iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 7篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 12:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Automattic與WP Engine之爭，遭批評違反開源精神
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Automattic在<a href="https://www.ithome.com.tw/news/165222" target="_blank">今年9月下旬批評</a>WP Engine對WordPress專案貢獻太少，禁止WP Engine存取WordPress.org，對此Ruby on Rails框架作者<a href="https://world.hey.com/dhh/automattic-is-doing-open-source-dirty-b95cf128" target="_blank">David Heinemeier Hansson本周批評</a>，Automattic正在損害開源精神。</p> <p>WP Engine主要提供WordPress的企業解決方案、工具及服務，為WordPress主要的代管服務供應商之一。但Automattic執行長Matt Mullenweg認為，一來外界長期誤認WP Engine屬於WordPress，他希望WP Engine能夠付費取得商標授權，二來WP Engine對WordPress的回饋甚少，使得他決定拒絕WP Engine存取WordPress.org。</p> <p>根據<a href="https://www.cnbc.com/2024/10/05/wordpress-ceo-matt-mullenweg-goes-nuclear-on-silver-lake-wp-engine-.html" target="_blank">CNBC的報導</a>，其實Automattic之後曾經暫時解除對WP Engine的封鎖，並提出了和解條件，要求WP Engine將月收入的8%當作授權費付給Automattic，或者是以那8%作為員工薪水，而這些員工則專門開發可貢獻給WordPress.org的WordPress功能。</p> <p>由於WP Engine並未答應，使得Automattic再於10月1日封鎖了WP Engine。</p> <p>開發Ruby on Rails開源網頁應用框架，現為37signals技術長的David Heinemeier Hansson指出，Automattic向WP Engine要求8%的營收完全不合理，不僅將危害WordPress，還會對開源社群帶來更嚴重的影響。</p> <p>Hansson指出，開源在過去幾十年來之所以如此成功，關鍵部分在於其授權制度的明確與確定性。這讓使用者可以在開源上建構業務，而無需擔心無意義的索賠或勒索，諸如MIT、BSD 或 GPL等常見的授權中，最重要的一點是軟體沒有提供任何形式的保證，有些則會要求任何修改都必須開源。</p> <p>然而，任何主要的授權都沒有類似「軟體是免費的，但如果專案所有人認為你太過成功，那麼你就必須支付營收的8%來支援該專案。」這樣的條款。</p> <p>Hansson說，他所關心的是開源授權的完整性，而它正受到Automattic欲分享WP Engine收入的直接攻擊。</p> <p>事實上，Automattic執行長<a href="https://ma.tt/2024/10/alignment/" target="_blank">Matt Mullenweg坦承</a>，絕大多數的Automattic員工並不同意他的行為，於是他提出了一個優退方案，在10月3日前離職者可獲得3萬美元或6個月的薪資，而且這些人將不會再被Automattic僱用，以留下真正認同公司理念的人，結果有159人提出辭呈，占整體員工的8.4%。</p> <p>Mullenweg說，在執行此一方案之後他感到輕鬆多了，感謝那些離開的人，也很開心能夠與留下來的同事們一同奮鬥。</p> </div></div></div>
2024/10/11 12:25作者陳曉莉https://www.ithome.com.tw/news/165444
台電打造電力交易平臺，快速結合民間可用電力，提升電力調度的靈活性和系統韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:20px;"><strong>台電打造的電力交易平臺，讓臺灣能夠快速結合民間可用電力，提升電力調度的靈活性和系統韌性，不只確保電網在突發情況下能迅速反應與調度，維持全臺電網穩定，更展現了臺灣不斷電的數位韌性。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0403%E5%BC%B7%E9%9C%87%E9%9B%BB%E5%8A%9B%E8%AA%BF%E5%BA%A6%E6%99%82%E5%BA%8F-3.png" style="width: 552px;" /></p> <p><span style="font-size:22px;"><span style="color:#B22222;"><strong>花蓮發生7.2級強震（2024/4/3 7:58:09）</strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#006400;"><strong>10秒先增加1部中火電量的民間電力</strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#B22222;"><strong>多機組跳脫損失3.2GW電力（約6部中火電量）</strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#006400;"><strong>10分鐘增加4部中火電量的民間電力</strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#006400;"><strong>10分鐘後全臺電力系統頻率回穩</strong></span></span></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／台電</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 民間電力調度實例：Gogoro </span></strong></span></p> <p><span style="font-size:28px;"><span style="color:#3399ff;"><strong>不用電支援電網穩定！上千座換電站變身虛擬電廠</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600%EF%BC%9AGogoro-%E8%87%B3%E6%B5%A9-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Gogoro.png" style="width: 600px;" /></p> <p><strong>Gogoro在全臺設有超過2,600座電動機車充電站，除了為用戶提供電池更換服務外，這些站點如今也成為虛擬電廠的一部分，透過全臺串聯的換電站進行快速電力調控，協助台電維持電網平衡與穩定。</strong></p> <p><strong>目前，約1,000個Gogoro電池交換站已參與台電的電力交易平臺，採用靜態調頻備轉<strong><strong>（sReg）</strong></strong>方案，能在10秒內響應台電的電力調度需求。當Gogoro電池交換站自動偵測電網頻率低於設定門檻時，智慧調控系統會在10秒內暫停對這些交換站的電池進行充電，透過減少電力負載，協助電網恢復穩定。換句話說，這些電動車充電站在不使用電力的情況下，便能支援台電維持電網穩定。Gogoro 表示，若全數站點參與電力調度，將能為臺北市民生用電供電約45分鐘。</strong></p> <p><strong>今年的0403大地震及 0415地震期間，兩次地震引發的供電異常及低頻事件中，Gogoro分別提供了12分鐘至30分鐘，多達6MW至11MW不等的降載支援，相當於16戶家庭夏季的用電量。</strong></p> <p><strong>除了不充電降低負載外，Gogoro的電池交換站也具備充放電功能，未來在不影響車主使用的前提下，智慧電池中的儲存電力可回饋至電網，透過對電網進行放電，進一步協助電網穩定。</strong></p> <p><strong>參與台電的電力輔助服務，對Gogoro而言能拓展營收來源，利用現有的充電站資源，不需要額外投資成本。儘管收益有限，但由於高利潤率，仍可為Gogoro帶來附加價值。</strong><strong><strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Gogoro</span></strong></strong></p> <p> </p> <p><strong><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 民間電力調度實例：台塑生醫 </span></strong></span></strong></strong></p> <p><strong><strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>觀光工廠儲能櫃不只自用，2年多賺750萬元</strong></span></span></strong></strong></p> <p class="rtecenter"><strong><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/600%EF%BC%9A%E5%8F%B0%E5%A1%91-1-%E8%87%B3%E6%B5%A9-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%8F%B0%E5%A1%91%E7%94%9F%E9%86%AB.png" style="width: 600px;" /></strong></strong></p> <p><strong><strong><strong>以清潔用品、保健品、保養品起家的台塑生醫，最近幾年也因應集團跨足新能源產業領域，於彰化觀光工廠建立了一套容量可達1.2 MW的儲能系統。這套儲能系統最初主要供內部使用，並對民眾開放展示。後來，台塑生醫加入台電的電力交易平臺，將此儲能系統用於支援台電的電力調度。</strong></strong></strong></p> <p><strong><strong><strong>今年過年期間，再生能源的電力比例明顯提高，滲透率最高達到52%，也就是說，台電每發出10度電中有52%來自再生能源。這使得台電的頻率處於較不穩定狀態，尤其在天候影響下，當再生能源供應不足時，台塑生醫的儲能櫃會自動啟動，迅速補充電力，維持系統穩定。</strong></strong></strong></p> <p><strong><strong><strong><strong><strong><strong>台塑生醫採用靜態調頻備轉方案，能在10秒內全力放電配合台電調度需求。為了有效管理和監控儲能電力，他們自行打造了一套能源管理系統 (EMS)，一旦系統偵測到電網頻率降至59.88赫茲(Hz)，便會在10秒內控制儲能櫃全力放電。</strong></strong></strong></strong></strong></strong></p> <p><strong><strong><strong>這套EMS系統不僅能隨時掌握台電系統頻率和儲能功率輸出的變化趨勢，還能查看每日參與電力調度的時間排程，並提供收益試算功能，顯示每年、每月甚至前一天的收益。此外，系統也提供各項服務指標，包括得標率和執行率，幫助台塑生醫持續改善效能。</strong></strong></strong></p> <p><strong><strong><strong>參與電力交易平臺2年多，截至今年，總累計收益試算達750萬元，也為台塑生醫帶來額外收益。</strong></strong></strong></p> <p><strong><strong><strong>台塑生醫未來規畫參與增強型動態調頻備轉( E-dReg）方案，並考慮將集團內的即時需量負載進行整合，透過EMS系統參與台電的電力交易。</strong></strong></strong></p> <p><strong><strong><span style="font-size: 14px; color: rgb(105, 105, 105);">圖片來源／台塑生醫</span></strong></strong></p> <p><strong><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 民間電力調度實例：京站實業 </span></strong></span></strong></strong></p> <p><strong><strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>百貨商場空調也能參與，及時少用就可提高電網韌性</strong></span></span></strong></strong></p> <p class="rtecenter"><strong><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/600%EF%BC%9A%E4%BA%AC%E7%AB%99-1-%E8%87%B3%E6%B5%A9-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E4%BA%AC%E7%AB%99%E5%AF%A6%E6%A5%AD.png" style="width: 600px;" /></strong></strong></p> <p><strong><strong><strong>國內購物商場京站實業自2021年參與台電的電力交易平臺，開始將位在北車的京站商場內的大型空調設備當作可以調度的電力資源來運用，用來支援台電的電力調度之用。</strong></strong></strong></p> <p><strong><strong><strong>在京站商場的用電中，一般分為動力（如電梯、電扶梯、排煙系統、抽油煙機、水處理設備和空調設備）和非動力用電（如送風機、照明、插座），其中耗電最高的是動力用電，以空調用電占比最高，達到55%。</strong></strong></strong></p> <p><strong><strong><strong>在參與電力交易平臺後，京站採用了即時備轉的方案，能在10分鐘內配合台電進行電力調度。</strong></strong></strong></p> <p><strong><strong><strong>一旦收到台電的通知，京站就會調整冰水主機的出水溫度和回水溫度，來調和商場室內的冷氣溫度，在不影響顧客購物體驗的情況下，藉由減少空調設備的冷氣噸數，來微調室內的溫度，以減少用電，進而協助台電電網的回穩。</strong></strong></strong></p> <p><strong><strong><strong>為了監測冰水主機的能耗狀況，京站正在建立一套監測系統，可監控商場空調的溫度變化情形。這套系統不僅有助於改善空調的節能，還能配合台電的調度需求，追蹤不同時段的用電情況和溫度變化，從而更精準地管控空調電力，例如決定何時關閉某臺冰水主機以減少用電。</strong></strong></strong></p> <p><strong><strong><strong>近年來，京站也開始強化節能措施，期望透過參與台電的電力交易平臺，進一步提升商場的能源管理效率，加速實現節能目標。</strong></strong></strong><strong><strong><strong><strong><strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／京站實業</span></strong></strong></strong></strong></strong></p> <p> </p> <p><strong><strong><strong><strong><strong><a href="https://www.ithome.com.tw/article/165438" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:24px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1203-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=tBlYc-8N" style="width: 550px;" /></strong></span></span></a></strong></strong></strong></strong></strong></p> </div></div></div>
2024/10/11 13:12作者余至浩https://www.ithome.com.tw/news/165385
SAP發布10月例行更新，呼籲用戶儘速修補BusinessObjects重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SAP發布<a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2024.html">10月份例行安全更新</a>，總共包含6則新的資安公告，並更新6則已經發布的公告。根據CVSS風險評分的高低，最嚴重的是在<a href="https://www.ithome.com.tw/news/164479">8月已經修補的商業智慧平臺BusinessObjects漏洞CVE-2024-41730</a>，這項漏洞發生的原因是缺乏身分驗證的檢核，導致在啟用單一簽入（SSO）的企業環境中，攻擊者有機會在未經授權的情況下，竊得登入系統的憑證（Token），CVSS風險達到9.8分。<a href="https://onapsis.com/blog/sap-patch-day-october-2024/">資安業者Onapsis指出</a>，該公司本月更新公告內容，主要是為SBOP BI Platform Servers 4.2 SP009提供對應的修補程式。</p> <p>另一項該公司提供額外修補程式的高風險漏洞，是今年7月公告的CVE-2024-39592，這項漏洞發生在產品設計成本估算（Product Design Cost Estimating，PDCE）系統，涉及缺乏身分驗證檢核，CVSS風險為7.7，本月SAP對於SEM-BW 600至SEM-BW 748等附加軟體元件，也提供對應的更新軟體。</p> <p>針對本月SAP新公告的漏洞，首先受到研究人員注意的是與Log4j和Spring框架有關的4項漏洞，這些漏洞影響3.0版Enterprise Project Connection，CVSS風險評為8.0。其中的CVE-2024-22259、CVE-2024-38808、CVE-2024-38809，發生在該系統採用的Spring框架，CVE-2022-23302則存在於Log4j元件，這些漏洞的CVSS風險介於4.3至8.8。</p> <p>另一個高風險漏洞的資安公告，與BusinessObjects產品線有關，這項漏洞涉及Web Intelligence Reporting Server元件，攻擊者可在通過身分驗證的情況下發送偽造的請求，就有機會從提供服務的主機下載任何檔案，從而高度影響應用系統的機密性，CVSS風險評為7.7分。</p> </div></div></div>
2024/10/11 11:04作者周峻佑https://www.ithome.com.tw/news/165435
【彈性調度民間可用電力，花蓮強震後10分鐘穩住全臺電網的關鍵】臺灣電網韌性強化有更創新做法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>時間回到4月3日這天上午7時58分09秒，臺灣花蓮發生芮氏規模7.2的強震，是自921以來25年來規模最大的地震，當時不僅造成全臺上百處建物毀損，也瞬間導致台電8部發電機組跳脫，損失高達3,200MW（千瓩）的電力，相當於臺中火力發電廠6部機組的發電量。</p> <p>可是，這次的0403大地震，規模雖接近921地震，但僅造成少數地方停電，影響約37萬戶，並未引發全臺大規模停電。關鍵在於台電運用一套由民間電力組成的電池儲能系統發揮了關鍵作用。</p> <p>強震發生時，這套系統在1秒內迅速啟動救援，讓儲能電池快速放電，合計10秒內增加了510MW的電力，相當於中火一部機組的發電量，才得以防止電力系統的頻率驟降，避免引發更多機組跳脫及連鎖反應。隨後，更透過抽蓄水力放水發電，增加了約中火4部機組的電量，持續穩住頻率，最終在10分鐘內成功讓系統頻率回穩，避免造成全國性停電的發生。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>為何電力系統必須維持在60赫茲</strong></span></span></p> <p>穩定電力系統頻率在60赫茲（Hz）是台電電力調度的關鍵任務之一。因為臺灣電力系統的設計是以60Hz為基準，當頻率低於60Hz代表系統發電少於用電量，反之亦然。而頻率過高或過低都可能影響各種工業與民生用電系統、設備的不穩或損壞。也可能因為發電機組的保護機制動作造成機組跳脫，導致電力系統的頻率持續下降，若未及時處理，進而引發連鎖反應跳脫更多機組，最終可能導致全系統停擺。</p> <p>若因地震颱風等重大事故造成系統頻率快速且大幅下降時，例如當頻率降到59.2Hz時或低於59.5Hz超過50秒，台電目前常見的對策是，會透過各項低頻卸載或限電等措施分階段減少用電量來恢復系統頻率，最大程度降低對系統的影響，避免進一步造成大規模停電。</p> <p>0403地震雖瞬間失去大量電力，但台電的儲能系統能夠迅速支援，彌補發電機組跳脫的電力缺口，全靠台電在3年前打造的一套電力交易平臺，快速調度民間電力資源來因應不足的電力缺口，防止頻率快速下降，才能爭取緊急應變時間。負責維運這套電力交易平臺的關鍵單位，就是台電電力調度處。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>靠電力交易平臺及時調度民間可用電力，爭取緊急應變時間</strong></span></span></p> <p>台電電力調度處處長周芳正認為，0403強震未如921地震般造成全臺大規模停電，除了天時地利人和的因素，更關鍵的是，「民間的儲能第一時間介入，將頻率控制在一定範圍內，才得以採取後續行動，將影響降至最低。」所以，像Gogoro、工廠，甚至是百貨都可以成為支持台灣電網韌性的關鍵。例如電動車電池充電站、醫院的緊急發電機、百貨商場的冷氣空調都能夠在突發狀況中迅速提供調度，穩定電網運作。</p> <p>台電在這套平臺首度採用創新的經濟共享電力交易商業模式，吸引民間可供調度的彈性電力資源加入，簽約參與不同的電力調度模式。對參與調度的企業而言，釋放這些電力，不只是供電，甚至是適時減少用電，都可以獲得額外收益。台電定期依據民間企業提供的電力容量、效能、執行時間及服務指標進行結算來付款。</p> <p>這一起0403大地震事件的電力救援更大意義在於，展現了臺灣不斷電的數位韌性，透過電力交易平臺，臺灣能夠結合民間可用電力，提升電力調度的靈活性和韌性，確保電網在突發情況下能迅速反應與調度，維持在全臺電網穩定。</p> <p>電力交易平臺2021年推出上線後，台電首先推出「日前輔助服務市場」形式，在用電日之前，提前訂定電力調度價格的調度方式。參與企業須經過申請成為合格交易者，採取公開競標，由合格電力交易者自由報價。報價結束後。台電會匯集電力系統、發電負載及業者報價等資料，透過電腦程式執行電力系統最佳化配置，決定用電調度當日的民間資源使用時間與使用量。周芳正說：「電力交易平臺的日前輔助服務市場是亞洲第一個建立的輔助服務市場」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1203-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87-600-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%8F%B0%E9%9B%BB.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong><span style="font-size: 18px;">台電在這個日前輔助服務市場的服務中，提供了4種電力交易單位，分別是調頻備轉、電能移轉複合動態調節備轉容量（E-dReg）、即時備轉和補充備轉。每個交易單位適用情境和用途各有不同，滿足電力調度的需求。</span></strong><span style="font-size: 14px;">（圖片來源／台電）</span></span></p> <p>台電在這個日前輔助服務市場的服務中，提供了4種電力交易單位，也代表了不同的調度方案，分別是調頻備轉、電能移轉複合動態調節備轉容量（E-dReg）、即時備轉和補充備轉。每個交易單位適用情境和用途各有不同，滿足電網調度的需求。例如，調頻備轉多採用儲能設備，通常用於需要快速反應的情況，如大量機組突然跳脫。這種備轉當偵測到頻率偏差時，能在1秒內迅速充或放電。相比之下，即時備轉和補充備轉則依賴發電機組或需量反應（用戶採取減少用電措施），反應時間介於10至30分鐘內，配合調度指令進行負載抑低。</p> <p>在調頻備轉方案中，對於頻率的反應存在差異，例如動態調頻備轉（dReg）會在頻率低於59.75Hz時進行全力放電，而靜態調頻備轉（sReg）則在頻率低於59.88Hz時觸發啟動。台電去年新增了E-dReg，則是兼具調頻備轉快速反應和緊急調度等多用途功能。</p> <p>周芳正形容，調頻備轉和E-dReg，就像短跑型選手，能在短時間內快速衝刺，撐住驟降的電網頻率，可以應用在突發性的狀況，例如機組跳脫，造成供需不平衡的情況；而即時和補充備轉則像接力選手，負責後續電力調度的支援，反應雖較慢，但可持續較長時間。</p> <p>由於台電在此平臺上交易購買的是「服務」，而非「商品」，參與的合格交易者需要符合台電的規格，包括能有效減少供電壓力或提供足夠的供電能力，但對於達成方式則沒有限制，例如能使用發電機組供電，也可以透過需量反應來實現。<br /> 過去臺灣電力調度有開源和節流兩種策略，他表示，電力交易平臺在節流方面發揮了關鍵作用，因為平台上使用的電力資源來自民間既有設施，如醫院和工廠的緊急發電機、儲能設備及自用發電設備。此外，透過需量反應調整用電習慣，減少尖峰用電，能有效緩解短期供電壓力。</p> <p>0403大地震期間，台電透過144個dReg案場及4個E-dReg案場的即時放電，瞬間釋放510MW電力，才能夠在強震導致電力機組跳脫的情況下，撐住快速下降的頻率，為後續的緊急應變爭取了寶貴的時間。</p> <p>甚至，近期發生兩部機組同時跳機，總損失達1,200MW。以往這類的事件一旦超過1,000MW或1,200MW，停電風險就會大幅上升，幾乎導致全國性停電。現在有了電力交易平臺的調頻備轉等儲能系統，「我們已經不再擔心」他說。</p> <p>周芳正強調，使用電力交易平臺，不僅能夠強化電力系統的韌性，降低事故發生的機率與嚴重度，也能夠活化民間資源與促進產業活絡。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>再生能源比重越高，越需要電力調度來因應氣候變化</strong></span></span></p> <p>尤其，2023年台電系統年發電量將近2,500億度，其中再生能源占比10.55%。隨著再生能源發電比例的提升，受氣候因素影響，電力系統面臨負載陡升及夜尖峰挑戰，這將增加電力預測與調度的困難。但電力交易平臺能改善這個問題。例如遇到光電不穩定時，可使用即時備轉和補充備轉來因應，不需要啟動反應較慢的傳統發電機組，「即時備轉和補充備轉使用頻率不高，但在關鍵時刻卻能發揮重要作用。」他表示。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>設立戰情室，監控全臺電力調度</strong></span></span></p> <p>台電還設立了一間電力交易中心的戰情室，可以用來監看電力交易平臺每天交易和運作情況，確保平臺的穩定運作。從戰情室大型螢幕牆上，現場調度人員可以快速查看現在系統頻率隨時間變化的趨勢，以及整體民間電力資源的使用狀況，還可以進一步查看各個電力交易單位的運作情況，甚至監控民間業者的執行情況與排程，以確保電力系統的精準調度。</p> <p>電力交易平臺上線至今也獲得不少重要的成果，參與容量逐年成長，從2022年的100MW增至2023年的500MW。截至9月，合計總量已達1,599.5MW，相當於約有1.5部核能機組的量。</p> <p>參與合格交易者到今年10月增加到95家，涵蓋多個產業。製造業的群創、友達、台達和台灣康寧；航空業的漢翔；百貨業的京站、台北101和維多利亞酒店；飯店業的加賀屋；醫療機構如彰基醫院、雙和醫院和敏盛醫院；水泥製造業的台泥，以及電信業的中華電信等。</p> <p>台電不僅自行打造電力交易平臺，還設計了聚合商的角色，用來整合各產業的民間業者，並透過代理需量反應資源參與平臺的運作。他表示，聚合商在台電交易平臺中扮演著重要角色，能有效整合分散在全臺各地的民間資源，並促進創意合作，比如Gogoro、京站就是透過聚合商參與。此外，當用戶面臨技術上的困難時，聚合商也能提供直接協助。</p> <p>台電的電力交易平臺在技術應用上也有不少突破，例如能即時掌握這些民間案場可用電力的狀態，更新頻率更達到秒級，此外，通訊方面，採用SD-WAN通訊技術，取代過去傳統的IPSec VPN通道，來與合格交易者傳遞訊息，不僅具備自動偵測通訊品質和自動調整路徑的能力，還能強化資訊安全。</p> <p>在電力交易平臺中導入了AI技術，分別應用於短期負載預測，提高預測精度，以及模擬電力系統的發電與用電行為，實現電力資源配置最佳化排程等。<br /> 除了日前輔助服務市場，台電規畫研擬日內輔助服務市場，未來可以提供當日小時前甚至即時的交易，甚至隨著技術和法令成熟，也將研擬規畫新的輔助服務市場，例如日前電能市場等，讓未來電能可以自由買賣。</p> <p> </p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> </span></span></span><a href="https://www.ithome.com.tw/article/165438" target="_blank"><span style="color:#FFFFFF;"><span style="font-size: 24px;"><strong><span style="background-color:#3399ff;">相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1203-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=tBlYc-8N" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/10/11 11:57作者余至浩https://www.ithome.com.tw/news/165436
臺灣電網數位韌性背後的IT關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每一天，台電電力交易平臺要處理上億筆電力資料，來掌握民間電力資源的即時狀態，迅速應對電力系統變化。隨著輔助服務態樣越來越多和參與者不斷增加，未來規畫導入微服務架構，加速新服務和功能的推出。</p> <p>「一開始建立電力交易平臺，就以證券交易所平臺等級，來思考整體系統規畫。」台電電力調度處處長周芳正表示，這樣的設計正是為了因應未來更多種服務的擴展能力，滿足電力市場需求的變化和更多元的交易模式。</p> <p>在台電強化電網韌性計畫中，電力交易平臺扮演了虛擬電廠調度的關鍵角色，負責整合分散於各地的民間可用電力資源，為電力系統提供輔助服務，以便在電力需求波動或突發況下迅速調度資源，提升整體電網的穩定與韌性。</p> <p>臺灣在2017年通過《電業法》後，台電開始規畫打造這套電力交易平臺，整合民間電力資源建構更具韌性的電網。為了打造這套關鍵平臺，台電找上資策會團隊合作，由其負責電力交易平臺資通訊系統開發與建置，如調度系統等。</p> <p>最初，台電建先建立平臺原型，進行內部測試，經過一年的測試與調整，2020年開始建置正式平臺，並在2021年正式上線，推出電力系統的日前輔助服務。隨著平臺發展，提供的電力交易單位，從原來一種增加為三種，去年更增加一種，因應輔助服務多元交易的需求，進而提升電力調度的彈性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1203%E5%B0%81%E9%9D%A2-%E5%B9%B3%E8%87%BA-600.png" style="text-align: center; width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>應對電力系統變化，更要掌握民間電力資源的即時狀態</strong></span></span></p> <p>從規畫到正式啟用上線，花了約4年。在建置過程中，台電面臨不少技術挑戰，不僅需採用專用電表以提供即時的民間電力數據，還導入了新通訊技術，建立更安全可靠的訊息傳遞管道。</p> <p>由於民間電力資源分散各地，為了能更迅速應對電力系統變化，電力交易平臺在設計上特別強調即時通訊的能力，資料更新頻率得達到每秒等級，以便精準掌握民間可用電力資源的即時狀態，才能在緊急情況下進行快速調度，特別是儲能設備，一旦偵測到頻率變化便會自動反應，透過即時資料回報，才能根據實際狀況迅速調整。</p> <p>可是，台電的AMI智慧電表通常每15分鐘回傳一次用電數據。為此，台電採用另一款專用電表，取得更即時的民間電力數據，此外，在通訊方面也採用智慧電網IEC 61850和DNP 3.0取代舊通訊標準，藉此提高數據回傳效率。</p> <p>不僅如此，台電過去慣用IPSec VPN通道，作為與合作業者間的訊息傳遞管道，由於電力交易需要一一和越來越多的業者介接，常因設備、通訊協定或參數設定等問題產生諸多困難，使得介接處理流程非常耗時。</p> <p>為了解決這個問題，台電後來採用軟體定義廣域網路技術SD-WAN，以軟體方式建立VPN通道，取代了既有VPN專線，提供更迅速且安全的通訊管道。</p> <p>周芳正表示，由於SD-WAN本身具備自動調整路徑和優化通訊品質功能，不只能讓合格業者快速且直接地連接到平臺，同時也能有效進行管控，並強化資訊安全。</p> <p>電力交易平臺上線迄今3年多，目前有95家合格業者，提供超過430個民間電力資源，若是考慮到聚合商，每一家聚合商可能代理多家企業，實際參與平臺的企業可能破百家以上。</p> <p>為確保能夠整合更多業者及資源加入平臺，台電在平臺上線前也進行過更大連線規模的壓力測試，200名參與者，每位參與者提供5個資源，共計1,000個資源進行測試，也就是目前串接來源數量的兩倍，整套系統仍舊可以正常運作。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>一天得處理3.2GB資料量</strong></span></span></p> <p>周芳正表示，電力交易平臺目前平均一天收到的資料量約3.2GB。換句話說，一年累計的資料量超過1TB。為了儲存這些資料，台電持續進行資料的擴充，對於保留超過三年的資料，也會壓縮成其他格式進行保存。</p> <p>從技術架構來看，台電電力交易平臺主要由13個核心模組組成，涵蓋註冊、公告、報價、通訊、ETP系統調度介面、現行運轉計畫平臺（COP）、通訊與調度、通知、結算、PLEXOS介面模組、最佳化模組、短期負載預測、再生能源預測等模組，各自負責不同的功能和任務，為日前輔助服務市場提供所需的資訊服務。</p> <p>在這套平臺中，台電導入不少自動化機制，提高平臺營運和管理效率。以日前輔助服務為例，幾乎是全天營運交易流程，因此不論是處理合格交易者報價、電力調度處最佳化排程作業、輔助服務調度使用及輔助服務報酬結算，都靠自動化來處理，有效節省人力。</p> <p>像是調度日的排程上，台電使用PLEXOS模型，可準確模擬電力系統的發電與用電行為，將電力系統的物理特性納入考量，求得全系統電力資源配置最佳化排程的結果。</p> <p>調度日後，經由電力交易平臺的結算模組可自動化計算各交易資源的服務報酬，提供合格交易者報酬預結算明細以利確認。</p> <p>台電也用AI，來提升短期負載預測模組的預測精準度，採用殘差類神經網路技術和多重方程時間序列模開發出AI預測模型，並搭配整體學習（Ensemble learning）進行模型融合。該模型能夠根據歷史用電量趨勢、考慮天氣變化、節慶假日等因素，推估即時的全系統用電總需求量，在用電日之前，作為民間電力資源配置及決定時段的重要參考。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>下一步規畫導入微服務架構</strong></span></span></p> <p>隨著服務項目的增加和民間參與者的持續增長，台電不斷深化電力交易平臺的發展，以支援未來更多的服務擴充和多元交易模式。此外，台電也規畫導入微服務架構，翻新現有平臺的資訊架構，以提升開發與維護的彈性。</p> <p>負責建置電力交易平臺的資策會開發團隊，後來獨立出來成立一家資訊公司新捷能資訊。該公司總經理梁敏雄指出，由於現行模組功能不斷擴充，加上資源增多，各模組使用者也不同與資源樣態越來越複雜，增加開發和維護管理的複雜度，必須採用更彈性的架構。</p> <p>梁敏雄表示，未來電力交易平臺將拆解成多個獨立的微服務模組，讓每個模組可獨立開發、部署和更新，從而加快新功能的擴展，避免單一模組的更改影響到其他模組。此外，導入微服務後，能針對不同使用者的需求進行特別設計和功能擴充，同時加強資安管理。</p> <p>近兩年，台電也加強與第三方業者平臺的整合，例如聚合商現在可以透過呼叫API方式取得公告排程和調度指令等相關資訊，但出於資安考量，台電目前不考慮採用Open API架構。</p> <p>周芳正表示，未來台電規畫研擬日內輔助服務市場，將能提供當日小時前甚至即時的電力交易。在排程方面，將逐步從每小時排程縮短到每15分鐘，可以提供更準確的電力調度。</p> <p>隨著技術和法令成熟，台電將規畫新的輔助服務市場，如日前電能市場，讓電能可以自由買賣，進一步吸引更多穩定可靠的外部電力資源進入市場，強化電網的韌性與穩定。</p> <p>台電還計畫導入市場管理系統MMS於平臺中，透過EMMS串接各式數位創新技術，如AI、區塊鏈等，實現全面分散式資源即時經濟調度。以區塊鏈為例，未來可應用於智慧電表中，當進行多對多的綠電交易時，就能透過區塊鏈，確保電表記錄的真實性與可追溯性。</p> <p><span style="font-size: 24px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> </span></span></span><a href="https://www.ithome.com.tw/article/165438" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 24px;"><strong><span style="background-color: rgb(51, 153, 255);">相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1203-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=tBlYc-8N" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/10/11 11:58作者余至浩https://www.ithome.com.tw/news/165437
