iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 02:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google資安證書課程大公開，在臺合作計畫鎖定跨域轉職與大學生
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於臺灣資安人力需求持續擴大，繼去年底Google捐助資安院100萬美元，協助推出針對中小企業NICS臺灣資安計畫後，最近再有資安人培方面的新合作計畫宣布。</p> <p>在6月17日，Google宣布，將他們推動的入門級資安專業證書：「Google Cybersecurity Certificate（GCC）」課程，推廣至臺灣，並由Google台灣、數位發展部、資訊工業策進會（資策會）、臺北科技大學（北科大）共同合作，啟動這項臺灣資安人才培育計畫。</p> <p>關於上述GCC資安專業證書課程，其實在1年前Google已經推出，這是設置於Coursera教育訓練平臺的付費課程，由Google資安專家設計與授課。</p> <p>而在這次的合作計畫之下，Google將原本要付費的課程，釋出1,000個免費課程帳號，提供給我國數位發展部產業署，並且由資策會與北科大負責招募並審核報名申請。這項計畫的目標是，要在短時間之內，為國內培育2千名資安即戰力，包括2024年底鎖定500名跨域轉職在職人士，以及2025年底鎖定1,500名在學人士。</p> <p>值得我們關注的是，這是以資安入門為主，已在全球多國推廣的線上證書課程。2023年推出GCC認證課程之後，對於想投入資安領域的人來說，有具體幫助嗎？Google台灣政府事務及公共政策資深協理陳幼臻舉例說明，她表示，美國有一位無資安經驗的貨車駕駛，透過Google資安專業證書轉職，結果錄取全美前五大銀行Wells Fargo的資安專員職位。</p> <p>而且，去年Google就已經將此課程推展到亞太多國，包括日本、印度、新加坡，後續還有印尼、巴基斯坦等，也都是與當地政府或非營利組織來合作推動。</p> <p>換言之，這套資安證書課程在國際間已獲得實際應用，而且，如今這樣的合作計畫也引進至臺灣。</p> <h2><strong>課程畫分8大主題，涵蓋實務操作是一大特色</strong></h2> <p>相較於坊間林立的各種類型資安訓練資源，這套Google Cybersecurity Certificate證書課程有何不同？陳幼臻表示，這套課程以全英文授課，共有8大主題，從「網路安全基礎」課程開始，以深入淺出的方式帶大家了解「資安風險管理」，進而學習如何保護「網路跟網路安全」、懂得「資產、威脅與弱點」，以及了解「偵測與回應」。</p> <p>同時，這裡也有實務操作的部分，包括資安分析所需要的「Linux與SQL工具」，並會教導「Python自動化任務」，還有重要的「職涯準備」課程，會針對職涯準備、職場溝通進行指導，並且包括如何通報事件，以及如何說服管理者投入資安支援等。</p> <p>整體而言，這裡提供180小時的課程內容，不僅包含314部影片、252篇文章，也有157次小考，最特別的是，還有125個實務演練活動。</p> <p>陳幼臻表示，以在職學員而言，只用工作之外的時間來學習，約4到6個月內完成培訓。目前，國外有相當多人完成這套課程，美國有超過15萬人取得GCC證書，逾150家企業有意願聘用GCC證書的求職者；在亞太區，則有超過12萬5千人取得證書，並有8成認為對職涯有所幫助，像是得到新工作、升遷與加薪。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Google%E8%B3%87%E5%AE%89%E5%B0%88%E6%A5%AD%E8%AD%89%E6%9B%B8X_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <h2><strong>今年下半鎖定跨域轉職者500人，並有更多名額提供大專院校</strong></h2> <p>在Google這次提供1,000個免費課程帳號之餘，資策會與北科大也計畫有效運用這些資源於國內人才培訓，若要報名，需具備哪些資格？</p> <p>資安科技研究所策略總監蕭榮興表示，以數位部數產署過去的資安人培目標而言，主要針對資安在職人員，以及資通訊兼任資安工作者，提升其資安能力，但這樣的作法不足以滿足市場的需求。</p> <p>因此，在數位發展部部長黃彥男上任後，數產署討論要進一步擴大人培的來源，也就是讓非資通訊產業工作者跨入資安領域，而這次與Google合作下也發現這方面的契機，可促進資安人培新動能的建立。</p> <p>因此，在2024年下半，資策會所負責的500個報名申請資格，將以跨域人才轉職為優先錄取，並且只要學員14天都沒有上課，他們就會釋出名額給新的學員，最終目標希望，這500位完成課程的資安新血，能滿足百100家企業的資安能量強化。</p> <p>台北科技大學資工系助理教授張世豪也表示，他們的推廣對象是以全國大專院校為主，預計在接下來一年半，他們將利用這500個免費帳號，培育出1,500名資安人才。</p> <p>他表示，不論是否有電腦資訊背景都可參加，希望藉由提供學生資安知識跟技能，體驗在實際工作中的場景，以促進更多學生投入資安領域。但也因為這是全英文授課，因此，他們希望學員的多益分數要在550分以上，對於Python、SQL有興趣也會加分。</p> <h2><strong>國際間同樣積極發展資安人培，3年前Google即承諾在美推廣</strong></h2> <p>關於Google Cybersecurity Certificate證書課程的發展，最早可追溯到2021年8月。最讓我們印象深刻的是，這一年美國白宮舉行資安高峰會，我們注意到多家科技大廠均公開響應此舉，紛紛表示將大幅改善與協助推動資安，他們不只承諾要強化資安與投入資安研發，也包括幫助資安人才的培育。</p> <p>當時，包括微軟、IBM、Google等公司，都承諾要協助美國的資安人才培育。例如：微軟將擴大與大專院校合作培育資安人才；Code.org承諾3年內教導300萬名學生網路安全概念；IBM計畫3年內培養15萬名資安人才；Google也宣布將協助10萬美國人取得「Google的職涯證書（Google Career Certificates）」，並在IT支援、資料分析領域，學習資料隱私與資安方面技能等。</p> <p>2023年5月，Google基於Google Career Certificates，除了既有的IT支援、雲端工程、數位行銷、資料分析、AI應用及開發的課程之餘，新開發出第6款課程，也就是這次的GCC資安專業證書（Google Cybersecurity Certificate）。</p> <p>最特別的是，Google不僅在美國推動，也將這項GCC資安專業證書課程推廣至全球，並有不同的在地推動策略。</p> <p>例如，去年10月，他們與印度的CERT-IN、新加坡的網路安全局合作，提供當地12.5萬個獎學金；對於日本，他們則提供日文版的認證課程，並透過日本技能再培訓聯盟（日本リスキリングコンソーシアム）提供2萬個獎學金。</p> <p>基本上，這個線上課程原本就是全球用戶都可申請註冊，如果個人不打算透過上述合作計畫參加，還是可自行付費線上學習，一開始註冊可獲得7天免費試用，試用結束後，需每月49美元訂閱才能繼續學習。。</p> <p>當然，對於臺灣整體環境而言，主要期盼藉助這樣的合作計畫，開拓更多資安培訓資源與管道，重點不僅是在持續擴大國內的資安培訓能量，還希望促進更多人投入資安領域。</p> <h2><strong>擴大資安人培來源成國內關注重點，並讓培訓資源更有可見性</strong></h2> <p>總體而言，越來越多資安人培計畫的進行，目的都是幫助臺灣當前市場填補資安人力，以這次Google資安專業證書而言，雖然這只是項證書（Certificate），並非證照（Certification），但現在重點放在可促進更多人進入資安領域，以及協助企業招募時，使他們知道至少這些取得證書的人已有資安基礎，甚至接觸過實作。</p> <p>至於企業如何看待這項計畫的效益？對於資安人才招募是否有幫助，是否買單願意採用該證照的求職者，以及是否影響國內其他培訓計畫，將是我們將會持續關注的焦點。</p> <p>回顧國內，持續進行的資安培訓計畫不少。例如，在教育部先進資通安全實務人才培育計畫下，每年都有「AIS3新型態資安暑期課程」，以及「台灣好厲駭」的計畫；近年還有一些大學與研究所，陸續開設資安相關課程與系所；國內資安社群HITCON也時常舉辦Training課程。</p> <p>在政府方面，也持續藉由與多個專業訓練機構合作，開設培訓課測，甚至提供培訓與考照補助，讓公職人員提升資安技能，近年經濟部也有初期／中級資訊安全工程師能力鑑定，也是希望擴大人才招募。</p> <p>特別的是，還有資安院提出12+7人才類型，將陸續制定不同的專屬培育課程。再者，包括恆逸等專業訓練機構，以及思科、ISC2在臺持續推動資安證照與培訓課程，安碁學苑亦在今年開展資安職能與證照人才培訓業務。</p> <p>資安業者對人才培育更加重視，例如，國內資安業者如趨勢科技、奧義智慧、戴夫寇爾，時常啟動年度資安人才培育計畫，以及實習生、資安獎學金等計畫，有利於自家公司徵才：還有一些國際資安業者，如Palo Alto Networks、Check Point、Fortinet等，與學校合作，提供資安設備或協助推出一系列資安課程。</p> <p>而在企業方面，近年來，我們也看到台灣資安主管聯盟發起資安專責人員培訓。</p> <p>面對國內如此多的資安培訓計畫，或許接下來，大家該思考的是，能否讓求職者快速找到資安方面的所有培訓資源，又或是能否建立針對在職人士的學習與能力認證平臺，幫助他們規畫適合自己的學習與成長路徑，更有效率地培養與提升資安專業能力。</p> </div></div></div>
2024/6/20 18:46作者羅正漢https://www.ithome.com.tw/news/163559
駭客鎖定WordPress網站下手，目的是要脅瀏覽網站的使用者瀏覽器過舊，藉此散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>假冒瀏覽器更新散布惡意程式的情況，近期不斷有相關事故傳出，如今有一起資安事故，是專門針對特定網站下手，引誘使用者上當。</p> <p>資安業者Sucuri揭露最近一波從今年4月下旬出現的攻擊行動，過程中<a href="https://blog.sucuri.net/2024/06/hundreds-sites-targeted-by-fake-chrome-update-pop-ups.html">攻擊者濫用名為Hustle的WordPress外掛程式</a>，該外掛主要用途是電子郵件市場行銷，或是產生彈出式廣告視窗，從而經營客戶。</p> <p>然而，對方利用這款外掛程式對WordPress網站下手，將惡意程式碼注入，使用者只要瀏覽網站，就會看到彈出式視窗，「警告」已偵測到有漏洞的Chrome，要求更新瀏覽器。一旦使用者按下彈出式視窗上的按鈕，就會被重新導向惡意網址，下載惡意軟體（大部分被命名為GoogleChrome-x86.msix）。但值得留意的是，使用者就算是使用Firefox、Opera、Edge瀏覽網站，同樣會看到上述的彈式視窗。</p> <p>根據駭客使用的網域，這起攻擊行動最早可能在今年3月中旬出現。研究人員也透過原始碼搜尋引擎PublicWWW尋找攻擊者入侵的網站，結果有341個受害。</p> <p>研究人員強調，攻擊者並非針對Hustle的漏洞下手，而是在已經取得WordPress管理介面的存取權限而能得逞。對方利用合法外掛程式的目的，就是迴避靜態掃描工具的偵測，呼籲網站管理員提高警覺。</p> </div></div></div>
2024/6/20 21:12作者周峻佑https://www.ithome.com.tw/news/163473
巴基斯坦駭客組織Cosmic Leopard鎖定Windows、macOS、安卓裝置散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科旗下威脅情報團隊Talos揭露攻擊行動Operation Celestial Force，從2018年起，巴基斯坦駭客組織Cosmic Leopard鎖定印度政府機關、國防單位，以及相關技術領域的組織。值得留意的是，時至今日這項攻擊行動仍在持維進行，並未出現緩和的跡象。</p> <p>針對這波為期長達6年的攻擊行動，研究人員指出，對方起初使用RAT木馬程式GravityRAT鎖定Windows用戶，接著，為了擴大攻擊規模，他們也開發安卓版本，並在2019年針對行動裝置而來。再來，為了散布上述木馬程式，對方開發了名為HeavyLift的惡意程式載入工具，並將其用於攻擊行動，過程中運用名為GravityAdmin的管理介面來控制受害裝置。</p> <p>究竟駭客如何接觸攻擊目標？研究人員指出主要透過兩種媒介，分別是魚叉式網路釣魚和社交工程攻擊。值得留意的是，對方運用社交工程手法的情況越來越頻繁，多年發展下來，社交工程已是他們的主要滲透管道。</p> <p>駭客先是利用社群網站與目標人士進行聯繫，建立信任關係，最終向受害者散布GravityRAT或是HeavyLift。</p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-ee13eb90-a7a2-44b1-a495-91ddbe033d05.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-ee13eb90-a7a2-44b1-a495-91ddbe033d05.jpeg" style="width: 580px;" /></a></p> <p>研究人員指出，根據他們對駭客的整個生態系統進行調查，很有可能在2016年就開始將GravityRAT用於攻擊行動，但有些惡意網站的網域在今年1月初註冊，偽製成合法安卓應用程式的下載網站，誘騙使用者上當。</p> <p>一旦該木馬程式植入受害電腦，會向C2發送設備的系統資訊，例如：IMEI碼、電話號碼、網路服務供應商、SIM卡序號、電信業者，以及設備型號、廠牌、作業系統版本，甚至是地理位置。此外，對方還會收集簡訊的內容、特定格式檔案、通話記錄，並隱匿與惡意軟體有關的聯絡人及通話記錄。</p> <p>至於另外一款名為HeavyLift的惡意軟體載入器，研究人員指出是以應用程式開發框架Electron為基礎打造而成，對方將其偽裝成合法應用程式的安裝檔案散布，並從C2取得其他的惡意程式。</p> <p>值得留意的是，這個惡意軟體不光能在Windows上執行，若是偵測到在macOS作業系統環境，並未取得root權限，他們就會下達特定命令取得管理權限，然後下載ZIP壓縮檔並植入有效酬載。</p> </div></div></div>
2024/6/20 21:01作者周峻佑https://www.ithome.com.tw/news/163474
資安院首度發表AI打詐技術，詐騙廣告偵測率超過九成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>打詐是臺灣政府新內閣首要任務，也是民眾生活最大痛點之一。為了解決這個問題，數發部數位產業署委託資通安全研究院研發，他們期盼透過運用AI技術，從源頭做到「識詐」、「防詐」以遏止詐騙橫行。資安院副院長林盈達表示，從今年1月開始執行的廣告自動化巡檢技術，每個月可以檢測超過50萬筆廣告，一旦偵測到詐騙廣告，會進行後續通報。他表示，今年五月詐騙廣告數量超過20萬筆創下新高，資安院採用AI偵測詐騙廣告的準確度達93％，而在這個巡檢的過程中，他們也發現97％詐騙廣告刊登不到兩天，顯示相關的阻擋機制必須跟時間賽跑，因為處理時機稍縱即逝。<br /> 數位部政務次長林宜敬則表示，數位部目前也積極規畫「打詐通報查詢網」，預計三個月內正式上線，該網站之所以設立，是為了便利民眾通報並查詢各種可疑廣告資訊，當中也會顯示被檢舉詐騙廣告的處理進度，讓一般民眾參考。<br /> 面對現在最常見的假冒名人投資的詐騙廣告，林宜敬指出，數位部將規畫出最妥善的SOP，在與名人求證與下架冒名詐騙廣告的效率中，取得平衡點。<br /> 資安院前瞻研究籌獲中心代理經理江禹賢表示，根據廣告自動化巡檢的資料，遭到詐騙集團冒用數量最高的名人是486先生（陳延昶），詐騙集團也會因應熱門時事，冒用不同名人、投放名人投資詐騙廣告，先前輝達公司執行長黃仁勳訪臺時，偽冒黃仁勳的名人詐騙投資廣告數量便暴增，而在資安院的偵測並進行通報的處理之下，各個平臺的詐騙廣告下架率高達九成。<br /> <strong>97％的詐騙廣告刊登天數不到兩天，詐騙是關鍵字第一名</strong><br /> 江禹賢表示，從今年1月開始，資安院開始利用廣告自動化巡檢技術，偵測網路廣告是否為詐騙廣告，迄今發現，詐騙廣告數量每個月增加超過6萬筆，截至5月為止，更有超過二十萬筆詐騙廣告，創下新高。<br /> 細究這類網路詐騙廣告的特色，江禹賢指出，97％的詐騙廣告只會刊登不到兩天，只刊登1天的詐騙廣告更是主流，而目前偵測到刊登最多天數的詐騙廣告，長達33天。<br /> 他也解釋，目前只要偵測到詐騙廣告，就會跟各個平臺業者進行通報、下架，所以廣告刊登的天數，並不等於實際曝光的天數。若進一步分析詐騙廣告的內容，以五月（1日至24日）的統計發現，將近3成是高風險廣告，所謂的高風險廣告，是指假投資群組、偽冒名人，以及加入Line群組連結的廣告。<br /> 他進一步解釋，從今年1至4月間，詐騙廣告關鍵字排行榜第一名的就是「詐騙」，詐騙在假投資廣告存在的次數高達8萬多次，而且這些詐騙廣告都會強調「不是詐騙」或「追回詐騙」來吸引民眾相信；至於關鍵字第二至五名則是股票池、反彈暴漲、當沖技巧，以及龍頭股。<br /> 林盈達表示，目前資安院使用的廣告自動化巡檢技術，就是透過AI技術偵測，檢查關鍵字、貼文型態、出處、以及Line連結是否被動過手腳，目前準確度高達93％，每天可以偵測5千至1萬則詐騙廣告匯入資料庫，相關的清單也會提供給各個平臺業者。<br /> 林盈達補充說明，現在偵測詐騙廣告已經不是問題，但平臺要下架詐騙廣告，往往需要經歷一定的內部程序，而只存在一天、甚至兩天的詐騙廣告，這些內容可能在平臺下架之前，就已經自動消失了。<br /> 因此，林盈達認為，未來最關鍵的任務就是，如何讓平臺下架詐騙廣告也可以做到自動化，才是關鍵。換言之，目前詐騙廣告因為平臺下架流程，從偵測、通報到下架，如果能夠存活8小時，「未來可以透過自動化下架詐騙廣告的方式，讓詐騙廣告存活的時間越來越短，使得一偵測到詐騙廣告並通報後，可以做到即時下架。」他說。<br /> 林宜敬則指出，數發部目前積極規畫的打詐通報查詢網，就是希望鼓勵民眾協助通報詐騙廣告外，也可以透過程式自動化加上部分人工的輔助方式，偵測是否有偽冒名人身分的貼文，並且透過向名人求證的方式，減少誤判的情況。他表示，這個打詐通報查詢網預計3個月內正式上線，對於通報的詐騙廣告也會顯示處理進度，保護民眾不會受騙上當。<br /> 目前跨國社群平臺或是通訊平臺雖然也會下架詐騙廣告，但林宜敬對於處理速度並不滿意，關鍵在於，平臺雖然可以收到資安院提供的、每天5千至1萬筆的詐騙廣告清單，但因為下架作業仍未做到自動化，所以，平臺每日可以下架廣告的數量或許只有十分之一，顯然下架效率仍有提升的空間。<br /> 再者，林宜敬認為，並不是每筆詐騙廣告都一樣重要，熱門的、大家關注的詐騙廣告，要有比較高的優先順序和權重，平臺也應該優先下架這類型的詐騙廣告、降低對民眾的危害。最後，他也說，目前政府也積極透過和立法院協商，提供相關平臺有更多法源依據，使他們可以下架詐騙廣告。<br /> <strong>針對詐騙廣告人名偵測精準率達93％</strong><br /> 江禹賢表示，目前資安院利用機器學習、自然語言處理（NLP）並結合大數據分析等技術，研發出更高效率的識詐工具，可以從源頭遏止詐騙蔓延，目前針對人名是別的準確度達93.3％，而Line帳戶識別準確度也達94.2％。他說，藉由這樣的識詐工具，可提取詐騙廣告最常偽冒的人名，作為加強重點人物回報機制。<br /> 資安院在數位產業署的指導下，逐步打造跨領域打詐協作及訊息交換平臺，目前投入9個人力、整個專案投入約2千萬元，目前研發的重點在於：深化資料探勘技術，除了目前使用的廣告自動化巡檢技術，還有AI詐騙關鍵字提取、身分資訊識別技術，透過每個月超過50萬筆的廣告巡檢數量，做到有效偵測詐騙廣告並進行通報。<br /> 另外，他說，持續精進情報收整應用也是目前資安院的研發重點，不僅會分析詐騙廣告特徵，包括名人偽冒、用語和行為等，也會針對文本內容做風險評估。<br /> 資安院也綜整近二十年來臺灣詐騙事件的類型，並且彙整美國FBI、澳洲國家反詐騙中心NASC、英國內政部 Fraud Strategy 等單位的研究，歸納出9大詐騙樣態，包括：愛情交友（Romance）、金融投資（Investment）、產品服務（Product and Service）、意外之財（Unexpected Money）、威脅勒索（Threat and Extortion）、身分冒充（Impersonation）、工作求職（Jobs and Employment）、錢騾車手（Money Mules）及慈善捐款（Charity），而臺灣目前最盛行的詐騙態樣，主要是金融投資、身分冒充、愛情交友的混合式詐騙。<br /> 江禹賢表示，資安院分析、歸納這九大詐騙樣態指南之後，希望可以提高針對詐騙手法的識別能力，透過強化打詐策略與資源分配，促進識詐、防詐的教育宣導工作外，也希望透過研發「詐騙事件描述框架」（TTPs），藉由描述詐騙集團的戰術（Tactics）、技術（Techniques）以及程序（Procedures），做到強化詐騙事件溯源能力和情報共享能力，並提升自動化處理效率，進一步做到主動監測和事前預警。<br /> 未來，江禹賢認為，若要精進數位詐騙反制技術研發，就必須做到詐騙防治生態系的規畫，強化跨單位聯防能力，並規畫情資交換格式，建立詐騙事件快速應變流程，也要規畫事件目擊通報平臺。<br /> <strong>關注臺灣近期常見的四種新興詐騙手法</strong><br /> 資安院也從目前詐騙廣告的多樣性，發現幾種臺灣目前較為常見的新興詐騙手法。江禹賢指出，偽冒政府單位是最常見的詐騙形式，像是假冒交通部公路局發送假催收簡訊、假政策宣導、假監理服務網站；或是偽冒法務部假冒地檢署、假冒檢察官或是假冒律師事務所等，都試過網常見的詐騙廣告型態。<br /> 而另外一種常見的愛情交友詐騙，主要分布在社群通訊平臺、交友約會平臺，以及廣告，會因為受眾不同而有差異。像是社群平臺的愛情交友詐騙，是以虛假身分、長期情感培養操弄（精聊盤）、跨國操作（美國盤、臺灣盤）和詐騙App等方式；若是廣告平臺的愛情交友詐騙，則是感情投資詐騙、戀愛指導諮詢、違禁藥品交易和詐騙App等手法。<br /> 不過，江禹賢表示，資安院也分析4種現在臺灣常見的新興詐騙手法，因為，只有先識詐才能夠防詐！<br /> 第1種新興詐騙手法就是，詐騙集團透過釣魚貼文，並利用社群平臺的跳轉機制，使連結看起來像是來自官方的來源，事實上，該連結卻會導向一個不安全的釣魚網站，會竊取用戶的個人資訊。<br /> 第2種則是利用虛假課程來騙取個人資料，這些假課程的報名廣告，強調課程精美、限時免費，吸引用戶報名，但真正目的則是要騙取個人資料。第3種和第4種類似，則是出現各種假活動報名廣告，目的也是在騙取民眾個資，破解方式就是看到相關訊息時，都必須先向官方管道求證。<br /> 最後一種常見的新興詐騙手法，就是假冒慈善捐款機構詐騙，根據刑事局統計，光是今年三月，就有45家基金會遭到詐騙集團冒名進行詐騙，累計案件超過135案。這類詐騙主要發生在社群通訊平臺及廣告平臺，「免費占卜抽獎」是常見關鍵字，除了假冒社福團體騙取個資外，也會藉由免費占卜抽獎接觸民眾，更會根據新聞時事更換題材，像是4月2日的花蓮大地震過後，就會立刻出現相關的慈善詐騙廣告。<br /> <strong>從事前、事中、事後來因應詐騙</strong><br /> 伴隨著數位科技發展，也同時面臨一些風險與挑戰，江禹賢表示，首先，現階段可以看到的就是AI生成內容的濫用，像是深偽技術（Deep Fake）用於詐欺與不實訊息，或者是大規模生成爭議內容、虛假評論，都會干擾輿論生態。<br /> 其次，也會面臨去中心化平臺監管困難，像是去中心化的訊息傳播管道，缺乏有效內容審核機制，加上全程加密的通訊管道，也使得執法部門難以監測和取證。第三，如何在隱私保護和打擊危害取得平衡，像是法律保護隱私，但也為違法犯罪提供隱蔽空間。<br /> 第四，公眾意識與數位素養教育的養成，因為很多資訊缺乏事實查核意識，反而會助長詐騙訊息快速傳播。最後則是法規與執法工具的滯後性，法規制定跟不上科技發展，對於隱含的風險也面臨無法可管的情況。<br /> 因此，江禹賢表示，資安院對於詐騙應變流程提出四大策略，包括：事前的識別預警，事中的查核驗證和清掃阻斷，以及事後的採證調查。<br /> 在識別預警上，江禹賢表示，要先做到時序趨勢，把危害活動的時間序列分析，並研究相關趨勢變化與互動歸因；再者進行行為分析，透過社群分析、自然語言處理來了解行為的影響因素。最後則是異常預警，隨著分析技術發展，就可以研發異常資訊檢測與事件預警技術。<br /> 在查核驗證上，先做到跨平臺溯源，建立跨平臺訊息溯源機制，做到快速查證訊息源頭和傳播路徑；再者透過通報查核平臺，提供使用者訊息真偽驗證功能，並強化公民參與管道。最後則是要做到多語系資訊處理，在多語言環境下運作的關鍵字識別系統，降低語言差異對於詐騙內容識別的影響。<br /> 針對清掃阻斷，則需要先做到公私聯防，建立跨平臺訊息下架機制，整合平臺業者和NGO（非政府組織）資源；再者，透過自動化工具，大量清楚惡意散布的不實和詐騙訊息；最後則要強化關鍵基礎設施，強化電信網路黑名單更新機制，並縮短釣魚網站存活時間。<br /> 而在最後的採證調查上，我們要先做到威脅情資整合，透過跨單位情資分享，建立整合資料庫並加強犯罪偵查；其次，做到隱私強化技術，確保情資分享過程中的個資保護；最後則是開發鑑識工具，運用資安鑑識工具，保全惡意程式或仿冒網頁等數位證據。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A9%90%E9%A8%99%E9%98%B2%E6%B2%BB%E7%94%9F%E6%85%8B%E7%B3%BB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%9A%E8%B3%87%E5%AE%89%E9%99%A2.jpg" style="width: 831px; height: 457px;" /></p> <blockquote><p>資安院前瞻研究籌獲中心代理經理江禹賢表示，防制詐騙這個議題不會是一個單位可以解決，我們借鏡傳統資安的CERT、SOC、iSAC概念，認為詐騙防治也應該要有健全的分工運作機制。</p> <p>而資安院的角色是發揮研究與開發技術的優勢來幫助這個機制建立，特別是打詐議題橫跨公私部門甚至是國際合作，如何有效的 "分享情資" 是最重要也最需要去克服的部分。</p> <p>在上圖中，資安院下面的詐騙情資交換平臺有個循環的箭頭也正代表這個目標。然後我們現在在進行的就是這個過程所需要的資料蒐集分析、彙整到最後的情資分享的相關技術研發。</p> <p>圖片來源：資安院</p> </blockquote> <p> </p> <p> </p> <p> </p> <p> </p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/6/20 19:00作者黃彥棻https://www.ithome.com.tw/news/163576
AI老手如何防護生成式AI Amazon安全長首揭露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式人工智慧拜ChatGPT之賜，不到一年就竄升為家戶喻曉的人工智慧代名詞，而在各行各業積極探索新興應用商機之際，對於生成式人工智慧（Generative AI）潛在的資安顧慮也隨之湧現。亞馬遜（Amazon）安全長Steve Schmidt在re:Inforce 2024的演講中指出，生成式人工智慧並非橫空出世，而是承襲機器學習與人工智慧技術數十年發展脈絡的最新階段，因此資安的基本原則與人工智慧安全防護經驗都仍適用，他也公開亞馬遜的人工智慧安全團隊成立的經驗，包括資安組織的定位如何不會限制人工智慧的創新可能性、如何協助開發團隊做出正確的安全決策，以及在安全檢驗方面有別於傳統資安測試之處。</p> <p>身為全球電子商務巨擘的亞馬遜，運用機器學習與人工智慧技術已有十多年經驗，Schmidt表示，從2012年物流倉儲中心引入Kiva倉儲機器人、2014年推出Alexa個人虛擬助理，以至2017年推出個資保護服務Amazon Mice，皆是機器學習與人工智慧技術的應用。</p> <p>面對發展速度越來越快的新興技術，如生成式人工智慧，Schmidt指出，資安防護的基本原則依然不變，像是人人當責的資安文化、必要的防護工具與檢驗機制、安全守則指引、多因素認證，以及可將資安擴及全組織的分散式資安的觀念等。因此，因應人工智慧安全的三個基本問題依然可運用在生成式人工智慧，包括：資料的來源？資料經查詢後會發生什麼狀況，以及會對與之相關的任何資料造成什麼影響？第三則是人工智慧模型輸出的資料是否準確？</p> <h3>人工智慧安全團隊的定位：守門員 vs. 助攻員</h3> <p>企業要探索人工智慧的機會，首先需要人才，然而，不只人工智慧人才難找，資安人才也很難找，而要同時兼顧兩個領域的人工智慧安全人才，更是難上加難。找到人才之後，人工智慧安全團隊的職能定位更是關鍵，因為資安團隊最終扮演的是守門員或助攻員的角色，將決定人工智慧應用的創新機會。</p> <p>Schmidt表示，通常企業會賦予人工智慧安全團隊守門員的角色，由這些擁有專門知識技能的安全專家肩負起防護人工智慧的責任，然而由少數幾位專家來審查把關，一方面會成為開發流程的瓶頸，影響開發效率，拖累創新速度；另一方面，重重審查所帶來的額外負擔，也會造成開發人員為了避免審查而變相繞道，反而無法達到提升資安的效果。</p> <p>因此，如何讓人工智慧安全團隊既為資安把關又不阻礙創新的速度？Schmidt指出，亞馬遜最後採取的權衡作法，是讓資安團隊成為助攻員，協助開發人工智慧安全防護的解決方案，包括防護工具、檢驗工具與防護機制，再提供給開發團隊，協助開發人員以更安全的方式，更快開發出安全又創新的人工智慧應用。而這也與亞馬遜提倡的「分散式資安」—將資安作法散布到各個部門的作法如出一轍。</p> <h3>生成式人工智慧安全需求評估框架</h3> <p>亞馬遜人工智慧安全團隊因而開發出一系列評估框架、決策準則與最佳作法建議。其中，他們針對生成式人工智慧安全提出的需求評估框架「Generative Artificial Intelligence Scope Matrix（生成式人工智慧範疇矩陣）」，可協助開發團隊評估專案範疇與資安防護構面。</p> <p>生成式人工智慧範疇矩陣界定五種應用類型，第一種是如ChatGPT、Midjourney這類人人都能直接使用的生成式人工智慧服務；第二種是已整合生成式人工智慧功能的企業SaaS服務；第三種是利用基礎模式開發生成式人工智慧應用；第四種是利用基礎模式與自有資料微調模型；第五種則是自主訓練模型。而這五種範疇應用的資安防護，都必須顧及治理與法遵、法律與隱私、風險管理、管控措施與韌性等五個構面的要求。</p> <h3>四大措施強化人工智慧安全</h3> <p>此外，亞馬遜人工智慧安全團隊也發展出一系列可協助開發團隊強化安全的措施，包括生成式人工智慧安全標準、威脅模型分析指南、測試工具與安全審查等。</p> <p>第一項措施是建立生成式人工智慧安全標準，內容包含如何處理機密資料，以及檢測模型、提示工作流程與人工智慧應用服務的安全性所要考量的測試條件。有標準可循，開發人員就更加清楚需要考量的安全措施，使他們能夠在一開始就結合安全設計，而不是在審查過後才做資安補強，Schmidt表示，不光只是生成式人工智慧，任何軟體若是在開發完成後才做資安補強，那就太晚了。</p> <p>第二項措施是建立生成式人工智慧威脅模型（Threat Modeling）分析指南，威脅模型分析是以系統性的方法分析潛在威脅、設計緩解措施，並排定優先順序，以確保將有限的資源挹注在能發揮最大安全成效的工作。Schmidt指出，威脅模型分析是亞馬遜愛用的方法，由人工智慧安全團隊建立威脅模型，再提供給所有開發團隊參考運用，對於提升安全有很大的幫助。</p> <p>第三項措施是提供測試工具，亞馬遜人工智慧安全團隊依據威脅模型分析的結果，開發對應的測試工具，協助開發人員據以檢驗生成式人工智慧應用程式的安全態勢，例如為了確保模型如何因應一些古怪的提示，他們就開發一套工具來檢驗。而隨著人工智慧安全團隊學習到越來越多攻擊樣態，把這些知識都集中在一起，整合成工具提供給開發人員使用，那麼所有開發人員自然而然直接受益，因此組織持續提升安全的效果就會發揮到最大。</p> <p>第四項措施是安全檢驗，Schmidt表示，亞馬遜的應用程式在上線前都必須通過滲透測試的檢驗，而且日後程式碼若有重大改變，則要再一次進行；然而，立基於基礎模型運作的生成式人工智慧卻不是如此，因為在生成式人工智慧的世界中，模型就是程式碼，而且生成式人工智慧應用的反應，會隨著使用者與模型的互動方式與時間推移而有所不同。也就是說，生成式人工智慧的安全檢驗永遠沒有完成的一天，必須從傳統一次性檢驗方式，改為持續性檢驗。</p> <p>Schmidt指出，為了因應生成式人工智慧特性所需的持續性檢驗，亞馬遜的人工智慧安全團隊因而開發防護機制（Guardrail）工具，例如評估每一次使用者的輸入與模型輸出的內容，依據管制政策拒絕使用者輸入或過濾模型輸出的內容或主題，如有害內容、提示攻擊或含有機敏個資的資訊等。</p> <h3>生成式人工智慧應用上線四大安全守則</h3> <p>由於生成式人工智慧技術從模型建立到面向使用者的應用服務，整個過程都涉及大量資料的輸入與輸出，Schmidt因此建議企業在推出生成式人工智慧應用前要重視四大安全守則。首先，在訓練人工智慧模型時要確保正確處理機敏機料，必須清楚掌握你的資料、儲存的地點與保管方式、資料存取權以及使用目的，並且要檢視日誌檔以了解資料實際上被使用的情形。</p> <p>再者，於企業陸續採用的檢索增強生成（Retrieval-Augmented Generation，RAG）領域，Schmidt提醒要注意信任邊界的問題，確保人工智慧應用帶出用戶正確的上下文，而且只能存取用戶授權的資料。</p> <p>第三項守則是依據人工智慧應用的特性設計合適的測試方法，例如定期或持續以特別設計的提示測試模型，主動偵測潛在的注入攻擊或資料外洩問題。第四項則是部署合適的防護機制，Schmidt表示，任何AI應用都會需要防護機制，才能依照用戶的性質去過濾不適當的術語或主題。<br /> 「在人工智慧世界裏，安全工作永無境。」Schmidt表示，人工智慧安全的相關研究非常活躍，未來勢必會有更多新的進展，需要持續保持觀注。</p> </div></div></div>
2024/6/20 19:14作者吳其勳https://www.ithome.com.tw/news/163577
