iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 4篇
近 24 小時: 30篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 08:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】6月18日，未補漏洞且暴露在外網的舊款F5 BIG-IP設備成駭客入侵企業內部環境的破口，中國駭客潛入竊密…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業部署但最終並未正式採用、而遺留在網路環境的IT系統，很有可能會遭到攻擊者濫用。</p> <p>最近資安業者Sygnia揭露的一起事故，就是這樣的例子，駭客維持於受害企業活動的管道，就是該公司曾打算建置的災難復原系統當中，所使用的F5 BIG-IP設備。而這些設備不僅直接曝露在網際網路上，還執行存在弱點的作業系統，而讓對方有利用的機會。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163512"><strong style="font-size: 22px;">未補漏洞且暴露在外網的舊款F5 BIG-IP設備遭中國駭客Velvet Ant攻破，潛入受害組織內部長達3年，暗中竊取敏感客戶資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/VelvetAnt-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/VelvetAnt-12.jpg" style="width: 300px; float: right;" /></a>資安業者Sygnia指出，他們去年底針對一起鎖定大型組織的網路攻擊行動進行調查，結果發現，中國駭客組織Velvet Ant已於該企業從事間諜活動長達3年，值得留意的是，其中一種維持存取內部網路環境的管道，竟是藉由曝露在網際網路上、已棄用的老舊F5 BIG-IP設備，並將其當作C2伺服器濫用。</p> <p>在鑑識人員介入後，他們發現駭客再度散布惡意軟體時，這些PlugX雖然會觸發資安系統的警報，但駭客並未像之前的攻擊行動，透過外部的C2來從事相關攻擊，這樣的作法極不尋常。</p> <p>在受害組織全面採取補救措施的情況下，究竟駭客如何遠端對執行老舊作業系統的Windows檔案伺服器進行控制？鑑識人員進一步監控網路流量發現，PlugX於受害主機建立新的防火牆規則，並監聽特定的網路連接埠，他們看到其中一臺伺服器開放13742埠，並與F5 BIG-IP負載平衡設備進行連線。這些負載平衡設備曾是該企業災難復原計畫的規畫內容，但該專案最後並未採用，這些設備後續就一直留在主要使用的網路環境上，使得駭客有機可乘，將其當作存取內部網路的管道。</p> <p><a href="https://www.ithome.com.tw/news/163528"><strong style="font-size: 22px;">中國駭客組織SecShow在全球進行大規模DNS探測行動</strong></a></p> <p>資安業者Infoblox揭露中國駭客SecShow的攻擊行動，這些駭客自去年6月開始，利用中國政府營運的教育和科研電腦網路（CERNET）的網域名稱伺服器（DNS server），在全球進行大規模DNS探測行為，藉此識別公開的DNS解析器，並試圖收集這些解析器回應的內容。究竟這些駭客的目的為何？研究人員表示尚無法確認，但對方收集到的資料，可用於網路犯罪，並讓攻擊者謀取利益。</p> <p>研究人員指出，這些駭客向世界各地的IPv4、IPv6的IP位址發送DNS查詢，他們在去年7月首度察覺該組織的活動，同年秋季相關的查詢量急速增加。</p> <p><a href="https://www.ithome.com.tw/news/163513"><strong style="font-size: 22px;">駭客製造假應用程式錯誤訊息引誘用戶上當，執行PowerShell指令碼植入惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/chrome-fix-powershell-a11.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chrome-fix-powershell-a11.png" style="width: 300px; float: right;" /></a>資安業者Proofpoint揭露新型態的社交工程攻擊手法，駭客組織ClearFake、TA571聲稱Chrome、Word、OneDrive等應用程式出錯為由，引誘使用者依照指示，複製、貼上並執行PowerShell指令碼，從而導致電腦感染惡意軟體。</p> <p>研究人員從今年3月、4月，以及6月初，看到上述兩組人馬運用相關手法從事攻擊行動，但無法確認這些駭客是否有所關連。</p> <p><a href="https://www.ithome.com.tw/news/163503"><strong style="font-size: 22px;">永信藥品工業遭駭客攻擊，首見公開發行公司發布資安重訊</strong></a></p> <p>業務範圍擴及全球多國的臺灣製藥公司永信藥品工業，昨日傳出遭遇資安事故，上市生技醫療業永信投控在6月17日下午4時32分率先揭露此事，於證交所公開資訊觀測站發布資安重訊，代重要子公司永信藥品工業公告部分資訊系統遭受駭客攻擊，同日傍晚6時，身為公開發行公司的永信藥品工業也發布重訊，公開這起資安事故。</p> <p>他們並表示，目前正對所有網域、網頁及相關檔案做全面徹底的掃描檢測，待確保資訊安全後，會陸續恢復資訊系統運作。而我們在17日早上11時實際連至永信藥品與永信國際投資控股的官方網站，仍是無法存取的情況，可能他們還在進行相關調查，所以網站未開放。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://checkmarx.com/a-new-north-korean-group-emerges-disrupting-the-open-source-ecosystem/"><strong style="font-size: 20px;">北韓駭客Moonstone Sleet散布惡意NPM套件，鎖定開發人員下手</strong></a></p> <p></p> <p>◆<a href="https://asec.ahnlab.com/en/66790/"><strong style="font-size: 20px;">駭客假借提供破解軟體，意圖對韓國用戶散布惡意程式NiceRAT</strong></a></p> <p></p> <p>◆<a href="https://www.welivesecurity.com/en/eset-research/arid-viper-poisons-android-apps-with-aridspy/"><strong style="font-size: 20px;">駭客組織Arid Viper鎖定行動裝置從事網路間諜活動，散布惡意程式AridSpy</strong></a></p> <p>◆<a href="https://www.redpacketsecurity.com/cactus-ransomware-victim-https-www-ctsystem-com/"><strong style="font-size: 20px;">勒索軟體駭客組織Cactus聲稱攻擊光纖網路設備供應商康聯訊</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163509"><strong style="font-size: 22px;">華碩公布路由器重大身分驗證繞過漏洞，7款機型受到影響</strong></a></p> <p></p> <p>華碩7款家用及消費性路由器產品傳出重大驗證繞過漏洞，可讓未經授權的攻擊者遠端登入裝置。華碩及資安專家呼籲，用戶應儘早安裝新版軟體。這項驗證繞過漏洞為CVE-2024-3080，發生在華碩家用及消費性路由器產品的韌體，影響ZenWiFi XT8、ZenWiFi XT8 V2、RT-AX88U、RT-AX58U、RT-AX57、RT-AC86U及RT-AC68U。</p> <p>根據臺灣電腦網路危機處理暨協調中心（TWCERT/CC）的資安公告，此為身分驗證繞過漏洞，而有可能允許未經驗證的攻擊者存取，CVSS風險評分達9.8。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.cisa.gov/news-events/ics-advisories/icsa-24-144-01"><strong style="font-size: 20px;">CISA針對AutomationDirect旗下的可程式化邏輯控制器漏洞提出警告</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163373"><strong style="font-size: 22px;">國內加密貨幣交易所XREX打造威脅引擎，快一步揪出詐騙、洗錢帳戶</strong></a></p> <p>在加密貨幣交易所中，用戶隨時都能進行交易，這樣的特性雖然帶來便利，卻也被詐騙組織用來快速轉移非法資金。除了設置基礎安全機制增加防禦，交易所主要透過KYC和鏈上分析工具，來確認用戶真實性和分析資金流向，抵禦詐欺洗錢犯罪。但是，隨著詐騙和洗錢手法不斷升級，既有工具的功能有限，難以因應趨勢變化，成為交易所偵測詐騙和洗錢行為的一大挑戰。</p> <p>在2024臺灣資安大會上，國內加密貨幣交易所XREX分享自家的風控機制。他們開發了一套威脅引擎，整合了用戶交易前、交易中、和交易後的資訊，並提供風險評估，協助內部團隊更快速針對犯罪行為做出應變。這款威脅引擎包含多個模組，能分析KYC、交易行為等資訊，並進行交易監控與性質分析等。引擎在每個階段蒐集的資訊都會分為多個屬性，並針對各別屬性進行風險評估。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://taiwan.googleblog.com/2024/06/gcc-launch-in-taiwan.html"><strong style="font-size: 20px;">Google宣布啟動臺灣資安人才培育計畫，目標在明年底培育2千名人才</strong></a></p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163108"><strong style="font-size: 22px;">臺灣推動「資安即國安」領先世界各國，將資安拉高到國安層級</strong></a></p> <p>近年來資安成為全球關注焦點，對於臺灣，資安更是不可或缺。過去十年臺灣歷經不同政黨的執政，中研院院士、也曾擔任蔡英文總統第一任總統任期內的國安會諮詢委員李德財表示，「資安即國安」政策在這段時期，得到前瞻性的進步及實質性推動。</p> <p>李德財深信：「資安等於國家安全是大家的共識，不應該有藍綠黨派的差異，這是一件跨黨派要做的事情。」</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163501"><strong>【6月17日】日本影音共享平臺Niconico、角川書店傳出服務中斷近一週，起因是資料中心遭勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163458"><strong>【6月14日】勒索軟體駭客組織Black Basta在微軟提供漏洞修補3個月前，利用掌握到的資安弱點打造攻擊工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163444"><strong>【6月13日】荷蘭針對中國駭客攻擊Fortinet防火牆設備的網路間諜行動進行深度調查，駭客挾持全球逾2萬臺設備</strong></a></p> </div></div></div>
2024/6/18 17:44作者周峻佑https://www.ithome.com.tw/news/163529
中國駭客組織SecShow在全球進行大規模DNS探測行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Infoblox揭露<a href="https://blogs.infoblox.com/threat-intelligence/what-a-show-an-amplified-internet-scale-dns-probing-operation/">中國駭客SecShow的攻擊行動</a>，這些駭客自去年6月開始，利用中國政府營運的教育和科研電腦網路（CERNET）的網域名稱伺服器（DNS server），在全球進行大規模DNS探測行為，藉此識別公開的DNS解析器，並試圖收集這些解析器回應的內容。</p> <p>究竟這些駭客的目的為何？研究人員表示尚無法確認，但對方收集到的資料，可用於網路犯罪，並讓攻擊者謀取利益。</p> <p>研究人員指出，這些駭客向世界各地的IPv4、IPv6的IP位址發送DNS查詢，他們在去年7月首度察覺該組織的活動，同年秋季相關的查詢量急速增加。</p> <p><a href="https://s4.itho.me/sites/default/files/images/what-a-show-an-amplified-internet-scale-dns-probing-operation-figure-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/what-a-show-an-amplified-internet-scale-dns-probing-operation-figure-1.png" style="width: 580px;" /></a></p> <p>今年初Infoblox尋求其他研究人員合作來進一步調查，結果發現，這些駭客將名稱伺服器的組態，設置成從不同的開放解析器進行查詢時，每次都會產生隨機的IP位址，而這樣的組態，竟然影響資安業者Palo Alto Networks旗下的自動化回應解決方案Cortex Xpanse，這套系統放大了（amplifies）DNS查詢活動。</p> <p>為何如此？Infoblox指出這套資安系統將DNS查詢的網域名稱視同URL，並嘗試從網域當中的隨機IP位址進一步搜尋，一旦包含該廠牌的防火牆設備在內的資安系統收到Cortex Xpanse的請求，就會執行URL過濾，而此種過濾工作將會針對網域啟動新的DNS查詢，使得網域名稱伺服器回傳新的IP位址，導致Cortex Xpanse重覆、無限循環地執行相關查詢。</p> <p>Infoblox指出，這樣的情況導致SecShow的攻擊行動被放大，很容易誤導相關研究人員，而他們則是藉由自己的遞歸解析器與其他DNS遞歸解析器比對資料，而得到相關結果。</p> <p>他們在去年7月，看到駭客執行了6個查詢，後續截至12月，有超過230萬個查詢幾乎由Cortex Xpanse觸發。</p> <p><a href="https://s4.itho.me/sites/default/files/images/what-a-show-an-amplified-internet-scale-dns-probing-operation-figure-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/what-a-show-an-amplified-internet-scale-dns-probing-operation-figure-7.png" style="width: 580px;" /></a></p> <p>研究人員指出，在他們之前，已有Dataplane.org及Palo Alto Networks的研究人員察覺SecShow的攻擊行動，而這些駭客約在5月中旬停止相關活動的跡象，但這並非中國駭客首度對全球進行大規模DNS探測的攻擊行動，他們在今年4月揭露另一組<a href="https://blogs.infoblox.com/threat-intelligence/a-cunning-operator-muddling-meerkat-and-chinas-great-firewall/">從事類似攻擊的駭客組織Muddling Meerkat</a>，但不同的是，這些駭客疑似具備控制中國防火長城（Great Firewall）的能力。</p> <p>而對於Infoblox提出的觀察分析，<a href="https://thehackernews.com/2024/06/chinese-actor-secshow-conducts-massive.html">Palo Alto Networks也向資安新聞網站Hacker News表示</a>，Cortex Xpanse能排除特定網域，一旦識別新的C2後，就不再對其進行掃描。他們強調，為了判斷惡意網域，出現DNS解析活動稍微增加的情況，這套資安系統依照預期正常運作，他們的客戶並未受到影響。</p> </div></div></div>
2024/6/18 17:37作者周峻佑https://www.ithome.com.tw/news/163528
未補漏洞且暴露在外網的舊款F5 BIG-IP設備遭中國駭客Velvet Ant攻破，潛入受害組織內部長達3年，暗中竊取…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Sygnia指出，他們去年底針對一起鎖定大型組織的網路攻擊行動進行調查，結果發現，<a href="https://www.sygnia.co/blog/china-nexus-threat-group-velvet-ant/">中國駭客組織Velvet Ant已於該企業從事間諜活動長達3年</a>，值得留意的是，其中一種維持存取內部網路環境的管道，竟是藉由曝露在網際網路上、已棄用的老舊F5 BIG-IP設備，並將其當作C2伺服器濫用。</p> <p>鑑識人員指出，他們先是找到駭客部署的惡意軟體PlugX，以及作案用的各式工具，並與受害企業合作，鎖定對方使用的策略、技術、流程（TTP）進行復原工作，以及補強對於相關威脅的能見度。</p> <p>值得一提的是，鑑識人員發現，這些駭客相當擅長挾持正在執行的處理程序，因為，他們廣泛運用DLL尋序搜尋挾持、DLL側載，以及幻影DLL載入（Phantom DLL Loading）手法。</p> <p>在鑑識人員與受害企業執行復原工作之後，對方將目標轉移到已終止支援（EOL）的作業系統環境，鎖定執行Windows Server 2003的檔案伺服器下手，這些伺服器並未部署EDR解決方案，而且，事件記錄的功能受到限制。駭客再度部署相關作案工具，並於受害組織暫停運作數個月，然後橫向移動到其他的Windows工作站，企圖停用EDR端點防護的代理程式，但未能成功。</p> <p>但就在鑑識人員介入後，他們發現駭客再度散布惡意軟體時，這些PlugX雖然會觸發資安系統的警報，但駭客並未像之前的攻擊行動，透過外部的C2來從事相關攻擊，這樣的作法極不尋常。</p> <p>在受害組織全面採取補救措施的情況下，究竟駭客如何遠端對執行老舊作業系統的Windows檔案伺服器進行控制？鑑識人員進一步監控網路流量發現，PlugX於受害主機建立新的防火牆規則，並監聽特定的網路連接埠，他們看到其中一臺伺服器開放13742埠，並與F5 BIG-IP負載平衡設備進行連線。</p> <p>值得留意的是，這臺負載平衡設備曾是該企業災難復原計畫的規畫內容，但該專案最後並未採用，這臺設備後續就一直留在主要使用的網路環境上，使得駭客有機可乘，將其當作存取內部網路的管道。</p> <p>鑑識人員確認該組織總共有2臺上述專案部署的F5 BIG-IP負載平衡設備，這些設備具備防火牆、WAF、負載平衡、內部流量管理的功能，而且，它們都曝露在網際網路上，並執行存在弱點的作業系統。究竟駭客利用那些弱點？他們表示可能是透過其中一個漏洞來進行，但無法準確識別其手法。</p> <p>而對於駭客如何遠端進行控制受害電腦，資安業者Sygnia也進一步說明，對方於負載平衡設備部署的惡意程式，將每隔一個小時從外部的C2伺服器，拉取攻擊者下達的命令，C2伺服器建立反向SSH隧道並發送相關內容至負載平衡設備，一旦隧道連線開通，駭客就可以控制已感染PlugX的檔案伺服器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/VelvetAnt-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/VelvetAnt-12.jpg" style="width: 580px;" /></a></p> <p>而這臺檔案伺服器又被當作另一個C2中繼站，駭客再利用滲透測試工具Impacket，針對其他老舊伺服器執行WmiExec，從而感染PlugX。換言之，根據Sygnia揭露的手法，駭客使用了3種C2伺服器來達成目的，也就是在外部伺服器之外，還濫用了F5 BIG-IP裝置，以及內部檔案伺服器來傳送攻擊命令。</p> </div></div></div>
2024/6/18 14:47作者周峻佑https://www.ithome.com.tw/news/163512
駭客製造假應用程式錯誤訊息引誘用戶上當，執行PowerShell指令碼植入惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Proofpoint揭露<a href="https://www.proofpoint.com/us/blog/threat-insight/clipboard-compromise-powershell-self-pwn">新型態的社交工程攻擊手法</a>，駭客組織ClearFake、TA571聲稱Chrome、Word、OneDrive等應用程式出錯為由，引誘使用者依照指示，複製、貼上並執行PowerShell指令碼，從而導致電腦感染惡意軟體。</p> <p>研究人員從今年3月、4月，以及6月初，看到上述兩組人馬運用相關手法從事攻擊行動，但無法確認這些駭客是否有所關連。</p> <h3><span style="color:#0000FF;"><strong>專門謊稱用戶瀏覽器必須更新的駭客改變手法，要求用戶依照指示解決網頁載入錯誤的問題</strong></span></h3> <p>其中，專門以瀏覽器更新為幌子發動攻擊的駭客組織ClearFake，他們主要鎖定的目標是特定網站用戶，駭客先是攻擊網站植入惡意內容，一旦使用者瀏覽這些網站，電腦就有可能載入來自幣安智能鏈（Binance Smart Chain，BSC）的惡意指令碼，而該指令碼又會從另一個網域載入第2個指令碼，其功能是藉由名為Keitaro的流量引導系統（TDS）過濾目標用戶。</p> <p>研究人員指出，上述駭客利用區塊鏈隱匿作案工具的手法，他們稱為EtherHiding。</p> <p>若是目標使用者仍持續瀏覽受害網站，他們就會看到駭客設置的「錯誤訊息」，宣稱用戶必須依照指示安裝根憑證，才能正常瀏覽網站。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/chrome-fix-powershell-a11.png" style="width: 580px;" /></p> <p>這個彈出式對話框列出了詳細的操作步驟，首先他們要求使用者按下複製程式碼的按鈕，然後開啟PowerShell，並在主控臺視窗點選滑鼠右鍵，然後等待指令碼執行完成再重新載入網頁。</p> <p>然而使用者一旦照做，就會在PowerShell命令列視窗貼上攻擊者的指令碼並執行。他們看到對方清除DNS快取、移除剪貼簿的內容，顯示誘騙訊息，並從遠端取得另一個PowerShell指令碼，在記憶體內執行，而這個指令碼的功能，會確認受害電腦是否是資安人員的測試環境，其方法是檢查電腦是否回傳系統溫度。</p> <p>若是通過上述檢查，駭客就會利用經過AES編碼的指令碼部署惡意程式，他們藉由惡意程式載入工具IDAT Loader（也叫做HijackLoader、DOILoader），於受害電腦載入竊資軟體Lumma Stealer，之後，還會再部署挖礦軟體、剪貼簿挾持程式，以及另一個惡意程式載入工具Amadey Loader，企圖植入更多惡意軟體。</p> <h3><span style="color:#0000FF;"><strong>也有佯稱Word、OneDrive等應用程式出錯的攻擊手法</strong></span></h3> <p>另一個駭客組織TA571使用的手法略有不同，他們先是寄送帶有HTML附件的電子郵件，一旦收信者開啟附件，電腦就會顯示看起來像是Word操作介面的網頁，並顯示錯誤訊息，宣稱使用者未在瀏覽器安裝Word Online延伸套件，若要離線檢視文件，必須依照指示操作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2024-06-13 at 2_04_44 PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202024-06-13%20at%202_04_44%20PM.png" style="width: 580px;" /></a></p> <p>在上述頁面中，對方提供了修復方法（How to fix）、自動修復（Auto-fix）等選項。假如收信人點選修復方法的按鍵，就會將PowerShell指令碼複製到剪貼簿，此時，上述網頁內容就會變換成要求開啟PowerShell，並右鍵點選終端機視窗的指示，對方將會傳送MSI安裝檔或是VBS指令碼，從而於受害電腦部署惡意軟體Matanbuchus、DarkGate。</p> <p>若是使用者按下了自動修復的按鈕，電腦就會啟動搜尋通訊協定（search-ms），在檔案總管顯示含有前述MSI檔及VBS檔案的WebDAV資料夾。</p> <p>除了聲稱Word錯誤，研究人員也看到駭客聲稱OneDrive執行錯誤的情況，對方製作類似OneDrive操作介面的網頁，一旦使用者開啟就會出現錯誤訊息，要求依照指示操作，手動更新DNS的快取內容。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2024-06-13 at 2_05_36 PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202024-06-13%20at%202_05_36%20PM.png" style="width: 580px;" /></a></p> <p>研究人員指出，雖然這種攻擊手法過程中需要使用者大量互動，但對方藉由應用程式的錯誤訊息，並提供了「解決方案」，使得用戶很可能降低警覺，依照畫面上的指示解決問題，而落入駭客的圈套。對此，研究人員呼籲企業組織，應在資安意識的訓練中，教育使用者識別這種攻擊手法。</p> </div></div></div>
2024/6/18 16:12作者周峻佑https://www.ithome.com.tw/news/163513
提供9櫃、256顆GPU配置，美超微推出大型AI伺服器叢集系統
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/supermicro_srs-mgx256-su-001_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023年上半，Nvidia積極主推融合式GPU產品GH200 Grace Hopper Superchip，到了5月舉行的台北國際電腦展期間，他們號召雲達（QCT）、美超微（Supermicro）、技嘉（Gigabyte）這三家廠商，向全球展出首批搭配這款運算平臺的伺服器，後續我們也報導雲達發展的<a href="https://www.ithome.com.tw/review/158452">2U機型QuantaGrid S74G-2U</a>，以及Supermicro的<a href="https://www.ithome.com.tw/review/159531">1U機型ARS-111GL-DNHR-LCC</a>。</p> <p>今年3月GTC大會期間，美超微針對巨量大型語言模型（LLM）運算環境的設置，推出多座機櫃組成的基礎組建模塊（foundational building blocks）解決方案，名為AI SuperCluster系列，其中就有搭配GH200 Grace Hopper Superchip的組合。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Supermicro SuperCluster.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20SuperCluster.jpg" style="width: 600px;" /></a></p> <p>此系列伺服器系統目前提供3款產品選擇，均利用5座或9座48U尺寸機櫃的部署規模，總共供應256顆Hopper架構資料中心GPU，當中的兩款解決方案，均是搭配32臺採用Nvidia HGX H100或H200 8-GPU的伺服器系統，分別為5櫃型態、導入液態冷卻技術的SRS-48UGPU-AI-LCSU，以及9櫃型態、導入空氣冷卻技術的SRS-48UGPU-AI-ACSU，</p> <p><a href="https://s4.itho.me/sites/default/files/images/SRS-48UGPU-AI-LCSU.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SRS-48UGPU-AI-LCSU.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/SRS-48UGPU-AI-ACSU.jpg" style="width: 298px;" /></p> <p>而剩下的一款同樣為9櫃型態、導入空氣冷卻技術的SRS-MGX256-SU-001，卻是搭配256臺採用單顆GH200 Grace Hopper Superchip的1U伺服器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SRS-MGX256-SU-001.jpg" style="width: 600px;" /></p> <p>就機櫃組成方式而言，SRS-MGX256-SU-001包含8座運算機櫃與1座交換器機櫃。以單座運算機櫃的角度來看，在伺服器方面，這裡可搭載32臺1U尺寸的ARS-111GL-NHR，等於能提供32顆GH200 Grace Hopper Superchip，記憶體組態為15 TB容量的LPDDR5X（32 x 480 GB），以及3TB或4.5TB容量的HBM3（32 x 96 GB或32 x 144 GB）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ARS-111GL-NHR Spec.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ARS-111GL-NHR%20Spec.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SRS-MGX256-SU-001 Compute Rack.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SRS-MGX256-SU-001%20Compute%20Rack.jpg" style="width: 198px; height: 223px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/SRS-MGX256-SU-001(1).jpg" style="width: 198px;" /></p> <p>而在交換器的部分，以運算交織網路（Compute Farbric）來看，SRS-MGX256-SU-001總共可搭配12臺64埠400Gb InfiniBand交換器，機型名稱為SSE-MQM9700-NS2F（Nvidia QM9700），當中4臺用於設置網路的骨幹（Compute Farbric Spine），其餘8臺用於設置網路的枝葉（Compute Farbric Leaf）；</p> <p><a href="https://s4.itho.me/sites/default/files/images/SRS-MGX256-SU-001 Network Fabrics.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SRS-MGX256-SU-001%20Network%20Fabrics.jpg" style="width: 600px;" /></a></p> <p>以網路管理機制的差異來看，負責提供頻外管理（Out-of-band）的設備，是8臺放置在機櫃頂端的48埠GbE乙太網路交換器，機型名稱為SSE-G3748R-SMIS，負責提供頻內管理（in-band）的設備，是4臺64埠100GbE乙太網路交換器，機型名稱為SE-MSN4600（Nvidia SN4600）。</p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong>Supermicro SRS-MGX256-SU-001</strong><br /> ●原廠：Supermicro<br /> ●建議售價：廠商未提供<br /> ●建置規模：9座48U尺寸機櫃，含8座運算機櫃搭配1座交換器機櫃，總共256臺運算節點<br /> ●單座運算機櫃配置：32臺1U尺寸Grace Hopper Superchip單路伺服器ARS-111GL-NHR，搭配1臺400Gb Infiniband交換器MQM9700-NS2F、1臺置頂1Gb乙太網路（頻外管理）交換器SSE-G3748R-SMIS、1臺（頻內管理）100GbE交換器SSE-MSN4600-CS2FC<br /> ●單座交換器機櫃配置：4臺400Gb Infiniband交換器MQM9700-NS2F<br /> ●單臺運算節點配置：單張Nvidia Grace Hopper Superchip（Grace CPU、Hopper GPU（內建96 GB或144 GB ECC HBM3記憶體）、480 GB LPDDR5X記憶體）、8臺E1.S外形SSD與2臺M.2外形SSD、2個400 Gb InfiniBand埠（2張ConnectX-7，或ConnectX-7與BlueField-3各1）、2臺2000瓦電源供應器（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/18 16:58作者李宗翰https://www.ithome.com.tw/review/163492
Rust語法更新開始支援行內常數表示式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.rust-lang.org/2024/06/13/Rust-1.79.0.html">Rust 1.79</a>正式版已經發布，該版本加入了幾項語法更新，首先是行內常數（const）表示式功能，使程式碼更簡潔並增加可讀性，其次，開發者能使用關聯型別位置的界線語法，簡化複雜的語法表達。另外，臨時變數行為也有所改進。整體而言，Rust 1.79的改進偏重強化程式碼的可讀性和除錯能力。</p> <p>Rust 1.79新增的行內常數表示式，允許開發者直接在需要的地方，使用常數值的新方法，不需要在外面先定義常數，也就是在程式碼行中，直接使用const { ... }來表達常數即可。不需要提前定義常數，直接在用到的地方寫出來，讓程式碼更短更簡單。</p> <p>而且這種新的常數寫法可以利用範圍內的泛型，也就是說，常數可以根據不同情況，自動推斷其型別而不用明確指定，此一特性使其在程式碼行內片段特別有用。</p> <p>關聯型別位置的界線語法也在Rust 1.79進入穩定階段，在之前的版本，開發者如果想要在一個Trait的關聯型別加上約束，通常會需要使用複雜的語法，而在新版本中，開發者可以直接在使用這些型別的地方加上約束，而不需要分開來寫，在一個地方，同時對多型別加上約束，不需要一一分開來寫，新語法減少了重複，也增加了可讀性。</p> <p>臨時變數行為在Rust 1.79發生變化，當臨時變數在match和if結構中被引用時，會自動延長生命周期，這與模塊結構中的行為一致，可以提升程式碼的一致性和可讀性。官方還提到，Rust專案發布的標準函式庫，現在使用-Cforce-frame-pointers=yes編譯，強制啟用Frame Pointer，使得下游用戶能夠容易地對程式進行效能剖析，協助開發者診斷和解決效能瓶頸。</p> </div></div></div>
2024/6/18 17:04作者李建興https://www.ithome.com.tw/news/163518