7級強震不斷電的數位韌性
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1203-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=tBlYc-8N" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧臺灣4月3日發生的7.2強震，規模雖接近當年的921，卻沒有造成全臺大規模的停電，關鍵就在於台電打造的電力交易平臺，讓臺灣能夠快速結合民間可用電力，提升電力調度的靈活性和系統韌性，不只確保電網在突發情況下能迅速反應與調度，維持全臺電網穩定，更展現了臺灣不斷電的數位韌性。</p> </div></div></div>
2024/10/11 11:58作者余至浩https://www.ithome.com.tw/article/165438
Mozilla發布Firefox更新，修補已遭利用的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月9日Mozilla基金會發布資安公告，<a href="https://www.mozilla.org/en-US/security/advisories/mfsa2024-51/">緊急修補Firefox重大層級的零時差漏洞CVE-2024-9680</a>，這項漏洞由資安業者ESET通報，存在於Animation元件的時間軸，為記憶體釋放後再存取使用（Use After Free）漏洞，CVSS風險評分達到9.8（滿分10分），該基金會發布Firefox 131.0.2，以及長期支援版（ESR）128.3.1、115.16.1修補。值得留意的是，已有攻擊者試圖利用這項漏洞。</p> <p>針對這項漏洞帶來的影響，Mozilla基金會指出，攻擊者若是觸發漏洞，就有機會藉由Animation元件的時間軸，引發記憶體釋放後再存取使用的現象，而能在特定處理程序執行程式碼。</p> <p>他們特別提及，已接獲漏洞被實際利用的通報。究竟駭客如何利用漏洞？該基金會並未進一步說明。</p> <p>想要修補上述漏洞並不難，因為Firefox會自行下載新版程式，並在功能選單提醒軟體更新，用戶應依照指示套用並重新啟動瀏覽器，即可緩解這項漏洞。</p> </div></div></div>
2024/10/11 12:09作者周峻佑https://www.ithome.com.tw/news/165442
羅氏重新定位IT角色展開變革，擁抱敏捷組織全面扁平化
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>四年前，羅氏大藥廠臺灣位於40樓的辦公室中，有間很特別的玻璃屋，牆上貼著一棵大大的蘋果樹海報。樹上貼了一張張便條紙，員工們常稱這些便條紙是一顆一顆的蘋果，滿滿都是公司團隊寫下的痛點。自2020年這棵蘋果樹出現以來，許多痛點已用新方法解決，甚至成為IT聯手業務的新典範。這就是臺灣羅氏大藥廠CIO吳明杰上任後，推動轉型的重要成果之一。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>IT角色轉換是羅氏IT轉型重點</strong></span></span></p> <p>吳明杰回憶，2019年，他進入臺灣羅氏大藥廠不久後，就得負責推動一項IT轉型的大工程。這項轉型計畫，不只要將IT從維運導向角色，轉換為商業夥伴角色，同時還要創造策略價值（Strategic value）。</p> <p>目標雖有，如何實現，還得靠自己定義策略和方法。於是，他爬梳了羅氏大藥廠的IT生態，區分出IT服務對象。首先是對內，也就是協助員工，用IT技術優化流程和系統，比如打造特定系統，來協助藥廠作業流程合法合規，又或是維運企業資源規畫（ERP）系統、客戶關係管理（CRM）系統和商業智慧（Data Intelligence）等企業常見工具。</p> <p>再來是對外，也就是協助業務團隊服務羅氏大藥廠的外部顧客，像是醫療機構、醫師、病友團體，甚至是政府單位。比如，開發系統來協助醫師治療、衛教和實驗，又或是運用新技術，來為病友團體打造用藥和病程追蹤數位工具，也能協助業務團隊提高與這些顧客的互動程度。</p> <p>這樣的生態，是羅氏大藥廠臺灣IT部門過去多年來的日常，讓他們養成了接收需求、解決需求的固定思維，以追求「內部卓越營運」為主的習慣。</p> <p>但吳明杰話鋒一轉，這幾年來，新技術和新IT工具的迭代越來越快，使用門檻也越來越低，這讓羅氏大藥廠意識到，傳統IT角色和思維開始過時了。「IT應該思考，如何運用這些技術和工具，在既有基礎上，創造更高的價值、提供更多賦能。」他說。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>從戰略高度賦予IT新角色和目標</strong></span></span></p> <p>因此，臺灣羅氏大藥廠從戰略高度，賦予IT新角色，讓IT不再是根據需求解決問題的被動後勤，轉而要主動出擊、與業務團隊聯手，成為商業夥伴，用IT創造更多價值和賦能。</p> <p>「也就是從傳統IT，轉換為策略型IT，」吳明杰用一句話，點出最本質的改變。</p> <p>吳明杰重新定義了IT的新角色，劃定出3大工作目標，除了維持既有維運工作，還要用從內部服務延伸到外部共創價值，以及最後一項，也是他最看重的「創新」目標。</p> <p>這3大目標看似獨立，卻又環環相扣，比如，創新可結合外部顧客參與，來開發更好用的顧客系統和工具、提高外部顧客體驗，又或是結合既有IT工作，來用新技術改善內部作業流程。</p> <p>舉例來說，臺灣羅氏大藥廠IT大幅導入機器人流程自動化（RPA），來優化內部品管和臨床團隊工作，像是將臨床部門的許可證申請流程自動化，將員工從低價值的工作中解放，來從事更多高價值工作。這是從創新思維來思考既有維運工作的提升。</p> <p>另一個例子是，IT聯手業務展開一項試點專案，導入當時新穎的聲音辨識技術和裝置，獲得病患同意後紀錄他的生活習慣和病程趨勢，協助醫生衡量病友健康狀況。這項專案並非是羅氏大藥廠原本的對外服務，但卻可以用來強化醫生、病友等這類外部顧客體驗，創造更多價值。</p> <p>IT部門主導的創新，還不只如此。吳明杰點出，除了邀請新創公司進駐合作、找出醫療生態系的AI應用切入點，以及與學校展開開放式創新、利用複雜的圖學網路分析技術爬梳人際網絡外，他們自己還啟動了幾個重要工作，包括成立創新實驗室、大規模導入設計思考（Design Thinking）和敏捷式開發。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1203-CIO-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>設置創新實驗室落實敏捷開發</strong></span></span></p> <p>這個創新實驗室，就是2020年初在IT座位區旁架設的透明玻璃屋。這個玻璃屋有3面牆，一面牆上貼了一棵蘋果樹，上面貼滿了痛點便條紙。另一面牆是「採收」過的蘋果，也就是IT分門別類過的痛點便條紙，還有一面是既有資源和工具的盤點，方便團隊聚集在透明屋中，快速討論、動手解題。</p> <p>設立這個創新實驗室的目的，不只要解決問題，還要用來實作出設計思考和敏捷開發的途徑。</p> <p>吳明杰解釋，臺灣羅氏團隊投資許多時間和資源，聘請師資開課、教導設計思考和敏捷式開發，甚至鼓勵同仁考取敏捷專業證照。</p> <p>為了將設計思考和敏捷式開發落實到實務工作中，他們讓公司各部門的同仁在玻璃屋中寫下業務痛點和提案，IT團隊則每隔1、2周進屋檢視，將問題分類，比如是顧客參與類，還是作業維運類，並判斷可用哪些既有資源來解題。</p> <p>這個過程也不是由上而下指派業務人員來撰寫痛點，而是開放給他們自由提案。隨著，IT解決的痛點越來越多，也有越來越多業務人員主動走過來，寫下他們最切身的問題。</p> <p>對吳明杰來說，這個過程很重要，這是「將想法視覺化」的重要步驟，如此才能界定問題、更好地尋找解決方案。在尋找答案的過程中，臺灣羅氏團隊按設計思考流程，來將問題轉換為可行的專案，並與業務同仁組成敏捷開發小組，快速迭代原型，直到解決問題。</p> <p>這間透明的創新實驗室啟用4年來，成功孵化了不少創意提案，也將許多IT技術融合至各部門的工作流程中，如RPA、聲音辨識技術、AI分析等。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>全球組織轉型接續展開</strong></span></span></p> <p>到了2022年，位於瑞士的羅氏大藥廠總部更發起一項任務，要求羅氏全球分部進行IT組織大轉型，臺灣也在內。</p> <p>這波組織轉型，是要將相同技能的人力，整併到同一個單位中。以IT為例，就是要整合羅氏原本旗下的幾大IT單位，包括藥廠部門IT與診斷部門IT，兩者合而為一、成為「Roche One IT」。</p> <p>這個整合後的組織，羅氏大藥廠用「Chapter」（中譯分會組織）和「Domain」來描述，凡是在同一個Chapter中的人力，都具備相似專業技能，可共享知識、標準化工作。這個做法參考了敏捷開發方法中的橫向組織結構，在垂直任務編組的小隊（Squad）組織架構中，採取的橫向組織形式，讓同一類人才組成共享團體，最典型的例子是音樂串流平臺Spotify採取這樣的編制，來進行大規模敏捷開發。</p> <p>這樣的組織轉型，讓羅氏大藥廠的人力編制更加「扁平化」了，不只打破傳統企業由上而下的垂直結構、減少管理層次，也打破傳統的人才綁定慣例，給人才更多可能，去學習新知識和技能，而非只專注於同一地區的同一產品。</p> <p>吳明杰舉例，一位原本專門維運臺灣區ERP系統的IT，在新組織編制中，就會歸屬到一個全球性IT的Chapter團隊，可以讓這位IT有機會負責維運其他亞洲區，甚至是歐洲分部的ERP系統，甚至可以跨領域維護生成式AI應用。</p> <p>羅氏大藥廠總部希望藉這場轉型，帶來4大優勢，包括產出更多協作價值、加速交付流程、培養更多人才，以及從過往的「由上而下」組織架構，轉換為「賦能」為主的組織架構。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>新角色還需要培養新能力</strong></span></span></p> <p>在這波組織轉型中，吳明杰自己的職位也跟著改變，從臺灣區CIO轉換成為亞太區資訊夥伴的Chapter Section Lead一職，主要任務也從管理臺灣區IT事務，變成帶領其他亞太區14個分部的資訊夥伴主管，達到其工作目標。</p> <p>這個轉變，打破了傳統CIO框架，釋放更多可能性和挑戰，來處理原本CIO份內之外的工作。</p> <p>不只協助其他IT主管，這個Chapter Section Lead新角色，格外需要幾項重要能力的培養，包括了領導管理、技術推廣和熟稔生態系夥伴等，每個能力又可細分成初階、中階和高階這3個等級。</p> <p>就領導管理來說，目的是要與同仁溝通、取得共識，來制定可衡量的指標，進一步實現商業夥伴目標。技術推廣則是學習和理解技術運用，而熟稔生態系夥伴是指，在醫療保健生態系中，尋找能創造價值的地方，比如IT與銷售團隊一起拜訪外部顧客，理解用戶痛點的同時，還要有能力更清楚掌握生態系樣貌，並用IT來解決問題、創造價值。</p> <p>吳明杰坦言，這次組織轉型帶來不少挑戰，尤其得面對「不同文化、不同國家的商業環境和成熟度。」他認為，應對每個需求並達成目標，是一個不斷學習的過程，必須更加理解亞洲其他國家地區的文化差異，以及各分部的策略方向，比如是以策略導向還是運營為導向，如此才能貼近需求、協助分部IT主管達成目標，「這也是我一直在學習的方向。」</p> <p>也因此，在接下來的1年，他鎖定2方向作為精進目標，其一就是繼續加強這些能力的培養，另一則是繼續以設計思考原則，來優化敏捷組織的運作。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>生成式AI是新課題，有潛力協助高層策略規畫</strong></span></span></p> <p>未來的課題不只如此，近來大放異彩的生成式AI，正是羅氏大藥廠下一波的重點技術，總部更發起了一項伽利略專案，來推廣這類技術應用。</p> <p>比如，羅氏大藥廠採用商用生成式AI解決方案，自行微調模型打造出自己的ChatGPT，也就是Roche Chat，用來解決內部員工的疑難雜症，像是文件摘要、法律文件翻譯等。對外也有一套生成式AI工具，可協助合作廠商與客戶之間的協作。對吳明杰自己來說，生成式AI有著巨大潛力，其發展也日益重要、進展迅速，但擁有適當技能的人才，才是數位轉型的成功關鍵。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>吳明杰　羅氏大藥廠亞太區資訊合夥負責人</strong></span></p> <p>學歷：劍橋大學企管碩士畢業</p> <p>經歷：累積超過18年藥廠、汽車、顧問領域專業經驗，專注於資訊、策略和專案執行等領域，近期經歷包括2018年於太古汽車集團擔任資訊主管，2019年進入羅氏大藥廠擔任臺灣區CIO，2022年經歷組織轉型，成為亞太區資訊合夥負責人至今</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1203-CIO-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E7%BE%85%E6%B0%8F%E5%A4%A7%E8%97%A5%E5%BB%A0.jpg" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／羅氏大藥廠</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>羅氏大藥廠</strong></span></p> <p>●地址：臺北市南港區經貿一路170號10樓</p> <p>●網址：<a href="http://www.roche.com.tw">www.roche.com.tw</a></p> <p>●成立時間：1967年成立臺灣分公司</p> <p>●主要業務：製藥，鎖定癌症、免疫、感染性疾病、眼科及中樞神經系統等五大領域</p> <p>●總部：瑞士巴賽爾（Basel）</p> <p>●員工數：250人</p> <p>●總經理：Girish Mulye</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門名稱：Global Informatics Partnering Success</p> <p>●資訊部門主管職稱：APAC Chapter Lead - Informatics Partnering</p> <p>●資訊部門主管姓名：吳明杰</p> <p>●資訊部門人數：30多人（亞太區）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 數位大事記 </span></strong></span></p> <p>●1967年：羅氏大藥廠臺灣分公司成立</p> <p>●2019年：臺灣區IT轉型展開，將IT角色重新定位為商業夥伴，主動出擊解決商業問題；國家衛生研究院與羅氏集團簽訂合作備忘錄，要發展精準醫療</p> <p>●2020年：成立創新實驗室，以設計思考和敏捷開發方式執行創新專案</p> <p>●2022年：羅氏總部推動組織轉型，臺灣區CIO轉型為亞太區資訊合夥負責人；臺灣羅氏與華碩簽署備忘錄，運用醫療大數據研究平臺推動精準醫療；羅氏集團將雲端工作遷移到AWS，使用高效能運算、分析、機器學習、資料庫、儲存和安全等功能加速藥物研發</p> <p>●2023年：羅氏總部應用AI技術協助找出肺癌患者</p> <p>●2024年：羅氏集團研發AI連續血糖監測器，獲歐盟EC智慧醫材許可</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1203-cio-she_ying_hong_zheng_wei_-960.jpg" width="960" height="420" alt="" title="羅氏大藥廠亞太區資訊合夥負責人吳明杰　（攝影／洪政偉）" /></div></div></div>
2024/10/11 12:13作者王若樸https://www.ithome.com.tw/people/165443
今年初修補的Fortinet RCE漏洞已遭濫用攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全暨基礎架構安全管理署（Cybersecurity and Infrastructure Security Agency，CISA）<a href="https://www.cisa.gov/news-events/alerts/2024/10/09/cisa-adds-three-known-exploited-vulnerabilities-catalog" target="_blank">本周公告</a>，防火牆產品Fortinet一項已修補8個月的重大風險漏洞已發生濫用事件，呼籲用戶更新到最新版本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1011-Known%20Exploited%20-CISA-CVE-2024-23113-fortinet.png" style="width: 600px;" /></p> <p>遭到濫用的漏洞為<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-23113" target="_blank">CVE-2024-23113</a>，它是一個存在FortiOS fgfmd精靈程式的格式化字串漏洞，攻擊者可透過操弄輸入的叫呼訊息格式觸發，而在未經授權情況下在FortiOS上執行任意程式碼或指令。本漏洞風險值達9.8。Fortinet已在今年2月修補完成。</p> <p>CVE-2024-23113影響Fortinet多項產品，包括FortiOS、代理伺服器FortiProxy、特權存取管理FortiPAM及集中管理平臺FortiSwitchManager。CISA呼籲美國聯邦政府單位應立即採取防護措施。</p> <p>CVE-2024-23113是CISA新增入已知被濫用漏洞名單的三項漏洞之一。另二項為Ivanti服務的SQL程式碼注入及OS指令注入漏洞，業者已在本周稍早公告透過<a href="https://www.ithome.com.tw/news/165408" target="_blank">10月份更新修補</a>。</p> </div></div></div>
2024/10/11 10:07作者林妍溱https://www.ithome.com.tw/news/165432
Fidelity Investments被駭，7.7萬客戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>跨國金融業者富達投資（Fidelity Investments）本月稍早<a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/a4103ed8-3176-4ca0-99e6-4a320f1c3b32.html?7194ef805fa2d04b0f7e8c9521f97343" target="_blank">通報州主管機關</a>，公司系統遭駭客存取，致使大約7.7萬名客戶個資外洩。</p> <p>富達投資已在本周以電子郵件通知受影響消費者。根據該公司提供給官方的文件，在今年8月17到19日之間，一個外部組織利用二名客戶新增的帳號非授權存取了公司系統，並取得客戶資料。該公司立即採取行動切斷了存取管道。</p> <p>富達提供給另一州政府的<a href="https://www.mass.gov/doc/data-breach-report-2024/download" target="_blank">文件中</a>，顯示這次外洩的客戶個資包含社會安全號、駕照號碼及銀行帳號。</p> <p>富達投資將對受影響的客戶提供24個月的個資外洩監控服務。</p> <p>這是12個月以來富達第5度已知的資料外洩。今年3月及7月富達集團各因客戶資料外洩通報主管機關，前幾次案例分別發生在富達投資壽險、富達投信，各自造成用戶的社會安全號碼、銀行帳號或駕照證號外洩。</p> </div></div></div>
2024/10/11 09:00作者林妍溱https://www.ithome.com.tw/news/165431
【2024舊金山AMD發表會直擊】AMD發表最高192核心的第5代EPYC處理器，推出新Instinct MI325X…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國舊金山舉行的AMD Advancing AI全球發表會中，AMD發表資料中心CPU、GPU、網路及AI PC最新產品，其中資料中心CPU發表了代號為Turin的第5代EPYC處理器9005系列，新的伺服器專用處理器採用Zen 5架構，核心數從8到192核心，搭載新處理器的伺服器預計2025年第1季推出。同場發表的還有AI資料中心專用GPU，Instinct系列加速器，包括Insinct MI325X及明年將推出的MI350系列。</p> <p>AMD執行長蘇姿丰在發表會中表示，在快速發展的AI應用，AI正從分析式AI應用到生成式AI應用，並向代理型的AI應用發展，AMD的策略是在企業的各種AI工作負載提供對應的運算引擎，包括AMD EPYC處理器，以及Instinct系列加速器。</p> <p>首先在資料中心伺服器，蘇姿丰指出，AMD EPYC處理器的市場營收佔比不斷增加，從2018年營收佔比只有2%，目前營收佔比已達到34%，目前仍在成長中，迄今已有超過350款OEM平臺，超過950個雲端執行個體採用EPYC處理器。</p> <p>AMD正式發表代號Turin的第5代EPYC伺服器專用處理器，採用3奈米及4奈米製程，內含1,500億個電晶體，核心數從8個核心到最多192個核心，功耗從最低155瓦到500瓦，時脈達5GHz；新一代EPYC處理器相容於第4代EPYC處理器Genoa的SP5平臺，並支援12Ch DDR5-6400記憶體，在I/O方面，採用trusted I/O技術，支援機密運算。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-10-10%20%E4%B8%8B%E5%8D%882_28_09.jpeg" style="width: 600px; height: 308px;" /></p> <p>第5代EPYC處理器支援Scale-up向上擴充及Scale-out橫向，其中Scale-up版本內建16個Zen 5 CCDs，擁有128個核心、256個執行緒，而Scale-out版本內建12個Zen 5c CCDs，雖然CCDs數量比較少，但是最多有192個Zen 5c核心、384個執行緒。</p> <p>回顧EPYC處理器從2017年的第1代EPYC，到2024年的第5代，處理器內的CPU核心數從最初的32個核心，到現在的192個核心，核心數增加6倍，效能方面，第5代EPYC處理器比第1代EPYC提升11倍的效能。</p> <p>AMD也從不同角度比較新一代EPYC處理器所能帶來的效益，例如在虛擬化的軟體授權成本方面，以同樣64個核心的第5代EPYC處理器9575F和第4代EPYC的9554、英特爾第5代Xeon 8592+作比較，第5代EPYC處理器9575F的單一核心效能，較AMD前一代EPYC，英特爾第5代Xeon處理器效能分別高出1.2倍、1.6倍；單單以第5代EPYC處理器和競爭對手英特爾的產品相比，相當於在相同虛擬化軟體授權成本下，效能多出60%。</p> <p>在AI及推論效能方面，相同處理器在機器學習及端到端AI，第5代EPYC和競爭對手相比擁有3倍、3.8倍的AI效能。</p> <p>第5代EPYC處理器更多的CPU核心，在資料中心有限的空間、供電下，可減少伺服器數量，AMD以1000臺老舊的2P英特爾Xeon Platium 8280伺服器為例，如果汰換為現代伺服器，採用第5代EPYC處理器的伺服器，伺服器數量可減少至131臺，相當於7:1伺服器數量整併比例，減少伺服器數量，意謂著降低TCO總持有成本，減少伺服器用電。</p> <p><span style="color:#B22222;"><strong>同步發表Instinct MI325X加速器，明年下半年再推MI350</strong></span></p> <p>在資料中心專用GPU方面，去年夏天AMD發表Instinct MI300系列，包括APU設計的MI300A，以及MI300X，AMD也推廣ROCm開放軟體平臺，擴大ROCm對AI函式庫的支援，向開發社群招手，擴大Instinct加速器的生態系。</p> <p>蘇姿丰表示，ROCm經過不斷的調整，在推論及訓練效能已提升2倍效能，支援的模型數量上，透過和Hugging face深化合作，現在支援的模型數量已超過1百萬個。此外，也和AI開發社群、新創深化合作，例如PyTorch、ONNX、TensorFlow，擴大AI生態系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-10-10%20%E4%B8%8B%E5%8D%882_13_50.jpeg" style="width: 600px; height: 349px;" /></p> <p>今年AMD更新Instinct系列加速器，發表MI325X加速器，採用CDNA 3架構，內建更大的256GB HBM3E記憶體，記憶體頻寬提高到每秒6TB，FP16效能測試下，可達到1.3PF，在FP8效能測試下，可達到2.6PF。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20241010_092722.jpeg" style="width: 600px; height: 450px;" /></p> <p>AMD 以MI325X和Nvidia H200 HGX相比，MI325X最大可支援2TB HBM3E，為H200HGX的1.8倍記憶體容量，記憶體頻寬最多可每秒48TB，為H200的1.3倍，在AI模型訓練及推論效能也有所提升。MI325X並未公布價格，但將在今年第4季開始生產，相關系統將在明年第1季推出，根據AMD公布的資料，Dell、技嘉、HPE、Lenovo、Supermicro將會採用。</p> <p>根據AMD的Instinct系列產品規畫，明年下半年將會發表MI350系列，MI350將會採用3奈米製程，支援FP4及FP6資料類型，並且有別於先前採用的CDNA 3架構，MI350開始採用新的CDNA 4架構，和舊架構相比，推論效能可望達到35倍之多。</p> <p>AMD展示Instinct MI355X在FP16及FP8測試下，其效能表要比MI325X高出1.8倍，在FP6及FP4，可達到9.2PF。</p> <p>看好資料中心AI加速器市場持續成長，年複合成長率超過6成，可望從2023年450億美元成長到2028年的5,000億美元，AMD展現持續投入資料中心GPU市場的決心，除了明年下半年的MI350系列，先預告2026年將推出MI400系列，採用下一代CDNA架構。</p> <p>因應資料中心處理AI工作負載的需求增加，除了發表新一代EPYC處理器，以及Instinct系列AI加速器，資料中心網路產品方面，AMD發表第3代P4引擎，每秒處理多達1.2億個封包，400GB/s傳輸速度。</p> <p>今天發表採用新的P4引擎資料中心DPU產品，包括AMD Pensando Salina 400，以及另一款也採用P4引擎的Pensando Pollara 400，Pollara支援Ultra Ethernet Consortium聯盟即將推出的UEC1.0標準，支援可編程的硬體Pipeline，提供最高6倍效能加速。</p> <div> </div> </div></div></div>
2024/10/11 06:11作者蘇文彬https://www.ithome.com.tw/news/165430
【2024舊金山AMD發表會直擊】商用AI PC處理器亮相，NPU效能最高可達55 TOPS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>看準AI PC市場成長潛力，AMD在美國舊金山發表活動中，發表一系列AI相關運算產品，其中在PC方面，迎合企業對於AI PC的需求，發表Ryzen AI Pro 300系列商用處理器，主打商用AI PC市場，內建NPU具備效能最高達55TOPS，支援微軟Copilot+PC，並且最多達到23個小時電池續航力，該公司也預告2025年將有超過100款Ryzen AI Pro電腦產品推出。</p> <p>在今年Computex，AMD針對微軟Copilot+PC需求，推出第三代Ryzen AI處理器，代號為Strix Point的Ryzen AI 300系列，採用Zen 5核心，最高內建12個核心、24個執行緒，搭配XDNA 2架構的NPU，其NPU效能可達到50TOPS，達到微軟Copilot+PC要求NPU效能至少40 TOPS的要求，在當時優於高通、英特爾等處理器NPU效能。</p> <p>AMD擴大第三代Ryzen AI處理器陣容，今天(10/11)在美國舊金山正式發表Ryzen AI Pro 300系列商用處理器，和鎖定消費市場的Ryzen AI 300系列處理器不同，支援AMD Pro的商用PC規格，強調迎合企業IT需要的簡化管理、穩定，以及支援多層的安全性設計。</p> <p>Ryzen AI Pro 300系列同樣採用Zen 5架構CPU核心，共推出3款處理器，由低階到進階，分別為Ryzen AI 7 Pro 360、Ryzen AI 9 HX Pro 370、Ryzen AI 9 HX Pro 375，從內建8核心及16個執行緒，到內建12個核心、24個執行緒，處理器時脈最高至5.1GHz；在GPU方面，採用下一代的RDNA 3.5架構，內含16個GPU計算單元，根據AMD的資料，3款處理器分別採用AMD Radeon 880M或890M Graphics。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-10-10%20%E4%B8%8A%E5%8D%883_04_52.jpeg" style="width: 600px; height: 327px;" /></p> <p>新的Ryzen AI Pro處理器也採用XDNA 2的NPU架構，其NPU效能介於50到55 TOPS，相較於前一代商用處理器(AMD Ryzen Pro 8040系列)提升3倍，並強調為首款支援微軟Copilot+PC的商用PC處理器，能夠在裝置端執行AI應用，例如快速幫助使用者搜尋瀏覽過網頁、簡報、郵件的Recall，以及圖像生成的Cocreator，可即時翻譯超過40種語言為英文字幕的Live Caption。</p> <p>目前在主流的PC處理器上，AMD在NPU效能上達到55TOPS，不僅是自家Ryzen Pro 8040系列NPU效能的3倍，高於蘋果M4處理器的38TOPS，並且高於英特爾Core Ultra vPro的NPU效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-10-10%20%E4%B8%8A%E5%8D%884_23_05.jpeg" style="width: 600px; height: 311px;" /></p> <p>在筆電等行動PC重視的電池續航力方面，最多可達到23個小時，電池續航力接近1天，以一般使用行為來看，可達到多天使用時間。</p> <p>AMD推出新款Ryzen AI Pro商用PC處理器，以對應英特爾同樣鎖定商用PC定位的vPro處理器，AMD也不忘比較與競爭對手的效能表現，以AMD Ryzen AI 7 Pro 360、Ryzen AI 9 HX Pro 375來和英特爾Core Ultra 7 165U及165H的vPro處理器比較，在Cinebench R24 n-thread的CPU效能測試下，分別高出競爭對手3成及4成，而在Procyon Office Productivity生產力效能測試方面，則是比競爭對手高出9%及14%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-10-10%20%E4%B8%8A%E5%8D%883_07_34.jpeg" style="width: 600px; height: 323px;" /></p> <p>針對AI PC的AI應用生態，AMD透過Ryzen AI軟體和企業ISV強化合作關係，例如微軟、Adobe、Zoom、Splashtop等業者，讓預訓練的AI模型，經過權重量化，搭配ONNX Runtime，讓AI應用能夠支援Ryzen AI產品，Ryzen AI Pro 300系列商用處理器的效能得以發揮。</p> <p>至於企業關心的資安上，AMD和第三方業者合作，在硬體、作業系統以多層次安全設計強化商用處理器產品的安全性，例如避免員工電腦遺失的AMD Memory Guard，內建AMD Secure Processor 2.0，AMD也和ISV合作，發展資安的AI應用，例如和Bufferzone合作AI的反釣魚技術，以及和Dynamo AI合作，針對高度監管的醫療或金融產業，提升AI決策的透明度。</p> </div></div></div>
2024/10/11 06:13作者蘇文彬https://www.ithome.com.tw/news/165429
