iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 06:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】7月29日，北韓駭客APT45遭美國司法部通緝，揭露受害者涵蓋美國、臺灣、韓國的國防承包商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日北韓駭客組織APT45的攻擊行動被大量揭露，但值得注意的是，美國司法部也公告緝拿該組織一位北韓駭客成員，當中意外揭露了有臺灣國防承包商也是APT45的受害者。</p> <p>由於許多媒體報導可能忽略了這一消息，但這樣的狀況是需要我們國防單位去進一步了解。</p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164170"><strong style="font-size: 22px;">APT45成員遭美國司法部通緝，意外揭露臺灣也有國防承包商遭北韓駭客攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164158">Google</a>、微軟在7月24日相繼針對北韓駭客組織APT 45（微軟稱其為Onyx Sleet）發布研究報告，揭露其最新攻擊行動，同一日，<a href="https://www.ithome.com.tw/news/164149">美國司法部起訴APT45中一名北韓駭客Rim Jong Hyok</a>，指控他參與多起針對美國醫院及醫療保健服務供應商的勒索軟體攻擊行動，並祭出懸賞和逮捕令。</p> <p>值得我們關注的是，<a href="https://www.justice.gov/opa/pr/north-korean-government-hacker-charged-involvement-ransomware-attacks-targeting-us-hospitals">在美國司法部公布的資訊中</a>，透露臺灣也有國防合約承包商也受到APT45的攻擊。</p> <p>根據美國司法部的說明，該名駭客與及共犯所入侵的目標，包括美國國防承包商、兩個美國空軍基地、NASA監察長辦公室，以及韓國、臺灣的國防承包商，以及1家中國能源公司，都成為APT45攻擊下的受害者，敏感資料被竊取。</p> <p>這樣的狀況，也需要我國的國防單位去進一步了解，以進一步掌握該國防承包商被APT45入侵的情況。</p> <p><a href="https://www.ithome.com.tw/news/164155"><strong style="font-size: 22px;">燦坤與燦星網同日發布資安重訊，說明資訊系統遭受網路攻擊，目前線上購物網站持續停擺</strong></a></p> <p>上市公司遭遇資安事故的消息不斷，在7月23日「燦坤實業」與「燦星網通」同時發布資安事件重大訊息，說明公司資訊系統遭受網路攻擊，值得關注的是，這又是一起同集團均受影響的狀況。</p> <p>而且上市電子通路業燦坤與上市電器電纜業燦星網發布重訊的時間，是在23日晚間10點，也就是上星期三凱米颱風來臨前夕。兩家公司發布的內容完全相同，主要說明公司資安人員在查知遭受網路攻擊時，已於第一時間啟動相關防禦機制，評估對公司日常營運尚無重大影響。</p> <p>雖然重訊內容相當簡短，並未透露事件的具體影響範圍，但我們在26日查詢燦坤線上購物網站，以及燦星網通的公司網站，這些網站均無法連上。而在燦坤3C的臉書粉絲專頁上，我們發現該公司在23日早上9點38分就公告說明燦坤線上購物因系統維護，暫停服務中。截至7月29日（週一）中午，我們仍未看到復原的公告。</p> <p><a href="https://www.ithome.com.tw/news/164161"><strong style="font-size: 22px;">逾3千個GitHub帳號遭駭客組織Stargazer Goblin濫用，作為散布惡意軟體的管道</strong></a></p> <p>駭客濫用程式碼儲存庫GitHub來散布惡意程式的情況，近年不斷有相關消息，但如今有人大規模經營這類帳號提供他人運用，形成龐大的網路犯罪生態圈。</p> <p>資安業者Check Point揭露專門經營GitHub帳號網路的駭客組織Stargazers Ghost，對方經營由超過3千個GitHub「幽靈」帳號組成的網路，並將其用於散布惡意軟體及惡意連結。</p> <p>駭客為了讓這些儲存庫看起來是正當使用，他們還會為儲存庫加上星號、建立版本分支，並且訂閱其他惡意儲存庫。而且，該組織還會利用儲存庫提供惡意連結，而不是存放惡意軟體，而這些連結有許多的GitHub「用戶」背書，獲得大量的「星星」或是「驗證」，使其看起來更為真實、合法。</p> <p><a href="https://www.ithome.com.tw/news/164179"><strong style="font-size: 22px;">CrowdStrike大當機的省思，臺灣大型醫院學到這2件事</strong></a></p> <p>經歷7月19日大當機事件，臺灣一家大型醫院除了自我警惕、更版流程要更嚴謹外，也開始評估雙備援機制的原主機和備援主機，是否應採用不同廠商的防護服務，以免廠商出事、備援主機仍無法作業。例如，針對雙主機備援架構（HA），「2臺主機要採用不同資安廠商產品，才能降低廠商發生問題、備援主機無法執行的風險，」一位大型醫院知情人士說。</p> <p>回顧整起事件，醫院IT盤點，由於他們將CrowdStrike資安防護軟體安裝於部分主機，其餘則使用另一家廠商防護軟體，也因此，醫院最繁忙的門診系統並未受到影響，對醫院的整體衝擊並不大。</p> <p><a href="https://www.ithome.com.tw/news/164171"><strong style="font-size: 22px;">英國國民健康服務NHS遭遇勒索軟體攻擊7週後，已造成當地近1萬個病患手術被迫延後</strong></a></p> <p>近期<a href="https://www.ithome.com.tw/news/164062">CrowdStrike大當機事件導致全球不少醫院</a>受影響，不過上個月初還有一起發生在醫療院所的重大資安事故，那就是上個月初英國病理學暨診斷服務供應商<a href="https://www.ithome.com.tw/news/163329">Synnovis遭網路攻擊</a>，至今即將兩個月，這起事件仍為當地醫療服務帶來極大的影響，。這起網路攻擊事件發生在6月3日，當時造成英國倫敦多家國家保健署（NHS）醫院的部分服務被迫中斷，英國網路安全中心（NCSC）指出是俄羅斯勒索軟體駭客組織Qilin所為。值得注意的是，到了6月下旬，駭客組織又在暗網上聲稱公布3億筆病患資料，甚至要脅Synnovis支付4000萬英鎊（約16億元）贖金。如此大規模的病患資料外流消息，使得當地民眾人心惶惶。</p> <p>最近，<a href="https://www.england.nhs.uk/london/synnovis-ransomware-cyber-attack/latest-media-statement-on-synnovis-cyber-attack/">英國NHS仍每週公布最新進展，說明這起事件的復原狀況，</a>像是7月25日，NHS表示在7月中旬，仍有兩家醫院的1,122個急診預約與46個非緊急手術不得不取消，因此總計下來，已造成8,349個急診預約與1,608個非緊急手術被迫延後。換言之，儘管手術延後的數量有減少，但這起攻擊事件的影響仍在持續。所幸也有好的消息，在事件發生七週之後，NHS表示，Synnovis如今已經重建大部分的系統。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.ithome.com.tw/news/164066"><strong style="font-size: 20px;">Android版Telegram漏洞讓駭客將惡意程式偽裝成影音檔</strong></a></p> <p>◆<a href="https://www.seoul.co.kr/news/politics/diplomacy/2024/07/29/20240729004002"><strong style="font-size: 20px;">南韓軍情人員資料外洩，恐有數千名現職人員個資流向北韓</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164168"><strong style="font-size: 22px;">PKfail安全啟動繞過漏洞恐衝擊數百萬設備，影響技嘉、Supermicro、Dell等9大業者</strong></a></p> <p>韌體安全公司<a href="https://www.binarly.io/blog/pkfail-untrusted-platform-keys-undermine-secure-boot-on-uefi-ecosystem">Binarly在7月25日揭露名為「PKFail」的漏洞</a>，指出他們在今年稍早曾發現，BIOS大廠AMI的Secure Boot相關主金鑰（在UEFI領域稱平臺金鑰Platform Key，PK），在一次ODM廠商的資料外洩事故當中，遭到公開而曝光。</p> <p>更嚴重的問題在於，他們發現業界存在PKFail這樣的韌體供應鏈問題，Binarly研究小組指出，這個平臺金鑰應由裝置廠商自己產生與管理，並使用最高加密技術保護，並且遵循最佳實踐，但他們研究後發現，實際情形卻是：BIOS廠商在他們提供的參考程式碼，嵌入一把金鑰，並期望OEM或設備廠商會換掉它，但很多廠商沒有這樣做。也就是說，不同電腦與伺服器廠商都共用同一把金鑰，導致該平臺金鑰完全不能被信任，以致於PKFail是一個影響數百萬設備的韌體供應鏈問題。</p> <p><a href="https://22222483.fs1.hubspotusercontent-na1.net/hubfs/22222483/Reports/PKfail%20-%20Binarly%20Research%20Report%20July%2025%202024.pdf">根據Binarly說明，他們總共發現有22個獨特但不可信的平臺金鑰</a>，至於受影響業者的產品數量，以技嘉有產品最多，其次為Supermicro、Dell、HP、聯想、Intel、宏碁、Fujitsu、Aopen、Formelife。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.ithome.com.tw/news/164047"><strong style="font-size: 20px;">Atlassian修補Bamboo、Confluence、Jira高風險漏洞</strong></a></p> <p>◆<a href="https://www.ithome.com.tw/news/164034"><strong style="font-size: 20px;">SolarWinds修補存取權限稽核系統ARM中RCE、路徑走訪等多項重大漏洞</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164032"><strong style="font-size: 22px;">微軟、Nvidia、英特爾及Google共創安全AI聯盟CoSAI</strong></a></p> <p>專門推動全球結構化資訊標準的非營利組織OASIS Open發表了安全AI聯盟（Coalition for Secure AI，CoSAI），這是一個開源倡議，計畫建立一個協作生態體系，以分享與AI安全設計有關的方法、標準化框架及工具。</p> <p>目前該聯盟已有3大工作任務，包括：AI系統的軟體供應鏈安全、促進防禦者為不斷變化的網路安全局勢做好準備、AI安全治理。這項計畫的主要贊助者有Google、IBM、Intel、微軟、Nvidia與PayPal，其他贊助者還包括Amazon、Anthropic、思科、Chainguard、Cohere、GenLab、OpenAI及Wiz。</p> <p><a href="https://www.iii.org.tw/Press/NewsDtl.aspx?nsp_sqno=2505&fm_sqno=14"><strong style="font-size: 22px;">資策會成立「FAITH未來移動安全信賴評測中心」，成為臺灣首個車輛軟體評測單位</strong></a></p> <p>資訊工業策進會（資策會）在7月22日宣布成立全臺首家「未來移動安全信賴評測中心（Formosa Automobility Intelligence Trustworthy Hub, FAITH）」，目的是樹立車輛軟體評測中心的標竿，填補產業標準規範、資安服務需求及技術諮詢不足的現況，希望透過第三方機構，建立AI感知、韌性通訊、資訊安全所需的評測機制與情境，以協助評估與確認移動產品的可靠度及安全，而其適用對象涵蓋晶片、模組、系統到Tier 1供應商及車廠等，可包含廣泛的產業鏈。</p>  <p> </p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<a href="https://www.ithome.com.tw/news/164109"><strong style="font-size: 20px;">資安專家揭露企業導入SBOM軟體物料清單有六大常見迷思</strong></a></p> <p>◆<a href="https://www.ithome.com.tw/news/164169"><strong style="font-size: 20px;">美國釋出用來評估AI安全的Dioptra平臺</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164152"><strong>【7月26日】資安業者KnowBe4驚傳僱用北韓駭客，對方利用深偽技術應徵工作得逞，直到從事可疑行為才東窗事發</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164083"><strong>【7月23日】臺灣企業因CrowdStrike產品更新造成電腦當機的情況，金融、資服、傳統製造、高科技製造業都傳出災情</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164058"><strong>【7月22日】資安業者CrowdStrike更新事故衝擊規模初步統計出爐，至少影響850萬臺電腦、67萬企業用戶</strong></a></p> </div></div></div>
2024/7/29 17:47作者羅正漢https://www.ithome.com.tw/news/164175
APT45成員遭美國司法部通緝，意外揭露臺灣也有國防承包商遭北韓駭客攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google、微軟在7月24日相繼針對北韓駭客組織APT 45（微軟稱其為Onyx Sleet）發布研究報告，揭露其最新攻擊行動，同一日，<a href="https://www.ithome.com.tw/news/164149">美國司法部起訴APT45中一名北韓駭客Rim Jong Hyok</a>，指控他參與多起針對美國醫院及醫療保健服務供應商的勒索軟體攻擊行動，並祭出懸賞和逮捕令。</p> <p>值得我們關注的是，<a href="https://www.justice.gov/opa/pr/north-korean-government-hacker-charged-involvement-ransomware-attacks-targeting-us-hospitals">在美國司法部公布的資訊中</a>，透露臺灣也有國防合約承包商也受到APT45的攻擊。</p> <p>根據美國司法部的說明，該名駭客與及共犯所入侵的目標，包括美國國防承包商、兩個美國空軍基地、NASA監察長辦公室，以及韓國、臺灣的國防承包商，以及1家中國能源公司，都成為APT45攻擊下的受害者，敏感資料被竊取。</p> <p>這樣的狀況，也需要我國的國防單位去進一步了解，以進一步掌握該國防承包商被APT45入侵的情況。</p> </div></div></div>
2024/7/29 14:34作者羅正漢https://www.ithome.com.tw/news/164170
英國國民健康服務NHS遭遇勒索軟體攻擊7週後，已造成當地近1萬件急診與手術被迫延後
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期<a href="https://www.ithome.com.tw/news/164062">CrowdStrike大當機事件導致全球不少醫院</a>受影響，不過上個月初還有一起發生在醫療院所的重大資安事故，那就是上個月初英國病理學暨診斷服務供應商<a href="https://www.ithome.com.tw/news/163329">Synnovis遭網路攻擊</a>，至今即將兩個月，該事件仍為倫敦當地醫療服務帶來極大的影響，到了7月中下旬，仍有兩家醫院延後了上千個病患的急診與手術被延後。</p> <p>這起網路攻擊事件發生在6月3日，當時造成英國倫敦多家國家保健署（NHS）醫院的部分服務被迫中斷，英國網路安全中心（NCSC）指出是俄羅斯勒索軟體駭客組織Qilin所為。後續消息更是顯示，這起事件影響近3,500起手術和約診，並衝擊大倫敦地區約7家大型醫院及其他醫療院所。</p> <p>值得注意的是，到了6月下旬，駭客組織又在暗網上聲稱公布3億筆病患資料，甚至要脅Synnovis支付4000萬英鎊（約16億元）贖金。如此大規模的病患資料外流消息，使得當地民眾人心惶惶。</p> <p>最近，<a href="https://www.england.nhs.uk/london/synnovis-ransomware-cyber-attack/latest-media-statement-on-synnovis-cyber-attack/">英國NHS仍每週公布最新進展，說明這起事件的復原狀況，</a>像是7月25日，NHS表示在7月中旬，仍有兩家醫院的1,122個急診預約與46個非緊急手術不得不取消，因此總計下來，已造成8,349個急診預約與1,608個非緊急手術被迫延後。換言之，儘管手術延後的數量有減少，但這起攻擊事件的影響仍在持續。</p> <p>所幸也有好的消息，在事件發生七週之後，NHS表示，Synnovis如今已經重建大部分的系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E4%B8%BB%E5%9C%96)%E8%8B%B1%E5%9C%8BNHS%E9%81%AD%E9%81%87%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E6%94%BB%E6%93%8A%E6%9C%897%E5%AE%B6%E5%8F%97%E5%BD%B1%E9%9F%BF.jpg" style="width: 600px;" /></p> <p><strong>這起勒索軟體攻擊事件，共造成英國當地7家醫療機構受到衝擊，大量病患手術被迫延後。</strong></p> </div></div></div>
2024/7/29 14:35作者羅正漢https://www.ithome.com.tw/news/164171
零售IT雙周報第39期：Amazon將AI購物助理功能Rufus整合進官方電商App，正式開放給全美消費者使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0714~0727)</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#生成式AI #購物助理 #電商助手</span></strong></span><br /> <strong>Amazon正式開放AI購物助理功能Rufus給所有美國消費者</strong></p> <p><a href="http://www.aboutamazon.com/news/retail/how-to-use-amazon-rufus">Amazon正式開放AI購物助理Rufus給全美消費者在自家電商App使用。</a>這個生成式AI助理是一個聊天機器人，根據Amazon商品目錄、顧客評論、社群問答，以及開放網路資料訓練而成。Rufus可以作為搜尋引擎，根據顧客自然語言輸入來尋找商品，也能比價、比較商品性能，回答關於商品的問題，甚至與商品沒有直接關連的模糊問題。不只如此，Rufus還能推薦產品、主動更新產品最新消息，和追蹤顧客過往清單狀態，意味著它同時深度整合平臺功能、會提供個人化體驗，而且未來還有可能發展成行銷通路，進一步成為Amazon RMN另一廣告形式。</p> <p>目前業界有不少利用生成式AI進行商品搜尋和問答的應用，但多為限定主題、適用商品數量較少，或仍在試營運階段。Amazon沒有限定Rufus支援的商品品項，且正式將此功能整合進電商App，開放給全美消費者使用，說明他們認為此技術已經足夠成熟，且自信能為生成式AI產出內容負責。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#數據流程整合 #雲端數據倉儲 #跨雲作業</span></span></strong><br /> <strong>資生堂整合數據處理機制並打造雲端數據分析平臺的歷程</strong></p> <p><a href="https://cloud.google.com/blog/products/data-analytics/shisheido-data-analysis-big-query">日本美妝品牌資生堂數據分析經理永盛達也揭露自家在雲端打造數據分析平臺的經歷。</a>美妝業受到疫情嚴重打擊，2022年資生堂決定強化會員數據分析能力，以進行更有效的行銷，來挽救營收。</p> <p>永盛達也說，資生堂當年沒有能力在內部處理和分析數據，只能外包。不過，他們外包模式是以專案為單位，因此有非常多個數據處理流程，且常常需要拷貝重複資料。最後，他們有高達20至30個資料庫伺服器平行運作，不僅數據處理效率極低，且維運費用成長到天價，資生堂不得不打造重新一套新數據處理機制。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Shiseido_Data_Analysis_Platform_Configurat_max-1300x1300 (1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Shiseido_Data_Analysis_Platform_Configurat_max-1300x1300%20(1).png" style="width: 600px;" /></a></p> <p>他們決定在GCP上打造一套雲端數據分析平臺。上雲過程中，資生堂面臨了幾個重大挑戰。首先是，由於資生堂內部數據孤島化嚴重，光是挑選出需要上雲的數據，並整併這些數據，就花了許多功夫。再來，資生堂過往系統與Big Query一個關鍵資料格式落差是，前者不會區別日文全半形字元，<span style="color:#000000;">Big Query中卻會</span>，需要先轉換數據才能搬遷上雲，否則會造成資料處理錯誤。不只如此，資生堂過往許多數據處理流程過於繁雜，GCP的自動化導入工具不支援，也需要手動搬遷上雲。不過，經歷了痛苦的上雲作業後，他們降低了8成數據處理成本及9成數據處理時間。他們並將平臺切分為基礎架構層和應用層，以方便維運及數據存取權限管理。</p> <p>下一步，資生堂要導入自動化數據驗證及AI數據分析等技術來進一步加速數據處理效率，並統整企業存放於其他雲端環境的數據，形成一個跨雲數據分析平臺。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN #AI驅動RMN</span></span></strong><br /> <strong>eBay推出賣家廣告儀表板，用AI技術提供平臺賣家投廣建議及平臺趨勢洞察</strong></p> <p><a href="https://innovation.ebayinc.com/tech/features/ebay-advertising-helps-sellers-grow-their-business-with-introduction-of-new-dashboard-personalized-insights-and-intuitive-campaign-tools/">C2C電商巨頭eBay近日在賣家後臺新增了廣告儀表板</a>，用AI分析eBay整體電商平臺趨勢及賣家表現，來支援賣家在平臺上投放廣告。這個儀表板上有4大功能，其一是每日廣告投放建議，提醒賣家可以進一步設定的廣告操作。其二是建議行銷活動，根據賣家特性、賣家過往數據及eBay最佳實踐方法來設計投廣企畫，賣家確認無誤後可以一鍵執行，進階一點，還能再加上eBay平臺上近期熱門話題等趨勢，綜合賣家商品特性，來建立投廣企畫。其三則是廣告趨勢洞察，會顯示平臺上話題趨勢、RMN廣告產品的研究和開發狀態等，方便賣家了解最新投廣功能<span style="color: rgb(0, 0, 0);">。</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dashboard-US-1-scaled.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN #自助結帳 #手機通路</span></span></strong><br /> <strong>Sam's Club在自助結帳手機App中加入RMN廣告版位，運用結帳行為特性來最大化變現消費者注意力</strong></p> <p><a href="https://corporate.walmart.com/about/samsclub/news/2024/07/24/sams-club-map-launches-display-ads-in-sams-club-mobile-apps-unique-scan-and-go-feature">Walmart旗下零售品牌Sam's Club在自家的自助結帳App Scan&Go中加入RMN廣告版位。</a>這個App的運作模式是，消費者在購物時掃描商品，最後再於App一次完成結帳。也就是說，消費者在購物場景時，需要頻繁開啟此App。把握此特性，Walmart將此廣告版位設計成，每當消費者掃描一次商品，就會刷新一則新廣告。這樣不只能多次嘗試對消費者行銷，從廣告收入來看，數位廣告常以曝光次數計費，因此他們也能獲得更多廣告費。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ssrmn.png" style="width: 600px;" /></p> <p>要做到這件事情，Sam's Club後臺廣告推薦系統也得有能力進行大量即時運算，不斷在數秒內即時運算消費者行為特性及商品關聯性，並推播廣告給600家門市的上萬名消費者。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生鮮雜貨 #比價電商平臺 #賣家上架工具</span></span></strong><br /> <strong>生鮮雜貨平臺Flashfood推出獨立商家上架工具，利用高易用性吸引小型生鮮雜貨業者</strong></p> <p>生鮮雜貨平臺Flashfood是一個生鮮雜貨比價及電商平臺，供消費者跨平臺瀏覽、比較並購買鄰近雜貨店的生鮮商品。<a href="https://flashfood.com/en/press/Flashfood-Launches-New-Platform-Flashfood-for-Independents">他們近期新推出獨立商家用上架工具，主打低使用門檻、高客製化彈性，以方便獨立雜貨商家能簡單加入平臺。</a></p> <p>此平臺支援手動上架商品，IT能力較低的商家不須梳理或轉化自家商品清單數據，也能上架商品。商家能依照自家雜貨店商業模式，來設定消費者可選擇的消費和取貨方法。不只如此，此平臺還有自動化報表功能，並從數據中提取對商家的營運建議。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#供應鏈管理 #供貨預測 #商品採購</span></span><br /> Walmart導入農產品供應監控與預測系統，來提早應變供貨異常風險</strong></p> <p><a href="https://corporate.walmart.com/news/2024/06/20/walmart-cherry-picks-agritask-as-partner-to-enhance-produce-sourcing-decisions">零售龍頭Walmart開始嘗試導入作物供應監測與預測系統，根據溫度、濕度等超過40種數據來源，來分析收穫風險</a>，並預測收穫量和收穫時間。目前此技術仍在POC階段，針對黑梅及櫻桃等對天氣非常敏感的作物進行預測。</p> <p>Walmart希望，有了這些作物收穫預測，他們能提早根據供貨狀況來調整採購、物流、訂價等決策，例如盡早尋找替代貨源，或在預留足夠物流量能給預計延遲收穫的產區，來確保商品如期上架。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. 精確定位地圖系統what3words與物流資訊商ShipEngine進行系統串接，以支援零售業者更準確的送貨能力</p> <p>2. <a href="https://www.globenewswire.com/news-release/2024/07/16/2913691/0/en/Simbe-Announces-Industry-Leading-Mobile-Application-and-Virtual-Tour-Capabilities-Revolutionizing-How-Retailers-View-Store-Data.html">門市巡邏機器人廠商Simbe Robotics推出手機板門市管理系統，增加店員監控和管理門市的彈性</a></p> <p>3. Vans推出一個新元宇宙空間Vans World 2，在此通路舉辦新產品發布等更具重要性的行銷活動。</p> <p>4. <a href="https://corporate.walmart.com/news/2024/07/23/walmart-releases-first-annual-state-of-adaptive-retail-report">Walmart與研究機構Morning Consult發表了第一份年度「適應型零售」報告，分析零售業者如何針對消費者購物痛點來打造OMO零售體驗</a></p> <p>資料來源：iThome整理，2024年7月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Amazon、Walmart、Google Cloud、eBay</p> <p></p> </div></div></div>
2024/7/29 18:37作者郭又華https://www.ithome.com.tw/news/164156
CrowdStrike大當機的省思，臺灣大型醫院學到這2件事
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣時間7月19日下午1點多，一個看似尋常的周五午後，卻因一場全球性的CrowdStrike當機事件變得不平靜，大大小小業務中斷了半小時至數小時之久。</p> <p>臺灣災情雖沒歐美各地嚴重，但也有企業從這次危機中反思，要改變原有的IT策略。比如，針對雙主機備援架構（HA），「2臺主機要採用不同資安廠商產品，才能降低廠商發生問題、備援主機無法執行的風險，」一位大型醫院知情人士說。</p> <p><span style="font-size:22px;"><strong>階段1：3大系統受到影響</strong></span></p> <p>這個策略改變，來自於事件經驗。回到事發當下，下午1點剛過，這家醫院IT就接到急診部電話，告知急診系統無法運作。與許多企業一樣，IT認為是硬體故障，因此到機房檢查、重開主機。</p> <p>但他們發現，就算重新開機，急診部的系統依然無法啟動。於是，他們按照典型的備援機制作法，先進行復原（Rollback），試圖回復到受影響前一版的虛擬機作業系統環境。</p> <p>「這是第一階段。」知情人士表示，在回復作業系統環境的同時，IT團隊也同步檢查其他系統、了解影響範圍，得知醫院檢驗檢查系統和藥局藥袋列印系統也受到影響，導致一些尚未領藥的民眾需額外等待。由於不確定事件原因，他們也在第一時間向資安署通報，說明影響範圍。</p> <p><span style="font-size:22px;"><strong>階段2：雙管齊下恢復系統作業</strong></span></p> <p>事發半小時後，醫院收到臺灣資安廠商來信，說明當機問題可能來自CrowdStrike資安軟體，於是建議醫院IT，先進入OS安全模式、將CrowdStrike所在目錄重新命名，再重開主機，來讓醫療服務恢復運作。但知情人士表示，這個過程並非順利，尤其是重開、進入安全模式時，得嘗試多次才行。</p> <p>好在事發1小時內，不少系統已陸續恢復運作，只有少數系統，如藥袋列印系統無法恢復，於是改以單機作業方式送交包藥機，來繼續包藥作業。至此，大部分系統已恢復作業，只有檢驗檢查系統較複雜，後來由委外廠商完成修復。</p> <p><span style="font-size:22px;"><strong>從大當機中學習到的2件事</strong></span></p> <p>回顧整起事件，醫院IT盤點，由於他們將CrowdStrike資安防護軟體安裝於部分主機，其餘則使用另一家廠商防護軟體，也因此，醫院最繁忙的門診系統並未受到影響，對醫院的整體衝擊並不大。</p> <p>但知情人士點出：「我們還是從這次經驗中重新學習，」比如，這次事件源自CrowdStrike廠商發布流程不夠嚴謹，讓他們引以為戒，提醒自己未來在上架IT系統或更新版本時，更需按照標準程序進行。他解釋，一般軟體上線或更新，會經過3個環境試行，也就是開發測試環境、預上版環境（Stage）以及正式上線環境（Production）。CrowdStrike這起事件，讓醫院更警惕自己，未來上線新服務時更要遵循這些步驟，避免之後出現大麻煩。</p> <p>另一個重要經驗則是「分散風險，不要將雞蛋放在同個籃子裡。」尤其是雙主機備援機制，該機制目的是，當原主機故障無法運行時，可切換由另一臺主機接手、繼續作業，而他們想做的是，對原主機和備援主機，分別採用不同廠商的防護服務。</p> <p>如此一來，就算其中一家廠商服務出問題，也不會影響另一臺備援主機的運行，「這是我們正在思考的事，」該人士說道。這是他們從CrowdStrike事件中，學習到的2件事。</p> <p></p> </div></div></div>
2024/7/29 17:23作者王若樸https://www.ithome.com.tw/news/164179
內建Wi-Fi 6與2.5GbE埠，兆勤推出新款入門級資安路由器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhao_qin_zyxel_usg_lite_60ax_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>縱觀兆勤科技現行次世代防火牆產品，目前分為4個階層，由高至低為<a href="https://www.ithome.com.tw/review/159639">USG Flex H系列</a>、USG Flex系列、USG Flex 50系列，入門級、可支援10人使用的機型，由2023年4月推出的SCR 50AXE擔綱，支援Wi-Fi 6E無線網路（AXE5400等級），以及主打結合資安防護、雲端管理與路由器等多種功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20Security%20Portfolio-2024.jpg" style="width: 400px;" /></p> <p>到了今年下半，他們宣布推出另一款入門級產品USG LITE 60AX，同樣也是無線網路資安路由器，可支援Wi-Fi 6無線網路（AX6000等級），2.4 GHz與5 GHz頻段傳輸的總效能可達6 Gbps，是專為中小企業、遠端工作者（例如在家上班）、代管服務供應商設計的產品，預計8月正式在臺上市。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Zyxel SMB Secure Router.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20SMB%20Secure%20Router.jpg" style="width: 600px;" /></a> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20NGFW-Entry.jpg" style="width: 600px;" /></p> <p>相較於既有的SCR 50AXE支援Wi-Fi 6E，可用2.4 GHz、5 GHz、6 GHz這三個頻段，新推出的USG LITE 60AX雖然支援Wi-Fi 6，只能用2.4 GHz、5 GHz，但資料傳輸率更勝一籌，搭配更多核心的CPU與更大容量的DRAM記憶體與快閃固態儲存，同時，兆勤也標榜這款機型超越其他廠牌的產品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/USG%20Lite%2060AX-Spec%20comparison.jpg" style="width: 600px;" /> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/USG%20Lite%2060AX-Spec%20comparison2.jpg" style="width: 600px;" /></p> <p>在有線網路規格方面，USG LITE 60AX是兆勤次世代防火牆第一款支援2.5GbE埠的機型，兆勤在此提供2個2.5GbE埠，分別用於WAN埠與LAN埠，能因應網際網路服務供應商（ISP）的大頻寬線路，以及需要大頻寬存取的其他連網設備，像是NAS、個人電腦、網路電視；而在整臺資安路由器的網路傳輸效能方面，無論是靜態封包檢測（SPI）防火牆，或啟用資安威脅管理防護、應用程式管理機制，均可提供2000 Mbps的吞吐量。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/06_2-5G_Wired_Connections_Device_1920x800.png" style="width: 600px;" /></p> <p>關於USG LITE 60AX的管理，兆勤表示，需透過他們維護的雲端網路作業平臺Nebula Cloud進行，企業可在透過Nebula Control Center（NCC）網頁介面或Nebula行動App掌握資安防護態勢，也能簡易設定Site-to-Site VPN與遠端存取 VPN、應用程式控管、建置VLAN，以便在家上班人員與遠端工作者連入企業內部網路環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/USG Lite 60AX-運作狀態儀表板.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/USG%20Lite%2060AX-%E9%81%8B%E4%BD%9C%E7%8B%80%E6%85%8B%E5%84%80%E8%A1%A8%E6%9D%BF.jpg" style="width: 600px;" /></a></p> <p>針對連網設備與應用程式存取網際網路的活動，USG LITE 60AX也提供流量的監控管理，也能根據所屬國家的IP位址範圍限制流量，提供額外的員工上網防護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/USG Lite 60AX-資安政策或進階功能的設定_Traffic Management.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/USG%20Lite%2060AX-%E8%B3%87%E5%AE%89%E6%94%BF%E7%AD%96%E6%88%96%E9%80%B2%E9%9A%8E%E5%8A%9F%E8%83%BD%E7%9A%84%E8%A8%AD%E5%AE%9A_Traffic%20Management.jpg" style="width: 600px;" /></a></p> <p>關於資安防護方面，USG LITE 60AX內建防火牆之餘，也提供多種無須支付訂閱費用的功能，預防惡意軟體（存取或下載可能傷害連網設備作業系統與個人檔案的惡意內容）、阻擋網路入侵（非法存取內部網路的個資破壞、側錄、竊取）、阻擋暗網存取（從洋蔥路由代理伺服器存取內部網路的連網設備）、阻擋郵件詐騙與網路釣魚（存取釣魚網站與垃圾內容網址）、阻擋廣告（包含廣告連結的網站）、阻擋VPN代理伺服器（內部網路的連網設備將個資傳送至網路犯罪者的VPN閘道器）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/USG Lite 60AX-防火牆政策.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/USG%20Lite%2060AX-%E9%98%B2%E7%81%AB%E7%89%86%E6%94%BF%E7%AD%96.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/USG Lite 60AX-Nebula管理主控臺.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/USG%20Lite%2060AX-Nebula%E7%AE%A1%E7%90%86%E4%B8%BB%E6%8E%A7%E8%87%BA.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20NGFW-Network%20Security.png" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Zyxel NGFW-SEC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20NGFW-SEC.jpg" style="width: 298px;" /></a></p> <p>若有更高的安全性需求，企業可訂閱Elite Pack服務，就能在這臺無線網路資安路由器，使用資安廠商Trellix供應的即時網路威脅情報、基於DNS的網頁過濾，也能運用<a href="https://support.zyxel.eu/hc/en-us/articles/12714432764434-Nebula-Base-Plus-Pro-Main-differences-Flexible-subscription-and-Easy-upgrade#01H7HQHRNT98K4B38R6SWN94H0">Nebula Pro Pack進階功能</a>——例如，連網設備監控即時監控、事件記錄、統計報告可保存365天的歷程，管理者帳號與認證使用者帳號不限數量，提供<a href="https://support.zyxel.eu/hc/en-us/articles/4405949893138-Nebula-Collaborative-Detection-Response-CDR">協同合作式偵測與應變機制（CDR）</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Zyxel Elite Pack.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20Elite%20Pack.png" style="width: 600px;" /></a></p> <p>這樣的安全功能如果仍不夠用，兆勤科技建議應改用USG Flex 100H，可執行更多資安與網路功能，像是網路入侵預防（IPS）、沙箱檢測、廣域網路負載平衡、外部身分認證伺服器、依IP位址或子網路進行流量塑型。</p> <p><a href="https://s4.itho.me/sites/default/files/images/USG Lite vs USG Flex.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/USG%20Lite%20vs%20USG%20Flex.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，為了響應全球對於環境永續的重視，USG LITE 60AX硬體設備的機殼，特別採用95%比例的消費後回收（Post-Consumer Recycled，PCR）塑膠，相較於丙烯腈-丁二烯-苯乙烯共聚物（ABS）塑膠，可因此減少二氧化碳排放的比例達到81％；而且，這款產品的外盒採用不傷害生態的無鹵素油墨和大豆油墨，包裝體積也縮小40％，提升出貨運輸效率，進而減少碳足跡。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>兆勤Zyxel USG LITE 60AX</strong><br /> ●原廠：兆勤科技<br /> ●建議售價：6,799元（含稅）<br /> ●支援無線網路標準：802.11a/b/g/n/ac/ax<br /> ●天線架構：5GHz、2.4GHz均為4x4:4SS，MU-MIMO<br /> ●Wi-Fi網路傳輸速度：總共為6Gbps，5GHz為4800 Mbps，2.4GHz為1150 Mbps<br /> ●有線網路埠： WAN埠為1個2.5GbE埠，LAN埠為1個2.5GbE埠與4個GbE埠<br /> ●網路吞吐量：SPI防火牆為2,000 Mbps，威脅管理啟用為2,000 Mbps，VPN為300 Mbps<br /> ●IPsec VPN同時通道數量：5個<br /> ●外觀：6.5 x 16.17 x 22.9公分</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/7/29 16:33作者李宗翰https://www.ithome.com.tw/review/164164
