iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 07:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】10月28日，上周四勒索軟體RansomHub聲稱攻擊臺灣被動元件製造廠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去一週以來，有5家上市櫃公司發布資安重大訊息，證實遭遇資安事故，其中一起被動元件製造商華新科技公告的網路攻擊事件，有資安業者透露很有可能是勒索軟體攻擊。</p> <p>值得留意的是，勒索軟體駭客組織RansomHub對臺灣企業下手的情況並非首例，今年6月，這些駭客聲稱從老牌筆電廠藍天電腦竊得200 GB內部資料。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165723"><strong style="font-size: 22px;">被動元件製造商華新科技上週公布遭駭重訊，勒索軟體RansomHub聲稱是他們發動攻擊所致</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/messageImage_1729849094638.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/messageImage_1729849094638.jpg" style="width: 300px; float: right;" /></a></p> <p>10月23日下午被動元件製造商華新科技在股市公開觀測站指出，他們有部分資訊系統遭遇網路攻擊，在察覺事故的當下立即啟動相關防禦機制因應。如今有研究人員指出，攻擊者很有可能是勒索軟體駭客組織RansomHub。</p> <p>臺灣資安業者竣盟科技25日發布部落格文章，揭露勒索軟體駭客組織RansomHub聲稱成功入侵臺灣上市被動元件大廠，該公司年營收接近30億美元，駭客竊得多達150 GB資料，內容涵蓋相關技術、有關協定、簽章資料，要脅這家公司在10月31日前支付贖金，否則將會公布竊得資料。</p> <p>另一個提到這次攻擊事故的消息來源，是網路威脅情報分析公司HackManac，10月24日他們也在社群網站X貼文揭露此事，而且直接點名苦主是Walsin Technology Corporation，也就是華新科技的英文名稱。</p> <p><a href="https://www.ithome.com.tw/news/165715"><strong style="font-size: 22px;">美國醫療服務供應商UnitedHealth坦承1億用戶資料遭竊</strong></a></p> <p>今年2月美國醫療服務供應商Change Healthcare遭到勒索軟體BlackCat攻擊，母公司UnitedHealth Group因為這起資安事故，在今年第3季財報認列超過20億美元損失，根據近日美國衛生及公共服務部（HHS）的公開資料顯示，Change Healthcare通報遭到外洩的用戶資料高達1億筆，成為美國醫療領域最嚴重的資料外洩事件。</p> <p>值得留意的是，UnitedHealth今年4月公布的第1季財報時，編列8.72億美元因應網路攻擊的成本，其中有5.93億美元屬於直接回應攻擊成本，另外的2.79億美元則是業務損失，並估計總成本將超過10億美元；而在UnitedHealth今年第3季的財報中，列出了該攻擊對該公司今年前9個月的影響，相關成本累計已超過24.5億美元。</p> <p><a href="https://www.ithome.com.tw/news/165706"><strong style="font-size: 22px;">因CrowdStrike大當機停擺多日，達美航空正式提告並求償5億美元</strong></a></p> <p>7月間資安廠商CrowdStrike更新軟體元件導致全球數百萬臺電腦大當機，受累的達美航空（Delta Airlines）上周正式提告，要求至少5億美元的賠償。</p> <p>根據路透社等多家媒體報導，達美航空向喬治亞州富爾頓（Fulton）郡高等法院提告，指CrowdStrike強迫將未測試的錯誤更新部署給客戶，導致850萬臺Windows電腦當機，引發災難性後果，要求賠償5億美元損失，以及利潤、律師費、商譽，以及未來營收的損失。</p> <p>對此CrowdStrike回應，達美航空說法是基於沒有根據的錯誤資訊，顯示不理解現代化網路安全運作方式，反映其推卸未能現代化老舊系統的責任。該公司宣稱，只要刪除更新的CrowdStrike檔案並重開機，就能排除問題。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=170029&SPOKE_DATE=20241025&COMPANY_ID=2208"><strong style="font-size: 22px;">大型造船廠台船郵件系統遭受攻擊</strong></a></p> <p>上週美利達、豐祥、華新科技，以及正新代加拿大子公司等多家上市櫃公司於股市公開觀測站發布重大訊息，週五（10月25日）傍晚大型造船廠台船發布重大訊息，表示他們發現部分郵件系統的使用者帳號遭到攻擊的情況。</p> <p>針對這起事故的後續處理，該公司表示資安單位立即啟動資安防禦機制，並執行使用者帳密修改作業，他們初步評估這起事故對公司營運無重大影響。值得留意的是，這是上週第2起郵件系統帳號遭到攻擊而登上重訊版面的資安事故，算是過往相當罕見的情況。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=180929&SPOKE_DATE=20241028&COMPANY_ID=1447"><strong style="font-size: 22px;">紡織業者力鵬傳出遭遇勒索軟體攻擊</strong></a></p> <p>今日（28日）晚間紡織業者力鵬發布重大訊息，證實他們楊梅廠的部分主機於早上遭遇檔案加密攻擊，而且，本地備份資料也不幸被刪除，他們正從異地的備援資料進行還原作業。