Apache Avro軟體開發套件存在高風險漏洞，攻擊者有機會遠端於Java應用程式執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月3日Apache基金會發布公告，表明旗下的資料序列化框架Avro<a href="https://lists.apache.org/thread/c2v7mhqnmq0jmbwxqq3r5jbj1xg43h5x">存在資安漏洞CVE-2024-47561</a>，該漏洞發生在Java軟體開發套件（SDK），CVSS風險評分達到7.3，影響1.11.3之前的版本，該基金會發布1.11.4及1.12.0修補。</p> <p>開發團隊表示，問題出在舊版Avro的Java SDK處理Schema過程中，攻擊者有機會觸發漏洞並執行任意程式碼，呼籲用戶儘速套用新版程式，後續他們回答提問時提到：假如使用者能夠提供自己的Schema，任何應用程式都有可能受到影響。</p> <p>資安新聞網站Hacker News對<a href="https://thehackernews.com/2024/10/critical-apache-avro-sdk-flaw-allows.html">這項漏洞提出進一步說明</a>，假如使用者能夠提供自己的Schema，任何應用程式都有可能受到影響。</p> <p>資安新聞網站Hacker News的相關報導，也引用資安業者Qualys威脅研究團隊經理Mayuresh Dani的說法，他表示，該弱點的位置是從Schema收到反序列化輸入過程。根據該公司掌握的威脅情報，目前尚未有人提供概念性驗證程式碼（PoC），但他們表示這項漏洞在透過ReflectData與SpecificData指令處理套件時就會出現，而且，攻擊者可透過分散式事件處理平臺Kafka利用。</p> <p>Dani指出，大多數採用Avro的企業組織位於美國，若是他們不予修補、監督或採取保護措施，就有可能產生很多安全問題。</p> </div></div></div>
2024/10/10 14:56作者周峻佑https://www.ithome.com.tw/news/165423
美國政府考慮提議拆分Google
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國法院8月判決Google在搜尋及廣告市場有壟斷行為，而提告的美國政府提議多項修正措施，包括拆分這家網路及軟體巨擘。</p> <p>哥倫比亞特區聯邦地方法官Amit P. Mehta 8月針對司法部及美國數州對Google提起的線上搜尋及搜尋廣告市場的壟斷官司，<a href="https://www.ithome.com.tw/news/164309" target="_blank">判決</a>Google具有壟斷行為（monopolist）。本周法院公布33頁由<a href="https://www.documentcloud.org/documents/25196894-doj-filing-re-google-antitrust-remedies" target="_blank">美國司法部提交文件</a>，針對Google以營收共享、集中用戶使用資料、搜尋第三方網站內容以進行AI訓練等手段擴大搜尋優勢，以及壟斷搜尋廣告的行為，提議多種矯治措施的框架。</p> <p>其中，為了防範Google藉由營收共享給裝置或瀏覽器業者獨享用戶平臺，司法部的提議小至要求Google告知用戶選擇權利、禁止使用預安裝或預設合約使Google成為預設搜尋，大到以行為和結構式手段，禁止Google利用Chrome、Play、Android等產品偏袒Google搜尋及相關功能如AI。結構層面的矯治意謂著要讓Google出售這些業務。</p> <p>在其他矯治手段方面，司法部希望能迫使Google在不影響用戶隱私下，透過API開放Google搜尋的索引、feeds、模型，以及Google行動版搜尋結果、功能及底層排序信號給競爭者。</p> <p>其次，由於Google使用第三方內容訓練AI演算法方面，美國政府要求Google允許第三方網站退出（opt-out）其資料擷取，並禁止Google和內容網站簽定排除其他AI業者的合約．</p> <p>最後，美國政府認為，Google透過強大的演算法和廣告平臺控制了大部分的搜尋廣告投放。因此司法部要求Google改變或取消一些使廣告主依賴Google的限制性條款，並要求Google提高廣告投放的透明度，確保其他廣告平臺的公平競爭權。</p> <p><a href="https://blog.google/outreach-initiatives/public-policy/doj-search-remedies-framework/" target="_blank">Google回應</a>，美國司法部的提議框架，遠超過本案法律議題。而且其提議諸多不合理。包括要求Google分享資料才會危及用戶隱私，而限制Google AI技術，正是在AI發展關鍵期傷害美國創新能力。Google也聲稱其在搜尋廣告市場的優勢是因為其技術創新和用戶信任，而不是不公平競爭或壟斷行為，而市場上有多個其他搜尋引擎和廣告平臺，這表明市場並非完全被其壟斷。</p> <p>針對拆分Chrome、Android部門，Google表示，兩者合併運行，才能讓使用者免費使用，而且安全，可快速連網，拆分兩者將破壞這商業模式，提升用戶裝置成本、並減弱Android和Google Play對抗蘋果iPhone/App Store的能力。</p> </div></div></div>
2024/10/10 15:54作者林妍溱https://www.ithome.com.tw/news/165427
Internet Archive遭駭，逾3,100萬筆帳號外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網際網路檔案館（Internet Archive，IA）周三（10/9）遭到駭客入侵，駭客塗改了該平臺的首頁，宣稱其安全性弱不禁風，而且已與Have I Been Pwned（HIBP）分享了所盜走的逾3,100萬筆帳號。</p> <p>1996年成立的IA為一非營利組織，定位為數位圖書館，宗旨為讓所有的知識普遍化，於是該站搜集了各式各樣的數位內容，包括網頁、軟體、遊戲、音樂、影片及數百萬本圖書，最有名的工具之一是「時光機」（Wayback Machine），允許人們存取特定時間、或許已經消失的網頁。</p> <p>當天存取IA的使用者會看到一個視窗，宣稱該站已遭駭客挾持，並說Internet Archive其實是在許多棍棒上運作，一直處於遭到災難性安全漏洞的邊緣，而且事情已經發生了，看看在HIBP上的3,100萬筆用戶資料。</p> <p>IA創辦人Brewster Kahle<a href="https://x.com/brewster_kahle/status/1844183111514603812" target="_blank">證實</a>了此事，指出Internet Archive遭到分散式服務阻斷（DDoS）攻擊，駭客還藉由JS函式庫玷污該站，外洩了使用者名稱、電子郵件，以及加鹽的加密密碼。該平臺緊急關閉JS函式庫，全面清理系統，同時升級安全機制以作因應。</p> <p>另一方面，HIBP的確已經出現了源自Internet Archive的<a href="https://haveibeenpwned.com/" target="_blank">外洩資料庫</a>。</p> <p>HIBP創辦人Troy Hunt<a href="https://x.com/troyhunt/status/1844148532703526928" target="_blank">解釋</a>，其實他早在9月30日就收到IA的外洩資料庫，只是當時他在旅行，沒有注意到此事的嚴重性，一直到10月6日才通知IA，雙方並協議要在10月9日對外揭露，結果當天IA剛好又遭到駭客入侵，種種跡象顯示IA不只遭到一次攻擊。</p> <p>使用者只要在HIBP網站上輸入自己的電子郵件，就能知道自己的郵件信箱是否曾經出現在哪些資料外洩事件中。</p> <p>代號為SN_Blackmeta的駭客組織<a href="https://x.com/Sn_darkmeta/status/1844080692772401399" target="_blank">宣稱</a>他們是此一攻擊的幕後黑手，還說在數小時內連續發動幾波成功的攻擊，導致Internet Archive的所有系統都當機。</p> </div></div></div>
2024/10/10 15:39作者陳曉莉https://www.ithome.com.tw/news/165426
溫布頓網球賽的線審明年將被AI取代
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全英草地網路與槌球俱樂部（All England Lawn Tennis and Croquet Club，All England Club）<a href="https://www.wimbledon.com/en_GB/news/articles/2024-10-09/2024-10-09_operational_updates_for_the_championships_2025.html" target="_blank">周三（10/9）宣布</a>，明年起於該場地舉辦的溫布頓網球錦標賽（Wimbledon）將以即時電子線審（Live Electronic Line Calling，Live ELC）來取代人類線審。這些穿著整潔、站在或蹲在球場邊線及底線的人類線審，已於該球場存在147年，並已是大滿貫賽事的一大特色。</p> <p>其實在四大網球公開賽中，澳洲網球公開賽（Australian Open）是最早採用電子線審的大滿貫賽事，美國公開賽（US Open）也自2018年全面改用電子線審，若再加上溫布頓網球錦標賽，那麼只剩下法國網球公開賽（French Open）還會出現人類線審。</p> <p>這些網球公開賽早就開始測試或使用電子線審，All England Club也說，他們是在今年舉行的錦標賽期間展開了廣泛的測試，並且經過大量的考慮及詢問，才決定全面採用Live ELC。明年的溫布頓網球錦標賽將在2025年6月30日至7月13日舉行。</p> <p>All England Club執行長Sally Bolton表示，今年的測試顯示Live ELC技術已足夠強大，成為提高裁判準確性的關鍵步驟；球員則可面對與其它賽事的同樣條件。</p> <p>儘管透過AI或電子線審將可減少比賽的爭議，但也有球迷對這樣的改變感到失望。衛報（The Guardian）<a href="https://www.theguardian.com/sport/2024/oct/09/tennis-wimbledon-abolishes-line-judges-after-147-years-electronic-line-calling" target="_blank">分析</a>，有些人懷念球場上有更多的人，或是球員與線審之間的互動，而且許多主審都是從邊審而來，失去了培育主審的環境。</p> </div></div></div>
2024/10/10 16:12作者陳曉莉https://www.ithome.com.tw/news/165428
Google DeepMind科學家獲諾貝爾化學獎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瑞典皇家科學院（The Royal Swedish Academy of Sciences）周三（10/9）把2024年諾貝爾化學獎（Nobel Prize in Chemistry）<a href="https://www.nobelprize.org/prizes/chemistry/2024/press-release/" target="_blank">頒給了</a>David Baker，以及兩名Google DeepMind科學家Demis Hassabis及John Jumper 。</p> <p>今年的諾貝爾化學獎與蛋白質有關。蛋白質通常由20種不同的胺基酸以不同的順序組成，由胺基酸串成的長鏈會折疊成特定的3D形狀，而此一3D結構將決定蛋白質的功能，例如防禦、訊號傳遞、結構支撐或催化等。</p> <p>現年62歲的David Baker是名生物化學家，以設計蛋白質結構及功能的計算方法而聞名。瑞典皇家科學院指出，Baker成功地利用不同的胺基酸設計出一個全新的蛋白質，之後其研究小組即不斷地創造出各種蛋白質，包括可用作藥物、疫苗、奈米材料或是微形感測器的蛋白質。</p> <p>至於Hassabis與Jumper則都是Google DeepMind的科學家。瑞典皇家科學院說，從1970年代以來，研究人員一直試圖以氨基酸的排序來預測蛋白質結構，這是件很難的事，但Hassabis與Jumper在2020年所發表的<a href="https://www.ithome.com.tw/news/141398" target="_blank">AlphaFold2模型</a>，卻能夠預測幾乎涵蓋所有已知的2億種蛋白質的結構。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1010-Nobel%20Prize%20in%20Chemistry-google%20deepmind-2.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">© Nobel Prize Outreach</span></span></p> <p>迄今全球已有來自190個國家的逾200萬人使用AlphaFold2，在眾多的科學應用中，研究人員現在可以更好地理解抗生素抗藥性，以及設計出能夠分解塑膠的酶。</p> <p>瑞典皇家科學院認為，沒有蛋白質，就沒有生命，現在能夠預測蛋白質結構，還能設計自己的蛋白質，替人類帶來了最大的好處。</p> <p>諾貝爾化學獎的獎金為1,100萬瑞典克朗（約110萬美元），Baker將取得其中的一半，DeepMind的兩名科學家再分享另一半。今年與人工智慧技術相關的還有獲得諾貝爾物理獎的<a href="https://www.ithome.com.tw/news/165399" target="_blank">John Hopfield與Geoffrey Hinton</a>，他們因以人工神經網路實現機器學習上的發現及發明而得獎。</p> </div></div></div>
2024/10/10 14:37作者陳曉莉https://www.ithome.com.tw/news/165422
Palo Alto修補產品轉移工具多項重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>防火牆業者Palo Alto Networks本周<a href="https://security.paloaltonetworks.com/PAN-SA-2024-0010" target="_blank">發布安全公告</a>，並修補平臺轉移工具Palo Alto Networks Expedition上可能造成程式碼執行、密碼外洩與釣魚攻擊等多項重大風險漏洞。</p> <p>這批修補的漏洞包括編號CVE-2024-9463到CVE-2024-9467的7項漏洞，皆是與Palo Alto用於將防火牆設備由其他品牌轉移的軟體工具Expedition有關。首先CVE-2024-9463及CVE-2024-9464為OS指令注入漏洞，以根權限執行任意OS指令，濫用二漏洞皆能導致PAN-OS防火牆的使用者名稱、明文儲存的密碼、裝置配置和裝置API洩露，其中CVE-2024-9463 CVSS風險值達9.9，CVE-2024-9464則為9.4。</p> <p>CVE-2024-9465為SQL注入漏洞，濫用的結果可導致未經授權的攻擊者外洩Expedition資料庫內容，像是密碼雜湊、用戶名稱、裝置配置和裝置API，攻擊者還可利用這些資訊在Expedition系統讀取和新增任意檔案。該漏洞風險值為9.2。CVE-2024-9466則是明碼儲存的敏感資訊漏洞，讓獲得授權的攻擊者洩露防火牆用戶名稱、密碼及利用這些產生的API金鑰，風險值8.2。</p> <p>最後一項CVE-2024-9467是Expedition的反射跨站指令碼（cross-site scripting，XSS）攻擊，可讓攻擊者傳送惡意連結發動釣魚攻擊，導致Expedition瀏覽器會話劫持，而在授權的用戶瀏覽器上執行惡意JavaScript。</p> <p>Palo Alto表示這批漏洞不影響Palo Alto防火牆產品、中央管理平臺Panorama、遠端辦公室安全存取閘道Prisma Access或雲端防火牆Cloud NGFW。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1010-vulnerabilities%20in%20Palo%20Alto%20Networks%20Expedition-2.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Palo Alto Networks</span></span></p> <p>Palo Alto已發布Expedition 1.2.96修補所有漏洞，其中CVE-2024-9466在更新後會自動移除。廠商尚未發現上述漏洞有被惡意濫用的情形，但是複製攻擊的手法已經公開，因此Palo Alto呼籲，在更新軟體後，所有Expedition用戶名、密碼和API金鑰，或是經Expedition處理的防火牆用戶名、密碼和API金鑰都應輪換。</p> <p>未能立即安裝最新版本的用戶則應將Expedition授權用戶或主機、網路限縮，若Expedition沒有使用，則應予以關閉。</p> </div></div></div>
2024/10/10 14:56作者林妍溱https://www.ithome.com.tw/news/165424
OpenAI擴點新加坡，成立亞太區營運中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI<a href="https://x.com/OpenAI/status/1843865921879978489" target="_blank">昨日宣布</a>新增設點新加坡、法國巴黎與比利時布魯賽爾。其中新加坡將成為OpenAI亞太區營運中心。</p> <p>新加坡是OpenAI繼4月首度<a href="https://www.ithome.com.tw/news/162315" target="_blank">公布</a>的東京辦公室後的第二個亞洲辦公室。曾任共享汽車平臺Grab及軟體公司Asana前營收長Oliver Jay將在此主管亞太區業務營運和市場擴張。昨日OpenAI還宣布新增了紐約和西雅圖二地美國辦公室。在此之前OpenAI原本設點包括總部舊金山，以及倫敦及都柏林。</p> <p>除了設點外，OpenAI並將和新加坡政府經濟發展局（Economic Development Board）合作，協力當地AI發展計畫。新加坡政府<a href="https://www.linkedin.com/posts/singapore-economic-development-board_chatgpt-maker-openai-to-open-singapore-office-activity-7249661212756492288-je1_" target="_blank">說明</a>，OpenAI將協助<a href="https://aisingapore.org/" target="_blank">AI Singapore</a>計畫。AI Singapore為新加坡於2017年啟動，旨在為新加坡企業和學術研究單位提供AI共用資源，用以建立社群發展電腦視覺、自然語言處理、大型語言模型及機器流程自動化（robotic process automation）等本地AI應用與培育科學人才。</p> <p>配合海外擴點計畫，OpenAI也貼出<a href="https://openai.com/careers/search/" target="_blank">招聘啟示</a>，海外新聘人事著重在資安、產品規劃、客服、與業務。</p> </div></div></div>
2024/10/10 15:18作者林妍溱https://www.ithome.com.tw/news/165425
微軟釋出Microsoft.Extensions.AI .NET函式庫，簡化AI服務整合流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布推出全新的<a href="https://devblogs.microsoft.com/dotnet/introducing-microsoft-extensions-ai-preview/">Microsoft.Extensions.AI預覽版套件</a>，這是一套針對.NET平臺設計的函式庫，提供標準化人工智慧服務抽象層，讓開發者能夠更輕鬆地將人工智慧整合到應用程式中。Microsoft.Extensions.AI套件支援各種人工智慧服務，並結合人工智慧應用開發框架Semantic Kernel的高階功能，提升開發人工智慧應用程式的靈活性和可擴展性。</p> <p>隨著人工智慧技術快速發展，市面上存在各種人工智慧服務，而這些服務各有其供應商和API介面，導致開發者需要替每個服務實作不同的整合方式，增加了開發的複雜度和維護成本。而微軟現在推出Microsoft.Extensions.AI函式庫，便是要解決這個問題，藉由提供標準化的整合框架，讓開發者可以更專注於應用創新，而不用煩惱處理不同人工智慧服務整合的細節。</p> <p>Microsoft.Extensions.AI套件提供統一的C#抽象層，讓開發者可以利用相同的程式設計方式來整合不同的人工智慧服務，也就是說，無論是使用OpenAI、Azure AI還是其他人工智慧服務，開發者都可以利用相同的程式碼結構和介面進行操作，而不需要替每個服務單獨學習或是編寫不同的整合方式，降低學習成本提高開發效率。</p> <p>而且Microsoft.Extensions.AI內建支援多種中介軟體，像是日誌紀錄、分散式快取、遙測和工具呼叫等，開發者可以將這些功能和人工智慧服務結合使用，提升應用程式的可靠性和監控能力。Microsoft.Extensions.AI還支援多人工智慧供應商的參考實作，像是OpenAI、Azure AI推理和Ollama，這代表開發者可以根據需求快速切換服務供應商，而不需要重寫程式碼，並且能夠更簡單地開發本地和雲端模型混用的應用。</p> <p>值得注意的是，Microsoft.Extensions.AI包含了一個稱為Semantic Kernel人工智慧應用開發框架。Semantic Kernel框架可以協助開發者建置具備語義推理和智慧流程的應用程式，開發者可以在Microsoft.Extensions.AI標準化抽象層上實現更高階的人工智慧應用，像是任務規畫、自然語言理解和多步驟自動化操作。</p> <p>開發者已經可以在NuGet上取得Microsoft.Extensions.AI，只要在程式碼中引用相關的套件和API，便能夠快速整合多種人工智慧服務。</p> </div></div></div>
2024/10/10 13:56作者李建興https://www.ithome.com.tw/news/165416
從五個層次談溝通力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-gou_tong_de_huang_jin_fa_ze_-960x420.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《哈佛商業評論》（Harvard Business Review）一篇文章提到：「專業人士進步與晉升的首要標準，即是具備有效溝通的能力。」溝通能力對我們的日常生活至關重要，因為那是我們影響他人的方式；溝通能力對發展與維持關係也一樣重要，因為那是我們社交活動的核心要素。研究分析師暨溝通專家海莉•霍桑（Hayley Hawthorne）表示：「溝通就像是將人與人連結在一起的結締組織，能夠聚集人群、建立共識，以及共同協調與執行計畫等。歸根結柢，溝通是促成轉變的工具。」</p> <p>然而，與此同時，公開演講卻讓許多人畏懼；我認為公開演講就是對兩個人或更多人傳達訊息。脫口秀喜劇演員傑瑞•宋飛（Jerry Seinfeld）在個人的一檔節目當中說道：「我看到一項研究指出，一般人最害怕的事，是在群眾面前演說。這項研究實在太有趣，人們第二害怕的事是死亡，死亡竟然位居第二？這代表對於一般人而言，如果哪天必須參加葬禮，會寧願躺在棺材裡，也不想宣讀悼詞。」</p> <p>沒有這麼嚴重吧！</p> <p>我相信大多數害怕和群眾溝通的人會想避免這件事，是因為不想表現太差；也就是說，他們害怕失敗。</p> <p>正如海莉•霍桑所言：「溝通技巧並非一朝一夕即可掌握，培養溝通技巧是一段需時長久的旅程。」然而我可以告訴你，這趟旅程的每一步都值得！</p> <p><span style="font-size:28px;"><strong>人們聽從你的意見是因為……</strong></span></p> <p>當你以說話者的身分努力建立信譽時，你對他人的影響力會隨之增加，而且你很有可能預期到它會怎麼發展。閱讀這五個層次的溝通時，請思考自己在不同交談對象群體中的公信力，藉此確定你和對方的關係。</p> <p><span style="color:#B22222;"><strong>1. 要求層次：人們「必須」聽你說話</strong></span></p> <p>我二十二歲時成為印第安納州南部一個小型鄉村教會的牧師。剛開始我既年輕又沒有任何講道的經驗，還沒有和人們建立起關係；然而，來禮拜的人都會聽我講道。為什麼呢？因為我有牧師職位。過沒多久我就意識到，仰賴職權讓人聽從是最低的層次。從最低層次開始努力沒有錯，畢竟這就是我們大多數人的起點。但是如果想成為優秀的溝通者，就不能只停留在這個層次。我意識到這一點後做出一項重大決定：要努力提升說話的層次，致力變得比我的職權更偉大、更優秀。</p> <p>我們都有過被要求聽從別人的經驗。也許你願意聽從老闆說的話，是為了保住工作；或者，你想通過一門課程，必須聽老師或教授說話；或是你聽從政府官員指示，是因為他負責監管你必須完成的某項流程。你會聽這些人說話，是因為對方的職權要求你這樣做，而你別無選擇。</p> <p>倘若你想成為優秀的溝通者，就必須認知到自己的職位或頭銜不會讓人想持續和你溝通交流。你必須自行提高標準，開始培養讓人想要傾聽的技能，這將把我們帶入下一個層次。</p> <p><span style="color:#B22222;"><strong>2. 關係層次：人們「想要」聽你說話，是因為喜歡你</strong></span></p> <p>在我開始服務第一個教會的幾個月內，我和人們建立起關係。我喜歡他們，他們也喜歡我。我能感受到他們從必須聽我說話，轉變成想要聽我說話。是因為我的說話技巧進步很多嗎？我對此存疑，但我和他們的關係確實改善許多。這證實一句古語的真理：「在人們知道你有多在乎之前，他們根本不在乎你知道多少。」我發現溝通不只是說話，而是要和人建立連結。</p> <p>如果你經常和同一個人交談，你能採取最好的做法就是和對方建立良好的關係。如果你的狀況無法和他們個別建立關係，那就保持友好交流。關心聽你說話的人，坦誠、真心的對待他們，言出必行，人們就會喜歡你。</p> <p><span style="color:#B22222;"><strong>3. 卓越層次：人們「喜歡」聽你說話，是因為你很優秀</strong></span></p> <p>作為一位年輕的演說者，每當感覺到聽眾喜歡我並且想聽我說話時，我就更有動力提升自己身為溝通者的層次，並且讓人們更想要聽我說話。從那時起，我不斷挑戰自己，學習成為優秀的溝通者。我花大約八年的時間尋找、發展並磨練我的風格。這聽起來似乎是很長一段時間，但絕對值得。當時的我已經學完了嗎？不，我並沒有因此停止學習，現在仍然持續精進自己。我已經演講五十多年了，但我仍然不斷的學習、成長。成為優秀的溝通者是一趟旅程，而不是一個目的地。</p> <p>雷蘭德將這個層次的溝通稱為「卓越的溝通」有跡可循，因為它能讓人脫穎而出，而且唯有竭盡心力，才能達到這個層次；你必須付出大量時間心力，才能變得卓越。當你達到這個層次，人們會注意到並口耳相傳，因為這是相當不凡的成就。</p> <p>我想在此稍作停頓，鼓勵各位邁步前進。我希望你變得卓越！而我也相信你可以辦得到。因此本書主要傳授原則與技巧，將會對你的溝通旅程有所助益。當你學會這些法則並付諸實踐，你的說話技巧將會提升。我給各位的最佳建議是「求知若饑」。就像是在市集上想買一個超大棉花糖的小男孩，雖然棉花糖小販看了他一眼說道：「對你這樣的小男孩來說，這個棉花糖太大了。」</p> <p>但小男孩回答：「別擔心！我的內在比我的外表大得多。」</p> <p>假使你已經在持續精進溝通技能，那麼本書中的法則可以幫助你彌補能力中的任何「漏洞」，幫助你微調技能。如果你仍是溝通新手，可能需要相當長的時間才能臻至卓越，但是你一定辦得到。這些法則將快速幫你啟動學習。</p> <p><span style="color:#B22222;"><strong>4. 理性層次：人們「設法」聽你說法，是因為你會為他們的生活增添價值</strong></span></p> <p>我之前提過說話者的動機很重要。賽門•西奈克（Simon Sinek）在著作《先問，為什麼？》（Start with Why）中指出：「人們不管你做了什麼，只在乎你為什麼這麼做。」他是從領導力的觀點寫下這句話，而這個道理在溝通領域也同樣關鍵。</p> <p>我會開始演講與寫作是為了幫助人們，我渴望幫人提升價值。然而，「想要幫人提升價值」和「成功幫人提升價值」有所區別。我花許多時間與精力找方法幫人們增添價值。為了達成這個願望，就必須先贏得信譽。我想和各位分享這個過程，因為我相信它也會對你有所幫助。我必須：</p> <p>●找到自己：當我不再試著模仿別人時，就能找到自己。</p> <p>●了解自己：當我自我審視、向自己提問，並且給出誠實的答案時，就能了解自己。</p> <p>●做我自己：當我接受上帝所創造的我是什麼樣子時，就能做我自己。</p> <p>●提升自己：當我反覆從試驗與錯誤中提升說話技巧時，就能提升自己。</p> <p>●超越自己：當我不再注意自己與他人眼中的自己時，就能超越自己。</p> <p>●奉獻自己：當我開始思考他人以及如何幫助他人時，就能奉獻自己。</p> <p>當你致力成為更優秀的溝通者，請採納這些經驗原則，它們將協助你成為一個能幫助他人增添價值的人。</p> <p><span style="color:#B22222;"><strong>5. 回饋層次：人們「渴望」聽你說話，是因為你就是你</strong></span></p> <p>這是溝通者所能達到最高層次的影響力。雷蘭德將其稱為「回饋層次」，因為演說者一生致力於提升技巧、關注他人，並且幫助他人增添價值，從而創造出非凡的投資回報。此時，人們會聽你說話，是因為你這個人以及你長期以來的所作所為。這是說話者最高層次的信譽，是根據道德權威建立而成。<strong>（本文摘錄整理自《溝通的黃金法則》，天下文化提供）</strong></p> <p class="rtecenter"><a href="https://bookzone.cwgv.com.tw/book/BWL100" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%BA%9D%E9%80%9A%E7%9A%84%E9%BB%83%E9%87%91%E6%B3%95%E5%89%87-600.jpg" style="width: 600px;" /></a></p> <p><a href="https://bookzone.cwgv.com.tw/book/BWL100" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_天下文化</span></span></a></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 溝通的黃金法則（The 16 Undeniable Laws of Communication）</strong></p> <p>約翰．麥斯威爾（John C. Maxwell）／著；李文怡／譯</p> <p>天下文化出版</p> <p>定價：450元</p> <p><a href="https://www.maxwellleadership.com/publishing/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%BA%9D%E9%80%9A%E7%9A%84%E9%BB%83%E9%87%91%E6%B3%95%E5%89%87-200.jpg" style="width: 200px;" /></a></p> <p><a href="https://www.maxwellleadership.com/publishing/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Maxwell Leadership</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>約翰．麥斯威爾（John C. Maxwell）</strong></p> <p>《紐約時報》暢銷榜第一名作家、演說家、教練與領導者，著作在全球翻譯成五十種語言、銷售超過三千五百萬冊。創辦麥斯威爾領導力學院（John Maxwell Leadership®），組織成立宗旨為推廣他遵循的原則：協助他人創造有影響力且正向的改變。</p> <p>獲「美國管理協會AMA」（American Management Association）評定為商業領域最頂尖的領導者，並受到《商業內幕》（Business Insider）與《企業》雜誌（Inc.）遴選為全球最具影響力的領導學專家。</p> </div></div></div>
2024/10/10 06:00未署名https://www.ithome.com.tw/article/165353
