iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 18:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

國內網路攝影機存在5年的漏洞被駭遭植入Mirai變種
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員<a href="https://www.akamai.com/blog/security-research/2024-corona-mirai-botnet-infects-zero-day-sirt" target="_blank">發現</a>，臺灣監控攝影機業者陞泰科技（AVTECH）的閉路電視攝影機軟體漏洞遭到駭客濫用，以植入殭屍網路軟體Mirai變種。</p> <p>漏洞是由內容遞送網路（CDN）廠商Akamai的資安研究人員Aline Eliovich發現，位於陞泰科技閉路電視（CCTV）攝影機一款舊式產品的韌體中，編號CVE-2024-7029。漏洞是出於陞泰科技攝影機產品和亮度有關的功能參數，可導致遠端程式碼執行（remote code execution）及指令注入，CVSS風險評分達8.7分。</p> <p>本漏洞影響陞泰科技執行韌體版本FullImg-1023-1007-1011-1009的舊型產品AVM1203。<a href="https://www.avtech.com.tw/Search.aspx?Key=AVM1203" target="_blank">AVM1203</a>廣泛用於企業、金融機構、公、私立醫院及運輸業。</p> <p class="rtecenter"><a href="http://www.avtech.com.tw/Search.aspx?Key=AVM1203" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0830-AVM1203.png" style="width: 600px;" /></a></p> <p>雖然Akamai是在本周才公布這項漏洞研究發現，但已通報主管機關。美國網路安全暨基礎架構管理署（CISA）8月初已經<a href="https://www.ithome.com.tw/news/164310" target="_blank">發布</a>安全公告，本漏洞不但能為遠端濫用，且觸發漏洞的難度不高。</p> <p>研究人員發現，攻擊者已經利用這項漏洞散布稱為Corona Mirai的Mirai變種。Corona Mirai也是一種殭屍網路軟體，疑似2020年就開始活動。在最新的攻擊中，這隻惡意程式以port 23、2323與37215透過Telnet連結大量主機（或受害裝置），還會在感染主機的控制臺列印出Corona字串。</p> <p>值得一提的是，雖然研究人員是在今年3月18日觀察到攻擊，但分析顯示，該變種最早2023年12月就開始活動，CVE-2024-7029的概念驗證（PoC）則至少在2019年就已公開流傳，但直到今年8月才被賦予漏洞編號。</p> <p>CVE-2024-7029迄今尚未修補。研究人員建議，確保安全最好方法是不再使用有漏洞但沒有修補程式的設備。</p> <p>另外，Corona Mirai的攻擊並不只攻擊陞泰科技CVE-2024-7029，資安研究人員發現，該殭屍網路軟體已成功濫用其他漏洞，包括其他AVTECH漏洞、一項Hadoop YARN RCE<a href="https://www.trendmicro.com/en_us/research/21/g/threat-actors-exploit-misconfigured-apache-hadoop-yarn.html" target="_blank">漏洞</a>、CVE-2014-8361和CVE-2017-17215等。</p> </div></div></div>
2024/8/30 11:07作者林妍溱https://www.ithome.com.tw/news/164771
傳聞微軟、Nvidia與蘋果都將參與OpenAI新一輪募資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼日前<a href="https://www.ithome.com.tw/news/164742" target="_blank">報導</a>OpenAI正準備展開新一輪募資，且估值超過1,000憶美元之後，華爾街日報（WSJ）再度<a href="https://www.wsj.com/tech/ai/openai-apple-funding-chatgpt-50754cd6" target="_blank">指出</a>，除了Thrive Capital與微軟之外，Nvidia與蘋果都可能參與OpenAI此次的募資。彭博社（Bloomberg）亦有類似的<a href="https://www.bloomberg.com/news/articles/2024-08-29/nvidia-has-held-discussions-about-joining-openai-s-funding-round" target="_blank">報導</a>。</p> <p>微軟是最早挹注OpenAI的業者，據稱已投入130億美元，擁有OpenAI約49%的分潤權利，且微軟於旗下的眾多服務中都整合了OpenAI技術。而蘋果則是今年6月才<a href="https://www.ithome.com.tw/news/163387" target="_blank">宣布</a>與OpenAI合作，並<a href="https://www.ithome.com.tw/news/163890" target="_blank">差點成為</a>OpenAI董事會觀察員。</p> <p>至於身為全球最大AI晶片供應商的Nvidia，則一直是OpenAI的供應商與合作夥伴。</p> <p>據傳OpenAI此次打算募集數十億美元，當中Thrive Capital準備投入10億美元，彭博社引述消息來源表示，Nvidia已討論是否要出資1億美元。至於微軟與蘋果的投資金額則不明。</p> </div></div></div>
2024/8/30 11:19作者陳曉莉https://www.ithome.com.tw/news/164772
【靠數位轉型加速永續發展，靠智能化、自動化與數位化更快實現淨零】用IT超越自動化控管極限，日月光讓永續管理更智慧化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「要進步越來越難。」日月光高雄廠企業職安處副處長顏俊明坦言，隨著日月光永續發展到一定階段，達成永續目標的挑戰也越來越大。他說，這是日月光永續發展的困境，需要依賴數位科技來解決。</p> <p>日月光半導體製造股份有限公司（以下稱日月光）永續轉型之路，最早可追溯至2007年的減碳旅程，開始透過碳盤查、產品碳足跡建立，達到節省能耗與減少碳排放。</p> <p>早在2009年，日月光就提出10年10％減量計畫，目標在2017年將單位產品溫室氣體排放量比2007年減少一成，還成立永續發展委員會，由各BU副總擔任該委員會永續發展委員，負責規畫公司未來的永續發展策略與目標。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>永續從碳盤查及碳足跡建立做起，逐年減少碳排放與能耗</strong></span></span></p> <p>為了達成十年減量目標，日月光在這段期間一方面全面展開碳盤查和產品碳足跡，來蒐集和盤點範疇一到範疇二溫室氣體排放情況；另一方面，採取節能和節水措施，提升廠內空壓、空調、水資源系統的運作效率與能源回收，逐步減少碳排放和降低環境的衝擊。此外，還將永續開始落實到新建廠及既有建物的設計，導入綠建築，提升節能和水回收率，也減少二氧化碳排放量。</p> <p>2012年，日月光開始在廠房導入能源管理系統，強化能源數據分析和即時監控，進一步提升能源使用效率。這讓日月光的能源管理進展到數位化的管理模式。</p> <p>除了減碳行動擴大到上下游供應鏈廠商，日月光對內則積極推動工廠用水減量、廢水回收再利用，以減少對環境的影響。</p> <p>日月光在2015年更啟用了全集團的第一座大型中水回收廠，初期每日可處理2萬噸廢水，回收1萬噸潔淨水。滿載運轉時，每年可減少超過360萬噸廢水，相當於1,440座奧林匹克游泳池的水量。該回收廠替日月光因此減少用水量並提升回水再利用效率。</p> <p>2016年左右，日月光提出永續發展長期策略，以低碳使命、循環再生、社會共融與價值共創4大主軸，展開全面且長期的永續行動。隔年，日月光訂定集團碳管理策略，以「節能」、「綠能」、「儲能」三大方針邁向低碳發展。</p> <p>日月光10多年前就開始發展永續，隨著進展達到一個階段，想要進步變得越來越困難。顏俊明就指出，節能和節水雖然可以通過硬體設備效率改善實現一定效果，但這些手段難以應對生產過程中的瞬間變化，也無法實現即時需量反應。當人力控制達到極限時，必須開始尋求新的改進途徑。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>2018年是轉型的關鍵年，靠IT驅動永續轉型再升級</strong></span></span></p> <p>2018年是日月光永續轉型的關鍵年，他們決定將數位科技融入永續轉型中，使節能減碳、節水手段更精進、更智慧化，加速其達成永續目標。</p> <p>顏俊明指出，自2018年開始，日月光大規模引入智慧工廠理念，並將其應用於永續推動中。這樣的運作使得節能、節水和智慧監控變得更加精準、更到位，甚至可以完全由智慧系統自動調節，而無需依賴人工控制，達到更高效的管理。</p> <p>像是在節能減碳上，日月光也在2018年高雄廠CSR報告中，揭露了這一套碳管理資訊平臺的架構，涵蓋了碳排放資料庫、溫室氣體管理、低碳產品應用以及低碳建築管理共4大模組功能。</p> <p>這套系統在2019年上線，推出溫室氣體管理功能，一年後，碳管理範圍更擴大至範疇三，涵蓋供應鏈上下游的碳排放量。日月光後來建立原物料碳排放資料庫，可於系統中顯示物料碳排資訊，便於優先選用低碳材料，進一步推動產品碳足跡的減量。</p> <p>導入碳管理資訊平臺，使日月光可以用系統化方式來管理和追蹤各廠區的碳排放量與強度，作為日後擬定減量方案參考依據。同時，日月光也開始推動內部碳定價機制，將碳費與財務資訊結合，以便將碳排放成本反映於營運中有效追蹤和評估碳成本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1197%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87600-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="font-size:16px;"><strong><span style="color: rgb(105, 105, 105);">2023年，日月光成立淨零辦公室，由該辦公室負責擬定三大階段淨零排放途徑，還規畫2050淨零行動地圖，作為未來30年淨零行動方針，提出了供應鏈、能源、碳平臺與綠色工廠四大管理基礎，與製造轉型、能源轉換、資源循環與數位轉型四大關鍵策略，落實永續中長期目標。從這份淨零行動地圖中，列出日月光未來各階段的發展重點。例如2025年起，擴大投資再生能源，並強化供應鏈碳足跡的減量；到2030年，則計畫納入零碳製程氣體及碳權／負碳技術的評估。</span></strong></span><span style="color: rgb(105, 105, 105);">圖片來源／日月光高雄廠2023年永續報告</span></span></p> <p>在水資源永續發展方面，不僅僅透過減量、再利用與回收措施，日月光自2018年起，開始用數位科技強化水資源管理。例如建立水資源管理e化平臺，搭配用水／回收水資料庫、各廠區水平衡圖等資料，掌握每日水情資訊，可作為檢視各製造廠區水資源的重要指標。</p> <p>到了2023年，日月光進一步導入水情智慧管理，結合水情燈號預警，提升水資源風險的預警及應變能力，同時強化各製造廠間的水網支援。此外，還推出行動化應用，可即時推送停水和水情資訊給相關人員，以便第一時間就能進行調度與配水，確保工廠穩定運作。</p> <p>顏俊明表示，將永續推動結合IT技術最大影響，在於平臺化、資訊數位化的建立，使永續單位能夠透過數位工具與推播，讓各單位主管掌握最新、即時的現場狀況。</p> <p>2018年，日月光為了推動智慧製造導入大數據分析、AI技術，後來也將這些技術應用於節能減碳、節水等環境永續發展中，也帶動日月光永續轉型進一步升級。</p> <p>例如，在能源管理方面，不光是採取管理優化、減量管制、效能提升、自動監控等措施，日月光還透過大數據掌握用電數據變化，並利用AI進行更精確控制，大幅提升能源管理效率。</p> <p>又以冰水主機系統為例，過去這類系統通常依賴傳統PLC進行控制，日月光後來也用AI優化達到最佳化控制。透過AI即時運算和節能模組能預測未來12小時的空調需求，自動調整冰水主機與無塵室風機運轉，進而強化即時管理與提升節能效率。日月光評估採用這種的方式每年可減少排放433噸二氧化碳當量，創造年約250萬元的經濟效益。此外。日月光也將AI運用在廠區工程監管、自動化設備維修、現場巡檢等提高環境及作業安全。</p> <p>在工廠生產流程中，日月光也用AI改善製程碳排。例如，過去，電鍍植球製程中必須使用含氟氣體進行化學性蝕刻，但在製程過程得排放大量含氟氣體。因此，日月光開始嘗試透過AI模擬，評估使用氬氣與氧氣替代含氟氣體進行物理性蝕刻，預期可大幅降低溫室氣體的排放。</p> <p>在廢水處理方面，日月光開發了AI智能加藥控制模組，不僅可監控廢水廠水質狀況，避免因過度加藥造成過多污泥，導致排放水質未達標。此外，還提供了預測水質異常的功能，提前發出預警，幫助相關人員更早進行應對處置。</p> <p>2021年，日月光更揭示2050年淨零排放目標，以科學化的減碳目標為基礎，承諾2030年達「辦公室據點」100%淨零排放，2050年達成「辦公室據點」及「生產據點」100%淨零排放的目標。</p> <p>從這一年開始，日月光在新建廠房中導入智慧建築設計指標，打造節能永續的智慧化綠色工廠，並透過資通訊、感知監測及系統整合等管理技術的應用，達到節約能源及人力。</p> <p>借重IT改革管理幾年來，導入大數據、AI後，日月光已經整合了智慧化能源管理、用電即時平臺管理作為節能推行主軸。日月光的節能策略，也從「自動化」進階到「智慧化」模式，開始實現工廠大型設備預測保養維護、高能耗設備能源效率提升。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>組建跨部門永續團隊，更導入現代化IT敏捷開發加速應用上線</strong></span></span></p> <p>為了將數位科技融入到永續轉型中，日月光永續部門逐步深化與IT部門的合作。2018年，日月光完成首座智慧工廠後，兩部門的協作越來越緊密，共同推動永續專案執行。</p> <p>截至目前，日月光高雄廠的跨部門永續團隊規模超過千人，設立不同團隊負責執行各類專案，例如節電大聯盟就是一個跨多部門組成的大型永續團隊，專注於節能專案推動和能源管理優化。</p> <p>由於日月光每年超過上百件永續專案，為了加快應用開發與上線，日月光在2020年開始採用了IT現代化的開發做法，組建了混合的敏捷團隊，透過小步快跑、快速迭代的方式推動各項永續專案，以便縮短永續應用的開發，讓這些應用能很快推上線。顏俊明表示，這個敏捷團隊到現在已經有六年的實踐經驗。</p> <p>不只是科技人才的培育，永續人才也是擴大永續轉型成果的戰力。日月光在2023年大舉展開內部永續人才的培育，除了派出廠內人才參與外部培訓，也找來外部分享溫室氣體盤查的知識，提高員工對於永續發展、碳盤查的基礎認知，更為因應減碳設立新職位。日月光在2023年高雄廠CSR報告中，就揭露了該公司從這一年開始設立溫室氣體管理官，由各主要製造廠區及行政單位的廠處長擔任，負責碳排熱點掌控、減碳成效審視與進度追蹤。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>公布2050淨零行動地圖，並提出四大永續管理基礎及四大關鍵策略</strong></span></span></p> <p>在2022年，日月光更制定了到2050年的淨零行動藍圖，並設立短、中、長期執行項目，逐步推進淨零目標。</p> <p>2023年是邁向數位與永續雙軸轉型的重要一年。日月光雙軸轉型的策略，不僅透過智慧技術賦能，將企業營運與永續績效相連結，還要在製程中應用AI技術提升工廠生產效率及市場影響力，更要延伸數位轉型的智慧製造對永續發展創造效益，進一步邁向智能化、自動化、數位化管理模式。</p> <p>日月光高雄廠總經理羅瑞榮在2023年高雄廠CSR報告中強調，將數位轉型的成果延伸至永續發展，實現智能化、自動化、數位化的永續管理，進一步實現智慧製造與永續發展的雙軸轉型。這是日月光未來能夠落實永續願景，實現2050淨零的一大關鍵。</p> <p>到2023年，日月光成立淨零辦公室，由該辦公室負責擬定三大階段淨零排放途徑，還規畫2050淨零行動地圖，作為未來30年淨零行動方針，提出了供應鏈、能源、碳平臺與綠色工廠四大管理基礎，與製造轉型、能源轉換、資源循環與數位轉型四大關鍵策略，落實永續中長期目標。</p> <p>從這份淨零行動地圖中，詳細列出日月光未來各階段的發展重點。例如，2024年將建立供應鏈管理平臺，推動供應鏈減碳；2025年起，擴大投資再生能源，並強化供應鏈碳足跡的減量；到2030年，則計畫納入零碳製程氣體及碳權／負碳技術的評估。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1197%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87600-1.png" style="width: 600px;" /></p> <p><span style="font-size:16px;"><span style="color: rgb(105, 105, 105);"><strong>在節能減碳上，日月光在2018年高雄廠CSR報告中揭露了一套碳管理資訊平臺的架構，涵蓋了碳排放資料庫、溫室氣體管理、低碳產品應用以及低碳建築管理共4大模組功能。這套系統在2019年上線，推出溫室氣體管理功能，一年後，碳管理範圍更擴大至範疇三，供應鏈上下游的碳排放量。日月光後來建立原物料碳排放資料庫，便於優先選用低碳材料，進一步推動產品碳足跡的減量。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／日月光高雄廠2023年永續報告</span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>日月光2023年永續轉型成果</strong></span></span></p> <p>近幾年，日月光積極擴大對環境永續投資，持續引進數位科技工具，加速推動永續目標達成，也讓日月光在節能減碳、水資源等永續推動取得不少成果。</p> <p>日月光在能源管理系統中導入智慧化管理後，大幅提升工廠能源管理效率，使去年節能改善幅度達5.2%，且用電密集度較2015年降低了16.7%。此外，導入碳管理平臺以來，統計2017~2020年底，日月光已累積減碳量達51,227噸二氧化碳當量，相當於132座大安森林公園的年吸碳量。</p> <p>這幾年，靠著IT助力，日月光在水資源管理效率也有顯著提升，從2018年每滴水只能重複使用2.59次，到了2023年增加至4.18次，等於是每滴水可以多用1.59次，這個數字顯示出日月光在水資源運用高效率。</p> <p>日月光中水回收廠也導入數位科技，提升製程廢水再利用效率。光是在2023年，這座中水回收廠一年就提供了日月光高雄廠，約561萬噸的回收水，回收率達75%。等於廠區每送出1,000噸製程廢水，經日月光中水回收廠處理後平均可釋出750噸中水再運用。</p> <p>日月光在綠色工廠導入資訊化、數位化科技來加強推動永續發展，幫助這些綠色廠房在2020~2023年間一共減碳43.3萬噸，節水3,037萬噸，節能95.1萬兆瓦時，以及減廢2.6萬噸。其中，K24廠在2019年還進一步取得低碳建築最高等級「鑽石級」認證，其碳排放量較一般廠房減少26.83%，約減少595,403噸二氧化碳排放量。</p> <p>日月光高雄廠副總經理李政傑在2024年3月一場數位永續雙軸轉型論壇上，提出了未來淨零行動執行策略，包括溫室氣體管理、減碳與抵換、循環經濟、供應鏈管理，並將以數位轉型加速布建綠色製程，提升能資源使用效率、源頭管理與循環再利用，以及強化低碳韌性，實踐淨零承諾。</p> <p>自2018年以來，日月光利用IT驅動加速永續轉型再進化，不僅僅是用來提升能源管理效率、減少碳排和提高水資源再利用率而已，也為日月光往後數位永續雙軸轉型，實現2050淨零目標奠定重要基礎。</p> <p>「IT技術能加速永續目標的達成，提升管理效率。」副處長顏俊明的一句話，點出了IT在日月光永續轉型中的關鍵作用。</p> <p><a href="https://www.ithome.com.tw/article/164769" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1197-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=jLCvRZNn" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/30 09:20作者余至浩https://www.ithome.com.tw/news/164765
日月光永續轉型發展史
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <blockquote><p><span style="font-size:20px;"><span style="color:#696969;"><strong>日月光半導體製造股份有限公司（以下稱日月光）永續轉型之路，最早可追溯至2007年的減碳旅程，開始透過碳盤查、產品碳足跡建立，達到節省能耗與減少碳排放。</strong></span></span></p> <p><strong><span style="font-size:20px;"><span style="color:#696969;">2018年是日月光永續轉型的關鍵年，他們決定將數位科技融入永續轉型中，使節能減碳、節水手段更精進、更智慧化，加速其達成永續目標。</span></span></strong></p> </blockquote> <p><strong style="font-size: 28px; color: rgb(255, 255, 255);"><span style="background-color:#ff3300;"> 永續發展時期 </span></strong></p> <p><span style="font-size:20px;"><strong>開始透過碳盤查、產品碳足跡建立，節省能源耗用</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2007年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●啟動內部碳盤查</span>。完成並通過ISO 14064-1溫室氣體盤查與查證。</strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●全面推動內部溫室氣體自願減量改善</span>，優先提升廠內空壓、空調、水資源系統效率與能源回收。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2008年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●參與國際CDP（碳揭露專案）碳揭露</span>。每年揭露氣候變遷及溫室氣體排放量的相關訊息。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2009年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●提出10年10％減量計畫</span>。目標在2017年將單位產品溫室氣體排放量比2007年減少10%。</strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●永續資訊揭露</span>。首次發行集團永續報告書，揭露公司碳排在內等溫室氣體排放資訊。</strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●永續發展委員會成立</span>。由各BU副總經理擔任該委員永續發展委員，負責規劃公司未來的永續發展策略與目標。</strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●開始推動碳足跡和產品環境宣告</span>。與台積公司制定首份積體電路的產品類別規則（IC PCR），涵蓋能源使用、水資源使用與污染物、廢棄物及空氣污染物產生量以及碳足跡，可作為半導體產業進行環保產品宣告的依據。</strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●高雄K12新廠導入綠建築</span>，節能20%、水回收率超85%，每年減少11,000噸二氧化碳，相當於30座大安森林公園的年吸碳量。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2010~2014年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●新建廠及既有建物導入綠建築</span>。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2010年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●產品碳足跡資訊揭露</span>。優先推動L/F、BGA、CSP、Flip Chip等主要封裝產品的碳足跡盤查，並完成碳足跡驗證。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2011~2016年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●推動全面產品碳足跡</span>。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2012年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●開始產品水足跡盤查</span>。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2012～2014年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●產品導入生態化設計</span>。從產品設計和技術導入開始，納入低污染、低耗能、節水等環保與安全考量，降低環境衝擊。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2012年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●用系統化管理掌握能耗</span>。導入ISO 50001能源管理系統，強化能源數據分析與即時監控，提升能源使用效率。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2014年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●推動綠色電力並認購綠電</span>。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2015~2018年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●推動供應鏈溫室氣體盤查、用水減量</span>。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2015年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●首座半導體中水回收廠啟用，</span><span style="color:#000000;">每日處理2萬噸廢水，回收1萬噸潔淨水</span>。滿載運轉時，年減少廢水超過360萬噸，相當於1,440座奧林匹克游泳池的水量。</strong></span></p> <p><span style="font-size:20px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2015%E5%B9%B4%EF%BC%9A%E3%80%88%E5%9C%961%E3%80%89.jpg" style="width: 600px;" /></strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2016年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●推動供應鏈減碳</span>。開始進行範疇三排放盤點與鑑別，將減碳作為擴展至上下游供應鏈廠商。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2017年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●訂定集團碳管理策略</span>，以「節能」、「綠能」、「儲能」三大方針，推動日月光低碳發展。</strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●</span><span style="color:#000000;">推動再生能源憑證作為碳管理工具。</span></strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●</span><span style="color:#000000;">成立氣候變遷管理小組。</span></strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#ff3300;"> 永續轉型時期 </span></strong></span></span></p> <p><strong><span style="font-size:20px;">開始結合數位科技，強化內部低碳管理與溫室氣體減量、水資源管理</span></strong></p> <p><strong><span style="font-size:20px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/2018%E5%B9%B4%EF%BC%9A%E3%80%88%E5%9C%962%E3%80%89.png" style="width: 600px;" /></span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2018年：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●轉型推動關鍵的一年</span>，開始利用資訊化與數位科技加速達成永續目標。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●擬定能源節能策略</span>，涵蓋管理優化、減量管制、效能提升以及自動監控，持續精進各廠區能源管理</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●導入氣候變遷相關財務揭露(TCFD)框架</span>。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●導入碳管理資訊平臺</span>，強化內部低碳管理與溫室氣體減量。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●建置水資源管理e化平臺</span>，有效掌握每日水情資訊，提升水資源管理效能。</span></strong></p> <p><strong><span style="font-size:20px;">●推動供應鏈「溫室氣體減量」與「水資源回收再利用」並制定減量目標。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2019～2020年：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●推動溫室氣體範疇三全面盤查</span>（參考2019年CSR p21）</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2019年：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●全面導入循環經濟</span>。高雄廠全面將循環經濟思維融入到「清潔生產」的流程管理中，降低對環境的衝擊。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●導入大數據分析與人工智慧</span>，使用AI對用電數據進行分析和控制，達到能源管理及優化。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●K24新廠取得低碳建築標章最高等級「鑽石級」認證</span> ，碳排放量較一般廠房減少26.83%，約減少595,403噸二氧化碳排放量。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●</span>高雄廠改以ISO 14064-1:2018新版溫室氣體排放標準完成盤查作業。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2020年：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●高雄廠完成供應鏈範疇三排放全面盤查</span>，並開始規畫範疇三溫室氣體減量措施。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●高雄廠節電大聯盟成立</span>。透過各廠交流、專家讀書會和節能競賽等活動，推動節能精進，並擴展至所有製造廠，優化能源管理。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●建立原物料碳排放資料庫</span>，可於系統中顯示物料碳排資訊，以優先選用低碳材料，推動產品碳足跡減量。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●推動內部碳定價機制</span>。規畫廠內節能方案、循環經濟及新購設備的效益評估，未來將導入碳費模式，結合碳費用與財務資訊，將碳排放成本反映於營運。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2020年底成果：</span></span></strong></span></p> <p><strong><span style="font-size:20px;">●高雄廠每單位營收的溫室氣體排放量較2015年降低6.45%，製程水回收率達80.8%，平均每滴水可反覆使用3.11次。廢棄物回收率達86.3%。推動91項循環經濟專案，創造1.5億元經濟效益，減少4,088噸二氧化碳排放。</span></strong></p> <p><strong><span style="font-size:20px;">節能減碳專案3年成果：</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●</span>累積減碳額度達51,227噸二氧化碳當量，2020年減碳量為11,315噸二氧化碳當量。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2021年：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●宣示2050年淨零排放目標</span>。承諾2030年達「辦公室據點」100%淨零排放，2050 年達成「辦公室據點」及「生產據點」100%淨零排放的目標。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●設定科學化的減碳目標</span>。