【資安日報】6月20日，中國駭客UNC3886利用多項防火牆及虛擬化平臺的零時差漏洞隱匿行蹤，並部署後門程式持續存取網…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用尚未公布的零時差漏洞發動攻擊的情況，近期有數則消息揭露，例如：中國駭客利用CVE-2022-42475入侵FortiGate防火牆，並部署難以清除的惡意程式；勒索軟體駭客組織Cardinal於微軟修補CVE-2024-26169的3個月前，就將其用於攻擊行動，但如今中國駭客組織UNC3886，他們一口氣運用4個防火牆、虛擬化平臺的漏洞，以便長時間於受害組織活動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163572"><strong style="font-size: 22px;">中國駭客UNC3886利用Fortinet、VMware設備零時差漏洞持續在受害組織網路環境活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/unc3886-cloaked-covert-fig1_max-2200x2200.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/unc3886-cloaked-covert-fig1_max-2200x2200.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Mandiant指出，他們曾於今年1月揭露中國駭客組織UNC3886從事多年的攻擊行動，對方自2021年底利用VMware vCenter的重大漏洞CVE-2023-34048，並在癱瘓VMware服務後的數分鐘內，部署後門程式。</p> <p>但後來他們發現，這些駭客在攻擊行動過程還可能運用了其他的零時差漏洞。一旦目標已修補上述漏洞，或是他們取得的外流帳密資料無法使用，這些駭客就會運用其他3個零時差漏洞。</p> <p>這些分別是防火牆作業系統FortiOS漏洞CVE-2022-41328、VMware vCenter 漏洞CVE-2022-22948，以及VMware Tools漏洞CVE-2023-20867。</p> <p><a href="https://www.ithome.com.tw/news/163566"><strong style="font-size: 22px;">Linux惡意軟體Disgomoji鎖定印度政府機關而來，攻擊者利用表情符號來下達命令</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/UTA0137-image005a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/UTA0137-image005a.png" style="width: 300px; float: right;" /></a>資安業者Volexity揭露巴基斯坦駭客組織UTA0137的網路間諜攻擊行動，對方鎖定印度政府機關下手，過程中使用以Go語言打造的Linux惡意程式Disgomoji。</p> <p>研究人員公布駭客運用的9種表情符號，這些包含了執行命令、截取螢幕截圖、取得受害電腦特定檔案、上傳檔案、打包Firefox的設定，以及搜尋特定格式的文件、圖片、壓縮檔案。</p> <p>一旦受害電腦成功感染惡意程式，對方就會利用Nmap掃描受害組織的網路環境，並透過Chisel和Ligolo建立網路隧道，而在部分情況下，攻擊者還會企圖利用名為Zenity的工具，引誘受害者輸入密碼。值得留意的是，這些駭客也利用漏洞DirtyPipe（CVE-2022-0847）進行權限提升。</p> <p><a href="https://www.ithome.com.tw/news/163565"><strong style="font-size: 22px;">駭客假借提供思科Webex視訊會議軟體，意圖散布竊資軟體Vidar Stealer</strong></a></p> <p>資安業者Trellix揭露一起散布竊資軟體的攻擊行動，駭客鎖定拉丁美洲及亞太地區的使用者，誘騙他們下載受到密碼保護的壓縮檔，這個檔案的內容，包含了遭竄改的思科Webex Meeting應用程式元件ptService.exe，一旦使用者解壓縮並執行Setup.exe，Webex Meeting就會秘密啟動惡意程式載入工具HijackLoader，從而在受害電腦植入竊資軟體Vidar Stealer。</p> <p>一旦該程式與C2成功連線後，便會存取Chrome、Firefox、Zoom等應用程式的使用者設定資料，而且還會進行權限提升，並將自己加入防毒軟體Microsoft Defender的白名單，然後透過MSBuild.exe取得遠端.NET執行檔，試圖利用受害電腦挖礦。</p> <p><a href="https://www.ithome.com.tw/news/163563"><strong style="font-size: 22px;">網路攻擊促使北美汽車經銷業者SaaS服務供應商CDK Global暫時關閉系統</strong></a></p> <p>提供軟體即服務（SaaS）予北美逾1,500家汽車經銷商的CDK Global，在6月19日凌晨傳出遭到大規模的網路攻擊，促使CDK Global關閉了所有系統，而讓客戶服務停擺。</p> <p>CDK Global尚未對外公開說明遭到攻擊的情況，但已通知部分受到影響的客戶，表示已聘請第三方資安專家展開全面測試，目前已恢復CDK Phones、DMS及Digital Retail等服務。</p> <p>已有經銷商抱怨CDK Global遭駭事件讓原本要買車的客戶，轉向其它未使用CDK Global平臺的汽車經銷商。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.trendmicro.com/en_us/research/24/f/behind-the-great-wall-void-arachne-targets-chinese-speaking-user.html"><strong style="font-size: 20px;">駭客組織Void Arachne鎖定中國用戶，假借提供VPN軟體散布惡意程式Winos</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163562"><strong style="font-size: 22px;">研究人員針對微軟本月修補的Wi-Fi驅動程式漏洞提出警告，所有版本Windows都可能曝險</strong></a></p> <p>本月微軟在例行更新（Patch Tuesday）當中，修補Windows作業系統內建Wi-Fi驅動程式的高風險漏洞CVE-2024-30078，CVSS風險評分達到了8.8，如今有研究人員提出警告，呼籲用戶要特別留意這項漏洞。</p> <p>裝置遠端管理業者Automox在綜覽本次微軟修補的漏洞當中，希望用戶最優先注意的資安弱點，就是能被用於發動遠端程式碼執行（RCE）攻擊的CVE-2024-30078，原因是攻擊者想要觸發這項漏洞，只需要靠近目標設備就有機會達成，不需要其他特殊的存取條件，由於是透過Wi-Fi無線網路進行，攻擊者也無須實際接觸受害者的裝置。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.sonarsource.com/blog/remote-code-execution-in-mailcow-always-sanitize-error-messages/"><strong style="font-size: 20px;">研究人員揭露Mailcow郵件伺服器系統的遠端程式碼執行漏洞</strong></a></p> <p></p> <p>◆<a href="https://chromereleases.googleblog.com/2024/06/stable-channel-update-for-desktop_18.html"><strong style="font-size: 20px;">Google發布Chrome 126更新，修補漏洞懸賞競賽揭露的弱點</strong></a></p> <p></p> <p>◆<a href="https://www.horizon3.ai/attack-research/attack-blogs/cve-2024-29824-deep-dive-ivanti-epm-sql-injection-remote-code-execution-vulnerability/"><strong style="font-size: 20px;">研究人員公布Ivanti Endpoint Manager重大漏洞的細節</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162879"><strong style="font-size: 22px;">汽車關鍵核心的ADAS系統成為駭客鎖定目標，如何避免未來自駕車遭駭而失控將是更大的挑戰</strong></a></p> <p>在2024 CYBERSEC臺灣資安大會第二天主題演講中，趨勢科技核心技術部資深協理暨VicOne威脅研究副總裁張裕敏公開揭露了數十種鎖定汽車ADAS攻擊的三大類型，涵蓋28種攻擊樣態，更提出自動駕駛場景的防護之道。</p> <p>面對汽車資安的威脅，張裕敏提到應對措施，除了持續收集情資預作風險控管之外，車廠需要不斷加強ADAS在行車安全的提升，同時，面對網路攻擊的風險日益增加，車輛製造商必須投資強化安全措施，防範潛在的威脅。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<a href="https://www.cisa.gov/topics/partnerships-and-collaboration/joint-cyber-defense-collaborative/Joint-Cyber-Defense-Collaborative-Artificial-Intelligence-Cyber-Tabletop-Exercise"><strong style="font-size: 20px;">美國CISA針對AI資安事故進行首次演習</strong></a></p> <p></p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163110"><strong style="font-size: 22px;">資安產業具備輕資產、高價值特性，吸引年輕人投入創業</strong></a></p> <p>臺灣的資安產業曾是一個小眾市場的角落，然而過去十年它經歷翻天覆地的變化，由被忽視的領域轉變為備受政府、企業關注的關鍵產業。</p> <p>這種變革背後，國家資通安全研究院院長何全德認為，「資安即國安」戰略推動，為臺灣資安產業的蓬勃發展奠定基礎；而《資安法》實施也帶動了企業對資安的重視，使得資安成為企業營運中不可或缺的一環；監管機關對於資安標準的要求，迫使企業不得不投入更多資源和精力，以便提升資安水準，從而拉動市場需求。這是一系列外在因素的綜合作用，從政策、需求到技術發展，無不影響著資安產業的興盛。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163551"><strong>【6月19日】初始入侵管道掮客IntelBroker聲稱握有晶片大廠AMD內部機密資料，該公司表示將著手調查</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163529"><strong>【6月18日】未補漏洞且暴露在外網的舊款F5 BIG-IP設備成駭客入侵企業內部環境的破口，中國駭客潛入竊密長達3年</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163501"><strong>【6月17日】日本影音共享平臺Niconico、角川書店傳出服務中斷近一週，起因是資料中心遭勒索軟體攻擊</strong></a></p> </div></div></div>
2024/6/20 18:09作者周峻佑https://www.ithome.com.tw/news/163574
研究人員針對微軟本月修補的Wi-Fi驅動程式漏洞提出警告，所有版本Windows都可能曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月微軟在<a href="https://www.ithome.com.tw/news/163421">例行更新（Patch Tuesday）</a>當中，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-30078">修補Windows作業系統內建Wi-Fi驅動程式的高風險漏洞CVE-2024-30078</a>，CVSS風險評分達到了8.8，如今有研究人員提出警告，呼籲用戶要特別留意這項漏洞。</p> <p>裝置遠端管理業者Automox<a href="https://www.automox.com/blog/patch-tuesday-june-2024">在綜覽本次微軟修補的漏洞</a>當中，希望用戶最優先注意的資安弱點，就是能被用於發動遠端程式碼執行（RCE）攻擊的CVE-2024-30078，原因是攻擊者想要觸發這項漏洞，只需要靠近目標設備就有機會達成，不需要其他特殊的存取條件，由於是透過Wi-Fi無線網路進行，攻擊者也無須實際接觸受害者的裝置。</p> <p>根據微軟的資安公告，攻擊者利用這項漏洞無須通過身分驗證，也不需事先存取受害電腦的組態或是特定檔案，攻擊過程中，也完全不需與使用者互動。</p> <p>Automox首席資訊安全長Jason Kikta表示，有鑑於這項漏洞的性質，有可能會在端點裝置密集的環境造成重大風險，像是旅館、展覽會場，以及其他有大量裝置連接Wi-Fi網路的環境，攻擊者可以輕易針對毫無戒心的用戶下手。因此，了解如何緩解、減輕相關威脅極為重要。</p> <p>微軟已針對Windows 10、Windows 11、Windows Server 2008至2022等版本的作業系統提供修補程式，但Jason Kikta提出警告，已終止支援的作業系統特別容易受到該漏洞影響。此外，若是IT人員無法套用更新軟體，則必須使用端點防護系統監控是否出現可疑活動，基於這項漏洞是允許無線網卡或基地臺的訊號，近距離傳輸惡意封包，Jason Kikta警告，單靠一般的網路偵測機制，將難以察覺這類威脅。</p> <p>而對於這項漏洞帶來的危險，Jason Kikta指出，這是一種近距離的攻擊手段，能繞過網路層面的偵測及緩解措施，從而迴避大部分的威脅模型。因此，他們認為企業組織應將緩解這項漏洞列為優先事項，因為，不久之後很有可能就會出現相關的漏洞利用工具。</p> </div></div></div>
2024/6/20 11:36作者周峻佑https://www.ithome.com.tw/news/163562
駭客假借提供思科Webex視訊會議軟體，意圖散布竊資軟體Vidar Stealer
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Trellix揭露一起散布竊資軟體的攻擊行動，駭客鎖定拉丁美洲及亞太地區的使用者，誘騙他們下載受到密碼保護的壓縮檔，這個檔案的內容，包含了遭竄改的思科Webex Meeting應用程式元件ptService.exe，一旦使用者解壓縮並執行Setup.exe，Webex Meeting就會秘密啟動惡意程式載入工具HijackLoader，從而在受害電腦植入竊資軟體Vidar Stealer。</p> <p>研究人員進一步調查，攻擊者利用的壓縮檔約有400個左右，這些檔案有ZIP及RAR格式，共通點是駭客聲稱提供免費軟體或盜版商業軟體，並為這些壓縮檔設置密碼。</p> <p>若是使用者依照對方指示執行特定的執行檔，電腦就會透過DLL側載啟動HijackLoader，而這個惡意程式載入工具將下載AutoIT自動化工具的執行檔，然後與C2進行連線，而這個C2伺服器位於Vidar殭屍網路的基礎設施。</p> <p>駭客濫用AutoIT打造的Vidar Stealer，一旦該程式與C2成功連線後，便會存取Chrome、Firefox、Zoom等應用程式的使用者設定資料，而且還會進行權限提升，並將自己加入防毒軟體Microsoft Defender的白名單，然後透過MSBuild.exe取得遠端.NET執行檔，試圖利用受害電腦挖礦。</p> </div></div></div>
2024/6/20 14:37作者周峻佑https://www.ithome.com.tw/news/163565
Linux惡意軟體Disgomoji鎖定印度政府機關而來，攻擊者利用表情符號來下達命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Volexity揭露<a href="http://www.volexity.com/blog/2024/06/13/disgomoji-malware-used-to-target-indian-government/">巴基斯坦駭客組織UTA0137的網路間諜攻擊行動</a>，對方鎖定印度政府機關下手，過程中使用以Go語言打造的Linux惡意程式Disgomoji。</p> <p>駭客使用Linux惡意軟體及對應的誘餌，這樣的情況並不常見，因為，這代表對方已確認攻擊目標的工作站電腦執行Linux作業系統，才會採用這些對應的工具來犯案。而印度政府採用名為BOSS的Linux發行版部署於辦公電腦，他們研判，駭客使用的工具顯然是針對這些政府機關而來。</p> <p>對方先是傳送以Go語言編譯，並透過UPX加殼的ELF執行檔，一旦執行，就會下載誘餌檔案DSOP.pdf，這很可能是印度國防官員公積金的有關資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/UTA0137-image001.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/UTA0137-image001.png" style="width: 580px;" /></a></p> <blockquote><p>這份誘餌文件相當特別的是，內容看起來有些歪斜，而這樣的檔案很有可能是將紙本資料掃描而成，但是否有經過光學字元辨識（OCR）處理？研究人員並未進一步說明。</p> </blockquote> <p>接著，惡意軟體會下載第2階段的酬載vmcoreinfo，此為酬載就是Disgomoji的其中一個處理程序。</p> <p>研究人員指出，Disgomoji是UPX加殼的ELF檔案，並濫用Discord充當C2，駭客很可能是透過discord-c2的程式修改而成。值得留意的是，用於存取Discord伺服器的身分驗證憑證及伺服器ID，都寫死在ELF檔案裡。而該惡意軟體一旦與伺服器連線，就會為不同的受害電腦建立專屬的通道，攻擊者可藉此與特定受害者互動。</p> <p>這款惡意程式比較特別的地方在於，攻擊者透過表情符號（emoji）向惡意程式發送命令，有時候還會使用參數。而惡意程式也會在處理收到的命令時，回傳時鐘的符號進行回應。</p> <p>研究人員公布駭客運用的9種表情符號，這些包含了執行命令、截取螢幕截圖、取得受害電腦特定檔案、上傳檔案、打包Firefox的設定，以及搜尋特定格式的文件、圖片、壓縮檔案。</p> <p>一旦受害電腦成功感染惡意程式，對方就會利用Nmap掃描受害組織的網路環境，並透過Chisel和Ligolo建立網路隧道，而在部分情況下，攻擊者還會企圖利用名為Zenity的工具，引誘受害者輸入密碼。</p> <p>值得留意的是，這些駭客也利用漏洞DirtyPipe（CVE-2022-0847）進行權限提升。</p> <p><a href="https://s4.itho.me/sites/default/files/images/UTA0137-image005a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/UTA0137-image005a.png" style="width: 580px;" /></a></p> </div></div></div>
2024/6/20 16:44作者周峻佑https://www.ithome.com.tw/news/163566
提供9.3G效能與3個2.5GbE埠，Netgear Wi-Fi 7路由器登臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/netgear_nighthawk_rs300_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩年來，出現越來越多支援Wi-Fi 7的網路設備，以今年6月而言，Netgear發表兩款產品，其中一款為無線路由器Nighthawk RS300，正式由代理商瀚錸科技引進臺灣市場，19日開放預購。</p> <p>事實上，Netgear去年3月已發表該公司第一款Wi-Fi 7無線路由器，機型名稱為Nighthawk RS700S，採用的無線通訊晶片是Broadcom的BCM67263或BCM6726，搭配4核心2.6GHz時脈的處理器、2GB記憶體，以及512MB快閃記憶體，整臺設備總共可提供19 Gbps的無線網路傳輸能力——6GHz效能為11.5 Gbps，5GHz為5.8 Gbps，2.4GHz為1.4 Gbps，三個頻段採用4x4天線架構（設置8支內部天線）。</p> <p>在網路介面的部分，RS700S提供1個10GbE規格的WAN埠，LAN埠為1個10GbE埠與4個GbE埠，能夠負擔200個連網裝置同時存取，Wi-Fi訊號覆蓋範圍為3,500平方英尺。</p> <p>今年最新推出的Nighthawk RS300，搭配4核心2GHz時脈的處理器、2GB記憶體，以及512MB快閃記憶體，Netgear並未透露搭配的無線通訊晶片款式，整臺設備總共可提供9.3 Gbps的無線網路傳輸能力——6GHz效能為5.8 Gbps，5GHz為2.9 Gbps，2.4GHz為0. 7Gbps，三個頻段採用2x2天線架構（設置8支內部天線）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Nighthawk%20WiFi%207%20models.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear Wi-Fi 7 routers-2024-06.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Wi-Fi%207%20routers-2024-06.jpg" style="width: 298px;" /></a> </p> <p>值得注意的是，RS300在6月已取得電信管制射頻器材型式認證證明，可看出這款機型支援Wi-Fi網路通訊的配置。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear RS300 certificated1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RS300%20certificated1.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RS300%20certificated2.png" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear RS300 certificated3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RS300%20certificated3.png" style="width: 600px;" /></a></p> <p>而在有線網路連接能力方面，它配置1個WAN埠為2.5GbE規格，LAN埠包含2個2.5 GbE埠與2個GbE埠，能夠負擔100個連網裝置的同時存取，Wi-Fi訊號覆蓋範圍為2,500平方英尺。</p> <p>若用戶的網際網路線路速度超過1 Gbps，但業者提供的寬頻網路數據機提供的網路埠速度不足，或未內建支援多種Gbps速度的網路埠，且這些埠也不支援鏈路聚合（link aggregation），搭配Netgear RS700S和RS300使用時，可在設備網頁管理介面的網際網路頁面，到WAN偏好設定當中，勾選Multi-Gig Internet的項目啟用，即可將第4個LAN埠設為第2個WAN埠，並與預設的WAN埠進行鏈路聚合。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear RS300-NIC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RS300-NIC.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear RS300-WAN_LAG.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RS300-WAN_LAG.jpg" style="width: 368px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Netgear RS300-LAN_LAG.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RS300-LAN_LAG.jpg" style="width: 218px;" /></a></p> <p>在網路安全相關應用而言，這兩款機型均提供狀態封包檢測（SPI）防火牆，以及VPN遠端安全連線（個人端裝置需安裝OpenVPN軟體），若需要更多威脅防護功能，它們均可選用資安訂閱服務Netgear Armor，背後技術來自資安廠商Bitdefender，用戶能提升個人電腦、網路監控攝影機等連網設備的安全性，當中提供惡意軟體與網址偵測與阻擋、裝置弱點掃描、失竊防護（追蹤位置、遠端抹除Android與Windows裝置的資料、網頁瀏覽防護），並且提升VPN存取的隱私防護（Bitdefender VPN每天免費使用200 MB加密流量）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear Armor-WEB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Armor-WEB.jpg" style="width: 498px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Netgear Armor-App.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Armor-App.jpg" style="width: 98px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Netgear Nighthawk RS300</strong><br /> ●代理商：瀚錸科技<br /> ●建議售價：15,900元（含稅）<br /> ●支援無線網路標準：802.11a/b/g/n/ac/ax/be<br /> ●天線架構：6GHz、5GHz、2.4GHz均為2x2，MU-MIMO<br /> ●傳輸速度：總共為9.3 Gbps，6GHz為5.8 Gbps，5GHz為2.9 Gbps，2.4GHz為0.7 Gbps<br /> ●連接埠：3個2.5 GbE埠（其中1個為WAN埠）、2個GbE埠（LAN埠）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/20 17:58作者李宗翰https://www.ithome.com.tw/review/163527
中國駭客UNC3886利用Fortinet、VMware設備零時差漏洞持續在受害組織網路環境活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客組織利用尚未公開的零時差漏洞隱匿攻擊行動的情況，近期有不少研究人員公布相關的發現，例如：中國駭客組織在Fortinet發布修補程式的2個月前，<a href="https://www.ithome.com.tw/news/163443">就開始利用CVE-2022-42475入侵FortiGate防火牆</a>；勒索軟體駭客組織Cardinal<a href="https://www.ithome.com.tw/news/163455">於微軟修補CVE-2024-26169的3個月前，就將其用於滲透受害組織</a>，企圖部署勒索軟體Black Basta，如今又有駭客組織暗中利用零時差漏洞的情況。</p> <p>資安業者Mandiant指出，他們曾於今年1月揭露中國駭客組織UNC3886從事多年的攻擊行動，對方自2021年底利用VMware vCenter的重大漏洞CVE-2023-34048，並在癱瘓VMware服務後的數分鐘內，部署後門程式。</p> <p>但後來他們發現，<a href="https://cloud.google.com/blog/topics/threat-intelligence/uncovering-unc3886-espionage-operations">這些駭客在攻擊行動過程還可能運用了其他的零時差漏洞</a>。一旦目標已修補上述漏洞，或是他們取得的外流帳密資料無法使用，這些駭客就會運用其他3個零時差漏洞。</p> <p>這些分別是防火牆作業系統FortiOS漏洞CVE-2022-41328、VMware vCenter 漏洞CVE-2022-22948，以及VMware Tools漏洞CVE-2023-20867。</p> <p>駭客先是利用CVE-2022-41328，在FortiGate防火牆下載並執行後門程式；接著，利用CVE-2022-22948取得vCenter的PostgresDB資料庫當中，經加密處理的帳密資料；再來，他們利用CVE-2023-20867在ESXi系統對虛擬機器（VM）執行未經授權的操作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/unc3886-cloaked-covert-fig1_max-2200x2200.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/unc3886-cloaked-covert-fig1_max-2200x2200.jpg" style="width: 580px;" /></a></p> <p>除此之外，他們也發現這些駭客也有利用FortiOS的SSL VPN漏洞CVE-2022-42475的情況，而這項漏洞能讓攻擊者藉由發送偽造的請求執行任意程式碼。</p> <p>在成功利用上述漏洞控制vCenter伺服器及ESXi伺服器後，對方於虛擬機器部署名為Reptile、Medusa兩款rootkit，以便在不被察覺異狀的情況下，持續存取受害的網路環境。</p> <p>而為了遠端進行控制，這些駭客也使用名為Mopsled、Riflespine的惡意程式，它們濫用GitHub及Google Drive做為存取C2的通道。</p> </div></div></div>
2024/6/20 18:01作者周峻佑https://www.ithome.com.tw/news/163572
Framework與DeepComputing合作打造筆電專用RISC-V主機板
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>成立於2020年，專門打造客製化、可維修之筆記型電腦的Framework，周三（6/19）宣布將與成立於2022年、專門推動RISC-V生態體系的DeepComputing合作，<a href="https://frame.work/tw/en/blog/introducing-a-new-risc-v-mainboard-from-deepcomputing" target="_blank">打造一款可相容於Framework筆電的RISC-V主機板</a>。Framework強調，該主機板初期主要供開發人員、維修人員與科技愛好者在RISC-V上進行測試與創造，其效能或是周邊設備的支援，尚無法比擬採用AMD或Intel處理器的主機板。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0620-Framework%20Laptop%2013%2BDC-ROMA%20RISC-V%20Modular%20Mini%20Mainboard.png" style="width: 318px;" /></p> <p><span style="color:#696969;"><span style="font-size: 14px;">圖片來源／DeepComputing</span></span></p> <p>RISC-V為一開源的指令集架構（ISA），除了是個免費的開源規格之外，它具備模組化及可擴展的能力，同時透過快速及簡潔的指令集來提高執行效率，目前主要被應用在嵌入式系統中，致力於推廣RISC-V的DeepComputing則計畫將其應用擴大到筆電、平板電腦、工作站、耳機、智慧手錶、智慧喇叭、AR眼鏡、玩具或自駕車等領域上。</p> <p>只是現階段的RISC-V仍有其侷限性，例如它在工具及軟體的支援上、性能優化上，或是相容性上都不及Arm與x86架構。Framework也說，RISC-V主機板的周邊及性能都無法與AMD及英特爾主機板競爭。此外，受限於RISC-V的特性，它的記憶體是焊在主機版上的，所以無法更換或升級，並以MicroSD卡及eMMC作為儲存裝置。</p> <p>DeepComputing所開發的RISC-V主機板採用的是StarFive的JH7110處理器，StarFive專門以RISC-V ISA開放處理器核心，JH7110則具備了4個U74 RISC-V核心。</p> <p>不論如何，RISC-V主機板讓開發人員及科技愛好者有了另一種選擇，它將相容於Framework推出的各種13吋筆電，或是Cooler Master所生產的Mainboard Case主機板機箱。此外，Framework也正在與Canonical及Red Hat合作，讓Ubuntu及Fedora等Linux作業系統都能支援RISC-V主機板。</p> <p>其實DeepComputing自己已經推出許多<a href="https://store.deepcomputing.io/collections/all" target="_blank">採用RISC-V主機板的產品</a>，從平板、玩具車到筆電等，其中，筆電的售價都不到1.5萬元新臺幣，而<a href="https://frame.work/tw/en/marketplace/laptops" target="_blank">Framework的筆電</a>由於規格較高，再加上強調零件皆可維修及客製化，價格約落在3萬元新臺幣左右。目前Framework尚未揭露此一新款RISC-V主機板的售價。</p> </div></div></div>
2024/6/20 13:39作者陳曉莉https://www.ithome.com.tw/news/163564
