iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 24篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/12
最近更新: 11/13 02:57
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

6
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社3筆關係
中央社2筆關係
日經中文網1筆關係
東森新聞1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

D-Link一款終止支援的無線路由器有重大漏洞，恐被用於RCE攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月27日資安研究人員yali-10012透露，<a href="https://github.com/yali-1002/some-poc">D-Link旗下路由器設備DIR-846W存在4個嚴重的RCE漏洞</a>，而且其中3個可在未經身分驗證的情況下利用，<a href="https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10411">9月1日D-Link發布資安公告證實確有此事</a>，但因為這款設備已於2020年終止支援（EOS），他們不會進行修補，呼籲用戶應停止使用。</p> <p>這些漏洞是：CVE-2024-41622、CVE-2024-44340、CVE-2024-44341，以及CVE-2024-44342，CVSS風險評分介於8.8至9.8，其中，僅有風險較低的CVE-2024-44340，攻擊者必須先通過身分驗證才能利用，其餘能夠在未經身分驗證就能觸發的漏洞，美國國家漏洞資料庫（NVD）皆將其風險評為9.8分。</p> <p>值得留意的是，已停止支援的D-Link設備漏洞，今年出現數起攻擊行動，4月有研究人員發現<a href="https://www.ithome.com.tw/news/162302">NAS設備漏洞CVE-2024-3273</a>，隨後就有嘗試利用的跡象；5月傳出<a href="https://www.ithome.com.tw/news/162660">無線路由器DIR-645遭到大規模攻擊</a>，過程中駭客利用已知漏洞CVE-2015-2051。</p> </div></div></div>
2024/9/4 15:08作者周峻佑https://www.ithome.com.tw/news/164840
不當蒐集人臉資料，Clearview AI被荷蘭判罰3,050萬歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>荷蘭資料保護局（Dutch Data Protection Authority，Dutch DPA）周二（9/2）<a href="https://www.autoriteitpersoonsgegevens.nl/en/current/dutch-dpa-imposes-a-fine-on-clearview-because-of-illegal-data-collection-for-facial-recognition" target="_blank">宣布</a>，美國人臉辨識業者Clearview AI因不當使用荷蘭人照片，將對其處以3,050萬歐元的罰款，不過，Clearview AI法務長Jack Mulcaire向路透社（Reuters）等媒體發布<a href="https://www.reuters.com/technology/artificial-intelligence/clearview-ai-fined-by-dutch-agency-facial-recognition-database-2024-09-03/" target="_blank">聲明</a>，表示這是個違法的判決，缺乏正當程序亦無法執行。</p> <p>Dutch DPA表示，Clearview AI在未經使用者的同意下打造了一個含有300億張人臉照片的資料庫，並替人臉建立唯一的生物識別標記，其資料庫中也包含了荷蘭人，並允許客戶輸入人物照片以辨識其身分，違反了《歐盟通用資料保護規則》（GDPR）。</p> <p>Dutch DPA還說，在當局展開調查後，Clearview AI並未停止其違規行為，因此要求Clearview AI遵守規定，否則便需支付最高510萬歐元的額外罰款。</p> <p>不過，Clearview AI法務長認為，該公司既沒有在荷蘭或歐盟設立辦公室，也沒有位於荷蘭或歐盟的客戶，不應受到GDPR的規範。</p> <p>不只是荷蘭，英國資料保護組織（ICO）也<a href="https://www.ithome.com.tw/news/151088" target="_blank">曾在2022年</a>向Clearview AI開罰750萬英鎊，在Clearview AI提出<a href="https://www.bbc.com/news/technology-67133157#" target="_blank">上訴</a>後，法院認為Clearview AI在英國並無客戶，因此ICO沒有管轄權。</p> <p>其實Dutch DPA也知道Clearview AI在歐盟地區並未設立辦公室，而且在遭到其它資料保護組織的指控後，亦無調整其行為，Dutch DPA主席Aleid Wolfsen表示，Clearview AI不應繼續侵害歐洲人的權利並逍遙法外，正在調查能否追究公司管理階層的個人責任，以阻止其違規行為。</p> </div></div></div>
2024/9/4 15:20作者陳曉莉https://www.ithome.com.tw/news/164841
白宮發布強化網路路由安全性的藍圖，解決邊界閘道協定漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國白宮國家網路總監辦公室（Office of the National Cyber Director，ONCD）周二（9/3）<a href="https://www.whitehouse.gov/oncd/briefing-room/2024/09/03/press-release-white-house-office-of-the-national-cyber-director-releases-roadmap-to-enhance-internet-routing-security/" target="_blank">發布了</a>一份強化網路路由安全（Enhancing Internet Routing Security）的<a href="https://www.whitehouse.gov/wp-content/uploads/2024/09/Roadmap-to-Enhancing-Internet-Routing-Security.pdf" target="_blank">藍圖</a>，目的是解決與邊界閘道協定（Border Gateway Protocol，BGP）有關的安全漏洞。</p> <p>全球網路大約是由7.4萬個自治系統（Autonomous System，AS）組成，每個AS通常由一個組織管理，並具備唯一的的AS號碼（ASN）；BGP則允許不同的AS相互通訊或交換路由訊息，AS亦使用BGP來宣告它們可以到達的IP位址，BGP協助AS決定如何幫封包路由至其它AS，AS使用BGP來選擇到達目標的最佳路徑。簡單地說，AS與BGP構築了網路骨幹。</p> <p>然而，1989年設計的BGP並未考量現代網路所面臨的安全威脅，使得相關的意外頻傳，像是路由劫持、路由洩露或缺乏認證等，例如2008年時，巴基斯坦政府命令ISP業者封鎖YouTube，巴基斯坦電信則企圖利用BGP路由來阻止YouTube，結果此一路由訊息被傳播到全球的BGP路由表中，<a href="https://web.mit.edu/6.02/www/s2012/handouts/youtube-pt.pdf" target="_blank">造成</a>全球大多數的YouTube流量都被錯誤地導至巴基斯坦而無法存取YouTube。2021年Meta旗下各服務的中斷，<a href="https://www.ithome.com.tw/news/147073" target="_blank">也被指向BGP</a>。</p> <p>ONCD認為，現階段要解決BGP漏洞的最佳作法是資源公鑰基礎設施（Resource Public Key Infrastructure，RPKI）、註冊服務協議（Registration Service Agreements，RSA），路由來源驗證（Route Origin Validation ，ROV），以及路由來源授權（Route Origin Authorizations，ROA）。</p> <p>其中，RSA為整個系統的法律基礎，它確定誰有權使用特定的網路資源並授權它們參與RPKI；RPKI則是個用來實現安全的技術框架；ROA即為RPKI的成果，決定哪個AS可以宣告哪些IP前綴；ROV則使用RPKI與ROA資料來驗證BGP路由公告的有效性。</p> <p>ONCD已制定了聯邦RSA範本附錄，鼓勵聯邦機構使用它來推動RPKI的採用，美國國家海洋及大氣管理局也制定了聯邦RPKI手冊，以支援RSA的執行，以及與聯邦網路上建立ROA的過程。期望今年底前，RSA將可覆蓋聯邦網路所公布的6成以上的IP空間，以替建立ROA舖路。</p> <p>白宮國家網路總監Harry Coker, Jr表示，網路安全太重要了，聯邦政府必須以身作則加速對BGP安全措施的採用，與公、私部門合作朝向共同的目標，包括制定藍圖以減輕長期存在的漏洞，造就更安全的網路，以確保美國國家安全與經濟繁榮。</p> </div></div></div>
2024/9/4 14:51作者陳曉莉https://www.ithome.com.tw/news/164839
兆勤揭露無線路由器重大漏洞，可被用於作業系統層級進行命令注入攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月3日兆勤科技（Zyxel Networks）發布資安公告，指出旗下<a href="https://www.zyxel.com/tw/zh/support/security-advisories/zyxel-security-advisory-for-os-command-injection-vulnerability-in-aps-and-security-router-devices-09-03-2024">部分Wi-Fi路由器設備存在重大層級漏洞CVE-2024-7261</a>，這項漏洞發生的原因，在在於路由器CGI程式，host參數的特殊元素出現處理不當（improper neutralization）的現象，攻擊者有機會藉由發送特製的cookie，在未經身分驗證的情況下執行作業系統命令，CVSS風險評分為9.8。</p> <p>值得留意的是，受到這項漏洞影響的機種橫跨多種產品線，涵蓋NWA、WAC、WAX、WBE系列機種，以及主打資安的USG Lite 60AX共29款機種，該公司已發布新版韌體予以修補。</p> <p>附帶一提，兆勤同日也針對ATP、USG Flex系列防火牆設備<a href="https://www.zyxel.com/tw/zh/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-firewalls-09-03-2024">發布新版韌體</a>，總共修補7個漏洞，其中最危險的是命令注入漏洞CVE-2024-42057 ，CVSS風險評為8.1分。</p> </div></div></div>
2024/9/4 12:24作者周峻佑https://www.ithome.com.tw/news/164838
Starlink終於配合巴西封鎖X的禁令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>巴西最高法院法官Alexandre de Moraes上周五（8/30）<a href="https://www.ithome.com.tw/news/164808" target="_blank">要求</a>當地電信業者封鎖X，凍結了SpaceX旗下衛星服務Starlink在當地的資產，並宣布企圖利用虛擬私有網路（VPN）存取X就會面臨每日高達5萬里奧（BRL）（約8,900美元）的罰款。巴西最高法院的5名法官本周一（9/2）皆投票贊成關閉X的決定，而原本不願履行此一命令的Starlink也在周二（9/3）<a href="https://x.com/Starlink/status/1831053118265843722" target="_blank">宣布</a>將遵守該命令。</p> <p><a href="https://thehill.com/homenews/4860803-musks-starlink-will-block-x-in-brazil-to-comply-with-judges-orders/" target="_blank">THE HILL</a>詳細說明了巴西與馬斯克（Elon Musk）之間的恩怨情仇，在Moraes調查巴西前任總統Jair Bolsonaro拒絕承認落選並出走的事件中，馬斯克拒絕封鎖Bolsonaro支持者在X上的帳戶，雙方已對峙好幾個月，並在8月擴大衝突。</p> <p>Moraes在今年8月威脅要逮捕X於巴西的法定代理人且按日罰款，使得X直接<a href="https://x.com/GlobalAffairs/status/1824819053061669244" target="_blank">宣布</a>解散巴西辦公室，但將繼續於巴西提供服務，接著馬斯克又拒絕指定新的代理人，並說Moraes是個獨裁者，使得Moraes下令全面封鎖X。</p> <p>Moraes並因X拒絕支付罰款而凍結了同屬馬斯克麾下的Starlink在巴西的資產，而且Starlink一開始並不打算遵循禁令，依舊透過衛星網路提供巴西民眾存取X。</p> <p>在巴西最高法院的5名法官都同意封鎖X之後，Starlink也在周二宣布將遵守封鎖X的命令。</p> <p>根據 Statista今年4月的<a href="https://www.statista.com/statistics/242606/number-of-active-twitter-users-in-selected-countries/" target="_blank">調查</a>，X的前兩大市場為美國與日本，用戶數分別超過1億及6,000萬，而巴西也是X的主要市場之一，與印度、印尼或英國都擁有超過2,000萬名的X用戶。</p> <p>因此，專門觀察VPN服務的vpnMentor<a href="https://www.vpnmentor.com/news/vpn-surge-brazil/" target="_blank">發現</a>，自Moraes封鎖X以來，巴西的VPN使用率增加了1600%。</p> <p>同時，應用程式情報業者Appfigures的資料顯示，由Twitter創辦人Jack Dorsey重新打造的微型部落格<a href="https://appfigures.com/top-apps/ios-app-store/brazil/iphone/top-overall" target="_blank">BlueSky</a>，以及Meta的<a href="https://appfigures.com/top-apps/google-play/brazil/top-overall" target="_blank">Threads</a>，一躍成為巴西下載量前兩名的程式。BlueSky並<a href="https://bsky.app/profile/jaz.bsky.social/post/3l3a2i4bbv42k" target="_blank">宣布</a>，X被封鎖的4天以來，該平臺就新增了超過211萬用戶，原本同樣期間只會增加2,600名用戶。</p> </div></div></div>
2024/9/4 11:32作者陳曉莉https://www.ithome.com.tw/news/164837
Google將Gemini AI助理整合到Chrome網址列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google近日悄悄將Gemini AI助理整合到新版Chrome網址列，無需點擊側邊欄就能和Gemini對話。</p> <p>Google周二針對Windows、Mac與Linux平臺<a href="https://chromereleases.googleblog.com/2024/09/" target="_blank">釋出</a>Chrome 128最新更新版本128.0.6613.120。一名用戶<a href="https://x.com/mlhobbyist/status/1828941776998285820" target="_blank">發現</a>Google悄悄加入一項新功能，只要在網址列輸入@，即出現4個功能選項，選擇@gemini和Gemini聊天，用戶就可直接在網址列輸入想問的問題。之後用戶會被導向顯示Gemini回應的主要結果頁。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0904-chrome-chat%20with%20gemini_%EF%BC%A0.jpg" style="width: 599px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／iThome</span></span></p> <p>這個做法比微軟將Copilot整合Edge的方法有效一點。在Edge中，用戶必須點選瀏覽器右上角的Copilot Logo，叫出側邊欄才能輸入在提示列查詢或下指令。Brave中，用戶也可以在網址列輸入「ask」叫出「ask Leo」選項，但是用戶還是必須在側邊欄輸入提示。</p> <p>Google在8月30日更新了Gemini。Google<a href="https://gemini.google.com/updates" target="_blank">說明</a>，最新的Gemini以1.5 Flash為基礎，回應速度更快，所需時間是原本的50%。</p> <p>Chrome網址列@選單的其他三項功能包括分頁、書籤及歷史紀錄。</p> </div></div></div>
2024/9/4 09:02作者林妍溱https://www.ithome.com.tw/news/164835
微軟釋出C++動態多型函式庫Proxy 3，支援豐富多型實作、效能更好
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布動態多型<a href="https://devblogs.microsoft.com/cppblog/announcing-the-proxy-3-library-for-dynamic-polymorphism/">Proxy 3函式庫</a>，而Proxy函式庫主要為C++程式語言的現代化多型（Polymorphism）解決方案，從2022年開始被應用於Windows作業系統。最新的Proxy 3函式庫相較先前版本，明顯改善了語法和工具，藉由擴展多型表示式和新功能，使多型的使用更加直覺且靈活，在效能和易用性上都獲得提升。</p> <p>Proxy函式庫的目的是讓C++開發者，不使用繼承直接使用多型，這解決了過去C++中使用繼承實作多型，所帶來的程式碼耦合性過高以及靈活性不足的問題。Proxy提供了以表達式為基礎的多型，使得各種運算子和函式呼叫都得以多型化，增加了程式碼的靈活度。</p> <p>而且Proxy函式庫同時也支援高效的記憶體管理和效能最佳化功能，因此除了程式碼更加靈活之外，還可避免傳統多型實作可能遭遇到的效能問題。Proxy函式庫也提高了C++多型程式的可移植性，可被用於任何能夠支援C++20編譯器的平臺。</p> <p>在最新版本中，微軟於Proxy 3加入了更強大的多型表示式支援，允許開發者可將幾乎所有C++表示式多型化，包括非成員函式、運算子和型別轉換等。而新增的支援外觀組合（Facade Composition）功能，讓開發者可以靈活組合不同的多型行為。最新版本還改善語法，使其更加直覺，並且最佳化IDE的相容性提升開發體驗。更精確的診斷資訊，也使得Proxy 3除錯和錯誤追蹤上更為便捷。</p> <p>記憶體管理功能改進是Proxy 3的一大亮點，僅允許類似垃圾回收的記憶管理，而非引入實際的垃圾回收機制，其能夠根據物件大小自動決定是否需要堆（Heap）記憶體分配，避免不必要的記憶體管理負擔和效能浪費。由於這些新的記憶體最佳化功能，讓Proxy 3的效能比起過去的版本都還要好，特別是在記憶體受限或是需要高效執行的環境，對進階開發人員來說，便可以使用Proxy 3的效能調整和擴展選項，滿足不同的情境需求。</p> <p>Proxy 3讓開發者使用更強大且靈活的多型功能，程式碼也有更高的可讀性和可維護性，更好的IDE支援也提高開發流程的順暢度。記憶體管理和效能最佳化，讓應用程式執行速度和系統資源使用獲得改善。Proxy 3借鑑了現代化系統程式開發語言Rust設計概念，改善傳統C++多型實作，類似Rust記憶體管理和鬆耦合的優點。</p> </div></div></div>
2024/9/3 23:09作者李建興https://www.ithome.com.tw/news/164833
今年度FHIR聯測開跑，健保署預告FHIR癌藥事前審查機制年底上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2024年度FHIR聯測今（9月3日）展開，這次規模更大，國內參與機構來到47家，其中醫學中心就有14家，超過全臺醫學中心的半數；另還有來自東南亞6國的11組團隊，來臺進行國際病人資料交換聯測。今年的FHIR聯測賽道也比以往更多，包括新添的國家賽道，來測試參與機構能否按衛福部TW Core IG規格正確轉換，此外還有FHIR癌症藥物事前審查、長照資料交換、身體活動量測資料與國際病人摘要等新賽道。其中，FHIR癌症藥物事前審查機制將於今年底上路，是衛福部推動FHIR實作的重要一步。</p> <p>與此同時，為強化FHIR生態系，主辦聯測的臺灣醫療影像資訊標準協會（MISAT）還建置臺灣FHIR開放登錄平臺，也就是一套索引系統，可讓使用者查詢通過FHIR聯測的應用程式，以及實作指引內容。</p> <p><span style="font-size:22px;"><strong>衛福部預告年底上路FHIR癌藥事前審查機制，明年要訂定重大傷病FHIR格式</strong></span></p> <p>HL7 FHIR是一套國際醫療資料交換標準，有利於資料的互通性和互操作性，是國際上常見的主流資料交換標準。而FHIR聯測目的，是要測試醫院、廠商、政府機關等機構，能否以同一套FHIR規格來交換醫療相關資料，促進資料互通應用。</p> <p>在今年聯測會場中，力推FHIR的健保署副署長龐一鳴指出，聯測就好比靶場打靶，是醫療機構測試FHIR交換能力的手段之一，而為落實實戰操作，衛福部要在今年底正式採用FHIR規格，來進行數位化的癌症藥物事前審查，推動FHIR實務應用。</p> <p>採用FHIR數位化審查有2大好處，一是對比以往送審的PDF掃描檔，採用FHIR格式的資料更容易去識別化，且也更容易導入AI輔助工具來加速審查。目前已有多家醫院著手FHIR癌藥事前審查機制，如長庚、中榮、高醫等院。</p> <p>再來，衛福部也考慮將罹癌後的重大傷病紙本申請模式，改為FHIR數位化模式，其FHIR規格預計明年中公布。另一方面，龐一鳴點出，衛福部與花蓮慈濟醫院正進行FHIR電子處方箋試辦，再加上先前通過的電子簽章法，可讓電子處方箋具憑證等級效力；未來若正式推行，持電子慢性處方箋的民眾不必出示健保卡、也能領藥，衛福部甚至能將電子處方箋納入實名制App，實現更多便民應用。不過他也坦言，要做到這一步，還需要定義許多格式與欄位，衛福部內正針對該議題討論中。</p> <p><span style="font-size:22px;"><strong>今年參與家數來到47間，還納入專案聯測形式</strong></span></p> <p>就今年聯測來說，主辦方MISAT秘書長連中岳指出，相較於去年只有32家機構參與，今年參與規模更大，包括臺北榮總、三總、萬芳醫院、成大醫院等在內的17家醫院，還有4家學術單位、1家法人/機關、25家業者等共47間國內機構，另還有東南亞6國家共11組團隊加入聯測。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%B6%E6%95%B8.JPG" /></p> <p>為提高聯測品質，今年，主辦方還特別加入幾個機制，包括FHIR一站式驗證、FHIR臺灣公開測試伺服器、聯測篩選機制和專案聯測松。其中，聯測篩選機制要求參與者先繳交聯測前測試報告，來證明自己具備FHIR開發能力，才能進行聯測，而專案聯測松則是參照國際做法，來在聯測時新添專案形式的賽道，在短時間內驗證專案設計的FHIR IG（即實作指引）是否可行，今年就有幾個賽道以專案形式設置。</p> <p><span style="font-size:22px;"><strong>今年聯測賽道有8個新變革</strong></span></p> <p>連中岳指出，今年聯測賽道非常多，<a href="https://mitw.dicom.org.tw/Tracks/1">共15個</a>，當中不乏許多新變革。</p> <p>比如第一個賽道是臺灣核心實作指引，目的是要驗證開發者對衛福部制定的臺灣核心實作指引（TW Core IG）實作能力，驗證內容有20個關鍵醫療數據的Profile、常用臺灣值集、專門術語操作性以及必須支援能力，完全通過才算過關。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%8B%E5%AE%B6.JPG" /></p> <p>再來是政府賽道，去年是針對電子病歷交換中心（EEC）四大單張來進行FHIR驗證，今年則擴大納入電子處方箋和調劑單張規格與情境。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%94%BF%E5%BA%9C.JPG" /></p> <p>另一個新做法則是在醫療保險理賠賽道，除了原有的醫院端到人壽端的醫療交換驗證情境，今年還多了個醫查情境，也就是保險公司向醫院查詢保戶病歷資料的資料交換情境，其交換需按照醫查FHIR實作指引來進行。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%90%86%E8%B3%A0(1).JPG" /></p> <p>另外，今年還新添了長照賽道，這個賽道是根據經濟部銀光科技智慧照顧驗證推動計畫而設計，整合了現行長照照護情境，並制定臺灣長照FHIR實作指引，來供參與機構遵循、驗證其交換能力。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%95%B7%E7%85%A7.JPG" /></p> <p>今年還有另一個國際病人摘要新賽道，目的是要透過FHIR來進行跨國、跨機構的病人健康資料交換，可適用於國際移工、留學和旅遊醫療等情境。而今年共有6個國家參與，包括菲律賓、斯里蘭卡、泰國、印尼、尼泊爾和馬來西亞。</p> <p>最後還有3個專案形式新添的聯測賽道，也就是身體活動量測、癌症用藥事前審查、共用腫瘤學資料元素。</p> <p>其中，身體活動量測賽道是根據數發部建置的運動數據公益平臺而設置，因該平臺收集了300多萬筆數據，欄位多達65項、設備更有92種類型，串接的業者還有50家。由於沒有統一的格式標準，導致平臺收載的資料無法整合運用，因此由主辦方工作小組制定FHIR規格，設計了FHIR運動處方箋、運動數據收集與分析等2大交換情境，來供參與者驗證，好進行後續數據運用。</p> <p>至於癌症用藥事前審查賽道，則是要協助醫院快速產出符合衛福部FHIR指引的審查申請文件。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%99%8C%E8%97%A5.JPG" /></p> <p>為何癌症用藥事前審查需要數位化？因為，癌症治療有很多策略，標靶藥物和特殊用藥就是一種有效方式。但這類用藥昂貴，需要醫療保險給付，因此醫療保險提供方需要對個案進一步事前審查。在事先審查中，申請單位要提供多種病歷文件和醫學影像，還要搭配影像報告、檢查報告、基因報告等資料。就目前流程來說，申請醫院需要將病歷印出，再掃描成電子檔，並由人工填寫其他申請資訊，造成申請流程漫長。而在保險給付端收到申請後，也得靠人工審查，造成審查效率低下，數位審查機制便因運而生。</p> <p>至於共用腫瘤學資料元素賽道，則是依臺北榮總提出的專案形式設置，以FHIR標準，來設計符合臺灣醫療需求的癌症照護FHIR Resource規範和系統互通操作流程，來供產業應用和參考。</p> <p>連中岳表示，MISAT希望透過每年例行的聯測松和接下來要推行的專屬聯測松，來形塑臺灣FHIR生態圈，更遠大的目標是要建立臺灣SMART on FHIR。</p> <p></p> </div></div></div>
2024/9/3 21:07作者王若樸https://www.ithome.com.tw/news/164834
【資安日報】9月3日，駭客盯上資安廠商的SSL VPN系統當作誘餌，意圖散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往駭客意圖藉由提供應用程式發動攻擊，引誘使用者上當，從而散布惡意軟體，進而存取企業內部網路環境，過往駭客多半是宣稱提供常見的應用程式，或是IT人員會用到的系統工具，但如今，有人以特定廠牌SSL VPN軟體作為幌子發動攻擊。</p> <p>值得留意的是，這意味著駭客的攻擊目標相當有針對性，因為使用者很有可能是該廠牌SSL VPN系統的用戶，這樣的誘餌顯然能夠降低使用者的戒心，而有可能得逞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164826"><strong style="font-size: 22px;">以提供特定資安廠商SSL VPN軟體為誘餌，攻擊者鎖定中東組織散播冒牌程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GlobalProtect-fig1-chain.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GlobalProtect-fig1-chain.png" style="width: 300px; float: right;" /></a></p> <p>遠距辦公已是最近幾年的新常態，許多員工會透過SSL VPN系統存取企業內部環境，而最近有人佯稱提供這類系統的應用程式，意圖散布惡意程式，從而入侵企業。</p> <p>資安業者趨勢科技揭露偽裝成Palo Alto Networks旗下SSL VPN服務GlobalProtect的惡意程式，駭客鎖定中東組織而來，意圖竊取內部資料，並遠端執行PowerShell命令，進而滲透受害組織的網路環境。</p> <p>究竟攻擊者如何散布惡意程式，研究人員表示並不清楚，但他們認為很有可能是透過網路釣魚進行，引誘使用者安裝GlobalProtect代理程式為由進行散布。</p> <p><a href="https://www.ithome.com.tw/news/164829"><strong style="font-size: 22px;">越南人權組織遭駭客OceanLotus鎖定攻擊，入侵超過4年</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/66ad049436f03b29e008a353_AD_4nXf0KoCeIae4-A1etNE5DcUXKpVgaeRDBwiOG6jpzDDftsjp34W_bbh6pvcMExQHXBWXc2e6lQBukuyLXmeOw9e-gCksdKhB1iiScHMRTlb2JY__QrE6CBoe-i5FFaHkhDyTI9TEtyRGduoviwg1wY8jiMg.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/66ad049436f03b29e008a353_AD_4nXf0KoCeIae4-A1etNE5DcUXKpVgaeRDBwiOG6jpzDDftsjp34W_bbh6pvcMExQHXBWXc2e6lQBukuyLXmeOw9e-gCksdKhB1iiScHMRTlb2JY__QrE6CBoe-i5FFaHkhDyTI9TEtyRGduoviwg1wY8jiMg.png" style="width: 300px; float: right;" /></a>駭客入侵非營利組織的情況不時傳出，最近有一起是因為研究人員進行例行調查意外發現的資安事故，而引起了他們的注意。</p> <p>資安業者Huntress指出，與越南政府有關的駭客組織OceanLotus（也稱做APT32、APT-C-00、Canvas Cyclone）入侵當地的人權組織，並研判為期超過4年。究竟駭客如何入侵受害組織，研究人員並未特別說明，但他們在4臺電腦上找到這些駭客的行蹤。</p> <p>在其中一臺電腦上，駭客為了能持續活動，植入5項工作排程，這些工作偽裝成Adobe Flash更新工具、Microsoft Defender更新任務，於受害電腦執行Windows Script、Java，意圖載入Metasploit和Cobalt Strike有效酬載、經過演算法處理的Shell Code、VBS指令碼、BAT批次檔，以及COM物件。</p> <p><a href="https://www.ithome.com.tw/news/164824"><strong style="font-size: 22px;">針對Roblox平臺的NPM供應鏈攻擊已持續超過一年</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RB1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RB1.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Checkmarx警告，駭客持續鎖定遊戲平臺Roblox的開發人員展開攻擊，利用偽造且惡意的NPM套件，試圖竊取敏感資訊或是危害系統已超過1年。</p> <p>根據研究人員的調查，駭客主要是仿冒專為Roblox平臺開發者設計的JavaScript程式庫noblox.js，例如將惡意套件命名為noblox.js-async、noblox.js-thread 或noblox.js-api等，再藉由NPM軟體套件管理系統進行散布，相關的惡意NPM套件已超過數十款，且許多偽造的封包幾乎可以假亂真。</p> <p>這些惡意程式的主要功能包括竊取Discord憑證，存取系統資訊，並能讓駭客持續在受害電腦活動，以及部署其他惡意程式。</p> <p><a href="https://www.ithome.com.tw/news/164822"><strong style="font-size: 22px;">英國倫敦交通局證實遭遇網路攻擊</strong></a></p> <p>本週一（9月2日）英國倫敦交通局（Transport of London，TfL）發布公告，他們著手因應仍在進行的資安事故，但強調相關運輸服務並未受到影響，所有旅客的資料尚未出現遭到外流的跡象。他們通報網路安全中心及國家犯罪管理署等主管機關，並聯手回應這起事件。</p> <p>針對這起事故，當地媒體透露更多訊息。Express指出，這起事故約發生在晚間6時左右，數百萬名旅客收到TfL訊息得知此事；BBC取得知情人士說法，其中一個單位的員工收到通知，要求儘可能在家工作，而對於這起事故的主要影響範圍，很有可能是交通局供應商的後臺系統。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.ithome.com.tw/news/164825"><strong style="font-size: 20px;">遭駭的監控公司Verkada被判罰295萬美元</strong></a></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/h/godzilla-fileless-backdoors.html">後門程式Godzilla鎖定Atlassian Confluence發動攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.phylum.io/north-korea-still-attacking-developers-via-npm/">北韓駭客散布惡意NPM套件，意圖透過JavaScript指令碼進行多階段惡意軟體下載</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.recordedfuture.com/research/greencharlie-infrastructure-linked-us-political-campaign-targeting">伊朗駭客組織發起</a></strong><strong style="font-size: 20px;"><a href="https://www.recordedfuture.com/research/greencharlie-infrastructure-linked-us-political-campaign-targeting">GreenCharlie攻擊行動，鎖定美國政治團體進行網路釣魚、散布惡意軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/windows-downdate-tool-lets-you-unpatch-windows-systems/">研究人員公布Windows Downdate降級漏洞概念性驗證工具</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164831"><strong style="font-size: 22px;">衛福部舉辦年度資安攻防演練，防守方國泰醫院公開參與的過程與心得</strong></a></p> <p>近年來鎖定醫療院所發動的網路攻擊頻傳，對此，衛生福利部從2022年開始，每年舉辦醫療領域資安攻防演練，今年已邁入第3回。</p> <p>這次衛福部挑選國泰醫院作為攻防演練示範基地，並於8月9日進行實地演練，由國泰醫院擔任防禦方，衛福部委由專業機構負責攻擊，並經由資深資安專家擔任裁判，評定防禦成效，並於26日進行成果發表。本週國泰醫院發布新聞稿，分享本次演練的經驗。</p> <p>國泰醫院資安長林朝祥指出，這次演練與過往有所不同，今年透過擬真設計，模擬勒索病毒等駭客攻擊手法進行演練，醫院員工必須在有限的時間及人力之下，進行團隊資源分配，以進行適當的應變處置。透過這次攻防演練，林朝祥認為，能夠提升資安人員未來在面對各種情境的敏感度。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164821"><strong>【9月2日】勒索軟體RansomHub受害企業組織半年已超過200家</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164780"><strong>【8月30日】殭屍網路病毒Mirai變種透過陞泰網路攝影機漏洞散布</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164763"><strong>【8月29日】破壞EDR系統運作，惡意驅動程式PoorTry出現新手法</strong></a></p> </div></div></div>
