iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 07:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google DeepMind科學家獲諾貝爾化學獎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瑞典皇家科學院（The Royal Swedish Academy of Sciences）周三（10/9）把2024年諾貝爾化學獎（Nobel Prize in Chemistry）<a href="https://www.nobelprize.org/prizes/chemistry/2024/press-release/" target="_blank">頒給了</a>David Baker，以及兩名Google DeepMind科學家Demis Hassabis及John Jumper 。</p> <p>今年的諾貝爾化學獎與蛋白質有關。蛋白質通常由20種不同的胺基酸以不同的順序組成，由胺基酸串成的長鏈會折疊成特定的3D形狀，而此一3D結構將決定蛋白質的功能，例如防禦、訊號傳遞、結構支撐或催化等。</p> <p>現年62歲的David Baker是名生物化學家，以設計蛋白質結構及功能的計算方法而聞名。瑞典皇家科學院指出，Baker成功地利用不同的胺基酸設計出一個全新的蛋白質，之後其研究小組即不斷地創造出各種蛋白質，包括可用作藥物、疫苗、奈米材料或是微形感測器的蛋白質。</p> <p>至於Hassabis與Jumper則都是Google DeepMind的科學家。瑞典皇家科學院說，從1970年代以來，研究人員一直試圖以氨基酸的排序來預測蛋白質結構，這是件很難的事，但Hassabis與Jumper在2020年所發表的<a href="https://www.ithome.com.tw/news/141398" target="_blank">AlphaFold2模型</a>，卻能夠預測幾乎涵蓋所有已知的2億種蛋白質的結構。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1010-Nobel%20Prize%20in%20Chemistry-google%20deepmind-2.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">© Nobel Prize Outreach</span></span></p> <p>迄今全球已有來自190個國家的逾200萬人使用AlphaFold2，在眾多的科學應用中，研究人員現在可以更好地理解抗生素抗藥性，以及設計出能夠分解塑膠的酶。</p> <p>瑞典皇家科學院認為，沒有蛋白質，就沒有生命，現在能夠預測蛋白質結構，還能設計自己的蛋白質，替人類帶來了最大的好處。</p> <p>諾貝爾化學獎的獎金為1,100萬瑞典克朗（約110萬美元），Baker將取得其中的一半，DeepMind的兩名科學家再分享另一半。今年與人工智慧技術相關的還有獲得諾貝爾物理獎的<a href="https://www.ithome.com.tw/news/165399" target="_blank">John Hopfield與Geoffrey Hinton</a>，他們因以人工神經網路實現機器學習上的發現及發明而得獎。</p> </div></div></div>
2024/10/10 14:37作者陳曉莉https://www.ithome.com.tw/news/165422
Palo Alto修補產品轉移工具多項重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>防火牆業者Palo Alto Networks本周<a href="https://security.paloaltonetworks.com/PAN-SA-2024-0010" target="_blank">發布安全公告</a>，並修補平臺轉移工具Palo Alto Networks Expedition上可能造成程式碼執行、密碼外洩與釣魚攻擊等多項重大風險漏洞。</p> <p>這批修補的漏洞包括編號CVE-2024-9463到CVE-2024-9467的7項漏洞，皆是與Palo Alto用於將防火牆設備由其他品牌轉移的軟體工具Expedition有關。首先CVE-2024-9463及CVE-2024-9464為OS指令注入漏洞，以根權限執行任意OS指令，濫用二漏洞皆能導致PAN-OS防火牆的使用者名稱、明文儲存的密碼、裝置配置和裝置API洩露，其中CVE-2024-9463 CVSS風險值達9.9，CVE-2024-9464則為9.4。</p> <p>CVE-2024-9465為SQL注入漏洞，濫用的結果可導致未經授權的攻擊者外洩Expedition資料庫內容，像是密碼雜湊、用戶名稱、裝置配置和裝置API，攻擊者還可利用這些資訊在Expedition系統讀取和新增任意檔案。該漏洞風險值為9.2。CVE-2024-9466則是明碼儲存的敏感資訊漏洞，讓獲得授權的攻擊者洩露防火牆用戶名稱、密碼及利用這些產生的API金鑰，風險值8.2。</p> <p>最後一項CVE-2024-9467是Expedition的反射跨站指令碼（cross-site scripting，XSS）攻擊，可讓攻擊者傳送惡意連結發動釣魚攻擊，導致Expedition瀏覽器會話劫持，而在授權的用戶瀏覽器上執行惡意JavaScript。</p> <p>Palo Alto表示這批漏洞不影響Palo Alto防火牆產品、中央管理平臺Panorama、遠端辦公室安全存取閘道Prisma Access或雲端防火牆Cloud NGFW。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1010-vulnerabilities%20in%20Palo%20Alto%20Networks%20Expedition-2.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Palo Alto Networks</span></span></p> <p>Palo Alto已發布Expedition 1.2.96修補所有漏洞，其中CVE-2024-9466在更新後會自動移除。廠商尚未發現上述漏洞有被惡意濫用的情形，但是複製攻擊的手法已經公開，因此Palo Alto呼籲，在更新軟體後，所有Expedition用戶名、密碼和API金鑰，或是經Expedition處理的防火牆用戶名、密碼和API金鑰都應輪換。</p> <p>未能立即安裝最新版本的用戶則應將Expedition授權用戶或主機、網路限縮，若Expedition沒有使用，則應予以關閉。</p> </div></div></div>
2024/10/10 14:56作者林妍溱https://www.ithome.com.tw/news/165424
OpenAI擴點新加坡，成立亞太區營運中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI<a href="https://x.com/OpenAI/status/1843865921879978489" target="_blank">昨日宣布</a>新增設點新加坡、法國巴黎與比利時布魯賽爾。其中新加坡將成為OpenAI亞太區營運中心。</p> <p>新加坡是OpenAI繼4月首度<a href="https://www.ithome.com.tw/news/162315" target="_blank">公布</a>的東京辦公室後的第二個亞洲辦公室。曾任共享汽車平臺Grab及軟體公司Asana前營收長Oliver Jay將在此主管亞太區業務營運和市場擴張。昨日OpenAI還宣布新增了紐約和西雅圖二地美國辦公室。在此之前OpenAI原本設點包括總部舊金山，以及倫敦及都柏林。</p> <p>除了設點外，OpenAI並將和新加坡政府經濟發展局（Economic Development Board）合作，協力當地AI發展計畫。新加坡政府<a href="https://www.linkedin.com/posts/singapore-economic-development-board_chatgpt-maker-openai-to-open-singapore-office-activity-7249661212756492288-je1_" target="_blank">說明</a>，OpenAI將協助<a href="https://aisingapore.org/" target="_blank">AI Singapore</a>計畫。AI Singapore為新加坡於2017年啟動，旨在為新加坡企業和學術研究單位提供AI共用資源，用以建立社群發展電腦視覺、自然語言處理、大型語言模型及機器流程自動化（robotic process automation）等本地AI應用與培育科學人才。</p> <p>配合海外擴點計畫，OpenAI也貼出<a href="https://openai.com/careers/search/" target="_blank">招聘啟示</a>，海外新聘人事著重在資安、產品規劃、客服、與業務。</p> </div></div></div>
2024/10/10 15:18作者林妍溱https://www.ithome.com.tw/news/165425
微軟釋出Microsoft.Extensions.AI .NET函式庫，簡化AI服務整合流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布推出全新的<a href="https://devblogs.microsoft.com/dotnet/introducing-microsoft-extensions-ai-preview/">Microsoft.Extensions.AI預覽版套件</a>，這是一套針對.NET平臺設計的函式庫，提供標準化人工智慧服務抽象層，讓開發者能夠更輕鬆地將人工智慧整合到應用程式中。Microsoft.Extensions.AI套件支援各種人工智慧服務，並結合人工智慧應用開發框架Semantic Kernel的高階功能，提升開發人工智慧應用程式的靈活性和可擴展性。</p> <p>隨著人工智慧技術快速發展，市面上存在各種人工智慧服務，而這些服務各有其供應商和API介面，導致開發者需要替每個服務實作不同的整合方式，增加了開發的複雜度和維護成本。而微軟現在推出Microsoft.Extensions.AI函式庫，便是要解決這個問題，藉由提供標準化的整合框架，讓開發者可以更專注於應用創新，而不用煩惱處理不同人工智慧服務整合的細節。</p> <p>Microsoft.Extensions.AI套件提供統一的C#抽象層，讓開發者可以利用相同的程式設計方式來整合不同的人工智慧服務，也就是說，無論是使用OpenAI、Azure AI還是其他人工智慧服務，開發者都可以利用相同的程式碼結構和介面進行操作，而不需要替每個服務單獨學習或是編寫不同的整合方式，降低學習成本提高開發效率。</p> <p>而且Microsoft.Extensions.AI內建支援多種中介軟體，像是日誌紀錄、分散式快取、遙測和工具呼叫等，開發者可以將這些功能和人工智慧服務結合使用，提升應用程式的可靠性和監控能力。Microsoft.Extensions.AI還支援多人工智慧供應商的參考實作，像是OpenAI、Azure AI推理和Ollama，這代表開發者可以根據需求快速切換服務供應商，而不需要重寫程式碼，並且能夠更簡單地開發本地和雲端模型混用的應用。</p> <p>值得注意的是，Microsoft.Extensions.AI包含了一個稱為Semantic Kernel人工智慧應用開發框架。Semantic Kernel框架可以協助開發者建置具備語義推理和智慧流程的應用程式，開發者可以在Microsoft.Extensions.AI標準化抽象層上實現更高階的人工智慧應用，像是任務規畫、自然語言理解和多步驟自動化操作。</p> <p>開發者已經可以在NuGet上取得Microsoft.Extensions.AI，只要在程式碼中引用相關的套件和API，便能夠快速整合多種人工智慧服務。</p> </div></div></div>
2024/10/10 13:56作者李建興https://www.ithome.com.tw/news/165416
從五個層次談溝通力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-gou_tong_de_huang_jin_fa_ze_-960x420.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《哈佛商業評論》（Harvard Business Review）一篇文章提到：「專業人士進步與晉升的首要標準，即是具備有效溝通的能力。」溝通能力對我們的日常生活至關重要，因為那是我們影響他人的方式；溝通能力對發展與維持關係也一樣重要，因為那是我們社交活動的核心要素。研究分析師暨溝通專家海莉•霍桑（Hayley Hawthorne）表示：「溝通就像是將人與人連結在一起的結締組織，能夠聚集人群、建立共識，以及共同協調與執行計畫等。歸根結柢，溝通是促成轉變的工具。」</p> <p>然而，與此同時，公開演講卻讓許多人畏懼；我認為公開演講就是對兩個人或更多人傳達訊息。脫口秀喜劇演員傑瑞•宋飛（Jerry Seinfeld）在個人的一檔節目當中說道：「我看到一項研究指出，一般人最害怕的事，是在群眾面前演說。這項研究實在太有趣，人們第二害怕的事是死亡，死亡竟然位居第二？這代表對於一般人而言，如果哪天必須參加葬禮，會寧願躺在棺材裡，也不想宣讀悼詞。」</p> <p>沒有這麼嚴重吧！</p> <p>我相信大多數害怕和群眾溝通的人會想避免這件事，是因為不想表現太差；也就是說，他們害怕失敗。</p> <p>正如海莉•霍桑所言：「溝通技巧並非一朝一夕即可掌握，培養溝通技巧是一段需時長久的旅程。」然而我可以告訴你，這趟旅程的每一步都值得！</p> <p><span style="font-size:28px;"><strong>人們聽從你的意見是因為……</strong></span></p> <p>當你以說話者的身分努力建立信譽時，你對他人的影響力會隨之增加，而且你很有可能預期到它會怎麼發展。閱讀這五個層次的溝通時，請思考自己在不同交談對象群體中的公信力，藉此確定你和對方的關係。</p> <p><span style="color:#B22222;"><strong>1. 要求層次：人們「必須」聽你說話</strong></span></p> <p>我二十二歲時成為印第安納州南部一個小型鄉村教會的牧師。剛開始我既年輕又沒有任何講道的經驗，還沒有和人們建立起關係；然而，來禮拜的人都會聽我講道。為什麼呢？因為我有牧師職位。過沒多久我就意識到，仰賴職權讓人聽從是最低的層次。從最低層次開始努力沒有錯，畢竟這就是我們大多數人的起點。但是如果想成為優秀的溝通者，就不能只停留在這個層次。我意識到這一點後做出一項重大決定：要努力提升說話的層次，致力變得比我的職權更偉大、更優秀。</p> <p>我們都有過被要求聽從別人的經驗。也許你願意聽從老闆說的話，是為了保住工作；或者，你想通過一門課程，必須聽老師或教授說話；或是你聽從政府官員指示，是因為他負責監管你必須完成的某項流程。你會聽這些人說話，是因為對方的職權要求你這樣做，而你別無選擇。</p> <p>倘若你想成為優秀的溝通者，就必須認知到自己的職位或頭銜不會讓人想持續和你溝通交流。你必須自行提高標準，開始培養讓人想要傾聽的技能，這將把我們帶入下一個層次。</p> <p><span style="color:#B22222;"><strong>2. 關係層次：人們「想要」聽你說話，是因為喜歡你</strong></span></p> <p>在我開始服務第一個教會的幾個月內，我和人們建立起關係。我喜歡他們，他們也喜歡我。我能感受到他們從必須聽我說話，轉變成想要聽我說話。是因為我的說話技巧進步很多嗎？我對此存疑，但我和他們的關係確實改善許多。這證實一句古語的真理：「在人們知道你有多在乎之前，他們根本不在乎你知道多少。」我發現溝通不只是說話，而是要和人建立連結。</p> <p>如果你經常和同一個人交談，你能採取最好的做法就是和對方建立良好的關係。如果你的狀況無法和他們個別建立關係，那就保持友好交流。關心聽你說話的人，坦誠、真心的對待他們，言出必行，人們就會喜歡你。</p> <p><span style="color:#B22222;"><strong>3. 卓越層次：人們「喜歡」聽你說話，是因為你很優秀</strong></span></p> <p>作為一位年輕的演說者，每當感覺到聽眾喜歡我並且想聽我說話時，我就更有動力提升自己身為溝通者的層次，並且讓人們更想要聽我說話。從那時起，我不斷挑戰自己，學習成為優秀的溝通者。我花大約八年的時間尋找、發展並磨練我的風格。這聽起來似乎是很長一段時間，但絕對值得。當時的我已經學完了嗎？不，我並沒有因此停止學習，現在仍然持續精進自己。我已經演講五十多年了，但我仍然不斷的學習、成長。成為優秀的溝通者是一趟旅程，而不是一個目的地。</p> <p>雷蘭德將這個層次的溝通稱為「卓越的溝通」有跡可循，因為它能讓人脫穎而出，而且唯有竭盡心力，才能達到這個層次；你必須付出大量時間心力，才能變得卓越。當你達到這個層次，人們會注意到並口耳相傳，因為這是相當不凡的成就。</p> <p>我想在此稍作停頓，鼓勵各位邁步前進。我希望你變得卓越！而我也相信你可以辦得到。因此本書主要傳授原則與技巧，將會對你的溝通旅程有所助益。當你學會這些法則並付諸實踐，你的說話技巧將會提升。我給各位的最佳建議是「求知若饑」。就像是在市集上想買一個超大棉花糖的小男孩，雖然棉花糖小販看了他一眼說道：「對你這樣的小男孩來說，這個棉花糖太大了。」</p> <p>但小男孩回答：「別擔心！我的內在比我的外表大得多。」</p> <p>假使你已經在持續精進溝通技能，那麼本書中的法則可以幫助你彌補能力中的任何「漏洞」，幫助你微調技能。如果你仍是溝通新手，可能需要相當長的時間才能臻至卓越，但是你一定辦得到。這些法則將快速幫你啟動學習。</p> <p><span style="color:#B22222;"><strong>4. 理性層次：人們「設法」聽你說法，是因為你會為他們的生活增添價值</strong></span></p> <p>我之前提過說話者的動機很重要。賽門•西奈克（Simon Sinek）在著作《先問，為什麼？》（Start with Why）中指出：「人們不管你做了什麼，只在乎你為什麼這麼做。」他是從領導力的觀點寫下這句話，而這個道理在溝通領域也同樣關鍵。</p> <p>我會開始演講與寫作是為了幫助人們，我渴望幫人提升價值。然而，「想要幫人提升價值」和「成功幫人提升價值」有所區別。我花許多時間與精力找方法幫人們增添價值。為了達成這個願望，就必須先贏得信譽。我想和各位分享這個過程，因為我相信它也會對你有所幫助。我必須：</p> <p>●找到自己：當我不再試著模仿別人時，就能找到自己。</p> <p>●了解自己：當我自我審視、向自己提問，並且給出誠實的答案時，就能了解自己。</p> <p>●做我自己：當我接受上帝所創造的我是什麼樣子時，就能做我自己。</p> <p>●提升自己：當我反覆從試驗與錯誤中提升說話技巧時，就能提升自己。</p> <p>●超越自己：當我不再注意自己與他人眼中的自己時，就能超越自己。</p> <p>●奉獻自己：當我開始思考他人以及如何幫助他人時，就能奉獻自己。</p> <p>當你致力成為更優秀的溝通者，請採納這些經驗原則，它們將協助你成為一個能幫助他人增添價值的人。</p> <p><span style="color:#B22222;"><strong>5. 回饋層次：人們「渴望」聽你說話，是因為你就是你</strong></span></p> <p>這是溝通者所能達到最高層次的影響力。雷蘭德將其稱為「回饋層次」，因為演說者一生致力於提升技巧、關注他人，並且幫助他人增添價值，從而創造出非凡的投資回報。此時，人們會聽你說話，是因為你這個人以及你長期以來的所作所為。這是說話者最高層次的信譽，是根據道德權威建立而成。<strong>（本文摘錄整理自《溝通的黃金法則》，天下文化提供）</strong></p> <p class="rtecenter"><a href="https://bookzone.cwgv.com.tw/book/BWL100" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%BA%9D%E9%80%9A%E7%9A%84%E9%BB%83%E9%87%91%E6%B3%95%E5%89%87-600.jpg" style="width: 600px;" /></a></p> <p><a href="https://bookzone.cwgv.com.tw/book/BWL100" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_天下文化</span></span></a></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 溝通的黃金法則（The 16 Undeniable Laws of Communication）</strong></p> <p>約翰．麥斯威爾（John C. Maxwell）／著；李文怡／譯</p> <p>天下文化出版</p> <p>定價：450元</p> <p><a href="https://www.maxwellleadership.com/publishing/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%BA%9D%E9%80%9A%E7%9A%84%E9%BB%83%E9%87%91%E6%B3%95%E5%89%87-200.jpg" style="width: 200px;" /></a></p> <p><a href="https://www.maxwellleadership.com/publishing/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Maxwell Leadership</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>約翰．麥斯威爾（John C. Maxwell）</strong></p> <p>《紐約時報》暢銷榜第一名作家、演說家、教練與領導者，著作在全球翻譯成五十種語言、銷售超過三千五百萬冊。創辦麥斯威爾領導力學院（John Maxwell Leadership®），組織成立宗旨為推廣他遵循的原則：協助他人創造有影響力且正向的改變。</p> <p>獲「美國管理協會AMA」（American Management Association）評定為商業領域最頂尖的領導者，並受到《商業內幕》（Business Insider）與《企業》雜誌（Inc.）遴選為全球最具影響力的領導學專家。</p> </div></div></div>
2024/10/10 06:00未署名https://www.ithome.com.tw/article/165353
【資安日報】10月9日，零信任之父第一手導讀零信任架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著資安威脅與日俱增，零信任架構成為最近幾年的熱門話題。但究竟什麼是零信任架構？在14年前提出此戰略理念的零信任之父John Kindervag，日前在國際半導體展（SEMICON 2024）召開的半導體資安趨勢高峰論壇發表演說，指出其核心理念就是「拒絕信任」。</p> <p>他以美國特勤局保護總統的策略來比喻零信任架構，揭示零信任3個核心理念的關鍵要素，企業組織也應該依循這樣的策略，保護資料及網路環境的資產。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=211109&SPOKE_DATE=20241007&COMPANY_ID=3661"><strong style="font-size: 22px;">半導體IC設計業者世芯電子網站遭遇DDoS攻擊</strong></a></p> <p>10月7日上市半導體IC設計公司世芯電子（世芯-KY）在股市公開觀測站發布重大訊息，表示他們的網站受到DDoS攻擊，事發當下立即啟動相關防禦機制，後續網站已恢復正常運作。</p> <p>他們也對這起資安事故可能會造成的衝擊提出說明，根據初步評估，該公司目前無個資或內部檔案外洩情況，對公司營運無重大影響。而對於未來的防護機制改善，世芯表示現行的資安防護機制已足以因應相關攻擊，他們日後將持續密切監控來因應。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=180811&SPOKE_DATE=20241007&COMPANY_ID=3057"><strong style="font-size: 22px;">儲存設備業者喬鼎資訊發布重大訊息，證實遭遇網路攻擊</strong></a></p> <p>本週一（7日）晚間上市儲存設備業者喬鼎資訊於股市公開觀測站發布重大訊息，他們表明遭遇網路攻擊，察覺此起事故後，隨即啟動防護機制，並對受害主機進行隔離。</p> <p>根據他們初步的評估，此事故對於公司營運無重大影響。在這份公告當中，喬鼎並未交代遭遇的資安事故類型、被攻擊的IT基礎設施與原因。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165405"><strong style="font-size: 22px;">微軟發布10月例行更新，修補5個零時差漏洞</strong></a></p> <p>10月8日微軟發布本月例行更新（Patch Tuesday），總共修補117個漏洞，較上個月79個多出不少，也是今年第3次公告超過100個漏洞的情況，其中包含7個權限提升漏洞、7個安全功能繞過漏洞、43個遠端程式碼執行（RCE）漏洞、6個資訊洩漏洞、26個阻斷服務（DoS）漏洞，以及7個能用於欺騙的漏洞。縱觀上述資安弱點，有5個是已被公開的零時差漏洞，而有2個出現實際被利用的情況。</p> <p>這些零時差漏洞分別是：Winlogon權限提升漏洞CVE-2024-43583、MSHTML平臺欺騙漏洞CVE-2024-43573、微軟管理主控臺（MMC）遠端程式碼執行漏洞CVE-2024-43572、Hyper-V安全功能繞過功能繞過漏洞CVE-2024-20659，以及Curl遠端程式碼執行漏洞CVE-2024-6197，CVSS風險評分介於8.8至6.5。</p> <p><a href="https://www.ithome.com.tw/news/165408"><strong style="font-size: 22px;">Ivanti雲端服務設備CSA修補3個零時差漏洞，已出現濫用活動</strong></a></p> <p>Ivanti針對旗下5款產品發布10月份安全性更新，修補資安漏洞。</p> <p>其中最值得留意的是雲端服務應用平臺Cloud Services Appliance（CSA），因為該公司這次公布的3項漏洞CVE-2024-9379、CVE-2024-9380、CVE-2024-9381，已出現部分用戶的系統遭遇漏洞濫用活動。</p> <p>對於這些漏洞遭到利用的情形，該公司指出是執行4.6版（並套用patch 518之前的修補程式）及舊版CSA的用戶遭到鎖定，而且，駭客不光利用上述的漏洞，還串連上個月19日公布的另一個路徑穿越漏洞CVE-2024-8963，CVSS風險評分達到9.4。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2024.html">SAP發布10月例行更新，修補BusinessObjects重大漏洞</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2024.html"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cert-portal.siemens.com/productcert/html/ssa-850560.html">西門子電力監控設備存在重大漏洞，攻擊者有機會輕易得到管理權限</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/okta-fixes-sign-on-policy-bypass-vulnerability/">Okta修補能繞過登入政策的資安漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cacti-network-monitoring-tool-patches-security-flaws-including-rce-vulnerability/">網路監控工具Cacti發布緊急更新，緩解RCE、XSS漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/critical-zero-day-automotive-systems-vulnerabilities-exposed/">車輛電子控制元件ECU存在嚴重漏洞，駭客有可能藉此掌控</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165397"><strong style="font-size: 22px;">零信任之父親臨SEMICON Taiwan 2024，親自導讀零信任架構</strong></a></p> <p>隨著網路安全威脅日益嚴峻，全球政府機構和企業正積極尋求創新方法來保護其數位與實體資產。在這一背景下，零信任架構（Zero Trust）逐漸成為最具影響力的安全戰略之一。全球率先針對零信任架構的提出者、也是現任Illumio傳道士John Kindervag，日前於國際半導體展（SEMICON 2024）召開的半導體資安趨勢高峰論壇，這是他二度訪臺並公開發表演說，也揭露並分享對網路戰爭及零信任架構的深刻見解。</p> <p>零信任在全球資安是顯學，從最初問世至今也已超過14年，但許多人雖然知道這個概念，但在實際宣導與推動仍有落差，John Kindervag這次來臺演講也特別提到4大常見謬誤，提醒大家應正確認識零信任架構。</p> <p>舉例來說，John Kindervag發現：「很多人將零信任與多因素身分驗證（MFA）混為一談，或者認為它只是VPN的替代技術，這是錯誤的觀念。」他進一步解釋，零信任其實是一種戰略理念，能夠適用於任何組織，防止資料洩露並降低網路攻擊的成功率。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165357"><strong style="font-size: 22px;">Google開始釋出安卓裝置的防盜功能</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1007-android theft protection-image by Mishaal Rahman.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1007-android%20theft%20protection-image%20by%20Mishaal%20Rahman.jpg" style="width: 300px; float: right;" /></a>科技記者Mishaal Rahman發現，Google於今年5月發表的安卓裝置防盜功能，已開始向美國用戶釋出，包括防盜鎖（Theft Detection Lock）、離線裝置鎖定（Offline Device Lock），以及遠端鎖定（Remote Lock）等，該公司預計今年內陸續推送給執行Android 10以上版本的裝置。</p> <p>其中，防盜鎖是透過Google AI 來感應是否有人從使用者手中搶走手機並試圖快速離開，如果偵測到竊盜常見的動作，就會快速鎖定螢幕。倘若小偷試圖長時間切關手機的網路，就算是在手機沒電且關機的狀態下，螢幕也會自動鎖定。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165396"><strong>【10月7日】美國水力關鍵基礎設施再傳遭遇網路攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165334"><strong>【10月4日】假借提供AI脫衣程式為誘餌，駭客企圖散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165282"><strong>【10月1日】駭客組織Storm-0501將攻擊範圍延伸到雲端環境</strong></a></p> </div></div></div>
2024/10/9 16:16作者周峻佑https://www.ithome.com.tw/news/165409
Ivanti警告雲端服務設備CSA有3個零時差漏洞已被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二（8日）Ivanti針對旗下裝置管理平臺Endpoint Manager Mobile（EPMM）、雲端服務應用平臺Cloud Services Appliance（CSA）、SSL VPN系統Connect Secure等多項解決方案發布<a href="https://www.ivanti.com/blog/october-2024-security-update">10月份安全性更新</a>，修補資安漏洞。</p> <p>其中最值得留意的是CSA，因為這次該公司公布的3項漏洞CVE-2024-9379、CVE-2024-9380、CVE-2024-9381，已被用於實際的攻擊行動，他們也確認有部分用戶福遭遇漏洞攻擊的情況。</p> <p>對於這些漏洞遭到利用的情形，該公司指出是執行4.6版（並套用patch 518之前的修補程式）及舊版CSA的用戶遭到鎖定，而且，駭客不光利用上述的漏洞，還串連上個月19日公布的另一個<a href="https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-4-6-Cloud-Services-Appliance-CVE-2024-8963">路徑穿越漏洞CVE-2024-8963</a>，CVSS風險評分達到9.4。</p> <p>值得留意的是<a href="https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-Cloud-Services-Appliance-CVE-2024-9379-CVE-2024-9380-CVE-2024-9381">本次公告的3個項漏洞</a>類型不盡相同，CVE-2024-9379是SQL注入漏洞，CVE-2024-9380為作業系統命令注入漏洞，至於CVE-2024-9381則是路徑穿越漏洞，CVSS風險介於6.5至7.2分。雖然駭客針對的是舊版CSA，但Ivanti指出，5.0版也存在這些弱點。</p> <p>該公司也提供用戶檢查是否遭到入侵的方法，包含確認是否出現新的管理者帳號，或是透過事件記錄資料進行調查，若是企業有部署EDR系統，他們也建議藉由這類資安系統的警示訊息進行釐清。</p> </div></div></div>
2024/10/9 16:08作者周峻佑https://www.ithome.com.tw/news/165408
微軟發布10月例行更新，修補5個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月8日微軟發布本月例行更新（Patch Tuesday），<a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Oct">總共修補117個漏洞</a>，較上個月79個多出不少，也是今年第3次公告超過100個漏洞的情況，其中包含7個權限提升漏洞、7個安全功能繞過漏洞、43個遠端程式碼執行（RCE）漏洞、6個資訊洩漏洞、26個阻斷服務（DoS）漏洞，以及7個能用於欺騙的漏洞。縱觀上述資安弱點，有5個是已被公開的零時差漏洞，而有2個出現實際攻擊行動。</p> <p>這些零時差漏洞分別是：Winlogon權限提升漏洞CVE-2024-43583、MSHTML平臺欺騙漏洞CVE-2024-43573、微軟管理主控臺（MMC）遠端程式碼執行漏洞CVE-2024-43572、Hyper-V安全功能繞過功能繞過漏洞CVE-2024-20659，以及Curl遠端程式碼執行漏洞CVE-2024-6197，CVSS風險評分介於8.8至6.5。</p> <p>至於已出現攻擊行動的零時差漏洞，是指CVE-2024-43573、CVE-2024-43572。而CVE-2024-43573最令人擔心，因為這項漏洞涉及棄用的IE 11排版引擎MSHTML，影響Windows眾多作業系統版本（不含Windows Server 2008、Windows Server 2008 R2、Windows Server 2012），微軟指出除Edge的IE模式會存取MSHTML平臺，也有其他應用程式可能會藉由特定控制項存取而曝險，但該公司並未透露更多細節，後續有待研究人員進一步調查。</p> <p>另一個也被用於攻擊的漏洞是CVE-2024-43572，微軟同樣未透露細節，以及駭客如何利用漏洞？他們只提到，本次更新可防堵用戶不慎開啟惡意Microsoft Saved Console（MSC）檔案的情況。</p> <p>究竟駭客如何利用這些漏洞？微軟並未說明。</p> </div></div></div>
2024/10/9 14:31作者周峻佑https://www.ithome.com.tw/news/165405
