iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 18:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】9月12日，CosmicBeetle駭客針對中小企業發動勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有些駭客為了增加成功犯案的機率，他們採取與眾不同的做法，像是資安業者ESET近期透露對於駭客組織CosmicBeetle活動的觀察，就是典型的例子。</p> <p>這些駭客雖然擁有自行開發的勒索軟體，但他們也成為勒索軟體駭客RansomHub附屬組織而能借助其工具；另一方面，這些駭客也聲稱是LockBit，向受害組織進行恐嚇。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164990"><strong style="font-size: 22px;">駭客組織CosmicBeetle發動勒索軟體攻擊，鎖定中小型企業而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nomane-figure-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nomane-figure-2.png" style="width: 300px; float: right;" /></a></p> <p>從事勒索軟體攻擊的駭客組織如雨後春筍接連出現，但有駭客組織採用罕見的做法，不光加入其他犯罪團隊，甚至還會冒用別的集團的名號犯案。</p> <p>資安業者ESET針對駭客組織CosmicBeetle近期的攻擊行動提出警告，這些駭客試圖向全球的中小企業散布勒索軟體ScRansom，並疑似成為勒索軟體RansomHub旗下的附屬組織，此外，這些駭客還會模仿LockBit，並打著該駭客組織的名號犯案。</p> <p>CosmicBeetle的攻擊範圍相當廣泛，主要涵蓋歐洲及亞洲的製造、醫藥、法律、教育、衛生保健、科技、休閒旅遊、金融服務業，以及地方政府。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.talosintelligence.com/dragon-rank-seo-poisoning/">中國駭客DragonRank攻擊亞洲、歐洲IIS伺服器，意圖操蹤搜尋引擎排名</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.reversinglabs.com/blog/fake-recruiter-coding-tests-target-devs-with-malicious-python-packages">假借密碼管理系統專案測試程式碼開發能力，北韓駭客Lazarus攻擊Python開發人員</a></strong></p> <p></p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164985"><strong style="font-size: 22px;">Ivanti修補裝置管理平臺EPM重大層級漏洞</strong></a></p> <p>資安業者Ivanti本週發布9月份安全性更新公告，他們針對裝置管理系統Endpoint Manager（EPM）、安全通訊設備Cloud Service Appliance（CSA），以及使用者桌面環境管理工具Workspace Control（IWC）發布更新，其中，包含重大層級漏洞的EPM公告最值得留意。</p> <p>該公司指出，EPM 2024、EPM 2022 SU5及之前版本當中，總共發現了16個漏洞，其中有10個是重大層級。根據CVSS風險評分的高低，最嚴重的是達到滿分（10分）的CVE-2024-29847，此問題出現在代理程式的入口網站，為未受信任資料的「解序列化（deserialization）」弱點，一旦攻擊者利用，就有機會在未通過身分驗證的情況下，遠端執行任意程式碼。</p> <p>其餘9個重大層級的弱點，皆為SQL注入漏洞，通過身分驗證且具備管理權限的攻擊者，有機會遠端執行程式碼，CVSS風險評分都是9.1分。</p> <p><a href="https://www.ithome.com.tw/news/164982"><strong style="font-size: 22px;">兆勤為已終止支援的NAS設備修補重大層級漏洞</strong></a></p> <p>9月10日兆勤（Zyxel Networks）發布資安公告，指出旗下的NAS設備NAS326、NAS542存在重大層級的漏洞CVE-2024-6342，此為命令注入漏洞，CVSS風險評分達到9.8（滿分10分）。</p> <p>這項漏洞發生在NAS設備的export-cgi程式，攻擊者可在未經身分驗證的情況下，藉由發送特製的HTTP POST請求，就有機會執行部分作業系統層級的命令，影響執行5.21(AAZF.18)C0版及之前版本韌體的NAS326，以及執行5.21(ABAG.15)C0與之前版韌體的NAS542。</p> <p>值得留意的是，上述兩款設備兆勤去年底已終止相關漏洞的支援，但有鑑於漏洞相當嚴重，他們還是破例發布修補程式。</p> <p><a href="https://www.ithome.com.tw/news/164977"><strong style="font-size: 22px;">Adobe修補Acrobat可造成任意程式碼執行的重大漏洞</strong></a></p> <p>本周Adobe發布安全更新，修補PDF軟體Acrobat、Acrobat Reader可允許執行任意程式碼的2項重大層級漏洞。</p> <p>這些漏洞當中，CVE-2024-41869為記憶體釋放後再進行濫用（Use After Free）漏洞，CVE-2024-45112為型態混淆（Type Confusion）漏洞，即以不相容型態的訊息存取資源。Adobe並未詳細說明漏洞影響，但資安業者Tenable表示，兩者都可能引發任意程式碼執行。</p> <p>值得留意的是，雖然Adobe的安全公告將CVSS風險值列為7.8和8.6，但Tenable公告顯示二者評分皆高達9.8，而且，其中的CVE-2024-41869已出現嘗試利用的跡象。</p> <p><a href="https://www.ithome.com.tw/news/164972"><strong style="font-size: 22px;">Veeam修補旗下產品18個漏洞，部分可用遠端執行程式碼攻擊</strong></a></p> <p>備份與資料保護軟體廠商Veeam，於9月4日發布Veeam Backup & Replication備份軟體、Veeam Agent for Linux備份代理程式、Veeam ONE監控工具，Veeam Service Provider Console遠端管理控制臺，還有Veeam Backup for Nutanix AHV Plug-In程式，以及Veeam Backup for Oracle Linux Virtualization Manager and Red Hat Virtualization Plug-In等6套產品或工具，一共18個漏洞，並分別釋出修補版本。</p> <p>無論就漏洞數量、涉及的產品範圍，以及漏洞的嚴重程度來看，Veeam這次發佈的安全公告，都是該公司過去罕見的重大安全更新。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/ics-patch-tuesday-advisories-published-by-siemens-schneider-abb-cisa/">西門子、施耐德電機、ABB、美國CISA針對工控系統漏洞發布資安公告</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/september-2024.html https://onapsis.com/blog/sap-patch-day-september-2024/">SAP發布9月更新，公告BusinessObjects重大漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-01071.html">Intel發布9月例行更新，公告逾20個漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164966"><strong>【9月11日】微軟發布9月例行更新，揭露與修補4個已被用於攻擊行動的零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164953"><strong>【9月10日】勒索軟體駭客將SonicWall防火牆重大漏洞用於實際攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164937"><strong>【9月9日】鎖定臺灣衛星及軍事工業的中國駭客組織TIDrone引起研究人員關注</strong></a></p> </div></div></div>
2024/9/12 17:58作者周峻佑https://www.ithome.com.tw/news/164991
駭客組織CosmicBeetle發動勒索軟體攻擊，鎖定中小型企業而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從事勒索軟體攻擊的駭客組織如雨後春筍接連出現，但有駭客組織採用罕見的做法，不光加入其他犯罪團隊，甚至還會冒用別的集團的名號犯案。</p> <p>資安業者ESET針對<a href="https://www.welivesecurity.com/en/eset-research/cosmicbeetle-steps-up-probation-period-ransomhub/">駭客組織CosmicBeetle<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">近期</span>的攻擊行動</a>提出警告，這些駭客試圖向全球的中小企業散布勒索軟體ScRansom，並疑似成為勒索軟體RansomHub旗下的附屬組織，此外，這些駭客還會模仿LockBit，並打著該駭客組織的名號犯案。</p> <p>CosmicBeetle的攻擊範圍相當廣泛，主要涵蓋歐洲及亞洲的製造、醫藥、法律、教育、衛生保健、科技、休閒旅遊、金融服務業，以及地方政府。</p> <p>究竟駭客如何入侵受害組織？研究人員指出，CosmicBeetle通常會使用暴力破解的方式來進行，但也會利用多個應用系統的已知漏洞，這些包括永恆之藍CVE-2017-0144、AD權限提升漏洞CVE-2021-42278及CVE-2021-42287、Zerologon（CVE-2020-1472），以及Fortinet SSL VPN漏洞CVE-2022-42475、Veeam備份軟體漏洞CVE-2023-27532。研究人員特別提及，雖然這些駭客的能力並不強，但是仍對受害組織造成危害。</p> <p>他們特別提及ScRansom的結構並不複雜，從相關攻擊行動裡，突顯這些駭客在勒索軟體的領域不夠成熟。研究人員發現，駭客的解密工具雖然能正常運作，但在解密過程通常需要多組金鑰，而且還會出現部分檔案面臨永久性破壞的情況，換言之，受害者若是選擇低頭向駭客付錢，很有可能無法完全正常復原所有資料。</p> <p>特別的是，這些駭客並非單純使用自己的勒索軟體犯案，還加入其他駭客組織，甚至佯稱是惡名昭彰的犯罪集團。</p> <p>在今年6月的勒索軟體ScRansom攻擊行動裡，駭客試圖攻擊印度製造業，但在植入勒索軟體並未成功之後，這些駭客先是企圖使用自己的工具移除EDR系統的防護，但事隔數日，他們竟然開始運用RansomHub的工具，癱瘓EDR系統並執行檔案加密。</p> <p>由於RansomHub的工具並未遭到外流，因此研究人員認為，CosmicBeetle很有可能成為旗下附屬組織，而能使用相關工具。</p> <p>另一方面，研究人員也發現這些駭客使用外流的LockBit產生工具從事攻擊的跡象，他們先是在去年9月看到駭客架設名為NoName的資料洩露網站，但該網站除了顏色的配置，整個版型幾乎與LockBit一致，而網頁上的受害組織，多半是遭到LockBit攻擊。</p> <p>到了11月，這些駭客更進一步註冊新的網域名稱，並在網站上直接使用LockBit的相關名稱與標誌。</p> </div></div></div>
2024/9/12 17:15作者周峻佑https://www.ithome.com.tw/news/164990
AI趨勢周報第254期：比現有最佳方法好3到300倍，DeepMind新模型可生成蛋白結合劑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0906～0912)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google DeepMind </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AlphaProteo </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蛋白結合劑 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>加速癌症新藥發現！DeepMind新模型可生成高親和蛋白結合劑</strong></span></p> <p>最近，Google DeepMind打造一款AI模型AlphaProteo，可用來生成蛋白結合劑（Binder），且與多種標靶蛋白高度親和。團隊指出，AlphaProteo可生成與癌症和糖尿病併發症相關的VEGF-A蛋白結合劑，號稱是首款能做到這件事的AI模型。</p> <p>就模型本身來說，AlphaProteo是以大量蛋白質結構數據訓練而成，這些數據來自蛋白質數據庫（PDB）和1億多個AlphaFold產出的預測結構，團隊用這些數據，來讓模型學習蛋白質相互結合的過程。</p> <p>訓練完成後，團隊進行測試，用AlphaProteo針對7種標靶蛋白，包括2種病毒蛋白BHRF1和SC2RBD，以及5種與癌症、發炎和自體免疫疾病有關的蛋白IL- 7Rɑ、PD-L1、TrkA、IL-17A和VEGF-A等，來生成這些蛋白的結合劑。與現有最佳方法相比，AlphaProteo生成的結合劑不只成功率更高，其結合親和力還高出3到300倍。也就是說，這些新型蛋白結合劑在實際應用中，更有可能成功結合到標靶蛋白上，對癌症和糖尿病等疾病治療有潛在應用價值，可用於新藥發現和生物感測器開發領域。<a href="https://deepmind.google/discover/blog/alphaproteo-generates-novel-proteins-for-biology-and-health-research/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-09-12%20155545.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MoE </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 艾倫AI研究院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OLMoE </span></strong></span></p> <p><span style="font-size: 22px;"><strong>艾倫AI研究所聯手打造更節能的MoE語言模型</strong></span></p> <p>日前，艾倫AI研究院、新創Contextual AI聯手打造一款混合專家（MoE）語言模型OLMoE並開源，不只表現好，所需的運算資源還更少。這款模型雖然有70億參數，但對於每個輸入值，只會啟用13億參數，因此與Llama 2-13B等更大的模型相比，其表現相當但所需的推論運算資源更少了。</p> <p>也由於MoE架構特性、更好的訓練數據和超參數，這款模型比前一代模型OLMo 7B要有效率，省下了4倍訓練FLOPs運算資源、每次向前傳遞的使用參數量也少了5倍，在推論和訓練方面都更划算。這次，他們不只開源模型權重，還開源了訓練資料、程式碼和日誌，允許其他開發者在OLMoE的基礎上進行改良。<a href="https://blog.allenai.org/olmoe-an-open-small-and-state-of-the-art-mixture-of-experts-model-c258432d0514">（詳全文）</a></p> <p><img alt="" src="https://miro.medium.com/v2/resize:fit:1100/format:webp/1*IOrQrFmal7vKkIJzpZILUw.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI生態圈 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行政院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size: 22px;"><strong>行政院經發會首次顧問會議聚焦AI生態圈</strong></span></p> <p>9月3日行政院展開今年度首次經濟發展委員會顧問會議，鎖定創新經濟、均衡臺灣和包容成長等3大主題，其中，創新經濟又聚焦2大議題，包括「建構主權AI生態系」和「以市場需求帶動創新創業發展」。這次委員會顧問群由21位產官界重量級人士組成，如台新金董事長、玉山金董事長、臺哥大總經理、91App董事長、YouTube創辦人等人。</p> <p>就建構主權AI生態系來說，又可分為2部分。首先是主權AI發展策略，顧問群針對臺灣如何發展繁中大語言模型、如何確保繁中資料庫多樣性和品質、如何帶動產業發展系統設計和創新應用服務等議題提出建議，比如針對發展本地模型，就建議政府，短期以開源LLM為基底，增加在地資料訓練，之後再發展完全自行開發和維護LLM的能力。另也建議政府與民間企業合作，包括跨部門協助磨合大規模企業，透過大攜小、老創+新創的方式，輔以政府基金來達到整併規模化。顧問群也建議，政府應優先處理基礎建設工作，擁有足夠的計算資源和穩定電力供應，才能支援AI技術發展。</p> <p>在確保繁中資料庫部分，則建議由政府指定專責單位，建立主權共同資料庫，以及建立AI監督、問責和評估制度，來把關資料運用。至於帶動產業面向，則建議數發部整合資源，來從人才、產業（選定優先發展產業）、基礎設施（如資料中心、語料庫、LLM基礎設施等）和信任安全規範（如可信任AI發展準則、資料治理與交換）等面向設定戰略目標。</p> <p>此外，建構主權AI生態系還有另一個重要議題：如何帶動百工百業／中小微企業AI轉型。在這部分，顧問群建議，由於百工百業範圍廣泛，政府應選擇數位化程度較高的重點產業，優先提供深入課程和AI導入。他們也建議，政府應鼓勵產業共組聯盟，像是半導體與電子製造、傳統製造、醫療保健、智慧城市與交通、金融業等先來實行。此外，他們也建議政府打造沙盒和友善環境，提供業者、主管機關容錯空間，另也應在各行業選出具參考價值的企業轉型典範，作為產業界示範，好進一步推廣。<a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/f825253d-5c7b-4283-8998-8e4c30261a8c">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-09-12%20155921.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 行政院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI治理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>行政院提五大信賴方案，要提高特定產業AI應用普及率達50%</strong></span></p> <p>9月5日，國發會在行政院院會中揭露五大信賴產業推動方案，鎖定半導體、AI、軍工、安控、次世代通訊等五大產業。在半導體方面，該方案要協助廠商發展先進製程與封裝、材料及設備，目標是2028年要新增產值新臺幣2.6兆元。</p> <p>在AI方面瞄準5大面向，包括應用發展、人才、政府投資、研發創新和鞏固基盤。就應用來說，要透過補助、採購、租稅誘因和建立產業專家資料庫等方法來促進各行業導入AI，包括政府機關在內。特別的是，他們設定KPI要提升數位經濟產業導入AI應用普及率達50%，製造業導入AI應用普及率則要達30%。</p> <p>人才部分，則要在4年內培育20萬名AI數位相關人才，另也鎖定產學研合作，來培育碩博士高階人才和企業即戰力人才。政府投資是指數發部整合行政院國家發展基金100億元，要投資AI數位產業，而在創新部分，是要吸引國際半導體和AI大廠來臺設立研發中心，最後的鞏固基盤，則要新建智慧節能資料中心、擴大算力和引進低耗能方案，也要精進繁中語言模型、開發多元產業落地應用。不只如此，他們也將發布AI基本法和產業AI指引，並推動AI評測、完善AI治理。</p> <p>至於其他產業，軍工業方面將持續推動國機國造、國艦國造、打造無人機供應鏈，預計至2028年無人機產值要成長10倍。安控產業則要協助國內安控產業發展可信賴的安控產品與解決方案、積極發展資安。至於次世代通訊產業，除將布局6G關鍵自主技術，也將整合地面與衛星網路，發展各項應用場域與解決方案。<a href="https://www.ey.gov.tw/Page/448DE008087A1971/6adcf735-0357-45f4-84cb-a0500fed31cb#:~:text=%E8%A1%8C%E6%94%BF%E9%99%A2%E9%99%A2%E6%9C%83%E4%BB%8A,%E9%9F%8C%E6%80%A7%EF%BC%8C%E4%BF%83%E4%BD%BF%E8%87%BA%E7%81%A3%E6%88%90%E7%82%BA%E7%B6%93%E6%BF%9F">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-09-12%20160548.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 數發部 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI培訓 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公務員 </span></strong></span></p> <p><span style="font-size:22px;"><strong>數發部預計12月提出公務機關AI應用指引</strong></span></p> <p>在數位政府高峰會中，數發部數位政府司長王誠明揭露，數發部計畫在2026年到2030年推動政府轉型，並在2026年前推出配套措施，指導政府機關導入AI。數發部預計在今年12月發布AI應用指引，來幫助機關達成轉型目標。</p> <p>王誠明指出，數發部正由專家協助研擬AI應用指引，未來AI應用指引的內容將涵蓋AI概念介紹、AI服務評估、AI服務導入、AI營運管理4大章節，共23個子章節。其中，AI服務評估是指，協助機關評估AI是否為適合的解決方案，包含機關面臨的問題如何定義、資料狀態是否準備妥當、政府公開的AI實證等；AI服務導入則包含導入模式、AI專案過程、AI專案驗收標準等。AI營運管理涵蓋風險管理、倫理議題、資安、AI治理等面向。</p> <p>數發部透露，應用指引將AI專案生命周期分為5階段，包括AI場景評估、建置AI專案、資料準備及模型開發、測試迭代、風險控制和專案追蹤，每個階段有其對應的目標及任務。為因應最困難的驗收部分，AI應用指引將提供4個驗收指標，包括模型性能標準、系統穩定性、使用者體驗標準、公平性指標等，但因為AI仍在發展中，指標也會隨之變動。<a href="https://www.ithome.com.tw/news/164798">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Anthropic </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Claude Enterprise </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GitHub </span></strong></span></p> <p><span style="font-size:22px;"><strong>Anthropic推出企業版AI方案</strong></span></p> <p>AI新創公司Anthropic日前揭露企業級Claude AI助理方案：Claude Enterprise，鎖定500人以上的大型企業，強調更周全的安全控管功能，也不會使用企業資料來訓練AI模型。這個最新方案，可讓企業安心用Claude和公司內部資料，來執行專案或協同工作，該方案也提供更大的Claude AI脈絡長度、管理功能、安全性和開發便利性等，包括提供Claude 500K脈絡長度，大約是數百個業務謄本、數十份上百頁的文件或中型程式碼庫，足夠讓Claude提供更專業、更符合部門功能需求的回應和指引。</p> <p>再來，企業版方案提供更進階的安全和控制功能，像是單一簽入與網域獲取，可管理用戶存取並將使用控制集中化。他們還預告，接下來幾周會推出2項管理功能，如能追蹤系統活動使用的稽核紀錄、跨網域身份管理系統（SCIM）等。此外，企業版還加入和GitHub的原生整合功能，工程團隊可將Claude與GitHub儲存庫同步，配合codebase開發新功能、除錯或為新工程師提供入職訓練。<a href="https://www.anthropic.com/news/claude-for-enterprise">（詳全文）</a></p> <p><img alt="" src="https://www.anthropic.com/_next/image?url=https%3A%2F%2Fwww-cdn.anthropic.com%2Fimages%2F4zrzovbb%2Fwebsite%2F13bdd665b8f4dfe5ad0357c7a482816c0f99ec08-1920x1080.png&w=3840&q=75" /><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> Visual Studio </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> Copilot </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語境理解 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Visual Studio 2022深度整合GitHub </strong></span><strong style="font-size: 22px;">Copilot</strong></p> <p>微軟Visual Studio 2022 17.11針對GitHub Copilot更新，提升在開發流程中整合Copilot，首次讓開發者能引用整個解決方。此外，Copilot還在Visual Studio 2022中新增多項功能，像是強化語境理解，以及對除錯和命名上的理解，進一步提高開發者生產力和開發效率。</p> <p>過去Copilot可應用的範圍較小，是因為其能引用的上下文較為限縮，但在Visual Studio 2022 17.11中，Copilot增加@workspace和@GitHub新指令功能，可將整個解決方案，甚至是儲存庫納入參照的上下文中。除了指令功能，Copilot的程式開發輔助功能也有改善，比如添加命名建議和AI生成的中斷點表示式功能，以及迭代程式碼建議的方法，不需要像過去一樣先接受建議、避免接受後還要再修改的麻煩。<a href="https://code.visualstudio.com/updates/v1_59#_terminal">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 軟體開發 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI工具 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式碼 </span></strong></span></p> <p><span style="font-size:22px;"><strong>GitHub：生成式AI正改變軟體開發</strong></span></p> <p>GitHub針對AI在軟體開發中的使用狀況進行調查，發現AI正在改變軟體開發產業，幾乎所有開發者都已使用AI工具輔助程式開發，並享有AI工具帶來的優點，包括改善程式碼品質、更快速編寫測試程式碼，以及更容易理解程式碼庫和開始使用新語言。</p> <p>在GitHub調查的2,000位受訪者中，超過97％的受訪者在軟體開發使用過AI程式碼開發工具，無論工作內外，但他們的使用並不一定經過公司允許。調查顯示，企業雖正逐漸擁抱AI，但仍有許多成長空間，且不同市場差異極大，較保守的德國僅有59％的企業鼓勵或允許員工使用AI工具，在美國則有88％。也因此，對比97％的受訪者已將AI工具用於工作內外的軟體開發，企業態度與這個現象有所差距，顯示企業應該要完善策略與政策面，來消弭差異。<a href="https://github.blog/news-insights/research/survey-ai-wave-grows/#the-reported-benefits-of-ai-coding-tools">（詳全文）</a></p> <p><img alt="" src="https://github.blog/wp-content/uploads/2024/08/image2.png?w=1536" /></p> <p>圖片來源／Google DeepMind、艾倫AI研究院、行政院、Anthropic、GitHub</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Google Gemini新增可客製化的個人助理Gem、全面部署Imagen 3圖片生成模型</strong></p> <p><strong>2. Anthropic公布旗下3款模型系統提示，可先定義模型行為、語氣和個性</strong></p> <p><strong>3. 國科會揭5年智慧科技大南方方案，要提高國家算力至480 PFLOPS</strong></p> <p>資料來源：iThome整理，2024年9月</p> </div></div></div>
2024/9/12 16:17作者王若樸https://www.ithome.com.tw/news/164989
Credential Manager成預設，Google將於2025年底前移除舊的Android身分驗證API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://android-developers.googleblog.com/2024/09/streamlining-android-authentication-credential-manager-replaces-legacy-apis.html">計畫</a>在2025年底前，移除包括Smart Lock for Passwords等多個身分驗證API，取而代之的是，Google在2023年推出的Android Credential Manager，其整合了Passkeys、Google帳號登入，以及密碼登入功能，提供統一身分驗證體驗，簡化用戶的登入流程。官方敦促開發者應儘速遷移使用Credential Manager，以符合未來身分驗證標準。</p> <p>相關的API包括Smart Lock for Passwords API、Credential Saving API、Google帳號登入按鈕API、One Tap Sign-in API與Google Sign-In for Android (GSI) API。這些API目前都已經進入棄用階段，並將於2025年底前移除完畢。</p> <p>具體來說，Smart Lock for Passwords已經於2024年移除，並計畫在2025年第一季完全關閉。Credential Saving API和Google帳號登入按鈕API則預計在2025年上半年移除，而One Tap Sign-in API與Google Sign-In for Android (GSI) API則會在2025年下半年移除。</p> <p>棄用、移除和完全關閉為Android SDK淘汰API的狀態。棄用表示API仍在使用，但即將被移除，而移除階段則代表API雖然還在運作，但已經從SDK中移除，完全關閉則是指API所有功能停止。</p> <p>Credential Manager是Google在2023年推出的Android身分驗證管理工具，支援Passkeys，提供更安全的驗證方式，讓使用者不需要輸入帳密即可快速完成登入。此外，Credential Manager統一整合了Google帳號登入和密碼登入功能，提供使用者簡單且安全的登入體驗，進一步最佳化登入流程。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0912-Credential%20Manager%20for%20Android(1).png" style="width: 270px;" /></p> <p>除此之外，Credential Manager也支援第三方密碼管理器，提升憑證安全性和方便性。對開發者而言，Credential Manager簡化了登入邏輯，並以單一現代化API整合，降低開發維護成本，還支援未來的各種新功能擴充。</p> </div></div></div>
2024/9/12 16:28作者李建興https://www.ithome.com.tw/news/164987
兆勤為已終止支援的NAS設備修補重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月10日兆勤（Zyxel Networks）發布資安公告，<a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-os-command-injection-vulnerability-in-nas-products-09-10-2024#">指出旗下的NAS設備NAS326、NAS542存在重大層級的漏洞CVE-2024-6342</a>，此為命令注入漏洞，CVSS風險評分達到9.8（滿分10分）。</p> <p>這項漏洞發生在NAS設備的export-cgi程式，攻擊者可在未經身分驗證的情況下，藉由發送特製的HTTP POST請求，就有機會執行部分作業系統層級的命令，影響執行5.21(AAZF.18)C0版及之前版本韌體的NAS326，以及執行5.21(ABAG.15)C0與之前版韌體的NAS542。</p> <p>值得留意的是，上述兩款設備兆勤去年底已終止相關漏洞的支援，但有鑑於漏洞相當嚴重，他們還是破例發布修補程式。</p> </div></div></div>
2024/9/12 13:58作者周峻佑https://www.ithome.com.tw/news/164982