2024/9/3 17:54作者周峻佑https://www.ithome.com.tw/news/164832
越南人權組織遭駭客OceanLotus鎖定攻擊，入侵超過4年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客入侵非營利組織的情況不時傳出，最近有一起是因為研究人員進行例行調查意外發現的資安事故，而引起了他們的注意。</p> <p>資安業者Huntress指出，與越南政府有關的駭客組織OceanLotus（也稱做APT32、APT-C-00、Canvas Cyclone）<a href="https://www.huntress.com/blog/advanced-persistent-threat-targeting-vietnamese-human-rights-defenders">入侵當地的人權組織</a>，並研判為期超過4年。</p> <p>究竟駭客如何入侵受害組織，研究人員並未特別說明，但他們在4臺電腦上找到這些駭客的行蹤。</p> <p>在其中一臺電腦上，駭客為了能持續活動，植入5項工作排程，這些工作偽裝成Adobe Flash更新工具、Microsoft Defender更新任務，於受害電腦執行Windows Script、Java，意圖載入Metasploit和Cobalt Strike有效酬載、經過演算法處理的Shell Code、VBS指令碼、BAT批次檔，以及COM物件。駭客設置這些工作排程數週後進行偵察，然後陸續執行新的命令，目的是確保該主機與特定遠端電腦持續進行連線，過程中駭客試圖透過設置於DllHost COM物件的後門程式，竊取Chrome的Cookie資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/66ad049436f03b29e008a353_AD_4nXf0KoCeIae4-A1etNE5DcUXKpVgaeRDBwiOG6jpzDDftsjp34W_bbh6pvcMExQHXBWXc2e6lQBukuyLXmeOw9e-gCksdKhB1iiScHMRTlb2JY__QrE6CBoe-i5FFaHkhDyTI9TEtyRGduoviwg1wY8jiMg.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/66ad049436f03b29e008a353_AD_4nXf0KoCeIae4-A1etNE5DcUXKpVgaeRDBwiOG6jpzDDftsjp34W_bbh6pvcMExQHXBWXc2e6lQBukuyLXmeOw9e-gCksdKhB1iiScHMRTlb2JY__QrE6CBoe-i5FFaHkhDyTI9TEtyRGduoviwg1wY8jiMg.png" style="width: 580px;" /></a></p> <p>另一臺電腦駭客則是前述攻擊的一個半月後開始活動，對方利用WMI遠端執行命令，並濫用電子書管理軟體Calibre主程式執行惡意DLL程式庫。而駭客在這臺電腦進行名稱管道冒充攻擊不久，又對第3臺電腦下手，透過Cobalt Strike建立工作排程，使用SYSTEM帳號從事攻擊行為。</p> <p>研究人員循線清查是否有其他電腦受害，結果找到另一臺駭客設置在開機啟動Calibre的電腦，駭客設置了3個偽裝成微軟及Adobe更新的工作排程，但實際用途是定期與遠端的IP位址及Cobalt Strike主機連線。數個月後，駭客進行偵察，從而部署Node.js執行檔，目的是執行惡意延伸套件。</p> </div></div></div>
2024/9/3 16:50作者周峻佑https://www.ithome.com.tw/news/164829
衛福部舉辦年度資安攻防演練，防守方國泰醫院公開參與的過程與心得
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來鎖定醫療院所發動的網路攻擊頻傳，對此，衛生福利部從2022年開始，每年舉辦醫療領域資安攻防演練，今年已邁入第3回。</p> <p>這次衛福部挑選國泰醫院作為攻防演練示範基地，並於8月9日進行實地演練，由國泰醫院擔任防禦方，衛福部委由專業機構負責攻擊，並經由資深資安專家擔任裁判，評定防禦成效，並於26日進行成果發表。<a href="https://www.cna.com.tw/news/ahel/202409020288.aspx">本週國泰醫院發布新聞稿，分享本次演練的經驗</a>。</p> <p>國泰醫院資安長林朝祥指出，這次演練與過往有所不同，今年透過擬真設計，模擬勒索病毒等駭客攻擊手法進行演練，醫院員工必須在有限的時間及人力之下，進行團隊資源分配，以進行適當的應變處置。</p> <p>透過這次攻防演練，林朝祥認為，能夠提升資安人員未來在面對各種情境的敏感度。</p> <p>衛生福利部資訊處處長李建璋表示，本次演練模擬多種可能出現的網路攻擊情境，藉此測試、提升醫院的防禦措施、應變計畫、跨部門合作的能力，並透過相關情境，協助醫院找出現有系統及流程當中較為脆弱的環節。</p> <p>值得一提的是，在這場成果發表會，國泰醫院也與攻擊團隊一起說明參與攻防演練的經驗，活動現場總共有50家醫療院所與八大關鍵基礎設施機關的代表出席，希望藉由演練過程的實際解說及影片進行經驗分享、交流，做為未來醫療機構精進資安防護工程的參考。</p> </div></div></div>
2024/9/3 17:32作者周峻佑https://www.ithome.com.tw/news/164831
以提供特定資安廠商SSL VPN軟體為誘餌，攻擊者鎖定中東組織散播冒牌程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遠距辦公已是最近幾年的新常態，許多員工會透過SSL VPN系統存取企業內部環境，而最近有人佯稱提供這類系統的應用程式，意圖散布惡意程式，從而入侵企業。</p> <p>資安業者趨勢科技揭露<a href="https://www.trendmicro.com/en_us/research/24/h/threat-actors-target-middle-east-using-fake-tool.html">偽裝成Palo Alto Networks旗下SSL VPN服務GlobalProtect的惡意程式</a>，駭客鎖定中東組織而來，意圖竊取內部資料，並遠端執行PowerShell命令，進而滲透受害組織的網路環境。</p> <p>究竟攻擊者如何散布惡意程式，研究人員表示並不清楚，但他們認為很有可能是透過網路釣魚進行，引誘使用者安裝GlobalProtect代理程式為由進行散布。</p> <p>一旦使用者執行駭客提供的安裝程式setup.exe，將會部署惡意程式GlobalProtect.exe，以及組態設定元件RTime.conf、ApProcessId.conf。完成後惡意程式會啟動Beacon機制，向攻擊者回報。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GlobalProtect-fig1-chain.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GlobalProtect-fig1-chain.png" style="width: 580px;" /></a></p> <p>此惡意程式執行的過程裡，會檢查受害電腦是否為沙箱環境，然後將系統資訊回傳C2。該惡意程式可接收攻擊者的PowerShell指令碼並執行，或是產生處理程序、上傳或下載檔案。為了迴避偵測，攻擊者在進行通訊的命令及資訊，皆透過AES演算法處理。</p> <p>值得留意的是，攻擊者為惡意程式加入Beacon的功能，源自於資安人員進行滲透測試時會利用的漏洞利用檢驗工具Interactsh，而有可能減少被視為異常的情況，而且，駭客使用含有阿拉伯聯合大公國大型城市沙迦的網域名稱sharjahconnect，使得目標用戶更容易上當。</p> </div></div></div>
2024/9/3 15:32作者周峻佑https://www.ithome.com.tw/news/164826
遭駭的監控公司Verkada被判罰295萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易委員會（Federal Trade Commission，FTC）上周<a href="https://www.ftc.gov/news-events/news/press-releases/2024/08/ftc-takes-action-against-security-camera-firm-verkada-over-charges-it-failed-secure-videos-other" target="_blank">要求</a>美國監控公司Verkada支付295萬美元的罰款，以及必須制定與實施全面的資訊安全計畫，有不少媒體以為Verkada之所以受罰是因為Verkada在2021年<a href="https://www.ithome.com.tw/news/143131" target="_blank">被駭</a>，曝露了15萬臺的監視器畫面，不過，FTC處罰Verkada的原因是該公司亂發垃圾郵件。</p> <p>Verkada為一雲端監控公司，駭客則是在2021年3月入侵Verkada平臺，存取了97家Verkada客戶位於全球的15萬臺監視器的畫面，包括特斯拉（Tesla）倉庫及工廠的222個監視器，以及阿拉巴馬州監獄的330個監視器。</p> <p>隨後Verkada<a href="https://www.verkada.com/security-update/report/" target="_blank">解釋</a>，曝露於網路上的客戶支援伺服器有一個配置錯誤，駭客藉由該錯誤進入伺服器後發現了客戶支援的管理憑證，再用它來登入客戶支援介面，即可利用內部支援功能來存取客戶的監視裝置。Verkada強調，該公司有6,000家客戶，受到危害的比例不到2%，此外，在得知監控畫面曝光的兩個小時內，Verkada就切斷了駭客的存取權限。</p> <p>FTC上周表示，將要求Verkada制定與實施全面的資訊安全計畫，以解決該公司未能採取適當資訊安全實踐的指控，此外，也將要求Verkada支付290萬美元的罰款。不過，受罰原因是Verkada以大量電子郵件淹沒潛在客戶，而且沒有提供取消訂閱或退出的選項，也未能於電子郵件中提供實際的郵寄地址，違反美國的CAN-SPAM Act垃圾郵件法案。</p> <p>Verkada也發表了<a href="https://www.verkada.com/blog/ftc-settlement-explained/" target="_blank">聲明</a>，指出該公司並不同意FTC的指控，但接受FTC所提出的和解條款。</p> <p>有趣的是，即使不管是FTC的新聞稿或Verkada的聲明，都說Verkada並非因安全意外而受罰，但不少媒體都以為Verkada的受罰是因為安全措施不足，例如<a href="https://www.bleepingcomputer.com/news/security/verkada-to-pay-295m-for-security-failures-leading-to-breaches/" target="_blank">BleepingComputer</a>或<a href="https://www.bankinfosecurity.com/ftcverkada-a-26179" target="_blank">BankInfoSecurity</a>。</p> <p>此外，295萬美元也是FTC迄今就CAN-SPAM Act違規行為所開發的最高罰單。</p> </div></div></div>
2024/9/3 12:22作者陳曉莉https://www.ithome.com.tw/news/164825
率先主推Nvidia H200，技嘉新款5U尺寸8-GPU伺服器上場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ji_jia_g593-sd1-aax3_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年11月舉行的超級電腦大會SC23，Nvidia發表採用Hopper架構的第二款資料中心GPU產品，名為H200，以及匯集4個H200與8個H200的伺服器主機板平臺，名為HGX H200，當時他們預告採用H200的伺服器系統，將在2024年第2季開始出貨。</p> <p>比較外形同樣為SXM的兩款Hopper架構GPU產品，<a href="https://www.ithome.com.tw/review/152926">H100</a>採用高頻寬記憶體HBM3，記憶體頻寬為3.35 TB/s，記憶體容量為80 GB，H200最大的特色是採用更新穎的高頻寬記憶體HBM3e，記憶體頻寬更大，提升至4.8 TB/s（增加43％），記憶體容量也更大，提供141 GB（增加76％）。</p> <p>一如先前的規畫，今年8月中，市面上，果然開始出現搭載Nvidia HGX H200平臺的伺服器產品消息。第一家正式推動相關宣傳的廠商是技嘉，<a href="https://www.gigabyte.com/Press/News/2207">他們發布新聞稿宣布推出兩款支援這個平臺的GPU伺服器機型</a>，分別是搭配英特爾第5代Xeon Scalable處理器的G593-SD1-AAX3，以及搭配AMD EPYC 9004處理器的G593-ZD1-AAX3。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-H200-1.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-H200-2.png" style="width: 600px;" /></p> <p>到了8月底，開放AI工程聯盟MLCommons發表最新推論效能測試結果MLPerf Inference v4.1，這是他們二度揭露搭配Nvidia H200的伺服器效能，上次（MLPerf Inference v4.0）都是由Nvidia提交的預覽數據，有4筆，這次提交的廠商有Nvidia（5筆）、Dell（1筆）、技嘉（1筆）、聯想（2筆），總共9筆、皆為正式數據。</p> <p> </p> <div class="media_embed"> <div class="tableauPlaceholder" height="" id="viz1725336276080" style="position: relative" width=""><noscript><a href="https://mlcommons.org/benchmarks/inference-datacenter/"><img alt="MLCommons - Inference " src="https://public.tableau.com/static/images/XX/XXHFT38XQ/1_rss.png" style="border: none" /></a></noscript> <object class="tableauViz" style="display:none;"><param name="host_url" value="https%3A%2F%2Fpublic.tableau.com%2F" /><param name="embed_code_version" value="3" /><param name="path" value="shared/XXHFT38XQ" /><param name="toolbar" value="yes" /><param name="static_image" value="https://public.tableau.com/static/images/XX/XXHFT38XQ/1.png" /><param name="animate_transition" value="yes" /><param name="display_static_image" value="yes" /><param name="display_spinner" value="yes" /><param name="display_overlay" value="yes" /><param name="display_count" value="yes" /><param name="tabs" value="yes" /><param name="language" value="en-US" /></object></div> <script height="" type="text/javascript" width=""> <![CDATA[// ><!]]> </script></div> <p> </p> <p>以機型配備的GPU類型而言，Dell提出的<a href="https://www.ithome.com.tw/review/156425">PowerEdge XE9680</a>，以及聯想提出的ThinkSystem SR685a V3，都是可選擇搭配兩個廠牌、3款資料中心GPU的伺服器產品，技嘉提出的G593-SD1，是唯一標榜搭配Nvidia H200的伺服器產品。而且，與其他同樣搭配Nvidia H200的伺服器效能測試數據相比，雖然技嘉G593-SD1只有兩個項目拿到第一，卻是Nvidia之外、唯一揭露全部項目效能測試結果的伺服器產品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/G593-SD1-MLCommons - Inference-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-SD1-MLCommons%20-%20Inference-2.png" style="width: 600px;" /></a></p> <p>值得注意的是，HPE旗下的Cray超級電腦產品線當中，先前的XD6500系列與技嘉5U尺寸的GPU伺服器G593系列，外觀與組態幾乎如出一轍，均可搭配Nvidia H100等多款資料中心GPU，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-10-HPE AI Compute portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-HPE%20AI%20Compute%20portfolio.jpg" style="width: 600px;" /></a></p> <p>隨著Nvidia H200伺服器正式進入市場，2023年3月登場的<a href="https://buy.hpe.com/us/en/compute/cray-systems/cray-supercomputer/cray-supercomputer/hpe-cray-xd670/p/1014737116">HPE Cray XD670</a>，標榜搭配8個SXM外形的Nvidia H100 GPU（亦即HGX H100 8-GPU），而在今年6月初第12次改版的硬體規格公告中，也提到此機型能搭配8個SXM外形的Nvidia H200 GPU（亦即HGX H200 8-GPU），而這樣的組態擴充支援，也呼應HPE在6月全球用戶大會Discover發表的AI運算產品組合，因為這當中不僅標榜最新推出的<a href="https://www.ithome.com.tw/review/163787">ProLiant Compute DL384 Gen12</a>，採用Nvidia GH200 NVL2，以及DL380a Gen12，採用8個Nvidia H200 NVL，同時提到HPE Cray XD670搭配8個Nvidia H200。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-19-hpe-discover-2024-11-XD670.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Cray%20XD670-H200.jpg" style="width: 600px;" /></p> <p>而從8月第14次改版的硬體規格開始，HPE Cray XD670也開始支援第五代Xeon Scalable處理器，以及DDR5-5600記憶體，也恰巧呼應技嘉此時開始推廣的H200伺服器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Cray%20XD670-H200-2.jpg" style="width: 600px;" /></p> <p>產品資訊</p> <p>技嘉G593-SD1-AAX3<br /> ●原廠：技嘉科技<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：5U<br /> ●處理器：2顆，第四代或第五代Xeon Scalable系列（最高搭配350瓦熱設計功耗款式）<br /> ●記憶體：32個DDR5-5600插槽<br /> ●儲存配置：8臺2.5吋SATA/SAS/NVMe固態硬碟<br /> ●搭配GPU：Nvidia HGX H200 8-GPU<br /> ●I/O擴充介面：12個PCIe 5.0 x16介面卡（8個短版、4個全高半長）<br /> ●電源供應器：6臺3000瓦（4+2備援）<br /> ●系統風扇：29臺（主機板2+4，PCIe4+2，GPU6+11）<br /> ●網路埠：2個10GbE埠（Intel X710-AT2）、2個GbE埠（前1後1）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/9/3 12:52作者李宗翰https://www.ithome.com.tw/review/164800
針對Roblox平臺的npm供應鏈攻擊已持續一年多
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Checkmarx<a href="https://checkmarx.com/blog/year-long-campaign-of-malicious-npm-packages-targeting-roblox-users/" target="_blank">警告</a>，駭客持續鎖定Roblox開發人員展開攻擊，利用偽造且惡意的npm封包以試圖竊取敏感資訊或是危害系統，而且已超過1年。</p> <p>Roblox是個受到兒童與青少年歡迎的線上遊戲平臺與遊戲創作系統，它內建社交功能，使用自家的虛擬貨幣Robux，支援PC、手機與遊戲機，每月活躍用戶數超過2億，每日活躍用戶則超過7,000萬。</p> <p>根據研究人員的調查，駭客主要是仿冒專為Roblox平臺開發者設計的JavaScript函式庫noblox.js，例如將惡意函式庫命名為noblox.js-async、noblox.js-thread 或noblox.js-api等，再藉由npm軟體套件管理系統進行散布，相關的惡意npm封包已超過數十款，且許多偽造的封包幾乎可以假亂真。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0903-Malicious%20npm%20Packages%20Targeting%20Roblox%20User-by%20Checkmarx.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Checkmarx</span></span></p> <p>而這些惡意程式的主要功能包括竊取Discord權杖，存取系統資訊，建立於系統上的持久性，以及部署其它的惡意程式等。由於該惡意程式能夠擺布Windows登錄檔，而讓使用者每次開啟Windows設定程式時，就會執行它。</p> <p>Roblox之所以受到駭客的青睞有許多原因，像是它有龐大的用戶基礎，開發人員可能獲得可觀的收入；而且Roblox平臺上的開發人員可能相對年輕且缺乏經驗，更容易落入社交工程的陷阱；不管是Roblox或npm都屬於較容易利用的開放平臺。</p> <p>Checkmarx表示，雖然已多次刪除惡意的npm封包，但它們依然不斷地出現，現在甚至有些還活躍在npm註冊表中，此外，就算已完全移除惡意的npm封包，但駭客用來植入其它惡意程式的GitHub儲存庫還是處於活動狀態，是未來攻擊行動的潛在威脅。</p> </div></div></div>
2024/9/3 11:29作者陳曉莉https://www.ithome.com.tw/news/164824
倫敦交通局遭遇網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>倫敦交通局（Transport of London，TfL）周一（9/2）晚間遭遇長時間的網路攻擊，目前原因不明。</p> <p>TfL透過網站<a href="https://tfl.gov.uk/campaign/cyber-security-incident" target="_blank">公告，</a>已經採取立即行動切斷系統存取。當局表示，截至目前，沒有證據顯示客戶資料外洩，事件亦未影響倫敦大眾運輸服務。TfL已通報相關政府單位，包括網路安全中心及國家犯罪管理署回應事件。</p> <p>事情發生在當地時間晚間6:00許。英國媒體Express<a href="https://www.express.co.uk/news/uk/1943524/tfl-cyber-attack-commuters-update" target="_blank">報導</a>，數百萬通勤者接到TfL訊息通知。BBC則引述消息人士<a href="https://www.bbc.com/news/articles/cd9dpek1883o" target="_blank">報導</a>，某單位員工被通知儘可能在家工作。此外，交通局供應商總部的後臺系統是主要受影響的系統。</p> <p>目前事件原因為何有待該局公布資訊。去年5月，倫敦交通局曾因其使用的代管檔案傳輸服務MOVEit遭Cl0p勒索軟體攻擊，之後俄羅斯犯罪集團取得交通局近1.3萬客戶個資的聯絡資料。</p> </div></div></div>
2024/9/3 10:24作者林妍溱https://www.ithome.com.tw/news/164822
Meta Llama下載數一年成長逾10倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta昨（2）日<a href="https://ai.meta.com/blog/llama-usage-doubled-may-through-july-2024/" target="_blank">指出</a>，開源大語言模型（LLM）Llama去年夏天首度開放大眾下載以來，下載人數已成長超過10倍。</p> <p>Meta今年4月<a href="https://www.ithome.com.tw/news/162408" target="_blank">公布</a>最新LLM Llama 3，並在8月<a href="https://ai.meta.com/blog/meta-llama-3-1/" target="_blank">釋出</a>最新版本Llama 3.1。3.1版脈絡長度擴展到128K，支援8種語言，並且首度公開最先進的Llama 3.1 405B。Meta指出，距離去年2月公布Llama 65B第一個版本僅僅18個月，Llama已經從單一SoTA（state-of-the-art）基礎模型，成為適用開發人員的完整系統。Llama 3.1現在提供完整參考系統，可協助開發人員建立自有客製化代理人，以及全新的安全工具，協助開發負責任AI。</p> <p>Meta指出，Hugging Face的Llama家族模型下載次數已接近3.5億，是一年多以前的10倍以上。而單單上個月內，Llama模型在Hugging Face就被下載2,000多萬次，這還不計入由Meta合作夥伴提供下載的次數。</p> <p>談到合作夥伴，Meta除了和兩大公有雲平臺AWS和Azure外，也和Databricks、Dell、Google Cloud、Groq、Nvidia、IBM watsonx、Scale AI、Snowflake等平臺合作提供Llama下載。Meta說，從7月公布Llama 3.1以來，主要雲端合作夥伴平臺上的Llama用量，以token量計算已經成長為2倍。</p> <p>其他數據包括，今年1到7月主要雲端平臺上Llama用量成長10倍，其中8月，下載量最多的是最大參數量的405B版本，顯示最大基礎模型受到相當歡迎。</p> <p>針對Llama 3.1，Meta已增加了Llama早期試用方案的合作夥伴數量。Meta表示，因應有其他代管及服務業者要求加入，像是Wipro、Cerebras與Lambda，該公司也會持續推升提供Llama下載的合作夥伴陣容。</p> </div></div></div>
2024/9/3 10:34作者林妍溱https://www.ithome.com.tw/news/164823
.NET平臺也可用Pinecone向量資料庫，簡化AI應用開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>向量資料庫Pinecone公司釋出適用於.NET平臺的<a href="https://aka.ms/pinecone-dotnet-sdk">Pinecone .NET SDK</a>，讓.NET開發者能夠在其人工智慧應用程式中使用Pinecone向量資料庫。由於.NET本身就是一個受歡迎的開發環境，該SDK替開發者提供方便的工具整合Pinecone高效能向量搜尋和管理功能，降低.NET平臺人工智慧開發的阻礙。</p> <p>不少市面上資料庫提供向量資料的處理和相似性搜尋，是在現有的資料庫上添加額外的服務與工具，讓開發者處理向量資料和建構相關應用程式，以實現向量資料庫的類似功能，不過，這些解決方案通常不是專為向量資料設計，在效能和功能擴展性上不如專門的向量資料庫。</p> <p>由於處理向量嵌入有其複雜性，Pinecone這類專門針對向量嵌入這類資料型態最佳化的資料庫，能夠更好地處理並支援人工智慧應用。Pinecone是一個全託管無伺服器的專業向量資料庫，有能力處理大規模向量資料，特別適合用於需要高效相似性搜尋的人工智慧和機器學習應用。</p> <p>向量資料庫能夠索引和儲存嵌入向量，這些嵌入向量是文字、圖片和音訊資料等資料的數值標示，擷取了其語義和關聯性，以進行快速檢索和相似相搜尋，因此在人工智慧應用中十分重要。在Pinecone中，索引是向量資料庫的核心結構，用於儲存和管理向量資料，並支援各種查詢操作。</p> <p>微軟<a href="https://devblogs.microsoft.com/dotnet/introducing-pinecone-dotnet-sdk/">指出</a>，新推出的Pinecone .NET SDK在使用上簡便。只需要幾個步驟就能開始，對於剛接觸向量資料庫的開發者不會產生太高的障礙。</p> </div></div></div>
2024/9/2 22:11作者李建興https://www.ithome.com.tw/news/164813