【資安日報】10月9日，零信任之父第一手導讀零信任架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著資安威脅與日俱增，零信任架構成為最近幾年的熱門話題。但究竟什麼是零信任架構？在14年前提出此戰略理念的零信任之父John Kindervag，日前在國際半導體展（SEMICON 2024）召開的半導體資安趨勢高峰論壇發表演說，指出其核心理念就是「拒絕信任」。</p> <p>他以美國特勤局保護總統的策略來比喻零信任架構，揭示零信任3個核心理念的關鍵要素，企業組織也應該依循這樣的策略，保護資料及網路環境的資產。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=211109&SPOKE_DATE=20241007&COMPANY_ID=3661"><strong style="font-size: 22px;">半導體IC設計業者世芯電子網站遭遇DDoS攻擊</strong></a></p> <p>10月7日上市半導體IC設計公司世芯電子（世芯-KY）在股市公開觀測站發布重大訊息，表示他們的網站受到DDoS攻擊，事發當下立即啟動相關防禦機制，後續網站已恢復正常運作。</p> <p>他們也對這起資安事故可能會造成的衝擊提出說明，根據初步評估，該公司目前無個資或內部檔案外洩情況，對公司營運無重大影響。而對於未來的防護機制改善，世芯表示現行的資安防護機制已足以因應相關攻擊，他們日後將持續密切監控來因應。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=180811&SPOKE_DATE=20241007&COMPANY_ID=3057"><strong style="font-size: 22px;">儲存設備業者喬鼎資訊發布重大訊息，證實遭遇網路攻擊</strong></a></p> <p>本週一（7日）晚間上市儲存設備業者喬鼎資訊於股市公開觀測站發布重大訊息，他們表明遭遇網路攻擊，察覺此起事故後，隨即啟動防護機制，並對受害主機進行隔離。</p> <p>根據他們初步的評估，此事故對於公司營運無重大影響。在這份公告當中，喬鼎並未交代遭遇的資安事故類型、被攻擊的IT基礎設施與原因。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165405"><strong style="font-size: 22px;">微軟發布10月例行更新，修補5個零時差漏洞</strong></a></p> <p>10月8日微軟發布本月例行更新（Patch Tuesday），總共修補117個漏洞，較上個月79個多出不少，也是今年第3次公告超過100個漏洞的情況，其中包含7個權限提升漏洞、7個安全功能繞過漏洞、43個遠端程式碼執行（RCE）漏洞、6個資訊洩漏洞、26個阻斷服務（DoS）漏洞，以及7個能用於欺騙的漏洞。縱觀上述資安弱點，有5個是已被公開的零時差漏洞，而有2個出現實際被利用的情況。</p> <p>這些零時差漏洞分別是：Winlogon權限提升漏洞CVE-2024-43583、MSHTML平臺欺騙漏洞CVE-2024-43573、微軟管理主控臺（MMC）遠端程式碼執行漏洞CVE-2024-43572、Hyper-V安全功能繞過功能繞過漏洞CVE-2024-20659，以及Curl遠端程式碼執行漏洞CVE-2024-6197，CVSS風險評分介於8.8至6.5。</p> <p><a href="https://www.ithome.com.tw/news/165408"><strong style="font-size: 22px;">Ivanti雲端服務設備CSA修補3個零時差漏洞，已出現濫用活動</strong></a></p> <p>Ivanti針對旗下5款產品發布10月份安全性更新，修補資安漏洞。</p> <p>其中最值得留意的是雲端服務應用平臺Cloud Services Appliance（CSA），因為該公司這次公布的3項漏洞CVE-2024-9379、CVE-2024-9380、CVE-2024-9381，已出現部分用戶的系統遭遇漏洞濫用活動。</p> <p>對於這些漏洞遭到利用的情形，該公司指出是執行4.6版（並套用patch 518之前的修補程式）及舊版CSA的用戶遭到鎖定，而且，駭客不光利用上述的漏洞，還串連上個月19日公布的另一個路徑穿越漏洞CVE-2024-8963，CVSS風險評分達到9.4。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2024.html">SAP發布10月例行更新，修補BusinessObjects重大漏洞</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2024.html"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cert-portal.siemens.com/productcert/html/ssa-850560.html">西門子電力監控設備存在重大漏洞，攻擊者有機會輕易得到管理權限</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/okta-fixes-sign-on-policy-bypass-vulnerability/">Okta修補能繞過登入政策的資安漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cacti-network-monitoring-tool-patches-security-flaws-including-rce-vulnerability/">網路監控工具Cacti發布緊急更新，緩解RCE、XSS漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/critical-zero-day-automotive-systems-vulnerabilities-exposed/">車輛電子控制元件ECU存在嚴重漏洞，駭客有可能藉此掌控</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165397"><strong style="font-size: 22px;">零信任之父親臨SEMICON Taiwan 2024，親自導讀零信任架構</strong></a></p> <p>隨著網路安全威脅日益嚴峻，全球政府機構和企業正積極尋求創新方法來保護其數位與實體資產。在這一背景下，零信任架構（Zero Trust）逐漸成為最具影響力的安全戰略之一。全球率先針對零信任架構的提出者、也是現任Illumio傳道士John Kindervag，日前於國際半導體展（SEMICON 2024）召開的半導體資安趨勢高峰論壇，這是他二度訪臺並公開發表演說，也揭露並分享對網路戰爭及零信任架構的深刻見解。</p> <p>零信任在全球資安是顯學，從最初問世至今也已超過14年，但許多人雖然知道這個概念，但在實際宣導與推動仍有落差，John Kindervag這次來臺演講也特別提到4大常見謬誤，提醒大家應正確認識零信任架構。</p> <p>舉例來說，John Kindervag發現：「很多人將零信任與多因素身分驗證（MFA）混為一談，或者認為它只是VPN的替代技術，這是錯誤的觀念。」他進一步解釋，零信任其實是一種戰略理念，能夠適用於任何組織，防止資料洩露並降低網路攻擊的成功率。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165357"><strong style="font-size: 22px;">Google開始釋出安卓裝置的防盜功能</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1007-android theft protection-image by Mishaal Rahman.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1007-android%20theft%20protection-image%20by%20Mishaal%20Rahman.jpg" style="width: 300px; float: right;" /></a>科技記者Mishaal Rahman發現，Google於今年5月發表的安卓裝置防盜功能，已開始向美國用戶釋出，包括防盜鎖（Theft Detection Lock）、離線裝置鎖定（Offline Device Lock），以及遠端鎖定（Remote Lock）等，該公司預計今年內陸續推送給執行Android 10以上版本的裝置。</p> <p>其中，防盜鎖是透過Google AI 來感應是否有人從使用者手中搶走手機並試圖快速離開，如果偵測到竊盜常見的動作，就會快速鎖定螢幕。倘若小偷試圖長時間切關手機的網路，就算是在手機沒電且關機的狀態下，螢幕也會自動鎖定。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165396"><strong>【10月7日】美國水力關鍵基礎設施再傳遭遇網路攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165334"><strong>【10月4日】假借提供AI脫衣程式為誘餌，駭客企圖散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165282"><strong>【10月1日】駭客組織Storm-0501將攻擊範圍延伸到雲端環境</strong></a></p> </div></div></div>
2024/10/9 16:16作者周峻佑https://www.ithome.com.tw/news/165409
Ivanti警告雲端服務設備CSA有3個零時差漏洞已被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二（8日）Ivanti針對旗下裝置管理平臺Endpoint Manager Mobile（EPMM）、雲端服務應用平臺Cloud Services Appliance（CSA）、SSL VPN系統Connect Secure等多項解決方案發布<a href="https://www.ivanti.com/blog/october-2024-security-update">10月份安全性更新</a>，修補資安漏洞。</p> <p>其中最值得留意的是CSA，因為這次該公司公布的3項漏洞CVE-2024-9379、CVE-2024-9380、CVE-2024-9381，已被用於實際的攻擊行動，他們也確認有部分用戶福遭遇漏洞攻擊的情況。</p> <p>對於這些漏洞遭到利用的情形，該公司指出是執行4.6版（並套用patch 518之前的修補程式）及舊版CSA的用戶遭到鎖定，而且，駭客不光利用上述的漏洞，還串連上個月19日公布的另一個<a href="https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-4-6-Cloud-Services-Appliance-CVE-2024-8963">路徑穿越漏洞CVE-2024-8963</a>，CVSS風險評分達到9.4。</p> <p>值得留意的是<a href="https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-Cloud-Services-Appliance-CVE-2024-9379-CVE-2024-9380-CVE-2024-9381">本次公告的3個項漏洞</a>類型不盡相同，CVE-2024-9379是SQL注入漏洞，CVE-2024-9380為作業系統命令注入漏洞，至於CVE-2024-9381則是路徑穿越漏洞，CVSS風險介於6.5至7.2分。雖然駭客針對的是舊版CSA，但Ivanti指出，5.0版也存在這些弱點。</p> <p>該公司也提供用戶檢查是否遭到入侵的方法，包含確認是否出現新的管理者帳號，或是透過事件記錄資料進行調查，若是企業有部署EDR系統，他們也建議藉由這類資安系統的警示訊息進行釐清。</p> </div></div></div>
2024/10/9 16:08作者周峻佑https://www.ithome.com.tw/news/165408
微軟發布10月例行更新，修補5個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月8日微軟發布本月例行更新（Patch Tuesday），<a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Oct">總共修補117個漏洞</a>，較上個月79個多出不少，也是今年第3次公告超過100個漏洞的情況，其中包含7個權限提升漏洞、7個安全功能繞過漏洞、43個遠端程式碼執行（RCE）漏洞、6個資訊洩漏洞、26個阻斷服務（DoS）漏洞，以及7個能用於欺騙的漏洞。縱觀上述資安弱點，有5個是已被公開的零時差漏洞，而有2個出現實際攻擊行動。</p> <p>這些零時差漏洞分別是：Winlogon權限提升漏洞CVE-2024-43583、MSHTML平臺欺騙漏洞CVE-2024-43573、微軟管理主控臺（MMC）遠端程式碼執行漏洞CVE-2024-43572、Hyper-V安全功能繞過功能繞過漏洞CVE-2024-20659，以及Curl遠端程式碼執行漏洞CVE-2024-6197，CVSS風險評分介於8.8至6.5。</p> <p>至於已出現攻擊行動的零時差漏洞，是指CVE-2024-43573、CVE-2024-43572。而CVE-2024-43573最令人擔心，因為這項漏洞涉及棄用的IE 11排版引擎MSHTML，影響Windows眾多作業系統版本（不含Windows Server 2008、Windows Server 2008 R2、Windows Server 2012），微軟指出除Edge的IE模式會存取MSHTML平臺，也有其他應用程式可能會藉由特定控制項存取而曝險，但該公司並未透露更多細節，後續有待研究人員進一步調查。</p> <p>另一個也被用於攻擊的漏洞是CVE-2024-43572，微軟同樣未透露細節，以及駭客如何利用漏洞？他們只提到，本次更新可防堵用戶不慎開啟惡意Microsoft Saved Console（MSC）檔案的情況。</p> <p>究竟駭客如何利用這些漏洞？微軟並未說明。</p> </div></div></div>
2024/10/9 14:31作者周峻佑https://www.ithome.com.tw/news/165405
跟上OpenAI腳步，Anthropic發表Message Batches API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI主要競爭對手之一的Anthropic，在本周發表了<a href="https://www.anthropic.com/news/message-batches-api" target="_blank">Message Batches API</a>，以供開發者異步處理大量查詢，宣稱其成本比調用標準API便宜了50%，對於那些非時間敏感的任務而言更具成本效益。至於OpenAI已於今年4月，推出同樣號稱可節省50%成本的<a href="https://www.ithome.com.tw/news/162504" target="_blank">Batch API</a>。</p> <p>Anthropic說明，藉由Message Batches API，開發人員每批次可送出最多1萬個查詢，且每批次的處理時間不到24小時，成本比調用標準API少了50%。</p> <p>Message Batches API現為公開測試版，可支援Claude 3.5 Sonnet、Claude 3 Opus 與 Claude 3 Haiku，Amazon Bedrock上的Claude用戶可使用批次推論，並即將支援Google Cloud Vertex AI上的Claude用戶。</p> <p>Anthropic解釋，開發人員經常利用Claude來處理大量資料，例如分析客戶意見或是翻譯語言，但這些任務並不需要即時回應，現在透過Message Batches API可一次提交1萬個查詢，享有50%的折扣，儘管表訂24小時內處理，但通常會快得多，此一服務將讓許多過去認為成本太高的應用變得可行，例如分析企業的所有文件。</p> <p>在Claude 3.5 Sonnet中使用Message Batches API，輸入100萬個Token的費用為1.5美元，輸出100萬個Token的費用為7.5美元，在Claude 3 Opus中的價格分別是7.5美元與37.5美元，在Claude 3 Haiku中的價格則是0.125美元與0.625美元。</p> <p>至於OpenAI的Batch API<a href="https://openai.com/api/pricing/" target="_blank">價格</a>比Anthropic的Message Batches API更便宜，以最高階的GPT-4o模型為例，輸入100萬個Token的費用為1.25美元，輸出100萬個Token的費用為5美元。不過，Claude模型所支援的脈絡長度為200K，GPT-4o則是128K。</p> </div></div></div>
2024/10/9 14:53作者陳曉莉https://www.ithome.com.tw/news/165406
卡巴斯基證實關閉英國辦公室，裁員數十人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在撤出美國市場3個月後，Techcrunch<a href="https://techcrunch.com/2024/10/08/kasperksy-says-its-closing-down-its-uk-office-and-laying-off-dozens/" target="_blank">報導</a>，卡巴斯基計畫關閉英國分公司並裁減數十名員工。</p> <p>卡巴斯基英國分公司向媒體證實將結束運作，並把業務轉給合作夥伴。該公司表示此舉可讓他們「更有效管理英國的業務機會，強化整體業務活力」，並說客戶和合作夥伴都能通暢聯繫其歐洲團隊，以及合作夥伴網路。</p> <p>卡巴斯基倫敦辦公室有少於50名的員工。</p> <p>這是這家防毒業者繼7月退出美國市場後，第二個撤收業務的西方國家。美國指控卡巴斯基威脅國安，下令終止銷售。之後卡巴斯基將美國客戶<a href="https://www.ithome.com.tw/news/164886" target="_blank">轉給</a>了當地業者UltraAV。</p> <p>此後是一連串令用戶挫折的事。雖然已發出通知，但9月初卡巴斯基自我刪除並在用戶電腦上安裝了UltraAV，仍引發用戶抱怨未經同意擅自行動。另外，雖然還是有用戶想在Android上使用卡巴斯基防毒，無奈Google疑似下了殺手鐧，將之從Google Play Store<a href="https://www.ithome.com.tw/news/165348" target="_blank">下架</a>。</p> </div></div></div>
2024/10/9 13:41作者林妍溱https://www.ithome.com.tw/news/165403
Adobe即將推出免費的Content Authenticity服務，以驗證內容出處與真實性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Adobe本周<a href="https://news.adobe.com/news/2024/10/aca-announcement" target="_blank">宣布</a>，即將在明年第一季推出免費的Content Authenticity服務，以供創作者於自己的作品中添加內容憑證（Content Credentials），也能設定是否可用來訓練AI模型的偏好。</p> <p>Adobe解釋，<a href="https://contentcredentials.org/" target="_blank">內容憑證</a>如同數位內容的營養標籤，任何人都可在自己的作品中加入該憑證，憑證中可註明作品名稱、作者、出版日期、所使用的工具、是否利用AI，以及歷史紀錄等。也可於憑證中設定生成式AI的訓練及使用偏好，以拒絕被用來訓練AI模型。</p> <p>該公司曾經調查創作者對生成式AI的看法，發現有91%的創作者正在尋求一種可靠的方法來替他們的作品署名，也有56%的創作者擔心自己的作品，在未經同意下被用來訓練生成式AI模型。</p> <p>此一內容憑證是基於內容出處暨真實性聯盟（Coalition for Content Provenance and Authenticity，C2PA）所開發及維護的開放技術，日前<a href="https://www.ithome.com.tw/news/162803" target="_blank">TikTok</a>即宣布支援內容憑證，以自動辨識及標記由AI生成的內容（AI-generated content，AIGC）。</p> <p>儘管包括TikTok，或者是Adobe的Photoshop、Lightroom與Firefly等應用都已支援內容憑證，但目前市場上支援內容憑證的應用並不多，因此，屆時Adobe也會發表支援Chrome瀏覽器的Content Credentials擴充程式，也會在Content Authenticity服務中提供Inspect工具，以恢復或顯示內容憑證，包括編輯歷史紀錄。</p> <p>Adobe強調，源自於Content Authenticity服務的內容憑證將與使用者的作品保持安全連結，就算有人刪除了作品出處，或者是只憑作品的螢幕截圖，都能藉由數位指紋、無形浮水印，以及加密簽署的元資料等技術來恢復其內容憑證。</p> </div></div></div>
2024/10/9 14:12作者陳曉莉https://www.ithome.com.tw/news/165404
Uber駕駛App將導入AI助理推廣低碳運輸，明年先在美國上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在減碳風潮下，<a href="https://www.uber.com/newsroom/gogetzero-2024/" target="_blank">Uber本周宣布</a>將在2025年開始，透過OpenAI的聊天機器人回答Uber駕駛人關於電動車的疑問。</p> <p>本周二在Go-Get Zero大會上，Uber宣布一系列減碳措施，包括推出純電或油電混合車服務，在40餘國提供純電動車服務、個人減碳計算機、Uber Eats推出當地農作物製作的餐點等服務。</p> <p>Uber表示現在北美和歐洲已經有18萬名合作駕駛使用電動車。另外，為了推廣Uber駕駛人改換成電動車，Uber也在駕駛人App中加入以OpenAI GPT-4o為基礎的AI助理，為駕駛人回答關於電動車的問題，包括在高溫或日曬下行駛電動車的安全疑慮。</p> <p>Uber<a href="https://www.reuters.com/technology/artificial-intelligence/uber-launch-ai-assistant-powered-by-openais-gpt-4o-help-drivers-go-electric-2024-10-08/" target="_blank">告訴媒體</a>，這AI聊天機器人服務預計2025年初在美國推出，之後會再擴及其他地區。此外，除了回答電動車問題，Uber明年也會逐步擴大聊天機器人的用途。</p> <p>Uber已積極擁抱AI於企業流程。上個月分別公布提供給用戶和合作夥伴的生成式AI服務，包括開發類似OpenAI的<a href="https://www.linkedin.com/in/tsechiwang/" target="_blank">GenAI Gateway</a>，讓內部員工使用自建及外部的LLM，以生成式AI執行流程自動化、客服、或內容生成等60種作業場景，同時基於OpenAI技術的普及，Uber也允許員工使用OpenAI API</p> <p>Uber另外也公布了<a href="https://www.uber.com/en-TW/blog/query-gpt/" target="_blank">QueryGPT</a>允許開發工程師以自然語言進行資料庫SQL查詢，開發廣告、行動應用或核心服務。</p> </div></div></div>
2024/10/9 12:52作者林妍溱https://www.ithome.com.tw/news/165401
X向巴西法院低頭以解除封鎖令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在封鎖X月餘之後，巴西法院終於在周二（10/8）<a href="https://noticias.stf.jus.br/postsnoticias/stf-autoriza-o-retorno-imediato-do-x-e-determina-que-anatel-adote-providencias-para-a-retomada-do-servico/" target="_blank">宣布將重新放行X</a>，原因是X已同意遵守巴西政府的規定。</p> <p>巴西最高法院法官Alexandre de Moraes在今年8月30日下令全面<a href="https://www.ithome.com.tw/news/164808" target="_blank">封鎖X</a>，並凍結X在巴西的資產。雙方的恩怨來自於Moraes調查巴西前任總統Jair Bolsonaro拒絕承認落選並出走的事件中，X所有人馬斯克（Elon Musk）拒絕封鎖Bolsonaro支持者在X上的帳號；接著Moraes揚言要逮捕X在巴西的法定代理人，X卻直接解散巴西辦公室，並繼續於巴西提供服務；馬斯克還拒絕指定新的代理人，同時批評Moraes是個獨裁者。然後X就被封鎖了。</p> <p>在這期間，巴西還規定民眾不得透過VPN存取X，而X則<a href="https://www.ithome.com.tw/news/165074" target="_blank">藉由</a>改用Cloudflare的服務來繞過巴西的封鎖。</p> <p>總之，現在X已同意封鎖某些帳號，指派了一個在巴西的法定代理人，同時也已支付高達510萬美元的罰款，因而得以重返巴西市場，巴西國家通訊管理局Anatel已接到指示，準備在24小時內恢復X的服務。</p> <p>根據Statista今年4月的調查，X的前兩大市場為美國與日本，用戶數分別超過1億及6,000萬，而巴西也是X的主要市場之一，與印度、印尼及英國都擁有超過2,000萬名的X用戶。</p> </div></div></div>
2024/10/9 12:56作者陳曉莉https://www.ithome.com.tw/news/165402
兩位機器學習先鋒John Hopfield與Geoffrey Hinton獲得諾貝爾物理獎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瑞典皇家科學院（The Royal Swedish Academy of Sciences ）<a href="https://www.nobelprize.org/prizes/physics/2024/press-release/" target="_blank">本周二（10/8）宣布</a>，將2024的諾貝爾物理獎授予現年91歲的John Hopfield，以及76歲的Geoffrey Hinton，以表彰他們以人工神經網路實現機器學習的基礎發現與發明。</p> <p>瑞典皇家科學院表示，當人們在談論人工智慧（AI）時，指的通常是使用人工神經網路的機器學習，此一技術最初是受到大腦結構的啟發，在人工神經網路中，大腦的神經元是由不同值的節點來表現，節點之間透過連結來相互影響，如同大腦中的突觸，並可調整連結的強弱。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1009-The%20Nobel%20Prize%20in%20Physics%202024-Machine%20learning-image%20credit%EF%BC%9AJohan%20Jarnestad%EF%BC%8FThe%20Royal%20Swedish%20Academy%20of%20Sciences.png" style="width: 600px;" /></p> <p><a href="https://www.nobelprize.org/prizes/physics/2024/popular-information/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／© Johan Jarnestad/The Royal Swedish Academy of Sciences</span></span></a></p> <p>此一神經網路經過訓練，例如在同時具備高值的節點之間建立更強的連結。今年的兩位獲獎者從1980年代便開始從事重要的人工神經網路任務。</p> <p>其中，Hopfield是著名的理論物理學家及神經科學家，曾建立開創性的Hopfield網路，以一種特殊的方式來儲存與重建模式（Pattern）。Hopfield利用物理學中描述材料特性的理論，其特性來自原子自旋，每個原子就像是一個微小磁鐵，Hopfield網路的運作方式類似物理學自旋系統中的能量，並透過調整節點之間的連結值進行訓練，以低能量保存圖像。</p> <p>因此，當Hopfield網路接受到一個扭曲或不完整的圖像時，它會漸次更新節點的值，降低網路的總能量，逐步找出與所輸入圖像最相似的已儲存圖像，完成圖像的重建。</p> <p>簡單地說，Hopfield網路是透過物理學中能量最小化的過程來進行自我組織與學習，成為之後許多深度學習研究的靈感來源。</p> <p>至於Hinton則以Hopfield網路為基礎，利用統計物理學的工具，以不同的方式建立了Boltzmann機器網路，能夠自動學習以辨識資料中的特徵。此一機器的訓練方式是，供應它那些實際運作時最可能出現的各種例子，可用來分類圖像，或是創造出與其訓練模式相似的例子。Hinton的研究推動了機器學習的爆炸性發展，並贏得了AI教父的美名。</p> <p>對機器學習貢獻巨大的Hinton<a href="https://www.nytimes.com/2023/05/01/technology/ai-google-chatbot-engineer-quits-hinton.html" target="_blank">在去年離開</a>了任職十多年的Google，原因是他認為AI可能對人類帶來重大危害，當時他<a href="https://x.com/geoffreyhinton/status/1652993570721210372" target="_blank">透過X表示</a>，紐約時報的報導暗示他的離開是為了方便批評Google，但事實上他離開是為了可以在不顧及Google的情況下談論AI的風險，Google已經是家很負責的公司。</p> <p>被譽為AI教父，甚至因此獲得諾貝爾獎的Hinton其實參與了許多抑制AI發展的倡議，例如<a href="https://calltolead.org/" target="_blank">他署名贊成</a>美國加州的AI法案SB 1047。該法案的目的是為了確保AI模型的安全及可控性，要求開發者必須設計一個能夠完全關閉模型的能力，而且必須由第三方稽核模型的安全性，不過，此一法案已被州長Gavin Newsom<a href="https://www.ithome.com.tw/news/165248" target="_blank">否決</a>，檯面上的原因是該法令只針對大規模模型，而忽略小模型所帶來的危害。</p> <p>Hopfield與Hinton將可平分1,100萬瑞典克朗（約110萬美元）的獎金。</p> </div></div></div>
2024/10/9 11:09作者陳曉莉https://www.ithome.com.tw/news/165399
導入零信任架構的五步驟：從內向外的安全策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>零信任架構（Zero Trust）的實施並非一蹴而就，需要循序漸進的部署。</p> <p>零信任架構的提出者、也是現任Illumio傳道士John Kindervag表示，零信任的實施可以分成五個步驟，這些步驟目的在於在簡化安全流程，確保系統的每個保護面得到充分保護。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1203-%E9%9B%B6%E4%BF%A1%E4%BB%BB%E4%B9%8B%E7%88%B6(1).png" style="width: 548px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>步驟1：定義保護面，確認DAS元素</strong></span></span></p> <p>導入零信任的第一步是：明確定義需要保護的核心資產、最具有價值的保護標的為何，就是「保護面」（Protect Surface）。</p> <p>這些保護標的就是所謂的DAS元素，包括：資料、應用、資產和服務的縮寫。</p> <p>他指出，許多組織或企業在部署安全措施時，往往未能確定具體的保護標的，而是依賴於現有的安全產品。</p> <p>他認為，這種「從外向內」的安全保護方式很容易失敗，因為它忽視了內部核心資產的精確保護需求。</p> <p>所以，零信任強調「從內向外」的設計理念，要求組織首先要確定哪些是關鍵資產，再圍繞這些資產，進一步建構安全防護措施。</p> <p>他舉例說明，許多企業會認為，零信任就是透過採購不同的資安產品，就可以達到零信任架構的目標。</p> <p>但問題的根源在於，不管買哪些產品，企業要保護的標的到底是什麼呢？</p> <p>「只要是'無法確認保護標的為何，這個所謂的零信任就會失敗。」John Kindervag說，必須要先確認保護的資料或是資產是什麼，之後就會再以此為核心，往外設計。</p> <p>零信任架構最關鍵就是要保護這些核心資產，但並不是要試圖保護整個網路。他認為，這種方式大大提高了安全防護的精確度，並降低潛在風險。</p> <p>他說：「我們必須一次處理一個保護面。」許多人導入零信任架構會失敗的原因在於，因為他們試圖「一次性」實施零信任，但這是不可能的。</p> <p>零信任架構成功的關鍵在於：必須可以將零信任架構，分解為「小而可管理」的部分來實施。</p> <p>John Kindervag舉例表示，如果房子在正在翻修，通常是一次翻修一個房間，不會一次找來800個朋友，請朋友週末來幫忙房屋翻修工作。</p> <p>他認為，一次完成一個房間，也是在零信任中應該做的事情，一次完成一個保護面。</p> <p>「當你理解了自己在保護什麼標的之後，下一步，你需要了解這個系統如何作為一個整體運作。」他說。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>步驟2：繪製交易流</strong></span></span></p> <p>John Kindervag認為，在實施零信任之前，必須全面了解系統的交易流，因為只有在理解這些流動的基礎上，才能準確地設計出合適的安全策略，以保護每個保護面，「所以，必須先理解系統如何協同工作，才能做到這一點。」他說。</p> <p>他曾經看過某些公司系統完全崩潰，不在於零信任架構出問題，而是系統營運者不懂系統是如何運作的。</p> <p>John Kindervag以德州一家COBOL Cowboys軟體顧問公司為例，COBOL是許多金融業、老舊大型主機系統還在使用的程式語言，但現在許多工程師不懂COBOL，一旦遇到問題，企業會尋求COBOL Cowboys這類程式語言專家，提供協助。</p> <p>不過，他也坦白表示，這些COBOL專家其實多數都已經非常年長，未來倘若這些專家都過世的時候，當系統一旦出包，沒有這些年長的COBOL專家幫忙時，又該由誰提供協助呢？</p> <p>所以，他認為，繪製交易流（Map the Transaction Flows）的主要目的就是，為了深入理解系統中各個組成部分之間的交互和資料流動，了解這些交易流之間的依賴關係，並確定從起點到終點的每條交易流路徑的風險分析等。</p> <p>「通過了解交易流，組織能夠更好地識別可能的風險點以及如何最有效地保護資產。」他說。</p> <p>而這些內容包括：資料的傳輸方式、應用程序之間的通信，以及每個用戶或設備如何存取特定資源等。</p> <p>最終，就是幫助企業深入理解它們的應用和資料流動，以便設計出精細的安全策略，確保對每個流進行嚴格的控制和管理。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>步驟3：設計零信任環境</strong></span></span></p> <p>John Kindervag認為，零信任架構的實施過程需要分階段進行，而不是一口氣完成，這過程則與翻修房子類似，一次只專注於一個房間，確保每個部分都得到妥善處理。</p> <p>他指出，如果企業或組織嘗試同時處理所有的保護面，只會導致混亂與失敗；但若透過逐步實施，企業和組織可以逐步完善其安全策略，從而實現更加可靠的網路保護。</p> <p>因為每個零信任架構的環境，都必須針對「保護面」量身打造，絕對不是一個通用的方案。</p> <p>若以美國特勤局對美國總統的保護政策來看，這是針對總統本人量身訂做的保護策略，並且會依照總統所在不同地方而有不同的保護策略，對於保護總統的安全，特勤局並沒有一套「通用」的保護策略。</p> <p>「設計零信任環境（Architect a Zero Trust environment）」這個步驟，是整個零信任實施過程中的核心部分，目的是將對交易流（Transaction Flows）的理解，轉化為具體的安全架構，規畫並建構合適的技術、安全策略和管理方法，確保網絡中的每個元素都能根據零信任的原則得到保護，最大限度地減少信任帶來的風險，確保所有資產和交易流的安全性，以實現全方位的零信任安全保護，</p> <p>如何針對不同保護面，設計不同的保護方案呢？</p> <p>首先，可以在每個「保護面」周圍設計微型周界（Micro-Perimeters），將保護目標和周邊的其他系統隔離開來，對每一個保護面進行精細的控制和保護，以減少不必要的攻擊面。</p> <p>其次，選擇合適技術來實現安全控制，包括多因素身分驗證（MFA）、微分割（Micro-Segmentation）、加密技術、身分與存取管理（IAM）等，來確保每個資產和交易流都得到了合適的保護。</p> <p>第三，設計一個政策自動化與應用的架構，使得系統能夠基於預定的安全政策，自動做出允許或拒絕的決定。這樣的政策應根據每個保護面的特定需求，結合對用戶、設備、應用程序的存取需求和風險評估，進行精細化設計。</p> <p>第四，確保所有的保護面都能夠被持續地監控，並且可以即時反應異常活動或潛在的威脅，讓這些管理和監控系統，能夠提供完整的可視性，並能根據即時資料，快速應對網路事件。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>步驟4：制定零信任策略</strong></span></span></p> <p>John Kindervag 的制定零信任策略（Create Zero Trust Policy），是整個零信任架構中至關重要的一步，零信任的核心原則，即「永不信任，始終驗證」，目的就是通過設計一套精細、動態且基於風險的存取控制政策，來確保組織內部所有的資料、資產和應用的安全性。</p> <p>他進一步指出，零信任是一組粒度細緻的允許規則，組織或企業則會根據個人的工作職能角色，來允許他們可以存取的資源。</p> <p>這個步驟目的是，為組織內的資料、應用、資產或服務（DAS元素），按照最小權限（Least Privilege）和「始終驗證」的原則，建立一套嚴格且細緻的存取控制政策，從而最大限度地減少安全風險，並且提高網絡的整體安全性，以保護每一個「保護面」。</p> <p>而零信任的策略是二進制的，對於每個請求，都只有「允許」或者「拒絕」這兩種結果；零信任策略也是動態的，系統會根據當前的情境，例如用戶的身分、設備的狀態、位置、行為模式等，動態地調整存取控制策略，可以根據風險狀況，對某些存取進行額外的驗證或限制，確保系統安全性。</p> <p>至於這些制定的零信任政策，則必須套用在防火牆等網路設備中，並做到自動化執行和即時回應，確保相關政策和網路設定政策一致，也降低人為錯誤的風險。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>步驟5：持續監控與維護</strong></span></span></p> <p>John Kindervag提出的零信任架構中，第五個也是最後一個導入步驟就是持續監控與維護（Monitor and Maintain），目的是通過不斷的監控、資料收集和分析確保系統的安全策略能夠動態應對各種威脅，並且根據新的風險情況對策略，進行調整和維護，以保持整個系統的安全。</p> <p>具體作法上，即時監控所有的交易流和存取行為，以確保可以符合先前制定的安全策略，包括：使用者的身分驗證、設備狀態，以及應用程式之間的互動，透過持續監控，組織才能發現不正常活動或可能的安全威脅，及時應對。</p> <p>在監控過程中，系統收集包括網路流量、設備狀態、使用者行為等資訊，可以協助組織用來了解並分析網路內部動態，並做出相對應的防禦措施；同時，根據監控分析結果，動態調整並優化安全策略，以因應新的威脅和風險。</p> <p>此外，在監控基礎上，建立自動化回應機制，以便即時發現異常活動。例如，系統檢測到某個設備異常時，可以自動啟動限制存取，或是啟用額外的驗證程序，以減少人工介入的時間和誤差。</p> <p>John Kindervag推動零信任架構最重要的使命就是，讓各界關注的焦點，從身分認證轉向分割技術（Segmentation），因為，分割技術是啟動零信任旅程的關鍵技術，身分認證雖然重要，但是還是次要的。</p> <p>他解釋，通過網路分割、縮小信任範圍的方式，可以做到最大限度地降低攻擊面，並提高安全性的目的。</p> <p>他指出，網路分割使得網路不再是一個單一、易於攻擊的大範圍，而是被劃分為若干小型、精細化控制的「保護面」，每個保護面都有自己的微型周界和安全控制措施，而所有的存取，都需要根據動態的策略進行驗證。</p> <p>而這樣的設計，不僅能夠減少攻擊者的入侵機會和橫向移動風險，還能確保每一個資產的安全性得到保障，真正實現「永不信任，始終驗證」的零信任原則。因此，網路分割也成為零信任架構中不可或缺且基礎的部分。</p> <p><a href="https://www.ithome.com.tw/news/165397" target="_blank"><strong><span style="color:#FFFFFF;"><span style="font-size:22px;"><span style="background-color:#3399ff;"> 相關報導 </span> </span></span><span style="color:#3399ff;"><span style="font-size:22px;">零信任之父第一手導讀零信任架構</span></span></strong></a></p> </div></div></div>
