iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 05:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【iThome 2024 CIO大調查系列5｜DORA指標】6%臺灣企業DevOps能力達國際水準創新高，金融業卓越團…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1194-feng_mian_4-dorazhi_biao_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球DORA指標不只用四大指標來衡量DevOps團隊的各項能力，更依據每年全球調查水準，綜合四項指標，定義出不同能力高低的等級，來反應企業IT團隊的整體DevOps能力水準。</p> <p>臺灣企業今年達到DevOps卓越團隊等級的企業，達到6%，這是我們連續第三年調查的新高，幾乎是去年1.1%的6倍之多。臺灣採用DevOps的企業約四分之一，其中更有6%的團隊達到國際級水準，這也反映出臺灣企業DevOps能力在過去一年明顯提高。</p> <p>卓越團隊的定義，會隨著當年全球DORA調查結果，而略有不同，2023年最新版DORA報告中，卓越團隊在四項指標的要求上，三項與前一年相同，包括了平均部署頻率達到按需部署、更新準備時間在一天以內、平均復原時間也不超過一小時，但在變更失敗率指標的要求，則從去年的15%以下，提高到了必須在5%失敗率以下。全球2023年達到卓越團隊的比例達到18%，另外有31％企業，達到高階團隊的水準，臺灣整體產業距離這個水準還有不小的距離。</p> <p>雖然臺灣今年有更多企業達到卓越團隊的程度，但在高階團隊的企業比例，則是從去年的52%，在今年下滑到只剩下25％。高階團隊比例下滑的關鍵原因是，DORA在2023年調查中，觀察到全球企業的DevOps能力提高了，也調高了對高階團隊的能力要求，尤其在變更失敗率上，過去只要在30%以下就屬於高階團隊，但在2023年，必須達到10%以下失敗率，才能進入高階團隊的水準，因此，去年5成高階團隊的臺灣企業，幾乎有半數企業的變更失敗率沒有達標，因此，臺灣企業今年高階團隊大幅減少到只有25%。</p> <p>從各產業來看，金融業DevOps表現最好，高達10.8%金融業者達到卓越團隊的水準，次高是近兩年積極推動IT現代化和上雲的醫療業，也有8.7%醫院達到卓越水準。政府學校今年卓越團隊的比例掛零，去年雖有7.7%政府學校達到卓越水準，但因為變更失敗率過高，隨著DORA調高標準，政府學校這些團隊在今年紛紛掉到高階團隊的等級。</p> <p>DORA全球調查去年也首度將GAI影響納入調查項目中，了解企業IT技術工作，有哪些項目開始受到GAI的影響。我們則進一步調查臺灣企業哪些IT技術工作開始採用GAI來加速，其中，已有18.5%臺灣企業開始用GAI輔助軟體開發，也有17.5%臺灣企業用GAI來優化自己的程式碼，又以服務業最積極，破2成3的服務業者開始用GAI來輔助開發，DevOps能力較弱的一般製造業，也有高達22.7%企業開始採用GAI輔助開發。用GAI來提高軟體開發速度和生產力，是生成式AI最直接也是最明顯的效益，臺灣企業今年也開始借重GAI技術和工具，來提高自己的DevOps戰力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A24-DORA%E6%8C%87%E6%A8%99-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1194-%E5%B0%81%E9%9D%A24-DORA%E6%8C%87%E6%A8%99-600-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A24-DORA%E6%8C%87%E6%A8%99-600-2.png" style="width: 600px;" /></a></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A24-DORA%E6%8C%87%E6%A8%99-600-3.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A24-DORA%E6%8C%87%E6%A8%99-600-4.png" style="width: 600px;" /></p> <p><strong style="font-size: 16px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> <p><a href="https://www.ithome.com.tw/article/164376" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:24px;"><span style="font-size:22px;"><span style="background-color:#3399ff;"> <strong>相關報導</strong> </span></span><strong style="font-size: 16px;"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1194-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=o4l3GmQM" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/9 10:54作者王宏仁https://www.ithome.com.tw/article/164375
GAI開始加速企業IT戰力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是我們連續第三年，用全球DORA指標，來盤點臺灣企業的DevOps能力，採用同一套標準，不只可以讓企業用來和臺灣同業、同產業的比較，更可以用來比較臺灣企業和全球企業的開發能力。</p> <p>Google旗下的DevOps評估研究團隊DORA已經連續9年（今年正在進行第10年的調查），調查全球企業的DevOps能力。調查所用的這一套DORA指標，逐漸擴大涵蓋到更多面向，但其中，最核心的是用來衡量DevOps交付能力的四大指標，這是國際間最常用來衡量一家企業DevOps能力的指標。臺灣也越來越多企業用這個指標，來衡量自家IT團隊的開發能力，作為持續改進的參考。</p> <p>iThome CIO大調查從2022年開始，採用同樣的網路自評，同樣的問題和答案選項，來問臺灣企業的IT主管，今年是第三年。企業DevOps交付能力的高低，與他們所面臨的挑戰大小相關，隨著越來越多企業擁抱雲原生技術，諸如微服務架構、容器化技術、跨雲多雲混合雲架構的採用率年年提高，微服務架構的企業採用率從去年的21.1%，今年底將增加到24.9%，K8s與容器技術的採用率從去年的25.4%，今年也增加到26.8%。多雲混合架構的企業採用率也從去年22.7%，今年增加到26.3%。</p> <p>但是，企業所面臨的IT環境更多元，軟體開發複雜度、基礎架構資源的調度和維運考驗也比過去更嚴峻。這些挑戰，一方面驅使企業必須更積極擁抱DevOps等現代化開發工具來優化開發流程，另一方面也提高了企業優化DevOps交付速度和品質的難度。從我們的CIO調查，可以觀察到企業擁抱IT現代化過程的迫切性和困難。</p> <p>臺灣企業DevOps採用率從2022年底的19.4%，2023年底增加到23%，今年底更預估會繼續提高到25.6%，平均每四家企業就有一家要擁抱DevOps，今年又以金融業的DevOps採用率最高，預估達到40.7%，服務業和醫療業也高達3成。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/164370" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A22-600-1.png" style="width: 600px;" /></a></p> <p>不只越來越多企業擁抱DevOps，企業對於DevOps的能力也一年比一年更強，從臺灣企業DORA指標數據來看，今年達到卓越團隊等級的臺灣企業，達到6%，去年只有1.1%的企業達到這個國際水準，幾乎是五到六倍的成長，反映出臺灣企業快速跟上的現象。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/164375" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A24-DORA%E6%8C%87%E6%A8%99-600-1.png" style="width: 600px;" /></a></p> <p>從單項指標數據來看，臺灣企業關鍵AP的平均部署頻率，高達19.9%具備按需部署能力，比去年的14.3%提高了不少。在AP變更失敗率指標（高達49.5%企業的失敗率低於5%）和部署失敗後的平均復原時間（21.4%企業今年可在1小時內恢復），這兩項能力也明顯比去年有更多企業達到卓越團隊水準。只有更新準備時間的提升較少，如只有6.2%企業能在一小時內完成，比去年的5.4%略多一些。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/164373" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A23-%E5%9B%9B%E5%A4%A7%E4%BA%A4%E4%BB%98%E6%8C%87%E6%A8%99-600-1.png" style="width: 600px;" /></a></p> <p>部署頻率和更新準備時間可以反映出企業的團隊開發速度，而變更失敗率和平均復原時間則反映了企業軟體開發的品質和穩定性。臺灣企業在品質和穩定性上明顯的提升，而開發速度上，則偏重部署頻率的提升，考驗IT基礎架構資源調度與CD自動化能力的更新準備工作，則還有提升的空間。</p> <p>不過，從今年調查中，可以看到近2成的臺灣企業，開始運用生成式AI來輔助軟體開發，26.3%企業用GAI撰寫開發文件，18.5%企業用來輔助程式碼撰寫，也有17.5%企業用於優化程式碼，這都有助於提高企業軟體開發的品質，也能加速企業軟體開發交互的速度，從今年臺灣企業DORA數據的提升，也能看到GAI效能開始發酵。</p> <p>但這只是剛起步，而不是終點，隨著GAI輔助開發工具，越來越成熟，願意嘗試，懂得善用GAI輔助開發的企業，有機會再進一步加速自己的IT開發戰力，明年有機會看到更多臺灣企業達到DevOps卓越團隊的水準！</p> <p><a href="https://www.ithome.com.tw/article/164376" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 24px;"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> <strong>相關報導</strong> </span></span><strong style="font-size: 16px;"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1194-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=o4l3GmQM" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ithome-2024-cio%E5%A4%A7%E8%AA%BF%E6%9F%A5">iThome 2024 CIO大調查</a></div><div class="field-item odd"><a href="/tags/cio%E5%A4%A7%E8%AA%BF%E6%9F%A5">CIO大調查</a></div><div class="field-item even"><a href="/tags/devops">DevOps</a></div><div class="field-item odd"><a href="/tags/%E9%96%8B%E7%99%BC">開發</a></div><div class="field-item even"><a href="/tags/%E7%B6%AD%E9%81%8B">維運</a></div><div class="field-item odd"><a href="/tags/aiops">AIOps</a></div><div class="field-item even"><a href="/tags/finops">FinOps</a></div></div></div>
2024/8/9 10:56作者王宏仁https://www.ithome.com.tw/voice/164371
JavaScript執行環境Bun效能大幅提升，網頁應用框架express.js請求吞吐量增50%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以執行速度著稱的JavaScript執行環境Bun，在其最新版本<a href="https://bun.sh/blog/bun-v1.1.22#less-memory-usage">1.1.22</a>又對效能進行了一系列的強化，網頁應用框架Express.js的執行速度進一步提升，ES模組在Windows上的執行速度也更快了，POST請求時Bun.serve()速度快了10％，而記憶體使用量大幅減少，對Node.js相容性獲得改善。整體來說新版本Bun的開發體驗和程式執行效率都有顯著提升。</p> <p>Bun相較於Node.js是更為現代化的JavaScript執行環境，以其高效能和豐富內建工具著稱。Bun在處理HTTP請求和模組載入方面都比Node.js更快，應用程式的執行效率也較好，而且原生支援JavaScript、TypeScript和JSX/TSX，讓開發者使用起來更方便。</p> <p>Bun 1.1.22的效能改進是一大重點，首先，Express.js框架在Bun中的效能獲得大幅提升，請求吞吐量相比上一版本提高了50％，Express.js在Bun中執行速度是Node.js的3倍。另外，針對Windows平臺的最佳化，ES模組的載入速度提升達4倍，開發團隊解釋，原本只在Linux和macOS實作的並行轉譯（Concurrent Transpilation）技術現在也上到Windows中。</p> <p>此外，Bun高效能HTTP伺服器功能Bun.serve()，處理Post請求的吞吐量提升10％，特別是在程式碼不需要讀取請求主體，例如上傳的資料或表單等情況，效能提升更為明顯。以上這些改進都大幅提升Bun在處理高負載應用程式時的效率和反應速度。</p> <p>新版本Bun在記憶體使用量也有改善，透過最佳化模組原始碼釋放時機，達到在使用bun—hot重新載入程式碼時，記憶體使用量減少一半。開發團隊也修復了一個匯入或是要求已經被回收的模組，會保留其原始碼引用的錯誤，而這也進一步減少記憶體消耗。</p> <p>在Node.js相容性方面，Bun做了大量改進和錯誤修正，確保Node.js函式庫可以在Bun中順暢運作，也使得開發者將應用程式從Node.js搬遷至Bun更加容易，提高了Bun的實用性和穩定性。</p> </div></div></div>
2024/8/9 08:41作者李建興https://www.ithome.com.tw/news/164385
【如何平臺化整合500萬會員數據】Line TV導入CDP一站式管理4大通路會員足跡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩年前，影音串流平臺Line TV即有500萬名活躍會員，在Line、網站、手機App、電視App等4種通路留下數位足跡，產生大量數據。這些數據為行銷部門帶來了優化決策的機會，但也為數據團隊帶來難題。</p> <p>這是因為，Line TV不同通路的數據散落於不同系統，規模龐大且種類繁多。雖然Line TV原本有一套廣告數據的蒐集和報表機制，可以自動產生制式報表。不過，為了嘗試不同行銷策略，行銷人員常需要取得既有機制沒有提供的數據。此時就得由數據團隊支援，由資料分析師手動撈取指定欄位的資料，人工製作出報表。Line TV數據團隊不到10人，要支援全公司各單位數據作業請求，人力十分吃緊，也較難以即時回應作業請求。</p> <p>Line TV用戶增長經理詹博詳坦言：「整個流程長達兩周，很難快速對用戶行為快速反應！」所以，Line TV投入百萬元預算，決定導入CDP（顧客數據平臺），來提升數據應用效率。</p> <p>他們期望導入CDP，以易用的介面呈現數據，讓行銷團隊能自己處理更多數據作業，不必全靠數據團隊。也希望提升影音推薦、廣告投放、驗證決策等作業的效率，並從數據中探索更多洞察及應用可能。</p> <p><span style="font-size:28px;"><strong>導入前置作業花半年，教育訓練再一季</strong></span></p> <p>有些電商導入CDP只需1個月，遇到客製化開發或系統串接需求，則會用上3個月。但光是導入CDP的前置準備，Line TV就花上了半年，因為他們的特殊數據應用需求。</p> <p>首先，Line TV用戶數多，活動足跡橫跨許多不同種通路，且有免費的廣告觀看制（AVOD）跟付費訂閱觀看制（SVOD）兩種商業模式。這些與使用者相關的資料，種類繁多，且規模龐大。</p> <p>考量到數據匯入與儲存的成本，他們必須仔細挑選匯入CDP的資料種類。花了一番時間，Line TV彙整了數據部門、行銷部門及其他可能會用到CDP的部門釐清需求，以挑選數據來源及匯入欄位。</p> <p>不只如此，Line TV為了遵循韓國集團總部的資料使用規範，還需要再斥資上百萬元，請廠商客製資料庫架構，在雲端CDP處理數據階段使用去識別化資料，將數據匯回自動化行銷系統後才匹配個別用戶身分，來發送行銷訊息。</p> <p>最後經過一系列數據梳理、匯入、正確性驗證作業，根據行銷需求設定CDP模組參數後，才完成CDP的建置。</p> <p>CDP正式上線，詹博詳表示，行銷人員花了1至2個月熟悉主要功能後，開始浮現第一個也是最重要的效益──數據應用時效性大幅提升。從受眾資料撈取、進行行銷、事後分析整個流程所需的時間來統計，導入CDP後，數據分析師可以減少70%的作業時間。</p> <p>詹博詳補充，由於一開始花費許多時間對齊新技術與實際業務中的數據使用情境，CDP較好與既有行銷策略結合，行銷人員使用CDP的意願也十分積極。熟悉操作後，更會根據新的使用需求，主動要求匯入更多種數據到CDP。</p> <p>正式上線4至5個月後，行銷人員開始運用更進階的操作，例如設計自動化行銷流程、使用不同數據分析模組等，不需要數據團隊，便能利用CDP來進行更深度的數據分析，以及不同自動化行銷做法。</p> <p><span style="font-size:28px;"><strong>根據數據修正行銷目標及設計跨通路行銷活動</strong></span></p> <p>Line TV用CDP交叉分析多項關鍵用戶數據，包括用戶身分、用戶訂閱方案、購買行為、觀劇種類、點擊、進出站時間、為內容評分的頻率等，發現了過往未曾知曉的用戶行為特徵，可用來調整行銷目標及做法。</p> <p>例如，他們發現免費用戶觀劇時段平均分布在一個月中，觀劇主題有高度關聯性，但訂閱用戶則是一口氣看完高話題性影劇後就會不上線。或者，用戶在不同裝置上，觀看的時段和內容類型也各有偏好。例如用戶常用手機在日間觀看連續劇，電視則用於晚上看電影。這些特徵數據都是認識用戶、修正行銷策略的依據。</p> <p>甚至，啟用CDP分析數據一段時間後，Line TV發現，用戶流失情況比想像中更嚴重，才驚覺，原本以獲取新客為主軸的行銷策略方向不對，因而大幅改為以留存舊客為主。</p> <p>他們重新改以留存用戶為出發點，來分析用戶行為，發現不同訂閱方案的會員，各自有類似流失模式，可以從中找出關鍵溝通時機點和內容，來嘗試增加留存率。例如，在一部劇快看完時對AVOD用戶推薦新劇，或是於訂閱方案快到期時溝通會員權益等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-LINE-%E6%B4%AA%E6%94%BF%E5%81%89-%E6%94%9D%E5%BD%B1.JPG" style="width: 450px;" /></p> <p><span style="color:#696969;"><strong>Line TV用戶增長經理詹博詳表示，導入CDP最大效益是應用數據於行銷所需時間從數周縮短到以日為單位，減少了70%所需時間。</strong></span><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>透過CDP統整數據，使跨通路行銷變得可能</strong></span></p> <p>為了善用CDP的分析工具，Line TV行銷部門也得具備新的能力，需要學習MA（自動化行銷，Marketing Automation）旅程的設計。</p> <p>詹博詳進一步說明，不同行銷通路的成效測量依據、時效性、成本、溝通力度都不同，MA旅程設計是思考，在特定行銷目的下，如何有效搭配Line官方帳號、簡訊、EDM等通路的行銷行為。透過CDP統整不同通路的行銷數據後，他們才開始根據通路特性，來組合出跨通路行銷活動。</p> <p>詹博詳說，Line TV目前有2套重要的MA旅程，一套用來溝通VIP用戶留存，另一套則用來挽回已取消訂閱的流失用戶，這也是他們導入CDP後的重要效益。</p> <p>另外，Line TV還用CDP來支援廣告投放，一面投放廣告，一面追蹤用戶，來調整投放策略，大幅提升了廣告轉換率。</p> <p>進行各式數位行銷同時，他們也利用CDP上的A/B測試模組，來測試行銷成果和驗證自己對用戶的了解。他們會測試用戶的觀劇主題偏好，以及測試對不同用戶族群的有效溝通策略。例如，要推薦影劇內容，還是給予方案優惠，抑或是提醒VIP權益，才能達到最高成效。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-LINE-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Line TV用戶足跡遍布不同通路及裝置，包含桌機瀏覽器網頁、行動網頁、兩大作業系統App，還有電視及Line官方帳號。過往這些數據都散布於不同系統中，如何有效率從企業高度來綜合分析數據、擬定行銷做法，是一大挑戰。</strong><span style="font-size:14px;">圖片來源／Line TV</span></span></p> <p><span style="font-size:28px;"><strong>數據應用彈性及數據價值發掘仍有需求未滿足</strong></span></p> <p>詹博詳坦言，導入CDP後，確實大幅提升數據應用及行銷的效率，不過，CDP並非萬靈丹，實務上仍有4項不足，兩項是彈性不足的問題，另外兩項是進階應用的挑戰。</p> <p>首先，影音串流業行銷活動需要時常更換素材，來跟上快速推陳出新的影視內容。但他們現有的CDP，一旦更換素材，就需要建立新MA旅程，相當不便。目前Line TV只能用增加人工作業來彌補。</p> <p>再來，受限於平臺和數據源，CDP現有資料新鮮度以天為單位來提供，雖然比過去2周為單位的時效性快了許多，但還是很難執行更即時性反應用戶行為的行銷策略，例如用戶出現特定行為，10秒後發送指定行銷訊息。</p> <p>第三項不足是分眾行銷的精準度受限於行銷人員的數據分析能力。就算用AI輔助圈選行銷的受眾，但仍需行銷人員先從數據報表找出模式，人工定義出明確的用戶條件，無法用例如「我想要找高潛力訂閱用戶」這種條件較抽象，但更貼近行銷目標的條件來圈選。最後一項是，Line TV無法進行更精準的定價，他們希望能根據多維度數據，來推出因人而異的賣場或方案，類似於機票平臺動態定價功能。</p> <p>為了深化顧客數據分析的應用，Line TV透過持續A/B測試，讓行銷團隊與數據團隊密切協作，嘗試更多分析專案，一面確認行銷成效，一面逐步微調行銷做法，也持續探索其他AI工具對數據行銷的應用可能性。</p> </div></div></div>
2024/8/9 06:00作者郭又華https://www.ithome.com.tw/news/164364
擁抱容器化與雲端打造靈活IT，東海要推動AIoT打造智慧校園
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提到中部知名的私立大學，相信不少人會想到位於臺中，以秀麗校園環境讓人留下深刻印象的東海大學，這所成立超過一甲子的老牌私立大學，以宗教教育、人文學風聞名，在國內高等教育中占有獨特地位。</p> <p>在理工及科技至上的現代大學教育中，東海大學並沒有在現代教育中落後，該校致力於轉型為人文、科學思維兼具的大學，在占地133公頃的校區，為國內私立學校中面積最大的學校，校園內隨處可見綠樹、草地，濃厚歷史氣息的古樸建築，寧靜校園的背後是看不見的智慧化管理。</p> <p>該校去年將電算中心與圖書館合併為圖書暨資訊處（後面簡稱為圖資處），由過去近十年曾擔任電算中心主任及圖書館長的圖資長楊朝棟帶領，協助東海大學的資訊化、智慧化校園發展。</p> <p><span style="font-size:28px;"><strong>打造智慧校園</strong></span></p> <p>身為資工系終身特聘教授的楊朝棟熱心展示他所帶領的實驗室運用圖資處建置VACS運算資源的最新AIoT研究成果，結合電腦視覺技術及監控畫面，例如圖書館內即時監控影像結合人工智慧影像辨識技術，利用物件偵測模型YOLO，他們測試YOLOv4到v10不同版本，來自動辨識圖書館內即時監控畫面，辨識圖書館內的人或椅子。</p> <p>這項應用不只是圖書館內的影像，還可以串接其他鏡頭的畫面，例如學校大門口的監控影像，用以辨識校門口來往的行人、汽機車，經過特別訓練，甚至還能辨識實習農牧場內的動植物，辨識牧場內被認養的牛隻特徵及位置，或是農作物的生長情形。</p> <p>楊朝棟表示，經過實測，相同的監控畫面，不同版本YOLO模型對物件辨識度存在差異，依照影像畫面品質、訓練資料的完整性，特定場景可能適合使用某個YOLO版本，其他場景則可能適合別的版本，需要經過不斷的測試找出適合使用的模型。他並展示手機拍攝即時影像畫面也能搭配YOLO辨識物品。</p> <p>目前他們已和臺中沙鹿的光田醫院科專合作，利用監視器畫面結合電腦視覺，偵測輪椅數量準備是否足夠，當發現可供使用的輪椅數量不夠時，以Line通知相關人員添加輪椅。另外，東海和臺中榮總合作，以遷移式學習技術辨別病人表情，以此判斷病人的胸痛程度，當判斷病人胸痛程度可能較高時，提醒醫護人員加強照護。</p> <p>因校園占地廣大，涵蓋農牧場、東海湖、教堂，東海建置物聯網加強對校園的環境監測，在校內建置LPWAN低功耗廣域網路通訊，共建置3個LoRa無線通訊基地臺。此外，還有由電信商提供的NB-IoT，搭配開發板開發的物聯網裝置，蒐集戶外環境的感測數據，監測校園內的空氣品質及水質，對於需要取得畫面影像如實習牧場則靠Wi-Fi或4G、5G網路傳輸。</p> <p>由於LPWAN在室內的訊號較差，室內主要靠Wi-Fi無線網路，過去幾年學校已升級至Wi-Fi 5或Wi-Fi 6，但是因應增加的無線網路需求，校方已計畫升級至Wi-Fi 6或6E。</p> <p>學校也特別設計一個智慧校園網頁，涵蓋智慧服務、智慧管理、智慧學校、智慧環境等面向，師生除了數位學習平臺，可以檢視網路管理，結合校園內的物聯網及智慧電表，使用者還可以查詢校園內各個單位用電。</p> <p>由於火力發電廠、工業區、焚化爐造成空氣污染，空氣品質不佳一直是臺中地區面臨的問題，東海也在廣大的校園內各處建置感測器，結合物聯網來監測空氣品質，學生及教職員就能利用智慧校園網頁隨時查詢校內空品，還能查詢環境部、地方環保局空氣盒子偵測的空氣品質。</p> <p><span style="font-size:28px;"><strong>針對校內需求推出生成式AI機器人</strong></span></p> <p>一直以來東海大學予人的印象偏向人文教育，在AI興起之後，這所老字號私立大學也從2018年開始改善軟硬體環境，以提昇AI教學能量，學生在通識教育學習Python程式語言及AI思維，後續則在各個學院專業課程學習AI相關應用。東海自行開發A12Think、A12Code，讓學生學習以電腦科學的流程圖思維方式解決問題，降低寫Python程式碼，來建置基本的AI應用。圖書暨資訊處也負責完備校內AI教學、研究所需的軟硬體環境，建置AI雲端運算資源，今年還建置新的AI電腦教室，採用高階GPU的AI NB。</p> <p>鑑於生成式AI在全球帶動風潮，可以自然語言進行人機對話，生成式AI可針對使用者的提問或要求回應，驅動聊天機器人創新應用，雖然使用者可以免費使用ChatGPT等生成式AI服務，但是東海仍決定基於校內需求，推出自己的生成式AI機器人。</p> <p>為了盡快讓師生能夠使用，當時規畫開發東海的生成式AI機器人，僅有微軟及Google的生成式AI技術能夠選擇，由於當時Google發展起步較晚，最後他們選擇微軟的方案推出機器人，提供對話、翻譯、摘要文字、撰寫文字等等。去年底正式推出生成式AI機器人咚咚妞，包括Teams、Line兩個平臺版本，該機器人是採用微軟Open AI的付費技術，使用者可以與機器人進行文字對話，請求翻譯中英文、摘要、生成內容等等，其中Line版本機器人提供學校師生及校外人士使用，連結東海校園內資訊，使用者可以與Line版機器人以自然語言的方式對話，來查詢校內服務，至於Teams版本機器人需要學校帳號登入，但是可連接外部資料。</p> <p>透過生成式AI機器人，使用者能夠設定主題及條件，要求生成式AI機器人協助撰寫電子郵件內容，或是請機器人協助翻譯老師或學生的論文。由於為付費服務，為避免遭到濫用產生高額費用，校方為這個生成式AI機器人設計總量限制機制。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-CIO-%E6%8A%BD%E8%A8%80-PNG.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>加速圖書館資訊化發展</strong></span></p> <p>圖書館與電算中心合併後，圖資處加速校內的資訊化發展，特別是圖書館業務資訊化程度。</p> <p>傳統上，圖書館業務為圖書館藏、圖書檢索及借還書業務，不論是借還書、書籍整理都仰賴人力，因此圖書館員額編制原本有7個組，後來縮減人力至4個組，到楊朝棟擔任圖資長，目前圖書館員額僅剩2個組，在員額編制不再增加之下，如何提高圖書館資訊化發展，達到節省人力的目的，成為楊朝棟上任後的挑戰。</p> <p>「圖書館的業務已不只有單純的借還書服務，現在提供更多元化的服務」，楊朝棟說，曾任電算中心主任及圖書館館長的他，相當熟悉資訊及圖書業務兩個單位的工作，因此擔任圖資長後，加速推動圖書館資訊化服務，借重電算中心的資訊人力，加速其資訊化發展，例如原本圖書館的數位服務組，在組織調整後改由電算中心服務櫃臺支援，今年7月更進一步推出基於Google Gemini的智慧圖書館員。</p> <p>另外，圖書館也汰換舊版網頁，新網頁提供更多的資訊，除了導入嚮應式設計，圖書館樓層導覽也提供立體樓層導覽，讓師生可以從立體樓層導覽介面中，檢視圖書館內不同樓層資訊，特別的是，這幾年隨著智慧校園發展，校內透過建置IoT物聯網強化校園管理，圖書館各樓層也建置感測器，以蒐集不同樓層的室內空氣品質數據，師生能夠從樓層導覽資訊檢視各樓層的即時空氣品質，包括圖書館內各樓層的溫溼度、二氧化碳濃度。</p> <p>楊朝棟表示，過去圖書館內因為資訊人力有限，必需委托外部廠商協助，然而由於預算有限，圖書館的資訊化工作的推動上相較為緩慢，現在，圖書館與電算中心合併，在電算中心資訊人力協助之下，具備自行開發能力，在愈來愈受到重視的資訊安全方面，也能藉此提高圖書館的資安管理層級。</p> <p><span style="font-size:28px;"><strong>校務系統擁抱容器化及雲端服務</strong></span></p> <p>在校務營運上，由於創校較早，東海大學最初資訊環境是架構在大型主機上，後來轉為伺服器，採用虛擬化架構，2021年開始導入超融合架構，近幾年其校務行政系統開始擁抱容器化，朝向向輕量化發展，並將部分服務遷移到公有雲。</p> <p>圖書館在與電算中心合併之前，因資訊人力有限，只能在傳統主機部署服務，兩個單位合併之後，借助電算中心的人力，將圖書館原有的多媒體視聽資料、特色典藏、電子資料整合等服務部署至雲端，以降低地端主機的維運成本，維運則交由公有雲業者處理。</p> <p>校務行政系統去年開始導入容器化，至今年5月正式轉為容器化架構，完成雲端化的準備。</p> <p>楊朝棟表示，傳統虛擬機耗用比較多的資源，並且使用實體機部署虛擬機，對實體機的依賴較高，採用容器化技術架構，以微服務方式部署，具有輕量化特性，占用的資源比較少，部署也比較快速，並且部署於公有雲，當面臨需求突然增加，可以快速加開容量，增加十倍或上百倍的資源。</p> <p>以選課系統為例，為明顯具有期間性的需求，只有學生選課期間為使用高峰，過去使用虛擬機容易受到網路影響，現在選課系統採用容器化，並且轉移到雲端，可以彈性資源運用滿足使用高低峰的需求變化。</p> <p>然而，東海並未將所有校務系統上雲，學校目前使用甲骨文資料庫，如果要將資料庫也搬上雲，則可能需要花費更多經費在授權費，因此對於高度依賴地端資料庫的部分系統，考慮到和地端資料庫頻繁存取，可能導致較高的費用，部分系統沒有轉移至雲端。</p> <p>目前東海擁抱三大公有雲服務，校內資訊系統大多使用在臺灣境內的本地資料中心，生成式AI機器人、官網分別採用另兩種公有雲服務，以兼顧境內資料中心就近使用、資源彈性運用優勢。</p> <p>電算中心與圖書館合併，肩負校務資訊化發展，「過去IT屬於技術單位，現在則是服務單位，不僅服務面向更廣，且提供售後服務，致力研發新的系統」，楊朝棟對於IT單位扮演的角色轉變有感而發地說。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>東海大學圖書暨資訊處圖資長楊朝棟</strong></p> <p>學歷：交大資訊科學所博士</p> <p>經歷：曾於臺北捷運擔任助理工程師，以國防役身分在國家太空中心擔任副研究員，2001年進入東海大學擔任資工系副教授，歷任教授、終身特聘教授，並曾任軟體工程與技術中心主任、電算中心主任、圖書館長等職務，2023年電算中心與圖書館合併，升任圖資長</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-CIO-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89-600.jpg" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 機關檔案 </span></span></strong></p> <p><strong>東海大學</strong></p> <p>●地址：臺中市西屯區臺灣大道四段1727號</p> <p>●網址：<a href="https://www.thu.edu.tw/">https://www.thu.edu.tw/</a></p> <p>●成立時間：1955年</p> <p>●主要業務：綜合型大學</p> <p>●員工數：2,230人</p> <p>●校長：張國恩</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：圖書暨資訊處圖資長</p> <p>●資訊部門主管姓名：楊朝棟</p> <p>●資訊部門人數：45人</p> <p>●資訊部門分工：處本部、讀者服務組、書刊採編組、數位服務組、系統發展組及資安網路組</p> <p>●IT預算：約8,181萬元（含圖書館）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2018年：LineBot服務上線、iLearn數位學習平臺上線</p> <p>●2019年：東海AI雲平臺2.0上線，校內支援行動支付</p> <p>●2022年：全校導入Google Workspace教育版</p> <p>●2023年：圖書館與電子計算機中心合併為圖書暨資訊處；生成式AI機器人「咚咚妞」正式上線，支援Teams與Line兩大平臺</p> <p>●2024年：推動校務行政系統轉換容器架構，改善主機容量及效能；AI智慧圖書館員服務；建置新的AI NB電腦教室，推動校內AI發展</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1194-cio-she_ying_hong_zheng_wei_.jpg" width="960" height="420" alt="" title="東海大學圖書暨資訊處圖資長楊朝棟　（攝影／洪政偉）" /></div></div></div>
