iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 20:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】7月26日，資安業者KnowBe4驚傳僱用北韓駭客，對方利用深偽技術應徵工作得逞，直到從事可疑行為才東窗事發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週末CrowdStrike旗下EDR系統更新引發全球大當機的事故，在本週持續延燒，並出現多組駭客藉此事故發動攻擊的情況。但在此同時，我們認為本週資安意識教育訓練業者KnowBe4揭露的內部威脅事故，也非常值得留意。</p> <p>這起事故的特殊之處在於，他們不慎聘僱到北韓駭客當軟體工程師，但在面試的過程竟然完全沒有察覺可疑的地方，對於專門指導企業員工提升資安意識的業者而言，顯然該公司人力資源部門有待加強相關的資安意識訓練。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164108"><strong style="font-size: 22px;">駭客利用深偽技術線上應徵工作得逞，資安業者KnowBe4傳出不慎僱用北韓駭客，察覺異狀並尋求FBI協助調查</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-07-25 19_22_35.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-07-25%2019_22_35.png" style="width: 300px; float: right;" /></a>7月24日資安意識教育訓練業者KnowBe4揭露他們近期遭遇的內部威脅資安事故，該公司最近為內部的IT AI團隊招募軟體工程師，他們發布求才訊息，並在收到履歷後安排面試、查核應徵者的背景、驗證推薦者等程序，最後決定聘僱。但該公司向這名新進人員提供Mac電腦工作站之後，奇怪的事情發生：這臺電腦竟然開始被載入惡意軟體。</p> <p>該公司指出，人力資源（HR）團隊其實相當盡力進行相關的檢查，他們在不同場合安排了4次視訊會議面試，並儘可能確認應徵者是履歷當中的本人，而且，該團隊也進行身家調查，以及執行就職前的其他標準審查流程。然而，對方雖然是真實人物，但濫用遭竊的美國公民身分，並使用Deepfake手法，透過AI「強化」照片。</p> <p>在該公司的EDR系統偵測到異狀並向資安營運中心（SOC）發出警訊，SOC向該名新員工詢問是否需要協助。在此同時，該公司也向資安業者Mandiant、美國聯邦調查局（FBI）共享收集到的資料與初步的調查結果，從而確認這是來自北韓的假IT人員。</p> <p><a href="https://www.ithome.com.tw/news/164100"><strong style="font-size: 22px;">針對EDR更新引發全球大當機事故，CrowdStrike說明發生的原因在於驗證軟體臭蟲</strong></a></p> <p></p> <p>EDR更新引發全球大當機將近一周，7月24日資安業者CrowdStrike發布事件初步檢討報告（Preliminary Post Incident Review），進一步說明這起事故發生的原因。</p> <p>該公司表示，造成當機的原因源自於快速回應內容（Rapid Response Content）檔案的缺陷，他們在派送之前的驗證流程並未察覺而釀禍。一旦Falcon Sensor載入這批有問題的檔案，就會導致記憶體越界讀取（Out-of-bounds Read，OBR）的情況，並引發藍色當機（BSoD）畫面。</p> <p>對此，他們提出預防事件重演的修正措施，包括強化對於更新檔案的多項測試，並對內容驗證器加強驗證檢查，也加強內容解譯器（Content Interpreter）對既有錯誤處理的能力。此外，該公司也將使用逐步部署策略連同加強監控、提高客戶控管能力，以及在發行公告（Release Notes）提供更多資訊給客戶，防範事件快速蔓延。該公司也計畫導入外部組織來驗證軟體程式碼，及其作業流程。</p> <p><a href="https://www.ithome.com.tw/news/164089"><strong style="font-size: 22px;">臺灣資安長將視CrowdStrike災後應變態度，作為是否採用的參考</strong></a></p> <p>資安業者CrowdStrike於7月19日因為EDR軟體更新出包，造成許多微軟電腦和伺服器出現藍色當機畫面（BSOD）。也有匿名高科技製造業資安主管表示，勒索軟體做不到的事情（企業電腦大規模當機），CrowdStrike做到了。另外也有不少Line資安群組，紛紛以CrowdStrike官網「62分鐘就能讓您的企業停止運作」的網路頁面，反諷CrowdStrike真的做到讓企業停止運作了。</p> <p>盤點過臺灣CrowdStrike引發的電腦當機災情後，有許多資安長坦言，採用雲端服務的趨勢不可逆，對於已經是CrowdStrike的用戶並發生大規模災情，有高科技業資安主管已經考慮明年不再續約；但對於正在評估是否採購該廠牌產品的企業而言，CrowdStrike的應變方式和對客戶的補償方式等，則是他們後續評估是否採購的重要關鍵。</p> <p><a href="https://www.ithome.com.tw/news/164106"><strong style="font-size: 22px;">使用竊資軟體Lumma Stealer、Connecio的駭客加入利用CrowdStrike更新大當機為幌子的行列</strong></a></p> <p>上週發生的CrowdStrike更新大當機事故，包含資安業者CrowdStrike自己的威脅情報團隊在內的研究人員提出警告，駭客也會假借提供解決方案的名義，對於該廠牌EDR用戶發動攻擊，如今CrowdStrike再度公布兩起這種類型的資安事故。</p> <p>7月23日研究人員表示，他們看到惡意ZIP壓縮檔CrowdStrike Falcon.zip，駭客宣稱是EDR系統Falcon的更新檔案，其內容含有使用說明的純文字檔案，以及WinRAR自解壓縮檔（SFX）CrowdStrike Falcon.exe。一旦使用者執行，電腦就會進行解壓縮作業，呼叫以Python程式語言打造的竊資軟體Connecio。</p> <p>事隔一天，研究人員發現另一起竊資軟體攻擊行動，這回是惡名昭彰的Lumma Stealer（也有人稱為LummaC2），他們發現網釣網域crowdstrike-office365[.]com，假冒該資安業者的名義散布惡意ZIP及RAR壓縮檔，內含MSI安裝檔，一旦執行，電腦就會載入竊資軟體。</p> <p><a href="https://www.ithome.com.tw/news/164099"><strong style="font-size: 22px;">臺灣及美國macOS用戶遭到鎖定，中國駭客Evasive Panda使用後門程式Macma從事攻擊行動</strong></a></p> <p>過往駭客主要針對Windows電腦下手，但最近兩到三年，他們將攻擊範圍擴及其他作業系統的情況越來越普遍，有駭客組織使用跨平臺開發工具，打造出針對macOS、安卓作業系統的惡意程式。</p> <p>例如，資安業者賽門鐵克揭露中國駭客組織Evasive Panda（他們稱為Daggerfly）開發的macOS惡意程式，就是這樣的例子。他們針對最近一波的攻擊行動提出警告，指出對方近期針對臺灣企業組織、位於中國的美國非政府組織（NGO）使用新的作案工具從事網路間諜活動，過程中利用Apache HTTP伺服器的漏洞散布惡意軟體框架MgBot。</p> <p>但值得留意的是，他們發現名為Macma的macOS後門程式，也是這些駭客開發、使用的武器之一。這個後門程式最早在2021年由Google威脅情報團隊（TAG）揭露，並推測駭客2019年就開始使用，並濫用遭駭的香港網站發動水坑式攻擊，來散布這支後門程式。</p> <p><a href="https://www.ithome.com.tw/news/164139"><strong style="font-size: 22px;">重大層級ServiceNow漏洞已被用於攻擊行動，駭客恐藉此竊取帳密資料</strong></a></p> <p>本月10日數位工作流程管理解決方案業者ServiceNow公布重大層級的輸入驗證漏洞CVE-2024-4879，並提供更新軟體予以修補。隔日，通報此事的資安業者Assetnote公布相關細節，並指出這項漏洞相當嚴重，但攻擊者若是串連另一個重大層級的輸入驗證漏洞CVE-2024-5217，以及中度風險的敏感檔案讀取漏洞CVE-2024-5178（編按：這兩個漏洞也同樣在10日被修補），就有機會存取資料庫。這些細節公布後，很快就出相關攻擊行動。</p> <p>資安業者Resecurity指出，在Assetnote公布漏洞細節不久，他們就察覺有多個駭客組織開始嘗試掃描尚未修補上述漏洞的ServiceNow平臺，根據物聯網搜尋引擎FOFA的搜尋結果，約有30萬臺ServiceNow主機有可能會被遠端探測，其中又以美國超過29萬臺數量最多，印度、瑞士居次，分別有1.9萬、1.5萬臺，英國、愛爾蘭分別有5,867臺、3,929臺。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://udn.com/news/story/7238/8116748"><strong style="font-size: 20px;">針對半導體矽晶圓廠環球晶圓6月遭駭事故，駭客組織Storm-1811聲稱是他們所為，要脅7月底公布竊得資料</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=170127&SPOKE_DATE=20240725&COMPANY_ID=2301">電源管理設備供應商光寶科技察覺外網伺服器遭到攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=221521&SPOKE_DATE=20240723&COMPANY_ID=2430">燦坤</a>、<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=221227&SPOKE_DATE=20240723&COMPANY_ID=4930">燦星網</a>部分資訊系統遭受網路攻擊</strong></p> <p></p> <p>◆<a href="https://cloud.google.com/blog/topics/threat-intelligence/apt45-north-korea-digital-military-machine"><strong style="font-size: 20px;">北韓駭客Andariel以經濟利益為目標，發動勒索軟體攻擊</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://research.checkpoint.com/2024/stargazers-ghost-network/">逾3千個GitHub帳號遭駭客組織Stargazer Goblin濫用，作為散布惡意軟體的管道</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/exploiting-cve-2024-21412-stealer-campaign-unleashed">網路捷徑檔案安全機制繞過漏洞遭到利用，攻擊者用於散布竊資軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.dragos.com/blog/protect-against-frostygoop-ics-malware-targeting-operational-technology/">工控系統惡意軟體FrostyGoop今年初發動攻擊，導致烏克蘭暖氣供應中斷</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164148"><strong style="font-size: 22px;">Docker揭露嚴重度高達10分資安漏洞，問題出在外掛程式AuthZ的身分驗證，而且經過5年才發覺</strong></a></p> <p>本週Docker發布資安公告，指出部分版本的Docker引擎存在弱點，導致攻擊者能在特定的情況下繞過用於授權的外掛程式AuthZ，影響19.03版以上的Docker引擎，目前被登記為CVE-2024-41110列管，CVSS風險評為10分（滿分10分）。</p> <p>值得留意的是，這項弱點曾於2018年發現，該公司於隔年1月發布18.09.1版予以修補，但這項弱點的修補程式碼卻並未延續到後續版本，直到今年4月才發現這樣的狀況，並在7月23日正式推出新版予以修補，使得這樣的弱點存在長達5年半，目前是否已被駭客掌握並用於攻擊行動，仍不得而知。</p> <p>但為何已修補的漏洞程式碼發生沒有延續到後來的版本情況？Docker並未進一步說明。</p> <p><a href="https://www.ithome.com.tw/news/164150"><strong style="font-size: 22px;">雲端平臺GCP的服務存在權限提升漏洞ConfusedFunction，未經授權的攻擊者可藉此存取敏感資料</strong></a></p> <p>7月24日資安業者Tenable揭露影響Google Cloud Platform（GCP）的權限提升漏洞ConfusedFunction，這項弱點發生在名為Cloud Functions的無伺服器運算服務，以及稱做Cloud Build的CI/CD管道服務。一旦遭到利用，攻擊者有機會以未經授權的狀態存取其他服務，或是敏感資料。他們通報此事，GCP已於部分的Cloud Build帳號著手採取緩解措施。</p> <p>研究人員指出，ConfusedFunction這樣的弱點，突顯雲端服務的軟體架構極為複雜，導致服務之間的通訊可能衍生問題的情形。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164092"><strong style="font-size: 22px;">史上Google最大併購案告吹！資安業者Wiz傳出拒絕併購協議，將尋求IPO</strong></a></p> <p></p> <p>外傳Google欲以230億美元收購雲端資安業者Wiz，果真確有其事，只不過根據CNBC報導，Wiz已經拒絕這項提議，將尋求在股票市場掛牌上市（IPO）。</p> <p>CNBC取得Wiz執行長Assaf Rappaport對員工的公開信，得知該公司拒絕併購。在信中，Assaf Rappaport對員工說，拒絕對這麼大金額的收購提議不是容易的事，並表明公司接下來的目標是IPO，並且產生每年10億美元的經常性收入。Wiz原本就計畫透過小型併購成長，最終IPO。</p> <p>報導引述另一名消息人士的說法，Wiz是考量反托斯調查、投資人的顧慮後，決定拒絕此併購協議。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<a href="https://www.cna.com.tw/news/aloc/202407230243.aspx"><strong style="font-size: 20px;">民安10號、萬安47號演習也涵蓋資安演練，新北市針對交通控制系統遭駭進行應變處置</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164083"><strong>【7月23日】臺灣企業因CrowdStrike產品更新造成電腦當機的情況，金融、資服、傳統製造、高科技製造業都傳出災情</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164058"><strong>【7月22日】資安業者CrowdStrike更新事故衝擊規模初步統計出爐，至少影響850萬臺電腦、67萬企業用戶</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164037"><strong>【7月19日】CrowdStrike旗下EDR系統更新出錯釀禍，全球出現Windows電腦大量當機，影響機場、醫院等設施運作</strong></a></p> </div></div></div>
2024/7/26 16:35作者周峻佑https://www.ithome.com.tw/news/164152
翔耀進軍AI算力服務市場，第4季將建置國內首個H200 AI運算中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>看準AI應用普及，對於AI模型訓練或推論的算力需求有增無減，國內提供電商服務的翔耀實業宣布與美超微、是方電訊、VMFIVE、無敵科技、數位無限等業者合作，將採用Nvidia H200、H100等GPU打造AI運算中心翔耀AICC（AI Computing Center），未來可望在全球超級電腦排名第15名，成為亞洲最快的AI算力中心之一。</p> <p>翔耀實業董事長林以山今天（7/26）與美超微共同創辦人廖益賢進行AICC設備採購簽約儀式，翔耀AICC將使用是方電訊的LY2 AI資料中心大樓，借助是方電訊新建置的資料中心大樓，包括每平方公尺可承重2,000公斤，以及骨幹網路，搭配溫水冷卻技術、冷熱通道，資料中心的PUE值降到1.09。</p> <p>林以山表示， AICC採用美超微的溫水冷卻技術，目標為打造綠色計算的新標竿，打造亞洲頂尖的AI算力中心，推動臺灣及亞洲的AI進步、產業升級。AICC建置共分為兩期，第一期部署128臺伺服器，分4階段建置，第一期算力達到46.54PFlops，預計可進入全球超級電腦排名20至25名之前，預期在2024年第四季先完成第1、2階段設備裝機，以64臺H200伺服器，提供國內外AI算力服務。第2期將擴展至256臺伺服器，總算力達93PFlops，為亞洲最快的AI算力中心之一。</p> <p>林以山進一步表示，翔耀在新的團隊經營帶領下，以多年的電商技術及經驗累積，結合產業夥伴，正式切入AI算力開發及服務。未來將會複製AICC的成功經驗至亞洲其他國家，形成亞洲算力聯盟AICA（AI Computing Alliance），推動區域內AI技術交流及創新應用。</p> <p>此外，翔耀今天也啟動公益計畫，未來AICC將保留一部分的算力，提供政府、企業、學校使用，翔耀也與高雄市經發局共同合作公益算力。</p> <p>AICA聯盟推動AI軟體生態系統，包括開發工具、應用服務、數據資源的整合，推動其他國家AI開發者及企業加入，推動AI技術及應用的創新。</p> <p>AICA聯盟執行長，同時也是VMFIVE創辦人的丁俊宏指出，在AI時代，AI算力不僅代表國力，也代表產業力，如果沒有及早因應AI算力需求，未來我們在AI產業應用發展上將落後於國際。AICC算力中心的建置目的在實現AI Taiwan，未來AI也是生產力，不只侷限於硬體，也應該結合軟體、應用服務。</p> <p>丁俊宏也強調，AICC在設計架構上具有高度彈性，包括訓練、推論、記憶、散熱、高超速網路，運算中心考量不只是訓練大型模型的算力需求，還包括推論的算力需求，如何達到更高的能源效率。</p> <p><span style="color:#B22222;"><strong>國內首個H200 AI運算中心</strong></span></p> <p>此次翔耀宣布打造的AICC運算中心，規畫為2個SuperPOD叢集設計，超高密度算力部署方式，共可部署48個機架，支援256臺水冷式GPU伺服器，總功耗為3MW，PUE小於1.09。採用溫水冷卻，36GFlops/Watt，PUE設計可達到1.09。</p> <p>單以一個SuperPOD叢集設計來看，包含24個機架，128個運算節點（1,024個GPU及256個CPU），搭配1PB全閃儲存及4PB物件儲存，以及1,024個400G IB NDR port超高速網路埠，功耗設計為1.3MW。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AICC-1.jpg" style="width: 600px; height: 336px;" /></p> <p>翔耀宣稱AICC將採用Nvidia H200 GPU，將是亞洲首座溫水冷卻H200 AI運算中心。不過，實際上依照AI訓練、推論等不同算力需求，以及實際上GPU產品市場供應情勢，AICC預期會混合H200、H100、GB200、B200等GPU。</p> <p>未來組成亞洲AICA聯盟，除了鼓勵亞洲的區域性AI技術及應用發展，也支持AI新創，結合創業生態系統，進一步促成政府、產業加速AI轉型、培育AI人才、推動AI綠色算力發展。</p> <p><strong><span style="color:#B22222;">鎖定企業及政府、娛樂產業及學研AI算力需求</span></strong></p> <p>丁俊宏表示，翔耀AICC未來將鎖定3方面的算力需求，首先是產業及政府機構的AI轉型，看準未來政府及產業在AI模型訓練、推理的大量算力需求；其次是娛樂產業方面，過去娛樂產業需要大量成本投入電腦特效，可由AI協助生成特效，或是複製人物的聲音、形象，這些都需要算力，現在影視娛樂產業對AI的算力需求浮現，未來AICC也會與相關的影視特效業者合作。</p> <p>最後是與學校合作，他表示，學校有許多尚未商業化的AI模型及技術，需要算力協助其商業化發展，未來AICC會提供公有平臺，讓這些模型可打包商業化，提供API供各產業運用，協助學校研究與產業需求對接。</p> <p>針對企業使用AI算力的數據安全性，丁俊宏表示，未來AICC提供兩種私有化的方案，第一種方案是企業購買算力，搭配完全隔離的專用儲存櫃，算力與儲存櫃之間使用高速網路連線，以物理的方式確保安全；第二種是企業可以向AICC購買GPU或以自己採購的GPU，放到AICC的機櫃托管，AICC等於建置環境，讓企業使用自己的GPU算力、數據，搭配高速網路進行計算，至於接下來的推理部分，由於為比較不敏感的資料，可使用AICC的算力服務。</p> </div></div></div>
2024/7/26 17:32作者蘇文彬https://www.ithome.com.tw/news/164153
重大層級ServiceNow漏洞已被用於攻擊行動，駭客恐藉此竊取帳密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月10日數位工作流程管理解決方案業者ServiceNow公布重大層級的輸入驗證漏洞CVE-2024-4879，並提供更新軟體予以修補。</p> <p>隔日通報此事的<a href="https://www.assetnote.io/resources/research/chaining-three-bugs-to-access-all-your-servicenow-data">資安業者Assetnote公布相關細節</a>，並指出這項漏洞相當嚴重，但攻擊者若是串連另一個重大層級的輸入驗證漏洞CVE-2024-5217，以及中度風險的敏感檔案讀取漏洞CVE-2024-5178（編按：這兩個漏洞也同樣在10日被修補），就有機會存取資料庫。這些細節公布後，很快就出相關攻擊行動。</p> <p>資安業者Resecurity指出，在Assetnote公布漏洞細節不久，<a href="https://www.resecurity.com/blog/article/cve-2024-4879-and-cve-2024-5217-servicenow-rce-exploitation-in-a-global-reconnaissance-campaign">他們就察覺有多個駭客組織開始嘗試掃描尚未修補上述漏洞的ServiceNow平臺</a>，根據物聯網搜尋引擎FOFA的搜尋結果，約有30萬臺ServiceNow主機有可能會被遠端探測，其中又以美國超過29萬臺數量最多，印度、瑞士居次，分別有1.9萬、1.5萬臺，英國、愛爾蘭分別有5,867臺、3,929臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/f697213bc2ec1a4be816e15f4c8cd3f5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/f697213bc2ec1a4be816e15f4c8cd3f5.png" style="width: 580px;" /></a></p> <p>從產業類別看來，能源產業、資料中心、中東政府組織、軟體開發業者是對方偏好的攻擊目標。</p> <p>值得留意的是，CVE-2024-4879、CVE-2024-5217本身就已經相當嚴重，CVSS風險評分皆達到9.8分，一旦遭到利用，攻擊者就有機會遠端執行任意程式碼（RCE）。</p> <p>研究人員指出，上述3項漏洞駭客最積極利用的是CVE-2024-4879，根據他們的探測，攻擊者在試圖利用漏洞前，會確認受害主機是否曝露有關風險，然後注入有效酬載，用來確認特定乘法算式的結果來進行回應。</p> <p>接著，對方植入第二階段惡意程式，來檢查能否存取資料庫的內容。一旦成功利用漏洞，受害主機就會回傳資料庫的有詳細資訊。最終，駭客將能轉儲使用者的名單，並從受害主機外流使用者名單，以及受害主機的中繼資料，而有可能導致帳密資料外流。</p> <p>根據研究人員的分析，雖然大部分的資料都透過複雜的雜湊演算法處理，而並未被駭客利用，但他們認為，少部分曝光的資料就可能有助於駭客從事偵察。</p> </div></div></div>
2024/7/26 12:30作者周峻佑https://www.ithome.com.tw/news/164139
雲端平臺GCP的服務存在權限提升漏洞ConfusedFunction，未經授權的攻擊者可藉此存取敏感資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月24日資安業者Tenable揭露影響Google Cloud Platform（GCP）的<a href="https://www.tenable.com/blog/confusedfunction-a-privilege-escalation-vulnerability-impacting-gcp-cloud-functions">權限提升漏洞ConfusedFunction</a>，這項弱點發生在名為Cloud Functions的無伺服器運算服務，以及稱做Cloud Build的CI/CD管道服務。一旦遭到利用，攻擊者有機會以未經授權的狀態存取其他服務，或是敏感資料。他們通報此事，GCP已於部分的Cloud Build帳號著手採取緩解措施。</p> <p>研究人員指出，ConfusedFunction這樣的弱點，突顯雲端服務的軟體架構極為複雜，導致服務之間的通訊可能衍生問題的情形。</p> <p>而對於這項漏洞發現的原因，是研究人員察覺當GCP使用者建立、更新Cloud Functions的過程中，會觸發後端多個步驟的流程，而且，還會預設將Cloud Build服務帳號加入相關功能函數配置，並用於建立Cloud Build實體。由於上述的過程都在後臺運作，一般使用者不會察覺有異。</p> <p>然而，這個服務帳號具備過多權限，若是攻擊者設法成功取得建立或更新Cloud Functions的權限，將自己的權限提升至Cloud Build的服務帳號層級，並有機會藉由這種高權限存取其他GCP服務，例如：Cloud Storage、ArtifactRegistry、ContainerRegistry。</p> <p>值得留意的是，為了兼顧相容性，GCP並未對套用修補程式之前建立的Cloud Build服務帳號調整權限，而使得這些用戶仍有可能曝露於ConfusedFunction的危險當中。</p> <p>再者，對於GCP採取的措施，Tenable也表示並未完全消除漏洞帶來的影響，對此，他們也呼籲使用者，必須限縮Cloud Build服務帳號的權限，若是採用Cloud Functions，最好進行監控並採取相關的預防措施。</p> </div></div></div>
2024/7/26 16:15作者周峻佑https://www.ithome.com.tw/news/164150
Deepmind人工智慧系統在2024國際數學奧林匹亞競賽達銀牌標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://deepmind.google/discover/blog/ai-solves-imo-problems-at-silver-medal-level/" target="_blank">DeepMind展示了其在數學領域最新的人工智慧研究</a>，透過結合AlphaProof與AlphaGeometry 2兩個系統，解決了2024年國際數學奧林匹亞競賽（IMO）6道數學難題中的4道題目，達到了與銀牌得主一樣的水準。</p> <p>由於推理技能和訓練資料的限制，目前人工智慧系統仍然苦手於解決一般數學問題，而擁有先進數學推理能力的通用人工智慧，將有助於發展尖端科學和科技。DeepMind在2024年初的時候，於《自然》期刊發表了能夠解決數學難題的人工智慧模型AlphaGeometry。AlphaGeometry是一個以Gemini語言模型為基礎的神經符號（Neuro-Symbolic）混合系統，透過結合神經網路和符號推理人工智慧技術，解決幾何和數學複雜問題。</p> <p>DeepMind持續推進在數學領域的人工智慧研究，並透過整合AlphaProof和第二代AlphaGeometry，在2024年國際數學奧林匹亞競賽解題中表現優異。</p> <p>AlphaProof是一個自訓練並使用形式語言（Formal Language）Lean證明數學陳述的系統，其結合了預訓練語言模型和AlphaZero增強學習演算法。在數學推理任務中，AlphaProof執行自動化證明，生成解答候選方案，並且透過在Lean語言中搜尋可能的證明步驟，來證明或是反駁這些方案。AlphaProof透過每次成功找到並驗證的證明，來持續強化自身能力，以解決更具挑戰的數學問題。</p> <p>AlphaGeometry 2則是AlphaGeometry的改良版本，其符號引擎比第一代快兩個數量級，面對新問題的時候，AlphaGeometry 2能夠採用新的知識共享機制，實現不同搜尋樹的進階組合，解決更複雜的問題。AlphaGeometry能夠解決IMO 25年歷史考題中的53%，而AlphaGeometry 2能力大幅提升，可以解決其中的83％。</p> <p>IMO 2024的題目被手動翻譯，以形式化語言Lean表示，提供給DeepMind的人工智慧系統。該系統耗時三天解出其中4道題目，AlphaProof解決了兩個代數問題和一個數論問題，其中有一道是今年最難的題目，所有參賽者僅有5名答對，而AlphaGeometry 2則證明了一道幾何問題，但有兩個組合數學題目沒有解決。</p> <p>每道題目答對可得7分，而今年IMO金牌門檻分數為29分，有58位參賽者達成，而DeepMind的人工智慧系統則得到28分，每個解決的問題都拿到滿分。在正式比賽共有兩節解題時間，每節4.5小時總共9小時，人工智慧系統則花費了三天的時間解出4題。</p> </div></div></div>
2024/7/26 16:52作者李建興https://www.ithome.com.tw/news/164151
Rust 1.80新增延遲初始化型別，大幅提升資源管理效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.rust-lang.org/2024/07/25/Rust-1.80.0.html">Rust 1.80</a>加入了多項提高效率、程式碼安全性和靈活性的功能更新，標準函式庫新增LazyCell和LazyLock延遲初始化型別，並且強化模式（Pattern）比對的靈活性，而Rust套件管理器Cargo現在則會檢查所有已知的cfg名稱和值，並且偵測錯誤配置。</p> <p>Rust新加入的LazyCell和LazyLock型別簡化延遲初始化的實作，使得程式在需要時才進行計算和資源分配的程式碼，變得更加容易編寫。延遲初始化操作對於需要按需載入資源的情境特別有用，能夠在需要時才分配資源，這將可大幅提高大型應用的啟動速度和執行效率，從資源管理的角度來說，對於需要大量記憶體或是其他系統資源的物件，可以更有效地管理資源，有助於減少程式整體記憶體使用量。</p> <p>官方現在直接在標準函式庫中加入LazyCell和LazyLock，讓實作延遲初始化功能更簡單，消除需要的樣板程式碼，同時也降低了對外部相依項目的依賴，簡化專案管理工作。</p> <p>LazyLock與LazyCell的差異在於，LazyLock為執行緒安全，相較於LazyCell只適用於單執行緒環境，LazyLock實作了Sync trait，因此可在多執行緒環境中安全使用，不過也由於LazyLock需要處理執行緒同步，因此會產生額外的效能開銷。</p> <p>Rust 1.70加入了同樣用於延遲初始化的OnceCell和OnceLock型別，不過LazyCell和LazyLock本身就包含了初始化邏輯，不像是OnceCell、OnceLock需要外部方法來提供初始化邏輯，因此LazyCell和LazyLock在使用上更為簡單，不過當初始化邏輯需要依據執行條件變化，則OnceCell和OnceLock更加靈活。</p> <p>Rust 1.80透過檢查cfg名稱和值，來強化程式碼的正確性和可靠性。該功能可以偵測和警告開發者可能的cfg名稱或值的拼寫錯誤，避免因為錯誤條件編譯配置所導致的問題，確保開發者只使用已定義和預期的cfg條件，減少意外行為。</p> <p>由於cfg檢查功能在編譯階段就能發現潛在的配置問題，因此大幅降低在執行時才發現錯誤的風險，提高了整體的程式碼品質和開發效率。</p> <p>Rust 1.80還引入了一個能夠擴展模式比對範圍的新功能，開發者已可以使用排他範圍（Exclusive Range）語法a..b或..b，其提供類似Range和RangeTo表示式的功能，該表示式在處理連續範圍時更方便，允許範圍之間沒有間格或是重疊，使某些類型的程式碼更清楚且不容易出錯，維持語言的一致性和表達性。</p> </div></div></div>
2024/7/26 15:06作者李建興https://www.ithome.com.tw/news/164145
Docker揭露嚴重度高達10分資安漏洞，問題出在外掛程式AuthZ的身分驗證，而且經過5年才發覺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週Docker發布資安公告，<a href="https://www.docker.com/blog/docker-security-advisory-docker-engine-authz-plugin/">指出部分版本的Docker引擎存在弱點</a>，導致攻擊者能在特定的情況下繞過用於授權的外掛程式AuthZ，影響19.03版以上的Docker引擎，目前被登記為CVE-2024-41110列管，<a href="https://github.com/moby/moby/security/advisories/GHSA-v23v-6jw2-98fq">CVSS風險評為10分（滿分10分）</a>。</p> <p>值得留意的是，這項弱點曾於2018年發現，該公司於隔年1月發布18.09.1版予以修補，但這項弱點的修補程式碼卻並未延續到後續版本，直到今年4月才發現這樣的狀況，並在7月23日正式推出新版予以修補，使得這樣的弱點存在長達5年半，目前是否已被駭客掌握並用於攻擊行動，仍不得而知。</p> <p>但為何已修補的漏洞程式碼沒有延續到後來的版本的情況？Docker並未進一步說明。</p> <p>究竟這項漏洞會造成什麼樣的危險？該公司表示，攻擊者可發送特製的API請求，將Content-Length設置為0，導致Docker的Daemon程式將沒有內容的請求轉送到AuthZ，該外掛程式無法正常進行驗證，而有可能直接核准身分驗證請求。</p> <p>不過，他們也提及並非所有使用者都會受到影響。未採用AuthZ進行存取控制，或是導入Mirantis Container Runtime（MCR）、企業版Docker的用戶，都不會受到上述弱點影響。換言之，若是無法即時更新Docker引擎的用戶，暫停使用AuthZ，並限縮API的存取權限，也能緩解這項漏洞帶來的危險。</p> <p>該公司也提及，這項漏洞可能影響Docker桌面版本4.32.0，原因是內含存在漏洞的Docker引擎，他們將會發布4.33更新進行修補，但也提及影響較為有限的情況。</p> <p>因為，利用漏洞必須存取API，換言之，攻擊者必須能夠掌握Docker主機的本機存取權限，或是遇到Daemon不慎透過TCP曝露在外的組態設置狀況。</p> <p>再者，預設的桌面版Docker組態並未包含AuthZ，此外，權限提升僅局限於Docker的虛擬機器，而非主機的底層。</p> </div></div></div>
2024/7/26 15:36作者周峻佑https://www.ithome.com.tw/news/164148
針對美國醫院及醫療保健服務供應商部署勒索軟體的北韓駭客遭美國起訴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/opa/pr/north-korean-government-hacker-charged-involvement-ransomware-attacks-targeting-us-hospitals" target="_blank">美國司法部本周四（7/25）起訴</a>了北韓駭客Rim Jong Hyok，指控他參與多起針對美國醫院及醫療保健服務供應商的勒索軟體攻擊行動，並利用所獲得的贖金作為竊取全球國防及技術組織機密資訊的基金，同一天，包括<a href="https://cloud.google.com/blog/topics/threat-intelligence/apt45-north-korea-digital-military-machine/" target="_blank">Google</a>、<a href="https://www.microsoft.com/en-us/security/blog/2024/07/25/onyx-sleet-uses-array-of-malware-to-gather-intelligence-for-north-korea/" target="_blank">微軟</a>與美國網路安全暨基礎設施安全局<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-207a" target="_blank">（CISA）</a>都揭露了Hyok所屬駭客組織的行動，Google將該組織命名為APT45，微軟稱它是Onyx Sleet，它的其它別名還包括Andariel、DarkSeoul或Silent Chollima等。</p> <p>根據美國、南韓及英國相關單位的調查，Onyx Sleet隸屬於北韓偵察總局（RGB）旗下負責網路間諜行動的第三局，主要鎖定全球國防、航太、核子及工程實體展開間諜活動，以獲得機密的技術資訊及智慧財產，推動北韓政權在軍事及核子計畫上的野心，同時Onyx Sleet也以勒索軟體攻擊美國醫療保健供應商，以替這些間諜活動籌措資金。</p> <p>Google的報告來自該公司於2022年收購的資安業者Mandiant，根據Mandiant的追蹤，Onyx Sleet在2009年就很活躍，其攻擊行動與北韓的地緣政治利益一致，自2017年開始關注各國政府機構及國防產業，2019年鎖定的是核子及能源領域，儘管其初期目標都是竊取情報，但當中也曾幾次出現經濟動機，例如在2016年針對銀行金融機構發動攻擊，2021年也曾針對某家位於東南亞的銀行展開魚叉式網釣攻擊。</p> <p>微軟亦說，該公司在2014年觀察到Onyx Sleet的存在，當時發現它針對許多全球目標展開網路間諜活動以收集情報，並在近日將目標擴大到財務收益，於2021年及2022年開發及使用勒索軟體攻擊，亦對網路賭博網站產生興趣。</p> <p>根據微軟的分析，Onyx Sleet使用許多開源與客製化工具，並在攻擊行動中使用一系列自製的遠端存取木馬（RAT）程式，而且會定期修改這些RAT以添增新功能或逃避偵測，經常租賃虛擬專用伺服器，或是危害雲端基礎設施來進行命令與控制。</p> <p>Onyx Sleet主要攻擊的國家為美國、印度與韓國，鎖定的產業則從農業、生物科技、零售、電信、政府組織到健康醫療照護不等。</p> <p>美國司法部則說，身為Onyx Sleet成員之一的Hyok與其同謀針對美國醫療服務供應商展開勒索軟體攻擊，並利用相關攻擊所獲得的贖金作為執行間諜活動的資金，還透過中國洗錢。</p> <p>根據美國的調查，Onyx Sleet在收到基於加密貨幣的贖金之後，會在香港同夥的協助下洗錢，其中一個案例是將加密貨幣轉成人民幣，再於中國的ATM上取出人民幣，此一ATM即位於中國與北韓的邊界附近。</p> <p>美國司法部與聯邦調查局（FBI）已攔截了與Onyx Sleet勒索軟體攻擊有關的、約價值11.4萬美元的加密貨幣交易，並扣押Onyx Sleet用來執行惡意活動的多個網路帳戶，同時懸賞1,000萬美元予提供Hyok身分及位置資訊的線民。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0726-FBI-north%20korean%20hacker.png" style="width: 390px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／FBI</span></span></p> </div></div></div>
2024/7/26 15:57作者陳曉莉https://www.ithome.com.tw/news/164149
OpenAI預覽SearchGPT，挑戰搜尋引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/searchgpt-prototype/" target="_blank">OpenAI周四（7/25）宣布</a>，開始測試新的AI搜尋功能SearchGPT，該服務結合了OpenAI的各個模型與網路上的資訊，同時附上清楚與相關的來源，目前的版本為暫時性的原型，將開放給少數使用者及出版商進行測試並提供回饋意見，一步步地邁向取代搜尋引擎的道路。</p> <p>OpenAI表示，在網路上得到所需的答案通常需要多次嘗試才能獲得相關結果，相信若藉由網路上的即時資訊來強化模型的對話能力，將可更快且更輕鬆地找到使用者想要的內容，而SearchGPT的目的就是使用來自網路的最新資訊，快速且直接地回答問題，同時提供相關資訊的來源連結。</p> <p>在結合了AI模型與即時網路資訊之後，SearchGPT得以記住使用者的搜尋/輸入脈絡，於是能在同一個主題上與使用者持續對話，並會有一個側邊欄專門呈現SearchGPT所提供答案的資訊來源/連結列表。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0726-SearchGPT_Publishers_V2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p>為了打造SearchGPT，OpenAI亦與出版商合作，以讓出版商能夠管理它們在SearchGPT中顯示內容的方法，另也強調SearchGPT與AI基礎模型的訓練是分開的，就算出版商選擇退出模型訓練，其內容連結依然可在SearchGPT中出現。</p> <p>有許多人認為生成式AI最終將取代搜尋引擎，PCMag曾在去年針對600名不同領域的專家<a href="https://www.pcmag.com/news/when-will-chatgpt-replace-search-engines-maybe-sooner-than-you-think" target="_blank">進行調查</a>，當中有42%表示未來他們應該會使用AI聊天機器人來尋找網路上的答案，只有24%依然選擇搜尋引擎。</p> <p>而紐約時報的專欄作家Kevin Roose在今年初<a href="https://www.nytimes.com/2024/02/01/technology/perplexity-search-ai-google.html" target="_blank">試用了AI搜尋引擎Perplexity AI</a>之後，對其所提供的摘錄式的答案感到相當滿意，認為AI搜尋將會取代Google的流量，除非Google搜尋也整合AI。</p> <p>Google的確也警覺到AI可能對其搜尋業務帶來的衝擊，去年便發表了AI搜尋測試平臺<a href="https://www.ithome.com.tw/news/157080" target="_blank">Search Labs</a>，其中一個實驗便是<a href="https://www.ithome.com.tw/news/159707" target="_blank">搜尋生成式體驗</a>，呈現方式類似SearchGPT。</p> <p>目前Google掌控了<a href="https://gs.statcounter.com/search-engine-market-share" target="_blank">全球9成的搜尋市場</a>，這麼多年來在該市場並無明顯的競爭對手，且市占率還愈來愈高，但生成式AI卻可能改變這個現況。除了2022年就上線的Perplexity AI之外，於搜尋領域始終追不上Google的微軟，也在本周<a href="https://www.ithome.com.tw/news/164104" target="_blank">開始測試整合生成式AI的Bing搜尋</a>，而今OpenAI亦加入了戰場。</p> <p>不過，生成式AI真正取代搜尋引擎應該還有一段路要走，外界主要擔心基於大型語言模型（LLM）的搜尋服務依然會出現錯誤，例如<a href="https://www.theatlantic.com/technology/archive/2024/07/searchgpt-openai-error/679248/" target="_blank">The Atlantic便批評</a>，OpenAI在本周的SearchGPT示範中，把節慶跟音樂會的日期搞混了，也有其他人擔心LLM虛構答案的問題可能會蔓延至搜尋結果。</p> <p>不論如何，現在的SearchGPT只是一個還處於小規模測試的暫時性原型，OpenAI將依據使用者及出版商的回應來改善它，並計畫在未來直接將它整合到ChatGPT中。</p> </div></div></div>