2024/10/9 10:12作者黃彥棻https://www.ithome.com.tw/news/165398
【回歸根本定義，捍衛網路戰爭的無形防線】零信任之父第一手導讀零信任架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著網路安全威脅日益嚴峻，全球政府機構和企業正積極尋求創新方法來保護其數位與實體資產。在這一背景下，零信任架構（Zero Trust）逐漸成為最具影響力的安全戰略之一。全球率先針對零信任架構的提出者、也是現任Illumio傳道士John Kindervag，日前於國際半導體展（SEMICON 2024）召開的半導體資安趨勢高峰論壇，這是他二度訪臺並公開發表演說，也揭露並分享他對網路戰爭及零信任架構的深刻見解。</p> <p>現代戰爭的範圍之廣，已經遠遠超越傳統的陸海空領域，隨著全球依賴數位基礎設施，網路空間成為空中、海洋、太空、陸地之外的第五個戰爭領域，全球的軍事、執法機構和企業，每天都在應對這場無形的戰爭。</p> <p>John Kindervag強調，我們每天都在與網路戰爭對抗，從事網路安全的專業人士，並非只是維護簡單的防火牆IT設備，或進行日常的防毒軟體更新，而是每天都在對抗一個無形但強大的敵人，是一場關鍵的全球戰役。</p> <p>「每天你所做的事都對全球的安全有深遠的影響，應該為自己的工作感到驕傲，因為這是一場與威脅全球安全息息相關的戰爭。」他說。</p> <p>John Kindervag被譽為「零信任之父」，早在2010年9月14日，便發表了第一篇關於零信任的文章，正式提出這一資訊安全架構。</p> <p>他回憶當時的情況：「當時沒有人認真看待零信任，很多人認為這個想法過於天馬行空，甚至是不可能實現的。」但他堅信，這是正確的方向，因為他後來又進行了兩年的研究，並建立了一個零信任的原型環境。</p> <p>時至今日，零信任已成為全球網路安全戰略的重要支柱，也是網路安全的致勝策略。John Kindervag表示，零信任架構以「拒絕信任」為核心理念，要求所有系統、用戶和設備的信任等級都設定為「零」，從而有效地降低了網路攻擊成功的可能性。</p> <p>2021年，美國總統拜登在一次演講提到：「聯邦政府必須推進零信任架構，並加快向安全雲服務的過渡。」這一政策要求美國各政府機構設立零信任計劃辦公室，並指派專責經理來推動該策略的落實。</p> <p>John Kindervag便提到，他與美國政府的合作不僅限於聯邦層級，還涉及軍事領域，包括與美國軍事導彈防禦局討論如何將零信任應用於軍事設施及系統的保護上。</p> <p>「這不僅僅是保護我們的網路資產，因為這些資產與實體世界緊密相連，必須同時受到保護。」他說。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>零信任架構過去大家曾懷疑可行性，如今成為全球共識</strong></span></span></p> <p>John Kindervag身為全球第一個提出零信任架構的發起人，若回顧零信任架構的起源，可以溯及2010年9月14日，當時這一理念首次被提出時，並未引起太大的關注。</p> <p>他說，最初發表零信任架構的演講，當時僅有14人參加，許多人覺得這個理念過於激進，甚至難以實施；然而，他在經過兩年的深入研究並獲得一些企業的支持，逐步完善了這一安全戰略。</p> <p>但即便如此，零信任當時依舊是曲高和寡的資訊安全架構，直到2021年5月12日這一天，美國總統拜登發表聲明，要求聯邦政府全面推行零信任架構並且重視雲端安全之後，零信任架構瞬間成為全球重要的資安框架。</p> <p>這也意味著，零信任理念從邊緣進入主流，還促使美國政府各部門紛紛設立零信任專責部門及管理辦公室，開啟了政府層面的零信任安全計畫。</p> <p>「零信任架構不僅僅是保護數位資產，它同樣涉及保護實體設施，這一點在與美國導彈防禦局的合作中體現得尤為明顯。」John Kindervag指出，網路威脅與實體設施日益相關，任何數位攻擊都有可能轉化為實體威脅，對於軍事和政府機構更為如此。</p> <p>零信任架構與傳統安全模式不同，零信任消除了內部系統的固有信任，拒絕信任傳統系統的任何內外部設備或用戶，無論內部網路還是外部設備，都必須接受相同的安全策略監控，並且對於每個用戶、設備和應用程式，設置了同樣嚴格的驗證和授權要求。</p> <p>John Kindervag表示，「很多人將零信任與多因素身分驗證（MFA）混為一談，或者認為它只是VPN的替代技術，這是錯誤的觀念。」</p> <p>他進一步解釋，零信任其實是一種戰略理念，能夠適用於任何組織，防止資料洩露並降低網路攻擊的成功率。</p> <p><strong><span style="color:#FFFFFF;"><span style="font-size:22px;"><span style="background-color:#333333;"> 零信任架構常見的4大謬誤（False）</span></span></span></strong><br /> <span style="font-size:18px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#333333;"> 零信任是讓系統變得可信。（Zero Trust means making a system trusted.） </span><br /> <span style="background-color:#333333;"> 零信任是關於身分驗證的。（Zero trust is about identity.） </span><br /> <span style="background-color:#333333;"> 市場上有零信任的產品。（There are zero trust products.） </span><br /> <span style="background-color:#333333;"> 零信任非常複雜（Zero trust is complicated） </span></span></strong></span><br /> <span style="font-size:14px;"><span style="color:#696969;">資料來源： Illumio傳道士John Kindervag，iThome整理，2024年10月</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>打破傳統信任模型，零信任成應對內外威脅的新標準</strong></span></span></p> <p>傳統的信任模型是「內外有別」，對於內部和外部的信任程度並不一樣，這種方式在過去也主導了網路安全的策略。</p> <p>然而，隨著內部網路和外部攻擊者的界限逐漸模糊，傳統的信任模型已經無法有效應對日益複雜的網路威脅。</p> <p>在零信任架構中，每一個數位行為──無論是來自內部還是外部──都被視為潛在的風險，這意味著所有的流量、設備和用戶，都必須被持續監控和驗證。</p> <p>透過這種方式，可防止攻擊者進入系統後的進一步擴展權限，從而有效降低了資料洩露的風險。</p> <p>「人類的信任是一種情感聯繫，但在數位世界中，這種信任應該被完全消除。數位系統中的一切只是資料，沒有情感，只有0和1。」John Kindervag強調，信任只應存在人與人的互動，而不是機器與機器的通信。</p> <p>隨著零信任的理念逐漸被全球政府和企業所接受，這一資安架構也不斷地演進和擴展。特別是隨著美國政府積極推行零信任政策，許多國家和跨國大企業也開始跟隨這一趨勢，並將零信任作為防禦網路攻擊的核心策略之一。</p> <p>零信任不僅適用於網路資產的保護，還涵蓋對實體設施的安全保障，這一點在美國政府與導彈防禦局的合作中，也得到驗證。</p> <p>他表示，隨著現代網路與實體設施的深度整合，如今的網路威脅，正逐漸演變為直接影響實體安全的風險。</p> <p>零信任的另一個核心理念在於「分權管理」，目的就是為了防止過度授權所造成的內部安全風險。</p> <p>過去，許多企業和政府機構的授權管理上存在過度信任，這使得內部威脅成為了網路安全的重大隱患。</p> <p>他也特別提出曼寧（Chelsea Manning）和斯諾登（Edward Snowden）的案例說明，前者將超過70萬份美國國防部和國務院的機密文件，洩露給維基解密（WikiLeaks）；後者則向《衛報》和《華盛頓郵報》的記者洩露了大量的機密文件，揭露美國國家安全局針對全球互聯網通信和電話記錄的全球監控計畫。</p> <p>這些內部威脅者，原本是系統中的「可信用戶」，擁有多重身分驗證措施，但由於缺乏對資料流量的監控，他們最終成功竊取大量敏感資料。</p> <p>「這些案例揭露了傳統網路安全模式中的致命漏洞，意即進入系統後就可以自由存取的權限。」John Kindervag說。</p> <p>「零信任的核心不僅在於身分驗證，而是基於身分驗證來決定用戶是否應該被授予存取權限。」他指出，這正是零信任架構與傳統安全策略的根本區別。</p> <p>零信任架構在技術上被一些人視為複雜的安全實施，但實際上，它的理念非常簡單。</p> <p>John Kindervag表示，他的好友Greg Tuhill將軍、被美國歐巴馬總統任命為美國首任美國聯邦首席資訊安全長便曾提及：「為什麼人們總是讓零信任聽起來那麼複雜。」</p> <p>對此John Kindervag提出回應，他表示，這可能是因為人們喜歡把事情變複雜，才會顯得他們更加聰明。</p> <p>但事實上，零信任的理念是直觀且易於理解的。因為，他認為，零信任的簡單性，恰恰就是它的力量所在。</p> <p>他總結說道，只要可以正確理解零信任架構的基本原則，就可以作為一個強大的武器，幫助政府和企業在網路戰爭中，立於不敗之地。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>用特勤局保護美國總統的策略來比喻零信任</strong></span></span></p> <p>為了能夠更好地理解零信任架構，John Kindervag透過美國特勤局如何保護總統的方式，進行比喻。</p> <p>他表示，特勤局的保護過程也揭示了零信任三個核心理念的關鍵要素，也適用於網路安全中保護資料和資產的方式。</p> <p>首先，特勤局始終知道「誰是總統」，這意味著他們不需要發現總統的存在，因為總統是他們全程保護的焦點。</p> <p>這一點對應了零信任的概念中，必須先清楚了解需要保護的資產對象，並且無需多次驗證其存在。</p> <p>其次，特勤局清楚總統的具體位置，知道「總統在哪裡」，確保在整個過程中不會弄丟總統。</p> <p>這一點在零信任中對應的是資產的可視性，意即需要時刻掌握資料和關鍵資產的流向，並保證它們在預期的範圍內。</p> <p>最後，特勤局嚴格控制「誰可以接近總統」，確保只有通過審查的人員才能靠近總統。</p> <p>這與零信任中的授權過程類似，強調每個存取的請求都需要被精確審核，並根據具體需求進行動態管理。</p> <p>這三個要素構成了零信任的核心，他表示，在充分理解這些原則後，零信任看起來就不會那麼複雜，而是極其嚴謹的保護策略。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1203-ZTA-600-1.png" style="width: 590px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;"><strong>Illumio傳道士John Kindervag以美國特勤局保護美國總統為例，解釋零信任的核心概念，那就是知道「誰是總統」、「總統在哪裡」以及「誰可以接近總統」。</strong>（攝影／黃彥棻）</span></span></p> <p>深入分析特勤局的工作方式，可用來進一步說明零信任的內涵。</p> <p>當我們看到特勤局人員執勤，有些人可能看起來只是站著，拉緊了外套，並未進行實際的保護工作，然而，這實際上是一種「安全劇場」（Security Theater）。</p> <p>所謂安全劇場，是指那些看似保護措施的行為，實際上並沒有發揮任何實際保護作用，這類似於一些企業所採取的、僅具表面作用的安全策略。</p> <p>相反的，真正的安全措施，是在更隱蔽且精確的位置進行的，這就是零信任中的「保護面」（Protect Surface），就是需要集中保護的關鍵資產範圍，這也是零信任的核心概念之一。</p> <p>許多網路安全討論都集中在如何管理「攻擊面」（Attack Surface），但事實上，攻擊面不斷擴大，猶如無窮無盡的宇宙，幾乎無法完全控制。</p> <p>因此，與其嘗試縮小攻擊面，不如將焦點轉向保護面，這一思路轉變，有助於企業集中力量保護最核心的資產，避免資源分散。</p> <p>舉例來說，特勤局的保護對象並非每位民眾或整個城市，而僅限於總統及其家人，而這樣的保護策略，非常類似零信任的做法，重點在於精準保護，而不是試圖一網打盡，避免所有風險。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>零信任運作強調動態權限與最小授權</strong></span></span></p> <p>特勤局的保護措施不僅靠近總統這個「保護面」，還建立緊密環繞在總統周圍的「微型邊界」（Micro-Perimeter），促使控制更為精確。</p> <p>這意味著在零信任架構下，對於特定資產、資料或應用，要設置更精細化的安全邊界，以確保更嚴格的存取控制。</p> <p>不過，在傳統的網路安全策略中，這種微型邊界周邊的控制措施通常放在外圍，例如：防火牆或端點裝置的安全工具，這些地方與真正要保護的資產相距太遠，從而產生「滯留時間」（Dwell Time），滯留時間是指：攻擊者成功入侵系統後，尚未被發現的時間。</p> <p>長時間的滯留，會給攻擊者提供更多時間進行橫向移動，最終可能導致資料洩露。</p> <p>而John Kindervag表示，零信任透過可視性和持續驗證，大大縮短了滯留時間，使得攻擊者無法長期隱匿於系統內。</p> <p>在零信任模型中，可以隨時查看系統中發生的所有行為，針對所有存取請求，只有允許或拒絕兩種結果。</p> <p>這種二進制的安全策略，意味著系統從最初，就不允許任何不受信任的行為進入，不是在事後試圖阻止潛在的威脅。</p> <p>以美國特勤局的保護策略為例，只有經過特殊許可的特定探員可以接近總統，而保護總統的具體工具，如專車「野獸」，僅僅是交通工具，並不是保護的核心。他說，無論總統處於什麼環境，核心的保護策略始終不變。</p> <p>同樣的，在零信任的框架下，則會通過動態的安全策略即時監控環境變化，不斷更新政策來應對潛在的威脅；特勤局也會即時更新威脅情報，通知相關人員進行應對，這類動態反應的策略與零信任所提倡的精準控制理念，不謀而合。</p> <p>零信任的關鍵特徵是基於「需要知道」原則動態授予權限。在這個模式下，並不是試圖通過各種被動的安全措施阻止攻擊，而是從一開始就拒絕所有未經授權的請求，並只允許符合條件的存取。</p> <p>舉例而言，當總統乘坐專車時，只有兩位特勤局探員可以接近他，這樣的精確控制符合零信任的「最小授權原則」，每位接觸資料或系統的使用者，都必須根據角色和任務，分配最小的存取權限，這樣可以最大程度降低內部風險。</p> <p>而John Kindervag認為，這一動態授權過程的最大挑戰是：保持系統的精確可視性，只有清楚掌握每個存取請求的背景與目的時，才能根據具體需求來靈活調整授權策略，從而實現對內外部威脅的即時防護。</p> <p>雖然許多人認為零信任是一個複雜的安全體系，但它的核心理念其實非常簡單。正如John Kindervag所說，這種安全模型只是基於「信任最小化」的基本原則進行設計，並不像傳統的安全技術那樣試圖解決所有問題。</p> <p>通過將每個安全控制措施緊密圍繞在最需要保護的資產周圍，零信任大大降低了系統受到攻擊的風險。他表示，這不是一個技術上的複雜策略，而是應用簡單且嚴格的原則來防止潛在的威脅。</p> <p><span style="color:#B22222;"><strong><span style="font-size:28px;">零信任架構的理念強調「永不信任，始終驗證」</span></strong></span></p> <p>隨著網路攻擊的頻率與複雜度不斷增長，零信任逐漸成為全球安全策略的核心框架之一，像是美國政府在其聯邦網路安全政策，便已經全面採用零信任作為防禦的主要模式，其他也有許多國際大企業和其他國家，開始將這一架構納入其安全防護計畫中。</p> <p>隨著全球網路環境的不斷變化，零信任將在未來的安全框架中扮演愈加重要的角色，傳統的安全防護模式，已經無法應對日益複雜的網路威脅，這使得零信任架構成為當今網路安全的關鍵解決方案之一。</p> <p>隨著各種資料外洩事件頻繁發生，John Kindervag表示，企業對於資料保護的需求變得越來越迫切，而零信任不僅適用於資料保護，還可以靈活應對實體基礎設施的安全需求。</p> <p>在過去幾年中，也發生數起重大資料外洩事件，這些事件則揭露了傳統安全措施的缺陷，並強調零信任架構的重要性。</p> <p>例如，某個大型企業的S3雲端資料庫，因為配置錯誤導致資料外洩，根據訴訟文件的顯示，這並非是單純的技術失誤，而是由於公司高層，故意放鬆了安全限制，以便能夠加快開發進度。</p> <p>John Kindervag認為，這種錯誤的安全觀念就暴露出，企業過度依賴傳統安全措施的風險，他也強調了，零信任架構對於保護企業核心資料、資產的必要性。</p> <p>正如美國特勤局保護總統的策略一般，零信任架構同樣關注「保護面」的安全。</p> <p>這種方式，要求組織不僅僅是保護整個網路，而是專注於具體的資料、應用、資產或服務，確保這些核心資產得到最嚴格的保護。</p> <p>他強調，零信任架構的理念強調「永不信任，始終驗證」，將每個進入網路的使用者或設備視為潛在威脅。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>導入零信任架構的五步驟：從內向外的安全策略</strong></span></span></p> <p>零信任架構的實施並非一蹴而就，需要循序漸進的部署。</p> <p>John Kindervag表示，零信任的實施可以分成五個步驟，這些步驟目的在於在簡化安全流程，確保系統的每個保護面得到充分保護。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1203-ZTA-600-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;"><strong>Illumio傳道士John Kindervag分享導入零信任架構的五個步驟，而這套流程是針對企業量身打造，並且強調反脆弱性（Antifragile），意味著系統在面對挑戰時會變得更有韌性。</strong>（攝影／黃彥棻）</span></span></p> <p><span style="color:#0000CD;"><strong>步驟1：定義保護面，確認DAS元素</strong></span></p> <p>導入零信任的第一步是：明確定義需要保護的核心資產、最具有價值的保護標的為何，就是「保護面」（Protect Surface）。</p> <p>這些保護標的就是所謂的DAS元素，包括：資料、應用、資產和服務的縮寫。</p> <p>他指出，許多組織或企業在部署安全措施時，往往未能確定具體的保護標的，而是依賴於現有的安全產品。</p> <p>他認為，這種「從外向內」的安全保護方式很容易失敗，因為它忽視了內部核心資產的精確保護需求。</p> <p>所以，零信任強調「從內向外」的設計理念，要求組織首先要確定哪些是關鍵資產，再圍繞這些資產，進一步建構安全防護措施。</p> <p>他舉例說明，許多企業會認為，零信任就是透過採購不同的資安產品，就可以達到零信任架構的目標。</p> <p>但問題的根源在於，不管買哪些產品，企業要保護的標的到底是什麼呢？</p> <p>「只要是'無法確認保護標的為何，這個所謂的零信任就會失敗。」John Kindervag說，必須要先確認保護的資料或是資產是什麼，之後就會再以此為核心，往外設計。</p> <p>零信任架構最關鍵就是要保護這些核心資產，但並不是要試圖保護整個網路。他認為，這種方式大大提高了安全防護的精確度，並降低潛在風險。</p> <p>他說：「我們必須一次處理一個保護面。」許多人導入零信任架構會失敗的原因在於，因為他們試圖「一次性」實施零信任，但這是不可能的。</p> <p>零信任架構成功的關鍵在於：必須可以將零信任架構，分解為「小而可管理」的部分來實施。</p> <p>John Kindervag舉例表示，如果房子在正在翻修，通常是一次翻修一個房間，不會一次找來800個朋友，請朋友週末來幫忙房屋翻修工作。</p> <p>他認為，一次完成一個房間，也是在零信任中應該做的事情，一次完成一個保護面。</p> <p>「當你理解了自己在保護什麼標的之後，下一步，你需要了解這個系統如何作為一個整體運作。」他說。</p> <p><span style="color:#0000FF;"><strong>步驟2：繪製交易流</strong></span></p> <p>John Kindervag認為，在實施零信任之前，必須全面了解系統的交易流，因為只有在理解這些流動的基礎上，才能準確地設計出合適的安全策略，以保護每個保護面，「所以，必須先理解系統如何協同工作，才能做到這一點。」他說。</p> <p>他曾經看過某些公司系統完全崩潰，不在於零信任架構出問題，而是系統營運者不懂系統是如何運作的。</p> <p>John Kindervag以德州一家COBOL Cowboys軟體顧問公司為例，COBOL是許多金融業、老舊大型主機系統還在使用的程式語言，但現在許多工程師不懂COBOL，一旦遇到問題，企業會尋求COBOL Cowboys這類程式語言專家，提供協助。</p> <p>不過，他也坦白表示，這些COBOL專家其實多數都已經非常年長，未來倘若這些專家都過世的時候，當系統一旦出包，沒有這些年長的COBOL專家幫忙時，又該由誰提供協助呢？</p> <p>所以，他認為，繪製交易流（Map the Transaction Flows）的主要目的就是，為了深入理解系統中各個組成部分之間的交互和資料流動，了解這些交易流之間的依賴關係，並確定從起點到終點的每條交易流路徑的風險分析等。</p> <p>「通過了解交易流，組織能夠更好地識別可能的風險點以及如何最有效地保護資產。」他說。</p> <p>而這些內容包括：資料的傳輸方式、應用程序之間的通信，以及每個用戶或設備如何存取特定資源等。</p> <p>最終，就是幫助企業深入理解它們的應用和資料流動，以便設計出精細的安全策略，確保對每個流進行嚴格的控制和管理。</p> <p><span style="color:#0000FF;"><strong>步驟3：設計零信任環境</strong></span></p> <p>John Kindervag認為，零信任架構的實施過程需要分階段進行，而不是一口氣完成，這過程則與翻修房子類似，一次只專注於一個房間，確保每個部分都得到妥善處理。</p> <p>他指出，如果企業或組織嘗試同時處理所有的保護面，只會導致混亂與失敗；但若透過逐步實施，企業和組織可以逐步完善其安全策略，從而實現更加可靠的網路保護。</p> <p>因為每個零信任架構的環境，都必須針對「保護面」量身打造，絕對不是一個通用的方案。</p> <p>若以美國特勤局對美國總統的保護政策來看，這是針對總統本人量身訂做的保護策略，並且會依照總統所在不同地方而有不同的保護策略，對於保護總統的安全，特勤局並沒有一套「通用」的保護策略。</p> <p>「設計零信任環境（Architect a Zero Trust environment）」這個步驟，是整個零信任實施過程中的核心部分，目的是將對交易流（Transaction Flows）的理解，轉化為具體的安全架構，規畫並建構合適的技術、安全策略和管理方法，確保網絡中的每個元素都能根據零信任的原則得到保護，最大限度地減少信任帶來的風險，確保所有資產和交易流的安全性，以實現全方位的零信任安全保護，</p> <p>如何針對不同保護面，設計不同的保護方案呢？</p> <p>首先，可以在每個「保護面」周圍設計微型周界（Micro-Perimeters），將保護目標和周邊的其他系統隔離開來，對每一個保護面進行精細的控制和保護，以減少不必要的攻擊面。</p> <p>其次，選擇合適技術來實現安全控制，包括多因素身分驗證（MFA）、微分割（Micro-Segmentation）、加密技術、身分與存取管理（IAM）等，來確保每個資產和交易流都得到了合適的保護。</p> <p>第三，設計一個政策自動化與應用的架構，使得系統能夠基於預定的安全政策，自動做出允許或拒絕的決定。這樣的政策應根據每個保護面的特定需求，結合對用戶、設備、應用程序的存取需求和風險評估，進行精細化設計。</p> <p>第四，確保所有的保護面都能夠被持續地監控，並且可以即時反應異常活動或潛在的威脅，讓這些管理和監控系統，能夠提供完整的可視性，並能根據即時資料，快速應對網路事件。</p> <p><span style="color:#0000FF;"><strong>步驟4：制定零信任策略</strong></span></p> <p>John Kindervag 的制定零信任策略（Create Zero Trust Policy），是整個零信任架構中至關重要的一步，零信任的核心原則，即「永不信任，始終驗證」，目的就是通過設計一套精細、動態且基於風險的存取控制政策，來確保組織內部所有的資料、資產和應用的安全性。</p> <p>他進一步指出，零信任是一組粒度細緻的允許規則，組織或企業則會根據個人的工作職能角色，來允許他們可以存取的資源。</p> <p>這個步驟目的是，為組織內的資料、應用、資產或服務（DAS元素），按照最小權限（Least Privilege）和「始終驗證」的原則，建立一套嚴格且細緻的存取控制政策，從而最大限度地減少安全風險，並且提高網絡的整體安全性，以保護每一個「保護面」。</p> <p>而零信任的策略是二進制的，對於每個請求，都只有「允許」或者「拒絕」這兩種結果；零信任策略也是動態的，系統會根據當前的情境，例如用戶的身分、設備的狀態、位置、行為模式等，動態地調整存取控制策略，可以根據風險狀況，對某些存取進行額外的驗證或限制，確保系統安全性。</p> <p>至於這些制定的零信任政策，則必須套用在防火牆等網路設備中，並做到自動化執行和即時回應，確保相關政策和網路設定政策一致，也降低人為錯誤的風險。</p> <p><span style="color:#0000FF;"><strong>步驟5：持續監控與維護</strong></span></p> <p>John Kindervag提出的零信任架構中，第五個也是最後一個導入步驟就是持續監控與維護（Monitor and Maintain），目的是通過不斷的監控、資料收集和分析確保系統的安全策略能夠動態應對各種威脅，並且根據新的風險情況對策略，進行調整和維護，以保持整個系統的安全。</p> <p>具體作法上，即時監控所有的交易流和存取行為，以確保可以符合先前制定的安全策略，包括：使用者的身分驗證、設備狀態，以及應用程式之間的互動，透過持續監控，組織才能發現不正常活動或可能的安全威脅，及時應對。</p> <p>在監控過程中，系統收集包括網路流量、設備狀態、使用者行為等資訊，可以協助組織用來了解並分析網路內部動態，並做出相對應的防禦措施；同時，根據監控分析結果，動態調整並優化安全策略，以因應新的威脅和風險。</p> <p>此外，在監控基礎上，建立自動化回應機制，以便即時發現異常活動。例如，系統檢測到某個設備異常時，可以自動啟動限制存取，或是啟用額外的驗證程序，以減少人工介入的時間和誤差。</p> <p>John Kindervag推動零信任架構最重要的使命就是，讓各界關注的焦點，從身分認證轉向分割技術（Segmentation），因為，分割技術是啟動零信任旅程的關鍵技術，身分認證雖然重要，但是還是次要的。</p> <p>他解釋，通過網路分割、縮小信任範圍的方式，可以做到最大限度地降低攻擊面，並提高安全性的目的。</p> <p>他指出，網路分割使得網路不再是一個單一、易於攻擊的大範圍，而是被劃分為若干小型、精細化控制的「保護面」，每個保護面都有自己的微型周界和安全控制措施，而所有的存取，都需要根據動態的策略進行驗證。</p> <p>而這樣的設計，不僅能夠減少攻擊者的入侵機會和橫向移動風險，還能確保每一個資產的安全性得到保障，真正實現「永不信任，始終驗證」的零信任原則。因此，網路分割也成為零信任架構中不可或缺且基礎的部分。</p> </div></div></div>
2024/10/9 06:00作者黃彥棻https://www.ithome.com.tw/news/165397
【資安日報】10月8日，美國水力關鍵基礎設施再傳遭遇網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年針對美國水力設施發動攻擊的情況不時傳出，例如：去年底<a href="https://www.ithome.com.tw/news/160133">伊朗駭客Cyber Av3ngers攻擊賓州阿里奎帕市水務局</a>，理由是該機構採用以色列自動化控制業者Unitronics的系統而成為目標；今年4月，<a href="https://www.ithome.com.tw/news/162507">德州小鎮供水系統傳出因遭到攻擊而失控</a>，資安業者Mandiant指出，很有可能是俄羅斯駭客Sandworm所為。這些事故多半針對地方供水系統而來，如今有橫跨14個州的業者American Water遭到網路攻擊而引起關注。</p> <p>值得留意的是，雖然該公司強調營運並未受到影響，但其網站至截稿為止並未恢復正常，實際影響有待觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165388"><strong style="font-size: 22px;">美國公用事業American Water傳出遭駭客入侵</strong></a></p> <p>專門供水及廢水處理服務的美國公用事業American Water Works（American Water）在10月3日發現遭到駭客入侵，宣稱其供水或廢水設施，或是營運都沒有收到影響，但迄今該公司網站與MyWater服務都尚未恢復正常。</p> <p>American Water在美國14個州提供服務，涉及1,700個社區與1,400萬名人口，擁有340萬個客戶，從住宅、商業、消防、工業、政府設施到廢水公用事業等，於美國紐約股市掛牌。American Water周一（7日）才於官網公布被駭消息，接著官網就關閉了，當天股價下滑3.91%，以136.99美元作收。</p> <p>根據American Water提交給美國證券交易委員會的文件，以及網際網路檔案館（Internet Archive）的存檔，該公司是在10月3日於電腦網路及系統中發現未經授權的活動，並確定是資安事故。</p> <p><a href="https://www.ithome.com.tw/news/165394"><strong style="font-size: 22px;">樂高網站遭入侵，駭客竄改內容從事加密貨幣詐騙</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/hacked-by-crypto-scammers-v0-ligqawktiusd1-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/hacked-by-crypto-scammers-v0-ligqawktiusd1-1.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，上週五（4日）有人入侵樂高網站，並置換其內容，聲稱樂高正式推出加密貨幣，若是及時下單還會有額外回饋。然而，這一切都是騙局，若是使用者依照指示下單，就會被帶往加密貨幣平臺Uniswap進行交易，使用以太坊購買「樂高貨幣」，然而樂高並未發行加密貨幣，因此這樣的情況很有可能導致用戶血本無歸。</p> <p>這起事故最早是社群網站Reddit樂高版版主mescad察覺並提出警告，他指出這起事故大約發生在10月4日美國東部時間（EDT）晚間9時，他們向該公司通報此事，網站直到10時15分網站才復原。mescad強調，樂高並未發行加密貨幣，這顯然是詐騙。</p> <p>對此，樂高也證實確有此事，有未經授權的橫幅廣告短暫出現在他們的網站，後來不久就遭到刪除。該公司強調，沒有使用者的帳號被盜用的跡象，他們也查明事故發生的原因，並採取相關措施防止再度發生。不過，究竟網站如何被置入詐騙廣告，樂高並未提出說明。</p> <p><a href="https://www.ithome.com.tw/news/165360"><strong style="font-size: 22px;">駭客偽裝成求職者散布後門程式More_eggs</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/MDR_More_eggs_Backdoor-Fig4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/MDR_More_eggs_Backdoor-Fig4.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露假借求職名義向企業散布JavaScript後門程式More_eggs的攻擊行動，在其中一起攻擊行動裡，駭客組織FIN6鎖定正在徵求銷售工程師的企業下手，但研究人員也發現有旅館業者受害的情況。</p> <p>駭客在8月下旬以John Cboins的名義，透過Gmail向目標企業高階主管寄送釣魚郵件，值得留意的是，這封信件並未包含附件或是URL，很有可能是為了得到主管的信任，隨後，進行徵才的主管，會因為目前尚無法查出的理由，利用Chrome瀏覽器連到一個網址下載履歷檔案John Cboins.zip。</p> <p>研究人員指出，在他們調查的過程裡，這個URL連向的網站看起來就像一般求職者架設，內容包含姓名、電子郵件信箱，以及履歷檔案的下載連結，特別的是，「履歷」必須通過圖靈驗證才能下載。</p> <p><a href="https://www.ithome.com.tw/news/165370"><strong style="font-size: 22px;">SQL Server遭鎖定，駭客得逞後運用遠端管理工具GotoHTTP進行控制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/9HtGwMLc4hspUuuSQK8jwc2zSMi1jFT1QdNfWPxc.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/9HtGwMLc4hspUuuSQK8jwc2zSMi1jFT1QdNfWPxc.png" style="width: 300px; float: right;" /></a></p> <p>鎖定微軟SQL Server伺服器下手的攻擊行動，不時有事故傳出，但過往多半會聚焦在攻擊者如何入侵這種關聯式資料庫，如今有研究人員發現，駭客對於後續如何持續存取受害主機的方法，也出現了變化。</p> <p>由於這種應用系統通常會架設在Windows伺服器，駭客在攻擊行動裡往往會濫用遠端管理工具進行後續活動，其中最常見的是AnyDesk、TeamViewer，但在近期資安業者AhnLab揭露的攻擊行動裡，駭客罕見地使用了GotoHTTP。