跟上OpenAI腳步，Anthropic發表Message Batches API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI主要競爭對手之一的Anthropic，在本周發表了<a href="https://www.anthropic.com/news/message-batches-api" target="_blank">Message Batches API</a>，以供開發者異步處理大量查詢，宣稱其成本比調用標準API便宜了50%，對於那些非時間敏感的任務而言更具成本效益。至於OpenAI已於今年4月，推出同樣號稱可節省50%成本的<a href="https://www.ithome.com.tw/news/162504" target="_blank">Batch API</a>。</p> <p>Anthropic說明，藉由Message Batches API，開發人員每批次可送出最多1萬個查詢，且每批次的處理時間不到24小時，成本比調用標準API少了50%。</p> <p>Message Batches API現為公開測試版，可支援Claude 3.5 Sonnet、Claude 3 Opus 與 Claude 3 Haiku，Amazon Bedrock上的Claude用戶可使用批次推論，並即將支援Google Cloud Vertex AI上的Claude用戶。</p> <p>Anthropic解釋，開發人員經常利用Claude來處理大量資料，例如分析客戶意見或是翻譯語言，但這些任務並不需要即時回應，現在透過Message Batches API可一次提交1萬個查詢，享有50%的折扣，儘管表訂24小時內處理，但通常會快得多，此一服務將讓許多過去認為成本太高的應用變得可行，例如分析企業的所有文件。</p> <p>在Claude 3.5 Sonnet中使用Message Batches API，輸入100萬個Token的費用為1.5美元，輸出100萬個Token的費用為7.5美元，在Claude 3 Opus中的價格分別是7.5美元與37.5美元，在Claude 3 Haiku中的價格則是0.125美元與0.625美元。</p> <p>至於OpenAI的Batch API<a href="https://openai.com/api/pricing/" target="_blank">價格</a>比Anthropic的Message Batches API更便宜，以最高階的GPT-4o模型為例，輸入100萬個Token的費用為1.25美元，輸出100萬個Token的費用為5美元。不過，Claude模型所支援的脈絡長度為200K，GPT-4o則是128K。</p> </div></div></div>
2024/10/9 14:53作者陳曉莉https://www.ithome.com.tw/news/165406
卡巴斯基證實關閉英國辦公室，裁員數十人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在撤出美國市場3個月後，Techcrunch<a href="https://techcrunch.com/2024/10/08/kasperksy-says-its-closing-down-its-uk-office-and-laying-off-dozens/" target="_blank">報導</a>，卡巴斯基計畫關閉英國分公司並裁減數十名員工。</p> <p>卡巴斯基英國分公司向媒體證實將結束運作，並把業務轉給合作夥伴。該公司表示此舉可讓他們「更有效管理英國的業務機會，強化整體業務活力」，並說客戶和合作夥伴都能通暢聯繫其歐洲團隊，以及合作夥伴網路。</p> <p>卡巴斯基倫敦辦公室有少於50名的員工。</p> <p>這是這家防毒業者繼7月退出美國市場後，第二個撤收業務的西方國家。美國指控卡巴斯基威脅國安，下令終止銷售。之後卡巴斯基將美國客戶<a href="https://www.ithome.com.tw/news/164886" target="_blank">轉給</a>了當地業者UltraAV。</p> <p>此後是一連串令用戶挫折的事。雖然已發出通知，但9月初卡巴斯基自我刪除並在用戶電腦上安裝了UltraAV，仍引發用戶抱怨未經同意擅自行動。另外，雖然還是有用戶想在Android上使用卡巴斯基防毒，無奈Google疑似下了殺手鐧，將之從Google Play Store<a href="https://www.ithome.com.tw/news/165348" target="_blank">下架</a>。</p> </div></div></div>
2024/10/9 13:41作者林妍溱https://www.ithome.com.tw/news/165403
Adobe即將推出免費的Content Authenticity服務，以驗證內容出處與真實性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Adobe本周<a href="https://news.adobe.com/news/2024/10/aca-announcement" target="_blank">宣布</a>，即將在明年第一季推出免費的Content Authenticity服務，以供創作者於自己的作品中添加內容憑證（Content Credentials），也能設定是否可用來訓練AI模型的偏好。</p> <p>Adobe解釋，<a href="https://contentcredentials.org/" target="_blank">內容憑證</a>如同數位內容的營養標籤，任何人都可在自己的作品中加入該憑證，憑證中可註明作品名稱、作者、出版日期、所使用的工具、是否利用AI，以及歷史紀錄等。也可於憑證中設定生成式AI的訓練及使用偏好，以拒絕被用來訓練AI模型。</p> <p>該公司曾經調查創作者對生成式AI的看法，發現有91%的創作者正在尋求一種可靠的方法來替他們的作品署名，也有56%的創作者擔心自己的作品，在未經同意下被用來訓練生成式AI模型。</p> <p>此一內容憑證是基於內容出處暨真實性聯盟（Coalition for Content Provenance and Authenticity，C2PA）所開發及維護的開放技術，日前<a href="https://www.ithome.com.tw/news/162803" target="_blank">TikTok</a>即宣布支援內容憑證，以自動辨識及標記由AI生成的內容（AI-generated content，AIGC）。</p> <p>儘管包括TikTok，或者是Adobe的Photoshop、Lightroom與Firefly等應用都已支援內容憑證，但目前市場上支援內容憑證的應用並不多，因此，屆時Adobe也會發表支援Chrome瀏覽器的Content Credentials擴充程式，也會在Content Authenticity服務中提供Inspect工具，以恢復或顯示內容憑證，包括編輯歷史紀錄。</p> <p>Adobe強調，源自於Content Authenticity服務的內容憑證將與使用者的作品保持安全連結，就算有人刪除了作品出處，或者是只憑作品的螢幕截圖，都能藉由數位指紋、無形浮水印，以及加密簽署的元資料等技術來恢復其內容憑證。</p> </div></div></div>
2024/10/9 14:12作者陳曉莉https://www.ithome.com.tw/news/165404
Uber駕駛App將導入AI助理推廣低碳運輸，明年先在美國上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在減碳風潮下，<a href="https://www.uber.com/newsroom/gogetzero-2024/" target="_blank">Uber本周宣布</a>將在2025年開始，透過OpenAI的聊天機器人回答Uber駕駛人關於電動車的疑問。</p> <p>本周二在Go-Get Zero大會上，Uber宣布一系列減碳措施，包括推出純電或油電混合車服務，在40餘國提供純電動車服務、個人減碳計算機、Uber Eats推出當地農作物製作的餐點等服務。</p> <p>Uber表示現在北美和歐洲已經有18萬名合作駕駛使用電動車。另外，為了推廣Uber駕駛人改換成電動車，Uber也在駕駛人App中加入以OpenAI GPT-4o為基礎的AI助理，為駕駛人回答關於電動車的問題，包括在高溫或日曬下行駛電動車的安全疑慮。</p> <p>Uber<a href="https://www.reuters.com/technology/artificial-intelligence/uber-launch-ai-assistant-powered-by-openais-gpt-4o-help-drivers-go-electric-2024-10-08/" target="_blank">告訴媒體</a>，這AI聊天機器人服務預計2025年初在美國推出，之後會再擴及其他地區。此外，除了回答電動車問題，Uber明年也會逐步擴大聊天機器人的用途。</p> <p>Uber已積極擁抱AI於企業流程。上個月分別公布提供給用戶和合作夥伴的生成式AI服務，包括開發類似OpenAI的<a href="https://www.linkedin.com/in/tsechiwang/" target="_blank">GenAI Gateway</a>，讓內部員工使用自建及外部的LLM，以生成式AI執行流程自動化、客服、或內容生成等60種作業場景，同時基於OpenAI技術的普及，Uber也允許員工使用OpenAI API</p> <p>Uber另外也公布了<a href="https://www.uber.com/en-TW/blog/query-gpt/" target="_blank">QueryGPT</a>允許開發工程師以自然語言進行資料庫SQL查詢，開發廣告、行動應用或核心服務。</p> </div></div></div>
2024/10/9 12:52作者林妍溱https://www.ithome.com.tw/news/165401
X向巴西法院低頭以解除封鎖令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在封鎖X月餘之後，巴西法院終於在周二（10/8）<a href="https://noticias.stf.jus.br/postsnoticias/stf-autoriza-o-retorno-imediato-do-x-e-determina-que-anatel-adote-providencias-para-a-retomada-do-servico/" target="_blank">宣布將重新放行X</a>，原因是X已同意遵守巴西政府的規定。</p> <p>巴西最高法院法官Alexandre de Moraes在今年8月30日下令全面<a href="https://www.ithome.com.tw/news/164808" target="_blank">封鎖X</a>，並凍結X在巴西的資產。雙方的恩怨來自於Moraes調查巴西前任總統Jair Bolsonaro拒絕承認落選並出走的事件中，X所有人馬斯克（Elon Musk）拒絕封鎖Bolsonaro支持者在X上的帳號；接著Moraes揚言要逮捕X在巴西的法定代理人，X卻直接解散巴西辦公室，並繼續於巴西提供服務；馬斯克還拒絕指定新的代理人，同時批評Moraes是個獨裁者。然後X就被封鎖了。</p> <p>在這期間，巴西還規定民眾不得透過VPN存取X，而X則<a href="https://www.ithome.com.tw/news/165074" target="_blank">藉由</a>改用Cloudflare的服務來繞過巴西的封鎖。</p> <p>總之，現在X已同意封鎖某些帳號，指派了一個在巴西的法定代理人，同時也已支付高達510萬美元的罰款，因而得以重返巴西市場，巴西國家通訊管理局Anatel已接到指示，準備在24小時內恢復X的服務。</p> <p>根據Statista今年4月的調查，X的前兩大市場為美國與日本，用戶數分別超過1億及6,000萬，而巴西也是X的主要市場之一，與印度、印尼及英國都擁有超過2,000萬名的X用戶。</p> </div></div></div>
2024/10/9 12:56作者陳曉莉https://www.ithome.com.tw/news/165402
兩位機器學習先鋒John Hopfield與Geoffrey Hinton獲得諾貝爾物理獎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瑞典皇家科學院（The Royal Swedish Academy of Sciences ）<a href="https://www.nobelprize.org/prizes/physics/2024/press-release/" target="_blank">本周二（10/8）宣布</a>，將2024的諾貝爾物理獎授予現年91歲的John Hopfield，以及76歲的Geoffrey Hinton，以表彰他們以人工神經網路實現機器學習的基礎發現與發明。</p> <p>瑞典皇家科學院表示，當人們在談論人工智慧（AI）時，指的通常是使用人工神經網路的機器學習，此一技術最初是受到大腦結構的啟發，在人工神經網路中，大腦的神經元是由不同值的節點來表現，節點之間透過連結來相互影響，如同大腦中的突觸，並可調整連結的強弱。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1009-The%20Nobel%20Prize%20in%20Physics%202024-Machine%20learning-image%20credit%EF%BC%9AJohan%20Jarnestad%EF%BC%8FThe%20Royal%20Swedish%20Academy%20of%20Sciences.png" style="width: 600px;" /></p> <p><a href="https://www.nobelprize.org/prizes/physics/2024/popular-information/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／© Johan Jarnestad/The Royal Swedish Academy of Sciences</span></span></a></p> <p>此一神經網路經過訓練，例如在同時具備高值的節點之間建立更強的連結。今年的兩位獲獎者從1980年代便開始從事重要的人工神經網路任務。</p> <p>其中，Hopfield是著名的理論物理學家及神經科學家，曾建立開創性的Hopfield網路，以一種特殊的方式來儲存與重建模式（Pattern）。Hopfield利用物理學中描述材料特性的理論，其特性來自原子自旋，每個原子就像是一個微小磁鐵，Hopfield網路的運作方式類似物理學自旋系統中的能量，並透過調整節點之間的連結值進行訓練，以低能量保存圖像。</p> <p>因此，當Hopfield網路接受到一個扭曲或不完整的圖像時，它會漸次更新節點的值，降低網路的總能量，逐步找出與所輸入圖像最相似的已儲存圖像，完成圖像的重建。</p> <p>簡單地說，Hopfield網路是透過物理學中能量最小化的過程來進行自我組織與學習，成為之後許多深度學習研究的靈感來源。</p> <p>至於Hinton則以Hopfield網路為基礎，利用統計物理學的工具，以不同的方式建立了Boltzmann機器網路，能夠自動學習以辨識資料中的特徵。此一機器的訓練方式是，供應它那些實際運作時最可能出現的各種例子，可用來分類圖像，或是創造出與其訓練模式相似的例子。Hinton的研究推動了機器學習的爆炸性發展，並贏得了AI教父的美名。</p> <p>對機器學習貢獻巨大的Hinton<a href="https://www.nytimes.com/2023/05/01/technology/ai-google-chatbot-engineer-quits-hinton.html" target="_blank">在去年離開</a>了任職十多年的Google，原因是他認為AI可能對人類帶來重大危害，當時他<a href="https://x.com/geoffreyhinton/status/1652993570721210372" target="_blank">透過X表示</a>，紐約時報的報導暗示他的離開是為了方便批評Google，但事實上他離開是為了可以在不顧及Google的情況下談論AI的風險，Google已經是家很負責的公司。</p> <p>被譽為AI教父，甚至因此獲得諾貝爾獎的Hinton其實參與了許多抑制AI發展的倡議，例如<a href="https://calltolead.org/" target="_blank">他署名贊成</a>美國加州的AI法案SB 1047。該法案的目的是為了確保AI模型的安全及可控性，要求開發者必須設計一個能夠完全關閉模型的能力，而且必須由第三方稽核模型的安全性，不過，此一法案已被州長Gavin Newsom<a href="https://www.ithome.com.tw/news/165248" target="_blank">否決</a>，檯面上的原因是該法令只針對大規模模型，而忽略小模型所帶來的危害。</p> <p>Hopfield與Hinton將可平分1,100萬瑞典克朗（約110萬美元）的獎金。</p> </div></div></div>
2024/10/9 11:09作者陳曉莉https://www.ithome.com.tw/news/165399
導入零信任架構的五步驟：從內向外的安全策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>零信任架構（Zero Trust）的實施並非一蹴而就，需要循序漸進的部署。</p> <p>零信任架構的提出者、也是現任Illumio傳道士John Kindervag表示，零信任的實施可以分成五個步驟，這些步驟目的在於在簡化安全流程，確保系統的每個保護面得到充分保護。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1203-%E9%9B%B6%E4%BF%A1%E4%BB%BB%E4%B9%8B%E7%88%B6(1).png" style="width: 548px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>步驟1：定義保護面，確認DAS元素</strong></span></span></p> <p>導入零信任的第一步是：明確定義需要保護的核心資產、最具有價值的保護標的為何，就是「保護面」（Protect Surface）。</p> <p>這些保護標的就是所謂的DAS元素，包括：資料、應用、資產和服務的縮寫。</p> <p>他指出，許多組織或企業在部署安全措施時，往往未能確定具體的保護標的，而是依賴於現有的安全產品。</p> <p>他認為，這種「從外向內」的安全保護方式很容易失敗，因為它忽視了內部核心資產的精確保護需求。</p> <p>所以，零信任強調「從內向外」的設計理念，要求組織首先要確定哪些是關鍵資產，再圍繞這些資產，進一步建構安全防護措施。</p> <p>他舉例說明，許多企業會認為，零信任就是透過採購不同的資安產品，就可以達到零信任架構的目標。</p> <p>但問題的根源在於，不管買哪些產品，企業要保護的標的到底是什麼呢？</p> <p>「只要是'無法確認保護標的為何，這個所謂的零信任就會失敗。」John Kindervag說，必須要先確認保護的資料或是資產是什麼，之後就會再以此為核心，往外設計。</p> <p>零信任架構最關鍵就是要保護這些核心資產，但並不是要試圖保護整個網路。他認為，這種方式大大提高了安全防護的精確度，並降低潛在風險。</p> <p>他說：「我們必須一次處理一個保護面。」許多人導入零信任架構會失敗的原因在於，因為他們試圖「一次性」實施零信任，但這是不可能的。</p> <p>零信任架構成功的關鍵在於：必須可以將零信任架構，分解為「小而可管理」的部分來實施。</p> <p>John Kindervag舉例表示，如果房子在正在翻修，通常是一次翻修一個房間，不會一次找來800個朋友，請朋友週末來幫忙房屋翻修工作。</p> <p>他認為，一次完成一個房間，也是在零信任中應該做的事情，一次完成一個保護面。</p> <p>「當你理解了自己在保護什麼標的之後，下一步，你需要了解這個系統如何作為一個整體運作。」他說。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>步驟2：繪製交易流</strong></span></span></p> <p>John Kindervag認為，在實施零信任之前，必須全面了解系統的交易流，因為只有在理解這些流動的基礎上，才能準確地設計出合適的安全策略，以保護每個保護面，「所以，必須先理解系統如何協同工作，才能做到這一點。」他說。</p> <p>他曾經看過某些公司系統完全崩潰，不在於零信任架構出問題，而是系統營運者不懂系統是如何運作的。</p> <p>John Kindervag以德州一家COBOL Cowboys軟體顧問公司為例，COBOL是許多金融業、老舊大型主機系統還在使用的程式語言，但現在許多工程師不懂COBOL，一旦遇到問題，企業會尋求COBOL Cowboys這類程式語言專家，提供協助。</p> <p>不過，他也坦白表示，這些COBOL專家其實多數都已經非常年長，未來倘若這些專家都過世的時候，當系統一旦出包，沒有這些年長的COBOL專家幫忙時，又該由誰提供協助呢？</p> <p>所以，他認為，繪製交易流（Map the Transaction Flows）的主要目的就是，為了深入理解系統中各個組成部分之間的交互和資料流動，了解這些交易流之間的依賴關係，並確定從起點到終點的每條交易流路徑的風險分析等。</p> <p>「通過了解交易流，組織能夠更好地識別可能的風險點以及如何最有效地保護資產。」他說。</p> <p>而這些內容包括：資料的傳輸方式、應用程序之間的通信，以及每個用戶或設備如何存取特定資源等。</p> <p>最終，就是幫助企業深入理解它們的應用和資料流動，以便設計出精細的安全策略，確保對每個流進行嚴格的控制和管理。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>步驟3：設計零信任環境</strong></span></span></p> <p>John Kindervag認為，零信任架構的實施過程需要分階段進行，而不是一口氣完成，這過程則與翻修房子類似，一次只專注於一個房間，確保每個部分都得到妥善處理。</p> <p>他指出，如果企業或組織嘗試同時處理所有的保護面，只會導致混亂與失敗；但若透過逐步實施，企業和組織可以逐步完善其安全策略，從而實現更加可靠的網路保護。</p> <p>因為每個零信任架構的環境，都必須針對「保護面」量身打造，絕對不是一個通用的方案。</p> <p>若以美國特勤局對美國總統的保護政策來看，這是針對總統本人量身訂做的保護策略，並且會依照總統所在不同地方而有不同的保護策略，對於保護總統的安全，特勤局並沒有一套「通用」的保護策略。</p> <p>「設計零信任環境（Architect a Zero Trust environment）」這個步驟，是整個零信任實施過程中的核心部分，目的是將對交易流（Transaction Flows）的理解，轉化為具體的安全架構，規畫並建構合適的技術、安全策略和管理方法，確保網絡中的每個元素都能根據零信任的原則得到保護，最大限度地減少信任帶來的風險，確保所有資產和交易流的安全性，以實現全方位的零信任安全保護，</p> <p>如何針對不同保護面，設計不同的保護方案呢？</p> <p>首先，可以在每個「保護面」周圍設計微型周界（Micro-Perimeters），將保護目標和周邊的其他系統隔離開來，對每一個保護面進行精細的控制和保護，以減少不必要的攻擊面。</p> <p>其次，選擇合適技術來實現安全控制，包括多因素身分驗證（MFA）、微分割（Micro-Segmentation）、加密技術、身分與存取管理（IAM）等，來確保每個資產和交易流都得到了合適的保護。</p> <p>第三，設計一個政策自動化與應用的架構，使得系統能夠基於預定的安全政策，自動做出允許或拒絕的決定。這樣的政策應根據每個保護面的特定需求，結合對用戶、設備、應用程序的存取需求和風險評估，進行精細化設計。</p> <p>第四，確保所有的保護面都能夠被持續地監控，並且可以即時反應異常活動或潛在的威脅，讓這些管理和監控系統，能夠提供完整的可視性，並能根據即時資料，快速應對網路事件。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>步驟4：制定零信任策略</strong></span></span></p> <p>John Kindervag 的制定零信任策略（Create Zero Trust Policy），是整個零信任架構中至關重要的一步，零信任的核心原則，即「永不信任，始終驗證」，目的就是通過設計一套精細、動態且基於風險的存取控制政策，來確保組織內部所有的資料、資產和應用的安全性。</p> <p>他進一步指出，零信任是一組粒度細緻的允許規則，組織或企業則會根據個人的工作職能角色，來允許他們可以存取的資源。</p> <p>這個步驟目的是，為組織內的資料、應用、資產或服務（DAS元素），按照最小權限（Least Privilege）和「始終驗證」的原則，建立一套嚴格且細緻的存取控制政策，從而最大限度地減少安全風險，並且提高網絡的整體安全性，以保護每一個「保護面」。</p> <p>而零信任的策略是二進制的，對於每個請求，都只有「允許」或者「拒絕」這兩種結果；零信任策略也是動態的，系統會根據當前的情境，例如用戶的身分、設備的狀態、位置、行為模式等，動態地調整存取控制策略，可以根據風險狀況，對某些存取進行額外的驗證或限制，確保系統安全性。</p> <p>至於這些制定的零信任政策，則必須套用在防火牆等網路設備中，並做到自動化執行和即時回應，確保相關政策和網路設定政策一致，也降低人為錯誤的風險。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>步驟5：持續監控與維護</strong></span></span></p> <p>John Kindervag提出的零信任架構中，第五個也是最後一個導入步驟就是持續監控與維護（Monitor and Maintain），目的是通過不斷的監控、資料收集和分析確保系統的安全策略能夠動態應對各種威脅，並且根據新的風險情況對策略，進行調整和維護，以保持整個系統的安全。</p> <p>具體作法上，即時監控所有的交易流和存取行為，以確保可以符合先前制定的安全策略，包括：使用者的身分驗證、設備狀態，以及應用程式之間的互動，透過持續監控，組織才能發現不正常活動或可能的安全威脅，及時應對。</p> <p>在監控過程中，系統收集包括網路流量、設備狀態、使用者行為等資訊，可以協助組織用來了解並分析網路內部動態，並做出相對應的防禦措施；同時，根據監控分析結果，動態調整並優化安全策略，以因應新的威脅和風險。</p> <p>此外，在監控基礎上，建立自動化回應機制，以便即時發現異常活動。例如，系統檢測到某個設備異常時，可以自動啟動限制存取，或是啟用額外的驗證程序，以減少人工介入的時間和誤差。</p> <p>John Kindervag推動零信任架構最重要的使命就是，讓各界關注的焦點，從身分認證轉向分割技術（Segmentation），因為，分割技術是啟動零信任旅程的關鍵技術，身分認證雖然重要，但是還是次要的。</p> <p>他解釋，通過網路分割、縮小信任範圍的方式，可以做到最大限度地降低攻擊面，並提高安全性的目的。</p> <p>他指出，網路分割使得網路不再是一個單一、易於攻擊的大範圍，而是被劃分為若干小型、精細化控制的「保護面」，每個保護面都有自己的微型周界和安全控制措施，而所有的存取，都需要根據動態的策略進行驗證。</p> <p>而這樣的設計，不僅能夠減少攻擊者的入侵機會和橫向移動風險，還能確保每一個資產的安全性得到保障，真正實現「永不信任，始終驗證」的零信任原則。因此，網路分割也成為零信任架構中不可或缺且基礎的部分。</p> <p><a href="https://www.ithome.com.tw/news/165397" target="_blank"><strong><span style="color:#FFFFFF;"><span style="font-size:22px;"><span style="background-color:#3399ff;"> 相關報導 </span> </span></span><span style="color:#3399ff;"><span style="font-size:22px;">零信任之父第一手導讀零信任架構</span></span></strong></a></p> </div></div></div>
2024/10/9 10:12作者黃彥棻https://www.ithome.com.tw/news/165398
【回歸根本定義，捍衛網路戰爭的無形防線】零信任之父第一手導讀零信任架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著網路安全威脅日益嚴峻，全球政府機構和企業正積極尋求創新方法來保護其數位與實體資產。在這一背景下，零信任架構（Zero Trust）逐漸成為最具影響力的安全戰略之一。全球率先針對零信任架構的提出者、也是現任Illumio傳道士John Kindervag，日前於國際半導體展（SEMICON 2024）召開的半導體資安趨勢高峰論壇，這是他二度訪臺並公開發表演說，也揭露並分享他對網路戰爭及零信任架構的深刻見解。</p> <p>現代戰爭的範圍之廣，已經遠遠超越傳統的陸海空領域，隨著全球依賴數位基礎設施，網路空間成為空中、海洋、太空、陸地之外的第五個戰爭領域，全球的軍事、執法機構和企業，每天都在應對這場無形的戰爭。</p> <p>John Kindervag強調，我們每天都在與網路戰爭對抗，從事網路安全的專業人士，並非只是維護簡單的防火牆IT設備，或進行日常的防毒軟體更新，而是每天都在對抗一個無形但強大的敵人，是一場關鍵的全球戰役。</p> <p>「每天你所做的事都對全球的安全有深遠的影響，應該為自己的工作感到驕傲，因為這是一場與威脅全球安全息息相關的戰爭。」他說。</p> <p>John Kindervag被譽為「零信任之父」，早在2010年9月14日，便發表了第一篇關於零信任的文章，正式提出這一資訊安全架構。</p> <p>他回憶當時的情況：「當時沒有人認真看待零信任，很多人認為這個想法過於天馬行空，甚至是不可能實現的。」但他堅信，這是正確的方向，因為他後來又進行了兩年的研究，並建立了一個零信任的原型環境。</p> <p>時至今日，零信任已成為全球網路安全戰略的重要支柱，也是網路安全的致勝策略。John Kindervag表示，零信任架構以「拒絕信任」為核心理念，要求所有系統、用戶和設備的信任等級都設定為「零」，從而有效地降低了網路攻擊成功的可能性。</p> <p>2021年，美國總統拜登在一次演講提到：「聯邦政府必須推進零信任架構，並加快向安全雲服務的過渡。」這一政策要求美國各政府機構設立零信任計劃辦公室，並指派專責經理來推動該策略的落實。</p> <p>John Kindervag便提到，他與美國政府的合作不僅限於聯邦層級，還涉及軍事領域，包括與美國軍事導彈防禦局討論如何將零信任應用於軍事設施及系統的保護上。</p> <p>「這不僅僅是保護我們的網路資產，因為這些資產與實體世界緊密相連，必須同時受到保護。」他說。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>零信任架構過去大家曾懷疑可行性，如今成為全球共識</strong></span></span></p> <p>John Kindervag身為全球第一個提出零信任架構的發起人，若回顧零信任架構的起源，可以溯及2010年9月14日，當時這一理念首次被提出時，並未引起太大的關注。</p> <p>他說，最初發表零信任架構的演講，當時僅有14人參加，許多人覺得這個理念過於激進，甚至難以實施；然而，他在經過兩年的深入研究並獲得一些企業的支持，逐步完善了這一安全戰略。</p> <p>但即便如此，零信任當時依舊是曲高和寡的資訊安全架構，直到2021年5月12日這一天，美國總統拜登發表聲明，要求聯邦政府全面推行零信任架構並且重視雲端安全之後，零信任架構瞬間成為全球重要的資安框架。</p> <p>這也意味著，零信任理念從邊緣進入主流，還促使美國政府各部門紛紛設立零信任專責部門及管理辦公室，開啟了政府層面的零信任安全計畫。</p> <p>「零信任架構不僅僅是保護數位資產，它同樣涉及保護實體設施，這一點在與美國導彈防禦局的合作中體現得尤為明顯。」John Kindervag指出，網路威脅與實體設施日益相關，任何數位攻擊都有可能轉化為實體威脅，對於軍事和政府機構更為如此。</p> <p>零信任架構與傳統安全模式不同，零信任消除了內部系統的固有信任，拒絕信任傳統系統的任何內外部設備或用戶，無論內部網路還是外部設備，都必須接受相同的安全策略監控，並且對於每個用戶、設備和應用程式，設置了同樣嚴格的驗證和授權要求。</p> <p>John Kindervag表示，「很多人將零信任與多因素身分驗證（MFA）混為一談，或者認為它只是VPN的替代技術，這是錯誤的觀念。」</p> <p>他進一步解釋，零信任其實是一種戰略理念，能夠適用於任何組織，防止資料洩露並降低網路攻擊的成功率。</p> <p><strong><span style="color:#FFFFFF;"><span style="font-size:22px;"><span style="background-color:#333333;"> 零信任架構常見的4大謬誤（False）</span></span></span></strong><br /> <span style="font-size:18px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#333333;"> 零信任是讓系統變得可信。（Zero Trust means making a system trusted.） </span><br /> <span style="background-color:#333333;"> 零信任是關於身分驗證的。（Zero trust is about identity.） </span><br /> <span style="background-color:#333333;"> 市場上有零信任的產品。（There are zero trust products.） </span><br /> <span style="background-color:#333333;"> 零信任非常複雜（Zero trust is complicated） </span></span></strong></span><br /> <span style="font-size:14px;"><span style="color:#696969;">資料來源： Illumio傳道士John Kindervag，iThome整理，2024年10月</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>打破傳統信任模型，零信任成應對內外威脅的新標準</strong></span></span></p> <p>傳統的信任模型是「內外有別」，對於內部和外部的信任程度並不一樣，這種方式在過去也主導了網路安全的策略。</p> <p>然而，隨著內部網路和外部攻擊者的界限逐漸模糊，傳統的信任模型已經無法有效應對日益複雜的網路威脅。</p> <p>在零信任架構中，每一個數位行為──無論是來自內部還是外部──都被視為潛在的風險，這意味著所有的流量、設備和用戶，都必須被持續監控和驗證。</p> <p>透過這種方式，可防止攻擊者進入系統後的進一步擴展權限，從而有效降低了資料洩露的風險。</p> <p>「人類的信任是一種情感聯繫，但在數位世界中，這種信任應該被完全消除。數位系統中的一切只是資料，沒有情感，只有0和1。」John Kindervag強調，信任只應存在人與人的互動，而不是機器與機器的通信。</p> <p>隨著零信任的理念逐漸被全球政府和企業所接受，這一資安架構也不斷地演進和擴展。特別是隨著美國政府積極推行零信任政策，許多國家和跨國大企業也開始跟隨這一趨勢，並將零信任作為防禦網路攻擊的核心策略之一。</p> <p>零信任不僅適用於網路資產的保護，還涵蓋對實體設施的安全保障，這一點在美國政府與導彈防禦局的合作中，也得到驗證。</p> <p>他表示，隨著現代網路與實體設施的深度整合，如今的網路威脅，正逐漸演變為直接影響實體安全的風險。</p> <p>零信任的另一個核心理念在於「分權管理」，目的就是為了防止過度授權所造成的內部安全風險。</p> <p>過去，許多企業和政府機構的授權管理上存在過度信任，這使得內部威脅成為了網路安全的重大隱患。</p> <p>他也特別提出曼寧（Chelsea Manning）和斯諾登（Edward Snowden）的案例說明，前者將超過70萬份美國國防部和國務院的機密文件，洩露給維基解密（WikiLeaks）；後者則向《衛報》和《華盛頓郵報》的記者洩露了大量的機密文件，揭露美國國家安全局針對全球互聯網通信和電話記錄的全球監控計畫。</p> <p>這些內部威脅者，原本是系統中的「可信用戶」，擁有多重身分驗證措施，但由於缺乏對資料流量的監控，他們最終成功竊取大量敏感資料。</p> <p>「這些案例揭露了傳統網路安全模式中的致命漏洞，意即進入系統後就可以自由存取的權限。」John Kindervag說。</p> <p>「零信任的核心不僅在於身分驗證，而是基於身分驗證來決定用戶是否應該被授予存取權限。」他指出，這正是零信任架構與傳統安全策略的根本區別。</p> <p>零信任架構在技術上被一些人視為複雜的安全實施，但實際上，它的理念非常簡單。</p> <p>John Kindervag表示，他的好友Greg Tuhill將軍、被美國歐巴馬總統任命為美國首任美國聯邦首席資訊安全長便曾提及：「為什麼人們總是讓零信任聽起來那麼複雜。」</p> <p>對此John Kindervag提出回應，他表示，這可能是因為人們喜歡把事情變複雜，才會顯得他們更加聰明。</p> <p>但事實上，零信任的理念是直觀且易於理解的。因為，他認為，零信任的簡單性，恰恰就是它的力量所在。</p> <p>他總結說道，只要可以正確理解零信任架構的基本原則，就可以作為一個強大的武器，幫助政府和企業在網路戰爭中，立於不敗之地。