Fintech周報第244期：日本JCB將採用一套系統，能即時將IBM Z系列大型主機的資料傳送到雲端環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">6/10~6/16金融科技精選新聞</span></span></h3> <p dir="ltr"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資訊架構</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端 </span></strong></span></p> <h3>日本JCB將採用新的資訊架構，能即時將IBM Z系列大型主機的資料傳送到雲端環境</h3> <p>日本JCB將採用一套系統，該系統能透過一個資料連接工具，即時將運作在IBM Z系列大型主機中的資料傳送到雲端環境中，讓開發者快速使用儲存於大型主機中的資料，同時減少在大型主機上的開發工作量。</p> <p>該系統在雲端環境中除了提供基本的資料處理工具，也支援API服務，能提供外部應用程式或系統串接查詢資料。並且，該架構也包含一個應用程式的開發環境，讓開發者能透過低代碼或無代碼的平臺進行開發和部署。</p> <p>目前，JCB正在與IBM合作開發和部署這套系統，預計在今年底正式營運。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智能助理 </span></strong></span></h3> <h3>NatWest推出GenAI助理Cora+，能支援更新用戶資訊、查詢帳戶餘額</h3> <p>英國NatWest銀行近日推出導入GenAI的智能助理Cora+，能因應顧客需求回應銀行產品和服務資訊，還能進一步協助用戶更新個人資訊，和查詢帳戶餘額。顧客能在官網、銀行App和網路銀行上使用這個智能助理。目前，這項產品正在對外測試，開放一般民眾使用。</p> <p>Cora+可以幫助用戶更新個人詳細資料，例如地址、電話號碼、電子郵件、姓名，和性別等資訊。當用戶忘記密碼時，也能向Cora+查詢密碼提示。在銀行App和網路銀行中，用戶也能運用Cora+來快速查詢帳戶餘額和交易資訊。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲 </span></strong></span></h3> <h3>澳洲本迪戈和阿德萊德銀行運用GenAI輔助IT現代化工程，三個月內將銀行App遷移至雲端環境</h3> <p>目前，大多數銀行已經開始使用GenAI輔助工程式撰寫程式碼，但澳洲有間銀行更進一步運用GenAI來輔助IT現代化工程，協助重構行內的關鍵業務應用程式。澳洲本迪戈和阿德萊德銀行近日揭露，他們運用GenAI在三個月內成功改寫銀行App，以雲端服務取代銀行App原先使用的關聯式資料庫。</p> <p>該銀行除了透過GenAI改寫程式碼，也用來撰寫自動測試腳本，協助內部減少九成的人力成本。本迪戈和阿德萊德銀行資訊長Andrew Cresp向媒體透露，他們正在運用相同的方法重構分行行員系統和支付平臺。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 貸款審核 </span></strong></span></h3> <h3>日本宮崎銀行運用GenAI加速製作貸款審核文件</h3> <p>日本宮崎銀行表示，內部正在提供部分行員運用GenAI生成貸款審核文件，減少95％的工作時長。宮崎銀行的做法，是在雲端環境中建立網頁伺服器和知識庫。當使用者在行內環境輸入訊息時，訊息會經過專用資料傳輸線傳送至雲端環境的伺服器。儲存在行內環境的銀行資料，也會經過專用資料傳輸線傳送至雲端環境，並整合為行內知識庫。</p> <p>雲端環境中的伺服器收到訊息後，會先檢索知識庫，提取相關資料，然後將訊息一併傳送至GenAI服務。GenAI生成貸款審核文件後，會再透過專用資料傳輸線回傳給行員。宮崎銀行表示，未來還會持續提高應用的準確性，並連接更多的系統資料，提供更多分行使用這項應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/MiyazakiBank_genAI.png" style="width: 600px;" /></p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 區塊鏈</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> RWA </span></strong></span></h3> <h3>集保公司及6家金融機構成立RWA代幣化小組，債券和基金列為優先研究標的</h3> <p>金管會近期宣布，已協力集保公司與6家金融機構合作成立現實世界資產（RWA）研究小組，研擬實體資產代幣化的方式，以及資產的保管和交易模式等。目前，研究小組已確定將債券和基金列為優先研究標的，確定運作機制後，會開放業務試辦或創新實驗申請。</p> <p>目前，國際上已有許多RWA代幣化實際案例，且多從債券和基金開始試驗。例如，德國企業Siemens去年在Polygon區塊鏈上發行6千萬歐元的代幣化債券，去中心化投資平臺Ondo Finance在以太坊與Polygon區塊鏈上推出代幣化基金產品，供投資人以美元穩定幣USDC購買。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬通貨公會</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融監管 </span></strong></span></h3> <h3>臺灣虛擬通貨公會正式成立！下一步是訂定自律規範，落實產業分類分級管理機制</h3> <p>臺灣虛擬通貨公會在近日正式成立，首屆公會共有24間業者入會。在成立大會中，甫當選的理事長鄭光泰表示，制定合理且有效的自律規範，和打造區塊鏈上下游產業鏈，是公會接下來的重要推動事項。</p> <p>甫當選副理事長的蕭匯宗在一個podcast節目中解釋，公會正式成立後，能透過建立自律規範，輔助主管機關更掌握這個新興產業，進一步制定合適的監管機制，甚至能成為未來主管機關制定專法的參考依據。</p> <p>目前，虛擬通貨公會已制定產業的分級分類機制，在公會創始成員名單中，24間業者依據業務涵蓋範疇區分為三類，各類別還會依據公司規模分為兩級。公會表示，未來會妥善執行分級分類管理。意味著，往後新加入的業者也需要依照這個分類分級機制接受管理，透過與同類別企業合作，促進整個產業前進。（<a href="https://www.ithome.com.tw/news/163468">詳全文</a>）</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 區塊鏈</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融防詐 </span></strong></span></h3> <h3>國內加密貨幣交易所XREX打造威脅引擎，快一步揪出詐騙、洗錢帳戶</h3> <p>在臺灣資安大會上，國內加密貨幣交易所XREX分享自家的風控機制。他們開發了一套威脅引擎，整合了用戶交易前、交易中、和交易後的資訊，並提供風險評估，協助內部團隊更快速針對犯罪行為做出應變。</p> <p>這款威脅引擎包含多個模組，能分析KYC、交易行為等資訊，並進行交易監控與性質分析等。引擎在每個階段蒐集的資訊都會分為多個屬性，並針對各別屬性進行風險評估。XREX首席資安工程師Wolf Chen解釋，當模型偵測到異常活動或明顯犯罪態樣，威脅引擎就會啟動分析，並採取必要控管機制。例如，用戶的IP位址在短時間內出現在不同地區，又或是用戶在交易時，其資金與高風險錢包有互動。</p> <p>最後，威脅引擎會針對多個屬性進行評估，依風險高低將帳戶分為低風險、中風險和高風險三種類型，並產出每日報表，供內部團隊快速辨識可疑帳戶。（<a href="https://www.ithome.com.tw/news/163373">詳全文</a>）</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 偽冒網站下架</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融防詐 </span></strong></span></h3> <h3>富邦金建立跨子公司偽冒案件應變小組，系統化執行偽冒網站下架作業</h3> <p>為了讓集團更系統化的下架偽冒網站和詐騙群組，富邦金控在內部推動一系列措施，先是制定集團一致性處理準則，包括定義案件樣態、建立明確處理機制，接著集結金控和子公司人員成立偽冒案件應變團隊，在接獲相關案件通報後，快速建立因應決策。同時，集團內部也使用自動化工具來進行網路監控，協助搜查偽冒訊息或網站。</p> <p>依循這套機制，2023年下半年，富邦處理近300件偽冒案件。其中，釣魚網站及App偽冒案件占多數，即便每件都能成功下架，但平均需要9天的時間，才能順利結案，是最容易接觸到客戶的一類偽冒樣態。（<a href="https://www.ithome.com.tw/news/163467">詳全文</a>）</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Apple Pay</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> RWA </span></strong></span></h3> <h3>Apple Pay將支援分期服務、商品兌換獎勵和先買後付功能</h3> <p>Apple在近日舉辦的開發者大會上揭露多項Apple Pay新功能，除了支援分期支付選項和商品兌換獎勵外，Apple Pay也與BNPL業者合作，提供先買後付功能。另一項功能是開放一般民眾也能使用類似Tap to Pay的功能，當兩臺iPhone手機靠近時，就能完成轉帳。</p> <p>Apple表示，銀行或發卡機構可以在Apple Pay中整合分期服務或商品兌換獎勵，當用戶使用該行信用卡或金融卡結帳時，結帳畫面就會顯示相關服務內容。Apple提到，澳盛銀行將開放澳洲用戶在Apple Pay使用分期服務功能，此外，Apple也與BNPL業者合作，開放美國用戶在Apple Pay使用先買後付服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Apple-WWDC24-services-Apple-Pay-rewards-and-installments_inline.jpg_large.jpg" style="width: 600px;" /></p> <p>圖片來源／JCB、日本宮崎銀行、Apple</p> <p>責任編輯／李昀璇</p> <p>資料來源：iThome整理，2024年6月</p> <p></p> </div></div></div>
2024/6/18 14:19作者李昀璇https://www.ithome.com.tw/news/163511
華碩7款路由器有驗證繞過漏洞，應立即更新韌體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華碩7款家用及消費性路由器產品傳出重大驗證繞過漏洞，可讓未經授權的攻擊者遠端登入裝置。華碩及資安專家呼籲用戶儘早安裝新版軟體。</p> <p>這項驗證繞過漏洞編號CVE-2024-3080，發生在華碩家用及消費性路由器產品的韌體，影響ZenWiFi XT8、ZenWiFi XT8 V2、RT-AX88U、RT-AX58U、RT-AX57、RT-AC86U及RT-AC68U。</p> <p>華碩已在上周<a href="https://www.asus.com/content/asus-product-security-advisory/" target="_blank">安全公告中發布新版韌體下載連結</a>，呼籲用戶儘速更新。華碩並呼籲用戶不要使用預設密碼，並設定混合字元，最少10位元的密碼。</p> <p>該漏洞技術細節不明。但<a href="https://www.twcert.org.tw/tw/cp-132-7859-0e104-1.html" target="_blank">TWCERT/CC公告</a>，CVE-2024-3080為一鑑別繞過漏洞，允許未經身分鑑別的遠端攻擊者登入設備，風險值達9.8。</p> <p>華碩同時更新了CVE-2024-3079的韌體問題，它是風險值7.2的堆疊式緩衝溢位漏洞。最新漏洞可讓取得管理權限的遠端攻擊者在路由器上執行任意指令。兩漏洞都是由同一資安研究員通報。</p> <p>同一波安全修補行動中，華碩還修補了影響Asus下載大師（Download Master）App中的5項中度風險漏洞CVE-2024-31159到2024-31163，該公司已主動更新該App解決安全問題。</p> </div></div></div>
2024/6/18 14:08作者林妍溱https://www.ithome.com.tw/news/163509
DeepMind正在研究如何幫影片生成聲音
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet旗下的AI子公司<a href="https://deepmind.google/discover/blog/generating-audio-for-video/" target="_top">DeepMind正在研究</a>如何幫「生成式影片」生成背景聲音，利用影片至聲音（video-to-audio，V2A）技術來替這些原本無聲的影片加上應有的對話、音效或配樂。</p> <p>目前DeepMind的V2A技術並不是直接餵入影片就能生成聲音，而是結合了自然語言的提示以幫螢幕上的畫面配音，相容於諸如Veo等影片生成模型，並支援包括檔案、無聲電影等影片內容。</p> <p>當使用者輸入音訊及文字提示時，V2A便可生成與影片同步的音訊波形。它會先將所輸入的影片及提示輸入數位化，再利用擴散模型反覆運算，最終生成一個壓縮的聲音文件，再由系統將其解碼，藉以產生與影片畫面高度協調的背景聲音，完全不需要手動對齊影片及所生成的聲音。</p> <p>在V2A技術的展示影片中，DeepMind團隊輸入了一個在黑暗中行走的影片畫面，再提供「電影、恐怖片、音樂、緊張、混凝土上的腳步聲」等文字提示，V2A就能生成恐怖片的背景音樂；還能幫無聲的擊鼓畫面配樂；或是要求它生成搭配畫面的海洋音樂。</p> <p>此外，V2A可替任何影片生成無限數量的音軌，還能選擇正向或反向的文字提示，以要求所生成的聲音更貼近或遠離某些情境。</p> <p>透過對影片、聲音及註譯的訓練，V2A現階段已能連結特定的音訊與不同的視覺場景，亦能對註釋或轉錄文字中的資訊作出反應；DeepMind也正在改善V2A生成結果中關於說話的口型同步能力。</p> </div></div></div>
2024/6/18 14:19作者陳曉莉https://www.ithome.com.tw/news/163510
羅技推出Meta Quest專用3D空間手寫筆MX Ink
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球知名的電腦周邊裝置設計暨製造商羅技（Logitech），在周一（6/17）<a href="https://blog.logitech.com/2024/06/17/bring-familiarity-and-precision-to-mixed-reality-with-logitech-mx-ink-a-stylus-for-meta-quest/" target="_blank">發表了</a>專為混合實境（MR）裝置Meta Quest所設計的手寫筆MX Ink，它可在2D的物理介面上使用，也能於3D空間中使用，強調可自2D空間無縫轉換到3D，並能與Meta Quest控制器切換使用，支援Meta Quest 2與Meta Quest 3，售價為129.99美元，預計於9月底出貨。</p> <p>MX Ink是羅技與Meta合作開發的產品，是Meta Quest的首款MR手寫筆，也是Meta Quest生態體系中的第一個輸入裝置，並讓Meta Quest首次同時支援兩個以上的配對控制器，允許使用者在不中斷作業的情況下，於Meta Quest控制器及MX Ink之間切換。</p> <p>羅技負責開發AR與VR產品的Vadim Kogan表示，羅技這麼多年來一直藉由軟體支援的硬體解決方案，來替人們提供表達所需的自由與精確控制，以將人們連結至數位世界，新款MX Ink是款可從2D無縫轉換到3D空間的手寫筆，它既提供2D手寫筆的熟悉度，也能提供Meta Quest用戶於混合實境中所期望的追蹤精度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0618-Logitech%20MX%20Ink_%20for%20Meta%20Quest-600-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／羅技</span></span></p> <p>從MX Ink的<a href="https://www.youtube.com/watch?v=NiklLiitNYg" target="_blank">展示影片</a>中可看出，MX Ink能夠在3D空間中標記、作畫，也能在2D的表面上描繪。羅技亦替MX Ink設計了專用的充電座MX Ink Well及手寫板MX Mat。</p> <p>目前已支援MX Ink的程式包括Gravity Sketch、ShapesXR、ENGAGE XR、Adobe Substance 3D Modeler、Arkio、Realize Medical、Painting VR、Gesture VR及OpenBrush等，也已<a href="https://www.logitech.com/en-us/products/vr/mx-ink.html" target="_blank">開放開發人員申請</a>MX Ink開發套件，以於應用程式中整合MX Ink手寫筆功能。</p> </div></div></div>
2024/6/18 13:45作者陳曉莉https://www.ithome.com.tw/news/163508
永信藥品工業遭駭客攻擊，首見公開發行公司發布資安重訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>業務範圍擴及全球多國的臺灣製藥公司永信藥品工業，昨日傳出遭遇資安事故，上市生技醫療業永信投控在6月17日下午4時32分率先揭露此事，於證交所公開資訊觀測站發布資安重訊，代重要子公司永信藥品工業公告部分資訊系統遭受駭客攻擊，同日傍晚6時，身為公開發行公司的永信藥品工業也發布重訊，公開這起資安事故。</p> <p>關於因應狀況，根據永信藥品工業的說明，在偵測到部份資訊系統遭受駭客攻擊當下，該公司資訊部門已全面啟動相關防禦機制與復原作業，目前評估對公司營運無重大影響。</p> <p>他們並表示，目前正對所有網域、網頁及相關檔案做全面徹底的掃描檢測，待確保資訊安全後，會陸續恢復資訊系統運作。而我們在17日早上11時實際連至永信藥品與永信國際投資控股的官方網站，仍是無法存取的情況，可能他們還在進行相關調查，所以網站未開放。</p> <p>這次的訊息發布，有一個相當難得之處，因為永信藥品仍只是公開發行公司，沒有成為上市櫃公司，但他們也主動利用證交所的公開資訊觀測站申報系統，將公司本身的資安事件，藉此管道對外公布。（永信藥品2011年轉換為「永信國際投資控股股份有限公司」，並於臺灣證券交易所掛牌上市，永信藥品則維持公開發行。）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-18_103239.jpg" style="width: 600px;" /></p> <p>此外，關於旗下子公司發生重大資安事件，母公司也需要替子公司進行公告，自2021年開始就陸續有其他公司依規範這樣代為公告，今年初金管會也持續宣導此事，而這次永信投控代子公司發布的重大訊息，也再次讓所有人了解到資安事故的揭露並不侷限自身公司，自家子公司所遭遇的資安事件，也都可能讓公司本身受到影響，等於也提醒這些上市櫃公司，需同樣重視子公司的資安強化。</p> </div></div></div>
2024/6/18 09:49作者羅正漢https://www.ithome.com.tw/news/163503
Adobe於Acrobat中整合文字生成圖像服務Firefly
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.adobe.com/news/news-details/2024/Adobe-Reimagines-Acrobat-Bringing-Firefly-AI-to-PDFs-and-Expanding-Use-Across-More-Document-Types/default.aspx" target="_blank">Adobe宣布</a>，將把圖像生成模型Firefly整合到Adobe Acrobat中，以供Acrobat用戶於PDF文件中編輯或生成圖片，號稱是這是第一個於應用程式中提供生成圖像能力的PDF解決方案，今日（6/18）起，Acrobat用戶就能使用Firefly所支援的文本提示，於全球流通的近3兆個PDF檔案編輯及建立圖像。同一天Adobe也順便推廣甫於上個月推出的<a href="https://news.adobe.com/news/news-details/2024/Adobe-Revolutionizes-Workplace-Productivity-with-Launch-of-Acrobat-AI-Assistant-for-the-Enterprise/default.aspx" target="_blank">AI助手Acrobat AI Assistant</a>。</p> <p>去年問世的<a href="https://www.ithome.com.tw/news/156032" target="_blank">Firefly標榜</a>全都使用具版權的內容進行訓練，能夠編輯與生成圖像，已被整合到Lightroom、Photoshop、Adobe Express、Illustrator與InDesign等Adobe影像應用中，現在則出現在文書處理平臺Acrobat上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0618-adobe%20firefly.png" style="width: 600px;" /></p> <p>此舉意味著Acrobat可直接於程式中編輯與生成PDF文件的圖像，包括使用基於Firefly技術的生成式填充、刪除背景、擦除、裁剪等功能，或是添加、移除或恢復文件圖像中的內容；其圖像生成功能則是基於Firefly Image 3模型，在以文本提示產生圖像後，也能快速調整尺寸與風格，並將其嵌入文件中的任何位置。</p> <p>Acrobat用戶可免費使用新的Firefly，而Acrobat AI Assistant則是一個訂閱服務，它能與各種文件對話，涵蓋PDF、Word或PowerPoint等，藉由自然語言的溝通來建議問題並根據文件內容提供答案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0618-adobe-pdf-ai%20assistant.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Adobe</span></span></p> <p>因此，Acrobat用戶可利用此一AI助理來生成文件的摘要，也能自動產生答案的引用來源，或是快速尋找文件中的資訊，以及自文件中汲取內容以生成電子郵件、演講稿、部落格文章或報導等內容格式。</p> <p>AI Assistant在推廣期間的每月訂閱費用為4.99美元，不過，Adobe從6月18日至6月28日開放Acrobat用戶免費試用該服務。</p> </div></div></div>
2024/6/18 11:35作者陳曉莉https://www.ithome.com.tw/news/163506
InfiniBand 800Gb網路駕到！輝達在臺公開4U、72埠交換器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_quantum-x800_main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼1年前Nvidia開始主推800Gb乙太網路交換器Spectrum-X，今年3月GTC大會他們針對旗下兩大800Gb網路平臺，正式定名為Spectrum-X800 Ethernet與Quantum-X800 InfiniBand，預告2025年將由多家基礎架構與系統廠商供應。</p> <p>以Spectrum-X800 Ethernet而言，對應每一座資料中心的建置需求，提供AI最佳化的網路環境，我們在4月已發表相關報導，至於Quantum-X800 InfiniBand對應AI專用基礎架構，提供最大的網路效能，當時Nvidia僅簡略提到一些特色。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-03-GTC%20Keynote-BlackPlatform-Q800.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-Nvidia%20Networking.jpg" style="width: 600px;" /></p> <p>例如，當中將包含交換器Quantum Q3400，以及網路卡ConnectX-8 SuperNIC，可橫跨所有環節提供800 Gb/s的吞吐量，相較於上一代InfiniBand平臺，頻寬容量可增長至5倍（Quantum-X800可提供144個800Gb/s埠），而在搭配第4版可擴充分層彙總與精簡通訊協定（SHARPv4）之下，Quantum-X800 InfiniBand的網內運算（In-Network Computing）效能，也提升至9倍（14.4Tflops）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-03-Quantum-X800 InfiniBand Switch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-03-Quantum-X800%20InfiniBand%20Switch.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-03-Nvidia%20SHARPv4.jpg" style="width: 500px;" /></p> <p>在3月底，Nvidia網站公布Quantum-X800 InfiniBand平臺的解決方案簡介文件，裡面進一步說明交換器機型、網路卡、纜線與收發器，以及網管系統規格。單就交換器來看，Nvidia將推出採用4U尺寸機箱的Q3400，區分為支援19吋寬度通用標準機櫃與氣冷散熱的Q3400-RA，以及支援21吋OCP標準機櫃與液冷散熱的Q3400-LD，它們均內建72個OSFP規格的連接埠，可分接144個800 Gb/s的網路埠，以及1個專屬的管理埠，連接Nvidia的InfiniBand網管平臺Unified Fabric Manager，基於這樣的架構，企業能透過兩層式階層拓樸架構連接10,368張網路卡，提供最低存取延遲與最大量的工作就地執行能力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-03-quantum-spectrum-x800.jpg" style="width: 600px;" /></p> <p>到了6月初登場的台北國際電腦展期間，Nvidia首度公開Quantum-X800交換器外形，向參觀展覽的全球媒體工作者展示硬體設備，</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20QuantumX-800-2024-06-06-web.jpg" style="width: 600px;" /></p> <p>而在共同創辦人暨執行長黃仁勳的主題演講，所展示的資料中心產品最新發展藍圖當中，也將先前推出的400Gb InfiniBand交換器，改稱為Quantum-X400，作為支撐現行資料中心GPU平臺Hopper的網路技術，新上場的Spectrum-X800與Quantum-X800，作為支撐Blackwell平臺的網路技術，並預告下一代資料中心GPU平臺Rubin搭配的網路技術，會是1600 Gb/s的InfiniBand與乙太網路X1600系列。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-Nvidia%20Data%20Center%20Roadmap.jpg" style="width: 600px;" /></p> <p>而稍早（5月底）Nvidia網站也公布Quantum-X800 InfiniBand Switches的規格資料表，當中增列不少資訊。</p> <p>例如，在機型方面，Nvidia不只提供4U尺寸的Q3400-RA和Q3400-LD，也針對較小型的環境，提供2U尺寸、採用固定組態與氣冷散熱的Q3200-RA，提供36個800Gb InfiniBand網路埠，而且，Quantum-X800系列可選用路由器功能，擴充InfiniBand網路叢集的規模，支援橫跨多個站點的大量節點部署需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-05-Nvidia%20Quantum%20X-800-1.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-05-Nvidia%20Quantum%20X-800-Spec.jpg" style="width: 600px;" /></p> <p>關於網內運算效能的突破，Nvidia也提到SHARPv4支援FP8精度的資料類型處理，增加新的集結作業機制（ReduceScatter、ScatterGather）。在機箱管理與系統組態設定的部分，Nvidia在這份新公告的文件裡面表明，Quantum-X800系列交換器所用的系統軟體平臺是Nvidia Networking OS Software（NVOS），這套作業系統支援多種介面，涵蓋命令列介面、REST API、SNMP、gNMI（gRPC Network Management Interface）telemetry。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20SHARP-2024-03.png" style="width: 600px;" /></p> <p>值得注意的是，該公司目前並未針對新出現的NVOS提出更詳細的說明。根據Nvidia網站公布的相關文件，交換器軟體目前有6種，乙太網路交換器搭配的作業系統是Onyx，InfiniBand交換器採用MLNX-OS，InfiniBand長距離連接系統MetroX採用NVDA-OS XC，連接InfiniBand與Ethernet的閘道設備Skyway採用MLNX-GW，以及開放式網路作業系統Cumulus Linux，NVOS是否為上述系統軟體其中一個的後繼改名，或是整合多個系統軟體之後的版本，仍有待釐清。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Nvidia Quantum-X800</strong><br /> ●原廠：Nvidia<br /> ●建議售價：廠商未提供<br /> ●機型名稱：Q3200-RA、Q3400-LD、Q3400-RA<br /> ●網路介面：Q3200-RA由兩臺交換器組成，每臺36個OSFP埠（800Gb埠），Q3400-LD、Q3400-RA每臺72個OSP埠，可分接144個800Gb埠<br /> ●機箱尺寸：Q3200-RA為2U，Q3400-LD、Q3400-RA為4U<br /> ●系統交換容量：Q3200-RA每臺28.8 Tb/s，Q3400-LD、Q3400-RA每臺115.2 Tb/s<br /> ●硬體運算規格：英特爾第8代i3處理器i3-8100H（4核心、3GHz）<br /> ●作業系統：NVOS</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/18 11:48作者李宗翰https://www.ithome.com.tw/review/163475
Pixel 8、Pixel 8a終於也有Gemini Nano
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周針對Pixel裝置系列<a href="https://blog.google/products/pixel/pixel-feature-drop-june-2024/" target="_blank">釋出本月更新功能</a>（Feature Drop），包括將Gemini Nano AI模型支援擴展到基本款的Pixel 8及Pixel 8a。</p> <p>Google去年宣布Gemini AI模型系列，其中的Gemini Nano是可以在手機上執行的小語言模型。Google首先於12月將Gemini Nano部署到最高階的Pixel 8 Pro以及三星Galaxy S24系列。今年3月在用戶要求下，Google承諾原本「有硬體限制」而無法執行裝置端AI模型的Pixel 8，將在下次Feature Drop中<a href="https://www.ithome.com.tw/news/162026" target="_blank">獲得</a>使用Gemini Nano的權利。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0618-gemini%20nano.png" style="width: 600px;" /></p> <p><a href="https://www.androidauthority.com/pixel-feature-drop-june-2024-3450107/" target="_blank">Android Authority</a>報導，昨日開始釋出6月份Feature Drop，不但允許Pixel 8，也讓Pixel 8a使用AI服務。</p> <p>透過使用Gemini Nano，Pixel 8手機系列的Recorder會更強大，像是提供每位說話者名字、說話內容謄寫及重點整理，並可匯出到Google Docs。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0618-Pixel-%20June%2024%20Feature%20Drop-600.png" style="width: 444px;" /></p> <p>不過報導指出，用戶必須手動啟動開發者選項（Developer Options）以及Gemini Nano。有鑒於不是大家都會操作，報導也提供啟動方法：先在「設定」>「關於手機」，在軟體版本中點擊多次直到出現「你是開發人員」。然後再從「設定」>「系統」>「開發者」選項，在清單中找到「AICore」設定，並啟動所有AICore功能。</p> <p>6月份Feature Drop其他功能還包括支援Display Port影音傳輸介面，Pixel 8系列全都支援；可從通話紀錄反向查詢電話號碼，以及支援HDR+拍攝，Pixel 6以上的裝置都支援，包括Pixel Tablet；支援關機狀態的Find My Device，目前僅提供Pixel手機。Google說關機狀態下的Find Device未來會推向非Pixel手機，但Android Authority報導，由於這需要特別硬體，因此支援的第三方品牌可能也不會很多。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/6/18 12:00作者林妍溱https://www.ithome.com.tw/news/163507
Adobe隱藏提早終止訂閱費用，遭美政府控告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部昨（17）日根據聯邦貿易委員會（Federal Trade Commission，FTC）建議，<a href="https://www.ftc.gov/system/files/ftc_gov/pdf/adobe_complaint.pdf" target="_blank">控告Adobe</a>未明確告知用戶提早終止服務訂閱衍生的高額費用，以此阻撓消費者中途解約。</p> <p>Adobe 2012年開始轉向軟體訂閱制，涵括其旗艦產品如Acrobat、Photoshop、Illustrator、Creative Cloud，透過Adobe.com銷售，以用戶月費收入支持穩定營收。根據司法部文件，近年Adobe訂閱收入快速成長。2019年到2023年該公司訂閱費營收由77.1億元成長近2倍來到142.2億美元，占Adobe 2023全年營收（194.1億美元）的絕大部分。</p> <p>司法部指出，多年來Adobe在用戶訂閱「年約月付」（Annual, Paid Monthly，APM）方案時，未清楚說明，在未滿一年時終止訂閱需支付高額解約費用（early termination fee，ETF）。Adobe只有在用戶企圖提早終止訂閱時才清楚告知，企圖阻止消費者離去。</p> <p>根據Adobe的APM條款，若用戶在訂閱頭14天內取消，可以獲得第一筆支付費用全額退費。但若他們在未滿一年前終止訂閱，不但會在當月底喪失服務使用權，還需支付合約剩下期間月費的50%。消費者可能被迫支付數百美元換取中止服務。</p> <p>司法部文件指稱，消費者訂閱APM服務時，這些條款以小字出現，且被文字對話框、超連結等遮掩住，企圖不讓消費者看到。之後又以繁複而冗長的程序，及高昂終止費阻撓消費者取消訂閱，已違反聯邦法。為了終止Adobe違法行為，司法部尋求法院對Adobe採取禁制令、民事處分、金錢賠償等其他救濟方法。</p> <p>Adobe對此並不服氣。<a href="https://news.adobe.com/news/news-details/2024/Adobes-Statement-Regarding-Federal-Trade-Commission-Complaint/default.aspx" target="_blank">Adobe表示</a>，該公司的訂閱服務費方便、彈性並且成本效益，提供用戶符合其需求、時間和預算的方案。Adobe也宣稱自己的服務條款向來透明，取消手續也很簡單。為此，這家軟體大廠表示將在法庭上反駁FTC的說法，以捍衛自身立場。</p> </div></div></div>