2024/8/9 06:00作者蘇文彬https://www.ithome.com.tw/people/164365
玉山金控揭露兩項金融科技進展，要用微前端、微服務打造新一代行網銀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>玉山金控今日在法說會前記者會揭露，目前正在採用微前端、微服務架構打造新一代行網銀，預計今年能正式完成。另外，針對生成式AI發展，玉山金在有兩個重要發展目標，第一，持續提高數位金融作業時間，「從日轉換到一小時為目標。」第二，持續發展AI副駕駛概念，推出更多輔助員工作業的應用。</p> <p>針對新一代行網銀計畫，玉山金控董事長黃男州點出，加快行網銀技術運用速度，是玉山的重要考量。他解釋，隨著行網銀的重要性提升，技術需求也快速演變，然而，舊有技術的更新速度較慢，難以跟上迅速提升的技術需求。例如，當IT人員要修改行網銀某項功能，須要因應不同平臺，開發多個版本，拖慢了整體更新速度。</p> <p>所以，為了加快行網銀更新速度，提升功能擴充性，玉山銀行數位暨客群處副處長邱雪姿表示，他們正在採用微前端和微服務技術打造新一代行網銀，透過這些技術，能將行網銀的功能個別模組化，讓IT人員僅需針對個別功能進行更新。另外，個別功能模組也會朝向跨平臺化，讓IT人員不需要因應不同平臺開發多個版本。「我們希望採用類似卡片的架構形式，當要修改某個功能，只要抽出其中一張，換上新卡片，就能完成更新。」黃男州則用卡片的例子補充說明。</p> <p>針對生成式AI發展，玉山銀行智能金融處資深副總工程師林鉦育表示，玉山明年生成式AI發展主軸會延續今年的兩大路線，第一，深化AI Agent應用，第二，推廣AI Copilot使用。他解釋，玉山會以穩定、安全服務為目標發展AI Agent，持續提高各項金融作業時間，計算周期也會逐漸從日轉換到一小時。另外，針對協助行員作業的AI Copilot，玉山明年會陸續在理財、程式開發、客服、法遵等場景提供服務。</p> <p></p> </div></div></div>
2024/8/8 19:21作者李昀璇https://www.ithome.com.tw/news/164384
【資安日報】8月8日，黑帽大會首度增設AI議程，趨勢科技展示深偽偵測技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球目光集中在奧運的同時，上週末（8月3日）重量級資安會議黑帽大會Black Hat USA 2024正式在美國拉斯維加斯展開，前4天是資安訓練活動，最後兩天則有超過100場精選議程。</p> <p>其中最吸引眾人注意的安排，是大會前一天舉辦AI Summit研討會，趨勢科技也在上午議程展示偵測深偽（Deepfake）的商用解決方案。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164336"><strong style="font-size: 22px;">Windows智慧應用程式控制與SmartScreen存在漏洞，可被攻擊者輕易繞過</strong></a></p> <p>Elastic安全研究實驗室發現，Windows的智慧應用程式控制（Smart App Control，SAC）和SmartScreen篩選工具存在弱點，可能讓攻擊者在不觸發任何安全警告，或是彈出視窗的情況下，獲得初步的存取權限。</p> <p>研究人員發現了使用程式碼憑證來簽署惡意軟體，繞過智慧應用程式控制的方法。而且在智慧應用程式控制功能出現之前，攻擊者就已經使用這種方法來迴避偵測，最近攻擊者甚至還取得擴充驗證（Extend Validation，EV）來簽署應用程式。</p> <p>他們公開3種方法，用於攻擊基於信譽比對的惡意軟體保護系統，第一是利用良好聲譽的應用程式來繞過安全系統，第二則是將受控制的二進位檔案插入系統中，乍看之下無害，實際卻可以執行惡意行為，這些二進位檔案在初期獲得良好聲譽，使其能夠規避偵測，在適當時機發動攻擊。第三種則是竄改檔案內容，攻擊者利用部分修改並不會影響檔案聲譽的漏洞，進行惡意操作。</p> <p><a href="https://www.ithome.com.tw/news/164367"><strong style="font-size: 22px;">微軟指控達美航空拒絕協助、系統太舊，導致IT難復原</strong></a></p> <p>達美航空<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">（Delta Airlines）</span>在7月19日的CrowdStrike軟體更新事件中，遭遇重大IT停機事故及損失，打算向CrowdStrike求償5億美元。對此，<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">微軟本周選擇站在CrowdStrike同一陣線，指控達美航空拒絕協助，以及該公司的基礎架構太過老舊，才導致IT系統長時間停擺。</span></p> <p>微軟說，從7月19日事發到7月23日之間，他們每天以電子郵件連繫達美航空，表示願意無償提供協助，但皆遭到拒絕。7月24日，微軟執行長Satya Nadella親自聯繫達美執行長Ed Bastian，也未接獲回應。</p> <p>而對於達美航空拒絕微軟的協助，原因很有可能是受影響的系統由其他IT業者提供，而非使用微軟的Azure架構，並認為該航空業者持續延用老舊IT基礎架構而難以復原。</p> <p><a href="https://www.ithome.com.tw/news/164382"><strong style="font-size: 22px;">針對MFT檔案傳輸系統MOVEit零時差漏洞攻擊事故，Progress證實美國證交所對其進行調查</strong></a></p> <p>去年6月爆發的MFT檔案傳輸系統MOVEit Transfer零時差漏洞大規模攻擊，美國證券交易委員會（SEC）傳出10月對Progress發出傳票，對其公司進行調查，最近Progress提交的8-K表單證實此事，並表示調查已經完成，執法單位不會對他們採取法律行動。</p> <p>值得留意的是，Progress並未因此完全解除司法困境，因為他們還是要面對麻薩諸塞州聯邦法院的數百起集體訴訟。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/critical-progress-whatsup-rce-flaw-now-under-active-exploitation/"><strong style="font-size: 20px;">網路監控系統WhatsUp Gold的重大層級漏洞傳出已被用於攻擊行動</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cisa.gov/news-events/alerts/2024/08/07/royal-ransomware-actors-rebrand-blacksuit-fbi-and-cisa-release-update-advisory">勒索軟體駭客Royal東山再起並組成BlackSuit再度犯案，2年內已索討5億美元</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/cloud-espionage-attacks">南亞媒體組織遭到Go語言打造的後門程式GoGra攻擊</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164368"><strong style="font-size: 22px;">研究人員揭露Windows更新機制缺陷，並宣稱能重新引入已修補漏洞</strong></a></p> <p>駭客利用使用者尚未套用更新程式的已知漏洞發動攻擊，可說是極為常見，但乖乖定期安裝更新軟體就能高枕無憂嗎？有研究人員指出，有機會透過「降級（Downgrade）」攻擊手法，從而導致作業系統軟體漏洞再度出現，得以再度利用並危害受害電腦。</p> <p>資安業者SafeBreach的研究人員指出，他們發現一種無法偵測的降級攻擊手法，過程中利用視窗作業系統的自動更新機制Microsoft Update弱點，從而提升權限並繞過各式安全機制，讓完全修補的Windows電腦曝露在原本微軟公布的數千個漏洞風險當中。研究人員強調，這種降級手法不僅無法偵測、難以察覺，甚至有可能無法復原。他們將在Black Hat USA 2024、DEF CON 32兩項資安會議上，展示相關研究成果。</p> <p>針對這些Microsoft Update弱點的發現，研究人員認為，資安界需投入作業系統降級攻擊的相關研究，作業系統供應商也要對此提高警覺。因為他們在過程中，發現微軟並未採取相關的保護措施，來防止重要系統元件被降級，而這樣的威脅，也可能存在於其他作業系統。</p> <p><a href="https://www.ithome.com.tw/news/164374"><strong style="font-size: 22px;">M365網路釣魚防護警示可遮蔽，有心人士可透過CSS樣式表隱藏</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/V07S48S.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/V07S48S.png" style="width: 300px; float: right;" /></a>釣魚郵件攻擊橫行，收信軟體搭配相關的警示機制提醒使用者提高警覺，但這樣的機制也可能被干擾，導致使用者無法看到相關訊息。</p> <p>例如，收信軟體Outlook在用戶收到鮮少往來的電子郵件信箱寄出的信件時，會顯示警告訊息，提醒用戶這封信件可能有問題，這項功能微軟稱做首次聯絡安全提示（First Contact Safety Tip），是Microsoft 365當中的Exchange Online Protection（EOP）及Microsoft Defender提供的釣魚防護機制，如今研究人員發現，攻擊者找到方法隱藏這種警示訊息，增加網路釣魚攻擊成功率。</p> <p>資安業者Certitude指出，微軟將這項警示訊息放置在電子郵件的主體（Body）開頭，攻擊者其實能藉由指定郵件的階層樣式表（CSS）隱藏相關訊息。了實際驗證上述手法可行，他們在寄出的郵件加入特定的CSS樣式表，將背景及字體都變成白色，就能阻止收信人看到警示。</p> <p><a href="https://www.ithome.com.tw/news/164378"><strong style="font-size: 22px;">太陽能發電系統存在重大漏洞，若不修補恐導致大規模停電</strong></a></p> <p>隨著國際局勢日趨緊張，駭客針對關鍵基礎設施下手的情況越來越常見，這類設施的安全也得到更大的重視。最近有研究人員發現，特定廠牌的太陽能發電（PV）系統存在弱點，一旦攻擊者對其下手，後果將不堪設想。</p> <p>資安業者Bitdefender發現Solarman的太陽能發電監控平臺、寧波德業（Deye）的逆變器存在漏洞，採用這些設備的太陽能發電系統橫跨全球逾190個國家、多達1千萬個發電裝置，能夠產生195千兆瓦的電力，占全球太陽能發電五分之一，一旦相關漏洞遭到利用，攻擊者就有機會癱瘓電網，從而導致停電。對此，兩家供應商在接獲通報後，皆著手修補。研究人員也將於DEF CON 32資安會議上，展示他們的研究成果。</p> <p>單就Solarman而言，這家廠商不只生產相關監控系統，也授權其他廠商生產部分發電基礎設施，而且，也有Solarman監控系統搭配其他廠牌逆變器的發電系統，因此漏洞影響範圍將超過上述規模。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.sonarsource.com/blog/government-emails-at-risk-critical-cross-site-scripting-vulnerability-in-roundcube-webmail/"><strong style="font-size: 20px;">郵件伺服器Roundcube存在漏洞，攻擊者可在受害者的瀏覽器執行JavaScript指令碼</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chrome-firefox-updates-patch-serious-vulnerabilities/">Google發布Chrome 127更新、Mozilla推出Firefox 129，修補高風險層級漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164363"><strong style="font-size: 22px;">趨勢科技在黑帽大會展示深偽偵測技術，強調企業需重新設想AI時代的網路風險管理</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/zhu_tu_ai_summit_black_hat_usa_2024_qu_shi_ke_ji_deep_fake.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/zhu_tu_ai_summit_black_hat_usa_2024_qu_shi_ke_ji_deep_fake.jpg" style="width: 300px; float: right;" /></a>AI資安的風險與機會，已是企業生存發展的重要課題，在美國拉斯維加斯舉辦的黑帽大會（Black Hat USA 2024），主要議程於本月7日與8日展開，不過今年黑帽大會有個延伸活動相當特別，那就是AI Summit研討會，於6日搶先登場。趨勢科技也在AI Summit發表演說，宣布推出商用的深偽偵測技術解決方案，也呼籲在AI時代下的資安，需朝向新一代網路風險管理方式發展。</p> <p>事實上，生成式AI的應用與風險持續受到全世界與所有產業的關注，然而，目前絕大多數企業仍不知所措，趨勢科技在黑帽大會對此提出說明，協助企業瞭解有了AI該怎麼管理，並期勉大家要懂得用AI來做風險管理，才能因應未來的局勢。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164356"><strong>【8月7日】法國博物館驚傳遭遇勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164335"><strong>【8月6日】達美航空、CrowdStrike將針對EDR系統大當機事故對簿公堂</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164301"><strong>【8月5日】研究人員公布去年中國駭客APT41攻擊臺灣研究機構的事故</strong></a></p> </div></div></div>
2024/8/8 17:49作者周峻佑https://www.ithome.com.tw/news/164383
太陽能發電系統存在重大漏洞，若不修補恐導致大規模停電
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著國際局勢日趨緊張，駭客針對關鍵基礎設施下手的情況越來越常見，這類設施的安全也得到更大的重視。最近有研究人員發現，特定廠牌的太陽能發電（PV）系統存在弱點，一旦攻擊者對其下手，後果將不堪設想。</p> <p>資安業者Bitdefender發現<a href="https://www.bitdefender.com/blog/labs/60-hurts-per-second-how-we-got-access-to-enough-solar-power-to-run-the-united-states/">Solarman的太陽能發電監控平臺、寧波德業（Deye）的逆變器存在漏洞</a>，採用這些設備的太陽能發電系統橫跨全球逾190個國家、多達1千萬個發電裝置，能夠產生195千兆瓦的電力，占全球太陽能發電五分之一，一旦相關漏洞遭到利用，攻擊者就有機會癱瘓電網，從而導致停電。對此，兩家供應商在接獲通報後，皆著手修補。研究人員也將於DEF CON 32資安會議上，展示他們的研究成果。</p> <p>單就Solarman而言，這家廠商不只生產相關監控系統，也授權其他廠商生產部分發電基礎設施，而且，也有Solarman監控系統搭配其他廠牌逆變器的發電系統，因此漏洞影響範圍將超過上述規模。</p> <p>大致而言，Bitdefender發現的資安漏洞，與憑證（Token）的管理不當，以及傳送過多使用者資訊導致的資料外洩有關。</p> <p>他們發現Solarman平臺有3項漏洞，其中一個是可用來接管帳號的弱點，與OAuth身分驗證有關的API端點可被用來為任意使用者產生適用憑證，攻擊者可藉由JSON有效酬載來控制特定的使用者帳號，進而竄改逆變器的配置而寧波德業的設備也存在相同的弱點。</p> <p>另一個則是憑證重複使用的情況，研究人員發現由寧波德業雲端平臺簽章的憑證，竟然也能在Solarman使用，並能完全存取相同ID的使用者帳號，若是使用者並未採取相關隔離措施，這種情況有可能導致廣泛的未經授權存取。</p> <p>Solarman平臺的第三個漏洞，則是在API端點回傳過多企業組織資訊的情況，而有可能曝露電子郵件信箱及電話號碼等個資，攻擊者可試圖收集相關資訊用於後續攻擊，甚至串連前述可接管帳號的漏洞，掌握太陽能發電裝置的地理位址與產生電力的能力。</p> <p>至於寧波德業的設備資安漏洞，不只是前述接管帳號的弱點，還包含其他兩項漏洞。其中一個是帳密寫死弱點，攻擊者可藉由特定帳號得到相關憑證，並能對所有裝置進行存取。</p> <p>另一個則是在特定的API端點上，研究人員發現回傳過多使用者個資的情況，而能用來洩露相關資料。</p> </div></div></div>
2024/8/8 16:34作者周峻佑https://www.ithome.com.tw/news/164378
針對MFT檔案傳輸系統MOVEit零時差漏洞攻擊事故，Progress證實美國證交所對其進行調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年6月爆發的MFT檔案傳輸系統MOVEit Transfer零時差漏洞大規模攻擊，美國證券交易委員會（SEC）傳出10月對Progress發出傳票，對其公司進行調查，<a href="https://www.sec.gov/Archives/edgar/data/876167/000087616724000138/prgs-20240806.htm">最近Progress提交的8-K表單證實此事</a>，並表示調查已經完成，執法單位不會對他們採取法律行動。</p> <p>值得留意的是，Progress並未因此完全解除司法困境，因為他們還是要面對<a href="https://www.mad.uscourts.gov/caseinfo/multi-district-litigation.htm#:~:text=MDL%203083%3A%20In%20Re%3A%20MOVEit%20Customer%20Data%20Security%20Breach%20Litigation">麻薩諸塞州聯邦法院的數百起集體訴訟</a>。</p> <p>事實上，MOVEit Transfer資安事故受害規模相當大，<a href="https://www.emsisoft.com/en/blog/44123/unpacking-the-moveit-breach-statistics-and-analysis/">根據資安業者Emsisoft的統計</a>，截至今年6月28日，他們確認有2,773個企業組織受害，95,788,491人個資外洩。</p> </div></div></div>
2024/8/8 16:59作者周峻佑https://www.ithome.com.tw/news/164382
M365網路釣魚防護警示可遮蔽，有心人士可透過CSS樣式表隱藏
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>釣魚郵件攻擊橫行，收信軟體搭配相關的警示機制提醒使用者提高警覺，但這樣的機制，也有機會被動手腳，讓使用者無法看到相關訊息。</p> <p>例如，收信軟體Outlook在用戶收到鮮少往來的電子郵件信箱寄出的信件時，會顯示警告訊息，提醒用戶這封信件可能有問題，這項功能微軟稱做首次聯絡安全提示（First Contact Safety Tip），是Microsoft 365當中的Exchange Online Protection（EOP）及Microsoft Defender提供的釣魚防護機制，如今研究人員發現，攻擊者有機會隱藏這種警示訊息，使得網路釣魚攻擊的成功機率增加。</p> <p><a href="https://certitude.consulting/blog/en/o365-anti-phishing-measures">資安業者Certitude指出</a>，微軟將這項警示訊息放置在電子郵件的主體（Body）開頭，這意味著攻擊者有機會藉由指定郵件的階層樣式表（CSS）來隱藏相關訊息。他們進行概念性驗證展示，在寄出的郵件加入特定的CSS樣式表，將背景及字體都變成白色，使得收信人不會看到有關的警示訊息。</p> <p><a href="https://s4.itho.me/sites/default/files/images/V07S48S.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/V07S48S.png" style="width: 580px;" /></a></p> <p>研究人員進一步對郵件進行更改，讓郵件看起來像是經過加密及簽章處理，而具有Outlook加上的圖示，而達到幾可亂真的效果。</p> <p>雖然這兩種手法並不完美，較為細心的收信人有機會察覺異狀而提高警覺，但研究人員認為，這樣的做法還是會讓許多粗心的使用者上當，而讓攻擊者能夠得逞，以便執行下一步的攻擊行動。</p> <p>對此，Certitude今年2月通報相關發現，微軟確認並肯定研究人員揭露的缺陷，並表示因為不符合立刻進行處理的標準，他們暫時不會進行處理，但將會作為未來改進產品的參考。</p> </div></div></div>
2024/8/8 15:39作者周峻佑https://www.ithome.com.tw/news/164374
研究人員揭露Windows更新機制缺陷，並宣稱能重新引入已修補漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客利用使用者尚未套用更新程式的已知漏洞發動攻擊，可說是極為常見，但乖乖定期安裝更新軟體就能高枕無憂嗎？有研究人員指出，有機會透過「降級（Downgrade）」攻擊手法，從而導致作業系統軟體漏洞再度出現，得以再度利用並危害受害電腦。</p> <p>資安業者SafeBreach的研究人員指出，<a href="https://www.safebreach.com/blog/downgrade-attacks-using-windows-updates/">他們發現一種無法偵測的降級攻擊手法</a>，過程中利用視窗作業系統的自動更新機制Microsoft Update弱點，從而提升權限並繞過各式安全機制，讓完全修補的Windows電腦曝露在原本微軟公布的數千個漏洞風險當中。研究人員強調，這種降級手法不僅無法偵測、難以察覺，甚至有可能無法復原。他們將在<a href="https://www.blackhat.com/us-24/briefings/schedule/index.html?_gl=1*172n0ga*_gcl_au*NjM0MTYzNjI0LjE3MTU3MDMxMTU.#windows-downdate-downgrade-attacks-using-windows-updates-38963">Black Hat USA 2024</a>、<a href="https://defcon.org/html/defcon-32/dc-32-speakers.html#54522">DEF CON 32</a>兩項資安會議上，展示相關研究成果。</p> <p>基本上，降級攻擊並非全新手法，已有駭客用於實際行動。研究人員提及去年出現的UEFI Bootkit惡意程式BlackLotus，駭客在攻擊過程裡，就是藉由這種手法，將Windows開機管理程式還原成含有CVE-2022-21894的版本，從而繞過安全開機（Secure Boot）的機制。</p> <p>針對這些Microsoft Update弱點的發現，研究人員認為，資安界需投入作業系統降級攻擊的相關研究，作業系統供應商也要對此提高警覺。因為他們在過程中，發現微軟並未採取相關的保護措施，來防止重要系統元件被降級，而這樣的威脅，也可能存在於其他作業系統。</p> <p>再者，他們認為無論功能有多舊，開發作業系統的團隊應該不厭其煩地審查所有設計的功能，因為，這次研究人員能夠藉由虛擬化堆疊機制達成降級攻擊，原因就與虛擬化安全（Virtualization-Based Security，VBS）的設計缺陷有關，而這項功能已推出接近十年，換言之，研究人員利用的缺陷有可能在這段期間遭到濫用。</p> <p>研究人員分析了Microsoft Update更新機制的流程，打造名為Windows Downdate的降級工具，並展示將名為AFD.sys的核心驅動程式降級為存在漏洞的舊版本，從而用來達到作業系統核心層級的程式碼執行攻擊。</p> <p>對此，SafeBreach於今年2月向微軟通報漏洞，這些漏洞包含了Windows更新堆疊權限提升，以及Windows安全核心模式的權限提升弱點，分別登記為CVE-2024-38202、 CVE-2024-21302，CVSS風險評分為7.3、6.7，但值得留意的是，事隔半年，這些漏洞尚未得到修補。</p> <p>微軟也對研究人員揭露的漏洞提出說明，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38202">CVE-2024-38202存在於Windows備份機制</a>，使得擁有基本權限的使用者能夠藉此VBS存在弱點的舊版元件。他們認為攻擊者需要與特權使用者進行互動，才有機會成功利用漏洞。</p> <p>而對於另一個漏洞CVE-2024-21302，微軟則是指出<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21302">存在於所有支援VBS的視窗作業系統</a>，攻擊者可在取得管理員權限的情況下，將系統檔案更換成舊版，而能重新引發漏洞，並有機會外洩由VBS保護的資料。</p> <p>針對尚未發布相關更新的原因，<a href="https://www.bleepingcomputer.com/news/microsoft/windows-update-downgrade-attack-unpatches-fully-updated-systems/">微軟透露正在著手製作更新程式</a>，一旦使用者套用，將會撤銷舊版的VBS系統檔案來減少攻擊面，但因為影響檔案數量龐大，他們需要較多時間測試。</p> </div></div></div>
2024/8/8 12:52作者周峻佑https://www.ithome.com.tw/news/164368
微軟指達美航空拒絕協助、系統太舊導致IT潰敗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周在CrowdStrike和達美航空（Delta Airlines）因IT停機事件的爭執中選擇站在CrowdStrike同一陣線，指達美航空拒絕協助以及基礎架構太過老舊等遠、近因，才導致長時間IT系統無法回復。</p> <p>達美航空在7月19日的CrowdStrike軟體更新事件中，遭遇重大IT停機事故及損失。達美公司上個月指出，受到CrowdStrike軟體引發Windows系統當機影響，逾40,000臺Windows伺服器必須手動重啟，其中一個和追蹤機組人員相關的工具無法處理這次變更造成的系統負荷。最終，該公司和旗下航空超過3,500個航班取消，以及數千班次延遲，並且必須賠償7月19日到28日的旅客損失。</p> <p>這家航空公司公開歸咎外，也計畫向CrowdStrike求償5億美元。但CrowdStrike上周<a href="https://www.ithome.com.tw/news/164312" target="_blank">反擊</a>，指達美推卸責任，試圖將罪過全部推給CrowdStrike。</p> <p>達美航空可能也聯繫了微軟，因此微軟方面本周回信達美航空的代表律師David Boies反擊。Boies以21世紀初美國司法部控告微軟一案成名。他<a href="https://www.cnbc.com/2024/07/29/delta-hires-david-boies-to-seek-damages-from-crowdstrike-microsoft-.html" target="_blank">獲聘</a>向CrowdStrike求償。在信中，微軟代表律師對接到信件表達驚訝，指出達美一開始就拒絕外界協助。</p> <p>微軟說，從事發當日7月19日起到7月23日，微軟員工天天以電子郵件連繫達美航空，表示願意無償提供協助，但皆遭到拒絕。7月22日在許多航空公司已回復時，微軟再度連繫達美，又接到達美航空員工回覆微軟「All good.」加以拒絕。7月24日，甚至微軟執行長Satya Nadella都向達美執行長Ed Bastian發信，也未接獲回應。</p> <p>微軟相信，達美航空拒絕微軟協助，顯然是因為其無法重置的IT系統，包括機組人員追蹤及排程系統，是由其他科技業者如IBM提供，跑在這些業者的系統，而非微軟Windows或Azure上。微軟又說，經過持續調查，微軟了解到何以其他航空公司能比達美航空更快更早全面恢復運作。達美航空似乎沒有為了客戶或乘客利益現代化其IT基礎架構。</p> <p>微軟聲稱，Windows是開放系統，支援第三方開發商如CrowdStrike，第三方軟體得以開發核心驅動程式，而為兼顧安全和韌性，第三方程式可使用核心模式驅動程式在啟動過程保護Windows系統，而這些程式也必須兼顧安全和韌性。</p> <p>最後，微軟說，面對達美航空的「虛偽和傷害性公開陳述」，如果該公司選擇循法律途徑，微軟也將積極捍衛立場。除了達美外，CrowdStrike已經因這次事件被一家法人股東提告。</p> <p>達美航空本周對媒體<a href="https://www.pcmag.com/news/microsoft-delta-struggled-after-crowdstrike-crash-because-outdated-it-infrastructure" target="_blank">指出</a>，該公司在IT投資數十億美元，每年在IT營運支出也高達數十億美元，暗示並不像微軟所說未現代化IT系統。</p> </div></div></div>
2024/8/8 12:21作者林妍溱https://www.ithome.com.tw/news/164367
你還記得或曾聽過在DOS下運作的WordStar嗎？粉絲重新免費釋出WordStar 7.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾獲得雨果獎（Hugo Award）、星雲獎（Nebula Award）與其它眾多科幻小說獎項的加拿大作家Robert Sawyer，在上周釋出了WordStar 7.0 Archive。WordStar是MicroPro在1978年所發表的文字處理程式，主要在MS-DOS平臺上運作，MicroPro在1993年就解散了，最後一個WordStar版本即為7.0。身為WordStar粉絲的Sawyer整理了最後一個版本及相關的手冊，供外界免費<a href="https://sfwriter.com/ws7.htm" target="_blank">下載</a>。</p> <p class="rtecenter"><a href="http://sfwriter.com/ws7.htm" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0808-WordStar-by%20Robert%20J_%20Sawyer-2.jpg" style="width: 500px;" /></a></p> <p>DOS時代的文字處理程式都是採用命令列介面，而WordStar則是第一款提供郵件合併及文本所見即所得（WYSIWYG）的文字處理器，還能夠自動換行，標記頁面分隔位置，亦可同時打開與編輯多個文件。除了MS-DOS之外，WordStar也支援CP/M、Apple II 與IBM PC，而成為當時最受歡迎的文字處理程式之一。 </p> <p>在個人電腦邁入Windows時代之後，雖然MicroPro曾經開發WordStar for Windows版本，但並未受到青睞，也不敵當時的Microsoft Word與WordPerfect，再加上MicroPro態度與策略上的失誤，而令WordStar逐漸式微。</p> <p>然而，就算MicroPro已經解散，WordStar停留在7.0，無人維護或更新，卻依然有死忠用戶，例如《冰與火之歌》（A Song of Ice and Fire）及《權力的遊戲》（Game of Thrones）的作者George Martin在2020年時宣稱，他還在一臺裝了DOS的電腦上以MicroPro 4.0進行創作。專門寫吸血鬼故事的小說家Anne Rice也是WordStar的愛用者，曾說WordStar是合乎邏輯的，完美的，相較之下，Microsoft Word純粹是瘋狂。</p> <p>而Sawyer更說，WordStar是世界上最好的文字處理程式，他所有的25部小說都是用WordStar寫的，就算MicroPro早就解散，WordStar已被棄置，但他還是在使用它。有鑑於迄今仍缺乏一個完整的網路檔案來記錄WordStar最終版本與所有的使用手冊，因此他花了幾周來整理它們，並開放下載。</p> <p>Sawyer集結成檔的WordStar 7.0 Archive含有可完整安裝的WordStar程式，以及已打包成可搜尋之PDF檔的7本操作手冊，這些手冊總計超過1,000頁，另有兩個隨插即用的套件，分別採用DOSBox-X及vDosPlus模擬器，以於Windows上執行WordStar。Linux與macOS用戶也可採用其它的DOSBox-X版本來安裝WordStar 7.0 。</p> <p>由於Sawyer嘗試彙整所有可用的WordStar資源，包括CompuServe WordStar論壇上的內容在內，使得WordStar 7.0 Archive的檔案大小多達700MB，內含超過3,600個檔案。</p> <p>Sawyer表示，除了他非常喜歡WordStar之外，也為了那些曾以WordStar寫作卻已不在人世的作家。他希望若有天他離開了，他的遺囑執行人也能在自己的電腦上處理他的電子手稿。</p> </div></div></div>
2024/8/8 13:00作者陳曉莉https://www.ithome.com.tw/news/164369
