iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 19:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

搭配8個Nvidia H100，Azure頂級GPU虛擬機器展現LLM效能
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nd_h100_v5-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想要透過公有雲業者租用<a href="https://www.ithome.com.tw/review/152926">Nvidia H100</a>的GPU加速運算服務，目前已有多種選擇，回顧先前的發展，最早向市場宣告提供這類解決方案的廠商，其實是微軟Azure，目前已經能提供3個GPU加速虛擬機器服務，分別是ND H100 v5、<a href="https://www.ithome.com.tw/review/162038">NC H100 v5（NCads H100 v5）</a>、NCC H100 v5（NCCads H100 v5）。</p> <p>早在2022年11月的全球超級電腦大會SC22，<a href="https://nvidianews.nvidia.com/news/nvidia-microsoft-accelerate-cloud-enterprise-ai">他們和Nvidia宣布合作建造基於公有雲服務的AI超級電腦</a>，當中包含ND系列與NC系列雲端執行個體服務，因應分散式AI推論與AI訓練需求，並且結合Nvidia發展的進階AI軟硬體堆疊，包含數萬個資料中心GPU產品A100與H100、400 Gb InfiniBand網路交換器Quantum-2，以及AI Enterprise企業級軟體套餐。</p> <p>隔年3月Nvidia舉行的GTC 2023大會，微軟發表第一款採用Nvidia H100的GPU最佳化執行個體服務，名為ND H100 v5系列，<a href="https://azure.microsoft.com/en-us/blog/azure-previews-powerful-and-scalable-virtual-machine-series-to-accelerate-generative-ai/">開放用戶登記參與預覽測試</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Compute Portfolio Build 2024-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Compute%20Portfolio%20Build%202024-05.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-03-How-Microsofts-bet-on-Azure-unlocked-an-AI-revolution-hero-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-03-How-Microsofts-bet-on-Azure-unlocked-an-AI-revolution-hero-web.jpg" style="width: 398px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-03-How-Microsofts-bet-on-Azure-unlocked-an-AI-revolution-02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-03-How-Microsofts-bet-on-Azure-unlocked-an-AI-revolution-02.jpg" style="width: 198px;" /></a></p> <p>縱觀Azure的GPU加速虛擬機器產品線，ND系列適用的工作負載類型，涵蓋大量記憶體的運算密集用、圖形密集型應用，以及虛擬化應用。的確！在Azure陸續推出的3款Nvidia H100 GPU雲端虛擬機器當中，記憶體容量就是最大區別，像是後來登場的NCads H100 v5為320 GiB或640 GiB。NCCads H100 v5為320 GiB，而最先發表的ND H100 v5配置1,900 GiB。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure GPU accel VM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20GPU%20accel%20VM.jpg" style="width: 600px;" /></a></p> <p>就硬體配置而言，ND H100 v5導入多種技術，包括：GPU提供8個Nvidia H100，而且，GPU之間透過新一代NVSwitch與NVLink 4.0連接，透過這些內部I/O技術，每一臺虛擬機器對於GPU存取的雙向頻寬可達到3.6 TB/s；外部網路存取技術方面，搭配Quantum-2交換器與ConnectX-7網路卡，建構扁平式網路架構，使每一臺虛擬機器的網路頻寬可達到3.2 Tb/s；CPU運算平臺的部分，搭配英特爾第四代Xeon Scalable處理器、透過PCIe 5.0介面存取GPU（連接每個GPU的頻寬為64 GB/s），以及16個通道的DDR5-4800記憶體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure ND H100 v5-2023-03-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20ND%20H100%20v5-2023-03-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure ND H100 v5-2023-03-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20ND%20H100%20v5-2023-03-2.jpg" style="width: 600px;" /></a></p> <p>同年6月公開的AI訓練測試結果MLPerf Training v3.0，微軟提交兩項Azure ND H100 v5系列預覽版的效能測試結果。8月初舉行的SIGGRAPH 2023大會期間，Azure ND H100 v5系列宣告正式上線，微軟與Nvidia表示，相較於上一代執行個體服務支援FP16的浮點運算資料類型，由於Nvidia H100額外支援FP8，在矩陣乘法運算處理的速度上，可增加至6倍；若用於Bloom 175B這類大型語言模型的推論，可達到2倍的速度提升。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Nvidia%20GPU%20VM%20Portfolio-2023-10.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/MLPERF Training 3_0-2023-06.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLPERF%20Training%203_0-2023-06.jpg" style="width: 600px;" /></a></p> <p>後續MLPerf Inference v3.1在<a href="https://mlcommons.org/2023/09/mlperf-results-highlight-growing-importance-of-generative-ai-and-storage/">9月公布</a>，以及MLPerf Training v3.1在<a href="https://mlcommons.org/2023/11/mlperf-training-v3-1-hpc-v3-0-results/">11月揭露</a>，ND H100 v5系列都是Azure唯一提交AI效能測試結果的解決方案，微軟趁機展示其能耐。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MLPerf Inference 3_1-Azure.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLPerf%20Inference%203_1-Azure.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/MLPERF Training 3_1-2023-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLPERF%20Training%203_1-2023-11.jpg" style="width: 600px;" /></a></p> <p>他們表示，若用於GPT-3 175B模型的訓練，在設置1,344臺Azure ND H100 v5虛擬機器，也就是10,752個Nvidia H100 GPU的組態之下，僅需3.92分鐘就能完成（編號3.1-2002的測試結果）；而在先前MLPerf Training v3.0揭露的結果，微軟設置448臺Azure ND H100 v5虛擬機器，也就是3,584個Nvidia H100 GPU的組態，耗費10.9分鐘完成（編號3.0-2003的測試結果）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-Figure-1-MLPerf-Nov-1-Web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-Figure-1-MLPerf-Nov-1-Web.jpg" style="width: 600px;" /></a></p> <p>基於MLPerf Training v3.1，微軟也與Nvidia提交的組態相近GPU裸機伺服器效能結果（編號3.1-2002對上編號3.1-2007）進行比較，強調兩者的效能差異很小，後者僅領先2％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-Figure-3-MLPerf-Nov-2023-updated-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-Figure-3-MLPerf-Nov-2023-updated-2.jpg" style="width: 600px;" /></a></p> <p>若用於AI推論，Azure ND H100 v5的表現也不輸實體伺服器的性能。微軟引用MLPerf Inference v3.1的GPT-J推論測試效能結果佐證，他們表示，若以Nvidia、Oracle各自提交的裸機伺服器（編號3.1-0107、3.1-0121）為基準，Azure ND H100 v5（編號3.1-0003）的相對效能為0.99倍至1.05倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-Figure-4-MLPerf-Nov-2023-2-web.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>微軟Azure ND H100 v5系列</strong><br /> ●原廠：微軟<br /> ●建議售價：美國西部區域每月93,305.68美元<br /> ●執行個體服務選擇：ND96isr_H100_v5<br /> ●搭配處理器：英特爾第四代Xeon Scalable（Sapphire Rapids）<br /> ●搭配GPU：Nvidia H100 80 GB<br /> ●運算資源配置：<br /> 96顆vCPU、1900 GiB記憶體、32臺資料硬碟、8個GPU、GPU記憶體80 GiB、網路介面8個</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/8/19 17:51作者李宗翰https://www.ithome.com.tw/review/164535
伊朗駭客企圖濫用ChatGPT左右美國總統大選
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI上周<a href="https://openai.com/index/disrupting-a-covert-iranian-influence-operation/" target="_blank">宣布</a>，已關閉了那些企圖利用ChatGPT來左右美國大選的伊朗人帳戶，而這也是OpenAI所發現並移除的第一個與美國大選有關的行動。</p> <p>OpenAI關閉了一群帳戶，這群帳戶主要是替名為Storm-2035的伊朗行動生成內容，它們針對美國大選總統候選人或各種議題進行評論，接著透過新聞網站與社交媒體散布這些內容。其實微軟早在8月上旬就<a href="https://cdn-dynmedia-1.microsoft.com/is/content/microsoftcorp/microsoft/final/en-us/microsoft-brand/documents/5bc57431-a7a9-49ad-944d-b93b7d35d0fc.pdf" target="_blank">揭露</a>，伊朗已經鎖定美國大選展開各種破壞行動，而Storm-2035即是其中之一。</p> <p>根據微軟的調查，Storm-2035架設了5個偽裝成新聞媒體的網站，針對美國總統候選人、LGBTQ權利、以及以色列和哈馬斯衝突等議題，發布各自不同立場的訊息，企圖加深不同陣營選民的分歧來引發對立。</p> <p>OpenAI則說，Storm-2035行動利用ChatGPT來生成長篇文章及短篇回應，前者涉及美國政府與全球事件，主要張貼在5個立場不一或衝突的新聞網站上，後者則是專門用在社群平臺上的評論，包括英文與西班牙文。微軟與OpenAI還同時揭露了Storm-2035行動於Instagram及X上所設立的帳戶，這些帳戶採用不同的立場來互相攻訐，還要求ChatGPT改寫來自其它社交媒體用戶的評論。</p> <p>Storm-2035有興趣的議題包括加沙衝突、以色列是否應參加奧運、美國總統大選、美國拉丁社群的權益、委內瑞拉的政治及蘇格蘭獨立運動等，另也穿插了時尚及美容議題，以強化偽裝。</p> <p>OpenAI並未公布所關閉的帳戶數量，但說Storm-2035行動並未受到太多使用者的關注，惟未來將持續與產業、社會及政府合作，大規模發現及減少類似的濫用行為，也會公布調查結果以推動資訊共享。</p> </div></div></div>
2024/8/19 14:21作者陳曉莉https://www.ithome.com.tw/news/164546
11萬網域不當設定，招致憑證遭竊及駭客勒索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Palo Alto Networks研究人員<a href="https://unit42.paloaltonetworks.com/large-scale-cloud-extortion-operation/" target="_blank">揭露</a>，雲端應用環境設定不當導致攻擊者得以竊取重要資料，並向受害企業勒索的攻擊行動。</p> <p>Unite 24資安研究小組指出，這波攻擊發生在部署帳號營運員（cloud operator），並啟用權限過於寬鬆的身分驗證管理（Identity & Authentication Management，IAM）的雲端環境。由於這些帳號營運員未能遵循雲端安全最佳實作，讓駭客得以取得包含敏感變項，像是驗證憑證的環境變項檔（.env）檔，並進行多種手法存取。.env檔是一種設定檔，允許用戶定義應用程式或平臺使用的配置變項。這些檔案常包含敏感資訊，像是存取金鑰、軟體即服務（Software-as-a-service，SaaS）API金鑰、和資料庫登入資訊。</p> <p>在研究人員觀察到的行動中，攻擊者在多個Amazon Web Services（AWS）設立攻擊基礎架構，先掃瞄網際網路以找尋公開曝險的bucket，再濫用其外洩的環境變項。這波攻擊中，11萬個網域成為鎖定對象，最後取得9萬多個獨特的變項。這些變項中，7,000個屬於組織的雲端服務，研究人員並追蹤1,500個變項是來自社交媒體帳號。研究人員說，受害組織.env檔案之所以外洩，並非出於應用程式或服務漏洞，或是產品廠商原有設定不當，而是受害組織自己的配置不慎，像是不常變更密碼，或是忽略使用最小權限的安全原則。</p> <p>研究人員揭露的部分案例中，攻擊者利用數種發現（discovery）API，鎖定AWS服務包括IAM、Security Token Service（STS）、Simple Storage Service（S3）和Simple Email Service（SES）發出呼叫，並獲得回傳AWS UserID、AWS帳號號碼以及Amazon Resource Name（ARN）。進一步探查ARN檔，還可以取得關聯的AWS服務、代管AWS資源的雲端區域、AWS帳號及和IAM憑證相關的資源型態（如使用者或群組）。</p> <p>利用這些到手的IAM憑證資訊，研究人員觀察到攻擊者對AWS EC2、及AWS Lambda服務發動權限擴張（escalation of privilege）、程式碼執行（code execution）攻擊。</p> <p>最後，攻擊者並利用雲端容器內的資料，向受害組織勒贖。研究人員分析，駭客用以勒索受害組織的方法包括利用洋葱路由器（Tor）網路執行偵察和初始的存取，利用VPN達成橫向移動和資料竊取，再使用虛擬私有網路（VPS）端點進行其他操作。這波攻擊完全沒用到加密，而是竊得資料後再把勒索訊息留在受害者雲端容器內。</p> <p>從被害網域數量之大，研究人員判斷駭客是利用自動化手法執行攻擊，他們也根據手法判斷，發動攻擊的是一群精於雲端架構流程及手法的駭客。</p> <p>Palo Alto Networks團隊並未說明這波攻擊是由誰發動，只說通報AWS後，AWS已解決用戶bucket曝露在公開網際網路的問題。該公司並建議用戶以防火牆、DNS安全、URL過濾、以及IAM方案來強化雲端安全防護。</p> </div></div></div>
2024/8/19 14:11作者林妍溱https://www.ithome.com.tw/news/164545
【資安週報】2024年8月12日到8月16日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本星期資安周報中，在資安防禦上有一個重要消息，後量子密碼學（PQC）標準正式出爐，首先發布的有3個標準，分別是FIPS 203、FIPS 204與FIPS 205，這意味著PQC邁入新的里程碑，如今企業組織在因應未來量子破密威脅上，已經可以開始行動，因為將公鑰密碼系統轉換需要一定的時間。</p> <p>國內還有3項發展值得關注，包括數位部公布確保機關之間資料安全傳輸的T-Road最新進展，以及鷹眼識詐聯盟揭露AI偵測技術用於金融防詐的成效，以及專注詐騙防治與數位安全議題的「臺灣數位信任協會」成立；而在資安產品動向上，趨勢科技這禮拜揭露資安防護產品的AI應用發展，他們表示，正在發展計算網路安全風險可能損失金額，以及預測攻擊路徑等功能。</p> <p>在漏洞消息方面，這一星期適逢多家IT廠商釋出每月例行安全更新，企業在因應各項修補之餘，也要留意一個狀況，攻擊者正持續挖掘大量未知漏洞，也針對已知漏洞快速利用於攻擊行動。</p> <p>以微軟而言，這次修補了多達10個零時差漏洞，數量之多，放眼過去幾年也相當罕見，而且其中有6個已是零時差漏洞利用的狀況，包括：CVE-2024-38189、CVE-2024-38178、CVE-2024-38213、CVE-2024-38193、CVE-2024-38106、CVE-2024-38107，都是修補釋出前、攻擊者已先挖出漏洞並用於攻擊行動。此外，還有SolarWinds Web Help Desk有一個漏洞CVE-2024-28986，13日才宣布先釋出一個熱修補程式（Hotfix），16日美國CISA警告已有攻擊者正在利用。</p> <p>近期還有個涉及Windows CLFS的漏洞被公開也成大家關注的焦點，因為研究人員指出該漏洞可導致系統出現藍色當機（BSoD）的狀況。</p> <p>此外，由於8月上旬的美國黑帽大會與DEF CON剛剛結束，前一星期就有不少研究人員公開最新漏洞研究成果的新聞，這星期持續有相關報導。例如：</p> <p>●微軟研究人員揭露OVPNX，指出OpenVPN存在4個零時差漏洞。<br /> ●資安業者SafeBreach揭露QuickShell，指出Google檔案鄰近分享工具Quick Share存在一系列漏洞。<br /> ●資安業者SySS揭露工控系統遠端存取解決方案Ewon Cosy+存在6項漏洞<br /> ●英國資安業者NCC Group揭露Sonos智慧喇叭漏洞讓駭客得以監聽使用者<br /> ●資安業者Semperis揭露微軟Entra ID的弱點UnOAuthorized</p> <p>值得一提的是，在本屆DEF CON CTF搶旗競賽中，臺灣派出資安戰隊「If this works we'll get fewer for next year」，在全球1,742隊參賽的激烈戰況中，以第10名進入總決賽，之後在12支隊伍比拼下獲得第7名，再次取得不錯的成績。</p> <p>在資安事件焦點方面，有兩個關於資料外洩的新聞，一是有人在Breach Forums駭客論壇公布14億筆騰訊用戶資料，另一是南韓國防工業外包商傳出遭北韓駭客攻擊，導致空中偵察機的技術資料與規格與手冊外洩。</p> <p>還有一條新聞也引發了許多人討論，是因為傳出微軟將從Windows 11 24H2開始，以微軟帳號登入的新用戶，將預設啟用BitLocker加密功能，雖然此舉對於筆電硬碟帶來更高保障，但引發一些反彈聲浪，包括影響系統效能，以及BitLocker的加密金鑰怕遺失等。</p> <h3><a href="https://www.ithome.com.tw/news/164421"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月12日】研究人員揭露存在18年的瀏覽器漏洞，而且已有濫用漏洞行為，Linux及macOS電腦都可能中招</span></strong></a></h3> <p>一般而言，駭客利用瀏覽器的漏洞，通常是打算藉此入侵受害者的電腦，或是竊取瀏覽器存放的使用者資料，但最近研究人員揭露的漏洞0.0.0.0 Day相當特別，因為這項漏洞影響的範圍並未包含數量龐大的Windows用戶，而是搭載Linux與macOS作業系統的電腦。</p> <p>但值得留意的是，這項漏洞已被用來從事攻擊行動，駭客藉此存取特定應用系統的伺服器，從而執行任意程式碼，或是提升權限。</p> <h3><a href="https://www.ithome.com.tw/news/164452"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月13日】韓國國防工業承包商傳出遭北韓駭客攻擊，軍事偵察機資料外流</span></strong></a></h3> <p>上週韓國媒體報導指出，他們專門用於在北韓領空從事情資蒐集的軍事偵察機，相關內部機密文件因北韓駭客對其國防供應商發動網路攻擊遭到外流，而這起網路攻擊，傳出是北韓領導人金正恩下令發起。</p> <p>值得留意的是，近期韓國國防工業的資安事故頻傳，根據韓京市場的報導，根據當地媒體韓京市場的報導，傳出研究人員竊取K-2坦克機密投靠新東家。</p> <p><a href="https://www.ithome.com.tw/news/164484"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月14日】微軟發布8月例行更新，公布多達10個零時差漏洞</span></strong></a></p> <p>本週二（8月13日）是許多軟體業者發布8月例行更新的日子，其中最值得留意的是微軟，雖然他們這次僅公布90個漏洞，較<a href="https://www.ithome.com.tw/news/163856">7月143個</a>有明顯減少的趨勢，但值得留意的是，揭露的零時差漏洞多達10個，其中有6個已被用於實際攻擊行動，美國網路安全暨基礎設施安全局（CISA）也證實這些漏洞遭到利用的現象，要求聯邦機構限期完成修補。</p> <p>其餘4個零時差漏洞也不能掉以輕心，當中有2個是研究人員稍早在2024黑帽大會公布，可被串連用於Windows Downdate降級攻擊而受到矚目。</p> <p><a href="https://www.ithome.com.tw/news/164503"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月15日】全臺首個專門針對詐騙防治與數位安全議題的非政府組織「臺灣數位信任協會」正式成立</span></strong></a></p> <p>隨著數位科技迅速發展，全球面臨的詐騙威脅和資安風險不斷增加，臺灣無法置身事外，對此，各界專家組成、以推動數位信任環境建構為宗旨的台灣數位信任協會，於昨日（14日）正式成立。</p> <p>此協會由專業學者、反詐騙志工、意見領袖、跨領域業者自發性推動，以教育宣導、政策倡議、產業合作、國際交流等4大任務，建立數位信任發展的第一步。</p> <p><a href="https://www.ithome.com.tw/news/164525"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月16日】美國總統大選兩大陣營遭伊朗駭客APT42鎖定，駭客進行目標式攻擊</span></strong></a></p> <p>國家級駭客意圖藉由網路攻擊左右選舉的情況，今年傳出不少資安事故，從年初臺灣總統大選有多家資安業者揭露中國駭客發動攻擊的現象，事隔半年，最近鎖定美國總統大選的攻擊行動接連傳出。</p> <p>上週末川普陣營透露遭到網路攻擊，並懷疑是伊朗駭客所為，本週Google旗下威脅情報團隊（TAG）公布攻擊者的身分，就是專門針對美國及以色列的駭客組織APT42。</p> <p> </p> <p><strong><span style="color:#FF0000;">本星期漏洞利用狀況一覽表</span></strong></p> <p>零時差漏洞利用：6個<br /> CVE-2024-38106 ／微軟Microsoft Windows Kernel漏洞<br /> CVE-2024-38107 ／微軟Windows Power Dependency Coordinator<br /> CVE-2024-38178 ／微軟Windows Scripting Engine漏洞<br /> CVE-2024-38189 ／微軟Project漏洞<br /> CVE-2024-38193 ／微軟Windows Ancillary Function Driver漏洞<br /> CVE-2024-38213 ／微軟Windows SmartScreen Security漏洞</p> <p>本星期已知漏洞遭利用：1個<br /> CVE-2024-28986 ／ SolarWinds Web Help Desk漏洞（8月13日漏洞公開，8月16日警告已遭利用）<br /> </p> </div></div></div>
2024/8/19 10:46作者羅正漢https://www.ithome.com.tw/news/164538
Gartner預測日常AI與數位員工經驗將在兩年內達到主流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市場研究機構Gartner於上周<a href="https://www.gartner.com/en/newsroom/press-releases/2024-08-14-gartner-says-everyday-ai-and-digital-employee-experience-are-two-years-away-from-mainstream-adoption" target="_blank">預測</a>，日常AI（Everyday AI）與數位員工經驗（Digital Employee Experience，DEX）都可望在兩年內成為主流。</p> <p>日常AI與DEX是相關的，Gartner傑出研究副總裁Matt Cain指出，日常AI將能藉由協助員工撰寫、研究、協作或構思來消除數位摩擦，以及提高員工於數位化上的靈活性，它是DEX的核心。</p> <p>Gartner認為，2024年對數位職場應用領導者而言是個關鍵的一年，市場對於混合與遠端工作的關注減少了，而對日常AI的關注卻達到了頂峰。</p> <p>Gartner副總裁分析師Adam Preset指出，日常AI正在支援一種新的工作方式，讓智慧型軟體更像是一個協作者而非工具，同時數位職場也正在進入日常AI的時代，且日常AI將會變得愈來愈複雜，從只能協助排序與摘錄聊天內容及電子郵件訊息，進階到只要提供一些指導就能撰寫報告，在許多方面成為勞工生產力的未來。</p> </div></div></div>
2024/8/19 12:35作者陳曉莉https://www.ithome.com.tw/news/164543
北維吉尼亞與北京的超大規模資料中心容量占了全球的22%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市場分析機構Synergy分析了全球19家主要的雲端及網路服務業者的資料中心建置，<a href="https://www.srgresearch.com/articles/synergy-identifies-the-worlds-top-20-locations-for-hyperscale-data-centers" target="_blank">發現</a>擁有最多資料中心足跡的業者為Amazon、微軟及Google，而維吉尼亞州北部與北京的資料中心容量便占全球22%。</p> <p>Synergy所調查的對象及其全球資料中心規模依序是Amazon、微軟、Google、Meta、阿里巴巴、騰訊、蘋果、字節跳動，以及其它十多家規模相對較小的業者，涵蓋了SaaS、IaaS、PaaS、搜尋、社交網路、電子商務與遊戲領域。發現光是Amazon、微軟及Google所擁有的資料中心規模，便占了全球超大規模資料中心容量的60%，而且它們的資料中心同時位於美國及海外市場。</p> <p>至於在這些超大規模資料中心的所在地中，光是維吉尼亞州北部及北京的資料中心就占了所有容量的22%。</p> <p class="rtecenter"><a href="http://www.srgresearch.com/articles/synergy-identifies-the-worlds-top-20-locations-for-hyperscale-data-centers" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0819-Hyperscale%20Data%20Centers-by%20Synergy%20Research%20Group.jpg" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Synergy Research Group</span></span></p> <p>美國維吉尼亞州北部為全球超大規模資料中心密度最高的地區，根據Data Center Map的<a href="https://www.datacentermap.com/content/nova/" target="_blank">說明</a>，原因包括全球最大的資料中心基礎設施供應商Equinix在當地打造的「21715 Filigree Court」資料中心是全球互連性最強的資料中心之一，而且它位於東岸的戰略位置，不僅可連結其它主要市場，也是許多海底電纜的登陸點。</p> <p>而身為中國政府與經濟中心的北京，吸引了許多人才及產業，也成為重要的超大規模資料中心據點。</p> <p>前20個資料中心區域占了全球超大規模資料中心容量的62%，當中有13個位於美國，4個位於亞太地區，3個位於歐洲。亞太地區的主要資料中心位置除了北京之外，還有上海、東京與新加坡。</p> <p>Synergy指出，美國占比較高的原因包括全球接近60%的超大規模營運商的總部位於美國，以及美國占了全球接近一半的雲端市場營收，未來美國與中國將繼續主導此一數字，而馬來西亞、印度及西班牙也會有更突出的表現。</p> </div></div></div>
2024/8/19 13:14作者陳曉莉https://www.ithome.com.tw/news/164544
英超以iPhone結合AI協助比賽關鍵判決
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英格蘭超級足球聯賽（簡稱「英超」）在新賽季，將正式導入以iPhone結合AI的科技輔助關鍵判決。</p> <p>英超全新的2024/25賽季將正式全面使用由Genius Sports提供的半自動越位判讀（Semi-Automated Offside Technology，SAOT）系統，協助判讀足球比賽的越位（Offside）。</p> <p>越位判定是足球比賽中影響進球是否有效的關鍵判決，傳統上是由兩側的邊審決定進攻方球員的可觸球部位（如腳、膝、頭或肩膀）是否比防守方球員更接近球門。越位下的進球將被判無效。但現今使用的影像輔助裁判（Video-Assisted Referee，VAR）系統常因判讀過久影響比賽，且因判讀結果不精確引發爭議。國際足協兩年前在英超引進SAOT系統，但因各球場導入進度不一無法全面啟用，因而延到本賽季。</p> <p>Genius Sports<a href="https://www.geniussports.com/newsroom/genius-sports-to-supply-semi-automated-offside-technology-for-the-premier-league/" target="_blank">說明</a>SAOT是結合安裝在各球場的24到28臺iPhone 15 Pro和其AI與資料軟體平臺GeniusIQ而成。由iPhone相機拍攝進球前一刻的球場影像，GeniusIQ AI會在幾秒內生成所有球員、球與越位牆（offside wall）完整的3D影像，做為裁判越位判決的參考。</p> <p>Genius Sports告訴<a href="https://www.theverge.com/2024/8/14/24220197/iphone-offside-violation-ai-detection-soccer-video-assistant-referee-english-premier-league" target="_blank">The Verge</a>，之所以以iPhone 15 Pro取代傳統的4K相機，原因之一是開發人員更為熟悉iOS開發，可加速開發時程。</p> <p>新系統以iPhone群以100fps拍攝球場動態，提供7,000到1萬個資料點給後臺軟體以生成場上所有球員和球的3D影像，遠高於舊系統使用的30到40個資料點。該公司指出，電腦視覺和預測演算法能精準預測球員肢體位置，可克服舊式方法中被球員阻擋，或光線問題造成的誤判。另一個好處是，SAOT生成影像速度比VAR更快，可減少對賽事干擾，進而縮短一場比賽的傷停加時。</p> <p>英超使用的科技方案可望會逐漸推向其他聯賽，英超使用的VAR後來也為其他國家的職業足球聯賽，甚至歐洲國際賽事引進。</p> </div></div></div>
2024/8/19 12:13作者林妍溱https://www.ithome.com.tw/news/164542
MedTech醫療科技雙周報第37期：衛福部資訊處從臺大醫院3D創傷影像資料庫建置經驗，談未來政策方向
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0801～0815 ）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 衛福部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫學影像分割 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 隱私保護 </span></strong></span></p> <p><b style="font-size: 22px;">衛福部資訊處從</b><span style="font-size: 22px;"><b>臺大醫院3D創傷影像資料庫建置經驗，談未來政策方向</b></span></p> <p>日前，衛福部資訊處處長李建璋在一場活動中分享，他在臺大醫院時，與團隊共同建置臺大3D創傷全息影像資料庫和HoloXMed系統的經驗，讓原本不易判斷創傷的平面醫學影像，透過3D重組技術變得清晰可見，如骨盆骨折、腦動脈瘤等；醫師還能透過系統工具，來自行製作高品質的AR全息影像。</p> <p>這個經驗，也讓借調至衛福部的李建璋思考幾個新政策方向。首先是相關智慧醫材的TFDA取證流程，他將與食藥署討論，來根據風險程度，劃分更細緻的取證流程，比如用於規畫、教育和輔助診斷等需專業醫師作為最後判斷者的醫學影像AI應用，可採取較快速的審查方式，若是用於手術導航、醫學影像定位等講求精確的目的，就需要較嚴格的審查流程。</p> <p>另一個他思考的政策方向是，若使用到資料中心在海外的醫療AI服務，會要求供應商提供更嚴謹的保證，如不得窺探隱私資料、不得用於模型訓練、要透明揭露管理權限以及資料儲存方式（如儲存於何處、儲存多久、如何銷毀等）。他也思考，國家要建置含數十萬至百萬張的醫學影像分割資料庫，且要涵蓋更多病理病態形式，這些影像可用來訓練AI模型，來自動分割醫學影像，快速將腦出血、腦腫瘤或動脈瘤等區域套色出來，加速診療流程。</p> <p>不過，這種資料庫涉及資料隱私，因此他指出，目前衛福部已提出衛生資料使用條例，不只規範資料要去識別化，還要建置一個入口網站，來讓民眾查詢自己的資料是否被使用、如何使用，以及退出選項等，來保障民眾資料權。最後，李建璋點出，關於這類智慧醫材能否獲健保給付，未來將可由4家AI影響性研究中心處理，研究中心將建立新科技使用組和傳統方法對照組，來判斷對病人健康的影響性，進行醫療經濟評估、進而決定健保給付與否。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3193.JPG" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LOINC </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 社會決定因素 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 編碼 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>國際檢驗編碼LOINC新版來了，聚焦SDOH等4大領域</strong></span></p> <p>LOINC是一套國際醫學檢驗和臨床觀測編碼系統，旨在提高全球健康數據的交換和互操作性，目前已有196個國家／地區使用。維護LOINC的Regenstrief研究院，每年會在2月和8月發布新版本，而這個月發布了2.78版，包含3,000項術語更新，其中新添近1,600個概念和1,400項修改，聚焦診斷、醫療設備、公共衛生報告、社會決定因素（SDOH）等4大領域。</p> <p>其中，近250個新概念是要改善健康資料的表示方式，來促進不同系統間的數據交換。另也有個新概念，是為美國食藥局（FDA）核准的AI診斷系統（子宮頸癌偵測AI）而制定。這次更新，還包括與糖尿病技術協會合作，將連續血糖監測設備的數據標準化。還有個特點是在國際患者摘要分類中添加更多內容，來提醒醫生，注意患者重症狀況。不只如此，LOINC 2.78版也新添SDOH內容，納入了就業不穩定和住所不穩定等影響健康的社會風險因素。LOINC執行董事Marjorie Rallins表示，他們也持續與SNOMED國際組織合作，來開發利於LOINC與另一項國際醫學編碼SNOMED CT的互通解決方案。<a href="https://loinc.org/news/loinc-version-2-78-is-now-available/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-08-18%20at%2011_57_55%20PM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">FDA </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療設備 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 可取性 </span></strong></span></p> <p><span style="font-size:22px;"><strong>美國FDA提出公眾討論文件，要提高醫療設備和創新技術的可取性</strong></span></p> <p>美國食藥局（FDA）最近發布一份《醫療設備的健康公平性》文件，要來提高美國所有人群對醫療設備與創新技術的可取性。這份文件由FDA旗下醫療設備暨放射健康中心（CDRH）提出，是其2022至2025年健康戰略的一環，該文件包含幾個重點，首先是設計臨床研究時，需考量3大因素，包括疾病負擔，生理、解剖和病理狀況，以及科技，來確保這個臨床研究的研究人群，能充分反映醫療設備的預期使用人群。另一個重點是，評估醫療設備預期使用者的臨床數據時，因注意這些數據能否擴大應用且具代表性。FDA希望透過這份文件，來開啟公眾討論，促進更能普及眾人的醫療設備和技術應用。意見收集截止日期為今年10月4日。<a href="https://www.fda.gov/about-fda/cdrh-strategic-priorities-and-updates/discussion-paper-health-equity-medical-devices?utm_medium=email&utm_source=govdelivery">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 癌症 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 韓國 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公共資料庫 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>韓國衛福部再添226萬名癌症患者數據至公共癌症資料庫</strong></span></strong></p> <p>最近，韓國衛福部（MOHW）聯手韓國國家癌症中心、韓國健康資訊服務中心，在既有的K-CURE公共癌症資料庫中新添226萬名癌症患者的數據，供研究人員存取。這些數據的涵蓋範圍，已擴大為2012年至2020年，數據內容則包括匿名的癌症登記、癌症篩檢、用藥、保險資格、理賠和死亡率等。此外，韓國疾病管制及預防局也將COVID-19的感染和疫苗接種資料集，添加到全民健康資料庫中。