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>用特勤局保護美國總統的策略來比喻零信任</strong></span></span></p> <p>為了能夠更好地理解零信任架構，John Kindervag透過美國特勤局如何保護總統的方式，進行比喻。</p> <p>他表示，特勤局的保護過程也揭示了零信任三個核心理念的關鍵要素，也適用於網路安全中保護資料和資產的方式。</p> <p>首先，特勤局始終知道「誰是總統」，這意味著他們不需要發現總統的存在，因為總統是他們全程保護的焦點。</p> <p>這一點對應了零信任的概念中，必須先清楚了解需要保護的資產對象，並且無需多次驗證其存在。</p> <p>其次，特勤局清楚總統的具體位置，知道「總統在哪裡」，確保在整個過程中不會弄丟總統。</p> <p>這一點在零信任中對應的是資產的可視性，意即需要時刻掌握資料和關鍵資產的流向，並保證它們在預期的範圍內。</p> <p>最後，特勤局嚴格控制「誰可以接近總統」，確保只有通過審查的人員才能靠近總統。</p> <p>這與零信任中的授權過程類似，強調每個存取的請求都需要被精確審核，並根據具體需求進行動態管理。</p> <p>這三個要素構成了零信任的核心，他表示，在充分理解這些原則後，零信任看起來就不會那麼複雜，而是極其嚴謹的保護策略。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1203-ZTA-600-1.png" style="width: 590px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;"><strong>Illumio傳道士John Kindervag以美國特勤局保護美國總統為例，解釋零信任的核心概念，那就是知道「誰是總統」、「總統在哪裡」以及「誰可以接近總統」。</strong>（攝影／黃彥棻）</span></span></p> <p>深入分析特勤局的工作方式，可用來進一步說明零信任的內涵。</p> <p>當我們看到特勤局人員執勤，有些人可能看起來只是站著，拉緊了外套，並未進行實際的保護工作，然而，這實際上是一種「安全劇場」（Security Theater）。</p> <p>所謂安全劇場，是指那些看似保護措施的行為，實際上並沒有發揮任何實際保護作用，這類似於一些企業所採取的、僅具表面作用的安全策略。</p> <p>相反的，真正的安全措施，是在更隱蔽且精確的位置進行的，這就是零信任中的「保護面」（Protect Surface），就是需要集中保護的關鍵資產範圍，這也是零信任的核心概念之一。</p> <p>許多網路安全討論都集中在如何管理「攻擊面」（Attack Surface），但事實上，攻擊面不斷擴大，猶如無窮無盡的宇宙，幾乎無法完全控制。</p> <p>因此，與其嘗試縮小攻擊面，不如將焦點轉向保護面，這一思路轉變，有助於企業集中力量保護最核心的資產，避免資源分散。</p> <p>舉例來說，特勤局的保護對象並非每位民眾或整個城市，而僅限於總統及其家人，而這樣的保護策略，非常類似零信任的做法，重點在於精準保護，而不是試圖一網打盡，避免所有風險。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>零信任運作強調動態權限與最小授權</strong></span></span></p> <p>特勤局的保護措施不僅靠近總統這個「保護面」，還建立緊密環繞在總統周圍的「微型邊界」（Micro-Perimeter），促使控制更為精確。</p> <p>這意味著在零信任架構下，對於特定資產、資料或應用，要設置更精細化的安全邊界，以確保更嚴格的存取控制。</p> <p>不過，在傳統的網路安全策略中，這種微型邊界周邊的控制措施通常放在外圍，例如：防火牆或端點裝置的安全工具，這些地方與真正要保護的資產相距太遠，從而產生「滯留時間」（Dwell Time），滯留時間是指：攻擊者成功入侵系統後，尚未被發現的時間。</p> <p>長時間的滯留，會給攻擊者提供更多時間進行橫向移動，最終可能導致資料洩露。</p> <p>而John Kindervag表示，零信任透過可視性和持續驗證，大大縮短了滯留時間，使得攻擊者無法長期隱匿於系統內。</p> <p>在零信任模型中，可以隨時查看系統中發生的所有行為，針對所有存取請求，只有允許或拒絕兩種結果。</p> <p>這種二進制的安全策略，意味著系統從最初，就不允許任何不受信任的行為進入，不是在事後試圖阻止潛在的威脅。</p> <p>以美國特勤局的保護策略為例，只有經過特殊許可的特定探員可以接近總統，而保護總統的具體工具，如專車「野獸」，僅僅是交通工具，並不是保護的核心。他說，無論總統處於什麼環境，核心的保護策略始終不變。</p> <p>同樣的，在零信任的框架下，則會通過動態的安全策略即時監控環境變化，不斷更新政策來應對潛在的威脅；特勤局也會即時更新威脅情報，通知相關人員進行應對，這類動態反應的策略與零信任所提倡的精準控制理念，不謀而合。</p> <p>零信任的關鍵特徵是基於「需要知道」原則動態授予權限。在這個模式下，並不是試圖通過各種被動的安全措施阻止攻擊，而是從一開始就拒絕所有未經授權的請求，並只允許符合條件的存取。</p> <p>舉例而言，當總統乘坐專車時，只有兩位特勤局探員可以接近他，這樣的精確控制符合零信任的「最小授權原則」，每位接觸資料或系統的使用者，都必須根據角色和任務，分配最小的存取權限，這樣可以最大程度降低內部風險。</p> <p>而John Kindervag認為，這一動態授權過程的最大挑戰是：保持系統的精確可視性，只有清楚掌握每個存取請求的背景與目的時，才能根據具體需求來靈活調整授權策略，從而實現對內外部威脅的即時防護。</p> <p>雖然許多人認為零信任是一個複雜的安全體系，但它的核心理念其實非常簡單。正如John Kindervag所說，這種安全模型只是基於「信任最小化」的基本原則進行設計，並不像傳統的安全技術那樣試圖解決所有問題。</p> <p>通過將每個安全控制措施緊密圍繞在最需要保護的資產周圍，零信任大大降低了系統受到攻擊的風險。他表示，這不是一個技術上的複雜策略，而是應用簡單且嚴格的原則來防止潛在的威脅。</p> <p><span style="color:#B22222;"><strong><span style="font-size:28px;">零信任架構的理念強調「永不信任，始終驗證」</span></strong></span></p> <p>隨著網路攻擊的頻率與複雜度不斷增長，零信任逐漸成為全球安全策略的核心框架之一，像是美國政府在其聯邦網路安全政策，便已經全面採用零信任作為防禦的主要模式，其他也有許多國際大企業和其他國家，開始將這一架構納入其安全防護計畫中。</p> <p>隨著全球網路環境的不斷變化，零信任將在未來的安全框架中扮演愈加重要的角色，傳統的安全防護模式，已經無法應對日益複雜的網路威脅，這使得零信任架構成為當今網路安全的關鍵解決方案之一。</p> <p>隨著各種資料外洩事件頻繁發生，John Kindervag表示，企業對於資料保護的需求變得越來越迫切，而零信任不僅適用於資料保護，還可以靈活應對實體基礎設施的安全需求。</p> <p>在過去幾年中，也發生數起重大資料外洩事件，這些事件則揭露了傳統安全措施的缺陷，並強調零信任架構的重要性。</p> <p>例如，某個大型企業的S3雲端資料庫，因為配置錯誤導致資料外洩，根據訴訟文件的顯示，這並非是單純的技術失誤，而是由於公司高層，故意放鬆了安全限制，以便能夠加快開發進度。</p> <p>John Kindervag認為，這種錯誤的安全觀念就暴露出，企業過度依賴傳統安全措施的風險，他也強調了，零信任架構對於保護企業核心資料、資產的必要性。</p> <p>正如美國特勤局保護總統的策略一般，零信任架構同樣關注「保護面」的安全。</p> <p>這種方式，要求組織不僅僅是保護整個網路，而是專注於具體的資料、應用、資產或服務，確保這些核心資產得到最嚴格的保護。</p> <p>他強調，零信任架構的理念強調「永不信任，始終驗證」，將每個進入網路的使用者或設備視為潛在威脅。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>導入零信任架構的五步驟：從內向外的安全策略</strong></span></span></p> <p>零信任架構的實施並非一蹴而就，需要循序漸進的部署。</p> <p>John Kindervag表示，零信任的實施可以分成五個步驟，這些步驟目的在於在簡化安全流程，確保系統的每個保護面得到充分保護。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1203-ZTA-600-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;"><strong>Illumio傳道士John Kindervag分享導入零信任架構的五個步驟，而這套流程是針對企業量身打造，並且強調反脆弱性（Antifragile），意味著系統在面對挑戰時會變得更有韌性。</strong>（攝影／黃彥棻）</span></span></p> <p><span style="color:#0000CD;"><strong>步驟1：定義保護面，確認DAS元素</strong></span></p> <p>導入零信任的第一步是：明確定義需要保護的核心資產、最具有價值的保護標的為何，就是「保護面」（Protect Surface）。</p> <p>這些保護標的就是所謂的DAS元素，包括：資料、應用、資產和服務的縮寫。</p> <p>他指出，許多組織或企業在部署安全措施時，往往未能確定具體的保護標的，而是依賴於現有的安全產品。</p> <p>他認為，這種「從外向內」的安全保護方式很容易失敗，因為它忽視了內部核心資產的精確保護需求。</p> <p>所以，零信任強調「從內向外」的設計理念，要求組織首先要確定哪些是關鍵資產，再圍繞這些資產，進一步建構安全防護措施。</p> <p>他舉例說明，許多企業會認為，零信任就是透過採購不同的資安產品，就可以達到零信任架構的目標。</p> <p>但問題的根源在於，不管買哪些產品，企業要保護的標的到底是什麼呢？</p> <p>「只要是'無法確認保護標的為何，這個所謂的零信任就會失敗。」John Kindervag說，必須要先確認保護的資料或是資產是什麼，之後就會再以此為核心，往外設計。</p> <p>零信任架構最關鍵就是要保護這些核心資產，但並不是要試圖保護整個網路。他認為，這種方式大大提高了安全防護的精確度，並降低潛在風險。</p> <p>他說：「我們必須一次處理一個保護面。」許多人導入零信任架構會失敗的原因在於，因為他們試圖「一次性」實施零信任，但這是不可能的。</p> <p>零信任架構成功的關鍵在於：必須可以將零信任架構，分解為「小而可管理」的部分來實施。</p> <p>John Kindervag舉例表示，如果房子在正在翻修，通常是一次翻修一個房間，不會一次找來800個朋友，請朋友週末來幫忙房屋翻修工作。</p> <p>他認為，一次完成一個房間，也是在零信任中應該做的事情，一次完成一個保護面。</p> <p>「當你理解了自己在保護什麼標的之後，下一步，你需要了解這個系統如何作為一個整體運作。」他說。</p> <p><span style="color:#0000FF;"><strong>步驟2：繪製交易流</strong></span></p> <p>John Kindervag認為，在實施零信任之前，必須全面了解系統的交易流，因為只有在理解這些流動的基礎上，才能準確地設計出合適的安全策略，以保護每個保護面，「所以，必須先理解系統如何協同工作，才能做到這一點。」他說。</p> <p>他曾經看過某些公司系統完全崩潰，不在於零信任架構出問題，而是系統營運者不懂系統是如何運作的。</p> <p>John Kindervag以德州一家COBOL Cowboys軟體顧問公司為例，COBOL是許多金融業、老舊大型主機系統還在使用的程式語言，但現在許多工程師不懂COBOL，一旦遇到問題，企業會尋求COBOL Cowboys這類程式語言專家，提供協助。</p> <p>不過，他也坦白表示，這些COBOL專家其實多數都已經非常年長，未來倘若這些專家都過世的時候，當系統一旦出包，沒有這些年長的COBOL專家幫忙時，又該由誰提供協助呢？</p> <p>所以，他認為，繪製交易流（Map the Transaction Flows）的主要目的就是，為了深入理解系統中各個組成部分之間的交互和資料流動，了解這些交易流之間的依賴關係，並確定從起點到終點的每條交易流路徑的風險分析等。</p> <p>「通過了解交易流，組織能夠更好地識別可能的風險點以及如何最有效地保護資產。」他說。</p> <p>而這些內容包括：資料的傳輸方式、應用程序之間的通信，以及每個用戶或設備如何存取特定資源等。</p> <p>最終，就是幫助企業深入理解它們的應用和資料流動，以便設計出精細的安全策略，確保對每個流進行嚴格的控制和管理。</p> <p><span style="color:#0000FF;"><strong>步驟3：設計零信任環境</strong></span></p> <p>John Kindervag認為，零信任架構的實施過程需要分階段進行，而不是一口氣完成，這過程則與翻修房子類似，一次只專注於一個房間，確保每個部分都得到妥善處理。</p> <p>他指出，如果企業或組織嘗試同時處理所有的保護面，只會導致混亂與失敗；但若透過逐步實施，企業和組織可以逐步完善其安全策略，從而實現更加可靠的網路保護。</p> <p>因為每個零信任架構的環境，都必須針對「保護面」量身打造，絕對不是一個通用的方案。</p> <p>若以美國特勤局對美國總統的保護政策來看，這是針對總統本人量身訂做的保護策略，並且會依照總統所在不同地方而有不同的保護策略，對於保護總統的安全，特勤局並沒有一套「通用」的保護策略。</p> <p>「設計零信任環境（Architect a Zero Trust environment）」這個步驟，是整個零信任實施過程中的核心部分，目的是將對交易流（Transaction Flows）的理解，轉化為具體的安全架構，規畫並建構合適的技術、安全策略和管理方法，確保網絡中的每個元素都能根據零信任的原則得到保護，最大限度地減少信任帶來的風險，確保所有資產和交易流的安全性，以實現全方位的零信任安全保護，</p> <p>如何針對不同保護面，設計不同的保護方案呢？</p> <p>首先，可以在每個「保護面」周圍設計微型周界（Micro-Perimeters），將保護目標和周邊的其他系統隔離開來，對每一個保護面進行精細的控制和保護，以減少不必要的攻擊面。</p> <p>其次，選擇合適技術來實現安全控制，包括多因素身分驗證（MFA）、微分割（Micro-Segmentation）、加密技術、身分與存取管理（IAM）等，來確保每個資產和交易流都得到了合適的保護。</p> <p>第三，設計一個政策自動化與應用的架構，使得系統能夠基於預定的安全政策，自動做出允許或拒絕的決定。這樣的政策應根據每個保護面的特定需求，結合對用戶、設備、應用程序的存取需求和風險評估，進行精細化設計。</p> <p>第四，確保所有的保護面都能夠被持續地監控，並且可以即時反應異常活動或潛在的威脅，讓這些管理和監控系統，能夠提供完整的可視性，並能根據即時資料，快速應對網路事件。</p> <p><span style="color:#0000FF;"><strong>步驟4：制定零信任策略</strong></span></p> <p>John Kindervag 的制定零信任策略（Create Zero Trust Policy），是整個零信任架構中至關重要的一步，零信任的核心原則，即「永不信任，始終驗證」，目的就是通過設計一套精細、動態且基於風險的存取控制政策，來確保組織內部所有的資料、資產和應用的安全性。</p> <p>他進一步指出，零信任是一組粒度細緻的允許規則，組織或企業則會根據個人的工作職能角色，來允許他們可以存取的資源。</p> <p>這個步驟目的是，為組織內的資料、應用、資產或服務（DAS元素），按照最小權限（Least Privilege）和「始終驗證」的原則，建立一套嚴格且細緻的存取控制政策，從而最大限度地減少安全風險，並且提高網絡的整體安全性，以保護每一個「保護面」。</p> <p>而零信任的策略是二進制的，對於每個請求，都只有「允許」或者「拒絕」這兩種結果；零信任策略也是動態的，系統會根據當前的情境，例如用戶的身分、設備的狀態、位置、行為模式等，動態地調整存取控制策略，可以根據風險狀況，對某些存取進行額外的驗證或限制，確保系統安全性。</p> <p>至於這些制定的零信任政策，則必須套用在防火牆等網路設備中，並做到自動化執行和即時回應，確保相關政策和網路設定政策一致，也降低人為錯誤的風險。</p> <p><span style="color:#0000FF;"><strong>步驟5：持續監控與維護</strong></span></p> <p>John Kindervag提出的零信任架構中，第五個也是最後一個導入步驟就是持續監控與維護（Monitor and Maintain），目的是通過不斷的監控、資料收集和分析確保系統的安全策略能夠動態應對各種威脅，並且根據新的風險情況對策略，進行調整和維護，以保持整個系統的安全。</p> <p>具體作法上，即時監控所有的交易流和存取行為，以確保可以符合先前制定的安全策略，包括：使用者的身分驗證、設備狀態，以及應用程式之間的互動，透過持續監控，組織才能發現不正常活動或可能的安全威脅，及時應對。</p> <p>在監控過程中，系統收集包括網路流量、設備狀態、使用者行為等資訊，可以協助組織用來了解並分析網路內部動態，並做出相對應的防禦措施；同時，根據監控分析結果，動態調整並優化安全策略，以因應新的威脅和風險。</p> <p>此外，在監控基礎上，建立自動化回應機制，以便即時發現異常活動。例如，系統檢測到某個設備異常時，可以自動啟動限制存取，或是啟用額外的驗證程序，以減少人工介入的時間和誤差。</p> <p>John Kindervag推動零信任架構最重要的使命就是，讓各界關注的焦點，從身分認證轉向分割技術（Segmentation），因為，分割技術是啟動零信任旅程的關鍵技術，身分認證雖然重要，但是還是次要的。</p> <p>他解釋，通過網路分割、縮小信任範圍的方式，可以做到最大限度地降低攻擊面，並提高安全性的目的。</p> <p>他指出，網路分割使得網路不再是一個單一、易於攻擊的大範圍，而是被劃分為若干小型、精細化控制的「保護面」，每個保護面都有自己的微型周界和安全控制措施，而所有的存取，都需要根據動態的策略進行驗證。</p> <p>而這樣的設計，不僅能夠減少攻擊者的入侵機會和橫向移動風險，還能確保每一個資產的安全性得到保障，真正實現「永不信任，始終驗證」的零信任原則。因此，網路分割也成為零信任架構中不可或缺且基礎的部分。</p> </div></div></div>
2024/10/9 06:00作者黃彥棻https://www.ithome.com.tw/news/165397
【資安日報】10月8日，美國水力關鍵基礎設施再傳遭遇網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年針對美國水力設施發動攻擊的情況不時傳出，例如：去年底<a href="https://www.ithome.com.tw/news/160133">伊朗駭客Cyber Av3ngers攻擊賓州阿里奎帕市水務局</a>，理由是該機構採用以色列自動化控制業者Unitronics的系統而成為目標；今年4月，<a href="https://www.ithome.com.tw/news/162507">德州小鎮供水系統傳出因遭到攻擊而失控</a>，資安業者Mandiant指出，很有可能是俄羅斯駭客Sandworm所為。這些事故多半針對地方供水系統而來，如今有橫跨14個州的業者American Water遭到網路攻擊而引起關注。</p> <p>值得留意的是，雖然該公司強調營運並未受到影響，但其網站至截稿為止並未恢復正常，實際影響有待觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165388"><strong style="font-size: 22px;">美國公用事業American Water傳出遭駭客入侵</strong></a></p> <p>專門供水及廢水處理服務的美國公用事業American Water Works（American Water）在10月3日發現遭到駭客入侵，宣稱其供水或廢水設施，或是營運都沒有收到影響，但迄今該公司網站與MyWater服務都尚未恢復正常。</p> <p>American Water在美國14個州提供服務，涉及1,700個社區與1,400萬名人口，擁有340萬個客戶，從住宅、商業、消防、工業、政府設施到廢水公用事業等，於美國紐約股市掛牌。American Water周一（7日）才於官網公布被駭消息，接著官網就關閉了，當天股價下滑3.91%，以136.99美元作收。</p> <p>根據American Water提交給美國證券交易委員會的文件，以及網際網路檔案館（Internet Archive）的存檔，該公司是在10月3日於電腦網路及系統中發現未經授權的活動，並確定是資安事故。</p> <p><a href="https://www.ithome.com.tw/news/165394"><strong style="font-size: 22px;">樂高網站遭入侵，駭客竄改內容從事加密貨幣詐騙</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/hacked-by-crypto-scammers-v0-ligqawktiusd1-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/hacked-by-crypto-scammers-v0-ligqawktiusd1-1.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，上週五（4日）有人入侵樂高網站，並置換其內容，聲稱樂高正式推出加密貨幣，若是及時下單還會有額外回饋。然而，這一切都是騙局，若是使用者依照指示下單，就會被帶往加密貨幣平臺Uniswap進行交易，使用以太坊購買「樂高貨幣」，然而樂高並未發行加密貨幣，因此這樣的情況很有可能導致用戶血本無歸。</p> <p>這起事故最早是社群網站Reddit樂高版版主mescad察覺並提出警告，他指出這起事故大約發生在10月4日美國東部時間（EDT）晚間9時，他們向該公司通報此事，網站直到10時15分網站才復原。mescad強調，樂高並未發行加密貨幣，這顯然是詐騙。</p> <p>對此，樂高也證實確有此事，有未經授權的橫幅廣告短暫出現在他們的網站，後來不久就遭到刪除。該公司強調，沒有使用者的帳號被盜用的跡象，他們也查明事故發生的原因，並採取相關措施防止再度發生。不過，究竟網站如何被置入詐騙廣告，樂高並未提出說明。</p> <p><a href="https://www.ithome.com.tw/news/165360"><strong style="font-size: 22px;">駭客偽裝成求職者散布後門程式More_eggs</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/MDR_More_eggs_Backdoor-Fig4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/MDR_More_eggs_Backdoor-Fig4.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露假借求職名義向企業散布JavaScript後門程式More_eggs的攻擊行動，在其中一起攻擊行動裡，駭客組織FIN6鎖定正在徵求銷售工程師的企業下手，但研究人員也發現有旅館業者受害的情況。</p> <p>駭客在8月下旬以John Cboins的名義，透過Gmail向目標企業高階主管寄送釣魚郵件，值得留意的是，這封信件並未包含附件或是URL，很有可能是為了得到主管的信任，隨後，進行徵才的主管，會因為目前尚無法查出的理由，利用Chrome瀏覽器連到一個網址下載履歷檔案John Cboins.zip。</p> <p>研究人員指出，在他們調查的過程裡，這個URL連向的網站看起來就像一般求職者架設，內容包含姓名、電子郵件信箱，以及履歷檔案的下載連結，特別的是，「履歷」必須通過圖靈驗證才能下載。</p> <p><a href="https://www.ithome.com.tw/news/165370"><strong style="font-size: 22px;">SQL Server遭鎖定，駭客得逞後運用遠端管理工具GotoHTTP進行控制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/9HtGwMLc4hspUuuSQK8jwc2zSMi1jFT1QdNfWPxc.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/9HtGwMLc4hspUuuSQK8jwc2zSMi1jFT1QdNfWPxc.png" style="width: 300px; float: right;" /></a></p> <p>鎖定微軟SQL Server伺服器下手的攻擊行動，不時有事故傳出，但過往多半會聚焦在攻擊者如何入侵這種關聯式資料庫，如今有研究人員發現，駭客對於後續如何持續存取受害主機的方法，也出現了變化。</p> <p>由於這種應用系統通常會架設在Windows伺服器，駭客在攻擊行動裡往往會濫用遠端管理工具進行後續活動，其中最常見的是AnyDesk、TeamViewer，但在近期資安業者AhnLab揭露的攻擊行動裡，駭客罕見地使用了GotoHTTP。</p> <p><a href="https://www.ithome.com.tw/news/165391"><strong style="font-size: 22px;">Unix列印套件CUPS漏洞可被用於發動DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/october-cups-ddos-threat-one.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/october-cups-ddos-threat-one.jpg" style="width: 300px; float: right;" /></a></p> <p>9月底資安研究員Simone Margaritelli揭露Unix通用列印系統（Common UNIX Printing System，CUPS）一系列漏洞CVE-2024-47076、CVE-2024-47175、CVE-2024-47176、CVE-2024-47177，並指出攻擊者有機會藉此遠端存取含有弱點的Unix及Linux系統，執行任意程式碼，如今有其他研究人員指出，這些漏洞還能被用於發動DDoS攻擊。</p> <p>資安業者Akamai指出，他們確認這些漏洞有新的利用方法，那就是只要發送單一的特製封包，攻擊者就有機會將存在漏洞、曝露在網際網路的CUPS系統用來發動DDoS攻擊。</p> <p>根據他們的調查，網際網路上有超過19.8萬臺裝置存在相關漏洞，其中有超過5.8萬臺能被用於DDoS攻擊，換言之，平均每三臺存在漏洞的裝置，就有一臺能被駭客拿來發動DDoS攻擊。這些有漏洞的CUPS系統，有不少仍在執行相當舊的版本，因此，資安威脅風險不容小覷。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://nsfocusglobal.com/over-300000-gorillabot-the-new-king-of-ddos-attacks/">殭屍網路Gorilla發動超過30萬次DDoS攻擊，範圍橫跨100個國家</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/stonefly-north-korea-extortion">北韓駭客Andariel針對美國企業組織發動勒索軟體攻擊</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-rv34x-privesc-rce-qE33TCms">已終止維護的思科小型企業路由器存在高風險漏洞，可被用於提升權限或遠端執行程式碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/critical-apache-avro-sdk-flaw-allows.html">Apache Avro軟體開發套件存在高風險漏洞，攻擊者有機會遠端於Java應用程式執行任意程式碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.incibe.es/en/incibe-cert/notices/aviso/multiple-vulnerabilities-scriptcase">Scriptcase低階程式碼開發平臺存在10分重大漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165358"><strong style="font-size: 22px;">幫使用者過濾釣魚網站，Google搜尋測試藍勾勾功能</strong></a></p> <p></p> <p>科技新聞網站The Verge發現，Google正在實驗可用來驗明正身的藍勾勾，在搜尋引擎結果中，包括微軟、蘋果、Meta、Epic Games、Amazon及HP的官網連結旁邊，都出現藍勾勾，可用來確認這些網站的身分，並協助使用者過濾網釣網站。</p> <p>Google在藍勾勾上說明，此一標記只是為了證實該企業是它所宣稱的企業，並不代為保證該企業或其產生的可靠性。而Google則向The Verge解釋，該公司是利用網站驗證、Merchant Center資料及人工審核等因素來辨別網站的真偽。</p> <p>值得留意的是，目前該服務僅為小規模部署的實驗，並不確定能否成為正式功能。</p> <p><a href="https://www.ithome.com.tw/news/165274"><strong style="font-size: 22px;">M365端點防護可偵測不安全的Wi-Fi網路，並提供VPN保護連線內容</strong></a></p> <p>微軟近日宣布，個人版Microsoft 365提供的資安防護服務Microsoft Defender for Individuals，現在已可偵測不安全或可疑的Wi-Fi網路，並提醒使用者，使用者則可在接到通知後，啟用VPN功能來保護連線。</p> <p>此功能可自動偵測不安全的W-Fi網路，像是那些安全機制較薄弱的公共Wi-Fi熱點，或能利用啟發式分析，來檢查可疑的Wi-Fi網路，如訊號強度、加密類型或是連線過程中有否不尋常行為，在偵測到奇怪網路時就會通知使用者，並建議他們啟用VPN。但值得留意的是，該公司提供的VPN服務Privacy Protection僅能在美國、英國、加拿大、德國、印度、法國使用，尚未對亞洲地區開放。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165334"><strong>【10月4日】假借提供AI脫衣程式為誘餌，駭客企圖散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165282"><strong>【10月1日】駭客組織Storm-0501將攻擊範圍延伸到雲端環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165259"><strong>【9月30日】Unix與Linux普遍內建的列印系統CUPS存在重大漏洞</strong></a></p> </div></div></div>
2024/10/8 17:26作者周峻佑https://www.ithome.com.tw/news/165396
Unix列印套件CUPS漏洞可被用於發動DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月底資安研究員Simone Margaritelli揭露<a href="https://www.ithome.com.tw/news/165257">Unix通用列印系統（Common UNIX Printing System，CUPS）一系列漏洞</a>CVE-2024-47076、CVE-2024-47175、CVE-2024-47176、CVE-2024-47177，並指出攻擊者有機會藉此遠端存取含有弱點的Unix及Linux系統，執行任意程式碼，如今有其他研究人員指出，這些漏洞還能被用於發動DDoS攻擊。</p> <p>資安業者Akamai指出，<a href="https://www.akamai.com/blog/security-research/october-cups-ddos-threat">他們確認這些漏洞有新的利用方法</a>，那就是只要發送單一的特製封包，攻擊者就有機會將存在漏洞、曝露在網際網路的CUPS系統用來發動DDoS攻擊。</p> <p>根據他們的調查，網際網路上有超過19.8萬臺裝置存在相關漏洞，其中有超過5.8萬臺能被用於DDoS攻擊，換言之，平均每三臺存在漏洞的裝置，就有一臺能被駭客拿來發動DDoS攻擊。這些有漏洞的CUPS系統，有不少仍在執行相當舊的版本，因此，資安威脅風險不容小覷。</p> <p>研究人員指出，雖然遠端執行程式碼造成的危害較為嚴重，但DDoS放大攻擊因為很容易操作，而有可能成為駭客廣泛利用的手法。</p> <p>究竟攻擊者如何利用這些CUPS漏洞發動DDoS攻擊？他們可向CUPS發送惡意的UDP封包，其中的惡意酬載指揮CUPS，能夠向指定目標傳送IPP或HTTP請求，當cups-browsed嘗試擷取URI下載IPP組態檔案的過程中，就會觸發漏洞。</p> <p>由於上述的組態檔案（PPD檔）攻擊者可隨意修改，研究人員發現他們可將有效酬載填充到989個位元組，攻擊者在HTTP標頭及導向受害系統的POST資料當中，執行2次填充作業。而在這種填充作業進行的過程中，攻擊者就有機會消耗受害網路環境頻寬，從而放大DDoS攻擊造成的影響。</p> <p>經過實際測試，其中部分CUPS伺服器收到請求後會重覆發送Beacon；也有一些會不斷回傳HTTP 404錯誤訊息。研究人員認為，這代表此漏洞利用的DDoS攻擊手法放大效應相當顯著。</p> <p>他們評估上述5.8萬臺裝置若發動DDoS，將可造成1至6 Gbps的攻擊流量，雖然這樣的規模並不算大，但仍會導致受害系統應接不暇的狀況，因為它們瞬間需處理約260萬個TCP連線及HTTP請求。</p> </div></div></div>
2024/10/8 15:49作者周峻佑https://www.ithome.com.tw/news/165391
樂高網站遭入侵，駭客竄改內容從事加密貨幣詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據資安新聞網站Bleeping Computer報導，<a href="https://www.bleepingcomputer.com/news/security/legos-website-hacked-to-push-cryptocurrency-scam/">上週五（4日）有人入侵樂高網站</a>，並置換其內容，聲稱樂高正式推出加密貨幣，若是及時下單還會有額外回饋。然而，這一切都是騙局，若是使用者依照指示下單，就會被帶往加密貨幣平臺Uniswap進行交易，使用以太坊購買「樂高貨幣」，然而樂高並未發行加密貨幣，因此這樣的情況很有可能導致用戶血本無歸。</p> <p>這起事故最早是<a href="https://www.reddit.com/r/lego/comments/1fwfp1z/comment/lqeagw6/">社群網站Reddit樂高版版主mescad察覺並提出警告</a>，他指出這起事故大約發生在10月4日美國東部時間（EDT）晚間9時，他們向該公司通報此事，網站直到10時15分網站才復原。mescad強調，樂高並未發行加密貨幣，這顯然是詐騙。</p> <p>對此，樂高也證實確有此事，有未經授權的橫幅廣告短暫出現在他們的網站，後來不久就遭到刪除。該公司強調，沒有使用者的帳號被盜用的跡象，他們也查明事故發生的原因，並採取相關措施防止再度發生。不過，究竟網站如何被置入詐騙廣告，樂高並未提出說明。</p> </div></div></div>
2024/10/8 16:46作者周峻佑https://www.ithome.com.tw/news/165394
駭客鎖定SQL Server下手，得逞後運用遠端管理工具GotoHTTP進行控制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定微軟SQL Server伺服器下手的攻擊行動，不時有事故傳出，但過往多半會聚焦在攻擊者如何入侵這種關聯式資料庫，如今有研究人員發現，駭客對於後續如何持續存取受害主機的方法，也出現了變化。</p> <p>由於這種應用系統通常會架設在Windows伺服器，駭客在攻擊行動裡往往會濫用遠端管理工具進行後續活動，其中最常見的是AnyDesk、TeamViewer，但在近期<a href="https://asec.ahnlab.com/en/83283/">資安業者AhnLab揭露的攻擊行動裡</a>，駭客罕見地使用了GotoHTTP。</p> <p>這些駭客先是尋找使用弱密碼，而且曝露於網際網路的SQL Server下手，成功入侵便部署CLR SqlShell，此作案工具功能類似駭客攻擊網頁伺服器的Web Shell，能讓攻擊者控制SQL Server並執行各式惡意行為。</p> <p>接著，駭客使用whoami.exe、systeminfo.exe、netstat.exe進行偵察，收集網路資訊，然後植入PetitPotato、SweetPotato、JuicyPotato等工具提升權限，並藉由惡意程式竄改現有帳號的密碼，或是新增用於遠端存取的使用者帳號。</p> <p>值得留意的是，這些駭客最終部署了GotoHTTP，並存取該遠端管理系統的組態檔案gotohttp.ini，來進行後續攻擊行動。研究人員指出，這起攻擊事故突顯駭客傾向改用合法的遠端管理軟體，透過使用者介面進行後續控制，再者，駭客不再只是偏好使用AnyDesk，而是開始物色其他同類型的應用程式，使得相關攻擊變得更難捉摸。</p> </div></div></div>