2024/7/26 14:54作者陳曉莉https://www.ithome.com.tw/news/164147
免費版Google Gemini升級到Gemini 1.5 Flash模型，支援40種語言，開放逾230個市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/gemini/google-gemini-new-features-july-2024/" target="_blank">Google昨（25）日宣布</a>Gemini 1.5 Flash支援40種語言，並部署到超過230個國家地區，並將免費版聊天機器人Google Gemini升級使用多模AI模型，開放更多人免費使用。Google也在更多國家Messages App部署Gemini AI助理。</p> <p>Gemini 1.5 Flash是於5月<a href="https://www.ithome.com.tw/news/162877" target="_blank">Google I/O上宣布</a>，為Gemini 1.5 Pro多模態語言模型的輕量版，擅長摘要、聊天互動、圖像理解、產生影像字幕，或從大量文字和表格汲取資料。原本Gemini 1.5 Flash僅提供付費服務Gemini Advanced用戶，現在則可由免費版Gemini存取，用戶可以瀏覽器上網（gemini.google.com）或手機App使用。</p> <p>由於開放使用最新模型，免費版Gemini的效能得以提升。Google將免費Gemini使用的模型脈絡空間（context window）擴大4倍來到32K字符（token），這意謂著用戶和Gemini的互動更快，也能詢問更複雜的問題。Google預告，很快會為免費版Gemini加入資料檔案分析能力，並且製作圖表提供洞見。</p> <p>Google也為Gemini做了功能強化，允許用戶讀取進一步資訊確保Gemini回應的準確性。現在在特定國家的英文版提示中，在回應末端會附加來源網頁連結（如下圖），允許用戶檢視進一步資訊，減少AI幻覺問題。如果Gemini回應的資訊可在Gmail外掛找到，則點入連結可在回應中直接讀取相關信件。在此之前，用戶已經可點擊「重覆確認」（double-check）功能，使用Google搜尋查詢，它會將相關問題答案突顯出來，方便用戶驗證Gemini的回應是否正確。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0726-google%20gemini%20update.png" style="width: 403px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>其他資訊方面，繼今年2月Google將<a href="https://www.ithome.com.tw/news/161514" target="_blank">Gemini AI助理整合到Message App</a>中，本周Google也開始將這功能部署到歐洲經濟區（EEA）、英國、瑞士，並加入法文、波蘭及西語支援。在Message App中點入「開始交談（Start chat）」即可使用。Gemini App本周起也部署到更多國家。</p> </div></div></div>
2024/7/26 13:07作者林妍溱https://www.ithome.com.tw/news/164142
當企業資安與生產力發生火車對撞
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣時間7月19日下午，我們注意到全球網路論壇Reddit傳出巨大騷動，網友反映他們有多臺Windows 10電腦同時出現藍色當機畫面，問題出在端點偵測與應變系統（EDR）廠商CrowdStrike的代理程式Falcon sensor組態更新出錯、觸發邏輯錯誤，導致許多Windows電腦停擺而出現藍色當機畫面（BSOD）。</p> <p class="rtecenter"><a href="https://www.reddit.com/r/WindowsHelp/comments/1e6ygxc/bsod_error_on_windows_crowdstrike/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0726-%E7%B7%A8%E8%80%85-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FrWindowsHelp%20on%20reddit(1).png" style="width: 600px;" /></a></p> <p><a href="http://www.reddit.com/r/WindowsHelp/comments/1e6ygxc/bsod_error_on_windows_crowdstrike/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／u/Sam7493 on reddit</span></span></a></p> <p>後續更多災情不斷出現在各大社群平臺貼文，以及全球大眾新聞媒體的報導，像是機場、醫院、銀行、零售商店與超市，我們看到大量電子看板（Digital Signage）與一些互動式資訊服務站（Kiosk）無法運作。例如，許多機場旅客難以快速查閱機場航班資訊，以及進行自助登機程序；有些醫院的電子醫療記錄、勞動力管理、門診預約系統，以及個別工作站與特定用途醫療器材與設備受到影響；部分銀行的自動提款機（ATM）、金融卡支付服務無法運作；有些商店與超市也出現電腦設備故障，導致顧客無法結帳。</p> <p class="rtecenter"><a href="https://www.reddit.com/r/PBSOD/comments/1e6xt8v/this_sub_is_about_to_explode_thanks_crowdstrike/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0726-%E7%B7%A8%E8%80%85-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FrPBSOD%20on%20reddit.png" style="width: 450px;" /></a></p> <p><a href="http://www.reddit.com/r/PBSOD/comments/1e6xt8v/this_sub_is_about_to_explode_thanks_crowdstrike/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源／u/CyborgWarrior on reddit</span></span></a></p> <p>這個震驚全球的IT重大事故發生之後，很多人都想知道為何情況會這麼嚴重？微軟Windows電腦的普及眾所皆知，端點防護解決方案的發展也相當成熟，一些防毒軟體產品過去也曾引發Windows電腦大當機的事故，但已很久沒遇到這類問題，沒想到2024年竟然再度上演。而且，隨著人類社會對於數位科技的依賴持續攀升，電腦與IT服務大規模停擺所造成的衝擊，如今顯然變得更為嚴重，而且廣泛影響更多國家與產業。</p> <p>其中，最令我們意外的部分在於：為何是EDR的元件更新導致Windows電腦當機？</p> <p>根據我們的了解，大部分EDR部署在個人電腦或伺服器時，主要功能是偵測（Detect）端點的存取行為是否有異常或惡意，一旦發現問題，會通知或通報管理者處理善後，可能會進行手動或自動的應變處理，或是協調其他端點、網路資安產品進行緩解。然而，部分EDR產品開始擴充更多端點防護功能，而跨入原本以防毒軟體為主的端點防護平臺（EPP）領域，而能同時提供威脅預防的機制，這些從EDR起家、躋身EPP的產品，甚至標榜本身是次世代防毒軟體（NGAV），因此，它們扮演的角色與提供的功能，也變得越來越複雜而多元，對於端點作業系統的狀態監控也越來越深入，但如同超級英雄電影所言：「能力越大，責任越大」，此類型EDR產品對於電腦與伺服器能否正常運作，勢必要承擔更大責任，一不小心，可能會比多數EDR產品更容易傷及無辜。</p> <p>關於這樣的狀況，從防毒軟體起家、後續踏入EDR產品的廠商，應該較有警覺，因為有慘痛的前例可循，大家不想重蹈覆轍。相對而言，若是從EDR起家、同時主打可提供次世代防毒軟體的資安廠商，或許較無相關的經驗與意識，去預防這類可能嚴重影響電腦與伺服器運作的問題發生。</p> <p>但尷尬的是，CrowdStrike如果提出這個說法，可能無法使大家諒解他們的缺失。因為在7月19日全球Windows電腦大當機事件發生後，有不少人提到一件往事：2010年老牌資安公司McAfee的防毒軟體也曾因為軟體更新出錯，而導致全球數萬臺Windows XP電腦當機，當時在該公司擔任技術長的George Kurtz，竟然也是CrowdStrike的共同創辦人暨執行長，許多媒體也注意到這段過往經歷，IT市場分析機構Moor Insights & Strategy副總裁暨首席分析師<a href="https://twitter.com/anshelsag/status/1814426186933776846" target="_blank"><span style="color:#3366ff;">Anshel Sag在社群媒體X也提到這件事</span></a>，並表示McAfee當初就是因為這起事故花了很多錢，導致後續賣給英特爾。</p> <p>0719全球大當機後，作為IT產品用戶的企業與組織，能學到什麼教訓？多數人或許只能無奈表示：「雞蛋不要放在同一個籃子」，重新思考備援系統與服務的資安配置，有人打算更換資安防護系統品牌，有人考慮備援系統與服務改用不同資安廠商的產品，也有人提到他們的電腦與伺服器不想繼續使用Windows平臺，然而，更換或同時使用其他資安廠商的產品，改用其他作業系統，仍有機會因為廠商出包或產品問題而導致IT服務停擺的危機，只能盡量降低風險。</p> <p>而對於資安或其他類型的IT廠商而言，追求技術的突破與功能的卓越，當然是必要的，但不能捨本逐末，如同一段國產製藥廠商長年宣傳的廣告臺詞：「先研究不傷身體，再講究效果」，如果控管機制嚴重影響IT系統正常運作，就失去提供保護的意義。<span style="font-size:20px;"><a href="http://www.ithome.com.tw/tags/0719%E5%85%A8%E7%90%83%E5%A4%A7%E7%95%B6%E6%A9%9F" target="_blank"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 請點選此處前往「0719全球大當機」系列報導 </span></span></strong></a></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/crowdstrike">CrowdStrike</a></div><div class="field-item odd"><a href="/tags/windows%E9%9B%BB%E8%85%A6">Windows電腦</a></div><div class="field-item even"><a href="/tags/%E5%A4%A7%E7%95%B6%E6%A9%9F">大當機</a></div><div class="field-item odd"><a href="/tags/0719%E5%85%A8%E7%90%83%E5%A4%A7%E7%95%B6%E6%A9%9F">0719全球大當機</a></div><div class="field-item even"><a href="/tags/bsod">BSOD</a></div><div class="field-item odd"><a href="/tags/it%E9%87%8D%E5%A4%A7%E4%BA%8B%E6%95%85">IT重大事故</a></div><div class="field-item even"><a href="/tags/edr">EDR</a></div></div></div>
2024/7/26 12:09作者李宗翰https://www.ithome.com.tw/voice/164124
企業必學的超級資安框架2024新變革
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1192-feng_mian_p1-zheng_han_-open-960x420_kao_bei_0.jpg?itok=76pAHKxG" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NIST Cybersecurity Framework已成全球重要資安實務標準，今年2.0版發布，更是直指網路安全在企業治理與風險管理策略的重要性。從公司治理的高度去運作，讓原有的識別、保護、偵測、回應、應變，更有效運作。</p> </div></div></div>
2024/7/26 12:21作者羅正漢https://www.ithome.com.tw/article/164131
AI趨勢周報第257期： Mistral AI用Mamba架構打造程式碼生成模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0719～0725)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Mamba </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Mistral AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式碼 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Mistral AI用Mamba架構打造程式碼生成模型</strong></span></p> <p>Mistral AI最近開源一款70億參數的程式碼生成模型Codestral Mamba，特別的是，這款模型不以Transformer架構為基礎，而是採用後來出現的Mamba 2架構。Mistral AI解釋，有別於主導AI發展的Transformer架構模型，Mamba架構可處理線性時間推論，意味著無論輸入長度如何，模型都能處理且快速回應。</p> <p>而Codestral Mamba專精程式碼生成，可發揮Mamba長文輸入的優勢，支援Python、Java、C、C++、JavaScript、Bash，以及Swift和Fortran等程式語言。該模型也通過256K Token的上下文檢索能力測試，代表使用者可在本地端部署模型、搭配RAG來執行推論。就模型本身的表現來說，不論是人類評估還是其他基準測試，Codestral Mamba大多勝過同大小的模型，如CodeLlama、CodeGemma等。使用者可從Hugging Face下載原始權重，也能在la Plateforme平臺測試模型表現。<a href="https://mistral.ai/news/codestral-mamba/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-07-26%20at%209_38_28%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Hugging Face </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SmolLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 小型語言模型 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Hugging Face釋出小又強健的語言模型SmolLM</strong></span></p> <p>最近Hugging Face發布一系列語言模型，名為SmolLM，共有3個版本，包括1.35億參數（135M）、2.6億參數（360M）和17億參數（1.7B）版本。為訓練這些模型，Hugging Face還建置了高品質的訓練語料庫SmolLM-Corpus，由3大類語料組成，分別是目前最大的合成教科書和故事資料集Cosmopedia v2，共有280億個字符（Tokens），以及程式碼教學範例資料集Python-Edu、篩除重複範例的網路範例資料集FineWeb-Edu。這個SmolLM-Corpus語料庫，也隨著模型一起開源。</p> <p>就模型效能來說，SmolLM在各種常識推理和世界知識測試中表現優異，超越了同規模的MobileLLM、Phi-1.5和Qwen模型。這一系列小型模型，有助於AI在各種裝置上執行，提高應用性。<a href="https://huggingface.co/blog/smollm">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-07-26%20at%2010_03_07%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Llama 3.1 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開源 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta終於開源Llama 3.1 405B了</strong></span></p> <p>日前，Meta開源了Llama系列語言模型的最新款Llama 3.1 405B，具4,050億個參數，脈絡長度達12.8萬個字符（Token），支援8種語言，是Meta迄今開發的最大模型，號稱是全球第一個達頂尖水準的開源模型。Meta創辦人暨執行長祖克柏還特別強調開源AI的重要性，認為開源才是AI的未來。</p> <p>進一步來說，該模型有2個版本，包括Llama 3.1 405B和Llama 3.1 405B Instruct。Llama 3.1 405B是在近15兆個Token上進行訓練，經測試，Llama 3.1 405B在通用基準測試IFEval、數學測試GSM8K、推論測試ARC Challenge等測試中，都勝過GPT-4、GPT-4o和Claude 3.5 Sonnet。但在人類專家評估中，則與GPT-4-0125、Claude 3.5 Sonnet的表現不相上下，但明顯不及GPT-4o。<a href="https://ai.meta.com/blog/meta-llama-3-1/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe8-2.fna.fbcdn.net/v/t39.2365-6/451735590_1030734788570365_1093008500142144333_n.png?_nc_cat=100&ccb=1-7&_nc_sid=e280be&_nc_ohc=S3n_sIpF1AEQ7kNvgH5vLQS&_nc_ht=scontent.ftpe8-2.fna&oh=00_AYBpyar49HlBQnsEqP9SxEycxzSwE9M83Cuftg5J5nsjlw&oe=66BD327E" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LazyLLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span></p> <p><span style="font-size:22px;"><strong>有效加速Transformer生成時間，蘋果推LazyLLM</strong></span></p> <p>最近，蘋果推出一種名為LazyLLM的新方法，可用來加速Transformer語言模型的推論過程。進一步來說，Transformer模型推論可分為2個階段，首先是預填充階段，包括計算提示的鍵值（KV）快取和生成第一個字符（Token），再來是解碼階段，來生成後續字符。對於長提示來說，模型需在預填充階段，計算所有字符的鍵值快取，也就拉長了生成第一個字符的時間，成為瓶頸。</p> <p>為解決問題，團隊設計了LazyLLM，可在預填充和解碼階段，選擇性地計算字符鍵值，而這些被選中的字符，對預測下一個字符來說是重要的。透過這個方法，可節省Transformer模型處理長提示的時間。而且，與靜態修剪不同，LazyLLM允許語言模型在不同生成步驟中，動態選擇不同字符子集，即使這些字符之前已經修剪過。經測試，LazyLLM可無縫整合現有語言模型，無需微調就能大幅加速生成過程，比如在多文檔問答任務中，LazyLLM在保持準確性的同時，能加速LLama 2 7B模型的預填充階段達2.34倍。<a href="https://huggingface.co/papers/2407.14057">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 客製化 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia推出企業級模型客製化平臺AI Foundry</strong></span></p> <p>最近，Nvidia推出最新解決方案AI Foundry，可讓企業在Nvidia雲端上客製化生成式AI模型，提供了從專案規畫、合成數據生成、模型微調、RAG、模型安全防範到模型評估和部署等一系列功能。Nvidia說明，AI Foundry整合了Nvidia雲端平臺DGX Cloud、Nvidia NeMo平臺和第三方工具，可搭配多種底層模型來進行客製化。</p> <p>AI Foundry提供的模型，包括了Nvidia Nemotron和開源模型，如Llama 3.1 405B、CodeGemma、Gemma、Mistral和Mixtral，以及微軟Phi-3、StarCoder2等。除了Nvidia本身的資源，企業還能用Nvidia合作夥伴提供的AIOps和MLOps平臺，來開發AI Foundry模型，包括Cleanlab、DataDog、Dataiku、Dataloop、New Relic、Scale等。企業客戶也能將在AI Foundry客製的模型，連同優化的引擎和標準API輸出為Nvidia NIM推論微服務，在AI加速基礎設施上執行。<a href="https://nvidianews.nvidia.com/news/nvidia-ai-foundry-custom-llama-generative-models">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DCLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>蘋果再開源2款小模型DCLM</strong></span></p> <p>繼4月份發表可在裝置上執行的小語言模型OpenELM後，蘋果最近又揭露2款小模型，包括14億參數和70億參數的DCLM模型，號稱效能不輸Llama 3、Gemma或Mistral等模型，且更省訓練運算資源。</p> <p>這二款模型是由蘋果DataComp for Language Models（DCLM）團隊開發，並在Hugging Face平臺上釋出。第一款是70億參數的DCLM-7B，以2.6兆個字符（token）訓練而成。與SOTA模型如Mistral、Llama 3、Gemma、阿里巴巴Qwen-2、微軟Phi-3和開源模型MAP-Neo相比，DCLM-7B在多語理解測試MMLU的最終表現和Map-Neo相同，但所需的運算資源少了40%。第二款是14億參數的DCLM-1B模型，它在Alpaca bench測試中，表現比Hugging Face最近發表的小模型SmolLM還要好。蘋果也將DCLM模型框架、高品質訓練資料集DCLM-BASELINE和預訓練方法，開源公布在<a href="https://datacomp.ai/dclm">https://datacomp.ai/dclm</a>專案網站。<a href="https://x.com/Vaishaal/status/1813956553042711006">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微調 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPT-4o mini </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span></p> <p><span style="font-size:22px;"><strong>可免費用2個月，OpenAI推出GPT-4o mini微調工具</strong></span></p> <p>就在揭露最新小模型GPT-4o mini後不到一周，OpenAI再公布<a href="https://platform.openai.com/docs/guides/fine-tuning">微調工具</a>，提供特定用量免費使用2個月。這個微調工具可由API使用，一開始提供給tier 4和tier 5用戶，之後會逐步推展到所有收費等級的用戶。從即日起到9月23日，每日前200萬個字符（token）可免費使用。</p> <p>可提供微調的模型，包括GPT-4和gpt-4o-mini，以及gpt-3.5-turbo-0125、gpt-3.5-turbo-1106、gpt-3.5-turbo-0613、babbage-002、davinci-002、gpt-4-0613（實驗中）、gpt-4o-2024-05-13，以及gpt-4o-mini-2024-07-18（建議）。OpenAI點出，以效能和易用性來說，gpt-4o-mini對大部分用戶而言是最適合的模型。他們表示，用API微調模型，可讓用戶輸入更多的訓練範例，提升GPT-4o mini模型生成的品質，且由於用戶不需使用那麼長的提示，可節省字符及成本，延遲性也更低。<a href="https://twitter.com/OpenAIDevs/status/1815836887631946015">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI安全 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 供應鏈 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CoSAI </span></strong></span></p> <p><span style="font-size:22px;"><strong>瞄準AI系統供應鏈安全，微軟、Nvidia和Google聯手推動安全AI聯盟</strong></span></p> <p>專門推動全球結構化資訊標準的非營利組織OASIS Open，日前提出安全AI聯盟（CoSAI）開源倡議，要建立一個協作生態體系，來分享AI安全設計方法、標準框架和相關工具。該聯盟的主要贊助者有Google、IBM、Intel、Microsoft、Nvidia和PayPal，其它贊助者還包括Amazon、Anthropic、思科、GenLab、OpenAI等。</p> <p>身為CoSAI創始成員，Google表示，該聯盟計畫與產學界共同解決3大領域問題，包括AI系統的軟體供應鏈安全、讓防禦者為不斷變化的網路安全領域作好準備，以及AI安全治理。同時，CoSAI也將與Frontier Model Forum、Partnership on AI、Open Source Security Foundation及ML Commons 等組織合作，以共同推動負責任的AI。<a href="https://www.oasis-open.org/2024/07/18/introducing-cosai/">（詳全文）</a></p> <p>圖片來源／Mistral AI、Hugging Face、Meta</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Meta AI擴大支援7種語言</strong></p> <p><strong>2. Nvidia與Mistral AI攜手釋出企業級AI模型Mistral NeMo</strong></p> <p><strong>3. AWS旗下AI平臺如Amazon Bedrock、SageMaker開始支援3款Llama 3.1模型和Mistral Large 2模型</strong></p> <p>資料來源：iThome整理，2024年7月</p> </div></div></div>
2024/7/26 10:31作者王若樸https://www.ithome.com.tw/news/164111
企業導入SBOM軟體物料清單有六大常見迷思的考驗及因應對策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，國外許多政府開始要求企業建立SBOM（Software Bill of Materials，軟體物料清單）。例如美國白宮在2021年發布行政命令，為了強化國家網路安全，要求其供應商都要提供SBOM。歐盟在幾個月前通過《網路韌性法案》（EU Cyber Resilience Act, CRA），同樣要求2027年前軟體供應商必須提供SBOM，不提供的話，將面臨至少1,500萬歐元的罰款。另外還有醫療相關產品，包括FDA和MDR中都有要求SBOM，臺灣食藥署也有相關要求。</p> <p>林上智是 Bureau Veritas 首席資安專家，也是國際自動化協會臺灣分會會長。在今年的臺灣資安大會上，他歸納了SBOM在應用和實務上常見的六大挑戰和迷思，並提出應對的建議。</p> <p>SBOM指的是軟體物料清單，類似於企業生產管理中常見的BOM表（物料清單）。林上智表示，不同於BOM記載產品本身各項成本、組成件、加工流程及供應商，SBOM軟體物料清單主要記錄軟體構成元件及其關聯表。</p> <p>他表示，企業採用SBOM有四大好處，首先可以用來加強安全管理，透過獲取軟體元件的版本、名稱來進行CVE或弱點追蹤；其次，它可以掃描授權，確保軟體商業授權和開源軟體授權規範都得到遵守。最重要的是透明度，SBOM表提供了一個透明且共享的平臺，能夠減少資源浪費。最後，SBOM還能降低人力和資源成本。</p> <p>他舉例說明，一間公司通常會有很多產品線和產品單位，各個不同BU部門可能會使用相似的工具，例如OpenSSL軟體套件，但彼此並不知道對方有使用，版本也各有不同。一旦出現漏洞，可能得花更多人力和時間來修復。有了SBOM表，這種情況就可以避免。</p> <p><strong><span style="font-size:22px;">迷思1: SBOM 表可以用各種格式和方法產生</span></strong></p> <p>林上智歸納了 SBOM 在應用和實務上的六大挑戰和迷思。第一個誤區是不少人誤以為 SBOM 表可以用各種格式和方法產生。他引用美國 FDA 的定義表示，SBOM（軟體物料清單）的內容必須符合一定的格式，且必須是機器可讀的，不能使用紙本文件。</p> <p><strong><span style="font-size:22px;">迷思2: SBOM中只需列出自行開發的軟體，對於使用的開源軟體或商用套裝軟體則不需列入</span></strong></p> <p>第二個迷思是認為SBOM中只需列出自行開發的軟體，而對於使用的開源軟體或商用套裝軟體則不需列入其中。他表示，實際上，SBOM應包括產品中所有的軟體元件，不論是自行開發的、開源的還是商用的軟體，只要用在自己的產品中，就應該被列入SBOM，因為這些元件都是產品的一部分。這樣才能提供完整的軟體物料清單，有效管理安全風險和相依性。</p> <p><strong><span style="font-size:22px;">迷思3: SBOM表只要購買商業軟體或掃描工具就可以自動產生，不需要人為介入</span></strong></p> <p>他提到的第三個常見迷思是認為SBOM表只要購買商業軟體或掃描工具就可以自動產生，不需要人為介入。但他表示，不同SBOM的格式，有各自支援的工具，包含商業軟體、開源軟體，這些工具都有可能存在誤判或漏判的情況，因此仍然需要人工確認來確保SBOM的準確性和完整性。</p> <p><strong><span style="font-size:22px;">迷思4:SBOM表產生後，就意謂完成所有工作</span></strong></p> <p>SBOM表產生後，就意謂完成所有工作是第四個常見迷思。林上智強調，「千萬不要以為只要有SBOM表就行，重點是要拿它來做什麼事」。他指出，有些企業會使用SBOM來進行資產盤點和組態管理，也有的會與資安管理和資安開發流程結合，用於管理產品的弱點和檢測潛在的安全與授權問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240516_031657991.jpg" style="width: 600px; height: 338px;" /></p> <p>他也引用美國NITA對於軟體物料清單的工具分類，分為三大類，第一類是 SBOM 表產生工具，這類工具可以透過分析原始碼或執行檔來產生軟體物料清單；第二類是軟體物料清單接受格式的工具，如SW360，這類工具可以用來管理SBOM 表的內容和版本等；第三類是軟體物料清單格式轉換工具，可以在不同格式的SBOM 表之間進行轉換，確保SBOM表的一致性。</p> <p><strong><span style="font-size:22px;">迷思5:SBOM產生需要掃描程式碼，沒有程式碼就無法生成</span></strong></p> <p>許多人認為產生SBOM一定需要掃描程式碼，沒有程式碼就無法生成SBOM。這是第5個常見迷思。他表示，事實上，SBOM表可以在軟體開發的不同階段生成，包括設計、程式碼、建置、分析、部署環境和Runtime階段。每個階段都可以生成SBOM表，以反映該階段的軟體元件和依賴關係。</p> <p>他指出，在軟體開發的這六個階段中，通過程式碼生成或分析執行檔產生SBOM 是最常見的做法。相比之下， runtime階段產生的SBOM較為少見，但該階段的SBOM内容是最準確的，但也最具挑戰性。他也說，目前法令或法規都只要求要有SBOM，但沒有要求要多準確，一定要在runtime階段做分析。但他認為這是會未來長遠的發展趨勢。</p> <p><strong><span style="font-size:22px;">迷思6:使用SBOM表掃描已知漏洞，沒有掃描到代表就很安全</span></strong></p> <p>最後一個迷思是，使用SBOM表掃描已知漏洞，沒有掃描到代表就很安全。他引用CVE背後的NVD資料庫的說明，有時可能出現可能有弱點，但沒有掃到的情況，例如弱點發布時間差或資料庫還沒更新等。</p> <p>面對SBOM在實務上的種種挑戰，他建議，企業在開發產品一定要考慮到模組化，這樣在SBOM表管理上會比較容易，他舉例，過去很常看到一體式產品，把所有東西都打包，但這樣的情況下，產品就只會有一個SBOM，就沒辦法看到產品更細步的清單內容，且一旦遇到其中使用的開源軟體有問題需要修正時，就必須整個SBOM表一起修正，沒辦法僅就開源軟體的SBOM表來修改。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240516_030946829.jpg" style="width: 600px; height: 338px;" /></p> <p>再者，他強調，SBOM表的格式選擇很重要。他指出，目前SBOM常用的軟體資料交換格式包括SPDX、CycloneDX 和 SWIDX 三種。其中，SPDX由Linux基金會推動，也是ISO 5962的標準，是目前最多人使用的格式，並且支援多種資料格式，包含Tag/value、RDF/XML、JSON、yml、xls等。其次是由OWASP力擁的CycloneDX的格式。他也列出這三大SBOM格式　對應到美國NTIA的SBOM表的名稱。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240516_031857519.jpg" style="width: 600px; height: 338px;" /></p> <p>對於企業是否需要將產品的SBOM表公開？他表示，企業不需要公開其產品的 SBOM，而是依法提供給監管機構或特定客戶的要求提供。此外，在SBOM 的保護方面，應涵蓋整個生命周期，包括SBOM 的派送、接受／驗證、資料擷取和管理、ETL（擷取、轉換及載入）過程以及映射和評估管理，以確保SBOM內容的完整性和及時性，防止惡意篡改。</p> <div class="notranslate" style="all: initial;"> </div> <div class="notranslate" style="all: initial;"> </div> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/7/26 11:08作者余至浩https://www.ithome.com.tw/news/164109
要贏AI就加快大腦迭代問題速度
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0726-chao_yue_aide_si_kao_jia_gou_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然我們可能並不自覺，但心智模型時時刻刻都在運作。但也有時候，我們會清楚意識到，自己正運用怎樣的觀點在衡量局勢，而且也能夠刻意堅持觀點或改變觀點。</p> <p>需要做出重大決定的時候（像是換工作、生小孩、買房子、關掉工廠、蓋一棟摩天大樓），就最常有這樣的感受，你會發現自己的決定除了出於客觀邏輯，還會有一些更根本的理由，像是看待當下情境的視角、認定世界運作的方式。而這種潛藏的認知因素，就是由各種心智模型組成的。</p> <p>所謂的思考框架（frame），也就是我們所選擇應用的心智模型，會決定我們如何理解世界，也決定我們如何行動。思考框架讓我們能夠歸納類推，得出抽象的概念，再應用到其他的情境當中。</p> <p><span style="font-size:28px;"><strong>思考框架不同，視角就不相同</strong></span></p> <p>過去大家對於建立思考框架的重視程度，一直比不上其他的心智能力（例如感知和記憶）。</p> <p>但由於大家愈來愈感受到必須提升自己的決策能力，而建立思考框架又與做出好選擇和行動息息相關，這件事也就逐漸從幕後走向舞臺中央。現在我們知道，如果能用正確的方式、提出正確的思考框架，就能找出更多的可能，也就能做出更好的選擇，創造更好的局勢。</p> <p>社會上許多問題之所以如此棘手，究其核心，都只是各方採用了不同的思考框架。例如，美國和其他國家之間，究竟是該築起一道牆、還是搭起一座橋？蘇格蘭究竟是該留在英國、或是獨立？中國對香港的「一國兩制」，究竟重點是一國、還是兩制？對於同一個情境，因為思考框架不同，看在眼裡就有完全不同的樣貌。</p> <p>每一種思考框架，都會讓我們用某種獨特的視角來看世界，使某些要素放大、又讓某些要素縮小。譬如，資本主義的思考框架，會讓一切都彷彿充滿商機；共產主義的思考框架，則讓一切都成了階級鬥爭。</p> <p>同樣的資料數據，不同的思考框架，就會有相反的結論。</p> <p>有時，我們慣用的思考框架並不見得和現實契合。思考框架本身並沒有正誤之別（只有一個例外），但當然有些時候會出現選錯思考框架的情況，也就是選用的框架並不適合當時情境。實際上，人類進步的路上，就四處散落著被拋棄的框架殘骸。</p> <p>然而，講到當前人類所面臨的種種重大挑戰，我們卻常常說不出自己用了怎樣的思考框架。無論是在哪個領域，都必須瞭解建立思考框架有多麼重要：先能用不同的觀點來看待問題，才能用不同的方式來解決問題。</p> <p><span style="font-size:28px;"><strong>政府為了降低犯罪率另起思考框架</strong></span></p> <p>位於紐澤西州南邊的康登市，就曾看到另啟思考框架如何發揮效益。該市做了一件大多數人會覺得過於大膽、根本不可能的事：直接解散整個警察隊伍，徹底重組警隊。在這項極端的舉動背後，其實是在另啟「執法態度」的思考框架——在過去，警方將人民視為可能的罪犯，但後來的態度則是重視營造警民一家、社群導向。</p> <p>康登市曾經犯罪橫行，犯罪率和謀殺率在全美數一數二。</p> <p>雖然犯罪情況已經夠糟了，但可以說當時的警務狀況使得情況變得更糟。警方栽贓、造假、暴力執法的情況屢見不鮮，讓法院後來不得不推翻幾十件判決。許多居民害怕警方的程度，並不亞於害怕黑道犯罪集團。而警察工會向來抵制任何改革。到了2012年，局勢積重難返，改革無力回天，地方領導者束手無策。</p> <p>康登市是康登郡的首府。郡長卡佩利（Louis Cappelli Jr.）意識到，頭痛醫頭、腳痛醫腳絕對行不通；需要整個體系砍掉重練才行。康登市解散了原有一百四十一年歷史的警局，二百六十名警察遭到解雇。新的警隊於2013年成立，有全新的合約內容，新的臉孔、新的規則、新的訓練，最重要的是有新的思維心態。原本的警員只有不到一百人得到回聘。我們如果還用舊有的心智模型來看這件事，可能認為重點是警隊的解散、或是打破了警察工會的束縛。然而，康登市這些領導者的心智模型絕非如此狹隘。</p> <p>成為新任警察局長的湯森解釋：「我們真正的起點不是在於改變文化，而是終於能夠建立文化。我們終於能夠打造理想的警局組織，讓警察的身分是個守護者、而不是戰士。」康登市另啟對警方的思考框架：警察必須和整個社區站在一起，提供幫助、提供守護，而不只是在抓人、開罰單。</p> <p>七年後，康登市謀殺率下降了60%，犯罪率幾乎減半，投訴警方過度使用武力的案件更是下降了驚人的95%。另啟思考框架，在此確實得到成功！</p> <p><span style="font-size:28px;"><strong>人人都可以是造局者</strong></span></p> <p>巴茲萊（Regina Barzilay）是麻省理工學院人工智慧學教授，而她對於抗生素的問題有一套解決方案。</p> <p>傳統藥物研發多半是針對過去有藥效的物質，試圖尋找分子「指紋」相似的物質。</p> <p>這種做法通常成效良好，但在抗生素這個領域卻行不通。成分相似的物質多半早就研究過，於是新研發的抗生素結構與現有抗生素極為相像，細菌很快就會演化出抗藥性。</p> <p>為此，以麻省理工學院生物工程學教授柯林斯（James Collins）為首，一群背景多元的生物學家與資訊工程學者，和巴茲萊合作，決定採用另一套方法，不再把重點放在尋找相似的結構，而是尋找期望的效果：這種物質能殺死細菌嗎？在他們看來，這不是生物學問題，而是資訊科學問題。</p> <p>巴茲萊和研究團隊合作，以二千三百多種有抗菌特性的化合物，來訓練一套AI演算法，讓AI演算法判斷這些物質能否抑制大腸桿菌的生長。AI演算法經過訓練後，就用來判斷「老藥新用資料庫」裡大約六千種分子，以及後續另一個資料庫中的一億多種分子，以預測哪些分子可能會有藥效。</p> <p>在2020年初，他們挖到寶了，有一個分子脫穎而出。他們把這個分子命名為halicin，正是在向《2001太空漫遊》電影裡背叛主角的AI電腦HAL致敬。</p> <p>發現了這種能夠殺死超級細菌的超級藥物，立刻登上了全球的新聞頭條。眾人盛讚這就像是「影像殺死了廣播明星」的一刻，證明AI機器已勝過人類。</p> <p>然而那種說法是抓錯重點。並不是人工智慧贏了，而是人類的認知又邁出了成功的一步：面對重大的挑戰，先有一開始的想法，接著能夠改變觀點，於是開闢新路、找出解答。這裡該讚賞的並不是新科技，而是人類的能力。</p> <p>巴茲萊就解釋說：「是人類選擇了正確的化合物，也是人類清楚自己在做什麼，才把那些材料提供給AI模型來做學習。」是人類定義了問題、設計了方法、選擇了要用哪些分子來訓練AI演算法、再選擇要讓AI演算法檢查哪個物質資料庫。而在選出某些候選的分子之後，也是人類再次運用生物學知識，判斷為何有效。</p> <p>巴茲萊等人之所以能成功，要素之一就是掌握了一種認知自由（cognitive freedom）。而他們擁有這種自由，並不是因為讀了哪本書、依循了什麼傳統、做了什麼顯然合理的事，而只是因為他們運用了一種全人類都擁有的獨特認知能力。<strong>（本文摘錄整理自《超越AI的思考架構》，天下文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0726-%E8%B6%85%E8%B6%8AAI%E7%9A%84%E6%80%9D%E8%80%83%E6%9E%B6%E6%A7%8B_600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／天下文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 超越AI的思考架構（Framers）</strong></p> <p>庫基耶（Kenneth Cukier）, 麥爾荀伯格（Viktor Mayer-Schönberger）, 德菲爾利科德（Francis de Véricourt）／著</p> <p>林俊宏／譯</p> <p>天下文化出版</p> <p>定價：480元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0726_Framers_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_ITU.png" style="width: 170px;" /></p> <p><strong>庫基耶（Kenneth Cukier）</strong></p> <p>《經濟學人》雜誌資深編輯，《經濟學人》每週科技播客Babbage主持人，牛津大學賽德商學院副研究員，《大數據》作者之一。<a href="https://aiforgood.itu.int/speaker/kenneth-cukier/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源／ITU</span></span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0726_Framers_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%89%9B%E6%B4%A5%E5%A4%A7%E5%AD%B8.jpg" style="width: 170px;" /></p> <p><strong>麥爾荀伯格（Viktor Mayer-Schönberger）</strong></p> <p>牛津大學網路研究所教授，並擔任微軟、世界經濟論壇等大公司和組織的顧問，是大數據（巨量資料）領域公認的權威，著作《大數據：隱私篇》一書獲得2010年 Marshall McLuhan 傑出著作獎。<a href="https://www.law.ox.ac.uk/people/viktor-mayer-schenberger" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源／牛津大學</span></span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0726_Framers_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Francis%20de%20V%C3%A9ricourt.png" style="width: 170px;" /></p> <p><strong>德菲爾利科德（Francis de Véricourt）</strong></p> <p>歐洲管理科技學院教授，決策、模型暨數據中心主任，專精於管理科學和機器學習。<a href="https://www.francisdevericourt.net/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Francis de Véricourt</span></span></a></p> </div></div></div>
