缺，平均招募人數是2.7人，又以政府學校的招募人數需求最多，達到6.1人，主要來自少數一級政府機關、大型國營企業、大型學校為了資安轉型而展開的人力需求擴編，才拉高了整體平均值。其次，金融業平均要招募4.2人，也遠高於其他產業的平均資安人力需求量。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>今年兩千大企業資安人才需求約5,400人</strong></span></span></p> <p>我們每年一度的CIO大調查是鎖定2千大企業營收規模的企業族群，以此目標族群來推估，今年2千大企業的資安人才需求量約5,400人，其中金融業約有1千名資安人才的招募需求。</p> <p>企業不只是需要更多資安人力，還需要擅長不同專門資安能力的人才，來補足自身資安能力的弱點。在今年要招募資安職缺的企業中，以資安事件應變人才、威脅分析或鑑識人才、資安風險分析與評估人才，這三類人才的需求企業最多，超過6成企業想要招募這三類人才。</p> <p>另外，也有半數企業想要強化資訊基礎架構的資安防護能力，今年想要招募系統網路安全建置與架構人才，以及資安系統維運人力。</p> <p>值得注意的是，雲端資安人才也逐漸受到重視，近兩年金融和醫療法遵上雲鬆綁，以及製造業數位轉型的IT現代化浪潮，更多企業積極上雲，也帶動了企業對於雲端安全的重視，今年多達36.7%的企業想要招募熟諳雲端資安的人才。</p> <p>有兩類資安管理人才也逐漸受到矚目，今年有14.7%企業想要招募有能力管理委外資安的人才，以及12.3%企業想要招募擅長管理安全開發的人才。這也反映出，越來越多企業，對外重視委外供應商的資安管理，對內則要強化應用程式開發的安全。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P4%E8%B3%87%E5%AE%89%E4%BA%BA%E5%8A%9B-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P4%E8%B3%87%E5%AE%89%E4%BA%BA%E5%8A%9B-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P4%E8%B3%87%E5%AE%89%E4%BA%BA%E5%8A%9B-600-3-PNG.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> </div></div></div>
2024/6/14 10:49作者王宏仁https://www.ithome.com.tw/article/163451
中國駭客鎖定Fortinet防火牆漏洞從事的網路間諜活動受害規模擴大，全球逾2萬臺防火牆遭到滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年2月，荷蘭國家網路安全中心（NCSC）、軍事情報暨安全局（MIVD）、情報暨安全總局（AIVD）聯手，<a href="https://www.ncsc.nl/documenten/publicaties/2024/februari/6/mivd-aivd-advisory-coathanger-tlp-clear">針對中國資助的駭客從事的網路間諜攻擊行動公布調查結果</a>，這些駭客鎖定FortiGate防火牆、網頁安全閘道FortiProxy的SSL VPN漏洞CVE-2022-42475（CVSS風險評為9.8分），並對防火牆設備植入名為Coathanger的RAT木馬程式，MIVD持續進行調查而於本週正式揭露這起攻擊的受害規模，其實遠遠超出先前的發現。</p> <p>先前這些荷蘭軍情機構指出，根據他們的調查，受害用戶（user）的數量不到50個，其中一個受害組織是荷蘭國防部，所幸因受害網路環境與他們的主要網路環境有所區隔，使得入侵行動的衝擊不致於擴大。當時他們研判，對方的目標是國防部非機密專案的研發部門，以及2個外部的合作研究機構，但<a href="https://www.ncsc.nl/actueel/nieuws/2024/juni/10/aanhoudende-statelijke-cyberspionagecampagne-via-kwetsbare-edge-devices">MIVD進一步追查發現</a>，有數十個西方國家的政府機關、國防工業相關企業，以及國際組織受害。</p> <p>他們指出，駭客在Fortinet發布修補程式前的2個月就開始利用漏洞，有1.4萬臺設備受到感染，從2022年至2023年，對方至少掌握逾2萬臺FortiGate防火牆的存取權限。但實際的受害規模，這些軍情機構認為很有可能還會更大，他們研判駭客會藉此漏洞入侵數百個組織，從而進行竊取資料等攻擊行動。</p> <p>而對於駭客使用的惡意程式Coathanger，MIVD指出，即使他們已經公布相關調查結果，IT人員還是難以識別及清除，因此，對方很可能仍然能夠存取大量的受害系統。</p> <p>值得留意的是，MIVD特別提到，一旦受害設備被植入Coathanger，攻擊者就能永久存取系統，即使IT人員部署了更新程式，對方仍保有相關存取權限。這樣的情況，也導致防守端在因應相關的攻擊時，將面臨更加嚴峻的挑戰。</p> </div></div></div>
2024/6/13 18:23作者周峻佑https://www.ithome.com.tw/news/163443
【資安日報】6月13日，荷蘭針對中國駭客攻擊Fortinet防火牆設備的網路間諜行動進行深度調查，駭客挾持全球逾2萬臺…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>荷蘭今年2月在國防部察覺中國駭客從事的網路間諜攻擊行動，對方利用重大漏洞CVE-2022-42475對FortiGate防火牆下手，並植入木馬程式Coathanger，如今他們公布新的調查結果，指出這是一起大規模的全球攻擊行動，駭客從Fortinet修補漏洞的兩個月前，就進行相關攻擊。</p> <p>值得留意的是，駭客所使用的木馬程式，不僅難以察覺行蹤，更無法透過部署修補程式清除，因此荷蘭軍情機構認為，這起攻擊行動的受害規模，實際上可能還會再擴大。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163443"><strong style="font-size: 22px;">中國駭客鎖定Fortinet防火牆漏洞從事的網路間諜活動受害規模擴大，全球逾2萬臺防火牆遭到滲透</strong></a></p> <p>今年2月，荷蘭國家網路安全中心（NCSC）、軍事情報暨安全局（MIVD）、情報暨安全總局（AIVD）聯手，針對中國資助的駭客從事的網路間諜攻擊行動公布調查結果，這些駭客鎖定FortiGate防火牆、網頁安全閘道FortiProxy的SSL VPN漏洞CVE-2022-42475（CVSS風險評為9.8分），並對防火牆設備植入名為Coathanger的RAT木馬程式，MIVD持續進行調查而於本週正式揭露這起攻擊的受害規模，其實遠遠超出先前的發現。</p> <p>他們指出，駭客在Fortinet發布修補程式前的2個月就開始利用漏洞，有1.4萬臺設備受到感染，從2022年至2023年，對方至少掌握逾2萬臺FortiGate防火牆的存取權限。但實際的受害規模，這些軍情機構認為很有可能還會更大，他們研判駭客會藉此漏洞入侵數百個組織，從而進行竊取資料等攻擊行動。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/black-basta-ransomware-zero-day"><strong style="font-size: 20px;">勒索軟體駭客Black Basta利用Windows零時差漏洞提升權限</strong></a></p> <p></p> <p>◆<a href="https://www.wiz.io/blog/dero-cryptojacking-campaign-adapts-to-evade-detection"><strong style="font-size: 20px;">組態配置不當的Kubernetes叢集遭到鎖定，駭客將其用於挖掘加密貨幣Dero</strong></a></p> <p></p> <p>◆<a href="https://blog.sucuri.net/2024/06/hundreds-sites-targeted-by-fake-chrome-update-pop-ups.html"><strong style="font-size: 20px;">駭客鎖定WordPress網站下手，目的是要脅瀏覽網站的使用者瀏覽器過舊，藉此散布惡意程式</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163436"><strong style="font-size: 22px;">開源機器學習框架PyTorch存在重大漏洞，恐導致敏感的AI資料遭竊</strong></a></p> <p>有研究人員於今年4月，向漏洞懸賞平臺Huntr通報開源機器學習框架PyTorch存在重大層級漏洞CVE-2024-5480，CVSS風險評分達到10分，影響2.2.2版以前的PyTorch。對此，Huntr向通報者提供1,500美元予以獎勵，並於近日公布細節。</p> <p>這項漏洞存在於名為torch.distributed.rpc的框架，一旦開發者利用該框架進行RPC呼叫，過程中該框架並未驗證相關功能是否如開發者預期執行，使得攻擊者藉此漏洞透過網路使用RPC呼叫Python的功能，從而載入Python程式庫並執行任意命令。</p> <p>由於這項框架通常被用於分散式訓練，像是增強式學習、模型並用、參數伺服器訓練框架等應用場景，而有可能導致上述漏洞的影響範圍相當廣泛。</p> <p><a href="https://www.ithome.com.tw/news/163437"><strong style="font-size: 22px;">Google針對旗下Pixel手機發布6月份資安公告，權限提升漏洞已被用於攻擊行動</strong></a></p> <p>本月11日Google針對Pixel手機發布資安公告，修補50個資安漏洞，其中有19個權限提升漏洞、17個資訊洩露漏洞、5個阻斷服務（DoS）漏洞、4個遠端程式碼執行（RCE）漏洞，以及5個高通元件的漏洞。</p> <p>值得留意的是，該公司特別針對存在Pixel韌體的權限提升漏洞CVE-2024-32896提出警告，他們發現可能被利用的跡象，並指出疑似用於有限的、針對性的攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/163440"><strong style="font-size: 22px;">Arm針對顯示晶片Mali GPU核心驅動程式漏洞提出警告，已出現攻擊行動</strong></a></p> <p>上週Arm針對顯示晶片Mali GPU的核心驅動程式漏洞CVE-2024-4610提出警告，並指出這項漏洞影響Bifrost與Valhall兩種GPU的核心驅動程式，從r34p0至r40p0的所有版本都受到影響，他們已在r41p0版修補這項漏洞。</p> <p>值得留意的是，Arm在公告裡提及，他們獲報這項漏洞已被用於實際攻擊行動的情況。6月12日，美國網路安全暨基礎設施安全局（CISA）納入已遭到利用的漏洞目錄（KEV），要求聯邦機構必須於7月3日之前完成修補。</p> <p><a href="https://www.ithome.com.tw/news/163422"><strong style="font-size: 22px;">Adobe修補內容管理平臺Experience Manager、電商網站平臺Magento漏洞</strong></a></p> <p>本週二（6月11日）Adobe針對旗下10款產品發布更新，總共修補166個漏洞，其中，144個與內容管理平臺Experience Manager（AEM）有關，而這次他們對電商網站平臺Adobe Commerce及Magento Open Source發布的資安公告，重大層級漏洞的數量最多，也相當值得留意。</p> <p>除了上述兩種網站系統的漏洞，Adobe也針對旗下的XML文件處理軟體FrameMaker，揭露與修補兩個漏洞，分別是：CVE-2024-30299、CVE-2024-30300，皆屬於伺服器權限提升類型的弱點，這兩個漏洞CVSS風險評為10分、9.8分，是本次最為危險的漏洞。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.securityweek.com/ics-patch-tuesday-advisories-published-by-siemens-schneider-electric-aveva-cisa/"><strong style="font-size: 20px;">西門子、施耐德電機、Aveva針對工控與OT系統漏洞提出警告</strong></a></p> <p></p> <p>◆<a href="https://www.securityweek.com/chrome-126-firefox-127-patch-high-severity-vulnerabilities/"><strong style="font-size: 20px;">Chrome 126、Firefox 127正式推出，修補多項高風險記憶體資安漏洞</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163120"><strong style="font-size: 22px;">以儲存為中心的勒索軟體防護架構開始完整成形</strong></a></p> <p>在已邁入第10年的臺灣資安大會歷史中，儲存與備份、資料保護廠商，參與臺灣資安大會是晚近幾年的事。面對勒索軟體威脅的持續肆虐，儲存設備與備份保護平臺現在也無法置身事外。</p> <p>在這幾年的臺灣資安大會中，我們便見到在儲存設備領域，勒索軟體防護功能的持續擴展。最初的出發點，是導入不可變儲存技術（immutable storage），防止資料複本遭到惡意刪改。下一步是引進主動偵測能力，確保資料乾淨、不受感染。而到了今年的資安大會，我們從多家廠商的演講與展示當中，進一步見到儲存端開始形成一套完整防護架構，涵蓋資料治理、識別、偵測、資料保護、威脅回應與回復等多個面向。</p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163114"><strong style="font-size: 22px;">從重視網路安全到企業安全，為資安創業提供有利條件</strong></a></p> <p>臺灣資安產業在過去十年中，經歷了巨大的變革，從技術和社群層面到政府政策和產業實踐，都帶來了深遠的影響。身為臺灣資安連續創業家、也是奧義智慧創辦人兼執行長邱銘彰表示，十年前，資安技術主要是以賣各種網路和資安設備為主，但隨著技術的發展，以及重視並專研各種資安技術的資安社群興起，起到了推波助瀾的作用，資安產業逐漸從設備銷售轉向了服務導向。</p> <p>許多企業對於資安的重視層面也有變化，近幾年，從以往只關心資訊安全（Information Security）轉變到網路安全（Cyber Security），而且，現在更重視整體的企業安全（Safety）。邱銘彰認為，這些變化來自於多方因素的影響，從技術的發展到政府政策的改變，都對資安產業帶來深遠的影響，也為後來許多資安新創公司的成立和發展，提供了有利條件。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163429"><strong>【6月12日】微軟發布6月份例行更新，總共針對49個漏洞進行公告</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163398"><strong>【6月11日】紐約時報證實內部資料流入地下論壇，程式碼儲存庫帳密資料外流釀禍</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163361"><strong>【6月7日】勒索軟體駭客RansomHub聲稱入侵老牌筆電製造廠藍天電腦，引起國際資安媒體高度關注</strong></a></p> </div></div></div>
2024/6/13 18:44作者周峻佑https://www.ithome.com.tw/news/163444
Google針對旗下Pixel手機發布6月份資安公告，權限提升漏洞已被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月11日Google針對Pixel手機<a href="https://source.android.com/docs/security/bulletin/pixel/2024-06-01">發布資安公告</a>，修補50個資安漏洞，其中有19個權限提升漏洞、17個資訊洩露漏洞、5個阻斷服務（DoS）漏洞、4個遠端程式碼執行（RCE）漏洞，以及5個高通元件的漏洞。</p> <p>從漏洞的危險程度來看，當中7個屬於重大層級、24個高風險層級，其餘為中度風險漏洞。</p> <p>值得留意的是，該公司特別針對存在Pixel韌體的權限提升漏洞CVE-2024-32896提出警告，他們發現可能被利用的跡象，並指出疑似用於有限的、針對性的攻擊行動。</p> <p>在此之前，Google曾公布<a href="https://www.ithome.com.tw/news/162191">遭到鑑識公司利用的Pixel零時差漏洞</a>。今年4月，他們修補資訊洩露漏洞CVE-2024-29745、權限提升漏洞CVE-2024-29748，通報此事的GrapheneOS開發人員透露，鑑識公司積極利用這些漏洞，而能在不知道PIN碼的情況下解鎖手機。</p> </div></div></div>
2024/6/13 12:53作者周峻佑https://www.ithome.com.tw/news/163437
健保署聯手Google要打造糖尿病風險預測AI、加速大家醫計畫發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今日（6/13），健保署署長石崇良宣布與Google聯手，要採用Google Cloud和Google Health的資料工具、AI和算力等資源，再加上國衛院專業知識，來推動健保署健康臺灣計畫，特別是其中的慢性病風險管理AI醫療照護研究計畫。他們第一波要打造糖尿病風險預測模型，作為大家醫計畫中的一套AI風險預測模型，來根據未患病和已患病民眾的健康資訊，提供風險預測值，並以風險高低作為分級醫療參考。石崇良表示，這個做法可提高民眾病識感，也能加強醫院個案管理。他透露，糖尿病風險預測只是起點，接下來還會擴大到三高疾病的風險預測與健康管理，降低整體臺灣疾病負擔。</p> <p><span style="font-size:24px;"><strong>除了癌症，三高併發症也是臺灣疾病負擔大宗</strong></span></p> <p>石崇良指出，國際權威醫學期刊刺胳針刊出一份全球疾病負擔（Global Burden of Disease）圖表，他們收集了1990年至2021年的疾病資料，將造成民眾死亡與失能的疾病，以方塊大小來表示負擔比。其中，負擔大宗來自癌症、慢性疾病與併發症，包含糖尿病、慢性腎臟病、腦中風和缺血性心臟病等區塊，加總起來占了全球疾病負擔的16%左右。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%96%BE%E7%97%85%E8%B2%A0%E8%8D%B7.JPG" /></p> <p>相較起來，臺灣的疾病負擔也與全球趨勢類似。癌症依然是大宗，再來是占比6%左右的糖尿病，以及3%的慢性腎臟病、10%的腦中風與缺血性心臟病。「所以這4塊疾病，就是我們常講的高血糖、高血脂、高血壓等三高造成的，導致近20%的臺灣疾病負荷。」石崇良表示，若要讓臺灣民眾更健康，就得防治癌症和三高。</p> <p>要降低這些疾病負荷，得先找出致病因。根據臺大公共衛生學院流行病學與預防醫學研究所所長林先和等人在2017年發表的研究，石崇良點出，這些因子可分為3組，包括三高、BC肝和生活形態（如菸酒、體重、飲食），防範這些因子才能維持健康、降低死亡。</p> <p><span style="font-size:24px;"><strong>力推大家醫計畫，鎖定糖尿病和三高民眾</strong></span></p> <p>也因此，「我們必須改變過去的照護模式，從以疾病為主的照護，轉為以健康為主的照護。」石崇良表示，這個改變包含3部分，一是將過去的分段式照護，轉為協同照護和最終的整合式照護，再來是醫療給付部分，包括從過去疾病治療的論量計酬，轉為過渡期的疾病管理與論病計酬，再到最終的健康管理和論質計酬。但最重要的是，這些轉變得靠數位工具來支撐，不只有電子病歷，還要有雲端資料、AI數位醫療、IoT與遠距照護等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%85%A7%E8%AD%B7%E6%A8%A1%E5%BC%8F.JPG" /></p> <p>其中一大轉型計畫，就是健保署今年展開的大家醫計畫。這個計畫以原有的家醫計畫為基礎，對象包含代謝症候群防治計畫、慢性病P4P、癌症品質計畫等患者以及三高民眾，要透過全人照護模式，來擴大服務涵蓋率、改變生活形態，進而改善健康狀態。</p> <p>進一步來說，大家醫計畫有個重要工具：家醫大平臺，來整合特定民眾的健保資料、穿戴式裝置生理數據和生活形態資料，如血壓、血脂、血糖、眼底鏡、尿蛋白、疫苗施打、戒菸、BC肝篩檢、癌症篩檢和營養運動睡眠等，一方面透過平臺上的數據分析和風險偵測，來通知醫師和個管師，及早與高風險患者溝通、衛教，另也要提供追蹤和異常管理功能，如疫苗注射、篩檢後異常通知等。最後還要提供數據分析和個案慢性病指標，來協助醫師制定個人化治療方案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%B6%E9%86%AB%E5%A4%A7%E5%B9%B3%E8%87%BA.JPG" /></p> <p><span style="font-size:24px;"><strong>聯手Google、國衛院，打造糖尿病風險預測AI</strong></span></p> <p>石崇良表示，健保署目前正建置家醫大平臺，預計今年底前完工，之後會逐步優化平臺功能。而健保署今日與Google展開為期5年的合作，預計使用Google雲端算力資源、AI工具和資料處理工具等，來與國衛院共同打造專屬臺灣的疾病風險預測模型，第一波瞄準糖尿病風險預測模型。</p> <p>這是因為，在臺灣每10人就有1人罹患糖尿病，且其併發症嚴重，如心血管疾病、腎病、視網膜及神經病變等，需及早介入預防與治療。而且，糖尿病也是臺灣疾病負擔大宗之一。</p> <p>因此，在模型訓練資料部分，健保署會採用去識別化的性別、年齡、家族病史、風險資訊、國際疾病分類代碼ICD-10和檢驗檢查等資料，同時透過國衛院專業知識找出更多參數，來訓練糖尿病風險預測模型。</p> <p>同時，<a href="https://taiwan.googleblog.com/2024/06/cloud-summit-taipei-2024-ai-for-healthy-taiwan.html">Google表示</a>，健保署將採用Google Cloud一系列為醫療照護產業微調的基礎模型MedLM，在Vetex AI平臺上建置、訓練和測試客製化的生成式AI大型語言模型。接著，這些模型可用來預測患者第二型糖尿病患者的併發症風險。</p> <p>就流程來說，模型會透過健保署健保雲執行，醫療院所醫師上傳資料到健保雲，模型運算後會傳送結果給醫師和民眾。這個風險預測分2種，一是針對未患糖尿病的民眾，模型會提供10年內、5年內和1至3年內的罹病風險，另一是患糖尿病民眾，模型會提供數種風險預測，如總住院率、特定原因住院率、死亡率、慢性病罹患率等。</p> <p>而風險高低最後會以燈號表示，作為醫療分級參考，比如綠色為低風險、黃綠色為有風險、黃色是中風險、黃橙色中高風險、紅橙色高風險，紅色則是嚴重風險。其中，風險較低的民眾可建議至衛生所、門診就醫，黃色燈號則可轉介至地區醫院、黃橙色至區域醫院，高風險和嚴重風險則至醫學中心，以此達到分級醫療目標。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1715.JPG" /></p> <p>石崇良表示，所有相關資料只有健保署可存取，也會以最高規格來保護。他點出，未來健保署會透過上述風險分級結果，來擬定不同的給付計畫，制定不同風險個案的管理費。健保署也會視照顧成效，來給予獎勵，落實以質計酬的支付轉型目標。</p> <p>他表示，健保署與Google聯手的糖尿病風險預測AI是第一波應用，藉此拋磚引玉，來推動、擴大到更多慢性病和三高疾病風險管理，提高健康狀態。</p> <p></p> </div></div></div>