歐盟兒童保護法案要求聊天App監控用戶訊息，Signal稱可能被迫離開歐盟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟一項打擊兒童性剝削的新法案要求訊息服務App加裝監控用戶內容的技術，引發隱私人士反對，Signal示警，若此法案成為法律，Signal可能終止在歐盟市場的業務。</p> <p>歐洲議會於2022年提出《兒童性虐待法規》（Regulation on Child Sexual Abuse，CSA），旨在打擊兒童性剝削、兒童色情的網路內容傳布。CSA當中條款要求提供私人通訊服務業者，應在其軟體中安裝名為「上傳仲裁（upload moderation）」的技術，以偵測用戶訊息中是否散布已知或新的兒童色情內容，包括提供全程加密的通訊服務。這項法規並要求，供應商必須清楚告知用戶其服務內含這類監控技術，如果用戶不同意，就無法使用其服務分享圖片或URL。</p> <p>這規定和歐盟確保用戶隱私及安全的一貫原則似乎抵觸。歐盟理事會上個月<a href="https://netzpolitik.org/wp-upload/2024/05/2024-05-28_Council_Presidency_LEWP_CSAR_Compromise-texts_9093.pdf" target="_blank">給執法機關的文件中</a>，還強調全程加密服務業者仍可持續提供服務，不應視「上傳仲裁」的規定為禁止、關閉全程加密的行政要求，因為新規定要求業者使用經過主管機關同意的監控技術，且需小心此類技術可能的網路安全風險。</p> <p>新法案引發隱私業者反彈。全程加密服務供應商<a href="https://x.com/mer__edith/status/1802612199426306150" target="_blank">Signal執行長Meredith Wittaker</a>本周稍早回應歐盟理事會說法指出，「上傳仲裁」只是新名詞，骨子裏仍然是掃瞄監控。她說大規模掃瞄私密通訊的規定將根本顛覆加密。不論其手法是破壞加密演算法隨機數字的產生、或實作金鑰託管系統、或是迫使通訊流量在加密前通過監控系統，不論技術是叫後門、前門或上傳仲裁。對該公司而言，都是可為駭客或國家濫用以監聽用戶的漏洞。<a href="https://mastodon.world/@Mer__edith/112535616774247450" target="_blank">她說</a>，一旦CSA變成法律，Signal服務將被迫離開歐洲市場。</p> <p>CSA已在去年11月在歐洲議會完成一讀，今年4月歐盟理事會及歐盟議會同意延長打擊線上兒童性剝削措施到2026年4月。</p> <p>上個月包括Signal、Mozilla、VPN業者Proton、Surfshark及多個隱私倡議團體也聯署，<a href="https://www.globalencryption.org/2024/05/joint-statement-on-the-dangers-of-the-may-2024-council-of-the-eu-compromise-proposal-on-eu-csam/" target="_blank">要求歐盟理事會成員</a>的各國部長拒絕使用危害用戶安全及上網權利的侵害技術。</p> </div></div></div>
2024/6/20 11:33作者林妍溱https://www.ithome.com.tw/news/163561
網路攻擊促使北美汽車經銷業者的SaaS服務供應商CDK Global暫時關閉系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供軟體即服務（SaaS）予北美逾1,500家汽車經銷商的CDK Global，在周三（6/19）凌晨傳出遭到大規模的網路攻擊，促使CDK Global關閉了所有系統，而讓客戶服務停擺。</p> <p>CDK Global所提供的服務包括數位銷售、客戶關係管理、融資、經銷商管理、維修操作及IT解決方案等，具體而言，採用該服務的汽車經銷商很可能把客戶訂單、零件訂單、庫存，以及客戶資料全都存放在CDK Global的系統上。</p> <p>CDK Global尚未對外公開說明遭到攻擊的情況，<a href="https://x.com/GuyDealership/status/1803503961657209310/photo/1" target="_blank">但已通知部分受到影響的客戶</a>，表示已聘請第三方資安專家展開全面測試，目前已恢復CDK Phones、DMS及Digital Retail等服務。</p> <p>已有經銷商抱怨CDK Global遭駭事件讓原本要買車的客戶，轉向其它未使用CDK Global平臺的汽車經銷商。</p> <p>資安媒體<a href="https://www.bleepingcomputer.com/news/security/cdk-global-cyberattack-impacts-thousands-of-us-car-dealerships/" target="_blank">Bleeping Computer</a>則說，倘若CDK Global是遭到勒索軟體攻擊，那麼很可能需要數天的時間才能復原。</p> </div></div></div>
2024/6/20 11:57作者陳曉莉https://www.ithome.com.tw/news/163563
英國政府啟動HPE、Juniper收購案調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.uk/cma-cases/hewlett-packard-enterprise-company-slash-juniper-networks-inc-merger-inquiry" target="_blank">英國政府本周三（6/19）宣布</a>，將針對HPE收購網路設備業者Juniper是否造成壟斷現象啟動調查。</p> <p>英國市場主管機關競爭與市場管理署（Competition and Markets Authority，CMA）昨日通知二家公司於6月20日啟動第一階段調查。CMA表示，這階段調查目的在了解HPE和Juniper的併購案，是否會導致英國任何商品或服務市場競爭大幅減弱。</p> <p><a href="https://assets.publishing.service.gov.uk/media/667288f031a88528d2da7dd0/Commencement_notice.pdf" target="_blank">CMA進一步指出</a>，根據第一階段調查結果，該署將在最晚2024年8月14日之前決定是否啟動第二階段調查。</p> <p>科技大廠<a href="https://www.ithome.com.tw/news/160784" target="_blank">HPE今年1月宣布</a>以近140億美元全現金收購Juniper，以強化AI網路管理產品線，並擴展高毛利的網路業務，成為該公司自2008年以來的最大宗收購案。本交易預計在2024年底或2025年初完成。</p> <p>以二家公司在各自領域的地位，這樁收購案勢必引發各國市場主管機關介入。<a href="https://mlexmarketinsight.com/news/insight/hpe-juniper-deal-gets-unconditional-clearance-in-brazil" target="_blank">巴西</a>已在5月批准本案進行。美國聯邦貿易委員會（FTC）、歐盟是最關鍵因素。</p> <p>主要國家及政府實體主管機關極可能對超大併購案投下反對票。2020年<a href="https://www.ithome.com.tw/news/149264" target="_blank">Nvidia</a>以400億美元收購Arm，以及2022年<a href="https://www.ithome.com.tw/news/160417" target="_blank">Adobe</a> 200億美元收購對手Figma的交易，都在遭到包括歐盟及美、英國政府阻撓下失敗告終。</p> </div></div></div>
2024/6/20 10:36作者林妍溱https://www.ithome.com.tw/news/163558
OpenAI共同創辦人Ilya Sutskever另起爐灶，成立Safe Superintelligence
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>才<a href="https://www.ithome.com.tw/news/162887" target="_blank">從OpenAI離職</a>一個月的Ilya Sutskever周三（6/19）<a href="https://ssi.inc/" target="_blank">宣布</a>，已與Daniel Gross及Daniel Levy共同創辦了Safe Superintelligence Inc.，且新公司的終極任務便如同它的名稱，將以建置安全的超級智慧（Safe Superintelligence，SSI）為首要之務，並開始對外招兵買馬。</p> <p class="rtecenter"><a href="https://x.com/ilyasut/status/1803472978753303014" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0620-Ilya%20Sutskever-600.png" style="width: 598px;" /></a></p> <p>Sutskever是當初OpenAI罷黜執行長Sam Altman的支持者之一，據說雙方是對AI的安全理念有所衝突，在各種內部與外部的壓力下，最終OpenAI請回了Altman，而Sutskever則選擇離職。</p> <p>Sutskever表示，SSI是該公司的名字、使命，也是整個產品藍圖，是他們唯一關注的重心，不管是該公司團隊、投資者，或者是商業模式，都將是為了實現SSI而保持一致。</p> <p>Safe Superintelligence Inc.的另一名共同創辦人Gross，是一名年僅32歲的美國企業家，他不僅曾共同創辦可蒐集使用者社交帳戶活動並呈現其一日生活的Cue服務，也曾主導蘋果的AI服務，曾投資語音AI測試平臺的ElevenLabs，亦曾贊助閱讀被火山爆發淹沒的碳化紙卷的維蘇威火山挑戰賽（Vesuvius Challenge）。</p> <p>儘管Sutskever並未揭露新公司其它的投資者，但強調新公司將把安全與能力都當作技術問題，利用革命性的工程與科學突破來解決，確保始終以安全為優先，才能安心地擴展AI的能力。</p> <p>由於Safe Superintelligence Inc.的方向明確，Sutskever認為這將使得新公司不會受到管理成本或產品周期的影響，且其商業模式也讓安全與進步能夠不受到短期商業壓力的脅迫。</p> <p>在美國成立的Safe Superintelligence Inc.於美國的Palo Alto及以色列的Tel Aviv都設有辦公室，並正努力延攬兩地的人才加入。</p> </div></div></div>
2024/6/20 10:54作者陳曉莉https://www.ithome.com.tw/news/163560
【資安日報】6月18日，初始入侵管道掮客IntelBroker聲稱握有晶片大廠AMD內部機密資料，該公司表示將著手調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>晶片大廠遭駭的情況，最近幾年已有數起，例如：2020年Intel傳出遭駭，20 GB的晶片、韌體、開發工具及程式碼等機密資訊外流；2022年Nvidia遭到駭客組織Lapsus$入侵，偷走1 TB內部資料。如今，有駭客組織聲稱取得AMD內部檔案引起關注。</p> <p>值得留意的是，聲稱握有這批資料的駭客組織，是惡名昭彰的初始入侵管道掮客IntelBroker，在一個月前，這些駭客宣稱手上握有多個組織與公司的的內部資料，例如，歐洲刑警組織（Europol）、五角大厦、英國家具裝修零售業者Home Depot。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163539"><strong style="font-size: 22px;">晶片大廠AMD驚傳產品研發、客戶資料外洩，初始入侵管道掮客IntelBroker於駭客論壇兜售相關資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GQTsd33W0AASdRZ.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GQTsd33W0AASdRZ.jpg" style="width: 300px; float: right;" /></a></p> <p>晶片大廠AMD的產品研發、客戶資料及員工資訊等機密資料疑似外洩，本周遭人在駭客論壇公然兜售。資安研究人員Dark Web Informer發現初始入侵管道掮客IntelBroker在駭客論壇BreachForums上，張貼出售疑似6月竊自AMD公司系統的檔案資訊，並要求以門羅幣（XMR）交易。</p> <p>駭客宣稱這批資料包括AMD未來產品、產品規格表、員工資料庫、客戶資料庫、智財檔案、程式碼、韌體和財務資料。外洩的員工資訊包含用戶ID、姓氏、名字、工作內容、公司電話、郵件信箱等，駭客提供部分檔案的螢幕擷圖作為佐證。</p> <p>對此，AMD對英國媒體The Register表示他們已經報警，將與執法單位及第三方資安業者合作調查此事。AMD外洩的資料有多少不得而知，而這批資料如何取得，目前也不明朗。</p> <p><a href="https://www.ithome.com.tw/news/163550"><strong style="font-size: 22px;">中國駭客組織發起釣魚簡訊攻擊Smishing Triad規模擴大，鎖定巴基斯坦用戶發送惡意訊息</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/a900a7a910364a6ba3a9a15524e32886.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/a900a7a910364a6ba3a9a15524e32886.jpeg" style="width: 300px; float: right;" /></a>去年中國駭客組織發起的大規模網釣簡訊攻擊行動Smishing Triad，這些駭客先是針對美國、歐洲下手，後來又將範圍延伸至阿拉伯聯合大公國（UAE），如今他們也針對巴基斯坦發起攻擊行動。</p> <p>資安業者Resecurity提出警告，他們發現最新一波的Smishing Triad攻擊行動，對方假冒巴基斯坦郵政局的名義，藉由iMessage或是簡訊，向電信業者的用戶發送惡意訊息，目的是竊取民眾的個資與財務資料。</p> <p>對此，巴基斯坦電腦網路緊急應變團隊（PKCERT）也發布資安公告，提醒當地民眾提高警覺，並指出駭客除佯稱巴基斯坦郵政局，也冒用快遞業者TCS、Leopard、FedEx的名義行騙。</p> <p><a href="https://www.ithome.com.tw/news/163545"><strong style="font-size: 22px;">研究人員揭露針對機器學習模型而來的攻擊手法Sleepy Pickle</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Sleepy-Pickle_1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sleepy-Pickle_1.png" style="width: 300px; float: right;" /></a>資安業者Trail of Bits揭露針對機器學習（ML）模型的攻擊手法Sleepy Pickle，這項手法針對廣泛使用的檔案格式Pickle而來，攻擊者可用來破壞模型本身，從而對使用該模型的終端用戶下手。</p> <p>他們展示了3種型態的Sleepy Pickle攻擊手法，從而讓生成式AI輸出有害內容及散布假訊息、竊取使用者的資料，或是發動網路釣魚攻擊。研究人員指出，雖然攻擊者只需插入惡意連結，但也可以結合更複雜的內容，包含JavaScript程式碼，或是跨網站指令碼（XSS）弱點，從而在回傳使用者的內容注入惡意指令碼。</p> <p><a href="https://www.ithome.com.tw/news/163537"><strong style="font-size: 22px;">曾介紹群暉產品的臉書粉絲專頁被駭客盯上，歹徒冒用該公司名義發出侵害智財權的釣魚信</strong></a></p> <p>上週臺灣NAS設備供應商群暉科技（Synology）提出警告，他們在6月12日得知，有人冒用他們的名義寄送釣魚郵件，並以聳動的主旨和內容，意圖誘騙收件人開啟附件，或是點選惡意連結，一旦收件人照做，就有可能遭到對方勒索，或是遭到進一步攻擊。</p> <p>針對該公司提出的警告，我們也進一步向群暉確認。該公司表示，駭客鎖定臉書粉絲專頁的管理員，佯稱是群暉的法律代表，透過Gmail向專頁的公開聯絡信箱寄送釣魚信，信件主旨是「關於知識產權侵權的緊急通知」，聲稱粉絲專頁非法使用群暉的圖片、「視頻」，收信人必須下載附件進行後續處理，否則將面臨嚴重後果。但實際上，若是收信人照做，他們將有可能啟動附件內含的惡意軟體，導致電腦遭到感染。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://blog.eclecticiq.com/onnx-store-targeting-financial-institution"><strong style="font-size: 20px;">網釣工具套件租賃服務Onnx鎖定金融業的Microsoft 365帳號而來</strong></a></p> <p></p> <p>◆<a href="https://www.gdatasoftware.com/blog/2024/06/37947-badspace-backdoor"><strong style="font-size: 20px;">後門程式BadSpace透過被感染的WordPress網站散布</strong></a></p> <p></p> <p>◆<a href="https://securitylabs.datadoghq.com/articles/attackers-deploying-new-tactics-in-campaign-targeting-exposed-docker-apis/"><strong style="font-size: 20px;">駭客鎖定公開的Docker API下手，從而部署惡意程式並挖掘加密貨幣</strong></a></p> <p></p> <p>◆<a href="https://www.trellix.com/blogs/research/how-attackers-repackaged-a-threat-into-something-that-looked-benign/"><strong style="font-size: 20px;">有人假借提供思科Webex視訊會議軟體，意圖散布竊資軟體Vidar Stealer</strong></a></p> <p></p> <p>◆<a href="https://www.trendmicro.com/en_us/research/24/f/noodle-rat-reviewing-the-new-backdoor-used-by-chinese-speaking-g.html"><strong style="font-size: 20px;">研究人員揭露鎖定亞太地區的惡意軟體Noodle RAT</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163541"><strong style="font-size: 22px;">VMware修補vCenter Server的遠端執行漏洞</strong></a></p> <p>6月18日VMware修補了位於vCenter Server的3個安全漏洞，其中的CVE-2024-37079與CVE-2024-37080屬於重大層級的記憶體緩衝區堆疊溢位漏洞，可導致遠端程式攻擊，CVSS風險評分高達9.8，另一個CVE-2024-37081則是本地端權限擴充漏洞，CVSS風險評分為7.8。</p> <p>上述兩個重大層級漏洞，起因是該公司在實作DCERPC通訊協定出錯，攻擊者一旦能夠發送特製網路封包觸發漏洞，就有機會存取vCenter Server，並導致遠端程式碼執行。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163542"><strong style="font-size: 22px;">Google宣布啟動臺灣資安人才培育計畫，目標在明年底培育2千名人才</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/LIN_8767.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LIN_8767.jpg" style="width: 300px; float: right;" /></a>6月17日Google宣布，為了增加臺灣的資安實力，他們啟動「Google臺灣資安人才培育計畫」，這項計畫將與數位發展部、資訊工業策進會（資策會）、臺北科技大學（北科大）合作，免費提供Google資安專業證書（Google Cybersecurity Certificates）訓練課程，加速培養更多資安專家。</p> <p>他們目前提供資策會及北科大各500個免費帳號，目標是在明年底培養2千名資安人才。而這是在去年該公司透過旗下基金會Google.org捐款100萬美元贊助資安院「NICS臺灣資安計畫」後，對於提升臺灣資安實力的最新行動。</p> <p>這些課程由該公司資安專家設計、授課，內容涵蓋風險識別、網路與設備保護、資安事件應對、資安分析師必備的Linux、SQL、Python 工具操作，以及職場溝通技巧等八大主題，總時數為181個小時，包含影片、閱讀、考試，以及實務演練。</p> <p><a href="https://www.ithome.com.tw/news/162856"><strong style="font-size: 22px;">全球最大ZDI零日漏洞懸賞計畫負責人剖析垂直產業漏洞管理四類型，更提出GenAI對未來漏洞揭露的影響</strong></a></p> <p>2023漏洞事件層出不窮，從Progress旗下的MFT檔案共享系統、NetScaler網路設備、HTTP/2通訊協定漏洞、到解壓縮軟體常用的WinRAR工具漏洞，影響更遍及各行各業，導致這些企業內部的機敏資料外洩。在2024 CYBERSEC臺灣資安大會首日主題演講中，趨勢科技威脅研究副總Brian Gorenc剖析各產業軟體漏洞生命周期各階段的挑戰，以及應對策略。</p> <p>這兩年生成式AI快速竄紅，Brian Gorenc相信生成式AI將會對現有的漏洞發現和揭露過程產生影響，例如，駭客可能利用生成式AI或LLM來加快新漏洞的建立，未來也可能影響漏洞揭露的流程。</p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163109"><strong style="font-size: 22px;">產業創新條例的修訂，推動「資安產業化」以及「產業資安化」是主要目標</strong></a></p> <p>臺灣資安政策的演進，在過去十年成為引人注目的焦點。隨著蔡英文總統的兩個任期──八年的執政，臺灣的資安政策走上更加積極的道路，尤其是她在任內制定「資安即國安」的國家戰略方針，不僅對臺灣的資安環境帶來重大的影響，也在全球資安治理引起了高度且廣泛的注意。</p> <p>數位發展部數位產業署署長呂正華表示，「資安產業化」和「產業資安化」一直是政府在推動資安發展時重要的工作項目，並列為重要的政策目標。呂正華認為，這意味著政府不僅僅關注於提升資安產業的競爭力，同時也重視於提升整個產業鏈的資安水準。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163529"><strong>【6月18日】未補漏洞且暴露在外網的舊款F5 BIG-IP設備成駭客入侵企業內部環境的破口，中國駭客潛入竊密長達3年</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163501"><strong>【6月17日】日本影音共享平臺Niconico、角川書店傳出服務中斷近一週，起因是資料中心遭勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163458"><strong>【6月14日】勒索軟體駭客組織Black Basta在微軟提供漏洞修補3個月前，利用掌握到的資安弱點打造攻擊工具</strong></a></p> </div></div></div>
2024/6/19 17:54作者周峻佑https://www.ithome.com.tw/news/163551
曾介紹群暉產品的臉書粉絲專頁被駭客盯上，歹徒冒用該公司名義發出侵害智財權的釣魚信
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週臺灣NAS設備供應商群暉科技（Synology）提出警告，<a href="https://www.synology.com/zh-tw/company/news/article/TW_phishing_incident/Synology® 呼籲使用者提高警覺，防範網路詐騙及釣魚郵件">他們在6月12日得知，有人冒用他們的名義寄送釣魚郵件</a>，並以聳動的主旨和內容，意圖誘騙收件人開啟附件，或是點選惡意連結，一旦收件人照做，就有可能遭到對方勒索，或是遭到進一步攻擊。</p> <p>對此，他們呼籲用戶提高警覺，表明該公司只會透過@synology.com、@synologynotification.com兩個網域的電子郵件聯繫使用者，面對來源可疑的郵件，不要點擊連結，或是回信透露自己的個資，並透過他們的正式管道進行確認。</p> <p>針對該公司提出的警告，我們也進一步向群暉確認。該公司表示，駭客鎖定臉書粉絲專頁的管理員，佯稱是群暉的法律代表，透過Gmail向專頁的公開聯絡信箱寄送釣魚信，信件主旨是「關於知識產權侵權的緊急通知」，聲稱粉絲專頁非法使用群暉的圖片、「視頻」，收信人必須下載附件進行後續處理，否則將面臨嚴重後果。</p> <p>但實際上，若是收信人照做，他們將有可能啟動附件內含的惡意軟體，導致電腦遭到感染。</p> <p>該公司表示，這些受害者有幾項共通點，除了他們都是臉書粉絲專頁的管理員，這些專頁也曾發布與群暉有關的資訊，而成為對方鎖定的目標。該公司進一步調查指出，駭客鎖定的電子郵件信箱皆未註冊他們旗下的服務，初步排除資料外洩的可能性。</p> <p>而對於受害規模，群暉表示，他們約從12日上午9時開始，接獲用戶撥打電話或是透過客戶服務支援表單，查證是否有寄發標題為智慧財產權侵權通知之郵件。當日接獲約70通電話，以及10則確認的表單。</p> <p>雖然群暉並未透露駭客的身分，但由於攻擊者在信件裡使用了中國用語，發起這次攻擊的駭客很有可能來自中國。</p> </div></div></div>
2024/6/19 11:39作者周峻佑https://www.ithome.com.tw/news/163537
Google宣布啟動臺灣資安人才培育計畫，目標在明年底培育2千名人才
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月17日Google宣布，為了增加臺灣的資安實力，他們啟動「<a href="https://taiwan.googleblog.com/2024/06/gcc-launch-in-taiwan.html">Google臺灣資安人才培育計畫</a>」，這項計畫將與數位發展部、資訊工業策進會（資策會）、臺北科技大學（北科大）合作，免費提供Google資安專業證書（Google Cybersecurity Certificates）訓練課程，加速培養更多資安專家。</p> <p>他們目前提供資策會及北科大各500個免費帳號，目標是在明年底培養2千名資安人才。而這是在去年<a href="https://www.ithome.com.tw/news/160192">該公司透過旗下基金會Google.org捐款100萬美元贊助資安院「NICS臺灣資安計畫」</a>後，對於提升臺灣資安實力的最新行動。</p> <p>這些課程由該公司資安專家設計、授課，內容涵蓋風險識別、網路與設備保護、資安事件應對、資安分析師必備的Linux、SQL、Python 工具操作，以及職場溝通技巧等八大主題，總時數為181個小時，包含影片、閱讀、考試，以及實務演練。</p> <p>該公司強調，這些課程的進度能夠彈性安排，即使是就業人士也能參與，約需4至6個月可完成。特別的是，訓練內容不光針對資安技能，也對於職涯準備、職場溝通進行指導，並能讓學員取得實務操作經驗。</p> <p>而針對這項資安認證的有效性，Google指出，美國超過150家企業願意聘用取得Google專業證書（Google Career Certificates）的人士，亞太地區有12.5萬人取得證照，超過八成在職涯上有所幫助，例如：得到新工作、升遷、加薪。</p> <p>值得留意的是，資策會和北科大提供報名的條件有所不同。</p> <p>資策會主要針對<a href="https://ievents.iii.org.tw/EventS.aspx?t=0&id=2504">打算從事資安相關工作的人士提供課程</a>，強調學員不需具備相關知識及經驗，但由於全程以英文授課，他們建議學員要有一定的英文聽讀能力再來報名；北科大則是針對<a href="https://docs.google.com/forms/d/1eNAGoCYPMBCc5tAa687hOZvqklzm4oh-nH--Ok1CcPo/viewform?edit_requested=true">各大專院校的在學學生提供課程</a>，並要求具備多益550分以上的英文能力。</p> </div></div></div>
2024/6/19 13:04作者周峻佑https://www.ithome.com.tw/news/163542
研究人員揭露針對機器學習模型而來的攻擊手法Sleepy Pickle
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Trail of Bits揭露<a href="https://blog.trailofbits.com/2024/06/11/exploiting-ml-models-with-pickle-file-attacks-part-1/">針對機器學習（ML）模型的攻擊手法Sleepy Pickle</a>，這項手法針對廣泛使用的檔案格式Pickle而來，攻擊者可用來破壞模型本身，從而對使用該模型的終端用戶下手。</p> <p>研究人員指出，Pickle這種檔案格式本身就存在嚴重的資安風險，因為攻擊者能輕易將字元碼（Bytecode）植入無害的Pickle檔案。再者，網路上就出現像是Fickling這種工具，讓駭客只要透過單一命令建立惡意Pickle檔案，甚至還能產生API對特定目標發動進階攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Sleepy-Pickle_1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sleepy-Pickle_1.png" style="width: 580px;" /></a></p> <p>一旦這種惡意Pickle檔案載入後，攻擊者就有機會進行中間人攻擊（MitM）、供應鏈攻擊、網路釣魚、利用系統特定的弱點。</p> <p>一般而言，攻擊者要直接利用Pickle檔案格式的漏洞造成損害並不容易，但研究人員指出，Sleepy Pickle能用於破壞機器學習模型，使得Pickle檔案格式的弱點危害更加顯著。</p> <p>究竟什麼是Sleepy Pickle？研究人員利用前述提及的Fickling，將自訂函數功能（惡意酬載）注入內含序列化機器學習模型的Pickle檔案，接著，他們透過中間人攻擊、供應鏈攻擊、社交工程等手法，將惡意Pickle檔案傳送至受害者的系統，一旦該檔案在受害系統進行反序列化，惡意酬載就會啟動，在模型植入後門、控制輸出的內容，或是在資料回傳給使用者之前進行竄改。</p> <p>研究人員指出，攻擊者可藉由模型參數或是模型程式碼兩種面向，發動Sleepy Pickle攻擊，而且，他們可以藉此維持存取機器學習模型，還能迴避資安團隊的偵測。</p> <p>當駭客的檔案在Python處理程序載入時，機器學習模型就會遭到破壞，而且，不會在磁碟留下痕跡；再者，由於這種手法僅依賴單一Pickle檔案，因此攻擊者無須對系統其他部分進行存取；其次，則是攻擊者透過反序列化過程動態修改模型，使得靜態資安分析系統難以察覺模型的變更。</p> <p>最重要的是，這種攻擊手法具備高度彈性。研究人員舉例，駭客可設計惡意酬載，以Python程式庫掃描底層系統，或是檢查時區、日期，然後在符合特定條件的環境才會啟動。這樣做使得相關攻擊變得難以偵測，而且攻擊者可鎖定特定系統及組織犯案。</p> <p>這種專門鎖定Pickle檔案的手法，Sleepy Pickle並非首例。先前有針對<a href="https://www.ithome.com.tw/news/162150">AI技術與資料共享平臺Hugging Face上傳惡意模型的攻擊手段</a>，但這種手法攻擊者必須提供程式碼給使用者下載、執行，並設法引誘目標下載特定模型，而有可能曝露攻擊意圖，Sleepy Pickle能隱密竄改程式碼，攻擊者甚至可以建立不是機器模型的Pickle檔案來犯案。</p> <p>他們展示了3種型態的Sleepy Pickle攻擊手法，從而讓生成式AI輸出有害內容及散布假訊息、竊取使用者的資料，或是發動網路釣魚攻擊。研究人員指出，雖然攻擊者只需插入惡意連結，但也可以結合更複雜的內容，包含JavaScript程式碼，或是跨網站指令碼（XSS）弱點，從而在回傳使用者的內容注入惡意指令碼。</p> </div></div></div>
2024/6/19 16:25作者周峻佑https://www.ithome.com.tw/news/163545