【資安日報】9月2日，勒索軟體RansomHub受害企業組織半年已超過200家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期勒索軟體RansomHub不斷登上資安新聞的版面，最近一起是美國石油及天然氣業者Halliburton遭遇網路攻擊的事故，到了上週，這些駭客聲稱是他們所為。而在此之前，臺灣也有老牌筆電廠藍天電腦傳出受害的消息。</p> <p>有鑑於這些駭客的威脅加劇，美國政府近期發布相關防禦指引，揭露這些駭客的攻擊手法和底細，呼籲IT人員要嚴加防範。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164809"><strong style="font-size: 22px;">半年前現身的RansomHub勒索軟體，受害者已超過210家</strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）、衛生及公共服務部（HHS），以及各州資訊共享與分析中心（MS-ISAC）發布了聯合公告，釋出了勒索軟體RansomHub的策略、技巧、流程（TTP）與網路入侵指標（IOC），原因是今年2月才現身的RansomHub，迄今已成功攻擊了至少210家受害企業組織。</p> <p>根據調查，RansomHub是由勒索軟體Cyclops及Knight演變而來的勒索軟體即服務（RaaS），此外，已經被執法機關破獲及搗毀的BlackCat（ALPHV）與LockBit勒索軟體組織，也有不少成員投靠，而讓RansomHub快速壯大。</p> <p>迄今RansomHub已加密及外洩至少210家受害者的資料，受害領域涵蓋水及廢水、資訊技術、政府服務與設施、醫療保健及公共衛生、緊急服務、食品與農業、金融服務、製造、運輸及關鍵基礎設施等。</p> <p><a href="https://www.ithome.com.tw/news/164801"><strong style="font-size: 22px;">北韓駭客利用Chrome零時差漏洞，意圖植入rootkit程式Fudmodule</strong></a></p> <p>微軟威脅情報小組暨微軟安全回應中心在8月19日發現，別名為AppleJeus、Labyrinth Chollima、Hidden Cobra的北韓駭客Citrine Sleet，濫用當時尚未發現的Chrome漏洞CVE-2024-7971遠端執行程式碼（RCE），從而在受害電腦植入rootkit程式FudModule。</p> <p>CVE-2024-7971為存在於V8引擎的型態混淆漏洞，影響128.0.6613.84以前版本的Chrome，Google已經在8月21日釋出新版修補。這是繼CVE-2024-4947和CVE-2024-5274，Google今年處理的第3個V8型態混淆零時差漏洞。</p> <p>附帶一提的是，過程中攻擊者也濫用另一個零時差Windows權限擴張漏洞CVE-2024-38106。一旦成功，FudModule rootkit即被載入Windows核心，利用直接核心物件操弄（DKOM）手法，擾亂作業系統核心安全機制。微軟推測，Citrine Sleet這波攻擊意在竊取加密貨幣。</p> <p><a href="https://www.ithome.com.tw/news/164812"><strong style="font-size: 22px;">Atlassian Confluence重大漏洞遭到利用，攻擊者意圖挾持伺服器挖礦</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2023-22527-fig1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2023-22527-fig1.png" style="width: 300px; float: right;" /></a>今年1月Atlassian在例行更新修補DevOps協作平臺Confluence重大層級漏洞CVE-2023-22527（CVSS風險評分為10分），研究人員警告最近駭客積極利用這漏洞的跡象。</p> <p>這個發現源於資安業者趨勢科技，今年6月中旬至7月底，他們觀察到大量的漏洞利用嘗試跡象，這些駭客利用這項漏洞意圖將挖礦程式部署到Confluence伺服器，利用這些伺服器的運算資源，挖得加密貨幣牟利。</p> <p>主要有3組人馬利用這項漏洞，其中一組特別引起他們的注意，因為駭客們使用Shell指令碼進行SSH連線，而能在受害伺服器的環境挖礦。</p> <p><a href="https://www.ithome.com.tw/news/164818"><strong style="font-size: 22px;">惡意軟體Voldemort濫用Google Sheets，意圖竊取全球企業組織稅務機關資料</strong></a></p> <p>駭客濫用Google雲端服務掩蓋攻擊行動的手法不時傳出，其中最常見的是Google Drive，攻擊者可能藉此提供惡意程式C2伺服器的IP位址，但後續也有利用雲端文書處理服務Google Docs的情況，而最近一起攻擊行動裡，有人竟濫用同廠牌的試算表服務Google Sheets，而且，攻擊者不僅利用該服務下達命令，還要求惡意程式回傳執行的結果。</p> <p>資安業者Proofpoint揭露後門程式Voldemort的攻擊行動（此名取自奇幻小說哈利波特的大反派角色之一，中譯為佛地魔），駭客假冒美國、歐洲、亞洲稅務機關，約從8月5日開始，針對超過70個企業組織下手，發送至少2萬封惡意郵件，在最高峰的時期，一天可達到6千封。這起攻擊行動引起他們注意的原因，在於駭客罕見地濫用試算表服務Google Sheets。</p> <p>而對於駭客鎖定的範圍，研究人員表示，受害組織遍及保險、航空、航太、交通、教育領域等18個產業，其中，占比最高的是保險公司，將近四分之一。他們推測攻擊者應該是APT駭客，但缺乏足夠資料確認是那個駭客組織所為。</p> <p><a href="https://www.ithome.com.tw/news/164820"><strong style="font-size: 22px;">QR Code網釣濫用微軟Sway從事攻擊行動，意圖竊取M365帳號</strong></a></p> <p>為了迴避網址過濾系統的檢查，駭客利用QR Code從事網路釣魚（Quishing）的情況，最近兩至三年可說是越來越常見，但如今駭客結合微軟雲端簡報服務Sway來引誘使用者上當。</p> <p>資安業者Netskope指出，他們今年7月察覺濫用Sway的網路釣魚攻擊流量爆增2千倍，而且，駭客使用的網頁大多數都運用了QR Code而引起他們的注意。研究人員指出，駭客透過對手中間人（AiTM，或稱為Transparent Phishing）攻擊手法，利用捏造的登入網頁，取得多因素驗證所需資料，最終的目的是竊取受害者的Microsoft 365帳號。</p> <p>再者，攻擊者為了防止資安系統察覺有異攔截，他們濫用Cloudflare Turnstile圖靈驗證機制，確保攻擊目標是人類。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://ti.qianxin.com/blog/articles/operation-deviltiger-0day-vulnerability-techniques-and-tactics-used-by-apt-q-12-disclosed-en/"><strong style="font-size: 20px;">駭客組織APT-Q-12針對東北亞國家，利用零時差漏洞進行滲透</strong></a></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/application-security/hundreds-of-llm-servers-expose-corporate-health-and-other-online-data">數百臺大型語言模型伺服器恐曝露公司內部、個人健康狀態資料庫</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/new-snake-keylogger-variant-slithers-into-phishing-campaigns/">鍵盤側錄器Snake Keylogger假借轉帳通知散布</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/halliburton-cyberattack-linked-to-ransomhub-ransomware-gang/">美國石油及天然氣業者Halliburton傳出遭到勒索軟體RansomHub攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/researchers-find-sql-injection-to-bypass-airport-tsa-security-checks/">美國機場航空運輸安全系統存在SQL注入漏洞，可被未經授權人士繞過安檢</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164780"><strong>【8月30日】殭屍網路病毒Mirai變種透過陞泰網路攝影機漏洞散布</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164763"><strong>【8月29日】破壞EDR系統運作，惡意驅動程式PoorTry出現新手法</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164736"><strong>【8月28日】Versa Director零時差漏洞成中國駭客用來入侵ISP的管道</strong></a></p> </div></div></div>
2024/9/2 18:40作者周峻佑https://www.ithome.com.tw/news/164821
QR Code網釣濫用微軟Sway從事攻擊行動，意圖竊取M365帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了迴避網址過濾系統的檢查，駭客利用QR Code從事網路釣魚（Quishing）的情況，最近兩至三年可說是越來越常見，但如今駭客結合微軟雲端簡報服務Sway來引誘使用者上當。</p> <p>資安業者Netskope指出，<a href="https://www.netskope.com/blog/phishing-in-style-microsoft-sway-abused-to-deliver-quishing-attacks">他們今年7月察覺濫用Sway的網路釣魚攻擊流量爆增2千倍</a>，而且，駭客使用的網頁大多數都運用了QR Code而引起他們的注意。研究人員指出，駭客透過對手中間人（AiTM，或稱為Transparent Phishing）攻擊手法，利用捏造的登入網頁，取得多因素驗證所需資料，最終的目的是竊取受害者的Microsoft 365帳號。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Sway-Quishing-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sway-Quishing-1.png" style="width: 580px;" /></a></p> <p>再者，攻擊者為了防止資安系統察覺有異而攔截，他們濫用Cloudflare Turnstile圖靈驗證機制，確保攻擊目標是人類。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Sway-Quishing-5.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sway-Quishing-5.png" style="width: 580px;" /></a></p> <p>值得一提的是，駭客使用的QR Code，應該是透過Chrome和QR Code Generator Pro服務產生，但為何利用這些方式產生QR Code，研究人員並未說明。</p> </div></div></div>
2024/9/2 18:32作者周峻佑https://www.ithome.com.tw/news/164820
惡意軟體Voldemort濫用Google Sheets，意圖竊取全球企業組織稅務機關資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客濫用Google雲端服務掩蓋攻擊行動的手法不時傳出，其中最常見的是Google Drive，攻擊者可能藉此提供惡意程式C2伺服器的IP位址，但後續也有利用雲端文書處理服務Google Docs的情況，而最近一起攻擊行動裡，有人竟濫用同廠牌的試算表服務Google Sheets，而且，攻擊者不僅利用該服務下達命令，還要求惡意程式回傳執行的結果。</p> <p>資安業者Proofpoint揭露<a href="https://www.proofpoint.com/us/blog/threat-insight/malware-must-not-be-named-suspected-espionage-campaign-delivers-voldemort">後門程式Voldemort的攻擊行動</a>（此名取自奇幻小說哈利波特的大反派角色之一，中譯為佛地魔），駭客假冒美國、歐洲、亞洲稅務機關，約從8月5日開始，針對超過70個企業組織下手，發送至少2萬封惡意郵件，在最高峰的時期，一天可達到6千封。這起攻擊行動引起他們注意的原因，在於駭客罕見地濫用試算表服務Google Sheets。</p> <p>而對於駭客鎖定的範圍，研究人員表示，受害組織遍及保險、航空、航太、交通、教育領域等18個產業，其中，占比最高的是保險公司，將近四分之一。他們推測攻擊者應該是APT駭客，但缺乏足夠資料確認是那個駭客組織所為。</p> <p>駭客先是鎖定目標組織寄送郵件，這些郵件以受害組織公開地址決定冒充的稅務機關，因此研究人員指出，有部分總部在歐洲的跨國企業，收到駭客佯稱是美國國稅局的惡意郵件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2024-08-29 at 10_47_11 AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202024-08-29%20at%2010_47_11%E2%80%AFAM.png" style="width: 580px;" /></a></p> <p>這些信件的內容，都包含經過行動版網頁框架Google AMP處理的URL，一旦使用者點選，就會被重新導向到架設在免費網頁伺服器代管服務InfinityFree的網頁，這些網頁含有點選以檢視文件的連結，若是照作，網頁就會檢查使用者字串（User Agent），確認使用者透過Windows電腦存取。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2024-08-29 at 10_49_26 AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202024-08-29%20at%2010_49_26%E2%80%AFAM.png" style="width: 580px;" /></a></p> <p>接著攻擊者將使用者導向Windows搜尋的URI，而這個URI會連往TryCloudflare隧道，要求使用者透過Windows檔案總管開啟；若非Windows用戶，駭客則將他們導向特定Google Drive網址，以便收集這些使用者的瀏覽器及網路組態資訊。</p> <p>一旦使用者依照對話框的指示操作，Windows檔案總管就會如駭客預期進行搜尋，使得用戶在檔案總管看到捷徑檔案（LNK），或是ZIP壓縮檔。值得留意的是，雖然LNK或ZIP檔案實際上存放在外部網路伺服器，但看起來很像在內部網路WebDAV共享資料夾，而讓使用者很容易上當。研究人員指出，攻擊者利用了Windows搜尋檔案格式SEARCH-MS，將搜尋內容設置為WebDAV共用資料夾。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2024-08-29 at 10_50_56 AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202024-08-29%20at%2010_50_56%E2%80%AFAM.png" style="width: 580px;" /></a></p> <p>使用者若是開啟檔案總管顯示的檔案，電腦就會呼叫PowerShell，從相同隧道的另一個WebDAV資料夾存取Python主程式，並利用特定的指令碼傳遞參數。</p> <p>然後，駭客從檔案共享服務OpenDrive下載、開啟特定語言的誘餌PDF檔案，讓使用者降低戒心。在此同時，指令碼也下載思科WebEx執行檔及惡意DLL，透過DLL側載手法執行後門程式Voldemort。</p> <p>此後門程式駭客以C語言打造而成，並利用Google Sheets充當C2伺服器，攻擊者利用Python程式碼，向後門程式下達相關命令，最終於受害電腦植入Cobalt Strike。研究人員指出，這起攻擊行動並不尋常，因此他們難以判斷駭客實際的目標是僅有少部分企業，但也不排除前述超過70家企業都是目標。</p> </div></div></div>
2024/9/2 17:17作者周峻佑https://www.ithome.com.tw/news/164818
Atlassian Confluence重大漏洞遭到利用，攻擊者意圖挾持伺服器挖礦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月Atlassian在例行更新修補<a href="https://jira.atlassian.com/browse/CONFSERVER-93833">DevOps協作平臺Confluence重大層級漏洞CVE-2023-22527</a>（CVSS風險評分為10分），研究人員警告最近駭客積極利用這漏洞的跡象。</p> <p>這個發現源於資安業者趨勢科技，<a href="https://www.trendmicro.com/en_us/research/24/h/cve-2023-22527-cryptomining.html">今年6月中旬至7月底</a>，他們觀察到大量的漏洞利用嘗試跡象，這些駭客利用這項漏洞意圖將挖礦程式部署到Confluence伺服器，利用這些伺服器的運算資源，挖得加密貨幣牟利。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2023-22527-fig1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2023-22527-fig1.png" style="width: 580px;" /></a></p> <p>主要有3組人馬利用這項漏洞，其中一組特別引起他們的注意，因為駭客們使用Shell指令碼進行SSH連線，而能在受害伺服器的環境挖礦。</p> <p>攻擊者下載Shell檔案，並從記憶體內透過bash開啟。研究人員對這個指令碼進行分析，指出一旦啟動，此指令碼會先清除已知的挖礦軟體處理程序，以及從特定資料夾執行的處理程序。</p> <p>接著，指令碼將刪除所有cron工作排程，並新增C2連線的工作排程，每5分鐘檢查一次。此外，該指令碼還會移除阿里雲的資安防護機制Alibaba Cloud Shield、騰訊雲的映像檔案。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2023-22527-fig6.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2023-22527-fig6.png" style="width: 580px;" /></a></p> <p>然後，攻擊者進一步收集所需的系統資訊，並透過SSH連線從事挖礦行為，這些駭客也透過SSH進行橫向移動，利用其他伺服器擴大挖礦的規模。最終攻擊者清除系統及bash的事件記錄檔案，抹去作案痕跡。</p> </div></div></div>
2024/9/2 15:58作者周峻佑https://www.ithome.com.tw/news/164812
半年前才現身的RansomHub勒索軟體，受害者已超過210家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）、衛生及公共服務部（HHS），以及各州資訊共享與分析中心（MS-ISAC）上周<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-242a" target="_blank">發布</a>了聯合公告，釋出了勒索軟體RansomHub的策略、技巧、流程（TTP）與網路入侵指標（IOC），因為今年2月才現身的RansomHub，迄今已成功攻擊了至少210家受害者。</p> <p>根據調查，RansomHub是由勒索軟體Cyclops及Knight演變而來的勒索軟體即服務（RaaS），此外，已經被執法機關破獲及搗毀的BlackCat/ALPHV與LockBit勒索軟體組織中，也有不少合作夥伴轉而投靠RansomHub，而讓RansomHub快速壯大。</p> <p>迄今RansomHub已加密及外洩至少210家受害者的資料，受害領域涵蓋水及廢水、資訊技術、政府服務與設施、醫療保健及公共衛生、緊急服務、食品與農業、金融服務、製造、運輸及關鍵基礎設施等。</p> <p>駭客最初的入侵途徑包括網釣攻擊、利用十多個已知漏洞，以及密碼噴灑等；成功入侵後再於系統上建立可持續存在的使用者帳戶，再透過安全測試工具Mimikatz來蒐集憑證，並將權限提升至管理權限；接著藉由各種方法以於網路中橫向移動，竊取資料，並部署勒索軟體。</p> <p>RansomHub還替受害者建立一個用戶端ID，透過特定的洋蔥網址（.onion）與其聯繫，要求受害者在90天內支付贖金，否則就要外洩所竊取的資料。</p> <p>此一公告並未公布RansomHub受害者的名字，不過，精品拍賣業者<a href="https://www.ithome.com.tw/news/163167" target="_blank">佳士得</a>，臺灣筆電代工業者<a href="https://www.ithome.com.tw/news/163347" target="_blank">藍天電腦</a>，以及美國醫療集團<a href="https://www.wired.com/story/change-healthcare-ransomhub-data-sale/" target="_blank">Change Healthcare</a>都曾傳出遭RansomHub入侵。</p> </div></div></div>
2024/9/2 13:57作者陳曉莉https://www.ithome.com.tw/news/164809
巴西全面封鎖X
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>巴西最高法院法官Alexandre de Moraes，在上周五（8/30）要求當地的電信業者封鎖X，甚至規定只要有任何公司或個人企圖利用虛擬私有網路（VPN）存取X，將會面臨每日高達5萬里奧（BRL）（約8,900美元）的罰款，更凍結了SpaceX在巴西的資產，顯然是與X所有人及SpaceX創辦人馬斯克（Elon Musk）結下了樑子。</p> <p>其實Moraes與馬斯克自今年4月以來便數度過招，起因是Moraes正在調查巴西的前任總統Jair Bolsonaro。Bolsonaro屬於右派總統，在2022年尋求連任失敗後，除了不承認落選之外還出走至美國，但其支持者襲擊了巴西的法院、國會及普拉納托宮（巴西總統府），企圖推翻選舉結果。</p> <p>於是，負責調查此事的Moraes封鎖了超過100個社交媒體帳戶，其中大多數是支持Bolsonaro、質疑選舉結果的右派選民，當中有部分帳戶位於X。馬斯克則對此感到不滿，除了拒絕關閉這些帳戶之外，還數度發文指責Moraes壓制保守派的聲音，是名獨裁者。</p> <p>Moraes並在上周三（8/28）要求X於巴西任命一名法定代理人，結果X亦拒絕遵循，進而導致了上周五的全面封鎖行動。</p> <p>根據外電報導，Moraes可能是被Musk惹惱了，最初的命令不僅要求電信業者封鎖X，也要求蘋果及Google的應用程式市集將X及VPN程式下架，不過，Moraes之後也撤回對程式市集的要求。</p> <p>巴西身為X全球第四大市場，擁有超過2,000萬名的X用戶，在X遭到封鎖後，由Twitter創辦人Jack Dorsey重新打造的微型部落格BlueSky湧入了大量的新用戶，<a href="https://bsky.app/profile/bsky.app/post/3l3277gkjjc2y" target="_blank">表示</a>在短短的3天內便吸引超過100萬名新用戶。</p> </div></div></div>
2024/9/2 12:30作者陳曉莉https://www.ithome.com.tw/news/164808
北韓駭客駭入Chromium漏洞植入rootkit程式Fudmodule
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟研究人員<a href="https://www.microsoft.com/en-us/security/blog/2024/08/30/north-korean-threat-actor-citrine-sleet-exploiting-chromium-zero-day/" target="_blank">發現</a>，北韓駭客組織濫用Chromium漏洞，以便在Windows PC核心植入惡意程式Fudmodule以竊取加密貨幣。</p> <p>微軟威脅情報小組暨微軟安全回應中心在8月19日發現，北韓駭客濫用當時尚未發現的Chromium漏洞執執行遠端程式碼執行（remote code execution，RCE）。該漏洞後被命名為CVE-2024-7971。微軟分析，這次攻擊背後是名為Citrine Sleet的北韓駭客組織，他們在受害Windows PC核心植入rootkit程式FudModule。</p> <p>CVE-2024-7971為存在Chromium V8 JavaScript及WebAssembly引擎的型態混淆漏洞，成功濫用可讓攻擊者在沙箱環境中的Chromium。受影響的是128.0.6613.84以前版本，Google已經在2024年8月21日釋出新版修補。CVE-2024-7971也是繼CVE-2024-4947和CVE-2024-5274後今年第三個V8型態混淆漏洞。</p> <p>Citrine Sleet又被稱為AppleJeus、Labyrinth Chollima、UNC4736和Hidden Cobra。過去這個組織經常鎖定管理加密貨幣的金融機構或個人以獲取財務利益。而在這次行動中，研究人員相信Citrine Sleet是透過社交工程誘騙用戶點選釣魚網站，當受害者連到惡意網域時，濫用CVE-2024-7971對沙箱環境的Chromium執行RCE，之後並在Windows記憶體中下載包含Windows沙箱逃逸（sandbox escape）攻擊程式及FudModule rootkit的shellcode。</p> <p>這個Windows沙箱逃逸攻擊程式則另外濫用了另一個零時差Windows權限擴張漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38106" target="_blank">CVE-2024-38106</a>。一旦成功，FudModule rootkit即被載入Windows核心，利用直接核心物件操弄（direct kernel object manipulation，DKOM）手法，擾亂核心安全機制、從user mode執行指令，以及透過核心讀寫原語（primitive）執行核心竄改活動。微軟推測，Citrine Sleet這波攻擊也是意在竊取加密貨幣。</p> <p>值得一提的是，CVE-2024-38106是由北韓駭客組織Diamond Sleet發現且首先濫用。但微軟之前研究發現Citrine Sleet和Diamond Sleet曾共用某些基礎架構和工具，因此微軟推測，Diamond Sleet和Citrine Sleet可能共用了關於CVE-2024-38106的知識。</p> <p>FudModule rootkit已多次在北韓駭客攻擊中使用。例如2022年9月ESET及AhnLAb研究人員觀察到駭客濫用CVE-2021-21551 Dell驅動程式漏洞植入FudModule變種，今年2月Avast研究人員也發現Windows AppLocker驅動程式漏洞（CVE-2024-21338）濫用。8月Gen Digital發現Winsock驅動程式漏洞CVE-2024-38193被Lazarus濫用後都被植入這個rootkit變種。</p> <p>CVE-2024-21338及CVE-2024-38106、CVE-2024-38193分別由微軟在2月及8月Patch Tuesday中修補。</p> </div></div></div>
2024/9/2 11:43作者林妍溱https://www.ithome.com.tw/news/164801
Docker-OSX映像檔儲存庫遭蘋果要求移除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多開發人員在Docker上安裝macOS測試的Docker-OSX映像檔儲存庫，上周遭到蘋果以侵犯著作權的理由，要求移除。</p> <p>Docker-OSX是由代號Sick.Codes的開發人員建立的macOS VM容器，讓用戶可利用Docker在Windows或Linux平臺上執行macOS，用以測試應用，但不用購買macOS授權。但安全研究人員也可以用這方法來研究macOS的漏洞。Docker-OSX很受歡迎，在<a href="https://github.com/sickcodes/Docker-OSX" target="_blank">GitHub</a>上的Docker-OSX儲存庫有75萬人次下載，共獲得GitHub 4萬顆星。</p> <p>但是上周先是有用戶在<a href="https://github.com/sickcodes/Docker-OSX/issues/799" target="_blank">Reddit</a>反映找不到這個儲存庫。作者Sickcodes也在<a href="https://x.com/sickcodes/status/1828696525834457186" target="_blank">X證實</a>，在Docker Hub帳下的Docker-OSX儲存庫及所有映像檔、標籤等內容全遭到刪除，且沒有接到任何通知。隨後Docker方面<a href="https://x.com/Docker/status/1828850335328223434" target="_blank">回應</a>，這個儲存庫在蘋果以違反《數位千禧年版權法案》（Digital Millenium Copyright Act，DMCA）為由要求下移除。Docker同時也出示了代表蘋果的律師事務所的電子郵件，指出蘋果對macOS的安裝器和安裝擁有獨家權利，Docker-OSX的映像檔則是在未經授權下重製蘋果內容。此種未授權重製蘋果內容的行為，是侵害版權行為，並違反DMCA。因此蘋果要求Docker移除Docker-OSX目錄下的macOS安裝器及安裝映像檔。</p> <p>Sick.Codes對Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/docker-osx-image-used-for-security-research-hit-by-apple-dmca-takedown/" target="_blank">表示</a>，蘋果的作法違反了該公司善意安全研究專案（good-faith security research project）的精神。這個專案允許研究人員在蘋果抓蟲獎勵方案下測試其產品，Sick.Codes說他也曾經向微軟通報漏洞。但他表示，他協助蘋果安全研究的熱忱不會因此動搖，他還是會持續研究。</p> </div></div></div>
2024/9/2 12:04作者林妍溱https://www.ithome.com.tw/news/164805
Amazon傳10月發表新Alexa AI，要使用Claude AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>路透社<a href="https://www.reuters.com/technology/artificial-intelligence/amazon-turns-anthropics-claude-alexa-ai-revamp-2024-08-30/" target="_blank">報導</a>，由於自家研發效果不盡如人意，Amazon付費版AI助理Alexa預計10月中推出，將使用Anthropic的Claude AI模型。</p> <p>報導指出，使用自家模型的Remarkable Alexa在理解和處理用戶輸入文字和提示效能不佳，有時要6、7秒才能回應用戶，因而將使用Amazon投資的新創公司Anthropic開發的Claude為底層AI模型。</p> <p>消息人士透露，規劃中的Remarkable Alexa將收取5-10美元月費，預計提供新聞重點整理、AI輔助購物、以及兒童導向的聊天機器人等功能，但Amazon也將保留免費版的Alexa。報導指出，Remarkable Alexa預計10月推出，但之前會先在9月例行的裝置和服務發表大會上展示。</p> <p>Amazon去年<a href="https://www.ithome.com.tw/news/158265" target="_blank">改組</a>Alexa開發部門，要用生成式AI改造Alexa助理。類似Google Gemini，Amazon的計畫是推出付費訂閱的Remarkable Alexa服務，原本預訂6月推出，但引發內部雜音，因為部分員工<a href="https://www.ithome.com.tw/news/160943" target="_blank">認為</a>技術不夠成熟。</p> <p>此外有前員工<a href="https://x.com/mihail_eric/status/1800578001564057754" target="_blank">指出</a>，AIexa AI開發不如預期其來有自，像是過於繁瑣的行政流程，加上IT開發資源不足，阻礙Alexa的AI訓練資料取得及資源的取得，而組織零碎化難以開發協同實現也讓Alexa AI開發牛步。</p> <p>但Amazon否認是棄自家資產改用別人的技術，表示在機器學習上，Amazon會先使用自己的研發成果，如Titan，但同時也會使用多種合作夥伴的AI模型。</p> <p>為追趕競爭者，Amazon尋求引入外部資源。例如Amazon三月<a href="https://www.ithome.com.tw/news/162016" target="_blank">完成</a>對Anthropic 40億美元投資，也是該公司歷來最大金額投資。</p> <p>除了投資生成式AI公司，Amazon上周並<a href="https://www.aboutamazon.com/news/company-news/amazon-covariant-ai-robots" target="_blank">宣布</a>將聘請AI機器人新創公司Covariant共同創辦人以強化生產線AI機器人的能力。Covariant三名創辦人包括Pieter Abbel、Peter Chen和Rocky Duan，以及該公司1/4的員工將加入該公司的交付技術暨機器人團隊（Fulfillment Technologies & Robotics Team），並將授權其機器人基礎模型。</p> </div></div></div>
2024/9/2 12:15作者林妍溱https://www.ithome.com.tw/news/164806