</p> <p>針對這起勒索軟體攻擊事故可能會造成的損失或是影響，該公司目前評估對於公司的營運沒有重大影響，並表示他們後續將會持繽強化網路及資訊基礎架構的安全管控。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/notorious-hacker-group-teamtnt-launches.html">駭客組織TeamTNT鎖定雲端環境發動攻擊，將受害主機租給他人牟利</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/new-qilinb-ransomware-variant-emerges.html">勒索軟體Qilin出現變種，攻擊者採用更為複雜的方法埋藏加密金鑰</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cybereason.com/blog/threat-analysis-beast-ransomware">勒索軟體Beast鎖定Windows、NAS、VMware ESXi而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/black-basta-ransomware-poses-as-it-support-on-microsoft-teams-to-breach-networks/">勒索軟體Black Basta透過微軟Teams進行社交工程攻擊</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165721"><strong style="font-size: 22px;">新型態降級攻擊可讓攻擊者植入惡意核心驅動程式、Rootkit</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TXRZwIefiJ.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/TXRZwIefiJ.png" style="width: 300px; float: right;" /></a>今年8月資安業者SafeBreach在Black Hat USA 2024、DEF CON 32兩場大型資安會議上，揭露Windows Downdate降級攻擊，攻擊者可藉由視窗作業系統的弱點，對於重要元件進行降級，從而曝露原本已經修補完成的漏洞，其中一個藉由降級攻擊引發的弱點是CVE-2024-21302（CVSS風險評為6.7），微軟獲報後也在同月發布修補程式，如今研究人員公布更多細節，並提及一種新的降級攻擊手法。</p> <p>研究人員提及，雖然微軟對CVE-2024-21302發布了修補程式，但他們發現，微軟目前只處理已跨越安全邊界的部分，而對於能夠接管自動更新機制Microsoft Update的部分，由於這項弱點涉及以管理員身分執行核心程式碼，微軟不認為此舉跨越安全邊界而未處理，但實際上，仍有可能遭人濫用。</p> <p>他們發現，攻擊者若是能利用接管Microsoft Update的弱點，就有機會繞過驅動程式強制簽章（DSE）的系統核心防護機制，進而載入尚未簽章的驅動程式，並部署rootkit惡意程式，甚至能隱藏特定處理程序、網路活動、破壞作業系統的安全管控機制。研究人員將這種攻擊手法命名為ItsNotASecurityBoundary，並在完整套用所有更新的Windows 11 23H2作業系統上，展示如何用來發動降級攻擊。</p> <p><a href="https://www.ithome.com.tw/news/165714"><strong style="font-size: 22px;">Amazon修補Cloud Development Kit帳戶接管漏洞</strong></a></p> <p>資安業者Aqua揭露基礎設施即程式碼（Infrastructure as Code，IaC）開發框架AWS Cloud Development Kit（AWS CDK）的安全漏洞，此漏洞可能允許駭客接管CDK用戶帳戶，AWS收到Aqua通知之後，已於今年10月將其修補，估計約有1%的CDK用戶受到影響。</p> <p>這項漏洞發生的原因，是開發人員使用AWS CDK之前，必須先初始化其環境，過程裡AWS CDK會建立臨時S3儲存桶來存放部署資產，該儲存桶的命名是唯一的、與使用者帳戶有關，而且是可預測的。因此，駭客只要知道目標對象的帳號ID，就有機會替CDK建立暫存的S3儲存桶，進行竄改使用者上傳的範本，並得到該帳號的完整控制權。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/over-70-zero-day-flaws-get-hackers-1-million-at-pwn2own-ireland/">漏洞挖掘競賽Pwn2Own Ireland 2024找出逾70個零時差漏洞</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165697"><strong>【10月25日】Fortinet零時差漏洞4個月前就遭駭客組織UNC5820利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165683"><strong>【10月24日】FortiManager零時差漏洞已被用於實際攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165652"><strong>【10月23日】中國駭客組織IcePeony對亞洲國家網頁伺服器發動SQL注入攻擊</strong></a></p> </div></div></div>
2024/10/28 17:25作者周峻佑https://www.ithome.com.tw/news/165725