採用SBTi科學基礎減量目標指引，設定範疇一與二以2016年為基礎至2030年減量35%及範疇三以2020年為基礎至2030年減量15%。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2021年底成果：</span></span></strong></span></p> <p><strong><span style="font-size:20px;">高雄廠每單位營收的溫室氣體排放量較2015年降低25.94%。水資源管理上，每滴水可以重覆使用3.27次。更推動了232件循環經濟專案，創造6.03億元的經濟效益，減少23,497噸二氧化碳當量，廢棄物回收率達87%。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2022年：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●制定高雄廠淨零規劃行動藍圖</span>，規劃至2050年前各階段的執行項目，以實現淨零目標。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●訂定碳管理主要行動策略與四大執行項目</span>。行動策略中包含範疇一二三的溫室氣體減量措施。四大執行策略則包括溫室氣體管理、減碳與抵換、循環經濟、供應鏈管理。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●高雄廠率先導入碳定價</span>，規劃2025年透過技術roll out讓80%以上廠區實施內部碳定價。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●導入廠務設備智慧化管理</span>。導入AI於冰水機負載管理系統，通過分析運作歷史數據，搭配演算法與學習模式，實現效益最佳化。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2022年底成果：</span></span></strong></span></p> <p><strong><span style="font-size:20px;">●完成逾百件節能專案，年節電量39,676兆瓦時（MWh），節電率2.92%，用電密集度較2015年減少近30%。再生能源使用6,213兆瓦時。水資源管理方面，每滴水可重複使用3.71次。成立塑膠循環中心，將廢塑膠回收再製垃圾袋。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2023年：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●成立淨零辦公室</span>，負責擬定三大階段淨零排放途徑，並規劃高雄廠2050淨零行動地圖與中長期目標。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●設立溫室氣體管理官</span>，由各製造廠區及行政單位廠處長擔任，負責碳排熱點掌控、減碳成效審視與進度追蹤。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●用AI協助改善製程排放減量</span>。透過AI模擬氬氣和氧氣進行物理蝕刻，以評估新氣體取代含氟氣體對生產效率的影響，作為電鍍植球製程的低碳排放替代方案。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2023年底成果：</span></span></strong></span></p> <p><strong><span style="font-size:20px;">●年節電量為68,018兆瓦時，節電率達5.2％，用電密集度較2015年降低16.7%。製程水回收率達85%。每滴水可反覆使用達4.18次。再生能源使用13,570兆瓦時。推動循環經濟效益達15.4億元，環境效益達63,330噸二氧化碳當量。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2024年３月：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●在高雄智慧城市展上展示智慧水務新應用</span>，利用AI預測水質變化，選擇最佳加藥時機，達成加藥減量30%及污泥減量35%的目標。在節電上，也將AI應用於無塵室空調系統，每年可減少23%的空調用電量，相當7,434戶家庭用電，約占高雄市楠梓區10%家庭年用電量。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2024年中：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●首座AI節能機房年底啟用（PUE低於1.2）</span>。</span></strong></p> <p><strong><span style="font-size:20px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024%E5%B9%B4%E4%B8%AD%EF%BC%9A%E3%80%88%E5%9C%963%E3%80%89%E6%94%9D%E5%BD%B1%E4%BD%99%E8%87%B3%E6%B5%A9.jpg" style="width: 600px;" /></span></strong></p> <p><strong><span style="color:#696969;">圖片來源／日月光、攝影／余至浩<br /> 資料來源：日月光CSR報告，iThome整理，2024年8月</span></strong></p> <p><a href="https://www.ithome.com.tw/article/164769" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1197-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=jLCvRZNn" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/30 09:21作者余至浩https://www.ithome.com.tw/news/164764
日月光不只打造智慧工廠，更用GenAI優化製程也要發展多元AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1197%E5%B0%81%E9%9D%A2-%E6%99%BA%E6%85%A7%E5%B7%A5%E5%BB%A0%E7%99%BC%E5%B1%95%E5%8F%B2-%E5%A4%A7%E5%9C%96(1).png" style="text-align: center;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1197%E5%B0%81%E9%9D%A2-%E6%99%BA%E6%85%A7%E5%B7%A5%E5%BB%A0%E7%99%BC%E5%B1%95%E5%8F%B2-%E5%A4%A7%E5%9C%96.png" style="width: 600px;" /></a></p> <p>日月光在永續發展方面雖然起步較早，但推動永續轉型升級的關鍵，則仰賴日月光多年來數位轉型的智慧製造推動成果，將這些成熟的數位科技、AI技術帶進永續轉型中，使得節能減碳、節水手段更精進、更智慧化，加速達成永續目標。</p> <p>日月光很早展開了數位轉型，朝向智慧工廠轉型。日月光希望透過智慧製造帶動生產的升級，將工業化基礎提升至更高水平，實現更高效的智慧控制生產模式，不只要提升生產效率和產品品質，更要提高產業競爭力。</p> <p>2011年，日月光成立自動化委員會，由各製造廠的自動化團隊以及資訊管理中心組成，共同推動生產流程自動化，不光是提高生產效率，更為往後發展智慧製造奠定重要基礎。</p> <p>到了2015年，日月光進一步啟動自動化關燈工廠建置計畫，以「自動化」、「高異質性機器設備整合」與「高異質性微系統封裝整合」三大主軸推動工廠智慧化的數位轉型。</p> <p>2018年是日月光AI技術發展的關鍵一年。這一年日月光開始將AI應用於智慧製造中，持續提升工廠生產良率與效能。同年，日月光啟用第一座關燈智慧工廠。</p> <p>往後幾年，日月光更持續擴大智慧工廠的部署，截至目前已累計有46座關燈工廠。也因為這些智慧製造成果，使日月光智慧工廠在2022年獲得世界經濟論壇認證，成為全球燈塔工廠之一。</p> <p>隨著AI應用日益成熟，日月光在2021年建構IAI（Industry AI）平臺，大力推動AI全民化應用，進一步將AI應用從內場域製造推向組織內部，從智慧資安、品質檢驗、智慧診斷，到智慧設計、參數最佳化以及智慧營運等領域。</p> <p>在2021年高雄廠CSR報告中，揭露了更多日月光AI落地的成果。在這一年，日月光在工廠一共部署了36支影像AI模型，用於檢驗圖像資料品質、偵測未知瑕疵、分析圖像特徵及小樣本訓練。還開發出有多達90支AI模型，用於異常偵測分析、趨勢預測及時序分析與預測等。</p> <p>不光是工廠生產採用，日月光也用AI優化產品設計，例如用AI模擬產品3D弧線圖和3D循環預測，藉此降低新產品導入的不良品的風險。導入這項AI應用後，日月光2021年一共解析13,598張BD圖資、59,621條3D弧線預測，以及完成2,351自動短路檢查。</p> <p>日月光不只將AI應用在製造端，結合深度學習和大數據，搭配自動化機器人技術，提升生產效能。隨著AI展現智慧製造成果後，日月光後來也將AI應用於廠務節能減碳等環保永續項目。</p> <p>不只打造智慧工廠，日月光去年開始採用生成式AI技術，來優化製程也要發展多元AI應用。日月光還將在今年底啟用首座AI節能機房，以滿足未來更多AI應用發展所需。</p> <p>這些數位轉型的成果，未來也將成為加速日月光永續轉型升級再進化的關鍵。</p> <p><a href="https://www.ithome.com.tw/article/164769" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1197-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=jLCvRZNn" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/30 09:23作者余至浩https://www.ithome.com.tw/news/164766
【日月光智慧水務應用實例】一滴水重複用4.18次！日月光如何靠IT實現超高回收水再利用率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「一滴水可用4.18次。」這是日月光水資源管理去年的新進展。</p> <p>日月光的一滴水旅程，從自來水進廠區開始，經過製程使用，再經中水回收廠回收後再運用，整個過程每滴水可重覆循環使用4.18次後才放流，離開工廠。這個數字顯示出日月光在水資源運用高效率，背後的關鍵是IT的運用。</p> <p>水在半導體製程中非常重要，不論是在切割和研磨製程中，都需要大量的純水，進行清洗和冷卻，日月光工廠每天所需的水量非常龐大，因此，如何節水和改善水質，來減少廢水排放、降低環境衝擊，是日月光在水資源永續發展中的重要目標。</p> <p>自2018年起，日月光將數位科技融入永續轉型，也應用於水資源管理，透過這些措施提升用水效率，降低水資源的耗用，達到更高效的水資源管理。</p> <p>在廢水回收再利用方面，除了各廠自行循環用水之外，日月光還透過一座大型中水回收廠，將製程廢水進一步淨化過濾，再回送產線使用。這座廢水回收廠中結合了許多數位科技、AI技術，持續提升其回水再利用效率。從這座中水廠能一窺日月光運用IT提高中水回收效率的做法。</p> <p>半導體製成所用的純水，水質純淨度得達到4個9，才能避免雜質影響到製程。所以，水廠中的每一滴水，皆需經過多道過濾機制，包括多層過濾系統（MMF），超濾膜系統（UF），以及逆滲透系統(RO)等，才能將淨化後的回收水再利用於製程中。</p> <p>流程上，當製程廢水進入回收廠後，首先經過底層的生物池降解，再進到上一層的MMF，去除水中的顆粒物質，接著經由UF進一步濾除細小顆粒及膠態物質，最後進到RO除去剩餘顆粒雜質。經過層層過濾處理後，水質才可達到幾乎99.99%的純淨度，最後再回送至產線製程使用。這些關鍵設施的處理效率，都會直接影響最後計算出來的每滴水再利用次數。</p> <p>為了提高回收利用率，日月光中水廠中設有多道機制來記錄和追蹤每一層過濾和處理過程，中水廠甚至設立了一個專人即時監控的中控室，所有數據最後會集中到廠房三樓的中控室進行管理和監控。管理人員可即時從螢幕上查看並分析這些數據，確保水資源的高效利用，一旦回收系統出狀況，也能第一時間介入處理，避免影響到後續的製程。</p> <p>搭配控制中心，日月光有一套監控及資料擷取系統，全程監控廢水處理過程中的各項指數，同時搭配排水監測系統，持續監控放流水的品質。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1197%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A8-960.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;"><span style="font-size:16px;"><strong>日月光的一滴水旅程，從自來水進廠區開始，經過製程使用，再經中水回收廠回收後再運用，整個過程每滴水可重覆循環使用4.18次後才放流，中水回收廠回收率可達75％，等於廠區每送出1,000噸製程廢水，經日月光中水回收廠處理後平均可釋出750噸中水再運用。</strong></span>圖片來源／日月光</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>監控用水數據確保水質與跨廠調度</strong></span></span></p> <p>除了監控廢水處理狀況外，日月光中水回收廠兼具有調度中心功能，可以隨時掌握各廠的水使用狀況，以便在水情吃緊時，可以透過廠內水網絡支援。</p> <p>日月光過去已有建立一套水資源管理e化平臺，可搭配用水/ 回收水資料庫、各廠區水平衡圖等資料，監看每日水情資訊。</p> <p>去年，日月光導入一套水情燈號預警系統，不僅能夠監控外部水源供應資訊，還能即時掌握每棟工廠的用水及蓄水量資訊，強化供水調配支援能力，此外，還結合行動化應用，一旦發生停水和水情異動，相關人員可透過手機查看，以便迅速應對處理。</p> <p>值得一提的是，在這套系統中，日月光還建立廠區缺水韌性機制，利用AI模型分析工廠每天的用水量和現有儲水量，推估每間工廠的水存量可使用時間，以便提前調度水網進行支援。這些措施讓日月光可以智慧化地管理水資源風險，應對氣候異常帶來的水資源不足的挑戰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-%E6%B0%B4%E6%83%85-%E5%9C%962%20.png" style="width: 552px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;"><span style="font-size:16px;"><strong>日月光去年導入一套水情燈號預警系統，不僅能夠監控外部水源供應資訊，還能即時掌握每棟工廠的用水及蓄水量資訊，包括中水回收的數據，強化供水調配支援能力，此外，還結合行動化應用，一旦發生停水和水情異動，相關人員可透過手機查看，以便迅速應對處理。</strong></span>圖片來源／日月光</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>結合AI提高回水廠回水利用和管理效率</strong></span></span></p> <p>隨著日月光永續計畫開始引進AI，這幾年，日月光也用AI來提高回水廠水資源利用和管理效率。像是用來輔助回收廠設備的維修，如決定何時替UF設備清洗，這類作業過去往往需要現場檢查，以確認是否存在堵塞情況，若是沒有即時清洗，就會影響流速，一段時間後，也會導致出現UF設備堵塞情況，而影響回水再利用效率。</p> <p>可是，在中水廠廠內很多套UF設備，人員常常需要花很多時間逐一檢查，也較缺乏效率。為了改善這個問題，他們開始結合數據分析與數位圖表工具，將水壓力變化等資訊視覺化，協助人員可以更容易地掌握每天這些數據的趨勢變化，了解各設備的堵塞情況，而不需要到現場查看，也減輕人員負擔，甚至他們也開始用AI輔助進行預警，透過這樣的方式，來預防堵塞，提升回水再利用效率。不過，即使借助AI判斷，最後也都會由人工確認才會展開行動。</p> <p>不只設備維修，在回收流程中也用AI來優化。例如在廢水處理上，日月光自行開發了一款AI廢水智能化加藥控制模組，掌握廢水廠水質狀況，並且可預測放流水水質，提前預警水質異常，縮短異常應變反應時間。導入 AI 模組後，日月光表示，廢水系統加藥量降低30%，污泥也減量35%。</p> <p>又如日月光廠區會用離子交換樹脂（2B3T）來吸附流水中的離子，提升中水的純淨度，後來，日月光也用AI模型計算2B3T再生時間，取代傳統人工定時操作，不只減少人為失誤風險，也達到最佳產水能力，他們評估，每年可減少工廠自來水使用水量560萬噸。</p> <p>這座中水廠全天運作，控制中心採24小時，兩班制輪班，為提升作業便利性，在中水廠中導入了行動平板，便於人員巡視可以記錄與查看設施運作狀況。</p> <p>日月光持續擴充中水廠的硬體設施與優化系統，目前每日可以處理多達3萬噸的水，都是靠數位科技和AI來提高回收效率。從2015年啟用，統計至2023年3月，累計已回收的生產用水達3千萬噸，相當於省下高雄市民約一個半月的用水量。</p> <p>光是在2023年，這座中水回收廠一年就提供了日月光高雄廠，約561萬噸的回收水，回收率達75%。</p> <p><a href="https://www.ithome.com.tw/article/164769" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1197-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=jLCvRZNn" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/30 09:24作者余至浩https://www.ithome.com.tw/news/164767
【永續第一線經驗：日月光高雄廠企業職安處副處長顏俊明】日月光永續團隊是敏捷團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了推動節能減碳，加速永續目標達成，日月光一年執行超過上百件永續專案，這些專案大大小小，都需要仰賴IT部門的協助，以便讓這些應用能夠更快上線，為此，日月光還採用IT現代化的開發做法，建立混合團隊，以小步快跑、快速迭代的方式推動各項永續專案，「這些團隊的組成會隨著專案不同而調整，展現出高度的敏捷性，甚至可以說是一個敏捷團隊」日月光高雄廠企業職安處副處長顏俊明這樣說道。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>將數位科技融入到永續轉型</strong></span></span></p> <p>企業職安處是日月光高雄廠負責永續推動的主要單位。顏俊明表示，日月光早期專注於數位轉型，於2011年成立智慧製造委員會。隨著數位轉型成果逐漸顯現，永續委員會進一步將轉型成果納入，利用數位科技協助達成永續發展目標，加速永續進程。</p> <p>顏俊明指出，過去日月光的節能目標通常僅符合經濟部能源局的要求，例如每年節能1%到2%。但透過數位科技的應用，日月光的節能目標，可以從1～2%，改定為更高的3～5%目標。</p> <p>不同以往依賴人為控制的節能做法，目標設定上較為保守，而數位科技的導入，讓日月光能設立更具挑戰性的目標。他強調：「這正是數位科技的最大優勢。」</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>永續部門和IT部門如何深化合作</strong></span></span></p> <p>為了將數位科技融入到永續轉型中，日月光永續部門逐步深化與IT部門的合作，日月光自2018年完成首座智慧工廠後，兩部門的協作越來越緊密。可是，由於初期始缺乏共通語言，彼此溝通不易，他表示，雙方在前期花了不少時間將各自的專業語言轉化為對方能理解的內容。</p> <p>例如，永續部門推動企業永續管理師培訓及ISO-14064溫室氣體管理課程，並邀請IT部門參與；而IT部門與自動化小組也開設自動化專班、智能工程學院及資安學院，推廣至包括永續單位在內的各部門，幫助他們初步了解並應用數位工具。</p> <p>他表示，透過這樣過程，讓雙方在語言和資訊交流上更加順暢，有效解決原有的溝通困難。</p> <p>日月光對於IT相當倚重，因為日月光高層相當清楚，驅動公司永續發展的關健，正是資訊化與數位科技應用，因此，日月光透過永續發展委員會的專案運作，導入多種數位工具，以實現各項永續目標。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>日月光永續專案團隊是一個混合的敏捷團隊組成</strong></span></span></p> <p>由於發展智慧製造，需要現代化技術才能實現，也讓日月光的IT現代化，開發方式也跟著轉變，採用更敏捷的現代化的開發模式。</p> <p>2020年，日月光永續發展開始進到下一階段，日月光開始採用DevOps敏捷開發，來進行永續專案開發，並組建由IT部門與永續部門成員組成的混合團隊，雙方協同合作，以小步快跑、快速迭代開發。</p> <p>在處理流程中，永續單位會根據管理需求和法規要求先完成流程整理，向IT負責窗口提出需求。接著，雙方共同討論並制定IT規格書，再交由開發團隊來開發。</p> <p>跨部門組成的敏捷團隊通過快速系統功能交付和意見回饋，讓開發出來的系統或功能能更符合永續單位的需求。顏俊明表示，這個混合的敏捷團隊到現在已經有6年實踐經驗了。</p> <p>顏俊明進一步說明，當公司達到一定程度的規模時，很難逐一處理每件事。例如，永續單位的成員可能需要對接兩個IT團隊，而一名IT人員也可能同時對應不同單位的需求，他表示，建立敏捷團隊的好處，可以讓跨部門的合作更具彈性。</p> <p>截至目前，日月光高雄廠的跨部門永續團隊規模超過千人，設立不同團隊負責執行各類專案，例如節電大聯盟就是一個跨多部門組成的大型永續團隊，包括生產營運單位、廠務單位等專注於節能專案推動和能源管理優化。</p> <p>在專案管理和追蹤上，永續單位也透過一套數位圖表工具，追蹤每個專案的執行進度和這些的異動。另外也會定期檢視專案執行進度，尤其是大型專案，永續發展委員會平均每兩至三周召開主題式會議，向總經理報告高雄廠的現況、未來計畫及執行情況。</p> <p>不僅如此，IT部門開發了多個No-Code應用平臺，降低數位永續應用的進入門檻與縮短開發時間。</p> <p>透過圖形介面和拖拉方式，即使非專業程式設計人員也能迅速上手，使用這些No-Code工具組合出應用程式的處理流程，並依據這些流程建構不同的永續應用。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>導入工廠碳排即時監控，每層樓的碳排都能追蹤</strong></span></span></p> <p>多年合作，由IT和永續單位組成的敏捷團隊，帶來在永續應用上不少成果。例如建立化學品現場濃度即時監控機制就是其中一項永續專案應用成果。</p> <p>過往，化學品濃度的監控主要依賴每半年的作業環境監測，後來，IT部門結合感知器與監測平臺，能夠即時了解作業現場化學品的濃度狀況，當濃度接近異常之前，提前做出應變。</p> <p>借助IT，日月光在工廠碳排管理做法上也持續精進，例如日月光原本就已建立一套能源管理平臺，用於追蹤和管理工廠能耗跟排碳狀況，但過去僅能依據整棟建築的數據推估碳排量，無法細分到每個樓層的即時碳排放的狀況。今年，該平臺則是可以更進一步監看每棟廠房樓層的數據，實現更細緻的碳排管理，最大化減碳或節能的效益。</p> <p>此外，該平臺還能提供每日碳排數據，便於各廠區的溫管官掌握每天的能耗和碳排放狀況，作為後續碳排放即時控制與改善的參考依據。</p> <p>顏俊明解釋，半導體生產涉及工單與客戶需求，產品可能需要經過不同的工序和站點。例如，一個產品可能需經過五個站點，而另一個則需經過六個站點，不同站點可能位在不同樓層，對於碳排的影響可能會有所差別，因此，需要更細致的數據收集和現場監控。</p> <p>「我們目前能夠掌握將近30棟建築物、20多間工廠的每層樓碳排數據。」他表示，未來，對新進單一高用電設備須更節能並能掌握即時能耗監控。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>用AI分析歷史運作、環境數據有效改善冰水機系統的能耗</strong></span></span></p> <p>日月光導入AI的永續專案也不少，例如在能源管理優化上，日月光導入AI於冰水機負載管理系統中，整合了冰水機的歷史運作資訊、外部氣溫和濕度狀況，搭配演算法與學習模式，調整冰機運轉和控制，最佳化廠內冰水機系統的效益。</p> <p>不僅如此，顏俊明也提到，日月光近期正在執行其中一項重要專案，要用AI協助製程溫室氣體排放減量。</p> <p>過去，電鍍植球製程中必須使用含氟氣體進行化學性蝕刻，但在製程過程也得排放大量含氟氣體。因此，他們開始嘗試透過AI模擬，評估使用氬氣與氧氣替代含氟氣體進行物理性蝕刻，預期可大幅降低溫室氣體的排放量，以達到源頭減量。另外，也正在嘗試開發ChatGPT類的應用，來提供內部人員的知識問答。</p> <p><span style="font-size:20px;"><span style="background-color:#3399ff;"> </span></span><a href="https://www.ithome.com.tw/article/164769" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color:#3399ff;">相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1197-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=jLCvRZNn" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/30 09:24作者余至浩https://www.ithome.com.tw/news/164768
日月光永續轉型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1197-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=jLCvRZNn" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日月光10多年前就開始發展永續，但隨著進展達到一個階段，想要進步，變得越來越困難，轉而從2018年起，決定將數位科技融入永續轉型中，使得節能減碳、節水手段更精進、更智慧化，加速達成永續目標</p> <p> </p> </div></div></div>
2024/8/30 09:30作者余至浩https://www.ithome.com.tw/article/164769
微軟將跨平臺開源.NET框架Mono專案移交WineHQ管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mono-project.com/">Mono專案將由WineHQ組織接手管理</a>，而微軟目前已經將原本Mono Runtime轉移到dotnet/runtime程式碼庫中，並敦促現有Mono使用者和基於Mono應用程式框架的維護者，都遷移使用新的.NET平臺。 <br /> <br /> WineHQ是負責維護和開發Wine的開源專案組織，而Wine是一個知名工具，提供相容層可以讓Windows應用程式在Linux、macOS和Unix-like作業系統上執行，透過將Windows API呼叫轉換成POSIX呼叫，可讓Windows應用程式不需要修改即可在非Windows環境下執行。</p> <p>微軟在2001年推出Mono，該專案的目的是提供跨平臺的.NET實作，使開發者可以在不同的作業系統上執行.NET應用程式。之後微軟開發了.NET Core和其後續的.NET版本，提供與Mono類似的跨平臺功能，跨平臺開發重心移往.NET，而Mono的更新便放緩，Mono最後一次重大更新是在2019年7月，之後都僅進行小規模修補，最近一次修補更新是在2024年2月。</p> <p>隨著微軟逐步轉移重心，現在WineHQ將接手成為Mono專案管理者，負責該專案的未來發展和維護。現有mono/mono及其他相關程式碼庫將繼續可用，雖然部分程式碼庫可能會封存，但是原始碼依然可以被存取和使用。另外，微軟現有的Mono二進位檔案也將會在未來至少四年繼續提供下載。這個作法確保Mono專案的延續，同時讓用戶有時間過渡到新的架構。</p> <p>微軟在dotnet/runtime程式碼庫中維護一個Mono Runtime分支。微軟已經逐步將使用原本的Mono工作負載，搬遷到新的分支上。目前這項搬遷工作已經完成，微軟也建議現有的Mono開發者以及相關的應用程式框架開發者，同樣轉移到.NET平臺以使用更新功能。</p> </div></div></div>
2024/8/30 08:23作者李建興https://www.ithome.com.tw/news/164761
【iThome 2024 CIO大調查系列6】2024企業技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1196-feng_mian_-p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=Xk3ieTol" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從IT基礎架構現代化技術，AP架構與開發趨勢，到各類資料與AI技術，38項新興IT技術，422家臺灣大型企業如何選擇？企業技術雷達圖，讓你用一張圖快速了解大型企業的2024年技術布局和採用趨勢</p> </div></div></div>
2024/8/30 09:08作者王宏仁https://www.ithome.com.tw/article/164659
在軟體中建置可演化性
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-yan_jin_shi_xi_tong_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>翻新現有架構並加入可演化性，很有挑戰性。如果開發人員從未在架構中建置過簡易變更，那麼這種變更就不太可能自發出現。無論多麼有才華的架構師，都無法在不付出巨大努力的情況下將一個Big Ball of Mud（大泥球）轉變為現代微服務架構。幸運的是，透過在現有架構中加入一些彈性點，專案可以在不改變整個架構的前提下獲得好處。</p> <p><span style="font-size:28px;"><strong>移除非必要的變異性</strong></span></p> <p>Continuous Delivery（持續交付）的目標之一是穩定性（stability），也就是以已知的良好部分為基礎，繼續建構。這一目標的常見表現形式是現代DevOps對建置不可變基礎設施（immutable infrastructure）的看法。</p> <p>現代DevOps用不可變的基礎設施（immutable infrastructure）取代了雪花（snowflakes），從而區域性解決了動態平衡問題。雪花基礎設施（snowflake infrastructure）代表的是由營運人員手工製作的資產，所有未來的維護工作都由人工完成。不可變的基礎設施是指完全以程式化的方式定義的系統。對系統的所有更動都必須透過原始碼進行，而不是修改執行中的作業系統。因此，從營運的角度來看，整個系統都是不可變的：一旦系統啟動，就不會再發生其他變化。</p> <p>雖然不變性聽起來似乎是可演化性的對立面，但事實恰恰相反。軟體系統由數以千計的互動部分組成，所有的這些元件之間都存在緊密的依存關係。遺憾的是，開發人員仍在為這些元件中的某一個發生變化所帶來的意外副作用而苦惱。藉由鎖定意外變化的可能性，我們可以控制更多導致系統脆弱的因素。開發人員努力用常數取代程式碼中的變數，以縮簡變化的維度。DevOps將這一概念引入營運工作，使其更具宣告性（declarative）。</p> <p>不可變的基礎設施遵循我們「去除不必要的變數」的建議。建置不斷演化的軟體系統意味著要盡可能控制越多的未知因素越好。要建置能夠預測作業系統最新的服務套件（service pack）會如何影響應用程式的適應性函數，幾乎是不可能的。取而代之，每次執行部署管線時，開發人員都要重新建置基礎設施，盡可能積極地捕捉破壞性變更。如果開發人員能夠從需要考量的要素中，移除像作業系統這種可變但已知的基礎組成部分，他們就能減輕持續測試的負擔。</p> <p>架構師可以找到各種途徑將可變事物轉換為常數。許多團隊還將不可變基礎設施的建議推廣到開發環境中。有多少次，某個團隊成員感嘆：「但它在我的機器上就能執行！」？確保每個開發人員都擁有完全相同的映像，眾多不必要的變數就會消失。舉例來說，大多數開發團隊都會透過儲存庫（repositories）自動更新開發程式庫，但IDE等工具的更新呢？將開發環境捕捉為不可變的基礎設施，開發人員就可以始終在相同的基礎上工作。</p> <p><span style="font-size:28px;"><strong>優先選擇可演化而非可預測</strong></span></p> <p>未知的未知數是軟體系統的剋星。許多專案在開始時都會列出一系列已知的未知數（known unknowns）：開發人員知道他們為此必須學習有關的領域知識和技術。然而，專案也會受到未知的未知數（unknown unknowns）之影響：沒有人知道會出現，但卻意外現身的東西。這就是為什麼所有的「Big Design Up Front（大規模預先設計）」軟體專案都會受挫：架構師無法針對未知的未知因素進行設計。</p> <p>雖然沒有一種架構能在未知中生存，但我們知道，動態平衡會使得可預測性（predictability）在軟體中變得無用。取而代之，我們更傾向於在軟體中建置可演化性（evolvability）：如果專案可以輕易整合變化，那麼架構師就不需要水晶球了。架構不是一項單純的前期活動：專案在其整個生命週期中會以明確或意想不到的方式不斷發生變化。為了隔絕變化帶來的影響，開發人員經常會使用反腐層（anticorruption layer）作為一種常見的保護措施。</p> <p><span style="font-size:28px;"><strong>建立反腐層</strong></span></p> <p>專案經常需要將自身與提供附帶基礎設施的程式庫耦合在一起，如訊息佇列、搜尋引擎等。Abstraction Distraction反模式描述一種情況，即一個專案自身與外部程式庫（無論是商業程式庫還是開源程式庫）有過多「連接」。一旦開發人員需要升級或更換程式庫時，使用該程式庫的大部分應用程式碼都會有基於之前程式庫抽象層的假設。領域驅動設計（domain-driven design）包含一種防止這種現象發生的保護措施，稱為「反腐層（anticorruption layer）」。這裡有個例子。</p> <p>敏捷架構師在做決策時推崇「最後負責時刻（last responsible moment）」原則，用來應對專案中常見的過早購入複雜性的危險。我們為一家從事汽車批發銷售的客戶，斷斷續續地開發了一個Ruby on Rails專案。應用程式上線後，出現了一個意想不到的工作流程。使用者需要一種方式來起始上傳動作，然後透過一些UI機制（如進度列）來了解進度，或者稍後再回頭檢視批次處理是否完成。翻譯成專業術語就是，他們需要非同步上傳（asynchronous upload）。</p> <p>訊息佇列（message queue）是解決此問題的一種傳統架構方案，團隊討論是否要將某個開源佇列新增到架構中。許多專案在此關頭的一種常見陷阱是這樣的態度：「我們知道我們最終會需要一個訊息佇列來處理很多事情，所以我們現在就去買一個最豪華的佇列，然後再慢慢學著善用它」。這種做法的問題在於技術債（technical debt）：專案中本不該存在的東西，卻妨礙了本該存在的東西。大多數開發人員都把難以維護的舊程式碼視為技術債的唯一形式，但專案也可能在無意中經由過早的複雜性買入技術債。</p> <p>對於此專案，架構師鼓勵開發人員尋找比較簡單的方式。