十年前大膽押寶雲原生技術，翰林教科越挫越勇鍛造創新力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>那一年，疫情突然進入三級警戒時，全臺學校緊急改成遠距教學，連學生考試都改在家裡線上進行，各種數位教育平臺、視訊教學用量大暴增，主打國中小、高中線上學習、測驗的翰林教育科技（以下簡稱翰林教科）也不例外。</p> <p>考試開始！許多學校，用早自習的小考，展開一天的課程，分散各地的學生，紛紛打開線上考卷，測驗平臺得撐住瞬間湧入的數十萬人次流量，系統不能卡，每一題的答案都不能漏掉，這是翰林教科IT在疫情的日常。</p> <p>為了因應這波緊急線上考試需求，翰林教科不到一周時間，開發出一款不怕爆量的線上測驗服務，疫情期間，每天處理的線上測驗卷經常超過30萬張，因為採取逐題回傳的設計，後端系統一天處理的前端請求量高達上百萬次，線上測驗服務都能如常運作。這個快速開發的IT應變能力，是翰林教科十多年來，不斷追求新技術練兵的累積。</p> <p>早在2010年，不少企業還在摸索公雲是什麼，翰林教科就大膽採用公雲，而非自建機房。2014年，Docker問世不到一年，還在高速發展中，翰林教育科技技術長林右翔就決定導入容器技術，趁機將單體式系統拆解成微服務架構，甚至自己開發了一套類似Kubernetes的容器調度系統，來管理正式環境上的大量容器，當時K8s還是一個剛起步的開源專案。</p> <p>為何一次又一次的擁抱最新，甚至是才剛問世的技術？他認為，公司正處於成長前期，尚未出現需要認真守住的商業模式，所以，「我們投資在彈性，讓每個專案都有技術選擇自由，目標是在未來把握各種機會。」一路上，翰林教科不斷強化技術架構的彈性，時至今日，團隊開發環境沒有過多限制，「工程師開發新專案時，可以自行決定採用的語言和框架。」林右翔說。保持彈性，是他的堅持。</p> <p><span style="font-size:28px;"><strong>2014年就採用Docker，甚至在K8s問世前自建容器調度工具</strong></span></p> <p>翰林教科來自一家老字號出版社的轉型成果。創立超過60年的翰林出版社，在2010年成立一個新部門，數位部專案學習組，負責將既有產品整合、強化為多功能的數位產品，這個團隊後來獨立成了一家子公司，也就是翰林教育科技。林右翔是一開始就加入這個團隊的元老級成員。</p> <p>2010年，三大公雲問世沒幾年，臺灣許多企業對新興的雲端技術仍有不少戒心，但，林右翔很快看到了公雲的潛力。自建機房成本太高，以量計價的雲端服務，能降低許多基礎設施成本，非常適合剛起步的創新部門。在高層支持下，翰林教育科技，很快就將服務部署到公雲，打下了後來快速跟進雲原生技術的重要基底。</p> <p>2013年，Docker隔空出世，林右翔和團隊第一時間就看上這項新技術。他回憶，當時正處業務開發階段，快速迭代、測試不同版本產品是團隊首要目標。Docker的快速封裝能力，正好滿足他們的需求。並且，Docker可以讓多個容器化應用共用同一臺主機，有助於降低成本，更讓林右翔躍躍欲試。隔年Docker釋出正式版後，翰林教科也開始將這項新興技術落地到產品環境上。</p> <p>這個技術決策，不僅開啟了翰林教科的雲原生之路，也讓技術架構慢慢走向彈性化。不過，實際挑戰仍在後頭。將容器化技術運用在正式環境後，林右翔和團隊漸漸將既有單體式架構轉成微服務架構。</p> <p>起初，林右翔按照功能數量來切分，最多五個對外功能就要獨立成一隻獨立模組來設計微服務，但這個拆分作法過細，反而增加了不少維運困擾。例如，當某個頁面出錯，工程師無法快速判斷錯誤根源，得花時間查找資料，才能確認從哪個模組進行修復。後來，林右翔改以業務邏輯作為主要拆分依據，例如，將會員登入、註冊、忘記密碼和會員資料修改等功能整合為獨立模組，來減少複雜度。</p> <p>不過，開發這些模組的程式語言不只一種，測試和部署的問題慢慢浮現。「工程師改寫不同程式的語言不難，難的是無法確定是否改對。」林右翔解釋，採用微服務架構最大挑戰是，無法進行有效測試和部署，直到後來，導入CI/CD，才解決了這個問題。林右翔要求每個模組專案都要設置CI/CD，「這是對所有專案的唯一要求。」如此一來，能降低不同開發語言維護難度，讓後續拆分服務時，更不受維運人力資源限制。</p> <p>除了模組所用技術的差異，重要業務邏輯的模組規模不斷變大，也讓團隊十分困擾。林右翔坦言，團隊曾多次拆分過於龐大的模組，以維持技術架構彈性和可維護性。為了確保每次拆分能達到最佳效果，林右翔訂立了服務拆分評估機制。他表示，當工程師發現特定模組過於龐大、邏輯錯綜複雜，難以在同個模組中新增功能，「這就是一個徵兆。」另外，他們以單人維運單一模組作為評斷依據，當維運單一模組的工作量大於個人工程師負荷量，例如，工程師修改一個Bug所需時間過長，就需要考慮進一步拆分模組。</p> <p>在拆解服務之際，為了快速更版應用程式和服務，林右翔和團隊也自行打造了一套容器調度工具。他們以RancherOS作為容器作業系統，並以Consul作為服務發現機制，外加自建指令集、腳本來建立容器調度機制，能自動偵測服務健康狀態，並且動態重啟故障服務，快速進行版本更新和退版。直到後來，Kubernetes專案逐漸成熟之後，翰林教科才改用K8s來取代自建的容器調度工具。</p> <p>不過，當時K8s尚在發展期，版本迭代速度快，連帶周邊開發工具也快速迭代，翰林教科團隊不得不屢次更版，徒增不少維運工作。一直到，GKE服務在臺灣上線，團隊快速將部分服務從AWS遷移至GCP臺灣機房，交給雲端供應商負責維運，卸下了維運自建K8s的重擔。回想這段過程，林右翔忍不住感嘆道，「這是我碰過數一數二難的維運任務！」</p> <p><span style="font-size:28px;"><strong>2016年就運用無伺服器服務解決爆量問題</strong></span></p> <p>一路上使用雲原生技術，讓林右翔印象深刻的並不是每一次挑戰，而是雲端技術快速產品化的現象，一項複雜的雲端技術，沒多久就會變成一款容易上手的雲端服務。後來的採用者，只需付出低成本，就能解決過去耗時、耗力又耗費的任務。無伺服器服務就是其中一項例子。</p> <p>翰林教科剛起步時，曾歷經一次重大業務策略轉變，從B2C，轉向以B2B為主商業模式，改鎖定補習班、學校作為目標客群。這個策略轉變，帶來了不少商機，但也帶來了高併發流量的挑戰。例如，一到早自習時段，七點半鐘聲一響，高達數十萬名學生可能在同一秒進行登入，就是最典型的情況。</p> <p>當AWS推出無伺服器架構服務，翰林教科意識到這項服務能有效緩解高併發流量問題。一方面，可以把基礎架構的維運交給雲端供應商處理，讓開發團隊更專注在精進、優化軟體架構，另一方面能以相對低的成本，提供穩定性更高的服務。</p> <p>2015年，翰林教科快速實驗無伺服器架構服務後便正式採用。不過，早期無伺服器架構存在不少限制，讓他們吃盡苦頭。</p> <p>林右翔解釋，早期的無伺服器服務，水平擴張速度有限，無法跟上快速湧進的爆量需求。因此，針對早自習考試這類定時性的爆量任務，翰林教科額外設置處理機制，在表定上課時間前十分鐘，預先傳送大量請求到無伺服器服務，提前擴張用量的規模。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1199-CTO-600-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89-JPG.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>運用生成式AI生成初版程式碼，再讓初階工程師與工具來回修正</strong></span></p> <p>不只持續完善基礎設施的技術架構，林右翔也持續精進所用的軟體技術架構，採用更新穎的技術作法。例如，2016年，翰林教科就棄用了伺服器端渲染技術（Server Side Render，簡稱SSR），採用前後端分離架構，完全透過Web API來產生前端的網頁。並且，為了降低成本，翰林教科在持續採用Java的條件下，導入適合K8s的Java框架Quarkus，提升運作在JVM的Pod啟動速度，同時降低記憶體使用量。</p> <p>這兩年爆紅的生成式AI，自然也成了他關注的重點。林右翔認為，若能善用LLM開發框架Langchain，有望打造出可以動態產生、動態執行程式碼的工具。如同一個自動程式編輯器，能根據輸入的任務自動決定如何調用相關 API 來取得資料，並給出回應。他們正在實驗這樣的新興GAI開發框架。</p> <p>不只如此，翰林教科也嘗試用生成式AI來改變軟體開發的流程。林右翔表示，過往的軟體開發分工，資深工程師設計專案架構，而由初階工程師負責實作出程式碼，最後，再由資深工程師進行檢核、修正。他們改用生成式AI實作出程式碼的第一個版本，由初階工程師取代資深工程師，來進行檢核，負責修正這些自動生成的程式碼，初階工程師再反覆利用GAI開發工具，來回修正、查錯來完成開發任務。</p> <p>這一路實作，也改變了林右翔對生成式AI的看法。起初，他認為，生成式AI可能會排擠了初階工程師工作，如今他才意識到，受影響的是中高階工程師。</p> <p>他解釋，生成式AI開發輔助工具的誕生，讓初階工程師在職涯初期，就能接受到中高階工程師的職業訓練，「未來，初階工程師會用更短的時間，勝任中高階工程師的職業水平。」</p> <p><span style="font-size:28px;"><strong>持續跟進新興技術，不怕快速迭代的維運挑戰</strong></span></p> <p>從大膽採用雲端原生技術，到快速跟進生成式AI，林右翔經歷不少次快速迭代衍生的挑戰，直到新產品推出，才解決過去的困擾。看似做了不少白工，但林右翔認為，與其等待，不如先自己出手，才能在強大商機出現時快速掌握。</p> <p>一次又一次學習新興技術的迭代過程，讓翰林教育科技鍛鍊出一股勇於創新的心態。「這些經驗讓我的心臟越來越大顆。」林右翔表示：「只要妥善規畫，哪怕得多花一些時間，終究能撐過去。」超過十多年的鍛造，林右翔和團隊越挫越勇，養出不畏創新的技術力。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><strong>翰林教育科技技術長　林右翔</strong></p> <p>學歷：致理科大財金系</p> <p>經歷：畢業後至證券業工作，因接觸程式交易而對軟體開發產生興趣。初期偏好開發遊戲和前端應用，投入許多時間實驗Flash，並在相關論壇上發表自建遊戲。因緣際會被軟體新創公司找上，開始從事IT工作，而後加入翰林出版成立的新部門，並在新部門獨立為翰林旗下子公司後擔任翰林教育科技技術長。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1199-CTO-300-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.JPG" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>翰林教育科技</strong></p> <p>●地址：新北市中和區建一路136號8樓</p> <p>●成立時間：2017年（前身為翰林出版在2010年成立的數位部專案學習組，於2017年獨立為翰林出版子公司翰林教育科技）</p> <p>●主要業務：國小、國中、高中線上課程平臺</p> <p>●員工數：約70人</p> <p>●董事長：陳威任</p> <p>●資訊部門名稱：工程部</p> <p>●資訊部門主管職稱：技術長</p> <p>●資訊部門主管姓名：林右翔</p> <p>●資訊部門人數：約15人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2010年：翰林出版成立數位部專案學習組，從公雲上開始建立數位教育產品服務。</p> <p>●2014年：開始在內部實驗、測試 Docker。推出B2B教學測驗分析平臺。</p> <p>●2015年：正式導入Docker後開始將單體式架構轉為微服務架構，並自建類Kubernetes容器調度工具。開始採用無伺服器服務(AWS lambda)</p> <p>●2016年：採用AWS Fargate來解決需要大量算力的非同步任務問題。完整提供小中高各領域線上課程。</p> <p>●2017年：改採用開源Kubernetes，將維護工作交由開源社群，並在GCP臺灣機房支援GKE服務後，將部分服務遷移至GCP臺灣機房。</p> <p>●2019年~2021年：B2B線上教學測驗分析平臺陸續推出多種服務，包括運用AI打造智能派卷服務，能自動指派學生曾答錯的同類型題目。</p> <p>●2022年~2024年：B2C線上課程平臺陸續推出多種服務，包括學生個人檢測報告、解題論壇、學生客製化排課系統等。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1199-cto-960-she_ying_hong_zheng_wei_.jpg" width="960" height="420" alt="" title="翰林教育科技技術長林右翔　（攝影／洪政偉）" /></div></div></div>
2024/9/12 15:19作者李昀璇https://www.ithome.com.tw/people/164980
Ivanti修補裝置管理平臺EPM重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Ivanti本週發布<a href="https://www.ivanti.com/blog/september-2024-security-update">9月份安全性更新公告</a>，他們針對裝置管理系統Endpoint Manager（EPM）、安全通訊設備Cloud Service Appliance（CSA），以及使用者桌面環境管理工具Workspace Control（IWC）發布更新，其中，<a href="https://forums.ivanti.com/s/article/Security-Advisory-EPM-September-2024-for-EPM-2024-and-EPM-2022">包含重大層級漏洞的EPM公告</a>最值得留意。</p> <p>該公司指出，EPM 2024、EPM 2022 SU5及之前版本當中，總共發現了16個漏洞，其中有10個是重大層級。根據CVSS風險評分的高低，最嚴重的是達到滿分（10分）的CVE-2024-29847，此問題出現在代理程式的入口網站，為未受信任資料的「解序列化（deserialization）」弱點，一旦攻擊者利用，就有機會在未通過身分驗證的情況下，遠端執行任意程式碼。</p> <p>其餘9個重大層級的弱點，皆為SQL注入漏洞，通過身分驗證且具備管理權限的攻擊者，有機會遠端執行程式碼，CVSS風險評分都是9.1分。</p> <p>針對上述漏洞，該公司已為EPM 2024發布了熱修補程式，並對於EPM 2022推出SU6更新，值得留意的是，EPM 2024的熱修補程式必須已安裝特定更新才能套用，對此，他們也規畫之後會提供EPM 2024更新套件SU1。</p> </div></div></div>
2024/9/12 15:29作者周峻佑https://www.ithome.com.tw/news/164985
打造可永續的工作方式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據古老的法則，生產力的關鍵在於勤懇任事、能者多勞、孜孜不倦。當你可以利用週六完成某些待辦事項時，為什麼「浪費光陰」？人們往往以做好待辦清單上多少事情來定義生產力。然而，我們怎麼確認清單列出的都是使命必達的大事？我們如何知道，選擇某件事投注時間，高度精力會不會相應產生最佳成果？倘若我們日夜操勞，明天會不會因為過度疲憊而想不出好主意？</p> <p>生產力是 <strong><span style="color:#3399ff;">①明確地界定自己想做的事、②撥出恰當的時間在對的地方工作，以及③於設定的期間內落實計畫。</span></strong>始終如一地實踐這三點，我們便能確定自己找到上線時間（uptime）。</p> <p>在電腦領域，「上線時間」意指硬體或網路運作及產生成效的時段。而在我們的世界裡，不論我們選擇做什麼，上線時間是我們工作和發揮生產力的時光。你的上線時間可能用於履行職務、養兒育女、經營事業、學習成長或從事藝術創作。上線時間不只有生產力發揮到極致的時刻，更確切地說，它是指在你最高效的日子裡的一切精力流。上線時間是你全神貫注「進入心流狀態」、完成事情、處理好待辦事項的時段。而在你選擇超脫一切工作、鬆弛身心時，你也處之泰然、享受當下。你做自己想做的任何事情，並感到心滿意足。</p> <p>上線時間從整體的觀點來衡量事情──我們能夠成就什麼、可以運用哪種方法、可能獲得多大的幸福感、如何帶來創新與穩定工作，以及化解過勞問題？新冠肺炎全球大流行期間，我們見證了「朝九晚五」不再是可行的辦公模式。我們當前亟需工作量、工作時間、進度表的管理方法，以及使自己成為更優異的職場工作者和更快樂的人必備的各項工具與技能。</p> <p>上線時間是可以永續的工作方式。忙碌的一天和高效的一天之間的差別在於，精力、專注力和影響，這三者事關重大。關鍵是時間和專注力能相輔相成，產生最大效益。而且最重要的是運用種種時間管理工具背後的意圖，而不是工具本身。</p> <p><span style="font-size:28px;"><strong>生產力＝願景＋執行力</strong></span></p> <p>自從工業革命強調個別勞動者的產量與生產線各項指標以來，人們始終關注於生產力（Productivity）的效率和產出兩大層面。無論如何，最富生產力的個人實質上同時具備兩種重要特質：願景（Vision）與執行力（Execution）。試想一下你大腦中不斷「循環」的任何事──某個構想、你要購買的某樣物品、「掛念」的事情、一項洞見、下一個步驟、得要告訴別人的話。願景就是我們開啟更多新的腦內迴圈──包括融會貫通各式想法、種種事物將獲得理解，你將用前所未有的方式思考事項之間的關聯性（發揮創意），或是想出一種新的解決難題方法。執行力就是我們閉合這些腦內迴圈──完成待辦事項清單上的事情、逐步完成步驟、落實自己的願景。懷抱不凡願景的人會在腦中開啟許多迴圈。有卓越執行力的人則使腦內迴圈閉合。高生產力的人既有願景、也將之付諸實現。</p> <p>比方說，尋思如何為團隊化解問題時產生出色的想法，就是開啟迴圈。告知團隊實踐該構想的方法，就是閉合迴圈。你的時間就是投注於開啟與閉合腦內迴圈的循環之中。許多人困於封閉腦內迴圈，沒時間為自己開啟新的思路。他們具有執行力但缺乏願景。還有的人雖能想出許多出色的主意，卻從未能夠具體落實。你必須願景和執行力兼具。倘若你忙於閉合腦內迴圈或完成待辦事項，而未能集思廣益、深謀遠慮、產生新點子或形成具創意的解決方案（開啟新的迴圈），那麼你只符合生產力等式一半的條件。</p> <p>我曾詢問各企業高管產生最優質想法的地點與時間，他們的答案裡三個首要的時地是①淋浴時、②通勤途中、③從事某種休閒或無關工作的活動時（比如說烹飪或是遛狗）。我們大腦需要這些停機時間，好休養生息和激發新想法。高管們的答案從未包括開會期間或對收件匣進行分類時。在那一類活動中較少有讓新腦內迴圈浮現的空間。</p> <p>在我們把自己的潛能發揮到極致之前，必須像一條蓄勢待發的橡皮筋，先拉回來，停一下。假如你懂得運用策略，將可把休息時間化為富生產力的時光。</p> <p>理解腦內迴圈的整個生命週期，對領會願景與執行力的價值很有幫助。</p> <p>讓我們循著迴圈的生命週期來檢視生產力5C：</p> <p><strong>•放鬆：</strong>結束工作後，撥出時間遛狗</p> <p><strong>•創造：</strong>生出一個出色的想法，適合提交給某個客戶應用於即將登場的銷售活動</p> <p><strong>•採集：</strong>你用手機記下這個構想，然後把筆記轉移到清單漏斗</p> <p><strong>•整合：</strong>傍晚時，你整理好隔天要用的清單，並預定翌日上午十時致電給客戶</p> <p><strong>•完結：</strong>你與客戶洽談，促使其銷售活動實踐你的創見</p> <p><span style="font-size:28px;"><strong>求取平衡、不再窮忙</strong></span></p> <p>我們的日常生活裡充斥著手持式行動裝置，以為藉由它們可從任何地點處理一切事情，省下許多時間。然而，點一下就能開啟的email突然使我們覺得有刻不容緩的急迫性。與此同時，即時通訊內容和簡訊如影隨形，不斷地侵擾我們的當下時刻。令人啼笑皆非的是，這些裝置最終使我們浪費掉的時間多過它們為我們省下的時間，除非我們實質上想清楚善用它們的方法。</p> <p>我們多半也比以往有更多的會要開。試想一下，當你詢問某人或是自己被問到如何度過一天的時間，有多少次你只能回答說，被進度表和接連不斷的會議壓得喘不過氣，甚至沒時間吃午餐或上廁所。這是舊式生產力思維下的老生常談。</p> <p>我們過度頌揚了這種工作方式。我們讓終日勞頓變成很潮很酷的事情。我們誤以為忙忙碌碌是必然的。我們不斷聽到別人強調他們馬不停蹄，於是覺得夜以繼日很重要，然而這絕不是打造可永續的職場環境之道。某些最高階主管的行程表並不緊湊，他們把大量時間用來集思廣益、閱讀產業新聞、創造或獨立思考。他們領略到會議與會議之間的開放時間深具價值，並充分利用它們來重新組織和處理資訊。他們深諳，只是獨自思慮問題，可能是推進事情的最佳方式。</p> <p>我們為什麼要延續忙碌代表成就的老派想法？又為何把參與過多的會議當成一種榮譽勳章？</p> <p>我主張，我們理應求取平衡，以此取代看重勞碌的觀念。</p> <p><span style="font-size:28px;"><strong>把時間當作精力的銀行帳戶</strong></span></p> <p>我們都知道時間是最有限的資源之一，然而為什麼我們的作為往往像是把時間當成無限的資源？我們理當省思：接下新的專案要從哪裡撥出時間？新下屬用哪種方式匯報工作較不會占用我的時間？如果我不必參與新的兩週一次的會議，可利用這些時間來做什麼？如果我們保持這種權衡取捨的心態，便能設定自己的優先事項，並在每回抉擇時刻找出合理的平衡之道。設定界限是可行的。實際上，這是最基本的事情。斤斤計較把時間花在什麼事情上是好事。你照樣能夠厚植自己的社會資本，並且成為人人眼中優秀的同事。</p> <p>我們得像看待銀行帳戶那樣珍視時間。倘若有人索求你銀行帳戶裡的錢，你不會說，「沒問題！這是我的帳號和密碼，你想領多少錢都可以！」那麼，我們為何不同樣看重時間？假如有人要我們開會，多少人會回說，「當然！我有時間！」我們的時間銀行餘額肯定便如此耗光。就如同每天可花用的錢有一定的金額，我們每日可耗用的「精力點數」也有一定的額度。要把精力點數用於哪裡、可從何處獲取精力、想把它們耗費在什麼地方，全都取決於你自己。特定事情會耗用較多精力點數，而你能運用一些策略來節省精力，或是更明智地善用它們。<strong>（本文摘錄整理自《上線時間管理術》，商業周刊提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E4%B8%8A%E7%B7%9A%E6%99%82%E9%96%93%E7%AE%A1%E7%90%86%E8%A1%93-600-1.png" style="width: 511px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_商業周刊</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span> </strong></span><strong>上線時間管理術</strong><span style="font-size:14px;">：Google時間管理一姐的高效秘訣，找到工作／生活／自己的平衡與幸福（UPTIME）</span></p> <p>蘿拉．梅．馬丁（Laura Mae Martin）／著；陳文和／譯</p> <p>商業周刊出版</p> <p>定價：400元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E4%B8%8A%E7%B7%9A%E6%99%82%E9%96%93%E7%AE%A1%E7%90%86%E8%A1%93-200(1).png" style="width: 200px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_商業周刊</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>蘿拉．梅．馬丁（Laura Mae Martin）</strong></p> <p>蘿拉擔任谷歌高階主管生產力顧問，負責教導谷歌公司高管時間與精力管理，並且每週發布生產力電子報，觸及的谷歌人逾五萬人。在谷歌任職十三年期間，她先後從事過銷售、產品營運、活動企畫，現擔任高管教練，主講Workspace生產力系列影片Google Workspace Productivity Tips，及編撰Workspace高效手冊The Google Workspace guide top productivity and wellbeing。</p> <p>蘿拉擁有北卡羅來納大學教堂山分校商業管理學士學位。</p> </div></div></div>
2024/9/12 15:47未署名https://www.ithome.com.tw/news/164986
【衛福部診所上雲政策今年上路，地端醫資產品如何因應】牙科HIS新創如何打造雲端產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>診所上雲是健保署這今年的重要政策，健保署署長石崇良多次在公開場合中說明，衛福部要打造一朵健保雲，讓醫資廠商上架自家服務、供診所選用，好降低診所IT維運困擾、提高資安保障。</p> <p>這是一項衝擊產業的新政策。因為，受醫療產業特性影響，不論是醫院、診所還是醫資廠商，長年來都習慣發展地端系統，來維持院所營運。但現在，健保署要改變這個習慣，今年初數發部數位產業署還加入聯手，發起第一屆診所雲端資訊服務系統研發補助計畫，來鼓勵醫資廠商投資開發雲端服務，先加速診所轉型。</p> <p>專攻牙科診所醫療資訊系統（HIS）的台灣牙e通，就是其中一家通過審核的診所IT廠商。對他們來說，打造雲端服務並不難，因為，他們成立之初就擁抱雲端，不必像許多醫資廠商，現在得為新政策重建一套雲端版本服務。</p> <p><span style="font-size:28px;"><strong>用雲的4大考量</strong></span></p> <p>但雲帶來哪些好處，值得這家年輕公司一開始就押寶？</p> <p>台灣牙e通技術長汪庭宇指出，系統擴展性、IT維運和資安，都是他們決定用雲的關鍵。作為一家廠商，得思考未來客戶（即診所）數量增加時，系統架構能否因應使用需求，「比如從10家增加到100家、1,000家的規模，」透過雲平臺可彈性擴展、調度資源，解決這個問題。</p> <p>再來，採用雲端架構也能降低IT維運人力成本。汪庭宇坦言，自家最初的產品提供雲端和地端兩種方案，若診所購買地端方案，得自行準備機房和主機，他們再派人去部署系統。後續，系統故障、需要升級或遇到健保規範更新時，他們也得派人到每家診所處理系統。</p> <p>這就帶來一大問題，要是地端用戶數量很多，台灣牙e通就得撥出大量人力到每家診所更新，衍生出龐大的人力成本，維運效率也不高。但透過雲端架構集中管理，後端系統只需調整一次，就能完成所有客戶端的系統更新，不必一一到診所手動安裝或升級，大大降低業者的維護成本。</p> <p>對牙e通來說，用雲也能提高診所端的資安防護。臺灣多數牙醫診所的規模小、IT人力稀缺，採用地端版本得自己管理機房和主機，診所很難有套嚴謹的資安流程來把關，若全權委外，還得額外付出一筆維護費用。但透過雲端架構，則由資服業者和公雲業者統一控管資安，不必派人到診所管理外，資訊流動也全程加密，比部署在診所的地端模式更安全。</p> <p>不只如此，台灣牙e通研發副總傅懷磊補充，上雲還能解決備份和災難復原問題。因為地端系統得靠診所自己定期備份資料庫內容，資服業者難以介入，但改用公雲，業者可以直接啟用雲平臺上完善的備份和災難復原機制，「一旦資料發生問題，大都很快就恢復。」</p> <p>因此，對他們來說，採用雲端服務不只能降低廠商的人力和管理成本，還能更有效率執行服務更版和升級。這是為何台灣牙e通後來決定，只提供雲端方案的原因。而他們採用在臺設有資料中心的公雲平臺，來部署牙科診所HIS。</p> <p><span style="font-size:28px;"><strong>如何用雲端架構打造系統服務</strong></span></p> <p>就系統資料流來說，負載平衡器是這個HIS架構的第一道關鍵。傅懷磊指出，這個平衡器專門接收各診所端瀏覽器發來的請求，並根據負載高低，自動調度網路流量。負載高時，負載平衡器會擴增虛擬機器數量，來調度較多的流量支援；負載低時，則會減少機器數量與流量。這個高效能、低延遲的負載平衡器，能帶給使用者良好的使用體驗。</p> <p>接著，負載平衡器將流量導向下一個關鍵工具：API伺服器，來將用戶端請求，分派到相對應的資料庫，再將處理結果回傳至用戶端。舉例來說，當診所網頁應用發出一個掛號請求，該請求經過負載平衡器，會由API伺服器決定資料流向，將請求發送至相關的資料庫，來進行後續處置，再將處置結果回傳到診所網頁。</p> <p>在系統架構設計上，這個API伺服器採微服務架構，可視為好幾個小型服務，部署在Google Kubernetes Engine容器平臺上來管理。不只是API伺服器，傅懷磊點出，他們也將牙科HIS拆解為一支支微服務，部署到GKE來管理。採用微服務帶來許多好處，比如更容易客製化調整，這是因為，每支微服務相互獨立，能各自開發、測試、部署和維護，就算更新一支微服務，也不會影響整套系統，能降低部署風險、提高開發彈性。</p> <p>不過，傅懷磊表示，以微服務框架來開發產品系統，「非常考驗研發團隊對產品的認知。」</p> <p>因為，微服務的設計，是將大型應用程式拆解為小型服務，「如何正確拆解，與產業Know-how高度相關。」他舉例，台灣牙e通有支健保微服務，負責管理所有健保規則。這些規則來自外部的第三方，也經常隨著健保署政策而變動，因此，適合以一支微服務來處理所有規則變化，而不是併到其他業務的微服務中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1199-%E7%89%99%E6%98%93%E9%80%9A-600-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.JPG" style="width: 500px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>台灣牙e通技術長汪庭宇指出，相較於傳統地端系統，採用公雲服務打造牙科醫療資訊系統（HIS），更能因應業務擴展、IT維運、災難復原和資安等需求。　</strong></span><span style="font-size:14px;"><span style="color:#696969;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>最大挑戰是市場接受度</strong></span></p> <p>話鋒一轉，汪庭宇指出，用雲最大的挑戰不是技術，反而是市場接受度。「我們花了非常多時間與市場溝通，不斷和每一位醫生、院所從頭解釋為何採用雲端，這個成本其實蠻高的。」傅懷磊補充。</p> <p>汪庭宇也解釋，牙科產業不熟悉雲端服務形式的產品，容易因為不理解而懷疑或抗拒。比如，診所使用者常認為，資料存放在本地端機房比較安全、存放在雲端會有資安風險。</p> <p>每每遇到這個疑問，團隊就得與診所解釋，相較於診所自己撥出空間建機房、接電源、管理主機，通過國際資安認證的公雲業者，其資料管理、備份備援機制、電源穩定性甚至是散熱等配套，都會比小診所的環境來得嚴謹。</p> <p>後來，牙e通業務人員將溝通中常見的上雲問題，製作成說明簡報，每次介紹產品前，會先說明雲端架構的優劣，讓潛在客戶理解基本上雲觀念。今年全面實施這個作法後，也帶動業績大幅攀升。</p> <p><span style="font-size:28px;"><strong>4個月通過兩項ISO認證</strong></span></p> <p>帶動業務成長的不只是強化上雲說明，台灣牙e通認為，主力產品在去年一口氣獲得2項國際ISO資安認證也是一大原因，包括ISO 27001:2022資訊安全管理系統和ISO 27701:2019隱私安全管理系統，號稱是全臺第一家通過這兩項認證的牙科HIS廠商。</p> <p>汪庭宇和傅懷磊分別身兼資安管理委員會主委、資安團隊代表，汪庭宇回憶，起初，因為不熟悉這兩項驗證，他們尋求外部顧問，要來協助公司建立合規的資安體系。</p> <p>顧問加入後，牙e通開始建立內部資安團隊和文化，找來研發人員、產品經理等人分工，一起組成資安工作小組，也開始按照兩套ISO規範，來建立相對應的工作流程。完成這些任務後，便是稽核與取證，整個過程僅4個月。</p> <p>在這個0到1的取證階段中，團隊吃了不少苦，尤其是得改變原有作業習慣。傅懷磊指出，ISO規範了許多必要流程，以系統調整為例，過去，他們開會討論、決定後就分工執行，再定期會議檢討即可。但依ISO規範，會議需要留下文件記錄，比如何人批准、何人負責稽核系統變更等，「工作流程中需要安插大量文件記錄，來保護整體流程。」</p> <p>起初，研發團隊非常不習慣，「但，久了會發現，ISO這樣要求有其道理，可以避免人為疏失和不必要的錯誤。」他表示，甚至這套做法，還能讓團隊思考以前輕忽的議題，比如軟體災難發生時，安全小組要在多少時間內恢復系統。「我們的目標是2小時，整個團隊都要動員來搶救，讓系統恢復運作。」傅懷磊指出：「ISO就像一套自我反省的流程，只是需要文件化來表達。」</p> <p>不只如此，汪庭宇還分享一個小插曲。「外部顧問中途離職了，產生許多銜接問題，」他繼續說，團隊在某種程度上，等於在沒有顧問的情況下自立自強準備稽核。傅懷磊回憶，稽核前兩周，「資安小組每天一早到辦公室，就重新把上百條條文全部看一次，找出可能還有問題的地方來改善！」正因為這個意料外的挑戰，激起團隊凝聚力，在例行工作之餘共同鑽研條文，最後在沒有顧問陪同的情況下進行稽核，連稽核單位也佩服他們的用心。「這是我們很驕傲的地方，」汪庭宇說。</p> <p><span style="font-size:28px;"><strong>給臺灣醫資業者上雲的兩個建議</strong></span></p> <p>於是今年初，數發部推出醫資廠商上雲的補助計畫時，台灣牙e通就立即申請，也成功獲選。不過，因獲選名單分兩階段公布，得知時程較晚，牙e通已重新調整年度目標而沒有繼續執行，決定明年再接再厲。</p> <p>不過，他們在參與政府說明會過程中，觀察到同業可能面臨的2大挑戰。尤其，大多數醫療資服業者提供地端版診所系統，現在得要重新思考技術變革。比如，重新建構滿足延展性和穩定性的架構、控管雲端流程和資安配套等。特別是，雲端作業方式是一臺伺服器對許多家診所，不像地端一臺伺服器對應一家診所，醫資廠商需考慮雲端系統穩定性、反應速度和伺服器維護等細節，得要投入更多人力到研發中。此外，地端產品不習慣採取加密傳輸，但上雲端得全程加密，這也是個技術課題。</p> <p>第二個挑戰是，地端產品的醫資廠商得要找出新商業模式。過去，地端系統採買斷制、每年加收維護費，但雲端服務多採訂閱制，地端廠商得要找出診所能接受，且符合自身成本效益的收費平衡才行。</p> </div></div></div>
2024/9/12 14:52作者王若樸https://www.ithome.com.tw/news/164983
IT要成為策略夥伴
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近在一場研討會中，跟五六十位資訊長、資安長分享從今年CIO大調查中看到的GAI影響。我歸納了從今年大調查結果中，所衍生的6個封面故事中的發現。有好幾位資訊長格外在意其他企業的GAI採用策略和目的，特別來信追問一些疑惑，更吐露了他們自己擁抱GAI遇到的難題。</p> <p>今年開始嘗試GAI的企業很多，4成直接使用現成的ChatGPT類服務，2成則是更進階使用底層的GAI技術。只有不到1成企業正式採用，我打聽一下，正式採用GAI的企業，不少先用於IT部門的技術工作，用GAI撰寫技術文件、用來幫忙學習新技能、用來輔助撰寫程式碼，這是臺灣企業IT最常用GAI輔助的Top3技術工作，也是目前很快可以看到直接效益的GAI場景。又以IT人力吃緊的一般製造業和服務業，最積極採用GAI來輔助程式碼開發。</p> <p>6成企業今年處於剛起步階段，3成企業今年正在計畫，另有3成企業則是處於概念驗證階段。他們不斷嘗試各種場景，想要尋找可行、高成本效益的GAI應用形式，來信吐苦水的資訊長，大多是這群正在進行概念驗證的企業。找不到合適、有效益的GAI場景，是大家共通的困難。更有位製造業資訊主管透露，老闆很爽快地同意，買了幾百萬元的AI硬體，他卻苦於一直找不到夠有價值的應用場景。</p> <p>光靠IT自己找不到場景，那乾脆找業務部門，甚至全公司的員工一起來幫忙。不少企業轉而向所有部門尋求點子。一方面促成IT和業務更多溝通，搜集更多可能用GAI解決的業務痛點，另一方面也帶動全公司嘗試GAI、積極創新的氛圍。</p> <p>例如去年七月，中華開發金控資訊長楊偉強就浮起了這樣的想法，找一天辦場AI黑客松來募集眾人的點子，沒想到超過了200員工組隊報名，還多加一天才讓所有隊伍完賽，也搜集了不少IT不容易自己察覺到的想法。</p> <p>楊偉強告訴我，他想將IT人員訓練成企業內部的AI顧問，透過這樣的形式，鼓勵IT主動與業務單位溝通，來合作發想AI應用。</p> <p>不只中華開發金控，我後來陸續聽到不少高科技製造業、服務業者，紛紛辦起了AI黑客松或是GAI創意提案競賽，不只要尋找更多有潛力的GAI點子，也讓IT部門跟業務團隊有更密切的合作。</p> <p>這兩年科技巨頭激烈競爭下，GAI技術快速演化，GAI技術平臺化、工具化的發展也飛快，越來越多主打免程式碼、低程式碼的開發工具紛紛現身，大大降低了IT部門的技術學習負擔，但新的挑戰是，GAI是更場景導向的應用技術，甚至，不少用GAI生成的結果，需要熟諳領域知識的老手，才能快速迭代找出優化的關鍵。有家醫學中心的IT，花了一整天調校提示工程的指令，還產生不出品質夠好的醫院評鑑文件，但改由主治醫師兼任的GAI專案成員，只花了15分鐘就找到了讓文件品質達標的指令。企業想要找出最有潛力、更有價值的GAI應用，業務場景中的老手是關鍵。</p> <p>如此一來，IT不能像傳統IT習慣的做法，只是接收來自使用者的「需求」來開發，而必須讓使用者成為開發團隊的一份子，甚至是以「使用者」為中心的開發模式，才更容易挖掘出高價值的GAI應用。不只是IT與非IT部門之間的互動方式必須改變，甚至連IT自己的角色和定位，都必須改變。</p> <p>但要怎麼變？IT得變成什麼模樣？我非常好奇。直到採訪羅氏大藥廠亞太區CIO吳明杰時，在他分享自家IT轉型的故事中，我找到了答案。過去幾年，他一直致力於讓IT轉型成「策略夥伴」（Strategic Partner），協助其他部門，運用技術，共同創造更多商業價值。這不是一個技術課題，更是一個組織、溝通、協力的共創課題。</p> <p>這個形容，也讓我更了解，為何中華開發金控資訊長楊偉強要求IT成為內部的AI顧問，同樣也是要讓IT以技術顧問的角度，來成為業務單位的策略夥伴。</p> <p>策略夥伴不是全新的管理思維，但卻是IT部門的新挑戰，也是新機會，尤其以場景為重、業務導向的GAI，IT更需要變身成這樣的新角色，才能將場景中的痛點，用技術驅動成為新機會。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/gai">GAI</a></div><div class="field-item odd"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item even"><a href="/tags/%E7%AD%96%E7%95%A5%E5%A4%A5%E4%BC%B4">策略夥伴</a></div><div class="field-item odd"><a href="/tags/strategic-partner">Strategic Partner</a></div><div class="field-item even"><a href="/tags/%E6%8A%80%E8%A1%93%E9%A1%A7%E5%95%8F">技術顧問</a></div><div class="field-item odd"><a href="/tags/cio">CIO</a></div></div></div>