被動元件製造商華新科技上週公布遭駭重訊，勒索軟體RansomHub聲稱是他們發動攻擊所致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月23日下午被動元件製造商華新科技在股市公開觀測站指出，<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=142357&SPOKE_DATE=20241023&COMPANY_ID=2492">他們有部分資訊系統遭遇網路攻擊</a>，在察覺事故的當下立即啟動相關防禦機制因應。如今有研究人員指出，攻擊者很有可能是勒索軟體駭客組織RansomHub。</p> <p>臺灣資安業者竣盟科技指出，<a href="https://blog.billows.com.tw/?p=3389">勒索軟體駭客組織RansomHub聲稱</a>，他們成功入侵臺灣上市被動元件大廠，該公司年營收接近30億美元，駭客竊得多達150 GB資料，內容涵蓋相關技術、有關協定、簽章資料，要脅這家公司在10月31日前支付贖金，否則將會公布竊得資料。</p> <p>而對於遭到攻擊的公司，駭客指出擁有超過30個生產基地，旗下有完整的產品線，提供多樣性的電子產品類型及服務，其交付平臺遍布全球。</p> <p>雖然竣盟並未提及受害公司名稱，但他們提及該公司於10月23日發布重大訊息，證實有資訊系統遭受網路攻擊的情況，而當天僅有華新科技發布這類重大訊息，因此RansomHub指的顯然就是華新科技。竣盟也公布入侵指標（IoC），供IT人員偵測相關相關威脅。</p> <p>值得留意的是，RansomHub並非首度對於臺灣企業下手，今年6月，<a href="https://www.ithome.com.tw/news/163347">老牌筆電廠藍天電腦傳出遭駭</a>，該組織聲稱竊得逾200 GB資料。</p> </div></div></div>
2024/10/28 17:11作者周峻佑https://www.ithome.com.tw/news/165723
新型態降級攻擊可讓攻擊者植入惡意核心驅動程式、Rootkit
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年8月資安業者SafeBreach在Black Hat USA 2024、DEF CON 32兩場大型資安會議上，揭露<a href="https://www.ithome.com.tw/news/164368">Windows Downdate降級攻擊</a>，攻擊者可藉由視窗作業系統的弱點，對於重要元件進行降級，從而曝露原本已經修補完成的漏洞，其中一個藉由降級攻擊引發的弱點是CVE-2024-21302（CVSS風險評為6.7），微軟獲報後也在同月發布修補程式，<a href="https://www.safebreach.com/blog/update-on-windows-downdate-downgrade-attacks/">如今研究人員公布更多細節</a>，並提及一種新的降級攻擊手法。</p> <p>研究人員提及，雖然微軟對CVE-2024-21302發布了修補程式，但他們發現，微軟目前只處理已跨越安全邊界的部分，而對於能夠接管自動更新機制Microsoft Update的部分，由於這項弱點涉及以管理員身分執行核心程式碼，微軟不認為此舉跨越安全邊界而未處理，但實際上，仍有可能遭人濫用。</p> <p>他們發現，攻擊者若是能利用接管Microsoft Update的弱點，就有機會繞過驅動程式強制簽章（DSE）的系統核心防護機制，進而載入尚未簽章的驅動程式，並部署rootkit惡意程式，甚至能隱藏特定處理程序、網路活動、破壞作業系統的安全管控機制。研究人員將這種攻擊手法命名為ItsNotASecurityBoundary，並在完整套用所有更新的Windows 11 23H2作業系統上，展示如何用來發動降級攻擊，</p> <p>針對於這項繞過DSE的攻擊手法，研究人員解釋這是涉及<a href="https://www.elastic.co/security-labs/false-file-immutability">「檔案假性不變（False File Immutability，FFI）」</a>的新型態漏洞，此類弱點源自於檔案理應不會被變更的錯誤假設。</p> <p>他們進一步舉例說明。照理來說，封鎖寫入的存取共享機制將使得檔案不會被受到變更，但若是攻擊者藉由清理系統運作環境，並在檔案於記憶體存取的過程當中，觸發記憶體分頁錯誤，就有機會導致檔案重新讀取甚至是更改。</p> <p>這種雙重讀取的狀況，本質上，也涉及從檢查時間到使用時間（ Time-of-Check to Time-of-Use，TOCTOU）的競爭，攻擊者有機會藉此置換成未經簽章的惡意版本核心驅動程式，當作業系統處理驅動程式列表的過程裡，便會將該驅動程式的驗證碼視為有效並允許載入，從而達成ItsNotASecurityBoundary攻擊。</p> </div></div></div>
2024/10/28 16:20作者周峻佑https://www.ithome.com.tw/news/165721
Waymo完成56億美元的C輪增資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自駕車業者Waymo上周五（10/25）<a href="https://waymo.com/blog/2024/10/investing-to-bring-the-waymo-driver-to-more-riders/" target="_blank">宣布</a>，已完成由母公司Alphabet領投的C輪增資，募得了56億美元的款項。</p> <p>現階段Waymo旗下約有超過700輛自駕車，搭載該公司所開發的Waymo Driver駕駛技術，在舊金山、洛杉磯、鳳凰城和奧斯汀等城市提供Waymo One無人計程車服務。<a href="https://www.ithome.com.tw/news/164599" target="_blank">今年8月</a>，Waymo One每周的付費旅程次數已超過10萬次，是去年的10倍。此外，Waymo也與Uber簽署了合作協議，包括Uber用戶可透過Uber平臺呼叫Waymo車輛，以及將Waymo Driver自動駕駛技術整合到Uber的貨物運輸服務上。