Node.js添加實驗性TypeScript支援，版本穩定性疑慮引發社群激烈討論
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Node.js開發團隊在新版本增加實驗性TypeScript支援，要讓Node.js開發者可以直接執行TypeScript檔案，但是社群成員卻在該功能相關的<a href="https://github.com/nodejs/node/pull/53725">GitHub拉取請求頁面</a>，表達對該功能實作的疑慮，包括對支援的方法以及版本相容性都提出許多意見，該GitHub頁面甚至一度因為討論過激而鎖定。</p> <p>TypeScript是微軟所開發的程式語言，其源自於JavaScript但是擁有更多的功能，靜態型別系統便是其重要功能之一。靜態型別系統在大型或是複雜系統的開發扮演重要的角色，具有增加安全性、效能和可維護性等優點。</p> <p>之所以Node.js會添加TypeScript實驗性支援，是基於回應社群的需求，這對於推動Node.js生態系發展，以及未來提供原生支援TypeScript是重要的一步，以更直接的方式執行TypeScript檔案，而不需要額外安裝相依項目或是載入程式。</p> <p>原本以JavaScript為基礎的Node.js要能支援TypeScript，需要進行一系列處理，像是類型剝除，移除TypeScript特有的型別，對於Enum和命名空間等原本不存在於JavaScript的功能，則需要進行額外轉換。</p> <p>新增TypeScript支援的拉取請求頁面，這幾天大量在社交平臺、<a href="https://news.ycombinator.com/item?id=41064351">網路論壇</a>上曝光，引來許多開發者的關注。討論的內容圍繞在型別剝離的方法上，不少開發者認為TypeScript型別剝離並非簡單的操作，會需要完整的TypeScript語法解析器，但是TypeScript語法又不斷改變，因此這增加了支援的難度，使用者可能需要不斷更新Node.js版本才能支援TypeScript功能。</p> <p>錯誤堆疊的正確性也受到關注，社群擔心在剝離類型之後，編譯器無法取得正確的錯誤位置資訊。有一派的支持者認為應該分離更新，採用類似NPM的策略，將TypeScript解析器作為一個可單獨更新的套件，甚至是推出專門支援TypeScript的Node.js版本，避免專案之間的相容性問題。</p> <p>不過，早在之前，開發者與社群就已經過一輪討論，會在保有穩定、高效能的前提下實作，採用型別剝離的方法，不支援TypeScript的所有功能，盡量保持簡單。</p> <p>目前作者也傾向以解耦的方式在Node.js支援TypeScript，透過創建獨立的套件，如此既能夠維持核心穩定版本，也能夠當TypeScript發布Node.js不支援的新功能、重大變更，或是用戶想要自己使用新的實驗功能，可以獨立升級TypeScript。</p> </div></div></div>
2024/7/29 14:39作者李建興https://www.ithome.com.tw/news/164174
PKfail安全啟動繞過漏洞恐衝擊數百萬設備，影響技嘉、Supermicro、Dell等9大業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>韌體安全公司<a href="https://www.binarly.io/blog/pkfail-untrusted-platform-keys-undermine-secure-boot-on-uefi-ecosystem">Binarly在7月25日揭露名為「PKFail」的漏洞</a>，指出他們在今年稍早時發現，BIOS大廠AMI的Secure Boot相關主金鑰（在UEFI領域稱平臺金鑰Platform Key，PK），在一次ODM廠商的資料外洩事故當中，遭到公開而曝光。</p> <p>由於AMI平臺金鑰在Secure Boot運作中作為信任根（Root of Turst），用於驗證設備韌體與啟動軟體的真實性與完整性，其重要性不言而喻。</p> <p>更嚴重的問題在於，Binarly研究小組指出，這個平臺金鑰應由裝置廠商自己產生與管理，並使用最高加密技術保護，並且遵循最佳實踐，但他們研究後發現，實際情形卻是：BIOS廠商在他們提供的參考程式碼，嵌入一把金鑰，並期望OEM或設備廠商會換掉它，但很多廠商沒有這樣做。</p> <p>也就是說，這個平臺金鑰是由BIOS廠商產生，但不同電腦與伺服器廠商都共用同一把金鑰，導致該平臺金鑰完全不能被信任，這顯然破壞UEFI生態系統上的Secure Boot。如今又發現這個平臺金鑰已經外洩，以致於PKFail是一個影響數百萬設備的韌體供應鏈問題，而且x86與ARM架構的裝置都受影響。</p> <p>由於PKFail影響多個電腦與伺服器品牌業者，除了設備商需要發布韌體更新，用戶也需注意這方面的修補釋出狀況。例如，<a href="https://www.supermicro.com/zh_tw/support/security_PKFAIL_Jul_2024">Supermicro就有發布公告</a>，指出已修補Supermicro BIOS韌體中的PKFail漏洞。</p> <p><a href="https://22222483.fs1.hubspotusercontent-na1.net/hubfs/22222483/Reports/PKfail%20-%20Binarly%20Research%20Report%20July%2025%202024.pdf">根據Binarly說明，他們總共發現有22個獨特但不可信的平臺金鑰</a>，因為這些都存在大量共用的情形，至於受影響業者的產品數量，以技嘉有651款產品型號最多，其次為Supermicro的72款、Dell的48款，以及HP的14款、聯想的12款、Intel的10款、宏碁的9款、Fujitsu的5款、Aopen有2款、Formelife的1款。此外，該業者還有提到Samsung，但在受影響產品列表中，我們沒有找到該廠商的產品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖1)PKFail_圖片來源Binarly.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%961)PKFail_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Binarly.jpg" style="width: 600px;" /></a><br /> <span style="color:#696969;">圖片來源／Binarly</span></p> </div></div></div>
2024/7/29 12:26作者羅正漢https://www.ithome.com.tw/news/164168
燦坤與燦星網同日發布資安重訊，說明資訊系統遭受網路攻擊，目前線上購物網站持續停擺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上市公司遭遇資安事故的消息不斷，在7月23日「燦坤實業」與「燦星網通」同時發布資安事件重大訊息，說明公司資訊系統遭受網路攻擊，值得關注的是，這又是一起同集團均受影響的狀況。此外，7月25日還有光寶電子發布重訊，說明資安事件的處理及因應，原因是偵測一部外網伺服器遭受駭客攻擊，已斷網阻隔，避免影響擴大。</p> <p>以燦坤集團這兩家公司而言，上市電子通路業燦坤與上市電器電纜業燦星網發布重訊的時間，是在23日晚間10點，也就是上星期三凱米颱風來臨前夕。兩家公司發布的內容完全相同，主要說明公司資安人員在查知遭受網路攻擊時，已於第一時間啟動相關防禦機制，評估對公司日常營運尚無重大影響。</p> <p>雖然重訊內容相當簡短，並未透露事件的具體影響範圍，但我們在26日查詢燦坤線上購物網站（<a href="http://www.tk3c.com/">www.tk3c.com/</a>），以及燦星網通的公司網站（<a href="http://www.starcomgistic.com">www.starcomgistic.com</a>），這些網站均無法連上。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-07-28_094054.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-07-28_094054.jpg" style="width: 600px;" /></a></p> <p>而在燦坤3C的臉書粉絲專頁上，我們發現該公司在23日早上9點38分就有公告，說明燦坤線上購物因系統維護，暫停服務中。截至7月29日（週一）中午，我們仍未看到復原的公告。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-07-28_092159.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-07-28_092159.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-07-28_092126.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-07-28_092126.jpg" style="width: 600px;" /></a></p> </div></div></div>
2024/7/29 12:15作者羅正漢https://www.ithome.com.tw/news/164155
美國釋出用來評估AI安全的Dioptra平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國家標準暨技術研究院（National Institute of Standards and Technology，<a href="https://github.com/usnistgov/dioptra" target="_blank">NIST）上周釋出Dioptra 1.0</a>，這是一個用來評估AI安全及可靠性的軟體測試平臺，它支援<a href="https://www.ithome.com.tw/news/155275" target="_blank">AI風險管理框架（AI RMF）</a>的測量功能，可評估、分析及追蹤AI風險。</p> <p>Dioptra最早現身於2022年，當時NIST形容它是一個用來評估適合用來保護機器學習系統之安全技術與解決方案的方法，並讓研究人員比較用來對抗不同攻擊、資料集或各種狀況的方法。</p> <p>而今釋出的Dioptra 1.0版預計提供幾項功能，一為模型測試，如第一方於開發生命周期中評估AI模型，或是第二方在收購前或於實驗室環境中以Dioptra來評估AI模型，以及身為第三方的審計員或合規官員用來評估模型的法規與道德標準。</p> <p>此外，Dioptra還可協助學術界或產業的研究人員有系統地追蹤與記錄AI實驗；或是提供一個標準化平臺，讓參與AI競賽或評估挑戰的參賽者測試他們的模型；也能讓紅隊藉由模擬攻擊或對抗條件，來測試AI模型的韌性與安全性。</p> <p>整體而言，NIST期望Dioptra成為一個多功能的平臺，在不同的開發階段或用途上測試、評估與確保AI模型的可靠性。</p> </div></div></div>
2024/7/29 13:14作者陳曉莉https://www.ithome.com.tw/news/164169
X自動蒐集用戶推文來訓練Grok
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有眼尖的使用者發現，X近日在設定中新增了一個檔案分享選項，其預設值即允許其AI聊天機器人Grok利用使用者的公開推文，或是使用者與Grok之間的互動內容來訓練與微調Grok，幸好使用者也可選擇關閉該選項，但目前關閉功能僅適用於網頁版X，尚未支援行動版X。</p> <p>此一選項著實不容易發現，從網頁版登入X之後，必須透過左側邊欄的More，進入Setting and Privacy選項，再選擇Privacy and Safety，才能於下方的Data sharing and personalization看到Grok，點進去之後即可發現它的預設值是允許使用者與Grok分享資料，包括讓Grok得以利用使用者的貼文，以及Grok與使用者之間的互動來訓練及微調Grok。或者使用者也可透過其直接網址<a href="https://x.com/settings/grok_settings">https://x.com/settings/grok_settings</a>到達。</p> <p>在遭到媒體披露之後，<a href="https://x.com/Safety/status/1816874083721838921" target="_blank">X才公開坦承此事</a>，並說每個X用戶都有權可關閉該功能，惟目前僅支援透過網頁版X關閉，之後才會支援行動版X。同時X也<a href="https://help.x.com/en/using-x/about-grok" target="_blank">更新其Grok說明</a>，列出關閉該選項的步驟，並說使用者也能刪除與Grok之間的所有對話紀錄。</p> <p>此外，若使用者將帳戶設為私有，除了可控制觀看推文的對象之外，也能避免被用來訓練Grok的底層模型，或被用來生成答案。</p> </div></div></div>
2024/7/29 11:21作者陳曉莉https://www.ithome.com.tw/news/164166
微軟Azure AI推出小語言模型Phi-3微調工具、新增Llama 3.1、GPT-4o等模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/en-us/blog/announcing-phi-3-fine-tuning-new-generative-ai-models-and-other-azure-ai-updates-to-empower-organizations-to-customize-and-scale-ai-applications/" target="_blank">微軟Azure AI部門上周宣布模型更新版及相關工具</a>，包括小語言模型Phi-3的無伺服器微調端點、更新Phi-3-mini模型，並增加GPT-4o、Llama 3.1、Mistral2作為最新模型服務。</p> <p>Phi-3是<a href="https://www.ithome.com.tw/news/162479" target="_blank">微軟4月發表</a>的小語言模型，包含三種參數規模模型，分別是Phi-3-mini（3.8B）、Phi-3-small（7B）、及Phi-3-medium（14B），強調操作較簡單，可用於運算效能有限或離線環境，允許資源有限的組織將之部署在成本較低的裝置以及頻寬受限的環境中。<a href="https://www.ithome.com.tw/news/163007" target="_blank">5月份再公布</a>具視覺能力的模型Phi-3-vision 4.2B。</p> <p>微軟上周發表Phi-3微調管道。雖然6月份微軟為了Copilot+ PC，微調出專門執行於這類Windows PC上的<a href="https://www.ithome.com.tw/news/163532" target="_blank">Phi Silica模型</a>，但是開發人員還無法自行微調。現在，微軟Azure AI工具Models-as-a-Service（無伺服器端點）正式上線，Phi-3-small模型將可利用這項服務進行微調，微軟提供128K及8K context window版本，Phi-3-vision很快也可利用Models-as-a-Service端點微調。</p> <p>微軟並在上個月宣布Phi-3-mini的更新版本，宣稱核心品質及聽從指令的能力更提升。該公司說模型經過重新訓練，現在理解指令能力大幅改進，來回對話品質和理解能力更高，且支援XML與JSON結構化輸出以及<|system|>提示。</p> <p>最後，微軟宣布Azure AI加入更多AI模型生力軍，現在平臺上的模型已來到1,600多個。本月Azure OpenAI Service平臺增加了剛公布的OpenAI GPT-4o mini、<a href="https://www.ithome.com.tw/news/164093" target="_blank">Meta Llama 3.1 405B</a>和<a href="https://www.ithome.com.tw/news/164107" target="_blank">Mistral Large 2</a>，以及最新的<a href="https://techcommunity.microsoft.com/t5/ai-ai-platform-blog/elevate-search-operations-and-streamline-ai-development-with/ba-p/4200683" target="_blank">Cohere的Rerank</a>，後者支援100多種語言、4k context windows，它也具備語義搜尋力，可搜尋半結構化資訊，如郵件、收據、JSON文件、程式碼和表格等。</p> </div></div></div>
2024/7/29 12:00作者林妍溱https://www.ithome.com.tw/news/164167
【資安週報】2024年7月22日到7月26日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一星期的資安新聞中，資安業者CrowdStrike旗下的EDR系統更新引發Windows電腦大當機的事故，後續消息是持續不斷地傳出，佔據資安日報的大量新聞版面。</p> <p>首先，關於影響層面的後續新聞就有不少，例如，微軟說明全球850萬臺電腦受影響，雖然數量不到全球Windows電腦總數的百分之一，但微軟自己也指出這已造成對全球社會與經濟的廣泛影響。</p> <p>關於臺灣受影響狀況的新聞，有兩則重要報導，一是iThome特別詢問多家臺灣企業資安長、資服業者等，了解到企業實際面對的狀況，不只金融業、資服業、傳統製造業與高科技製造業者都傳出災情，有資服業者更是以手動方式在3天復原3,000多臺個人電腦；另一是金管會公布針對國內金融業清查的結果，有2家期貨商、4家投信業、5家壽險業和2家產險業者受影響，其中保險業就有1千多臺伺服器與1千多臺個人電腦，遭到波及。</p> <p>此外，在我們日前發布的<a href="https://www.ithome.com.tw/news/164094">最新Fintech週報</a>中，也有指出國外金融領域受影響情形，包括摩根大通、瑞士銀行、德意志銀行、日本野村銀行，甚至倫敦證券交易所用來發布監管公告的新聞服務，也都受到影響。</p> <p>關注災情之餘，對於事故原因的調查，更是大家亟欲了解的部分。CrowdStrike在7月24日的事故更新公布初步調查結果，指出說明問題發生在派送「Rapid Response Content」的環節，加上這個問題在驗證檢查期間未被檢測到，使得後續Falcon感應器更新、布署並載入這些內容，導致了越界記憶體讀取，進而引發Windows電腦當機。</p> <p>當然，這次事件還有諸多衍生議題，一些新聞內容也未能全部涵蓋，像是從一開始大家質疑資安廠商部署前是否有測試、為何沒發現問題？後來討論延伸到為何程式開發人員會犯錯？也有人表示這是因為開發人員使用不具記憶體安全（non-memory-safe）的程式語言；也有人質疑針作業系統核心為何要開放第三方軟體深度整合，就連該家資安廠商提供Uber Eats禮品卡賠罪，也引發眾人不滿，以及傳出有政府與企業要求賠償的狀況等，這些都值得我們繼續追蹤。</p> <p>另一重要資安新聞是，資安業者KnowBe4揭露自身遭遇北韓駭客潛入公司內容成為軟體工程師，原因是對方使用AI深偽技術並通過線上面試。事實上，早在2022年美國政府就意識到這樣的問題，像是美國財政部就針對來自北韓的<a href="https://ofac.treasury.gov/media/923126/download?inline">IT Workers</a>示警，指出雖然他們主要從事合法的IT工作，但會濫用自身權限協助北韓進行惡意網路入侵，又或是賺錢來幫助北韓實施網路攻擊。而從這次對方使用AI深偽技術求職來看，並通過了4次KnowBe4的線上會議面試，幸好他們聘僱後及早發現異常。但這是否也意味著還有很多還沒發現的情形？</p> <p>其他重要資安事件上，有多起消息與國內上市櫃公司有關，我們整理如下：<br /> ●燦坤與燦星網同日發布資安重訊，說明資訊系統遭受網路攻擊。<br /> ●光寶科發布重大訊息，說明偵測一部外網伺服器遭受駭客攻擊的因應。<br /> ●針對半導體矽晶圓廠環球晶圓6月遭駭事故，最近駭客組織Storm-1811突然聲稱是他們所為，並要脅7月底將公布竊得資料。<br /> ●移民署內部通訊錄驚傳流入駭客論壇，該單位表示疑為離職員工所為。<br /> ●美國洛杉機高等法院傳出遭到勒索軟體攻擊，被迫關閉網路系統。</p> <p>在漏洞消息方面，有一個鎖定利用狀況需要留意，ServiceNow在7月10日修補的重大漏洞CVE-2024-4879，最近有資安業者察覺多個駭客組織蠢蠢欲動，因為出現嘗試掃描未修補上述漏洞的ServiceNow平臺的行為。</p> <p>至於資安防禦及產業動向上，有3個重要的消息，首先，Google多年來表示將在Chrome中封鎖第三方Cookie，如今竟放棄計畫，其次是非營利組織OASIS Open宣布安全AI聯盟CoSAI（Coalition for Secure AI）成立，多家科技大廠參與，目標是在AI安全設計方面建立協作生態體系；第三是雲端安全公司Wiz傳出拒絕Google高價收購，將尋求在股票市場掛牌上市（IPO）。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/164058"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月22日】資安業者CrowdStrike更新事故衝擊規模初步統計出爐，至少影響850萬臺電腦、67萬企業用戶</span></strong></a></h3> <p>上週五臺灣時間下午約一點開始，全球各地傳出因EDR系統CrowdStrike Falcon更新造成藍色當機（BSoD）的情況，該資安業者雖然後續公開對社會大眾說明這起事故僅影響Windows用戶，卻並未透露有多少用戶的電腦因此當機。不過，他們也警告有人利用這起事故為誘餌，從事網路攻擊的現象。</p> <p>雖然這起事故發生在週末，但後續效應仍在發酵。有資安業者估計有67.4萬企業用戶可能受到影響，稍早微軟曾公布至少有850萬臺電腦受到影響的數據，全球損害情形仍有待進一步追蹤。</p> <h3><a href="https://www.ithome.com.tw/news/164083"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月23日】臺灣企業因CrowdStrike產品更新造成電腦當機的情況，金融、資服、傳統製造、高科技製造業都傳出災情</span></strong></a></h3> <p>上週最受到各界關注的事故，就是EDR系統CrowdStrike Falcon更新出錯，導致全球大量出現藍色當機畫面（BSoD）的情況，微軟初估全球有850萬臺Windows電腦受到影響，究竟臺灣災情如何，陸續有相關消息傳出。我們也私下訪問企業的資安長及資服業者，發現金融、資服、傳統製造及高科技製造業都傳出災情。</p> <p>另一方面，金管會也在例行記者會透露金融業者受害的情形，並指出期貨商、投信業者、壽險業者、產險業者都有受害的情況。</p> <p><a href="https://www.ithome.com.tw/news/164152"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月26日】資安業者KnowBe4驚傳僱用北韓駭客，對方利用深偽技術應徵工作得逞，直到從事可疑行為才東窗事發</span></strong></a></p> <p>上週末CrowdStrike旗下EDR系統更新引發全球大當機的事故，在本週持續延燒，並出現多組駭客藉此事故發動攻擊的情況。但在此同時，我們認為本週資安意識教育訓練業者KnowBe4揭露的內部威脅事故，也非常值得留意。</p> <p>這起事故的特殊之處在於，他們不慎聘僱到北韓駭客當軟體工程師，但在面試的過程竟然完全沒有察覺可疑的地方，對於專門指導企業員工提升資安意識的業者而言，顯然該公司人力資源部門有待加強相關的資安意識訓練。</p> </div></div></div>
2024/7/29 10:18作者羅正漢https://www.ithome.com.tw/news/164163
Google解決Chrome密碼管理工具的臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google近日緊急解決了一個特定版本Chrome瀏覽器密碼管理器（Password Manager）中造成儲存的密碼短暫神祕消失的問題。</p> <p>日前有多名Chrome用戶<a href="https://www.reddit.com/r/chrome/comments/1eb2dbo/comment/ler3rp5/" target="_blank">在Reddit上反映</a>，儲存在Chrome瀏覽器的密碼全部消失，而且將密碼備份匯入後也會立即不見。用戶發現是升級到Chrome 127.0.6533.73版本後，才出現儲存密碼全部消失、無法按原本設定autofill。</p> <p>Google上周接獲通報後進行調查，並在將近18小時後緊急修補完成，<a href="https://www.google.com/appsstatus/dashboard/incidents/bRXnorYZuuVLDDqctj87?hl=en" target="_blank">並發布狀態頁解釋</a>。根據Google初步分析，原因是Google產品開發部門對Chrome的產品行為做了變更，但未做好功能保護，導致Product Manager無法儲存或找到密碼。實際上，密碼並未消失或被重設；用戶仍然能儲存密碼，但卻看不到或找不到它們。Google並未進一步說明，表示日後會進一步說明此次事件。</p> <p>本問題影響Chrome M127版本。這版本用戶中，25%產品已經部署了這次變更，而其中有近2%出現了密碼神祕消失的情形。</p> <p>上周Chrome的緊急修補，需要用戶以「–enable-features=SkipUndecryptablePasswords」指令行啟動Chrome。用戶應按Google說明，在Google捷徑的「屬性Properties」貼入上述字串，完成以捷徑啟動Chrome。</p> <p>但Google說明，目前的修補僅是緊急修補，之後才會釋出完全解決問題的Chrome版本。屆時用戶必須重啟Chrome瀏覽器才會生效。</p> </div></div></div>
2024/7/29 10:48作者林妍溱https://www.ithome.com.tw/news/164165
北韓駭客Andariel以經濟利益為目標，發動勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從2009年從事網路間諜活動的北韓駭客組織Andariel（也稱做APT45、Onyx Sleet、Stonefly），最近研究人員發現，對方從事網路攻擊的類型變得更為廣泛，<a href="https://cloud.google.com/blog/topics/threat-intelligence/apt45-north-korea-digital-military-machine">疑似開始發展勒索軟體並用於攻擊行動，牟取經濟利益</a>。</p> <p>資安業者Mandiant指出，根據他們的觀察，這些駭客從2009年就積極從事網路攻擊，但自2017年開始，對方特別關注政府機關與國防工業，如今則是踏入勒索軟體攻擊的領域，不僅是籌措該組織營運所需的經費，更重要的是為北韓政府的重要事務提供資金來源。</p> <p>研究人員指出，雖然他們並不清楚牟取經濟利益是否為該組織的重點任務，但Andariel是少數會運用這類工具的北韓駭客組織，因而引起他們的注意。</p> <p>他們追蹤了數起可能與該駭客組織有關的攻擊行動，但無法確認就是對方所為。研究人員舉出兩起資安事故，其中，他們首度揭露的勒索軟體ShatteredGlass，2021年資安業者卡巴斯基指出從事相關攻擊的駭客，很有可能就是Andariel。</p> <p>另一起資安事故，則是2022年美國網路安全暨基礎設施安全局（CISA）揭露的勒索軟體Maui攻擊行動，北韓國家級駭客用來攻擊醫療照護及公共衛生機構，而這裡提到的北韓駭客，Mandiant認為應該就是Andariel。</p> <p>為何他們後來才指出這些勒索軟體攻擊是Andariel所為？原因很有可能是這些駭客在攻擊過程中，往往仰賴不少能公開取得的公用程式（如3proxy），或是惡意軟體（如RogueEye），而難以判斷攻擊來源。</p> <p>當然，這些駭客還是有使用自行開發部分惡意程式，研究人員根據長期的追蹤和分析，確認這些駭客打造的惡意軟體特徵，並發現對方會採用專屬的加密手法，以及重覆使用程式碼的情況。</p> <p><a href="https://s4.itho.me/sites/default/files/images/apt45-fig3_max-2100x2100.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt45-fig3_max-2100x2100.jpg" style="width: 580px;" /></a></p> <blockquote><p>Mandiant彙整北韓駭客Andariel使用、開發的惡意程式關連圖，我們可以看到駭客初期以5種惡意程式進行發展，然後開發其他版本，在這裡可以看到新的惡意軟體很可能以2款以上的舊惡意程式為基礎改造而成。</p> </blockquote> <p>值得一提的是，雖然他們提及Andariel背後與北韓駭客組織Kimsuky（APT43）、BlueNoroff（APT38）、Lazarus一樣，應該都是受到北韓偵察總局（RGB）指使，但Andariel與其他北韓駭客組織使用的武器庫，還是有所差異。</p> <p><a href="https://s4.itho.me/sites/default/files/images/apt45-fig4_max-1700x1700.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt45-fig4_max-1700x1700.jpg" style="width: 580px;" /></a></p> </div></div></div>
2024/7/27 10:30作者周峻佑https://www.ithome.com.tw/news/164158
逾3千個GitHub帳號遭駭客組織Stargazer Goblin濫用，作為散布惡意軟體的管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客濫用程式碼儲存庫GitHub來散布惡意程式的情況，最近一、兩年可說是不斷出現，但如今有人大規模經營這類帳號提供他人運用，形成龐大的網路犯罪生態圈。</p> <p>資安業者Check Point揭露專門<a href="https://research.checkpoint.com/2024/stargazers-ghost-network/">經營GitHub帳號網路的駭客組織Stargazers Ghost</a>，對方經營由超過3千個GitHub「幽靈」帳號組成的網路，並將其用於散布惡意軟體及惡意連結。</p> <p>駭客為了讓這些儲存庫看起來是正當使用，他們還會為儲存庫加上星號、建立版本分支，並且訂閱其他惡意儲存庫。</p> <p>但該組織經營這種網路設施並非單純自給自足，而是向其他駭客提供租用服務，研究人員將這種服務稱作Distribution as a Service（DaaS）。他們看到駭客在2022年8月開始嘗試開發及進行測試，並在隔年7月於暗網論壇張貼廣告吸引買家上門，根據今年5月中旬至6月中旬的監測，他們估計該組織的月收入約為8千美元，截至目前為止，不法獲利超過10萬美元。</p> <p>研究人員特別提到，Stargazers Ghost並非只經營GitHub帳號提供儲存庫供網路罪犯運用，因為，他們還發現其他平臺的幽靈帳號。</p> <p>究竟他們如何察覺這種大規模經營用於散布惡意程式的GitHub帳號，研究人員透露最初在經過短期的監控，一口氣發現超過2,200個幽靈帳號經營的程式碼儲存庫，而且，在今年1月的發生的網路攻擊裡，就透過這些儲存庫散布竊資軟體Atlantida，並在4天內導致1,300臺電腦遭到感染。</p> <p>至於駭客散布這些儲存庫的惡意連結的方式，研究人員指出，很有可能透過即時通訊軟體Discord的頻道來進行，對方假借提供破解軟體或是與加密貨幣相關的活動，透過網釣範本引誘使用者上當，目標是想要增加粉絲的YouTube、Twitch、Instagram的經營者。</p> <p>一般來說，駭客多半是利用GitHub儲存庫直接做為提供惡意程式的管道，而這種儲存庫通常是為了特定攻擊行動設置，而且會長時間保持可用狀態，不過，這些儲存庫通常不會有相關的下載指示或是說明。</p> <p>而Stargazers Ghost的做法徹底改變這樣的遊戲規則，他們並非利用儲存庫存放惡意軟體，而是在這些儲存庫提供惡意連結，而這些連結有許多的GitHub「用戶」背書，獲得大量的「星星」或是「驗證」，使其看起來更為真實、合法。</p> <p>基本上，這些駭客對於特定的族群，會使用相同的標籤及圖像，研究人員推測這些儲存庫來自相同的範本，並透過自動化的方式產生。通常這種儲存庫包含的說明網頁（README.md），都會包含惡意的「Download」連結，使用者若是點選多半會連網外部網站，但也有重新導向其他GitHub儲存庫的情況。而這些駭客迴避GitHub掃描惡意檔案的做法，通常就是運用以密碼保護的壓縮檔案來達到目的。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2024-06-05-161321.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2024-06-05-161321.png" style="width: 580px;" /></a></p> <p>不過，這些駭客並非將所有的GitHub帳號都拿來設置前述的惡意儲存庫，還有另外兩種類型的帳號，分別提供網釣範本當中的圖片，以及存放內含惡意程式的壓縮檔。而對方如此分工的目的，主要在於一旦有部分帳號被察覺惡意行為遭到停用，他們可以很快處理，而能大幅降低營運的負擔。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2024-06-12-121848.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2024-06-12-121848.png" style="width: 580px;" /></a></p> <p>至於Stargazers Ghost的儲存庫網路被用來散布那些惡意程式？研究人員看到了RedLine、Lumma Stealer、Rhadamanthys、RisePro，以及Atlantida等多種惡意軟體。</p> <p>研究人員根據他們掌握的情報，濫用GitHub只是這些駭客經營的惡意程式散布服務的一部分，他們很有可能還濫用其他平臺，而研究人員則是在其中一個聲稱提供「免費」版Adobe PhotoShop 2024的GitHub儲存庫裡，看到駭客分享的YouTube影片，印證這項推測。</p> <p><a href="https://s4.itho.me/sites/default/files/images/sc1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/sc1.png" style="width: 580px;" /></a></p> <p>值得留意的是，他們發現有些GitHub帳號並非這些駭客所有，在上述的儲存庫當中，研究人員看到帳號的所有者留言，抗議對方擅自使用他的帳號推送儲存庫的情況。</p> <p><a href="https://s4.itho.me/sites/default/files/images/sc3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/sc3.png" style="width: 580px;" /></a></p> </div></div></div>
2024/7/28 00:45作者周峻佑https://www.ithome.com.tw/news/164161