Reddit將測試AI搜尋結果頁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Reddit本周表示，將在今年測試AI搜尋結果頁服務，加入Google及OpenAI的行列。</p> <p>Reddit執行長Steve Huffman本周在財報會議上<a href="https://www.engadget.com/social-media/reddit-ceo-teases-ai-search-features-and-paid-subreddits-225636988.html" target="_blank">對投資人表示</a>，今年稍晚，該公司將開始測試以AI為基礎的新搜尋結果頁，能摘要重點，並推薦搜尋內容，協助用戶更深入了解產品、遊戲或發現Reddit上的新社群。除了AI搜尋結果外，Reddit也透露會有付費版subreddit的服務規劃。</p> <p>Reddit即將測試的AI搜尋頁是在輸入關鍵字詞後，搜尋結果清單最上方呈現、由AI生成的摘要內容。這摘要可幫助用戶更快掌握重點，便於進一步探究。Hoffman並未說明測試何時開始，但表示會同時使用自行開發及第三方業者開發的模型。</p> <p>Reddit這項AI搜尋結果服務會使用何種營收模式，或是使用哪些模型還不明朗，但是可望是Reddit在今年3月正式股票公開發行（IPO）後，創新服務與拓展營收的最新嘗試。今年5月Reddit和OpenAI<a href="https://www.ithome.com.tw/news/162945" target="_blank">簽定</a>合作，允許OpenAI可使用Reddit平臺內容訓練AI模型，並透過API存取把Reddit內容帶到ChatGPT及其它新產品提供給用戶，或讓OpenAI的工具「更好地理解與呈現Reddit內容」。在此之前，Reddit也同意讓Google合法使用其平臺內容訓練AI。</p> <p>AI搜尋結果頁也是新興的AI服務。Google已公布能提供AI生成答案的AI Overview，只是正在努力修正<a href="https://www.ithome.com.tw/news/163138" target="_blank">給出</a>離譜搜尋建議的錯誤。微軟也在本月初<a href="https://learn.microsoft.com/en-us/microsoft-copilot-studio/nlu-boost-node" target="_blank">提供</a>了一項Copilot開發功能，可讓Copilot加值應用結合Bing搜尋結果，為用戶生成摘要內容。</p> <p>另一方面，OpenAI上個月<a href="https://www.ithome.com.tw/news/164147" target="_blank">公布</a>了SearchGPT原型，也將加入戰局。SearchGPT號稱使用來自網路的最新資訊，快速且直接地回答用戶問題，協助他們更快、更輕鬆地找到想要的內容，也會提供相關資訊的來源連結。</p> </div></div></div>
2024/8/8 12:05作者林妍溱https://www.ithome.com.tw/news/164366
趨勢科技在黑帽大會展示深偽偵測技術，強調企業需重新設想AI時代的網路風險管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【拉斯維加斯直擊】AI資安的風險與機會，已是企業生存發展的重要課題，在美國拉斯維加斯舉辦的黑帽大會（Black Hat USA 2024），主要議程於太平洋時區8月7日與8日展開，不過今年有一個新的特色，本屆大會首度舉行AI Summit研討會，已於太平洋時區8月6日率先登場。趨勢科技也在AI Summit上午議程發表演說，成為本場活動的焦點之一，</p> <p>該公司不僅宣布推出商用的深偽偵測技術解決方案，也呼籲在AI時代下的資安，需要朝向新一代網路風險管理方式發展。</p> <p>事實上，生成式AI的應用與風險持續受到全世界與所有產業的關注，然而，目前絕大多數企業仍不知所措，趨勢科技在黑帽大會對此提出說明，協助企業瞭解有了AI該怎麼管理，並期勉大家要懂得用AI來做風險管理，才能因應未來的局勢。</p> <h3><strong>企業需對3大不受控的AI風險做好準備</strong></h3> <p>回顧企業IT十年變局，在2010年代，雲端運算與數位轉型興起，大家聚焦於雲端的發展與保護，到了2020年代，AI與自動化的興起，所有的發展與保護則是圍繞在這些技術而進行。趨勢科技執行長陳怡樺在本場演說中首先登場表示。</p> <p>而我們從近年趨勢科技的發展路線來看，的確也是隨著AI驅動而發展，不論是Security for AI，或是AI for Security。</p> <p>現今有那些AI風險最需關注？趨勢科技產品管理副總經理Rachel Jin（金靜秀）特別提到兩個層面。</p> <p>她首先指出，大家需要為不受控管的AI（Rogue AI）做好準備，這樣的新風險以手段來區分，可分成三種類型，包括：</p> <p>第一種是顛覆式的脫離控制（Subverted Rogues），聚焦於AI系統服務的攻擊，通常採用的手段就是提示注入（Prompt injection），以及AI越獄（Jailbreak AI），以掌控LLMs。以提示注入而言，指的是透過操縱LLMs的輸入或提示來利用其漏洞的攻擊類型，以AI越獄而言，是可導致防護圍欄失效的技術，造成系統違反原本規範的策略。</p> <p>第二種是惡意的脫離控制（Mailcious Rogues），這是指在作業系統上部署惡意，可竊取電腦上的資源。簡單來說，這種偏向傳統惡意程式，但是在AI時代產生的。</p> <p>第三種是意外的脫離控制（Accidental Rogues），這是指人為犯錯導致的異常，像是設定不當、人為疏失等造成的風險。</p> <p>上述這方面的威脅已獲得重視，從今年年初開始，我們看到已有許多科技大廠發展AI Gateway這種類型的產品，趨勢也不例外。</p> <h3><strong>正式公開Deepfake檢測功能的資安防護應用形式，將透過他們的產品提供一般使用者與企業用戶</strong></h3> <p>另一個層面是談論已久的深度偽造（Deepfake）技術的威脅，儘管這個問題重視已久，這幾年來Deepfake技術門檻也在持續降低，但是，如何有效應對一直是大家都在關心的問題</p> <p>事實上，在前幾年，我們就看到一些科技大廠發起Deepfake偵測競賽，就是希望大家發展這方面的防護技術，鼓勵開發出偵測模型以辨識惡意偽造的影片。因為這不僅影響企業，Deepfake的虛假資訊也可能用於影響政治、社會、軍事或經濟。</p> <p>特別的是，趨勢科技在這方面已有新的突破，日前他們正式宣布推出深偽偵測技術的解決方案，提供給一般使用者的Trend Micro Deepfake Inspector，而在企業端產品方面，後續Trend Vision One平臺也將提供此一深偽偵測技術，已支援多種視訊會議產品的偵測，讓使用者可在用戶端Agent中啟用這項功能。</p> <p>在本場演說中，Rachel Jin就特別展示這方面的攻擊情境，例如，攻擊者先是藉由生成式AI快速建立網釣郵件，接著用Deepfake技術快速偽造一家公司財務長與高階主管的長相，讓參加視訊會議的人僅憑肉眼無法分辨出有偽造的情形。但在深偽偵測技術之下，將可在視訊會議進行時，自動辨識出Deepfake技術並跳出通知，通知企業使用者目前召開的視訊會議中，有會議成員可能是假的，是透過Deepfake偽造的。</p> <h3><strong>代理式AI發展將進一步強化AI資安，網路風險管理也成資安維運的全新主軸</strong></h3> <p>由於AI資安還在持續演進發展中，若從整體來看，企業現在應具備甚麼樣的觀念？Rachel Jin表示，大家不僅需要了解AI風險，也要有新一代網路風險管理的觀念。</p> <p>她希望大家想一想，隨著AI時代的開展，我們難道還要繼續使用傳統的SIEM、傳統的SOAR，以及傳統的網路風險管理方法？</p> <p><a href="https://s4.itho.me/sites/default/files/images/(圖1)AI Summit Black Hat USA 2024_趨勢科技Deep fake_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)AI%20Summit%20Black%20Hat%20USA%202024_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80Deep%20fake_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>原因在於，AI本身也有世代差異，例如，傳統生成式AI在資安上的應用，大多是對話式導向，但現在發展的代理式AI（Agentic AI），比起傳統生成式AI有很大不同，不論是在使用者體驗，威脅防禦、風險緩解，都將有更好的效益。</p> <p>以使用者體驗為例，傳統生成式AI的做法，只是從連接到後端資訊檢索系統的聊天機器人來取得資料，而代理式AI的作法，將是目標驅動的解決方案助手，能夠跨領域解決問題，也可以根據用戶目標與環境自行定義自動化規則，甚至主動發送發送批准通知。</p> <p>換言之，對話式AI助理只是第一步，利用代理式AI可以幫助推理、整合所有資料，讓企業以更好的方式管理網路安全，才能真正掌控資料，而不僅僅是保存資料。</p> <p>而且，趨勢科技現在更強調的是，要從網路風險管理角度去切入，此舉明顯呼應近年網路安全治理的態勢，幫助資安人員與企業高層的溝通。這並非特例，前陣子我們介紹NIST CSF網路安全框架，就已經提到此一態勢。</p> <p>綜觀這些變化，不只網路安全框架有這樣的新轉變，強調從網路安全治理出發，提升風險管理的高度，從產品技術資安業者來看，趨勢科技也預期在代理式AI與各項資安產品的結合發展下，要朝向網路風險管理去發展。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)AI%20Summit%20Black%20Hat%20USA%202024_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80Deep%20fake_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <h3><strong>2024年的AI與資安發展，從兩大面向思考</strong></h3> <p>關於Deepfake的現實威脅發生的態勢，以及AI世代的企業資安風險管理，與過去的資安風險管理有何重要區別？</p> <p>Rachel Jin演講結束後，也回答我們現場提出的這些問題，她指出，一年之前很少有企業認為需要分辨Deepfake的防護機制，但在2024年初之後有了明顯轉變，首先是傳出Deepfake技術確實讓BEC威脅更升級的真實事件，一名跨國企業員工由於駭客寄送釣魚郵件、假冒總部財務長召開視訊會議，遂依照指示轉帳，事後向總公司確認才發現上當，被騙走2億港幣，這項消息被香港警方曝光，接著是大約半年前，趨勢科技開始發現，有一些客戶提到他們需要這類型解決方案，因為他認為員工們並沒有辦法識別是否為Deepfake。</p> <p>對於AI世代的企業資安風險管理差異，Rachel Jin認為可從兩大面向來看待，一是當企業有了AI要怎麼管理，另一是要用AI來做風險管理。</p> <p>以前者而言，當企業開始使用生成式AI，好處是效率提高，但相關風險也伴隨而來，因此我們需要相應的解決方案。</p> <p>例如，過去有Shadow IT的問題，現在也是會有Shadow AI的問題，企業如何知道員工是否使用企業允許的AI，還有先前提到的提示注入與越獄，以及敏感資料洩露的風險。</p> <p>還有一個較特別的場景是，現在許多企業可能會訓練自己的模型，因此，當企業組織要建立LLM，就需要建立自己的資料中心，這時企業必須重視AI資料中心的保護，而且是要重視五大層面的保護，包括：資料、模型、應用程式、使用方式、基礎架構。</p> <p>另一個面向是要用AI來做風險管理，例如趨勢科技去年6月推出Companion AI資安助理，但這只是第一步。</p> <p>未來隨著代理式AI的應用發展，不僅可借助AI異動關聯出攻擊路徑，更重要是能從前30天內的攻擊路徑，預測出接下來會發生什麼樣的攻擊。換言之，過去是事件發生才去阻擋，未來將轉型成更為主動的行為，能夠及早建立緩解計畫。再者，過去要產生SOAR的自動化腳本，其實很花時間，現在用AI將會變得相當不一樣，AI將驅動著各式資安產品轉型。</p> <p>Rachel Jin強調，AI將會徹底顛覆以前的資安管理方式，所以AI時代下，大家需要新一代的網路風險管理。至於趨勢科技為何現在會從風險管理角度切入，這主要基於先前發展攻擊面風險管理（ASRM）解決方案的經驗，察覺企業高層關心的重點在於風險，這會是很好的溝通方式。</p> <p>據了解，在Trend Vision One平臺上，隨著代理式AI可以快速統整更多資訊，趨勢科技之後也將在管理介上，從風險角度出發，讓資安高層也能知道可能風險損失指標，有利於跟董事會報告。而這種作法，似乎也呼應了趨勢科技所強調的網路風險管理的發展方向。</p> <p> </p> </div></div></div>
2024/8/7 20:48作者羅正漢https://www.ithome.com.tw/news/164363
OpenAI API新增結構化輸出功能，精確輸出JSON資料格式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在其API中加入<a href="https://openai.com/index/introducing-structured-outputs-in-the-api/">結構化輸出（Structured Outputs）功能</a>，確保模型生成的輸出，能夠完全符合開發者所提供的JSON結構。這項功能可被用於建構爬蟲等工具，透過功能呼叫抓取需要的資料，從非結構化資料中擷取結構化資料，並根據這些資料回答用戶問題，對於資料輸入和處理情境非常有用。</p> <p>雖然之前OpenAI就已經在API推出JSON模式，試圖更好地提供結構化的資料，讓開發者能夠用於建構可靠的應用程式，但是雖然JSON模式可以提高JSON檔案輸出的可靠性，但是卻不能保證模型的回應能夠完全符合特定的結構。</p> <p>而OpenAI API新加入的結構化輸出功能，便能準確地回應開發者對JSON檔案的需求，避免需要使用開源工具、提示並反覆試錯來要求模型輸出符合需求的格式。官方提到，結構化輸出透過約束OpenAI模型來符合開發者的結構，並訓練模型更好地理解複雜JSON結構以解決這個問題。</p> <p>OpenAI API提供兩種結構化輸出使用方式，以符合開發者提供的JSON結構，第一種是功能呼叫，適用於所有支援工具的模型，開發者在功能定義中設定strict:true，就能啟動結構化輸出功能。第二種則是開發者可以在response_format參數中使用新的json_schema選項，這適用於在模型不呼叫工具，而是以結構化方式回應用戶的情境。</p> <p>目前OpenAI已經更新Python和Node SDK，原生支援結構化輸出，這代表開發者可以像是使用Pydantic或是Zod物件一樣，簡單地提供工具的結構或回應格式，SDK將會自動處理資料型別轉換，將開發者的資料型別轉換為支援的JSON結構。</p> </div></div></div>
2024/8/7 21:33作者李建興https://www.ithome.com.tw/news/164349
Flutter 3.24大更新強化GPU渲染與多平臺支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://medium.com/flutter/whats-new-in-flutter-3-24-6c040f87d1e4">Flutter 3.24</a>迎來許多新功能和改進，除了框架和介面操作本身有許多更新之外，多項渲染相關的功能都獲得強化，像是渲染引擎Impeller效能強化，官方還推出Flutter GPU低階繪圖API，支援更複雜的圖形應用。</p> <p>渲染引擎Impeller獲得一系列文字渲染效能改進，像是文字的粗細、間距和字距調整的顯示品質都已經與傳統渲染器相當，另外表情符號的滾動效能也有提升，解決了頁面滾動時大量表情符號造成卡頓的現象。</p> <p>不過，Impeller要上到Android作業系統則還需要再等等，因為Android 14上的臭蟲，影響了Platform Views API的使用，導致Impeller在Android上的預覽期延長。雖然目前這個臭蟲已經被修復，但是由於許多已部署的裝置，仍會持續執行未修復的Android版本一陣子。官方為了要確保Flutter能在廣泛的裝置上順利運作，預告在今年稍晚的穩定版本，才會將Impeller設為預設渲染器。</p> <p>Flutter 3.24加入稱為Flutter GPU的低階繪圖API，允許開發者使用Dart程式碼，以及GLSL著色器創建自定義渲染器，而且不需要用到任何原生平臺的程式碼。Flutter GPU擴展了可以直接在Flutter中渲染的內容，支援創建複雜的進階圖形和3D場景，這對於像是遊戲或是視覺化工具，需要高效能繪圖渲染的應用非常有用。</p> <p>Flutter GPU的渲染功能依賴Impeller渲染引擎，其提供的繪圖API讓開發者可以完全控制渲染過程的各個階段，其提供的靈活性，對於創建複雜的解決方案非常重要。目前Flutter GPU支援iOS、macOS和Android，官方計畫在未來推展到所有Flutter支援的平臺。</p> <p>Flutter也強化了對網頁平臺的支援，新增Web多視圖嵌入功能，這讓開發者可以將內容同時渲染到不同的HTML元素中，實作靈活的網頁應用。Web多視圖嵌入功能可動態添加和移除視圖，並支援每個視圖自定義初始資料，適合像是儀表板、資料視覺化、互動式多媒體內容等複雜的網頁應用。</p> <p>還有一項對iOS與macOS開發者的好消息，Flutter 3.24開始初步支援Swift Package Manager，這介接了Flutter擴充與Swift套件生態系，且由於Swift Package Manager與Xcode綑綁在一起，開發者使用Flutter開發Apple平臺應用，便不再需要安裝Ruby和CocoaPods。</p> </div></div></div>
2024/8/7 21:41作者李建興https://www.ithome.com.tw/news/164361
【資安日報】8月7日，法國博物館驚傳遭遇勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>奧運賽事正如火如荼進行，臺灣也有不少選手獲得佳績，但在此同時，提供擊劍和跆拳道比賽場地的法國巴黎大皇宮（Grand Palais Rmn），傳出遭遇網路攻擊，當地媒體取得知情人士的說法，這起事故是勒索軟體攻擊，駭客疑似打算向博物館索討贖金。</p> <p>不過，由於所有的博物館及奧運賽事皆正常運作，這樣的說法隨即就遭到否認，其中一個被點名的博物館羅浮宮出面反駁，他們並未遭遇勒索軟體攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164345"><strong style="font-size: 22px;">法國博物館傳出遭遇勒索軟體攻擊，但遭到相關單位否認</strong></a></p> <p>正當奧運在法國舉行之際，法國巴黎大皇宮（Grand Palais Rmn）<a href="https://presse.rmngp.fr/le-grandpalaisrmn-vise-par-une-cyberattaque/">證實</a>在8月3到4日晚間遭遇網路攻擊，他們的技術團隊全面動員因應，並尋求法國網路安全局（ANSSI）、文化部協助調查並重建網路環境。他們強調營運並未受到影響，即將於11日舉行的奧運賽事會正常進行，該機構管理的36家博物館及其精品商店均正常運作，而且，目前尚未發現駭客存取內部資料的跡象。但當地媒體取得知情人士的說法，這很有可能是勒索軟體攻擊事故。</p> <p>最早報導此事的媒體是巴黎人報（Le Parisien），他們在8月5日指出，攻擊者加密數個博物館的財務資料，而且資料已經外流，並打算索討贖金，這些博物館包含了羅浮宮。對此，羅浮宮幕僚長Matthias Grolier聲稱，他們沒有遭遇勒索軟體攻擊。</p> <p><a href="https://www.ithome.com.tw/news/164347"><strong style="font-size: 22px;">新加坡1.3萬學生上課用平板筆電停擺，原因是數位教室管理平臺Mobile Guardian遇駭</strong></a></p> <p>專攻教育市場的行動裝置管理（MDM）方案業者Mobile Guardian發布資安公告，表示他們在8月4日遭遇資安事故，導致列管的iOS及ChromeOS裝置遭到未經授權存取，該公司北美、歐洲、新加坡等地區的用戶都受到影響，有部分用戶的裝置被遠端抹除內容。值得留意的是，臺灣也有學校採用他們的解決方案而可能受害。</p> <p>該公司宣稱僅有少部分的用戶裝置受到影響，並未說明實際數量。新加坡教育部指出，根據初步調查的結果，當地26所採用該廠牌MDM系統的中學，約有1.3萬名學生的設備資料遭到抹除，目前尚未發現攻擊者存取學生資料的跡象。</p> <p><a href="https://www.ithome.com.tw/news/164348"><strong style="font-size: 22px;">兩組北韓駭客利用竄改與有更新漏洞的遠端安全存取軟體，散布惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/A_yCBzi3I0x3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/A_yCBzi3I0x3.png" style="width: 300px; float: right;" /></a>8月5日韓國國家網路安全中心（NCSC）發布資安公告，指出北韓駭客組織Kimsuky（APT43）、Andariel（APT45）利用VPN系統的軟體更新缺陷散布惡意程式，並破壞受害組織的網路環境。NCSC指出，雖然這些駭客發動攻擊的事故不時傳出，但這兩組人馬不僅同時對相同的企業組織出手，攻擊的動機也相同，這樣的情況相當罕見。</p> <p>而對於兩個駭客組織發動攻擊的目的，NCSC認為與北韓領導人金正恩在2023年1月提出全國工業現代化的專案有關，研判很有可能是要從受害組織竊取機密資料。</p> <p><a href="https://www.ithome.com.tw/news/164334"><strong style="font-size: 22px;">駭客疑似鎖定配置不當的Jupyter Notebook，企圖利用Minecraft套件將其打造成DDoS攻擊工具</strong></a></p> <p>在程式開發與資料科學領域常用的Jupyter Notebook，去年傳出駭客將其植入惡意程式用來挖礦，以及竊取AWS、Google Cloud帳密的情況，最近又出現新一波的攻擊行動，不同的是，駭客很有可能是將這類伺服器納入攻擊工具。</p> <p>資安業者Aqua Security揭露名為Panamorfi的DDoS攻擊行動，名為yawixooo的駭客利用Java打造、針對電玩遊戲Minecraft伺服開發的DDoS工具mineping作案，鎖定組態配置不當的互動式運算平臺Jupyter Notebook下手，植入mineping用來發動DDoS攻擊。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.crowdstrike.com/blog/channel-file-291-rca-available/"><strong style="font-size: 20px;">針對7月19日全球更新大當機事故，CrowdStrike再度提出新的說明</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/hacker-scrapes-publishes-crowdstrike-ioc-list/">駭客組織USDoD聲稱握有資安業者CrowdStrike掌握的駭客名冊，以及2.5億筆入侵指標資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securitylabs.datadoghq.com/articles/stressed-pungsan-dprk-aligned-threat-actor-leverages-npm-for-initial-access/">北韓駭客組織Moonstone Sleet透過NPM套件向Windows電腦散布惡意程式碼</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=212026&SPOKE_DATE=20240805&COMPANY_ID=6751">資訊系統供應商智聯服務內部資訊系統遭到攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=161226&SPOKE_DATE=20240805&COMPANY_ID=9912">顯示器製造商偉聯科技傳出遭遇網路攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164342"><strong style="font-size: 22px;">Google發布8月份安卓例行更新，修補零時差漏洞CVE-2024-36971</strong></a></p> <p>8月5日Google針對安卓作業系統發布本月例行更新，總共公布、修補45個漏洞，其中包含一項零時差漏洞CVE-2024-36971。</p> <p>CVE-2024-36971最初在今年6月公布，存在Linux作業系統核心，問題是網路路由管理元件的記憶體釋放後，又能再存取使用（UAF），CVSS風險評為7.8分，Linux基金會已於同月著手修補。一旦攻擊者取得系統層級的權限，就有機會利用漏洞來竄改網路連線的組態。</p> <p>值得留意的是，Google在資安公告中提及，這項漏洞已出現針對性攻擊的跡象。換言之，有心人士能在具有這個漏洞的裝置上執行任意程式碼，而且，過程中無需使用者互動。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164335"><strong>【8月6日】達美航空、CrowdStrike將針對EDR系統大當機事故對簿公堂</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164301"><strong>【8月5日】研究人員公布去年中國駭客APT41攻擊臺灣研究機構的事故</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164277"><strong>【8月2日】駭客透過網路問答平臺Stack Exchange散布惡意PyPI套件，目標是Raydium區塊鏈用戶</strong></a></p> </div></div></div>
2024/8/7 18:00作者周峻佑https://www.ithome.com.tw/news/164356
兩組北韓駭客利用竄改與有更新漏洞的遠端安全存取軟體，散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月5日<a href="https://www.ncsc.go.kr:4018/main/cop/bbs/selectBoardArticle.do?bbsId=SecurityAdvice_main&nttId=146934&pageIndex=1&searchCnd2=">韓國國家網路安全中心（NCSC）發布資安公告</a>，指出北韓駭客組織Kimsuky（APT43）、Andariel（APT45）利用VPN系統的軟體更新缺陷散布惡意程式，並破壞受害組織的網路環境。NCSC指出，雖然這些駭客發動攻擊的事故不時傳出，但這兩組人馬不僅同時對相同的企業組織出手，攻擊的動機也相同，這樣的情況相當罕見。</p> <p>而對於兩個駭客組織發動攻擊的目的，NCSC認為與北韓領導人金正恩在2023年1月提出全國工業現代化的專案有關，研判很有可能是要從受害組織竊取機密資料。</p> <p>這份公告揭露的第一起資安事故，是<a href="https://asec.ahnlab.com/en/61934/">資安業者AhnLab於今年2月公布的Kimsuky攻擊行動</a>，這些駭客在1月破壞韓國的營造貿業組織的網站，並向瀏覽的使用者散布惡意軟體。</p> <p>AhnLab當時透露，一旦員工成功登入該組織的網站，此系統就會以安全為由，要求使用者安裝名為NX_Prnman或TrustPKI的軟體，但這些安裝程式都遭到竄改。在使用者安裝的過程，就會一併將駭客的竊資軟體TrollAgent植入電腦。研究人員提及，駭客使用了韓國國防公司D2Innovation的名義為安裝程式簽章，而能繞過防毒軟體的偵測。</p> <p><a href="https://s4.itho.me/sites/default/files/images/A_yCBzi3I0x3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/A_yCBzi3I0x3.png" style="width: 580px;" /></a></p> <p>若是使用者的電腦感染了竊資軟體，駭客將竊取瀏覽器儲存帳密、cookie、上網記錄、書籤等個人資料，以及GPKI憑證、SSH金鑰、Filezilla的組態設定。NCSC透露，這起事故的受害範圍，涵蓋當地營造業者、公共機構、地方政府機關。</p> <p>另一起資安事故則是發生在今年4月，駭客組織Andariel鎖定韓國國防VPN軟體VPN and server security的通訊協定，觸發特定的弱點，而能推送假的軟體更新，從而散布惡意程式DoraRAT。NCSC指出，這起攻擊行動的目標，是營造業者與機械器具公司。</p> <p><a href="https://s4.itho.me/sites/default/files/images/A_JTMlWOC1wg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/A_JTMlWOC1wg.png" style="width: 580px;" /></a></p> <p>這項弱點可讓攻擊者利用封包欺騙使用者的電腦，從而誤導電腦合法伺服器已有更新檔案可下載，而能夠部署惡意程式。</p> <p>駭客利用DoraRAT竊取大型檔案，其中包含機械與設備設計文件，並將其傳送到C2伺服器。</p> </div></div></div>
2024/8/7 17:00作者周峻佑https://www.ithome.com.tw/news/164348
數位部開始推動公部門AI培訓計畫，今年底估培養至少700位公務員具備AI技能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院去年8月通過行政院及所屬機關使用生成式AI參考指引，為公部門運用生成式AI提供指引，並責由數位部建立相關規範及訓練機制，加速公部門運用AI提升行政效率，數位部今天（8/7）宣布啟動公部門AI培訓計畫，預估今年底可望培養至少700位公務人員具備AI基本技能。</p> <p>數位部即日起到年底將舉辦超過20場公部門AI實戰工作坊，另外，將提供線上AI學習資源，開放公務人員及一般民眾線上學習AI基本技能，期望不只政府部門運用AI提高行政及民生服務效率，一般企業也能運用AI提高生產力。</p> <p>數位部指出，公務人員掌握基本AI應用技能，是國家數位轉型的關鍵，因此策畫一系列AI實戰工作坊，內容涵蓋AI基礎知識、核心演算法、應用實例、實機操作等等。藉此提升不同單位、職級公務人員具備AI基本技能，至少培訓700位公務人員具備AI即戰力。</p> <p>目前數位部推動的AI培訓內容，以培訓AI應用的基礎認知，包括有哪些AI工具可以使用及生成式AI服務，並且依照行政院及所屬機關使用生成式AI參考指引，向公務人員宣導哪些公務行為不可使用公共的生成式AI服務。這些課程並沒有限制公務人員的身分，數位部強調只要公務上需要，都可以使用線上資源，線上AI課程也納入公務人員學習時數。</p> <p>此外，數位部也會和人事行政總處合作，針對公部門資訊人員、主管、機關首長，提供相關的AI培訓課程，不只是基層公務人員，讓資訊單位、主管、首長也具備合適的AI知識或技能。</p> <p>自總統賴清德在今年520上任後，提出將台灣發展為人工智慧島的願景，並由行政院長卓榮泰組成行動創新AI內閣，明確將推動政府機關採用AI列為智慧政府轉型的目標，以提高公務效率、民眾服務的目標。為了更積極推動公部門導入AI，卓榮泰今天也出席部會副首長AI共識營，宣示政府推動AI的決心。</p> </div></div></div>
2024/8/7 17:56作者蘇文彬https://www.ithome.com.tw/news/164354
新加坡1.3萬學生上課用平板筆電停擺，原因是數位教室管理平臺Mobile Guardian遇駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供學校及學區的行動裝置管理（MDM）方案業者Mobile Guardian發布資安公告，<a href="https://www.mobileguardian.com/security-incident-august-2024/">表示他們在8月4日遭遇資安事故</a>，導致列管的iOS及ChromeOS裝置遭到未經授權存取，該公司北美、歐洲、新加坡等地區的用戶都受到影響，值得留意的是，有部分用戶的裝置被遠端抹除內容。</p> <p>該公司表示，為了防止受害範圍擴大，他們已經停止伺服器的運作，使用者暫時無法存取該MDM平臺，學生的裝置也會受到影響。</p> <p>Mobile Guardian的行動裝置管理平臺專門針對K-12學校打造，不僅能管理多種平臺（安卓、Chromebook、iOS、Windows、macOS）的學生上課裝置，並結合教室管理工具、上網過濾，以及家長管控的功能。值得留意的是，臺灣也有學校採用他們的解決方案，有可能因此受害。</p> <p>值得留意的是，該公司宣稱僅有少部分的用戶裝置受到影響，並未說明實際數量。<a href="https://www.moe.gov.sg/news/press-releases/20240805-mobile-guardian-device-management-application-to-be-removed-from-personal-learning-devices">新加坡教育部指出</a>，根據初步調查的結果，當地26所採用該廠牌MDM系統的中學，約有1.3萬名學生的設備資料遭到抹除，目前尚未發現攻擊者存取學生資料的跡象。</p> <p>對此，新加坡教育部將移除所有iPad與Chromebook上的Mobile Guardian裝置管理應用程式，並設法將這些設備復原，為受害學生提供相關技術協助。</p> </div></div></div>
2024/8/7 16:00作者周峻佑https://www.ithome.com.tw/news/164347
Google發表TV Streamer取代Chromecast、公布第4代Nest溫控裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在宣布Nest裝置<a href="https://www.ithome.com.tw/news/164340" target="_blank">加入</a>Gemini AI功能同時，Google昨日也同步<a href="https://blog.google/products/google-nest/nest-thermostat-google-tv-streamer-design-details/" target="_blank">發表二款新智慧家庭裝置產品</a>，包括取代Chromecast的Google TV Streamer，以及第4代溫控裝置<a href="https://blog.google/products/google-nest/new-learning-thermostat/" target="_blank">Nest Learning Thermostat</a>。</p> <p>全新的Google TV Streamer為整合AI的家庭娛樂設備，旨在取代Chromecast。Google TV Streamer內建Google TV平臺軟體，可搭配Google Home系列及Matter標準相容裝置，成為智慧家庭中樞。</p> <p>在硬體規格方面，Google TV Streamer整合了MediaTek晶片（MT8696 MediaTek）、32GB記憶體及4K HDR Dolby Vision及Dolby Atmos影音規格。可支援YouTube TV、Netflix、Disney+、Apple TV及800多個免費頻道，提供付費與免費節目存取。內建的Google AI可根據用戶使用習慣及偏好顯示所有訂閱內容建議，用戶也可根據推薦為家中成員建立觀看清單。Google TV平臺上的Gemini（下圖）則可為節目內容生成簡介、評論和分季內容介紹，方便追劇。利用Google TV Streamer，用戶還可輸入或聲控下指令，將Google Photos的相片投影到閒置中的數位電視上，或是將手機節目或音樂串流到電視上播放。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0807-Google%20TV%20Streamer-4(1).jpg" style="width: 600px;" /></p> <p>為串流影音節目，Google TV Streamer支援Wi-Fi網路與乙太網路上網，在物聯網規格上，則內建Thread邊界路由器（border router）及Matter標準支援，允許用戶安全連接家中智慧門鎖及動作感測器。Google TV Streamer還有Google Home面板（下圖），可讀取支援的裝置，如Nest Doorbell拍攝的影像、Nest Learning Thermostat指數、設定家中照明和溫度、窗帘，還能和Google Home App自動同步。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0807-Google%20TV%20Streamer-3(1).png" style="width: 600px;" /></p> <p>第4代Nest Learning Thermostat LCD顯示器採無邊框設計，比前一代大60%，新的Dynamic Farsight設計讓溫、濕度、空氣品質及時間等數字看得更清楚。內建的AI功能可學習用戶使用習慣，還能提供節能建議，用戶可在Google Home App中選擇接受或拒絕。新一代Nest Learning Thermostat並加入整合通風系統的Smart Ventilation功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0807-Nest%20Learning%20Thermostat.png" style="width: 600px;" /></p> <p>Google TV Streamer定價99.99美元，有陶瓷白和榛果色，目前僅在美國Google Store上架。第4代Nest Learning Thermostat提供黑、銀、金三色選擇，售價$279.99美元，現在已提供預購，預計8月20日在美、加開賣。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> </div></div></div>