</p> <p>Waymo表示，新資金將用來拓展舊金山、鳳凰城和洛杉磯的Waymo One叫車服務，以及在奧斯汀及亞特蘭大擴大與Uber的合作；另也將用來繼續開發Waymo Driver，以於未來支援各種不同的商業應用。</p> <p>此次的增資都來自Waymo的原始股東，除了Alphabet之外，還包括Andreessen Horowitz、Fidelity、Perry Creek、Silver Lake、Tiger Global及Rowe Price。</p> <p>Waymo為美國無人駕駛計程車的領頭羊，其競爭對手還包括通用汽車（GM）旗下的Cruise，Cruise目前正在舊金山與鳳凰城等地經營無人駕駛計程車服務，且擁有1,000臺車輛，以及由現代汽車（ Hyundai Motor）與Aptiv合資的Motional，Motional主要以現代的IONIQ電動車來提供無人駕駛計程車服務，目前主要據點為拉斯維加斯與波士頓。</p> </div></div></div>
2024/10/28 15:03作者陳曉莉https://www.ithome.com.tw/news/165716
1U提供320核心，HPE既有伺服器支援AMD第五代EPYC
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_proliant_dl365_gen11_main_0.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年10月10日<a href="https://www.ithome.com.tw/news/165430">AMD發表第五代EPYC伺服器處理器平臺（9005系列，代號Turin）</a>，可提供8至192核心、熱設計功耗為125瓦至500瓦的款式，多家廠商也發布消息，強調既有伺服器可搭配這系列CPU，或為此推出新款伺服器。</p> <p>以HPE為例，他們的產品策略屬於前者，現行ProLiant Gen11世代的2U2路機型DL385、1U2路機型DL365、1U單路機型DL325，均在10月10日發布技術規格更新，明確列出處理器均可採用AMD EPYC 9004系列（最高搭配128核心、熱設計功耗360瓦的EPYC 9754），或是最新推出的AMD EPYC 9005系列（最高搭配160核心、熱設計功耗390瓦的EPYC 9845）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20ProLiant%20Gen11-AMD.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/DL365 Gen11 support AMD EPYC CPU models.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DL365%20Gen11%20support%20AMD%20EPYC%20CPU%20models.png" style="width: 318px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/DL365 Gen11-image (7).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DL365%20Gen11-image%20(7).jpg" style="width: 238px;" /></a></p> <p>若以兼具高運算密度與高儲存密度應用需求而言，DL365 Gen11憑藉1U尺寸機箱的有限空間，最多可提供320顆核心（2個插槽）、6 TB容量的DDR5記憶體（24個插槽）、20臺EDSFF E3.S外形NVMe固態硬碟，以及2個PCIe 5.0 x16介面卡插槽（2個全高全長，或2個全高半長加上1個短版）與2個x16的OCP 3.0插槽。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DLGen11-GPU%20Support.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DLGen11-PCIe%20expansion.jpg" style="width: 600px;" /></p> <p>值得注意的是，HPE ProLiant DL365 Gen11的記憶體、儲存、GPU組態提供多種搭配選擇。</p> <p>若採用2.5吋硬碟儲存槽，預設容納8臺SATA/SAS傳統硬碟或SATA/SAS/NVMe固態硬碟，選配1臺光碟燒錄機，或2臺SATA/SAS傳統硬碟或SATA/SAS/NVMe固態硬碟，伺服器的記憶體插槽24個都能使用；若採用E3.S固態硬碟儲存槽，伺服器的記憶體插槽能用到16個；若採用GPU，能在機箱前緣安裝2張單寬或雙寬尺寸的GPU加速卡，搭配4臺2.5吋或8臺E3.S外形的NVMe固態硬碟，伺服器的記憶體插槽能用到20個。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DL365 Gen11-storage1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DL365%20Gen11-storage1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/DL365 Gen11-storage2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DL365%20Gen11-storage2.jpg" style="width: 600px;" /></a></p> <p>對比其他以既有產品支援AMD EPYC 9005系列的伺服器廠商，若同為1U2路配置，大多都提供類似組態，例如，提供320顆核心（2個插槽）、6 TB容量的DDR5記憶體（24個插槽）。