2024/7/26 06:00未署名https://www.ithome.com.tw/article/164055
駭客利用深偽技術線上應徵工作得逞，資安業者KnowBe4傳出不慎僱用北韓駭客，察覺異狀並尋求FBI協助調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩年前<a href="https://www.ithome.com.tw/news/150980">美國政府發出警告</a>，北韓政府派出具備IT開發能力的商業間諜，透過自由工作者招募平臺、社交網站、數位支付系統等管道，於全球市場求職，但這些人士不光只是為北韓政府賺錢，一旦企業僱用他們，就有可能面臨資料外洩及資金遭竊的風險，如今這樣的情況，真實發生在一家資安業者身上，而且，差一點就可能造成內部資料外洩的危機。</p> <p>7月24日資安意識教育訓練業者KnowBe4揭露<a href="https://blog.knowbe4.com/how-a-north-korean-fake-it-worker-tried-to-infiltrate-us">他們近期遭遇的內部威脅資安事故</a>，該公司最近為內部的IT AI團隊招募軟體工程師，他們發布求才訊息，並在收到履歷後安排面試、查核應徵者的背景、驗證推薦者等程序，最後決定聘僱。但該公司向這名新進人員提供Mac電腦工作站之後，奇怪的事情發生：這臺電腦竟然開始被載入惡意軟體。</p> <p>該公司指出，人力資源（HR）團隊其實相當盡力進行相關的檢查，他們在不同場合安排了4次視訊會議面試，並儘可能確認應徵者是履歷當中的本人，而且，該團隊也進行身家調查，以及執行就職前的其他標準審查流程。然而，對方雖然是真實人物，但濫用遭竊的美國公民身分，並使用Deepfake手法，透過AI「強化」照片。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-07-25 19_22_35.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-07-25%2019_22_35.png" style="width: 580px;" /></a></p> <blockquote><p>資安業者KnowBe4發現，這名軟體工程師履歷上使用的照片，是透過AI技術進行變造，對方將原始的左圖西方人的臉孔透過Deepfake變造，產生右邊看起來像東方人的照片。</p> </blockquote> <p>在該公司的EDR系統偵測到異狀並向資安營運中心（SOC）發出警訊，SOC向該名新員工詢問是否需要協助。在此同時，該公司也向資安業者Mandiant、美國聯邦調查局（FBI）共享收集到的資料與初步的調查結果，從而確認這是來自北韓的假IT人員。</p> <p>基於FBI已介入調查此事，KnowBe4表明他們無法說明完整的細節，但還是透露了整起事故察覺異狀的經過。</p> <p>該公司在今年7月15日，察覺新進的主任軟體工程師使用者帳號出現一系統可疑活動，SOC團隊向這名工程師進一步確認這些惡意活動及可能發生的根本原因，對方宣稱他的路由器出現速度異常的情況，懷疑有可能是遭到網路攻擊造成，正依照路由器的手冊排除故障。</p> <p>他們發現這名工程師意圖藉由各種手法來操縱網路連線的記錄資料，並傳輸含有潛在風險的檔案，以及執行未經授權的軟體，而存取惡意軟體的管道，是透過樹莓派裝置來下載。SOC想要進一步聯繫這名工程師，對方表明無法接聽電話，接下來就不再回應。</p> <p>根據該公司SOC的發現，他們懷疑這名員工的身分不單純，很有可能是國家級駭客，從而啟動進一步的調查。值得慶幸的是，該公司新員工會處於高度管制的環境，無法存取正式的生產力系統，而免於內部資料外流的危險，再者，該公司的資安系統適時察覺異狀，而能及早讓對方的意圖曝光，因此，他們的內部正式生產力系統並未遭到入侵，也沒有機敏資料外流的情況。</p> <p>該公司也對他們在查核對方身分真實性的流程，發現可能存在瑕疵的地方，例如，人資部門可能對於背景調查不夠充分，因為後來他們發現對方使用的名稱前後出現不一致的情況；再者，他們發現審查相關資料不夠嚴謹，很有可能依賴對方提供的電子郵件做為參考依據而上當。</p> <p>但究竟這些北韓駭客如何從事相關工作，而能夠騙過美國企業的耳目？該公司表示，對方成功取得相關工作職位後，通常會要求企業將公務電腦寄送到「IT騾子筆電農場（IT Mule Laptop Farm）」，然後半夜透過VPN從實際所在的地理位置（通常是北韓或中國邊界地區）存取，執行公司指派的任務，如此一來，這些「員工」看起來就在美國的白天時間正常上下班工作。</p> </div></div></div>
2024/7/25 20:04作者周峻佑https://www.ithome.com.tw/news/164108
使用竊資軟體Lumma Stealer、Connecio的駭客加入利用CrowdStrike更新大當機為幌子的行列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週發生的CrowdStrike更新大當機事故，包含<a href="https://www.ithome.com.tw/news/164052">資安業者CrowdStrike自己的威脅情報團隊</a>在內的<a href="https://www.ithome.com.tw/news/164079">研究人員提出警告</a>，駭客也會假借提供解決方案的名義，對於該廠牌EDR用戶發動攻擊，如今CrowdStrike再度公布兩起這種類型的資安事故。</p> <p>7月23日研究人員表示，<a href="https://www.crowdstrike.com/blog/threat-actor-distributes-python-based-information-stealer/">他們看到惡意ZIP壓縮檔CrowdStrike Falcon.zip</a>，駭客宣稱是EDR系統Falcon的更新檔案，其內容含有使用說明的純文字檔案，以及WinRAR自解壓縮檔（SFX）CrowdStrike Falcon.exe。但對於攻擊者的身分，研究人員並未透露。</p> <p>值得留意的是，對方在純文字檔寫下的操作步驟，要求使用者在執行自解壓縮檔之前，必須停用Microsoft Defender或其他的防毒軟體，而且，必須在安裝完成後重開機。</p> <p>這樣的步驟其實相當不尋常，因為，正牌端點防護系統的安裝過程，通常為了避免不同防毒系統之間發生衝突，可能會要求使用者直接移除電腦裡的防毒軟體，但不會以停用的方式進行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel-blog-4-Fig-1-Read-Me.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel-blog-4-Fig-1-Read-Me.png" style="width: 580px;" /></a></p> <p>一旦使用者執行CrowdStrike Falcon.exe，電腦就會進行解壓縮作業，呼叫以Python程式語言打造的竊資軟體Connecio。此竊資軟體會收集電腦系統資訊、多種瀏覽器資料，以及系統的外部IP位址資訊。</p> <p>而這款竊資軟體取得與C2連線資訊的方式，是向特定的Pastebin網址取得C2伺服器組態，並藉由SMTP郵件帳號，外傳竊得的資料。</p> <p>針對加密貨幣錢包的部分，這些駭客疑似藉由剪貼簿挾持的方式進行，並使用Python程式庫來控制受害電腦的剪貼簿。他們藉由特定的錢包網址特徵進行比對、置換，來盜取受害者的加密貨幣資產。</p> <p>事隔一天，<a href="https://www.crowdstrike.com/blog/lumma-stealer-with-cypherit-phishing-lure/">研究人員發現另一起竊資軟體攻擊行動</a>，這回是惡名昭彰的Lumma Stealer（也有人稱為LummaC2），他們發現網釣網域crowdstrike-office365[.]com，假冒該資安業者的名義散布惡意ZIP及RAR壓縮檔，內含MSI安裝檔，一旦執行，電腦就會載入竊資軟體。</p> <p>他們特別提及這個網域的註冊時間，是在大當機事故發生之後（23日），顯然是針對這起事故而來，再者，攻擊者的身份，研究人員懷疑是6月藉由垃圾郵件轟炸及語音釣魚（vishing）手法，散布Lumma Stealer的駭客所為。</p> <p>若是使用者不慎下載並執行MSI安裝程式，電腦就會載入RAR自解壓縮檔plenrco.exe，並解開、執行以NSIS封裝打包的安裝程式SymposiumTaiwan.exe，從而在受害電腦部署經過CypherIt打包的竊資軟體。</p> </div></div></div>
2024/7/25 15:03作者周峻佑https://www.ithome.com.tw/news/164106
Mistral AI發表Mistral Large 2，挑戰GTP-4o與Llama 3.1 405B
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年才成立的Mistral AI腳步飛快，於本周三（7/24）推出了具備1,230億個參數，支援12.8萬個Token脈絡長度的<a href="https://mistral.ai/news/mistral-large-2407/" target="_blank">Mistral Large 2</a> ，此一Mistral AI的旗艦模型宣稱已可比美OpenAI的<a href="https://www.ithome.com.tw/news/162852" target="_blank">GTP-4o</a>及Meta剛開源的<a href="https://www.ithome.com.tw/news/164093" target="_blank">Llama 3.1 405B</a>。</p> <p>Mistral Large 2支援包括中文、日文、韓文及德文等數十種語言，以及涵蓋Python、Java、C、C++、JavaScript與Bash等逾80種程式語言，它在設計時即著眼於基於長脈絡應用的單節點推論，其預訓練版本的MMLU基準測試準確率為84%，低於Llama 3.1 405B的88.6%，或是GPT-4o的88.7%。</p> <p>不過，Mistral AI強調Mistral Large 2在程式碼及數學上的表現，足以比美同為開源模型的Llama 3.1 405B；也投入了大量資源來強化模型的推論能力，重點之一是盡量減少模型虛構答案，以確保它提供可靠及準確的輸出；另也改善了Mistral Large 2在指令遵循與對話上的能力。</p> <p>Mistral AI比較了Mistral Large 2、Llama 3.1 405B及GPT-4o在C++、Bash、Java、TypeScript、PHP與C#的程式語言的表現，平均表現最好的是GPT-4o的75.3%，Large 2以74.4%居次，Llama 3.1 405B則是73.4%。若單看不同的程式語言，Mistral Large 2在Java的表現最佳，準確率高達84.2%，勝過GPT-4o與Llama 3.1 405B的82.9%。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0725-%20Mistral%20Large%202-benchmark-%20Code.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0725-%20Mistral%20Large%202-benchmark-%20Code-%E5%B0%8F%E5%9C%96.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Mistral AI</span></span></p> <p>至於GPT-4o則是在C++、TypeScript或PHP上的成績居冠，Llama 3.1 405B在Bash上取得領先。</p> <p>Mistral Large 2採用的是Mistral研究授權，代表可供研究與非商業的免費使用或變更，商業授權則必須與Mistral AI接洽。</p> </div></div></div>
2024/7/25 15:47作者陳曉莉https://www.ithome.com.tw/news/164107
微軟開始於Bing搜尋測試AI生成結果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.bing.com/search/July-2024/generativesearch" target="_blank">微軟周三（7/24）宣布</a>，已針對一小部分的Bing搜尋用戶提供AI生成結果，讓Bing得以針對使用者的查詢量身打造動態式的回應。</p> <p>此一新的搜尋服務是在搜尋結果頁面上整合了生成式AI與大型語言模型（LLM），例如在使用者搜尋「什麼是義大利式西部片」（What is a spaghetti western?）時，它會在視窗左側顯示由AI所生成的答案，包括該類型電影的起源、歷史與例子等，還會附上資訊連結，並於視窗右側呈現傳統的搜尋結果。</p> <p class="rtecenter"><img alt="" src="https://blogs.bing.com/getmedia/b785f5de-a493-4434-950e-b88fbd6aa9eb/western_spaghetti_promo_1.gif" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>微軟說明，此一新的Bing搜尋結果結合了大型語言模型與小型語言模型（SLM），使得它得以理解查詢內容，進而查閱數百萬個資訊來源，動態匹配內容，並生成結果，以更有效地滿足使用者的查詢意圖。</p> <p>除了不斷調整方法來提高搜尋結果的準確性之外，微軟亦密切注意新的生成式搜尋對出版商的流量影響，其早期的資料顯示，新服務維持了使用者造訪出版商網站的次數，因而可以支撐健康的網頁生態體系。</p> <p>微軟強調，他們在設計生成式搜尋體驗時，便已考慮到相關事項，包括保留傳統搜尋結果，以及增加連結數量，例如結果中的參考連結。</p> <p>這些由AI生成的搜尋結果內容上方都有兩種圖示，分別代表好（豎起大姆指）或不好（大姆指往下），使用者可藉由選擇這些圖示來回應對結果的滿意度。</p> </div></div></div>
2024/7/25 14:24作者陳曉莉https://www.ithome.com.tw/news/164104
Apple Maps終於推出網頁版，臺灣已上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在手機版推出超過12年後，<a href="https://www.apple.com/newsroom/2024/07/apple-maps-on-the-web-launches-in-beta/" target="_blank">蘋果昨日宣布</a>，網頁版Apple Maps以公測版上線，上線地區包括臺灣。</p> <p>蘋果是在2012年首先於iPhone及Mac上公布Apple Maps服務取代Google Maps。一開始錯誤百出，也不精確，迫使執行長Tim Cook出面道歉並承諾會逐步改進。現在Apple Maps已可在beta.maps.apple.com特定瀏覽器開啟，包括在Mac及iPad上的Safari和Chrome，以及Windows PC上的Chrome和Edge。目前Web版Apple Maps只有英文版，但蘋果說未來會擴增到其他語言、其他瀏覽器和平臺。</p> <p>現在Web版Apple Maps提供行車和走路指引、提供特定景點資訊，包括照片、營運時間、用戶評分與評論。用戶可以直接在Apple Maps的地點卡片（place card）上下單訂餐，或跟著蘋果的指引，尋找餐廳、購物店家或其他城市資訊。未來Apple Maps的環視（Look Around）功能也會在Web版推出。</p> <p>在程式開發上，使用MapKit JS的開發商可以將應用整合Web版Apple Maps，方便用戶在使用App時存取蘋果提供的資訊。</p> <p>臺灣用戶現在也可使用Web版Apple Maps。輸入中文字查詢，Apple Maps依然能提供想要的地點資訊，部分地標或商店也提供中文名稱。</p> </div></div></div>
2024/7/25 14:35作者林妍溱https://www.ithome.com.tw/news/164105
電子地圖基金會Overture Maps發布開放地圖資料集的正式版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由AWS、微軟、Meta及TomTom共同創立的Overture Maps基金會（Overture Maps Foundation），<a href="https://overturemaps.org/overture-maps-foundation-releases-general-availability-of-its-open-maps-datasets/" target="_blank">周三（7/24）正式發表了開放地圖資料集的GA（General Availability）版</a>，當中含有基礎、部門、興趣點及建築物等4個已邁入GA的主題，以及仍處於Beta版的運輸主題，再加上新增的、尚為Alpha階段的地址主題。</p> <p><a href="https://www.ithome.com.tw/news/154753" target="_blank">成立於</a>2022年底的Overture Maps基金會，被視為是上述業者為了對抗封閉的Google地圖所建立的組織，此外，它們認為坊間用來呈現真實世界的不同圖資都使用各自的習慣與辭彙，使得它們難以合併或組合，於是該基金會便企圖提供一個連結不同資料集的系統，來簡化其互通性，同時推動一個紀錄圖資的通用架構，以創造容易使用的地圖資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0725-Overture%20Maps%20Foundation%20logo-%E5%AE%98%E6%96%B9%E5%9C%96%E7%89%87-%E5%B0%8F.jpg" style="width: 400px;" /></p> <p>在經過一年多的測試後，本周釋出了GA版的地圖集，內含4個主題，包括全球23億個建築物，5,400萬個興趣點（Places of Interest），支援逾40種語言的國家及地區的行政邊界，以及涵蓋水及土地的基礎資料。</p> <p>至於仍在Beta階段的運輸主題則仍在改善中，可望於未來幾個月移至GA版，屆時將可看到更詳細與清晰的高速公路標誌、道路路線、鐵路與渡輪資料，也更能處理複雜的交通規則和限制。</p> <p>此外，本周Overture Maps基金會還發表了全新的地址主題，現在還是Alpha版的地址主題已含有14個國家的逾2億個地址，在未來被納入正式地圖集時，這些地址將會擁有唯一的標識碼，以快速連結其它外部資料，而此一地址資料將能進一步推動導航、物流、搜尋或其它應用的進步。</p> <p>該基金會的獨特之處在於允許企業透過其全球實體參考系統（Global Entity Reference System，GERS）於Overture的基礎地圖上添增資料，GERS為一結構框架，替每一個地理元素建立唯一的GERS ID（如下圖所示），以便它們能夠互通與追蹤。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0725-Overture%20Maps%20Foundation-GERS%20Demo-%E5%B0%8F%E5%9C%96.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Overture Maps Foundation</span></span></p> </div></div></div>
2024/7/25 13:48作者陳曉莉https://www.ithome.com.tw/news/164101
Nvidia推出企業用AI模型客製化平臺AI Foundry
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周Nvidia趕上Meta新版Llama 3.1模型列車，<a href="https://nvidianews.nvidia.com/news/nvidia-ai-foundry-custom-llama-generative-models" target="_blank">宣布可讓企業在Nvidia雲端上客製化AI模型的解決方案AI Foundry</a>。</p> <p>Nvidia是在<a href="https://www.ithome.com.tw/news/164093" target="_blank">Meta宣布Llama家族模型3.1版</a>，包括405B時公布這項方案。Meta Llama 3.1同步在包括Nvidia內25家雲端平臺上線。</p> <p><a href="https://blogs.nvidia.com/blog/ai-foundry-enterprise-generative-ai/" target="_blank">Nvidia說明</a>，AI Foundry是一項AI服務，目的在讓企業使用資料、高速運算資源和軟體工具來開發部署自製模型，以增強其生成式AI專案。AI Foundry整合Nvidia雲端平臺DGX Cloud、NVIDIA NeMo及第三方工具和支援，可搭配多種底層模型。AI Foundry提供企業客製化的模型，包括Nvidia Nemotron和開源模型，包括Meta開源的Llama 3.1與CodeLlama、Google DeepMind開源的CodeGemma和Gemma、Mistral AI的Mistral和Mixtral、微軟Phi-3、StarCoder2等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0725-NVIDIA%20AI%20Foundry-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nvidia</span></span></p> <p>企業客戶可以將其在AI Foundry客製的模型，連同優化的引擎及標準API輸出為Nvidia NIM推論微服務，執行在其屬意的加速基礎架構上。而推論方案如Nvidia TensorRT-LLM，可加速Llama 3.1模型執行，降低延遲性和擴大傳輸吞吐量，可讓企業更快產生字符，減少從提示輸入的成本。此外Nvidia AI Enterprise軟體套件則提供安全性及管理、最佳化元件等底層支援。</p> <p>客戶可以使用Nvidia合作夥伴提供的AIOps和MLOps平臺開發AI Foundry模型，包括Cleanlab、DataDog、Dataiku、Dataloop、New Relic、Scale等。AI Foundry全球服務技術夥伴包括Accenture、Deloitte、Infosys和Wipro等。</p> <p>首先使用AI Foundry的客戶包括SAP、Capital One、KT、現代汽車、Snowflake、圖庫業者Getty Images等。</p> <p>最新服務是Nvidia從單純基礎架構業者邁向更全面的雲端平臺的最新發展。Nvidia與Meta執行長<a href="https://www.nvidia.com/en-us/events/siggraph/?nvid=nv-int-bnr-586714" target="_blank">黃仁勳和Mark Zuckerberg預定7月29日將在一場活動中對談</a>，說明生成式AI和開源軟體如何幫助開發者及創作者，以及生成式AI在元宇宙中的角色。</p> </div></div></div>
2024/7/25 14:03作者林妍溱https://www.ithome.com.tw/news/164103
思科修補郵件安全閘道系統重大漏洞，若不處理攻擊者可建立root權限用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日思科發布資安公告，<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-bGG2UsjH">公布郵件安全閘道Secure Email Gateway重大層級漏洞CVE-2024-20401</a>，這項漏洞發生在內容掃描及訊息過濾的功能，而有可能導致未經授權的攻擊者，遠端在作業系統底層覆寫任意檔案，CVSS風險評為9.8。</p> <p>這項漏洞出現的原因，在於此郵件安全閘道系統對於附件的檔案分析及內容過濾機制發生處理不當的情況，攻擊者有機會藉由寄送帶有特製附件的惡意郵件觸發漏洞，一旦成功利用漏洞，攻擊者可替換底層檔案系統的任何檔案，從而新增具備root權限的使用者、竄改裝置組態、執行任意程式碼，以及發動阻斷服務攻擊（DoS），CVSS風險評分達到9.8分。</p> <p>值得留意的是，該公司特別提及若是因這項漏洞遭遇攻擊而導致服務中斷，必須人工介入才能復原。不過，他們並未提及這項漏洞是否被用於攻擊行動的情況。</p> <p>而對於受到這項漏洞影響的範圍，他們提及若是郵件安全閘道系統搭配易受攻擊的AsyncOS作業系統版本，並啟用檔案分析機制或內容過濾機制，而且透過政策套用到所有傳出的電子郵件，再加上內容掃描工具版本較舊，就有可能曝險。思科已發布更新軟體予以修補，並強調沒有其他替代的緩解措施，呼籲IT人員要儘速套用更新。</p> </div></div></div>
2024/7/25 10:19作者周峻佑https://www.ithome.com.tw/news/164097
臺灣及美國macOS用戶遭到鎖定，中國駭客Evasive Panda使用後門程式Macma從事攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往駭客主要針對Windows電腦下手，但最近兩到三年，他們將攻擊範圍擴及其他作業系統的情況越來越普遍，有駭客組織使用跨平臺開發工具，打造出針對macOS、安卓作業系統的惡意程式。</p> <p>例如，<a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/daggerfly-espionage-updated-toolset">資安業者賽門鐵克揭露中國駭客組織Evasive Panda（他們稱為Daggerfly）開發的macOS惡意程式</a>，就是這樣的例子。他們針對最近一波的攻擊行動提出警告，指出對方近期針對臺灣企業組織、位於中國的美國非政府組織（NGO）使用新的作案工具從事網路間諜活動，過程中利用Apache HTTP伺服器的漏洞散布惡意軟體框架MgBot。</p> <p>研究人員指出，這些駭客擅長使用MgBot框架，並持續加入新功能，他們在去年看到駭客在攻擊非洲電信業者的過程裡，採用新的外掛程式來增加危害。</p> <p>但值得留意的是，他們發現名為Macma的macOS後門程式，也是這些駭客開發、使用的武器之一。<a href="https://blog.google/threat-analysis-group/analyzing-watering-hole-campaign-using-macos-exploits/">這個後門程式最早在2021年由Google威脅情報團隊（TAG）揭露</a>，並推測駭客2019年就開始使用，並濫用遭駭的香港網站發動水坑式攻擊，來散布這支後門程式。</p> <p>其中，研究人員提及駭客在水坑式攻擊利用的弱點，不光影響Mac電腦，也會影響iOS裝置，其中一個被利用的是權限提升漏洞CVE-2021-30869（CVSS風險評分為7.5），一旦Mac電腦尚未修補這項漏洞，對方就有機會藉此植入後門程式。</p> <p>基本上，Macma也是模組化的惡意程式，主要的功能收集裝置指紋資料、執行命令、截取螢幕畫面、側錄鍵盤輸入內容、截取電腦聲音，並能讓攻擊者上傳或下載檔案。但研究人員在最新的版本當中發現，駭客加入了多項調整與改進，這突顯對該惡意程式極積開發的情形。</p> <p>他們找到兩個新版的Macma進行研究、分析，並指出駭客採用Tree（可公開取得的Linux、Unix公用程式）為基礎開發新程式碼，調整收集檔案系統列表的邏輯；再者，則是改良AudioRecorderHelper功能的程式碼，並加入新的功能參數及除錯事件記錄。此外，對方也加入名為param2.ini的檔案，設置截取螢幕畫面的相關參數。</p> <p>究竟如何察覺這支惡意程式與Evasive Panda有關？研究人員在分析的過程中發現，這些後門程式竟然連線到IP位址是103.243.212[.]98的C2伺服器，而其中一款MgBot惡意程式載入工具也使用該伺服器進行通訊。</p> <p>經過程式碼的比對，他們發現Macma與MgBot及其他該組織使用的惡意程式，共用相同的程式庫或框架開發而成。駭客使用這些程式庫及相關元件，跨平臺開發Windows、macOS、Linux、安卓版惡意程式。</p> <p>他們舉出<a href="https://www.welivesecurity.com/en/eset-research/evasive-panda-leverages-monlam-festival-target-tibetans/">資安業者ESET今年3月揭露的Windows後門程式Nightdoor</a>（也稱做NetMM、Suzafk）為例，研究人員確認這款惡意程式也是使用該駭客組織專屬的程式庫打造，這是多階段後門程式，能夠使用TCP協定或是透過OneDrive進行C2通訊。對方利用名為DAEMON Tools Lite Helper的虛擬光碟軟體公用程式將其載入，啟動過程濫用al-khaser專案的程式碼來檢測是否在虛擬機器或沙箱環境執行。</p> <p>除了Nightdoor，研究人員也找到駭客針對其他作業系統的開發惡意程式的證據，並指出對方開發了安卓裝置應用程式的惡意安裝檔、簡訊攔截工具、DNS請求攔截工具，還有鎖定Solaris作業系統的惡意程式</p> </div></div></div>
2024/7/25 12:23作者周峻佑https://www.ithome.com.tw/news/164099
CrowdStrike說明全球當機事件起於驗證軟體一隻臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>將近一周後，資安軟體業者<a href="https://www.crowdstrike.com/falcon-content-update-remediation-and-guidance-hub/" target="_blank">CrowdStrike昨（24）日說明</a>，一個驗證軟體的臭蟲加上一連串錯誤，引發了全球Windows電腦大當機事件。</p> <p>CrowdStrike發布事件後初步檢討（Preliminary Post Incident Review），詳細說明<a href="https://www.ithome.com.tw/news/164030" target="_blank">7月19日大規模Windows版藍色死亡螢幕（BSOD）事件</a>是如何發生的。CrowdStrike是透過將安全防護內容，包括惡意程式特徵等發布到其端點感測器。其中包括內含在感測器中的內容，以及業者需透過網路經常更新到用戶端的快速回應內容（Rapid Response Content）。這次事件就是發生更新快速回應內容的環節上一個未預期的錯誤。</p> <p>快速回應內容是為對抗網路威脅，進行惡意程式行為特徵比對，它一般是儲存在CrowdStrike專屬二進位檔，這個檔內含一些配置內容。在日常更新中，CrowdStrike伺服器以內容配置更新機制將快速回應內容派送到端點。派送內容更新的系統涉及三個機制，主要是驗證更新內容，確認無誤，最後發布通道檔（Channel Files）更新給端點。驗證動作由內容驗證器（Content Validator）檢查包含安全更新內容的IPC範本執行個體（Template Instances）。</p> <p>CrowdStrike指出，在4月時都還測試正常的IPC範本執行個體，但在上星期五之前某個時間點出了錯。另一方面，負責驗證的內容驗證器也出了個臭蟲，以致於發布的2個範本執行個體中有1個包含有問題的內容資料，但卻成功通過驗證，並部署到營運環境中。於是在7月19日當天，內含問題內容的通道檔（Channel File）291發布給了Falcon平臺的端點，引發越界（out-of-bounds）記憶體讀取，觸發例外，又加上這例外未能獲得妥善處置，最後導致Windows系統BSOD事件。</p> <p><a href="https://www.ithome.com.tw/news/164040" target="_blank">微軟估計</a>，全球有850萬臺Windows機器因此停機。雖然不到所有Windows電腦的1%，但卻造成全球機場、港口、醫院停擺數小時，以及重大財務損失。</p> <p>CrowdStrike說明該公司預防事件重演的修正措施，包括強化安全偵測（快速回應內容）的多項測試，並對內容驗證器加強驗證檢查，也加強內容解譯器（Content Interpreter）對既有錯誤處理的能力。此外，該公司也將使用逐步部署策略連同加強監控、提高客戶控管能力，以及在release notes提供更多資訊給客戶，防範事件快速蔓延。該公司也計畫導入外部組織來驗證軟體程式碼，及其作業流程。</p> </div></div></div>
2024/7/25 13:18作者林妍溱https://www.ithome.com.tw/news/164100
【網路安全治理當道】快速掌握NIST CSF 2.0的7大重要改變
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對網路攻擊威脅不斷發生，企業相當重視組織本身的資安態勢，為了持續推動改善，這幾年有一套網路安全框架，受到全球政府與企業的青睞，那就是美國國家標準與技術研究所（NIST）發布的Cybersecurity Framework，或稱NIST網路安全框架，我們通常簡稱為NIST CSF。</p> <p>這套框架已發展10年之久，如今是全球最廣泛認可和使用的框架之一。特別是在2018年CSF 1.1版推出之後，這樣的網路安全框架，受到多國組織與企業的認可，並也帶動全球針對關鍵基礎設施在網路安全立法保護的潮流。</p> <p>隔年，iThome電腦報週刊也特別舉辦針對CSF探討的Cybersec 101研討會，是臺灣第一個專門聚焦此議題的系列活動，多位資安專家介紹此框架的5大核心功能：識別、保護、偵測、回應、復原。後續我們也進行<a href="https://www.ithome.com.tw/article/133173" target="_blank"><span style="color:#3399ff;">封面故事的報導，協助大家更加認識這個網路安全框架</span></a>。</p> <p>當時，臺灣已有不少企業關注NIST CSF，認為面對網路安全風險的處理，應該要有通盤的考量，重視網路安全風險生命週期，而不只是頭痛醫頭、腳痛醫腳的方式去應對。</p> <p>經過5年來的推廣與發展，臺灣已有一些企業帶頭導入NIST CSF。例如，根據一些上市櫃公司的官網內容、發布的年報或ESG報告，我們都可以發現採用的跡象，因為有不少公司表明自身在應對資安風險管理上，不僅導入大家耳熟能詳的國際資訊安全管理標準ISO 27001，也會提到他們採用NIST CSF框架，將網路安全控管機制整合在日常作業流程。</p> <p>到了2024年，NIST CSF 2.0版發布，其重要變化再次受到全球各界的重視，因為當中特別將治理的位階提升並且獨立，是相當重大的演進。</p> <p>這不僅是讓網路安全風險的生命週期管理更為健全，也意味著，將網路安全風險管理提升到組織營運戰略層面，確保高階主管對於網路安全風險的關注，如同企業對於財務、聲譽的重視。</p> <p><span style="font-size:28px;"><strong>新版強調網路安全治理的重要性，整體內容也更明確與簡化</strong></span></p> <p>NIST CSF 2.0到底具有哪些特色？帶來哪些改變？為了幫助不瞭解這套框架的企業，以及想要知道新版CSF有何變化的企業，能夠快速理解。接下來，我們統整出CSF 2.0的7大重點。</p> <p><span style="font-size:28px;"><strong>重點1：明確定義適用範圍不限於關鍵基礎設施</strong></span></p> <p>基本上，NIST CSF 1.0版最早是2014年發布，當時主要目的是為了強化關鍵基礎設施的網路安全。源自美國總統歐巴馬在2013年2月，發布了第13636號行政命令（EO），要求該國NIST根據現有的標準與指南，訂立一套可供關鍵基礎設施採用的資安框架，以此強化網路安全。</p> <p>到了2018年4月，CSF 1.1版發布，這次改版最大意義在於擴展運用範圍，不僅涵蓋先前注重的關鍵基礎設施，同時，也要讓所有的企業環境都能適用，再加上易於實施的5大核心功能，並具有靈活應用的彈性，幫助各組織可以更好地理解、減少與溝通網路安全風險。</p> <p>雖然1.1版可運用在更多領域，但當時CSF正式文件的名稱依然維持不變，稱為《改善關鍵基礎設施網路安全框架》（Framework for Improving Critical Infrastructure Cybersecurity）。</p> <p>在2024年2月CSF 2.0版發布後，上述文件名稱不再使用，直接改為The NIST Cybersecurity Framework（CSF）2.0，取而代之，避免外界可能產生誤解。</p> <p>這一轉變，同樣體現於框架內容中，NIST指出，儘管許多組織認為CSF 1.1版仍然有效應對網路安全風險，但考慮到技術與風險的變化，對這個框架進行一些改變仍是必要的，因此這次釋出的2.0版，也希望讓內容更加清晰明確，移除複雜的術語，使框架能夠更適用所有的企業。</p> <p><span style="font-size:28px;"><strong>重點2：提升治理的高度，強調網路安全風險策略與管理</strong></span></p> <p>原本NIST CSF框架的發展，是圍繞著五個核心功能構建，也就是識別、保護、偵測、回應、復原，由這些功能共同構成整體網路安全風險管理的基礎。</p> <p>NIST CSF 2.0版正式發布後，該框架已演進為六大核心功能，也就是治理（Govern）、識別（Identify）、保護（Protect）、偵測（Detect）、回應（Respond）、復原（Recover）。</p> <p>當中最顯著的變化是，CSF 2.0增加了「治理」的功能。值得注意的是，治理並非完全新創的內容，大部分內容是依據1.1版的類別，重新綜合整理而成。</p> <p>不過，2.0版這次變動的更大意義在於：治理的位階明顯提升，不僅貫穿整個網路安全框架，並涵蓋6大類別，包括：組織環境、風險管理策略、角色與職責與授權，以及政策、監管，還有網路安全供應鏈風險管理。而這些內容所展現的主要宗旨，就是重視組織高層的參與，並要確保網路安全策略與企業的總體風險管理策略一致。</p> <p>事實上，公司治理早已是企業永續經營的重要議題，如今CSF 2.0框架有了新的治理功能，將可以從符合老闆與高層看待公司經營風險的角度，從治理的層面去審視網路安全風險評估，相對地，這也將促使能有更廣泛的企業管理高層去承擔網路安全政策角色，更負責地回應企業風險管理狀況。</p> <p><span style="font-size:28px;"><strong>重點3：新增實施範例，有助於企業理解項目內容</strong></span></p> <p>以風險為基礎的NIST CSF框架，可協助企業與組織建立通盤的網路安全策略，在新推出的2.0版，畫分6大核心功能，並有22個類別與106個子類別，企業將可透過這106項子類別提供的控制措施，應對各種網路安全挑戰。</p> <p>值得我們注意的是，NIST為了幫助企業更容易實踐CSF，同時提供了一系列的資源與工具，便於將CSF應用於組織內部，尤其是針對每個子類別提供的控制措施，全面新增「實施範例」。</p> <p>簡單來說，有了實施範例，代表企業可以更容易依循範例去執行，並且易於理解，以便達到CSF子類別的要求。</p> <p>以GV.RM-03這項子類別為例，其說明是：網路安全風險管理活動與結果要納入企業風險管理流程，NIST為此提供3個實施範例。</p> <p>以範例1而言，將網路安全風險與其他企業風險（例如合規、財務、營運、法規、聲譽、安全）一併彙總與管理；範例2則是在企業風險管理規畫中，納入網路安全風險管理者；至於範例3，是指在企業風險管理規畫中，建立升級網路安全風險的標準。</p> <p>我們可以發現，NIST針對每個子類別提供至少1個實施範例，有的更是多達10個。由於先前1.1版沒有這樣的內容，因此這次新版做出改變後，對企業組織而言，可以更容易理解該項目的要求。</p> <p>關於全部的內容，NIST提供囊括所有CSF 2.0實施範例的Excel檔，供企業下載該表格並使用，另外，用戶也可透過其他CSF 2.0相關資源的指引，同樣能找到完整內容的介紹與說明，像是NIST提供的參考工具（CSF 2.0 Reference Tool），或是CPRT網路安全與隱私參考工具（CSF 2.0 Dataset on CPRT）等。</p> <p><span style="font-size:28px;"><strong>重點4：提供5大快速入門指南，C-SCRM、ERM至關重要</strong></span></p> <p>這次改版，NIST還開發一系列快速入門指南（QSG)，協助組織將CSF 2.0應用於其特定需求。最先發布的內容有5種類型，包括：1. 建立與使用組織輪廓（Profiles）的使用指南；2. 使用CSF層級（Tier）的指南；3. 網路安全供應鏈風險管理（C-SCRM）的快速入門指南；4. 企業風險管理（ERM）實踐者的快速入門指南；5. 小型企業（SMB）的快速入門指南。</p> <p>基本上，原先的CSF框架由三個要素組成，包含框架核心（Core），還有框架輪廓（Profiles），以及實施層級（Tiers）。</p> <p>其中的框架核心，細分為6大功能，每個功能區分為多個類別，而每個類別還可分為多個子類別。</p> <p>以框架輪廓（Profiles）而言，作用是幫助評估自身網路安全的輪廓，依據業務營運要求與風險評估的差異分析，找出改善網路安全態勢的優先順序，並訂定逐年強化目標；以實施層級（Tiers）而言，則是可以幫助組織評估執行的程度，共畫分有4個層級。因此，NIST提供這方面的指南相當合理。</p> <p>值得關注的是，輪廓、層級這兩者本來就是CSF框架的重要概念，但這次NIST還針對C-SCRM、ERM的面向提供指南，我們認為，這會是2.0版的全新焦點，其重要程度可能不下於既有框架內容，而且它們都於新的治理功能息息相關。</p> <p>首先，以網路安全供應鏈風險管理（C-SCRM）的快速入門指南而言，NIST在此特別介紹如何使用CSF的GV.SC類別，來建立運作C-SCRM的能力，這部分可對應NIST在2022年5月釋出的新版文件：SP 800-161r1。</p> <p>以企業風險管理（ERM）的快速入門指南而言，當中介紹如何使用CSF來規畫與整合企業整體範圍的網路安全風險管理資訊，這部分對應的內容，是NIST從2020年10月陸續發表的一系列NIST IR 8286文件。</p> <p>換言之，當我們要了解CSF 2.0框架時，上述這兩系列文件也要一併重視。事實上，2.0版文件有一部分內容，強調要改善網路安全風險溝通和整合。</p> <p>另一方面，NIST也提供適用於小型企業的CSF入門指南，這應是體認到不同使用者的需求而發展，作為補充的指導內容，幫助那些沒有網路安全計畫，或是僅有簡單網路安全計畫的小型企業，可以透過這些簡化的內容，更容易從6大功能面著手、強化網路安全，即便有不理解或自己不會做的地方，有了這份指南，也可做為企業與資安專業服務廠商討論的起點。</p> <p>此外，NIST目前還有提供建立社群的指南，這方面應會針對更多不同使用者、產業或技術領域需求，提供符合其特性的內容。未來大家可以留意這方面，應持續會有更多進展公布。</p> <p><span style="font-size:28px;"><strong>重點5：提供可進一步了解實作面的參考資訊</strong></span></p> <p>為了幫助企業善用CSF框架，保持組織實施框架的靈活性，NIST也提供資訊參考（Informative Reference）文件，藉此幫助企業，使他們能將上百個子類別提供的控制措施，對應到不同重要標準的控制措施。</p> <p>與先前1.1版提供的參考資訊相比，我們可以發現，2.0版在這方面提供的資訊，相當聚焦於描述安全性與隱私權控制的NIST SP 800-53，該文件目前為第5.1.1版，這主要是美國聯邦政府的安全控制基準，能幫助企業組織更了解控制措施的實作面與細節。