2024/9/12 15:07作者王宏仁https://www.ithome.com.tw/voice/164984
Google搜尋結果已整合Internet Archive時光機器以瀏覽歷史頁面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網際網路檔案館（Internet Archive）周三（9/11）<a href="https://blog.archive.org/2024/09/11/new-feature-alert-access-archived-webpages-directly-through-google-search/" target="_blank">宣布</a>，Google搜尋已經嵌入了可導至時光機器（Wayback Machine）的連結，以察看特定網頁的歷史版本。不過，此一連結藏得有點深，若不是Internet Archive的發表，一般使用者可能很難發現。</p> <p>其實Google自己原本也有儲存網頁的歷史版本，稱為Google Cache。這是Google在爬梳全球網頁時所拍攝的網頁原始HTM備份，內含記錄時的時間、網頁的URL，以及完整版本或純文字版，對使用者而言，可用來查看已經關閉、銷毀或是載入時出現問題的網頁，但由於大環境已有長足的改善，使得Google今年將它<a href="https://www.ithome.com.tw/%2Fnews%2F161183" target="_blank">退休</a>。</p> <p>至於Internet Archive在2001年發表的時光機器則保存了已失效的網頁存檔，扮演了類似Google Cache的角色；相較於Google Cache通常只提供一個歷史網頁，時光機器則可提供不同時間點的更多歷史網頁。</p> <p>不過，從Google搜尋結果中並不容易找到這個時光機器。使用者可先點選搜尋結果後面的那3個點，再點選進一步瞭解這個網頁（More About This Page），然後再往下拉才能看到「查看先前版本」及時光機器的連結。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0912-Google%20Search-wayback%20machin_1A.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0912-Google%20Search-wayback%20machin_1B.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0912-Google%20Search-wayback%20machin_2.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／iThome</span></span></p> <p>負責時光機器的Mark Graham表示，網路正在老化，隨之而來的是成為數位幽靈的網址，不管是因為企業倒閉、政府的更迭、內容管理系統的發展，或者是災難來襲，在在都抹去了大量的線上歷史，而時光機器卻在這二十幾年來都一直保存著公共網路的快照，讓它成為一個數位的時間膠囊，得以穿越網路歷史。</p> <p>此外，並非所有網站的歷史頁面都會被保留，只要是網頁違反內容政策，或者是所有人要求不存檔，相關連結都會失效。</p> </div></div></div>
2024/9/12 13:46作者陳曉莉https://www.ithome.com.tw/news/164981
Adobe Firefly影像生成模型將在今年登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於去年3月<a href="https://www.ithome.com.tw/news/156032" target="_blank">發表</a>Firefly圖像生成AI模型之後，Adobe將在年底前開始測試Firefly影像生成AI模型，允許使用者輸入文字敘述或靜態的參考圖像，並將它們轉成影像。</p> <p>Adobe<a href="https://blog.adobe.com/en/publish/2024/09/11/bringing-gen-ai-to-video-adobe-firefly-video-model-coming-soon" target="_blank">指出</a>，市場對於短影音的需求不斷成長，意味著編輯、電影製作人或內容創作者必須在更短的時間內做更多的事情，常見的編輯任務包括處理影片中的間隙、從場景中刪除不必要的物件、平滑切換，或是尋找完美的B捲等，雖然Adobe已提供Frame.io影片製作/後製平臺，但生成式AI則可讓編輯人員及動畫設計師更輕鬆且更快地創作。</p> <p>Firefly影像模型將支援文字生成影像，使用者可透過文字描述、各種攝影機控制，以及參考圖像來生成能夠完美填補空缺的B捲，而且在兩分鐘內就能完成。</p> <p>該模型可用來生成自然世界的影片，不管是風景、植物或動物等；或是藉由影像中的圖片來生成可填補空缺的B捲；還是利用攝影機的角度、運動及縮放等控制功能來建立完美視角；它還能生成各種效果，再將它們整合至既有的影像上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0912-adobe%20firefly%20update-generate%20video-3.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Adobe</span></span></p> <p>身為全球知名的創意解決方案供應商，Adobe重視旗下產品在商業應用上的安全性，強調所有模型只針對該公司有權使用的內容進行訓練，並不會以用戶內容進行訓練。</p> <p>此外，儘管Adobe已提供了各種影像工具，但AI依然讓創作者趨之若鶩，去年發表的Adobe Firefly圖像生成AI模型已支援Photoshop中的生成式填充，Lightroom的生成式刪除，Illustrator的生成式形狀填充，以及Express的文字生成範本，這一年多來Adobe社群透過該模型所生成的圖像及向量圖形已超過120億張。</p> </div></div></div>
2024/9/12 11:52作者陳曉莉https://www.ithome.com.tw/news/164979
Adobe修補Acrobat可造成任意程式碼執行的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Adobe本周<a href="https://helpx.adobe.com/security/products/acrobat/apsb24-70.html" target="_blank">發布</a>安全更新，修補PDF軟體Acrobat及Reader二項可允許執行任意程式碼的重大漏洞。</p> <p>這二項漏洞中，<a href="https://www.tenable.com/cve/CVE-2024-41869" target="_blank">CVE-2024-41869</a>為使用已釋放記憶體（Use After Free）漏洞，<a href="https://www.tenable.com/cve/CVE-2024-45112" target="_blank">CVE-2024-45112</a>為型態混淆（Type Confusion）漏洞，即以不相容型態的訊息存取資源。Adobe並未詳細說明漏洞影響，不過根據資安業者Tenable，二個漏洞都可能引發任意程式碼執行。</p> <p>雖然Adobe的安全公告將兩漏洞CVSS風險值列為7.8和8.6，但Tenable公告顯示二者CVSSv3 base score為9.8。</p> <p>其中CVE-2024-41869為資安研究人員Haifei Li發現。他創立的沙箱惡意程式偵測和分析系統Expmon今年稍早接到大量遭植入概念驗證攻擊程式的PDF樣本，意謂該軟體漏洞為零時差漏洞。CVE-2024-45112則由不知名的研究人員通報。</p> <p>受兩漏洞影響的Adobe產品為Windows及macOS版的Acrobat Reader DC（Windows版24.003.20054及以前，MacOS版24.002.21005及以前）、Acrobat 2020及Acrobat Reader 2020（20.005.30655及以前版本），以及Acrobat 2024（24.001.30159及以前版本）。Adobe建議用戶儘速更新軟體到最新版本。</p> </div></div></div>
2024/9/12 10:46作者林妍溱https://www.ithome.com.tw/news/164977
Google NotebookLM加入Audio Overview，將用戶筆記變成Podcast
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周四（9/11）<a href="https://blog.google/technology/ai/notebooklm-audio-overviews/" target="_blank">宣布</a>AI筆記應用程式NotebookLM加入語音概要（Audio Overview）功能，能將用戶的筆記變成語音版小型討論會。</p> <p>NotebookLM是2023年在Project Tailwind專案下上線，可幫助用戶理解複雜資訊。用戶上傳筆記後，它能根據用戶素材、引用的資訊和相關引述生成回應，提供重點摘要或回答用戶問題。今年6月Google將NotebookLM服務推向全球200多國，底層模型也升級到Gemini 1.5多模態模型，並增加多項功能，像是對Google Slides和網頁URL的支援、事實查核、以及快速建立研究指引、簡報文件等。Google保證用戶個人筆記不會被拿來訓練NotebookLM模型。</p> <p>最新加入的語音概要（Audio Overview）則可將用戶素材轉變成語音版討論會，好比podcast。這功能啟動後，會出現2個AI主持人根據用戶上傳的資料深入討論起來，它的AI功能可為用戶資料摘錄重點，在不同主題間建立連結，成為2個AI代理程式對談的素材。用戶還可以將這段對話下載到手機在路上或其他地方聽。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0912-Google-NotebookLM-Audio%20Overview-2(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>Google警示，AI生成的討論只是用戶上傳資料的反映，並不是對特定主題全面或客觀的討論。</p> <p>使用方法是開啟用戶現有筆記，啟動Notebook App說明，啟動其中的「生成Generate」鍵即可生成語音概要。</p> </div></div></div>
2024/9/12 11:13作者林妍溱https://www.ithome.com.tw/news/164978
強化軟體供應鏈安全，JFrog推出Runtime即時安全監控解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DevOps工具廠商JFrog宣布推出<a href="https://jfrog.com/blog/announcing-jfrog-runtime-protect-your-applications-with-fast-discovery-and-remediation/">JFrog Runtime</a>安全解決方案，來因應日益嚴重的軟體供應鏈攻擊。JFrog Runtime重點在於執行時的即時威脅偵測和修復，在應用程式運作的時候持續監控可能出現的安全威脅，縮短曝露風險的時間，補充了開發階段靜態安全偵測的不足。</p> <p>隨著近年軟體供應鏈攻擊事件急劇增長，許多大量採用開源套件的企業面臨嚴重的安全挑戰，而且這些攻擊經常發生於應用程式部署之後，因此傳統的靜態安全偵測工具，無法有效地應對這些風險。</p> <p>JFrog Runtime專門針對應用程式的執行，透過持續監控Kubernetes叢集的行為、資料流和執行環境，即時發現威脅並採取行動。與傳統的靜態安全偵測不同，JFrog Runtime在應用程式實際執行時進行安全監控，辨識未經授權的行動、權限升級和系統異常等潛在威脅。這種動態監控方式特別適用於當前雲端和容器化應用，降低企業受動態環境中安全漏洞的影響。</p> <p>此外，JFrog Runtime具備事件優先等級分配和修復功能，協助開發、維運和安全團隊在事件發生時，能夠集中資源處理當前影響最大的問題。透過整合JFrog平臺，JFrog Runtime能夠對應用程式和容器進行完整追蹤，確保軟體套件的來源，並檢查執行時的應用，是否遭到修改或是篡改，進一步提高應用程式的安全性和穩定性。</p> <p>JFrog Runtime可靈活部署於雲端、自託管和混合環境，並與構件管理工具JFrog Artifactory原生整合，使開發團隊可以監控叢集、辨識和修復漏洞、驗證映像檔完整性。</p> </div></div></div>
2024/9/12 08:37作者李建興https://www.ithome.com.tw/news/164973
WordPress網站加速外掛LiteSpeed Cache再傳漏洞，6百萬網站曝露於遭到挾持的風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Patchstack揭露<a href="https://patchstack.com/articles/critical-account-takeover-vulnerability-patched-in-litespeed-cache-plugin/">WordPress網站加速外掛程式LiteSpeed Cache的嚴重漏洞CVE-2024-44000</a>（CVSS風險評分為7.5），並指出攻擊者可在未經身分驗證的情況下，利用該漏洞得到已登入使用者的存取權限，若是掌握了管理員權限，駭客就能上傳、安裝惡意外掛程式。研究人員在8月下旬通報此事，9月4日外掛程式開發商發布6.5.0.1版予以修補。而這是他們找到<a href="https://www.ithome.com.tw/news/164712">權限提升漏洞CVE-2024-28000</a>之後，另一個相當危險的弱點。 </p> <p>針對這項漏洞發生的原因，研究人員指出，出現在該外掛程式的除錯事件記錄功能當中，一旦開發人員啟用相關功能，會將HTTP回應標頭記錄到特定的檔案，其中包含Set-Cookie的標頭。</p> <p>而這種標頭含有用於使用者身分驗證的cookie，若是攻擊者能夠取得，就有機會冒充網站管理員並控制網站。</p> <p>攻擊者若要利用這項漏洞，基本上，須滿足兩個條件：一個是WordPress網站管理者使用LiteSpeed Cache外掛時，曾啟用除錯記錄功能，而且 /wp-content/debug.log 這個事件記錄檔案並未徹底清除或移除。</p> <p>自一週前新版LiteSpeed Cache推出後，約有近413萬次下載、更新，換言之，部署這款外掛程式的600萬個網站，迄今仍有近200萬個可能曝露於相關風險。</p> </div></div></div>
2024/9/11 17:06作者周峻佑https://www.ithome.com.tw/news/164965
【資安日報】9月11日，微軟發布9月例行更新，揭露與修補4個已被用於攻擊行動的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟近期發布了9月份的例行更新（Patch Tuesday），漏洞數量較上個月明顯變少，但IT人員仍然不能掉以輕心，因為本次公布的4個零時差漏洞，皆已遭到駭客利用。</p> <p>值得留意的是，CVSS風險評分最高的CVE-2024-43491，這項漏洞影響特定版本的Windows 10，會將部分元件還原成尚未修補的舊版，引起研究人員高度關注。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164963"><strong style="font-size: 22px;">微軟免費開發工具遭中國駭客Stately Taurus濫用，企圖滲透東南亞政府機關竊取機密</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-391402-136600-1-156.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-391402-136600-1-156.jpg" style="width: 300px; float: right;" /></a>過往我們提及駭客會用來從事寄生攻擊的應用程式，大多主要是企業常見的應用程式，或是Windows作業系統的元件，但如今，開發工具竟然也成為駭客濫用的標的。</p> <p>資安業者Palo Alto Networks指出，中國駭客組織Stately Taurus在近期針對東南亞政府機關從事網路間諜活動的過程裡，濫用IDE工具Visual Studio Code（VS Code），藉由其嵌入式反向Shell的功能，在受害組織的網路環境活動，研究人員指出，這種攻擊手法最早是有資安專家在去年9月提出，但這是他們首次實際看到被運用於攻擊行動。</p> <p>究竟駭客如何用於發動攻擊？研究人員指出，攻擊者可利用主程式code.exe，並執行code.exe tunnel的指令，接著攻擊者就會存取特定的URL，並登入GitHub帳號。一旦成功登入，攻擊者便會被重新導向與受害電腦連結的網頁版VS Code環境，而能夠執行任意命令或是指令碼，甚至在受害電腦產生新的檔案。</p> <p><a href="https://www.ithome.com.tw/news/164962"><strong style="font-size: 22px;">針對三組中國駭客鎖定東南亞發動的攻擊行動，駭客趨於傾向利用公開工具隱匿行蹤</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/venn-updated-co.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/venn-updated-co.jpg" style="width: 300px; float: right;" /></a></p> <p>今年6月資安業者Sophos揭露中國政府主導的網路間諜行動Operation Crimson Palace，相關攻擊行動發生在去年3月至12月，大致可歸為3波：Cluster Alpha（STAC1248）、Cluster Bravo（STAC1807），以及為期最長的Cluster Charlie（SCAT1305），至少有4個駭客組織參與。如今他們公布新的調查結果，指出這些駭客更換作案工具，持續從事相關攻擊行動。</p> <p>本週研究人員指出，他們看到這3波攻擊行動的後續，其中最引起注意的是Cluster Charlie，在研究人員阻止駭客使用的C2植入工具PocoProxy運作之後，這波攻擊在去年8月消聲匿跡，但駭客在9月底捲土重來，並使用與過往不同的手法來迴避偵測。</p> <p>駭客先是使用不同的C2通道避免再度遭到封鎖，然後改變攻擊方式，他們使用名為Hui的惡意程式載入工具，然後將Cobalt Strike的Beacon注入遠端桌面連線程式mstsc.exe。但在研究人員察覺並進行阻斷後，駭客改用公開的軟體試圖繼續於受害組織的網路環境活動。</p> <p><a href="https://www.ithome.com.tw/news/164960"><strong style="font-size: 22px;">卡巴斯基惡意程式移除工具TDSSKiller遭濫用，勒索軟體駭客RansomHub用來關閉安全防護機制</strong></a></p> <p>資安廠商Malwarebytes發現，勒索軟體駭客組織RansomHub最近襲擊其用戶時，一開始先會試圖找出管理員群組，進行偵察及網路探索，以找尋可下手目標，接著就用上了合法工具進行非法行為，其中一個就是卡巴斯基提供的Rootkit移除工具TDSSKiller，另一個是開源密碼與憑證回復工具，名為LaZagne。</p> <p>研究人員發現，駭客企圖利用指令碼或批次檔關閉EDR端點代理程式，包括Malwarebytes旗下的防毒工具（MBAMService）。</p> <p>等用戶桌機被關閉EDR防護後，駭客就利用LaZagne，從受害者系統中汲取儲存的密碼和憑證。LaZagne可從多個應用，包括瀏覽器、電子郵件用戶端、資料庫等蒐集登入資訊，讓駭客更容易在受害者網路內橫向移動。其中又以資料庫憑證為最主要目標。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.acronis.com/en-us/cyber-protection-center/posts/operation-worddrone-drone-manufacturers-are-being-targeted-in-taiwan/">駭客鎖定臺灣無人機製造商發起</a></strong><strong style="font-size: 20px;"><a href="https://www.acronis.com/en-us/cyber-protection-center/posts/operation-worddrone-drone-manufacturers-are-being-targeted-in-taiwan/">Operation WordDrone攻擊行動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.genians.co.kr/blog/threat_intelligence/konni_universe">北韓駭客Kimsuky使用相同的手段攻擊俄羅斯、韓國</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.recordedfuture.com/research/predator-spyware-infrastructure-returns-following-exposure-sanctions">商業間諜軟體Predator傳出捲土重來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.zerodayinitiative.com/blog/2024/9/4/exploiting-exchange-powershell-after-proxynotshell-part-1-multivaluedproperty">研究人員揭露能繞過ProxyNotShell修補程式碼的攻擊手法</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/09/new-pixhell-attack-exploits-screen.html">螢幕的聲音也能被用來竊取機密！研究人員揭露PixHell攻擊手法</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164959"><strong style="font-size: 22px;">微軟發布9月例行更新，修補4個已被用於攻擊行動的零時差漏洞</strong></a></p> <p>9月10日微軟發布本月份例行更新（Patch Tuesday），總共修補79個漏洞，較上個月略為減少。其中，有30個是權限提升漏洞、4個安全功能繞過漏洞、23個遠端程式碼執行（RCE）漏洞、11個資訊洩露漏洞、8個阻斷服務（DoS）漏洞，以及3個可被用於詐欺的漏洞。值得留意的是，這次有4個是已出現實際攻擊行動的零時差漏洞，其中1個的細節遭到公開。</p> <p>這些漏洞分別是：Windows更新RCE漏洞CVE-2024-43491、MotW安全繞過漏洞CVE-2024-38217、Windows Installer權限提升漏洞CVE-2024-38014、排版軟體Publisher安全功能繞過漏洞CVE-2024-38226，CVSS風險評為介於5.4至9.8分。</p> <p>不約而同地，資安業者Rapid7、漏洞懸賞專案Zero Day Initiative（ZDI）這三個單位都優先評論CVE-2024-43491，原因是令人聯想到上個月震撼整個資安界的Windows Downdate降級漏洞，但實際上兩者之間並無直接關連。</p> <p><a href="https://www.ithome.com.tw/news/164965"><strong style="font-size: 22px;">WordPress網站加速外掛LiteSpeed Cache再傳漏洞，6百萬網站曝露於遭到挾持的風險</strong></a></p> <p>資安業者Patchstack揭露WordPress網站加速外掛程式LiteSpeed Cache的嚴重漏洞CVE-2024-44000（CVSS風險評分為7.5），並指出攻擊者可在未經身分驗證的情況下，利用該漏洞得到已登入使用者的存取權限，若是掌握了管理員權限，駭客就能上傳、安裝惡意外掛程式。研究人員在8月下旬通報此事，9月4日外掛程式開發商發布6.5.0.1版予以修補。而這是他們找到權限提升漏洞CVE-2024-28000之後，另一個相當危險的弱點。 </p> <p>針對這項漏洞發生的原因，研究人員指出，出現在該外掛程式的除錯事件記錄功能當中，一旦開發人員啟用相關功能，會將HTTP回應標頭記錄到特定的檔案，其中包含Set-Cookie的標頭。而這種標頭含有用於使用者身分驗證的cookie，若是攻擊者能夠取得，就有機會冒充網站管理員並控制網站。</p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164953"><strong>【9月10日】勒索軟體駭客將SonicWall防火牆重大漏洞用於實際攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164937"><strong>【9月9日】鎖定臺灣衛星及軍事工業的中國駭客組織TIDrone引起研究人員關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164897"><strong>【9月6日】北韓駭客使用冒牌視訊會議軟體感染求職者電腦</strong></a></p> </div></div></div>
2024/9/11 17:12作者周峻佑https://www.ithome.com.tw/news/164966
針對三組中國駭客鎖定東南亞發動的攻擊行動，駭客趨於傾向利用公開工具隱匿行蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月資安業者Sophos揭露<a href="https://www.ithome.com.tw/news/163333">中國政府主導的網路間諜行動Operation Crimson Palace</a>，相關攻擊行動發生在去年3月至12月，大致可歸為3波：Cluster Alpha（STAC1248）、Cluster Bravo（STAC1807），以及為期最長的Cluster Charlie（SCAT1305），至少有4個駭客組織參與。如今他們公布新的調查結果，指出這些駭客更換作案工具，持續從事相關攻擊行動。</p> <p>本週研究人員指出，<a href="https://news.sophos.com/en-us/2024/09/10/crimson-palace-new-tools-tactics-targets/">他們看到這3波攻擊行動的後續</a>，其中最引起注意的是Cluster Charlie，在研究人員阻止駭客使用的C2植入工具PocoProxy運作之後，這波攻擊在去年8月消聲匿跡，但駭客在9月底捲土重來，並使用與過往不同的手法來迴避偵測。</p> <p>駭客先是使用不同的C2通道避免再度遭到封鎖，然後改變攻擊方式，他們使用名為Hui的惡意程式載入工具，然後將Cobalt Strike的Beacon注入遠端桌面連線程式mstsc.exe。但在研究人員察覺並進行阻斷後，駭客改用公開的軟體試圖繼續於受害組織的網路環境活動。</p> <p>由於研究人員封鎖了C2工具，駭客改以事先取得的外流帳密資料，濫用網頁應用程式的上傳功能部署Web Shell，藉此在伺服器上執行命令，將特定的DLL程式庫複製到網頁資料夾，並將其偽裝成PDF檔案，而這些活動包括進行偵察的過程，駭客總共在45分鐘內完成，算是相當迅速。</p> <p>事隔2個月，這些駭客再度存取受到感染的網頁伺服器，並透過Web Shell部署名為Havoc的開源C2框架進行後續偵察。後來，研究人員也看到其他應用程式伺服器被植入Web Shell及Havoc的情況，其中他們看到利用Havoc植入名為SharpHound的開源工具，來偵察AD基礎架構的情形。</p> <p>除此之外，他們也看到這些駭客運用其他攻擊行動的工具作案。去年10月，駭客使用DLL挾持手法部署C2工具，並濫用含有漏洞的合法軟體，藉由受害組織尚未列管的裝置從事遠端攻擊，過程中使用網路探測工具Impacket的模組atexec來進行，目的是想要從外部進行遠端桌面連線（RDP）來存取內部網路環境。</p> <p>接著，駭客進一步尋找能用來進行DLL側載的服務，並採用DLL挾持手法來設定後門，使用惡意酬載取代磁碟區陰影複製服務的DLL元件。後來到了12月，這些駭客利用DLL側載手法，藉由iexplore.exe載入惡意軟體，目的是竄改防火牆配置。研究人員指出，這些駭客進行一系列的偵察和收集帳密工作，並取得網路基礎架設的配置資料。</p> <p>研究人員指出，這些駭客使用了Cluster Alpha常見的DLL側載手法，代表從事這3個攻擊行動的駭客彼此互通有無，並不斷開發新的迴避偵測手法。</p> </div></div></div>
2024/9/11 15:17作者周峻佑https://www.ithome.com.tw/news/164962
微軟免費開發工具遭中國駭客Stately Taurus濫用，企圖滲透東南亞政府機關竊取機密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往我們提及駭客會用來從事寄生攻擊的應用程式，大多主要是企業常見的應用程式，或是Windows作業系統的元件，但如今，開發工具竟然也成為駭客濫用的標的。</p> <p>資安業者Palo Alto Networks指出，中國駭客組織Stately Taurus在近期針對東南亞政府機關從事網路間諜活動的過程裡，<a href="https://unit42.paloaltonetworks.com/stately-taurus-abuses-vscode-southeast-asian-espionage/">濫用IDE工具Visual Studio Code（VS Code）</a>，藉由其嵌入式反向Shell的功能，在受害組織的網路環境活動，研究人員指出，這種攻擊手法最早是有資安專家在去年9月提出，但這是他們首次實際看到被運用於攻擊行動。</p> <p>究竟駭客如何用於發動攻擊？研究人員指出，攻擊者可利用主程式code.exe，並執行code.exe tunnel的指令，接著攻擊者就會存取特定的URL，並登入GitHub帳號。</p> <p>一旦成功登入，攻擊者便會被重新導向與受害電腦連結的網頁版VS Code環境，而能夠執行任意命令或是指令碼，甚至在受害電腦產生新的檔案。</p> <p>針對Stately Taurus發起的攻擊行動，研究人員指出，駭客利用VS Code傳送惡意軟體到受害電腦，並執行偵察、竊取機密資料。</p> <p>研究人員表示，這些駭客得逞後，會進一步對其他裝置如法炮製，竊取其中的資料，使用公用程式curl傳送到雲端檔案共享服務Dropbox，避免引發關注。</p> <p>在這波攻擊行動裡，駭客使用後門程式ToneShell做為主要的工具，並利用WinRAR打包竊得檔案。但研究人員也看到利用另一款後門程式ShadowPad，並使用Office輸入法編輯器元件imecmnt.exe載入的攻擊行動，由於此舉為該組織慣用的犯案伎倆，然而，Palo Alto Networks目前還無法確定兩者的關聯。</p> </div></div></div>
2024/9/11 16:15作者周峻佑https://www.ithome.com.tw/news/164963
Google與蘋果的歐盟訴訟雙雙失利，將分別支付24億歐元罰款與130億歐元的稅金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google及蘋果本周雙雙從與歐盟的訴訟中敗下陣來。其中，Google是<a href="https://www.ithome.com.tw/news/115162" target="_blank">在2017年</a>被指控濫用其搜尋引擎市場優勢，獨惠旗下Google Shopping購物比價服務，被判罰24.2億歐元；蘋果則是因為涉嫌逃漏稅，在2016年被要求要補繳130億歐元的稅款。這兩家美國大型科技業者皆提出了上訴，並於本周<a href="https://ec.europa.eu/commission/presscorner/detail/en/speech_24_4624" target="_blank">雙雙敗訴</a>。</p> <p>根據歐盟的調查，當Google Shopping於2004年（最初名為Froogle）進入歐洲市場時，當地已有許多老牌的購物比價服務，這些服務是藉由流量及廣告產生收入，但Google卻利用自己在搜尋引擎的獨占地位，在使用者輸入商品查詢時，把Google Shopping放在更顯眼的位置，還在搜尋結果中調降競爭對手的排序，因而被判罰24.2億歐元。</p> <p>儘管Google提出了上訴，但歐盟法院認為，在某些情況下，擁有主導地位的公司獨厚其自家服務可能違反《歐盟運作條約》（TFEU），因而支持EC的決定。</p> <p>歐盟執委會（European Commission，EC）本周表示，在Google Shopping一案出現之前，歐盟普遍認為應該要讓數位企業自由經營，畢竟它們被視為積極推動變革的創新者，然而，Google濫用其搜尋地位而獨厚Google Shopping，改變了歐盟對相關企業的監管態度，彰顯出就算是最強大的科技公司也會被追究責任，沒有人可能夠凌駕法律之上。</p> <p>EC執行副主席Margrethe Vestager說，Google Shopping一案開啟了先例，也替後來的監管行動鋪路，催生了《數位市場法》（Digital Markets Act，DMA）等相關法令。</p> <p>至於蘋果的逃漏稅爭議，其實源自於愛爾蘭對蘋果實施的優惠稅收政策。愛爾蘭為歐洲地區著名的避稅天堂，因此包括蘋果、Google、微軟及Meta都將歐洲總部設於愛爾蘭，此外，愛爾蘭提供給蘋果的優惠政策，讓蘋果在2003年時只需繳納1%的公司稅，2014年更下滑到0.005%，EC則認為這種選擇性的稅收待遇是非法的、對其它公司不公平的，因此要求愛爾蘭向蘋果追討從2003年到2014年之間的未繳稅款，總額約為130億歐元。</p> <p>本周歐盟法院也支持了EC的立場，認同愛爾蘭對蘋果的作法屬於非法的國家援助（State aid），根據歐盟的規定，成員國不得透過選擇性優惠幫助特定公司。此外，外界認為，倘若不限制愛爾蘭的作法，歐盟成員國或許會陷入稅收競爭的惡性循環，侵蝕整個歐盟的稅收基礎。</p> <p>其實蘋果已將130億歐元存放在一個托管帳戶中，只是在上訴期間一直被凍結著，歐盟法院的裁決代表它們將被發放給愛爾蘭政府。</p> </div></div></div>