2024/6/13 17:38作者王若樸https://www.ithome.com.tw/news/163442
Arm針對顯示晶片Mali GPU核心驅動程式漏洞提出警告，已出現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週Arm針對顯示晶片Mali GPU的核心驅動程式漏洞CVE-2024-4610<a href="https://developer.arm.com/Arm Security Center/Mali GPU Driver Vulnerabilities">提出警告</a>，並指出這項漏洞影響Bifrost與Valhall兩種GPU的核心驅動程式，從r34p0至r40p0的所有版本都受到影響，他們已在r41p0版修補這項漏洞。</p> <p>而對於這項漏洞帶來的影響，該公司指出，攻擊者若是取得本機非特權使用者權限，就有機會產生不當的GPU記憶體操作程序，從而存取已被釋出的記憶體空間，<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-4610">CVSS風險評為5.5分</a>。</p> <p>值得留意的是，Arm在公告裡提及，他們獲報這項漏洞已被用於實際攻擊行動的情況。6月12日，美國網路安全暨基礎設施安全局（CISA）<a href="https://www.cisa.gov/news-events/alerts/2024/06/12/cisa-adds-two-known-exploited-vulnerabilities-catalog">納入已遭到利用的漏洞目錄（KEV）</a>，要求聯邦機構必須於7月3日之前完成修補。</p> </div></div></div>
2024/6/13 16:00作者周峻佑https://www.ithome.com.tw/news/163440
問題頻傳，微軟暫停擴大測試Windows 11 24H2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在6月18日即將開賣Copilot+ PC前夕，微軟本周卻將準備擴大測試的通路中緊急移除Windows 11 24H2。</p> <p>Windows 11 24H2是微軟實作AI PC的作業系統，該公司於5月20日將Windows 11 24H2（Build 26100.712）<a href="https://www.microsoft.com/en-us/windowsinsider/getting-started" target="_blank">透過Release Preview Channel釋出</a>給Insiders方案成員測試。這個版本包含HDR背景支援、Wi-Fi 7支援、省電功能、Sudo for Windows及Rust in Windows Kernel等功能。不過上周<a href="https://blogs.windows.com/windows-insider/2024/05/22/releasing-windows-11-version-24h2-to-the-release-preview-channel/" target="_blank">微軟在官方部落格公告</a>，暫時中止以Release Preview Channel發布24H2版，會在幾周後恢復發布。</p> <p>可能被媒體追問許久，微軟Windows主管<a href="https://x.com/brandonleblanc/status/1799478915582542199" target="_blank">Brandon LeBlanc在推特上說</a>，他沒有什麼部落格以外的訊息可提供的，微軟正努力讓該OS版本儘快發布。</p> <p>網路媒體<a href="https://www.windowslatest.com/2024/06/10/microsoft-pulls-windows-11-24h2-for-release-preview-testers-likely-due-to-issues/" target="_blank">Windows Latest指出</a>，一些用戶上周安裝24H2後即傳問題，例如有用戶從23H2升級後出現RunDLL錯誤訊息。其他用戶則抱怨不穩定、Word、電玩應用程式凍住、卡頓甚至當掉等情形。</p> <p>此外，因應資安專家的批評，<a href="https://www.ithome.com.tw/news/163381" target="_blank">微軟也緊急宣布</a>在6月18日Copilot+ PC上市前，把可自動快照紀錄用戶PC使用行為的Recall改為預設關閉，以平息隱私疑慮。</p> <p>不過用戶如果有備用機或不怕出問題的，現在仍可在Dev Channel下載安裝Windows 11 24H2。</p> </div></div></div>
2024/6/13 16:22作者林妍溱https://www.ithome.com.tw/news/163441
OpenAI採用甲骨文雲端為運行基礎架構，強調和微軟合作不變
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文和OpenAI本周<a href="https://www.oracle.com/news/announcement/openai-selects-oracle-cloud-infrastructure-to-extend-microsoft-azure-ai-platform-2024-06-11/" target="_blank">宣布一項合作</a>，OpenAI將以甲骨文雲端基礎架構（Oracle Cloud Infrastructure，OCI）作為擴展微軟Azure AI的基礎架構，以執行模型推論等任務。</p> <p>這項合作其實涉及OpenAI、微軟Azure及甲骨文三家業者，目的在讓OCI成為類似備援方案，為微軟Azure AI擴展到甲骨文雲端，為OpenAI負載提供更高處理能力。</p> <p>OpenAI的AI服務光是ChatGPT，每月用戶就超過1億，堪稱吃運算資源的怪獸。OpenAI執行長Sam Altman從不諱言其AI運算資源需求，<a href="https://venturebeat.com/ai/sam-altman-wants-up-to-7-trillion-for-ai-chips-the-natural-resources-required-would-be-mind-boggling/" target="_blank">外傳他希望</a>募集7兆美元蓋廠自產晶片以加速訓練AI模型的任務。</p> <p>或許因為OpenAI才宣布和蘋果合作，使ChatGPT整合到蘋果OS中，外界揣測可能影響OpenAI和微軟的合作關係。OpenAI在官方新聞發布後<a href="https://x.com/OpenAI/status/1800778542512550260" target="_blank">隨後澄清</a>，這項合作是讓OpenAI使用「OCI基礎架構上的Azure AI平臺」執行推論和其他作業。OpenAI最尖端的模型仍然執行在使用與微軟合作的超級電腦上。</p> <p>在公有雲市場方面，甲骨文OCI遠遠落後微軟或是今天宣布結盟的Google Cloud。根據市調業者<a href="https://www.fierce-network.com/multi-cloud/public-cloud-growth-back-baby" target="_blank">Synergy的數據</a>，截至今年第一季，公有雲市場仍以市占達31%的AWS居冠，微軟Azure和Google Cloud則分別擁有24%和11%市場。甲骨文則和IBM、騰訊同為2%。</p> <p>但甲骨文仍有相當知名的客戶，包括Nvidia DGX Cloud、馬斯克的xAI，以及Adept、Modal、MosaicML、Together AI、Twelve Labs等AI業者。在訓練大型語言模型時，OCI的Supercluster可擴展到64k NVIDIA Blackwell GPU或GB200 Grace Blackwell Superchips，透過超低延遲RDMA叢集網路連線。OCI Compute虛擬機器和OCI裸機Nvidia GPU執行個體並可支援生成式AI、電腦視覺、自然語言處理、推薦系統等應用程式。</p> </div></div></div>
2024/6/13 15:21作者林妍溱https://www.ithome.com.tw/news/163439
甲骨文和Google Cloud合作多雲環境、推Oracle Database@Google Cloud
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.oracle.com/news/announcement/oracle-and-google-cloud-announce-groundbreaking-multicloud-partnership-2024-06-11/" target="_blank">甲骨文昨（12）日宣布</a>將以合作取代競爭，和Google Cloud締結多雲合作，並將推出Google Cloud版的Oracle資料庫。</p> <p>甲骨文與Google Cloud的合作有二階段。其一，甲骨文雲端基礎架構（Oracle Cloud Infrastructure，OCI）和Google Cloud將透過Google Cloud的跨雲互連（Cross-Cloud Interconnect）整合。OCI是甲骨文提供的基礎架構硬體。</p> <p>跨雲互連是Google Cloud的直接連線服務，一開始將提供全球11個區域剛加入的客戶，以利將舊雲端平臺的一般性任務移轉到Google Cloud上，而無需搬移費用。在和甲骨文的合作中，<a href="https://cloud.google.com/network-connectivity/docs/interconnect/how-to/cci/oci/connectivity-overview" target="_blank">跨雲端互連</a>可在Google Cloud、OCI網路之間建立專有實體連線，這可使得部署在二個雲環境的資料交換更快速，也能實現更多元服務模式，雙方客戶可獲得Google Cloud及甲骨文共同支援服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0613-OCI-Google%20Cross-Cloud-Interconnect.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／甲骨文</span></span></p> <p>今年下半雙方將推出Oracle <a href="mailto:Database@Google">Database@Google</a> Cloud，強調這雲端資料庫具備甲骨文最高的資料庫和網路效能，功能和價格也和OCI平臺上的版本一樣。二家軟體巨人也會合作共同行銷，將Oracle <a href="mailto:Database@Google">Database@Google</a> Cloud推向多種產業，包括金融、醫療、零售、製造等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0613-Oracle%20Database%40Google%20Cloud-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google Cloud</span></span></p> <p>雙方合作將可提供甲骨文資料庫客戶Google Cloud雲端的好處。首先，他們可以在Google Cloud上部署甲骨文資料庫，以及相關服務如Oracle Exadata資料庫服務、Oracle Autonomous資料庫服務、MySQL Heatwave、複寫服務Oracle GoldenGate、或自動化回復與安全管理服務等。其次，甲骨文客戶可以更方便使用Google Cloud AI服務，如Vertex AI和Gemini基礎模型，以便執行AI推論或預測分析、或是開發AI應用。Oracle <a href="mailto:Database@Google">Database@Google</a> Cloud讓客戶得以直接存取部署於Google Cloud資料中心的OCI硬體上的甲骨文資料庫服務。</p> <p>最後，客戶可利用Oracle Zero-Downtime Migration等工具，把Oracle資料庫搬上Google Cloud。這項合作提供簡化的採購方式，客戶可以從Google Cloud Marketplace上購買Oracle <a href="mailto:Database@Google">Database@Google</a> Cloud，原有甲骨文客戶並可以享用自帶授權（Bring Your Own License，BYOL）及折扣方案如Oracle Support Rewards的好處。</p> <p>在Google Cloud資料中心直接管理Oracle Database服務的合作，今年下半將從美國和英國、德國展開，再陸續推向其他國家。先上線的服務包括Oracle Exadata Database Service、Oracle Autonomous Database Service和Oracle Real Application Clusters（RAC）。</p> <p>而OCI和Google跨雲互連服務今天已可提供給11個跨雲互連區域，包括澳洲、巴西、日本、新加坡、印度、美國等。</p> <p>甲骨文並非現在才和競爭者合作。去年9月，甲骨文也和微軟<a href="https://www.ithome.com.tw/news/158781" target="_blank">宣布了類似的合作</a>，推出了Oracle <a href="mailto:Database@Azure">Database@Azure</a>的服務，客戶得以直接存取部署於Microsoft Azure資料中心的OCI上的甲骨文資料庫服務。</p> </div></div></div>
2024/6/13 15:00作者林妍溱https://www.ithome.com.tw/news/163438
開源機器學習框架PyTorch存在重大漏洞，恐導致敏感的AI資料遭竊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有研究人員於今年4月，向漏洞懸賞平臺Huntr通報開源機器學習框架PyTorch存在重大層級漏洞CVE-2024-5480，CVSS風險評分達到10分，影響2.2.2版以前的PyTorch。對此，Huntr向通報者提供1,500美元予以獎勵，<a href="http://huntr.com/bounties/39811836-c5b3-4999-831e-46fee8fcade3">並於上週公布細節</a>。</p> <p>這項漏洞存在於名為torch.distributed.rpc的框架，一旦開發者利用該框架進行RPC呼叫，過程中該框架並未驗證相關功能是否如開發者預期執行，使得攻擊者藉此漏洞透過網路使用RPC呼叫Python的功能，從而載入Python程式庫並執行任意命令。</p> <p>由於這項框架通常被用於分散式訓練，像是增強式學習、模型並用、參數伺服器訓練框架等應用場景，而有可能導致上述漏洞的影響範圍相當廣泛。</p> <p>對於漏洞發生的原因，研究人員也提出說明。當torch.distributed.rpc框架在使用多處理器執行緒進行RPC通訊時，worker可使用特定的功能（如rpc.rpc_sync）將功能及張量（tensor）序列化並打包成PythonUDF套件，然後使用PythonCall進行傳送。</p> <p>接著，master節點將接收到的套件反序列化處理，並呼叫_run_function，過程中允許worker執行特定的功能，但由於功能呼叫並未受到限制，使得攻擊者透過呼叫Python內建的功能，就有機會發動遠端程式碼執行（RCE）攻擊。</p> <p>對此，研究人員也提供概念性驗證（PoC）程式碼，並指出該漏洞可能帶來的影響：由於攻擊者可將其用來遠端攻擊分散式訓練的master節點，一旦這些節點遭到入侵，對方就有機會竊取與AI有關的敏感資料。</p> </div></div></div>
2024/6/13 12:13作者周峻佑https://www.ithome.com.tw/news/163436
GovTech月報第30期：政府承諾以穩定供電、建置超級電腦、培育人才3做法促臺灣成為AI島