2024/6/18 11:17作者林妍溱https://www.ithome.com.tw/news/163505
網通大廠思科擴大在臺投資，啟動新的數位加速計畫聚焦三大重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網通大廠思科近日擴大在臺投資，宣布啟動新的數位加速計畫，聚焦綠色永續、資安和AI驅動的智慧轉型。這也是思科在臺灣啟動的第三次數位加速計畫，臺灣也是思科全球50個推動執行國家中少數進入第三階段投資的國家之一。不少政府官員，甚至副總統蕭美琴也到場站臺，支持思科在臺加碼的數位投資。</p> <p>思科數位加速計畫目前已在全球50個國家推動執行，但進到第三階段的國家，只占不到10％，臺灣是其中之一。臺灣從2018年開始加入計畫中，展開第一階段數位加速計畫，一開始瞄準智慧城市、企業 5G專網、資訊安全和數位醫療照護的數位轉型，接著2021年進到第二階段執行，包含五大面向的投資，包括資訊安全、智慧城市和交通、金融韌性、智慧能源、樂齡生活。</p> <p>思科大中華區副總裁暨台灣總經理林岳田表示，在1.0和2.0推動過程中，獲得不少的成果，包括與16家產業夥伴合作，並在6年內完成了24個專案項目，運用在智慧城市、企業5G專網、智慧醫療、智慧交通、金融韌性、資訊安全、智慧能源、智慧船舶、樂齡生活等領域發展上。</p> <p>思科並沒有透露這次臺灣3.0計畫的投資金額，僅強調思科新的3.0推動計畫從今年初就開始，未來將為期2～3年推動，聚焦三大方向，分別是綠色永續、資安和AI驅動的智慧轉型。</p> <p>首先在綠色永續方面，思科計畫將打造一個更安全、更智能的營運環境，加速臺灣在綠色製造、智慧港口的發展，未來也將提供思科綠色解決方案，協助臺灣實現2050年淨零目標。</p> <p>延續2.0，資訊安全依然是3.0關注的重點，思科表示將持續加大資安投資，並與政府共同培育優秀的資安人員。此外，思科計畫打造更有韌性的資安中心，該中心不僅提供網路威脅情資交換，還將具有足夠的資安韌性，以應對未來更加複雜的資安挑戰。最後在AI方面，思科計畫優先將AI運用在智慧城市和交通等領域，加強交通管理與安全，實現城市基礎設施的轉型。</p> <p>林岳田提到，今年開始已經跟一些地方政府和重要製造業展開合作，目前已有計畫正在執行中，未來每年會檢視執行成效。</p> </div></div></div>
2024/6/18 10:00作者余至浩https://www.ithome.com.tw/news/163504
【資安日報】6月17日，日本影音共享平臺Niconico、角川書店傳出服務中斷近一週，起因是資料中心遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月上旬日本知名的影片共享平臺Niconico證實出現服務異常的情況，引起外界關注，然而隨著這起事故的發展，母公司角川集團表示，不光是Niconico，旗下也有其他網站停止運作。</p> <p>但值得留意的是，事隔一週，他們終於承認這是一起勒索軟體攻擊，不過，究竟是那個勒索軟體駭客組織所為，該集團表示，由於這起事故尚在調查，不便公布相關細節。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163495"><strong style="font-size: 22px;">日本影音共享平臺Niconico、角川書店因資料中心遭受勒索軟體攻擊，被迫暫停相關服務</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/MoHLt7IpiP-niconico-0614.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MoHLt7IpiP-niconico-0614.png" style="width: 300px; float: right;" /></a>日本知名的影片共享平臺Niconico於6月8日凌晨3時23分傳出服務異常的現象，並於當天早上6時進行緊急維護作業，後續公布事故發生的原因，是伺服器遭遇大規模攻擊，導致該網站的相關服務暫停，他們也將透過社群網站X的官方帳號公布處理的最新進度。該網站指出，Niconico旗下的家族服務都無法運作，包含Niconico動畫、Niconico生放送、Niconico頻道，此外，網路高中「N予備校」的系統也同樣停止服務。</p> <p>但不光是Niconico受到影響，該資安事故也出現其他同集團的服務停止運作的消息。6月9日角川集團發出聲明，自8日凌晨開始，他們發現多臺伺服器出現無法存取的現象，為了避免資料遭到破壞，該集團隨即關閉相關伺服器因應，根據初步的調查結果，他們遭遇了網路攻擊。</p> <p>到了14日，經營Niconico的多玩國公司（Dwango）發出聲明，說明整起事件的發生經過，證實這是一起勒索軟體攻擊事故，並表示他們在9日向警方通報，並尋求外部專家協助，然後先後在10日、12日，通知日本個人資料保護委員會、關東地方財務局。</p> <p><a href="https://www.ithome.com.tw/news/163471"><strong style="font-size: 22px;">研究人員針對鎖定巴黎奧運賽事而來的詐騙網站提出警告</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/k1_0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/k1_0.png" style="width: 300px; float: right;" /></a></p> <p>巴黎奧運即將於今年7月下旬舉行，但資安業者Proofpoint提出警告，他們發現了聲稱銷售運動會入場門票的冒牌網站paris24tickets[.]com，該網站表明他們是專門銷售各式體育活動門票的第二市集，並標榜若是不滿意他們的服務，將退回150%的款項作為賠償。</p> <p>值得留意的是，使用者若是透過Google搜尋「Paris 2024 tickets」，該網站就會出現在第2項搜尋結果（第1個是正牌的奧運網站），Proofpoint向主辦單位通報此事，並與網域註冊業者合作，停用相關網域。</p> <p><a href="https://www.ithome.com.tw/news/163500"><strong style="font-size: 22px;">駭客組織Scattered Spider鎖定IT服務人員發動社交工程攻擊，竊取各式SaaS應用程式機密資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2add212dfa66fc9f99ec2385321cae5e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2add212dfa66fc9f99ec2385321cae5e.png" style="width: 300px; float: right;" /></a></p> <p>曾在2022年開始針對Twilio、Cloudflare等上百家IT業者的員工下手，從事社交工程攻擊、網路釣魚攻擊、SIM挾持攻擊收集帳密資料，從而入侵企業內部環境，引起各界關注的駭客組織Scattered Spider（也被叫做0ktapus、Octo Tempest、UNC3944），最近轉移攻擊目標而引起研究人員的注意。</p> <p>資安業者Mandiant指出，他們針對該組織持續進行追蹤發現，這些駭客在過去10個月裡，將攻擊目標轉向企業使用的SaaS應用程式，對方先是針對企業的IT服務臺（Help Desk）下手，藉由社交工程手法，得到特權帳號的初始存取管道。值得留意的是，駭客在發動攻擊之前，其實已掌握客服人員的個人識別資訊（PII），而能夠在過程裡繞過服務臺管理員的身分驗證。</p> <p><a href="https://www.ithome.com.tw/news/163491"><strong style="font-size: 22px;">針對部分廠區遭遇網路攻擊，半導體晶圓廠環球晶圓二度發布重大訊息，證實生產及出貨出現延遲</strong></a></p> <p>針對6月12日發生部分資訊系統遭遇駭客攻擊的情況，半導體矽晶圓廠環球晶圓（環球晶）先是在13日發布重大訊息證實此事，並表示他們正在著手調查影響情形，14日該公司再度發布重大訊息，進一步說明事故處理進度。</p> <p>環球晶圓指出，在他們與外部專家聯手調查之下，已經確認重要的資料、系統並未受到損害。然而，由於他們在調查初期，為了降低資安事故可能擴大的風險，並釐清影響範圍，當時他們選擇暫時關閉部分作業系統，導致部分廠區的生產及出貨作業，出現延遲的現象。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/london-hospitals-cancel-over-800-operations-after-ransomware-attack/"><strong style="font-size: 20px;">英國倫敦多家醫院受到Synnovis勒索軟體事故波及，被迫取消逾800項手術</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/new-arm-tiktag-attack-impacts-google-chrome-linux-systems/"><strong style="font-size: 20px;">研究人員揭露攻擊Arm裝置的手法TikTag，能針對Linux版的Chrome下手</strong></a></p> <p></p> <p>◆<a href="http://www.volexity.com/blog/2024/06/13/disgomoji-malware-used-to-target-indian-government/"><strong style="font-size: 20px;">Linux惡意軟體Disgomoji鎖定印度政府機關而來，攻擊者利用表情符號來下達命令</strong></a></p> <p></p> <p>◆<a href="https://www.cisa.gov/news-events/alerts/2024/06/13/cisa-adds-three-known-exploited-vulnerabilities-catalog"><strong style="font-size: 20px;">美國CISA證實Windows權限提升漏洞CVE-2024-26169已被用於勒索軟體攻擊行動</strong></a></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.twcert.org.tw/tw/cp-132-7859-0e104-1.html"><strong style="font-size: 20px;">華碩公布路由器重大身分驗證繞過漏洞，7款機型受到影響</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163452"><strong style="font-size: 22px;">企業IT預算的資安占比創新高，資安轉型企業加碼力道翻倍</strong></a></p> <p>根據iThome 2024資安大調查的分析結果顯示，今年資安預算金額平均達到1,260萬元，不過，距離資安長心中足以因應當前企業威脅的資安預算規模，仍舊少了快3成：資安長期望的理想資安預算，平均約為1,635萬元。只有一類企業，今年資安預算達到了整體產業資安長的理想預算規模，那就是資安轉型企業。</p> <p>今年有高達49.8%的CIO將資安轉型列為年度目標，這一群資安轉型企業，也大力加碼資安投資來支持這個戰略目標。資安轉型企業今年平均資安預算達到1,800萬元之多，遠高於整體產業資安長的期望值。資安轉型企業的資安預算成長力道達到8.7%，幾乎是整體產業資安預算成長率4.7%的兩倍。</p> <p><a href="https://www.ithome.com.tw/news/163493"><strong style="font-size: 22px;">微軟9月起淘汰個人電子郵件帳號的基礎身分驗證措施</strong></a></p> <p>上週微軟宣布，將自今年9月16日起棄用Outlook個人電子郵件帳戶的基礎驗證，屆時用戶將無法再以簡單的名稱及密碼登入；再者，該公司亦將於8月19日棄用精簡版的Outlook Web App；並在年底結束對郵件（Mail）與行事曆（Calendar）應用程式的支援。</p> <p>這裡提及的基礎驗證，就是僅利用名稱及密碼來登入服務，而微軟所宣稱的新式驗證，則是涵蓋多因素驗證、基於用戶端憑證的身分驗證，或者是OAuth等，是微軟額外利用後端程序或權杖，來強化帳戶安全的驗證方式。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://news.pts.org.tw/article/699798"><strong style="font-size: 20px;">英國智庫皇家國際事務研究所舉辦2024年網路安全會議，邀請數位發展部分享臺灣防禦策略</strong></a></p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163001"><strong style="font-size: 22px;">「資安即國安」戰略目標確立臺灣8年資安發展</strong></a></p> <p>蔡英文總統2016年提出以「資安即國安」為綱領的國家資安戰略，這項戰略之所以能獲得諸多肯定，國安會秘書長顧立雄表示，「總統帶頭重視資安」是一個重要的關鍵，因為總統的重視，形塑了一股由上而下持續引導的力量，逐步帶動政府各個部門跟著重視資安議題。</p> <p>檢視資安即國安戰略八年發展歷程，顧立雄點出幾項重大進步，包括國家資安政策擴及軍事、情報與執法單位的合作、公部門與民間產業資安能力精進、從被動防禦轉為主動防禦、積極推動數位韌性，以及加強公私協力、強化上市櫃資安治理與產業供應鏈安全等。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163458"><strong>【6月14日】勒索軟體駭客組織Black Basta在微軟提供漏洞修補3個月前，利用掌握到的資安弱點打造攻擊工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163444"><strong>【6月13日】荷蘭針對中國駭客攻擊Fortinet防火牆設備的網路間諜行動進行深度調查，駭客挾持全球逾2萬臺設備</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163429"><strong>【6月12日】微軟發布6月份例行更新，總共針對49個漏洞進行公告</strong></a></p> </div></div></div>
2024/6/17 18:53作者周峻佑https://www.ithome.com.tw/news/163501
重要科學運算函式庫NumPy經多年開發迎來2.0重大更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料科學與機器學習研究人員常用的函式庫NumPy，自2006年NumPy發表以來，首次釋出重大更新版本2.0。該版本擁有許多新功能以及對Python和C API的變更，同時也包含了包括ABI破壞、類型提升規則（Type Promotion Rules）以及API棄用等破壞性更改。</p> <p><a href="https://numpy.org/devdocs/release/2.0.0-notes.html">NumPy 2.0</a>的新功能包括加入了一個新的可變長度字串類型StringDType，以及新的numpy.strings命名空間，內含高效的字串操作函式。傅立葉轉換模組numpy.fft的函式都支援float32和longdouble更高精度資料型態，而且在主要的NumPy命名空間中，增加了對陣列API標準的支援，如此與其他同樣遵循此標準的函式庫，就能更順利地互通。</p> <p>除了新功能，NumPy 2.0還有一大部分的更新是效能方面的改進，特別是針對特定硬體的加速，像是諸如sort、argsort、partition和argpartition等排序函式，藉由使用Intel x86-simd-sort和Google的Highway函式庫進行加速，在相對應的硬體上會有明顯的效能提升。另外，對於macOS 14以上版本，NumPy也增加macOS Accelerate支援和二進位發布套件，大幅提升在macOS上進行線性代數運算的效能，同時也使得安裝套件體積縮小約3倍。</p> <p>開發團隊對NumPy進行了許多改進，並持續將程式碼從C移植到C++，目的是要讓NumPy的改進和維護工作變得更容易。不過，也因為Python和C API都有大量重大變更，因此某種程度也犧牲了向後相容性，雖然不少情況會有明確的錯誤訊息告知開發者調整的方法，但部分時候也會出現沒有明確指示的錯誤訊息，開發者可以參照官方的棄用相容性文件和NumPy 2.0搬遷指南進行處理。</p> </div></div></div>
2024/6/17 18:20作者李建興https://www.ithome.com.tw/news/163494
【iThome 2024資安大調查系列2】零信任驅動企業資安戰略轉型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1186-feng_mian_p1-open-dou_zi_-zi_an_da_diao_cha_xi_lie_2-960x420_kao_bei_0.jpg?itok=Zs2RyXqB" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣企業資安自信心比過去更高，也更想要推動資安轉型，破3成企業要採用零信任資安，4成企業持續招募資安人力，近5成CIO和CISO將資安轉型列為年度目標，金融、服務和一般製造業今年資安預算都破10%</p> </div></div></div>
2024/6/17 18:24作者王宏仁https://www.ithome.com.tw/article/163461
駭客組織Scattered Spider鎖定IT服務人員發動社交工程攻擊，竊取各式SaaS應用程式機密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾<a href="https://www.ithome.com.tw/news/152870">在2022年開始針對Twilio、Cloudflare等上百家IT業者的員工下手</a>，從事社交工程攻擊、網路釣魚攻擊、SIM挾持攻擊收集帳密資料，從而入侵企業內部環境，引起各界關注的駭客組織<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Scattered Spider</span>（也被叫做<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">0ktapus</span>、Octo Tempest、UNC3944），最近轉移攻擊目標而引起研究人員的注意。</p> <p>資安業者Mandiant指出，他們針對該組織持續進行追蹤發現，這些駭客在過去10個月裡，<a href="https://cloud.google.com/blog/topics/threat-intelligence/unc3944-targets-saas-applications/">將攻擊目標轉向企業使用的SaaS應用程式</a>，對方先是針對企業的IT服務臺（Help Desk）下手，藉由社交工程手法，得到特權帳號的初始存取管道。值得留意的是，駭客在發動攻擊之前，其實已掌握客服人員的個人識別資訊（PII），而能夠在過程裡繞過服務臺管理員的身分驗證。</p> <p>這些駭客對服務臺撥打電話，聲稱他們收到了新手機，需要重設多因素驗證（MFA）機制。在與服務臺管理員互動的過程中，對方不僅能重設特權帳號的密碼，還能繞過多因素驗證防護。</p> <p>在成功得到受害組織的初始存取權限後，這些駭客針對微軟應用系統進行內部偵察，並找出遠端連線的存取管道。他們經常挖掘SharePoint網站上提供的VPN、虛擬桌面基礎設施（VDI），以及遠距辦公相關的內部文件進行調查，從而濫用合法工具遠端存取受害組織的內部環境。</p> <p>此外，這些駭客也濫用身分驗證系統Okta，將成功入侵的帳號加入所有與Okta串連的應用程式，從而將攻擊範圍從內部網路環境延伸到雲端的SaaS應用程式。研究人員指出，這麼做駭客不僅濫用了單一簽入（SSO）機制，還能藉由Okta管理平臺觀察這些帳號的狀態，來進一步偵察。</p> <p>值得留意的是，這些駭客為了持續在受害組織活動，他們透過建立虛擬機器（VM）來達到目的。在許多攻擊行動裡，研究人員看到對方透過單一簽入存取vSphere及Azure，建立VM並藉此執行後續工作。研究人員指出，駭客這麼做的動機，主要是濫用管理群組或是應用程式綁定的管理員權限而能得逞。</p> <p>為了繞過雲端服務的身分驗證機制，他們發現對方利用名為PCUnlocker的光碟映像檔，並透過vCenter將其掛載到VM使用。此外，這些駭客還會重設電腦d的管理員密碼，而能繞過網域控制。</p> <p>而對於駭客存取的SaaS服務，他們指出包含了vCenter、CyberArk、SalesForce、Azure、CrowdStrike、AWS、GCP，而且，在成功入侵這類服務後，便會執行進一步的偵察，甚至會使用雲端同步工具Airbyte、Fivetran，將受害組織的資料轉移到GCP及AWS上。此外，他們也發現對方會拿EDR系統來進行測試，並鎖定Active Directory Federated Services（AD FS），從而將相關帳密用於Golden SAML攻擊。</p> </div></div></div>
2024/6/17 18:41作者周峻佑https://www.ithome.com.tw/news/163500
日本影音共享平臺Niconico、角川書店因資料中心遭受勒索軟體攻擊，被迫暫停相關服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本知名的影片共享平臺Niconico於<a href="https://web.archive.org/web/20240607210358/https://blog.nicovideo.jp/niconews/225099.html">6月8日凌晨3時23分</a>傳出服務異常的現象，並於<a href="https://x.com/nico_nico_talk/status/1799190761076101413">當天早上6時進行緊急維護作業</a>，後續公布事故發生的原因，是伺服器遭遇大規模攻擊，導致該網站的相關服務暫停，他們也將透過社群網站X的官方帳號公布處理的最新進度。<a href="https://blog.nicovideo.jp/niconews/225099.html">該網站指出</a>，Niconico旗下的家族服務都無法運作，包含Niconico動畫、Niconico生放送、Niconico頻道，此外，網路高中「N予備校」的系統也同樣停止服務。</p> <p>但不光是Niconico受到影響，該資安事故也出現其他同集團的服務停止運作的消息。<a href="https://prtimes.jp/main/html/rd/p/000014844.000007006.html">6月9日角川集團發出聲明</a>，自8日凌晨開始，他們發現多臺伺服器出現無法存取的現象，為了避免資料遭到破壞，該集團隨即關閉相關伺服器因應，根據初步的調查結果，他們遭遇了網路攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/iJhtXRTqTe-kadokawa.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/iJhtXRTqTe-kadokawa.png" style="width: 580px;" /></a></p> <p>當時，他們已確認Niconico、角川網站，以及電商平臺Ebten受到影響。</p> <p>Ebten於10日在網站上發布公告，表明之前下單的客戶他們將正常出貨，但他們無法發送相督的電子郵件通知信。該電商平臺也強調不在伺服器存放信用卡資料，目前未出現相關資料外流的情形。</p> <p>到了14日，經營Niconico的多玩國公司（Dwango）發出聲明，說明整起事件的發生經過，<a href="https://dwango.co.jp/news/5131439897051136/">證實這是一起勒索軟體攻擊事故</a>，並指出他們在察覺旗下服務無法運作後，已經切斷與角川集團資料中心伺服器之間的連線，並停止提供相關服務。然而，他們發現這起資安事故造成的危害，已擴散至內部網路環境，對此他們停止使用內部業務系統，並且禁止員工存取內部網路。</p> <p>該公司也公布處理這起事故的時間點，他們在9日向警方通報，並尋求外部專家協助，然後先後在10日、12日，通知日本個人資料保護委員會、關東地方財務局。</p> <p>多玩國表示，Niconico同時使用公有雲服務，以及母集團角川資料中心提供的私有雲服務。而這起事故發生的源頭，是資料中心有伺服器遭到勒索軟體攻擊，部分虛擬機器遭到加密而無法使用，導致包含Niconico在內的網路服務停擺。</p> <p>值得留意的是，在他們察覺攻擊行動並採取行動之後，駭客不斷嘗試重複出手。多玩國指出，IT人員在遠端關閉私有雲的伺服器後，他們發現對方嘗試遠端啟動伺服器，並試圖擴大感染範圍。對此，他們進一步拔除伺服器的電源線和網路線因應。</p> <p>該公司也進一步說明受影響的範圍，由於Niconico動畫網站、影片資料、影片發布系統都架設在公有雲上，因此並未受到影響。但該網站的直播（生放送）發布系統部署在私有雲，而受到波及。</p> <p>值得留意的是，多玩國強調Niconico的服務架構極為複雜，背後為數百個系統協同運作，因此他們必須對伺服器逐一確認，救出未受到的影響的資料，並重新架構該服務影音服務平臺，他們研判，若要完全恢復，需要1個月以上的時間。</p> <p>而對於用戶受到影響的部分，他們也打算對於Niconico付費會員、N予備校學生、頻道經營者提出補償，而相關方案將在6月至7月公布。</p> <p>比較特別的是，角川集團在因應內部系統無法短時間恢復運作的情況下，已針對部分系統提供替代方案。</p> <p>其中，最受到矚目的就是<a href="https://dwango.co.jp/news/5133989530566656/">14日下午3時推出的Niconico替代網站「ニコニコ動画（Re:仮）」</a>，多玩國表示他們在3天內架設完成，該網站主要收錄2007年時期的熱門影片，使用者無需登入就能觀看，但目前僅提供日本用戶存取。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GQP7J-2aEAA2idT.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GQP7J-2aEAA2idT.jpg" style="width: 580px;" /></a></p> <p>這樣的做法也引起當地網友朝聖，觀看17年前該平臺上的熱門影片，並認為這是<a href="https://www.itmedia.co.jp/news/articles/2406/15/news062.html">令和時代最大規模的網路老人聚會（インターネット老人会）</a>，而使得這組關鍵字成為<a href="https://x.com/search?q=%E3%82%A4%E3%83%B3%E3%82%BF%E3%83%BC%E3%83%8D%E3%83%83%E3%83%88%E8%80%81%E4%BA%BA%E4%BC%9A">當地X用戶的熱門話題</a>。</p> </div></div></div>
2024/6/17 17:39作者周峻佑https://www.ithome.com.tw/news/163495
【iThome 2024資安大調查系列2｜資安預算篇】企業IT預算的資安占比創新高，資安轉型企業加碼力道翻倍
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_gu_shi_-p5zi_an_yu_suan_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據iThome 2024年CIO大調查，企業資安預算在IT投資中的占比，在2023年首度超越了5%後，今年繼續增加到6.3%，連續三年呈現正成長的態勢，這也反映出，臺灣大型企業對資安投資的重視，一年比一年增加。整體產業的資安預算也持續加碼，不過，今年沒有像去年猛爆式的加碼，去年資安投資一口氣比前年增加了近兩年資安投資，到了2024年，資安投資成長力道回穩，達到4.7%，和往年平均成長率差不多，這也代表，企業資安投資開始趨於穩健發展的腳步。</p> <p>從金額來看，今年資安預算金額平均達到1,260萬元，不過，距離資安長心中，足以因應當前企業威脅的資安預算規模，還少了快3成，資安長期望的理想資安預算約1,635萬元。只有一類企業，今年資安預算達到了整體產業資安長的理想預算規模，那就是資安轉型企業。今年有高達49.8%的CIO將資安轉型列為年度目標，這一群資安轉型企業，也大力加碼資安投資來支持這個戰略目標。資安轉型企業今年平均資安預算達到1,800萬元之多，遠高於整體產業資安長的期望值。資安轉型企業的資安預算成長力道達到8.7%，幾乎是整體產業資安預算成長率4.7%的兩倍。為了推動資安轉型，不論是從被動防禦、多層式縱深防護，轉為主動防禦、資安左移、零信任資安，對企業來來說，都是根本性改變資安思維的做法，需要更多資源才能實現，讓資安轉型企業更積極地加碼資安投資。</p> <p>從各產業來看，資安投資力道今年和過去2去年有很大的變化，甚至是反轉。2022年在高科技製造業（暴增約6成）、一般製造業（暴增約3成）大舉加碼資安的帶動下，拉高了整體平均，醫療和政府學校前年的資安投資力道也高達2成的成長率。反而是資安預算向來居產業之冠的金融業，在那一年的資安投資力道最弱，2022年資安預算只比2021年多了5.4%。 </p> <p>去年，醫療資安預算成長率躍居各產業之冠，達到4成多，高科技也持續有2成的加碼。而金融業也開始追加資安預算，在去年出現了17.9%的成長率。</p> <p>到了今年，去年力道相對較弱的服務業，成了2024年資安加碼最多的產業，資安投資今年增加了12.5%，成長率次高是一般製造業業，在前年破天荒增加了3成之後，今年資安投資力道雖然趨緩，但也維持12.1%的高成長率，名列各產業第二。</p> <p>前年資安預算成長幅度最小的金融業，去年開始加碼，金融業今年資安預算投資持續維持兩位數成長，也達到11.2%。出人意外的是醫療業，去年大幅加碼4成資安預算的盛況不再出現，今年甚至出現預算緊縮，醫療業今年的資安預算比去年足足少了8.7％，是各產業中，唯一一個資安預算負成長的產業。去年資安投資大增2成的高科技業，今年則踩煞車，只微幅增加了2.4％的資安預算。</p> <p>雖然這三年來，不同產業的資安預算變化大起大落，但從三年尺度來看，各產業都是大幅加碼資安，只是有的產業是前年或去年加碼，有的則是到了今年才加碼。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P5%E8%B3%87%E5%AE%89%E9%A0%90%E7%AE%97-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P5%E8%B3%87%E5%AE%89%E9%A0%90%E7%AE%97-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P5%E8%B3%87%E5%AE%89%E9%A0%90%E7%AE%97-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P5%E8%B3%87%E5%AE%89%E9%A0%90%E7%AE%97-600-4-PNG.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> </div></div></div>
2024/6/17 16:37作者王宏仁https://www.ithome.com.tw/article/163452
微軟9月起淘汰個人電子郵件帳戶的基礎驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/outlook-blog/keeping-our-outlook-personal-email-users-safe-reinforcing-our/ba-p/4164184" target="_blank">微軟上周宣布</a>，將自今年9月16日起棄用Outlook個人電子郵件帳戶的基礎驗證（Basic Authentication），屆時用戶將無法再以簡單的名稱及密碼登入；亦將於8月19日棄用精簡版的Outlook Web App；並提醒會在年底結束對郵件（Mail）與行事曆（Calendar）程式的支援。</p> <p>根據微軟的說法，該公司的個人電子郵件帳戶用戶，包括Outlook.com、Hotmail.com與Live.com用戶，都必須在9月16日以前轉移到新式身分驗證（Modern Authentication）方式，此一規則適用於所有的Outlook用戶。到時Outlook將會要求擁有微軟電子郵件帳戶的使用者，採用那些支援新式身分驗證的郵件程式、行事曆程式，以及Outlook.com網站。</p> <p>所謂的基礎驗證就是僅利用名稱及密碼來登入服務，而微軟所宣稱的新式驗證則是涵蓋了多因素驗證、基於客戶端憑證的身分驗證，或者是OAuth等，是微軟額外利用後端程序或權杖，來強化帳戶安全的驗證方式。</p> <p>微軟表示，使用者或許不會注意到這些額外的程序，但若不遷移到新式驗證，未來將無法再透過相關的應用程式存取Outlook.com、Hotmail.com或Live.com等服務的電子郵件。至於遷移至新式驗證最容易的方法就是升級程式，包括下載Android及iOS平臺上的免費Outlook程式，以及安裝Outlook for Mac或Outlook for Windows程式，也能在Microsoft 365中購買Outlook授權。至於Outlook 2021並未受到此一宣布的影響。</p> <p>其實微軟早在2022年10月就關閉企業所使用的<a href="https://www.ithome.com.tw/news/146914" target="_blank">Exchange的基礎驗證功能</a>，此次的發表是針對個人電子郵件用戶。</p> <p>另一個要退役的是精簡版的Outlook Web App，這是微軟專為不支援完整版Outlook Web App的舊版瀏覽器所設計的版本，它使用更簡單的介面，可支援更慢的網路連結，功能也較陽春。</p> <p>微軟表示，為了要更快且更好地保護用戶安全，將在今年8月19日停用精簡版的Outlook Web App，這也意味著之後用戶必須使用較新的瀏覽器以執行完整版Outlook Web App，其最低瀏覽器版本需求為Microsoft Edge 79、Chrome 79、Firefox 78、Safari及Opera 76。</p> <p>至於Windows中的郵件與行事曆程式的消失，則是因為微軟去年已經把它們<a href="https://www.ithome.com.tw/news/157913" target="_blank">整合成Outlook for Windows</a>，只是還允許用戶下載及使用。但微軟提醒，自今年的12月31日之後，Microsoft Store就不會再提供使用者下載郵件與行事曆程式，微軟也不會再支援這兩個程式。</p> </div></div></div>
2024/6/17 17:08作者陳曉莉https://www.ithome.com.tw/news/163493