研究人員獲許可後，可透過指定的資料中心來存取全民癌症資料。<a href="https://www.mohw.go.kr/board.es?mid=a20401000000&bid=0032&act=view&list_no=1482539&tag=&nPage=1">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-08-18%20at%2011_43_08%20PM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">病罕見疾病 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 紐西蘭 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料庫 </span></strong></span></p> <p><span style="font-size:22px;"><strong>紐西蘭政府展開10年計畫，要打造國家級罕病資料庫</strong></span></p> <p>據HIMSS旗下醫療科技媒體指出，紐西蘭部宣布一項10年計畫，要改善罕見疾病患者及其家人的健康和生活品質，其中一個作法就是建置國家級罕病資料庫。在紐西蘭，大約每2,000人就有一人患有罕見疾病，這類疾病包括罕見的遺傳疾病、癌症、傳染病、中毒、免疫相關疾病和特發性疾病。</p> <p>但紐西蘭衛生部表示，他們目前收集的罕病訊息非常少。由於資料有限，他們難以得知患罕病的確切人數和健康影響，以及有多少人能即時獲得診斷和照護。因此，衛生部展開10年計畫，首先要建立全國罕病資料集，要先收集罕病資料、打造更詳細的臨床資料分類系統，還要開發新方法，來互通分類系統、罕病資料和國家健康數據。未來，他們希望透過這些去識別化的罕病資料，來進行更多研究，進而改善罕病患者健康狀態。<a href="https://www.healthcareitnews.com/news/anz/new-zealand-eyes-routine-collection-rare-disorders-data">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">韓國 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 新藥開發 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臨床試驗 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>韓國政府跨部門聯手推AI新藥開發計畫</strong></span></strong></p> <p>上個月，韓國衛福部、科學暨ICT部、健康發展產業院以及韓國國家研究基金會共同展開一項新藥開發加速計畫K-Melody，要打造一套聯邦式ADMET模型（簡稱FAM），來預測適合發展為新藥的候選藥物。其中，ADMET是指臨床試驗成功的重要因素，包括藥物的吸收、分布、代謝、排泄和毒性。</p> <p>韓國政府希望透過3個階段來打造FAM，包括平臺建置、納入資料與資料處理，以及AI模型開發。進一步來說，他們會將平臺打造為適合聯邦學習的FAM營運平臺，接著進行20個資料提供和處理任務，將有藥廠、醫院和科學研究院加入。最後則有15個AI模型開發任務，來打造FAM解決方案與應用。該計畫於今年7月展開。<a href="https://www.kpbma.or.kr/multimedia/pressRelease/select/240300">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 高齡科技 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 工研院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 認知 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>工研院秀高齡科技進展，聚焦檢測、診斷和復健3大領域</strong></span></strong></p> <p>在今年首屆高齡健康產業博覽會中，工研院展示自家高齡科技成果，涵蓋檢測預防、診斷治療、復健照護3大層面。就檢測預防來說，有「智慧認知運動」，利用影像辨識技術來捕捉長者運動姿態和認知行為表現，透過AI分析後可即時調整訓練課程內容。另還有音樂同步互動訓練系統，內建壓力感測模組，能分辨不同音階拍打與音樂的一致性，同樣以AI分析彈奏者的表現和記憶認知變化，來提供以AI為基礎的音樂推薦，來增強認知和記憶力、強化手腦協調性。</p> <p>在診斷治療方面，則有結合生成式AI的華人語系醫療助理小智醫生，只需語音或影像資料，就能快速生成醫師診斷治療建議，如初診報告、醫療檢查報告、醫護會議紀錄、護理紀錄等，還能接受中文、臺語、泰語等96國語言。在復健照護方面，工研院針對獨居長輩和照護機構，開發一套高隱私AI照護員，以AI熱像辨識技術，來提供去識別化的高隱私影像，能精準識別長者在床上或床邊的異常行為，如離床、跌倒與久臥等，即時通報警示。<a href="https://www.itri.org.tw/ListStyle.aspx?DisplayStyle=01_content&SiteID=1&MmmID=1036276263153520257&MGID=113080109433350783">（詳全文）</a></p> <p><img alt="" src="https://www.itri.org.tw/WebTools/Thumbnail.ashx?Siteid=1&MmmID=1036276263153520257&fd=NewsLetter_Pics&Pname=C881FA0A-784E-433D-B88E-7D91FB02837A_%E5%9C%962_20240801_56.jpg" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療系統 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> SDGs </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永續 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>醫療系統聯盟拿下亞太SDG17銀獎</strong></span></strong></p> <p>醫療系統聯盟（HSC）在2024亞太暨臺灣永續行動獎中，獲臺灣區SDG10醫療系統聯盟多元交流金獎，也代表臺灣獲亞太區SDG17 Healthcare Systems Consortium-Global Network銀獎。SDGs是指聯合國永續發展目標，可細分為17項子目標，而HSC自2017年成立以來，就致力推動臺灣醫療科技的國際化與永續發展，也努力成為業界與醫界的交流橋樑。</p> <p>比如2019年，HSC代表國科會參與捷克布拉格的第六屆臺捷科技日，也協助加拿大器械洗消廠商SteriPro與臺灣童綜合醫院合作，還多次帶領考察團前往捷克、義大利、德國等地進行研究與交流，舉辦不少跨國會議。HSC表示，接下來希望推動全球醫療科技創新與合作，要瞄準聯合國SDGs，特別是SDG3良好健康與福祉和SDG9產業、創新與基礎設施。<a href="https://www.facebook.com/share/p/dQyjEHgLNgnp6spU/">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 高齡 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 解決方案 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健康管理 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>首屆高齡健康產業博覽會的3大解決方案亮點</strong></span></strong></p> <p>第一屆高齡健康產業博覽會在8月初展開，主辦方盤點廠商端解決方案，共有3大亮點，包括醫療AI、健康管理和住宅科技。就醫療AI來說，亮點應用有宏碁智醫的智骨篩，可根據胸腔X光影像來分析骨質密度、判斷骨質疏鬆風險，他們也首次揭露智骨雲，可用Line管理個人體健狀態。另還有仁寶電腦的憂可視腦波壓力評估系統，以AI輔助、進行非侵入式的腦波分析，可在15分鐘內生成評估報告，提高長者心理健康，此外還有長佳智能的腦出血檢測系統和心電圖分析軟體，來因應腦中風和心血管疾病。</p> <p>在健康管理部分，則有華碩電腦的HealthHub健康小站，提供生理數據記錄和即時專業諮詢功能，使用者也能用來追蹤家人健康狀態。再來是中華電信的是方i健康App，整合運動、飲食、睡眠和健康數據，再以AI分析個人健康分數和風險指數。另外也有遠傳電信的Health健康+ App，結合遠距診療和自主健康管理，能管理多項健康數據、提供個人化健康諮詢、就醫預約和視訊看診服務。</p> <p>至於住宅科技應用，則有聲寶的橘青春樂齡宅，結合智慧家電和安全防護系統，提供生理測量、健康諮詢、慢病預防和健康飲食方案。中保科技則展示中保無限+ 家庭守護服務，可透過生活動態數據分析，來監控長輩健康，並提供智慧防災系統。另還有新光保全的Care U雲端居家照護服務，提供用藥提醒、護理師電話聯繫和緊急求助功能。</p> <p>圖片來源／Regenstrief Institute、K-CURE、工研院</p> <p>攝影／王若樸</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 紐西蘭政府叫停遠距醫療免費看診資金</strong></strong></p> <p>資料來源：iThome整理，2024年8月</p> </div></div></div>
2024/8/18 00:01作者王若樸https://www.ithome.com.tw/news/164536
六年大砸86億，國泰世華銀行明年啟動核心系統現代化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>15日，國泰金控公告了一項重大IT計畫，經董事會決議，國泰世華銀行將在2025年展開為期六年的核心系統現代化計畫，預計投資金額為86.29億元，其中37.5億元將委託IBM進行系統整合與計畫管理。</p> <p>早在2016年，國泰世華銀行就曾評估是否汰換核心系統。由於當時核心系統並無太大問題，國泰世華高層決定不立即汰換核心，而是訂定兩項重要策略，一是穩定核心系統運作，採取核心雙活模式，確保持續運作。二是建置中臺架構，透過建置中臺服務逐漸將核心系統瘦身，同時快速與前端串接服務。</p> <p>當時，國泰世華銀行資深副總經理王志峰就曾提及，採取核心雙活模式，是為了日後要汰換升版時，可以先升級其中一套，另一套持續接手提供服務，升級完成後再切換。</p> <p>多年來，國泰持續運用現代化技術發展周邊系統和中臺架構，例如導入微服務和容器化技術。經過多年來的核心系統瘦身，如今，國泰世華銀行也決定將現代化技術運用在核心系統上。針對核心系統現代化計畫，國泰金控表示，他們啟動近年來規模最大的系統升級計畫，是為了應對運算需求，和滿足海內外業務服務部署需要。未來，新系統將運用先進技術優化業務架構，以更快應對市場變化、擴大服務範疇，和加快推出新產品和新服務。</p> <p>在國泰世華銀行的年報資訊中，截至今年三月底，國泰世華的主要資訊系統除了X86伺服器和IBM Power 主機，仍有採用IBM Mainframe系列主機。而在未來開發或購置計畫中，國泰世華年報中條列了多項規劃，其中一項是要導入新一代高效能主機，並汰換、提升信用卡核心系統 IBM Mainframe 主機及磁碟機，更要進行信用卡核心主機作業系統版本升級。</p> <p></p> </div></div></div>
2024/8/16 18:26作者李昀璇https://www.ithome.com.tw/news/164534
Martech雙周報第60期：Safari瀏覽器又一打擊數位行銷做法，將推出可以隱藏頁面中數位廣告的功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong><span style="background-color:#FFFFE0;">重點新聞(0804~0817)</span></strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#圍牆花園 #廣告阻擋器 #瀏覽器廣告</span></span></strong><br /> <strong>蘋果在iOS 18 beta中測試瀏覽器內建的廣告阻擋器</strong></p> <p>近日，iOS 18 beta測試版本中出現了一個名為Distraction Control（分心控制）的功能，具有暫時關閉Safari瀏覽器全頁面廣告的能力，幾乎形同官方廣告阻擋器（Ad-blocker）。</p> <p>分心控制功能運作模式是，使用者可以在Safari瀏覽器中，選擇預設關閉網頁裡讓人容易分心的元素。這包含彈出式視窗、懸浮在網頁中的第三方登入橫幅、Cookie授權視窗等，數位廣告也不例外。</p> <p>不過，分心控制功能並不會永久關閉數位廣告。由於廣告大部分是動態元素，只要重新載入頁面，或進入新頁面，數位廣告還是會重新出現。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN #跨通路追蹤 #跨通路行銷</span></span></strong><br /> <strong>跨國數據分析巨頭Experian對零售業者推出RMN升級解決方案，主打豐富RMN顧客數據及拓展可投廣通路</strong></p> <p>隨著越來越多零售業者開始經營自家RMN，如何規模化廣告業務的成為零售業者挑戰。數位行銷通路變得更破碎化，更形成廣告主跨通路追蹤挑戰。鎖定這2痛點，<a href="https://www.experian.com/blogs/marketing-forward/experian-unveils-comprehensive-solution-for-retail-media-networks/">有超過2.5億個人數據的跨國消費者數據分析公司Experian針對推出RMN解決方案</a>，意圖利用消費者身分匹配技術，將RMN通路與其他數位行銷通路整合。</p> <p>他們的做法是，交叉比對零售業者的顧客數據、Experian自家數據，以及UID2.0、不同CTV會員數據等第一方數據，來嘗試勾勒出顧客完整數位足跡。整合出更完整的顧客資料後，他們會再利用這些資料來重新分析顧客特徵、劃分行銷分眾，並投放到其他合作廣告通路。</p> <p>這個做法，等於是使RMN具有一定的DSP功能，廣告主可透過零售業者，對業者顧客投放橫跨多種行銷通路的廣告。當零售業者能將自家會員數據投放到更多數位通路，不只能擴大廣告業務規模，更能用統一標準來追蹤行銷成效。這些成效統計對廣告主來說，也會更有參考性。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#隱私法遵 #法遵認證</span></span></strong><br /> <strong>IAB推出數位廣告法遵檢查平臺，能快速檢查數位行銷隱私法遵項目</strong><strong>並共享檢查通過結果</strong></p> <p>美國互動廣告協會（IAB）<a href="https://www.iab.com/news/iab-diligence-platform-is-now-available-to-streamline-compliance-for-the-entire-digital-advertising-industry/">正式推出Diligence Platform</a>，用於檢查數位廣告活動是否符合19種美國聯邦隱私法規及不同州個別隱私法規。廣告主或Martech公司等任何有行銷活動的企業都可以在平臺上填寫完對應法遵檢查表，並將檢查表結果分享給指定IAB會員及其他在平臺上的企業。IAB表示，這些檢查表項目都會跟著法規更動而更新，有助於企業簡單快速完成法遵工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/iabdi.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#黑盒子廣告投放 #社群媒體行銷 #跨通路行銷</span></strong></span></p> <p>近期，廣告界老大老二Google和Meta，以及社群媒體巨頭Snap，紛紛縮減廣告投放選項，甚至取消部分廣告投放功能，轉而強制廣告主使用自家黑盒子廣告投放系統，聲稱成效更高、成本更低、或廣告主能更省心。這說明廣告巨頭對自家廣告演算法有足夠信心，但也意味著廣告主或專業廣告投手更難掌握自家行銷活動的執行細節。</p> <p><strong>Meta移除了廣告受眾排除功能，聲稱自動代投反而降低逾2成成本</strong></p> <p><a href="https://www.facebook.com/business/help/458835214668072">Meta宣布將停用詳細目標設定裡面的受眾排除條件功能</a>，意即廣告主不再能主動選擇排除哪些受眾，而是交由Meta投放系統決定曝光對象。此改動已經上線，現行採用排除受眾選項的行銷活動則在明年1月後自動失效。</p> <p>Meta說明，他們在2個月內執行了15次A/B測試，比較有無使用排除受眾選項的行銷活動中，何者轉換成本較低。結果不排除受眾的活動，每次轉換成本中位數低了22.6%，且結果具有100%信心水準。</p> <p><strong>Google逐漸停用Smart Campaigns投廣選項，部分功能將整合進黑盒子投廣功能Performance Max</strong></p> <p>近日開始有<a href="https://www.linkedin.com/posts/vishal-nihalani-a36007237_end-of-an-era-performance-max-replaces-smart-activity-7226269866360467457-4Ynp?utm_source=share&utm_medium=member_desktop">不少行銷人員發現Google簡易投廣功能Smart Campaigns開始停用</a>。儘管Google尚未正式公布停用訊息，<a href="https://support.google.com/google-ads/thread/288399871/smart-campaign-option-is-not-showing?hl=en">已經有廣告主紛紛</a>收到Google客服說明，Smart Campaigns功能將整合進AI黑盒子廣告投放功能Performance Max中。</p> <p>這也與<a href="https://www.ithome.com.tw/news/151239">Google近期力推</a>Performance Max產品的策略相符，他們持續新增AI更多代投選項，也逐漸開通更多此功能可投放的Google旗下通路及合作夥伴線上線下通路，還推出A/B測試功能讓廣告主體會使用此產品的成效。</p> <p><strong>Snap將自家廣告投放平臺的行銷目標選項從12種整合為5大類</strong></p> <p><a href="https://forbusiness.snapchat.com/blog/ads-manager-objectives">社群媒體巨頭Snap整合自家廣告平臺的投放選項，將行銷目標從12小類整合為5大類。</a>選擇這5大類行銷目標時，介面會顯示此類目標有助於哪些更細緻的具體行銷目標，以及建議格式。此改動預計9月完全上線，屆時舊有行銷活動的目標選項會自動匹配到新目標分類。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/snpnew.jpg" style="width: 600px;" /></p> <p>新的5大類包含「知名度與互動」，涵蓋舊有的品牌知名度、影片觀看數、地點推廣、促進互動等舊分類；「流量」包含引導網站流量和引導應用程式流量；「潛在客戶」對應舊的潛在客戶開發目標；「應用程式推廣」涵蓋了應用程式安裝和應用程式轉換；「銷售」則結合了網站轉換、產品目錄銷售以及商店流量等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. AnyMind Group推出AI短影音生成功能，自動讀取網站文章內容並轉化成符合社群媒體格式的有聲短影音</p> <p>2. 醫療行銷科技商<a href="https://webmdignite.com/news/webmd-ignite-unveils-two-high-performance-solutions-supercharge-health-system-referral-and">WebMD Ignite推出醫療產業用轉診行銷方案</a></p> <p>3. <a href="https://www.businesswire.com/news/home/20240801677317/en/Roku-Enhances-Benefits-for-Advertisers-with-Adoption-of-Unified-ID-2.0">美國CTV龍頭Roku開始採用第一方身分數據聯盟解決方案UID2.0</a></p> <p>4. <a href="https://support.google.com/localservices/answer/15202088">Google在地生活服務廣告新增自動選取適當圖片的功能，並新增行銷預算控管功能</a></p> <p>5. Omnichat推出跨通訊軟體的顧客旅途數據整合工具及跨通訊軟體的會員經營模組</p> <p>資料來源：iThome整理，2024年8月</p> <p>責任編輯：郭又華</p> <p>圖片來源：MacRumors、SafeGuard Privacy、Snap</p> <p></p> </div></div></div>
2024/8/16 18:41作者郭又華https://www.ithome.com.tw/news/164531
趨勢科技用AI幫助計算風險損失金額，並能預測攻擊路徑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，網路安全治理及風險管理已成為熱門議題，雖然早年資安產品就有從風險角度給出量化分數的作法，但在今年黑帽大會（Black Hat USA 2024）期間我們發現，趨勢科技在強調要用AI來做資安風險管理時，正計畫將風險可能造成的財務損失金額（Financial loss），直接顯示於產品介面，有望打破技術與商業溝通的鴻溝，同時，他們還將增加AI預測攻擊路徑的新能力。</p> <h2><strong>資安產品提供風險財務損失金額指標，打破與公司治理層的隔閡</strong></h2> <p>在8月初黑帽大會現場，根據該公司研發團隊的說明，他們的Trend Vision One平臺上已涵蓋不少從風險角度出發的資訊。</p> <p>例如，他們將攻擊面風險管理（ASRM）解決方案設為平臺首頁，在ASRM的儀表板上，也會呈現一個風險指標分數，讓資安高層可以更直覺的方式來掌握整體態勢，並讓企業快速找出最高風險的地方去優先處理。</p> <p>而且，他們接下來還有發展Identity Posture的新功能，目前是預覽版，此方案是幫助企業掌控公司每個帳號的風險，也就從風險出發、從資安態勢出發。</p> <p>特別的是，<a href="https://www.ithome.com.tw/news/164363">當時趨勢科技透露，ASRM介面將有新的重大改版，不僅是風險指標分數，還會有呈現可能風險損失金額的指標</a>，讓資安長可以更方便與董事會溝通，也利於爭取預算，他們希望資安平臺更能兼顧資安長與董事會的不同需求，並解決每個資安長的最大挑戰。不過，何時改版尚未定案，可能在2025年上半，因為這還涉及商業流程與資安保險等面向。</p> <p>為何之前沒有這麼做？他們表示，這有兩個因素：雲端與AI，有雲端才能蒐集那麼多的資料，有AI才可以幫助加速資料的即時計算，不像以前只能每月進行一次。而且，過去資安產品的報告都是相當獨立，不論是電子郵件、端點或網路的報告，但這些相當片面且不夠整體，因此，現在趨勢科技希望從整體網路風險管理角度出發，未來也希望將不同資安業者產品資料整合其中。</p> <p>在黑帽大會一週之後，趨勢科技對臺灣媒體展示了更多AI資安方面的應用，當中就有展示他們未來的新規畫，要在平臺介面上呈現新的指標，顯示網路安全風險的可能財務損失金額。</p> <p>一般而言，雖然量化成風險分數有很大的意義，可以用來表示信心程度，也可用與其他同性質業者來比較防護水準，但這是對資安管理人員而言。</p> <p>趨勢科技台灣區技術總監劉家麟指出，老闆或董事會往往無法理解資安人員的專業術語，例如，當你告訴老闆企業風險是60分時，他可能不會明白這個分數的意義，他更關心的是這對營運與財務有何影響。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1B）趨勢科技朝向網路風險管理與AI驅動_圖片來源趨勢科技.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961B%EF%BC%89%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80%E6%9C%9D%E5%90%91%E7%B6%B2%E8%B7%AF%E9%A2%A8%E9%9A%AA%E7%AE%A1%E7%90%86%E8%88%87AI%E9%A9%85%E5%8B%95_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80.jpg" style="width: 600px;" /></a></p> <p>因此，為了有效與上層溝通，現在趨勢科技將利用AI來協助相關評估，包括資產的重要性，以及將營運營收狀況加入成為其中的元素。</p> <p>如此一來，當你告訴老闆企業今年面臨資安風險，可能導致5,800萬美元的損失時，這時就會引起老闆的注意，而不是老闆可能聽不懂就直接略過。這時，資安長或團隊再提出所需的資安投資金額，老闆會更容易理解與給予支持，因為這能幫助他減少潛在的財務損失。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）趨勢科技朝向網路風險管理與AI驅動_圖片來源趨勢科技.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80%E6%9C%9D%E5%90%91%E7%B6%B2%E8%B7%AF%E9%A2%A8%E9%9A%AA%E7%AE%A1%E7%90%86%E8%88%87AI%E9%A9%85%E5%8B%95_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80.jpg" style="width: 600px;" /></a><br /> </p> <h2><strong>從早期風險事件預測接下來的攻擊行為，用生成式AI做到更主動的風險緩解</strong></h2> <p>關於生成式AI在資安應用上的升級，<a href="https://www.ithome.com.tw/news/164363">趨勢科技在2024黑帽大會的演說上曾提到</a>，隨著代理式AI的應用發展，將顛覆以前的資安管理方式，尤其是談到，不只是要用AI蒐集多方資訊交互關聯出事件的「攻擊路徑」，我們現在更要用AI關聯出「淺在攻擊路徑」，並且「預測」接下來可能的攻擊行為。當時趨勢科技向我們指出，當企業認知到可以有這樣的能力時，確實感到相當大的興趣。</p> <p>本周趨勢科技揭露這方面的更多細節，並說明該公司在資安預測上的發展情形。</p> <p>基本上，風險評估是資安預測上的基礎。過去的風險評估方式，大多是針對個別威脅與資產去定義其風險，但這樣的風險評估並不完整，現在他們強調的是，我們需要建立出資產、資料流向圖的一個Map，有了這樣的可視性，當識別出當一臺主機處於可存取敏感資料的路徑上，其風險應該會比另一臺有同樣風險的主機要高。</p> <p>而在資安預測的發展上，早期是採單純靜態式的防禦規則，前兩年他們開始推動持續性風險評估，不過那時還沒有將AI元素加入，主要還是針對指定一臺主機的風險事件去計算風險。</p> <p>今年2024年有很大轉變，在生成式AI技術的幫助下，趨勢科技將能夠由AI去針對使用者、主機位址的重要性去計算真正的風險，以及將會影響的資產範圍。因此，在預測攻擊路徑的發展上，他們現在已經可以藉由許多Sansor將資料流向圖畫出來，做到簡單的攻擊路徑預測。</p> <p>更重要的是，未來他們將會進一步提升這方面的能力，預計今年第3或第4季之後，他們要將所有蒐集到的風險與威脅事件，能夠每一條全部都列出來，如此一來，針對不同的風險事件，將能夠預測接下來多條潛在攻擊路徑，這時就能及早因應，並且給出優先處理順序。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）趨勢科技朝向網路風險管理與AI驅動_圖片來源趨勢科技.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80%E6%9C%9D%E5%90%91%E7%B6%B2%E8%B7%AF%E9%A2%A8%E9%9A%AA%E7%AE%A1%E7%90%86%E8%88%87AI%E9%A9%85%E5%8B%95_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80.jpg" style="width: 600px;" /></a></p> <p>還有在不同層面上的資安預測，趨勢科技也有提出具體作法，像是在過去30天內所發現的可疑連結、可疑郵件、弱點，以及行為監控違規，將可預測未來15天是否有可能有害的應用程式、木馬程式，或後門程式，進而產生值得警惕的風險事件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）趨勢科技朝向網路風險管理與AI驅動_圖片來源趨勢科技.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80%E6%9C%9D%E5%90%91%E7%B6%B2%E8%B7%AF%E9%A2%A8%E9%9A%AA%E7%AE%A1%E7%90%86%E8%88%87AI%E9%A9%85%E5%8B%95_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80.jpg" style="width: 600px;" /></a></p> </div></div></div>
2024/8/16 14:56作者羅正漢https://www.ithome.com.tw/news/164528
FBI查封勒索軟體Dispossessor基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦調查局（FBI）本周<a href="https://www.fbi.gov/contact-us/field-offices/cleveland/news/international-investigation-leads-to-shutdown-of-ransomware-group" target="_blank">宣布</a>，已查封新興的Radar/Dispossessor勒索軟體基礎設施，Dispossessor<a href="https://dispossessor-cloud.com/" target="_blank">官網</a>則出現已遭扣押的訊息。</p> <p>FBI表示，他們所摧毀的是以代號Brain為首的勒索軟體組織Radar/Dispossessor，總計拆除了3個位於美國、3個在英國，以及18個在德國的伺服器，以及8個位於美國及1個位於德國的犯罪網域名稱。</p> <p>FBI的調查顯示，Radar/Dispossessor成立於2023年8月，很快就成為一個具備影響力的勒索軟體組織，專門鎖定並攻擊中、小型企業與組織，包括製造業、開發業、教育、醫療保建、金融服務及運輸業等，並有來自十多個國家的43個組織受害。</p> <p>Radar/Dispossessor追隨其它勒索軟體集團所採用的雙重勒索模式，除了加密受害者的系統之外，也藉由外洩受害者資料來勒索贖金，於資料外洩網站上設置了倒數計時器，若在期限內未收到贖金即會公開被害者資料。</p> <p>美國資安業者SOCRadar<a href="https://socradar.io/dark-web-profile-dispossessor-ransomware/" target="_blank">則說</a>，Dispossessor與今年2月被國際執法機構聯手破獲的<a href="https://www.ithome.com.tw/news/161379" target="_blank">LockBit</a>非常相似。例如它們的官網設計很一致，內容也重度重複，都提供勒索軟體即服務（RaaS），而且，在LockBit今年2月遭到查封之後，Dispossessor很快就在官網上提供330家LockBit受害者的外洩資料，似乎是在替LockBit報仇。</p> <p>SOCRadar認為，與其說Dispossessor是勒索軟體組織，它其實更像是資料掮客，主要發布來自其它勒索軟體集團的外洩資料，包括那些已解散或被關閉的勒索軟體集團，試圖利用其他集團的成果來獲利。</p> </div></div></div>
2024/8/16 15:39作者陳曉莉https://www.ithome.com.tw/news/164530
第一份金融上雲操作書來了！銀行公會發布「金融機構運用雲端服務實務手冊」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年八月，金管會發布新版上雲規範，銀行公會也接著訂定金融業使用雲端服務的自律規範。今年七月底，銀行公會正式公布「金融機構作業委外使用雲端服務自律規範」，明定金融業使用雲端服務的管控措施。不僅如此，金管會也函請銀行公會訂定「金融機構使用雲端服務實務手冊」，提供自律規範中難以細致著墨的上雲執行方式，讓金融業上雲時，有更多方向可供參考。</p> <p>這本實務手冊可做為金融上雲的操作書，共分成九個章節，涵蓋了金融業者在規劃雲端轉型時可採用的策略，以及風險評估方法，也提供與雲端業者簽訂契約時可記載的事項。另外，實務手冊也提供雲端人才培訓方法，和採用雲端服務應建立的資安和維運控管措施。雲端服務查核機制和韌性管理措施也包含在內。</p> <p>參與撰寫實務手冊的勤業眾信科技與轉型服務部門副總經理廖柏侖建議，初次上雲的金融業者可參考這份實務手冊進行相關規劃，透過實務手冊了解雲端應有的管控機制，更有利於和雲端業者溝通。而針對已上雲的業者，可以透過實務手冊強化現有的管理方式，例如根據不同風險場域採取不同管控措施，更有效運用資源。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-15%20181216.png" style="width: 600px;" /></p> <blockquote><p>實務手冊包含九個章節，分別是雲端服務策略發展與治理、雲端風險評估方法、雲端服務管理架構、雲端人才培訓、雲端服務資安控管、雲端服務維運控管、雲端服務查核、雲端服務韌性管理和其他說明。</p> </blockquote> <p>實務手冊涵蓋眾多事項，廖柏侖點出，雲端服務資安控管和雲端服務維運控管是較重要的章節，也是撰寫團隊花費較多時間完成的內容。由於金融業執行上雲，需和雲端業者共同負擔安全維運責任，所以，「金融上雲時得更注重強化雲端安全管控。」廖柏侖也提到，針對主管機關要求的雲端退場機制，實務手冊中的雲端服務韌性管理章節，也詳細說明辦理退場計畫的各階段事項。</p> <p>另外，當金融業者使用雲端服務時，不論是直接或間接與雲端業者簽訂合約，都可以參考實務手冊中提供的契約應記載事項。</p> <p></p> </div></div></div>
2024/8/16 17:07作者李昀璇https://www.ithome.com.tw/news/164533
韓國金融委員會大力推GAI，計畫年底前透過沙盒開放業者實驗新興服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>看中生成式AI和雲端服務將在金融業發揮重要作用，近日，韓國金融委員會發布了《金融業網絡分離改善路線圖》，希望透過逐步放寬監理沙盒限制，放寬金融業採用雲端服務，同時加速金融業發展生成式AI。他們不僅在發布會上表示，要大力鬆綁金融業採用SaaS服務，更直言將允許金融業使用生成式AI，鼓勵業者透過監理沙盒實驗這項技術。</p> <p>在韓國，金融業者面臨嚴格的內網外網分離規定，讓業者難以運用雲端服務。例如，疫情爆發時期，韓國所有金融業者都因法規限制，無法遠距上班。雖然韓國金融業者可以透過監理沙盒使用SaaS服務，但適用範圍僅限文件管理和人事管理等非重要業務。嚴格的監理規範，不僅阻礙韓國金融業發展數位轉型，更難以追上生成式AI潮流。</p> <p>今年四月，韓國金融委員會針對金融業網絡分離政策召開會議，邀請政府機構、金融業者和專家學者共同討論如何改善規範，讓金融業者能擁有開放的創新研發環境、導入生成式AI和採用SaaS服務解決業務需求。</p> <p>時隔四個月，韓國金融委員會正式發布改善規範的路徑圖。他們表示，未來將鬆綁監理沙盒的附加條件限制，盡可能讓業者能實驗生成式AI。在第一階段中，他們將開放業者在沙盒實驗客戶管理的SaaS服務，並允許金融業在行動設備上採用處理匿名資料的SaaS服務。不過，他們也會制訂相對的安全對策，作為沙盒附加條件。若第一階段運作順利，金融委員會預計最快在明年開放金融業者在沙盒中使用客戶信用資訊。另外，韓國金融委員會也將修改規範，完善金融業者內部研發環境，讓業者更方便轉移研發成果。</p> <p>長期規劃上，韓國金融委員會將制定《數位金融安全法》，讓韓國金融業者能根據自身風險，評估和建立適當的安全機制。</p> <p>韓國金融委員會表示，將在今年內選定新的沙盒主題，預計最快年底前，就能開放金融業者運用生成式AI實驗新服務。</p> <p></p> </div></div></div>
2024/8/16 13:33作者李昀璇https://www.ithome.com.tw/news/164524