網路捷徑檔案安全機制繞過漏洞遭到利用超過一年，攻擊者用於散布數種竊資軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在今年2月例行更新修補了<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21412">網路捷徑檔案安全繞過漏洞CVE-2024-21412</a>，不過近期有研究人員提出警告，駭客利用這項漏洞來散布多種惡意軟體的情況，其實迄今已超過了一年。</p> <p>資安業者Fortinet指出，在過去一年裡，包括Water Hydra在內的駭客組織，<a href="https://www.fortinet.com/blog/threat-research/exploiting-cve-2024-21412-stealer-campaign-unleashed">利用這項漏洞散布Lumma Stealer、Meduza Stealer、ACR Stealer等多種竊資軟體</a>，攻擊範圍涵蓋北美、西班牙、泰國。相較於通報這項零時差漏洞的資安業者趨勢科技，<a href="https://www.trendmicro.com/zh_tw/research/24/b/cve202421412-water-hydra-targets-traders-with-windows-defender-s.html">於去年12月發現Water Hydra的漏洞利用攻擊行動</a>，根據Fortinet本週公布的這份研究分析，此漏洞的濫用比趨勢的相關揭露早了大約5個月。</p> <p>研究人員看到駭客先是引誘使用者點選特定的URL檔案，然後在受害電腦下載LNK檔案，而這個LNK檔內含能夠執行HTA指令碼的檔案，一旦執行，該指令碼就會解開PowerShell程式碼，從而取得最終的URL、誘餌PDF檔案，以及惡意Shell程式碼注入工具，最終將竊資軟體注入合法處理程序，從事惡意活動並將竊得資料回傳C2伺服器。</p> <p>對於這項漏洞帶來的資安風險，微軟指出，未經身分驗證的攻擊者可對目標發送特製的檔案，從而繞過相關資安檢核，CVSS風險評為8.1分。他們也提及雖然攻擊者無法直接強迫使用者檢視特定內容，但還是可以誘騙使用者點選檔案連結來觸發整個攻擊鏈。</p> <p>究竟駭客如何發起攻擊行動？Fortinet的研究人員指出，對方先是製作指向特定遠端伺服器的惡意URL檔案，其中連結指向的LNK檔案，不只使用雙重副檔名偽裝成PDF檔案（.PDF.LNK），也濫用Edge主程式的圖示資源，讓這個檔案看起來像是PDF文件。</p> <p>一旦使用者執行URL檔案，取得LNK檔案並點選，這個檔案便會使用forfiles指令呼叫PowerShell，並執行mshta從另一臺伺服器取得可執行檔。根據研究人員取得的LNK檔案，這些檔案都會在受害電腦下載類似的可執行檔，並包含嵌入的HTA指令碼，這個指令碼設置的視窗最小化，並且不會顯示工具列，使得受害者不易察覺。攻擊者藉此執行額外的惡意程式碼，從而推進下個階段的攻擊，解開PowerShell程式碼。</p> <p>而這些程式碼將誘餌PDF檔案和另一個可執行檔下載到受害電腦，其中的可執行檔會在下個階段注入Shell程式碼。</p> <p>研究人員表示，對方使用的程式碼注入工具大致可分成兩種，其中一種是利用映像檔散布，在檢查受害電腦是否執行除錯模式後，電腦就會從圖片代管網站Imghippo下載特定圖檔，然後使用名為GdipBitmapGetPixel的API解出Shell Code，從而在受害電腦植入惡意程式載入工具HijackLoader。</p> <p>另一種Shell Code注入工具的運作方式相當不同，它從特定資料解密程式碼，然後使用一系列Windows的API功能注入Shell Code。</p> <p>但無論那一種Shell Code，最終都會在受害電腦植入竊資軟體。值得留意的是，研究人員提及透過HijackLoader載入的竊資軟體ACR Stealer，駭客特別濫用電玩市集Steam的社群網站，固定情報解析器作為（Dead Drop Resolver），意圖埋藏C2的來源。</p> </div></div></div>
2024/7/27 21:51作者周峻佑https://www.ithome.com.tw/news/164159
1U提供288核與2TB記憶體，Dell推出首款Xeon 6伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_poweredge_r670_csp_edition_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在4月舉行的Vision大會，<a href="https://www.intel.com/content/www/us/en/newsroom/news/vision-2024-enterprise-ai-gaudi-3-open-systems-strategy.html">英特爾下一代伺服器處理器平臺正式定名為Xeon 6</a>，代號為Sierra Forest的處理器稱為搭載E-Core 的Intel Xeon 6，代號為Granite Rapids的處理器稱為搭載 P-Core的Intel Xeon 6，而在一個月後登場的Dell Technologies World大會，Dell預告7月將推出兩款採用Xeon 6處理器的伺服器機型，分別是：採用1U尺寸機箱的R670 CSP Edition，以及2U尺寸的R770 CSP Edition，時至7月底的此刻，Dell的網站終於陸續公布這兩款產品的規格。</p> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Power%20Edge%20Cloud%20Scale%20Servers-model.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-07-Dell%20Cloud%20Scale%20Servers.jpg" style="width: 600px;" /></p> <p>R670與R770在5月發表時，Dell表示，初期會先供應雲端服務供應商使用，後續再普遍提供更多客戶採用，這批伺服器可針對高效能運算（HPC）領域，提供最佳效能，能支援高密度與橫向擴展規模的雲端工作負載，例如伺服器虛擬化與資料分析，帶來更大的使用效率，在減少耗電量的同時，而不會影響效能。</p> <p>在硬體設備的內部配置上，Dell提到兩款產品導入他們發展的智慧型冷卻技術Smart Cooling，能達到很好的能源使用效率，而且能以聰明的方式適應快速變化的IT環境。</p> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20R670-2024-07-19-fans.jpg" style="width: 600px;" /></p> <p>新款伺服器會在緊緻的機箱外形當中，提供前側的I/O連接能力——DB9序列埠、專用於基板管理控制器（BMC）的遠端管理網路埠，以並且兩個BOSS-N1伺服器開機硬碟，以及2張OCP 3.0規格的網路卡，因應機房冷通道配置環境的維護作業，並且提供多樣的組態設定，簡化多臺伺服器的部署與零組件更換，以此支援各種資料中心的設置。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20R670-2024-07-19-4.jpg" style="width: 600px;" /></p> <p>而在機箱內部的配置設計上，Dell表示，R670與R770採用開放運算計畫（OCP）推動的DC-MHS（Data Center Modular Hardware System Specification）規格，支援彈性與可擴展的硬體架構，可便於伺服器、儲存設備、網路設備等硬體元件的整合、更換、升級、規模擴展，也有利於硬體元件的快速調整，以支援資料處理需求的變更。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Power%20Edge%20Cloud%20Scale%20Servers-DC-MHS.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20R670-2024-07-19-1.jpg" style="width: 298px;" /></p> <p>關於運算能力的提升，Dell表示，相較於前一代採用第五代Xeon Scalable處理器的伺服器，最新推出的R670與R770因為採用Xeon 6處理器，以單座機櫃而言，效能可增長至2.3倍（+132.14％），每瓦效能增長至1.6倍（+58.34％），而在系統管理平臺的部分，它們將內建OpenBMC的Dell Open Server Manager，協助用戶在大規模的開放異質伺服器環境，也能獲得簡化管理的能力。</p> <p>根據Dell這個月公布的技術規格來看，R670的細部配置有何特色？它採用1U機箱、2路、32支DDR5-6400記憶體的組態，由於這款伺服器可搭配2顆Xeon 6處理器，目前支援最多可內建144顆核心的E-Core款式，因此單靠1臺1U尺寸的伺服器，就能提供288顆運算核心與2 TB容量記憶體（裝滿64 GB記憶體），產品的特色是支援高密度部署的多種應用，像是伺服器虛擬化與雲端原生、橫向擴展資料庫、軟體定義儲存系統，而且可搭配GPU加速卡。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Power%20Edge%20Cloud%20Scale%20Servers-spec.png" style="width: 298px;" /></p> <p>儲存組態方面，R670在機箱前緣可安裝8臺E3.S外形的NVMe固態硬碟，若搭配15.36 TB容量固態硬碟，整臺伺服器可提供122.4 TB的固態儲存。介面擴充的部分，它能搭配兩張PCIe 5.0介面卡，例如兩張75瓦熱設計功耗的GPU加速卡；電源供應器的部分，R670可搭配800瓦、1100瓦、1500瓦這三種規格。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell R670-2024-07-19-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20R670-2024-07-19-3.jpg" style="width: 600px;" /></a></p> <p>Dell預告，R670未來將支援Xeon 6的P-Core款式處理器，更多數量的記憶體，2.5吋的NVMe、SAS、SATA傳統硬碟與固態硬碟，3200瓦電源供應器，熱設計功耗更高的GPU，以便支援AI工作負載，也能搭配PERC儲存RAID卡與iDRAC系統管理平臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell R670-2024-07-19-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20R670-2024-07-19-5.jpg" style="width: 300px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Dell PowerEdge R670 CSP Edition</strong><br /> ●原廠：Dell<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U（482 x 42.8 x 817.94公釐）<br /> ●處理器：2顆，Intel Xeon 6系列（單顆最多144核心）<br /> ●記憶體：32個DDR5插槽，RDIMM可支援32支6400 MT/s（最大總共2 TB）<br /> ●儲存配置：8臺E3.S外形NVMe固態硬碟（最大總共122.4 TB）、2臺M.2外形NVMe固態硬碟（BOSS-N1 Flatbread）<br /> ●I/O介面：PCIe 5.0 x16（2個）<br /> ●電源供應器：2臺800瓦/1100瓦/1500瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/7/27 01:35作者李宗翰https://www.ithome.com.tw/review/164102
【資安日報】7月26日，資安業者KnowBe4驚傳僱用北韓駭客，對方利用深偽技術應徵工作得逞，直到從事可疑行為才東窗事發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週末CrowdStrike旗下EDR系統更新引發全球大當機的事故，在本週持續延燒，並出現多組駭客藉此事故發動攻擊的情況。但在此同時，我們認為本週資安意識教育訓練業者KnowBe4揭露的內部威脅事故，也非常值得留意。</p> <p>這起事故的特殊之處在於，他們不慎聘僱到北韓駭客當軟體工程師，但在面試的過程竟然完全沒有察覺可疑的地方，對於專門指導企業員工提升資安意識的業者而言，顯然該公司人力資源部門有待加強相關的資安意識訓練。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164108"><strong style="font-size: 22px;">駭客利用深偽技術線上應徵工作得逞，資安業者KnowBe4傳出不慎僱用北韓駭客，察覺異狀並尋求FBI協助調查</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-07-25 19_22_35.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-07-25%2019_22_35.png" style="width: 300px; float: right;" /></a>7月24日資安意識教育訓練業者KnowBe4揭露他們近期遭遇的內部威脅資安事故，該公司最近為內部的IT AI團隊招募軟體工程師，他們發布求才訊息，並在收到履歷後安排面試、查核應徵者的背景、驗證推薦者等程序，最後決定聘僱。但該公司向這名新進人員提供Mac電腦工作站之後，奇怪的事情發生：這臺電腦竟然開始被載入惡意軟體。</p> <p>該公司指出，人力資源（HR）團隊其實相當盡力進行相關的檢查，他們在不同場合安排了4次視訊會議面試，並儘可能確認應徵者是履歷當中的本人，而且，該團隊也進行身家調查，以及執行就職前的其他標準審查流程。然而，對方雖然是真實人物，但濫用遭竊的美國公民身分，並使用Deepfake手法，透過AI「強化」照片。</p> <p>在該公司的EDR系統偵測到異狀並向資安營運中心（SOC）發出警訊，SOC向該名新員工詢問是否需要協助。在此同時，該公司也向資安業者Mandiant、美國聯邦調查局（FBI）共享收集到的資料與初步的調查結果，從而確認這是來自北韓的假IT人員。</p> <p><a href="https://www.ithome.com.tw/news/164100"><strong style="font-size: 22px;">針對EDR更新引發全球大當機事故，CrowdStrike說明發生的原因在於驗證軟體臭蟲</strong></a></p> <p></p> <p>EDR更新引發全球大當機將近一周，7月24日資安業者CrowdStrike發布事件初步檢討報告（Preliminary Post Incident Review），進一步說明這起事故發生的原因。</p> <p>該公司表示，造成當機的原因源自於快速回應內容（Rapid Response Content）檔案的缺陷，他們在派送之前的驗證流程並未察覺而釀禍。一旦Falcon Sensor載入這批有問題的檔案，就會導致記憶體越界讀取（Out-of-bounds Read，OBR）的情況，並引發藍色當機（BSoD）畫面。</p> <p>對此，他們提出預防事件重演的修正措施，包括強化對於更新檔案的多項測試，並對內容驗證器加強驗證檢查，也加強內容解譯器（Content Interpreter）對既有錯誤處理的能力。此外，該公司也將使用逐步部署策略連同加強監控、提高客戶控管能力，以及在發行公告（Release Notes）提供更多資訊給客戶，防範事件快速蔓延。該公司也計畫導入外部組織來驗證軟體程式碼，及其作業流程。</p> <p><a href="https://www.ithome.com.tw/news/164089"><strong style="font-size: 22px;">臺灣資安長將視CrowdStrike災後應變態度，作為是否採用的參考</strong></a></p> <p>資安業者CrowdStrike於7月19日因為EDR軟體更新出包，造成許多微軟電腦和伺服器出現藍色當機畫面（BSOD）。也有匿名高科技製造業資安主管表示，勒索軟體做不到的事情（企業電腦大規模當機），CrowdStrike做到了。另外也有不少Line資安群組，紛紛以CrowdStrike官網「62分鐘就能讓您的企業停止運作」的網路頁面，反諷CrowdStrike真的做到讓企業停止運作了。</p> <p>盤點過臺灣CrowdStrike引發的電腦當機災情後，有許多資安長坦言，採用雲端服務的趨勢不可逆，對於已經是CrowdStrike的用戶並發生大規模災情，有高科技業資安主管已經考慮明年不再續約；但對於正在評估是否採購該廠牌產品的企業而言，CrowdStrike的應變方式和對客戶的補償方式等，則是他們後續評估是否採購的重要關鍵。</p> <p><a href="https://www.ithome.com.tw/news/164106"><strong style="font-size: 22px;">使用竊資軟體Lumma Stealer、Connecio的駭客加入利用CrowdStrike更新大當機為幌子的行列</strong></a></p> <p>上週發生的CrowdStrike更新大當機事故，包含資安業者CrowdStrike自己的威脅情報團隊在內的研究人員提出警告，駭客也會假借提供解決方案的名義，對於該廠牌EDR用戶發動攻擊，如今CrowdStrike再度公布兩起這種類型的資安事故。</p> <p>7月23日研究人員表示，他們看到惡意ZIP壓縮檔CrowdStrike Falcon.zip，駭客宣稱是EDR系統Falcon的更新檔案，其內容含有使用說明的純文字檔案，以及WinRAR自解壓縮檔（SFX）CrowdStrike Falcon.exe。一旦使用者執行，電腦就會進行解壓縮作業，呼叫以Python程式語言打造的竊資軟體Connecio。</p> <p>事隔一天，研究人員發現另一起竊資軟體攻擊行動，這回是惡名昭彰的Lumma Stealer（也有人稱為LummaC2），他們發現網釣網域crowdstrike-office365[.]com，假冒該資安業者的名義散布惡意ZIP及RAR壓縮檔，內含MSI安裝檔，一旦執行，電腦就會載入竊資軟體。</p> <p><a href="https://www.ithome.com.tw/news/164099"><strong style="font-size: 22px;">臺灣及美國macOS用戶遭到鎖定，中國駭客Evasive Panda使用後門程式Macma從事攻擊行動</strong></a></p> <p>過往駭客主要針對Windows電腦下手，但最近兩到三年，他們將攻擊範圍擴及其他作業系統的情況越來越普遍，有駭客組織使用跨平臺開發工具，打造出針對macOS、安卓作業系統的惡意程式。</p> <p>例如，資安業者賽門鐵克揭露中國駭客組織Evasive Panda（他們稱為Daggerfly）開發的macOS惡意程式，就是這樣的例子。他們針對最近一波的攻擊行動提出警告，指出對方近期針對臺灣企業組織、位於中國的美國非政府組織（NGO）使用新的作案工具從事網路間諜活動，過程中利用Apache HTTP伺服器的漏洞散布惡意軟體框架MgBot。</p> <p>但值得留意的是，他們發現名為Macma的macOS後門程式，也是這些駭客開發、使用的武器之一。這個後門程式最早在2021年由Google威脅情報團隊（TAG）揭露，並推測駭客2019年就開始使用，並濫用遭駭的香港網站發動水坑式攻擊，來散布這支後門程式。</p> <p><a href="https://www.ithome.com.tw/news/164139"><strong style="font-size: 22px;">重大層級ServiceNow漏洞已被用於攻擊行動，駭客恐藉此竊取帳密資料</strong></a></p> <p>本月10日數位工作流程管理解決方案業者ServiceNow公布重大層級的輸入驗證漏洞CVE-2024-4879，並提供更新軟體予以修補。隔日，通報此事的資安業者Assetnote公布相關細節，並指出這項漏洞相當嚴重，但攻擊者若是串連另一個重大層級的輸入驗證漏洞CVE-2024-5217，以及中度風險的敏感檔案讀取漏洞CVE-2024-5178（編按：這兩個漏洞也同樣在10日被修補），就有機會存取資料庫。這些細節公布後，很快就出相關攻擊行動。</p> <p>資安業者Resecurity指出，在Assetnote公布漏洞細節不久，他們就察覺有多個駭客組織開始嘗試掃描尚未修補上述漏洞的ServiceNow平臺，根據物聯網搜尋引擎FOFA的搜尋結果，約有30萬臺ServiceNow主機有可能會被遠端探測，其中又以美國超過29萬臺數量最多，印度、瑞士居次，分別有1.9萬、1.5萬臺，英國、愛爾蘭分別有5,867臺、3,929臺。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://udn.com/news/story/7238/8116748"><strong style="font-size: 20px;">針對半導體矽晶圓廠環球晶圓6月遭駭事故，駭客組織Storm-1811聲稱是他們所為，要脅7月底公布竊得資料</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=170127&SPOKE_DATE=20240725&COMPANY_ID=2301">電源管理設備供應商光寶科技察覺外網伺服器遭到攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=221521&SPOKE_DATE=20240723&COMPANY_ID=2430">燦坤</a>、<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=221227&SPOKE_DATE=20240723&COMPANY_ID=4930">燦星網</a>部分資訊系統遭受網路攻擊</strong></p> <p></p> <p>◆<a href="https://cloud.google.com/blog/topics/threat-intelligence/apt45-north-korea-digital-military-machine"><strong style="font-size: 20px;">北韓駭客Andariel以經濟利益為目標，發動勒索軟體攻擊</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://research.checkpoint.com/2024/stargazers-ghost-network/">逾3千個GitHub帳號遭駭客組織Stargazer Goblin濫用，作為散布惡意軟體的管道</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/exploiting-cve-2024-21412-stealer-campaign-unleashed">網路捷徑檔案安全機制繞過漏洞遭到利用，攻擊者用於散布竊資軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.dragos.com/blog/protect-against-frostygoop-ics-malware-targeting-operational-technology/">工控系統惡意軟體FrostyGoop今年初發動攻擊，導致烏克蘭暖氣供應中斷</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164148"><strong style="font-size: 22px;">Docker揭露嚴重度高達10分資安漏洞，問題出在外掛程式AuthZ的身分驗證，而且經過5年才發覺</strong></a></p> <p>本週Docker發布資安公告，指出部分版本的Docker引擎存在弱點，導致攻擊者能在特定的情況下繞過用於授權的外掛程式AuthZ，影響19.03版以上的Docker引擎，目前被登記為CVE-2024-41110列管，CVSS風險評為10分（滿分10分）。</p> <p>值得留意的是，這項弱點曾於2018年發現，該公司於隔年1月發布18.09.1版予以修補，但這項弱點的修補程式碼卻並未延續到後續版本，直到今年4月才發現這樣的狀況，並在7月23日正式推出新版予以修補，使得這樣的弱點存在長達5年半，目前是否已被駭客掌握並用於攻擊行動，仍不得而知。</p> <p>但為何已修補的漏洞程式碼發生沒有延續到後來的版本情況？Docker並未進一步說明。</p> <p><a href="https://www.ithome.com.tw/news/164150"><strong style="font-size: 22px;">雲端平臺GCP的服務存在權限提升漏洞ConfusedFunction，未經授權的攻擊者可藉此存取敏感資料</strong></a></p> <p>7月24日資安業者Tenable揭露影響Google Cloud Platform（GCP）的權限提升漏洞ConfusedFunction，這項弱點發生在名為Cloud Functions的無伺服器運算服務，以及稱做Cloud Build的CI/CD管道服務。一旦遭到利用，攻擊者有機會以未經授權的狀態存取其他服務，或是敏感資料。他們通報此事，GCP已於部分的Cloud Build帳號著手採取緩解措施。</p> <p>研究人員指出，ConfusedFunction這樣的弱點，突顯雲端服務的軟體架構極為複雜，導致服務之間的通訊可能衍生問題的情形。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164092"><strong style="font-size: 22px;">史上Google最大併購案告吹！資安業者Wiz傳出拒絕併購協議，將尋求IPO</strong></a></p> <p></p> <p>外傳Google欲以230億美元收購雲端資安業者Wiz，果真確有其事，只不過根據CNBC報導，Wiz已經拒絕這項提議，將尋求在股票市場掛牌上市（IPO）。</p> <p>CNBC取得Wiz執行長Assaf Rappaport對員工的公開信，得知該公司拒絕併購。在信中，Assaf Rappaport對員工說，拒絕對這麼大金額的收購提議不是容易的事，並表明公司接下來的目標是IPO，並且產生每年10億美元的經常性收入。Wiz原本就計畫透過小型併購成長，最終IPO。</p> <p>報導引述另一名消息人士的說法，Wiz是考量反托斯調查、投資人的顧慮後，決定拒絕此併購協議。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<a href="https://www.cna.com.tw/news/aloc/202407230243.aspx"><strong style="font-size: 20px;">民安10號、萬安47號演習也涵蓋資安演練，新北市針對交通控制系統遭駭進行應變處置</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164083"><strong>【7月23日】臺灣企業因CrowdStrike產品更新造成電腦當機的情況，金融、資服、傳統製造、高科技製造業都傳出災情</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164058"><strong>【7月22日】資安業者CrowdStrike更新事故衝擊規模初步統計出爐，至少影響850萬臺電腦、67萬企業用戶</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164037"><strong>【7月19日】CrowdStrike旗下EDR系統更新出錯釀禍，全球出現Windows電腦大量當機，影響機場、醫院等設施運作</strong></a></p> </div></div></div>
2024/7/26 16:35作者周峻佑https://www.ithome.com.tw/news/164152
翔耀進軍AI算力服務市場，第4季將建置國內首個H200 AI運算中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>看準AI應用普及，對於AI模型訓練或推論的算力需求有增無減，國內提供電商服務的翔耀實業宣布與美超微、是方電訊、VMFIVE、無敵科技、數位無限等業者合作，將採用Nvidia H200、H100等GPU打造AI運算中心翔耀AICC（AI Computing Center），未來可望在全球超級電腦排名第15名，成為亞洲最快的AI算力中心之一。</p> <p>翔耀實業董事長林以山今天（7/26）與美超微共同創辦人廖益賢進行AICC設備採購簽約儀式，翔耀AICC將使用是方電訊的LY2 AI資料中心大樓，借助是方電訊新建置的資料中心大樓，包括每平方公尺可承重2,000公斤，以及骨幹網路，搭配溫水冷卻技術、冷熱通道，資料中心的PUE值降到1.09。</p> <p>林以山表示， AICC採用美超微的溫水冷卻技術，目標為打造綠色計算的新標竿，打造亞洲頂尖的AI算力中心，推動臺灣及亞洲的AI進步、產業升級。AICC建置共分為兩期，第一期部署128臺伺服器，分4階段建置，第一期算力達到46.54PFlops，預計可進入全球超級電腦排名20至25名之前，預期在2024年第四季先完成第1、2階段設備裝機，以64臺H200伺服器，提供國內外AI算力服務。第2期將擴展至256臺伺服器，總算力達93PFlops，為亞洲最快的AI算力中心之一。</p> <p>林以山進一步表示，翔耀在新的團隊經營帶領下，以多年的電商技術及經驗累積，結合產業夥伴，正式切入AI算力開發及服務。未來將會複製AICC的成功經驗至亞洲其他國家，形成亞洲算力聯盟AICA（AI Computing Alliance），推動區域內AI技術交流及創新應用。</p> <p>此外，翔耀今天也啟動公益計畫，未來AICC將保留一部分的算力，提供政府、企業、學校使用，翔耀也與高雄市經發局共同合作公益算力。</p> <p>AICA聯盟推動AI軟體生態系統，包括開發工具、應用服務、數據資源的整合，推動其他國家AI開發者及企業加入，推動AI技術及應用的創新。</p> <p>AICA聯盟執行長，同時也是VMFIVE創辦人的丁俊宏指出，在AI時代，AI算力不僅代表國力，也代表產業力，如果沒有及早因應AI算力需求，未來我們在AI產業應用發展上將落後於國際。AICC算力中心的建置目的在實現AI Taiwan，未來AI也是生產力，不只侷限於硬體，也應該結合軟體、應用服務。</p> <p>丁俊宏也強調，AICC在設計架構上具有高度彈性，包括訓練、推論、記憶、散熱、高超速網路，運算中心考量不只是訓練大型模型的算力需求，還包括推論的算力需求，如何達到更高的能源效率。</p> <p><span style="color:#B22222;"><strong>國內首個H200 AI運算中心</strong></span></p> <p>此次翔耀宣布打造的AICC運算中心，規畫為2個SuperPOD叢集設計，超高密度算力部署方式，共可部署48個機架，支援256臺水冷式GPU伺服器，總功耗為3MW，PUE小於1.09。採用溫水冷卻，36GFlops/Watt，PUE設計可達到1.09。</p> <p>單以一個SuperPOD叢集設計來看，包含24個機架，128個運算節點（1,024個GPU及256個CPU），搭配1PB全閃儲存及4PB物件儲存，以及1,024個400G IB NDR port超高速網路埠，功耗設計為1.3MW。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AICC-1.jpg" style="width: 600px; height: 336px;" /></p> <p>翔耀宣稱AICC將採用Nvidia H200 GPU，將是亞洲首座溫水冷卻H200 AI運算中心。不過，實際上依照AI訓練、推論等不同算力需求，以及實際上GPU產品市場供應情勢，AICC預期會混合H200、H100、GB200、B200等GPU。</p> <p>未來組成亞洲AICA聯盟，除了鼓勵亞洲的區域性AI技術及應用發展，也支持AI新創，結合創業生態系統，進一步促成政府、產業加速AI轉型、培育AI人才、推動AI綠色算力發展。</p> <p><strong><span style="color:#B22222;">鎖定企業及政府、娛樂產業及學研AI算力需求</span></strong></p> <p>丁俊宏表示，翔耀AICC未來將鎖定3方面的算力需求，首先是產業及政府機構的AI轉型，看準未來政府及產業在AI模型訓練、推理的大量算力需求；其次是娛樂產業方面，過去娛樂產業需要大量成本投入電腦特效，可由AI協助生成特效，或是複製人物的聲音、形象，這些都需要算力，現在影視娛樂產業對AI的算力需求浮現，未來AICC也會與相關的影視特效業者合作。</p> <p>最後是與學校合作，他表示，學校有許多尚未商業化的AI模型及技術，需要算力協助其商業化發展，未來AICC會提供公有平臺，讓這些模型可打包商業化，提供API供各產業運用，協助學校研究與產業需求對接。</p> <p>針對企業使用AI算力的數據安全性，丁俊宏表示，未來AICC提供兩種私有化的方案，第一種方案是企業購買算力，搭配完全隔離的專用儲存櫃，算力與儲存櫃之間使用高速網路連線，以物理的方式確保安全；第二種是企業可以向AICC購買GPU或以自己採購的GPU，放到AICC的機櫃托管，AICC等於建置環境，讓企業使用自己的GPU算力、數據，搭配高速網路進行計算，至於接下來的推理部分，由於為比較不敏感的資料，可使用AICC的算力服務。</p> </div></div></div>
2024/7/26 17:32作者蘇文彬https://www.ithome.com.tw/news/164153
重大層級ServiceNow漏洞已被用於攻擊行動，駭客恐藉此竊取帳密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月10日數位工作流程管理解決方案業者ServiceNow公布重大層級的輸入驗證漏洞CVE-2024-4879，並提供更新軟體予以修補。</p> <p>隔日通報此事的<a href="https://www.assetnote.io/resources/research/chaining-three-bugs-to-access-all-your-servicenow-data">資安業者Assetnote公布相關細節</a>，並指出這項漏洞相當嚴重，但攻擊者若是串連另一個重大層級的輸入驗證漏洞CVE-2024-5217，以及中度風險的敏感檔案讀取漏洞CVE-2024-5178（編按：這兩個漏洞也同樣在10日被修補），就有機會存取資料庫。這些細節公布後，很快就出相關攻擊行動。</p> <p>資安業者Resecurity指出，在Assetnote公布漏洞細節不久，<a href="https://www.resecurity.com/blog/article/cve-2024-4879-and-cve-2024-5217-servicenow-rce-exploitation-in-a-global-reconnaissance-campaign">他們就察覺有多個駭客組織開始嘗試掃描尚未修補上述漏洞的ServiceNow平臺</a>，根據物聯網搜尋引擎FOFA的搜尋結果，約有30萬臺ServiceNow主機有可能會被遠端探測，其中又以美國超過29萬臺數量最多，印度、瑞士居次，分別有1.9萬、1.5萬臺，英國、愛爾蘭分別有5,867臺、3,929臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/f697213bc2ec1a4be816e15f4c8cd3f5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/f697213bc2ec1a4be816e15f4c8cd3f5.png" style="width: 580px;" /></a></p> <p>從產業類別看來，能源產業、資料中心、中東政府組織、軟體開發業者是對方偏好的攻擊目標。</p> <p>值得留意的是，CVE-2024-4879、CVE-2024-5217本身就已經相當嚴重，CVSS風險評分皆達到9.8分，一旦遭到利用，攻擊者就有機會遠端執行任意程式碼（RCE）。</p> <p>研究人員指出，上述3項漏洞駭客最積極利用的是CVE-2024-4879，根據他們的探測，攻擊者在試圖利用漏洞前，會確認受害主機是否曝露有關風險，然後注入有效酬載，用來確認特定乘法算式的結果來進行回應。</p> <p>接著，對方植入第二階段惡意程式，來檢查能否存取資料庫的內容。一旦成功利用漏洞，受害主機就會回傳資料庫的有詳細資訊。最終，駭客將能轉儲使用者的名單，並從受害主機外流使用者名單，以及受害主機的中繼資料，而有可能導致帳密資料外流。</p> <p>根據研究人員的分析，雖然大部分的資料都透過複雜的雜湊演算法處理，而並未被駭客利用，但他們認為，少部分曝光的資料就可能有助於駭客從事偵察。</p> </div></div></div>
2024/7/26 12:30作者周峻佑https://www.ithome.com.tw/news/164139
雲端平臺GCP的服務存在權限提升漏洞ConfusedFunction，未經授權的攻擊者可藉此存取敏感資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月24日資安業者Tenable揭露影響Google Cloud Platform（GCP）的<a href="https://www.tenable.com/blog/confusedfunction-a-privilege-escalation-vulnerability-impacting-gcp-cloud-functions">權限提升漏洞ConfusedFunction</a>，這項弱點發生在名為Cloud Functions的無伺服器運算服務，以及稱做Cloud Build的CI/CD管道服務。一旦遭到利用，攻擊者有機會以未經授權的狀態存取其他服務，或是敏感資料。他們通報此事，GCP已於部分的Cloud Build帳號著手採取緩解措施。</p> <p>研究人員指出，ConfusedFunction這樣的弱點，突顯雲端服務的軟體架構極為複雜，導致服務之間的通訊可能衍生問題的情形。</p> <p>而對於這項漏洞發現的原因，是研究人員察覺當GCP使用者建立、更新Cloud Functions的過程中，會觸發後端多個步驟的流程，而且，還會預設將Cloud Build服務帳號加入相關功能函數配置，並用於建立Cloud Build實體。由於上述的過程都在後臺運作，一般使用者不會察覺有異。</p> <p>然而，這個服務帳號具備過多權限，若是攻擊者設法成功取得建立或更新Cloud Functions的權限，將自己的權限提升至Cloud Build的服務帳號層級，並有機會藉由這種高權限存取其他GCP服務，例如：Cloud Storage、ArtifactRegistry、ContainerRegistry。</p> <p>值得留意的是，為了兼顧相容性，GCP並未對套用修補程式之前建立的Cloud Build服務帳號調整權限，而使得這些用戶仍有可能曝露於ConfusedFunction的危險當中。</p> <p>再者，對於GCP採取的措施，Tenable也表示並未完全消除漏洞帶來的影響，對此，他們也呼籲使用者，必須限縮Cloud Build服務帳號的權限，若是採用Cloud Functions，最好進行監控並採取相關的預防措施。</p> </div></div></div>
2024/7/26 16:15作者周峻佑https://www.ithome.com.tw/news/164150
Deepmind人工智慧系統在2024國際數學奧林匹亞競賽達銀牌標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://deepmind.google/discover/blog/ai-solves-imo-problems-at-silver-medal-level/" target="_blank">DeepMind展示了其在數學領域最新的人工智慧研究</a>，透過結合AlphaProof與AlphaGeometry 2兩個系統，解決了2024年國際數學奧林匹亞競賽（IMO）6道數學難題中的4道題目，達到了與銀牌得主一樣的水準。</p> <p>由於推理技能和訓練資料的限制，目前人工智慧系統仍然苦手於解決一般數學問題，而擁有先進數學推理能力的通用人工智慧，將有助於發展尖端科學和科技。DeepMind在2024年初的時候，於《自然》期刊發表了能夠解決數學難題的人工智慧模型AlphaGeometry。AlphaGeometry是一個以Gemini語言模型為基礎的神經符號（Neuro-Symbolic）混合系統，透過結合神經網路和符號推理人工智慧技術，解決幾何和數學複雜問題。</p> <p>DeepMind持續推進在數學領域的人工智慧研究，並透過整合AlphaProof和第二代AlphaGeometry，在2024年國際數學奧林匹亞競賽解題中表現優異。</p> <p>AlphaProof是一個自訓練並使用形式語言（Formal Language）Lean證明數學陳述的系統，其結合了預訓練語言模型和AlphaZero增強學習演算法。在數學推理任務中，AlphaProof執行自動化證明，生成解答候選方案，並且透過在Lean語言中搜尋可能的證明步驟，來證明或是反駁這些方案。AlphaProof透過每次成功找到並驗證的證明，來持續強化自身能力，以解決更具挑戰的數學問題。</p> <p>AlphaGeometry 2則是AlphaGeometry的改良版本，其符號引擎比第一代快兩個數量級，面對新問題的時候，AlphaGeometry 2能夠採用新的知識共享機制，實現不同搜尋樹的進階組合，解決更複雜的問題。AlphaGeometry能夠解決IMO 25年歷史考題中的53%，而AlphaGeometry 2能力大幅提升，可以解決其中的83％。</p> <p>IMO 2024的題目被手動翻譯，以形式化語言Lean表示，提供給DeepMind的人工智慧系統。該系統耗時三天解出其中4道題目，AlphaProof解決了兩個代數問題和一個數論問題，其中有一道是今年最難的題目，所有參賽者僅有5名答對，而AlphaGeometry 2則證明了一道幾何問題，但有兩個組合數學題目沒有解決。</p> <p>每道題目答對可得7分，而今年IMO金牌門檻分數為29分，有58位參賽者達成，而DeepMind的人工智慧系統則得到28分，每個解決的問題都拿到滿分。在正式比賽共有兩節解題時間，每節4.5小時總共9小時，人工智慧系統則花費了三天的時間解出4題。</p> </div></div></div>