有位開發人員發現了BackgrounDRb，這是一個非常簡單的開源程式庫，可以模擬由關聯式資料庫所支援的單一訊息佇列。架構師知道這個簡單的工具可能永遠無法擴充到未來的其他問題，但她沒有其他反對意見。她沒有試圖預測未來的使用情況，而是將其置於API之後，使其相對容易替換。</p> <p>在一週年紀念日前後，出現了第二個非同步需求，是與銷售有關的定時事件。架構師對情況進行了評估，認為使用第二個BackgrounDRb實體就足夠了，於是將其安裝到位，並繼續工作。在兩週年左右，出現了第三個需求，要求不斷更新快取和摘要等值。團隊意識到，當前的解決方案無法處理新的工作量。不過，他們現在對應用程式需要什麼樣的非同步行為有了很好的認識。於是，專案轉向了Starling，這是一個簡單但更為傳統的訊息佇列。由於最初的解決方案被隔離在一個介面之後，兩名開發人員只用了不到一次迭代（在那個專案上花了一週時間）就完成了轉換，而且沒有影響到在該專案上工作的其他開發人員。</p> <p>因為架構師已經設置了一個帶有介面的反腐層，因此更換功能就成了機械性的工作。建立反腐層可以鼓勵架構師思考他們需要從程式庫獲得什麼樣的語意（semantics），而不是特定API的語法（syntax）。但這並不是為所有東西建立抽象層（abstract all the things）的藉口！有些開發社群喜歡搶先使用抽象層，甚至到了模糊焦點的程度，但當你必須呼叫一個Factory來獲取對某個Thing的一個遠端介面的一個proxy時，事情就會變得難以理解。幸運的是，大多數現代語言和IDE都允許開發人員及時（just in time）抽取出介面。如果一個專案發現自己繫結到了一個需要改變的過時程式庫，IDE就可以代表開發人員提取介面（extract an interface），從而形成一個Just In Time（JIT，剛好及時）的反腐層。</p> <p>控制應用程式中的耦合點，特別是與外部資源的耦合點，是架構師的關鍵職責之一。試著找出新增依存關係的實際時機。作為一名架構師，請記住依存關係會帶來好處，但同時也會帶來限制。請確保更新、依存關係管理等方面的收益大於成本。<strong>（本文摘錄整理自《建立演進式系統架構》第7章，碁峰資訊提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%BC%94%E9%80%B2%E5%BC%8F%E7%B3%BB%E7%B5%B1-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／碁峰資訊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 建立演進式系統架構：支援常態性的變更第二版</strong>（Building Evolutionary Architectures, 2nd Edition）</p> <p>Neal Ford, Rebecca Parsons, Patrick Kua, Pramod Sadalage／著；黃銘偉／譯</p> <p>碁峰資訊出版</p> <p>定價：580元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%BC%94%E9%80%B2%E5%BC%8F%E7%B3%BB%E7%B5%B1-250-1.jpg" style="width: 150px;" /></p> <p><strong>Neal Ford</strong><br /> Neal Ford是Thoughtworks公司總監、軟體架構師和「迷因牧人(meme wrangler)」。<a href="https://www.thoughtworks.com/profiles/n/neal-ford" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Thoughtworks</span></span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%BC%94%E9%80%B2%E5%BC%8F%E7%B3%BB%E7%B5%B1-250-2.jpg" style="width: 150px;" /><br /> <strong>Rebecca Parsons</strong><br /> Rebecca Parsons博士是Thoughtworks的CTO。<a href="https://www.thoughtworks.com/profiles/leaders/rebecca-parsons" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Thoughtworks</span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%BC%94%E9%80%B2%E5%BC%8F%E7%B3%BB%E7%B5%B1-250-3.jpg" style="width: 150px;" /><br /> <strong>Patrick Kua</strong><br /> Patrick Kua是擁有20多年經驗的資深技術領導者。<a href="https://www.thoughtworks.com/profiles/p/patrick-kua" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Thoughtworks</span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%BC%94%E9%80%B2%E5%BC%8F%E7%B3%BB%E7%B5%B1-250-4.jpg" style="width: 150px;" /><br /> <strong>Pramod Sadalage</strong><br /> Pramod Sadalage是Thoughtworks公司Data and DevOps總監，負責在資料庫專業人員和應用程式開發人員之間架起橋樑。<a href="https://www.thoughtworks.com/profiles/p/pramod-sadalage" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Thoughtworks</span></a></p> </div></div></div>
2024/8/30 06:00未署名https://www.ithome.com.tw/article/164702
勒索軟體BlackByte利用VMware虛擬化平臺漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月VMware修補虛擬化平臺ESXi的身分驗證繞過漏洞CVE-2024-37085，隔月微軟警告<a href="https://www.ithome.com.tw/news/164182">有多個勒索軟體駭客組織將其用於攻擊行動</a>，如今也有其他駭客組織跟進。</p> <p>根據思科旗下威脅情報團隊Talos的監控，<a href="https://blog.talosintelligence.com/blackbyte-blends-tried-and-true-tradecraft-with-newly-disclosed-vulnerabilities-to-support-ongoing-attacks/">勒索軟體駭客組織BlackByte就是一例</a>。</p> <p>BlackByte疑似透過暴力破解取得初始存取權限，利用VPN存取受害組織內部網路環境，然後入侵2個管理員層級的帳號提升權限，其中1個帳號的用途，是存取vCenter伺服器；接著，攻擊者為每個ESXi伺服器設置AD網域物件並加入網域，然後又建立其他帳號並加入名為ESX Admins的AD群組。駭客這麼做，是為了利用CVE-2024-37085，從而讓該群組的成員提升在ESXi的權限，控制虛擬機器（VM）、竄改伺服器配置、存取系統事件記錄，或是監控效能。</p> <p>這些駭客利用SMB及RDP這兩個遠端存取管道，進入受害組織的其他系統、資料夾及檔案，並透過NTLM進行身分驗證。他們也藉由竄改系統登錄檔，或是手動從重要系統移除EDR系統的方式，來降低受害組織的資安防護強度，其中1起事故駭客甚至竄改ESXi主機的root密碼。</p> <p>值得留意的是，這些駭客除了利用上述漏洞，攻擊手法也出現變化，首先，是勒索軟體在啟動的過程中，會一口氣部署4個用於自帶驅動程式（BYOVD）攻擊的驅動程式，這些元件來自微星系統超頻工具Afterburner、Dell用戶端韌體更新工具、技嘉主機板公用程式，以及防毒軟體Zemana。這些駭客並非首度濫用合法驅動程式，但研究人員指出，過往這些駭客只會運用2至3支驅動程式。</p> <p>此外，駭客在偵察過程濫用特定使用者帳號，並利用SRVSVC命名管道及特定功能，找出網路環境的共用資料夾。</p> <p>在此同時，駭客會竄改Windows電腦的登錄機碼，停用防毒軟體Microsoft Defender，並將EXE檔列入白名單，然後刪除System32資料夾的特定檔案，例如：taskmgr.exe、perfmon.exe、shutdown.exe。</p> </div></div></div>
2024/8/29 18:29作者周峻佑https://www.ithome.com.tw/news/164762
【資安日報】8月29日，破壞EDR系統運作，惡意驅動程式PoorTry出現新手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了避免端點防護系統干擾勒索軟體加密檔案，最近2至3年，駭客利用含有弱點的驅動程式來達到目的，其中一款名為PoorTry的惡意驅動程式，最近引起研究人員高度關注。</p> <p>研究人員特別提及，此惡意驅動程式也納入了資料破壞軟體（Wiper）的功能，而能刪除EDR系統的EXE、DLL元件，使其無法再度運作。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164748"><strong style="font-size: 22px;">遊戲黑神話：悟空當紅，電玩平臺Steam遭遇大規模DDoS攻擊</strong></a></p> <p>大型電玩遊戲黑神話：悟空於8月20日正式發布，並在電玩平臺Steam售出超過1千萬套而成為熱門話題，上週末卻傳出玩家無法登入遊戲的情況，外界猜測是上線人員過多造成。但後續有資安業者發布消息，認為這是大規模DDoS攻擊事故。</p> <p>24日Steam中國代理商完美世界在網站公告，Steam遭到DDoS攻擊而可能影響遊戲執行，當地資安業者奇安信於隔日透露這起攻擊行動的規模，駭客動用了近60個殭屍網路，攻擊指令24日晚間暴增超過2萬倍，對13個國家、107臺Steam伺服器IP位址，輪番發動攻擊。</p> <p>奇安信於28日透露更多細節，指出這起攻擊行動大致分成4波，攻擊者選擇在各時區遊戲玩家集中上線的時段發動攻擊。</p> <p><a href="https://www.ithome.com.tw/news/164744"><strong style="font-size: 22px;">惡意驅動程式PoorTry被用於抹除EDR系統主要元件</strong></a></p> <p>攻擊者使用含有弱點的驅動程式，從而得到系統核心層級的權限，干擾防毒軟體或EDR運作，其中一種被勒索軟體駭客利用的驅動程式PoorTry（或叫做BurntCigar），最近被發現更具破壞威力。</p> <p>資安業者Sophos在今年7月的勒索軟體RansomHub攻擊行動裡，看到駭客試圖加密電腦檔案，而被他們的端點防護機制CryptoGuard攔截。研究人員在事件調查的過程中，發現駭客在數臺電腦部署PoorTry及載入工具StoneStop，而這些新版惡意工具與過往最大的差異，在於阻擾端點防護系統運作的方式。</p> <p>研究人員指出，這起攻擊行動的過程裡，駭客利用這種惡意驅動程式來破壞EDR系統的運作，像是移除或是竄改核心通知功能，他們總共看到7個裝置輸入和輸出控制（IOCTL）程式碼傳送到EDR核心模式的元件，然後利用EDR Killer的功能終止相關處理程序，並抹除這類系統的重要EXE、DLL檔案，使得EDR系統無法再度運作。</p> <p><a href="https://www.ithome.com.tw/news/164762"><strong style="font-size: 22px;">勒索軟體BlackByte利用VMware虛擬化平臺漏洞發動攻擊</strong></a></p> <p>今年6月VMware修補虛擬化平臺ESXi的身分驗證繞過漏洞CVE-2024-37085，隔月微軟警告有多個勒索軟體駭客組織將其用於攻擊行動，如今也有其他駭客組織跟進。</p> <p>根據思科旗下威脅情報團隊Talos的監控，勒索軟體駭客組織BlackByte就是一例。</p> <p>BlackByte疑似透過暴力破解取得初始存取權限，利用VPN存取受害組織內部網路環境，然後入侵2個管理員層級的帳號提升權限，其中1個帳號的用途，是存取vCenter伺服器；接著，攻擊者為每個ESXi伺服器設置AD網域物件並加入網域，然後又建立其他帳號並加入名為ESX Admins的AD群組。駭客這麼做，是為了利用CVE-2024-37085，從而讓該群組的成員提升在ESXi的權限，控制虛擬機器（VM）、竄改伺服器配置、存取系統事件記錄，或是監控效能。</p> <p><a href="https://www.ithome.com.tw/news/164760"><strong style="font-size: 22px;">韓國駭客利用WPS Office零時差漏洞，企圖於東亞組織植入後門SpyGlace</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-3.png" style="width: 300px; float: right;" /></a>資安業者ESET在追蹤韓國駭客組織APT-C-60的攻擊行動過程中，發現怪異的試算表檔案，一旦執行就有可能在受害電腦載入該組織的惡意程式下載元件。研究人員經過調查，發現駭客運用Windows版WPS Office的程式碼執行漏洞，目標是在東亞組織植入後門程式SpyGlace。</p> <p>研究人員指出，駭客利用的漏洞被登記為CVE-2024-7262，4.0版CVSS風險評分達到9.3，這項漏洞存在12.2.0.13110至12.2.0.16412版WPS Office，起因是名為promecefpluginhost.exe的元件存在路徑驗證不當的情況，攻擊者一旦利用，就有機會載入任意的Windows程式庫。研究人員分析根本原因，結果找到另一個漏洞CVE-2024-7263，CVSS風險評分同樣為9.3分。</p> <p><a href="https://www.ithome.com.tw/news/164740"><strong style="font-size: 22px;">Telegram創辦人被控散布兒童性剝削內容及多項犯罪，以500萬歐元交保</strong></a></p> <p>上周在法國被逮捕的Telegram創辦人暨執行長Pavel Durov，本周三（8月28日）以500萬歐元交保，法國指控Durov共謀管理網路平臺以推動非法交易，共謀散布兒童性剝削內容（Child Sexual Abuse Material，CSAM），還說Telegram幾乎不與執法機關合作。法國正在調查Durov，並要求他不得離境。</p> <p>根據Politico報導，法國在今年3月針對Telegram的兄弟檔創辦人Nikolai Durov與Pavel Durov發出逮捕令，主要是因為Telegram拒絕配合法國執法機構對CSAM散布的調查。彭博社（Bloomberg）與金融時報（FT）亦指出，法國對Durov的指控主要是共謀犯罪，涵蓋販毒、洗錢、散布CSAM或仇恨言論等，再加上Telegram幾乎不與執法機構合作，等於是忽視這些犯罪的存在。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.netskope.com/blog/phishing-in-style-microsoft-sway-abused-to-deliver-quishing-attacks"><strong style="font-size: 20px;">QR Code網釣駭客濫用微軟Sway設置冒牌網站</strong></a></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-241a">伊朗國家級駭客與勒索軟體駭客狼狽為奸，向美國國防、教育、金融、醫療機構進行勒索</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.microsoft.com/en-us/security/blog/2024/08/28/peach-sandstorm-deploys-new-custom-tickler-malware-in-long-running-intelligence-gathering-operations/">伊朗駭客組織APT33鎖定美國與阿拉伯聯合大公國散布後門程式</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://sec.stealthcopter.com/wpml-rce-via-twig-ssti/"><strong style="font-size: 20px;">WordPress多語系外掛WPML存在重大漏洞，攻擊者可用來遠端執行程式碼</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.fortra.com/security/advisories/product-security/fi-2024-011">Fortra公布檔案傳輸工具FileCatalyst寫死密碼漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164736"><strong>【8月28日】Versa Director零時差漏洞成中國駭客用來入侵ISP的管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164717"><strong>【8月27日】WordPress網站加速外掛LiteSpeed Cache漏洞已遭利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164701"><strong>【8月26日】Telegram創辦人暨執行長Pavel Durov傳出遭到逮捕</strong></a></p> </div></div></div>
2024/8/29 18:36作者周峻佑https://www.ithome.com.tw/news/164763
Martech雙周報第61期：Netflix大舉導入程序化廣告相關行銷科技，完善串流廣告平臺功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0818~0831)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#串流平臺廣告 #DCR #程序化廣告 #行銷成效追蹤</span></span></strong><br /> <strong>持續擁抱廣告業務，Netflix整合更多數位行銷通路及多方面Martech服務</strong></p> <p>開始經營廣告業務後，<a href="https://about.netflix.com/en/news/netflix-closes-successful-upfront-and-expands-advertiser-capabilities">Netflix積極轉型為一個數位廣告平臺，與數位廣告不同面向的科技廠商合作來完善廣告業務。</a>近日，他們正式與The Trade Desk、Google Display & Video 360及Microsoft的DSP合作，開放程序化購買廣告功能，同時也導入Google Campaign Manager 360及Innovid作第三方曝光成效驗證技術，以及導入DoubleVerify和Integral Ad Science技術來把關廣告欺詐。他們還預告，今年秋天將支援NielsenOne、Lucid、EDO、NCSolutions、Kantar和 Affinity Solutions等多家廠商來追蹤廣告成效。</p> <p>另一方面，他們與Snowflake、InfoSum和LiveRamp等數據處理商共同打造數據無塵室（DCR），與廣告主在符合隱私法規的環境下交流受眾重疊情況、廣告觸及範圍和頻率等數據。</p> <p>相較於廣告主直接透過Netflix自有通路購買廣告，並由Netflix單方面告知行銷成效，這一系列做法讓Netflix更符合業界程序化數位廣告的標準做法，有利於打破數據及成效隔閡，提升對廣告主吸引力。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第三方Cookie #瀏覽器廣告</span></span></strong><br /> <strong>eMarketer調查：未來美國市場有高達87%瀏覽器使用者無法用第三方Cookie追蹤</strong></p> <p>儘管Google宣布不再停用第三方Cookie，但提出的配套措施是，讓使用者一次性決定是否授權第三方Cookie追蹤。業界擔憂，此做法實質上是借使用者之手停用了第三方Cookie。針對此疑慮，<a href="https://www.emarketer.com/content/nearly-all-us-browsers-could-become-cookieless-future">研究機構eMarketer調查了美國瀏覽器使用者接受追蹤用Cookie的習慣</a>，並根據結果建議，廣告界仍需積極布局Cookieless解決方案，並不會因為Google名義上續用第三方Cookie而改變。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/351370.png" style="height: 550px;" /></p> <p>調查顯示，現行主動詢問但預設同意的第三方Cookie授權機制下，只有17% Chrome使用者會一律選擇接受，相當於整體美國瀏覽器使用者13%。報告進一步寫道，假設Edge也如預期在2024年完成第三方Cookie退場，則未來只有這13%的人會繼續同意被第三方Cookie追蹤，意味著第三方Cookie追蹤法會幾乎完全失效。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨生態圈投廣 #搜尋廣告</span></span></strong><br /> <strong>Google Search Ads 360開始支援微軟自動競價工具及投廣於微軟搜尋通路</strong></p> <p><a href="https://blog.google/products/marketingplatform/360/search-ads-360-adds-support-for-microsoft-automated-bidding/">Google搜尋廣告管理平臺Search Ads 360開始支援微軟自動競價工具Automated Bidding</a>，同時在兩生態系的行銷通路進行廣告投放，並同時利用兩家的AI技術來優化投放策略，即時調整競價預算。</p> <p>支援廣告主同時使用兩方競價技術的是Google跨平臺行銷成效追蹤技術Floodlight。此技術會蒐集廣告主不同通路的行銷活動數據，作為單一數據來源，並共享所需數據給微軟Automated Bidding，作為後者優化行銷策略的依據。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SEO #生成式AI搜尋</span></span></strong><br /> <strong>大型廣告出版商認為Google生成式AI搜尋功能對網站流量影響尚不明顯</strong></p> <p>生成式AI摘要的功能，會不會衝擊廣告出版商網站的點擊率或互動率，是Google推出AI Overviews摘要功能後，業界一大擔憂。近期，美國大型出版商Dotdash Meredith和Ziff Davis紛紛揭露自家統計數據，都認為目前Google生成式AI搜尋功能AI Overviews沒有明顯影響。這兩家企業都是每月可觸及上億人次的出版商。</p> <p><a href="https://ir.iac.com/static-files/e9c52890-76bd-4555-9927-89e7a6810a35">Dotdash Meredith在股東信中寫道</a>，AI生成答案目前在他們搜尋曝光佔比約為15%，其中在健康、科技和金融領域的頻率最高。曝光於AI Overviews與否，對使用者點擊率（CTR）影響目前仍然不大。<a href="https://discountingcashflows.com/company/ZD/transcripts/">Ziff Davis則在法說會中表示</a>，旗下以有機搜尋流量為主要流量來源的網域中，只有8%來自AI Overviews，影響也不大。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體行銷 #行銷成效追蹤</span></span></strong><br /> <strong>X（推特）新增貼文互動情形追蹤工具，能追蹤關鍵字熱門度和貼文互動率的時間趨勢</strong></p> <p><a href="https://twitter.com/verified/status/1827099222652678424">Ｘ新增了一個貼文成效追蹤工具Insights</a>，能視覺化呈現關鍵字熱門時間分析，以及這些含有這些關鍵字貼文的完整列表。另一個重要功能是，呈現出貼文在不同時間的互動數據，以了解貼文或關鍵字何時開始獲得或失去受眾關注。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/twttt.png" style="width: 600px;" /></p> <p>這些功能有助於廣告主平臺趨勢探索、安排貼文時間，以及觀察產業熱門主題變化。不過，目前此工具僅限認證組織（Verified Organizations）帳號使用，光是成為基本認證組織帳號，月費就高達200美元。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AR行銷 #AR硬體 #第三方AR行銷素材創作</span></span></strong><br /> <strong>Meta將終止AR行銷素材創作平臺Spark的服務</strong></p> <p><a href="https://spark.meta.com/blog/meta-spark-announcement">在Meta即將發表自家AR眼鏡Orion之際，他們宣布終止營運AR行銷素材創作平臺Spark。</a>這是一個用來創作AR行銷素材的平臺，用於Facebook和Instagram等社群媒體。Meta說明，未來將只支援由Meta官方開發、管理的AR元素，第三方創作的素材則會在2025年初停止支援。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://www.evidenza.ai/">Martech新創Evidenza推出利用生成式AI產出虛擬顧客，再對他們進行品牌市調等各式顧客調查的解決方案</a></p> <p>2. <a href="https://onetouchintelligence.com/streamtrak-fast-and-curious/">One Touch Intelligence調查顯示目前美國CTV通路的廣告版位過剩，原因是版位供過於求及影片素材製作成本過高</a></p> <p>3. <a href="https://www.linkedin.com/feed/update/urn:li:activity:7224722503342956545/">近期Google出現廣告主帳號被系統擅自為非自家商品投廣，甚至為競爭對手投廣的事件。</a></p> <p>4. Google開始嘗試在有機搜尋結果上標註「內容和標題如一」的認證，而非只是在廣告搜尋結果上</p> <p>資料來源：iThome整理，2024年8月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Netflix、eMarketer、X (Twitter)</p> <p></p> </div></div></div>
2024/8/29 18:38作者郭又華https://www.ithome.com.tw/news/164737
韓國駭客利用WPS Office零時差漏洞，企圖於東亞組織植入後門SpyGlace
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>韓國駭客組織鎖定辦公室套裝軟體WPS Office挖掘零時差漏洞，並用於實際攻擊行動，引起研究人員高度關注。</p> <p>資安業者ESET在追蹤<a href="https://www.welivesecurity.com/en/eset-research/analysis-of-two-arbitrary-code-execution-vulnerabilities-affecting-wps-office/">韓國駭客組織APT-C-60的攻擊行動過程中</a>，發現怪異的試算表檔案，一旦執行就有可能在受害電腦載入該組織的惡意程式下載元件。研究人員經過調查，發現駭客運用Windows版WPS Office的程式碼執行漏洞，目標是在東亞組織植入後門程式SpyGlace。</p> <p>研究人員指出，駭客利用的漏洞被登記為CVE-2024-7262，4.0版CVSS風險評分達到9.3，這項漏洞存在12.2.0.13110至12.2.0.16412版WPS Office，起因是名為promecefpluginhost.exe的元件存在路徑驗證不當的情況，攻擊者一旦利用，就有機會載入任意的Windows程式庫。研究人員分析根本原因，結果找到另一個漏洞CVE-2024-7263，CVSS風險評分同樣為9.3分。</p> <p>這些駭客如何利用CVE-2024-7262？當受害者以WPS Office開啟駭客提供的試算表檔案，電腦就會由wps.exe載入qingbangong.dll，驗證試算表的URL部分功能參數，接著啟動promecefpluginhost.exe，最終載入名為ksojscore.dll的程式庫與C2通訊，下載、執行後門程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/figure-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-3.png" style="width: 580px;" /></a></p> <p>研究人員認為，無論APT-C-60是自行挖掘或是購買漏洞，利用這種漏洞必須對應用程式內部進行研究，並且了解Windows如何載入處理程序，由於WPS Office有不少亞洲用戶，他們認為這代表該組織專門鎖定東亞國家而來。</p> <p>針對駭客使用的這項漏洞，研究人員認為極為狡猾，因為可被用於欺騙用戶點選看似正常的試算表檔案，攻擊者還能搭配MHTML檔案，讓漏洞能夠遠端觸發。</p> <p>罕見的是，ESET在公布調查結果的時候，首先提及漏洞通報的經過，突顯金山很可能早就知道漏洞已被利用的情況，後續處理過程卻不透明。</p> <p>駭客從2月開始利用漏洞後，金山已於3月底悄悄修補了CVE-2024-7672，但並未公告此事，直到4月ESET研究人員分析已上傳到VirusTotal的惡意檔案，發現該漏洞已被用於實際攻擊行動的情況。</p> <p>研究人員進一步調查修補程式碼，發現金山並未完整修補，仍有部分程式碼存在相關弱點CVE-2024-7673，他們後來在5月底通報，金山在6月下旬表示尚在解決問題，到了8月22日卻又改口承認，已於5月底就完成修補。</p> </div></div></div>
2024/8/29 16:51作者周峻佑https://www.ithome.com.tw/news/164760
健保署揭露智慧醫療等4面向進展，持續推動次世代數位醫療平臺計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>健保署署長石崇良日前<a href="http://www.youtube.com/live/hmoSCvKsenQ?si=I55Ic8C-38uhowc3&t=18229">在今年度行政院生技產業策略諮議委員會議（BTC）中，</a>揭露衛福部和健保署IT重點進展，包括在法規調試部分，已制定衛生福利資料管理條例，要保障民眾健保資料運用的退出權，另在智慧醫療部分，則將於2025年開始打造衛生所公版IT系統、持續推動FHIR標準和診所上雲。至於精準醫療和市場面向，則要整合NGS檢測資料至健保雲端查詢系統、將數位醫療納入健保暫時性支付等措施。</p> <p><span style="font-size:22px;"><strong>根據BTC去年建議調整4大政策方向</strong></span></p> <p>BTC是行政院在2005年成立的國家級組織，透過每年召開會議，來給出未來一年的生技醫藥產業發展建議，是政府制定施政方向的重要參考。在每年度的BTC大會中，政府單位也會針對過去建議和未來政策方向，給出整體報告。</p> <p>在今年8月26日展開的BTC大會中，健保署署長石崇良指出，去年BTC提出8大策略共21項建議，其中4大策略與健保署切身相關，包括法規調試、資料治理、智慧醫療和市場准入等共10項建議。健保署也根據這些建議，在過去1年進行改善，可分為法規調試、智慧醫療、精準醫療和市場准入等4個領域。</p> <p><span style="font-size:22px;"><strong>調整1：法規調試</strong></span></p> <p>在法規調試部分，健保署協助推動了4大法規，包括人體生物資料庫管理條例、衛生福利資料管理條例、通訊診察治療辦法修正案以及再生醫療雙法。</p> <p>就人體生物資料管理條例來說，目的是要讓資料庫數位轉型，因此擴大了生物資料庫範圍（納入基因、醫學影像）、提高資料庫整合串接和後續應用、制定資料管理措施（含蒐集、利用與國際傳輸），以及建置合規、安全的資料儲存和利用環境。石崇良點出，該條例草案已預告過一次，預計今年下半年送行政院審議。</p> <p>再來，衛生福利資料管理條例的出現，是要因應2022年8月大法官第13號的違憲判決，來提高健保資料授權使用的明確性和民眾退出權，保障人民資料隱私權。這個條例草案已於今年3月預告，並在8月9日函報行政院，預計下個會期於立法院審查。</p> <p>另一個法規是今年7月1日正式上路的修正版通訊診察治療辦法，擴大了適用遠距醫療的特殊情形、放寬處方開立、增加通訊診療項目，以及增加資安規範。</p> <p>還有一個法規是再生醫療雙法，更明確規範了再生醫療製劑的生命周期管理，並在今年6月19日由總統正式發布。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-29%20160751.png" /></p> <p><span style="font-size:22px;"><strong>調整2：智慧醫療</strong></span></p> <p>接著，在智慧醫療面向，一大亮點是推動次世代數位醫療平臺計畫。石崇良表示，這個政策是根據BTC建議而規畫，要來解決不同醫療機構間，資料難以互通的問題，也要順勢推動醫院醫療資訊系統（HIS）轉型、採用國際醫療資料交換標準FHIR。</p> <p>這個次世代數位醫療平臺（DHP）計畫可分為金字塔3個層級，其中最底層瞄準衛生所，由衛福部打造公版系統，來供衛生所使用、降低維運成本，預計2025年至2027年完成。中層則瞄準區域／地區醫院（包含部立醫院），石崇良表示，這類型醫院大多採用廠商系統，因此衛福部將建置公版基礎建設，來讓廠商依架構規格，發展客製化模組，供地區和區域醫院使用，一樣預計2025年啟動、2027年完成。最高一層鎖定醫學中心，要透過發展FHIR標準，來讓醫學中心系統與衛福部資料中臺介接，預計2024年啟動、2026年完工。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-29%20160903.png" /></p> <p>至於次世代數位醫療平臺本身，可分為底層、共通模組層和應用層等3大層，底層包括了SDK（如資安防護SDK、LLM/影像分析SDK、UI/UX SDK等），容器化的模組、框架和函式庫，如資安模組、AI/GenAI模組框架和函式庫，另還有API框架，像是FHIR API、EMR API、規則引擎等。</p> <p>共通模組層是指與醫療相關的通用模組，如跨院資料交換模組、用戶認證模組、健保申報模組、預約掛號、行動簽章等模組。往上一層則是醫療應用層，包含了醫療資訊系統HIS、護理資訊系統NIS、PACS影像儲傳系統、臨床決策系統和遠距醫療服務等系統服務。</p> <p>這個平臺的開發和建置，採共創模式，由業界專家討論底層架構標準，同時由有意願的業者來開發共通模組和醫療應用。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-29%20160947.png" /></p> <p>次世代數位醫療平臺的建置不止於此，石崇良點出，該計畫還包括臺灣智慧醫療生態系的養成，要建置3大AI中心和AI SMART市集。其中，3大AI中心是指負責任AI執行中心、AI取證驗證中心、AI影響性研究中心，目前已接受醫院遞交申請，預計8月底公布結果。而AI SMART市集則是指，以FHIR為標準打造的智慧醫療應用程式市集，可接軌國際SMART on FHIR市集，是臺灣接軌國際的重要環節。</p> <p>另一個智慧醫療面向的進展亮點，則是健保數位升級，尤其是健保雲和診所雲的發展。石崇良表示，今年健保署已將基本架構規畫好，明年開始擴大診所雲的推動，讓更多診所從過去的地端系統轉為雲端化。同時，他們也會推廣健康存摺SDK，讓更多民間業者申請介接、彙整健康數據。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-29%20161150.png" /></p> <p><span style="font-size:22px;"><strong>調整3&4：精準醫療與市場准入</strong></span></p> <p>在精準醫療面向，健保署已在今年5月將次世代基因定序（NGS）納入健保給付，接下來計畫打造國家級基因資料庫，也要整合NGS檢測資料至健保雲端查詢系統，來讓不同醫院醫師查詢、避免重複檢查。</p> <p>為形成精準醫療生態系，健保署也計畫建置NGS資料收載平臺，來收錄醫院自有實驗室或委外實驗室檢測資料，以及用藥追蹤等資料，來將這些真實世界資料（RWD）與國家級人體生物資料庫平臺整合，供後續研究、研發和科技評估參考。此外，健保署也將推動成立癌症新藥基金，來促進精準醫療生態發展。</p> <p>至於市場准入面向，重點則有將數位醫療納入健保暫時性支付，尤其今年在衡量AI輔助診斷工具納入健保的成本效益和財務衝擊，預計年底完成評估。石崇良指出，這個案例可作為之後數位醫療工具納入健保給付的參考。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-29%20161245.png" /></p> <p>對於尚未納入健保暫時支付的醫療科技，健保署將建置全國性的醫療費用資訊平臺，透過數位化和智慧化工具，如NLP工具來處理非結構化資料，來簡化自費項目收費審查流程。</p> <p>最後，為加速智慧醫材發展，衛福部將推動智慧醫材全方位輔導培育暨產業鏈結加值計畫，預計2026年啟動至2029年止。其特點有4大項，包括進行智慧醫材諮詢輔導時，導入病人為中心及全生命周期概念；協助收集真實世界數據，來加速指標性智慧醫材落地臨床應用；透過健保沙盒，來對智慧醫材進行臨床效益和健保給付評估；針對智慧醫材產品發展，提供國際法規參考。</p> <p><a href="https://drive.google.com/file/d/1DzbqUcobx36TcIWTPbOyQGCetQ3jgwYr/view">完整簡報於此</a>。</p> <p></p> </div></div></div>