【資安日報】8月16日，美國總統大選兩大陣營遭伊朗駭客APT42鎖定，駭客進行目標式攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國家級駭客意圖藉由網路攻擊左右選舉的情況，今年傳出不少資安事故，從年初臺灣總統大選有多家資安業者揭露中國駭客發動攻擊的現象，事隔半年，最近鎖定美國總統大選的攻擊行動接連傳出。</p> <p>上週末川普陣營透露遭到網路攻擊，並懷疑是伊朗駭客所為，本週Google旗下威脅情報團隊（TAG）公布攻擊者的身分，就是專門針對美國及以色列的駭客組織APT42。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164520"><strong style="font-size: 22px;">伊朗駭客APT42試圖鎖定美國兩大總統候選人陣營，發動網路攻擊</strong></a></p> <p>8月9日微軟提出警告，伊朗駭客加快腳步透過網路干預美國總統大選，這些駭客設置假新聞網站企圖煽動分裂，很有可能在秋季在搖擺州擴大攻擊力道，影響當地選民。隔日，川普競選團隊透露他們的電子郵件信箱遭遇伊朗駭客攻擊，對方竊取內部機敏資料並進行散布，本週美國聯邦調查局（FBI）傳出介入調查此事。如今有研究人員指出，這是駭客大規模針對以色列、美國的網釣攻擊行動。</p> <p>Google旗下的威脅情報團隊（TAG）指出，代號為TA453、Phosphorus、Charming Kitten的伊朗駭客組織APT42，今年4月加強對以色列使用者的攻擊，企圖尋找與國防部門有關的人士、外交官、學者、非政府組織。</p> <p>到了5至6月，這些駭客也鎖定美國總統拜登及前總統川普的競選團隊，約有十幾個人的電子郵件信箱成為目標，包含了前任及現任的政府官員，以及兩大競選陣營的人士。研究人員發現APT42嘗試入侵他們的電子郵件信箱，且有部分遭到駭客得逞，其中包含了知名政治顧問的私人Gmail，研究人員在7月將相關資料提供給執法單位，以便相關單位進行後續調查。時至今日，研究人員持續看到APT42試圖破壞拜登、川普，以及副總統賀錦麗等人士的帳號，但並未得逞。</p> <p><a href="https://www.ithome.com.tw/news/164521"><strong style="font-size: 22px;">勒索軟體RansomHub試圖透過自帶驅動程式手法停用端點資安防護</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image2_5c52eb.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image2_5c52eb.png" style="width: 300px; float: right;" /></a>資安業者Sophos揭露勒索軟體駭客組織RansomHub在今年5月發起的攻擊行動，駭客先利用名為EDRKillShifter的惡意程式，企圖停用受害電腦上的Sophos端點防護程式未果，之後，這項工具會利用存在漏洞的舊版驅動程式，進行自帶驅動程式（BYOVD）攻擊手法，試圖癱瘓端點防護系統，但也因此引起研究人員的注意。</p> <p>根據濫用的驅動程式，EDRKillShifter大致可分成兩種，其中一個是名為RentDrv2的驅動程式，另一個則是已棄用的ThreatFireMonitor。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.aquasec.com/blog/gafgyt-malware-variant-exploits-gpu-power-and-cloud-native-environments/"><strong style="font-size: 20px;">殭屍網路Gafgyt鎖定設置弱密碼的SSH主機，占據GPU資源挖礦</strong></a></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.barracuda.com/2024/08/14/phishing-advanced-infostealer-data-exfiltration">駭客假借寄送訂單的名義散布以Python打造的竊資軟體，企圖搜括受害者各式資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/unconfirmed-hack-of-2-9-billion-records-at-national-public-data-sparks-media-frenzy-amid-lawsuits/">National Public Data驚傳資料外洩，29億筆記錄遭竊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164429"><strong style="font-size: 22px;">微軟揭露OpenVPN的4個零時差漏洞</strong></a></p> <p>微軟資深安全研究人員Vladimir Tokarev 在黑帽大會揭露OpenVPN上4個零時差漏洞，此一系列漏洞統稱為OVPNX，可被串連以實現權限擴張或遠端程式碼攻擊，同一天微軟亦於官方部落格公布更多細節。</p> <p>OVPNX漏洞包括了存在於Windows TAP驅動程式的CVE-2024-1305，可形成服務阻斷攻擊，而CVE-2024-24974、CVE-2024-27459與CVE-2024-27903，則皆存在於負責管理OpenVPN服務進程的openvpnserv元件中，依序可造成未經授權的存取、服務阻斷/權限擴張，以及遠端程式攻擊。</p> <p>OpenVPN在今年3月收到微軟的通知之後，當月即釋出OpenVPN 2.5.10及2.6.10來修補相關的安全漏洞，現在的OpenVPN版本已進展到OpenVPN 2.5.11與OpenVPN 2.6.12 。</p> <p><a href="https://www.ithome.com.tw/news/164438"><strong style="font-size: 22px;">Sonos智慧喇叭漏洞讓駭客得以監聽使用者</strong></a></p> <p>英國資安業者NCC Group在黑帽大會揭露Sonos智慧喇叭的多個安全漏洞，相關漏洞允許駭客自遠端監聽使用者。Sonos則在本月修補CVE-2023-50809與CVE-2023-50810，並說它們影響所有執行S1與S2作業系統的智慧喇叭。</p> <p>Sonos One是2019年發表的智慧喇叭，頗受市場歡迎，但研究人員分析該裝置的Wi-Fi堆疊後，發現它的無線網路驅動程式含有許多問題，合併為CVE-2023-50809漏洞。至於Sonos Era 100則是旗艦機種，研究人員發現其引導程序（Bootloader）含有許多安全問題，可被用來執行程式或控制裝置。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/zero-click-windows-tcp-ip-rce-impacts-all-systems-with-ipv6-enabled-patch-now/">零點擊漏洞CVE-2024-38063影響所有啟用IPv6的視窗作業系統</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.morphisec.com/cve-2024-38173-form-injection">收信軟體Outlook表單注入漏洞CVE-2024-38173可被用於遠端執行任意程式碼</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164497"><strong style="font-size: 22px;">數位部透露導入T-Road最新進度，47個資安A級機關將於年底完成，未來擴大到地方政府</strong></a></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">為改善政府機關間的傳輸資料，數位發展部輔導政府機關導入T-Road，作為跨機關的資料安全傳輸機制，並先以跨機關資料傳輸需求的資安A級機關導入為目標。本周數位部指出，目前已有超過40個資安A級機關加入T-Road，預期今年底47個資安A級機關將會全部導入。</span></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">數位部指出，自2023年輔導擁有重要資料及全國性個人資料的資安A級機關導入T-Road，利用GSN政府骨幹網路及加密技術，傳輸資料全程以機關憑證加密，不留存傳輸資料，僅保留傳輸紀錄，確保機關之間資料傳輸的安全性及不可否認性，目前已有財政部、勞動部、衛福部等超過40個資安A級機關完成導入T-Road，提供超過150項資料介接，每月T-Road上的傳輸資料平均超過180萬筆。</span></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">T-Road雖然先以中央政府機關導入為目標，推動中央機關之間運用T-Road傳輸資料，未來也計畫擴大至非A級資安機關、地方政府，目前臺南市政府已先導入，數位部正和其他地方政府洽談。</span></p> <p><a href="https://www.ithome.com.tw/news/164486"><strong style="font-size: 22px;">35家金融業者組聯盟用AI模型偵測警示帳戶攔阻詐騙金流，下一步要用聯合學習精進模型</strong></a></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">富邦金控在2022年研發出AI偵測技術「鷹眼防詐預測模型」，在金管會、刑事局、數位部等支持之下，2023年底分享該技術與其他金融業者共組鷹眼識詐聯盟，擴大金融科技防詐面向，現在已有35家金融機構先後加入聯盟，利用AI模型偵測異常交易。8月14日鷹眼識詐聯盟展示成果，警示帳戶預先管控率最高達到80%，成功攔截逾3.6億元，避免遭詐騙集團移轉。鷹眼防詐預測模型下一步，將在10月開始運用聯合學習技術最佳化鷹眼防詐模型，提高防詐應變速度。</span></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">對於未來，蔡佩玲表示，未來聯盟有三大目標，第一個目標是，建立國家級鷹眼模型，目前AI模型在35家金融機構各自落地，未來結合隱私強化技術，運用聯合學習，跨金融機構訓練AI模型，可以自動調校，以快速因應詐騙手法變化；第二個目標是建立鷹眼照會機制，配合打詐專法實施，鷹眼聯盟成員間建立直接異常帳戶的警示訊息交換機，進一步預控措施。第三個則是從9月起，聯盟全體金融機構的線上線下防詐宣導。</span></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164503"><strong>【8月15日】全臺首個專門針對詐騙防治與數位安全議題的非政府組織「臺灣數位信任協會」正式成立</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164484"><strong>【8月14日】微軟發布8月例行更新，公布多達10個零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164452"><strong>【8月13日】韓國國防工業承包商傳出遭北韓駭客攻擊，軍事偵察機資料外流</strong></a></p> </div></div></div>
2024/8/16 13:41作者周峻佑https://www.ithome.com.tw/news/164525
防不勝防！win-rar.co與win-rar.com哪個是正牌的？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國資安業者SonicWall上周<a href="https://blog.sonicwall.com/en-us/2024/08/beware-of-fake-winrar-websites-malware-hosted-on-github/" target="_blank">警告</a>，駭客建置了一個仿冒為WinRAR官網的網站，也打造了一個偽造的WinRAR程式，不察的使用者在安裝後即會自GitHub下載一系列的惡意程式。這個以假亂真的網站網址為win-rar.co，與正牌官網win-rar.com只有一個字母之差。</p> <p>WinRAR是由win.rar GmbH工程師Eugene Roshal所開發的檔案壓縮工具，主要支援Windows，號稱是全球最熱門的壓縮工具，擁有超過5億用戶。win.rar GmbH也開發了跨平臺的命令列版本RAR，支援Android的RAR for Android，以及專門解壓縮的UnRAR。</p> <p>上述工具被統稱為RARLAB產品，官網為rarlab.com，而win-rar.com則是win.rar GmbH的官網，兩個網站都可取得合法的WinRAR版本。</p> <p>總之駭客取得了win-rar.co網址，也將介面設計得跟官網win-rar.com一模一樣，並提供使用者下載最新的WinRAR 7.01，但事實上卻將使用者導至由駭客控制的GitHub專案以下載各種惡意程式，包括可將自己自Windows Defender中排除的工具、可自遠端存取系統的HVNC、勒索軟體Locker、挖礦程式、資訊竊取程式Kematian Stealer及蠕蟲等。</p> <p>目前假冒的win-rar.co網址已無法存取，而SonicWall亦尚未於單一攻擊行動中看到該GitHub專案中的所有惡意元件。</p> </div></div></div>
2024/8/16 14:35作者陳曉莉https://www.ithome.com.tw/news/164527
伊朗駭客APT42試圖鎖定美國兩大總統候選人陣營，發動網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月9日微軟提出警告，<a href="https://www.microsoft.com/en-us/security/security-insider/intelligence-reports/iran-steps-into-us-election-2024-with-cyber-enabled-influence-operations">伊朗駭客加快腳步透過網路干預美國總統大選</a>，這些駭客設置假新聞網站企圖煽動分裂，很有可能在秋季在搖擺州擴大攻擊力道，影響當地選民。隔日，<a href="https://www.securityweek.com/donald-trumps-campaign-says-its-emails-were-hacked/">川普競選團隊透露他們的電子郵件信箱遭遇伊朗駭客攻擊</a>，對方竊取內部機敏資料並進行散布，本週<a href="https://www.securityweek.com/fbi-says-it-is-investigating-after-trump-campaign-said-sensitive-documents-were-hacked-by-iran/">美國聯邦調查局（FBI）傳出介入調查此事</a>。如今有研究人員指出，這是駭客大規模針對以色列、美國的網釣攻擊行動。</p> <p>Google旗下的威脅情報團隊（TAG）指出，<a href="https://cloud.google.com/blog/topics/threat-intelligence/apt42-charms-cons-compromises">代號為TA453、Phosphorus、Charming Kitten的伊朗駭客組織APT42</a>，今年4月加強對以色列使用者的攻擊，企圖尋找與國防部門有關的人士、外交官、學者、非政府組織。</p> <p>到了5至6月，這些駭客也鎖定美國總統拜登及前總統川普的競選團隊，約有十幾個人的電子郵件信箱成為目標，包含了前任及現任的政府官員，以及兩大競選陣營的人士。研究人員發現APT42嘗試入侵他們的電子郵件信箱，且有部分遭到駭客得逞，其中包含了知名政治顧問的私人Gmail，研究人員在7月將相關資料提供給執法單位，以便相關單位進行後續調查。</p> <p>時至今日，研究人員持續看到APT42試圖破壞拜登、川普，以及副總統賀錦麗等人士的帳號，但並未得逞。</p> <p>而對於這些駭客發動攻擊的手法，研究人員指出，這些駭客初始發動的攻擊，多半是寄送帶有惡意URL的信件，或是將這種URL透過PDF附件挾帶。</p> <p>APT42通常會藉由視訊會議來引誘目標上當，要使用者存取特定登入網頁，然後將他們導向釣魚網頁，研究人員看到駭客利用Google Sites協作平臺並將目標導向冒牌的Google Meet登入網頁的情況，並在過去半年察覺超過50起攻擊行動，但他們也看到駭客濫用OneDrive、Dropbox、Skype的情況。</p> <p>至於駭客利用PDF附件從事攻擊行動的情況，則是會誘騙目標存取Signal、Telegram、WhatsApp等即時通訊軟體，然後藉由網釣工具包來竊取帳密資料。</p> <p>研究人員指出，一旦APT42取得受害者帳號的存取權限，會加入額外的存取管道，像是Google應用程式的緊急通行碼（Passcode）、Yahoo的第三方應用程式密碼，目的就是要繞過多因素驗證流程的要求。</p> </div></div></div>
2024/8/16 12:19作者周峻佑https://www.ithome.com.tw/news/164520
勒索軟體RansomHub試圖透過自帶驅動程式手法停用端點資安防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了勒索軟體在加密受害電腦檔案的過程不受干擾，駭客試圖讓防毒軟體、EDR系統的運作停擺來達到目的，繼研究人員揭露<a href="https://www.ithome.com.tw/news/164003">駭客組織FIN7在地下論壇兜售名為AuKill的工具給勒索軟體駭客</a>運用，有其他駭客組織也開始打造類似的工具，並運用於實際攻擊行動。</p> <p>資安業者Sophos揭露<a href="https://news.sophos.com/en-us/2024/08/14/edr-kill-shifter/">勒索軟體駭客組織RansomHub在今年5月發起的攻擊行動</a>，駭客先利用名為EDRKillShifter的惡意程式，企圖停用受害電腦上的Sophos端點防護程式未果，之後，這項工具會利用存在漏洞的舊版驅動程式，進行自帶驅動程式（BYOVD）攻擊手法，試圖癱瘓端點防護系統，但也因此引起研究人員的注意。</p> <p>根據濫用的驅動程式，EDRKillShifter大致可分成兩種，其中一個是名為RentDrv2的驅動程式，另一個則是已棄用的ThreatFireMonitor。</p> <p>這個惡意程式執行的過程大致如下：首先，攻擊者輸入密碼啟動EDRKillShifter，該執行檔便會解密名為BIN的檔案，並於記憶體內執行；接著，惡意程式解壓縮並執行最終有效酬載，此酬載將利用前述的驅動程式提升權限，然後企圖停用正在執行的EDR處理程序及相關服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/image2_5c52eb.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image2_5c52eb.png" style="width: 580px;" /></a></p> </div></div></div>
2024/8/16 12:48作者周峻佑https://www.ithome.com.tw/news/164521
加州駕照與身分證將開始支援蘋果與Google的行動錢包
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加州周四（8/15）<a href="https://www.gov.ca.gov/2024/08/15/california-ids-coming-soon-in-apple-wallet-and-google-wallet/" target="_blank">宣布</a>，該州的行動駕照及身分證即將登上Apple Wallet與Google Wallet，蘋果<a href="https://www.apple.com/newsroom/2024/08/drivers-licenses-and-state-ids-in-apple-wallet-are-coming-soon-to-california/" target="_blank">則說</a>，加州已是Apple Wallet所支援的第五個州ID。</p> <p>加州是在去年試行California DMV Wallet行動駕照，使用者只要下載同名的Android或iOS程式，即可於手機上存放數位駕照，以便於需要時出示。迄今已有超過50萬名加州人使用California DMV Wallet。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0816-CA-DMV-Wallet-Screens_600.png" style="width: 400px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／加州州政府</span></span></p> <p>現在加州則是進一步擴大行動駕照及行動身分證服務，讓加州民眾直接將駕照與身分證直接存放在Apple Wallet與Google Wallet中，以於特定場合或活動中驗證加州民眾的身分。不過，這些數位憑證尚無法取代實體證件，加州表示，目前仍然要求當地民眾必須攜帶實體證件。</p> <p>至於蘋果則表示，加州已是Apple Wallet所支援的第五州的數位ID，包括亞歷桑那州、馬里蘭州、科羅拉多州、喬治亞洲，以及俄亥俄州的數位ID皆已進駐Apple Wallet。</p> <p>使用者要在iPhone上的Apple Wallet出示身分證明時，必須先透過Face ID或Touch ID來驗證身分，蘋果也強調，這些身分資訊都是加密且只儲存在使用者裝置上，除非使用者同意，否則不管是蘋果或其他人都無法存取它們。</p> </div></div></div>
2024/8/16 12:49作者陳曉莉https://www.ithome.com.tw/news/164522
Google搜尋AI Overviews擴大至印度及日本等6個新市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周四（8/15）<a href="https://blog.google/products/search/new-ways-to-connect-to-the-web-with-ai-overviews/" target="_blank">宣布</a>，原本僅在美國市場推出的AI搜尋功能AI Overviews，即將拓展至英國、印度、日本、印尼、墨西哥及巴西等6個新市場，並支援當地語言。另外，美國版的AI Overviews將新增儲存及簡化功能。</p> <p>AI Overviews主要是以AI來協助使用者於搜尋中快速找到答案，它彙整了網路上的答案並附上資訊連結，為Search Labs的實驗之一，並在今年5月率先於美國市場推出。</p> <p>Google表示，他們在美國市場發現，使用AI Overviews的用戶更頻繁地使用搜尋，也對結果更為滿意；此外，那些在複雜主題上尋求協助的使用者，會愈需要AI Overviews；且18~24歲的用戶使用AI Overviews的頻率最高。</p> <p>AI Overviews將美國市場推出兩項新功能，一是允許使用者儲存AI Overviews所提供的結果，二是讓使用者簡化AI Overviews所描述的內容。</p> <p>除了美國之外，AI Overviews即將正式出現在其它6個新市場，但其它市場也可透過Search Labs來試用AI Overviews。</p> </div></div></div>
2024/8/16 13:18作者陳曉莉https://www.ithome.com.tw/news/164523
Primate Labs發表Geekbench AI 1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門針對CPU或GPU等處理器開發基準測試服務的Primate Labs，在本周四（8/15）發表了<a href="https://www.geekbench.com/blog/2024/08/geekbench-ai/" target="_blank">Geekbench AI 1.0</a>，此一新的基準測試是為了迎合人工智慧（AI）時代的需求，能夠評測CPU、GPU及NPU處理AI任務的性能，它在測試階段的名稱為Geekbench ML，一直到本周的正式版出爐才正名為Geekbench AI 1.0。</p> <p>Primate Labs解釋，Geekbench AI為一基準測試套件，是針對機器學習、深度學習與各種AI任務的測試平臺，軟體開發人員可利用它來確保程式可在不同平臺上具備一致的體驗，硬體工程師可能以它來衡量架構的改善，使用者則能透過它來了解裝置在執行AI時的效能。</p> <p>具體而言，Geekbench AI在裝置上執行10種不同的AI任務，每種任務都有3種不同的數據表現法，以呈現AI性能的多維視圖，透過這些模擬真實AI使用案例的大型資料集，讓消費者與開發者在幾分鐘內就能衡量裝置的AI能力。當中的3種數據表現方法主要是權衡模型精度與計算資源，它們分別是單精度浮點數（Single Precision）、半精度浮點數（Half Precision）及轉換成整數之量化（Quantized）。</p> <p>Geekbench AI支援許多AI框架，除了TensorFlow、TensorFlow Lite、Core ML及ONNX之外，也支援Linux及Windows平臺上的OpenVINO，以及針對不同硬體最佳化的TensorFlow Lite版本，包括Samsung ENN、ArmNN與Qualcomm QNN，使其可更準確地評估在不同硬體與框架上執行AI任務的性能。</p> <p>Geekbench AI也是個跨平臺的評測工具，具備Windows、Linux、macOS、Android及iOS版本可供下載。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0816-Geekbench%20AI-windows-screenshot_Primate%20Labs_600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Primate Labs</span></span></p> </div></div></div>
2024/8/16 11:52作者陳曉莉https://www.ithome.com.tw/news/164518
Google Pixel Watch 3加入心搏停止偵測功能，可自動撥電話求助
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周公布Pixel 9智慧型手機系列、智慧耳機Pixel Buds 2，以及智慧手錶Pixel Watch 3。最新一代Pixel Watch主打心搏停止（Loss of Pulse）偵測及自動撥電話給消防救護單位的功能。</p> <p>Pixel Watch之前就有心率和心電圖（ECG）偵測功能，但<a href="https://blog.google/products/pixel/google-pixel-watch-3/" target="_blank">Pixel Watch 3</a>則提升到心搏停止偵測，Google<a href="https://blog.google/products/pixel/pixel-watch-3-loss-of-pulse-detection/" target="_blank">聲稱</a>是獨步業界的偵測功能。</p> <p>心搏停止為一選擇加入（opt-in）功能，可在用戶沒有回應時，自動撥打電話給消防或急救單位。它是結合Pixel Watch 3心率感測資料、AI及訊號演算法判讀可能的心搏停止，並過濾誤判。Google說明，Pixel Watch 3的心率感測器使用綠色LED光線檢查脈搏（及心跳），若該功能偵測疑似心搏停止，會再使用紅外線及紅色LED光蒐集脈搏訊號，並以動作感測器檢查用戶有無動靜。</p> <p>最後，AI演算法整合脈搏和動作二種訊號以確認是否有心搏停止。接著該功能會同步發送請求，要求用戶回應是否無恙，同時再次檢查動作訊號。若是用戶無回應且未偵測到動作，這功能即會發出聲音警報及倒數讀秒。若倒數結束用戶還是沒回應，則它會觸發Pixel Watch 3配對的手機（或直接以LTE版Pixel Watch 3）自動撥打電話給消防單位，提供自動化訊息及用戶所在地點求救。</p> <p>心搏停止功能9月會在歐洲國家包括英國、法國、奧地利等9國推出。Google也說會致力推向其他國家。</p> <p>Google沒有說是否正在申請美國食藥署（FDA）上市許可。但Pixel Watch的心臟健康量測應用程式來自數年前收購的<a href="https://support.google.com/googlepixelwatch/answer/13783955?hl=zh-HK" target="_blank">Fitbit</a>。2022年Fitbit搭配腕帶裝置的市售光電容積圖（PPG）脈搏分析心律不整的應用程式<a href="https://www.accessdata.fda.gov/cdrh_docs/pdf21/K212372.pdf" target="_blank">獲得</a>FDA許可。該功能後來也為Pixel Watch的健康監測功能的一部分。此外，Pixel Watch也包含跌倒、車禍偵測、以及不舒服時自動通報家人的安全檢查（Safety Check）功能。</p> <p>其他特色方面，Pixel Watch 3原有的41mm機種外，加入45mm錶面選擇。除了邊框更薄、還使用亮度高達2000-nit的顯示器，並採用Ultra Wideband（UWB）晶片，可智慧解鎖Pixel Phone，或是BMW與MINI特定車款。</p> <p>Pixel Watch 3提供金屬銀、香檳金和霧黑色彩及不同錶帶選擇，也分Wi-Fi與LTE+藍牙機種。臺灣售價，41 mm機種Wi-Fi版和4G LTE＋藍牙版售價各為新臺幣11,990元和14,990元。45 mm機種則為13,490及16,490元。</p> </div></div></div>
2024/8/16 12:15作者林妍溱https://www.ithome.com.tw/news/164519
Cloud周報第208期：百年歐洲能源巨頭Iberdrola將採用雲端GenAI技術，優先改善客戶個人化互動和能源生產…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞（08/08～08/14）</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端資料中心 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟揭未來一年在臺雲端發展新策略，也透露臺灣資料中心的近況</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240812_023416147.jpg" style="width: 600px; height: 263px;" /></p> <p>微軟近日在DevDays Asia 2024活動會後記者會上揭露未來一年在臺雲端發展新策略將有三大重點，分別是資安、AI賦能以及以資安為基礎、數據為核心，AI平臺作為工具串聯開發者和產業運用。</p> <p>在這三大發展策略中，台灣微軟總經理卞志祥表示，資安將是未來在臺灣發展策略中最重要的一環，不只要強化被動防禦，還要在產品設計階段就主動將資安考量融入，涵蓋整個設計開發環境。而在AI賦能發展策略上，微軟將重點放在如何將生成式AI與現有的深度學習AI技術在全雲端環境中進行整合，同時打通雲端、邊緣端和終端設備（如AI PC），以建立完整的生態系統和技術平臺。</p> <p>微軟第三個發展策略是扮演整體雲端AI平臺運用與開發的角色。卞志祥表示，微軟將持續以資安為基礎、數據為核心，AI平臺作為工具，串聯整個開發者社群和各產業的應用，讓AI可以對每家企業產生實質影響</p> <p>在這場活動上，數位發展部部長黃彥男透露，微軟臺灣資料中心現已開始提供服務。不過，微軟臺灣資料中心開始提供Azure服務和全面啟用是兩個不同階段。</p> <p>在會後一場記者會上，卞志祥進一步指出，臺灣微軟資料中心架構非常龐大且複雜，不僅僅是單一座資料中心，而是有多座組成，提供高容錯能力和區域Hub等級的資料中心，如此一來，才能夠全方面提供所有產業的應用。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端GenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Iberdrola </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">百年老字號能源集團Iberdrola導入雲端GenAI技術推動內部開發人員創新、優化業務流程和服務</span></strong><strong><span style="font-size: 22px;">優先改善</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/torre_iberdrola_10_aniversario_746x419.jpg" style="width: 600px; height: 337px;" /></p> <p>西班牙能源公司Iberdrola近日決定採用雲端生成式AI技術，希望藉此來推動內部開發人員創新、優化業務流程和個人化客戶服務。</p> <p> Iberdrola是一家百年老字號的能源集團，更是全球市值第二大的電力公司，這家公司近年來為了擁抱AI而上雲。初期，Iberdrola將生成式AI應用於客戶個人化互動和能源生產流程的改善。他們計畫使用AWS的生成式AI平臺Bedrock及機器學習服務SageMaker，來開發自有的生成式AI應用程式。</p> <p>例如，使用生成式AI幫助Iberdrola的法律團隊快速查找並解答公司合約相關問題。此外，生成式AI助手也能夠利用即時IoT數據提供具體建議，協助現場維護人員服務和維修電力基礎設施及再生能源站點。Iberdrola未來還將使用AI驅動的生成語音機器人，協助銷售團隊即時回答客戶產品和價格的問題。</p> <p>此前，Iberdrola與AWS共同建立了生成式AI卓越中心（CoE），目標是開發超過100個生成式AI應用程式，用來增強客戶體驗、支援員工並改進業務流程。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">調查 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 全球雲端基礎設施服務 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>Canalys</strong></span><strong><span style="font-size: 22px;">調查：2024年第二季全球雲端支出躍升快兩成，達782億美元</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/EmdbzAefHE6_8gvpnFbuXkQe_B1YkeAm.png" style="width: 600px; height: 337px;" /></p> <p>另一家市場研究機構Canalys近日也公布，2024年第二季雲端基礎設施服務市場的調查報告，指出全球雲端基礎設施服務持續看漲，整體支出較去年同期成長19%，達782億美元</p> <p>Canalys觀察，儘管企業IT預算已恢復增長，主要支出仍集中於人工智慧相關投資。最大三家雲端供應商AWS、微軟Azure和Google雲端市占達到64%，三家累積的業績比去年同期成長了24%。進一步來看，與上一季相比，AWS本季銷售額成長19%。同時，微軟Azure和Google雲端持續呈現強勁的兩位數成長，分別成長29%和30%。</p> <p>就市占率而言，三大公雲的排名保持不變。AWS仍以33%的市占位居第一，微軟Azure則名列第二，市占為20％，至於Google Cloud市占則為10％。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端資安 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copilot </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">資安專家展示M365 Copilot生成式AI助理如何被濫用進行釣魚攻擊</span></strong></p> <p>資安廠商Zenity的共同創辦人暨技術長Michael Bargury近日在黑帽大會上展示用一款名為LOLCopilot的工具，該工具可濫用生成式AI助理Copilot功能來收集資訊、洩漏資料，甚至是進行釣魚攻擊。</p> <p>LOLCopilot這款工具專為模擬攻擊設計，可透過Copilot收集敏感資料來進行針對性攻擊。這款工具包含多個模組，如<strong>Whoami</strong>，可收集受感染使用者的敏感資訊，包括電子郵件、檔案、行程安排等，幫助全面掌握使用者的存取權限。接著，使用<strong>Dump</strong>模組擷取並儲存這些資料，並利用Copilot繞過資料洩漏防護（DLP）技術，使敏感資料的洩漏不被系統偵測到。</p> <p>此外，LOLCopilot工具中還提供了一個Spearphishing模組，該模組可以針對最近與受害者互動過的合作夥伴生成高度客製化的釣魚郵件，試圖引誘他們執行不安全的操作。由於這些攻擊策略高度模仿受害者的寫作風格，因而更加難以被鎖定目標識破。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端POS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OMO </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">瞄準OMO虛實整合的零售通路商機，雲端CRM大廠收購雲端POS軟體商PredictSpring</span></strong></p> <p>儘管先前Informatica的收購案傳出破局，但這並未影響Salesforce的其他收購計畫，這家雲端CRM大廠近日宣布已完成對雲端POS軟體商PredictSpring的最終收購協議，但並未透露交易金額。</p> <p>PredictSpring是由曾擔任Google Shopping主管的Nitin Mangtani在2013年所創立的零售軟體供應商，專門提供雲端POS解決方案，包括Bouclair、Deciem、Movado、LoveSac、Steve Madden 和 Suitsupply等知名品牌都是其重要客戶。</p> <p>Salesforce表示，PredictSpring加入後，將能夠提供涵蓋數位和實體通路的統一全通路平臺。PredictSpring將與Salesforce的Customer 360功能互補，並將Salesforce技術擴展至實體店面。</p> <p>除了Cloud POS服務，PredictSpring還提供客戶服務、Endless Aisle、商店履行和營運功能，這些將增強店員能力，並簡化及個人化跨實體和數位接觸點的購物體驗。</p> <p>Salesforce Industries執行副總裁 Jeff Amann 表示，PredictSpring和 PredictSpring的人才、資源和創新相結合，將使品牌和零售商能夠在線上線下實現更全面個人化互動。</p> <p> </p> <p>圖片來源／Iberdrola、Synergy Research Group</p> <p> </p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.Salesforce在非營利雲端平臺中整合Einstein生成式AI與數據功能</strong></p> <p><strong>2.AI分析雲端服務商Snowflake正式開放跨區AI推論功能，率先登上AWS平臺 </strong></p> <p><strong>資料來源：iThome整理，2024年8月</strong></p> </div></div></div>
2024/8/16 10:48作者余至浩https://www.ithome.com.tw/news/164511
Google圖片生成模型Imagen 3在美上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google最新版圖片生成AI模型Imagen 3，已悄悄問世，並提供給企業與一般用戶。</p> <p>Google並未單獨為Imagen 3宣傳，而是悄悄在DeepMind上<a href="https://deepmind.google/technologies/imagen-3/" target="_blank">公布</a>，同時發表<a href="https://huggingface.co/papers/2408.07009" target="_blank">論文</a>。Image 3將提供多個版本，每種各有著重任務，從素描到高解析度圖片等。Imagen 3現已在Google圖片生成服務<a href="http://labs.google/imagefx" target="_blank">ImageFX</a>及AI模型開發平臺<a href="https://cloud.google.com/generative-ai-studio" target="_blank">VertexAI</a>上線。此外，本周稍早發表的<a href="http://www.ithome.com.tw/news/164459" target="_blank">Pixel 9</a>上的Pixel Studio應用，也將以整合雲端上的Imagen 3提供圖片生成服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0814-Pixel%20Studio-pixel%209-ai(1).png" style="width: 400px;" /></p> <p>Imagen 3為一潛在擴散模型（latent diffusion model），能根據用戶輸入的文字提示產生高品質圖片。Google說，DeepMind團隊大幅提升Imagen 3提示理解能力，使模型能生成了解並遵循長而高度描述性的提示，並生成細節繁複、色彩鮮豔、以及視覺設計更豐富的圖片。</p> <p>例如它能理解以下提示，並生成圖片：「一個布偶立體模型場景中，出現僻靜森林中的靜謐畫面，中間置入一個網版印刷效果呈現的機器人，它有巨大渾圓的身軀，但十分善良。機器人肩上停著一隻貓頭鷹，腳邊有隻狐狸。圖片包含5種柔和顏色，並以光線營造寧靜和諧的感覺，可激發對自然之美的沈思和讚頌。」</p> <p class="rtecenter"><a href="https://arxiv.org/pdf/2408.07009" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0816-google%20deepmind-Imagen%203-600-1.jpg" style="width: 600px;" /></a></p> <p>Imagen 3預設可生成1024x1024解析度的圖片，用戶可以2倍、4倍、或8倍採樣生成想要的圖片。DeepMind團隊將Imagen 3和Imagen 2與其他知名圖片生成AI模型，如DALL-E 3、Midjourney v6、Stable Diffusion（SD）3 Large、SD XL 1.0等進行比較。根據其數據，Imagen 3在生成圖片與提示的符合度，僅次於Midjourney 6，但在詳細提示的符合度（fig 5），及理解數字的能力（fig 6）則是所有模型最佳。團隊也聲稱生成圖片畫質技冠群雄（fig 7），並且是最能在圖片畫質和用戶意圖間取得平衡的模型。</p> <p class="rtecenter"><a href="http://arxiv.org/pdf/2408.07009" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0816-google%20deepmind-Imagen%203-Figure%205.png" style="width: 549px;" /></a></p> <p class="rtecenter"><a href="http://arxiv.org/pdf/2408.07009" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0816-google%20deepmind-Imagen%203-Figure%206.png" style="width: 535px;" /></a></p> <p class="rtecenter"><a href="http://arxiv.org/pdf/2408.07009" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0816-google%20deepmind-Imagen%203-Figure%207.png" style="width: 529px;" /></a></p> <p>但Google也承認，Imagen 3的計數能力有待加強，且牽涉規模（如大小）、行為，以及包含複合詞的提示，對所有模型都有理解難度。</p> <p>馬斯克的AI公司xAI也在本周<a href="https://www.ithome.com.tw/news/164492" target="_blank">公布</a>了圖片生成模型Grok-2系列。</p> </div></div></div>
2024/8/16 11:12作者林妍溱https://www.ithome.com.tw/news/164516