中國駭客組織發起釣魚簡訊攻擊Smishing Triad規模擴大，鎖定巴基斯坦用戶發送惡意訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年中國駭客組織發起的大規模網釣簡訊攻擊行動Smishing Triad，這些駭客先是針對美國、歐洲下手，後來又將範圍延伸至阿拉伯聯合大公國（UAE），如今他們也針對巴基斯坦發起攻擊行動。</p> <p>資安業者Resecurity提出警告，<a href="https://www.resecurity.com/blog/article/smishing-triad-is-targeting-pakistan-to-defraud-banking-customers-at-scale">他們發現最新一波的Smishing Triad攻擊行動</a>，對方假冒巴基斯坦郵政局的名義，藉由iMessage或是簡訊，向電信業者的用戶發送惡意訊息，目的是竊取民眾的個資與財務資料。</p> <p>對於這起攻擊行動發生的時間，研究人員表示從5月下旬出現，並在6月初達到高峰。針對這波攻擊行動的規模，研究人員指出對方發送的訊息數量，每天介於5萬至10萬則。但究竟對方如何取得大量的用戶名單來發動相關攻擊？研究人員指出，駭客從暗網取得外流的資料庫，並透過自動化工具進行處理。由於該國在今年上半發生多起資料外洩事故，導致大量民眾的個人識別資訊（PII）遭竊，因此駭客想要取得這些資料的難度並不高。</p> <p>這些駭客聲稱，民眾的包裹因地址不正確而無法送達，要求民眾透過簡訊連結提供正確地址，否則將會被退回。</p> <p><a href="https://s4.itho.me/sites/default/files/images/a900a7a910364a6ba3a9a15524e32886.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/a900a7a910364a6ba3a9a15524e32886.jpeg" style="width: 580px;" /></a></p> <p>一旦使用者點選連結，對方就會將他們帶往線上付款網頁，並再度寄送簡訊，要求提供信用卡詳細資料，支付寄送包裹所需的額外費用。值得留意的是，這些駭客特別要求受害者回覆訊息，使得他們能掌握受害者的門號是否有人使用，並藉此調整攻擊策略。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4ef4601adbde0a5ec50e4453a3ac0df5.png" style="width: 580px;" /></p> <p>對此，巴基斯坦電腦網路緊急應變團隊（PKCERT）也發布資安公告，提醒當地民眾提高警覺，並指出駭客除佯稱巴基斯坦郵政局，也冒用快遞業者TCS、Leopard、FedEx的名義行騙。</p> </div></div></div>
2024/6/19 17:30作者周峻佑https://www.ithome.com.tw/news/163550
Pokémon GO遊戲開發公司Niantic釋出可簡單開發AR應用的免費網頁工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發包括Pokémon GO、Pikmin Bloom在內多款知名擴增實境遊戲的遊戲公司Niantic，推出了一款名為<a href="https://nianticlabs.com/news/aweusa24?hl=en">Niantic Studio</a>的免費視覺化編輯器，供開發者使用網頁介面開發擴增實境應用，再加上Niantic同時也更新了可用於掃描現實世界物體和位置的Scaniverse應用以及地圖核心的視覺定位系統（VPS），讓擴增實境應用開發者，能夠以更加無縫的方式，融合虛擬和現實世界。</p> <p>Niantic Studio是一款網頁介面的混合實境開發工具，Niantic指出，Niantic Studio供開發者以高度視覺化的動態介面，建立手機或是頭戴裝置的沉浸式3D與混合實境體驗。使用者透過滑鼠點按即可操作Niantic Studio的每項功能，並且在3D工作區建立工作流程，Niantic Studio整合複雜功能和繪圖特效，諸如物理模擬技術、攝影機、照明、動畫、粒子、音訊和遊戲觸發器等，開發者可以直接在3D空間中調整遊戲資源即時操作場景。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0619-Niantic%20Studio%20(Beta).png" style="width: 600px;" /></p> <p>擁有強大的網頁遊戲引擎是Niantic Studio的一大特色，讓開發者透過如實體、元件和系統等一般常見遊戲模式來建置互動擴增實境體驗、3D網頁遊戲或是任何應用原型。由於Niantic Studio具有即時編輯播放模式，因此開發者也可一邊編輯場景一邊進行即時預覽，系統會自動儲存進度以方便快速迭代。Niantic Studio的跨裝置支援使得開發者只要進行一次建置，即可部署至電腦、行動裝置和頭戴裝置等各種裝置上。</p> <p>Niantic同時也釋出了3D掃描工具Scaniverse的更新，透過加入高斯點雲（Gaussian Splatting）技術，Scaniverse可進行高速裝置體積渲染處理，使得3D掃描更為快速便捷，用戶在物體掃描完成後即可從手機分享，目前該功能已經在iOS和Android平臺推出。Niantic也改進其地圖核心的視覺定位系統（VPS），現在可達公分級精準度，能夠根據玩家用戶行為，持久性地改變數位內容，預計在2024年成長到100萬個地點。</p> </div></div></div>
2024/6/19 15:59作者李建興https://www.ithome.com.tw/news/163544
研究顯示生成式AI導致文案、程式撰寫、繪圖等接案工作減少
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ChatGPT兼具寫作、撰寫程式碼或製圖功能，美、英與德國大學的<a href="https://papers.ssrn.com/sol3/papers.cfm?abstract_id=4602944" target="_blank">聯合研究發現</a>，生成式AI技術如ChatGPT出現後，已讓線上外包工作大量減少，其中又以文案寫作、程式開發、繪圖後製等影響最鉅。</p> <p>哈佛商學院、英國帝國大學商學院（Imperial College Business School）、德國經濟研究院（German Institute for Economic Research）研究人員希望探究生成式AI對接案（freelancer）工作勞力需求的影響。他們從一個線上接案平臺蒐集大量資料，從中分析受生成式AI影響最大的工作職缺類型，以及每種職缺的受影響幅度。</p> <p>研究人員分析了從2021年7月到2023年7月，這個職缺近140萬的接案平臺上的接案職缺變化。其中ChatGPT以測試版上線的2022年11月為觀察的重點時間。</p> <p>研究人員將接案工作以網路叢集演算法根據職務描述加以分類，結果分成勞力密集類如資料輸入、影片服務和音訊服務；容易自動化類如撰寫（文案、研究撰寫、代寫、部落格小編）、工程（如電子工程、電路設計、C語言開發）、軟體/App/網頁開發；以及圖像生成類如繪圖、後製及3D建模。</p> <p>根據分析，在ChatGPT推出8個月後（2023年7月），容易自動化的工作類型職缺衰退量達21%，比勞力密集類還大。他們認為，這顯示重覆性高（如文案、撰寫）和編程與自動化（如工程、和軟體/App/網頁開發）的工作需求量已大減。其中撰寫跌了30.37%、其次是軟體/App/網頁開發（20.62%）、工程（10.42%）。</p> <p>其次，圖片生成AI技術如Midjourney、Stable Diffusion、DALL-E等也衝擊了圖片繪製的勞力市場。其中圖像設計及3D建模分別減少18.49%及15.57%，平均減少17%。</p> <p>研究人員並加入Google搜尋量索引（Google Search Volume Index，SVI）來對照接案工作職務的增減。他們認為SVI的增加反映職缺的減少。研究分析，在ChatGPT出現後，寫作、工程、軟體/App/網頁開發的SVI增加超過其他工作。根據SVI的標準差增幅，研究人員評估，這段時間張貼的職缺數少了8.01%。</p> <p>AI對工作者衝擊的討論已經很多。高盛（Goldman Sachs）估計全球有3億工作會受AI威脅而消失。<a href="https://www.businessinsider.com/chatgpt-jobs-at-risk-replacement-artificial-intelligence-ai-labor-trends-2023-02#customer-service-agents-10" target="_blank">Business Insider</a>引述專家意見指出，程式撰寫、媒體工作、法務助理、教師、市場研究、會計、教師、客服、金融交易員等無一不會被AI取代。</p> </div></div></div>
2024/6/19 14:46作者林妍溱https://www.ithome.com.tw/news/163543
HPE發表整合Nvidia技術的Private Cloud AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Hewlett Packard Enterprise（HPE）與Nvidia周二（6/18）<a href="https://www.hpe.com/us/en/newsroom/press-release/2024/06/hewlett-packard-enterprise-and-nvidia-announce-nvidia-ai-computing-by-hpe-to-accelerate-generative-ai-industrial-revolution.html" target="_blank">共同發表了Nvidia AI Computing by HPE</a>，其中的關鍵產品為HPE的Private Cloud AI，可望加速大型企業採用生成式AI。</p> <p>HPE Private Cloud AI整合了Nvidia的AI運算、網路及軟體解決方案，以及HPE的儲存、運算及HPE GreenLake雲端服務，它具備4種不同尺寸的配置以支援各種不同的AI任務與使用案例，並讓企業得以持續開發及部署生成式AI應用。Nvidia創辦人暨黃仁勳表示，這是雙方首次如此深度合作，整合了Nvidia的整個AI運算堆疊與HPE的私有雲技術。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0619-%20HPE%20Private%20Cloud%20AI_part%20of%20the%20NVIDIA%20AI%20Computing%20by%20HPE%20portfolio.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／HPE</span></span></p> <p>Nvidia AI Computing by HPE的服務不僅涉及Nvidia與HPE，也牽涉到銷售團隊、經銷合作夥伴、培訓服務與全球的系統整合商，涵蓋Deloitte、HCLTech、Infosys、TCS與Wipro等，以協助不同領域的企業執行複雜的AI任務。</p> <p>HPE總裁暨執行長Antonio Neri指出，生成式AI對於企業轉型具有龐大潛力，但碎片化AI技術的複雜度含有太多的風險與障礙，將會阻礙大型企業的採用，也可能危及企業最寶貴的私有化資料。為了釋放生成式AI於大型企業中的潛力，HPE與Nvidia共同開發了一個AI專用的私有雲，可讓大型企業專注於發展私有雲的應用，提高生產力並解鎖新的營收來源。</p> <p>HPE Private Cloud AI將可使用企業的私有資料來執行推論、微調與檢索增強生成（RAG）AI的工作任務；並提供資料隱私、安全、透明度及治理的企業控制能力；還可利用ITOps and AIOps的雲端體驗來提高生產力，預計於今年秋天正式推出，同時還會有搭配Nvidia晶片的各種伺服器隨之問世。</p> </div></div></div>
2024/6/19 12:30作者陳曉莉https://www.ithome.com.tw/news/163540
VMware修補vCenter Server的遠端執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>VMware<a href="https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24453" target="_blank">周二（6/18）修補</a>了位於vCenter Server的3個安全漏洞，其中的CVE-2024-37079與CVE-2024-37080屬於堆積溢位漏洞，可導致遠端程式攻擊，其CVSS風險評分高達9.8，另一個CVE-2024-37081則是本地端權限擴充漏洞，CVSS風險評分為7.8。</p> <p>vCenter Server為VMware所開發的虛擬化管理軟體，相關漏洞影響採用該軟體的VMware vSphere與VMware Cloud Foundation。根據VMware的說明，vCenter Server在實現分散式運算環境/遠端呼叫系統（DCE/RPC）協定時，出現了多個堆積溢位漏洞，將允許可藉由網路存取vCenter Server的駭客傳送特製封包來觸發漏洞，進而導致遠端程式攻擊。</p> <p>至於CVE-2024-37081則含有多個本地端權限擴張漏洞，源自於sudo的配置錯誤，將允許僅具備一般權限的本地端用戶取得最高權限。</p> <p>目前尚未發現上述漏洞遭到濫用，VMware督促用戶應儘快修補。</p> </div></div></div>
2024/6/19 12:48作者陳曉莉https://www.ithome.com.tw/news/163541
Meta Threads API向所有開發人員公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一如今年初<a href="https://developers.facebook.com/blog/post/2024/04/08/the-threads-api-is-coming-soon/" target="_blank">承諾</a>，Meta本周二（6/18）宣布將社群平臺<a href="https://developers.facebook.com/blog/post/2024/06/18/the-threads-api-is-finally-here/" target="_blank">Threads API</a>公開給所有開發人員，允許開發整合Threads的第三方應用程式。</p> <p>Meta今年三月著手和數家網站開發商如Hootsuite、Sprinklr、Sprout Social、Social News Desk和Techmeme合作測試Threads API，本周在法國坎城金獅國際創意節活動中宣布該API向所有開發人員開放。</p> <p>利用Threads API，開發人員及創作者、品牌商得以整合自有App和Threads，大規模管理Threads上的活動，並和其受眾分享訊息。使用者可以透過API，從App發布訊息到Threads、取得平臺上的內容，或使用Threads的回應管理功能設定回應或引述的控制、擷取回應內容整合進貼文、隱藏／取消隱藏或回應特定回應。</p> <p>為提高開發商管理能力，Meta也允許他們檢視相關數據，像是貼文、按讚、讀取、回應、重貼、及引述數量，及追蹤者／粉絲的帳號等級、人數與追蹤者的人口學（如年齡、性別等）統計。</p> <p>Meta並提供開發人員整合Threads的<a href="https://developers.facebook.com/micro_site/url/?click_creative_path[0]=link&ums_creative[…]threadsapi_%2Fdocs%2Fthreads_link%26device_type%3Ddesktop" target="_blank">自助文件</a>。針對沒有Threads應用場景開發經驗的用戶，Meta<a href="https://developers.facebook.com/docs/development/create-an-app/threads-use-case" target="_blank">提供了開發說明</a>，此外也展示了Threads API範例App，幫助開發商了解API與問題排除方法。</p> <p>從2023年秋天推出後，Threads仍定期推出新功能。根據Meta執行長祖克柏（Mark Zuckerberg）<a href="https://techcrunch.com/2024/04/24/mark-zuckerberg-says-threads-has-150-million-monthly-active-users/" target="_blank">在今年第一季財報會議上指出</a>，Threads每月經常用戶約為1.5億人。<a href="https://www.threads.net/@zuck" target="_blank">他在昨日貼文中說</a>還會再擴大提供更多人使用Threads API。</p> </div></div></div>
2024/6/19 12:03作者林妍溱https://www.ithome.com.tw/news/163538
AMD產品資料、公司文件流入暗網兜售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>晶片大廠AMD的產品研發、客戶資料及員工資訊等機密資料疑似外洩，本周遭人在駭客論壇公然兜售。</p> <p><a href="https://x.com/DarkWebInformer/status/1802826266355040588" target="_blank">一名研究人員發現</a>代號IntelBroker的人士在BreachForums張貼出售疑似6月竊自AMD公司系統的檔案資訊。這名人士要求以XMR交易。</p> <p>這批資料包括AMD未來產品、產品規格表、員工資料庫、客戶資料庫、智財檔案、程式碼、韌體和財務資料。外洩的員工資訊包含用戶ID、姓、名、工作內容、公司電話、郵件信箱等。IntelBroker也貼出部分檔案的螢幕擷圖作為佐證。</p> <p>AMD對英國媒體The Register表示已經報警，將與執法單位及第三方資安業者合作調查此事。AMD外洩的資料有多少不得而知，目前也沒有組織宣稱犯案。</p> <p>BreachForums是駭客圈中頗知名的論壇，經常用於出售和交易竊來的資料。The Register報導，IntelBroker是BreachForums的版主，也十分張狂。上個月歐洲刑警組織（Europol）、英國家具裝修零售業者Home Depot、五角大厦接連遭駭外洩資料，全部都在IntelBroker上出售受害組織資訊。</p> <p>AMD競爭者英特爾曾在2020年<a href="https://www.ithome.com.tw/news/139258" target="_blank">遭駭</a>，外洩其晶片、韌體、開發工具及程式碼等機密資訊20GB。此外，Nvidia也在2022年被高調的駭客組織Lapsus$<a href="https://www.ithome.com.tw/news/139258" target="_blank">駭入</a>偷走多達1 TB的機密資料。</p> </div></div></div>
2024/6/19 12:11作者林妍溱https://www.ithome.com.tw/news/163539
Nvidia超越微軟成為全球最有價值的企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甫於6月初<a href="https://www.ithome.com.tw/news/163327" target="_blank">超越</a>蘋果市值的Nvidia，本周二（6/18）再超越了微軟，首度成為全球最有價值的上市公司。</p> <p>股票分割之後的Nvidia周二股價上漲了3.51%美元，以135.58美元作收，市值達到3.335兆美元，同一天微軟股價下滑了0.45%，收在446.34美元，市值為3.317兆美元。</p> <p>目前全球只有3家市值達到3兆美元的企業，除了Nvidia與微軟之外，蘋果在WWDC開發者大會揭露其AI服務<a href="https://www.ithome.com.tw/news/163387" target="_blank">Apple Intelligence</a>之後，股價亦持續走高，周二蘋果股價略為下滑1.1%，以241.29美元作收，市值為3.286兆美元。</p> <p>不過，竄起最快的還是Nvidia。Nvidia在全球資料中心的AI晶片市場占有率超過8成，不管是OpenAI、微軟、Alphabet、Amazon或Meta都是Nvidia的客戶，該公司今年以來的股價已飆漲超過170%。</p> </div></div></div>
2024/6/19 11:06作者陳曉莉https://www.ithome.com.tw/news/163536
【資安日報】6月18日，未補漏洞且暴露在外網的舊款F5 BIG-IP設備成駭客入侵企業內部環境的破口，中國駭客潛入竊密…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業部署但最終並未正式採用、而遺留在網路環境的IT系統，很有可能會遭到攻擊者濫用。</p> <p>最近資安業者Sygnia揭露的一起事故，就是這樣的例子，駭客維持於受害企業活動的管道，就是該公司曾打算建置的災難復原系統當中，所使用的F5 BIG-IP設備。而這些設備不僅直接曝露在網際網路上，還執行存在弱點的作業系統，而讓對方有利用的機會。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163512"><strong style="font-size: 22px;">未補漏洞且暴露在外網的舊款F5 BIG-IP設備遭中國駭客Velvet Ant攻破，潛入受害組織內部長達3年，暗中竊取敏感客戶資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/VelvetAnt-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/VelvetAnt-12.jpg" style="width: 300px; float: right;" /></a>資安業者Sygnia指出，他們去年底針對一起鎖定大型組織的網路攻擊行動進行調查，結果發現，中國駭客組織Velvet Ant已於該企業從事間諜活動長達3年，值得留意的是，其中一種維持存取內部網路環境的管道，竟是藉由曝露在網際網路上、已棄用的老舊F5 BIG-IP設備，並將其當作C2伺服器濫用。</p> <p>在鑑識人員介入後，他們發現駭客再度散布惡意軟體時，這些PlugX雖然會觸發資安系統的警報，但駭客並未像之前的攻擊行動，透過外部的C2來從事相關攻擊，這樣的作法極不尋常。</p> <p>在受害組織全面採取補救措施的情況下，究竟駭客如何遠端對執行老舊作業系統的Windows檔案伺服器進行控制？鑑識人員進一步監控網路流量發現，PlugX於受害主機建立新的防火牆規則，並監聽特定的網路連接埠，他們看到其中一臺伺服器開放13742埠，並與F5 BIG-IP負載平衡設備進行連線。這些負載平衡設備曾是該企業災難復原計畫的規畫內容，但該專案最後並未採用，這些設備後續就一直留在主要使用的網路環境上，使得駭客有機可乘，將其當作存取內部網路的管道。</p> <p><a href="https://www.ithome.com.tw/news/163528"><strong style="font-size: 22px;">中國駭客組織SecShow在全球進行大規模DNS探測行動</strong></a></p> <p>資安業者Infoblox揭露中國駭客SecShow的攻擊行動，這些駭客自去年6月開始，利用中國政府營運的教育和科研電腦網路（CERNET）的網域名稱伺服器（DNS server），在全球進行大規模DNS探測行為，藉此識別公開的DNS解析器，並試圖收集這些解析器回應的內容。究竟這些駭客的目的為何？研究人員表示尚無法確認，但對方收集到的資料，可用於網路犯罪，並讓攻擊者謀取利益。</p> <p>研究人員指出，這些駭客向世界各地的IPv4、IPv6的IP位址發送DNS查詢，他們在去年7月首度察覺該組織的活動，同年秋季相關的查詢量急速增加。</p> <p><a href="https://www.ithome.com.tw/news/163513"><strong style="font-size: 22px;">駭客製造假應用程式錯誤訊息引誘用戶上當，執行PowerShell指令碼植入惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/chrome-fix-powershell-a11.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chrome-fix-powershell-a11.png" style="width: 300px; float: right;" /></a>資安業者Proofpoint揭露新型態的社交工程攻擊手法，駭客組織ClearFake、TA571聲稱Chrome、Word、OneDrive等應用程式出錯為由，引誘使用者依照指示，複製、貼上並執行PowerShell指令碼，從而導致電腦感染惡意軟體。</p> <p>研究人員從今年3月、4月，以及6月初，看到上述兩組人馬運用相關手法從事攻擊行動，但無法確認這些駭客是否有所關連。</p> <p><a href="https://www.ithome.com.tw/news/163503"><strong style="font-size: 22px;">永信藥品工業遭駭客攻擊，首見公開發行公司發布資安重訊</strong></a></p> <p>業務範圍擴及全球多國的臺灣製藥公司永信藥品工業，昨日傳出遭遇資安事故，上市生技醫療業永信投控在6月17日下午4時32分率先揭露此事，於證交所公開資訊觀測站發布資安重訊，代重要子公司永信藥品工業公告部分資訊系統遭受駭客攻擊，同日傍晚6時，身為公開發行公司的永信藥品工業也發布重訊，公開這起資安事故。</p> <p>他們並表示，目前正對所有網域、網頁及相關檔案做全面徹底的掃描檢測，待確保資訊安全後，會陸續恢復資訊系統運作。而我們在17日早上11時實際連至永信藥品與永信國際投資控股的官方網站，仍是無法存取的情況，可能他們還在進行相關調查，所以網站未開放。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://checkmarx.com/a-new-north-korean-group-emerges-disrupting-the-open-source-ecosystem/"><strong style="font-size: 20px;">北韓駭客Moonstone Sleet散布惡意NPM套件，鎖定開發人員下手</strong></a></p> <p></p> <p>◆<a href="https://asec.ahnlab.com/en/66790/"><strong style="font-size: 20px;">駭客假借提供破解軟體，意圖對韓國用戶散布惡意程式NiceRAT</strong></a></p> <p></p> <p>◆<a href="https://www.welivesecurity.com/en/eset-research/arid-viper-poisons-android-apps-with-aridspy/"><strong style="font-size: 20px;">駭客組織Arid Viper鎖定行動裝置從事網路間諜活動，散布惡意程式AridSpy</strong></a></p> <p>◆<a href="https://www.redpacketsecurity.com/cactus-ransomware-victim-https-www-ctsystem-com/"><strong style="font-size: 20px;">勒索軟體駭客組織Cactus聲稱攻擊光纖網路設備供應商康聯訊</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163509"><strong style="font-size: 22px;">華碩公布路由器重大身分驗證繞過漏洞，7款機型受到影響</strong></a></p> <p></p> <p>華碩7款家用及消費性路由器產品傳出重大驗證繞過漏洞，可讓未經授權的攻擊者遠端登入裝置。華碩及資安專家呼籲，用戶應儘早安裝新版軟體。這項驗證繞過漏洞為CVE-2024-3080，發生在華碩家用及消費性路由器產品的韌體，影響ZenWiFi XT8、ZenWiFi XT8 V2、RT-AX88U、RT-AX58U、RT-AX57、RT-AC86U及RT-AC68U。</p> <p>根據臺灣電腦網路危機處理暨協調中心（TWCERT/CC）的資安公告，此為身分驗證繞過漏洞，而有可能允許未經驗證的攻擊者存取，CVSS風險評分達9.8。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.cisa.gov/news-events/ics-advisories/icsa-24-144-01"><strong style="font-size: 20px;">CISA針對AutomationDirect旗下的可程式化邏輯控制器漏洞提出警告</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163373"><strong style="font-size: 22px;">國內加密貨幣交易所XREX打造威脅引擎，快一步揪出詐騙、洗錢帳戶</strong></a></p> <p>在加密貨幣交易所中，用戶隨時都能進行交易，這樣的特性雖然帶來便利，卻也被詐騙組織用來快速轉移非法資金。除了設置基礎安全機制增加防禦，交易所主要透過KYC和鏈上分析工具，來確認用戶真實性和分析資金流向，抵禦詐欺洗錢犯罪。但是，隨著詐騙和洗錢手法不斷升級，既有工具的功能有限，難以因應趨勢變化，成為交易所偵測詐騙和洗錢行為的一大挑戰。</p> <p>在2024臺灣資安大會上，國內加密貨幣交易所XREX分享自家的風控機制。他們開發了一套威脅引擎，整合了用戶交易前、交易中、和交易後的資訊，並提供風險評估，協助內部團隊更快速針對犯罪行為做出應變。這款威脅引擎包含多個模組，能分析KYC、交易行為等資訊，並進行交易監控與性質分析等。引擎在每個階段蒐集的資訊都會分為多個屬性，並針對各別屬性進行風險評估。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://taiwan.googleblog.com/2024/06/gcc-launch-in-taiwan.html"><strong style="font-size: 20px;">Google宣布啟動臺灣資安人才培育計畫，目標在明年底培育2千名人才</strong></a></p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163108"><strong style="font-size: 22px;">臺灣推動「資安即國安」領先世界各國，將資安拉高到國安層級</strong></a></p> <p>近年來資安成為全球關注焦點，對於臺灣，資安更是不可或缺。過去十年臺灣歷經不同政黨的執政，中研院院士、也曾擔任蔡英文總統第一任總統任期內的國安會諮詢委員李德財表示，「資安即國安」政策在這段時期，得到前瞻性的進步及實質性推動。</p> <p>李德財深信：「資安等於國家安全是大家的共識，不應該有藍綠黨派的差異，這是一件跨黨派要做的事情。」</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163501"><strong>【6月17日】日本影音共享平臺Niconico、角川書店傳出服務中斷近一週，起因是資料中心遭勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163458"><strong>【6月14日】勒索軟體駭客組織Black Basta在微軟提供漏洞修補3個月前，利用掌握到的資安弱點打造攻擊工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163444"><strong>【6月13日】荷蘭針對中國駭客攻擊Fortinet防火牆設備的網路間諜行動進行深度調查，駭客挾持全球逾2萬臺設備</strong></a></p> </div></div></div>
2024/6/18 17:44作者周峻佑https://www.ithome.com.tw/news/163529
中國駭客組織SecShow在全球進行大規模DNS探測行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Infoblox揭露<a href="https://blogs.infoblox.com/threat-intelligence/what-a-show-an-amplified-internet-scale-dns-probing-operation/">中國駭客SecShow的攻擊行動</a>，這些駭客自去年6月開始，利用中國政府營運的教育和科研電腦網路（CERNET）的網域名稱伺服器（DNS server），在全球進行大規模DNS探測行為，藉此識別公開的DNS解析器，並試圖收集這些解析器回應的內容。</p> <p>究竟這些駭客的目的為何？研究人員表示尚無法確認，但對方收集到的資料，可用於網路犯罪，並讓攻擊者謀取利益。</p> <p>研究人員指出，這些駭客向世界各地的IPv4、IPv6的IP位址發送DNS查詢，他們在去年7月首度察覺該組織的活動，同年秋季相關的查詢量急速增加。</p> <p><a href="https://s4.itho.me/sites/default/files/images/what-a-show-an-amplified-internet-scale-dns-probing-operation-figure-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/what-a-show-an-amplified-internet-scale-dns-probing-operation-figure-1.png" style="width: 580px;" /></a></p> <p>今年初Infoblox尋求其他研究人員合作來進一步調查，結果發現，這些駭客將名稱伺服器的組態，設置成從不同的開放解析器進行查詢時，每次都會產生隨機的IP位址，而這樣的組態，竟然影響資安業者Palo Alto Networks旗下的自動化回應解決方案Cortex Xpanse，這套系統放大了（amplifies）DNS查詢活動。</p> <p>為何如此？Infoblox指出這套資安系統將DNS查詢的網域名稱視同URL，並嘗試從網域當中的隨機IP位址進一步搜尋，一旦包含該廠牌的防火牆設備在內的資安系統收到Cortex Xpanse的請求，就會執行URL過濾，而此種過濾工作將會針對網域啟動新的DNS查詢，使得網域名稱伺服器回傳新的IP位址，導致Cortex Xpanse重覆、無限循環地執行相關查詢。</p> <p>Infoblox指出，這樣的情況導致SecShow的攻擊行動被放大，很容易誤導相關研究人員，而他們則是藉由自己的遞歸解析器與其他DNS遞歸解析器比對資料，而得到相關結果。</p> <p>他們在去年7月，看到駭客執行了6個查詢，後續截至12月，有超過230萬個查詢幾乎由Cortex Xpanse觸發。</p> <p><a href="https://s4.itho.me/sites/default/files/images/what-a-show-an-amplified-internet-scale-dns-probing-operation-figure-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/what-a-show-an-amplified-internet-scale-dns-probing-operation-figure-7.png" style="width: 580px;" /></a></p> <p>研究人員指出，在他們之前，已有Dataplane.org及Palo Alto Networks的研究人員察覺SecShow的攻擊行動，而這些駭客約在5月中旬停止相關活動的跡象，但這並非中國駭客首度對全球進行大規模DNS探測的攻擊行動，他們在今年4月揭露另一組<a href="https://blogs.infoblox.com/threat-intelligence/a-cunning-operator-muddling-meerkat-and-chinas-great-firewall/">從事類似攻擊的駭客組織Muddling Meerkat</a>，但不同的是，這些駭客疑似具備控制中國防火長城（Great Firewall）的能力。</p> <p>而對於Infoblox提出的觀察分析，<a href="https://thehackernews.com/2024/06/chinese-actor-secshow-conducts-massive.html">Palo Alto Networks也向資安新聞網站Hacker News表示</a>，Cortex Xpanse能排除特定網域，一旦識別新的C2後，就不再對其進行掃描。他們強調，為了判斷惡意網域，出現DNS解析活動稍微增加的情況，這套資安系統依照預期正常運作，他們的客戶並未受到影響。</p> </div></div></div>