2024/8/7 15:00作者林妍溱https://www.ithome.com.tw/news/164341
X控告廣告產業非法聯手抵制該平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.courthousenews.com/wp-content/uploads/2024/08/x-lawsuit-against-advertisers.pdf" target="_blank">X在本周控告</a>世界廣告主聯合會（World Federation of Advertisers，WFA），以及聯合利華（Unilever）、瑪氏食品（Mars）、醫療保健公司CVS Health及沃旭能源（Ørsted A/S）等業者聯手非法抵制該平臺，認為它們違反了反托拉斯法令。</p> <p>X的指控主要是針對WFA在2019年發起的全球負責任媒體聯盟（Global Alliance for Responsible Media，GARM），該聯盟建立了全球統一的品牌安全與媒體責任標準，以確保廣告不會出現在仇恨言論、暴力內容或不實資訊之旁。</p> <p>X於訴狀中指出，當馬斯克（Musk）在2022年11月收購Twitter時，身為GARM成員的許多廣告主聯繫了該聯盟，了解GARM對Twitter的看法，當時GARM表達了Twitter對遵守GARM標準的擔憂。一時之間，數十家廣告主同意並一同抵制了Twitter，取消或減少對Twitter的廣告支出。</p> <p>馬斯克對外宣稱，買下Twitter（2023年7月更名為X）的原因之一，便是要讓Twitter成為真正的言論自由平臺，因此，在馬斯克接管Twitter之後，Twitter的確放寬其內容審核標準，使得該平臺上的群魔亂舞，但之後卻又因馬斯克的個人喜好，而讓某些帳號直接被停權。</p> <p>放縱的內容讓廣告主開始逃竄，這或許無可厚非，但X指出，GARM不僅建議廣告主抵制Twitter，還因其行動造成Twitter營收下滑而展開慶祝，吹噓它們讓Twitter營收比預期少了80%。此外，就算X已經採用了與其競爭對手相當的品牌安全標準，並已達到或超越GARM所提出的標準，但相關的抵制與影響一直延續至今。</p> <p>X認為，GARM此一行為是赤裸裸的貿易限制，在一個可競爭的市場，每個社交平臺都會設定最適合該平臺及其用戶的品牌安全標準，而廣告主則可自行選擇投放廣告的平臺，但不同的廣告主透過集體行動來規定社交媒體的品牌安全標準，將會縮短競爭過程，也會讓擁有市場力量的廣告主觀點凌駕於消費者的利益之上。</p> </div></div></div>
2024/8/7 15:23作者陳曉莉https://www.ithome.com.tw/news/164346
Google發布8月份安卓例行更新，修補零時差漏洞CVE-2024-36971
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月5日Google針對安卓作業系統<a href="https://source.android.com/docs/security/bulletin/2024-08-01#Android-and-Google-service-mitigations">發布本月例行更新</a>，總共公布、修補45個漏洞，其中包含一項零時差漏洞CVE-2024-36971。</p> <p>CVE-2024-36971最初在今年6月公布，存在Linux作業系統核心，問題是網路路由管理元件的記憶體釋放後，又能再存取使用（UAF），CVSS風險評為7.8分，Linux基金會已於同月著手修補。一旦攻擊者取得系統層級的權限，就有機會利用漏洞來竄改網路連線的組態。</p> <p>而對於這項漏洞也影響安卓作業系統的情況，Google指出是他們旗下的威脅情報團隊（TAG）察覺此事。</p> <p>值得留意的是，Google在資安公告中提及，這項漏洞已出現針對性攻擊的跡象。換言之，有心人士能在具有這個漏洞的裝置上執行任意程式碼，而且，過程中無需使用者互動。</p> </div></div></div>
2024/8/7 12:23作者周峻佑https://www.ithome.com.tw/news/164342
Google DeepMind科學家Nicholas Carlini捍衛LLM，認為AI並未被過度炒作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在2022年11月底發表的ChatGPT引爆了全球的AI熱潮，業者爭相投入龐大資源以開發AI模型與服務，在經歷了超過一年的快速成長之後，今年開始出現AI已被過度炒作的聲浪，還有人說AI即將泡沫化，但Google DeepMind專門研究機器學習與電腦安全的科學家<a href="https://nicholas.carlini.com/writing/2024/how-i-use-ai.html" target="_blank">Nicholas Carlini並不這麼認為</a>，他以自身對AI的應用，來說明大型語言模型（LLM）是個真正有幫助，可以提高生產力的工具。</p> <p>Carlini表示，過去一年以來，他每周至少花幾個小時與各種不同的大型語言模型互動，對於這些LLM的進步能力印象深刻，網路上對於LLM的討論有樂觀也有悲觀，但他並不想爭論LLM的未來，只想提供身為一名研究人員與不同LLM之間的互動案例。</p> <p>其中，Carlini在LLM的協助下，使用過去從未用過的技術建置完整的Web應用程式；LLM教他如何使用從未用過的框架；將數十個程式轉換成C或Rust，以提高10~100倍的效能；裁剪大型程式碼庫以簡化專案；替他先前寫的每一篇研究論文撰寫實驗性程式碼；自動執行所有單調的任務或一次性腳本程式；在設定與配置新封包或專案時，幾乎完全取代了網頁搜尋；在除錯時可取代50%的網頁搜尋。</p> <p>Carlini所舉的例子大致可以分成學習及自動化無聊的任務，他說，這些例子只占了他使用LLM方式的不到2%，它們並不有趣，卻是他每天從事的任務。他只是要說，LLM真的是有用且可提高其生產力的工具，利用不同的LLM來替他的專案撰寫程式碼，至少可節省50%的時間。</p> <p>不過，批評AI是種炒作的看法卻是角度各異，不像是光靠Carlini的解釋就能滿足的。例如共同創辦非營利媒體The Markup的評論家<a href="https://www.nytimes.com/2024/05/15/opinion/artificial-intelligence-ai-openai-chatgpt-overrated-hype.html" target="_blank">Julia Angwin今年5月指出</a>，AI雖然征服了許多以前無法想像的任務，但之後的研究發現其某些成就被OpenAI誇大了，此外，AI模型通常可以產出一份還不錯的初稿，不過，修改它的時間大概等於她自己完成工作所需的時間。</p> <p>軟體工程專家<a href="https://www.linkedin.com/pulse/why-i-think-generative-ai-overhyped-jonathan-xia-ddzic" target="_blank">Jonathan Xia今年4月時表示</a>，生成式AI被炒作了。因為投資者給了太多的錢，期許那些遠遠還未得到證實的商業應用，而且現有的技術很快就會遇到難以突破的瓶頸。</p> <p>Xia說，他曾經以ChatGPT來寫程式碼，發現它產生的程式碼是合理的且格式簡潔，但卻是錯的。他還說生成程式碼已經是LLM最好的應用之一了，因為倘若以它來進行法律研究，它會生成不存在的案例；讓它跟客戶交談，可能會提供不存在的交易；而且永遠不會有原創，只是陳腔濫調。Xia也懷疑外界對於生成式AI可能會有指數型成長的論點。</p> <p>華盛頓郵報（The Washington Post）也<a href="https://www.washingtonpost.com/technology/2024/04/18/ai-bubble-hype-dying-money/" target="_blank">在今年4月認為</a>，AI泡沬正在破滅。該報所列出的原因主要是開發模型需要投入大規模的硬體資源與成本，但短期內無法看到相對應的回報。</p> <p>加拿大新聞人Paris Marx<a href="https://disconnect.blog/ai-hype-is-over-ai-exhaustion-is-setting-in/" target="_blank">亦於今年5月指出</a>，AI的泡沫化指日可待。Marx說，AI公司的估值已從最高點下滑，雲端供應商正在降低客戶對AI工具的期望，因為機器人依舊在犯錯，而且業者尚不知如何從如此昂貴的技術中賺錢，更把對氣候的承諾拋向了腦後。</p> </div></div></div>
2024/8/7 13:02作者陳曉莉https://www.ithome.com.tw/news/164344
法國龍頭博物館遭網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>正當奧運在法國舉行之際，法國博物館法國巴黎大皇宮（Grand Palais Rmn）及羅浮宮於上周疑似遭到勒索軟體攻擊。</p> <p>大皇宮建物是法國古蹟、博物館，也是多家博物館及文化活動的管理單位。在今年奧運中，大皇宮也作為擊劍和跆拳道等競賽項目的場館。</p> <p>媒體<a href="https://www.leparisien.fr/high-tech/cybersecurite-le-grand-palais-et-plusieurs-musees-dont-le-louvre-victimes-dune-attaque-par-rancongiciel-05-08-2024-LYA4YVRAW5CQHPVRHSC3LAGPHM.php" target="_blank">Le Parisien</a>引述消息報導，法國巴黎大皇宮（Grand Palais Rmn）在8月3到4日之間遭到勒索軟體攻擊。報導指出，數個相關機構的財務資料系統遭到鎖定，資料已經被竊取，歹徒意在勒索贖金，此外，攻擊也波及了羅浮宮。</p> <p>消息遭官方否認。羅浮宮幕僚長<a href="https://x.com/matthiasgrolier/status/1820721589106725088" target="_blank">Matthias Grolier聲稱</a>羅浮宮沒有遭到任何勒索軟體攻擊。</p> <p><a href="https://presse.rmngp.fr/le-grandpalaisrmn-vise-par-une-cyberattaque/" target="_blank">大皇宮證實</a>在8月3、4日間遭網路攻擊。該單位說其技術團隊全力動員以緩解事件，而且聯絡法國相關單位分析情況，與回復網路運作。大皇宮雖然已通報法國主管機關，但有別於報導，該機構聲稱，唯一受影響的是36家書店和精品店，其網路和大皇宮網路是分開，IT單位很快就切斷網路以防止災害蔓延，因此他們沒有偵測到資料外洩，攻擊事件也未影響到業務運作，包括奧運賽事進行，而書店和精品店在網路中斷期間仍能向大眾開放。</p> <p>不過歷屆奧運等主要賽事向來是網路攻擊的焦點。資安專家警告，剩下的賽事包括帕奧期間，主辦單位或民眾仍然可能面臨各種網路威脅，包括假售票網站、社交工程攻擊、釣魚信件攻擊等。</p> </div></div></div>
2024/8/7 13:15作者林妍溱https://www.ithome.com.tw/news/164345
駭客疑似鎖定配置不當的Jupyter Notebook，企圖將其打造成攻擊Minecraft遊戲伺服器的工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在程式開發與資料科學領域常用的Jupyter Notebook，去年傳出駭客將其<a href="https://www.ithome.com.tw/news/159423">植入惡意程式用來挖礦，以及竊取AWS、Google Cloud帳密</a>的情況，最近又出現新一波的攻擊行動，不同的是，駭客很有可能是將這類伺服器改造成攻擊工具。</p> <p>資安業者Aqua Security揭露<a href="https://www.aquasec.com/blog/panamorfi-a-new-discord-ddos-campaign/">名為Panamorfi的DDoS攻擊行動</a>，名為yawixooo的駭客利用Java打造、針對電玩遊戲Minecraft伺服開發的DDoS工具mineping作案，鎖定組態配置不當的互動式運算平臺Jupyter Notebook下手。</p> <p>對於察覺這起攻擊行動的原因，研究人員在密罐陷阱（Honeypot）看到駭客的行蹤，對方下載檔案大小為17 MB的ZIP壓縮檔，內含2個JAR檔案conn.jar、mineping.jar，他們將這些檔案上傳到惡意軟體分析平臺VirusTotal，結果只有1家防毒引擎將其視為有害。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Panamorfi-Figure1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Panamorfi-Figure1.jpg" style="width: 580px;" /></a></p> <p>其中，名為connector的JAR檔案，內含初步攻擊的程式碼，主要功能是連結駭客控制的Discord頻道，讓攻擊者得以控制DDoS攻擊流程；而另一個JAR檔案mineping，則是可直接從GitHub取得的DDoS攻擊工具，駭客用來發動TCP洪水攻擊，並將結果回傳Discord頻道。</p> </div></div></div>
2024/8/6 17:41作者周峻佑https://www.ithome.com.tw/news/164334
Gemini AI躍上Google Home裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google下周舉行硬體發表會前夕，於昨（5）日<a href="https://blog.google/products/google-nest/gemini-google-home/" target="_blank">宣布為Nest系列</a>攝影機、智慧音箱、顯示器等Google Home裝置加入Gemini多模態模型能力。</p> <p>Google已為Nest Camera加入AI功能，像是簡單的動作偵測、人臉辨識或封包偵測，不過過去Nest Camera尚無法真正理解真實環境發生的事。在最新進展下，Nest Camera使用的AI模型已升級到Gemini多模態模型。隨著用戶使用一段時間，AI模型理解能力將從特定事物（如動作、人臉和封包等）擴及到更多種，並說出最重要的意義。結合Gemini模型的Google Home App可在用戶觀看Nest Camera拍攝的影片時，為影片產出文字描述或圖說，像是「狗在花園中挖洞」。</p> <p>Google Home App還能根據用戶輸入的問題搜尋目標。例如當用戶問腳踏車是否停在院子車道上，Home App能搜尋相機歷史紀錄，只提供最相關事件清單，並給出摘要資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0807-google%20home%20app-gemini-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>Google也為Home平臺加入自動化能力。Home App和自動化腳本編輯器（script editor）現在都能支援100多種家用自動化指令（如開／關、暫停、調暗／調亮），允許用戶設定、串連家中聯網裝置動作，例如說出或輸入「鎖上門、關閉浴室所有電源」。</p> <p>第二，Nest智慧音箱與顯示器內建的Google Assistant也獲得Gemini模型加持。首先，這些裝置以LLM強化媒體播放或計時設定，今年內Google還會利用Gemini模型為Google Assistant加入不同腔調、類型的新聲音，並提升其理解能力，使Assistant能接受自然語言提問，和用戶產生更流暢的雙向對話，或提供更有用的建議。</p> <p>這些新AI加持的功能將在今年下半，先以公眾測試版提供給Nest Aware訂閱用戶，預料會逐步增加功能，並開放更多用戶使用。</p> <p><span class="c-message__sender c-message_kit__sender" data-qa="message_sender" data-stringify-text="林妍溱" data-stringify-type="replace" style="box-sizing: inherit; color: rgb(29, 28, 29); word-break: break-word; font-weight: var(--custom-font-weight-black,900); font-family: Slack-Lato, Slack-Fractions, appleLogo, sans-serif; font-size: 15px; font-variant-ligatures: common-ligatures;"><span class="p-member_profile_hover_card" role="presentation" style="box-sizing: inherit; width: fit-content; height: fit-content; display: inline-flex;"><button class="c-link--button c-message__sender_button" data-message-sender="UBR7Y6HEV" data-qa="message_sender_name" style="box-sizing: inherit; cursor: pointer; background-image: initial; background-position: 0px 0px; background-size: initial; background-repeat: initial; background-attachment: initial; background-origin: initial; background-clip: initial; border-width: 0px; border-style: initial; border-color: initial; padding: 0px; font: inherit; overflow: initial; text-align: initial; vertical-align: baseline; margin: 0px;" tabindex="0" type="button"></button></span></span></p> </div></div></div>
2024/8/7 11:37作者林妍溱https://www.ithome.com.tw/news/164340
AI晶片新創Groq完成6.4億美元的D輪增資，估值28億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發語言處理單元（Language Processing Unit，LPU）以加速推論的Groq，周一（8/5）<a href="https://wow.groq.com/news_press/groq-raises-640m-to-meet-soaring-demand-for-fast-ai-inference/" target="_blank">宣布</a>已完成6.4億美元的D輪增資，而此次該公司的估值達28億美元。</p> <p>Groq是由一群前Google工程師在2016年所創立，鎖定了特殊應用積體電路（ASIC）領域，並開發出LPU推論引擎，以加速大型語言模型的推論能力。Groq在今年3月<a href="https://wow.groq.com/news_press/groq-acquires-definitive-intelligence-to-launch-groqcloud/" target="_blank">買下</a>生成式AI解決方案供應商Definitive Intelligence，同時發表了整合其硬體資源與AI工具的GroqCloud服務。</p> <p>GroqCloud目前支援Meta的Llama、OpenAI的Whisper Large、Google Gemma與Mistral的Mixtral等開源模型，且迄今已吸引逾36萬名開發者。Groq表示，新資金將用來增加GroqCloud所支援的模型與功能，以及擴大其Token即服務（TaaS）的能力，包括額外部署10萬個LPU，以及招募更多人才。</p> <p>Groq的D輪增資是由BlackRock私募基金主導，並引進了思科及三星等策略資金。同一天Groq亦宣布將由曾主導HP供應鏈，以及<a href="http://www.intel.com/content/www/us/en/newsroom/news/ifs-march-2023-news.html" target="_blank">曾負責</a>英特爾代工服務（Intel Foundry Services）的Stuart Pann擔任Groq的營運長。</p> </div></div></div>
2024/8/7 11:08作者陳曉莉https://www.ithome.com.tw/news/164339
Windows智慧應用程式控制與SmartScreen存在漏洞，可被攻擊者輕易繞過
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Elastic安全研究實驗室<a href="https://www.elastic.co/security-labs/dismantling-smart-app-control">發現</a>，Windows的智慧應用程式控制（Smart App Control，SAC）和SmartScreen篩選工具存在弱點，可能讓攻擊者可以不觸發任何安全警告或是彈出視窗的情況下，獲得初步的存取權限。</p> <p>SmartScreen是微軟在Windows 8內建的作業系統功能，用於檢查具有網頁標記MotW（Mark of the Web）的檔案，預防網路釣魚和惡意程式碼攻擊。而微軟在Windows 11進一步引入智慧應用程式控制功能，以阻擋惡意和不受信任的應用程式。</p> <p>智慧應用程式控制是較SmartScreen更為進階的防護機制，當應用程式執行時會查詢微軟雲端服務上的資料，確認其安全性才允許執行，當智慧應用程式控制不知道應用程式是否安全，便只有具有效程式碼簽章才會被允許執行。在啟用智慧應用程式控制時，SmartScreen會取代並停用。</p> <p>研究人員發現了使用程式碼憑證來簽署惡意軟體，繞過智慧應用程式控制的方法。而且在智慧應用程式控制功能出現之前，攻擊者就已經使用這種方法來迴避偵測，最近攻擊者甚至還取得擴充驗證（Extend Validation，EV）來簽署應用程式。</p> <p>由於擴充驗證憑證需要經過身分認證，而且只能儲存在專門設計的硬體裝置上，因此要盜用這些憑證並不容易，但是攻擊者找到可以冒充企業來購買這些憑證的漏洞，研究人員指出，惡意軟體SolarMarker背後的惡意組織，在攻擊中使用了超過100個不同的簽章憑證。</p> <p>研究人員公開了三種針對基於聲譽的惡意軟體保護系統的攻擊方法，第一是利用良好聲譽的應用程式來繞過安全系統，第二則是將受控制的二進位檔案插入系統中，乍看之下無害，但實際卻可以執行惡意行為，這些二進位檔案在初期獲得良好聲譽，使其能夠規避偵測，在適當時機發動攻擊。第三種則是竄改檔案內容，攻擊者利用部分修改並不會影響檔案聲譽的漏洞，進行惡意操作。</p> <p>另外，資安人員還發現一種稱為LNK Stomping的攻擊手法，攻擊者可以利用Windows捷徑檔案進行攻擊。LNK Stomping是透過修改.lnk檔案的目標路徑或結構，讓系統在進行安全檢查之前移除MotW標籤，進而繞過SmartScreen和智慧應用程式控制的檢查。</p> <p>智慧應用程式控制和SmartScreen都存在一些根本的設計缺陷，允許攻擊者在沒有安全警告，且與用戶互動極少的情況下，獲得初步存取權限，研究人員提醒企業安全團隊還是要仔細檢查下載的內容，不要完全仰賴作業系統原生的安全功能。</p> </div></div></div>
2024/8/7 08:55作者李建興https://www.ithome.com.tw/news/164336
支援5G、增加WAN備援線路，Palo Alto推出新款網路防火牆
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/palo_alto_pa-415-5g_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著5G無線寬頻網路的普及，支援此種環境網路安全防護需求的產品日漸增加，從專攻核心網路的大型硬體設備與軟體虛擬化設備、容器化設備，拓展到邊緣網路的範疇，市面上，也出現越來越多廠商，提供5G網路支援的次世代防火牆，例如，<a href="https://www.alliedtelesis.com/tw/en/press/allied-telesis-announces-ar4050s-5g-mobile-broadband-utm-firewall-ideal-integrated-security">2022年有Allied Telesis推出的AR4050S-5G</a>，到了2023年，<a href="https://news.sophos.com/en-us/2023/02/16/sophos-introduces-5g-support-for-desktop-firewalls/">2月Sophos宣布XGS 116、126、136可選購5G網路模組</a>，<a href="https://www.ithome.com.tw/review/161806">10月Check Point發表的Quantum Rugged 1595R，可選購5G嵌入式數據機</a>，11月Palo Alto Networks推出的多款新一代硬體防火牆機型當中，也有一款標榜<a href="https://docs.paloaltonetworks.com/pan-os/11-1/pan-os-networking-admin/configure-interfaces/cellular-interfaces/configure-5g">可用於5G網路</a>的產品，稱為PA-415-5G，搭配嵌入式5G行動網路模組，本身整合了5G網路數據機與4支SDMA規格的天線（機箱前後各兩支），可快速部署、直接提供主要或備援的廣域網路（WAN）連接能力，因應業務關鍵應用系統的網路傳輸需求，毋須為了5G行動網路的連線而搭配額外的硬體設備。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-415-5G-2024-02-oveeview.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/5g-cellular-interface-ip-runtime-info.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/5g-cellular-interface-ip-runtime-info.jpg" style="width: 600px;" /></a></p> <p>關於有線網路的配置，PA-415-5G總共內建9個GbE埠，裡面有8個埠都採用RJ-45接頭（Port 2至Port 9），而這當中的4個（Port 6至Port 9）可設定為乙太網路供電（PoE），每個埠可輸出91瓦的電力，剩下的1個埠可支援RJ-45與SFP（Port 1），用於遠端管理。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Palo Alto-PA-415-5G-2023-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Palo%20Alto-PA-415-5G-2023-12.jpg" style="width: 600px;" /></a></p> <p>電源供應與設置環境的部分，PA-415-5G和PA-455，以及專攻OT場域的PA-450R一樣，都提供兩個接頭作為備援，前兩款搭配交流電（AC）電源轉接線，可安裝在平面或機櫃，PA-450R搭配交流電（DC）電源轉接線，可同時支援壁掛。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-415-5G-front.jpg" style="width: 600px;" /></p> <p>在解決方案的定位上，PA-415-5G隸屬於入門級產品PA-400系列，適用於大型企業的分支辦公室、零售業者的據點、中型企業，就網路與資安效能而言，PA-415-5G與PA-410、PA-415所差無幾，例如防火牆吞吐量為1.4或1.5 Gbps（同時啟用App-ID與事件記錄），威脅預防吞吐量均為0.8 Gbps（同時啟用App-ID、事件記錄、防毒、防間諜軟體、雲端惡意軟體防護、DNS防護、檔案阻擋），如果用於IPsec VPN，它們的吞吐量都是0.65 Gbps，同時連線數量最大均為6.4萬個，每秒可處理的新連線數量為1.1萬或1.14萬個。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PA-series overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-series%20overview.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/PA-400%20series%20Hardware.jpg" style="width: 298px;" /></p> <p>若是針對OT環境提供網路安全防護，同時需要支援5G行動網路連線，企業還可以選購其他機型，例如，<a href="https://docs.paloaltonetworks.com/whats-new/may-2024/pa-450r-5g-next-generation-firewall">Palo Alto Networks在今年5月新推出的硬體強固機型PA-450R-5G</a>，以及<a href="https://docs.paloaltonetworks.com/whats-new/june-2024/pa-410r-5g-next-generation-firewall">6月登場的PA-410R-5G</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PA-400 Series Performance.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-400%20Series%20Performance.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Palo Alto Networks PA-415-5G</strong><br /> ●原廠：Palo Alto Networks<br /> ●建議售價：廠商未提供<br /> ●網路介面：9個GbE埠（1個SFP/RJ45兩用埠、4個RJ45埠支援PoE、4個RJ-45埠），嵌入式5G行動網路模組，1個管理埠<br /> ●防火牆吞吐量：1.5 Gbps<br /> ●VPN吞吐量：0.65 Gbps<br /> ●防護功能全部啟用後的吞吐量：0.8 Gbps<br /> ●同時連線數：6.4萬個<br /> ●重量：3.56公斤</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/8/6 19:21作者李宗翰https://www.ithome.com.tw/review/164298
【資安日報】8月6日，達美航空、CrowdStrike將針對EDR系統大當機事故對簿公堂