</p> <p>換言之，NIST SP 800-53也可視為企業在使用CSF 2.0框架時，重要的執行參考依據。</p> <p><span style="font-size:28px;"><strong>重點6：整體共有91項細微調整</strong></span></p> <p>在CSF 2.0版中，先前提到這一版本共定義出6大功能、22個類別，以及106個子類別。</p> <p>與1.1版的5大功能、23個類別、108個子類別相比，數量看似變化不大，但當中其實許多項目都以更好的方式整併。</p> <p>我們查閱CSF 2.0框架內容時，也發現當中有多達91個差異，包含被取消、或納入原有項目，或新項目的異動。</p> <p>舉例來說，原先1.1版的ID.BE-01，被取消並被整併到2.0版的GV.OC-05，至於原有的ID.GV-03，被移動到新版的GV.OC-03。</p> <p>還有一些異動的整併範圍更大，像是原本的ID.SC-01，被取消並整併到2.0版的GV.RM-05、GV.SC-01、GV.SC-06、GV.SC-09、GV.SC-10。</p> <p>又或是原有的RS.IM、RC.IM，兩者被取消並整併到新的ID.IM。</p> <p>顯然NIST在分類方式上，做出了更細緻的調整，目的應是希望有更簡潔與易於理解的呈現。</p> <p><span style="font-size:28px;"><strong>重點7：簡化為5大實施步驟</strong></span></p> <p>在CSF框架的使用上，除了強調企業自身的改進與比較，也隱含了成熟度的概念於其中。</p> <p>而為了方便組織採用CSF，NIST強調建立組織輪廓的重要性，並說明如何使用它來幫助持續改進網路安全。較特別的是，1.1版提出7大步驟，2.0版則有進一步的簡化，統合為5大步驟：（1）確定組織的輪廓，（2）蒐集準備組織輪廓所需的資訊，（3）建立組織目標輪廓，（4）分析目前輪廓與目標輪廓的差異，並制定行動計畫，（5）實施行動計畫，並更新組織輪廓。</p> <p>整體而言，隨著CSF 2.0框架的發布，NIST鼓勵所有組織使用，以提升網路安全防護能力，因為企業組織可用來了解、評估、確定優先順序與溝通網路安全風險。</p> <p>因為，這個框架對於促進內部和外部溝通特別有用，可用於不同內部團隊，或高層管理層到中階的管理人員，以及執行日常網路安全職責的人員。而且，CSF還將改善與供應商與合作夥伴之間的溝通，幫助組織將網路安全相關問題，可與更廣泛的企業風險管理戰略之間，進行相互結合。</p> <p>此外，在彙整出7大重點變化之餘，為了對CSF 2.0框架有更深入了解，我們也請教多位專精這項議題的專家，包括BSI臺灣產品經理潘世鳴，以及擔任ISC2台北分會大使的吳明璋，他們常針對CSF框架開課，或發表相關內容的演說，透過他們深入淺出的說明，讓大家進一步了解2.0版重要意涵與變化，以及他們觀察到的使用現況與挑戰。</p> <p> </p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> NIST CSF 2.0版重要變動：用「治理」駕馭5大功能 </span></strong></span></span><br /> <span style="color:#696969;"><strong>原本NIST CSF框架圍繞5大核心功能構建，也就是識別、保護、偵測、回應、復原，如今治理躍升為第6大核心功能，不僅位階提升，並貫穿整個網路安全框架，而且成為原有5大功能的重要支撐。</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1192-%E5%B0%81%E9%9D%A2page%201-600-1.png" style="width: 600px;" /></strong></span></p> <p> </p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> CSF 1.1版與2.0的核心功能比較 </span></strong></span></span><br /> <span style="color:#696969;"><strong>在NIST CSF 2.0版中，除了有全新的治理功能，原有23個類別也重新整併為22個類別，讓內容更有系統性且簡潔。例如，企業環境、風險評估、風險管理策略與供應鏈風險等納入治理，更反應出網路安全在治理中的重要性，而原有5大功能的類別亦有統整，讓項目可以更精簡。</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1192-%E5%B0%81%E9%9D%A2page%201-600-2.png" target="_blank"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1192-%E5%B0%81%E9%9D%A2page%201-600-2.png" style="width: 600px;" /></strong></span></a></p> <p> </p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> CSF 2.0首度提供實踐範例，可幫助進一步理解106項控制措施的行動方向 </span></strong></span></span><br /> <span style="color:#696969;"><strong>為了幫助企業更容易實踐CSF框架，2.0版針對每個子類別提供「實施範例」說明。以子類別GV.SC-06為例，NIST提供了4個範例，包括：組織應針對潛在供應商進行徹底的盡職調查，組織應評估潛在供應商的技術、資安能力與風險管理實務，組織應根據業務與適當網路安全要求進行供應商風險評估，以及組織應在採購與使用前需評估關鍵產品的真偽性、完整性與安全性。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89CSF%202_0%E5%AF%A6%E8%B8%90%E7%AF%84%E4%BE%8B.jpg" style="width: 600px;" /></p> <p> </p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> CSF 2.0提供5大快速入門，企業風險管理與供應鏈是全新重點 </span></strong></span></span><br /> <span style="color:#696969;"><strong>以NIST CSF框架而言，建立組織輪廓（Profiles）與層級（Tiers）的應用，也是相當重要的概念，值得我們關注的是，CSF 2.0版釋出的快速入門指南中，還特別聚焦在網路安全供應鏈風險管理（C-SCRM），以及企業風險管理（ERM）的面向，顯然，這將是企業使用框架不可忽視的全新重點。</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1192-%E5%B0%81%E9%9D%A2-2P-%E6%AD%A3%E6%BC%A2-CSF%E7%9A%847%E5%A4%A7%E6%94%B9%E8%AE%8A-PNG2.png" target="_blank"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1192-%E5%B0%81%E9%9D%A2-2P-%E6%AD%A3%E6%BC%A2-CSF%E7%9A%847%E5%A4%A7%E6%94%B9%E8%AE%8A-PNG2.png" style="width: 600px;" /></strong></span></a></p> </div></div></div>
2024/7/25 11:30作者羅正漢https://www.ithome.com.tw/news/164080
【網路安全風險評估成關鍵挑戰】深度剖析CSF 2.0框架，掌握治理背後的重大意義
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這個網路威脅日益增長的時代，對於許多企業而言，資安防護強化往往顯得複雜且廣泛，讓人不知從何著手。然而，近年來，NIST網路安全框架（Cybersecurity Framework，CSF）的出現，成為既有資訊安全管理推動的全新重點，為何如此？該框架對於網路安全威脅的層面，有一套以風險為基礎並通盤考量網路安全的做法，提供系統化且易於遵循的指導方針。</p> <p>今年2月底CSF 2.0版推出，使得這個網路安全框架有了全新的演進，因為當中新增了「治理」功能，發展成6大功能、22個類別，以及106項子類別，但這背後還有哪些意義與重點，值得大家進一步關注？</p> <p><span style="font-size:28px;"><strong>網路安全治理牽扯跨部門管理，層級更高才推得動</strong></span></p> <p>關於CSF 2.0版框架的內容變化，「治理」功能的加入引發各界關注，意義更是深遠。</p> <p>英國標準協會（BSI）台灣產品經理潘世鳴指出，過去沒有一個網路安全框架會如此看重治理，因此這樣的演變令BSI相當興奮。</p> <p>他指出，NIST將CSF框架原有的5大功能（識別、保護、偵測、回應、復原），現在通通都視為管理，再將這些構面中需要治理的部分，全部集中到「治理」功能之下。</p> <p>這麼做的好處在於，對於高階主管與老闆而言，關注的是企業組織環境的全景，也就是能從公司治理角度切入，重視網路安全風險策略。更重要的是，網路安全治理是跨部門管理的需求，一定需要高階的管理階層推動，才能有效進行。</p> <p>潘世鳴從美國資安界的討論當中觀察，發現大家普遍對於「將治理功能獨立看待」這件事，給予高度肯定，因為這可以更容易幫助推動網路安全的人員跟老闆溝通，說明網路安全是必要做的事。</p> <p>潘世鳴甚至斷言：網路安全治理、資安治理這樣的議題，會在接下來兩三年會變得相當熱門，這些名詞的熱門程度，甚至是會更高於CSF框架。也就是說，儘管企業不一定都會導入CSF 2.0，但網路安全治理的概念，會被加入、深入到企業思維。</p> <p>不過，究竟什麼是治理？「治理」與「管理」之間的差異？潘世鳴指出，管理制度相當強調「精準」，而治理的概念則需要「彈性」。</p> <p>以管理而言，公司會用一套制度、用同樣的方法來做事，這就是管理制度，並不會牽扯到公司策略營運的議題，只要所有人按照SOP執行，就可達到工作上的效率；以治理而言，涉及營運策略與方向，由於企業組織有多種不同型態，各自的運作與經營也都不同，因此，當企業老闆在面對網路安全議題時，如何帶領團隊降低遭受攻擊後具有韌性，讓組織能夠在風險中持續地前進，這更是策略性的議題，需將網路安全風險考量於公司整體營運策略。</p> <p>這幾年經常在臺灣資安大會上針對NIST CSF發表演說的吳明璋，在2.0版推出之後的此刻，他特別強調，網路安全供應鏈風險管理在CSF 2.0的重要性，同時也指出供應鏈需要放在治理的高度去看待，否則根本無法推動，因此，放在治理之下是相當合理的一件事。</p> <p>例如，在2022年更新的《網路安全供應鏈風險管理》（C-SCRM）文件，NIST指出：關於C-SCRM團隊的成員，應當是參與企業關鍵流程各個方面的人員，例如資訊安全、採購、企業風險管理、工程師、軟體開發RD、IT、法務與人力資源。</p> <p>換言之，這同樣說明治理牽涉跨部門管理的需求。吳明璋強調，如果只是由IT、資安主管來推動，是叫不動這些人的，一定需要更高層級帶領。因此，要做CSF，一定是全組織進行。</p> <p>為何網路安全治理現在變得如此重要？其實是有跡可循的，多位專家們都特別提到2023年7月美國證券交易委員會（SEC）公布的新規範，當時美國證券交易委員會通過上市公司網路安全風險管理、策略、治理及事件披露規則。</p> <p>當中就有規定，要詳述評估、識別、管理網路安全威脅風險的流程，也要求敘明董事會對網路安全威脅風險的監督。換言之，這些新規定的目的，就是要促使網路安全風險成為公司治理上的重要考量。</p> <p>可惜的是，那時大家多將焦點放在SEC要求4天內披露重大資安事件，其實網路安全風險與治理的議題，同樣有重大轉變。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1192-%E5%B0%81%E9%9D%A2-2P-%E6%AD%A3%E6%BC%A2-%E5%B0%88%E5%AE%B6%E8%A7%A3%E6%9E%90CSF-600-1-PNG.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">關於網路安全風險與治理的興起，美國證券交易委員會（SEC）從2022年就有針對上市公司的提案，並在2023年7月正式公布。此後許多資安框架都開始跟進這股潮流，NIST CSF 2.0框架更加重視網路安全治理，就是一例。</span></strong></p> <p><span style="font-size:28px;"><strong>落實風險評估更顯重要，威脅建模是關鍵</strong></span></p> <p>下一個重要議題，就是網路安全風險的策略與管理。NIST很早就強調CSF是基於風險的架構，在1.1版的23個類別中，也已經提出風險評估、風險管理策略的類別。</p> <p>但過去大家低估這方面工作的落實，如今CSF 2.0版出爐，相關議題已經變得更加明確。</p> <p>潘世鳴指出，大家在看待CSF 2.0框架時，光從框架核心的數量來看，好像變動不大，但若進一步閱讀相關文件，從整體角度去看，其實意涵相當深遠。</p> <p>基本上，NIST CSF在治理層面強調要做風險評估，要有風險管理的策略，並且是整體性組織的風險評估，但這背後還有個重要觀念，那就是：企業在風險評估時需要做威脅建模（Threat modeling），需要確定組織遭受網路安全攻擊的威脅可能的路徑。畢竟，如果不知道威脅，又如何能看待相關風險？</p> <p>在潘世鳴的經驗中，先前導入CSF框架的企業，雖然都知道要做威脅建模，但他們面臨的挑戰，在於這方面工作做得不夠確實，例如，只是小範圍地實施、沒有找出應用重點，又或是不夠精細與深入。</p> <p>因此，在2018年CSF 1.1發布後，NIST從2020年10月開始，陸續發布一系列將網路安全與風險管理相結合的出版物，也就是NIST IR 8286系列，全名是「Integrating Cybersecurity and Enterprise Risk Management（ERM）」。</p> <p>到了2024年發布的CSF 2.0，NIST花了更多篇幅說明如何改善風險管理計畫，同時提出更明確的建議，告訴企業可以參考NISTIR 8286（ERM），藉此幫助企業了解如何做風險評估，而威脅建模就是其中的重點之一。</p> <p>潘世鳴進一步解釋這裡的關聯。他說，NISTIR 8286（ERM）這份手冊採納CSF框架的概念，將網路安全與企業風險管理整合得更好，當中不僅提供可依循的步驟，同時其內容也對應3款NIST風險管理文件，包括：SP 800-30r1、SP 800-37r2，以及SP 800-39，以及國際標準ISO 31000：2018的風險管理指南。</p> <p>換言之，這些都有助於NIST CSF的實施，從定義風險到風險評鑑，接著決定風險的優先順序，以及要如何執行相關的監督或規畫。</p> <p>換個角度來看，NIST表示，CSF 2.0可以作為整體企業風險管理（ERM）方法的一部分，因為這有助於企業決策。所以，CSF 2.0與企業風險管理其實是能夠相輔相成的。</p> <p>而在CSF 2.0文件後半段，還談到網路安全風險與隱私風險的關聯，兩者其實存在部分交集的情形，因此，NIST指出CSF框架可結合使用NIST隱私框架（NIST Privacy Framework），而對於NIST隱私框架而言，也提供隱私風險評估方法（PRAM）。</p> <p>關於網路安全風險管理在CSF 2.0的重要性，吳明璋也抱持同樣的看法，他強調，資安治理可從資安風險做起。</p> <p>雖然CSF 1.1就有這方面的內容，但當時沒有將控制項突顯出來，他認為，現在的CSF框架已將6大核心功能，與4大風險策略選項相結合，也就融合了風險規避、風險移轉、風險抵減與風險承擔，彼此息息相關。而且，若從2.0版的實施範例的內容來看，關於合約方面的要求也相當豐富。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1192-%E5%B0%81%E9%9D%A2-2P-%E6%AD%A3%E6%BC%A2-%E5%B0%88%E5%AE%B6%E8%A7%A3%E6%9E%90CSF-600-3-PNG.png" style="width: 373px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>CSF 2.0版強調治理與網路安全風險管理的重要性，BSI台灣產品經理潘世鳴認為，風險是威脅跟弱點交互產生影響的結果，但大家在風險評估當下，往往忽略要將結果也一併納入考量。</strong><span style="font-size: 14px;">圖片來源／BSI</span></span></p> <p><span style="font-size:28px;"><strong>應找出關鍵業務流程與系統，而不是只有關鍵系統</strong></span></p> <p>除了強調威脅建模的重要性，潘世鳴在風險管理與評估的經驗中，認為企業必須執行許多工作，除了識別資產、產生資料流向圖，到分析網路安全威脅，因此他也從實務面與策略面提供建議，說明找出關鍵核心基礎架構的好處與必要性。</p> <p>他強調，針對「關鍵的業務與系統」去識別盤點，比起全面盤點更有意義。</p> <p>但他也特別提醒，對於關鍵基礎架構一詞，大家要有更精確的認識。一般而言，所謂關鍵核心基礎架構（CI），大家通常聯想的是油水電，又或是關鍵核心資訊系統。</p> <p>但是，對於企業自身而言，所謂的關鍵核心基礎架構，指的應該是企業的生財工具，也就是：關鍵業務與流程，再加上支撐關鍵業務的資訊系統。</p> <p>因此，在進行風險策略評鑑時，先找出關鍵業務，之後再進行威脅建模、資料流的建模，從中找出威脅與風險，思考關鍵業務或資訊流遭受攻擊會如何處理，才能做好CSF 2.0，甚至是做到零信任的網路安全策略。</p> <p>潘世鳴強調，由於治理是更符合老闆語言的角度，從治理層面去談網路安全風險評估，並從關鍵的生財工具角度去切入，這對於背負企業營運賺錢壓力的老闆而言，將形成相當務實的溝通。</p> <p>事實上，在NISTIR 8286（ERM）文件中，亦闡釋組織管理的運作方式，強調需從企業層級（Enterprise Level）、組織層級（Organization Level）、系統層級（System Level），需要從這三個層級分別與交互看待。</p> <p>就潘世鳴的觀察，臺灣普遍企業組織存在的重大問題在於，只有重視系統層級，卻忽略了上面兩個階層。</p> <p>吳明璋也點出國內企業可能存在一些不正確的觀念，需要調整。例如，有的臺灣老闆認為，風險管理只是Paper Work這樣的文書工作，這並沒有達到說、寫、做合一；有的老闆誤以為IT與資安部門做就好，但CSF推動是要全公司進行，並要有企業風險管理的概念。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1192-%E5%B0%81%E9%9D%A2-2P-%E6%AD%A3%E6%BC%A2-%E5%B0%88%E5%AE%B6%E8%A7%A3%E6%9E%90CSF-600-2-PNG.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">關於NIST CSF框架的實施，風險策略評鑑時，企業要重視組織運作方式，因為在NISTIR 8286（ERM）文件，強調需從企業層級、組織層級、系統層級看待。BSI台灣產品經理潘世鳴指出，臺灣企業組織推動這項工作的最大問題，在於只重視系統層級。</span></strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／NIST</span></span></p> <p><span style="font-size:28px;"><strong>在治理層面之外，新版CSF有哪些企業必須重視的改變？</strong></span></p> <p>潘世鳴表示，在CSF 2.0的內容中，主要是將1.1版中重複且未能妥善連接運用的部分，重新進行整合與細化，但有一些部分值得企業重視。</p> <p>例如，在識別方面，所有組織應該都要針對關鍵業務CI保護，沒有的話就是企業組織沒有識別出來；在保護方面，NIST現在使用平臺安全（Platform Security）一詞，來涵蓋硬體、軟體，以及實體或虛擬平臺的服務，這也是較為特別的差異。</p> <p>在復原方面，NIST強調的是組織如何快速復原，但大家常誤以為系統快速復原。事實上，從回應與復原的溝通對象與面向來看，回應是指內部針對相關攻擊事件回應，復原是指企業高層對外界的回應。</p> <p>吳明璋也指出，保護方面的變化也很大，包括身分管理與身分驗證與存取控制、意識與培訓、資安安全等類別，其內容變動比例都有超過5成，並且還新增了平臺安全、技術基礎設施韌性。他認為，這方面很多內容可以參考國際標準ISO 27001，因此有許多的整併。</p> <p>而在回應、復原方面，他認為CSF 2.0算是重新定義資安事件應變（IR），遭受攻擊後企業的改善，以及企業學到的教訓都需要提出，重新回到網路安全的識別。</p> <p><span style="font-size:28px;"><strong>Community Profiles是新進展，建議臺灣企業積極參與</strong></span></p> <p>至於CSF框架的輪廓（Profile）與實施層級（Tier）方面，兩者依然是重要的概念，但變化不大。</p> <p>例如，以建立組織輪廓而言，1.1版原本提供7大實施步驟，2.0版簡化為5大步驟，實施層級依然分為4層。</p> <p>較值得關注的新進展，令人意外的竟是近期一場工作坊活動，在6月下旬，NIST NCCoE舉辦CSF 2.0的Community Profiles Workshop。</p> <p>Community Profiles能夠做什麼？吳明璋建議企業可設想為：建立產業供應鏈，因為有些領域是第二層供應鏈、複雜度高。因此NIST就是要幫助特定群體，量身打造不同的Profile設定檔，並且開放外界投票，以選出優先要制定的類型。</p> <p>吳明璋在參與工作坊時發現，大家投票的項目，竟然是高效能運算、智慧家居，超乎他原先的設想，因此他認為，臺灣的供應鏈應該要積極參與，不僅幫助發展符合我們的項目，也可成為產業上的領先行動者。</p> <hr /> <p><span style="color:#3399ff;"><span style="font-size:24px;"><strong>越來越多企業導入NIST CSF框架</strong></span></span></p> <p><strong>關於NIST CSF框架的採用，以臺灣而言，根據上市櫃公司的年報或ESG報告，已有一些企業導入，包括日月光、台積電、聯發科、緯創等，甚至有上市公司已經進一步取得CSF認證，那就是中菲行國際物流集團。</strong></p> <p><strong>放眼全球，美國、歐洲、日本都有企業導入CSF。BSI潘世鳴表示，荷蘭半導體設備大廠ASML就是一例。根據該公司最新公布的2023年報，我們可以看到他們說明已實施相關流程，以識別與應對網路安全威脅，並指出這些流程符合ISO 27002、ISA/IEC 62443，以及NIST CSF所設定的標準。</strong></p> <p><strong>吳明璋也舉例，日本NTT集團全球8百多家分公司，也用CSF框架做集團管理，該公司還會積極參與CSF 2.0版的修訂，提供回饋意見。</strong></p> <p><strong>除了面對國際客戶的要求，有些集團之所以積極導入CSF，可能也是為了日後要輔導客戶，他們應該也是看重日後市場對於這方面規範的需求。</strong></p> <hr /> <p><span style="color:#3399ff;"><span style="font-size:24px;"><strong>NIST CSF強調網路安全的回應</strong></span></span></p> <p><strong>近期大家之所以特別關注CSF框架，除了2.0版的發布，另一原因是這幾年適逢ISO 27001：2022轉版，一些國內企業進行新的驗證之餘，也會思考如何進一步提升，NIST CSF自然成為關注焦點。</strong></p> <p><strong>這是因為，ISO 27001:2022已將網路安全作為持續精進必要項目。潘世鳴更是指出，ISO 27001著重資訊安全（Information Security），強調內部會有資訊安全管理的控制措施，但不會涵蓋網路安全的攻防層面，CSF框架聚焦網路安全（cybersecurity），強調外部攻擊的整個回應機制，使用方式不同。</strong></p> <p><strong>目前有哪些領域積極應用NIST CSF？潘世鳴提到，臺灣實施的資通安全管理法就與CSF的概念很像，而在金融領域，像是美國聯邦金融機構考試委員會（FFIEC）針對該產業的網路安全評估工具，也是以CSF為基礎。</strong></p> <p><strong>特別的是，近年醫療領域也開始關注CSF資安框架，原因在於，美國食品藥物管理局（FDA）去年底提出一項要求，他們規範全球醫療器材廠商需交付網路安全計畫，也建議醫療機構可應用NIST CSF框架於組織之內，未來也將擴及食品安全業的領域。</strong></p> </div></div></div>
2024/7/25 11:40作者羅正漢https://www.ithome.com.tw/news/164098
Google第四代VM將推出第二款運算服務，主打高效能
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/google_cloud_c4-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在4月舉行的Next年度大會，Google Cloud發表第四代虛擬機器雲端服務，均採用英特爾第五代Xeon Scalable處理器，其中的N4率先上線，另一款C4在6月中進入公開預覽階段。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCE%20Generation.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-04-12-Workload-GCE.jpg" style="width: 600px;" /></p> <p>基本上，N系列和C系列都屬於一般用途的運算服務，而且都能因應多種工作負載的需求，前者著重在價格與效能的平衡，後者特色是持續提供高效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCE%20Machine%20family-General-purpose.jpg" style="width: 600px;" /></p> <p>即將推出的C4，提供24種虛擬機器組態，細分為三類：高CPU（每顆虛擬處理器2 GB記憶體）、標準（每顆虛擬處理器3.75 GB記憶體）、高記憶體（每顆虛擬處理器7.75 GB記憶體），就單臺虛擬機器而言，最大可配置192顆虛擬處理器與1,488 GB容量記憶體，而且，能搭配<a href="https://cloud.google.com/compute/docs/general-purpose-machines#supported_disk_types_for_c4">兩種區塊儲存裝置：Hyperdisk Balanced、Hyperdisk Extreme</a>，支援50萬IOPS效能、10 GB/s讀寫吞吐量，網路介面的部分，C4搭配專用於Google Cloud Compute Engine的虛擬網路卡，稱為<a href="https://cloud.google.com/compute/docs/networking/using-gvnic">Google Virtual NIC（gVNIC）</a>，頻寬可達200 Gbps。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/C4%20Hyperdisk%20performance%20limits.jpg" style="width: 600px;" /></p> <p>C4的使用具有哪些市場競爭優勢？C4相當適合需要許多運算資源的資料庫、快取、網路整合應用設備、高流量的網站與應用程式伺服器、線上遊戲、資料分析、多媒體串流、基於CPU的即時AI推論處理。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCE Machine family-General-purpose2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCE%20Machine%20family-General-purpose2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/GCE Machine family-General-purpose3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCE%20Machine%20family-General-purpose3.jpg" style="width: 298px;" /></a></p> <p>以AI推論為例，以次世代網路防火牆著稱的資安廠商Palo Aloto表示，執行即時機器學習的威脅偵測處理時，C4效能可增長35％。</p> <p>在使用成效上，Google Cloud根據內部資料指出，若以其他雲端服務廠商的解決方案為基準，C4的單位效能成本更理想，領先幅度為19％，若用於資料庫工作負載的表現更優異，例如，執行關聯式資料庫MySQL，性價比提升了90％，執行記憶體內資料庫Redis工作負載，性價比提升65％。</p> <p>若與C系列上一代運算服務C3比較，C4單位效能成本的領先幅度為25％，而在CPU反應能力的比較上，C4提升80％，適合執行需要即時處理的工作負載，像是高頻交易、遊戲，能夠提供更快的交易速度與較平順的遊戲體驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-07-2_-Google%20Cloud_C4_Price-Performance_Improvement_max.png" style="width: 552px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Google Cloud C4</strong><br /> ●原廠：Google Cloud<br /> ●建議售價：廠商未提供<br /> ●採用處理器：英特爾第五代Xeon Scalable系列Xeon Platinum 8581C<br /> ●提供服務規模選擇：C4 standard、C4 highcpu、C4 highmem，最大組態c4-highmem-192，192顆虛擬處理器、1,488 GB記憶體、網路頻寬最高為100 Gbps，儲存搭配Hyperdisk（每臺虛擬機器最多掛載64臺硬碟）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/7/25 01:12作者李宗翰https://www.ithome.com.tw/review/164059
Fintech周報第247期：金管會發布零信任架構指引；多家跨國金融業者受到CrowdStrike事故影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">7/8~7/19金融科技精選新聞</span></span></h3> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">金管會 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 零信任架構指引 </span></strong></span></h3> <h3>金管會發布零信任架構指引，提供業者依據分級指標導入零信任</h3> <p>近日，金管會正式發布「<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202407180002&dtable=News">金融業導入零信任架構參考指引</a>」，提供導入零信任架構的分級指標，讓金融業能根據內部狀態，分階段導入資安管控措施。</p> <p>指引提供的分級指標共有四級，第一級為靜態指標，包含雙因子身分鑑別、設備識別、網路區隔與流量加密等。第二級則融入了動態指標，將資源存取時的動態屬性納為授權審核條件。第三級則以即時指標為主，業者要能在SIEM平臺上收容和整合資源存取相關事件日誌，對入侵指標或攻擊行為樣態進行即時偵測、判斷和應對。第四級則是最佳化的整合指標，能依資安政策快速調適管理機制。</p> <p dir="ltr" style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CrowStrike事故</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摩根大通 </span></strong></span></p> <h3>CrowdStrike事故發生後，國內外金融業者都遭受波及，摩根大通、瑞銀、德意志銀行和日本野村證券也受影響</h3> <p>7月19日，資安公司CrowdStrike更新EDR時出包，安裝微軟作業系統的電腦出現藍色當機畫面，不僅國內金融業者受影響，國際上不少重要金融業者也遭受波及。金管會近日在例行記者會上表示，受影響的金融業者包括2家期貨商、4家投信業、5家壽險業和2家產險業者。其中，保險業受影響裝置共有一千多臺伺服器，和一千多臺個人電腦，包含桌機和筆電。銀行局則尚無接獲業者通報重大偶發事件。</p> <p>根據外媒報導，摩根大通、瑞士銀行、德意志銀行和日本野村銀行都受到CrowdStrike事故影響。其中，摩根大通的員工無法使用個人電腦，導致部分交易被延後處裡，他們也緊急將重要業務轉移到備份伺服器上運作。野村證券的交易櫃臺受到影響後，將部分交易轉移到個人電腦上運作。德意志銀行則是研究部門受到波及，部分研究報告得延後發布。另外，根據英國外媒報導，瑞士銀行過去在收購瑞士信貸時，連帶收購了瑞士信貸的部分過時系統，導致系統在事故發生後出現問題。</p> <p>在國外，金融監理機構也受到影響。根據外媒報導，倫敦證券交易所用來發布監管公告的新聞服務受到影響，導致新聞無法在網站上發布。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料治理</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 花旗 </span></strong></span></h3> <h3>遭美國監管機構點名資料品質管理缺陷，花旗承諾投入更多資金提升資料治理能力</h3> <p>近日，美國聯準會和貨幣監理署認為，花旗集團長年未修復內部的資料品質管理缺陷，違反了過往向監管機構提出的改善承諾，因此對花旗集團開罰共1.36億美元。裁罰出爐後，花旗集團執行長范潔恩（Jane Fraser）在財報會議上回應，未來將會持續投資技術和數位轉型，推動營運現代化。他提到，過往投入的技術投資正在產生正面影響，包括縮短貸款撥款時間、採用自動化機制減少行員出錯、將風險分析系統遷移到雲端架構的基礎設施，還有提高平臺韌性和減少停機時間等。范潔恩期待，這些投資可以在未來協助集團減少人力開銷。</p> <p>花旗集團財務長MARK MASON也補充內部的數位轉型進展。他表示，在企業授信和貸款上，花旗已經整合多個系統，實現端到端營運模式，提升了客戶體驗和營運效率。另外，在數據上，MARK提到，花旗已經建立了數據治理流程，並簡化數據架構。儘管如此，花旗承認資料品質管理上仍有不足，因此，MARK表示，花旗未來會投入更多的資金和資源在資料治理，並且，他們也會關注提升壓力測試能力。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新加坡金管局 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 一次性密碼 </span></strong></span></h3> <h3>新加坡銀行將在3個月內汰除一次性密碼</h3> <p>為了協助銀行預防釣魚攻擊，新加坡金管局及新加坡銀行公會近日宣布，未來3個月內，新加玻主要零售銀行將逐步取消持有數位令牌（digital token）的用戶運用一次性密碼登入銀行帳戶。</p> <p>新加坡金管局表示，這些用戶未來將在手機瀏覽器或行動銀行App上，使用數位令牌來登入銀行帳戶。這麼一來，用戶便不須再以簡訊接收一次性密碼（OTP），可防止駭客發送釣魚信件竊取用戶或誘使用戶洩露其帳密。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新加坡金管局 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></h3> <h3>新加玻金管局投入1億新幣支持金融機構發展AI和量子技術</h3> <p>新加玻金管局近日宣布，將在金融業技術創新補助計畫（FSTI 3.0）中追加１億新幣（近25億新台幣），支持金融機構發展AI和量子技術。在AI方面，金管局將支持金融機構在新加坡設立AI創新中心，讓業者能開發和訓練模型、研發對行業具備高影響力的AI應用、進行模型測試和監控，研究AI治理和風險管理政策等。另外，金管局也將發展AI平臺，讓銀行、科技業者和公部門三方合作進行開發，解決金融業共同問題。其中，詐騙偵測是金管局選定的第一個測試主題。</p> <p>另外，針對量子技術，金管局提供三項補助措施，包括提供技術補助，支持金融機構採用量子技術解決方案，以及提供人力和基礎設施的補助等。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 台新銀行 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></h3> <h3>台新銀行宣布設立AI訓練師職位，負責歸納內部大量資料並進行模型訓練</h3> <p>日前，台新金控資訊長孫一仕揭露了自家生成式AI發展計畫，他表示，內部正在透過預訓練基礎模型自建生成式AI模型。台新走向自建模型後，在人才培養上也有不一樣的布局。近日，台新銀行宣布設立「AI訓練師」職位，負責訓練及協助調整台新自建的生成式AI模型，讓模型產出正確的回應，也要歸納台新內部大量資料，進行模型訓練，提升模型的語意理解能力，並反覆驗證模型產出結果的正確性。</p> <p>台新認為，AI訓練師不僅需要程式語言專長，也要對金融領域擁有深入了解。他們近日也和多所大學展開產學合作，由AI訓練師帶領學生進行資料蒐集和模型訓練，培育更多AI人才。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融科技政策 </span></strong></span></h3> <h3>金管會主委彭金隆正式發表金融科技發展規劃，共五大策略近20項措施</h3> <p>金管會主委彭金隆近日公布金融科技具體規劃和未來發展方向，共五大金融科技發展策略，包括要擴大容錯空間，加大創新領域，鼓勵金融業者團體合作研發技術，為產業注入創新動能，也會支持純網路金融發展，探索金融科技發展機會，例如開放金融業辦理虛擬資產保管業務等。</p> <p>彭金隆的五大策略中，有一項關鍵策略，是要鼓勵金融業者打團體戰，包括開放金融機構與金融科技專利授權。彭金隆解釋，按照現行法律，金融業者獨立開發一項技術時，僅能在自家使用，「大大限縮了業者開發意願及能量。」因此，金管會未來希望開放勇於投資創新的金融機構，可以透過專利授權至其他金融機構的方式，來降低內部開發成本。（<a href="https://www.ithome.com.tw/news/163966">詳全文</a>）</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NFC </span></strong></span></h3> <h3>蘋果於歐盟地區開放第三方行動錢包使用iPhone的NFC功能</h3> <p>2022年，歐盟執委會就曾表示，蘋果濫用其ios的獨占地位，限制開發者使用手機上的NFC技術，使第三方電子錢包無法和蘋果的Apple Pay競爭。今年1月，歐盟執委會表示，蘋果已對此提出10年承諾，將提供電子錢包業者和支付服務商能在iphone上使用NFC付款的API。</p> <p>近日，歐盟執委會正式宣布接受蘋果提出的承諾，並且，他們也要求蘋果必須在今年7月25日前履行此一承諾，讓第三方廠商也能在iPhone上提供行動錢包服務。</p> <p>其他重要Fintech新聞</p> <ul> <li>日本福島銀行完成核心系統轉換，採用在雲端上運作的核心系統</li> <li>立法院三讀通過打詐專法，虛擬資產業者也納入金融防詐體系</li> </ul> <p> </p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源<span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">／金管會</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年7月</p> <p></p> </div></div></div>
2024/7/24 14:52作者李昀璇https://www.ithome.com.tw/news/164094
Spotify營收成長20%，股價大漲12%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球音樂串流龍頭Spotify周二（7/23）公布<a href="https://newsroom.spotify.com/2024-07-23/spotify-reports-second-quarter-2024-earnings/" target="_blank">今年第二季財報</a>，該季Spotify的全球訂閱用戶數達到2.46億，增加12%，營收成長20%，達38億歐元，由於超出華爾街分析師預期，使得當天Spotify股價大漲11.96%，以330.79美元作收。</p> <p>在38億美元的營收中，有33.5億美元來自訂閱用戶的貢獻，成長21%，其它則來自廣告營收，亦成長13%。其中，訂閱營收的毛利為31.4%，廣告營收則是13.4%。</p> <p>目前Spotify的每月活躍用戶為6.26億人，增加了14%，訂閱用戶占了其中的39%，顯示大多數仍為免費用戶。</p> <p>近來Spotify開始建立並推廣影音播客，迄今該平臺已提供超過25萬個影音播客節目，吸引逾1.7萬人觀看。</p> <p>值得一提的是，該季Spotify的營業利潤為2.66億美元，是連續第三個季度獲利，且Spotify正在包括美國在內的許多重要市場調漲訂閱費率，負責投資人關係的<a href="https://s29.q4cdn.com/175625835/files/doc_financials/2024/q2/Q2-24-Earnings-Call-Prepared-Remarks.pdf" target="_blank">Bryan Goldberg表示</a>，相較於先前的價格調漲，此次因漲價所流失的用戶更少，相信是因為Spotify改善了整體用戶體驗，而讓用戶更容易接受費率的調漲。</p> </div></div></div>
2024/7/24 15:23作者陳曉莉https://www.ithome.com.tw/news/164095
Alphabet營收成長14%，Google Cloud成長29%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet周二（7/23）<a href="https://abc.xyz/assets/19/e4/3dc1d4d6439c81206370167db1bd/2024q2-alphabet-earnings-release.pdf" target="_blank">公布今年第二季財報</a>，該季Alphabet創下847.4億美元的營收，成長14%，營業利潤（Operating Income）為274.3億美元，成長32%。其中，Google旗下的Google Cloud雲端服務帶進103.5億美元的營收，成長28.8%。</p> <p>在847.4億美元的營收中，包括Google搜尋、YouTube及Google廣告網路、裝置及各種訂閱服務等Google服務營收為739.3億美元，成長11.5%，這部分占了Alphabet總營收的87.2%，營業利潤（Operating Income）為296.8億美元，仍是Google的金雞母。Google Cloud營收為103.5億美元，成長28.8%，營業利潤為11.7億美元，高於去年同期的4億美元。新創事業（Other Bets）營收為3.65億美元，成長28%，但虧損11.3億美元，高於去年同期的8.1億美元虧損。</p> <p>整體而言，Google服務依然以兩位數的速度在成長，而Google Cloud則是成長最快的類別，其營業利潤也逐季成長。Alphabet第二季的全球員工數為179,582名，比去年第二季少了1.2%。</p> <p>Alphabet該季的表現與華爾街分析師的預期差距不大，惟YouTube廣告營收稍微低於預期，當天Alphabet盤後股價下滑2.18%，跌至179.6美元。</p> </div></div></div>
2024/7/24 15:44作者陳曉莉https://www.ithome.com.tw/news/164096