2024/6/18 17:37作者周峻佑https://www.ithome.com.tw/news/163528
未補漏洞且暴露在外網的舊款F5 BIG-IP設備遭中國駭客Velvet Ant攻破，潛入受害組織內部長達3年，暗中竊取…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Sygnia指出，他們去年底針對一起鎖定大型組織的網路攻擊行動進行調查，結果發現，<a href="https://www.sygnia.co/blog/china-nexus-threat-group-velvet-ant/">中國駭客組織Velvet Ant已於該企業從事間諜活動長達3年</a>，值得留意的是，其中一種維持存取內部網路環境的管道，竟是藉由曝露在網際網路上、已棄用的老舊F5 BIG-IP設備，並將其當作C2伺服器濫用。</p> <p>鑑識人員指出，他們先是找到駭客部署的惡意軟體PlugX，以及作案用的各式工具，並與受害企業合作，鎖定對方使用的策略、技術、流程（TTP）進行復原工作，以及補強對於相關威脅的能見度。</p> <p>值得一提的是，鑑識人員發現，這些駭客相當擅長挾持正在執行的處理程序，因為，他們廣泛運用DLL尋序搜尋挾持、DLL側載，以及幻影DLL載入（Phantom DLL Loading）手法。</p> <p>在鑑識人員與受害企業執行復原工作之後，對方將目標轉移到已終止支援（EOL）的作業系統環境，鎖定執行Windows Server 2003的檔案伺服器下手，這些伺服器並未部署EDR解決方案，而且，事件記錄的功能受到限制。駭客再度部署相關作案工具，並於受害組織暫停運作數個月，然後橫向移動到其他的Windows工作站，企圖停用EDR端點防護的代理程式，但未能成功。</p> <p>但就在鑑識人員介入後，他們發現駭客再度散布惡意軟體時，這些PlugX雖然會觸發資安系統的警報，但駭客並未像之前的攻擊行動，透過外部的C2來從事相關攻擊，這樣的作法極不尋常。</p> <p>在受害組織全面採取補救措施的情況下，究竟駭客如何遠端對執行老舊作業系統的Windows檔案伺服器進行控制？鑑識人員進一步監控網路流量發現，PlugX於受害主機建立新的防火牆規則，並監聽特定的網路連接埠，他們看到其中一臺伺服器開放13742埠，並與F5 BIG-IP負載平衡設備進行連線。</p> <p>值得留意的是，這臺負載平衡設備曾是該企業災難復原計畫的規畫內容，但該專案最後並未採用，這臺設備後續就一直留在主要使用的網路環境上，使得駭客有機可乘，將其當作存取內部網路的管道。</p> <p>鑑識人員確認該組織總共有2臺上述專案部署的F5 BIG-IP負載平衡設備，這些設備具備防火牆、WAF、負載平衡、內部流量管理的功能，而且，它們都曝露在網際網路上，並執行存在弱點的作業系統。究竟駭客利用那些弱點？他們表示可能是透過其中一個漏洞來進行，但無法準確識別其手法。</p> <p>而對於駭客如何遠端進行控制受害電腦，資安業者Sygnia也進一步說明，對方於負載平衡設備部署的惡意程式，將每隔一個小時從外部的C2伺服器，拉取攻擊者下達的命令，C2伺服器建立反向SSH隧道並發送相關內容至負載平衡設備，一旦隧道連線開通，駭客就可以控制已感染PlugX的檔案伺服器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/VelvetAnt-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/VelvetAnt-12.jpg" style="width: 580px;" /></a></p> <p>而這臺檔案伺服器又被當作另一個C2中繼站，駭客再利用滲透測試工具Impacket，針對其他老舊伺服器執行WmiExec，從而感染PlugX。換言之，根據Sygnia揭露的手法，駭客使用了3種C2伺服器來達成目的，也就是在外部伺服器之外，還濫用了F5 BIG-IP裝置，以及內部檔案伺服器來傳送攻擊命令。</p> </div></div></div>
2024/6/18 14:47作者周峻佑https://www.ithome.com.tw/news/163512
駭客製造假應用程式錯誤訊息引誘用戶上當，執行PowerShell指令碼植入惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Proofpoint揭露<a href="https://www.proofpoint.com/us/blog/threat-insight/clipboard-compromise-powershell-self-pwn">新型態的社交工程攻擊手法</a>，駭客組織ClearFake、TA571聲稱Chrome、Word、OneDrive等應用程式出錯為由，引誘使用者依照指示，複製、貼上並執行PowerShell指令碼，從而導致電腦感染惡意軟體。</p> <p>研究人員從今年3月、4月，以及6月初，看到上述兩組人馬運用相關手法從事攻擊行動，但無法確認這些駭客是否有所關連。</p> <h3><span style="color:#0000FF;"><strong>專門謊稱用戶瀏覽器必須更新的駭客改變手法，要求用戶依照指示解決網頁載入錯誤的問題</strong></span></h3> <p>其中，專門以瀏覽器更新為幌子發動攻擊的駭客組織ClearFake，他們主要鎖定的目標是特定網站用戶，駭客先是攻擊網站植入惡意內容，一旦使用者瀏覽這些網站，電腦就有可能載入來自幣安智能鏈（Binance Smart Chain，BSC）的惡意指令碼，而該指令碼又會從另一個網域載入第2個指令碼，其功能是藉由名為Keitaro的流量引導系統（TDS）過濾目標用戶。</p> <p>研究人員指出，上述駭客利用區塊鏈隱匿作案工具的手法，他們稱為EtherHiding。</p> <p>若是目標使用者仍持續瀏覽受害網站，他們就會看到駭客設置的「錯誤訊息」，宣稱用戶必須依照指示安裝根憑證，才能正常瀏覽網站。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/chrome-fix-powershell-a11.png" style="width: 580px;" /></p> <p>這個彈出式對話框列出了詳細的操作步驟，首先他們要求使用者按下複製程式碼的按鈕，然後開啟PowerShell，並在主控臺視窗點選滑鼠右鍵，然後等待指令碼執行完成再重新載入網頁。</p> <p>然而使用者一旦照做，就會在PowerShell命令列視窗貼上攻擊者的指令碼並執行。他們看到對方清除DNS快取、移除剪貼簿的內容，顯示誘騙訊息，並從遠端取得另一個PowerShell指令碼，在記憶體內執行，而這個指令碼的功能，會確認受害電腦是否是資安人員的測試環境，其方法是檢查電腦是否回傳系統溫度。</p> <p>若是通過上述檢查，駭客就會利用經過AES編碼的指令碼部署惡意程式，他們藉由惡意程式載入工具IDAT Loader（也叫做HijackLoader、DOILoader），於受害電腦載入竊資軟體Lumma Stealer，之後，還會再部署挖礦軟體、剪貼簿挾持程式，以及另一個惡意程式載入工具Amadey Loader，企圖植入更多惡意軟體。</p> <h3><span style="color:#0000FF;"><strong>也有佯稱Word、OneDrive等應用程式出錯的攻擊手法</strong></span></h3> <p>另一個駭客組織TA571使用的手法略有不同，他們先是寄送帶有HTML附件的電子郵件，一旦收信者開啟附件，電腦就會顯示看起來像是Word操作介面的網頁，並顯示錯誤訊息，宣稱使用者未在瀏覽器安裝Word Online延伸套件，若要離線檢視文件，必須依照指示操作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2024-06-13 at 2_04_44 PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202024-06-13%20at%202_04_44%20PM.png" style="width: 580px;" /></a></p> <p>在上述頁面中，對方提供了修復方法（How to fix）、自動修復（Auto-fix）等選項。假如收信人點選修復方法的按鍵，就會將PowerShell指令碼複製到剪貼簿，此時，上述網頁內容就會變換成要求開啟PowerShell，並右鍵點選終端機視窗的指示，對方將會傳送MSI安裝檔或是VBS指令碼，從而於受害電腦部署惡意軟體Matanbuchus、DarkGate。</p> <p>若是使用者按下了自動修復的按鈕，電腦就會啟動搜尋通訊協定（search-ms），在檔案總管顯示含有前述MSI檔及VBS檔案的WebDAV資料夾。</p> <p>除了聲稱Word錯誤，研究人員也看到駭客聲稱OneDrive執行錯誤的情況，對方製作類似OneDrive操作介面的網頁，一旦使用者開啟就會出現錯誤訊息，要求依照指示操作，手動更新DNS的快取內容。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2024-06-13 at 2_05_36 PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202024-06-13%20at%202_05_36%20PM.png" style="width: 580px;" /></a></p> <p>研究人員指出，雖然這種攻擊手法過程中需要使用者大量互動，但對方藉由應用程式的錯誤訊息，並提供了「解決方案」，使得用戶很可能降低警覺，依照畫面上的指示解決問題，而落入駭客的圈套。對此，研究人員呼籲企業組織，應在資安意識的訓練中，教育使用者識別這種攻擊手法。</p> </div></div></div>
2024/6/18 16:12作者周峻佑https://www.ithome.com.tw/news/163513
提供9櫃、256顆GPU配置，美超微推出大型AI伺服器叢集系統
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/supermicro_srs-mgx256-su-001_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023年上半，Nvidia積極主推融合式GPU產品GH200 Grace Hopper Superchip，到了5月舉行的台北國際電腦展期間，他們號召雲達（QCT）、美超微（Supermicro）、技嘉（Gigabyte）這三家廠商，向全球展出首批搭配這款運算平臺的伺服器，後續我們也報導雲達發展的<a href="https://www.ithome.com.tw/review/158452">2U機型QuantaGrid S74G-2U</a>，以及Supermicro的<a href="https://www.ithome.com.tw/review/159531">1U機型ARS-111GL-DNHR-LCC</a>。</p> <p>今年3月GTC大會期間，美超微針對巨量大型語言模型（LLM）運算環境的設置，推出多座機櫃組成的基礎組建模塊（foundational building blocks）解決方案，名為AI SuperCluster系列，其中就有搭配GH200 Grace Hopper Superchip的組合。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Supermicro SuperCluster.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20SuperCluster.jpg" style="width: 600px;" /></a></p> <p>此系列伺服器系統目前提供3款產品選擇，均利用5座或9座48U尺寸機櫃的部署規模，總共供應256顆Hopper架構資料中心GPU，當中的兩款解決方案，均是搭配32臺採用Nvidia HGX H100或H200 8-GPU的伺服器系統，分別為5櫃型態、導入液態冷卻技術的SRS-48UGPU-AI-LCSU，以及9櫃型態、導入空氣冷卻技術的SRS-48UGPU-AI-ACSU，</p> <p><a href="https://s4.itho.me/sites/default/files/images/SRS-48UGPU-AI-LCSU.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SRS-48UGPU-AI-LCSU.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/SRS-48UGPU-AI-ACSU.jpg" style="width: 298px;" /></p> <p>而剩下的一款同樣為9櫃型態、導入空氣冷卻技術的SRS-MGX256-SU-001，卻是搭配256臺採用單顆GH200 Grace Hopper Superchip的1U伺服器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SRS-MGX256-SU-001.jpg" style="width: 600px;" /></p> <p>就機櫃組成方式而言，SRS-MGX256-SU-001包含8座運算機櫃與1座交換器機櫃。以單座運算機櫃的角度來看，在伺服器方面，這裡可搭載32臺1U尺寸的ARS-111GL-NHR，等於能提供32顆GH200 Grace Hopper Superchip，記憶體組態為15 TB容量的LPDDR5X（32 x 480 GB），以及3TB或4.5TB容量的HBM3（32 x 96 GB或32 x 144 GB）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ARS-111GL-NHR Spec.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ARS-111GL-NHR%20Spec.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SRS-MGX256-SU-001 Compute Rack.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SRS-MGX256-SU-001%20Compute%20Rack.jpg" style="width: 198px; height: 223px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/SRS-MGX256-SU-001(1).jpg" style="width: 198px;" /></p> <p>而在交換器的部分，以運算交織網路（Compute Farbric）來看，SRS-MGX256-SU-001總共可搭配12臺64埠400Gb InfiniBand交換器，機型名稱為SSE-MQM9700-NS2F（Nvidia QM9700），當中4臺用於設置網路的骨幹（Compute Farbric Spine），其餘8臺用於設置網路的枝葉（Compute Farbric Leaf）；</p> <p><a href="https://s4.itho.me/sites/default/files/images/SRS-MGX256-SU-001 Network Fabrics.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SRS-MGX256-SU-001%20Network%20Fabrics.jpg" style="width: 600px;" /></a></p> <p>以網路管理機制的差異來看，負責提供頻外管理（Out-of-band）的設備，是8臺放置在機櫃頂端的48埠GbE乙太網路交換器，機型名稱為SSE-G3748R-SMIS，負責提供頻內管理（in-band）的設備，是4臺64埠100GbE乙太網路交換器，機型名稱為SE-MSN4600（Nvidia SN4600）。</p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong>Supermicro SRS-MGX256-SU-001</strong><br /> ●原廠：Supermicro<br /> ●建議售價：廠商未提供<br /> ●建置規模：9座48U尺寸機櫃，含8座運算機櫃搭配1座交換器機櫃，總共256臺運算節點<br /> ●單座運算機櫃配置：32臺1U尺寸Grace Hopper Superchip單路伺服器ARS-111GL-NHR，搭配1臺400Gb Infiniband交換器MQM9700-NS2F、1臺置頂1Gb乙太網路（頻外管理）交換器SSE-G3748R-SMIS、1臺（頻內管理）100GbE交換器SSE-MSN4600-CS2FC<br /> ●單座交換器機櫃配置：4臺400Gb Infiniband交換器MQM9700-NS2F<br /> ●單臺運算節點配置：單張Nvidia Grace Hopper Superchip（Grace CPU、Hopper GPU（內建96 GB或144 GB ECC HBM3記憶體）、480 GB LPDDR5X記憶體）、8臺E1.S外形SSD與2臺M.2外形SSD、2個400 Gb InfiniBand埠（2張ConnectX-7，或ConnectX-7與BlueField-3各1）、2臺2000瓦電源供應器（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/18 16:58作者李宗翰https://www.ithome.com.tw/review/163492
Rust語法更新開始支援行內常數表示式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.rust-lang.org/2024/06/13/Rust-1.79.0.html">Rust 1.79</a>正式版已經發布，該版本加入了幾項語法更新，首先是行內常數（const）表示式功能，使程式碼更簡潔並增加可讀性，其次，開發者能使用關聯型別位置的界線語法，簡化複雜的語法表達。另外，臨時變數行為也有所改進。整體而言，Rust 1.79的改進偏重強化程式碼的可讀性和除錯能力。</p> <p>Rust 1.79新增的行內常數表示式，允許開發者直接在需要的地方，使用常數值的新方法，不需要在外面先定義常數，也就是在程式碼行中，直接使用const { ... }來表達常數即可。不需要提前定義常數，直接在用到的地方寫出來，讓程式碼更短更簡單。</p> <p>而且這種新的常數寫法可以利用範圍內的泛型，也就是說，常數可以根據不同情況，自動推斷其型別而不用明確指定，此一特性使其在程式碼行內片段特別有用。</p> <p>關聯型別位置的界線語法也在Rust 1.79進入穩定階段，在之前的版本，開發者如果想要在一個Trait的關聯型別加上約束，通常會需要使用複雜的語法，而在新版本中，開發者可以直接在使用這些型別的地方加上約束，而不需要分開來寫，在一個地方，同時對多型別加上約束，不需要一一分開來寫，新語法減少了重複，也增加了可讀性。</p> <p>臨時變數行為在Rust 1.79發生變化，當臨時變數在match和if結構中被引用時，會自動延長生命周期，這與模塊結構中的行為一致，可以提升程式碼的一致性和可讀性。官方還提到，Rust專案發布的標準函式庫，現在使用-Cforce-frame-pointers=yes編譯，強制啟用Frame Pointer，使得下游用戶能夠容易地對程式進行效能剖析，協助開發者診斷和解決效能瓶頸。</p> </div></div></div>
2024/6/18 17:04作者李建興https://www.ithome.com.tw/news/163518
Fintech周報第244期：日本JCB將採用一套系統，能即時將IBM Z系列大型主機的資料傳送到雲端環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">6/10~6/16金融科技精選新聞</span></span></h3> <p dir="ltr"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資訊架構</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端 </span></strong></span></p> <h3>日本JCB將採用新的資訊架構，能即時將IBM Z系列大型主機的資料傳送到雲端環境</h3> <p>日本JCB將採用一套系統，該系統能透過一個資料連接工具，即時將運作在IBM Z系列大型主機中的資料傳送到雲端環境中，讓開發者快速使用儲存於大型主機中的資料，同時減少在大型主機上的開發工作量。</p> <p>該系統在雲端環境中除了提供基本的資料處理工具，也支援API服務，能提供外部應用程式或系統串接查詢資料。並且，該架構也包含一個應用程式的開發環境，讓開發者能透過低代碼或無代碼的平臺進行開發和部署。</p> <p>目前，JCB正在與IBM合作開發和部署這套系統，預計在今年底正式營運。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智能助理 </span></strong></span></h3> <h3>NatWest推出GenAI助理Cora+，能支援更新用戶資訊、查詢帳戶餘額</h3> <p>英國NatWest銀行近日推出導入GenAI的智能助理Cora+，能因應顧客需求回應銀行產品和服務資訊，還能進一步協助用戶更新個人資訊，和查詢帳戶餘額。顧客能在官網、銀行App和網路銀行上使用這個智能助理。目前，這項產品正在對外測試，開放一般民眾使用。</p> <p>Cora+可以幫助用戶更新個人詳細資料，例如地址、電話號碼、電子郵件、姓名，和性別等資訊。當用戶忘記密碼時，也能向Cora+查詢密碼提示。在銀行App和網路銀行中，用戶也能運用Cora+來快速查詢帳戶餘額和交易資訊。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲 </span></strong></span></h3> <h3>澳洲本迪戈和阿德萊德銀行運用GenAI輔助IT現代化工程，三個月內將銀行App遷移至雲端環境</h3> <p>目前，大多數銀行已經開始使用GenAI輔助工程式撰寫程式碼，但澳洲有間銀行更進一步運用GenAI來輔助IT現代化工程，協助重構行內的關鍵業務應用程式。澳洲本迪戈和阿德萊德銀行近日揭露，他們運用GenAI在三個月內成功改寫銀行App，以雲端服務取代銀行App原先使用的關聯式資料庫。</p> <p>該銀行除了透過GenAI改寫程式碼，也用來撰寫自動測試腳本，協助內部減少九成的人力成本。本迪戈和阿德萊德銀行資訊長Andrew Cresp向媒體透露，他們正在運用相同的方法重構分行行員系統和支付平臺。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 貸款審核 </span></strong></span></h3> <h3>日本宮崎銀行運用GenAI加速製作貸款審核文件</h3> <p>日本宮崎銀行表示，內部正在提供部分行員運用GenAI生成貸款審核文件，減少95％的工作時長。宮崎銀行的做法，是在雲端環境中建立網頁伺服器和知識庫。當使用者在行內環境輸入訊息時，訊息會經過專用資料傳輸線傳送至雲端環境的伺服器。儲存在行內環境的銀行資料，也會經過專用資料傳輸線傳送至雲端環境，並整合為行內知識庫。</p> <p>雲端環境中的伺服器收到訊息後，會先檢索知識庫，提取相關資料，然後將訊息一併傳送至GenAI服務。GenAI生成貸款審核文件後，會再透過專用資料傳輸線回傳給行員。宮崎銀行表示，未來還會持續提高應用的準確性，並連接更多的系統資料，提供更多分行使用這項應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/MiyazakiBank_genAI.png" style="width: 600px;" /></p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 區塊鏈</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> RWA </span></strong></span></h3> <h3>集保公司及6家金融機構成立RWA代幣化小組，債券和基金列為優先研究標的</h3> <p>金管會近期宣布，已協力集保公司與6家金融機構合作成立現實世界資產（RWA）研究小組，研擬實體資產代幣化的方式，以及資產的保管和交易模式等。目前，研究小組已確定將債券和基金列為優先研究標的，確定運作機制後，會開放業務試辦或創新實驗申請。</p> <p>目前，國際上已有許多RWA代幣化實際案例，且多從債券和基金開始試驗。例如，德國企業Siemens去年在Polygon區塊鏈上發行6千萬歐元的代幣化債券，去中心化投資平臺Ondo Finance在以太坊與Polygon區塊鏈上推出代幣化基金產品，供投資人以美元穩定幣USDC購買。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬通貨公會</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融監管 </span></strong></span></h3> <h3>臺灣虛擬通貨公會正式成立！下一步是訂定自律規範，落實產業分類分級管理機制</h3> <p>臺灣虛擬通貨公會在近日正式成立，首屆公會共有24間業者入會。在成立大會中，甫當選的理事長鄭光泰表示，制定合理且有效的自律規範，和打造區塊鏈上下游產業鏈，是公會接下來的重要推動事項。</p> <p>甫當選副理事長的蕭匯宗在一個podcast節目中解釋，公會正式成立後，能透過建立自律規範，輔助主管機關更掌握這個新興產業，進一步制定合適的監管機制，甚至能成為未來主管機關制定專法的參考依據。</p> <p>目前，虛擬通貨公會已制定產業的分級分類機制，在公會創始成員名單中，24間業者依據業務涵蓋範疇區分為三類，各類別還會依據公司規模分為兩級。公會表示，未來會妥善執行分級分類管理。意味著，往後新加入的業者也需要依照這個分類分級機制接受管理，透過與同類別企業合作，促進整個產業前進。（<a href="https://www.ithome.com.tw/news/163468">詳全文</a>）</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 區塊鏈</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融防詐 </span></strong></span></h3> <h3>國內加密貨幣交易所XREX打造威脅引擎，快一步揪出詐騙、洗錢帳戶</h3> <p>在臺灣資安大會上，國內加密貨幣交易所XREX分享自家的風控機制。他們開發了一套威脅引擎，整合了用戶交易前、交易中、和交易後的資訊，並提供風險評估，協助內部團隊更快速針對犯罪行為做出應變。</p> <p>這款威脅引擎包含多個模組，能分析KYC、交易行為等資訊，並進行交易監控與性質分析等。引擎在每個階段蒐集的資訊都會分為多個屬性，並針對各別屬性進行風險評估。XREX首席資安工程師Wolf Chen解釋，當模型偵測到異常活動或明顯犯罪態樣，威脅引擎就會啟動分析，並採取必要控管機制。例如，用戶的IP位址在短時間內出現在不同地區，又或是用戶在交易時，其資金與高風險錢包有互動。</p> <p>最後，威脅引擎會針對多個屬性進行評估，依風險高低將帳戶分為低風險、中風險和高風險三種類型，並產出每日報表，供內部團隊快速辨識可疑帳戶。（<a href="https://www.ithome.com.tw/news/163373">詳全文</a>）</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 偽冒網站下架</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融防詐 </span></strong></span></h3> <h3>富邦金建立跨子公司偽冒案件應變小組，系統化執行偽冒網站下架作業</h3> <p>為了讓集團更系統化的下架偽冒網站和詐騙群組，富邦金控在內部推動一系列措施，先是制定集團一致性處理準則，包括定義案件樣態、建立明確處理機制，接著集結金控和子公司人員成立偽冒案件應變團隊，在接獲相關案件通報後，快速建立因應決策。同時，集團內部也使用自動化工具來進行網路監控，協助搜查偽冒訊息或網站。</p> <p>依循這套機制，2023年下半年，富邦處理近300件偽冒案件。其中，釣魚網站及App偽冒案件占多數，即便每件都能成功下架，但平均需要9天的時間，才能順利結案，是最容易接觸到客戶的一類偽冒樣態。（<a href="https://www.ithome.com.tw/news/163467">詳全文</a>）</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Apple Pay</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> RWA </span></strong></span></h3> <h3>Apple Pay將支援分期服務、商品兌換獎勵和先買後付功能</h3> <p>Apple在近日舉辦的開發者大會上揭露多項Apple Pay新功能，除了支援分期支付選項和商品兌換獎勵外，Apple Pay也與BNPL業者合作，提供先買後付功能。另一項功能是開放一般民眾也能使用類似Tap to Pay的功能，當兩臺iPhone手機靠近時，就能完成轉帳。</p> <p>Apple表示，銀行或發卡機構可以在Apple Pay中整合分期服務或商品兌換獎勵，當用戶使用該行信用卡或金融卡結帳時，結帳畫面就會顯示相關服務內容。Apple提到，澳盛銀行將開放澳洲用戶在Apple Pay使用分期服務功能，此外，Apple也與BNPL業者合作，開放美國用戶在Apple Pay使用先買後付服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Apple-WWDC24-services-Apple-Pay-rewards-and-installments_inline.jpg_large.jpg" style="width: 600px;" /></p> <p>圖片來源／JCB、日本宮崎銀行、Apple</p> <p>責任編輯／李昀璇</p> <p>資料來源：iThome整理，2024年6月</p> <p></p> </div></div></div>
2024/6/18 14:19作者李昀璇https://www.ithome.com.tw/news/163511
華碩7款路由器有驗證繞過漏洞，應立即更新韌體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華碩7款家用及消費性路由器產品傳出重大驗證繞過漏洞，可讓未經授權的攻擊者遠端登入裝置。華碩及資安專家呼籲用戶儘早安裝新版軟體。</p> <p>這項驗證繞過漏洞編號CVE-2024-3080，發生在華碩家用及消費性路由器產品的韌體，影響ZenWiFi XT8、ZenWiFi XT8 V2、RT-AX88U、RT-AX58U、RT-AX57、RT-AC86U及RT-AC68U。</p> <p>華碩已在上周<a href="https://www.asus.com/content/asus-product-security-advisory/" target="_blank">安全公告中發布新版韌體下載連結</a>，呼籲用戶儘速更新。華碩並呼籲用戶不要使用預設密碼，並設定混合字元，最少10位元的密碼。</p> <p>該漏洞技術細節不明。但<a href="https://www.twcert.org.tw/tw/cp-132-7859-0e104-1.html" target="_blank">TWCERT/CC公告</a>，CVE-2024-3080為一鑑別繞過漏洞，允許未經身分鑑別的遠端攻擊者登入設備，風險值達9.8。</p> <p>華碩同時更新了CVE-2024-3079的韌體問題，它是風險值7.2的堆疊式緩衝溢位漏洞。最新漏洞可讓取得管理權限的遠端攻擊者在路由器上執行任意指令。兩漏洞都是由同一資安研究員通報。</p> <p>同一波安全修補行動中，華碩還修補了影響Asus下載大師（Download Master）App中的5項中度風險漏洞CVE-2024-31159到2024-31163，該公司已主動更新該App解決安全問題。</p> </div></div></div>
2024/6/18 14:08作者林妍溱https://www.ithome.com.tw/news/163509
DeepMind正在研究如何幫影片生成聲音
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet旗下的AI子公司<a href="https://deepmind.google/discover/blog/generating-audio-for-video/" target="_top">DeepMind正在研究</a>如何幫「生成式影片」生成背景聲音，利用影片至聲音（video-to-audio，V2A）技術來替這些原本無聲的影片加上應有的對話、音效或配樂。</p> <p>目前DeepMind的V2A技術並不是直接餵入影片就能生成聲音，而是結合了自然語言的提示以幫螢幕上的畫面配音，相容於諸如Veo等影片生成模型，並支援包括檔案、無聲電影等影片內容。</p> <p>當使用者輸入音訊及文字提示時，V2A便可生成與影片同步的音訊波形。它會先將所輸入的影片及提示輸入數位化，再利用擴散模型反覆運算，最終生成一個壓縮的聲音文件，再由系統將其解碼，藉以產生與影片畫面高度協調的背景聲音，完全不需要手動對齊影片及所生成的聲音。</p> <p>在V2A技術的展示影片中，DeepMind團隊輸入了一個在黑暗中行走的影片畫面，再提供「電影、恐怖片、音樂、緊張、混凝土上的腳步聲」等文字提示，V2A就能生成恐怖片的背景音樂；還能幫無聲的擊鼓畫面配樂；或是要求它生成搭配畫面的海洋音樂。</p> <p>此外，V2A可替任何影片生成無限數量的音軌，還能選擇正向或反向的文字提示，以要求所生成的聲音更貼近或遠離某些情境。</p> <p>透過對影片、聲音及註譯的訓練，V2A現階段已能連結特定的音訊與不同的視覺場景，亦能對註釋或轉錄文字中的資訊作出反應；DeepMind也正在改善V2A生成結果中關於說話的口型同步能力。</p> </div></div></div>