2024/7/26 16:52作者李建興https://www.ithome.com.tw/news/164151
Rust 1.80新增延遲初始化型別，大幅提升資源管理效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.rust-lang.org/2024/07/25/Rust-1.80.0.html">Rust 1.80</a>加入了多項提高效率、程式碼安全性和靈活性的功能更新，標準函式庫新增LazyCell和LazyLock延遲初始化型別，並且強化模式（Pattern）比對的靈活性，而Rust套件管理器Cargo現在則會檢查所有已知的cfg名稱和值，並且偵測錯誤配置。</p> <p>Rust新加入的LazyCell和LazyLock型別簡化延遲初始化的實作，使得程式在需要時才進行計算和資源分配的程式碼，變得更加容易編寫。延遲初始化操作對於需要按需載入資源的情境特別有用，能夠在需要時才分配資源，這將可大幅提高大型應用的啟動速度和執行效率，從資源管理的角度來說，對於需要大量記憶體或是其他系統資源的物件，可以更有效地管理資源，有助於減少程式整體記憶體使用量。</p> <p>官方現在直接在標準函式庫中加入LazyCell和LazyLock，讓實作延遲初始化功能更簡單，消除需要的樣板程式碼，同時也降低了對外部相依項目的依賴，簡化專案管理工作。</p> <p>LazyLock與LazyCell的差異在於，LazyLock為執行緒安全，相較於LazyCell只適用於單執行緒環境，LazyLock實作了Sync trait，因此可在多執行緒環境中安全使用，不過也由於LazyLock需要處理執行緒同步，因此會產生額外的效能開銷。</p> <p>Rust 1.70加入了同樣用於延遲初始化的OnceCell和OnceLock型別，不過LazyCell和LazyLock本身就包含了初始化邏輯，不像是OnceCell、OnceLock需要外部方法來提供初始化邏輯，因此LazyCell和LazyLock在使用上更為簡單，不過當初始化邏輯需要依據執行條件變化，則OnceCell和OnceLock更加靈活。</p> <p>Rust 1.80透過檢查cfg名稱和值，來強化程式碼的正確性和可靠性。該功能可以偵測和警告開發者可能的cfg名稱或值的拼寫錯誤，避免因為錯誤條件編譯配置所導致的問題，確保開發者只使用已定義和預期的cfg條件，減少意外行為。</p> <p>由於cfg檢查功能在編譯階段就能發現潛在的配置問題，因此大幅降低在執行時才發現錯誤的風險，提高了整體的程式碼品質和開發效率。</p> <p>Rust 1.80還引入了一個能夠擴展模式比對範圍的新功能，開發者已可以使用排他範圍（Exclusive Range）語法a..b或..b，其提供類似Range和RangeTo表示式的功能，該表示式在處理連續範圍時更方便，允許範圍之間沒有間格或是重疊，使某些類型的程式碼更清楚且不容易出錯，維持語言的一致性和表達性。</p> </div></div></div>
2024/7/26 15:06作者李建興https://www.ithome.com.tw/news/164145
Docker揭露嚴重度高達10分資安漏洞，問題出在外掛程式AuthZ的身分驗證，而且經過5年才發覺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週Docker發布資安公告，<a href="https://www.docker.com/blog/docker-security-advisory-docker-engine-authz-plugin/">指出部分版本的Docker引擎存在弱點</a>，導致攻擊者能在特定的情況下繞過用於授權的外掛程式AuthZ，影響19.03版以上的Docker引擎，目前被登記為CVE-2024-41110列管，<a href="https://github.com/moby/moby/security/advisories/GHSA-v23v-6jw2-98fq">CVSS風險評為10分（滿分10分）</a>。</p> <p>值得留意的是，這項弱點曾於2018年發現，該公司於隔年1月發布18.09.1版予以修補，但這項弱點的修補程式碼卻並未延續到後續版本，直到今年4月才發現這樣的狀況，並在7月23日正式推出新版予以修補，使得這樣的弱點存在長達5年半，目前是否已被駭客掌握並用於攻擊行動，仍不得而知。</p> <p>但為何已修補的漏洞程式碼沒有延續到後來的版本的情況？Docker並未進一步說明。</p> <p>究竟這項漏洞會造成什麼樣的危險？該公司表示，攻擊者可發送特製的API請求，將Content-Length設置為0，導致Docker的Daemon程式將沒有內容的請求轉送到AuthZ，該外掛程式無法正常進行驗證，而有可能直接核准身分驗證請求。</p> <p>不過，他們也提及並非所有使用者都會受到影響。未採用AuthZ進行存取控制，或是導入Mirantis Container Runtime（MCR）、企業版Docker的用戶，都不會受到上述弱點影響。換言之，若是無法即時更新Docker引擎的用戶，暫停使用AuthZ，並限縮API的存取權限，也能緩解這項漏洞帶來的危險。</p> <p>該公司也提及，這項漏洞可能影響Docker桌面版本4.32.0，原因是內含存在漏洞的Docker引擎，他們將會發布4.33更新進行修補，但也提及影響較為有限的情況。</p> <p>因為，利用漏洞必須存取API，換言之，攻擊者必須能夠掌握Docker主機的本機存取權限，或是遇到Daemon不慎透過TCP曝露在外的組態設置狀況。</p> <p>再者，預設的桌面版Docker組態並未包含AuthZ，此外，權限提升僅局限於Docker的虛擬機器，而非主機的底層。</p> </div></div></div>
2024/7/26 15:36作者周峻佑https://www.ithome.com.tw/news/164148
針對美國醫院及醫療保健服務供應商部署勒索軟體的北韓駭客遭美國起訴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/opa/pr/north-korean-government-hacker-charged-involvement-ransomware-attacks-targeting-us-hospitals" target="_blank">美國司法部本周四（7/25）起訴</a>了北韓駭客Rim Jong Hyok，指控他參與多起針對美國醫院及醫療保健服務供應商的勒索軟體攻擊行動，並利用所獲得的贖金作為竊取全球國防及技術組織機密資訊的基金，同一天，包括<a href="https://cloud.google.com/blog/topics/threat-intelligence/apt45-north-korea-digital-military-machine/" target="_blank">Google</a>、<a href="https://www.microsoft.com/en-us/security/blog/2024/07/25/onyx-sleet-uses-array-of-malware-to-gather-intelligence-for-north-korea/" target="_blank">微軟</a>與美國網路安全暨基礎設施安全局<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-207a" target="_blank">（CISA）</a>都揭露了Hyok所屬駭客組織的行動，Google將該組織命名為APT45，微軟稱它是Onyx Sleet，它的其它別名還包括Andariel、DarkSeoul或Silent Chollima等。</p> <p>根據美國、南韓及英國相關單位的調查，Onyx Sleet隸屬於北韓偵察總局（RGB）旗下負責網路間諜行動的第三局，主要鎖定全球國防、航太、核子及工程實體展開間諜活動，以獲得機密的技術資訊及智慧財產，推動北韓政權在軍事及核子計畫上的野心，同時Onyx Sleet也以勒索軟體攻擊美國醫療保健供應商，以替這些間諜活動籌措資金。</p> <p>Google的報告來自該公司於2022年收購的資安業者Mandiant，根據Mandiant的追蹤，Onyx Sleet在2009年就很活躍，其攻擊行動與北韓的地緣政治利益一致，自2017年開始關注各國政府機構及國防產業，2019年鎖定的是核子及能源領域，儘管其初期目標都是竊取情報，但當中也曾幾次出現經濟動機，例如在2016年針對銀行金融機構發動攻擊，2021年也曾針對某家位於東南亞的銀行展開魚叉式網釣攻擊。</p> <p>微軟亦說，該公司在2014年觀察到Onyx Sleet的存在，當時發現它針對許多全球目標展開網路間諜活動以收集情報，並在近日將目標擴大到財務收益，於2021年及2022年開發及使用勒索軟體攻擊，亦對網路賭博網站產生興趣。</p> <p>根據微軟的分析，Onyx Sleet使用許多開源與客製化工具，並在攻擊行動中使用一系列自製的遠端存取木馬（RAT）程式，而且會定期修改這些RAT以添增新功能或逃避偵測，經常租賃虛擬專用伺服器，或是危害雲端基礎設施來進行命令與控制。</p> <p>Onyx Sleet主要攻擊的國家為美國、印度與韓國，鎖定的產業則從農業、生物科技、零售、電信、政府組織到健康醫療照護不等。</p> <p>美國司法部則說，身為Onyx Sleet成員之一的Hyok與其同謀針對美國醫療服務供應商展開勒索軟體攻擊，並利用相關攻擊所獲得的贖金作為執行間諜活動的資金，還透過中國洗錢。</p> <p>根據美國的調查，Onyx Sleet在收到基於加密貨幣的贖金之後，會在香港同夥的協助下洗錢，其中一個案例是將加密貨幣轉成人民幣，再於中國的ATM上取出人民幣，此一ATM即位於中國與北韓的邊界附近。</p> <p>美國司法部與聯邦調查局（FBI）已攔截了與Onyx Sleet勒索軟體攻擊有關的、約價值11.4萬美元的加密貨幣交易，並扣押Onyx Sleet用來執行惡意活動的多個網路帳戶，同時懸賞1,000萬美元予提供Hyok身分及位置資訊的線民。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0726-FBI-north%20korean%20hacker.png" style="width: 390px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／FBI</span></span></p> </div></div></div>
2024/7/26 15:57作者陳曉莉https://www.ithome.com.tw/news/164149
OpenAI預覽SearchGPT，挑戰搜尋引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/searchgpt-prototype/" target="_blank">OpenAI周四（7/25）宣布</a>，開始測試新的AI搜尋功能SearchGPT，該服務結合了OpenAI的各個模型與網路上的資訊，同時附上清楚與相關的來源，目前的版本為暫時性的原型，將開放給少數使用者及出版商進行測試並提供回饋意見，一步步地邁向取代搜尋引擎的道路。</p> <p>OpenAI表示，在網路上得到所需的答案通常需要多次嘗試才能獲得相關結果，相信若藉由網路上的即時資訊來強化模型的對話能力，將可更快且更輕鬆地找到使用者想要的內容，而SearchGPT的目的就是使用來自網路的最新資訊，快速且直接地回答問題，同時提供相關資訊的來源連結。</p> <p>在結合了AI模型與即時網路資訊之後，SearchGPT得以記住使用者的搜尋/輸入脈絡，於是能在同一個主題上與使用者持續對話，並會有一個側邊欄專門呈現SearchGPT所提供答案的資訊來源/連結列表。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0726-SearchGPT_Publishers_V2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p>為了打造SearchGPT，OpenAI亦與出版商合作，以讓出版商能夠管理它們在SearchGPT中顯示內容的方法，另也強調SearchGPT與AI基礎模型的訓練是分開的，就算出版商選擇退出模型訓練，其內容連結依然可在SearchGPT中出現。</p> <p>有許多人認為生成式AI最終將取代搜尋引擎，PCMag曾在去年針對600名不同領域的專家<a href="https://www.pcmag.com/news/when-will-chatgpt-replace-search-engines-maybe-sooner-than-you-think" target="_blank">進行調查</a>，當中有42%表示未來他們應該會使用AI聊天機器人來尋找網路上的答案，只有24%依然選擇搜尋引擎。</p> <p>而紐約時報的專欄作家Kevin Roose在今年初<a href="https://www.nytimes.com/2024/02/01/technology/perplexity-search-ai-google.html" target="_blank">試用了AI搜尋引擎Perplexity AI</a>之後，對其所提供的摘錄式的答案感到相當滿意，認為AI搜尋將會取代Google的流量，除非Google搜尋也整合AI。</p> <p>Google的確也警覺到AI可能對其搜尋業務帶來的衝擊，去年便發表了AI搜尋測試平臺<a href="https://www.ithome.com.tw/news/157080" target="_blank">Search Labs</a>，其中一個實驗便是<a href="https://www.ithome.com.tw/news/159707" target="_blank">搜尋生成式體驗</a>，呈現方式類似SearchGPT。</p> <p>目前Google掌控了<a href="https://gs.statcounter.com/search-engine-market-share" target="_blank">全球9成的搜尋市場</a>，這麼多年來在該市場並無明顯的競爭對手，且市占率還愈來愈高，但生成式AI卻可能改變這個現況。除了2022年就上線的Perplexity AI之外，於搜尋領域始終追不上Google的微軟，也在本周<a href="https://www.ithome.com.tw/news/164104" target="_blank">開始測試整合生成式AI的Bing搜尋</a>，而今OpenAI亦加入了戰場。</p> <p>不過，生成式AI真正取代搜尋引擎應該還有一段路要走，外界主要擔心基於大型語言模型（LLM）的搜尋服務依然會出現錯誤，例如<a href="https://www.theatlantic.com/technology/archive/2024/07/searchgpt-openai-error/679248/" target="_blank">The Atlantic便批評</a>，OpenAI在本周的SearchGPT示範中，把節慶跟音樂會的日期搞混了，也有其他人擔心LLM虛構答案的問題可能會蔓延至搜尋結果。</p> <p>不論如何，現在的SearchGPT只是一個還處於小規模測試的暫時性原型，OpenAI將依據使用者及出版商的回應來改善它，並計畫在未來直接將它整合到ChatGPT中。</p> </div></div></div>
2024/7/26 14:54作者陳曉莉https://www.ithome.com.tw/news/164147
免費版Google Gemini升級到Gemini 1.5 Flash模型，支援40種語言，開放逾230個市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/gemini/google-gemini-new-features-july-2024/" target="_blank">Google昨（25）日宣布</a>Gemini 1.5 Flash支援40種語言，並部署到超過230個國家地區，並將免費版聊天機器人Google Gemini升級使用多模AI模型，開放更多人免費使用。Google也在更多國家Messages App部署Gemini AI助理。</p> <p>Gemini 1.5 Flash是於5月<a href="https://www.ithome.com.tw/news/162877" target="_blank">Google I/O上宣布</a>，為Gemini 1.5 Pro多模態語言模型的輕量版，擅長摘要、聊天互動、圖像理解、產生影像字幕，或從大量文字和表格汲取資料。原本Gemini 1.5 Flash僅提供付費服務Gemini Advanced用戶，現在則可由免費版Gemini存取，用戶可以瀏覽器上網（gemini.google.com）或手機App使用。</p> <p>由於開放使用最新模型，免費版Gemini的效能得以提升。Google將免費Gemini使用的模型脈絡空間（context window）擴大4倍來到32K字符（token），這意謂著用戶和Gemini的互動更快，也能詢問更複雜的問題。Google預告，很快會為免費版Gemini加入資料檔案分析能力，並且製作圖表提供洞見。</p> <p>Google也為Gemini做了功能強化，允許用戶讀取進一步資訊確保Gemini回應的準確性。現在在特定國家的英文版提示中，在回應末端會附加來源網頁連結（如下圖），允許用戶檢視進一步資訊，減少AI幻覺問題。如果Gemini回應的資訊可在Gmail外掛找到，則點入連結可在回應中直接讀取相關信件。在此之前，用戶已經可點擊「重覆確認」（double-check）功能，使用Google搜尋查詢，它會將相關問題答案突顯出來，方便用戶驗證Gemini的回應是否正確。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0726-google%20gemini%20update.png" style="width: 403px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>其他資訊方面，繼今年2月Google將<a href="https://www.ithome.com.tw/news/161514" target="_blank">Gemini AI助理整合到Message App</a>中，本周Google也開始將這功能部署到歐洲經濟區（EEA）、英國、瑞士，並加入法文、波蘭及西語支援。在Message App中點入「開始交談（Start chat）」即可使用。Gemini App本周起也部署到更多國家。</p> </div></div></div>
2024/7/26 13:07作者林妍溱https://www.ithome.com.tw/news/164142
當企業資安與生產力發生火車對撞
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣時間7月19日下午，我們注意到全球網路論壇Reddit傳出巨大騷動，網友反映他們有多臺Windows 10電腦同時出現藍色當機畫面，問題出在端點偵測與應變系統（EDR）廠商CrowdStrike的代理程式Falcon sensor組態更新出錯、觸發邏輯錯誤，導致許多Windows電腦停擺而出現藍色當機畫面（BSOD）。</p> <p class="rtecenter"><a href="https://www.reddit.com/r/WindowsHelp/comments/1e6ygxc/bsod_error_on_windows_crowdstrike/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0726-%E7%B7%A8%E8%80%85-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FrWindowsHelp%20on%20reddit(1).png" style="width: 600px;" /></a></p> <p><a href="http://www.reddit.com/r/WindowsHelp/comments/1e6ygxc/bsod_error_on_windows_crowdstrike/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／u/Sam7493 on reddit</span></span></a></p> <p>後續更多災情不斷出現在各大社群平臺貼文，以及全球大眾新聞媒體的報導，像是機場、醫院、銀行、零售商店與超市，我們看到大量電子看板（Digital Signage）與一些互動式資訊服務站（Kiosk）無法運作。例如，許多機場旅客難以快速查閱機場航班資訊，以及進行自助登機程序；有些醫院的電子醫療記錄、勞動力管理、門診預約系統，以及個別工作站與特定用途醫療器材與設備受到影響；部分銀行的自動提款機（ATM）、金融卡支付服務無法運作；有些商店與超市也出現電腦設備故障，導致顧客無法結帳。</p> <p class="rtecenter"><a href="https://www.reddit.com/r/PBSOD/comments/1e6xt8v/this_sub_is_about_to_explode_thanks_crowdstrike/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0726-%E7%B7%A8%E8%80%85-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FrPBSOD%20on%20reddit.png" style="width: 450px;" /></a></p> <p><a href="http://www.reddit.com/r/PBSOD/comments/1e6xt8v/this_sub_is_about_to_explode_thanks_crowdstrike/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源／u/CyborgWarrior on reddit</span></span></a></p> <p>這個震驚全球的IT重大事故發生之後，很多人都想知道為何情況會這麼嚴重？微軟Windows電腦的普及眾所皆知，端點防護解決方案的發展也相當成熟，一些防毒軟體產品過去也曾引發Windows電腦大當機的事故，但已很久沒遇到這類問題，沒想到2024年竟然再度上演。而且，隨著人類社會對於數位科技的依賴持續攀升，電腦與IT服務大規模停擺所造成的衝擊，如今顯然變得更為嚴重，而且廣泛影響更多國家與產業。</p> <p>其中，最令我們意外的部分在於：為何是EDR的元件更新導致Windows電腦當機？</p> <p>根據我們的了解，大部分EDR部署在個人電腦或伺服器時，主要功能是偵測（Detect）端點的存取行為是否有異常或惡意，一旦發現問題，會通知或通報管理者處理善後，可能會進行手動或自動的應變處理，或是協調其他端點、網路資安產品進行緩解。然而，部分EDR產品開始擴充更多端點防護功能，而跨入原本以防毒軟體為主的端點防護平臺（EPP）領域，而能同時提供威脅預防的機制，這些從EDR起家、躋身EPP的產品，甚至標榜本身是次世代防毒軟體（NGAV），因此，它們扮演的角色與提供的功能，也變得越來越複雜而多元，對於端點作業系統的狀態監控也越來越深入，但如同超級英雄電影所言：「能力越大，責任越大」，此類型EDR產品對於電腦與伺服器能否正常運作，勢必要承擔更大責任，一不小心，可能會比多數EDR產品更容易傷及無辜。</p> <p>關於這樣的狀況，從防毒軟體起家、後續踏入EDR產品的廠商，應該較有警覺，因為有慘痛的前例可循，大家不想重蹈覆轍。相對而言，若是從EDR起家、同時主打可提供次世代防毒軟體的資安廠商，或許較無相關的經驗與意識，去預防這類可能嚴重影響電腦與伺服器運作的問題發生。</p> <p>但尷尬的是，CrowdStrike如果提出這個說法，可能無法使大家諒解他們的缺失。因為在7月19日全球Windows電腦大當機事件發生後，有不少人提到一件往事：2010年老牌資安公司McAfee的防毒軟體也曾因為軟體更新出錯，而導致全球數萬臺Windows XP電腦當機，當時在該公司擔任技術長的George Kurtz，竟然也是CrowdStrike的共同創辦人暨執行長，許多媒體也注意到這段過往經歷，IT市場分析機構Moor Insights & Strategy副總裁暨首席分析師<a href="https://twitter.com/anshelsag/status/1814426186933776846" target="_blank"><span style="color:#3366ff;">Anshel Sag在社群媒體X也提到這件事</span></a>，並表示McAfee當初就是因為這起事故花了很多錢，導致後續賣給英特爾。</p> <p>0719全球大當機後，作為IT產品用戶的企業與組織，能學到什麼教訓？多數人或許只能無奈表示：「雞蛋不要放在同一個籃子」，重新思考備援系統與服務的資安配置，有人打算更換資安防護系統品牌，有人考慮備援系統與服務改用不同資安廠商的產品，也有人提到他們的電腦與伺服器不想繼續使用Windows平臺，然而，更換或同時使用其他資安廠商的產品，改用其他作業系統，仍有機會因為廠商出包或產品問題而導致IT服務停擺的危機，只能盡量降低風險。</p> <p>而對於資安或其他類型的IT廠商而言，追求技術的突破與功能的卓越，當然是必要的，但不能捨本逐末，如同一段國產製藥廠商長年宣傳的廣告臺詞：「先研究不傷身體，再講究效果」，如果控管機制嚴重影響IT系統正常運作，就失去提供保護的意義。<span style="font-size:20px;"><a href="http://www.ithome.com.tw/tags/0719%E5%85%A8%E7%90%83%E5%A4%A7%E7%95%B6%E6%A9%9F" target="_blank"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 請點選此處前往「0719全球大當機」系列報導 </span></span></strong></a></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/crowdstrike">CrowdStrike</a></div><div class="field-item odd"><a href="/tags/windows%E9%9B%BB%E8%85%A6">Windows電腦</a></div><div class="field-item even"><a href="/tags/%E5%A4%A7%E7%95%B6%E6%A9%9F">大當機</a></div><div class="field-item odd"><a href="/tags/0719%E5%85%A8%E7%90%83%E5%A4%A7%E7%95%B6%E6%A9%9F">0719全球大當機</a></div><div class="field-item even"><a href="/tags/bsod">BSOD</a></div><div class="field-item odd"><a href="/tags/it%E9%87%8D%E5%A4%A7%E4%BA%8B%E6%95%85">IT重大事故</a></div><div class="field-item even"><a href="/tags/edr">EDR</a></div></div></div>
2024/7/26 12:09作者李宗翰https://www.ithome.com.tw/voice/164124
企業必學的超級資安框架2024新變革
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1192-feng_mian_p1-zheng_han_-open-960x420_kao_bei_0.jpg?itok=76pAHKxG" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NIST Cybersecurity Framework已成全球重要資安實務標準，今年2.0版發布，更是直指網路安全在企業治理與風險管理策略的重要性。從公司治理的高度去運作，讓原有的識別、保護、偵測、回應、應變，更有效運作。</p> </div></div></div>
2024/7/26 12:21作者羅正漢https://www.ithome.com.tw/article/164131
AI趨勢周報第257期： Mistral AI用Mamba架構打造程式碼生成模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0719～0725)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Mamba </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Mistral AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式碼 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Mistral AI用Mamba架構打造程式碼生成模型</strong></span></p> <p>Mistral AI最近開源一款70億參數的程式碼生成模型Codestral Mamba，特別的是，這款模型不以Transformer架構為基礎，而是採用後來出現的Mamba 2架構。Mistral AI解釋，有別於主導AI發展的Transformer架構模型，Mamba架構可處理線性時間推論，意味著無論輸入長度如何，模型都能處理且快速回應。</p> <p>而Codestral Mamba專精程式碼生成，可發揮Mamba長文輸入的優勢，支援Python、Java、C、C++、JavaScript、Bash，以及Swift和Fortran等程式語言。該模型也通過256K Token的上下文檢索能力測試，代表使用者可在本地端部署模型、搭配RAG來執行推論。就模型本身的表現來說，不論是人類評估還是其他基準測試，Codestral Mamba大多勝過同大小的模型，如CodeLlama、CodeGemma等。使用者可從Hugging Face下載原始權重，也能在la Plateforme平臺測試模型表現。<a href="https://mistral.ai/news/codestral-mamba/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-07-26%20at%209_38_28%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Hugging Face </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SmolLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 小型語言模型 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Hugging Face釋出小又強健的語言模型SmolLM</strong></span></p> <p>最近Hugging Face發布一系列語言模型，名為SmolLM，共有3個版本，包括1.35億參數（135M）、2.6億參數（360M）和17億參數（1.7B）版本。為訓練這些模型，Hugging Face還建置了高品質的訓練語料庫SmolLM-Corpus，由3大類語料組成，分別是目前最大的合成教科書和故事資料集Cosmopedia v2，共有280億個字符（Tokens），以及程式碼教學範例資料集Python-Edu、篩除重複範例的網路範例資料集FineWeb-Edu。這個SmolLM-Corpus語料庫，也隨著模型一起開源。</p> <p>就模型效能來說，SmolLM在各種常識推理和世界知識測試中表現優異，超越了同規模的MobileLLM、Phi-1.5和Qwen模型。這一系列小型模型，有助於AI在各種裝置上執行，提高應用性。<a href="https://huggingface.co/blog/smollm">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-07-26%20at%2010_03_07%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Llama 3.1 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開源 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta終於開源Llama 3.1 405B了</strong></span></p> <p>日前，Meta開源了Llama系列語言模型的最新款Llama 3.1 405B，具4,050億個參數，脈絡長度達12.8萬個字符（Token），支援8種語言，是Meta迄今開發的最大模型，號稱是全球第一個達頂尖水準的開源模型。Meta創辦人暨執行長祖克柏還特別強調開源AI的重要性，認為開源才是AI的未來。</p> <p>進一步來說，該模型有2個版本，包括Llama 3.1 405B和Llama 3.1 405B Instruct。Llama 3.1 405B是在近15兆個Token上進行訓練，經測試，Llama 3.1 405B在通用基準測試IFEval、數學測試GSM8K、推論測試ARC Challenge等測試中，都勝過GPT-4、GPT-4o和Claude 3.5 Sonnet。但在人類專家評估中，則與GPT-4-0125、Claude 3.5 Sonnet的表現不相上下，但明顯不及GPT-4o。<a href="https://ai.meta.com/blog/meta-llama-3-1/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe8-2.fna.fbcdn.net/v/t39.2365-6/451735590_1030734788570365_1093008500142144333_n.png?_nc_cat=100&ccb=1-7&_nc_sid=e280be&_nc_ohc=S3n_sIpF1AEQ7kNvgH5vLQS&_nc_ht=scontent.ftpe8-2.fna&oh=00_AYBpyar49HlBQnsEqP9SxEycxzSwE9M83Cuftg5J5nsjlw&oe=66BD327E" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LazyLLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span></p> <p><span style="font-size:22px;"><strong>有效加速Transformer生成時間，蘋果推LazyLLM</strong></span></p> <p>最近，蘋果推出一種名為LazyLLM的新方法，可用來加速Transformer語言模型的推論過程。進一步來說，Transformer模型推論可分為2個階段，首先是預填充階段，包括計算提示的鍵值（KV）快取和生成第一個字符（Token），再來是解碼階段，來生成後續字符。對於長提示來說，模型需在預填充階段，計算所有字符的鍵值快取，也就拉長了生成第一個字符的時間，成為瓶頸。</p> <p>為解決問題，團隊設計了LazyLLM，可在預填充和解碼階段，選擇性地計算字符鍵值，而這些被選中的字符，對預測下一個字符來說是重要的。透過這個方法，可節省Transformer模型處理長提示的時間。而且，與靜態修剪不同，LazyLLM允許語言模型在不同生成步驟中，動態選擇不同字符子集，即使這些字符之前已經修剪過。經測試，LazyLLM可無縫整合現有語言模型，無需微調就能大幅加速生成過程，比如在多文檔問答任務中，LazyLLM在保持準確性的同時，能加速LLama 2 7B模型的預填充階段達2.34倍。<a href="https://huggingface.co/papers/2407.14057">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 客製化 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia推出企業級模型客製化平臺AI Foundry</strong></span></p> <p>最近，Nvidia推出最新解決方案AI Foundry，可讓企業在Nvidia雲端上客製化生成式AI模型，提供了從專案規畫、合成數據生成、模型微調、RAG、模型安全防範到模型評估和部署等一系列功能。Nvidia說明，AI Foundry整合了Nvidia雲端平臺DGX Cloud、Nvidia NeMo平臺和第三方工具，可搭配多種底層模型來進行客製化。</p> <p>AI Foundry提供的模型，包括了Nvidia Nemotron和開源模型，如Llama 3.1 405B、CodeGemma、Gemma、Mistral和Mixtral，以及微軟Phi-3、StarCoder2等。除了Nvidia本身的資源，企業還能用Nvidia合作夥伴提供的AIOps和MLOps平臺，來開發AI Foundry模型，包括Cleanlab、DataDog、Dataiku、Dataloop、New Relic、Scale等。企業客戶也能將在AI Foundry客製的模型，連同優化的引擎和標準API輸出為Nvidia NIM推論微服務，在AI加速基礎設施上執行。<a href="https://nvidianews.nvidia.com/news/nvidia-ai-foundry-custom-llama-generative-models">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DCLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>蘋果再開源2款小模型DCLM</strong></span></p> <p>繼4月份發表可在裝置上執行的小語言模型OpenELM後，蘋果最近又揭露2款小模型，包括14億參數和70億參數的DCLM模型，號稱效能不輸Llama 3、Gemma或Mistral等模型，且更省訓練運算資源。</p> <p>這二款模型是由蘋果DataComp for Language Models（DCLM）團隊開發，並在Hugging Face平臺上釋出。第一款是70億參數的DCLM-7B，以2.6兆個字符（token）訓練而成。與SOTA模型如Mistral、Llama 3、Gemma、阿里巴巴Qwen-2、微軟Phi-3和開源模型MAP-Neo相比，DCLM-7B在多語理解測試MMLU的最終表現和Map-Neo相同，但所需的運算資源少了40%。第二款是14億參數的DCLM-1B模型，它在Alpaca bench測試中，表現比Hugging Face最近發表的小模型SmolLM還要好。蘋果也將DCLM模型框架、高品質訓練資料集DCLM-BASELINE和預訓練方法，開源公布在<a href="https://datacomp.ai/dclm">https://datacomp.ai/dclm</a>專案網站。<a href="https://x.com/Vaishaal/status/1813956553042711006">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微調 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPT-4o mini </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span></p> <p><span style="font-size:22px;"><strong>可免費用2個月，OpenAI推出GPT-4o mini微調工具</strong></span></p> <p>就在揭露最新小模型GPT-4o mini後不到一周，OpenAI再公布<a href="https://platform.openai.com/docs/guides/fine-tuning">微調工具</a>，提供特定用量免費使用2個月。這個微調工具可由API使用，一開始提供給tier 4和tier 5用戶，之後會逐步推展到所有收費等級的用戶。從即日起到9月23日，每日前200萬個字符（token）可免費使用。</p> <p>可提供微調的模型，包括GPT-4和gpt-4o-mini，以及gpt-3.5-turbo-0125、gpt-3.5-turbo-1106、gpt-3.5-turbo-0613、babbage-002、davinci-002、gpt-4-0613（實驗中）、gpt-4o-2024-05-13，以及gpt-4o-mini-2024-07-18（建議）。OpenAI點出，以效能和易用性來說，gpt-4o-mini對大部分用戶而言是最適合的模型。他們表示，用API微調模型，可讓用戶輸入更多的訓練範例，提升GPT-4o mini模型生成的品質，且由於用戶不需使用那麼長的提示，可節省字符及成本，延遲性也更低。<a href="https://twitter.com/OpenAIDevs/status/1815836887631946015">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI安全 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 供應鏈 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CoSAI </span></strong></span></p> <p><span style="font-size:22px;"><strong>瞄準AI系統供應鏈安全，微軟、Nvidia和Google聯手推動安全AI聯盟</strong></span></p> <p>專門推動全球結構化資訊標準的非營利組織OASIS Open，日前提出安全AI聯盟（CoSAI）開源倡議，要建立一個協作生態體系，來分享AI安全設計方法、標準框架和相關工具。該聯盟的主要贊助者有Google、IBM、Intel、Microsoft、Nvidia和PayPal，其它贊助者還包括Amazon、Anthropic、思科、GenLab、OpenAI等。</p> <p>身為CoSAI創始成員，Google表示，該聯盟計畫與產學界共同解決3大領域問題，包括AI系統的軟體供應鏈安全、讓防禦者為不斷變化的網路安全領域作好準備，以及AI安全治理。同時，CoSAI也將與Frontier Model Forum、Partnership on AI、Open Source Security Foundation及ML Commons 等組織合作，以共同推動負責任的AI。<a href="https://www.oasis-open.org/2024/07/18/introducing-cosai/">（詳全文）</a></p> <p>圖片來源／Mistral AI、Hugging Face、Meta</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Meta AI擴大支援7種語言</strong></p> <p><strong>2. Nvidia與Mistral AI攜手釋出企業級AI模型Mistral NeMo</strong></p> <p><strong>3. AWS旗下AI平臺如Amazon Bedrock、SageMaker開始支援3款Llama 3.1模型和Mistral Large 2模型</strong></p> <p>資料來源：iThome整理，2024年7月</p> </div></div></div>