2024/8/29 16:20作者王若樸https://www.ithome.com.tw/news/164759
遊戲黑神話：悟空當紅，電玩平臺Steam遭遇大規模DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型電玩遊戲黑神話：悟空於8月20日正式發布，並在電玩平臺Steam售出超過1千萬套而成為熱門話題，上週末卻傳出玩家無法登入遊戲的情況，外界猜測是上線人員過多造成。但後續有資安業者發布消息，認為這是大規模DDoS攻擊事故。</p> <p>24日Steam中國代理商完美世界在網站公告，Steam遭到DDoS攻擊而可能影響遊戲執行，當地資安業者奇安信<a href="https://www.qianxin.com/news/detail?news_id=12378">於隔日透露這起攻擊行動的規</a>模，駭客動用了近60個殭屍網路，攻擊指令24日晚間暴增超過2萬倍，對13個國家、107臺Steam伺服器IP位址，輪番發動攻擊。</p> <p>奇安信於28日透露更多細節，<a href="https://blog.xlab.qianxin.com/more_ddos_details_on_steam_cn/">指出這起攻擊行動大致分成4波，攻擊者選擇在各時區遊戲玩家集中上線的時段發動攻擊</a>。</p> <p>第一波出現在東半球24日中午，影響7個地區的Steam伺服器，時間接近1個小時；第二波同樣針對東半球，發生在24日晚間，駭客針對13個地區的伺服器發動攻擊，為期時間接近5小時最長，但是中間有間斷的情況。</p> <p>接下來的兩波攻擊，針對西半球及歐洲，而且，持續時間大幅縮短。第三波針對西半球，發生在當地24日晚間，攻擊者針對13個地區伺服器發動攻擊，過程接近15分鐘。最後一波則是發生在歐洲，也影響13個地區的伺服器，但時間不到2分鐘。</p> <p><a href="https://s4.itho.me/sites/default/files/images/steam_pic_ddos.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/steam_pic_ddos.png" style="width: 580px;" /></a></p> <p>研究人員指出，鎖定Steam發動DDoS攻擊的情況相當常見，但規模如此龐大的事故並不尋常，他們指出攻擊達到高峰時，駭客下達的命令多達25萬次，而且攻擊範圍也涵蓋遊戲代理商架設的Steam伺服器，這樣的情況，已經遠超過電信業者Verizon及其他知名企業遭遇的攻擊規模。</p> <p>再加上在黑神話：悟空正式推出之前，Steam並未發生如此規模的攻擊行動，研究人員認為駭客顯然是針對這款遊戲而來。</p> <p>而對於發動這波攻擊的殭屍網路，其中研究人員認為最值得留意的是殭屍網路Aisuru，駭客宣稱部署超過3萬個殭屍網路機器人，攻擊威力最大約為1.3 Tbps至2 Tbps。</p> </div></div></div>
2024/8/29 15:02作者周峻佑https://www.ithome.com.tw/news/164748
8萬臺灣企業開發者的成長課題
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「臺灣有多少開發者？」每一年，我會接到好幾通這樣的詢問來電或郵件。</p> <p>產業主管機關想知道該投入多少政策資源培育人才？科技大廠人資主管要評估在地IT人才庫夠不夠？公雲巨頭和晶片業者為了布局臺灣開發者生態圈而問，新創想衡量跨海招募開發好手的必要性。還有中小企業的IT主管很擔心，大廠搶過的開發人力還剩下多少？</p> <p>根據iThome 2024年CIO大調查，今年在臺灣兩千大規模企業中工作的開發人力，推估約8萬4千人。這些大企業中所有的IT從業人員約14萬人，其中約6成4是開發人員，這個比例一年比一年高，3年前只有5成3，今年已經來到6成多，企業越來越需要更多的開發能量和能力。</p> <p>這還沒有涵蓋到臺灣所有從事開發工作，或是具備開發能力的人才，還有更多小公司，獨立開發者，App開發團隊，甚至是就學中的開發人才。但，真正面對、解決大型企業級IT需求的開發者，大約就是這個數字，8萬4千人，他們也是臺灣開發者的核心。</p> <p>開發者的宿命（對有些人來則是種樂趣），就是得不斷學習、追逐新的技術發展。十年前，容器、K8s、微服務架構等雲原生技術體系，才剛成形，現在已經成了IT現代化的主流，是各大企業數位轉型的重要資訊基礎架構，更不用說最夯的生成式AI，ChatGPT爆紅不到3年，GAI輔助開發已經成了CIO非考慮不可的技術決策。</p> <p>從我們今年調查可以看到，越來越多企業的IT部門，開始嘗試、運用不同的生成式AI技術，來輔助IT的技術性工作。26%企業用GAI撰寫文件，18.5%開始嘗試GAI輔助軟體開發和程式碼優化，1成企業開始參考GAI資安助手給的建議。IT人手不足的服務業和一般製造業，這兩個產業更有破2成企業開始用GAI輔助軟體開發。若以8萬4千名企業開發從業人員來推估，可以大膽猜測，臺灣至少超過1萬5千名開發者，開始嘗試GAI輔助軟體開發，這真的是一個龐大的數據，超過1萬人已跟上最新的軟體開發GAI浪潮。</p> <p>但只是嘗試、開始用，還不夠，LLM模型、GAI工具快速進化，隔一年，就會有很大的變化，去年還在談GAI代理人應用的崛起，今年就出現了代理型流程的GAI開發（Agentic Workflow）話題。</p> <p>早在 2015年，我們就積極引介國外的Web實戰和最新的技術潮流來臺，回應臺灣開發者的焦慮和好奇。那一年開始，臺灣最大的Web開發者大會誕生，幾年來，邀請過不少國際大師級專家來臺分享，如JavaScript之父Brendan Eich、PHP之父Rasmus Lerdorf、 JSON格式發明人Douglas Crockford、《DOM Scripting》網頁開發暢銷書作者Jeremy Keith。後來幾年，更有不同國際大企業來臺分享自家開發實踐。去年，<a href="https://www.ithome.com.tw/article/160006" target="_blank"><span style="color:#3366ff;">Zalando前工程經理Andrew Howden就分享了</span></a>，一家5千億營收的歐洲電商巨頭，如何從一支PHP下單網站，發展到2千人雲原生開發團隊的轉型，獲得滿堂掌聲。</p> <p>但是，開發者的成長課題，遠不只有Web開發經驗的交流和學習，這正是為何今年我們進一步擴大開發者大會的議題範圍，從 Modern Web開發大會，轉型為<a href="https://hwdc.ithome.com.tw/2024" target="_blank"><span style="color:#3333ff;">Hello World開發者大會（HWDC）</span></a>，不只網頁開發，還涵蓋了各種開發技術、敏捷開發、開發安全、企業開發實踐、開發領導力，以及最新的AI開發浪潮，不只是臺灣最大的Web開發者大會，而要創造臺灣最大的軟體開發者的交流，光是各種開發議題的工作坊，多達48場，其中11場是AI技術與工具的工作坊。破百場議程分享中也有16場談AI開發經驗。</p> <p>開發者這幾年，相當的辛苦，好幾位IT主管都曾向我抱怨，成長課題越來越重要，得更努力才能跟上這股新科技的潮流。</p> <p>臺灣需要更多開發者間的經驗交流和學習，更多開發新手，得向擅長不同開發技術的前輩學習。各產業的企業都得借鏡科技先行企業的經驗，加速自己的步伐。各領域資深開發者之間，也得互相激盪，累積更多跨領域的觸發。CIO更需要強化開發團隊的戰力，更快掌握更多新技術。這些都是8萬名臺灣企業開發者的成長課題。</p> <p><a href="https://hwdc.ithome.com.tw/2024" target="_blank"><span style="color:#3333ff;">Hello World開發者大會</span></a>，這是我們想打造的臺灣開發者學習空間，推薦大家來玩，來成長。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/hello-world%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%A7%E6%9C%83">Hello World開發者大會</a></div><div class="field-item odd"><a href="/tags/hwdc">HWDC</a></div></div></div>
2024/8/29 14:32作者王宏仁https://www.ithome.com.tw/voice/164747
惡意驅動程式PoorTry被用於抹除EDR系統主要元件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者使用含有弱點的驅動程式，從而得到系統核心層級的權限，干擾防毒軟體或EDR運作，其中一種被勒索軟體駭客利用的驅動程式PoorTry（或叫做BurntCigar），最近被發現更具破壞威力。</p> <p>資安業者Sophos在<a href="https://news.sophos.com/en-us/2024/08/27/burnt-cigar-2/">今年7月的勒索軟體RansomHub攻擊行動</a>裡，看到駭客試圖加密電腦檔案，而被他們的端點防護機制CryptoGuard攔截。研究人員在事件調查的過程中，發現駭客在數臺電腦部署PoorTry及載入工具StoneStop，而這些新版惡意工具與過往最大的差異，在於阻擾端點防護系統運作的方式。</p> <p>研究人員指出，這起攻擊行動的過程裡，駭客利用這種惡意驅動程式來破壞EDR系統的運作，像是移除或是竄改核心通知功能，他們總共看到7個裝置輸入和輸出控制（IOCTL）程式碼傳送到EDR核心模式的元件，然後利用EDR Killer的功能終止相關處理程序，並抹除這類系統的重要EXE、DLL檔案，使得EDR系統無法再度運作。</p> <p>他們特別提及，去年<a href="http://www.ithome.com.tw/news/157011#poortry">趨勢科技發現的PoorTry</a>其實已納入相關的破壞功能，但直到這起攻擊行動才實際運用。</p> <p>針對這樣的態勢，研究人員指出，PoorTry發展至今，已從原本單純讓防毒軟體、EDR與系統脫鉤的工具，發展成類似Rootkit的惡意軟體，不只能對於控制低階作業系統功能的API進行控制，也可以直接從磁碟破壞EDR系統，從而為勒索軟體的加密工作鋪平道路。目前他們已確認有5個勒索軟體駭客組織使用這項工具，這些組織是：BlackCat、Cuba、LockBit、Medusa、RansomHub。</p> <p>此惡意驅動程式最早在2022年底由資安業者<a href="https://www.mandiant.com/resources/blog/hunting-attestation-signed-malware">Mandiant</a>、<a href="https://news.sophos.com/en-us/2022/12/13/signed-driver-malware-moves-up-the-software-trust-chain/">Sophos</a>、<a href="https://www.sentinelone.com/labs/driving-through-defenses-targeted-attacks-leverage-signed-malicious-microsoft-drivers/">SentinelOne</a>不約而同發現，趨勢科技隔年發現勒索軟體駭客BlackCat用於另一波的行動，並指出駭客為該驅動程式加入許多新功能。</p> </div></div></div>
2024/8/29 12:40作者周峻佑https://www.ithome.com.tw/news/164744
Google Gemini新增可客製化的個人助理Gem、全面部署Imagen 3圖片生成模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google昨（28）日<a href="https://blog.google/products/gemini/google-gemini-update-august-2024/" target="_blank">宣布</a>Gemini AI服務改版，加入可客製的個人AI助理Gem，以及高品質圖片生成模型Imagen 3全面部署到免費及付費版服務。此外，生成人物圖片的功能也重新上線。</p> <p>Gem是Google I/O曾預覽過的功能，是可客製化版本的Gemini。用戶可針對特定主題或目的客製化成特殊主題專家。用戶可自建一個專家團隊協助完成重大專案、為大型活動腦力激盪，或為社群平臺貼文撰寫標題。Google說，只要撰寫指令、給個名字就完成了，它還會記得用戶輸入的詳細指令，可節省重複性或困難任務的AI助理的開發時間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0829-Gem.png" style="width: 483px;" /></p> <p>過幾天，這項功能會推向有150多國家地區的Gemini Advanced、或是Business及Enterprise版本訂閱用戶。Gem共支援30多種語言，但Gemini應用程式必須同樣支援使用者所在的國家/地區和語言，才能在該程式中使用這項功能。</p> <p>為協助用戶入手，Google已預建了一些用於困難任務的Gems。像是引導學習的學習教練、幫忙想點子的腦力激盪者、可制訂自我提升計畫的生涯規劃顧問、改善文法到文章結構的撰文編輯，以及撰寫程式的小幫手等。</p> <p>另外，本月<a href="https://www.ithome.com.tw/news/164516" target="_blank">稍早</a>只提供美國市場的圖像生成模型Imagen 3，未來幾天內將全面部署到Gemini AI助理。</p> <p>Imagen 3為一潛在擴散模型（latent diffusion model），能根據用戶輸入的文字提示產生高品質圖片。Google說，DeepMind團隊大幅提升Imagen 3提示理解能力，使模型能了解並遵循落落長、充滿形容詞和複雜的提示，並生成細節繁複、色彩鮮豔、以及視覺設計更豐富的圖片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0829-imagen%203.png" style="width: 600px;" /></p> <p>Imagen 3在多項測試中，超越競爭者如DALL-E 3、Midjourney v6、Stable Diffusion（SD）3 Large、SD XL 1.0等模型。</p> <p>由於Imagen<a href="https://www.ithome.com.tw/news/161434" target="_blank">剛上線時</a>曾讓Gemini鬧出生成黑人美國開國元勛、或是女性教宗圖片的錯誤，讓Google延後Gemini人物圖片生成的服務上線。和Gem一樣，這項功能目前僅開放給Gemini Advanced、Business、和Enterprise方案用戶，僅提供英文版。Google說會持續改進其技術能力，以及安全與品質監控工具，也會提供清楚的產品原則。</p> <p>Google說，Imagen 3內建安全護欄並遵循產品設計倫理原則。此外，一如Imagen 2，新版本也使用了Google自有開發的浮水印技術SynthID防範冒充真人創作。用戶握有控制權，若生成的圖不滿意也可令Gemini重新生成圖片。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/8/29 12:41作者林妍溱https://www.ithome.com.tw/news/164745
瀏覽器公司Brave傳裁員14%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Techcrunch<a href="https://techcrunch.com/2024/08/28/brave-lays-off-27-employees/" target="_blank">報導</a>，獨立瀏覽器開發商Brave近日悄悄裁減了27名員工。</p> <p>依據第三方研究機構Pitchbook的數據，Brave員工數約為190人，因此這波裁員比例約為14%。Brave證實裁員，但並未透露確切的裁員規模。</p> <p>而這也是這家瀏覽器暨搜尋業者繼去年10月裁員9%後，第二波為人知的人事精簡行動。</p> <p>創立於2015年的Brave原本是封鎖所有分析與追蹤元件的隱私瀏覽器，2019年擴大獲利策略，推出隱私廣告及加密貨幣回饋方案Brave Rewards，允許隱私廣告露出的用戶可獲得廣告分潤。Brave 近年在AI風潮下，也推出了Leo助理Leo chatbot及自有AI模型。</p> <p>今年Brave並將Leo chatbot整合到搜尋服務中，供用戶以自然語言搜尋網際網路。此外，Brave也推出月費14.99美元的Leo Premium，提供付費用戶更多AI模型存取權及用量。</p> <p>不過Brave並未說明，AI營運的成本是否和此次裁員有關。</p> </div></div></div>
2024/8/29 13:01作者林妍溱https://www.ithome.com.tw/news/164746
OpenAI打算再融資，這次估值將超過1,000億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華爾街日報（WSJ）本周引述消息來源<a href="https://www.wsj.com/tech/ai/openai-in-talks-for-funding-round-valuing-it-above-100-billion-4f0550c5?st=nx0j2f01jkw4yna" target="_blank">報導</a>，OpenAI正在協商新一輪的融資，打算募集數十億美元，而此次所估算的OpenAI身價將超過1,000億美元。</p> <p>OpenAI自於2022年11月推出ChatGPT聊天機器人之後，身價扶搖直上，在2023年1月獲得微軟注資100億美元，當時OpenAI的估值為290億美元，已是2021年的兩倍；在OpenAI於2023年第四季開放員工出售股票時，估值則為860億美元，接近年初的3倍。</p> <p>根據報導，此次OpenAI的融資活動將由創投Thrive Capital領投，將投資10億美元，微軟也可能會加碼。此外，就算不是正式的融資活動，觀察OpenAI股票在二級市場的價格，其估值也已超過1,000億美元。</p> <p>The Information日前曾<a href="https://www.ithome.com.tw/news/162048" target="_blank">揭露</a>，微軟與OpenAI正在規畫一項資料中心專案，準備於6年內投入超過1,000億美元以建置多座超級電腦。</p> </div></div></div>
2024/8/29 12:10作者陳曉莉https://www.ithome.com.tw/news/164742
Nvidia財報出爐，營收再成長122%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia周三（8/28）<a href="https://nvidianews.nvidia.com/news/nvidia-announces-financial-results-for-second-quarter-fiscal-2025" target="_blank">公布截</a>至今年7月28日的2025財年第二季財報，該季Nvidia創下300億美元的營收，比去年同期成長122%，比上一季增加15%。當中，資料中心營收再創263億美元的新紀錄，比去年成長154%，比上一季成長16%。儘管財報超出預期，但Blackwell的延後上市，或許再加上對下一季的持平展望，讓Nvidia當天的盤後股價下滑了6.89%，跌至116.95美元。</p> <p>在300億美元的營收中，有263億美元來自於資料中心，占Nvidia總營收的87.7%；遊戲營收為29億美元，比上一季成長9%，比上一年成長16%；專業視覺化營收為4.54億美元，比上一季成長6%，比上一年成長20%；汽車與機器人業務則創下3.46億美元的營收，比上一季成長5%，比上一年成長37%。該季Nvidia的每股盈餘為0.68美元。</p> <p>AI帶動了Nvidia的資料中心業務，讓資料中心成為Nvidia成長最快也占比最高的營收來源。且根據估計，在全球AI晶片的銷售中，就有8成來自Nvidia。</p> <p>Nvidia創辦人暨執行長黃仁勳表示，市場對<a href="https://www.ithome.com.tw/news/150060" target="_blank">Hopper</a>的需求依然強勁，但對Blackwell的期待則令人難以置言，隨著全球資料中心正在全面推動加速運算與生成式AI，讓Nvidia的營收創下新紀錄。</p> <p>不過，原本預期會在第三季出貨的新一代Blackwell晶片，卻才開始送樣，分析師估計應會到第四季才開始出貨。另外，Nvidia預期下一季的收入約為325億美元。</p> </div></div></div>
2024/8/29 10:33作者陳曉莉https://www.ithome.com.tw/news/164739
企業更需要新技術的適應力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年iThome CIO大調查中，<a href="https://www.ithome.com.tw/article/164620" target="_blank"><span style="color:#3333ff;">有項企業對於生成式AI浪潮的準備度盤點</span></a>，不論在資料面、技術架構、戰略、風險治理、人才的能力上，多數CIO都自評自家企業的準備遠遠不夠，只有1成企業在資料與戰略面有較高的準備度，GAI人才更是嚴重不足，只有4.6%的企業有足夠的人才儲備。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/164620" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/196-%E5%B0%81%E9%9D%A2p2-GAI-600-3-PNG.png" style="width: 600px;" /></a></p> <p>就連IT預算向來比其他產業高很多的金融業，也只有17%金融業者做好資料準備，8成金融CIO自認在技術面和戰略面的準備不夠高，治理與人才的準備度更低。這樣結果讓我相當驚訝，但又不意外。</p> <p>生成式AI浪潮帶來的影響是根本性的，不只是AI技術面的突破，諸如辦公室生產力的提升、程式碼開發輔助、複雜基礎架構維運的優化，明顯讓企業看到成果，甚至改變了不少企業原本的作業模式。</p> <p>全球零售龍頭Walmart，最近在一場財報法說會議中就透露，要維護超過4億款商品品項的目錄非常困難，後來，他們改用生成式AI來處理高達8.5億筆的資料。「沒有生成式AI，在相同時間內完成同樣作業，需要近100倍人力。」Walmart資深副總裁Stephanie Wissink直言。提高產品目錄資料品質的好處，不只可以改善商品搜尋和產品推薦，連倉儲管理、訂單履行到店員服務都能有不小的優化。</p> <p>Walmart不只將生成式AI用於整理型錄資料，更有一款內部員工用的GAI助手，可以回答門市營運管理、庫存管理、保險與福利、薪資管理、員工訓練等數十種類問題。對外更打造了可提供超級個人化建議的GAI購物助手，也正在開發一款給第三方賣家的客服Chatbot。</p> <p>不只Walmart，已有許多企業看好，也逐漸找出生成式AI的價值和影響，而不只是趕搭ChatGPT熱潮而已。根據我們今年的CIO大調查，高達3成的臺灣企業正在嘗試和驗證GAI技術的各種可行性和場景。</p> <p>但是，生成式AI竄紅到現在，不過短短2年，科技巨頭們激烈競爭，紛紛投入龐大資本打造AI硬體設備，來加速大型語言模型的訓練，例如Meta用3千臺伺服器共2萬5千顆GPU的超大叢集，訓練4,050億參數的Llama 3模型，只花了54天，幾乎可以說只花了2個月就能改版。指標性大型語言模型幾乎是一年一次大改版，科技巨頭更推出各種GAI工具和服務，這些服務也隨著大型語言模型改版，而快速升級，甚至翻新。</p> <p>生成式AI技術和工具的快速演化之快，企業很難有足夠資源和人力，跟上科技巨頭不斷加速的技術競賽，才剛學會一項GAI技術或工具，可能就開始出現新版本的預覽。這也難怪，今年大調查中，幾乎很少有CIO認為自己做好了面對生成式AI浪潮的準備。</p> <p>就算準備不足，企業還是超想用生成式AI，高達4成企業要求CIO將AI創新列為年度目標，生成式AI就是關鍵。臺灣企業幾乎沒有能力自行從頭訓練LLM，必須善用科技巨頭的技術和服務，將各種雲端GAI技術和服務，串接到自家應用中整合，這又考驗企業的IT現代化程度和雲原生技術力。企業IT必須要能適應高速競爭下快速演化的生成式AI生態圈，以及GAI所連帶加速的既有技術領域，例如全新的GAI輔助開發模式。</p> <p>對新技術的適應力（Adaptability）將會成為企業IT需要的新能力，快速掌握一項新技術的變化，甚至有能力快速套用到自家的開發流程中，整合到自家應用系統中，企業過去在敏捷開發，DevOps、雲原生技術架構的累積和能力，都會是企業更快速掌握新技術變動的基礎。</p> <p>Walmart也有一套可以因應新技術不斷演化的作法，他們打造了一套內部用的生成式AI沙盒（GenAI Playground），提供多種GAI最新開發工具及測試環境，讓員工自己嘗試GAI，甚至提供了No-Code開發工具，連不熟技術的業務人員也能用GAI來創新，加入新技術的應用和創新的行列。不論GAI技術怎麼進化，Walmart這個做法，有機會進一步邁向全員創新，這是企業對新技術展現適應力最好的例子。</p> <p><a href="https://www.ithome.com.tw/article/164659" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1196-feng_mian_-p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=Xk3ieTol" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ithome-2024-cio%E5%A4%A7%E8%AA%BF%E6%9F%A5">iThome 2024 CIO大調查</a></div><div class="field-item odd"><a href="/tags/cio%E5%A4%A7%E8%AA%BF%E6%9F%A5">CIO大調查</a></div><div class="field-item even"><a href="/tags/walmart">walmart</a></div><div class="field-item odd"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div></div></div>
2024/8/29 10:49作者王宏仁https://www.ithome.com.tw/voice/164660
Telegram創辦人被控散布CSAM與其它犯罪，以500萬歐元交保
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周在法國被<a href="https://www.ithome.com.tw/news/164687" target="_blank">逮捕</a>的Telegram創辦人暨執行長Pavel Durov，本周三（8/28）以500萬歐元交保，但法國指控Durov共謀管理網路平臺以推動非法交易，共謀散布兒童性剝削內容（Child Sexual Abuse Material，CSAM），還說Telegram幾乎不與執法機關合作。法國正在調查Durov，並要求他不得離境。</p> <p>根據<a href="https://www.politico.eu/article/exclusive-telegram-ceo-brother-nikolai-durov-wanted-france-authorities-pavel-durov/" target="_blank">POLITICO</a>的報導，法國是在今年3月針對Telegram的兄弟檔創辦人Nikolai Durov與Pavel Durov發出了逮捕令，主要是因為Telegram拒絕配合法國執法機構對CSAM散布的調查。</p> <p>報導指出，法國調查人員在Telegram上臥底，以調查CSAM案件，發現了一名涉嫌自製並散布CSAM、也涉嫌非禮兒童的Telegram用戶，這使得法國企圖與Telegram交涉以確定該名用戶的真實身分，但Telegram卻無任何回應。</p> <p>而<a href="https://www.bloomberg.com/news/articles/2024-08-28/telegram-ceo-charged-in-france-for-alleged-criminal-use-of-app" target="_blank">彭博社</a>（Bloomberg）與<a href="https://www.ft.com/content/750b2fe4-5a1f-4484-a193-bb23e1b6475d" target="_blank">金融時報</a>（FT）的報導亦顯示，法國對Durov的指控主要是共謀犯罪，不管是販毒、洗錢、散布CSAM或仇恨等，再加上Telegram幾乎不與執法機構合作，等於是忽視這些犯罪的存在。</p> <p>目前並無任何證據顯示Durov直接參與了相關的犯罪行為，在Durov遭到逮捕時，Telegram也曾發表聲明，指出宣稱Telegram或其所有人應對該平臺遭到濫用而負責是荒謬的。</p> </div></div></div>
2024/8/29 11:01作者陳曉莉https://www.ithome.com.tw/news/164740
Nvidia公布Blackwell平臺AI推論Llama 2執行效能，為前代GPU 4倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia昨（28）日公布財報，並<a href="https://blogs.nvidia.com/blog/mlperf-inference-benchmark-blackwell/" target="_blank">公布</a>下一代GPU架構Blackwell的執行效能，宣稱執行Llama 2的效能是前代產品的4倍。</p> <p>Nvidia希望趁財報，為其預計第4季上市的Blackwell平臺晶片包括B100、B200暖場，但報導指出，新晶片因設瑕疵，推出時程可能會延遲到2025年第2季。</p> <p>Nvidia宣稱，在最新的MLPerf Inference 4.1標竿測試中，Nvidia平臺做過所有資料中心的測試，其中Blackwell平臺產品執行MLPerf最大的LLM工作負載Llama 2 70B的測試效能，比前一代Nvidia H100 Tensor Core GPU快高達4倍，這要拜第二代Transformer人工智慧引擎和FP4精度的Tensor Core核心所賜。</p> <p>最新的MLPerf標竿測試加入新的測試項目。其中包含專家混合（Mixture of Experts，MoE）模型，特別是Mixtral 8x7B模型。MoE模型之所以大行其道，是因為可支援多種任務、回答多種問題的企業開發需求，而且由於每次推論只需啟動幾個專家（而非整個模型），效能也更高。另一方面，LLM的推論應用持續增長，也推升對運算的需求，使多GPU（multi-GPU）運算成為必要。</p> <p>有鑒於此，Nvidia指出，前代Hopper架構為基礎的Nvidia NVLink互連技術和NV Switch晶片已經支援大型模型的即時推論。而新一代的Blackwell平臺將進一步以72顆GPU及更大的NVLink網域擴展NV Switch晶片的能力。</p> <p>除了新Blackwell架構，Nvidia並宣稱其H200 GPU搭載推論軟體Triton Inference Server在最近一次MLPerf測試表現，比前一次提升27%。而在邊緣運算平臺上，NVIDIA Jetson AGX Orin SOM（system-on-modules）在執行GPT-J LLM模型的測試中，傳輸量提升6.2倍，而延遲性則改善2.4倍。Nvidia表示，這效能表現讓Jetson平臺很適合於本地執行LLM、視覺transformer模型及Stable Diffusion模型等任務。</p> </div></div></div>
2024/8/29 11:19作者林妍溱https://www.ithome.com.tw/news/164741