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0501~0604)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">賴清德</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>總統賴清德：打造臺灣成為AI島，將穩定能源供應，加強超級電腦建置及人才培育</strong></span></p> <p>總統賴清德近期在Computex開幕致詞時表示，政府將穩定供電提供多元綠電，建置超級電腦，並培養人才等措施，更多企業協助政府投資臺灣，以將臺灣打造成為人工智慧島。</p> <p>賴清德在致詞時表示，政府將完成3項基本工作，第一是，穩定供電並提供多元綠電，以及建立屬於臺灣的資料中心；第二是，建置超級電腦，未來若有必要，政府將投資建置符合需求的超級電腦，供產官學研使用，他並對Nvidia贈送第一臺超級電腦，台積電負擔部分營運費用表示感謝，；第三是，政府將持續培養ICT產業、晶圓製造、半導體、人工智慧等領域人才，使臺灣成為人工智慧島得以實現。</p> <p>他盼望企業界持續投資臺灣，讓AI在臺灣產業化發展，有更多創新應用，並使國內100多萬中小企業能夠AI化，讓臺灣成為人工智慧島，也能為經濟帶來實質功用，促成民眾生活更好。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">卓榮泰</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>行政院長卓榮泰盼公部門運用AI提升行政效率</strong></span></p> <p>行政院長卓榮泰上任舉行首次院會，由國科會報告可信任對話引擎TAIDE計畫成果，卓榮泰表示，未來盼望國科會繼續推動AI技術及研究，並且與其他部會合作加速產業應用，同時公部門也運用AI，以提高行政效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/MS(1).jpg" style="width: 600px; height: 337px;" /></p> <p>國科會報告TAIDE推動成果，目前已釋出可商用的TAIDE-7B模型，並研發學研使用的TAIDE-13B，國科會以寫文章、寫信、摘要、英翻中、中翻英5項任務，評測ChatGPT 3.5、TAIDE-7B與TAIDE-13B的表現，0<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "PingFang TC";">到</span>10<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "PingFang TC";">分，</span>ChatGPT 3.5<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "PingFang TC";">得分為</span>8.68<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "PingFang TC";">分，</span>TAIDE-7B<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "PingFang TC";">得分為</span>8.3<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "PingFang TC";">分，至於</span>TAIDE-13B<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "PingFang TC";">則是</span>8.74<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "PingFang TC";">分，表現相當於</span>ChatGPT 3.5<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "PingFang TC";">，並且具有在地知識，多輪對話及阻絕產生不當內容的能力。</span></p> <p>TAIDE計畫已與產學研合作開發應用，例如國臺客語，但缺少原住民語言，國科會表示，<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">TAIDE</span>模型訓練以文字資料為主，未來會加強原住民語言資料的取得，同時<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">TAIDE</span>也會向多模態發展。國科會也表示，<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">TAIDE</span>為基礎通用模型，已釋出供外界運用，未來公部門可以其業務資料，用於資料彙整、會議記錄彙整、寫公文或回覆民眾的詢問。</p> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">黃彥男</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>數位部長黃彥男：強化國內數位經濟發展環境，加速政府機關導入AI</strong></span></p> <p>新任數位發展部長黃彥男近期首次公開面對媒體，宣示數位部今後的施政方向，包括加強與各部會合作，建造數位高速公路，促進產業轉型及數位經濟發展。此外，作為政府轉型的推手，未來數位部也會透過輔導，加公務機關導入AI，以提高行政效率</p> <p>黃彥男指出，產業轉型及數位產業發展，仰賴建立數位高速公路，未來善用這條高速公路，促使資料及使用，是數位經濟發展的重要基礎，為了打擊不法行為，數位部計畫建構查詢通報系統，相關部會單位可以快速處理或驗證資料的真實性，讓民眾能夠查詢資訊的真偽，信任數位經濟高速公路提供真實的資訊。此外，也將透過異質通訊網路技術，例如4G、5G、海纜、微波、衛星等，以強化數位高速公路的韌性。</p> <p>在政府數位轉型工作上，黃彥男指出，基於過去數十年電子化政府發展基礎，導入AI是下一個目標，是政府向智慧化發展的關鍵，數位部將在全國推廣AI基本訓練，協助公部門人員具備AI基本技能，例如使用生成式AI預測、摘要內容等，提升行政效率。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">超級電腦</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>全球500大超級電腦：美國再添一座Exascale級超級電腦，臺灣AI超級電腦添新兵Taipei1</strong></span></p> <p>因應全球極端氣候變遷，新型病毒及醫學等研究需求，需仰賴大量運算資源模擬分析研究，近期全球500大超級電腦排名出爐，美國超級電腦Frontier以1.2Exaflop/s蟬連冠軍之外，美國能源部阿拉貢國家實驗室的Aurora也以1.012 Exaflop/s位居第2，成為第二個Exascale級超級電腦。</p> <p>此次臺灣共有6臺超級電腦進榜，成績最佳的是Nvidia Taiwan所建置的Taipei1超級電腦，採用Xeon處理器及Nvidia H100，以22.3 PFlop/s拿下第38名，其他超級電腦包括中央氣象局的兩臺超級電腦，國網中心也有三座超級電腦進榜，分別是臺灣杉2號、3號及Forerunner1。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0514-top500-taiwan-600.jpg" style="width: 600px; height: 544px;" /></p> <p>其中Taipei1為Nvidia建置的AI超級電腦，去年底完成建置，目的為協助AI研發，經濟部已與Nvidia達成協議，Nvidia將釋出部分運算資源免費供國內使用。經濟部預期在Nvidia Taipei1的支持下，有助於我國AI模型研發，透過高速運算資源，帶動臺灣的生成式AI核心技術發展。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">瑞典</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臉部辨識</span></font></strong></p> <p><span style="font-size:22px;"><strong>瑞典擬授權警方用公共場所攝影機即時臉部辨識技術以追蹤識別嫌犯</strong></span></p> <p>為打擊犯罪，瑞典政府近期表示，有意授權執法單位透過公共場所的攝影機，運用即時臉部辨識技術來追蹤識別涉及特定犯罪程度的嫌犯。</p> <p>去年12月瑞典政府即開始對授權執法單位使用監控攝影機，包括運用臉部辨識技術展開研究，近期司法部門提交報告給政府，該報告建議政府授權執法單位使用公共場所監控攝影機來打擊犯罪，但為了避免權力遭到濫用的情形，建議執法單位需獲得司法部門的同意才能使用。瑞典政府傾向採納建議，並準備研擬相關的計畫。</p> <p>在此之前，今年3月歐盟通過AI使用管理規則，禁止在公共場所使用即時臉部辨識技術，但執法單位可獲得例外，這些例外的案例，例如協尋失蹤者或受害者，以及迫在眉睫的恐怖攻擊威脅。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">澳洲</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font></strong></p> <p><span style="font-size:22px;"><strong>澳洲通過數位身分法案，建立跨公私部門的全國性數位身分系統</strong></span></p> <p>澳洲眾議會近期通過數位身分法案及相關的過渡法案，新法預計在今年11月就會開始生效，澳洲政府擬建立跨公私部門參與的全國性數位身分系統。</p> <p>澳洲政府稱法案通過，將為澳洲政府得以建立數位身分系統，並允許供應商及服務加入數位身分系統提供確定性，數位身分系統也將改善民眾在網路上的互動隱私及安全性；此外，數位身分法案也允許數位身分服務提供者自願加入認證，以強化其提供的身分驗證服務符合安全、隱私、身分驗證標準。</p> <p>澳洲政府財政部表示，數位身分系統將讓澳洲民眾得以更容易、安全的在網路上證明自己的身分，並且分享更少的身分訊息，讓更少的組織取得，通過更強的監管規範，降低身分被盜用的風險。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">環境保護</span></font></strong></p> <p><span style="font-size:22px;"><strong>桃園市打造AI環境污染辨識系統，協助稽查空氣品質、河川水質、環境衛生及噪音</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%E7%92%B0%E5%A2%83%E6%B1%A1%E6%9F%93%E8%BE%A8%E8%AD%98%E7%B3%BB%E7%B5%B1.jpg" style="width: 600px; height: 338px;" />桃園市每年收到超過2萬件的環境污染陳情案件，傳統上以人工稽查，耗費人力、時間，桃園市政府運用AI強化環境保護，運用電腦視覺技術打造AI環境污染辨識系統，利用這套系統監控空氣品質、河川水質、環境衛生、噪音管制4個方面，環保局表示，每年提高稽查效率達55%。</p> <p>這套AI環境污染辨識系統，包含7個AI影像辨識子系統，包含施工揚塵辨識、機動車輛智慧偵測辨識、判煙辨識、水色辨識、環境衛生辨識、營建路污辨識、改裝排氣管辨識等，並且結合空品感測器物聯網、水質物聯網、聲音照相等，對空氣品質、河川水質、環境衛生、機車噪音加強稽查管制。</p> <p>傳統稽查仰賴人工完成，運用機器視覺的即時監控、辨識，準確率達到8成，每件民眾陳情案可節省30到45分鐘，如果偵測到異常狀況，自動以Line或影像發出告警，提高稽查的效率，透過人機合作模式，2023年1月到2024年4月裁罰違規案件金額達1,400萬元。</p> <p>環保局也比較該系統上線後，對環境維護確實帶來效益，他們以實施後和實施前的3年（2020年到2022年）平均數據相比，空氣中硫氧化物濃度改善37%、氮氧化物則改善6%，空品不良的天數減少23%；水質方面，河川生化需氧量改善6.4%。亂丟垃圾的陳情數量下降51%、噪音陳情數量也下降23%。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">森林野火</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位孿生</span></font></strong></p> <p><span style="font-size:22px;"><strong>美國NASA要以數位孿生協助救災人員判斷森林野火情勢</strong></span></p> <p>美國太空總署NASA近期公布一項數位孿生野火(Wildfire Digital Twin)研究計畫，結合AI及感測數據，協助消防人員及救災單位預判野火燃燒走勢及濃煙飄移方向。</p> <p>美國、加拿大等幅闊地區，其森林經常面臨野火的風險，每當發生野火，除造成大面積珍貴林木被破壞、人民的財產生命蒙受損失，對環境也造成相當大的影響，一項研究顯示，因全球暖化，造成北方的夏季時間延長，使得野火發生的風險增加，去年8月一分研究報告顯示，光是野火造成的二氧化碳排放量，約佔全球排放的25%。</p> <p>該計畫利用蒐集的多種數據，例如現場設備的感測數據，飛行機或太空的偵測數據，加上人工智慧或機器學習技術預測野火燃燒路徑趨勢，產生數位孿生模型。相較於目前的野火及煙霧擴散所使用的模型，每個像素代表的空間解析度約為10公里，這個野火數位孿生模型的空間解析度為每像素10到30公尺，具有更細緻的空間解析度，並且產生模型也只要幾分鐘的時間。</p> <p>這項計畫結合馬里蘭大學等6所大學的研究團隊資源進行研究，針對野火現場缺乏網路通訊及超級電腦運資資源，數位孿生模型可以API，讓消防救災單位可以在筆電、平板電腦上執行這套野火數位孿生模型。</p> <p> </p> <p>圖片來源／總統府、國科會、TOP500、桃園市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.國科會：擬於10月底前提出AI基本法草案</strong></p> <p><strong>2.歐盟成立AI辦公室加強監管AI發展</strong></p> <p>資料來源：iThome整理，2024年5月</p> </div> </div></div></div>
2024/6/13 11:15作者蘇文彬https://www.ithome.com.tw/news/163375
Google研究以大型語言模型分析穿戴裝置健康資料，可給出高品質健身與睡眠建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型語言模型已經被用於處理各種模態的資料，包括文字、圖像、音訊和影片等，而現在<a href="https://research.google/blog/advancing-personal-health-and-wellness-insights-with-ai/">Google</a>也將大型語言模型應用於理解和推理個人健康問題和資料上，主要目標是要提升個人健康，該新研究特別著重於睡眠與健身這兩項早期死亡預測因子。</p> <p>Google研究展示了大型語言模型在健康資料上的潛在應用，可分析穿戴式裝置的健康資料，將零碎的資料點轉化為個人健康報告。大型語言模型利用程式碼生成和資訊檢索工具強化分析能力，使得人工智慧代理可以經迭代處理，分析穿戴式裝置多維時序資料。</p> <p>人工智慧代理運用Python直譯器進行複雜運算辨識趨勢，再透過搜尋引擎存取最新的醫療和健康知識庫，就可針對使用者給出個人化的建議和解釋。使用者可以詢問像是「如何在白天感覺更清醒且充滿活力？」等問題，人工智慧代理依據使用者穿戴式裝置所紀錄的睡眠時間，以及運動頻率給出具體建議。</p> <p>穿戴式裝置量測個人生理狀態和行為，紀錄連續且精細的資料，諸如步數、心率變異、睡眠持續時間等，結合大型語言模型，經由提供個人化報告與建議協助使用者實現健康目標。不過這件事並不容易，模型必須能夠對複雜時間序列和零散資料進行推理，並在個人健康背景下生成個人化解釋和建議。</p> <p>研究人員以「如何改善睡眠品質？」問題為例，說明人工智慧代理需要經歷一連串複雜分析步驟才能給出答案。步驟包括檢查資料的可用性、計算平均睡眠時長、辨識一段時間內的睡眠模式異常，並藉由全面分析使用者的健康狀況，做出更具意義和針對性的分析，再加上睡眠標準知識，提供使用者量身打造的睡眠改善建議。</p> <p>Google研究人員使用了Gemini模型微調版本PH-LLM。透過使用多模態編碼器，PH-LLM能夠更好地理解和解釋文字及時序感測資料。研究人員創建一組基準資料集，來評估模型與專家的能力差距，在健身領域，無論是Gemini Ultra 1.0模型還是PH-LLM模型的效能，都與健身專家沒有統計學上的差異，而在睡眠評估上，PH-LLM則與專家表現接近。</p> <p>過去雖然也有各種大型語言模型的醫療相關應用，但是卻很少使用來自行動或是穿戴式裝置的複雜資料，研究人員認為這些資料對於個人健康監測非常重要。該Google研究的主要貢獻，在於展示大型語言模型可以用於分析和解釋穿戴式裝置資料，並且證明其能力可媲美人類專家。</p> </div></div></div>
2024/6/13 08:30作者李建興https://www.ithome.com.tw/news/163427
【資安日報】6月12日，微軟發布6月份例行更新，總共針對49個漏洞進行公告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨（6月11日）微軟發布本月份例行更新，一共修補49個漏洞，<a href="https://www.ithome.com.tw/news/162875">相較於上個月公布多達60個漏洞</a>，已減少一些，而且，稍微值得慶幸的是，這次公布的漏洞尚未發現遭到駭客利用的跡象。</p> <p>但這次揭露還是有零時差漏洞，因為該漏洞的細節已在數個月前被公布，而這項漏洞與DNSSEC驗證機制有關，影響範圍可能會相當廣泛。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163417"><strong style="font-size: 22px;">勒索軟體駭客TellYouThePass鎖定近期公布的PHP重大漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Code-6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Code-6.png" style="width: 300px; float: right;" /></a></p> <p>上週臺灣資安業者戴夫寇爾針對他們向PHP通報的重大層級漏洞CVE-2024-4577提出警告，呼籲網站管理者儘速套用新版PHP程式，或是採取緩解措施，由於全球有近八成網站採用PHP，這項漏洞很快就有駭客將其用於攻擊行動。</p> <p>在PHP於6日發布新版軟體修補上述漏洞，隔日Shadowserver基金會就發現密罐陷阱出現漏洞嘗試利用的情況。接著在6月8日，資安業者Imperva發現勒索軟體駭客組織TellYouThePass利用這項漏洞從事攻擊，他們看到對方成功觸發漏洞後，於受害伺服器上執行PHP程式碼，利用名為system的功能進行寄生攻擊，透過執行檔mshta.exe執行攻擊者網頁伺服器上的HTML應用程式檔案，從而部署勒索軟體並加密檔案。</p> <p><a href="https://www.ithome.com.tw/news/163394"><strong style="font-size: 22px;">華邦電發布重訊說明疑似發生資料外洩，起因是合作廠商遭駭</strong></a></p> <p>記憶體大廠華邦電子在6月6日傍晚發布資安事件重大訊息，說明他們合作廠商的資訊系統遭不明人士入侵，導致該公司疑似發生資料外洩的狀況。</p> <p>根據華邦電子公告指出，這次事件主要是合作廠商資訊系統遭不明人士入侵，由於合作廠商向他們通報，指出與華邦電合作相關資料有外洩疑慮的狀況，因此，華邦電針對這樣的情況發布重訊說明。不過，他們並未明確指出是哪家合作廠商的資訊系統遭入侵。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.ncsc.nl/actueel/nieuws/2024/juni/10/aanhoudende-statelijke-cyberspionagecampagne-via-kwetsbare-edge-devices"><strong style="font-size: 20px;">荷蘭指出中國駭客鎖定全球Fortinet防火牆漏洞從事的網路間諜活動受害規模擴大，逾2萬臺防火牆遭到破壞</strong></a></p> <p></p> <p>◆<a href="https://blogs.infoblox.com/threat-intelligence/what-a-show-an-amplified-internet-scale-dns-probing-operation/"><strong style="font-size: 20px;">中國駭客組織SecShow在全球進行大規模DNS探測行動</strong></a></p> <p></p> <p>◆<a href="https://blog.nicovideo.jp/niconews/225099.html"><strong style="font-size: 20px;">日本影音共享平臺Niconico傳出遭到網路攻擊，被迫暫停相關服務</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163421"><strong style="font-size: 22px;">微軟發布6月例行更新，修補已被公布細節的DNSSEC零時差漏洞</strong></a></p> <p>微軟於6月11日發布本月例行更新（Patch Tuesday），總共修補49個漏洞，其中有一個零時差漏洞，而引起關注。</p> <p>此為網域名稱系統安全擴充程式（DNSSEC）的設計缺陷漏洞CVE-2023-50868，存在於DNSSEC驗證機制當中，假如DNS解析器使用NSEC3回應請求，攻擊者可藉由要求來自DNSSEC簽章區域的回應，就有機會讓實作DNSSEC驗證機制的解析器耗盡處理器的運算資源，CVSS風險評為7.5分，微軟為Windows Server 2012至2022版，發布相關的修補程式。</p> <p>這個漏洞有幾個特別的地方，首先，這項漏洞CVE編號並非微軟自行登記，而是由資安團體MITRE所為，而且，登記的時間在今年2月13日，距微軟發布修補程式間隔達4個月。</p> <p><a href="https://www.ithome.com.tw/news/163424"><strong style="font-size: 22px;">整合開發環境IntelliJ存在重大漏洞，恐曝露GitHub存取憑證</strong></a></p> <p>6月11日軟體開發業者JetBrains發布資安公告，指出他們在5月29日接獲通報，存在整合開發環境（IDE）IntelliJ平臺的漏洞CVE-2024-37051，有可能會影響拉取請求而被用於攻擊行動，CVSS風險評為9.3分。</p> <p>該公司指出，這項弱點影響IntelliJ平臺所有2023.1以上版本的IDE，只要開發者同時啟用他們提供的GitHub外掛程式，就有可能曝險。他們提供新版IDE及外掛程式修補漏洞，並呼籲開發者若曾透過這套IDE拉取GitHub專案，應註銷外掛程式所用的Token。