2024/7/26 10:31作者王若樸https://www.ithome.com.tw/news/164111
企業導入SBOM軟體物料清單有六大常見迷思的考驗及因應對策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，國外許多政府開始要求企業建立SBOM（Software Bill of Materials，軟體物料清單）。例如美國白宮在2021年發布行政命令，為了強化國家網路安全，要求其供應商都要提供SBOM。歐盟在幾個月前通過《網路韌性法案》（EU Cyber Resilience Act, CRA），同樣要求2027年前軟體供應商必須提供SBOM，不提供的話，將面臨至少1,500萬歐元的罰款。另外還有醫療相關產品，包括FDA和MDR中都有要求SBOM，臺灣食藥署也有相關要求。</p> <p>林上智是 Bureau Veritas 首席資安專家，也是國際自動化協會臺灣分會會長。在今年的臺灣資安大會上，他歸納了SBOM在應用和實務上常見的六大挑戰和迷思，並提出應對的建議。</p> <p>SBOM指的是軟體物料清單，類似於企業生產管理中常見的BOM表（物料清單）。林上智表示，不同於BOM記載產品本身各項成本、組成件、加工流程及供應商，SBOM軟體物料清單主要記錄軟體構成元件及其關聯表。</p> <p>他表示，企業採用SBOM有四大好處，首先可以用來加強安全管理，透過獲取軟體元件的版本、名稱來進行CVE或弱點追蹤；其次，它可以掃描授權，確保軟體商業授權和開源軟體授權規範都得到遵守。最重要的是透明度，SBOM表提供了一個透明且共享的平臺，能夠減少資源浪費。最後，SBOM還能降低人力和資源成本。</p> <p>他舉例說明，一間公司通常會有很多產品線和產品單位，各個不同BU部門可能會使用相似的工具，例如OpenSSL軟體套件，但彼此並不知道對方有使用，版本也各有不同。一旦出現漏洞，可能得花更多人力和時間來修復。有了SBOM表，這種情況就可以避免。</p> <p><strong><span style="font-size:22px;">迷思1: SBOM 表可以用各種格式和方法產生</span></strong></p> <p>林上智歸納了 SBOM 在應用和實務上的六大挑戰和迷思。第一個誤區是不少人誤以為 SBOM 表可以用各種格式和方法產生。他引用美國 FDA 的定義表示，SBOM（軟體物料清單）的內容必須符合一定的格式，且必須是機器可讀的，不能使用紙本文件。</p> <p><strong><span style="font-size:22px;">迷思2: SBOM中只需列出自行開發的軟體，對於使用的開源軟體或商用套裝軟體則不需列入</span></strong></p> <p>第二個迷思是認為SBOM中只需列出自行開發的軟體，而對於使用的開源軟體或商用套裝軟體則不需列入其中。他表示，實際上，SBOM應包括產品中所有的軟體元件，不論是自行開發的、開源的還是商用的軟體，只要用在自己的產品中，就應該被列入SBOM，因為這些元件都是產品的一部分。這樣才能提供完整的軟體物料清單，有效管理安全風險和相依性。</p> <p><strong><span style="font-size:22px;">迷思3: SBOM表只要購買商業軟體或掃描工具就可以自動產生，不需要人為介入</span></strong></p> <p>他提到的第三個常見迷思是認為SBOM表只要購買商業軟體或掃描工具就可以自動產生，不需要人為介入。但他表示，不同SBOM的格式，有各自支援的工具，包含商業軟體、開源軟體，這些工具都有可能存在誤判或漏判的情況，因此仍然需要人工確認來確保SBOM的準確性和完整性。</p> <p><strong><span style="font-size:22px;">迷思4:SBOM表產生後，就意謂完成所有工作</span></strong></p> <p>SBOM表產生後，就意謂完成所有工作是第四個常見迷思。林上智強調，「千萬不要以為只要有SBOM表就行，重點是要拿它來做什麼事」。他指出，有些企業會使用SBOM來進行資產盤點和組態管理，也有的會與資安管理和資安開發流程結合，用於管理產品的弱點和檢測潛在的安全與授權問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240516_031657991.jpg" style="width: 600px; height: 338px;" /></p> <p>他也引用美國NITA對於軟體物料清單的工具分類，分為三大類，第一類是 SBOM 表產生工具，這類工具可以透過分析原始碼或執行檔來產生軟體物料清單；第二類是軟體物料清單接受格式的工具，如SW360，這類工具可以用來管理SBOM 表的內容和版本等；第三類是軟體物料清單格式轉換工具，可以在不同格式的SBOM 表之間進行轉換，確保SBOM表的一致性。</p> <p><strong><span style="font-size:22px;">迷思5:SBOM產生需要掃描程式碼，沒有程式碼就無法生成</span></strong></p> <p>許多人認為產生SBOM一定需要掃描程式碼，沒有程式碼就無法生成SBOM。這是第5個常見迷思。他表示，事實上，SBOM表可以在軟體開發的不同階段生成，包括設計、程式碼、建置、分析、部署環境和Runtime階段。每個階段都可以生成SBOM表，以反映該階段的軟體元件和依賴關係。</p> <p>他指出，在軟體開發的這六個階段中，通過程式碼生成或分析執行檔產生SBOM 是最常見的做法。相比之下， runtime階段產生的SBOM較為少見，但該階段的SBOM内容是最準確的，但也最具挑戰性。他也說，目前法令或法規都只要求要有SBOM，但沒有要求要多準確，一定要在runtime階段做分析。但他認為這是會未來長遠的發展趨勢。</p> <p><strong><span style="font-size:22px;">迷思6:使用SBOM表掃描已知漏洞，沒有掃描到代表就很安全</span></strong></p> <p>最後一個迷思是，使用SBOM表掃描已知漏洞，沒有掃描到代表就很安全。他引用CVE背後的NVD資料庫的說明，有時可能出現可能有弱點，但沒有掃到的情況，例如弱點發布時間差或資料庫還沒更新等。</p> <p>面對SBOM在實務上的種種挑戰，他建議，企業在開發產品一定要考慮到模組化，這樣在SBOM表管理上會比較容易，他舉例，過去很常看到一體式產品，把所有東西都打包，但這樣的情況下，產品就只會有一個SBOM，就沒辦法看到產品更細步的清單內容，且一旦遇到其中使用的開源軟體有問題需要修正時，就必須整個SBOM表一起修正，沒辦法僅就開源軟體的SBOM表來修改。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240516_030946829.jpg" style="width: 600px; height: 338px;" /></p> <p>再者，他強調，SBOM表的格式選擇很重要。他指出，目前SBOM常用的軟體資料交換格式包括SPDX、CycloneDX 和 SWIDX 三種。其中，SPDX由Linux基金會推動，也是ISO 5962的標準，是目前最多人使用的格式，並且支援多種資料格式，包含Tag/value、RDF/XML、JSON、yml、xls等。其次是由OWASP力擁的CycloneDX的格式。他也列出這三大SBOM格式　對應到美國NTIA的SBOM表的名稱。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240516_031857519.jpg" style="width: 600px; height: 338px;" /></p> <p>對於企業是否需要將產品的SBOM表公開？他表示，企業不需要公開其產品的 SBOM，而是依法提供給監管機構或特定客戶的要求提供。此外，在SBOM 的保護方面，應涵蓋整個生命周期，包括SBOM 的派送、接受／驗證、資料擷取和管理、ETL（擷取、轉換及載入）過程以及映射和評估管理，以確保SBOM內容的完整性和及時性，防止惡意篡改。</p> <div class="notranslate" style="all: initial;"> </div> <div class="notranslate" style="all: initial;"> </div> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/7/26 11:08作者余至浩https://www.ithome.com.tw/news/164109
要贏AI就加快大腦迭代問題速度
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0726-chao_yue_aide_si_kao_jia_gou_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然我們可能並不自覺，但心智模型時時刻刻都在運作。但也有時候，我們會清楚意識到，自己正運用怎樣的觀點在衡量局勢，而且也能夠刻意堅持觀點或改變觀點。</p> <p>需要做出重大決定的時候（像是換工作、生小孩、買房子、關掉工廠、蓋一棟摩天大樓），就最常有這樣的感受，你會發現自己的決定除了出於客觀邏輯，還會有一些更根本的理由，像是看待當下情境的視角、認定世界運作的方式。而這種潛藏的認知因素，就是由各種心智模型組成的。</p> <p>所謂的思考框架（frame），也就是我們所選擇應用的心智模型，會決定我們如何理解世界，也決定我們如何行動。思考框架讓我們能夠歸納類推，得出抽象的概念，再應用到其他的情境當中。</p> <p><span style="font-size:28px;"><strong>思考框架不同，視角就不相同</strong></span></p> <p>過去大家對於建立思考框架的重視程度，一直比不上其他的心智能力（例如感知和記憶）。</p> <p>但由於大家愈來愈感受到必須提升自己的決策能力，而建立思考框架又與做出好選擇和行動息息相關，這件事也就逐漸從幕後走向舞臺中央。現在我們知道，如果能用正確的方式、提出正確的思考框架，就能找出更多的可能，也就能做出更好的選擇，創造更好的局勢。</p> <p>社會上許多問題之所以如此棘手，究其核心，都只是各方採用了不同的思考框架。例如，美國和其他國家之間，究竟是該築起一道牆、還是搭起一座橋？蘇格蘭究竟是該留在英國、或是獨立？中國對香港的「一國兩制」，究竟重點是一國、還是兩制？對於同一個情境，因為思考框架不同，看在眼裡就有完全不同的樣貌。</p> <p>每一種思考框架，都會讓我們用某種獨特的視角來看世界，使某些要素放大、又讓某些要素縮小。譬如，資本主義的思考框架，會讓一切都彷彿充滿商機；共產主義的思考框架，則讓一切都成了階級鬥爭。</p> <p>同樣的資料數據，不同的思考框架，就會有相反的結論。</p> <p>有時，我們慣用的思考框架並不見得和現實契合。思考框架本身並沒有正誤之別（只有一個例外），但當然有些時候會出現選錯思考框架的情況，也就是選用的框架並不適合當時情境。實際上，人類進步的路上，就四處散落著被拋棄的框架殘骸。</p> <p>然而，講到當前人類所面臨的種種重大挑戰，我們卻常常說不出自己用了怎樣的思考框架。無論是在哪個領域，都必須瞭解建立思考框架有多麼重要：先能用不同的觀點來看待問題，才能用不同的方式來解決問題。</p> <p><span style="font-size:28px;"><strong>政府為了降低犯罪率另起思考框架</strong></span></p> <p>位於紐澤西州南邊的康登市，就曾看到另啟思考框架如何發揮效益。該市做了一件大多數人會覺得過於大膽、根本不可能的事：直接解散整個警察隊伍，徹底重組警隊。在這項極端的舉動背後，其實是在另啟「執法態度」的思考框架——在過去，警方將人民視為可能的罪犯，但後來的態度則是重視營造警民一家、社群導向。</p> <p>康登市曾經犯罪橫行，犯罪率和謀殺率在全美數一數二。</p> <p>雖然犯罪情況已經夠糟了，但可以說當時的警務狀況使得情況變得更糟。警方栽贓、造假、暴力執法的情況屢見不鮮，讓法院後來不得不推翻幾十件判決。許多居民害怕警方的程度，並不亞於害怕黑道犯罪集團。而警察工會向來抵制任何改革。到了2012年，局勢積重難返，改革無力回天，地方領導者束手無策。</p> <p>康登市是康登郡的首府。郡長卡佩利（Louis Cappelli Jr.）意識到，頭痛醫頭、腳痛醫腳絕對行不通；需要整個體系砍掉重練才行。康登市解散了原有一百四十一年歷史的警局，二百六十名警察遭到解雇。新的警隊於2013年成立，有全新的合約內容，新的臉孔、新的規則、新的訓練，最重要的是有新的思維心態。原本的警員只有不到一百人得到回聘。我們如果還用舊有的心智模型來看這件事，可能認為重點是警隊的解散、或是打破了警察工會的束縛。然而，康登市這些領導者的心智模型絕非如此狹隘。</p> <p>成為新任警察局長的湯森解釋：「我們真正的起點不是在於改變文化，而是終於能夠建立文化。我們終於能夠打造理想的警局組織，讓警察的身分是個守護者、而不是戰士。」康登市另啟對警方的思考框架：警察必須和整個社區站在一起，提供幫助、提供守護，而不只是在抓人、開罰單。</p> <p>七年後，康登市謀殺率下降了60%，犯罪率幾乎減半，投訴警方過度使用武力的案件更是下降了驚人的95%。另啟思考框架，在此確實得到成功！</p> <p><span style="font-size:28px;"><strong>人人都可以是造局者</strong></span></p> <p>巴茲萊（Regina Barzilay）是麻省理工學院人工智慧學教授，而她對於抗生素的問題有一套解決方案。</p> <p>傳統藥物研發多半是針對過去有藥效的物質，試圖尋找分子「指紋」相似的物質。</p> <p>這種做法通常成效良好，但在抗生素這個領域卻行不通。成分相似的物質多半早就研究過，於是新研發的抗生素結構與現有抗生素極為相像，細菌很快就會演化出抗藥性。</p> <p>為此，以麻省理工學院生物工程學教授柯林斯（James Collins）為首，一群背景多元的生物學家與資訊工程學者，和巴茲萊合作，決定採用另一套方法，不再把重點放在尋找相似的結構，而是尋找期望的效果：這種物質能殺死細菌嗎？在他們看來，這不是生物學問題，而是資訊科學問題。</p> <p>巴茲萊和研究團隊合作，以二千三百多種有抗菌特性的化合物，來訓練一套AI演算法，讓AI演算法判斷這些物質能否抑制大腸桿菌的生長。AI演算法經過訓練後，就用來判斷「老藥新用資料庫」裡大約六千種分子，以及後續另一個資料庫中的一億多種分子，以預測哪些分子可能會有藥效。</p> <p>在2020年初，他們挖到寶了，有一個分子脫穎而出。他們把這個分子命名為halicin，正是在向《2001太空漫遊》電影裡背叛主角的AI電腦HAL致敬。</p> <p>發現了這種能夠殺死超級細菌的超級藥物，立刻登上了全球的新聞頭條。眾人盛讚這就像是「影像殺死了廣播明星」的一刻，證明AI機器已勝過人類。</p> <p>然而那種說法是抓錯重點。並不是人工智慧贏了，而是人類的認知又邁出了成功的一步：面對重大的挑戰，先有一開始的想法，接著能夠改變觀點，於是開闢新路、找出解答。這裡該讚賞的並不是新科技，而是人類的能力。</p> <p>巴茲萊就解釋說：「是人類選擇了正確的化合物，也是人類清楚自己在做什麼，才把那些材料提供給AI模型來做學習。」是人類定義了問題、設計了方法、選擇了要用哪些分子來訓練AI演算法、再選擇要讓AI演算法檢查哪個物質資料庫。而在選出某些候選的分子之後，也是人類再次運用生物學知識，判斷為何有效。</p> <p>巴茲萊等人之所以能成功，要素之一就是掌握了一種認知自由（cognitive freedom）。而他們擁有這種自由，並不是因為讀了哪本書、依循了什麼傳統、做了什麼顯然合理的事，而只是因為他們運用了一種全人類都擁有的獨特認知能力。<strong>（本文摘錄整理自《超越AI的思考架構》，天下文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0726-%E8%B6%85%E8%B6%8AAI%E7%9A%84%E6%80%9D%E8%80%83%E6%9E%B6%E6%A7%8B_600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／天下文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 超越AI的思考架構（Framers）</strong></p> <p>庫基耶（Kenneth Cukier）, 麥爾荀伯格（Viktor Mayer-Schönberger）, 德菲爾利科德（Francis de Véricourt）／著</p> <p>林俊宏／譯</p> <p>天下文化出版</p> <p>定價：480元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0726_Framers_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_ITU.png" style="width: 170px;" /></p> <p><strong>庫基耶（Kenneth Cukier）</strong></p> <p>《經濟學人》雜誌資深編輯，《經濟學人》每週科技播客Babbage主持人，牛津大學賽德商學院副研究員，《大數據》作者之一。<a href="https://aiforgood.itu.int/speaker/kenneth-cukier/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源／ITU</span></span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0726_Framers_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%89%9B%E6%B4%A5%E5%A4%A7%E5%AD%B8.jpg" style="width: 170px;" /></p> <p><strong>麥爾荀伯格（Viktor Mayer-Schönberger）</strong></p> <p>牛津大學網路研究所教授，並擔任微軟、世界經濟論壇等大公司和組織的顧問，是大數據（巨量資料）領域公認的權威，著作《大數據：隱私篇》一書獲得2010年 Marshall McLuhan 傑出著作獎。<a href="https://www.law.ox.ac.uk/people/viktor-mayer-schenberger" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源／牛津大學</span></span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0726_Framers_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Francis%20de%20V%C3%A9ricourt.png" style="width: 170px;" /></p> <p><strong>德菲爾利科德（Francis de Véricourt）</strong></p> <p>歐洲管理科技學院教授，決策、模型暨數據中心主任，專精於管理科學和機器學習。<a href="https://www.francisdevericourt.net/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Francis de Véricourt</span></span></a></p> </div></div></div>
2024/7/26 06:00未署名https://www.ithome.com.tw/article/164055
駭客利用深偽技術線上應徵工作得逞，資安業者KnowBe4傳出不慎僱用北韓駭客，察覺異狀並尋求FBI協助調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩年前<a href="https://www.ithome.com.tw/news/150980">美國政府發出警告</a>，北韓政府派出具備IT開發能力的商業間諜，透過自由工作者招募平臺、社交網站、數位支付系統等管道，於全球市場求職，但這些人士不光只是為北韓政府賺錢，一旦企業僱用他們，就有可能面臨資料外洩及資金遭竊的風險，如今這樣的情況，真實發生在一家資安業者身上，而且，差一點就可能造成內部資料外洩的危機。</p> <p>7月24日資安意識教育訓練業者KnowBe4揭露<a href="https://blog.knowbe4.com/how-a-north-korean-fake-it-worker-tried-to-infiltrate-us">他們近期遭遇的內部威脅資安事故</a>，該公司最近為內部的IT AI團隊招募軟體工程師，他們發布求才訊息，並在收到履歷後安排面試、查核應徵者的背景、驗證推薦者等程序，最後決定聘僱。但該公司向這名新進人員提供Mac電腦工作站之後，奇怪的事情發生：這臺電腦竟然開始被載入惡意軟體。</p> <p>該公司指出，人力資源（HR）團隊其實相當盡力進行相關的檢查，他們在不同場合安排了4次視訊會議面試，並儘可能確認應徵者是履歷當中的本人，而且，該團隊也進行身家調查，以及執行就職前的其他標準審查流程。然而，對方雖然是真實人物，但濫用遭竊的美國公民身分，並使用Deepfake手法，透過AI「強化」照片。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-07-25 19_22_35.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-07-25%2019_22_35.png" style="width: 580px;" /></a></p> <blockquote><p>資安業者KnowBe4發現，這名軟體工程師履歷上使用的照片，是透過AI技術進行變造，對方將原始的左圖西方人的臉孔透過Deepfake變造，產生右邊看起來像東方人的照片。</p> </blockquote> <p>在該公司的EDR系統偵測到異狀並向資安營運中心（SOC）發出警訊，SOC向該名新員工詢問是否需要協助。在此同時，該公司也向資安業者Mandiant、美國聯邦調查局（FBI）共享收集到的資料與初步的調查結果，從而確認這是來自北韓的假IT人員。</p> <p>基於FBI已介入調查此事，KnowBe4表明他們無法說明完整的細節，但還是透露了整起事故察覺異狀的經過。</p> <p>該公司在今年7月15日，察覺新進的主任軟體工程師使用者帳號出現一系統可疑活動，SOC團隊向這名工程師進一步確認這些惡意活動及可能發生的根本原因，對方宣稱他的路由器出現速度異常的情況，懷疑有可能是遭到網路攻擊造成，正依照路由器的手冊排除故障。</p> <p>他們發現這名工程師意圖藉由各種手法來操縱網路連線的記錄資料，並傳輸含有潛在風險的檔案，以及執行未經授權的軟體，而存取惡意軟體的管道，是透過樹莓派裝置來下載。SOC想要進一步聯繫這名工程師，對方表明無法接聽電話，接下來就不再回應。</p> <p>根據該公司SOC的發現，他們懷疑這名員工的身分不單純，很有可能是國家級駭客，從而啟動進一步的調查。值得慶幸的是，該公司新員工會處於高度管制的環境，無法存取正式的生產力系統，而免於內部資料外流的危險，再者，該公司的資安系統適時察覺異狀，而能及早讓對方的意圖曝光，因此，他們的內部正式生產力系統並未遭到入侵，也沒有機敏資料外流的情況。</p> <p>該公司也對他們在查核對方身分真實性的流程，發現可能存在瑕疵的地方，例如，人資部門可能對於背景調查不夠充分，因為後來他們發現對方使用的名稱前後出現不一致的情況；再者，他們發現審查相關資料不夠嚴謹，很有可能依賴對方提供的電子郵件做為參考依據而上當。</p> <p>但究竟這些北韓駭客如何從事相關工作，而能夠騙過美國企業的耳目？該公司表示，對方成功取得相關工作職位後，通常會要求企業將公務電腦寄送到「IT騾子筆電農場（IT Mule Laptop Farm）」，然後半夜透過VPN從實際所在的地理位置（通常是北韓或中國邊界地區）存取，執行公司指派的任務，如此一來，這些「員工」看起來就在美國的白天時間正常上下班工作。</p> </div></div></div>
2024/7/25 20:04作者周峻佑https://www.ithome.com.tw/news/164108
使用竊資軟體Lumma Stealer、Connecio的駭客加入利用CrowdStrike更新大當機為幌子的行列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週發生的CrowdStrike更新大當機事故，包含<a href="https://www.ithome.com.tw/news/164052">資安業者CrowdStrike自己的威脅情報團隊</a>在內的<a href="https://www.ithome.com.tw/news/164079">研究人員提出警告</a>，駭客也會假借提供解決方案的名義，對於該廠牌EDR用戶發動攻擊，如今CrowdStrike再度公布兩起這種類型的資安事故。</p> <p>7月23日研究人員表示，<a href="https://www.crowdstrike.com/blog/threat-actor-distributes-python-based-information-stealer/">他們看到惡意ZIP壓縮檔CrowdStrike Falcon.zip</a>，駭客宣稱是EDR系統Falcon的更新檔案，其內容含有使用說明的純文字檔案，以及WinRAR自解壓縮檔（SFX）CrowdStrike Falcon.exe。但對於攻擊者的身分，研究人員並未透露。</p> <p>值得留意的是，對方在純文字檔寫下的操作步驟，要求使用者在執行自解壓縮檔之前，必須停用Microsoft Defender或其他的防毒軟體，而且，必須在安裝完成後重開機。</p> <p>這樣的步驟其實相當不尋常，因為，正牌端點防護系統的安裝過程，通常為了避免不同防毒系統之間發生衝突，可能會要求使用者直接移除電腦裡的防毒軟體，但不會以停用的方式進行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel-blog-4-Fig-1-Read-Me.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel-blog-4-Fig-1-Read-Me.png" style="width: 580px;" /></a></p> <p>一旦使用者執行CrowdStrike Falcon.exe，電腦就會進行解壓縮作業，呼叫以Python程式語言打造的竊資軟體Connecio。此竊資軟體會收集電腦系統資訊、多種瀏覽器資料，以及系統的外部IP位址資訊。</p> <p>而這款竊資軟體取得與C2連線資訊的方式，是向特定的Pastebin網址取得C2伺服器組態，並藉由SMTP郵件帳號，外傳竊得的資料。</p> <p>針對加密貨幣錢包的部分，這些駭客疑似藉由剪貼簿挾持的方式進行，並使用Python程式庫來控制受害電腦的剪貼簿。他們藉由特定的錢包網址特徵進行比對、置換，來盜取受害者的加密貨幣資產。</p> <p>事隔一天，<a href="https://www.crowdstrike.com/blog/lumma-stealer-with-cypherit-phishing-lure/">研究人員發現另一起竊資軟體攻擊行動</a>，這回是惡名昭彰的Lumma Stealer（也有人稱為LummaC2），他們發現網釣網域crowdstrike-office365[.]com，假冒該資安業者的名義散布惡意ZIP及RAR壓縮檔，內含MSI安裝檔，一旦執行，電腦就會載入竊資軟體。</p> <p>他們特別提及這個網域的註冊時間，是在大當機事故發生之後（23日），顯然是針對這起事故而來，再者，攻擊者的身份，研究人員懷疑是6月藉由垃圾郵件轟炸及語音釣魚（vishing）手法，散布Lumma Stealer的駭客所為。</p> <p>若是使用者不慎下載並執行MSI安裝程式，電腦就會載入RAR自解壓縮檔plenrco.exe，並解開、執行以NSIS封裝打包的安裝程式SymposiumTaiwan.exe，從而在受害電腦部署經過CypherIt打包的竊資軟體。</p> </div></div></div>
2024/7/25 15:03作者周峻佑https://www.ithome.com.tw/news/164106
Mistral AI發表Mistral Large 2，挑戰GTP-4o與Llama 3.1 405B
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年才成立的Mistral AI腳步飛快，於本周三（7/24）推出了具備1,230億個參數，支援12.8萬個Token脈絡長度的<a href="https://mistral.ai/news/mistral-large-2407/" target="_blank">Mistral Large 2</a> ，此一Mistral AI的旗艦模型宣稱已可比美OpenAI的<a href="https://www.ithome.com.tw/news/162852" target="_blank">GTP-4o</a>及Meta剛開源的<a href="https://www.ithome.com.tw/news/164093" target="_blank">Llama 3.1 405B</a>。</p> <p>Mistral Large 2支援包括中文、日文、韓文及德文等數十種語言，以及涵蓋Python、Java、C、C++、JavaScript與Bash等逾80種程式語言，它在設計時即著眼於基於長脈絡應用的單節點推論，其預訓練版本的MMLU基準測試準確率為84%，低於Llama 3.1 405B的88.6%，或是GPT-4o的88.7%。</p> <p>不過，Mistral AI強調Mistral Large 2在程式碼及數學上的表現，足以比美同為開源模型的Llama 3.1 405B；也投入了大量資源來強化模型的推論能力，重點之一是盡量減少模型虛構答案，以確保它提供可靠及準確的輸出；另也改善了Mistral Large 2在指令遵循與對話上的能力。</p> <p>Mistral AI比較了Mistral Large 2、Llama 3.1 405B及GPT-4o在C++、Bash、Java、TypeScript、PHP與C#的程式語言的表現，平均表現最好的是GPT-4o的75.3%，Large 2以74.4%居次，Llama 3.1 405B則是73.4%。若單看不同的程式語言，Mistral Large 2在Java的表現最佳，準確率高達84.2%，勝過GPT-4o與Llama 3.1 405B的82.9%。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0725-%20Mistral%20Large%202-benchmark-%20Code.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0725-%20Mistral%20Large%202-benchmark-%20Code-%E5%B0%8F%E5%9C%96.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Mistral AI</span></span></p> <p>至於GPT-4o則是在C++、TypeScript或PHP上的成績居冠，Llama 3.1 405B在Bash上取得領先。</p> <p>Mistral Large 2採用的是Mistral研究授權，代表可供研究與非商業的免費使用或變更，商業授權則必須與Mistral AI接洽。</p> </div></div></div>
2024/7/25 15:47作者陳曉莉https://www.ithome.com.tw/news/164107
微軟開始於Bing搜尋測試AI生成結果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.bing.com/search/July-2024/generativesearch" target="_blank">微軟周三（7/24）宣布</a>，已針對一小部分的Bing搜尋用戶提供AI生成結果，讓Bing得以針對使用者的查詢量身打造動態式的回應。</p> <p>此一新的搜尋服務是在搜尋結果頁面上整合了生成式AI與大型語言模型（LLM），例如在使用者搜尋「什麼是義大利式西部片」（What is a spaghetti western?）時，它會在視窗左側顯示由AI所生成的答案，包括該類型電影的起源、歷史與例子等，還會附上資訊連結，並於視窗右側呈現傳統的搜尋結果。</p> <p class="rtecenter"><img alt="" src="https://blogs.bing.com/getmedia/b785f5de-a493-4434-950e-b88fbd6aa9eb/western_spaghetti_promo_1.gif" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>微軟說明，此一新的Bing搜尋結果結合了大型語言模型與小型語言模型（SLM），使得它得以理解查詢內容，進而查閱數百萬個資訊來源，動態匹配內容，並生成結果，以更有效地滿足使用者的查詢意圖。</p> <p>除了不斷調整方法來提高搜尋結果的準確性之外，微軟亦密切注意新的生成式搜尋對出版商的流量影響，其早期的資料顯示，新服務維持了使用者造訪出版商網站的次數，因而可以支撐健康的網頁生態體系。</p> <p>微軟強調，他們在設計生成式搜尋體驗時，便已考慮到相關事項，包括保留傳統搜尋結果，以及增加連結數量，例如結果中的參考連結。</p> <p>這些由AI生成的搜尋結果內容上方都有兩種圖示，分別代表好（豎起大姆指）或不好（大姆指往下），使用者可藉由選擇這些圖示來回應對結果的滿意度。</p> </div></div></div>
2024/7/25 14:24作者陳曉莉https://www.ithome.com.tw/news/164104
Apple Maps終於推出網頁版，臺灣已上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在手機版推出超過12年後，<a href="https://www.apple.com/newsroom/2024/07/apple-maps-on-the-web-launches-in-beta/" target="_blank">蘋果昨日宣布</a>，網頁版Apple Maps以公測版上線，上線地區包括臺灣。</p> <p>蘋果是在2012年首先於iPhone及Mac上公布Apple Maps服務取代Google Maps。一開始錯誤百出，也不精確，迫使執行長Tim Cook出面道歉並承諾會逐步改進。現在Apple Maps已可在beta.maps.apple.com特定瀏覽器開啟，包括在Mac及iPad上的Safari和Chrome，以及Windows PC上的Chrome和Edge。目前Web版Apple Maps只有英文版，但蘋果說未來會擴增到其他語言、其他瀏覽器和平臺。</p> <p>現在Web版Apple Maps提供行車和走路指引、提供特定景點資訊，包括照片、營運時間、用戶評分與評論。用戶可以直接在Apple Maps的地點卡片（place card）上下單訂餐，或跟著蘋果的指引，尋找餐廳、購物店家或其他城市資訊。未來Apple Maps的環視（Look Around）功能也會在Web版推出。</p> <p>在程式開發上，使用MapKit JS的開發商可以將應用整合Web版Apple Maps，方便用戶在使用App時存取蘋果提供的資訊。</p> <p>臺灣用戶現在也可使用Web版Apple Maps。輸入中文字查詢，Apple Maps依然能提供想要的地點資訊，部分地標或商店也提供中文名稱。</p> </div></div></div>
2024/7/25 14:35作者林妍溱https://www.ithome.com.tw/news/164105
電子地圖基金會Overture Maps發布開放地圖資料集的正式版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由AWS、微軟、Meta及TomTom共同創立的Overture Maps基金會（Overture Maps Foundation），<a href="https://overturemaps.org/overture-maps-foundation-releases-general-availability-of-its-open-maps-datasets/" target="_blank">周三（7/24）正式發表了開放地圖資料集的GA（General Availability）版</a>，當中含有基礎、部門、興趣點及建築物等4個已邁入GA的主題，以及仍處於Beta版的運輸主題，再加上新增的、尚為Alpha階段的地址主題。</p> <p><a href="https://www.ithome.com.tw/news/154753" target="_blank">成立於</a>2022年底的Overture Maps基金會，被視為是上述業者為了對抗封閉的Google地圖所建立的組織，此外，它們認為坊間用來呈現真實世界的不同圖資都使用各自的習慣與辭彙，使得它們難以合併或組合，於是該基金會便企圖提供一個連結不同資料集的系統，來簡化其互通性，同時推動一個紀錄圖資的通用架構，以創造容易使用的地圖資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0725-Overture%20Maps%20Foundation%20logo-%E5%AE%98%E6%96%B9%E5%9C%96%E7%89%87-%E5%B0%8F.jpg" style="width: 400px;" /></p> <p>在經過一年多的測試後，本周釋出了GA版的地圖集，內含4個主題，包括全球23億個建築物，5,400萬個興趣點（Places of Interest），支援逾40種語言的國家及地區的行政邊界，以及涵蓋水及土地的基礎資料。</p> <p>至於仍在Beta階段的運輸主題則仍在改善中，可望於未來幾個月移至GA版，屆時將可看到更詳細與清晰的高速公路標誌、道路路線、鐵路與渡輪資料，也更能處理複雜的交通規則和限制。</p> <p>此外，本周Overture Maps基金會還發表了全新的地址主題，現在還是Alpha版的地址主題已含有14個國家的逾2億個地址，在未來被納入正式地圖集時，這些地址將會擁有唯一的標識碼，以快速連結其它外部資料，而此一地址資料將能進一步推動導航、物流、搜尋或其它應用的進步。</p> <p>該基金會的獨特之處在於允許企業透過其全球實體參考系統（Global Entity Reference System，GERS）於Overture的基礎地圖上添增資料，GERS為一結構框架，替每一個地理元素建立唯一的GERS ID（如下圖所示），以便它們能夠互通與追蹤。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0725-Overture%20Maps%20Foundation-GERS%20Demo-%E5%B0%8F%E5%9C%96.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Overture Maps Foundation</span></span></p> </div></div></div>
2024/7/25 13:48作者陳曉莉https://www.ithome.com.tw/news/164101
Nvidia推出企業用AI模型客製化平臺AI Foundry