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月19日臺灣時間下午發生的CrowdStrike更新出錯事故，導致全球各地都出現災情，其中最早傳出受害的是航空業者及醫療機構，如今有航空公司指控，他們因故招致業務停擺及名譽受損，求償5億美元。</p> <p>但CrowdStrike不以為然，認為該公司較晚復原與IT運作疏失有關，控告目的其實是在推卸責任。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164312"><strong style="font-size: 22px;">針對CrowdStrike的EDR系統大當機事故，達美航空打算求償5億美元</strong></a></p> <p>7月中CrowdStrike因安全軟體更新觸發Windows錯誤訊息及藍色死亡螢幕（BSOD），許多用戶採用應變措施以及後續更新版本後，陸續恢復上線。但達美航空（Delta Air）疑似因經歷比其他公司更長的混亂，促使該公司公開將責任歸罪到CrowdStrike頭上。</p> <p>這起事故發生後，達美航空執行長Ed Bastian說明該公司的受害情形：全公司4萬臺Windows伺服器必須手動重啟，其中一個和追蹤機組人員相關的工具受創最鉅，因其無法處理這次變更造成的系統負荷。最終，該公司和Delta Connection航空超過3,500個航班取消，以及數千班次延遲。值得留意的是，相較於其他受害的航空公司，達美航空晚了幾天恢復正常運作，必須支付7月19日到28日期間受影響旅客的賠償、行李、訂位費等，美國運輸部介入調查達美航空處置是否失當。</p> <p>為此達美航空公開指控CrowdStrike必須為其IT決策和停機回應方式負責，並求償5億美元。CrowdStrike法務長認為達美航空企圖誤導言論來轉移責任，並指出當時他們願意到場協助但遭到拒絕。</p> <p><a href="https://www.ithome.com.tw/news/164300"><strong style="font-size: 22px;">中國駭客組織Evasive Panda入侵網路服務供應商，藉由DNS中毒從事供應鏈攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/StormBamboo-image001.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/StormBamboo-image001.png" style="width: 300px; float: right;" /></a>駭客盯上不安全的軟體更新機制，藉機散布惡意程式的情況，不時有事故傳出，如今有研究人員發現，駭客竟針對網際網路服務供應商（ISP）發動攻擊，然後對部分的應用程式更新機制出手。資安業者Volexity揭露中國駭客組織Evasive Panda於去年中旬入侵ISP的攻擊行動，導致透過自動更新機制下載軟體的使用者受害，電腦被植入惡意程式。</p> <p>研究人員指出察覺這起攻擊行動的原因，他們起初偵測到搭載Windows與macOS作業系統的電腦感染Evasive Panda使用的惡意程式，但對於感染的來源最初難以確定，直到後來進一步追查，才確認是ISP層級的DNS中毒攻擊所致。駭客針對不安全的軟體更新機制下手，因為軟體開發商採用未加密的HTTP連線，且軟體更新過程並未驗證安裝程式的簽章，使得攻擊者有機可乘，用於派送Macma、MgBot等惡意程式。</p> <p><a href="https://www.ithome.com.tw/news/164310"><strong style="font-size: 22px;">CISA對臺灣視訊監控設備廠商產品示警，表明產品漏洞已被用於攻擊行動</strong></a></p> <p>8月1日美國網路安全暨基礎設施安全局（CISA）提出警告，臺灣視訊監控解決方案業者陞泰科技（Avtech）旗下的視訊監控攝影機（IP Camera）AVM1203，存在高風險層級的命令注入漏洞CVE-2024-7029，並指出攻擊者不僅能遠端利用，觸發漏洞的難度不高，而且，已被用於攻擊行動。</p> <p>值得留意的是，CISA向陞泰通報此事並未得到回應，這項漏洞目前很有可能尚未得到修補。對此，他們認為用戶應聯繫這家廠商，取得進一步的資訊。</p> <p>該漏洞起初由資安業者Akamai向CISA通報，並經由不具名第三方組織驗證研究人員的發現，確認問題存在的產品，是搭配FullImg-1023-1007-1011-1009以前版本韌體的AVM1203。但CISA指出，他們不排除該廠牌其他型號的視訊監控攝影機、視訊監控影像儲存主機（NVR），也有可能存在這項弱點。</p> <p><a href="https://www.ithome.com.tw/news/164333"><strong style="font-size: 22px;">ERP系統OFBiz遭到殭屍網路Mirai鎖定，針對路徑穿越漏洞而來</strong></a></p> <p>SANS網路風暴中心針對Apache基金會維護的ERP系統OFBiz提出警告，利用重大漏洞CVE-2024-32113的攻擊暴增，這波行動駭客發出POST請求企圖觸發漏洞，目的是將殭屍網路病毒Mirai植入OFBiz，7月底單日通報數量一度暴衝至超過1,700個。</p> <p>這項漏洞Apache基金會在今年5月上旬發布新版18.12.13予以修補，並指出舊版OFBiz都存在這項弱點，起因是該系統對於路徑名稱的限制不當造成，CVSS風險評為9.1分。到了月底，有研究人員分析概念性驗證（PoC）程式碼，呼籲IT人員應儘速套用更新。</p> <p>SANS研究人員看到其中一個在受害系統植入惡意指令碼bin.sh的攻擊行動，駭客使用帶有「KrebsOnSecurity」的使用者代理字串（User Agent）。而根據研究人員掃描到的IP位址來看，過去曾被用於散布帶有Mirai變種程式的檔案，因此也被認為這類殭屍網路可能採納CVE-2024-32113漏洞濫用手法。</p> <p><a href="https://www.ithome.com.tw/news/164313"><strong style="font-size: 22px;">研究人員揭露鎖定臉書行動裝置用戶的電子商務詐騙活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/0806-ERIAKOS Scam Campaign-Facebook-by Recorded Future-600.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0806-ERIAKOS%20Scam%20Campaign-Facebook-by%20Recorded%20Future-600.png" style="width: 300px; float: right;" /></a>美國資安業者Recorded Future上周揭露鎖定臉書用戶的電子商務詐騙活動ERIAKOS，駭客架設608個詐騙網站，並假冒知名品牌、透過惡意廣告散布，藉此竊取使用者的個人或金融資料。</p> <p>特別的是，這些詐騙網站只能透過行動裝置及特定廣告存取。若以電腦版瀏覽器點選惡意廣告，或是自行動瀏覽器直接輸入網址，都會出現404錯誤；假如從電腦版瀏覽器直接存取相關網址，則會出現與詐騙無關的網站。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/linux-kernel-impacted-by-new-slubstick-cross-cache-attack/"><strong style="font-size: 20px;">研究人員揭露Linux核心跨快取攻擊手法SLUBStick</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.theregister.com/2024/08/02/israeli_hacktivists/https://www.theregister.com/2024/08/02/israeli_hacktivists/">為報復以哈戰爭，以色列駭客WeRedEvils聲稱癱瘓伊朗的網際網路運作</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://bi.zone/eng/expertise/blog/bloody-wolf-primenyaet-kommercheskoe-vpo-strrat-protiv-organizatsiy-v-kazakhstane/">哈薩克企業組織遭到駭客團體Bloody Wolf鎖定，散布惡意程式Strrat</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="http://www.quorumcyber.com/insights/sharprhino-new-hunters-international-rat-identified-by-quorum-cyber/">勒索軟體駭客鎖定企業IT人員，企圖散布RAT木馬SharpRhino</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/surge-in-magniber-ransomware-attacks-impact-home-users-worldwide/">勒索軟體Magniber傳出針對個人使用者發動攻擊的情況大幅增加</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164319"><strong style="font-size: 22px;">Rockwall Automation可程式化邏輯控制器存在安全繞過漏洞</strong></a></p> <p>上週專精工業控制系統（ICS）的資安業者Claroty指出，Rockwell Automation旗下的可程式化邏輯控制器（PLC）設備ControlLogix 1756存在高風險層級的安全繞過漏洞CVE-2024-6242，攻擊者能藉由通用工業協定（CIP）路由，突破該廠商設下的插槽限用受信任元件（Trusted Slot）保護機制，從而對PLC的處理器卡發送提升權限的命令，CVSS風險評分為8.4（4.0版CVSS風險評分為7.3）。</p> <p>對此，Rockwell表示，採用1756機箱的ControlLogix及GuardLogix設備，以及ControlLogix的I/O模組，也存在相同的弱點，他們發布新版韌體予以修補。</p> <p>美國網路安全暨基礎設施安全局（CISA）也發布資安公告，指出這項漏洞是因為存在其他缺乏保護的存取通道所致，他們也提出緩解措施，若是IT人員無法即時套用相關韌體更新，應該透過最佳安全實踐，以及限縮可用的CIP命令來降低風險。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164301"><strong>【8月5日】研究人員公布去年中國駭客APT41攻擊臺灣研究機構的事故</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164277"><strong>【8月2日】駭客透過網路問答平臺Stack Exchange散布惡意PyPI套件，目標是Raydium區塊鏈用戶</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164256"><strong>【8月1日】Azure服務出現不穩定的異常情況，微軟表示起因與DDoS攻擊有關</strong></a></p> </div></div></div>
2024/8/6 18:49作者周峻佑https://www.ithome.com.tw/news/164335
ERP系統OFBiz遭到殭屍網路Mirai鎖定，針對路徑穿越漏洞而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SANS網路風暴中心針對Apache基金會維護的ERP系統OFBiz提出警告，<a href="https://isc.sans.edu/diary/Increased%20Activity%20Against%20Apache%20OFBiz%20CVE-2024-32113/31132">利用重大漏洞CVE-2024-32113的攻擊暴增</a>，這波行動駭客發出POST請求企圖觸發漏洞，目的是將殭屍網路病毒Mirai植入OFBiz，7月底單日通報數量一度暴衝至超過1,700個。</p> <p>這項漏洞Apache基金會在<a href="https://lists.apache.org/thread/w6s60okgkxp2th1sr8vx0ndmgk68fqrd">今年5月上旬發布新版18.12.13予以修補</a>，並指出舊版OFBiz都存在這項弱點，起因是該系統對於路徑名稱的限制不當造成，CVSS風險評為9.1分。到了月底，<a href="https://xz.aliyun.com/t/14733?time__1311=GqAh7IqGrhkD%2FWNiQ%3DGQFitvoAIKr5G%3DFW4D">有研究人員分析概念性驗證（PoC）程式碼</a>，呼籲IT人員應儘速套用更新。</p> <p>此漏洞利用難度並不高，攻擊者只要找到能夠存取的URL，並插入分號，就能輕易觸發。他們看到其中一種利用漏洞的手法，是對下列網址發出POST請求：</p> <blockquote><p>/webtools/control/forgotPassword;/ProgramExport</p> </blockquote> <p>使用者甚至可以在不登入的情況下重設密碼，因為這個forgotPassword可公開存取且無需身分驗證，而ProgramExport則能夠執行任意程式碼。照理來說，這些部分的執行本來是受到管制，使用者必須登入才能存取，但因為駭客加入的分號觸發OFBiz解析錯誤，而能在不需經過身分驗證的情況下存取。</p> <p>此外，研究人員提到，雖然攻擊者必須使用POST請求才能利用漏洞，但請求網頁的內容（Body）並非必要條件。</p> <p>他們看到其中一個在受害系統植入惡意指令碼bin.sh的攻擊行動，駭客使用帶有「KrebsOnSecurity」的使用者代理字串（User Agent）。而根據研究人員掃描到的IP位址來看，過去曾被用於散布帶有Mirai變種程式的檔案，因此這個漏洞濫用也被認為可能會被這類殭屍網路所採納。</p> </div></div></div>
2024/8/6 17:01作者周峻佑https://www.ithome.com.tw/news/164333
Fintech周報第248期：媒體揭露摩根大通向員工推出自行研發的Gen AI工具，能勝任研究分析師工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">7/22~8/2金融科技精選新聞</span></span></h3> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摩根大通 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI </span></strong></span></h3> <h3>媒體揭露摩根大通向員工推出自行研發的Gen AI工具，能勝任研究分析師工作</h3> <p>近日，《金融時報》揭露摩根大通內部備忘錄，指出摩根大通推出了一款名為LLM Suite的平臺，並告訴員工這個平臺能勝任研究分析師的工作。該備忘錄中還提到，員工可以將LLM Suite視為分析師，提供特定主題的資訊、解決方式和建議。此外，媒體也揭露，摩根大通自行開發專用的LLM平臺，禁止員工使用ChatGPT或Gemini等開放一般民眾使用的聊天機器人。目前摩根大通約有五萬名員工可以使用LLM Suite。</p> <p>摩根大通不願證實《金融時報》刊出的消息，不過，摩根大通過去曾公開表示，內部正在使用提供市場投資建議的顧問工具。今年五月，摩根大通資產與財福管理部門執行長Mary Callahan Erdoes在<a href="https://www.jpmorganchase.com/content/dam/jpmc/jpmorgan-chase-and-co/investor-relations/documents/events/2024/jpmc-2024-investor-day/investor-day-2024-full-transcript.pdf">投資者日</a>提及，內部正在運用多項AI應用。其中一項應用是將內部市場投資策略長Michael Cembalest二十年來的市場投資經驗化為知識庫。當理專向顧問工具詢問投資建議時，等同運用了Michael Cembalest長年的投資見解，能用來協助理專提供客戶更好的投資建議。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI輔助 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GitHub Copilot </span></strong></span></h3> <h3>澳洲澳盛銀行技術長點出採用GitHub Copilot的痛點：沒有指標衡量工具帶來的效益</h3> <p>澳洲澳盛銀行技術長Tim Hogarth近日在GitHub活動上表示，去年開始，他們提供內部3,000名工程師使用GitHub Copilot。但是，直到現在，大多數工程師並未將GitHub Copilot列為優先使用工具，「他們還在熟悉這項技術。」Tim Hogarth說。甚至，在澳盛銀行，GitHub Copilot的程式碼建議採用度低，不到50%。</p> <p>Tim表示，內部尚未建立指標，去明確衡量GitHub Copilot對IT營運帶來的集體效益。而且，當有特定IT團隊不願使用GitHub Copilot，Tim也無法確定是工具本身的技術問題、團隊問題，還是因為IT團隊面對的問題較特殊，導致GitHub Copilot的輔助功能派不上用場。這是銀行採用GitHub Copilot可能遇到的痛點。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摩根大通 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融監管 </span></strong></span></h3> <h3>擔憂消費者在差異化定價策略中遭歧視，美國監管機構要求摩根大通、萬事達卡等八家企業，提供定價服務詳細資訊</h3> <p>美國聯邦貿易委員會（FTC）近日表示，他們已要求摩根大通和萬事達卡等八間企業提供差異化定價策略資訊，包含企業開發定價服務的技術資訊，以及每個產品或服務運用的資料來源，細至每個資料來源的蒐集方法、蒐集資料的平臺或技術，以及負責蒐集資料的對象，都得提供給FTC。另外，FTC也要求八間企業提供使用定價產品的客戶名單，以及客戶運用產品的計畫等，同時，八間企業也得提供定價產品對消費者造成的潛在影響，包含消費者可能面臨的支付價格變動。</p> <p>FTC希望，透過瞭解定價策略，能確保消費者隱私權不被侵害，同時不被歧視。這八間企業包含摩根大通、萬事達卡、顧問公司麥肯錫和其餘五間軟體公司。</p> <p>摩根大通拒絕向媒體回應此事。今年四月，摩根大通銀行開金融業先例，推出媒體解決方案，讓企業主可以利用銀行擁有的8,000萬名顧客交易數據，精準投放行銷廣告。例如，當消費者在大通銀行的數位通路上查看優惠資訊時，平臺會根據消費者的歷史交易數據顯示優惠資訊。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料共享 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融監管 </span></strong></span></h3> <h3>為了加強金融防詐，澳洲國民銀行建議澳國政府放寬法律限制，開放金融機構與第三方供應商進行資料共享</h3> <p>近日，澳洲國民銀行發佈一份報告書，建議政府應重新檢視《反洗錢和反恐怖主義融資法》。他們提到，目前該法限制私人機構間的資料共享，導致金融機構無法運用第三方供應商的技術，不僅對創新造成負面影響，也阻礙了金融機構發展金融防詐、防洗錢能力。</p> <p>甚至，國民銀行也提到，生成式AI為金融機構帶來機會，能透過分析大量資料，來偵測、識別金融犯罪。然而，目前法律限制了金融機構與第三方供應商進行資料傳輸，阻礙了金融業發展生成式AI。因此，國民銀行建議政府應鬆綁《反洗錢和反恐怖主義融資法》中的資料共享限制，或是允許金融機構能合法和私人機構共享資訊，協助金融機構強化金融犯罪防範能力。</p> <p>在臺灣，相關討論也正在進行中。為了協助金融機構在符合法規的前提下，更順利使用客戶資料進行AI訓練和建模，今年五月，金管會發布「金融機構資料共享之資料治理諮詢文件」，希望透過客戶資料分級做法，簡化部分資料的運用措施，例如，針對部分資料，金融機構可以採取較簡易的方式取得客戶同意，再進行運用。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 瑞士證券交易所 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 交易中斷 </span></strong></span></h3> <h3>瑞士證券交易所因數據傳輸問題，暫停股票、債券、基金交易多達四小時</h3> <p>瑞士證券交易所在7月31日經歷近年來最嚴重的故障事故，因技術故障問題，瑞士證券交易所股票、債券、基金暫停交易三至四小時。瑞士證券交易所發言人向媒體表示，起初交易並未受到影響，問題出在數據傳輸，讓他們不得不暫停交易。在交易中斷期間，瑞士證券交易所在官網公告，內部一款名為MDDX的服務發生問題。這項服務負責從交易平臺傳輸市場資料給投資者和應用軟體服務提供者。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BaaS </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融科技策略 </span></strong></span></h3> <h3>日本Minna no Bank總裁分享自家BaaS業務策略</h3> <p>日本網路銀行Minna no Bank去年開始積極發展銀行即服務（Banking-as-a-Service），提供企業能更新的API，並已和六家金融業者、五家非金融業者展開合作。該銀行總裁永吉健一近日在活動上表示，他們的策略，是透過單獨提供 API 並與企業合作行銷的商業模式，來和其他業者競爭。</p> <p>相對於競爭對手鎖定提供企業API，永吉健一指出，Minna no Bank的BaaS業務重點是服務個人消費者需求，因此，他們鎖定的對象是面向消費者的服務提供商，透過這個類型的服務提供商，來創造合作行銷的商業模式。另外，永吉健一認為，Minna no Bank另一項優勢是擁有大量工程師和設計師，能靈活回應客戶需求。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國泰人壽 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲 </span></strong></span></h3> <h3>國泰人壽公開系統上雲歷程，一年完成17套系統遷雲</h3> <p>國泰人壽在2022年啟動上雲計畫，並在2023年選定17套系統先上雲，包括了16套行銷活動網站和機場旅平險系統。在評估階段中，國泰人壽IT團隊依據風險和商業價值高低，來篩選適合上雲的系統，再根據國泰金控自己訂定的 Cathay 6R 上雲遷移理論，來評估適合上雲形式。（<a href="https://www.ithome.com.tw/people/164191">詳全文</a>）</p> <p>在第一階段上雲計畫中，國泰人壽以低度調整應用程式架構的方式將系統上雲，例如，將活動網站資料庫依業務別拆分，讓系統能在微服務平臺上運作，不需大幅更改架構或替換整個系統。國泰人壽資訊團隊透過微服務、容器化架構實現快速上雲，再篩選適當工具，建立安全資料傳輸機制，歷經不斷測試和調整，確保系統穩定運行、使用者體驗一致，才正式切轉上雲。（<a href="https://www.ithome.com.tw/news/164185">詳全文</a>）</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 玉山銀行 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CI/CD </span></strong></span></h3> <h3>玉山銀行三階段自建跨團隊共用CI/CD的可觀測平臺，更有效找出開發流程問題和優化方向</h3> <p>玉山智金處DevOps團隊今年開始用開發者資料建立CI/CD可觀測性，除了提供量化指標，協助主管層級的決策者和資料科學家掌握CI/CD流程具體狀態，DevOps人員也開始能識別明確的問題出處，進行對應處理。</p> <p>玉山智金處建立CI/CD觀測性的第一步，是設定目標，確認需要的數據。第二步，是尋找資料來源並收集資料。最後一步，是定義資料分析需求的使用者，再進行資料分析。吳明倫表示，玉山定出三種資料分析需求的使用者，分別是主管層級的決策者、DevOps工程師和資料科學家。DevOps團隊依據三類使用者的特性，條列出各類使用者需要掌握的資料，針對各類使用者產出不同報表。（<a href="https://www.ithome.com.tw/news/164060">詳全文</a>）</p> <p>其他重要Fintech新聞</p> <ul> <li>印度國家支付公司NPCI因IT供應商遭勒索軟體攻擊，切斷了對數百家銀行的服務</li> <li>美國金融監理機構強調，銀行應加強與第三方合作的調查和監控</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／金管會</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年8月</p> <p></p> </div></div></div>
2024/8/6 16:24作者李昀璇https://www.ithome.com.tw/news/164328
Rockwall Automation可程式化邏輯控制器存在安全繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週專精工業控制系統（ICS）的<a href="https://claroty.com/team82/research/bypassing-rockwell-automation-logix-controllers-local-chassis-security-protection">資安業者Claroty指出</a>，Rockwell Automation旗下的可程式化邏輯控制器（PLC）設備ControlLogix 1756存在高風險層級的安全繞過漏洞CVE-2024-6242，攻擊者能藉由通用工業協定（CIP）路由，突破該廠商設下的插槽限用受信任元件（Trusted Slot）保護機制，從而對PLC的處理器卡發送提升權限的命令，CVSS風險評分為8.4（4.0版CVSS風險評分為7.3）。</p> <p>對此，<a href="https://www.rockwellautomation.com/en-us/trust-center/security-advisories/advisory.SD1682.html">Rockwell表示</a>，採用1756機箱的ControlLogix及GuardLogix設備，以及ControlLogix的I/O模組，也存在相同的弱點，他們發布新版韌體予以修補。</p> <p><a href="https://www.cisa.gov/news-events/ics-advisories/icsa-24-214-09">美國網路安全暨基礎設施安全局（CISA）也發布資安公告</a>，指出這項漏洞是因為存在其他缺乏保護的存取通道所致，他們也提出緩解措施，若是IT人員無法即時套用相關韌體更新，應該透過最佳安全實踐，以及限縮可用的CIP命令來降低風險。</p> <p>而對於這項漏洞發生的原因，Claroty表示，此設備的插槽都透過背板連接，並使用CIP進行路由，他們發現可以藉由特製的CIP封包，在存取處理器之前透過受信任的功能卡進行路由，而能穿越Rockwell設下的安全機制，在1756機箱的背板插槽之間進行「跳轉」。</p> <p>Rockwell設置的受信任插槽機制如何運作？Claroty表示，ControlLogix 1756支援多張網路卡連接人機介面（HMI）儀表板、工程師的工作站電腦，以及其他裝置。為了確保僅有其中一臺連線的裝置對PLC下達命令，Rockwall導入受信任插槽的功能，藉由機箱強制執行特定的安全政策，僅有得到授權的插槽能與其他裝置進行溝通，從而防堵未經授權的存取，或是疑似竄改的跡象。</p> <p>一旦啟動這種防護機制，控制器對於不受信任來源路徑的通訊，將會予以拒絕。當任何人想要透過可程式化軟體存取控制器，都必須在連接的模組進行身分驗證。不過，有部分模組可指定為受信任插槽，而能自由與部署在相同機箱的其他插槽通訊。</p> <p>但他們發現，處理器只會對最後一個插槽進行檢查，研究人員得以利用這項缺陷，使用不受信任的網路卡與處理器進行通訊。</p> </div></div></div>
2024/8/6 15:48作者周峻佑https://www.ithome.com.tw/news/164319
研究人員揭露鎖定臉書用戶的電子商務詐騙活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國資安業者R<a href="https://www.recordedfuture.com/research/eriakos-scam-campaign-detected" target="_blank">ecorded Future上周揭露</a>了一個鎖定臉書用戶的電子商務詐騙活動，此一被稱為ERIAKOS的活動涉及608個詐騙網站，它們假冒知名品牌並透過惡意廣告散布，藉以竊取使用者的個人或金融資料。更特別的是，這608個詐騙網站只能透過行動裝置及廣告存取。</p> <p>Recorded Future的支付詐欺情報（Payment Fraud Intelligence）團隊是在今年的4月17日偵測到ERIAKOS的活動，該活動是由608個詐騙網站組成，它們採用了同一個內容遞送網路（CDN），所有的網域名稱都是向阿里雲（Alibaba Cloud）註冊，使用兩個特定的IP位址，在主要網域及次要網域間都存在著特定的錯誤配置。</p> <p>駭客藉由臉書的惡意廣告來將受害者導至詐騙網站，研究人員發現，雖然臉書的廣告服務（Facebook Ads）偶爾會阻止詐騙廣告，甚至會封鎖負責相關廣告活動的帳戶，然而，駭客透過執行大規模卻短暫的廣告活動來躲避偵測，同時在這些詐騙網站上提供商品的限時優惠，以刺激消費者快速付款。</p> <p>不過，上述詐騙網站只能由行動瀏覽器透過惡意的臉書廣告才能存取；若以桌面瀏覽器點選惡意廣告，或是自行動瀏覽器直接輸入網址，都會出現404錯誤（下圖）；若是自桌面瀏覽器上直接輸入網址，則會出現與詐騙無關的網站。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0806-ERIAKOS%20Scam%20Campaign-Facebook-by%20Recorded%20Future-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Recorded Future</span></span></p> <p>這是Recorded Future首次看到的攻擊戰術、技巧與程序（TTP），猜測是駭客為了過濾受害者，降低被偵測的機率，並延長惡意活動時間的作法。</p> <p>研究人員認為，這類的詐騙攻擊經常替金融機構帶來損失或拒付糾紛，建議應將此一報告中的可疑商家列入黑名單，阻止消費者與這些商家的交易，同時監控歷史交易資料來偵測潛在風險，另也奉勸消費者應只在安全與可靠的網站上提供個人及付款資訊，並對未經請求的通訊或廣告保持警惕。</p> </div></div></div>
2024/8/6 14:28作者陳曉莉https://www.ithome.com.tw/news/164313
CISA對臺灣視訊監控設備廠商產品示警，表明產品漏洞已被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月1日<a href="https://www.cisa.gov/news-events/ics-advisories/icsa-24-214-07">美國網路安全暨基礎設施安全局（CISA）提出警告</a>，臺灣視訊監控解決方案業者陞泰科技（Avtech）旗下的視訊監控攝影機（IP Camera）AVM1203，存在高風險層級的命令注入漏洞CVE-2024-7029，並指出攻擊者不僅能遠端利用，觸發漏洞的難度不高，而且，已被用於攻擊行動。</p> <p>值得留意的是，CISA向陞泰通報此事並未得到回應，這項漏洞目前很有可能尚未得到修補。對此，他們認為用戶應聯繫這家廠商，取得進一步的資訊。</p> <p>該漏洞起初由資安業者Akamai向CISA通報，並經由不具名第三方組織驗證研究人員的發現，確認問題存在的產品，是搭配FullImg-1023-1007-1011-1009以前版本韌體的AVM1203。但CISA指出，他們不排除該廠牌其他型號的視訊監控攝影機、視訊監控影像儲存主機（NVR），也有可能存在這項弱點。</p> <p>一旦攻擊者成功利用這項漏洞，就能以正在執行的處理程序權限，注入、執行命令，4.0版CVSS風險評分達到8.7分（3.1版為8.8分）。</p> <p>由於陞泰尚未公布緩解措施，CISA也提出儘可能降低漏洞遭到利用的作法，這些措施包含：</p> <p>●確保視訊監控攝影機無法直接透過網際網路存取；<br /> ●將相關控制系統及攝影機放置於防火牆後面，並與企業的網路環境隔離；<br /> ●使用如VPN等較安全的方法遠端存取視訊監控攝影機。</p> </div></div></div>
2024/8/6 12:29作者周峻佑https://www.ithome.com.tw/news/164310
CrowdStrike為IT停機事件，與達美航空撕破臉互控
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>CrowdStrike 7月中引發的全球IT停機事件餘波蕩漾，其中之一是客戶達美航空（Delta Air）為此和CrowdStrike撕破臉。</p> <p>7月中CrowdStrike因安全軟體更新觸發Windows錯誤訊息及藍色死亡螢幕（BSOD），許多用戶採用應變措施以及後續更新版本後，陸續恢復上線。但達美航空卻經歷比其他公司更長的混亂，促使該公司公開將責任歸罪到CrowdStrike頭上。</p> <p>CrowdStrike事件發生後數日，達美航空執行長Ed Bastian透過<a href="https://news.delta.com/update-delta-customers-ceo-ed-bastian" target="_blank">官方部落格</a>說明該公司的受害情形。他說此事發生在公司業務最繁忙的周末時間，受到Windows當機影響，達美航空40,000臺Windows伺服器必須手動重啟，其中一個和追蹤機組人員相關的工具受創最鉅，因其無法處理這次變更造成的系統負荷。最終，該公司和Delta Connection航空超過3,500個航班取消，以及數千班次延遲。</p> <p>在眾多受到CrowdStrike影響IT運作的企業中，達美航空比其他公司更晚了幾天回復上線，迫使達美航空必須支付7月19日到7月28日期間受影響旅客的賠償、行李、訂位費等。此事讓美國運輸部<a href="https://x.com/USDOT/status/1815895239174799767" target="_blank">介入調查</a>達美航空處置是否得當。</p> <p>揹負公司形象及經濟損失的達美航空，公開指稱CrowdStrike必須為其IT決策和停機回應方式負責，揚言控告CrowdStrike求償5億美元。CrowdStrike法務長<a href="https://x.com/David_Slotnick/status/1820286332347760672" target="_blank">本周回信</a>駁斥其說法。CrowdStrike對達美航空企圖以誤導言論轉移責任，並全然否認自己IT運作疏失或處置錯誤感到失望。這家業者說曾在當時表示願提供到府協助，但遭到達美航空拒絕。</p> <p>CrowdStrike說，別家航空業者也遭遇同樣挑戰，但回復上線速度快得多，他們接受IT停機的責任，但不能接受達美將系統潰敗（meltdown）全部歸咎於該公司。該公司還將達美航空<a href="https://x.com/David_Slotnick/status/1818626067583680956" target="_blank">比喻為</a>美國西南航空。2022年聖誕假期之際，一場冬季暴風雪侵襲北美，造成數萬旅客滯留機場。在3,000多個取消航班中，2,800多個班次為西南航空所有。這家業者卻推說是惡劣天候所致。</p> <p>Delta訴訟還未成案，不過CrowdStrike因此事股價大跌，已經遭到至少一家股東<a href="https://apnews.com/article/crowdstrike-technology-outage-delta-airlines-90358ce65529048c8d7e8b3aa3c615aa" target="_blank">提告</a>。</p> </div></div></div>
2024/8/6 14:09作者林妍溱https://www.ithome.com.tw/news/164312