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.securityweek.com/sap-patches-high-severity-vulnerabilities-in-financial-consolidation-netweaver/"><strong style="font-size: 20px;">SAP修補Financial Consolidation、NetWeaver高風險漏洞</strong></a></p> <p><a href="https://www.securityweek.com/sap-patches-high-severity-vulnerabilities-in-financial-consolidation-netweaver/"><strong style="font-size: 20px;"></strong></a></p> <p></p> <p>◆<a href="https://www.securityweek.com/critical-pytorch-vulnerability-can-lead-to-sensitive-ai-data-theft/"><strong style="font-size: 20px;">開源機器學習程式庫PyTorch存在重大漏洞，恐導致敏感的AI資料遭竊</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163423"><strong style="font-size: 22px;">AWS雲端安全會議強調資安文化，揭露多項幕後資安利器</strong></a></p> <p>「追根究底，資安文化是一切的根源。」AWS資安長Chris Betz在6月11日於美國費城舉辦的雲端安全會議re:Inforce 2024中強調資安文化的重要性。他指出，高階主管對資安的重視程度是建立文化的重要關鍵，AWS執行長與資安主管固定每週五與各部門總經理、產品經理與開發人員面對面討論資安問題，由執行長固定撥出時間討論資安，足以傳達高階主管對資安的重視程度。</p> <p>而為了讓資安落實能擴及全組織，AWS也透過資安守護者計畫，將資安團隊的資安專家派駐在各個部門，一起參與軟體開發流程，從Spring衝刺規畫會議、站立會議到資安審核，提供資安觀點的建議，既協助開發安全的軟體，也將資安最佳作法傳播到全公司上下。</p> <p>同時，AWS也推動員工自主決策的文化，任何同仁發現資安問題時，都有權力自主判斷將資安問題立即升級至必要的等級。Chris Betz指出，在他過往任職的經驗中，資安問題等級的提升往往代表負面意涵，然而在AWS的資安文化中，反而是要獎勵能及早意識到問題嚴重性，從而讓組織可以更快速採取行動的同仁。</p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163137"><strong style="font-size: 22px;">社群發展要有意識進行傳承，更應提供舞臺並讓參與者有收穫</strong></a></p> <p>資安社群在臺灣資安產業的發展過程中，扮演重要的關鍵角色。臺灣駭客協會理事長、也是資安公司戴夫寇爾執行長翁浩正表示，早期資安社群的領導者，因為對資安有高度熱情並具備理想性，透過分享知識與組織活動為目標，成功凝聚志同道合的人。</p> <p>由於資安社群擁有獨特的文化，例如各種次文化和迷因梗圖，翁浩正認為，這些文化元素為社群的參與者，提供歸屬感和向心力。此外，定期舉辦的活動也吸引了許多外界的人參與和投入。為了保持社群的發展和存續，翁浩正也意識到，社群的領導者必須開始進行有意識的傳承和管理，提供機會給新成員參與組織和活動，鼓勵他們發揮創造力和領導能力，這都有助於社群的持續發展。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163398"><strong>【6月11日】紐約時報證實內部資料流入地下論壇，程式碼儲存庫帳密資料外流釀禍</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163361"><strong>【6月7日】勒索軟體駭客RansomHub聲稱入侵老牌筆電製造廠藍天電腦，引起國際資安媒體高度關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163344"><strong>【6月6日】病理學暨診斷服務供應商Synnovis遭到勒索軟體攻擊導致倫敦醫院服務中斷，傳出是駭客組織Qilin所為</strong></a></p> </div></div></div>
2024/6/12 18:01作者周峻佑https://www.ithome.com.tw/news/163429
蘋果揭露Apple Intelligence所使用的裝置與伺服器模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果藉由於旗下macOS Sequoia、iOS 18與iPadOS 18<a href="https://www.ithome.com.tw/news/163387" target="_blank">作業系統中整合Apple Intelligence</a>，加入了全球的人工智慧（AI）陣營，Apple Intelligence是由許多高效能生成式模型所組織，<a href="https://machinelearning.apple.com/research/introducing-apple-foundation-models" target="_blank">本周蘋果揭露了其中的兩個</a>，一個是裝置上的小型語言模型，另一個是伺服器上的較大型語言模型。</p> <p>其中，在裝置運作的語言模型不到30億個參數，另一個較大的語言模型則是透過Private Cloud Compute於基於蘋果晶片的伺服器上執行。蘋果利用取得授權的資料，以及透過AppleBot搜集的公開資料來訓練基礎模型，某些授權資料可用來強化特定功能，此外，蘋果亦強調不使用個人資料進行訓練，也會過濾低品質的內容。</p> <p>裝置與伺服器上的模型皆使用分組查詢注意（grouped-query-attention）機制，以優化注意力機制並提高模型效率，並有共享的輸入與輸出詞彙嵌入表，以降低記憶體需求及推論成本。裝置端模型的Token數量為49K，伺服器端模型的Token數量則是100K。</p> <p>蘋果藉由low-bit palletization與Low-Rank Adaptation（LoRA）微調技術，來減少裝置模型在推論時所需的資源，同時維持其準確性，也透過Talaria工具、激化量化、嵌入量化，以及關鍵值快取更新等方法來提升模型運作效率，因此，在 iPhone 15 Pro上，模型收到提示後生成第一個Token的時間只要0.6毫秒，平均每秒可生成30個Token。</p> <p>在預訓練的模型上，蘋果利用微調層來迎合使用者的日常活動，將小型神經模組（微調器）插入模型中，以改善模型對特定任務的執行能力。蘋果比較了自家裝置模型+微調器、與微軟Phi-3-mini在摘錄上的能力，發現不管是在電子郵件或是通知的摘錄上，人類對蘋果模型的摘錄結果都更為滿意。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0612-Apple%20Foundation%20Models-600-1.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0612-Apple%20Foundation%20Models-600-1(1).png" style="width: 600px;" /></a></p> <p>另外蘋果也比較這兩個模型與開源的Phi-3、Gemma、Mistral、DBRX及商用的GPT-3.5-Turbo及GPT-4-Turbo，顯示不管是在裝置模型或伺服器模型上，蘋果多半更受到人類評估人員的青睞，只有伺服器模型明顯落後GPT-4-Turbo。且不管是在輸出危害、安全提示、指令追蹤能力或是寫作能力上，兩個蘋果模型也都有不亞於其它競爭對手的表現。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0612-Apple%20Foundation%20Models-600-2.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0612-Apple%20Foundation%20Models-600-2.png" style="width: 600px;" /></a></p> <p>除了這兩個分別位於裝置及伺服器上的基礎模型之外，之後蘋果亦會陸續揭露該公司所使用的其它生成式模型，包括語言、擴散與程式碼模型等。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2024/6/12 17:00作者陳曉莉https://www.ithome.com.tw/news/163419
整合開發環境IntelliJ存在重大漏洞，恐曝露GitHub存取憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月11日軟體開發業者JetBrains發布資安公告，指出他們在5月29日接獲通報，<a href="https://blog.jetbrains.com/security/2024/06/updates-for-security-issue-affecting-intellij-based-ides-2023-1-and-github-plugin/">存在整合開發環境（IDE）IntelliJ平臺的漏洞CVE-2024-37051</a>，有可能會影響拉取請求而被用於攻擊行動，CVSS風險評為9.3分。</p> <p>當開發者使用基於這套IDE平臺時，攻擊者會藉由惡意內容，引誘拉取特定GitHub專案，從而讓開發者的存取Token外流至第三方主機。</p> <p>該公司指出，這項弱點影響IntelliJ平臺所有2023.1以上版本的IDE，只要開發者同時啟用他們提供的GitHub外掛程式，就有可能曝險。他們提供新版IDE及外掛程式修補漏洞，並呼籲開發者若曾透過這套IDE拉取GitHub專案，應註銷外掛程式所用的Token。</p> </div></div></div>
2024/6/12 17:35作者周峻佑https://www.ithome.com.tw/news/163424
Adobe修補內容管理平臺Experience Manager、電商網站平臺Magento漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二（6月11日）Adobe針對旗下10款產品發布更新，總共修補166個漏洞，其中，<a href="https://helpx.adobe.com/security/products/experience-manager/apsb24-28.html">大部分與內容管理平臺Experience Manager（AEM）有關</a>，而這次他們對電商網站平臺Adobe Commerce及Magento Open Source發布的資安公告，重大層級漏洞的數量最多，也相當值得留意。</p> <p>該公司本次針對AEM公布144個漏洞，影響AEM Cloud Service，以及自行管理的6.5.20以前版本，大部分漏洞為跨網站指令碼（XSS）漏洞，而有可能被用來執行任意程式碼。其中，最為嚴重的是安全功能繞過漏洞CVE-2024-26029，這項漏洞發生的原因為不適當的存取控制，CVSS風險評為7.5，被Adobe列為重大層級。</p> <p>這次Adobe公布最多重大層級漏洞的應用系統，<a href="https://helpx.adobe.com/security/products/magento/apsb24-40.html">是電商網站平臺Adobe Commerce及Magento Open Source</a>，他們總共修補了10個漏洞，其中有7個為重大層級。這些漏洞影響2.4.7版以下的Adobe Commerce、Magento Open Source，以及1.2.0至1.4.0版的Adobe Commerce Webhooks外掛程式。</p> <p>在這些重大層級的電商網站平臺漏洞當中，主要與伺服器偽造請求（SSRF）、XML外部實體參照的限制不當、身分驗證不當、輸入驗證不當，以及未限制危險類型的檔案上傳，而有可能被用於執行任意程式碼、提升權限，或是繞過安全防護功能，CVSS風險評分介於8.5至8.0。</p> <p>除了上述兩種網站系統的漏洞，Adobe也針對旗下的XML文件處理軟體FrameMaker，<a href="https://helpx.adobe.com/security/products/framemaker-publishing-server/apsb24-38.html">揭露與修補兩個漏洞</a>，分別是：CVE-2024-30299、CVE-2024-30300，皆屬於伺服器權限提升類型的弱點，這兩個漏洞CVSS風險評為10分、9.8分，是本次最為危險的漏洞。</p> </div></div></div>
2024/6/12 16:54作者周峻佑https://www.ithome.com.tw/news/163422
AWS雲端安全會議強調資安文化，揭露多項幕後資安利器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「追根究底，資安文化是一切的根源。」AWS資安長Chris Betz在今（11）日於美國費城舉辦的雲端安全會議re:Inforce 2024中強調資安文化的重要性。</p> <p>「正是文化，促使組織改變習慣，優先從資安的角度考量；正是文化，驅使我們以資安為本設計系統（Security by Design）；也因為文化的關係，我們將資安賦權於個人，讓整個組織都落實資安，同時也保持敏捷，從而讓業務運作不因資安而妥協。」不過，Chris也指出：「資安文化並非一蹴可幾，如果沒有持續強化與投資，建立起來的文化也會逐漸流失。」</p> <p>Chris Betz在擔任AWS資安長之前是美國金融機構Capital One資安長，在企業端身為多年客戶的他雖然理解AWS資安，但擔任資安長後對於AWS整體資安文化才有更深入的體會。他指出，高階主管對資安的重視程度是建立文化的重要關鍵，AWS執行長與資安主管固定每週五與各部門總經理、產品經理與開發人員面對面討論資安問題，由執行長固定撥出時間討論資安，足以傳達高階主管對資安的重視程度。</p> <p>「在這個會議中會深入討論資安的挑戰，據以制定產品發展藍圖，要求作出改變，並帶來真正的業務影響。」Chris表示：「這同時也是一次徹底的檢查，對資安文化產生深遠的影響。」</p> <p>AWS高階主管親自與各部門討論資安，也強化人人都必須承擔資安責任的重要性。Chris指出，每個團隊對自己負責的產品服務是最了解的，若再有資安當責意識，就能夠在產品設計的早期主動採取正確決策，不淪為被動補漏洞。而為了讓資安落實能擴及全組織，AWS也透過資安守護者計畫，將資安團隊的資安專家派駐在各個部門，一起參與軟體開發流程，從Spring衝刺規畫會議、站立會議到資安審核，提供資安觀點的建議，既協助開發安全的軟體，也將資安最佳作法傳播到全公司上下。</p> <p>同時，AWS也推動員工自主決策的文化，任何同仁發現資安問題時，都有權力自主判斷將資安問題立即升級至必要的等級。Chris指出，在他過往任職的經驗中，資安問題等級的提升往往代表負面意涵，然而在AWS的資安文化中，反而是要獎勵能及早意識到問題嚴重性，從而讓組織可以更快速採取行動的同仁。</p> <p>此外，Chris也揭露AWS為了打造安全的雲端平臺，在這幾年來從硬體自主設計、安全程式語言的選擇、自動化測試驗證、威脅偵測阻擋與合規等方面所做的改變。</p> <p>在硬體自主設計方面，AWS擁有自主設計的Graviton與Nitro晶片，去年推出的最新Graviton 4晶片，首度增加傳輸介面加密功能，包括DRAM記憶體、PCIe匯流排到Nitro加速卡，以及多處理器架構中Graviton之間傳輸介面的通訊加密，有助於防範硬體層面的攻擊。而Nitro除了藉由執行環境的隔離，確保用戶的資料無法被其他人，包括平臺營運者AWS所取得，亦新增端對端加密功能，提供用戶將需要加密保護的敏感人工智慧模型資料載入隔離保護的環境。</p> <p>在安全程式語言方面，Chris指出，Amazon與AWS近年來都大力擁抱記憶體安全程式語言Rust，在去年，Amazon營運中的應用程式已有高達98%都採用Rust開發，而AWS也在去年將內部以Rust開發的AWS Web Crypto函式庫開源釋出，提供支援FIPS加密標準與後量子密碼（PQC）加密功能。</p> <p>在測試與驗證方面，Chris也提及AWS鮮少討論的自動推理（Automated Reasoning），他指出，自動推理是利用數學方法，證明系統設計或實作是否遵守規格，以及證明系統是否依照預期的方式運作，而透過這個作法可以達到大規模的驗證。例如，AWS IAM身分存取管理平臺每秒要處理超過10億個API存取，而透過自動推理所開發的驗證工具—AWS去年開源的Cedar，才有辦法確保如此大規模存取行為的正確性。此外，自動推理也運用在驗證IPv6存取控制清單，每日可處理8萬次的存取控制清單的驗證，確保其網路架構的安全性。而在法遵方面，Chris也指出，目前AWS已通過143個資安標準與認證。</p> <p>此外，自AWS去年公開MedPot全球蜜罐網路之後，Chris也首度揭露用於偵測惡意攻擊行為的Sonaris系統，他表示，Sonaris會分析AWS基礎架構的網路流量與日誌服務，以偵測惡意攻擊行為，同時會結合資安情資自動發出警報、提供威脅緩解建議或是自動觸發緊急應變措施，例如若IAM用戶的權限設定存在風險，Sonaris檢測到就會通報防詐欺團隊以進一步處理，目前包括AWS Shield、VPC、Amazon S3與WAF都會受到Sonaris系統的保護。</p> <p>Chris指出，在過去12個月中，Sonaris已經阻止超過240億次針對S3 Bucket的惡意存取行為，也阻擋了超過2.6兆次試圖掃描EC2主機漏洞的攻擊。</p> <p>在re:Inforce 2024首日主題演講中，Chris也發表多項AWS雲端安全新服務，包括Amazon GuardDuty Malware Protection惡意程式防護首度支援Amazon S3，可掃描檢測S3儲存物件是否潛在病毒、惡意程式，並移至隔離區阻絕；Amazon IAM身分存取管理平臺繼提供多因素認證之後，更進一步支援Fido標準的Passkey無密碼登入作為第二個身分驗證方式，用戶可以透過裝置的身分驗證機制，如Windows Hello臉部辨識或Apple Touch ID等，以達到更便利同時確保安全的無密碼登入。此外，Amazon IAM Analyzer也利用自動推理技術，發掘久未使用的帳戶，提供管理者建議縮減帳戶權限，同時，亦可在部署前分析檢測具有存取關鍵資源或對外存取權限的帳戶，以降低風險。</p> <p>Amazon CloudTrail Lake稽核資料湖，亦首度整合生成式AI技術，提供自然語言查詢介面，讓管理者不需撰寫複雜的SQL查詢語法。而AWS Private CA也支援SCEP通訊協定發布憑證。</p> </div></div></div>
2024/6/12 17:14作者吳其勳https://www.ithome.com.tw/news/163423
微軟發布6月例行更新，修補已被公布細節的DNSSEC零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於6月11日發布本月例行更新（Patch Tuesday），<a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Jun">總共修補49個漏洞</a>，其中有一個零時差漏洞，而引起關注。</p> <p>此為網域名稱系統安全擴充程式（DNSSEC）的設計缺陷漏洞CVE-2023-50868，存在於DNSSEC驗證機制當中，假如DNS解析器使用NSEC3回應請求，攻擊者可藉由要求來自DNSSEC簽章區域的回應，就有機會讓實作DNSSEC驗證機制的解析器耗盡處理器的運算資源，CVSS風險評為7.5分，微軟為Windows Server 2012至2022版，發布相關的修補程式。</p> <p>這個漏洞有幾個特別的地方，首先，這項漏洞CVE編號並非微軟自行登記，而是由資安團體MITRE所為，而且，登記的時間在今年2月13日，距微軟發布修補程式間隔達4個月。通報漏洞的資安研究團隊German National Research Center for Applied Cybersecurity ATHENE於今年3月，發布相關學術論文說明細節。但<a href="https://www.rapid7.com/blog/post/2024/06/11/patch-tuesday-june-2024/">資安業者Rapid7指出</a>，這些研究人員在公布的論文當中，可能淡化了該漏洞的威力，而讓相關機構並未重視如何因應這項漏洞。</p> <p>值得留意的是，該研究團隊也在今年1月公布另一個<a href="https://www.ithome.com.tw/news/161286">名為KeyTrap的DNSSEC漏洞</a>，而受到各界的高度關注，該漏洞被登記為CVE-2023-50387。雖然微軟將這兩項DNSSEC漏洞都歸類為高風險層級，Rapid7的研究人員推測，很有可能微軟認為CVE-2023-50387較為嚴重，因此延後對CVE-2023-50868的處理。</p> <p>除了前述的DNSSEC漏洞，Rapid7、<a href="https://www.zerodayinitiative.com/blog/2024/6/11/the-june-2024-security-update-review">漏洞懸賞專案Zero Day Initiative（ZDI）</a>皆指出，列為重大漏洞的CVE-2024-30080也需留意，這是Microsoft Message Queuing（MSMQ）的遠端程式碼執行（RCE）漏洞，攻擊者可在未經身分驗證的情況下，在啟用MSMQ功能的電腦上提升權限，從而執行任意程式碼，CVSS風險評分達到9.8。</p> <p>Rapid7指出，雖然微軟並未透露進一步細節，但這項漏洞利用的複雜程度並不高，不需要取得權限，而且有許多應用程式（如Exchange）將其列為必要元件，後續情況有待觀察。ZDI則指出，透過這項漏洞可發展出網路蠕蟲程式，而有可能橫向感染其他MSMQ伺服器。</p> </div></div></div>