2024/10/7 17:04作者周峻佑https://www.ithome.com.tw/news/165370
Word有一個臭蟲會在企圖存檔時將檔案刪除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周揭露了一個<a href="https://support.microsoft.com/en-us/office/locally-saved-word-files-with-capitalized-file-extensions-or-in-the-title-may-be-deleted-after-save-5e28f8c2-32d0-487b-b237-9c7c74d25f84" target="_blank">Word臭蟲</a>，只要檔案的名稱包含諸如.DOCX與.RTF等大寫的副檔名，或者是含有特殊符號#時，在編輯文件之後，關閉Word並選擇存檔時，檔案即會被刪除。但此一情況在先儲存檔案再關閉Word時並不會發生。</p> <p class="rtecenter"><a href="http://support.microsoft.com/en-us/office/locally-saved-word-files-with-capitalized-file-extensions-or-in-the-title-may-be-deleted-after-save-5e28f8c2-32d0-487b-b237-9c7c74d25f84" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1008-word%20issue%20bug.png" style="width: 500px;" /></a></p> <p>解決方法包括從回收站中尋找並恢復遭到刪除的檔案，或是在關閉Word之前先存檔。根據微軟的測試，當使用者點擊右上方的X按鈕要關閉Word，接著系統跳出提示詢問是否要儲存檔案，若使用者按下儲存，檔案可能就會被刪除。</p> <p>另一個方法是在檔案~>選項~>存檔中，啟用「透過鍵盤捷徑開啟或儲存檔案時不顯示Backstage」的選項，也能避免檔案被刪除的事件發生。</p> <p>還有其它使用者建議可以改用更早之前的Office或Word版本。另一名使用者則說，該公司所使用的ERP軟體所生成的檔案，其副檔名預設值就是大寫的.DOCX，但只要把它們改成小寫字母就好了。</p> </div></div></div>
2024/10/8 14:26作者陳曉莉https://www.ithome.com.tw/news/165386
美國公用事業American Water遭駭客入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供水及廢水處理服務的美國公用事業American Water Works（American Water）在10月3日發現遭到駭客入侵，宣稱其供水或廢水設施，或是營運都沒有收到影響，但迄今該公司的<a href="https://www.amwater.com/" target="_blank">官網</a>與MyWater服務都還未恢復正常。</p> <p>American Water在美國14個州提供服務，涉及1,700個社區與1,400萬名人口，擁有340萬個客戶，從住宅、商業、消防、工業、政府設施到廢水公用事業等，於美國紐約股市掛牌。American Water周一（10/7）才於官網公布被駭消息，接著官網就關閉了，當天股價下滑3.91%，以136.99美元作收。</p> <p>根據American Water提交給美國證券交易委員會的<a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0001410636/f39167f1-1f3c-432a-969d-8cf1ad0d99f4.pdf" target="_blank">文件</a>，以及網際網路檔案館（Internet Archive）的<a href="https://web.archive.org/web/20241007151349/https://www.amwater.com/corp/security-faq" target="_blank">存檔</a>，該公司是在10月3日於電腦網路及系統中發現未經授權的活動，並已確定是網路安全事件。</p> <p>當時該公司立即切關某些系統與網路的連結，並停用某些系統，同時將用來管理該公司水資源的MyWater服務下線，同時與第三方網路安全專家合作，以遏制及緩解攻擊行動，同時調查事件的性質與範圍，亦聯繫了執法機構。</p> <p>American Water強調，並無任何供水或廢水設施，或者是相關營運受到此一事件的影響，用戶仍可安全飲用該公司所供應的水，MyWater的下線意謂著將停止計費，而且不會向用戶收取滯納金，或是關閉所使用的服務。</p> <p>目前American Water仍在調查整起事件，尚不確定用戶的資料是否外洩。</p> </div></div></div>
2024/10/8 14:43作者陳曉莉https://www.ithome.com.tw/news/165388
與Google、Meta打對臺，TikTok發布AI廣告工具Smart+
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>TikTok新推出由人工智慧驅動的<a href="https://newsroom.tiktok.com/en-us/tiktok-is-building-for-the-future-with-smart-plus">自動化廣告解決方案Smart+</a>，協助廣告主改進廣告投放流程提高成效。該工具可自動化定位受眾、選擇素材、決定出價策略以及測量成效，在精準接觸目標受眾的同時，強化廣告內容互動。目前廣告市場中，Google的Performance Max和Meta的Advantage+也提供類似的自動化廣告解決方案，Smart+推出讓廣告主有額外的工具選擇。</p> <p>Smart+利用TikTok平臺上大量的用戶行為資料，透過人工智慧自動分析並選擇最佳受眾，讓廣告能展示給最相關的用戶。廣告主只需要輸入素材、預算和目標，Smart+便會自動化整個廣告投放過程，包括受眾定位、創意素材選擇以及出價策略調整等，降低廣告主在TikTok上投放廣告的複雜性與門檻。</p> <p>此外，Smart+提供多種廣告活動選擇，像是可推動網頁流量的Web Campaigns、自動推薦商品的Catalog Ads，可增加應用程式安裝的App Campaigns，以及透過互動轉換高價值客戶的Lead Generation Campaigns。TikTok指出，廣告主使用Smart+投資報酬率提升可達52％，成本下降50％，轉換率增加47％。</p> <p>廣告市場競爭激烈，Google與Meta也已有類似由人工智慧驅動的自動化廣告工具，分別是Performance Max和Advantage+。Google Performance Max為多通路自動化投放工具，整合搜尋、YouTube、Gmail與Google多媒體廣告聯播網等通路，透過人工智慧自動調整廣告組合和出價策略，廣告主只需提供廣告素材和預算，Performance Max便能達成行銷目標。</p> <p>而Meta的Advantage+則是專注於臉書和Instagram等自家社交平臺的廣告投放，同樣廣告主只需提供基本素材和目標，Advantage+便會利用使用者社交行為資料和興趣標籤，替廣告主提供自動化素材選擇和受眾定位，動態最佳化廣告組合和出價策略。TikTok Smart+的優勢在於掌握龐大的TikTok使用者，深入融合平臺內容生態，特別是在短影音內容互動上，提供廣告主額外的廣告投放選擇。</p> <p>除了Smart+之外，TikTok還推出三項工具來改進廣告和零售成效。GMV Max是自動化TikTok Shop廣告活動工具，可自動選擇受眾、出價和提供創意，目的是提升商家銷售。Out of Phone:Retail則是把線上內容帶入實體店面，在店內提供數位廣告的解決方案，而Conversion Lift Studies（CLS）則可用於評估廣告活動的轉換影響，提供精確的成效測量，協助廣告主掌握廣告投資成果。</p> </div></div></div>
2024/10/8 11:57作者李建興https://www.ithome.com.tw/news/165382
美國法官要求Google Play開放第三方程式市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遊戲開發商Epic Games在2020年因於《要塞英雄》（Fortnite）行動遊戲中嵌入自家的付費機制，遭到蘋果與Google下架，使得Epic Games同時<a href="https://www.ithome.com.tw/news/139405" target="_blank">狀告</a>蘋果與Google，然而，美國法官James Donato本周一（10/8）要求Google自今年11月1日到2027年的11月1日的3年之間，不得限制行動程式的支付方式，也必須開放競爭的應用程式市集於Google Play上架。Google則已決定要提出<a href="https://blog.google/outreach-initiatives/public-policy/epic-games-verdict-appeal/" target="_blank">上訴</a>。</p> <p>法官認為Google Play非法壟斷市場，因此，對Google的要求還包括允許開發者提供自Google Play之外下載程式的方法，明示各種支付方式，亦要求Google不得利誘開發者以讓他們獨家於Google Play中發布程式，不得利誘裝置製造商以預裝Google Play，也不得採取其它杯葛競爭對手的作法。</p> <p>Epic Games創辦人暨執行長Tim Sweeney很快就透過X<a href="https://x.com/TimSweeneyEpic/status/1843394692551192972" target="_blank">宣布</a>，Epic Games Store與其它應用程式商店將在2025年登上美國的Google Play Store，而且屆時將不再有來自Google的恐怖監管，也不再需要支付30%的程式稅賦。</p> <p>Google也在判決出爐的同一天便決定要上訴。Google強調，Google與蘋果是競爭對手，Android與iOS也是，它們之間的競爭非常激烈，法官的判決將削弱Android與iOS的競爭能力。Google試圖解釋Android並不是一個獨立的市場，更遑論非法壟斷，此外，相較於封閉的iOS，Android更為開放，市場亦也有眾多的程式市集。</p> <p>在提出上訴的同時，Google也要求法院暫停實施相關的補救措施。</p> <p>Google的大動作不難理解，因為Epic Games同時控告了蘋果與Google，但針對蘋果的判決在2021年就<a href="https://www.ithome.com.tw/news/146681" target="_blank">出爐</a>了，當時法官Yvonne Gonzalez Rogers認為蘋果並未壟斷，只要求蘋果開放第三方支付，而且不管是使用蘋果或第三方支付的開發者都一樣要提供銷售佣金予蘋果，外界認為蘋果在這場官司中並沒有輸。</p> <p>然而，法官對Google的要求卻可能永遠改變Android程式市集的生態。判決出爐的當天，Google母公司Alphabet的股價下滑了2.47%，以164.39美元作收。</p> </div></div></div>
2024/10/8 11:08作者陳曉莉https://www.ithome.com.tw/news/165381
Node.js v20.18.0長期支援版本釋出，強化安全性與網路監控功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nodejs.org/en/blog/release/v20.18.0">Node v20.18.0</a>是最新的長期支援版本，帶來實驗性與正式多項功能更新。正式功能包括tls.createSecureContext新支援部分信任鏈新選項，以及vm.createContext()新增可凍結全域物件的選項，提升程式的安全性和效能。而實驗性功能則添加了網路檢查工具，開發者可以透過開啟指定旗標，檢視應用程式的網路活動，進一步了解網路通訊狀況。</p> <p>Node.js v20.18.0更新提供開發者更多靈活性和安全性，特別是在網路通訊和JavaScript執行環境方面。Node.js中用於建立安全連線的重要API tls.createSecureContext，在這次更新中新增了allowPartialTrustChain選項，讓開發者可以將信任的CA清單中的中繼憑證視為可信任，即便這些憑證並非自簽章（Non-Self-Signed）。</p> <p>這項變更對於處理信任鏈非常重要的原因在於，就算是無法獲得完整的信任鏈，開發者仍可以透過設定allowPartialTrustChain:true來接受部分信任的中繼憑證，讓應用程式在不同環境中建立安全連線時更具彈性。</p> <p>另外，Node.js用來建立隔離執行環境，執行第三方或不信任的程式碼，以確保不會影響主應用程式全域狀態的方法vm.createContext()，在這次更新增加了一個能創建可凍結全域物件的新選項。該選項讓開發者可以建立一個沒有攔截器的全域物件，並進一步將其凍結。</p> <p>攔截器是一種用於監控和控制全域物件的操作機制，避免第三方程式碼對全域物件進行未授權的修改。新的選項取消這層監控直接凍結全域物件，確保全域物件的不可變性以提高安全性，同時加快全域物件的存取速度，適合不需要攔截器行為的應用情境。</p> <p>在網路檢查工具方面，Node.js v20.18.0新增的實驗性功能，讓開發者可以使用--experimental-network-inspection旗標，監控應用程式中的網路活動。目前該功能僅支援http和https模組，並且還在持續開發中。目前該功能只能在Node.js自身環境使用，Chrome DevTools中的Network標籤尚未支援，未來將會隨著Chrome DevTools團隊的開發而加入。</p> </div></div></div>
2024/10/8 08:23作者李建興https://www.ithome.com.tw/news/165373
蘋果發布iPhone、iPad更新，修補VoiceOver可能洩露密碼的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月3日蘋果發布iOS 18.0.1、iPadOS 18.0.1，<a href="https://support.apple.com/en-us/121373">總共修補2個資安漏洞</a>，其中由研究人員Bistrit Daha通報的CVE-2024-44204特別引起注意，因為存在漏洞的裝置有可能藉由VoiceOver機制，大聲朗讀使用者的密碼。</p> <p>針對這項漏洞發生的原因，蘋果指出是因為密碼（Passwords）元件的驗證機制存在邏輯錯誤，影響iPhone XS、13吋iPad Pro、第3代12.9吋iPad Pro、11吋iPad Pro、第3代iPad Air、第7代iPad，以及第5代iPad mini與其後繼機種。</p> <p>另一個漏洞CVE-2024-44207，僅影響iPhone 16全系列機種，這項漏洞涉及Media Session元件，使得Messages能在麥克風指示燈啟動的數秒前截取聲音。</p> </div></div></div>
2024/10/7 16:25作者周峻佑https://www.ithome.com.tw/news/165367
【資安日報】10月7日，親俄駭客傳出再度發動DDoS攻擊，多家上市櫃公司網站受到影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>親俄駭客NoName057因總統賴清德接受媒體採訪的回答裡，提及中國政府一再主張的維護領土完整性，認為他們應該要奪回清朝簽訂璦琿條約而割讓俄羅斯的土地，而引起駭客不滿，已於9月發起一波DDoS攻擊行動，上週又有企業組織傳出受害，並於股市公開觀測站發布重大訊息。</p> <p>值得留意的是，這些駭客不光針對企業而來，他們這次的目標也涵蓋臺灣多個政府機關。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165356"><strong style="font-size: 22px;">台塑化、緯創、聯電與多個公家單位遭DDoS攻擊，親俄駭客對臺灣的政府與企業網站發動第二波攻勢</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/7-fin7-update-click-free-download.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-07_124854.jpg" style="float: right; width: 300px;" /></a></p> <p>自9月上旬臺灣有多個政府機關與上市公司遭遇DDoS攻擊，10月第一個週末又發生新一波遭受攻擊的狀況，而且其中有知名高科技業與塑化大廠的網站遇襲。</p> <p>在10月5日到6日，台塑化、緯創、聯電這3家上市公司相繼發布重大訊息，說明遭遇DDoS攻擊的網路資安事件，並表示網站服務已經恢復正常運作。此外，10月4日週五下午，上櫃電腦及週邊設備業「青雲」也公布遭遇同類型的阻斷服務式（DoS）攻擊，並表示正在恢復系統中。</p> <p>由於上個月才有類似情況發生，這次攻擊可能仍是同一攻擊者所為，因為先前宣稱對臺發動DDoS攻擊的親俄駭客組織NoName057，這次仍十分囂張地在社群平臺X公布其攻擊活動，並宣稱夥同多個駭客組織一起行動。</p> <p><a href="https://www.ithome.com.tw/news/165347"><strong style="font-size: 22px;">網傳PChome疑似資料庫外洩，網路家庭澄清並無此事，研判用戶帳號盜用可能遭撞庫攻擊</strong></a></p> <p>10月5日下午有網友聲稱知名電商平臺PChome疑似備份的資料庫外洩，高儲值帳號遭鎖定被盜，這項消息引發眾多用戶的關注，並在多個社群平臺轉發此則訊息，想要了解是否真有如此狀況。網路家庭表示，此為不實謠言，並無資料庫外洩的情事，至於用戶帳號遭不明登入的情形，研判有不肖人士利用其他網站外流的用戶帳號密碼，嘗試登入PChome24購物網站。</p> <p>網路家庭表示，PChome 24h購物系統內並無儲存用戶的密碼，關於網路貼文提及用戶帳號遭不明登入的情形，經查後他們研判應為不肖人士在其他網站取得用戶email及密碼後，再利用這些密碼於PChome 24h購物網站來嘗試登入。</p> <p>對於有用戶帳號遭盜用的狀況，網路家庭表示，已在第一時間全面清查，針對疑似受影響的帳號進行強制登出，並通知用戶修改密碼，同時也建議用戶，應盡可能在不同的網站間、使用不同的密碼。</p> <p><a href="https://www.ithome.com.tw/news/165354"><strong style="font-size: 22px;">中國駭客Salt Typhoon入侵美國ISP業者，可能已滲透竊聽系統</strong></a></p> <p></p> <p>9月下旬華爾街日報（WSJ）取得知情人士的說法，中國駭客組織Salt Typhoon已入侵美國ISP業者，上周再揭露，美國電信業者AT&T、Verizon與Lumen皆已受駭，且駭客鎖定的可能是美國政府用來合法要求資料的竊聽系統。</p> <p>知情人士透露，Salt Typhoon企圖於美國ISP的基礎設施中建立據點，以進一步滲透系統，或是發動破壞性的網路攻擊，目前認為駭客的主要目標應是為了收集情報。</p> <p>根據報導，相關攻擊在最近幾周才被發現，美國政府及私人機構都在協助調查，亦正在研究思科系統是否遭駭。大量滲透到美國ISP業者基礎設施的駭客，可能已經存取美國政府在取得法院授權後，可向ISP業者請求資料的系統，而且時間可能長達數月或更久。</p> <p><a href="https://www.ithome.com.tw/news/165359"><strong style="font-size: 22px;">惡意程式Perfctl鎖定數百萬臺Linux伺服器而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Perfctl-Figure_1-3.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Perfctl-Figure_1-3.jpg" style="width: 300px; float: right;" /></a>雲端資安業者Aqua Security上周揭露專門鎖定Linux伺服器的惡意程式Perfctl，它會偵測伺服器上的逾2萬種錯誤配置，或者是利用應用程式RocketMQ的安全漏洞CVE-2023-33246來入侵，再利用CVE-2021-4043等漏洞來提高權限，企圖長駐於系統上，藉由這些受駭設備挖礦，或是執行代理伺服器劫持（Proxyjacking）軟體。</p> <p>Perfctl主要被用來執行如XMRIG等加密貨幣挖礦程式，某些情況也會執行代理劫持程式；它在內部以Unix Socket通訊，外部則採用TOR，以避免遭到偵測；並以Rootkit來隱藏自己的存在，或是將自己命名為常見的系統文件名稱。</p> <p><a href="https://www.ithome.com.tw/news/165365"><strong style="font-size: 22px;">駭客鎖定Adobe Commerce、Magento購物網站漏洞CosmicSting下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/nationalgeographic_com_1727394454.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/nationalgeographic_com_1727394454.png" style="width: 300px; float: right;" /></a>今年6月Adobe修補電商網站平臺重大漏洞CVE-2024-34102（也被稱為CosmicSting），這項資安弱點位於Adobe Commerce及Magento Open Source電商平臺，一個月後美國網路安全暨基礎設施安全局（CISA）證實已出現攻擊行動，最近有資安業者揭露受害規模。</p> <p>資安業者Sansec提出警告，他們自Adobe公布漏洞之後進行追蹤，迄今已發現至少有7個駭客組織將其用於攻擊行動，並入侵4,275個購物網站，相於有5%採用這種電子商務平臺的網站受害。</p> <p>為什麼這項漏洞的影響如此廣泛？研究人員指出，因為在7月8日駭客就已經發動自動化攻擊，並偷走數千個加密金鑰，但大多購物網站的管理者並未依循Adobe的最佳實務而更換金鑰，因此，即使購物平臺系統更新完成，這些遭竊的金鑰仍然有效，駭客還是可以在未經授權的情況下，利用這些金鑰竄改受害的購物網站。</p> <p><a href="https://www.ithome.com.tw/news/165362"><strong style="font-size: 22px;">資安業者Cloudflare揭露流量達到3.8 Tbps的DDoS攻擊事故</strong></a></p> <p></p> <p>提供網路安全及內容交付網路服務的Cloudflare指出，該公司在今年9月平息了每秒尖峰攻擊流量高達3.8 Tbps的分散式服務阻斷（DDoS）攻擊，締造了新紀錄。</p> <p>Cloudflare表示，這起針對該公司客戶的DDoS攻擊始於9月初，駭客鎖定第3層（網路層）及第4層（傳輸層）展開DDoS攻擊，Cloudflare的防禦系統在駭客持續展開攻擊的一個月內緩解了超過100次的超容量攻擊，許多攻擊規模每秒超過20億個封包，或者是每秒攻擊流量超過3 TB，尖峰攻擊流量甚至達到每秒3.8 TB，其攻擊頻率與規模前所未見。</p> <p>此活動鎖定的是金融服務、網路及電信業，企圖耗盡這些業者的資源與頻寬，駭客主要利用固定埠上的UDP協定，攻擊流量源自全球市場，大部分來自越南、俄羅斯、巴西、西班牙和美國。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/active-exploits-target-zimbra-collaboration-over-19k-systems-vulnerable-to-cve-2024-45519/">近2萬臺Zimbra郵件伺服器曝露於CVE-2024-45519的資安風險</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.talosintelligence.com/threat-actor-believed-to-be-spreading-new-medusalocker-variant-since-2022/">勒索軟體MedusaLocker出現變種BabyLockerKZ，歐盟、南美國家皆出現受害組織</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cofense.com/blog/from-collaboration-to-deception-the-zoom-phishing-threat">Zoom文件共用功能遭到濫用，駭客企圖竊取用戶的微軟帳號</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165367"><strong style="font-size: 22px;">蘋果發布iPhone、iPad更新，修補VoiceOver可能洩露密碼的漏洞</strong></a></p> <p>10月3日蘋果發布iOS 18.0.1、iPadOS 18.0.1，總共修補2個資安漏洞，其中由研究人員Bistrit Daha通報的CVE-2024-44204特別引起注意，因為存在漏洞的裝置有可能藉由VoiceOver機制，大聲朗讀使用者的密碼。</p> <p>針對這項漏洞發生的原因，蘋果指出是因為密碼（Passwords）元件的驗證機制存在邏輯錯誤，影響iPhone XS、13吋iPad Pro、第3代12.9吋iPad Pro、11吋iPad Pro、第3代iPad Air、第7代iPad，以及第5代iPad mini與其後繼機種。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-47191-critical-flaw-in-oath-toolkit-pam-module-could-lead-to-root-exploits/">OATH Toolkit特權管理模組存在重大漏洞，恐導致攻擊者有機會藉由root進行存取</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/165317">2024資安法修法條文面面觀</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165334"><strong>【10月4日】假借提供AI脫衣程式為誘餌，駭客企圖散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165282"><strong>【10月1日】駭客組織Storm-0501將攻擊範圍延伸到雲端環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165259"><strong>【9月30日】Unix與Linux普遍內建的列印系統CUPS存在重大漏洞</strong></a></p> </div></div></div>
2024/10/7 17:14作者周峻佑https://www.ithome.com.tw/news/165372
台塑化、緯創、聯電與多個公家單位遭DDoS攻擊，親俄駭客對臺灣的政府與企業網站發動第二波攻勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自9月上旬<a href="https://www.ithome.com.tw/news/165029">臺灣有多個政府機關與上市公司遭遇DDoS攻擊</a>，10月第一個週末又發生新一波遭受攻擊的狀況，而且其中有知名高科技業與塑化大廠的網站遇襲。</p> <p>在10月5日到6日，台塑化、緯創、聯電這3家上市公司相繼發布重大訊息，說明遭遇DDoS攻擊的網路資安事件，並表示網站服務已經恢復正常運作。此外，10月4日週五下午，上櫃電腦及週邊設備業「青雲」也公布遭遇同類型的阻斷服務式（DoS）攻擊，並表示正在恢復系統中。（7日週一中午查詢仍未復原）</p> <p>由於上個月才有類似情況發生，這次攻擊可能仍是同一攻擊者所為，因為先前宣稱對臺發動DDoS攻擊的親俄駭客組織NoName057，這次仍十分囂張地在社群平臺X公布其攻擊活動，並宣稱夥同多個駭客一起行動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-10-07_124854.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-07_124854.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-10-07_124905.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-07_124905.jpg" style="width: 295px;" /></a></p> <p>以該組織在10月4日公布的受害者來看，不只是上述4家上市櫃公司遭到攻擊，還有世芯-KY、晶心科技、國泰人壽保險等多家企業。</p> <p>不過，這些公司尚未發布相關的資安重訊揭露。截至10月7日中午為止，我們看到世芯-KY的網站仍無法連線，而晶心科技、國泰人壽保險的網站服務正常運作，無法確定先前是否曾經受到影響。目前我們也正詢問這些公司的狀態。</p> <p>其實第二波對臺攻擊並非這個周末才發生，先前10月1日，第一商業銀行就曾公告「第e個網」遭受網路DDoS攻擊，而根據NoName057所宣稱的行動來看，第二波對臺DDoS攻擊是從9月30日開始持續至今。該組織所聲稱的攻擊目標涵蓋企業，以及多個關鍵基礎設施與政府單位，例如，立榮航空、廣達電腦，還有多個關鍵基礎設施與政府單位，包括司法部國家法律資料庫、桃園國際機場、松山機場、花蓮機場，以及多個臺灣市公所網站、最高檢察署及地方檢查署。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-10-07_145450.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-07_145450.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-10-07_144557.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-07_144557.jpg" style="width: 295px;" /></a></p> <p>無論如何，面對這群駭客組織可能發起周期性的騷擾式攻擊行動，將持續考驗國內應對DDoS的防護能力，不只是我國政府透過資安通報機制，持續掌握政府部門與特定非公務機關的關鍵CI的狀況，普遍企業也要留意此一態勢。像是<a href="https://www.ithome.com.tw/news/152491">2022年美國眾議院議長裴洛西訪臺前後的DDoS攻擊事件</a>，<a href="https://www.ithome.com.tw/news/140158">2020年臺灣多家主機託管商遭DDoS攻擊</a>，<a href="https://www.ithome.com.tw/news/111875">2017年臺灣13家的券商網站下單系統遭遇DDoS攻擊</a>，導致不少機關與企業的網站服務受影響，如今DDoS這樣的威脅持續需要我們去面對。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-07_170357.jpg" style="width: 600px;" /></p> <p><strong>目前世芯-KY呈現出無法連線的狀態，關於是否也是遭遇DDoS攻擊，我們正等待該公司回覆。</strong></p> <h2><strong>NoName057</strong><strong>持續鎖定多國政府與關鍵CI發動DDoS攻擊</strong></h2> <p>不只是臺灣遭遇NoName057發動的DDoS攻擊，歐洲多國的關鍵基礎設施也持續成為該組織的攻擊目標。</p> <p>例如，臺灣遭受第一波DDoS攻擊（9月9日到9月17日）之前，該組織就已經持續針對「捷克」、「法國」、「烏克蘭」的政府與關鍵基礎施設發動DDoS攻擊。</p> <p>這次臺灣遭受的第二波攻擊（而從9月30日至今）之前，該組織則是連續數日鎖定「奧地利」，並有零星攻擊是針對「烏克蘭」、「英國」、「歐盟」、「立陶宛」、「羅馬尼亞」，其目標均是這些國家的政府機關、企業與民生關鍵基礎設施。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-07_151450.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-07_170512.jpg" style="width: 600px;" /></p> <p> </p> </div></div></div>
2024/10/7 10:20作者羅正漢https://www.ithome.com.tw/news/165356
駭客鎖定Adobe Commerce、Magento購物網站漏洞CosmicSting下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/163422">今年6月</a>Adobe修補電商網站平臺重大漏洞<a href="https://www.ithome.com.tw/tags/cve-2024-34102">CVE-2024-34102</a>（也被稱為CosmicSting），這項資安弱點位於Adobe Commerce及Magento Open Source電商平臺，一個月後<a href="https://www.ithome.com.tw/news/163422">美國網路安全暨基礎設施安全局（CISA）證實已出現攻擊行動</a>，最近有資安業者揭露受害規模。</p> <p>資安業者Sansec提出警告，他們自Adobe公布漏洞之後<a href="https://www.ithome.com.tw/news/163623">進行追蹤</a>，<a href="https://sansec.io/research/cosmicsting-fallout">迄今已發現至少有7個駭客組織將其用於攻擊行動</a>，並入侵4,275個購物網站，相於有5%採用這種電子商務平臺的網站受害。</p> <p>為什麼這項漏洞的影響如此廣泛？研究人員指出，因為在7月8日駭客就已經發動自動化攻擊，並偷走數千個加密金鑰，但大多購物網站的管理者並未依循Adobe的最佳實務而更換金鑰，因此，即使購物平臺系統更新完成，這些遭竊的金鑰仍然有效，駭客還是可以在未經授權的情況下，利用這些金鑰竄改受害的購物網站。</p> <p>這些駭客發動大規模攻擊的手法相當雷同，他們都利用CosmicSting發動攻擊竊得加密金鑰，得手後用來產生API授權Token，從而存取客戶資料，並藉由CMS區塊（CMS blocks）在結帳流程植入付款資料側錄工具。</p> <p>這些從事攻擊行動的駭客組織，研究人員稱為：Group Bobry、Group Polyovki、Group Surki、Group Burunduki、Group Ondatry、Group Khomyaki、Group Belki。</p> <p>值得留意的是，Group Belki同時還會利用另一個漏洞CNEXT，而能進一步發動遠端執行程式碼（RCE）攻擊。此漏洞被登記為CVE-2024-2961列管，出現在Linux作業系統GNU C程式庫（glibc）的iconv功能當中。</p> <p>目前有哪些企業受害？根據Sansec的分析，包含許多知名企業，例如：雷朋眼鏡、國家地理頻道、思科、惠而浦，以及電動滑板車業者賽格威（Segway）。</p> </div></div></div>
2024/10/7 15:55作者周峻佑https://www.ithome.com.tw/news/165365