Meta開源Llama 3.1 405B，強調開源才是AI的未來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta周二（7/23）<a href="https://ai.meta.com/blog/meta-llama-3-1/" target="_blank">開源了Llama 3.1 405B</a>，它具備4,050億個參數，脈絡長度達12.8萬個Token，支援8種語言，這是Meta迄今所開發的最大模型，亦號稱是全球第一個達頂尖水準的開源模型，也是全球最大也最有能力的公開基礎模型。Meta創辦人暨執行長祖克柏（Mark Zuckerberg）還<a href="https://about.fb.com/news/2024/07/open-source-ai-is-the-path-forward/" target="_blank">特別撰文強調開源AI的重要性</a>，認為開源才是AI的未來。</p> <p>有別於在Llama 3時，Meta僅釋出了Llama 3 8B、Llama 3 8B Instruct、Llama 3 70B與Llama 3 70B Instruct，進展到Llama 3.1時，Meta釋出了Llama 3.1 8B、Llama 3.1 8B Instruct、Llama 3.1 70B與Llama 3.1 70B Instruct，以及擁有4,050億個參數的兩個大模型Llama 3.1 405B與Llama 3.1 405B Instruct。此外，相較於Llama 3最初只支援8,000個Token的脈絡長度，Llama 3.1一下就支援12.8萬個Token。目前開發者已可透過<a href="https://llama.meta.com/" target="_blank">llama.meta.com</a>及<a href="https://huggingface.co/collections/meta-llama/llama-31-669fc079a0c406a149a5738f" target="_blank">Hugging Face</a>下載Llama 3.1的各種模型。</p> <p>身為Meta迄今開發的最大模型，Llama 3.1 405B是在逾15兆個Token上進行訓練，為了要在合理的時間內獲得結果，Meta優化了整個訓練堆棧，使用了超過1.6萬個H100 GPU。</p> <p>既然標榜為具備頂尖實力的開源模型，Meta用來比較Llama 3.1 405B的對象就是現在市場上最頂級的GPT-4、GPT-4o與Claude 3.5 Sonnet等封閉模型，以及Nvidia於日前開源的<a href="https://www.ithome.com.tw/news/163490" target="_blank">Nemotron-4 340B</a>，而且使用超過150個涵蓋不同語言的基準資料集進行測試。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0724-Llama%203_1_405B-benchmark.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0724-Llama%203_1_405B-benchmark.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Meta</span></p> <p>結果顯示Llama 3.1 405B在通用的IFEval、數學上的GSM8K、推論的ARC Challenge、工具使用的Nexus、長脈絡的ZeroSCROLLS/QuALITY及InfiniteBench/En.MC及多語言的Multilingual MGSM基準測試上，凌駕上述所有模型。</p> <p>Meta也比較了Llama 3.1 8B、Gemma 2 9B IT與Mistral 7B Instruct，以及Llama 3.1 70B、Mixtral 8x22B Instruct與GPT 3.5 Tubo，發現不管是Llama 3.1 8B及Llama 3.1 70B，在許多基準測試上都超越競爭模型。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0724-Llama%203_1_8B-benchmark.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0724-Llama%203_1_8B-benchmark.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Meta</span></p> <p>而在人類專家的評估中，Llama 3.1 405B與GPT-4-0125、Claude 3.5 Sonnet的表現不相上下，但明顯不及GPT-4o。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0724-Llama%203_1_405B-human%20evaluation.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p><strong><span style="font-size:28px;">祖克柏：開源才是AI的未來</span></strong></p> <p>祖克柏認為，AI應該以Unix及Linux的發展作為借鏡。Unix作業系統的封閉政策讓基於Unix的開源Linux興起，儘管Unix現今仍在某些專業領域或高性能環境中保持重要地位，但開源的Linux卻開枝散葉，帶來多元的發行版本，現在不僅已成為全球伺服器的主作業系統，亦與時俱進地支援雲端運算與虛擬化技術，並成為嵌入式系統及物聯網裝置的首選平臺。</p> <p>祖克柏相信AI也會以類似的方式發展。指出雖然目前有幾家業者開發了領先的封閉模型，但開源模型正在迅速縮小差距。去年的Llama 2僅能與尖端模型的舊版相提並論，今年的Llama 3便能與最新的尖端模型競爭，自明年開始，未來的Llama將成為業者最先進的模型，而在實現此一目標之前，Llama已經在開放性、變更能力及成本效益上領先群倫。</p> <p>相較於封閉性模型，Llama 3.1家族除了具備更好的成本與性能之外，Llama 3.1 405B模型的開放性，也讓它成為微調及蒸餾出小模型的最好選擇。</p> <p>Meta的終極目標是讓Llama如同Linux一樣成為業界標準，因此已與多家業者合作以發展更完善的生態體系，包括Amazon、Databricks、Nvidia與Groq。Databricks已支援開發人員微調及蒸餾自己的模型，Groq則替所有新模型提供低延遲與低成本的推論服務，而各種雲端服務已準備要協助企業採用Llama並使用自家資料訓練自定義模型。</p> <p>開源模型的好處之一是讓企業得以根據需求、利用自家敏感資料來建置模型，而不受封閉模型供應商的箝制，其次則是在自家基礎設施上以Llama 3.1 405B進行推論，成本只有使用GPT-4o等封閉模型的50%。</p> <p>祖克柏強調，出售AI模型的存取權並非Meta的商業模式，因此，將Llama開源不會削弱Meta的營收、可持續性或投資研究的能力，他也相信開源將讓AI模型變得更安全，在應對中國威脅時，相較於封閉所帶來的限制，最好的策略是建立一個強大的開放生態體系，並讓領先業者與政府及盟友密切合作，以確保可利用最新的進步，實現長期且可持續的先發優勢。</p> </div></div></div>
2024/7/24 14:31作者陳曉莉https://www.ithome.com.tw/news/164093
OpenAI公布GPT-4o mini微調工具對抗最新Meta Llama 3模型，免費使用2個月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta周三發布最新版大語言模型Llama 3.1，來勢洶洶，OpenAI則在宣布最新小模型GPT-4o mini不到一周後，<a href="https://twitter.com/OpenAIDevs/status/1815836887631946015" target="_blank">再公布微調工具</a>，提供免費使用特定用量2個月。</p> <p><a href="https://community.openai.com/t/multimodal-gpt-4o-mini-fine-tuning/878125" target="_blank">微調工具</a>已可由API使用，一開始提供給tier 4和tier 5的用戶。OpenAI計畫會逐步推展到所有收費等級的用戶。從即日起到9月23日間，每日頭200萬字符（token）可免費使用。</p> <p>可提供微調的模型包括部分已上線或實驗中的GPT-4和gpt-4o-mini。全部清單包括gpt-3.5-turbo-0125、gpt-3.5-turbo-1106、gpt-3.5-turbo-0613、babbage-002、davinci-002、gpt-4-0613（實驗中）和gpt-4o-2024-05-13，及gpt-4o-mini-2024-07-18（建議）。OpenAI相信以效能和易用性來說，gpt-4o-mini對大部分用戶而言是最適合的模型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0724-openai-GPT-4o%20mini-fine-tuning-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p>而<a href="https://openai.com/api/pricing/" target="_blank">微調收費</a>方式也依使用的模型而異。若使用GPT-4o mini（2024-07-18），從提示輸入的費用為每輸入100萬字符為0.3美元，每輸出100萬字符則為1.2美元。若從Batch API輸入，則分別為0.15美元和0.6美元。</p> <p>OpenAI指出，使用API微調模型，可允許用戶輸入更多的訓練範例，可提升GPT-4o mini模型生成結果的品質，而且由於用戶不需使用那麼長的提示，將能節省字符（及成本），延遲性也更低。OpenAI補充，微調工具可提升「few-shot learning」的效果。</p> <p>所謂「few-shot learning」，是指利用範例告訴模型要如何執行任務。OpenAI說其文字生成模型原本已經在大量文字上預訓練，但為了讓模型更好用，他們又在提示中加入指令，偶爾也有一些範例，已經使用「few-shot learning」手法，今日啟用的微調功能，允許用戶提供大於提示的範例，因而提升了這類學習方法的效果。</p> <p>GPT-4o-mini<a href="https://www.ithome.com.tw/news/164018" target="_blank">上周公布</a>後，ChatGPT免費版、Plus、Team方案用戶已經可存取GPT-4o mini，取代GPT-3.5。下周Enterprise方案用戶也可開始存取。GPT-4o mini具備128K字符的context window，一次呼叫支援最多16K輸出字符，訓練資料集已更新到2023年10月。OpenAI宣稱GPT-4o mini理解能力超越Claude Haiku、Gemini Flash，它最終會和GPT-4o一樣具備多模能力，支援文字、圖片、影音輸入／輸出功能，目前GPT-4o mini僅在API支援文字和視覺。</p> </div></div></div>
2024/7/24 11:27作者林妍溱https://www.ithome.com.tw/news/164091
傳Wiz拒絕Google 230億美元收購提議，將尋求IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>外傳Google欲以230億美元收購雲端資安業者Wiz，果真確有其事，只不過根據<a href="https://www.cnbc.com/2024/07/23/google-wiz-deal-dead.html" target="_blank">CNBC報導</a>，Wiz已經拒絕這項提議，將尋求在股票市場掛牌上市（IPO）。</p> <p>兩周前華爾街日報首先<a href="https://www.ithome.com.tw/news/163922" target="_blank">披露此事</a>，但未獲得兩家公司的評論。</p> <p>Wiz是由4名前微軟員工2020年合作創立於紐約，其中Assaf Rappaport為執行長。這家公司技術核心是收集代管在Amazon Web Services（AWS）、微軟Azure、Google Cloud Platform（GCP）、甲骨文（Oracle Cloud Infrastructure，OCI）和Kubernetes的基礎架構平臺多項數據，以分析可能引發資料外洩或惡意程式、駭客存取的軟體漏洞或設定失當等安全風險。Wiz員工超過900人，宣稱每年經常性營收3.5億美元。</p> <p>CNBC取得Rappaport對員工公開信，報導該公司拒絕收購。在信中，Rappaport對員工說，拒絕對這麼大金額的收購提議不是容易的事。他告訴員工，公司接下來的目標是IPO，並且產生每年10億美元的經常性收入。Wiz原本就計畫透過小型收購成長，最終IPO。</p> <p>報導引述另一名消息人士指出，Wiz是考量反托斯調查、投資人顧慮後決定拒絕提議。</p> <p>Wiz的投資人包括Andreessen Horowitz、Lightspeed Venture Partners、紅杉資本（Sequoia Capital）、Salesforce Ventures等。今年2月Wiz還募得10億美元，公司目前市值約為120億美元。</p> <p>Wiz收購案若成真，將是該公司歷來金額最大的收購。<a href="https://www.ithome.com.tw/news/149768" target="_blank">Google 2022年</a>曾和微軟競購資安業者Mandiant，最後以54億美元搶下這家資安顧問服務商。Google並未對收購失敗一事評論。</p> <p>Google提出Wiz市值近2倍的收購邀約，報載是為了提升Google Cloud資安服務營收的成長速度。Google Cloud在現任執行長Thomas Kurian帶領下，營收逐漸有起色，2023年首度獲利。在AI帶動下，Google Cloud成長可期。</p> <p>母公司Alphabet本周三（7/24）公布第2季財報。繼2024年第1季創下96億美元營收後，Google雲端部門本季營收103億美元，雖不到Alphabet執行長Sundar Pichai<a href="https://www.forbes.com/sites/petercohan/2024/07/23/google-stock-could-rise-on-q2-cloud-growth-despite-busted-wiz-deal/" target="_blank">曾預期</a>的125億美元，但超越分析機構預期的102億美元。</p> </div></div></div>
2024/7/24 12:16作者林妍溱https://www.ithome.com.tw/news/164092
Meta AI擴大支援7種語言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2024/07/meta-ai-is-now-multilingual-more-creative-and-smarter/" target="_blank">Meta周二（7/23）宣布</a>，旗下聊天機器人Meta AI開始提供英文以外的聊天內容，新增對法文、德文、印地語、印地語羅馬文字、義大利文、葡萄牙文與西班牙文的支援，而且現在已可於22個國家存取該服務，並提供了新的創新圖像編輯功能。不過，Meta AI迄今尚未支援中文及臺灣。</p> <p>目前Meta AI已整合到 WhatsApp、Instagram、Messenger及Facebook等平臺，也可直接透過meta.ai存取，除了回答問題與提供靈感之外，新版增添了創意圖像編輯功能，在使用者建立了AI圖像之外，能夠藉由文字敘述來調整圖像，包括添增或移除圖像內容，或是以圖像來製作動畫，但現階段只支援英文版。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0724-Meta%20AI%20create%20image_Facebook%20post.png" style="width: 451px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>它也在美國市場測試一個新的Imagine me（想像自己）功能，可根據使用者所提供的照片進行改造，例如想像自己正在衝浪，或是想像自己是皇室成員，或是想像自己存在於超現實主義的繪畫中，Meta AI就能替使用者創造一幅無邊無際的想像畫面。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0724-Imagine%20me-Meta%20AI.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Meta</span></p> <p>Meta AI亦持續採用Meta最新開發的模型，現在Meta已在WhatsApp及meta.ai改採甫釋出的Llama 3.1 405B，新模型改善了推論能力，以理解及回答更複雜的問題，特別是在數學及撰寫程式碼的能力上，也能藉由專家的指導掌握複雜的技術與科學概念。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0724-meta%20ai-Llama%20405B.png" style="width: 323px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Meta</span></p> <p>Meta指出，使用者現在甚至得以結合Meta AI的程式碼撰寫能力及圖像生成功能，從頭建構新遊戲，或是變更經典遊戲內容，把自己直接整合到遊戲中。</p> <p>除了上述平臺之外，Meta AI亦適用於Ray-Ban Meta智慧眼鏡，也將在8月於Meta Quest上展開實驗，以Meta AI取代Meta Quest現有的語音命令，來執行使用者所提出的各種命令及問題。</p> </div></div></div>
2024/7/24 10:34作者陳曉莉https://www.ithome.com.tw/news/164090
臺灣資安長將視CrowdStrike災後應變態度，作為是否採用的參考
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者CrowdStrike於7月19日因為EDR軟體更新出包，造成許多微軟電腦和伺服器出現藍色當機畫面（BSOD）。也有匿名高科技製造業資安主管表示，勒索軟體做不到的事情（企業電腦大規模當機），CrowdStrike做到了。另外也有不少Line資安群組，紛紛以CrowdStrike官網「62分鐘就能讓您的企業停止運作」的網路頁面，反諷CrowdStrike真的做到讓企業停止運作了。</p> <p>盤點過臺灣CrowdStrike引發的電腦當機災情後，有許多資安長坦言，採用雲端服務的趨勢不可逆，對於已經是CrowdStrike的用戶並發生大規模災情，有高科技業資安主管已經考慮明年不再續約；但對於正在評估是否採購CrowdStrike產品的企業而言，CrowdStrike的應變方式和對客戶的補償方式等，則是他們後續評估是否採購的重要關鍵。</p> <p><strong>受波及業者思考是否續約，視為一次緊急應變團隊演練機會</strong></p> <p>有匿名高科技業資安主管表示，該公司大量部署CrowdStrike的EDR產品，這次造成電腦和伺服器當機，連總經理都時時跟進資安部門處理當機電腦的復原進度，原本是保護公司資訊資產的資安產品，成為資訊資產的資安破口。「面對明年CrowdStrike的採購，將考慮不再續約。」他說。</p> <p>另外一名匿名高科技製造業資安長表示，該公司此次有十八臺安裝關鍵服務的微軟伺服器受害，幸好第一時間就緊急處理完畢，加上並沒有牽連到其他Linux主機，不然應該是系統性大災難。</p> <p>該名高科技製造業資安長表示，若正面思考、往好處想想，這次事件剛好讓公司的緊急應變團隊做一次實戰演練，也可以驗收緊急應變團隊運作的成熟度。</p> <p>當然，該名資安長坦言，該起事件必然會對該公司未來的採購決策產生影響。</p> <p>他說，首先，該公司將對CrowdStrike的信譽和產品可靠性進行重新評估；其次，該公司將更加關注供應商的更新和測試流程，確保未來類似事件的風險降到最低。此外，資安長也說，未來也會考慮採用多元化的供應商策略，避免對單一供應商的過度依賴，從而提高該公司的整體風險管理能力。</p> <p>總結來說，他表示，從這次事件提醒，企業在選擇和管理雲端資安服務時，需要更加謹慎，並加強內部的應急處理和測試流程，以保障系統的穩定性和安全性。</p> <p><strong>進行產品POC的金融業者，選擇暫停POC</strong></p> <p>匿名的金融業資安長表示，因為該公司正好在對CrowdStrike進行POC（概念驗證），產品安裝在測試區環境中，所幸沒有影響正常服務。電腦當機的災情爆發後，該資安長已經先請同仁暫停POC，並看後續狀況來調整POC的方式。</p> <p>另外一位金融業資安長表示，該公司剛好針對CrowdStrike的EDR產品進行POC，包括簽核伺服器、郵件伺服器都受到影響，數量很多，但處理即時，後遺症不大。不過，他也認為，這次的資安事件也是一個好的資安演練機會，但是否有受害就需要發佈重訊，他認為，應該還是要看受害範圍，有沒有影響公司的正常營運決定重訊發布與否。</p> <p>資安長也指出，資安部門不管在安裝、執行任何程式時，都會遇到各種資安工具的碰撞，都必須再三實測、不能中斷。關於這次爆發的軟體更新出包，他認為，雲端服務出包是可以預期的，不能因咽廢食而不使用雲端服務；他也學到，所有的軟體更新都必須在測試區再三確認後，才會循序漸進的派送到正式上線區。</p> <p>匿名營建業資安長表示，在爆發CrowdStrike災情時，他慶幸當初選擇另外一家競爭品牌，有一個原因在於他想要深化和某個資安公司的連結，可以在管理上、預算上，甚至技術支援等等，可以提供比較有彈性、全面性且更有深度的合作。</p> <p>另外一位匿名高科技製造業資安長也說，從這次災情學到，未來所有的軟體更新都要經過驗證程序並作衝擊評估後才能上線，該公司雖然沒有選擇CrowdStrike的產品，但他不諱言，該公司的危機應變以及後續的處理，將會是未來評估資安供應廠商做的參考。</p> </div></div></div>
2024/7/23 21:18作者黃彥棻https://www.ithome.com.tw/news/164089
【資安日報】7月23日，臺灣企業因CrowdStrike產品更新造成電腦當機的情況，金融、資服、傳統製造、高科技製造業…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週最受到各界關注的事故，就是EDR系統CrowdStrike Falcon更新出錯，導致全球大量出現藍色當機畫面（BSoD）的情況，微軟初估全球有850萬臺Windows電腦受到影響，究竟臺灣災情如何，陸續有相關消息傳出。我們也私下訪問企業的資安長及資服業者，發現金融、資服、傳統製造及高科技製造業都傳出災情。</p> <p>另一方面，金管會也在例行記者會透露金融業者受害的情形，並指出期貨商、投信業者、壽險業者、產險業者都有受害的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164062"><strong style="font-size: 22px;">盤點臺灣企業因CrowdStrike產品更新造成電腦當機的災情</strong></a></p> <p>臺灣時間7月19日傳出微軟雲端服務大當機，經查是資安公司CrowdStrike更新EDR時出包，造成安裝微軟作業系統的電腦，出現藍色當機畫面（BSOD）的狀態。微軟企業及作業系統安全副總裁David Weston在官方部落格文章中提到，此次受到CrowdStrike更新影響的設備，估計高達850萬臺Windows設備，而臺灣有多少企業受到波及，並沒有任何官方數據可以提供。因此，iThome私下訪問臺灣企業資安長和資服業者，希望可以勾勒出，臺灣不同產業在這一波CrowdStrike引發藍色當機畫面的災情現況。</p> <p>事實上，此次CrowdStrike引發藍色當機畫面的受害產業範圍甚廣，包括金融業、資服業、傳統製造和高科技製造業者等，都陸續傳出災情；此外，根據其他媒體報導，其他像是航空業者，也是此次災情的受害者。</p> <p>金融業者因為開放雲端服務較晚，便有金融業者表示，該公司剛好在進行CrowdStrike的POC（概念驗證），因此災情發生後，選擇暫停POC；另外，則有一家資服業者災情慘重，該公司有三千多臺個人電腦，全部都出現藍畫面的當機狀態。</p> <p><a href="https://www.ithome.com.tw/news/164084"><strong style="font-size: 22px;">金管會揭露CrowdStrike事故對臺金融業災情，保險業上千臺伺服器和上千臺PC受影響</strong></a></p> <p>上週五資安公司CrowdStrike更新EDR時出包，安裝微軟作業系統的電腦出現藍色當機畫面，不少金融業者也受到影響。金管會今日在例行記者會上表示，目前為止，受影響的金融業者包括2家期貨商、4家投信業、5家壽險業和2家產險業者。銀行局則尚無接獲業者通報重大偶發事件。</p> <p>針對保險業受影響情形，保險局主任秘書古坤榮說明，少數業者的官網或對外服務系統有部分功能受影響，中斷了數分鐘至三小時，「大家都在時間內修復完成。」另外，古坤榮提到，本次保險業者受影響裝置有一千多臺伺服器，和一千多臺桌機和筆電。他表示，保險業者後續將強化服務，提供廠商的緊急應變機制，擬訂SOP來縮短類似事件的因應處理時效，並且辦理資安產品多樣化等改善措施。</p> <p>針對證券期貨業受影響情形，證期局主任秘書尚光琪表示，受影響的2家期貨商和4家投信業對外服務並未中斷，也沒有影響到客戶權益。但是，尚光琪提到，經調查後確認，本次事件中外商投信業者的受影響裝置數量較多。</p> <p><a href="https://www.ithome.com.tw/news/164079"><strong style="font-size: 22px;">針對CrowdStrike更新出錯事故，伊朗駭客假借提供修復工具名義誘人下載，實際卻是散布資料破壞軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/phishing-email.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/phishing-email.jpg" style="width: 300px; float: right;" /></a></p> <p>上週五EDR系統CrowdStrike Falcon更新引發全球各地Windows電腦大當機，微軟公布有850萬臺電腦受到影響，資安業者Interos指出約有67.4萬企業用戶可能受到影響。值得留意的是，駭客也伺機散布惡意程式進行破壞。</p> <p>惡意軟體沙箱服務業者Any.Run指出，他們發現有駭客意圖趁機散布資料破壞軟體（Wiper）的跡象，對方針對想要找尋能修正電腦因CrowdStrike更新當機的使用者，聲稱提供另一個由CrowdStrike製作的更新軟體，能解決當機的問題。然而一旦使用者執行，電腦檔案就會被以0位元的資料覆寫，完成後惡意程式再向特定的Telegram頻道回報。</p> <p>而對於攻擊者的身分，資安新聞網站Bleeping Computer指出，伊朗駭客組織Handala聲稱是他們所為，並透過社群網站X透露，攻擊目標是以色列的企業組織，他們透過釣魚郵件來散布資料破壞軟體。</p> <p><a href="https://www.ithome.com.tw/news/164082"><strong style="font-size: 22px;">中國駭客組織GhostEmperor捲土重來，利用惡意程式Demodex從事攻擊行動</strong></a></p> <p>資安業者卡巴斯基3年前發現中國駭客組織GhostEmperor的行蹤，事隔兩年，有研究人員察覺該組織再度犯案的跡象。去年底資安業者Sygnia收到客戶的委託，起因是他們察覺駭客破壞企業內部網路，目的是滲透合作夥伴。經過調查，駭客使用名為Demodex的rootkit變種，而這項工具與2021年9月卡巴斯基揭露的GhostEmperor有關。這些駭客運用多階段惡意軟體攻擊，從而隱密在受害組織持續運作，同時他們也利用多種手法阻止資安人員分析。</p> <p>而對於這些駭客的入侵手段，研究人員指出通常是利用Exchange漏洞ProxyLogon來取得初始權限，但也有利用其他漏洞的情況。一旦成功，對方就會執行批次檔啟動整個惡意軟體感染流程。</p> <p><a href="https://www.ithome.com.tw/news/164064"><strong style="font-size: 22px;">FBI利用以色列駭客工具成功破解川普刺客的安卓手機，過程僅耗時40分鐘</strong></a></p> <p></p> <p>根據彭博社報導，美國聯邦調查局（FBI）在以色列業者Cellebrite提供的工具協助下，以「開發中、尚未公布」的產品破解「較新款」的三星手機，從而成功存取攻擊美國總統候選人川普的刺客手機，過程僅花費40分鐘。</p> <p>本月13日川普在賓州農場公開造勢發表演說時，遭到賓州男子Thomas Matthew Crooks企圖行刺。川普僅右耳受傷，而刺客隨後遭到狙擊手擊斃。FBI取得此嫌犯的手機以調查行刺原因及是否有共犯，事件隔日還無法存取手機，但第二天FBI就宣布成功存取其中內容，對於如何破解手機鎖定及刺客使用的手機品牌，FBI皆未說明。</p> <p>這家以色列業者主要的業務，就是提供各國政府及警方破解工具，作為辦案使用。2016年FBI為偵辦槍擊案需解鎖已經死亡的嫌犯手機，尋求蘋果協助遭拒，最終FBI得到第三方業者協助，外傳該業者就是Cellebrite。</p> <p><a href="https://www.ithome.com.tw/news/164081"><strong style="font-size: 22px;">移民署內部通訊錄驚傳流入駭客論壇，該單位表示非駭客攻擊外流，疑為離職員工所為</strong></a></p> <p>近日傳出民眾在網路上發現，使用SorryBB為ID的人士，在駭客論壇BreachForums兜售移民署內部人員通訊錄的情況，當中包含署長及多名科員、專員的個資，這份資料不僅包含職稱、姓名、性別、任職年月、內網電子郵件信箱、號碼、分機、警用電話號碼，甚至提及有人照顧家人而留職停薪的情形。</p> <p>對此，有知情人士透露，這些資料相當老舊，且這批內部資料外界難以利用，價值並不高。儘管如此，賣家還是開出了1,500美元（約新臺幣4.9萬元）的價碼，並要求以門羅幣或比特幣進行交易。</p> <p>移民署得知此事後著手查證，確認資訊系統並未遭到駭客入侵，他們也將存放於內部網路系統的檔案移除。究竟這批資料如何流出，他們不排除是離職員工所為。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/los-angeles-superior-court-shuts-down-after-ransomware-attack/"><strong style="font-size: 20px;">美國洛杉機高等法院傳出遭到勒索軟體攻擊，被迫關閉網路系統</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/g/new-play-ransomware-linux-variant-targets-esxi-shows-ties-with-p.html">勒索軟體Play鎖定VMware虛擬化環境而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/grand-theft-auto-fake-gta-vi-beta-download-malware/">駭客佯稱提供電玩遊戲俠盜獵車手VI測試版散布惡意程式</a></strong></p> <p></p> <p>◆<a href="https://www.bugcrowd.com/blog/unveiling-te-0-http-request-smuggling-discovering-a-critical-vulnerability-in-thousands-of-google-cloud-websites/"><strong style="font-size: 20px;">研究人員揭露HTTP請求偷渡手法TE.0，恐導致數千個Google Cloud網站曝險</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.recordedfuture.com/research/oilalpha-spyware-used-to-target-humanitarian-aid-groups">惡意應用程式OilAlpha鎖定葉門人道救援組織而來</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164065"><strong style="font-size: 22px;">Google宣布放棄在Chrome中封鎖第三方Cookie的計畫</strong></a></p> <p>在受到各國監管機關的質疑之後，7月22日Google宣布放棄於Chrome中封鎖第三方Cookie的計畫，但會繼續投資及開發原本要用來取代第三方Cookie的各種隱私沙箱（Privacy Sandbox）API。這項執行4年的計畫，最終以失敗告終。</p> <p>Google企圖於Chrome瀏覽器中維持廣告主及使用者隱私之間的平衡，因而在2019年提出了隱私沙箱的概念，採用更具隱私的方式將使用者分門別類，而廣告主則可據此向群組發送廣告，並準備在2022年以隱私沙箱全面取代第三方Cookie。然而，該計畫一開始就惹來英國競爭及市場管理局（CMA）的調查，懷疑隱私沙箱的安全性，以及Google疑似打算利用隱私沙箱來圖利自家廣告服務，再加上受到各方的質疑，而使得上線日期一延再延。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164058"><strong>【7月22日】資安業者CrowdStrike更新事故衝擊規模初步統計出爐，至少影響850萬臺電腦、67萬企業用戶</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164037"><strong>【7月19日】CrowdStrike旗下EDR系統更新出錯釀禍，全球出現Windows電腦大量當機，影響機場、醫院等設施運作</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164012"><strong>【7月18日】日本揭露新一波MirrorFace攻擊行動，對方鎖定防火牆、SSL VPN設備已知漏洞而來，散布後門程式</strong></a></p> </div></div></div>
2024/7/23 16:52作者周峻佑https://www.ithome.com.tw/news/164083
金管會揭露CrowdStrike事故對臺金融業災情，保險業上千臺伺服器和上千臺PC受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週五資安公司CrowdStrike更新EDR時出包，安裝微軟作業系統的電腦出現藍色當機畫面，不少金融業者也受到影響。金管會今日在例行記者會上表示，目前為止，受影響的金融業者包括2家期貨商、4家投信業、5家壽險業和2家產險業者。其中，保險業受影響裝置共有一千多臺伺服器，和一千多臺個人電腦，包含桌機和筆電。銀行局則尚無接獲業者通報重大偶發事件。</p> <p>針對保險業受影響情形，保險局主任秘書古坤榮說明，少數業者的官網或對外服務系統有部分功能受影響，中斷了數分鐘至三小時，「大家都在時間內修復完成。」另外，古坤榮提到，本次保險業者受影響裝置有一千多臺伺服器，和一千多臺桌機和筆電。他表示，保險業者後續將強化服務，提供廠商的緊急應變機制，擬訂SOP來縮短類似事件的因應處理時效，並且辦理資安產品多樣化等改善措施。</p> <p>針對證券期貨業受影響情形，證期局主任秘書尚光琪表示，受影響的2家期貨商和4家投信業對外服務並未中斷，也沒有影響到客戶權益。但是，尚光琪提到，經調查後確認，本次事件中外商投信業者的受影響裝置數量較多。因此，未來相關業者也會依照軟體廠商的改善措施，並配合母集團政策進行改善。另外，相關業者將會加強廠商更新軟體的上線機制，降低系統更新風險。例如，和廠商洽談防護規則，進行遞延更新或分批更新。</p> <p>另外，針對資安保險理賠情形，古坤榮說明，目前資安保險承保範圍主要針對網路攻擊、電腦勒索或管理錯誤行為等事件，並未包括資安公司軟體更新事件，因此，本次當機事件尚無保險理賠產生。</p> <p></p> </div></div></div>
2024/7/23 17:19作者李昀璇https://www.ithome.com.tw/news/164084
移民署內部通訊錄驚傳流入駭客論壇，該單位表示非駭客攻擊外流，疑為離職員工所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日傳出民眾在網路上發現，使用SorryBB為ID的人士，<a href="https://www.ettoday.net/news/20240722/2782353.htm">在駭客論壇BreachForums兜售移民署內部人員通訊錄的情況</a>，當中包含署長及多名科員、專員的個資，這份資料不僅包含職稱、姓名、性別、任職年月、內網電子郵件信箱、號碼、分機、警用電話號碼，甚至提及有人照顧家人而留職停薪的情形。</p> <p>對此，有知情人士透露，這些資料相當老舊，且這批內部資料外界難以利用，價值並不高。儘管如此，賣家還是開出了1,500美元（約新臺幣4.9萬元）的價碼，並要求以門羅幣或比特幣進行交易。</p> <p>對此，<a href="https://www.immigration.gov.tw/5385/7229/153324/372460/">移民署得知此事後著手查證</a>，確認資訊系統並未遭到駭客入侵，他們也將存放於內部網路系統的檔案移除。</p> <p>究竟這批資料如何流出，他們不排除是離職員工所為，由於將內部通訊錄資訊經過重製並於網路散布，因涉及刑事責任，他們已會同政風人員進行調查，並強調對於洩漏或散布這些資料的人士，他們將依法究辦。</p> <p>移民署強調，員工個資內容包含內部電子信箱、分機資訊，一般民眾即便取得，也難以利用，其中有不少人已調離移民署，他們判斷是早以過時的舊資料。</p> <p>針對這名被懷疑涉案的前員工，根據各家媒體的報導，很有可能是近期因表現不佳而離職的員工所為，該員工原本在移民署桃園機場的國境事務大隊就職，他們正在釐清該員是否涉案。</p> </div></div></div>
2024/7/23 16:12作者周峻佑https://www.ithome.com.tw/news/164081
中國駭客組織GhostEmperor捲土重來，利用惡意程式Demodex從事攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者卡巴斯基<a href="https://securelist.com/ghostemperor-from-proxylogon-to-kernel-mode/104407/">3年前發現中國駭客組織GhostEmperor的行蹤</a>，事隔兩年，有研究人員察覺該組織再度犯案的跡象。</p> <p>去年底資安業者Sygnia收到客戶的委託，<a href="https://www.sygnia.co/blog/ghost-emperor-demodex-rootkit/">起因是他們察覺駭客破壞企業內部網路，目的是滲透合作夥伴</a>。經過調查，駭客使用名為Demodex的rootkit變種，而這項工具與2021年9月卡巴斯基揭露的GhostEmperor有關。這些駭客運用多階段惡意軟體攻擊，從而隱密在受害組織持續運作，同時他們也利用多種手法阻止資安人員分析。</p> <p>而對於這些駭客的入侵手段，研究人員指出通常是利用Exchange漏洞ProxyLogon來取得初始權限，但也有利用其他漏洞的情況。一旦成功，對方就會執行批次檔啟動整個惡意軟體感染流程。</p> <p>這些駭客執行批次檔的方式，主要是透過名為WMIExec的命令列工具來進行。該工具屬於Impacket滲透測試套件的一部分，主要用途是藉由WMI在遠端Windows電腦執行命令。而Impacket工具包是以Python打造而成，通常被用於了解程式構造或是操控網路協定。</p> <p>當批次檔開始執行，就會進行部署惡意軟體及設置能維持在受害電腦運作的工作。他們先是下載CAB檔並利用內建的公用程式expand.exe解開作案工具，其中包含惡意DLL檔案Prints1m.dll、PowerShell指令碼，以及用來產生AES解密金鑰、解出經過AES演算法處理的Shell Code的登錄檔。</p> <p>接著，此批次檔便會在電腦下達匯入上述兩個登錄檔，然後執行經過加密處理的PowerShell指令碼，這個指令碼內含經加密處理的儲存桶（blob），一旦解開，電腦就會再執行另一個PowerShell指令碼。</p> <p>這個新的指令碼會建置名為WdiSystem服務，內含svchost.exe的PowerShell命令，目的是載入惡意DLL檔案，同時，還會建立新的服務群組WdiSystemhost，用來執行惡意服務。攻擊者在執行惡意服務的過程中，他們會試圖讓惡意軟體看起來像執行Windows系統服務，而這麼做其實是模仿正牌的系統服務名稱「WdiSystemHost（Windows Diagnostic System Host）」。</p> <p>當電腦根據駭客上述設置的方法載入惡意DLL檔案，該程式庫會偵測作業系統內部的處理程序執行架構Process Environment Block，動態載入需要的功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ghost-Emporer-Diagram-Desktop.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ghost-Emporer-Diagram-Desktop.jpg" style="width: 580px;" /></a></p> <p>接著，這個DLL檔案會設置反掛鉤（anti-hooking）手法，並且會先進入休眠狀態，為期15秒之後，再進行解密、執行下個階段的攻擊，從而接收批次檔設置的機碼金鑰。</p> <p>值得一提的是，為了迴避防毒軟體及EDR系統的偵測，這些駭客設置名為ProcessSignaturePolicy的緩解措施，禁止將未具備微軟簽章的DLL檔案載入處理程序，這也代表非微軟簽署的資安系統DLL元件有可能因為無法注入正在執行的特定應用程序記憶體位址，而無法正常運作。但研究人員也指出，許多防毒業者使用的DLL檔案都經過微軟簽署，其中部署端點防護解決方案還會在呼叫SetProcessMitigationPolicy之前就注入DLL，根據這樣的說法，駭客所採取的做法，有可能鎖定尚未具備上述簽署機制的資安系統而來。</p> <p>完成上述的步驟，Prints1m.dll才會讀取兩個由批次檔設置的登錄檔金鑰，並將Shell Code充當惡意程式載入工具，把名為Core-Implant的DLL分配記憶體位置，並將每個部分載入記憶體。成功後Core-Implant將管理C2通訊，並於受害電腦植入Demodex。為了迴避作業系統的驅動程式簽章強制（DSE）機制，駭客濫用遊戲作弊工具Cheat Engine，並運用其中已簽章的驅動程式dbk64.sys操縱記憶體，而能在Core-Implant執行Shell Code，然後在該驅動程式加入額外功能，使其能夠載入Demodex。</p> </div></div></div>
2024/7/23 16:42作者周峻佑https://www.ithome.com.tw/news/164082
針對CrowdStrike更新出錯事故，伊朗駭客假借提供修復工具名義誘人下載，實際卻是散布資料破壞軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週五（7月19日）EDR系統CrowdStrike Falcon更新<a href="https://www.ithome.com.tw/news/164030">引發全球各地Windows電腦大當機</a>，<a href="https://www.ithome.com.tw/news/164040">微軟公布有850萬臺電腦受到影響</a>，資安業者Interos指出<a href="https://www.interos.ai/blog-crowdstrike-impact-analysis-at-least-674000-enterprise-customers-at-risk-of-disruption-globally/">約有67.4萬企業用戶可能受到影響</a>。</p> <p>當時，CrowdStrike提出警告，雖然這起事故並非網路攻擊，但很有可能被駭客用來引誘使用者上當，因為<a href="https://www.crowdstrike.com/blog/falcon-sensor-issue-use-to-target-crowdstrike-customers/">他們已經看到30個新註冊的冒牌網域名稱的情況</a>，如今有其他研究人員揭露相關攻擊行動。</p> <p>惡意軟體沙箱服務業者Any.Run指出，<a href="https://x.com/anyrun_app/status/1814658084460957890">他們發現有駭客意圖趁機散布資料破壞軟體（Wiper）的跡象</a>，對方針對想要找尋能修正電腦因CrowdStrike更新當機的使用者，聲稱提供另一個由CrowdStrike製作的更新軟體，能解決當機的問題。</p> <p>然而一旦使用者執行，電腦檔案就會被以0位元的資料覆寫，完成後惡意程式再向特定的Telegram頻道回報。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GS710MDXMAAPCUe.jpg" style="width: 580px;" /></p> <p>而對於攻擊者的身分，<a href="https://www.bleepingcomputer.com/news/security/fake-crowdstrike-fixes-target-companies-with-malware-data-wipers/">資安新聞網站Bleeping Computer指出</a>，伊朗駭客組織Handala聲稱是他們所為，並透過社群網站X透露，攻擊目標是以色列的企業組織，他們透過釣魚郵件來散布資料破壞軟體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/phishing-email.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/phishing-email.jpg" style="width: 580px;" /></a></p> <p>值得留意的是，這並非Any.Run發現的唯一相關攻擊事故，<a href="https://x.com/anyrun_app/status/1814944383910789393">他們也看到駭客透過PDF文件行騙的行為</a>。而這個PDF檔案內含連結，若是使用者點選，電腦將會下載帶有惡意程式的RAR壓縮檔。此外，<a href="https://x.com/anyrun_app/status/1814567576858427410">他們也看到</a>CrowdStrike公布的<a href="https://www.ithome.com.tw/news/164052">惡意程式Hijackloader、Remcos攻擊行動</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GS_6MFcXEAAPAMu.png" style="width: 580px;" /></p> <p>除了這些攻擊行動，資安業者CrowdStrike也公布<a href="https://www.crowdstrike.com/blog/fake-recovery-manual-used-to-deliver-unidentified-stealer/">他們看到的第二波攻擊行動</a>，對方假冒微軟，使用Word巨集檔案（.DOCM），宣稱提供復原指引，然而一旦照做，使用者的電腦就有可能被植入竊資軟體Daolpu。</p> </div></div></div>