2024/6/18 14:19作者陳曉莉https://www.ithome.com.tw/news/163510
羅技推出Meta Quest專用3D空間手寫筆MX Ink
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球知名的電腦周邊裝置設計暨製造商羅技（Logitech），在周一（6/17）<a href="https://blog.logitech.com/2024/06/17/bring-familiarity-and-precision-to-mixed-reality-with-logitech-mx-ink-a-stylus-for-meta-quest/" target="_blank">發表了</a>專為混合實境（MR）裝置Meta Quest所設計的手寫筆MX Ink，它可在2D的物理介面上使用，也能於3D空間中使用，強調可自2D空間無縫轉換到3D，並能與Meta Quest控制器切換使用，支援Meta Quest 2與Meta Quest 3，售價為129.99美元，預計於9月底出貨。</p> <p>MX Ink是羅技與Meta合作開發的產品，是Meta Quest的首款MR手寫筆，也是Meta Quest生態體系中的第一個輸入裝置，並讓Meta Quest首次同時支援兩個以上的配對控制器，允許使用者在不中斷作業的情況下，於Meta Quest控制器及MX Ink之間切換。</p> <p>羅技負責開發AR與VR產品的Vadim Kogan表示，羅技這麼多年來一直藉由軟體支援的硬體解決方案，來替人們提供表達所需的自由與精確控制，以將人們連結至數位世界，新款MX Ink是款可從2D無縫轉換到3D空間的手寫筆，它既提供2D手寫筆的熟悉度，也能提供Meta Quest用戶於混合實境中所期望的追蹤精度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0618-Logitech%20MX%20Ink_%20for%20Meta%20Quest-600-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／羅技</span></span></p> <p>從MX Ink的<a href="https://www.youtube.com/watch?v=NiklLiitNYg" target="_blank">展示影片</a>中可看出，MX Ink能夠在3D空間中標記、作畫，也能在2D的表面上描繪。羅技亦替MX Ink設計了專用的充電座MX Ink Well及手寫板MX Mat。</p> <p>目前已支援MX Ink的程式包括Gravity Sketch、ShapesXR、ENGAGE XR、Adobe Substance 3D Modeler、Arkio、Realize Medical、Painting VR、Gesture VR及OpenBrush等，也已<a href="https://www.logitech.com/en-us/products/vr/mx-ink.html" target="_blank">開放開發人員申請</a>MX Ink開發套件，以於應用程式中整合MX Ink手寫筆功能。</p> </div></div></div>
2024/6/18 13:45作者陳曉莉https://www.ithome.com.tw/news/163508
永信藥品工業遭駭客攻擊，首見公開發行公司發布資安重訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>業務範圍擴及全球多國的臺灣製藥公司永信藥品工業，昨日傳出遭遇資安事故，上市生技醫療業永信投控在6月17日下午4時32分率先揭露此事，於證交所公開資訊觀測站發布資安重訊，代重要子公司永信藥品工業公告部分資訊系統遭受駭客攻擊，同日傍晚6時，身為公開發行公司的永信藥品工業也發布重訊，公開這起資安事故。</p> <p>關於因應狀況，根據永信藥品工業的說明，在偵測到部份資訊系統遭受駭客攻擊當下，該公司資訊部門已全面啟動相關防禦機制與復原作業，目前評估對公司營運無重大影響。</p> <p>他們並表示，目前正對所有網域、網頁及相關檔案做全面徹底的掃描檢測，待確保資訊安全後，會陸續恢復資訊系統運作。而我們在17日早上11時實際連至永信藥品與永信國際投資控股的官方網站，仍是無法存取的情況，可能他們還在進行相關調查，所以網站未開放。</p> <p>這次的訊息發布，有一個相當難得之處，因為永信藥品仍只是公開發行公司，沒有成為上市櫃公司，但他們也主動利用證交所的公開資訊觀測站申報系統，將公司本身的資安事件，藉此管道對外公布。（永信藥品2011年轉換為「永信國際投資控股股份有限公司」，並於臺灣證券交易所掛牌上市，永信藥品則維持公開發行。）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-18_103239.jpg" style="width: 600px;" /></p> <p>此外，關於旗下子公司發生重大資安事件，母公司也需要替子公司進行公告，自2021年開始就陸續有其他公司依規範這樣代為公告，今年初金管會也持續宣導此事，而這次永信投控代子公司發布的重大訊息，也再次讓所有人了解到資安事故的揭露並不侷限自身公司，自家子公司所遭遇的資安事件，也都可能讓公司本身受到影響，等於也提醒這些上市櫃公司，需同樣重視子公司的資安強化。</p> </div></div></div>
2024/6/18 09:49作者羅正漢https://www.ithome.com.tw/news/163503
Adobe於Acrobat中整合文字生成圖像服務Firefly
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.adobe.com/news/news-details/2024/Adobe-Reimagines-Acrobat-Bringing-Firefly-AI-to-PDFs-and-Expanding-Use-Across-More-Document-Types/default.aspx" target="_blank">Adobe宣布</a>，將把圖像生成模型Firefly整合到Adobe Acrobat中，以供Acrobat用戶於PDF文件中編輯或生成圖片，號稱是這是第一個於應用程式中提供生成圖像能力的PDF解決方案，今日（6/18）起，Acrobat用戶就能使用Firefly所支援的文本提示，於全球流通的近3兆個PDF檔案編輯及建立圖像。同一天Adobe也順便推廣甫於上個月推出的<a href="https://news.adobe.com/news/news-details/2024/Adobe-Revolutionizes-Workplace-Productivity-with-Launch-of-Acrobat-AI-Assistant-for-the-Enterprise/default.aspx" target="_blank">AI助手Acrobat AI Assistant</a>。</p> <p>去年問世的<a href="https://www.ithome.com.tw/news/156032" target="_blank">Firefly標榜</a>全都使用具版權的內容進行訓練，能夠編輯與生成圖像，已被整合到Lightroom、Photoshop、Adobe Express、Illustrator與InDesign等Adobe影像應用中，現在則出現在文書處理平臺Acrobat上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0618-adobe%20firefly.png" style="width: 600px;" /></p> <p>此舉意味著Acrobat可直接於程式中編輯與生成PDF文件的圖像，包括使用基於Firefly技術的生成式填充、刪除背景、擦除、裁剪等功能，或是添加、移除或恢復文件圖像中的內容；其圖像生成功能則是基於Firefly Image 3模型，在以文本提示產生圖像後，也能快速調整尺寸與風格，並將其嵌入文件中的任何位置。</p> <p>Acrobat用戶可免費使用新的Firefly，而Acrobat AI Assistant則是一個訂閱服務，它能與各種文件對話，涵蓋PDF、Word或PowerPoint等，藉由自然語言的溝通來建議問題並根據文件內容提供答案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0618-adobe-pdf-ai%20assistant.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Adobe</span></span></p> <p>因此，Acrobat用戶可利用此一AI助理來生成文件的摘要，也能自動產生答案的引用來源，或是快速尋找文件中的資訊，以及自文件中汲取內容以生成電子郵件、演講稿、部落格文章或報導等內容格式。</p> <p>AI Assistant在推廣期間的每月訂閱費用為4.99美元，不過，Adobe從6月18日至6月28日開放Acrobat用戶免費試用該服務。</p> </div></div></div>
2024/6/18 11:35作者陳曉莉https://www.ithome.com.tw/news/163506
InfiniBand 800Gb網路駕到！輝達在臺公開4U、72埠交換器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_quantum-x800_main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼1年前Nvidia開始主推800Gb乙太網路交換器Spectrum-X，今年3月GTC大會他們針對旗下兩大800Gb網路平臺，正式定名為Spectrum-X800 Ethernet與Quantum-X800 InfiniBand，預告2025年將由多家基礎架構與系統廠商供應。</p> <p>以Spectrum-X800 Ethernet而言，對應每一座資料中心的建置需求，提供AI最佳化的網路環境，我們在4月已發表相關報導，至於Quantum-X800 InfiniBand對應AI專用基礎架構，提供最大的網路效能，當時Nvidia僅簡略提到一些特色。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-03-GTC%20Keynote-BlackPlatform-Q800.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-Nvidia%20Networking.jpg" style="width: 600px;" /></p> <p>例如，當中將包含交換器Quantum Q3400，以及網路卡ConnectX-8 SuperNIC，可橫跨所有環節提供800 Gb/s的吞吐量，相較於上一代InfiniBand平臺，頻寬容量可增長至5倍（Quantum-X800可提供144個800Gb/s埠），而在搭配第4版可擴充分層彙總與精簡通訊協定（SHARPv4）之下，Quantum-X800 InfiniBand的網內運算（In-Network Computing）效能，也提升至9倍（14.4Tflops）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-03-Quantum-X800 InfiniBand Switch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-03-Quantum-X800%20InfiniBand%20Switch.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-03-Nvidia%20SHARPv4.jpg" style="width: 500px;" /></p> <p>在3月底，Nvidia網站公布Quantum-X800 InfiniBand平臺的解決方案簡介文件，裡面進一步說明交換器機型、網路卡、纜線與收發器，以及網管系統規格。單就交換器來看，Nvidia將推出採用4U尺寸機箱的Q3400，區分為支援19吋寬度通用標準機櫃與氣冷散熱的Q3400-RA，以及支援21吋OCP標準機櫃與液冷散熱的Q3400-LD，它們均內建72個OSFP規格的連接埠，可分接144個800 Gb/s的網路埠，以及1個專屬的管理埠，連接Nvidia的InfiniBand網管平臺Unified Fabric Manager，基於這樣的架構，企業能透過兩層式階層拓樸架構連接10,368張網路卡，提供最低存取延遲與最大量的工作就地執行能力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-03-quantum-spectrum-x800.jpg" style="width: 600px;" /></p> <p>到了6月初登場的台北國際電腦展期間，Nvidia首度公開Quantum-X800交換器外形，向參觀展覽的全球媒體工作者展示硬體設備，</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20QuantumX-800-2024-06-06-web.jpg" style="width: 600px;" /></p> <p>而在共同創辦人暨執行長黃仁勳的主題演講，所展示的資料中心產品最新發展藍圖當中，也將先前推出的400Gb InfiniBand交換器，改稱為Quantum-X400，作為支撐現行資料中心GPU平臺Hopper的網路技術，新上場的Spectrum-X800與Quantum-X800，作為支撐Blackwell平臺的網路技術，並預告下一代資料中心GPU平臺Rubin搭配的網路技術，會是1600 Gb/s的InfiniBand與乙太網路X1600系列。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-Nvidia%20Data%20Center%20Roadmap.jpg" style="width: 600px;" /></p> <p>而稍早（5月底）Nvidia網站也公布Quantum-X800 InfiniBand Switches的規格資料表，當中增列不少資訊。</p> <p>例如，在機型方面，Nvidia不只提供4U尺寸的Q3400-RA和Q3400-LD，也針對較小型的環境，提供2U尺寸、採用固定組態與氣冷散熱的Q3200-RA，提供36個800Gb InfiniBand網路埠，而且，Quantum-X800系列可選用路由器功能，擴充InfiniBand網路叢集的規模，支援橫跨多個站點的大量節點部署需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-05-Nvidia%20Quantum%20X-800-1.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-05-Nvidia%20Quantum%20X-800-Spec.jpg" style="width: 600px;" /></p> <p>關於網內運算效能的突破，Nvidia也提到SHARPv4支援FP8精度的資料類型處理，增加新的集結作業機制（ReduceScatter、ScatterGather）。在機箱管理與系統組態設定的部分，Nvidia在這份新公告的文件裡面表明，Quantum-X800系列交換器所用的系統軟體平臺是Nvidia Networking OS Software（NVOS），這套作業系統支援多種介面，涵蓋命令列介面、REST API、SNMP、gNMI（gRPC Network Management Interface）telemetry。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20SHARP-2024-03.png" style="width: 600px;" /></p> <p>值得注意的是，該公司目前並未針對新出現的NVOS提出更詳細的說明。根據Nvidia網站公布的相關文件，交換器軟體目前有6種，乙太網路交換器搭配的作業系統是Onyx，InfiniBand交換器採用MLNX-OS，InfiniBand長距離連接系統MetroX採用NVDA-OS XC，連接InfiniBand與Ethernet的閘道設備Skyway採用MLNX-GW，以及開放式網路作業系統Cumulus Linux，NVOS是否為上述系統軟體其中一個的後繼改名，或是整合多個系統軟體之後的版本，仍有待釐清。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Nvidia Quantum-X800</strong><br /> ●原廠：Nvidia<br /> ●建議售價：廠商未提供<br /> ●機型名稱：Q3200-RA、Q3400-LD、Q3400-RA<br /> ●網路介面：Q3200-RA由兩臺交換器組成，每臺36個OSFP埠（800Gb埠），Q3400-LD、Q3400-RA每臺72個OSP埠，可分接144個800Gb埠<br /> ●機箱尺寸：Q3200-RA為2U，Q3400-LD、Q3400-RA為4U<br /> ●系統交換容量：Q3200-RA每臺28.8 Tb/s，Q3400-LD、Q3400-RA每臺115.2 Tb/s<br /> ●硬體運算規格：英特爾第8代i3處理器i3-8100H（4核心、3GHz）<br /> ●作業系統：NVOS</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/18 11:48作者李宗翰https://www.ithome.com.tw/review/163475
Pixel 8、Pixel 8a終於也有Gemini Nano
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周針對Pixel裝置系列<a href="https://blog.google/products/pixel/pixel-feature-drop-june-2024/" target="_blank">釋出本月更新功能</a>（Feature Drop），包括將Gemini Nano AI模型支援擴展到基本款的Pixel 8及Pixel 8a。</p> <p>Google去年宣布Gemini AI模型系列，其中的Gemini Nano是可以在手機上執行的小語言模型。Google首先於12月將Gemini Nano部署到最高階的Pixel 8 Pro以及三星Galaxy S24系列。今年3月在用戶要求下，Google承諾原本「有硬體限制」而無法執行裝置端AI模型的Pixel 8，將在下次Feature Drop中<a href="https://www.ithome.com.tw/news/162026" target="_blank">獲得</a>使用Gemini Nano的權利。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0618-gemini%20nano.png" style="width: 600px;" /></p> <p><a href="https://www.androidauthority.com/pixel-feature-drop-june-2024-3450107/" target="_blank">Android Authority</a>報導，昨日開始釋出6月份Feature Drop，不但允許Pixel 8，也讓Pixel 8a使用AI服務。</p> <p>透過使用Gemini Nano，Pixel 8手機系列的Recorder會更強大，像是提供每位說話者名字、說話內容謄寫及重點整理，並可匯出到Google Docs。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0618-Pixel-%20June%2024%20Feature%20Drop-600.png" style="width: 444px;" /></p> <p>不過報導指出，用戶必須手動啟動開發者選項（Developer Options）以及Gemini Nano。有鑒於不是大家都會操作，報導也提供啟動方法：先在「設定」>「關於手機」，在軟體版本中點擊多次直到出現「你是開發人員」。然後再從「設定」>「系統」>「開發者」選項，在清單中找到「AICore」設定，並啟動所有AICore功能。</p> <p>6月份Feature Drop其他功能還包括支援Display Port影音傳輸介面，Pixel 8系列全都支援；可從通話紀錄反向查詢電話號碼，以及支援HDR+拍攝，Pixel 6以上的裝置都支援，包括Pixel Tablet；支援關機狀態的Find My Device，目前僅提供Pixel手機。Google說關機狀態下的Find Device未來會推向非Pixel手機，但Android Authority報導，由於這需要特別硬體，因此支援的第三方品牌可能也不會很多。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/6/18 12:00作者林妍溱https://www.ithome.com.tw/news/163507
Adobe隱藏提早終止訂閱費用，遭美政府控告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部昨（17）日根據聯邦貿易委員會（Federal Trade Commission，FTC）建議，<a href="https://www.ftc.gov/system/files/ftc_gov/pdf/adobe_complaint.pdf" target="_blank">控告Adobe</a>未明確告知用戶提早終止服務訂閱衍生的高額費用，以此阻撓消費者中途解約。</p> <p>Adobe 2012年開始轉向軟體訂閱制，涵括其旗艦產品如Acrobat、Photoshop、Illustrator、Creative Cloud，透過Adobe.com銷售，以用戶月費收入支持穩定營收。根據司法部文件，近年Adobe訂閱收入快速成長。2019年到2023年該公司訂閱費營收由77.1億元成長近2倍來到142.2億美元，占Adobe 2023全年營收（194.1億美元）的絕大部分。</p> <p>司法部指出，多年來Adobe在用戶訂閱「年約月付」（Annual, Paid Monthly，APM）方案時，未清楚說明，在未滿一年時終止訂閱需支付高額解約費用（early termination fee，ETF）。Adobe只有在用戶企圖提早終止訂閱時才清楚告知，企圖阻止消費者離去。</p> <p>根據Adobe的APM條款，若用戶在訂閱頭14天內取消，可以獲得第一筆支付費用全額退費。但若他們在未滿一年前終止訂閱，不但會在當月底喪失服務使用權，還需支付合約剩下期間月費的50%。消費者可能被迫支付數百美元換取中止服務。</p> <p>司法部文件指稱，消費者訂閱APM服務時，這些條款以小字出現，且被文字對話框、超連結等遮掩住，企圖不讓消費者看到。之後又以繁複而冗長的程序，及高昂終止費阻撓消費者取消訂閱，已違反聯邦法。為了終止Adobe違法行為，司法部尋求法院對Adobe採取禁制令、民事處分、金錢賠償等其他救濟方法。</p> <p>Adobe對此並不服氣。<a href="https://news.adobe.com/news/news-details/2024/Adobes-Statement-Regarding-Federal-Trade-Commission-Complaint/default.aspx" target="_blank">Adobe表示</a>，該公司的訂閱服務費方便、彈性並且成本效益，提供用戶符合其需求、時間和預算的方案。Adobe也宣稱自己的服務條款向來透明，取消手續也很簡單。為此，這家軟體大廠表示將在法庭上反駁FTC的說法，以捍衛自身立場。</p> </div></div></div>
2024/6/18 11:17作者林妍溱https://www.ithome.com.tw/news/163505
網通大廠思科擴大在臺投資，啟動新的數位加速計畫聚焦三大重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網通大廠思科近日擴大在臺投資，宣布啟動新的數位加速計畫，聚焦綠色永續、資安和AI驅動的智慧轉型。這也是思科在臺灣啟動的第三次數位加速計畫，臺灣也是思科全球50個推動執行國家中少數進入第三階段投資的國家之一。不少政府官員，甚至副總統蕭美琴也到場站臺，支持思科在臺加碼的數位投資。</p> <p>思科數位加速計畫目前已在全球50個國家推動執行，但進到第三階段的國家，只占不到10％，臺灣是其中之一。臺灣從2018年開始加入計畫中，展開第一階段數位加速計畫，一開始瞄準智慧城市、企業 5G專網、資訊安全和數位醫療照護的數位轉型，接著2021年進到第二階段執行，包含五大面向的投資，包括資訊安全、智慧城市和交通、金融韌性、智慧能源、樂齡生活。</p> <p>思科大中華區副總裁暨台灣總經理林岳田表示，在1.0和2.0推動過程中，獲得不少的成果，包括與16家產業夥伴合作，並在6年內完成了24個專案項目，運用在智慧城市、企業5G專網、智慧醫療、智慧交通、金融韌性、資訊安全、智慧能源、智慧船舶、樂齡生活等領域發展上。</p> <p>思科並沒有透露這次臺灣3.0計畫的投資金額，僅強調思科新的3.0推動計畫從今年初就開始，未來將為期2～3年推動，聚焦三大方向，分別是綠色永續、資安和AI驅動的智慧轉型。</p> <p>首先在綠色永續方面，思科計畫將打造一個更安全、更智能的營運環境，加速臺灣在綠色製造、智慧港口的發展，未來也將提供思科綠色解決方案，協助臺灣實現2050年淨零目標。</p> <p>延續2.0，資訊安全依然是3.0關注的重點，思科表示將持續加大資安投資，並與政府共同培育優秀的資安人員。此外，思科計畫打造更有韌性的資安中心，該中心不僅提供網路威脅情資交換，還將具有足夠的資安韌性，以應對未來更加複雜的資安挑戰。最後在AI方面，思科計畫優先將AI運用在智慧城市和交通等領域，加強交通管理與安全，實現城市基礎設施的轉型。</p> <p>林岳田提到，今年開始已經跟一些地方政府和重要製造業展開合作，目前已有計畫正在執行中，未來每年會檢視執行成效。</p> </div></div></div>
2024/6/18 10:00作者余至浩https://www.ithome.com.tw/news/163504
【資安日報】6月17日，日本影音共享平臺Niconico、角川書店傳出服務中斷近一週，起因是資料中心遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月上旬日本知名的影片共享平臺Niconico證實出現服務異常的情況，引起外界關注，然而隨著這起事故的發展，母公司角川集團表示，不光是Niconico，旗下也有其他網站停止運作。</p> <p>但值得留意的是，事隔一週，他們終於承認這是一起勒索軟體攻擊，不過，究竟是那個勒索軟體駭客組織所為，該集團表示，由於這起事故尚在調查，不便公布相關細節。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163495"><strong style="font-size: 22px;">日本影音共享平臺Niconico、角川書店因資料中心遭受勒索軟體攻擊，被迫暫停相關服務</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/MoHLt7IpiP-niconico-0614.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MoHLt7IpiP-niconico-0614.png" style="width: 300px; float: right;" /></a>日本知名的影片共享平臺Niconico於6月8日凌晨3時23分傳出服務異常的現象，並於當天早上6時進行緊急維護作業，後續公布事故發生的原因，是伺服器遭遇大規模攻擊，導致該網站的相關服務暫停，他們也將透過社群網站X的官方帳號公布處理的最新進度。該網站指出，Niconico旗下的家族服務都無法運作，包含Niconico動畫、Niconico生放送、Niconico頻道，此外，網路高中「N予備校」的系統也同樣停止服務。</p> <p>但不光是Niconico受到影響，該資安事故也出現其他同集團的服務停止運作的消息。6月9日角川集團發出聲明，自8日凌晨開始，他們發現多臺伺服器出現無法存取的現象，為了避免資料遭到破壞，該集團隨即關閉相關伺服器因應，根據初步的調查結果，他們遭遇了網路攻擊。</p> <p>到了14日，經營Niconico的多玩國公司（Dwango）發出聲明，說明整起事件的發生經過，證實這是一起勒索軟體攻擊事故，並表示他們在9日向警方通報，並尋求外部專家協助，然後先後在10日、12日，通知日本個人資料保護委員會、關東地方財務局。</p> <p><a href="https://www.ithome.com.tw/news/163471"><strong style="font-size: 22px;">研究人員針對鎖定巴黎奧運賽事而來的詐騙網站提出警告</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/k1_0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/k1_0.png" style="width: 300px; float: right;" /></a></p> <p>巴黎奧運即將於今年7月下旬舉行，但資安業者Proofpoint提出警告，他們發現了聲稱銷售運動會入場門票的冒牌網站paris24tickets[.]com，該網站表明他們是專門銷售各式體育活動門票的第二市集，並標榜若是不滿意他們的服務，將退回150%的款項作為賠償。</p> <p>值得留意的是，使用者若是透過Google搜尋「Paris 2024 tickets」，該網站就會出現在第2項搜尋結果（第1個是正牌的奧運網站），Proofpoint向主辦單位通報此事，並與網域註冊業者合作，停用相關網域。</p> <p><a href="https://www.ithome.com.tw/news/163500"><strong style="font-size: 22px;">駭客組織Scattered Spider鎖定IT服務人員發動社交工程攻擊，竊取各式SaaS應用程式機密資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2add212dfa66fc9f99ec2385321cae5e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2add212dfa66fc9f99ec2385321cae5e.png" style="width: 300px; float: right;" /></a></p> <p>曾在2022年開始針對Twilio、Cloudflare等上百家IT業者的員工下手，從事社交工程攻擊、網路釣魚攻擊、SIM挾持攻擊收集帳密資料，從而入侵企業內部環境，引起各界關注的駭客組織Scattered Spider（也被叫做0ktapus、Octo Tempest、UNC3944），最近轉移攻擊目標而引起研究人員的注意。</p> <p>資安業者Mandiant指出，他們針對該組織持續進行追蹤發現，這些駭客在過去10個月裡，將攻擊目標轉向企業使用的SaaS應用程式，對方先是針對企業的IT服務臺（Help Desk）下手，藉由社交工程手法，得到特權帳號的初始存取管道。值得留意的是，駭客在發動攻擊之前，其實已掌握客服人員的個人識別資訊（PII），而能夠在過程裡繞過服務臺管理員的身分驗證。</p> <p><a href="https://www.ithome.com.tw/news/163491"><strong style="font-size: 22px;">針對部分廠區遭遇網路攻擊，半導體晶圓廠環球晶圓二度發布重大訊息，證實生產及出貨出現延遲</strong></a></p> <p>針對6月12日發生部分資訊系統遭遇駭客攻擊的情況，半導體矽晶圓廠環球晶圓（環球晶）先是在13日發布重大訊息證實此事，並表示他們正在著手調查影響情形，14日該公司再度發布重大訊息，進一步說明事故處理進度。</p> <p>環球晶圓指出，在他們與外部專家聯手調查之下，已經確認重要的資料、系統並未受到損害。然而，由於他們在調查初期，為了降低資安事故可能擴大的風險，並釐清影響範圍，當時他們選擇暫時關閉部分作業系統，導致部分廠區的生產及出貨作業，出現延遲的現象。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/london-hospitals-cancel-over-800-operations-after-ransomware-attack/"><strong style="font-size: 20px;">英國倫敦多家醫院受到Synnovis勒索軟體事故波及，被迫取消逾800項手術</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/new-arm-tiktag-attack-impacts-google-chrome-linux-systems/"><strong style="font-size: 20px;">研究人員揭露攻擊Arm裝置的手法TikTag，能針對Linux版的Chrome下手</strong></a></p> <p></p> <p>◆<a href="http://www.volexity.com/blog/2024/06/13/disgomoji-malware-used-to-target-indian-government/"><strong style="font-size: 20px;">Linux惡意軟體Disgomoji鎖定印度政府機關而來，攻擊者利用表情符號來下達命令</strong></a></p> <p></p> <p>◆<a href="https://www.cisa.gov/news-events/alerts/2024/06/13/cisa-adds-three-known-exploited-vulnerabilities-catalog"><strong style="font-size: 20px;">美國CISA證實Windows權限提升漏洞CVE-2024-26169已被用於勒索軟體攻擊行動</strong></a></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.twcert.org.tw/tw/cp-132-7859-0e104-1.html"><strong style="font-size: 20px;">華碩公布路由器重大身分驗證繞過漏洞，7款機型受到影響</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163452"><strong style="font-size: 22px;">企業IT預算的資安占比創新高，資安轉型企業加碼力道翻倍</strong></a></p> <p>根據iThome 2024資安大調查的分析結果顯示，今年資安預算金額平均達到1,260萬元，不過，距離資安長心中足以因應當前企業威脅的資安預算規模，仍舊少了快3成：資安長期望的理想資安預算，平均約為1,635萬元。只有一類企業，今年資安預算達到了整體產業資安長的理想預算規模，那就是資安轉型企業。</p> <p>今年有高達49.8%的CIO將資安轉型列為年度目標，這一群資安轉型企業，也大力加碼資安投資來支持這個戰略目標。資安轉型企業今年平均資安預算達到1,800萬元之多，遠高於整體產業資安長的期望值。資安轉型企業的資安預算成長力道達到8.7%，幾乎是整體產業資安預算成長率4.7%的兩倍。</p> <p><a href="https://www.ithome.com.tw/news/163493"><strong style="font-size: 22px;">微軟9月起淘汰個人電子郵件帳號的基礎身分驗證措施</strong></a></p> <p>上週微軟宣布，將自今年9月16日起棄用Outlook個人電子郵件帳戶的基礎驗證，屆時用戶將無法再以簡單的名稱及密碼登入；再者，該公司亦將於8月19日棄用精簡版的Outlook Web App；並在年底結束對郵件（Mail）與行事曆（Calendar）應用程式的支援。</p> <p>這裡提及的基礎驗證，就是僅利用名稱及密碼來登入服務，而微軟所宣稱的新式驗證，則是涵蓋多因素驗證、基於用戶端憑證的身分驗證，或者是OAuth等，是微軟額外利用後端程序或權杖，來強化帳戶安全的驗證方式。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://news.pts.org.tw/article/699798"><strong style="font-size: 20px;">英國智庫皇家國際事務研究所舉辦2024年網路安全會議，邀請數位發展部分享臺灣防禦策略</strong></a></p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163001"><strong style="font-size: 22px;">「資安即國安」戰略目標確立臺灣8年資安發展</strong></a></p> <p>蔡英文總統2016年提出以「資安即國安」為綱領的國家資安戰略，這項戰略之所以能獲得諸多肯定，國安會秘書長顧立雄表示，「總統帶頭重視資安」是一個重要的關鍵，因為總統的重視，形塑了一股由上而下持續引導的力量，逐步帶動政府各個部門跟著重視資安議題。</p> <p>檢視資安即國安戰略八年發展歷程，顧立雄點出幾項重大進步，包括國家資安政策擴及軍事、情報與執法單位的合作、公部門與民間產業資安能力精進、從被動防禦轉為主動防禦、積極推動數位韌性，以及加強公私協力、強化上市櫃資安治理與產業供應鏈安全等。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163458"><strong>【6月14日】勒索軟體駭客組織Black Basta在微軟提供漏洞修補3個月前，利用掌握到的資安弱點打造攻擊工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163444"><strong>【6月13日】荷蘭針對中國駭客攻擊Fortinet防火牆設備的網路間諜行動進行深度調查，駭客挾持全球逾2萬臺設備</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163429"><strong>【6月12日】微軟發布6月份例行更新，總共針對49個漏洞進行公告</strong></a></p> </div></div></div>