針對部分廠區遭遇網路攻擊，半導體晶圓廠環球晶圓二度發布重大訊息，證實生產及出貨出現延遲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對6月12日發生部分資訊系統遭遇駭客攻擊的情況，<a href="https://www.ithome.com.tw/news/163456">半導體矽晶圓廠環球晶圓（環球晶）先是在13日發布重大訊息</a>證實此事，並表示他們正在著手調查影響情形，14日該公司再度發布重大訊息，進一步說明事故處理進度。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=163610&SPOKE_DATE=20240614&COMPANY_ID=6488">環球晶圓指出</a>，在他們與外部專家聯手調查之下，已經確認重要的資料、系統並未受到損害。然而，由於他們在調查初期，為了降低資安事故可能擴大的風險，並釐清影響範圍，當時他們選擇暫時關閉部分作業系統，導致部分廠區的生產及出貨作業，出現延遲的現象。</p> <p>這些被關閉的系統當中，局部已陸續恢復作業，他們也將持續與技術專家進行事故調查，以及恢復營運的工作。不過，他們仍然並未透露遭遇的攻擊類型，也沒有說明有多少系統受到影響。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/8vWVXN6wgE.png" style="width: 580px;" /></p> </div></div></div>
2024/6/17 15:20作者周峻佑https://www.ithome.com.tw/news/163491
Nvidia開源Nemotron-4 340B家族，以供開發者建置大型語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia上周<a href="https://blogs.nvidia.com/blog/nemotron-4-synthetic-data-generation-llm-training/" target="_blank">開源了Nemotron-4 340B模型家族</a>，它包含了基礎模型、指令模型及獎勵模型，可用來生成合成資料，藉以訓練大型語言模型（LLM），現已可<a href="https://huggingface.co/collections/nvidia/nemotron-4-340b-666b7ebaf1b3867caf2f1911" target="_blank">自Hugging Face下載</a>，之後也能透過Nvidia網站以API及NIM微服務來存取模型。</p> <p>Nvidia表示，高品質的訓練資料對一個客製化LLM的性能及準確度都很重要，但強大的資料集既難存取又昂貴，現在開發者可藉由開放模型授權來免費存取Nemotron-4 340B，以生成合成資料，並建置強大的LLM。該模型家族支援醫療照護、金融、製造、零售與其它領域的商業應用。</p> <p>其中，Nemotron-4 340B的基礎模型在9兆個Token上進行訓練，可利用NeMo框架進行客製化，以支援特定領域；而指令模型則是用來創建模仿真實世界資料特徵的各種合成資料，以提高不同領域的資料品質；再利用獎勵模型進行過濾，進而獲得更高品質的回應。總之，Nemotron-4 340B的3種模型建立了一個管道，以生成及優化用來訓練LLM的合成資料。</p> <p>此外，上述模型已針對NeMo框架及TensorRT-LLM函式庫進行最佳化，前者可用來支援端對端的模型訓練，後者則是用來加速推論。</p> </div></div></div>
2024/6/17 14:36作者陳曉莉https://www.ithome.com.tw/news/163490
微軟跨平臺應用開發框架.NET MAUI擴充套件登陸VS Code
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>.NET MAUI（.NET Multi-platform App UI）是近年微軟重點發展的跨平臺開發框架，而現在使用程式碼編輯器VS Code的開發者，也可以透過<a href="https://devblogs.microsoft.com/dotnet/the-dotnet-maui-extension-for-visual-studio-code-is-now-generally-available/">.NET MAUI擴充套件</a>，使用到XAML IntelliSense和熱重載（Hot Reload）等好用的功能。</p> <p>.NET MAUI讓開發者可以使用單一程式碼庫，建立iOS、Android、macOS和Windows多平臺的應用程式，是開放原始碼UI架構的Xamarin.Forms的後繼者，提供更統一且現代化的開發功能與元件。微軟現在也在VS Code提供.NET MAUI支援，透過擴充套件讓使用VS Code的開發者也能夠用到開發.NET MAUI應用程式所需要的工具。</p> <p>.NET MAUI擴充套件建構在C#開發工具包和C#擴充套件之上，並增加了解決方案資源管理器、C#熱重載和C# IntelliSense功能。.NET MAUI擴充套件預覽版附帶了基本的XAML語法突出顯示和程式碼完成功能，而隨著微軟在Visual Studio中對XAML語言服務的改進，這些更新也在.NET MAUI擴充套件的正式版本被帶入到VS Code中，且能夠與Copilot搭配使用，提供自動完成工具提示等智慧開發功能。</p> <p>此外，開發者也能熱重載對C#和XAML檔案進行編輯，目前XAML熱重載已經預設啟用，開發者在應用程式執行時編輯XAML程式碼，能立即觀察到UI的更新，而C#熱重載功能則還在實驗階段，需要開發者手動啟用，才能在除錯階段使用。熱重載減少了因為重新啟動應用程式所產生的開發工作流程中斷，也減少編輯和測試之間的等待時間，明顯提高開發的效率，能夠進一步增加開發者的生產力。</p> </div></div></div>
2024/6/17 12:37作者李建興https://www.ithome.com.tw/news/163489
AI趨勢周報第255期： Google DeepMind開源核融合裝置模擬器TORAX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0607～0613)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 核融合 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> JAX </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DeepMind </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google DeepMind打造核融合裝置模擬器TORAX，還開源了</strong></span></p> <p>最近，Google DeepMind開源一款可微分的托卡馬克（Tokamak）核心運輸模擬器TORAX，採JAX框架，以Python實作。這款TORAX結合了物理模組和機器學習模型，可用來計算托卡馬克核融合裝置中，離子熱傳輸、電子熱傳輸、粒子傳輸和電流擴散的耦合方程式。</p> <p>尤其JAX框架具有即時編譯和自動微分的優勢，TORAX可快速執行運算，也能實現梯度最佳化和基於Jacobi矩陣的PDE求解器。而且，JAX對類神經網路的開發和推論支援，也大幅促進了物理模型和機器學習代理的耦合。團隊也以RAPTOR碼來驗證TORAX，證明模擬等離子分布的結果是一致的。Google DeepMind表示，TORAX提供強大、多功能的工具，可用來實現快速且準確的前向建模、脈衝設計、軌跡優化和控制器設計，目前已<a href="https://github.com/google-deepmind/torax">在GitHub上開源</a>，要促進更多核融合的研究。<a href="https://torax.readthedocs.io/en/latest/index.html">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CNN </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 局部性 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta AI證實Transformer能跳脫鄰近局部性框架</strong></span></p> <p>日前，Meta AI和阿姆斯特丹大學發表最新研究，發現Transformer模型不必按照電腦視覺模型長年遵守的鄰近局部性（Locality），也能直接處理圖像中的單個像素，且表現更好，雖然因序列更長、運算成本更高。</p> <p>進一步來說，傳統電腦視覺架構，如卷積網路（CNN）、ViT等，都假定圖片中的鄰近像素更相關，並透過卷積核、池化操作和圖像切片等技術來計算鄰近像素，也因此出現將圖像分割為多個16x16的區塊、將這些區塊視為1個Token來計算的作法。這就是長久以來的鄰近局部性基本假設。</p> <p>但Meta AI和阿姆斯特丹大學以Transformer實驗，將每個像素視為一個個Token來處理，摒除了圖像2D網格結構的假設。他們將這種模型稱為PiT，經測試，PiT在物件分類、圖像生成等任務表現優異，甚至在某些領域，還大幅優於傳統方法。團隊表示，他們並非提倡以PiT取代ViT，而是證明Transformers透過對圖片單一像素運算（而非16×16的區塊），可達到非常好的表現，意味著模型能從單一像素中捕捉更多訊號。而這一發現，也挑戰了電腦視覺任務必須要有局部性的傳統觀念。<a href="https://arxiv.org/abs/2406.09415">（詳全文）</a></p> <p><img alt="" src="https://arxiv.org/html/2406.09415v1/x1.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 糖尿病 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健保署 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>健保署聯手Google要打造糖尿病風險預測AI</strong></span></p> <p>健保署日前宣布聯手Google，展開為期5年的合作，要使用Google雲端算力資源、MedLM基礎模型、Vertex AI平臺和資料處理工具等，來與國衛院共同打造專屬臺灣的疾病風險預測模型，第一波瞄準糖尿病風險預測模型。這是因為，在臺灣每10人就有1人罹患糖尿病，且其併發症嚴重，如心血管疾病、腎病、視網膜及神經病變等，需及早介入預防與治療。</p> <p>在模型訓練資料部分，健保署會採用去識別化的性別、年齡、家族病史、風險資訊、國際疾病分類代碼ICD-10和檢驗檢查等資料，同時透過國衛院專業知識找出更多參數，來訓練糖尿病風險預測模型。完成後，模型會透過健保署健保雲執行，醫療院所醫師上傳資料到健保雲，模型運算後會傳送結果給醫師和民眾。這個風險預測分2種，一是針對未患糖尿病的民眾，模型會提供10年內、5年內和1至3年內的罹病風險，另一是患糖尿病民眾，模型會提供數種風險預測，如總住院率、特定原因住院率、死亡率、慢性病罹患率等。</p> <p>其中，風險高低會以燈號表示，作為分級醫療參考，比如綠色為低風險、黃綠色為有風險、黃色是中風險、黃橙色中高風險、紅橙色高風險，紅色則是嚴重風險。風險較低的民眾可建議至衛生所、門診就醫，黃色燈號則可轉介至地區醫院、黃橙色至區域醫院，高風險和嚴重風險則至醫學中心，以此達到分級醫療目標。石崇良表示，健保署與Google聯手打造的糖尿病風險預測AI是第一波應用，藉此拋磚引玉，來推動、擴大到更多慢性病和三高疾病風險管理。<a href="https://www.ithome.com.tw/news/163442">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%B6%E9%86%AB%E5%A4%A7%E5%B9%B3%E8%87%BA.JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> HelpSteer2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia開源HelpSteer2資料集，可低成本確保LLM與人類偏好一致</strong></span></p> <p>最近，Nvidia開源一款資料集HelpSteer2，可用來訓練先進的獎勵模型，來引導大型語言模型（LLM）產出與人類偏好一致的回答。這個資料集共有10,681組提示和回答，並由1,000多名美國註釋者按Likert量表，對5種屬性標註。</p> <p>此團隊表示，他們用HelpSteer2資料集來訓練自家3,400億參數的Nemotron-4基本模型後，在RewardBench主要資料集測試，達到了最先進的92.0%準確率，優於任何現有的開放和專有模型。而且，這個資料集才1萬多個提示-回答組，比起現有的偏好資料集（如HH-RLHF）動輒數百萬組，大幅降低了運算成本。團隊表示，這個資料集可用來對齊Llamna-3-70B等這類LLM，來提高與人類偏好的一致性。<a href="https://huggingface.co/papers/2406.08673">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蘋果 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ChatGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Apple Intelligence </span></strong></span></p> <p><span style="font-size:22px;"><strong>整合ChatGPT！蘋果新推Apple Intelligence智慧功能</strong></span></p> <p>蘋果在日前舉行的WWDC開發者大會上發表AI服務Apple Intelligence，將進駐macOS Sequoia、iOS 18與iPadOS 18等蘋果作業系統。同時，蘋果也宣布與OpenAI合作，將在Siri、Writing Tools中整合GPT-4o驅動的ChatGPT。</p> <p>進一步來說，這款Apple Intelligence提供多項AI功能，包括寫作工具Writing Tools、圖像創作工具Image Playground、可客製化表情符號的Genmoji，以及強化的Siri。其中，Writing Tools可讓使用者在郵件、備忘錄、Pages或第三方的程式中，改寫、校對或摘要文本，還能透過Compose功能來存取ChatGPT的圖像工具，可在文字中嵌入圖像。</p> <p>再來，Image Playground將內建於訊息、Keynote、Pages等蘋果原生應用程式中，並支援採用Image Playground API的第三方程式，使用者可在幾秒內以文字描述、所挑選的主題、服裝、配件、地點或個人來創作圖像，還能以動畫、插圖或素描的方式呈現。Genmoji則允許使用者以文字描述來客製化表情符號。Apple Intelligence也改善了照片/影片搜尋功能，能以自然語言搜尋特定照片，例如「臉上貼著貼紙的Katie」，或找到影片中的特定段落。<a href="https://www.apple.com/newsroom/2024/06/introducing-apple-intelligence-for-iphone-ipad-and-mac/">（詳全文）</a></p> <p><img alt="" src="https://www.apple.com/newsroom/images/2024/06/introducing-apple-intelligence-for-iphone-ipad-and-mac/article/Apple-WWDC24-Apple-Intelligence-hero-240610_big.jpg.large_2x.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PyTorch </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 漏洞 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Huntr </span></strong></span></p> <p><span style="font-size:22px;"><strong>開源機器學習框架PyTorch存在重大漏洞</strong></span></p> <p>今年4月，有研究者向漏洞懸賞平臺Huntr通報開源機器學習框架PyTorch存在重大層級漏洞CVE-2024-5480，CVSS風險評分達到10分，影響2.2.2版以前的PyTorch。對此，Huntr向通報者提供1,500美元獎勵，並在日前公布細節。</p> <p>這漏洞位於torch.distributed.rpc框架，開發者使用該框架執行RPC呼叫時，該框架未驗證相關功能是否如開發者預期執行，因此攻擊者能藉機透過網路使用RPC呼叫Python功能，進而載入Python程式庫並執行任意命令。這個框架通常用於分散式訓練，如增強式學習、模型平行化等，因此影響範圍相當廣泛。研究人員也提供概念性驗證（PoC）程式碼，並指出該漏洞可能帶來的影響：由於攻擊者可將其用來遠端攻擊分散式訓練的master節點，一旦這些節點遭到入侵，對方就有機會竊取與AI有關的敏感資料。<a href="https://huntr.com/bounties/39811836-c5b3-4999-831e-46fee8fcade3">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ChromeOS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Android </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>要加速AI創新應用，ChromeOS將重整Android技術架構</strong></span></p> <p>Google日前宣布，ChromeOS很快就會重整Android技術架構，包括把Android Linux核心和Android框架當作ChromeOS基礎，來加速ChromeOS執行AI創新應用或其他新功能的速度。</p> <p>其實ChromeOS一直在向Android靠攏，Google自2016年就讓ChromeOS用戶執行Android程式，隔年更宣布採用ChromeOS的所有Chromebook筆電都將支援Google Play和Android程式。此外，自今年3月發表的ChromeOS 122起，ChromeOS也開始改用Android的藍牙架構Fluoride。Google解釋，把Android技術架構導入ChromeOS，可加速ChromeOS核心的AI創新腳步，簡化工程任務，有助於手機等各種裝置與Chromebook更相容。<a href="https://blog.chromium.org/2024/06/building-faster-smarter-chromebook.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 甲骨文 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI採用甲骨文雲端為基礎架構</strong></span></p> <p>甲骨文和OpenAI宣布合作，OpenAI將採用甲骨文雲端基礎架構（OCI），來擴展微軟Azure AI的基礎架構，加速執行模型推論等任務。這項合作涉及OpenAI、微軟Azure和甲骨文等3家業者，目的是要OCI作為類似備援方案，可從微軟Azure AI擴展到甲骨文雲端，來提供負載更高的處理能力。</p> <p>其中，光是OpenAI的ChatGPT AI服務，每月用戶數就超過1億，是最吃運算資源的任務。這項合作是讓OpenAI使用「OCI基礎架構上的Azure AI平臺」，來執行推論和其他作業，OpenAI最尖端的模型仍執行在與微軟合作的超級電腦上。<a href="https://www.oracle.com/news/announcement/openai-selects-oracle-cloud-infrastructure-to-extend-microsoft-azure-ai-platform-2024-06-11/">（詳全文）</a></p> <p>圖片來源／Meta AI、Apple</p> <p>攝影／王若樸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 微軟將預設關閉Copilot+ PC中的Recall功能，以平息隱私疑慮</strong></p> <p><strong>2. Databricks聯手Shutterstock推出企業級文生圖AI服務ImageAI</strong></p> <p><strong>3. 杜拜發起100萬提示者計畫（One Million Prompters），要在3年內培訓100萬名懂提示工程的AI人才</strong></p> <p>資料來源：iThome整理，2024年6月</p> </div></div></div>
2024/6/16 02:59作者王若樸https://www.ithome.com.tw/news/163479
AI醫療診斷業者Tempus AI登上那斯達克，首日股價上漲8%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用人工智慧技術來改善醫療服務的Tempus AI，在上周五（6/14）以TEM為代號登上美國那斯達克（Nasdaq）股市，每股發行價為37美元，上市首日股價即上漲8.78%，以40.25美元作收，創下逾66億美元的市值。</p> <p>Tempus AI是在2015年由Eric Lefkofsky所創立，專注於打造得以汲取即時醫療資料的平臺，以進行個人化的診斷，最早僅支援腫瘤，隨後日益擴展至神經心理學、心臟病、諸如Covid等傳染病，以及影像診斷等，現有的員工數量約為2,300名。</p> <p>根據Tempus AI<a href="https://www.sec.gov/Archives/edgar/data/1717115/000119312524142956/d221145ds1.htm" target="_blank">提交給美國證券交易委員會的文件</a>，該平臺建立了450個醫療照護資料連結網路，可即時提供複雜的多模態資料，覆蓋逾2,000個醫療照護機構。Tempus AI將去識別化的資料集中到統一的多模態資料庫中，以向客戶提供分析及決策服務。目前Tempus AI的用戶包括全球95%的大型製藥業者，以及來自數百個供應商網路的逾7,000名醫生。</p> <p>Tempus AI的三大產品線為基因組學、資料與服務，以及AI應用，在2022年與2023年的總營收分別是3.207億美元及5.318億美元，虧損則高達2.898億美元及2.141億美元。現階段有一半以上的營收都來自基因組學，AI應用則占不到總營收的1%。</p> <p>Tempus AI正在開發的AI應用專注於發展與提供基於演算法的診斷，把軟體當作醫療裝置，並建置及部署臨床決策支援工具，目前的主要產品為Next平臺，在日常產生的資料上部署基於機器學習的智慧層，以協助找出可能被忽略或未能及時處理的健康問題。不過，迄今AI應用的每季收入都不到100萬美元。</p> </div></div></div>
2024/6/17 11:46作者陳曉莉https://www.ithome.com.tw/news/163487
當局阻撓，Meta AI延後在歐盟地區上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應歐盟資料主管機關要求，<a href="https://about.fb.com/news/2024/06/building-ai-technology-for-europeans-in-a-transparent-and-responsible-way/" target="_blank">Meta宣布</a>暫時延後在歐盟地區推出Meta AI模型及服務。</p> <p>此舉乃是因應愛爾蘭資料保護委員會（Data Protection Commission，DPC）及英國資訊專員辦公室（Information Commissioner's Office）的要求，迫使這家社群平臺大廠變更其一周前的決定。</p> <p>上周Meta宣布，將繼其他國家之後，計畫近期把生成式AI功能、服務及模型，包括Meta AI助理及Llama推向歐洲。目前Meta AI已在包括美、加、澳、星等10多個國家上線。但Meta強調，為了提供更符合歐洲用戶需求的AI服務，其模型必須得以反映多元語言、地理區和文化事物的相關資訊，因此他們計畫使用在Meta平臺與產品，包括臉書和Instagram（IG）上公開分享的用戶內容，如公開粉絲專頁、動態內容及社群的貼文或回應來訓練模型。</p> <p>不過愛爾蘭當局代表其他國家的資料主管機關，要求Meta暫緩使用歐洲用戶的資料訓練其AI模型。英國資訊專員辦公室（ICO）也公開做出類似呼籲。</p> <p>Meta於周五回應，對主管機關的要求感到失望，尤其他們三月以來已積極配合當局的要求。Meta表示這是在AI開發的創新和競爭路上走回頭路，也延後歐洲用戶享受到的好處。</p> <p>Meta上周已表明，不用歐洲用戶的公開內容訓練，其AI功能就無法精準了解重要的區域語言、文化或流行主題，也就無法對歐洲用戶提供符合當地需求的AI服務。此外，Meta也說自己不是第一個這麼做的，Google和OpenAI等公司早已使用歐洲用戶來訓練AI。而且Meta宣稱自己的作法比其他人更透明，並提供更容易的控制選擇。</p> <p>因此，在歐洲主管機關的要求下，Meta認為現在無法在歐洲推出Meta AI。<a href="https://www.dataprotection.ie/news-media/latest-news/dpcs-engagement-meta-ai" target="_blank">愛爾蘭主管機關</a>對Meta的決定表達歡迎。<a href="https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2024/06/statement-in-response-to-metas-plans-to-train-generative-ai-with-user-data" target="_blank">英國政府</a>也肯定Meta的行動。Meta表示會持續和二個主管機關密切合作，讓歐洲用戶及早使用Meta AI，Meta同時承諾會解決英國ICO提出的要求。</p> <p>去年愛爾蘭當局調查後認為Meta蒐集歐洲經濟區的個人用戶資料，違反了歐盟隱私法GDPR（General Data Protection Regulation）禁止資料跨境傳輸的規定，並且判罰Meta 12億美元，創下GDPR罰款最高的紀錄。</p> </div></div></div>
2024/6/17 10:07作者林妍溱https://www.ithome.com.tw/news/163485
微軟延後部署Recall，將趕不及Copilot+ PC首發出貨
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2024/06/07/update-on-the-recall-preview-feature-for-copilot-pcs/" target="_blank">微軟上周宣布</a>具爭議的Recall功能將延後數星期提供給即將在本周二（6/18）正式出貨的Copilot+ PC，意謂著首批拿到的用戶不會使用到這項功能。</p> <p>微軟Windows +裝置事業群主管Pavan Davuluri指出，將把Copilot + PC的Recall預覽版改為給Windows Insiders測試方案的用戶，時間約數個星期。微軟計畫在傾聽測試用戶意見後，再把Recall預覽版部署給所有新出貨Copilot +PC用戶。微軟強調這項決定是為了提供可信賴、安全和紮實的體驗、在推出給所有Copilot + PC用戶前尋求更多回饋意見，也是反映其「安全未來倡議（Secure Future Initiative，SFI）」以安全為第一要務的精神。</p> <p>事實上，微軟上周就已一度暫緩發布Recall功能。微軟原本已在5月20日公測Copilot +PC需要的Windows 24H2，但<a href="https://www.ithome.com.tw/news/163441" target="_blank">上周一臨時宣布</a>暫時從即將出貨的Release Preview Channel移除數個星期，意謂著只提供給Insiders方案的測試用戶。</p> <p>暫緩擴大部署Windows 11 24H2的主要原因可能是效能及穩定性不佳，但在此之前微軟臨時宣布Recall由預設開啟改為預設關閉。Recall是Windows Copilot+ PC的主打應用程式，其原理是為用戶在PC上的活動定期拍照，並以AI加上索引，讓用戶可以透過查詢時間軸找出想尋找的應用程式、文件或檔案，還會提供建議。但安全專家卻批評Recall有安全疑慮，例如安全專家Kevin Beaumont發現這些快照是不加密儲存在Windows Copilot +PC上的資料庫，可能讓能存取PC的惡意程式或他人取得用戶重要資訊，如密碼或銀行帳戶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0617-copilot%20%2Bpc-recall.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>雖然微軟二周前<a href="https://www.ithome.com.tw/news/163381" target="_blank">承諾</a>會在Copilot +PC推出前改善Recall問題，並且增加以Windows Hello加密，但上周的宣布已顯示微軟無法趕得及首批Copilot +PC上市前完成修正。</p> </div></div></div>
2024/6/17 09:48作者林妍溱https://www.ithome.com.tw/news/163484
Cloud周報第202期：全球第40座！亞馬遜在臺AWS區域級資料中心明年初將啟用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞（06/16～06/12）</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺灣區域級資料中心 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">亞馬遜明年初啟用臺灣首座AWS區域級資料中心，可將延遲時間縮短至10毫秒內</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240612_030931800.jpg" style="width: 600px; height: 337px;" /></p> <p>亞馬遜AWS今天宣布了在臺的最新發展計畫，將在臺灣興建雲端資料中心。這也是AWS在全球公布的第40 座區域級（Region）雲端資料中心，預估未來臺灣企業使用AWS臺灣區域的延遲時間，有望從50多毫秒縮短到10毫秒以下。</p> <p>AWS香港暨台灣總經理王定愷預告，AWS這座臺灣雲端資料中心將於2025年初正式上線營運，並將以「Asia Pacific (Taipei)」的區域名稱，提供區域級公有雲服務。此外，他進一步表示，AWS計畫未來15年在臺投資數十億美元，支持臺灣雲端業務發展。</p> <p>從資料中心設計來看，這座資料中心同樣將由3個可用區域（AZ）組成且區域間彼此相隔，每個AZ之間都具有獨立的電源、冷卻和實體安全性，並透過冗餘、超低延遲網路串連，來實現服務或應用高可用性與高容錯。</p> <p>王定愷透露，隨著臺灣區域的啟用，未來，預估本地企業使用 AWS 服務的往返延遲時間有望進一步縮短至10毫秒以下。如果根據亞馬遜WorkSpaces 網站的檢測工具顯示，臺灣本地到 AWS 東京區域資料中心的往返時間最短，平均約為55毫秒。這意謂著改用臺灣區域資料中心後，往返延遲時間將能再減少約45毫秒。</p> <p>統計到今年6月12日為止，在AWS官網上公布的全球Region（區域級）雲端資料中心，加上已公布但還未啟用的區域，包括臺灣區域，全球共有40個，其中有7座是正在興建中的新雲端資料中心，</p> <p>隨著AWS臺灣雲端資料中心明年初啟用，意謂著臺灣三大公雲其中的兩家Google和AWS都已在臺灣啟用或即將啟用區域級雲端資料中心，微軟在幾年前也宣布臺灣雲端資料中心建置計畫，但目前仍在建置中，尚未公布啟用時程。隨著三大公雲落地臺灣，臺灣將進到多雲混合雲的競爭時代。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 私有雲運算 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">蘋果發表私有雲運算基礎設施，引進iPhone硬體安全和隱私機制，強化雲端LLM處理的用戶隱私與安全性</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-06-12%20%E4%B8%8A%E5%8D%886_57_20.png" style="width: 600px; height: 359px;" /></p> <p>在WWDC開發者大會上，蘋果不僅展示了可以在本機端離線執行的Apple Intelligence應用，對於需較高運算處理的LLM任務，蘋果還推出了一個全新私有雲運算基礎設施（Private Cloud Compute, PCC），該設施能在蘋果的私有雲中安全且可控地進行運算，並將處理結果回傳給用戶裝置。</p> <p>蘋果強調，這是專為私有AI處理設計的一套雲端智慧系統，採用客製化的Apple晶片和增強隱私設計的作業系統構建。該系統結合了Apple裝置安全和隱私機制，確保發送到PCC的個人用戶資料無法被任何人存取，包括蘋果自己。</p> <p>在PCC採用客製化的伺服器硬體中，整合Apple晶片的功能和安全性，並引進 iPhone中使用的相同硬體安全技術，包括Secure Enclave 和 Secure Boot，同時執行在以iOS 和 macOS基礎強化的子集新作業系統上，支援大型語言模型 (LLM) 的推理工作負載，意謂著可以利用程式碼簽署和沙箱等iOS安全技術，確保雲端LLM處理的用戶隱私與安全性。</p> <p>PCC本身也具備有雲端擴展能力，同時考慮到隱私，捨棄了傳統上對資料中心管理至關重要的通用軟體元件，例如遠端 shell 以及系統自我檢測和可觀察工具，改以專用元件取代。此外，在伺服器上使用Swift程式語言建立了新的機器學習堆疊，專用於託管雲端基礎模型。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">資料庫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Salesforce </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Salesforce正式推出資料雲向量資料庫，可支援非結構化資料處理</span></strong></p> <p>雲端CRM大廠Salesforce近日推出了資料雲向量資料庫服務，能夠協助企業處理內部非結構化資料，包括PDF、電子郵件、文字記錄和其他非結構化格式的客戶資料，使企業可以利用這些資料發展更深化的生成式AI 應用。</p> <p>透過這套向量資料庫，企業可以將非結構化資料來源，例如通話記錄、線上客戶評論和支援票證，直接整合到客戶檔案中，深入地了解客戶需求和偏好。此外，GenAI也可以利用這些資料增強銷售、服務、行銷和商務體驗的見解和內容，例如Einstein AI可以使用這些數據主動完成服務呼叫工作排程，幫助銷售團隊更快完成pipelines，並推動更具策略性的行銷活動。</p> <p>資料雲還能通過非結構化和結構化數據，利用Einstein 1平臺中 Salesforce元數據的功能，使分析師現在可以在Tableau 中進行探索和視覺化。此外，開發人員可以建立Salesforce Flow自動化，而業務使用者則可根據他們的生成式AI 提示進行操作。這減少了微調大型語言模型 (LLM) 的需求，同時提高了 Einstein Copilot 結果的準確性。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">安全漏洞 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Azure </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟Azure服務標籤中存有安全漏洞，可能允許駭客獲得未授權的雲端資源存取權限</span></strong></p> <p>微軟近日警告，Azure服務標籤可能被駭客偽造，繞過防火牆取得未經授權的雲端資源存取權限。</p> <p>微軟安全性回應中心（MSRC）於今年1月收到網路安全公司Tenable的通報，指其服務標籤功能存在漏洞，可能導致跨租戶存取Web資源。Tenable發現，某些Azure服務允許外站(<span class="ILfuVd" lang="zh" xml:lang="zh"><span class="hgKElc">Inbound Traffic</span></span>)透過服務標籤存取其服務，這可能使一個租戶中的攻擊者發送特製的Web請求來存取另一個租戶中的資源，且不執行任何身份驗證。</p> <p>研究發現，10個Azure服務易受攻擊，包括Azure應用程式洞察、Azure DevOps、Azure機器學習、Azure邏輯應用、Azure容器註冊表、Azure負載測試、Azure API管理、Azure資料工廠、Azure行動群組、Azure AI視訊索引器和Azure Chaos Studio。</p> <p>Tenable研究員Liv Matan表示，此漏洞使攻擊者能夠控制伺服器端請求，冒充受信任的Azure服務，繞過基於服務標籤的網路控制，存取Azure客戶的內部資產、資料和服務。</p> <p>微軟後來更新文檔，調整Azure服務標籤指導文件，並建議客戶檢查自身對服務標籤的使用情況，並確保採用了足夠的安全防護措施，對服務標籤的可信任網路流量進行身份驗證。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">甲骨文 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">甲骨文與GCP結盟，新服務將允許企業可直接於Azure中部署OCI資料庫服務</span></strong></p> <p>繼去年結盟微軟後，甲骨文最近宣布和Google Cloud合作，共同發表了Oracle <a href="mailto:Database@Google">Database@Google</a> Cloud服務，透過這項服務，Oracle企業用戶將得以直接存取部署於Azure公雲的甲骨文雲端基礎設施（Oracle Cloud Infrastructure，OCI）上的甲骨文資料庫服務。</p> <p>甲骨文強調此雲端資料庫具備甲骨文最高的資料庫和網路效能，功能和價格也和OCI平臺上的版本一樣，預計將於今年下半年推出，未來可以運用在多種產業，包括金融、醫療、零售、製造等。</p> <p>除了雲端資料庫合作外，雙方還宣布在GCP與OCI網路之間建立專有實體連線，提供跨雲互連整合服務，將使得部署在二個雲環境的資料交換更快速，也能讓雙方用戶可獲得Google Cloud及甲骨文共同支援服務。</p> <p> </p> <p>攝影:余至浩；圖片來源／Apple</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.博通再調整授權政策，不再提供VMware Cloud on AWS中按需使用量的服務模式</strong></p> <p><strong>2.OpenAI採用甲骨文雲端為運行基礎架構，強調和微軟合作不變</strong></p> <p> </p> <p><strong>資料來源：iThome整理，2024年6月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/6/17 09:52作者余至浩https://www.ithome.com.tw/news/163482