Redis鎖定AI應用開發推出RAG等一系列新功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>記憶體資料庫Redis公司推出<a href="https://redis.io/blog/introducing-another-era-of-fast/">一系列產品功能更新</a>，以支援企業人工智慧應用程式開發。功能更新包括Redis for AI、Redis Flex、Redis Copilot和Redis資料整合等，這些新功能不只提供更高效的人工智慧開發工具、靈活的基礎架構，同時也強化資料整合能力，以支援快速且可擴展的應用程式開發。</p> <p>許多資料庫滿足人工智慧應用開發需求，開始添加專門的功能，Redis也不例外。Redis for AI提供了多項人工智慧應用程式開發功能，首先是支援檢索增強生成（RAG），結合快速的Redis記憶體資料庫，其提供一個即時架構，能加快生成式人工智慧應用程式的回應速度。而新的語義快取功能，則可以快速檢索已儲存的答案，減少呼叫大型語言模型的成本。</p> <p>Redis for AI還有大型語言模型記憶功能，提供個人化用戶對話。而代理記憶功能可加速代理的複雜推理功能，提供更準確和快速的回答。Redis for AI還有加入特徵儲存功能，可在生產環境中向機器學習提供低於1毫秒的高速預測，大幅提升模型的效能。</p> <p>由於Redis近期收購了鍵值儲存引擎Speedb，由該引擎支援的Redis Flex也成為本次更新的一部分。Redis Flex是一個可大幅降低快取成本的服務，官方指出，開發者能以相同的價格獲得5倍的快取容量。過去，Redis的自動分層功能只適用於大型快取，而小型快取因為成本、策略和應用上的限制，常導致快取未命中，而Redis Flex則針對DRAM和SSD儲存設計，進一步最佳化了快取的執行效能，提供比傳統記憶體解決方案更低成本的快取服務。</p> <p>Redis也提供了一款名為Redis Copilot的免費虛擬助手，協助開發者快速檢索文字訊息、生成程式碼片段和指令，並且可以使用自然語言進行資料查詢。Redis Copilot與一般虛擬助理使用體驗類似，只不過更貼近Redis自家各項功能與需求，使開發者能夠獲得更精確的回應。</p> <p>此外，Redis還推出新的資料整合功能，其目的在於加速應用程式的運作。資料整合透過自動化資料工作管線，從外部資料庫同步資料到Redis中。開發者只需要使用API就可進行連接，不僅簡化開發過程，也提高了資料的可靠性。</p> </div></div></div>
2024/8/29 08:19作者李建興https://www.ithome.com.tw/news/164735
【資安日報】8月28日，Versa Director零時差漏洞成中國駭客用來入侵ISP的管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週SASE供應商Versa Networks發布了一則不太尋常的資安公告，提及SD-WAN管理主控臺Versa Director的高風險遭到APT駭客利用，他們將協助客戶儘速緩解漏洞。</p> <p>值得留意的是，該公司已於6月下旬發布修補程式，但為何事隔2個月特別發布資安公告？很有可能與近期電信業者Lumen公布相關攻擊事故有關，Lumen指出，這項漏洞在Versa修補之前就遭到利用。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164722"><strong style="font-size: 22px;">美國ISP遭到中國駭客Volt Typhoon入侵，利用Versa Director零時差漏洞而得逞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Versa1_1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Versa1_1.jpg" style="width: 300px; float: right;" /></a>8月26日SASE供應商Versa Networks揭露高風險漏洞CVE-2024-39717，並指出這項漏洞存在於SD-WAN管理主控臺Versa Director的圖形介面客製化功能，攻擊者可藉由這項漏洞上傳假冒為PNG圖檔的惡意程式，值得留意的是，該公司特別提及這項已於6月下旬修補的漏洞，有APT駭客用於實際攻擊行動，呼籲用戶要儘速套用修補程式，並採取最佳安全實務的相關措施，隔日，美國網路安全暨基礎設施安全局（CISA）也將這項漏洞列入已被利用的漏洞名冊（KEV）。</p> <p>但究竟Versa提及的APT駭客是誰？電信業者Lumen旗下的資安實驗室Black Lotus指出，這波攻擊行動是中國駭客Volt Typhoon所為，有5家網路服務供應商（ISP）及代管服務供應商（MSP）受害，其中有4家為美國公司。一旦駭客成功利用漏洞，就會於網路環境部署名為VersaMem的Web Shell，藉此收集帳密資料，而能進入下游客戶的網路環境。</p> <p><a href="https://www.ithome.com.tw/news/164725"><strong style="font-size: 22px;">即時通訊軟體Pidgin外掛程式市集被用於散布惡意程式DarkGate</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GV7ESmUXMAAteSt.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GV7ESmUXMAAteSt.jpeg" style="width: 300px; float: right;" /></a>8月22日即時通訊軟體Pidgin發布公告，指出於7月6日上架的惡意外掛程式ss-otr（ScreenShareOTR）含有鍵盤側錄程式，而且還可能進行螢幕截圖將使用者操作畫面外流，他們在8月16日接獲通報，隨即將此外掛程式下架，並著手調查，呼籲已經安裝此外掛程式的用戶立即移除。</p> <p>針對這起惡意外掛程式的資安事故，資安業者ESET也著手調查此事，指出該外掛程式Windows版檔案名稱為ss-otr-1-1-0_installer_win32.exe，具有來自波蘭公司Interrex的有效簽章，雖然使用者依照指示安裝確實會在Pidgin加入駭客宣稱的功能，但內含的惡意程式碼會從C2伺服器下載PowerShell指令碼並執行，然後於受害電腦植入惡意程式DarkGate。</p> <p>研究人員進一步指出，駭客不光針對Windows用戶，Linux用戶也無法倖免。駭客也實作具有類似功能的Linux外掛程式pidgin-screenshare.so，同樣能夠下載並執行惡意指令碼。</p> <p><a href="https://www.ithome.com.tw/news/164731"><strong style="font-size: 22px;">勒索軟體Razr濫用雲端服務PythonAnywhere從事攻擊行動</strong></a></p> <p>雲端沙箱服務供應商Any.Run揭露名為Razr的勒索軟體，並指出駭客在作案過程當中，濫用名為PythonAnywhere的雲端程式碼執行服務，存放勒索軟體的有效酬載，以及受害電腦資訊。</p> <p>經過研究人員進一步分析，他們發現此勒索軟體的運作過程中，會產生唯一的受害電腦識別碼（ID）、加密金鑰，以及初始攻擊向量（Initialization Vector），並將這些資料以未加密處理的JSON檔案傳送至外部伺服器，然後於密碼區塊鏈（Cipher Block Chaining，CBC）模式下，透過AES-256演算法執行檔案加密。</p> <p><a href="https://www.ithome.com.tw/news/164698"><strong style="font-size: 22px;">PowerShell惡意軟體下載工具PeakLight埋藏在記憶體內運作，散布多種惡意程式</strong></a></p> <p>資安業者Mandiant最近揭露惡意程式下載工具PeakLight攻擊行動，駭客假借提供盜版電影為由，散布帶有捷徑檔案（LNK）的ZIP壓縮檔，一旦使用者開啟LNK檔，電腦就與特定的內容交付網路（CDN）連線，下載名為PeakLight的惡意程式下載工具，然後於受害電腦植入LummaC2（Lumma Stealer）、ShadowLadder（Hijack Loader）、CryptBot等惡意酬載。</p> <p>根據LNK檔的命令，大致可分成兩種，其中一種是濫用公用程式forfiles.exe尋找win.ini檔案，並啟動PowerShell，然後透過公用程式mshta.exe從特定網域搜尋下載、執行第二階段酬載；另一種則是直接執行PowerShell，啟動mshta.exe下載有效酬載，但特別的是，攻擊者下達命令時，會用到萬用符號，但為何要這麼做，研究人員沒有解釋。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://blog.xlab.qianxin.com/more_ddos_details_on_steam_cn/"><strong style="font-size: 20px;">中國3A大作黑悟空當紅，電玩平臺Steam遭遇大規模DDoS攻擊</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securelist.com/hz-rat-attacks-wechat-and-dingtalk/113513/">使用中國即時通訊軟體的macOS用戶遭到鎖定，駭客企圖散布後門程式HZ RAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://asia.nikkei.com/Spotlight/Cybersecurity/China-seen-using-white-hat-hackers-to-boost-cyberattack-capability">中國政府要求白帽駭客參與網路攻擊</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://thehackernews.com/2024/08/over-1-million-domains-at-risk-of.html"><strong style="font-size: 20px;">百萬網域曝露Sitting Ducks網域挾持弱點</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://embracethered.com/blog/posts/2024/m365-copilot-prompt-injection-tool-invocation-and-data-exfil-using-ascii-smuggling/">M365 Copilot存在ASCII走私漏洞，攻擊者恐藉此竊取資料</a></strong></p> <p> </p> <p> </p> <h3><strong>【資安防護措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164718"><strong style="font-size: 22px;">數位部開始測試打詐通報查詢網，透過自動化加快詐騙訊息處理流程</strong></a></p> <p>數位部長黃彥男上任滿百天，對外展示上任後的小成績單，其中在政府力推的打詐方面，他表示，在立法院三讀通過的打詐專法，相關子法也將於年底前完成。另外，由數位部建置的打詐通報查詢網也已開始封測，未來內部測試順利，行政院通過後，將會開放民眾使用。</p> <p>數位部政務次長林宜敬指出，當民眾在臉書看到疑似詐騙廣告內容，可將廣告連結複製貼上打詐通報查詢網，除了民眾通報之外，打詐通報查詢網結合資安院開發的AI偵測技術，可以自動偵測巡檢詐騙廣告，每月可偵測超過50萬筆廣告，宣稱偵測準確度達93%。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164717"><strong>【8月27日】WordPress網站加速外掛LiteSpeed Cache漏洞已遭利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164701"><strong>【8月26日】Telegram創辦人暨執行長Pavel Durov傳出遭到逮捕</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164662"><strong>【8月23日】協作平臺Slack搭載的AI功能有漏洞，恐曝露私人頻道機密資料</strong></a></p> </div></div></div>
2024/8/28 18:13作者周峻佑https://www.ithome.com.tw/news/164736
BTC提出智慧醫療發展建議，強調AI新藥設計、次世代醫療IT系統開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年度行政院生技產業策略諮議委員會議（BTC）在28日<a href="https://www.youtube.com/watch?v=g2QhHKWUuW0">閉幕會中提出智慧醫療發展建言</a>，供政府部會作為未來施政的重要參考。這些建議特別聚焦AI技術應用和醫療IT轉型，涵蓋3大議題、6大面向共25項建議，如AI新藥設計、運用IoT和AI優化供應鏈管理，以及持續推動次世代醫療資訊系統開發等。</p> <p><span style="font-size:22px;"><strong>3大議題涵蓋智慧創新、生醫永續和健康臺灣</strong></span></p> <p>BTC委員代表閻雲進一步說明，這3大議題包括智慧創新、生醫永續和健康臺灣。其中，智慧創新有3個目標，包括要加速新穎性生醫產品的開發、強化轉譯研究，以及用AI等跨域科技來發展臺灣的關鍵技術，像是新藥製造、檢測技術、在宅醫療科技和創新醫材等。</p> <p>生醫永續則是指打造臺灣品牌、往全球發展，而健康臺灣是要建置更完善的法制環境和科技應用（如智慧醫療、居家／遠距醫療、生醫數據應用），來推動全人健康照護和生醫產業發展策略。</p> <p>閻雲表示，這3大議題還可細分為6大面向，包括AI賦能應用、醫療資訊／健康數據、精準健康／全人健康照護、人才／資金、落地發展／市場准入，以及國際鏈接／市場布局，這6大面向下共包含了25項建議。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-28%20190528.png" /></p> <p><span style="font-size:22px;"><strong>AI、IT轉型成今年建議亮點</strong></span></p> <p>有別於去年，今年的建議大力強調AI應用和醫療IT發展。</p> <p>比如在AI賦能面向，BTC建議將AI用於4大領域，包括<strong>研發、檢測、製程</strong>和<strong>智慧健康</strong>，在研發部分，建議將AI用於藥物探索、藥物設計、篩選和開發等領域。檢測部分，則是要發展AI高解析度影像分析、打造疾病風險評估平臺，以及早期篩檢和診斷平臺。製程部分是要用IoT和AI，來加速開發、優化製程、生產營運和供應鏈管理。</p> <p>智慧健康部分的建議是要發展AI生醫軟硬體，而且要結合民間、醫學中心，來成立健康數據服務公司。閻雲表示，這項成立公司的建議是創舉也是期待，希望國家來共同推動，加速發展智慧健康檢測系統、建立更有效的個人化精準健康醫療和預防醫學。</p> <p>在醫療資訊面向，一大重點是推動次世代醫療資訊（HIS）系統轉型。</p> <p>這個IT轉型有幾個特色，如介接國際醫療資料標準、導入AI先進工具，來優化數據品質、加速資料處理（如非結構化資料）。該計畫初期階段對象為醫學中心、區域／地區醫院、衛生所和基層診所，至於長照和健檢機構，則會納入中長期階段來發展。</p> <p>閻雲指出，各種來源數據的整合也很重要，包括電子病歷系統、健保資料庫、穿戴式裝置等來源數據，需要有互操作性，以便介接次世代醫療資訊系統，進行後續分析應用。</p> <p>在醫療資料的運用上，BTC也建議政府部會參照國際標準，建立非遺傳基因資料的去識別化標準和法規，並加速這些數據於產業的應用。</p> <p>另一方面，即便是在精準健康／全人健康照護面向，也強調AI等技術的介入。比如，BTC建議聚焦全民早期篩檢、早期診斷和預防醫學，其中一個建議做法是靠穿戴式裝置、AR互動軟體和AI個人化輔助，來加強體適能維持。同時，BTC也建議整合醫療院所與長照照護場域的系統整合，鼓勵不同檢測和遠距醫療平臺的數據串接與介面標準化，政府還應推動實驗沙盒計畫、場域驗證。甚至，BTC建議公私協力，將健康臺灣納入永續發展（ESG）目標，要共同制定數據共享政策、發展智慧照護產業，改善不健康餘命年數。</p> <p><span style="font-size:22px;"><strong>人才、市場發展也聚焦AI和IT</strong></span></p> <p>再來，在人才與資金面向，也有AI的影子。</p> <p>比如，BTC建議政府推動補助、獎勵和配套優惠措施，來培育和延攬AI、轉譯研究、臨床研究設計等領域的國內外中高階人才。BTC也建議政府引導生技、數據相關科學和資訊工程等跨領域課程設計，來培育跨領域生醫人才。</p> <p>在落地發展／市場准入面向，BTC建議，針對已取證的智慧醫材，透過健保沙盒模式在醫院試行、確定成本效益後，除了納入健保給付，也要優化產品、輸出到海外市場。</p> <p>他們也建議發展以效益為指標的給付模式，來鼓勵導入創新應用，並納入商業保險這類健保經費以外的新資源，來促進生醫產業發展。</p> <p><a href="https://stp.nstc.gov.tw/File/333941694FDA1796">完整建議於此</a>。</p> <p></p> </div></div></div>
2024/8/28 19:10作者王若樸https://www.ithome.com.tw/news/164738
即時通訊軟體Pidgin外掛程式市集被用於散布惡意程式DarkGate
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月22日<a href="https://pidgin.im/posts/2024-08-malicious-plugin/">即時通訊軟體Pidgin發布公告</a>，指出於7月6日上架的惡意外掛程式ss-otr（ScreenShareOTR）含有鍵盤側錄程式，而且還可能進行螢幕截圖將使用者操作畫面外流，他們在8月16日接獲通報，隨即將此外掛程式下架，並著手調查，呼籲已經安裝此外掛程式的用戶立即移除。</p> <p>Pidgin維護團隊提及，這個外掛程式最可疑之處在於，開發者只提供安裝程式，並未提供原始碼，他們未來將要求所有的外掛程式都必須具備OSI核可的開源授權，並儘可能驗證是否安全才核可上架。</p> <p>針對這起惡意外掛程式的資安事故，<a href="https://x.com/ESETresearch/status/1828114327976415445">資安業者ESET也著手調查此事</a>，指出該外掛程式Windows版檔案名稱為ss-otr-1-1-0_installer_win32.exe，具有來自波蘭公司Interrex的有效簽章，雖然使用者依照指示安裝確實會在Pidgin加入駭客宣稱的功能，但內含的惡意程式碼會從C2伺服器下載PowerShell指令碼並執行，然後於受害電腦植入惡意程式DarkGate。</p> <p>研究人員進一步指出，駭客不光針對Windows用戶，Linux用戶也無法倖免。駭客也實作具有類似功能的Linux外掛程式pidgin-screenshare.so，同樣能夠下載並執行惡意指令碼。</p> <p>針對駭客存放上述惡意外掛程式的伺服器，研究人員表示，此伺服器也代管名為Omemo、Pidgin Paranoia、Master Password、Window Merge、HTTP File Upload的惡意外掛程式，這代表上述的ss-otr僅是攻擊行動的一部分，目前他們已公布入侵指標（IoC）讓資安人員參考。</p> </div></div></div>
2024/8/28 15:53作者周峻佑https://www.ithome.com.tw/news/164725
勒索軟體Razr濫用雲端服務PythonAnywhere從事攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端沙箱服務供應商Any.Run<a href="https://x.com/anyrun_app/status/1826595314486116479">揭露名為Razr的勒索軟體</a>，並指出駭客在作案過程當中，濫用名為PythonAnywhere的雲端程式碼執行服務，存放勒索軟體的有效酬載，以及受害電腦資訊。</p> <p>PythonAnywhere是以Python為基礎打造而成的平臺，提供整合開發環境（IDE），以及網頁伺服器的功能，使用者只要透過瀏覽器就能存取這個Python開發環境。這家公司於2022年被資料分析業者Anaconda買下，並以獨立品牌運作至今。</p> <p>經過研究人員進一步分析，他們發現此勒索軟體的運作過程中，會產生唯一的受害電腦識別碼（ID）、加密金鑰，以及初始攻擊向量（Initialization Vector），並將這些資料以未加密處理的JSON檔案傳送至外部伺服器，然後於密碼區塊鏈（Cipher Block Chaining，CBC）模式下，透過AES-256演算法執行檔案加密。</p> <p>他們也發現在這波攻擊行動裡，有多個Webhook被重新導向Discord的情況，而這些Webhook與特定的雜湊值有關，但究竟這些Webhook有何用途，研究人員並未說明。</p> </div></div></div>
2024/8/28 17:09作者周峻佑https://www.ithome.com.tw/news/164731
數位部長黃彥男揭露AI為下階段政府轉型發展關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部長黃彥男今天(8/28)在2024數位政府高峰會中揭露，下一階段政府數位發展規畫方向，呼應總統打造臺灣成為AI島的願景，政府將運用AI以提升公務行政效率，並提供24/7即時回應的便捷服務。</p> <p>該規畫稱為智能革新數位領航計畫，執行期間為2026年到2030年(民國115年到119年)，目前正由數位部規畫研擬中，可能在年底到明年才會公開詳細的計畫內容。</p> <p>黃彥男揭示該計畫的概述內容，智能革新數位領航計畫分為便捷、效能兩大方面，首先在便捷服務部分，著重於發展智慧客服、智慧祕書、智慧助手，其中智慧客服提供民眾24/7即時回應，以提高公共服務的可及性和滿意度；智慧祕書則提供個性化的精準服務，減少民眾等待及查詢時間；智慧櫃臺則協助民眾完成業務申辦流程．提高成功率及便利性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(81).jpg" style="width: 960px; height: 420px;" /></p> <p>效能方面，著重發展各種智慧助手，以提升公務人員處理業務與申辦審查效率，降低人為錯誤、提升決策品質，並發展其他創新智慧應用，各部會需利用這5年期間，整備資料發展資訊業務助手、行政業務助手、特定業務助手，並且訓練智能模型，創新應用試驗及導入。</p> <p><span style="color:#B22222;"><strong>以配套措施輔助公務機關導入AI</strong></span></p> <p>負責輔導公務機關導入AI的數位部提出幾項配套措施，包括提出政府AI應用發展指引與技術、管理指南，推動政府AI人才培育，以及建立政府大型語言模型的應用試驗場域。</p> <p>黃彥男指出，數位部未來要成為推動政府革新的教練，一方面參考國內AI基本法、行政院及所屬機關(構)使用生成式AI參考指引，以及國外相關法案，如歐盟新近推行的AI Act法案，NIST AI RMF風險管理框架等，提出國內發展AI應用的管理參考；另一方面是扮演教練，協助機關依照AI應用指引、AI技術，提高公務機行政效能、發展創新應用。</p> <p>數位部正在規畫的政府機關人工智慧應用參考指引(草案)，目前參考指引已先由數位部研擬草案、內部討論，今年10月將會先確認草案內容，11月蒐集內外部意見及調整草案內容，12月完成試行版本，參考指引從輔導公務機關的角度，介紹AI基本概念、協助機關公務人員評估AI是否為解決方案、協助AI服務導入，以及協助機關AI專案管理、風險控管、AI治理。</p> <p>在政府AI人培計畫，由數位部持續性、系統性培訓及技術支持，讓公務人員具備運用AI的技能，以改善公共服務，目標是讓公務人員可應用的領域、相關法規規範，具備AI基礎認識，可運用AI工具提升效率，並且可開發自動化RPA程式，利用簡易工具開發AI軟體。</p> <p>人培計畫涵蓋各職務公務人員，包括高階公務人員的共識營，例如日前已舉辦的副首長共識營，並透過AI推動實務種子人員課程，舉辦AI實務課程、工作坊，以及公部門的AI應用成果競賽，讓AI深入公務機關各層級人員。</p> <p>在建立政府大型語言模型的應用試驗場域上，由於各機關業務性質差異，為提供試驗找出最適合自己業務場景需求的LLM應用，數位部將建置大型語言模型的應用試驗場域，供中央機關在導入AI應用前先進行POC測試。</p> <p>數位部計畫提供包括TAIDE等10個以上開源或封閉式語言模型，供各機關測試驗證，並進行客製化的訓練或調整，這些模型可由數位部建置AI Bots市集，類似於App市集的概念和其他單位分享，數位部希望提供至少20種共通性AI Bots，包括數據分析、資料清理、資料視覺化、翻譯等AI Bots，供有需要的其他機關應用，以節省開發成本、擴大效益。</p> <p>下一階段的政府轉型發展，除了推動機關導入AI，革新公務行政效率、便捷公共服務之外，數位部也列舉其他持續發展的項目，例如在政府資料交換方面，推動更多的政府機關運用T-Road進行安全的資料交換，並且以零信任架構確保資訊安全；另外，還有推動民生關鍵系統韌性，讓關鍵民生系統的核心利用跨境公雲，當國內發生緊急狀態，仍能透過境外公雲維持基本運作，並且利用公雲備份資料，在事後重建系統及服務。</p> <p>未來幾年，數位部輔導公務機關導入AI，包括生成式AI，黃彥男表示，應當要善用生成式AI帶來數位轉型突破，傳統的痛點例如重覆性高且冗長的作業、人工方式難以發現複雜資料關聯性、人為查找資料有限、人工作業疏失等等，運用生成式AI帶動轉型，能夠自動化提高生產力、避免人為疏失、控制複雜程式、洞察分析資料關聯性、處理大量資料文件。</p> <p>他也列舉10大生成式AI可能的運用場景，包括知識管理、專案管理、資料治理、資料分析、文件審核、文件處理、寫程式碼等等。其中寫程式碼特別讓他有感，工程師出身的黃彥男曾是工程師，撰寫程式碼，他認為生成式AI應用在寫程式碼，減輕工程師的開發工作負擔，未來工程師的工作必需要會下指令，由生成式AI產生程式碼，工程師再進一步檢視優化。</p> <p>未來生成式AI在公務機關的應用潛力，例如結合語言模型建立生成式AI回應機制，提高對民眾問題的理解度，找出關聯性的資訊精準回答，或以自然語言對話式回應，像是我的E政府，未來民眾可以自然語言提出問題，由AI精準回應；在法務應用上，利用生成式AI協助檢察官產生書類草稿，減輕檢察書類製作時間。</p> <p>黃彥男也提醒公務機關運用生成式AI，應小心的4種偏誤，包括資料偏差、關聯偏差、自動化偏誤、確認偏誤，目前數位部已成立AI評測中心，針對LLM以安全性、公平性、準確性、彈性、可解釋性等共10項AI評測項目，預防上述AI偏誤可能造成的風險。</p> </div></div></div>
2024/8/28 17:36作者蘇文彬https://www.ithome.com.tw/news/164732
Cerebras發表Cerebras Inference，號稱全球最快AI推論解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發AI運算系統的Cerebras Systems周二（8/27）<a href="https://cerebras.ai/press-release/cerebras-launches-the-worlds-fastest-ai-inference" target="_blank">發表了</a>AI推論解決方案Cerebras Inference，它在Llama 3.1 8B模型上每秒可生成1,800個Token，在Llama 3.1 70B模型上每秒可生成450個Token，號稱是全球最快的AI推論解決方案，比基於Nvidia GPU的大型雲端解決方案快上20倍，但價格只需1/5，性價比高達100倍。</p> <p>Cerebras Inference奠基在第三代AI加速系統Cerebras CS-3，該系統的核心為第三代AI晶圓級處理器Wafer Scale Engine 3（WSE-3）。</p> <p>Cerebras曾經<a href="https://cerebras.ai/product-chip/" target="_blank">比較過</a>WSE-3與Nvidia H100，指出WSE-3的晶片尺寸是H100的57倍，核心數量是H100的52倍，晶片記憶體是H100的800倍，記憶體頻寬更是H100的7,000倍；也<a href="https://cerebras.ai/blog/cerebras-cs-3-vs-nvidia-b200-2024-ai-accelerators-compared" target="_blank">曾比較</a>Cerebras CS-3與Nvidia B200，顯示CS-3的表現同樣大幅勝過B200。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0828-Cerebras-AI%20processor-WSE-3.png" style="width: 400px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0828-Training%20Performance-Cerebras%20CS-3-Nvidia%20B200.png" style="width: 450px;" /></p> <p>目前Cerebras已被視為少數能與Nvidia匹敵的競爭對手，並已計畫於今年下半年首次公開發行股票。</p> <p>剛上線的<a href="https://cerebras.ai/" target="_blank">Cerebras Inference</a>有免費版、開發者版及企業版，目前其免費版很慷慨地提供了每日10萬次的免費推論；開發者版在Llama 3.1 8B與Llama 3.1 70B模型上每生成100萬個Token的價格分別是0.1美元與0.6美元；而提供微調、客製化服務及專門支援的企業版則可直接聯繫Cerebras以議價。</p> <p>Cerebras還<a href="https://cerebras.ai/blog/introducing-cerebras-inference-ai-at-instant-speed" target="_blank">比較</a>了Cerebras Inference以及各大主要AI雲端服務在基於Llama 3.1 8B模型的性能表現，發現它以每秒生成1,800個Token的速度，遠遠領先Groq的750個、Fireworks AI的257個、together.ai的225個、perplexity的165個、OctoAI的164個、AWS的93個，以及Azure的79個。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0828-Cerebras%20Inference-2.png" style="width: 600px;" /></p> <p>提供獨立AI基準測試的Artificial Analysis執行長Micah Hill-Smith指出，Cerebras在AI推論基準測試上領先群倫，它與GPU解決方案根本是不同等級，此外，Cerebras Inference上的Llama 3.1 8B/70B達到與Meta官方一樣的16bit精度成果，對於有即時及高容量要求的AI應用開發者而言特別有吸引力。</p> <p>此外，推論是AI運算中成長最快的領域，約占整體AI硬體市場的70%。Cerebras形容，每秒可生成上千Token的高速推論，堪比寬頻網路的問世，預告了AI應用的新時代，讓開發人員能夠建置需要複雜、多步驟並即時執行任務的新一代AI應用。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Cerebras Systems</span></p> </div></div></div>
2024/8/28 15:36作者陳曉莉https://www.ithome.com.tw/news/164723
Google Meet測試可自動作筆記的AI功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周二（8/27）<a href="https://workspaceupdates.googleblog.com/2024/08/take-notes-for-me-google-meet-gemini.html" target="_blank">宣布</a>，已開始於Google Meet中測試可自動作筆記的「take notes for me」功能，此一基於Google Gemini技術的功能相當於可協助使用者撰寫會議紀綠，將率先部署至特定的Google Workspace客戶，且目前也僅支援英文口語會議。</p> <p>一旦有人啟用了作筆記的功能，所有的與會者都會收到通知，也可隨時察看迄今的會議紀錄；在會議結束後，會議召集人與啟用該功能的使用者都會收到電子郵件，內附會議紀錄文件的連結，該文件也會被附加到Google Calendar的活動中，以讓內部會議的參與者得以存取。</p> <p>此一功能明顯是要讓與會者更專心地參與討論，而無需分心記筆記或撰寫會議紀錄。</p> <p>不過，現階段該功能僅適用於購買或訂閱Gemini Enterprise、Gemini Education Premium或AI Meetings & Messaging AI等服務的Google Workspace客戶使用，預計於9月上旬即可部署完成。</p> </div></div></div>
2024/8/28 15:59作者陳曉莉https://www.ithome.com.tw/news/164726