美法院判決Google非法壟斷線上搜尋、廣告市場，Google將上訴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>纏訟數年的美國司法部控告Google非法壟斷線上搜尋、廣告市場官司，美國法院周一（8/5）判決Google利用不當通路手段維持非法壟斷地位。Google將尋求上訴。</p> <p>美國哥倫比亞地方法院法官Amit P. Mehta本周針對司法部，以及美國數州<a href="https://www.ithome.com.tw/news/140636" target="_blank">對Google提出的</a>線上搜尋及搜尋廣告市場的壟斷官司做出判決。在277頁的<a href="https://fingfx.thomsonreuters.com/gfx/legaldocs/gdpzmaxjxvw/United%20States%20v%20Google%2020240805.pdf" target="_blank">判決書</a>中，法官指出，經過仔細思量與參考證詞、證據，法院做出以下決議：Google是壟斷者（monopolist），且為維持壟斷地位而行動，違反了美國反托拉斯法。法院認定，Google透過獨家通路協議，在美國一般搜尋服務及一般文字廣告二種產品市場維持壟斷地位。</p> <p>2020年美國司法部連同包括佛州、德州等11州控告Google以不法手法維持其在美國搜尋服務、搜尋廣告及一般搜尋文字廣告市場上壟斷地位的行為。原告相信，搜尋巨人動用數十億利潤綑綁手機、瀏覽器及次世代裝置的搜尋管道，排擠競爭者，造成搜尋及搜尋廣告獨大地位。</p> <p>判決中列舉證據，Google透過和蘋果、Mozilla等瀏覽器簽下分潤協議，在其瀏覽器綁定Google搜尋為首選搜尋入口。在手機端，Google和三星、LG等智慧型手機業者簽定行動應用通路協議（Mobile Application Distribution Agreements，MADA）綁定Google Mobile Service（如Google Search Widget和Chrome），連微軟也不例外。在電信業者方面，AT&T與T-Mobile雙雙和Google簽定營收共享（Revenue Share Agreement，RSA）協議。這些協議內容或有差異，但結果都是為了鞏固Google搜尋在其平臺上的位置。根據判決，Google占桌機搜尋市場的90%，在手機平臺搜尋市場則高達95%。</p> <p>不過法官並未在判決中說明任何矯治方案。可能的矯治方案包括要求Google改變現有做法，或是將Google分成多個較小業務組織。</p> <p>本判決是Google的重大挫敗。本案約等同20世紀初司法部控告微軟搭售IE和Windows，雙方最後雖然和解，但微軟被迫將IE和Windows鬆綁，也導致IE在搜尋市場的敗退。Google法務長Kent Walker<a href="https://techcrunch.com/2024/08/05/google-loses-massive-antitrust-case-over-search/" target="_blank">對Techcrunch</a>表達Google立場，表示本判決代表法院肯定Google提供最好的搜尋引擎，但結論卻不允許Google服務更容易取得。Google將提起上訴。</p> <p>本案尚未塵埃落定。在Google上訴下，本案將會持續到明年，甚至2026年以後。</p> </div></div></div>
2024/8/6 12:21作者林妍溱https://www.ithome.com.tw/news/164309
OpenAI共同創辦人John Schulman加入Anthropic
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11名OpenAI共同創辦人之一的John Schulman剛剛<a href="https://x.com/johnschulman2/status/1820610863499509855" target="_blank">宣布</a>，他將離開OpenAI並加入Anthropic，更專注地研究AI對齊，並在一個能夠回到技術工作的地方開啟新的職業生涯。而The Information則<a href="https://www.theinformation.com/articles/trio-of-leaders-leave-openai" target="_blank">報導</a>，打算離開OpenAI的不只是Schulman，另一名共同創辦人暨OpenAI董事長Greg Brockman正在休長假，而去年才加入的產品負責人Peter Deng也已經離職。</p> <p class="rtecenter"><a href="http://x.com/johnschulman2/status/1820610863499509855" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0806-John%20Schulman%20openai%20cofounder.png" style="width: 600px;" /></a></p> <p>今年以來離開OpenAI的主管中，不管是曾參與罷黜Sam Altman的共同創辦人<a href="https://www.ithome.com.tw/news/162887" target="_blank">Ilya Sutskever</a>，OpenAI超級對齊（Superalignment）團隊的共同主管Jan Leike，在OpenAI所扮演的角色都與安全有關，而Schulman亦如是，他是OpenAI的對齊科學主管。</p> <p>Schulman表示，他決定要在Anthropic追求上述目標，相信在那裡可以得到新的觀點，並和對相同主題感興趣的人共同進行研究。</p> <p>不過，Schulman也特別澄清，他的離開並非因為在OpenAI的對齊研究缺乏支持，相反的，OpenAI高層一直致力於投資該領域，而是他想要在下一階段的職業生涯中專注於自己想做的事，這是個個人的決定。</p> <p>Anthropic是由一對同樣也是出自OpenAI的兄妹檔Dario Amodei與Daniela Amodei在2021年所創辦，不僅吸引Google及Amazon爭相投資，更被視為是市場上最有機會挑戰OpenAI的競爭者。</p> <p>至於正在休長假的Brockman曾是OpenAI執行長Altman的主要支持者，OpenAI董事會在去年底開除Altman時，也跟著離職，之後再跟著Altman回鍋OpenAI。</p> <p>新聞曝光後，Brockman透過X<a href="https://x.com/gdb/status/1820644694264791459" target="_blank">表示</a>，他將直接休到年底，而這也是他在OpenAI自9年前成立以來第一次可以放鬆，但任務尚未完成，他們還要建立一個安全的通用人工智慧（AGI）。Brockman的發言確認了他正在休假，也暗示他還沒有要離開OpenAI。</p> <p>不論如何，OpenAI的11名共同創辦人中，現在只剩Altman及Wojciech Zaremba還在公司上班。</p> </div></div></div>
2024/8/6 12:46作者陳曉莉https://www.ithome.com.tw/news/164311
中國駭客組織Evasive Panda入侵網路服務供應商從事供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客盯上不安全的軟體更新機制，藉機散布惡意程式的情況，不時有事故傳出，如今有研究人員發現，駭客竟針對網際網路服務供應商（ISP）發動攻擊，然後對部分的應用程式更新機制出手。</p> <p>資安業者Volexity揭露中國駭客組織Evasive Panda（該業者稱為StormBamboo，賽門鐵克則叫做Daggerfly）<a href="https://www.volexity.com/blog/2024/08/02/stormbamboo-compromises-isp-to-abuse-insecure-software-update-mechanisms/">於去年中旬入侵ISP的攻擊行動</a>，導致透過自動更新機制下載軟體的使用者受害，電腦被植入惡意程式。</p> <p>研究人員指出察覺這起攻擊行動的原因，他們起初偵測到搭載Windows與macOS作業系統的電腦感染Evasive Panda使用的惡意程式，但對於感染的來源最初難以確定，直到後來進一步追查，才確認是ISP層級的DNS中毒攻擊所致。駭客針對不安全的軟體更新機制下手，因為該ISP採用未加密的HTTP連線，且軟體更新過程並未驗證安裝程式的簽章，使得攻擊者有機可乘，用於派送Macma、MgBot（該公司稱為PocoStick）等惡意程式。</p> <p>值得留意的是，這些駭客將中毒的DNS請求用來散布惡意程式。研究人員根據DNS紀錄內容，發現攻擊者控制的伺服器位於香港。起初Volexity推測，駭客入侵了受害組織的防火牆，但後來發現並非如此，各種證據指向ISP層級的DNS中毒攻擊。對此，研究人員向ISP通報此事並聯手進行調查，ISP重新啟動特定元件並將部分元件離線，從而緩解相關攻擊行動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/StormBamboo-image001.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/StormBamboo-image001.png" style="width: 580px;" /></a></p> <p>但這並非Volexity首度揭露駭客利用DNS中毒來存取目標網路環境的情況，研究人員曾在去年5月公布惡意軟體CatchDNS的攻擊行動，這起事故是與Evasive Panda有關的駭客組織DriftingBamboo所為，當時駭客在Sophos XG防火牆植入惡意程式。</p> <p>而針對這起攻擊事故，研究人員指出，Evasive Panda針對多家採用不安全更新機制的軟體供應商（如影音播放器5KPlayer），然後藉由DNS中毒來竄改特定的配置檔案，從而讓受害電腦以為有新版軟體可供套用，並從駭客的伺服器下載惡意程式，藉由PNG圖檔向Windows電腦植入MgBot，而對於macOS電腦，則是會下載名為Macma的惡意程式。研究人員特別提及Macma與Gimmick的程式碼，存在明顯的相似性。這樣的發現，與<a href="https://www.ithome.com.tw/news/164099">賽門鐵克推測駭客採用相同程式庫打造多種惡意程式</a>的說法有所交集。</p> <p>一旦駭客成功部署惡意程式後，就有可能進行後續的攻擊行動，研究人員看到其中一臺Mac電腦被植入惡意的Chrome擴充套件ReloadText，從而竊取瀏覽器個人設定，以及郵件資料。</p> </div></div></div>
2024/8/5 16:43作者周峻佑https://www.ithome.com.tw/news/164300
微軟Semantic Kernel套件強化AI開發，新增代理人框架支援多任務應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在其人工智慧應用開發包<a href="https://github.com/microsoft/semantic-kernel/tree/main/dotnet/src/Agents">Semantic Kernel增加代理人框架</a>，使得開發者可以更簡單地建立多代理架構，讓人工智慧應用能夠更好地應付各種任務。</p> <p>Semantic Kernel是一個輕量級的開源開發工具包，讓開發者可以簡單地建置人工智慧代理。作為一個高效的中介軟體層，降低開發者將人工智慧模型整合到C#、Python或Java程式碼的工作，達到快速交付解決方案的目的。</p> <p>人工智慧代理人是專注特定任務和角色的實體，也就是說，每個代理人都配置特定的功能支援專門的任務。這種專業化有助於提高系統在特定領域的效能，此外，多代理人可以合作完成更複雜的任務，使系統有能力處理更為複雜的問題，並提供綜合且全面的解決方案，特別適用於需要多方面知識和技能的應用場景。</p> <p>多代理人框架的加入，也使得系統變得更模組化，開發者可以容易地增加、替換代理人和工具集，提高系統的靈活性和可擴充性。</p> <p>Semantic Kernel代理框架提供抽象層和具體的代理類型，供開發者能夠創建和管理專門的人工智慧代理，抽象的類型如Agent和AgentChat，而具體的代理類型包括ChatCompletionAgent和OpenAIAssistantAgent。ChatCompletionAgent可以用於實作聊天功能，而OpenAIAssistantAgent則可使用Open AI Assistant API。使用不同的代理類型，便可讓系統靈活應對不同的應用需求。</p> <p>微軟還在更新Semantic Kernel持續改進代理框架，官方也預告Semantic Kernel將會陸續加入其他新功能，包括Semantic Kernel Python代理框架，並支援即將推出的Open AI Assistant V2功能，同時Semantic Kernel也會提供代理串流處理等功能。</p> </div></div></div>
2024/8/6 09:38作者李建興https://www.ithome.com.tw/news/164302
【資安日報】8月5日，研究人員公布去年中國駭客APT41攻擊臺灣研究機構的事故
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著政治情勢日益緊張，中國駭客針對臺灣企業組織發動攻擊的情況不斷傳出，而在上週四又有這類事故的調查出爐，有資安廠商去年發現一個附屬於臺灣政府機關的研究機構遭駭。</p> <p>值得留意的是，在這起攻擊行動裡，駭客運用過往較為少見的手法，其中一種是利用舊版微軟Office軟體搭配的輸入法編輯器（IME），該元件推出已長達13年，且不再受到支援。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164297"><strong style="font-size: 22px;">臺灣研究機構遭中國駭客組織APT41攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CS-Avoid-Killing.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CS-Avoid-Killing.png" style="width: 300px; float: right;" /></a></p> <p>惡名昭彰的中國駭客組織APT41近年來動作頻頻，這幾週以來，與他們有關的資安事故揭露接踵而來。自資安業者Mandiant公布該組織滲透全球航運、物流、媒體及娛樂產業的攻擊行動，有研究人員公布專門針對臺灣而來的資安事故。</p> <p>思科旗下威脅情報團隊Talos揭露APT41針對臺灣政府所屬研究機構的攻擊行動，遭駭單位是隸屬臺灣政府旗下的研究機構，專精於運算與科技領域，研判駭客的目的很有可能是竊取專利資料或是敏感的技術。</p> <p>研究人員去年8月偵測到受害組織的IP位址在下載PowerShell指令碼，並執行惡意命令的情況，事實上，根據他們的追蹤，這些駭客從去年7月開始，存取其中3臺主機，濫用微軟辦公室軟體Office的舊版輸入法編輯器（IME）檔案，以及已知漏洞CVE-2018-0824，將惡意程式ShadowPad、Cobalt Strike，以及其他後續作案的攻擊工具植入這個研究機構當中，至少有11天之久，但究竟有多少資料遭竊，思科並未透露。</p> <p><a href="https://www.ithome.com.tw/news/164275"><strong style="font-size: 22px;">新興攻擊手法濫用免費Cloudflare隧道服務，靈活交付惡意軟體</strong></a></p> <p>資安公司Proofpoint發現惡意人士透過TryCloudflare試用服務，大量濫用Cloudflare隧道（Tunnel）傳遞惡意軟體，隱藏其交付遠端存取木馬（RAT）的行動。這項新的攻擊手法，代表著攻擊者能夠靈活改變其基礎設施和戰術，並透過持續演進的伎倆提高攻擊成功率，降低被發現的機會。</p> <p>自2023年以來，濫用TryCloudflare隧道的行為變得越來越普遍，攻擊者持續改良戰術與手法，擴大活動範圍，傳遞資訊量從數百到數萬不等，影響達全球數千組織。研究人員觀察到，該攻擊活動通常圍繞在商業主題上，以發票、文件請求、包裹遞送或是稅務等作為誘餌，並使用英文、法文、西班牙文和德文，達到廣泛的攻擊效果。</p> <p>透過TryCloudflare傳遞的常見惡意軟體，包括Xworm、AsyncRAT、VenomRAT，而Remcos和GuLoader出現機會較少。研究人員表示，從他們發現此手法以來，背後操控的攻擊者已逐漸改變其戰術、技術和程式，試圖繞過偵測進行更高效的攻擊。</p> <p><a href="https://www.ithome.com.tw/news/164291"><strong style="font-size: 22px;">DigiCert註銷逾8萬個SSL憑證</strong></a></p> <p>8月4日SSL數位憑證機構（CA）DigiCert突然宣布消息，表明要註銷未做好適當驗證的SSL憑證，數量超過8.3萬個，並要求用戶在周末前更換新憑證。為何要撤銷憑證？DigiCert坦承他們沒做好網域控制驗證（Domain Control Validation，DCV）。</p> <p>被註銷的憑證主要影響TLS憑證，以及少部分S/MIME憑證。若用戶S/MIME憑證遭到註銷，其電子郵件還是能使用，但無法使用電子郵件加密，因此，在用戶未能更換S/MIME憑證前，收件者只能仰賴郵件用戶端的信任警告來確保信件的安全性。</p> <p>根據DigiCert的Bugzilla報告，這次異動將影響6,807名訂閱用戶、83,267個憑證。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/sitting-ducks-dns-attacks-let-hackers-hijack-over-35-000-domains/"><strong style="font-size: 20px;">研究人員揭露DNS攻擊行動Sitting Ducks，逾3.5萬個網域遭到挾持</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.aquasec.com/blog/panamorfi-a-new-discord-ddos-campaign/">專門針對Minecraft伺服器的DDoS攻擊工具包鎖定配置不當的Jupyter Notebook而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/h/malvertising-campaign-fake-ai-editor-website-credential-theft.html">駭客在臉書上聲稱提供AI圖片編輯工具，意圖散布竊資軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.chinatimes.com/realtimenews/20240730005327-260407me-using-brute-ratel-175741987d87">審計部警告戶役政系統存在資安風險，內政部規畫回應將於今年底完成更新</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cisa.gov/news-events/ics-advisories/icsa-24-214-07">CISA警告陞泰視訊監控設備漏洞已被用於攻擊行動</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164296"><strong style="font-size: 22px;">蘋果釋出各平臺安全更新，並針對macOS Monterey修補3月公布的RTKit零時差漏洞</strong></a></p> <p>7月29日蘋果針對macOS、iOS、iPadOS、watchOS、tvOS與visionOS釋出安全性更新，除了作業系統本身的漏洞之外，也處理多個開源專案元件漏洞。而在3月的時候，該公司對macOS Sonoma、iOS 17、iPadOS 17、tvOS、watchOS、visionOS修補的<a href="https://nvd.nist.gov/vuln/detail/cve-2024-23296">零時差漏洞CVE-2024-23296</a>，到了5月，他們也對macOS Ventura、iOS 16、iPadOS 16提供相關更新，現在則針對macOS Monterey用戶發布12.7.6版予以修補，並且提到該漏洞已被用於攻擊。</p> <p>CVE-2024-23296主要影響蘋果即時作業系統元件RTKit，擁有核心讀寫能力的攻擊者，便可繞過核心記憶體保護取得系統控制權，導致敏感資料洩漏，甚至是影響系統的穩定性。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164299"><strong style="font-size: 22px;">資安股又新增一生力軍，中華資安國際預計8月20日上興櫃</strong></a></p> <p>臺股交易雖然有起落漲跌，卻是交易相當熱絡，而近期又有一支新的股票公開上市，那就是中華電信集團資安專業服務公司──中華資安國際（股票代號7765）。將可以大幅刺激臺股市場，依據作業流程推論將於8月6日公開發行，預計於8月20日上興櫃。</p> <p>臺灣目前的資安類股包括：精誠（6214）、資通（2471）、安碁資訊（6690）、緯軟（4953）、是方（6561）、神準（3558）等企業，隨著中華資安國際於8月6日公開發行，預計8月20日上興櫃，也讓臺灣資安類股多一個選擇。</p> <p><a href="https://www.ithome.com.tw/news/164293"><strong style="font-size: 22px;">CISA任命首任AI長Lisa Einstein</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/0805-CISA-Chief Artificial Intelligence Officer-lisa einstein.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/0805-CISA-Chief%20Artificial%20Intelligence%20Officer-lisa%20einstein.jpg" style="width: 300px; float: right;" /></a>美國國土安全部旗下的網路安全暨基礎設施安全局（CISA）上周四（8月1日）揭露了該局的首位AI長Lisa Einstein，將負責管理CISA對AI的使用，同時確保其關鍵基礎設施的合作夥伴以安全及可靠的方式來開發及採用AI。</p> <p>CISA設立AI長的緣由，在於美國行政管理和預算局（OMB）今年3月發布適用於美國所有政府機關的AI政策，其中一項政策便是要求所有聯邦機構都必須設立負責主導與執行AI政策的AI長（Chief AI Officer，CAIO）。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164277"><strong>【8月2日】駭客透過網路問答平臺Stack Exchange散布惡意PyPI套件，目標是Raydium區塊鏈用戶</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164256"><strong>【8月1日】Azure服務出現不穩定的異常情況，微軟表示起因與DDoS攻擊有關</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164242"><strong>【7月31日】研究人員揭露針對性的PyPI惡意套件攻擊行動，意外扯出AI搜尋引擎被誤導的新型態社交工程危機</strong></a></p> </div></div></div>
2024/8/5 16:56作者周峻佑https://www.ithome.com.tw/news/164301
資安股又新增一生力軍，中華資安國際預計8月20日上興櫃
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺股交易雖然有起落漲跌，卻是交易相當熱絡，而近期又有一支新的股票公開上次，那就是中華電信集團資安專業服務公司──中華資安國際（股票代號7765）。將可以大幅刺激臺股市場，依據作業流程推論將於8月6日公開發行，預計於8月20日上興櫃。</p> <p>中華資安國際由中華電信轉投資的資安子公司，並於2018年1月16日正式成立，也呼應政府發展臺灣資安自主研發及鼓勵產業創新政策，可以透過產業及資安專業人才培育，打造一個安全、可信賴的資通訊環境。</p> <p>中華資安國際是中華電信轉投資的資安子公司，於2017年2月通過鼓勵內部員工創業鼓勵作業要點，鼓勵集團內不具有領先技術的優秀人才投入創業，而中華資安國際就是第一個是用這個獎勵作業要點的資安子公司。</p> <p>資安產業一直是臺灣產業轉型關鍵，而中華資安國際自2018年1月成立迄今，具有豐富的資安攻防實務經驗，並結合研發、實務、技術能力，提供事前檢測、事中監控應變和事後鑑識回復的資安產品和服務，以期能達到一站式滿足政府和企業的資安服務需求。</p> <p>臺灣目前的資安類股包括：精誠（6214）、資通（2471）、安碁資訊（6690）、緯軟（4953）、是方（6561）、神準（3558）等企業，隨著中華資安國際於8月6日公開發行，預計8月20日上興櫃，也讓臺灣資安類股多一個選擇。</p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/8/5 16:21作者黃彥棻https://www.ithome.com.tw/news/164299
臺灣研究機構遭中國駭客組織APT41攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡名昭彰的中國駭客組織APT41近年來動作頻頻，其動態尤其引人關注，自<a href="https://www.ithome.com.tw/news/164027">資安業者Mandiant公布該組織滲透全球航運、物流、媒體及娛樂產業的攻擊行動</a>，有研究人員公布專門針對臺灣而來的資安事故。</p> <p>思科旗下威脅情報團隊Talos揭露<a href="http://blog.talosintelligence.com/chinese-hacking-group-apt41-compromised-taiwanese-government-affiliated-research-institute-with-shadowpad-and-cobaltstrike-2/">APT41針對臺灣政府所屬研究機構的攻擊行動</a>，遭駭單位是隸屬臺灣政府旗下的研究機構，專精於運算與科技領域，研判駭客的目的很有可能是竊取專利資料或是敏感的技術。</p> <p>思科去年8月偵測到受害組織的IP位址在下載PowerShell指令碼，並執行惡意命令的情況，事實上，根據他們的追蹤，這些駭客從去年7月開始，存取其中3臺主機，濫用微軟辦公室軟體Office的舊版輸入法編輯器（IME）檔案，以及已知漏洞CVE-2018-0824，將惡意程式ShadowPad、Cobalt Strike，以及其他後續作案的攻擊工具植入這個研究機構當中，<a href="http://www.bloomberg.com/news/articles/2024-08-01/suspected-chinese-hackers-hit-taiwanese-research-center">至少有11天之久</a>，但究竟有多少資料遭竊，思科並未透露。</p> <p>對於這起事故的發現，研究人員指出，當這些駭客取得初始的存取權限後，他們開始在電腦執行惡意程式碼以便持續在該機構網路環境活動，在網頁伺服器植入Web Shell而能進行偵察並下達命令，最終部署惡意程式，而根據散布惡意程式的手法，研究人員大致區分成3種型態，包含了使用Web Shell、遠端桌面存取（RDP），以及反向Shell。</p> <p>研究人員提到，當駭客在試圖投放ShadowPad部分元件的過程裡，遭到受害主機上思科的資安防護系統攔截，於是駭客改變手法試圖繞過，並從架設在主機代管業者戰國策（<a href="http://www.nss.com[.]tw">www.nss.com[.]tw</a>）的C2伺服器下載Cobalt Strike。駭客使用能夠回避防毒軟體偵測的惡意程式載入工具，來啟動Cobalt Strike。</p> <p>在入侵的過程裡，駭客嘗試執行惡意程式UnmarshalPwn來利用CVE-2018-0824。此外，一旦後門成功部署，他們就會立刻清除Web Shell，或是用來存取的Guest帳號，研究人員指出，這些駭客相當謹慎。</p> <p><a href="https://s4.itho.me/sites/default/files/images/APT41-UnmarshalPwn.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT41-UnmarshalPwn.jpg" style="width: 580px;" /></a></p> <p>接著，這些駭客對於受害組織的網路環境進行偵察，過程中使用53781埠，但為何這麼做，研究人員表示不清楚。</p> <p>而對於駭客使用的惡意程式，研究人員提及駭客載入ShadowPad的方式出現新手法，那就是運用13年前的IME檔案imecmnt.exe來進行。</p> <p>再者，前述提到用來啟動Cobalt Strike的惡意程式載入工具，則是源自中國開源專案，而該專案設置的目的本來就是防止Cobalt Strike遭到防毒軟體攔截，駭客幾乎可說是拿現成的工具加以利用。研究人員提到，駭客下載、解密、執行Cobalt Strike Beacon的過程，完全在記憶體內執行，而不會在磁碟留下痕跡。</p> </div></div></div>
2024/8/5 15:10作者周峻佑https://www.ithome.com.tw/news/164297
Apple釋出各平臺安全更新，還針對舊版macOS修補RTKit零日漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple最新針對macOS、iOS、iPadOS、watchOS、tvOS與visionOS釋出<a href="https://support.apple.com/en-us/HT201222">安全性更新</a>，除了 Apple作業系統本身的漏洞之外，也處理了多個開源專案針對漏洞的更新。而在5月的時候，Apple對macOS中的零日漏洞CVE-2024-23296修補，現在也下放到更舊的版本macOS Monterey中，並且提到該漏洞已被用於進行攻擊。</p> <p>CVE-2024-23296漏洞主要影響Apple的即時作業系統RTKit，擁有核心讀寫能力的攻擊者，便可繞過核心記憶體保護取得系統控制權，導致敏感資料洩漏，甚至是影響系統的穩定性。該漏洞可能已被積極利用，Apple指出，有報告顯示已有攻擊者利用該漏洞進行攻擊。</p> <p>Apple針對CVE-2024-23296漏洞，從7月開始提供iOS、iPadOS與macOS的修補程式。目前包括iOS 16.7.8、iPadOS 16.7.8與macOS Monterey 12.7.6等較舊的作業系統版本都已經獲得修補，透過改進驗證機制後，解決記憶體可能的毀損問題，避免攻擊者藉由該漏洞進行攻擊。</p> <p>除此之外，Apple在macOS上還修正了OpenSSH的CVE-2024-6387安全漏洞，該漏洞允許未經授權的攻擊者，從遠端執行任意程式碼。由於OpenSSH為熱門的開源專案，因此CVE-2024-6387漏洞影響範圍極廣，大多數Linux版本都受到影響，而Apple軟體同樣也受到波及，目前已知macOS Monterey、Ventura、Sonoma都存在該漏洞，用戶應儘速更新已解決該問題。</p> <p>macOS、iOS、iPadOS中負責進行圖片解編碼任務的ImageIO，也受到開源專案中的漏洞影響，Apple修補了來自libtiff函式庫中CVE-2023-6277、CVE-2023-52356兩個漏洞，以及ImageIO處理惡意製作的檔案，可能導致應用程式意外終止的多個漏洞。</p> <p>Apple不久之前也針對iPhone 15 Pro與iPhone 15 Pro Max釋出iOS 18.1 Beta測試版，首度推出Apple Intelligence功能，使用者將可試用包括書寫工具等由生成式人工智慧模型所支援的功能。不過並非所有使用者都能夠試用Apple Intelligence，目前僅限於國家地區設置為美國，且語言預設使用美式英文的使用者。</p> </div></div></div>
2024/8/5 16:09作者李建興https://www.ithome.com.tw/news/164296
支援三大OS、拉攏PC用戶，Nvidia推AI開發快速上手工具