2024/7/23 14:34作者周峻佑https://www.ithome.com.tw/news/164079
國泰金控結合SBOM軟體物料清單加強軟體供應鏈的安全性，優先從中臺微服務供應鏈導入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近兩年，軟體供應鏈安全越來越受重視，除了持續強化軟體安全外，也有臺灣企業開始結合軟體物料清單（SBOM）增強軟體供應鏈的安全性，國泰金控就是其中一家，他們在國泰中臺微服務應用中，開始運用SBOM表追蹤和記錄軟體元件的組成，及時發現和修補漏洞，並在攻擊事件後進行還原，進而提升軟體供應鏈的安全。</p> <p>負責打造這個安全防禦圈的是國泰金控數位數據暨科技發展中心的開源創新發展小組。該小組成員之一的DevOps工程師趙振勝近日在iThome臺灣雲端大會上分享了他們在軟體供應鏈安全防護中應用SBOM的經驗。</p> <p>軟體供應鏈的威脅在近幾年日益增加，例如近年來爆出的Log4j零日漏洞，曾引發大規模零日的RAC漏洞被駭客利用，導致企業只要引用這個元件就容易受到攻擊。今年還出現了另一個針對軟體供應鏈的攻擊，名為XZ Utils的後門供應鏈漏洞，再再顯示出企業軟體供應鏈安全的重要性和迫切性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/95568.jpg" style="width: 600px; height: 338px;" /></p> <p><strong><span style="font-size:22px;"> SBOM軟體物料清單的組成基本要素</span></strong></p> <p>為了加強軟體供應鏈的安全，國泰金控嘗試在軟體供應鏈安全防護中結合SBOM軟體物料清單，使用SBOM表追蹤和記錄軟體元件的組成，提高軟體元件的可見性和透明性，並先從國泰自己的中臺微服務供應鏈開始導入。</p> <p>根據美國商務部和國家電信與資訊管理局（NTIA）對於 SBOM的組成基本要素有7項，包含供應商名稱、元件名稱、各元件名稱的獨立ID或Hash值、版本資訊、元件彼此間的關聯關係、元件作者資訊等。</p> <p>趙振勝指出，SBOM是提高軟體供應鏈安全的關鍵工具。在SBOM軟體物料清單中提供了軟體的版本、依賴關係、組件以及許可證資訊，當軟體供應鏈受到攻擊時，安全團隊可以利用這些資訊確認影響並快速找出有問題的軟體元件，將損害降到最低。</p> <p>尤其，過去開發人員經常使用開源元件或第三方元件時，隨著對這些軟體元件依賴的增加，開發人員對軟體夠掌控的部分就越少，因而增加了軟體供應鏈的安全風險，他認為，透過SBOM能夠有效解決這個問題。</p> <p><span style="font-size:22px;"><strong>軟體供應鏈安全防護結合SBOM表有四大好處</strong></span></p> <p>趙振勝指出，在軟體供應鏈安全防護中結合SBOM表有四大好處。首先，SBOM 表可以提供軟體元件的可見性和透明度，增強軟體供應鏈的安全性；其次，透過詳細的元件列表，可用於漏洞管理，並能在攻擊發生後協助進行事件還原。</p> <p>此外，由於SBOM可以列出每個應用程式中的元件及其版本，一旦遇到特定漏洞時，就可以快速知道公司是否使用這些元件，並可用於風險評估以決定修補程式的優先順序。最後，SBOM還可以提供許可證資訊，確保符合合規及監管要求，像是金融業。</p> <p>國泰中臺由微服務架構組成，分為閘道層（Gateway）、複合層（Composite）、以及基底層（Base）三層式架構。由於微服務架構相當複雜，因此趙振勝表示，每個微服務架構間的元件與SBOM關聯性的建立就非常重要，甚至還需要將SBOM表的工作流程結合軟體開發生命周期（SDLC），並導入在每個環節和步驟中。</p> <p><strong><span style="font-size:22px;">國泰中臺微服務導入SBOM遇到的挑戰</span></strong></p> <p>他指出，國泰金控一開始先在微服務中臺中，利用SBOM表，加強軟體供應鏈的安全性，但在導入過程中也遇到不少挑戰，包括如何選擇SBOM表導入時機、SBOM表解析和管理、SBOM表視覺化以及如何確保SBOM表資訊的完整性和不被篡改。為了克服這些挑戰，他們導入不少開源工具，來逐一加以解決。</p> <p>例如，為了產生微服務供應鏈SBOM表，國泰團隊採用了CycloneDX和Syft兩款開源工具，來進行SBOM表的生成，接著將SBOM表導入在在工作流程（Pipeline）各階段，包括原始碼（Source Code）、建置Jar檔以及映像檔檔分別導入這兩個工具。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/95566.jpg" style="width: 600px; height: 338px;" /></p> <p>由於SBOM本身是JSON 格式，為了方便解析及管理，他們還使用另一款開源工具Dependency Track，利用SBOM即時分析依賴元件並識別漏洞，來視覺化和管理第三方元件及相似性。</p> <p>趙振勝表示，Dependency Track本身提供了多種串接功能，可以支持CycloneDX 格式的SBOM 作為輸入，並可以與 Slack 以及 Jenkins 串接作為輸出，還可以使用常見的統整軟體來管理漏洞。</p> <p>匯入SBOM表後，從Dependency Track介面中，不僅看到元件名稱以及版本資訊及使用許可資訊，還可以看出這次所匯入的應用程式，包含了哪些弱點，不同弱點會有不同顏色來區分。開發人員還能檢視所匯入的應用程式，包含弱點，不同弱點會以不同顏色區分，並且可以點擊查看更詳細的資訊。此外，該介面還提供審核功能，允許開發人員對每個弱點進行修復回覆和提出審核建議。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/95565.jpg" style="width: 600px; height: 338px;" /></p> <p>國泰金控還使用了Google的GUAC建立可視化的SBOM表，來提供依賴管理和對軟體供應鏈安全的全面視圖。從視覺化的 SBOM 表中可以用樹狀圖的方式呈現應用程式中不同元件之間的關聯。</p> <p>趙振勝表示，團隊建立了簽核和授權機制，來確保SBOM不被異動。例如導入導入了Cosign工具，用於SBOM簽核，確保SBOM表的異動歷程都有完整的記錄。又或是在SBOM匯入後，進一步將應用程式整合到CICD流程，以便透過驗證方式來進行確認，來確保SBOM資訊的完整性，以及不被異動。</p> <p>趙振勝表示，團隊建立了簽核和授權機制，以確保 SBOM不被篡改。例如，導入了Cosign工具，用於 SBOM簽核，確保SBOM表的異動歷程都有完整的記錄。此外，在SBOM匯入後，進一步將應用程式整合到DevOps敏捷的CICD流程中，通過驗證方式來確認 SBOM資訊的完整性和防止異動。最後，他們還導入VEX文件來收斂開發團隊及資安團隊發現的漏洞，來了解已知的漏洞的元件在其使用的產品環境中的可用性，以及駭客是否可以利用該漏洞造成威脅。</p> <p></p> <p>趙振勝強調建立左移（Shift Left）觀念的重要性。他表示，企業必須將SBOM 納入開發流程，以便在軟體開發生命周期的早期階段展開評估和解決漏洞。此外，已上線服務的 SBOM 管理也是必須追蹤和納入考量的重要項目。他提到說，SBOM文件包含有關軟體組件的關鍵資訊，因此也必須保持這些資料的機密和安全性。</p> </div></div></div>
2024/7/23 15:04作者余至浩https://www.ithome.com.tw/news/164063
Google宣布將放棄於Chrome中封鎖第三方Cookie的計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在受到各國監管機關的質疑之後，Google周一（7/22）<a href="https://privacysandbox.com/news/privacy-sandbox-update/" target="_blank">宣布將放棄</a>於Chrome中封鎖第三方Cookie的計畫，但會繼續投資及開發原本要用來取代第三方Cookie的各種隱私沙箱（Privacy Sandbox）API。讓此一執行了4年的計畫以失敗告終。</p> <p>Cookie是在使用者造訪網站時，電腦所自動下載的小檔案，它存放著使用者的偏好，或是放入購物車的商品，不過，當使用者所造訪的網站含有來自其它業者的廣告時，也會自動下載這些來自第三方的Cookie，使得廣告主得以追蹤使用者的網路行為，並遞送個人化廣告。</p> <p>Google企圖於Chrome瀏覽器中維持廣告主及使用者隱私之間的平衡，因而在2019年提出了隱私沙箱的概念，採用更具隱私的方式將使用者分門別類，而廣告主則可據此向群組發送廣告，並準備在2022年以隱私沙箱全面取代第三方Cookie。</p> <p>然而，該計畫一開始就惹來英國競爭及市場管理局（Competition and Markets Authority，CMA）<a href="https://www.ithome.com.tw/news/142140" target="_blank">的調查</a>，包括懷疑隱私沙箱的安全性，以及Google是否利用隱私沙箱來圖利自家廣告服務，再加上受到各方的質疑，而使得上線日期<a href="https://www.ithome.com.tw/news/162503" target="_blank">一延再延</a>。根據華爾街日報（The Wall Street Journal，WSJ）<a href="https://www.wsj.com/tech/google-cookies-replacement-not-enough-to-protect-uk-consumer-privacy-580d1b16" target="_blank">的報導</a>，英國資料保護組織Information Commissioner's Office（ICO）認為隱私沙箱可能得以辨識匿名用戶，而讓廣告主繼續跨站追蹤使用者。</p> <p>此外，也有<a href="https://www.usenix.org/system/files/sec24fall-prepub-253-calderonio.pdf" target="_blank">研究人員找出</a>隱私沙箱的安全漏洞，並成功執行了12種不同的攻擊，包括追蹤、跨站外洩、服務中斷或污染等，但Google卻在僅緩解其中一種攻擊之後，就公開發布了隱私沙箱。</p> <p>電子前線基金會<a href="https://www.eff.org/deeplinks/2024/07/why-privacy-badger-opts-you-out-googles-privacy-sandbox" target="_blank">（EFF）認為</a>，相較於第三方Cookie，隱私沙箱或許改善了某些隱私，但它並未消除線上追蹤能力，而是把此一追蹤控制權從第三方Cookie轉移到Google手上，最終保護的是Google的廣告業務。</p> <p>Google於本周坦承，從計畫以隱私沙箱取代Cookie迄今，Google收到了各方的回饋，包括CMA、ICO、出版商、Web開發者、標準組織、公民社會，一直到廣告產業的意見，意識到此一轉變需要許多參與者的大量工作，同時也會對出版商、廣告主及每一個涉及網路廣告的從業者帶來影響。</p> <p>因此，相較於棄用第三方Cookie，Google決定採用新的方法來提高使用者的選擇，準備在Chrome中導入新體驗，允許使用者於瀏覽過程中作出各種選擇，而且隨時可調整，目前正與監管機關討論此一新方法。</p> <p>不過，Google並不準備放棄隱私沙箱，並說將繼續投資與開發各種隱私沙箱API，進一步改善隱私與實用性，也計畫提供額外的隱私控制，其中之一是將在Chrome的無痕模式（Incognito）中嵌入IP保護功能。</p> </div></div></div>
2024/7/23 12:39作者陳曉莉https://www.ithome.com.tw/news/164065
Android版Telegram漏洞讓駭客將惡意程式偽裝成影音檔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://www.welivesecurity.com/en/eset-research/cursed-tapes-exploiting-evilvideo-vulnerability-telegram-android/" target="_blank">ESET本周揭露</a>了Android版Telegram的一個安全漏洞，允許駭客於Telegram頻道、群組或聊天室中分享惡意的APK檔案，並將它偽裝成影音檔，以吸引使用者播放，進而安裝其它惡意程式。</p> <p>Telegram的預設會自動下載多媒體檔案，儘管駭客分享的不是多媒體檔案，而是一個二進位的APK檔，卻被Telegram視為影片檔而自動下載，但它的副檔名卻是.apk。</p> <p>在Android版Telegram用戶收到此一看起來像是影片的檔案後，由於它並非影片，因此無法播放，Telegram會建議用戶使用其它的播放程式來播放，當使用者選擇使用其它程式時，所安裝的就是駭客所提供的惡意程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0723-telegram-ESET-3.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／ESET</span></span></p> <p>研究人員認為，駭客所製作的酬載應該是利用Telegram API打造的，猜測漏洞存在於Telegram允許駭客將二進位應用程式顯示為影片，以欺騙使用者。</p> <p>ESET是在6月26日發現駭客正於地下論壇兜售該漏洞，它影響Android for Telegram 10.14.4及更早之前的版本，並通知Telegram，Telegram則在7月11日釋出10.14.5版進行修補。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0723-telegram-underground%20forum-ESET.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／ESET</span></p> <p>此外，此一漏洞僅波及Android版Telegram，不管是透過Web版或Windows版的Telegram接收該偽裝成影片的APK檔時，該檔案的副檔名皆會被Telegram轉為.mp4，企圖播放時即會出現錯誤，因而逃過一劫。</p> </div></div></div>
2024/7/23 13:15作者陳曉莉https://www.ithome.com.tw/news/164066
【iThome 2024 CIO大調查系列4｜GAI趨勢】93位CIO與CISO如何因應生成式AI挑戰（上）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#3399ff;"><strong><span style="font-size:22px;">「AI創新」，這是多數資訊長和資安長今年最重要的目標，也是對生成式AI浪潮最大的期待，但要如何找出GAI的機會，克服種種背後的挑戰。93位來自一般製造、高科技、服務業、金融、政府學校的資訊主管和資安主管，分享了他們看到的GAI機會與挑戰。</span></strong></span></p> <p><strong>企業已不能只將生成式AI視為新技術，而是一個千載難逢的良機，讓企業能夠雇用一群博覽群書、擅長論述、能操各國語言、會寫程式、已達常春藤名校等級的機器人大學畢業生。如何「訓練微調」這群機器人員工，進而重塑企業文化及工作流程，賦能而非取代人類員工，將是企業的嶄新挑戰。 <span style="color:#696969;">── 第一銀行執行副總暨資訊安全長劉培文</span></strong></p> <hr /> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 五個機會 </span></span> 1. 創新應用和產品開發。2. 個性化和定製。3. 效率提升。4. 實現創意。5.數據增強決策。</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 五個挑戰 </span></span> 1.數據隱私和倫理問題。2.技術壁壘。3. 不確定性，需要監控和調整。4. 安全風險。5. 文化適應。</strong><span style="color:#696969;">─<strong>─ 百億IC設計公司資訊主管</strong></span></p> <hr /> <p><strong>GAI是新藍海，IT在企業決策的角色越來越重要 <span style="color:#696969;">── 半導體製造業資深副總</span></strong></p> <hr /> <p><strong>當前GAI迅速發展，各廠商爭相提供各式各樣的服務，今日公認最好的Solution，可能數月後有更強大的替代方案，這種情況非常普遍。在這樣的大趨勢下，企業面臨著雙重挑戰：一方面，他們必須時刻保持與潮流同步，避免落後於競爭對手。另一方面，初期投入大量資源後，又擔心技術發展太快速，初期投入技術還未能發揮綜效，就馬上落伍了。</strong></p> <p><strong>面對各種GAI的行銷及社交媒體上的宣傳攻勢，企業不應該隨波逐流，讓這些技術左右我們的步伐。相反地，企業應以自身的核心競爭力為出發點，利用GAI工具提高工作效率，協助解決自己的問題。就像計算機發明數十年了，但，全世界國小學童還是要學數學的四則運算。工具雖然可以幫我們提昇效率，更重要的關鍵是，必須知道如何利用工具來解決我們的問題。</strong></p> <p><strong>所以在導入GAI時，不必期望它能解決所有問題，初期只需要投入很少量的資源進行實驗，找出真正能夠顯著提升效益的工具，等取得一定程度的成效後，再決定是否投入新的資源到下一個應用場景上。關鍵在於保持靈活性，引入GAI工具來提升效率，配合自身的核心競爭力和資源優勢，來創造新的機會。</strong><strong style="color: rgb(105, 105, 105);">── 第一網站研發部副總經理劉勉志</strong></p> <hr /> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;">【挑戰】</span></span> GAI仍是發展中的技術，具有無限的應用可能性，但還有許多不確定性。企業對外服務或對內使用GAI，考驗企業對導入新興科技的治理成熟度。</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">【建議】</span></span> 我認為導入GAI前，是否明確定義使用的目的及預期效益、是否有內外部人力對GAI技術有一定了解及掌握、是否定義達成目標及退場方案等，都會影響導入GAI所帶來的效益及風險。其他包含自動化的正確性、資料品質、資料隱私、智財、以及後續的持續監控應對，都是導入GAI的重要議題。</strong><strong style="color: rgb(105, 105, 105);">── 大型金融平臺資安長</strong></p> <hr /> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">【四大機會】</span></strong></span><strong>1. 提升效率：AI可以自動化許多繁瑣且重複的工作，如數據分析、報告生成等，從而提高企業的工作效率。2. 創新業務模式：AI可以用於開發新的產品或服務，如推薦系統、智能客服等，為企業帶來新的業務機會。3. 優化決策：AI可以透過大數據分析和預測模型，提供更準確的商業決策支持。4. 提升客戶體驗：AI可以在客戶服務、個性化推薦等方面提供更精準的服務，從而提升客戶滿意度和忠誠度。 </strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;">【四大挑戰】</span></strong></span><strong>1. 數據安全與隱私：AI技術的運用可能會涉及大量的數據收集和處理，這將對數據安全和隱私保護提出更高的要求。2. 技術與人才短缺：AI技術的快速發展，需要大量的專業人才來開發和維護，這可能會導致人才供不應求的情況。3. 法規遵循：隨著AI技術的應用越來越廣泛，相關的法規也不斷出爐，企業需要確保其AI應用的合法性。4. 技術整合與適應：對於許多企業來說，將AI技術與現有的IT系統進行整合，以及讓員工適應新的工作模式，也是一大挑戰。</strong><strong style="color: rgb(105, 105, 105);">── 百億營收公司資訊協理</strong></p> <hr /> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">【機會】</span></span> 員工能力提升與知識經驗傳承：1. 將生成式AI視為虛擬助手，靈活運用於各部門的各類不同工作場景中，能有效提升同仁們的能力。2. IT資訊部門應跳脫既有框架，成為企業內同仁們的「數位教練」。3. 以生成式AI為核心的企業KM知識庫，將如同企業的大腦。KM活化與RAG檢索增強生成，是生成式AI於企業的重要應用場景與技術。除了效用與便利性之外，更可以解決企業困擾的問題-人的經驗傳承。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">【挑戰】</span></span> 資安風險評估與管理：企業欲活化與利用數據，同時會面臨機敏資料保護問題，需做好風險評估並準備相應的風險控管機制。</strong><strong style="color: rgb(105, 105, 105);">── 旭榮集團總管理處IT系統專案部資深經理林宗霖</strong></p> <hr /> <p><strong>科技的進步帶來了很多便利，AI工具的發展從簡單的自動識別和OCR辨識等進步到人工智能客服，AI工具運用到重覆工作內容可以減輕員工的作業繁瑣，但AI工具也是個雙向刃享受科技進步的同時，也要思考AI工具帶來的風險，過去已發生多起ChatGPT沒有安全的管控，自動搜尋公司的敏感資料而外洩，未來，公司會跟著AI潮流發展，但在過程中會同步思考AI的風險及應變措施</strong><strong style="color: rgb(105, 105, 105);">── 台灣牙易通資安經理吳紫語</strong></p> <hr /> <p><strong>生成式AI可為企業增加創新應用、提升效率及競爭優勢，亦可改善業務流程提升客戶滿意，在健康醫療領域也可利用加強式檢索，提供更多醫療輔助，改善部分醫療人力短缺及不足的問題。</strong></p> <p><strong>挑戰方面，普遍問題是專業AI人力的短缺，一般企業無法自己雇用專門的AI人才及經費不足以建置地端的運算能力，因此，企業大部分都採用雲端的AI應用，容易衍生資安議題，加上資訊技術整合能力普遍不足也是一個大問題。</strong><strong style="color: rgb(105, 105, 105);">── 國軍高雄總醫院資訊室主任鄭重男</strong></p> <hr /> <p><strong>潮流帶動，讓許多企業主「聽說到」生成式AI與應用是甚麼，讓他們能有些許的概念與認識；加上許多軟體應用爆發，更快速讓他們直接體會並使用到此技術的應用，這遠比用說的、想像的、畫夢式的給他們介紹好太多了。相關應用上能順理成章的順勢推動，是很好的機會！但因百家爭鳴，應用程度與價格相對的非常混亂，要如何從中找到好的！需要的！自然成為潮流中選擇的一大挑戰。</strong><strong style="color: rgb(105, 105, 105);">── 大倉久和大飯店資訊部林峻正</strong></p> <hr /> <p><strong>如何透過法規、資安、保密、倫理與資料只能對內部應用狀況下，如何讓生成式AI透過資料庫資料的訓練，自動生成相關臨床醫護病歷資料，減輕臨床醫護人員負擔。這樣才能有效讓新時代臨床醫護人員投入醫療照護工作，讓臨床醫護人員有更多時間照顧病人。</strong><strong style="color: rgb(105, 105, 105);">── 衛福部彰化醫院醫務行政室主任黃冠凱</strong></p> <hr /> <p><strong>生成式AI技術應用改變了我們使用機器與科技的方式，有很多的題目，可以思考如何透過生成式AI的應用，降低成本甚至激發出更多的創意，將是資訊團隊非常好的機會點。同一時間，現有人員因為重複性的工作被AI取代後，要如何轉型會是另一個挑戰。</strong><strong style="color: rgb(105, 105, 105);">── 全國電子資訊管理處協理黃漢傑</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1191-%E8%AC%9D%E5%AD%94%E8%B6%85-JPG-2.jpg" style="width: 600px;" /></p> <p><strong>資訊單位需要透過生成式AI技術，開始幫助公司各部門思考自己的職務內容，如何做到更升級的工作產出，而公司各單位也需要認知，資訊技術含AI的導入及應用，需要各單位放入年度計畫才能達成業務升級的目標。</strong><strong style="color: rgb(105, 105, 105);">── 全盈支付資訊長鍾明峰</strong></p> <hr /> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">【機會】</span></span> 醫療流程有許多需要參考各資料來源做結論或是統整的作業，應該有機會可以使用生成式AI解決。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">【挑戰】</span></span> 醫療資料多屬機敏資料，去識別化不易，難以使用外部GAI服務</strong><strong style="color: rgb(105, 105, 105);">── 臺大醫院資訊室主任陳權忠</strong></p> <hr /> <p><strong>有效降低員工耗費在影像判讀、病歷記載所花費的時間。員工對資訊系統整合生成式AI功能會有更多期待</strong><strong style="color: rgb(105, 105, 105);">── 大千綜合醫院副院長室資訊副院長林禎裕</strong></p> <hr /> <p><strong>AI的iPhone 時刻，改變工作本質學能，提升普羅大眾善用AI能力，增進創造力與生產力。</strong><strong style="color: rgb(105, 105, 105);">── 玉山證券資訊長郭健男</strong></p> <hr /> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">【機會】</span></span> 過去窒礙難行的想法，透過生成式AI技術會有不一樣的機會實現。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">【挑戰】</span></span> 找尋適用場域落地應用<span style="color:#696969;">── 中菲行國際物流商業智慧科技部總監陳立人</span></strong></p> <hr /> <p><strong>生成式AI若沒妥善使用，可能引發智慧財產權等相關爭議，需要建立處理機制。</strong><strong style="color: rgb(105, 105, 105);">── 阿官國際餐飲集團資訊總監涂榮宗</strong></p> <hr /> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">【機會】</span></span> 節省人力，提升效率。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">【挑戰】</span></span> 隱私保護，內容正確性，人員專業程度下降</strong><strong style="color: rgb(105, 105, 105);">── 臺中榮民總醫院資訊室主任賴來勳</strong></p> <hr /> <p><strong>生成式AI可大幅度減少中小型企業利用和開發AI的門檻</strong><strong style="color: rgb(105, 105, 105);">── 聯新國際醫院數位發展部部長徐偉倫</strong></p> <hr /> <p><strong>GAI提升員工生產力，但也讓資料管理更困難</strong><strong style="color: rgb(105, 105, 105);">── 新光吳火獅紀念醫院資訊部主任林璟淑</strong></p> <hr /> <p><strong>挑戰是如何利用AI導入進行決策</strong><strong style="color: rgb(105, 105, 105);">── 新海瓦斯研展室課長林宗建</strong></p> <hr /> <p><strong>GAI加速數位轉型</strong><strong style="color: rgb(105, 105, 105);">── 南僑集團資訊處資深經理謝永輝</strong></p> <hr /> <p><strong>挑戰是人力、技術</strong><strong style="color: rgb(105, 105, 105);">── 嘉南療養院資訊室主任吳郁</strong></p> <hr /> <p><strong>靜觀其變</strong><strong style="color: rgb(105, 105, 105);">── 禾伸堂企業資訊中心協理郭建中</strong></p> <hr /> <p><strong>GAI六大挑戰，包括了1. 內容自動生成但結果未必正確，符合現在快速彈性化應對的世代，造成了兩難的問題。2. 對於機敏資料無意識上有可能不自覺洩露，而不自知，或許資料很難界定可以或不可以。3. 資安範疇太過於廣闊，資安硬體或軟體成本投入無法即時跟上？4. 企業對於培育專業專職的資安人員有所顧慮，無法真正落實。5. AI要符合一間公司企業與文化，其實需要大量投入時間與成本，但高層希望立即產出有效結果，還要用極低的成本。6. 版權無法有效確認圖像、文字是否無意識盜用</strong><strong style="color: rgb(105, 105, 105);">── 連鎖餐飲品牌資訊主管</strong></p> <hr /> <p><strong>GAI實戰經驗：生成式AI的建置硬體環境成本需用高速運算的伺服器，相對於我們公司所用AI模型環境，成本高出很多。因此，前置的研究投入成本，是入門研究的重要門檻。雖有小型的生成式AI模型，不過經測試效果沒有大型的AI生成式雲端服務好。若要將公司專業知識做為雲端訓練，又有資料外洩的風險。目前維持在小量不具機敏性的資料，進行雲端的驗證測試，確認其可行性，再提出具可行性的計劃預算正式導入生成式AI專家系統。</strong><strong style="color: rgb(105, 105, 105);">── 高科技業資訊兼資安協理</strong></p> <hr /> <p><strong>目前因生成式AI技術具體應用情境，在我們所屬產業尚未有實務運作之實際導入案例可參考，但我相信未來生成式AI技術更趨成熟，帶給企業的機會是可優化及簡化公司所有相關作業流程，提升員工工作效率，及強化上下游廠商客戶關係及服務，我還是非常期待AI應用爆發潮的到來.面臨的挑戰目前可想到的是人才養成與人才短缺問題</strong><strong style="color: rgb(105, 105, 105);">── 百億半導體業資訊處長</strong></p> <hr /> <p><strong>生成式AI可以加速業務看成，改善工作效率，讓提案或創意內容更加容易且輕鬆達成，可大大提升辦公室人員的效率。但AI幻覺與樣本偏差容易造成產出資料正確的不確定性，可能對後續決策造成影響，或得花更多時間來驗證，現階段先用於資料文件的生成</strong><strong style="color: rgb(105, 105, 105);">── 百億製造業資深IT主管</strong></p> <hr /> <p><strong>企業內部快速運用生成式AI於每日各方面的工作中，可節省成本及時間，成為員工的好助手，CIO可以領導收集好的商業應用分享好的案例，尤其用於創造營收為第一優先。挑戰則是，要建立企業內部ChatGPT，得保護公司資料並確保資料正確性及可信度，並持續改進</strong><strong style="color: rgb(105, 105, 105);">── 大型藥廠IT主管</strong></p> <hr /> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">【機會】</span></span> 使用者及公司高層具備AI概念，卻又模糊。有想法不一定成熟，對於商業應用層面得以擴大，若願意投入資源，可以得到相對的報酬。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">【挑戰】</span></span> 技術人員經驗不足，大家都在摸索。技術與實務結合需要時間驗證，需要大量投入資源，產生大企業有AI更強，中小型企業挑戰更大。</strong><strong style="color: rgb(105, 105, 105);">── 老牌營造業資訊部主管</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1191-%E9%8A%80%E8%A1%8C%E8%B3%87%E5%AE%89%E9%95%B7-JPG.jpg" style="width: 600px;" /></p> <p><strong>在政府部門有較多的資料與文件不適合對外開放，行政院已公佈GAI的使用指引，政府部門也將依該使用指引方式，使用GAI相關應用，所以對CIO會需要更多客製化的GAI服務，不對外公開或私有雲的部分連接ChatGPT，這才是後續GAI最大量服務</strong><strong style="color: rgb(105, 105, 105);">── 政府機關IT主管</strong></p> <hr /> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">【機會】</span></span> 企業內知識分享應用，增加生產力，可用生成式AI快速應對與處理資安事件。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">【挑戰】</span></span> 設計、設定、權限管理不當造成資料外洩（包含內與外部），駭客對AI系統本身的攻擊，駭客也能以生成式AI快速發展自動生成詐騙和攻擊工具</strong><strong style="color: rgb(105, 105, 105);">── 上市公司集團資安長</strong></p> <hr /> <p><strong>身為金融業，在主管機關的要求及公司預算下，因為產業特性，需要比較多的時間才能將生成式AI技術應用於客戶所需的服務上。但是像程式撰寫的輔助如GitHub Copilot，本公司將會先行導入，觀察其帶來的成效</strong><strong style="color: rgb(105, 105, 105);">── 金融科技公司技術副總</strong></p> <hr /> <p><strong>學習新AI工具，尚不知道應用的C/P值如何。如同每一段時間的新技術，實際運用上是否適合中小企業的環境。生成式AI是資訊安全的挑戰，不管是生成式AI造成的資訊外洩，生成式AI對協助惡意程式碼產生都降低了網路攻擊的門檻。</strong><strong style="color: rgb(105, 105, 105);">── 金屬製造業IT課長</strong></p> <hr /> <p><strong>產品生命周期循環越來越快，資訊工具輔以產品開發，如何運用資訊工具的優勢，帶入公司的產品開發是必然趨勢，資訊人員學海無涯，將不再局限於資訊工程上，而得延伸至多面向的商品產品開發，提升自我能力增加自身附加價值在所必然。</strong><strong style="color: rgb(105, 105, 105);">── 一般製造業IT副理</strong></p> <hr /> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">【機會】</span></span> GenAI用在資安維運如Threat Hunting或Log分析、事件應變等，加速人員處理效率。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">【挑戰】</span></span> 目前已有WormGPT、FraudGPT等服務，攻擊者可能應用類似此類服務加速攻擊速度與成功率</strong><strong style="color: rgb(105, 105, 105);">── 金控資安長</strong></p> <hr /> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">【挑戰】</span></span> 1. 如何分辨出哪些業務適用性最高，而非一味盲從跟隨風潮，要能有說服力地與提出需求的各業務單位溝通。2. 在不洩漏公司機敏資料的前提下，如何適當應用來提升工作效率層面。</strong><strong style="color: rgb(105, 105, 105);">── 傳統製造業IT</strong></p> <hr /> <p><strong>尚在觀望，以傳統產業來說，實際應用層面還是未知數，畢竟1. 客戶數據樣本不夠多。2. 應用層面尚未有明朗的方向。3. 傳統產業業主對於資訊的投資相對較少，皆以維穩為主。</strong><strong style="color: rgb(105, 105, 105);">── 飯店業資訊主管</strong></p> <hr /> <p><strong>在良好的資料準備與提示工程下，可快速發展出高品質的醫療服務產品，GAI降低資訊門檻，讓一般非資訊人員都可能規劃與開發許多資訊需求。小規模的企業都可能發展出有特色的服務。</strong><strong style="color: rgb(105, 105, 105);">── 私立醫院資訊室主任</strong></p> <hr /> <p><strong>生成式AI技術應用要看產業是否有應用場域或環境。中長期，生成式AI勢不可擋。應用於企業環境目前僅限於測試環境，中小企業還是觀望的態度。</strong><strong style="color: rgb(105, 105, 105);">── 3C零售業資訊經理</strong></p> <hr /> <p><strong>1. 資安疑慮與成本高。2. 似乎可以提高個人工作績效，但難以評估。3. 較少有企業方案，或需要高額成本建置企業專屬方案，個人認為GAI 還需要時間</strong><strong style="color: rgb(105, 105, 105);">── 老牌製造業協理</strong></p> <p><a href="https://www.ithome.com.tw/article/164044" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1191-gaifeng_mian_p1_open-960x420_gong_zuo_qu_yu_1_0.jpg?itok=DlvpmSwQ" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/7/23 10:43未署名https://www.ithome.com.tw/news/164029