</p> <p>像是：<a href="https://www.supermicro.com/en/products/system/hyper/1u/as -1125hs-tnr?utm=smclpp">Supermicro H13世代的AS-1125HS-TNR</a>，最多同樣提供320顆核心（2個插槽）、6 TB的4800 MT/s或9 TB的6000 MT/s DDR5記憶體（24個插槽）、12臺2.5吋SATA/SAS/NVMe硬碟或固態硬碟，以及3個PCIe 5.0 x16介面卡插槽（1個全高半長、2個全高全長）與1個x16的AIOM插槽（相容OCP 3.0）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AS_20-1125HS-TNR_main.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AS_20-1125HS-TNR_main.jpg" style="width: 600px;" /></a></p> <p>聯想ThinkSystem V3支援AMD第四代與第五代EPYC處理器的機型當中，採用1U2路配置<a href="https://lenovopress.lenovo.com/lp1607-thinksystem-sr645-v3-server">ThinkSystem SR645 V3</a>，最多同樣提供320顆核心（2個插槽）、6 TB容量的DDR5記憶體（24個插槽）、16臺EDSFF E1.S外形NVMe固態硬碟，以及3個PCIe x16介面卡插槽——後3（2個PCIe 5.0與1個PCIe 4.0，皆為短版），機箱前沿也可安裝3張PCIe 5.0介面卡（薄型、全高、OCP 3.0各1），但此時需犧牲一些空間，而只能搭配4臺2.5吋硬碟。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ThinkSystem-SR645-V3.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/SR645 V3 front view configurations.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SR645%20V3%20front%20view%20configurations.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SR645 V3 rear view with callouts.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SR645%20V3%20rear%20view%20with%20callouts.png" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>HPE ProLiant DL365 Gen11</strong></span><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U<br /> ●處理器：2顆，AMD第四代EPYC（9004系列）、第五代EPYC（9005系列），最多搭配到160顆核心的款式<br /> ●記憶體：24個DDR5-6000，插滿256 GB，可達到6 TB<br /> ●儲存配置：10臺2.5吋傳統硬碟（SAS/SATA）或固態硬碟（SAS/SATA/NVMe，預設8臺），或是20臺E3.S NVMe固態硬碟；或是搭配2張單寬或雙寬GPU，以及8臺E3.S NVMe固態硬碟或4臺2.5吋U.3 NVMe固態硬碟<br /> ●I/O擴充介面：2個PCIe 5.0 x16（2個全高全長，或2個全高半長加上1個短版）<br /> ●電源供應器：2臺800瓦、1000瓦、1600瓦或1800瓦<br /> ●GPU選擇：Nvidia A16、L4</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/10/28 15:18作者李宗翰https://www.ithome.com.tw/review/165707
UnitedHealth承認當初有1億用戶資料遭竊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國衛生及公共服務部（HHS）的民權辦公室（OCR）上周更新了<a href="https://ocrportal.hhs.gov/ocr/breach/breach_report.jsf" target="_blank">健康資訊外洩列表</a>，顯示出今年2月遭駭的Change Healthcare所外洩的用戶資料高達1億筆，成為美國醫療領域最嚴重的資料外洩事件。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1025-Change%20Healthcar%20breach.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-Change%20Healthcar%20breach.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片擷取自美國衛生及公共服務部（HHS）網站</span></span></p> <p>Change Healthcare是美國健康保險集團UnitedHealth Group子公司Optum所買下的醫療服務供應商，主要提供醫療業者的收入周期管理、支付管理，以及健康資訊交換解決方案，每年處理150億筆的醫療照護交易，涉及1/3的美國病患紀錄。</p> <p>該公司在今年2月遭到勒索軟體BlackCat的攻擊，駭客利用竊來的憑證入侵了Change Healthcare的Citrix遠端存取服務，盜走了6GB的資料，也加密了Change Healthcare系統。隨後Change Healthcare並未說明外洩的筆數，僅說使用者的健康資訊、健保資訊、支付資訊，或是社會安全碼與駕照號碼等資訊外洩了。