2024/6/17 18:53作者周峻佑https://www.ithome.com.tw/news/163501
重要科學運算函式庫NumPy經多年開發迎來2.0重大更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料科學與機器學習研究人員常用的函式庫NumPy，自2006年NumPy發表以來，首次釋出重大更新版本2.0。該版本擁有許多新功能以及對Python和C API的變更，同時也包含了包括ABI破壞、類型提升規則（Type Promotion Rules）以及API棄用等破壞性更改。</p> <p><a href="https://numpy.org/devdocs/release/2.0.0-notes.html">NumPy 2.0</a>的新功能包括加入了一個新的可變長度字串類型StringDType，以及新的numpy.strings命名空間，內含高效的字串操作函式。傅立葉轉換模組numpy.fft的函式都支援float32和longdouble更高精度資料型態，而且在主要的NumPy命名空間中，增加了對陣列API標準的支援，如此與其他同樣遵循此標準的函式庫，就能更順利地互通。</p> <p>除了新功能，NumPy 2.0還有一大部分的更新是效能方面的改進，特別是針對特定硬體的加速，像是諸如sort、argsort、partition和argpartition等排序函式，藉由使用Intel x86-simd-sort和Google的Highway函式庫進行加速，在相對應的硬體上會有明顯的效能提升。另外，對於macOS 14以上版本，NumPy也增加macOS Accelerate支援和二進位發布套件，大幅提升在macOS上進行線性代數運算的效能，同時也使得安裝套件體積縮小約3倍。</p> <p>開發團隊對NumPy進行了許多改進，並持續將程式碼從C移植到C++，目的是要讓NumPy的改進和維護工作變得更容易。不過，也因為Python和C API都有大量重大變更，因此某種程度也犧牲了向後相容性，雖然不少情況會有明確的錯誤訊息告知開發者調整的方法，但部分時候也會出現沒有明確指示的錯誤訊息，開發者可以參照官方的棄用相容性文件和NumPy 2.0搬遷指南進行處理。</p> </div></div></div>
2024/6/17 18:20作者李建興https://www.ithome.com.tw/news/163494
【iThome 2024資安大調查系列2】零信任驅動企業資安戰略轉型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1186-feng_mian_p1-open-dou_zi_-zi_an_da_diao_cha_xi_lie_2-960x420_kao_bei_0.jpg?itok=Zs2RyXqB" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣企業資安自信心比過去更高，也更想要推動資安轉型，破3成企業要採用零信任資安，4成企業持續招募資安人力，近5成CIO和CISO將資安轉型列為年度目標，金融、服務和一般製造業今年資安預算都破10%</p> </div></div></div>
2024/6/17 18:24作者王宏仁https://www.ithome.com.tw/article/163461
駭客組織Scattered Spider鎖定IT服務人員發動社交工程攻擊，竊取各式SaaS應用程式機密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾<a href="https://www.ithome.com.tw/news/152870">在2022年開始針對Twilio、Cloudflare等上百家IT業者的員工下手</a>，從事社交工程攻擊、網路釣魚攻擊、SIM挾持攻擊收集帳密資料，從而入侵企業內部環境，引起各界關注的駭客組織<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Scattered Spider</span>（也被叫做<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">0ktapus</span>、Octo Tempest、UNC3944），最近轉移攻擊目標而引起研究人員的注意。</p> <p>資安業者Mandiant指出，他們針對該組織持續進行追蹤發現，這些駭客在過去10個月裡，<a href="https://cloud.google.com/blog/topics/threat-intelligence/unc3944-targets-saas-applications/">將攻擊目標轉向企業使用的SaaS應用程式</a>，對方先是針對企業的IT服務臺（Help Desk）下手，藉由社交工程手法，得到特權帳號的初始存取管道。值得留意的是，駭客在發動攻擊之前，其實已掌握客服人員的個人識別資訊（PII），而能夠在過程裡繞過服務臺管理員的身分驗證。</p> <p>這些駭客對服務臺撥打電話，聲稱他們收到了新手機，需要重設多因素驗證（MFA）機制。在與服務臺管理員互動的過程中，對方不僅能重設特權帳號的密碼，還能繞過多因素驗證防護。</p> <p>在成功得到受害組織的初始存取權限後，這些駭客針對微軟應用系統進行內部偵察，並找出遠端連線的存取管道。他們經常挖掘SharePoint網站上提供的VPN、虛擬桌面基礎設施（VDI），以及遠距辦公相關的內部文件進行調查，從而濫用合法工具遠端存取受害組織的內部環境。</p> <p>此外，這些駭客也濫用身分驗證系統Okta，將成功入侵的帳號加入所有與Okta串連的應用程式，從而將攻擊範圍從內部網路環境延伸到雲端的SaaS應用程式。研究人員指出，這麼做駭客不僅濫用了單一簽入（SSO）機制，還能藉由Okta管理平臺觀察這些帳號的狀態，來進一步偵察。</p> <p>值得留意的是，這些駭客為了持續在受害組織活動，他們透過建立虛擬機器（VM）來達到目的。在許多攻擊行動裡，研究人員看到對方透過單一簽入存取vSphere及Azure，建立VM並藉此執行後續工作。研究人員指出，駭客這麼做的動機，主要是濫用管理群組或是應用程式綁定的管理員權限而能得逞。</p> <p>為了繞過雲端服務的身分驗證機制，他們發現對方利用名為PCUnlocker的光碟映像檔，並透過vCenter將其掛載到VM使用。此外，這些駭客還會重設電腦d的管理員密碼，而能繞過網域控制。</p> <p>而對於駭客存取的SaaS服務，他們指出包含了vCenter、CyberArk、SalesForce、Azure、CrowdStrike、AWS、GCP，而且，在成功入侵這類服務後，便會執行進一步的偵察，甚至會使用雲端同步工具Airbyte、Fivetran，將受害組織的資料轉移到GCP及AWS上。此外，他們也發現對方會拿EDR系統來進行測試，並鎖定Active Directory Federated Services（AD FS），從而將相關帳密用於Golden SAML攻擊。</p> </div></div></div>
2024/6/17 18:41作者周峻佑https://www.ithome.com.tw/news/163500
日本影音共享平臺Niconico、角川書店因資料中心遭受勒索軟體攻擊，被迫暫停相關服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本知名的影片共享平臺Niconico於<a href="https://web.archive.org/web/20240607210358/https://blog.nicovideo.jp/niconews/225099.html">6月8日凌晨3時23分</a>傳出服務異常的現象，並於<a href="https://x.com/nico_nico_talk/status/1799190761076101413">當天早上6時進行緊急維護作業</a>，後續公布事故發生的原因，是伺服器遭遇大規模攻擊，導致該網站的相關服務暫停，他們也將透過社群網站X的官方帳號公布處理的最新進度。<a href="https://blog.nicovideo.jp/niconews/225099.html">該網站指出</a>，Niconico旗下的家族服務都無法運作，包含Niconico動畫、Niconico生放送、Niconico頻道，此外，網路高中「N予備校」的系統也同樣停止服務。</p> <p>但不光是Niconico受到影響，該資安事故也出現其他同集團的服務停止運作的消息。<a href="https://prtimes.jp/main/html/rd/p/000014844.000007006.html">6月9日角川集團發出聲明</a>，自8日凌晨開始，他們發現多臺伺服器出現無法存取的現象，為了避免資料遭到破壞，該集團隨即關閉相關伺服器因應，根據初步的調查結果，他們遭遇了網路攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/iJhtXRTqTe-kadokawa.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/iJhtXRTqTe-kadokawa.png" style="width: 580px;" /></a></p> <p>當時，他們已確認Niconico、角川網站，以及電商平臺Ebten受到影響。</p> <p>Ebten於10日在網站上發布公告，表明之前下單的客戶他們將正常出貨，但他們無法發送相督的電子郵件通知信。該電商平臺也強調不在伺服器存放信用卡資料，目前未出現相關資料外流的情形。</p> <p>到了14日，經營Niconico的多玩國公司（Dwango）發出聲明，說明整起事件的發生經過，<a href="https://dwango.co.jp/news/5131439897051136/">證實這是一起勒索軟體攻擊事故</a>，並指出他們在察覺旗下服務無法運作後，已經切斷與角川集團資料中心伺服器之間的連線，並停止提供相關服務。然而，他們發現這起資安事故造成的危害，已擴散至內部網路環境，對此他們停止使用內部業務系統，並且禁止員工存取內部網路。</p> <p>該公司也公布處理這起事故的時間點，他們在9日向警方通報，並尋求外部專家協助，然後先後在10日、12日，通知日本個人資料保護委員會、關東地方財務局。</p> <p>多玩國表示，Niconico同時使用公有雲服務，以及母集團角川資料中心提供的私有雲服務。而這起事故發生的源頭，是資料中心有伺服器遭到勒索軟體攻擊，部分虛擬機器遭到加密而無法使用，導致包含Niconico在內的網路服務停擺。</p> <p>值得留意的是，在他們察覺攻擊行動並採取行動之後，駭客不斷嘗試重複出手。多玩國指出，IT人員在遠端關閉私有雲的伺服器後，他們發現對方嘗試遠端啟動伺服器，並試圖擴大感染範圍。對此，他們進一步拔除伺服器的電源線和網路線因應。</p> <p>該公司也進一步說明受影響的範圍，由於Niconico動畫網站、影片資料、影片發布系統都架設在公有雲上，因此並未受到影響。但該網站的直播（生放送）發布系統部署在私有雲，而受到波及。</p> <p>值得留意的是，多玩國強調Niconico的服務架構極為複雜，背後為數百個系統協同運作，因此他們必須對伺服器逐一確認，救出未受到的影響的資料，並重新架構該服務影音服務平臺，他們研判，若要完全恢復，需要1個月以上的時間。</p> <p>而對於用戶受到影響的部分，他們也打算對於Niconico付費會員、N予備校學生、頻道經營者提出補償，而相關方案將在6月至7月公布。</p> <p>比較特別的是，角川集團在因應內部系統無法短時間恢復運作的情況下，已針對部分系統提供替代方案。</p> <p>其中，最受到矚目的就是<a href="https://dwango.co.jp/news/5133989530566656/">14日下午3時推出的Niconico替代網站「ニコニコ動画（Re:仮）」</a>，多玩國表示他們在3天內架設完成，該網站主要收錄2007年時期的熱門影片，使用者無需登入就能觀看，但目前僅提供日本用戶存取。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GQP7J-2aEAA2idT.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GQP7J-2aEAA2idT.jpg" style="width: 580px;" /></a></p> <p>這樣的做法也引起當地網友朝聖，觀看17年前該平臺上的熱門影片，並認為這是<a href="https://www.itmedia.co.jp/news/articles/2406/15/news062.html">令和時代最大規模的網路老人聚會（インターネット老人会）</a>，而使得這組關鍵字成為<a href="https://x.com/search?q=%E3%82%A4%E3%83%B3%E3%82%BF%E3%83%BC%E3%83%8D%E3%83%83%E3%83%88%E8%80%81%E4%BA%BA%E4%BC%9A">當地X用戶的熱門話題</a>。</p> </div></div></div>
2024/6/17 17:39作者周峻佑https://www.ithome.com.tw/news/163495
【iThome 2024資安大調查系列2｜資安預算篇】企業IT預算的資安占比創新高，資安轉型企業加碼力道翻倍
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_gu_shi_-p5zi_an_yu_suan_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據iThome 2024年CIO大調查，企業資安預算在IT投資中的占比，在2023年首度超越了5%後，今年繼續增加到6.3%，連續三年呈現正成長的態勢，這也反映出，臺灣大型企業對資安投資的重視，一年比一年增加。整體產業的資安預算也持續加碼，不過，今年沒有像去年猛爆式的加碼，去年資安投資一口氣比前年增加了近兩年資安投資，到了2024年，資安投資成長力道回穩，達到4.7%，和往年平均成長率差不多，這也代表，企業資安投資開始趨於穩健發展的腳步。</p> <p>從金額來看，今年資安預算金額平均達到1,260萬元，不過，距離資安長心中，足以因應當前企業威脅的資安預算規模，還少了快3成，資安長期望的理想資安預算約1,635萬元。只有一類企業，今年資安預算達到了整體產業資安長的理想預算規模，那就是資安轉型企業。今年有高達49.8%的CIO將資安轉型列為年度目標，這一群資安轉型企業，也大力加碼資安投資來支持這個戰略目標。資安轉型企業今年平均資安預算達到1,800萬元之多，遠高於整體產業資安長的期望值。資安轉型企業的資安預算成長力道達到8.7%，幾乎是整體產業資安預算成長率4.7%的兩倍。為了推動資安轉型，不論是從被動防禦、多層式縱深防護，轉為主動防禦、資安左移、零信任資安，對企業來來說，都是根本性改變資安思維的做法，需要更多資源才能實現，讓資安轉型企業更積極地加碼資安投資。</p> <p>從各產業來看，資安投資力道今年和過去2去年有很大的變化，甚至是反轉。2022年在高科技製造業（暴增約6成）、一般製造業（暴增約3成）大舉加碼資安的帶動下，拉高了整體平均，醫療和政府學校前年的資安投資力道也高達2成的成長率。反而是資安預算向來居產業之冠的金融業，在那一年的資安投資力道最弱，2022年資安預算只比2021年多了5.4%。 </p> <p>去年，醫療資安預算成長率躍居各產業之冠，達到4成多，高科技也持續有2成的加碼。而金融業也開始追加資安預算，在去年出現了17.9%的成長率。</p> <p>到了今年，去年力道相對較弱的服務業，成了2024年資安加碼最多的產業，資安投資今年增加了12.5%，成長率次高是一般製造業業，在前年破天荒增加了3成之後，今年資安投資力道雖然趨緩，但也維持12.1%的高成長率，名列各產業第二。</p> <p>前年資安預算成長幅度最小的金融業，去年開始加碼，金融業今年資安預算投資持續維持兩位數成長，也達到11.2%。出人意外的是醫療業，去年大幅加碼4成資安預算的盛況不再出現，今年甚至出現預算緊縮，醫療業今年的資安預算比去年足足少了8.7％，是各產業中，唯一一個資安預算負成長的產業。去年資安投資大增2成的高科技業，今年則踩煞車，只微幅增加了2.4％的資安預算。</p> <p>雖然這三年來，不同產業的資安預算變化大起大落，但從三年尺度來看，各產業都是大幅加碼資安，只是有的產業是前年或去年加碼，有的則是到了今年才加碼。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P5%E8%B3%87%E5%AE%89%E9%A0%90%E7%AE%97-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P5%E8%B3%87%E5%AE%89%E9%A0%90%E7%AE%97-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P5%E8%B3%87%E5%AE%89%E9%A0%90%E7%AE%97-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P5%E8%B3%87%E5%AE%89%E9%A0%90%E7%AE%97-600-4-PNG.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> </div></div></div>
2024/6/17 16:37作者王宏仁https://www.ithome.com.tw/article/163452
微軟9月起淘汰個人電子郵件帳戶的基礎驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/outlook-blog/keeping-our-outlook-personal-email-users-safe-reinforcing-our/ba-p/4164184" target="_blank">微軟上周宣布</a>，將自今年9月16日起棄用Outlook個人電子郵件帳戶的基礎驗證（Basic Authentication），屆時用戶將無法再以簡單的名稱及密碼登入；亦將於8月19日棄用精簡版的Outlook Web App；並提醒會在年底結束對郵件（Mail）與行事曆（Calendar）程式的支援。</p> <p>根據微軟的說法，該公司的個人電子郵件帳戶用戶，包括Outlook.com、Hotmail.com與Live.com用戶，都必須在9月16日以前轉移到新式身分驗證（Modern Authentication）方式，此一規則適用於所有的Outlook用戶。到時Outlook將會要求擁有微軟電子郵件帳戶的使用者，採用那些支援新式身分驗證的郵件程式、行事曆程式，以及Outlook.com網站。</p> <p>所謂的基礎驗證就是僅利用名稱及密碼來登入服務，而微軟所宣稱的新式驗證則是涵蓋了多因素驗證、基於客戶端憑證的身分驗證，或者是OAuth等，是微軟額外利用後端程序或權杖，來強化帳戶安全的驗證方式。</p> <p>微軟表示，使用者或許不會注意到這些額外的程序，但若不遷移到新式驗證，未來將無法再透過相關的應用程式存取Outlook.com、Hotmail.com或Live.com等服務的電子郵件。至於遷移至新式驗證最容易的方法就是升級程式，包括下載Android及iOS平臺上的免費Outlook程式，以及安裝Outlook for Mac或Outlook for Windows程式，也能在Microsoft 365中購買Outlook授權。至於Outlook 2021並未受到此一宣布的影響。</p> <p>其實微軟早在2022年10月就關閉企業所使用的<a href="https://www.ithome.com.tw/news/146914" target="_blank">Exchange的基礎驗證功能</a>，此次的發表是針對個人電子郵件用戶。</p> <p>另一個要退役的是精簡版的Outlook Web App，這是微軟專為不支援完整版Outlook Web App的舊版瀏覽器所設計的版本，它使用更簡單的介面，可支援更慢的網路連結，功能也較陽春。</p> <p>微軟表示，為了要更快且更好地保護用戶安全，將在今年8月19日停用精簡版的Outlook Web App，這也意味著之後用戶必須使用較新的瀏覽器以執行完整版Outlook Web App，其最低瀏覽器版本需求為Microsoft Edge 79、Chrome 79、Firefox 78、Safari及Opera 76。</p> <p>至於Windows中的郵件與行事曆程式的消失，則是因為微軟去年已經把它們<a href="https://www.ithome.com.tw/news/157913" target="_blank">整合成Outlook for Windows</a>，只是還允許用戶下載及使用。但微軟提醒，自今年的12月31日之後，Microsoft Store就不會再提供使用者下載郵件與行事曆程式，微軟也不會再支援這兩個程式。</p> </div></div></div>
2024/6/17 17:08作者陳曉莉https://www.ithome.com.tw/news/163493
針對部分廠區遭遇網路攻擊，半導體晶圓廠環球晶圓二度發布重大訊息，證實生產及出貨出現延遲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對6月12日發生部分資訊系統遭遇駭客攻擊的情況，<a href="https://www.ithome.com.tw/news/163456">半導體矽晶圓廠環球晶圓（環球晶）先是在13日發布重大訊息</a>證實此事，並表示他們正在著手調查影響情形，14日該公司再度發布重大訊息，進一步說明事故處理進度。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=163610&SPOKE_DATE=20240614&COMPANY_ID=6488">環球晶圓指出</a>，在他們與外部專家聯手調查之下，已經確認重要的資料、系統並未受到損害。然而，由於他們在調查初期，為了降低資安事故可能擴大的風險，並釐清影響範圍，當時他們選擇暫時關閉部分作業系統，導致部分廠區的生產及出貨作業，出現延遲的現象。</p> <p>這些被關閉的系統當中，局部已陸續恢復作業，他們也將持續與技術專家進行事故調查，以及恢復營運的工作。不過，他們仍然並未透露遭遇的攻擊類型，也沒有說明有多少系統受到影響。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/8vWVXN6wgE.png" style="width: 580px;" /></p> </div></div></div>
2024/6/17 15:20作者周峻佑https://www.ithome.com.tw/news/163491
Nvidia開源Nemotron-4 340B家族，以供開發者建置大型語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia上周<a href="https://blogs.nvidia.com/blog/nemotron-4-synthetic-data-generation-llm-training/" target="_blank">開源了Nemotron-4 340B模型家族</a>，它包含了基礎模型、指令模型及獎勵模型，可用來生成合成資料，藉以訓練大型語言模型（LLM），現已可<a href="https://huggingface.co/collections/nvidia/nemotron-4-340b-666b7ebaf1b3867caf2f1911" target="_blank">自Hugging Face下載</a>，之後也能透過Nvidia網站以API及NIM微服務來存取模型。</p> <p>Nvidia表示，高品質的訓練資料對一個客製化LLM的性能及準確度都很重要，但強大的資料集既難存取又昂貴，現在開發者可藉由開放模型授權來免費存取Nemotron-4 340B，以生成合成資料，並建置強大的LLM。該模型家族支援醫療照護、金融、製造、零售與其它領域的商業應用。</p> <p>其中，Nemotron-4 340B的基礎模型在9兆個Token上進行訓練，可利用NeMo框架進行客製化，以支援特定領域；而指令模型則是用來創建模仿真實世界資料特徵的各種合成資料，以提高不同領域的資料品質；再利用獎勵模型進行過濾，進而獲得更高品質的回應。總之，Nemotron-4 340B的3種模型建立了一個管道，以生成及優化用來訓練LLM的合成資料。</p> <p>此外，上述模型已針對NeMo框架及TensorRT-LLM函式庫進行最佳化，前者可用來支援端對端的模型訓練，後者則是用來加速推論。</p> </div></div></div>
2024/6/17 14:36作者陳曉莉https://www.ithome.com.tw/news/163490
微軟跨平臺應用開發框架.NET MAUI擴充套件登陸VS Code
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>.NET MAUI（.NET Multi-platform App UI）是近年微軟重點發展的跨平臺開發框架，而現在使用程式碼編輯器VS Code的開發者，也可以透過<a href="https://devblogs.microsoft.com/dotnet/the-dotnet-maui-extension-for-visual-studio-code-is-now-generally-available/">.NET MAUI擴充套件</a>，使用到XAML IntelliSense和熱重載（Hot Reload）等好用的功能。</p> <p>.NET MAUI讓開發者可以使用單一程式碼庫，建立iOS、Android、macOS和Windows多平臺的應用程式，是開放原始碼UI架構的Xamarin.Forms的後繼者，提供更統一且現代化的開發功能與元件。微軟現在也在VS Code提供.NET MAUI支援，透過擴充套件讓使用VS Code的開發者也能夠用到開發.NET MAUI應用程式所需要的工具。</p> <p>.NET MAUI擴充套件建構在C#開發工具包和C#擴充套件之上，並增加了解決方案資源管理器、C#熱重載和C# IntelliSense功能。.NET MAUI擴充套件預覽版附帶了基本的XAML語法突出顯示和程式碼完成功能，而隨著微軟在Visual Studio中對XAML語言服務的改進，這些更新也在.NET MAUI擴充套件的正式版本被帶入到VS Code中，且能夠與Copilot搭配使用，提供自動完成工具提示等智慧開發功能。</p> <p>此外，開發者也能熱重載對C#和XAML檔案進行編輯，目前XAML熱重載已經預設啟用，開發者在應用程式執行時編輯XAML程式碼，能立即觀察到UI的更新，而C#熱重載功能則還在實驗階段，需要開發者手動啟用，才能在除錯階段使用。熱重載減少了因為重新啟動應用程式所產生的開發工作流程中斷，也減少編輯和測試之間的等待時間，明顯提高開發的效率，能夠進一步增加開發者的生產力。</p> </div></div></div>
2024/6/17 12:37作者李建興https://www.ithome.com.tw/news/163489