Apple持續擴展Swift生態系，強化跨平臺支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple在開發者大會<a href="https://developer.apple.com/whats-new/" target="_blank">WWDC24推出一系列開發者工具更新</a>，除了眾所矚目的個人人工智慧功能Apple Intelligence之外，包括Xcode、Swift都有重大更新，就整體發展趨勢來看，Apple正逐漸改變過去封閉自家生態系的策略，並提供更多跨平臺的支援。</p> <p>過去Apple以其封閉的生態系統聞名，這種策略讓Apple的軟硬體能無縫整合，提供了良好的用戶體驗。不過，隨著科技的發展和市場變化，開發者和用戶對跨平臺的需求越來越高，Apple回應此一趨勢開始調整其策略，逐漸開放其生態系，並加強對跨平臺的支援。</p> <p>從程式語言Swift的發展，也能一窺Apple的策略變化。<a href="https://www.swift.org/blog/swiftlang-github/" target="_blank">Swift專案儲存庫搬遷到了專門的GitHub組織</a>，不再附屬於Apple之下，官方指出，這反映了Swift社群的成熟，同時也凸顯Swift在Apple自家生態系外的蓬勃發展。創建Swift專門的GitHub組織，將有助於Swift擴展覆蓋範圍至更多平臺與使用案例，擴大Swift的影響力。</p> <p class="rtecenter"><a href="https://github.com/swiftlang" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0617-%20GitHub-swiftlang.png" style="width: 600px;" /></a></p> <p>Swift最初僅限於Apple平臺，但隨後開始支援了Linux和Windows，不過要在這兩個平臺使用Swift，開發體驗仍遠不及Apple平臺，以自2015年就支援的Linux為例，要在其上進行建置並不容易，Swift編寫的Linux程式要能夠運作，除了需確保目標系統存在Swift執行環境和相依項目之外，針對特定Linux發行版或是特定主要版本建置的Swift程式，不一定能在其他發行版或是主要版本中運作。</p> <p>這是因為不同Linux發行版或是主要版本之間，可能存在不同函式庫、相依項目和系統配置，導致不相容的問題。現在Apple釋出了<a href="https://www.swift.org/documentation/articles/static-linux-getting-started.html" target="_blank">Static Linux SDK</a>解決這些問題，供開發者將程式建置成完全靜態連結的可執行檔案，沒有額外的相依項目代表著在任何一個Linux發行版上，唯一相依項目的就是Linux系統呼叫介面。</p> <p>Static Linux SDK可以在Swift編譯器和套件管理器支援的所有平臺上使用，也就是說，開發者可以在macOS上開發和測試應用程式，之後再建置和部署到Linux伺服器。Static Linux SDK是Swift強化用戶可定義平臺支援的作為之一，能夠提升對嵌入式和WebAssembly的支援。</p> <p>近年Apple也著手拓展Swift的可用性，透過語言伺服器協定（Language Server Protocol）支援不同的程式碼編輯器，包括 VS Code、Sublime Text等，使得更多開發者都能使用Swift。在WWDC24一堂名為「<a href="https://developer.apple.com/videos/play/wwdc2024/10197/" target="_blank">Go small with Embedded Swift</a>」的議程演講中，還出現了開發者使用NeoVim與CMake工具進行Swift開發的橋段。</p> </div></div></div>
2024/6/17 08:41作者李建興https://www.ithome.com.tw/news/163466
WD推出首款商用PCIe 5 SSD，躋身3百萬IOPS讀取效能俱樂部
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wd_ultrastar_dc_sn861_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div>去年初AMD與英特爾推出新一代伺服器處理器平臺，由於支援PCIe 5.0介面，<a href="https://www.ithome.com.tw/tags/pcie-50">促成更多廠商推出採用這種規格的產品</a>，以企業與資料中心等級固態硬碟而言，例如，同年8月，<a href="https://www.ithome.com.tw/review/158091">鎧俠（Kioxia）發表CD8P系列</a>，提供2.5吋U.2與E3.S這兩種外形，4K隨機讀取效能最高可達到200萬IOPS，4K循序讀取效能最高12,000 MB/s，儲存容量最大30,720 GB，並提供每日寫入量（DWPD）為1與3的款式；到了今年，<a href="https://www.ithome.com.tw/review/162973">群聯電子（Phison）5月中推出X200系列</a>，同樣提供2.5吋U.2與E3.S外形選擇，4K隨機讀取效能最高可達到300萬IOPS，4K循序讀取效能均為148,000 MB/s，儲存容量最大30.72 TB，儲存容量最大30,720 GB，也提供每日寫入量1與3的款式（X200E每日寫入量為3，X200P每日寫入量為1）。</div> <div> </div> <div>半個月後，WD終於發表該公司首款PCIe 5.0企業級固態硬碟產品，型號為Ultrastar DC SN861，儲存容量涵蓋2 TB、4 TB、8 TB、16 TB，提供2.5吋U.2、E1.S、E3.S等3種外形，預計今年稍晚，將公布更多E1.S外形與E3.S外形款式的細部資訊。</div> <div> </div> <div>目前WD對此系列產品提供2.5吋U.2與E1.S這兩種外形，其中E1.S款式的產品，現在已供應樣品，它們的每日寫入量皆為1，</div> <div> </div> <div><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20SN861-E1_S.jpg" style="width: 600px;" /></div> <div> </div> <div>至於U.2外形的產品，本月開始提供樣品，預計第三季量產，而當中1.60 TB、3.20 TB、6.4 TB容量款式，每日寫入量為3，1.92 TB、3.84 TB、7.68 TB容量款式，每日寫入量為1。</div> <div><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20SN861-U_2.jpg" style="width: 600px;" /></div> <div> </div> <div>針對大型語言模型（LLM）的訓練、推論，以及AI服務的部署，提供更好的反應能力，是Ultrastar DC SN861發表的最大賣點，因為單就隨機讀取效能而言，這批產品最大可達到330萬IOPS，相較於<a href="https://www.ithome.com.tw/review/158451">去年8月發表的Ultrastar DC SN655（110萬IOPS）</a>，增長幅度有3倍，讀取存取延遲也進一步降低（70微秒 vs. 80微秒）；而由於這批固態硬碟產品的耗電量維持在20瓦（E3.S外形款式為12瓦），因此，WD也標榜其具有更高的每瓦效能，可降低總持有成本。</div> <div><a href="https://s4.itho.me/sites/default/files/images/WD SN861-SPEC-U_2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20SN861-SPEC-U_2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/WD SN861-SPEC-E1_S.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20SN861-SPEC-E1_S.jpg" style="width: 298px;" /></a></div> <div> </div> <div>關於業界標準的遵循方面，Ultrastar DC SN861支援NVMe 2.0、NVMe MI 1.2c，以及OCP 2.0（應該是指OCP Datacenter NVMe SSD 2.0規格），而此系列產品的E1.S款式，還額外支援基於<span style="white-space:pre"> </span>TP4146技術提案而成的彈性資料置放標準，名為NVMe Flexible Data Placement（FDP），而這項標準發展的目的，是希望將寫入放大效應因子（Write Amplification Factor，WAF）降低到1，以延長儲存裝置的使用壽命、改善效能與見低延遲，提供更多元的NVMe資料置放方式。</div> <div><a href="https://s4.itho.me/sites/default/files/images/FDP1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FDP1.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/FDP2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FDP2.jpg" style="width: 298px;" /></a></div> <div> </div> <div><span style="color:#008080;"><strong>產品資訊</strong></span></div> <div> </div> <div><strong>WD Ultrastar DC SN861</strong></div> <div>●原廠：WD</div> <div>●建議售價：廠商未提供</div> <div>●儲存容量：U.2外形提供1.60 TB、1.92 TB、3.20 TB、3.84 TB、6.4 TB、7.68 TB，E1.S外形提供1.92 TB、3.84 TB、7.68 TB</div> <div>●外形：2.5吋U.2、E1.S厚15公釐</div> <div>●最高讀寫速度：循序13,700 MB/s與7,500 MB/s，隨機330萬IOPS與66.5萬IOPS</div> <div>●使用介面：PCIe 5.0 x4</div> <div>●耐用度：每日寫入量為3或1（U.2外形1.60 TB、3.20 TB、6.4 TB為3，U.2外形1.92 TB、3.84 TB、7.68 TB為1，E1.S外形均為1）</div> <div>●可靠度：250萬小時MTBF</div> <div> </div> <div>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</div> </div></div></div>
2024/6/16 17:07作者李宗翰https://www.ithome.com.tw/review/163454
謀定而後動，善用資安框架是上上策
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nian_jian_-shan_yong_zi_an_kuang_jia_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">NIST</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>主動關心資安議題的企業主增加了，即使是過往不受約束的產業也能感受迫切性，原因在於更多的重大事件發生、更嚴峻的法規、更精實的稽查標準所致。2023年10月公布「數位經濟相關產業個人資料檔案安全維護管理辦法」即引發數位黏著度高的產業族群關注，究竟資安該怎麼做才好？</p> <p>孫子兵法提到：「善戰者，先為不可勝，以待敵之可勝」，意思是說真正善於作戰的人，會先懂得規畫自己，讓自己成為不可被戰勝（立於不敗）的狀態。不過，資安是個涵蓋層面廣且專業複雜的綜合科學，加上迭代更新的速度快，造成資安門檻極高，而「資安框架」就是依據如此概念所發展而成的解法，是由一群有經驗的專家們有共識設計出的成功指南。這就像你如果想挑戰喜馬拉雅山攻頂，沒有比參照成功攻頂的一群專家所提出的方法更可靠。</p> <p>許多成熟好用的資安框架，其實都是屬於通用型態的好方法，而且不限於特定產業、單位規模、環境類型，像是NIST CSF、ISO 27001、CIS、CDM、TaSM、MITRE ATT&CK等，企業更可以評量自身狀態，設計不同階段的資安成長規畫，並且透過資安框架幫助，使企業將複雜的資安防護與管理機制變成清楚有條理的「設計藍圖」，從而完成可成功推展執行的資安戰略。</p> <p>以下我們將從企業該如何規畫資安策略、選擇需要的資安技術方案、以及建立攻擊向量等觀點，說明「謀定」而「後動」的具體做法。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B9%B4%E9%91%91-%E5%96%84%E7%94%A8%E8%B3%87%E5%AE%89%E6%A1%86%E6%9E%B6-600-4.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>企業資安的建構可利用各個不同特性的資安框架，並且搭配PDCA循環式管理，持續精進企業資安，如此一來，將有助於企業資安的成熟度不斷提升。</strong><span style="font-size:14px;">圖片來源／黃繼民</span></span></p> <p><span style="font-size: 28px;"><strong>Lesson One：打造企業資安基礎的最佳藍圖</strong></span></p> <p>NIST CSF是目前世界各國使用率最高的資安框架，由美國國家標準暨技術研究院（NIST）設計提出的資安框架Cybersecurity Framework（CSF），於2014年發布。NIST這個單位在資安領域有許多的貢獻，包括CSF資安框架，以及知名的SP 800系列各種規範指南，世界各國政府制定資安政策時，也依據NIST CSF及SP 800系列來規畫。</p> <p>NIST CSF資安框架的設計，是參考多種主要的資安標準與方法、集大成的最佳結果，因此CSF所提出的方法不只脈絡清楚、內容也更容易理解，加上能與其他的國際網路安全標準及資安框架彼此相容，例如：ISO 27001、CIS、COBIT，以及工控系統安全標準ISA 62443等，這點也是NIST CSF資安框架是最被推薦的資安藍圖的原因。</p> <p>目前NIST CSF 1.1是最普遍的版本，將資安任務分成五大主要功能：識別、保護、偵測、響應、復原，再往下展開各個功能的任務項目。而透過這五大功能，可以設計能幫助企業資安策略的規畫，促使其更有邏輯脈絡，並且可以進一步參照ISO 27001、ISO 27002、或是CIS的規範來設定資安政策辦法，套用PDCA持續性的管理及精進，從而能夠不斷提升企業資安成熟度。</p> <p>在2024年3月正式公布最新版的NIST CSF 2.0當中，額外新增了「治理」成為六大主要功能，強調企業組織的管理層參與資安治理，以及資安策略的重要性，而且ISO國際標準組織也正式將此NIST CSF五大功能的防禦概念，放入ISO/IEC 27002:2022資訊安全、網路安全及隱私保護的控制措施中，使企業組織能夠有更具體的規範描述可依循。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B9%B4%E9%91%91-%E5%96%84%E7%94%A8%E8%B3%87%E5%AE%89%E6%A1%86%E6%9E%B6-600-1.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>SANS Institute發布的一項研究發現，採用安全框架的組織中有近74%使用NIST CSF，幾乎是其他框架的兩倍。</strong><span style="font-size: 14px;">圖片來源／Expel</span></span></p> <p><span style="font-size: 28px;"><strong>善選資安防護技術方案，建立有效的佈防設計</strong></span></p> <p>在建構資安的做法上，許多企業經常先想到採買資安設備或取得資安證照，但往往造成資安幻覺（就像目前生成式AI給出的內容經常被質疑的AI幻覺），而透過有方法的構思部署，能夠將幻覺變成更實際的幫助，根據我的觀察與研究，OWASP CDM及TaSM這二個資安防護矩陣，就是最佳的方法。</p> <p>企業在藉由NIST CSF規畫出資安藍圖後，當然需要資安裝備跟執行控制來施作實踐，不過在面對資安攻擊威脅的多樣化及複雜性，加上市場上琳琅滿目的各種資安防護技術方案，即使是內行的資安人員也會產生選擇障礙。有鑒於此，OWASP CDM及TaSM的設計產生，便是為了幫助評估思索的資安框架，這二個資安框架都隸屬OWASP組織，也是基於NIST CSF為基底所衍生的5x5矩陣框架，目的接為幫助使用者快速建立有系統脈絡、能化繁為簡的思索方法，幫助使用者從不同的需求層面，思索有哪些資安技術方案能滿足需要，並且可發揮適當防護效果，也能作為檢視需補強缺口的部分。</p> <p><span style="color: rgb(178, 34, 34);"><strong>OWASP CDM（Cyber Defense Matrix）</strong></span></p> <p>OWASP CDM網絡防禦矩陣，是2016年在美國銀行擔任首席安全科學家Sounil Yu提出的5x5的網格矩陣，在第一維度橫軸，是以涵蓋NIST CSF的五大功能為基礎，而在第二維度的縱軸項目，則是以設備裝置、應用程式、網路、資料、及人員等五個資產類別。</p> <p>在這個由二維結構組成的矩陣圖中，能幫助我們將所想要保護的資產類別先定義出來，再逐一從識別、保護、偵測、響應，以及復原等五大資安框架進行盤點，思考各項資產需要的資安技術方案；CDM方法的操作方式不只可以從資產層面的需求出發，也可以反過來從各位所研擬出的各種資安政策、須遵循的規範，或針對市場上的資安技術方案層面思索。</p> <p><span style="color: rgb(178, 34, 34);"><strong>OWASP TaSM（Threat and Safeguard Matrix）</strong></span></p> <p>OWASP TaSM威脅與保護矩陣，是以「行動」面向的檢視方法，由資安專家G Mark Hardy和Ross Young發起，目的是幫助CISO對於企業商務營運擬定合適、需要的縱深防禦計畫。</p> <p>基本上，TaSM也是同樣採用NIST CSF的五大功能為基礎所設計出來的5x5網格矩陣，但更是從面對威脅（Threat）所需的安全保護（Safeguard）而構建出的二維矩陣方法。</p> <p>在第一維度的橫軸，TaSM以涵蓋了NIST CSF的五大功能以及安全防護為主；第二維度的橫軸則是從資安威脅為面向，例如企業最常遭遇的Web應用程式攻擊、網路釣魚、第三資料遺失、供應鏈攻擊、以及DDoS阻斷服務攻擊等。</p> <p>有鑒於任何一種保護技術方案的選擇與導入都需要付出成本（包括經費、時間、人力、資源），因此，如何將寶貴、有限的資源，以有效率的方式，依據企業的狀態及資安策略進行合適的防護建立，並且發揮效果；最重要的是，避免「聽說、跟風、不知所以然」的瞎選方式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B9%B4%E9%91%91-%E5%96%84%E7%94%A8%E8%B3%87%E5%AE%89%E6%A1%86%E6%9E%B6-600-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>在2024年3月正式公布NIST CSF 2.0新版本，從之前CSF 1.1的五大功能重新定義發展成CSF 2.0的六大功能，而且在原本的五大功能：識別（Identify）、保護（Protect）、偵測（Detect）、響應（Respond）、復原（Recover），再新增第六功能：治理（Govern），藉此強調企業資安治理與策略的重要性。</strong><span style="font-size: 14px;">圖片來源／NIST</span></span></p> <p><span style="font-size: 28px;"><strong>面對攻擊來襲，你更需要攻擊向量視角</strong></span></p> <p>前面我們提到分別從設計企業資安策略的NIST CSF開始，以及如何選取合適企業資安防護方案的OWASP CDM與TaSM，都是屬於為了建構企業資安的準備，而且，這一切的準備都是為了面對攻擊來犯。</p> <p>企業必須先建立「遭受資安攻擊是不可避免」的心態概念，因此，如何趕緊察覺攻擊來犯的蛛絲馬跡，是防範未然跟避免災損的最佳方法，但是困擾大家的問題是：看不出、也看不懂發生什麼資安攻擊？雖然資安攻擊的手法複雜，但是仍然有施展的過程與跡象可以被觀察出來，例如，早年有「網絡攻擊鏈（Cyber Kill Chain）」可用來描繪關於企業遭遇攻擊入侵的過程階段，到了近幾年以來，資安領域最為推崇MITRE ATT&CK Framework提出的方法。</p> <p>MITRE ATT&CK全名為MITRE Adversarial Tactics Techniques and Common Knowledge，是由非營利組織MITRE所提出、持續維護的資安框架，它主要是從駭客角度針對網絡攻擊入侵進行分類和說明的指南，ATT&CK框架發布於2015年，是現今最主要作為檢視資安攻擊活動的攻擊戰術、攻擊技術以及攻擊模式的知識庫，並且不斷地被持續更新。</p> <p>我們可以將MITRE ATT&CK視為一種描繪資安攻擊活動的共通語言，有助於入侵手法的描述、分類和理解威脅行為上，能有一套共通標準。MITRE ATT&CK將入侵流程定義成14個戰術（Tactic），包括：偵查、資源開發、初步訪問、執行惡意程式碼、持續性控制、權限提升、防禦規避、憑證存取、探查環境、橫向移動、資料收集，以及事件發生（命令與控制、洩漏及影響）等，並且描述每個戰術所採取的技術（Technique）及程序（Procedure），提供結構化的方法，有助於資安專業人員更好理解與判讀威脅行為。</p> <p>順道一提，MITRE ATT&CK可以與NIST CSF的偵測與響應之間，進行相互策略應用搭配，企業以NIST CSF制訂資安策略需要的具體評量指標，便可利用MITRE ATT&CK來設定。</p> <p>此外，企業在利用OWASP CDM或TaSM，進行所需資安防護技術方案的評選時，也可以檢視該項防護技術方案是否具備或支援MITRE ATT&CK的情報內容，例如，現今的XDR技術技術方案便是一種，有助於企業面臨資安威脅時，能夠快速展開攻擊視角來掌握整體情況，並且可以迅速展開準確的防禦行動應變。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B9%B4%E9%91%91-%E5%96%84%E7%94%A8%E8%B3%87%E5%AE%89%E6%A1%86%E6%9E%B6-600-3A.png" style="width: 400px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B9%B4%E9%91%91-%E5%96%84%E7%94%A8%E8%B3%87%E5%AE%89%E6%A1%86%E6%9E%B6-600-3B.png" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>目前隸屬於OWASP的 CDM及TaSM，都是幫助評估資安策略所需的保護方案，大家可將不同威脅套用到這兩種框架中，思索相關保護方法。</strong><span style="font-size: 14px;">圖片來源／OWASP</span></span></p> <p><strong><span style="font-size: 28px;">資安威脅是無限賽局，善用方法才是破解之道</span></strong></p> <p>資安威脅是場無限賽局，隨著各種新型的數位科技問世，往往都是攻擊方會取得先機，而防守方的企業則經常處於被動應對的狀態，因此，企業的資安防護想要搶佔先機，就必須採取更睿智聰明的方法。對此，我想再次引用孫子兵法所提到的「上兵伐謀」，企業資安策略與防護的重點在於：能夠有效率地破除駭客攻擊的計謀與手段，最不需要的是跟駭客團體進行軍武競賽，因為，將寶貴資源用在企業競爭力更值得。</p> <p>隨著數位化的爆發式發展，「數位信任（Digital Trust）」勢必將成為數位世代的重要指標，我們無法預期未來的數位是否能發展出電影第一玩家，或駭客任務的模式，然而，已知與未知型態的資安攻擊卻對數位信任造成衝擊。</p> <p>借用BSI數位信任專家Mark Brown在<數位信任新紀元>一文所言，「數位信任」並非網路安全的新鮮詞，但其內容涵蓋會影響客戶、使用者，以及和利害關係人對於企業信任的諸多因素，企業唯有仰賴資安才能順利運作並獲得完善保護。資安是建立數位信任的關鍵要素，更是刻不容緩的任務，懂得善用方法，才是建立企業資安最睿智聰明的上上策。<strong>文⊙懷生數位處長黃繼民</strong></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color:#FFFFFF;"><span style="font-size:22px;"><span style="background-color:#3399ff;"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color:#FFFFFF;"><span style="font-size:22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 250px;" /></span></span></strong></a></p> </div></div></div>
2024/6/16 00:00未署名https://www.ithome.com.tw/article/163232
臺灣虛擬通貨公會正式成立！下一步是訂定自律規範，落實產業分類分級管理機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣虛擬通貨公會在昨日正式成立，首屆公會共有24間業者入會，由幣託科技共同創辦人暨執行長鄭光泰當選首屆理事長，副理事長則由XREX共同創辦人暨集團營收長蕭滙宗當選。在成立大會中，理事長鄭光泰表示，制定合理且有效的自律規範，和打造區塊鏈上下游產業鏈，是公會接下來的重要推動事項。</p> <p>早在去年九月，金管會就發布虛擬通貨業者指導原則，擬定業者須遵循的十大原則方向，包括建立營運系統、資訊安全及冷熱錢包管理機制等。而虛擬通貨公會的首要任務，就是根據原則框架，來制定自律規範。</p> <p>「監管要他律，需要有相對應的技術、平台和資源。」輔當選副理事長的蕭匯宗在一個podcast節目中解釋，虛擬通貨公會成立後的影響性，除了建立業者與主管機關間的溝通橋樑，也要透過建立自律規範，來輔助主管機關更掌握這個新興產業，進一步制定合適的監管機制，甚至能成為未來主管機關制定專法的參考依據。</p> <p>除了制定自律規範，公會另一項重要推動事項，是打造區塊鏈上下游產業鏈。目前，虛擬通貨公會已制定產業的分級分類機制，在公會創始成員名單中，24間業者依據業務涵蓋範疇區分為三類，各類別還會依據公司規模分為兩級。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/448321771_10160594965458423_2524454279877905203_n.jpg" style="background-color: transparent; color: rgb(0, 0, 0); font-family: Arial, sans-serif; font-size: 11pt; white-space-collapse: preserve; width: 600px;" /></p> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:10pt;"><span><span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-06-14%20202322.png" style="width: 600px;" /></span></span></p> <blockquote><p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:10pt;"><span style="background-color: transparent; color: rgb(0, 0, 0); font-family: Arial, sans-serif; font-size: 11pt; white-space-collapse: preserve;">在虛擬通貨業者的洗錢防制法令遵循聲明中，敘述了五大類業務項目，正是虛擬通貨公會的分級分類機制的分類依據。A類是從事所有業務項目的業者，B類是從事第一到第三項業務中，任兩項的業者，C類則是從事第四、第五項業務，或其他業務項目業者。甲、乙級則是根據公司資產規模和員工數分級，各個類別中有不同的分級標準。（圖表來源：XREX）</span></p> </blockquote> <p>公會表示，未來會妥善執行分級分類管理。意味著，往後新加入的業者也需要依照這個分類分級機制接受管理，透過與同類別企業合作，促進整個產業前進。</p> <p>另外，公會也會推動和執法單位合作反詐騙、反洗錢，更要建立警方和產業間的聯防機制，提升產業整體的防禦力道。例如，公會籌備小組在今年三月，就已和法務部研議更具體的可疑交易通報機制。</p> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:10pt;"> </p> <div> </div> </div></div></div>
2024/6/14 20:46作者李昀璇https://www.ithome.com.tw/news/163468