【2.4萬個GPU結合6千個CPU，打造當前全球最高規格AI運算環境】探索Meta Llama 3模型訓練的硬體基礎架…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1195-feng_mian_gu_shi_1-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在炙手可熱的生成式AI技術領域，近來最受到眾人所矚目的消息，便是Meta發表了當前規模最大的Llama 3.1大語言模型模型，該公司宣稱在多項基準測試中，超越原先的領先者OpenAI的GPT-4o，與Anthropic的 Claude 3.5 Sonnet，成為當前最強大語言模型，也標誌著開源大語言模型的能力已追上閉源大語言模型。</p> <p>除了亮眼的AI表現，Meta也透過論文《<a href="https://tinyurl.com/2d5pkww5" target="_blank">The Llama 3 Herd of Models</a>》，以及部落格文章《<a href="https://engineering.fb.com/2024/03/12/data-center-engineering/building-metas-genai-infrastructure/" target="_blank">Building Meta’s GenAI Infrastructure</a>》等文件，公布訓練Llama 3的基礎設施硬體架構細節，方便外界了解，使更多人得以一窺這種頂級AI模型所需耗費的硬體資源規模與架構形式，進而還能作為這個領域的參考範本。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Meta AI基礎設施的演進</strong></span></span></p> <p>雖然Meta投入AI基礎設施建置已久，但2022年才陸續公開相關訊息。</p> <p>Meta在AI研究方面的起點，可追溯到Facebook於2013年成立的AI研究實驗室（AI Research lab），Meta第1座專為AI研究建置的高效能運算系統則是在2017年完成，由2.2萬個Nvidia V100 GPU構成，每天可執行3.5萬個訓練作業。</p> <p>接著Meta於2020年開始打造新一代基礎設施，成果便是2022年中完工的AI研究超級叢集（AI Research SuperCluster，RSC），含有1.6萬個Nvidia A100 GPU，Meta自詡是當時最快的AI研究用超級電腦，而Llama模型前2個世代——Llama 1與Llama 2，都是利用這座RSC叢集來訓練，也用於電腦視覺、自然語言處理、語音識別、圖像生成與程式編撰等AI模型開發。</p> <p>Meta在2024年又建置更大型AI叢集，是Meta第3代的AI運算叢集，能夠支援更大、更複雜的模型運算，以便為開發生成式AI產品鋪路，Llama 3模型便是採用這座設施來訓練。</p> <p>目前Meta尚未給予這座新AI叢集正式命名，而是在不同場合以「新AI叢集」、「生產叢集」（production clusters），或是「24k GPU叢集」（24k GPU clusters）稱呼。</p> <p>其中新AI叢集的說法，是相對於RSC叢集，表明這座叢集是新建置的；生產叢集的稱呼，是強調這座叢集的設定，針對生產層級的可靠性（production-grade reliability）做了最佳化，以便擴大訓練的規模；而24k GPU叢集的稱呼，則是指稱其含有的GPU規模，達到24k個Nvidia H100 GPU（24,576個）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1195-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B1-600-2.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Meta新AI叢集的特色</strong></span></span></p> <p>相較於上一代的RSC叢集，新的24k GPU叢集無論在運算單元、網路規格與儲存裝置組成方面，都有明顯的差異。</p> <p>就運算單元來說，上一代RSC叢集，是採用搭載8個Nvidia A100 GPU的Nvidia DGX A100 AI伺服器，新AI叢集改用Meta自身開發、搭載8個Nvidia H100 GPU的Grand Teton AI伺服器。</p> <p>在規模方面，新AI叢集擁有24,576個H100 GPU，上一代RSC叢集則為16,000個A100 GPU。新AI叢集的GPU數量比先前RSC叢集多出1/3，而就個別GPU的效能而言，H100在不同浮點數精度的運算效能，約比A100高出2到3倍以上，所以整座新AI叢集的GPU運算效能，至少比RSC叢集高出3到4倍。</p> <p>在網路架構方面，上一代RSC叢集是以2層式的200Gb InfiniBand網路，作為GPU伺服器節點的互連架構。新AI叢集則依模型規模，分別採用400Gb頻寬的RoCE乙太網路或InfiniBand，提供GPU伺服器節點間互連，並採用3層式網路架構，以支援更大規模的叢集環境。</p> <p>而在儲存裝置方面，基本上，RSC叢集是以市售儲存產品為主，包括：作為儲存層的175 PB容量PureStorage FlashArray儲存陣列，作為快取的46 PB容量Penguin Computing Altus系統，加上提供NFS存取的10 PB PureStorage FlashBlade儲存設備，總容量為231 PB。</p> <p>到了新AI叢集，Meta則改用自身的Tectonic分散式檔案系統，來打造配套的儲存叢集，總容量維持在同級的240PB，但擴展能力更大，整個儲存叢集由7,500臺伺服器構成。</p> <p>所以，無論在GPU運算能力、網路傳輸頻寬，還是儲存架構擴展性，新AI叢集都比上代RSC叢集躍升一個檔次。</p> <p>除了規格全面提升外，新AI叢集的另一特色，是大幅度的「Meta化」與「OCP化」。</p> <p>上一代RSC叢集的主要元件，多是其他廠商提供的現有產品，如AI伺服器採用Nvidia DGX A100，網路交換器是Nvidia Quantum系列，儲存設備則是購自Pure Storage與Penguin Computing。</p> <p>而新AI叢集的主要組成元件，則多是Meta自行開發的OCP開放規格硬體，包括做為AI伺服器的Grand Teton GPU伺服器平臺，構成儲存叢集的Yosemite伺服器、Open Rack機架、以及Wedge 400與Minipack交換器等，另搭配部分外部廠商產品。</p> <p>Meta目前一共打造了兩座這種24k GPU叢集。而Llama 3的3種規模版本——8B（80億個參數）、70B（700億個參數）與405B（4050億個參數），最大型的405B版本使用16k個GPU（16,384個）的叢集，也就是耗用了每座24k GPU叢集約2/3的運算能力。</p> <p>接下來我們就依運算單元、儲存單元與網路單元的順序，逐一介紹Llama3模型訓練基礎設施的詳情。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1195-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B1-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> Meta Llama 3訓練基礎設施組成框架 </span></strong></span></span><br /> <span style="color: rgb(105, 105, 105);"><strong>Llama 3模型使用的訓練基礎設施，是以24k GPU叢集為核心，搭配儲存叢集，以及前、後端網路而成。<br /> 24k GPU叢集是由3,072臺Grand Teton AI伺服器組成，一共有24,576個Nvidia H100 GPU與6,144個CPU。<br /> 儲存叢集則分為2大部分，一為提供模型訓練資料輸入、保存檢查點等主要訓練任務的儲存需求，由Tectonic分散式檔案系統構成的儲存叢集，採用總數達7,500臺的Yosemite V3伺服器組成。另一為基於Hammerspace平臺的NFS儲存服務叢集，用於程式開發修改等任務，同樣採用Yosemite V3伺服器來部署。<br /> 而儲存叢集透過100/200G規格的前端網路，來與24k GPU叢集連結。24k GPU叢集內部的所有運算節點，則透過400G的RoCE或InfiniBand互連，構成GPU互連專用的後端網路。</strong></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>超大規模的GPU運算單元</strong></span></span></p> <p>如同前面提到的，訓練Llama 3使用的24K GPU叢集中，作為運算核心的Nvidia H100 GPU，是安裝在Meta的Grand Teton AI伺服器平臺上運行。</p> <p>Grand Teton是Meta於2022年OCP全球大會所發表的AI運算平臺，同時，也是Meta上一代AI運算平臺Zion與Zion-EX的後繼者，整套系統圍繞著Nvidia H100 GPU打造，並引進一系列新硬體規格，包括PCIe 5.0介面、DDR5記憶體、OCP 3.0規格的200GbE或400Gb網路卡等，不僅提供2倍於上一代平臺的運算與資料網路頻寬、4倍的CPU與GPU頻寬，還能承受2倍的熱量，機箱架構也大幅更動。</p> <p>上一代的Zion平臺是由3個機箱模組組成——CPU頭節點（CPU Head Node）、交換器同步系統（Switch Synchronization System），以及GPU系統，需透過外部纜線來連接這3個模組，但這也增加布線複雜性與故障機率。</p> <p>新的Grand Teton改用單一機箱，組成的3大基本單元：CPU、交換器與GPU加速器，各以托盤模組（Tray）安裝在單一機箱，完全去除電源與網路的所有外部布線，以改善整體效能、信號完整性與熱效能，還能大幅簡化部署程序，減少潛在故障點，提供更高可靠性。</p> <p><strong><span style="color:#B22222;">Grand Teton AI伺服器的架構</span></strong></p> <p>Grand Teton伺服器在8個OU高度機箱內，由上而下分別容納CPU托盤模組、交換器托盤模組，以及加速器模組。</p> <p>其中CPU托盤模組含有2組CPU插槽，各自搭配了1張OCP前端網路卡與1組開機磁碟，在處理器組態方面，則有搭載Intel Xeon Sapphire Rapid處理器，或是AMD EPYC Genoa等兩種選項；交換器托盤模組是以4組Broadcom的PCIe 5.0交換器晶片為核心，提供CPU、GPU、網路卡與SSD等裝置互連所需的PCIe 5.0通道，以及安裝網路卡與SSD的空間，最多可安裝8張OCP規格RDMA網路卡與16臺E1.S SSD；至於加速器托盤模組，則可安裝8個H100 GPU單元。</p> <p>在整臺Grand Teton伺服器中，GPU與RDMA網路卡採1比1配置，確保為每個GPU提供充足的跨機箱連結傳輸頻寬。</p> <p>3大托盤模組之間，則透過內含PCIe 5.0×16通道的ExaMax連接埠互連。</p> <p><strong><span style="color:#B22222;">AI叢集的規模</span></strong></p> <p>24K GPU叢集的Grand Teton AI伺服器，每臺都滿載8個H100 GPU與2個CPU，但Meta並未公布其採用的CPU型式，其中8個GPU透過NVLink彼此互連，而GPU與其他裝置，以及其他裝置之間，則都是透過PCIe 5.0互連。</p> <p>依這個規格推算，整個24k GPU叢集，至少包含3,072臺Grand Teton AI伺服器，匯聚了24,576個H100 GPU與6,144個CPU，可說是相當龐大的運算資源，但這樣高的配置，必然也會在功耗上付出可觀的代價。</p> <p>依照Meta提供的規格，每臺Grand Teton伺服器的TDP大約是8.3kW，所以整個24k GPU叢集中，光是AI伺服器部分累加的TDP，大約是25,497kW，也就是接近25.5 MW左右。相較之下，臺灣目前運算能力最高的超級電腦——Nvidia 今年於高雄啟用的Taipei-1（TOP500排名第38），據稱功耗為7.68 MW，只相當於Meta 24k GPU叢集的1/3。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%8E%E5%BE%B7-Meta%20Llama%E4%B8%BB%E5%9C%963-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Meta.jpg" style="width: 600px;" /></p> <p><span style="font-size:20px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> Llama 3訓練基礎設施的網路架構 </span></strong></span></span><br /> <span style="color: rgb(105, 105, 105);"><strong>GPU叢集的基本單元，是1座含有2臺Grand Teton AI伺服器的機櫃，也就是上圖中間位置的AI機櫃（AI Rack），然後機櫃當中的每一臺AI伺服器，透過100G/200G網路連接前端網路（Frontend），並透過400G網路連接後端網路（Backend）。<br /> 前端網路用於連接儲存叢集，用於饋入訓練資料，以及傳輸與保存檢查點。AI伺服器先接到機架交換器（RSW），再接到網路交換器（FSW），最後連接到儲存叢集的節點。<br /> 後端網路是GPU專用的互連網路，用於跨伺服器、跨機架的GPU互連。AI伺服器先接到機架訓練交換器（RTSW），然後再接到叢集訓練交換器（CTSW）。</strong><span style="font-size: 14px;">圖片來源／Meta</span></span></p> <p> </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%8E%E5%BE%B7-Meta%20Llama%E4%B8%BB%E5%9C%964-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Meta.jpg" style="width: 600px;" /></p> <p><span style="font-size:20px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> Llama 3訓練基礎設施的GPU後端網路拓樸 </span></strong></span></span><br /> <span style="color: rgb(105, 105, 105);"><strong>後端網路一共分為3層，最底層是伺服器層級的互連，每2臺AI主機，也就是Grand Teton AI伺服器，各自透過8條400G網路連接到機架上的機櫃訓練交換器（RTSW）。<br /> 中間層是跨機櫃的互連，機櫃的訓練交換器（RTSW）接到上一層的叢集訓練交換器（CTSW）上，組成跨機櫃的GPU互連網路。而192座機架藉由CTSW交換器的連結，構成1組包含3,072個GPU的Pod單元，這應該也是一個AI區域（AI Zone）的最大單位。<br /> 最上層則是跨AI區域的互連，利用聚合訓練交換器（ATSW）連接不同AI區域的CTSW交換器，建立跨AI區域、跨Pod單元間的互連。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Meta</span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>高擴展性的儲存單元</strong></span></span></p> <p>在儲存配置上，Meta使用自身開發的Tectonic通用分散式檔案系統，建立搭配Llama 3的預訓練（Pre-training）儲存環境。</p> <p>Mtea之所以會決定要採用Tectonic，是希望透過這套系統強大的橫向擴展與負載平衡能力，因應Llama模型訓練過程當中，高突發性（Highly bursty）的檢查點（Checkpoint）資料寫入作業需求，這也是支援大語言模型訓練的儲存基礎架構，所面對的主要挑戰。</p> <p>所謂的檢查點是為了保存每個GPU的模型訓練狀態，作為復原或偵錯之用，每個GPU會為此產生大約1 MB到4 GB的資料量，然而，當數千個GPU同時寫入檢查點，會在短時間內讓底層的儲存架構達到飽和狀態，甚至癱瘓。</p> <p>Meta的設計目標，是盡可能減少寫入檢查點期間的GPU暫停時間，並增加建立檢查點的頻率，降低復原後損失的工作量，因此，盡可能提高持續寫入效能便成為這套儲存架構的需求重點，藉此減少每次檢查點寫入作業耗用時間。</p> <p>為此Meta選擇旗下最大型的分散式檔案系統Tectonic，來承擔Llama 3儲存基礎架構的重任。</p> <p><span style="color:#B22222;"><strong>Tectonic分散式檔案系統</strong></span></p> <p>Tectonic是Meta自2014年起開始發展，2021年正式發表的分散式檔案系統，最初計畫名稱為Warm Storage，特點是3層式、可橫向擴展規模的Metadata儲存架構，以及基於Erasure Coding的Chunk Store資料儲存節點單元，擁有強大的擴展與負載平衡能力，可支援EB等級的儲存空間需求。</p> <p>依照Meta的資料，當時他們內部實際使用的Tectonic儲存叢集，最大規模已達到4千個節點，以及1,590 PB總容量。</p> <p>而在搭配Llama 3訓練工作的執行時，Meta是以7,500臺配備E1.S SSD的YV3 Sierra Point伺服器，建構Tectonic分散式檔案系統的儲存環境，節點數量超過先前Meta最大型的Tectonic儲存叢集，但容量低了一個層次，總共240PB空間。</p> <p>採取這種配置的目的，應是透過數量更多的節點匯聚更高的存取效能，Meta宣稱這座儲存叢集擁有2TB/s的持續吞吐率，以及7TB/s的尖峰吞吐率，支援數千個GPU同步載入與儲存檢查點。</p> <p>在儲存環境的存取方面，AI叢集節點是透過FUSE API，經由100GbE或200GbE網路，來掛載與使用Tectonic分散式檔案系統的空間。</p> <p><span style="color:#B22222;"><strong>建構儲存叢集的硬體元件</strong></span></p> <p>至於Meta部署Tectonic儲存叢集使用的YV3 Sierra Point伺服器，則是Yosemite V3模組化伺服器，以及Sierra Point E1.S儲存刀鋒模組的組合。</p> <p>其中的Yosemite V3是Meta於2021年OCP大會發表，符合OCP認證規格的多節點模組化伺服器，也是Meta前身Facebook時期，於2015年起陸續推出的Yosemite系列模組化伺服器第3代版本。</p> <p>Yosemite V3的基本單元是4個OC高度的機箱底座，機箱內部分為3個橫向的滑橇（Sled）空間，每個滑橇含有1到4個插槽，可以垂直堆疊的方式，安插1到4個刀鋒（Blade）模組，每個滑橇內的刀鋒模組共用1個管理板（Management board），以及1張多主機（Multi-Host）OCP 3.0網路卡。藉由這種刀鋒式模組化設計，可提高運算密度，減少網路與供電布線，並改善擴充與維護便利性。</p> <p>目前Yosemite V3有多種刀鋒模組可供選擇，而Meta建構Llama3的Tectonic儲存叢集時，使用的硬體組態，應該是Yosemite V3的Delta Lake伺服器刀鋒，加上Sierra Point儲存刀鋒的組合。Delta Lake伺服器刀鋒含有1個Intel第3代Xeon Scalable處理器與1.92TB記憶體，Sierra Point儲存刀鋒則能提供6臺E1.S SSD。</p> <p><span style="color:#B22222;"><strong>額外的輔助儲存架構</strong></span></p> <p>除了支援主要訓練儲存作業的Tectonic儲存叢集外，Meta還與Hammerspace合作，開發部署了一套平行式NFS存取儲存系統，作為輔助的儲存架構，藉此為AI叢集提供跨大量伺服器的高效率遠端共享存取操作，例如藉由跨節點即時存取程式碼異動的能力，來執行包含數千個GPU的互動式作業偵錯。這套NFS存取系統，也是利用Yosemite V3伺服器，以及Sierra Point儲存刀鋒來部署。</p> <p>Meta並未詳細解釋這套平行NFS存取架構。我們推測由於Hammerspace擅長領域是超大規模NAS，以及平行NFS存取技術，或許Meta是利用Hammerspace技術，為AI叢集部署一套使用平行NFS存取的NAS，或NAS閘道器。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>建構多層式網路連結2.4萬個GPU</strong></span></span></p> <p>關於Meta Llama 3訓練環境使用的網路架構，目前有2個主要參考來源，第一篇是Meta論文《<a href="https://tinyurl.com/2d5pkww5" target="_blank">The Llama 3 Herd of Models</a>》，提供了概略網路框架，另一篇也是Meta論文《<a href="https://dl.acm.org/doi/10.1145/3651890.3672233" target="_blank">RDMA over Ethernet for Distributed AI Training at Meta Scale</a>》提供更詳細資料，Meta部落格文章《<a href="https://tinyurl.com/27btyn2r" target="_blank">RoCE networks for distributed AI training at scale</a>》，則是後者精簡版本。</p> <p>Meta將Llama 3訓練環境的網路，區隔為前端網路（Frontend，FE），以及後端網路（Backend，BE）等兩大部分。</p> <p><span style="color:#0000CD;"><strong>● 前端網路</strong></span></p> <p>前端網路用於為AI叢集提供訓練工作負載的資料輸入，保存檢查點以及日誌等用途，採用100Gb與200Gb來與AI叢集連結，Tectonic儲存叢集便是透過前端網路，來與AI叢集連結，將資料匯入AI叢集，並接受從AI叢集的檢查點寫入。</p> <p>前端網路是典型的階層式架構，最前端是直接與AI叢集連結的機架交換器（Rack Switch，RSW），下一層是網路交換器（Fabric Switch，FSW），最底層是儲存節點。</p> <p>前端網路的關鍵，在於機架交換器必須提供足夠的入口頻寬，以免妨礙工作負載的傳輸。</p> <p><strong><span style="color:#0000CD;">● 後端網路</span></strong></p> <p>後端網路是專門用於AI叢集內，每一臺AI伺服器之間的互連，為GPU與GPU之間，提供跨伺服器機箱之間的高頻寬、低延遲與無損的傳輸通道，這部分採用400Gb規格。</p> <p><span style="color:#0000CD;"><strong>● AI伺服器的網路連接</strong></span></p> <p>AI叢集中的每一臺Grand Teton AI伺服器，都同時連接了前端網路與後端網路，我們推測應是利用CPU托盤模組配置的2張前端網路卡，來連接前端網路；並利用交換器托盤模組配置的8張RDMA網路卡，來連接後端網路。</p> <p>從Meta公開的資料來看，當訓練工作負載規模較小，只使用少於8個GPU時，直接透過伺服器內的NVLink來提供GPU與GPU之間的連結，而不需要使用後端網路進行跨伺服器的連結。當訓練工作負載較大時，才會啟用後端網路，藉由GPUDirect RDMA技術進行跨伺服器的GPU對GPU資料傳輸。</p> <p><span style="color:#B22222;"><strong>後端網路的架構</strong></span></p> <p>Meta在不同規模的Llama 3模型訓練工作中，分別採用不同後端網路架構。</p> <p>最大型的405B版本Llama 3，採用RoCE乙太網路作為GPU伺服器叢集的網路架構，規模較小的8B與70B版本採用InfiniBand。無論RoCE乙太網路，還是InfiniBand版本的叢集網路，都是採用400Gb的頻寬規格。</p> <p>Meta表示，儘管這2種叢集網路底層技術存在差異，但他們透過調整，為大型訓練工作負載提供相同效能表現。</p> <p>在具體組成的網路設備元件方面，Llama 3 405B版本的RoCE乙太網路，是由Arista的7800R3系列骨幹交換器、Meta自身的Wedge 400C交換器與Minipack2模組交換器所組成。而8B與70B版本的InfiniBand網路，則以Nvidia的Quantum2 InfiniBand交換器構成。</p> <p>Meta為405B版本Llama 3使用的RoCE乙太網路架構，提供了更詳細的拓樸架構、負載平衡與雍塞管理資訊。Meta這麼做的理由是因為他們完全擁有這套網路架構的設計，不像InfiniBand版本的網路架構是基於Nvidia的技術。</p> <p><span style="color:#0000CD;"><strong>● 網路拓樸架構</strong></span></p> <p>基於RoCE乙太網路的Llama 3叢集，是藉由3層式網路拓樸架構，將叢集中的24k個（24,576個）GPU連結在一起。</p> <p>最底層是個別AI伺服器層級的互連，每兩臺AI伺服器共同安裝在1座機櫃（Rack）上，透過DAC銅纜連接到稱作機櫃訓練交換器（Rack Training Switch，RTSW）的TOR交換器上，每座機櫃一共含有16個GPU。</p> <p>中間層是機櫃層級互連，每座機櫃的RTSW交換器，透過400Gb光纖纜線連接到叢集訓練交換器（Cluster Training Switch，CTSW）上，然後，192座機櫃可以藉由CTSW交換器之間的連結，構成1組包含3,072個GPU的Pod單元，並具備完整的頻寬對分（Bisection Bandwidth）設計，讓每個GPU之間都有完整的400Gb頻寬，確保不會有超額配置（Oversubscription）的情況。</p> <p>RTSW交換器與CTSW交換器這2層，組成了AI區域（AI Zone），RTSW構成枝葉交換器（leaf），CTSW作為主幹交換器（Spine），可支援數千個GPU互連，我們推測1個含3,072個GPU的Pod單元，應該就是1個AI區域最大規模。</p> <p>但Llama等新一代大語言模型，所需要耗用的GPU數量，明顯大於單一個AI區域所能提供的GPU數量規模。所以，Meta在RTSW與CTSW交換器這2層之上，再加上跨AI區域的聚合層，利用聚合訓練交換器（Aggregation Training Switch，ATSW）連接不同AI區域CTSW交換器，建立跨AI區域、跨Pod單元互連。</p> <p>同一資料中心建築內的8組Pod單元，利用ATSW交換器互連組成含有24k個GPU的叢集。</p> <p>但聚合層的網路連線並未維持完整頻寬對分設計，而採用1：7超額配置比率。我們推測這或許是基於成本考量，要在聚合層為24k個GPU提供無超額配置的傳輸頻寬，所需成本過高，效益又相對不顯著所致——大部分資料流量都是在個別AI區域內，跨AI區域流量相對有限，因而可容許一定程度超額配置。</p> <p>另一方面，Meta的Llama 3模型平行作業架構，以及訓練作業排程器（training job scheduler），也針對前述網路拓樸做了最佳化，以最大限度地減少跨AI區域的資料流量，以緩解聚合層因頻寬超額配置導致的流量瓶頸問題。</p> <p><span style="color:#0000CD;"><strong>● 負載平衡</strong></span></p> <p>Meta表示，相較於傳統的資料中心工作負載，大語言模型的網路資料流具備幾個不同的特徵，包括資料流數量與樣式明顯較少，通常是重複且可預測，但會在毫秒（millisecond）層級上，出現突發性（Burstiness）流量衝擊，而且在突發流量發生時，強度可達到網路卡的線速，幾乎會佔滿網路卡的傳輸頻寬。</p> <p>而這樣的特徵，也給支援大語言模型訓練的網路架構，在流量的負載平衡與壅塞管理上，帶來新的挑戰，促使Meta在Llama 3訓練網路架構中，引進有別於傳統架構的負載平衡與壅塞管理機制。</p> <p>Meta指出，大語言模型的訓練過程所產生的「胖（fat）」網路資料流，不易藉ECMP路由（等成本多路徑）等傳統方法，在可用路徑有效進行負載平衡。</p> <p>為此Meta採用下列兩項技術：</p> <p>首先，Meta以Nvidia NCCL的負載平衡集體傳輸庫（collective library），做為基礎，在2個GPU之間建立與維持16個網路流，不像一般只有1個網路流，藉此可減少每個網路流的流量，並為負載平衡工作提供更多可操作的網路流。</p> <p>其次，利用增強型ECMP協定（E-ECMP），為RoCE封包標頭的附加欄位進行雜湊處理（hashing），從而可以在不同網路路徑上，有效地平衡GPU與GPU之間的16個網路流。</p> <p><span style="color:#0000CD;"><strong>● 壅塞管理</strong></span></p> <p>Meta最初是採用傳統的DCQCN（資料中心量化壅塞通知）來進行壅塞控制，但發現在400Gb網路上效果不佳。</p> <p>於是Meta放棄DCQCN，改在主幹網路（Spine）交換器，也就是CTSW交換器這一層，使用深度緩衝技術（Deep-buffer），利用GPU的HBM記憶體來維持多個傳輸通道，作為傳輸緩衝區，因應多處理器集體通訊引起的瞬間壅塞。</p> <p>Meta表示，這種作法有助於限制陷入慢速的伺服器，所導致的壅塞與網路背壓（network back pressure）衝擊，這種情況在訓練過程中很常見。</p> <p>此外，藉由E-ECMP協定實現更好的負載平衡，也顯著降低壅塞的可能性。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>持續擴張中的AI運算環境</strong></span></span></p> <p>無論就規模或運算力，Meta 24k GPU叢集都是當前AI訓練基礎設施的頂點，儘管如此，這還未達到Meta幾年前設定的目標。Meta在2020年曾提出AI運算基礎設施目標：在1EB容量的資料集上、訓練擁有1兆個參數的模型，而目前Llama 3的規模，以及24k GPU叢集的能力，離這個目標都還有一段差距。</p> <p>因此Meta目前的2座24k GPU叢集，只是該公司新一代AI訓練基礎設施建設的起步，仍在持續擴充，近期目標，是在今年年底時將35萬個H100 GPU納入AI基礎設施，屆時Meta的AI基礎設施資產將擁有相當於60萬個H100運算能力。</p> <p>前述訊息是在今年3月發表，這意味著，Meta將以每個月近4萬個H100 GPU的速度，持續擴展運算能力。</p> <p>不過，其他廠商也在快速追趕！</p> <p>例如，馬斯克（Elon Musk）在今年4月曾透露，旗下AI新創公司xAI發展的Grok-2模型，訓練時使用2萬個H100 GPU，這樣的規模，與Meta的Llama 3模型訓練使用的24k GPU叢集，大致在伯仲之間。稍後馬斯克5月又聲稱將大肆購買Nvidia晶片，以滿足xAI下一代Grok-3模型需要的10萬個H100需求，這套新設施預定在2025年秋季打造就緒。</p> <p>其他第一線大廠也有同等規模的AI硬體擴充計畫，例如，微軟Azure技術長Mark Russinovich 5月表示，他們正以每個月部署5座Eagle超級電腦的速度，擴展旗下基礎設施運算能力。Eagle是擁有14,400個H100 GPU、在TOP500名列第3的超級電腦，這意味著Azure的運算能力擴充速度，相當於每個月增加7萬個H100 GPU，比起Meta更為驚人。</p> <p>從各大廠商競相擴充GPU部署規模，也可看出大語言模型對GPU運算能力需求，是如何迫切。以目前來看，為了支撐大語言模型的進一步完善，這股AI基礎設施建置熱潮，還會持續好幾年。</p> <hr /> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1195-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B1-600-3-(%E5%A4%A7).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1195-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B1-600-3-(%E5%B0%8F).png" style="width: 500px;" /></a></p> <p><span style="font-size:20px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> Llama 3訓練基礎設施運算單元圖解 </span></strong></span></span><br /> <span style="color:#696969;"><strong>Llama 3訓練用的24k GPU叢集，是以1座包含2臺Grand Teton AI伺服器的機櫃（Rack），作為基本單位。<br /> 每一臺Grand Teton AI伺服器的GPU托盤模組，含有8個H100 GPU，彼此間透過NVSwitch互連，並透過交換器托盤模組上的8張400G RDMA網路卡，連接到機櫃上扮演機架訓練交換器（RTSW）的角色的1臺Minipack2交換器，構成跨伺服器機箱的GPU互連。GPU與400G RDMA網卡為1比1配置，以確保傳輸頻寬。<br /> 而每1座機櫃上的2臺AI伺服器，便藉由RTSW交換器的連接，構成1組含有16個GPU的機櫃單元，然後再經由RTSW交換器連接到上一層的叢集訓練交換器（CTSW）上，組成跨機櫃的GPU互連網路，也就是後端網路。<br /> Grand Teton AI伺服器的CPU托盤模組另有2張前端網路卡，是作為連接前端網路之用，至於機架上的Wedge 400C交換器，我們推測可能是作為讓AI伺服器介接前端網路的機架交換器（RSW）角色。</strong></span></p> <hr /> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1195-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B1-600-4.png" style="width: 516px;" /></p> <p><span style="font-size:20px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 當前最頂級的高效能運算環境：與TOP500對比 </span></strong></span></span><br /> <span style="color:#696969;"><strong>Meta用於Llama 3模型訓練的24k GPU叢集，不僅是當前最高效能的AI研究用超級電腦，事實上也是最快的超級電腦之一。<br /> 談到全球頂級的高效能運算基礎設施，多數人首先想到的，便是名列TOP500榜單的超級電腦。然而用於自然語言處理、大語言模型等AI研究用的大型運算設施，雖然應用面向與這些超級電腦略有差異，但是在效能與規模上，其實不比這些超級電腦遜色。<br /> 我們將Meta 24k GPU叢集的運算核心規格，與TOP500榜單中幾臺較知名的超級電腦運算核心規格，列於下表當中進行對比。由於Meta並未公布24k GPU叢集使用的CPU型號，所以我們無法計算總核心數，而只能比較CPU與GPU數量，但即便如此，24k GPU叢集的處理器規格與數量規模，確實可與TOP500前3名超級電腦媲美，甚至猶有過之。</strong></span></p> <p><a href="https://www.ithome.com.tw/article/164512" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:24px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1195-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=f1FPt-N1" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/llama-3">Llama 3</a></div><div class="field-item odd"><a href="/tags/meta">Meta</a></div><div class="field-item even"><a href="/tags/%E5%A4%A7%E8%AA%9E%E8%A8%80%E6%A8%A1%E5%9E%8B">大語言模型</a></div><div class="field-item odd"><a href="/tags/ai%E5%9F%BA%E7%A4%8E%E8%A8%AD%E6%96%BD">AI基礎設施</a></div></div></div>
2024/8/16 08:26作者張明德https://www.ithome.com.tw/tech/164498
超大規模AI運算設施的維運挑戰
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1195-feng_mian_gu_shi_2-960-3.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta透過論文《The Llama 3 Herd of Models》公布訓練Llama 3的基礎設施硬體架構細節。（<a href="https://tinyurl.com/2d5pkww5">https://tinyurl.com/2d5pkww5</a>）</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>龐大的系統規模，是Llama 3硬體基礎設施最引人注目之處，也是執行大語言模型訓練不可或缺的基礎。但另一方面，足夠的系統規模，只是執行這類應用的必要門檻，而不能保證運算工作能順利進行，並獲得期望的成果，想要讓這類超大規模基礎設施充分發揮效益，還需要仔細的調校，並維持足夠的穩定性。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>效能調校與可靠性的確保很重要</strong></span></span></p> <p>首先，一味地擴大基礎設施的規模，並不保證整體效能成比例的增加，若未經妥善調校，將只是徒然浪費基礎設施資源而已。</p> <p>Meta提出實例指出，相較於經過最佳化調校的小型AI叢集，大型AI叢集一開始的效能表現很差，而且很不穩定。</p> <p>小型叢集的通信效能（整體通訊頻寬利用率）可以維持在90%以上，大型叢集的通信效能則在10%到90%間跳動，無法發揮規模擴大的效能，直到Meta調整作業排程器軟體、依網路拓樸動態的工作調派機制，並更動網路路由策略後，才讓大型叢集的通信效能恢復到90%以上。</p> <p>其次，眾所周知，AI叢集這種超大型高效能基礎設施的營運成本十分昂貴，若系統穩定性不足，將導致運算作業頻繁中斷，造成操作成本的無謂增加。</p> <p>但不幸的是，Meta的經驗顯示，相較於傳統以CPU為核心的大型叢集，GPU為核心的大型叢集，相對更不穩定。Meta在其論文中指出，Llama 3訓練用的16k GPU叢集，複雜性與潛在故障情境，都超過更大規模的CPU叢集，而且容錯能力也較低，因為如果發生單一GPU故障的狀況，就有可能導致作業中斷，而需要重新啟動。</p> <p><strong><span style="color:#B22222;">GPU叢集頻繁的硬體故障</span></strong></p> <p>Meta在論文《<a href="https://tinyurl.com/2d5pkww5" target="_blank">The Llama 3 Herd of Models</a>》，以為期54天的Llama 3 405B版模型訓練為例，16k GPU叢集訓練的過程中，共發生466次工作中斷，裡面就有47次，是系統更新或維護造成的中斷，叢集每天都會因預設的維護與更新，至少中斷1次，其餘419次是意外中斷，這樣換算起來，平均每天發生將近8次意外中斷，也就是說，訓練作業每天都會被意外狀況打斷數次。</p> <p>而在這419次意外中斷事件中，78%的狀況都歸因為硬體問題，GPU相關問題是最大宗，占所有意外中斷因素的58%，故障次數最多的是GPU本身失效（148次，占30.1%），然後是GPU的HBM3記憶體失效（72次，占17.2%），其他GPU相關問題還有GPU的SRAM記憶體與系統處理器失效（19次與17次，4.5%與4.1%）。在GPU類別的問題之外，故障次數較多的是交換器與纜線問題（35次，8.8%）。相較下，CPU、系統記憶體、SSD、電源供應器這些傳統伺服器元件的故障率低了許多，訓練期間只發生過2、3次故障。</p> <p>Meta還提及外部環境對於GPU作業，以及GPU作業對整體電網的影響。Meta發現在一日之中，隨著時間的推移，訓練作業的吞吐量會有1到2%的變化，而這種吞吐量波動，是受到外部環境氣溫變化對GPU運作的影響導致。例如，在中午時分的高溫下，會影響GPU運作的動態電壓與頻率縮放。</p> <p>使用大量GPU執行模型訓練作業，也會衝擊資料中心電網。數以萬計的GPU，很可能會同時增加或減少功耗，例如一同等待檢查點寫入或集體通訊作業完成、或訓練作業的啟動與關閉等，Meta表示，當這種情況出現，將導致整個資料中心的功耗，瞬間出現數十MW等級的波動，以致超出電網限制。</p> <p><span style="color:#B22222;"><strong>緩解硬體故障的手段</strong></span></p> <p>Meta營運這套AI環境的經驗指出，GPU固然是大語言模型訓練硬體基礎設施核心，卻也是最脆弱、最不可靠的環節，易受外部環境溫度影響，還有衝擊整體電網之虞。</p> <p>隨著GPU複雜性的持續增加，這種情況未來可能也難有顯著改善。</p> <p>不過，Meta對此並非完全束手無策，透過自行開發的快速診斷與自動復原工具，幫助他們迅速確認GPU叢集的問題，並自動排除故障，而這種方法也收到良好的效果。Meta表示，儘管他們在模型訓練的期間曾遭遇大量故障的狀況，但其中只有3次需要人工干預，其餘問題都可透過工具自動處理。最終，Meta達到了90%以上的有效訓練時間（在總操作時間中，有效執行訓練時間的比例）。</p> <p>這也顯示，透過操作層面的自動化偵測與復原工具，對於硬體層面高度複雜性導致的先天不可靠問題，能夠一定程度地予以緩解，雖然難以避免硬體故障發生，但仍有辦法盡量減少故障的衝擊，與作業中斷時間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1195-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B2-600-1.jpg" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> Llama 3訓練用叢集的調校 </span></strong></span><br /> <span style="color:#696969;"><strong>效能調校對於大型叢集效能相當重要，Meta舉例表示，相對於能發揮90%的通信效率的小規模叢集，大型叢集一開始的效率很差，表現也不穩定，通信效率在10%到90%間跳動，經過調校後，才得以獲得90%以上的通信效率。</strong><span style="font-size:14px;">圖片來源／Meta</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1195-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B2-600-2.png" style="color: rgb(105, 105, 105); width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> GPU叢集的脆弱性 </span></strong></span><br /> <span style="color:#696969;"><strong>Meta以一次為期54天的Llama 405B模型訓練為例，說明大型GPU叢集遭遇的可靠性問題，這次訓練過程中發生了419次意外中斷，相關故障原因如上表所示，可見到GPU相關類型（Category）的故障次數最多，占了將近6成，可說是叢集中最不可靠、最脆弱的環節。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Meta</span></p> <p><a href="https://www.ithome.com.tw/article/164512" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 24px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1195-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=f1FPt-N1" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/llama-3">Llama 3</a></div><div class="field-item odd"><a href="/tags/meta">Meta</a></div><div class="field-item even"><a href="/tags/%E5%A4%A7%E8%AA%9E%E8%A8%80%E6%A8%A1%E5%9E%8B">大語言模型</a></div><div class="field-item odd"><a href="/tags/ai%E5%9F%BA%E7%A4%8E%E8%A8%AD%E6%96%BD">AI基礎設施</a></div></div></div>