【資安週報】2024年8月26日到8月30日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在8月最後一週的漏洞消息中，有5個漏洞利用狀況，其中金山WPS Office零時差漏洞CVE-2024-7262遭韓國駭客挖掘並利用最受矚目，因為金山應該早就知道漏洞已被利用的情況，並且悄悄在前幾個月就修補一小部分，再加上通報後金山的回應出現矛盾狀況，使得研究人員公開揭露這兩個漏洞，並且發布這次研究報告來僅告金山用戶。</p> <p>●韓國駭客利用WPS Office零時差漏洞，企圖於東亞組織植入後門SpyGlace<br /> ●2個已遭利用零時差漏洞情形與Chrome有關，Google分別修補了存在V8的漏洞CVE-2024-7971、CVE-2024-7965。<br /> ●開源ERP系統Apache OFBiz在8月初修補的漏洞CVE-2024-38856，月底時被美國CISA列入已知漏洞利用清單<br /> ●WordPress外掛程式LiteSpeed Cache修補漏洞CVE-2024-28000，一週後已發現有鎖定的攻擊行動。</p> <p>還有一個是先前Versa Director零時差利用的後續消息，如今攻擊者的身分被揭曉，是中國國家級駭客Volt Typhoon所為，並且是美國電信業者旗下資安團隊揭露，指出有5家業者遭入侵，涵蓋ISP電信商業與MSP服務託管供應商，並說明早在6月就有鎖定的攻擊行動，而修補也是在當時就釋出。</p> <p>在資安威脅態勢上，我們列出5個重點新聞，其中下列第一則是前所未見的重導NFC、竊取感應支付的犯罪手法，由於在捷克已有3家銀行客戶受害，值得留意；第二則反應了新的APT威脅態勢，俄羅斯駭客APT29疑似取得商業間諜組織（CSV）的攻擊程式並加以改造，因為近期APT29使用的攻擊工具非常類似Intellexa與NSO Group開發的攻擊程式。</p> <p>●出現使用NFCGate的流量分析開源工具並重導NFC通訊流量的攻擊手法，可將受害者Android手機內的支付卡資訊傳給駭客。<br /> ●俄羅斯駭客APT29開始利用Intellexa與NSO Group所開發的攻擊程式<br /> ●RansomHub攻擊行動使用可破壞EDR運作的新版惡意驅動程式PoorTry<br /> ●發現新一款鎖定macOS攻擊的竊資軟體Cthulhu Stealer<br /> ●保險公司旗下風險管理業者揭露名為sedexp的Linux惡意軟體，會濫用Linux核心的裝置管理系統udev的規則，並在網頁伺服器竊取信用卡資料。</p> <p>至於資安事故焦點方面，美國西雅圖Tacoma國際機場（SEA）在24日傳出疑似遭到網路攻擊，且數天都還沒有恢復，不止影響網站、郵件系統等數個系統網路中斷，也影響行李托運相關的系統。</p> <p>在國內，則傳出一起因資安檢測引發駐點工程師誤刪檔案的事故，發生在勞動部勞動力發展署（勞發署）高屏澎東分署。該分署當日已證實廠商人員維護時發生人員作業疏失，造成部分電腦本機備份資料遭到刪除。</p> <p>不過，自由時報的報導中還透露更多消息，像是有484部電腦受影響，並提到廠商工程師是為了資訊安全檢查，將電腦D槽內檔案全部加密，包含歷年資料及正在進行的計劃都被刪光。但由於陳述較為凌亂、事件脈絡未能完全疏理，這讓外界更好奇事發經過，但目前也很難以釐清事件經過與原因。</p> <p>在國內資安社群動向方面，今年臺灣駭客年會（HITCON）社群場的舉辦，有多場精彩的漏洞挖掘經驗的公開。包括：戴夫寇爾資安研究人員蔡政達（Orange Tsai）闡釋Apache HTTP Server方面的研究，說明Confusion Attacks的新攻擊面；還有楊安傑（Angelboy）公開在Pwn2Own Vancouver 2024中攻下Windows 11的成果，並闡釋對於Kernel Streaming的研究歷程。而在本次大會活動方面，最特別是我們看到半導體封裝測試大廠日月光的參與，相當難得，他們資安團隊並設計了一個SOC事件調查的情境解題遊戲。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/164701"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月26日】Telegram創辦人暨執行長Pavel Durov傳出遭到逮捕</span></strong></a></h3> <p>加密即時通訊軟體Telegram近年來已成為許多駭客在從事網路犯罪的過程濫用的平臺，包括駭客之間用來討論如何犯案，或是用來代管、散布惡意軟體，甚至有人將Telegram頻道充當C2中繼站，這樣的情況也引發政府單位認為該平臺管理不力，逮捕其負責人的情況。</p> <p>值得一提的是，在為期超過2年的烏克蘭戰爭裡，不僅兩國駭客利用該平臺從事網路攻擊，就連政府高層也藉此向對方放話。</p> <h3><a href="https://www.ithome.com.tw/news/164717"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月27日】WordPress網站加速外掛LiteSpeed Cache漏洞已遭利用</span></strong></a></h3> <p>為了提升使用者瀏覽網站的體驗，許多WordPress網站可能會導入外掛程式LiteSpeed Cache，但最近開發商修補的重大層級漏洞CVE-2024-28000，已有實際攻擊行動出現。</p> <p>由於此外掛程式全球有超過500萬個網站採用，但事隔一週仍有近4成尚未修補而成為駭客下手的目標。值得留意的是，該外掛程式今年已二度遭遇大規模漏洞攻擊。</p> <p><a href="https://www.ithome.com.tw/news/164736"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月28日】Versa Director零時差漏洞成中國駭客用來入侵ISP的管道</span></strong></a></p> <p>本週SASE供應商Versa Networks發布了一則不太尋常的資安公告，提及SD-WAN管理主控臺Versa Director的高風險遭到APT駭客利用，他們將協助客戶儘速緩解漏洞。</p> <p>值得留意的是，該公司已於6月下旬發布修補程式，但為何事隔2個月特別發布資安公告？很有可能與近期電信業者Lumen公布相關攻擊事故有關，Lumen指出，這項漏洞在Versa修補之前就遭到利用。</p> <p><a href="https://www.ithome.com.tw/news/164763"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月29日】破壞EDR系統運作，惡意驅動程式PoorTry出現新手法</span></strong></a></p> <p>為了避免端點防護系統干擾勒索軟體加密檔案，最近2至3年，駭客利用含有弱點的驅動程式來達到目的，其中一款名為PoorTry的惡意驅動程式，最近引起研究人員高度關注。</p> <p>研究人員特別提及，此惡意驅動程式也納入了資料破壞軟體（Wiper）的功能，而能刪除EDR系統的EXE、DLL元件，使其無法再度運作。</p> <p><a href="https://www.ithome.com.tw/news/164780"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月30日】殭屍網路病毒Mirai變種透過陞泰網路攝影機漏洞散布</span></strong></a></p> <p>本月初美國網路安全暨基礎設施安全局（CISA）針對臺廠陞泰科技（Avtech）旗下的視訊監控攝影機漏洞提出警告，並指出廠商尚未提供修補程式，但已有攻擊行動出現。究竟該漏洞如何被用於攻擊，通報此事的資安業者最近透露更多資訊。</p> <p>他們提及駭客用來植入殭屍網路病毒Corona Mirai的情況，而這是約自2020年出現的Mirai變種病毒。</p> <p> </p> <p><strong><span style="color: rgb(255, 0, 0);">本星期漏洞利用狀況一覽表</span></strong></p> <p>零時差漏洞利用：3個</p> <p>CVE-2024-7262 ／ WPS Office漏洞（今年3月悄悄修補且未公開有攻擊行動，2024年8月28日ESET對外示警）<br /> CVE-2024-7971 ／ Chrome V8漏洞<br /> CVE-2024-7965 ／ Chrome V8漏洞</p> <p>本星期已知漏洞遭利用：2個</p> <p>CVE-2024-38856／ Apache OFBiz漏洞（8月5日公開，8月28日警告已遭利用）<br /> CVE-2024-28000／ WordPress外掛程式LiteSpeed Cache漏洞（8月21日公開，事隔一週兩家資安業者警告已遭利用）</p> </div></div></div>
2024/9/2 10:01作者羅正漢https://www.ithome.com.tw/news/164797
Elastic與AWS授權爭議落幕，Elasticsearch重新提供開源授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Elasticsearch原廠Elastic與雲端供應商AWS在2019年，為了Elasticsearch的授權槓上，不只隔空發文相互指責甚至對簿公堂。不過，就在2022年的時候，雙方就商標侵權訴訟中達成和解，並進一步深化合作。最新的發展是<a href="https://www.elastic.co/blog/elasticsearch-is-open-source-again">Elasticsearch重新提供開源授權，供使用者選擇使用AGPL（Affero General Public License）</a>。</p> <p>這起事件始可以追溯到2018年，當時AWS指控Elastic雖然Elasticsearch採用Apache 2.0授權，但是卻在程式碼庫中混入部分專有程式碼，使得Elasticsearch雖然名義上是開源專案，實際上卻轉向私有化，導致許多使用者在不知情的情況可能違反授權規範。為此AWS聯合Expedia、Netflix等公司合作，分叉了一個新的Elasticsearch開源版本。</p> <p>Elastic與AWS的戰爭，發生在開源軟體開發商和雲端服務供應商間矛盾加劇之際。雲端公司被指利用開源軟體賺錢，透過所謂露天採礦（Strip-Mining），也就是從開源社群挖掘軟體資源，將其重新包裝或是稍作修改後，作為自家商業服務銷售，卻又不回饋社群。</p> <p>當時包括MongoDB、Redis和CockroachDB等開源專案，都不滿雲端廠商用其開源專案推出雲端服務，不開源修改後的程式碼且不付費，因此接連修改授權限制雲端廠商的使用。Elasticsearch也在2021年的時候，宣布將Elasticsearch和Kibana從原本的Apache 2.0轉換到SSPL（Server Side Public License）以及Elastic雙授權。</p> <p>由於諸如SSPL這類授權未被開放原始碼促進會（OSI）認可為開源授權，雖然允許一定程度的自由使用和修改，並且目的在於保護軟體創作者的權益，對一般使用者來說仍擁有頗大的靈活性，但是對於商業和雲端使用情境則有更多限制，因此在嚴格的開源社群標準下，並不被視為真正的開源授權。</p> <p>AWS後來將Elasticsearch分叉版本更名為OpenSearch，Elastic和AWS的僵局在2022年得到解決，雙方就侵權訴訟達成協議並同意繼續合作，Elastic正式成為AWS的合作夥伴，降低了AWS與Elastic雲端服務的整合障礙，使雙方用戶受益。</p> <p>Elastic認為當初調整Elasticsearch使用SSPL和自家授權的目的已經達成，成功解決AWS當初分叉Elasticsearch所引發的混亂，因此現在Elasticsearch和Kibana除了SSPL和ELv2雙授權，還進一步第三種AGPL授權供使用者選用。</p> <p>AGPL是一個OSI認可的開源授權，要求在網路服務中使用和修改軟體時必須公開原始碼。與傳統的GPL相比，AGPL更適合網路應用和雲端服務，確保所有修改都必須共享。Elastic選擇AGPL作為授權選項之一，表達了他們對開源社群的承諾，也期望消除當初修改Elasticsearch和Kibana授權所引發的爭議。</p> </div></div></div>
2024/9/2 08:22作者李建興https://www.ithome.com.tw/news/164799
數位部擬於12月提出公務機關AI應用指引，要教機關評估AI工具、專案管理及做好風險控管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位部正規畫2026年到2030年政府轉型發展目標，然而在2026年之前，數位部將先祭出配套措施，引導政府機關嚐試導入AI，其中之一是目前正在研擬中，預計今年12月將釋出的政府機關AI應用指引，數位部數位政府司長王誠明將其比喻為電玩攻略，數位部自己則將扮演教練，輔導玩家（機關）依照應用指引以達成轉型目標。</p> <p>王誠明表示，大型政府機關因擁有的資源較多，很早便投入發展AI應用，例如數據分析型AI或辨識型AI，相較於這些優等生，有的機關可能因為資源有限，或曾經測試AI應用，但發現相關的資料整備不足，服務訓練等配套做法也需調整，最終可能回到既有的做法，數位部希望拉齊各機關的水平，除了規畫中的2026年到2030年大型發展計畫，數位部也提出相關配套措施，如AI人才培訓，以及供機關導入AI之前的試驗環境，評估適合機關自己的LLM模型，還有供政府機關參考的AI應用指引。</p> <p>相較於行政院及所屬機關（構）使用生成式AI參考指引，從規範面要求公務人員使用生成式AI不得使用機敏資料，不得以生成式AI產生內容直接取代承辦人員客觀及專業判斷，需經過人工審核等等，透過規範面避免公關機關錯誤運用AI。</p> <p>王誠明認為這些屬於管制面的規範，缺少教導機關如何發展AI應用，「如同沒有教你怎麼開車，因此透過AI應用指引教導你如何開車」，他說。</p> <p><span style="color:#B22222;"><strong>歐盟將AI應用風險分為4級</strong></span></p> <p>然而在導入AI之前，應該先建立AI風險管理，避免AI帶來負面影響。依照國科會提出我國的人工智慧基本法第十條規定，應由數位部參國際標準或規範，提出與國際介接的人工智慧風險分級框架，王誠明指出，數位部尚未提出我國風險分級框架，數位部未來會參考國際規範，例如歐盟的AI Act法案風險管理框架、美國NIST提出的風險管理框架AI RMF等。</p> <p>以歐盟為例，AI Act將AI風險畫分為4級，不可接受的風險（Unacceptable Risk）、高風險（High Risk）、有限風險（Limited Risk）、最低風險（Minimal Risk），各自有其對應的義務及限制。不可接受的風險，例如在公共場所進行即時遠距生物辨識，或是對人們進行評分，以決定其待遇，或是利用潛意識、人類脆弱性的AI系統；高風險，指需要受到嚴格監管及評估的AI系統，例如應用在電力或交通等基礎建設、執法、邊境管理、僱用及勞動管理的AI系統等等。</p> <p>有限風險，需要滿足一定程度的公開透明義務，例如AI生成的內容需要標示AI生成，高擬真的AI客服，需要告知人們正與AI互動；至於最低風險，不需要特別的監管措施，例如AI驅動遊戲、垃圾郵件過濾等。</p> <p>換言之，除了不可接受的風險、最低風險之外，歐盟認為其他程度風險因為帶來的影響性，需要伴隨一定的人為監管措施。</p> <p><span style="color:#B22222;"><strong>AI應用指引涵蓋AI知識、評估、導入、營運管理</strong></span></p> <p>那麼數位部今年底將釋出的AI應用指引，可以為公務機關帶來哪些幫助？</p> <p>對此，王誠明表示，未來AI應用指引內容並非固定不變，會根據AI發展動態調整指引，鑑於公務人員面臨的問題，例如調查發現公務人員仍有不低的比率對AI的基本知識不足，因此未數位部的AI應用指引將包括AI基本知識，讓團隊成員得以溝通，讓公務人員具備寫AI採購的RFP能力。另外，考慮到缺乏符合機關需求的AI專案說明、實作面說明，未來AI應用指引也會提供AI專案管理所需知道的流程、檢核表，讓公務人員對AI專案管理有一定的認知，檢視專案各個階段是否達到其需求。</p> <p>數位部正由專家協助研擬AI應用指引，未來AI應用指引的內容將涵蓋AI概念介紹、AI服務評估、AI服務導入、AI營運管理4大章節，共23個子章節。「如同教導學習開車的步驟，拉上安全帶，發動引擎，放掉手煞車」，他說。</p> <p>AI概念介紹，包括AI的定義、幫助及限制、類別、法規，並且收錄公部門的應用實例，應用指引將AI分為辨別式AI及生成式AI，並介紹兩種類型各自的優缺點，適合的應用。</p> <p>AI服務評估方面，主要協助機關評估AI是否為適合的解決方案，包含機關面臨的問題如何定義、資料狀態是否準備妥當、政府公開的AI實證；AI服務導入，包含導入模式、AI專案過程、AI專案驗收標準等等；AI營運管理，涵蓋風險管理、倫理議題、資安、AI治理等等。</p> <p>數位部透露應用指引將AI專案生命周期分為5個階段，涵蓋AI場景評估，確認需求評估合適的解決方法，建置AI專案確認團隊成員，到資料準備及模型開發、測試及迭代、風險控制及專案追蹤，每個階段有其對應的目標及任務，數位部建議機關可以將流程導入整體的規畫，在公務人員在專案流程中得到指引。</p> <p>王誠明指出，AI專案管理比較困難的是，如何驗收AI專案，AI應用儘管合乎邏輯，但是仍可能因為資料產生偏誤，換言之，正常的訓練可能產生錯誤的結果，專案驗收時需要特別考慮偏誤的問題。未來AI應用指引對於專案驗收提供4個面向的驗收指標，包括模型性能標準、系統穩定性、使用者體驗標準、公平性指標，由於AI仍在發展中，因此指標也隨著變動。</p> <p>生成式AI帶動新一波AI應用後，王誠明表示，目前公務機關的生成式AI應用場景，以智慧客服、生成摘要，他認為這些僅是目前初步的用法，未來生成式AI將有更大潛力，例如服務流程設計，如何讓服務可以更有效率、更符合民眾的需求，甚至未來可以期待，針對民眾的需求設計服務流程。</p> <p> </p> </div></div></div>
2024/8/30 18:26作者蘇文彬https://www.ithome.com.tw/news/164798
勞發署驚傳駐點工程師誤刪檔案，影響484臺電腦硬碟資料，勞發署表示已陸續恢復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="http://news.ltn.com.tw/news/life/breakingnews/4782686">自由時報8月28日的報導</a>，勞動部勞動力發展署（勞發署）高屏澎東分署在22日委託廠商進行資安檢查，傳出駐點工程師輸錯代碼，導致高屏澎東分署各科室484臺電腦硬碟D槽檔案全數刪除的離譜情況，事發後勞發署資訊室尋求微軟協助，但最後只能救回部分資料，大部分透過微軟加密工具處理的檔案無法救回。</p> <p>對此，高屏澎東分署同日發布新聞稿做出說明，<a href="https://www.wda.gov.tw/News_Content.aspx?n=30&s=16906">證實此為廠商維護個人電腦作業的過程中</a>，因人員作業疏失，造成部分電腦本機備份資料遭到刪除，隨後就對誤刪資料進行處置，這些電腦當天就陸續復原。</p> <p>他們強調這起事故並非駭客入侵，亦無資料外洩的情況，機關所有服務及系統皆正常運作，並未因此事而受到中斷。未來高屏澎東分署將強化資訊設備維護作業程序管控，重新檢視資安管理制度，要求廠商加強資安教育訓練。</p> <p>不過，這起事故發生的過程，上述的公告並未提出說明。</p> <p>詭異的是，當天稍早自由時報引述知情人士的說法當中曾提到，這起事故被定調為「1130822事件」，與近期的資安檢查有關，為了檢查，所有人員將電腦D槽檔案加密，這些包含了歷年檔案及正在進行中的專案資料，而且影響範圍不只分署科室，屏東、台東、澎湖等就業中心的外部網站硬碟資料，也無法倖免。</p> <p>然而，這篇報導提到的狀況，也有幾個令人無法理解的地方。</p> <p>第一，工程師輸錯代碼導致資料刪除的情況。究竟什麼「代碼」能導致這樣的錯誤？</p> <p>第二，為何單位資安檢查會需要刪除如此大量的電腦檔案？用加密方式保護檔案，與檔案刪除理論上是兩件事情，這中間的關係是什麼？</p> <p>第三，為何要復原被刪除的檔案是透過線上救援請微軟公司協助，而非資訊部門或委外廠商處理？</p> <p>第四，被刪除的檔案多為與公務無直接關聯的私人檔案，有復原的必要嗎？</p> <p>第五，復原作業的過程中透過微軟加密工具加密的檔案救不回來？</p> <p>除此之外，該單位竟然容許使用者會把私人檔案存放於公務電腦，而到資安檢查才把D槽檔案加密處理迴避，也讓人感到訝異。</p> <p>其中，關於誤刪大量檔案的狀況，網路社團流傳的一種說法，是這名工程師本來下達刪除D槽所有EXE執行檔<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">的指</span>令，但將指令中的*.exe誤鍵為* .exe（星號後面多一個空白），而變成刪除D槽所有檔案的情況。但是否真是如此，也不得而知。</p> </div></div></div>
2024/8/30 11:51作者周峻佑https://www.ithome.com.tw/news/164774
【資安日報】8月30日，殭屍網路病毒Mirai變種透過陞泰網路攝影機漏洞散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月初美國網路安全暨基礎設施安全局（CISA）針對臺廠陞泰科技（Avtech）旗下的視訊監控攝影機漏洞提出警告，並指出廠商尚未提供修補程式，但已有攻擊行動出現。究竟該漏洞如何被用於攻擊，通報此事的資安業者最近透露更多資訊。</p> <p>他們提及駭客用來植入殭屍網路病毒Corona Mirai的情況，而這是約自2020年出現的Mirai變種病毒。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164771"><strong style="font-size: 22px;">臺廠陞泰網路攝影機韌體漏洞被用於散布Mirai變種病毒</strong></a></p> <p>8月初美國網路安全暨基礎設施安全局（CISA）提出警告，臺灣視訊監控解決方案業者陞泰科技（Avtech）旗下的視訊監控攝影機存在命令注入漏洞CVE-2024-7029，已被用於攻擊行動但尚未修補，本週通報此事的資安業者Akamai公布相關細節。</p> <p>研究人員發現，攻擊者利用這項漏洞，從去年12月開始散布稱為Corona Mirai的Mirai變種。此殭屍網路病毒疑似2020年就開始活動，在這波攻擊中，這隻惡意程式以23、2323、37215埠，透過Telnet連線存取大量主機或受害裝置，還會在感染主機的控制臺列印出Corona字串。值得留意的是，此漏洞的概念性驗證程式碼（PoC），在5年前就被公開。</p> <p><a href="https://www.ithome.com.tw/news/164777"><strong style="font-size: 22px;">俄羅斯駭客APT29開始利用Intellexa與NSO Group所開發的攻擊程式</strong></a></p> <p>Google威脅分析小組（TAG）指出，他們在利用蒙古政府網站展開水坑攻擊的活動中，發現了俄羅斯駭客APT29所使用的攻擊工具，非常類似商業監控業者（Commercial Surveillance Vendors，CSV）Intellexa與NSO Group開發的攻擊程式，但究竟駭客如何取得，研究人員表示不清楚。</p> <p>研究人員指出，APT29所使用的攻擊程式都經過了微幅修改，但與Intellexa或NSO Group的攻擊程式最大的不同在於，最初這些攻擊程式都是利用零時差漏洞，而在APT29使用時，這些漏洞成為已公開的N日漏洞。</p> <p><a href="https://www.ithome.com.tw/news/164779"><strong style="font-size: 22px;">8月20日美國半導體製造商Microchip證實遭遇網路攻擊，部分工廠產能降低</strong></a></p> <p>SEMICON半導體展即將於下週登場，而半導體資安已是近年來的焦點，上週恰巧有半導體業者遭到網路攻擊，再度突顯這個領域的資安重要性。</p> <p>苦主是微控制器和類比元件製造商Microchip，他們前一陣子向美國證券交易委員會（SEC）呈報8-K表單，通報他們在8月17日偵測到資訊系統出現惡意行為，事隔2天，該公司確認這起事故為未經授權人士擾亂部分伺服器及業務的運作，立即採取相關措施因應，包括隔離、關閉受影響系統，並尋求外部資安顧問協助調查。</p> <p>而對於這起事故帶來的影響，Microchip坦承部分生產設施的營運狀況低於正常水準，將影響他們交付訂單的能力。</p> <p><a href="https://www.ithome.com.tw/news/164774"><strong style="font-size: 22px;">勞發署驚傳駐點工程師誤刪檔案，影響484臺電腦硬碟資料，勞發署表示已陸續恢復</strong></a></p> <p>根據自由時報8月28日的報導，勞動部勞動力發展署（勞發署）高屏澎東分署在22日委託廠商進行資安檢查，傳出駐點工程師輸錯代碼，導致高屏澎東分署各科室484臺電腦硬碟D槽檔案全數刪除的離譜情況，事發後勞發署資訊室尋求微軟協助，但最後只能救回部分資料，大部分透過微軟加密工具處理的檔案無法救回。</p> <p>對此，高屏澎東分署同日發布新聞稿做出說明，證實此為廠商維護個人電腦作業的過程中，因人員作業疏失，造成部分電腦本機備份資料遭到刪除，隨後就對誤刪資料進行處置，這些電腦當天就陸續復原。他們強調這起事故並非駭客入侵，亦無資料外洩的情況，機關所有服務及系統皆正常運作，並未因此事而受到中斷。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.trendmicro.com/en_us/research/24/h/threat-actors-target-middle-east-using-fake-tool.html"><strong style="font-size: 20px;">冒牌Palo Alto Networks的VPN工具鎖定企業而來</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/h/cve-2023-22527-cryptomining.html">Atlassian Confluence重大漏洞遭到利用，攻擊者意圖挾持伺服器挖礦</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.huntress.com/blog/advanced-persistent-threat-targeting-vietnamese-human-rights-defenders">越南人權組織成駭客組織APT32的攻擊目標</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164716"><strong style="font-size: 22px;">macOS版微軟M365應用程式存在共通漏洞，攻擊者有機會藉此繞過系統權限</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dylib_injection.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/dylib_injection.jpg" style="width: 300px; float: right;" /></a>思科旗下威脅情報團隊Talos在macOS版的Microsoft 365辦公室套裝軟體，最近找到8個漏洞，並指出攻擊者若是將惡意程式庫注入應用程式，就有機會觸發這些漏洞，從而取得使用者授予應用程式的權限，例如：存取麥克風、視訊鏡頭、資料夾、螢幕錄製、使用者輸入等資源，一旦攻擊者掌握這些權限，就有可能洩露敏感資訊，甚至提升權限。</p> <p>研究人員表示，攻擊者可利用這些漏洞得到應用程式已取得的權限，從而繞過作業系統的安全防護框架Transparency, Consent, and Control（TCC），過程中完全不需向使用者取得額外的驗證，只要成功利用漏洞，就能直接取得使用者已授予M365應用程式的所有權限。</p> <p>這些漏洞若遭到利用，可能產生那些後果？研究人員指出，攻擊者可在使用者不知情的情況下利用他們的電子郵件帳號寄信、錄製聲音和影片、拍照，過程中完全無須使用者互動。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://sec.cloudapps.cisco.com/security/center/viewErp.x?alertId=ERP-75417">思科發布NX-OS更新，修補DHCPv6高風險漏洞</a></strong></p> <p></p> <p>◆<a href="https://publisher.hitachienergy.com/preview?DocumentID=8DBD000160&LanguageCode=en&DocumentPartId=&Action=Launch"><strong style="font-size: 20px;">日立修補SCADA電力系統重大漏洞</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164763"><strong>【8月29日】破壞EDR系統運作，惡意驅動程式PoorTry出現新手法</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164736"><strong>【8月28日】Versa Director零時差漏洞成中國駭客用來入侵ISP的管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164717"><strong>【8月27日】WordPress網站加速外掛LiteSpeed Cache漏洞已遭利用</strong></a></p> </div></div></div>
2024/8/30 15:38作者周峻佑https://www.ithome.com.tw/news/164780
8月20日美國半導體製造商Microchip證實遭遇網路攻擊，部分工廠產能降低
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SEMICON半導體展即將於下週登場，而半導體資安已是近年來的焦點，上週恰巧有半導體業者遭到網路攻擊，再度突顯這個領域的資安重要性。</p> <p>苦主是微控制器和類比元件製造商Microchip，他們前一陣子向美國證券交易委員會（SEC）<a href="https://www.sec.gov/Archives/edgar/data/827054/000082705424000153/mchp-20240820.htm">呈報8-K表單</a>，通報他們在8月17日偵測到資訊系統出現惡意行為，事隔2天，該公司確認這起事故為未經授權人士擾亂部分伺服器及業務的運作，立即採取相關措施因應，包括隔離、關閉受影響系統，並尋求外部資安顧問協助調查。</p> <p>而對於這起事故帶來的影響，Microchip坦承部分生產設施的營運狀況低於正常水準，將影響他們交付訂單的能力。根據8K表單所示，Microchip提到這起事故仍在調查，對於其影響範圍、攻擊性質，他們還無法確定，關於是否對財務造成重大影響，還需要進一步評估。</p> </div></div></div>
2024/8/30 15:11作者周峻佑https://www.ithome.com.tw/news/164779
可自動化生成程式碼的Codeium完成1.5億美元的C輪增資，估值12.5億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供程式碼生成的AI公司Codeium周四（8/29）<a href="https://codeium.com/blog/series-c-annoucement" target="_blank">宣布</a>，已完成1.5億美元的C輪增資，估值12.5億美元。此次的增資是由現有投資者General Catalyst 領投，也是由現有投資者Kleiner Perkins及Greenoaks 參與。</p> <p>Varun Mohan與Douglas Chen在2021年創立了Exafunction，這是一家GPU虛擬化公司，但他們在A輪增資後意識到生成式AI的潛力，決定利用自己的基礎設施來建立一個全棧AI程式碼撰寫平臺Codeium，也在2022年直接更名為Codeium。</p> <p>Codeium定位為基於尖端AI技術的程式碼加速工具套件，目前主要提供兩項功能，一是自動建議並完成程式碼的輸入，二是利用自然語言搜尋儲存庫。它支援逾70種程式語言，表明並非要取代軟體工程師，認為開發人員依然主導及負責所生成的程式碼，強調任何人都不應完成依賴任何東西，即便是超能力。</p> <p>Codeium最受開發人員推崇的是它宣布「永遠」不向個人開發人員收費，而僅向企業<a href="https://codeium.com/pricing" target="_blank">收取</a>管理功能及GPT-4的訂閱費用。這讓成立不到兩年的Codeium已吸引超過70萬名的個人用戶，且企業產品的經常性年收入也已達到8位數（數千萬美元）。目前Codeium約有80名員工。</p> <p>根據<a href="https://techcrunch.com/2024/08/29/github-copilot-competitor-codeium-raises-150m-at-a-1-25b-valuation/" target="_blank">TechCrunch</a>的報導，Codeium甫於今年1月完成6,500萬美元的B輪增資，當時估值為5億美元，不到一年的時間身價即漲了1倍以上。此外，Mohan還向該報表示，迄今根本尚未用到今年1月所募集的資金。</p> </div></div></div>
2024/8/30 14:23作者陳曉莉https://www.ithome.com.tw/news/164778
Google發布三款Gemini 1.5實驗模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://twitter.com/OfficialLoganK/status/1828480081574142227" target="_blank">本周宣布</a>透過Google AI Studio測試數款Gemini模型實驗更新版，宣稱比前代更小、更好、更強大。</p> <p>Gemini 1.5 Flash是介於Pro和最新的Nano之間的輕量級LLM。本周發布的三款實驗模型中，Gemini 1.5 Flash與Gemini 1.5 Pro各有一個品質改進版。根據Google<a href="https://ai.google.dev/gemini-api/docs/models/experimental-models" target="_blank">描述</a>，Gemini 1.5 Pro（gemini-1.5-pro-exp-0827）強化了程式撰寫及對複雜提示的理解能力。而gemini-1.5-flash-exp-0827則是「大幅改善Gemini 1.5-Flash模型」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0830-google%20gemini%20api-model(1).png" style="width: 600px;" /></p> <p>第三個模型是Google為輕量級的Gemini 1.5 Flash推出新的小型參數版本Gemini 1.5 Flash-8B（gemini 1.5 Flash-8B-exp-0827），強調模型能力不輸於參數量較多的Gemini 1.5 Flash。</p> <p>三款模型已透過AI平臺<a href="https://ai.google.dev/" target="_blank">Google AI Studio</a>供開發人員試用。</p> <p>這次宣布前，Google也在8月初<a href="https://developers.googleblog.com/en/gemini-15-flash-updates-google-ai-studio-gemini-api/" target="_blank">宣布</a>Gemini 1.5 Flash大降價、開放微調等新措施。</p> <p>在價格方面，Gemini 1.5 Flash輸入價格為每百萬字詞（token）$0.0751美元，輸出費用為每百萬字詞$0.3美元，各比原先降價78%和71%。</p> <p>Google並宣布Gemini 1.5 Flash開放所有開發人員，透過Gemini API和Google AI Studio以文字微調。AI Studio存取也擴及所有Google Workspace用戶。其他宣布包括Gemini API新增100多種語言查詢支援，以及改版文件UI和API參照。</p> <p>本月Google又<a href="https://www.ithome.com.tw/news/164458" target="_blank">宣布</a>以1.5 Flash為基礎的Gemini Live，能和人流暢對談，挑戰OpenAI進階語音模式。</p> </div></div></div>
2024/8/30 13:30作者林妍溱https://www.ithome.com.tw/news/164776
俄羅斯駭客APT29開始利用Intellexa與NSO Group所開發的攻擊程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google威脅分析小組（Threat Analysis Group，TAG）近日<a href="https://blog.google/threat-analysis-group/state-backed-attackers-and-commercial-surveillance-vendors-repeatedly-use-the-same-exploits/" target="_blank">揭露</a>，他們在一個利用蒙古政府網站展開水坑攻擊的活動中，發現了俄羅斯駭客APT29所使用的攻擊工具非常類似商業監控業者（Commercial Surveillance Vendors，CSV）Intellexa與NSO Group所開發的攻擊程式，而且就算這些零日（Zero-Day）攻擊程式已變成N日（N-Day）攻擊程式，還是能有效攻擊那些尚未修補的受害者。</p> <p>TAG分別是在去年的11月、今年的2月，以及今年7月觀察到相關攻擊行動。駭客先是危害了蒙古國的官網及外交部網站，再於網站上植入了鎖定iPhone（CVE-2023-41993）及Android（CVE-2024-5274及CVE-2024-4671）漏洞的攻擊程式，藉由水坑攻擊以竊取受害者的憑證Cookie。</p> <p>由於此次的駭客與2021年利用CVE-2021-1879漏洞來攻擊西方政府官員的俄羅斯駭客APT29，都採用了同樣的Cookie竊取框架，使得TAG認為他們是同一批人。</p> <p>此外，TAG還發現駭客在去年11月及今年2月攻陷CVE-2023-41993漏洞的攻擊程式，與Intellexa所開發的攻擊程式非常相似，而在今年7月攻陷CVE-2024-5274的攻擊程式則與NSO Group所開發的很像，所打造的CVE-2024-4671攻擊程式也是從Intellexa的CVE-2021-37973攻擊程式而來。</p> <p>APT29所使用的攻擊程式都經過了微幅修改，但與Intellexa或NSO Group的攻擊程式最大的不同在於，最初這些攻擊程式都是利用零日漏洞，而在APT29使用時，這些漏洞都已被修補，已成為N日漏洞。</p> <p>TAG表示，他們並不確定APT29如何取得相關的攻擊程式，但企圖彰顯這些由商業監控業者所開發的攻擊程式終究會淪落到國家級駭客的手上，此外，水坑攻擊依然是利用N日漏洞的有效途徑，可大規模地針對那些可能沒有修補的使用者進行攻擊。</p> <p>NSO Group與Intellexa都專門開發商業間諜軟體，已分別在<a href="https://www.ithome.com.tw/news/147654" target="_blank">2021年</a>11月及<a href="https://www.state.gov/the-united-states-adds-foreign-companies-to-entity-list-for-malicious-cyber-activities-2/" target="_blank">去年</a>7月被列入美國《實體名單》（Entity List），美國政府認定它們參與惡意網路活動，禁止美國個人及業者與其交易。</p> </div></div></div>
2024/8/30 13:46作者陳曉莉https://www.ithome.com.tw/news/164777