增量垃圾回收效能問題待解，Python 3.13正式版暫不加入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://discuss.python.org/t/incremental-gc-and-pushing-back-the-3-13-0-release/65285">Python 3.13的增量垃圾回收（Incremental GC）功能存在效能問題</a>，導致包括<a href="https://github.com/python/cpython/issues/124567">Sphinx等多種工具運作效能下降</a>。核心開發者在討論了增量垃圾回收閾值調整，以及退回增量垃圾回收功能的可能性後，<a href="https://github.com/python/cpython/pull/124770">決定暫時不在Python 3.13加入該功能</a>，並且維持現有閾值設定，確保效能穩定。增量垃圾回收預計會在改進並且收集更多開發者回饋後，添加到Python 3.14中。</p> <p>垃圾回收是程式語言中一項記憶體管理機制，用於自動清理不再使用的物件，釋放記憶體空間。原本開發團隊想在Python 3.13的時候添加增量垃圾回收功能，目的是最佳化記憶體管理，減少應用程式在執行時，因為垃圾回收而發生的卡頓，特別是針對大型應用程式或是需要高回應性的系統，以達到更加平滑順暢的效能表現。</p> <p>傳統垃圾回收機制會在一定時間點暫停程式部分運作，清理未使用的記憶體，而該過程可能導致應用程式卡頓，而增量垃圾回收則是將垃圾回收過程拆分成多個較小的步驟，逐步進行清理，進而縮短每次停頓的時間，使得應用程式的回應性更好。</p> <p>Python垃圾回收採用分代回收策略，主要分為三個世代，第0代、第1代和第2代。根據對程式記憶體分配行為的觀察，通常很快變成垃圾的新物件被標為第0代，第1代則是由第0代經過垃圾回收後仍存活的物件晉升，當第1代記憶體物件觸發垃圾回收，卻還依然存活的物件，就會被標記為第2代。</p> <p>而原本Python 3.13為了配合增量垃圾回收功能，第0代的閾值從700增加到了2,000，以降低頻繁垃圾回收帶來的額外開銷。不過，增量垃圾回收的效能在測試階段就受到開發者的注意，尤其是像Sphinx這類大型應用程式，在Python 3.13上甚至出現接近40％的效能下降。</p> <p>經過Python核心開發者的討論，他們認為增量垃圾回收雖然普遍可以減少垃圾回收的卡頓時間，提升應用程式的回應性，但是在部分情境下卻反而會增加額外的記憶體和計算成本開銷，以至於無法達到預期的效能提升效果。</p> <p>在核心開發者討論各種方案後取得共識，認為增量垃圾回收功能尚未成熟，閾值的調整需要更廣泛的場景測試，因此最終從Python 3.13正式版移除增量垃圾回收，並維持原本設定確保版本的穩定性。開發團隊將在收集更多回饋，釐清不同場景應用的效能表現後，在Python 3.14重新引入增量垃圾回收功能。</p> </div></div></div>
2024/10/7 16:54作者李建興https://www.ithome.com.tw/news/165366
衛福部正式成立3大AI中心，要解決負責任AI、取證和健保給付三大痛點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今日（10/7），衛福部宣布成立三大AI中心，包括負責任AI執行中心、臨床AI取證驗證中心和AI影響性研究中心，由衛福部輔導全臺16家醫院、共19案來執行，包含臺大醫院、臺北榮總、林口長庚醫院、臺中榮總、成大醫院和中醫大附醫等指標醫院。這三大AI中心的成立目的，是要解決臺灣發展AI醫材的三大痛點，如AI透明性、取得許可證過程冗長和健保給付是否納入，要補足智慧醫療發展最後一哩路。</p> <p><span style="font-size:22px;"><strong>為何推動成立三大AI中心？</strong></span></p> <p>衛福部資訊處處長李建璋是該政策的重要推手之一，他解釋，自己還在醫院擔任AI中心副主任時，就面臨醫院發展醫療AI的三項挑戰，比如在院內，醫師判斷與AI答案不同時，容易對AI系統產生不信任感，需要有套更透明的解釋機制才行。</p> <p>他也觀察到，各大醫院努力發展醫療AI應用，但要取得食藥署智慧醫材許可證、將AI應用商品化時，就面臨資料不夠充足、難以達到驗證要求的困難，進而延緩取證時間，錯過最佳技術應用時機。就算醫療AI最終取證、成功上市，也面臨市場和健保給付問題，影響研發成本的回收。</p> <p>因此，在李建璋接任衛福部資訊處處長後，一大目標就是推動醫院成立三大AI中心，來解決發展智慧醫療的實務挑戰。比如，負責任AI執行中心建立AI系統透明機制，可幫助醫師跟病人相信AI並保護資料隱私，AI取證驗證中心則可協助備妥資料，讓醫院開發的醫療AI更快取證。而AI影響性研究中心，則能協助進行臨床試驗，來確認醫療AI是否具備臨床效益，再將研究數據提供給健保專家，來評估健保給付事項。</p> <p>於是，衛福部在今年7月23日公告三大AI中心補助計畫，鼓勵醫院申請，並舉辦全國性教育訓練。8月1日截止收件後，還請國內外委員三階段評選30家申請醫院，最終16家醫院通過，來營運這三大AI中心。</p> <p><span style="font-size:22px;"><strong>負責任AI執行中心管理AI透明性和生命周期</strong></span></p> <p>進一步來說，負責任AI執行中心是要解決AI應用信任危機，尤其是AI偏見與不透明、資料隱私疑慮和AI準確度會隨著時間遞減等問題。</p> <p>李建璋指出，雖然先進國家開始推出相關法案和架構，作為監管指引方向，比如WHO發表負責任AI六大原則（自主、公益、當責、透明、正義和永續）、歐盟AI法案和美國AI運算發透明暨資訊共享規則（HTI-1），但還未真正落地成為推動中心。</p> <p>於是，衛福部希望落實這些共識，由負責任AI執行中心來實踐。這次成立的負責任AI執行中心共有10間，這些中心將訂定AI臨床使用管理辦法、確保訓練和推論資料隱私，並要求AI系統能揭露模型訓練資料來源、臨床準確度和可解釋性。</p> <p>而且，負責任AI執行中心還要落實透明性，並以美國HTI-1規則的9大透明性指標為原則。這包括介入詳情及輸出、介入目的、介入的警告範圍外使用、介入開發詳情及特徵、確保介入開發公平性的過程、外部驗證過程、模型表現的量化指標、介入實施和使用的持續維護，以及更新與持續驗證或公平性評估計畫，來讓AI模型運作更透明。</p> <p>不只如此，負責任AI執行中心也得制定AI模型生命周期管理辦法，來確保AI在臨床使用的持續可靠。這個生命周期管理辦法涵蓋模型訓練、驗證、落地、監測、下架等環節，需依臨床需求訂立AI應用表現指標下限，且須定期執行獨立性表現評估，將未達下限的模型進行調校。要是仍未達標，則下架重新建立模型並訓練。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%80%B1%E6%9C%9F.JPG" /></p> <p><span style="font-size:22px;"><strong>臨床AI取證驗證中心將提供資料，協助醫療AI取證</strong></span></p> <p>再來，這次成立的臨床AI取證驗證中心共有5家，目的是要協助醫院醫療AI應用取得TFDA食藥署智慧醫材認證，縮短取證流程、降低驗證資料收集難度。</p> <p>進一步來說，醫療AI取證有幾個指標，包括要能在廣泛的族群中驗證效能、證明AI軟體在臨床應用中的正確性。但要做到這一點，就需要足夠量且多元的資料，申請者得跨不同醫學中心和不同層級醫療機構，才能確保資料符合臺灣族群分布。</p> <p>但李建璋透露，往往收集這些資料的時間，還比發明AI軟體本身要長，等到收集夠了，該技術可能就落後了。因此，衛福部推動成立臨床AI取證驗證中心，預先組成醫院聯盟、跨層級準備資料，來協助醫院取證。</p> <p>在實際流程上，欲申請取證的醫院可先只食藥署小組，了解取證所需的資料量和範圍，再至臨床AI取證驗證中心，來進行臨床驗證規畫並執行。要是發現模型驗證準確度不夠高，中心會提供一部分去識別化的資料，來協助模型優化、提高準確度。之後，醫院可以發表論文、同步將結果報告遞交食藥署，供專家決定取證結果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8F%96%E8%AD%89.JPG" /></p> <p><span style="font-size:22px;"><strong>AI影響性研究中心比對AI醫材效益，供健保給付研究參考</strong></span></p> <p>AI醫材取證後，還得面對成本回收問題，而是否納入健保給付，就是一大關鍵。AI影響性研究中心就是為解決這個問題而成立，專門為已取證的AI醫材，設計實驗組和對照組的臨床實驗，比對兩者臨床效益，並將實驗數據提交給衛福部，作為後續是否納入健保給付的參考。</p> <p>這次成立的AI影響性研究中心共有4家，就流程來說，已取證（臺灣TFDA或美國FDA皆可）的醫療AI研發單位，可向健保署詢問納入給付事宜，健保署給予建議後，比如需證實有效降低病人猝死率，申請者就能到AI影響性研究中心，來請中心根據健保署建議，規畫臨床實驗並執行，同時評估成本效益和財務影響。</p> <p>之後，申請者可發表研究報告，同時提出核價建議書文件，來供健保署醫療科技評估（HTA）小組參考，衡量是否納入健保給付，以及該給付多少等事項。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BD%B1%E9%9F%BF%E6%80%A7.JPG" /></p> <p></p> </div></div></div>
2024/10/7 15:46作者王若樸https://www.ithome.com.tw/news/165364
Cloudflare平息尖峰攻擊流量高達3.8 Tbps的DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供網路安全及內容交付網路服務的Cloudflare<a href="https://blog.cloudflare.com/zh-tw/how-cloudflare-auto-mitigated-world-record-3-8-tbps-ddos-attack/" target="_blank">上周指出</a>，該公司在今年9月平息了一起每秒尖峰攻擊流量高達3.8 Tbps的分散式服務阻斷（DDoS）攻擊，締造了新紀錄。</p> <p>Cloudflare表示，這起針對該公司客戶的DDoS攻擊始於9月初，駭客鎖定第3層（網路層）及第4層（傳輸層）展開DDoS攻擊，Cloudflare的防禦系統在駭客持續展開攻擊的一個月內緩解了超過100次的超容量攻擊，許多攻擊規模每秒超過20億個封包，或者是每秒攻擊流量超過3TB，尖峰攻擊流量甚至達到每秒3.8 TB，其攻擊頻率與規模前所未見。</p> <p>此一攻擊活動鎖定的是金融服務、網路及電信業，企圖耗盡這些業者的資源與頻寬，駭客主要利用固定埠上的UDP協定，攻擊流量源自全球市場，大部分來自越南、俄羅斯、巴西、西班牙和美國。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1007-cloudflare%20ddos-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cloudflare</span></span></p> <p>其中，高封包率的攻擊主要來自MikroTik裝置、監視器與網頁伺服器，駭客利用這些受到感染的裝置，以異常巨大的流量來淹沒目標對象，而高比特率的攻擊則看似來自大量的華碩家用路由器，疑是因今年中被揭露的<a href="https://www.ithome.com.tw/news/163509" target="_blank">CVE-2024-3080</a>漏洞而遭到利用。</p> </div></div></div>
2024/10/7 14:47作者陳曉莉https://www.ithome.com.tw/news/165362
駭客偽裝成求職者散布後門程式More_eggs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近有一起惡意軟體攻擊行動相當特別，因為對方利用幾可亂真的求職者網站來引誘企業主管上當。</p> <p>資安業者趨勢科技揭露<a href="https://www.trendmicro.com/en_us/research/24/i/mdr-in-action--preventing-the-moreeggs-backdoor-from-hatching--.html">假借求職名義向企業散布JavaScript後門程式More_eggs的攻擊行動</a>，在其中一起攻擊行動裡，駭客組織FIN6鎖定正在徵求銷售工程師的企業下手，但研究人員也發現有旅館業者受害的情況。</p> <p>駭客在8月下旬以John Cboins的名義，透過Gmail向目標企業高階主管寄送釣魚郵件，值得留意的是，這封信件並未包含附件或是URL，很有可能是為了得到主管的信任，隨後，進行徵才的主管，會因為目前尚無法查出的理由，利用Chrome瀏覽器連到一個網址下載履歷檔案John Cboins.zip。</p> <p>研究人員指出，在他們調查的過程裡，這個URL連向的網站看起來就像一般求職者架設，內容包含姓名、電子郵件信箱，以及履歷檔案的下載連結，特別的是，「履歷」必須通過圖靈驗證才能下載。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MDR_More_eggs_Backdoor-Fig4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/MDR_More_eggs_Backdoor-Fig4.png" style="width: 580px;" /></a></p> <p>究竟ZIP檔的內容為何？當中包含John Cboins.lnk及6.jpeg，一旦下載履歷的人執行LNK檔，會在電腦的Windows作業系統資料夾所在位置之外，產生ieuinit.inf檔案，當中含有指令碼元件（Script Component，SCT）檔案存放位置的網址；再者，該INF檔案也會複製IE初始化公用程式ie4uinit.exe，並利用WMIC加上–basesettings參數執行。</p> <p>若下載這段SCT程式碼檔案並執行，電腦就會藉由regsvr32.exe執行惡意的動態連結程式庫檔案38804.dll，進而載入More_eggs。</p> </div></div></div>
2024/10/7 12:14作者周峻佑https://www.ithome.com.tw/news/165360
Martech雙周報第62期：Saleforce推出SDR和業務教練代理人，能與潛在客戶互動並協助業務實戰演練
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0922~1005)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI代理人 #SDR代理 #AI業務教練</span></span></strong><br /> <strong>Saleforce推出能與潛在客戶互動並協助業務實戰演練的AI代理人</strong></p> <p><a href="https://www.salesforce.com/news/stories/einstein-sales-agents-announcement/">Salesforce推出2種新型生成式AI代理人，業務開發專員（SDR）和業務教練，</a>預計於10月正式上線。這兩個AI代理人都是利用Salesfroce新推出的Low-code AI代理人建置平臺<a href="https://www.salesforce.com/ap/agentforce/">Agentforce</a>打造而成，利用RAG技術，它們會依據業務人員上傳的內部資料來生成回答及執行任務。這些資料包含產品規格、企業Q&A、過往業務案例、客戶檔案等。</p> <p>AI SDR可以操作Email或通訊軟體，來回答潛在客戶的產品問題、應對拒絕、篩選潛在客戶價值，以及替業務約談潛在客戶。業務可以調整AI SDR處理的案件類型和涉及金額。AI SDR處理到一定階段，會將相關資訊彙報給業務，由後者接手。業務可以透過儀表板來追蹤不同SDR代理人的案件處理情況、KPI等指標，來調整SDR設定或提前接手案件。</p> <p>AI業務教練則是可以模擬業務將洽談的潛在客戶，讓業務先實戰演練。業務教練會用文字轉語音功能，和業務實際問答。對談結束後，則會分析業務表現，給予建議。業務主管還能透過儀表板，來觀察底下業務與AI業務教練互動，是否能有效提升客戶開發成功率。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行動裝置廣告 #行銷成效追蹤 #隱私權沙盒</span></span></strong><br /> <strong>Appsflyer推出利用Android隱私權沙盒來追蹤行銷成效的服務，以期降低對GAID的依賴</strong></p> <p>行銷數據分析大廠AppsFlyer利用Android隱私權沙盒的Attribution Reporting API技術，打造追蹤行銷成效的新服務。目前Unity的開發平臺及廣告服務Unity Ads已經支援這項服務。</p> <p>Appsflyer解釋，他們確信Google未來會因為隱私等理由而停用追蹤個別裝置的Google廣告ID（GAID）──蘋果幾年前的ATT政策就是禁止App追蹤個別iOS裝置，造成行銷追蹤斷點。為避免歷史重演，他們才在GAID正式宣布退場前，提早擁抱Google官方推出的替代追蹤方案，來降低自家客戶對GAID依賴度。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN #追蹤標準 #實體門市廣告</span></span></strong><br /> <strong>IAB推出RMN線下廣告的建議格式和追蹤標準</strong></p> <p><a href="https://www.iab.com/guidelines/in-store-retail-media/">美國互動廣告協會（IAB）及歐洲互動廣告協會（IAB Europe）針對RMN線下廣告推出建議格式和追蹤標準。</a>這份標準包括4大要素：術語定義、格式、店鋪區域定義及衡量標準。</p> <p>術語定義是針對店內數位零售媒體元素，提供明確定義與說明。格式指店內廣告的建議格式。店鋪區域定義了店內可投放廣告的主要區域分類，如入口處、結帳區、走道。衡量標準則是追蹤及分析各種店內廣告成效的建議方針。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #AI投廣 #GoogleAds</span></span></strong><br /> <strong>Google新推出多種AI廣告投放、素材生成及成效追蹤功能</strong></p> <p><a href="https://blog.google/products/ads-commerce/google-ads-ai-features-update-september-2024/">Google宣布推出多項AI及生成式AI功能，用於廣告投放、素材生成及行銷成效追蹤。</a></p> <p>首先，協助廣告主製作搜尋廣告素材的聊天機器人，將開始支援德語、法語及西語。</p> <p>生成式AI圖片製作與編輯工具也有更新，將能用於搜尋廣告、Demand Gen廣告、App廣告和展示型廣告，過往此功能只能用於AI廣告代投服務Performance Max。此功能還新增了更多限定生成方向的選項。廣告主能提供最多五張參考圖片及一段提示文字，來一定程度限定AI生成方向。Perfomance Max的圖片製作工具中，廣告主還可以上傳自家Logo並指定AI生成素材的字體、用色，以維持廣告素材的視覺調性。圖片生成工具將新支援德語、法語、西語、葡語、荷語及義語。</p> <p>Google還新增了許多行銷成效追蹤及優化建議功能。其一是個別素材等級的轉換率追蹤功能，廣告主能看到不同素材的行銷成效，以及AI對素材的優化建議，例如「增加2行廣告標題」。Google還將Performance Max原本的廣告洞察、解釋及建議報表整合到同一個介面，來降低廣告主來回看不同報表的需求。</p> <p>其他Performance Max新功能還包括，廣告主可以比較自己和競爭品牌在廣告曝光的比例，以及排除負面關鍵字的功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI購物助理 #RMN #搜尋廣告</span></span></strong><br /> <strong>Amazon開始在自家AI購物助理Rufus植入廣告版面</strong></p> <p>在正式推出購物助理聊天機器人Rufus不久後，<a href="https://advertising.amazon.com/API/docs/en-us/release-notes/index#awareness-sponsored-ads-may-begin-appearing-in-rufus-related-placements">Amazon即宣布</a>，開始<s>將於此服務介面</s>植入廣告版面。Amazon說明，根據與顧客的對話情境，Rufus可能會展示廣告主的行銷素材，並生成相關文字描述。目前，廣告主拿到的行銷成效報表仍不會包含在Rufus曝光的廣告，Amazon也沒有特別說明在Rufus曝光是否需要收費。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#TEE #數據隱私 #第一方數據 #機密運算</span></span></strong><br /> <strong>Google Ads將預設於可信任執行環境執行受眾匹配及行銷成效追蹤</strong></p> <p><a href="https://blog.google/products/ads-commerce/google-confidential-matching-data-privacy/">Google宣布將改用可信任執行環境（TEE）作為行銷成效追蹤及受眾匹配的預設環境。</a>他們推出了一個名為機密匹配（Confidential Matchng）的機制，做法類似於數據無塵室（DCR），可以在TEE中比對廣告主第一方資料及Google廣告資料，並輸出匹配後數據，用於行銷成效追蹤或受眾圈選。過往Google Ads的受眾數據圈選功能Customer Match，也會以機密匹配機制為預設處理方法。</p> <p>這些功能和改動都會自動生效，廣告主不需額外付費，不需要調整廣告設定。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #自動化行銷 #AI代理人</span></span></strong><br /> <strong>HubSpot推出AI行銷解決方案Breeze，用生成式AI強化自動化行銷、素材生成與編輯、B2B業務和B2C客服</strong></p> <p><a href="https://www.hubspot.com/products/artificial-intelligence#below-header-breeze_wf_header_splash">CRM巨頭HubSpot推出AI行銷解決方案Breeze，用於強化行銷、素材生成與編輯、B2B業務和B2C客服。</a></p> <p>其中一個重要功能是Breeze Copilot<s>，一個</s>聊天機器人，可以用來提供行銷、業務和客服的相關建議，並自動化完成相關文書作業。</p> <p>另一個重要功能是各式AI代理人（這是一項功能？各式AI代理人是這項功能的名稱？），涵蓋內容生成、社群媒體、客戶開發及顧客服務等領域。這些代理人可以自動規畫、執行相關領域的作業，例如生成社群媒體圖文、聯絡潛在客戶、甚至是生成Podcast節目。</p> <p>其他功能還包括各式圖文創作發想及編輯、知識管理、報表生成等，超過80種用AI支援的行銷相關功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#隱私權沙盒 #行銷成效追蹤</span></span></strong><br /> <strong>隱私權沙盒的Protected Audience API迎來3項更新，用來強化行銷成效追蹤</strong></p> <p><a href="https://privacysandbox.com/news/upcoming-privacy-sandbox-developments/">Google用於追蹤瀏覽器行銷成效的隱私權沙盒系列技術之一，Protected Audience API，迎來3個更新，用以強化成效追蹤。</a></p> <p>第一是新增版面交易ID和版面ID欄位。行銷業界除了程序化廣告交易，還有特殊版面交易活動，由廣告主和版位提供商私下交易特定廣告版位。新增兩個新ID維度，是為了追蹤行銷成效時，能進一步區分一般版面和這些特殊版面。</p> <p>第二是新增點擊次數欄位，作為使用者與廣告素材互動踴躍度的指標<span style="color:#000000;">。這個欄位不會包含使用者事件等級數據，而是對廣告的點擊總次數</span>，以避免暴露過多使用者相關資訊。另外，興趣組別（Interest Group）有效期限<s>，</s>從30天延長到90天，以利購買周期較長的產業追蹤行銷成效。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://business.pinterest.com/pinterest-performance-plus/">Pinterest推出新廣告服務Performance+，包含生成式AI素材製作工具及多種程序化廣告投放選項</a></p> <p>2. 短影音巨頭<a href="https://www.tiktok.com/business/en-US/blog/introducing-search-ads-campaign?ab_version=experiment_2&agp_template_id=7400238737994547218">Tiktok推出搜尋廣告服務</a></p> <p>3. <a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-ads-image-generator-adds-aspect-ratio-capability">Amazon推出可以根據不同尺寸版型生成專屬圖片素材的AI圖片生成工具</a></p> <p>4. 臺灣Martech廠商<a href="https://www.ithome.com.tw/pr/165145">Migo Data Solutions推出針對OMO品牌的數據整合平臺，以期加速企業將數據投入到行銷的效率</a></p> <p>5. <a href="https://advertising.roku.com/solutions/advertise/ads-manager">CTV巨頭Roku推出自助式廣告投放平臺，可以一站式投放廣告到多家串流服務提供者</a></p> <p>6. <a href="https://support.google.com/google-ads/answer/2464964?hl=zh-Hant">Google將停用成本效益管理系統（eCPC），明年3月底所有eCPC將自動改為手動調整CPC投放選項</a></p> <p>7. <a href="https://blog.google/products/ads-commerce/video-action-campaigns-demand-gen-upgrade/">Google明年Q2將合併影片行動廣告（Video action campaign）到需求開發廣告（Demand Gen）格式</a></p> <p>8. <a href="https://www.salesforce.com/news/stories/industries-ai-announcement/">Salesforce針對15個產業、100個以上行銷場景</a>推出AI輔助功能</p> <p>資料來源：iThome整理，2024年10月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Salesforce</p> <p></p> </div></div></div>
2024/10/7 11:18作者郭又華https://www.ithome.com.tw/news/165343
研究人員揭露鎖定數百萬臺Linux伺服器的惡意程式Perfctl
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端資安業者Aqua Security上周<a href="https://www.aquasec.com/blog/perfctl-a-stealthy-malware-targeting-millions-of-linux-servers/" target="_blank">揭露</a>了一款專門鎖定Linux伺服器的惡意程式Perfctl，它會偵測公開伺服器上的逾2萬種錯誤配置，或者是利用應用程式RocketMQ的安全漏洞CVE-2023-33246來入侵Linux伺服器，再利用CVE-2021-4043等漏洞來提高權限，企圖長駐於系統上，藉由這些受駭設備來挖礦或是執行代理劫持軟體。</p> <p>分析顯示，當駭客成功入侵Linux伺服器之後，即可自遠端伺服器下載有效酬載，並於受駭系統上執行；接著在系統上刪除原始進程，修改用戶的環境配置文件，以在每次伺服器重新啟動後，惡意程式也能保持活躍；或是再利用其它應用程式的安全漏洞來提升權限。</p> <p>Perfctl主要被用來執行如XMRIG等加密貨幣挖礦程式，某些情況也會執行代理劫持程式；它在內部以Unix Socket通訊，外部則採用TOR，以避免遭到偵測；並以Rootkit來隱藏自己的存在，或是將自己命名為常見的系統文件名稱。</p> <p>研究人員指出，駭客至少從3年前就開始展開Perfctl惡意程式攻擊，而且鎖定的是全球的公開Linux伺服器，使用者應該監控可疑的系統行為，分析網路流量，監控檔案與進程的完整性，並應定期修補安全漏洞，限制檔案執行，關閉未使用的服務，部署嚴格的權限管理，隔離重要伺服器，以及部署運作時保護機制等。</p> </div></div></div>
2024/10/7 12:11作者陳曉莉https://www.ithome.com.tw/news/165359
Google開始釋出Android的防盜功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技記者Mishaal Rahman本周<a href="https://www.threads.net/@mishaal_rahman/post/DAubWdwNnCI?xmt=AQGzkQsNKeqEllWKjQk-DzdncqzHfLkHNnb11KOqFx9j-uQ" target="_blank">發現</a>，Google已開始向美國Android用戶釋出Android裝置的防盜功能，包括防盜鎖（Theft Detection Lock）、離線裝置鎖定（Offline Device Lock），以及遠端鎖定（Remote Lock）等。</p> <p class="rtecenter"><a href="http://www.threads.net/@mishaal_rahman/post/DAubWdwNnCI?xmt=AQGzkQsNKeqEllWKjQk-DzdncqzHfLkHNnb11KOqFx9j-uQ" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1007-android%20theft%20protection-image%20by%20Mishaal%20Rahman.jpg" style="width: 600px;" /></a></p> <p>Google是在今年5月<a href="https://blog.google/products/android/android-theft-protection/" target="_blank">發表</a>Android裝置的防盜功能，包括提高裝置重置門檻，隱藏裝置上的敏感應用程式、強化身分驗證機制、防盜鎖、離線裝置鎖定及遠端鎖定等，預計於今年陸續支援採用Android 10以上的裝置。</p> <p>其中，防盜鎖是透過Google AI 來感應是否有人從使用者手中搶走手機並試圖快速離開，如果偵測到竊盜常見的動作，就會快速鎖定螢幕。倘若小偷試圖長時間切關手機的網路，就算是在手機沒電且關機的狀態下，螢幕也會自動鎖定。</p> <p>此外，雖然Google的Find My Device已允許使用者自遠端鎖定或刪除被竊手機的資料，但若使用者一時忘記自己的Google帳號及密碼，還是能夠藉由自己的電話號碼來鎖定手機螢幕，以及利用其它設備執行安全挑戰來存取Find My Device。</p> </div></div></div>
2024/10/7 10:27作者陳曉莉https://www.ithome.com.tw/news/165357
Google搜尋正在實驗藍勾勾
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>The Verge<a href="https://www.theverge.com/2024/10/4/24261877/google-search-verified-checkmarks-experiment-feature" target="_blank">發現</a>，Google正在實驗可用來驗明正身的藍勾勾，在搜尋引擎結果中，包括Microsoft、Meta、Epic Games、Apple、Amazon及HP的官網連結旁都出現了藍勾勾，可用來確認這些網站的身分，並協助使用者過濾網釣網站。</p> <p>Google還在藍勾勾上說明，此一標記只是為了證實該企業是它所宣稱的企業，並不代為保證該企業或其產生的可靠性。而Google則向The Verge解釋，該公司是利用網站驗證、Merchant Center資料及人工審核等因素來辨別網站的真偽。</p> <p>不過，目前該服務僅為小規模部署的實驗，並不確定能否成為正式功能。</p> </div></div></div>
2024/10/7 10:42作者陳曉莉https://www.ithome.com.tw/news/165358
中國駭客入侵美國ISP業者，可能已滲透竊聽系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華爾街日報（The Wall Street Journal，WSJ）在9月下旬引述消息來源<a href="https://www.wsj.com/politics/national-security/china-cyberattack-internet-providers-260bd835?mod=article_inline" target="_blank">報導</a>，中國駭客組織Salt Typhoon已相繼入侵美國ISP業者，上周再<a href="https://www.wsj.com/tech/cybersecurity/u-s-wiretap-systems-targeted-in-china-linked-hack-327fc63b?st=4QbXPX&reflink=desktopwebshare_permalink" target="_blank">揭露</a>，美國電信業者AT&T、Verizon與Lumen皆已受駭，且駭客鎖定的可能是美國政府用來合法要求資料的竊聽系統。</p> <p>Salt Typhoon企圖於美國ISP的基礎設施中建立一個據點，以進一步滲透系統，或是發動破壞性的網路攻擊，目前認為駭客的主要目標應是為了收集情報。</p> <p>根據報導，相關攻擊是在最近幾周才被發現，美國政府或微軟等私人機構都在協助調查，亦正在研究思科系統是否遭駭。且大量滲透到美國ISP業者基礎設施的駭客，可能已經存取美國政府在取得法院授權後，可向ISP業者請求資料的系統，而且時間可能長達數月或更久。</p> <p>不過，不管是AT&T、Verizon或Lumen皆未揭露相關的駭客事件，也拒絕回應WSJ的詢問。WSJ則猜測，或許是因為此事涉及國家安全，而讓受駭的ISP業者得以保持緘默。</p> </div></div></div>
2024/10/7 09:43作者陳曉莉https://www.ithome.com.tw/news/165354