2024/9/11 16:59作者陳曉莉https://www.ithome.com.tw/news/164964
卡巴斯基Rootkit程式移除工具TDSSKiller遭RansomHub駭客用來關閉桌機安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Malwarebytes研究人員<a href="https://www.threatdown.com/blog/new-ransomhub-attack-uses-tdskiller-and-lazagne-disables-edr/" target="_blank">發現</a>，近來很猖獗的勒索軟體RansomHub駭客，利用合法工具如卡巴斯基rootkit程式移除工具，來關閉受害者桌機安全機制。</p> <p>資安廠商Malwarebytes的ThreatDown 代管偵測與回應（Managed Detection and Response，MDR）小組發現，RansomHub最近襲擊其用戶時，一開始先以管理員群組列舉（admin group enumeration）手法進行偵察及網路探索，以找尋可下手目標，接著就用上了合法工具進行非法行為。TDSSKiller是被駭客惡意使用的合法工具之一。另一個是知名開源密碼與憑證回復工具，名為LaZagne。</p> <p>TDSSKiller是卡巴斯基的rootkit程式移除工具，但研究人員發現，RansomHub駭客企圖利用指令行腳本程式或批次檔關閉端點偵測與回應（EDR）軟體工具，包括Malwarebytes防毒工具（MBAMService）。</p> <p>等用戶桌機被關閉EDR防護後，RansomHub駭客就利用LaZagne，從受害者系統中汲取儲存的密碼和憑證。LaZagne可從多個應用，包括瀏覽器、電子郵件用戶端、資料庫等蒐集登入資訊，讓駭客更容易在受害者網路內橫向移動。其中又以資料庫憑證為最主要目標。受害系統會出現TDSSKiller.exe以及LaZagne.exe 二個檔案。</p> <p>為防範勒索軟體使用這二工具攻擊，研究人員建議監控和小心TDSSKiller等處於灰色地帶的軟體或驅動程式，必要時隔離或完全封鎖。此外研究人員建議，利用網路區隔法切斷橫向移動，防範取得權限的駭客在網路上的裝置竊取敏感資料。</p> <p>RansomHub是新興軟體駭客組織，<a href="https://www.ithome.com.tw/news/164809" target="_blank">根據估計</a>，今年2月才現身的RansomHub，截至8月就已成功攻擊了至少210家受害者。受害企業包括美國醫療保健科技業者Change Healthcare、英國精品拍賣業者佳士得（Christie's）、臺灣電腦製造商藍天（Clevo）等。</p> </div></div></div>
2024/9/11 13:37作者林妍溱https://www.ithome.com.tw/news/164960
微軟與Quantinuum打破邏輯量子位元紀錄，將與Atom Computing合作建置量子超級電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在本周二（9/10）舉行的量子世界大會（Quantum World Congress）上宣布，已與量子計算公司Quantinuum攜手<a href="https://azure.microsoft.com/en-us/blog/quantum/2024/09/10/microsoft-and-quantinuum-create-12-logical-qubits-and-demonstrate-a-hybrid-end-to-end-chemistry-simulation/" target="_blank">建立了</a>12個高度可靠的邏輯量子位元，並將與量子電腦開發商Atom Computing<a href="https://blogs.microsoft.com/blog/2024/09/10/microsoft-announces-the-best-performing-logical-qubits-on-record-and-will-provide-priority-access-to-reliable-quantum-hardware-in-azure-quantum/" target="_blank">一同建置</a>量子超級電腦。</p> <p>量子位元（一般指的是物理量子位元）為量子運算中的基本運算單位，只是這些量子位元會拾取環境中的雜訊，彼此之間還會有不需要的互動，意謂著它們既不穩定也很容易出錯；於是科學家藉由量子糾錯技術，結合多個物理量子位元以形成錯誤率很低的邏輯量子位元。</p> <p>現在微軟則將自家Azure Quantum的量子位元虛擬化系統部署至Quantinuum的H2離子阱量子電腦，建立了12個高度可靠的邏輯量子位元。今年4月時，雙方才<a href="https://www.quantinuum.com/press-releases/quantinuum-and-microsoft-announce-new-era-in-quantum-computing-with-breakthrough-demonstration-of-reliable-qubits" target="_blank">宣布</a>已利用30個物理量子位元建立了4個邏輯量子位元，不到半年就有了重大突破，而這些邏輯量子位元的錯誤率比物理量子位元低了800倍。</p> <p>為了證明量子運算於化學應用上的用途，微軟與Quantinuum創造出兩個邏輯量子位元，以用來準備一個重要催化劑活性空間的基態，並進行測量，接著輸出測量結果並整合AI，以估算活性空間的基態能量。微軟說，這是超級電腦、AI及量子運算硬體首度共同解決科學問題。</p> <p>除了Quantinuum之外，微軟亦宣布將與Atom Computing合作，目標是打造全球最強大的量子超級電腦，並以它來支援Azure Quantum服務。</p> <p>微軟解釋，目前仍在探索各種量子位元架構，因此也在Atom Computing的第二代中性原子量子計算機上部署了Azure Quantum，該計算機可擁有超過1,200個物理量子位元，雙方也已共同創造了針對彼此系統最佳化、並可執行可靠運算的邏輯量子比特。</p> <p>Atom Computing<a href="https://atom-computing.com/building-quantum-supercomputers-with-microsoft/" target="_blank">則說</a>，該公司基於中性原子的硬體，以獨特的方式結合了實現量子糾錯所需的所有必要功能，而微軟則負責最佳化其糾錯程式碼，並針對各種容錯應用開發演算法。</p> <p>總之，微軟認為，隨著量子硬體與軟體的進步，量子位元的數量及保真度便能持續增加，而能利用邏輯量子位元執行更深入也更複雜的量子運算，當擁有100個邏輯量子位元時，即有望實現科學量子優勢，協助解決某些全球最迫切的問題。</p> </div></div></div>
2024/9/11 14:03作者陳曉莉https://www.ithome.com.tw/news/164961
微軟發布9月例行更新，修補4個已被用於攻擊行動的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月10日微軟發布<a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Sep">本月份例行更新（Patch Tuesday）</a>，總共修補79個漏洞，較<a href="https://www.ithome.com.tw/news/164472">上個月</a>略為減少。其中，有30個是權限提升漏洞、4個安全功能繞過漏洞、23個遠端程式碼執行（RCE）漏洞、11個資訊洩露漏洞、8個阻斷服務（DoS）漏洞，以及3個可被用於詐欺的漏洞。值得留意的是，這次有4個是已出現實際攻擊行動的零時差漏洞，其中1個的細節遭到公開。</p> <p>這些漏洞分別是：Windows更新RCE漏洞CVE-2024-43491、MotW安全繞過漏洞CVE-2024-38217、Windows Installer權限提升漏洞CVE-2024-38014、排版軟體Publisher安全功能繞過漏洞CVE-2024-38226，CVSS風險評為介於5.4至9.8分。</p> <p>其中最受到研究人員關注的漏洞，是CVSS風險評分最高的CVE-2024-43491，資安業者Rapid7、漏洞懸賞專案Zero Day Initiative（ZDI）不約而同地首先提及這項漏洞，原因是讓人不禁想起上個月<a href="https://www.ithome.com.tw/news/164368">資安業者SafeBreach揭露的Windows Downdate降級漏洞</a>，但實際上兩者之間並無直接關連。CVE-2024-43491存在特定的服務堆疊（Service Stack）更新套件，僅影響執行Windows 10 Enterprise 2015 LTSB、Windows 10 IoT Enterprise 2015 LTSB作業系統的電腦，一旦這些電腦部署今年3月發布的KB5035858，以及到8月之前的其他更新套件，就有可能導致選用元件被降級為RTM版本，使得攻擊者能夠再度利用已經修補的漏洞。</p> <p>另一個相當值得關注的漏洞，則是同樣在上個月<a href="https://www.ithome.com.tw/news/164336">由Elastic資安實驗室揭露的CVE-2024-38217</a>，當時研究人員提及，攻擊者可使用名為LNK Stomping的攻擊手法，透過檔案總管（explorer.exe）處理程序竄改特定的LNK檔案，從而在執行智慧應用程式控制（Smart App Control，SAC）及SmartScreen掃描之前移除MotW標記。雖然這項漏洞的CVSS分數只有5.4，但研究人員根據惡意程式分析平臺VirusTotal的資料，駭客很可能在2018年就開始利用相關漏洞。</p> <p>至於另外兩個零時差漏洞，微軟指出CVE-2024-38014可被用於提升至SYSTEM權限；而CVE-2024-38226則是能繞過Office封鎖惡意檔案的巨集政策，但值得留意的是，攻擊者必須通過身分驗證，而且還要存取本機才能觸發。</p> <p>值得留意的是，ZDI提及於6月向微軟通報MSHTML平臺欺騙漏洞CVE-2024-43461，並表明攻擊者已積極利用於實際攻擊行動，但微軟在公告當中並未提及此事。對此，ZDI呼籲IT人員也要特別留意，因為所有版本的Windows作業系統都會受到該漏洞影響。</p> <p>而在零時差漏洞之餘，Rapid7認為SharePoint重大層級漏洞CVE-2024-38018、CVE-2024-43464，以及NAT重大層級漏洞CVE-2024-38119，也需要關注，這些漏洞攻擊者都有機會用於發動遠端執行任意程式碼攻擊。</p> </div></div></div>
2024/9/11 12:21作者周峻佑https://www.ithome.com.tw/news/164959
MariaDB已出售給私募股權基金K1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>私募股權基金 K1 Investment Management周二（9/10）<a href="https://mariadb.com/newsroom/press-releases/k1-acquires-a-leading-database-software-company-mariadb-and-appoints-new-ceo/" target="_blank">宣布</a>，已完成對MariaDB百分之百的要約收購，也順勢讓MariaDB下市。</p> <p>MariaDB為開源關聯性資料庫MySQL的分支，是為了因應MySQL遭到甲骨文併購而開發的，旨在維持開源並與MySQL相容。該公司在2022年12月19日藉由與特殊目的收購公司（SPAC）Angel Pond Holdings Company（APHC）合併，而<a href="https://www.ithome.com.tw/news/154803" target="_blank">登上</a>紐約股市（NYSE）。MariaDB總部位於愛爾蘭，有接近700家客戶，涵蓋金融、電信、政府、健康照護及電子商務領域，知名客戶包括德意志銀行、紅帽、Nokia及三星等。</p> <p>不過，去年MariaDB便因股價長期低於1美元而收到NYSE的<a href="https://www.ithome.com.tw/news/157655" target="_blank">警告</a>，今年初即<a href="https://www.ithome.com.tw/news/161353" target="_blank">傳出</a>K1有意以每股0.55美元收購MariaDB，總價約為3,700萬美元。</p> <p>K1主要投資小型企業軟體公司，已投資超過240家業者，其去年的收購投資組合實現了超過21億美元的收入，此一投資組合約占該公司資產淨值的85%以上。</p> <p>換了東家的MariaDB也換了新執行長Rohit de Souza，由Souza負責推動MariaDB的產品創新與高品質的企業解決方案。原來的執行長Paul O'Brien則持續擔任顧問一職。</p> </div></div></div>
2024/9/11 10:49作者陳曉莉https://www.ithome.com.tw/news/164958
甲骨文和Google Cloud、AWS分推雲端Oracle Database服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文本周宣布與<a href="https://www.oracle.com/au/news/announcement/ocw24-oracle-and-google-cloud-announce-the-general-availability-of-oracle-database-at-google-cloud-2024-09-09/" target="_blank">Google Cloud</a>及<a href="https://press.aboutamazon.com/aws/2024/9/oracle-and-amazon-web-services-announce-strategic-partnership" target="_blank">AWS</a>合作，推出雲端Oracle資料庫服務。</p> <p>這二項宣布是甲骨文在企業運算雲端化趨勢下，調整過往策略，改和公有雲競爭者合作的結果。首先，和Google Cloud的合作，是兩大公司攜手雲端資料庫的第二階段。甲骨文今年6月就和Google Cloud<a href="https://www.ithome.com.tw/news/163438" target="_blank">宣布</a>甲骨文雲端基礎架構（Oracle Cloud Infrastructure，OCI）硬體，透過Google Cloud Cross-Cloud Interconnect連線方案和Google Cloud彼此整合。本周，Oracle <a href="mailto:Database@Google">Database@Google</a> Cloud全球上線。</p> <p>Oracle <a href="mailto:Database@Google">Database@Google</a> Cloud今天在美國、歐洲雲端區域上線。未來幾個月內會推向北美、歐洲、中東、亞太、非洲和拉丁美洲。</p> <p>雙方強調，這個雲端資料庫讓用戶可直接存取在Google Cloud資料中心內的OCI上執行的Oracle Database。企業用戶可以使用Oracle資料庫和Exadata技術來開發應用。Oracle on Google Cloud現在也支援Oracle Linux，企業用戶可利用Google Cloud虛擬桌機映像檔匯入工具匯入Oracle Linux映像檔，以便在Oracle Linux執行應用。</p> <p>未來12個月，Google Compute Engine將會內建映像檔，簡化Oracle Linux映像檔調用（provisioning）。此外，Oracle <a href="mailto:Database@Google">Database@Google</a> Cloud還將整合Google Cloud的生成式AI功能，例如Vertex AI、Gemini基礎模型、Oracle Database 23ai等，以便查詢甲骨文資料庫資訊並執行分析。甲骨文強調新方案可讓兩朵雲營運如單一雲，且提供和OCI相同的功能和價格。</p> <p>甲骨文另外也<a href="https://press.aboutamazon.com/aws/2024/9/oracle-and-amazon-web-services-announce-strategic-partnership" target="_blank">宣布</a>Amazon Web Services（AWS）推出Oracle <a href="mailto:Database@AWS">Database@AWS</a>的合作方案。這新方案和Google Cloud/OCI的合作類似，讓客戶可在AWS中的專用Oracle專用基礎架構（即專用硬體）上，存取Oracle Autonomous Database，以及在AWS上的Oracle Exadata Database Service。新服務讓企業能無縫連結他們在Oracle Database的資料，以及在Amazon EC2雲端平臺、AWS Analytics或AWS進階AI服務上的應用程式。</p> <p>甲骨文表示，Oracle <a href="mailto:Database@AWS">Database@AWS</a>可讓用戶直接存取AWS上的Oracle Exadata Database Service，包括專用機器上的Autonomous Database及RAC（Real Application Clusters）上的應用，透過AWS和Oracle Database服務的整合，企業使用AWS管理控制臺或指令行、或AWS建模、布建和管理服務AWS CloudFormation，來啟動Oracle <a href="mailto:Database@AWS">Database@AWS</a>。</p> <p>其他好處像是Oracle資料庫服務可無縫整合AWS Analytics分析服務、AWS用戶若有Oracle授權，在AWS Marketplace上就能採購Oracle Database服務。另外Oracle Database也可以無縫整合Amazon S3儲存平臺，執行備份、復原及災難回復。</p> <p>兩家公司也會共同行銷Oracle <a href="mailto:Database@AWS">Database@AWS</a>，鎖定金融、健康照護、製造、零售、電信和公用事業。Oracle <a href="mailto:Database@AWS">Database@AWS</a>會在今年內提供預覽版，2025年逐步擴大全球上線的進度。</p> </div></div></div>
2024/9/11 08:56作者林妍溱https://www.ithome.com.tw/news/164957
Aspeed第8代BMC登場，提供簡化設計、訊號處理功能更多元的管理模組
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aspeed_ast2700-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攝影：李宗翰</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端服務、機器學習、生成式AI等一連串IT創新應用的爆發，帶動大量伺服器的建置需求，談到關鍵的硬體技術元件發展，眾人的目光大多放在CPU、記憶體、硬碟儲存、網路連接埠、I/O介面，以及日趨多元的AI加速器，然而，還有一個部分更是不可或缺的，那就是基板控制器（BMC），提供遠端登入管理的能力。</p> <p>環顧市面上的伺服器產品，都整合或配備這樣的元件，像是HPE ProLiant系列內建的系統管理平臺iLO（Integrated Lights-Out），Dell PowerEdge系列內建iDRAC（Integrated Dell Remote Access Controller），聯想ThinkSystem系列內建XClarity Controller，這些都是行之有年的解決方案。除此之外，還有其他廠商可供應BMC，其中市占率最高的品牌，當屬信驊科技（Aspeed），在2015到2016年，他們拿下全球BMC市占第一，並且併購Broadcom的遠端伺服器管理晶片Emulex Pilot業務，到了2019年、2020年，信驊推出第7代BMC晶片AST2600系列，採用28奈米製程的技術而成，在這之後，市面上許多新推出的伺服器紛紛搭配這款BMC晶片，例如，<a href="https://www.supermicro.com/zh_tw/solutions/management-software/bmc-resources">Supermicro的X12、H12、X13、H13世代伺服器</a>，雲達的QuantaGrid D54、D55/S55、D44/S44、S74系列伺服器，華碩的E11、E12世代伺服器，微星的S11、S12、S13、S22、G42、G41系列伺服器，也有一些資料處理器（DPU）、智慧型網路卡（SmartNIC）搭配AST2600系列，像是過去Nvidia的<a href="https://developer.nvidia.com/blog/power-the-next-wave-of-applications-with-nvidia-bluefield-3-dpus/"> BlueField-3</a>與<a href="https://www.ithome.com.tw/review/162347">AX800</a>，以及<a href="https://www.senaonetworks.com/products/smartnic/sx904/">神準SX904</a>。</p> <p>到了今年6月舉行的台北國際電腦展（Computex 2024），信驊發表第8代BMC晶片AST2700系列，導入12奈米製程，年初他們已開始提供樣品，目前與客戶密切合作中，預計2025年量產供貨。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-%E4%BF%A1%E9%A9%8A%E7%A7%91%E6%8A%80%E5%B1%95%E5%87%BA%E6%96%B0%E4%B8%80%E4%BB%A3BMC%E6%99%B6%E7%89%87.jpg" style="width: 600px;" /></p> <p>相較於既有的AST2600系列，AST2700系列維持相同的封裝尺寸，不僅採用更先進的製程，效能也大大提升，增長幅度高達28倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AST2700 with AST1700-source-Aspeed-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AST2700%20with%20AST1700-source-Aspeed-web.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Aspeed Wiwynn HPM-DC-SCM source-Aspeed-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aspeed%20Wiwynn%20HPM-DC-SCM%20source-Aspeed-web.jpg" style="width: 298px;" /></a></p> <blockquote><p style="margin-left:.05pt;">AST2700系列晶片可設置在DC-SCM當中，信驊在今年Computex展出自家設計的模組（左圖），也陳列多家伺服器廠商採用這款BMC的DC-SCM 2.0解決方案，像是英業達Gaydon、緯穎M2110W（右圖的右側）、技嘉CDCR310。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-BMC%20%E6%90%AD%E9%85%8DIO%20%E6%93%B4%E5%B1%95%E6%99%B6%E7%89%87%E7%9A%84%E7%A4%BA%E7%AF%84%E4%BC%BA%E6%9C%8D%E5%99%A8%E4%B8%BB%E6%9D%BF.jpg" style="width: 600px;" /></p> <blockquote><p>信驊科技今年Computex發表第8代BMC晶片產品AST2700系列，可搭配去年Computex亮相的PFR晶片AST1060，以及最新推出的I/O擴展晶片AST1700，提供簡化的主板設計，以及強大的訊號處理功能。圖中是他們現場展示的主板，左邊是AST2750+AST1060的DC-SCM參考設計板，右側是搭載AST1700的I/O擴展晶片評估板。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/Aspeed 2024 BMC reference board-source-aspeed.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aspeed%202024%20BMC%20reference%20board-source-aspeed.jpg" style="width: 600px;" /></a></p> <p>除了持續發展BMC晶片，信驊針對雲端服務與企業IT基礎架構應用的解決方案，也陸續擴增多個產品系列，例如：負責延伸與協助分攤BMC管理的橋接晶片（BIC）：AST1030與AST1035，分別在2021年與2022年推出；提供平臺韌體防護能力的晶片（PFR IC）：AST1060，曾在去年臺北國際電腦展亮相；提供更多I/O技術擴充選項的 I/O擴展晶片：AST1700，在今年與AST2700一起發表。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Aspeed BMC portfolio roadmap-2023-11-圖片來源-Aspeed.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aspeed%20BMC%20portfolio%20roadmap-2023-11-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Aspeed.jpg" style="width: 600px;" /></a></p> <blockquote><p>針對雲端服務與企業IT基礎架構的應用需求，Aspeed開展出 BMC、BIC、PFR、I/O Expander這四大產品線，圖中最右側是今年開始主推的AST2700系列，以及AST1700；居中的AST2600系列，已普遍運用在市面上新推出的伺服器。</p> </blockquote> <h3><span style="color:#0000FF;"><strong>結合Arm處理器與RISC-V處理器</strong></span></h3> <p>就硬體元件的組成而言，AST2700系列包含1個Cortex-A35應用型處理器（內建4顆Armv8-A架構的核心，時脈為1.6 GHz）、2個Cortex-M4嵌入式處理器（內建Armv7-M架構的核心，時脈為400 MHz），以及2個RISC-V處理器，支援DDR5 3200Mbps規格的16位元匯流排、PCIe 4.0、USB 3.2、UFS 3.1等傳輸介面。值得注意的是，信驊在這一代最新推出BMC晶片當中，已經整合南橋／平臺控制器中樞（PCH）晶片相關功能，像是：USB 3.2 over PCIe xHCI。</p> <p>至於進入市場已有一段時間的AST2600系列，包含1個Cortex-A7應用型處理器（內建2顆Armv7-A架構的核心，時脈為1.2 GHz）、1個Cortex-M3嵌入式處理器（內建Armv7-M架構的核心），支援DDR4 1600Mbps規格的16位元匯流排。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AST2700%20enhancement-2024-06.jpg" style="width: 600px;" /></p> <h3><span style="color:#0000FF;"><strong>新支援CAN、LTPI等兩種介面</strong></span></h3> <p>關於更多類型存取介面的搭配使用，信驊在他們發布的新聞稿與網站的產品介紹提到，AST2700系列可支援兩個在現行BMC晶片較少見到的規格：控制區域網路（CAN Bus）的2.0B版，以及低電壓差分信號隧道協議與介面（LTPI）。</p> <p>為何要支援CAN？信驊認為，CAN已廣泛用在電源供應器管理，當具備這項規格的BMC整合到伺服器的電源供應器，就能執行相關的遠端監控機制，企業可藉此提高伺服器、尤其是高功耗AI伺服器的效能，以及達成降低碳排放量的目標。</p> <p>至於LTPI的支援，與開放運算計畫組織（OCP）訂定的兩個標準有關，一個是資料中心就緒安全控制模組（DC-SCM），另一個是主機處理器模組（HPM）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Aspeed-DC-SCM-%E6%94%9D%E5%BD%B1-%E6%9D%8E%E5%AE%97%E7%BF%B0-P1420632-web.jpg" style="width: 300px;" /></p> <blockquote><p>AST2700的推出，最明顯的效益在於針對LTPI的存取支援，DC-SCM與HPM皆不需再為此搭配FPGA晶片，而且如果再搭配I/O擴展晶片AST1700，能夠獲得更多類型I/O訊號處理能力。</p> </blockquote> <p>關於各種訊號從HPM傳輸至BMC所在的DC-SCM，目前的做法是在DC-SCM需配置FPGA晶片，而對於HPM而言，也要搭配FPGA晶片，因為這兩個模組需透過資料中心就緒安全控制介面（DC-SCI）傳輸訊號，但此介面只有168個針腳，AST2600系列有624個針腳，AST2700系列有676個針腳，訊號無法傳至HPM，於是採用低電壓差分訊號（LVDS），執行序列化（serialize）處理，將物件或陣列這類複雜的資料結構，轉換成連續的位元組資料、編碼成為LVDS訊號送出，然後進行傳輸，而在接收端，會將所得到的位元組資料執行反序列化（deserialize）處理，恢復原本的資料結構，把所有的I/O內容分散開來。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Computex%20Aspeed%20DC-SCM%20Solution%20Comparison-2024-06.png" style="width: 600px;" /></p> <p>信驊認為，這樣的功能需求越來越重要，因為伺服器的運作有很多訊號要傳遞，像現在很夯的AI伺服器，管理者要掌握很多感測器提供的資料，例如，水冷裝置是否有漏液？整臺伺服器、電源供應器的運作溫度會不會過高？負載是否夠均衡？這些都是需要遠端控制的應用跟場景，所以在DC-SCM 2.0的架構引入LTPI的功能，把很多的訊號集合起來打包，轉換為高速的訊號，以往需要搭配另外一顆FPGA晶片去做這件事情。</p> <p>在信驊現有的遠端系統管理架構中，單就DCS-HCM的部分，會有三個晶片：首先是BMC 晶片AST2600，第二是專攻平臺韌體防護（PFR）的晶片AST1060，第三是SCM的FPGA晶片負責訊號轉換；而在HPM的部分，這裡通常是放置CPU的主板，必須要把訊號接收下來，並且予以展開，因此，需要搭配1顆主要FPGA晶片來處理這些工作，而且還要搭配另一顆FPGA晶片幫忙除錯，因此，HPM為此總共要搭配兩顆FPGA晶片。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-%E7%95%B6%E5%89%8D%E4%B8%BB%E6%B5%81%E7%9A%84BMC%20%E5%9C%A8DC-SCM%20%E6%9E%B6%E6%A7%8B.png" style="width: 600px;" /></p> <p>有了AST2700系列之後，現在可以將這些處理囊括進來，因為DC-SCM的部分不需要額外搭配FPGA晶片，而在主板端，也就是HPM，若是再搭配新推出的I/O擴展晶片（I/O Expander）AST1700，幫忙展開所有的I/O資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-06-下一世代的BMC 在DC-SCM 架構.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-%E4%B8%8B%E4%B8%80%E4%B8%96%E4%BB%A3%E7%9A%84BMC%20%E5%9C%A8DC-SCM%20%E6%9E%B6%E6%A7%8B.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-06-下一世代的BMC 搭配IO 擴展晶片.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-%E4%B8%8B%E4%B8%80%E4%B8%96%E4%BB%A3%E7%9A%84BMC%20%E6%90%AD%E9%85%8DIO%20%E6%93%B4%E5%B1%95%E6%99%B6%E7%89%87.png" style="width: 298px;" /></a></p> <p>而且在AST2700與AST1700這兩款晶片的搭配之下，LTPI存取頻寬可達到1Gb/s。具有更大的資料傳輸能力，就能傳遞更多訊號、支援更多的I2C通道與I3C通道，這意味著信驊的BMC晶片能夠接收更多感測器的資料，提供更多應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AST2700-AST1700-LTPI-1Gbps.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/AST2700-AST1700-LTPI-IO Expander.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AST2700-AST1700-LTPI-IO%20Expander.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Aspeed AST2700-1700-LTPI-圖片來源-信驊科技-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aspeed%20AST2700-1700-LTPI-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E4%BF%A1%E9%A9%8A%E7%A7%91%E6%8A%80-web.jpg" style="width: 298px;" /></a></p> <blockquote><p>AST2700系列最大賣點是針對LTPI介面的支援，能提供DC-SCM與HPM都無需搭配FPGA晶片的設計方式，可節省開發硬體元件與軟體程式碼的成本。