【iThome 2024 CIO大調查系列4｜GAI趨勢】93位CIO與CISO如何因應生成式AI挑戰（下）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>大型企業今年掀起了一股AI創新競賽，尤其是感受到GAI衝擊越迫切的企業，越想用AI來創新產品或強化分析決策。如何找出GAI機會，克服種種背後的挑戰。93位來自六大產業的資訊主管和資安主管，分享了他們看到的GAI機會與挑戰。</strong></span></span></p> <p><strong>在良好的資料準備與提示工程下，可快速發展出高品質的醫療服務產品，GAI降低資訊門檻，讓一般非資訊人員都可能規劃與開發許多資訊需求。小規模的企業都可能發展出有特色的服務。<span style="color:#696969;">── 私立醫院資訊室主任</span></strong></p> <hr /> <p><strong>目前大部分利用GPT進行文件的處理，或程式的輔助撰寫，目前尚未有實際進一步作法，如果有實際的方向以及用途，應可以正式導入企業用的AI系統，目前應該尚未有明確的方向。<span style="color:#696969;">── 精密加工業資訊課長</span></strong></p> <hr /> <p><strong>挑戰即是機會，CIO應把握機會，考量資安風險可承受或管理的前提上，主動規劃資源，發掘生成式AI於企業中各部門業務流程中，可能的創新或改善機會。<span style="color:#696969;">── 高科技集團CIO兼CISO</span></strong></p> <hr /> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;">【挑戰】</span></span> 1. 增進研發及縮短生成時間。2. 客服及行銷上的模式改變。3. 改變工作方式及更多增進員工生產力的醒。4. 技術上的精進及跟隨。5. 資料治理。<span style="color:#696969;">── 百億高科技業IT主管</span></strong></p> <hr /> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">【機會】</span></span> 可大幅降低低階、重複的工作，增進公司營運效率。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">【挑戰】</span></span> 百家爭鳴，發展與技術眾多難以選擇。投資成本高，一不小心就可能落後競爭對手。<span style="color:#696969;">── 大型上市公司資訊長兼資安長</span></strong></p> <hr /> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">【機會】</span></span> 1. 創新與自動化。2. 數據分析，讓數位轉型更有效率。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">【挑戰】</span></span> 1. 資安議題。2. 內容準確性與偏見。3. 技術整合與管理。4. 人才短缺。<span style="color:#696969;">── 半導體製造資深IT部經理</span></strong></p> <hr /> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">【機會】</span></span> 可透過AI增加員工價值，減少人力需求，</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">【挑戰】</span></span> AI運算的正確性，以及衍生出的資安法遵與個資保護議題，目前亦很難評估其ROI。<span style="color:#696969;">── 保險公司資訊處長</span></strong></p> <hr /> <p><strong>思考方式與邏輯的改變；加強員工因使用AI產生的資料更多觀察與確認；某種可能，AI可帶給企業加快往前的危機感。<span style="color:#696969;">── 光電業資訊長</span></strong></p> <hr /> <p><strong>生成式AI技術和應用爆發潮可提高IT開發、作業的效率，以及對主流科技進入門檻，但也增加IT管理的難度及複雜度。<span style="color:#696969;">── 銀行IT資深協理</span></strong></p> <hr /> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">【機會】</span></span> 運用新科技加速數位轉型，留住人才。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">【挑戰】</span></span> 兼顧資安防護與新科技應用，迎接新技術對資訊服務衝擊。<span style="color:#696969;">── 證券業資訊副總</span></strong></p> <hr /> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">【機會】</span></span> 創新思考與加速內部作業。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">【挑戰】</span></span> 現有人員與基礎建設對GAI資安應對不足，恐造無法應對的資安破口。<span style="color:#696969;">── 能源業資訊副理</span></strong></p> <hr /> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">【機會】</span></span> 傳統作業流程有機會產生戲劇性改變。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">【挑戰】</span></span> 資訊部門須提供的技術、軟硬體設備服務難迅速跟上腳步。<span style="color:#696969;">── 營建業資訊協理</span></strong></p> <hr /> <p><strong>運用AI分析大量訊息，提前偵測攻擊行為，降低損失。運用GAI技術，突破人的邏輯思考方式，突破創新。<span style="color:#696969;">── 消費性電子業CIO</span></strong></p> <hr /> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">【機會】</span></span> 創新服務與提高自動化效率，改善互動與決策支援。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">【挑戰】</span></span> 安全，風險，法規，人才。<span style="color:#696969;">── 電腦系統製造業IT副總</span></strong></p> <hr /> <p><strong>生成式AI技術和應用爆發潮，將為企業帶來更多的可能性，但運用的適當與否，將擴大公司間競爭差距。<span style="color:#696969;">── 服務業集團資安長</span></strong></p> <hr /> <p><strong>生成式AI結合聊天機器人比較適用於與消費者密切接觸之行業，但傳統製造業還看不出重量級應用。<span style="color:#696969;">── 百億製造業資訊部長</span></strong></p> <hr /> <p><strong>如何儘快讓員工熟悉使用GAI來提高生產力，將是機會，也是挑戰。<span style="color:#696969;">── 運輸交通業IT副總</span></strong></p> <hr /> <p><strong>企業文化調適，傳統重視ROI的IT專案，需要一定程度的調整，允許一定程度的試驗性質。<span style="color:#696969;">── 醫藥業資訊部經理</span></strong></p> <hr /> <p><strong>引進生成式AI提升員工生產力與溝通品質，挑戰是難以衡量ROI和AI治理的難度提高。<span style="color:#696969;">── 高科技製造業IT</span></strong></p> <hr /> <p><strong>對於程式開發生產力、內部流程效率優化、客戶服務流程優化，都有很大幫助。<span style="color:#696969;">── 運輸交通業資訊處主管</span></strong></p> <p class="rtecenter"><strong><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1191-%E9%BB%83%E8%8E%89%E9%9B%AF-JPG.jpg" style="width: 600px;" /></span></strong></p> <p><strong>GAI輔助企業設計開發是未來可期的，但企業運用時須特別留意資料保護的議題。<span style="color:#696969;">── 化工業資訊部經理</span></strong></p> <hr /> <p><strong>企業規模發展較為落後者，可藉由生成式AI一口氣追平或超越AI轉型較慢的組織。<span style="color:#696969;">── 大學圖資長</span></strong></p> <hr /> <p><strong>GAI新的技術需要學習，專案很多，時間不足以學習。缺少時間與有系統的學習。<span style="color:#696969;">── 電子業資訊系統主管</span></strong></p> <hr /> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">【機會】</span></span> 新的應用、運用，和新的獲利來源。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">【挑戰】</span></span> 叫好不叫座，獲利數字未知。<span style="color:#696969;">── 老牌SI公司處長</span></strong></p> <hr /> <p><strong>熟練工具創造生產力的契機來臨，有效資料的訓練與機敏資料外流將是挑戰。<span style="color:#696969;">── 通訊製造商資深總監</span></strong></p> <hr /> <p><strong>期待又怕受傷害，GAI可以輔助業務場景應用也可能造成不可預期的損傷。<span style="color:#696969;">── 銀行資訊協理</span></strong></p> <hr /> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">【機會】</span></span> 創新資訊服務品質提升。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">【挑戰】</span></span> 跨領域、跨平臺的資安管理複雜。<span style="color:#696969;">── 醫院副院長</span></strong></p> <hr /> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">【機會】</span></span> 員工作業效率的增加。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">【挑戰】</span></span> 商業機密外洩及誤用生成式資料。<span style="color:#696969;">── 公股銀行資訊協理</span></strong></p> <hr /> <p><strong>提高員工生產力的機會，如何導入真正具有生產力的AI應用之挑戰。<span style="color:#696969;">── 食品業IT經理</span></strong></p> <hr /> <p><strong>辦公型態的轉變，如何有效運用 AI的資料，幫助生產力的提升。<span style="color:#696969;">── 塑膠製造業資訊經理</span></strong></p> <hr /> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">【機會】</span></span> 提高生產力及創造力。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">【挑戰】</span></span> 資安風險及產生資訊雷同。<span style="color:#696969;">── 電腦製造業資訊副總</span></strong></p> <hr /> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">【機會】</span></span> 剛起步，創新者機會大。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">【挑戰】</span></span> 法規限制。<span style="color:#696969;">── 證券資訊協理</span></strong></p> <hr /> <p><strong>工作上帶來更多創新，相對不同以往的各種資安風險須評估！<span style="color:#696969;">── 餐飲集團資訊經理</span></strong></p> <hr /> <p><strong>若能應用在產品的管理或者預測可能問題，會有很大幫助。<span style="color:#696969;">── 半導體製造IT主管</span></strong></p> <hr /> <p><strong>應用以及資訊技術學習、硬體架構調整；預算及費用提高。<span style="color:#696969;">── 上櫃製造業資訊經理</span></strong></p> <hr /> <p><strong>現行工作流程如何和GAI協同合作的新工作型態的磨合。<span style="color:#696969;">── 醫學中心資訊主管</span></strong></p> <hr /> <p><strong>水能載舟亦能覆舟，充分了解GAI，正面看待！<span style="color:#696969;">── 電子製造業資訊副總</span></strong></p> <hr /> <p><strong>可提高生產力但更多的雲端應用資安風險隨之增加。<span style="color:#696969;">── 紡織業IT經理</span></strong></p> <hr /> <p><strong>資訊取得及應用、商機開拓、渠道選擇的多樣化。<span style="color:#696969;">── 紡織業電腦主管</span></strong></p> <hr /> <p><strong>無限創新機會，投資相對是否合乎預期目標與效益。<span style="color:#696969;">── 電腦週邊製造業資訊主管</span></strong></p> <hr /> <p><strong>有效運用GAI提升效率及大數據分析找商機。<span style="color:#696969;">── 電子零組件銷售商IT兼資安主管</span></strong></p> <hr /> <p><strong>加強效率及自動偵錯，但是需要人為介入把關。<span style="color:#696969;">── 醫院資安長</span></strong></p> <hr /> <p><strong>公司沒有跟上時代腳步，就可能被市場所淘汰。<span style="color:#696969;">── 機械製造業資訊經理</span></strong></p> <hr /> <p><strong>AI帶來企業數位轉型及提升作業效率。<span style="color:#696969;">── 網通製造商資訊經理</span></strong></p> <hr /> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">【機會】</span></span> 彎道超車。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">【挑戰】</span></span> 個資外洩。<span style="color:#696969;">── 外商銀行資安長</span></strong></p> <hr /> <p><strong>加速企業數位轉型、資安威脅增加。<span style="color:#696969;">── 電子製造業資訊部課長</span></strong></p> <hr /> <p><strong>新一代工業革命。<span style="color:#696969;">── 大型醫院資訊室主任</span></strong></p> <p><a href="https://www.ithome.com.tw/article/164044" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1191-gaifeng_mian_p1_open-960x420_gong_zuo_qu_yu_1_0.jpg?itok=DlvpmSwQ" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/7/23 10:44未署名https://www.ithome.com.tw/news/164031
【iThome 2024 CIO大調查系列4】CIO的GAI挑戰
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1191-gaifeng_mian_p1_open-960x420_gong_zuo_qu_yu_1_0.jpg?itok=DlvpmSwQ" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI的成熟，帶來了企業成長和突破的契機，超過4成CIO，將「AI創新」定為2024年度目標，近3成企業展開驗證尋找各種可能性，3成企業正在計畫準備跟進。企業IT戰略如何調整？風險控管如何因應？93位資訊與資安主管的看法與對策，422家企業的採用策略和布局，揭露了臺灣企業第一線的GAI實戰經驗</p> </div></div></div>
2024/7/23 10:44作者王宏仁https://www.ithome.com.tw/article/164044
企業可以跟蘋果學怎麼用GAI
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI對企業帶來的第一個價值，不是GAI技術本身，而是這股浪潮帶動的企業AI創新潮。</p> <p>雖然人人都感受到這股延燒全球的ChatGPT熱潮，但從企業實務角度，體會到的GAI衝擊急迫感卻不盡相同，從我們今年CIO大調查可以看到，高達5成企業認為，GAI最快一年，最慢三年才會對他們產生重大衝擊，但也有1成6的企業擔心，GAI今年（或現在已經發生）就會帶來重大改變。這股GAI衝擊急迫感的落差，也讓企業CIO今年被賦予的目標，有很大的不同。</p> <p>對今年預期有重大改變的臺灣GAI首批衝擊企業來說，高達6成CIO將AI創新產品和服務、AI強化分析和決策列為2024年度目標，遠高於整體產業的4成，也更看重與AI創新相關的目標，例如資料治理優先度就高於數位轉型，資料驅動決策目標也高於強化數位韌性和ESG企業永續。數位轉型、數位韌性、企業永續這都是去年CIO年度目標優先度較高者，但對GAI衝擊感越迫切的產業，AI創新的優先度越高，甚至一舉超越了CIO過往的目標。</p> <p>生成結果的不確定性是GAI技術特性，這正是可以促進創新的原因，也因此難以找出一套通吃各產業、各場景的成功方程式，企業得自己不斷嘗試、模索，試驗出適合自己的GAI應用方式。所以，從調查中也可以看到，臺灣人大多數企業仍處於GAI導入和試驗階段，各產業都是如此，尤其積極採用的金融業、醫療和政府學校，高達5成金融業者，4成醫院和政府機關都在嘗試中。</p> <p>如何用可控的成本，更有效率的方式，嘗試更多種場景，找出性價比夠高的應用，這是企業AI創新潮的關鍵課題。</p> <p>最近，我剛想完「<a href="https://www.ithome.com.tw/article/163905" target="_blank"><span style="color:#3366ff;">蘋果私有AI戰略大剖析</span></a><span style="color:#3366ff;">」</span>封面報導，從CIO大調查中看到臺灣企業所面臨的這個GAI挑戰，不禁讓我轉念一想，蘋果這套AI戰略的目的，就是為了用GAI來創新產品，而企業的需求不是也是如此，要用GAI來強化自家系統、服務，甚至是產品。企業似乎可以從蘋果私有AI戰略中借鏡一二。</p> <p>蘋果新AI戰略的核心是私有雲地混合架構，以裝置端LLM為主，算力不足時，才改用「安全可控」的雲端LLM來接手。這都還符合企業想要自己掌控GAI的期待。這也是不少企業，確定在自家機房自建LLM模型服務的原因。從我們今年調查可以看到，約有9.5%的企業想用開源LLM自行訓練，就是想放在自家機房中，降低資料上公雲的外洩風險。</p> <p>可是，要滿足企業不同場景的生成需求，就得訓練或微調一套超強（參數量越高越好）的LLM，或是很多不同用途的專用LLM，不管哪一種作法的成本都很高。</p> <p>但是，蘋果對於裝置端LLM採取了一個相當值得企業參考的架構，來兼顧不同應用場景的「專門需求」，又能降低需要經常訓練或微調龐大參數LLM的代價，這個架構就是LoRA架構。這不是蘋果的發明，而是微軟在2021年發表的LLM優化架構，可以大幅減少微調LLM模型的參數量。</p> <p>LoRA架構的作法是，進行LLM模型微調時，改搭配一個參數量小很多的模型，稱為轉接模型（Adapters）來計算，只需將訓練資料用於微調這個轉接模型，就能達到媲美直接微調大型語言模型的推論效果。</p> <p>根據微軟在LoRA論文中的比較，微調1,750億參數的GPT-3模型，改用LoRA架構後所用的算力，相當於1,750萬參數的訓練量，減少了1萬倍，也只需要三分之一個GPU記憶體。</p> <p>蘋果使用他們開源的LLM模型，以30億參數大小，搭配LoRA架構訓練出來的轉接模型，只有數十MB大小，遠低於整套LLM。像蘋果的文字生成LLM就微調出了摘要模型，校對模型、郵件回覆模型、查詢處理模型、友善回應模型、緊急回應模型等不同用途的轉接模型。</p> <p>蘋果看上LoRA架構的原因，不只是可以省錢，還因為轉接模型可以像是「外掛」一樣快速切換，換了另一個用途的轉接模型，這個LLM就可以具有不一樣的功能，還可以疊加，組合好幾個轉接模型，就能讓LLM模型擅長這幾種轉接模型的能力。只有數十MB大小的轉接模型，可以靠記憶體快取，快速切換，靠同一套LLM，可以針對不同場景，切換轉接模型，來支援不同的應用需求。</p> <p>用專業相機鏡頭來比喻LLM模型，轉接模型就像是鏡頭的濾鏡，不用每次都切換笨重的鏡頭，單靠快速更換輕薄的濾鏡，就能拍出不同風格特效的照片，一個鏡頭還能搭配多個濾鏡，來呈現複合的效果。這個應用模式是蘋果採取LoRA架構的另一個關鍵，一套LLM，但是可以搭配各種輕薄、切換容易、可外掛的轉接模型。</p> <p>蘋果已經開源釋出了他們在裝置端的模型，等於企業也可以訓練自己的轉接模型，來搭配iPhone內建的LLM，第三方業者更可以開發各種用途的客製化轉接模型，就像各種用途的外掛模組一樣。我大膽推測，說不定蘋果還會推出轉接模型的市集，讓這些自製模型可以交易。</p> <p>蘋果用LoRA架構，所實現的裝置端LLM作法，一套LLM搭配多種轉接模型提供不同應用需求。回到企業角度來看，企業不也正是需要用最低的成本，反覆訓練不同場景需要的客製化模型，來測試各種GAI應用的可能性。企業可以參考蘋果這套LoRA架構的運用策略，降低反覆微調LLM、迭代AI創新的成本，企業的確可以向蘋果學，借鏡他們善用GAI背後的思考策略。</p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span></p> <p> </p> <p><a href="https://www.ithome.com.tw/article/163905" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1190-feng_mian_-p1_open-dou_zi_-960x420_kao_bei_0.jpg?itok=A_EvkwjZ" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/%E8%98%8B%E6%9E%9C">蘋果</a></div><div class="field-item even"><a href="/tags/apple-intelligence">Apple Intelligence</a></div><div class="field-item odd"><a href="/tags/private-cloud-compute">Private Cloud Compute</a></div><div class="field-item even"><a href="/tags/%E7%A7%81%E6%9C%89ai">私有AI</a></div><div class="field-item odd"><a href="/tags/lora">LoRa</a></div><div class="field-item even"><a href="/tags/%E8%BD%89%E6%8E%A5%E6%A8%A1%E5%9E%8B">轉接模型</a></div><div class="field-item odd"><a href="/tags/adapters">Adapters</a></div><div class="field-item even"><a href="/tags/ai%E4%BB%A3%E7%90%86">AI代理</a></div><div class="field-item odd"><a href="/tags/ithome-2024-cio%E5%A4%A7%E8%AA%BF%E6%9F%A5">iThome 2024 CIO大調查</a></div><div class="field-item even"><a href="/tags/cio%E5%A4%A7%E8%AA%BF%E6%9F%A5">CIO大調查</a></div><div class="field-item odd"><a href="/tags/gai">GAI</a></div></div></div>
2024/7/23 11:12作者王宏仁https://www.ithome.com.tw/voice/164041
以色列駭客工具40分鐘破解川普刺客的Android手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2024-07-18/fbi-used-new-cellebrite-software-to-access-trump-shooter-s-phone" target="_blank">彭博報導</a>，聯邦調查局（FBI）在一家以色列業者提供的工具協助下，40分鐘就破解而得以存取本月攻擊美國總統候選人川普的刺客所持有的新款Android手機。</p> <p>本月13日川普在賓州一座農場公開造勢發表演說時，遭到賓州男子Thomas Matthew Crooks企圖行刺。川普僅右耳受傷，而刺客隨後遭到狙擊手擊斃。美國聯邦調查局（FBI）取得Crooks的手機以調查行刺原因及是否有共犯，事件隔日還無法存取手機，但第二天FBI就宣布成功存取其中內容，但對於如何破解手機鎖定及刺客使用的手機品牌，FBI皆未說明。</p> <p>彭博上周引述消息人士報導，FBI是在以色列業者Cellebrite協助下，以一款「開發中、尚未公布」的產品破解「較新款」的三星手機，而且僅花了40分鐘。</p> <p>以色列公司Cellebrite提供的破解工具，主要銷售給各國政府或警方作為辦案蒐證之用。2016年FBI為了偵辦一宗槍擊案要求蘋果協助解鎖已死嫌犯的iPhone手機，遭到蘋果拒絕，雙方並曾對簿公堂。最後<a href="https://www.ithome.com.tw/news/111649" target="_blank">FBI尋求</a>第三方業者協助破解iOS的加密防護。這家公司據傳即為Cellebrite。</p> <p>這類工具和安全軟體之間存在技術競賽。Cellebrite 2018年還曾打廣告<a href="https://www.ithome.com.tw/news/121536" target="_blank">宣稱</a>可破解iOS 11。但根據<a href="https://www.404media.co/leaked-docs-show-what-phones-cellebrite-can-and-cant-unlock/" target="_blank">404Media</a>取得Cellebrite今年4月份的技術文件報導，該公司目前尚無法破解iOS 17.4以後版本，以及執行iOS 17.1到17.3.1的iPhone，但iPhone XR及11則已經可以破解，也即將可以破解iPhone 12。</p> <p>報導指出，該份技術文件列出了多款可以被破解的Android版本及手機，除了某些Google Pixel手機之外。</p> </div></div></div>
2024/7/23 10:05作者林妍溱https://www.ithome.com.tw/news/164064
盤點臺灣企業因CrowdStrike產品更新造成電腦當機的災情
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>臺灣時間7月19日傳出微軟雲端服務大當機，經查是資安公司CrowdStrike更新EDR時出包，造成安裝微軟作業系統的電腦，出現藍色當機畫面（blue-screen-of-death，BSOD）的狀態。</p> <p>微軟企業及作業系統安全副總裁David Weston在<strong><a href="https://blogs.microsoft.com/blog/2024/07/20/helping-our-customers-through-the-crowdstrike-outage/">官方部落格</a></strong>文章中提到，此次受到CrowdStrike更新影響的設備，估計高達850萬臺微軟設備，並不到所有微軟電腦的百分之一。</p> <p>而臺灣有多少企業受到波及，並沒有任何官方數據可以提供。因此，iThome私下訪問臺灣企業資安長和資服業者，希望可以勾勒出，臺灣不同產業在這一波CrowdStrike引發藍色當機畫面的災情現況。</p> <p>事實上，此次CrowdStrike引發藍色當機當機的受駭產業範圍甚廣，包括金融業、資服業、傳統製造和高科技製造業者等，都陸續傳出受駭災情；此外，根據其他媒體報導，其他像是臺灣有航空業者，也是此次災情的受害者。</p> <p>金融業者因為開放雲端服務較晚，便有金融業者表示，該公司剛好在進行CrowdStrike的POC（概念驗證），因此災情發生後，選擇暫停POC；另外，則有一家資服業者災情慘重，該公司有三千多臺個人電腦，全部都出現藍畫面的當機狀態。</p> <p><strong>金融業者暫停CrowdStrike的POC，有部分受害電腦同時安裝M365</strong></p> <p>金融業在2023年，金管會二度開放上雲的規定後，金融業才陸續採用雲端服務、加速上雲的腳步。</p> <p>此次CrowdStrike因為EDR更新程式出包，造成使用者電腦出現電腦當機的藍畫面，匿名的金融業資安長表示，該公司這段時間正好在進行CrowdStrike的POC（概念驗證），當公司電腦在7月19日下午出現藍畫面的當機狀態後，除了要求同仁立即處理，手動進入安全模式、也手動移除代理程式CSAgent.sys後，再重新開機，他說：「該公司雖然因為CrowdStrike還在POC中，沒有造成公司營運上的損害，因為此一事件，立即暫停CrowdStrike的POC測試。」</p> <p>另外，也有金融業資訊部門同仁私下表示，該公司在7月19日下午發現資訊部門電腦出現藍色當機畫面，她發現，該公司出現藍色當機畫面的電腦，同時安裝微軟M365以及安裝CrowdStrike的EDR軟體。</p> <p>她表示，該公司當機電腦復原的狀況不一，有聯繫代理商針對CrowdStrike的EDR軟體進行遠端降版，但這時候的電腦需要處於開機狀態。她很幸運，手動進入安全模式、移除代理程式CSAgent.sys後，電腦重新開機一次就恢復正常使用，但她觀察到，還有不少資訊部同仁的電腦，從下午二點一直重複發生開機後，就出現藍色當機畫面的狀況，一直到下午五點多都還無法正常使用。</p> <p>雖然該金融業者發現，該公司出現藍色當機畫面的電腦，是同時安裝微軟M365和CrowdStrike的EDR軟體，一剛開始以為，出現藍色當機畫面是必須同時安裝微軟M365和CrowdStrike的EDR軟體才會發生當機。</p> <p>但有匿名高科技製造業資安長表示，該公司訂閱SOCRadar平臺的情資中，雖然有一份文件是有特別提到藍色當機畫面與M365的關係，不過，綜整其他受害電腦的情資，多數出現藍色當機畫面的電腦，並沒有安裝微軟M365。</p> <p><strong>高科技製造業用來保護關鍵系統，交易資料不一致改人工作業補救</strong></p> <p>有某大型高科技製造業者此次受駭範圍甚廣，連該公司總經理都緊盯資安部門處理進度。該公司資安主管甚至表示：「勒索軟體都沒有辦法做到的事情（公司電腦大規模當機），CrowdStrike辦到了。」</p> <p>匿名高科技業資安長表示，該公司有十八臺電腦受到影響，但這些受害電腦都是該公司關鍵應用的主機，當初因為這些主機很重要，所以才特別安裝CrowdStrike的EDR軟體做保護，沒想到，反而是提供防護的資安業者本身，造成電腦出現當機的情況。他說：「還好部門同仁在第一時間做緊急處置，否則造成的影響比駭客入侵還巨大。」</p> <p>不過，該匿名高科技資安長也發現，他們將CrowdStrike的EDR軟體部署在關鍵應用的Windows 伺服器和Linux伺服器，而CrowdStrike的CS Falcon Sensor 都是啟動（Active），並不是所有Windows伺服器都出現藍色當機畫面，令人費解。</p> <p>另外，登豐數位總經理黃建笙（方丈）也接獲一些受害業者的技術諮詢，就他觀察到的受害案例中，就有一家全面導入CrowdStrike產品的高科技製造業者，安裝CrowdStrike的EDR軟體的伺服器，全部出現藍色當機畫面。</p> <p>黃建笙（方丈）表示，該業者進行緊急處理後，發生了資料庫被Dirty shutdown（髒卸載）的情況，造成BOM表的交易記錄檔損壞、無法掛載。他也解釋，所謂的髒卸載就是資料庫被連續未預期的重新開機，但當時生產線還在生產，所以造成資料掛載的交易記錄被迫中斷，而又重新連上主機時，卻發現連不上，顯示為Dirty shutdown。</p> <p>因為生產線現場還在持續生產中，而該高科技製造業者為了要確保交易資料的正確性，在進行髒卸載資料庫進行一致性驗證，而系統估計需要花三天多的時間才能夠完成。</p> <p>黃建笙（方丈）指出，一般而言，除非確定放棄資料庫的交易資料，才會直接捨棄特定時間以後的資料。而該高科技製造業者在7月19日晚上八點多時，做了一個重要決定，就是要捨棄生產線上所有製程，把原先所有生產表單直接棄置後，再重新輸入，資料庫也直接捨棄有問題的交易記錄。他說，該公司先盤點完已經生產完成的批號，且經過人工比對無誤後，再重新進單生產，並於當日晚上十點多，恢復生產線的產能運作，而產線上棄置產品共計十四條生產線。</p> <p><strong>因為CrowdStrike災情，造成存放AD伺服器的BitLocker無法存取</strong></p> <p>不過，黃建笙（方丈）提供技術諮詢的業者中，有遇到一起拯救難度較高的企業案例，這也是許多企業容易忽略的角度。</p> <p>他表示，這也是一家高科技製造業者，全公司全面導入CrowdStrike的EDR軟體以及微軟的裝置加密功能BitLocker，並且採用地端解決方案，由AD（目錄服務）伺服器作為儲存BitLocker加密金鑰（Key）的區域。</p> <p>該公司的AD伺服器以及用戶端電腦，都因為CrowdStrike的EDR軟體錯誤更新而導致無法正常開機，AD伺服器也因為複寫異常，造成AD伺服器透過更名程序回復系統後，造成母子網域複寫異常。</p> <p>其中，主網域中具有完整資料庫功能、可以讓使用者和應用程式在AD網域樹狀目錄中尋找物件並指定物標物件一個或多個屬性的GC（Global Catalog，全域編錄）主機損壞，另外一臺GC主機則存放於虛擬機，底層作業系統也因為該次事件造成開啟異常、無法正常啟動，全公司電腦均無法正常開機。</p> <p>黃建笙（方丈）指出，GC可以正常運作，才能完整保留系統中該存放的東西，而該企業的GC主機都無法正常運作，等同時該公司AD網域中，沒有人有完整的資料庫，而該公司兩臺GC主機都已損毀且BitLocker的加密金鑰也沒有備份。</p> <p>所幸，有部份員工曾以公司M365帳號登入本機，也在公司的電腦中存取過私人MSN、hotmail，幸運的在Windows Account的裝置金鑰中找到復原金鑰，才成功的讓BitLocker在開機程序中，順利取回復原金鑰並復原成功。</p> <p>另外，該高科技製造業者也常是從主機備份進行還原，但Veeam備份及備援主機也受到此次災情影響，被BitLocker鎖定、無法進行復原；還好，該公司有使用Azure site recovery的服務，就改將備份資料從微軟Azure雲端落地回到企業內後，再進行主機系統還原。</p> <p>該公司確定7月22日上班日，已經將BitLocker的加密金鑰找回來了。不過，但黃建笙（方丈）也坦言，該起事件對該公司伺服端及用戶端的衝擊，目前難以估計。</p> <p><strong>傳統製造業出現藍色當機畫面，關鍵錯誤來自CSAgent.sys</strong></p> <p>有一家規模較小的傳統製造業在7月19日下午一點十七分的時候，第一時間向黃建笙（方丈）反應，該公司Hyper-V虛擬機和其主要的伺服器全部出現藍色當機畫面、無法正常運作，請求支援。</p> <p>黃建笙（方丈）說，剛開始立刻協助客戶以還原點的方式進行系統復原，但在操作過程中，先嘗試以修復開機區的方式進行，但該客戶反應無效。後經確認後才發現，重開機的關鍵錯誤來自於CSAgent.sys，才確認該公司出現的藍色當機畫面，是因為CrowdStrike造成的。</p> <p>後來黃建笙（方丈）則提供進入安全模式後，將CSAgent.sys更名後再開機，順利恢復公司系統正常運作。</p> <p><strong>資服業者三千臺電腦，耗時三天進行手動系統復原</strong></p> <p>另外，有一家資服業者全公司有三千多臺電腦，因為不斷出現藍色當機畫面，該公司的資安人員只能協同其他IT部門同仁，一起透過按F8按鍵進入電腦的安全模式後，才能進行CSAgent.sys更新名稱後再重啟的作業，一直到7月19日下午四點時，CrowdStrike釋出更新後才開始全面緩解。</p> <p>不過，因為該資服業者有三千多臺電腦，總計花了三天時間，才逐步手動完成電腦復原的作業。</p> <p> </p> <p> </p> <p> </p> <p> </p> <p> </p> <p> </p> <p> </p> <p> </p> </div></div></div>
2024/7/22 19:59作者黃彥棻https://www.ithome.com.tw/news/164062
【資安日報】7月22日，資安業者CrowdStrike更新事故衝擊規模初步統計出爐，至少影響850萬臺電腦、67萬企業…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週五臺灣時間下午約一點開始，全球各地傳出因EDR系統CrowdStrike Falcon更新造成藍色當機（BSoD）的情況，該資安業者雖然後續公開對社會大眾說明這起事故僅影響Windows用戶，卻並未透露有多少用戶的電腦因此當機。不過，他們也警告有人利用這起事故為誘餌，從事網路攻擊的現象。</p> <p>雖然這起事故發生在週末，但後續效應仍在發酵。有資安業者估計有67.4萬企業用戶可能受到影響，稍早微軟曾公布至少有850萬臺電腦受到影響的數據，全球損害情形仍有待進一步追蹤。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164040"><strong style="font-size: 22px;">上週CrowdStrike更新造成大量Windows電腦無法運作的資安事故，微軟估計有850萬臺Windows電腦受到影響</strong></a></p> <p>資安業者CrowdStrike在世界協調時間（UTC）上周五（7月19日）上午4時09分（臺北時間同日中午12時09分），更新Windows系統上的EDR感應器配置，觸發了邏輯錯誤，導致受影響的系統崩潰並出現藍色當機畫面（BSoD），微軟隔日說明影響範圍，約莫波及850萬臺裝置，他們表示，受影響的Windows電腦占比低於1％。</p> <p>值得留意的是，這樣的比例看似不高，數量還是很驚人，而且，CrowdStrike宣稱財星500大企業超過半數採用該廠牌的產品，有不少資安專家指出，這起因更新出錯造成的影響，規模更甚於網路攻擊。</p> <p>專精物流業供應鏈風險管理的Interos提供另一份大當機電腦規模的數據，根據他們的調查，全球有674,476個企業組織受到影響，其中有280,760個位於美國，占全部41%。美洲、歐洲到亞洲的主要港口都因此而暫時關閉，也有數千個航空貨運的航班停飛或延誤，在全球需求與貨運價格上漲的情況下，此一事件加劇了現有的供應鏈挑戰，等同於再一次的全球貿易鏈中斷，因為複雜的航空貨運系統可能需要數天或數周的恢復期。</p> <p><a href="https://www.ithome.com.tw/news/164052"><strong style="font-size: 22px;">駭客鎖定CrowdStrike Falcon全球大當機事故，佯稱提供自動復原工具來散布惡意軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel-blog-2-Fig-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel-blog-2-Fig-1.png" style="width: 300px; float: right;" /></a></p> <p>7月19日資安業者CrowdStrike派送EDR系統Falcon的更新出錯，導致Windows電腦用戶面臨藍色當機（BSoD）的窘境，全球不少政府機關、企業組織傳出災情，估計約有850萬臺電腦、超過67.4萬個企業組織受到影響。然而，在這樣一片混亂的情勢之下，駭客利用這樣的機會，對於想要尋求排除當機方法的使用者發動攻擊。</p> <p>隔日CrowdStrike的威脅情報團隊發出警告，他們發現當天事故發生同時，有人假借提供這起事故的解決方法為由，散布名為crowdstrike-hotfix.zip的壓縮檔案，內容含有惡意程式載入工具HijackLoader的有效酬載，一旦使用者依照指示執行，電腦就會載入惡意程式RemCos。</p> <p>研究人員根據對方使用西班牙語命名檔案、編寫相關操作步驟的文件，認為這波攻擊行動很有可能是針對拉丁美洲（LATAM）的用戶而來。</p> <p><a href="https://www.ithome.com.tw/news/164046"><strong style="font-size: 22px;">Adobe、CISA針對Commerce及Magento重大漏洞提出警告，並指出已被用於攻擊行動</strong></a></p> <p>今年6月Adobe修補電子商務平臺Commerce及Magento Open Source的重大漏洞CVE-2024-34102，如今傳出這項漏洞已被用於攻擊行動的現象。</p> <p>上週三（7月18日）Adobe再度發布修補程式，並指出他們得知CVE-2024-34102已被用於攻擊行動的情況。對此，該公司呼籲IT人員，無論是否套用6月份推出的修補程式，都應該儘速套用他們這次發布的更新軟體，並且輪替加密金鑰。</p> <p>值得留意的是，美國網路安全暨基礎設施安全局（CISA）也將CVE-2024-34102列入已被用於攻擊行動的漏洞（KEV）名冊，要求聯邦機構必須在8月7日前完成修補。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://blog.phylum.io/fake-aws-packages-ship-command-and-control-malware-in-jpeg-files/"><strong style="font-size: 20px;">駭客散布冒牌AWS軟體套件，並透過JPEG圖檔進行C2通訊</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.aquasec.com/blog/kubernetes-exposed-exploiting-the-kubelet-api/">Kubelet API成為濫用的標的！駭客將其用於攻擊K8s環境</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://blogs.infoblox.com/threat-intelligence/rdgas-the-next-chapter-in-domain-generation-algorithms/">駭客組織Revolver Rabbit註冊50萬個網域用來散布惡意軟體</a></strong></p> <p></p> <p>◆<a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/facebook-malvertising-epidemic-unraveling-a-persistent-threat-sys01/"><strong style="font-size: 20px;">竊資軟體Sys01透過被入侵的臉書帳號投放廣告散布</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164045"><strong style="font-size: 22px;">研究人員揭露人工智慧平臺SAP AI Core漏洞SAPwned，有可能被攻擊者存取帳密及客戶資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1721220668-image-20.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1721220668-image-20.png" style="width: 300px; float: right;" /></a>資安業者Wiz揭露SAP AI Core的弱點SAPwned，並指出一旦有人觸發，就有機會讀取、竄改SAP系統容器儲存庫的Docker映像檔，或是Google容器儲存庫用於SAP系統的Docker映像檔，此外，攻擊者也能對於SAP內部建置的Artifactory伺服器，讀取或竄改元件，甚至還能取得SAP AI Core的Kubernetes叢集管理員權限，或是存取用戶的雲端帳密資料，以及專有的AI元件。</p> <p>針對弱點發生的根本原因，研究人員指出，主要是因為該漏洞能讓攻擊者執行惡意AI模型，或是對模型進行惡意訓練，這也突顯在執行AI模型的隔離及沙箱運作的重要性。這些漏洞研究人員在今年1月通報，SAP在5月予以修補。</p> <p>SAPwned總共包含5項漏洞，分別能被用於繞過網路限制、洩露AWS憑證（Token）、曝露用戶的檔案、入侵Docker儲存庫及元件伺服器、曝露Google的存取憑證及用戶帳密資料。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-bGG2UsjH"><strong style="font-size: 20px;">思科修補郵件安全閘道系統重大漏洞，若不處理攻擊者可建立root權限用戶</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163923"><strong style="font-size: 22px;">新加坡銀行將在3個月內汰除動態密碼</strong></a></p> <p>新加坡金融管理局（Monetary Authority of Singapore）及新加坡銀行公會（The Association of Banks in Singapore，ABS）近日宣布，新加坡主要銀行將會在未來3個月內，積極汰除客戶登入網銀帳號時的動態密碼（OTP），並認為此舉將有助於預防釣魚攻擊。值得留意的是，這次新加坡政府也呼籲銀行應淘汰硬體金鑰。</p> <p>金融管理局指出，硬體令牌仍然可能遭到釣魚網站詐騙，但當地一些主要銀行，如星展、華僑、匯豐等，仍然基於客戶要求而持續提供硬體金鑰。對此，星國政府持續和這些銀行溝通，鼓勵其導入更安全的驗證機制。</p> <p><a href="https://www.ithome.com.tw/news/163912"><strong style="font-size: 22px;">Google將抓漏獎金提高5倍</strong></a></p> <p>Google宣布，自2010年建立抓漏獎勵計畫（Vulnerability Reward Program，VRP）以來，由於Google的作業系統與應用程式因此而變得更加安全，抓漏難度隨之提升，因而決定提高抓漏獎金，最高增幅達到5倍，而獎金最多的則是重要產品的遠端程式攻擊（RCE）漏洞，最高可獲得151,515美元。</p> <p>值得留意的是，該公司除了提高原本的抓漏獎金，他們還將針對報告的品質祭出修正系數，倘若報告品質非常卓越，那麼獎金額度將會以1.5倍計算，若是品質差則會折半，這意謂著若提出安全漏洞的報告內容並未符合標準，獎金可能就會大幅縮水。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164037"><strong>【7月19日】CrowdStrike旗下EDR系統更新出錯釀禍，全球出現Windows電腦大量當機，影響機場、醫院等設施運作</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164012"><strong>【7月18日】日本揭露新一波MirrorFace攻擊行動，對方鎖定防火牆、SSL VPN設備已知漏洞而來，散布後門程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163981"><strong>【7月17日】專案管理工具Trello逾1,500萬名使用者個資流入地下論壇，對方聲稱是透過公開的API取得</strong></a></p> </div></div></div>