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周Nvidia趕上Meta新版Llama 3.1模型列車，<a href="https://nvidianews.nvidia.com/news/nvidia-ai-foundry-custom-llama-generative-models" target="_blank">宣布可讓企業在Nvidia雲端上客製化AI模型的解決方案AI Foundry</a>。</p> <p>Nvidia是在<a href="https://www.ithome.com.tw/news/164093" target="_blank">Meta宣布Llama家族模型3.1版</a>，包括405B時公布這項方案。Meta Llama 3.1同步在包括Nvidia內25家雲端平臺上線。</p> <p><a href="https://blogs.nvidia.com/blog/ai-foundry-enterprise-generative-ai/" target="_blank">Nvidia說明</a>，AI Foundry是一項AI服務，目的在讓企業使用資料、高速運算資源和軟體工具來開發部署自製模型，以增強其生成式AI專案。AI Foundry整合Nvidia雲端平臺DGX Cloud、NVIDIA NeMo及第三方工具和支援，可搭配多種底層模型。AI Foundry提供企業客製化的模型，包括Nvidia Nemotron和開源模型，包括Meta開源的Llama 3.1與CodeLlama、Google DeepMind開源的CodeGemma和Gemma、Mistral AI的Mistral和Mixtral、微軟Phi-3、StarCoder2等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0725-NVIDIA%20AI%20Foundry-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nvidia</span></span></p> <p>企業客戶可以將其在AI Foundry客製的模型，連同優化的引擎及標準API輸出為Nvidia NIM推論微服務，執行在其屬意的加速基礎架構上。而推論方案如Nvidia TensorRT-LLM，可加速Llama 3.1模型執行，降低延遲性和擴大傳輸吞吐量，可讓企業更快產生字符，減少從提示輸入的成本。此外Nvidia AI Enterprise軟體套件則提供安全性及管理、最佳化元件等底層支援。</p> <p>客戶可以使用Nvidia合作夥伴提供的AIOps和MLOps平臺開發AI Foundry模型，包括Cleanlab、DataDog、Dataiku、Dataloop、New Relic、Scale等。AI Foundry全球服務技術夥伴包括Accenture、Deloitte、Infosys和Wipro等。</p> <p>首先使用AI Foundry的客戶包括SAP、Capital One、KT、現代汽車、Snowflake、圖庫業者Getty Images等。</p> <p>最新服務是Nvidia從單純基礎架構業者邁向更全面的雲端平臺的最新發展。Nvidia與Meta執行長<a href="https://www.nvidia.com/en-us/events/siggraph/?nvid=nv-int-bnr-586714" target="_blank">黃仁勳和Mark Zuckerberg預定7月29日將在一場活動中對談</a>，說明生成式AI和開源軟體如何幫助開發者及創作者，以及生成式AI在元宇宙中的角色。</p> </div></div></div>
2024/7/25 14:03作者林妍溱https://www.ithome.com.tw/news/164103
思科修補郵件安全閘道系統重大漏洞，若不處理攻擊者可建立root權限用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日思科發布資安公告，<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-bGG2UsjH">公布郵件安全閘道Secure Email Gateway重大層級漏洞CVE-2024-20401</a>，這項漏洞發生在內容掃描及訊息過濾的功能，而有可能導致未經授權的攻擊者，遠端在作業系統底層覆寫任意檔案，CVSS風險評為9.8。</p> <p>這項漏洞出現的原因，在於此郵件安全閘道系統對於附件的檔案分析及內容過濾機制發生處理不當的情況，攻擊者有機會藉由寄送帶有特製附件的惡意郵件觸發漏洞，一旦成功利用漏洞，攻擊者可替換底層檔案系統的任何檔案，從而新增具備root權限的使用者、竄改裝置組態、執行任意程式碼，以及發動阻斷服務攻擊（DoS），CVSS風險評分達到9.8分。</p> <p>值得留意的是，該公司特別提及若是因這項漏洞遭遇攻擊而導致服務中斷，必須人工介入才能復原。不過，他們並未提及這項漏洞是否被用於攻擊行動的情況。</p> <p>而對於受到這項漏洞影響的範圍，他們提及若是郵件安全閘道系統搭配易受攻擊的AsyncOS作業系統版本，並啟用檔案分析機制或內容過濾機制，而且透過政策套用到所有傳出的電子郵件，再加上內容掃描工具版本較舊，就有可能曝險。思科已發布更新軟體予以修補，並強調沒有其他替代的緩解措施，呼籲IT人員要儘速套用更新。</p> </div></div></div>
2024/7/25 10:19作者周峻佑https://www.ithome.com.tw/news/164097
臺灣及美國macOS用戶遭到鎖定，中國駭客Evasive Panda使用後門程式Macma從事攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往駭客主要針對Windows電腦下手，但最近兩到三年，他們將攻擊範圍擴及其他作業系統的情況越來越普遍，有駭客組織使用跨平臺開發工具，打造出針對macOS、安卓作業系統的惡意程式。</p> <p>例如，<a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/daggerfly-espionage-updated-toolset">資安業者賽門鐵克揭露中國駭客組織Evasive Panda（他們稱為Daggerfly）開發的macOS惡意程式</a>，就是這樣的例子。他們針對最近一波的攻擊行動提出警告，指出對方近期針對臺灣企業組織、位於中國的美國非政府組織（NGO）使用新的作案工具從事網路間諜活動，過程中利用Apache HTTP伺服器的漏洞散布惡意軟體框架MgBot。</p> <p>研究人員指出，這些駭客擅長使用MgBot框架，並持續加入新功能，他們在去年看到駭客在攻擊非洲電信業者的過程裡，採用新的外掛程式來增加危害。</p> <p>但值得留意的是，他們發現名為Macma的macOS後門程式，也是這些駭客開發、使用的武器之一。<a href="https://blog.google/threat-analysis-group/analyzing-watering-hole-campaign-using-macos-exploits/">這個後門程式最早在2021年由Google威脅情報團隊（TAG）揭露</a>，並推測駭客2019年就開始使用，並濫用遭駭的香港網站發動水坑式攻擊，來散布這支後門程式。</p> <p>其中，研究人員提及駭客在水坑式攻擊利用的弱點，不光影響Mac電腦，也會影響iOS裝置，其中一個被利用的是權限提升漏洞CVE-2021-30869（CVSS風險評分為7.5），一旦Mac電腦尚未修補這項漏洞，對方就有機會藉此植入後門程式。</p> <p>基本上，Macma也是模組化的惡意程式，主要的功能收集裝置指紋資料、執行命令、截取螢幕畫面、側錄鍵盤輸入內容、截取電腦聲音，並能讓攻擊者上傳或下載檔案。但研究人員在最新的版本當中發現，駭客加入了多項調整與改進，這突顯對該惡意程式極積開發的情形。</p> <p>他們找到兩個新版的Macma進行研究、分析，並指出駭客採用Tree（可公開取得的Linux、Unix公用程式）為基礎開發新程式碼，調整收集檔案系統列表的邏輯；再者，則是改良AudioRecorderHelper功能的程式碼，並加入新的功能參數及除錯事件記錄。此外，對方也加入名為param2.ini的檔案，設置截取螢幕畫面的相關參數。</p> <p>究竟如何察覺這支惡意程式與Evasive Panda有關？研究人員在分析的過程中發現，這些後門程式竟然連線到IP位址是103.243.212[.]98的C2伺服器，而其中一款MgBot惡意程式載入工具也使用該伺服器進行通訊。</p> <p>經過程式碼的比對，他們發現Macma與MgBot及其他該組織使用的惡意程式，共用相同的程式庫或框架開發而成。駭客使用這些程式庫及相關元件，跨平臺開發Windows、macOS、Linux、安卓版惡意程式。</p> <p>他們舉出<a href="https://www.welivesecurity.com/en/eset-research/evasive-panda-leverages-monlam-festival-target-tibetans/">資安業者ESET今年3月揭露的Windows後門程式Nightdoor</a>（也稱做NetMM、Suzafk）為例，研究人員確認這款惡意程式也是使用該駭客組織專屬的程式庫打造，這是多階段後門程式，能夠使用TCP協定或是透過OneDrive進行C2通訊。對方利用名為DAEMON Tools Lite Helper的虛擬光碟軟體公用程式將其載入，啟動過程濫用al-khaser專案的程式碼來檢測是否在虛擬機器或沙箱環境執行。</p> <p>除了Nightdoor，研究人員也找到駭客針對其他作業系統的開發惡意程式的證據，並指出對方開發了安卓裝置應用程式的惡意安裝檔、簡訊攔截工具、DNS請求攔截工具，還有鎖定Solaris作業系統的惡意程式</p> </div></div></div>
2024/7/25 12:23作者周峻佑https://www.ithome.com.tw/news/164099
CrowdStrike說明全球當機事件起於驗證軟體一隻臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>將近一周後，資安軟體業者<a href="https://www.crowdstrike.com/falcon-content-update-remediation-and-guidance-hub/" target="_blank">CrowdStrike昨（24）日說明</a>，一個驗證軟體的臭蟲加上一連串錯誤，引發了全球Windows電腦大當機事件。</p> <p>CrowdStrike發布事件後初步檢討（Preliminary Post Incident Review），詳細說明<a href="https://www.ithome.com.tw/news/164030" target="_blank">7月19日大規模Windows版藍色死亡螢幕（BSOD）事件</a>是如何發生的。CrowdStrike是透過將安全防護內容，包括惡意程式特徵等發布到其端點感測器。其中包括內含在感測器中的內容，以及業者需透過網路經常更新到用戶端的快速回應內容（Rapid Response Content）。這次事件就是發生更新快速回應內容的環節上一個未預期的錯誤。</p> <p>快速回應內容是為對抗網路威脅，進行惡意程式行為特徵比對，它一般是儲存在CrowdStrike專屬二進位檔，這個檔內含一些配置內容。在日常更新中，CrowdStrike伺服器以內容配置更新機制將快速回應內容派送到端點。派送內容更新的系統涉及三個機制，主要是驗證更新內容，確認無誤，最後發布通道檔（Channel Files）更新給端點。驗證動作由內容驗證器（Content Validator）檢查包含安全更新內容的IPC範本執行個體（Template Instances）。</p> <p>CrowdStrike指出，在4月時都還測試正常的IPC範本執行個體，但在上星期五之前某個時間點出了錯。另一方面，負責驗證的內容驗證器也出了個臭蟲，以致於發布的2個範本執行個體中有1個包含有問題的內容資料，但卻成功通過驗證，並部署到營運環境中。於是在7月19日當天，內含問題內容的通道檔（Channel File）291發布給了Falcon平臺的端點，引發越界（out-of-bounds）記憶體讀取，觸發例外，又加上這例外未能獲得妥善處置，最後導致Windows系統BSOD事件。</p> <p><a href="https://www.ithome.com.tw/news/164040" target="_blank">微軟估計</a>，全球有850萬臺Windows機器因此停機。雖然不到所有Windows電腦的1%，但卻造成全球機場、港口、醫院停擺數小時，以及重大財務損失。</p> <p>CrowdStrike說明該公司預防事件重演的修正措施，包括強化安全偵測（快速回應內容）的多項測試，並對內容驗證器加強驗證檢查，也加強內容解譯器（Content Interpreter）對既有錯誤處理的能力。此外，該公司也將使用逐步部署策略連同加強監控、提高客戶控管能力，以及在release notes提供更多資訊給客戶，防範事件快速蔓延。該公司也計畫導入外部組織來驗證軟體程式碼，及其作業流程。</p> </div></div></div>
2024/7/25 13:18作者林妍溱https://www.ithome.com.tw/news/164100
【網路安全治理當道】快速掌握NIST CSF 2.0的7大重要改變
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對網路攻擊威脅不斷發生，企業相當重視組織本身的資安態勢，為了持續推動改善，這幾年有一套網路安全框架，受到全球政府與企業的青睞，那就是美國國家標準與技術研究所（NIST）發布的Cybersecurity Framework，或稱NIST網路安全框架，我們通常簡稱為NIST CSF。</p> <p>這套框架已發展10年之久，如今是全球最廣泛認可和使用的框架之一。特別是在2018年CSF 1.1版推出之後，這樣的網路安全框架，受到多國組織與企業的認可，並也帶動全球針對關鍵基礎設施在網路安全立法保護的潮流。</p> <p>隔年，iThome電腦報週刊也特別舉辦針對CSF探討的Cybersec 101研討會，是臺灣第一個專門聚焦此議題的系列活動，多位資安專家介紹此框架的5大核心功能：識別、保護、偵測、回應、復原。後續我們也進行<a href="https://www.ithome.com.tw/article/133173" target="_blank"><span style="color:#3399ff;">封面故事的報導，協助大家更加認識這個網路安全框架</span></a>。</p> <p>當時，臺灣已有不少企業關注NIST CSF，認為面對網路安全風險的處理，應該要有通盤的考量，重視網路安全風險生命週期，而不只是頭痛醫頭、腳痛醫腳的方式去應對。</p> <p>經過5年來的推廣與發展，臺灣已有一些企業帶頭導入NIST CSF。例如，根據一些上市櫃公司的官網內容、發布的年報或ESG報告，我們都可以發現採用的跡象，因為有不少公司表明自身在應對資安風險管理上，不僅導入大家耳熟能詳的國際資訊安全管理標準ISO 27001，也會提到他們採用NIST CSF框架，將網路安全控管機制整合在日常作業流程。</p> <p>到了2024年，NIST CSF 2.0版發布，其重要變化再次受到全球各界的重視，因為當中特別將治理的位階提升並且獨立，是相當重大的演進。</p> <p>這不僅是讓網路安全風險的生命週期管理更為健全，也意味著，將網路安全風險管理提升到組織營運戰略層面，確保高階主管對於網路安全風險的關注，如同企業對於財務、聲譽的重視。</p> <p><span style="font-size:28px;"><strong>新版強調網路安全治理的重要性，整體內容也更明確與簡化</strong></span></p> <p>NIST CSF 2.0到底具有哪些特色？帶來哪些改變？為了幫助不瞭解這套框架的企業，以及想要知道新版CSF有何變化的企業，能夠快速理解。接下來，我們統整出CSF 2.0的7大重點。</p> <p><span style="font-size:28px;"><strong>重點1：明確定義適用範圍不限於關鍵基礎設施</strong></span></p> <p>基本上，NIST CSF 1.0版最早是2014年發布，當時主要目的是為了強化關鍵基礎設施的網路安全。源自美國總統歐巴馬在2013年2月，發布了第13636號行政命令（EO），要求該國NIST根據現有的標準與指南，訂立一套可供關鍵基礎設施採用的資安框架，以此強化網路安全。</p> <p>到了2018年4月，CSF 1.1版發布，這次改版最大意義在於擴展運用範圍，不僅涵蓋先前注重的關鍵基礎設施，同時，也要讓所有的企業環境都能適用，再加上易於實施的5大核心功能，並具有靈活應用的彈性，幫助各組織可以更好地理解、減少與溝通網路安全風險。</p> <p>雖然1.1版可運用在更多領域，但當時CSF正式文件的名稱依然維持不變，稱為《改善關鍵基礎設施網路安全框架》（Framework for Improving Critical Infrastructure Cybersecurity）。</p> <p>在2024年2月CSF 2.0版發布後，上述文件名稱不再使用，直接改為The NIST Cybersecurity Framework（CSF）2.0，取而代之，避免外界可能產生誤解。</p> <p>這一轉變，同樣體現於框架內容中，NIST指出，儘管許多組織認為CSF 1.1版仍然有效應對網路安全風險，但考慮到技術與風險的變化，對這個框架進行一些改變仍是必要的，因此這次釋出的2.0版，也希望讓內容更加清晰明確，移除複雜的術語，使框架能夠更適用所有的企業。</p> <p><span style="font-size:28px;"><strong>重點2：提升治理的高度，強調網路安全風險策略與管理</strong></span></p> <p>原本NIST CSF框架的發展，是圍繞著五個核心功能構建，也就是識別、保護、偵測、回應、復原，由這些功能共同構成整體網路安全風險管理的基礎。</p> <p>NIST CSF 2.0版正式發布後，該框架已演進為六大核心功能，也就是治理（Govern）、識別（Identify）、保護（Protect）、偵測（Detect）、回應（Respond）、復原（Recover）。</p> <p>當中最顯著的變化是，CSF 2.0增加了「治理」的功能。值得注意的是，治理並非完全新創的內容，大部分內容是依據1.1版的類別，重新綜合整理而成。</p> <p>不過，2.0版這次變動的更大意義在於：治理的位階明顯提升，不僅貫穿整個網路安全框架，並涵蓋6大類別，包括：組織環境、風險管理策略、角色與職責與授權，以及政策、監管，還有網路安全供應鏈風險管理。而這些內容所展現的主要宗旨，就是重視組織高層的參與，並要確保網路安全策略與企業的總體風險管理策略一致。</p> <p>事實上，公司治理早已是企業永續經營的重要議題，如今CSF 2.0框架有了新的治理功能，將可以從符合老闆與高層看待公司經營風險的角度，從治理的層面去審視網路安全風險評估，相對地，這也將促使能有更廣泛的企業管理高層去承擔網路安全政策角色，更負責地回應企業風險管理狀況。</p> <p><span style="font-size:28px;"><strong>重點3：新增實施範例，有助於企業理解項目內容</strong></span></p> <p>以風險為基礎的NIST CSF框架，可協助企業與組織建立通盤的網路安全策略，在新推出的2.0版，畫分6大核心功能，並有22個類別與106個子類別，企業將可透過這106項子類別提供的控制措施，應對各種網路安全挑戰。</p> <p>值得我們注意的是，NIST為了幫助企業更容易實踐CSF，同時提供了一系列的資源與工具，便於將CSF應用於組織內部，尤其是針對每個子類別提供的控制措施，全面新增「實施範例」。</p> <p>簡單來說，有了實施範例，代表企業可以更容易依循範例去執行，並且易於理解，以便達到CSF子類別的要求。</p> <p>以GV.RM-03這項子類別為例，其說明是：網路安全風險管理活動與結果要納入企業風險管理流程，NIST為此提供3個實施範例。</p> <p>以範例1而言，將網路安全風險與其他企業風險（例如合規、財務、營運、法規、聲譽、安全）一併彙總與管理；範例2則是在企業風險管理規畫中，納入網路安全風險管理者；至於範例3，是指在企業風險管理規畫中，建立升級網路安全風險的標準。</p> <p>我們可以發現，NIST針對每個子類別提供至少1個實施範例，有的更是多達10個。由於先前1.1版沒有這樣的內容，因此這次新版做出改變後，對企業組織而言，可以更容易理解該項目的要求。</p> <p>關於全部的內容，NIST提供囊括所有CSF 2.0實施範例的Excel檔，供企業下載該表格並使用，另外，用戶也可透過其他CSF 2.0相關資源的指引，同樣能找到完整內容的介紹與說明，像是NIST提供的參考工具（CSF 2.0 Reference Tool），或是CPRT網路安全與隱私參考工具（CSF 2.0 Dataset on CPRT）等。</p> <p><span style="font-size:28px;"><strong>重點4：提供5大快速入門指南，C-SCRM、ERM至關重要</strong></span></p> <p>這次改版，NIST還開發一系列快速入門指南（QSG)，協助組織將CSF 2.0應用於其特定需求。最先發布的內容有5種類型，包括：1. 建立與使用組織輪廓（Profiles）的使用指南；2. 使用CSF層級（Tier）的指南；3. 網路安全供應鏈風險管理（C-SCRM）的快速入門指南；4. 企業風險管理（ERM）實踐者的快速入門指南；5. 小型企業（SMB）的快速入門指南。</p> <p>基本上，原先的CSF框架由三個要素組成，包含框架核心（Core），還有框架輪廓（Profiles），以及實施層級（Tiers）。</p> <p>其中的框架核心，細分為6大功能，每個功能區分為多個類別，而每個類別還可分為多個子類別。</p> <p>以框架輪廓（Profiles）而言，作用是幫助評估自身網路安全的輪廓，依據業務營運要求與風險評估的差異分析，找出改善網路安全態勢的優先順序，並訂定逐年強化目標；以實施層級（Tiers）而言，則是可以幫助組織評估執行的程度，共畫分有4個層級。因此，NIST提供這方面的指南相當合理。</p> <p>值得關注的是，輪廓、層級這兩者本來就是CSF框架的重要概念，但這次NIST還針對C-SCRM、ERM的面向提供指南，我們認為，這會是2.0版的全新焦點，其重要程度可能不下於既有框架內容，而且它們都於新的治理功能息息相關。</p> <p>首先，以網路安全供應鏈風險管理（C-SCRM）的快速入門指南而言，NIST在此特別介紹如何使用CSF的GV.SC類別，來建立運作C-SCRM的能力，這部分可對應NIST在2022年5月釋出的新版文件：SP 800-161r1。</p> <p>以企業風險管理（ERM）的快速入門指南而言，當中介紹如何使用CSF來規畫與整合企業整體範圍的網路安全風險管理資訊，這部分對應的內容，是NIST從2020年10月陸續發表的一系列NIST IR 8286文件。</p> <p>換言之，當我們要了解CSF 2.0框架時，上述這兩系列文件也要一併重視。事實上，2.0版文件有一部分內容，強調要改善網路安全風險溝通和整合。</p> <p>另一方面，NIST也提供適用於小型企業的CSF入門指南，這應是體認到不同使用者的需求而發展，作為補充的指導內容，幫助那些沒有網路安全計畫，或是僅有簡單網路安全計畫的小型企業，可以透過這些簡化的內容，更容易從6大功能面著手、強化網路安全，即便有不理解或自己不會做的地方，有了這份指南，也可做為企業與資安專業服務廠商討論的起點。</p> <p>此外，NIST目前還有提供建立社群的指南，這方面應會針對更多不同使用者、產業或技術領域需求，提供符合其特性的內容。未來大家可以留意這方面，應持續會有更多進展公布。</p> <p><span style="font-size:28px;"><strong>重點5：提供可進一步了解實作面的參考資訊</strong></span></p> <p>為了幫助企業善用CSF框架，保持組織實施框架的靈活性，NIST也提供資訊參考（Informative Reference）文件，藉此幫助企業，使他們能將上百個子類別提供的控制措施，對應到不同重要標準的控制措施。</p> <p>與先前1.1版提供的參考資訊相比，我們可以發現，2.0版在這方面提供的資訊，相當聚焦於描述安全性與隱私權控制的NIST SP 800-53，該文件目前為第5.1.1版，這主要是美國聯邦政府的安全控制基準，能幫助企業組織更了解控制措施的實作面與細節。</p> <p>換言之，NIST SP 800-53也可視為企業在使用CSF 2.0框架時，重要的執行參考依據。</p> <p><span style="font-size:28px;"><strong>重點6：整體共有91項細微調整</strong></span></p> <p>在CSF 2.0版中，先前提到這一版本共定義出6大功能、22個類別，以及106個子類別。</p> <p>與1.1版的5大功能、23個類別、108個子類別相比，數量看似變化不大，但當中其實許多項目都以更好的方式整併。</p> <p>我們查閱CSF 2.0框架內容時，也發現當中有多達91個差異，包含被取消、或納入原有項目，或新項目的異動。</p> <p>舉例來說，原先1.1版的ID.BE-01，被取消並被整併到2.0版的GV.OC-05，至於原有的ID.GV-03，被移動到新版的GV.OC-03。</p> <p>還有一些異動的整併範圍更大，像是原本的ID.SC-01，被取消並整併到2.0版的GV.RM-05、GV.SC-01、GV.SC-06、GV.SC-09、GV.SC-10。</p> <p>又或是原有的RS.IM、RC.IM，兩者被取消並整併到新的ID.IM。</p> <p>顯然NIST在分類方式上，做出了更細緻的調整，目的應是希望有更簡潔與易於理解的呈現。</p> <p><span style="font-size:28px;"><strong>重點7：簡化為5大實施步驟</strong></span></p> <p>在CSF框架的使用上，除了強調企業自身的改進與比較，也隱含了成熟度的概念於其中。</p> <p>而為了方便組織採用CSF，NIST強調建立組織輪廓的重要性，並說明如何使用它來幫助持續改進網路安全。較特別的是，1.1版提出7大步驟，2.0版則有進一步的簡化，統合為5大步驟：（1）確定組織的輪廓，（2）蒐集準備組織輪廓所需的資訊，（3）建立組織目標輪廓，（4）分析目前輪廓與目標輪廓的差異，並制定行動計畫，（5）實施行動計畫，並更新組織輪廓。</p> <p>整體而言，隨著CSF 2.0框架的發布，NIST鼓勵所有組織使用，以提升網路安全防護能力，因為企業組織可用來了解、評估、確定優先順序與溝通網路安全風險。</p> <p>因為，這個框架對於促進內部和外部溝通特別有用，可用於不同內部團隊，或高層管理層到中階的管理人員，以及執行日常網路安全職責的人員。而且，CSF還將改善與供應商與合作夥伴之間的溝通，幫助組織將網路安全相關問題，可與更廣泛的企業風險管理戰略之間，進行相互結合。</p> <p>此外，在彙整出7大重點變化之餘，為了對CSF 2.0框架有更深入了解，我們也請教多位專精這項議題的專家，包括BSI臺灣產品經理潘世鳴，以及擔任ISC2台北分會大使的吳明璋，他們常針對CSF框架開課，或發表相關內容的演說，透過他們深入淺出的說明，讓大家進一步了解2.0版重要意涵與變化，以及他們觀察到的使用現況與挑戰。</p> <p> </p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> NIST CSF 2.0版重要變動：用「治理」駕馭5大功能 </span></strong></span></span><br /> <span style="color:#696969;"><strong>原本NIST CSF框架圍繞5大核心功能構建，也就是識別、保護、偵測、回應、復原，如今治理躍升為第6大核心功能，不僅位階提升，並貫穿整個網路安全框架，而且成為原有5大功能的重要支撐。</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1192-%E5%B0%81%E9%9D%A2page%201-600-1.png" style="width: 600px;" /></strong></span></p> <p> </p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> CSF 1.1版與2.0的核心功能比較 </span></strong></span></span><br /> <span style="color:#696969;"><strong>在NIST CSF 2.0版中，除了有全新的治理功能，原有23個類別也重新整併為22個類別，讓內容更有系統性且簡潔。例如，企業環境、風險評估、風險管理策略與供應鏈風險等納入治理，更反應出網路安全在治理中的重要性，而原有5大功能的類別亦有統整，讓項目可以更精簡。</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1192-%E5%B0%81%E9%9D%A2page%201-600-2.png" target="_blank"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1192-%E5%B0%81%E9%9D%A2page%201-600-2.png" style="width: 600px;" /></strong></span></a></p> <p> </p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> CSF 2.0首度提供實踐範例，可幫助進一步理解106項控制措施的行動方向 </span></strong></span></span><br /> <span style="color:#696969;"><strong>為了幫助企業更容易實踐CSF框架，2.0版針對每個子類別提供「實施範例」說明。以子類別GV.SC-06為例，NIST提供了4個範例，包括：組織應針對潛在供應商進行徹底的盡職調查，組織應評估潛在供應商的技術、資安能力與風險管理實務，組織應根據業務與適當網路安全要求進行供應商風險評估，以及組織應在採購與使用前需評估關鍵產品的真偽性、完整性與安全性。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89CSF%202_0%E5%AF%A6%E8%B8%90%E7%AF%84%E4%BE%8B.jpg" style="width: 600px;" /></p> <p> </p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> CSF 2.0提供5大快速入門，企業風險管理與供應鏈是全新重點 </span></strong></span></span><br /> <span style="color:#696969;"><strong>以NIST CSF框架而言，建立組織輪廓（Profiles）與層級（Tiers）的應用，也是相當重要的概念，值得我們關注的是，CSF 2.0版釋出的快速入門指南中，還特別聚焦在網路安全供應鏈風險管理（C-SCRM），以及企業風險管理（ERM）的面向，顯然，這將是企業使用框架不可忽視的全新重點。</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1192-%E5%B0%81%E9%9D%A2-2P-%E6%AD%A3%E6%BC%A2-CSF%E7%9A%847%E5%A4%A7%E6%94%B9%E8%AE%8A-PNG2.png" target="_blank"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1192-%E5%B0%81%E9%9D%A2-2P-%E6%AD%A3%E6%BC%A2-CSF%E7%9A%847%E5%A4%A7%E6%94%B9%E8%AE%8A-PNG2.png" style="width: 600px;" /></strong></span></a></p> </div></div></div>
2024/7/25 11:30作者羅正漢https://www.ithome.com.tw/news/164080
【網路安全風險評估成關鍵挑戰】深度剖析CSF 2.0框架，掌握治理背後的重大意義
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這個網路威脅日益增長的時代，對於許多企業而言，資安防護強化往往顯得複雜且廣泛，讓人不知從何著手。然而，近年來，NIST網路安全框架（Cybersecurity Framework，CSF）的出現，成為既有資訊安全管理推動的全新重點，為何如此？該框架對於網路安全威脅的層面，有一套以風險為基礎並通盤考量網路安全的做法，提供系統化且易於遵循的指導方針。</p> <p>今年2月底CSF 2.0版推出，使得這個網路安全框架有了全新的演進，因為當中新增了「治理」功能，發展成6大功能、22個類別，以及106項子類別，但這背後還有哪些意義與重點，值得大家進一步關注？</p> <p><span style="font-size:28px;"><strong>網路安全治理牽扯跨部門管理，層級更高才推得動</strong></span></p> <p>關於CSF 2.0版框架的內容變化，「治理」功能的加入引發各界關注，意義更是深遠。</p> <p>英國標準協會（BSI）台灣產品經理潘世鳴指出，過去沒有一個網路安全框架會如此看重治理，因此這樣的演變令BSI相當興奮。</p> <p>他指出，NIST將CSF框架原有的5大功能（識別、保護、偵測、回應、復原），現在通通都視為管理，再將這些構面中需要治理的部分，全部集中到「治理」功能之下。</p> <p>這麼做的好處在於，對於高階主管與老闆而言，關注的是企業組織環境的全景，也就是能從公司治理角度切入，重視網路安全風險策略。更重要的是，網路安全治理是跨部門管理的需求，一定需要高階的管理階層推動，才能有效進行。</p> <p>潘世鳴從美國資安界的討論當中觀察，發現大家普遍對於「將治理功能獨立看待」這件事，給予高度肯定，因為這可以更容易幫助推動網路安全的人員跟老闆溝通，說明網路安全是必要做的事。</p> <p>潘世鳴甚至斷言：網路安全治理、資安治理這樣的議題，會在接下來兩三年會變得相當熱門，這些名詞的熱門程度，甚至是會更高於CSF框架。也就是說，儘管企業不一定都會導入CSF 2.0，但網路安全治理的概念，會被加入、深入到企業思維。</p> <p>不過，究竟什麼是治理？「治理」與「管理」之間的差異？潘世鳴指出，管理制度相當強調「精準」，而治理的概念則需要「彈性」。</p> <p>以管理而言，公司會用一套制度、用同樣的方法來做事，這就是管理制度，並不會牽扯到公司策略營運的議題，只要所有人按照SOP執行，就可達到工作上的效率；以治理而言，涉及營運策略與方向，由於企業組織有多種不同型態，各自的運作與經營也都不同，因此，當企業老闆在面對網路安全議題時，如何帶領團隊降低遭受攻擊後具有韌性，讓組織能夠在風險中持續地前進，這更是策略性的議題，需將網路安全風險考量於公司整體營運策略。</p> <p>這幾年經常在臺灣資安大會上針對NIST CSF發表演說的吳明璋，在2.0版推出之後的此刻，他特別強調，網路安全供應鏈風險管理在CSF 2.0的重要性，同時也指出供應鏈需要放在治理的高度去看待，否則根本無法推動，因此，放在治理之下是相當合理的一件事。</p> <p>例如，在2022年更新的《網路安全供應鏈風險管理》（C-SCRM）文件，NIST指出：關於C-SCRM團隊的成員，應當是參與企業關鍵流程各個方面的人員，例如資訊安全、採購、企業風險管理、工程師、軟體開發RD、IT、法務與人力資源。</p> <p>換言之，這同樣說明治理牽涉跨部門管理的需求。吳明璋強調，如果只是由IT、資安主管來推動，是叫不動這些人的，一定需要更高層級帶領。因此，要做CSF，一定是全組織進行。</p> <p>為何網路安全治理現在變得如此重要？其實是有跡可循的，多位專家們都特別提到2023年7月美國證券交易委員會（SEC）公布的新規範，當時美國證券交易委員會通過上市公司網路安全風險管理、策略、治理及事件披露規則。</p> <p>當中就有規定，要詳述評估、識別、管理網路安全威脅風險的流程，也要求敘明董事會對網路安全威脅風險的監督。換言之，這些新規定的目的，就是要促使網路安全風險成為公司治理上的重要考量。</p> <p>可惜的是，那時大家多將焦點放在SEC要求4天內披露重大資安事件，其實網路安全風險與治理的議題，同樣有重大轉變。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1192-%E5%B0%81%E9%9D%A2-2P-%E6%AD%A3%E6%BC%A2-%E5%B0%88%E5%AE%B6%E8%A7%A3%E6%9E%90CSF-600-1-PNG.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">關於網路安全風險與治理的興起，美國證券交易委員會（SEC）從2022年就有針對上市公司的提案，並在2023年7月正式公布。此後許多資安框架都開始跟進這股潮流，NIST CSF 2.0框架更加重視網路安全治理，就是一例。</span></strong></p> <p><span style="font-size:28px;"><strong>落實風險評估更顯重要，威脅建模是關鍵</strong></span></p> <p>下一個重要議題，就是網路安全風險的策略與管理。NIST很早就強調CSF是基於風險的架構，在1.1版的23個類別中，也已經提出風險評估、風險管理策略的類別。</p> <p>但過去大家低估這方面工作的落實，如今CSF 2.0版出爐，相關議題已經變得更加明確。</p> <p>潘世鳴指出，大家在看待CSF 2.0框架時，光從框架核心的數量來看，好像變動不大，但若進一步閱讀相關文件，從整體角度去看，其實意涵相當深遠。</p> <p>基本上，NIST CSF在治理層面強調要做風險評估，要有風險管理的策略，並且是整體性組織的風險評估，但這背後還有個重要觀念，那就是：企業在風險評估時需要做威脅建模（Threat modeling），需要確定組織遭受網路安全攻擊的威脅可能的路徑。畢竟，如果不知道威脅，又如何能看待相關風險？</p> <p>在潘世鳴的經驗中，先前導入CSF框架的企業，雖然都知道要做威脅建模，但他們面臨的挑戰，在於這方面工作做得不夠確實，例如，只是小範圍地實施、沒有找出應用重點，又或是不夠精細與深入。</p> <p>因此，在2018年CSF 1.1發布後，NIST從2020年10月開始，陸續發布一系列將網路安全與風險管理相結合的出版物，也就是NIST IR 8286系列，全名是「Integrating Cybersecurity and Enterprise Risk Management（ERM）」。</p> <p>到了2024年發布的CSF 2.0，NIST花了更多篇幅說明如何改善風險管理計畫，同時提出更明確的建議，告訴企業可以參考NISTIR 8286（ERM），藉此幫助企業了解如何做風險評估，而威脅建模就是其中的重點之一。</p> <p>潘世鳴進一步解釋這裡的關聯。他說，NISTIR 8286（ERM）這份手冊採納CSF框架的概念，將網路安全與企業風險管理整合得更好，當中不僅提供可依循的步驟，同時其內容也對應3款NIST風險管理文件，包括：SP 800-30r1、SP 800-37r2，以及SP 800-39，以及國際標準ISO 31000：2018的風險管理指南。</p> <p>換言之，這些都有助於NIST CSF的實施，從定義風險到風險評鑑，接著決定風險的優先順序，以及要如何執行相關的監督或規畫。</p> <p>換個角度來看，NIST表示，CSF 2.0可以作為整體企業風險管理（ERM）方法的一部分，因為這有助於企業決策。所以，CSF 2.0與企業風險管理其實是能夠相輔相成的。</p> <p>而在CSF 2.0文件後半段，還談到網路安全風險與隱私風險的關聯，兩者其實存在部分交集的情形，因此，NIST指出CSF框架可結合使用NIST隱私框架（NIST Privacy Framework），而對於NIST隱私框架而言，也提供隱私風險評估方法（PRAM）。</p> <p>關於網路安全風險管理在CSF 2.0的重要性，吳明璋也抱持同樣的看法，他強調，資安治理可從資安風險做起。</p> <p>雖然CSF 1.1就有這方面的內容，但當時沒有將控制項突顯出來，他認為，現在的CSF框架已將6大核心功能，與4大風險策略選項相結合，也就融合了風險規避、風險移轉、風險抵減與風險承擔，彼此息息相關。而且，若從2.0版的實施範例的內容來看，關於合約方面的要求也相當豐富。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1192-%E5%B0%81%E9%9D%A2-2P-%E6%AD%A3%E6%BC%A2-%E5%B0%88%E5%AE%B6%E8%A7%A3%E6%9E%90CSF-600-3-PNG.png" style="width: 373px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>CSF 2.0版強調治理與網路安全風險管理的重要性，BSI台灣產品經理潘世鳴認為，風險是威脅跟弱點交互產生影響的結果，但大家在風險評估當下，往往忽略要將結果也一併納入考量。</strong><span style="font-size: 14px;">圖片來源／BSI</span></span></p> <p><span style="font-size:28px;"><strong>應找出關鍵業務流程與系統，而不是只有關鍵系統</strong></span></p> <p>除了強調威脅建模的重要性，潘世鳴在風險管理與評估的經驗中，認為企業必須執行許多工作，除了識別資產、產生資料流向圖，到分析網路安全威脅，因此他也從實務面與策略面提供建議，說明找出關鍵核心基礎架構的好處與必要性。</p> <p>他強調，針對「關鍵的業務與系統」去識別盤點，比起全面盤點更有意義。</p> <p>但他也特別提醒，對於關鍵基礎架構一詞，大家要有更精確的認識。一般而言，所謂關鍵核心基礎架構（CI），大家通常聯想的是油水電，又或是關鍵核心資訊系統。</p> <p>但是，對於企業自身而言，所謂的關鍵核心基礎架構，指的應該是企業的生財工具，也就是：關鍵業務與流程，再加上支撐關鍵業務的資訊系統。</p> <p>因此，在進行風險策略評鑑時，先找出關鍵業務，之後再進行威脅建模、資料流的建模，從中找出威脅與風險，思考關鍵業務或資訊流遭受攻擊會如何處理，才能做好CSF 2.0，甚至是做到零信任的網路安全策略。