</p> <p><a href="https://www.ithome.com.tw/news/165391"><strong style="font-size: 22px;">Unix列印套件CUPS漏洞可被用於發動DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/october-cups-ddos-threat-one.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/october-cups-ddos-threat-one.jpg" style="width: 300px; float: right;" /></a></p> <p>9月底資安研究員Simone Margaritelli揭露Unix通用列印系統（Common UNIX Printing System，CUPS）一系列漏洞CVE-2024-47076、CVE-2024-47175、CVE-2024-47176、CVE-2024-47177，並指出攻擊者有機會藉此遠端存取含有弱點的Unix及Linux系統，執行任意程式碼，如今有其他研究人員指出，這些漏洞還能被用於發動DDoS攻擊。</p> <p>資安業者Akamai指出，他們確認這些漏洞有新的利用方法，那就是只要發送單一的特製封包，攻擊者就有機會將存在漏洞、曝露在網際網路的CUPS系統用來發動DDoS攻擊。</p> <p>根據他們的調查，網際網路上有超過19.8萬臺裝置存在相關漏洞，其中有超過5.8萬臺能被用於DDoS攻擊，換言之，平均每三臺存在漏洞的裝置，就有一臺能被駭客拿來發動DDoS攻擊。這些有漏洞的CUPS系統，有不少仍在執行相當舊的版本，因此，資安威脅風險不容小覷。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://nsfocusglobal.com/over-300000-gorillabot-the-new-king-of-ddos-attacks/">殭屍網路Gorilla發動超過30萬次DDoS攻擊，範圍橫跨100個國家</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/stonefly-north-korea-extortion">北韓駭客Andariel針對美國企業組織發動勒索軟體攻擊</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-rv34x-privesc-rce-qE33TCms">已終止維護的思科小型企業路由器存在高風險漏洞，可被用於提升權限或遠端執行程式碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/critical-apache-avro-sdk-flaw-allows.html">Apache Avro軟體開發套件存在高風險漏洞，攻擊者有機會遠端於Java應用程式執行任意程式碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.incibe.es/en/incibe-cert/notices/aviso/multiple-vulnerabilities-scriptcase">Scriptcase低階程式碼開發平臺存在10分重大漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165358"><strong style="font-size: 22px;">幫使用者過濾釣魚網站，Google搜尋測試藍勾勾功能</strong></a></p> <p></p> <p>科技新聞網站The Verge發現，Google正在實驗可用來驗明正身的藍勾勾，在搜尋引擎結果中，包括微軟、蘋果、Meta、Epic Games、Amazon及HP的官網連結旁邊，都出現藍勾勾，可用來確認這些網站的身分，並協助使用者過濾網釣網站。</p> <p>Google在藍勾勾上說明，此一標記只是為了證實該企業是它所宣稱的企業，並不代為保證該企業或其產生的可靠性。而Google則向The Verge解釋，該公司是利用網站驗證、Merchant Center資料及人工審核等因素來辨別網站的真偽。</p> <p>值得留意的是，目前該服務僅為小規模部署的實驗，並不確定能否成為正式功能。</p> <p><a href="https://www.ithome.com.tw/news/165274"><strong style="font-size: 22px;">M365端點防護可偵測不安全的Wi-Fi網路，並提供VPN保護連線內容</strong></a></p> <p>微軟近日宣布，個人版Microsoft 365提供的資安防護服務Microsoft Defender for Individuals，現在已可偵測不安全或可疑的Wi-Fi網路，並提醒使用者，使用者則可在接到通知後，啟用VPN功能來保護連線。</p> <p>此功能可自動偵測不安全的W-Fi網路，像是那些安全機制較薄弱的公共Wi-Fi熱點，或能利用啟發式分析，來檢查可疑的Wi-Fi網路，如訊號強度、加密類型或是連線過程中有否不尋常行為，在偵測到奇怪網路時就會通知使用者，並建議他們啟用VPN。但值得留意的是，該公司提供的VPN服務Privacy Protection僅能在美國、英國、加拿大、德國、印度、法國使用，尚未對亞洲地區開放。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165334"><strong>【10月4日】假借提供AI脫衣程式為誘餌，駭客企圖散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165282"><strong>【10月1日】駭客組織Storm-0501將攻擊範圍延伸到雲端環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165259"><strong>【9月30日】Unix與Linux普遍內建的列印系統CUPS存在重大漏洞</strong></a></p> </div></div></div>
2024/10/8 17:26作者周峻佑https://www.ithome.com.tw/news/165396
Unix列印套件CUPS漏洞可被用於發動DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月底資安研究員Simone Margaritelli揭露<a href="https://www.ithome.com.tw/news/165257">Unix通用列印系統（Common UNIX Printing System，CUPS）一系列漏洞</a>CVE-2024-47076、CVE-2024-47175、CVE-2024-47176、CVE-2024-47177，並指出攻擊者有機會藉此遠端存取含有弱點的Unix及Linux系統，執行任意程式碼，如今有其他研究人員指出，這些漏洞還能被用於發動DDoS攻擊。</p> <p>資安業者Akamai指出，<a href="https://www.akamai.com/blog/security-research/october-cups-ddos-threat">他們確認這些漏洞有新的利用方法</a>，那就是只要發送單一的特製封包，攻擊者就有機會將存在漏洞、曝露在網際網路的CUPS系統用來發動DDoS攻擊。</p> <p>根據他們的調查，網際網路上有超過19.8萬臺裝置存在相關漏洞，其中有超過5.8萬臺能被用於DDoS攻擊，換言之，平均每三臺存在漏洞的裝置，就有一臺能被駭客拿來發動DDoS攻擊。這些有漏洞的CUPS系統，有不少仍在執行相當舊的版本，因此，資安威脅風險不容小覷。</p> <p>研究人員指出，雖然遠端執行程式碼造成的危害較為嚴重，但DDoS放大攻擊因為很容易操作，而有可能成為駭客廣泛利用的手法。</p> <p>究竟攻擊者如何利用這些CUPS漏洞發動DDoS攻擊？他們可向CUPS發送惡意的UDP封包，其中的惡意酬載指揮CUPS，能夠向指定目標傳送IPP或HTTP請求，當cups-browsed嘗試擷取URI下載IPP組態檔案的過程中，就會觸發漏洞。</p> <p>由於上述的組態檔案（PPD檔）攻擊者可隨意修改，研究人員發現他們可將有效酬載填充到989個位元組，攻擊者在HTTP標頭及導向受害系統的POST資料當中，執行2次填充作業。而在這種填充作業進行的過程中，攻擊者就有機會消耗受害網路環境頻寬，從而放大DDoS攻擊造成的影響。</p> <p>經過實際測試，其中部分CUPS伺服器收到請求後會重覆發送Beacon；也有一些會不斷回傳HTTP 404錯誤訊息。研究人員認為，這代表此漏洞利用的DDoS攻擊手法放大效應相當顯著。</p> <p>他們評估上述5.8萬臺裝置若發動DDoS，將可造成1至6 Gbps的攻擊流量，雖然這樣的規模並不算大，但仍會導致受害系統應接不暇的狀況，因為它們瞬間需處理約260萬個TCP連線及HTTP請求。</p> </div></div></div>
2024/10/8 15:49作者周峻佑https://www.ithome.com.tw/news/165391
樂高網站遭入侵，駭客竄改內容從事加密貨幣詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據資安新聞網站Bleeping Computer報導，<a href="https://www.bleepingcomputer.com/news/security/legos-website-hacked-to-push-cryptocurrency-scam/">上週五（4日）有人入侵樂高網站</a>，並置換其內容，聲稱樂高正式推出加密貨幣，若是及時下單還會有額外回饋。然而，這一切都是騙局，若是使用者依照指示下單，就會被帶往加密貨幣平臺Uniswap進行交易，使用以太坊購買「樂高貨幣」，然而樂高並未發行加密貨幣，因此這樣的情況很有可能導致用戶血本無歸。</p> <p>這起事故最早是<a href="https://www.reddit.com/r/lego/comments/1fwfp1z/comment/lqeagw6/">社群網站Reddit樂高版版主mescad察覺並提出警告</a>，他指出這起事故大約發生在10月4日美國東部時間（EDT）晚間9時，他們向該公司通報此事，網站直到10時15分網站才復原。mescad強調，樂高並未發行加密貨幣，這顯然是詐騙。</p> <p>對此，樂高也證實確有此事，有未經授權的橫幅廣告短暫出現在他們的網站，後來不久就遭到刪除。該公司強調，沒有使用者的帳號被盜用的跡象，他們也查明事故發生的原因，並採取相關措施防止再度發生。不過，究竟網站如何被置入詐騙廣告，樂高並未提出說明。</p> </div></div></div>
2024/10/8 16:46作者周峻佑https://www.ithome.com.tw/news/165394
駭客鎖定SQL Server下手，得逞後運用遠端管理工具GotoHTTP進行控制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定微軟SQL Server伺服器下手的攻擊行動，不時有事故傳出，但過往多半會聚焦在攻擊者如何入侵這種關聯式資料庫，如今有研究人員發現，駭客對於後續如何持續存取受害主機的方法，也出現了變化。</p> <p>由於這種應用系統通常會架設在Windows伺服器，駭客在攻擊行動裡往往會濫用遠端管理工具進行後續活動，其中最常見的是AnyDesk、TeamViewer，但在近期<a href="https://asec.ahnlab.com/en/83283/">資安業者AhnLab揭露的攻擊行動裡</a>，駭客罕見地使用了GotoHTTP。</p> <p>這些駭客先是尋找使用弱密碼，而且曝露於網際網路的SQL Server下手，成功入侵便部署CLR SqlShell，此作案工具功能類似駭客攻擊網頁伺服器的Web Shell，能讓攻擊者控制SQL Server並執行各式惡意行為。</p> <p>接著，駭客使用whoami.exe、systeminfo.exe、netstat.exe進行偵察，收集網路資訊，然後植入PetitPotato、SweetPotato、JuicyPotato等工具提升權限，並藉由惡意程式竄改現有帳號的密碼，或是新增用於遠端存取的使用者帳號。</p> <p>值得留意的是，這些駭客最終部署了GotoHTTP，並存取該遠端管理系統的組態檔案gotohttp.ini，來進行後續攻擊行動。研究人員指出，這起攻擊事故突顯駭客傾向改用合法的遠端管理軟體，透過使用者介面進行後續控制，再者，駭客不再只是偏好使用AnyDesk，而是開始物色其他同類型的應用程式，使得相關攻擊變得更難捉摸。</p> </div></div></div>
2024/10/7 17:04作者周峻佑https://www.ithome.com.tw/news/165370
Word有一個臭蟲會在企圖存檔時將檔案刪除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周揭露了一個<a href="https://support.microsoft.com/en-us/office/locally-saved-word-files-with-capitalized-file-extensions-or-in-the-title-may-be-deleted-after-save-5e28f8c2-32d0-487b-b237-9c7c74d25f84" target="_blank">Word臭蟲</a>，只要檔案的名稱包含諸如.DOCX與.RTF等大寫的副檔名，或者是含有特殊符號#時，在編輯文件之後，關閉Word並選擇存檔時，檔案即會被刪除。但此一情況在先儲存檔案再關閉Word時並不會發生。</p> <p class="rtecenter"><a href="http://support.microsoft.com/en-us/office/locally-saved-word-files-with-capitalized-file-extensions-or-in-the-title-may-be-deleted-after-save-5e28f8c2-32d0-487b-b237-9c7c74d25f84" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1008-word%20issue%20bug.png" style="width: 500px;" /></a></p> <p>解決方法包括從回收站中尋找並恢復遭到刪除的檔案，或是在關閉Word之前先存檔。根據微軟的測試，當使用者點擊右上方的X按鈕要關閉Word，接著系統跳出提示詢問是否要儲存檔案，若使用者按下儲存，檔案可能就會被刪除。</p> <p>另一個方法是在檔案~>選項~>存檔中，啟用「透過鍵盤捷徑開啟或儲存檔案時不顯示Backstage」的選項，也能避免檔案被刪除的事件發生。</p> <p>還有其它使用者建議可以改用更早之前的Office或Word版本。另一名使用者則說，該公司所使用的ERP軟體所生成的檔案，其副檔名預設值就是大寫的.DOCX，但只要把它們改成小寫字母就好了。</p> </div></div></div>
2024/10/8 14:26作者陳曉莉https://www.ithome.com.tw/news/165386
美國公用事業American Water遭駭客入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供水及廢水處理服務的美國公用事業American Water Works（American Water）在10月3日發現遭到駭客入侵，宣稱其供水或廢水設施，或是營運都沒有收到影響，但迄今該公司的<a href="https://www.amwater.com/" target="_blank">官網</a>與MyWater服務都還未恢復正常。</p> <p>American Water在美國14個州提供服務，涉及1,700個社區與1,400萬名人口，擁有340萬個客戶，從住宅、商業、消防、工業、政府設施到廢水公用事業等，於美國紐約股市掛牌。American Water周一（10/7）才於官網公布被駭消息，接著官網就關閉了，當天股價下滑3.91%，以136.99美元作收。</p> <p>根據American Water提交給美國證券交易委員會的<a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0001410636/f39167f1-1f3c-432a-969d-8cf1ad0d99f4.pdf" target="_blank">文件</a>，以及網際網路檔案館（Internet Archive）的<a href="https://web.archive.org/web/20241007151349/https://www.amwater.com/corp/security-faq" target="_blank">存檔</a>，該公司是在10月3日於電腦網路及系統中發現未經授權的活動，並已確定是網路安全事件。</p> <p>當時該公司立即切關某些系統與網路的連結，並停用某些系統，同時將用來管理該公司水資源的MyWater服務下線，同時與第三方網路安全專家合作，以遏制及緩解攻擊行動，同時調查事件的性質與範圍，亦聯繫了執法機構。</p> <p>American Water強調，並無任何供水或廢水設施，或者是相關營運受到此一事件的影響，用戶仍可安全飲用該公司所供應的水，MyWater的下線意謂著將停止計費，而且不會向用戶收取滯納金，或是關閉所使用的服務。</p> <p>目前American Water仍在調查整起事件，尚不確定用戶的資料是否外洩。</p> </div></div></div>
2024/10/8 14:43作者陳曉莉https://www.ithome.com.tw/news/165388
與Google、Meta打對臺，TikTok發布AI廣告工具Smart+
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>TikTok新推出由人工智慧驅動的<a href="https://newsroom.tiktok.com/en-us/tiktok-is-building-for-the-future-with-smart-plus">自動化廣告解決方案Smart+</a>，協助廣告主改進廣告投放流程提高成效。該工具可自動化定位受眾、選擇素材、決定出價策略以及測量成效，在精準接觸目標受眾的同時，強化廣告內容互動。目前廣告市場中，Google的Performance Max和Meta的Advantage+也提供類似的自動化廣告解決方案，Smart+推出讓廣告主有額外的工具選擇。</p> <p>Smart+利用TikTok平臺上大量的用戶行為資料，透過人工智慧自動分析並選擇最佳受眾，讓廣告能展示給最相關的用戶。廣告主只需要輸入素材、預算和目標，Smart+便會自動化整個廣告投放過程，包括受眾定位、創意素材選擇以及出價策略調整等，降低廣告主在TikTok上投放廣告的複雜性與門檻。</p> <p>此外，Smart+提供多種廣告活動選擇，像是可推動網頁流量的Web Campaigns、自動推薦商品的Catalog Ads，可增加應用程式安裝的App Campaigns，以及透過互動轉換高價值客戶的Lead Generation Campaigns。TikTok指出，廣告主使用Smart+投資報酬率提升可達52％，成本下降50％，轉換率增加47％。</p> <p>廣告市場競爭激烈，Google與Meta也已有類似由人工智慧驅動的自動化廣告工具，分別是Performance Max和Advantage+。Google Performance Max為多通路自動化投放工具，整合搜尋、YouTube、Gmail與Google多媒體廣告聯播網等通路，透過人工智慧自動調整廣告組合和出價策略，廣告主只需提供廣告素材和預算，Performance Max便能達成行銷目標。</p> <p>而Meta的Advantage+則是專注於臉書和Instagram等自家社交平臺的廣告投放，同樣廣告主只需提供基本素材和目標，Advantage+便會利用使用者社交行為資料和興趣標籤，替廣告主提供自動化素材選擇和受眾定位，動態最佳化廣告組合和出價策略。TikTok Smart+的優勢在於掌握龐大的TikTok使用者，深入融合平臺內容生態，特別是在短影音內容互動上，提供廣告主額外的廣告投放選擇。</p> <p>除了Smart+之外，TikTok還推出三項工具來改進廣告和零售成效。GMV Max是自動化TikTok Shop廣告活動工具，可自動選擇受眾、出價和提供創意，目的是提升商家銷售。Out of Phone:Retail則是把線上內容帶入實體店面，在店內提供數位廣告的解決方案，而Conversion Lift Studies（CLS）則可用於評估廣告活動的轉換影響，提供精確的成效測量，協助廣告主掌握廣告投資成果。</p> </div></div></div>
2024/10/8 11:57作者李建興https://www.ithome.com.tw/news/165382
美國法官要求Google Play開放第三方程式市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遊戲開發商Epic Games在2020年因於《要塞英雄》（Fortnite）行動遊戲中嵌入自家的付費機制，遭到蘋果與Google下架，使得Epic Games同時<a href="https://www.ithome.com.tw/news/139405" target="_blank">狀告</a>蘋果與Google，然而，美國法官James Donato本周一（10/8）要求Google自今年11月1日到2027年的11月1日的3年之間，不得限制行動程式的支付方式，也必須開放競爭的應用程式市集於Google Play上架。Google則已決定要提出<a href="https://blog.google/outreach-initiatives/public-policy/epic-games-verdict-appeal/" target="_blank">上訴</a>。</p> <p>法官認為Google Play非法壟斷市場，因此，對Google的要求還包括允許開發者提供自Google Play之外下載程式的方法，明示各種支付方式，亦要求Google不得利誘開發者以讓他們獨家於Google Play中發布程式，不得利誘裝置製造商以預裝Google Play，也不得採取其它杯葛競爭對手的作法。</p> <p>Epic Games創辦人暨執行長Tim Sweeney很快就透過X<a href="https://x.com/TimSweeneyEpic/status/1843394692551192972" target="_blank">宣布</a>，Epic Games Store與其它應用程式商店將在2025年登上美國的Google Play Store，而且屆時將不再有來自Google的恐怖監管，也不再需要支付30%的程式稅賦。</p> <p>Google也在判決出爐的同一天便決定要上訴。Google強調，Google與蘋果是競爭對手，Android與iOS也是，它們之間的競爭非常激烈，法官的判決將削弱Android與iOS的競爭能力。Google試圖解釋Android並不是一個獨立的市場，更遑論非法壟斷，此外，相較於封閉的iOS，Android更為開放，市場亦也有眾多的程式市集。</p> <p>在提出上訴的同時，Google也要求法院暫停實施相關的補救措施。</p> <p>Google的大動作不難理解，因為Epic Games同時控告了蘋果與Google，但針對蘋果的判決在2021年就<a href="https://www.ithome.com.tw/news/146681" target="_blank">出爐</a>了，當時法官Yvonne Gonzalez Rogers認為蘋果並未壟斷，只要求蘋果開放第三方支付，而且不管是使用蘋果或第三方支付的開發者都一樣要提供銷售佣金予蘋果，外界認為蘋果在這場官司中並沒有輸。</p> <p>然而，法官對Google的要求卻可能永遠改變Android程式市集的生態。判決出爐的當天，Google母公司Alphabet的股價下滑了2.47%，以164.39美元作收。</p> </div></div></div>
2024/10/8 11:08作者陳曉莉https://www.ithome.com.tw/news/165381
Node.js v20.18.0長期支援版本釋出，強化安全性與網路監控功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nodejs.org/en/blog/release/v20.18.0">Node v20.18.0</a>是最新的長期支援版本，帶來實驗性與正式多項功能更新。正式功能包括tls.createSecureContext新支援部分信任鏈新選項，以及vm.createContext()新增可凍結全域物件的選項，提升程式的安全性和效能。而實驗性功能則添加了網路檢查工具，開發者可以透過開啟指定旗標，檢視應用程式的網路活動，進一步了解網路通訊狀況。</p> <p>Node.js v20.18.0更新提供開發者更多靈活性和安全性，特別是在網路通訊和JavaScript執行環境方面。Node.js中用於建立安全連線的重要API tls.createSecureContext，在這次更新中新增了allowPartialTrustChain選項，讓開發者可以將信任的CA清單中的中繼憑證視為可信任，即便這些憑證並非自簽章（Non-Self-Signed）。</p> <p>這項變更對於處理信任鏈非常重要的原因在於，就算是無法獲得完整的信任鏈，開發者仍可以透過設定allowPartialTrustChain:true來接受部分信任的中繼憑證，讓應用程式在不同環境中建立安全連線時更具彈性。</p> <p>另外，Node.js用來建立隔離執行環境，執行第三方或不信任的程式碼，以確保不會影響主應用程式全域狀態的方法vm.createContext()，在這次更新增加了一個能創建可凍結全域物件的新選項。該選項讓開發者可以建立一個沒有攔截器的全域物件，並進一步將其凍結。</p> <p>攔截器是一種用於監控和控制全域物件的操作機制，避免第三方程式碼對全域物件進行未授權的修改。新的選項取消這層監控直接凍結全域物件，確保全域物件的不可變性以提高安全性，同時加快全域物件的存取速度，適合不需要攔截器行為的應用情境。</p> <p>在網路檢查工具方面，Node.js v20.18.0新增的實驗性功能，讓開發者可以使用--experimental-network-inspection旗標，監控應用程式中的網路活動。目前該功能僅支援http和https模組，並且還在持續開發中。目前該功能只能在Node.js自身環境使用，Chrome DevTools中的Network標籤尚未支援，未來將會隨著Chrome DevTools團隊的開發而加入。</p> </div></div></div>
2024/10/8 08:23作者李建興https://www.ithome.com.tw/news/165373
蘋果發布iPhone、iPad更新，修補VoiceOver可能洩露密碼的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月3日蘋果發布iOS 18.0.1、iPadOS 18.0.1，<a href="https://support.apple.com/en-us/121373">總共修補2個資安漏洞</a>，其中由研究人員Bistrit Daha通報的CVE-2024-44204特別引起注意，因為存在漏洞的裝置有可能藉由VoiceOver機制，大聲朗讀使用者的密碼。</p> <p>針對這項漏洞發生的原因，蘋果指出是因為密碼（Passwords）元件的驗證機制存在邏輯錯誤，影響iPhone XS、13吋iPad Pro、第3代12.9吋iPad Pro、11吋iPad Pro、第3代iPad Air、第7代iPad，以及第5代iPad mini與其後繼機種。</p> <p>另一個漏洞CVE-2024-44207，僅影響iPhone 16全系列機種，這項漏洞涉及Media Session元件，使得Messages能在麥克風指示燈啟動的數秒前截取聲音。</p> </div></div></div>
2024/10/7 16:25作者周峻佑https://www.ithome.com.tw/news/165367
【資安日報】10月7日，親俄駭客傳出再度發動DDoS攻擊，多家上市櫃公司網站受到影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>親俄駭客NoName057因總統賴清德接受媒體採訪的回答裡，提及中國政府一再主張的維護領土完整性，認為他們應該要奪回清朝簽訂璦琿條約而割讓俄羅斯的土地，而引起駭客不滿，已於9月發起一波DDoS攻擊行動，上週又有企業組織傳出受害，並於股市公開觀測站發布重大訊息。</p> <p>值得留意的是，這些駭客不光針對企業而來，他們這次的目標也涵蓋臺灣多個政府機關。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165356"><strong style="font-size: 22px;">台塑化、緯創、聯電與多個公家單位遭DDoS攻擊，親俄駭客對臺灣的政府與企業網站發動第二波攻勢</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/7-fin7-update-click-free-download.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-07_124854.jpg" style="float: right; width: 300px;" /></a></p> <p>自9月上旬臺灣有多個政府機關與上市公司遭遇DDoS攻擊，10月第一個週末又發生新一波遭受攻擊的狀況，而且其中有知名高科技業與塑化大廠的網站遇襲。</p> <p>在10月5日到6日，台塑化、緯創、聯電這3家上市公司相繼發布重大訊息，說明遭遇DDoS攻擊的網路資安事件，並表示網站服務已經恢復正常運作。此外，10月4日週五下午，上櫃電腦及週邊設備業「青雲」也公布遭遇同類型的阻斷服務式（DoS）攻擊，並表示正在恢復系統中。</p> <p>由於上個月才有類似情況發生，這次攻擊可能仍是同一攻擊者所為，因為先前宣稱對臺發動DDoS攻擊的親俄駭客組織NoName057，這次仍十分囂張地在社群平臺X公布其攻擊活動，並宣稱夥同多個駭客組織一起行動。</p> <p><a href="https://www.ithome.com.tw/news/165347"><strong style="font-size: 22px;">網傳PChome疑似資料庫外洩，網路家庭澄清並無此事，研判用戶帳號盜用可能遭撞庫攻擊</strong></a></p> <p>10月5日下午有網友聲稱知名電商平臺PChome疑似備份的資料庫外洩，高儲值帳號遭鎖定被盜，這項消息引發眾多用戶的關注，並在多個社群平臺轉發此則訊息，想要了解是否真有如此狀況。網路家庭表示，此為不實謠言，並無資料庫外洩的情事，至於用戶帳號遭不明登入的情形，研判有不肖人士利用其他網站外流的用戶帳號密碼，嘗試登入PChome24購物網站。</p> <p>網路家庭表示，PChome 24h購物系統內並無儲存用戶的密碼，關於網路貼文提及用戶帳號遭不明登入的情形，經查後他們研判應為不肖人士在其他網站取得用戶email及密碼後，再利用這些密碼於PChome 24h購物網站來嘗試登入。</p> <p>對於有用戶帳號遭盜用的狀況，網路家庭表示，已在第一時間全面清查，針對疑似受影響的帳號進行強制登出，並通知用戶修改密碼，同時也建議用戶，應盡可能在不同的網站間、使用不同的密碼。</p> <p><a href="https://www.ithome.com.tw/news/165354"><strong style="font-size: 22px;">中國駭客Salt Typhoon入侵美國ISP業者，可能已滲透竊聽系統</strong></a></p> <p></p> <p>9月下旬華爾街日報（WSJ）取得知情人士的說法，中國駭客組織Salt Typhoon已入侵美國ISP業者，上周再揭露，美國電信業者AT&T、Verizon與Lumen皆已受駭，且駭客鎖定的可能是美國政府用來合法要求資料的竊聽系統。</p> <p>知情人士透露，Salt Typhoon企圖於美國ISP的基礎設施中建立據點，以進一步滲透系統，或是發動破壞性的網路攻擊，目前認為駭客的主要目標應是為了收集情報。</p> <p>根據報導，相關攻擊在最近幾周才被發現，美國政府及私人機構都在協助調查，亦正在研究思科系統是否遭駭。大量滲透到美國ISP業者基礎設施的駭客，可能已經存取美國政府在取得法院授權後，可向ISP業者請求資料的系統，而且時間可能長達數月或更久。</p> <p><a href="https://www.ithome.com.tw/news/165359"><strong style="font-size: 22px;">惡意程式Perfctl鎖定數百萬臺Linux伺服器而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Perfctl-Figure_1-3.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Perfctl-Figure_1-3.jpg" style="width: 300px; float: right;" /></a>雲端資安業者Aqua Security上周揭露專門鎖定Linux伺服器的惡意程式Perfctl，它會偵測伺服器上的逾2萬種錯誤配置，或者是利用應用程式RocketMQ的安全漏洞CVE-2023-33246來入侵，再利用CVE-2021-4043等漏洞來提高權限，企圖長駐於系統上，藉由這些受駭設備挖礦，或是執行代理伺服器劫持（Proxyjacking）軟體。</p> <p>Perfctl主要被用來執行如XMRIG等加密貨幣挖礦程式，某些情況也會執行代理劫持程式；它在內部以Unix Socket通訊，外部則採用TOR，以避免遭到偵測；並以Rootkit來隱藏自己的存在，或是將自己命名為常見的系統文件名稱。</p> <p><a href="https://www.ithome.com.tw/news/165365"><strong style="font-size: 22px;">駭客鎖定Adobe Commerce、Magento購物網站漏洞CosmicSting下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/nationalgeographic_com_1727394454.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/nationalgeographic_com_1727394454.png" style="width: 300px; float: right;" /></a>今年6月Adobe修補電商網站平臺重大漏洞CVE-2024-34102（也被稱為CosmicSting），這項資安弱點位於Adobe Commerce及Magento Open Source電商平臺，一個月後美國網路安全暨基礎設施安全局（CISA）證實已出現攻擊行動，最近有資安業者揭露受害規模。</p> <p>資安業者Sansec提出警告，他們自Adobe公布漏洞之後進行追蹤，迄今已發現至少有7個駭客組織將其用於攻擊行動，並入侵4,275個購物網站，相於有5%採用這種電子商務平臺的網站受害。</p> <p>為什麼這項漏洞的影響如此廣泛？研究人員指出，因為在7月8日駭客就已經發動自動化攻擊，並偷走數千個加密金鑰，但大多購物網站的管理者並未依循Adobe的最佳實務而更換金鑰，因此，即使購物平臺系統更新完成，這些遭竊的金鑰仍然有效，駭客還是可以在未經授權的情況下，利用這些金鑰竄改受害的購物網站。</p> <p><a href="https://www.ithome.com.tw/news/165362"><strong style="font-size: 22px;">資安業者Cloudflare揭露流量達到3.8 Tbps的DDoS攻擊事故</strong></a></p> <p></p> <p>提供網路安全及內容交付網路服務的Cloudflare指出，該公司在今年9月平息了每秒尖峰攻擊流量高達3.8 Tbps的分散式服務阻斷（DDoS）攻擊，締造了新紀錄。</p> <p>Cloudflare表示，這起針對該公司客戶的DDoS攻擊始於9月初，駭客鎖定第3層（網路層）及第4層（傳輸層）展開DDoS攻擊，Cloudflare的防禦系統在駭客持續展開攻擊的一個月內緩解了超過100次的超容量攻擊，許多攻擊規模每秒超過20億個封包，或者是每秒攻擊流量超過3 TB，尖峰攻擊流量甚至達到每秒3.8 TB，其攻擊頻率與規模前所未見。</p> <p>此活動鎖定的是金融服務、網路及電信業，企圖耗盡這些業者的資源與頻寬，駭客主要利用固定埠上的UDP協定，攻擊流量源自全球市場，大部分來自越南、俄羅斯、巴西、西班牙和美國。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/active-exploits-target-zimbra-collaboration-over-19k-systems-vulnerable-to-cve-2024-45519/">近2萬臺Zimbra郵件伺服器曝露於CVE-2024-45519的資安風險</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.talosintelligence.com/threat-actor-believed-to-be-spreading-new-medusalocker-variant-since-2022/">勒索軟體MedusaLocker出現變種BabyLockerKZ，歐盟、南美國家皆出現受害組織</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cofense.com/blog/from-collaboration-to-deception-the-zoom-phishing-threat">Zoom文件共用功能遭到濫用，駭客企圖竊取用戶的微軟帳號</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165367"><strong style="font-size: 22px;">蘋果發布iPhone、iPad更新，修補VoiceOver可能洩露密碼的漏洞</strong></a></p> <p>10月3日蘋果發布iOS 18.0.1、iPadOS 18.0.1，總共修補2個資安漏洞，其中由研究人員Bistrit Daha通報的CVE-2024-44204特別引起注意，因為存在漏洞的裝置有可能藉由VoiceOver機制，大聲朗讀使用者的密碼。</p> <p>針對這項漏洞發生的原因，蘋果指出是因為密碼（Passwords）元件的驗證機制存在邏輯錯誤，影響iPhone XS、13吋iPad Pro、第3代12.9吋iPad Pro、11吋iPad Pro、第3代iPad Air、第7代iPad，以及第5代iPad mini與其後繼機種。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-47191-critical-flaw-in-oath-toolkit-pam-module-could-lead-to-root-exploits/">OATH Toolkit特權管理模組存在重大漏洞，恐導致攻擊者有機會藉由root進行存取</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/165317">2024資安法修法條文面面觀</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165334"><strong>【10月4日】假借提供AI脫衣程式為誘餌，駭客企圖散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165282"><strong>【10月1日】駭客組織Storm-0501將攻擊範圍延伸到雲端環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165259"><strong>【9月30日】Unix與Linux普遍內建的列印系統CUPS存在重大漏洞</strong></a></p> </div></div></div>