</p> <p>UnitedHealth Group在今年5月<a href="https://www.ithome.com.tw/news/162639" target="_blank">坦承</a>支付贖金予駭客，惟並未證實金額是否為外傳的2,200萬美元。</p> <p>然而，根據BleepingComputer的<a href="https://www.bleepingcomputer.com/news/security/unitedhealth-says-data-of-100-million-stolen-in-change-healthcare-breach/" target="_blank">報導</a>，BlackCat在收到贖金之後，忽然關閉了，而且將贖金據為己有，並未分配給合作夥伴，但此一合作夥伴依然握有Change Healthcare的機密資料，並再度向該公司勒索，而母公司UnitedHealth很可能支付了第二次的贖金。</p> <p>UnitedHealth今年4月公布<a href="https://www.ithome.com.tw/news/162361" target="_blank">第一季財報</a>時，編列了8.72億美元的網路攻擊成本，其中有5.93億美元屬於直接回應攻擊成本，另外的2.79億美元則是因攻擊所招致的業務損失，並估計總成本將超過10億美元；而在UnitedHealth<a href="https://www.unitedhealthgroup.com/content/dam/UHG/PDF/investors/2024/UNH-Q3-2024-Release.pdf" target="_blank">今年第3季的財報</a>中，列出了該攻擊對該公司今年前9個月的影響，顯示相關成本已超過24.5億美元。</p> </div></div></div>
2024/10/28 13:53作者陳曉莉https://www.ithome.com.tw/news/165715
【資安週報】1021~1025，NHK記錄片再次引發大眾對安洵事件的關注，揭發中國對全球發動認知戰內幕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧10月第四星期的資安新聞主要焦點，莫過於<a href="https://www.nhk.jp/p/special/ts/2NY2QQLPM3/episode/te/GNM1LMZGJ5/">日本電視臺NHK近期公開一部記錄片</a>，揭露中國資安業者安洵信息外洩文件，曝光了中國對台認知戰的內幕。<a href="https://www.ithome.com.tw/news/161454">今年2月我們已經報導此事</a>，當時安洵信息外洩資料暴露中國政府對全球各地的網路間諜攻擊手段，也顯現出中國民間的資安組織在政府從事全球性的APT攻擊中，亦發揮關鍵的作用。</p> <p>如今NHK耗時半年前往7國繼續深入調查此事，並以記錄片形式揭發此威脅手段，強調中國現在的網路攻擊不只針對系統，網路攻擊也同時針對民眾，透過大量網路輿論操弄的影響力行動來發動「認知戰」。事實上，近年許多資安業者都在持續強調這方面的威脅，需要更多國人重視這類問題。</p> <p>在資安威脅與警訊上，有兩則重要新聞，一是當心中國駭客組織IcePeony鎖定網頁伺服器注入Web Shell，以及針對IIS伺服器建立後門IceCache的狀況，資安業者發現該組織從去年就鎖定亞洲多國；另一是注意新興勒索軟體Cicada3301，有資安業者指出這是今年6月才開始出現，但最近3個月內已有30家企業組織遭受攻擊，主要鎖定企業的VMware虛擬化平臺、NAS設備。</p> <p>在資安事件方面，臺灣這一星期就有5家上市公司發布資安重訊，包括美利達、豐祥-KY、華新科、台船，以及正新代加拿大子公司發布，涵蓋產業包括自行車廠、輪胎廠、機車零配件廠、被動元件廠，以及國內最大造船廠。其中華新科的事故成主要焦點，因為後續已有媒體報導指出，勒索軟體駭客RansomHub在暗網宣稱握有該公司150 GB的機密資料；另一焦點在於，有兩家公司指出遭攻擊狀況與郵件系統帳號有關，喚起國內對這方面的警惕，因為這類情形過往很少登上重訊版面。</p> <p>●自行車廠美利達在21日發布重訊，說明偵測到部份郵件系統使用者帳號遭攻擊，已啟動防禦與修改使用者帳密。<br /> ●輪胎廠正新於21日代表旗下Cheng Shin Rubber Canada發布重訊，說明該子公司部份資訊系統遭受駭客網路攻擊。<br /> ●電機機械業豐祥-KY在22日發布重訊，說明公司資訊系統在凌晨遭受加密攻擊，已查出加密源頭並阻斷，正在恢復系統。<br /> ●被動元件廠華新科在23日發布重訊，說明部份資訊系統遭受駭客網路攻擊。<br /> ●國內最大造船廠台船在24日發布重訊，說明偵測到部分郵件系統使用者遭攻擊，已啟動防禦與修改使用者帳密。</p> <p>國際間則有2起事故受關切，包括思科坦承客戶支援網站資料外流，強調公司內部並未遭駭，以及資安業者ESET在以色列的合作夥伴傳出遭受攻擊，ESET強調公司內部並未遭到入侵，正與當地合作夥伴調查此事。此外，今年8月日本馬達大廠尼得科遭駭，如今有進一步的調查結果公布，研判駭客之所以得逞是因為取得了員工VPN帳密資料。</p> <p>在漏洞利用方面，這一星期有3個零時差漏洞利用需要重視，攻擊者鎖定Fortinet、Cisco與ScienceLogic產品，顯現出企業產品成為攻擊目標的態勢依然顯著。有一起已調查出幕後攻擊者，資安業者Mandiant指出，關於鎖定Fortinet漏洞的攻擊，已發現是名為UNC5820的駭客組織所為，並且是在6月底就出現嘗試利用跡象。</p> <p>●Fortinet修補涉及FortiManager的零時差漏洞CVE-2024-47575，Mandiant在公告後隔天揭露，有駭客組織在4個月前就將其用於實際攻擊行動。<br /> ●Cisco針對旗下多款產品修補51個漏洞，其中包含針對零時差漏洞CVE-2024-20481的修補，因為該公司PSIRT發布修補時即指出有遭利用跡象。<br /> ●ScienceLogic修補SL1平臺的零時差漏洞CVE-2024-9537，美國CISA已將此漏洞列入已知漏洞利用清單。