2024/8/16 08:30作者張明德https://www.ithome.com.tw/tech/164505
全球最大AI模型硬體設施鍊成術
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1195-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=f1FPt-N1" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了打造頂級大語言模型Llama 3.1，Meta建置超過2.4萬個GPU與3千臺GPU伺服器的AI運算基礎設施，並克服一系列挑戰，足可作為未來超大規模AI設施營運經驗的參考範本</p> </div></div></div>
2024/8/16 08:32作者張明德https://www.ithome.com.tw/article/164512
從環境偵測到日常行政，環境部轉型靠數據和AI
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩年省下17座游泳池用水！大型工程工地常定期定量灑水抑止揚塵，來改善四周的空氣品質，施工得浪費大量的用水。去年，桃園機場第三航廈工程的4,500坪工地，改用了一套智慧灑水抑塵技術，只在空氣中的PM2.5等粒子濃度超標時，才會啟動灑水，空氣品質改善後就馬上停止，兩年來省下了相當於17座游泳池的民生用水，灑水設備更省下36萬公升的柴油，一年估計省了255萬元開支。後來，發電廠廠房和捷運站建設等大型公共工程紛紛跟進採用同樣的做法。讓大型工地掌握每一分鐘的空氣品質變化，及時採取行動的關鍵，就是來自環境部的環境數據。</p> <p>這只是環境數據的其中一種用法。光是空氣品質監測資料，環境部還用來觀察污染、違規取締、偵測火災或瓦斯外洩災情，就連一般民眾都可以用來規畫日常行程等，五花八門的應用。</p> <p>環境部監測資訊司司長謝炳輝表示，要開發如智慧灑水抑塵一般快速、因地制宜的環境數據應用，只靠傳統空氣監測站數據不夠，還用上了環境部近年啟用的空氣感測物聯網，以更高效率蒐集環境資料，搭配AI來快速分析這些數據，才可以做到。</p> <p><span style="font-size:28px;"><strong>用物聯網系統蒐集高可用性環境數據，更以AI加速數據應用</strong></span></p> <p>一直以來，環境部會固定監測全臺環境品質。以空氣監測為例，目前有78座偵測站，以每小時一次頻率回報高精確度的空氣品質數據。</p> <p>謝炳輝說，這些測站設備精確度雖高，但設備價格動輒百萬元，難以廣布。為了增加環境數據的廣度和時效性，環境部投入了大量造價較低的小型感測器，來輔助這些少量昂貴的測站設備，並用物聯網技術，來管理、追蹤感測器數據。目前，環境部有2大類環境監測物聯網，空氣物聯網和水質物聯網。</p> <p>第一類應用較成熟的環境監測物聯網是空氣物聯網系統，包含上萬個空氣品質感測器，遍布全臺超過四分之三的行政區，每分鐘回傳一次偵測資料。謝炳輝強調，雖然這些造價僅萬元的偵測器，偵測數值不比測站數據不精確，但能提供高空間跨度、高時間密度空氣品質數據，仍能發揮巨大價值。</p> <p>環境部如何應用這些數據？他們打造了一個空氣網，用來視覺化呈現這些數據，供民眾查詢。近年，他們還開始將這些數據結合空汙陳情位置、列管工廠點位、汙染熱區分析、風向風速、異味報告等，來自地方環保機關和中央各部會，共超過30種異質資料，搭配機器學習演算法，來快速推測空氣品質變動背後的可能情境。</p> <p>謝炳輝解釋，利用ML演算法來分析空氣品質數據的好處是，比起利用傳統科學公式來計算、分析數據，ML演算法可以更快找出數據間關聯性，推測出火災範圍、汙染源頭等資訊，以利環境主管機關更快速對空汙事件反應。</p> <p>這些交叉分析後的空氣品質數據，會整合到AIoT空氣稽查平臺，提供儀表板、圖表式分析、地圖式分析等功能，供政府人員來查詢、分析，並組織稽查行動。一旦發現明顯空氣品質異常，此平臺還會自動傳送警報訊息到相關環境主管機關的Line群組。空氣物聯網上線以來，還支援了超過7億元空汙罰金的開罰和追討。這1、2年，環境部更進一步升級空氣物聯網，開始將感測器安裝於大眾交通工具、熱氣球、甚至飛機上，以進一步增加資訊蒐集面積。</p> <p>另一類物聯網應用是水質監測物聯網。傳統水質監測方法，是定期採樣到實驗室分析。針對河川、水庫、地下水等不同水源，有不同採樣周期，例如河川是每個月一次。新的水質物聯網做法，也是投入更多偵測器，提供分鐘等級資料，相對於採樣，可以提供更高時效性的數據，以支援及時管制汙水排放等工作。</p> <p>不同於空氣品質物聯網廣布偵測器的策略，每一個水質偵測器都是與地方環保局、農業部等其他單位共同研討安裝地點，再目的性布置偵測器。這些偵測器用途包括監測工廠汙水排放及控管灌溉用水品質，目前有600多顆偵測器服役中。</p> <p>類似空氣物聯網做法，環境部監測資訊司也打造了水科技物聯網應用平臺，視覺化呈現水質的偵測資訊、異常事件、異常周期，並有警報推播功能來輔助環保主管機關稽查。</p> <p>謝炳輝補充，為了管理規模如此龐大的物聯網裝置，環境部和地方政府環境部門合作，共同管理這些裝置，前者每年進行一次大檢測，並由後者每天或每半天巡檢偵測器一次。當環境部從後臺發現，有區域的偵測資料完整度低於9成時，也會通知對應地方機關迅速檢修偵測器，以確保資料可用性和連續性。</p> <p>從結合各種內外部會的環境數據來進一步強化環境監測物聯網數據用途，到利用AI加速數據分析和應用效率，都反映出近年環境部IT應用的發展方向。</p> <p>「環境部IT發展的下一步是更多環境數據應用，以及廣泛應用AI。」謝炳輝說。這兩項原則貫穿了環境部數位轉型和未來環境IT應用規畫。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1195-CIO-600.JPG" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><span style="font-size:28px;"><strong>環境部數位轉型計畫，AI應用及AI教育扮演重要角色</strong></span></p> <p>去年8月環保署升格為環境部，到今年5月注重開放數據及AI應用的新環境部部長上任，環境部IT必須做出許多變動及轉型。</p> <p>首先是IT資源向上集中，新組織架構下，監測資訊司要集中IT硬體資源到共構機房，供環境部四署一院使用。他們還在短短3個月內，將環保署舊有網站、公文系統、會計系統等內部行政系統和外部服務應用幾乎全部打掉重建，甚至升級，例如打造對外公文的無紙化呈遞及簽核機制。</p> <p>歷經17次跨部門溝通會議及高強度開發作業，這些新系統終於在改制當天全數準時上線。不過，環境部數位做法的改革仍未結束，而是秉持發展更多環境數據應用及AI應用場景的原則，進入下一階段的轉型。</p> <p>AI應用方面，環境部開始擁抱生成式AI，結合環境部自有數據，來強化內部行政效率。監測資訊司利用ChatGPT及RAG技術，建置了一套環境部生成式AI助手，用於環境部知識管理、會議記錄、逐字稿生成，以及文書處理等日常作業。</p> <p>同時，監測資訊司還扮演推動全環境部AI轉型的角色。部長上任後，隨即組成數位轉型推動小組，執行AI人才訓練計畫。其中，監測資訊司就負責支援環境部全單位的AI教育訓練。目前做法是，教導各單位AI基礎知識、訓練AI工具應用能力，培育各單位的大數據分析人才，並舉辦AI應用競賽，鼓勵各單位在日常行政及專業領域都使用AI來輔助，並促成跨單位心得交流。</p> <p>下階段，他們更計畫打造一個地端版LLM模型，在較安全的環境下，讓AI存取更多環境數據。他們也期待，當環境部各單位都更熟悉AI後，能各自利用此LLM來進一步支援更多、專業性更高的業務。</p> <p><span style="font-size:28px;"><strong>積極推動政府資料開放，促官民聯手探索更多數據應用方法</strong></span></p> <p>環境部數位做法另一大要點是持續推動政府開放資料，並協助發掘更多環境資料應用方法。</p> <p>謝炳輝說，環境部一直以來都積極推動推動政府開放資料，也是多年來政府資料開放評比的金質獎和人氣獎常客。</p> <p>他們不只上傳開放資料到政府開放資料平臺，2022年更上線了新版環境資料開放平臺，彙整了環境部及氣象署、國土測繪中心等內外部會環境資料，共超過800個資料集。</p> <p>開放資料來自不同部會，種類多元，且規模龐大，為環境部數據管理帶來2方面挑戰。</p> <p>其一是儲存。光是空氣物聯網偵測數據，每分鐘就有上萬筆偵測數據，等於一年有52億筆數據。若要持續追蹤多年空氣品質變化趨勢，筆數更是百億起跳。</p> <p>謝炳輝說明，為了控管儲存成本，目前環境部採取的策略是將資料分為冷熱資料管理。熱資料包括32種高應用價值資料資料集在內的資料，存取頻繁，用高效能硬體儲存。其餘則歸類為冷資料，用較低價的傳統儲存硬體來儲存。</p> <p>其二則是資料品質控管。環境部需統整內部各單位及跨部會800多份資料集，將其轉化為易取用、易處理，甚至能與其他資料交叉應用的格式，才有利促成更多環境資料應用。</p> <p>他們控管資料品質的做法是，為大氣、水質、化學物質等不同大分類的資料，訂定資料上傳模式及資料格式。並規定，各單位提交資料時，資料至少經數位部政府資料開放平臺檢測，達到金標章品質以上。</p> <p>近年，環境部持續整合更多異質環境相關資料到既有資訊傳播通路，例如環境即時通App、淨零綠生活資訊平臺等。他們也持續開發更多主題的資訊傳播通路，除了先前提到的環境資料開放平臺，還有揭露空氣測站數據的空氣品質監測網、空氣物聯網數據的空氣網、水質測站的水質監測網和水質地理資訊平臺等。</p> <p>未來，環境部還要從揭露環境資料，走到主動發掘更多環境資料應用。隨著曾任Open Data聯盟會長的新任部長上任，監測資訊司更收到指示，要結合新科技工具，主動探索更多應用方法。例如，他們正在評估審查環評申請改用AI預審。</p> <p>除了官方自己思考如何應用環境資料，他們還打算與民間團體及新創企業合作，共同探討更多環境數據應用可能。謝炳輝強調：「環境資料大多不涉及個資，應用上顧慮較少，這是環境部開放資料能創造更多價值的一大優勢。」</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>行政院環境部監測資訊司司長謝炳輝</strong></p> <p>學歷：中興大學水土保持研究所碩士</p> <p>經歷：從環保署創立第一年就開始於此服務，曾任水質保護處專門委員、空氣品保及噪音管制處技正及副處長、環境保護人員訓練所副所長、環保署參事兼資源回收管理基金管理會執行秘書，111年擔任環境監測及資訊處處長，推動環境IT應用及環境部數位轉型</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1195-CIO-300.JPG" style="width: 300px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><strong>行政院環境部</strong></p> <p>●網址：<a href="http://www.moenv.gov.tw">www.moenv.gov.tw</a></p> <p>●成立時間：環保署成立於76年8月，113年8月升格環境部</p> <p>●主要業務：因應國際淨零排放趨勢及全球環境變遷，系統性處理氣候變遷、資源循環、化學物質管理、環境品質管理及強化環境科研等五大環境議題</p> <p>●員工數：274人</p> <p>●部長：彭啓明</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：監測資訊司司長</p> <p>●資訊部門主管姓名：謝炳輝</p> <p>●資訊部門人數：15人</p> <p>●資訊部門分工：資訊發展應用科、行政資訊資安科等</p> <p>●IT預算：約1億900萬元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2013年：啟動環境資訊服務應用計畫，發表環境即時通APP。</p> <p>●2016年：預算會計暨財務資訊整合平臺上線，並陸續整合系行政支援系統、公文系統、列管系統、採購管理資訊系統等，2019年達成全面經費核銷電子化。</p> <p>●2019年：空氣網上線。</p> <p>●2020年：因應新冠疫情打造彈性辦公環境，居家辦公服務上線；空氣品質監測網上線；啟動智慧環保一站通計畫，運用智慧政府數位多元登入服務驗證、資料交換骨幹網路（T-Road）及數位服務個人化（MyData）。</p> <p>●2021年：稽查平臺自動推播環境異常警報功能上線。</p> <p>●2022年：環境資料開放平臺改版上線。</p> <p>●2024年：配合綠色及數位轉型政策，啟動環境部數位轉型推動計畫。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1195-cio-960_0.jpg" width="960" height="420" alt="" title="行政院環境部監測資訊司司長謝炳輝　（攝影／洪政偉）" /></div></div></div>
2024/8/16 08:38作者郭又華https://www.ithome.com.tw/people/164507
提升IT素養，從閱讀技術文件著手
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年夏天，許多臺灣民眾都很忙碌，可能都會覺得每週都有不同的議題需要補課，大家都非常認真參與，從民主補課：2024國會職權修法爭議、科技補課：2024台北國際電腦展、娛樂補課：2024金曲獎，一直到最近落幕的體育與性別補課：2024巴黎奧運，接下來，還有會計記帳補課：2024年總統選舉政治獻金申報爭議。在關心各種時事的變化之餘，也令不少人反思自己的不足與認知盲點，感慨有許多能力是課堂、家庭學不到的。</p> <p>單就商業與科技領域而言，生成式AI相關消息是最熱門的議題，例如，7月底Meta公司釋出Llama 3.1，提供4,050億個參數的旗艦級模型、700億個參數的高效能模型、80億個參數的輕量級模型，而且發表之初，就有多達26家合作廠商表態支援，Meta也特地列出其中10家廠商與支援的特色多寡對照表，並且公開內容多達92頁的研究論文《<a href="https://tinyurl.com/2d5pkww5" target="_blank">The Llama 3 Herd of Models</a>》，到了8月初，他們發表另一篇14頁內容的論文《<a href="https://dl.acm.org/doi/10.1145/3651890.3672233" target="_blank">RDMA over Ethernet for Distributed AI Training at Meta Scale</a>》。</p> <p>在臺灣，我們看到Nvidia與AWS發出中文新聞稿，在社交網站、網路社團、Podcast上，也有一些關注AI發展的專家介紹這項技術突破。針對這項眾所矚目的生成式AI模型最新進展，我們也想盡一份心力，與大家一起解讀Meta公司發布的技術文件，於是，有了這次封面故事的報導，由我們的技術主筆張明德整理當中的硬體基礎架構組成，憑藉我們對企業級IT基礎架構相關技術的了解，一起讓更多人認識用來訓練生成式AI模型的超大規模運算環境，希望社會大眾對於AI硬體技術的討論，不要僅止於各品牌的競爭、市場供需的議題，而能夠多花一些心力更深入理解個別技術的內涵。</p> <p>正如超微（AMD）執行長蘇姿丰先前在Computex來訪時，曾說：臺灣是唯一說到CoWoS先進封裝，每人都能理解的地方，在AI當紅的此刻，許多人對於GPU、HBM記憶體、CXL等技術都能侃侃而談，尤其是廣大股民，然而，各種元件的發展脈絡，以及彼此之間的具體連動關係，卻可能一知半解！期盼大家除了看每天的新聞與公司公告的財報，也能到相關廠商的網站，親自閱讀與整理他們的產品規格、技術文件、解決方案簡介與白皮書，甚至是他們發表的重要研究論文，從中可以建構你自己的觀察。現在生成式AI很方便，如果看不懂內容，也可以請AI幫你解釋、旁徵博引。</p> <p>如果還是覺得很麻煩、很花時間，目前有許多專業的科技媒體、Podcaster會持續追蹤熱門的科技議題，幫大家進行初步的解讀與整理，這些都是可以參考的消息管道，之後再根據自己較關切的議題深入了解。而且，時間一久，大部分技術都會推陳出新，各種技術之間往往會出現相互競爭、合作，甚至發生取代、汰除的狀況，在它們進行更迭之際，我們也有機會透過廠商的宣傳資訊、社群討論，去了解箇中優劣差異。</p> <p>事實上，當前我們處於一個公開資訊充斥甚至氾濫的時代，幸運的是，想要了解一個技術議題，多半都找得到各種說明文件，如今也有AI助手協助降低語言與理解相關發展脈絡的隔閡，但不幸的是，眾聲喧嘩，雜訊、謠言、假消息、陰謀論俯拾皆是，如果未能建立自己的識讀能力，往往就無法判斷事情的真偽，而高估或輕視個別產品或技術的能耐與發展成熟度。</p> <p>若要減少誤會，首先仰賴技術源頭端的資訊供給，開發與維運團隊透過文件、影片等各種資訊形式，標榜功能、特色的突破與改善之餘，能否在保護企業營業機密的條件之下，揭露運作原理、建置架構、上線之後營運的成功與失敗經驗。因為有了這些情報的佐證，能夠更大程度地幫助眾人認知此項產品或技術的發展狀態，想要鞏固市場信心，這些內容的公開很重要，例如，Meta對於生成式AI模型的發展，就做出很好的示範。</p> <p>另一個關鍵是閱聽眾須培養主動求知的習慣，隨著知識與教育的普及，資訊科技並非高不可攀，想要具備了解這方面進展的能力，目前有許多管道可以幫忙養成，但如果大家空有好奇心卻不願積極、主動接觸，終究流於人云亦云、隨波逐流，而無法真正認清技術發展的態勢，相當可惜。</p> <p><a href="https://www.ithome.com.tw/article/164512" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 24px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1195-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=f1FPt-N1" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/meta">Meta</a></div><div class="field-item odd"><a href="/tags/llama-31">Llama 3.1</a></div><div class="field-item even"><a href="/tags/%E6%8A%80%E8%A1%93%E6%96%87%E4%BB%B6">技術文件</a></div></div></div>
2024/8/16 09:08作者李宗翰https://www.ithome.com.tw/voice/164513
Google鄰近檔案傳輸工具Quick Share存在漏洞，影響Windows、安卓裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果想要透過藍牙、Wi-Fi、WebRTC、NFC等通訊協定進行無線檔案傳輸，最多人知道的做法應該是運用蘋果的AirDrop，但近年來Google也與三星合作推出Quick Share，並打算與電腦製造商結盟、預載相關應用程式，以便安卓裝置與Windows電腦用戶互相傳送檔案，但有研究人員發現，Quick Share存在一系列漏洞，駭客有機會串連發動攻擊。</p> <p>上週資安業者SafeBreach針對這套工具揭露10個漏洞，<a href="http://www.safebreach.com/blog/rce-attack-chain-on-quick-share">通稱為QuickShell</a>，其中有9個影響Windows裝置，1個影響安卓裝置，研究人員指出，這批漏洞可形成非典型的遠端執行程式碼（RCE）攻擊鏈，從而讓攻擊者在Windows電腦執行程式碼。</p> <p>對此，Google在今年1月接獲研究人員通報後，發布1.0.1724.0版Quick Share予以修補，並將這批漏洞登記為CVE-2024-38271、CVE-2024-38272列管，CVSS風險評分為5.9、7.1。研究人員也在<a href="https://defcon.org/html/defcon-32/dc-32-speakers.html#54485">資安會議DEF CON 32展示相關研究成果</a>。</p> <p>Quick Share是能夠在安卓、Chromebook、Windows電腦之間進行點對點傳輸應用程式，裝置之間，會透過藍牙、Wi-Fi、WebRTC、NFC等通訊協定傳輸檔案。</p> <p>Google原本將這項應用程式命名為Nearby Share，並在去年7月推出Windows版應用程式。到了今年1月的CES 2024電腦展，<a href="https://blog.google/products/android/ces-2024-android-updates/#:~:text=A%20new%20way,devices%20next%20month">Google宣布與三星合作</a>，將兩家廠商的解決方案整併為Quick Share，並打算與電腦製造商合作，在Windows電腦預載這項檔案傳輸工具。</p> <p>對此，研究人員指出，由於Quick Share支援多種通訊協定，在設備之間傳送檔案的過程可能會相當複雜，而且這是Google首度嘗試開發原生的Windows版應用程式，再加上未來很有可能有許多新電腦會預載這項工具，若是存在弱點，將會成為吸引駭客的攻擊標的。</p> <p>結果，他們一共找到10個漏洞，其中在Windows版Quick Share裡，有6個阻斷服務（DoS）弱點，1個路徑穿越漏洞、1個強制Wi-Fi連線的漏洞，其餘兩個是Windows、安卓版應用程式的檔案寫入錯誤弱點。</p> <p>攻擊者可在未經授權的情況下，藉由QuickShell將檔案遠端寫入裝置，導致Windows版應用程式當機，並將流量重新導向攻擊者控制的Wi-Fi熱點，然後存取特定使用者資料夾的內容。</p> <p>研究人員也在GitHub提供漏洞驗證工具，以便其他人能夠進一步研究這類檔案傳輸機制的弱點。</p> </div></div></div>
2024/8/15 13:20作者周峻佑https://www.ithome.com.tw/news/164493
自iOS 18.1起，蘋果將開放第三方行動支付使用NFC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於上個月向歐盟<a href="https://www.ithome.com.tw/news/163910" target="_blank">承諾</a>，要開放第三方開發者存取iPhone上NFC功能之後，蘋果本周三（8/14）<a href="https://www.apple.com/newsroom/2024/08/developers-can-soon-offer-in-app-nfc-transactions-using-the-secure-element/" target="_blank">宣布</a>，自iOS 18.1起，將提供新的NFC與 Secure Element（SE）API予開發者，讓它們能夠在自己的程式中提供非接觸式的NFC交易。</p> <p>上個月的承諾僅針對歐盟市場的開發者，此次的宣布則支援美國、英國、澳洲、紐西蘭、加拿大、巴西及日本的開發者，並計畫擴張至其它市場。</p> <p>蘋果說明，NFC及SE這兩個API利用產業標準所認證的Secure Element晶片，以安全地於裝置內儲存敏感資訊，蘋果已投入大量資源來設計一個得以保護使用者安全及隱私的解決方案，此一方案整合了蘋果的軟體與硬體技術，包括安全區（Secure Enclave）、生物身分驗證及蘋果伺服器等。</p> <p>在開放第三方程式使用NFC與SE API之後，使用者要執行非接觸式交易時，可以直接打開程式，也能將該程式列為預設交易程式，再按兩下iPhone的側邊按鍵來發起交易。</p> <p>過去蘋果以安全為由，將NFC交易功能侷限在自家的Apple Pay與Wallet上，此一宣布可望大幅推動iPhone上的第三方NFC應用，除了可用來執行NFC行動支付之外，還能以程式來充當汽車鑰匙、封閉公共交通系統的車票、企業通行證、家中鑰匙、酒店鑰匙、學生證、會員卡、活動門票，未來還可支援各國政府所發放的身分證。其最低硬體規格為iPhone XS。</p> <p>不過，開發者必須先提出申請才能使用NFC API與SE API，也必須支付相關費用。惟目前蘋果並未公布計價方式。</p> </div></div></div>
2024/8/15 14:25作者陳曉莉https://www.ithome.com.tw/news/164494
SolarWinds修補服務臺系統重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月13日SolarWinds發布資安公告，旗下<a href="https://support.solarwinds.com/SuccessCenter/s/article/WHD-12-8-3-Hotfix-1">IT服務臺系統Web Help Desk（WHD）存在重大層級漏洞CVE-2024-28986</a>，此為Java反序列化弱點，攻擊者有機會遠端執行任意程式碼，CVSS風險評分為9.8，影響所有版本的WHD，對此，該公司發布12.8.3 Hotfix 1更新軟體修補。</p> <p>通報這項漏洞的研究人員指出，這項漏洞攻擊者可在未經身分驗證的情況下利用，不過，SolarWinds表示只能在通過身分驗證的狀態下重現漏洞。但為求謹慎，他們還是呼籲所有IT人員儘速套用相關更新。</p> <p>值得留意的是，這項漏洞影響12.4至12.8版的WHD，但SolarWinds只針對12.8.3版提供更新軟體，若是舊版軟體用戶，必須先將主程式升級至12.8.3版，再下載該公司打包成ZIP檔的更新檔Hotfix 1，並解壓縮及套用檔案，過程中必須停止服務臺運作才能進行。</p> </div></div></div>
2024/8/15 14:34作者周峻佑https://www.ithome.com.tw/news/164495
MIT公布AI風險儲存庫，供研究開發用途
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI風險已成為公眾關注議題，麻省理工學院（MIT）等學者集結了一個AI風險儲存庫（<a href="https://cdn.prod.website-files.com/669550d38372f33552d2516e/66bc918b580467717e194940_The%20AI%20Risk%20Repository_13_8_2024.pdf" target="_blank">AI Risk Repository</a>），供企業與政策、研究單位決策或評估系統之用。</p> <p>這個AI風險儲存庫旨在以共通而完整的框架，協助用戶辨識、了解和緩解AI相關風險和漏洞，克服知識碎裂化造成資訊互通困難及決策速度耽擱。</p> <p>本儲存庫的作者來自MIT FutureTech、MIT電機與AI實驗室、澳洲昆士蘭大學、荷蘭魯汶大學等研究機構。</p> <p>這個儲存庫主要分成三部分。一是AI風險資料庫，提供由現有43個框架汲取出的777多種風險。二是AI風險原因分類，分成三種，包括實體（人）、意圖（有意、無意）及時間點（部署前、部署後）。三是AI風險領域分類，將風險分成7種領域（如「假訊息、歧視/毒性、安全/隱私、惡意行為者/誤用、社經/環境風險、人機互動、AI系統安全」）及23種次領域（如「虛假或誤導資訊」。）</p> <p>AI風險儲存庫提供AI風險概要、會定期更新最新風險和研究資訊來源，並給立法人士、主管機關、企業、開發人員、研究、稽核者等角色的共通參考架構。對AI團隊而言，本儲存庫可提升風險管理能力，以充份資訊協助更有效辨識和緩解可能的風險，以確保安全AI系統的開發。立法議員則可用這儲存庫從事更有效的立法。這資源也有於培育AI風險專業人才。</p> <p>但學者們也指出，這個儲存庫還是有些不足，像是涵蓋面有漏失，未能完全包括新興風險，檢視過程不免有人為偏見，分類系統也可能過度簡化問題複雜性。最重要的是儲存庫目前還無法提供風險影響及可能性百分比的資訊，而減損了實用性。不過即使有這些問題，仍不致減損它對推動負責任AI部署的貢獻。</p> <p>用戶可以自由<a href="https://airisk.mit.edu/#Repository-Overview" target="_blank">下載</a>這個儲存庫，MIT專家也歡迎<a href="https://docs.google.com/forms/u/2/d/1tDd-0Olru5dYHY9bjs3oHj9cg3-QRJqf6lMHn4lEVRc/edit" target="_blank">提供</a>回饋意見或補充。</p> <p>AI服務業者Gradient Flow則<a href="https://gradientflow.com/mit-ai-risk-repository/" target="_blank">建議</a>，為發揮AI風險儲存庫的功能，最好能將之提供的知識和洞見整合到AI開發流程和組織架構中。例如企業組織根據本資料庫建立事件回應策略，像是清楚的事件定義、多向度監控及預先定義的事件控制方法，作為有效的事件管理、減低對營運和商譽的衝擊。或是建立統一的平臺，減少碎裂化的AI生態系統，確保AI系統在合法、合乎倫理及效能要求下運行。</p> <p>本AI儲存庫也反映全球因應AI安全風險及威脅的嘗試。歐盟制定全球第一部AI法案，也在8月初<a href="https://www.ithome.com.tw/news/164292" target="_blank">生效</a>。</p> <p class="rtecenter"> </p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/fCj-wJz6VCY?si=8h-SZiZflq1mJyPF" title="YouTube video player" width="560px"></iframe></div> </div></div></div>
2024/8/15 14:38作者林妍溱https://www.ithome.com.tw/news/164496
臺灣數位信任協會成立，專注詐騙防治與數位安全議題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月14日臺灣數位信任協會（Digital Trust Association in Taiwan）<a href="https://www.cna.com.tw/news/afe/202408140219.aspx">正式成立</a>，由前國家通訊傳播委員會（NCC）主委、數位經濟暨產業發展協會副理事長詹婷怡擔任首屆理事長。數發部長黃彥男、<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">走著瞧</span>（<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Gogolook</span>）、<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">奧義智慧</span>（<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">CyCraft</span>）、安永顧問、資策會資安所、鏈科（Xrex）等產業代表皆到場參與。</p> <p>詹婷怡表示，臺灣數位信任協會未來有4大工作任務，包含政策倡議、產業交流、教育宣導，以及國際交流。該協會將設立7個工作小組，專門從事資料完整性、數位信任評鑑、詐騙研究、教育宣導、AI科技防詐、資安科技、區塊鏈安全相關工作。</p> <p>上述工作小組將同步推進協會理念及落實任務，與國內在資安防護及詐騙防治領域的夥伴攜手合作，共同研究與推動工作項目，並透過國內外交流活動，促進不同地區間的合作與交流。</p> </div></div></div>
2024/8/15 15:14作者周峻佑https://www.ithome.com.tw/news/164499
數位部：年底完成47個資安A級機關加入T-Road，還將擴大到地方政府
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為改善政府機關間的傳輸資料，數位發展部輔導政府機關導入T-Road，作為跨機關的資料安全傳輸機制，並先以跨機關資料傳輸需求的資安A級機關導入為目標。本周數位部指出，目前已有超過40個資安A級機關加入T-Road，預期今年底47個資安A級機關將會全部導入。</p> <p>政府機關進行跨機關資料傳輸，過去主要分為兩種，一種是資料需求機關與資料提供機關之間，透過Internet以加密的方式傳輸資料，第二種是，如果機關需要取得7大資料庫（戶役政、財稅、工商、地政等），透過舊有的GSP政府服務平臺向7大資料庫取得資料。</p> <p>由於GSP傳輸架構上可能因為單點失效，導致GSP大當機的風險，先前由國發會規畫機關之間的資料傳輸安控標準，通過GSN VPN進行機關與機關之間，點對點的資料傳輸，可避免單點失效的風險，數位部成立後，接手T-Road業務，由數位部輔導推動機關導入T-Road，並負責管理T-Road平臺，機關與機關之間透過T-Road傳輸資料，T-Road不會留存資料，僅保留傳輸紀錄作為備查。</p> <p>數位部指出，自2023年輔導擁有重要資料及全國性個人資料的資安A級機關導入T-Road，利用GSN政府骨幹網路及加密技術，傳輸資料全程以機關憑證加密，不留存傳輸資料，僅保留傳輸紀錄，確保機關之間資料傳輸的安全性及不可否認性，目前已有財政部、勞動部、衛福部等超過40個資安A級機關完成導入T-Road，提供超過150項資料介接，每月T-Road上的傳輸資料平均超過180萬筆。</p> <p>T-Road建立跨機關資料的安全傳輸，已有應用案例，數位部以司法院推動國民法官為例，為審查國民法官的適任人選，需要取得年齡、職業、身分、戶籍居住地等資料，這些資料散布其他機關，司法院通過T-Road向其他機關取得資料，加速國民法官適任人選的資格審查。</p> <p>不只政府機關之間G2G的資料傳輸，一部分民眾向機關申請服務，民眾申請資料的查驗也能透過T-Road完成。當民眾臨櫃或線上方式向特定機關申請服務，該機關可依民眾申請資料，利用T-Road向相關的機關查驗申請資料的真實性，例如身障者向地方政府申請身障者專用停車位識別證，地方政府可透過T-Road向衛福部社家署查詢申請車牌車主是否為身障者。</p> <p>或是，當民眾申請健保費調整，健保署需要查核申請人的勞保相關資料，可透過T-Road向勞保局查詢，包括國民年金、勞保給付明細、提繳單位應繳勞退金等資料。</p> <p>T-Road雖然先以中央政府機關導入為目標，推動中央機關之間運用T-Road傳輸資料，未來也計畫擴大至非A級資安機關、地方政府，目前臺南市政府已先導入，數位部正和其他地方政府洽談導入。</p> </div></div></div>
2024/8/15 15:38作者蘇文彬https://www.ithome.com.tw/news/164497
【統一管理200間實驗室，1萬張紙本表單數位化】臺大醫院如何用IT管理實驗場所