AI趨勢周報第255期： Google DeepMind開源核融合裝置模擬器TORAX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0607～0613)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 核融合 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> JAX </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DeepMind </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google DeepMind打造核融合裝置模擬器TORAX，還開源了</strong></span></p> <p>最近，Google DeepMind開源一款可微分的托卡馬克（Tokamak）核心運輸模擬器TORAX，採JAX框架，以Python實作。這款TORAX結合了物理模組和機器學習模型，可用來計算托卡馬克核融合裝置中，離子熱傳輸、電子熱傳輸、粒子傳輸和電流擴散的耦合方程式。</p> <p>尤其JAX框架具有即時編譯和自動微分的優勢，TORAX可快速執行運算，也能實現梯度最佳化和基於Jacobi矩陣的PDE求解器。而且，JAX對類神經網路的開發和推論支援，也大幅促進了物理模型和機器學習代理的耦合。團隊也以RAPTOR碼來驗證TORAX，證明模擬等離子分布的結果是一致的。Google DeepMind表示，TORAX提供強大、多功能的工具，可用來實現快速且準確的前向建模、脈衝設計、軌跡優化和控制器設計，目前已<a href="https://github.com/google-deepmind/torax">在GitHub上開源</a>，要促進更多核融合的研究。<a href="https://torax.readthedocs.io/en/latest/index.html">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CNN </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 局部性 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta AI證實Transformer能跳脫鄰近局部性框架</strong></span></p> <p>日前，Meta AI和阿姆斯特丹大學發表最新研究，發現Transformer模型不必按照電腦視覺模型長年遵守的鄰近局部性（Locality），也能直接處理圖像中的單個像素，且表現更好，雖然因序列更長、運算成本更高。</p> <p>進一步來說，傳統電腦視覺架構，如卷積網路（CNN）、ViT等，都假定圖片中的鄰近像素更相關，並透過卷積核、池化操作和圖像切片等技術來計算鄰近像素，也因此出現將圖像分割為多個16x16的區塊、將這些區塊視為1個Token來計算的作法。這就是長久以來的鄰近局部性基本假設。</p> <p>但Meta AI和阿姆斯特丹大學以Transformer實驗，將每個像素視為一個個Token來處理，摒除了圖像2D網格結構的假設。他們將這種模型稱為PiT，經測試，PiT在物件分類、圖像生成等任務表現優異，甚至在某些領域，還大幅優於傳統方法。團隊表示，他們並非提倡以PiT取代ViT，而是證明Transformers透過對圖片單一像素運算（而非16×16的區塊），可達到非常好的表現，意味著模型能從單一像素中捕捉更多訊號。而這一發現，也挑戰了電腦視覺任務必須要有局部性的傳統觀念。<a href="https://arxiv.org/abs/2406.09415">（詳全文）</a></p> <p><img alt="" src="https://arxiv.org/html/2406.09415v1/x1.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 糖尿病 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健保署 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>健保署聯手Google要打造糖尿病風險預測AI</strong></span></p> <p>健保署日前宣布聯手Google，展開為期5年的合作，要使用Google雲端算力資源、MedLM基礎模型、Vertex AI平臺和資料處理工具等，來與國衛院共同打造專屬臺灣的疾病風險預測模型，第一波瞄準糖尿病風險預測模型。這是因為，在臺灣每10人就有1人罹患糖尿病，且其併發症嚴重，如心血管疾病、腎病、視網膜及神經病變等，需及早介入預防與治療。</p> <p>在模型訓練資料部分，健保署會採用去識別化的性別、年齡、家族病史、風險資訊、國際疾病分類代碼ICD-10和檢驗檢查等資料，同時透過國衛院專業知識找出更多參數，來訓練糖尿病風險預測模型。完成後，模型會透過健保署健保雲執行，醫療院所醫師上傳資料到健保雲，模型運算後會傳送結果給醫師和民眾。這個風險預測分2種，一是針對未患糖尿病的民眾，模型會提供10年內、5年內和1至3年內的罹病風險，另一是患糖尿病民眾，模型會提供數種風險預測，如總住院率、特定原因住院率、死亡率、慢性病罹患率等。</p> <p>其中，風險高低會以燈號表示，作為分級醫療參考，比如綠色為低風險、黃綠色為有風險、黃色是中風險、黃橙色中高風險、紅橙色高風險，紅色則是嚴重風險。風險較低的民眾可建議至衛生所、門診就醫，黃色燈號則可轉介至地區醫院、黃橙色至區域醫院，高風險和嚴重風險則至醫學中心，以此達到分級醫療目標。石崇良表示，健保署與Google聯手打造的糖尿病風險預測AI是第一波應用，藉此拋磚引玉，來推動、擴大到更多慢性病和三高疾病風險管理。<a href="https://www.ithome.com.tw/news/163442">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%B6%E9%86%AB%E5%A4%A7%E5%B9%B3%E8%87%BA.JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> HelpSteer2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia開源HelpSteer2資料集，可低成本確保LLM與人類偏好一致</strong></span></p> <p>最近，Nvidia開源一款資料集HelpSteer2，可用來訓練先進的獎勵模型，來引導大型語言模型（LLM）產出與人類偏好一致的回答。這個資料集共有10,681組提示和回答，並由1,000多名美國註釋者按Likert量表，對5種屬性標註。</p> <p>此團隊表示，他們用HelpSteer2資料集來訓練自家3,400億參數的Nemotron-4基本模型後，在RewardBench主要資料集測試，達到了最先進的92.0%準確率，優於任何現有的開放和專有模型。而且，這個資料集才1萬多個提示-回答組，比起現有的偏好資料集（如HH-RLHF）動輒數百萬組，大幅降低了運算成本。團隊表示，這個資料集可用來對齊Llamna-3-70B等這類LLM，來提高與人類偏好的一致性。<a href="https://huggingface.co/papers/2406.08673">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蘋果 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ChatGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Apple Intelligence </span></strong></span></p> <p><span style="font-size:22px;"><strong>整合ChatGPT！蘋果新推Apple Intelligence智慧功能</strong></span></p> <p>蘋果在日前舉行的WWDC開發者大會上發表AI服務Apple Intelligence，將進駐macOS Sequoia、iOS 18與iPadOS 18等蘋果作業系統。同時，蘋果也宣布與OpenAI合作，將在Siri、Writing Tools中整合GPT-4o驅動的ChatGPT。</p> <p>進一步來說，這款Apple Intelligence提供多項AI功能，包括寫作工具Writing Tools、圖像創作工具Image Playground、可客製化表情符號的Genmoji，以及強化的Siri。其中，Writing Tools可讓使用者在郵件、備忘錄、Pages或第三方的程式中，改寫、校對或摘要文本，還能透過Compose功能來存取ChatGPT的圖像工具，可在文字中嵌入圖像。</p> <p>再來，Image Playground將內建於訊息、Keynote、Pages等蘋果原生應用程式中，並支援採用Image Playground API的第三方程式，使用者可在幾秒內以文字描述、所挑選的主題、服裝、配件、地點或個人來創作圖像，還能以動畫、插圖或素描的方式呈現。Genmoji則允許使用者以文字描述來客製化表情符號。Apple Intelligence也改善了照片/影片搜尋功能，能以自然語言搜尋特定照片，例如「臉上貼著貼紙的Katie」，或找到影片中的特定段落。<a href="https://www.apple.com/newsroom/2024/06/introducing-apple-intelligence-for-iphone-ipad-and-mac/">（詳全文）</a></p> <p><img alt="" src="https://www.apple.com/newsroom/images/2024/06/introducing-apple-intelligence-for-iphone-ipad-and-mac/article/Apple-WWDC24-Apple-Intelligence-hero-240610_big.jpg.large_2x.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PyTorch </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 漏洞 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Huntr </span></strong></span></p> <p><span style="font-size:22px;"><strong>開源機器學習框架PyTorch存在重大漏洞</strong></span></p> <p>今年4月，有研究者向漏洞懸賞平臺Huntr通報開源機器學習框架PyTorch存在重大層級漏洞CVE-2024-5480，CVSS風險評分達到10分，影響2.2.2版以前的PyTorch。對此，Huntr向通報者提供1,500美元獎勵，並在日前公布細節。</p> <p>這漏洞位於torch.distributed.rpc框架，開發者使用該框架執行RPC呼叫時，該框架未驗證相關功能是否如開發者預期執行，因此攻擊者能藉機透過網路使用RPC呼叫Python功能，進而載入Python程式庫並執行任意命令。這個框架通常用於分散式訓練，如增強式學習、模型平行化等，因此影響範圍相當廣泛。研究人員也提供概念性驗證（PoC）程式碼，並指出該漏洞可能帶來的影響：由於攻擊者可將其用來遠端攻擊分散式訓練的master節點，一旦這些節點遭到入侵，對方就有機會竊取與AI有關的敏感資料。<a href="https://huntr.com/bounties/39811836-c5b3-4999-831e-46fee8fcade3">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ChromeOS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Android </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>要加速AI創新應用，ChromeOS將重整Android技術架構</strong></span></p> <p>Google日前宣布，ChromeOS很快就會重整Android技術架構，包括把Android Linux核心和Android框架當作ChromeOS基礎，來加速ChromeOS執行AI創新應用或其他新功能的速度。</p> <p>其實ChromeOS一直在向Android靠攏，Google自2016年就讓ChromeOS用戶執行Android程式，隔年更宣布採用ChromeOS的所有Chromebook筆電都將支援Google Play和Android程式。此外，自今年3月發表的ChromeOS 122起，ChromeOS也開始改用Android的藍牙架構Fluoride。Google解釋，把Android技術架構導入ChromeOS，可加速ChromeOS核心的AI創新腳步，簡化工程任務，有助於手機等各種裝置與Chromebook更相容。<a href="https://blog.chromium.org/2024/06/building-faster-smarter-chromebook.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 甲骨文 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI採用甲骨文雲端為基礎架構</strong></span></p> <p>甲骨文和OpenAI宣布合作，OpenAI將採用甲骨文雲端基礎架構（OCI），來擴展微軟Azure AI的基礎架構，加速執行模型推論等任務。這項合作涉及OpenAI、微軟Azure和甲骨文等3家業者，目的是要OCI作為類似備援方案，可從微軟Azure AI擴展到甲骨文雲端，來提供負載更高的處理能力。</p> <p>其中，光是OpenAI的ChatGPT AI服務，每月用戶數就超過1億，是最吃運算資源的任務。這項合作是讓OpenAI使用「OCI基礎架構上的Azure AI平臺」，來執行推論和其他作業，OpenAI最尖端的模型仍執行在與微軟合作的超級電腦上。<a href="https://www.oracle.com/news/announcement/openai-selects-oracle-cloud-infrastructure-to-extend-microsoft-azure-ai-platform-2024-06-11/">（詳全文）</a></p> <p>圖片來源／Meta AI、Apple</p> <p>攝影／王若樸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 微軟將預設關閉Copilot+ PC中的Recall功能，以平息隱私疑慮</strong></p> <p><strong>2. Databricks聯手Shutterstock推出企業級文生圖AI服務ImageAI</strong></p> <p><strong>3. 杜拜發起100萬提示者計畫（One Million Prompters），要在3年內培訓100萬名懂提示工程的AI人才</strong></p> <p>資料來源：iThome整理，2024年6月</p> </div></div></div>
2024/6/16 02:59作者王若樸https://www.ithome.com.tw/news/163479
AI醫療診斷業者Tempus AI登上那斯達克，首日股價上漲8%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用人工智慧技術來改善醫療服務的Tempus AI，在上周五（6/14）以TEM為代號登上美國那斯達克（Nasdaq）股市，每股發行價為37美元，上市首日股價即上漲8.78%，以40.25美元作收，創下逾66億美元的市值。</p> <p>Tempus AI是在2015年由Eric Lefkofsky所創立，專注於打造得以汲取即時醫療資料的平臺，以進行個人化的診斷，最早僅支援腫瘤，隨後日益擴展至神經心理學、心臟病、諸如Covid等傳染病，以及影像診斷等，現有的員工數量約為2,300名。</p> <p>根據Tempus AI<a href="https://www.sec.gov/Archives/edgar/data/1717115/000119312524142956/d221145ds1.htm" target="_blank">提交給美國證券交易委員會的文件</a>，該平臺建立了450個醫療照護資料連結網路，可即時提供複雜的多模態資料，覆蓋逾2,000個醫療照護機構。Tempus AI將去識別化的資料集中到統一的多模態資料庫中，以向客戶提供分析及決策服務。目前Tempus AI的用戶包括全球95%的大型製藥業者，以及來自數百個供應商網路的逾7,000名醫生。</p> <p>Tempus AI的三大產品線為基因組學、資料與服務，以及AI應用，在2022年與2023年的總營收分別是3.207億美元及5.318億美元，虧損則高達2.898億美元及2.141億美元。現階段有一半以上的營收都來自基因組學，AI應用則占不到總營收的1%。</p> <p>Tempus AI正在開發的AI應用專注於發展與提供基於演算法的診斷，把軟體當作醫療裝置，並建置及部署臨床決策支援工具，目前的主要產品為Next平臺，在日常產生的資料上部署基於機器學習的智慧層，以協助找出可能被忽略或未能及時處理的健康問題。不過，迄今AI應用的每季收入都不到100萬美元。</p> </div></div></div>
2024/6/17 11:46作者陳曉莉https://www.ithome.com.tw/news/163487
當局阻撓，Meta AI延後在歐盟地區上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應歐盟資料主管機關要求，<a href="https://about.fb.com/news/2024/06/building-ai-technology-for-europeans-in-a-transparent-and-responsible-way/" target="_blank">Meta宣布</a>暫時延後在歐盟地區推出Meta AI模型及服務。</p> <p>此舉乃是因應愛爾蘭資料保護委員會（Data Protection Commission，DPC）及英國資訊專員辦公室（Information Commissioner's Office）的要求，迫使這家社群平臺大廠變更其一周前的決定。</p> <p>上周Meta宣布，將繼其他國家之後，計畫近期把生成式AI功能、服務及模型，包括Meta AI助理及Llama推向歐洲。目前Meta AI已在包括美、加、澳、星等10多個國家上線。但Meta強調，為了提供更符合歐洲用戶需求的AI服務，其模型必須得以反映多元語言、地理區和文化事物的相關資訊，因此他們計畫使用在Meta平臺與產品，包括臉書和Instagram（IG）上公開分享的用戶內容，如公開粉絲專頁、動態內容及社群的貼文或回應來訓練模型。</p> <p>不過愛爾蘭當局代表其他國家的資料主管機關，要求Meta暫緩使用歐洲用戶的資料訓練其AI模型。英國資訊專員辦公室（ICO）也公開做出類似呼籲。</p> <p>Meta於周五回應，對主管機關的要求感到失望，尤其他們三月以來已積極配合當局的要求。Meta表示這是在AI開發的創新和競爭路上走回頭路，也延後歐洲用戶享受到的好處。</p> <p>Meta上周已表明，不用歐洲用戶的公開內容訓練，其AI功能就無法精準了解重要的區域語言、文化或流行主題，也就無法對歐洲用戶提供符合當地需求的AI服務。此外，Meta也說自己不是第一個這麼做的，Google和OpenAI等公司早已使用歐洲用戶來訓練AI。而且Meta宣稱自己的作法比其他人更透明，並提供更容易的控制選擇。</p> <p>因此，在歐洲主管機關的要求下，Meta認為現在無法在歐洲推出Meta AI。<a href="https://www.dataprotection.ie/news-media/latest-news/dpcs-engagement-meta-ai" target="_blank">愛爾蘭主管機關</a>對Meta的決定表達歡迎。<a href="https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2024/06/statement-in-response-to-metas-plans-to-train-generative-ai-with-user-data" target="_blank">英國政府</a>也肯定Meta的行動。Meta表示會持續和二個主管機關密切合作，讓歐洲用戶及早使用Meta AI，Meta同時承諾會解決英國ICO提出的要求。</p> <p>去年愛爾蘭當局調查後認為Meta蒐集歐洲經濟區的個人用戶資料，違反了歐盟隱私法GDPR（General Data Protection Regulation）禁止資料跨境傳輸的規定，並且判罰Meta 12億美元，創下GDPR罰款最高的紀錄。</p> </div></div></div>
2024/6/17 10:07作者林妍溱https://www.ithome.com.tw/news/163485
微軟延後部署Recall，將趕不及Copilot+ PC首發出貨
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2024/06/07/update-on-the-recall-preview-feature-for-copilot-pcs/" target="_blank">微軟上周宣布</a>具爭議的Recall功能將延後數星期提供給即將在本周二（6/18）正式出貨的Copilot+ PC，意謂著首批拿到的用戶不會使用到這項功能。</p> <p>微軟Windows +裝置事業群主管Pavan Davuluri指出，將把Copilot + PC的Recall預覽版改為給Windows Insiders測試方案的用戶，時間約數個星期。微軟計畫在傾聽測試用戶意見後，再把Recall預覽版部署給所有新出貨Copilot +PC用戶。微軟強調這項決定是為了提供可信賴、安全和紮實的體驗、在推出給所有Copilot + PC用戶前尋求更多回饋意見，也是反映其「安全未來倡議（Secure Future Initiative，SFI）」以安全為第一要務的精神。</p> <p>事實上，微軟上周就已一度暫緩發布Recall功能。微軟原本已在5月20日公測Copilot +PC需要的Windows 24H2，但<a href="https://www.ithome.com.tw/news/163441" target="_blank">上周一臨時宣布</a>暫時從即將出貨的Release Preview Channel移除數個星期，意謂著只提供給Insiders方案的測試用戶。</p> <p>暫緩擴大部署Windows 11 24H2的主要原因可能是效能及穩定性不佳，但在此之前微軟臨時宣布Recall由預設開啟改為預設關閉。Recall是Windows Copilot+ PC的主打應用程式，其原理是為用戶在PC上的活動定期拍照，並以AI加上索引，讓用戶可以透過查詢時間軸找出想尋找的應用程式、文件或檔案，還會提供建議。但安全專家卻批評Recall有安全疑慮，例如安全專家Kevin Beaumont發現這些快照是不加密儲存在Windows Copilot +PC上的資料庫，可能讓能存取PC的惡意程式或他人取得用戶重要資訊，如密碼或銀行帳戶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0617-copilot%20%2Bpc-recall.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>雖然微軟二周前<a href="https://www.ithome.com.tw/news/163381" target="_blank">承諾</a>會在Copilot +PC推出前改善Recall問題，並且增加以Windows Hello加密，但上周的宣布已顯示微軟無法趕得及首批Copilot +PC上市前完成修正。</p> </div></div></div>
2024/6/17 09:48作者林妍溱https://www.ithome.com.tw/news/163484
Cloud周報第202期：全球第40座！亞馬遜在臺AWS區域級資料中心明年初將啟用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞（06/16～06/12）</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺灣區域級資料中心 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">亞馬遜明年初啟用臺灣首座AWS區域級資料中心，可將延遲時間縮短至10毫秒內</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240612_030931800.jpg" style="width: 600px; height: 337px;" /></p> <p>亞馬遜AWS今天宣布了在臺的最新發展計畫，將在臺灣興建雲端資料中心。這也是AWS在全球公布的第40 座區域級（Region）雲端資料中心，預估未來臺灣企業使用AWS臺灣區域的延遲時間，有望從50多毫秒縮短到10毫秒以下。</p> <p>AWS香港暨台灣總經理王定愷預告，AWS這座臺灣雲端資料中心將於2025年初正式上線營運，並將以「Asia Pacific (Taipei)」的區域名稱，提供區域級公有雲服務。此外，他進一步表示，AWS計畫未來15年在臺投資數十億美元，支持臺灣雲端業務發展。</p> <p>從資料中心設計來看，這座資料中心同樣將由3個可用區域（AZ）組成且區域間彼此相隔，每個AZ之間都具有獨立的電源、冷卻和實體安全性，並透過冗餘、超低延遲網路串連，來實現服務或應用高可用性與高容錯。</p> <p>王定愷透露，隨著臺灣區域的啟用，未來，預估本地企業使用 AWS 服務的往返延遲時間有望進一步縮短至10毫秒以下。如果根據亞馬遜WorkSpaces 網站的檢測工具顯示，臺灣本地到 AWS 東京區域資料中心的往返時間最短，平均約為55毫秒。這意謂著改用臺灣區域資料中心後，往返延遲時間將能再減少約45毫秒。</p> <p>統計到今年6月12日為止，在AWS官網上公布的全球Region（區域級）雲端資料中心，加上已公布但還未啟用的區域，包括臺灣區域，全球共有40個，其中有7座是正在興建中的新雲端資料中心，</p> <p>隨著AWS臺灣雲端資料中心明年初啟用，意謂著臺灣三大公雲其中的兩家Google和AWS都已在臺灣啟用或即將啟用區域級雲端資料中心，微軟在幾年前也宣布臺灣雲端資料中心建置計畫，但目前仍在建置中，尚未公布啟用時程。隨著三大公雲落地臺灣，臺灣將進到多雲混合雲的競爭時代。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 私有雲運算 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">蘋果發表私有雲運算基礎設施，引進iPhone硬體安全和隱私機制，強化雲端LLM處理的用戶隱私與安全性</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-06-12%20%E4%B8%8A%E5%8D%886_57_20.png" style="width: 600px; height: 359px;" /></p> <p>在WWDC開發者大會上，蘋果不僅展示了可以在本機端離線執行的Apple Intelligence應用，對於需較高運算處理的LLM任務，蘋果還推出了一個全新私有雲運算基礎設施（Private Cloud Compute, PCC），該設施能在蘋果的私有雲中安全且可控地進行運算，並將處理結果回傳給用戶裝置。</p> <p>蘋果強調，這是專為私有AI處理設計的一套雲端智慧系統，採用客製化的Apple晶片和增強隱私設計的作業系統構建。該系統結合了Apple裝置安全和隱私機制，確保發送到PCC的個人用戶資料無法被任何人存取，包括蘋果自己。</p> <p>在PCC採用客製化的伺服器硬體中，整合Apple晶片的功能和安全性，並引進 iPhone中使用的相同硬體安全技術，包括Secure Enclave 和 Secure Boot，同時執行在以iOS 和 macOS基礎強化的子集新作業系統上，支援大型語言模型 (LLM) 的推理工作負載，意謂著可以利用程式碼簽署和沙箱等iOS安全技術，確保雲端LLM處理的用戶隱私與安全性。</p> <p>PCC本身也具備有雲端擴展能力，同時考慮到隱私，捨棄了傳統上對資料中心管理至關重要的通用軟體元件，例如遠端 shell 以及系統自我檢測和可觀察工具，改以專用元件取代。此外，在伺服器上使用Swift程式語言建立了新的機器學習堆疊，專用於託管雲端基礎模型。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">資料庫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Salesforce </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Salesforce正式推出資料雲向量資料庫，可支援非結構化資料處理</span></strong></p> <p>雲端CRM大廠Salesforce近日推出了資料雲向量資料庫服務，能夠協助企業處理內部非結構化資料，包括PDF、電子郵件、文字記錄和其他非結構化格式的客戶資料，使企業可以利用這些資料發展更深化的生成式AI 應用。</p> <p>透過這套向量資料庫，企業可以將非結構化資料來源，例如通話記錄、線上客戶評論和支援票證，直接整合到客戶檔案中，深入地了解客戶需求和偏好。此外，GenAI也可以利用這些資料增強銷售、服務、行銷和商務體驗的見解和內容，例如Einstein AI可以使用這些數據主動完成服務呼叫工作排程，幫助銷售團隊更快完成pipelines，並推動更具策略性的行銷活動。</p> <p>資料雲還能通過非結構化和結構化數據，利用Einstein 1平臺中 Salesforce元數據的功能，使分析師現在可以在Tableau 中進行探索和視覺化。此外，開發人員可以建立Salesforce Flow自動化，而業務使用者則可根據他們的生成式AI 提示進行操作。這減少了微調大型語言模型 (LLM) 的需求，同時提高了 Einstein Copilot 結果的準確性。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">安全漏洞 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Azure </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟Azure服務標籤中存有安全漏洞，可能允許駭客獲得未授權的雲端資源存取權限</span></strong></p> <p>微軟近日警告，Azure服務標籤可能被駭客偽造，繞過防火牆取得未經授權的雲端資源存取權限。</p> <p>微軟安全性回應中心（MSRC）於今年1月收到網路安全公司Tenable的通報，指其服務標籤功能存在漏洞，可能導致跨租戶存取Web資源。Tenable發現，某些Azure服務允許外站(<span class="ILfuVd" lang="zh" xml:lang="zh"><span class="hgKElc">Inbound Traffic</span></span>)透過服務標籤存取其服務，這可能使一個租戶中的攻擊者發送特製的Web請求來存取另一個租戶中的資源，且不執行任何身份驗證。</p> <p>研究發現，10個Azure服務易受攻擊，包括Azure應用程式洞察、Azure DevOps、Azure機器學習、Azure邏輯應用、Azure容器註冊表、Azure負載測試、Azure API管理、Azure資料工廠、Azure行動群組、Azure AI視訊索引器和Azure Chaos Studio。</p> <p>Tenable研究員Liv Matan表示，此漏洞使攻擊者能夠控制伺服器端請求，冒充受信任的Azure服務，繞過基於服務標籤的網路控制，存取Azure客戶的內部資產、資料和服務。</p> <p>微軟後來更新文檔，調整Azure服務標籤指導文件，並建議客戶檢查自身對服務標籤的使用情況，並確保採用了足夠的安全防護措施，對服務標籤的可信任網路流量進行身份驗證。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">甲骨文 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">甲骨文與GCP結盟，新服務將允許企業可直接於Azure中部署OCI資料庫服務</span></strong></p> <p>繼去年結盟微軟後，甲骨文最近宣布和Google Cloud合作，共同發表了Oracle <a href="mailto:Database@Google">Database@Google</a> Cloud服務，透過這項服務，Oracle企業用戶將得以直接存取部署於Azure公雲的甲骨文雲端基礎設施（Oracle Cloud Infrastructure，OCI）上的甲骨文資料庫服務。</p> <p>甲骨文強調此雲端資料庫具備甲骨文最高的資料庫和網路效能，功能和價格也和OCI平臺上的版本一樣，預計將於今年下半年推出，未來可以運用在多種產業，包括金融、醫療、零售、製造等。</p> <p>除了雲端資料庫合作外，雙方還宣布在GCP與OCI網路之間建立專有實體連線，提供跨雲互連整合服務，將使得部署在二個雲環境的資料交換更快速，也能讓雙方用戶可獲得Google Cloud及甲骨文共同支援服務。</p> <p> </p> <p>攝影:余至浩；圖片來源／Apple</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.博通再調整授權政策，不再提供VMware Cloud on AWS中按需使用量的服務模式</strong></p> <p><strong>2.OpenAI採用甲骨文雲端為運行基礎架構，強調和微軟合作不變</strong></p> <p> </p> <p><strong>資料來源：iThome整理，2024年6月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/6/17 09:52作者余至浩https://www.ithome.com.tw/news/163482
Apple持續擴展Swift生態系，強化跨平臺支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple在開發者大會<a href="https://developer.apple.com/whats-new/" target="_blank">WWDC24推出一系列開發者工具更新</a>，除了眾所矚目的個人人工智慧功能Apple Intelligence之外，包括Xcode、Swift都有重大更新，就整體發展趨勢來看，Apple正逐漸改變過去封閉自家生態系的策略，並提供更多跨平臺的支援。</p> <p>過去Apple以其封閉的生態系統聞名，這種策略讓Apple的軟硬體能無縫整合，提供了良好的用戶體驗。不過，隨著科技的發展和市場變化，開發者和用戶對跨平臺的需求越來越高，Apple回應此一趨勢開始調整其策略，逐漸開放其生態系，並加強對跨平臺的支援。</p> <p>從程式語言Swift的發展，也能一窺Apple的策略變化。<a href="https://www.swift.org/blog/swiftlang-github/" target="_blank">Swift專案儲存庫搬遷到了專門的GitHub組織</a>，不再附屬於Apple之下，官方指出，這反映了Swift社群的成熟，同時也凸顯Swift在Apple自家生態系外的蓬勃發展。創建Swift專門的GitHub組織，將有助於Swift擴展覆蓋範圍至更多平臺與使用案例，擴大Swift的影響力。</p> <p class="rtecenter"><a href="https://github.com/swiftlang" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0617-%20GitHub-swiftlang.png" style="width: 600px;" /></a></p> <p>Swift最初僅限於Apple平臺，但隨後開始支援了Linux和Windows，不過要在這兩個平臺使用Swift，開發體驗仍遠不及Apple平臺，以自2015年就支援的Linux為例，要在其上進行建置並不容易，Swift編寫的Linux程式要能夠運作，除了需確保目標系統存在Swift執行環境和相依項目之外，針對特定Linux發行版或是特定主要版本建置的Swift程式，不一定能在其他發行版或是主要版本中運作。</p> <p>這是因為不同Linux發行版或是主要版本之間，可能存在不同函式庫、相依項目和系統配置，導致不相容的問題。現在Apple釋出了<a href="https://www.swift.org/documentation/articles/static-linux-getting-started.html" target="_blank">Static Linux SDK</a>解決這些問題，供開發者將程式建置成完全靜態連結的可執行檔案，沒有額外的相依項目代表著在任何一個Linux發行版上，唯一相依項目的就是Linux系統呼叫介面。</p> <p>Static Linux SDK可以在Swift編譯器和套件管理器支援的所有平臺上使用，也就是說，開發者可以在macOS上開發和測試應用程式，之後再建置和部署到Linux伺服器。Static Linux SDK是Swift強化用戶可定義平臺支援的作為之一，能夠提升對嵌入式和WebAssembly的支援。</p> <p>近年Apple也著手拓展Swift的可用性，透過語言伺服器協定（Language Server Protocol）支援不同的程式碼編輯器，包括 VS Code、Sublime Text等，使得更多開發者都能使用Swift。在WWDC24一堂名為「<a href="https://developer.apple.com/videos/play/wwdc2024/10197/" target="_blank">Go small with Embedded Swift</a>」的議程演講中，還出現了開發者使用NeoVim與CMake工具進行Swift開發的橋段。</p> </div></div></div>
2024/6/17 08:41作者李建興https://www.ithome.com.tw/news/163466