Fintech周報第251期：永豐金證券運用生成式AI彙整市場資訊，提供個股新聞摘要和市場輿情分析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">8/19~8/27金融科技精選新聞</span></span></h3> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GAI </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永豐金證券 </span></strong></span></h3> <h3>永豐金證券運用生成式AI彙整市場資訊，提供個股新聞摘要和市場輿情分析</h3> <p>永豐金證券近日在下單App上推出兩項生成式AI應用，分別是「AI市場輿情」與「今日新聞快訊」2項功能，前者透過生成式AI彙整市場消息，透過輿情橫條圖顏色占比，提供客戶在投資時參考，後者則是透過生成式AI摘要前一日新聞摘要。永豐金證券表示，目前每日會針對168檔熱門臺股標的，提供AI市場輿情資訊。</p> <p>耗時一年完成這兩項應用開發，永豐金證券提到，開發中最大挑戰是讓GAI聽懂人類指令，並且要正確生成資訊。在開發過程中，團隊不斷訓練AI學習機制，才讓應用順利上線。永豐金證券表示，目前該應用設有客戶回饋機制，未來蒐集到的客戶評價都會成為優化生成式AI技術的一部份。他們也透露，下一階段預計針對客戶庫存標的，提供客制化的每日新聞內容。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GAI </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 客服 </span></strong></span></h3> <h3>日本住信SBI網絡銀行開始運用生成式AI接聽客服來電</h3> <p>日本住信SBI網路銀行近日宣佈，內部已經開始運用GPT-4o模型來接聽客服電話。他們透過一套AI平臺打造虛擬助理，當客戶撥打至客服時，會先由虛擬助理以對話形式進行回覆。住信SBI網路銀行表示，該AI平臺結合自然語言處理（NLP）、自然語言理解（NLU）和對話管理技術，能識別客戶的需求並進一步指導客戶。若AI判斷須由真人客服處理，則會自動將客戶轉接至真人客服。</p> <p>不過，目前住信SBI網路銀行僅將生成式AI應用於客服服務中部分查詢服務，未來才會逐步擴大應對範圍。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 保險上雲 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲 </span></strong></span></h3> <h3>保險局發布保險委外規定修正，明定雲端冷儲存等更多保險上雲項目免申請</h3> <p>既去年八月金管會鬆綁上雲規定，近日，金管會再度修正發布「保險業作業委託他人處理應注意事項」，相較去年八月，此次修正明定更多免申報委外項目，讓保險業者執行上雲時，更能確保合規性。</p> <p>例如，保險局此次在委外問答集中明列16項免申報事項，其中包括訂購視訊會議軟體或服務、購買洗錢防制資料庫、購買雲端辦公室自動化服務系統等，皆不需向金管會申請核准。另外，保險業將客戶資料或其程式、資料庫與作業系統之備份檔案於境外公有雲進行冷儲存，同樣無須向金管會申請核准。（<a href="https://www.ithome.com.tw/news/164587">詳全文</a>）</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融創新試辦 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網路保險服務 </span></strong></span></h3> <h3>鬆綁金融試辦申請後第二案！保險業者針對旅平險集體投保案例，試辦線上同意投保</h3> <p>金管會在七月中宣布大幅放寬銀保證業務試辦範圍後，已有銀行業者在八月初遞出首例試辦申請，近日，保險業者也跟上，申請試辦旅平險集體彙繳件時，能透過專屬網頁完成身分驗證，取代傳統親簽程序。</p> <p>過往金管會僅開放政府機關、村里辦公室和學校舉辦的國內旅遊活動，在集體投保旅平險時，可透過網路形式同意投保。然而，此次試辦申請則擴大至一般家庭旅遊和旅行社，並涵蓋國外旅遊。保險局副局長蔡火炎表示，此案預計試辦6個月，預定目標總量1,000件，試辦關鍵成敗在於，不能出現非本人投保情況，若發生則代表身分驗證系統不完善。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GAI </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永豐金證券 </span></strong></span></h3> <h3>金管會鬆綁數位帳戶開戶對象，3人以上公司、組織或團體也能線上開戶</h3> <p>金管會近日擴大所有非個人客戶都能納入線上開戶受理對象，包括公司、組織或團體等，可採用線上申請、線下對保的方式開立數位帳戶。金管會表示，公司負責人可透過上傳公司相關證明文件，並以憑證簽章及視訊或臨櫃進行驗證，完成線上申請數位帳戶。</p> <p>金管會去年八月公布金融科技路徑圖2.0，而開放3人以上法人線上開戶，被列為今年的重要推動亮點。此外，根據金融科技路徑圖2.0規劃，今年金管會還預計會發布跨市場資料共享之資料治理指引。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料共享 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 香港金管局 </span></strong></span></h3> <h3>香港金管局宣布銀行可透過官方數據平臺快速取得企業客戶資訊，加速企業線上開戶、KYC流程</h3> <p>香港金管局近日宣布，開放境內銀行可透過名為「商業數據通」的數據平臺，快速取得香港公司註冊處的資料，包括公司名稱、註冊辦事處地址和股本結構等企業客戶資料。如此一來，將有助加速中小企業線上開戶、金融機構偵測詐騙活動和KYC等業務流程。</p> <p>香港金管局在2022年推出數據平臺「商業數據通」，主要使用者為中小企業和金融機構。當中小企業授權資料給第三方企業或機構，第三方企業或機構可透過「商業數據通」將資料授權提供給金融機構，讓金融機構可運用中小企業數據，提升自家金融服務品質。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Home_intro_after_tch-1(1).gif" style="width: 600px;" /></p> <p>起初，金管局規劃這項平臺，是為了加速中小企業貿易融資流程。根據香港金管局提供的資訊，該平臺上線至今年6月底，已促成超過27,000件貸款申請和審查。如今，這個數據平臺則開始能串接政府機關提供的企業註冊資訊。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ATM當機 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中信銀行 </span></strong></span></h3> <h3>中信ATM當機、網路銀行和App無法登入，耗時12分鐘恢復正常運作</h3> <p>8月23日晚間，有民眾反應中國信託銀行ATM當機，網路銀行和APP無法登入。銀行局副局長童政彰近日在例行記者會上表示，中信資訊人員在8月23日晚間8點半發現資料庫運作有異常，晚間9點8分完成資料庫重啟，於9點20分全面恢復正常運作。童政彰表示，銀行局已馬上要求中信銀行協助客戶處理衍生問題，並且，此案已比照重大偶發事件通報，後續中信銀行將提供完整報告供銀行局檢視。</p> <p>其他重要Fintech新聞</p> <ul> <li>媒體報導金管會擬規畫特定簡訊發送代碼，讓民眾快速識別訊息發送者是否為銀行</li> <li>日本NEC與10間日本地方銀行組成生成式AI研究小組，共同開發、驗證生成式AI應用</li> <li>瑞士央行啟用即時支付系統，約有60家金融機構參與使用</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／永豐金證券</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年8月</p> <p></p> </div></div></div>
2024/8/28 11:54作者李昀璇https://www.ithome.com.tw/news/164721
中國駭客藉由Versa Director漏洞入侵美國ISPs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國電信業者Lumen Technologies旗下資安團隊Black Lotus Labs，本周二（8/27）<a href="https://blog.lumen.com/taking-the-crossroads-the-versa-director-zero-day-exploitation/" target="_blank">公布了</a>發現Versa Networks旗下Versa Director零時差漏洞CVE-2024-39717的過程，該團隊相信利用該漏洞的是中國國家級駭客Volt Typhoon，已知入侵5家業者，涵蓋網路服務供應商（ISP）、託管服務供應商（MSP），以及資訊技術領域的業者，當中有4家業者位於美國。</p> <p>Versa Networks定位為安全存取服務邊緣（Secure Access Service Edge，SASE）供應商，這是零信任架構的一環，用以保護傳統網路邊界內部與外部的網路元素，涉及軟體定義廣域網路（SD-WAN）、虛擬私人網路（VPN）、安全網站閘道（SWG）、雲端存取安全代理（CASB）、防火牆，以及零信任網路存取等。至於Versa Director則是Versa Networks服務的管理平臺，用以建立、管理及監控各種Versa服務，簡化SD-WAN與各種網路服務的支付及管理。</p> <p><a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-39717" target="_blank">CVE-2024-39717</a>漏洞則存在於Versa Director中。Versa Director的圖像使用者介面有一個可以客製化介面的功能，只有在以Provider-Data-Center-Admin或Provider-Data-Center-System-Admin身分登入時才得以存取，不過，CVE-2024-39717卻讓該功能可被用來上傳偽裝成圖像檔、採用.png副檔名的惡意檔案。</p> <p>Black Lotus Labs團隊發現，早在今年6月就有駭客利用CVE-2024-39717展開攻擊，駭客先透過曝露於公開網路的Versa管理埠存取系統，再部署針對該漏洞所設計的、名為VersaMem的Web Shell。VersaMem的主要功能是攔截與蒐集憑證，以讓駭客能夠光明正大地進入下游的客戶網路，VersaMem亦是模組化的，允許駭客載入其它的Java程式碼以於記憶體中執行。</p> <p>至於Versa Networks則<a href="https://versa-networks.com/blog/versa-security-bulletin-update-on-cve-2024-39717-versa-director-dangerous-file-type-upload-vulnerability/" target="_blank">解釋</a>，該公司先後於2015年及2017年公布了防火牆要求（Firewall Requirements）與系統強化要求（System Hardening），若用戶沒有遵循上述要求，便會於公開網路上曝露一個管理埠，而讓駭客取得了最初的存取權限；駭客接著即可透過CVE-2024-39717漏洞上傳惡意檔案。</p> <p>此一漏洞波及所有沒有部署上述要求，並使用Versa Director的Versa SD-WAN用戶，受影響的版本包括Versa Director 21.2.2/21.2.3/22.1.1/22.1.2/22.1.3。根據Versa Networks的說法，CVE-2024-39717雖然是一個高風險漏洞，但並不容易遭到利用。</p> <p>其實Versa Networks早在今年6月就修補了各個版本的CVE-2024-39717漏洞，但不管是美國網路安全暨基礎設施安全局<a href="https://www.cisa.gov/news-events/alerts/2024/08/27/versa-networks-releases-advisory-vulnerability-versa-director-cve-2024-39717" target="_blank">（CISA）</a>、Versa Networks或Black Lotus Labs卻又在本周大張旗鼓地披露此一漏洞，或許是因為Black Lotus Labs發現，直至今年8月初駭客仍在利用此一漏洞，因而出面呼籲Versa用戶應該詳閱安全公告，實施Versa所提供的防火牆與系統強化要求，修補安全漏洞，並搜尋系統上是否含有各式入侵指標（IOC）。</p> </div></div></div>
2024/8/28 12:07作者陳曉莉https://www.ithome.com.tw/news/164722
Windows控制臺可能暫時不會消失了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周傳出微軟可能要從Windows淘汰經典的控制臺（Control Panel）功能，改由設定（Setting）App完全取代，令許多人感到惋惜。不過微軟最新公告顯示，控制臺可能又會再多留一段時間。</p> <p>根據微軟Windows系統配置工具網頁之前對控制臺的描述，眾多媒體<a href="https://www.ithome.com.tw/news/164640" target="_blank">判斷</a>微軟真的要棄用使用了39年的控制臺功能。當時微軟<a href="https://x.com/tomwarren/status/1828005075941245122/photo/2" target="_blank">提及</a>，微軟正著手淘汰控制臺，以轉向設定App，後者提供更現代與更簡潔的使用體驗。</p> <p>不過上周末<a href="https://arstechnica.com/gadgets/2024/08/microsoft-formally-deprecates-the-39-year-old-windows-control-panel/" target="_blank">Ars Technica</a>以及<a href="https://x.com/tomwarren/status/1828005075941245122" target="_blank">The Verge</a>發現，這段文字已經經過修改。微軟最新用語是「許多控制臺的設定正逐漸轉移到設定App，後者提供更現代而簡潔的使用體驗。」</p> <p>文字的變更是出於回應大批使用者的要求，還是只是微軟為了釐清誤會而修改不得而知。但媒體推測，控制臺應該暫時還會留在Windows上，至少<a href="https://arstechnica.com/gadgets/2024/06/windows-11-24h2-is-released-to-the-public-but-only-on-copilot-pcs-for-now/" target="_blank">Windows 24H2</a>還保留了這功能。</p> <p>2012年微軟推出Windows 8時首度推出「設定」App，之後許多功能逐漸由控制臺轉到設定App，引發用戶懷疑微軟是不是打算以之取代控制臺。但微軟多年來也都不願說明。</p> <p>不過針對二度的文字說明代表的意義，微軟也都沒有回應媒體。</p> <p>控制臺早在1985年Windows 1.0推出時就已存在。39年來不論Windows品牌改了多少，控制臺一直都在，只是也保留了許多舊時代元素。例如控制臺設計語言或許有些演進，例如現在採用圓角、具光澤的介面，但是有許多部份，例如鍵盤、滑鼠及時間／日期設定的UI都和Windows NT時代相去不遠。</p> <p>事實上，要取代控制臺並不容易。作為一個經典功能，控制臺控管Windows大量物件和功能，雖然look and feel較為陳舊，但有許多用戶認為透過控制臺還是比設定App容易管理Windows。這也說明了何以控制臺停用的消息引發業界震撼。</p> <p>但長期而言，停用控制臺只是時間問題。微軟指出，設定App是客製和管理Windows設定的主要應用程式，以簡潔、好用、易用為設定宗旨，提供比控制臺更直覺和使用者友善的使用經驗，而且也持續更新以支援最新Windows功能。</p> </div></div></div>
2024/8/28 10:47作者林妍溱https://www.ithome.com.tw/news/164719
Meta將使用地熱發電支持資料中心營運
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta昨（27）日<a href="https://about.fb.com/news/2024/08/new-geothermal-energy-project-to-support-our-data-centers/" target="_blank">宣布</a>將採用地熱電能作為其資料中心的運作能源。</p> <p>Meta在美國能源部舉行的地熱能工作坊宣布，將與Sage Geosystems簽定最新合作，將使用Sage全新的地壓地熱型系統（Geopressured Geothermal System，GSS）提供的無碳電以支持Meta資料中心運作。雙方表示，這是美國第一樁使用這類新型地熱發電用於資料中心的合作案，也擴大美國地熱能的實際使用。</p> <p>在美國，GGS發電目前主要使用地區為內華達、猶他州及加州。Sage新式地熱電能方案來自乾熱岩層（Hot Dry Rock）為主要資源，比傳統的熱液型（hydrothermal）地熱發電資源更為豐沛，這使GGS成為擴充性更高的方案，有望在美國及全球其他地區快速擴展。</p> <p>Meta和Sage的合作計畫2027年上線營運。雙方計畫到2027年能產生150百萬千瓦的地熱電，以支援Meta愈來愈多的資料中心。</p> <p>這是Meta使用潔淨能源的最新進展。Meta迄今已經採購了12,000百萬千瓦可再生能源。該公司相信自己是全球最大的可再生能源法人買家。</p> <p>此外，Meta也承諾加速朝向淨零目標。Meta<a href="https://sustainability.atmeta.com/energy/" target="_blank">目標是</a>2025年以前，Meta支持的86項風電和太陽能發電專案將回饋9.8 GW（980萬千瓦）給美國電力網格，造福美國24州及74郡。臉書並宣示2030年要實現水資源正效益（Water positive），即復育的水資源，超過使用的水量。</p> </div></div></div>
2024/8/28 11:06作者林妍溱https://www.ithome.com.tw/news/164720
【資安日報】8月27日，WordPress網站加速外掛LiteSpeed Cache漏洞已遭利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了提升使用者瀏覽網站的體驗，許多WordPress網站可能會導入外掛程式LiteSpeed Cache，但最近開發商修補的重大層級漏洞CVE-2024-28000，已有實際攻擊行動出現。</p> <p>由於此外掛程式全球有超過500萬個網站採用，但事隔一週仍有近4成尚未修補而成為駭客下手的目標。值得留意的是，該外掛程式今年已二度遭遇大規模漏洞攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164712"><strong style="font-size: 22px;">WordPress網站加速外掛LiteSpeed Cache存在重大漏洞，500萬網站伺服器曝險</strong></a></p> <p>上週資安業者Patchstack率先揭露WordPress外掛程式LiteSpeed Cache重大層級的權限提升漏洞CVE-2024-28000（CVSS風險評分9.8），另一家專攻這網站平臺資安防護應用的廠商Wordfence兩天後也發文警告，提醒大家注意此漏洞可能造成大規模網站曝險。這個外掛程式的主要功能是加快網站的回應時間，由於全球有超過500萬個網站部署，這樣的漏洞很有可能被盯上，引發大規模攻擊，果不其然，已有嘗試利用漏洞的攻擊行動。</p> <p>值得留意的是，事隔一週，兩家資安業者都發現該漏洞已被用於攻擊行動，但目前約有6成網站升級6.4、6.4.1版，換言之，仍有近4成網站曝險。根據Wordfence的調查，在最近24小時裡，他們發現並封鎖了51,858起鎖定漏洞的攻擊行動，這樣的情況反映已有駭客專門鎖定這項漏洞進行利用。</p> <p>駭客鎖定LiteSpeed Cache已非首例，今年5月，有人針對跨網站指令碼漏洞CVE-2023-40000（CVSS風險評為8.3分），試圖在WordPress網站建立管理員帳號，從而接管網站，駭客從單一來源IP位址進行至少120萬次漏洞利用嘗試。</p> <p><a href="https://www.ithome.com.tw/news/164689"><strong style="font-size: 22px;">竊資軟體Cthulhu Stealer鎖定macOS用戶電子錢包、帳號密碼而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure 1_Replacement.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%201_Replacement.png" style="width: 300px; float: right;" /></a>資安業者Cado Security揭露自2023年底現身的惡意程式Cthulhu Stealer，專門鎖定macOS電腦用戶竊取密碼、cookies或其他敏感資訊。</p> <p>此竊資軟體本身是蘋果磁碟映像檔（.DMG），開發者以Go語言打造，並以租用型式提供駭客運用，可附加於x86、Arm執行檔偷渡到受害電腦。攻擊者曾經聲稱提供磁碟清理工具CleanMyMac、遊戲軟體俠盜獵車手IV（Grand Theft Auto IV）、破解工具Adobe GenP的名義，散布這款竊資軟體。</p> <p>一旦用戶下載對方提供的DMG檔案並執行，此映像檔會要求用戶開啟檔案，並啟動macOS命令列工具osascript，要求用戶輸入特定敏感資訊，包括cookies、帳號或電子錢包密碼。研究人員歸納Cthulhu的竊取目標，包含Chrome與Firefox瀏覽器的cookies、Telegram密碼、Apple Keychain、SafeStorage、Minecraft帳號，以及十多種電子錢包應用如Chrome Extension Wallet、MetaMask、XDeFI、Coinbase或Blockchain Wallet等。</p> <p><a href="https://www.ithome.com.tw/news/164703"><strong style="font-size: 22px;">西雅圖機場Seattle Tacoma傳出遭遇網路攻擊，IT服務中斷超過48小時</strong></a></p> <p>太平洋時間8月24日上午，西雅圖大型國際機場Seattle Tacoma（SEA-TAC）部分系統斷線導致多項服務中斷，疑似發生網路攻擊。機場飛航主任Lance Lyttle於記者會說明，這起事件造成數個系統網路中斷，包括網站及電子郵件系統，旅客航站及機場安全系統未受影響，因此所有進出關檢查措施皆正常運行。為了及早恢復系統營運，機場人員正持續趕工。</p> <p>由於系統斷線，也導致25、26日多起班機延誤與取消。根據飛機追蹤網站FlightAware的記錄，周日西雅圖機場有375班次延遲、6班次取消，周一則有218班次延遲、10班次取消，但無法確定原因是否與網路攻擊有關。根據美聯社報導，以西雅圖機場為營運樞紐的阿拉斯加航空與泛美航空，並未回報服務問題，但是機場的行李分類系統無法運作，機場與部分航空公司都提醒旅客盡可能不要託運行李。此外機場的失物查詢系統也無法作業。由於服務中斷超過2天，外界推測很有可能遭遇勒索軟體攻擊。</p> <p><a href="https://www.ithome.com.tw/news/164706"><strong style="font-size: 22px;">Uber把司機資料送至美國，遭荷蘭判罰2.9億歐元</strong></a></p> <p>荷蘭資料保護主管機構（Data Protection Authority，DPA）周一（8月26日）向Uber處以2.9億歐元罰款，原因是Uber將歐盟的計程車司機資料在未妥善保護的情況下傳送至美國。</p> <p>此事件源自法國人權組織Ligue des droits de l’Homme（LDH）收到逾170名當地司機投拆，LDH隨後將此案上交至法國的DPA，由於Uber的歐洲總部位於荷蘭，因此法國DPA向荷蘭DPA告狀。荷蘭DPA發現，Uber蒐集了歐洲司機的敏感資訊，並將它們保留在美國伺服器，包括這些司機的帳戶細節與計程車執照，以及位置資料、照片、支付細節、身分文件，甚至是司機的犯罪與醫療資料。此外，Uber是在未經法律及技術框架的保護下將資料傳送至美國，且時間長達2年，嚴重違反GDPR。</p> <p>對此，荷蘭DPA祭出2.9罰款，這是Uber第3次受罰，金額創下GDPR最高的紀錄。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://blog.sucuri.net/2024/08/wordpress-websites-used-to-distribute-clearfake-trojan-malware.html"><strong style="font-size: 20px;">WordPress網站遭到感染，駭客對用戶佯稱必須執行PowerShell指令「修復」才能正常瀏覽網站</strong></a></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-exchange-online-mistakenly-tags-emails-as-malware/">Exchange Online傳出誤報，部分電子郵件被標記含有惡意軟體遭到隔離</a></strong></p> <p></p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164704"><strong style="font-size: 22px;">SonicWall修補防火牆作業系統不當存取控制漏洞</strong></a></p> <p>SonicWall本周發布安全公告，修補防火牆作業系統SonicOS可能導致駭客存取資源，甚至引發防火牆當機的高風險漏洞CVE-2024-40766，此漏洞位於SonicOS管理介面，原因是對存取呼叫控管不當。攻擊者可傳送特製呼叫濫用本漏洞，未經授權下即可存取資源，在特定情況下，甚至能引發防火牆當機。本漏洞CVSS風險值為9.3，屬重大層級漏洞。</p> <p>本漏洞影響SonicWall防火牆第5代（SOHO系列），以及部分第6代、第7代防火牆設備，該公司發布新版作業系統予以修補。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.securityweek.com/chinese-apt-volt-typhoon-caught-exploiting-versa-networks-sd-wan-zero-day/"><strong style="font-size: 20px;">SASE供應商Versa修補零時差漏洞，傳出已遭到中國駭客Volt Typhoon利用</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.horizon3.ai/attack-research/disclosures/traccar-5-remote-code-execution-vulnerabilities/">開源GPS追蹤系統Traccar存在路徑穿越漏洞，未經身分驗證的攻擊者可遠端執行程式碼</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://chromereleases.googleblog.com/2024/08/stable-channel-update-for-desktop_21.html">Google修補Chrome今年第10個零時差漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164701"><strong>【8月26日】Telegram創辦人暨執行長Pavel Durov傳出遭到逮捕</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164662"><strong>【8月23日】協作平臺Slack搭載的AI功能有漏洞，恐曝露私人頻道機密資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164632"><strong>【8月22日】企業自訂AI副手功能的工具Copilot Studio存在SSRF漏洞</strong></a></p> </div></div></div>
2024/8/27 17:42作者周峻佑https://www.ithome.com.tw/news/164717
數位部開始測試打詐通報查詢網，從通報、確認到下架用自動化加快詐騙訊息處理流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位部長黃彥男上任滿百天，對外展示上任後的小成績單，其中在政府力推的打詐方面，他表示，在立法院三讀通過的打詐專法，相關子法也將於年底前完成。另外，由數位部建置的打詐通報查詢網也已開始封測，未來內部測試順利，行政院通過後，將會開放民眾使用。</p> <p>黃彥男在今年520上任後，其任務之一是加速國內數位經濟的發展，協助政府及產業數位轉型，數位部與其他部會合作，以確保數位高速公路的資料交換順暢，促進數位經濟發展，並且改善數位高速公路的數位韌性，同時也要避免數位高速公路的不好影響，也就是網路詐騙廣告盛行。</p> <p>黃彥男表示，數位部身為網路廣告平臺、電商、第三方支付、線上遊戲的主管機關，這4項數位產業容易遭到詐騙集團的利用，成為詐騙的工具，因此打詐專法從源頭從源頭管理，達到一定規模的網路平臺依法需驗證廣告主身分，降低假冒他人名義的詐騙廣告風險。另外，境外數位平臺業者也需書面提報境內的法律代表，以配合打詐相關的法遵要求，以及保留資料供檢調追查等等。</p> <p><span style="color:#B22222;"><strong>建置打詐通報查詢網提高處理的自動化流程</strong></span></p> <p>由於詐騙集團假冒知名人士身分，以不實的廣告誘騙民眾投資，民眾在難以驗證真偽的情形下，可能因此不慎遭到詐騙，造成財產損失，因此數位部也展示科技防詐手段，打詐通報查詢網，目前先推出第1版，正進行封閉測試。</p> <p>數位部政務次長林宜敬指出，當民眾在臉書看到疑似詐騙廣告內容，可將廣告連結複製貼上打詐通報查詢網，查詢結果顯示該廣告已被其他人通報為可疑訊息，可以檢視可疑訊息的網址、內容摘要，以及該訊息目前的處理進度，例如該訊息最先由資安院AI掃描後通報，並向金管會請求確認，後續收到金管會確認為詐騙訊息，後續再通知臉書移除該訊息，在臉書移除該訊息之前，民眾可將該訊息連結回貼至該訊息下方的留言，先提醒其他網友該訊息為詐騙內容。</p> <p>除了民眾通報之外，打詐通報查詢網結合資安院開發的AI偵測技術，鑑於詐騙集團利用假帳號刊登詐騙內容層出不窮，資安院今年6月展示的這項AI偵測技術，可以自動偵測巡檢詐騙廣告，每月可偵測超過50萬筆廣告，宣稱偵測準確度達93%。</p> <p>打詐通報查詢網的首頁還會顯示詐騙訊息排行榜，顯示過去24小時最多人點閱的詐騙訊息，右下角顯示紅色警示文字，確認該可疑訊息為詐騙內容，右下角顯示黃色則代表正在確認中，綠色則代表排除為詐騙內容。另外，打詐通報查詢網也匯整民眾通報及資安院AI偵測的詐騙訊息樣態分布情形，如國內常見的投資詐騙訊息、網路交友詐騙等等。</p> <p><span style="color:#B22222;"><strong>對可疑訊息建立報案、分案、確認、通知下架4流程</strong></span></p> <p>打詐通報查詢網針對可疑訊息背後包括4個流程，報案、分案、確認、通知下架，提高對可疑資訊的自動化處理流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4step.jpg" style="width: 600px; height: 572px;" /></p> <p>林宜敬指出，首先是報案，除了一般民眾自行通報網路上的可疑訊息，還有資安院利用AI偵測技術，每20分鐘掃描一次，一天可查獲5千到1萬筆可疑訊息，並直接介接到打詐通報查詢網，遭冒用身分的知名人士也可利用查詢網報案。報案後回到數位部，利用AI技術分案，經由人工確認後，直接發信向知名人士查證可疑訊息真偽，當知名人士按下信件內的確認鈕，證實其身分遭到冒用，系統就會自動通知臉書、Google、IG、Line等平臺立即下架。</p> <p>如果是政府機關遭冒用，分案後就會向相關的政府機關作確認，例如金融類可疑訊息向金管會確認，醫療相關可疑訊息向衛福部，經政府機關確認為詐騙訊息無誤之後，再通知網路廣告平臺下架可疑訊息。</p> <p>林宜敬表示，查詢網的目的是讓民眾能夠簡單、快速查詢某則可疑訊息是否為詐騙訊息，另外，過去在各機關間的公文往來可能耗費許多天，現在打詐通訊查詢網運用科技加快分案處理時間，包含後半部流程通知網路平臺下架也利用科技加快下架，「我們希望詐騙訊息存在網路的時間愈短愈好」。</p> <p>例如資安院AI於8月27日上午8:22分掃描查獲一則與金管會有關的可疑訊息，上午9:20分向金管會確認，金管會於9:27分確認為詐騙訊息，後續再向臉書通知下架移除該訊息。</p> <p>至於知名公眾人物遭到冒用，打詐通報查詢網之前，他們利用公眾人物的反詐通報專用郵箱，作為公眾人物的專門通報管道，目前數位部已和謝金河、486等44位知名人士合作，並公布公眾人物反詐通報專用郵箱使用情形，從7月8日最高收到216筆通報，後續可能因為打詐通報下架處理產生效果，使得詐騙集團避免再冒用這些名人散播詐騙訊息，數位部收到這些知名人士的通報數量顯著減少，8月12日收到53筆。</p> <p>「相較於初期人工、半人工方式處理，打詐通報查詢網藉由提高自動化處理，我們希望將平均處理時間降到很低的程度」，林宜敬說。目前打詐通報查詢網開始封閉測試，還不夠完美，未來需要持續改善精進，打詐與詐騙是不斷攻防，詐騙集團不斷利用假帳號、多樣態的詐騙訊息，打詐也需要發展新科技，以科技對抗科技詐騙，以AI對抗AI詐騙。</p> </div></div></div>
2024/8/27 18:20作者蘇文彬https://www.ithome.com.tw/news/164718
量販店巨頭Target正式上線生成式AI店員助手，全美近2,000門市都在用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日法說會中，美國大型連鎖量販店Target揭露，已正式上線店員生成式AI助手到全美近2,000間門市的手持裝置上，且8月初起上線3周就累積了超過50,000次使用次數。</p> <p>這個生成式AI助手名為Store Companion，是一個知識管理用問答機器人，可以根據自然語言對話來快速提取Target內部文件，來回覆約40萬名店員的門市營運相關問題，例如會員卡申辦流程、停電時如何重啟POS機等。Target COO Michael Fiddelke表示，此功能上線3周就已經有超過50,000次使用次數，且店員與助手平均對話時間低於1分鐘，顯示店員問題能快速被解決。</p> <p>生成式AI已經成為美國大型零售業者用來提升門市員工生產力的重要工具。另一實體零售巨頭Walmart，也將生成式AI導入門市店員的App中，利用Walmart內部文件及細緻到個別門市等級的高時效性數據，來提供日常門市營運問答、貨架狀態及商品位置查詢、庫存管理及查詢、員工訓練輔助，甚至廢棄物減量及處理建議等功能。</p> <p>不只將生成式AI用於提升員工效率，Target還應用此技術於電商體驗，包括搜尋和產品頁面的關聯性商品推薦、評論總結、商品標題完善等。未來數月預計全面開放對話式搜尋功能，可以根據消費者自然語言輸入來引導他們尋找適當商品，甚至提醒消費者可能忘記購買的項目。Target還表示，內部正在測試數十種生成式AI應用，不過未揭露更多細節。</p> <p>另外，儘管全球自助結帳機市場仍持續成長，不過Target近月反而加開更多人工結帳動線，將自助結帳機定位為分流工具，只接受10件或以下商品的訂單。這是根據半年A/B測試結果而制定的做法──限定自助結帳機商品數，反而能消化2倍顧客數量。這個做法使顧客對等待時間及結帳體驗的滿意分數達到6年來新高。</p> <p> </p> <p></p> </div></div></div>
2024/8/27 18:34作者郭又華https://www.ithome.com.tw/news/164713
macOS版微軟M365應用程式存在共通漏洞，攻擊者有機會藉此繞過系統權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科旗下威脅情報團隊Talos在macOS版的Microsoft 365辦公室套裝軟體，<a href="https://blog.talosintelligence.com/how-multiple-vulnerabilities-in-microsoft-apps-for-macos-pave-the-way-to-stealing-permissions/">最近找到8個漏洞</a>，並指出攻擊者若是將惡意程式庫注入應用程式，就有機會觸發這些漏洞，從而取得使用者授予應用程式的權限，例如：存取麥克風、視訊鏡頭、資料夾、螢幕錄製、使用者輸入等資源，一旦攻擊者掌握這些權限，就有可能洩露敏感資訊，甚至提升權限。</p> <p>此次漏洞揭露涵蓋的Office應用程式，包含Word（CVE-2024-41165）、Excel（CVE-2024-43106）、PowerPoint（CVE-2024-39804）、Outlook（CVE-2024-42220）、OneNote（CVE-2024-41159），以及Teams（CVE-2024-41138、CVE-2024-41145、CVE-2024-42004）。</p> <p>上述漏洞的CVSS風險評分皆為7.1，研究人員表示，攻擊者可利用這些漏洞得到應用程式已取得的權限，從而繞過作業系統的安全防護框架Transparency, Consent, and Control（TCC），過程中完全不需向使用者取得額外的驗證，只要成功利用漏洞，就能直接取得使用者已授予M365應用程式的所有權限。</p> <p>這些漏洞若遭到利用，可能產生那些後果？研究人員指出，攻擊者可在使用者不知情的情況下利用他們的電子郵件帳號寄信、錄製聲音和影片、拍照，過程中完全無須使用者互動。</p> <p>研究人員將上述發現進行通報，但微軟認為這些漏洞的風險並不高，而且有部分應用程式的運作過程裡，必須載入未經簽署的程式庫才能支援外掛程式，因此僅對OneNote、Teams進行處理。換言之，其餘4個M365應用程式仍曝露相關風險。</p> </div></div></div>