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>盡管各大醫院近90%臨床工作早已無紙化，仍有些關鍵領域急需數位轉型，實驗室管理就是其一。</p> <p>尤其，臺大醫院旗下擁有200多間的檢驗單位和實驗室，這些場所免不了存放高風險物品、可能引起毒化災，管理起來非常複雜。如何用IT控管這些場所和多樣物品，一直是臺大醫院思考的重要課題。</p> <p>8年前，臺大醫院3位跨部門管理者聯手2位工程師，發起一項專案，從無到有打造出iLab實驗場所管理系統。現在，這套系統不只能數位化管理分散四處的上百間實驗室、動態追蹤數以萬計的危害品狀態與存放場所，還串聯起12大簽核流程，將原本紙本20天才能簽核的流程，縮短為最快2天就能完成，至今省下了1萬多張紙本表單。他們如何做到？</p> <p><span style="font-size:28px;"><strong>初衷是解決紙本管理痛點，還要強化災害應變</strong></span></p> <p>該專案核心成員、臺大醫院安全衛生室高級管理師魏玉雲指出，發起這項專案的起心動念，是要解決紙本管理的痛點。因為，臺大醫院旗下200多間實驗室，長久以來仰賴各自紙本記錄，包括實驗狀況、危害物品存量、風險評估、安全稽核和研究申請等內容，缺乏一套整合各實驗室資訊、統一管理的系統，很難一眼掌握所有實驗場所動態。</p> <p>尤其，實驗室危險設備和危害品非常多樣，存量和使用狀況過去多記錄在紙本，由各自的管理單位或特定主管來控管，資訊不易共享，難以因應突發狀況。</p> <p>「就像403大地震，造成東部一所大學實驗室電線走火、引發化學物質燃燒，若只靠紙本記錄，就很難即時應變。」魏玉雲點出，意外或災害來襲，單靠紙本作業，很難追蹤實驗室損害、盤點物品存量，要快速應變災害也更難了。</p> <p>紙本管理問題不只如此，還拖慢了實驗室申請時間。另一位專案核心成員、臺大醫院核子醫學部醫事放射師呂惠敏舉例，每間實驗室依其特性和所具備的物品與設施，可分為生物性、化學性和輻射性等3類實驗操作危害類別，每一類都有對應的法定規範和操作限制，比如生物性得遵照疾管署的實驗規範、輻射性則要遵從原能會的規範，任何一位研究人員申請使用實驗室時，得依類別向醫院部門申請，該部門審查後才能使用。</p> <p>過去，這個流程全靠紙本申請、傳遞，不只等待時間漫長，文件的來龍去脈也不易追蹤。而且，有些實驗室兼具多類危害特性，比如生物性、化學性、輻射性，申請者得根據這些類別，分別向不同單位遞出申請文件，儘管有些規定重疊，申請人還是得重複執行，造成了不少重工。而醫院每個月，也會依這些分類對實驗室進行定期巡檢，一間實驗室若具有3類特性，每個月就得接受3次巡檢，就算檢查內容重疊，還是要重複準備。這是紙本作業的另一痛點。</p> <p><span style="font-size:28px;"><strong>5人組隊開發，訂定9項關鍵系統要素</strong></span></p> <p>正因為這些困擾，2016年，魏玉雲、呂惠敏和臺大醫院檢驗醫學部組長李岱芬等3位業務承辦人，聯手發起系統開發專案、向醫院層級委員會提案。他們想藉助IT，來實現便利且即時的實驗室管理，特別是安全稽核、災害預防與因應。這個提案後來獲委員會大力支持，資訊室也立即撥出1名IT工程師和1位UI/UX設計師，來展開這項專案。</p> <p>他們每周開會討論，定出3大系統策略目標，包括提高制度管理成效、強化實驗場所風險管制，以及加強災害預防整備，並根據這些目標，一一訂出系統功能要素。</p> <p>比如，在第一個目標下，他們期望，系統要具備E化管理措施、降低實驗場所危害風險、改善研究審查效能等3個功能；在強化風險管制的目標中，系統則要備有實驗場所的空間分布圖資、危害物流布和危險設備資料，還要有針對危害操作的審查與現場稽查等功能。在最後一個目標中，系統要具備防災整備資訊，設計場域危害圖示與警示應用，以及研究人員管理和教育訓練等功能。</p> <p>在這3大目標和9項系統功能要素的框架下，他們用2年時間，開發出第一版iLab實驗場所管理系統。</p> <p><span style="font-size:28px;"><strong>用IT串起實驗場所6大環節</strong></span></p> <p>「它串起人、機、料、法、環、研六大環節！」魏玉雲用一句話點出iLab的特色。</p> <p>就「人」來說，系統納入實驗室負責人和使用者，比如計畫主持人和研究助理，並根據這些人的身份，提供相對應功能，像是研究助理只能操作特定申請。這個設計，解決了人員流動、教育訓練和紙本追蹤不易的痛點。</p> <p>再來，「機」是指法定每年定期檢查的實驗室硬體設備，比如用於消毒的高壓滅菌鍋、離心機、排氣裝置，或是危害性較高的設備。</p> <p>這些儀器納入系統管理，管理者平時就能追蹤實驗場所各類設備狀態，像是是否定期保養等。</p> <p>「料」則是指生物性、化學性、輻射性等實驗室材料，系統結合了各自對應的「法」，也就是法規規範，來適時提醒使用者。比如告知使用者，在購入某些化學品前，得先經過申請才行。</p> <p>團隊更格外重視對「法」的考量，尤其在安全警示設計上。比如，針對危害性化學品，系統會先篩選法定的化學品危害分類（如CNS15030），再自動計算各實驗場所的運作量、設定院內自訂的管制限量，要是實驗場所超出限量，就會以紅字警示，來確保實驗室安全。這個看似簡單的提醒，卻是過去紙本作業無法提供的。</p> <p>還有一個類似做法是，系統自動判讀政府法規，如勞動部的化學品評估及分級管理措施規定、化學品分級管理運用手冊等，來抓取相關內容、提供安全操作建議，供使用者下載參考。</p> <p><span style="font-size:28px;"><strong>系統2大亮點：熱點編輯與稽核行動化</strong></span></p> <p>接下來是「環」，團隊設計了一個很特別的功能，是其他同類型系統少見的一大亮點。</p> <p>那就是實驗室內部地圖的熱點編輯，「這個功能是IT的巧思！」魏玉雲說明，實驗室管理人可上傳場所平面圖，比如檢驗醫學部細菌室的平面圖，再拖拉危害品圖標（包括化學性、生物性和輻射性）到所在位置，還能隨時調整。這個自助式的編輯功能，不只能精確定位了危害品位置，還能在使用者點擊物品時，帶出物品的基本資料，如運作人員、存量、使用狀態，甚至是符合效期的安全資料表。</p> <p>「這個資料表很重要！」因為它記錄了危害品基本資料、急救措施和滅火措施，「是發生事故時的重要參考。」魏玉雲繼續說，比起過往只能翻閱紙本，這個功能更能因應緊急狀況和災防應變。舉例來說，要是實驗室發生酸性酒精潑灑意外，使用者可從系統配置圖中，快速找到酸性酒精所在位置，查看安全資料表，來採取正確的急救和滅火措施。</p> <p>至於「研」，是指研究申請，將過往紙本申請流程數位化。比如要申請研究計畫，管理者可在系統中，查看審查委員的特色，來指定分案、加速審核。同時，系統會層層列出申請所需的簽核關卡，方便申請人追蹤簽核狀態，解決了紙本申請文件來去不明的困擾。</p> <p>除了這些，這套系統另一大亮點，就是其他同類型系統少見的內部安全稽核自動化和行動化設計。首先，系統有一套自住安全檢查表單，實驗室管理者可根據表單，自行設定自檢項目、指定適用場所。這時，系統會自動發送Email，來提醒各場所進行定期檢查，並自動統計、彙整各實驗場所的執行狀況，來供管理者檢視。系統還設計，安全檢查項目可按實驗室類型調整選用，避免了紙本作業的重工問題。</p> <p>響應式網頁設計（RWD）也是特色之一，可在手機、平板、電腦等不同裝置上良好地呈現畫面，也支援拍照、錄影等功能。進行安全稽核時，稽核委員可以手拿平板，打開iLab系統，一邊巡檢、一邊在裝置上稽核實驗室預先填寫的自檢項目。要是實驗場所缺失，委員可以現場拍攝、直接上傳，回報到系統中留下紀錄。這個回報，還會觸發系統自動發送Email，來提醒實驗場所負責人改善和回覆。負責人能透過系統回覆改善內容，要是不配合，實驗場所功能會自動停用。這些就是安全稽核管理自動化和行動化的特點。</p> <p><span style="font-size:28px;"><strong>設計原則1：資料結構化</strong></span></p> <p>從零開始打造這套實驗室管理系統，雖然不用面對新舊系統介接的麻煩，但專案核心成員、參與系統開發的臺大醫院資訊室工程師余承泰點出，資料結構化才是開發這套系統的關鍵挑戰，要將紙本資料表單化，才能達到自動化、有效管理和搜尋，尤其是有效提供各種搜尋條件，來從大量資料中，篩出最正確的答案。</p> <p>舉例來說，光是危害性化學品查詢這一項，臺大醫院實驗場所就有高達7,000筆登錄的化學品運作資料要處理。因此，要打造一個危害性化學品查詢功能，得先彙整200多間實驗場所的化學品清單，不只要定義各種化學品的用量和庫存量，還要有物質組成成分、危害分類等多個更細緻的關鍵類別，才有利於漏斗式和複選式的搜尋功能設計，好從龐大的資料量中篩選出答案。</p> <p>資料沒有結構化、沒有一套好的分類，就會侷限使用者的搜尋方法，只能輸入明確的關鍵字，如Ethanol或乙醇，才能找到所需的化學品。</p> <p>把握這個原則，他們打造出的危害性化學品搜尋頁面中，就提供了依法分類的27類危害性化學品，如爆炸物、易燃氣體、自反應物質等，來讓使用者點選，先進行第一波條件篩選，再進行不同目的的搜尋。</p> <p>另一個例子是，他們根據結構化表單，設計一款搜尋功能，能以「易燃屬性」來找出含易燃物質的實驗場所，且搜尋後能自動加總各類易燃性化學品的儲存總量，並自動標註儲存量達到醫院管制的場所。這是因為，超過管制量的實驗場所，必須要有預防火災危害的安全措施，有了這個提醒，醫院可評估實驗場所安全性。再來，當職安或緊急狀況發生時，查詢者可清楚知道，實驗場所內有哪些易燃物質和運作量。</p> <p>團隊建置系統的初衷，是要實現實驗場所安全管理和災害應變。因此在設計資料結構化時，就先將所有可以變成工具的資料完整分類，病原體及生物毒素的搜尋篩選也是一例，依結構化表單提供多條件共同篩選，像是「病原體類型」、「BSL等級」、「保存使用」等，來助使用者找出最準確的答案。這些細緻的搜尋體驗，都是資料結構化帶來的好處。</p> <p><strong style="font-size: 28px;">設計原則2：擴充性</strong></p> <p>另一方面，IT在設計系統時，對擴充性和便利性也下了不少功夫。</p> <p>比如盡可能替使用者多想一步，將系統能處理的事件，盡量納入流程中，降低人工介入。以人員清單建置為例，串接了醫院既有的人事系統，將人事資料、組織架構和人員差勤等資料介接到iLab實驗場所管理系統中。</p> <p>這麼做，管理員就不必手動輸入大量資料，不需定期更新。尤其，醫院實驗場所許多研究人員去留頻繁，串接既有資料，就不必煩惱刪除問題，還能保持資料的整潔。團隊點出，避免雜亂資料長期累積、導致系統變慢等問題，有利於未來系統的發展。</p> <p>另一個例子是，IT將系統的人員教育訓練稽核部分，串接醫院既有的臺大醫院教育訓練管理系統（TMS），人員只要在TMS上觀看上課影片，或實體上課、透過NFC打卡，資料就會同步到實驗場所管理系統的人員教育訓練稽核中。如此一來，使用者就不必手動填寫修課資料，管理員也能同時查詢修課狀態，還能依每年需求，在系統設定人員今年的修課清單。這看似簡單的設計，卻替使用者省下了繁瑣作業的麻煩。</p> <p>還有一個例子是，為快速找到分散在醫院院區各處的實驗場所，IT介接了醫院總務系統，來取得院區、棟別等地理資料，來讓巡檢員或不熟悉建築構造的使用者，輕鬆找到實驗室確切位置。同時，為因應突發狀況，IT也介接GIS圖資，要讓救難人員快速理解空間構造和精準位置，降低救災難度。</p> <p><span style="font-size:28px;"><strong>打造好系統的兩大加分項</strong></span></p> <p>這套系統自2019年上線後，團隊並未停步，還持續優化著，將單一平臺串聯更多設備和事件資料、更具正確性和即時性，不只成為院內使用者的愛用工具，也有不少外部大型機構都來詢問。</p> <p>之所以廣受好評，團隊認為有2個加分項。首先，在專案啟動的第一天，UI/UX工程師就加入設計了。全程追蹤專案開發的臺大醫院資訊室主任陳權忠舉例，光是各欄位的字體大小統一、色調與操作介面的搭配，還有主要與次要資訊的編排、收整方式，就對使用者閱讀有很大的幫助，「能不受干擾、更快抓住重點。」</p> <p>而專案核心成員最津津樂道的RWD跨裝置設計和實驗場所地圖熱點編輯功能，也是UI/UX工程師郭婕的巧思。她分享，在開發熱點編輯功能時，考量實驗場所眾多、實驗物品多樣且變化頻繁，若都交由IT更新，就無法即時呈現最新狀態。因此，她與團隊討論，決定以自助式方式，讓場所管理者上傳圖資、自行拖拉圖標，來標識3種危害品，且點擊該物品，能自動帶出關鍵訊息，讓操作更直覺流暢。</p> <p>「我們嘗試讓UI/UI工程師在建置初期就介入，這套系統的整體使用者體驗非常好。」陳權忠表示，這個做法對一般商用軟體界來說很常見，但對醫學中心而言，還很稀罕。他期望，這次系統開發的成功經驗，能擴大到醫院其他IT專案上，讓系統具備功能性的同時，能兼顧操作友善性。</p> <p>另一個加分項，則是李岱芬點出的關鍵：「因為我們感情很好。」她形容，IT與核心成員隨著專案前進，培養出默契，就像好朋友一樣，會替彼此多想一步。比如，IT在開發過程中，盡可能替使用者減少需人工介入的任務、整合數位流程，也願意耐心、以使用者懂得的語言來溝通。而核心成員則替IT擋下所有使用者林林總總的回饋或抱怨，「我們會保護我們的工程師，」李岱芬指出，他們擋下各種回饋，並非不將訊息傳遞給工程師，而是經過內部討論、消化精煉後，才將必要資訊轉告給IT，來更精準地優化系統。</p> <p>就是這個互相替對方多想一步的舉動，讓成品人人買單。</p> <p><span style="font-size:28px;"><strong>下一步要納入RFID、BI和生成式AI問答</strong></span></p> <p>正因為這樣的默契，如何讓系統更完善，成為他們家常的對話內容。「目前有幾個擴充目標，」魏玉雲指出，首先是將RFID這類電子標籤工具，運用於化學物質、管制性病原和同位素等品項，作為實驗場所遠端監控、環控的資料，納入系統。如此一來，管理者就能更細緻地追蹤物品。</p> <p>再來，他們也思考導入BI工具，透過分析儀表板來呈現實驗場所綜合概況。尤其，系統上線至今6年，累積不少實作數據，透過BI可讓管理者、營運高層了解所有實驗場所的基本狀態，可以用來打造特定危害品的儀表板，比如呈現化學性危害品的總量、使用變化等，來掌握實驗場所整體趨勢。</p> <p>另一方面，看好生成式AI應用的發展，陳權忠點出，結合實驗場所相關資料庫，可採用RAG方式，來打造LLM驅動的問答Chatbot，來讓使用者詢問法規、實驗規範等問題，快速取得所需資訊。這3大方向，正是臺大醫院實驗場所管理系統要實現的下一步。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1195-%E5%B0%88%E9%A1%8C-%E8%8B%A5%E6%A8%B8-%E8%87%BA%E5%A4%A7%E9%86%AB%E9%99%A2-600-1.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><span style="background-color:#696969;"> </span><strong><span style="background-color:#696969;">｜系統亮點1｜</span></strong></span><span style="color:#696969;"><strong> </strong></span><strong><span style="color:#696969;">有別於常見的同類型系統，臺大醫院自建的實驗場所管理系統有個自助式的實驗場所內部地圖熱點編輯功能，管理者上傳實驗場所圖資後，可自行拖拉化學性、生物性和輻射性等危害物圖標（即圖中橘紅色標示）至存放位置，點擊還能帶出該危害物的關鍵資訊。</span></strong><span style="color:#696969;"><span style="font-size:14px;">圖片來源／臺大醫院</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1195-%E5%B0%88%E9%A1%8C-%E8%8B%A5%E6%A8%B8-%E8%87%BA%E5%A4%A7%E9%86%AB%E9%99%A2-600-2.png" style="width: 416px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;">｜系統亮點2｜</span></strong></span> 臺<span style="color:#696969;"><strong>大醫院實驗場所管理系統還有安全稽核行動化的特點。這是因為，系統以RWD建置，可在手機、平板、電腦等裝置友善呈現，再搭配實驗室預先填寫的自行檢查表，稽核員可一邊巡視、一邊查看自檢選項。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／臺大醫院</span></p> <p><span style="font-size:28px;"><span style="color:#696969;"><strong>盤點臺大醫院實驗場所管理系統重要功能</strong></span></span></p> <p><span style="color:#696969;">為管理旗下200多間實驗場所，臺大醫院8年前發起專案，自建一套iLab實驗場所管理系統，用IT串起人、機、料、法、環、研六大環節。其重點功能和亮點可細分為以下幾點：</span></p> <p><span style="font-size:18px;"><span style="color:#0000FF;"><strong>人</strong></span></span><span style="color:#696969;">：系統納管實驗室負責人與使用者，包括計畫主持人、研究助理，依身份提供相對應功能，如研究助理只能操作特定申請。</span></p> <p><span style="font-size:22px;"><span style="color:#0000FF;"><strong>機</strong></span></span><span style="color:#696969;">：納管法定每年定檢的實驗室硬體設備，管理者平時就能追蹤實驗場所各類設備狀態，如是否定期保養等。</span></p> <p><span style="font-size:22px;"><span style="color:#0000FF;"><strong>料</strong></span></span><span style="color:#696969;">：納管生物性、化學性、輻射性等實驗場所材料</span></p> <p><span style="font-size:22px;"><span style="color:#0000FF;"><strong>法</strong></span></span><span style="color:#696969;">：將法規結合上述材料，來告知管理者和使用者的操作限制，如安全警示、採購法遵，還能根據使用者操作的品項，如危害性化學品，自動判讀政府法規、抓取相關內容，整理成操作建議給使用者。另一個例子是參照法規，提供生物性、化學性、輻射性危害物定期回報功能，如針對生物性危害品，使用者可在系統按季回報病原體及生物毒素資訊。</span></p> <p><span style="font-size:22px;"><span style="color:#0000FF;"><strong>環</strong></span></span><span style="color:#696969;">：實驗室內部地圖熱點編輯，管理人可上傳實驗室平面圖，再拖拉化學性、生物性和輻射性危害品圖標到物品所在位置，隨時都可調整。使用者點擊物品，會顯示物品的基本資料，如運作人員、存量、使用狀態，及符合效期的安全資料表，以利災害發生時快速應變。</span></p> <p><span style="font-size:22px;"><span style="color:#0000FF;"><strong>研</strong></span></span><span style="color:#696969;">：即研究申請，管理者可在系統中查看審查委員特色，來指定分案、加速審核。申請者則能在系統查看層層簽核關卡，追蹤簽核狀態。</span></p> <p><span style="font-size:22px;"><span style="color:#0000FF;"><strong>行動化</strong></span></span><span style="color:#696969;">：因系統以RWD方式建置，適用於手機、平板、電腦等裝置，實驗場所稽核員可一邊實地巡查，一邊在平板上檢核實驗室管理者預先填好的自檢表。要是有問題，也能現場拍照上傳，系統會自動通知管理者改善，並自動彙整各場所定檢狀況。</span></p> <p><span style="font-size:22px;"><span style="color:#0000FF;"><strong>擴充性</strong></span></span><span style="color:#696969;">：如「人員清單」串接醫院既有的人事系統，不需管理員手動輸入資料、頻繁更改。「人員教育訓練稽核」串接既有的臺大醫院教育訓練管理系統（TMS），同步記錄修課情形。另也介接醫院總務系統與GIS圖資，來呈現分散各處的實驗場所和構造。</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%8B%A5%E6%A8%B8-%E5%8D%B1%E5%AE%B3%E7%89%A9%E5%88%86%E9%A1%9E-%E5%9C%964-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E8%87%BA%E5%A4%A7%E9%86%AB%E9%99%A2(1).png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 結構化做法1 </span></strong></span><br /> <span style="color:#696969;"><strong>臺大醫院旗下200多間實驗場所，光是登錄的化學性危害品運作資料就有7,000多筆，因此要設計有效的化學危害品查詢功能，就得先做好各實驗室平時記錄的表單欄位，危害品分類就是其中一項。如此，才有利於漏斗式和複選式的搜尋功能設計，好從大量資料中篩出答案。</strong><span style="font-size:14px;">圖片來源／臺大醫院</span></span></p> <p class="rtecenter"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%8B%A5%E6%A8%B8-%E7%97%85%E5%8E%9F%E7%AF%A9%E9%81%B8-%E5%9C%965-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E8%87%BA%E5%A4%A7%E9%86%AB%E9%99%A2(2).png" style="width: 600px;" /></span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 結構化做法2 </span></strong></span><br /> <span style="color:#696969;"><strong>團隊建置系統的初衷，是要落實實驗場所安全管理和災害應變，因此在設計資料結構化時，就先將所有能變成工具的資料完整分類。病原體及生物毒素的搜尋篩選就是一例，根據結構化表單欄位，提供多條件篩選。</strong><span style="font-size:14px;">圖片來源／臺大醫院</span></span></p> </div></div></div>
2024/8/15 15:52作者王若樸https://www.ithome.com.tw/news/164490
臺灣資安戰隊11回參與DEF CON CTF資安搶旗賽，獲得第7名佳績
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週末舉行的資安大型會議DEF CON 32當中，臺灣派出資安戰隊「If this works we'll get fewer for next year」參加搶旗競賽DEF CON CTF，在全球1,742隊當中以第10名進入總決賽，<a href="https://www.edu.tw/News_Content.aspx?n=9E7AC85F1954DDA8&sms=169B8E91BB75571F&s=0903CE9C52AA77F5">最後從12支隊伍獲得第7名的成績</a>，打敗中國、韓國、俄羅斯、瑞士等國家的隊伍。回顧過去，這是臺灣第11年參與DEF CON CTF搶旗賽。</p> <p>本屆冠軍由傳統強隊美國卡內基美隆大學的PPP成員與韓國The Duck組成的Maple Mallard Magistrates隊奪得，亞軍是美國與新加坡聯隊Blue Water，季軍則為美國隊伍SuperDiceCode。</p> <p>對於這次比賽臺灣資安戰隊的成績，在攻防賽（Attack & Defense）的部分，攻擊面項目獲得1,204分、防禦面獲得465分；在回合制搶灘賽（King of the Hill，KotH）得到274分；在一對一的擂臺搶旗賽（Live CTF）的項目得到第3名，拿下1,000分；最終，以總分2,943分，名列第7。</p> </div></div></div>
2024/8/15 16:03作者周峻佑https://www.ithome.com.tw/news/164501
【資安日報】8月15日，全臺首個專門針對詐騙防治與數位安全議題的非政府組織「臺灣數位信任協會」正式成立
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著數位科技迅速發展，全球面臨的詐騙威脅和資安風險<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">不斷增加，臺灣無法置身事外，對此，各界專家組成、以推動數位信任環境建構為宗旨的台灣數位信任協會，於昨日（14日）正式成立。</span></p> <p>此協會由專業學者、反詐騙志工、意見領袖、跨領域業者自發性推動，以教育宣導、政策倡議、產業合作、國際交流等4大任務，建立數位信任發展的第一步。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164419"><strong style="font-size: 22px;">NPM大量垃圾套件氾濫，恐影響開源生態系安全性</strong></a></p> <p>資安公司Phylum研究人員發現，NPM（Node Package Manager）平臺面臨嚴重的垃圾套件氾濫問題，這些套件主要與名為Tea協定的去中心化專案有關，垃圾套件目的是操縱Tea協定來誇大開發者的貢獻，以賺取加密貨幣獎勵。</p> <p>從今年2月開始，NPM上發布的套件數量明顯增加，在4月8日達到高峰，一天甚至會有超過4.8萬個套件上傳。其中許多套件是以自動化工具生成，內容毫無實質價值，僅是為了利用Tea協定的獎勵系統賺取獎勵。這些垃圾套件的特徵，通常包含無意義的套件名稱，以及虛假的相依套件清單，並且包含名為tea.yaml的檔案，來標示專案所有者。</p> <p>這些垃圾套件增加的速度飛快，在2024年第二季，已經約有50萬個垃圾套件被上傳到NPM，占總套件發布量的21.25％到25.5％，如果僅計算新套件，垃圾套件的占比甚至高達68.66％到74.67％。研究人員指出，雖然目前尚未發現這些垃圾套件包含或是執行狹義的惡意行為，但是大量上傳垃圾套件本身就是一種惡意，且可能存在潛在的安全風險。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.fbi.gov/contact-us/field-offices/cleveland/news/international-investigation-leads-to-shutdown-of-ransomware-group"><strong style="font-size: 20px;">FBI查封勒索軟體Radar基礎設施</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.rapid7.com/blog/post/2024/08/12/ongoing-social-engineering-campaign-refreshes-payloads/">勒索軟體駭客組織Black Basta嘗試利用社交工程活動，企圖散布惡意程式載入工具SystemBC</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164488"><strong style="font-size: 22px;">研究人員揭露微軟Entra ID隱藏的身分驗證機制弱點UnOAuthorized，恐讓攻擊者取得全域管理員權限</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/screenshot_hidden-consent-figure16-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/screenshot_hidden-consent-figure16-1.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Semperis揭露微軟Entra ID的弱點UnOAuthorized，這些問題是因為對OAuth 2.0權限進行分析之後而得到，攻擊者可趁機在Entra ID執行超出權限的行為其中，研究人員最為關注的部分是在特權管理者群組新增或刪除使用者的能力，一旦攻擊者得逞，就有機會新增全域管理員，對此，他們向微軟進行通報並進行合作，確保相關弱點得到處理，並在上週於美國拉斯維加斯舉行的黑帽大會（Black Hat USA 2024）揭露相關細節。</p> <p>雖然在利用UnOAuthorized的過程中，攻擊者必須先取得Entra ID的應用程式管理員或雲端應用程式管理員的角色，而這些角色通常都具備特殊權限。但研究人員指出，許多企業並未意識到這類角色握有的高權限，而沒有妥善管理，使得攻擊者有機可乘。</p> <p>究竟是否有企業組織遭遇相關攻擊，目前尚不清楚，但研究人員認為，很有可能已有駭客藉此將權限提升為全域管理員，並在租戶環境持續存取。此外，他們也指出攻擊者有機會進行橫向移動，存取Microsoft 365或其他Azure系統，還有使用Entra ID串連的SaaS應用程式。</p> <p><a href="https://www.ithome.com.tw/news/164493"><strong style="font-size: 22px;">Google無線檔案傳輸工具Quick Share存在漏洞，影響Windows、安卓裝置</strong></a></p> <p>如果想要透過藍牙、Wi-Fi、WebRTC、NFC等通訊協定進行無線檔案傳輸，最多人知道的做法應該是運用蘋果的AirDrop，但近年來Google也與三星合作推出Quick Share，並打算與電腦製造商結盟、預載相關應用程式，以便安卓裝置與Windows電腦用戶互相傳送檔案，但有研究人員發現，Quick Share存在一系列漏洞，駭客有機會串連發動攻擊。</p> <p>上週資安業者SafeBreach針對這套工具揭露10個漏洞，通稱為QuickShell，其中有9個影響Windows裝置，1個影響安卓裝置，研究人員指出，這批漏洞可形成非典型的遠端執行程式碼（RCE）攻擊鏈，從而讓攻擊者在Windows電腦執行程式碼。</p> <p>對此，Google在今年1月接獲研究人員通報後，發布1.0.1724.0版Quick Share予以修補，並將這批漏洞登記為CVE-2024-38271、CVE-2024-38272列管，CVSS風險評分為5.9、7.1。研究人員也在資安會議DEF CON 32展示相關研究成果。</p> <p><a href="https://www.ithome.com.tw/news/164482"><strong style="font-size: 22px;">Ivanti應用程式交付系統存在身分驗證繞過漏洞，已有概念性驗證程式碼公開，用戶應儘速處理</strong></a></p> <p>8月12日Ivanti發布資安公告，指出旗下的應用程式交付系統Virtual Traffic Manager（vTM）存在重大層級的零時差漏洞CVE-2024-7593，一旦攻擊者成功利用漏洞，就有機會繞過身分驗證並建立新的管理員帳號，CVSS風險評分為9.8。</p> <p>值得留意的是，雖然該公司表示尚未察覺用戶遭到漏洞攻擊的跡象，但已有公開的概念性驗證（PoC）程式碼，他們呼籲用戶儘速採取緩解措施因應。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/github-repo-artifacts-leak-tokens/">CI/CD工作流程服務GitHub Actions恐曝露知名專案的GitHub憑證</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.helpnetsecurity.com/2024/08/09/cve-2024-42219-cve-2024-42218/">密碼管理器1Password存在缺陷，攻擊者有機會竊取用戶的密碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/ics-patch-tuesday-advisories-released-by-siemens-schneider-rockwell-aveva/">西門子、施耐德電機、Aveva、Rockwell Automation、CISA針對工業系統資安漏洞發布公告</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164499"><strong style="font-size: 22px;">臺灣數位信任協會成立，專注詐騙防治與數位安全議題</strong></a></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/DigiTrustAccInTW.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DigiTrustAccInTW.jpg" style="width: 300px; float: right;" /></a>8月14日臺灣數位信任協會（Digital Trust Association in Taiwan）正式成立，由前國家通訊傳播委員會（NCC）主委、數位經濟暨產業發展協會副理事長詹婷怡擔任首屆理事長。數發部長黃彥男、走著瞧（Gogolook）、奧義智慧（CyCraft）、安永顧問、資策會資安所、鏈科（Xrex）等產業代表皆到場參與。</span></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">詹婷怡表示，臺灣數位信任協會未來有4大工作任務，包含政策倡議、產業交流、教育宣導，以及國際交流。該協會將設立7個工作小組，專門從事資料完整性、數位信任評鑑、詐騙研究、教育宣導、AI科技防詐、資安科技、區塊鏈安全相關工作。</span></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">上述工作小組將同步推進協會理念及落實任務，與國內在資安防護及詐騙防治領域的夥伴攜手合作，共同研究與推動工作項目，並透過國內外交流活動，促進不同地區間的合作與交流。</span></p> <p><a href="https://www.ithome.com.tw/news/164501"><strong style="font-size: 22px;">臺灣資安戰隊11回參與DEF CON CTF資安搶旗賽，獲得第7名佳績</strong></a></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/1de7ffff-dcbb-4e86-8ede-09afb9c2ccea.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1de7ffff-dcbb-4e86-8ede-09afb9c2ccea.jpg" style="width: 300px; float: right;" /></a>上週末舉行的資安大型會議DEF CON 32當中，臺灣派出資安戰隊「If this works we'll get fewer for next year」參加搶旗競賽DEF CON CTF，在全球1,742隊當中以第10名進入總決賽，最後從12支隊伍獲得第7名的成績，打敗中國、韓國、俄羅斯、瑞士等國家的隊伍。回顧過去，這是臺灣第11年參與DEF CON CTF搶旗賽。</span></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">對於這次比賽臺灣資安戰隊的成績，在攻防賽（Attack & Defense）的部分，攻擊面項目獲得1,204分、防禦面獲得465分；在回合制搶灘賽（King of the Hill，KotH）得到274分；在一對一的擂臺搶旗賽（Live CTF）的項目得到第3名，拿下1,000分；最終，以總分2,943分，名列第7。</span></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164484"><strong>【8月14日】微軟發布8月例行更新，公布多達10個零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164452"><strong>【8月13日】韓國國防工業承包商傳出遭北韓駭客攻擊，軍事偵察機資料外流</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164421"><strong>【8月12日】研究人員揭露存在18年的瀏覽器漏洞，而且已有濫用漏洞行為，Linux及macOS電腦都可能中招</strong></a></p> </div></div></div>
2024/8/15 16:14作者周峻佑https://www.ithome.com.tw/news/164503
提供更多儲存容量選擇，WD再度推出採用ePMR技術的新硬碟
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wd_ultrastar_dc_hc555_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這個月初，WD在網站上悄悄公告他們新發表一款資料中心硬碟，名為Ultrastar DC HC555，提供5種儲存容量：12 TB、14 TB、16 TB、18 TB、20 TB，2種介面：6Gb SATA與12Gb SAS（12 TB僅支援SAS），以及2種安全性配置：SE（安全抹除資料）、SED（自我加密硬碟），總共有17個款式的選擇。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Utlrastar%20DC%20HC555%20Data%20Center%20HDD-New.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Utlrastar%20DC%20HC555%20Data%20Center%20HDD-release.jpg" style="width: 600px;" /></p> <p>相較於該公司既有的資料中心硬碟產品而言，Ultrastar DC HC555最大特色在於，採用<a href="https://blog.westerndigital.com/the-magnetic-attraction-of-epmr/">能源輔助垂直磁性記錄（Energy-assisted PMR，ePMR）</a>技術，號稱能在增加儲存容量的同時，降低總體持有成本（單位儲存成本與營運成本）。</p> <p>在此之前，2020年推出的<a href="https://www.ithome.com.tw/review/139028">Ultrastar DC HC650</a>、2022年推出的<a href="https://www.ithome.com.tw/review/148378">Ultrastar DC HC560</a>，也都導入ePMR，同樣結合<a href="https://www.ithome.com.tw/taxonomy/term/25565/all">能量輔助磁記錄技術（EAMR）</a>、三階式致動器／三軸式驅動臂（TSA）、氦氣封裝技術HelioSeal，分別提供疊瓦式磁錄（SMR）、傳統磁記錄（CMR）等兩種類型的硬碟，但它們的儲存容量也僅止於20 TB。</p> <p>新上市的Ultrastar DC HC555顯然提供更多儲存容量的選擇，而且，若仔細檢視三款ePMR產品的規格，我們也可看到Ultrastar DC HC555的資料持續傳輸率表現不俗，例如，其中的20 TB款式可達到285 MB/s，其餘款式為269 MB/s，優於Ultrastar DC HC650（250 MB/s），略低於Ultrastar DC HC560（291 MB/s）。</p> <p>除此之外，它們有多項規格都是相同的，例如，緩衝記憶體容量均為512 MB，轉速皆是7200 rpm，平均存取延遲都是4.16毫秒，工作負載為每年550 TB，可靠度為250萬小時MTBF，產品有限保固皆為5年。</p> <p>以耗電量而言，若以WD旗下同為20 TB容量的多款SATA介面CMR硬碟比較，既有的Ultrastar DC HC560運作狀態為6.9瓦或7.0瓦，閒置狀態為5.8瓦或6.1瓦，而新上場的Ultrastar DC HC555運作狀態為6.4瓦，閒置狀態為5.3瓦，省電程度略勝一籌。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WD 20TB HDD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%2020TB%20HDD.jpg" style="width: 600px;" /></a><br /> <span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>WD Ultrastar DC HC555</strong><br /> ●原廠：WD<br /> ●建議售價：廠商未提供<br /> ●外觀尺寸：3.5吋<br /> ●機械設計：氦氣封裝<br /> ●容量：12 TB、14 TB、16 TB、18 TB、20 TB<br /> ●傳輸規格：6Gb SATA、12Gb SAS<br /> ●支援磁碟格式：512e<br /> ●緩衝記憶體：512 MB<br /> ●轉速：7200轉<br /> ●最大持續傳輸率：285 MB/s<br /> ●工作負載耐用度：每年550 TB<br /> ●平均故障間隔時間（MTBF）：250萬小時<br /> ●運作耗電量：SAS介面款式8.8瓦或9.2瓦，SATA介面款式6.4瓦<br /> ●重量：679或690克<br /> ●產品保固：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/8/15 19:03作者李宗翰https://www.ithome.com.tw/review/164487
Azure Health聊天機器人服務SSRF漏洞可能洩露敏感資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://www.tenable.com/blog/compromising-microsofts-ai-healthcare-chatbot-service" target="_blank">發現</a>，微軟Azure Health平臺上的聊天機器人服務（Bot Service）的伺服器請求偽造（Server-side Request Forgery，SSRF）漏洞可能造成醫院用戶的敏感資料曝光。微軟已經修補了本項漏洞。</p> <p>Azure Health Bot Service為Azure Health上的開發平臺，讓醫療院所開發人員開發AI聊天機器人或助理，讓醫護人員執行工作、管理行政作業，或是和病患互動，藉此自動化流程。視設計和配置而定，這些聊天機器人一般能存取到大量敏感的病患資訊。</p> <p>資安廠商Tenable是在研究Azure Health Bot Service時，發現名為Data Connections可能的安全問題。這些資料連線允許機器人和外部資料服務互動以取得資訊，資料源可能是病患資訊的入口網站，或是儲存一般醫療資訊的參考資料庫。資料連線功能讓Bot Service後端可對第三方API發出呼叫。</p> <p>Tenable研究人員檢視是否可能由外部和Bot Service內部端點互動時，發現一些常見端點如Azure Internal Metadata Service（IMDS）雖然已被善加過濾無法從外存取，但是利用重定向回應（redirect response），如301/302狀態碼，則可繞過這些保護措施。研究人員設定外部主機，並將之配置能以Azure IMDS為目的地，發送301重定向呼叫。另一方面，研究人員又設法取得在management.azure.com的存取令牌，最後取得微軟內部儲存的客戶資源，進而取得Azure其他客戶租戶（tenant）所有的數萬個資源列表，也就是成功透過SSRF手法達成跨租戶資源存取。</p> <p>研究人員於是停止探索，並於今年6月17日向微軟通報該漏洞。微軟告知他們7月2日修補了所有Azure區域上的這項漏洞。</p> <p>研究人員事後發現，微軟方面所謂的修補，只是讓該服務拒絕資料連線端點發出的重定向狀態碼。但是研究團隊又發現另一個用於驗證FHIR（為一健康照護資源互通標準）端點資料連線的端點也存在SSRF攻擊的風險，只是本端點攻擊媒介無法影響呼叫標頭，無法直接存取Azure IMDS。雖然由此仍能存取其他服務內容，但微軟說這漏洞並非跨租戶存取漏洞。不過，微軟仍然於7月12日修補了第二項漏洞。</p> <p>研究人員相信這二項漏洞皆未遭到任何人士濫用。</p> </div></div></div>
2024/8/15 11:19作者林妍溱https://www.ithome.com.tw/news/164489
Windows 11 24H2將預設啟用BitLocker裝置加密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從24H2更新開始，全新安裝及重灌Windows 11的家用及個人電腦，將預設啟動BitLocker加密，只要你設定時登入微軟帳號。</p> <p>根據<a href="https://support.microsoft.com/en-us/windows/device-encryption-in-windows-cf7e2b6f-3e70-4882-9532-18633605b7df#articleFooterSupportBridge=discoverBridge" target="_blank">微軟網頁</a>，BitLocker裝置加密會自動對OS和固定磁碟加密，以確保個人資料安全，用戶又無需管理複雜的安全設定。對任何具備微軟帳號，或企業、學校帳號的全新安裝（clean install）或重新安裝（fresh install）的電腦，在首次登入或設定時，即會啟動裝置加密，並產生回復金鑰。</p> <p>裝置加密將適用於安裝Windows 11 24H2的Home、Pro版用戶，而以Windows Update升級的用戶不會自動啟動BitLocker加密。另外，使用本機帳號登入者也不會自動啟動加密。</p> <p>這消息已經流傳好一陣子。5月間德國媒體<a href="https://www.deskmodder.de/blog/2024/05/04/windows-11-24h2-bitlocker-verschluesselung-wird-automatisch-bei-der-neuinstallation-aktiviert/" target="_blank">Deskmodder</a>首先報導，微軟已在5月初<a href="https://www.windowslatest.com/2024/05/08/microsoft-confirms-windows-11-24h2-turns-on-device-encryption-by-default/" target="_blank">證實</a>此事。</p> <p>此事引發用戶反彈聲浪。原因之一是，一旦用戶遺失加密金鑰，則未來將再也無法存取自己的檔案。二來，如同Tom's Hardware<a href="https://www.tomshardware.com/software/windows/windows-11-24h2-will-enable-bitlocker-encryption-for-everyone-happens-on-both-clean-installs-and-reinstalls" target="_blank">報導</a>，BitLocker加密將明顯降低機器效能，根據媒體測試，啟動BitLocker的機器固態硬碟效能最高減速45%。而且由於在BitLocker加解密過程會牽涉CPU，系統效能也將受影響。</p> <p>所幸即使你的電腦是即將預設啟動的機器，也可以自行關閉BitLocker。Tom's Hardware提供二種方法。一是利用<a href="https://rufus.ie/en/" target="_blank">Rufus USB</a>服務製作開機ISO，可預先關閉24H2的硬碟加密。另一方法則是利用Windows安裝精靈；以Shift+F10指令開啟登錄檔（Registry），再將BitLocker的「PreventDeviceEncryption」值改成1即可。</p> </div></div></div>