【iThome 2024 CIO大調查系列6】2024年政府學校新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1196-zheng_fu_xue_xiao_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了強化數位韌性，數位轉型與資安轉型仍舊是政府學校CIO今年的重要目標，這兩類預算是八大投資中的最大宗，雲端投資的比重這兩年明顯提高，今年成長到2千多萬元。政府學校今年的新興技術採用態勢，也和去年有很大的不同，尤其是「智慧國家」成了政府機關新的政策方向下，不只積極要求公務人員人人開始學GAI，也讓各種資料與AI新興技術在今年的排名竄升，成了各產業中該類爆紅技術最多的產業。</p> <p>政府學校今年有多項資料與AI技術爆紅，包括了GAI技術、行動AI應用、AIoT、負責任AI，另外也有不少政府機關今年要建置，讓碳足跡儀表板的採用率排名大躍升。在基礎架構上，邊緣運算架構的採用率排名也爆增，成了政府機關IT基礎架構中的爆紅技術。</p> <p>ChatGPT類應用、非生成式AI/ML應用、RPA流程自動化和資料湖仍是政府學校載資料和AI類技術的主流，在AP架構與開發上，微服務架構、OpenAI架構、敏捷開發、DevOps和DevSecOps都是主流。而和其他產業一樣，多雲混合雲架構和K8s容器技術也都是在IT基礎架構的主流。</p> <p>不過，政府學校也有多項主流新興技術的採用率，今年開始下滑，有些則進入停滯狀態，值得留意，今年採用率下滑的主流技術包括了K8s容器技術與DevOps，而進入停滯的主流技術則包括了敏捷開發、Open API架構和非生成式AI/ML應用這三項主流應用。</p> <p>另外，5G專網、無伺服器技術、SBOM軟體物料清單和平臺工程的採用率今年都嚴重下跌超過5名，這幾項落入了退燒技術，其中5G專網不只排名大幅下滑，採用率今年也比去年更低。年下滑，今年也進入停滯。另外還有三項採用率歸零的新興技術，包括了原本政府學校就少見的混沌工程，以及MLOps和向量資料庫。</p> <p> </p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1196-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1-600-%E5%A4%A7%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1196-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1-(170)-600-%E5%B0%8F%E5%9C%96.png" style="width: 600px;" /></a></p> <p><strong style="white-space-collapse: preserve; color: rgb(128, 128, 128); font-family: Arial, sans-serif; font-size: 14.6667px; background-color: rgb(247, 247, 247);">技術雷達圖設計說明：</strong><span style="white-space-collapse: preserve; color: rgb(128, 128, 128); font-family: Arial, sans-serif; font-size: 14.6667px; background-color: rgb(247, 247, 247);">38項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「其它新興科技」，再按照2023與2024年的熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（去年到今年的排名上升5名者）、主流技術（今年預估採用率超過整體平均採用率13.7%）、崛起技術（今年預估採用率低於整體平均採用率 13.7%）和最外圈是退燒技術（今年比去年的排名下滑5名者）。同一圈中2024年預估採用率越高者，越靠近核心。紅色三角形代表企業採用率的增加幅度（增加超過5%者1個紅三角，超過10%者2個紅三角），綠色三角代表該項今年採用率減少者。兩年相比，採用率相同者，以黑色三角來帶代表。位於第四圈外者代表今年採用率降到0%。</span></p> <p><strong style="font-size: 16px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> <p><a href="https://www.ithome.com.tw/article/164659" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1196-feng_mian_-p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=Xk3ieTol" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/30 12:26作者王宏仁https://www.ithome.com.tw/article/164658
【iThome 2024 CIO大調查系列6】2024年高科技製造業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1196-gao_ke_ji_zhi_zao_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安、企業永續和AI是高科技製造業CIO今年並重的三大IT目標。ESG永續目標的優先順序還比去年提高了一名。2成高科技業已經開始採用生成式Ai應用，少數高科技業者甚至開始擴大採用規模，另有四成正在準備導入中。在高科技製造中，IT往往是內部先期採用GAI技術的單位，許多技術性工作開始採用GAI來輔助，3成企業的IT也懂得用GAI學習新技能。</p> <p>高科技製造業今年的技術採用態勢和去年有很大的不同，GAI技術、碳足跡儀表板、FIDO、DevSecOps和SBOM軟體物料清單和AIOps是採用率排名竄升的爆紅技術從爆紅技術項目，就可以看出高科技製造業今年三軸轉型並重策略下的技術布局調整。</p> <p>其中，又以GAI技術、碳足跡儀表板、DevSecOps和AIOps這四項技術，不只今年的排名暴增，採用率也大增，不論哪一項，都比去年多了15%的企業，今年要開始採用。K8s容器技術、多雲混合雲架構仍是IT基礎架構的主流，不過，多雲架構的採用率正在下滑，值得觀察後續發展。高科技製造業是相對積極開始衡量上雲成本的產業，FinOps採用趨勢開始在高科技業崛起。</p> <p>有幾項技術今年跌落到退燒技術的範疇，值得留意，尤其是IT基礎架構上，5G專網、SDDC軟體定義資料中心和SRE，另外，AIoT、區塊鏈技術和GitOps的技術也落入退燒區。這些技術的採用率不是下滑，就是停滯不動，被其他新興技術快速超越了。與數位雙生相關的AR/VR元宇宙應用，今年的採用率也有點下滑，快要跌出崛起技術的區域。</p> <p> </p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1196-%E9%AB%98%E7%A7%91%E6%8A%80%E8%A3%BD%E9%80%A0-600-%E5%A4%A7%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1196-%E9%AB%98%E7%A7%91%E6%8A%80%E8%A3%BD%E9%80%A0-600-%E5%B0%8F%E5%9C%96-PNG.png" style="width: 600px;" /></a></p> <p class="rtecenter"><strong style="color: rgb(128, 128, 128); font-family: Arial, sans-serif; font-size: 14.6667px; white-space-collapse: preserve;">技術雷達圖設計說明：</strong><span style="color: rgb(128, 128, 128); font-family: Arial, sans-serif; font-size: 14.6667px; white-space-collapse: preserve;">38項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「其它新興科技」，再按照2023與2024年的熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（去年到今年的排名上升5名者）、主流技術（今年預估採用率超過整體平均採用率13.7%）、崛起技術（今年預估採用率低於整體平均採用率 13.7%）和最外圈是退燒技術（今年比去年的排名下滑5名者）。同一圈中2024年預估採用率越高者，越靠近核心。紅色三角形代表企業採用率的增加幅度（增加超過5%者1個紅三角，超過10%者2個紅三角），綠色三角代表該項今年採用率減少者。兩年相比，採用率相同者，以黑色三角來帶代表。位於第四圈外者代表今年採用率降到0%。</span></p> <p><strong style="font-size: 16px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> </div></div></div>
2024/8/30 11:34作者王宏仁https://www.ithome.com.tw/article/164635
【iThome 2024 CIO大調查系列6】2024年一般製造業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1196-yi_ban_zhi_zao_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從疫情解除後，ESG浪潮和數位轉型的趨勢化，持續帶動一般製造業加碼IT投資，其中，IT現代化是一般製造今年的IT發展重點，也帶動了今年一般製造業在DevOps的投資，資安和ESG轉型則持續推動，這兩項都是一般製造業CIO今年相當重要的目標。</p> <p>多雲混合雲架構是一般製造業基礎架構的主流，人手不足情況下，免程式碼開發技術成了一般製造業的重要工具，是AP架構與開發類的主流。超過5成的一般製造業今年將優先完成碳盤查及碳足跡監測的系統化工作，碳足跡儀表板建置也是主流新興技術。</p> <p>雖然一般製造業今年大數據投資下滑，但是他們對於各項資料與AI技術的採用率，依舊非常積極。現成的ChatGPT類應用、RAP流程自動化、非生成式的AI/ML應用和AIoT都是一般製造業的主流資料與AI類技術。</p> <p>值得注意的是，非生成式的AI/ML應用雖然仍是主流，但是採用率今年沒有繼續增加，反倒是GAI技術開始急起直追，正逼近1成的採用率。</p> <p>平臺工程和FIDO網路身分識別，意外的成了一般製造業的兩項爆紅技術，不少一般製造業今年想要採用平臺工程，這也讓這項技術今年的排名突然竄升超過5名，成了一般製造業的爆紅技術。而智慧工廠、智慧物聯網的應用則帶動了FIDO網路身分識別的採用率，成了另一項排名爆紅的技術。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1196-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A0-600-%E5%A4%A7%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1196-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A0-600-PNG.png" style="width: 600px;" /></a></p> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:0pt;"><span style="color:#808080;"><span id="docs-internal-guid-88a09a9a-7fff-9de9-ef19-f3a4afda4dd0"><span style="font-size: 11pt; font-family: Arial, sans-serif; background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"><strong>技術雷達圖設計說明：</strong>38項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「其它新興科技」，再按照2023與2024年的熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（去年到今年的排名上升5名者）、主流技術（今年預估採用率超過整體平均採用率13.7%）、崛起技術（今年預估採用率低於整體平均採用率 13.7%）和最外圈是退燒技術（今年比去年的排名下滑5名者）。同一圈中2024年預估採用率越高者，越靠近核心。紅色三角形代表企業採用率的增加幅度（增加超過5%者1個紅三角，超過10%者2個紅三角），綠色三角代表該項今年採用率減少者。兩年相比，採用率相同者，以黑色三角來帶代表。位於第四圈外者代表今年採用率降到0%。</span></span></span></p> <div> </div> <p><strong style="font-size: 16px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> <p><a href="https://www.ithome.com.tw/article/164659" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1196-feng_mian_-p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=Xk3ieTol" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/30 11:35作者王宏仁https://www.ithome.com.tw/article/164634
【iThome 2024 CIO大調查系列6】2024年服務業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1196-fu_wu_ye_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>連續三年IT預算兩位數成長的服務業，特別積極擁抱GAI技術浪潮，數位轉型預算今年也達到兩位數的13.1%之高。服務業向來是最積極擁抱公雲的產業，過去幾年積極採用DevOps，今年進一步開始重視開發安全左移的DevSecOps。</p> <p>服務業今年有四大爆紅技術，包括了DevSecOps 、GAI技術、FIDO網路身分識別和5G專網。</p> <p>臺灣開放5G專網的申請在今年6月剛滿一年，根據數位產業署的統計，臺灣企業導入5G專網的應用類型，以智慧工廠類應用最大宗，約占3成，但是有2成3的5G專網應用是智慧展演，7.7%則用於智慧旅遊，這兩項應用成果，也帶動了5G專網技術突然成了服務業今年的爆紅技術。為了降低數位通路的摩擦力，服務業在FIDO網路身分識別的採用率今年也增加了不少，今年多了1成5的企業要開始導入FIDO。</p> <p>在IT基礎架構的主流是多雲混合雲架構和K8s容器技術，前者的採用率持續提高，蛋服務業的K8s容器技術採用率今年進入停滯的情況，值得觀察，企業開始減少自建K8s環境，開始採用更多現成的雲端服務，這也是受到ChatGPT類應用採用率大增的影響，為了更快擁抱GAI，今年多了一成多的服務業者，直接採用現成的ChatGPT服務，倒是SDDC軟體定義資料中心的採用率今年有些微提高。</p> <p>服務業在資料與AI技術的主流，除了ChatGPT類應用之外，也還持續加碼採用原本的非生成式AI/ML技術，RPA流程自動化、CDP顧客數據平臺、行動AI應用也都是主流，資料湖雖然名列主流技術之中，但是今年的採用率正在下滑，有些服務業開始考慮不要自己建置龐大的資料湖設施，而是改用雲端業者的服務。</p> <p>DevOps、敏捷開發、微服務架構、Open API、中臺架構和GitOps這幾項則是服務業AP架構和開發領域的主流，尤其服務業比其他產業更重視GitOps，採用的企業一年比一年更多。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1196-%E6%9C%8D%E5%8B%99%E6%A5%AD-600-%E5%A4%A7%E5%9C%96.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1196-%E6%9C%8D%E5%8B%99%E6%A5%AD-600-%E5%B0%8F%E5%9C%96.png" style="width: 600px;" /></a></p> <p><strong style="white-space-collapse: preserve; color: rgb(128, 128, 128); font-family: Arial, sans-serif; font-size: 14.6667px; background-color: rgb(247, 247, 247);">技術雷達圖設計說明：</strong><span style="white-space-collapse: preserve; color: rgb(128, 128, 128); font-family: Arial, sans-serif; font-size: 14.6667px; background-color: rgb(247, 247, 247);">38項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「其它新興科技」，再按照2023與2024年的熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（去年到今年的排名上升5名者）、主流技術（今年預估採用率超過整體平均採用率13.7%）、崛起技術（今年預估採用率低於整體平均採用率 13.7%）和最外圈是退燒技術（今年比去年的排名下滑5名者）。同一圈中2024年預估採用率越高者，越靠近核心。紅色三角形代表企業採用率的增加幅度（增加超過5%者1個紅三角，超過10%者2個紅三角），綠色三角代表該項今年採用率減少者。兩年相比，採用率相同者，以黑色三角來帶代表。位於第四圈外者代表今年採用率降到0%。</span></p> <p><strong style="font-size: 16px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> <p><a href="https://www.ithome.com.tw/article/164659" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1196-feng_mian_-p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=Xk3ieTol" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/30 11:58作者王宏仁https://www.ithome.com.tw/article/164636
ChatGPT用戶突破2億，不到一年翻倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI的ChatGPT每周經常用戶數，已經突破2億，距離1億用戶數的時間點不到一年。</p> <p><a href="https://www.axios.com/2024/08/29/openai-chatgpt-200-million-weekly-active-users" target="_blank">Axios</a>首先引用OpenAI說法報導此事。OpenAI執行長Sam Altman透過聲明稿指出，人們在每日生活中都使用該公司工具，在醫療或在教育等領域創造嶄新價值，像協助日常作業、解決困難問題，或釋放創造力。</p> <p>OpenAI也對<a href="https://www.theverge.com/2024/8/29/24231685/openai-chatgpt-200-million-weekly-users" target="_blank">The Verge</a>證實這項數據。OpenAI去年11月<a href="https://www.ithome.com.tw/news/159674" target="_blank">公布</a>ChatGPT每周經常用戶來到1億，意謂在10個月內，ChatGPT用戶就翻倍了。</p> <p>根據OpenAI的資料，財星五百大企業中有92%已經使用OpenAI產品，同時，在OpenAI推出更便宜、更聰明的模型GPT-4o mini後，ChatGPT API用量也成長了一倍。</p> <p>OpenAI於2022年11月上線公測ChatGPT後即已引發熱潮，並成為生成式AI的領導者，曾有投資銀行<a href="https://www.ithome.com.tw/news/155395" target="_blank">預測</a>去年初用戶數來到1億。儘管Google、微軟和Meta都推出了AI助理，但ChatGPT仍然是生成式AI的代表。</p> <p>而為鞏固ChatGPT的用戶基礎，OpenAI接續推出多種產品，包括多模態模型GPT-4o、GPT-4o mini、客製化AI助理服務GPTs等、以及發展企業版本與客製、顧問服務。OpenAI甚至透過和蘋果<a href="https://www.ithome.com.tw/news/163657" target="_blank">合作</a>，使ChatGPT得以進駐桌機市場。媒體<a href="https://www.ithome.com.tw/news/160633" target="_blank">報導</a>，OpenAI去年營收已達16億。</p> <p>雖然相較其支出，公司營收還相當小，但OpenAI似乎完全不需擔心資金來源。華爾街日報報導，已經獲得微軟上百億美元投資的OpenAI<a href="https://www.ithome.com.tw/news/164742" target="_blank">計畫</a>再募資數十億美元，使公司估值接近1,000億美元。彭博<a href="https://www.bloomberg.com/news/articles/2024-08-29/nvidia-has-held-discussions-about-joining-openai-s-funding-round" target="_blank">報導</a>，除了微軟，連蘋果、Nvidia可能也有意投資。</p> </div></div></div>
2024/8/30 17:00作者林妍溱https://www.ithome.com.tw/news/164773
國內網路攝影機存在5年的漏洞被駭遭植入Mirai變種
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員<a href="https://www.akamai.com/blog/security-research/2024-corona-mirai-botnet-infects-zero-day-sirt" target="_blank">發現</a>，臺灣監控攝影機業者陞泰科技（AVTECH）的閉路電視攝影機軟體漏洞遭到駭客濫用，以植入殭屍網路軟體Mirai變種。</p> <p>漏洞是由內容遞送網路（CDN）廠商Akamai的資安研究人員Aline Eliovich發現，位於陞泰科技閉路電視（CCTV）攝影機一款舊式產品的韌體中，編號CVE-2024-7029。漏洞是出於陞泰科技攝影機產品和亮度有關的功能參數，可導致遠端程式碼執行（remote code execution）及指令注入，CVSS風險評分達8.7分。</p> <p>本漏洞影響陞泰科技執行韌體版本FullImg-1023-1007-1011-1009的舊型產品AVM1203。<a href="https://www.avtech.com.tw/Search.aspx?Key=AVM1203" target="_blank">AVM1203</a>廣泛用於企業、金融機構、公、私立醫院及運輸業。</p> <p class="rtecenter"><a href="http://www.avtech.com.tw/Search.aspx?Key=AVM1203" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0830-AVM1203.png" style="width: 600px;" /></a></p> <p>雖然Akamai是在本周才公布這項漏洞研究發現，但已通報主管機關。美國網路安全暨基礎架構管理署（CISA）8月初已經<a href="https://www.ithome.com.tw/news/164310" target="_blank">發布</a>安全公告，本漏洞不但能為遠端濫用，且觸發漏洞的難度不高。</p> <p>研究人員發現，攻擊者已經利用這項漏洞散布稱為Corona Mirai的Mirai變種。Corona Mirai也是一種殭屍網路軟體，疑似2020年就開始活動。在最新的攻擊中，這隻惡意程式以port 23、2323與37215透過Telnet連結大量主機（或受害裝置），還會在感染主機的控制臺列印出Corona字串。</p> <p>值得一提的是，雖然研究人員是在今年3月18日觀察到攻擊，但分析顯示，該變種最早2023年12月就開始活動，CVE-2024-7029的概念驗證（PoC）則至少在2019年就已公開流傳，但直到今年8月才被賦予漏洞編號。</p> <p>CVE-2024-7029迄今尚未修補。研究人員建議，確保安全最好方法是不再使用有漏洞但沒有修補程式的設備。</p> <p>另外，Corona Mirai的攻擊並不只攻擊陞泰科技CVE-2024-7029，資安研究人員發現，該殭屍網路軟體已成功濫用其他漏洞，包括其他AVTECH漏洞、一項Hadoop YARN RCE<a href="https://www.trendmicro.com/en_us/research/21/g/threat-actors-exploit-misconfigured-apache-hadoop-yarn.html" target="_blank">漏洞</a>、CVE-2014-8361和CVE-2017-17215等。</p> </div></div></div>
2024/8/30 11:07作者林妍溱https://www.ithome.com.tw/news/164771
傳聞微軟、Nvidia與蘋果都將參與OpenAI新一輪募資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼日前<a href="https://www.ithome.com.tw/news/164742" target="_blank">報導</a>OpenAI正準備展開新一輪募資，且估值超過1,000憶美元之後，華爾街日報（WSJ）再度<a href="https://www.wsj.com/tech/ai/openai-apple-funding-chatgpt-50754cd6" target="_blank">指出</a>，除了Thrive Capital與微軟之外，Nvidia與蘋果都可能參與OpenAI此次的募資。彭博社（Bloomberg）亦有類似的<a href="https://www.bloomberg.com/news/articles/2024-08-29/nvidia-has-held-discussions-about-joining-openai-s-funding-round" target="_blank">報導</a>。</p> <p>微軟是最早挹注OpenAI的業者，據稱已投入130億美元，擁有OpenAI約49%的分潤權利，且微軟於旗下的眾多服務中都整合了OpenAI技術。而蘋果則是今年6月才<a href="https://www.ithome.com.tw/news/163387" target="_blank">宣布</a>與OpenAI合作，並<a href="https://www.ithome.com.tw/news/163890" target="_blank">差點成為</a>OpenAI董事會觀察員。</p> <p>至於身為全球最大AI晶片供應商的Nvidia，則一直是OpenAI的供應商與合作夥伴。</p> <p>據傳OpenAI此次打算募集數十億美元，當中Thrive Capital準備投入10億美元，彭博社引述消息來源表示，Nvidia已討論是否要出資1億美元。至於微軟與蘋果的投資金額則不明。</p> </div></div></div>
2024/8/30 11:19作者陳曉莉https://www.ithome.com.tw/news/164772
【靠數位轉型加速永續發展，靠智能化、自動化與數位化更快實現淨零】用IT超越自動化控管極限，日月光讓永續管理更智慧化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「要進步越來越難。」日月光高雄廠企業職安處副處長顏俊明坦言，隨著日月光永續發展到一定階段，達成永續目標的挑戰也越來越大。他說，這是日月光永續發展的困境，需要依賴數位科技來解決。</p> <p>日月光半導體製造股份有限公司（以下稱日月光）永續轉型之路，最早可追溯至2007年的減碳旅程，開始透過碳盤查、產品碳足跡建立，達到節省能耗與減少碳排放。</p> <p>早在2009年，日月光就提出10年10％減量計畫，目標在2017年將單位產品溫室氣體排放量比2007年減少一成，還成立永續發展委員會，由各BU副總擔任該委員會永續發展委員，負責規畫公司未來的永續發展策略與目標。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>永續從碳盤查及碳足跡建立做起，逐年減少碳排放與能耗</strong></span></span></p> <p>為了達成十年減量目標，日月光在這段期間一方面全面展開碳盤查和產品碳足跡，來蒐集和盤點範疇一到範疇二溫室氣體排放情況；另一方面，採取節能和節水措施，提升廠內空壓、空調、水資源系統的運作效率與能源回收，逐步減少碳排放和降低環境的衝擊。此外，還將永續開始落實到新建廠及既有建物的設計，導入綠建築，提升節能和水回收率，也減少二氧化碳排放量。</p> <p>2012年，日月光開始在廠房導入能源管理系統，強化能源數據分析和即時監控，進一步提升能源使用效率。這讓日月光的能源管理進展到數位化的管理模式。</p> <p>除了減碳行動擴大到上下游供應鏈廠商，日月光對內則積極推動工廠用水減量、廢水回收再利用，以減少對環境的影響。</p> <p>日月光在2015年更啟用了全集團的第一座大型中水回收廠，初期每日可處理2萬噸廢水，回收1萬噸潔淨水。滿載運轉時，每年可減少超過360萬噸廢水，相當於1,440座奧林匹克游泳池的水量。該回收廠替日月光因此減少用水量並提升回水再利用效率。</p> <p>2016年左右，日月光提出永續發展長期策略，以低碳使命、循環再生、社會共融與價值共創4大主軸，展開全面且長期的永續行動。隔年，日月光訂定集團碳管理策略，以「節能」、「綠能」、「儲能」三大方針邁向低碳發展。</p> <p>日月光10多年前就開始發展永續，隨著進展達到一個階段，想要進步變得越來越困難。顏俊明就指出，節能和節水雖然可以通過硬體設備效率改善實現一定效果，但這些手段難以應對生產過程中的瞬間變化，也無法實現即時需量反應。當人力控制達到極限時，必須開始尋求新的改進途徑。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>2018年是轉型的關鍵年，靠IT驅動永續轉型再升級</strong></span></span></p> <p>2018年是日月光永續轉型的關鍵年，他們決定將數位科技融入永續轉型中，使節能減碳、節水手段更精進、更智慧化，加速其達成永續目標。</p> <p>顏俊明指出，自2018年開始，日月光大規模引入智慧工廠理念，並將其應用於永續推動中。這樣的運作使得節能、節水和智慧監控變得更加精準、更到位，甚至可以完全由智慧系統自動調節，而無需依賴人工控制，達到更高效的管理。</p> <p>像是在節能減碳上，日月光也在2018年高雄廠CSR報告中，揭露了這一套碳管理資訊平臺的架構，涵蓋了碳排放資料庫、溫室氣體管理、低碳產品應用以及低碳建築管理共4大模組功能。</p> <p>這套系統在2019年上線，推出溫室氣體管理功能，一年後，碳管理範圍更擴大至範疇三，涵蓋供應鏈上下游的碳排放量。日月光後來建立原物料碳排放資料庫，可於系統中顯示物料碳排資訊，便於優先選用低碳材料，進一步推動產品碳足跡的減量。</p> <p>導入碳管理資訊平臺，使日月光可以用系統化方式來管理和追蹤各廠區的碳排放量與強度，作為日後擬定減量方案參考依據。同時，日月光也開始推動內部碳定價機制，將碳費與財務資訊結合，以便將碳排放成本反映於營運中有效追蹤和評估碳成本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1197%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87600-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="font-size:16px;"><strong><span style="color: rgb(105, 105, 105);">2023年，日月光成立淨零辦公室，由該辦公室負責擬定三大階段淨零排放途徑，還規畫2050淨零行動地圖，作為未來30年淨零行動方針，提出了供應鏈、能源、碳平臺與綠色工廠四大管理基礎，與製造轉型、能源轉換、資源循環與數位轉型四大關鍵策略，落實永續中長期目標。從這份淨零行動地圖中，列出日月光未來各階段的發展重點。例如2025年起，擴大投資再生能源，並強化供應鏈碳足跡的減量；到2030年，則計畫納入零碳製程氣體及碳權／負碳技術的評估。</span></strong></span><span style="color: rgb(105, 105, 105);">圖片來源／日月光高雄廠2023年永續報告</span></span></p> <p>在水資源永續發展方面，不僅僅透過減量、再利用與回收措施，日月光自2018年起，開始用數位科技強化水資源管理。例如建立水資源管理e化平臺，搭配用水／回收水資料庫、各廠區水平衡圖等資料，掌握每日水情資訊，可作為檢視各製造廠區水資源的重要指標。</p> <p>到了2023年，日月光進一步導入水情智慧管理，結合水情燈號預警，提升水資源風險的預警及應變能力，同時強化各製造廠間的水網支援。此外，還推出行動化應用，可即時推送停水和水情資訊給相關人員，以便第一時間就能進行調度與配水，確保工廠穩定運作。</p> <p>顏俊明表示，將永續推動結合IT技術最大影響，在於平臺化、資訊數位化的建立，使永續單位能夠透過數位工具與推播，讓各單位主管掌握最新、即時的現場狀況。</p> <p>2018年，日月光為了推動智慧製造導入大數據分析、AI技術，後來也將這些技術應用於節能減碳、節水等環境永續發展中，也帶動日月光永續轉型進一步升級。</p> <p>例如，在能源管理方面，不光是採取管理優化、減量管制、效能提升、自動監控等措施，日月光還透過大數據掌握用電數據變化，並利用AI進行更精確控制，大幅提升能源管理效率。</p> <p>又以冰水主機系統為例，過去這類系統通常依賴傳統PLC進行控制，日月光後來也用AI優化達到最佳化控制。透過AI即時運算和節能模組能預測未來12小時的空調需求，自動調整冰水主機與無塵室風機運轉，進而強化即時管理與提升節能效率。日月光評估採用這種的方式每年可減少排放433噸二氧化碳當量，創造年約250萬元的經濟效益。此外。日月光也將AI運用在廠區工程監管、自動化設備維修、現場巡檢等提高環境及作業安全。</p> <p>在工廠生產流程中，日月光也用AI改善製程碳排。例如，過去，電鍍植球製程中必須使用含氟氣體進行化學性蝕刻，但在製程過程得排放大量含氟氣體。因此，日月光開始嘗試透過AI模擬，評估使用氬氣與氧氣替代含氟氣體進行物理性蝕刻，預期可大幅降低溫室氣體的排放。</p> <p>在廢水處理方面，日月光開發了AI智能加藥控制模組，不僅可監控廢水廠水質狀況，避免因過度加藥造成過多污泥，導致排放水質未達標。此外，還提供了預測水質異常的功能，提前發出預警，幫助相關人員更早進行應對處置。</p> <p>2021年，日月光更揭示2050年淨零排放目標，以科學化的減碳目標為基礎，承諾2030年達「辦公室據點」100%淨零排放，2050年達成「辦公室據點」及「生產據點」100%淨零排放的目標。</p> <p>從這一年開始，日月光在新建廠房中導入智慧建築設計指標，打造節能永續的智慧化綠色工廠，並透過資通訊、感知監測及系統整合等管理技術的應用，達到節約能源及人力。