【資安日報】6月14日，勒索軟體駭客組織Black Basta在微軟提供漏洞修補3個月前，利用掌握到的資安弱點打造攻擊…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者賽門鐵克近期針對勒索軟體駭客Black Basta、RansomHub的攻擊行動進行調查，並公布相關發現，其中，較為值得留意的是，Black Basta掌握了微軟尚未修補的Windows系統弱點，而能在3個月的空窗期製作漏洞利用工具並用於攻擊行動。</p> <p>值得留意的是，微軟在修補漏洞的當下，並未察覺漏洞遭到利用的跡象，而是直到最近，才有研究人員察覺，該漏洞已於去年被用於網路攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163455"><strong style="font-size: 22px;">勒索軟體駭客Black Basta利用Windows零時差漏洞提升權限</strong></a></p> <p>今年3月微軟修補Windows錯誤回報服務的漏洞CVE-2024-26169（CVSS風險評分為7.8），一旦攻擊者利用這項漏洞，就有機會提升權限。但最近研究人員指出，有人在微軟修補之前將其用於攻擊行動。</p> <p>資安業者賽門鐵克調查一起勒索軟體Black Basta攻擊事故，駭客組織Cardinal（Storm-1811、UNC4394）成功在受害電腦植入惡意程式DarkGate的載入工具之後，接著就部署CVE-2024-26169的漏洞利用工具，值得留意的是，研究人員找到的兩個惡意程式檔案，皆在微軟推出修補之前出現，其中一個是在今年2月27日製作，另一個則是在去年12月18日產生。這樣的情況，代表駭客至少在3個月前，就將其當作零時差漏洞用於攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/163376"><strong style="font-size: 22px;">研究人員針對新興勒索軟體駭客組織RansomHub進行調查，對方利用ZeroLogon入侵受害組織</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ransomhub-6.png.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ransomhub-6.png.png" style="width: 300px; float: right;" /></a>近期不斷登上新聞版面的新興勒索軟體駭客組織RansomHub，接連針對美國醫療集團Change Healthcare、英國精品拍賣業者佳士得（Christie's）、臺灣電腦製造商藍天（Clevo）出手，這個從今年2月才出現的駭客組織，已竄升至過去幾個月第4大的勒索軟體，其威脅態勢也引起研究人員高度關注。</p> <p>資安業者賽門鐵克針對這個駭客組織著手進行身家調查，他們發現RansomHub的有效酬載與另一款名為Knight的勒索軟體具有高度相似性，這兩款惡意程式都是透過Go語言打造，而且，大部分的版本使用名為Gobfuscate的工具進行混淆處理。</p> <p>而對於RansomHub的攻擊流程，研究人員提及，他們看到這些駭客通常利用ZeroLogon（CVE-2020-1472）取得初始入侵的管道，對方藉此得到網域管理員權限，從而控制整個網域。</p> <p><a href="https://www.ithome.com.tw/news/163378"><strong style="font-size: 22px;">網路釣魚工具包V3B鎖定歐洲國家銀行而來，企圖竊取用戶登入資料及OTP</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2add212dfa66fc9f99ec2385321cae5e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2add212dfa66fc9f99ec2385321cae5e.png" style="width: 300px; float: right;" /></a>資安業者Resecurity揭露新的駭客組織，對方自今年3月，在加密通訊軟體Telegram頻道與暗網社群裡，推廣名為V3B的網釣工具包，並專注歐洲金融機構客戶從事相關攻擊。目前這些駭客的Telegram頻道至少吸引了1,255名成員，他們專門從事社交工程攻擊、SIM卡挾持（SIM Swapping）、金融卡詐欺等網路犯罪行為，估計已造成數百萬歐元損失。</p> <p>研究人員指出，這款網釣工具包鎖定超過54個歐盟金融機構的用戶而來，標榜提供專屬的本地化範本，能模仿各家網路銀行及電子商務系統的驗證流程，該工具包攻擊的範圍，遍及愛樂蘭、荷蘭、芬蘭、奧地利、德國、法國、比利時、希臘、盧森堡、義大利。</p> <p><a href="https://www.ithome.com.tw/news/163380"><strong style="font-size: 22px;">駭客藉由Excel巨集進行多階段惡意軟體攻擊，針對烏克蘭電腦植入Cobalt Strike</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/cobalt-process-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cobalt-process-diagram.png" style="width: 300px; float: right;" /></a>資安業者Fortinet針對鎖定烏克蘭利用Excel巨集散布滲透測試工具Cobalt Strike的攻擊行動提出警告，並指出對方在過程裡採用各種規避手法，來確保有效酬載能夠成功送達。</p> <p>駭客先是傳送內含烏克蘭文字的Excel巨集，一旦使用者依照指示啟用巨集，該檔案就會切換成分配軍事單位預算的工作表，而在此同時，巨集則會藉由公用程式regsvr32，在後臺部署DLL程式庫，以便下載作案工具。</p> <p>這個惡意程式下載工具在啟動的過程當中，會檢查目標電腦是否存在Avast防毒軟體及Process Hacker的處理程序，並確認電腦的地理位置在烏克蘭，然後從遠端伺服器下載另一個經過編碼處理的有效酬載，最終將Cobalt Strike的Beacon注入，並與C2伺服器建立連線。</p> <p><a href="https://www.ithome.com.tw/news/163447"><strong style="font-size: 22px;">研究人員揭露Veeam剛修補的重大漏洞技術細節與利用方式</strong></a></p> <p>不久前的5月21日，備份與資料保護軟體廠商Veeam，發布Veeam Backup & Replication備份軟體12.1.2.172更新版本，修補Veeam Backup Enterprise Manager（VBEM）集中管理控制臺的4個漏洞，但只簡略提及這些漏洞造成的影響，而未交代具體的技術細節。</p> <p>最近資安研究人員Sina Kheirkha則針對嚴重程度最高的CVE-2024-29849，提出了他的分析結果，以及可行的利用漏洞方式。研究人員指出問題是出在Veeam API的SSO token驗證程序並不完備，用於驗證SSO token有效與否的STSService URL網址，本身並不會經過驗證，所以攻擊者可以將SSO token驗證請求，導向到自己控制的惡意伺服器伺服器上，所以Veeam API向惡意伺服器詢問攻擊者的SSO token是否有效時，自然會得到「有效」的回應。</p> <p><a href="https://www.ithome.com.tw/news/163456"><strong style="font-size: 22px;">半導體矽晶圓廠環球晶圓發布重大訊息，部分資訊系統遭受攻擊，恐有產線受到影響</strong></a></p> <p>6月13日傍晚5時半導體矽晶圓廠環球晶圓（環球晶）發布重大訊息，證實有部分資訊系統在12日晚間遭到駭客攻擊。該公司資安單位在察覺異狀後，隨即啟動相關防禦及復原機制，並委請外部資安業者的技術專家協助處理。</p> <p>而對於這起事故帶來的影響，他們後來也向中央社透露後續確認的情況，指出有少數廠區的部分產線受到影響，對此，他們將會使用庫存因應，若有部分無法及時供應，有可能延遲至第3季初出貨。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://blog.trailofbits.com/2024/06/11/exploiting-ml-models-with-pickle-file-attacks-part-1/"><strong style="font-size: 20px;">研究人員揭露針對機器學習模型而來的攻擊手法Sleepy Pickle</strong></a></p> <p></p> <p>◆<a href="https://intezer.com/blog/research/ssload-technical-malware-analysis/"><strong style="font-size: 20px;">惡意程式載入工具PhantomLoader冒充中國防毒軟體元件，被用於散布惡意軟體SSLoad</strong></a></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.securityweek.com/apple-patches-vision-pro-vulnerability-used-in-first-ever-spatial-computing-hack/"><strong style="font-size: 20px;">蘋果發布作業系統更新，首度修補Vision Pro獨有的虛擬實境運算漏洞</strong></a></p> <p></p> <p>◆<a href="https://securityaffairs.com/164494/security/fortios-high-severity-code-execution-flaws.html"><strong style="font-size: 20px;">Fortinet修補防火牆作業系統高風險層級的程式碼執行漏洞</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163449"><strong style="font-size: 22px;">企業自信心帶動資安轉型意願，識別力信心最低成短板</strong></a></p> <p>資安自信心成為資安變革的動力，更多臺灣大型企業，資安自信心比過去更高，也更想要改變資安戰略的做法。根據iThome 2024資安大調查的分析結果顯示，強化資安向來是企業資訊長排名第一的年度目標，但今年以此為目標的CIO減少了，轉而代之的是，更多企業資訊長、資安長聚焦在資安轉型，不只是做好，而要更積極展開資安變革。今年高達49.8%的企業資安長，將資安轉型定為年度目標，遠高於去年的30.8%比例。</p> <p>高達46%的企業資訊長、資安長對企業資安能力有信心，這個比例遠高於去年的28.7%。更多企業相信自己有足夠的能力，因應層出不窮的資安風險和威脅，也更願意做出改變。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://news.pts.org.tw/article/699798"><strong style="font-size: 20px;">英國智庫皇家國際事務研究所舉辦2024年網路安全會議，邀請數位發展部分享臺灣防禦策略</strong></a></p> <p></p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163113"><strong style="font-size: 22px;">法遵議題是驅動臺灣資安產業發展關鍵</strong></a></p> <p>資安政策制定和推動，對臺灣資安發展扮演關鍵角色。趨勢科技臺灣區總經理洪偉淦表示，政府應該針對不斷變化的威脅環境，制定相應的法規要求，以保護國家和民眾的資訊安全，同時政府也為企業提供必要的政策支持和保護，以帶動資安產業整體發展，例如政府提供企業資金支持和稅收優惠等措施以促進資安產業發展。</p> <p>洪偉淦坦言，資安不僅僅是企業面臨的問題，也是國家面臨的問題，因此，政府不只要積極推動資安產業的發展，也應該將資安轉化為國家的競爭優勢，像是政府可以通過制定相應的政策措施，促進資安產業的穩健發展，同時，還可以為保障國家的資訊安全，提供更加堅實的基礎。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163444"><strong>【6月13日】荷蘭針對中國駭客攻擊Fortinet防火牆設備的網路間諜行動進行深度調查，駭客挾持全球逾2萬臺設備</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163429"><strong>【6月12日】微軟發布6月份例行更新，總共針對49個漏洞進行公告</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163398"><strong>【6月11日】紐約時報證實內部資料流入地下論壇，程式碼儲存庫帳密資料外流釀禍</strong></a></p> </div></div></div>
2024/6/14 12:49作者周峻佑https://www.ithome.com.tw/news/163458
【臺灣資安大會直擊】富邦金建立跨子公司偽冒案件應變小組，系統化執行偽冒網站下架作業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，詐騙集團不僅會利用簡訊發送偽冒企業的釣魚網站連結，誘導民眾輸入個資及信用卡資料，更會在社群網站中假冒企業老闆和名人專家，誘使民眾加入投資群組，進一步詐取金錢。即便企業努力下架偽冒網站、群組，但「今天下架，明天又上架」的循環通常得持續兩三周，才會稍微停歇。富邦金控資安長蘇清偉在臺灣資安大會中點出。</p> <p>為了讓集團更系統化的下架偽冒網站和詐騙群組，富邦金控在內部推動一系列措施，先是制定集團一致性處理準則，包括定義案件樣態、建立明確處理機制，接著集結金控和子公司人員成立偽冒案件應變團隊，在接獲相關案件通報後，快速建立因應決策。同時，集團內部也使用自動化工具來進行網路監控，協助搜查偽冒訊息或網站。</p> <h3>制定處理準則三步驟：定義案件樣態、成立應變小組、建立處理機制</h3> <p>富邦制定處理準則的第一步，是定義案件樣態。富邦將偽冒案件分為四種，分別是釣魚網站及App偽冒、媒體偽冒、通訊軟體偽冒，和其他偽冒案件。其中，媒體偽冒專指社群中常見的偽冒粉絲專業或帳號，通訊軟體偽冒則是透過Line或簡訊等通訊軟體散播偽冒訊息的案件，例如假冒富邦員工發送文件，或是假冒富邦高階經理人創立投資群組等。</p> <p>第二步，是成立應變小組。富邦的作法，是整合金控和子公司的資安部門、品牌公關、風管單位和法尊單位，當收穫相關案件，會立即成立一個跨部門群組，決議案件的樣態並分派受理單位。蘇清偉解釋，不同案件樣態的處理機制、負責單位有所差異，例如，品牌公關對臉書操作較熟悉，因此，臉書上的偽冒帳號，就會由品牌公關主責下架作業。</p> <p>第三步，是制定完整的處理機制。富邦的偽冒案件處理機制可分為六大步驟。首先，當公司收穫案件通知，就會主動通報應變小組。除了透過人工作業方式查獲偽冒案件，如客戶反映、臉書通報和內部職員反映，富邦也有使用自動化工具來偵測釣魚網站和App。</p> <p>接著，由應變小組依案件樣態分派受理單位。當受理單位收到案件後，會先進行查證，並向查證單位通報。確認案件確為偽冒案件後，受理單位會依風險矩陣判別案件的風險等級，再根據等級高低執行因應措施，結案後再回報辦理情形。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__61472793.jpg" style="width: 600px;" /></p> <blockquote><p>富邦的偽冒案件處理機制分為六大步驟。第一步，當公司收穫案件通知，就會主動通報應變小組。第二步，應變小組受理案件後，會依案件樣態分派受理單位。接著，受理單位收到案件後，會先進行查證，並向查證單位通報。確認案件確為偽冒案件後，受理單位會依風險矩陣判別案件的風險等級。到了第五步，則是處理階段，由受理單位根據等級高低執行因應措施，結案後再回報辦理情形。</p> </blockquote> <p>蘇清偉解釋，富邦採用的風險矩陣，是以影響程度和業務關聯性作為指標，兩者皆區分出三種層級，可將案件歸類為高風險、中風險和低風險三種類別。若案件屬於高風險案件，需要立即處置，包括呈報公司總經理核備，或是向警察機關報案、尋求司法機關協助等。若為中風險，則至少需要公告澄清，低風險偽冒案件則是包含透過官方管道檢舉下架。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__61472794.jpg" style="width: 600px;" /></p> <blockquote><p>富邦採用的風險矩陣是以影響程度和業務關聯程度做為判別指標，兩者皆可分為低、中、高三種層級。受理單位可運用這個風險矩陣來判定案件的風險等級。</p> </blockquote> <p>在案件處理的階段中，富邦除了和公部門協力阻止詐騙行動，也和電信業者合作，當發現偽冒網站時，能快速終止DNS解析服務，早一步阻擋民眾連上釣魚網站。</p> <h3>半年內處理近300件偽冒案件，警銀連線平均不到半天就能下架臉書假帳號</h3> <p>依循這套機制，2023年下半年，富邦處理近300件偽冒案件。其中，釣魚網站及App偽冒案件占多數，即便每件都能成功下架，但平均需要9天的時間，才能順利結案，是最容易接觸到客戶的一類偽冒樣態。</p> <p>通訊軟體偽冒則須要平均4.7天，才能成功下架。蘇清偉指出，由於特定通訊軟體的檢舉作業須要經過舉證，有時檢舉案件會因資訊不足而難以立案。至於媒體偽冒，則是處理速度最快的樣態，透過與刑事局合作，平均半天內就能成功下架。</p> <p>根據半年來的實務經驗，蘇清偉點出目前企業的防詐困境。在處理媒體和通訊軟體的偽冒案件時，主要有四個困境。第一，各個社群平臺需要審核作業時間，無法在第一時間下架偽冒平臺。第二，官方檢舉不會主動回報檢舉執行進度，需要人工逐案確認。第三，官方檢舉常遇到檢舉不成立，或因資訊不足而無法受理檢舉案件的情況，影響下架作業。第四，客戶通報時，若未提供案件詳細資訊，企業也無法進一步執行檢舉和下架。至於其他類型的偽冒案件，因利用非數位化的形式進行詐騙，企業難以有效追查詐騙來源，也無法進一步執行後續處理動作。</p> <p>詐騙手法日新月異，業者為了應變，只能不斷地和詐騙組織周旋，「你一停，你就輸了！客戶接觸到假資料後，可能就受害了。」因此，蘇清偉也鼓勵同業一起擔任淨化網路的角色，下架偽冒訊息，守護客戶的安全。</p> <p></p> </div></div></div>
2024/6/14 17:37作者李昀璇https://www.ithome.com.tw/news/163467
仁來瘋背後的產業AI革命新思維
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年的五六月，向來是大型IT廠商爭相舉辦年度用戶活動的重要時刻，同樣在這段期間舉行的台北國際電腦展（Computex），過去兩年以來，吸引越來越多人關注，最大原因是Nvidia共同創辦人暨執行長黃仁勳的到訪，掀起全臺灣與全球的數位科技狂潮，今年更有媒體將這股全民追星旋風稱為仁來瘋（Jensanity）。</p> <p>去年Computex的週一開場由黃仁勳他在南港展覽館2館的主題演講開始，今年黃仁勳再度訪臺，演講提早在活動前一個週日晚間7點進行，到場地更大的臺灣大學綜合體育館，展開難得的夜間主題演講，而<a href="https://www.youtube.com/watch?v=pKXDVsWZmUU&t=6093s" target="_blank">這場線上直播的影片</a>截至6月13日為止，觀看次數就已經累積到500萬。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/pKXDVsWZmUU?si=4f6QSLgCJXuJrzeR&start=144" title="YouTube video player" width="560px"></iframe></div> <p>除此之外，這兩年的Computex活動期間，在伺服器廠商美超微共同創辦人暨執行長梁見後的主題演講，他都前去站臺，因此也吸引許多人關注。由於臺灣大部分媒體的焦點，均在兩人的過往生平軼事、生涯發展有多麼勵志，關於他們如何促進AI發展的規畫反而語焉不詳，也讓我重新去看今年兩人的演講影片。</p> <p>如果不想看長篇大論，我推薦大家去看Supermicro的演講，尤其是黃仁勳作為客座來賓的段落，言簡意賅點出今年他們推動的技術變革關鍵，他信手拈來兩段話，道破Nvidia今年主打的AI工廠（AI Factory）概念。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/HQnNpZFIhpA?si=bpTYmoRYxJ_EfC5i&start=1760" title="YouTube video player" width="560px"></iframe></div> <p>黃仁勳說，在未來，運算吞吐量就代表著營收，因為一切關乎詞元的生成（token generation），而詞元生成是以每百萬個詞元的費用來計算，就像能源是以千瓦小時（kWh）來計算，我們如今已發明新的有價商品，如果能夠以更快速度產生它、達到更高的吞吐量、更高的使用率，我們就會獲得更大的營收，他深信這是千真萬確的，因為它可以是能夠直接衡量的。</p> <p>接下來，他用三個簡單對比，突顯他們打造的數位科技新願景有別於傳統IT。他說，基於上述理由，Nvidia將這樣的系統環境建置稱之為工廠，而非資料中心、檔案伺服器檢索檔案，或是用於交換電子郵件，因為重點在於這樣的「工廠」可以直接產生營收，因此他們稱為AI工廠。</p> <p>關於AI工廠的解釋，黃仁勳在稍早Nvidia主場的演講是有更完整的論述，那一整段話並不只是為了鋪陳、炒熱氣氛。</p> <p>在他提到臉上疤痕的由來、推崇臺灣的夜市，以及長年賣水果的小販之後，黃仁勳開始解釋AI工廠的由來。</p> <p>回顧ChatGPT誕生之前，AI主要是感知（Perception）與感測（Detection），ChatGPT讓全世界見識到生成式AI，起初只能一次生成一個文字形式的詞元，如今可產生各種我們知道其意義的資訊，像是圖片、圖表、歌曲、演講、影片，以及化學物質、蛋白質、基因、天氣、物理等領域的詞元，可透過AI模型學習意義，然後生成相關內容。因此，用這種方法為任何有價值的事物生成詞元，任何能學習的事物都可以生成，因此，黃仁勳認為，我們現在要進入的不只是AI時代，而是生成式AI時代，而供應這些能力的系統原是超級電腦，如今進化為資料中心，而且能生產詞元，使其成為AI工廠，同時，這樣的工廠能夠產生（generate）、創造（create）、生產（produce）具有重大價值的東西，他稱為「一種新的商品」，也呼應後續Supermicro演講所言。</p> <p>就像交流發電機產生電子，Nvidia的AI生成器產生詞元，都能提供所有產業所需要的東西，帶來龐大商機，也將成為一場「新的產業革命」，因為可透過新的工廠，為每個產業生產新的高價值商品，而且這種作法具有高度可擴充性（scalable）與可複製性（repeatable ）。黃仁勳直言，這是3兆美元市場規模的IT產業，即將打造出可直接服務100兆美元市場規模其他產業的商品，這樣的商品不只是用於資訊儲存或資料處理，而是能為各種產業生成智慧的工廠，因此，IT將成為製造業，不只是生產電腦的製造業，而是將電腦用於製造。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/computex">Computex</a></div><div class="field-item odd"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item even"><a href="/tags/%E9%BB%83%E4%BB%81%E5%8B%B3">黃仁勳</a></div><div class="field-item odd"><a href="/tags/%E4%BB%81%E4%BE%86%E7%98%8B">仁來瘋</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/ai%E5%B7%A5%E5%BB%A0">AI工廠</a></div></div></div>
2024/6/14 15:33作者李宗翰https://www.ithome.com.tw/voice/163465
ChromeOS將以大量Android技術堆疊進行開發以加速AI部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.chromium.org/2024/06/building-faster-smarter-chromebook.html" target="_blank">Google本周宣布</a>，ChromeOS很快就會在大量的Android技術堆疊上進行開發，包括把Android Linux核心及Android框架當作ChromeOS的基礎，以更快替ChromeOS用戶帶來AI、創新或其它新功能。</p> <p>其實ChromeOS一直在向Android靠攏，Google自2016年便讓ChromeOS用戶可執行Android程式，隔年更宣布採用ChromeOS的所有Chromebook都將支援Google Play與Android程式，此外，自今年3月發表的<a href="https://chromeos.dev/en/posts/androids-bluetooth-stack-fluoride-comes-to-chromeos" target="_blank">ChromeOS 122</a>起，ChromeOS亦開始改用Android所使用的藍牙堆疊Fluoride。</p> <p>Google解釋，把Android技術堆疊導入ChromeOS，可望加速ChromeOS核心的AI創新腳步，簡化工程任務，同時協助諸如手機及配件等各種裝置與Chromebook更為相容，此外，Google也將繼續供應ChromeOS用戶所喜愛的安全性、外觀及管理能力。</p> <p>不過，Google現在才開始改善相關的技術堆疊，可能還需要一陣子才能符合消費者的需求，屆時將提供無縫轉移的更新體驗，在這期間仍會維持正常的ChromeOS軟體更新與創新。</p> <p>這幾年以來，有關Google可能合併ChromeOS與Android<a href="https://www.ithome.com.tw/news/99629" target="_blank">的傳聞一直不斷</a>，但此一名為Andromeda的內部專案很快就告吹，據說原因是Google認為這兩個平臺都很成功，得以各自發展。</p> <p>但即便到了現在，Google仍持續整合這兩個平臺，<a href="https://www.androidauthority.com/chrome-os-running-on-pixel-3442496/" target="_blank">Android Authority</a>於上個月報導，Google正企圖於Pixel手機上執行ChromeOS，該公司開發了一個特殊的ChromeOS版本Ferrochrome，並透過Android虛擬框架（Android Virtualization Framework，AVF）於Pixel上執行。</p> <p>不管Google最後是否會合併這兩個作業系統，至少目前ChromeOS與Android之間的互動能力與技術分享都一直在強化中。</p> </div></div></div>
2024/6/14 14:29作者陳曉莉https://www.ithome.com.tw/news/163463
整合IT與OT強化資料應用，高捷靠IT加速轉型智慧軌道運輸
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衝擊全球近3年的COVID-19重創旅遊業，連帶也影響大眾運輸業，以南臺灣的高雄捷運（簡稱高捷）為例，受到疫情的影響，日運量從多年辛苦經營的18萬人次，2021年6月因疫情進入三級警報，日運量不到2.4萬人次，創下通車營運以來最低的人次。直到疫情緩解後才回升，2024年5月，日運量達到16.7萬人次，高雄捷運逐步從疫情衝擊中復甦。</p> <p>因應搭乘旅客驟減，高雄捷運減少列車班次因應，但沒有因疫情而減緩精進營運及服務，高雄捷運積極運用科技，從傳統大眾運輸加速轉型為智慧軌道運輸，以提高運輸服務體驗，例如2020年和各家電信業者合作，導入5G於高雄捷運，以改善捷運車站、車廂內4G及5G的訊號涵蓋死角問題；2022年在示範車站導入節能的電子紙等等。</p> <p><span style="font-size:28px;"><strong>推動IT與OT整合加速轉型</strong></span></p> <p>成立超過20年的高雄捷運也致力於整合IT及OT，以改善公司營運及服務，背後推手是高雄捷運資訊室主任楊進成，電機工程背景出身的他，2003年便加入高雄捷運的營運籌備階段，最初進入相當於捷運心藏的行控中心，因當時高捷行控中心仍在規畫建置期，他回想當時曾參訪臺北捷運行控中心，作為高捷行控中心的規畫參考。</p> <p>當時，在行控中心任職期間，楊進成與其他同事深深感受到，資訊不足對營運的影響。以列車的故障排除為例，控制工程師不只要記住每一種故障的代碼，還得熟知每一項代碼的通報及排除程序，才能正確應對，對控制工程師的工作帶來重擔，尤其是新手。因此，楊進成在行控中心時開發一套故障排除的輔助系統，當發生故障時，工程師只要輸入故障代碼，系統即提供如何排除故障的相關資訊。</p> <p>傳統上，OT環境為避免外部取得資料，多為封閉的控制系統，為轉型為智慧軌道運輸，高捷思考如何取得OT資料，以協助優化營運管理，他們研究如何自號誌控制系統取得資料，利用網路流量複製的概念，以側錄的方式擷取號誌系統資料，成功自號誌系統取得資料的經驗，讓楊進成與同事更有信心，進一步研究OT的資料結構，以及如何對OT資料進一步加值運用，開發輔助行控中心工作的不同輔助資訊系統。</p> <p>在高層的支持下，2022年楊進成轉調資訊室帶領高捷IT團隊，整合IT與OT也就成為他的任務之一。</p> <p><span style="font-size:28px;"><strong>規畫建置機電資料交換平臺取得OT資料</strong></span></p> <p>他進入資訊室後，發現為了取得OT資料，必需向維修單位取得資料，而高雄捷運仍持續規畫建置新的路線，為了突破20多年來只能在OT環境傳送OT資料的架構限制，他向捷運局提出新的架構，未來規畫建置機電資料交換平臺，讓新的路線可以依照新的資料交換架構，將OT營運資料向外拋，進一步作加值運用。</p> <p>「未來軌道運輸系統發展趨勢是，需要提供旅客更多服務，就需要從OT取得更多的資料」，楊進成表示，IT與OT的整合，在營運方面，IT可以協助紀錄OT資料，運用AI大數據分析找出跡證，對可能發生故障前的偶發狀況，預判是否即將發生故障，提供維修單位擬定整修計畫的參考。</p> <p>不過，由於每個OT系統的資料格式都不相同，高捷與供應商的合約並未要求OT系統得遵循統一的資料格式，這也增加了說服其他單位、委外OT業者提供統一OT資料的難度，因此，楊進成改變策略，希望供應商協助提供OT資料複本，清楚說明其資料結構，讓機電資料交換平臺可以介接到各個OT系統，IT從平臺取得OT資料時，能夠知道資料來自哪個OT設備或子系統，IT解譯這些資料之後，再將資料存放到資料庫，後續用於AI大數據分析應用。</p> <p>除了IT從OT取得資料加值應用，高捷也嘗試將IT的資料整合至OT，改善乘車服務體驗。舉例來說，旅客在月臺上候車，通常會觀看月臺上的PIDS列車資訊系統，也就是月臺上的LCD螢幕顯示的列車到站時間，PIDS是根據OT營運設備的資料計算列車到站時間，然而，旅客經常會抱怨，PIDS系統顯示的到站時間與官網提供的資訊存在落差，PIDS顯示列車進站，但實際上列車並未進站，而官網顯示到站時間比較準確。</p> <p>楊進成解釋，列車因種種原因臨時調度，PIDS難以反映列車調度修改預估到站時間，IT團隊原先想從PIDS取得OT資料，但發現需經過重重解密最終決定放棄，改為蒐集列車的GPS即時定位資料，即使列車臨時調度，也能蒐集準確的列車位置，在官網上提供列車真實的到站時間。為了解決官網上的資訊與PIDS的列車到站時間不一致的問題，IT團隊與PIDS供應商討論，希望將官網的列車動態資訊提供給PIDS系統，讓月臺候車旅客參考，楊進成表示，這是IT結合OT，以IT協助改善OT的例子。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1186-CIO-%E6%8A%BD%E8%A8%80-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89-PNG.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>B級非公務機關強化資安管理</strong></span></p> <p>由於高捷屬於民生相關的大眾運輸服務，被認定為CI關鍵基礎設施，但由於高捷為BOT營運的民間公司，去年他們被指定為B級非公務機關，依規定應達到相應的資安管理規定。除了來自外部的資安等級要求，高捷內部也面臨資安風險增加，成立超過20年的高捷，內部有不少OT設備系統已經老舊，如果使用現代的防毒防駭工具，可能產生不必要的問題，影響系統的穩定運作，這些老舊系統仍維持1、20年前狀態，如何強化內部資安管理，成為IT的重要課題。</p> <p>因此楊進成上任後，加強高捷內部的資安管理。以IT與OT的整合為例，機電資料交換平臺與每個OT系統一對一介接，每個系統與平臺介接都有獨立的防火牆，可以各自獨立阻隔，不僅避免IT與OT整合的資安風險，也能防範OT與OT系統之間遭到入侵。</p> <p>楊進成表示，建置機電資料交換平臺介接各個OT系統取得資料，為避免平臺讓每個OT系統透通，導致駭客有可趁之機，必需確保資料交換過程的安全性。</p> <p>他認為，不論系統設計的如何安全、如何獨立，仍然很難預測發生什麼問題，因此需從零信任的角度，預想當某個系統發生問題，該怎麼做才不會擴散到其他系統。</p> <p>在這樣的想法下，儘管規畫建置機電資料交換平臺介接各個OT系統，但是在IT端並非直接介接機電資料交換平臺，而是透過一臺主機介接機電資料交換平臺，以互鎖IP方式取得OT資料。</p> <p>另外，高捷也加強資訊設備控管，在高層支持下，高捷公司今年規定，凡是資訊產品採購，在採購之前先向資訊室說明，即使是用於OT主機的資訊產品，也需交由資訊室協助採購這些產品，以避免採購特殊規格產品或是採購五花八門資訊產品，資訊室也能收回其他部門暫時不用的資訊設備，再依其他部門的需要提供給他們使用，加強資訊設備的資產管理。</p> <p>另外，過去高捷採購設備，廠商承諾定期更新威脅情資，但他發現廠商僅承諾提供威脅情資更新服務，卻沒有明確的更新頻率，如此一來，可能在威脅情資尚未更新之前，系統的漏洞就先被駭客發現，因此他要求廠商加快威脅情資的更新，降低被駭的風險。</p> <p>至於外部遠端工作使用的VPN，過去員工只要申請VPN，就能透過帳號密碼登入連線，但是楊進成認為傳統做法存在一定的風險，如果VPN使用者帳密被盜用，就會產生資安風險，因此高捷IT推出高捷資安通，讓使用者申請VPN之前，先在裝置上安裝資安通，以對硬體進行認證，並掌握裝置上使用的軟體，如果使用的是個人的資訊設備，則要求安裝防毒軟體。</p> <p>換言之，為避免傳統的VPN帳密可能被盜用的風險，高捷對於VPN登入，先進行使用者AD的員工身分認證，再認證其輸入的VPN帳密，搭配資安通對設備特徵認證，才允許登入使用VPN遠端連線。</p> <p>另外，高捷也透過資安通蒐集每位員工所使用的資訊設備資料，楊進成表示，IT掌握這些資訊設備的硬體及軟體使用情形，例如配發給員工使用的電腦，透過檢核比對確認電腦內是否安裝未經申請的軟體，不同於坊間偵測工具，只有在電腦執行軟體才會發現，他希望即使沒有執行軟體，仍能通過定期或不定期檢核找出不該安裝的軟體。</p> <p>楊進成指出，這麼做的好處是，首先加強資訊設備的資產管理，瞭解每個申請使用的資訊設備使用情形，是否妥善被使用或是被閒置的冗餘設備，其次是，通過檢核發現員工的電腦內出現不明的軟體，可能是遭駭客植入惡意軟體，依據過去的經驗，如果遭到駭客入侵，可能潛伏一段時間伺機而動，直到惡意軟體開始打包竊取帳密，才會偵測到異常行為，而通過檢核比對發現員工電腦內安裝不明軟體，不需等到軟體被執行，能夠及早發現駭客入侵。</p> <p>從傳統大眾運輸到轉型為智慧軌道運輸，高捷也積極導入AIoT，例如高捷為加強乘車安全，在科專計畫補助下在捷運、輕軌車廂安裝AI box，結合車廂內的攝影機，偵測車廂內乘客是否有影響安全的異常行為，當偵測到異常行為，分別向列車上的司機員、遠端的行控中心示警，由司機員、行控中心進一步判別異常情形是否危及乘車安全、如何應處。另外，他們也導入另一項科專計畫，利用車廂內攝影機，運用AI影像辨識車廂的擁擠度。</p> <p>從行控中心利用OT資料開發輔助系統，到帶領資訊團隊，楊進成在高層期許下，一方面強化資安管理、資訊設備資產管理，一方面也積極推動IT與OT整合，促使高捷向智慧軌道運輸業轉型，「在高捷朝智慧軌道運輸的轉型過程中，IT扮演中樞匯整角色，將散落各地的資料整合後，再進一步作數據分析加值運用」，楊進成說。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>高雄捷運資訊室主任　楊進成</strong></p> <p>學歷：健行技術學院電機工程系</p> <p>經歷：1997年在東元資訊的維修單位，負責製程自動化設備維護、機器手臂調校、人機介面優化等工作；2003年進入默克光電的維修單位，參與製程自動化連結、IT與OT資訊整合規畫及導入。2003年底加入高捷，參與行控中心籌備規畫及建置，2022年擔任資訊室主任。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1186-CIO-%E9%AB%98%E6%8D%B7-250.jpg" style="width: 249px;" /></p> <p><strong>高雄捷運公司</strong></p> <p>●地址：高雄市前鎮區中安路１號</p> <p>●成立時間：2000年</p> <p>●主要業務：捷運交通運輸事業</p> <p>●員工數：1,568人</p> <p>●董事長：楊岳崑</p> <p>●總經理：王亞洲</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：資訊室主任</p> <p>●資訊部門主管姓名：楊進成</p> <p>●資訊部門人數：21人</p> <p>●資訊部門分工：系統課及設施課，系統課負責資訊系統應用軟體開發與維運、資訊系統與機電及外部系統之介面與整合，設施課負責資訊基礎設施建置與維護管理、規劃及推動資通安全管理業務</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2001年：導入ERP</p> <p>●2007年：運務管理、維修管理系統上線</p> <p>●2013年：建置一卡通票證公司資訊系統，由資訊系統處改制為資訊室</p> <p>●2014年：建置高雄輕軌管理資訊系統、電子發票管理系統</p> <p>●2016年：虛擬主機系統擴充，建置高捷多卡通系統，建置軟體開發專案管理系統，營運改善管理系統</p> <p>●2020年：新ERP系統建置</p> <p>●2022年：建置高雄輕軌列車即時動態系統、災害即時資訊通報系統、規劃建置人工智慧整合平臺</p> <p>●2023年：資通安全專責人員納編、建置高捷資安通、導入端點偵測與回應軟體（EDR）及威脅偵測與應變機制（MDR）、導入ISO 27001：2022轉版認證</p> <p>●2024年：導入GitHub Copilot、導入雲端服務</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1186-cio-gao_jie_-960.jpg" width="960" height="420" alt="" title="高雄捷運資訊室主任楊進成　（攝影／洪政偉）" /></div></div></div>