2024/8/27 17:27作者周峻佑https://www.ithome.com.tw/news/164716
WordPress網站加速外掛LiteSpeed Cache存在重大漏洞，已出現實際攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週資安業者<a href="https://patchstack.com/database/vulnerability/litespeed-cache/wordpress-litespeed-cache-plugin-6-3-0-1-unauthenticated-privilege-escalation-vulnerability">Patchstack</a>率先揭露WordPress外掛程式LiteSpeed Cache重大層級的權限提升漏洞CVE-2024-28000（CVSS風險評分9.8），另一家專攻這網站平臺資安防護應用的廠商<a href="https://www.wordfence.com/blog/2024/08/over-5000000-site-owners-affected-by-critical-privilege-escalation-vulnerability-patched-in-litespeed-cache-plugin/">Wordfence</a>兩天後也發文警告，提醒大家注意此漏洞可能造成大規模網站曝險。這個外掛程式的主要功能是加快網站的回應時間，由於全球有超過500萬個網站部署，這樣的漏洞很有可能被盯上，引發大規模攻擊，果不其然，已有嘗試利用漏洞的攻擊行動。</p> <p>這項漏洞發生的原因，在於該外掛程式並未正確限制角色模擬功能，導致攻擊者一旦能夠存取用於除錯的事件記錄資料，挖掘所需的雜湊值，或是透過暴力破解的方法，就有機會將使用者ID設置為管理員ID。攻擊者可在未經授權的情況下，將使用者ID置換為管理員ID，然後利用特定的REST API端點建立具備管理員身分的新帳號。</p> <p>此漏洞影響6.3.0.1以下版本的LiteSpeed Cache，對此，開發商已推出6.4版予以修補。資安業者Patchstack也對通報的研究人員<a href="https://patchstack.com/articles/critical-privilege-escalation-in-litespeed-cache-plugin-affecting-5-million-sites">發出14,400美元予以獎勵</a>，該公司聲稱是WordPress漏洞懸賞最高金額，可見資安業者對於該漏洞算是相當重視。</p> <p>值得留意的是，事隔一週，兩家資安業者都發現該漏洞已被用於攻擊行動，但目前約有6成網站升級6.4、6.4.1版，換言之，仍有近4成網站曝險。<a href="https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/litespeed-cache/litespeed-cache-6301-unauthenticated-privilege-escalation">根據Wordfence的調查</a>，在最近24小時裡，他們發現並封鎖了51,858起鎖定漏洞的攻擊行動，這樣的情況反映已有駭客專門鎖定這項漏洞進行利用。</p> <p>駭客鎖定LiteSpeed Cache已非首例，今年5月，<a href="https://www.ithome.com.tw/news/162780">有人針對跨網站指令碼漏洞CVE-2023-40000（CVSS風險評為8.3分）</a>，試圖在WordPress網站建立管理員帳號，從而接管網站，駭客從單一來源IP位址進行至少120萬次漏洞利用嘗試。</p> </div></div></div>
2024/8/27 15:29作者周峻佑https://www.ithome.com.tw/news/164712
IBM結束中國研發工作，波及上千名員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/business/ibm-shuts-china-r-d-operations-in-latest-retreat-by-u-s-companies-b37cd9a0?st=7d9jarhfpzsugmm&reflink=desktopwebshare_permalink" target="_blank">華爾街日報</a>（WSJ）與<a href="https://www.ft.com/content/b39ed853-dcf0-4a66-9b32-f993cebcd094" target="_blank">金融時報</a>（FT）等媒體引述消息來源報導，負責全球大型企業的IBM副總裁Jack Hergenrother本周一（8/26）透過一場虛擬會議宣布，將結束中國的研發工作，關閉當地研發部門，估計將波及逾1,000名員工。</p> <p>根據報導，此一組織重整計畫將影響IBM在中國各個城市所設立的研發中心，包括中國發展實驗室與中國系統實驗室，這些實驗室主要負責企業軟體等產品的開發與測試。</p> <p>Hergenrother於會議中表示，IBM在中國面臨日益激烈的競爭，過去幾年來其基礎設施業務持續下滑，不過，IBM計畫把研發工作集中在中國以外的幾個地區，也正在這些地區招募更多的工程師與研究人員，例如印度。根據FT的報導，2023年IBM在中國的營收比前一年下滑了近20%。</p> <p>IBM並未公開對外說明此事，僅在向媒體發布的聲明中強調，此一變化並不會影響IBM對中國客戶提供支援的能力。</p> </div></div></div>
2024/8/27 13:55作者陳曉莉https://www.ithome.com.tw/news/164707
Uber把司機資料送至美國，遭荷蘭判罰2.8億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>荷蘭資料保護主管機構（Data Protection Authority，DPA）周一（8/26）向Uber<a href="https://www.autoriteitpersoonsgegevens.nl/en/current/dutch-dpa-imposes-a-fine-of-290-million-euro-on-uber-because-of-transfers-of-drivers-data-to-the-us" target="_blank">處以2.9億歐元的罰款</a>，原因是Uber將歐盟的計程車司機資料在未妥善保護的情況下傳送至美國。</p> <p>此一事件源自法國的人權組織Ligue des droits de l’Homme（LDH）收到逾170名法國司機的投拆，LDH隨後將此案上交至法國的DPA，由於Uber的歐洲總部位於荷蘭，而令法國DPA向荷蘭DPA告狀。</p> <p>荷蘭DPA發現，Uber蒐集了歐洲司機的敏感資訊，並將它們保留在位於美國的伺服器上，包括這些司機的帳戶細節與計程車執照，以及位置資料、照片、支付細節、身分文件，甚至是司機的犯罪與醫療資料。此外，Uber是在未經法律及技術框架的保護下將資料傳送至美國，且時間長達2年，嚴重違反歐盟的《通用資料保護規則》（GDPR）。</p> <p>歐盟與美國之間原本簽有《隱私盾》（Privacy Shield）資料傳輸保護協議，簡化美國企業將歐洲民眾資料傳送到美國的流程，但之後歐盟認為美國的隱私保護不如歐盟，而在2020年7月<a href="https://www.ithome.com.tw/news/138915" target="_blank">廢除</a>了該協議，接著雙方在2023年7月<a href="https://www.ithome.com.tw/news/157722" target="_blank">簽署</a>了新的資料隱私協議，但中間有3年的空窗期。</p> <p>其實就算政治實體之間缺乏資料傳輸協議，企業也能藉由遵循歐盟的標準合約條款（Standard Contractual Clauses，SCC），在保證提供同等級資料保護機制的情況下，合法將資料從歐盟傳送至美國。</p> <p>然而，荷蘭的DPA表示，在缺乏《隱私盾》協議的期間，Uber自2021年8月便不再使用SCC，而讓來自歐盟的資料未能得到充分的保護。</p> <p>總之，荷蘭DPA認為Uber違反GDPR，要求它支付2.9億美元的罰款。這是Uber第三次被荷蘭DPA罰款，第一次是2018年的60萬歐元，第二次是去年的1,000萬歐元，這次則是GDPR史上最高的罰款之一。</p> <p>去年底就採用歐盟與美國之間新資料隱私框架的Uber，並不認為自己違反規定，已決定提出上訴。</p> </div></div></div>
2024/8/27 12:19作者陳曉莉https://www.ithome.com.tw/news/164706
SonicWall修補引發防火牆當機的OS重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SonicWall本周<a href="https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2024-0015" target="_blank">發布安全公告</a>，修補作業系統SonicOS一個可能導致駭客存取資源，甚至引發防火牆當機的高風險漏洞。</p> <p>編號CVE-2024-40766的漏洞位於SonicOS管理存取介面，出於對存取呼叫控管不當。攻擊者可傳送特製呼叫濫用本漏洞，未經授權下即可存取資源，在特定情況下，甚至能引發防火牆崩潰。本漏洞風險值9.3，屬重大漏洞。</p> <p>本漏洞影響SonicWall防火牆第5代（SOHO系列）、第6代裝置，以及第7代防火牆（執行SonicOS 7.0.1-5035及以前版本的機種）。</p> <p>SonicWall於上周釋出最新作業系統，分別為第5代裝置的OS版本5.9.2.14-13o、第6代裝置的6.5.2.8-2n（SM9800、NSsp 12400和NSsp 12800）及6.5.4.15.116n（其他機種）。本漏洞無法在7.0.1-5035以後的韌體上複製，但SonicWall還是建議安裝本韌體。</p> <p>對於未能安裝更新版的用戶，SonicWall建議應限制防火牆存取限於受信任來源，或是關閉防火牆來自外部網路的WAN管理存取介面。</p> </div></div></div>
2024/8/27 10:24作者林妍溱https://www.ithome.com.tw/news/164704
Anthropic公布旗下模型的系統提示
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI新創Anthropic本周破天荒地<a href="https://docs.anthropic.com/en/release-notes/system-prompts#july-12th-2024" target="_blank">公布</a>了旗下3個AI模型的系統提示（System Prompts），包括Claude 3 Haiku、Claude 3 Opus與Claude 3.5 Sonnet。</p> <p>AI模型的系統提示是模型在與使用者互動之前所收到的指令或設定，主要是用來定義模型的行為、語氣、個性或邊界等內容，它讓模型更能理解及處理使用者的輸入，以及所生成的輸出。AI業者向來將模型的系統提示視為商業機密，以避免有人企圖繞過其限制，取得敏感或隱私資訊，或是要求模型處理與生成有害內容。</p> <p>Anthropic此次公布的是Claude.ai網頁介面與行動程式所使用的系統提示，並計畫隨著模型的進展而持續更新，但並不適用於Anthropic API。</p> <p>不同模型有不同的系統提示，例如低階版模型Claude 3 Haiku最新的知識止於2023年8月，以Markdown標記語言來撰寫程式碼。</p> <p>高階版模型Claude 3 Opus的最新知識亦止於2023年8月，它不會提供刻板印象的表達或討論，包括對多數族群的負面刻板印象；對有爭議的話題也會盡量提供仔細且客觀的資訊。</p> <p>Claude 3.5 Sonnet雖然是中階模型，但其最新資訊止於2024年4月，也是Anthropic目前最強大的模型，其系統提示類似Opus，它無法開啟URLs、連結或影片，並會要求使用者直接張貼完整內容；假設使用者要求它協助完成一個涉及大量人類的眾多觀點的任務時，它並不會納入自己的觀點；倘若Claude不能或不願意執行任務，它會明說而不會道歉。</p> </div></div></div>
2024/8/27 10:35作者陳曉莉https://www.ithome.com.tw/news/164705
西雅圖機場疑遭網攻，IT斷線數天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國西雅圖主要的Seattle Tacoma國際機場上周六疑似遭到網路攻擊，包括網站、郵件系統連線中斷，影響通訊及旅客服務，截至周一仍未恢復。</p> <p>Seattle Tacoma（SEA-TAC）國際機場是西雅圖最大國際機場，也是美國西北太平洋航線最繁忙的機場，2013年服務旅客超過5,100萬人次。</p> <p>上周六（8/24）太平洋時間周六一早，西雅圖機場發生疑似網路攻擊，引發部份系統斷線。機場飛航主任Lance Lyttle上周記者會<a href="https://www.youtube.com/watch?v=kvzIYY7eVPE" target="_blank">說明</a>，這起事件造成數個系統網路中斷，包括網站及電子郵件系統。但旅客航站及機場安全系統未受影響，因此所有進出關檢查措施皆正常運行。他表示，機場人員正持續趕工，以及早恢復系統營運。</p> <p>西雅圖機場也<a href="https://x.com/flySEA/status/1827375913924784298" target="_blank">提醒</a>欲搭機的民眾上網查詢班機起降資訊。</p> <p>不過截至臺北時間周二早上，西雅圖機場<a href="https://www.portseattle.org/" target="_blank">網站</a>仍未恢復，意謂著停機時間已至少超過48小時。</p> <p>系統斷線所致，周六以來可能已導致多起班機延誤與取消。根據飛機追蹤網站FlightAware的<a href="https://www.flightaware.com/live/cancelled/today/KSEA" target="_blank">紀錄</a>，周日西雅圖機場有375班次延遲，6班次取消，周一則有218班次延遲，及10班次取消。不確定原因是否為這起事件。但美聯社<a href="https://apnews.com/article/seatac-cyberattack-travel-delays-baggage-airport-outage-627805ee04648592658150dfdfa18ca9" target="_blank">報導</a>，以西雅圖機場為營運樞紐的阿拉斯加航空與泛美航空沒有回報服務問題。但是機場的行李分類系統無法運作，機場方面與部份航空公司都提醒旅客盡可能不要託運行李。此外機場的失物查詢系統也無法作業。</p> <p>雖然一般為期那麼久的IT停機事件，元兇可能是勒索軟體，但是至今沒有勒索軟體或其他駭客組織出面宣稱是其所為。FBI已經介入調查，但未公布細節。</p> <p>此事不到二個月前，許多機場才因為Crowdstrike軟體更新引發作業大亂。CrowdStrike的軟體臭蟲觸發Windows電腦當機，迫使機場人員改以手工開票或查驗證照，其中泛美航空更因IT停擺將近一個星期，計畫向軟體公司<a href="https://www.ithome.com.tw/news/164312" target="_blank">求償</a>。</p> </div></div></div>
2024/8/27 10:16作者林妍溱https://www.ithome.com.tw/news/164703
【資安日報】8月24日，Telegram創辦人暨執行長Pavel Durov傳出遭到逮捕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加密即時通訊軟體Telegram近年來已成為許多駭客在從事網路犯罪的過程濫用的平臺，包括駭客之間用來討論如何犯案，或是用來代管、散布惡意軟體，甚至有人將Telegram頻道充當C2中繼站，這樣的情況也引發政府單位認為該平臺管理不力，逮捕其負責人的情況。</p> <p>值得一提的是，在為期超過2年的烏克蘭戰爭裡，不僅兩國駭客利用該平臺從事網路攻擊，就連政府高層也藉此向對方放話。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164700"><strong style="font-size: 22px;">伊朗駭客組織APT42利用WhatsApp鎖定政治人物從事網釣攻擊</strong></a></p> <p>美國總統大選正在如火如荼進行，繼微軟、Google、OpenAI等科技龍頭提出警告，伊朗駭客企圖透過網路攻擊、假消息意圖左右這場選舉的結果，如今又有科技業者加入行列，指出他們旗下的應用系統也遭到濫用。</p> <p>上週Meta指出，他們接獲使用者通報，有人假冒科技公司AOL、Google、微軟、雅虎的客服人員，濫用WhatsApp帳號從事社交工程攻擊，目標是以色列、巴勒斯坦、伊朗、美國、英國，針對政府官員及外交官而來，Meta指出，這當中包含美國總統拜登及前總統川普相關人士。</p> <p>該公司經過調查，認為攻擊者的身分是別名為Mint Sandstorm、UNC788的伊朗駭客組織APT42，此組織擅長透過網釣攻擊竊取使用者的帳密資料，並長期針對以色列、巴勒斯坦、伊朗、美國等國家的政治人物、人權鬥士、學者、記者下手。</p> <p><a href="https://www.ithome.com.tw/news/164696"><strong style="font-size: 22px;">惡意軟體Sedexp潛入Linux裝置管理器，意圖透過遭潛入的網頁伺服器竊取信用卡資料</strong></a></p> <p>保險業者怡安（Aon）旗下的風險管理業者Stroz Friedberg揭露名為sedexp的Linux惡意軟體，駭客將其用來在網頁伺服器竊取信用卡資料，其中使用罕見的手法維持在受害主機運作引起研究人員關注，此惡意程式從2022年開始出沒，研究人員在許多沙箱環境發現其蹤跡，然而，目前沒有防毒引擎將其視為有害。</p> <p>究竟研究人員提及的罕見手法是什麼？答案是濫用Linux核心的裝置管理系統udev的規則。研究人員看到他們針對/dev/random的特殊裝置檔案設定配置，Linux作業系統的許多系統處理程序及應用程式，都會將其用來產生隨機亂數，然後進行加密作業或是安全通訊。而攻擊者指定當上述的裝置檔案載入時，就會一併執行sedexp。研究人員特別提及，這樣的手法，目前尚未被彙整到攻擊框架MITRE ATT&CK當中。</p> <p><a href="https://www.ithome.com.tw/news/164685"><strong style="font-size: 22px;">安卓惡意程式NGate重導引NFC流量，意圖竊取用戶付款資訊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/NGate-figure1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/NGate-figure1.png" style="width: 300px; float: right;" /></a></p> <p>資安業者ESET發現，3家捷克銀行客戶遭到這前所未見新手法的攻擊。攻擊者使用名為NGate的惡意程式，將受害者的實體信用卡、支付卡等卡片資料，由被植入NGate的智慧型手機利用NFC通訊，傳送給攻擊者的手機。</p> <p>攻擊者取得卡片資料後即可執行ATM交易。若這方法失敗，攻擊者還有備援計畫，可以從受害者帳戶傳到其他人的帳號。由於攻擊手法使用了NFCGate的NFC流量分析開源工具，研究人員因而將惡意程式命名為NGate。</p> <p>這起資安事故在今年3月因主謀被捕而終止，期間有3家捷克銀行客戶受害，研究人員共發現6隻不同的NGate變種，但受害人數不明。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/hackers-are-exploiting-critical-bug-in-litespeed-cache-plugin/"><strong style="font-size: 20px;">WordPress網站加速外掛LiteSpeed Cache存在重大漏洞，已出現實際攻擊行動</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://jp.security.ntt/tech_blog/appdomainmanager-injection">駭客透過AppDomain注入手法散布Cobalt Strike</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.radware.com/blog/uncategorized/2024/08/megamedusa-rippersec-public-web-ddos-attack-tool/">俄羅斯駭客利用惡意程式MegaMedusa發動DDoS攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/164698">PowerShell惡意軟體下載工具PeakLight埋藏在記憶體內運作，散布多種惡意程式</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/164689">竊資軟體Cthulhu Stealer鎖定macOS用戶電子錢包、帳號密碼而來</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164681"><strong style="font-size: 22px;">臺灣駭客年會邁入20年，不只點燃駭客精神，半導體封裝測試大廠日月光也加入資安社群行列</strong></a></p> <p>今年臺灣駭客年會（HITCON）社群場於8月23、24日連續兩日舉行，現場重頭戲不僅包括多場技術資安議程，還帶來一系列資安相關活動與挑戰，吸引近千名對資安有興趣的研究人員與學生參與。特別的是，今年已是HITCON第20周年，象徵著該活動在臺灣資安社群中的深厚歷史與影響力。</p> <p>其中，AI無疑是這幾年的重要焦點，大會上不僅有4場是與AI、資安相關的演說，現場也有一些攤位活動聚焦於此。例如：一款名為「新手Prompt之助」的遊戲，是由中華資安國際開發，讓會眾掃描QRCode後可以開啟一個網頁與聊天機器人對話，目標是套出其所保護的神秘金鑰；還有一款UCCU AI Challenge的遊戲，是由資安社群UCCU Hacker開發，這遊戲不僅有探索安全防護機制的提示注入（Prompt Injection）挑戰。</p> <p>值得一提的是，本次半導體封測領域相當知名的「日月光半導體」（ASE Global），他們資安團隊設計了一個SOC事件調查的情境解題遊戲，讓會眾可在現場檢視SSLVPN、Server、防火牆這3個儀表版，並給出5個問題讓玩家回答。這次日月光半導體的參與，也引起了現場眾多與會者的關注。可以想見的是，此舉展現了企業方對資安人才的需求，而且還是相當知名的半導體業者，突顯出資安技術專業對企業的重要性，不亞於普遍資安業者。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164687"><strong style="font-size: 22px;">Telegram執行長Pavel Durov在法國被逮捕</strong></a></p> <p>根據法國媒體TF1的報導，Telegram創辦人暨執行長Pavel Durov上周六（8月24日）搭乘私人飛機降落在法國巴黎附近的Bourget機場時遭到逮捕，主要原因是Telegram平臺上缺乏內容管理機制，使它成為犯罪的溫床，而讓法國法官簽署了Durov的逮捕令。</p> <p>根據報導，法國之所以發布Durov的逮捕令是因Telegram缺乏管理機制，而讓各種犯罪活動於該平臺上暢行無阻，這令Durov可能面臨支持恐怖主義、販毒、大規模詐欺、洗錢、戀童、閃避制裁或共謀犯罪等洋洋灑灑的指控。事實上，有調查員認為，Telegram根本已經成為有組織犯罪的最大平臺。</p> <p>路透社則指出，Telegram是烏克蘭戰爭中未經證實之消息的主要散布管道，甚至有人稱為烏克蘭戰爭的虛擬戰場，不管是俄羅斯或烏克蘭高層都透過該平臺放話。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164662"><strong>【8月23日】協作平臺Slack搭載的AI功能有漏洞，恐曝露私人頻道機密資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164632"><strong>【8月22日】企業自訂AI副手功能的工具Copilot Studio存在SSRF漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164608"><strong>【8月21日】PHP重大漏洞出現攻擊行動，駭客已藉此在臺灣的一間大學院校植入後門</strong></a></p> </div></div></div>
2024/8/26 18:05作者周峻佑https://www.ithome.com.tw/news/164701
WeMo共享機車擴大服務至臺中，下個月進軍臺南
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內較早投入共享機車市場的WeMo Scooter，今宣布獲得台灣大哥大等投資，計畫擴大線上共享機車服務範圍，並且開放臺中市自由租還服務，9月將再進入臺南地區。</p> <p>WeMo Scooter是利用車聯網技術，提供線上自由租還車，使用者透過App尋找附近停放的可租用電動機車，24小時隨時線上租車或還車，且線上租車或還車不受固定地點限制。在此之前，WeMo共享機車服務範圍主要以雙北地區、高雄為主。</p> <p>WeMo Scooter以車聯網技術為基礎，提供線上自由租還機車的共享機車服務，後續也吸引GoShare、iRent等業者相繼投入共享租車，帶動國共享機車市場發展。其中GoShare近幾年積極擴大服務範圍，目前線上租還機車範圍，包括台北市、新北市、桃園市、新竹市、臺南、雲林、高雄等。</p> <p>相較於競爭對手，WeMo近幾年在擴大營運範圍上進展緩慢，今天終於宣布旗下共享機車服務擴大到臺中市，初期投車數量約400輛，下個月進軍臺南，初期投車數量約150輛，投入臺中、臺南地區的共享機車與高雄地區一樣，採用可自行換電、續航較長的第二代的WeMo Fly車款。</p> <p>WeMo表示，臺中及臺南地區投車地點，是以過去在雙北地區的數據，以及當地的交通通勤熱區為主。加入臺中、臺南之前，加上雙北、高雄市，其共享機車服務範圍已涵蓋五都，該公司表示，未來不排除擴大更多地區。</p> <p>除了24小時可以線上自由租還車模式，他們也在基隆火車站、新竹火車站、新竹高鐵站、桃園火車站、桃園高鐵站、苗栗火車站、苗栗高鐵站、羅東火車站、員林火車站、花蓮火車站、臺南火車站、屏東火車站等17個臺鐵及高鐵站，和當地停車場合作固定站點租還車，相較於一般的自由租還車，地點較不受限制，使用者必需在固定站點租還車，而在騎車的期間電力不足，可以到光陽Ionex更換電池。</p> </div></div></div>
2024/8/26 17:48作者蘇文彬https://www.ithome.com.tw/news/164699
惡意軟體Sedexp潛入Linux裝置管理器，意圖透過遭潛入的網頁伺服器竊取信用卡資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定Linux伺服器的攻擊行動越來越常見，但駭客植入惡意程式的攻擊手法，最近出現了相當不尋常的新招。</p> <p>保險業者怡安（Aon）旗下的風險管理業者Stroz Friedberg揭露<a href="https://www.aon.com/en/insights/cyber-labs/unveiling-sedexp">名為sedexp的Linux惡意軟體</a>，駭客將其用來在網頁伺服器竊取信用卡資料，其中使用罕見的手法維持在受害主機運作引起研究人員關注，此惡意程式從2022年開始出沒，研究人員在許多沙箱環境發現其蹤跡，然而，目前沒有防毒引擎將其視為有害。</p> <p>除了前述的信用卡資料側錄行為，研究人員指出此惡意程式還具備反向Shell的功能，以及竄改記憶體內容，目的是用來隱藏含有ls或find指令的部分命令，攻擊者通常會用來偷渡Web Shell、竄改的Apache組態檔案，以及udev規則。</p> <p>究竟研究人員提及的罕見手法是什麼？答案是濫用Linux核心的裝置管理系統udev的規則。</p> <p>udev的主要功能是負責管理/dev資料夾裡的裝置節點，動態建立或是移除裝置，處理熱插拔事件、設定新的設備，並載入所需的驅動程式，而udev規則組態檔案的用途，是指示此裝置管理系統偵測到特定裝置的時候，執行特定的動作，例如新增或是移除裝置。</p> <p>而駭客加入的udev規則檔案內容為何？研究人員看到他們針對/dev/random的特殊裝置檔案設定配置，Linux作業系統的許多系統處理程序及應用程式，都會將其用來產生隨機亂數，然後進行加密作業或是安全通訊。而攻擊者指定當上述的裝置檔案載入時，就會一併執行sedexp。研究人員特別提及，這樣的手法，目前尚未被彙整到攻擊框架MITRE ATT&CK當中。</p> <p>針對這種極為特殊的新興手法，研究人員指出，這代表出於經濟動機犯案的駭客，手法也變得更加複雜，突顯企業需要持續調整、更新偵測威脅的能力，並在察覺伺服器疑似遭駭的情況下，應考慮進行完整的鑑識調查。</p> </div></div></div>
2024/8/26 15:55作者周峻佑https://www.ithome.com.tw/news/164696
PowerShell惡意軟體下載工具PeakLight埋藏在記憶體內運作，散布多種惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了隱匿惡意程式的行蹤，駭客利用惡意程式下載工具（Downloader）來投放有效酬載的情況越來越普遍，但如今駭客也試圖在記憶體內執行這類作案工具，防止資安偵測工具在電腦或伺服器磁碟發現其運作的痕跡。</p> <p>例如，資安業者Mandiant最近揭露的<a href="https://cloud.google.com/blog/topics/threat-intelligence/peaklight-decoding-stealthy-memory-only-malware/">惡意程式下載工具PeakLight</a>，就是這樣的情形。駭客假借提供盜版電影為由，散布帶有捷徑檔案（LNK）的ZIP壓縮檔，一旦使用者開啟LNK檔，電腦就與特定的內容交付網路（CDN）連線，下載名為PeakLight的惡意程式下載工具，然後於受害電腦植入LummaC2（Lumma Stealer）、ShadowLadder（Hijack Loader）、CryptBot等惡意酬載。</p> <p><a href="https://s4.itho.me/sites/default/files/images/peaklight-fig1_max-2100x2100.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/peaklight-fig1_max-2100x2100.jpg" style="width: 580px;" /></a></p> <p>根據LNK檔的命令，大致可分成兩種，其中一種是濫用公用程式forfiles.exe尋找win.ini檔案，並啟動PowerShell，然後透過公用程式mshta.exe從特定網域搜尋下載、執行第二階段酬載；另一種則是直接執行PowerShell，啟動mshta.exe下載有效酬載，但特別的是，攻擊者下達命令時，會用到萬用符號，但為何要這麼做，研究人員沒有解釋。</p> <p>但無論透過何種方式進行後續的攻擊流程，電腦都會從CDN取得JavaScript惡意程式載入工具（Dropper），研究人員看到對方使用兩種混淆手法，其中一種是使用十六進位字元進行處理，另一種則是採用Base64編碼。</p> <p>而這些載入工具最終於受害電腦植入PeakLight，此為PowerShell打造的作案工具，同樣駭客也經過混淆處理。其中，有部分的版本會在電腦載入MP4影片做為誘餌，降低受害者的戒心。</p> </div></div></div>
2024/8/26 16:47作者周峻佑https://www.ithome.com.tw/news/164698
協助消費者辨識與警示AI深偽詐騙視訊，趨勢提供免費工具