</p> <p>借重IT改革管理幾年來，導入大數據、AI後，日月光已經整合了智慧化能源管理、用電即時平臺管理作為節能推行主軸。日月光的節能策略，也從「自動化」進階到「智慧化」模式，開始實現工廠大型設備預測保養維護、高能耗設備能源效率提升。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>組建跨部門永續團隊，更導入現代化IT敏捷開發加速應用上線</strong></span></span></p> <p>為了將數位科技融入到永續轉型中，日月光永續部門逐步深化與IT部門的合作。2018年，日月光完成首座智慧工廠後，兩部門的協作越來越緊密，共同推動永續專案執行。</p> <p>截至目前，日月光高雄廠的跨部門永續團隊規模超過千人，設立不同團隊負責執行各類專案，例如節電大聯盟就是一個跨多部門組成的大型永續團隊，專注於節能專案推動和能源管理優化。</p> <p>由於日月光每年超過上百件永續專案，為了加快應用開發與上線，日月光在2020年開始採用了IT現代化的開發做法，組建了混合的敏捷團隊，透過小步快跑、快速迭代的方式推動各項永續專案，以便縮短永續應用的開發，讓這些應用能很快推上線。顏俊明表示，這個敏捷團隊到現在已經有六年的實踐經驗。</p> <p>不只是科技人才的培育，永續人才也是擴大永續轉型成果的戰力。日月光在2023年大舉展開內部永續人才的培育，除了派出廠內人才參與外部培訓，也找來外部分享溫室氣體盤查的知識，提高員工對於永續發展、碳盤查的基礎認知，更為因應減碳設立新職位。日月光在2023年高雄廠CSR報告中，就揭露了該公司從這一年開始設立溫室氣體管理官，由各主要製造廠區及行政單位的廠處長擔任，負責碳排熱點掌控、減碳成效審視與進度追蹤。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>公布2050淨零行動地圖，並提出四大永續管理基礎及四大關鍵策略</strong></span></span></p> <p>在2022年，日月光更制定了到2050年的淨零行動藍圖，並設立短、中、長期執行項目，逐步推進淨零目標。</p> <p>2023年是邁向數位與永續雙軸轉型的重要一年。日月光雙軸轉型的策略，不僅透過智慧技術賦能，將企業營運與永續績效相連結，還要在製程中應用AI技術提升工廠生產效率及市場影響力，更要延伸數位轉型的智慧製造對永續發展創造效益，進一步邁向智能化、自動化、數位化管理模式。</p> <p>日月光高雄廠總經理羅瑞榮在2023年高雄廠CSR報告中強調，將數位轉型的成果延伸至永續發展，實現智能化、自動化、數位化的永續管理，進一步實現智慧製造與永續發展的雙軸轉型。這是日月光未來能夠落實永續願景，實現2050淨零的一大關鍵。</p> <p>到2023年，日月光成立淨零辦公室，由該辦公室負責擬定三大階段淨零排放途徑，還規畫2050淨零行動地圖，作為未來30年淨零行動方針，提出了供應鏈、能源、碳平臺與綠色工廠四大管理基礎，與製造轉型、能源轉換、資源循環與數位轉型四大關鍵策略，落實永續中長期目標。</p> <p>從這份淨零行動地圖中，詳細列出日月光未來各階段的發展重點。例如，2024年將建立供應鏈管理平臺，推動供應鏈減碳；2025年起，擴大投資再生能源，並強化供應鏈碳足跡的減量；到2030年，則計畫納入零碳製程氣體及碳權／負碳技術的評估。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1197%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87600-1.png" style="width: 600px;" /></p> <p><span style="font-size:16px;"><span style="color: rgb(105, 105, 105);"><strong>在節能減碳上，日月光在2018年高雄廠CSR報告中揭露了一套碳管理資訊平臺的架構，涵蓋了碳排放資料庫、溫室氣體管理、低碳產品應用以及低碳建築管理共4大模組功能。這套系統在2019年上線，推出溫室氣體管理功能，一年後，碳管理範圍更擴大至範疇三，供應鏈上下游的碳排放量。日月光後來建立原物料碳排放資料庫，便於優先選用低碳材料，進一步推動產品碳足跡的減量。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／日月光高雄廠2023年永續報告</span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>日月光2023年永續轉型成果</strong></span></span></p> <p>近幾年，日月光積極擴大對環境永續投資，持續引進數位科技工具，加速推動永續目標達成，也讓日月光在節能減碳、水資源等永續推動取得不少成果。</p> <p>日月光在能源管理系統中導入智慧化管理後，大幅提升工廠能源管理效率，使去年節能改善幅度達5.2%，且用電密集度較2015年降低了16.7%。此外，導入碳管理平臺以來，統計2017~2020年底，日月光已累積減碳量達51,227噸二氧化碳當量，相當於132座大安森林公園的年吸碳量。</p> <p>這幾年，靠著IT助力，日月光在水資源管理效率也有顯著提升，從2018年每滴水只能重複使用2.59次，到了2023年增加至4.18次，等於是每滴水可以多用1.59次，這個數字顯示出日月光在水資源運用高效率。</p> <p>日月光中水回收廠也導入數位科技，提升製程廢水再利用效率。光是在2023年，這座中水回收廠一年就提供了日月光高雄廠，約561萬噸的回收水，回收率達75%。等於廠區每送出1,000噸製程廢水，經日月光中水回收廠處理後平均可釋出750噸中水再運用。</p> <p>日月光在綠色工廠導入資訊化、數位化科技來加強推動永續發展，幫助這些綠色廠房在2020~2023年間一共減碳43.3萬噸，節水3,037萬噸，節能95.1萬兆瓦時，以及減廢2.6萬噸。其中，K24廠在2019年還進一步取得低碳建築最高等級「鑽石級」認證，其碳排放量較一般廠房減少26.83%，約減少595,403噸二氧化碳排放量。</p> <p>日月光高雄廠副總經理李政傑在2024年3月一場數位永續雙軸轉型論壇上，提出了未來淨零行動執行策略，包括溫室氣體管理、減碳與抵換、循環經濟、供應鏈管理，並將以數位轉型加速布建綠色製程，提升能資源使用效率、源頭管理與循環再利用，以及強化低碳韌性，實踐淨零承諾。</p> <p>自2018年以來，日月光利用IT驅動加速永續轉型再進化，不僅僅是用來提升能源管理效率、減少碳排和提高水資源再利用率而已，也為日月光往後數位永續雙軸轉型，實現2050淨零目標奠定重要基礎。</p> <p>「IT技術能加速永續目標的達成，提升管理效率。」副處長顏俊明的一句話，點出了IT在日月光永續轉型中的關鍵作用。</p> <p><a href="https://www.ithome.com.tw/article/164769" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1197-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=jLCvRZNn" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/30 09:20作者余至浩https://www.ithome.com.tw/news/164765
日月光永續轉型發展史
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <blockquote><p><span style="font-size:20px;"><span style="color:#696969;"><strong>日月光半導體製造股份有限公司（以下稱日月光）永續轉型之路，最早可追溯至2007年的減碳旅程，開始透過碳盤查、產品碳足跡建立，達到節省能耗與減少碳排放。</strong></span></span></p> <p><strong><span style="font-size:20px;"><span style="color:#696969;">2018年是日月光永續轉型的關鍵年，他們決定將數位科技融入永續轉型中，使節能減碳、節水手段更精進、更智慧化，加速其達成永續目標。</span></span></strong></p> </blockquote> <p><strong style="font-size: 28px; color: rgb(255, 255, 255);"><span style="background-color:#ff3300;"> 永續發展時期 </span></strong></p> <p><span style="font-size:20px;"><strong>開始透過碳盤查、產品碳足跡建立，節省能源耗用</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2007年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●啟動內部碳盤查</span>。完成並通過ISO 14064-1溫室氣體盤查與查證。</strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●全面推動內部溫室氣體自願減量改善</span>，優先提升廠內空壓、空調、水資源系統效率與能源回收。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2008年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●參與國際CDP（碳揭露專案）碳揭露</span>。每年揭露氣候變遷及溫室氣體排放量的相關訊息。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2009年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●提出10年10％減量計畫</span>。目標在2017年將單位產品溫室氣體排放量比2007年減少10%。</strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●永續資訊揭露</span>。首次發行集團永續報告書，揭露公司碳排在內等溫室氣體排放資訊。</strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●永續發展委員會成立</span>。由各BU副總經理擔任該委員永續發展委員，負責規劃公司未來的永續發展策略與目標。</strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●開始推動碳足跡和產品環境宣告</span>。與台積公司制定首份積體電路的產品類別規則（IC PCR），涵蓋能源使用、水資源使用與污染物、廢棄物及空氣污染物產生量以及碳足跡，可作為半導體產業進行環保產品宣告的依據。</strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●高雄K12新廠導入綠建築</span>，節能20%、水回收率超85%，每年減少11,000噸二氧化碳，相當於30座大安森林公園的年吸碳量。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2010~2014年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●新建廠及既有建物導入綠建築</span>。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2010年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●產品碳足跡資訊揭露</span>。優先推動L/F、BGA、CSP、Flip Chip等主要封裝產品的碳足跡盤查，並完成碳足跡驗證。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2011~2016年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●推動全面產品碳足跡</span>。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2012年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●開始產品水足跡盤查</span>。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2012～2014年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●產品導入生態化設計</span>。從產品設計和技術導入開始，納入低污染、低耗能、節水等環保與安全考量，降低環境衝擊。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2012年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●用系統化管理掌握能耗</span>。導入ISO 50001能源管理系統，強化能源數據分析與即時監控，提升能源使用效率。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2014年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●推動綠色電力並認購綠電</span>。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2015~2018年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●推動供應鏈溫室氣體盤查、用水減量</span>。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2015年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●首座半導體中水回收廠啟用，</span><span style="color:#000000;">每日處理2萬噸廢水，回收1萬噸潔淨水</span>。滿載運轉時，年減少廢水超過360萬噸，相當於1,440座奧林匹克游泳池的水量。</strong></span></p> <p><span style="font-size:20px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2015%E5%B9%B4%EF%BC%9A%E3%80%88%E5%9C%961%E3%80%89.jpg" style="width: 600px;" /></strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2016年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●推動供應鏈減碳</span>。開始進行範疇三排放盤點與鑑別，將減碳作為擴展至上下游供應鏈廠商。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2017年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●訂定集團碳管理策略</span>，以「節能」、「綠能」、「儲能」三大方針，推動日月光低碳發展。</strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●</span><span style="color:#000000;">推動再生能源憑證作為碳管理工具。</span></strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●</span><span style="color:#000000;">成立氣候變遷管理小組。</span></strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#ff3300;"> 永續轉型時期 </span></strong></span></span></p> <p><strong><span style="font-size:20px;">開始結合數位科技，強化內部低碳管理與溫室氣體減量、水資源管理</span></strong></p> <p><strong><span style="font-size:20px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/2018%E5%B9%B4%EF%BC%9A%E3%80%88%E5%9C%962%E3%80%89.png" style="width: 600px;" /></span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2018年：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●轉型推動關鍵的一年</span>，開始利用資訊化與數位科技加速達成永續目標。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●擬定能源節能策略</span>，涵蓋管理優化、減量管制、效能提升以及自動監控，持續精進各廠區能源管理</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●導入氣候變遷相關財務揭露(TCFD)框架</span>。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●導入碳管理資訊平臺</span>，強化內部低碳管理與溫室氣體減量。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●建置水資源管理e化平臺</span>，有效掌握每日水情資訊，提升水資源管理效能。</span></strong></p> <p><strong><span style="font-size:20px;">●推動供應鏈「溫室氣體減量」與「水資源回收再利用」並制定減量目標。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2019～2020年：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●推動溫室氣體範疇三全面盤查</span>（參考2019年CSR p21）</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2019年：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●全面導入循環經濟</span>。高雄廠全面將循環經濟思維融入到「清潔生產」的流程管理中，降低對環境的衝擊。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●導入大數據分析與人工智慧</span>，使用AI對用電數據進行分析和控制，達到能源管理及優化。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●K24新廠取得低碳建築標章最高等級「鑽石級」認證</span> ，碳排放量較一般廠房減少26.83%，約減少595,403噸二氧化碳排放量。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●</span>高雄廠改以ISO 14064-1:2018新版溫室氣體排放標準完成盤查作業。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2020年：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●高雄廠完成供應鏈範疇三排放全面盤查</span>，並開始規畫範疇三溫室氣體減量措施。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●高雄廠節電大聯盟成立</span>。透過各廠交流、專家讀書會和節能競賽等活動，推動節能精進，並擴展至所有製造廠，優化能源管理。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●建立原物料碳排放資料庫</span>，可於系統中顯示物料碳排資訊，以優先選用低碳材料，推動產品碳足跡減量。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●推動內部碳定價機制</span>。規畫廠內節能方案、循環經濟及新購設備的效益評估，未來將導入碳費模式，結合碳費用與財務資訊，將碳排放成本反映於營運。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2020年底成果：</span></span></strong></span></p> <p><strong><span style="font-size:20px;">●高雄廠每單位營收的溫室氣體排放量較2015年降低6.45%，製程水回收率達80.8%，平均每滴水可反覆使用3.11次。廢棄物回收率達86.3%。推動91項循環經濟專案，創造1.5億元經濟效益，減少4,088噸二氧化碳排放。</span></strong></p> <p><strong><span style="font-size:20px;">節能減碳專案3年成果：</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●</span>累積減碳額度達51,227噸二氧化碳當量，2020年減碳量為11,315噸二氧化碳當量。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2021年：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●宣示2050年淨零排放目標</span>。承諾2030年達「辦公室據點」100%淨零排放，2050 年達成「辦公室據點」及「生產據點」100%淨零排放的目標。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●設定科學化的減碳目標</span>。採用SBTi科學基礎減量目標指引，設定範疇一與二以2016年為基礎至2030年減量35%及範疇三以2020年為基礎至2030年減量15%。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2021年底成果：</span></span></strong></span></p> <p><strong><span style="font-size:20px;">高雄廠每單位營收的溫室氣體排放量較2015年降低25.94%。水資源管理上，每滴水可以重覆使用3.27次。更推動了232件循環經濟專案，創造6.03億元的經濟效益，減少23,497噸二氧化碳當量，廢棄物回收率達87%。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2022年：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●制定高雄廠淨零規劃行動藍圖</span>，規劃至2050年前各階段的執行項目，以實現淨零目標。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●訂定碳管理主要行動策略與四大執行項目</span>。行動策略中包含範疇一二三的溫室氣體減量措施。四大執行策略則包括溫室氣體管理、減碳與抵換、循環經濟、供應鏈管理。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●高雄廠率先導入碳定價</span>，規劃2025年透過技術roll out讓80%以上廠區實施內部碳定價。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●導入廠務設備智慧化管理</span>。導入AI於冰水機負載管理系統，通過分析運作歷史數據，搭配演算法與學習模式，實現效益最佳化。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2022年底成果：</span></span></strong></span></p> <p><strong><span style="font-size:20px;">●完成逾百件節能專案，年節電量39,676兆瓦時（MWh），節電率2.92%，用電密集度較2015年減少近30%。再生能源使用6,213兆瓦時。水資源管理方面，每滴水可重複使用3.71次。成立塑膠循環中心，將廢塑膠回收再製垃圾袋。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2023年：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●成立淨零辦公室</span>，負責擬定三大階段淨零排放途徑，並規劃高雄廠2050淨零行動地圖與中長期目標。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●設立溫室氣體管理官</span>，由各製造廠區及行政單位廠處長擔任，負責碳排熱點掌控、減碳成效審視與進度追蹤。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●用AI協助改善製程排放減量</span>。透過AI模擬氬氣和氧氣進行物理蝕刻，以評估新氣體取代含氟氣體對生產效率的影響，作為電鍍植球製程的低碳排放替代方案。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2023年底成果：</span></span></strong></span></p> <p><strong><span style="font-size:20px;">●年節電量為68,018兆瓦時，節電率達5.2％，用電密集度較2015年降低16.7%。製程水回收率達85%。每滴水可反覆使用達4.18次。再生能源使用13,570兆瓦時。推動循環經濟效益達15.4億元，環境效益達63,330噸二氧化碳當量。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2024年３月：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●在高雄智慧城市展上展示智慧水務新應用</span>，利用AI預測水質變化，選擇最佳加藥時機，達成加藥減量30%及污泥減量35%的目標。在節電上，也將AI應用於無塵室空調系統，每年可減少23%的空調用電量，相當7,434戶家庭用電，約占高雄市楠梓區10%家庭年用電量。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2024年中：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●首座AI節能機房年底啟用（PUE低於1.2）</span>。</span></strong></p> <p><strong><span style="font-size:20px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024%E5%B9%B4%E4%B8%AD%EF%BC%9A%E3%80%88%E5%9C%963%E3%80%89%E6%94%9D%E5%BD%B1%E4%BD%99%E8%87%B3%E6%B5%A9.jpg" style="width: 600px;" /></span></strong></p> <p><strong><span style="color:#696969;">圖片來源／日月光、攝影／余至浩<br /> 資料來源：日月光CSR報告，iThome整理，2024年8月</span></strong></p> <p><a href="https://www.ithome.com.tw/article/164769" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1197-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=jLCvRZNn" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/30 09:21作者余至浩https://www.ithome.com.tw/news/164764
日月光不只打造智慧工廠，更用GenAI優化製程也要發展多元AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1197%E5%B0%81%E9%9D%A2-%E6%99%BA%E6%85%A7%E5%B7%A5%E5%BB%A0%E7%99%BC%E5%B1%95%E5%8F%B2-%E5%A4%A7%E5%9C%96(1).png" style="text-align: center;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1197%E5%B0%81%E9%9D%A2-%E6%99%BA%E6%85%A7%E5%B7%A5%E5%BB%A0%E7%99%BC%E5%B1%95%E5%8F%B2-%E5%A4%A7%E5%9C%96.png" style="width: 600px;" /></a></p> <p>日月光在永續發展方面雖然起步較早，但推動永續轉型升級的關鍵，則仰賴日月光多年來數位轉型的智慧製造推動成果，將這些成熟的數位科技、AI技術帶進永續轉型中，使得節能減碳、節水手段更精進、更智慧化，加速達成永續目標。</p> <p>日月光很早展開了數位轉型，朝向智慧工廠轉型。日月光希望透過智慧製造帶動生產的升級，將工業化基礎提升至更高水平，實現更高效的智慧控制生產模式，不只要提升生產效率和產品品質，更要提高產業競爭力。</p> <p>2011年，日月光成立自動化委員會，由各製造廠的自動化團隊以及資訊管理中心組成，共同推動生產流程自動化，不光是提高生產效率，更為往後發展智慧製造奠定重要基礎。</p> <p>到了2015年，日月光進一步啟動自動化關燈工廠建置計畫，以「自動化」、「高異質性機器設備整合」與「高異質性微系統封裝整合」三大主軸推動工廠智慧化的數位轉型。</p> <p>2018年是日月光AI技術發展的關鍵一年。這一年日月光開始將AI應用於智慧製造中，持續提升工廠生產良率與效能。同年，日月光啟用第一座關燈智慧工廠。</p> <p>往後幾年，日月光更持續擴大智慧工廠的部署，截至目前已累計有46座關燈工廠。也因為這些智慧製造成果，使日月光智慧工廠在2022年獲得世界經濟論壇認證，成為全球燈塔工廠之一。</p> <p>隨著AI應用日益成熟，日月光在2021年建構IAI（Industry AI）平臺，大力推動AI全民化應用，進一步將AI應用從內場域製造推向組織內部，從智慧資安、品質檢驗、智慧診斷，到智慧設計、參數最佳化以及智慧營運等領域。</p> <p>在2021年高雄廠CSR報告中，揭露了更多日月光AI落地的成果。在這一年，日月光在工廠一共部署了36支影像AI模型，用於檢驗圖像資料品質、偵測未知瑕疵、分析圖像特徵及小樣本訓練。還開發出有多達90支AI模型，用於異常偵測分析、趨勢預測及時序分析與預測等。</p> <p>不光是工廠生產採用，日月光也用AI優化產品設計，例如用AI模擬產品3D弧線圖和3D循環預測，藉此降低新產品導入的不良品的風險。導入這項AI應用後，日月光2021年一共解析13,598張BD圖資、59,621條3D弧線預測，以及完成2,351自動短路檢查。</p> <p>日月光不只將AI應用在製造端，結合深度學習和大數據，搭配自動化機器人技術，提升生產效能。隨著AI展現智慧製造成果後，日月光後來也將AI應用於廠務節能減碳等環保永續項目。</p> <p>不只打造智慧工廠，日月光去年開始採用生成式AI技術，來優化製程也要發展多元AI應用。日月光還將在今年底啟用首座AI節能機房，以滿足未來更多AI應用發展所需。</p> <p>這些數位轉型的成果，未來也將成為加速日月光永續轉型升級再進化的關鍵。</p> <p><a href="https://www.ithome.com.tw/article/164769" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1197-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=jLCvRZNn" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/30 09:23作者余至浩https://www.ithome.com.tw/news/164766
【日月光智慧水務應用實例】一滴水重複用4.18次！日月光如何靠IT實現超高回收水再利用率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「一滴水可用4.18次。」這是日月光水資源管理去年的新進展。</p> <p>日月光的一滴水旅程，從自來水進廠區開始，經過製程使用，再經中水回收廠回收後再運用，整個過程每滴水可重覆循環使用4.18次後才放流，離開工廠。這個數字顯示出日月光在水資源運用高效率，背後的關鍵是IT的運用。</p> <p>水在半導體製程中非常重要，不論是在切割和研磨製程中，都需要大量的純水，進行清洗和冷卻，日月光工廠每天所需的水量非常龐大，因此，如何節水和改善水質，來減少廢水排放、降低環境衝擊，是日月光在水資源永續發展中的重要目標。</p> <p>自2018年起，日月光將數位科技融入永續轉型，也應用於水資源管理，透過這些措施提升用水效率，降低水資源的耗用，達到更高效的水資源管理。</p> <p>在廢水回收再利用方面，除了各廠自行循環用水之外，日月光還透過一座大型中水回收廠，將製程廢水進一步淨化過濾，再回送產線使用。這座廢水回收廠中結合了許多數位科技、AI技術，持續提升其回水再利用效率。從這座中水廠能一窺日月光運用IT提高中水回收效率的做法。</p> <p>半導體製成所用的純水，水質純淨度得達到4個9，才能避免雜質影響到製程。所以，水廠中的每一滴水，皆需經過多道過濾機制，包括多層過濾系統（MMF），超濾膜系統（UF），以及逆滲透系統(RO)等，才能將淨化後的回收水再利用於製程中。</p> <p>流程上，當製程廢水進入回收廠後，首先經過底層的生物池降解，再進到上一層的MMF，去除水中的顆粒物質，接著經由UF進一步濾除細小顆粒及膠態物質，最後進到RO除去剩餘顆粒雜質。經過層層過濾處理後，水質才可達到幾乎99.99%的純淨度，最後再回送至產線製程使用。這些關鍵設施的處理效率，都會直接影響最後計算出來的每滴水再利用次數。</p> <p>為了提高回收利用率，日月光中水廠中設有多道機制來記錄和追蹤每一層過濾和處理過程，中水廠甚至設立了一個專人即時監控的中控室，所有數據最後會集中到廠房三樓的中控室進行管理和監控。管理人員可即時從螢幕上查看並分析這些數據，確保水資源的高效利用，一旦回收系統出狀況，也能第一時間介入處理，避免影響到後續的製程。</p> <p>搭配控制中心，日月光有一套監控及資料擷取系統，全程監控廢水處理過程中的各項指數，同時搭配排水監測系統，持續監控放流水的品質。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1197%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A8-960.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;"><span style="font-size:16px;"><strong>日月光的一滴水旅程，從自來水進廠區開始，經過製程使用，再經中水回收廠回收後再運用，整個過程每滴水可重覆循環使用4.18次後才放流，中水回收廠回收率可達75％，等於廠區每送出1,000噸製程廢水，經日月光中水回收廠處理後平均可釋出750噸中水再運用。</strong></span>圖片來源／日月光</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>監控用水數據確保水質與跨廠調度</strong></span></span></p> <p>除了監控廢水處理狀況外，日月光中水回收廠兼具有調度中心功能，可以隨時掌握各廠的水使用狀況，以便在水情吃緊時，可以透過廠內水網絡支援。</p> <p>日月光過去已有建立一套水資源管理e化平臺，可搭配用水/ 回收水資料庫、各廠區水平衡圖等資料，監看每日水情資訊。</p> <p>去年，日月光導入一套水情燈號預警系統，不僅能夠監控外部水源供應資訊，還能即時掌握每棟工廠的用水及蓄水量資訊，強化供水調配支援能力，此外，還結合行動化應用，一旦發生停水和水情異動，相關人員可透過手機查看，以便迅速應對處理。</p> <p>值得一提的是，在這套系統中，日月光還建立廠區缺水韌性機制，利用AI模型分析工廠每天的用水量和現有儲水量，推估每間工廠的水存量可使用時間，以便提前調度水網進行支援。這些措施讓日月光可以智慧化地管理水資源風險，應對氣候異常帶來的水資源不足的挑戰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-%E6%B0%B4%E6%83%85-%E5%9C%962%20.png" style="width: 552px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;"><span style="font-size:16px;"><strong>日月光去年導入一套水情燈號預警系統，不僅能夠監控外部水源供應資訊，還能即時掌握每棟工廠的用水及蓄水量資訊，包括中水回收的數據，強化供水調配支援能力，此外，還結合行動化應用，一旦發生停水和水情異動，相關人員可透過手機查看，以便迅速應對處理。</strong></span>圖片來源／日月光</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>結合AI提高回水廠回水利用和管理效率</strong></span></span></p> <p>隨著日月光永續計畫開始引進AI，這幾年，日月光也用AI來提高回水廠水資源利用和管理效率。像是用來輔助回收廠設備的維修，如決定何時替UF設備清洗，這類作業過去往往需要現場檢查，以確認是否存在堵塞情況，若是沒有即時清洗，就會影響流速，一段時間後，也會導致出現UF設備堵塞情況，而影響回水再利用效率。</p> <p>可是，在中水廠廠內很多套UF設備，人員常常需要花很多時間逐一檢查，也較缺乏效率。為了改善這個問題，他們開始結合數據分析與數位圖表工具，將水壓力變化等資訊視覺化，協助人員可以更容易地掌握每天這些數據的趨勢變化，了解各設備的堵塞情況，而不需要到現場查看，也減輕人員負擔，甚至他們也開始用AI輔助進行預警，透過這樣的方式，來預防堵塞，提升回水再利用效率。不過，即使借助AI判斷，最後也都會由人工確認才會展開行動。</p> <p>不只設備維修，在回收流程中也用AI來優化。例如在廢水處理上，日月光自行開發了一款AI廢水智能化加藥控制模組，掌握廢水廠水質狀況，並且可預測放流水水質，提前預警水質異常，縮短異常應變反應時間。導入 AI 模組後，日月光表示，廢水系統加藥量降低30%，污泥也減量35%。</p> <p>又如日月光廠區會用離子交換樹脂（2B3T）來吸附流水中的離子，提升中水的純淨度，後來，日月光也用AI模型計算2B3T再生時間，取代傳統人工定時操作，不只減少人為失誤風險，也達到最佳產水能力，他們評估，每年可減少工廠自來水使用水量560萬噸。</p> <p>這座中水廠全天運作，控制中心採24小時，兩班制輪班，為提升作業便利性，在中水廠中導入了行動平板，便於人員巡視可以記錄與查看設施運作狀況。</p> <p>日月光持續擴充中水廠的硬體設施與優化系統，目前每日可以處理多達3萬噸的水，都是靠數位科技和AI來提高回收效率。從2015年啟用，統計至2023年3月，累計已回收的生產用水達3千萬噸，相當於省下高雄市民約一個半月的用水量。</p> <p>光是在2023年，這座中水回收廠一年就提供了日月光高雄廠，約561萬噸的回收水，回收率達75%。</p> <p><a href="https://www.ithome.com.tw/article/164769" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1197-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=jLCvRZNn" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/30 09:24作者余至浩https://www.ithome.com.tw/news/164767