【資安週報】0930~1004，《資安法》修正條文送交立法院已一讀通過，新修訂強化分層監督與管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月初這一週的新聞，以強颱來襲前即影響全臺最受關注，但資安新聞中也有不少重要消息需要我們重視。</p> <p>臺灣資安政策發展就是主要焦點之一。隨著7月行政院將《資安法》修正草案送交立法院，現階段已通過一讀，由於這是實施超過五年來的大修法，iThome本月封面故事特別進行最新現況報導，幫助大家掌握修法重點，例如，《資安法》修訂中最受關注的議題之一，莫過於「禁用危害國家資通安全產品」的條文，其他還包括擴大稽核範圍、資安人員的適任性查核等。另一方面，對於這次修法有法律專家提出建言，指出應要打破官民分治的架構，才能更好提升整體國家的資通安全管理能力。</p> <p>在資安威脅與事件方面，有兩起事件值得大家重視，一是Rackspace遭遇資安事故並說明發生原因，是因為內部使用的第三方平臺監控系統ScienceLogic EM7存在零時差漏洞所導致，由於ScienceLogic是臺灣的飛立德科技，其後續應對與回應值得追蹤與關注；另一事有駭客利用提供AI裸照生成器DeepNude的服務，當作吸引受害者上當的手段之一。</p> <p>●雲端運算平臺Rackspace內部系統遭駭，已通知其用戶可能資訊外洩，並指出問題出在他們使用的第三方應用程式ScienceLogic。<br /> ●資安業者有資安業者發現屬於俄羅斯駭客組織FIN7的大量網域，當中所屬7個網域是利用DeepNude來吸引與誘騙受害者。<br /> ●駭客組織Storm-0501最新一波攻擊行動鎖定美國多個政府部門與製造業，微軟公開其手法聚焦破壞混合雲環境的Entra ID。<br /> ●第一商業銀行公告第e個網遭受網路DDoS攻擊事件<br /> ●樂天信用卡遭駭客攻擊未緊急應變，金管會列6大缺失、罰250萬。</p> <p>在漏洞利用方面，本星期有6個漏洞利用狀況，一是企業級協同辦公套件Zimbra Collaboration Suite（ZCS）在9月初修補的重大漏洞CVE-2024-45519，資安業者Proofpoint在10月1日示警，指出自9月28日觀察到有駭客鎖定未修補用戶的攻擊活動，另一是Ivanti5月修補Ivanti Endpoint Manager的漏洞CVE-2024-29824 ，該公司近期更新公告，確認遭利用且有限數量的客戶已成為目標。</p> <p>另外4個近期確認有攻擊行動鎖定的老舊漏洞，則包括：D-Link DIR-820路由器的漏洞（CVE-2023-25280 ）、DrayTek多款Vigor Routers的漏洞（CVE-2020-15415）、Motion Spell的GPAC軟體的漏洞（CVE-2021-4043 ），以及SAP Commerce Cloud的漏洞（CVE-2019-0344）</p> <p>在資安漏洞修補與揭露方面，本星期這方面的報導相當多，最優先要注意的是Unix通用列印系統（CUPS）一系列漏洞的修補，因為這廣泛影響Linux及Unix作業系統。此外，還有多家業者的產品安全公告發布，包括：居易、HPE Aruba、WatchGuard、Progress的WhatsUp Gold等，特別的是，在TWCERT/CC的台灣漏洞揭露平台（TVN）上，新公開了普萊德科技旗下交換器大量漏洞，而普萊德也已針對市售機種發布新版韌體修補。</p> <p>在車用資安方面的消息，更是引發不少人憂心，因為汽車大廠Kia網站被發現有漏洞可讓攻擊者駭入並控制車子，2013年以後車款都受影響，所幸知名白帽駭客Sam Curry先發現這樣的問題，Kia也已在接獲通報後於8月修補。</p> <p>其他還有雲端、BMC基版的漏洞消息，需要不同產業的關切。例如，Nvidia Container Toolkit的漏洞（CVE-2024-0132）修補，由於全球有3成雲端環境都安裝有該函式庫，研究人員呼籲儘速因應；另一是7月Supermicro修補了由Nvidia通報的BMC重大漏洞（CVE-2024-36435），9月底資安業者Binarly揭露更多研究發現，強調這是今年最嚴重的BMC漏洞。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/165259"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月30日】Unix與Linux普遍內建的列印系統CUPS存在重大漏洞</span></strong></a></h3> <p>最近幾天有許多漏洞相關的消息揭露，其中有一起引起資安圈的高度關注，原因是透露此事的研究人員指出，漏洞的CVSS風險評分達到了9.9，而且，這樣的漏洞存在於Unix與Linux普遍內建的列印系統CUPS當中，可能有數十萬臺設備曝險。</p> <p>這樣的情況，一度有人認為可能會造成類似Log4Shell的危機，而使得資安圈不敢掉以輕心。</p> <h3><a href="https://www.ithome.com.tw/news/165282"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月1日】駭客組織Storm-0501將攻擊範圍延伸到雲端環境</span></strong></a></h3> <p>為了讓攻擊行動帶來更大的危害，不少駭客將範圍從受害組織的內部網路環境，延伸到雲端環境。最近微軟揭露駭客組織Storm-0501的攻擊行動，就是典型的例子。</p> <p>研究人員特別提及這些駭客作案手法與過往最大的不同之處，在於他們對雲端身分管理服務Entra ID、Entra Connect等元件進行滲透，得逞後於雲端環境植入後門程式，以便存取受害組織的內部網路環境。</p> <p><a href="https://www.ithome.com.tw/news/164966"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月4日】駭客假借提供AI脫衣程式為誘餌，企圖散布惡意軟體</span></strong></a></p> <p>生成式AI應用越來越廣泛，其中部分存在道德及法律爭議，而最常見的一種便是所謂的脫衣程式。</p> <p>如今有駭客假借提供這種非法工具的名義，引誘使用者上當，他們架設釣魚網站展示效果，並誘惑使用者下載「應用程式」，一旦依照指示下載、安裝，電腦就會被植入惡意軟體。</p> </div></div></div>
2024/10/7 09:50作者羅正漢https://www.ithome.com.tw/news/165355
曾開源Radius的微軟部門，開源變更資料處理技術Drasi
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟Azure Incubation部門上周<a href="https://azure.microsoft.com/en-us/blog/drasi-microsofts-newest-open-source-project-simplifies-change-detection-and-reaction-in-complex-systems/" target="_blank">開源新資料處理Drasi專案</a>，提供開發及網管人員簡化複雜IT基礎架構中關鍵事件偵測，以便採取立即因應行動。</p> <p>Azure Incubation業務部除了Drasi，也負責RADIUS（Remote Authentication Dial in User Service）驗證標準輕量協定的<a href="https://techcommunity.microsoft.com/t5/educator-developer-blog/introducing-radius-a-new-open-source-project-for-teams-building/ba-p/3976183" target="_blank">開源計畫</a>。該組織另外還推動了<a href="https://dapr.io" target="_blank">Dapr</a>、<a href="https://keda.sh" target="_blank">KEDA</a>，現在都捐給了雲端原生運算基金會（Cloud Native Computing Foundation，CNCF）。</p> <p>微軟說明，事件驅動系統雖然能提供即時回應，以及有效解耦（decoupling）服務，但做起來並不容易，因為在真實應用上，事件的頻率和複雜性都提升，要偵測跨不同元件的事件變更變得棘手。此外，這些資料存在互不相通的系統，格式也各異，還要考慮網路延遲性、網路壅塞造成事件處理延遲。</p> <p>現行開發人員苦於建立事件處理機制，因為現有函式庫和服務鮮少提供端到端的統一框架可支援變更偵測和回應。他們往往必須很辛苦地把多項工具拼湊起來，整個系統架構變得複雜，難以維護和擴充。現有產品使用輪詢（polling）和查詢（query）工具效率不高，導致系統效能瓶頸或耗資源，另外，許多變更偵測工具欠缺即時執行能力，而是仰賴批次處理、資料定序（data collation），要不然就得延後分析。</p> <p>Drasi能自動化複雜系統中的反應，提供即時建議資訊，又不需傳統方法的資料處理作業。它採取輕量級設計，追蹤log和變更feed中的系統變更，而不是把資料複製一份到集中化資料湖，或是重複查詢多個資料源。微軟說明，Drasi使用持續查詢（Continuous Queries）方法，查詢指令是以Cypher Query Language寫成，能從多個來源整合資料，而不用預先定序作業，它追蹤的資料包括log、資料庫更新、系統量測值。完成變更後，Drasi即登記自動化反應，像是傳送警示、告知其他系統、或執行修正步驟，這些都可視用戶管理需求自訂。</p> <p>Drasi上周公開於<a href="https://github.com/drasi-project" target="_blank">GitHub</a>。Drasi元件（Sources、Reactions）預設支援PostgreSQL、Microsoft Dataverse、Azure Event Grid，但用戶也可整合想要的資料源。</p> </div></div></div>
2024/10/7 06:00作者林妍溱https://www.ithome.com.tw/news/165351
蘋果公布AI模型Depth Pro，不到1秒就能將2D圖片轉為3D圖片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://arxiv.org/pdf/2410.02073" target="_blank">蘋果上周展示</a>最新視覺模型名為Depth Pro，能在不使用相機影像情況下，將2D圖片轉化成3D圖。</p> <p>Depth Pro是一種零樣本單眼深度估計（monocular depth estimation）的基礎模型，能為高解析度深度圖加入細節銳利度，成為高品質3D圖像。使用單眼深度估計技術的好處是可以應用於任何類型圖片，且可零樣本訓練出具有可量測的深度，因而能準確重製物件形狀、場景布局，用在地圖上，則可重製具有絕對尺度值的深度圖（depth map），而且不需提供相機內部參數metadata（像是焦距）給模型。簡而言之，這種AI模型預測方法不需要感測器數據即可準確預測，也可用任何單一圖片來合成想要的圖片。</p> <p>在研究方法上，研究團隊使用了2個視覺Transformer（vision transformer，ViT）模型，包括一個影像補片編碼器（patch encoder）和一個影像編碼器（image encoder），前者負責將圖片切成小補片，完成特徵提取、推論圖片像素的深度，後者以上下文（context）訊息提升深度估計的準確性。模型完成後的後處理方面，團隊以真實和合成資料集來提升量測準確性以及物件邊界跟蹤（boundary tracing）能力，輔以另一個影像編碼器模型提供的焦距估計，藉此優化3D圖片生成結果。</p> <p>在邊界準確度測試上，Depth Pro超過所有現有模型，像是Marigold和PatchFusion。該模型另一優點是速度快，在實測中可以在一臺使用一顆Nvidia V100 GPU上0.3秒內生成2.25-megapixel的深度圖。</p> <p class="rtecenter"><a href="https://arxiv.org/abs/2410.02073" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1007-Apple-Depth%20Pro%20model-2.png" style="width: 570px;" /></a></p> <p><a href="https://arxiv.org/abs/2410.02073" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源／arXiv:2410.02073 [cs.CV]</span></span></a></p> <p>連同論文，蘋果並將Depth Pro模型程式碼和加權值等公布在<a href="https://github.com/apple/ml-depth-pro" target="_blank">GitHub</a>上。</p> </div></div></div>
2024/10/7 06:00作者林妍溱https://www.ithome.com.tw/news/165352
網傳PChome疑似資料庫外洩，網路家庭澄清並無此事，研判用戶帳號盜用可能遭撞庫攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今日下午有網友聲稱知名電商平臺PChome疑似備份的資料庫外洩，高儲值帳號遭鎖定被盜，這項消息引發眾多用戶的關注，並在多個社群平臺轉發此則訊息，想要了解是否真有如此狀況。網路家庭表示，此為不實謠言，並無資料庫外洩的情事，至於用戶帳號遭不明登入的情形，研判有不肖人士利用其他網站外流的用戶帳號密碼，嘗試登入PChome24購物網站。</p> <p>這項網路消息，是有網友在電子布告欄批踢踢實業坊（PTT）的省錢版上發布，標題是「疑似PCHOME資料庫外洩鎖定高儲值帳號被盜」，發布於下午1點26分，文章內容提及該網友自身、友人與家人的帳號被盜狀況，並推測PCHOME流出的資料不是目前最新的資料，而是幾個月前的資料庫，也許是備份的資料庫。由於該網友以自身經歷描述事件，加上一些民眾在Meta等平臺轉貼與詢問，引起廣泛關注。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-05_182315.jpg" style="width: 600px;" /></p> <p>我們在下午近6時詢問網路家庭，該公司駁斥此為不實謠言，鄭重澄清絕無資料庫外洩之情事，也說明帳號盜用相關事件的狀況。</p> <p>網路家庭表示，PChome 24h購物系統內並無儲存用戶的密碼，關於網路貼文提及用戶帳號遭不明登入的情形，經查後他們研判應為不肖人士在其他網站取得用戶email及密碼後，再利用這些密碼於PChome 24h購物網站來嘗試登入。</p> <p>根據該公司的說明，這應是所謂的帳號填充攻擊（Credential Stuffing）手法，也就是俗稱的撞庫攻擊手法，駭客利用已遭駭網站所取得的帳號與密碼，嘗試在另一個網站上登入，藉此取得帳號的控制權。當用戶在多個網站皆使用相同密碼，攻擊者就能乘機駭入使用者帳號。</p> <p>對於有用戶帳號遭盜用的狀況，網路家庭表示，已在第一時間全面清查，針對疑似受影響的帳號進行強制登出，並通知用戶修改密碼，同時也建議用戶，應盡可能在不同的網站間、使用不同的密碼。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-05_191114.jpg" style="width: 600px;" /></p> <p>此外，我們在網路查詢PChome帳號問題的文章時，發現在PTT省錢版上，上述文章發表的兩小時前，還有另一篇文章的標題是「請益這則pchome盜用帳號的消息是真的嗎」，但此篇文章在下午6時前已經刪文。不過，外界仍可透過網頁版<a href="http://www.pttweb.cc">www.pttweb.cc</a>上的記錄，發現該文章的內容是詢問pchome盜用帳號的消息是否為真？並附上一張看起來是LINE群組的截圖。</p> <p>值得關注的是，上述兩篇網路文章可能都是同一人張貼，雖然兩篇文章在PTT上顯示的IP位址不同，但因為都選擇在省錢版上發文，而不是在其他看板，加上發文時間相近，容易讓人產生聯想。</p> </div></div></div>
2024/10/5 19:34作者羅正漢https://www.ithome.com.tw/news/165347
挑戰OpenAI Sora，Meta影片生成AI模型Movie Gen明年登上IG
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta上周預告最新AI影片生成模型<a href="https://ai.meta.com/research/movie-gen/" target="_blank">Meta Movie Gen家族</a>，可生成高品質的圖片和影片、音效或配樂，效能優於包括OpenAI Sora等競爭對手。新模型工具預計明年登上IG。</p> <p>Meta執行長祖克柏（Mark Zuckerberg）透過<a href="https://www.instagram.com/reel/DAs_J17Pw0G/" target="_blank">Threads公布</a>可生成和編輯影片的Movie Gen AI模型，預告2025年將登上Instagram（IG）。祖克柏還展示了Movie Gen將他健身用的腿推機變化成羅馬時期、農村、工業機械及太空科技風格的器械，其中羅馬時期影片的他還換上了羅馬武士服裝。</p> <p class="rtecenter"><a href="http://www.instagram.com/reel/DAs_J17Pw0G/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-Movie%20Gen%20Video-3.png" style="width: 600px;" /></a></p> <p>目前Movie Gen還在開發中，在官方部落格中，<a href="https://ai.meta.com/blog/movie-gen-media-foundation-models-generative-ai-video/" target="_blank">Meta稱它是</a>其AI媒體研究的重大突破，具備多模態能力，包括圖片、影像和聲音，讓開發人員輸入文字提示即可產生自製影片和音訊、編輯現有影片，或是將圖片轉化為影片。<a href="https://ai.meta.com/blog/movie-gen-media-foundation-models-generative-ai-video/" target="_blank">Meta聲稱</a>Movie Gen效能品質在許多任務上已超越業界類似模型，包括Open AI Sora。</p> <p>Movie Gen為Meta最新一代AI影片生成工具。第一代是2022年公布能產製影音、圖片和3D動畫的<a href="https://www.ithome.com.tw/news/153373" target="_blank">Make-A-Scene</a>，第二代是基於擴散模型的<a href="https://ai.meta.com/research/publications/emu-enhancing-image-generation-models-using-photogenic-needles-in-a-haystack/" target="_blank">Llama Image基礎模型</a>，後者提供更高影音品質及圖片編輯功能。Movie Gen屬於第三代，融合所有模態，允許使用者更大的影片控制能力。。</p> <p>Movie Gen是以經授權或公開可用的資料集，所訓練而成的300億參數Transformer模型。它是一組具備引人入勝說故事能力的模型，具備4種模型版本，包括影片生成、個人化影片生成、精準影片編輯及聲音生成版本。</p> <p>Movie Gen基礎模型具備物體動作、主題和物件互動、以及相機運動的理解能力，還能學習多種概念的動作，例如它能生成特寫、廣角、空照、低角度、第一人視角的影片，而且克服了生成影片常出現的物件扭曲／模糊、動作不自然、或罕見動作不完整（如貓熊彈鋼琴）。在影片功能上，Movie Gen能產出16 fps的高畫質16秒影片。在基礎版Movie Gen之外，Meta也提供允許以文字或影片控制、微調生成結果的版本。</p> <p>此外並有可影片精準編輯版本，讓用戶以文字或影片提示精準控制想要的效果。這個版本讓用戶在生成的影片增加、移除或取代部份元素，或是變更背景及修改風格。Meta並強調，不同於別家工具，這項新工具不但具備更精準控制、不需要專業背景，它生成過程會保留原始內容，而只針對相關像素施以變更。</p> <p>Movie Gen還有一個130億參數的聲音生成模型版本，可接收影片或文字提示，生成最長45秒和影片同步的音訊，包括環境音、音效，或是樂器背景音樂。Meta還提供音訊延長工具，可生成任意長度的影片所需的聲音，並兼顧聲音品質、影音同步、文字聲音同步的效果需求。</p> <p>Meta<a href="https://ai.meta.com/static-resource/movie-gen-research-paper" target="_blank">論文提供</a>的A/B人為評估測試，比較Movie Gen和市面模型，包括Runway Gen3、OpenAI Sora、Kling 1.5、PikaLabs Sound的整體Net Win Rate，其中在影片生成效果方面，Meta的模型和Kling差不多，優於OpenAI Sora，並大勝Runway Gen 3，其他三項能力則大勝對手模型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-Movie%20Gen%20Video.png" style="width: 600px;" /></p> <p>而和前代模型一樣，Movie Gen也將成為Meta未來多項新服務的底層引擎。除了IG，Meta預告，新模型未來也會整合在其他平臺產品中，包括提供以文字提示生成短影片Reels、或是生成祝福以WhatsApp傳送等。</p> </div></div></div>
2024/10/5 20:22作者林妍溱https://www.ithome.com.tw/news/165349
OpenAI高層動盪持續，Sora模型共同領導人之一跳槽Google DeepMind
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI再傳高層人士出走，短影片AI生成服務Sora的共同領導人Tim Brooks將跳槽Google AI部門DeepMind。</p> <p><a href="https://x.com/_tim_brooks/status/1841982327431561528" target="_blank">Brooks上周透過X宣布</a>自己將加入Google DeepMind部門發展影片生成和「模擬世界的工具」。他除了對即將和一群菁英團隊合作感到興奮，也對同事二年的OpenAI表達感謝。</p> <p>Brooks和William Peebles共同領導的部門今年2月公布的<a href="https://www.ithome.com.tw/news/161312" target="_blank">Sora</a>，能依據用戶輸入的文字提示，生成最長1分鐘的高畫質影片。Sora生成影片的高品質與影片編排、場景、人物表情的專業性，震驚影音內容產業包括攝影師、視覺設計、好萊塢從業人員，擔心自己將在AI競爭下飯碗不保。</p> <p>另一方面，Brooks也是OpenAI最新出走的高層主管。今年以來，已有OpenAI共同創辦人<a href="https://www.ithome.com.tw/news/164311" target="_blank">John Schulman</a>、共同創辦人<a href="https://www.ithome.com.tw/news/162887" target="_blank">Ilya Sutskever</a>、技術長<a href="https://www.ithome.com.tw/news/165197" target="_blank">Mira Murati</a>、研究長Bob McGrew等高階主管出走，加入競爭對手或自立門戶。他們公開出走的理由是OpenAI已經從非營利機構或研究單位變成一家追逐商業利益的公司，且不再重視AI安全性。近來市場盛傳OpenAI打算將核心業務重組成一家營利性的公司，欲擺脫董事會的控管。</p> <p>上周OpenAI<a href="https://www.ithome.com.tw/news/165304" target="_blank">宣布</a>已完成66億美元的增資活動，此次增資讓該公司的市值達到1,570億美元。</p> </div></div></div>
2024/10/5 20:50作者林妍溱https://www.ithome.com.tw/news/165350
Google Play Store可能已移除卡巴斯基
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>卡巴斯基在從美國市場撤出後，可能已遭Google從Play Store上移除。</p> <p>日前用戶<a href="https://forum.kaspersky.com/topic/is-kaspersky-blocked-removed-from-google-play-50791/" target="_blank">發現</a>無法從Google Play Store下載卡巴斯基防毒軟體，但是蘋果App Store則仍能下載這家俄國公司的防毒軟體。上周卡巴斯基<a href="https://forum.kaspersky.com/topic/is-kaspersky-blocked-removed-from-google-play-50791/#comment-188037" target="_blank">證實此事</a>。</p> <p>該公司說正在調查原因，卡巴斯基強調在所有平臺上架的產品都是一樣的，建議用戶轉向其他Android應用程式市集平臺，包括三星Galaxy Store、華為的Huawei AppGallery及小米的Xiaomi GetApps等。此外，用戶也可從卡巴斯基官網<a href="https://support.kaspersky.com/common/beforeinstall/16085#block1" target="_blank">下載.apk檔</a>安裝。</p> <p>這可能和卡巴斯基被迫撤出美國市場有關。卡巴斯基6月份被美國商務部以威脅國家安全為由，下令停止在美銷售產品後，7月宣布關閉美國分公司，退出當地市場。上個月卡巴斯基<a href="https://www.ithome.com.tw/news/164886" target="_blank">通知美國用戶</a>，當地訂閱用戶使用的防毒軟體將改成名為UltraAV的產品。</p> <p>雖然卡巴斯基方面已通知用戶，但仍然有大批用戶在9月23日才驚訝地<a href="https://techcrunch.com/2024/09/23/some-kaspersky-customers-receive-surprise-forced-update-to-new-antivirus-software/" target="_blank">發現</a>防毒軟體一夕之間變成了UltraAV。報導<a href="https://cybernews.com/news/kaspersky-users-shocked-by-automatic-antivirus-replacement/" target="_blank">指出</a>用戶電腦中的卡巴斯軟體自我刪除後，自動被安裝了美國業者Pango子公司UltraAV的軟體。一名美國前網路安全官員暨資安專家<a href="https://twitter.com/RGB_Lights/status/1838225276045529336" target="_blank">表示</a>這就是將電腦根存取權限交給卡巴斯基具有高風險的明證。</p> </div></div></div>
2024/10/5 19:45作者林妍溱https://www.ithome.com.tw/news/165348
VS Code 1.94強化Python測試覆蓋率，還遷移至ES模組提升啟動效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://code.visualstudio.com/updates/v1_94#_esm-is-shipping-for-vs-code">微軟釋出跨平臺程式碼編輯器VS Code最新版本1.94</a>，該版本帶來多項功能強化，包括Explorer檢視更靈活的搜尋功能、擴充的Source Control Graph操作，以及對Python測試覆蓋率的支援。此外，VS Code也已遷移至ECMAScript模組（ESM），顯著提升啟動效能，提供開發者更流暢的開發體驗。</p> <p>在這次的更新中，VS Code首次引入內建的Python測試覆蓋率功能，讓開發者可以更方便地檢視測試覆蓋率。透過Test Explorer中的覆蓋率執行圖示，或是使用Run with coverage指令，開發者可以簡單執行測試並且獲得覆蓋率結果。</p> <p>該功能支援pytest、unittest兩種Python測試框架，當開發者使用pytest框架時，VS Code會透過pytest-cov擴充套件分析測試覆蓋率，如果是使用unittest框架，VS Code則是使用coverage.py工具。過去開發者必須仰賴外部工具與手動設定才能查看覆蓋率，但現在可以直接使用VS Code內建視覺化支援，大幅簡化流程。</p> <p>測試完成後，VS Code會對程式碼行數上色，更直覺地呈現已被測試和未測試程式碼部分，同時開發者也可在Test Explorer的測試覆蓋率標籤頁中，查看每個檔案和資料夾的覆蓋率指標。</p> <p>新版VS Code在原始碼控制方面，對Source Control Graph檢視進行多項更新，其中包括新增儲存庫選擇器功能，讓開發者可以在處理多儲存庫專案時，能夠選擇並且專注於特定的儲存庫進行查看和操作。除此之外，VS Code 1.94的Explorer搜尋功能，可讓開發者在大型專案中搜尋檔案更容易，只要使用快捷鍵即可開啟搜尋控制，並可在模糊比對和連續比對之間切換，以獲得靈活的搜尋結果。</p> <p>微軟在VS Code 1.94版本已經遷移使用ECMAScript模組，藉由取代過去的AMD（Asynchronous Module Definition）載入器，消除了額外的載入負擔，讓VS Code啟動速度獲得大幅提升，同時，主要工作臺（Workbench）套件大小也縮減超過10％，進一步改進整體效能，改善開發者使用體驗。</p> <p>此外，因為ECMAScript模組是現代JavaScript開發標準，這次遷移使得VS Code能夠充分整合新一代工具，包括Webpack、Rollup等，藉由更好的載入和編譯方式，提供開發者更高效的工作流程。官方也強調，這項變動不會影響擴充套件的載入方式，確保現有擴充功能可以持續正常運作。</p> </div></div></div>
2024/10/5 19:18作者李建興https://www.ithome.com.tw/news/165333
Graviton 4進駐運算優化與一般用途，AWS擴充第8代運算服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/x8g-2-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年7月AWS發表<a href="https://www.ithome.com.tw/review/163938">首款採用Gavition 4處理器的執行個體R8g</a>，提供記憶體優化類型的雲端運算服務，9月推出更多款第四代自研處理器的執行個體，像是18日推出另一款同為記憶體優化類型的X8g，目前先在3個區域供應：美國東部（維吉尼亞北部）、美國西部（奧勒岡）、歐洲（法蘭克福）；25日推出運算優化類型的C8g，以及一般用途類型的M8g，已在4個區域供應：美國東部（維吉尼亞北部）、美國東部（俄亥俄）、美國西部（奧勒岡）、歐洲（法蘭克福）。</p> <p>若就單臺執行個體的系統資源組態而言，這4款雲端運算服務的共通點在於：最多都能提供192顆虛擬處理器，搭配DDR5-5600記憶體，網路頻寬最高為50 Gbps，儲存限用EBS區塊儲存服務，存取EBS頻寬最高為40 Gbps，而在底層搭配的硬體I/O卸載與安全隔離架構，它們也是少數率先導入第五代Nitro System技術的雲端運算服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS Nitrov5-instances.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Nitrov5-instances.jpg" style="width: 200px;" /></a></p> <p>以<a href="https://aws.amazon.com/tw/blogs/aws/now-available-graviton4-powered-memory-optimized-amazon-ec2-x8g-instances/">上個月推出的X8g</a>為例，CPU數量與記憶體容量比例為1:16，屬於記憶體優化的EC2 X系列雲端運算服務，單臺X8g執行個體最大提供3,072 GiB記憶體。相較於稍早推出的R8g，CPU數量與記憶體容量比例為1:8，單臺執行個體最大提供1,536 GiB記憶體，適用的工作負載涵蓋開放原始碼資料庫（PostgreSQL、MySQL）、記憶體快取（in-memory cache，例如Redis），以及即時大數據分析（Apache Spark）。</p> <p>若對照CPU數量與記憶體容量比例同為1:16的EC2 X系列雲端運算服務，適用的工作負載不只是記憶體快取、即時分析、關聯式資料庫，也包含電子設計自動化（EDA）、記憶體內資料庫（SAP HANA），以及受到記憶體容量大小限制的微服務（memory-constrained microservices），而AWS先前搭配自研處理器的這類型運算服務是X2gd，採用Graviton 2處理器，單臺執行個體最多提供64顆虛擬處理器，記憶體容量最大提供1,024 GiB，網路頻寬最高為25Gbps，存取EBS頻寬最高為19 Gbps。新一代的X8g採用運算效能提升60％的Graviton 4處理器，虛擬處理器數量與記憶體容量上限增長至3倍之多，網路頻寬與存取EBS頻寬上限提升至兩倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/X8g-performance.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/X8g-performance.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/X8g-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/X8g-3.jpg" style="width: 600px;" /></a></p> <p>再看看<a href="https://aws.amazon.com/tw/blogs/aws/run-your-compute-intensive-and-general-purpose-workloads-sustainably-with-the-new-amazon-ec2-c8g-m8g-instances/">最新推出的M8g與C8g</a>，對比現行同樣採用AWS自研處理器的M7g與C7g，從各自搭配的第三代與第四代Graviton而言，運算效能提升30％、L2快取增加1倍、記憶體頻寬提升75％，而在單臺執行個體的組態配置規格比較，M8g與C8g的虛擬處理器最大數量及記憶體容量，均增長至3倍（處理器皆為192顆對上64顆，記憶體的部分，M8g為768 GiB對上M7g的256GiB，C8g為384 GiB對上C7g的128 GiB）；<img alt="" src="https://s4.itho.me/sites/default/files/images/M8g-performance.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/m8g-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/m8g-3.jpg" style="width: 600px;" /></a></p> <p>而在網路與儲存I/O方面，M8g與C8g最大網路頻寬領先67％（50 Gbps對上30 Gbps），存取EBS頻寬提升1倍（40 Gbps對上20 Gbps）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/C8g-Performance.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/C8g-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C8g-3.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><span style="color:#0000FF;"><strong>AWS Amazon EC2 X8g、M8g、C8g</strong></span><br /> ●原廠：AWS<br /> ●建議售價：美國東部（維吉尼亞北部），隨需定價，x8g.medium每小時0.0977美元，m8g.medium每小時0.04488美元，c8g.medium每小時0.03988美元<br /> ●執行個體服務類型：一般用途M8g、運算優化C8g、記憶體優化X8g<br /> ●處理器：AWS Graviton 4<br /> ●提供服務規模選擇：medium、large、xlarge、2xlarge、4xlarge、8xlarge、12xlarge、16xlarge、24xlarge、48xlarge、metal-24xl、metal-48xl，<br /> vCPU數量1至192顆，記憶體DDR5-5600容量2至3,072 GiB，網路頻寬12.5至50 Gbps，儲存裝置限用AWS區塊儲存服務EBS，EBS頻寬10 Gbps至40 Gbps</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/10/5 15:53作者李宗翰https://www.ithome.com.tw/review/165346