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/2024-01-mistral-7b-fine-tuning-project-nvidia-ai-workbench-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想要發展技術自主程度相對較高的AI應用系統，大家一開始面臨的最大的困難，是不知該從何處著手，從軟體開發平臺、雲端服務、硬體設備，都有許多搭配方式可選，尤其是軟體相關工具，有各式各樣的應用程式開發框架（framework）、程式庫（library）、軟體開發套件（SDK）、容器（container）、模型（model）、資料集（dataset）。</p> <p>單就強調高度整合的開發環境而言，三大雲端服務業者都提供相關的工具，像是AWS的SageMaker Studio、微軟的Azure AI Studio、Google Cloud的Vertex AI Studio，有些硬體運算廠商也提供這類工具，例如，英特爾目前有OpenVINO Toolkit、oneAPI Toolkits，以及前身為cnvrg.io的Intel Tiber AI Studio，Nvidia在去年8月舉行的<a href="https://developer.nvidia.com/blog/develop-and-deploy-scalable-generative-ai-models-seamlessly-with-nvidia-ai-workbench/">SIGGRAPH 2023大會發表Nvidia AI Workbench</a>，今年3月的GTC 2024大會正式推出，<a href="https://developer.nvidia.com/blog/streamline-ai-powered-app-development-with-nvidia-rtx-ai-toolkit-for-windows-rtx-pcs/">到了6月，他們釋出囊括這套工具的Nvidia RTX AI Toolkit</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-SIGGRAPH-Nvidia AI Workbench1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-SIGGRAPH-Nvidia%20AI%20Workbench1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-SIGGRAPH-Nvidia AI Workbench2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-SIGGRAPH-Nvidia%20AI%20Workbench2.jpg" style="width: 400px;" /></a></p> <p>而對於Nvidia而言，他們想透過Nvidia AI Workbench，提供統一、易用的工具套件，協助開發者能夠運用個人電腦、工作站，以及遠端資料中心、公有雲、Nvidia DGX Cloud的GPU資源，快速建立預先完成訓練（pretrained）的生成式AI模型，並且進行測試與內容組成的自定，而且能在此集中管理資料、模型、資源、運算的需求，以及更順暢的協同作業與部署。</p> <p>Nvidia希望藉此降低大家著手進行企業AI專案的複雜度，提供能在本機電腦執行的簡化操作介面，開發者能運用自定的資料，針對源於開放原始碼AI軟體與模型資源庫Hugging Face、程式碼共享平臺GitHub、Nvidia GPU雲端軟體開發型錄服務NGC的模型，並且可以根據本身的需求、經過幾個點選動作，在此進行修改與執行，之後可橫跨多種平臺，輕鬆共享這些已完成調整的模型。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia AI Workbench-2024-03-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20AI%20Workbench-2024-03-1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20AI%20Workbench-2024-03-2.jpg" style="width: 500px;" /></p> <p>相對地，開發者也能透過這套高度整合的AI輔助開發工具，在JupyterLab、VS Code這兩種整合式開發環境，以原生操作、高度共通與透明的方式，管理多臺硬體設備執行的工作，從多個開放原始碼軟體儲存庫與Nvida提供的AI/ML軟體平臺，拉取所有必備的企業級AI模型、框架、軟體開發套件、程式庫。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-Nvidia AI-Workbench-workflow-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-Nvidia%20AI-Workbench-workflow-web.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia AI Workbench-2024-03-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20AI%20Workbench-2024-03-6.jpg" style="width: 600px;" /></a></p> <p>為何Nvidia AI Workbench能同時支援本機與遠端執行？事實上，在個人電腦安裝這套AI工具時，採用主從式（client-server）的架構進行部署，使用者操作介面是執行在搭配Nvidia RTX GPU的桌上型電腦、筆電、工作站，作為工具的基本資源，而且能經由SSH安全加密連線協定，與同臺電腦與遠端伺服器安裝的Workbench Service服務溝通，如此一來，能在多個團隊人員個別的工作站本機進行初期開發，後續等到AI訓練工作規模變大時，可轉移到資料中心或雲端服務、用性能更強大的運算資源完成工作。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/MTA3D4LJfc0?si=XhEzkrEDvpOMdMsX&start=60" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>至於Nvidia AI Workbench整合的軟體開發協作機制，也支援用戶內部自建自管的容器登錄服務（registry），以及Git伺服器。基本上，這套軟體開發平臺採用聚焦在個別專案（project）的基礎架構，裡面有一套Git儲存庫，蘊含多個可描述內容與彼此關係、組態設定的指令、執行方式的中繼資料檔案（metadata files）。同時，Nvidia AI Workbench處理的存放位置或相依於使用者的資料，都會清清楚楚地呈現，並且注入執行階段環境（runtime），以便這些資訊不會寫死在專案當中。而這樣的專案架構，有助於自動執行版本管理、容器管理、機密資訊處理等複雜的工作，也能適用於多個團隊的協同合作。</p> <p>而在去年8月Nvidia AI Workbench最初發表之際，有多家工作站與伺服器大廠商表態支援，像是<a href="https://www.dell.com/zh-tw/blog/end-to-end-genai-development-invoke-nvidia-ai-workbench-and-precision/">Dell</a>、HPE、HP、Lambda Labs、<a href="https://news.lenovo.com/accelerating-the-opportunities-of-generative-ai-with-lenovo-ai-workstations-and-nvidia/">聯想</a>、Supermicro，能以此突顯他們提供的實體（本機）與虛擬型態（遠端）GPU工作站，開發者不僅可以運用搭配Nvidia RTX世代GPU的Windows或Linux系統電腦或工作站，進行企業級生成式AI專案的初始建立、測試驗證，以及精密微調，也能以簡單的方式存取位於資料中心與雲端服務業者的GPU運算個體，而在AI系統需要更大的執行規模時，得以順利擴展硬體資源。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/ntMRzPzSvM4?si=ATuzxgqaQ5zTS-TA" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>今年1月，Nvidia AI Workbench釋出Beta版，Nvidia揭露可安裝在3種作業系統，分別是Windows 11、Ubuntu 22.04、macOS 11與後續版本；在軟體開發環境的支援上，用戶可透過這套工具的桌面App與命令列介面，存取相容於Git的版本控制系統，執行拉取、推送、餵補；容器執行階段的引擎，可選擇Docker或Podman；在預設搭配的應用程式框架的系統基礎映像，原本只有NGC型錄提供的Python Basic、PyTorch Basic，此時增添3個：CUDA 11.0、CUDA 12.0、CUDA 12.2；關於協助開發者上手的參考範例專案，Nvidia在此提供Mistral（採用QLoRA PEFT微調Mistral 7B模型）、檢索增強生成（RAG）、NeMotron-3（採用Nvidia NeMo微調Nemotron-3 8B模型）等3種。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-01-mistral-7b-fine-tuning-project-nvidia-ai-workbench-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-01-mistral-7b-fine-tuning-project-nvidia-ai-workbench-web.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20AI%20Workbench-2024-03-3.jpg" style="width: 600px;" /></p> <p>3月GTC 2024大會期間，Nvidia AI Workbench 1.0版正式推出，開放免費下載，用戶可藉此從Nvidia API型錄或直接在本機電腦的AI推論微服務（NIM），結合雲服務端點（cloud endpoints）來部署生成式AI模型，而在整合開發環境的部分，這一版開始支援VS Code，開發者可在此調度指揮GPU環境當中的容器化專案，關於專案搭配的基礎系統映像，開發者也能在建立專案時，選擇自己的容器映像作為基礎系統映像，但條件是這個映像必須使用遵循基礎映像規格的映像標籤。</p> <p>1.0版也改善套件管理與安裝方式。開發者可透過Workbench的使用者操作介面，直接進行管理，並且將所需的套件增添到容器當中；對於Windows與macOS的用戶而言，可以更容易安裝Nvidia AI Workbench，同時，在Docker容器執行階段的運用上，也提供更好的支援。</p> <p>截至7月初為止，Nvidia AI Workbench後續又經歷幾個小改版，例如，5月底釋出的1.1版，作業系統增加支援更多人使用的Windows 10，7月1.2版登場，作業系統增加支援今年4月最新推出的Ubuntu 24.04。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20AI%20Workbench-2024-03-5.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Nvidia AI Workbench</strong><br /> ●原廠：Nvidia<br /> ●建議售價：免費<br /> ●作業系統需求：Windows 10（21H2 19044版以後）與Windows 11（21H2 22000版以後）、Ubuntu 22.04與Ubuntu 24.04、macOS 12<br /> ●硬體需求：本機或遠端電腦，16GB記憶體、硬碟空間41 GB<br /> ●容器執行環境：Docker或Podman<br /> ●預設提供容器：PyTorch for AI Workbench、Python Basic for AI Workbench、Python with CUDA 11.7/12.0/12.2、RAPIDS with CUDA 12.0<br /> ●程式碼撰寫與執行環境：JupyterLab、VS Code、純文字編輯器<br /> ●協同工作環境：GitHub、GitLab</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/8/5 12:35作者李宗翰https://www.ithome.com.tw/review/164281
CISA任命首個AI長Lisa Einstein
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國土安全部旗下的網路安全暨基礎設施安全局（CISA）上周四（8/1）<a href="https://www.cisa.gov/news-events/news/cisa-names-first-chief-artificial-intelligence-officer" target="_blank">揭露了該局的首位AI長Lisa Einstein</a>，將負責管理CISA對AI的使用，同時確保其關鍵基礎設施的合作夥伴以安全及可靠的方式來開發及採用AI。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0805-CISA-Chief%20Artificial%20Intelligence%20Officer-lisa%20einstein.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／CISA</span></span></p> <p>美國行政管理和預算局（Office of Management and Budget，<a href="https://www.ithome.com.tw/news/162036" target="_blank">OMB）在今年3月發布</a>了首個橫跨美國所有政府機關的AI政策，其中一項政策便是要求每一個聯邦機構都必須設立負責主導與執行AI政策的AI長（Chief AI Officer，CAIO）。</p> <p>當時OMB希望各個聯邦機構必須在60天內指定AI長，估計需要100名AI長。一時之間可擔任AI長的人工智慧專家炙手可熱，目前<a href="https://ai.gov/ai-in-gov/" target="_blank">美國政府已列出</a>了逾60個聯邦機構的AI長。</p> <p>Einstein在2022年時即擔任CISA網路安全諮詢委員會的執行董事，2023年成為CISA的AI資深顧問，現在則被賦予更重要的AI長職務。Einstein說，AI工具可以加速人類的進步，但只有在開發與部署AI工具之際，共同努力以優先考慮安全及可靠性時，才能真正享受AI的好處，並避免誤用或濫用所造成的傷害。</p> </div></div></div>
2024/8/5 13:09作者陳曉莉https://www.ithome.com.tw/news/164293
熱門廣告攔截工具uBlock Origin即將遭Chrome棄用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>熱門的廣告及追蹤器攔截工具<a href="https://github.com/uBlockOrigin/uBlock-issues/wiki/About-Google-Chrome%27s-%22This-extension-may-soon-no-longer-be-supported%22" target="_blank">uBlock Origin本周提醒</a>，用戶將於Chrome擴充功能頁面看到警告，宣稱系統可能會在近期內停止支援uBlock Origin（uBO）。這是因為Chrome即將從Manifest V2遷移到Manifest V3，且自上個月釋出的Chrome 127開始，針對那些基於Manifest V2的擴充程式祭出停用警告，uBO即為其中之一。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0805-uBlock%20issues-chrome%20extension-600.png" style="width: 420px;" /></p> <p>Manifest為一JSON文件，主要用來描述瀏覽器擴充程式的結構與行為，Google於Manifest V3中變更了廣告攔截及隱私等擴充程式用來封鎖與變更網路連結的WebRequest API，引發相關開發者的反彈，最終Google在V3中大幅提高了declarativeNetRequest的規則數量，允許擴充程式自背景採用DOM API，同意快速批准簡易的安全更新，並支援開發者回滾更新版本。Google自<a href="https://www.ithome.com.tw/news/163266" target="_blank">今年6月展開</a>遷移行動，計畫於明年初完成。</p> <p>uBO是個開源專案，強調在不消耗太多CPU及記憶體的前提下可過濾追蹤器、廣告及惡意網址，現有超過3,400萬名Chrome用戶<a href="https://chromewebstore.google.com/detail/ublock-origin/cjpalhdlnbpafiamejdnhcphjbkeiagm" target="_blank">安裝了該擴充程式</a>。<a href="https://chromewebstore.google.com/detail/ublock-origin/cjpalhdlnbpafiamejdnhcphjbkeiagm" target="_blank">Chrome線上應用程式商店（Chrome Web Store）</a>目前排行比它高的類似程式還有AdBlock與Adblock Plus，它們分別有5,900萬名及4,000萬名用戶。</p> <p>uBlock Origin團隊表示，uBO是個Manifest V2擴充程式，而且沒有Manifest V3版本，因此Chrome會建議使用者尋找替代的擴充程式；為此，該團隊盡最大努力將uBO的篩檢清單轉換成符合Manifest V3框架的作法，打造出uBO Lite（uBOL），uBOL同樣強調效率及可靠性，因此必須犧牲許多於Manifest V3框架上無法實現的功能，只能說是uBO的精簡版。</p> <p>該團隊也公布了<a href="https://github.com/uBlockOrigin/uBOL-home/wiki/Frequently-asked-questions-(FAQ)" target="_blank">uBO及uBOL的比較與差異</a>供使用者參考，指出uBOL並不會自動替換uBO，使用者必須自行選擇與安裝uBOL。</p> <p>此外，uBlock Origin團隊表明會繼續開發uBO，因為還有一些瀏覽器不會棄用Manifest V2，例如Firefox。</p> <p>其實不只是uBO，Chrome用戶最近應該會看到其它擴充程式要被停用的警告，它們都是因為不支援Manifest V3而即將與Chrome絕緣。</p> </div></div></div>
2024/8/5 11:24作者陳曉莉https://www.ithome.com.tw/news/164290
DigiCert註銷逾8萬個SSL憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SSL數位憑證機構（Certificate Authority，CA）<a href="https://www.digicert.com/support/certificate-revocation-incident" target="_blank">DigiCert昨（4）日宣布</a>已註銷未做好適當驗證的8萬多個憑證，並要求用戶在本周末前更換新憑證。</p> <p>撤銷憑證的原因是DigiCert未能做好網域控制驗證（Domain Control Validation，DCV）。DCV是指DigiCert將憑證發放給客戶前，會先驗證他們呼叫憑證的網域名是否具有控管或持有權利。其中一種方法是客戶在其網域名的DNS別名（CNAME）紀錄加入一組由DigiCert提供的隨機值，DigiCert之後會進行DNS查詢驗證是否找到相同的隨機值，符合者才會獲得提供網域控制權，即獲頒憑證。</p> <p>而DigiCert提供在DNS CNAME增加隨機值的方法之一，是利用前綴（prefix）格式，以底線符號加入隨機值。這種格式的前綴是為了確保隨機值不會和使用相同隨機值的實際網域名搞混。雖然DNS CNAME紀錄未前綴加入隨機值的機率不高，但仍然存在；最近DigiCert發現在CNAME-based的網域驗證案例中，有將近0.4%已通過者其CNAME並未加入底線前綴的隨機值。按照CA/Browser Forum（CABF）的規定，這些網域憑證必須在24小時內註銷，無一例外。</p> <p>被註銷的憑證主要影響TLS憑證，少部份S/MIME憑證也受影響。若用戶S/MIME憑證遭到註銷，其電子郵件還是能使用，但無法使用電子郵件加密，因此，在用戶未能更換S/MIME憑證前，收件者只能仰賴郵件用戶端的信任警告來確保信件的安全性。</p> <p>根據DigiCert的bugzilla報告，這次事件影響6,807名訂閱用戶的83,267張數位憑證。</p> <p>DigiCert要求用戶必須在世界協調時間（UTC）8月9日20:30（臺灣時間8月10日凌晨4:30）前換用新憑證。TLS/SSL憑證用戶可<a href="https://www.digicert.com/support/certificate-revocation-incident" target="_blank">登入DigiCert CertCentral帳號</a>檢視被註銷的憑證，以及產生新的憑證。S/MIME憑證用戶也可在CertCentral帳號下依據指示讀取已註銷憑證及產生新憑證。</p> </div></div></div>
2024/8/5 11:43作者林妍溱https://www.ithome.com.tw/news/164291
全球首部人工智慧法案歐盟AI Act生效了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由歐盟建立的全球首個人工智慧（AI）法案<a href="https://commission.europa.eu/news/ai-act-enters-force-2024-08-01_en" target="_blank">AI Act在8月1日正式生效了</a>，它替所有歐盟國家導入了一個統一的AI風險框架，同時替AI開發者與部署者擬定了清楚的責任與義務。此一法案將由歐盟執委會（European Commission，EC）旗下的AI辦公室（AI Office）負責推動與執行。</p> <p>AI Act定義了4種AI風險與行為準則，大多數的AI系統屬於最小風險，例如垃圾郵件過濾程式或AI遊戲等，這些系統不必承擔義務，但可以自願採用額外的行為準則。其次則是特定的透明度風險，要求諸如聊天機器人等系統必須明白讓用戶知道，他們正在與機器人互動，且某些由AI生成的內容也必須標記。</p> <p>被歸類為高風險的AI系統必須符合更嚴格的要求，例如基於AI的醫療軟體，或者是用來招募人才的AI系統等，都必須配備風險緩解系統，採用高品質的資料集，擁有清楚的使用者資訊，以及受到人類監督等。</p> <p>而在《黑鏡》（Black Mirror）等影集中曾經出現，整個人類社會彼此評分的AI系統則被視為不可接受的風險。不管是由政府或企業主導的「社會評分」（social scoring）AI系統，都被認為威脅到人類的基本權利，而直接被禁止。</p> <p>歐盟執委會表示，歐盟立志成為安全AI的全球領導者，藉由制定基於人權與基本價值觀的強大監管框架，將可開發一個造福所有人的AI生態體系。</p> <p>為了協助企業遵守AI Act，EC正著手制定通用AI（GPAI）模型供應商的行為守則，正式守則可望於明年4月之前出爐。</p> <p>雖然AI Act已經生效，但不同規則的實施時間不同，例如不可接受風險的AI系統禁令會在6個月後實施；歐盟會員國必須在明年的8月2日以前指定主管部門，以負責監督AI系統規則的部署；通用AI模型的規則將在12個月後實施；而絕大多數的AI Act規則要到2026年的8月2日才上線。</p> </div></div></div>
2024/8/5 12:01作者陳曉莉https://www.ithome.com.tw/news/164292
Google延攬Character.AI高層，創辦人回鍋前公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周與AI新創公司Character.AI簽定技術授權合作，並延攬曾是前Google AI部門員工的創辦人。</p> <p>創立於2022年的Character.AI主要業務是開發個人化AI通訊加值服務，像是建立可和用戶對談的迪士尼動畫主角（如米奇）AI虛擬化身的<a href="https://blog.character.ai/introducing-character-calls/" target="_blank">Character Calls</a>，以及上傳用戶說話樣本自建AI角色聲音的Character Voice。在和Google的非獨家技術授權協議中，Character.AI將授權Google使用其LLM技術。此外，本項合作可能包含Google一筆金額不詳的投資。Character.AI表示，這項合作可增加Character.AI的資金，支持其持續成長並專注在個人化AI產品上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0805-character%20ai-android-600(1).png" style="width: 600px;" /></p> <p>但雙方合作更重要的一部份是Character.AI的核心員工，包括創辦人Noam Shazeer及Daniel De Freitas及數名研發人員，也將加入Google。其中執行長Shazeer也是Google前員工，他在Google任職期間擔任Google對話式AI模型LaMDA（Language Model for Dialogue Applications）專案的主導人，他在2021年離職創辦Character.AI，並獲得私募基金公司16z支持，加入Google意謂著又將回鍋前東家。Shazeer和De Freitas會加入Google DeepMind部門，但詳細角色和職責還不明。</p> <p>而在兩名高層離開後，Character.AI將由法務長Dominic Perella擔任臨時CEO。Perella曾是社群App開發商Snap高層，去年年中才加入Character.AI。<a href="https://blog.character.ai/our-next-phase-of-growth/" target="_blank">該公司表示</a>未來會持續投資模型後訓練能力，搭配自有或開源LLM開發新服務。</p> <p>Google與Character.AI的合作，和微軟投資新創業者Inflection.AI的手法十分相似。微軟3月延攬Inflection AI二名共同創辦人Mustafa Suleyman及Karén Simonyan加入新成立的Microsoft AI部門，其中曾任DeepMind的Suleyman將任該部門執行長，Simonyan則任該部門首席科學家，二公司也簽定了非獨家技術授權協議。兩家大廠雖然未收購AI新創業者，但由於延攬了其核心員工，特別容易招來反壟斷主管機關的關切。英國主管機關競爭與市場委員會（Competition and Markets Committee，CMA）已經<a href="https://www.ithome.com.tw/news/163972" target="_blank">宣布著手調查</a>微軟和Inflection的合作案。</p> </div></div></div>
2024/8/5 10:31作者林妍溱https://www.ithome.com.tw/news/164285
Nvidia下一代AI晶片傳設計瑕疵將延後至少1季推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，Nvidia下一代AI晶片Blackwell B200因設計上的瑕疵，將延後推出至少3個月。</p> <p>媒體<a href="https://www.theinformation.com/articles/nvidias-new-ai-chip-is-delayed-impacting-microsoft-google-meta?rc=v4bmzs" target="_blank">The Information引述</a>二家Nvidia的合作夥伴報導，微軟通知這二家業者，設計瑕疵使Blackwell B200推出被迫延遲至少3個月，無法依預定於今年第4季出貨。<a href="https://www.bloomberg.com/news/articles/2024-08-03/nvidia-s-new-ai-chip-delayed-due-to-design-flaws-information" target="_blank">彭博則推測</a>，其中一名消息來源是微軟員工。</p> <p>Blackwell B系列是H100系列的新一代GPU。消息如果屬實，將打臉Nvidia的說法。本周稍早Nvidia才公布下一代晶片Blackwell B100與B200工程樣本，並說進度按預定時程。這意謂著客戶最快要等到2025年第1季才能拿到最新一代AI晶片。</p> <p>GPU交貨延遲勢必讓亟於推出開發AI模型及應用服務的平臺大廠跳腳。目前AI大廠從Meta、微軟、xAI傳已下單購買30萬顆B200 GPU，不過Nvidia客戶之一的Meta早已懷疑Nvidia可能得要到明年第2季才能交貨。</p> <p>另外，如果B200真的延後出貨，Nvidia也並非近日唯一這麼決定的晶片業者。AMD原本預定7月31日推出Zen 5架構桌機版處理器Ryzen 9000系列，但在即將推出前夕<a href="https://www.anandtech.com/show/21489/amd-delays-ryzen-9000-launch-1-to-2-weeks-due-to-chip-quality-issues" target="_blank">宣布</a>因為「品質問題」將推遲1到2周。</p> <p>延後推出總好過推出後發生問題。7月底許多用戶搭載英特爾Core 13或14代桌機處理器的電腦當機問題，這家CPU業者證實原因出於「運作電壓過高」。<a href="https://www.theverge.com/2024/7/26/24206529/intel-13th-14th-gen-crashing-instability-cpu-voltage-q-a" target="_blank">英特爾承諾</a>8月中釋出微機碼解決問題，並對當機的處理器延長保固期間二年。但<a href="https://www.tomshardware.com/pc-components/gpus/nvidia-blackwell-gpus-allegedly-delayed-due-to-design-flaws" target="_blank">Tom's Hardware報導</a>，已經當掉的處理器已無法復原。</p> </div></div></div>
2024/8/5 10:48作者林妍溱https://www.ithome.com.tw/news/164286
【資安週報】2024年7月29日到8月2日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期的資安新聞中，在資安威脅態勢上，我們認為有3項消息需要特別重視，涵蓋勒索軟體、網釣攻擊、GitHub遭濫用。</p> <p>（一）駭客開出的勒索金額出現獅子大開口的情形，在Zscaler的一份最新報告指出，勒索軟體集團Dark Angels今年成功勒索一家企業7,500萬美元（約24億元），區塊鏈分析業者Chainalysis也證實此情形，並擔心引起其他駭客集團仿效。</p> <p>（二）有資安業者揭露一起大規模網路釣魚攻擊行動，攻擊者竟然可以發送具有通過SPF和DKIM簽章驗證的大量郵件，調查後發現，駭客疑似利用Proofpoint的郵件防護服務漏洞EchoSpoofing。Proofpoint也提出說明，表示這起事件呈現的弱點並非他們的系統獨有。</p> <p>（三）關於程式碼儲存庫GitHub遭駭客濫用的情形，最近又有新的發現，有資安業者示警，發現駭客組織Stargazers Ghost專門經營大量帳號並提供儲存庫讓駭客與犯罪集團使用，進而形成龐大的網路犯罪生態圈。</p> <p>在APT威脅與資安事件方面，主要有2個重點，分別是關於APT45、APT10的攻擊活動揭露，還有國內外的2起重大資安事件。我們整理如下：<br /> ●近日北韓駭客組織APT45的攻擊行動被大量揭露，包括Google旗下Madiant、微軟，還有美國司法部起訴APT45中一名北韓駭客成員Rim Jong Hyok，當中更是透露受害者不只美空軍基地、NASA，還有臺灣與美、韓的國防承包商。<br /> ●在上個月，日本JPCERT/CC揭露當地製造業、研究機構發動攻擊遭受攻擊，被植入後門程式NoopDoor，如今有資安業者公布該惡意程式細節並指出是中國駭客組織APT10所慣用的惡意程式。<br /> ●華經資訊發布資安重訊，說明已啟動相關防禦機制與復原作業。<br /> ●日本夏普的網路商店Cocoro Store遭入侵，逾10萬人個資恐外流。</p> <p>在漏洞消息方面，本星期共有7個漏洞利用狀況，其中Broadcom在6月底修補VMware ESXi的漏洞CVE-2024-37085最要注意。因為通報的微軟最近揭露相關細節，並指出這個漏洞在修補前就已遭多個攻擊者鎖定利用。換言之，該漏洞在當時就已是零時差漏洞被積極利用，但修補釋出當時公告並未提及此一狀況。</p> <p>其他已知漏洞遭利用的情形，有2個是7月初才修補，包括： ServiceNow的漏洞（CVE-2024-4879、CVE-2024-5217），以及Twilio的Authy漏洞（CVE-2024-3989），還有1個是去年底Acronis修補的漏洞（CVE-2023-45249）。特別的是，2012年微軟修補的IE漏洞（CVE-2012-4792），最近也被美國CISA列入已知漏洞利用清單。</p> <p>還有一個Secure Boot繞過漏洞「PKfail」的揭露，有資安業者發現共發現22個獨特但不可信的平臺金鑰，影響將近900款產品，包括技嘉、Supermicro、Dell等9大業者，並指出這是韌體供應鏈在加密金鑰管理實務上的嚴重問題。</p> <p>關於0719的CrowdStrike引發大當機事件，持續有後續消息，例如，有駭客趁機利用這起事故鎖定CrowdStrike用戶發動攻擊，佯稱提供當機報告程式，但其目的是散步惡意軟體；iThome持續追蹤當時的發生狀況原因，以及對於整個資安產業的影響，我們找到幾位臺灣資安專家，分享對此事故的觀察，他們指出CrowdStrike的病毒特徵碼設計不良之餘，也提及類似CrowdStrike更新出包的意外，是所有端點防護公司都可能發生的，因此，要避免類似意外發生，一定需要重複經過各種驗證程序。</p> <p>至於資安防禦態勢上，有3個重要消息不容錯過，涵蓋AI評估測試、同態加密技術相關工具的釋出，以及cookie theft的防範。例如，美國CISA釋出可用於評估AI安全及可靠性的軟體測試平臺的Dioptra 1.0版，以及Apple將自家發展用於保護隱私的同態加密技術，以開源Swift開源套件釋出。此外，Google為了應對現在許多竊資軟體具有cookie theft手段，宣布將針對Windows版Chrome瀏覽器，提供應用程式導向的加密（App-Bound Encryption）。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/164175"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月29日】北韓駭客APT45遭美國司法部通緝，揭露受害者涵蓋美國、臺灣、韓國的國防承包商</span></strong></a></h3> <p>近日北韓駭客組織APT45的攻擊行動被大量揭露，但值得注意的是，美國司法部也公告緝拿該組織一位北韓駭客成員，當中意外揭露了有臺灣國防承包商也是APT45的受害者。</p> <p>由於許多媒體報導可能忽略了這一消息，但這樣的狀況是需要我們國防單位去進一步了解。</p> <h3><a href="https://www.ithome.com.tw/news/164205"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月30日】上個月公告、修補的VMware ESXi身分驗證繞過漏洞，去年已有多組人馬將其用於攻擊行動</span></strong></a></h3> <p>VMware虛擬化平臺的漏洞，最近幾年已是駭客頻頻鎖定的攻擊目標，這樣的情況，在最近微軟發布的漏洞警訊也能反映這種情況。</p> <p>研究人員針對博通上個月發布的身分驗證繞過漏洞CVE-2024-3708進行調查，指出這項漏洞已在去年就遭到利用，而且，Storm-0506、Storm-1175、Octo Tempest、Manatee Tempest等多個駭客組織都加入利用漏洞的行列。</p> <p><a href="https://www.ithome.com.tw/news/164242"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月31日】研究人員揭露針對性的PyPI惡意套件攻擊行動，意外扯出AI搜尋引擎被誤導的新型態社交工程危機</span></strong></a></p> <p>透過NPM、PyPI等軟體套件儲存庫發動攻擊的情況日益頻繁，但通常都是針對特定套件的使用者下手，透過模仿網域名稱的手法，引誘開發人員上當，但如今出現了結合社交工程的攻擊手法。</p> <p>例如，資安業者Checkmarx近期揭露的惡意PyPI套件攻擊行動，駭客的目的是竊取特定用戶的Google Cloud帳密資料，但為了誘騙使用者，疑似還設置專門的LinkedIn帳號，並誤導知名的AI搜尋引擎產生錯誤的結果。</p> <p><a href="https://www.ithome.com.tw/news/164256"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月1日】Azure服務出現不穩定的異常情況，微軟表示起因與DDoS攻擊有關</span></strong></a></p> <p>本週再度傳出微軟多項雲端服務運作異常的現象，許多使用者面臨不穩定，甚至是無法存取，由於一週前才<a href="https://www.ithome.com.tw/news/164028">發生了類似的情況</a>，因此，這起事故發生的原因，引起許多用戶的高度關注。</p> <p>7月31日微軟對此提出說明，起因是Azure的基礎設施遭到DDoS攻擊時，他們實作的防護措施竟然放大了流量而釀禍，導致重要元件運作效能大幅降低，嚴重影響各項雲端服務的運作。</p> <p><a href="https://www.ithome.com.tw/news/164277"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月2日】駭客透過網路問答平臺Stack Exchange散布惡意PyPI套件，目標是Raydium區塊鏈用戶</span></strong></a></p> <p>過往駭客發動惡意NPM、PyPI套件攻擊，通常會針對知名套件的使用者而來，藉由網域名稱模仿的手法讓開發人員上當。但如今，駭客改變了做法，他們利用網路問答平臺，假裝認真解答問題，藉此散布惡意套件。</p> <p>最近資安業者Checkmarx揭露的資安事故，就是這種例子。駭客在Stack Exchange針對特定問題進行回答，「順便」提供惡意套件的下載連結，使得用戶降低警覺而有可能因此上當。</p> </div></div></div>
2024/8/4 18:03作者羅正漢https://www.ithome.com.tw/news/164279