2024/6/14 15:11作者蘇文彬https://www.ithome.com.tw/people/163464
日本立法禁止蘋果與Google阻礙與之競爭的第三方程式市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據日本通訊社<a href="https://english.kyodonews.net/news/2024/06/bc2d7f45d456-japan-enacts-law-to-curb-apple-googles-app-dominance.html#google_vignette" target="_blank">Kyodo News的報導</a>，日本參議院在本周四（6/13）通過了針對特定智慧型手機軟體的競爭法案《Act on Promotion of Competition for Specified Smartphone Software》，要求服務供應商不得禁止第三方推出自己的應用程式市集，以及不得禁止第三方支付系統等，預計於2025年底生效，向<a href="https://www.ithome.com.tw/news/161035" target="_blank">歐盟的《數位市場法》</a>（Digital Markets Act）看齊，將矛頭指向了Google與蘋果。</p> <p>根據日本公平交易委員會（JFTC）<a href="https://www.jftc.go.jp/file/240612EN2.pdf" target="_blank">所公布的法規摘錄</a>，除了上述之外，該法令還要求供應商應該讓使用者更容易變更預設設定，也必須提供瀏覽器的選擇螢幕；其搜尋服務不得偏袒自家產品；不得搜括競爭應用程式的資料供自己的程式所用；開發商所使用的作業系統功能應該與供應商所使用的效能一致。</p> <p>違反上述規定的業者，將被處以業者於日本境內營收的20%的罰款，累犯則可能提高到30%。</p> <p>Kyodo News指出，日本現有的反壟斷法令只向違法業者收取6%的法款，新法令的罰款規模是原來的3倍。</p> <p>蘋果與Google等業者也已於今年3月開始遵循歐盟於去年5月正式實施的《數位市場法》，該法同樣要求這兩大業者必須允許第三方程式市集及支付系統，開放瀏覽器選擇權，以及與第三方服務互通。</p> </div></div></div>
2024/6/14 13:20作者陳曉莉https://www.ithome.com.tw/news/163460
勒索軟體駭客Black Basta利用Windows零時差漏洞提升權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月微軟修補Windows錯誤回報服務的漏洞CVE-2024-26169（CVSS風險評分為7.8），一旦攻擊者利用這項漏洞，就有機會提升權限。但最近研究人員指出，有人在微軟修補之前將其用於攻擊行動。</p> <p>資安業者賽門鐵克調查一起<a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/black-basta-ransomware-zero-day">勒索軟體Black Basta攻擊事故</a>，駭客組織Cardinal（Storm-1811、UNC4394）成功在受害電腦植入惡意程式DarkGate的載入工具之後，接著就部署CVE-2024-26169的漏洞利用工具，濫用系統檔案werkernel.sys並產生登錄檔，並將Debugger的數值設定為特定的路徑名稱，從而以管理員權限啟動Shell的系統權限。但稍微值得慶幸的是，這些駭客最終並未成功部署勒索軟體。</p> <p>值得留意的是，研究人員找到的兩個惡意程式檔案，皆在微軟推出修補之前出現，其中一個是在今年2月27日製作，另一個則是在去年12月18日產生。這樣的情況，代表駭客至少在3個月前，就將其當作零時差漏洞用於攻擊行動。</p> </div></div></div>
2024/6/14 11:56作者周峻佑https://www.ithome.com.tw/news/163455
【iThome 2024資安大調查系列2｜資安投資重點】多數企業聚焦識別和防護對策，少數企業展開全面性資安防禦
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_gu_shi_-p6zi_an_tou_zi_chong_dian_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近半數企業今年要展開資安轉型，3成要推動零信任資安，尤其是金融業與政府學校，更有近半企業將零信任資安列為今年投資重點。</p> <p>企業在2024年如何布局資安投資，來支援這兩大目標呢？我們將34項資安投資重點，對應到美國銀行首席安全科學家Sounil Yu在2016年發明的網路防禦矩陣CDM（Cyber Defense Matrix）。</p> <p>CDM是一個5乘5的矩陣，橫軸包括了NIST CSF的五大類別，項目包括：識別、保護、偵測、回應、復原，而縱軸則是以資產類別來畫分，包括了設備、應用程式、網路，資料與人員等項目。</p> <p>在34項資安投資中，依據企業在2024年對每一項的採用率數據，分為企業2024年採用率最高的Top10，Top11～20，Top21～30三類，分別以深藍色、淺綠色和紅色來區分，並且界定出每一項資安投資所對應的NIST CSF五大類別，以及可保護的資產類別，再對應到CDM這個矩陣上，可以繪製出2024年企業資安投資的CDM網路防禦矩陣圖。</p> <p>可以看到Top30採用項目涵蓋的重點分散，多落在保護和識別，也不一定能在不同防禦面向上，涵蓋到各類資產，像是散彈打鳥的瞄準重點，防護性不夠完整。</p> <p>採用率Top20的項目，納入了零信任資安的三大做法，身分與設備識別、網路分段、信任推斷，因此涵蓋到各類資產的識別和防護。只有少數企業可以更全面的涵蓋到偵測、回應和復原。</p> <p>企業可以將自己的資安投資重點，繪製出同樣的網路防禦矩陣，來和整體產業的CDM矩陣比對，可以用來比較整體產業資安戰略的分布和自家戰略的差異，作為調整資安戰略的參考。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P6%E8%B3%87%E5%AE%89%E6%8A%95%E8%B3%87%E9%87%8D%E9%BB%9E-600-1-PNG.png" style="width: 600px; height: 525px;" /></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P6%E8%B3%87%E5%AE%89%E6%8A%95%E8%B3%87%E9%87%8D%E9%BB%9E-600-2-PNG(2).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P6%E8%B3%87%E5%AE%89%E6%8A%95%E8%B3%87%E9%87%8D%E9%BB%9E-600-2(%E5%B0%8F)-PNG(1).png" style="width: 600px;" /></a></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P6-600-4-PNG.png" style="text-align: center;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P6%E8%B3%87%E5%AE%89%E6%8A%95%E8%B3%87%E9%87%8D%E9%BB%9E-600-4(%E5%B0%8F)-PNG.png" style="width: 600px;" /></a></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P6-600-3-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P6%E8%B3%87%E5%AE%89%E6%8A%95%E8%B3%87%E9%87%8D%E9%BB%9E-600-3(%E5%B0%8F)-PNG.png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> </div></div></div>
2024/6/14 12:24作者王宏仁https://www.ithome.com.tw/article/163453
半導體矽晶圓廠環球晶圓發布重大訊息，部分資訊系統遭受攻擊，恐有產線受到影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月13日傍晚5時半導體矽晶圓廠環球晶圓（環球晶）發布重大訊息，<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=170157&SPOKE_DATE=20240613&COMPANY_ID=6488">證實有部分資訊系統在12日晚間遭到駭客攻擊</a>。該公司資安單位在察覺異狀後，隨即啟動相關防禦及復原機制，並委請外部資安業者的技術專家協助處理。</p> <p>而對於這起事故帶來的影響，他們在公告中指出，目前正在積極會同專家進行調查及復原的工作，對於公司營運造成的影響尚在釐清。他們也對於保險理賠的部分指出，理賠金額有待進一步估算。並強調未來將持續網路及資訊基礎架構的資安管控，來確保資訊安全。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WR2gJnmLyq.png" style="width: 580px;" /></p> <p>他們後來也向中央社透露後續確認的情況，<a href="https://www.cna.com.tw/news/afe/202406130325.aspx">指出有少數廠區的部分產線受到影響</a>，對此，他們將會使用庫存因應，若有部分無法及時供應，有可能延遲至第3季初出貨。</p> </div></div></div>
2024/6/14 12:25作者周峻佑https://www.ithome.com.tw/news/163456
三星傳挖角蘋果Siri主管統率AI開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>財經媒體彭博<a href="https://www.bloomberg.com/news/articles/2024-06-11/samsung-taps-apple-siri-veteran-to-lead-north-american-ai-group" target="_blank">（Bloomberg）報導</a>，南韓電子大廠三星已聘請蘋果Siri開發主管來領導新成立的AI研究中心。</p> <p>彭博引述消息人士報導，三星近日合併多倫多和加州山景市（Mountain View）的團隊，成立北美AI中心，並延聘了蘋果Siri口語與情境AI團隊主管Murat Akbacak擔任新組織的主管。報導指出，三星這次組織重整目的是提升作業效率，也已在內部公布此事。</p> <p><a href="https://www.linkedin.com/in/murat-akbacak-10a9872/details/experience/" target="_blank">Akbacak在LinkedIn資料頁</a>截至本文發布前，仍然顯示人在蘋果任職。根據其職務描述，他的工作是定義和執行Siri策略，專注口語和多模態AI的個人化、情境化及精進。他之前的背景還包括微軟及史丹福大學。</p> <p>彭博報導，三星挖角Akbacak是希望藉此強化其Bixby聊天機器人以及Galaxy AI的開發。三星2017年就推出了Bixby，也試圖將Bixby定位為智慧家庭管理助理，可控制其<a href="https://www.ithome.com.tw/news/120320" target="_blank">智慧冰箱</a>及其他家電。但以功能及知名度而言，Bixby算不上成功。三星也有<a href="https://www.ithome.com.tw/news/159705" target="_blank">Samsung Gauss AI模型</a>，但今年初推出的旗艦手機Galaxy S24還是仰賴Google Gemini Nano AI模型及Gemini助理。</p> <p>另一方面，本周的WWDC上，蘋果宣布了裝置端AI功能Apple Intelligence，並引入OpenAI的ChatGPT與iOS/iPadOS 18和macOS Sequoia的Siri整合，使原本在聊天機器人服務落後的蘋果，一舉趕上Google和微軟。</p> </div></div></div>
2024/6/14 12:34作者林妍溱https://www.ithome.com.tw/news/163457
新創公司公測類似OpenAI Sora的影片AI生成服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年初OpenAI公布的生成式AI影片服務Sora引發市場震撼，本周又有另一家新創公司公布能產生同樣高品質影片的AI服務，名為Dream Machine。</p> <p>這家新創公司是總部位於舊金山的Luma AI，於2021年創立。根據<a href="https://techcrunch.com/2024/01/09/luma-raises-43m-to-build-ai-that-crafts-3d-models/" target="_blank">Techcrunch報導</a>，該公司創辦人之一的Alex Yu是柏克萊大學的AI研究人員，Amit Jain則曾在蘋果擔任Vision Pro多媒體體驗開發。該公司去年11月才募得430萬美元，今年初就在B輪中募到了4,300萬美元。</p> <p>近日Luma AI公布的<a href="https://lumalabs.ai/dream-machine" target="_blank">Dream Machine</a>是類似Open AI的Sora，可讓用戶輸入自然語言生成逼真的影片。Dream Machine號稱2分鐘就能產出每秒120影格的5秒流暢、高畫質的短影片。根據網站描述，它是直接以影片訓練的高擴充性及高效的transformer模型，能產生精準、一致化而精緻的場景。</p> <p>Dream Machine也是該公司打造統合式「想像力引擎」的第一步，昨日Dream Machine開放大眾試用。不過，首日上線後卻因網路塞車引來抱怨。<a href="https://www.techradar.com/computing/artificial-intelligence/a-new-openai-sora-rival-just-landed-for-ai-videos-and-you-can-use-it-right-now-for-free" target="_blank">Techradar</a>花了超過20分鐘才看到影片。<a href="https://venturebeat.com/ai/we-dont-need-sora-anymore-lumas-new-ai-video-generator-dream-machine-slammed-with-traffic-after-debut/" target="_blank">另有報導指出</a>，有不少用戶等了數小時。</p> <p>Luma AI產品與成長部門主管Barkley Dai透過<a href="https://discord.com/channels/991613372439212142/1250229424369176647/1250508123483930776" target="_blank">該公司Discord帳號</a>說明，公司面臨極高運算需求，正在緊急增加頻寬。他稍後補充說，雖經增加頻寬，但仍需數小時來消化已發出的處理呼叫。該公司仍強調正常情況下只要2到3分鐘，就能將文字指令轉化成影片。</p> <p>Dream Machine是Luma AI最新成果。這家新創去年11月<a href="https://www.youtube.com/watch?v=7IEe2Uz7r5M" target="_blank">公布3D模型重建模型Luma</a>，可讓使用者透過拍攝照片來建立3D模型。今年初，該公司又發表Genie，將用戶輸入的文字轉化成3D模型。此外，<a href="https://lumalabs.ai/luma-api" target="_blank">它還提供一項服務</a>，用戶可將錄下的一段影片上傳就能產出影片中的3D場景，可加速遊戲或電影製作。</p> </div></div></div>
2024/6/14 13:01作者林妍溱https://www.ithome.com.tw/news/163459
【iThome 2024資安大調查系列2｜資安信心篇】企業自信心帶動資安轉型意願，識別力信心最低成短板
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/p2zi_an_xin_xin_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安自信心成為資安變革的動力，更多臺灣大型企業，資安自信心比過去更高，也更想要改變資安戰略的做法。</p> <p>疫情後加快了企業IT現代化的腳步，轉型成高度數位化的營運型態，這兩年的生成式AI浪潮，再次帶動了臺灣企業的上雲浪潮。當前，企業面臨的資安態勢，比過去更嚴峻，但是，面對勒索軟體高度產業化、雲端資安威脅更加多樣化、軟體供應鏈更頻繁出現雪崩式漏洞威脅，許多企業不再像過去以被動防護為主，轉而積極採取主動防禦作為，擁抱新世代零信任資安架構，更將資安應對左移，延伸到軟體開發階段，前期業務規畫作業中，從產品、服務、企業應用發展的前期，就開始做好資安。</p> <p>強化資安向來是企業資訊長排名第一的年度目標，但今年以此為目標的CIO，減少了，轉而代之的是，更多企業資訊長、資安長聚焦更根本的資安轉型，不只是做好，而要更積極展開資安變革。今年高達49.8%的企業資安長，將資安轉型定為年度目標，遠高於去年的30.8%比例。</p> <p>在今年iThome資安大調查可以看到，高達46%的企業資訊長、資安長對企業資安能力有信心，這個比例遠高於去年的28.7%。更多企業相信自己，夠有能力來因應層出不窮的資安風險和威脅，也更願意做出改變，來迎戰。</p> <p>不過，仍有4成多企業自安自信心在及格邊緣，只是大致有信心，一成企業只有點信心，2.1%企業甚至對自己的資安能力，完全沒有信心。以整體產業的資安信心水準來看，約達到67.1分左右，比去年的64.2分，今年明顯增加了不少。各產業的資安信心水準也各有高低，金融業（74.8分）和政府學校（72.1分）的評分相對較高，都超過了70分，而醫療業的分數最低，只有61.3分，在60及格線的邊緣。</p> <p>企業整體資安的強度，取決於最弱的一環，為了更進一步反映臺灣企業的資安短處，在今年大調查中，我們以美國NIST CSF 2.0的6大核心構面，從治理、識別、保護、偵測、應變和復原等六項，來了解企業資安信心的分布，讓資安長自評哪一項最強，那一項較弱？</p> <p>從調查中可以看到，六項中，53.4%企業對復原能力有信心，而只有41%的企業對識別能力有信心。換句話說，復原能力是臺灣企業的資安強項，而如何識別、分辨各種潛在的資安風險和威脅，是臺灣企業資安能力相對不足，也是未來需要優先強化的方向。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/P2%E8%B3%87%E5%AE%89%E4%BF%A1%E5%BF%83-600-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/P2%E8%B3%87%E5%AE%89%E4%BF%A1%E5%BF%83-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/P2%E8%B3%87%E5%AE%89%E4%BF%A1%E5%BF%83-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/P2%E8%B3%87%E5%AE%89%E4%BF%A1%E5%BF%83-600-4-PNG.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> </div></div></div>
2024/6/14 10:20作者王宏仁https://www.ithome.com.tw/article/163449
駭客藉由Excel巨集進行多階段惡意軟體攻擊，針對烏克蘭電腦植入Cobalt Strike
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Fortinet針對<a href="https://www.fortinet.com/blog/threat-research/menace-unleashed-excel-file-deploys-cobalt-strike-at-ukraine">鎖定烏克蘭利用Excel巨集散布滲透測試工具Cobalt Strike的攻擊行動</a>提出警告，並指出對方在過程裡採用各種規避手法，來確保有效酬載能夠成功送達。</p> <p>駭客先是傳送內含烏克蘭文字的Excel巨集，一旦使用者依照指示啟用巨集，該檔案就會切換成分配軍事單位預算的工作表，而在此同時，巨集則會藉由公用程式regsvr32，在後臺部署DLL程式庫，以便下載作案工具。</p> <p>這個惡意程式下載工具在啟動的過程當中，會檢查目標電腦是否存在Avast防毒軟體及Process Hacker的處理程序，並確認電腦的地理位置在烏克蘭，然後從遠端伺服器下載另一個經過編碼處理的有效酬載，最終將Cobalt Strike的Beacon注入，並與C2伺服器建立連線。</p> <p><a href="https://s4.itho.me/sites/default/files/images/cobalt-process-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cobalt-process-diagram.png" style="width: 580px;" /></a></p> <p>值得留意的是，這種利用Excel巨集散布Cobalt Strike Beacon的攻擊行動，在烏克蘭已發生多起，例如：2022年有人以烏克蘭軍方為誘餌發動攻擊，2023年，烏克蘭電腦緊急應變團隊（CERT-UA）指出，駭客組織UAC-0057利用含有巨集及誘餌圖檔的XLS檔案，目的是在受害電腦植入PicassoLoader、Cobalt Strike Beacon。而這次的攻擊行動當中，駭客加入了更多的迴避手段，增加能夠成功的機率。</p> </div></div></div>
2024/6/14 10:34作者周峻佑https://www.ithome.com.tw/news/163380
【iThome 2024資安大調查系列2｜資安阻礙篇】資安人手不足成最大痛點，老舊系統淪為技術面資安阻礙
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_gu_shi_-p3zi_an_zu_ai_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業積極投入資安，今年更有半數企業要推動資安轉型，對於資安人才的需求也年年增加，加上金融監督管理委員會、臺灣證券交易所等主管機關，過去幾年要求上市櫃公司，建立專責資安團隊或設立專責資安人員，更成了資安人才的助力，掀起了全臺資安人才的搶奪大戰，讓資安人才成了近幾年IT人力市場的當紅炸子雞。</p> <p>但是，資安人才不足，也成了阻礙企業做好資安的頭號阻礙。根據今年iThome CIO大調查，高達49.1%企業因為資安人才不足而無法做好資安。這個比例甚至高於三大資安阻礙中的其他兩項，員工資安意識不足（46.9%）和資安預算不足（35.1%），過去幾年，員工資安意識不足向來是企業最頭痛的資安痛點，但是，隨著資安人才越來越不足，人才問題成了更大的挑戰。</p> <p>資安人才不足拖累企業資安作為，對哪些產業的影響較大？從調查數據可以看到，醫療業和政府學校都有超過6成企業受到影響，就連資安投資最多的金融業，也有51.9%苦於資安人才不足的問題。不過，一般製造業，看似只有38.7%企業受到影響，其實對一般製造業來說，人才不是最大的阻礙，員工資安意識低落和資安預算不足，才是更大的課題。</p> <p>若將資安阻礙分為兩大類，一類是組織面的阻礙，另一類是流程與技術面的阻礙來看。先來看組織面的排名，資安人手不足是最大的阻礙，其次是員工資安意識的問題，這兩項都有近半數企業列為痛點，有3成企業則苦於缺乏熟練的人員。值得注意的是，高層資安意識不足問題日益嚴重，今年有19.2%企業有這個痛點。尤其有16.4%企業的高層，低估了創新應用帶來的資安風險，例如ChatGPT風險，沒有做好對應的準備就嘗試新科技，也帶來不少資安的隱憂。</p> <p>在流程和技術面的資安阻礙，則以資訊系統老舊的問題最嚴重，多達30.6%的企業有此痛點。尤其高科技製造業和政府學校更各有4成企業視為阻礙，這幾年進入十年HIS系統升級潮的醫療業者，也有3成7因系統老舊而削弱了資安。有2成企業認為新興防護方案不足是一大問題，越來越多新一代的資安防護方案出爐，瞄準不同的資安防禦目標和領域，但是，資安沒有萬靈丹，更沒有萬能的百寶箱，也更考驗企業如何搭配（業者如何組合）不同的工具，來強化企業各面向的資安防禦。</p> <p>有兩大流程與技術面阻礙值得留意，有16.4%企業因為監控能力和可視性差，而來不及早一步發現惡意入侵行為，也有9.7%的企業對本身資安態勢了解不足而遭殃。這兩項都是凸顯了，企業必須積極轉變資安思維，擁抱新一代的資安對策，從過去的被動防禦，轉為主動防禦的做法，強化自己在識別和偵測能力的不足，才能更有效的因應資安威脅。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P3%E8%B3%87%E5%AE%89%E9%98%BB%E7%A4%99-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P3%E8%B3%87%E5%AE%89%E9%98%BB%E7%A4%99-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P3%E8%B3%87%E5%AE%89%E9%98%BB%E7%A4%99-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P3%E8%B3%87%E5%AE%89%E9%98%BB%E7%A4%99-600-4-PNG.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> </div></div></div>
2024/6/14 10:34作者王宏仁https://www.ithome.com.tw/article/163450
網路釣魚工具包V3B鎖定歐洲國家銀行而來，企圖竊取用戶登入資料及OTP
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Resecurity揭露新的駭客組織，對方自今年3月，<a href="https://www.resecurity.com/blog/article/cybercriminals-attack-banking-customers-in-eu-with-v3b-phishing-kit">在加密通訊軟體Telegram頻道與暗網社群裡，推廣名為V3B的網釣工具包</a>，並專注歐洲金融機構客戶從事相關攻擊。目前這些駭客的Telegram頻道至少吸引了1,255名成員，他們專門從事社交工程攻擊、SIM卡挾持（SIM Swapping）、金融卡詐欺等網路犯罪行為，估計已造成數百萬歐元損失。</p> <p>研究人員指出，這款網釣工具包鎖定超過54個歐盟金融機構的用戶而來，標榜提供專屬的本地化範本，能模仿各家網路銀行及電子商務系統的驗證流程，該工具包攻擊的範圍，遍及愛樂蘭、荷蘭、芬蘭、奧地利、德國、法國、比利時、希臘、盧森堡、義大利。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2add212dfa66fc9f99ec2385321cae5e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2add212dfa66fc9f99ec2385321cae5e.png" style="width: 580px;" /></a></p> <p>賣家以每月130至450美元的價格，提供租賃服務。而對於這組工具包的內容，主要涵蓋了兩個主要元件，其中一個是根據情境為基礎的帳密監聽系統V3B，另一個則是偽造的銀行線上驗證網頁。攻擊者可透過管理介面uPanel與受害者互動，從而取得動態密碼（OTP）。</p> <p>究竟這套工具包有什麼樣的特色吸引上千名打手租用？研究人員指出，賣家採用自行開發的內容管理系統（CMS）打造這套工具，並對程式碼採用多種混淆方式處理，從而迴避搜尋引擎偵測、逃過相關資安防護機制的檢測，可運作的週期較長。</p> <p>再者，則是賣家納入多種進階功能，包含了更新的Token、反機器人機制，並支援QR Code與PhotoTAN型式的多因素驗證和動態密碼，此外，該工具包同時提供電腦版及行動裝置的介面，甚至攻擊者能與受害者即時通訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/28bbd09015bdcafb401bd91cef0edf3e.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/28bbd09015bdcafb401bd91cef0edf3e.jpeg" style="width: 580px;" /></a></p> <p>值得一提的是支援PhotoTAN身分驗證的機制，這是行動銀行應用程式新興的驗證方法，在德國與瑞士有許多用戶使用，這種驗證機制牽涉以多臺裝置來達到進階身分驗證的目的。賣家特別支援這類身分驗證機制，代表該網釣工具套件相當新穎。</p> </div></div></div>
2024/6/14 10:37作者周峻佑https://www.ithome.com.tw/news/163378
研究人員針對新興勒索軟體駭客組織RansomHub進行調查，對方利用ZeroLogon入侵受害組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期不斷登上新聞版面的新興勒索軟體駭客組織RansomHub，接連針對美國醫療集團Change Healthcare、<a href="https://www.ithome.com.tw/news/163167">英國精品拍賣業者佳士得（Christie's）</a>、<a href="https://www.ithome.com.tw/news/163347">臺灣電腦製造商藍天（Clevo）</a>出手，這個從今年2月才出現的駭客組織，已竄升至過去幾個月第4大的勒索軟體，其威脅態勢也引起研究人員高度關注。</p> <p>資安業者賽門鐵克針對這個駭客組織著手進行身家調查，<a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/ransomhub-knight-ransomware">他們發現RansomHub的有效酬載與另一款名為Knight的勒索軟體具有高度相似性</a>，這兩款惡意程式都是透過Go語言打造，而且，大部分的版本使用名為Gobfuscate的工具進行混淆處理。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ransomhub-6.png.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ransomhub-6.png.png" style="width: 580px;" /></a></p> <blockquote><p>賽門鐵克指出，勒索軟體RansomHub於今年3月至5月，已成為全球第4大的勒索軟體威脅，僅次於LockBit、Play，以及Qilin。</p> </blockquote> <p>研究人員指出，這些勒索軟體的程式碼內容高度重疊，光是從程式碼的特徵難以區別彼此，在許多情況下，他們只能藉由資料外洩網站的網址來辨別。再者，在兩款勒索軟體命令列的功能說明也幾乎一致，是RansomHub多了休眠（暫停運作）的能力。</p> <p>而從勒索軟體加密檔案完成留下的勒索訊息而言，Knight使用的話語多半逐字出現在RansomHub的勒索訊息裡，這代表開發者延用舊的勒索訊息並調整部分內容。</p> <p>這兩款勒索軟體的運作模式也存在共通點，那就是在開始加密檔案之前，將受害電腦重新開機，以便檔案加密過程較不受到阻礙。根據這項特徵，研究人員推測，Knight和RansomHub很可能源自於2019年出現的Snatch。</p> <p>值得留意的是，雖然Knight和RansomHub存在許多共同點，但RansomHub並非Knight原班人馬東山再起，原因是Knight結束營運後於今年2月出售原始碼，因此研究人員認為，有人買下相關原始碼並組成了RansomHub。</p> <p>而對於RansomHub的攻擊流程，研究人員提及，他們看到這些駭客通常利用ZeroLogon（CVE-2020-1472）取得初始入侵的管道，對方藉此得到網域管理員權限，從而控制整個網域。</p> <p>這些駭客也擅長使用合法應用程式進行寄生攻擊，例如：使用遠端管理工具Atera、Splashtop進行遠端存取，運用NetScan對於受害組織的網路環境進行偵察。此外，他們也會利用iisreset.exe、iisrstas.exe停用IIS服務。</p> </div></div></div>
2024/6/14 10:38作者周峻佑https://www.ithome.com.tw/news/163376
【iThome 2024資安大調查系列2｜資安人才篇】4成企業今年要招募資安好手，資安事件應變人才最搶手
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_gu_shi_-p4zi_an_ren_li_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安人才不足成了各產業共同的資安阻礙，也因此，今年資安開缺的企業比例再創新高，達到41.9%，大概每兩家企業就有一家今年要招募資安人才。</p> <p>這幾年，兩大法遵推力下，包括影響公部門資安人力的政府資安管理法，以及主管機關對上市櫃公司的資安要求，大幅帶動了企業對於資安人力的建置，從今年CIO大調查的統計結果來看，企業平均專責資安人力達到了4.8人，尤以金融業的平均11.6人最多，其次是政府學校（4.4人）、高科技製造業（4.1人），醫療則是資安人力最少的產業，只有2.4人，比一般製造業的平均人數（2.9人）還要低。</p> <p>不過，企業現有資安人力，遠低於資安長心中理想的團隊規模，要足以對抗企業當前資安威脅，資安長期望平均要達到5.9人，換句話說，現有4.8人的規模，還少了近四分之一的人手。各產業都有資安人手達不到資安長期望的情況，又以醫療業和政府學校的落差最大，醫院和政府部門資安主管都希望再多4成資安人力才足夠。</p> <p>今年有4成企業要招募資安職缺，平均招募人數是2.7人，又以政府學校的招募人數需求最多，達到6.1人，主要來自少數一級政府機關、大型國營企業、大型學校為了資安轉型而展開的人力需求擴編，才拉高了整體平均值。其次，金融業平均要招募4.2人，也遠高於其他產業的平均資安人力需求量。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>今年兩千大企業資安人才需求約5,400人</strong></span></span></p> <p>我們每年一度的CIO大調查是鎖定2千大企業營收規模的企業族群，以此目標族群來推估，今年2千大企業的資安人才需求量約5,400人，其中金融業約有1千名資安人才的招募需求。</p> <p>企業不只是需要更多資安人力，還需要擅長不同專門資安能力的人才，來補足自身資安能力的弱點。在今年要招募資安職缺的企業中，以資安事件應變人才、威脅分析或鑑識人才、資安風險分析與評估人才，這三類人才的需求企業最多，超過6成企業想要招募這三類人才。</p> <p>另外，也有半數企業想要強化資訊基礎架構的資安防護能力，今年想要招募系統網路安全建置與架構人才，以及資安系統維運人力。</p> <p>值得注意的是，雲端資安人才也逐漸受到重視，近兩年金融和醫療法遵上雲鬆綁，以及製造業數位轉型的IT現代化浪潮，更多企業積極上雲，也帶動了企業對於雲端安全的重視，今年多達36.7%的企業想要招募熟諳雲端資安的人才。</p> <p>有兩類資安管理人才也逐漸受到矚目，今年有14.7%企業想要招募有能力管理委外資安的人才，以及12.3%企業想要招募擅長管理安全開發的人才。這也反映出，越來越多企業，對外重視委外供應商的資安管理，對內則要強化應用程式開發的安全。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P4%E8%B3%87%E5%AE%89%E4%BA%BA%E5%8A%9B-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P4%E8%B3%87%E5%AE%89%E4%BA%BA%E5%8A%9B-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P4%E8%B3%87%E5%AE%89%E4%BA%BA%E5%8A%9B-600-3-PNG.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> </div></div></div>