</p> <p>潘世鳴強調，由於治理是更符合老闆語言的角度，從治理層面去談網路安全風險評估，並從關鍵的生財工具角度去切入，這對於背負企業營運賺錢壓力的老闆而言，將形成相當務實的溝通。</p> <p>事實上，在NISTIR 8286（ERM）文件中，亦闡釋組織管理的運作方式，強調需從企業層級（Enterprise Level）、組織層級（Organization Level）、系統層級（System Level），需要從這三個層級分別與交互看待。</p> <p>就潘世鳴的觀察，臺灣普遍企業組織存在的重大問題在於，只有重視系統層級，卻忽略了上面兩個階層。</p> <p>吳明璋也點出國內企業可能存在一些不正確的觀念，需要調整。例如，有的臺灣老闆認為，風險管理只是Paper Work這樣的文書工作，這並沒有達到說、寫、做合一；有的老闆誤以為IT與資安部門做就好，但CSF推動是要全公司進行，並要有企業風險管理的概念。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1192-%E5%B0%81%E9%9D%A2-2P-%E6%AD%A3%E6%BC%A2-%E5%B0%88%E5%AE%B6%E8%A7%A3%E6%9E%90CSF-600-2-PNG.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">關於NIST CSF框架的實施，風險策略評鑑時，企業要重視組織運作方式，因為在NISTIR 8286（ERM）文件，強調需從企業層級、組織層級、系統層級看待。BSI台灣產品經理潘世鳴指出，臺灣企業組織推動這項工作的最大問題，在於只重視系統層級。</span></strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／NIST</span></span></p> <p><span style="font-size:28px;"><strong>在治理層面之外，新版CSF有哪些企業必須重視的改變？</strong></span></p> <p>潘世鳴表示，在CSF 2.0的內容中，主要是將1.1版中重複且未能妥善連接運用的部分，重新進行整合與細化，但有一些部分值得企業重視。</p> <p>例如，在識別方面，所有組織應該都要針對關鍵業務CI保護，沒有的話就是企業組織沒有識別出來；在保護方面，NIST現在使用平臺安全（Platform Security）一詞，來涵蓋硬體、軟體，以及實體或虛擬平臺的服務，這也是較為特別的差異。</p> <p>在復原方面，NIST強調的是組織如何快速復原，但大家常誤以為系統快速復原。事實上，從回應與復原的溝通對象與面向來看，回應是指內部針對相關攻擊事件回應，復原是指企業高層對外界的回應。</p> <p>吳明璋也指出，保護方面的變化也很大，包括身分管理與身分驗證與存取控制、意識與培訓、資安安全等類別，其內容變動比例都有超過5成，並且還新增了平臺安全、技術基礎設施韌性。他認為，這方面很多內容可以參考國際標準ISO 27001，因此有許多的整併。</p> <p>而在回應、復原方面，他認為CSF 2.0算是重新定義資安事件應變（IR），遭受攻擊後企業的改善，以及企業學到的教訓都需要提出，重新回到網路安全的識別。</p> <p><span style="font-size:28px;"><strong>Community Profiles是新進展，建議臺灣企業積極參與</strong></span></p> <p>至於CSF框架的輪廓（Profile）與實施層級（Tier）方面，兩者依然是重要的概念，但變化不大。</p> <p>例如，以建立組織輪廓而言，1.1版原本提供7大實施步驟，2.0版簡化為5大步驟，實施層級依然分為4層。</p> <p>較值得關注的新進展，令人意外的竟是近期一場工作坊活動，在6月下旬，NIST NCCoE舉辦CSF 2.0的Community Profiles Workshop。</p> <p>Community Profiles能夠做什麼？吳明璋建議企業可設想為：建立產業供應鏈，因為有些領域是第二層供應鏈、複雜度高。因此NIST就是要幫助特定群體，量身打造不同的Profile設定檔，並且開放外界投票，以選出優先要制定的類型。</p> <p>吳明璋在參與工作坊時發現，大家投票的項目，竟然是高效能運算、智慧家居，超乎他原先的設想，因此他認為，臺灣的供應鏈應該要積極參與，不僅幫助發展符合我們的項目，也可成為產業上的領先行動者。</p> <hr /> <p><span style="color:#3399ff;"><span style="font-size:24px;"><strong>越來越多企業導入NIST CSF框架</strong></span></span></p> <p><strong>關於NIST CSF框架的採用，以臺灣而言，根據上市櫃公司的年報或ESG報告，已有一些企業導入，包括日月光、台積電、聯發科、緯創等，甚至有上市公司已經進一步取得CSF認證，那就是中菲行國際物流集團。</strong></p> <p><strong>放眼全球，美國、歐洲、日本都有企業導入CSF。BSI潘世鳴表示，荷蘭半導體設備大廠ASML就是一例。根據該公司最新公布的2023年報，我們可以看到他們說明已實施相關流程，以識別與應對網路安全威脅，並指出這些流程符合ISO 27002、ISA/IEC 62443，以及NIST CSF所設定的標準。</strong></p> <p><strong>吳明璋也舉例，日本NTT集團全球8百多家分公司，也用CSF框架做集團管理，該公司還會積極參與CSF 2.0版的修訂，提供回饋意見。</strong></p> <p><strong>除了面對國際客戶的要求，有些集團之所以積極導入CSF，可能也是為了日後要輔導客戶，他們應該也是看重日後市場對於這方面規範的需求。</strong></p> <hr /> <p><span style="color:#3399ff;"><span style="font-size:24px;"><strong>NIST CSF強調網路安全的回應</strong></span></span></p> <p><strong>近期大家之所以特別關注CSF框架，除了2.0版的發布，另一原因是這幾年適逢ISO 27001：2022轉版，一些國內企業進行新的驗證之餘，也會思考如何進一步提升，NIST CSF自然成為關注焦點。</strong></p> <p><strong>這是因為，ISO 27001:2022已將網路安全作為持續精進必要項目。潘世鳴更是指出，ISO 27001著重資訊安全（Information Security），強調內部會有資訊安全管理的控制措施，但不會涵蓋網路安全的攻防層面，CSF框架聚焦網路安全（cybersecurity），強調外部攻擊的整個回應機制，使用方式不同。</strong></p> <p><strong>目前有哪些領域積極應用NIST CSF？潘世鳴提到，臺灣實施的資通安全管理法就與CSF的概念很像，而在金融領域，像是美國聯邦金融機構考試委員會（FFIEC）針對該產業的網路安全評估工具，也是以CSF為基礎。</strong></p> <p><strong>特別的是，近年醫療領域也開始關注CSF資安框架，原因在於，美國食品藥物管理局（FDA）去年底提出一項要求，他們規範全球醫療器材廠商需交付網路安全計畫，也建議醫療機構可應用NIST CSF框架於組織之內，未來也將擴及食品安全業的領域。</strong></p> </div></div></div>
2024/7/25 11:40作者羅正漢https://www.ithome.com.tw/news/164098
Google第四代VM將推出第二款運算服務，主打高效能
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/google_cloud_c4-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在4月舉行的Next年度大會，Google Cloud發表第四代虛擬機器雲端服務，均採用英特爾第五代Xeon Scalable處理器，其中的N4率先上線，另一款C4在6月中進入公開預覽階段。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCE%20Generation.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-04-12-Workload-GCE.jpg" style="width: 600px;" /></p> <p>基本上，N系列和C系列都屬於一般用途的運算服務，而且都能因應多種工作負載的需求，前者著重在價格與效能的平衡，後者特色是持續提供高效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCE%20Machine%20family-General-purpose.jpg" style="width: 600px;" /></p> <p>即將推出的C4，提供24種虛擬機器組態，細分為三類：高CPU（每顆虛擬處理器2 GB記憶體）、標準（每顆虛擬處理器3.75 GB記憶體）、高記憶體（每顆虛擬處理器7.75 GB記憶體），就單臺虛擬機器而言，最大可配置192顆虛擬處理器與1,488 GB容量記憶體，而且，能搭配<a href="https://cloud.google.com/compute/docs/general-purpose-machines#supported_disk_types_for_c4">兩種區塊儲存裝置：Hyperdisk Balanced、Hyperdisk Extreme</a>，支援50萬IOPS效能、10 GB/s讀寫吞吐量，網路介面的部分，C4搭配專用於Google Cloud Compute Engine的虛擬網路卡，稱為<a href="https://cloud.google.com/compute/docs/networking/using-gvnic">Google Virtual NIC（gVNIC）</a>，頻寬可達200 Gbps。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/C4%20Hyperdisk%20performance%20limits.jpg" style="width: 600px;" /></p> <p>C4的使用具有哪些市場競爭優勢？C4相當適合需要許多運算資源的資料庫、快取、網路整合應用設備、高流量的網站與應用程式伺服器、線上遊戲、資料分析、多媒體串流、基於CPU的即時AI推論處理。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCE Machine family-General-purpose2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCE%20Machine%20family-General-purpose2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/GCE Machine family-General-purpose3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCE%20Machine%20family-General-purpose3.jpg" style="width: 298px;" /></a></p> <p>以AI推論為例，以次世代網路防火牆著稱的資安廠商Palo Aloto表示，執行即時機器學習的威脅偵測處理時，C4效能可增長35％。</p> <p>在使用成效上，Google Cloud根據內部資料指出，若以其他雲端服務廠商的解決方案為基準，C4的單位效能成本更理想，領先幅度為19％，若用於資料庫工作負載的表現更優異，例如，執行關聯式資料庫MySQL，性價比提升了90％，執行記憶體內資料庫Redis工作負載，性價比提升65％。</p> <p>若與C系列上一代運算服務C3比較，C4單位效能成本的領先幅度為25％，而在CPU反應能力的比較上，C4提升80％，適合執行需要即時處理的工作負載，像是高頻交易、遊戲，能夠提供更快的交易速度與較平順的遊戲體驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-07-2_-Google%20Cloud_C4_Price-Performance_Improvement_max.png" style="width: 552px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Google Cloud C4</strong><br /> ●原廠：Google Cloud<br /> ●建議售價：廠商未提供<br /> ●採用處理器：英特爾第五代Xeon Scalable系列Xeon Platinum 8581C<br /> ●提供服務規模選擇：C4 standard、C4 highcpu、C4 highmem，最大組態c4-highmem-192，192顆虛擬處理器、1,488 GB記憶體、網路頻寬最高為100 Gbps，儲存搭配Hyperdisk（每臺虛擬機器最多掛載64臺硬碟）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/7/25 01:12作者李宗翰https://www.ithome.com.tw/review/164059
Fintech周報第247期：金管會發布零信任架構指引；多家跨國金融業者受到CrowdStrike事故影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">7/8~7/19金融科技精選新聞</span></span></h3> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">金管會 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 零信任架構指引 </span></strong></span></h3> <h3>金管會發布零信任架構指引，提供業者依據分級指標導入零信任</h3> <p>近日，金管會正式發布「<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202407180002&dtable=News">金融業導入零信任架構參考指引</a>」，提供導入零信任架構的分級指標，讓金融業能根據內部狀態，分階段導入資安管控措施。</p> <p>指引提供的分級指標共有四級，第一級為靜態指標，包含雙因子身分鑑別、設備識別、網路區隔與流量加密等。第二級則融入了動態指標，將資源存取時的動態屬性納為授權審核條件。第三級則以即時指標為主，業者要能在SIEM平臺上收容和整合資源存取相關事件日誌，對入侵指標或攻擊行為樣態進行即時偵測、判斷和應對。第四級則是最佳化的整合指標，能依資安政策快速調適管理機制。</p> <p dir="ltr" style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CrowStrike事故</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摩根大通 </span></strong></span></p> <h3>CrowdStrike事故發生後，國內外金融業者都遭受波及，摩根大通、瑞銀、德意志銀行和日本野村證券也受影響</h3> <p>7月19日，資安公司CrowdStrike更新EDR時出包，安裝微軟作業系統的電腦出現藍色當機畫面，不僅國內金融業者受影響，國際上不少重要金融業者也遭受波及。金管會近日在例行記者會上表示，受影響的金融業者包括2家期貨商、4家投信業、5家壽險業和2家產險業者。其中，保險業受影響裝置共有一千多臺伺服器，和一千多臺個人電腦，包含桌機和筆電。銀行局則尚無接獲業者通報重大偶發事件。</p> <p>根據外媒報導，摩根大通、瑞士銀行、德意志銀行和日本野村銀行都受到CrowdStrike事故影響。其中，摩根大通的員工無法使用個人電腦，導致部分交易被延後處裡，他們也緊急將重要業務轉移到備份伺服器上運作。野村證券的交易櫃臺受到影響後，將部分交易轉移到個人電腦上運作。德意志銀行則是研究部門受到波及，部分研究報告得延後發布。另外，根據英國外媒報導，瑞士銀行過去在收購瑞士信貸時，連帶收購了瑞士信貸的部分過時系統，導致系統在事故發生後出現問題。</p> <p>在國外，金融監理機構也受到影響。根據外媒報導，倫敦證券交易所用來發布監管公告的新聞服務受到影響，導致新聞無法在網站上發布。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料治理</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 花旗 </span></strong></span></h3> <h3>遭美國監管機構點名資料品質管理缺陷，花旗承諾投入更多資金提升資料治理能力</h3> <p>近日，美國聯準會和貨幣監理署認為，花旗集團長年未修復內部的資料品質管理缺陷，違反了過往向監管機構提出的改善承諾，因此對花旗集團開罰共1.36億美元。裁罰出爐後，花旗集團執行長范潔恩（Jane Fraser）在財報會議上回應，未來將會持續投資技術和數位轉型，推動營運現代化。他提到，過往投入的技術投資正在產生正面影響，包括縮短貸款撥款時間、採用自動化機制減少行員出錯、將風險分析系統遷移到雲端架構的基礎設施，還有提高平臺韌性和減少停機時間等。范潔恩期待，這些投資可以在未來協助集團減少人力開銷。</p> <p>花旗集團財務長MARK MASON也補充內部的數位轉型進展。他表示，在企業授信和貸款上，花旗已經整合多個系統，實現端到端營運模式，提升了客戶體驗和營運效率。另外，在數據上，MARK提到，花旗已經建立了數據治理流程，並簡化數據架構。儘管如此，花旗承認資料品質管理上仍有不足，因此，MARK表示，花旗未來會投入更多的資金和資源在資料治理，並且，他們也會關注提升壓力測試能力。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新加坡金管局 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 一次性密碼 </span></strong></span></h3> <h3>新加坡銀行將在3個月內汰除一次性密碼</h3> <p>為了協助銀行預防釣魚攻擊，新加坡金管局及新加坡銀行公會近日宣布，未來3個月內，新加玻主要零售銀行將逐步取消持有數位令牌（digital token）的用戶運用一次性密碼登入銀行帳戶。</p> <p>新加坡金管局表示，這些用戶未來將在手機瀏覽器或行動銀行App上，使用數位令牌來登入銀行帳戶。這麼一來，用戶便不須再以簡訊接收一次性密碼（OTP），可防止駭客發送釣魚信件竊取用戶或誘使用戶洩露其帳密。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新加坡金管局 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></h3> <h3>新加玻金管局投入1億新幣支持金融機構發展AI和量子技術</h3> <p>新加玻金管局近日宣布，將在金融業技術創新補助計畫（FSTI 3.0）中追加１億新幣（近25億新台幣），支持金融機構發展AI和量子技術。在AI方面，金管局將支持金融機構在新加坡設立AI創新中心，讓業者能開發和訓練模型、研發對行業具備高影響力的AI應用、進行模型測試和監控，研究AI治理和風險管理政策等。另外，金管局也將發展AI平臺，讓銀行、科技業者和公部門三方合作進行開發，解決金融業共同問題。其中，詐騙偵測是金管局選定的第一個測試主題。</p> <p>另外，針對量子技術，金管局提供三項補助措施，包括提供技術補助，支持金融機構採用量子技術解決方案，以及提供人力和基礎設施的補助等。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 台新銀行 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></h3> <h3>台新銀行宣布設立AI訓練師職位，負責歸納內部大量資料並進行模型訓練</h3> <p>日前，台新金控資訊長孫一仕揭露了自家生成式AI發展計畫，他表示，內部正在透過預訓練基礎模型自建生成式AI模型。台新走向自建模型後，在人才培養上也有不一樣的布局。近日，台新銀行宣布設立「AI訓練師」職位，負責訓練及協助調整台新自建的生成式AI模型，讓模型產出正確的回應，也要歸納台新內部大量資料，進行模型訓練，提升模型的語意理解能力，並反覆驗證模型產出結果的正確性。</p> <p>台新認為，AI訓練師不僅需要程式語言專長，也要對金融領域擁有深入了解。他們近日也和多所大學展開產學合作，由AI訓練師帶領學生進行資料蒐集和模型訓練，培育更多AI人才。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融科技政策 </span></strong></span></h3> <h3>金管會主委彭金隆正式發表金融科技發展規劃，共五大策略近20項措施</h3> <p>金管會主委彭金隆近日公布金融科技具體規劃和未來發展方向，共五大金融科技發展策略，包括要擴大容錯空間，加大創新領域，鼓勵金融業者團體合作研發技術，為產業注入創新動能，也會支持純網路金融發展，探索金融科技發展機會，例如開放金融業辦理虛擬資產保管業務等。</p> <p>彭金隆的五大策略中，有一項關鍵策略，是要鼓勵金融業者打團體戰，包括開放金融機構與金融科技專利授權。彭金隆解釋，按照現行法律，金融業者獨立開發一項技術時，僅能在自家使用，「大大限縮了業者開發意願及能量。」因此，金管會未來希望開放勇於投資創新的金融機構，可以透過專利授權至其他金融機構的方式，來降低內部開發成本。（<a href="https://www.ithome.com.tw/news/163966">詳全文</a>）</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NFC </span></strong></span></h3> <h3>蘋果於歐盟地區開放第三方行動錢包使用iPhone的NFC功能</h3> <p>2022年，歐盟執委會就曾表示，蘋果濫用其ios的獨占地位，限制開發者使用手機上的NFC技術，使第三方電子錢包無法和蘋果的Apple Pay競爭。今年1月，歐盟執委會表示，蘋果已對此提出10年承諾，將提供電子錢包業者和支付服務商能在iphone上使用NFC付款的API。</p> <p>近日，歐盟執委會正式宣布接受蘋果提出的承諾，並且，他們也要求蘋果必須在今年7月25日前履行此一承諾，讓第三方廠商也能在iPhone上提供行動錢包服務。</p> <p>其他重要Fintech新聞</p> <ul> <li>日本福島銀行完成核心系統轉換，採用在雲端上運作的核心系統</li> <li>立法院三讀通過打詐專法，虛擬資產業者也納入金融防詐體系</li> </ul> <p> </p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源<span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">／金管會</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年7月</p> <p></p> </div></div></div>
2024/7/24 14:52作者李昀璇https://www.ithome.com.tw/news/164094
Spotify營收成長20%，股價大漲12%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球音樂串流龍頭Spotify周二（7/23）公布<a href="https://newsroom.spotify.com/2024-07-23/spotify-reports-second-quarter-2024-earnings/" target="_blank">今年第二季財報</a>，該季Spotify的全球訂閱用戶數達到2.46億，增加12%，營收成長20%，達38億歐元，由於超出華爾街分析師預期，使得當天Spotify股價大漲11.96%，以330.79美元作收。</p> <p>在38億美元的營收中，有33.5億美元來自訂閱用戶的貢獻，成長21%，其它則來自廣告營收，亦成長13%。其中，訂閱營收的毛利為31.4%，廣告營收則是13.4%。</p> <p>目前Spotify的每月活躍用戶為6.26億人，增加了14%，訂閱用戶占了其中的39%，顯示大多數仍為免費用戶。</p> <p>近來Spotify開始建立並推廣影音播客，迄今該平臺已提供超過25萬個影音播客節目，吸引逾1.7萬人觀看。</p> <p>值得一提的是，該季Spotify的營業利潤為2.66億美元，是連續第三個季度獲利，且Spotify正在包括美國在內的許多重要市場調漲訂閱費率，負責投資人關係的<a href="https://s29.q4cdn.com/175625835/files/doc_financials/2024/q2/Q2-24-Earnings-Call-Prepared-Remarks.pdf" target="_blank">Bryan Goldberg表示</a>，相較於先前的價格調漲，此次因漲價所流失的用戶更少，相信是因為Spotify改善了整體用戶體驗，而讓用戶更容易接受費率的調漲。</p> </div></div></div>
2024/7/24 15:23作者陳曉莉https://www.ithome.com.tw/news/164095
Alphabet營收成長14%，Google Cloud成長29%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet周二（7/23）<a href="https://abc.xyz/assets/19/e4/3dc1d4d6439c81206370167db1bd/2024q2-alphabet-earnings-release.pdf" target="_blank">公布今年第二季財報</a>，該季Alphabet創下847.4億美元的營收，成長14%，營業利潤（Operating Income）為274.3億美元，成長32%。其中，Google旗下的Google Cloud雲端服務帶進103.5億美元的營收，成長28.8%。</p> <p>在847.4億美元的營收中，包括Google搜尋、YouTube及Google廣告網路、裝置及各種訂閱服務等Google服務營收為739.3億美元，成長11.5%，這部分占了Alphabet總營收的87.2%，營業利潤（Operating Income）為296.8億美元，仍是Google的金雞母。Google Cloud營收為103.5億美元，成長28.8%，營業利潤為11.7億美元，高於去年同期的4億美元。新創事業（Other Bets）營收為3.65億美元，成長28%，但虧損11.3億美元，高於去年同期的8.1億美元虧損。</p> <p>整體而言，Google服務依然以兩位數的速度在成長，而Google Cloud則是成長最快的類別，其營業利潤也逐季成長。Alphabet第二季的全球員工數為179,582名，比去年第二季少了1.2%。</p> <p>Alphabet該季的表現與華爾街分析師的預期差距不大，惟YouTube廣告營收稍微低於預期，當天Alphabet盤後股價下滑2.18%，跌至179.6美元。</p> </div></div></div>
2024/7/24 15:44作者陳曉莉https://www.ithome.com.tw/news/164096
Meta開源Llama 3.1 405B，強調開源才是AI的未來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta周二（7/23）<a href="https://ai.meta.com/blog/meta-llama-3-1/" target="_blank">開源了Llama 3.1 405B</a>，它具備4,050億個參數，脈絡長度達12.8萬個Token，支援8種語言，這是Meta迄今所開發的最大模型，亦號稱是全球第一個達頂尖水準的開源模型，也是全球最大也最有能力的公開基礎模型。Meta創辦人暨執行長祖克柏（Mark Zuckerberg）還<a href="https://about.fb.com/news/2024/07/open-source-ai-is-the-path-forward/" target="_blank">特別撰文強調開源AI的重要性</a>，認為開源才是AI的未來。</p> <p>有別於在Llama 3時，Meta僅釋出了Llama 3 8B、Llama 3 8B Instruct、Llama 3 70B與Llama 3 70B Instruct，進展到Llama 3.1時，Meta釋出了Llama 3.1 8B、Llama 3.1 8B Instruct、Llama 3.1 70B與Llama 3.1 70B Instruct，以及擁有4,050億個參數的兩個大模型Llama 3.1 405B與Llama 3.1 405B Instruct。此外，相較於Llama 3最初只支援8,000個Token的脈絡長度，Llama 3.1一下就支援12.8萬個Token。目前開發者已可透過<a href="https://llama.meta.com/" target="_blank">llama.meta.com</a>及<a href="https://huggingface.co/collections/meta-llama/llama-31-669fc079a0c406a149a5738f" target="_blank">Hugging Face</a>下載Llama 3.1的各種模型。</p> <p>身為Meta迄今開發的最大模型，Llama 3.1 405B是在逾15兆個Token上進行訓練，為了要在合理的時間內獲得結果，Meta優化了整個訓練堆棧，使用了超過1.6萬個H100 GPU。</p> <p>既然標榜為具備頂尖實力的開源模型，Meta用來比較Llama 3.1 405B的對象就是現在市場上最頂級的GPT-4、GPT-4o與Claude 3.5 Sonnet等封閉模型，以及Nvidia於日前開源的<a href="https://www.ithome.com.tw/news/163490" target="_blank">Nemotron-4 340B</a>，而且使用超過150個涵蓋不同語言的基準資料集進行測試。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0724-Llama%203_1_405B-benchmark.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0724-Llama%203_1_405B-benchmark.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Meta</span></p> <p>結果顯示Llama 3.1 405B在通用的IFEval、數學上的GSM8K、推論的ARC Challenge、工具使用的Nexus、長脈絡的ZeroSCROLLS/QuALITY及InfiniteBench/En.MC及多語言的Multilingual MGSM基準測試上，凌駕上述所有模型。</p> <p>Meta也比較了Llama 3.1 8B、Gemma 2 9B IT與Mistral 7B Instruct，以及Llama 3.1 70B、Mixtral 8x22B Instruct與GPT 3.5 Tubo，發現不管是Llama 3.1 8B及Llama 3.1 70B，在許多基準測試上都超越競爭模型。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0724-Llama%203_1_8B-benchmark.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0724-Llama%203_1_8B-benchmark.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Meta</span></p> <p>而在人類專家的評估中，Llama 3.1 405B與GPT-4-0125、Claude 3.5 Sonnet的表現不相上下，但明顯不及GPT-4o。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0724-Llama%203_1_405B-human%20evaluation.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p><strong><span style="font-size:28px;">祖克柏：開源才是AI的未來</span></strong></p> <p>祖克柏認為，AI應該以Unix及Linux的發展作為借鏡。Unix作業系統的封閉政策讓基於Unix的開源Linux興起，儘管Unix現今仍在某些專業領域或高性能環境中保持重要地位，但開源的Linux卻開枝散葉，帶來多元的發行版本，現在不僅已成為全球伺服器的主作業系統，亦與時俱進地支援雲端運算與虛擬化技術，並成為嵌入式系統及物聯網裝置的首選平臺。</p> <p>祖克柏相信AI也會以類似的方式發展。指出雖然目前有幾家業者開發了領先的封閉模型，但開源模型正在迅速縮小差距。去年的Llama 2僅能與尖端模型的舊版相提並論，今年的Llama 3便能與最新的尖端模型競爭，自明年開始，未來的Llama將成為業者最先進的模型，而在實現此一目標之前，Llama已經在開放性、變更能力及成本效益上領先群倫。</p> <p>相較於封閉性模型，Llama 3.1家族除了具備更好的成本與性能之外，Llama 3.1 405B模型的開放性，也讓它成為微調及蒸餾出小模型的最好選擇。</p> <p>Meta的終極目標是讓Llama如同Linux一樣成為業界標準，因此已與多家業者合作以發展更完善的生態體系，包括Amazon、Databricks、Nvidia與Groq。Databricks已支援開發人員微調及蒸餾自己的模型，Groq則替所有新模型提供低延遲與低成本的推論服務，而各種雲端服務已準備要協助企業採用Llama並使用自家資料訓練自定義模型。</p> <p>開源模型的好處之一是讓企業得以根據需求、利用自家敏感資料來建置模型，而不受封閉模型供應商的箝制，其次則是在自家基礎設施上以Llama 3.1 405B進行推論，成本只有使用GPT-4o等封閉模型的50%。</p> <p>祖克柏強調，出售AI模型的存取權並非Meta的商業模式，因此，將Llama開源不會削弱Meta的營收、可持續性或投資研究的能力，他也相信開源將讓AI模型變得更安全，在應對中國威脅時，相較於封閉所帶來的限制，最好的策略是建立一個強大的開放生態體系，並讓領先業者與政府及盟友密切合作，以確保可利用最新的進步，實現長期且可持續的先發優勢。</p> </div></div></div>
2024/7/24 14:31作者陳曉莉https://www.ithome.com.tw/news/164093
OpenAI公布GPT-4o mini微調工具對抗最新Meta Llama 3模型，免費使用2個月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta周三發布最新版大語言模型Llama 3.1，來勢洶洶，OpenAI則在宣布最新小模型GPT-4o mini不到一周後，<a href="https://twitter.com/OpenAIDevs/status/1815836887631946015" target="_blank">再公布微調工具</a>，提供免費使用特定用量2個月。</p> <p><a href="https://community.openai.com/t/multimodal-gpt-4o-mini-fine-tuning/878125" target="_blank">微調工具</a>已可由API使用，一開始提供給tier 4和tier 5的用戶。OpenAI計畫會逐步推展到所有收費等級的用戶。從即日起到9月23日間，每日頭200萬字符（token）可免費使用。</p> <p>可提供微調的模型包括部分已上線或實驗中的GPT-4和gpt-4o-mini。全部清單包括gpt-3.5-turbo-0125、gpt-3.5-turbo-1106、gpt-3.5-turbo-0613、babbage-002、davinci-002、gpt-4-0613（實驗中）和gpt-4o-2024-05-13，及gpt-4o-mini-2024-07-18（建議）。OpenAI相信以效能和易用性來說，gpt-4o-mini對大部分用戶而言是最適合的模型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0724-openai-GPT-4o%20mini-fine-tuning-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p>而<a href="https://openai.com/api/pricing/" target="_blank">微調收費</a>方式也依使用的模型而異。若使用GPT-4o mini（2024-07-18），從提示輸入的費用為每輸入100萬字符為0.3美元，每輸出100萬字符則為1.2美元。若從Batch API輸入，則分別為0.15美元和0.6美元。</p> <p>OpenAI指出，使用API微調模型，可允許用戶輸入更多的訓練範例，可提升GPT-4o mini模型生成結果的品質，而且由於用戶不需使用那麼長的提示，將能節省字符（及成本），延遲性也更低。OpenAI補充，微調工具可提升「few-shot learning」的效果。</p> <p>所謂「few-shot learning」，是指利用範例告訴模型要如何執行任務。OpenAI說其文字生成模型原本已經在大量文字上預訓練，但為了讓模型更好用，他們又在提示中加入指令，偶爾也有一些範例，已經使用「few-shot learning」手法，今日啟用的微調功能，允許用戶提供大於提示的範例，因而提升了這類學習方法的效果。</p> <p>GPT-4o-mini<a href="https://www.ithome.com.tw/news/164018" target="_blank">上周公布</a>後，ChatGPT免費版、Plus、Team方案用戶已經可存取GPT-4o mini，取代GPT-3.5。下周Enterprise方案用戶也可開始存取。GPT-4o mini具備128K字符的context window，一次呼叫支援最多16K輸出字符，訓練資料集已更新到2023年10月。OpenAI宣稱GPT-4o mini理解能力超越Claude Haiku、Gemini Flash，它最終會和GPT-4o一樣具備多模能力，支援文字、圖片、影音輸入／輸出功能，目前GPT-4o mini僅在API支援文字和視覺。</p> </div></div></div>
2024/7/24 11:27作者林妍溱https://www.ithome.com.tw/news/164091
傳Wiz拒絕Google 230億美元收購提議，將尋求IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>外傳Google欲以230億美元收購雲端資安業者Wiz，果真確有其事，只不過根據<a href="https://www.cnbc.com/2024/07/23/google-wiz-deal-dead.html" target="_blank">CNBC報導</a>，Wiz已經拒絕這項提議，將尋求在股票市場掛牌上市（IPO）。</p> <p>兩周前華爾街日報首先<a href="https://www.ithome.com.tw/news/163922" target="_blank">披露此事</a>，但未獲得兩家公司的評論。</p> <p>Wiz是由4名前微軟員工2020年合作創立於紐約，其中Assaf Rappaport為執行長。這家公司技術核心是收集代管在Amazon Web Services（AWS）、微軟Azure、Google Cloud Platform（GCP）、甲骨文（Oracle Cloud Infrastructure，OCI）和Kubernetes的基礎架構平臺多項數據，以分析可能引發資料外洩或惡意程式、駭客存取的軟體漏洞或設定失當等安全風險。Wiz員工超過900人，宣稱每年經常性營收3.5億美元。</p> <p>CNBC取得Rappaport對員工公開信，報導該公司拒絕收購。在信中，Rappaport對員工說，拒絕對這麼大金額的收購提議不是容易的事。他告訴員工，公司接下來的目標是IPO，並且產生每年10億美元的經常性收入。Wiz原本就計畫透過小型收購成長，最終IPO。</p> <p>報導引述另一名消息人士指出，Wiz是考量反托斯調查、投資人顧慮後決定拒絕提議。</p> <p>Wiz的投資人包括Andreessen Horowitz、Lightspeed Venture Partners、紅杉資本（Sequoia Capital）、Salesforce Ventures等。今年2月Wiz還募得10億美元，公司目前市值約為120億美元。</p> <p>Wiz收購案若成真，將是該公司歷來金額最大的收購。<a href="https://www.ithome.com.tw/news/149768" target="_blank">Google 2022年</a>曾和微軟競購資安業者Mandiant，最後以54億美元搶下這家資安顧問服務商。Google並未對收購失敗一事評論。</p> <p>Google提出Wiz市值近2倍的收購邀約，報載是為了提升Google Cloud資安服務營收的成長速度。Google Cloud在現任執行長Thomas Kurian帶領下，營收逐漸有起色，2023年首度獲利。在AI帶動下，Google Cloud成長可期。</p> <p>母公司Alphabet本周三（7/24）公布第2季財報。繼2024年第1季創下96億美元營收後，Google雲端部門本季營收103億美元，雖不到Alphabet執行長Sundar Pichai<a href="https://www.forbes.com/sites/petercohan/2024/07/23/google-stock-could-rise-on-q2-cloud-growth-despite-busted-wiz-deal/" target="_blank">曾預期</a>的125億美元，但超越分析機構預期的102億美元。</p> </div></div></div>