2024/8/15 12:22作者林妍溱https://www.ithome.com.tw/news/164491
讀取效能可達310萬IOPS，Solidigm首款PCIe 5 SSD來了
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/solidigm_d7-ps1010-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在多家廠商陸續發表支援PCIe 5.0介面的資料中心固態硬碟之後，上週舉行的2024快閃記憶體高峰會期間，Solidigm終於推出採用這類規格的產品，分別是：D7-PS1010、D7-PS1030。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Solidigm D7-PS1010-1030-overview.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20D7-PS1010-1030-overview.png" style="width: 500px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Solidigm D7-PS1010-1030-spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20D7-PS1010-1030-spec.png" style="width: 600px;" /></a></p> <p>基本上，兩個款式的區分在於：D7-PS1010的每日寫入量為1，儲存容量提供1.92 TB、3.84 TB、7.68 TB、15.36 TB，總寫入量為3.5 PB、7 PB、14 PB、28 PB，提供兼顧效能與容量平衡的產品，可廣泛適用於多種主流應用。從效能來看，若以同樣提供3.84 TB容量的資料中心固態硬碟產品而言，三星PM1743、美光9550的這部分規格均為6,000 MB/s，Solidigm D7-PS1010的循序寫入（128KB）效能為8,200 MB/s，領先幅度為37％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Solidigm D7-PS1010-1030-comparison.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20D7-PS1010-1030-comparison.jpg" style="width: 600px;" /></a></p> <p>D7-PS1030的每日寫入量為3，儲存容量提供1.6 TB、3.2 TB、6.4 TB、12.8 TB，總寫入量為8.7 PB、17.5 PB、35 PB、70 PB。而由於這個款式的循序寫入效能最大可達80萬IOPS，相較於前一代產品D7-P5520和D7-P5620的這部份規格（最大為39萬IOPS），提升至兩倍之多，因此，Solidigm認為D7-PS1030特別適合寫入密集型應用，像是快取與檢查點（checkpointing）的資料保存機制。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Solidigm D7-Next-Gen Performance.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20D7-Next-Gen%20Performance.png" style="width: 600px;" /></a></p> <p>除了上述差異，D7-PS1010與D7-PS1030有許多共通點，例如，皆採用176層的3D NAND TLC快閃記憶體，都提供2.5吋U.2與E3.S外形的選擇，循序讀取效能最大均為14,500 MB/s（優於<a href="http://www.ithome.com.tw/review/163454">WD Ultrastar DC SN861</a>、<a href="http://www.ithome.com.tw/review/164160">美光9550</a>，低於<a href="http://www.ithome.com.tw/review/162973">Phison X200</a>）、循序寫入效能最大均為10,000 MB/s（同於<a href="http://www.ithome.com.tw/review/164160">美光9550</a>，優於<a href="http://www.ithome.com.tw/review/162973">Phison X200</a>、<a href="http://www.ithome.com.tw/review/163454">WD Ultrastar DC SN861</a>），隨機讀取效能度可達310萬IOPS（優於<a href="http://www.ithome.com.tw/review/162973">Phison X200</a>，低於<a href="http://www.ithome.com.tw/review/163454">WD Ultrastar DC SN861</a>、<a href="http://www.ithome.com.tw/review/164160">美光9550</a>）；D7-PS1010與D7-PS1030的讀取延遲為60微秒（同於<a href="http://www.ithome.com.tw/review/162973">Phison X200</a>、<a href="http://www.ithome.com.tw/review/164160">美光9550</a>，優於<a href="http://www.ithome.com.tw/review/163454">WD Ultrastar DC SN861</a>），寫入延遲為7微秒（優於<a href="http://www.ithome.com.tw/review/162973">Phison X200</a>、<a href="http://www.ithome.com.tw/review/163454">WD Ultrastar DC SN861</a>、<a href="http://www.ithome.com.tw/review/164160">美光9550</a>）。而且，D7-PS1010與D7-PS1030活動狀態的耗電量為19瓦或23瓦，閒置狀態的耗電量都是5瓦。</p> <p> </p> <p>相較於過去的新產品發表揭露通用的效能規格，Solidigm這次特別強調用於AI資料處理管線流程，不論是以前代產品D7-P5520與D7-P5620為基準，或是其他同級產品（同為7.68 TB容量的三星PM1743），D7-PS1010在特定管線流程進行的階段中，資料吞吐量均可高出50％。他們表示，新產品可部署在內部環境行為全快閃物件層，以GPU直連的方式供GPU伺服器接取，或是建置為全快閃儲存層，在NAS儲存系統支援存取效能相對較差的傳統硬碟。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Solidigm D7-PS1010-1030-AI Pipeline Workloads.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20D7-PS1010-1030-AI%20Pipeline%20Workloads.png" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Solidigm D7-PS1010</strong><br /> ●原廠：Solidigm<br /> ●建議售價：廠商未提供<br /> ●儲存容量：1.92 TB、3.84 TB、7.68 TB、15.36 TB<br /> ●外形：U.2、E3.S<br /> ●儲存媒體：3D NAND，TLC，176層<br /> ●最高讀寫速度：循序14,500 MB/s與10,000 MB/s，隨機310萬IOPS與40萬IOPS<br /> ●使用介面：PCIe 5.0 x4<br /> ●耐用度：每日寫入量為1<br /> ●可靠度：250萬小時MTBF</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/8/14 23:14作者李宗翰https://www.ithome.com.tw/review/164414
【資安日報】8月14日，微軟發布8月例行更新，公布多達10個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二（8月13日）是許多軟體業者發布8月例行更新的日子，其中最值得留意的是微軟，雖然他們這次僅公布90個漏洞，較<a href="https://www.ithome.com.tw/news/163856">7月143個</a>有明顯減少的趨勢，但值得留意的是，揭露的零時差漏洞多達10個，其中有6個已被用於實際攻擊行動，美國網路安全暨基礎設施安全局（CISA）也證實這些漏洞遭到利用的現象，要求聯邦機構限期完成修補。</p> <p>其餘4個零時差漏洞也不能掉以輕心，當中有2個是研究人員稍早在2024黑帽大會公布，可被串連用於Windows Downdate降級攻擊而受到矚目。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164463"><strong style="font-size: 22px;">14億筆騰訊用戶資料驚傳流入駭客論壇</strong></a></p> <p>資安媒體Hackread近日發現，Breach Forums駭客論壇有一個名為Fenice的使用者，公布14億筆的騰訊用戶資料。而對於這批資料的來源，Hackread懷疑此資料庫源自於今年1月曝光的Mother of All Breaches（MOAB），因為在這個總計12 TB，內含3,800個資料夾與260億筆外洩資料的MOAB中，最多的就是騰訊的15億筆。</p> <p>資安專家認為MOAB是眾多外洩資料的合輯，之後並確定該資料來自外洩資料搜尋引擎Leak-Lookup。當時Leak-Lookup宣稱，是因為防火牆的配置錯誤才讓MOAB曝光。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.trendmicro.com/en_us/research/24/h/earth-baku-latest-campaign.html"><strong style="font-size: 20px;">中國駭客組織Earth Baku轉移目標，鎖定歐洲、中東、非洲地區發動攻擊</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.sonicwall.com/en-us/2024/08/beware-of-fake-winrar-websites-malware-hosted-on-github/">駭客在GitHub架設冒牌WinRAR網站，意圖散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cyble.com/blog/double-trouble-latrodectus-and-acr-stealer-observed-spreading-via-google-authenticator-phishing-site/">駭客假借提供密碼產生器Google Authenticator，意圖散布竊資軟體Latrodectus、ACR Stealer</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164472"><strong style="font-size: 22px;">微軟8月例行更新公布10個零時差漏洞，其中6個已出現實際攻擊</strong></a></p> <p>8月13日微軟發布本月份例行更新，總共修補90個漏洞，其中包含36個權限提升、4個安全功能繞過、28個遠端程式碼執行（RCE）、8個資訊洩露、6個阻斷服務（DoS），以及7個可用於欺騙攻擊。</p> <p>值得留意的是，微軟本次公布多達10個零時差漏洞，是今年微軟單月公告零時差漏洞數量最多的一次，其中有6個已被用於實際攻擊行動。此外，這次還包含一個尚未推出修補程式的零時差漏洞。</p> <p><a href="https://www.ithome.com.tw/news/164479"><strong style="font-size: 22px;">SAP揭露重大層級漏洞，攻擊者可趁機繞過身分驗證</strong></a></p> <p>本月SAP例行更新於8月13日發布，總共修補17個漏洞，其中有2個為重大層級，4個為高風險層級，其餘漏洞的危險程度則列為中度風險。</p> <p>根據CVSS風險評分，最嚴重的漏洞是CVE-2024-41730，此漏洞出現於商業智慧平臺BusinessObjects，起因是缺乏身分驗證的檢核，這項問題出現在啟用單一簽入（SSO）的企業環境，攻擊者可在未經身分驗證的情況下，利用REST端點竊得登入系統的憑證（Token），CVSS風險評為9.8分，影響430、440版系統。</p> <p>另一個重大層級漏洞是CVE-2024-29415，此漏洞發生在SAP Build Apps打造的應用程式，為伺服器請求偽造（SSRF）漏洞，CVSS風險評為9.1。</p> <p><a href="https://www.ithome.com.tw/news/164448"><strong style="font-size: 22px;">視窗作業系統通用事件記錄檔案系統CLFS元件存在漏洞，恐被用於阻斷服務攻擊</strong></a></p> <p></p> <p>在全球對於CrowdStrike更新出錯造成大規模Windows藍色當機（BSOD）心有餘悸之時，資安公司Fortra公開另一個可導致藍色當機的漏洞CVE-2024-6768，這個問題出現在通用事件記錄檔案系統（CLFS），一旦攻擊者藉此對CLFS.sys驅動程式發動攻擊，就有機會導致阻斷服務（DoS），進而引發藍色當機。</p> <p>此漏洞影響Widnows 10、Windows 11，以及Windows 2016至2022版伺服器作業系統，允許掌握低權限的攻擊者利用CLFS元件缺陷，透過特定操作強制呼叫核心函式KeBugCheckEx來引發當機的現象。研究人員指出，這個漏洞雖然不會直接造成資料洩漏或是系統入侵，但是會明顯影響系統的穩定性和可靠性，降低使用者對系統的信任度。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/adobe-calls-attention-to-massive-batch-of-code-execution-flaws/">Adobe發布8月例行更新，修補72個漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164456"><strong style="font-size: 22px;">NIST正式發布3款PQC標準，鼓勵各界盡快轉換以因應量子破密威脅</strong></a></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">後量子密碼學（PQC）標準在8月13日正式發布，成為全球矚目的焦點，因為這次推出的3項新標準是為未來而準備，也就是為日後量子破密威脅所設計，如今美國國家標準暨技術研究院（NIST）首度宣布推出的是FIPS 203、FIPS 204、FIPS 205，接下來還有第4個標準將在年底出爐。</span></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">回顧PQC標準的制定，總共歷經8年時間，最早從2016年美國NIST就開始舉行PQC密碼學競賽，當時收到來自25個國家的82個提交演算法，之後進行了3輪淘汰賽，直到2022年先選出4個候選演算法，也就是CRYSTALS-Kyber、CRYSTALS-Dilithium、FALCON、SPHINCS+。目的就是選出可抵禦量子破密威脅的數學問題，以保護現在與未來的安全。</span></p> <p><a href="https://www.ithome.com.tw/news/164468"><strong style="font-size: 22px;">安全更新引發大當機，CrowdStrike傳有意買下修補程式管理新創Action1改善軟體開發流程</strong></a></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">上個月CrowdStrike因EDR更新引發全球大停機災難，今年Pwnie Awards頒給該公司史詩級失敗（Most Epic Fail）獎項，該公司總裁Michael Sentonas到場領獎並表明他們會記取這次的教訓，如今傳出該公司有進一步的行動。根據資安新聞</span><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">媒體Cybersecurity Dive的報導，CrowdStrike計畫買下提供修補程式管理方案的新創業者Action1，以改善其軟體更新流程。</span></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">該媒體引述Action1執行長暨共同創辦人Alex Vovk寄給員工的備忘錄，顯示雙方正在進行協議。根據備忘錄，CrowdStrike和Action1正在洽談相關事宜，計畫以近10億美元進行併購。Alex Vovk對員工指出，這收購提案也證明Action1市場正在高速成長，很快將會實現年營收1億美元的目標。</span></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Action1向媒體證實備忘錄真實性，CrowdStrike拒絕評論此事。</span></p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://moda.gov.tw/press/press-releases/13324"><strong style="font-size: 20px;">數位發展部率團參與資安會議DEF CON 32，分享臺灣網路安全與通訊韌性經驗</strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164452"><strong>【8月13日】韓國國防工業承包商傳出遭北韓駭客攻擊，軍事偵察機資料外流</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164421"><strong>【8月12日】研究人員揭露存在18年的瀏覽器漏洞，而且已有濫用漏洞行為，Linux及macOS電腦都可能中招</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164400"><strong>【8月9日】資安業者公布6起濫用雲端服務的後門程式攻擊行動，並指出有臺灣組織受害</strong></a></p> </div></div></div>
2024/8/14 18:08作者周峻佑https://www.ithome.com.tw/news/164484
35家金融業者組聯盟用AI模型偵測警示帳戶攔阻詐騙金流，下一步要用聯合學習精進模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>富邦金控在2022年研發出AI偵測技術「鷹眼防詐預測模型」，在金管會、刑事局、數位部等支持之下，2023年底分享該技術與其他金融業者共組鷹眼識詐聯盟，擴大金融科技防詐面向，現在已有35家金融機構先後加入聯盟，利用AI模型偵測異常交易，今天（8/14）鷹眼識詐聯盟展示成果，警示帳戶預先管控率最高達到80%，成功攔截逾3.6億元，避免遭詐騙集團移轉。鷹眼防詐預測模型下一步，將在10月開始運用聯合學習技術優化鷹眼防詐模型，提高防詐應變速度。</p> <p>過去金融業者仰賴人工方式，根據樣態、經驗各方面判斷，從數千萬筆交易中找出異常，然而，由於交易數量龐大，人工費時費力，且判斷的準確率不高，雖然各家金融業者投入人力辨別可疑交易及帳戶，但是在準確率不高之下，為避免影響正常顧客權益，不敢擅自管控警示帳戶，在防詐預警工作上顯得綁手綁腳，多仰賴銀行員對受害民眾的臨櫃防詐。</p> <p>富邦金控在2022年提出金融安全數位轉型藍圖，運用科技投入防詐工作，其中之一為透過鷹眼防詐預測模型警示帳戶預先管控，減少人工作業達99%，模型對異常帳戶辨別準確率也比人工方式提高559倍。金融業者共組鷹眼識詐聯盟，以今年1到6月導入成果，5家加入聯盟的金融業月平均預先管控比率在50%以上，甚至有一家業者達到80%，有7家金融業者比率在30到50%之間，預期未來在AI持續學習，比率穩步上升。</p> <p>檢察官出身的富邦金控副總經理的蔡佩玲表示，目前銀行在防詐上，銀行臨櫃攔阻雖然相當重要，但是在詐騙金流中，臨櫃只佔3成左右，其他近6成金流則是數位的方式，如果不借助科技的力量，很難只以人眼辨別攔阻網路上的詐騙金流，因此需要借助科技的力量，但是要運用科技並不容易，以鷹眼識詐聯盟為例，聯合35家金融業者，因各家業者的資料治理標準不同，為了運用應眼防詐預測模型，需花費相當多時間在資料治理、數位規格的統一，以及技術移轉、調校，聯盟成員每2到3周也需要交流。</p> <p>她表示，以往金融業者投入大量人力防詐，在聯盟成立10個月後，全臺已有6成的金融機構運用科技防詐，年底的目標是讓100%全部上線，讓AI機器人在全臺灣落地。在導入科技防詐後，預警時間大幅提前，以往金融機構無法預警，必需等到民眾被害報警，金融機構才啟動聯防，現在金融機構在聯盟成立後，可在民眾沒有報警的情形下，提早2周到3個月偵測到帳戶出現問題，預先管控帳戶。</p> <p>另外，以往民眾被騙後，被害人沒有報案，或不敢報案，金融機構無法預警防詐，現在在AI協助之下，透過AI模型建立預警，從今年初到現在，AI偵測共1.8萬件案子，這些案子中有50%以上為準確的。蔡佩玲指出，在被害民眾報警之前，或民眾不報警，金融業者都能知道，今年1到6月全體聯盟行攔阻金額共有3.6億元，這些錢不同於臨櫃攔阻在民眾匯出錢之前攔截，我們要做到的是即使民眾將錢匯出也能攔阻回來。</p> <p><span style="color:#B22222;"><strong>運用聯合學習精進AI模型</strong></span></p> <p>對於未來，蔡佩玲表示，未來聯盟有三大目標，第一個目標是，建立國家級鷹眼模型，目前AI模型在35家金融機構各自落地，未來結合隱私強化技術，運用聯合學習，跨金融機構訓練AI模型，可以自動調校，以快速因應詐騙手法變化；第二個目標是建立鷹眼照會機制，配合打詐專法實施，鷹眼聯盟成員間建立直接異常帳戶的警示訊息交換機，進一步預控措施。第三個則是從9月起，聯盟全體金融機構的線上線下防詐宣導。</p> <p>對於跨金融機構訓練鷹眼模型，蔡佩玲指出，目前35家金融業者以鷹眼模型為基礎，導入自家的特徵進一步優化，等於35家機構有各自的AI鷹眼同事，目前各家金融機構依照詐騙的犯罪手法各自調校，對於發現新的詐騙手法特徵，人工方式交流，再各自調校自家的模型。未來要利用聯合學習技術，讓各家業者不分享資料，但分享模型調校參數，透過自動交換，未來半小時內就能完成30多家機構的交換，可依照犯罪手法快速回應。</p> <p>她表示，希望在今年10月推動聯合學習，先與8家聯盟成員合作，由於聯盟學習需要更精細的資料規格，才能做到自動化，降低現在以人工的方式調校，目前的人工調校，從知道犯罪手法到人工調校約需3到6個月，因應時間較長，未來自動化後，半小時就能因應異常。</p> <p>由於不同金融機構在金融業務上的量體差異，蔡佩玲舉外籍移工匯款為例，單一家金融機構的外籍移工匯款量體不夠多，難以找到合適模型參數調校，但是透過聯合學習，便能從外籍移工匯款量體大的其他金融機構獲得參數，相較於單一金融機構業者自己不斷測試調校來得好。這也是聯合學習的好處。</p> </div></div></div>
2024/8/14 18:58作者蘇文彬https://www.ithome.com.tw/news/164486
NIST正式發布3款PQC標準，鼓勵各界盡快轉換以因應量子破密威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>後量子密碼學（PQC）標準在8月13日正式發布，成為全球矚目的焦點，因為這次推出的3項新標準是為未來而準備，也就是為日後量子破密威脅所設計，如今美國國家標準暨技術研究院（NIST）首度宣布推出的是<a href="https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.203.pdf">FIPS 203</a>、<a href="https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.204.pdf">FIPS 204</a>、<a href="https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.205.pdf">FIPS 205</a>，接下來還有第4個標準將在年底出爐。</p> <p>回顧PQC標準的制定，總共歷經8年時間，最早從2016年美國NIST就開始舉行PQC密碼學競賽，當時收到來自25個國家的82個提交演算法，之後進行了3輪淘汰賽，直到2022年先選出4個候選演算法，也就是CRYSTALS-Kyber、CRYSTALS-Dilithium 、 FALCON、SPHINCS+。目的就是選出可抵禦量子破密威脅的數學問題，以保護現在與未來的安全。</p> <p>不過，首批候選演算法在進入標準化程序後，有學者發表論文質疑一項數學方法，還好後來相關問題釐清。在今年初，一篇由北京清華大學陳一鐳撰寫的論文發表在ArXiv網站，聲稱基於網格密碼學（Lattice-based）的演算法實際上並無法對抗量子破密，由於首批4個候選演算法中，就有3個是基於網格密碼學，因此引起PQC學者相當大的關注，之後一周內有人發現其論文中的論點有一個缺陷，才消除這方面的疑慮。這也顯示，很多人持續在試圖破解這些演算法，但只要越經得起考驗，也就越會安全。</p> <h3><strong>FIPS 203作為通用加密的主要標準，FIPS 204作為數位簽章的主要標準</strong></h3> <p>歷經多年的發展，這些PQC加密方案終於在本週完成標準化程序，並且有3項PQC標準正式出爐，NIST也公開了更多關於新標準的細節。</p> <p>NIST表示，雖然自草案版本以來，這些標準沒有實質上的改變，但NIST現在更改了這些演算法的名稱，以指定最終標準使用的版本。具體而言，這次公布的聯邦資訊處理標準（FIPS）包括：</p> <p>●FIPS-203 （ML-KEM）<br /> ●FIPS-204 （ML-DSA）<br /> ●FIPS-205 （SLH-DSA）</p> <p>基本上，這些加密新標準可分成兩大應用面，一是通用加密（General encryption），用於保護在公共網路上交換的資訊，一是保護數位簽章（Protecting digital signatures），用於身分認證。</p> <p>在通用加密方面，以FIPS 203為主要標準，這項標準是基於CRYSTALS-Kyber演算法而來，現已重新命名為ML-KEM，代表Module-Lattice-Based的金鑰封裝機制（Key-Encapsulation Mechanism）。這項標準的優勢在於屬於相對小型的加密金鑰，可方便交換且執行快速。</p> <p>在數位簽章方面，以FIPS 204為主要標準，此標準使用CRYSTALS-Dilithium演算法，現已更名為ML-DSA，代表Module-Lattice-Based的數位簽章演算法。</p> <p>此外，FIPS 205也是為數位簽章設計的標準，這項標準使用Sphincs+演算法，現已更名為SLH-DSA，代表Stateless Hash-Based的數位簽章演算法。由於這項標準使用了與ML-DSA不同的數學方法，若是ML-DSA被發現有漏洞時，將可作為備用方法使用。</p> <h3><strong>PQC標準還在持續發展，FIPS 206預計在年底發布</strong></h3> <p>後續還有哪些重要發展？NIST表示，他們還有FIPS 206會在稍晚發布，估計是2024年底，此項標準是使用FALCON演算法，並會更名為FN-DSA。</p> <p>而且，PQC標準的評選也尚未結束，NIST還在繼續評估其他兩組演算法，希望這些演算法能成為備用的標準，以持續確保我們的安全。</p> <p>其中一組是通用加密類型，將選出不同於ML-KEM的數學方法，預計從3個演算法中選出1到2個。</p> <p>另一組是數位簽章類型，主要是NIST希望促進數位簽章組合多樣化，因此在2022年再次公開徵求額外的演算法，並已開始對其進行評估，預計將從15個演算法選出下一輪的名單，繼續進行測試、評估與分析。</p> <p>不過，在關注PQC標準發展之餘，NIST提醒大家，沒有必要等待未來的標準，現在就可以開始使用這3項新標準，立即為應對量子破密的潛在威脅做好準備。</p> <h3><strong>全面轉換需要時間，NIST呼籲現在就可以使用這3個PQC標準</strong></h3> <p>NIST強調，隨著量子運算技術的快速進步，一些專家已經預測，能夠破解當前加密方法的設備可能在十年內問世，這將對個人、組織，甚至整個國家的安全與隱私構成威脅。</p> <p>因此，負責PQC標準化專案的NIST數學家Dustin Moody表示，NIST鼓勵各界盡早開始轉換至這些新標準，並將其整合到現有系統中，因為全面轉換的過程將需要一定的時間。</p> <p>美國商務部標準暨技術副部長兼NIST院長Laurie E. Locascio也指出，量子運算技術有潛力幫助解決許多社會難題，而這些新標準則展示了NIST在推動技術進步的同時，致力於維護我們安全的承諾。</p> <p>事實上，臺灣也很重視這方面的發展，例如3個月前有新的行動，當時<a href="https://www.ithome.com.tw/news/162922">臺灣後量子資安產業聯盟宣布成立</a>，不僅希望加速我國後量子資安產業的發展，更重要是要確保臺灣具有後量子密碼準備能力。</p> <p>但還需要有更多企業組織意識到，公鑰密碼系統的全面升級與轉換已成為不可避免的趨勢。因為過去NIST與PQC專家就曾指出，目前網際網路上傳輸的所有資料，包括銀行交易、醫療紀錄以及加密通訊，都是透過RSA等加密演算法來保護。儘管現今的超級電腦幾乎無法破解這些演算法，但隨著量子電腦的快速發展，現有的RSA公鑰加密系統將面臨嚴重威脅，因此我們必須及早做好準備。</p> <p>如今，隨著新一代PQC標準的問世，盡快開始過渡到新標準將是重點。而在NIST提供的資源中，也說明可參考<a href="http://https://www.nccoe.nist.gov/crypto-agility-considerations-migrating-post-quantum-cryptographic-algorithms">國家網路安全卓越中心（NCCoE）之前就針對PQC遷徙所設立的專門頁面</a>，當中已經提供相關資源與指引。</p> </div></div></div>
2024/8/14 09:38作者羅正漢https://www.ithome.com.tw/news/164456
ChatGPT升級到GPT-4o
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Google發表可以流暢與用戶對話的<a href="https://www.ithome.com.tw/news/164458" target="_blank">Gemini Live</a>同一天，OpenAI也正式<a href="https://x.com/ChatGPTapp/status/1823109016223957387" target="_blank">公告</a>，ChatGPT升級使用多模態模型GPT-4o。</p> <p>上周媒體就已<a href="https://www.ithome.com.tw/news/164406" target="_blank">發現</a>OpenAI悄悄發布了新版GPT-4o模型的更新版本，強調整體效能更快，前端回應表現也更好。模型更新版本名為GPT-4o-2024-08-06，主要提供給付費用戶，涵括以ChatGPT提示介面或API存取二種管道。有人覺得連免費的ChatGPT都更強大了。</p> <p>多模態模型允許用戶上傳程式碼、圖片或聲音檔作為輸入提示，ChatGPT也可以根據提示生成圖片。ChatGPT本來就以DALL-E-3模型為基礎生成圖片。ChatGPT升級到GPT-4o的意義在於，由於模型原生支援多模態資料，理應可以更快輸出回應，且生成品質也更好。</p> <p>但由於OpenAI沒有提供詳細說明，因此新模型提供了什麼改進或不同功能，或是ChatGPT免費版是否也使用新版本模型，都沒有獲得官方證實。有用戶覺得ChatGPT理解能力更好了，不過也有用戶<a href="https://twitter.com/BenjaminDEKR/status/1823122561124769793" target="_blank">認為</a>雖然改用了新模型，但輸入的圖片品質似乎沒什麼不同。</p> <p>目前可以確定的是，以提示介面和API存取的是不同版本GPT-4o。OpenAI對VentureBeat<a href="https://venturebeat.com/ai/openai-updates-chatgpt-to-new-model-that-exhibits-multi-step-reasoning/" target="_blank">說明</a>，提供給API存取的是更為開發人員優化的功能。例如在Azure平臺提供的GPT-4o版本簡化模型結構化輸出（structured output）的過程，允許開發人員指明希望從AI模型直接輸出的格式，產生的資料可無縫整合到其他系統，有助於提升開發生產力。</p> </div></div></div>
2024/8/14 14:09作者林妍溱https://www.ithome.com.tw/news/164460
14億筆騰訊用戶資料流入駭客論壇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安媒體Hackread<a href="https://hackread.com/hackers-leak-1-4-billion-tencent-user-accounts-online/" target="_blank">近日發現</a>，一位名為Fenice的使用者於Breach Forums駭客論壇上公布了14億筆的騰訊用戶資料。</p> <p>騰訊為中國最大的網路公司，不僅是中國知名的遊戲開發業者，也打造出熱門的QQ與微信社交平臺，觸角還伸及教育及支付等領域。Fenice釋出的資料庫多達500GB，內含手機號碼、電子郵件信箱及QQ ID等騰訊用戶資訊。</p> <p>Hackread懷疑此一資料庫源自於今年1月曝光的<a href="https://www.ithome.com.tw/news/161004" target="_blank">Mother of All Breaches（MOAB）</a>，因為在這個總計12TB，內含3,800個資料夾與260億筆外洩資料的MOAB中，最多的就是騰訊的15億筆。</p> <p>資安專家認為MOAB是眾多外洩資料的合輯，之後並確定該資料來自於外洩資料搜尋引擎Leak-Lookup。當時Leak-Lookup<a href="https://x.com/LeakLookup/status/1749951429693919400" target="_blank">宣稱</a>，是因為防火牆的配置錯誤才讓MOAB曝光。</p> <p>Leak-Lookup不僅收集外洩資料，也提供付費搜尋服務，以讓使用者從眾多的資料外洩事故中查找資訊，包括姓名、電子郵件地址、使用者名稱、電話號碼及密碼等，儘管它宣稱該服務只能被用於個人安全，卻因該服務也會被犯罪集團利用而存在著爭議。</p> <p>Have I Been Pwned（HIBP）創辦人Troy Hunt<a href="https://www.troyhunt.com/the-data-breach-personal-stash-ecosystem/" target="_blank">形容</a>，類似Leak-Lookup的服務就好像是暗黑版的HIBP，市場上存在一個資料外洩的個人收藏生態體系，這些外洩資料有點像是棒球卡，人們彼此交換著手中沒有的卡片，只是棒球卡換走了就沒有了，但數位資料卻是愈換愈多，不斷地複製與膨脹。</p> </div></div></div>
2024/8/14 14:20作者陳曉莉https://www.ithome.com.tw/news/164463
安全更新引發大當機，CrowdStrike傳有意買下修補程式管理新創Action1改善軟體開發流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月因端點安全軟體更新引發全球IT停機災難，媒體Cybersecurity Dive<a href="https://www.cybersecuritydive.com/news/crowdstrike-pursuing-deal-action1/723849/" target="_blank">報導</a>CrowdStrike計畫買下提供修補程式管理方案的新創業者Action1，以改善其軟體更新流程。</p> <p>媒體取得Action1執行長暨共同創辦人Alex Vovk上周寄給員工的備忘錄，顯示雙方正在進行協議。根據備忘錄，CrowdStrike和Action1正在洽談，計畫以近10億美元收購後者。Vovk對員工指出，這收購提案也證明Action1市場正在高速成長，並且可以按計畫，很快實現年營收1億美元的目標。</p> <p>CrowdStrike拒絕評論，但Action1也向媒體證實備忘錄真實性。</p> <p>總部位於德州休士頓的Action1是由資深資安專家Alex Vovk及Mike Walters共同創辦，提供修補管理、遠端監控與遠端存取的多合一方案，主要特色在於P2P修補程式發送及整合式即時漏洞評估，協助企業發現漏洞、排定重要性並進行自動化修補OS及第三方應用程式的漏洞。</p> <p>這樁收購可向市場證明CrowdStrike改革的決心。CrowdStrike因為端點防護與回應（EDR）軟體更新問題，引發Windows機器出現錯誤訊息以及藍色死亡螢幕（BSOD）。微軟聲稱全球有850萬臺Windows機器受影響。雖然不到總數的1%，但已造成機場、醫院與港口等一定時間的停機，達美航空聲稱因此取消3,000多航班。</p> <p>這事件也立即影響CrowdStrike股價當天<a href="https://www.cnbc.com/2024/07/19/microsoft-crowdstrike-shares-fall-after-major-it-outage.html" target="_blank">大跌</a>11%，還有股東已經提告。達美航空則找來知名律師欲求償5億美元。</p> <p>CrowdStrike總裁Michael Sentonas上周還前往資安大會DEF CON大會Pwnie Awards<a href="https://www.ithome.com.tw/news/164446" target="_blank">領取</a>「史詩級失敗」的獎項，他說這個獎項要放在公司做為警惕。</p> </div></div></div>
2024/8/14 14:36作者林妍溱https://www.ithome.com.tw/news/164468
微軟8月例行更新公布10個零時差漏洞，其中6個已出現實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月13日微軟<a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Aug">發布本月份例行更新</a>，總共修補90個漏洞，其中包含36個權限提升、4個安全功能繞過、28個遠端程式碼執行（RCE）、8個資訊洩露、6個阻斷服務（DoS），以及7個可用於欺騙攻擊。</p> <p>值得留意的是，本次公布的漏洞當中，有多達10個零時差漏洞，是今年微軟單月公告零時差漏洞數量最多的一次，其中有6個已被用於實際攻擊行動。此外，這次還包含一個尚未推出修補程式的零時差漏洞。</p> <p>這些已被用於攻擊行動的漏洞是：Windows核心權限提升CVE-2024-38106、電源相依性協調器（Power Dependency Coordinator）權限提升CVE-2024-38107、指令碼引擎記憶體中斷CVE-2024-38178、專案管理軟體Project的遠端程式碼執行CVE-2024-38189、WinSock輔助功能驅動程式權限提升CVE-2024-38193，以及MoTW安全功能繞過CVE-2024-38213，CVSS風險評分介於6.5至8.8分，美國網路安全暨基礎設施安全局（CISA）也將這些漏洞<a href="https://www.cisa.gov/news-events/alerts/2024/08/13/cisa-adds-six-known-exploited-vulnerabilities-catalog">全數列入已被利用漏洞列表（KEV）</a>，要求聯邦機構在9月3日前完成修補。</p> <p>其中，風險評分最高的是CVE-2024-38189，濫用的前提是攻擊者要先引誘用戶開啟惡意Project專案檔案，若此時電腦停用Office阻止來自網際網路的巨集執行政策，就可能讓攻擊者觸發漏洞並遠端執行程式碼，此弱點的CVSS評分為8.8。</p> <p>還有一個高風險漏洞CVE-2024-38178，<a href="https://www.zerodayinitiative.com/blog/2024/8/13/the-august-2024-security-update-review">漏洞懸賞專案Zero Day Initiative（ZDI）認為特別值得留意</a>，因為攻擊者要引誘使用者點選特製的URL，讓Edge在Internet Explorer（IE）模式下執行，從而觸發漏洞，由於這項漏洞與已經棄用的IE有關。ZDI認為相當不尋常。</p> <p>另外4個在微軟公告前已被揭露的漏洞，分別是Windows安全核心模式權限提升漏洞CVE-2024-21302、行式印表機後臺程序（Line Printer Daemon，LPD）服務遠端程式碼執行漏洞CVE-2024-38199、<a href="https://www.ithome.com.tw/news/164409">Office欺騙漏洞CVE-2024-38200</a>，以及Windows更新堆疊權限提升漏洞CVE-2024-38202，CVSS風險評分介於6.5至9.8。</p> <p>其中，最值得留意的，是資安業者SafeBreach於上週2024黑帽大會揭露的CVE-2024-21302、CVE-2024-38202，<a href="https://www.ithome.com.tw/news/164368">這兩個漏洞可被用於發動Windows Downdate降級攻擊</a>，將特定的系統元件降級為存在漏洞的舊版，但這次微軟僅對CVE-2024-21302提供修補，至於另一個漏洞CVE-2024-38202的更新程式，他們坦承仍在製作中。</p> <p>雖然微軟現在為CVE-2024-21302提供更新軟體，不過，<a href="https://www.rapid7.com/blog/post/2024/08/13/patch-tuesday-august-2024/">資安業者Rapid7警告他們的做法有不足之處</a>，因為這個修補程式並非自動修補資產，而是提供加入微軟簽章的撒銷政策，有可能在不當還原的情況下造成無限循環重新開機的風險。</p> </div></div></div>