2024/10/7 17:14作者周峻佑https://www.ithome.com.tw/news/165372
台塑化、緯創、聯電與多個公家單位遭DDoS攻擊，親俄駭客對臺灣的政府與企業網站發動第二波攻勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自9月上旬<a href="https://www.ithome.com.tw/news/165029">臺灣有多個政府機關與上市公司遭遇DDoS攻擊</a>，10月第一個週末又發生新一波遭受攻擊的狀況，而且其中有知名高科技業與塑化大廠的網站遇襲。</p> <p>在10月5日到6日，台塑化、緯創、聯電這3家上市公司相繼發布重大訊息，說明遭遇DDoS攻擊的網路資安事件，並表示網站服務已經恢復正常運作。此外，10月4日週五下午，上櫃電腦及週邊設備業「青雲」也公布遭遇同類型的阻斷服務式（DoS）攻擊，並表示正在恢復系統中。（7日週一中午查詢仍未復原）</p> <p>由於上個月才有類似情況發生，這次攻擊可能仍是同一攻擊者所為，因為先前宣稱對臺發動DDoS攻擊的親俄駭客組織NoName057，這次仍十分囂張地在社群平臺X公布其攻擊活動，並宣稱夥同多個駭客一起行動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-10-07_124854.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-07_124854.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-10-07_124905.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-07_124905.jpg" style="width: 295px;" /></a></p> <p>以該組織在10月4日公布的受害者來看，不只是上述4家上市櫃公司遭到攻擊，還有世芯-KY、晶心科技、國泰人壽保險等多家企業。</p> <p>不過，這些公司尚未發布相關的資安重訊揭露。截至10月7日中午為止，我們看到世芯-KY的網站仍無法連線，而晶心科技、國泰人壽保險的網站服務正常運作，無法確定先前是否曾經受到影響。目前我們也正詢問這些公司的狀態。</p> <p>其實第二波對臺攻擊並非這個周末才發生，先前10月1日，第一商業銀行就曾公告「第e個網」遭受網路DDoS攻擊，而根據NoName057所宣稱的行動來看，第二波對臺DDoS攻擊是從9月30日開始持續至今。該組織所聲稱的攻擊目標涵蓋企業，以及多個關鍵基礎設施與政府單位，例如，立榮航空、廣達電腦，還有多個關鍵基礎設施與政府單位，包括司法部國家法律資料庫、桃園國際機場、松山機場、花蓮機場，以及多個臺灣市公所網站、最高檢察署及地方檢查署。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-10-07_145450.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-07_145450.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-10-07_144557.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-07_144557.jpg" style="width: 295px;" /></a></p> <p>無論如何，面對這群駭客組織可能發起周期性的騷擾式攻擊行動，將持續考驗國內應對DDoS的防護能力，不只是我國政府透過資安通報機制，持續掌握政府部門與特定非公務機關的關鍵CI的狀況，普遍企業也要留意此一態勢。像是<a href="https://www.ithome.com.tw/news/152491">2022年美國眾議院議長裴洛西訪臺前後的DDoS攻擊事件</a>，<a href="https://www.ithome.com.tw/news/140158">2020年臺灣多家主機託管商遭DDoS攻擊</a>，<a href="https://www.ithome.com.tw/news/111875">2017年臺灣13家的券商網站下單系統遭遇DDoS攻擊</a>，導致不少機關與企業的網站服務受影響，如今DDoS這樣的威脅持續需要我們去面對。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-07_170357.jpg" style="width: 600px;" /></p> <p><strong>目前世芯-KY呈現出無法連線的狀態，關於是否也是遭遇DDoS攻擊，我們正等待該公司回覆。</strong></p> <h2><strong>NoName057</strong><strong>持續鎖定多國政府與關鍵CI發動DDoS攻擊</strong></h2> <p>不只是臺灣遭遇NoName057發動的DDoS攻擊，歐洲多國的關鍵基礎設施也持續成為該組織的攻擊目標。</p> <p>例如，臺灣遭受第一波DDoS攻擊（9月9日到9月17日）之前，該組織就已經持續針對「捷克」、「法國」、「烏克蘭」的政府與關鍵基礎施設發動DDoS攻擊。</p> <p>這次臺灣遭受的第二波攻擊（而從9月30日至今）之前，該組織則是連續數日鎖定「奧地利」，並有零星攻擊是針對「烏克蘭」、「英國」、「歐盟」、「立陶宛」、「羅馬尼亞」，其目標均是這些國家的政府機關、企業與民生關鍵基礎設施。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-07_151450.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-07_170512.jpg" style="width: 600px;" /></p> <p> </p> </div></div></div>
2024/10/7 10:20作者羅正漢https://www.ithome.com.tw/news/165356
駭客鎖定Adobe Commerce、Magento購物網站漏洞CosmicSting下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/163422">今年6月</a>Adobe修補電商網站平臺重大漏洞<a href="https://www.ithome.com.tw/tags/cve-2024-34102">CVE-2024-34102</a>（也被稱為CosmicSting），這項資安弱點位於Adobe Commerce及Magento Open Source電商平臺，一個月後<a href="https://www.ithome.com.tw/news/163422">美國網路安全暨基礎設施安全局（CISA）證實已出現攻擊行動</a>，最近有資安業者揭露受害規模。</p> <p>資安業者Sansec提出警告，他們自Adobe公布漏洞之後<a href="https://www.ithome.com.tw/news/163623">進行追蹤</a>，<a href="https://sansec.io/research/cosmicsting-fallout">迄今已發現至少有7個駭客組織將其用於攻擊行動</a>，並入侵4,275個購物網站，相於有5%採用這種電子商務平臺的網站受害。</p> <p>為什麼這項漏洞的影響如此廣泛？研究人員指出，因為在7月8日駭客就已經發動自動化攻擊，並偷走數千個加密金鑰，但大多購物網站的管理者並未依循Adobe的最佳實務而更換金鑰，因此，即使購物平臺系統更新完成，這些遭竊的金鑰仍然有效，駭客還是可以在未經授權的情況下，利用這些金鑰竄改受害的購物網站。</p> <p>這些駭客發動大規模攻擊的手法相當雷同，他們都利用CosmicSting發動攻擊竊得加密金鑰，得手後用來產生API授權Token，從而存取客戶資料，並藉由CMS區塊（CMS blocks）在結帳流程植入付款資料側錄工具。</p> <p>這些從事攻擊行動的駭客組織，研究人員稱為：Group Bobry、Group Polyovki、Group Surki、Group Burunduki、Group Ondatry、Group Khomyaki、Group Belki。</p> <p>值得留意的是，Group Belki同時還會利用另一個漏洞CNEXT，而能進一步發動遠端執行程式碼（RCE）攻擊。此漏洞被登記為CVE-2024-2961列管，出現在Linux作業系統GNU C程式庫（glibc）的iconv功能當中。</p> <p>目前有哪些企業受害？根據Sansec的分析，包含許多知名企業，例如：雷朋眼鏡、國家地理頻道、思科、惠而浦，以及電動滑板車業者賽格威（Segway）。</p> </div></div></div>
2024/10/7 15:55作者周峻佑https://www.ithome.com.tw/news/165365
增量垃圾回收效能問題待解，Python 3.13正式版暫不加入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://discuss.python.org/t/incremental-gc-and-pushing-back-the-3-13-0-release/65285">Python 3.13的增量垃圾回收（Incremental GC）功能存在效能問題</a>，導致包括<a href="https://github.com/python/cpython/issues/124567">Sphinx等多種工具運作效能下降</a>。核心開發者在討論了增量垃圾回收閾值調整，以及退回增量垃圾回收功能的可能性後，<a href="https://github.com/python/cpython/pull/124770">決定暫時不在Python 3.13加入該功能</a>，並且維持現有閾值設定，確保效能穩定。增量垃圾回收預計會在改進並且收集更多開發者回饋後，添加到Python 3.14中。</p> <p>垃圾回收是程式語言中一項記憶體管理機制，用於自動清理不再使用的物件，釋放記憶體空間。原本開發團隊想在Python 3.13的時候添加增量垃圾回收功能，目的是最佳化記憶體管理，減少應用程式在執行時，因為垃圾回收而發生的卡頓，特別是針對大型應用程式或是需要高回應性的系統，以達到更加平滑順暢的效能表現。</p> <p>傳統垃圾回收機制會在一定時間點暫停程式部分運作，清理未使用的記憶體，而該過程可能導致應用程式卡頓，而增量垃圾回收則是將垃圾回收過程拆分成多個較小的步驟，逐步進行清理，進而縮短每次停頓的時間，使得應用程式的回應性更好。</p> <p>Python垃圾回收採用分代回收策略，主要分為三個世代，第0代、第1代和第2代。根據對程式記憶體分配行為的觀察，通常很快變成垃圾的新物件被標為第0代，第1代則是由第0代經過垃圾回收後仍存活的物件晉升，當第1代記憶體物件觸發垃圾回收，卻還依然存活的物件，就會被標記為第2代。</p> <p>而原本Python 3.13為了配合增量垃圾回收功能，第0代的閾值從700增加到了2,000，以降低頻繁垃圾回收帶來的額外開銷。不過，增量垃圾回收的效能在測試階段就受到開發者的注意，尤其是像Sphinx這類大型應用程式，在Python 3.13上甚至出現接近40％的效能下降。</p> <p>經過Python核心開發者的討論，他們認為增量垃圾回收雖然普遍可以減少垃圾回收的卡頓時間，提升應用程式的回應性，但是在部分情境下卻反而會增加額外的記憶體和計算成本開銷，以至於無法達到預期的效能提升效果。</p> <p>在核心開發者討論各種方案後取得共識，認為增量垃圾回收功能尚未成熟，閾值的調整需要更廣泛的場景測試，因此最終從Python 3.13正式版移除增量垃圾回收，並維持原本設定確保版本的穩定性。開發團隊將在收集更多回饋，釐清不同場景應用的效能表現後，在Python 3.14重新引入增量垃圾回收功能。</p> </div></div></div>
2024/10/7 16:54作者李建興https://www.ithome.com.tw/news/165366
衛福部正式成立3大AI中心，要解決負責任AI、取證和健保給付三大痛點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今日（10/7），衛福部宣布成立三大AI中心，包括負責任AI執行中心、臨床AI取證驗證中心和AI影響性研究中心，由衛福部輔導全臺16家醫院、共19案來執行，包含臺大醫院、臺北榮總、林口長庚醫院、臺中榮總、成大醫院和中醫大附醫等指標醫院。這三大AI中心的成立目的，是要解決臺灣發展AI醫材的三大痛點，如AI透明性、取得許可證過程冗長和健保給付是否納入，要補足智慧醫療發展最後一哩路。</p> <p><span style="font-size:22px;"><strong>為何推動成立三大AI中心？</strong></span></p> <p>衛福部資訊處處長李建璋是該政策的重要推手之一，他解釋，自己還在醫院擔任AI中心副主任時，就面臨醫院發展醫療AI的三項挑戰，比如在院內，醫師判斷與AI答案不同時，容易對AI系統產生不信任感，需要有套更透明的解釋機制才行。</p> <p>他也觀察到，各大醫院努力發展醫療AI應用，但要取得食藥署智慧醫材許可證、將AI應用商品化時，就面臨資料不夠充足、難以達到驗證要求的困難，進而延緩取證時間，錯過最佳技術應用時機。就算醫療AI最終取證、成功上市，也面臨市場和健保給付問題，影響研發成本的回收。</p> <p>因此，在李建璋接任衛福部資訊處處長後，一大目標就是推動醫院成立三大AI中心，來解決發展智慧醫療的實務挑戰。比如，負責任AI執行中心建立AI系統透明機制，可幫助醫師跟病人相信AI並保護資料隱私，AI取證驗證中心則可協助備妥資料，讓醫院開發的醫療AI更快取證。而AI影響性研究中心，則能協助進行臨床試驗，來確認醫療AI是否具備臨床效益，再將研究數據提供給健保專家，來評估健保給付事項。</p> <p>於是，衛福部在今年7月23日公告三大AI中心補助計畫，鼓勵醫院申請，並舉辦全國性教育訓練。8月1日截止收件後，還請國內外委員三階段評選30家申請醫院，最終16家醫院通過，來營運這三大AI中心。</p> <p><span style="font-size:22px;"><strong>負責任AI執行中心管理AI透明性和生命周期</strong></span></p> <p>進一步來說，負責任AI執行中心是要解決AI應用信任危機，尤其是AI偏見與不透明、資料隱私疑慮和AI準確度會隨著時間遞減等問題。</p> <p>李建璋指出，雖然先進國家開始推出相關法案和架構，作為監管指引方向，比如WHO發表負責任AI六大原則（自主、公益、當責、透明、正義和永續）、歐盟AI法案和美國AI運算發透明暨資訊共享規則（HTI-1），但還未真正落地成為推動中心。</p> <p>於是，衛福部希望落實這些共識，由負責任AI執行中心來實踐。這次成立的負責任AI執行中心共有10間，這些中心將訂定AI臨床使用管理辦法、確保訓練和推論資料隱私，並要求AI系統能揭露模型訓練資料來源、臨床準確度和可解釋性。</p> <p>而且，負責任AI執行中心還要落實透明性，並以美國HTI-1規則的9大透明性指標為原則。這包括介入詳情及輸出、介入目的、介入的警告範圍外使用、介入開發詳情及特徵、確保介入開發公平性的過程、外部驗證過程、模型表現的量化指標、介入實施和使用的持續維護，以及更新與持續驗證或公平性評估計畫，來讓AI模型運作更透明。</p> <p>不只如此，負責任AI執行中心也得制定AI模型生命周期管理辦法，來確保AI在臨床使用的持續可靠。這個生命周期管理辦法涵蓋模型訓練、驗證、落地、監測、下架等環節，需依臨床需求訂立AI應用表現指標下限，且須定期執行獨立性表現評估，將未達下限的模型進行調校。要是仍未達標，則下架重新建立模型並訓練。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%80%B1%E6%9C%9F.JPG" /></p> <p><span style="font-size:22px;"><strong>臨床AI取證驗證中心將提供資料，協助醫療AI取證</strong></span></p> <p>再來，這次成立的臨床AI取證驗證中心共有5家，目的是要協助醫院醫療AI應用取得TFDA食藥署智慧醫材認證，縮短取證流程、降低驗證資料收集難度。</p> <p>進一步來說，醫療AI取證有幾個指標，包括要能在廣泛的族群中驗證效能、證明AI軟體在臨床應用中的正確性。但要做到這一點，就需要足夠量且多元的資料，申請者得跨不同醫學中心和不同層級醫療機構，才能確保資料符合臺灣族群分布。</p> <p>但李建璋透露，往往收集這些資料的時間，還比發明AI軟體本身要長，等到收集夠了，該技術可能就落後了。因此，衛福部推動成立臨床AI取證驗證中心，預先組成醫院聯盟、跨層級準備資料，來協助醫院取證。</p> <p>在實際流程上，欲申請取證的醫院可先只食藥署小組，了解取證所需的資料量和範圍，再至臨床AI取證驗證中心，來進行臨床驗證規畫並執行。要是發現模型驗證準確度不夠高，中心會提供一部分去識別化的資料，來協助模型優化、提高準確度。之後，醫院可以發表論文、同步將結果報告遞交食藥署，供專家決定取證結果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8F%96%E8%AD%89.JPG" /></p> <p><span style="font-size:22px;"><strong>AI影響性研究中心比對AI醫材效益，供健保給付研究參考</strong></span></p> <p>AI醫材取證後，還得面對成本回收問題，而是否納入健保給付，就是一大關鍵。AI影響性研究中心就是為解決這個問題而成立，專門為已取證的AI醫材，設計實驗組和對照組的臨床實驗，比對兩者臨床效益，並將實驗數據提交給衛福部，作為後續是否納入健保給付的參考。</p> <p>這次成立的AI影響性研究中心共有4家，就流程來說，已取證（臺灣TFDA或美國FDA皆可）的醫療AI研發單位，可向健保署詢問納入給付事宜，健保署給予建議後，比如需證實有效降低病人猝死率，申請者就能到AI影響性研究中心，來請中心根據健保署建議，規畫臨床實驗並執行，同時評估成本效益和財務影響。</p> <p>之後，申請者可發表研究報告，同時提出核價建議書文件，來供健保署醫療科技評估（HTA）小組參考，衡量是否納入健保給付，以及該給付多少等事項。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BD%B1%E9%9F%BF%E6%80%A7.JPG" /></p> <p></p> </div></div></div>
2024/10/7 15:46作者王若樸https://www.ithome.com.tw/news/165364
Cloudflare平息尖峰攻擊流量高達3.8 Tbps的DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供網路安全及內容交付網路服務的Cloudflare<a href="https://blog.cloudflare.com/zh-tw/how-cloudflare-auto-mitigated-world-record-3-8-tbps-ddos-attack/" target="_blank">上周指出</a>，該公司在今年9月平息了一起每秒尖峰攻擊流量高達3.8 Tbps的分散式服務阻斷（DDoS）攻擊，締造了新紀錄。</p> <p>Cloudflare表示，這起針對該公司客戶的DDoS攻擊始於9月初，駭客鎖定第3層（網路層）及第4層（傳輸層）展開DDoS攻擊，Cloudflare的防禦系統在駭客持續展開攻擊的一個月內緩解了超過100次的超容量攻擊，許多攻擊規模每秒超過20億個封包，或者是每秒攻擊流量超過3TB，尖峰攻擊流量甚至達到每秒3.8 TB，其攻擊頻率與規模前所未見。</p> <p>此一攻擊活動鎖定的是金融服務、網路及電信業，企圖耗盡這些業者的資源與頻寬，駭客主要利用固定埠上的UDP協定，攻擊流量源自全球市場，大部分來自越南、俄羅斯、巴西、西班牙和美國。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1007-cloudflare%20ddos-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cloudflare</span></span></p> <p>其中，高封包率的攻擊主要來自MikroTik裝置、監視器與網頁伺服器，駭客利用這些受到感染的裝置，以異常巨大的流量來淹沒目標對象，而高比特率的攻擊則看似來自大量的華碩家用路由器，疑是因今年中被揭露的<a href="https://www.ithome.com.tw/news/163509" target="_blank">CVE-2024-3080</a>漏洞而遭到利用。</p> </div></div></div>
2024/10/7 14:47作者陳曉莉https://www.ithome.com.tw/news/165362
駭客偽裝成求職者散布後門程式More_eggs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近有一起惡意軟體攻擊行動相當特別，因為對方利用幾可亂真的求職者網站來引誘企業主管上當。</p> <p>資安業者趨勢科技揭露<a href="https://www.trendmicro.com/en_us/research/24/i/mdr-in-action--preventing-the-moreeggs-backdoor-from-hatching--.html">假借求職名義向企業散布JavaScript後門程式More_eggs的攻擊行動</a>，在其中一起攻擊行動裡，駭客組織FIN6鎖定正在徵求銷售工程師的企業下手，但研究人員也發現有旅館業者受害的情況。</p> <p>駭客在8月下旬以John Cboins的名義，透過Gmail向目標企業高階主管寄送釣魚郵件，值得留意的是，這封信件並未包含附件或是URL，很有可能是為了得到主管的信任，隨後，進行徵才的主管，會因為目前尚無法查出的理由，利用Chrome瀏覽器連到一個網址下載履歷檔案John Cboins.zip。</p> <p>研究人員指出，在他們調查的過程裡，這個URL連向的網站看起來就像一般求職者架設，內容包含姓名、電子郵件信箱，以及履歷檔案的下載連結，特別的是，「履歷」必須通過圖靈驗證才能下載。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MDR_More_eggs_Backdoor-Fig4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/MDR_More_eggs_Backdoor-Fig4.png" style="width: 580px;" /></a></p> <p>究竟ZIP檔的內容為何？當中包含John Cboins.lnk及6.jpeg，一旦下載履歷的人執行LNK檔，會在電腦的Windows作業系統資料夾所在位置之外，產生ieuinit.inf檔案，當中含有指令碼元件（Script Component，SCT）檔案存放位置的網址；再者，該INF檔案也會複製IE初始化公用程式ie4uinit.exe，並利用WMIC加上–basesettings參數執行。</p> <p>若下載這段SCT程式碼檔案並執行，電腦就會藉由regsvr32.exe執行惡意的動態連結程式庫檔案38804.dll，進而載入More_eggs。</p> </div></div></div>
2024/10/7 12:14作者周峻佑https://www.ithome.com.tw/news/165360
Martech雙周報第62期：Saleforce推出SDR和業務教練代理人，能與潛在客戶互動並協助業務實戰演練
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0922~1005)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI代理人 #SDR代理 #AI業務教練</span></span></strong><br /> <strong>Saleforce推出能與潛在客戶互動並協助業務實戰演練的AI代理人</strong></p> <p><a href="https://www.salesforce.com/news/stories/einstein-sales-agents-announcement/">Salesforce推出2種新型生成式AI代理人，業務開發專員（SDR）和業務教練，</a>預計於10月正式上線。這兩個AI代理人都是利用Salesfroce新推出的Low-code AI代理人建置平臺<a href="https://www.salesforce.com/ap/agentforce/">Agentforce</a>打造而成，利用RAG技術，它們會依據業務人員上傳的內部資料來生成回答及執行任務。這些資料包含產品規格、企業Q&A、過往業務案例、客戶檔案等。</p> <p>AI SDR可以操作Email或通訊軟體，來回答潛在客戶的產品問題、應對拒絕、篩選潛在客戶價值，以及替業務約談潛在客戶。業務可以調整AI SDR處理的案件類型和涉及金額。AI SDR處理到一定階段，會將相關資訊彙報給業務，由後者接手。業務可以透過儀表板來追蹤不同SDR代理人的案件處理情況、KPI等指標，來調整SDR設定或提前接手案件。</p> <p>AI業務教練則是可以模擬業務將洽談的潛在客戶，讓業務先實戰演練。業務教練會用文字轉語音功能，和業務實際問答。對談結束後，則會分析業務表現，給予建議。業務主管還能透過儀表板，來觀察底下業務與AI業務教練互動，是否能有效提升客戶開發成功率。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行動裝置廣告 #行銷成效追蹤 #隱私權沙盒</span></span></strong><br /> <strong>Appsflyer推出利用Android隱私權沙盒來追蹤行銷成效的服務，以期降低對GAID的依賴</strong></p> <p>行銷數據分析大廠AppsFlyer利用Android隱私權沙盒的Attribution Reporting API技術，打造追蹤行銷成效的新服務。目前Unity的開發平臺及廣告服務Unity Ads已經支援這項服務。</p> <p>Appsflyer解釋，他們確信Google未來會因為隱私等理由而停用追蹤個別裝置的Google廣告ID（GAID）──蘋果幾年前的ATT政策就是禁止App追蹤個別iOS裝置，造成行銷追蹤斷點。為避免歷史重演，他們才在GAID正式宣布退場前，提早擁抱Google官方推出的替代追蹤方案，來降低自家客戶對GAID依賴度。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN #追蹤標準 #實體門市廣告</span></span></strong><br /> <strong>IAB推出RMN線下廣告的建議格式和追蹤標準</strong></p> <p><a href="https://www.iab.com/guidelines/in-store-retail-media/">美國互動廣告協會（IAB）及歐洲互動廣告協會（IAB Europe）針對RMN線下廣告推出建議格式和追蹤標準。</a>這份標準包括4大要素：術語定義、格式、店鋪區域定義及衡量標準。</p> <p>術語定義是針對店內數位零售媒體元素，提供明確定義與說明。格式指店內廣告的建議格式。店鋪區域定義了店內可投放廣告的主要區域分類，如入口處、結帳區、走道。衡量標準則是追蹤及分析各種店內廣告成效的建議方針。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #AI投廣 #GoogleAds</span></span></strong><br /> <strong>Google新推出多種AI廣告投放、素材生成及成效追蹤功能</strong></p> <p><a href="https://blog.google/products/ads-commerce/google-ads-ai-features-update-september-2024/">Google宣布推出多項AI及生成式AI功能，用於廣告投放、素材生成及行銷成效追蹤。</a></p> <p>首先，協助廣告主製作搜尋廣告素材的聊天機器人，將開始支援德語、法語及西語。</p> <p>生成式AI圖片製作與編輯工具也有更新，將能用於搜尋廣告、Demand Gen廣告、App廣告和展示型廣告，過往此功能只能用於AI廣告代投服務Performance Max。此功能還新增了更多限定生成方向的選項。廣告主能提供最多五張參考圖片及一段提示文字，來一定程度限定AI生成方向。Perfomance Max的圖片製作工具中，廣告主還可以上傳自家Logo並指定AI生成素材的字體、用色，以維持廣告素材的視覺調性。圖片生成工具將新支援德語、法語、西語、葡語、荷語及義語。</p> <p>Google還新增了許多行銷成效追蹤及優化建議功能。其一是個別素材等級的轉換率追蹤功能，廣告主能看到不同素材的行銷成效，以及AI對素材的優化建議，例如「增加2行廣告標題」。Google還將Performance Max原本的廣告洞察、解釋及建議報表整合到同一個介面，來降低廣告主來回看不同報表的需求。</p> <p>其他Performance Max新功能還包括，廣告主可以比較自己和競爭品牌在廣告曝光的比例，以及排除負面關鍵字的功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI購物助理 #RMN #搜尋廣告</span></span></strong><br /> <strong>Amazon開始在自家AI購物助理Rufus植入廣告版面</strong></p> <p>在正式推出購物助理聊天機器人Rufus不久後，<a href="https://advertising.amazon.com/API/docs/en-us/release-notes/index#awareness-sponsored-ads-may-begin-appearing-in-rufus-related-placements">Amazon即宣布</a>，開始<s>將於此服務介面</s>植入廣告版面。Amazon說明，根據與顧客的對話情境，Rufus可能會展示廣告主的行銷素材，並生成相關文字描述。目前，廣告主拿到的行銷成效報表仍不會包含在Rufus曝光的廣告，Amazon也沒有特別說明在Rufus曝光是否需要收費。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#TEE #數據隱私 #第一方數據 #機密運算</span></span></strong><br /> <strong>Google Ads將預設於可信任執行環境執行受眾匹配及行銷成效追蹤</strong></p> <p><a href="https://blog.google/products/ads-commerce/google-confidential-matching-data-privacy/">Google宣布將改用可信任執行環境（TEE）作為行銷成效追蹤及受眾匹配的預設環境。</a>他們推出了一個名為機密匹配（Confidential Matchng）的機制，做法類似於數據無塵室（DCR），可以在TEE中比對廣告主第一方資料及Google廣告資料，並輸出匹配後數據，用於行銷成效追蹤或受眾圈選。過往Google Ads的受眾數據圈選功能Customer Match，也會以機密匹配機制為預設處理方法。</p> <p>這些功能和改動都會自動生效，廣告主不需額外付費，不需要調整廣告設定。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #自動化行銷 #AI代理人</span></span></strong><br /> <strong>HubSpot推出AI行銷解決方案Breeze，用生成式AI強化自動化行銷、素材生成與編輯、B2B業務和B2C客服</strong></p> <p><a href="https://www.hubspot.com/products/artificial-intelligence#below-header-breeze_wf_header_splash">CRM巨頭HubSpot推出AI行銷解決方案Breeze，用於強化行銷、素材生成與編輯、B2B業務和B2C客服。</a></p> <p>其中一個重要功能是Breeze Copilot<s>，一個</s>聊天機器人，可以用來提供行銷、業務和客服的相關建議，並自動化完成相關文書作業。</p> <p>另一個重要功能是各式AI代理人（這是一項功能？各式AI代理人是這項功能的名稱？），涵蓋內容生成、社群媒體、客戶開發及顧客服務等領域。這些代理人可以自動規畫、執行相關領域的作業，例如生成社群媒體圖文、聯絡潛在客戶、甚至是生成Podcast節目。</p> <p>其他功能還包括各式圖文創作發想及編輯、知識管理、報表生成等，超過80種用AI支援的行銷相關功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#隱私權沙盒 #行銷成效追蹤</span></span></strong><br /> <strong>隱私權沙盒的Protected Audience API迎來3項更新，用來強化行銷成效追蹤</strong></p> <p><a href="https://privacysandbox.com/news/upcoming-privacy-sandbox-developments/">Google用於追蹤瀏覽器行銷成效的隱私權沙盒系列技術之一，Protected Audience API，迎來3個更新，用以強化成效追蹤。</a></p> <p>第一是新增版面交易ID和版面ID欄位。行銷業界除了程序化廣告交易，還有特殊版面交易活動，由廣告主和版位提供商私下交易特定廣告版位。新增兩個新ID維度，是為了追蹤行銷成效時，能進一步區分一般版面和這些特殊版面。</p> <p>第二是新增點擊次數欄位，作為使用者與廣告素材互動踴躍度的指標<span style="color:#000000;">。這個欄位不會包含使用者事件等級數據，而是對廣告的點擊總次數</span>，以避免暴露過多使用者相關資訊。另外，興趣組別（Interest Group）有效期限<s>，</s>從30天延長到90天，以利購買周期較長的產業追蹤行銷成效。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://business.pinterest.com/pinterest-performance-plus/">Pinterest推出新廣告服務Performance+，包含生成式AI素材製作工具及多種程序化廣告投放選項</a></p> <p>2. 短影音巨頭<a href="https://www.tiktok.com/business/en-US/blog/introducing-search-ads-campaign?ab_version=experiment_2&agp_template_id=7400238737994547218">Tiktok推出搜尋廣告服務</a></p> <p>3. <a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-ads-image-generator-adds-aspect-ratio-capability">Amazon推出可以根據不同尺寸版型生成專屬圖片素材的AI圖片生成工具</a></p> <p>4. 臺灣Martech廠商<a href="https://www.ithome.com.tw/pr/165145">Migo Data Solutions推出針對OMO品牌的數據整合平臺，以期加速企業將數據投入到行銷的效率</a></p> <p>5. <a href="https://advertising.roku.com/solutions/advertise/ads-manager">CTV巨頭Roku推出自助式廣告投放平臺，可以一站式投放廣告到多家串流服務提供者</a></p> <p>6. <a href="https://support.google.com/google-ads/answer/2464964?hl=zh-Hant">Google將停用成本效益管理系統（eCPC），明年3月底所有eCPC將自動改為手動調整CPC投放選項</a></p> <p>7. <a href="https://blog.google/products/ads-commerce/video-action-campaigns-demand-gen-upgrade/">Google明年Q2將合併影片行動廣告（Video action campaign）到需求開發廣告（Demand Gen）格式</a></p> <p>8. <a href="https://www.salesforce.com/news/stories/industries-ai-announcement/">Salesforce針對15個產業、100個以上行銷場景</a>推出AI輔助功能</p> <p>資料來源：iThome整理，2024年10月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Salesforce</p> <p></p> </div></div></div>