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/trend_micro_deepfake_inpector-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧當道，帶來工作與生活的便利之餘，駭客與網路犯罪份子也利用這樣的技術發動攻擊與詐騙行動，甚至出現許多容易取得的AI犯罪工具，在技術使用門檻降低的態勢之下，發動大規模網路攻擊更簡便，可透過深偽（Deepfake）這類AI假造圖片、影片、聲音等內容的手法，矇騙更多受害者進行勒索、身分冒用、詐騙，或是散播假消息。</p> <p>關於這樣的資安威脅，在深度學習技術崛起、生成式AI走紅之後，引發眾人擔憂，<a href="https://www.ic3.gov/Media/Y2022/PSA220216">美國FBI曾在2022年發布警示</a>，分別提醒大家注意線上會議平臺可能發生商業郵件詐騙（BEC），以及用深偽影像與個人識別資訊來應徵遠端工作，並且已陸續出現一些實際的攻擊事件，像是：<a href="https://www.ithome.com.tw/news/161212">年初香港有跨國公司遭到深偽詐騙</a>，對方透過視訊會議假造總部財務長影像，要求分公司財務部門職員匯款至指定銀行，結果損失8億元；7月底<a href="https://www.ithome.com.tw/news/164108">資安意識訓練解決方案廠商KnowBe4</a>，坦承駭客成功利用深偽技術與多種欺騙伎倆線上應徵AI軟體工程師，而被聘入他們公司任職。</p> <p>雖然深偽資安威脅已然成形，遺憾的是，整個資安界呼籲大家重視之餘，卻遲遲沒有廠商嘗試提出可行的解決方案。截至目前為止，我們看到趨勢科技揭露正在著手發展相關的技術。</p> <p>例如，在5月舉行的RSA資安大會，趨勢科技宣布旗下企業級資安平臺Vision One當中的Zero Trust Secure Access（ZTSA），將針對公有或私有生成式AI服務的使用，新增保護功能；6月登場的台北國際電腦展期間，他們展示協助AI個人電腦對抗新興威脅的第一套消費型資安解決方案，提供AI應用程式防護與NPU驅動的電子郵件防護等功能，預計在今年稍晚推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Micro%20Deep%20Fake%20Detector-2024-06.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Micro%20Deep%20Fake%20Detector-2024-06-2.jpg" style="width: 600px;" /></p> <p>到了本月召開的黑帽大會前夕，趨勢科技發布新聞稿，預告將在Vision One平臺提供深偽偵測技術，協助企業強化AI防護力，而且，這項功能也會供應個人用戶，目前他們先提供名為Trend Micro Deepfake Inspector的工具，能在個人端設備即時分析，協助確認目前進行的視訊對話是否有人正在使用深偽技術，若出現此類狀況，會警示當下呈現的對方影像畫面，可能並不是他們所宣稱的人，確保使用者資料與隱私都能持續獲得保護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Deepfake%20detect%20Portfolio.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Trend Deepfake detect1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Deepfake%20detect1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Trend Deepfake detect2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Deepfake%20detect2.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Deepfake%20detect3.jpg" style="width: 298px;" /></p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/tdiE8Bpga00?si=DlCYhGXUe5qdFJPj" title="YouTube video player" width="560px"></iframe></div> <p>在趨勢科技網站的免費工具及試用頁面，可下載Trend Micro Deepfake Inspector，能用於Windows電腦——支援x86與Arm版本的Windows 11，但我們實際在Windows 10電腦也可以安裝、執行，最多可偵測20次，每次為期3分鐘（超過時間會自動停止）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DF0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DF0.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/DF1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DF1.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/DF2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DF2.jpg" style="width: 198px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DF5.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/df3-2024-08-9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/df3-2024-08-9.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/df4-2024-08-9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/df4-2024-08-9.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Trend Micro Deepfake Inspector</strong><br /> ●原廠：趨勢科技<br /> ●建議售價：免費<br /> ●作業系統需求：Windows 11（x86、Arm）●最新版本：1.1.0●安裝檔案大小：168 MB<br /> ●使用限制：最多能偵測20次，3分鐘後自動停止偵測<br /> ●資料收集方式：一旦偵測到人員偽造影像，所收集的資料會保留3個月<br /> ●整合第三方服務：Google Analytics<br /> ●可偵測的深偽詐騙類型：愛情詐騙、投資詐騙、親友緊急狀況詐騙、隱私與假訊息、社交媒體假訊息</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/8/26 15:25作者李宗翰https://www.ithome.com.tw/review/164532
竊資軟體Cthulhu Stealer鎖定macOS用戶電子錢包、帳號密碼而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>MacOS平臺向來被認為比較少惡意軟體，但現今已漸漸吸引駭客注意力。資安業者Cado Security<a href="https://www.cadosecurity.com/blog/from-the-depths-analyzing-the-cthulhu-stealer-malware-for-macos" target="_blank">發現</a>一款惡意程式Cthulhu Stealer，專門鎖定macOS電腦用戶竊取密碼、cookies或其他敏感資訊。</p> <p>Cthulhu Stealer（或簡稱Cthulhu）為一惡意程式即服務（malware-as-a-service，MaaS），是由一個代號Cthulhu或Balaclavv的用戶在Telegram頻道及二個暗網交易市集兜售，以每月500美元提供服務，由其開發人員和同夥向macOS用戶發動攻擊。Cthulhu是2023年底現身，並在今年頭幾個月內開始活動。</p> <p>Cthulhu本身是一種Apple磁碟映像檔（DMG檔），視架構而定，可附加於2種二進位檔。它以GoLang寫成，可偽裝成合法軟體。研究人員發現它曾經冒充過合法軟體如硬碟清理工具CleanMyMac、遊戲軟體Grand Theft Auto IV以及Adobe GenP，誘使用戶下載。</p> <p>一旦用戶下載安裝.dmg檔，它會要求用戶開啟檔案，並啟動macOS的指令行工具osascript就會接連要求用戶輸入它想竊取的敏感資訊，包括cookies、帳號或電子錢包密碼。研究人員歸納Cthulhu的竊取目標包含Chrome與Firefox瀏覽器cookies、Telegram密碼、Apple Keychain、SafeStorage、Minecraft帳號以及十多種電子錢包應用如Chrome Extension Wallet、MetaMask、XDeFI、Coinbase或Blockchain Wallet等等。</p> <p>研究人員並公布了Cthulhu的Yara偵測規則，以及該惡意程式安裝時會在用戶電腦/Users/Shared/NW路徑下建立資料夾。</p> <p>Cthulhu是資安專家發現最新一隻攻擊Mac電腦用戶的竊密程式。從早期的<a href="https://www.ithome.com.tw/news/104390" target="_blank">KeRanger</a>和<a href="https://www.ithome.com.tw/news/142840" target="_blank">Silver Sparrow</a>開始逐漸增多。今年資安業者SentinelOne<a href="https://www.ithome.com.tw/news/160906" target="_blank">發現</a>竊資軟體KeySteal、Atomic Stealer、CherryPie，都能繞過macOS作業系統的防護機制XProtect竊取用戶敏感資料。</p> </div></div></div>
2024/8/26 15:50作者林妍溱https://www.ithome.com.tw/news/164689
Android支援16 KB分頁大小，可提升系統效能約5-10％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google預計在之後Android版本支援<a href="https://android-developers.googleblog.com/2024/08/adding-16-kb-page-size-to-android.html">16 KB分頁大小（Page Size）</a>，相較於過去僅支援標準的4 KB分頁大小，這是一項重大更新，官方指出，支援16 KB分頁大小雖會增加約9％記憶體使用量，但也將帶來5-10％系統效能提升。</p> <p>目前由於還沒有量產16 KB分頁大小的Android裝置，因此Google會先在Android 15提供開發者選項和x86_64模擬器支援，鼓勵開發者先做好準備。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0826-android-16KB.png" style="width: 263px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>為了提升作業系統整體效能，Google在Android 15增加支援16 KB分頁大小，這也會是第一個支援16 KB分頁大小的Android版本。由於ARM架構處理器在設計時考慮多種分頁大小，因此Android要支援16 KB分頁大小，主要是為了適應ARM的功能。分頁是作業系統管理記憶體的基本單位，大多數現代CPU都是支援4 KB分頁大小，因此過去Android作業系統和應用程式也都是針對4 KB分頁大小最佳化。</p> <p>大多數CPU中處理器具有一個稱為記憶體管理單元（Memory Management Unit，MMU）的硬體元件，負責管理虛擬記憶體和實體記憶體間的地址轉換，而這種轉換與分頁大小密切相關，當應用程式需要更多記憶體的時候，作業系統就需要介入，並填寫分頁表格條目，將記憶體分配給程序。</p> <p>所以當Android支援的分頁大小從4 KB增至16 KB，分頁大小增至4倍，記憶體分配的管理工作量也就相對應降低，這讓系統可以把更多時間用於運算影片、遊戲和作業系統等工作。Google特別說明，分頁大小與處理器32位元/64位元模式的應用程式二進位介面（Application Binary Interface，ABI）概念不同。</p> <p>ABI涉及處理器位寬，直接影響應用程式存取和操作資料的方式，而分頁大小是作業系統管理記憶體的策略，所以當應用程式調整為不依賴特定分頁大小，同一個應用程式的二進位檔案，就可以在支援4 KB和16 KB分頁大小的裝置上運作。Google重新設計了Android 15的底層，因此開始能夠支援不同頁面大小運作，以實現分頁大小無關性。</p> <p>分頁大小的變動牽涉範圍廣泛，涵蓋作業系統、檔案系統、記憶體管理和Linux核心等層面，而對Android開發者來說，應用程式的程式碼和相依項目都需要重新編譯和調整，才能在相容於16 KB分頁大小的裝置上正確運作，而且因為大多數應用程式和SDK原生程式碼是針對4 KB分頁建置，需要重新對齊，確保相容4 KB和16 KB裝置。</p> <p>從Android 15 QPR1 Beta版本開始，Pixel 8和Pixel 8 Pro將提供開發人員選項，可切換16 KB和4 KB分頁大小。針對16 KB頁面建置的應用程式，只需使用不同Linux核心，相同二進位檔案就能適用於4 KB和16 KB。因此Google加入一種包含額外Linux核心的方法，運用增量壓縮方法，每個分頁大小的核心版本約占12-16 MB。另外，即便開發者沒有ARM裝置，現在也可以在x86_64模擬器，以4 KB模式模擬16 KB分頁大小支援。</p> </div></div></div>
2024/8/26 15:55作者李建興https://www.ithome.com.tw/news/164690
【iThome 2024 CIO大調查系列6｜新興技術採用趨勢】GAI應用需求帶動企業新技術布局，AI優化維運成IT新…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1196-feng_mian_p2-gai-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI依舊是2024年最夯的新興技術，企業不只擴大採用更多ChatGPT類應用，也加碼投入GAI相關技術。生成式AI的採用率從去年的11.8%，今年翻倍成長到23.5%，幾乎每五家企業就有一家，今年正在導入GAI技術。</p> <p>不論哪一個產業，採用現成ChatGPT類應用的比例，都遠高於GAI技術，甚至是原有非生成式AI的採用，企業今年比去年更積極擁抱現成的生成式AI服務，來加快落地的速度。各產業中，醫療業是最積極採用ChatGPT類應用的產業，今年高達53.6％的醫院採用，來輔助醫事作業流程，分擔原本繁重的庶務作業，讓醫護人員有更多時間來關注病患。服務業和政府學校今年也很積極採用各種現成的ChatGPT類應用，要整合到原有工作流程中，來提高員工的生產力。</p> <p>在底層的GAI技術採用率上，整體產業來看，今年的GAI採用率，已經接近但還沒超過非GAI的AI/ML技術，只有高科技製造、服務業的生成式AI採用率，今年開始超過了非生成式AI。這兩個產業原有AI類技術的採用率也比去年更高，只是今年他們更想善用生成式AI來尋找新的創新應用，對於生成式AI的採用力道更強。政府機關則是兩者的採用率相當，也反映出政府機關積極想要尋找生成式AI應用場景的企圖，只是還沒有超越既有的AI採用率。</p> <p>醫療、金融和一般製造業則仍持續重視非生成式AI的AI/ML技術，仍有高達3成1的金融業持續投入原有AI/ML技術，醫療業的非生成式AI採用率也仍舊高於生成式AI。不過，金融和一般製造業對於非生成式AI的採用率，與去年相當，而醫療業的非生成式AI採用率則比去年減少了4%，這反映出，企業AI技術的重心，開始轉移，生成式AI逐漸成了新的企業AI技術布局重心。</p> <p>雖然企業積極想要搭上生成式AI的浪潮，但不到2成企業有足夠的準備，甚至在人才、技術架構、治理與風險上，做好準備的企業甚至不到1成。企業對於GAI人才的匱乏感最強，9成5的企業都自認GAI人才嚴重不足。就算是IT預算最豐沛的金融業，只有GAI的資料面準備度較高，9成金融業同樣在戰略、技術、治理和人才上還沒做好準備。</p> <p>相關準備還沒到位，如何擁抱GAI，這也讓企業更積極直接採用現成的ChatGPT類服務，來整合到內部流程或自家應用中，尤其科技巨頭今年相繼推出了維運類的生成式AI助手服務，成了企業切入生成式AI的新焦點，尤其是越來越複雜的雲端環境，企業更願意嘗試用雲端維運AI助手，也帶動了今年AIOps的採用率。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/196-%E5%B0%81%E9%9D%A2p2-GAI-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/196-%E5%B0%81%E9%9D%A2p2-GAI-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/196-%E5%B0%81%E9%9D%A2p2-GAI-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/196-%E5%B0%81%E9%9D%A2p2-GAI-600-4-PNG.png" style="width: 600px;" /></p> <p><strong style="font-size: 16px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> </div></div></div>
2024/8/26 15:14作者王宏仁https://www.ithome.com.tw/article/164620
【iThome 2024 CIO大調查系列6｜新興技術採用分布】2024年整體產業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1196-zheng_ti_-960-jpg-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>技術力是企業創新的關鍵，為了因應AI數位轉型、資安轉型或是永續轉型的挑戰，不論是哪一個產業，臺灣企業2024年的技術布局有很大的變化。</p> <p>尤其生成式AI技術不只是快速演進，科技巨頭去年更相繼推出了各種GAI對應工具和服務後，更讓企業對於新興科技的採用戰略，和過去有很大的不同。</p> <p>在今年iThome CIO大調查中，我們調查了422家企業，針對四大類共38項新興科技的採用動向，包括了10項「IT基礎架構」技術、9項「AP架構與開發」技術、14項「Data與AI」技術，以及5項其他新興科技。</p> <p>在今年針對資料與AI類別的調查選項中，我們將AI/ML技術區分出生成式AI與非生成式AI/ML兩類，以便了解企業對於新舊AI技術的採用轉變，並且特別增加了多項與生成式AI相關的新興技術，包括了檢索增強生成（RAG）、提示工程、向量資料庫等，來了解臺灣企業對於全球最新技術浪潮的採用情況。</p> <p>因為生成式AI的技術演進速度飛快，主流的大型語言模型，幾乎每一年就會有很大的改版，相關工具和服務也會跟著升級，甚至進化。所以，在今年的技術雷達圖製作方法上，我們改變了先前以「過去3年」排名變化來排序的策略，轉而聚焦「今年與去年」的採用率排名變化，將今年技術採用率排名，比去年上升超過5名的技術，列為「爆紅」類技術，也就是雷達圖中心紅圈的項目。相反地，今年排名比去年下滑超過5名的技術，則列入「退燒」類技術，也就是雷達圖最外緣的綠色圈項目。中間白色圈，再以整體採用率平均值（今年是13.7%）作為分界，按照採用率多寡，來繪製出不同新興技術的落點，採用率越高者越接近圓心。希望透過這樣的調整，更能反映企業今年最新的技術決策態勢，作為CIO規畫2025年技術布局的決策參考。</p> <p>從整體產業來看，今年有三大爆紅技術，包括了IT基礎架構類的AIOps（用AI優化IT維運），資料與AI類的檢索增強生成，以及AP架構與開發類的DevSecOps。前兩項技術在今年竄紅，正是與生成式AI浪潮有關，企業今年開始不只是更積極採用ChatGPT類應用，也開始嘗試用RAG打造內部的GAI應用，更願意開始導入科技大廠相繼推出的各種AI維運助手，如雲端AI助手、資安AI助手，來分擔越來越複雜的IT維運考驗。各產業今年爆紅的技術也有很大的不同，智慧物聯網需求讓一般製造業與高科技開始積極採用FIDO網路身分識別，智慧展演需求加速了服務業的5G專網採用，GAI浪潮讓金融業打造更多行動AI應用。對近兩年大力推動IT現代化的醫療業，中臺架構是新的IT主流。政府學校則比其他產業更重視負責任AI的落實。這些都是今年技術雷達圖的新亮點。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1196-%E6%95%B4%E9%AB%94-600-1-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1196-%E6%95%B4%E9%AB%94-600-1-(%E5%B0%8F)PNG.png" style="width: 600px;" /></a></p> <p><strong style="font-size: 16px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> <p><a href="https://www.ithome.com.tw/article/164659" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1196-feng_mian_-p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=Xk3ieTol" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/26 15:15作者王宏仁https://www.ithome.com.tw/article/164625
【資安週報】2024年8月19日到8月23日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期的資安威脅態勢，有多起新聞是聚焦在偽冒、配置錯誤這兩大議題，成為不可忽視的風險熱點，突顯企業、個人在網路安全上的潛在薄弱環節。</p> <p>以偽冒事件而言，有3則消息，其中一起偽冒情境相當獨特，是讓用戶誤以為電腦更新進行中，但實際是利用遠端存取竊取資料。</p> <p>●駭客偽造WinRAR網站，建立與正牌官網（win-rar.com）一字之差的偽冒網站（win-rar.co），雖然此做法並不新奇，但涉及熱門軟體而受關注。<br /> ●惡意廣告運用動態關鍵字插入技術，鎖定特定公司或產品線並假冒其名義，例如假冒Google的行動中，還會利用Google Looker Studio製作圖片來假冒搜尋頁面，並透過圖片內嵌惡意連結引導至假冒的技術支援頁面。<br /> ●駭客組織先利用社交工程手法，並透過遠端連線請求傳送假的Windows Update的執行檔，特別的是，該程式的作用僅是偽冒出Windows更新的畫面，背後則是利用遠端存取竊取受害者的網路共享資料夾，再留下勒索訊息。</p> <p>以配置錯誤而言，本星期有3則新聞值得關注，下列第一則已有攻擊行動需特別注意，研究人員指出，有11萬個網域成為攻擊者可鎖定的對象，第二則有數千個公開的SuiteCommerce受影響，並且研究人員已經揭露這樣的問題，用戶需在攻擊者關注此攻擊面下，儘速對相關組態進行檢查。</p> <p>●近出現一波向企業勒索的攻擊行動，是攻擊者鎖定在AWS公開曝險的bucket，並利用企業的雲端應用環境設定不當，進而得以竊取包含像是驗證憑證的環境變項檔（.env）檔竊取重要資料，並向受害組織勒索。<br /> ●針對Oracle旗下的雲端ERP平臺NetSuite，研究人員指出存在用戶配置錯誤情況相當廣泛，原因在於名為SuiteCommerce電商網站元件中一項CRT的存取控制錯誤組態造成，提醒相關用戶應加強這方面的管理，以避免資料外洩。<br /> ●航班追蹤平臺FlightAware發布資安事件公告，指出在7月底發現因配置錯誤問題，發生外洩該平臺用戶個資的事故。</p> <p>在資安事件方面，有5則重要新聞，當中以臺灣大學院校遭遇後門程式Msupedge攻擊的揭露最受關注，而且，值得警惕的是，入侵原因是未修補今年6月PHP程式語言修補重大漏洞；臺灣最大臺灣電子佈告欄（BBS）PTT傳出資料外洩的消息也引發關注，對此消息，<a href="https://www.facebook.com/PttTW/posts/913357430830764">批踢踢實業坊（Ptt.cc）已在隔日發布聲明</a>，傳聞中所稱取得的資料，應係自公開看板上所抓取的文章，並未發現有任何機密資訊受到危害。</p> <p>●國內有大學院校遭遇後門程式Msupedge的攻擊行動<br /> ●中國對臺認知作戰升級，在今年5月盜取飛官社群網站帳號抵毀國軍。<br /> ●PTT驚傳遭到入侵，駭客聲稱取得3.5萬筆資料。<br /> ●美國半導體製造商Microchip傳出遭遇網路攻擊，造成工廠產能降低的影響。<br /> ●豐田美國分公司遭公布24GB公司資料，駭客表示是從其備份伺服器竊取。</p> <p>至於這一星期的漏洞利用消息，有1個零時差漏洞利用情形，Versa Networks旗下可簡化SASE服務的Versa Director平臺的漏洞CVE-2024-39717，美國CISA警告已獲知有主動利用的證據。</p> <p>還有5個漏洞利用要留意，包括：今年1月修補的 Jenkins CLI漏洞（CVE-2024-23897），以及前幾年多個已知漏洞，微軟Exchange Server漏洞（CVE-2021-31196），Linux Kernel漏洞（CVE-2022-0185 ），大華IP攝影機漏洞（CVE-2021-33044、CVE-2021-33045）。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/164553"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月19日】Google Pixel驚傳內建具有高度權限的第三方元件</span></strong></a></h3> <p>過往我們探討手機軟體供應鏈安全的事故，主要是出現在中國品牌的手機上，有人在製造過程中埋入惡意程式，導致用戶受害。但如今，類似的問題竟然出現在Google的「親兒子」Pixel系列手機。</p> <p>有資安業者透過EDR系統在客戶列管的手機當中，發現不尋常的弱點，經過調查，這些手機都被預載不安全的應用程式Showcase，攻擊者有機會藉此取得高權限，從而遠端執行程式碼、安裝惡意程式。</p> <h3><a href="https://www.ithome.com.tw/news/164586"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月20日】駭客散播可呈現仿造OS更新畫面的執行檔，背後卻是在電腦偷資料</span></strong></a></h3> <p>對於Windows使用者而言，每個月都會遇到的作業系統更新，已是相當熟悉，尤其是過程中往往必須重開機而無法使用，有駭客看上這點，製造電腦正在進行系統更新的假象，從容地從事攻擊行動，待完成後才留下勒索訊息，要脅若不依照指示付錢，將會面臨GDPR罰款。</p> <p>這項攻擊行動的特別之處在於，駭客利用1支無攻擊特徵的程式製造這種假象，導致大多數的防毒軟體都不會將其視為有害。</p> <p><a href="https://www.ithome.com.tw/news/164608"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月21日】PHP重大漏洞出現攻擊行動，駭客已藉此在臺灣的一間大學院校植入後門</span></strong></a></p> <p>兩個月前臺灣資安業者戴夫寇爾揭露的PHP漏洞CVE-2024-4577，當時提到使用正體中文、簡體中文、日文語系的視窗作業系統用戶會受到影響，如今傳出實際資安事故，本週有資安公司指出臺灣有大學因為這個漏洞未修補而遭到攻擊，被駭客植入後門程式。</p> <p>值得注意的是，他們發現有多組人馬嘗試找尋下手目標的情況，這代表相關攻擊行動將會接連出現。</p> <p><a href="https://www.ithome.com.tw/news/164632"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月22日】企業自訂AI副手功能的工具Copilot Studio存在SSRF漏洞</span></strong></a></p> <p>隨著人工智慧應用系統越來越普及，相關漏洞影響可能極為深遠，相當值得關注。本週資安業者Tenable公布Copilot Studio伺服器請求偽造（SSRF）漏洞CVE-2024-38206細節，並指出這項漏洞能影響該系統的基礎設施，攻擊者一旦利用，就有可能同時影響多個用戶。</p> <p>這項漏洞在他們通報後，微軟已進行修補，並將其列為重大風險漏洞列管。</p> <p><a href="https://www.ithome.com.tw/news/164662"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月23日】協作平臺Slack搭載的AI功能有漏洞，恐曝露私人頻道機密資料</span></strong></a></p> <p>與人工智慧互動、協作已是許多民眾日常不可或缺的部分，許多企業的應用系統也開始納入相關功能，然而一旦這類機制若是存在弱點，同樣可能成為駭客大肆利用的對象。</p> <p>最近研究人員公布協作平臺Slack的AI機器人漏洞，就是這樣的例子，攻擊者可在無須取得相關權限的情況下，得到私人頻道的內容，從而達到竊取機密的目的。</p> <p> </p> <p><strong><span style="color: rgb(255, 0, 0);">本星期漏洞利用狀況一覽表</span></strong></p> <p>零時差漏洞利用：1個</p> <p>CVE-2024-39717 ／ Versa Director漏洞</p> <p>本星期已知漏洞遭利用：5個</p> <p>CVE-2024-23897 ／ Jenkins CLI漏洞（1月24日公開，8月20日警告已遭利用）<br /> CVE-2021-31196 ／微軟Exchange Server漏洞（2021年7月14日公開，2024年8月22日警告已遭利用）<br /> CVE-2022-0185 ／ Linux Kernel漏洞（2022年2月11日公開，2024年8月23日警告已遭利用）<br /> CVE-2021-33045 ／ Dahua IP Cameral漏洞（2021年9月15日公開，2024年8月21日警告已遭利用）<br /> CVE-2022-33044 ／ Dahua IP Camera漏洞（2021年9月15日公開，2024年8月21日警告已遭利用）<br /> </p> </div></div></div>
2024/8/26 09:56作者羅正漢https://www.ithome.com.tw/news/164683
開放運算計畫正在推動綠色混凝土
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開放運算計畫（Open Compute Project，OCP）基金會上周<a href="https://www.opencompute.org/blog/leading-data-center-companies-partner-with-open-compute-project-foundation-and-wje-to-trial-green-concrete" target="_blank">宣布</a>了一項新專案，目的是測試低碳排放混凝土的開發及部署，在生產及使用所謂的綠色混凝土（Green Concrete）的過程中，減少二氧化碳的排放量。</p> <p>專注於推動減少全球數位基礎設施碳排放以實現巴黎氣候協定的iMasons Climate Accord（iCA）去年曾發表一<a href="https://climateaccord.org/news/greener-concrete-for-data-centers-an-open-letter/" target="_blank">公開信</a>，呼籲業者應於資料中心使用更環保的混凝土，因為根據估計，光是混凝土就占了全球碳排放量的11%，且高達8成以上的碳足跡來自於現代建築中最常用、充當粘合劑，以及使混凝土硬化的波特蘭水泥（Portland Cement）。</p> <p>於是OCP便與美國的建築材料公司Wiss, Janney, Elstner Associates, Inc（WJE）合作，於資料中心地板上測試低碳混凝土，採用了4種不同的混凝土配方，來測試它們的碳排放及混凝土性能。WJE負責人Thomas Van Dam指出，隨著建築行業也愈來愈關注可持續性與低碳材料的使用，混凝土材料與用途正在發生變化，未來將根據不斷發展的建築材料與實踐的情況來協助企業決策。</p> <p>在此次測試的4種混凝土配方中，有3種的碳排放都低於國家基準的40%，更有一種比基準低了61%。OCP準備將這些不同配方的特性製成白皮書，包括碳排放、抗壓強度、養護方式或磨損情況等，以讓資料中心的建置者可以作為部署低碳混凝土的參考。</p> <p>開放運算計畫最初是由Facebook於2011年所設立，主要推動資料中心設計與最佳實踐的共享，迄今已吸引逾50家科技業者加入，包括微軟、Google、Amazon、IBM、Nvidia、Cisco、聯想、阿里巴巴與Arm等。</p> <p>其中，AWS可持續發展總監Chris Walker表示，混凝土中所使用的傳統水泥是碳排放的主要來源，但這類的專案顯示，某些水泥替代品可用來降低碳排放，而不會影響混凝土的結構與耐久性。光是在2023年，AWS就以低碳混凝土建造了36個資料中心，並將在整個供應鏈中努力推動低碳混凝土的採用。</p> </div></div></div>
2024/8/26 12:29作者陳曉莉https://www.ithome.com.tw/news/164688
Android惡意程式重導引NFC流量新手法竊取支付卡資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安廠商ESET<a href="https://www.welivesecurity.com/en/eset-research/ngate-android-malware-relays-nfc-traffic-to-steal-cash/" target="_blank">發現</a>一樁竊取錢財惡意程式新手法，可透過重導引NFC通訊流量，將受害者Android手機上的支付卡資訊傳送給駭客。</p> <p>ESET研究人員發現，3家捷克銀行客戶遭到這前所未見新手法的攻擊。攻擊者使用一個名為NGate的惡意程式，將受害者的實體支付卡資料（如金融卡），由安裝NGate的Android智慧型手機利用NFC通訊，傳送給攻擊者控制的手機。攻擊者取得卡片資料後即可執行ATM交易。若這方法失敗，攻擊者還有備援計畫，可以從受害者帳戶傳到其他人的帳號。由於攻擊手法使用了NFCGate的NFC流量分析開源工具，研究人員因而將惡意程式命名為NGate。</p> <p>ESET團隊首先在2023年11月底前觀察到知名捷克銀行客戶遭到NGate的釣魚攻擊。駭客透過設立冒充銀行帳號的網站或假冒官方行動銀行App散布，傳送退稅的釣魚簡訊給知名銀行用戶，誘使用戶下載號稱能退稅的App，實則為NGate。接著，駭客又冒充知名銀行行員打電話給用戶通知帳號被駭，要求用戶前往其提供的連結重設銀行密碼。NGate趁機在用戶重設帳密過程中，竊走受害者銀行支付卡資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0826-NGate%20Android%20malware-ESET-2.png" style="width: 331px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／ESET</span></span></p> <p>NGate對Android用戶的攻擊在2024年3月因主謀被捕而終止。期間有三家捷克銀行客戶受害，研究人員共發現6隻不同的NGate App變種，但受害人數不明。所幸NGate從未在Google Play Store市集上架，減少了可能的受害者規模</p> <p>研究人員指出，NGate使用了創新Web技術PWA和WebAPK來冒充銀行網站。PWA從釣魚網站開啟時會模倣合法應用程式，只是加了個小的瀏覽器圖示。NGate開啟時，即冒充銀行網站要求用戶輸入登入帳密。WebAPK則是PWA的進階版；它是由Chrome瀏覽器自動產生，但比PWA更像原生Android App，且沒有瀏覽器圖示，更容易瞞騙用戶。</p> <p>NGate除了冒充銀行App外，還具有NFCGate的工具。後者來自德國達特茅斯理工大學學生，原始用途是蒐集、分析和變更NFC流量的程式，它會將Android裝置的NFC訊號，透過伺服器傳送到另一臺模擬Android裝置的機器。在安裝NGate程式的機器上，可以蒐集、傳送／重導引或在另一臺機器上模倣、重播截取到的資料，其中重導引功能可以在未被root（刷機）的Android裝置上執行。NGate程式濫用其中的重導引NFC流量功能，且誘使用戶輸入銀行帳號、出生日期和支付卡密碼，並要求他們啟用手機NFC傳輸功能，還要受害者將支付卡放在Android手機背面直到NGate App完成「認證」。</p> <p>而這些動作讓攻擊者取得了所有必要的資訊，而得以在其持有的Android手機上複製受害者支付（金融或信用）卡，並從ATM提出金錢或執行交易。</p> <p>因此這次攻擊讓駭客有二種方法竊取受害者錢財。如果NFC資料傳送未成功，攻擊者可以用取得釣魚網站的資訊存取受害者網銀帳戶，調高匯款上限或轉帳到其他帳戶。但一旦NFC資料傳送成功，駭客即不需連回受害者帳戶，也不會留下攻擊跡證。</p> <p>研究人員補充，NGate惡意程式還能讓惡意人士從事其他攻擊，特別是他能接近受害者裝置時，像是複製NFC標籤或支付卡，但是先決條件是目標裝置只能在刷機過，或是客製Android裝置。</p> </div></div></div>
2024/8/26 11:51作者林妍溱https://www.ithome.com.tw/news/164685