若AST2700搭配AST1700系列使用，可提供1Gb/s的訊號處理頻寬，並且擴展更多I/O處理能力。</p> </blockquote> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/DwbkCpbDl2w?si=h53f03yNRKCuEIk4" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>透過上述LTPI介面的整合處理，可簡化DC-SCM與HPM的設計，加速產品開發流程。信驊科技行銷業務處協理關超成表示，以現行的BMC模組化設計而言，關於DC-SCM的部分，AST2600系列要搭配FPGA轉換訊號，而在HPM的部分，也需搭配FPGA進行反序列化處理，因為廠商需要針對FPGA晶片開發硬體暫存器傳輸層（RTL）的程式碼，等於需要負擔額萬的軟體開發與硬體本身的成本。到了AST2700系列，由於這顆晶片本身可控制訊號的處理，搭配AST1700之後，也能透過這顆晶片協助處理訊號、不需執行軟體，進而獲得降低開發成本與持有成本的效益，更容易推動模組化設計。</p> <p>對於伺服器廠商而言，他們需要設計與製造大量主機板，若能將通用功能開發為模組，只需進行一次設計、能插在不同主機板上面，即可大幅節省開發成本與時間。而且，AST1700不需要用到韌體（Firmwareless），LTPI介面能直接連上、將I/O展開，再加上BMC韌體原本就有人在開發，可藉此控制AST1700這個被動元件，由於運用既有資源就能做到，所以更容易實現快速上市的目標。</p> <p>除此之外，關於有些功能的支援，FPGA目前並不普遍提供，而需要透過相對複雜的設計進行實作，例如，針對「I3C（改善內部積體電路）」的擴充，因為這會耗用更多查找表（LUTs），以及「MCTP over SMBUS（經由系統管理匯流排進行通訊的管理元件傳輸協定）」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-AST1700%20%E5%84%AA%E5%8B%A2.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Aspeed%20IO%20Expander%20%E6%9E%B6%E6%A7%8B-2023-03.png" style="width: 600px;" /></p> <p>關超成強調，客戶仍能在HBM主板使用FPGA ，因為LTPI是OCP鼓吹大家採用的標準（DC-SCM 2.0），他們並不推行專屬規格的支援，而且希望讓客戶能有選擇，但同時，他們也相信AST1700具有成本優勢，可縮短開發時間，因此，客戶最終會接受這樣的搭配。</p> <h3><span style="color:#0000FF;"><strong>強化矽信任根防護，原生支援OCP訂定的Caliptra規格</strong></span></h3> <p>關於BMC本身的資訊完整性確保，AST2600系列支援安全開機啟動的模式，並憑藉自身搭配Arm Cortex A7處理器而內建的TrustZone，提供相關的硬體驗證保護。到了最新登場的AST2700系列，信驊宣布採用OCP推動的矽信任根（SiRoT）智財技術，名為Caliptra，目的是在遵循開放標準的作業流程的前提之下，確保重要維運工作的完整性與機密性。</p> <h3><span style="color:#0000FF;"><strong>因應高密度伺服器大量集中管理需求，率先支援雙節點配置</strong></span></h3> <p>由於伺服器在資料中心基礎架構扮演的角色日益吃重，單臺伺服器設備需要部署的BMC晶片可能不只1顆。例如，專攻AI推論與AI訓練用途的GPU伺服器或加速運算ASIC伺服器，每一臺設備配置的BMC晶片將會是2到4顆（主機板1顆、匯集8個GPU或加速運算ASIC的模組1顆，若再搭配DPU/IPU，並考慮這類I/O卸載卡的備援需求，又會因此增用兩顆BMC）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Aspeed%20Server%20BMC%E6%9E%B6%E6%A7%8B-2023-03.png" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Aspeed GPU server BMC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aspeed%20GPU%20server%20BMC.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Aspeed%20AI%20Servers%20BMC.png" style="width: 600px;" /></p> <p>另一種情況是供應雲端服務的超大型IT基礎架構業者或是大型企業，為了能夠更徹底發揮機房空間效益，對於大量伺服器的建置，會希望採用高密度的硬體組態，因此，市面上，一直都有導入雙節點或四節點架構設計的產品，因此，在相同的機架空間中，需要搭配的BMC晶片數量，也將隨著運算節點的增加而提升兩倍或四倍。</p> <p>為了簡化系統複雜度、降低管理成本、強化資源配置靈活度，信驊在AST2700系列當中的AST2750，額外支援多節點運算架構，能憑藉單顆BMC晶片同時監控兩臺運算節點（Dual Host），信驊在2024台北國際電腦展現場，特別提供實機示範。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Aspeed-NZ6_1862-Dual Host demo-2024-06.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aspeed-NZ6_1862-Dual%20Host%20demo-2024-06.jpg" style="width: 600px;" /></a></p> <p>這項概念規格的發展與設計，目前是AMD與英特爾這兩家CPU廠商推動，目的是在一張主機板裝載兩顆x86處理器，可以分別執行兩個獨立的作業系統，並且能透過AST2750管理這兩個系統，為此AST2750本身提供的介面都會有兩組，例如，提供兩組ePI、兩組PCIe、兩組LTPI、兩組VGA輸出，信驊表示，這其實是用1顆BMC再加上1顆FPGA，去做到原本需要兩顆BMC的管理功能，藉此突顯這個全新的市場。</p> <p>由於信驊目前尚未取得CPU廠商提供的Dual Host參考驗證，所以他們在Computex現場的設備展示，是透過兩張主機板與搭載AST2750的評估板，模擬兩個系統的遠端管理，旁邊設置一臺筆電，呈現智慧平臺管理介面（IPMI）提供的圖像化操作方式，從中可看到個別節點的作業系統運作，以及風扇轉速、溫度等硬體環境狀態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/6-AST2700-Dual Nodes-攝影-李宗翰-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/6-AST2700-Dual%20Nodes-%E6%94%9D%E5%BD%B1-%E6%9D%8E%E5%AE%97%E7%BF%B0-web.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/AST2750-Dual%20Host%20Demo%20Console2.jpg" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AST2750-Dual%20Host%20Demo%20Console-web.jpg" style="width: 600px;" /></p> <blockquote><p>AST2700系列當中的AST2750可額外提供多節點的管理能力，能以單顆BMC晶片監控兩臺運算節點，信驊在Computex也為此設計出一套搭配兩張主機板的設備，展示搭載這顆晶片的評估板同時管理兩臺主機的能耐。</p> </blockquote> <p><a href="https://youtu.be/0HHNIni0_H0?si=KL8lHAAGiV1otG70"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-OCP%20Summoit-Multi-Host%20Modular%20Systems.jpg" style="width: 600px;" /></a></p> <blockquote><p>關於OCP推動的多節點系統BMC管理架構，我們在2022年10月舉行的OCP全球高峰會，看到有場探討多主機模組化系統的演講，列出一種架構是用單顆BMC搭配兩張HPM，或許這個概念與AST2750提供的雙主機支援是相近的。</p> </blockquote> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/bmc">BMC</a></div></div></div>
2024/9/10 19:07作者李宗翰https://www.ithome.com.tw/tech/164954
【資安日報】9月10日，勒索軟體駭客將SonicWall防火牆重大漏洞用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者SonicWall指出，他們在8月修補的重大漏洞CVE-2024-40766，疑似被用於攻擊行動，如今陸續有資安業者公布調查結果，印證真有此事。</p> <p>其中，最早透露的是資安業者Arctic Wolf，他們指出是使用勒索軟體Akira的駭客所為，昨日另一家資安業者Rapid7也公布他們的發現，值得一提的是，這樣的情況也得到美國網路安全暨基礎設施安全局（CISA）證實，因為他們將這項漏洞加入已遭利用的漏洞名冊（KEV）。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164950"><strong style="font-size: 22px;">SonicWall防火牆重大漏洞危機升溫，傳出已被用於散布勒索軟體</strong></a></p> <p>本月6日SonicWall針對防火牆作業系統SonicOS重大層級漏洞CVE-2024-40766提出警告，昨天我們報導他們表示已得知這項漏洞疑似被用於攻擊行動，然而，9月6日當天其實又有資安業者透露相關消息。</p> <p>資安業者Arctic Wolf指出，他們看到使用勒索軟體Akira的駭客已開始利用這項漏洞取得初始入侵的管道，駭客竊取SonicWall防火牆存放的SSL VPN帳號資料，這些帳號都是本機帳號，而非AD帳號，而且，所有帳號的多因素驗證（MFA）機制皆被停用。</p> <p>到了9月9日，另一家資安業者Rapid7也察覺相關攻擊行動，他們表示已掌握數起SonicWall防火牆的SSL VPN帳號遭到攻擊或是被破壞的事故，並指出攻擊者的身分涵蓋勒索軟體駭客組織。</p> <p><a href="https://www.ithome.com.tw/news/164947"><strong style="font-size: 22px;">駭客組織APT-C-36冒充稅務機關，鎖定哥倫比亞保險業者發動網釣攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BlindEagle-fig2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/BlindEagle-fig2.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Zscaler揭露匿稱為AguilaCiega、BlindEagle、APT-Q-98的駭客組織APT-C-36攻擊行動，駭客約從今年6月開始，鎖定哥倫比亞保險業的員工從事網路釣魚攻擊，過程裡駭客冒充當地稅務機關，意圖散布RAT木馬程式BlotchyQuasar。</p> <p>這些釣魚郵件通常會挾帶PDF附件，駭客在郵件內文及PDF附檔裡面都寫入指向ZIP檔案的URL，一旦收信人點選，就會從Google Drive下載ZIP檔，該壓縮檔的內容就是BlotchyQuasar。值得留意的是，掌管這個Google帳號的用戶是哥倫比亞的地方政府機關，駭客很可能取得外流帳密資料而得，這樣的情況使得收信人很容易降低警覺，以為資料來自政府單位而照做。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=165214&SPOKE_DATE=20240909&COMPANY_ID=2063"><strong style="font-size: 22px;">臺灣複合螺絲及螺栓製造商世鎧遭遇網路攻擊，部分系統被加密</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bL89L4Lw83.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/bL89L4Lw83.png" style="width: 300px; float: right;" /></a>9月9日臺灣複合螺絲及螺栓製造商世鎧發布重大訊息，證實他們有部分資訊系統於當天早上遭受加密攻擊，該公司循線找到加密源頭，並阻斷駭客繼續加密的行為，目前正在著手復原系統。</p> <p>而對於這起事故的影響範圍，該公司並未透露，但表示他們初步評估對營運無重大影響。</p> <p>該公司表示，他們已尋求外部資安顧問公司合作，共同因應這起資安事故，並全面強化相關防禦及復原機制。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.sekoia.io/a-glimpse-into-the-quad7-operators-next-moves-and-associated-botnets/">殭屍網路Quad7鎖定兆勤VPN設備、Ruckus無線路由器而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/i/earth-preta-new-malware-and-strategies.html">中國駭客Earth Preta透過蠕蟲程式Hiupan散布惡意軟體PubLoad</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/payment-gateway-data-breach-affects-17-million-credit-card-owners/">付款閘道服務供應商Slim CD資料外洩，170萬人信用卡及個資曝光</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/ai-firm-misconfigured-server-exposed-mental-health-data/">人工智慧醫療保健業者Confidant Health伺服器配置錯誤，曝露5.3 TB健康記錄</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164943"><strong style="font-size: 22px;">Apache基金會修補ERP系統OFBiz重大風險漏洞</strong></a></p> <p>9月4日Apache基金會發布ERP系統OFBiz新版18.12.16，當中修補重大層級漏洞CVE-2024-45195（CVSS風險評分為9.8），通報此事的研究人員近日公布相關細節。</p> <p>資安業者Rapid7指出，透過這項漏洞，未經授權的攻擊者能夠從遠端連至Windows或Linux電腦執行任意程式碼，原因是網頁應用程式缺乏檢視授權查核機制造成。</p> <p>研究人員特別提及，這項漏洞與Apache基金會先前修補的CVE-2024-32113、CVE-2024-36104、CVE-2024-38856（CVSS風險評分為9.1至9.8），發生的根本原因相同，都是控制器與檢視圖解失去同步能力造成，而能讓攻擊者有機會在未通過身分驗證的情況下，執行SQL查詢或是特定程式碼，從而達到遠端執行程式碼攻擊的目的。</p> <p><a href="https://www.ithome.com.tw/news/164951"><strong style="font-size: 22px;">資料圖像化系統Kibana存在重大漏洞，可被用於執行任意程式碼</strong></a></p> <p>資料搜尋和分析解決方案業者Elastic推出資料圖像化系統Kibana安全性更新8.15.1版，修補2項重大層級的漏洞CVE-2024-37288、CVE-2024-37285。</p> <p>根據CVSS風險評分，較為危險的是CVE-2024-37288，這項漏洞發生的原因，在於Kibana的Amazon Bedrock Connector元件當中，存在「解序列化（deserialization）」的弱點，當Kibana嘗試處理含有惡意酬載的YAML檔案，就有可能觸發，使得攻擊者能夠執行任意程式碼，CVSS風險評為9.9分（滿分為10分），影響8.15.0版Kibana。</p> <p>另一個漏洞CVE-2024-37285也與解序列化有關，攻擊者同樣可藉由特製的YAML檔案觸發，並執行任意程式碼，但利用這項漏洞，攻擊者必須事先得到具備指定權限的惡意使用者帳號，並結合特定的Elasticsearch、Kibana權限，此漏洞的CVSS風險評分為9.1，影響8.10.0至8.15.0版Kibana。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://support.kemptechnologies.com/hc/en-us/articles/29196371689613-LoadMaster-Security-Vulnerability-CVE-2024-7591">Progress針對應用程式交付系統LoadMaster重大漏洞發布緊急修補程式</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164937"><strong>【9月9日】鎖定臺灣衛星及軍事工業的中國駭客組織TIDrone引起研究人員關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164897"><strong>【9月6日】北韓駭客使用冒牌視訊會議軟體感染求職者電腦</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164875"><strong>【9月5日】美國針對俄羅斯干預總統大選採取執法行動</strong></a></p> </div></div></div>
2024/9/10 17:02作者周峻佑https://www.ithome.com.tw/news/164953
SonicWall防火牆重大漏洞危機升溫，傳出已被用於散布勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月6日SonicWall針對防火牆作業系統SonicOS重大層級漏洞CVE-2024-40766提出警告，<a href="http://www.ithome.com.tw/news/164920">昨天我們報導他們表示已得知這項漏洞疑似被用於攻擊行動</a>，然而，9月6日當天其實又有資安業者透露相關消息。</p> <p>資安業者Arctic Wolf指出，<a href="https://arcticwolf.com/resources/blog/arctic-wolf-observes-akira-ransomware-campaign-targeting-sonicwall-sslvpn-accounts/">他們看到使用勒索軟體Akira的駭客已開始利用這項漏洞取得初始入侵的管道</a>，駭客竊取SonicWall防火牆存放的SSL VPN帳號資料，這些帳號都是本機帳號，而非AD帳號，而且，所有帳號的多因素驗證（MFA）機制皆被停用。</p> <p>到了9月9日，另一家資安業者Rapid7也察覺相關攻擊行動，<a href="https://www.rapid7.com/blog/post/2024/09/09/etr-cve-2024-40766-critical-improper-access-control-vulnerability-affecting-sonicwall-devices/">他們表示已掌握數起SonicWall防火牆的SSL VPN帳號遭到攻擊或是被破壞的事故</a>，並指出攻擊者的身分涵蓋勒索軟體駭客組織。研究人員指出，儘管他們掌握的是間接證據，但顯然駭客已盯上該漏洞，呼籲IT人員要儘速採取行動。</p> </div></div></div>
2024/9/10 15:34作者周峻佑https://www.ithome.com.tw/news/164950
資料圖像化系統Kibana存在重大漏洞，可被用於執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料搜尋和分析解決方案業者Elastic<a href="https://discuss.elastic.co/t/kibana-8-15-1-security-update-esa-2024-27-esa-2024-28/366119">推出資料圖像化系統Kibana安全性更新8.15.1版</a>，修補2項重大層級的漏洞CVE-2024-37288、CVE-2024-37285。</p> <p>根據CVSS風險評分，較為危險的是CVE-2024-37288，這項漏洞發生的原因，在於Kibana的Amazon Bedrock Connector元件當中，存在去序列化（deserialization）的弱點，當Kibana嘗試處理含有惡意酬載的YAML檔案，就有可能觸發，使得攻擊者能夠執行任意程式碼，CVSS風險評為9.9分（滿分為10分），影響8.15.0版Kibana。</p> <p>另一個漏洞CVE-2024-37285也與去序列化有關，攻擊者同樣可藉由特製的YAML檔案觸發，並執行任意程式碼，但利用這項漏洞，攻擊者必須事先得到具備指定權限的惡意使用者帳號，並結合特定的Elasticsearch、Kibana權限，此漏洞的CVSS風險評分為9.1，影響8.10.0至8.15.0版Kibana。</p> </div></div></div>
2024/9/10 16:02作者周峻佑https://www.ithome.com.tw/news/164951
駭客組織APT-C-36冒充稅務機關，鎖定哥倫比亞保險業者發動網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客假冒政府機關製造受害者恐慌，讓他們亂了陣腳而乖乖照做的情況相當常見，近期有鎖定特定行業員而來的攻擊行動，就是典型的例子。</p> <p>資安業者Zscaler揭露<a href="https://www.zscaler.com/blogs/security-research/blindeagle-targets-colombian-insurance-sector-blotchyquasar">匿稱為AguilaCiega、BlindEagle、APT-Q-98的駭客組織APT-C-36攻擊行動</a>，駭客約從今年6月開始，鎖定哥倫比亞保險業的員工從事網路釣魚攻擊，過程裡駭客冒充當地稅務機關，意圖散布RAT木馬程式BlotchyQuasar。</p> <p>這些釣魚郵件通常會挾帶PDF附件，駭客在郵件內文及PDF附檔裡面都寫入指向ZIP檔案的URL，一旦收信人點選，就會從Google Drive下載ZIP檔，該壓縮檔的內容就是BlotchyQuasar。值得留意的是，掌管這個Google帳號的用戶是哥倫比亞的地方政府機關，駭客很可能取得外流帳密資料而得，這樣的情況使得收信人很容易降低警覺，以為資料來自政府單位而照做。</p> <p>附帶一提的是，為了避免ZIP檔遭到資安系統攔截，這些駭客也將這些壓縮檔加上密碼保護。</p> <p>在其中一封釣魚信裡，駭客冒充哥倫比亞國家稅務和海關管理局（Dirección de Impuestos y Aduanas Nacionales，DIAN），聲稱收信人因尚未繳稅已收到扣押令，意圖製造恐慌。</p> <p><a href="https://s4.itho.me/sites/default/files/images/BlindEagle-fig2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/BlindEagle-fig2.png" style="width: 580px;" /></a></p> <p>而對於釣魚信的來源，研究人員指出駭客很有可能透過自己的基礎設施發送，但這些信件的連網來源，則透過VPN服務Powerhouse Management隱匿。</p> <p>研究人員對於惡意程式進行分析，研究人員分析BlotchyQuasar之後，認為這支惡意程式源於QuasarRAT，能夠側錄使用者鍵盤輸入的內容、執行Shell命令，以及竊取帳密資料的功能。值得留意的是，這個惡意程式可讓駭客監控受害者特定銀行交易或是支付服務，目標涵蓋哥倫比亞和厄瓜多爾近20家銀行。</p> </div></div></div>
2024/9/10 15:07作者周峻佑https://www.ithome.com.tw/news/164947
英國的網路超越電視，成為當地最主要的新聞來源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國電信主管機關Ofcom今年調查當地新聞市場時<a href="https://www.ofcom.org.uk/media-use-and-attitudes/attitudes-to-news/tv-loses-its-crown-as-main-source-for-news/?language=en" target="_blank">發現</a>，英國有71%的成年人透過網路存取新聞，首度超越電視的70%，自1960年代以來，電視一直是英國新聞的主要來源，此一調查結果反映出新聞媒體生態的世代更迭。</p> <p>整體而言，透過網路存取新聞的人口比例從去年的68%成長到今年的71%，而從電視看新聞的比例則是從去年的75%跌至今年的70%。</p> <p>今年有大約52%的英國人是透過諸如Facebook、YouTube及Instagram等社交平臺存取新聞，高於去年的47%；還有40%的英國人同時透過實體及網路廣播收聽新聞；以及34%的英國人是透過實體報紙及報紙官網閱讀新聞。</p> <p>觀察不同年齡層的喜好，16~24歲族群透過網路觀看新聞的比例高達88%，但55歲以上也有54%會在網路上看新聞，但這個族群通常會直接連至新聞網站，較少透過社交平臺。</p> <p>其實電視還是大齡人口看新聞的主要平臺。45~54歲的人口有73%看電視新聞，55~64歲看電視新聞的比例提高到80%，65歲以上更提高到88%。但16~24歲只有49%會看電視新聞。</p> <p>至於英國最受歡迎的三大新聞來源依序是BBC One、ITV1及Facebook。此外，儘管網路成為主要的新聞來源，但依然有74%、70%及69%的英國人認為電視新聞品質較好、較正確也較可靠，在網路新聞上同意這3個說法的比例則僅有56%、53%及53%，代表人們還是比較相信電視新聞。</p> </div></div></div>
2024/9/10 15:34作者陳曉莉https://www.ithome.com.tw/news/164949
Apache基金會修補ERP系統OFBiz重大風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月4日Apache基金會發布ERP系統OFBiz新版18.12.16，當中修補<a href="https://issues.apache.org/jira/browse/OFBIZ-13130">重大層級漏洞CVE-2024-45195（CVSS風險評分為9.8）</a>，通報此事的研究人員近日公布相關細節。</p> <p>資安業者Rapid7指出，<a href="https://www.rapid7.com/blog/post/2024/09/05/cve-2024-45195-apache-ofbiz-unauthenticated-remote-code-execution-fixed/">透過這項漏洞，未經授權的攻擊者能夠從遠端連至Windows或Linux電腦執行任意程式碼</a>，原因是網頁應用程式缺乏檢視授權查核機制造成。</p> <p>研究人員特別提及，這項漏洞與Apache基金會先前修補的CVE-2024-32113、CVE-2024-36104、CVE-2024-38856（CVSS風險評分為9.1至9.8），發生的根本原因相同，都是控制器與檢視圖解失去同步能力造成，而能讓攻擊者有機會在未通過身分驗證的情況下，執行SQL查詢或是特定程式碼，從而達到遠端執行程式碼攻擊的目的。</p> <p>值得留意的是，上述漏洞已有部分出現實際攻擊行動。其中在今年5月公布的CVE-2024-32113，<a href="https://www.cisa.gov/news-events/alerts/2024/08/07/cisa-adds-two-known-exploited-vulnerabilities-catalog">8月美國網路安全暨基礎設施安全局（CISA）加入已被利用的漏洞名冊（KEV）</a>，SANS網路風暴中心研究人員指出，<a href="https://www.ithome.com.tw/news/164333">攻擊者將其用來散布殭屍網路病毒OFBiz</a>，因此，很有可能接下來也會有駭客嘗試利用CVE-2024-45195。</p> <p>由於CVE-2024-45195能夠繞過Apache基金會針對CVE-2024-32113、CVE-2024-36104、CVE-2024-38856修補的程式碼，IT人員若不處理，潛藏的危險有可能會超過這些漏洞。</p> </div></div></div>
2024/9/10 12:41作者周峻佑https://www.ithome.com.tw/news/164943
NGINX轉移至GitHub望促進開源社群貢獻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網頁伺服器和反向代理伺服器NGINX原本使用Mercurial版本控制系統，官方現在<a href="https://mailman.nginx.org/pipermail/nginx-announce/2024/ITL3AOQSAJANFJXMM3VOVOIGOUADWFFK.html">宣布</a>要將開發資源遷移至GitHub，目的是要更接近全球開源社群，促進貢獻參與並提升專案協作效率。NGINX專案轉移GitHub的重要性在於強調其開源承諾，期望擴大貢獻者數量和多樣性。</p> <p>NGINX是一款知名的高效能網頁伺服器和反向代理伺服器，最初開發的目的是要解決高並行的網站需求，但除了HTTP伺服器，NGINX也可以作為負載平衡器和郵件代理使用，廣泛被用於高流量網站和現代應用程式架構中。目前NGINX已是全球數百萬網站的基礎架構，是開源社群中的重要專案。</p> <p>而GitHub則是全球最大開源平臺，擁有成熟的協作工具和龐大的開發者基礎。NGINX遷移至GitHub，開發者將可更直接地參與開發，簡化貢獻流程。NGINX母公司F5承諾他們會公開透明且公平地接受貢獻，並且持續強化與開源新專案。更重要的是，F5明確表示他們會使用OSI核准的授權，不會刪除現有專案或功能進行商業化，也不會對專案施加使用限制。</p> <p>F5的這些承諾，似乎在回應近年其他開源專案，因商業化需求而變更授權引發的爭議。諸如MongoDB、Redis以及HashiCorp核心產品等知名專案，都曾因商業競爭考量，將其授權從開源專案切換至更具限制性的條款，特別是限制大型雲端公司未經授權的使用。F5強調他們不會對NGINX採取類似策略，以維持開源專案的自由與開放性。</p> </div></div></div>
2024/9/10 13:28作者李建興https://www.ithome.com.tw/news/164940
蘋果發表iPhone 16系列及可當助聽器使用的AirPods Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在周一（9/9）舉行的<a href="https://www.apple.com/apple-events/" target="_blank">發表會</a>上推出iPhone 16系列，並宣布將藉由韌體更新讓AirPods Pro 2充當助聽器使用。</p> <p>iPhone 16系列包含了採用A18晶片的iPhone 16與iPhone 16 Plus，以及採用A18 Pro晶片的iPhone 16 Pro與iPhone 16 Pro Max，它們的尺寸依序是6.1吋、6.7吋、6.3吋及6.9吋。新一代iPhone在外觀設計上最大的改變，是在側邊新增了一個「相機控制」（Camera Control）按鍵，按下即可快速啟用相機，在該按鍵上滑動也可調整曝光、縮放或景深等選項，蘋果也開放開發者存取該功能。</p> <p>iPhone 16與iPhone 16 Plus配備4800萬像素Fusion相機與1200萬像素超廣角相機，並開始支援微距攝影及拍攝空間照片。串流影片的電池續航力分別是18小時及24小時。</p> <p>依照蘋果以往的作法，iPhone 16與iPhone 16 Plus使用的應該是iPhone 15 Pro所採用的A17 Pro晶片，但為了支援AI，它們直接採用全新的A18晶片。相較於iPhone 12，iPhone 16的CPU速度增加了60%，GPU提升兩倍，若相較於iPhone 15，速度則分別提升30%與40%。iPhone 16的售價為29,900元新臺幣，iPhone 16 Plus為32,900元新臺幣，臺灣將於本周五（9/13）晚上8點開放預購，20日出貨。</p> <p>至於iPhone 16 Pro與iPhone 16 Pro Max則具備4800萬像素Fusion相機，4800萬像素的超廣角相機，以及5倍望遠相機，可錄製4K120 fps影片，在拍攝之後還能直接於照片程式中調整播放速度。它們還配備4個錄音室品質的麥克風來收音，提供混音功能以於拍攝後調整聲音，聚焦於鏡頭內主角的語音。它們在串流影片播放下的電池續航力分別是22小時與29小時。</p> <p>這兩款高階手機所採用的A18 Pro晶片結合了6核心CPU、6核心GPU，以及16核心的神經網路引擎，相較於iPhone 12 Pro，其CPU速度提升了60%，GPU則提升2倍，若相較於上一代的iPhone 15 Pro，則分別只提升了15%與20%。iPhone 16 Pro在臺灣的售價為36,900元新臺幣，iPhone 16 Pro Max則是44,900元新臺幣，同樣於本周五開放預購，20日出貨。</p> <p>不過，這次蘋果最令人驚驗的發表可能是AirPods Pro 2的助聽器功能。蘋果在2022年9月發表的AirPods Pro 2是個具備降噪能力的無線藍牙耳機，蘋果準備在今年秋天更新其韌體，新增主動聽力保護能力，包括聽力測驗，以及非處方的助聽器功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0910-AirPods%20Pro-Hearing%20Aid.png" style="width: 345px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>蘋果表示，了解聽力的損失是取得協助的關鍵步驟，此外，研究顯示，75%被診斷有聽力問題的人並沒有得到所需的支援。藉由聽力測試中的個人化聽力檔案，就能將AirPods Pro無縫轉為臨床級助聽器，支援輕度至中度聽力損失的使用者。使用者則可透過相容於AirPods Pro的iPhone或iPad來測試聽力。</p> <p>蘋果表示，這是全球首創基於軟體的助聽器功能，估計很快就會獲得全球衛生機構的上市許可，將今年秋天在超過100個國家推出，包括美國、德國與日本等。雖然蘋果並未提及臺灣，但臺灣原本就有銷售AirPods Pro 2，售價為7,490元新臺幣。</p> <p>外界預測此一新的AirPods Pro功能將撼動全球的助聽器市場，特別是專業助聽器動輒就要1,000美元以上。</p> </div></div></div>
2024/9/10 11:26作者陳曉莉https://www.ithome.com.tw/news/164939
Apple Intelligence下個月將登上iPhone、iPad及Mac，明年支援中文