2024/7/24 12:16作者林妍溱https://www.ithome.com.tw/news/164092
Meta AI擴大支援7種語言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2024/07/meta-ai-is-now-multilingual-more-creative-and-smarter/" target="_blank">Meta周二（7/23）宣布</a>，旗下聊天機器人Meta AI開始提供英文以外的聊天內容，新增對法文、德文、印地語、印地語羅馬文字、義大利文、葡萄牙文與西班牙文的支援，而且現在已可於22個國家存取該服務，並提供了新的創新圖像編輯功能。不過，Meta AI迄今尚未支援中文及臺灣。</p> <p>目前Meta AI已整合到 WhatsApp、Instagram、Messenger及Facebook等平臺，也可直接透過meta.ai存取，除了回答問題與提供靈感之外，新版增添了創意圖像編輯功能，在使用者建立了AI圖像之外，能夠藉由文字敘述來調整圖像，包括添增或移除圖像內容，或是以圖像來製作動畫，但現階段只支援英文版。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0724-Meta%20AI%20create%20image_Facebook%20post.png" style="width: 451px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>它也在美國市場測試一個新的Imagine me（想像自己）功能，可根據使用者所提供的照片進行改造，例如想像自己正在衝浪，或是想像自己是皇室成員，或是想像自己存在於超現實主義的繪畫中，Meta AI就能替使用者創造一幅無邊無際的想像畫面。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0724-Imagine%20me-Meta%20AI.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Meta</span></p> <p>Meta AI亦持續採用Meta最新開發的模型，現在Meta已在WhatsApp及meta.ai改採甫釋出的Llama 3.1 405B，新模型改善了推論能力，以理解及回答更複雜的問題，特別是在數學及撰寫程式碼的能力上，也能藉由專家的指導掌握複雜的技術與科學概念。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0724-meta%20ai-Llama%20405B.png" style="width: 323px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Meta</span></p> <p>Meta指出，使用者現在甚至得以結合Meta AI的程式碼撰寫能力及圖像生成功能，從頭建構新遊戲，或是變更經典遊戲內容，把自己直接整合到遊戲中。</p> <p>除了上述平臺之外，Meta AI亦適用於Ray-Ban Meta智慧眼鏡，也將在8月於Meta Quest上展開實驗，以Meta AI取代Meta Quest現有的語音命令，來執行使用者所提出的各種命令及問題。</p> </div></div></div>
2024/7/24 10:34作者陳曉莉https://www.ithome.com.tw/news/164090
臺灣資安長將視CrowdStrike災後應變態度，作為是否採用的參考
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者CrowdStrike於7月19日因為EDR軟體更新出包，造成許多微軟電腦和伺服器出現藍色當機畫面（BSOD）。也有匿名高科技製造業資安主管表示，勒索軟體做不到的事情（企業電腦大規模當機），CrowdStrike做到了。另外也有不少Line資安群組，紛紛以CrowdStrike官網「62分鐘就能讓您的企業停止運作」的網路頁面，反諷CrowdStrike真的做到讓企業停止運作了。</p> <p>盤點過臺灣CrowdStrike引發的電腦當機災情後，有許多資安長坦言，採用雲端服務的趨勢不可逆，對於已經是CrowdStrike的用戶並發生大規模災情，有高科技業資安主管已經考慮明年不再續約；但對於正在評估是否採購CrowdStrike產品的企業而言，CrowdStrike的應變方式和對客戶的補償方式等，則是他們後續評估是否採購的重要關鍵。</p> <p><strong>受波及業者思考是否續約，視為一次緊急應變團隊演練機會</strong></p> <p>有匿名高科技業資安主管表示，該公司大量部署CrowdStrike的EDR產品，這次造成電腦和伺服器當機，連總經理都時時跟進資安部門處理當機電腦的復原進度，原本是保護公司資訊資產的資安產品，成為資訊資產的資安破口。「面對明年CrowdStrike的採購，將考慮不再續約。」他說。</p> <p>另外一名匿名高科技製造業資安長表示，該公司此次有十八臺安裝關鍵服務的微軟伺服器受害，幸好第一時間就緊急處理完畢，加上並沒有牽連到其他Linux主機，不然應該是系統性大災難。</p> <p>該名高科技製造業資安長表示，若正面思考、往好處想想，這次事件剛好讓公司的緊急應變團隊做一次實戰演練，也可以驗收緊急應變團隊運作的成熟度。</p> <p>當然，該名資安長坦言，該起事件必然會對該公司未來的採購決策產生影響。</p> <p>他說，首先，該公司將對CrowdStrike的信譽和產品可靠性進行重新評估；其次，該公司將更加關注供應商的更新和測試流程，確保未來類似事件的風險降到最低。此外，資安長也說，未來也會考慮採用多元化的供應商策略，避免對單一供應商的過度依賴，從而提高該公司的整體風險管理能力。</p> <p>總結來說，他表示，從這次事件提醒，企業在選擇和管理雲端資安服務時，需要更加謹慎，並加強內部的應急處理和測試流程，以保障系統的穩定性和安全性。</p> <p><strong>進行產品POC的金融業者，選擇暫停POC</strong></p> <p>匿名的金融業資安長表示，因為該公司正好在對CrowdStrike進行POC（概念驗證），產品安裝在測試區環境中，所幸沒有影響正常服務。電腦當機的災情爆發後，該資安長已經先請同仁暫停POC，並看後續狀況來調整POC的方式。</p> <p>另外一位金融業資安長表示，該公司剛好針對CrowdStrike的EDR產品進行POC，包括簽核伺服器、郵件伺服器都受到影響，數量很多，但處理即時，後遺症不大。不過，他也認為，這次的資安事件也是一個好的資安演練機會，但是否有受害就需要發佈重訊，他認為，應該還是要看受害範圍，有沒有影響公司的正常營運決定重訊發布與否。</p> <p>資安長也指出，資安部門不管在安裝、執行任何程式時，都會遇到各種資安工具的碰撞，都必須再三實測、不能中斷。關於這次爆發的軟體更新出包，他認為，雲端服務出包是可以預期的，不能因咽廢食而不使用雲端服務；他也學到，所有的軟體更新都必須在測試區再三確認後，才會循序漸進的派送到正式上線區。</p> <p>匿名營建業資安長表示，在爆發CrowdStrike災情時，他慶幸當初選擇另外一家競爭品牌，有一個原因在於他想要深化和某個資安公司的連結，可以在管理上、預算上，甚至技術支援等等，可以提供比較有彈性、全面性且更有深度的合作。</p> <p>另外一位匿名高科技製造業資安長也說，從這次災情學到，未來所有的軟體更新都要經過驗證程序並作衝擊評估後才能上線，該公司雖然沒有選擇CrowdStrike的產品，但他不諱言，該公司的危機應變以及後續的處理，將會是未來評估資安供應廠商做的參考。</p> </div></div></div>
2024/7/23 21:18作者黃彥棻https://www.ithome.com.tw/news/164089
【資安日報】7月23日，臺灣企業因CrowdStrike產品更新造成電腦當機的情況，金融、資服、傳統製造、高科技製造業…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週最受到各界關注的事故，就是EDR系統CrowdStrike Falcon更新出錯，導致全球大量出現藍色當機畫面（BSoD）的情況，微軟初估全球有850萬臺Windows電腦受到影響，究竟臺灣災情如何，陸續有相關消息傳出。我們也私下訪問企業的資安長及資服業者，發現金融、資服、傳統製造及高科技製造業都傳出災情。</p> <p>另一方面，金管會也在例行記者會透露金融業者受害的情形，並指出期貨商、投信業者、壽險業者、產險業者都有受害的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164062"><strong style="font-size: 22px;">盤點臺灣企業因CrowdStrike產品更新造成電腦當機的災情</strong></a></p> <p>臺灣時間7月19日傳出微軟雲端服務大當機，經查是資安公司CrowdStrike更新EDR時出包，造成安裝微軟作業系統的電腦，出現藍色當機畫面（BSOD）的狀態。微軟企業及作業系統安全副總裁David Weston在官方部落格文章中提到，此次受到CrowdStrike更新影響的設備，估計高達850萬臺Windows設備，而臺灣有多少企業受到波及，並沒有任何官方數據可以提供。因此，iThome私下訪問臺灣企業資安長和資服業者，希望可以勾勒出，臺灣不同產業在這一波CrowdStrike引發藍色當機畫面的災情現況。</p> <p>事實上，此次CrowdStrike引發藍色當機畫面的受害產業範圍甚廣，包括金融業、資服業、傳統製造和高科技製造業者等，都陸續傳出災情；此外，根據其他媒體報導，其他像是航空業者，也是此次災情的受害者。</p> <p>金融業者因為開放雲端服務較晚，便有金融業者表示，該公司剛好在進行CrowdStrike的POC（概念驗證），因此災情發生後，選擇暫停POC；另外，則有一家資服業者災情慘重，該公司有三千多臺個人電腦，全部都出現藍畫面的當機狀態。</p> <p><a href="https://www.ithome.com.tw/news/164084"><strong style="font-size: 22px;">金管會揭露CrowdStrike事故對臺金融業災情，保險業上千臺伺服器和上千臺PC受影響</strong></a></p> <p>上週五資安公司CrowdStrike更新EDR時出包，安裝微軟作業系統的電腦出現藍色當機畫面，不少金融業者也受到影響。金管會今日在例行記者會上表示，目前為止，受影響的金融業者包括2家期貨商、4家投信業、5家壽險業和2家產險業者。銀行局則尚無接獲業者通報重大偶發事件。</p> <p>針對保險業受影響情形，保險局主任秘書古坤榮說明，少數業者的官網或對外服務系統有部分功能受影響，中斷了數分鐘至三小時，「大家都在時間內修復完成。」另外，古坤榮提到，本次保險業者受影響裝置有一千多臺伺服器，和一千多臺桌機和筆電。他表示，保險業者後續將強化服務，提供廠商的緊急應變機制，擬訂SOP來縮短類似事件的因應處理時效，並且辦理資安產品多樣化等改善措施。</p> <p>針對證券期貨業受影響情形，證期局主任秘書尚光琪表示，受影響的2家期貨商和4家投信業對外服務並未中斷，也沒有影響到客戶權益。但是，尚光琪提到，經調查後確認，本次事件中外商投信業者的受影響裝置數量較多。</p> <p><a href="https://www.ithome.com.tw/news/164079"><strong style="font-size: 22px;">針對CrowdStrike更新出錯事故，伊朗駭客假借提供修復工具名義誘人下載，實際卻是散布資料破壞軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/phishing-email.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/phishing-email.jpg" style="width: 300px; float: right;" /></a></p> <p>上週五EDR系統CrowdStrike Falcon更新引發全球各地Windows電腦大當機，微軟公布有850萬臺電腦受到影響，資安業者Interos指出約有67.4萬企業用戶可能受到影響。值得留意的是，駭客也伺機散布惡意程式進行破壞。</p> <p>惡意軟體沙箱服務業者Any.Run指出，他們發現有駭客意圖趁機散布資料破壞軟體（Wiper）的跡象，對方針對想要找尋能修正電腦因CrowdStrike更新當機的使用者，聲稱提供另一個由CrowdStrike製作的更新軟體，能解決當機的問題。然而一旦使用者執行，電腦檔案就會被以0位元的資料覆寫，完成後惡意程式再向特定的Telegram頻道回報。</p> <p>而對於攻擊者的身分，資安新聞網站Bleeping Computer指出，伊朗駭客組織Handala聲稱是他們所為，並透過社群網站X透露，攻擊目標是以色列的企業組織，他們透過釣魚郵件來散布資料破壞軟體。</p> <p><a href="https://www.ithome.com.tw/news/164082"><strong style="font-size: 22px;">中國駭客組織GhostEmperor捲土重來，利用惡意程式Demodex從事攻擊行動</strong></a></p> <p>資安業者卡巴斯基3年前發現中國駭客組織GhostEmperor的行蹤，事隔兩年，有研究人員察覺該組織再度犯案的跡象。去年底資安業者Sygnia收到客戶的委託，起因是他們察覺駭客破壞企業內部網路，目的是滲透合作夥伴。經過調查，駭客使用名為Demodex的rootkit變種，而這項工具與2021年9月卡巴斯基揭露的GhostEmperor有關。這些駭客運用多階段惡意軟體攻擊，從而隱密在受害組織持續運作，同時他們也利用多種手法阻止資安人員分析。</p> <p>而對於這些駭客的入侵手段，研究人員指出通常是利用Exchange漏洞ProxyLogon來取得初始權限，但也有利用其他漏洞的情況。一旦成功，對方就會執行批次檔啟動整個惡意軟體感染流程。</p> <p><a href="https://www.ithome.com.tw/news/164064"><strong style="font-size: 22px;">FBI利用以色列駭客工具成功破解川普刺客的安卓手機，過程僅耗時40分鐘</strong></a></p> <p></p> <p>根據彭博社報導，美國聯邦調查局（FBI）在以色列業者Cellebrite提供的工具協助下，以「開發中、尚未公布」的產品破解「較新款」的三星手機，從而成功存取攻擊美國總統候選人川普的刺客手機，過程僅花費40分鐘。</p> <p>本月13日川普在賓州農場公開造勢發表演說時，遭到賓州男子Thomas Matthew Crooks企圖行刺。川普僅右耳受傷，而刺客隨後遭到狙擊手擊斃。FBI取得此嫌犯的手機以調查行刺原因及是否有共犯，事件隔日還無法存取手機，但第二天FBI就宣布成功存取其中內容，對於如何破解手機鎖定及刺客使用的手機品牌，FBI皆未說明。</p> <p>這家以色列業者主要的業務，就是提供各國政府及警方破解工具，作為辦案使用。2016年FBI為偵辦槍擊案需解鎖已經死亡的嫌犯手機，尋求蘋果協助遭拒，最終FBI得到第三方業者協助，外傳該業者就是Cellebrite。</p> <p><a href="https://www.ithome.com.tw/news/164081"><strong style="font-size: 22px;">移民署內部通訊錄驚傳流入駭客論壇，該單位表示非駭客攻擊外流，疑為離職員工所為</strong></a></p> <p>近日傳出民眾在網路上發現，使用SorryBB為ID的人士，在駭客論壇BreachForums兜售移民署內部人員通訊錄的情況，當中包含署長及多名科員、專員的個資，這份資料不僅包含職稱、姓名、性別、任職年月、內網電子郵件信箱、號碼、分機、警用電話號碼，甚至提及有人照顧家人而留職停薪的情形。</p> <p>對此，有知情人士透露，這些資料相當老舊，且這批內部資料外界難以利用，價值並不高。儘管如此，賣家還是開出了1,500美元（約新臺幣4.9萬元）的價碼，並要求以門羅幣或比特幣進行交易。</p> <p>移民署得知此事後著手查證，確認資訊系統並未遭到駭客入侵，他們也將存放於內部網路系統的檔案移除。究竟這批資料如何流出，他們不排除是離職員工所為。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/los-angeles-superior-court-shuts-down-after-ransomware-attack/"><strong style="font-size: 20px;">美國洛杉機高等法院傳出遭到勒索軟體攻擊，被迫關閉網路系統</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/g/new-play-ransomware-linux-variant-targets-esxi-shows-ties-with-p.html">勒索軟體Play鎖定VMware虛擬化環境而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/grand-theft-auto-fake-gta-vi-beta-download-malware/">駭客佯稱提供電玩遊戲俠盜獵車手VI測試版散布惡意程式</a></strong></p> <p></p> <p>◆<a href="https://www.bugcrowd.com/blog/unveiling-te-0-http-request-smuggling-discovering-a-critical-vulnerability-in-thousands-of-google-cloud-websites/"><strong style="font-size: 20px;">研究人員揭露HTTP請求偷渡手法TE.0，恐導致數千個Google Cloud網站曝險</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.recordedfuture.com/research/oilalpha-spyware-used-to-target-humanitarian-aid-groups">惡意應用程式OilAlpha鎖定葉門人道救援組織而來</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164065"><strong style="font-size: 22px;">Google宣布放棄在Chrome中封鎖第三方Cookie的計畫</strong></a></p> <p>在受到各國監管機關的質疑之後，7月22日Google宣布放棄於Chrome中封鎖第三方Cookie的計畫，但會繼續投資及開發原本要用來取代第三方Cookie的各種隱私沙箱（Privacy Sandbox）API。這項執行4年的計畫，最終以失敗告終。</p> <p>Google企圖於Chrome瀏覽器中維持廣告主及使用者隱私之間的平衡，因而在2019年提出了隱私沙箱的概念，採用更具隱私的方式將使用者分門別類，而廣告主則可據此向群組發送廣告，並準備在2022年以隱私沙箱全面取代第三方Cookie。然而，該計畫一開始就惹來英國競爭及市場管理局（CMA）的調查，懷疑隱私沙箱的安全性，以及Google疑似打算利用隱私沙箱來圖利自家廣告服務，再加上受到各方的質疑，而使得上線日期一延再延。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164058"><strong>【7月22日】資安業者CrowdStrike更新事故衝擊規模初步統計出爐，至少影響850萬臺電腦、67萬企業用戶</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164037"><strong>【7月19日】CrowdStrike旗下EDR系統更新出錯釀禍，全球出現Windows電腦大量當機，影響機場、醫院等設施運作</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164012"><strong>【7月18日】日本揭露新一波MirrorFace攻擊行動，對方鎖定防火牆、SSL VPN設備已知漏洞而來，散布後門程式</strong></a></p> </div></div></div>
2024/7/23 16:52作者周峻佑https://www.ithome.com.tw/news/164083
金管會揭露CrowdStrike事故對臺金融業災情，保險業上千臺伺服器和上千臺PC受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週五資安公司CrowdStrike更新EDR時出包，安裝微軟作業系統的電腦出現藍色當機畫面，不少金融業者也受到影響。金管會今日在例行記者會上表示，目前為止，受影響的金融業者包括2家期貨商、4家投信業、5家壽險業和2家產險業者。其中，保險業受影響裝置共有一千多臺伺服器，和一千多臺個人電腦，包含桌機和筆電。銀行局則尚無接獲業者通報重大偶發事件。</p> <p>針對保險業受影響情形，保險局主任秘書古坤榮說明，少數業者的官網或對外服務系統有部分功能受影響，中斷了數分鐘至三小時，「大家都在時間內修復完成。」另外，古坤榮提到，本次保險業者受影響裝置有一千多臺伺服器，和一千多臺桌機和筆電。他表示，保險業者後續將強化服務，提供廠商的緊急應變機制，擬訂SOP來縮短類似事件的因應處理時效，並且辦理資安產品多樣化等改善措施。</p> <p>針對證券期貨業受影響情形，證期局主任秘書尚光琪表示，受影響的2家期貨商和4家投信業對外服務並未中斷，也沒有影響到客戶權益。但是，尚光琪提到，經調查後確認，本次事件中外商投信業者的受影響裝置數量較多。因此，未來相關業者也會依照軟體廠商的改善措施，並配合母集團政策進行改善。另外，相關業者將會加強廠商更新軟體的上線機制，降低系統更新風險。例如，和廠商洽談防護規則，進行遞延更新或分批更新。</p> <p>另外，針對資安保險理賠情形，古坤榮說明，目前資安保險承保範圍主要針對網路攻擊、電腦勒索或管理錯誤行為等事件，並未包括資安公司軟體更新事件，因此，本次當機事件尚無保險理賠產生。</p> <p></p> </div></div></div>
2024/7/23 17:19作者李昀璇https://www.ithome.com.tw/news/164084
移民署內部通訊錄驚傳流入駭客論壇，該單位表示非駭客攻擊外流，疑為離職員工所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日傳出民眾在網路上發現，使用SorryBB為ID的人士，<a href="https://www.ettoday.net/news/20240722/2782353.htm">在駭客論壇BreachForums兜售移民署內部人員通訊錄的情況</a>，當中包含署長及多名科員、專員的個資，這份資料不僅包含職稱、姓名、性別、任職年月、內網電子郵件信箱、號碼、分機、警用電話號碼，甚至提及有人照顧家人而留職停薪的情形。</p> <p>對此，有知情人士透露，這些資料相當老舊，且這批內部資料外界難以利用，價值並不高。儘管如此，賣家還是開出了1,500美元（約新臺幣4.9萬元）的價碼，並要求以門羅幣或比特幣進行交易。</p> <p>對此，<a href="https://www.immigration.gov.tw/5385/7229/153324/372460/">移民署得知此事後著手查證</a>，確認資訊系統並未遭到駭客入侵，他們也將存放於內部網路系統的檔案移除。</p> <p>究竟這批資料如何流出，他們不排除是離職員工所為，由於將內部通訊錄資訊經過重製並於網路散布，因涉及刑事責任，他們已會同政風人員進行調查，並強調對於洩漏或散布這些資料的人士，他們將依法究辦。</p> <p>移民署強調，員工個資內容包含內部電子信箱、分機資訊，一般民眾即便取得，也難以利用，其中有不少人已調離移民署，他們判斷是早以過時的舊資料。</p> <p>針對這名被懷疑涉案的前員工，根據各家媒體的報導，很有可能是近期因表現不佳而離職的員工所為，該員工原本在移民署桃園機場的國境事務大隊就職，他們正在釐清該員是否涉案。</p> </div></div></div>
2024/7/23 16:12作者周峻佑https://www.ithome.com.tw/news/164081
中國駭客組織GhostEmperor捲土重來，利用惡意程式Demodex從事攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者卡巴斯基<a href="https://securelist.com/ghostemperor-from-proxylogon-to-kernel-mode/104407/">3年前發現中國駭客組織GhostEmperor的行蹤</a>，事隔兩年，有研究人員察覺該組織再度犯案的跡象。</p> <p>去年底資安業者Sygnia收到客戶的委託，<a href="https://www.sygnia.co/blog/ghost-emperor-demodex-rootkit/">起因是他們察覺駭客破壞企業內部網路，目的是滲透合作夥伴</a>。經過調查，駭客使用名為Demodex的rootkit變種，而這項工具與2021年9月卡巴斯基揭露的GhostEmperor有關。這些駭客運用多階段惡意軟體攻擊，從而隱密在受害組織持續運作，同時他們也利用多種手法阻止資安人員分析。</p> <p>而對於這些駭客的入侵手段，研究人員指出通常是利用Exchange漏洞ProxyLogon來取得初始權限，但也有利用其他漏洞的情況。一旦成功，對方就會執行批次檔啟動整個惡意軟體感染流程。</p> <p>這些駭客執行批次檔的方式，主要是透過名為WMIExec的命令列工具來進行。該工具屬於Impacket滲透測試套件的一部分，主要用途是藉由WMI在遠端Windows電腦執行命令。而Impacket工具包是以Python打造而成，通常被用於了解程式構造或是操控網路協定。</p> <p>當批次檔開始執行，就會進行部署惡意軟體及設置能維持在受害電腦運作的工作。他們先是下載CAB檔並利用內建的公用程式expand.exe解開作案工具，其中包含惡意DLL檔案Prints1m.dll、PowerShell指令碼，以及用來產生AES解密金鑰、解出經過AES演算法處理的Shell Code的登錄檔。</p> <p>接著，此批次檔便會在電腦下達匯入上述兩個登錄檔，然後執行經過加密處理的PowerShell指令碼，這個指令碼內含經加密處理的儲存桶（blob），一旦解開，電腦就會再執行另一個PowerShell指令碼。</p> <p>這個新的指令碼會建置名為WdiSystem服務，內含svchost.exe的PowerShell命令，目的是載入惡意DLL檔案，同時，還會建立新的服務群組WdiSystemhost，用來執行惡意服務。攻擊者在執行惡意服務的過程中，他們會試圖讓惡意軟體看起來像執行Windows系統服務，而這麼做其實是模仿正牌的系統服務名稱「WdiSystemHost（Windows Diagnostic System Host）」。</p> <p>當電腦根據駭客上述設置的方法載入惡意DLL檔案，該程式庫會偵測作業系統內部的處理程序執行架構Process Environment Block，動態載入需要的功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ghost-Emporer-Diagram-Desktop.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ghost-Emporer-Diagram-Desktop.jpg" style="width: 580px;" /></a></p> <p>接著，這個DLL檔案會設置反掛鉤（anti-hooking）手法，並且會先進入休眠狀態，為期15秒之後，再進行解密、執行下個階段的攻擊，從而接收批次檔設置的機碼金鑰。</p> <p>值得一提的是，為了迴避防毒軟體及EDR系統的偵測，這些駭客設置名為ProcessSignaturePolicy的緩解措施，禁止將未具備微軟簽章的DLL檔案載入處理程序，這也代表非微軟簽署的資安系統DLL元件有可能因為無法注入正在執行的特定應用程序記憶體位址，而無法正常運作。但研究人員也指出，許多防毒業者使用的DLL檔案都經過微軟簽署，其中部署端點防護解決方案還會在呼叫SetProcessMitigationPolicy之前就注入DLL，根據這樣的說法，駭客所採取的做法，有可能鎖定尚未具備上述簽署機制的資安系統而來。</p> <p>完成上述的步驟，Prints1m.dll才會讀取兩個由批次檔設置的登錄檔金鑰，並將Shell Code充當惡意程式載入工具，把名為Core-Implant的DLL分配記憶體位置，並將每個部分載入記憶體。成功後Core-Implant將管理C2通訊，並於受害電腦植入Demodex。為了迴避作業系統的驅動程式簽章強制（DSE）機制，駭客濫用遊戲作弊工具Cheat Engine，並運用其中已簽章的驅動程式dbk64.sys操縱記憶體，而能在Core-Implant執行Shell Code，然後在該驅動程式加入額外功能，使其能夠載入Demodex。</p> </div></div></div>
2024/7/23 16:42作者周峻佑https://www.ithome.com.tw/news/164082
針對CrowdStrike更新出錯事故，伊朗駭客假借提供修復工具名義誘人下載，實際卻是散布資料破壞軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週五（7月19日）EDR系統CrowdStrike Falcon更新<a href="https://www.ithome.com.tw/news/164030">引發全球各地Windows電腦大當機</a>，<a href="https://www.ithome.com.tw/news/164040">微軟公布有850萬臺電腦受到影響</a>，資安業者Interos指出<a href="https://www.interos.ai/blog-crowdstrike-impact-analysis-at-least-674000-enterprise-customers-at-risk-of-disruption-globally/">約有67.4萬企業用戶可能受到影響</a>。</p> <p>當時，CrowdStrike提出警告，雖然這起事故並非網路攻擊，但很有可能被駭客用來引誘使用者上當，因為<a href="https://www.crowdstrike.com/blog/falcon-sensor-issue-use-to-target-crowdstrike-customers/">他們已經看到30個新註冊的冒牌網域名稱的情況</a>，如今有其他研究人員揭露相關攻擊行動。</p> <p>惡意軟體沙箱服務業者Any.Run指出，<a href="https://x.com/anyrun_app/status/1814658084460957890">他們發現有駭客意圖趁機散布資料破壞軟體（Wiper）的跡象</a>，對方針對想要找尋能修正電腦因CrowdStrike更新當機的使用者，聲稱提供另一個由CrowdStrike製作的更新軟體，能解決當機的問題。</p> <p>然而一旦使用者執行，電腦檔案就會被以0位元的資料覆寫，完成後惡意程式再向特定的Telegram頻道回報。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GS710MDXMAAPCUe.jpg" style="width: 580px;" /></p> <p>而對於攻擊者的身分，<a href="https://www.bleepingcomputer.com/news/security/fake-crowdstrike-fixes-target-companies-with-malware-data-wipers/">資安新聞網站Bleeping Computer指出</a>，伊朗駭客組織Handala聲稱是他們所為，並透過社群網站X透露，攻擊目標是以色列的企業組織，他們透過釣魚郵件來散布資料破壞軟體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/phishing-email.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/phishing-email.jpg" style="width: 580px;" /></a></p> <p>值得留意的是，這並非Any.Run發現的唯一相關攻擊事故，<a href="https://x.com/anyrun_app/status/1814944383910789393">他們也看到駭客透過PDF文件行騙的行為</a>。而這個PDF檔案內含連結，若是使用者點選，電腦將會下載帶有惡意程式的RAR壓縮檔。此外，<a href="https://x.com/anyrun_app/status/1814567576858427410">他們也看到</a>CrowdStrike公布的<a href="https://www.ithome.com.tw/news/164052">惡意程式Hijackloader、Remcos攻擊行動</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GS_6MFcXEAAPAMu.png" style="width: 580px;" /></p> <p>除了這些攻擊行動，資安業者CrowdStrike也公布<a href="https://www.crowdstrike.com/blog/fake-recovery-manual-used-to-deliver-unidentified-stealer/">他們看到的第二波攻擊行動</a>，對方假冒微軟，使用Word巨集檔案（.DOCM），宣稱提供復原指引，然而一旦照做，使用者的電腦就有可能被植入竊資軟體Daolpu。</p> </div></div></div>
2024/7/23 14:34作者周峻佑https://www.ithome.com.tw/news/164079
國泰金控結合SBOM軟體物料清單加強軟體供應鏈的安全性，優先從中臺微服務供應鏈導入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近兩年，軟體供應鏈安全越來越受重視，除了持續強化軟體安全外，也有臺灣企業開始結合軟體物料清單（SBOM）增強軟體供應鏈的安全性，國泰金控就是其中一家，他們在國泰中臺微服務應用中，開始運用SBOM表追蹤和記錄軟體元件的組成，及時發現和修補漏洞，並在攻擊事件後進行還原，進而提升軟體供應鏈的安全。</p> <p>負責打造這個安全防禦圈的是國泰金控數位數據暨科技發展中心的開源創新發展小組。該小組成員之一的DevOps工程師趙振勝近日在iThome臺灣雲端大會上分享了他們在軟體供應鏈安全防護中應用SBOM的經驗。</p> <p>軟體供應鏈的威脅在近幾年日益增加，例如近年來爆出的Log4j零日漏洞，曾引發大規模零日的RAC漏洞被駭客利用，導致企業只要引用這個元件就容易受到攻擊。今年還出現了另一個針對軟體供應鏈的攻擊，名為XZ Utils的後門供應鏈漏洞，再再顯示出企業軟體供應鏈安全的重要性和迫切性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/95568.jpg" style="width: 600px; height: 338px;" /></p> <p><strong><span style="font-size:22px;"> SBOM軟體物料清單的組成基本要素</span></strong></p> <p>為了加強軟體供應鏈的安全，國泰金控嘗試在軟體供應鏈安全防護中結合SBOM軟體物料清單，使用SBOM表追蹤和記錄軟體元件的組成，提高軟體元件的可見性和透明性，並先從國泰自己的中臺微服務供應鏈開始導入。</p> <p>根據美國商務部和國家電信與資訊管理局（NTIA）對於 SBOM的組成基本要素有7項，包含供應商名稱、元件名稱、各元件名稱的獨立ID或Hash值、版本資訊、元件彼此間的關聯關係、元件作者資訊等。</p> <p>趙振勝指出，SBOM是提高軟體供應鏈安全的關鍵工具。在SBOM軟體物料清單中提供了軟體的版本、依賴關係、組件以及許可證資訊，當軟體供應鏈受到攻擊時，安全團隊可以利用這些資訊確認影響並快速找出有問題的軟體元件，將損害降到最低。</p> <p>尤其，過去開發人員經常使用開源元件或第三方元件時，隨著對這些軟體元件依賴的增加，開發人員對軟體夠掌控的部分就越少，因而增加了軟體供應鏈的安全風險，他認為，透過SBOM能夠有效解決這個問題。</p> <p><span style="font-size:22px;"><strong>軟體供應鏈安全防護結合SBOM表有四大好處</strong></span></p> <p>趙振勝指出，在軟體供應鏈安全防護中結合SBOM表有四大好處。首先，SBOM 表可以提供軟體元件的可見性和透明度，增強軟體供應鏈的安全性；其次，透過詳細的元件列表，可用於漏洞管理，並能在攻擊發生後協助進行事件還原。</p> <p>此外，由於SBOM可以列出每個應用程式中的元件及其版本，一旦遇到特定漏洞時，就可以快速知道公司是否使用這些元件，並可用於風險評估以決定修補程式的優先順序。最後，SBOM還可以提供許可證資訊，確保符合合規及監管要求，像是金融業。</p> <p>國泰中臺由微服務架構組成，分為閘道層（Gateway）、複合層（Composite）、以及基底層（Base）三層式架構。由於微服務架構相當複雜，因此趙振勝表示，每個微服務架構間的元件與SBOM關聯性的建立就非常重要，甚至還需要將SBOM表的工作流程結合軟體開發生命周期（SDLC），並導入在每個環節和步驟中。</p> <p><strong><span style="font-size:22px;">國泰中臺微服務導入SBOM遇到的挑戰</span></strong></p> <p>他指出，國泰金控一開始先在微服務中臺中，利用SBOM表，加強軟體供應鏈的安全性，但在導入過程中也遇到不少挑戰，包括如何選擇SBOM表導入時機、SBOM表解析和管理、SBOM表視覺化以及如何確保SBOM表資訊的完整性和不被篡改。為了克服這些挑戰，他們導入不少開源工具，來逐一加以解決。</p> <p>例如，為了產生微服務供應鏈SBOM表，國泰團隊採用了CycloneDX和Syft兩款開源工具，來進行SBOM表的生成，接著將SBOM表導入在在工作流程（Pipeline）各階段，包括原始碼（Source Code）、建置Jar檔以及映像檔檔分別導入這兩個工具。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/95566.jpg" style="width: 600px; height: 338px;" /></p> <p>由於SBOM本身是JSON 格式，為了方便解析及管理，他們還使用另一款開源工具Dependency Track，利用SBOM即時分析依賴元件並識別漏洞，來視覺化和管理第三方元件及相似性。</p> <p>趙振勝表示，Dependency Track本身提供了多種串接功能，可以支持CycloneDX 格式的SBOM 作為輸入，並可以與 Slack 以及 Jenkins 串接作為輸出，還可以使用常見的統整軟體來管理漏洞。</p> <p>匯入SBOM表後，從Dependency Track介面中，不僅看到元件名稱以及版本資訊及使用許可資訊，還可以看出這次所匯入的應用程式，包含了哪些弱點，不同弱點會有不同顏色來區分。開發人員還能檢視所匯入的應用程式，包含弱點，不同弱點會以不同顏色區分，並且可以點擊查看更詳細的資訊。此外，該介面還提供審核功能，允許開發人員對每個弱點進行修復回覆和提出審核建議。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/95565.jpg" style="width: 600px; height: 338px;" /></p> <p>國泰金控還使用了Google的GUAC建立可視化的SBOM表，來提供依賴管理和對軟體供應鏈安全的全面視圖。從視覺化的 SBOM 表中可以用樹狀圖的方式呈現應用程式中不同元件之間的關聯。</p> <p>趙振勝表示，團隊建立了簽核和授權機制，來確保SBOM不被異動。例如導入導入了Cosign工具，用於SBOM簽核，確保SBOM表的異動歷程都有完整的記錄。又或是在SBOM匯入後，進一步將應用程式整合到CICD流程，以便透過驗證方式來進行確認，來確保SBOM資訊的完整性，以及不被異動。</p> <p>趙振勝表示，團隊建立了簽核和授權機制，以確保 SBOM不被篡改。例如，導入了Cosign工具，用於 SBOM簽核，確保SBOM表的異動歷程都有完整的記錄。此外，在SBOM匯入後，進一步將應用程式整合到DevOps敏捷的CICD流程中，通過驗證方式來確認 SBOM資訊的完整性和防止異動。最後，他們還導入VEX文件來收斂開發團隊及資安團隊發現的漏洞，來了解已知的漏洞的元件在其使用的產品環境中的可用性，以及駭客是否可以利用該漏洞造成威脅。</p> <p></p> <p>趙振勝強調建立左移（Shift Left）觀念的重要性。他表示，企業必須將SBOM 納入開發流程，以便在軟體開發生命周期的早期階段展開評估和解決漏洞。此外，已上線服務的 SBOM 管理也是必須追蹤和納入考量的重要項目。他提到說，SBOM文件包含有關軟體組件的關鍵資訊，因此也必須保持這些資料的機密和安全性。</p> </div></div></div>
2024/7/23 15:04作者余至浩https://www.ithome.com.tw/news/164063