<br /> ●微軟在7月初修補SharePoint的漏洞CVE-2024-38094，以及Roundcube在6月初修補Webmail的漏洞CVE-2024-37383，近日發現有駭客針對未修補用戶攻擊的情形。</p> <p>此外，蘋果在9月修補恐影響MDM行動裝置管理平臺的漏洞CVE-2024-44133，有業者示警疑似漏洞利用跡象。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/165602"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月21日】Internet Archive再傳遭駭</span></strong></a></h3> <p>兩週前駭客入侵網際網路檔案館（Internet Archive），並竄改其網頁，向密碼外洩資料庫Have I Been Pwned（HIBP）提供竊得的逾3千萬筆帳號資料，如今這起事故出現新的發展。</p> <p>在這波攻擊行動裡，駭客濫用該網站的IT服務臺系統Zendesk向用戶寄信「警告」，並取笑維護團隊處理資安事故的速度極為緩慢，用戶的資料外流到不知名人士手中。</p> <h3><a href="https://www.ithome.com.tw/news/165631"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月22日】資安業者ESET以色列合作夥伴驚傳遭駭，駭客冒名從事網釣攻擊</span></strong></a></h3> <p>駭客鎖定合作廠商發動攻擊的情況，很難不讓人聯想到供應鏈攻擊。最近發生在資安業者ESET合作夥伴Comsecure的資安事故，就是這樣的例子。</p> <p>值得留意的是，駭客疑似透過Comsecure經營的網域，意圖打著ESET的名號，假借提供防護工具為由，向以色列人散布資料破壞軟體（Wiper），為何攻擊者能夠利用該網域寄信？該公司並未進一步說明。</p> <p><a href="https://www.ithome.com.tw/news/165652"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月23日】中國駭客組織IcePeony對亞洲國家網頁伺服器發動SQL注入攻擊</span></strong></a></p> <p>中國駭客的攻擊行動頻傳，我們昨天報導APT41針對賭博及遊戲業者<a href="https://www.ithome.com.tw/news/165606">進行為期接近9個月的網路間諜行動</a>，另一個過往未曾被發現的駭客組織IcePeony也相當值得留意，因為，這些駭客專門針對影響中國的海洋戰略趨勢，對特定亞洲國家發動攻擊。</p> <p>值得留意的是，這些駭客也似乎比照中國IT業者的「996」上班制度長時間活動，這意味著，他們可能持續對企業組織的網路環境發動攻擊，而且每天活動的期間涵蓋一般IT人員已經下班的時間。</p> <p><a href="https://www.ithome.com.tw/news/165683"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月24日】FortiManager零時差漏洞已被用於實際攻擊行動</span></strong></a></p> <p>本週研究人員揭露多起漏洞利用攻擊的資安事故，例如：Fortinet網路設備管理系統漏洞CVE-2024-47575、三星行動裝置處理器漏洞CVE-2024-44068、macOS作業系統漏洞CVE-2024-44133。</p> <p>其中，又以CVE-2024-47575相當值得留意，原因是這項漏洞在Fortinet尚未公開之前，已有研究人員提出警告，並有企業傳出遭受攻擊的情況。</p> <p><a href="https://www.ithome.com.tw/news/165697"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月25日】Fortinet零時差漏洞4個月前就遭駭客組織UNC5820利用</span></strong></a></p> <p>本週最受到矚目的漏洞，應該就屬網路設備管理平臺FortiManager零時差漏洞CVE-2024-47575（也被稱做FortiJump），在Fortinet對外發布資安公告之後，有資安業者證實已有企業遭遇相關攻擊。</p> <p>資安業者Mandiant指出，他們看到駭客組織UNC5820在今年6月就開始利用這項漏洞，但對於攻擊者的身分，以及運用漏洞的目的，迄今仍無法掌握。</p> <p> </p> </div></div></div>
2024/10/27 22:08作者羅正漢https://www.ithome.com.tw/news/165708
蘋果可能正測試血糖管理App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>彭博引述消息人士<a href="https://www.bloomberg.com/news/articles/2024-10-25/apple-secretly-tests-blood-sugar-app-in-sign-of-health-ambitions" target="_blank">報導</a>，蘋果今年曾進行過血糖管理App的測試，不過短期間消費者應該看不到這款應用程式。</p> <p>報導指出，蘋果內部今年曾做過一項App測試，該App要求使用的員工需先證明的確是經由血液測試為糖尿病前期（pre-diabetic），然後他們再使用多種市售血糖計自我監控血糖值，同時以該App記錄飲食造成的血糖變化。</p> <p>糖尿病前期是一種代謝問題，可能即將演進成第二型糖尿病，但糖尿病前期可透過運動及飲食管理逆轉。<a href="https://idf.org/about-diabetes/diabetes-facts-figures/" target="_blank">根據統計</a>，全世界20到79歲人口有1/10人口患有糖尿病，有鑒於糖尿病的後遺症及對各國醫療支出的沈重負擔，糖尿病前期管理是公共健康管理領域一大重點。