2024/6/14 10:49作者王宏仁https://www.ithome.com.tw/article/163451
中國駭客鎖定Fortinet防火牆漏洞從事的網路間諜活動受害規模擴大，全球逾2萬臺防火牆遭到滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年2月，荷蘭國家網路安全中心（NCSC）、軍事情報暨安全局（MIVD）、情報暨安全總局（AIVD）聯手，<a href="https://www.ncsc.nl/documenten/publicaties/2024/februari/6/mivd-aivd-advisory-coathanger-tlp-clear">針對中國資助的駭客從事的網路間諜攻擊行動公布調查結果</a>，這些駭客鎖定FortiGate防火牆、網頁安全閘道FortiProxy的SSL VPN漏洞CVE-2022-42475（CVSS風險評為9.8分），並對防火牆設備植入名為Coathanger的RAT木馬程式，MIVD持續進行調查而於本週正式揭露這起攻擊的受害規模，其實遠遠超出先前的發現。</p> <p>先前這些荷蘭軍情機構指出，根據他們的調查，受害用戶（user）的數量不到50個，其中一個受害組織是荷蘭國防部，所幸因受害網路環境與他們的主要網路環境有所區隔，使得入侵行動的衝擊不致於擴大。當時他們研判，對方的目標是國防部非機密專案的研發部門，以及2個外部的合作研究機構，但<a href="https://www.ncsc.nl/actueel/nieuws/2024/juni/10/aanhoudende-statelijke-cyberspionagecampagne-via-kwetsbare-edge-devices">MIVD進一步追查發現</a>，有數十個西方國家的政府機關、國防工業相關企業，以及國際組織受害。</p> <p>他們指出，駭客在Fortinet發布修補程式前的2個月就開始利用漏洞，有1.4萬臺設備受到感染，從2022年至2023年，對方至少掌握逾2萬臺FortiGate防火牆的存取權限。但實際的受害規模，這些軍情機構認為很有可能還會更大，他們研判駭客會藉此漏洞入侵數百個組織，從而進行竊取資料等攻擊行動。</p> <p>而對於駭客使用的惡意程式Coathanger，MIVD指出，即使他們已經公布相關調查結果，IT人員還是難以識別及清除，因此，對方很可能仍然能夠存取大量的受害系統。</p> <p>值得留意的是，MIVD特別提到，一旦受害設備被植入Coathanger，攻擊者就能永久存取系統，即使IT人員部署了更新程式，對方仍保有相關存取權限。這樣的情況，也導致防守端在因應相關的攻擊時，將面臨更加嚴峻的挑戰。</p> </div></div></div>
2024/6/13 18:23作者周峻佑https://www.ithome.com.tw/news/163443
【資安日報】6月13日，荷蘭針對中國駭客攻擊Fortinet防火牆設備的網路間諜行動進行深度調查，駭客挾持全球逾2萬臺…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>荷蘭今年2月在國防部察覺中國駭客從事的網路間諜攻擊行動，對方利用重大漏洞CVE-2022-42475對FortiGate防火牆下手，並植入木馬程式Coathanger，如今他們公布新的調查結果，指出這是一起大規模的全球攻擊行動，駭客從Fortinet修補漏洞的兩個月前，就進行相關攻擊。</p> <p>值得留意的是，駭客所使用的木馬程式，不僅難以察覺行蹤，更無法透過部署修補程式清除，因此荷蘭軍情機構認為，這起攻擊行動的受害規模，實際上可能還會再擴大。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163443"><strong style="font-size: 22px;">中國駭客鎖定Fortinet防火牆漏洞從事的網路間諜活動受害規模擴大，全球逾2萬臺防火牆遭到滲透</strong></a></p> <p>今年2月，荷蘭國家網路安全中心（NCSC）、軍事情報暨安全局（MIVD）、情報暨安全總局（AIVD）聯手，針對中國資助的駭客從事的網路間諜攻擊行動公布調查結果，這些駭客鎖定FortiGate防火牆、網頁安全閘道FortiProxy的SSL VPN漏洞CVE-2022-42475（CVSS風險評為9.8分），並對防火牆設備植入名為Coathanger的RAT木馬程式，MIVD持續進行調查而於本週正式揭露這起攻擊的受害規模，其實遠遠超出先前的發現。</p> <p>他們指出，駭客在Fortinet發布修補程式前的2個月就開始利用漏洞，有1.4萬臺設備受到感染，從2022年至2023年，對方至少掌握逾2萬臺FortiGate防火牆的存取權限。但實際的受害規模，這些軍情機構認為很有可能還會更大，他們研判駭客會藉此漏洞入侵數百個組織，從而進行竊取資料等攻擊行動。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/black-basta-ransomware-zero-day"><strong style="font-size: 20px;">勒索軟體駭客Black Basta利用Windows零時差漏洞提升權限</strong></a></p> <p></p> <p>◆<a href="https://www.wiz.io/blog/dero-cryptojacking-campaign-adapts-to-evade-detection"><strong style="font-size: 20px;">組態配置不當的Kubernetes叢集遭到鎖定，駭客將其用於挖掘加密貨幣Dero</strong></a></p> <p></p> <p>◆<a href="https://blog.sucuri.net/2024/06/hundreds-sites-targeted-by-fake-chrome-update-pop-ups.html"><strong style="font-size: 20px;">駭客鎖定WordPress網站下手，目的是要脅瀏覽網站的使用者瀏覽器過舊，藉此散布惡意程式</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163436"><strong style="font-size: 22px;">開源機器學習框架PyTorch存在重大漏洞，恐導致敏感的AI資料遭竊</strong></a></p> <p>有研究人員於今年4月，向漏洞懸賞平臺Huntr通報開源機器學習框架PyTorch存在重大層級漏洞CVE-2024-5480，CVSS風險評分達到10分，影響2.2.2版以前的PyTorch。對此，Huntr向通報者提供1,500美元予以獎勵，並於近日公布細節。</p> <p>這項漏洞存在於名為torch.distributed.rpc的框架，一旦開發者利用該框架進行RPC呼叫，過程中該框架並未驗證相關功能是否如開發者預期執行，使得攻擊者藉此漏洞透過網路使用RPC呼叫Python的功能，從而載入Python程式庫並執行任意命令。</p> <p>由於這項框架通常被用於分散式訓練，像是增強式學習、模型並用、參數伺服器訓練框架等應用場景，而有可能導致上述漏洞的影響範圍相當廣泛。</p> <p><a href="https://www.ithome.com.tw/news/163437"><strong style="font-size: 22px;">Google針對旗下Pixel手機發布6月份資安公告，權限提升漏洞已被用於攻擊行動</strong></a></p> <p>本月11日Google針對Pixel手機發布資安公告，修補50個資安漏洞，其中有19個權限提升漏洞、17個資訊洩露漏洞、5個阻斷服務（DoS）漏洞、4個遠端程式碼執行（RCE）漏洞，以及5個高通元件的漏洞。</p> <p>值得留意的是，該公司特別針對存在Pixel韌體的權限提升漏洞CVE-2024-32896提出警告，他們發現可能被利用的跡象，並指出疑似用於有限的、針對性的攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/163440"><strong style="font-size: 22px;">Arm針對顯示晶片Mali GPU核心驅動程式漏洞提出警告，已出現攻擊行動</strong></a></p> <p>上週Arm針對顯示晶片Mali GPU的核心驅動程式漏洞CVE-2024-4610提出警告，並指出這項漏洞影響Bifrost與Valhall兩種GPU的核心驅動程式，從r34p0至r40p0的所有版本都受到影響，他們已在r41p0版修補這項漏洞。</p> <p>值得留意的是，Arm在公告裡提及，他們獲報這項漏洞已被用於實際攻擊行動的情況。6月12日，美國網路安全暨基礎設施安全局（CISA）納入已遭到利用的漏洞目錄（KEV），要求聯邦機構必須於7月3日之前完成修補。</p> <p><a href="https://www.ithome.com.tw/news/163422"><strong style="font-size: 22px;">Adobe修補內容管理平臺Experience Manager、電商網站平臺Magento漏洞</strong></a></p> <p>本週二（6月11日）Adobe針對旗下10款產品發布更新，總共修補166個漏洞，其中，144個與內容管理平臺Experience Manager（AEM）有關，而這次他們對電商網站平臺Adobe Commerce及Magento Open Source發布的資安公告，重大層級漏洞的數量最多，也相當值得留意。</p> <p>除了上述兩種網站系統的漏洞，Adobe也針對旗下的XML文件處理軟體FrameMaker，揭露與修補兩個漏洞，分別是：CVE-2024-30299、CVE-2024-30300，皆屬於伺服器權限提升類型的弱點，這兩個漏洞CVSS風險評為10分、9.8分，是本次最為危險的漏洞。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.securityweek.com/ics-patch-tuesday-advisories-published-by-siemens-schneider-electric-aveva-cisa/"><strong style="font-size: 20px;">西門子、施耐德電機、Aveva針對工控與OT系統漏洞提出警告</strong></a></p> <p></p> <p>◆<a href="https://www.securityweek.com/chrome-126-firefox-127-patch-high-severity-vulnerabilities/"><strong style="font-size: 20px;">Chrome 126、Firefox 127正式推出，修補多項高風險記憶體資安漏洞</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163120"><strong style="font-size: 22px;">以儲存為中心的勒索軟體防護架構開始完整成形</strong></a></p> <p>在已邁入第10年的臺灣資安大會歷史中，儲存與備份、資料保護廠商，參與臺灣資安大會是晚近幾年的事。面對勒索軟體威脅的持續肆虐，儲存設備與備份保護平臺現在也無法置身事外。</p> <p>在這幾年的臺灣資安大會中，我們便見到在儲存設備領域，勒索軟體防護功能的持續擴展。最初的出發點，是導入不可變儲存技術（immutable storage），防止資料複本遭到惡意刪改。下一步是引進主動偵測能力，確保資料乾淨、不受感染。而到了今年的資安大會，我們從多家廠商的演講與展示當中，進一步見到儲存端開始形成一套完整防護架構，涵蓋資料治理、識別、偵測、資料保護、威脅回應與回復等多個面向。</p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163114"><strong style="font-size: 22px;">從重視網路安全到企業安全，為資安創業提供有利條件</strong></a></p> <p>臺灣資安產業在過去十年中，經歷了巨大的變革，從技術和社群層面到政府政策和產業實踐，都帶來了深遠的影響。身為臺灣資安連續創業家、也是奧義智慧創辦人兼執行長邱銘彰表示，十年前，資安技術主要是以賣各種網路和資安設備為主，但隨著技術的發展，以及重視並專研各種資安技術的資安社群興起，起到了推波助瀾的作用，資安產業逐漸從設備銷售轉向了服務導向。</p> <p>許多企業對於資安的重視層面也有變化，近幾年，從以往只關心資訊安全（Information Security）轉變到網路安全（Cyber Security），而且，現在更重視整體的企業安全（Safety）。邱銘彰認為，這些變化來自於多方因素的影響，從技術的發展到政府政策的改變，都對資安產業帶來深遠的影響，也為後來許多資安新創公司的成立和發展，提供了有利條件。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163429"><strong>【6月12日】微軟發布6月份例行更新，總共針對49個漏洞進行公告</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163398"><strong>【6月11日】紐約時報證實內部資料流入地下論壇，程式碼儲存庫帳密資料外流釀禍</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163361"><strong>【6月7日】勒索軟體駭客RansomHub聲稱入侵老牌筆電製造廠藍天電腦，引起國際資安媒體高度關注</strong></a></p> </div></div></div>
2024/6/13 18:44作者周峻佑https://www.ithome.com.tw/news/163444
Google針對旗下Pixel手機發布6月份資安公告，權限提升漏洞已被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月11日Google針對Pixel手機<a href="https://source.android.com/docs/security/bulletin/pixel/2024-06-01">發布資安公告</a>，修補50個資安漏洞，其中有19個權限提升漏洞、17個資訊洩露漏洞、5個阻斷服務（DoS）漏洞、4個遠端程式碼執行（RCE）漏洞，以及5個高通元件的漏洞。</p> <p>從漏洞的危險程度來看，當中7個屬於重大層級、24個高風險層級，其餘為中度風險漏洞。</p> <p>值得留意的是，該公司特別針對存在Pixel韌體的權限提升漏洞CVE-2024-32896提出警告，他們發現可能被利用的跡象，並指出疑似用於有限的、針對性的攻擊行動。</p> <p>在此之前，Google曾公布<a href="https://www.ithome.com.tw/news/162191">遭到鑑識公司利用的Pixel零時差漏洞</a>。今年4月，他們修補資訊洩露漏洞CVE-2024-29745、權限提升漏洞CVE-2024-29748，通報此事的GrapheneOS開發人員透露，鑑識公司積極利用這些漏洞，而能在不知道PIN碼的情況下解鎖手機。</p> </div></div></div>
2024/6/13 12:53作者周峻佑https://www.ithome.com.tw/news/163437
健保署聯手Google要打造糖尿病風險預測AI、加速大家醫計畫發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今日（6/13），健保署署長石崇良宣布與Google聯手，要採用Google Cloud和Google Health的資料工具、AI和算力等資源，再加上國衛院專業知識，來推動健保署健康臺灣計畫，特別是其中的慢性病風險管理AI醫療照護研究計畫。他們第一波要打造糖尿病風險預測模型，作為大家醫計畫中的一套AI風險預測模型，來根據未患病和已患病民眾的健康資訊，提供風險預測值，並以風險高低作為分級醫療參考。石崇良表示，這個做法可提高民眾病識感，也能加強醫院個案管理。他透露，糖尿病風險預測只是起點，接下來還會擴大到三高疾病的風險預測與健康管理，降低整體臺灣疾病負擔。</p> <p><span style="font-size:24px;"><strong>除了癌症，三高併發症也是臺灣疾病負擔大宗</strong></span></p> <p>石崇良指出，國際權威醫學期刊刺胳針刊出一份全球疾病負擔（Global Burden of Disease）圖表，他們收集了1990年至2021年的疾病資料，將造成民眾死亡與失能的疾病，以方塊大小來表示負擔比。其中，負擔大宗來自癌症、慢性疾病與併發症，包含糖尿病、慢性腎臟病、腦中風和缺血性心臟病等區塊，加總起來占了全球疾病負擔的16%左右。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%96%BE%E7%97%85%E8%B2%A0%E8%8D%B7.JPG" /></p> <p>相較起來，臺灣的疾病負擔也與全球趨勢類似。癌症依然是大宗，再來是占比6%左右的糖尿病，以及3%的慢性腎臟病、10%的腦中風與缺血性心臟病。「所以這4塊疾病，就是我們常講的高血糖、高血脂、高血壓等三高造成的，導致近20%的臺灣疾病負荷。」石崇良表示，若要讓臺灣民眾更健康，就得防治癌症和三高。</p> <p>要降低這些疾病負荷，得先找出致病因。根據臺大公共衛生學院流行病學與預防醫學研究所所長林先和等人在2017年發表的研究，石崇良點出，這些因子可分為3組，包括三高、BC肝和生活形態（如菸酒、體重、飲食），防範這些因子才能維持健康、降低死亡。</p> <p><span style="font-size:24px;"><strong>力推大家醫計畫，鎖定糖尿病和三高民眾</strong></span></p> <p>也因此，「我們必須改變過去的照護模式，從以疾病為主的照護，轉為以健康為主的照護。」石崇良表示，這個改變包含3部分，一是將過去的分段式照護，轉為協同照護和最終的整合式照護，再來是醫療給付部分，包括從過去疾病治療的論量計酬，轉為過渡期的疾病管理與論病計酬，再到最終的健康管理和論質計酬。但最重要的是，這些轉變得靠數位工具來支撐，不只有電子病歷，還要有雲端資料、AI數位醫療、IoT與遠距照護等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%85%A7%E8%AD%B7%E6%A8%A1%E5%BC%8F.JPG" /></p> <p>其中一大轉型計畫，就是健保署今年展開的大家醫計畫。這個計畫以原有的家醫計畫為基礎，對象包含代謝症候群防治計畫、慢性病P4P、癌症品質計畫等患者以及三高民眾，要透過全人照護模式，來擴大服務涵蓋率、改變生活形態，進而改善健康狀態。</p> <p>進一步來說，大家醫計畫有個重要工具：家醫大平臺，來整合特定民眾的健保資料、穿戴式裝置生理數據和生活形態資料，如血壓、血脂、血糖、眼底鏡、尿蛋白、疫苗施打、戒菸、BC肝篩檢、癌症篩檢和營養運動睡眠等，一方面透過平臺上的數據分析和風險偵測，來通知醫師和個管師，及早與高風險患者溝通、衛教，另也要提供追蹤和異常管理功能，如疫苗注射、篩檢後異常通知等。最後還要提供數據分析和個案慢性病指標，來協助醫師制定個人化治療方案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%B6%E9%86%AB%E5%A4%A7%E5%B9%B3%E8%87%BA.JPG" /></p> <p><span style="font-size:24px;"><strong>聯手Google、國衛院，打造糖尿病風險預測AI</strong></span></p> <p>石崇良表示，健保署目前正建置家醫大平臺，預計今年底前完工，之後會逐步優化平臺功能。而健保署今日與Google展開為期5年的合作，預計使用Google雲端算力資源、AI工具和資料處理工具等，來與國衛院共同打造專屬臺灣的疾病風險預測模型，第一波瞄準糖尿病風險預測模型。</p> <p>這是因為，在臺灣每10人就有1人罹患糖尿病，且其併發症嚴重，如心血管疾病、腎病、視網膜及神經病變等，需及早介入預防與治療。而且，糖尿病也是臺灣疾病負擔大宗之一。</p> <p>因此，在模型訓練資料部分，健保署會採用去識別化的性別、年齡、家族病史、風險資訊、國際疾病分類代碼ICD-10和檢驗檢查等資料，同時透過國衛院專業知識找出更多參數，來訓練糖尿病風險預測模型。</p> <p>同時，<a href="https://taiwan.googleblog.com/2024/06/cloud-summit-taipei-2024-ai-for-healthy-taiwan.html">Google表示</a>，健保署將採用Google Cloud一系列為醫療照護產業微調的基礎模型MedLM，在Vetex AI平臺上建置、訓練和測試客製化的生成式AI大型語言模型。接著，這些模型可用來預測患者第二型糖尿病患者的併發症風險。</p> <p>就流程來說，模型會透過健保署健保雲執行，醫療院所醫師上傳資料到健保雲，模型運算後會傳送結果給醫師和民眾。這個風險預測分2種，一是針對未患糖尿病的民眾，模型會提供10年內、5年內和1至3年內的罹病風險，另一是患糖尿病民眾，模型會提供數種風險預測，如總住院率、特定原因住院率、死亡率、慢性病罹患率等。</p> <p>而風險高低最後會以燈號表示，作為醫療分級參考，比如綠色為低風險、黃綠色為有風險、黃色是中風險、黃橙色中高風險、紅橙色高風險，紅色則是嚴重風險。其中，風險較低的民眾可建議至衛生所、門診就醫，黃色燈號則可轉介至地區醫院、黃橙色至區域醫院，高風險和嚴重風險則至醫學中心，以此達到分級醫療目標。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1715.JPG" /></p> <p>石崇良表示，所有相關資料只有健保署可存取，也會以最高規格來保護。他點出，未來健保署會透過上述風險分級結果，來擬定不同的給付計畫，制定不同風險個案的管理費。健保署也會視照顧成效，來給予獎勵，落實以質計酬的支付轉型目標。</p> <p>他表示，健保署與Google聯手的糖尿病風險預測AI是第一波應用，藉此拋磚引玉，來推動、擴大到更多慢性病和三高疾病風險管理，提高健康狀態。</p> <p></p> </div></div></div>
2024/6/13 17:38作者王若樸https://www.ithome.com.tw/news/163442
Arm針對顯示晶片Mali GPU核心驅動程式漏洞提出警告，已出現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週Arm針對顯示晶片Mali GPU的核心驅動程式漏洞CVE-2024-4610<a href="https://developer.arm.com/Arm Security Center/Mali GPU Driver Vulnerabilities">提出警告</a>，並指出這項漏洞影響Bifrost與Valhall兩種GPU的核心驅動程式，從r34p0至r40p0的所有版本都受到影響，他們已在r41p0版修補這項漏洞。</p> <p>而對於這項漏洞帶來的影響，該公司指出，攻擊者若是取得本機非特權使用者權限，就有機會產生不當的GPU記憶體操作程序，從而存取已被釋出的記憶體空間，<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-4610">CVSS風險評為5.5分</a>。</p> <p>值得留意的是，Arm在公告裡提及，他們獲報這項漏洞已被用於實際攻擊行動的情況。6月12日，美國網路安全暨基礎設施安全局（CISA）<a href="https://www.cisa.gov/news-events/alerts/2024/06/12/cisa-adds-two-known-exploited-vulnerabilities-catalog">納入已遭到利用的漏洞目錄（KEV）</a>，要求聯邦機構必須於7月3日之前完成修補。</p> </div></div></div>
2024/6/13 16:00作者周峻佑https://www.ithome.com.tw/news/163440
問題頻傳，微軟暫停擴大測試Windows 11 24H2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在6月18日即將開賣Copilot+ PC前夕，微軟本周卻將準備擴大測試的通路中緊急移除Windows 11 24H2。</p> <p>Windows 11 24H2是微軟實作AI PC的作業系統，該公司於5月20日將Windows 11 24H2（Build 26100.712）<a href="https://www.microsoft.com/en-us/windowsinsider/getting-started" target="_blank">透過Release Preview Channel釋出</a>給Insiders方案成員測試。這個版本包含HDR背景支援、Wi-Fi 7支援、省電功能、Sudo for Windows及Rust in Windows Kernel等功能。不過上周<a href="https://blogs.windows.com/windows-insider/2024/05/22/releasing-windows-11-version-24h2-to-the-release-preview-channel/" target="_blank">微軟在官方部落格公告</a>，暫時中止以Release Preview Channel發布24H2版，會在幾周後恢復發布。</p> <p>可能被媒體追問許久，微軟Windows主管<a href="https://x.com/brandonleblanc/status/1799478915582542199" target="_blank">Brandon LeBlanc在推特上說</a>，他沒有什麼部落格以外的訊息可提供的，微軟正努力讓該OS版本儘快發布。</p> <p>網路媒體<a href="https://www.windowslatest.com/2024/06/10/microsoft-pulls-windows-11-24h2-for-release-preview-testers-likely-due-to-issues/" target="_blank">Windows Latest指出</a>，一些用戶上周安裝24H2後即傳問題，例如有用戶從23H2升級後出現RunDLL錯誤訊息。其他用戶則抱怨不穩定、Word、電玩應用程式凍住、卡頓甚至當掉等情形。</p> <p>此外，因應資安專家的批評，<a href="https://www.ithome.com.tw/news/163381" target="_blank">微軟也緊急宣布</a>在6月18日Copilot+ PC上市前，把可自動快照紀錄用戶PC使用行為的Recall改為預設關閉，以平息隱私疑慮。</p> <p>不過用戶如果有備用機或不怕出問題的，現在仍可在Dev Channel下載安裝Windows 11 24H2。</p> </div></div></div>
2024/6/13 16:22作者林妍溱https://www.ithome.com.tw/news/163441
OpenAI採用甲骨文雲端為運行基礎架構，強調和微軟合作不變
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文和OpenAI本周<a href="https://www.oracle.com/news/announcement/openai-selects-oracle-cloud-infrastructure-to-extend-microsoft-azure-ai-platform-2024-06-11/" target="_blank">宣布一項合作</a>，OpenAI將以甲骨文雲端基礎架構（Oracle Cloud Infrastructure，OCI）作為擴展微軟Azure AI的基礎架構，以執行模型推論等任務。</p> <p>這項合作其實涉及OpenAI、微軟Azure及甲骨文三家業者，目的在讓OCI成為類似備援方案，為微軟Azure AI擴展到甲骨文雲端，為OpenAI負載提供更高處理能力。</p> <p>OpenAI的AI服務光是ChatGPT，每月用戶就超過1億，堪稱吃運算資源的怪獸。OpenAI執行長Sam Altman從不諱言其AI運算資源需求，<a href="https://venturebeat.com/ai/sam-altman-wants-up-to-7-trillion-for-ai-chips-the-natural-resources-required-would-be-mind-boggling/" target="_blank">外傳他希望</a>募集7兆美元蓋廠自產晶片以加速訓練AI模型的任務。</p> <p>或許因為OpenAI才宣布和蘋果合作，使ChatGPT整合到蘋果OS中，外界揣測可能影響OpenAI和微軟的合作關係。OpenAI在官方新聞發布後<a href="https://x.com/OpenAI/status/1800778542512550260" target="_blank">隨後澄清</a>，這項合作是讓OpenAI使用「OCI基礎架構上的Azure AI平臺」執行推論和其他作業。OpenAI最尖端的模型仍然執行在使用與微軟合作的超級電腦上。</p> <p>在公有雲市場方面，甲骨文OCI遠遠落後微軟或是今天宣布結盟的Google Cloud。根據市調業者<a href="https://www.fierce-network.com/multi-cloud/public-cloud-growth-back-baby" target="_blank">Synergy的數據</a>，截至今年第一季，公有雲市場仍以市占達31%的AWS居冠，微軟Azure和Google Cloud則分別擁有24%和11%市場。甲骨文則和IBM、騰訊同為2%。</p> <p>但甲骨文仍有相當知名的客戶，包括Nvidia DGX Cloud、馬斯克的xAI，以及Adept、Modal、MosaicML、Together AI、Twelve Labs等AI業者。在訓練大型語言模型時，OCI的Supercluster可擴展到64k NVIDIA Blackwell GPU或GB200 Grace Blackwell Superchips，透過超低延遲RDMA叢集網路連線。OCI Compute虛擬機器和OCI裸機Nvidia GPU執行個體並可支援生成式AI、電腦視覺、自然語言處理、推薦系統等應用程式。</p> </div></div></div>
2024/6/13 15:21作者林妍溱https://www.ithome.com.tw/news/163439
甲骨文和Google Cloud合作多雲環境、推Oracle Database@Google Cloud
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.oracle.com/news/announcement/oracle-and-google-cloud-announce-groundbreaking-multicloud-partnership-2024-06-11/" target="_blank">甲骨文昨（12）日宣布</a>將以合作取代競爭，和Google Cloud締結多雲合作，並將推出Google Cloud版的Oracle資料庫。</p> <p>甲骨文與Google Cloud的合作有二階段。其一，甲骨文雲端基礎架構（Oracle Cloud Infrastructure，OCI）和Google Cloud將透過Google Cloud的跨雲互連（Cross-Cloud Interconnect）整合。OCI是甲骨文提供的基礎架構硬體。</p> <p>跨雲互連是Google Cloud的直接連線服務，一開始將提供全球11個區域剛加入的客戶，以利將舊雲端平臺的一般性任務移轉到Google Cloud上，而無需搬移費用。在和甲骨文的合作中，<a href="https://cloud.google.com/network-connectivity/docs/interconnect/how-to/cci/oci/connectivity-overview" target="_blank">跨雲端互連</a>可在Google Cloud、OCI網路之間建立專有實體連線，這可使得部署在二個雲環境的資料交換更快速，也能實現更多元服務模式，雙方客戶可獲得Google Cloud及甲骨文共同支援服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0613-OCI-Google%20Cross-Cloud-Interconnect.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／甲骨文</span></span></p> <p>今年下半雙方將推出Oracle <a href="mailto:Database@Google">Database@Google</a> Cloud，強調這雲端資料庫具備甲骨文最高的資料庫和網路效能，功能和價格也和OCI平臺上的版本一樣。二家軟體巨人也會合作共同行銷，將Oracle <a href="mailto:Database@Google">Database@Google</a> Cloud推向多種產業，包括金融、醫療、零售、製造等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0613-Oracle%20Database%40Google%20Cloud-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google Cloud</span></span></p> <p>雙方合作將可提供甲骨文資料庫客戶Google Cloud雲端的好處。首先，他們可以在Google Cloud上部署甲骨文資料庫，以及相關服務如Oracle Exadata資料庫服務、Oracle Autonomous資料庫服務、MySQL Heatwave、複寫服務Oracle GoldenGate、或自動化回復與安全管理服務等。其次，甲骨文客戶可以更方便使用Google Cloud AI服務，如Vertex AI和Gemini基礎模型，以便執行AI推論或預測分析、或是開發AI應用。Oracle <a href="mailto:Database@Google">Database@Google</a> Cloud讓客戶得以直接存取部署於Google Cloud資料中心的OCI硬體上的甲骨文資料庫服務。</p> <p>最後，客戶可利用Oracle Zero-Downtime Migration等工具，把Oracle資料庫搬上Google Cloud。這項合作提供簡化的採購方式，客戶可以從Google Cloud Marketplace上購買Oracle <a href="mailto:Database@Google">Database@Google</a> Cloud，原有甲骨文客戶並可以享用自帶授權（Bring Your Own License，BYOL）及折扣方案如Oracle Support Rewards的好處。</p> <p>在Google Cloud資料中心直接管理Oracle Database服務的合作，今年下半將從美國和英國、德國展開，再陸續推向其他國家。先上線的服務包括Oracle Exadata Database Service、Oracle Autonomous Database Service和Oracle Real Application Clusters（RAC）。</p> <p>而OCI和Google跨雲互連服務今天已可提供給11個跨雲互連區域，包括澳洲、巴西、日本、新加坡、印度、美國等。</p> <p>甲骨文並非現在才和競爭者合作。去年9月，甲骨文也和微軟<a href="https://www.ithome.com.tw/news/158781" target="_blank">宣布了類似的合作</a>，推出了Oracle <a href="mailto:Database@Azure">Database@Azure</a>的服務，客戶得以直接存取部署於Microsoft Azure資料中心的OCI上的甲骨文資料庫服務。</p> </div></div></div>
2024/6/13 15:00作者林妍溱https://www.ithome.com.tw/news/163438