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周一（9/9）<a href="https://www.apple.com/newsroom/2024/09/apple-intelligence-comes-to-iphone-ipad-and-mac-starting-next-month/" target="_blank">宣布</a>，由該公司設計的人工智慧（AI）功能Apple Intelligence將在10月伴隨著iOS 18.1、iPadOS 18.1與macOS Sequoia 15.1更新登上手機、平板及Mac電腦，初期只支援美國英文，年底加入澳洲及英國等其它英文，並於明年支援中文、日文、法文與西班牙文等其它語言。</p> <p>被整合在不同作業系統中的Apple Intelligence，主要是利用蘋果晶片的能力來理解及建立語言與圖像，亦能跨程式運作及提供個人化功能，同時保護使用者隱私與安全性。Apple Intelligence所採用的許多模型都可直接於裝置上執行，若需要更強大的運算及模型則可移交至基於蘋果晶片的伺服器上，建立私有雲運算（Private Cloud Compute）環境。</p> <p>或許蘋果是故意不使用Artificial Intelligence而採用Apple Intelligence，但不管是哪個，縮寫都是AI。</p> <p>預計於10月問世的AI功能包括Writing Tools、自然語言搜尋、摘錄、錄音及變強的Siri等。其中的Writing Tools（下圖）可在任何可寫字的地方重寫、校正或摘要，包括郵件、備忘錄、Pages或第三方程式。自然語言搜尋則可在照片程式中以自然語言搜尋照片與影片。備忘錄及電話程式則新增了語音的錄製、逐字稿及摘要，在錄音時，會通知所有的通話參與者，通話結束則會自動生成摘要。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0910-Apple-Intelligence-Writing-Tools_(2).png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>新的Siri可以流暢地切換語音或文字輸入，具備更豐富的語言理解能力，也能記住使用者輸入的脈絡，還可回答上千個關於蘋果裝置功能及設定的問題。</p> <p>不過，從蘋果的發表來看，Apple Intelligence與OpenAI ChatGPT的整合可能不會在下個月現身，而是被列為預計於未來幾個月陸續出爐的功能之一。</p> <p>計畫中的Apple Intelligence功能包括可生成圖像的Image Playground，把簡單素描變成精美版的Image Wand，可生成表情符號的Genmoji，還有更強大、可客製化智慧功能的Siri，再加上ChatGPT。蘋果預計於Siri與Writing Tools中整合ChatGPT。</p> <p>下個月的更新先行支援iPhone 15、iPhone 16及搭載M1及之後晶片的iPad 和 Mac，預計明年會支援更多平臺。</p> </div></div></div>
2024/9/10 12:04作者陳曉莉https://www.ithome.com.tw/news/164941
VS Code Python擴充套件更新，新增Django單元測試功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-september-2024-release/" target="_blank">推出</a>VS Code Python擴充套件更新，添加Django單元測試支援，讓開發者可以簡單透過測試瀏覽器執行測試。此外，Python語言伺服器擴充套件Pylance的內嵌提示功能獲得最佳化，現在能夠快速導航至定義。新版本還有多項使用者回饋的細微增強和修復，提升VS Code中Python開發體驗。</p> <p>這次更新加入的Django單元測試支援，讓開發者能夠直接在VS Code中透過測試瀏覽器，探索並且執行Django單元測試。這項功能大幅提升測試流程的便利性，開發者不再需要手動執行測試命令，只需要透過VS Code介面就可以輕鬆管理測試項目。</p> <p>開發者在專案設定MANAGE_PY_PATH環境變數，並且開啟unittest測試框架，即可啟用Django單元測試支援功能。功能啟用成功後，Django測試將會自動顯示於測試瀏覽器中，開發者可以快速刷新測試、檢視結果，獲得測試效能和專案開發效率提升。</p> <p>除了Django單元測試，微軟也在VS Code Python擴充套件引入數項實用功能，包括原生Python REPL支援，開發者可以從指令面板快速啟動，並直接在專案目錄中執行。Pylance內嵌提示功能進一步加強，開發者可以透過Ctrl/Cmd加上點擊，快速導覽至類型定義。而傳送到REPL的字串將會自動正規化，提升指令的一致性。測試除錯也獲得改進，允許開發者在除錯測試時，重新啟動除錯器，提升開發靈活性。</p> </div></div></div>
2024/9/10 08:14作者李建興https://www.ithome.com.tw/news/164936
【資安日報】9月9日，鎖定臺灣衛星及軍事工業的中國駭客組織TIDrone引起研究人員關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺海局勢日益緊張，中國駭客對臺發動攻擊也更加頻繁，過往這些駭客的目標，往往鎖定政府機關、高科技產業、教育機構，但如今出現專門攻擊臺灣新興國防科技產業的駭客組織。</p> <p>上週趨勢科技揭露的中國駭客TIDrone，就是典型的例子，駭客不斷針對臺灣衛星、軍事工業下手，特別的是，他們偏好攻擊無人機製造商，但為何如此？研究人員並未說明。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164935"><strong style="font-size: 22px;">中國駭客TIDrone鎖定臺灣衛星及軍事工業而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Tidrone figure-02-01.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tidrone%20figure-02-01.png" style="width: 300px; float: right;" /></a></p> <p>資安業者趨勢科技揭露專門鎖定軍事產業的中國駭客組織TIDrone，並指出這些駭客主要目標是臺灣軍事及衛星工業，尤其是對無人機的製造商感到高度興趣。</p> <p>這波攻擊行動為何能夠現形？主要是趨勢科技年初開始不斷收到臺灣資安事故通報，經過比對及調查，發現駭客鎖定軍事相關產業鏈而來，但根據惡意軟體分析平臺VirusTotal的資料，臺灣並非這些駭客唯一的攻擊目標，呼籲其他國家也要提高警覺。</p> <p>值得一提的是，這些受害組織都採用相同的ERP系統，因此他們認為，攻擊者很可能透露供應鏈攻擊，來達到散布惡意軟體的目的。</p> <p><a href="https://www.ithome.com.tw/news/164919"><strong style="font-size: 22px;">北韓駭客想從加密貨幣業者竊取資產，鎖定求職者企圖散布兩種惡意軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/web3-heists-fig1a_max-1100x1100.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/web3-heists-fig1a_max-1100x1100.png" style="width: 300px; float: right;" /></a></p> <p>針對Web3及加密貨幣環境而來的資安事故頻傳，最近5年已有數百起大規模挾持加密貨幣的事故，導致逾120億美元資產遭竊，例如，發生在2022年的去中心化金融（De-Fi）系統Ronin Network事故引起全球關注，因為攻擊者一口氣偷走逾6億美元加密貨幣而成為當時規模最大的事故，美國直指是北韓駭客Lazarus所為。如今有研究人員提出警告，北韓駭客偏好針對特定類型的求職者下手，目的是為了得到目標組織的初始存取管道，企圖從這些組織盜取大筆加密貨幣。</p> <p>資安業者Mandiant指出，他們近期看到北韓駭客假借徵才的名義，鎖定求職的開發人員、財務人員下手，從而部署惡意程式，得逞後就會試圖透過電腦的密碼管理員竊取帳密資料，並針對程式碼儲存庫及特定檔案進行偵察，然後在受害電腦植入惡意軟體。</p> <p><a href="https://www.ithome.com.tw/news/164930"><strong style="font-size: 22px;">GeoServer重大漏洞已被用於攻擊行動，駭客散布後門及殭屍網路病毒</strong></a></p> <p>今年6月下旬地理位置資訊伺服器GeoServer發布2.25.2版，當中修補重大層級的漏洞CVE-2024-36401，此漏洞出現在GeoTools元件，一旦攻擊者成功觸發，就有機會遠端執行任意程式碼，CVSS風險評為9.8分，到了7月中旬，美國網路安全暨基礎設施安全局（CISA）提出警告，已出現實際攻擊行動，並將其列入已遭利用的漏洞名冊（KEV），9月5日通報此事的研究人員公布相關細節。</p> <p>資安業者Fortinet指出，他們已經看到駭客將其用於散布惡意程式GoReverse、後門程式SideWalk的情況。</p> <p>值得一提的是，攻擊者也企圖運用這類伺服器進行挖礦，研究人員看到名為JenX的Mirai變種，以及殭屍網路病毒Conti，此外，他們另外發現4起部署挖礦軟體的攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/164920"><strong style="font-size: 22px;">SonicWall針對防火牆重大漏洞提出警告，已出現疑似遭到利用的跡象</strong></a></p> <p>8月下旬SonicWall針對旗下防火牆作業系統SoincOS發布資安公告，指出部分防火牆設備存在重大層級漏洞CVE-2024-40766，攻擊者藉由傳送特製的呼叫可觸發漏洞，而有機會在未經授權的情下存取部分資源，甚至在特定情境下還能導致防火牆當機，CVSS風險評為9.3分，如今這項漏洞傳出已有實際攻擊行動出現。</p> <p>上週末該公司再度更新公告內容，指出這項漏洞疑似被用於實際攻擊事故的情況，呼籲IT人員要儘速套用修補程式因應。不過，究竟駭客如何利用漏洞，以及受害範圍，該公司並未透露其他細節。</p> <p><a href="https://www.ithome.com.tw/news/164916"><strong style="font-size: 22px;">GitHub Actions可被用於冒充網域名稱攻擊，開發人員若未仔細檢查，恐散布惡意程式碼</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/orca-blog-typosquatting-image-9.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/orca-blog-typosquatting-image-9.png" style="width: 300px; float: right;" /></a>為了上架NPM、PyPI、RubyGems等各種惡意套件引誘開發人員上當，駭客往往會使用冒充網域名稱手法（Typosquatting），使用極為相似的名稱假冒知名套件，但如今有研究人員發現，這樣的手法也能用於攻擊工作流程自動化平臺。</p> <p>資安業者Orca Security發現能在GitHub Actions發動相關攻擊的方式，並打造概念性驗證環境（PoC），他們建立14個組織，而這些組織或儲存庫的名稱，他們刻意設置與開發者常見的字串拼寫雷同，例如：circelci、actons、docker-action、google-github-actons。</p> <p>研究人員在設置為actons的組織得到最多結果，有4個公開儲存庫被開發人員參照，而在2個月內，有12個公開儲存庫被引用。這樣的數字看起來不多，但這並不包含自用儲存庫引用的情況，因此實際受害範圍將會更為廣泛。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.zscaler.com/blogs/security-research/blindeagle-targets-colombian-insurance-sector-blotchyquasar">哥倫比亞保險業者遭到鎖定，駭客組織APT-C-36冒充稅務機關從事網釣攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/car-rental-giant-avis-discloses-data-breach-impacting-customers/">車輛租賃業者Avis遭到入侵，部分客戶資訊外流</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.justice.gov/usao-mdfl/pr/russian-and-kazakhstani-men-indicted-running-dark-web-criminal-marketplaces-forums-and">經營暗網市集WWH Club的俄羅斯和哈薩克人遭到起訴</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/164883">【CrowdStrike更新釀災】0719全球IT大當機回顧</a></strong></p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://freebsdfoundation.org/blog/sovereign-tech-fund-to-invest-e686400-in-freebsd-infrastructure-modernization/">FreeBSD得到近70萬歐元挹注，將用於強化安全功能、減少技術債</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164897"><strong>【9月6日】北韓駭客使用冒牌視訊會議軟體感染求職者電腦</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164875"><strong>【9月5日】美國針對俄羅斯干預總統大選採取執法行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164847"><strong>【9月4日】駭客組織Head Mare鎖定俄羅斯企業組織發動攻擊</strong></a></p> </div></div></div>
2024/9/9 18:05作者周峻佑https://www.ithome.com.tw/news/164937
中國駭客TIDrone鎖定臺灣衛星及軍事工業而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者趨勢科技揭露<a href="https://www.trendmicro.com/en_us/research/24/i/tidrone-targets-military-and-satellite-industries-in-taiwan.html">專門鎖定軍事產業的中國駭客組織TIDrone</a>，並指出這些駭客主要目標是臺灣軍事及衛星工業，尤其是對無人機的製造商感到高度興趣。</p> <p>這波攻擊行動為何能夠現形？主要是趨勢科技年初開始不斷收到臺灣資安事故通報，經過比對及調查，發現駭客鎖定軍事相關產業鏈而來，但根據惡意軟體分析平臺VirusTotal的資料，臺灣並非這些駭客唯一的攻擊目標，呼籲其他國家也要提高警覺。</p> <p>駭客如何入侵受害組織環境？研究人員推測很有可能利用特定工具滲透，然後進行橫向移動。</p> <p>而在這波攻擊行動裡，駭客最終於受害組織散布惡意程式Cxclnt、Clntend，其中，Cxclnt具備上傳及下載檔案的功能，並能收集系統資訊、檔案名單，攻擊者也能用來傳送執行檔並執行，此外，最終Cxclnt還能抹除作案的痕跡。</p> <p>而另一支惡意程式Clntend，是今年4月出現的RAT木馬程式，特色是具備較廣泛的網路通訊協定支援。</p> <p>值得一提的是，這些受害組織都採用相同的ERP系統，因此他們認為，攻擊者很可能透露供應鏈攻擊，來達到散布惡意軟體的目的。</p> <p>攻擊者先是透過遠端存取工具UltraVNC下載惡意程式的相關元件，然後啟動惡意軟體、執行winsrv.exe，惡意軟體會從winlogon.exe複製憑證（Token）來提升權限，並竄改特定資料夾裡的Update.exe。</p> <p>在後續的攻擊裡，駭客企圖繞過使用者帳號控制（UAC）、轉存帳密資料，並且下達停用防毒軟體的命令。</p> <p>附帶一提的是，研究人員也提及這些攻擊行動的另一個共通點，就是駭客都使用WinWord.exe作為主要處理程序，因此資安人員可藉由這群駭客慣用的檔案特徵，進一步防禦相關攻擊行為。</p> </div></div></div>
2024/9/9 17:31作者周峻佑https://www.ithome.com.tw/news/164935
北韓駭客想從加密貨幣業者竊取資產，鎖定求職者企圖散布兩種惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對Web3及加密貨幣環境而來的資安事故頻傳，最近5年已有數百起大規模挾持加密貨幣的事故，導致逾120億美元資產遭竊，例如，發生在2022年的<a href="https://www.ithome.com.tw/news/150181">去中心化金融（De-Fi）系統Ronin Network事故</a>引起全球關注，因為攻擊者一口氣偷走逾6億美元加密貨幣而成為當時規模最大的事故，<a href="https://www.ithome.com.tw/news/150497">美國直指是北韓駭客Lazarus</a>所為。如今有研究人員提出警告，北韓駭客偏好針對特定類型的求職者下手，目的是為了得到目標組織的初始存取管道，企圖從這些組織盜取大筆加密貨幣。</p> <p>資安業者Mandiant指出，<a href="https://cloud.google.com/blog/topics/threat-intelligence/examining-web3-heists/">他們近期看到北韓駭客假借徵才的名義，鎖定求職的開發人員、財務人員下手</a>，從而部署惡意程式，得逞後就會試圖透過電腦的密碼管理員竊取帳密資料，並針對程式碼儲存庫及特定檔案進行偵察，然後在受害電腦植入惡意軟體。</p> <p>在其中一起針對工程師的攻擊事故裡，北韓駭客在LinkedIn與此人取得聯繫之後，發送ZIP檔案，其內容是鎖定macOS作業系統攻擊的惡意程式CovertCatch，駭客將其偽裝成用來進行Python程式碼測驗的工具。一旦工程師執行，電腦就會下載第二階段惡意酬載，讓攻擊者能持續在受害電腦進行活動。</p> <p>這些駭客也對財務人員出手，在另一起攻擊行動當中，駭客宣稱是知名加密貨幣交易所的財務和營運副總裁，並提供上門應徵的財務人員惡意PDF檔案，當求職者打開檔案，電腦就會感染後門程式RustBucket，駭客將其偽裝成Safari更新程式掩人耳目。</p> <p>在攻擊加密貨幣業者的過程中，這些駭客不僅對求職者發動社交工程攻擊來達到目的，也會針這些業者的下游客戶進行供應鏈攻擊，從而擴大受害範圍。值得留意的是，雖然大部分的攻擊行動發生的速度很快，但他們也發現為期長達1年的攻擊行為。</p> </div></div></div>
2024/9/9 16:10作者周峻佑https://www.ithome.com.tw/news/164919
SonicWall針對防火牆重大漏洞提出警告，已出現疑似遭到利用的跡象
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月下旬SonicWall針對旗下防火牆作業系統SoincOS發布資安公告，<a href="https://www.ithome.com.tw/news/164704">指出部分防火牆設備存在重大層級漏洞CVE-2024-40766</a>，攻擊者藉由傳送特製的呼叫可觸發漏洞，而有機會在未經授權的情下存取部分資源，甚至在特定情境下還能導致防火牆當機，CVSS風險評為9.3分，如今這項漏洞傳出已有實際攻擊行動出現。</p> <p>上週末該公司再度更新<a href="https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2024-0015">公告內容</a>，指出這項漏洞疑似被用於實際攻擊事故的情況，呼籲IT人員要儘速套用修補程式因應。不過，究竟駭客如何利用漏洞，以及受害範圍，該公司並未透露其他細節。</p> <p>由於這項漏洞牽涉SSL VPN元件，又與存取控制不當有關，若是IT人員無法立即部署新版韌體，SonicWall建議可管制存取管理介面的範圍，或是停用透過網際網路及WAN存取管理介面的管道，以減少曝險。</p> </div></div></div>
2024/9/9 16:31作者周峻佑https://www.ithome.com.tw/news/164920
GeoServer重大漏洞已被用於攻擊行動，駭客散布後門及殭屍網路病毒
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月下旬地理位置資訊伺服器GeoServer<a href="https://geoserver.org/announcements/vulnerability/2024/06/18/geoserver-2-25-2-released.html">發布2.25.2版</a>，當中修補重大層級的漏洞CVE-2024-36401，此漏洞出現在GeoTools元件，一旦攻擊者成功觸發，就有機會遠端執行任意程式碼，CVSS風險評為9.8分，到了7月中旬，美國網路安全暨基礎設施安全局（CISA）提出警告，已出現實際攻擊行動，<a href="https://thehackernews.com/2024/07/cisa-warns-of-actively-exploited-rce.html">並將其列入已遭利用的漏洞名冊（KEV）</a>，9月5日通報此事的研究人員公布相關細節。</p> <p>資安業者Fortinet指出，<a href="https://www.fortinet.com/blog/threat-research/threat-actors-exploit-geoserver-vulnerability-cve-2024-36401">他們已經看到駭客將其用於散布多種惡意程式的情況</a>。</p> <p>其中，有人鎖定印度IT服務供應商、美國科技業者、比利時政府機關、泰國及巴西電信業者下手，企圖藉此散布惡意程式GoReverse。</p> <p>研究人員也看到這項漏洞用於散布後門程式SideWalk的情況，而過往經常使用此惡意軟體的駭客組織，他們特別點名了APT41，但並未透露是否就是這些駭客所為。值得留意的是，攻擊者在C2通訊當中，還運用名為Fast Reverse Proxy的外掛程式，將惡意流量混入正常流量，從而隱匿攻擊行為。</p> <p>值得一提的是，攻擊者也企圖運用這類伺服器進行挖礦，研究人員看到名為JenX的Mirai變種，以及殭屍網路病毒Conti，此外，他們另外發現4起部署挖礦軟體的攻擊行動。</p> </div></div></div>
2024/9/9 17:03作者周峻佑https://www.ithome.com.tw/news/164930
GitHub Actions可被用於冒充網域名稱攻擊，開發人員若未仔細檢查，恐散布惡意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了上架NPM、PyPI、RubyGems等各種惡意套件引誘開發人員上當，駭客往往會使用冒充網域名稱手法（Typosquatting），使用極為相似的名稱假冒知名套件，但如今有研究人員發現，這樣的手法也能用於攻擊工作流程自動化平臺。</p> <p>資安業者Orca Security<a href="https://orca.security/resources/blog/typosquatting-in-github-actions/">發現能在GitHub Actions發動相關攻擊的方式</a>，並打造概念性驗證環境（PoC），他們建立14個組織，而這些組織或儲存庫的名稱，他們刻意設置與開發者常見的字串拼寫雷同，例如：circelci、actons、docker-action、google-github-actons。</p> <p>接著，他們將這些組織的儲存庫複製出去，一旦有人不慎輸錯指令的時候，就會中招，而非原本應該得到錯誤的回應。研究人員指出，開發人員不會察覺這樣的情況有異，而且攻擊者還能輕易修改儲存庫並加入惡意程式碼。</p> <p>研究人員在設置為actons的組織得到最多結果，有4個公開儲存庫被開發人員參照，而在2個月內，有12個公開儲存庫被引用。這樣的數字看起來不多，但這並不包含自用儲存庫引用的情況，因此實際受害範圍將會更為廣泛。</p> <p>值得留意的是，他們設置的這些假組織，在3個月後僅有其中的circelci被察覺有異，而遭到GitHub停用，研究人員推測可能有人通報GitHub，站方才著手處理。</p> <p>研究人員也提及開發者相當容易犯錯的情況，他們開始著手驗證之前，已有158個應呼叫actions的檔案試圖存取action，而這個數字在3個月後增加到近200個。</p> </div></div></div>
2024/9/9 15:16作者周峻佑https://www.ithome.com.tw/news/164916
外傳英特爾將再出售Mobileye股份
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>彭博社（Bloomberg）上周引述消息來源<a href="https://www.bloomberg.com/news/articles/2024-09-05/intel-is-said-to-explore-sale-of-part-of-stake-in-mobileye" target="_blank">報導</a>，英特爾正考慮再出售Mobileye的部分股份。</p> <p>英特爾是在2017年以153億美元<a href="https://www.ithome.com.tw/news/112728" target="_blank">收購</a>位於以色列的自駕車平臺Mobileye，並在2022年10月將Mobileye<a href="https://www.ithome.com.tw/news/153852" target="_blank">拱上</a>那斯達克股市，當時的發行價為每股21美元。</p> <p>Mobileye在2022年的營收為18.7億美元，成長34.85%，2023年為20.8億美元，成長11.24%，但今年第一季營收只有2.39億美元，大幅下滑48%，第二季雖有所改善，達到4.39億美元的營收，但依然比去年下滑了3%。原本Mobileye的股價都在30美元左右，但從第一季財報之後就開始下滑，8月跌破20美元，上周五（9/6）收盤價只剩11.55美元。</p> <p>根據彭博社的<a href="https://www.bloomberg.com/news/articles/2023-06-05/intel-to-raise-about-1-5-billion-in-sale-of-part-of-mobileye" target="_blank">報導</a>，英特爾去年已出售部分Mobileye持股，籌資14.8億美元，當時是為了金援自家的代工業務，仍持有高達88%的Mobileye股份，現在又打算藉由出售部分Mobileye股份來籌募資金。</p> <p>英特爾正處於風雨飄搖之際，該公司今年第二季營收下滑了1%，淨虧損16億美元，並宣布將裁撤15%員工以<a href="https://www.ithome.com.tw/news/164272" target="_blank">進行</a>組織重整。英特爾在2021年<a href="https://www.ithome.com.tw/news/143423" target="_blank">成立</a>全新的晶圓代工服務，打算成為歐洲及美國市場主要的晶圓代工服務業者，但壯志未酬，股價卻從當時超過60美元一路下滑至上周五（9/6）的18.89美元。</p> <p>另一方面，路透社（Reuters）則<a href="https://www.reuters.com/technology/qualcomm-has-explored-acquiring-pieces-intel-chip-design-business-sources-say-2024-09-06/" target="_blank">報導</a>，高通（Qualcomm）正在考慮是否要買下英特爾的設計業務，最有興趣的是英特爾的用戶端PC設計業務。英特爾則說，並未收到高通的提議，但將始終如一地深耕PC市場。</p> </div></div></div>
2024/9/9 12:38作者陳曉莉https://www.ithome.com.tw/news/164907
不只重整組織凝聚IT資源，欣陸集團靠上雲加速現代化轉型
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2年前，隨著母公司欣陸集團的組織重整，大陸工程的IT部門，從一家公司旗下的資訊部門，成了全集團IT的主力，並展開了跨子公司的IT現代化架構轉型。</p> <p>「IT架構的雲端一致化、平臺化，以及強化資安治理是集團IT推動的三大方向。」欣陸投控資訊部副總經理費而隱點出了推動轉型的三大目標。</p> <p>大陸工程是臺灣營造業的龍頭，很早就開始運用IT翻新營運作業，在數位化方面有許多應用。</p> <p>欣陸投控於2010年成立，成為大陸工程的控股母公司。欣陸投控不僅專注於營造業務，還跨足不動產開發與環境工程，陸續成立了兩家子公司，並找來大陸工程旗下IT，支援欣陸投控和其他子公司各自的IT規畫和需求。</p> <p>近年來，欣陸投控開始積極用IT支援全集團業務發展，2022年初組織重整，改採扁平化組織架構，更集中式管理，還成立欣陸投控管理顧問公司，整合各項集團功能性的資源，包括了IT，將大陸工程的資訊部門，改集中到欣陸投控管理顧問旗下，以更有效支援全集團的IT任務。由費而隱擔任集團IT主要負責人，統籌和規畫集團未來IT發展策略。</p> <p>費而隱表示，組織重整前，原本由一家公司的IT部門支援其他子公司，各子公司之間彼此平行運作。重整後，現在的IT能夠更專注於提供集團式服務，推動資訊技術的導入及資安治理。</p> <p>上任後，他先盤點全集團所有IT相關的業務，從技術、管理和資安治理角度來思考如何優化。最後，他聚焦三大方向，作為未來IT推動重點，首先是建立IT架構的雲端一致化；其次是透過平臺化，降低管理的複雜度，最後是強化資安治理，提升資安防護能力。</p> <p><span style="font-size:28px;"><strong>採用雲端優先策略加速轉型，先從辦公室應用優先上雲</strong></span></p> <p>由於各子公司的規模和業務各有差異，費而隱完成集團IT資源向上集中後，接著調整IT職務的分工。他將AP團隊從職能導向轉為客戶導向，也將使用者支援團隊轉為服務中心，以利支援各子公司的業務發展。此外，他更設立了商業分析師一職，扮演集團資訊部門與各子公司之間的橋樑，主動了解並解決使用者單位的需求。完成團隊調整後，才進一步開始推動IT任務。</p> <p>前幾年的疫情，加速了欣陸集團數位化的步伐，導入了不少科技來支持員工遠距辦公和居家工作，但也增加了IT管理的複雜度。例如，郵件服務、視訊會議和雲端儲存服務來自不同廠商，不只管理困難，使用者還需適應不同的操作介面。剛加入欣陸集團擔任IT主管後，費而隱優先想解決這個問題。</p> <p>費而隱決定採取「雲端優先」策略，導入整合公有雲與私有雲的混合雲解決方案，打造兼具彈性和韌性的資訊基礎架構。第一步是將企業辦公室應用軟體遷移至公有雲。</p> <p>他統一了全集團所用的辦公室應用服務，將原本分散的郵件服務、視訊會議和儲存服務等整合到單一雲端平臺，使員工不再需要跨不同平臺操作，大幅簡化了管理，並提升了使用者的體驗。</p> <p>費而隱進一步表示，這個作法不僅能避免跨不同異質平臺管理的複雜度，大量採購有利於提升議價空間。對於使用者而言，也能縮短學習曲線。</p> <p>欣陸投控在2022年下半開始導入，經過一年半完成全集團2,000多名員工帳號的轉換。後來還導入線上協作服務，用於提供各部門或專案團隊建構共享資訊、專屬網站。</p> <p>在雲端優先策略下，費而隱強調，未來開發的新系統將優先評估上雲的可行性，而現有的地端系統則會進行盤點，逐步遷移至雲端。他表示，雲端的可擴充性和易於管理的特性，有助於實現IT的一致化。「集團IT架構朝向雲端化發展，不只提升運用的靈活彈性，更能增加韌性。」</p> <p>早在幾年前，欣陸投控就已將ERP系統遷移至雲端，他表示，未來集團共用、屬於第二級（Tier 2）系統也將上雲。對於必須保留在地端的系統，明年則將建立雲地備援機制，提供災難復原功能。</p> <p>不僅僅將應用系統上雲，欣陸投控IT部門還進一步開始將部分Web應用導入容器技術，例如，工地巡檢檢核應用等，但還不考慮將現有系統全面轉換為容器化架構。</p> <p>由於ERP系統和辦公室應用服務來自不同的雲端供應商，因此，資訊團隊在維運管理上，必須要花更多時間適應和熟悉不同的管理工具。隨著採用越多家的公雲服務，也就更容易增加了維運管理的挑戰。</p> <p>因此，費而隱今年開始逐步將核心ERP和網路應用程式，從現有的公雲轉移至同一朵公雲，或遷回到地端環境。他表示，從多雲架構轉為單一雲架構，有助於降低雲端維運管理的複雜性。</p> <p>欣陸投控機房設於集團總部，各子公司的系統、服務和網路都是部署在這個機房中，統一管理。資訊團隊在2022年導入超融合架構，以簡化IT架構，建立了多節點的超融合叢集，來支援集團所有子公司的服務，他表示，除了ERP，幾乎所有地端系統現在都部署在這套超融合環境中。</p> <p><span style="font-size:28px;"><strong>採用雲端優先策略，加速集團朝向現代化IT架構轉型</strong></span></p> <p>下一步，費而隱明年計畫打造超融合的混合雲架構，整合現有的私雲和公雲環境，來提供一致的管理與維運。</p> <p>費而隱表示，透過混合雲技術，未來不僅在同一平臺上集中維運私公雲的服務和資源，也能用單一管理介面同時管理地端和雲端環境，將有助於簡化雲地管理工作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1198_CIO_600_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89_PDN.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>不只導入零信任，也要加速推動資安治理</strong></span></p> <p>除了雲端化策略外，強化資安也是欣陸集團近幾年IT投入的重點之一。欣陸投控的資安策略主軸聚焦在資安治理，來提升資安防護能力，不只在集團內導入ISO 27001:2022標準，以強化資安管理與風險控管，並分階段完成子公司的驗證。他指出，去年先完成一家子公司，今年還有兩家將陸續完成，預計明年全集團將取得認證。</p> <p>費而隱表示，透過資安標準的落實，不僅能讓集團各子公司在一致的管理框架下運作，還能確保建立統一的標準，加強資訊安全與風險管理。</p> <p>欣陸集團不僅設置了資安專責主管和資安專責人員，強化資安管理和防護，同時也加入TWCERT/CC企業資安聯防體系。</p> <p>近幾年，資訊團隊導入不少新系統來強化資安。例如欣陸全集團目前約2,400臺桌機和筆電，這些設備都可以透過一套智能維運管理雲平臺進行管理，包括修補程式、軟體授權，更能提供端點資產管理與資安控管。除了這些辦公設備外，在機房中導入了端點防護工具，強化伺服器設備的安全防護。</p> <p>今年，欣陸投控開始推動零信任架構，他表示，正在著手導入身分鑑別以及設備鑑別，希望透過端點的保護結合身分驗證，能夠掌握每臺設備使用者，並依據其身分與使用情境給予相應的使用權限。</p> <p><span style="font-size:28px;"><strong>翻新無線AP網路架構，使新案場安裝AP能隨插即用</strong></span></p> <p>在網路安全管理方面，欣陸投控資訊團隊今年在集團總部導入了無線智慧網路管理雲平臺，來簡化網路管理。