【資安日報】10月4日，駭客假借提供AI脫衣程式為誘餌，企圖散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI應用越來越廣泛，其中部分存在道德及法律爭議，而最常見的一種便是所謂的脫衣程式。</p> <p>如今有駭客假借提供這種非法工具的名義，引誘使用者上當，他們架設釣魚網站展示效果，並誘惑使用者下載「應用程式」，一旦依照指示下載、安裝，電腦就會被植入惡意軟體。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165307"><strong style="font-size: 22px;">俄羅斯駭客FIN7以DeepNude生成器為誘餌，目的是散布惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/7-fin7-update-click-free-download.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/7-fin7-update-click-free-download.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Silent Push本周警告，該公司在今年7月發現了屬於駭客組織FIN7的逾4,000個網域名稱與IP位址，並發現其中有7個網站是利用AI脫衣工具DeepNude為誘餌來吸引受害者，進而於受害者系統上植入惡意程式。</p> <p>研究人員發現，FIN7建立了7個色情網站，並提供DeepNude生成功能，以免費下載或免費試用等方式，誘導使用者下載惡意程式，以竊取使用者的憑證與Cookie，或是允許駭客自遠端存取，進而下載其他惡意程式或植入勒索軟體。</p> <p>駭客部署了許多複雜的技術來躲避偵測，像是使用多個打包器，把惡意程式嵌入Pascal程式碼中，或是利用Java啟動器來隱藏或執行惡意程式。</p> <p><a href="https://www.ithome.com.tw/news/165329"><strong style="font-size: 22px;">Zimbra上個月修補的CVE-2024-45519遭大規模利用</strong></a></p> <p>電子郵件與協作平臺Zimbra在上個月修補安全漏洞CVE-2024-45519，且於近日傳出已遭大規模利用，資安專家爭相呼籲使用者儘速更新。</p> <p>資安業者Proofpoint在9月28日發現有人企圖利用這項漏洞，HarfangLab的首席網路威脅研究人員Ivan Kwiatkowski則在10月1日指出，駭客已開始大規模利用，自單一IP位址寄出大量惡意郵件。</p> <p>資安專家認為，無需通過身分驗證讓CVE-2024-45519漏洞特別危險，代表任何能夠存取執行PostJournal服務之網路的使用者，都得以利用該漏洞，呼籲Zimbra用戶最好儘快修補，若是無法及時修補，應暫時關閉PostJournal服務因應。</p> <p><a href="https://www.ithome.com.tw/news/165330"><strong style="font-size: 22px;">Ivanti裝置管理系統重大SQL注入漏洞已被用於攻擊行動</strong></a></p> <p>今年5月資安業者Ivanti修補裝置管理平臺Endpoint Manager（EPM）重大層級的SQL注入漏洞CVE-2024-29824，隔月資安業者Horizon3.ai公布相關細節與概念性驗證程式碼（PoC），指出攻擊者有機會藉此於EPM隨意執行命令，呼籲IT人員應確認該系統是否遭到入侵的跡象，檢查SQL Server的事件記錄檔案，了解是否有人透過xp_cmdshell執行命令的情形。如今這款產品的供應商證實，該漏洞已被用於實際攻擊行動。</p> <p>10月1日Ivanti更新公告內容，說明他們得知該漏洞已被駭客利用，有部分客戶遭遇攻擊行動。美國網路安全暨基礎設施安全局（CISA）於隔日列入已被利用的漏洞列表（KEV），要求聯邦機構於10月23日以前完成修補。</p> <p><a href="https://www.ithome.com.tw/news/165265"><strong style="font-size: 22px;">明碼儲存用戶密碼，Meta被愛爾蘭政府罰款9,100萬歐元</strong></a></p> <p>社群平臺Meta數年前被發現未加密儲存用戶密碼，上周遭愛爾蘭資料保護主管機關處以9,100萬歐元罰金。</p> <p>2019年3月Meta被發現以明碼儲存用戶密碼，其愛爾蘭分公司向愛爾蘭資料保護委員會（Data Protection Commission，DPC）坦承不慎以明文形式將「某部分」用戶密碼儲存在內部系統，DPC於4月啟動調查，6月DPC做出裁決草案，這份草案獲得歐盟會員國主管機關無異議通過。DPC也在9月26日通知Meta最終裁決，包含9,100萬歐元罰款。</p> <p>根據安全專家Brian Krebs報導2019年Meta的資安事故，估計共有2億到6億臉書用戶密碼以明文儲存，而可被2萬名Meta員工搜尋，這起外洩事件最早可追溯到2012年。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.welivesecurity.com/en/eset-research/separating-bee-panda-ceranakeeper-making-beeline-thailand/">中國駭客CeranaKeeper鎖定東南亞竊取機敏資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/i/mdr-in-action--preventing-the-moreeggs-backdoor-from-hatching--.html">駭客偽裝成求職者散布後門程式More_eggs</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.recordedfuture.com/research/rhadamanthys-stealer-adds-innovative-ai-feature-version">竊資軟體Rhadamanthys透過AI進行文字辨識，挖掘加密貨幣錢包通關密語</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.imperva.com/blog/trouble-in-da-hood-malicious-actors-use-infected-pypi-packages-to-target-roblox-cheaters/">惡意軟體Skuld Stealer、Blank Grabber鎖定Roblox作弊玩家而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/north-korea-hackers-linked-to-breach-of-german-missile-manufacturer/">北韓駭客傳出滲透德國國防業者Diehl Defence</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165326"><strong style="font-size: 22px;">Supermicro基板管理控制器韌體存在能被輕易利用的漏洞</strong></a></p> <p>Supermicro基板管理控制器（BMC）出現重大層級漏洞CVE-2024-36435，這項漏洞起初由Nvidia資安團隊通報，該公司於7月發布公告及新版韌體因應。針對此事，9月底資安業者Binarly揭露相關細節。</p> <p>此漏洞引起研究人員高度關注的原因，在於攻擊者可在未經身分驗證的情況下，輕易地藉由發出請求觸發弱點，引起記憶體堆疊溢位，最終有機會執行任意程式碼。Binarly認為，這是今年度最嚴重的BMC漏洞。</p> <p>Binarly針對這項漏洞進一步分析，他們提到該漏洞存在於BMC的網路元件，假如攻擊者能夠存取BMC網頁介面，就能利用漏洞，而且，過程中無須通過身分驗證，也不需要使用者互動。</p> <p><a href="https://www.ithome.com.tw/news/165332"><strong style="font-size: 22px;">DrayTek修補危險程度達到10分的重大漏洞，70萬臺路由器恐受影響</strong></a></p> <p>資安業者Forescout指出，他們在居易科技（DrayTek）路由器找到14個漏洞，有2個為重大層級，其中1個CVSS風險評分達到滿分（10分），值得留意的是，這些漏洞存在於24款機種，但其中有11款生命週期已經結束（EOL）。他們在全球168個國家當中，看到有70.4萬臺路由器曝險，其中有超過半數位於歐洲（42.5萬臺）最多，亞洲有超過19萬臺居次。</p> <p>對此，居易在本日發布資安公告，表示他們於6月20日得知此事，這些漏洞被登記為CVE-2024-41583至CVE-2024-41596，他們已為受影響的設備提供新版韌體，呼籲用戶應儘速升級。此外，他們也建議採用最佳實務措施，包括停用遠端存取的管道、使用存取控制名單（ACL）、啟用雙因素驗證（2FA）等措施。</p> <p>若是IT人員無法及時套用新版韌體，應一併停用管理員遠端存取，以及SSL VPN功能。我們也洽詢居易，想確認此項弱點目前處理狀態，該公司表示他們在8月釋出修補，臺灣現行銷售的機種皆完成修補。</p> <p><a href="https://www.ithome.com.tw/news/165321"><strong style="font-size: 22px;">臺廠普萊德交換器存在重大漏洞</strong></a></p> <p>9月30日台灣電腦網路危機處理暨協調中心（TWCERT/CC）發布資安公告，指出臺廠普萊德（Planet）旗下的交換器存在12項中、高風險漏洞，CVSS風險評分界於4.8至9.8，有可能導致遠端程式碼執行、未經授權存取、阻斷服務（DoS）。對此，普萊德已針對部分機種發布新版韌體修補。</p> <p>這些漏洞影響的範圍涵蓋3款機種，包含搭配2.0版硬體的GS-4210-24PL4C、搭配3.0版硬體的GS-4210-24P2S，以及搭配1.0版硬體的IGS-5225-4UP1T2S。值得留意的是，前兩款機型都有修補漏洞，至於IGS-5225-4UP1T2S，由於其產品生命週期已經結束，該公司不再支援，因此，他們本次並未提供修補，而是呼籲用戶應更換設備。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165245"><strong style="font-size: 22px;">新版作業系統上市在即，微軟為AI功能Recall加強安全措施</strong></a></p> <p>在Recall功能因隱私疑慮延遲將近3個月後，於Windows 11 24H2推出前夕，微軟於9月27日宣布新增安全功能，包含加密儲存、整合生物驗證功能Windows Hello，以及虛擬隔離區技術，為其重新推出鋪路。</p> <p>首先，快照（snapshot）和任何相關資訊都會保持加密儲存在向量資料庫中，加密金鑰經由晶片的信賴平臺模組（TPM）和用戶的Windows Hello進階簽入安全身分綁在一起，只能在虛擬化安全隔離區（VBS Enclave）中使用。這表示其他人都無法存取這些金鑰，因而無法解密資訊。</p> <p>再者，使用、管理Recall必須通過Windows Hello進階身分驗證，為了避免被惡意程式「搭便車」，用戶完成驗證後只能短暫解密Recall內容查詢。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165282"><strong>【10月1日】駭客組織Storm-0501將攻擊範圍延伸到雲端環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165259"><strong>【9月30日】Unix與Linux普遍內建的列印系統CUPS存在重大漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165236"><strong>【9月27日】駭客利用Docker引擎API進行挖礦</strong></a></p> </div></div></div>
2024/10/4 18:19作者周峻佑https://www.ithome.com.tw/news/165334
臺廠普萊德交換器存在重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月30日<a href="https://www.twcert.org.tw/tw/lp-132-1.html">台灣電腦網路危機處理暨協調中心（TWCERT/CC）發布資安公告</a>，指出臺廠普萊德（Planet）旗下的交換器存在12項中、高風險漏洞，CVSS風險評分界於4.8至9.8，有可能導致遠端程式碼執行、未經授權存取、阻斷服務（DoS）。對此，普萊德已針對部分機種發布新版韌體修補。</p> <p>這些漏洞影響的範圍涵蓋3款機種，包含搭配2.0版硬體的GS-4210-24PL4C、搭配3.0版硬體的GS-4210-24P2S，以及搭配1.0版硬體的IGS-5225-4UP1T2S。值得留意的是，前兩款機型都有修補漏洞，至於IGS-5225-4UP1T2S，由於其產品生命週期已經結束，該公司不再支援，因此，他們本次並未提供修補，而是呼籲用戶應更換設備。</p> <p>根據CVSS風險評分高低，最嚴重的是<a href="https://www.twcert.org.tw/tw/cp-132-8061-91872-1.html">缺乏身分驗證漏洞CVE-2024-8456</a>，這項漏洞發布的原因，在於交換器韌體上傳及下載功能缺乏適當的存取控制，未經身分驗證的攻擊者可遠端下載、上傳韌體或系統組態，而有機會得到設備完全控制權，影響GS-4210-24PL4C、GS-4210-24P2S，風險評分達到9.8。</p> <p>另外4個超過8分的高風險漏洞，分別是<a href="https://www.twcert.org.tw/tw/cp-132-8065-579c1-1.html">跨網站請求偽造（CSRF）漏洞CVE-2024-8458</a>、寫死密碼漏洞<a href="https://www.twcert.org.tw/tw/cp-132-8045-a2804-1.html">CVE-2024-8448</a>與<a href="https://www.twcert.org.tw/tw/cp-132-8049-83fe4-1.html">CVE-2024-8450</a>，以及<a href="https://www.twcert.org.tw/tw/cp-132-8059-bde5f-1.html">密碼防護強度不足漏洞CVE-2024-8455</a>，CVSS風險評分介於8.8至8.1。值得留意的是，這些漏洞主要影響GS-4210-24PL4C、GS-4210-24P2S，但其中的CVE-2024-8455，也影響IGS-5225-4UP1T2S。</p> </div></div></div>
2024/10/4 10:31作者周峻佑https://www.ithome.com.tw/news/165321
Supermicro基板管理控制器韌體存在能被輕易利用的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Supermicro基板管理控制器（BMC）出現重大層級漏洞CVE-2024-36435，這項漏洞起初由Nvidia資安團隊通報，<a href="https://www.supermicro.com/zh_tw/support/security_BMC_IPMI_Jul_2024">該公司於7月發布公告及新版韌體因應</a>。針對此事，<a href="https://www.binarly.io/blog/cve-2024-36435-deep-dive-the-years-most-critical-bmc-security-flaw">9月底資安業者Binarly揭露相關細節</a>。</p> <p>此漏洞引起研究人員高度關注的原因，在於攻擊者可在未經身分驗證的情況下，輕易地藉由發出請求觸發弱點，引起記憶體堆疊溢位，最終有機會執行任意程式碼。Binarly認為，這是今年度最嚴重的BMC漏洞。</p> <p>針對這項漏洞，根據Supermicro在公告當中的說明，發生的原因在於韌體的GetValue功能函數並未檢查輸入的值，而有機會引發記憶體緩衝區溢位，影響BMC的網頁伺服器元件。部分的X11、X12、H12、B12、X13、H13，以及搭載CMM6模組的B13主機板曝險。<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-36435">MITRE評估其CVSS風險評分達到9.8</a>。</p> <p>Binarly針對這項漏洞進一步分析，他們提到該漏洞存在於BMC的網路元件，假如攻擊者能夠存取BMC網頁介面，就能利用漏洞，而且，過程中無須通過身分驗證，也不需要使用者互動。</p> <p>一旦攻擊者發出POST請求到/cgi/login.cgi，就會交由login.cgi程式進行處理，此程式的主函數cgiGetPostVariable便會嘗試取得使用者提供的帳密資料，但該功能函數只檢查收到的HTTP存取請求類型是POST或DELETE，以及body的內容不是空值，然後呼叫GetValue功能函數進行後續處理、解碼，但過程裡並未對輸入內容執行長度限制，從而導致輸入資料的實際大小，有可能與記憶體分配的緩衝區大小不符的情況。</p> <p>研究人員指出，雖然Supermicro導入了名為NX的緩解措施，但攻擊者可濫用libc的小工具ROP猜測所需資訊，並指出根據他們的測試，攻擊者只要發出100個請求，就有機會達到程式碼執行的目的，他們也公布了概念性驗證（PoC）程式碼。</p> <p>此外，若是搭配存在<a href="https://www.binarly.io/advisories/brly-2024-023">R12SPD-R主機板的漏洞BRLY-2024-023</a>，攻擊者有機會在取得root權限後，持續在受害伺服器活動。另一方面，研究人員疑似在2年前Supermicro發布的韌體看到類似的修補手法，這代表當時已有人察覺相關弱點，但該公司可能後續未徹底清查與預防其他產品出現此類漏洞，因此，他們認為，這也凸顯軟體供應鏈安全實際執行的困難。</p> </div></div></div>
2024/10/4 12:50作者周峻佑https://www.ithome.com.tw/news/165326
Ivanti裝置管理系統重大SQL注入漏洞已被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月資安業者Ivanti修補<a href="https://www.ithome.com.tw/news/163077">裝置管理平臺Endpoint Manager（EPM）重大層級的SQL注入漏洞CVE-2024-29824</a>，隔月資安業者Horizon3.ai<a href="https://www.horizon3.ai/attack-research/attack-blogs/cve-2024-29824-deep-dive-ivanti-epm-sql-injection-remote-code-execution-vulnerability/">公布相關細節與概念性驗證程式碼（PoC）</a>，指出攻擊者有機會藉此於EPM隨意執行命令，呼籲IT人員應確認該系統是否遭到入侵的跡象，檢查SQL Server的事件記錄檔案，了解是否有人透過xp_cmdshell執行命令的情形。如今這款產品的供應商證實，該漏洞已被用於實際攻擊行動。</p> <p>這項漏洞存在EPM的核心伺服器元件，攻擊者可在未經身分驗證的情況下，在EPM伺服器所處的網路環境執行任意程式碼，CVSS風險評分達到9.6。</p> <p>10月1日Ivanti更新<a href="https://forums.ivanti.com/s/article/Security-Advisory-May-2024">公告內容</a>，說明他們得知該漏洞已被駭客利用，有部分客戶遭遇攻擊行動。美國網路安全暨基礎設施安全局（CISA）於<a href="https://www.cisa.gov/news-events/alerts/2024/10/02/cisa-adds-one-known-exploited-vulnerability-catalog">隔日列入已被利用的漏洞列表（KEV）</a>，要求聯邦機構於10月23日以前完成修補。</p> <p>值得留意的是，近期Ivanti旗下產品漏洞遭到駭客利用的情況不時傳出，例如：該公司於8月修補的<a href="https://www.ithome.com.tw/news/164482">應用程式交付系統Virtual Traffic Manager（vTM）身分驗證繞過漏洞CVE-2024-7593</a>，<a href="https://www.cisa.gov/news-events/alerts/2024/09/24/cisa-adds-one-known-exploited-vulnerability-catalog">CISA於9月24日將其列入KEV</a>，要求聯邦機構在10月15日以前完成修補；9月10日Ivanti對於Cloud Service Appliance（CSA）<a href="https://www.ithome.com.tw/news/164985">發布資安公告</a>，指出該系統存在高風險命令注入漏洞CVE-2024-8190，事隔不到一週，該公司<a href="http://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Cloud-Service-Appliance-CSA-CVE-2024-8190">於16日證實已出現實際攻擊行動</a>。</p> </div></div></div>
2024/10/4 15:52作者周峻佑https://www.ithome.com.tw/news/165330
DrayTek修補危險程度達到10分的重大漏洞，70萬臺路由器恐受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Forescout指出，<a href="https://www.forescout.com/blog/research-alert-draytek-exposed-vulnerable-routers/">他們在居易科技（DrayTek）路由器找到14個漏</a>洞，有2個為重大層級，其中1個CVSS風險評分達到滿分（10分），值得留意的是，這些漏洞存在於24款機種，但其中有11款生命週期已經結束（EOL）。他們在全球168個國家當中，看到有70.4萬臺路由器曝險，其中有超過半數位於歐洲（42.5萬臺）最多，亞洲有超過19萬臺居次。</p> <p>對此，<a href="https://www.draytek.com/about/security-advisory/cross-site-scripting,-denial-of-service-and-remote-code-execution-vulnerabilities">居易在本日發布資安公告</a>，表示他們於6月20日得知此事，這些漏洞被登記為CVE-2024-41583至CVE-2024-41596，他們已為受影響的設備提供新版韌體，呼籲用戶應儘速升級。此外，他們也建議採用最佳實務措施，包括停用遠端存取的管道、使用存取控制名單（ACL）、啟用雙因素驗證（2FA）等措施。</p> <p>若是IT人員無法及時套用新版韌體，應一併停用管理員遠端存取，以及SSL VPN功能。我們也洽詢居易，想確認此項弱點目前處理狀態，該公司表示他們在8月釋出修補，臺灣現行銷售的機種皆完成修補。</p> <p>關於這些漏洞危險性與存在的原因細節，Forescout研究人員指出，其中最嚴重的是CVE-2024-41592，發生的原因在於網頁介面的GetCGI()功能函數，查詢字串參數的過程有瑕疵，而能導致記憶體緩衝區溢位，攻擊者有機會遠端執行任意程式碼（RCE），或是發動阻斷服務攻擊（DoS），CVSS風險達到10分。</p> <p>另一個被列為重大層級的是CVE-2024-41585，此漏洞可被攻擊者用於作業系統層級的命令執行，以及虛擬機器（VM）逃逸，起因是主機作業系統與用戶端作業系統之間用來溝通的元件recvCmd造成，CVSS風險評分為9.1。</p> <p>值得留意的是，這些曝險的路由器產品當中，有多達11款機型的產品生命週期已經結束，但居易還是破例發布新版韌體修補。</p> </div></div></div>
2024/10/4 17:11作者周峻佑https://www.ithome.com.tw/news/165332
AMD新一代EPYC處理器及AI加速器、PC處理器下周五亮相，強化資料中心到邊緣運算、PC市場AI布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI帶動全球AI應用興起，各產業也希望應用AI提高生產力、競爭力，除了帶動資料中心對大量AI算力的需求，在終端方面也帶動AI PC趨勢，提升PC的AI算力，讓AI應用的執行能在不需公有雲或資料中心的情形下，可以在PC端執行，保障隱私、降低企業機敏資料外洩風險。AMD即將在下周五（10/11）發表新一代AI運算產品及最新的廠商合作，包括新一代EPYC伺服器專用處理器、Instinct系列加速器、Ryzen AI處理器，強化資料中心、邊緣運算<span style="color:#000000;">到PC市場的AI運算布局</span>。</p> <p>目前AMD在資料中心的主力產品是第4代EPYC處理器，相較於前一代產品，2022年下半年先推出第4代產品是代號Genoa的處理器，鎖定通用計算需求，率先採用Zen 4核心，並且延續多核心的策略，將核心數增至96個核心、192個執行緒，已獲得AWS、Google Cloud的採用。</p> <p>然而，直到2023年，才算是AMD第4代EPYC大軍進攻的關鍵一年，去年7月AMD在美國舊金山一口氣發表更完整的第4代EPYC處理器家族，包括鎖定技術運算代號為Genoa X處理器，以及針對雲原生需要的Bergamo處理器，還有去年下半年推出針對電信及邊緣運算設計代號Siena處理器。</p> <p>AMD第4代EPYC處理器包括Genoa、Genoa X、Bergamo、Siena四個成員到齊，各自對應不同資料中心需求，其中比較特別的是Bergamo，看準企業IT採用雲原生技術的趨勢，Bergamo採用Zen 4c的CPU核心，將核心數提高至128個核心、256個執行緒，透過CPU核心數的增加以滿足微服務、小應用的彈性運算資源使用需要，單顆處理器擁有更多的核心，提供更高的vCPU密度，更好的能源效率，還可以簡少實體伺服器數量，降低多臺伺服器管理的複雜度，有助於企業追求淨零轉型的目標。</p> <p>不讓AMD專美於前，英特爾也在2024年6月發表Xeon 6處理器，分為採用E-Core效率核心（代號Sierra Forest）及P-Core兩個版本（代號Granite Rapids）。英特爾先推出E-Core版本的Xeon 6700E處理器，其核心數提高至144個核心，提高單一機櫃可容納的CPU核心數，以採用第二代Xeon處理器的200個機櫃為例，如果採用Xeon 6700E，機櫃數大幅減少至66個機櫃。英特爾核心數上超越AMD，還計畫整合2個Xeon 6 E-Core，推出288個效率核心Xeon 6900系列。</p> <p>英特爾近期發表採用P-Core的Xeon 6處理器，主要鎖定密集型工作、AI及高效能運算需求，最多擁有128個核心，因應AI運算需求，記憶體頻寬加倍，並且將AI加速功能嵌入每個核心，使其具備AI運算加速的能力。</p> <p>不論是AMD或英特爾，伺服器專用處理器的核心數增加，提高單一機櫃內的CPU核心數量，對空間有限的資料中心提高運算密度，也能滿足企業採用現代化IT，例如雲原生技術的資源彈性運用需求，並滿足企業追求淨零轉型<span style="color:#000000;">，在有限的機櫃空間下提高CPU核心數量，提高能源使用效益。</span></p> <p>隨著企業採用AI應用，AI成為企業提高生產力重要科技，特別是竄起的生成式AI，企業內部署生成式AI，除了提高本地資料中心對AI的算力需求，也可能借助大型公有雲業者提供的工具及訓練資源，再在本地端部署推論，因此無形中也會提高企業上雲及採用雲原生技術的意願<span style="color:#000000;">。</span></p> <p>為了和Nvidia H100競爭，兩大X86處理器業者也紛紛推出AI加速器。AMD去年發表第4代EPYC處理器同時，也發表資料中心GPU方案，Instinct MI300系列AI加速器，相較於前代的MI200系列，MI300採用3D封裝及小晶片（Chiplet）技術，內建CDNA 3矩陣核心技術，改善指令平行處理來提升運算的輸送量，搭配HBM3記憶體、AMD Infinity高速互連技術，分為MI300A及MI300X，其中MI300A採用APU架構，擁有24個Zen 4的CPU 核心，而MI300X則具有304個CDNA 3運算單元，支援192GB的HBM3記憶體。</p> <p>英特爾則是在近期更新AI加速器Gaudi 3，強調為生成式AI需求設計，內建64個張量處理器核心，搭配8個矩陣乘法引擎，內建128GB HBM2e記憶體，支援24個200Gb的網路埠，提升20%的吞吐量。</p> <p><span style="color:#B22222;"><strong>AMD將發表資料中心到PC新一代AI產品</strong></span></p> <p><span style="color:#000000;">英特爾推出E-Core版Xeon 6，CPU核心數超越AMD第4代EPYC處理器後，</span>AMD已在今年Computex預告代號為Turin的第5代EPYC處理器，採用Zen 5 核心，一舉將CPU核心數增加至192個核心、384個執行緒，使用SP5插槽，可相容於第4代EPYC處理器Genoa，並強調在AI推論應用上的表現優於英特爾處理器。相較於第4代EPYC處理器為台積電5奈米製程，第5代EPYC處理器可望採用4奈米或3奈米製程，但AMD尚未揭露詳細的規格、效能表現。</p> <p>今年10月11日AMD將在美國舊金山舉行Advancing AI 2024，預告將發表資料中心到PC的AI方案，包括第5代EPYC處理器、Instinct系列AI加速器、AI PC處理器等AMD新一代AI各式運算產品。</p> <p>為了擴大進攻AI應用，不只硬體產品，AMD積極地透過合作或併購等方式，提高旗下AI運算方案對開發者社群的支援，包括提供工具、函式庫、模型，例如與Hugging Face合作，AI運算產品對其AI模型的優化，去年10月AMD還併購AI軟體新創Nod.ai，以提升AMD旗下Instinct系列、EPYC處理器、Versal SoC、Ryzen AI處理器的AI部署速度，Nod.ai可透過自動化編譯器軟體，降低資料中心到邊緣運算、PC的AI模型部署。</p> <p>今年8月AMD另一個大動作是，投入49億美元併購AI系統業者ZT Systems，ZT Systems專門設計、整合、製造、部署能AI系統，也是Open AI的系統供應商，這項併購案可望強化AMD在資料中心的AI基礎架構，如系統設計、整合能力。</p> </div></div></div>
2024/10/4 17:18作者蘇文彬https://www.ithome.com.tw/news/165328
Google Lens新增影片及語音搜尋功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周四（10/3）<a href="https://blog.google/products/search/google-search-lens-october-2024-updates/" target="_blank">更新</a>其搜尋引擎的AI服務，包括Google Lens開始支援影片及語音搜尋功能，改善Google Lens的搜尋結果頁面，在美國市場推出由AI組織的搜尋結果頁面，此外，Google已開始於AI Overviews及Google Lens服務中<a href="https://blog.google/products/ads-commerce/google-lens-ai-overviews-ads-marketers/" target="_blank">銷售廣告</a>。</p> <p>Google Lens為Google所推出的影像辨識技術，允許使用者輸入影像進行搜尋，已被整合在行動版的Google程式、Google相機與Google相簿中，也能藉由桌面版的Chrome瀏覽器存取。根據Google的統計，使用者每月利用Google Lens搜尋的次數已超過200億次，與Google Lens互動程度最高的是介於18~24歲的年輕族群。</p> <p>現在使用者啟用Google Lens後即可開始錄影並提出問題，接著系統即會透過AI Overviews回答；或者是在利用Google Lens拍照時，也可採用語音提問的選項來進行搜尋。不過，目前Google Lens僅支援英文的語音搜尋。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1004-Google%20Lens%E6%96%B0%E5%A2%9E%E5%BD%B1%E7%89%87%E5%8F%8A%E8%AA%9E%E9%9F%B3%E6%90%9C%E5%B0%8B%E5%8A%9F%E8%83%BD.png" style="width: 432px;" /></p> <p>此外，Google Lens現在可提供一個更具組織的結果頁面，例如當使用者拍下一個背包進行搜尋時，它將結合AI及Google的 Shopping Graph，並提供一個包含商品評論、零售商價格資訊，以及購買地點的搜尋結果。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1004-Google%20Lens.png" style="width: 600px;" /></p> <p>本周Google也在美國推出由AI組織的搜尋結果頁面，它適用於行動版Google，初期僅鎖定料理創意與食譜，可在使用者搜尋時直接呈現相關的文章、影片，以及論壇。</p> <p>在發表各項新的AI服務之際，Google也開始於AI Overview與Google Lens上供應廣告。AI Overview主要提供由AI生成的搜尋結果摘要，直接出現在搜尋結果頁面的上方，目前只支援美國、英國、印度、墨西哥、巴西、印尼與日本等市場。現在不管是AI Overview與Google Lens的廣告服務皆已上線。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/10/4 12:59作者陳曉莉https://www.ithome.com.tw/news/165327
Zimbra上個月修補的CVE-2024-45519漏洞已遭大規模利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電子郵件與協作平臺<a href="https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories" target="_blank">Zimbra在上個月修補</a>了一個位於Zimbra Collaboration Suite的安全漏洞CVE-2024-45519，且於近日傳出已遭大規模利用，資安專家爭相呼籲使用者儘速更新。</p> <p>Zimbra Collaboration Suite為企業級的協作軟體，可用來管理電子郵件、行事曆、聯絡人、任務或文件共享，CVE-2024-45519漏洞現身於其中用來處理郵件合規性及審計的PostJournal服務，允許未經授權的使用者執行任意命令，進而控制整個伺服器。</p> <p>專門開發安全管理工具的ProjectDiscovery率先於9月27日<a href="https://blog.projectdiscovery.io/zimbra-remote-code-execution/" target="_blank">深入分析該漏洞</a>，包括揭露Zimbra的修補程式，以及手動利用該漏洞的每個步驟。而GitHub上也開始出現攻擊CVE-2024-45519的概念性驗證程式。</p> <p>資安業者Proofpoint<a href="https://x.com/threatinsight/status/1841089939905134793" target="_blank">在9月28日就發現</a>有人企圖利用CVE-2024-45519，HarfangLab的首席網路威脅研究人員Ivan Kwiatkowski<a href="https://x.com/JusticeRage/status/1841017884245438555" target="_blank">則在10月1日指出</a>，駭客已開始大規模利用CVE-2024-45519，自同一個IP位址寄出大量的惡意電子郵件。</p> <p>資安專家認為，不需身分驗證讓CVE-2024-45519漏洞特別危險，代表任何能夠存取執行PostJournal服務之網路的使用者，都得以利用該漏洞，呼籲Zimbra用戶最好儘快修補，至少也應先關閉PostJournal服務。</p> </div></div></div>
2024/10/4 13:43作者陳曉莉https://www.ithome.com.tw/news/165329
OpenAI發表ChatGPT工作區介面Canvas