2024/6/12 16:01作者周峻佑https://www.ithome.com.tw/news/163421
勒索軟體駭客TellYouThePass鎖定近期公布的PHP重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週臺灣資安業者戴夫寇爾針對<a href="https://www.ithome.com.tw/news/163356">他們向PHP通報的重大層級漏洞CVE-2024-4577</a>提出警告，呼籲網站管理者儘速套用新版PHP程式，或是採取緩解措施，由於全球有近八成網站採用PHP，這項漏洞很快就有駭客將其用於攻擊行動。</p> <p>在PHP於6日發布新版軟體修補上述漏洞，隔日Shadowserver基金會就發現<a href="https://x.com/Shadowserver/status/1799053497490698548">密罐陷阱出現漏洞嘗試利用的情況</a>。接著在6月8日，資安業者Imperva發現<a href="https://www.imperva.com/blog/update-cve-2024-4577-quickly-weaponized-to-distribute-tellyouthepass-ransomware/">勒索軟體駭客組織TellYouThePass利用這項漏洞從事攻擊</a>，他們看到對方成功觸發漏洞後，於受害伺服器上執行PHP程式碼，利用名為system的功能進行寄生攻擊，透過執行檔mshta.exe執行攻擊者網頁伺服器上的HTML應用程式檔案。</p> <p>駭客初期於受害主機植入含有惡意VBScript指令碼的HTML應用程式檔案dd3.hta，該指令碼包含一個經過Base64編碼處理後的長字串，解碼後會產生執行檔，並在記憶體內載入、執行，而這個執行檔就是以.NET打造的勒索軟體TellYouThePass程式。</p> <p>一旦此勒索軟體啟動，便會向C2伺服器發送HTTP請求，傳送受害主機的系統資訊，為了迴避偵測，駭客將其偽裝成搜尋CSS樣式表資源的請求。</p> <p>最終該勒索軟體會列出所有資料夾、終止特定的處理程序、產生加密金鑰並加密檔案，並在網站根目錄留下勒索訊息READ_ME10.html。</p> <p>有受害者在資安新聞網站Bleeping Computer的論壇指出，<a href="https://www.bleepingcomputer.com/forums/t/798060/tellyouthepass-ransomware-locked;-read-me9html-support-topic/">對方向他勒索0.1個比特幣</a>，相當於6,742美元（新臺幣218,129元）。</p> <p>值得留意的是，仍有許多網站尚未修補這項漏洞而可能曝險。資安業者Censys指出，他們發現<a href="https://censys.com/cve-2024-4577/">約有458,800個存在漏洞的PHP實體</a>；資安業者Wiz表示，<a href="https://www.wiz.io/blog/critical-rce-php-cgi-vulnerability">約有34%雲端環境存在含有漏洞的PHP系統</a>。</p> </div></div></div>
2024/6/12 12:19作者周峻佑https://www.ithome.com.tw/news/163417
Apple Vision Pro本月要鋪貨到其它市場了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>於今年2月2日正式於美國上市的蘋果空間運算設備Apple Vision Pro，<a href="https://www.apple.com/newsroom/2024/06/apple-vision-pro-arrives-in-new-countries-and-regions-beginning-june-28/" target="_blank">即將於本月開始</a>鋪貨至中國、香港、日本與新加坡，下個月開始鋪貨至澳洲、加拿大、法國、德國與英國，前者將在6月13日開放預訂，6月28日上架，後者則會在6月28日開放預訂，7月12日上架。<a href="https://www.apple.com/newsroom/2024/06/visionos-2-brings-new-spatial-computing-experiences-to-apple-vision-pro/" target="_blank">蘋果同時宣布</a>，將在今年秋天釋出可免費升級的visionOS 2。</p> <p>Apple Vision Pro是蘋果的首款混合實境（MR）產品，售價高達3,499美元，儘管測試人員對它的能力<a href="https://www.ithome.com.tw/news/157260" target="_blank">感到驚豔</a>，卻遭Meta創辦人暨執行長祖克柏（Mark Zuckerberg）批評它只是個配備了更高解析度的顯示器，利用所有現有技術來推動，卻並沒有太多突破性的產品。且在產品正式問世後，用戶也批評它的舒適度，也有人說它的最佳用途是瀏覽照片及看電影，並不值這個價格。蘋果分析師<a href="https://www.ithome.com.tw/news/162500" target="_blank">郭明錤亦曾說</a>蘋果已將Apple Vision Pro今年的出貨量下調至40~50萬臺。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0611-Apple%20Vision%20Pro-600.png" style="width: 600px;" /></p> <p>迄今蘋果未曾公布Apple Vision Pro的出貨量，但說App Store現在已擁有超過2,000款專為該裝置所設計的程式，並有逾150萬款與之相容的iOS和iPadOS程式，還有更多的Mac應用程式可藉由Mac Virtual Display功能於Apple Vision Pro上使用。</p> <p>此外，蘋果亦於本周開始預覽Apple Vision Pro作業系統visionOS 2，新版本將讓使用者可直接利用自己的2D照片來轉換成空間照片，並提供新的手勢功能以快速存取Home View與控制中心，新增對滑鼠及實體Magic Keyboard鍵盤的支援，也能保留訪客的眼睛與手部資料30天。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0611-WWDC-Apple-visionOS.png" style="width: 600px;" /></p> <p>除了一般使用者的應用程式之外，企業開發人員也打造了各種visionOS程式，從培訓、模擬、專案設計到管理等。蘋果表示，visionOS 2中的條碼掃描或物件追蹤等新工具，將讓這些開發人員得以將程式能力擴展到醫療照護、製造、航太、汽車與其它領域。</p> <p>visionOS 2正式版預計於今年秋天釋出，屆時將供所有用戶免費更新。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2024/6/12 15:00作者陳曉莉https://www.ithome.com.tw/news/163390
馬斯克撤回對OpenAI的訴訟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，曾共同創辦OpenAI的馬斯克（Elon Musk）已於本周二（6/11）撤回對OpenAI，以及OpenAI共同創辦人暨執行長Sam Altman<a href="https://www.ithome.com.tw/news/161593" target="_blank">的訴訟</a>。</p> <p>當時馬斯克指控OpenAI與Altman違反創立時要開源及造福全人類的承諾，轉向積極獲利的道路。</p> <p>根據<a href="https://www.cnbc.com/2024/06/11/elon-musk-drops-suit-against-openai-and-sam-altman.html" target="_blank">CNBC</a>的報導，專家認為此案建立在一個有問題的基礎上，因為該案的核心並無正式的書面協議。此外，法官原本要在今日（6/12）舉行聽證會，且據稱已打算駁回此案。</p> <p>總之，這或許是馬斯克企圖行銷自己或自家AI公司xAI的手法，然而，OpenAI先前即曾公開<a href="https://openai.com/index/openai-elon-musk/" target="_blank">馬斯克的信件</a>，當時馬斯克自己也說OpenAI需要更龐大的資金才能與DeepMind競爭，也同意有時不分享科學是正確的選擇，還希望OpenAI能與特斯拉合併。此外，馬斯克也未能履行自己對OpenAI投入資金的承諾。</p> <p>從OpenAI的聲明來看，當初該公司與馬斯克之間所達到的最大共識，就是建置通用人工智慧的所需要的資源，遠比大家想像的要多上許多。</p> </div></div></div>
2024/6/12 12:19作者陳曉莉https://www.ithome.com.tw/news/163418
輝達超高密度GPU整櫃型AI伺服器系統亮相，9家廠商在Computex展出GB200 NVL72
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>搶攻爆量雲端AI應用需求商機，Nvidia持續推出打破市場慣用規格的解決方案！當其他廠商開始重視GPU、積極推出GPU伺服器時，他們早已開始打造DGX這類整合應用伺服器設備，而在自家GPU、GPU應用設備不斷推陳出新之際，Nvidia也發展出整櫃型解決方案DGX BasePOD、DGX SuperPOD，以及與四大公有雲服務業者合作推出DGX Cloud。</p> <p>這兩年以來，Nvidia發表結合自家GPU與自研Arm架構CPU的超級晶片GH200，以創新的方式克服GPU記憶體容量供不應求的困境，開創AI加速伺服器的新局。例如，在2023年5月底舉行的台北國際電腦展（Computex）期間，Nvidia與多家伺服器廠商合作推出搭配GH200的產品，並且基於這款融合式加速晶片發表新型態的多機櫃AI超級電腦系統DGX GH200，到了2023年底，他們也與公有雲服務龍頭AWS共同宣布，將引進Nvidia發展的新型多節點整合機櫃系統GH200 NVL32。</p> <p>而在今年6月初登場的2024台北國際電腦展，多達10家廠商展出Nvidia最新發表的AI整櫃伺服器系統GB200 NVL72，堪稱2024年上半全球最大規模的AI硬體軍火展示。</p> <p>以Computex活動現場而言，展出Nvidia這套系統的廠商有哪些？絕大部分都集中在南港展覽館1館，例如，1樓有技嘉科技（Gigabyte），3樓有緯創集團（Wistron）與緯穎科技（Wiwynn）、廣達集團的雲達科技（QCT），4樓有美超微（Supermicro）、華碩（Asus）、英業達（Inventec）、華擎科技的子公司永擎電子（ASRock Rack）、富士康科技集團的鴻佰科技（Ingrasys）；和碩聯合科技（Pegatron）則是在臺北市北投區的公司總部，展出Nvidia GB200 NVL72。</p> <p>之所以能在今年Computex期間，促成如此盛大的產品展示，最主要的原因可能在於，臺灣本身就是全球伺服器研發、設計與生產的重鎮，而在這些廠商與Nvidia近期密切合作之下，得以在產地就近展示最新研發製造的Nvidia專屬超級電腦伺服器系統。</p> <h3><span style="color:#0000FF;"><strong>Nvidia發表資料中心GPU架構Blackwell，導入此架構的超級晶片先出場，帶出新一代整櫃型AI加速伺服器系統產品上陣</strong></span></h3> <p>在今年3月舉行的GTC大會，Nvidia發表新一代GPU架構Blackwell，也特別標榜結合基於此架構而成的GPU晶片B200與Grace CPU的GB200 Grace Blackwell Superchip，以及大量採用這顆超級晶片的多節點整櫃系統GB200 NVL72，當時他們預告AWS、Google Cloud、Azure、Oracle Cloud Infrastructure這四大公有雲業者，將是第一批提供搭配Blackwell技術運算執行個體服務的廠商，除了微軟，其他三大公有雲均提到將導入GB200 NVL72系統。</p> <p>而在6月初登場的台北國際電腦展前夕，Nvidia共同創辦人暨執行長黃仁勳率先發表主題演講，當中透過一段動畫影片秀出GB200 NVL72的系統結構。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/t_jiScDhf3M?si=ImbX6CU_flHcQW6S" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>以單臺節點而言，依照由小而大的組成順序來看，分別是：將兩顆裸晶統合為單顆GPU的Blackwell，集結兩顆Blackwell與單顆Grace處理器的GB200 Grace Blackwell Superchip，搭配2張GB200超級晶片、ConnectX-800G InfiniBand SuperNIC網路卡、BlueField-3資料處理器的GB200 Compute Node（單臺節點有4顆Blackwell與2顆Grace）。</p> <p>就單臺機櫃而言，GB200 NVL72包含18臺GB200運算節點組成的GB200 Compute Tray（採用36張GB200 Grace Blackwell Superchip，提供72顆Blackwell與36顆Grace），9臺各自搭配兩顆NVLink Switch晶片組成的交換器組成的NVLink Switch System。</p> <p>若需建置多櫃型系統，搭配多臺GB200 NVL72之餘，可結合以多臺Quantum-X800 800G InfiniBand Switch交換器組成的機櫃進行串聯，組成GB200 NVL72 Compute Rack，再以多臺這樣的運算機櫃系統，建置一座完整的資料中心，提供3.2萬顆Blackwell GPU，成為促成產業新革命的AI工廠。</p> <h3><span style="color:#0000FF;"><strong>部分廠商公布GB200 NVL72系統組成機型與技術規格</strong></span></h3> <p>在2024台北國際電腦展期間公開亮相的GB200 NVL72當中，外型大同小異，多數廠商現場展出的是單櫃機型，例如，緯穎、永擎、技嘉、美超微、英業達，大多搭配1U尺寸的運算節點伺服器，其中，技嘉、英業達、和碩均展出搭配2U尺寸的運算節點伺服器，廠商們將這樣的配置稱為GB200 NVL36。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Wiwynn-GB200 NVL72-1-FB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Wiwynn-GB200%20NVL72-1-FB.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Web-2024-06-07-ASRock Rack GB200 NVL72-P1430159-攝影-李宗翰.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-2024-06-07-ASRock%20Rack%20GB200%20NVL72-P1430159-%E6%94%9D%E5%BD%B1-%E6%9D%8E%E5%AE%97%E7%BF%B0.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Web-Gigabyte GB200 NVL72-447796672_1002632334567391_6779329666239324629_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-Gigabyte%20GB200%20NVL72-447796672_1002632334567391_6779329666239324629_n.jpg" style="width: 198px;" /></a></p> <p>以英業達為例，他們展示整櫃式的GB200 NVL72之餘，旁邊擺設代號為Artemis的1U伺服器與2U伺服器，當中均配備2張GB200 Grace Blackwell Superchip、ConnectX-7 400Gb/s InfiniBand網路卡，以及BlueField-3 400Gb/s資料處理器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Web-Inventec GB200 NVL72-Computex-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-Inventec%20GB200%20NVL72-Computex-2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Web-Inventec GB200 NVL72-P1430225.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-Inventec%20GB200%20NVL72-P1430225.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Web-Inventec GB200 NVL72-P1430233.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-Inventec%20GB200%20NVL72-P1430233.jpg" style="width: 148px;" /></a></p> <p>其他廠商提供延伸搭配方式，像是雲達、華碩、鴻佰展出的產品，是一座伺服器機櫃搭配一座稱為側車（Side Car）的冷卻機櫃（編按：所謂的側車是一種液態冷卻機櫃搭配伺服器機櫃的部署形式，應該是借用兩輪機車側邊加裝附有單輪乘坐設備的比喻）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-%E9%B4%BB%E4%BD%B0GB200%20NVL72-DSC00646_1717477976.jpg" style="width: 600px;" /></p> <p>以雲達為例，他們與<a href="https://www.liteon.com/zh-tw/news/press-center/content/qct-nvidia-gb200-nvl72-powersolution">光寶科技（LiteOn）</a>展示搭載Nvidia GB200 NVL72的AI伺服器機櫃，在伺服器方面，雲達揭露當中搭配的伺服器有兩款機型，它們均配備雲達的直達晶片水冷技術（direct-to-chip liquid cooling）。</p> <p>其中一款伺服器，是2U機型QuantaGrid D75B-2U，在Nvidia GB200 NVL72的系統建置框架之下，可透過兩座機櫃容納72臺這樣的設備。另一款是現場展示的1U機型QuantaGrid D75B-1U，在Nvidia GB200 NVL72的系統建置框架之下，可透過單座機櫃容納72臺這樣的設備。D75B-1U本身搭載2張GB200 Grace Blackwell Superchip，雲達在此標明CPU可存取480 GB容量的LPDDR5X記憶體，GPU本身配備144GB容量HBM3e高頻寬記憶體，均搭配冷水板（Cold Plate）形式的液態冷卻配件；儲存裝置方面，這臺1U伺服器可容納8臺E1.S厚度15公釐外形的PCIe固態硬碟，以及1張M.2 2280外形的PCIe固態硬碟；在PCIe裝置擴充方面，D75B-1U可容納2張雙寬全高全長尺寸的介面卡，以及2張半高半長尺寸的介面卡，均支援PCIe 5.0 x16。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Web2-2024-06-06-QCT%20GB200%20NVL72-P1420902.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Web-QCT D75B-1U-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-QCT%20D75B-1U-1.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Web-QCT D75B-1U-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-QCT%20D75B-1U-2.jpg" style="width: 98px;" /></a></p> <p>至於機櫃與電源供應的部分，是由<a href="https://www.liteon.com/zh-tw/news/press-center/content/qct-nvidia-gb200-nvl72-powersolution">光寶自主設計與製造</a>，並且是遵循Nvidia最新提出的MGX機櫃規範的產品，而在Computex現場展示的Nvidia GB200 NVL72機櫃頂端，也特別標示<a href="https://www.youtube.com/watch?v=xAGIFITTzgU&ab_channel=QCT">QoolRack</a>作為獨立解決方案時，可供應120 KW電力。</p> <p>華碩則展出配備Nvidia GB200 NVL72系統的<a href="https://www.asus.com/event/nvidiagb200nvl72/">Asus ESC AI POD</a>，以及矗立在旁的液體至氣體熱交換器機櫃（Liquid-to-Air Heat Exchanger），其中，Asus ESC AI POD搭配的伺服器機型為ESC NM2N721-E1，特別的是，他們在這個展示用的機櫃套件側邊掛上一整面LED看板，持續播放動畫影片介紹Asus ESC AI POD的內部構造、電力供應配置與流經的元件，以及18臺運算槽的統合，Grace CPU、Blackwell GPU與NVLink Switch的互連關係。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-Asus%20GB200%20NVL72-P1430112.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Web Asus GB200 NVL72-P1430144.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web%20Asus%20GB200%20NVL72-P1430144.jpg" style="width: 298px;" /></a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/YF2FNYop8ZM?si=h-SIn_tdj8Z2Fo63" title="YouTube video player" width="560px"></iframe></div> <p>針對Nvidia GB200 NVL72系統的運算槽，華碩也在Computex現場展示機箱內部設計。我們可看到裡面配備2張GB200 Grace Blackwell Superchip，上面均覆蓋冷水板，而在機箱中間有個他們設計的電源配送板（Power Distribution Board，PDB），可將48伏特直流電轉換為12伏特直流電，供應Blackwell GPU使用；除此之外，這個運算槽還搭配可安裝E1.S外形固態硬碟的儲存模組，以及兩張BlueField-3資料處理器系列的雙寬全高半長款式B3240。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Asus%20ESC%20AI%20POD-Compute%20Tray%20francesco%20sinopoli%20Linkedin.jpg" style="width: 600px;" /></p> </div></div></div>