【永續第一線經驗：日月光高雄廠企業職安處副處長顏俊明】日月光永續團隊是敏捷團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了推動節能減碳，加速永續目標達成，日月光一年執行超過上百件永續專案，這些專案大大小小，都需要仰賴IT部門的協助，以便讓這些應用能夠更快上線，為此，日月光還採用IT現代化的開發做法，建立混合團隊，以小步快跑、快速迭代的方式推動各項永續專案，「這些團隊的組成會隨著專案不同而調整，展現出高度的敏捷性，甚至可以說是一個敏捷團隊」日月光高雄廠企業職安處副處長顏俊明這樣說道。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>將數位科技融入到永續轉型</strong></span></span></p> <p>企業職安處是日月光高雄廠負責永續推動的主要單位。顏俊明表示，日月光早期專注於數位轉型，於2011年成立智慧製造委員會。隨著數位轉型成果逐漸顯現，永續委員會進一步將轉型成果納入，利用數位科技協助達成永續發展目標，加速永續進程。</p> <p>顏俊明指出，過去日月光的節能目標通常僅符合經濟部能源局的要求，例如每年節能1%到2%。但透過數位科技的應用，日月光的節能目標，可以從1～2%，改定為更高的3～5%目標。</p> <p>不同以往依賴人為控制的節能做法，目標設定上較為保守，而數位科技的導入，讓日月光能設立更具挑戰性的目標。他強調：「這正是數位科技的最大優勢。」</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>永續部門和IT部門如何深化合作</strong></span></span></p> <p>為了將數位科技融入到永續轉型中，日月光永續部門逐步深化與IT部門的合作，日月光自2018年完成首座智慧工廠後，兩部門的協作越來越緊密。可是，由於初期始缺乏共通語言，彼此溝通不易，他表示，雙方在前期花了不少時間將各自的專業語言轉化為對方能理解的內容。</p> <p>例如，永續部門推動企業永續管理師培訓及ISO-14064溫室氣體管理課程，並邀請IT部門參與；而IT部門與自動化小組也開設自動化專班、智能工程學院及資安學院，推廣至包括永續單位在內的各部門，幫助他們初步了解並應用數位工具。</p> <p>他表示，透過這樣過程，讓雙方在語言和資訊交流上更加順暢，有效解決原有的溝通困難。</p> <p>日月光對於IT相當倚重，因為日月光高層相當清楚，驅動公司永續發展的關健，正是資訊化與數位科技應用，因此，日月光透過永續發展委員會的專案運作，導入多種數位工具，以實現各項永續目標。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>日月光永續專案團隊是一個混合的敏捷團隊組成</strong></span></span></p> <p>由於發展智慧製造，需要現代化技術才能實現，也讓日月光的IT現代化，開發方式也跟著轉變，採用更敏捷的現代化的開發模式。</p> <p>2020年，日月光永續發展開始進到下一階段，日月光開始採用DevOps敏捷開發，來進行永續專案開發，並組建由IT部門與永續部門成員組成的混合團隊，雙方協同合作，以小步快跑、快速迭代開發。</p> <p>在處理流程中，永續單位會根據管理需求和法規要求先完成流程整理，向IT負責窗口提出需求。接著，雙方共同討論並制定IT規格書，再交由開發團隊來開發。</p> <p>跨部門組成的敏捷團隊通過快速系統功能交付和意見回饋，讓開發出來的系統或功能能更符合永續單位的需求。顏俊明表示，這個混合的敏捷團隊到現在已經有6年實踐經驗了。</p> <p>顏俊明進一步說明，當公司達到一定程度的規模時，很難逐一處理每件事。例如，永續單位的成員可能需要對接兩個IT團隊，而一名IT人員也可能同時對應不同單位的需求，他表示，建立敏捷團隊的好處，可以讓跨部門的合作更具彈性。</p> <p>截至目前，日月光高雄廠的跨部門永續團隊規模超過千人，設立不同團隊負責執行各類專案，例如節電大聯盟就是一個跨多部門組成的大型永續團隊，包括生產營運單位、廠務單位等專注於節能專案推動和能源管理優化。</p> <p>在專案管理和追蹤上，永續單位也透過一套數位圖表工具，追蹤每個專案的執行進度和這些的異動。另外也會定期檢視專案執行進度，尤其是大型專案，永續發展委員會平均每兩至三周召開主題式會議，向總經理報告高雄廠的現況、未來計畫及執行情況。</p> <p>不僅如此，IT部門開發了多個No-Code應用平臺，降低數位永續應用的進入門檻與縮短開發時間。</p> <p>透過圖形介面和拖拉方式，即使非專業程式設計人員也能迅速上手，使用這些No-Code工具組合出應用程式的處理流程，並依據這些流程建構不同的永續應用。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>導入工廠碳排即時監控，每層樓的碳排都能追蹤</strong></span></span></p> <p>多年合作，由IT和永續單位組成的敏捷團隊，帶來在永續應用上不少成果。例如建立化學品現場濃度即時監控機制就是其中一項永續專案應用成果。</p> <p>過往，化學品濃度的監控主要依賴每半年的作業環境監測，後來，IT部門結合感知器與監測平臺，能夠即時了解作業現場化學品的濃度狀況，當濃度接近異常之前，提前做出應變。</p> <p>借助IT，日月光在工廠碳排管理做法上也持續精進，例如日月光原本就已建立一套能源管理平臺，用於追蹤和管理工廠能耗跟排碳狀況，但過去僅能依據整棟建築的數據推估碳排量，無法細分到每個樓層的即時碳排放的狀況。今年，該平臺則是可以更進一步監看每棟廠房樓層的數據，實現更細緻的碳排管理，最大化減碳或節能的效益。</p> <p>此外，該平臺還能提供每日碳排數據，便於各廠區的溫管官掌握每天的能耗和碳排放狀況，作為後續碳排放即時控制與改善的參考依據。</p> <p>顏俊明解釋，半導體生產涉及工單與客戶需求，產品可能需要經過不同的工序和站點。例如，一個產品可能需經過五個站點，而另一個則需經過六個站點，不同站點可能位在不同樓層，對於碳排的影響可能會有所差別，因此，需要更細致的數據收集和現場監控。</p> <p>「我們目前能夠掌握將近30棟建築物、20多間工廠的每層樓碳排數據。」他表示，未來，對新進單一高用電設備須更節能並能掌握即時能耗監控。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>用AI分析歷史運作、環境數據有效改善冰水機系統的能耗</strong></span></span></p> <p>日月光導入AI的永續專案也不少，例如在能源管理優化上，日月光導入AI於冰水機負載管理系統中，整合了冰水機的歷史運作資訊、外部氣溫和濕度狀況，搭配演算法與學習模式，調整冰機運轉和控制，最佳化廠內冰水機系統的效益。</p> <p>不僅如此，顏俊明也提到，日月光近期正在執行其中一項重要專案，要用AI協助製程溫室氣體排放減量。</p> <p>過去，電鍍植球製程中必須使用含氟氣體進行化學性蝕刻，但在製程過程也得排放大量含氟氣體。因此，他們開始嘗試透過AI模擬，評估使用氬氣與氧氣替代含氟氣體進行物理性蝕刻，預期可大幅降低溫室氣體的排放量，以達到源頭減量。另外，也正在嘗試開發ChatGPT類的應用，來提供內部人員的知識問答。</p> <p><span style="font-size:20px;"><span style="background-color:#3399ff;"> </span></span><a href="https://www.ithome.com.tw/article/164769" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color:#3399ff;">相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1197-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=jLCvRZNn" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/30 09:24作者余至浩https://www.ithome.com.tw/news/164768
日月光永續轉型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1197-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=jLCvRZNn" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日月光10多年前就開始發展永續，但隨著進展達到一個階段，想要進步，變得越來越困難，轉而從2018年起，決定將數位科技融入永續轉型中，使得節能減碳、節水手段更精進、更智慧化，加速達成永續目標</p> <p> </p> </div></div></div>
2024/8/30 09:30作者余至浩https://www.ithome.com.tw/article/164769
微軟將跨平臺開源.NET框架Mono專案移交WineHQ管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mono-project.com/">Mono專案將由WineHQ組織接手管理</a>，而微軟目前已經將原本Mono Runtime轉移到dotnet/runtime程式碼庫中，並敦促現有Mono使用者和基於Mono應用程式框架的維護者，都遷移使用新的.NET平臺。 <br /> <br /> WineHQ是負責維護和開發Wine的開源專案組織，而Wine是一個知名工具，提供相容層可以讓Windows應用程式在Linux、macOS和Unix-like作業系統上執行，透過將Windows API呼叫轉換成POSIX呼叫，可讓Windows應用程式不需要修改即可在非Windows環境下執行。</p> <p>微軟在2001年推出Mono，該專案的目的是提供跨平臺的.NET實作，使開發者可以在不同的作業系統上執行.NET應用程式。之後微軟開發了.NET Core和其後續的.NET版本，提供與Mono類似的跨平臺功能，跨平臺開發重心移往.NET，而Mono的更新便放緩，Mono最後一次重大更新是在2019年7月，之後都僅進行小規模修補，最近一次修補更新是在2024年2月。</p> <p>隨著微軟逐步轉移重心，現在WineHQ將接手成為Mono專案管理者，負責該專案的未來發展和維護。現有mono/mono及其他相關程式碼庫將繼續可用，雖然部分程式碼庫可能會封存，但是原始碼依然可以被存取和使用。另外，微軟現有的Mono二進位檔案也將會在未來至少四年繼續提供下載。這個作法確保Mono專案的延續，同時讓用戶有時間過渡到新的架構。</p> <p>微軟在dotnet/runtime程式碼庫中維護一個Mono Runtime分支。微軟已經逐步將使用原本的Mono工作負載，搬遷到新的分支上。目前這項搬遷工作已經完成，微軟也建議現有的Mono開發者以及相關的應用程式框架開發者，同樣轉移到.NET平臺以使用更新功能。</p> </div></div></div>
2024/8/30 08:23作者李建興https://www.ithome.com.tw/news/164761
【iThome 2024 CIO大調查系列6】2024企業技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1196-feng_mian_-p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=Xk3ieTol" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從IT基礎架構現代化技術，AP架構與開發趨勢，到各類資料與AI技術，38項新興IT技術，422家臺灣大型企業如何選擇？企業技術雷達圖，讓你用一張圖快速了解大型企業的2024年技術布局和採用趨勢</p> </div></div></div>
2024/8/30 09:08作者王宏仁https://www.ithome.com.tw/article/164659
在軟體中建置可演化性
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-yan_jin_shi_xi_tong_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>翻新現有架構並加入可演化性，很有挑戰性。如果開發人員從未在架構中建置過簡易變更，那麼這種變更就不太可能自發出現。無論多麼有才華的架構師，都無法在不付出巨大努力的情況下將一個Big Ball of Mud（大泥球）轉變為現代微服務架構。幸運的是，透過在現有架構中加入一些彈性點，專案可以在不改變整個架構的前提下獲得好處。</p> <p><span style="font-size:28px;"><strong>移除非必要的變異性</strong></span></p> <p>Continuous Delivery（持續交付）的目標之一是穩定性（stability），也就是以已知的良好部分為基礎，繼續建構。這一目標的常見表現形式是現代DevOps對建置不可變基礎設施（immutable infrastructure）的看法。</p> <p>現代DevOps用不可變的基礎設施（immutable infrastructure）取代了雪花（snowflakes），從而區域性解決了動態平衡問題。雪花基礎設施（snowflake infrastructure）代表的是由營運人員手工製作的資產，所有未來的維護工作都由人工完成。不可變的基礎設施是指完全以程式化的方式定義的系統。對系統的所有更動都必須透過原始碼進行，而不是修改執行中的作業系統。因此，從營運的角度來看，整個系統都是不可變的：一旦系統啟動，就不會再發生其他變化。</p> <p>雖然不變性聽起來似乎是可演化性的對立面，但事實恰恰相反。軟體系統由數以千計的互動部分組成，所有的這些元件之間都存在緊密的依存關係。遺憾的是，開發人員仍在為這些元件中的某一個發生變化所帶來的意外副作用而苦惱。藉由鎖定意外變化的可能性，我們可以控制更多導致系統脆弱的因素。開發人員努力用常數取代程式碼中的變數，以縮簡變化的維度。DevOps將這一概念引入營運工作，使其更具宣告性（declarative）。</p> <p>不可變的基礎設施遵循我們「去除不必要的變數」的建議。建置不斷演化的軟體系統意味著要盡可能控制越多的未知因素越好。要建置能夠預測作業系統最新的服務套件（service pack）會如何影響應用程式的適應性函數，幾乎是不可能的。取而代之，每次執行部署管線時，開發人員都要重新建置基礎設施，盡可能積極地捕捉破壞性變更。如果開發人員能夠從需要考量的要素中，移除像作業系統這種可變但已知的基礎組成部分，他們就能減輕持續測試的負擔。</p> <p>架構師可以找到各種途徑將可變事物轉換為常數。許多團隊還將不可變基礎設施的建議推廣到開發環境中。有多少次，某個團隊成員感嘆：「但它在我的機器上就能執行！」？確保每個開發人員都擁有完全相同的映像，眾多不必要的變數就會消失。舉例來說，大多數開發團隊都會透過儲存庫（repositories）自動更新開發程式庫，但IDE等工具的更新呢？將開發環境捕捉為不可變的基礎設施，開發人員就可以始終在相同的基礎上工作。</p> <p><span style="font-size:28px;"><strong>優先選擇可演化而非可預測</strong></span></p> <p>未知的未知數是軟體系統的剋星。許多專案在開始時都會列出一系列已知的未知數（known unknowns）：開發人員知道他們為此必須學習有關的領域知識和技術。然而，專案也會受到未知的未知數（unknown unknowns）之影響：沒有人知道會出現，但卻意外現身的東西。這就是為什麼所有的「Big Design Up Front（大規模預先設計）」軟體專案都會受挫：架構師無法針對未知的未知因素進行設計。</p> <p>雖然沒有一種架構能在未知中生存，但我們知道，動態平衡會使得可預測性（predictability）在軟體中變得無用。取而代之，我們更傾向於在軟體中建置可演化性（evolvability）：如果專案可以輕易整合變化，那麼架構師就不需要水晶球了。架構不是一項單純的前期活動：專案在其整個生命週期中會以明確或意想不到的方式不斷發生變化。為了隔絕變化帶來的影響，開發人員經常會使用反腐層（anticorruption layer）作為一種常見的保護措施。</p> <p><span style="font-size:28px;"><strong>建立反腐層</strong></span></p> <p>專案經常需要將自身與提供附帶基礎設施的程式庫耦合在一起，如訊息佇列、搜尋引擎等。Abstraction Distraction反模式描述一種情況，即一個專案自身與外部程式庫（無論是商業程式庫還是開源程式庫）有過多「連接」。一旦開發人員需要升級或更換程式庫時，使用該程式庫的大部分應用程式碼都會有基於之前程式庫抽象層的假設。領域驅動設計（domain-driven design）包含一種防止這種現象發生的保護措施，稱為「反腐層（anticorruption layer）」。這裡有個例子。</p> <p>敏捷架構師在做決策時推崇「最後負責時刻（last responsible moment）」原則，用來應對專案中常見的過早購入複雜性的危險。我們為一家從事汽車批發銷售的客戶，斷斷續續地開發了一個Ruby on Rails專案。應用程式上線後，出現了一個意想不到的工作流程。使用者需要一種方式來起始上傳動作，然後透過一些UI機制（如進度列）來了解進度，或者稍後再回頭檢視批次處理是否完成。翻譯成專業術語就是，他們需要非同步上傳（asynchronous upload）。</p> <p>訊息佇列（message queue）是解決此問題的一種傳統架構方案，團隊討論是否要將某個開源佇列新增到架構中。許多專案在此關頭的一種常見陷阱是這樣的態度：「我們知道我們最終會需要一個訊息佇列來處理很多事情，所以我們現在就去買一個最豪華的佇列，然後再慢慢學著善用它」。這種做法的問題在於技術債（technical debt）：專案中本不該存在的東西，卻妨礙了本該存在的東西。大多數開發人員都把難以維護的舊程式碼視為技術債的唯一形式，但專案也可能在無意中經由過早的複雜性買入技術債。</p> <p>對於此專案，架構師鼓勵開發人員尋找比較簡單的方式。有位開發人員發現了BackgrounDRb，這是一個非常簡單的開源程式庫，可以模擬由關聯式資料庫所支援的單一訊息佇列。架構師知道這個簡單的工具可能永遠無法擴充到未來的其他問題，但她沒有其他反對意見。她沒有試圖預測未來的使用情況，而是將其置於API之後，使其相對容易替換。</p> <p>在一週年紀念日前後，出現了第二個非同步需求，是與銷售有關的定時事件。架構師對情況進行了評估，認為使用第二個BackgrounDRb實體就足夠了，於是將其安裝到位，並繼續工作。在兩週年左右，出現了第三個需求，要求不斷更新快取和摘要等值。團隊意識到，當前的解決方案無法處理新的工作量。不過，他們現在對應用程式需要什麼樣的非同步行為有了很好的認識。於是，專案轉向了Starling，這是一個簡單但更為傳統的訊息佇列。由於最初的解決方案被隔離在一個介面之後，兩名開發人員只用了不到一次迭代（在那個專案上花了一週時間）就完成了轉換，而且沒有影響到在該專案上工作的其他開發人員。</p> <p>因為架構師已經設置了一個帶有介面的反腐層，因此更換功能就成了機械性的工作。建立反腐層可以鼓勵架構師思考他們需要從程式庫獲得什麼樣的語意（semantics），而不是特定API的語法（syntax）。但這並不是為所有東西建立抽象層（abstract all the things）的藉口！有些開發社群喜歡搶先使用抽象層，甚至到了模糊焦點的程度，但當你必須呼叫一個Factory來獲取對某個Thing的一個遠端介面的一個proxy時，事情就會變得難以理解。幸運的是，大多數現代語言和IDE都允許開發人員及時（just in time）抽取出介面。如果一個專案發現自己繫結到了一個需要改變的過時程式庫，IDE就可以代表開發人員提取介面（extract an interface），從而形成一個Just In Time（JIT，剛好及時）的反腐層。</p> <p>控制應用程式中的耦合點，特別是與外部資源的耦合點，是架構師的關鍵職責之一。試著找出新增依存關係的實際時機。作為一名架構師，請記住依存關係會帶來好處，但同時也會帶來限制。請確保更新、依存關係管理等方面的收益大於成本。<strong>（本文摘錄整理自《建立演進式系統架構》第7章，碁峰資訊提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%BC%94%E9%80%B2%E5%BC%8F%E7%B3%BB%E7%B5%B1-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／碁峰資訊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 建立演進式系統架構：支援常態性的變更第二版</strong>（Building Evolutionary Architectures, 2nd Edition）</p> <p>Neal Ford, Rebecca Parsons, Patrick Kua, Pramod Sadalage／著；黃銘偉／譯</p> <p>碁峰資訊出版</p> <p>定價：580元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%BC%94%E9%80%B2%E5%BC%8F%E7%B3%BB%E7%B5%B1-250-1.jpg" style="width: 150px;" /></p> <p><strong>Neal Ford</strong><br /> Neal Ford是Thoughtworks公司總監、軟體架構師和「迷因牧人(meme wrangler)」。<a href="https://www.thoughtworks.com/profiles/n/neal-ford" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Thoughtworks</span></span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%BC%94%E9%80%B2%E5%BC%8F%E7%B3%BB%E7%B5%B1-250-2.jpg" style="width: 150px;" /><br /> <strong>Rebecca Parsons</strong><br /> Rebecca Parsons博士是Thoughtworks的CTO。<a href="https://www.thoughtworks.com/profiles/leaders/rebecca-parsons" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Thoughtworks</span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%BC%94%E9%80%B2%E5%BC%8F%E7%B3%BB%E7%B5%B1-250-3.jpg" style="width: 150px;" /><br /> <strong>Patrick Kua</strong><br /> Patrick Kua是擁有20多年經驗的資深技術領導者。<a href="https://www.thoughtworks.com/profiles/p/patrick-kua" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Thoughtworks</span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%BC%94%E9%80%B2%E5%BC%8F%E7%B3%BB%E7%B5%B1-250-4.jpg" style="width: 150px;" /><br /> <strong>Pramod Sadalage</strong><br /> Pramod Sadalage是Thoughtworks公司Data and DevOps總監，負責在資料庫專業人員和應用程式開發人員之間架起橋樑。<a href="https://www.thoughtworks.com/profiles/p/pramod-sadalage" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Thoughtworks</span></a></p> </div></div></div>
2024/8/30 06:00未署名https://www.ithome.com.tw/article/164702
勒索軟體BlackByte利用VMware虛擬化平臺漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月VMware修補虛擬化平臺ESXi的身分驗證繞過漏洞CVE-2024-37085，隔月微軟警告<a href="https://www.ithome.com.tw/news/164182">有多個勒索軟體駭客組織將其用於攻擊行動</a>，如今也有其他駭客組織跟進。</p> <p>根據思科旗下威脅情報團隊Talos的監控，<a href="https://blog.talosintelligence.com/blackbyte-blends-tried-and-true-tradecraft-with-newly-disclosed-vulnerabilities-to-support-ongoing-attacks/">勒索軟體駭客組織BlackByte就是一例</a>。</p> <p>BlackByte疑似透過暴力破解取得初始存取權限，利用VPN存取受害組織內部網路環境，然後入侵2個管理員層級的帳號提升權限，其中1個帳號的用途，是存取vCenter伺服器；接著，攻擊者為每個ESXi伺服器設置AD網域物件並加入網域，然後又建立其他帳號並加入名為ESX Admins的AD群組。駭客這麼做，是為了利用CVE-2024-37085，從而讓該群組的成員提升在ESXi的權限，控制虛擬機器（VM）、竄改伺服器配置、存取系統事件記錄，或是監控效能。</p> <p>這些駭客利用SMB及RDP這兩個遠端存取管道，進入受害組織的其他系統、資料夾及檔案，並透過NTLM進行身分驗證。他們也藉由竄改系統登錄檔，或是手動從重要系統移除EDR系統的方式，來降低受害組織的資安防護強度，其中1起事故駭客甚至竄改ESXi主機的root密碼。</p> <p>值得留意的是，這些駭客除了利用上述漏洞，攻擊手法也出現變化，首先，是勒索軟體在啟動的過程中，會一口氣部署4個用於自帶驅動程式（BYOVD）攻擊的驅動程式，這些元件來自微星系統超頻工具Afterburner、Dell用戶端韌體更新工具、技嘉主機板公用程式，以及防毒軟體Zemana。這些駭客並非首度濫用合法驅動程式，但研究人員指出，過往這些駭客只會運用2至3支驅動程式。</p> <p>此外，駭客在偵察過程濫用特定使用者帳號，並利用SRVSVC命名管道及特定功能，找出網路環境的共用資料夾。</p> <p>在此同時，駭客會竄改Windows電腦的登錄機碼，停用防毒軟體Microsoft Defender，並將EXE檔列入白名單，然後刪除System32資料夾的特定檔案，例如：taskmgr.exe、perfmon.exe、shutdown.exe。</p> </div></div></div>
2024/8/29 18:29作者周峻佑https://www.ithome.com.tw/news/164762
【資安日報】8月29日，破壞EDR系統運作，惡意驅動程式PoorTry出現新手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了避免端點防護系統干擾勒索軟體加密檔案，最近2至3年，駭客利用含有弱點的驅動程式來達到目的，其中一款名為PoorTry的惡意驅動程式，最近引起研究人員高度關注。</p> <p>研究人員特別提及，此惡意驅動程式也納入了資料破壞軟體（Wiper）的功能，而能刪除EDR系統的EXE、DLL元件，使其無法再度運作。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164748"><strong style="font-size: 22px;">遊戲黑神話：悟空當紅，電玩平臺Steam遭遇大規模DDoS攻擊</strong></a></p> <p>大型電玩遊戲黑神話：悟空於8月20日正式發布，並在電玩平臺Steam售出超過1千萬套而成為熱門話題，上週末卻傳出玩家無法登入遊戲的情況，外界猜測是上線人員過多造成。但後續有資安業者發布消息，認為這是大規模DDoS攻擊事故。</p> <p>24日Steam中國代理商完美世界在網站公告，Steam遭到DDoS攻擊而可能影響遊戲執行，當地資安業者奇安信於隔日透露這起攻擊行動的規模，駭客動用了近60個殭屍網路，攻擊指令24日晚間暴增超過2萬倍，對13個國家、107臺Steam伺服器IP位址，輪番發動攻擊。</p> <p>奇安信於28日透露更多細節，指出這起攻擊行動大致分成4波，攻擊者選擇在各時區遊戲玩家集中上線的時段發動攻擊。</p> <p><a href="https://www.ithome.com.tw/news/164744"><strong style="font-size: 22px;">惡意驅動程式PoorTry被用於抹除EDR系統主要元件</strong></a></p> <p>攻擊者使用含有弱點的驅動程式，從而得到系統核心層級的權限，干擾防毒軟體或EDR運作，其中一種被勒索軟體駭客利用的驅動程式PoorTry（或叫做BurntCigar），最近被發現更具破壞威力。</p> <p>資安業者Sophos在今年7月的勒索軟體RansomHub攻擊行動裡，看到駭客試圖加密電腦檔案，而被他們的端點防護機制CryptoGuard攔截。研究人員在事件調查的過程中，發現駭客在數臺電腦部署PoorTry及載入工具StoneStop，而這些新版惡意工具與過往最大的差異，在於阻擾端點防護系統運作的方式。</p> <p>研究人員指出，這起攻擊行動的過程裡，駭客利用這種惡意驅動程式來破壞EDR系統的運作，像是移除或是竄改核心通知功能，他們總共看到7個裝置輸入和輸出控制（IOCTL）程式碼傳送到EDR核心模式的元件，然後利用EDR Killer的功能終止相關處理程序，並抹除這類系統的重要EXE、DLL檔案，使得EDR系統無法再度運作。</p> <p><a href="https://www.ithome.com.tw/news/164762"><strong style="font-size: 22px;">勒索軟體BlackByte利用VMware虛擬化平臺漏洞發動攻擊</strong></a></p> <p>今年6月VMware修補虛擬化平臺ESXi的身分驗證繞過漏洞CVE-2024-37085，隔月微軟警告有多個勒索軟體駭客組織將其用於攻擊行動，如今也有其他駭客組織跟進。</p> <p>根據思科旗下威脅情報團隊Talos的監控，勒索軟體駭客組織BlackByte就是一例。</p> <p>BlackByte疑似透過暴力破解取得初始存取權限，利用VPN存取受害組織內部網路環境，然後入侵2個管理員層級的帳號提升權限，其中1個帳號的用途，是存取vCenter伺服器；接著，攻擊者為每個ESXi伺服器設置AD網域物件並加入網域，然後又建立其他帳號並加入名為ESX Admins的AD群組。駭客這麼做，是為了利用CVE-2024-37085，從而讓該群組的成員提升在ESXi的權限，控制虛擬機器（VM）、竄改伺服器配置、存取系統事件記錄，或是監控效能。</p> <p><a href="https://www.ithome.com.tw/news/164760"><strong style="font-size: 22px;">韓國駭客利用WPS Office零時差漏洞，企圖於東亞組織植入後門SpyGlace</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-3.png" style="width: 300px; float: right;" /></a>資安業者ESET在追蹤韓國駭客組織APT-C-60的攻擊行動過程中，發現怪異的試算表檔案，一旦執行就有可能在受害電腦載入該組織的惡意程式下載元件。研究人員經過調查，發現駭客運用Windows版WPS Office的程式碼執行漏洞，目標是在東亞組織植入後門程式SpyGlace。</p> <p>研究人員指出，駭客利用的漏洞被登記為CVE-2024-7262，4.0版CVSS風險評分達到9.3，這項漏洞存在12.2.0.13110至12.2.0.16412版WPS Office，起因是名為promecefpluginhost.exe的元件存在路徑驗證不當的情況，攻擊者一旦利用，就有機會載入任意的Windows程式庫。研究人員分析根本原因，結果找到另一個漏洞CVE-2024-7263，CVSS風險評分同樣為9.3分。</p> <p><a href="https://www.ithome.com.tw/news/164740"><strong style="font-size: 22px;">Telegram創辦人被控散布兒童性剝削內容及多項犯罪，以500萬歐元交保</strong></a></p> <p>上周在法國被逮捕的Telegram創辦人暨執行長Pavel Durov，本周三（8月28日）以500萬歐元交保，法國指控Durov共謀管理網路平臺以推動非法交易，共謀散布兒童性剝削內容（Child Sexual Abuse Material，CSAM），還說Telegram幾乎不與執法機關合作。法國正在調查Durov，並要求他不得離境。</p> <p>根據Politico報導，法國在今年3月針對Telegram的兄弟檔創辦人Nikolai Durov與Pavel Durov發出逮捕令，主要是因為Telegram拒絕配合法國執法機構對CSAM散布的調查。彭博社（Bloomberg）與金融時報（FT）亦指出，法國對Durov的指控主要是共謀犯罪，涵蓋販毒、洗錢、散布CSAM或仇恨言論等，再加上Telegram幾乎不與執法機構合作，等於是忽視這些犯罪的存在。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.netskope.com/blog/phishing-in-style-microsoft-sway-abused-to-deliver-quishing-attacks"><strong style="font-size: 20px;">QR Code網釣駭客濫用微軟Sway設置冒牌網站</strong></a></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-241a">伊朗國家級駭客與勒索軟體駭客狼狽為奸，向美國國防、教育、金融、醫療機構進行勒索</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.microsoft.com/en-us/security/blog/2024/08/28/peach-sandstorm-deploys-new-custom-tickler-malware-in-long-running-intelligence-gathering-operations/">伊朗駭客組織APT33鎖定美國與阿拉伯聯合大公國散布後門程式</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://sec.stealthcopter.com/wpml-rce-via-twig-ssti/"><strong style="font-size: 20px;">WordPress多語系外掛WPML存在重大漏洞，攻擊者可用來遠端執行程式碼</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.fortra.com/security/advisories/product-security/fi-2024-011">Fortra公布檔案傳輸工具FileCatalyst寫死密碼漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164736"><strong>【8月28日】Versa Director零時差漏洞成中國駭客用來入侵ISP的管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164717"><strong>【8月27日】WordPress網站加速外掛LiteSpeed Cache漏洞已遭利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164701"><strong>【8月26日】Telegram創辦人暨執行長Pavel Durov傳出遭到逮捕</strong></a></p> </div></div></div>