Google AI即將進駐Chrome桌面版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chrome/google-chrome-ai-features-august-2024-update/" target="_blank">Google周四（8/1）宣布</a>，即將於桌面版的Chrome瀏覽器引進3項AI功能，分別是Google Lens、Tab compare，以及以自然語言搜尋歷史紀錄。</p> <p>Google Lens為Google所開發的影像辨識工具，一開始是個獨立程式，繼之曾陸續被整合至Google Camera、Google Photos、Google Assistant與Gemini，現在它則將進駐桌面版的Chrome瀏覽器。</p> <p>依照Google的規畫，未來幾天更新的Chrome瀏覽器就會於網址列上出現Google Lens的圖示，當使用者瀏覽時，只要發現有興趣的圖像，就能直接將該圖示拉至圖像上，並於側邊欄上展示相關的搜尋結果；接著還可執行多重搜尋，例如尋找不同的顏色、品牌或其它詳細資訊等；若不滿意還可輸入其它問題以更深入了解特定主題，並由基於Gemini模型的AI來回應。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0802-Chrome%20AI%20features-3.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0802-Chrome%20AI%20features-2.png" style="width: 600px;" /></p> <p><a href="https://www.youtube.com/watch?v=43YUCNEHBHU" target="_blank">Google展示</a>了如何將Google Lens圖示拖曳到網頁上的某個行李箱，再於側邊欄上尋找不同顏色的同款行李箱。或者是把Google Lens圖示移到一株盆栽上，於側邊欄以自然語言詢問該盆栽的照顧方法。</p> <p>此外，使用者還可將Google Lens拖曳至影片中的圖像進行辨識與搜尋。除了拖曳Google Lens圖示之外，亦可藉由點選Google Lens圖示或透過功能表來啟用該功能。</p> <p>至於Tab compare，以及以自然語言搜尋歷史紀錄則計畫在幾周後先行於美國登場。前者看起來是個非常方便的購物功能，當使用者於網路上搜尋某個類別的商品時，經常會以不同的分頁來研究類似的產品，但Tab compare功能可在一個頁面上整合這些不同分頁上的產品並進行比較，例如它們的價格、規格、價格與評價等，而不必再自行不斷切換分頁。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0802-Chrome_Tab_Compare(2).png" style="width: 600px;" /></p> <p>以自然語言來搜尋歷史紀錄也頗令人期待，例如可以在Chrome歷史紀錄中搜尋「我上次看的那家冰淇淋店是哪家」，Google AI就會從紀錄中找出使用者曾經瀏覽的相關頁面。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0802-Chrome_Search_History(2).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/8/2 20:26作者陳曉莉https://www.ithome.com.tw/news/164282
新興攻擊手法濫用免費Cloudflare隧道服務，靈活交付惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Proofpoint<a href="https://www.proofpoint.com/us/blog/threat-insight/threat-actor-abuses-cloudflare-tunnels-deliver-rats">發現</a>惡意人士透過TryCloudflare服務，大量濫用Cloudflare隧道（Tunnel）服務傳遞惡意軟體，隱藏其交付遠端存取木馬（Remote Access Trojans，RAT）的行動。這項新的攻擊手法，代表著攻擊者能夠靈活改變其基礎設施和戰術，並透過演進攻擊技術提高攻擊成功率，並降低被發現的機會。</p> <p>Proofpoint正在追蹤一群利用Cloudflare隧道服務，傳遞惡意軟體的網路犯罪活動，透過濫用Cloudflare的TryCloudflare功能，攻擊者不用建立帳號，就能夠創建一次性的隧道。</p> <p>隧道技術類似VPN或是SSH，用於遠端存取不在本地網路的資料和資源，使用者每次建立TryCloudflare隧道都會生成一個隨機子網域名，使流量經過Cloudflare伺服器代理傳遞，而這提供了攻擊者一個便利且低成本的方式，進一步掩蓋自己的真實位置。</p> <p>自2023年以來，濫用TryCloudflare隧道的行為變得越來越普遍，攻擊者演進其戰術與技術，擴大攻擊活動範圍，傳遞資訊量從數百到數萬不等，影響達全球數千組織。研究人員觀察到，該攻擊活動通常圍繞在商業主題上，以發票、文件請求、包裹遞送或是稅務等作為誘餌，並使用英文、法文、西班牙文和德文，達到廣泛的攻擊效果。</p> <p>透過TryCloudflare傳遞的常見惡意軟體包括Xworm、AsyncRAT 和 VenomRAT，而Remcos和GuLoader則出現機會漸少。研究人員表示，從他們發現此手法以來，背後操控的攻擊者已逐漸改變其戰術、技術和程式，試圖繞過偵測進行更高效的攻擊。</p> <p>攻擊者利用Cloudflare隧道的靈活性，展示他們有能力迅速建構和撤除攻擊基礎設施，增加了這些攻擊被追蹤和封鎖的難度，而這種手法也間接使靜態封鎖清單等安全措施失效。</p> <p>攻擊者使用Python腳本和WebDAV、SMB等其他技術進行攻擊，這代表攻擊者有能力將惡意軟體安裝到受害者的裝置上，即便這些裝置沒有預先安裝能執行這些腳本的軟體，資安人員認為，企業應該限制安裝和使用不必要的軟體和服務，減少惡意軟體進入系統的途徑。不過由於這些攻擊都需要受害者多次互動，因此也表示之間有許多可以辨識和阻止攻擊的機會。</p> </div></div></div>
2024/8/2 20:39作者李建興https://www.ithome.com.tw/news/164275
Stability AI發表Stable Fast 3D新模型，從單張圖生成3D模型只要0.5秒
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stability AI發表可利用圖片生成3D模型的新模型<a href="https://stability.ai/news/introducing-stable-fast-3d">Stable Fast 3D</a>，該模型運作效能高，只需要不到0.5秒，就能快速生成完整且自然的3D模型。目前Stable Fast 3D已經在Hugging Face平臺上架，並且以Stability AI社群授權釋出。</p> <p>Stable Fast 3D只需要單張圖片，就可快速生成高品質3D模型，這些模型提供精確的UV網格展開（UV Unwrapping），方便使用者進行細緻的材質貼圖，而且也包含材質參數配置，能夠被用來控制模型表面外觀和質感，透過提供詳細的參數，讓模型能夠更真實的呈現。</p> <p>Stable Fast 3D所生成的模型顏色，會盡量減少光照影響的痕跡，也就是說，生成的模型顏色，不包括光影效果，這樣的模型在不同的環境光照下，都可以呈現出正確的顏色，而不會受到特定光照條件限制。使用者如果需要，也可以選擇四邊形或是三角形網格重建功能，只要100至200毫秒即可完成，就能夠更細緻的控制模型網格拓撲結構。</p> <p>該新模型的出現，展現了Stability AI在以圖生成3D模型技術的大幅進展。Stable Fast 3D具有更高的精確度和效率，極大程度降低了生成時間，相較之前的SV3D模型，單個模型推理時間從10分鐘縮短至0.5秒，生成效率的提升也就增加了模型實際應用的價值。</p> <p>而且因為Stable Fast 3D的架構經過調整，其生成的3D網格和材質更加細緻，能夠生成UV展開網格，對於後續材質貼圖和細節表現非常重要，此外，能夠生成不受光影影響的模型顏色，也擴大了可支援應用的場景種類。</p> </div></div></div>
2024/8/2 21:07作者李建興https://www.ithome.com.tw/news/164278
Martech雙周報第59期：Google宣布不停用第三方Cookie，但新增瀏覽器層級的使用者授權啟用選項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0721~0803)</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#第三方Cookie #第一方數據 #個資隱私 #瀏覽器廣告</span></strong></span><br /> <strong>Google宣布不停用第三方Cookie，但後續將新增瀏覽器層級的使用者授權選項</strong></p> <p>自Google宣布停用第三方Cookie已經過了4年，多次延期後，今年年初終於開始逐步停用。<a href="https://privacysandbox.com/news/privacy-sandbox-update/">但，就在幾日前，Google又再次改口，宣布續用第三方Cookie。</a></p> <p>再次變卦的主要理由是，Google自己提出的替代方案Privacy Sandbox（隱私權沙盒）成熟度不足，屢遭外界嚴重質疑。IAB、Criteo等業界權威組織及企業各自發表了研究來質疑其行銷效果，更有以英國競爭及市場管理局（Competition and Markets Authority，CMA）為首的主管機關指控此技術安全性不足，且Google有利用此項技術鞏固廣告壟斷地位嫌疑。</p> <p>這4年來，數位行銷界有許多號稱更保護隱私的技術和做法崛起，例如數據無塵室、第一方數據聯盟等，但第三方Cookie目前仍支援著大部分數位廣告投放。根據eMarketer調查，美國除了零售和保險業，其他產業的廣告投放活動，超過8成會使用第三方Cookie。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/emktck.png" style="height: 500px;" /></p> <p>第三方Cookie續用，看似能讓一切回歸舊做法，但這次Google祭出的做法，非常類似於對Martech業界造成巨大衝擊的iOS 14.5新隱私政策App追蹤透明度（App Tracking Transparency，ATT）。蘋果做法是，以裝置為單位詢問使用者是否願意被追蹤，Google預告的做法則是，以瀏覽器為單位詢問使用者是否授權啟用第三方Cookie。</p> <p>ATT政策上線，使廣告主幾乎不能追蹤iOS用戶行為，且蘋果隨即開始大力布局自家數位行銷業務，被競爭者指控ATT雖打著隱私名號，實則是打造封閉廣告生態圈的一步棋。Google目前沒有明確表示，授權詢問的做法是否與ATT同樣是預設不同意。不過，業界擔憂，若大部分使用者都不同意，結果將會與停用第三方Cookie幾乎無異。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#SEO #自然流量 #AI</span></strong><br /> <strong>OpenAI發表對話式搜尋引擎SearchGPT，承諾將會以曝光出版方為介面設計原則</strong></p> <p><a href="https://openai.com/index/searchgpt-prototype/">OpenAI發布用LLM支援的對話式搜尋引擎SearchGPT</a>。相較於微軟Bing AI及Google Generative Search的AI搜尋引擎，嘗試強調聊天機器人特性，乃至於原始資料出處能見度相當低，SearchGPT介面設計上更加強調新聞網站、部落格等出版方的曝光及流量獲取。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/genai1.png" style="width: 700px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/genai2.png" style="width: 600px;" /></p> <blockquote><p>相較於微軟和Google的生成式AI搜尋功能，OpenAI的產品在介面設計上更強調原始資料曝光</p> </blockquote> <p>前述3種生成式AI搜尋功能，都可以用AI生成對話來彙整搜尋問題的答案，不過SearchGPT會呈現出更多出版方網站的原始內容，介面設計上也不只有AI生成文字，而是在視覺上強調原始資料連結，並嘗試創作多個讓使用者點進原始網站的機會，包括資料後面附上的連結、介面底部的參考連結、占螢幕面積三分之一的其他參考網站及資料等。</p> <p>OpenAI承諾，會持續和出版方溝通此產品的設計，來降低對原始網站流量的衝擊，甚至嘗試透過此產品增加出版方網站流量。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#短影音行銷 #短影音電商 #行銷分析工具</span></strong></span><br /> <strong>Tiktok推出行銷用第三方應用程式市集，全數App都可免費試用</strong></p> <p><a href="https://www.tiktok.com/business/en-CA/blog/tiktok-app-center-for-business">短影音平臺Tiktok推出App Center for Business</a>，這是一個蒐集了第三方應用程式及服務的市集，包含了電商解決方案、創作工具、帳戶管理、素材管理、行銷活動管理、數據報告及分析、潛在客戶開發、外部數據整合、其他專業服務，共9類應用程式或服務。此外，Tiktok還要求上架平臺的廠商，必須要提供某種程度的免費試用期選項，來增加企業採購彈性。不過，企業應注意各家廠商的免費試用方案會有些許差異。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#醫療用CDP #機敏資料處理</span></strong></span><br /> <strong>Tealium推出醫療用CDP，內建醫療法遵及多種機敏資料處理機制</strong></p> <p>CDP用來支援個人化醫療服務設計，確實技術上可行，不過，醫療資料高度機敏，實務使用上有許多限制。<a href="https://www.globenewswire.com/news-release/2024/07/23/2917252/0/en/Tealium-for-Healthcare-enables-enterprises-to-establish-digital-trust-with-patients-and-physicians.html">CDP大廠Telium便是鎖定此業界痛點，推出醫療業專用CDP</a>，除了常見CDP功能外，還有患者數據使用授權管理、內建敏感資料混淆及遮蔽功能、以及醫療數據使用的法規遵循機制等，專門為醫療業數據運用法遵而設計的功能。</p> <p>此CDP還能和其他大型數據廠商產品串接，來進行更多數據處理作業。Tealium並宣稱，他們自己及合作廠商的技術能力及數據處理做法，能支援美國醫療主管機關規定，並依法簽訂醫療數據使用協議。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#CDP顧問指南 #CDP採購條件</span></strong></span><br /> <strong>採購CDP該看哪些條件？CDP Institue推出CDP顧問商挑選指南</strong></p> <p>CDP產業研究機構<a href="https://www.cdpinstitute.org/resources/service-provider-capabilities-report/?077efd5c77">CDP Institute發布CDP服務提供商能力盤點報告</a>，根據產業別及服務內容，作為CDP採購分析維度。產業別包括：零售業、媒體及出版業、金融及保險業、旅遊及餐飲業、電信及公共事業、製造及工業、快消品業、科技業、教育業、醫療保健、汽車業、政府及非營利組織等。服務內容則包括系統需求和廠商選擇、數據倉儲系統開發、CDP系統部署和營運、客戶數據管理和系統整合、行銷策略和規劃、行銷方案開發、數據分析和AI建模等。</p> <p>Martech產品評估一直以來是一件難事，尤其是CDP這類功能多元、操作複雜，且常常附帶顧問等售後服務的產品。雖然這篇指南是針對CDP顧問或SI廠商進行評估，且並非所有廠商都有在臺灣服務，但這些比較維度，仍能作為企業評估採購CDP產品的參考。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#RMN #行銷追蹤</span></strong></span><br /> <strong>ANA的RMN市調：後進品牌只敢試水溫，原因仍是跨RMN追蹤不便</strong></p> <p><a href="https://www.ana.net/miccontent/show/id/87291">美國國家廣告商聯合會（ANA）推出RMN市場調查報告</a>。調查顯示，RMN市場高速成長，且廣告主普遍看好RMN並有意於此通路投放廣告，甚至認為是必須投放。不過，市面上做RMN的零售業者越來越多，跨不同家RMN測量行銷成效的難題反而更加凸顯，使廣告主不敢投入大量行銷預算。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ANARMN.jpg" style="width: 600px;" /></p> <p>調查顯示，目前有在RMN投廣的廣告主，近半是早在2019便開始，意味著近幾年來採用此行銷通路的品牌較少。有用RMN的廣告主，有65%不打算於未來2年內加碼預算。不只如此，高達87%尚未使用RMN行銷的廣告主表示，2年內「不確定要用」或「確定不要用」RMN行銷。這些廣告主對於RMN疑慮依舊──最大疑慮是跨平臺數據整合，次高的疑慮則是難以歸因轉換率。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#隱私法遵 #個資加密 #去識別化</span></strong></span><br /> <strong>FTC警告：加密後個資用於行銷，法規上仍視為具有識別能力的資料</strong></p> <p>隱私權抬頭，號稱去識別化的個人化行銷科技如雨後春筍冒出，許多都是資料混淆或加密技術，把Email、手機等個資轉換成一串亂碼，來投放廣告。<a href="https://www.ftc.gov/policy/advocacy-research/tech-at-ftc/2024/07/no-hashing-still-doesnt-make-your-data-anonymous">有鑑於此，美國聯邦貿易委員會（FTC）特地提出警告，只要資料能對應到某一個人，就算不會直接反映出具體個資，執法上仍會視為類似於個資的「具識別能力」資料。</a></p> <p>FTC進一步強調，就算是用雜湊（Hashing）加密法，把個資轉為不可逆向工程的雜湊值，這一串看似無意義的值仍代表一個個體。許多Martech廠商或企業將這些雜湊值視為去識別化資料，還將許多機敏資訊存在這些雜湊值名下，甚至分享給第三者，仍構成隱私侵犯，且有觸法嫌疑，FTC也針對多起這類事件提告過。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. 客服平臺Super 8利用廣告商禾多移動的客群辨識技術與大量零售業者數據，來強化生成式AI客服功能</p> <p>2. <a href="https://www.ftc.gov/news-events/news/press-releases/2024/07/ftc-issues-orders-eight-companies-seeking-information-surveillance-pricing">美國FTC開始偵查並有意打擊利用個資來達成個人化定價的做法</a></p> <p>3. <a href="https://www.businesswire.com/news/home/20240723709853/en/Engagys-and-Redpoint-Global-Partner-to-Transform-Health-Plan-Member-Engagement">醫療顧問公司Engagys與CDP廠商Redpoint Global合作，利用消費者數據強化個人化醫療產品行銷</a></p> <p>資料來源：iThome整理，2024年8月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Google、微軟、OpenAI、ANA</p> <p></p> </div></div></div>
2024/8/2 19:20作者郭又華https://www.ithome.com.tw/news/164280
【資安日報】8月2日，駭客透過網路問答平臺Stack Exchange散布惡意PyPI套件，目標是Raydium區塊鏈…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往駭客發動惡意NPM、PyPI套件攻擊，通常會針對知名套件的使用者而來，藉由網域名稱模仿的手法讓開發人員上當。但如今，駭客改變了做法，他們利用網路問答平臺，假裝認真解答問題，藉此散布惡意套件。</p> <p>最近資安業者Checkmarx揭露的資安事故，就是這種例子。駭客在Stack Exchange針對特定問題進行回答，「順便」提供惡意套件的下載連結，使得用戶降低警覺而有可能因此上當。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164267"><strong style="font-size: 22px;">Raydium區塊鏈用戶遭到鎖定，駭客透過網路問答平臺Stack Exchange散布惡意PyPI套件</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Photo5_BlogSPL.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Photo5_BlogSPL.jpg" style="width: 300px; float: right;" /></a>惡意套件攻擊結合社交工程手法的情況，最近不斷出現，例如，有人為了引誘特定目標下載惡意PyPI套件，疑似藉由假LinkedIn帳號誤導AI搜尋引擎，類似的混合攻擊手法又有新的案例出現。</p> <p>資安業者Checkmarx揭露從6月底出現的惡意PyPI套件攻擊行動，駭客在6月25日上傳無害的軟體套件到PyPI儲存庫，但到了7月3日顯露意圖，發布多個惡意版本套件。研究人員指出，攻擊者主要目標是區塊鏈平臺Raydium、Solana的用戶，意圖將他們的加密貨幣資產耗盡，超過2千人下載相關套件而可能受害。</p> <p>比較特別的是，駭客為了引誘使用者上當、下載惡意套件，他們透過名為Stack Exchange的網路問答網站來進行宣傳，藉由在熱門討論串提供看似有用的答案來進行。</p> <p><a href="https://www.ithome.com.tw/news/164274"><strong style="font-size: 22px;">中國駭客組織APT10鎖定日本關鍵基礎設施、學術機構，利用後門程式LodeInfo、NoopDoor從事網路間諜攻擊</strong></a></p> <p>上個月日本電腦緊急應變團隊暨協調中心（JPCERT/CC）揭露攻擊行動MirrorFace的最新態勢，當中提及駭客鎖定當地製造業、研究機構發動攻擊，企圖在這些企業組織植入後門程式NoopDoor，如今有資安業者公布與這支惡意程式有關的細節。</p> <p>根據資安業者Cybereason的調查，中國駭客組織APT10使用LodeInfo與NoopDoor兩款惡意程式，鎖定日本企業組織發起名為Cuckoo Spear的攻擊行動，而能在受害組織的網路環境活動長達2至3年。他們提及這項攻擊行動與駭客組織Earth Kasha，以及另一起攻擊行動MirrorFace有所關連，因為這三個行動所用的武器有個共通點，那就是APT10慣用的惡意程式LodeInfo。</p> <p>研究人員提到，駭客在使用NoopDoor的攻擊行動，同時運用後門程式LodeInfo，然後使用新的後門程式竊取受害組織資料。他們看到駭客的攻擊目標是日本的關鍵基礎設施及學術機構，推測駭客的目的是從事網路間諜活動。</p> <p><a href="https://www.ithome.com.tw/news/164260"><strong style="font-size: 22px;">可惡安卓惡意軟體BingoMod，盜完銀行帳戶還順手抹除裝置</strong></a></p> <p>資安公司Cleafy研究發現了新種類的Android惡意軟體，並命名為 BingoMod。BingoMod會試圖接管裝置上銀行帳戶並且轉移金錢，在成功完成盜取任務後，攻擊者便會抹除受感染的裝置，消除BingoMod的活動痕跡，增加資安人員調查的難度。</p> <p>BingoMod屬於遠端存取木馬（RAT），攻擊者可以利用它遠端控制受感染的裝置，並且利用裝置上詐騙（On Device Fraud）技術接管銀行帳戶。BingoMod主要透過簡訊釣魚的方式散布，其通常會偽裝成合法的防毒軟體，一旦BingoMod安裝至受害者裝置上，便會要求用戶啟用無障礙服務，當用戶授予請求權限，BingoMod APK便會開始自我解壓縮，並且執行惡意酬載。</p> <p>此惡意軟體雖然擁有類似於Brata惡意軟體的裝置抹除能力，但因為BingoMod相對簡單，所以研究人員猜測其裝置抹除功能，比較像是一種簡單的退出策略。</p> <p><a href="https://www.ithome.com.tw/news/164276"><strong style="font-size: 22px;">研究人員揭露專門竊取安卓手機簡訊的大規模攻擊行動，範圍橫跨113個國家</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Picture9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture9.jpg" style="width: 300px; float: right;" /></a></p> <p>用手機產生動態密碼（OTP）的多因素驗證機制相當普遍，廣受許多企業的採用，但駭客也試圖入侵手機竊取這類資訊，從而闖入受害者所屬的企業組織網路環境。</p> <p>資安業者Zimperium指出，他們自2022年2月開始，追蹤專門針對安卓裝置的竊取簡訊攻擊行動，這段期間他們找到超過10.7萬個相關惡意應用程式，駭客鎖定、監控至少600種知名廠牌的動態密碼資訊，其中部分廠牌的用戶多達數億，範圍橫跨全球113個國家，主要目標是印度及俄羅斯使用者。</p> <p>值得留意的是，攻擊者能夠迴避許多防毒軟體的偵測，因此，行動裝置可能需要透過多種管道來強化安全。</p> <p><a href="https://www.ithome.com.tw/news/164259"><strong style="font-size: 22px;">解析0719全球電腦大當機原因，資安專家推測CrowdStrike病毒特徵碼設計不良，造成藍色當機畫面</strong></a></p> <p>從早期的防毒軟體到現在的EDR軟體，這些防護端點設備的資安軟體，早成為個人電腦使用者與駭客對峙的第一線戰場。日前資安軟體CrowdStrike因為EDR軟體更新出包，引發全球約850萬臺微軟電腦，出現藍色當機畫面（BSOD）的資安事件。</p> <p>雖然真正的原因，還是必須等CrowdStrike完整調查並公布後，才可能有進一步的了解，不過，根據對微軟作業系統安全有研究的匿名資安專家的推測，CrowdStrike之所以更新出錯，原因在於掛載設計不良的特徵碼包，導致作業系統核心的驅動邏輯出現問題（Parser解析邏輯不良），所以會誤用不存在記憶體的指標null-pointer讀取內容，造成BSOD藍色當機畫面。</p> <p>這次事故發生之後，也引發其他的討論，例如，作業系統是否應該允許資安產品拿到高權限？有臺灣資安業者對此持肯定態度，他們認為，若要偵測到惡意程式的運作，這類端點防護產品就必須對作業系統擁有更高的權限，才可以更早攔截到惡意程式的運作。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://securityaffairs.com/166432/hacking/vmware-esxi-cve-2024-37085-vulnerable-instances.html"><strong style="font-size: 20px;">逾2萬臺VMware ESXi伺服器曝露在已被利用的CVE-2024-37085危險當中</strong></a></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.recordedfuture.com/research/eriakos-scam-campaign-detected">研究人員揭露臉書詐騙攻擊行動Eriakos，利用數百個網站竊取用戶財務資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/threat-actor-abuses-cloudflare-tunnels-deliver-rats">Cloudflare試用服務遭濫用，駭客藉此散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://medium.com/@knownsec404team/the-patchwork-group-has-updated-its-arsenal-launching-attacks-for-the-first-time-using-brute-ratel-175741987d87">駭客組織Patchwork濫用滲透測試工具Brute Ratel C4攻擊不丹</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://about.fb.com/news/2024/07/combating-financial-sextortion-scams-from-nigeria/">奈及利亞駭客濫用逾6萬個Instagram帳號，鎖定美國進行性勒索</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164169"><strong style="font-size: 22px;">美國釋出用來評估AI安全的Dioptra平臺</strong></a></p> <p>美國國家標準暨技術研究院（NIST）釋出Dioptra 1.0，這是用來評估AI安全及可靠性的軟體測試平臺，支援AI風險管理框架（AI RMF）的測量功能，可評估、分析及追蹤AI風險。</p> <p>Dioptra最早現身於2022年，當時NIST形容是可用來評估適合用來保護機器學習系統之安全技術與解決方案的方法，並讓研究人員比較用來對抗不同攻擊、資料集或各種狀況的方法。</p> <p>而今釋出的Dioptra 1.0版預計提供幾項功能，一為模型測試，如第一方於開發生命周期中評估AI模型，或是第二方在收購前或於實驗室環境中以Dioptra來評估AI模型，以及身為第三方的審計員或合規官員用來評估模型的法規與道德標準。</p> <p><a href="https://www.ithome.com.tw/news/164165"><strong style="font-size: 22px;">Google著手處理Chrome密碼管理工具的臭蟲</strong></a></p> <p>日前有多名Chrome用戶在Reddit上反映，儲存在Chrome瀏覽器的密碼全部消失，而且將密碼備份匯入後也會立即不見。用戶發現在升級到127.0.6533.73版本後，才出現儲存密碼全部消失、無法按原本設定自動填入的情況。</p> <p>Google接獲通報後進行調查，並在將近18小時後緊急修補完成，並發布狀態頁解釋。根據Google初步分析，原因是Google產品開發部門對Chrome的產品行為做了變更，但未做好功能保護，導致密碼管理器無法儲存或找到密碼。實際上，密碼並未消失或被重設；用戶仍然能儲存密碼，但卻無法檢視。</p> <p>本問題影響Chrome M127版本，約有25%用戶已經部署了這次變更，其中近2%出現密碼神祕消失的情形。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164256"><strong>【8月1日】Azure服務出現不穩定的異常情況，微軟表示起因與DDoS攻擊有關</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164242"><strong>【7月31日】研究人員揭露針對性的PyPI惡意套件攻擊行動，意外扯出AI搜尋引擎被誤導的新型態社交工程危機</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164205"><strong>【7月30日】上個月公告、修補的VMware ESXi身分驗證繞過漏洞，去年已有多組人馬將其用於攻擊行動</strong></a></p> </div></div></div>
2024/8/2 16:53作者周峻佑https://www.ithome.com.tw/news/164277
中國駭客組織APT10鎖定日本關鍵基礎設施、學術機構，利用後門程式LodeInfo、NoopDoor從事網路間諜攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月日本電腦緊急應變團隊暨協調中心（JPCERT/CC）揭露<a href="https://www.ithome.com.tw/news/164009">攻擊行動MirrorFace的最新態勢</a>，當中提及駭客鎖定當地製造業、研究機構發動攻擊，企圖在這些企業組織植入後門程式NoopDoor，如今有資安業者公布與這支惡意程式有關的細節。</p> <p>根據資安業者Cybereason的調查，<a href="https://www.cybereason.com/blog/cuckoo-spear">中國駭客組織APT10使用LodeInfo與NoopDoor兩款惡意程式</a>，鎖定日本企業組織發起名為Cuckoo Spear的攻擊行動，而能在受害組織的網路環境活動長達2至3年。他們提及這項攻擊行動與駭客組織Earth Kasha，以及另一起攻擊行動MirrorFace有所關連，因為這三個行動所用的武器有個共通點，那就是APT10慣用的惡意程式LodeInfo。</p> <p>研究人員提到，駭客在使用NoopDoor的攻擊行動，同時運用後門程式LodeInfo，然後使用新的後門程式竊取受害組織資料。他們看到駭客的攻擊目標是日本的關鍵基礎設施及學術機構，推測駭客的目的是從事網路間諜活動。</p> <p>僅管這群攻擊者會運用不同手段接觸目標，但最主要的方式還是使用網路釣魚，然而，這些駭客現在<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">也</span>開始調整策略，利用漏洞來入侵受害組織，而這樣的發現與JPCERT/CC公布資訊互相呼應。</p> <p>接著，駭客會試圖在受害電腦上植入NoopDoor，這個後門程式採模組化設計，並透過網域名稱生成演算法（DGA）進行C2通訊。攻擊者利用名為NoopLdr的惡意程式載入工具將NoopDoor解密、執行。</p> <p>為了維持NoopDoor持續在受害電腦運作，駭客根據不同情境，使用了3種方法來達到目的。</p> <p>其中一種是透過工作排程執行公用程式MSBuild，載入惡意的XML檔案，從而在執行時編譯、啟動惡意程式載入工具。</p> <p>另一種則是濫用WMI事件，攻擊者利用ActiveScript執行JavaScript引擎，觸發MSBuild執行NoopDoor的載入工具。</p> <p>最後一種藉由設置惡意服務，載入未經簽章的DLL檔案來達到目的。</p> <p>研究人員指出，駭客同時使用LodeInfo、NoopDoor兩支後門程式攻擊時，很有可能以LodeInfo為主，NoopDoor為輔，而這樣的做法讓駭客能長時間存取受害組織網路環境。</p> </div></div></div>
2024/8/2 15:29作者周峻佑https://www.ithome.com.tw/news/164274