2024/6/12 12:31作者李宗翰https://www.ithome.com.tw/news/163407
【臺灣資安大會直擊】國內加密貨幣交易所XREX打造威脅引擎，快一步揪出詐騙、洗錢帳戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在加密貨幣交易所中，用戶隨時都能進行交易，這樣的特性雖然帶來便利，卻也被詐騙組織用來快速轉移非法資金。除了設置基礎安全機制增加防禦，交易所主要透過KYC和鏈上分析工具，來確認用戶真實性和分析資金流向，抵禦詐欺洗錢犯罪。但是，隨著詐騙和洗錢手法不斷升級，既有工具的功能有限，難以因應趨勢變化，成為交易所偵測詐騙和洗錢行為的一大挑戰。</p> <h3>開發威脅引擎，快速辨識可疑帳戶</h3> <p>在臺灣資安大會上，國內加密貨幣交易所XREX分享自家的風控機制。他們開發了一套威脅引擎，整合了用戶交易前、交易中、和交易後的資訊，並提供風險評估，協助內部團隊更快速針對犯罪行為做出應變。</p> <p>這款威脅引擎包含多個模組，能分析KYC、交易行為等資訊，並進行交易監控與性質分析等。引擎在每個階段蒐集的資訊都會分為多個屬性，並針對各別屬性進行風險評估。XREX首席資安工程師詹天豪解釋，當模型偵測到異常活動或明顯犯罪態樣，威脅引擎就會啟動分析，並採取必要控管機制。例如，用戶的IP位址在短時間內出現在不同地區，又或是用戶在交易時，其資金與高風險錢包有互動。</p> <p>最後，威脅引擎會針對多個屬性進行評估，依風險高低將帳戶分為低風險、中風險和高風險三種類型，並產出每日報表，供內部團隊快速辨識可疑帳戶。</p> <h3>情資蒐集：分析現有的詐騙、洗錢模式</h3> <p>除了打造威脅引擎加快預警步調，XREX內部也有金融犯罪調查團隊，負責情資蒐集，追蹤新形態的詐騙、洗錢模式。</p> <p>XREX區塊鏈金融犯罪調查師陳梅慧表示，目前與虛幣投資相關的騙局中，詐騙組織通常會鎖定初次接觸虛擬貨幣的民眾，誘導其開立虛擬貨幣帳戶，將法幣轉換為USDT（泰達幣），再轉帳至詐騙錢包。陳梅慧指出，這類騙局通常涉及多位被害者，當交易所發現平臺上同時出現多位新註冊用戶，並且，這些用戶將法幣轉換為USDT後，皆轉至同一個錢包，就會觸發交易所的風控機制。</p> <p>「但是，犯罪方也有應變措施去突破風控。」陳梅慧解釋，當交易被風控阻擋，詐騙組織會轉而誘導被害人轉往其他路徑，從本地交易所轉至境外交易所帳戶，或是個人錢包，最後再打入詐騙錢包。若這套模式仍舊被風控阻擋，詐騙組織就會引導被害人至實體店面，將資金匯入詐騙錢包。由於實體店面的情蒐能力較弱，較難阻止被害人繼續上當受騙。</p> <p>除了虛擬貨幣投資騙局，許多詐騙組織騙取法幣後，也會透過區塊鏈洗錢，將非法資金轉為虛擬貨幣，最後轉至詐騙錢包。陳梅慧說明，洗錢方通常會在多家本地交易所開設多個人頭帳戶，短時間內多次全額轉入和轉出不法資金。</p> <p>若交易所察覺這類帳戶使用相同IP地址，且資金最終都匯入同一個錢包，就會啟動風控機制。不過，洗錢方也會有應變措施，如同投資詐騙模式，利用境外交易所來規避監控。</p> <h3>建立交易所、銀行和執法單位三方聯防機制至關重要</h3> <p>當交易所進行足夠的情蒐後，要如何實際因應複雜的犯罪模式？陳梅慧認為，交易所、銀行，和執法單位的聯防至關重要，「當我們知道銀行端的用戶是警示戶，就可以快一步攔截資金。」她也期望，未來境外交易所也能加入聯防體系，共同提升加密貨幣交易所產業的防禦力道。</p> <p></p> </div></div></div>
2024/6/12 13:09作者李昀璇https://www.ithome.com.tw/news/163373
甲骨文抓Java盜版擴大稽核對象
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文一月調漲Java授權方案，一些想使用盜版Java軟體的企業要小心了，因為甲骨文開始擴大稽核的企業對象。</p> <p>英國IT媒體<a href="https://www.theregister.com/2024/06/10/fortune_200_oracle_java_audit/?td=rt-3a" target="_blank">The Register引述授權業者報導</a>，甲骨文近日向財星200大企業寄發Java授權稽核的通知信件，也是首度將稽核企業範疇由超大型企業擴大到大型企業。</p> <p><a href="https://www.oracle.com/java/technologies/java-se-subscription-faq.html" target="_blank">甲骨文今年初公布</a>名為Java SE統一訂閱（Java SE Universal Subscription）的授權方案，取代舊式的Java SE桌機版訂閱。兩者差別是，Java SE統一訂閱方案允許用戶將Java授權用於桌機、伺服器和第三方雲平臺。此外，甲骨文支援涵括完整Java環境，包括第三方函式庫及runtime，因此甲骨文也會和第三方業者合作，以提供客戶支援。甲骨文形容，新方案是「簡單、低成本的每月訂閱方案」，可提供24x7服務、20多種語言的Java SE 8桌機版管理、監控和部署功能。</p> <p>根據<a href="https://www.oracle.com/a/ocom/docs/corporate/pricing/java-se-subscription-pricelist-5028356.pdf" target="_blank">Java SE統一訂閱文件</a>，新方案依企業員工人數收費，購買999人以下的授權，每人每月15美元，但單價依人數級距調降。1,000-2,999人每人月費12美元，4萬人到4萬9,999人為每人月費5.25美元。5萬人以上則提供專案價。</p> <p>甲骨文定義的員工為「任何支援內部公司營運的兼職、全職、臨時員工，以及約聘、外包人員」，而不只是使用Java軟體的開發人員。</p> <p>雖然官方說詞宣稱更為划算，但業界評估，企業將面臨高漲的成本。根據顧問公司<a href="https://www.theregister.com/2023/07/24/oracle_java_license_terms/" target="_blank">Gartner的估算</a>，新方案對大型企業可能造成成本翻揚2倍到5倍。</p> <p>一家提供從Java轉移到開源軟體的服務商原本相信，甲骨文只會稽核財星50大（Fortune 50）的超大型企業，應該不會查核財星100大或200大的公司，雖然甲骨文的確會發信給一些員工幾百人的公司，要求說明Java使用狀況。但他們5月開始聽到有更小型的企業收到甲骨文的信件，要求補繳授權費用，顯示由於去年全球通膨影響，企業面臨營運壓力，讓甲骨文等軟體巨擘尋求擴大稽核範圍維持營收。</p> <p>根據甲骨文剛發布的<a href="https://investor.oracle.com/investor-news/news-details/2024/Oracle-Announces-Fiscal-2024-Fourth-Quarter-and-Fiscal-Full-Year-Financial-Results/default.aspx" target="_blank">2024年會計年度第4季財報</a>，上季公司營收143億美元，（以美元計價）年增3%。其中雲端授權和本地授權業務較去年下滑15%。雲端服務及授權支援則成長9%。</p> </div></div></div>
2024/6/12 11:21作者林妍溱https://www.ithome.com.tw/news/163415
亞馬遜宣布在臺首座AWS區域級資料中心，不只100%用再生能源還要投資十億美元支持雲端業務發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>亞馬遜AWS 今天宣布了在臺的最新發展計畫，將在臺灣興建雲端資料中心。這也是 AWS 十年來在臺灣的最大規模投資，同時也是 AWS 在全球公布的第 40 座區域級（Region）雲端資料中心。AWS計畫未來15年在臺投資數十億美元，支持臺灣雲端業務發展。</p> <p>AWS在臺灣的雲端資料中心預計將在2025年正式上線營運。未來，該資料中心將以「Asia Pacific (Taipei)」的區域名稱，提供區域級公有雲服務。</p> <p>AWS在臺北建置的區域資料中心與兩年前在臺灣啟用的Local Zone本地雲端機房相比，不僅規模更大，而且提供全套AWS全套服務，同時也能為臺灣企業就近提供各種低延遲應用的執行，如線上遊戲、AR/VR應用，同時也能配合醫療、金融等監管行業法遵的需求。</p> <p>AWS香港暨台灣總經理王定愷透露，臺灣區域的服務往返延遲時間，有望進一步縮短延10毫秒以下。如果根據亞馬遜WorkSpaces網站的數據，檢測用戶瀏覽器到亞馬遜網路往反時間顯示，比較臺灣本地到AWS東京區域資料中心的往反時間最短，平均約55毫秒，隨著臺灣區域的啟用，預估本地企業使用AWS服務所需往返延遲時間，將減少40毫秒左右。。</p> <p>從資料中心設計來看，AWS表示，這座臺北區域資料中心將是100%再生能源，以符合AWS對於2040年營運淨零碳排的承諾，此外，這座資料中心同樣將由3個可用區域（AZ）組成且彼此相隔，每個AZ之間都具有獨立的電源、冷卻和實體安全性，並透過冗餘、超低延遲網路串連，來實現應用高可用性與高容錯。</p> <p>統計到今年6月12日為止，在AWS官網上公布的全球Region（區域級）雲端資料中心，加上已公布但還未啟用的區域，包括臺灣區域，全球共有40個，其中有7座是正在興建中的新雲端資料中心，</p> <p>AWS近兩年持續擴大其雲端資料中心涵蓋範圍，光是2023年就有4座雲端資料中心興建計劃，去年1月澳洲第2座資料中心計畫（14年45億美元）、3月馬來西亞資料中心（14年60億美元）、8月以色列資料中心（14年72 億美元），以及12月加拿大第二座資料中心（14年179 億美元）。</p> <p>截至今年6月為止，AWS還宣布另外兩座新資料中心計畫，分別是2月墨西哥資料中心（15年50億美元），以及3月沙烏地阿拉伯王國資料中心（53 億美元）最後是今年6月臺灣資料中心。</p> <p>隨著AWS全新雲端資料中心明年初啟用，意謂著臺灣目前三大公雲其中的兩家Google 和AWS都已在臺灣啟用或即將啟用區域級雲端資料中心，微軟在幾年幾也宣布將臺灣雲端資料中心建置計劃，但目前仍建置中，尚未公布啟用時程。隨著三大公雲落地臺灣，臺灣將進到多雲混合雲的競爭時代。</p> <p></p> </div></div></div>
2024/6/12 11:51作者余至浩https://www.ithome.com.tw/news/163410
Raspberry Pi上市首日大漲38%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發樹莓派（Raspberry Pi）單板電腦的Raspberry Pi於本周二（6/11）以每股280便士（2.8英鎊）的價格，登上倫敦證券交易所（London Stock Exchange，LSE），代號為RPI，首日即大漲38%，以385便士作收。不過，這幾天僅供特定投資人進行有條件的交易，要等到本周五（6/14）才開放大眾交易。</p> <p>在2008年創立於英國的Raspberry Pi主要開發低價的單板電腦，價格從數美元到數十美元不等，自成立以來已售出超過6,000萬臺樹莓派，初期的銷售對象為科技愛好者與教育工作者，但隨後受到工業及嵌入式應用的歡迎，現在後者已占全球樹莓派單板電腦銷售額的2/3強。</p> <p>儘管單價便宜，但Raspberry Pi在2021、2022與2023年的營收達到1.41億、1.88億及2.66億英鎊，並分別有1,877萬、2,007萬及3,753萬英鎊的營業利潤。</p> <p>根據彭博社（Bloomberg）<a href="https://finance.yahoo.com/news/british-pc-maker-raspberry-pi-soars-in-london-trading-debut-101125662.html" target="_blank">的分析</a>，Raspberry Pi替倫敦股市注入一股活水，因為它是自遊戲業者Devolver Digital於2021年上市以來，第一家於該股市籌資超過1億美元的科技公司，先前倫敦股市也曾希望創立於英國的Arm在該國上市，但Arm最終<a href="https://www.ithome.com.tw/news/158735" target="_blank">選擇了</a>美國那斯達克（Nasdaq）股市。</p> </div></div></div>
2024/6/12 10:30作者陳曉莉https://www.ithome.com.tw/news/163412
微軟7月終止支援消費者用的GPT開發工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/topic/d1de6c3a-4c7a-4bcd-98ff-2f65f3d23cd1" target="_blank">微軟本周宣布</a>，將從7月10日終止支援個人使用的Copilot Pro方案的Copilot GPTs，並且關閉GPT Builder開發工具。</p> <p>GPT Builder是一項AI開發工具，可讓特別是開發人員以文字下指令開發出具備專門領域知識和用途的Copilot GPTs，像是購物網站能自建一個根據消費者菜單建議購物清單的聊天機器人，類似OpenAI的GPTs。三月間微軟將GPT Builder<a href="https://www.ithome.com.tw/news/161744" target="_blank">提供給</a>Copilot Pro用戶，後者則是設計給個人用戶的開發方案，月費20美元。</p> <p>但新聞網站<a href="https://www.windowscentral.com/software-apps/copilot-pros-gpt-builder-bites-the-microsoft-graveyard-dust-as-the-company-prioritizes-refinement-of-core-experiences" target="_blank">Windows Central</a>報導，微軟近日通知，將從7月10日起，終止支援這項服務。微軟也會從7月10日到14日，刪除包括微軟和所有客戶建的GPTs及相關GPT資料。</p> <p>微軟解釋，公司一直持續評估消費性Copilot的延伸可能，排定產品核心功能優先順序。為此微軟計畫把GPTs聚焦在商務和企業應用情境，因而決定終止消費者Copilot GPTs服務。</p> <p>由於下個月微軟就會將所有Copilot Pro用戶的GPT和資料刪除，微軟呼籲用戶採取行動，像是儲存開發指引。用戶可以以編輯模型開啟GPT，找到「configure」分頁，將指引複製並儲存於其他地方，作為在其他平臺上重建GPT的參考。</p> <p>如果用戶認為再也沒有理由使用Copilot Pro，微軟也<a href="https://support.microsoft.com/en-us/account-billing/cancel-a-copilot-pro-subscription-ec3698b0-cdac-4f50-a4a6-c998a02960f1" target="_blank">提供了</a>取消訂閱的入口網頁。</p> </div></div></div>
2024/6/12 09:25作者林妍溱https://www.ithome.com.tw/news/163411
C++熱度漲，TIOBE Index排名達歷史新高第2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>已有約40年歷史的C++，這個月在<a href="https://www.tiobe.com/tiobe-index/">TIOBE Index排名</a>來到第2名，這不僅是C++有史以來排名最高的一次，另外也是C語言有史以來名次最低的一次，跌落至第3名。C++的發明，一開始被當作C語言的強化版，且因為擁有類別（Classes）也被稱為C語言的物件導向版。</p> <p>C++主要優勢在於其效能和可擴展性，被廣泛應用在嵌入式系統、遊戲開發和金融交易軟體領域。從2011年第3個C++標準發布以來，國際標準組織維持每3年更新一次C++標準，TIOBE執行長Paul Jansen認為，儘管大多數開發者無法跟上3年一次的更新腳步，但這種策略的確成功讓C++持續進步脫胎換骨。</p> <p>有趣的是，儘管各方都呼籲要少用C++，C++的受歡迎程度卻在TIOBE Index排名上升。微軟Azure技術長Mark Russinovich曾在2022年呼籲考量安全性和可靠性，開發者應該要放棄C/C++改用Rust。同一年，Google也指出，Android記憶體安全漏洞數量大幅下降的關鍵，正是將Rust作為C/C++程式碼的替代方案。</p> <p>今年2月，美國白宮發布的報告中呼籲科技界應主動減少網路攻擊面，並在軟體漏洞方面，開發人員應該放棄C/C++，改用記憶體安全程式語言，以提升軟體安全性。不過，C++之父Bjarne Stroustrup則回應白宮，認為拜登政府不該忽視C++一直以來對安全性所做的努力。整體來說，儘管C++面臨記憶體安全方面的考驗，但是在TIOBE Index排名上升，表示其在開發者社群中持續受到重視與使用。</p> <p>除了C++，6月TIOBE Index排名的亮點還有首次達到排名第7的Go，以及排名歷史新高的Rust，達到了第17名。</p> </div></div></div>
2024/6/12 08:42作者李建興https://www.ithome.com.tw/news/163400