2024/10/7 11:18作者郭又華https://www.ithome.com.tw/news/165343
研究人員揭露鎖定數百萬臺Linux伺服器的惡意程式Perfctl
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端資安業者Aqua Security上周<a href="https://www.aquasec.com/blog/perfctl-a-stealthy-malware-targeting-millions-of-linux-servers/" target="_blank">揭露</a>了一款專門鎖定Linux伺服器的惡意程式Perfctl，它會偵測公開伺服器上的逾2萬種錯誤配置，或者是利用應用程式RocketMQ的安全漏洞CVE-2023-33246來入侵Linux伺服器，再利用CVE-2021-4043等漏洞來提高權限，企圖長駐於系統上，藉由這些受駭設備來挖礦或是執行代理劫持軟體。</p> <p>分析顯示，當駭客成功入侵Linux伺服器之後，即可自遠端伺服器下載有效酬載，並於受駭系統上執行；接著在系統上刪除原始進程，修改用戶的環境配置文件，以在每次伺服器重新啟動後，惡意程式也能保持活躍；或是再利用其它應用程式的安全漏洞來提升權限。</p> <p>Perfctl主要被用來執行如XMRIG等加密貨幣挖礦程式，某些情況也會執行代理劫持程式；它在內部以Unix Socket通訊，外部則採用TOR，以避免遭到偵測；並以Rootkit來隱藏自己的存在，或是將自己命名為常見的系統文件名稱。</p> <p>研究人員指出，駭客至少從3年前就開始展開Perfctl惡意程式攻擊，而且鎖定的是全球的公開Linux伺服器，使用者應該監控可疑的系統行為，分析網路流量，監控檔案與進程的完整性，並應定期修補安全漏洞，限制檔案執行，關閉未使用的服務，部署嚴格的權限管理，隔離重要伺服器，以及部署運作時保護機制等。</p> </div></div></div>
2024/10/7 12:11作者陳曉莉https://www.ithome.com.tw/news/165359
Google開始釋出Android的防盜功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技記者Mishaal Rahman本周<a href="https://www.threads.net/@mishaal_rahman/post/DAubWdwNnCI?xmt=AQGzkQsNKeqEllWKjQk-DzdncqzHfLkHNnb11KOqFx9j-uQ" target="_blank">發現</a>，Google已開始向美國Android用戶釋出Android裝置的防盜功能，包括防盜鎖（Theft Detection Lock）、離線裝置鎖定（Offline Device Lock），以及遠端鎖定（Remote Lock）等。</p> <p class="rtecenter"><a href="http://www.threads.net/@mishaal_rahman/post/DAubWdwNnCI?xmt=AQGzkQsNKeqEllWKjQk-DzdncqzHfLkHNnb11KOqFx9j-uQ" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1007-android%20theft%20protection-image%20by%20Mishaal%20Rahman.jpg" style="width: 600px;" /></a></p> <p>Google是在今年5月<a href="https://blog.google/products/android/android-theft-protection/" target="_blank">發表</a>Android裝置的防盜功能，包括提高裝置重置門檻，隱藏裝置上的敏感應用程式、強化身分驗證機制、防盜鎖、離線裝置鎖定及遠端鎖定等，預計於今年陸續支援採用Android 10以上的裝置。</p> <p>其中，防盜鎖是透過Google AI 來感應是否有人從使用者手中搶走手機並試圖快速離開，如果偵測到竊盜常見的動作，就會快速鎖定螢幕。倘若小偷試圖長時間切關手機的網路，就算是在手機沒電且關機的狀態下，螢幕也會自動鎖定。</p> <p>此外，雖然Google的Find My Device已允許使用者自遠端鎖定或刪除被竊手機的資料，但若使用者一時忘記自己的Google帳號及密碼，還是能夠藉由自己的電話號碼來鎖定手機螢幕，以及利用其它設備執行安全挑戰來存取Find My Device。</p> </div></div></div>
2024/10/7 10:27作者陳曉莉https://www.ithome.com.tw/news/165357
Google搜尋正在實驗藍勾勾
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>The Verge<a href="https://www.theverge.com/2024/10/4/24261877/google-search-verified-checkmarks-experiment-feature" target="_blank">發現</a>，Google正在實驗可用來驗明正身的藍勾勾，在搜尋引擎結果中，包括Microsoft、Meta、Epic Games、Apple、Amazon及HP的官網連結旁都出現了藍勾勾，可用來確認這些網站的身分，並協助使用者過濾網釣網站。</p> <p>Google還在藍勾勾上說明，此一標記只是為了證實該企業是它所宣稱的企業，並不代為保證該企業或其產生的可靠性。而Google則向The Verge解釋，該公司是利用網站驗證、Merchant Center資料及人工審核等因素來辨別網站的真偽。</p> <p>不過，目前該服務僅為小規模部署的實驗，並不確定能否成為正式功能。</p> </div></div></div>
2024/10/7 10:42作者陳曉莉https://www.ithome.com.tw/news/165358
中國駭客入侵美國ISP業者，可能已滲透竊聽系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華爾街日報（The Wall Street Journal，WSJ）在9月下旬引述消息來源<a href="https://www.wsj.com/politics/national-security/china-cyberattack-internet-providers-260bd835?mod=article_inline" target="_blank">報導</a>，中國駭客組織Salt Typhoon已相繼入侵美國ISP業者，上周再<a href="https://www.wsj.com/tech/cybersecurity/u-s-wiretap-systems-targeted-in-china-linked-hack-327fc63b?st=4QbXPX&reflink=desktopwebshare_permalink" target="_blank">揭露</a>，美國電信業者AT&T、Verizon與Lumen皆已受駭，且駭客鎖定的可能是美國政府用來合法要求資料的竊聽系統。</p> <p>Salt Typhoon企圖於美國ISP的基礎設施中建立一個據點，以進一步滲透系統，或是發動破壞性的網路攻擊，目前認為駭客的主要目標應是為了收集情報。</p> <p>根據報導，相關攻擊是在最近幾周才被發現，美國政府或微軟等私人機構都在協助調查，亦正在研究思科系統是否遭駭。且大量滲透到美國ISP業者基礎設施的駭客，可能已經存取美國政府在取得法院授權後，可向ISP業者請求資料的系統，而且時間可能長達數月或更久。</p> <p>不過，不管是AT&T、Verizon或Lumen皆未揭露相關的駭客事件，也拒絕回應WSJ的詢問。WSJ則猜測，或許是因為此事涉及國家安全，而讓受駭的ISP業者得以保持緘默。</p> </div></div></div>
2024/10/7 09:43作者陳曉莉https://www.ithome.com.tw/news/165354
【資安週報】0930~1004，《資安法》修正條文送交立法院已一讀通過，新修訂強化分層監督與管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月初這一週的新聞，以強颱來襲前即影響全臺最受關注，但資安新聞中也有不少重要消息需要我們重視。</p> <p>臺灣資安政策發展就是主要焦點之一。隨著7月行政院將《資安法》修正草案送交立法院，現階段已通過一讀，由於這是實施超過五年來的大修法，iThome本月封面故事特別進行最新現況報導，幫助大家掌握修法重點，例如，《資安法》修訂中最受關注的議題之一，莫過於「禁用危害國家資通安全產品」的條文，其他還包括擴大稽核範圍、資安人員的適任性查核等。另一方面，對於這次修法有法律專家提出建言，指出應要打破官民分治的架構，才能更好提升整體國家的資通安全管理能力。</p> <p>在資安威脅與事件方面，有兩起事件值得大家重視，一是Rackspace遭遇資安事故並說明發生原因，是因為內部使用的第三方平臺監控系統ScienceLogic EM7存在零時差漏洞所導致，由於ScienceLogic是臺灣的飛立德科技，其後續應對與回應值得追蹤與關注；另一事有駭客利用提供AI裸照生成器DeepNude的服務，當作吸引受害者上當的手段之一。</p> <p>●雲端運算平臺Rackspace內部系統遭駭，已通知其用戶可能資訊外洩，並指出問題出在他們使用的第三方應用程式ScienceLogic。<br /> ●資安業者有資安業者發現屬於俄羅斯駭客組織FIN7的大量網域，當中所屬7個網域是利用DeepNude來吸引與誘騙受害者。<br /> ●駭客組織Storm-0501最新一波攻擊行動鎖定美國多個政府部門與製造業，微軟公開其手法聚焦破壞混合雲環境的Entra ID。<br /> ●第一商業銀行公告第e個網遭受網路DDoS攻擊事件<br /> ●樂天信用卡遭駭客攻擊未緊急應變，金管會列6大缺失、罰250萬。</p> <p>在漏洞利用方面，本星期有6個漏洞利用狀況，一是企業級協同辦公套件Zimbra Collaboration Suite（ZCS）在9月初修補的重大漏洞CVE-2024-45519，資安業者Proofpoint在10月1日示警，指出自9月28日觀察到有駭客鎖定未修補用戶的攻擊活動，另一是Ivanti5月修補Ivanti Endpoint Manager的漏洞CVE-2024-29824 ，該公司近期更新公告，確認遭利用且有限數量的客戶已成為目標。</p> <p>另外4個近期確認有攻擊行動鎖定的老舊漏洞，則包括：D-Link DIR-820路由器的漏洞（CVE-2023-25280 ）、DrayTek多款Vigor Routers的漏洞（CVE-2020-15415）、Motion Spell的GPAC軟體的漏洞（CVE-2021-4043 ），以及SAP Commerce Cloud的漏洞（CVE-2019-0344）</p> <p>在資安漏洞修補與揭露方面，本星期這方面的報導相當多，最優先要注意的是Unix通用列印系統（CUPS）一系列漏洞的修補，因為這廣泛影響Linux及Unix作業系統。此外，還有多家業者的產品安全公告發布，包括：居易、HPE Aruba、WatchGuard、Progress的WhatsUp Gold等，特別的是，在TWCERT/CC的台灣漏洞揭露平台（TVN）上，新公開了普萊德科技旗下交換器大量漏洞，而普萊德也已針對市售機種發布新版韌體修補。</p> <p>在車用資安方面的消息，更是引發不少人憂心，因為汽車大廠Kia網站被發現有漏洞可讓攻擊者駭入並控制車子，2013年以後車款都受影響，所幸知名白帽駭客Sam Curry先發現這樣的問題，Kia也已在接獲通報後於8月修補。</p> <p>其他還有雲端、BMC基版的漏洞消息，需要不同產業的關切。例如，Nvidia Container Toolkit的漏洞（CVE-2024-0132）修補，由於全球有3成雲端環境都安裝有該函式庫，研究人員呼籲儘速因應；另一是7月Supermicro修補了由Nvidia通報的BMC重大漏洞（CVE-2024-36435），9月底資安業者Binarly揭露更多研究發現，強調這是今年最嚴重的BMC漏洞。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/165259"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月30日】Unix與Linux普遍內建的列印系統CUPS存在重大漏洞</span></strong></a></h3> <p>最近幾天有許多漏洞相關的消息揭露，其中有一起引起資安圈的高度關注，原因是透露此事的研究人員指出，漏洞的CVSS風險評分達到了9.9，而且，這樣的漏洞存在於Unix與Linux普遍內建的列印系統CUPS當中，可能有數十萬臺設備曝險。</p> <p>這樣的情況，一度有人認為可能會造成類似Log4Shell的危機，而使得資安圈不敢掉以輕心。</p> <h3><a href="https://www.ithome.com.tw/news/165282"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月1日】駭客組織Storm-0501將攻擊範圍延伸到雲端環境</span></strong></a></h3> <p>為了讓攻擊行動帶來更大的危害，不少駭客將範圍從受害組織的內部網路環境，延伸到雲端環境。最近微軟揭露駭客組織Storm-0501的攻擊行動，就是典型的例子。</p> <p>研究人員特別提及這些駭客作案手法與過往最大的不同之處，在於他們對雲端身分管理服務Entra ID、Entra Connect等元件進行滲透，得逞後於雲端環境植入後門程式，以便存取受害組織的內部網路環境。</p> <p><a href="https://www.ithome.com.tw/news/164966"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月4日】駭客假借提供AI脫衣程式為誘餌，企圖散布惡意軟體</span></strong></a></p> <p>生成式AI應用越來越廣泛，其中部分存在道德及法律爭議，而最常見的一種便是所謂的脫衣程式。</p> <p>如今有駭客假借提供這種非法工具的名義，引誘使用者上當，他們架設釣魚網站展示效果，並誘惑使用者下載「應用程式」，一旦依照指示下載、安裝，電腦就會被植入惡意軟體。</p> </div></div></div>
2024/10/7 09:50作者羅正漢https://www.ithome.com.tw/news/165355
曾開源Radius的微軟部門，開源變更資料處理技術Drasi
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟Azure Incubation部門上周<a href="https://azure.microsoft.com/en-us/blog/drasi-microsofts-newest-open-source-project-simplifies-change-detection-and-reaction-in-complex-systems/" target="_blank">開源新資料處理Drasi專案</a>，提供開發及網管人員簡化複雜IT基礎架構中關鍵事件偵測，以便採取立即因應行動。</p> <p>Azure Incubation業務部除了Drasi，也負責RADIUS（Remote Authentication Dial in User Service）驗證標準輕量協定的<a href="https://techcommunity.microsoft.com/t5/educator-developer-blog/introducing-radius-a-new-open-source-project-for-teams-building/ba-p/3976183" target="_blank">開源計畫</a>。該組織另外還推動了<a href="https://dapr.io" target="_blank">Dapr</a>、<a href="https://keda.sh" target="_blank">KEDA</a>，現在都捐給了雲端原生運算基金會（Cloud Native Computing Foundation，CNCF）。</p> <p>微軟說明，事件驅動系統雖然能提供即時回應，以及有效解耦（decoupling）服務，但做起來並不容易，因為在真實應用上，事件的頻率和複雜性都提升，要偵測跨不同元件的事件變更變得棘手。此外，這些資料存在互不相通的系統，格式也各異，還要考慮網路延遲性、網路壅塞造成事件處理延遲。</p> <p>現行開發人員苦於建立事件處理機制，因為現有函式庫和服務鮮少提供端到端的統一框架可支援變更偵測和回應。他們往往必須很辛苦地把多項工具拼湊起來，整個系統架構變得複雜，難以維護和擴充。現有產品使用輪詢（polling）和查詢（query）工具效率不高，導致系統效能瓶頸或耗資源，另外，許多變更偵測工具欠缺即時執行能力，而是仰賴批次處理、資料定序（data collation），要不然就得延後分析。</p> <p>Drasi能自動化複雜系統中的反應，提供即時建議資訊，又不需傳統方法的資料處理作業。它採取輕量級設計，追蹤log和變更feed中的系統變更，而不是把資料複製一份到集中化資料湖，或是重複查詢多個資料源。微軟說明，Drasi使用持續查詢（Continuous Queries）方法，查詢指令是以Cypher Query Language寫成，能從多個來源整合資料，而不用預先定序作業，它追蹤的資料包括log、資料庫更新、系統量測值。完成變更後，Drasi即登記自動化反應，像是傳送警示、告知其他系統、或執行修正步驟，這些都可視用戶管理需求自訂。</p> <p>Drasi上周公開於<a href="https://github.com/drasi-project" target="_blank">GitHub</a>。Drasi元件（Sources、Reactions）預設支援PostgreSQL、Microsoft Dataverse、Azure Event Grid，但用戶也可整合想要的資料源。</p> </div></div></div>
2024/10/7 06:00作者林妍溱https://www.ithome.com.tw/news/165351
蘋果公布AI模型Depth Pro，不到1秒就能將2D圖片轉為3D圖片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://arxiv.org/pdf/2410.02073" target="_blank">蘋果上周展示</a>最新視覺模型名為Depth Pro，能在不使用相機影像情況下，將2D圖片轉化成3D圖。</p> <p>Depth Pro是一種零樣本單眼深度估計（monocular depth estimation）的基礎模型，能為高解析度深度圖加入細節銳利度，成為高品質3D圖像。使用單眼深度估計技術的好處是可以應用於任何類型圖片，且可零樣本訓練出具有可量測的深度，因而能準確重製物件形狀、場景布局，用在地圖上，則可重製具有絕對尺度值的深度圖（depth map），而且不需提供相機內部參數metadata（像是焦距）給模型。簡而言之，這種AI模型預測方法不需要感測器數據即可準確預測，也可用任何單一圖片來合成想要的圖片。</p> <p>在研究方法上，研究團隊使用了2個視覺Transformer（vision transformer，ViT）模型，包括一個影像補片編碼器（patch encoder）和一個影像編碼器（image encoder），前者負責將圖片切成小補片，完成特徵提取、推論圖片像素的深度，後者以上下文（context）訊息提升深度估計的準確性。模型完成後的後處理方面，團隊以真實和合成資料集來提升量測準確性以及物件邊界跟蹤（boundary tracing）能力，輔以另一個影像編碼器模型提供的焦距估計，藉此優化3D圖片生成結果。</p> <p>在邊界準確度測試上，Depth Pro超過所有現有模型，像是Marigold和PatchFusion。該模型另一優點是速度快，在實測中可以在一臺使用一顆Nvidia V100 GPU上0.3秒內生成2.25-megapixel的深度圖。</p> <p class="rtecenter"><a href="https://arxiv.org/abs/2410.02073" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1007-Apple-Depth%20Pro%20model-2.png" style="width: 570px;" /></a></p> <p><a href="https://arxiv.org/abs/2410.02073" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源／arXiv:2410.02073 [cs.CV]</span></span></a></p> <p>連同論文，蘋果並將Depth Pro模型程式碼和加權值等公布在<a href="https://github.com/apple/ml-depth-pro" target="_blank">GitHub</a>上。</p> </div></div></div>
2024/10/7 06:00作者林妍溱https://www.ithome.com.tw/news/165352
網傳PChome疑似資料庫外洩，網路家庭澄清並無此事，研判用戶帳號盜用可能遭撞庫攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今日下午有網友聲稱知名電商平臺PChome疑似備份的資料庫外洩，高儲值帳號遭鎖定被盜，這項消息引發眾多用戶的關注，並在多個社群平臺轉發此則訊息，想要了解是否真有如此狀況。網路家庭表示，此為不實謠言，並無資料庫外洩的情事，至於用戶帳號遭不明登入的情形，研判有不肖人士利用其他網站外流的用戶帳號密碼，嘗試登入PChome24購物網站。</p> <p>這項網路消息，是有網友在電子布告欄批踢踢實業坊（PTT）的省錢版上發布，標題是「疑似PCHOME資料庫外洩鎖定高儲值帳號被盜」，發布於下午1點26分，文章內容提及該網友自身、友人與家人的帳號被盜狀況，並推測PCHOME流出的資料不是目前最新的資料，而是幾個月前的資料庫，也許是備份的資料庫。由於該網友以自身經歷描述事件，加上一些民眾在Meta等平臺轉貼與詢問，引起廣泛關注。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-05_182315.jpg" style="width: 600px;" /></p> <p>我們在下午近6時詢問網路家庭，該公司駁斥此為不實謠言，鄭重澄清絕無資料庫外洩之情事，也說明帳號盜用相關事件的狀況。</p> <p>網路家庭表示，PChome 24h購物系統內並無儲存用戶的密碼，關於網路貼文提及用戶帳號遭不明登入的情形，經查後他們研判應為不肖人士在其他網站取得用戶email及密碼後，再利用這些密碼於PChome 24h購物網站來嘗試登入。</p> <p>根據該公司的說明，這應是所謂的帳號填充攻擊（Credential Stuffing）手法，也就是俗稱的撞庫攻擊手法，駭客利用已遭駭網站所取得的帳號與密碼，嘗試在另一個網站上登入，藉此取得帳號的控制權。當用戶在多個網站皆使用相同密碼，攻擊者就能乘機駭入使用者帳號。</p> <p>對於有用戶帳號遭盜用的狀況，網路家庭表示，已在第一時間全面清查，針對疑似受影響的帳號進行強制登出，並通知用戶修改密碼，同時也建議用戶，應盡可能在不同的網站間、使用不同的密碼。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-05_191114.jpg" style="width: 600px;" /></p> <p>此外，我們在網路查詢PChome帳號問題的文章時，發現在PTT省錢版上，上述文章發表的兩小時前，還有另一篇文章的標題是「請益這則pchome盜用帳號的消息是真的嗎」，但此篇文章在下午6時前已經刪文。不過，外界仍可透過網頁版<a href="http://www.pttweb.cc">www.pttweb.cc</a>上的記錄，發現該文章的內容是詢問pchome盜用帳號的消息是否為真？並附上一張看起來是LINE群組的截圖。</p> <p>值得關注的是，上述兩篇網路文章可能都是同一人張貼，雖然兩篇文章在PTT上顯示的IP位址不同，但因為都選擇在省錢版上發文，而不是在其他看板，加上發文時間相近，容易讓人產生聯想。</p> </div></div></div>
2024/10/5 19:34作者羅正漢https://www.ithome.com.tw/news/165347
挑戰OpenAI Sora，Meta影片生成AI模型Movie Gen明年登上IG
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta上周預告最新AI影片生成模型<a href="https://ai.meta.com/research/movie-gen/" target="_blank">Meta Movie Gen家族</a>，可生成高品質的圖片和影片、音效或配樂，效能優於包括OpenAI Sora等競爭對手。新模型工具預計明年登上IG。</p> <p>Meta執行長祖克柏（Mark Zuckerberg）透過<a href="https://www.instagram.com/reel/DAs_J17Pw0G/" target="_blank">Threads公布</a>可生成和編輯影片的Movie Gen AI模型，預告2025年將登上Instagram（IG）。祖克柏還展示了Movie Gen將他健身用的腿推機變化成羅馬時期、農村、工業機械及太空科技風格的器械，其中羅馬時期影片的他還換上了羅馬武士服裝。</p> <p class="rtecenter"><a href="http://www.instagram.com/reel/DAs_J17Pw0G/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-Movie%20Gen%20Video-3.png" style="width: 600px;" /></a></p> <p>目前Movie Gen還在開發中，在官方部落格中，<a href="https://ai.meta.com/blog/movie-gen-media-foundation-models-generative-ai-video/" target="_blank">Meta稱它是</a>其AI媒體研究的重大突破，具備多模態能力，包括圖片、影像和聲音，讓開發人員輸入文字提示即可產生自製影片和音訊、編輯現有影片，或是將圖片轉化為影片。<a href="https://ai.meta.com/blog/movie-gen-media-foundation-models-generative-ai-video/" target="_blank">Meta聲稱</a>Movie Gen效能品質在許多任務上已超越業界類似模型，包括Open AI Sora。</p> <p>Movie Gen為Meta最新一代AI影片生成工具。第一代是2022年公布能產製影音、圖片和3D動畫的<a href="https://www.ithome.com.tw/news/153373" target="_blank">Make-A-Scene</a>，第二代是基於擴散模型的<a href="https://ai.meta.com/research/publications/emu-enhancing-image-generation-models-using-photogenic-needles-in-a-haystack/" target="_blank">Llama Image基礎模型</a>，後者提供更高影音品質及圖片編輯功能。Movie Gen屬於第三代，融合所有模態，允許使用者更大的影片控制能力。。</p> <p>Movie Gen是以經授權或公開可用的資料集，所訓練而成的300億參數Transformer模型。它是一組具備引人入勝說故事能力的模型，具備4種模型版本，包括影片生成、個人化影片生成、精準影片編輯及聲音生成版本。</p> <p>Movie Gen基礎模型具備物體動作、主題和物件互動、以及相機運動的理解能力，還能學習多種概念的動作，例如它能生成特寫、廣角、空照、低角度、第一人視角的影片，而且克服了生成影片常出現的物件扭曲／模糊、動作不自然、或罕見動作不完整（如貓熊彈鋼琴）。在影片功能上，Movie Gen能產出16 fps的高畫質16秒影片。在基礎版Movie Gen之外，Meta也提供允許以文字或影片控制、微調生成結果的版本。</p> <p>此外並有可影片精準編輯版本，讓用戶以文字或影片提示精準控制想要的效果。這個版本讓用戶在生成的影片增加、移除或取代部份元素，或是變更背景及修改風格。Meta並強調，不同於別家工具，這項新工具不但具備更精準控制、不需要專業背景，它生成過程會保留原始內容，而只針對相關像素施以變更。</p> <p>Movie Gen還有一個130億參數的聲音生成模型版本，可接收影片或文字提示，生成最長45秒和影片同步的音訊，包括環境音、音效，或是樂器背景音樂。Meta還提供音訊延長工具，可生成任意長度的影片所需的聲音，並兼顧聲音品質、影音同步、文字聲音同步的效果需求。</p> <p>Meta<a href="https://ai.meta.com/static-resource/movie-gen-research-paper" target="_blank">論文提供</a>的A/B人為評估測試，比較Movie Gen和市面模型，包括Runway Gen3、OpenAI Sora、Kling 1.5、PikaLabs Sound的整體Net Win Rate，其中在影片生成效果方面，Meta的模型和Kling差不多，優於OpenAI Sora，並大勝Runway Gen 3，其他三項能力則大勝對手模型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-Movie%20Gen%20Video.png" style="width: 600px;" /></p> <p>而和前代模型一樣，Movie Gen也將成為Meta未來多項新服務的底層引擎。除了IG，Meta預告，新模型未來也會整合在其他平臺產品中，包括提供以文字提示生成短影片Reels、或是生成祝福以WhatsApp傳送等。</p> </div></div></div>
2024/10/5 20:22作者林妍溱https://www.ithome.com.tw/news/165349
OpenAI高層動盪持續，Sora模型共同領導人之一跳槽Google DeepMind
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI再傳高層人士出走，短影片AI生成服務Sora的共同領導人Tim Brooks將跳槽Google AI部門DeepMind。</p> <p><a href="https://x.com/_tim_brooks/status/1841982327431561528" target="_blank">Brooks上周透過X宣布</a>自己將加入Google DeepMind部門發展影片生成和「模擬世界的工具」。他除了對即將和一群菁英團隊合作感到興奮，也對同事二年的OpenAI表達感謝。</p> <p>Brooks和William Peebles共同領導的部門今年2月公布的<a href="https://www.ithome.com.tw/news/161312" target="_blank">Sora</a>，能依據用戶輸入的文字提示，生成最長1分鐘的高畫質影片。Sora生成影片的高品質與影片編排、場景、人物表情的專業性，震驚影音內容產業包括攝影師、視覺設計、好萊塢從業人員，擔心自己將在AI競爭下飯碗不保。</p> <p>另一方面，Brooks也是OpenAI最新出走的高層主管。今年以來，已有OpenAI共同創辦人<a href="https://www.ithome.com.tw/news/164311" target="_blank">John Schulman</a>、共同創辦人<a href="https://www.ithome.com.tw/news/162887" target="_blank">Ilya Sutskever</a>、技術長<a href="https://www.ithome.com.tw/news/165197" target="_blank">Mira Murati</a>、研究長Bob McGrew等高階主管出走，加入競爭對手或自立門戶。他們公開出走的理由是OpenAI已經從非營利機構或研究單位變成一家追逐商業利益的公司，且不再重視AI安全性。近來市場盛傳OpenAI打算將核心業務重組成一家營利性的公司，欲擺脫董事會的控管。</p> <p>上周OpenAI<a href="https://www.ithome.com.tw/news/165304" target="_blank">宣布</a>已完成66億美元的增資活動，此次增資讓該公司的市值達到1,570億美元。</p> </div></div></div>
2024/10/5 20:50作者林妍溱https://www.ithome.com.tw/news/165350