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI周四（10/3）發表了基於GPT-4o的<a href="https://openai.com/index/introducing-canvas/" target="_blank">ChatGPT工作區介面Canvas</a>，它會偵測使用者所輸入的提示，並在撰寫文章或是程式碼任務時自動啟用一個新視窗作為Canvas工作區，該區除了提供許多快捷功能之外，ChatGPT於Canvas中也帶來更高的準確度及品質。Canvas現為測試（Beta）版，僅供ChatGPT Plus與Team用戶試用，下周開放Enterprise及Edu用戶試用，免費用戶未來則可直接使用正式版。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1004-openai-chatgpt-Coding%20in%20canvas(2).png" style="width: 600px;" /></p> <p>OpenAI解釋，人們每天都會利用ChatGPT來協助撰寫文章或程式碼，儘管此一聊天介面方便使用，而且適用於許多任務，但當需要處理需要編輯或修改的專案時卻會受到限制，Canvas即是為此而建立的新介面。</p> <p>Canvas是個使用者與ChatGPT在撰寫文章或程式碼時的合作介面，雙方不是只有簡單的對話，而是並肩創造與淬鍊結果，ChatGPT能夠擔任文章編輯或是程式碼審查員的角色，並直接於專案的內文中嵌入意見與建議。</p> <p>不管是在Canvas中撰寫文章或是程式碼都有快捷功能，前者包括建議編輯，調整文章長度，更改閱讀程度（從幼稚園到研究生），最後潤筆，以及添增表情符號；而撰寫程式碼時的快捷功能則有審查程式碼，添加日誌，添加註釋，修復臭蟲，還能移植到其它語言，目前支援JavaScript、TypeScript、Python、Java、C++ 或 PHP。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1004-openai-canvas-Suggest%20edits.png" style="width: 600px;" /></p> <p>當ChatGPT決定要把一個提示移轉到Canvas時，便代表ChatGPT把它視為一個專案，繼之展開的就是針對性的編輯而非重寫整個內容。</p> <p>根據測試，在撰寫文章與程式碼的任務中，OpenAI優先改善Canvas的針對性編輯，使得GPT-4o with Canvas的表現優於GPT-4o的全面改寫；當比較兩者的評論與建議時，GPT-4o with Canvas評論的準確度高出30%，建議品質則高出16%。</p> <p>此外，OpenAI才在前一天完成66億美元的<a href="https://www.ithome.com.tw/news/165304" target="_blank">增資</a>，創下1,570億美元的市值，隔天再<a href="https://openai.com/index/new-credit-facility-enhances-financial-flexibility/" target="_blank">宣布</a>已與摩根大通（JPMorgan）、花旗、高盛、瑞銀及匯豐等9家銀行達成40億美元的信貸額度，使得OpenAI擁有超過100億美元的流動性資金，可靈活投資新計畫，OpenAI還強調，當中有許多銀行也是該公司的客戶。</p> </div></div></div>
2024/10/4 12:41作者陳曉莉https://www.ithome.com.tw/news/165325
正視職業道德的重要性
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年下半臺灣有不少重要事件，令人想到職業道德與操守的重要性。首先，出現震撼全國的大選政治獻金爭議，延燒到土地改建容積率暴增，以及科技園區地上權案招標爭議，在此同時，各縣市陸續爆發議員助理費弊案，令整個社會重新思考何謂誠信、負責，以及公費合理使用的界定，究竟這些爭議是弊案還是冤案，仍須司法與檢廉偵辦團隊釐清案情。</p> <p>不論此事後續發展如何，社會大眾會更清楚認識到公務人員恪守法律、迴避利益的重要性，關注如何興利之餘，也必須重視符合社會期待的除弊與防弊標準，要落實自己倡議的政治理念，而非說一套、做一套，前言不對後語。</p> <p>另一類型的重大事件闡釋專業與品德兼具的正面價值，我是指幾位運動員最近宣布引退的消息，一位是挺過兩次隊友打假球事件、成為職棒聯盟第9位達成千安、百轟、百盜紀錄的周思齊，另一位是生涯拿下中華職棒最多勝投次數的潘威倫。</p> <p>在這些紀念儀式當中，回顧他們過往開創的重要成就，令人感佩他們長年堅持理念與職業道德操守，以及持續追求專業與自我突破的態度，這股堅忍不拔、精益求精的精神，不僅促成整個運動領域的發展與普及，也讓全國民眾重新認識與關注體育活動的過去、現在與未來。</p> <p>這些事件的發生，對於身處其他專業領域的我們，也帶來許多啟發。例如，關於為人處世方面，我們需更清楚認識受到信任（Trusted），以及保持正直（Integrity）的價值與重要性。</p> <p>進入職場多年，我經常想到的一句話是「人無信不立」，答應別人完成的工作、約會，要在彼此約定的時間之內完成、抵達，若無法兌現承諾，務必及早告知對方，討論要延遲、改期或取消，而非事到臨頭才處理這些狀況，既浪費別人時間等待、確認行程是否異動，最終可能也辜負彼此的信任。</p> <p>至於正直，關乎遵守法律規範、公平公正，以及妥善保管機密，正如維基百科對這個詞彙的定義，「不能用不正當的手法去謀取利益、不接受不應接受的利益、不能洩漏工作上的隱私、在面對僱主或上司不合理或非法的要求時，必須本著良知拒絕。」，就像多年前發生的職棒假球、簽賭事件，以及食用油混充進口飼料油事件，傷透眾多臺灣民眾的心，至今大家仍無法原諒相關人員與品牌，持續對他們進行抵制與批判。</p> <p>除了誠信正直，要負起應有責任，也是大家對於職業道德的要求之一。</p> <p>然而，有些人只是把負責掛在嘴邊，例如，將近兩個月前，有候選人競選總部財務長回應政治獻金申報爭議，居然大言不慚地說：「非常負責任地跟大家報告，我完全不知情。」該黨後續宣布競選總幹事停權3年，並且開除財務長與委任會計師黨籍，然而，相關帳務爭議至今並未清楚釐清。</p> <p>秉持職業道德並不是唱高調、故作清高，某種程度而言，這是明哲保身之道，就像在宗教領域，遵守戒律並非用來自抬身價，而是為了妥善保護身心，避免傷害自己與他人。而這樣的概念也適用於世俗領域，例如我們常說「受人之託，忠人之事」這句話突顯信任與負責的必要，在此同時，也必須在合理與合法的前提之下，去看待與實現彼此的承諾，而非盲從約定。</p> <p>最後，我還想談談在IT管理與資安防護常提及的一些詞彙：能見度（Visibility）、可觀測性（Observability），以及透明度（transparency），共通點是揭露更多狀態，協助監管的人或機制能夠透過一些靜態或動態的指標，更容易了解目前的系統與流程運作的情形，以便找出問題的原因或是妨礙執行順暢度的瓶頸所在。</p> <p>簡而言之，這些作為的關鍵就是盡可能開誠布公，而非自以為義。想要確認個人或組織的作為是否無誤，較理想的方式是能有相對獨立的第三方客觀監督，若能經得起外部檢驗，更能證明其可行性，畢竟旁觀者清，能藉此避免出現當局者迷的認知盲點，跳脫寬以待己的人性弱點，如此一來，有助於及早察覺與改正過失。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%81%B7%E6%A5%AD%E9%81%93%E5%BE%B7">職業道德</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div></div></div>
2024/10/4 05:21作者李宗翰https://www.ithome.com.tw/voice/165318
數位所有權的重要性
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-read_write_own-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人們很喜歡開玩笑說，DAO只是一個「有銀行帳戶的聊天群組」，NFT只是美化過的JPEG圖檔，代幣和遊戲《地產大亨》（Monopoly）裡的錢沒兩樣。甚至「代幣」這個詞總會讓人想起電玩遊戲或遊樂場。但是，如果就此低估這類技術的重要性，那可是大錯特錯。 </p> <p>事實上，區塊鏈完全顛覆既有世界的運作模式。區塊鏈藉由代幣翻轉了數位所有權的關係，如今網路的擁有者不再是網路服務提供商，而是使用者。 </p> <p>這樣的狀況和大多數人原本的習慣相反。過去，人們習慣的模式是，網路上購買的所有東西都是別人提供的數位服務。下載資料也是如此；舉例來說，人們其實並不是真正擁有從Amazon Kindle 訂購的那本電子書，或是從蘋果iTunes商店購買的那部電影。企業可以隨時收回人們購買的商品，你卻不能轉售這些商品，也無法將它們從一項服務轉移到另一項服務。每一次註冊新服務，你都得從零開始。 </p> <p>對大多數人而言，他們在線上唯一擁有的東西就是自己的網站，而且僅限於域名名稱屬於他們的網站。畢竟既然網域名稱是自己的，網站自然也是自己的，只要沒有違反法律，就沒有人可以把它奪走。同理，企業也擁有自己的公司網域。人們會覺得自己擁有全球資訊網上的這項數位資產並不奇怪，這是因為協定網路和區塊鏈網路一樣，都很尊重數位所有權。不過，企業網路則不然。 </p> <p>大多數人已經太習慣企業網路的規範，甚至沒有注意到它的特殊之處。在物理世界，假如每到一個新地方都必須重新開始，應該會把人惹毛。因為我們理所當然的認為，自己無論到哪裡都是同一個人，當然可以把物品帶來帶去。所有權的概念深深根植於我們的生活之中，很難想像如果沒有了它，世界會是什麼樣子。試想一下，你在某個地方買衣服，結果只能在那個地方穿；或是你買的房子、車子無法轉售或轉讓給別人使用；或者，無論你去到哪裡，就得再次改名換姓，這也太荒唐了吧？但企業網路就是這樣。 </p> <p>物理世界最接近企業網路的例子大概就是主題樂園，它由一間企業完全控制所有的遊樂體驗。去主題遊樂園玩或許很有趣，但應該沒幾個人會想要一輩子困在裡面。一旦穿過那道旋轉柵門，你就要從此聽從那間企業的規定，毫無抵抗之力。</p> <p>很多新創構想實行起來需要所有權，很多突破要能發揮作用，所有權也是必要條件。要創辦Airbnb這種新興服務，就得讓人們能夠自由處置自己的房屋，比如租給別人。實體商品的製造過程通常都是這樣，一旦買進其他商品之後就可以自由組合、自由應用，不需要回頭請求製作者的許可，反正商品的所有權在你手上。許多門生意都是這樣，人們買下既有的東西，改造成另一種樣子之後出售，原創者可能從未想過，甚至未必喜歡。只要不違反專利法之類的法律，所有權就是一種基本自由，你在創新之前不需要徵詢任何許可。 </p> <p>很多人都沒有想過所有權在網際網路世界中的重要性。各位應該好好思考，因為如果數位世界就像物理世界一樣，讓人們擁有所有權，那麼數位世界一定會比現在更美好。 </p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>讓使用者成為所有者</strong></span></span></p> <p>打造狗狗幣的人，原本只是要諷刺比特幣這類加密貨幣；但多年以來，狗狗幣的區塊鏈上儘管沒有實用的應用程式，市值卻一直相當穩定，維持在數十億美元的程度。市場上沒有幾個地方願意接受用狗狗幣付款，但它依然擁有一群熱情的粉絲。狗狗幣的Reddit論壇超過二十萬人訂閱，著名支持者之一包括伊隆．馬斯克。 </p> <p>打造狗狗幣的人對這個結果非常不滿意，時不時就貶損加密貨幣，試圖阻止網友追捧他們催生出的發明。就算創辦人不斷批評，狗狗幣卻像《科學怪人》的故事一樣，脫離博士的掌控，獲得自己的生命，而且還比科學怪人更可愛。 </p> <p>狗狗幣毫不動搖的幣值證實，即使創始團隊甩頭走人，甚至反過來攻擊原始計畫，草根社群依然可以讓區塊鏈網路歷久不衰。也許對使用者來說，狗狗幣是個爛網路，但這個爛網路屬於他們。他們掌控這個網路，擁有這個網路。無論這個網路要不要發展下去，都由使用者決定。如果這個網路繼續發展，利益就會回到狗狗幣持有者手裡，這和企業網路的狀況完全不同。甚至可以說，目前最能夠撇除各種變因，檢測代幣擁有多大力量的區塊鏈，就是狗狗幣。 </p> <p>不過請別誤會，我不是狗狗幣的粉絲，至少以它目前為止的狀況來說還不是。而且，我對大部分迷因幣都不感興趣。我認為它們幾乎都是金融投機的工具，甚至可能只是發起人用來吸金的龐氏騙局。不過，如果各位不同意，也不需要得到我或任何人的首肯，這正是區塊鏈「無須許可、人人可用」的魅力。 </p> <p>以惡搞起家的狗狗幣社群十多年來一直充滿活力，除此之外，還有很多迷因幣同樣長時間都沒有崩盤。三十年來，網友一直都在協助網際網路發展，卻幾乎沒有獲得回報。他們被企業網路拋棄，卻在狗狗幣以及各種代幣上找到出路，終於能夠拿回掌控權與經濟果實。這在在證明，所有權能夠帶來多麼強大又持續不墜的力量。 </p> <p>這樣的力量一旦加上有用的服務，前途就變得無可限量。Uniswap 就是一個例子，它用區塊鏈網路的社群來協助經營分散式代幣交易所。自2018年底推出以來，已有超過1兆美元的資產透過這個網路流動。它在2020年「空投」（airdrop）總量15％的代幣，給每一位使用過這個網路的人，邀請大約25萬名使用者參與治理網路，每人獲得的代幣市價當時已達數千美元。另外，它也預留另外45％的代幣，讓社群之後辦理獎助計畫。將這兩個數字相加，這個區塊鏈的代幣有60％掌握在社群手中。 </p> <p>過去的科技新創企業，從來沒有這麼大規模的邀請使用者共同擁有企業。Uniswap將大部分的經濟果實與治理權力同時交給社群。大多數企業網路在分享任何有價值的東西給網路參與者時，總是非常的吝嗇，只有少數員工能夠受惠。無論是臉書、TikTok、推特，還是多數大型企業網路，都不會把股份分給那些幫忙建立、發展、維持網路的無數網路使用者。 </p> <p>大型科技企業的市值往往高達數兆美元，而使用者，尤其是早期使用者的貢獻，往往是企業成功的重要因素。他們在亞馬遜銷售產品，上傳影片到YouTube，在推特分享內容，貢獻族繁不及備載。他們和企業創辦人與投資人一樣，都早早下了賭注、投注心力。然而，大部分企業網路都把使用者視為二等公民，這待遇還算好，最糟的是，有些企業甚至把使用者當成商品，賣給他們真正的顧客，像是廣告商。 </p> <p>相較之下，區塊鏈網路就大方很多。大部分的主流區塊鏈，都將50％以上的代幣，以空投、開發者獎勵、早期使用者獎勵等方式分配給社群。網路的所有權並非集中在一小部分內部人員手中，而是根據每個人對網路的貢獻程度，廣泛分配給使用者。 </p> <p>網路就應該這樣營運。如果企業網路能夠找到方法，仿效區塊鏈網路向來的做法，將重要的所有權交到社群手上，就能同時為世界與使用者帶來更好的結果。然而截至目前為止，企業網路都沒有這麼做，似乎也沒有意願這麼做。此外，即使企業網路確實找到某種方法來分享所有權，還是無法解決其他領域的問題，例如很難做出堅定可信的使用者承諾、抽成費用隨時可能提高、難以持續提供開放可組合的API。 </p> <p>區塊鏈網路將社群所有權刻印在程式碼的設計當中；這是它們的DNA。雖然狗狗幣等迷因幣看起來很可笑，卻證明使用者樂意擁抱各式各樣的代幣，無論這些代幣是愚蠢的、還是正經的，他們都想找到志同道合的社群，來填補企業網路留下的空白。最初的網際網路，就是希望建立一個眾人共有、眾人共治的分散系統。代幣重新點燃我們的願景。 <strong>（本文摘錄整理自《Read Write Own》，天下文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Read%20Write%20Own%20_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E6%96%87%E5%8C%96.png" style="width: 600px;" /></p> <p><a href="https://bookzone.cwgv.com.tw/book/BCB849" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_天下文化</span></span></a></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> Read Write Own：開啟WEB3新局的區塊鏈網路趨勢與潛能</strong></p> <p>克里斯‧狄克森（Chris Dixon）／著；劉維人／譯；許明恩／審訂</p> <p>天下文化出版</p> <p>定價：500元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%20Read%20Write%20Own%20_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_a16z.png" style="width: 200px;" /></p> <p><a href="https://a16z.com/author/chris-dixon/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_a16z</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>克里斯‧狄克森（Chris Dixon）</strong></p> <p>著名創投企業安霍創投（a16z）普通合夥人，2013年加入公司後，投資Oculus（獲得臉書收購）、Coinbase等公司。他也是Kickstarter、Pinterest、Stack Overflow、Stripe的早期投資人，這些公司的產品如今都已進入主流。他在安霍創投內部創辦並主持a16z crypto部門，專門投資加密貨幣與區塊鏈科技，並且讓部門資產從2018年的3億美元，成長到今日超過70億美元的承諾資本。2022年，他榮登《富比士》雜誌（Forbes）全球最佳創投業者Midas List榜首。</p> </div></div></div>
2024/10/4 05:52未署名https://www.ithome.com.tw/article/165319
GCP更新資料庫服務，強化AlloyDB AI支援、推Memorystore for Valkey 7.2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端針對生成式人工智慧應用，<a href="https://cloud.google.com/blog/products/databases/whats-new-for-google-cloud-databases" target="_blank">更新其資料庫服務</a>，範疇包括強化AlloyDB生成式人工智慧的支援、推出Memorystore for Valkey 7.2，以及簡化整體資料庫管理流程，使開發者能夠更簡單地建置具擴展性，並跨雲部署的人工智慧應用程式。</p> <p>Google相容PostgreSQL的雲端資料庫AlloyDB，正式推出ScaNN向量索引功能。該索引支援超過10億個向量，並且仍可維持高效的查詢速度。官方指出，ScaNN是目前唯一在相容PostgreSQL資料庫中，可達到如此大規模索引的技術。</p> <p>同時Google也與Aiven合作推出Aiven for AlloyDB Omni，這是一個託管型雲端資料庫服務，能夠在Google雲端、AWS和Azure平臺上簡單部署和管理，讓企業在不同的雲端環境，擁有更多執行生成式人工智慧工作負載的彈性。</p> <p>針對高效能應用需求，Memorystore記憶體資料庫也進行一系列功能更新，並正式支援Memorystore for Valkey 7.2。Valkey是Redis的分叉，目的是提供完全開源的替代方案，讓開發者能夠運用Redis完整功能，同時避開商業限制。Valkey保留了Redis特性，但去除部分商業化限制，因此適合用於開源社群和企業應用。</p> <p>Memorystore for Valkey 7.2提供低延遲且高吞吐量的向量搜尋服務，可在單位數毫秒內對超過10億個向量執行向量搜尋，且仍可保持99％的召回率（Recall），這對於建置生成式人工智慧應用非常有用。</p> <p>Google也擴充了Firebase的人工智慧功能，推出整合於Firebase的關聯式資料庫服務Firebase Data Connect，該服務整合了Cloud SQL的全託管PostgreSQL資料庫，提供進階查詢、複雜條件篩選和語義向量搜尋功能，彌補Firebase的不足，讓開發者更容易建構複雜的生成式人工智慧應用。</p> <p>原本Firebase也提供資料儲存服務，用於儲存結構化與非結構化資料，適合即時同步和快速讀寫，不過該服務的資料儲存方式，主要以NoSQL為基礎，較為擅長處理文件型態的資料，而添加Firebase Data Connect，則進一步滿足需要複雜關聯查詢和資料操作的應用。</p> <p>此外，Database Center的更新，主要是將增加了對Spanner資料庫的支援，使其能與Cloud SQL和AlloyDB共同在單一介面集中管理。Database Center整合Google生成式人工智慧模型Gemini，協助IT人員監控資料庫部署，能降低執行風險還能提升資源使用效率，進一步提升整體效能。</p> </div></div></div>
2024/10/4 06:10作者李建興https://www.ithome.com.tw/news/165310
【政府觀點：數位發展部資通安全署副署長鄭欣明】《資安法》修訂全面升級：強化管理、專業培訓與人才配置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，隨著各種網路威脅大增，加上有許多駭客也積極鎖定一些攸關民生的關鍵基礎設施發動網路攻擊，臺灣政府為了落實公務機關及特定非公務機關的資安防護，於2018年6月6日制定公布《資安法》，並於2019年元旦實施。</p> <p>只不過，自從《資安法》施行迄今，中間也經歷了政府資安相關組織的調整，以及社會上，對於資安重視程度的逐漸提升，讓《資安法》在過去五年多的施行上，必須重新面對一些需要調整的、窒礙難行或需要查缺補漏的《資安法》條文。</p> <p>一般而言，由行政機關進行修法提案是最常見修法方式，另外一種常見的修法方式就是由立法委員進行連署提案，或是由立法院黨團提案，法案就可以送交審議。</p> <p>至於其他比較少見的修法方式，就是依照《公民投票法》的規定由公民發起提案，若是針對全新的立法或政策進行提案，就是法案的「創制」；若是針對既有法案與政策進行變更或廢止，就是法案的「複決」。</p> <p>數位發展部資安署於今年7月4日，在行政院院會同意下，推出《資安法》修正條文，並送交立法院程序委員會審查提案程序是否完備，以及排定審議順序和議程，才可以進入接下來的一讀會。</p> <p>目前雖然是立法院傳統意義上的預算會期，但《資安法》先前已經通過程序委員會的審查，進行法律案標題進行表決，這就是立法院的一讀程序。一讀會如果有8位立委連署或附議並表決通過，就可以退回程序委員會重來；另外，也可以將法案交由立法院各個委員會進入委員會審查階段，這也是各種修正法案提案最重要的階段，在這個委員會審查階段，可以邀請專家、學者進行聽證或是說明。</p> <p>委員會審查的過程中，委員會成員也可以提出修正案進行討論和表決；另外，現在為了加速議事效率，有些法案也會進入黨團協商或朝野協商階段，如果法案順利通過，則會進入立法院院會進行二讀；如果議事衝突不斷，也可以經20位以上的立委連署或附議，不再經由委員會審查或討論，直接進行逕付二讀的表決。</p> <p>接下來進入二讀會階段，主要是進行相關條文的逐條討論和表決，如果同時有立法委員對修法的法案有不同意見、提出修正案，也可以進行討論和表決，當表決通過後，該審查條文就會進入三讀會。</p> <p>三讀會是確認法案最終定稿的階段，法案不再逐條討論，而是只會針對文字進行修正，並確認內容是否有與憲法或其他法律有所牴觸，如果法案通過三讀會，行政院沒有覺得該法案有窒礙難行之處，經總統核可而送回立法院請立委覆議的話，通過三讀會的法案則會送交總統，總統會在十日內進行公布，並依照法案規定日期生效。</p> <p>關於這次《資安法》的修法，數位發展部資通安全署副署長鄭欣明指出，核心目標就是加強納管機關的資安管理，同時要提升資安專業人力的素質，當面對未來可能的資安風險時，具備更完善的應對能力；當然，他說，此次藉由修法的同時，將相關機關應該承擔的資安業務範圍明確化，同時提升資安事件的通報與應變機制，並強化對於特定非公務機關的監管。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>從政策面與法律面，完善資通安全體系架構</strong></span></span></p> <p>「政府資安體系的權責架構，就像是一個金字塔，」鄭欣明表示，金字塔最上層是決策層，就是負責決定國家整體資安策略的行政院；接著就是中層的規畫層，這也是《資安法》的主管機關：數位發展部，負責規畫並推動國家資安政策等相關事宜。</p> <p>金字塔最底層的架構則略顯複雜。鄭欣明表示，這層有負責國家資安業務的規畫與具體執行的資通安全署，這也是數位發展部所屬的三級機關，負責具體規劃與執行國家資安業務。</p> <p>另外，《資安法》規範的對象則包括公務機關，以及特定非公務機關。他表示，對於公務機關，資安署會協助監管這些公務機關所屬、所監督、所轄和所管機關的資安全管理；另外，也會協助中央目的事業主管機關，落實其轄下所納管的特定非公務機關所應該遵守的《資安法》的法遵義務。而這些特定非公務機關，包括關鍵基礎設施、公營事業和特定財團法人組織等。</p> <p>為了落實國家資安業務規畫與執行，便將「行政院國家資通安全會報」正式入法，負責擔任各部會的溝通協調窗口，並由《資安法》主管機關數位發展部負責相關的幕僚作業。鄭欣明表示，國家資安業務的推動分為兩個面向：政策面和法律面。</p> <p>政策面主要是制定國家資通安全發展方案，目前已經規畫到第六期國家資通安全發展方案，重點在於資安人才培訓、科技開發、民間資源防護等。資安署和各部會合作，分配相關經費來推動這些計畫，像教育部的資安人才培訓就是一個例子。</p> <p>法律面則是以制定《資安法》和其六個相關子法：《資通安全管理法施行細則》、《公務機關所屬人員資通安全事項獎懲辦法》、《資通安全責任等級分級辦法》、《資通安全事件通報及應變辦法》、《特定非公務機關資通安全維護計畫實施情形稽核辦法》以及《資通安全情資分享辦法》，作為公務機關以及特定非公務機關法遵的參考依據。</p> <p>鄭欣明表示，政府制定了《資通安全管理法》，並通過執法規範各機關的資安工作，而《資安法》主要分成兩個面向：一是資通安全維護計畫，每個機關需要制定並報告其執行情況；二是資安事件應變機制，要求機關設立通報機制，並在事件發生時能迅速處理和改善。</p> <p>他指出，此次修法也強化國家資通安全會報的功能，並且明定所有公務機關的協力義務；資通安全會報主要分成由數位發展部負責的「網際防護體系」，以及由內政部、法務部負責的網際犯罪偵防體系。其中，各個政府機關、中央及地方政府之間，則應該全力配合推動國家資通安全措施；而相關政府部門應該執行相關的決議事項，並由主管機關定期追蹤管考，並辦理績效評核。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>將禁用危害國家資通安全產品正式入法</strong></span></span></p> <p>《資安法》修正案在行政院通過後，已經進入立法院進行審議。這次修正案的主要目標是進一步加強公務機關和特定非公務機關的資安管理。</p> <p>縱觀《資安法》修正草案，共三十五條，共分成總則、公務機關資通安全管理、特定非公務機關資通安全管理、罰則和附則。</p> <p>鄭欣明指出，這次修法是滾動調整資安法制，落實智慧國家願景。為了做到強化納管機關資安管理，以降低機關資安方險為目標，增修危害國家資通安全產品條文，強化外部監管措施，以及提升重大資安事件調查權限；在精進資安人力策略上，就是以提升人員專業知能為目標，希望可以做到專職人員配置、職能訓練、適任性查核以及調度支援等面向。</p> <p>他表示，這次修法也新增一些原本函式或是行政命令的條文，引發最多人關注的就是危害國家資通安全產品相關規範，依照《資安法》規範對象不同，依照公務機關以及特定非公務機關而有不同規範要求。</p> <p>他進一步解釋，禁用危害國家資通安全產品的限制範圍，包含公務機關本身，公務人員配發的公務用資通訊設備，以及提供公眾視聽或使用的傳播設備及網際網路接取服務，原則上都不得下載、安裝或使用，除非因為業務上的需要且沒有其他替代方案者，可以專案申請使用。</p> <p>至於特定非公務機關本身，或者是提供公眾視聽或使用的傳播設備及網際網路接取服務，若有維持資通安全的必要時，原則上，可以由中央目的事業主管機關予以限制或禁止使用，同樣的，若有業務需求且無其他替代方案者，可以專案申請使用。</p> <p>面對外界質疑為什麼不公開相關的禁用清單，鄭欣明解釋，因為清單一旦公開，就可能會引發貼牌的疑慮，或者是設法規避；另外有一些情況是公務機關或是特定非公務機關在採購當時，該產品並不在禁用產品的清單範圍內，後來因為某些原因，導致該產品的業者成為中資等情況，但他說，目前該條文的規範比較偏向「不得下載、安裝的使用，而不是去限制採購時，因為資訊不足造成採購人員無意中購買到禁用產品。」他說。</p> <p>所以，以資安署的作法，則會將這些禁用清單設計成如同情資，定期更新，會且會把相關情資提供給公務機關、特定非公務機關，以及其中央目的事業主管機關，並由這些單位自己去決定是否要禁止或限制，這樣的話，讓大家比較不會有相關的疑慮，也提供例外的決策空間，讓危害資通安全產品的使用可以更有彈性。不過，他也同意，未來該如何推動危害國家資通安全產品的禁用與政策執行，資安署還需要花許多時間和政府機關同仁進行政策溝通和推動。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>強化納管機關的稽核範圍及具有重大資安事件調查權</strong></span></span></p> <p>「強化對公務機關和特定非公務機關的分層監督和管理，是《資安法》修正條文中很重要的修法精神。」鄭欣明說道，對公務機關而言，就是要做到強化聯防體系，做到分層監督管理模式的調適；對特定非公務機關來說，則是強化對重大資安事件的調查權限。</p> <p>包括總統府、國安會和五院（行政院、立法院、司法院、考試院和監察院），以及直轄市政府、縣（市）政府、地方議會、直轄市山地原住民區公所、直轄市山地原住民區民代表會、鄉（鎮、市）公所以及鄉（鎮、市）民代表會等單位，都是沒有上級機關的公務機關，依照原本的《資安法》規定，並沒有辦法進行任何的外部稽核機制。</p> <p>一般而言，上級機關對下級機關的稽核，就是第二方稽核，但面對這些沒有上級機關的公務機關，其實是缺乏稽核機制，這時候，往往需要透過協力廠商來確保這些單位的安全性。但事實上，這些缺乏上級機關的單位，很難透過稽核方式去確認，相關公務機關是否有按照資通安全維護計畫去落實和執行。</p> <p>鄭欣明表示，為了修正《資安法》現行對公務機關的規範限制，所以修法時，先是擴大稽核範圍，未來，資安署得稽核所有的納管機關；再者，為了強化地方聯防，包括直轄市、縣政府可以納管直轄市山地原住民區公所、直轄市山地原住民區民代表會、鄉（鎮、市）公所，以及鄉（鎮、市）民代表會等單位。</p> <p>不過，公務機關有上千個，資安署一定是挑選重要的A級機關、B級機關做稽核，「稽核的重點不是雞蛋裡面挑骨頭，反而是透過資安健康檢查的概念，是否如何依照資通安全維護計畫執行和落實。」這也是他為什麼都會跟稽核委員強調，不要太在意枝微末節的紅字缺失，關鍵在於發現造成這些缺失、紅字的根因，找到核心問題所在。</p> <p>他說，目前資安署也已經開始透過用AI的方式，統整相關的稽核資料，協助稽核員找到機關長久以來的核心問題，就像是醫師用AI先去彙整病例資料，發現可能的問題，在透過實際看診（實地稽核）的方式去發現問題、解決問題。「這也是資安署針對資安稽核持續精進的方式。」他說。</p> <p>此外，此次修法也加重中央目的事業主管機關，對於特定非公務機關發生重大資安事件的調查權限。他進一步解釋，當特定非公務機關爆發重大資安事件時，其中央目的事業主管機關可以依據《資安法》修正條文的授權，對該起重大資安事件展開調查，能讓主管機關迅速掌握情況，並進行適當的調查與處理，避免事後出現無法了解事故原因的情況。</p> <p>調查的對象，不僅可以調查特定非公務機關的當事人，也可以調查受託的資訊廠商，即該起重大資安事件的關係人。鄭欣明表示，《資安法》也明確規範調查程序，通知當事人和關係人到場陳述意見外，通知提出獨立第三方機構出具的鑑識或調查報告，也可以前往受調查者處所實施必要的檢查。當然，他強調，受任或受託調查者，都具有保密義務，不得洩漏獲悉的秘密。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>針對資安人員進行適任性查核，高考三級設立資通安全類科</strong></span></span></p> <p>在這次《資安法》的修訂，不僅強化對公務機關和特定非公務機關的分層監督與管理，此次修法，也精進資安人力策略，要求這些機關設立資安長等專責人員外，也要確保負責資安業務的人員具備適任性，特別是對於政府機關中的重要部門；同時加強《資安法》罰則，對於違反資安規範的機關和個人，都設立更明確的處罰規定。</p> <p>「適任性查核是這次修法的核心之一。」鄭欣明表示，負責資安業務的機關內人員，尤其是處理機敏資料的單位，都必須經過適任性查核。他解釋，這並不像特別查核那樣嚴格，而是供機關主管根據查核結果，決定是否聘用某人從事資安業務的程序；如果該人員未通過查核，仍可在不涉及機密的其他業務中工作，而並不影響其公職權利。</p> <p>他指出，進行適任性查核的政策目的是，當需要處理特別機敏的資安業務時，確保承辦人員已通過適任性查核，從而提高機關內資安工作的效率與安全性。</p> <p>為了提升公務機關的資安人力，資安人員任用考試榜示後，數發部資安署對錄取人員進行適任性查核；用人機關則對所屬資通安全專職人員進行適任性查核，如果拒絕查核或不符合查核規定，則不得辦法涉及國家機密、軍事機密及國防秘密的資通安全業務。</p> <p>此外，在資安事件發生時，政府機關內部資源的有效調度至關重要。修法後，當公務機關爆發重大資安事件時，資安署可以調動各級資通安全人員進行支援。這項措施的目的，不僅是提高資源運用效率，也是為了強調資安專職人員的重要性，這樣的調度支援也視為在職訓練的一環。</p> <p>目前，臺灣的資安人力資源不足，資安專職人員也未能形成統一的管理系統。因此，趁此次修法之際，也提出希望建立資安人員一條鞭的概念，由資安署或數位發展部負責統籌和配置資安人力。然而，目前臺灣尚無正式的資安職系，現行的資安人員大多屬於資訊處理職系，這使得資安一條鞭的落實存在挑戰。</p> <p>為了解決資安人員不足的問題，今年首先在高考三級的國家考試設立「資通安全類科」，以增加政府機關資安人才的徵才管道。鄭欣明表示，這是從無到有的創舉，並已在今年順利舉行第一次考試。這項考科涵蓋資安概論、資安管理、資通安全法令與規範，以及資通安全防護技術，內容也與《資安法》密切相關。</p> <p>鄭欣明表示，通過「資通安全類科」這樣的考科，希望能吸引並鼓勵機關非正式人員踴躍報考，並逐步推動成立資安職系。「當資安人力穩定後，我們才有可能實現資安一條鞭的全面實施。」他說。</p> <p>數發部和資安署在職能發展方面，持續推動資安職能訓練、評量及核發資安職能證書，逐步建立資安人才資料庫，以協助用人機關檢視資安專業能力；用人機關則公布職缺，提出包括外補或內陞的徵才需求，對於辦理資安業務績效優良者給予獎勵，未依資安法規定辦理者，按照情節輕重，予以懲戒或懲處。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/02_%E9%84%AD%E6%AC%A3%E6%98%8E1_iThome%E6%8F%90%E4%BE%9B.jpg" style="width: 599px;" /></p> <p><span style="font-size:16px;"><span style="color:#696969;"><strong>資安署副署長鄭欣明表示，今年在高考三級的國家考試中設立了「資通安全類科」考試，希望可以增加政府機關資安人才的徵才管道，未來才可能進一步推動成立資安職系。</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>資安長和資安專責人員的角色與培訓</strong></span></span></p> <p>不僅推動《資安法》的修法調整，資安署還著手推動資安人員的訓練和發展。這包括資安長、資訊主管、資安專職人員的訓練，以提升他們的專業技能和管理能力。</p> <p>在政府機關中，資安長的角色至關重要，政府機關的資安長職位多由副首長擔任，這樣才能擁有足夠的權力進行資源協調與溝通，鄭欣明表示，雖然公務機關的資安長未必是資安技術專家，但透過資安署提供的培訓，期望資安長能具備足夠的知識，來作出正確的決策。</p> <p>目前政府機關的資安長大約二百名，每年至少要有三小時以上的資安通識教育訓練，並且提供資安數位學習的線上課程外，每年還會舉辦資安長共識營，以及中央與地方政府資通安全長會議。</p> <p>至於政府機關的資訊、資安主管大約五百名，每年至少需要三小時的資安通識時數，同樣有資安數位學習的線上課程外，職能訓練課程以策略面為主，另外也會舉辦資訊（安）主管治理研習。</p> <p>公務機關的資安專職人員大約有一千五百名，每年至少要完成十二小時的資安專業續訓練時數，以及資安數位學習線上課程，以及針對策略面、管理面和技術面的職能訓練課程外，還有包括：資安人員專業訓練、稽核員訓練、政府資通安全巡迴研討會、資安技術工作坊和資安菁英人才培訓等資安職能和增能訓練。</p> <p>鄭欣明表示，資安署從今年下半年開始，針對不同層級的資安專職人員設計了不同的課程內容，涵蓋技術面、管理面和策略面。我們根據機關的類別，為A、B、C級機關的資安人員設計量身定制的課程，每個人都有參訓機會，但機關得保留一定人力；為了增加機關之間的聯繫，相關課程以團隊合作活動和分組研討為主，讓建立關係與專業知能同步並進。</p> <p>他指出，訓練課程內容依照制度面向分類，而機關可以依照策略、管理和技術面向參加調訓；為了強化區域聯防，也會在北中南東部區域舉辦一日課程。</p> <p>他表示，為了實現資安人員一條鞭的目標，資安署還與人事總處合作，推動調訓模式，讓公務機關的資安專職人員接受統一訓練，並通過團隊合作和研討增強彼此的協同作戰能力。</p> <p>另一項重大變革是針對特定非公務機關，要求其設置資安專職人員及資安長。目前許多非公務機關內的資安專責人員，往往需同時兼顧多項業務，但最終還是希望這些資安專責人員，都能更專注於資安工作。此外，希望藉由中央目的事業主管機關，可以制定更具約束力的資安獎懲制度，確保非公務機關能有效落實資安工作。</p> <p>除了基礎的資安技能訓練外，資安署還與資安院合作推出「資安精英人才培育計劃」，這項計畫針對具有高階資安技術需求的人員提供更深入的課程。課程內容由國際知名講師授課，並提供實作環境，主要在培養資安領域的精英人才。他強調，這項培訓課程完全免費，且不僅限於公務部門，民間企業的資安人員也可以參加。</p> <p>《資安法》的修訂重點包括強化納管機關資安管理，以及精進資安人力的策略，希望可以通過適任性查核、考科設立、資源調度、以及多層次的訓練，提升臺灣整體的資安能力。他表示，隨著資安專業化的推進，未來可以形成更為完整的資安職系，實現真正的資安一條鞭，將有助於確保國家和企業在資通安全方面有更強大的防護力。</p> </div></div></div>
2024/10/4 04:53作者黃彥棻https://www.ithome.com.tw/news/165315