蘋果官方證實iPhone提供最少5年軟體支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應英國一項新法，蘋果官方首次明文公布對iPhone至少提供5年的軟體技術支援。</p> <p>蘋果是因應英國產品安全和電信基礎架構法（Product Security and Telecommunications Infrastructure，PSTI）而向官方提供資訊。今年4月29日<a href="https://www.gov.uk/government/publications/the-uk-product-security-and-telecommunications-infrastructure-product-security-regime" target="_blank">正式上路</a>的PSTI為安全法規，規範在英國生產或輸入、在當地銷售的連網裝置。其要求包括消費者連網產品，如智能電視、網路連接相機和揚聲器，必須對抗網路攻擊有更高的安全性，以保護個人隱私和安全、禁止使用單一通用之預設密碼、供應商應具備漏洞揭露政策，並向客戶公開正採取何種防禦及處理漏洞措施等。</p> <p>蘋果在PSTI法之下也<a href="https://regulatoryinfo.apple.com/cwt/api/ext/file?fileId=securityTelecommunication%2FiPhone%2015%20Pro%20Max%20%28Model%20A3106%29_V0.pdf" target="_blank">提供iPhone 15 Pro Max支援文件</a>。文件說明，iPhone 15 Pro Max最初提供日為2023年9月22日，而預定的支援期為最初提供日以後的最少5年。</p> <p>《<a href="https://www.androidauthority.com/iphone-software-support-commitment-3449135/" target="_blank">Android Authority</a>》說明，這是蘋果首次明文公布iPhone的軟體技術支援期限。在此之前，蘋果從來沒有正式說明此事。</p> <p>相較之下，不論是Google Pixel或三星Galaxy系列，或是其他Android手機供應商都會明確公布軟體支援期限。Google對Pixel 6只提供3年的作業系統更新及5年的安全更新。不過，去年秋天推出<a href="https://www.ithome.com.tw/news/159141" target="_blank">Pixel 8的支援期限</a>一舉延長到7年。</p> <p>雖然蘋果明訂僅提供最少5年的軟體支援，但《Android Authority》說明，一般而言，蘋果實際支援應該會超過這段年限，也有iPhone在推出6年或更久以後仍能接獲安全更新。事實上，一如微軟會在發現重大安全漏洞時，發布例外更新，修補已不再支援的消費者或伺服器版本Windows，像是Windows XP、Vista、Windows 2000等，蘋果在安全專家揭露一些重大漏洞時，也會釋出例外安全更新來修補它已不支援的舊款iPhone。</p> </div></div></div>
2024/6/12 04:00作者林妍溱https://www.ithome.com.tw/news/163386
【2024臺灣資安年鑑｜資安十年特輯】社群發展要有意識進行傳承，更應提供舞臺並讓參與者有收穫
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_shi_nian_-weng_hao_zheng_-960-jpg-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安社群在臺灣資安產業的發展過程中，扮演重要的關鍵角色，臺灣駭客協會理事長、也是資安公司戴夫寇爾執行長翁浩正表示，早期資安社群的領導者，因為對資安有高度熱情並具備理想性，透過分享知識與組織活動為目標，成功凝聚志同道合的人。他說，這些社群帶頭者的領導和努力，也為資安社群的形成，打下堅實的基礎。</p> <p>資安社群擁有獨特的文化，例如各種次文化和迷因梗圖等，翁浩正認為，這些文化元素為社群的參與者，提供歸屬感和向心力。此外，定期舉辦的活動也吸引了許多外界的人參與和投入。</p> <p>許多資安社群都仰賴志願參與的義工，組織和舉辦活動，促進交流和互動，還提高參與者的資安技術水平和認識。但是，近年來，不僅是資安社群，許多社群都出現萎縮現象，翁浩正認為，主要是疫情和人們對線上活動的偏好，開始有許多社群的實體聚會改為線上，參與人數也呈現下降趨勢。</p> <p>隨著時間推移，社群成員結構發生變化。早期願意花時間投入社群活動的成員減少，新一代成員更注重生活和工作平衡，對社群的投入也相應減少。</p> <p>為了保持社群的發展和存續，翁浩正也意識到，社群的領導者必須開始進行有意識的傳承和管理，但是，制度化的管理方式雖然可以幫助管理社群，社群成員不一定認同這種管理方式。</p> <p>臺灣的資安社群在過去十年取得可喜的成就，但也面臨一些挑戰，他表示，藉由社群領導者和成員的共同努力，臺灣的資安社群將繼續發展壯大，並為臺灣資安產業做出更大貢獻。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E7%BF%81%E6%B5%A9%E6%AD%A3-600-1-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>臺灣資安社群的傳承和持續是最大挑戰</strong></span></p> <p>首先，翁浩正表示，我們需要認知到，社群的參與者對資安的熱情是存在的，但也面臨歸屬感不足的問題。過去如HITCON或是TDOH等，提供讓資安愛好者聚集的平臺，但隨著時間推移，社群的經營目前遇到困難。</p> <p>最主要的挑戰是其實就是社群的傳承和持續。翁浩正坦言，社群的發展往往依賴於帶頭者的領導和激勵，但隨著時間的流逝，後續新的領導者難以順利接棒，社群的傳承變得困難。</p> <p>因為缺乏持續的領導和組織，使得社群的活力逐漸下降。他認為，若想要維持社群的活力，定期的聚會是必不可少，但如何吸引新成員的參與，並讓社群形成凝聚力，是需克服的難題。</p> <p>再者，隨著網路學習管道的增加，他觀察到，有許多人更傾向於通過線上途徑學習資安知識，而不是參加實體社群活動。這使得實體社群活動的參與人數減少，社群的凝聚力受到影響。</p> <p>第三，缺乏好的、有凝聚力的平臺，使資安社群成員難建立歸屬感，他說，因為沒有吸引人、激勵人、讓人長期參與的平臺，也使社群發展受限。</p> <p>臺灣的資安社群正面臨一些挑戰，但同時也有應對之策。翁浩正表示，社群的領導者應該開始注重「有意識的傳承」，提供機會給新成員參與組織和活動，鼓勵他們發揮創造力和領導能力，這都有助於社群的持續發展。</p> <p>他認為，定期舉辦各種活動如讀書會、研討會，能提供交流學習的平臺，有助於增加社群凝聚力和吸引力。</p> <p><span style="font-size:28px;"><strong>社群對臺灣資安產業的貢獻</strong></span></p> <p>透過資安社群的參與和活動，不僅加強資安專業人士之間的交流與合作，也提升整個產業的水準和競爭力。</p> <p>翁浩正表示，資安社群通常被視為學習型組織，這意味著他們對於最新的資安威脅和技術變化，有著敏銳洞察力。相較之下，許多企業和資安公司往往專注於解決眼前遇到的資安問題，缺乏對未來趨勢的研究和預測能力。資安社群通常能夠更早發現新的資安威脅，反應更為迅速。</p> <p>他表示，資安社群的核心是技術交流和知識分享，在這樣的環境中，專業人士可以分享他們的經驗和見解，共同探討資安領域的挑戰和解決方案；而透過這種開放式的溝通和合作，資安專業人士也能夠獲得更多的學習機會，提高自身的技術水準。</p> <p>因為資安社群不僅關注當前的資安問題，還致力於進行前瞻性的資安研究。翁浩正指出，通過對未來資安趨勢的探索和分析，資安社群能夠提前預見可能出現的威脅，可以為產業的發展提供有價值的建議和方向。「這種前瞻性的研究對於資安產業的成長和創新至關重要。」他說。</p> <p>他說：「資安社群也是人才培育和交流的重要平臺。」新進人員藉由參與各種大大小小的活動，就有機會與行業內的資深人士交流，學習經驗和技術。這種交流不僅促進了個人的成長，也有助於培育更多的資安專業人才，為產業的未來發展注入新的活力和動力。</p> <p><span style="font-size:28px;"><strong>更多社群參與者，傾向參加網路活動勝於實體聚會</strong></span></p> <p>資安社群在過去和現在的差異則是不斷演進的過程，翁浩正表示，不管是從參與人數的變化，到參與方式的轉變，社群的本質和影響力也不斷改變。在這個過程中，最需要抱持的心態就是：不斷學習和調整，才能夠應對新的挑戰和機遇。</p> <p>過去，參與社群活動的人數比現在多，因為網路資源相對較少，當時，人們更習慣透過實體聚會和活動建立社群。然而，隨著網路的普及和教育資源的增加，有越來越多人更傾向於通過線上平臺來參與社群活動，例如，在社交媒體加入群組或討論區，參與網路論壇或線上會議等。這種參與方式的轉變反映人們對於便利性和彈性的需求，同時反映科技在社會生活中日益重要的作用。這也導致實體聚會的參與人數直線下降。儘管如此，社群仍然是人們聚集，分享興趣和經驗的重要場所。</p> <p>網路教學資源的增加，也為人們提供了更多學習的機會，但同時帶來了更多的競爭和壓力。在這種情況下，翁浩正表示，社群的角色就變得更加重要，因為社群可以提供支持和共享資源的平臺，協助社群成員應對各種挑戰。</p> <p>在社群的演進過程中，我們需要不斷學習和調整。過去的經驗和教訓，可以幫助我們更好地應對當前和未來的挑戰，同時也應該保持開放的態度，不斷嘗試新的方法和工具。他說：「關鍵在於『要持續做對的事情』，」這意味著，社群運作需要不斷評估和調整參與的策略和行動，以確保社群在變化的環境中，仍保持活躍和有影響力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E7%BF%81%E6%B5%A9%E6%AD%A3-600-2-JPG.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><span style="font-size:28px;"><strong>創業者從社群找尋三觀相符的工作伙伴</strong></span></p> <p>「每個人資安創業過程，都是獨一無二的，無法被複製。」翁浩正說道，但他也肯定，資安社群與資安創業之間，存在微妙而重要的連結。這種連結不僅有助於促進資安產業的發展，還可以為創業者提供豐富的人才和支持。</p> <p>首先，他表示，通過參與社群活動，創業者可以找到志同道合的夥伴和專業人才，因為資安社群的成員，通常都是對資安技術充滿熱情的人，具有豐富的專業知識和經驗，是許多資安創業團隊中，不可或缺的一部分。</p> <p>此外，社群活動也是促進交流和合作的平臺，創業者可以通過與其他成員的互動，得到寶貴的建議和回饋，都有助於自身的成長和發展。</p> <p>翁浩正肯定，資安社群活動也是資安創業者，可以了解潛在合作夥伴的一個重要途徑。通過參與演講、競賽等活動，創業者可以觀察社群成員的品性、能力，以及對資安技術的熱情程度等，進一步篩選合適的合作夥伴，這有助於建立具有共同目標和價值觀的團隊，也能提高創業的成功率和效率。</p> <p>資安社群通過舉辦各類活動，分享最新的資安技術和趨勢，為行業注入新的活力和創新力；社群也為資安行業人才的培養和成長，提供良好的平臺，吸引了越來越多的人投身資安領域，推動了整個行業的發展和壯大。</p> <p>社群參與者除了可以找到志同道合夥伴，也可以找到增加工作履歷的實習機會，透過積累資安實踐的經驗，擴展人脈關係，可以在行業中建立聲譽和影響力，這對社群成員未來就業或創業，都可奠定良好基礎。</p> <p>然而，資安社群與資安創業之間的連結，也可能帶來一些衝擊。首先，社群活動需要投入大量的時間和精力，這可能影響創業者的日常工作和生活。此外，社群成員的品質和能力也不盡相同，有些人可能只是單純參加活動，而沒有真正的貢獻和價值。因此，創業者需要謹慎評估社群活動的利弊，選擇適合自己的參與方式和節奏。</p> <p><span style="font-size:28px;"><strong>制定資安法是轉捩點，可借鑑CSF和CDM框架</strong></span></p> <p>政府在臺灣資安發展扮演引領和推動的重要角色。二十年前，政府成立行政院資通安全會報，這是重要的里程碑，也為後續成立技服中心奠基。</p> <p>翁浩正表示，2018年資安法的制定更是另一個重要的里程碑，這使得資安議題從nice to have變成must to have，從而提升資安的重要性和緊迫性。政府的行動和政策制定，影響著企業、供應鏈和媒體各界對資安的認知和行動，也將資安議題提升到了更高的層面。</p> <p>資安是需要全社會共同參與的問題，需要從上而下的推動和引導才能取得成功。所以，在推動資安發展的過程中，政府和領導者的積極參與和呼籲，不僅能有效引導整個社會的行動和努力方向，對於資安的重要性和必要性的認知，也需要從領導者和政府開始，逐漸滲透到整個社會。</p> <p>學習和借鑑國際經驗和框架，對於資安的發展是很重要的。翁浩正舉例，美國NIST的網路安全框架CSF（Cyber Security Framework），以及美國銀行前首席安全科學家Sounil Yu提出網路防禦矩陣CDM（Cyber Defense Matrix）安全模型，都是成熟且經過試煉的資安框架，可做參考和借鑒。</p> <p>他認為，透過運用這些框架和最佳實踐，臺灣可以更好地了解現況，制定適合自己的資安策略和措施，從而提升資安水準和競爭力。</p> <p>事實上，此刻被形容為VUCA時代，即具有異變性（Volatility）、不確定性（Uncertainty）、複雜性（Complexity）和模糊性（Ambiguity）。翁浩正認為，資安威脅的特性在這樣的背景下，更顯得多變和複雜；而攻擊型態和環境複雜且未知，都會讓人慌張、覺得做什麼都不夠。但他說，我們不應被這些不確定性困擾，而是要積極應對，建立資安韌性，使我們能夠應對各種挑戰。</p> <p><span style="font-size:28px;"><strong>做為資安革命者，對內改變規則且對外尋求創新</strong></span></p> <p>資安對臺灣的重要性不言而喻，隨著資訊科技的發展，不僅是個人和企業，整個國家也面臨前所未有的挑戰。在這樣的背景下，我們要以革命者姿態，積極參與並推動改革，確保資安。</p> <p>對於資安問題，翁浩正表示，我們應將自己視為革命者，積極參與並改變現有的狀況。這也意味著，必須在規則內參與，並尋求從內部進行改革。因為我們這樣，不能被固有的思維框架所束縛，而應該敢於挑戰現狀，尋求創新和改進。只有這樣，才能在資安領域中保持競爭力，應對不斷變化的威脅。</p> <p>回顧過去的十年，臺灣在資安領域取得了顯著的進步，無論是在技術研發、政策制定還是資安意識的提高方面，都取得了令人矚目的成就。這得益於政府、企業和個人的共同努力，以及整個社會對資安重要性的認識和提高。在未來，我們應該繼續保持這種努力，持續把資源給願意多貢獻、多努力的參與者，共同推動資安事業的發展。</p> <p>儘管臺灣在資安取得進步，但威脅仍然存在，而且，資安問題永遠都在，尤其在國家層面上的資安威脅，是不會消失的，我們需要做的不是根據特定的敵人去應對，而是要把原本該做的事情做好，建立強大的資安體系，提高自身資安水準。<strong>【本文採訪日期為2024年4月】</strong></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 236px;" /></span></span></strong></a></p> </div></div></div>
2024/6/12 00:00作者黃彥棻https://www.ithome.com.tw/article/163137
零售IT雙周報第36期：批發商也做零售媒體聯播網，聯合天然食品開設橫跨30,000間零售通路的RMN
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0526~0608)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#批發商RMN #供應商廣告 #跨零售通路RMN</span></span></strong><br /> <strong>批發商也做RMN，聯合天然食品要把RMN做進30,000間零售通路</strong></p> <p>RMN興起後，開始有廣告商串聯起跨零售商數據及通路，來打造跨零售業者的廣告聯播網<a href="https://ir.unfi.com/news/press-release-details/2024/United-Natural-Foods-Launches-National-Retail-Media-Network-for-Independent-and-Regional-Grocers-in-Partnership-with-Swiftly/default.aspx">。現在，連批發公司也加入戰局。大型食品批發商聯合天然食品打造跨零售通路的RMN</a>，在自己有上架商品的30,000處零售通路，用自家銷售數據輔助精準行銷，投放11,000家供應商商品的廣告。</p> <p>這個做法可以讓批發商更好掌握自家不同商品線的行銷做法，還可以將RMN作為蒐集第一線通路銷售情況及消費者行為的接觸點──這是原本批發商難以蒐集到的。對零售業者的好處則是，不用自行從頭打造RMN相關IT建設，也能發揮通路優勢來內導入精準行銷。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #購物助手 #RAG</span></span><br /> Walmart正在實驗生成式AI購物助手功能，不僅能回答問題還能主動詢問進階、個人化考量點來輔助決策</strong></p> <p><a href="https://www.ithome.com.tw/news/159271">在應用生成式AI於搜尋、產品介紹等功能後</a>，Walmart開始實驗對話式購物助手，用自然語言協助顧客做出購買決策。用聊天機器人來回答購物相關問題，並推薦對應商品，已經不算稀奇事。不過，<a href="https://tech.walmart.com/content/walmart-global-tech/en_us/blog/post/walmart-is-building-a-genai-powered-shopping-assistant.html">Walmart聊天機器人特別之處是，會主動從制式規格以外的面向，反問顧客更多他們原本可能沒想到的問題，來更進一步完善購物決策。</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/walmartgenai.png" style="width: 300px;" /></p> <p>比方說，當顧客詢問「哪種電視最適合看足球比賽？」，此機器人不只能根據產品規格列出推薦資訊及商品，還會進一步詢問「你放電視的房間光線如何？」等問題。這樣一來，就算顧客不熟悉商品、不知道從何問起，仍有可能提供個人化且有效的購買建議。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#沉浸式電商 #遊戲電商 #進軍元宇宙</span></span></strong> <br /> <strong>沉浸式打工？Ikea開設元宇宙商店，還招募給薪職店員</strong></p> <p>Ikea將於著名元宇宙遊戲Roblox中開設虛擬門市。特別的是，他們不只設計了展間、餐廳等遊戲內體驗，<a href="https://www.ikea.com/gb/en/newsroom/corporate-news/ikea-is-opening-a-new-store-on-roblox-pub8a9272d0">更正式開出職缺，讓玩家應徵元宇宙商店短期打工店員，</a>在商店內負責整理店面、打菜。甚至，連店員應徵面試都會在遊戲內進行。Ikea會給付這些店員等同於實體店員薪資的報酬，表現優良的店員還有可能升職，或轉到其他部門。</p> <p>去年「進軍元宇宙」熱潮中，許多品牌只是到一款遊戲內打造一個短期展間，讓玩家單方面進去觀看。今年，則有更多賣場、遊戲及品牌開始嘗試不同做法，除了Ikea開始招募元宇宙店員，還有Roblox自己開始正式營運元宇宙廣告服務、Walmart打造可以實際購物的元宇宙電商等，更加商業化的做法。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#沉浸式電商 #店內數位體驗 #OMO零售</span></span><br /> 家居賣場Lowe's於門市內設置虛擬廚房設計體驗，結合沉浸式電商與真人店員推銷優勢</strong></p> <p>美國有兩千多家分店的家居賣場Lowe's開始於自家賣場內設置沉浸式電商體驗區，由店員引導顧客穿戴Apple Vision Pro，<a href="https://www.prnewswire.com/news-releases/lowes-pioneers-a-new-era-of-in-store-kitchen-design-with-apple-vision-pro-302161923.html">透過Lowe's室內裝潢App來模擬理想廚房擺設</a>。完成後，可以將設計檔輸出為PDF檔，方便保存或轉傳給親友、室內設計師等不同人。</p> <p>許多賣場及品牌都有為VR裝置打造專屬模擬裝潢App，Lowe's則不只有打造App，更選擇在門市內提供此體驗。結合沉浸式電商中可以隨選隨試用的特色，以及店員引導角色，可以同時達到教學、推銷、個人化互動等作用，顧及線下零售可真人互動的優勢。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#零售第一手數據 #消費者旅途追蹤</span></span><br /> Walmart推出消費者旅途分析工具，支援供應商調整行銷策略</strong></p> <p>Walmart在給供應商分析消費者行為的服務Walmart Luminate中，<a href="http://https://corporate.walmart.com/news/2024/06/04/better-data-better-outcomes-walmart-data-ventures-launches-digital-landscapes">新增了消費者旅途分析工具</a>。此工具可以揭露消費者從哪裡下手尋找商品、尋找商品的時機、消費者從尋找商品到購買的行為歷程，並比較供應商商品與同類型其他商品在消費者旅途中的轉換率等表現。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/waldigi.png" style="width: 600px;" /></p> <p>這個工具不只收錄了Walmart銷售數據，還包括消費者從哪些外部通路進入Walmart通路。結合兩者，供應商便能追蹤消費者從接觸商品資訊到實際消費的歷程，以及不同通路行銷活動的轉換率。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人機物流 #電商功能整合</span></span><br /> Walmart持續規模化無人機物流，將飛機送貨服務從特設網站轉移到一般電商App中</strong> </p> <p>布局無人機送貨服務數年後，Walmart無人機物流服務範圍已經能涵蓋美國第四大都會區──德州Dallas-Fort Worth都會區──75%人口所在。過往，顧客要使用此服務，只能到無人機服務提供商Wing及Zipline設置的專屬網站。現在，<a href="https://corporate.walmart.com/news/2024/06/06/walmarts-retail-renaissance-brings-better-to-life-with-innovation-integrations">Walmart則正式將無人機送貨服務選項整合到自家官方電商App中。</a></p> <p>這意味著，Walmart開始將無人機物流視為正規送貨方法。這個做法也有利於他們蒐集更多無人機物流相關的顧客購物行為數據，用來支援未來發展更多數據分析及數位行銷等服務。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://newsroom.tiktok.com/en-us/tiktok-world-2024">Tiktok針對自家平臺上電商廣告代投功能，還會將合作夥伴抽成及電商平臺費用等支出考量進廣告投放策略</a></p> <p>2. 男性機能服飾品牌Rhone利用3D掃描科技取代人工丈量，來提供服飾量身訂做服務</p> <p>3. <a href="https://www.salesforce.com/news/press-releases/2024/05/22/einstein-copilot-marketing-commerce-news/">Salesforce推出零售業者用AI代理Einstein Copilot，能自動化生成適合SEO的商品描述、個人化推薦，以及電商頁面素材等</a></p> <p>4. <a href="https://www.prnewswire.com/news-releases/dollar-general-selects-criteo-to-enhance-its-retail-media-offering-302160556.html">美國有上萬間分店的連鎖雜貨店Dollar General擴大營運RMN，開放透過第三方DSP投廣至自家線上線下通路</a></p> <p>資料來源：iThome整理，2023年6月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Walmart</p> <p></p> </div></div></div>