</p> <p>由於欣陸投控的業態屬性，資訊人員過去要管理包含集團和數十個案場的網路環境。在過去的舊網路架構下，這些案場的無線AP必須透過實體專線連回總部並與控制器註冊，才能完成部署，但過程中容易遇到線路品質問題，加上在這些外點沒有配置IT人員，需要花費不少時間，才能將問題排除。</p> <p>現在，導入雲原生的網路架構後，這些AP可以透過網際網路與雲端控制器完成註冊，甚至可以做到隨插即用，進一步減少了維運人力和成本，甚至也容易未來改採委外管理。此外，在工務所與遠端工作者對網際網路和應用程式的存取，透過SASE資安雲平臺加強資安防護、監測和記錄所有流量與行為，進一步提升網路安全性。</p> <p>在IT服務管理上，費而隱一直以來相當重視使用者支援服務，並持續加強這方面的改善。例如在2022年導入了一款資訊服務管理工具，打造了IT部門專屬的服務臺（Help Desk），以支援全公司超過2千名員工的日常系統使用需求和疑難問題。</p> <p>舉例來說，以前IT部門每天收到上千個來自不同管道的請求，如電話、電子郵件等，但只能處理其中約6成的問題。如今，透過這套IT服務管理平臺，他說，85%的需求都能透過線上填單處理，僅有15%依賴電話，大大提升了服務效率。</p> <p>「使用者支援是IT服務管理很重要的一環。」費而隱強調，透過這套工具，不僅可以搜集IT管理服務上各種資訊，例如程式錯誤，還能夠迅速將這些資訊反饋給負責的IT小組，進行處理和後續追蹤，持續改進和優化服務。</p> <p>在服務心態上，費而隱更要求IT人員從被動等待使用者提出需求，轉變為主動了解其問題和需求，這樣才能更有效地提供支援並提升服務品質。</p> <p>為了提供更多集團支援，欣陸投控IT部門持續評估各種最新技術。</p> <p>對於近兩年，企業生成式AI應用快速爆紅。費而隱雖然認為內容生成在他們業態中的應用還不明顯，但他看好生成式AI在企業知識檢索方面的潛力。他指出，生成式AI可能成為下一代的知識管理系統，不僅能協助文件整理與分類，還能讓使用者以自然語言與系統互動，快速獲取答案。「這是集團未來有機會採用的AI應用。」他說。</p> <p>尤其是在欣陸集團旗下子公司，都是採用專案導向工作類型，每個專案的產出都可能成為後續專案的輸入或參考。他表示，如果能夠透過AI有效累積並系統化管理這些知識，有機會大大提升知識管理的效率。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>欣陸投控資訊部副總經理費而隱</strong></p> <p>學歷：清大電機所碩士</p> <p>經歷：在IT領域深耕24年。曾在IBM擔任企業諮詢服務顧問，隨後轉入高科技業，先後在台積電、鴻海集團IT服務，後來更於裕利醫藥任內打造關鍵系統，協助公司配送Covid-19疫苗。2022年正式加入欣陸投控，負責統籌和規畫集團未來IT發展策略與方向</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1198_CIO_250.jpg" style="width: 365px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／欣陸投控</span></span></p> <p><strong>欣陸投控</strong></p> <p>●地址：臺北市大安區敦化南路二段95號</p> <p>●網址：<a href="http://www.continental-holdings.com">www.continental-holdings.com</a></p> <p>●成立時間：2010年</p> <p>●主要業務：負責土木與營建工程、不動產開發、環境工程及水資源等投資業務</p> <p>●員工數：2,500人（含集團所有子公司員工）</p> <p>●執行長：張方欣 </p> <p>●資本額：82億元</p> <p>●年營收：約306億元（2023年）</p> <p><span style="background-color:#3399ff;"> </span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;">資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：資訊部副總經理</p> <p>●資訊部門主管姓名：費而隱</p> <p>●資訊部門人數：28人</p> <p>●資訊部門分工：AP、Infra、User Support、Security</p> <p>●IT預算：6,000萬元（2024年）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2022年：超融合平臺上線、導入公有雲端運算服務、導入資訊服務管理平臺</p> <p>●2023年：加入TWCERT/CC企業資安聯防體系、導入ISO 27001:2022並通過第三方驗證、設置資安專責主管及一名資安專責人員、完成全集團M365導入</p> <p>●2024年：導入零信任資安雲平臺、導入智能維運管理雲平臺、集團總部導入無線智慧網路管理雲平臺</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1198_cio_960_she_ying_hong_zheng_wei_.jpg" width="960" height="420" alt="" title="欣陸投控資訊部副總經理費而隱　（攝影／洪政偉）" /></div></div></div>
2024/9/9 12:59作者余至浩https://www.ithome.com.tw/people/164908
資安反被資安誤
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在日常生活中，我們看到各種想要兼顧便利性與安全性的設計，例如，轎車內建保護駕駛的安全氣囊，如果需要額外設置、裝載的安全性裝置，往往會因為增加使用者負擔，而必須透過刻意宣導、法令懲罰的方式要求配合，例如，乘坐汽車、高鐵、飛機需繫上安全帶，騎乘機車要戴安全帽，4歲以下孩童乘坐汽車需使用兒童安全座椅。</p> <p>所有人都知道安全性很重要，然而，如果因為管制方式不良，影響正常運作、甚至造成停擺，這顯然是大家都無法接受的。事實上，在緊急的情況下，我們可能必須進行大規模的隔離、甚至暫停所有手邊的工作，肆虐全球三年之久的COVID-19，就是很典型的例子，我們都希望在確保安全、健康的狀態下，設法維持正常的生活與工作狀態，而非因為懼怕病毒感染，而停止所有作息。</p> <p>所謂的安全優先、安全至上，並非為了安全而犧牲一切，「寧可錯殺一百，不可縱放一人」、「寧為玉碎，不為瓦全」都是面對極端狀況才可能允許的作法，為了達到目的，我們可能需付出慘痛的代價。然而，在大多數時候，當我們面對生命、財產、資安等各種威脅時，「先研究不傷身體，再講求效果。」是眾人比較能接受的作法。</p> <p>單就資安領域而言，相信很多人都聽說「資安鐵三角（CIA Triad）」的概念，C代表Confidentiality（機密性），I代表Integrity（完整性）、A代表Availability（可用性），我們必須要意識到控制的手段與目的，以及所要保護的對象，不能毫無控制、疏於防範，但也不能為了安全而過度控制或不當控制，導致處處受限、動輒得咎的困局。</p> <p>從實務的角度來看，關於企業級資安產品的採用上，如何降低誤判是許多用戶在意的部分，若僅牽涉到警示的處理，往往需耗費人力與時間釐清警報真假，若因為自動阻擋而不慎影響到系統與網路的正常運作，使企業與組織業務無法運作，後續如何盡快完成調查與復原工作，會成為更艱鉅的挑戰。</p> <p>資安解決方案除了針對威脅偵測與應變處理機制，需具備足夠的精準度，另一個重點在於如何確保產品與服務的品質，必須能夠穩定運作，否則可能無法發揮應有作用，甚至拖累所要保護的對象。</p> <p><a href="https://www.ithome.com.tw/article/164883" target="_blank"><span style="color:#0000CD;">7月19日資安廠商CrowdStrike的EDR軟體更新出錯</span></a>，造成全球至少850萬臺Windows電腦停擺，堪稱是近期最嚴重、規模最大、範圍最廣泛的世界級IT事故，令大家感到難堪的是，這起大災難並非源於一或多個惡意軟體、駭客組織，或是對特定區域抱有敵意的國家，而是一家資安公司的疏失所致。</p> <p>如同我們的資安主筆黃彥棻<a href="https://www.ithome.com.tw/news/164089" target="_blank"><span style="color:#0000CD;">採訪到的一位資安主管所言</span></a>：「勒索軟體都沒有辦法做到的事情（公司電腦大規模當機），CrowdStrike辦到了。」這個令全世界都感到困惑的窘境，不光是在EDR產品與服務有高市占率的CrowdStrike承擔，實際上，也可能嚴重打擊整個資安端點防護市場的信心。</p> <p>臺灣可能因為個人電腦安裝防毒軟體的比率很高，加上企業也很重視次世代網路防火牆的部署，對於後起的資安解決方案，如EDR，接受度算是緩步提升，因此，在這波CrowdStrike造成電腦大當機的災情當中，受到影響的程度相對較低。</p> <p>不過，臺灣因為EDR採用率低而逃過一劫，這樣的局面其實很矛盾，EDR發展至今，各家廠商的產品與服務其實已達到足夠的成熟度，我們不能因為其中一家廠商的失手，一竿子打翻一船人，完全否定採用EDR的必要性，相反地，我們該思考的是如何選擇與導入適當的現代化資安解決方案，而非因噎廢食，當網路威脅與時俱進，卻天真地認為繼續依賴原本做法即可永保平安。</p> <p>經過這次事故的發生，我們深刻地體會到部分EDR可能因為功能設計不良，或廠商沒有嚴格測試其發布的更新，而導致端點系統無法正常運作，該做的事情是要求資安廠商、作業系統廠商負起責任把關，同時，也要預先規畫兩者都出包的狀況該如何應變。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/article/164883" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></a></strong><span style="font-size: 22px; color: rgb(255, 255, 255);"><strong> <a href="https://www.ithome.com.tw/article/164883" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1198-feng_mian_p1-open-960x420_kao_bei_0%5B1%5D.jpg" style="width: 550px;" /></a></strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/edr">EDR</a></div><div class="field-item odd"><a href="/tags/0719%E5%85%A8%E7%90%83it%E5%A4%A7%E7%95%B6%E6%A9%9F">0719全球IT大當機</a></div><div class="field-item even"><a href="/tags/crowdstrike">CrowdStrike</a></div><div class="field-item odd"><a href="/tags/windows">Windows</a></div><div class="field-item even"><a href="/tags/it%E4%BA%8B%E6%95%85">IT事故</a></div></div></div>
2024/9/9 13:04作者李宗翰https://www.ithome.com.tw/voice/164909
Fintech周報第252期：金管會提供明確法源依據，讓金融機構可授權他人技術；Meta揭露高盛、野村證券正在運用Ll…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">8/28~9/6金融科技精選新聞</span></span></h3> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 授權技術 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span></h3> <h3>金管會提供明確法源依據，讓金融機構可授權他人技術</h3> <p>金管會近日表示，未來金融機構可依據「公開發行公司取得或處分資產處理準則」規定，將金融機構開發的授權技術授權他人。不過，金融機構若要接受他人委託開發金融科技技術或應用，或計畫經常性從事「金融科技專利與技術授權」為業，還是需要透過轉投資的金融科技公司辦理。</p> <p>金管會綜合規劃處處長胡則華表示，過往業者曾詢問金管會能否進行專利授權，但當時提供的回覆不夠明確，導致業者後續難以實際執行專利授權。因此，此次明確說明專利授權的法源依據，讓金融業者可將自家研發的技術授權或買賣給其他金融業和科技業者。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 高盛 </span></strong></span></h3> <h3>Meta揭露高盛、野村證券正在運用Llama模型打造多項GAI應用</h3> <p>Meta近日發布一份報告，說明Llama模型的發展成果。其中，報告中提到美國高盛集團和日本野村證券正在使用Llama模型。高盛打造一個名為GS AI的平臺，讓內部工程師能安全使用Llama模型開發應用，包括從文件中萃取資訊。另外，日本野村證券則選擇透過Llama模型開發文字摘要、程式碼生成、日誌分析和文件處理等功能。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 支付寶 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GAI </span></strong></span></h3> <h3>支付寶推出GAI生活助理，要透過AI協助用戶快速連結支付寶服務</h3> <p>中國支付寶近日推出AI生活助理App「支小寶」，這款應用程式是由螞蟻集團打造的百齡大語言模型開發而成，用戶能透過對話要求支小寶協助多種生活服務，例如，查詢附近的共享腳踏車、查詢帳單、協助叫車、詢問天氣等。此外，這支App還能根據用戶的生活習慣和所在地，在App首頁推播用戶需要的資訊。</p> <p>中國媒體報導，支小寶屬於支付寶生態系中的一環，定位是要透過AI協助用戶快速連結支付寶提供的各項服務。過去幾年，螞蟻集團以支付寶作為核心加速布局AI應用，支小寶正是螞蟻集團AI戰略中的關鍵產品。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本瑞穗金融集團 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IT成本可視化 </span></strong></span></h3> <h3>瑞穗金融集團打造IT成本可視化平臺，供業務部門追蹤各項應用IT成本及評估IT投資績效</h3> <p>日本瑞穗金融集團近日在一場活動中揭露，為了讓業務部門和IT部門溝通更順暢，內部從2022年開始採用一套將IT成本結構可視化的平臺。瑞穗金融集團首席資訊長Mitsuhiro Kanazawa在活動中表示，IT對業務至關重要，但業務部門難以理解IT花費高昂的原因，所以，「將IT成本結構視覺化十分重要。」</p> <p>這個IT成本可視化平臺分為三個部分，第一部分是呈現IT基礎設施各個層級的開銷項目，包括最底層的網路層、系統層到應用層。第二部分是專案管理功能，提供業務部門負責的專案IT預算和實際IT支出。第三部分則是呈現預測的每年投資績效。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IT營運自動化 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 澳洲國民銀行 </span></strong></span></h3> <h3>澳洲國民銀行在IT營運上大力推自動化，每年節省數百萬美元</h3> <p>澳洲國民銀行近日在一場活動中表示，內部過去幾年持續尋求降低IT營運成本的方法，首先，他們將部分委外服務改由自行處理，隨後並開始大力推動IT營運自動化，先是建立統一的自動化框架，將各種和IT營運相關的系統和流程整合至自動化平臺中，包含權限存取管理服務和密碼管理服務等。此外，他們也導入事件驅動的自動化機制，提高故障修復和故障資訊蒐集的效率。</p> <p>由於國民銀行採用的自動化平臺是一種基礎設施即程式碼（Infrastructure as Code，IaC）工具，因此，國民銀行正在計畫導入企業級的程式碼生成助理，同時禁止工程團隊採用ChatGPT輔助開發。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新加玻 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融防詐 </span></strong></span></h3> <h3>新加坡內政部將發布防詐法案，計畫授權警方限制不聽勸的詐騙受害者持續轉帳給詐騙方</h3> <p>新加坡內政部近日表示，將在幾個月內發布《防詐騙法案》，其中一項防詐措施，是要授權警方能向銀行發布限制令，限制那些不相信自己受騙的民眾持續轉帳給可疑帳戶。新加坡內政部表示，2024 年上半年，高達86%的詐騙是受害者自行轉帳，這些案例多屬網路愛情詐騙和冒充政府官員的詐騙案，即便有警方、銀行或受害者家人點出詐騙疑慮，受害者仍拒絕相信自己受騙。</p> <p>新加坡內政部表示，限制令將包括停止受害者匯款功能，並暫停受害者使用信用卡和貸款等服務。為了保障個人自由和確保執法適當，內政部也表示，只有當警方有十足理由相信該民眾是詐騙受害者，並且能預期受害者將持續轉帳給詐騙方，使用各種方法嘗試說服受害者後皆失敗，才能發布限制令。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永豐銀行 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 區塊鏈 </span></strong></span></h3> <h3>永豐銀行導入區塊鏈技術，自動驗證外匯交易資訊正確性</h3> <p>永豐銀行近日表示，內部針對外幣匯入作業導入一個帳戶驗證平臺，該平臺能運用區塊鏈技術檢查匯款資料，降低因受款人資料錯誤而導致退匯、轉匯的機率。當他行欲匯入外幣至永豐銀行帳戶時，系統會透過API串接至平臺，自動檢核他行填寫的受款人資料是否正確。</p> <p>永豐銀行說明，過往受款帳戶與戶名不符、受款帳號有誤，和受款帳戶已註銷等問題，占整體退匯、轉匯因素的四成。當交易退匯、轉匯時，往往需要透過人工逐一檢查，耗費不少作業成本，導入自動驗證平臺後則有望降低作業成本，同時提高跨國交易的正確性和安全性。</p> <h3>其它重要Fintech新聞</h3> <ul> <li>英國金融監理機構將和英國領先銀行驗證企業數位身分證的安全性</li> <li>法規擴大小型企業貸款須揭露的資訊，美國消費者金融保護局推出測試版小型企業貸款資訊平臺</li> <li>金管會將設房貸資訊揭露平臺，供民眾查看各家銀行尚可承做的房貸額度</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年9月</p> <p></p> </div></div></div>
2024/9/6 21:06作者李昀璇https://www.ithome.com.tw/news/164901
Roblox將推出3D生成工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>線上遊戲平臺與遊戲創作系統Roblox上周於開發者大會（RDC）上<a href="https://corp.roblox.com/newsroom/2024/09/rdc-2024-robloxs-next-frontier" target="_blank">宣布</a>，將提高遊戲創作者的分潤，支援法定貨幣，於遊戲中整合實體商品的銷售，並將推出3D基礎模型，以支援該平臺的生成式AI。</p> <p>Roblox為一受到兒童與青少年歡迎的線上遊戲及社交平臺，並推出自家虛擬貨幣Robux，目前每日活躍用戶數為7,950萬人，13歲以下的用戶數占了42%。</p> <p>Roblox指出，全球約有34億人玩遊戲，該產業每年可創造1,800億美元的市場規模，他們的志願是在達到每日10億活躍使用者之際，有10%的遊戲內容收入源自Roblox平臺。</p> <p>此外，Roblox內部有個AI專案，正在建立一個3D基礎模型，它將是個多模態模型，而且是開源的，允許使用者透過文字、影片或3D提示來生成3D內容。亦計畫於該平臺上提供廣泛的生成式AI功能，於遊戲中整合即時生成能力，並供所有人使用。</p> <p>對於創作者，該平臺計畫與各種電子商務平臺合作，讓創作者直接於遊戲體驗中銷售產品，首個合作夥伴為Shopify，預計於今年試行。也將開放創作者於桌面平臺上提供法幣貨幣的付費存取價格，同時取得更高的分潤，若該付費體驗價值9.99美元，那麼創作者將可取得50%的分潤，29.99美元的取得60%的分潤，49.99美元則是70%。目前創作者付費體驗作品的分潤比例約為25%。</p> <p>Roblox產品長Manuel Bronstein向TechCrunch透露，該平臺相信上述的改變將能吸引更多的傳統遊戲開發者帶槍投靠。</p> </div></div></div>
2024/9/9 11:34作者陳曉莉https://www.ithome.com.tw/news/164905
中國使用基於Nvidia A100及H100雲端服務的成本低於美國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國規定不得出口高階晶片至中國之後，中國轉為採用美國雲端服務來存取基於高階晶片的服務似乎已成公開的秘密，然而，金融時報（Financial Times）上周<a href="https://www.ft.com/content/10aacfa3-e966-4b50-bbee-66e13560deb4" target="_blank">報導</a>，向中國業者租賃基於Nvidia A100及H100雲端服務的價格甚至低於美國。</p> <p>該報引述不同的消息來源報導，中國4家小型的雲端供應商向當地業者供應配備8個Nvidia A100處理器的伺服器，每小時的費用約為6美元，若是向美國小型雲端業者租賃，每小時則是10美元。</p> <p>A100跟H100都是Nvidia所開發的高階晶片，於2020年上市的A100在2022年秋季<a href="https://www.ithome.com.tw/news/153537" target="_blank">被禁止</a>賣至中國，至於在2022年年底才開始出貨的H100則從未被允許銷售至中國。</p> <p>不過，根據報導，中國社交媒體及電子商務網站都有人在兜售A100及H100，且估計中國境內至少已有10萬個藉由走私管道進入的H100晶片。另也猜測大型雲端業者不想以身試法，而較小的供應商相對不擔心採用走私晶片。</p> <p>其實美國一直未能完全封殺中國使用高階晶片或相關的運算能力，就算沒有走私晶片，中國業者也會藉由訂閱美國雲端服務供應商的服務來存取高階運算資源。</p> </div></div></div>
2024/9/9 12:10作者陳曉莉https://www.ithome.com.tw/news/164906
Getty Images釋出訓練AI模型的高畫質視覺資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以提供新聞、運動、娛樂照片授權聞名的Getty Images，上周<a href="https://huggingface.co/datasets/GettyImages/Getty-Images-Sample-Dataset" target="_blank">宣布提供</a>高畫質照片樣本資料集，以供開發商開發與訓練AI模型。</p> <p>這個樣本資料集包含3,750幀照片，分成摘要&背景、商業、教育、健康照護、運動&健身、物件與物體、插圖、Icon等15類別。這資料集提供多種主題的高品質視覺內容，能協助訓練機器學習和AI模型，開發多種應用。</p> <p>資料集已在Hugging Face<a href="https://huggingface.co/datasets/GettyImages/Getty-Images-Sample-Dataset" target="_blank">上線</a>。不過要存取這個免費資料集，用戶必須同意服務條款及提供聯絡資訊。</p> <p>藉由這個免費樣本資料集的釋出，Getty希望能吸引企業及開發商使用付費授權服務。該公司能提供5.72億照片，其中超過2億供商業用途。和照片相關的結構化metadata，說明年齡、性別，每張圖片有平均50個關鍵字。這些照片來自8萬名創作者，涵括多元主題，且擁有合法授權，可確保用戶免於侵權官司風險。Getty並說，合法授權使用也能讓創作者獲得收益。</p> </div></div></div>
2024/9/9 10:43作者林妍溱https://www.ithome.com.tw/news/164903
Meta在歐洲準備讓第三方App和WhatsApp、FB Messenger互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應歐盟數位市場法（Digital Markets Act，DMA）上路，Meta<a href="https://about.fb.com/news/2024/09/an-update-on-how-were-building-safe-and-secure-third-party-chats-for-users-in-europe/" target="_blank">宣布</a>將在歐洲開放第三方訊息或聊天應用程式和WhatsApp與Facebook Messenger的相容互通，預計明年提供跨訊息服務群組，2027年提供通話和視訊。</p> <p>今年3月DMA正式生效後，Meta已<a href="https://engineering.fb.com/2024/03/06/security/whatsapp-messenger-messaging-interoperability-eu/" target="_blank">揭示</a>準備允許第三方聊天應用程式和WhatsApp與Messenger的互通。經過6個月的新功能開發及新用戶介面的建立、以及合作夥伴與相關人士的意見回饋，Meta公布技術細節和資源。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0909-Meta-DMA.png" style="width: 430px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>基於第三方聊天服務業者要求，Meta必須讓WhatsApp/Messenger用戶清楚、容易看到連結第三方程式的選項，因此Meta已為這二個程式內建新的通知功能，每當出現新的第三方聊天程式選項時，就會提醒WhatsApp/Messenger 用戶。Meta也設計了簡單的學習流程，幫助用戶了解第三方聊天程式功能與啟用方法。</p> <p>此外，Meta也提供選項，供WhatsApp/Messenger 用戶決定欲接收訊息的第三方程式，以及管理訊息匣的方法，因為有許多用戶希望第三方聊天程式和現有訊息匣切開，但也有人希望把所有聊天內容整合到單一訊息匣。不過用戶未來還是可以再隨其意改變設定。</p> <p>DMA要求WhatsApp/Messenger 的「基本」功能需和第三方程式互通，但Meta聲稱提供和第三方程式互通的已超越DMA要求的基礎功能。一些豐富訊息功能如反應、私訊、打字指示和讀取回條等都會在互通功能之列。</p> <p>為符合DMA要求，Meta預計2025年互通功能再加入建立群組，並在2027年允許視訊和通話互通。</p> <p>Meta表示會持續和第三方聊天服務開發商合作。Meta已公布名為<a href="https://scontent.ftpe3-2.fna.fbcdn.net/v/t39.8562-6/457381119_481527281461666_203694509368328046_n.pdf" target="_blank">Messenger Reference Offer</a>的互通協議和開發商文件給第三方App開發商，說明和WhatsApp/Messenger服務互通的必要條件。</p> <p>這是Meta在DMA下給歐盟用戶最新的選擇。這家社群龍頭 1月<a href="https://www.ithome.com.tw/news/160998" target="_blank">宣布</a>允許歐盟地區包括瑞士的臉書用戶，不需連結臉書（Facebook）及Instagram（IG）帳號、臉書與Messenger也可以獨立安裝，也能選擇訂閱無廣告的臉書服務。</p> </div></div></div>
2024/9/9 11:01作者林妍溱https://www.ithome.com.tw/news/164904
美超微展現AMD MI300X平臺AI推論能耐，打平Nvidia H100
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/supermicro_8125gs-tnmr2_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>搶攻資料中心GPU市場，<a href="https://www.ithome.com.tw/review/160523">AMD去年底發表新一代產品Instinct MI300X</a>，當時有多家伺服器廠商響應，宣布推出搭載這款加速運算平臺的機型，技嘉G593-ZX1-AAX1就是一例，今年6月我們曾介紹。</p> <p>接下來，該追蹤哪一款AMD Instinct MI300X伺服器？在上個月底，適逢MLCommons發表新版AI推論效能測試結果MLPerf Inference v4.1，終於首次揭露搭配這款GPU的伺服器效能表現紀錄，總共有4筆，而當中提交最多資料的機型，正是美超微（Supermicro）在去年底推出的8125GS-TNMR2（3筆）。</p> <p>這款產品是延伸該公司的<a href="https://www.supermicro.com/en/products/gpu">8U Universal GPU Systems</a>的設計而來，而且是標榜AMD Instinct MI300X加速器的採用，單臺伺服器搭配集結8個GPU、外形遵循OAM與UBB等開放運算計畫標準的基板，總共內建2,432個運算單元（304個 x 8）、9,728個矩陣核心（1216個x 8）、155,648個串流處理器（19,456個x 8），以及1.5 TB的HBM3高頻寬記憶體（192 GB x 8），GPU之間的I/O透過AMD Infinity Fabric Link進行，匯聚而成的總頻寬可達到896 GB/s（128 GB/s x 7），而在連外網路頻寬的部分，每個GPU可支援8個PCIe 5.0 x16（每個I/O介面頻寬為128 GB/s），可針對大規模AI訓練應用系統建置需求，提供以機櫃為部署單位的AI基礎架構。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Supermicro 8U GPU System.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%208U%20GPU%20System.jpg" style="width: 398px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Supermicro 8U GPU System-AMD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%208U%20GPU%20System-AMD.jpg" style="width: 198px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Instinct MI300X Platform-Accelerated Servers-2024-Q2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Instinct%20MI300X%20Platform-Accelerated%20Servers-2024-Q2.jpg" style="width: 600px;" /></a></p> <p>關於硬體規格方面，8125GS-TNMR2採用兩顆AMD EPYC 9004系列處理器，最多可搭配內建128顆核心的款式，因此整臺伺服器能提供256顆CPU核心，而在網路介面配置上，它預設可安裝8個短版介面卡，以及2個全高全長介面卡，因此能安裝8張網路卡，提供1比1的GPU與網路對應配置，在AI訓練時，因應多臺伺服器連接的需求，減少網路傳輸流量瓶頸。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%208-GPU-AMD%20CPU.jpg" style="width: 600px;" /></p> <p>根據Supermicro的規畫，單座機櫃可置入4臺8125GS-TNMR2，如此一來，最多能運用的AI運算資源規模，可望超過1千顆CPU核心（256 x 4）、24 TB容量 DDR5-4800記憶體（6 TB x 4）、6 TB容量GPU記憶體（1.5 TB x 4）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Supermicro Rack Scale GPU servers.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20Rack%20Scale%20GPU%20servers.jpg" style="width: 600px;" /></a></p> <p>若就今年8月底最新公布的MLPerf Inference v4.1效能測試結果來看，Supermicro 推出的8125GS-TNMR2，儼然成為代表AMD Instinct MI300X伺服器出戰的代表。</p> <p> </p> <div class="media_embed"> <div class="tableauPlaceholder" height="" id="viz1725682832241" style="position: relative" width=""><noscript><a href="#"><img alt="MLCommons - Inference " src="https://public.tableau.com/static/images/HX/HXTZY2W3F/1_rss.png" style="border: none" /></a></noscript> <object class="tableauViz" style="display:none;"><param name="host_url" value="https%3A%2F%2Fpublic.tableau.com%2F" /><param name="embed_code_version" value="3" /><param name="path" value="shared/HXTZY2W3F" /><param name="toolbar" value="yes" /><param name="static_image" value="https://public.tableau.com/static/images/HX/HXTZY2W3F/1.png" /><param name="animate_transition" value="yes" /><param name="display_static_image" value="yes" /><param name="display_spinner" value="yes" /><param name="display_overlay" value="yes" /><param name="display_count" value="yes" /><param name="tabs" value="yes" /><param name="language" value="en-US" /></object></div> <script height="" type="text/javascript" width=""> <![CDATA[// ><!]]