2024/8/14 15:21作者周峻佑https://www.ithome.com.tw/news/164472
SAP揭露重大層級漏洞，攻擊者可趁機繞過身分驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月SAP例行更新於8月13日發布，<a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/august-2024.html">該公司總共修補17個漏洞</a>，其中有2個為重大層級，4個為高風險層級，其餘漏洞的危險程度則列為中度風險。</p> <p>根據CVSS風險評分，最嚴重的漏洞是CVE-2024-41730，此漏洞出現於商業智慧平臺BusinessObjects，起因是缺乏身分驗證的檢核，這項問題出現在啟用單一簽入（SSO）的企業環境，攻擊者可在未經身分驗證的情況下，利用REST端點竊得登入系統的憑證（Token），CVSS風險評為9.8分，影響430、440版系統。</p> <p>SAP指出，攻擊者若成功利用漏洞，可能得以完全入侵該系統，從而嚴重影響系統的機密性、完整性，以及可用性。</p> <p>另一個重大層級漏洞是CVE-2024-29415，此漏洞發生在SAP Build Apps打造的應用程式，為伺服器請求偽造（SSRF）漏洞，CVSS風險評為9.1。</p> <p>這項漏洞涉及Node.js的IP元件缺陷，此元件用途是檢查IP位址是公開或是私有，在使用8進位表示127.0.0.1的時候，會將其識別為公開且全域可路由的IP位址。SAP指出，這項漏洞是先前另一個弱點CVE-2023-42282修補不全所致。</p> </div></div></div>
2024/8/14 16:17作者周峻佑https://www.ithome.com.tw/news/164479
導入QLC、提供122TB與E3外形，群聯新款PCIe 5 SSD上陣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/qun_lian_phison_pascari_d200v_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼5月發表<a href="https://www.ithome.com.tw/review/162973">企業級PCIe 5.0固態硬碟產品X200系列</a>，採用的快閃記憶體類型是TLC，群聯電子（Phison）在8月第二週舉行的2024快閃記憶體高峰會（FMS），推出主打讀取密集工作負載的資料中心PCIe 5.0固態硬碟，名為D200V，採用的快閃記憶體類型是QLC，而且是鎧俠（Kioxia）發展的BiCS Flash第8代技術，並同樣提供雙埠配置。</p> <p>以儲存容量而言，D200V目前最大可供應到61.44 TB，上看122 TB，一舉超越市面上的商用PCIe固態硬碟產品，並且能夠用來更大程度地整併或取代傳統的冷儲存系統。而在產品外形的部分，D200V提供三種選擇，包括：最常用的2.5吋U.2，以及這兩年興起的E3.S，以及目前尚無其他固態硬碟廠商供應的E3.L。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/D200V-Product-Collage.jpg" style="width: 500px;" /></p> <p>群聯表示，最普及的U.2尺寸，會是他們優先推出的款式；E3.L尺寸的款式，預計今年第三季結束之前推出，而在FMS展覽期間，他們與永擎電子（ASRockRack）合作，展示搭配E3.L外形固態硬碟的伺服器1U12E-GENOA/EVAC；至於E3.S，則是後續提供。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Phison D200V with ASRockRack 1U12E-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Phison%20D200V%20with%20ASRockRack%201U12E-web.jpg" style="width: 600px;" /></a></p> <p>從存取效能來看，D200V由於本身是專攻讀取工作負載的產品，在循序讀取、隨機讀取（4K）這兩個層面（14,000 MB/s、300萬IOPS），與X200系列最大效能差不多（14,800 MB/s、300萬IOPS）。相對地，它們之間的寫入效能差距很大，例如，D200V循序寫入效能為2,100 MB/s，隨機寫入效能（16K）為1.56萬IOPS，而X200系列循序寫入效能最高8,700 MB/s，隨機寫入效能（4K）為90萬IOPS。</p> <p>關於D200V為何要標示16K隨機寫入效能？群聯表示，對於64 TB、128 TB這類大容量SSD而言，<a href="https://tw.micron.com/about/blog/company/innovations/real-life-workloads-more-efficient-large-ssd-capacities">16K大小的IU（Indirection Unit）的管理單位會逐漸變成行業常見規格</a>，而且相較於4K，定址只需用原本的1/4，可有效節省DDR的使用。</p> <p>就存取耐用度來比較，新推出的D200V每日寫入量只有0.3，既有的X200系列每日寫入量（DWPD）有3與1的區分，對應款式為X200E與X200P。</p> <p>關於耗電量的部分，若以儲存容量同為30.72 TB的款式相比，D200V最大為25瓦，X200P為35瓦。</p> <p>若資料中心固態硬碟不需要用到PCIe 5.0介面，群聯目前已提供支援PCIe 4.0介面的產品D100P，提供M.2 2280、M.2 22110、E1.S等三種外形，儲存容量有480 GB、960 GB、1920 GB、3840 GB，循序讀寫效能最大為6,800 MB/s與2,000 MB/s，隨機讀寫效能最大為90萬IOPS與7萬IOPS。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2308023_FMS2024TableTopCard15x10-EnterprisePASCARI_080124_SSD-DSeries.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2308023_FMS2024TableTopCard15x10-EnterprisePASCARI_080124_SSD-DSeries.jpg" style="width: 600px;" /></a></p> <p>針對資料中心固態硬碟D系列產品線，群聯未來預計推出兩款PCIe 5.0介面、採用E1.S外形的款式，分別是每日寫入量為3的D200E，儲存容量為1.6 TB至3.2 TB，以及每日寫入量為1的D200P，儲存容量為1.92 TB至3.84 TB，循序讀寫效能均為14,000 MB/s、8,300 MB/s，隨機讀取效能均為300萬IOPS，隨機寫入效能方面，D200E為50萬IOPS，D200E為22萬IOPS。</p> <p>關於這兩款產品的出貨進度，群聯表示，他們希望今年第三季可以開始送樣。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Phison Pascari D200V</strong><br /> ●原廠：群聯電子<br /> ●建議售價：廠商未提供<br /> ●儲存容量：30.72 TB（U.2、E3.S），61.44 TB（U.2、E3.L），122.88 TB（U.2、E3.L）<br /> ●外形：U.2、E3.S、E3.L<br /> ●儲存媒體：3D NAND，QLC，BiCS FLASH第8代技術<br /> ●讀寫速度：循序14,000 MB/s與2,100 MB/s，隨機300萬IOPS（4K）與1.56萬IOPS（16K）<br /> ●使用介面：PCIe 5.0 x4<br /> ●耐用度：每日寫入量為0.3<br /> ●可靠度：250萬小時MTBF</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/8/14 16:21作者李宗翰https://www.ithome.com.tw/review/164407
Ivanti虛擬流量管理系統存在身分驗證繞過漏洞，已有概念性驗證程式碼公開，用戶應儘速處理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月12日Ivanti發布資安公告，指出旗下的<a href="https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Virtual-Traffic-Manager-vTM-CVE-2024-7593">虛擬流量管理系統Virtual Traffic Manager（vTM）存在重大層級的零時差漏洞CVE-2024-7593</a>，一旦攻擊者成功利用漏洞，就有機會繞過身分驗證並建立新的管理員帳號，CVSS風險評分為9.8。</p> <p>值得留意的是，雖然該公司表示尚未察覺用戶遭到漏洞攻擊的跡象，但已有公開的概念性驗證（PoC）程式碼，他們呼籲用戶儘速採取緩解措施因應。</p> <p>不過，並非所有版本的vTM都受到影響，Ivanti指出，今年3月發布的22.2R1、5月發布的22.7R2，皆不受這項漏洞影響，其餘版本預計8月19日這週發布更新，予以修補。</p> </div></div></div>
2024/8/14 16:44作者周峻佑https://www.ithome.com.tw/news/164482
Ruby on Rails 7.2預設啟用YJIT，最多可降低25％延遲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ruby on Rails最新<a href="https://rubyonrails.org/2024/8/10/Rails-7-2-0-has-been-released">7.2版本</a>帶來許多重要更新，包括調整了生產環境的預設值，使開發者得以建立更高效的應用程式，並且加入開發環境容器的支援，另外，開發團隊還重新設計了Rails指南（Rails Guides），改進使用者查閱指南的體驗。</p> <p>Ruby on Rails藉由最佳化效能和改進開發體驗，使得該框架在生產環境表現更高效，也讓開發日常工作更順暢。效能最佳化是Ruby on Rails 7.2的重點之一，Ruby即時編譯器YJIT現在成為預設啟用的功能。YJIT是Ruby 3.1加入的新編譯器，能替Rails應用程式帶來約15％到25％的延遲改善，極大程度提升應用的反應速度，這對於需要處理大量並行請求的應用特別重要。</p> <p>Rails 7.2也在生產環境的設定上進行調整，將Puma網頁伺服器在處理請求使用的執行緒數，從原本預設的5降低至3，開發團隊指出，這個變動是參考長期應用程式實際運作經驗的結果，目的是要減少Ruby等待全域VM鎖（Global VM Lock，GVL）釋放的時間，進而提升應用程式在高負載情況下的效能表現。</p> <p>另外，Rails 7.2生成的Dockerfile現在會包含jemalloc。jemalloc是一個最佳化的記憶體分配器，能夠有效管理應用程式的記憶體使用，這個更新可以協助開發者在部署高負荷應用程式時，獲得更穩定的效能表現。</p> <p>而Rails 7.2也進一步簡化開發者本地開發環境配置，使團隊更容易保持一致的開發環境，加速開發過程。預設開發容器配置將包含Redis容器、資料庫容器、無頭Chrome容器，以及預設使用本地端磁碟儲存的Active Storage配置。開發者也可以在現有應用中添加開發容器配置，使得舊有專案也能獲得開發容器的便利。</p> <p>官方藉著Rails新版本推出，發布了全新設計的官方指南，具有現代化的外觀和簡單易用的介面。新的設計風格包括更一致的字體和色彩搭配，並使用新圖標和簡化的導覽結構，提升使用者在瀏覽指南時的整體體驗。</p> </div></div></div>
2024/8/14 08:56作者李建興https://www.ithome.com.tw/news/164450
美國聯邦法院首次裁定地理圍欄搜索令違憲，強調隱私權保護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦上訴法院剛對地理圍欄搜索令（Geofence Warrant）做出了關鍵性的<a href="https://www.ca5.uscourts.gov/opinions/pub/23/23-60321-CR0.pdf">判決</a>，認定這類搜索令違反美國憲法第四修正案保護公民免受不合理搜索和扣押的權力。這是針對一起涉及搶劫案件所做出的判決，案件中的被告因為地理圍欄搜索令所提供的證據而被定罪，因此決定上訴挑戰這類搜索令的合憲性。</p> <p>2018年的時候密西西比州的郵局發生一起搶劫襲擊美國郵政人員的事件，當時警方進行了數月調查，但卻都無法找到具體的嫌疑人，為了進一步追查，警方申請地理圍欄搜索令，涵蓋案發地點周圍的區域和案發一小時的時間範圍，而Google回應了多個裝置的資料，協助警方鎖定兩名被告。</p> <p>地理圍欄搜索令是一種執法手段，當美國警方沒有特定嫌疑人時，會透過申請此類搜索令，要求科技公司提供特定時間內，某一地理區域中所有裝置的位置資訊，這些資料將協助警方辨識可能在犯罪現場的潛在嫌疑人或是目擊者。</p> <p>警方透過地理圍欄搜索令找出搶劫案罪犯，但是被告提起上訴，認為這類搜索令違憲。而美國聯邦上訴法院也最終判決，裁定地理圍欄搜索令違反美國憲法第四修正案的規定。法院認為，這類搜索令過於廣泛，不能具體指向特定個人或是裝置，卻是要求對特定區域內的裝置進行搜索。</p> <p>法院雖然認為地理圍欄搜索令違憲，但是同時也認為，由於地理圍欄搜索令在2018年時仍是很新的概念，警方善意仰賴這種搜索令的情況下，仍可接受該證據，也就是說在該搶劫案中，所獲得的證據不會被排除。</p> <p>這個判決確立了美國對地理圍欄搜索令侵犯隱私的審查，並引起了人們對地理圍欄搜索令侵犯隱私的關注，美國聯邦上訴法院強調了普遍搜索違反憲法的原則，這個判例便是更明確規範美國第四修正案的適用範圍，規範美國警方避免使用這類搜索令進行調查。</p> </div></div></div>
2024/8/14 09:00作者李建興https://www.ithome.com.tw/news/164453
Google發表挑戰OpenAI進階語音模式的Gemini Live
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google今日在Pixel 9手機系列產品發表大會上，同時<a href="https://blog.google/products/gemini/made-by-google-gemini-ai-updates/" target="_blank">宣布多項相關的AI功能</a>，包括能流暢對話的Gemini Live，挑戰OpenAI ChatGPT進階語音模式（Advanced Voice Mode），以及將Gemini進一步整合到Android，以及YouTube等Google程式中。</p> <p>Gemini Live是提供行動對話體驗的聊天助理，讓手機用戶可和Gemini流暢對話。用戶除了可以口說和Gemini來回對話外，甚至能在Gemini Live回應過程中打斷、或中途喊停一會再接續。Gemini Live也能於Gemini App背景執行或手機鎖定時和用戶對話，一如用戶講電話一般。為了讓Gemini對話更豐富，Google也加入10種聲音選項。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0814-gemini%20live.png" style="width: 534px;" /></p> <p>Gemini Live顯然是想挑戰日前才正式上線的ChatGPT進階語音模式（Advanced Voice Mode）。OpenAI 5月公布ChatGPT進階語音模式雖然表現令人驚豔，卻被爆其中一個聲音未經授權模仿了美國女星Scarlett Johansson，雖然OpenAI否認此事，卻也移除該聲音，並延後進階語音模式上線到<a href="https://www.ithome.com.tw/news/164251" target="_blank">8月初</a>，該模式才正式提供5種聲音，但僅向一小部分用戶開放使用，而且設定種種限制，像是ChatGPT無法模仿他人聲音，也不允許其他聲音輸入。</p> <p>Gemini Live即日已部署給訂閱Gemini Advanced方案的Android手機用戶，目前只支援英文，Google表示，幾個星期內會擴及iOS，並支援更多種語言。</p> <p>除了Gemini Live外，Google也宣布未來幾個星期內多款程式如Keep、YouTube Music、Task和Utilities或是行事曆（Calendar）都會整合Gemini外掛，用戶不必切換應用即可讓Gemini執行任務，像是讓它從Gmail找出友人寄來的食譜，並將其中一項食材加入Keep採購清單，或是讓Gemini從Google相簿抓出音樂會傳單，查詢當天是否有空、並設定購票提醒。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0814-Google%20apps-gemini.png" style="width: 424px;" /></p> <p>Google也讓Android進一步整合Gemini。只要長按電源鍵，或說聲「Hey Google」，就能召喚出Gemini助理。用戶可點選「Ask about this screen」詢問問題，或在使用YouTube時點選「Ask about this video」，例如列出旅遊影片的餐廳清單，再叫出Gemini在Google Maps上標註。Gemini也不只能讀取螢幕內容，還能和既有應用互動，像是將Gemini生成的圖片直接丟進Gmail和Google Messages。</p> <p>有別於Pixel 9系列上的AI功能以Gemini Nano為基礎，今日Gemini Live等新功能則是採用Google新模型如Gemini 1.5 Flash為底層技術，以提供較好的效能和回應品質。但Google不忘表示，新上線的功能仍可能會有回應時間需時較久，或是回應不準確或出現令人意外答案等問題。</p> <p>Google表示，未來幾個月內該公司會致力於提升Gemini效能和品質，並預告，Gemini還會整合到Google Home、電話（Phone）和訊息等其他應用中。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/8/14 11:12作者林妍溱https://www.ithome.com.tw/news/164458
Pixel 9系列亮相，深度整合Google Gemini
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/pixel/google-pixel-9-pro-xl/" target="_blank">Google周二（8/13）發布</a>了新一代的Android手機Pixel 9，包括Google Pixel 9、Google Pixel 9 Pro、Google Pixel 9 Pro XL，以及Google Pixel 9 Pro Fold，它們全都搭載Android 14作業系統，並深度整合Google Gemini人工智慧技術，而且擁有長達7年的Android更新服務，售價自799美元到1,700美元不等。Pixel 9系列即日起開放預購，並計畫於8月22日或9月4日出貨。</p> <p>Pixel 9系列的手機中，除了1,099美元的Google Pixel 9 Pro XL採用6.8吋螢幕之外，其它都採用6.3吋螢幕；只有入門款、售價為799美元的Google Pixel 9內建12GB記憶體之外，其它機種皆具備16GB記憶體；最貴的則是摺疊機Google Pixel 9 Pro Fold（下圖）的1,700美元；外觀及重量與Google Pixel 9幾乎一模一樣的Google Pixel 9 Pro，擁有更大的記憶體及更好的LTPO OLED螢幕，售價為999美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0814-Pixel%209%20Pro%20Fold-600.png" style="width: 500px;" /></p> <p>現代的智慧型手機，最受矚目的無疑是人工智慧（AI），例如三星已在今年初於Galaxy手機中<a href="https://www.ithome.com.tw/news/160904" target="_blank">整合</a>Google Gemini，蘋果也<a href="https://www.ithome.com.tw/news/163387" target="_blank">發表了</a>將進駐macOS Sequoia、iOS 18與iPadOS 18等蘋果作業系統的AI服務Apple Intelligence，並宣布將導入OpenAI的ChatGPT。</p> <p>Google也在Pixel 9中整合了Google Gemini，只要按下手機上的電源按鍵，便能啟用多模態的Gemini，它能夠以覆蓋層的形式出現在螢幕上，使用者可透過文字、語音或圖像與之交流，亦可直接將由Gemini生成的圖像貼在傳訊程式中。Pixel 9還提供了Add Me功能，使用擴增實境技術與AI將使用者嵌入照片中，成為團體照的一員。</p> <p>Pixel 9還有一款新的Pixel Studio應用，這是個圖像生成工具，整合雲端上的Imagen 3文字生成圖像模型，以及執行於Tensor G4上的裝置擴散模型。另一款Pixel Screenshots應用能夠協助使用者儲存、組織，以及調用曾經拍下的螢幕截圖，例如在抵達民宿時請它找出曾儲存的門鎖密碼。Call Notes則能記錄使用者的通話內容，還能協助摘要，只是在啟用時會通知各方。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0814-Pixel%20Studio-pixel%209-ai.png" style="width: 438px;" /></p> <p>不僅是Pixel手機，Google Gemini亦已支援來自數十家裝置製造商的數百款Android手機。</p> <p>Pixel 9系列已確定會在包括臺灣在內的逾20個國家<a href="https://support.google.com/store/answer/2462844?hl=en" target="_blank">上市</a>，亦已於臺灣市場開放<a href="https://store.google.com/tw/magazine/compare_pixel?hl=zh-TW" target="_blank">預購</a>。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/8/14 12:08作者陳曉莉https://www.ithome.com.tw/news/164459
【資安日報】8月13日，韓國國防工業承包商傳出遭北韓駭客攻擊，軍事偵察機資料外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週韓國媒體報導指出，他們專門用於在北韓領空從事情資蒐集的軍事偵察機，相關內部機密文件因北韓駭客對其國防供應商發動網路攻擊遭到外流，而這起網路攻擊，傳出是北韓領導人金正恩下令發起。</p> <p>值得留意的是，近期韓國國防工業的資安事故頻傳，根據韓京市場的報導，根據當地媒體韓京市場的報導，傳出研究人員竊取K-2坦克機密投靠新東家。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164436"><strong style="font-size: 22px;">韓國軍事偵察機的機密驚傳遭竊，起因是國防承包商受到北韓駭客攻擊</strong></a></p> <p>韓國媒體東亞日報報導，該國國防工業外包商遭北韓駭客攻擊，致用於北韓空中情蒐任務的2款軍事偵察機技術資料外流。</p> <p>報導指出，這家國防工業外包商生產在北韓領空偵察的重要機種，包括白頭號（Baekdu）、金剛號（Geumgang）間諜偵察機的相關軍事裝備操作和維護手冊。消息人士指出，根據初步調查，在這次駭客攻擊中，2款軍機的技術資料和規格、操作文件可能已外洩。</p> <p>他們也引述情報官員的說法，北韓領導人金正恩今年稍早下令發動密集駭客攻擊，取得韓國偵察機技術資訊以強化自產軍機的能力，同時規避偵察。</p> <p><a href="https://www.ithome.com.tw/news/164451"><strong style="font-size: 22px;">美國田納西州男子經營筆電農場，協助北韓駭客在美、英企業「工作」</strong></a></p> <p>美國司法部指控，居住於田納西州的38歲男子Matthew Isaac Knoot涉嫌參與北韓為籌措大規模殺傷性武器（Weapons of Mass Destruction，WMD）資金的非法武器專案。此人為試圖在美國及英國公司就業的海外IT工人提供遠距辦公的協助，而這些IT工人的真實身分就是北韓駭客。</p> <p>該名男子協助北韓駭客使用遭竊的身分冒充美國公民Andrew M，並在他的住所代管公務筆記型電腦，下載並安裝未經授權的軟體，以便駭客遠端存取，欺騙僱主這些駭客在美國遠距工作的假象。除此之外，Matthew Isaac Knoot也為這些駭客洗錢，將相關款項移轉到與北韓、中國駭客有關的戶頭。</p> <p><a href="https://www.ithome.com.tw/news/164447"><strong style="font-size: 22px;">微軟1月遭駭事故傳出英國內政部也是受害單位，郵件帳號遭俄羅斯駭客Midnight Blizzard入侵</strong></a></p> <p>今年1月微軟證實遭到俄羅斯駭客組織Midnight Blizzard（APT29）入侵的資安事故，駭客存取高階主管的電子郵件帳號，後來陸續傳出有客戶的帳號被入侵的情況，繼4月美國網路安全暨基礎設施安全局（CISA）承認聯邦機構受到波及，現在傳出有其他政府機關受害的情況。</p> <p>根據資安新聞網站The Record的報導，英國政府也遭受波及，Midnight Blizzard今年初也存取他們的電子郵件及個人資料。這些駭客起初的目標是向英國內政部提供服務的微軟，隨後藉由相關存取權限洩露英國內政部的資料。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://cip.gov.ua/en/news/khakeri-rozpovsyudzhuyut-shkidlive-programne-zabezpechennya-nibito-vid-imeni-sbu"><strong style="font-size: 20px;">駭客冒充烏克蘭安全局散布惡意軟體AnonVNC，攻擊烏克蘭政府超過100臺電腦</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securelist.ru/how-the-cmoon-worm-collects-data/109988/">USB蠕蟲CMoon透過天然氣業者網站散布，企圖竊取俄羅斯企業組織資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://habr.com/ru/companies/f_a_c_c_t/news/831420/">網路間諜團體XDSpy鎖定俄羅斯及摩爾多瓦而來</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164426"><strong style="font-size: 22px;">M365 Copilot可被濫用進行釣魚攻擊</strong></a></p> <p>資安廠商Zenity在黑帽大會發表CopilotHunter與LOLCopilot，這兩個工具都是針對Microsoft 365 Copilot開發，CopilotHunter能夠掃描和列舉Copilot的資源與錯誤配置，而LOLCopilot則可執行模擬攻擊，濫用Copilot功能來收集資訊、洩漏資料甚至是進行釣魚攻擊。</p> <p>CopilotHunter和LOLCopilot安全工具在GitHub開源，協助企業發現和修補安全漏洞。CopilotHunter的核心功能是利用Microsoft 365 Copilot的錯誤配置進行安全掃描和分析，其具有兩個重要關鍵模組，分別針對掃描和列舉需求的Deep Scan和Enum。</p> <p>而LOLCopilot則是一款專為模擬攻擊設計的工具，透過Copilot收集敏感資料來進行針對性攻擊。與LOLCopilot相關的模組包括Whoami，可收集受感染使用者能夠存取的敏感資訊，包括電子郵件、檔案、行程安排等，全面了解使用者的存取權限，隨後使用Dump模組擷取和儲存這些資料，並利用Copilot繞過DLP技術，使敏感資料洩漏不被系統偵測的情況。</p> <p><a href="https://www.ithome.com.tw/news/164432"><strong style="font-size: 22px;">工控系統遠端存取解決方案Ewon Cosy+存在漏洞，攻擊者有機會取得root權限</strong></a></p> <p>資安業者SySS指出，HMS Networks旗下的工業級遠端存取解決方案Ewon Cosy+存在6項漏洞，這些漏洞涉及身分驗證不當、使用不必要的權限執行工作、寫死密碼、作業系統層級的命令注入、明文存放Cookie敏感資訊，以及網頁載入過程輸入出現不當處理的情況，攻擊者有機會藉由上述弱點破壞VPN設備，甚至解開韌體與密碼，並且接管外部設備的OpenVPN連線。</p> <p>對此，HMS Networks獲報後發布21.2s10版、22.1s3版韌體予以修補，研究人員也在上週末舉行的資安會議DEF CON 32公布相關細節。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.freebsd.org/security/advisories/FreeBSD-SA-24:08.openssh.asc">FreeBSD更新發布，修補OpenSSH高風險漏洞CVE-2024-7589</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164446"><strong style="font-size: 22px;">資安業者CrowdStrike獲頒Pwnie Awards史詩級失敗獎項</strong></a></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">7月19日</span>CrowdStrike因執行Windows系統EDR的配置更新，觸發邏輯錯誤而造成藍色當機，微軟透露約有850萬臺裝置受到影響，但此事波及全球的物流、民航、金融及醫療產業，迄今仍無法估算相關損失，受到影響的達美航空，甚至表明決定透過法律途徑向CrowdStrike求償。對此，在資安會議DEF CON 32舉行的Pwnie Awards頒獎典禮，CrowdStrike獲得了「史詩級失敗」（Most Epic Fail）獎項，該公司總裁Michael Sentonas親自到場領獎，並表示會放在公司顯眼的地方，藉此提醒員工這起事故帶來的教訓。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://www.facebook.com/moda.gov.tw/posts/500967092749394"><strong style="font-size: 20px;">臺灣資安戰隊參與DEF CON資安搶旗賽，獲得第7名佳績</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164421"><strong>【8月12日】研究人員揭露存在18年的瀏覽器漏洞，而且已有濫用漏洞行為，Linux及macOS電腦都可能中招</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164400"><strong>【8月9日】資安業者公布6起濫用雲端服務的後門程式攻擊行動，並指出有臺灣組織受害</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164383"><strong>【8月8日】黑帽大會首度增設AI議程，趨勢科技展示深偽偵測技術</strong></a></p> </div></div></div>
2024/8/13 17:54作者周峻佑https://www.ithome.com.tw/news/164452
美國田納西州男子經營筆電農場，協助北韓駭客在美、英企業「工作」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客謀取歐美企業的職缺，從事遠距辦公，不僅賺取資金貢獻政府發展軍事武器，甚至聘僱他們的企業也有可能面臨資料外洩及資金遭竊的風險，繼上個月<a href="https://www.ithome.com.tw/news/164108">資安業者KnowBe4公布不慎聘僱到北韓駭客的情況</a>，最近美國執法單位也有新的動作，他們起訴一名經營筆電農場（Laptop Farm）的男子，並指控該人接應這些駭客在當地遠距工作的相關事宜。</p> <p>上週<a href="https://www.justice.gov/usao-mdtn/pr/department-disrupts-north-korean-remote-it-worker-fraud-schemes-through-charges-and">美國司法部指控</a>，居住於田納西州的38歲男子Matthew Isaac Knoot涉嫌參與北韓為籌措大規模殺傷性武器（Weapons of Mass Destruction，WMD）資金的非法武器專案。此人為試圖在美國及英國公司就業的海外IT工人提供遠距辦公的協助，而這些IT工人的真實身分就是北韓駭客。</p> <p>該名男子協助北韓駭客使用遭竊的身分冒充美國公民Andrew M，並在他的住所代管公務筆記型電腦，下載並安裝未經授權的軟體，以便駭客遠端存取，欺騙僱主這些駭客在美國遠距工作的假象。</p> <p>除此之外，Matthew Isaac Knoot也為這些駭客洗錢，將相關款項移轉到與北韓、中國駭客有關的戶頭。</p> <p>起訴書當中提及，Matthew Isaac Knoot在2022年7月至2023年8月，在自家經營筆電農場，當受害公司寄送IT工人的公務筆電到他家，這名男子就會存取這些電腦，安裝公司未授權的遠端桌面應用程式，並存取受害企業的內部網路環境。</p> <p>北韓駭客藉由遠端桌面應用程式，能夠在中國存取公務電腦，從而營造Andrew M.在田納西州住所遠距辦公的假象。</p> <p>直到法院去年8月初授權執法單位進行搜索，這名男子每個月從名為Yang Di的海外人士收到經營農場的費用。</p> <p>美國司法部指出，這些IT工人每人在這段期間獲得逾25萬美元的報酬，而受害企業在察覺上當後，必須花費超過50萬美元來復原網路環境、應用系統、裝置。不僅如此，Matthew Isaac Knoot還利用遭竊身分向美國國稅局（IRS）謊報收入。</p> <p>這名男子是美國第2個因經營筆電農場遭到指控的人士。今年5月，<a href="https://www.justice.gov/opa/pr/justice-department-announces-arrest-premises-search-and-seizures-multiple-website-domains">49歲的Christina Marie Chapman被控在自己住家為北韓IT工人代管筆電</a>，司法單位估計為IT工人創造逾680萬美元不法獲利，並指控這些駭客至少從其中兩家受害公司竊取機密資料。</p> </div></div></div>
2024/8/13 17:32作者周峻佑https://www.ithome.com.tw/news/164451
Windows 10與Server 2016以上版本CLFS.sys存在DoS漏洞，或致藍畫面當機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球IT還對CrowdStrike造成Windows藍畫面當機（BSOD）心有餘悸之時，資安公司Fortra公開了可造成Windows藍畫面的漏洞<a href="https://www.fortra.com/security/advisories/research/fr-2024-001">CVE-2024-6768</a>，攻擊者對CLFS.sys驅動程式發動DoS攻擊，進而導致Windows系統藍畫面當機。</p> <p>CLFS.sys是微軟Windows中的驅動程式，負責管理通用日誌檔案系統（CLFS）。CLFS提供支援應用程式和系統元件進行日誌紀錄的框架，能夠管理多日誌串流（Log Stream），這些日誌串流可用於系統恢復、資料同步和精確的操作追蹤。</p> <p>CVE-2024-6768是一個與CLFS.sys有關的拒絕服務（DoS）漏洞，這個漏洞影響了Windows 10、Windows 11、Windows Server 2016、Windows Server 2019和2022版本。該漏洞允許惡意且經過身分驗證的低權限用戶，利用CLFS.sys中的缺陷，透過特定操作強制呼叫核心函式KeBugCheckEx，進而導致Windows藍畫面當機。</p> <p>攻擊者利用CVE-2024-6768漏洞導致系統進入藍畫面當機狀態，致使系統暫時無法使用，透過反覆引發該漏洞，便能持續阻止系統正常運作，使組織的系統長時間停機。重要伺服器或是系統發生藍畫面當機導致業務中斷，特別是對於涉及財務交易、客戶服務或是核心業務的系統，可能會使資料丟失，對企業營運造成影響。</p> <p>這個漏洞雖然不會直接造成資料洩漏或是系統入侵，但是會明顯影響系統的穩定性和可靠性，降低使用者對系統的信任度。</p> <p>Fortra在去年底的時候就發現這個漏洞，提報給微軟並且附帶概念性驗證攻擊程式碼，但是微軟的工程師卻在1月的時候回覆無法重現漏洞，於是Fortra又提交了更多系統記憶體崩潰傾印和截圖給微軟，但微軟仍然表示無法重現問題，還關閉了案件。</p> <p>Fortra在2月底的時候再次重現該漏洞，並提供更多證據給微軟，在6月時通知微軟將申請CVE，最近Fortra在8月8日仍在最新更新的Windows 11和Windows Server 2022系統重現該漏洞，並在8月12日對外公開。</p> </div></div></div>
2024/8/13 16:49作者李建興https://www.ithome.com.tw/news/164448
CrowdStrike總裁親自領取「史詩級失敗」獎項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>CrowdStrike總裁Michael Sentonas上周出現在DEF CON的<a href="https://www.youtube.com/watch?v=6lLSdqUHNWM" target="_blank">Pwnie Awards頒獎典禮</a>上，並親自領取了「史詩級失敗」（Most Epic Fail）的資安獎項，臺下則響起一片歡呼聲來鼓勵Sentonas的勇氣。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0813-CrowdStrike_%40PwnieAwards_most%20epic%20fail_at%20%40defcon%20by%20%40arctic0x78%20on%20YouTube.png" style="width: 409px;" /></p> <p>CrowdStrike在今年的7月19日因執行Windows系統上的感應器配置更新，觸發了邏輯錯誤而造成Windows系統崩潰並出現藍色死亡畫面，雖然微軟宣稱大約只有850萬臺裝置受到影響，不到所有Windows裝置的1%，但此事波及了全球的物流、民航、金融及醫療產業，迄今仍無法估算相關損失，受到影響的達美航空甚至決定透過法律途徑<a href="https://www.ithome.com.tw/news/164312" target="_blank">向CrowdStrike求償</a>。</p> <p>Sentonas在接受了有半個人高的巨大獎座之後說，他們因為犯了可怕的錯誤才得到這個獎項，這不是個值得驕傲的獎項，卻是個重要的獎項，他要把它放在公司的顯眼處來提醒大家。</p> <p>Pwnie Awards始於2007年，被稱為資安界的奧斯卡獎，通常是伴隨著黑帽或DEF CON安全會議舉行，獎項包括最佳桌面臭蟲、行動臭蟲、最佳加密攻擊、最佳創新研究、史詩級成就，以及史詩級的失敗等。</p> <p><a href="https://pwnies.com/tsa-no-fly-list-exposed/" target="_blank">去年得到</a>史詩級失敗獎項的是美國國土安全部運輸安全管理局（Transportation Security Administration，TSA），因為無政府主義駭客Maia Crimew在TSA的伺服器上發現了禁飛名單，這是TSA提供給全球航空公司的名單，涉及逾150萬人，卻被放在公開網路上。</p> <p><a href="https://pwnies.com/hackerone-employee-caught-stealing-vulnerability-reports-for-personal-gains/" target="_blank">2022年的得主</a>是抓漏平臺HackerOne，因為HackerOne員工企圖竊取漏洞報告，並對外兜售以中飽私囊。</p> <p>身為全球最大軟體公司的微軟也曾<a href="https://pwnies.com/printnightmare/" target="_blank">在2021年</a>以PrintNightmare獲得史詩級失敗獎，得獎原因是微軟兩次修補它都沒成功，而且該漏洞還從本地權限擴張變成遠端程式攻擊。</p> </div></div></div>
2024/8/13 15:45作者陳曉莉https://www.ithome.com.tw/news/164446