2024/7/22 17:54作者周峻佑https://www.ithome.com.tw/news/164058
駭客鎖定CrowdStrike Falcon全球大當機事故，佯稱提供自動復原工具來散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月19日資安業者CrowdStrike派送EDR系統Falcon的更新出錯，<a href="https://www.ithome.com.tw/news/164030">導致Windows電腦用戶面臨藍色當機（BSoD）的窘境</a>，全球不少政府機關、企業組織傳出災情，<a href="https://www.ithome.com.tw/news/164040">估計約有850萬臺電腦</a>、<a href="https://www.interos.ai/blog-crowdstrike-impact-analysis-at-least-674000-enterprise-customers-at-risk-of-disruption-globally/">超過67.4萬個企業組織</a>受到影響。然而，在這樣一片混亂的情勢之下，駭客利用這樣的機會，對於想要尋求排除當機方法的使用者發動攻擊。</p> <p>隔日CrowdStrike的威脅情報團隊發出警告，他們發現當天事故發生同時，<a href="https://www.crowdstrike.com/blog/likely-ecrime-actor-capitalizing-on-falcon-sensor-issues/">有人假借提供這起事故的解決方法為由，散布名為crowdstrike-hotfix.zip的壓縮檔案</a>，內容含有惡意程式載入工具HijackLoader的有效酬載，一旦使用者依照指示執行，電腦就會載入惡意程式RemCos。</p> <p>研究人員根據對方使用西班牙語命名檔案、編寫相關操作步驟的文件，認為這波攻擊行動很有可能是針對拉丁美洲（LATAM）的用戶而來。</p> <p>對於察覺這起事故的緣由，是研究人員發現有墨西哥人士在惡意軟體掃描服務上傳前述的ZIP壓縮檔案，內含西班牙話的說明文件，聲稱使用壓縮檔內含的公用程式，能夠將電腦復原到CrowdStrike Falcon更新導致當機之前的狀態。</p> <p>這份說明文件提及，使用者執行Setup.exe，將會在電腦安裝思科的VPN連線軟體AnyConnect，使用者只要一直點選下一步，而對於安裝連線軟體的程式資料夾位置，建議使用預設組態。</p> <p>上述步驟若是完成，使用者只要等待端點代理程式同步，從而緩解CrowdStrike更新造成的異常情形。</p> <p>然而實際上，一旦使用者依照這些步驟操作，Setup.exe便會使用DLL搜尋順序攻擊，從名為madBasic_.bpl的檔案裡，載入HijackLoader第一階段酬載，並讀取組態檔案maidenhair.cfg，以便最終載入及執行最終的RemCos惡意酬載，然後向C2伺服器進行通訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel-blog-2-Fig-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel-blog-2-Fig-1.png" style="width: 580px;" /></a></p> <p>值得留意的是，駭客不光利用這起資安系統更新出錯的事故散布惡意程式，<a href="https://www.crowdstrike.com/blog/falcon-sensor-issue-use-to-target-crowdstrike-customers/">CrowdStrike也發現</a>駭客佯裝該公司客服寄送釣魚郵件、撥打詐騙電話，或是聲稱是資安研究員，表明藍色當機問題與網路攻擊有關。</p> <p>此外，也有駭客趁機兜售號稱能解決當機問題的指令碼。該公司也公布約30個被用於假冒他們的網域名稱，呼籲用戶提高警覺。</p> </div></div></div>
2024/7/22 15:28作者周峻佑https://www.ithome.com.tw/news/164052
簡化與強化密碼管理資安防護，群暉提供國產解決方案
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/synology_c2_password-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著各種雲端服務、社群網路應用大爆發，再加上多個網站、大型業者陸續傳出巨量資料外洩事件，使用者帳號密碼安全性不足、採用相同密碼的問題，衍生的資安事故層出不窮，因此，近年來IT領域持續推動無密碼（Passwordless）的相關應用，像是FIDO聯盟發展的多種身分認證機制，但仍有不少系統與服務必須仰賴密碼驗證身分，所以目前很難徹底擺脫這類身分管理機制。</p> <p>雖然市面上有多種瀏覽器後續普遍提供密碼管理功能，例如，帳號與密碼的儲存、自動填入，以及建議安全密碼內容等功能，不過，道高一尺、魔高一丈，駭客與惡意軟體也發展可側錄相關內容、直接竊取瀏覽器密碼儲存庫的手法，使得這類兼顧簡化與強化密碼安全的功能，也蒙上一層難以徹底信任的陰影。</p> <p>若使用第三方廠商推出的密碼管理器，像是LastPass、1Password，去年也出現受到直接或間接事件而導致外洩的消息，使得採用這些服務的用戶也難以放心，該如何妥善儲存與管理這類身分憑證，再度成為大家最頭痛的日常資安問題之一。</p> <p>在今年台北國際電腦展期間，群暉科技舉行的Synology Solution Exhibition 2024活動，他們長期發展的Synology C2雲端安全防護系列服務，當中就有一款解決方案專司這類應用需求，稱為Synology C2 Password，於2021年6月發表，7月底正式推出，12月付費版本C2 Password Plus上線，2022年至2023年初，C2 Password陸續提供iOS、Android平臺的行動App軟體，Firefox、Safari這兩款瀏覽器平臺的擴充套件，以及商用版本C2 Password Business。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Synology%20Solution%20Exhibition%202024-06-1.jpg" style="width: 600px;" /></p> <p>關於服務存取與資料安全的確保上，包含C2 Password在內的多個Synology C2服務，均須輸入1組密碼，以此建立專屬加密金鑰C2 Encryption Key，之後存放在Synology C2雲端服務與C2伺服器的資料，以及在裝置與C2伺服器傳輸的資料，都會搭配這組金鑰，並且使用AES-256與RSA加密演算法進行保護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-Synology%20C2.png" style="width: 400px;" /></p> <p>若使用者是透過Windows、Mac、Linux電腦來存取C2系列服務，還可改用相容於FIDO2/WebAuthn標準的硬體金鑰，或是指紋、臉部這兩種生物辨識（Linux系統不支援）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Synology%20C2%20Authenticator.jpg" style="width: 198px;" /> <a href="https://s4.itho.me/sites/default/files/images/Synology Account Security.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Synology%20Account%20Security.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Synology C2 Password App-setting.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Synology%20C2%20Password%20App-setting.jpg" style="width: 99px;" /></a></p> <p>在日常使用上，用戶可在C2管理主控臺逐一新增常用的帳號密碼，也支援7種密碼管理器的帳密匯入，涵蓋3大瀏覽器：Chrome、Firefox、Safari，以及4大密碼管理服務：1Password、Bitwarden、Dashlane、LastPass。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Synology C2 Password-import.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Synology%20C2%20Password-import.jpg" style="width: 600px;" /></a></p> <p>用戶還可以在C2管理主控臺與行動App當中，執行密碼產生器的功能，以便快速取得符合指定長度，且具有大寫字母、小寫字母、數字、特殊字元的密碼內容組成。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Synology%20C2%20Password%20generator.jpg" style="width: 460px;" /> <a href="https://s4.itho.me/sites/default/files/images/Synology C2 Password App-gnerator.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Synology%20C2%20Password%20App-gnerator.jpg" style="width: 99px;" /></a></p> <p>若要了解已儲存密碼的安全性是否足夠，C2 Password也內建登入安全性（login security）的監督分析功能，可協助檢查是否為弱密碼、重複使用的密碼（reused），以及因已知資料外洩而被公開揭露的密碼。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Synology C2 Password-Login Security.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Synology%20C2%20Password-Login%20Security.jpg" style="width: 460px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Synology C2 Password App-login Sec.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Synology%20C2%20Password%20App-login%20Sec.jpg" style="width: 99px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Synology C2 Password</strong><br /> ●原廠：群暉科技<br /> ●建議售價：免費版0元，Plus版每年6個使用者149元，Business版每年10個使用者5,990元<br /> ●加密保護技術：256位元AES、RSA<br /> ●支援平臺：瀏覽器（Chrome、Firefox、Edge、Safari）、行動裝置（iOS、Android）<br /> ●資料中心：美國地區西雅圖、德國地區法蘭克福、亞太地區臺灣●管理的安全項目上限：1萬個●防護功能：儲存密碼、自動填入密碼、密碼健診、密碼產生器、保管庫管理（Business版）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/7/22 16:57作者李宗翰https://www.ithome.com.tw/review/164039
Atlassian修補Bamboo、Confluence、Jira高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>澳洲軟體公司Atlassian上周發布<a href="https://confluence.atlassian.com/security/security-bulletin-july-16-2024-1417150917.html" target="_blank">7月份安全公告</a>，修補Bamboo、Confluence和Jira產品的安全漏洞，包含11項高風險漏洞。</p> <p>這些漏洞來自Atlassian抓漏獎勵方案、公司滲透測試流程，以及第三方單位的函式庫掃瞄發現，涵括阻斷服務（DoS）、跨站腳本攻擊（XSS）及伺服器請求偽造（SSRF）等漏洞。</p> <p>其中Atlassian CI/CD軟體Bamboo Data Center及Server受到2項漏洞影響。第一為編號<a href="https://jira.atlassian.com/browse/BAM-25822" target="_blank">CVE-2024-21687</a>的檔案包含（file inclusion）漏洞，它讓經驗證的攻擊者利用App顯示本機檔案內容或執行伺服器上儲存的另一個檔案，影響資訊外洩。另一則是<a href="https://jira.atlassian.com/browse/BAM-25808" target="_blank">CVE-2024-22262</a>為伺服器org.springframework:spring-web Dependency元件的請求偽造（SSRF，Server-Side Request Forgery），讓未經驗證的攻擊者造成環境中資產曝險。二項漏洞皆影響檔案內容機密和完整性，且不需用戶互動，風險值為8.1。</p> <p class="rtecenter"><a href="http://jira.atlassian.com/browse/BAM-25822" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0722-CVE-2024-21687-Atlassian.png" style="width: 600px;" /></a></p> <p class="rtecenter"><a href="http://jira.atlassian.com/browse/BAM-25808" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0722-CVE-2024-22262-Atlassian.png" style="width: 600px; height: 549px;" /></a></p> <p>Atlassian內容管理軟體Confluence產品線則修補Confluence Data Center及Server 7項漏洞。其中5項為影響org.apache.commons:commons-compress元件的相依性阻斷服務（DoS）漏洞，能讓未經授權的攻擊者曝險使用者環境中的資產，影響檔案的隱私及完整性，這些漏洞風險值同為7.5，編號分別為<a href="https://jira.atlassian.com/browse/CONFSERVER-96099" target="_blank">CVE-2019-12402</a>、<a href="https://jira.atlassian.com/browse/CONFSERVER-96103" target="_blank">CVE-2021-36090</a>、<a href="https://jira.atlassian.com/browse/CONFSERVER-96100" target="_blank">CVE-2021-35515</a>、<a href="https://jira.atlassian.com/browse/CONFSERVER-96101" target="_blank">CVE-2021-35516</a>、<a href="https://jira.atlassian.com/browse/CONFSERVER-96102" target="_blank">CVE-2021-35517</a>。<a href="https://jira.atlassian.com/browse/CONFSERVER-96135" target="_blank">CVE-2023-22025</a>則是第三方相依性漏洞，造成環境資產曝光，風險值7.4。</p> <p><a href="https://jira.atlassian.com/browse/CONFSERVER-96134" target="_blank">CVE-2024-21686</a>是一儲存型跨站腳本攻擊（stored XSS）可將惡意程式儲存在類似留言板的網站資料庫中，以便在用戶瀏覽器中執行惡意HTML或Javascript惡意程式碼，以竊取後端資料庫資料。風險值為7.3。</p> <p>專案管理工具Jira則是在Data Center與Server，以及Service Management Data Center和Server二項產品的com.thoughtworks.xstream:xstream元件出現相依性阻斷服務漏洞<a href="https://jira.atlassian.com/browse/JSWSERVER-25951" target="_blank">CVE-2022-41966</a>，在沒有用戶互動下造成環境中檔案曝險，風險值7.5。</p> <p>軟體公司已經釋出最新版本，由於這批漏洞是在每月安全布告中公布，而非重大安全公告，意謂著較低風險。但Atlassian仍呼籲企業用戶排定時間升級到最新版本以解決安全風險。</p> </div></div></div>
2024/7/22 14:05作者林妍溱https://www.ithome.com.tw/news/164047
研究人員揭露人工智慧平臺SAP AI Core漏洞SAPwned，有可能被攻擊者存取帳密及客戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員曾在專門提供開發人員運用的人工智慧平臺<a href="https://www.ithome.com.tw/news/162150">Hugging Face</a>、<a href="https://www.ithome.com.tw/news/163148">Replicate</a>上，找出可被攻擊者利用的弱點，並指出其他類似的系統也可能存在相同情形，如今他們公布最新的發現。</p> <p>資安業者Wiz揭露<a href="https://www.wiz.io/blog/sapwned-sap-ai-vulnerabilities-ai-security">SAP AI Core的弱點SAPwned</a>，並指出一旦有人觸發，就有機會讀取、竄改SAP系統容器儲存庫的Docker映像檔，或是Google容器儲存庫用於SAP系統的Docker映像檔，此外，攻擊者也能對於SAP內部建置的Artifactory伺服器，讀取或竄改元件，甚至還能取得SAP AI Core的Kubernetes叢集管理員權限，或是存取用戶的雲端帳密資料，以及專有的AI元件。</p> <p>針對弱點發生的根本原因，研究人員指出，主要是因為該漏洞能讓攻擊者執行惡意AI模型，或是對模型進行惡意訓練，這也突顯在執行AI模型的隔離及沙箱運作的重要性。這些漏洞研究人員在今年1月通報，SAP在5月予以修補。</p> <p>SAPwned總共包含5項漏洞，分別能被用於繞過網路限制、洩露AWS憑證（Token）、曝露用戶的檔案、入侵Docker儲存庫及元件伺服器、曝露Google的存取憑證及用戶帳密資料。</p> <p>因此，藉由上述漏洞，駭客有可能在SAP AI Core建立AI應用程式，從而繞過網路限制，探測Kubernetes Pod（每個Kubenetes節點可能有1或多個Pod，每個Pod裡面有1或多個容器）的內部網路，從而取得AWS的憑證，並利用AWS Elastic File System（EFS）中的錯誤配置，存取用戶的程式碼、訓練資料集。</p> <p><a href="https://s4.itho.me/sites/default/files/images/1721220668-image-20.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1721220668-image-20.png" style="width: 580px;" /></a></p> </div></div></div>
2024/7/22 12:00作者周峻佑https://www.ithome.com.tw/news/164045
Adobe、CISA針對Commerce及Magento重大漏洞提出警告，並指出已被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月Adobe<a href="https://www.ithome.com.tw/news/163422">修補電子商務平臺Commerce及Magento Open Source的重大漏洞CVE-2024-34102</a>，如今傳出這項漏洞已被用於攻擊行動的現象。</p> <p>該漏洞發生的原因，在於XML外部實體參照的限制不當，而有可能導致任意程式碼執行。攻擊者可發送參照外部實體的XML檔案，從而觸發漏洞，過程中完全無須使用者互動，CVSS風險評分達到9.8。</p> <p>上週三（7月18日）<a href="https://experienceleague.adobe.com/en/docs/commerce-knowledge-base/kb/troubleshooting/known-issues-patches-attached/security-update-available-for-adobe-commerce-apsb24-40-revised-to-include-isolated-patch-for-cve-2024-34102">Adobe再度發布修補程式</a>，並指出他們得知CVE-2024-34102已被用於攻擊行動的情況。對此，該公司呼籲IT人員，無論是否套用6月份推出的修補程式，都應該儘速套用他們這次發布的更新軟體，並且輪替加密金鑰。</p> <p>值得留意的是，美國網路安全暨基礎設施安全局（CISA）也<a href="https://www.cisa.gov/news-events/alerts/2024/07/17/cisa-adds-three-known-exploited-vulnerabilities-catalog">將CVE-2024-34102列入已被用於攻擊行動的漏洞（KEV）名冊</a>，要求聯邦機構必須在8月7日前完成修補。</p> </div></div></div>
2024/7/22 12:15作者周峻佑https://www.ithome.com.tw/news/164046
蘋果再公布二款小模型DCLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼4月份公布可在裝置上執行的小語言模型<a href="https://www.ithome.com.tw/news/162544" target="_blank">OpenELM</a>後，蘋果本周又<a href="https://twitter.com/Vaishaal/status/1813956553042711006" target="_blank">公布</a>了14億及70億參數的DCLM模型，號稱效能不輸競爭模型如Llama 3、Gemma或Mistral，或是更節省訓練運算資源。</p> <p>這二款模型是由蘋果DataComp for Language Models（DCLM）團隊開發，並在Hugging Face平臺上公布。<a href="https://venturebeat.com/ai/apple-shows-off-open-ai-prowess-new-models-outperform-mistral-and-hugging-face-offerings/" target="_blank">Venturebeat</a>報導，DataComp專案成員來自蘋果、華盛頓大學、以色列台拉維夫大學及豐田研究院。第一款為<a href="https://huggingface.co/apple/DCLM-7B" target="_blank">DCLM-7B</a>，是69億參數的模型，以2.6兆字符（token）資料訓練而成。蘋果指出，和State of the Art（SoTA）模型如Mistral、Llama 3、Gemma、阿里巴巴Qwen-2、微軟Phi-3及開源模型MAP-Neo相比，DCLM-7B在多語理解測試MMLU中，最後的成果和Map-Neo相較效能相同，但運算資源耗損少40%。和私有模型相較，DCLM-7B準確性得分（64%）和Mistral-7B-v0.3（63%）及Google Gemma（64%）相比差不多，比起Llama 3-8B（66%）略低，但蘋果說，其模型耗能低了6.6倍。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0722-apple%20DCLM-State-of-the-art%20comparison.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0722-apple%20DCLM-State-of-the-art%20comparison.png" style="width: 600px;" /></a></p> <p><a href="https://arxiv.org/abs/2406.11794" target="_blank">圖片來源／arXiv:2406.11794</a></p> <p>第二款<a href="https://huggingface.co/TRI-ML/DCLM-1B" target="_blank">DCLM-1B</a>模型參數量為14億。蘋果<a href="https://x.com/Vaishaal/status/1813956555441918302" target="_blank">宣稱</a>，在Alpaca bench測試中，效能優於Hugging Face上周公布的小模型<a href="https://www.ithome.com.tw/news/163988" target="_top">SmolLM</a>。</p> <p>蘋果最後將DCLM模型框架、高品質訓練資料集DCLM-BASELINE以及預訓練方法，都開源公布在<a href="https://datacomp.ai/dclm">https://datacomp.ai/dclm</a>專案網站。</p> </div></div></div>
2024/7/22 10:19作者林妍溱https://www.ithome.com.tw/news/164042
微軟宣稱不到1%的Windows機器受到CrowdStrike事件的影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者CrowdStrike在世界協調時間（UTC）上周五（7/19）上午4點09分（臺北時間同一天的中午12點09分）更新Windows系統上的感應器配置，觸發了邏輯錯誤，<a href="https://www.ithome.com.tw/news/164037" target="_blank">導致受影響的系統崩潰並出現藍色死亡畫面</a>（BSOD），<a href="https://blogs.microsoft.com/blog/2024/07/20/helping-our-customers-through-the-crowdstrike-outage/" target="_blank">微軟隔天指出</a>，僅有不到1%的Windows機器受到影響，約莫波及850萬臺Windows裝置。</p> <p><span style="font-size:28px;"><strong>Windows系統上的Falcon感應器配置更新出錯</strong></span></p> <p>CrowdStrike為2011年成立於美國的資安公司，主要提供雲端任務保護、端點安全、威脅情報與網路攻擊回應服務。<a href="https://www.crowdstrike.com/blog/falcon-update-for-windows-hosts-technical-details/" target="_blank">根據CrowdStrike的解釋</a>，他們是在周五更新了 Falcon sensor for Windows 7.11及以上版本的感測器配置，這些配置被稱為通道檔案（Channel Files），是Falcon感應器行為保護機器的一環，每天會進行多次的更新，以回應CrowdStrike所發現的新手法、技術與程序。</p> <p>不同的通道檔案負責不同的功能，此次更新的是編號為291的通道檔，主要控制Windows系統上的Falcon如何評估命名管道（named pipe）的執行，相關管道用於Windows中的尋常、進程或不同系統間的通訊，出現問題的更新是針對網路攻擊中C&C框架所使用的惡意命名管道，它觸發了邏輯錯誤，而導致作業系統崩潰。</p> <p>CrowdStrike表示，此一事件僅影響Windows作業系統，在04:09 UTC至05:27 UTC之間下載該更新的系統可能會出現問題，但並未波及Linux或macOS，也很快就針對客戶提出了修補建議。</p> <p>根據外電報導，有些用戶只要重開電腦就能解決問題，萬一重開還不起作用，就必須以安全模式啟動，再刪除位於C:\Windows\System32\drivers\CrowdStrike目錄中的C-00000291*.sys檔案。</p> <p><span style="font-size:28px;"><strong>強大的後座力</strong></span></p> <p>CrowdStrike約占全球安全軟體市場的15%，而且根據該公司自家的宣傳，財星500大（Fortune 500）企業中，有超過一半都使用CrowdStrike產品。此一更新出錯所影響的規模更甚網路攻擊。</p> <p>針對物流提供供應鏈風險管理的<a href="https://www.interos.ai/blog-crowdstrike-impact-analysis-at-least-674000-enterprise-customers-at-risk-of-disruption-globally/" target="_blank">Interos指出</a>，從美洲、歐洲到亞洲的主要港口都因此而暫時關閉，也有數千個航空貨運的航班停飛或延誤，在全球需求與貨運價格上漲的情況下，此一事件加劇了現有的供應鏈挑戰，等同於再一次的全球貿易鏈中斷，因為複雜的航空貨運系統可能需要數天或數周的恢復期。</p> <p>受到波及的還有民航、金融、醫療、廣播業者，以及911緊急電話系統。WithSecure研究長Mikko Hypponen向<a href="https://www.nytimes.com/2024/07/19/business/microsoft-outage-cause-azure-crowdstrike.html?unlocked_article_code=1.8U0.I9Lv.dPmr_JodxFIF&smid=url-share" target="_blank">紐約時報</a>（The New York Times，YN Times）表示，這是個歷史性的事件，過去從未見過這樣的意外。</p> <p>另一資安業者Errata Security執行長Robert Graham亦向<a href="https://www.wsj.com/tech/crowdstrike-cybersecurity-software-global-it-outage-3ca536f6?st=z37l1nkej9ih8yg&reflink=desktopwebshare_permalink" target="_blank">華爾街日報</a>（The Wall Street Journal，WSJ）表明，這可能是他們所遇到的、最大的IT故障。</p> <p>微軟則說，雖然軟體更新偶爾會造成干擾，但像是CrowdStrike這樣的重大事件並不常見。即使只有不到1%的Windows用戶受到影響，但這些使用CrowdStrike的企業經營許多重大服務，讓此一意外對經濟及社會帶來廣泛的影響。</p> <p>微軟認為，此一事件展現出全球雲端供應商、軟體平臺、安全供應商、其它軟體供應商及客戶之間的相互關聯性，亦彰顯出優先執行安全部署與災難復原的重要性。</p> <p>意外發生的當天，CrowdStrike股價下挫11.1%，以304.96美元作收。</p> </div></div></div>
2024/7/22 08:32作者陳曉莉https://www.ithome.com.tw/news/164040
SolarWinds修補存取權限稽核系統ARM中RCE、路徑走訪等多項重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://documentation.solarwinds.com/en/success_center/arm/content/release_notes/arm_2024-3_release_notes.htm#link5">SolarWinds釋出存取權限稽核系統ARM（Access Rights Manager）2024.3版本更新</a>，這次更新官方一次修補8個等級被列為重大（Critical）的漏洞，其中有6個不僅可讓惡意攻擊者遠端執行任意程式碼（RCE），甚至還包含路徑走訪以及身分驗證繞過漏洞，進而造成重大資安危害。</p> <p>SolarWinds針對ARM修補多個嚴重漏洞，其中8個漏洞嚴重程度高達9.6分。CVE-2024-23475漏洞，涉及路徑走訪和資訊洩漏問題，讓未經身分驗證的攻擊者，可以任意刪除檔案並獲取敏感資訊。另一個類似的漏洞CVE-2024-23472，則是允許已通過身分驗證的使用者，獲得任意讀取和刪除ARM檔案的權限，同樣對系統安全造成嚴重威脅。</p> <p>SolarWinds存取權限稽核系統其他的遠端程式碼執行漏洞，還包括CVE-2024-23467允許未經授權的程式碼執行，CVE-2024-23469和CVE-2024-23466更危險，能讓未經身分驗證的使用者，以系統權限執行操作。而CVE-2024-28074是內部反序列化遠端程式碼執行漏洞，這是之前經過修補並已設置控制措施的漏洞，但是又被資安研究員找到繞過方法後再次被破解。</p> <p>值得關注的還有CVE-2024-23471，可允許經過驗證的使用者，濫用SolarWinds服務進行遠端程式碼執行。CVE-2024-23470則允許未經身分驗證的使用者，執行命令和可執行檔。</p> <p>除了修復這些嚴重漏洞之外，SolarWinds還在這次更新中加入新功能，強化ARM的gRPC憑證認證機制以及網頁客戶端功能。ARM伺服器現在支援基於gRPC憑證的認證機制，確保ARM客戶端之間的通訊安全，強化系統整體安全性。此外，現在網頁客戶端支援設定和執行Active Directory腳本，使管理員可以直接透過網頁介面管理和執行與Active Directory相關的自動化任務。</p> </div></div></div>
2024/7/22 08:16作者李建興https://www.ithome.com.tw/news/164034
【資安週報】2024年7月15日到7月19日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期最重大的資安消息，當屬7月19日（週五）資安業者CrowdStrike旗下的EDR系統更新後，引起全球大量微軟Windows電腦出現藍色當機畫面（BSoD）的事故。由於本該幫助電腦能偵測與應變威脅的資安工具，卻因為一次更新問題導致大規模公司電腦當機、服務癱瘓的狀況，引發全球高度重視。</p> <p>事實上，當日發生了兩起事件，首先是微軟，在19日臺灣清晨6點，美國中部區域一座Azure資料中心出現故障問題，導致包含M365在內等雲端服務大中斷，影響線上版SharePoint、商用版OneDrive、Teams等眾多服務。</p> <p>到了下午1點，我們注意到國內社群網站的資安群組開始討論Windows電腦出現藍色當機畫面，並點出問題可能出在資安業者CrowdStrike，當下我們查詢更多資訊，發現<a href="https://www.reddit.com/r/crowdstrike/comments/1e6vmkf/bsod_error_in_latest_crowdstrike_update/">美國社群網站Reddit已經指出CrowdStrike更新造成當機</a>的情形，在此同時，筆者身邊友人也通報其公司電腦1點多發生當機，同樣確認原因出在CrowdStrike。</p> <p>兩點後，大規模電腦當機消息開始在全球新聞媒體傳開，國內傳出桃園機場、臺大醫院、臺北榮總營運受影響，全球各國也有大量藍色當機畫面情形的報導。後續，CrowdStrike發布相關公告，說明發生EDR更新檔案與Windows系統衝突造成電腦當機，並指出C-00000291.sys是有問題的版本，同時指出這次事件並非遭遇網路攻擊，微軟在Azure Status服務狀態頁面也指出，在臺灣時間12點09分，他們同樣受到CrowdStrike的影響，並表示這次事件與已解決的美國中部Azure資料中心中斷事件無關。</p> <p>周末期間又有新的消息曝光，首先，<a href="https://blogs.microsoft.com/blog/2024/07/20/helping-our-customers-through-the-crowdstrike-outage/?WT.mc_id=DT-MVP-4015686&">微軟表示這次CrowdStrike引發的事件估計影響全球850萬臺的Windows電腦</a>，另也發布因應這次事件的手動安裝更新<a href="https://support.microsoft.com/en-us/topic/kb5042421-crowdstrike-issue-impacting-windows-endpoints-causing-an-0x50-or-0x7e-error-message-on-a-blue-screen-b1c700e0-7317-4e95-aeee-5d67dd35b92f">KB5042421</a>，此外，有<a href="http://x.com/Perpetualmaniac/status/1814376668095754753">研究人員在社群平臺X上指出，分析CrowdStrike當機資料後找出是有段C++程式存在記憶體安全錯誤</a>，至於詳細情形有待後續CrowdStrike說明。</p> <p>在其他重要資安事件與威脅態勢方面，國內有建設公司與人力銀行的消息，國際間也有不少資料外洩、攻擊行動的揭露，我們整理如下：<br /> ●國內上市公司宏盛建發布資安重訊，設說明該公司發生網路資安事件，另也代子公司助群營造公告發生網路資安事件。<br /> ●國內檢調單位接獲104人力銀行通報，有人企圖透過公司名義收集求職者個資，新北地檢署已在17日搜索涉案公司並查扣物證。<br /> ●專案管理工具Trello有逾1,500萬用戶個資遭人公開於Breach Forums地下論壇，對方並聲稱是透過公開的API取得。<br /> ●美國電信公司AT&T通報美SEC，說明發生資料洩事故，有駭客在今年4月存取AT&T在第三方雲端平臺的工作區，導致所有客戶的通話與簡訊歷程記錄被竊。<br /> ●義大利資安業者TG Soft揭露一起攻擊行動，他們在6月24日、7月2日偵測到中國駭客組織APT17針對當地企業及政府機關下手，意圖散布9002 RAT惡意程式。<br /> ●日本JPCERT/CC警告，當地企業組織遭到攻擊行動MirrorFace鎖定，攻擊者入侵企業後的目的是散布後門程式NoopDoor。</p> <p>在漏洞消息方面，我們注意到有4個已知漏洞首次被發現遭駭客利用的情形，近期已被美國CISA列入限時修補名單，包括：3月底VMware vCenter Server已修補的漏洞CVE-2022-22948，6月初SolarWinds Serv-U已修補的漏洞CVE-2022-22948，6月中Adobe Commerce及Magento Open Source已修補的CosmicSting漏洞（CVE-2024-34102），以及7月1日GeoServer已修補的RCE漏洞CVE-2024-36401。其中CosmicSting漏洞值得留意，有資安業者指出這是該電商平臺歷年來最嚴重的漏洞之一。</p> <p>在資安防禦與產業動向上，各有一則重要消息，首先，是關於OTP碼容易遭攔截與網釣的問題，談了很多年，最近國際間有政府積極行動，近日新加坡金融管理局宣布，要求當地金融業者在限期3個月內，汰除以簡訊提供OTP碼供客戶網銀登入，並要求改成安全性更高的應用程式驗證；另一項消息，是Google母公司Alphabet傳出將以230億美元收購雲端資安新創Wiz，藉此強化該公司的雲端安全業務，並將成為Google最大併購案。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/163931"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月15日】美國電信業者AT&T針對今年4月的資安事故通報調查結果，客戶通話及簡訊記錄遭到外流</span></strong></a></h3> <p>美國電信業者AT&T再傳資料外洩事故而受到外界關注，原因是他們在交給美國證券交易委員會（SEC）的8-K文件當中，提及對方透過第三方雲端平臺複製行動通話及簡訊互動記錄，而且，幾乎所有用戶都受到影響。</p> <p>值得留意的是，文件當中提及的第三方雲端平臺，外界直指就是Snowflake，5月發生的Ticketmaster資料外洩事故也與該業者有所關連。</p> <h3><a href="https://www.ithome.com.tw/news/163962"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月16日】駭客組織NullBulge聲稱入侵迪士尼，從近萬個Slack頻道竊得超過1 TB內部檔案，但真實性有待進一步確認</span></strong></a></h3> <p>繼大型售票業者TicketMaster、電信業者AT&T驚傳大規模資料外洩，近日有駭客組織聲稱握有大量迪士尼內部資料並在駭客論壇公布，號稱資料來自約1萬個Slack頻道。</p> <p>值得一提的是，有新聞媒體對其公布的內容進行分析，指出資料涵蓋的層面相當廣，像是網站維護、軟體開發、應徵員工，甚至還包含了員工討論自家小狗的對話內容、照片。不過，他們也無法確認這些資料的真實性。</p> <p><a href="https://www.ithome.com.tw/news/163981"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月17日】專案管理工具Trello逾1,500萬名使用者個資流入地下論壇，對方聲稱是透過公開的API取得</span></strong></a></p> <p>繼大型售票業者TicketMaster、電信業者AT&T、娛樂業者迪士尼驚傳大規模資料外洩，本週又有駭客宣稱握有超過1,500萬筆專案管理工具Trello用戶資料。</p> <p>值得留意的是，外洩這批巨量資料的人表示，取得管道居然是Trello公開的API端點，他能在未通過身分驗證的情況下將電子郵件信箱對應到Trello帳號。</p> <p><a href="https://www.ithome.com.tw/news/164012"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月18日】日本揭露新一波MirrorFace攻擊行動，對方鎖定防火牆、SSL VPN設備已知漏洞而來，散布後門程式</span></strong></a></p> <p>日本企業組織自2022年遭遇MirrorFace攻擊行動鎖定，當地電腦緊急應變團隊暨協調中心JPCERT/CC持續追蹤相關動態，最近他們提出警告，這些駭客更換攻擊目標，同時也調整入侵的手段，並使用新的惡意程式NoopDoor。</p> <p>值得留意的是，在部分攻擊行動裡，對方使用了相當罕見的手法執行惡意程式，他們濫用MSBuild公用程式載入含有程式碼的XML檔案，從而產生相關作案工具。</p> <h3><a href="https://www.ithome.com.tw/news/164037"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月19日】CrowdStrike旗下EDR系統更新出錯釀禍，全球出現Windows電腦大量當機，影響機場、醫院等設施運作</span></strong></a></h3> <p>本日最重大的資安事故，應該就屬資安業者CrowdStrike旗下的EDR系統更新出錯的情形，這樣的情況不僅有許多用戶上網抱怨電腦當機，也在全球造成災情，值得留意的是，國內也傳出桃園機場、臺大醫院、臺北榮總營運受到影響的情況，究竟有多少企業組織受害？有待進一步追蹤。</p> <p>另一方面，國內外不少新聞媒體也指出，今天凌晨微軟的雲端服務出現異常，也與該資安業者有關。</p> </div></div></div>
2024/7/21 18:59作者羅正漢https://www.ithome.com.tw/news/164038