2024/6/11 20:34作者郭又華https://www.ithome.com.tw/news/163397
【資安日報】6月11日，紐約時報證實內部資料流入地下論壇，程式碼儲存庫帳密資料外流釀禍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客近期在地下論壇4chan公布知名企業組織的內部資料的情況，已有數起，其中最近一起是知名媒體紐約時報的資安事故。駭客聲稱，他們手上握有270 GB資料，其中包含約5千個GitHub儲存庫，但僅有少部分採取加密保護處理。</p> <p>對此，紐約時報證實有資料外流的情況，並指出這批資料流出的原因，是他們今年1月程式碼儲存庫GitHub的帳密資料遭竊引起。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163383"><strong style="font-size: 22px;">紐約時報270 GB資料流入地下論壇4chan，起因疑為GitHub帳密資料外洩</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/4chan-newyorktimes.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/4chan-newyorktimes.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，知名新聞媒體紐約時報因今年稍早GitHub憑證外洩，駭客竊走包括程式碼在內的270 GB資料。紐約時報也證實資料外洩一事。</p> <p>此事是由資安研究團隊VX-underground最早披露，有人地下論壇4chan張貼訊息，聲稱握有竊自紐約時報的資料。這名人士描述，外洩的270 GB資料內容，共360萬個檔案，其中包含約5,000個GitHub儲存庫，其中不到30個經過加密保護處理。</p> <p>紐約時報證實此事，並說是今年一月該公司GitHub憑證外洩有關，他們已於第一時間已採取緩解行動，但沒有證據顯示公司內部系統遭非法存取，或影響公司營運。</p> <p><a href="https://www.ithome.com.tw/news/163382"><strong style="font-size: 22px;">密碼管理解決方案LastPass傳出服務中斷，起因是瀏覽器外掛更新出錯釀禍</strong></a></p> <p></p> <p>6月6日密碼管理服務LastPass用戶反映無法使用的情況，促使該公司啟動調查，並於周末公告說明。事件大約發生在協調時間6日下午5時，當時用戶若是嘗試登入帳號，會出現登入逾時的訊息。而對於這起事故發生的原因，LastPass直到6月7日凌晨零時才公布，起因是Chrome瀏覽器外掛更新出錯，不慎造成後端基礎架構的載入問題，該公司開始著手修復。距首次公告超過8小時後，LastPass宣布服務效能已回到正常。</p> <p>此起事故引發用戶不滿。有用戶反映無法離線登入，也有人不滿LastPass基礎架構沒有備用機制，導致他所有網站都被鎖住。而這是2022年8月LastPass遭駭後，再度發生服務異常的事故。</p> <p><a href="https://www.ithome.com.tw/news/163396"><strong style="font-size: 22px;">勒索軟體攻擊盯上GitHub用戶儲存庫！駭客冒充GitHub資安團隊發起Gitloker行動</strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，自稱是Gitlokers的人士假冒GitHub資安及人力資源團隊，透過惡意OAuth應用程式挾持程式碼儲存庫並進行破壞。</p> <p>自今年2月，部分開發人員收到由<a href="mailto:[email protected]">[email protected]</a>的電子郵件，這些信件的內容多半提及工作職缺，或者是資安警示。而在此之前，開發者會面臨儲存庫的垃圾評論被標注，或是收到遭竊GitHub帳號的拉取請求等狀況。有受害用戶證實，他們的GitHub帳號疑似遭到投訴而被停用，並失去所有儲存庫的存取權限。</p> <p>值得留意的是，一旦開發人員上當，他們的儲存庫會遭到抹除，對方將其重新命名並留下勒索訊息README.me，要受害者依照指示透過Telegram來談判、復原檔案。</p> <p><a href="https://www.ithome.com.tw/news/163395"><strong style="font-size: 22px;">Apache RocketMQ已知弱點遭濫用，殭屍網路Muhstik藉此綁架未修補漏洞的分散式訊息串流系統，擴大DDoS攻擊規模</strong></a></p> <p>資安業者Aqua Security揭露最新一波的殭屍網路Muhstik攻擊行動，駭客這次鎖定的目標，是包含Apache RocketMQ在內的分散式訊息串流資料平臺，並利用已知漏洞將殭屍網路病毒植入目標伺服器，目的是將其用來發動DDoS攻擊。</p> <p>研究人員透過蜜罐陷阱（Hoenypot）偵測到數十起鎖定RocketMQ的攻擊行為，對方利用重大層級的遠端程式碼執行漏洞CVE-2023-33246（CVSS風險評為9.8分），一旦成功利用，就能得到初期的存取權限，然後執行遠端IP位址代管的Shell指令碼，下載殭屍網路病毒檔案。</p> <p><a href="https://www.ithome.com.tw/news/163379"><strong style="font-size: 22px;">竊資軟體Lumma Stealer、BitRAT透過冒牌瀏覽器更新網站散布</strong></a></p> <p>資安業者eSentire針對竊資軟體Lumma Stealer、BitRAT的攻擊行動提出警告，對方在今年5月，透過冒牌Chrome更新網站散布上述惡意程式，該網站被注入了惡意JavaScript程式碼。</p> <p>一旦電腦載入上述網頁，就會觸發JavaScript指令碼，將使用者重新導向到另一個網頁。接著，駭客藉由chatgpt-app[.]cloud網站，在受害電腦自動下載名為Update.zip的壓縮檔，最終部署竊資軟體Lumma Stealer、BitRAT，並讓攻擊者能持續在受害電腦活動。</p> <p><a href="https://www.ithome.com.tw/news/163381"><strong style="font-size: 22px;">為平息外界的隱私疑慮，微軟宣布預設關閉AI筆電的Recall功能</strong></a></p> <p></p> <p>5月20日微軟偕高通與宏碁、華碩等OEM廠商，公布內建AI功能的Copilot+ PC，其中名為回顧（Recall）的功能最具代表性，但也由於該功能仰賴電腦持續蒐集各式資料，引發資安專家隱私疑慮。對此，上週微軟宣布，此功能將預設改為自願加入（opt-in）。</p> <p>該公司表示，這項功能預設關閉，用戶若要開啟，必須要註冊Windows Hello身分驗證機制才能完成啟用，未來用戶要檢視Recall時間軸或是搜尋，也要進行Windows Hello生物驗證。此外，他們將為Recall新增進階防護機制，加密索引資料庫。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/cylance-confirms-data-breach-linked-to-third-party-platform/"><strong style="font-size: 20px;">資安業者Cylance傳出資料外洩，起因是第三方平臺遭駭</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/arm-warns-of-actively-exploited-flaw-in-mali-gpu-kernel-drivers/"><strong style="font-size: 20px;">Arm針對顯示晶片Mali GPU核心驅動程式漏洞提出警告，指出已被用於攻擊行動</strong></a></p> <p></p> <p>◆<a href="https://www.sonatype.com/blog/crytic-compilers-typosquats-known-crypto-library-drops-windows-trojan"><strong style="font-size: 20px;">冒牌PyPI套件Crytic-Compilers鎖定開發人員，意圖散布竊資軟體Lumma Stealer</strong></a></p> <p>◆<a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/fake-advanced-ip-scanner-installer-delivers-dangerous-cobaltstrike-backdoor/"><strong style="font-size: 20px;">有人假借提供網路工具</strong></a><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/fake-advanced-ip-scanner-installer-delivers-dangerous-cobaltstrike-backdoor/"><strong style="font-size: 20px;">Advanced IP Scanner，目的是散布Cobalt Strike充當後門</strong></a></p> <p>◆<a href="https://medium.com/@amitassaraf/3-6-uncovering-design-flaws-in-the-visual-studio-code-marketplace-ea1d8e8b0171"><strong style="font-size: 20px;">研究人員上傳Visual Studio Code佈景主題擴充套件調查市集安全，結果有超過100家企業組織上當</strong></a></p> <p></p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163212"><strong style="font-size: 22px;">用臺灣人才、資金和產品，找出可複製的新創成功模式</strong></a></p> <p>過去十年，臺灣資安業界發生的事情很多，TeamT5杜浦數位安全創辦人兼執行長蔡松廷表示，最重要的關鍵有兩件事情。</p> <p>首先，就是蔡英文總統於2016年就任以來，率先制定「資安即國安」的政府資安核心戰略方針。這個「資安即國安」戰略帶出來的結果，是政府資源的投入，以及各界的重視；另外，這個戰略同時影響臺灣產業對資安的態度，包括民間企業、CI（關鍵基礎設施）對資安的重視大於以往，產業的需求也對資安產業帶來直接影響。</p> <p>其次，就是各種法規對資安的要求，都會是滋養臺灣資安產業環境的土壤，也是推動臺灣產業資安的基礎，從資通安全管理法到相關細則的實施，以及金管會對於上市櫃公司各種資安要求都包含在內。「內在資安戰略政策，驅動外在產業資安的需求。」他說。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163361"><strong>【6月7日】勒索軟體駭客RansomHub聲稱入侵老牌筆電製造廠藍天電腦，引起國際資安媒體高度關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163344"><strong>【6月6日】病理學暨診斷服務供應商Synnovis遭到勒索軟體攻擊導致倫敦醫院服務中斷，傳出是駭客組織Qilin所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163317"><strong>【6月5日】針對烏克蘭政府恢復公營事業收費，俄羅斯駭客組織FlyingYeti策畫利用WinRAR漏洞的網釣攻擊</strong></a></p> </div></div></div>
2024/6/11 17:53作者周峻佑https://www.ithome.com.tw/news/163398
華邦電發布重訊說明疑似發生資料外洩，起因是合作廠商遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>記憶體大廠華邦電子在6月6日傍晚發布資安事件重大訊息，說明他們合作廠商的資訊系統遭不明人士入侵，導致該公司疑似發生資料外洩的狀況。</p> <p>根據華邦電子公告指出，這次事件主要是合作廠商資訊系統遭不明人士入侵，由於合作廠商向他們通報，指出與華邦電合作相關資料有外洩疑慮的狀況，因此，華邦電針對這樣的情況發布重訊說明。不過，他們並未明確指出是哪家合作廠商的資訊系統遭入侵。</p> <p>關於目前的因應與影響，華邦電表示，合作廠商已加強資訊安全管制，這起事件對公司的營運或財務無重大影響。</p> <p>值得關注的是，雖然外界對此事的了解相當有限，但該公司的確遵循證交所的新規範，如實公布。</p> <p>時序進入6月以來，目前已有3家上市公司揭露發生資安事件，除了華邦電，還包括<a href="https://www.ithome.com.tw/news/163304">防詐公司Gogolook（走著瞧-創）</a>，以及<a href="https://www.ithome.com.tw/news/163347">老牌筆電廠藍天電腦</a>，而在新的資安重訊發布規範的要求之下，的確促使更多臺灣企業的資安事件浮上檯面，而這次華邦電發布的重大訊息，也讓所有人了解到資安事故的揭露並不局限於每一家公司，與其合作的廠商所遭遇的資安事件，其實也都可能讓公司本身受到影響而必須主動公告，讓更多人提高警覺。</p> </div></div></div>
2024/6/11 15:52作者羅正漢https://www.ithome.com.tw/news/163394
Apache RocketMQ已知弱點遭濫用，殭屍網路Muhstik藉此綁架未修補漏洞的分散式訊息串流系統，擴大DDo…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Aqua Security揭露<a href="https://www.aquasec.com/blog/muhstik-malware-targets-message-queuing-services-applications/">最新一波的殭屍網路Muhstik攻擊行動</a>，駭客這次鎖定的目標，是包含Apache RocketMQ在內的分散式訊息串流資料平臺，並利用已知漏洞將殭屍網路病毒植入目標伺服器，目的是將其用來發動DDoS攻擊。</p> <p>研究人員透過蜜罐陷阱（Hoenypot）偵測到數十起鎖定RocketMQ的攻擊行為，對方利用重大層級的遠端程式碼執行漏洞CVE-2023-33246（CVSS風險評為9.8分），一旦成功利用，就能得到初期的存取權限，然後執行遠端IP位址代管的Shell指令碼，下載殭屍網路病毒檔案。</p> <p>值得留意的是，駭客將殭屍網路病毒Muhstik的檔案命名為pty3，複製到多個資料夾路徑，以便直接從記憶體內執行，而不會在作業系統裡留下活動痕跡；再者，對方竄改了Linux作業系統的開機組態，在伺服器啟動後自動載入該殭屍網路病毒。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Muhstik-figure_1_new.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Muhstik-figure_1_new.jpg" style="width: 580px;" /></a></p> <p>此外，該惡意程式還會掃描SSH服務進行橫向移動，從而感染其他電腦。</p> <p>但為何對方運用一年前公布的已知漏洞發起攻勢？研究人員利用物聯網搜尋引擎Shodan進行調查，結果發現，全球約有5,216臺RocketMQ伺服器，曝露於CVE-2023-33246的資安風險當中，而這些伺服器幾乎位於中國。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Muhstik-figure_10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Muhstik-figure_10.jpg" style="width: 580px;" /></a></p> <p>值得留意的是，這項漏洞在今年一月傳出已遭到嘗試利用的情況。<a href="https://www.ithome.com.tw/news/160715#CVE-2023-33246">當時Shadowserver基金會指出</a>，已有駭客透過近400個來源IP位址，試圖利用CVE-2023-33246及CVE-2023-37582。</p> </div></div></div>
2024/6/11 16:32作者周峻佑https://www.ithome.com.tw/news/163395
勒索軟體攻擊盯上GitHub用戶儲存庫！駭客冒充GitHub資安團隊發起Gitloker行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據資安新聞網站Bleeping Computer的報導，有人假冒GitHub資安及人力資源團隊，<a href="https://www.bleepingcomputer.com/news/security/gitloker-attacks-abuse-github-notifications-to-push-malicious-oauth-apps/">透過惡意OAuth應用程式挾持程式碼儲存庫並進行破壞</a>。</p> <p>自今年2月，部分開發人員收到由<a href="mailto:[email protected]">[email protected]</a>的電子郵件，這些信件的內容多半提及工作職缺，或者是資安警示。而在此之前，開發者會面臨儲存庫的垃圾評論被標注，或是收到遭竊GitHub帳號的拉取請求等狀況。有受害用戶證實，他們的GitHub帳號疑似遭到投訴而被停用，並失去所有儲存庫的存取權限。</p> <p>這起攻擊行動最早是<a href="https://x.com/1ZRR4H/status/1798412587484496068">CronUp資安研究員Germán Fernández揭露</a>，並指出自稱是Gitlokers的人士佯裝為GitHub團隊，聲稱寄送資料遭竊的緊急通知，表示他們已保護備份資料。研究人員也公布<a href="https://x.com/1ZRR4H/status/1798926893246447708">對方使用的網域名稱</a>。</p> <p>對方要求開發人員重新登入GitHub帳號，並提供OAuth應用程式授權，這些請求的權限涵蓋私人儲存庫的存取、使用者個資，以及刪除這名用戶管理的儲存庫。</p> <p>值得留意的是，一旦開發人員上當，<a href="https://x.com/1ZRR4H/status/1798928900392886391">他們的儲存庫會遭到抹除</a>，對方將其重新命名並留下勒索訊息README.me，要受害者依照指示透過Telegram來談判、復原檔案。</p> </div></div></div>
2024/6/11 17:08作者周峻佑https://www.ithome.com.tw/news/163396