> </script></div> <p> </p> <p>在Llama2-70B的AI推論測試當中，同為搭配8個Nvidia H100的Nvidia DGX H100，對上搭配8個AMD Instinct MI300X的Supermicro 8125GS-TNMR2，彼此所差無幾，其中有一筆記錄是Supermicro搭配AMD下一代伺服器處理器Turin，而稍稍勝出Nvidia DGX H100。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-08-AMD-Ronak_Shah_0-1724960539568.jpg" style="width: 500px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/MLPerf Inference 4_1-8GPU - MI300X.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLPerf%20Inference%204_1-8GPU%20-%20MI300X.jpg" style="width: 600px;" /></a></p> <p>不過，若是對上GPU記憶體容量加大至141 GB的Nvidia H200 8-GPU伺服器，包含Supermicro 8125GS-TNMR2、Dell XE9680在內的AMD Instinct MI300X 8-GPU伺服器，Llama2-70b的AI推論效能還有不少追趕的空間。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MLPerf Inference-H200-MI300X.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLPerf%20Inference-H200-MI300X.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，MLPerf Inference v4.1也列出多款AI伺服器單個GPU配置的效能測試數據，不僅涵蓋AMD Instinct MI300X，也提到Nvidia的H200、融合CPU與GPU架構的GH200，以及導入下一代GPU架構的Blackwell的B200，Supermicro 8125GS-TNMR2作為唯一代表AMD Instinct MI300X的產品，相較於Nvidia提交的H200伺服器，以及HPE的Nvidia GH200伺服器，仍差了一截，若對比於Nvidia提交的B200伺服器，差距更大，落後幅度可達到3倍，或許要等到AMD後續推出下一代資料中心GPU產品，才能與其一較高下。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MLPerf Inference 4_1-One-Acce1-2024-09.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLPerf%20Inference%204_1-One-Acce1-2024-09.jpg" style="width: 600px;" /></a></p> <p>針對單個GPU與8個GPU組態的效能比較，透過MLPerf Inference v4.1揭露的效能，也突顯連線與離線狀態下的效能，均維持在等比擴展的程度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-08-Ronak_Shah_1-1724960561989-1 and 8 GPU.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-08-Ronak_Shah_1-1724960561989-1%20and%208%20GPU.jpg" style="width: 500px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/MLPerf Inference 4_1-Supermicro AMD MI300X scaling.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLPerf%20Inference%204_1-Supermicro%20AMD%20MI300X%20scaling.jpg" style="width: 600px;" /></a></p> <p><span style="background-color: rgb(0, 128, 128); color: rgb(255, 255, 255);">產品資訊</span></p> <p><strong>Supermicro 8125GS-TNMR2</strong><br /> ●原廠：Supermicro<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：8U<br /> ●處理器：2顆，AMD EPYC 9004系列（最高搭配400瓦熱設計功耗款式）<br /> ●記憶體：24個DDR5-4800插槽，最大6 TB<br /> ●儲存配置：18臺2.5吋硬碟（16臺NVMe+2臺SATA）<br /> ●搭配GPU：8個AMD Instinct MI300X<br /> ●I/O擴充介面：12個PCIe 5.0 x16介面卡（8個短版、4個全高半長）<br /> ●電源供應器：6臺3000瓦，可額外選購2臺3000瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/9/7 12:50作者李宗翰https://www.ithome.com.tw/review/164848
啟用3年累計5,000多個實例，臺中榮總用AI精準圈出放射治療範圍、提高器官保護力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺中榮總昨日（5日）揭露醫療AI應用成果，是一款放射腫瘤部團隊在2021年導入的器官圈註AI系統，只要輸入患者電腦斷層掃描影像，系統就能自動偵測、勾畫出完整的放射治療範圍器官，制定出最佳放射治療計畫，盡可能保護人體健康組織，可提高器官保護力3.7%至12.9%，降低放射治療帶來的副作用。臺中榮總表示，使用這項AI輔助的患者治療完成率接近95%，達世界頂級標準。</p> <p><span style="font-size:22px;"><strong>自建精準勾勒系統，原本1小時的人工圈註時間5分鐘就搞定</strong></span></p> <p>臺中榮總放射腫瘤部主任游惟強指出，放射線治療雖能有效殺死或防堵癌細胞增殖，但同時，也要保護身體正常組織、降低周圍器官承受輻射劑量才行，避免患者出現頭痛、噁心、腹痛、嗜睡、頻尿等副作用。</p> <p>也因此，在規畫放射線治療時，就需要精準地勾畫圈註腫瘤和其他器官，來最大程度地保護健康組織。而傳統放射治療，仰賴醫師和醫學物理師手動勾畫病人器官和腫瘤，平均1位病人大約要花1小時，接著才能在系統中進行治療計畫、調整參數，最終為病人進行治療。這個過程繁瑣又耗時。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-09-06%20192857.png" /></p> <p>於是，游惟強與放射腫瘤部醫師謝合原等人一起打造一套AI辨識系統，可精準、快速辨識病人電腦斷層掃描，2分鐘就能勾畫治療圈，再加上人工檢查和修正，5分鐘內就能完成作業（如下圖）。而且，中榮統計人工修正率僅2%到3%，代表系統又快又準確，不必擔心不同人員勾畫的標註差異，可建立標準化作業。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-09-06%20192921.png" /></p> <p><span style="font-size:22px;"><strong>上線2年累計處理5千多名個案，精準圈註降低治療副作用</strong></span></p> <p>這套系統，還能降低治療對病人造成的副作用。臺中榮總放射腫瘤部調查指出，近4年來，未完成全程放射線治療的5%至7%患者中，暫停治療的首要原因是身體不適，但導入AI器官圈註技術後，病人因身體不適而暫停治療的比率明顯下降，從63%下降到52%。游惟強解釋，這一下降趨勢意味著醫療技術和病人管理的進步。</p> <p>臺中榮總這套AI器官圈註技術系統在2021年5月上線後，在這2年還持續更新，包括研發新器官模組，擴充、優化自動勾畫功能，也強化與放射治療平臺的連接，來盡可能保護更多的器官、縮短作業時間和提高醫療品質。</p> <p>游惟強指出，從2021年5月起啟用AI系統後，目前已100%導入臨床使用，累計超過5千例個案，適用於全身各部位器官的放射治療計畫。</p> <p>中榮團隊還以實際個案說明，一名59歲姚先生長期抽菸、喝酒、嚼檳榔，去年因吞嚥困難就醫被診斷為第三期食道癌，經手術、化療並接受AI器官圈註技術系統的放射線治療後，今年2月再發現縱膈腔淋巴腺復發，必須再次接受放射線治療。</p> <p>考量姚先生去年和今年放射線治療部位重疊，臺中榮總放射腫瘤團隊維持AI圈註技術之餘，還加強調整劑量，來保護肺臟、心臟和冠狀動脈等縱膈腔內的正常器官，合併使用電腦刀放射治療精準打擊腫瘤，成功避免胸悶、胸痛、肺炎及呼吸困難等副作用。該患者在整個療程中未有不適，目前病情穩定，持續門診追蹤中。</p> <p></p> </div></div></div>
2024/9/6 19:35作者王若樸https://www.ithome.com.tw/news/164900
【資安日報】9月6日，北韓駭客使用冒牌視訊會議軟體感染求職者電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來北韓駭客假借徵才名義，透過LinkedIn等管道，鎖定想要面試的開發人員下手，如今又出現新一波的攻擊行動。</p> <p>揭露此事的研究人員指出，這起攻擊行動與過往最大的不同之處在於，駭客不光會假借測試求職者的能力為由散布惡意程式，現在也會要求使用特定視訊會議軟體進行面試的名義，讓求職者降低警覺，不慎讓電腦中毒。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164889"><strong style="font-size: 22px;">北韓駭客Lazarus假借線上徵才名義與冒牌視訊會議軟體，鎖定求職者詐騙</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/chain-of-events-leading-to-compromise-v2-min.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/chain-of-events-leading-to-compromise-v2-min.png" style="width: 300px; float: right;" /></a>北韓駭客鎖定線上求職者發動攻擊的情況，最近2至3年不時有事故傳出，其中專門針對開發人員而來的攻擊行動Contagious Interview（也被稱做Dev#Popper），引起多組研究人員關切，最近有了新的發現。</p> <p>在8月中旬，資安業者Group-IB發現冒充視訊會議軟體FreeConference的惡意程式，經過分析確認是北韓駭客組織Lazarus使用的BeaverTail。這些駭客假借徵才的名義，誘騙求職者下載含有BeaverTail的Node.js檔案，一旦依照指示執行，此惡意軟體便會進一步於受害電腦載入Python後門程式InvisibleFerret，研究人員指出，這些駭客原本針對Windows電腦下手，但從今年7月開始，針對macOS開發的BeaverTail也出現相關攻擊行動。</p> <p>研究人員提及，這些駭客原本主要關注與加密貨幣有關的儲存庫來引誘想要求職的專業人士，近期也使用類似的策略，將惡意JavaScript指令碼注入與遊戲有關的儲存庫，並以分析或調查為由，要求面試者下載惡意軟體，但這次駭客的手法出現變化，他們開始以視訊會議軟體為由引誘面試者上當。</p> <p><a href="https://www.ithome.com.tw/news/164891"><strong style="font-size: 22px;">馬來西亞政府及政治人物遭到鎖定，駭客對其散布木馬Babylon RAT</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BabylonRAT-Figure-1-infection-chain.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/BabylonRAT-Figure-1-infection-chain.png" style="width: 300px; float: right;" /></a></p> <p>政治人物成為駭客下手的目標不時傳出，但過往大部分攻擊的目標集中在美國及歐洲地區，如今有駭客針對東南亞國家發動攻擊。</p> <p>資安業者Cyble發現使用惡意ISO映像檔的攻擊行動，主要目標是馬來西亞政治人物及政府官員，此映像檔內含偽裝成PDF文件的LNK檔案，以及惡意程式、PDF檔案誘餌、PowerShell指令碼，一旦使用者開啟LNK檔案，電腦就會被植入木馬程式Babylon RAT。但究竟駭客如何散布ISO檔，研究人員表示不清楚。</p> <p>此木馬程式專為監控及竊取資料打造，並具備側錄輸入的按鍵、監控剪貼簿、挖掘密碼，也能執行攻擊者遠端下達的命令。為了持續在受害電腦運作，駭客透過竄改機碼的方式，確保該惡意軟體在電腦重開機後能繼續執行。</p> <p><a href="https://www.ithome.com.tw/news/164895"><strong style="font-size: 22px;">中國駭客Earth Lusca打造跨平臺後門KTLVdoor，攻擊當地貿易公司</strong></a></p> <p>資安業者趨勢科技在追蹤中國駭客組織Earth Lusca的過程中，發現以Go語言打造而成的跨平臺後門程式KTLVdoor，他們指出此惡意程式駭客經過高度混淆處理，比該組織過往使用的作案工具更為複雜，而且，駭客將其偽裝成各式公用程式，例如：sshd、java、sqlite、bash、edr-agent，對Windows及Linux用戶進行散布，一旦使用者上當，電腦就有可能被駭客遠端控制。</p> <p>另一個引起研究人員關注的地方，在於攻擊行動的規模，因為他們找到超過50臺C2伺服器，這些伺服器全數架設於阿里巴巴的雲端環境，用於與惡意程式進行通訊。不過，他們認為，Earth Lusca很有可能與其他使用簡體中文的駭客組織共用這些伺服器，但不排除只有該組織使用這個基礎設施的情況。</p> <p>針對這起攻擊行動，研究人員僅確認一家中國貿易公司遭到鎖定，是否有其他組織受害仍不得而知。對於這樣的情況，他們研判駭客很有可能正在開始測試新武器，而且仍在初期階段。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-249a"><strong style="font-size: 20px;">俄羅斯軍事單位從事全球網路攻擊，對烏克蘭資料破壞軟體WhisperGate</strong></a></p> <p></p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164861"><strong style="font-size: 22px;">思科授權管理軟體存在重大漏洞，攻擊者可用來取得管理者權限、竊取敏感資料</strong></a></p> <p>9月4日思科發布資安公告，指出用於授權管理的公用程式Smart Licensing Utility存在重大層級漏洞CVE-2024-20439、CVE-2024-20440，攻擊者可在未經授權的情況下遠端利用，從而在此公用程式執行的過程中，收集敏感資訊，或是管理此公用程式的服務。</p> <p>不過，攻擊者若要利用這些漏洞，前提是使用者啟動Smart Licensing Utility，而且必須是正在運作的狀態才能觸發。上述漏洞影響2.0.0至2.2.0版Smart Licensing Utility，2.3.0版不受影響，此外，Smart Software Manager On-Prem及Smart Software Manager Satellite也不受影響。</p> <p>值得留意的是，這些漏洞的CVSS風險評分都達到9.8（滿分10分），思科指出這些漏洞沒有相依性，攻擊者不需利用其他漏洞就能觸發。此外，除了升級新版軟體之外，並無其他緩解措施能夠降低風險。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-injection-6kn9tSxm">思科修補已被公開的身分驗證系統ISE權限提升漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.veeam.com/kb4649">Veeam發布9月更新，修補備份軟體重大漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.rapid7.com/blog/post/2024/09/05/cve-2024-45195-apache-ofbiz-unauthenticated-remote-code-execution-fixed/">Apache基金會修補ERP系統OFBiz高風險漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://patchstack.com/articles/critical-account-takeover-vulnerability-patched-in-litespeed-cache-plugin/">WordPress網站加速外掛LiteSpeed Cache再傳漏洞，6百萬網站曝露於遭到挾持的風險</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164893"><strong style="font-size: 22px;">Palo Alto Networks宣布完成買下IBM QRadar SaaS業務</strong></a></p> <p>今年5月資安業者Palo Alto Networks與IBM<a href="https://www.ithome.com.tw/news/162914">宣布策略聯盟</a>，協議內容包括Palo Alto Networks將買下IBM的QRadar SaaS業務，近期他們透露最新發展。</p> <p>9月4日Palo Alto Networks宣布已完成QRadar SaaS業務的併購，並將把原有的QRadar SaaS客戶遷移到他們的Cortex XSIAM平臺。該公司並未公布交易金額，外傳價值為50億美元。</p> <p>至於將QRadar SaaS業務移交後，IBM也將協助客戶遷移到Cortex XSIAM，同時該公司自己也正部署該資安整合平臺，並成為該系統的主要代管服務供應商。IBM也派出1千名顧問，著手了解Palo Alto Networks的解決方案。</p> <p><a href="https://www.ithome.com.tw/news/164886"><strong style="font-size: 22px;">卡巴斯基美國用戶被轉給當地防毒廠商接手</strong></a></p> <p>今年7月防毒軟體業者卡巴斯基退出美國市場，將美國用戶轉給了當地不甚知名的資安軟體供應商UltraAV，即將在本月啟動移轉。</p> <p>這項消息的曝光，源於其中1名用戶在Reddit張貼9月5日收到的通知。其內容提及，美國卡巴斯基用戶未來可獲得其合作夥伴UltraAV的網路安全防護。用戶可在現有付費訂閱下獲取UltraAV防毒服務，包含VPN、密碼管理、身份盜竊防護等服務。未來幾天內，用戶就會接到UltraAV通知，告知如何啟用。</p> <p>隨後當地科技媒體也報導此事，根據Axios的報導，資安廠商Pango接手所有卡巴斯基美國用戶，並提供他們UltraAV。PC Magazine報導指出，這項傳聞已獲得卡巴斯基證實。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164875"><strong>【9月5日】美國針對俄羅斯干預總統大選採取執法行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164847"><strong>【9月4日】駭客組織Head Mare鎖定俄羅斯企業組織發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164832"><strong>【9月3日】駭客盯上資安廠商的SSL VPN系統當作誘餌，意圖散布惡意程式</strong></a></p> </div></div></div>
2024/9/6 14:41作者周峻佑https://www.ithome.com.tw/news/164897
Angular 19重大更新預設採用獨立模式，加速開發並最佳化應用效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google將在開源前端框架<a href="https://blog.angular.dev/the-future-is-standalone-475d7edbc706">Angular 19中，預設所有元件、指令和資料管線為獨立模式</a>，供開發者建立不仰賴NgModules的應用程式，以簡化開發流程並讓應用程式更容易最佳化。這項重大變更將能夠降低Angular的學習門檻，同時啟用像路由延遲載入和指令組合API等新功能。</p> <p>獨立模式是Angular讓元件、指令和工作管線不仰賴NgModules的寫法，簡化了應用程式開發結構。其最初在Angular 14中以開發者預覽形式推出，並在後續版本進入穩定狀態，現在於Angular 19成為官方推薦的應用程式編寫方式。</p> <p>而NgModules是Angular中用來組織應用程式的模組系統，其核心概念是將Angular應用程式分割成更小、可管理的模組，透過將相關元件、指令、資料管線和服務集結在一起形成功能單元，並透過模組匯入與匯出，進行共享或是隔離應用程式。</p> <p>雖然NgModules提供了結構化的組織方式，但是隨著應用程式的規模擴大，模組之間的相依關係變得越來越複雜，這導致初學者學習曲線升高且維護成本增加。特別是當模組之間存在迴圈相依和過度耦合時，會大幅增加程式碼的複雜度，也使得維護和除錯變得更加困難。</p> <p>即將在Angular 19成為預設的獨立模式，有助於解決這些問題，開發者不再需要處理NgModules的配置，初學者更容易上手之外，開發者也可更專注於元件本身的開發，減少不必要的複雜性。而且獨立模式也使得應用程式結構更加模組化和清楚。Angular 19獨立模式提高了應用程式的靈活度和效能，支援像是路由層級的延遲載入，可最佳化載入速度，而Deferrable Views允許按需載入元件，進一步提升效能。</p> <p>目前Angular不會棄用NgModules，開發者仍可以透過設定關閉獨立模式來編寫NgModule元件。對於帶有NgModules的NPM函式庫，其使用方式不會改變，即便啟用了strictStandalone選項，獨立元件仍可匯入NgModule相依項目。針對發布於NPM上的函式庫，無論開發者是否採用Angular 19新預設設定，這些元件都會繼續正確運作，且不需要進行額外調整。</p> </div></div></div>
2024/9/6 16:56作者李建興https://www.ithome.com.tw/news/164898
中國駭客Earth Lusca打造跨平臺後門KTLVdoor，攻擊當地貿易公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客跨平臺開發惡意軟體的情況，最近2年可說是越來越明顯，最近研究人員揭露中國駭客的攻擊行動，也反映了這樣的趨勢。</p> <p>資安業者趨勢科技在追蹤中國駭客組織Earth Lusca的過程中，發現<a href="https://www.trendmicro.com/en_us/research/24/i/earth-lusca-ktlvdoor.html">以Go語言打造而成的跨平臺後門程式KTLVdoor</a>，他們指出此惡意程式駭客經過高度混淆處理，比該組織過往使用的作案工具更為複雜，而且，駭客將其偽裝成各式公用程式，例如：sshd、java、sqlite、bash、edr-agent，對Windows及Linux用戶進行散布，一旦使用者上當，電腦就有可能被駭客遠端控制。</p> <p>另一個引起研究人員關注的地方，在於攻擊行動的規模，因為他們找到超過50臺C2伺服器，這些伺服器全數架設於阿里巴巴的雲端環境，用於與惡意程式進行通訊。不過，他們認為，Earth Lusca很有可能與其他使用簡體中文的駭客組織共用這些伺服器，但不排除只有該組織使用這個基礎設施的情況。</p> <p>針對這起攻擊行動，研究人員僅確認一家中國貿易公司遭到鎖定，是否有其他組織受害仍不得而知。對於這樣的情況，他們研判駭客很有可能正在開始測試新武器，而且仍在初期階段。</p> </div></div></div>
2024/9/6 14:25作者周峻佑https://www.ithome.com.tw/news/164895
YouTube正在開發AI檢測工具，防止創作者的影像及聲音被複製
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>YouTube周四（9/5）<a href="https://blog.youtube/news-and-events/responsible-ai-tools/" target="_blank">宣布</a>，正在開發新的工具以保護藝術家與創作者，避免他們的影像與聲音遭到複製。</p> <p>其中一個工具為新的合成歌唱識別技術，將被整合到Content ID中，以讓合作夥伴得以在YouTube上自動偵測及管理來自於AI，且模擬其歌聲的內容。Content ID原本就是用來識別及管理YouTube版權內容的工具，未來將加入偵測生成式AI的能力。</p> <p>另一個工具則可讓不同領域的使用者，如創作者、音樂家、演員或運動家等，得以檢測及管理在YouTube上的AI生成內容，特別是這些內容使用了他們的臉孔。</p> <p>YouTube表示，Content ID目前每年已可處理數十億則的版權主張，替創作者帶進數十億美元的新營收，將努力把相同等級的保護與授權帶進AI時代。此外，為了滿足創作者與第三方的合作需求，YouTube也正在打造能讓創作者選擇如何在該平臺與AI業者合作的方式。</p> </div></div></div>
2024/9/6 13:24作者陳曉莉https://www.ithome.com.tw/news/164892
Palo Alto Networks宣布完成買下IBM QRadar SaaS業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Palo Alto Networks周三（9/4）<a href="https://www.paloaltonetworks.com/company/press/2024/palo-alto-networks--closes-acquisition-of-ibm-s-qradar-saas-assets" target="_blank">宣布</a>，已完成對IBM QRadar SaaS業務的收購，將把QRadar SaaS客戶遷移到Palo Alto Networks的Cortex XSIAM平臺。外傳此一交易價值50億美元。</p> <p>IBM QRadar為一模組化的安全套件，其產品包括端點偵測與回應（EDR）、端點多層偵測與回應（XDR），受控的端點偵測與回應（MDR）、QRadar SIEM安全分析工具，可自動化編排事件回應流程的QRadar SOAR，以及日誌洞察與管理產品QRadar Log Insights 等。</p> <p>至於由Precision AI驅動的Cortex XSIAM則是在單一平臺上整合SIEM、SOAR、ASM與XDR等能力，大幅簡化安全操作並預防威脅。</p> <p>在把IBM QRadar交給了Palo Alto Networks之後，IBM除了將協助QRadar客戶遷移到Cortex XSIAM之外，也正在部署Cortex XSIAM作為IBM的下一代安全操作，成為Cortex XSIAM的首選管理安全服務供應商，並正培訓逾1,000名IBM顧問來了解Palo Alto Networks的安全解決方案。</p> <p>打算保留在本地端的QRadar用戶則可繼續獲得IBM的功能與支援，包括安全性、可用性及修補重要臭蟲等。</p> </div></div></div>
2024/9/6 14:12作者陳曉莉https://www.ithome.com.tw/news/164893
北韓駭客Lazarus利用冒牌視訊會議軟體FreeConference，鎖定求職者下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客鎖定線上求職者發動攻擊的情況，最近2至3年不時有事故傳出，其中專門針對開發人員而來的攻擊行動Contagious Interview（也被稱做Dev#Popper），引起多組研究人員關切，最近有了新的發現。</p> <p>資安業者Group-IB指出，<a href="https://www.group-ib.com/blog/apt-lazarus-python-scripts/">他們在8月中旬發現冒充視訊會議軟體FreeConference的惡意程式</a>，經過分析確認是北韓駭客組織Lazarus使用的BeaverTail。這些駭客假借徵才的名義，誘騙求職者下載含有BeaverTail的Node.js檔案，一旦依照指示執行，此惡意軟體便會進一步於受害電腦載入Python後門程式InvisibleFerret，研究人員指出，這些駭客原本針對Windows電腦下手，但從今年7月開始，<a href="https://objective-see.org/blog/blog_0x7A.html">針對macOS開發的BeaverTail也出現相關攻擊行動</a>。</p> <p>而對於這些駭客從事的攻擊行動，究竟出現那些變化？首先，是原本他們主要透過職場社群網站LinkedIn尋找下手目標，但現在也經由其他求職網站進行，這些包括：WWR、Moonlight、Upwork。</p> <p>一旦他們成功取得聯繫，就會試圖改用Telegram進行後續交談，然後再進一步要求面試者下載特定的視訊會議應用程式，或是Node.js專案，以便進行後續的面試流程。</p> <p>研究人員提及，這些駭客原本主要關注與加密貨幣有關的儲存庫來引誘想要求職的專業人士，近期也使用類似的策略，將惡意JavaScript指令碼注入與遊戲有關的儲存庫，並以分析或調查為由，要求面試者下載惡意軟體，但這次駭客的手法出現變化，他們開始以視訊會議軟體為由引誘面試者上當。</p> <p>根據駭客散布冒牌FreeConference應用程式的網站hxxp://freeconference[.]io進行調查，研究人員發現該網站SSL憑證是在8月2日簽發，與另一個用來散布BeaverTail冒牌MiroTalk網站mirotalk[.]net，都是由相同的單位進行簽章。</p> <p>研究人員從7月下旬至8月中旬，總共看到3個打包成Windows安裝檔（FCCCall.msi）的BeaverTail，指出這些軟體以跨平臺開發框架Qt6打造而成，不久後他們也看到macOS版惡意程式。</p> <p>一旦使用者啟動視訊會議軟體，電腦就會要求輸入會議邀請碼，但在此同時，惡意程式也在後臺運作。</p> <p>此惡意程式專門從瀏覽器及其延伸套件當中，挖掘各式帳密資料，得逞後下載Python執行檔及下個階段的有效酬載InvisibleFerret。</p> <p>值得留意的是，駭客不只針對Windows、macOS開發BeaverTail，他們也打造威力更強大的Python版本，除具備前述竊取資料的功能，並能為攻擊者部署AnyDesk供遠端存取，駭客也為其開發外掛套件擴充其他功能。研究人員指出，他們看到尚未使用的新功能函數，研判駭客正積極開發該惡意程式。</p> </div></div></div>
2024/9/6 12:06作者周峻佑https://www.ithome.com.tw/news/164889
美國公民以機器人及AI詐騙音樂串流平臺，被告了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部近日<a href="https://www.justice.gov/usao-sdny/pr/north-carolina-musician-charged-music-streaming-fraud-aided-artificial-intelligence" target="_blank">起訴</a>了一名52歲的美國公民Michael Smith，因為Smith利用機器人帳號及包括AI在內的各種技術欺騙了Amazon Music、Apple Music、Spotify及YouTube Music，詐取了高達1,000萬美元的版稅。</p> <p>上述的音樂串流平臺都會在播放歌曲時，將特定比例的版稅發送給音樂家與詞曲作者，於是Smith便在這些平臺上建立了數千個機器人帳戶，再利用軟體要求這些機器人不停地串流屬於Smith的音樂，估計每天串流相關歌曲的次數達66.1萬次，每年可替Smith創造120萬美元的版權收入。</p> <p>由於如果某首音樂被串流超過10億次就會引起平臺的關注，使得Smith決定要生產更多的音樂，並於2018年與一家AI音樂業者合作，透過AI快速創作了數十萬首音樂，這些音樂不僅有不同的名稱，Smith還替它們建立了不同的作者，以用來詐騙串流平臺。</p> <p>總之，Smith利用數千個機器人帳戶，播放了數十億次、由AI創作，屬於Smith的音樂，並讓Smith獲得了超過1,000萬美元的版稅。</p> <p>Smith被指控的罪名包括電信詐欺、電信詐欺共謀，以及洗錢共謀等，每個罪名的最高刑期皆為20年。</p> </div></div></div>
2024/9/6 13:07作者陳曉莉https://www.ithome.com.tw/news/164890
馬來西亞政府及政治人物遭到鎖定，駭客對其散布木馬Babylon RAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政治人物成為駭客下手的目標不時傳出，但過往大部分攻擊的目標集中在美國及歐洲地區，如今有駭客針對東南亞國家發動攻擊。</p> <p>資安業者Cyble發現<a href="https://cyble.com/blog/the-intricate-babylon-rat-campaign-targets-malaysian-politicians-government/">使用惡意ISO映像檔的攻擊行動</a>，主要目標是馬來西亞政治人物及政府官員，此映像檔內含偽裝成PDF文件的LNK檔案，以及惡意程式、PDF檔案誘餌、PowerShell指令碼，一旦使用者開啟LNK檔案，電腦就會被植入木馬程式Babylon RAT。但究竟駭客如何散布ISO檔，研究人員表示不清楚。</p> <p>此木馬程式專為監控及竊取資料打造，並具備側錄輸入的按鍵、監控剪貼簿、挖掘密碼，也能執行攻擊者遠端下達的命令。為了持續在受害電腦運作，駭客透過竄改機碼的方式，確保該惡意軟體在電腦重開機後能繼續執行。</p> <p>攻擊者可藉由Babylon RAT秘密監控受害者的活動，並竊取各式敏感資訊。此外，開發者亦提供集中控管理介面，使得駭客能夠同時對於多臺電腦下手。</p> <p>研究人員從7月底開始，一共看到3個惡意ISO檔案，其中駭客使用的誘餌，涉及馬來西亞的政治議題、人民議會（Majlis Amanah Rakyat，MARA），以及當地政府系統MyKHAS，突顯攻擊目標的不同，但這些ISO檔還是存在共同之處，那就是除偽裝成PDF文件的LNK檔案，駭客將其他檔案皆設為隱藏屬性，意圖引誘受害者點選LNK檔案。</p> <p>值得一提的是，攻擊者為了迴避防毒軟體掃描，他們將Babylon RAT的執行檔參雜大量資料，使其檔案大小達到300 MB。</p> </div></div></div>
2024/9/6 13:09作者周峻佑https://www.ithome.com.tw/news/164891