2024/8/29 18:36作者周峻佑https://www.ithome.com.tw/news/164763
Martech雙周報第61期：Netflix大舉導入程序化廣告相關行銷科技，完善串流廣告平臺功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0818~0831)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#串流平臺廣告 #DCR #程序化廣告 #行銷成效追蹤</span></span></strong><br /> <strong>持續擁抱廣告業務，Netflix整合更多數位行銷通路及多方面Martech服務</strong></p> <p>開始經營廣告業務後，<a href="https://about.netflix.com/en/news/netflix-closes-successful-upfront-and-expands-advertiser-capabilities">Netflix積極轉型為一個數位廣告平臺，與數位廣告不同面向的科技廠商合作來完善廣告業務。</a>近日，他們正式與The Trade Desk、Google Display & Video 360及Microsoft的DSP合作，開放程序化購買廣告功能，同時也導入Google Campaign Manager 360及Innovid作第三方曝光成效驗證技術，以及導入DoubleVerify和Integral Ad Science技術來把關廣告欺詐。他們還預告，今年秋天將支援NielsenOne、Lucid、EDO、NCSolutions、Kantar和 Affinity Solutions等多家廠商來追蹤廣告成效。</p> <p>另一方面，他們與Snowflake、InfoSum和LiveRamp等數據處理商共同打造數據無塵室（DCR），與廣告主在符合隱私法規的環境下交流受眾重疊情況、廣告觸及範圍和頻率等數據。</p> <p>相較於廣告主直接透過Netflix自有通路購買廣告，並由Netflix單方面告知行銷成效，這一系列做法讓Netflix更符合業界程序化數位廣告的標準做法，有利於打破數據及成效隔閡，提升對廣告主吸引力。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第三方Cookie #瀏覽器廣告</span></span></strong><br /> <strong>eMarketer調查：未來美國市場有高達87%瀏覽器使用者無法用第三方Cookie追蹤</strong></p> <p>儘管Google宣布不再停用第三方Cookie，但提出的配套措施是，讓使用者一次性決定是否授權第三方Cookie追蹤。業界擔憂，此做法實質上是借使用者之手停用了第三方Cookie。針對此疑慮，<a href="https://www.emarketer.com/content/nearly-all-us-browsers-could-become-cookieless-future">研究機構eMarketer調查了美國瀏覽器使用者接受追蹤用Cookie的習慣</a>，並根據結果建議，廣告界仍需積極布局Cookieless解決方案，並不會因為Google名義上續用第三方Cookie而改變。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/351370.png" style="height: 550px;" /></p> <p>調查顯示，現行主動詢問但預設同意的第三方Cookie授權機制下，只有17% Chrome使用者會一律選擇接受，相當於整體美國瀏覽器使用者13%。報告進一步寫道，假設Edge也如預期在2024年完成第三方Cookie退場，則未來只有這13%的人會繼續同意被第三方Cookie追蹤，意味著第三方Cookie追蹤法會幾乎完全失效。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨生態圈投廣 #搜尋廣告</span></span></strong><br /> <strong>Google Search Ads 360開始支援微軟自動競價工具及投廣於微軟搜尋通路</strong></p> <p><a href="https://blog.google/products/marketingplatform/360/search-ads-360-adds-support-for-microsoft-automated-bidding/">Google搜尋廣告管理平臺Search Ads 360開始支援微軟自動競價工具Automated Bidding</a>，同時在兩生態系的行銷通路進行廣告投放，並同時利用兩家的AI技術來優化投放策略，即時調整競價預算。</p> <p>支援廣告主同時使用兩方競價技術的是Google跨平臺行銷成效追蹤技術Floodlight。此技術會蒐集廣告主不同通路的行銷活動數據，作為單一數據來源，並共享所需數據給微軟Automated Bidding，作為後者優化行銷策略的依據。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SEO #生成式AI搜尋</span></span></strong><br /> <strong>大型廣告出版商認為Google生成式AI搜尋功能對網站流量影響尚不明顯</strong></p> <p>生成式AI摘要的功能，會不會衝擊廣告出版商網站的點擊率或互動率，是Google推出AI Overviews摘要功能後，業界一大擔憂。近期，美國大型出版商Dotdash Meredith和Ziff Davis紛紛揭露自家統計數據，都認為目前Google生成式AI搜尋功能AI Overviews沒有明顯影響。這兩家企業都是每月可觸及上億人次的出版商。</p> <p><a href="https://ir.iac.com/static-files/e9c52890-76bd-4555-9927-89e7a6810a35">Dotdash Meredith在股東信中寫道</a>，AI生成答案目前在他們搜尋曝光佔比約為15%，其中在健康、科技和金融領域的頻率最高。曝光於AI Overviews與否，對使用者點擊率（CTR）影響目前仍然不大。<a href="https://discountingcashflows.com/company/ZD/transcripts/">Ziff Davis則在法說會中表示</a>，旗下以有機搜尋流量為主要流量來源的網域中，只有8%來自AI Overviews，影響也不大。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體行銷 #行銷成效追蹤</span></span></strong><br /> <strong>X（推特）新增貼文互動情形追蹤工具，能追蹤關鍵字熱門度和貼文互動率的時間趨勢</strong></p> <p><a href="https://twitter.com/verified/status/1827099222652678424">Ｘ新增了一個貼文成效追蹤工具Insights</a>，能視覺化呈現關鍵字熱門時間分析，以及這些含有這些關鍵字貼文的完整列表。另一個重要功能是，呈現出貼文在不同時間的互動數據，以了解貼文或關鍵字何時開始獲得或失去受眾關注。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/twttt.png" style="width: 600px;" /></p> <p>這些功能有助於廣告主平臺趨勢探索、安排貼文時間，以及觀察產業熱門主題變化。不過，目前此工具僅限認證組織（Verified Organizations）帳號使用，光是成為基本認證組織帳號，月費就高達200美元。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AR行銷 #AR硬體 #第三方AR行銷素材創作</span></span></strong><br /> <strong>Meta將終止AR行銷素材創作平臺Spark的服務</strong></p> <p><a href="https://spark.meta.com/blog/meta-spark-announcement">在Meta即將發表自家AR眼鏡Orion之際，他們宣布終止營運AR行銷素材創作平臺Spark。</a>這是一個用來創作AR行銷素材的平臺，用於Facebook和Instagram等社群媒體。Meta說明，未來將只支援由Meta官方開發、管理的AR元素，第三方創作的素材則會在2025年初停止支援。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://www.evidenza.ai/">Martech新創Evidenza推出利用生成式AI產出虛擬顧客，再對他們進行品牌市調等各式顧客調查的解決方案</a></p> <p>2. <a href="https://onetouchintelligence.com/streamtrak-fast-and-curious/">One Touch Intelligence調查顯示目前美國CTV通路的廣告版位過剩，原因是版位供過於求及影片素材製作成本過高</a></p> <p>3. <a href="https://www.linkedin.com/feed/update/urn:li:activity:7224722503342956545/">近期Google出現廣告主帳號被系統擅自為非自家商品投廣，甚至為競爭對手投廣的事件。</a></p> <p>4. Google開始嘗試在有機搜尋結果上標註「內容和標題如一」的認證，而非只是在廣告搜尋結果上</p> <p>資料來源：iThome整理，2024年8月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Netflix、eMarketer、X (Twitter)</p> <p></p> </div></div></div>
2024/8/29 18:38作者郭又華https://www.ithome.com.tw/news/164737
韓國駭客利用WPS Office零時差漏洞，企圖於東亞組織植入後門SpyGlace
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>韓國駭客組織鎖定辦公室套裝軟體WPS Office挖掘零時差漏洞，並用於實際攻擊行動，引起研究人員高度關注。</p> <p>資安業者ESET在追蹤<a href="https://www.welivesecurity.com/en/eset-research/analysis-of-two-arbitrary-code-execution-vulnerabilities-affecting-wps-office/">韓國駭客組織APT-C-60的攻擊行動過程中</a>，發現怪異的試算表檔案，一旦執行就有可能在受害電腦載入該組織的惡意程式下載元件。研究人員經過調查，發現駭客運用Windows版WPS Office的程式碼執行漏洞，目標是在東亞組織植入後門程式SpyGlace。</p> <p>研究人員指出，駭客利用的漏洞被登記為CVE-2024-7262，4.0版CVSS風險評分達到9.3，這項漏洞存在12.2.0.13110至12.2.0.16412版WPS Office，起因是名為promecefpluginhost.exe的元件存在路徑驗證不當的情況，攻擊者一旦利用，就有機會載入任意的Windows程式庫。研究人員分析根本原因，結果找到另一個漏洞CVE-2024-7263，CVSS風險評分同樣為9.3分。</p> <p>這些駭客如何利用CVE-2024-7262？當受害者以WPS Office開啟駭客提供的試算表檔案，電腦就會由wps.exe載入qingbangong.dll，驗證試算表的URL部分功能參數，接著啟動promecefpluginhost.exe，最終載入名為ksojscore.dll的程式庫與C2通訊，下載、執行後門程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/figure-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-3.png" style="width: 580px;" /></a></p> <p>研究人員認為，無論APT-C-60是自行挖掘或是購買漏洞，利用這種漏洞必須對應用程式內部進行研究，並且了解Windows如何載入處理程序，由於WPS Office有不少亞洲用戶，他們認為這代表該組織專門鎖定東亞國家而來。</p> <p>針對駭客使用的這項漏洞，研究人員認為極為狡猾，因為可被用於欺騙用戶點選看似正常的試算表檔案，攻擊者還能搭配MHTML檔案，讓漏洞能夠遠端觸發。</p> <p>罕見的是，ESET在公布調查結果的時候，首先提及漏洞通報的經過，突顯金山很可能早就知道漏洞已被利用的情況，後續處理過程卻不透明。</p> <p>駭客從2月開始利用漏洞後，金山已於3月底悄悄修補了CVE-2024-7672，但並未公告此事，直到4月ESET研究人員分析已上傳到VirusTotal的惡意檔案，發現該漏洞已被用於實際攻擊行動的情況。</p> <p>研究人員進一步調查修補程式碼，發現金山並未完整修補，仍有部分程式碼存在相關弱點CVE-2024-7673，他們後來在5月底通報，金山在6月下旬表示尚在解決問題，到了8月22日卻又改口承認，已於5月底就完成修補。</p> </div></div></div>
2024/8/29 16:51作者周峻佑https://www.ithome.com.tw/news/164760
健保署揭露智慧醫療等4面向進展，持續推動次世代數位醫療平臺計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>健保署署長石崇良日前<a href="http://www.youtube.com/live/hmoSCvKsenQ?si=I55Ic8C-38uhowc3&t=18229">在今年度行政院生技產業策略諮議委員會議（BTC）中，</a>揭露衛福部和健保署IT重點進展，包括在法規調試部分，已制定衛生福利資料管理條例，要保障民眾健保資料運用的退出權，另在智慧醫療部分，則將於2025年開始打造衛生所公版IT系統、持續推動FHIR標準和診所上雲。至於精準醫療和市場面向，則要整合NGS檢測資料至健保雲端查詢系統、將數位醫療納入健保暫時性支付等措施。</p> <p><span style="font-size:22px;"><strong>根據BTC去年建議調整4大政策方向</strong></span></p> <p>BTC是行政院在2005年成立的國家級組織，透過每年召開會議，來給出未來一年的生技醫藥產業發展建議，是政府制定施政方向的重要參考。在每年度的BTC大會中，政府單位也會針對過去建議和未來政策方向，給出整體報告。</p> <p>在今年8月26日展開的BTC大會中，健保署署長石崇良指出，去年BTC提出8大策略共21項建議，其中4大策略與健保署切身相關，包括法規調試、資料治理、智慧醫療和市場准入等共10項建議。健保署也根據這些建議，在過去1年進行改善，可分為法規調試、智慧醫療、精準醫療和市場准入等4個領域。</p> <p><span style="font-size:22px;"><strong>調整1：法規調試</strong></span></p> <p>在法規調試部分，健保署協助推動了4大法規，包括人體生物資料庫管理條例、衛生福利資料管理條例、通訊診察治療辦法修正案以及再生醫療雙法。</p> <p>就人體生物資料管理條例來說，目的是要讓資料庫數位轉型，因此擴大了生物資料庫範圍（納入基因、醫學影像）、提高資料庫整合串接和後續應用、制定資料管理措施（含蒐集、利用與國際傳輸），以及建置合規、安全的資料儲存和利用環境。石崇良點出，該條例草案已預告過一次，預計今年下半年送行政院審議。</p> <p>再來，衛生福利資料管理條例的出現，是要因應2022年8月大法官第13號的違憲判決，來提高健保資料授權使用的明確性和民眾退出權，保障人民資料隱私權。這個條例草案已於今年3月預告，並在8月9日函報行政院，預計下個會期於立法院審查。</p> <p>另一個法規是今年7月1日正式上路的修正版通訊診察治療辦法，擴大了適用遠距醫療的特殊情形、放寬處方開立、增加通訊診療項目，以及增加資安規範。</p> <p>還有一個法規是再生醫療雙法，更明確規範了再生醫療製劑的生命周期管理，並在今年6月19日由總統正式發布。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-29%20160751.png" /></p> <p><span style="font-size:22px;"><strong>調整2：智慧醫療</strong></span></p> <p>接著，在智慧醫療面向，一大亮點是推動次世代數位醫療平臺計畫。石崇良表示，這個政策是根據BTC建議而規畫，要來解決不同醫療機構間，資料難以互通的問題，也要順勢推動醫院醫療資訊系統（HIS）轉型、採用國際醫療資料交換標準FHIR。</p> <p>這個次世代數位醫療平臺（DHP）計畫可分為金字塔3個層級，其中最底層瞄準衛生所，由衛福部打造公版系統，來供衛生所使用、降低維運成本，預計2025年至2027年完成。中層則瞄準區域／地區醫院（包含部立醫院），石崇良表示，這類型醫院大多採用廠商系統，因此衛福部將建置公版基礎建設，來讓廠商依架構規格，發展客製化模組，供地區和區域醫院使用，一樣預計2025年啟動、2027年完成。最高一層鎖定醫學中心，要透過發展FHIR標準，來讓醫學中心系統與衛福部資料中臺介接，預計2024年啟動、2026年完工。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-29%20160903.png" /></p> <p>至於次世代數位醫療平臺本身，可分為底層、共通模組層和應用層等3大層，底層包括了SDK（如資安防護SDK、LLM/影像分析SDK、UI/UX SDK等），容器化的模組、框架和函式庫，如資安模組、AI/GenAI模組框架和函式庫，另還有API框架，像是FHIR API、EMR API、規則引擎等。</p> <p>共通模組層是指與醫療相關的通用模組，如跨院資料交換模組、用戶認證模組、健保申報模組、預約掛號、行動簽章等模組。往上一層則是醫療應用層，包含了醫療資訊系統HIS、護理資訊系統NIS、PACS影像儲傳系統、臨床決策系統和遠距醫療服務等系統服務。</p> <p>這個平臺的開發和建置，採共創模式，由業界專家討論底層架構標準，同時由有意願的業者來開發共通模組和醫療應用。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-29%20160947.png" /></p> <p>次世代數位醫療平臺的建置不止於此，石崇良點出，該計畫還包括臺灣智慧醫療生態系的養成，要建置3大AI中心和AI SMART市集。其中，3大AI中心是指負責任AI執行中心、AI取證驗證中心、AI影響性研究中心，目前已接受醫院遞交申請，預計8月底公布結果。而AI SMART市集則是指，以FHIR為標準打造的智慧醫療應用程式市集，可接軌國際SMART on FHIR市集，是臺灣接軌國際的重要環節。</p> <p>另一個智慧醫療面向的進展亮點，則是健保數位升級，尤其是健保雲和診所雲的發展。石崇良表示，今年健保署已將基本架構規畫好，明年開始擴大診所雲的推動，讓更多診所從過去的地端系統轉為雲端化。同時，他們也會推廣健康存摺SDK，讓更多民間業者申請介接、彙整健康數據。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-29%20161150.png" /></p> <p><span style="font-size:22px;"><strong>調整3&4：精準醫療與市場准入</strong></span></p> <p>在精準醫療面向，健保署已在今年5月將次世代基因定序（NGS）納入健保給付，接下來計畫打造國家級基因資料庫，也要整合NGS檢測資料至健保雲端查詢系統，來讓不同醫院醫師查詢、避免重複檢查。</p> <p>為形成精準醫療生態系，健保署也計畫建置NGS資料收載平臺，來收錄醫院自有實驗室或委外實驗室檢測資料，以及用藥追蹤等資料，來將這些真實世界資料（RWD）與國家級人體生物資料庫平臺整合，供後續研究、研發和科技評估參考。此外，健保署也將推動成立癌症新藥基金，來促進精準醫療生態發展。</p> <p>至於市場准入面向，重點則有將數位醫療納入健保暫時性支付，尤其今年在衡量AI輔助診斷工具納入健保的成本效益和財務衝擊，預計年底完成評估。石崇良指出，這個案例可作為之後數位醫療工具納入健保給付的參考。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-29%20161245.png" /></p> <p>對於尚未納入健保暫時支付的醫療科技，健保署將建置全國性的醫療費用資訊平臺，透過數位化和智慧化工具，如NLP工具來處理非結構化資料，來簡化自費項目收費審查流程。</p> <p>最後，為加速智慧醫材發展，衛福部將推動智慧醫材全方位輔導培育暨產業鏈結加值計畫，預計2026年啟動至2029年止。其特點有4大項，包括進行智慧醫材諮詢輔導時，導入病人為中心及全生命周期概念；協助收集真實世界數據，來加速指標性智慧醫材落地臨床應用；透過健保沙盒，來對智慧醫材進行臨床效益和健保給付評估；針對智慧醫材產品發展，提供國際法規參考。</p> <p><a href="https://drive.google.com/file/d/1DzbqUcobx36TcIWTPbOyQGCetQ3jgwYr/view">完整簡報於此</a>。</p> <p></p> </div></div></div>
2024/8/29 16:20作者王若樸https://www.ithome.com.tw/news/164759
遊戲黑神話：悟空當紅，電玩平臺Steam遭遇大規模DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型電玩遊戲黑神話：悟空於8月20日正式發布，並在電玩平臺Steam售出超過1千萬套而成為熱門話題，上週末卻傳出玩家無法登入遊戲的情況，外界猜測是上線人員過多造成。但後續有資安業者發布消息，認為這是大規模DDoS攻擊事故。</p> <p>24日Steam中國代理商完美世界在網站公告，Steam遭到DDoS攻擊而可能影響遊戲執行，當地資安業者奇安信<a href="https://www.qianxin.com/news/detail?news_id=12378">於隔日透露這起攻擊行動的規</a>模，駭客動用了近60個殭屍網路，攻擊指令24日晚間暴增超過2萬倍，對13個國家、107臺Steam伺服器IP位址，輪番發動攻擊。</p> <p>奇安信於28日透露更多細節，<a href="https://blog.xlab.qianxin.com/more_ddos_details_on_steam_cn/">指出這起攻擊行動大致分成4波，攻擊者選擇在各時區遊戲玩家集中上線的時段發動攻擊</a>。</p> <p>第一波出現在東半球24日中午，影響7個地區的Steam伺服器，時間接近1個小時；第二波同樣針對東半球，發生在24日晚間，駭客針對13個地區的伺服器發動攻擊，為期時間接近5小時最長，但是中間有間斷的情況。</p> <p>接下來的兩波攻擊，針對西半球及歐洲，而且，持續時間大幅縮短。第三波針對西半球，發生在當地24日晚間，攻擊者針對13個地區伺服器發動攻擊，過程接近15分鐘。最後一波則是發生在歐洲，也影響13個地區的伺服器，但時間不到2分鐘。</p> <p><a href="https://s4.itho.me/sites/default/files/images/steam_pic_ddos.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/steam_pic_ddos.png" style="width: 580px;" /></a></p> <p>研究人員指出，鎖定Steam發動DDoS攻擊的情況相當常見，但規模如此龐大的事故並不尋常，他們指出攻擊達到高峰時，駭客下達的命令多達25萬次，而且攻擊範圍也涵蓋遊戲代理商架設的Steam伺服器，這樣的情況，已經遠超過電信業者Verizon及其他知名企業遭遇的攻擊規模。</p> <p>再加上在黑神話：悟空正式推出之前，Steam並未發生如此規模的攻擊行動，研究人員認為駭客顯然是針對這款遊戲而來。</p> <p>而對於發動這波攻擊的殭屍網路，其中研究人員認為最值得留意的是殭屍網路Aisuru，駭客宣稱部署超過3萬個殭屍網路機器人，攻擊威力最大約為1.3 Tbps至2 Tbps。</p> </div></div></div>
2024/8/29 15:02作者周峻佑https://www.ithome.com.tw/news/164748
8萬臺灣企業開發者的成長課題
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「臺灣有多少開發者？」每一年，我會接到好幾通這樣的詢問來電或郵件。</p> <p>產業主管機關想知道該投入多少政策資源培育人才？科技大廠人資主管要評估在地IT人才庫夠不夠？公雲巨頭和晶片業者為了布局臺灣開發者生態圈而問，新創想衡量跨海招募開發好手的必要性。還有中小企業的IT主管很擔心，大廠搶過的開發人力還剩下多少？</p> <p>根據iThome 2024年CIO大調查，今年在臺灣兩千大規模企業中工作的開發人力，推估約8萬4千人。這些大企業中所有的IT從業人員約14萬人，其中約6成4是開發人員，這個比例一年比一年高，3年前只有5成3，今年已經來到6成多，企業越來越需要更多的開發能量和能力。</p> <p>這還沒有涵蓋到臺灣所有從事開發工作，或是具備開發能力的人才，還有更多小公司，獨立開發者，App開發團隊，甚至是就學中的開發人才。但，真正面對、解決大型企業級IT需求的開發者，大約就是這個數字，8萬4千人，他們也是臺灣開發者的核心。</p> <p>開發者的宿命（對有些人來則是種樂趣），就是得不斷學習、追逐新的技術發展。十年前，容器、K8s、微服務架構等雲原生技術體系，才剛成形，現在已經成了IT現代化的主流，是各大企業數位轉型的重要資訊基礎架構，更不用說最夯的生成式AI，ChatGPT爆紅不到3年，GAI輔助開發已經成了CIO非考慮不可的技術決策。</p> <p>從我們今年調查可以看到，越來越多企業的IT部門，開始嘗試、運用不同的生成式AI技術，來輔助IT的技術性工作。26%企業用GAI撰寫文件，18.5%開始嘗試GAI輔助軟體開發和程式碼優化，1成企業開始參考GAI資安助手給的建議。IT人手不足的服務業和一般製造業，這兩個產業更有破2成企業開始用GAI輔助軟體開發。若以8萬4千名企業開發從業人員來推估，可以大膽猜測，臺灣至少超過1萬5千名開發者，開始嘗試GAI輔助軟體開發，這真的是一個龐大的數據，超過1萬人已跟上最新的軟體開發GAI浪潮。</p> <p>但只是嘗試、開始用，還不夠，LLM模型、GAI工具快速進化，隔一年，就會有很大的變化，去年還在談GAI代理人應用的崛起，今年就出現了代理型流程的GAI開發（Agentic Workflow）話題。</p> <p>早在 2015年，我們就積極引介國外的Web實戰和最新的技術潮流來臺，回應臺灣開發者的焦慮和好奇。那一年開始，臺灣最大的Web開發者大會誕生，幾年來，邀請過不少國際大師級專家來臺分享，如JavaScript之父Brendan Eich、PHP之父Rasmus Lerdorf、 JSON格式發明人Douglas Crockford、《DOM Scripting》網頁開發暢銷書作者Jeremy Keith。後來幾年，更有不同國際大企業來臺分享自家開發實踐。去年，<a href="https://www.ithome.com.tw/article/160006" target="_blank"><span style="color:#3366ff;">Zalando前工程經理Andrew Howden就分享了</span></a>，一家5千億營收的歐洲電商巨頭，如何從一支PHP下單網站，發展到2千人雲原生開發團隊的轉型，獲得滿堂掌聲。</p> <p>但是，開發者的成長課題，遠不只有Web開發經驗的交流和學習，這正是為何今年我們進一步擴大開發者大會的議題範圍，從 Modern Web開發大會，轉型為<a href="https://hwdc.ithome.com.tw/2024" target="_blank"><span style="color:#3333ff;">Hello World開發者大會（HWDC）</span></a>，不只網頁開發，還涵蓋了各種開發技術、敏捷開發、開發安全、企業開發實踐、開發領導力，以及最新的AI開發浪潮，不只是臺灣最大的Web開發者大會，而要創造臺灣最大的軟體開發者的交流，光是各種開發議題的工作坊，多達48場，其中11場是AI技術與工具的工作坊。破百場議程分享中也有16場談AI開發經驗。</p> <p>開發者這幾年，相當的辛苦，好幾位IT主管都曾向我抱怨，成長課題越來越重要，得更努力才能跟上這股新科技的潮流。</p> <p>臺灣需要更多開發者間的經驗交流和學習，更多開發新手，得向擅長不同開發技術的前輩學習。各產業的企業都得借鏡科技先行企業的經驗，加速自己的步伐。各領域資深開發者之間，也得互相激盪，累積更多跨領域的觸發。CIO更需要強化開發團隊的戰力，更快掌握更多新技術。這些都是8萬名臺灣企業開發者的成長課題。</p> <p><a href="https://hwdc.ithome.com.tw/2024" target="_blank"><span style="color:#3333ff;">Hello World開發者大會</span></a>，這是我們想打造的臺灣開發者學習空間，推薦大家來玩，來成長。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/hello-world%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%A7%E6%9C%83">Hello World開發者大會</a></div><div class="field-item odd"><a href="/tags/hwdc">HWDC</a></div></div></div>
2024/8/29 14:32作者王宏仁https://www.ithome.com.tw/voice/164747
惡意驅動程式PoorTry被用於抹除EDR系統主要元件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者使用含有弱點的驅動程式，從而得到系統核心層級的權限，干擾防毒軟體或EDR運作，其中一種被勒索軟體駭客利用的驅動程式PoorTry（或叫做BurntCigar），最近被發現更具破壞威力。</p> <p>資安業者Sophos在<a href="https://news.sophos.com/en-us/2024/08/27/burnt-cigar-2/">今年7月的勒索軟體RansomHub攻擊行動</a>裡，看到駭客試圖加密電腦檔案，而被他們的端點防護機制CryptoGuard攔截。研究人員在事件調查的過程中，發現駭客在數臺電腦部署PoorTry及載入工具StoneStop，而這些新版惡意工具與過往最大的差異，在於阻擾端點防護系統運作的方式。</p> <p>研究人員指出，這起攻擊行動的過程裡，駭客利用這種惡意驅動程式來破壞EDR系統的運作，像是移除或是竄改核心通知功能，他們總共看到7個裝置輸入和輸出控制（IOCTL）程式碼傳送到EDR核心模式的元件，然後利用EDR Killer的功能終止相關處理程序，並抹除這類系統的重要EXE、DLL檔案，使得EDR系統無法再度運作。</p> <p>他們特別提及，去年<a href="http://www.ithome.com.tw/news/157011#poortry">趨勢科技發現的PoorTry</a>其實已納入相關的破壞功能，但直到這起攻擊行動才實際運用。</p> <p>針對這樣的態勢，研究人員指出，PoorTry發展至今，已從原本單純讓防毒軟體、EDR與系統脫鉤的工具，發展成類似Rootkit的惡意軟體，不只能對於控制低階作業系統功能的API進行控制，也可以直接從磁碟破壞EDR系統，從而為勒索軟體的加密工作鋪平道路。目前他們已確認有5個勒索軟體駭客組織使用這項工具，這些組織是：BlackCat、Cuba、LockBit、Medusa、RansomHub。</p> <p>此惡意驅動程式最早在2022年底由資安業者<a href="https://www.mandiant.com/resources/blog/hunting-attestation-signed-malware">Mandiant</a>、<a href="https://news.sophos.com/en-us/2022/12/13/signed-driver-malware-moves-up-the-software-trust-chain/">Sophos</a>、<a href="https://www.sentinelone.com/labs/driving-through-defenses-targeted-attacks-leverage-signed-malicious-microsoft-drivers/">SentinelOne</a>不約而同發現，趨勢科技隔年發現勒索軟體駭客BlackCat用於另一波的行動，並指出駭客為該驅動程式加入許多新功能。</p> </div></div></div>
2024/8/29 12:40作者周峻佑https://www.ithome.com.tw/news/164744