</p> <p>報導指出，蘋果蒐集血糖變化的目的是為了研究未來蘋果可能的研發方向，但是蘋果後來也暫停該App的研究，而轉向其他功能。</p> <p>蘋果研究這項功能並不令人意外。蘋果近年一直努力強化iPhone及Apple Watch的健康管理能力，迄今消費者已經可用Apple Watch偵測心電圖／心律不整、呼吸、睡眠狀態。去年Apple Watch還加入血氧飽和度偵測，直到被Masimo控告侵權，才全面移除這功能。外傳蘋果也正在研究血壓量測。</p> <p>報導指出，蘋果已花了15年投入研究非侵入式血糖值研究。為了免除採血痛苦，非侵入方法一直是科技廠商<a href="https://www.ithome.com.tw/news/134556" target="_blank">追求的目標</a>，然而迄今尚沒有夠精準的非侵入量測方法。Google姐妹公司Verily研究多年的血糖量測隱形眼鏡研發，在投入5年後，於<a href="https://www.ithome.com.tw/news/127118" target="_blank">2018年</a>宣布暫停研究。</p> </div></div></div>
2024/10/28 11:46作者林妍溱https://www.ithome.com.tw/news/165709
Meta AI首簽媒體內容授權合作，可存取路透社新聞內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了強化Meta AI的應用效益，Meta近日與媒體集團路透社（Reuters）簽定首個主要內容授權合作案，使其Meta AI聊天機器人得以搜尋及顯示後者的新聞內容。</p> <p><a href="https://www.axios.com/2024/10/25/meta-reuters-ai-news-facebook-instagram" target="_blank">《Axios》</a>首先報導，在Meta和路透社的多年合作下，Meta AI在回應用戶查詢時，將可顯示路透社新聞內容重點摘要及連結。路透社已經向媒體<a href="https://www.theverge.com/2024/10/25/24279259/meta-reuters-ai-chatbot-deal-news-licensing-media" target="_blank">證實</a>此事。</p> <p>Meta AI和路透社的內容授權，可涵括Meta眾多社群平臺應用，包括臉書（Facebook）、Instagram（IG）、WhatsApp、FB Messenger。</p> <p>這是在各家大廠掀起AI實力競賽以來，Meta簽下的首個內容授權合約。相較之下，OpenAI已經獲得多家歐美主要媒體的內容授權，可在ChatGPT上顯示新聞內容及連結，包括美國的紐約郵報、<a href="https://www.ithome.com.tw/news/163046" target="_blank">華爾街日報</a>、大西洋日報（The Atlantic）、法國的Le Monde、西班牙的<a href="https://www.ithome.com.tw/news/161783" target="_blank">Prisa Media</a>與德國的Axel Springer等。</p> <p>上周微軟及OpenAI<a href="https://www.ithome.com.tw/news/165647" target="_blank">合作</a>，則藉由AI協作及獎學金計畫（Lenfest Institute AI Collaborative and Fellowship Program），資助新聞編輯室探索AI的應用，以改善媒體關係。</p> </div></div></div>
2024/10/28 12:03作者林妍溱https://www.ithome.com.tw/news/165713
Amazon修補AWS Cloud Development Kit帳戶可被接管的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aquasec.com/blog/aws-cdk-risk-exploiting-a-missing-s3-bucket-allowed-account-takeover/" target="_blank">資安業者Aqua上周揭露</a>了一個曾經存在於AWS Cloud Development Kit（AWS CDK）的安全漏洞，此一漏洞可能允許駭客接管CDK用戶帳戶，但在AWS收到Aqua通知之後，已於今年10月將其修補，並估計約有1%的CDK用戶受到影響。</p> <p>AWS CDK是個開源的基礎設施即程式碼（Infrastructure as Code，IaC）開發框架，它讓開發人員可透過自己熟悉的程式碼來定義雲端基礎設施，CDK可直接將這些程式碼轉換成AWS可解釋與部署的配置。</p> <p>要使用AWS CDK之前，開發人員必須先初始化其環境，以替CDK的堆疊部署作準備，在此一程序中，AWS CDK會建立一個暫時的S3儲存桶來存放部署資產，該儲存桶的命名是唯一的、與使用者帳戶有關，而且是可預測的。因此，駭客只要知道目標對象的帳號ID，就能跨所有AWS區域替CDK建立暫存的S3儲存桶。</p> <p>在駭客取得AWS CDK用戶的儲存桶之後，有兩個可能的情況，一是該儲存桶屬於新用戶，根本尚未被建立，因此此一新用戶在初始化期間要建立時就會出現錯誤，二是該儲存桶屬於舊用戶，而且已被該用戶移除（所以才能再被建立）。</p> <p>就算AWS CDK用戶手動刪除了S3儲存桶，但系統在部署時仍會存取該儲存桶，因而讓駭客有機可趁，修改使用者上傳的範本，進而獲得目標帳戶的完整控制權。</p> <p>Aqua分析了38,560個AWS帳戶，發現當中有2%安裝了CDK，並有10%帳戶及超過100個儲存桶可能受到上述攻擊，而AWS則說約有1%的CDK用戶受到影響。</p> <p>在今年6月收到Aqua的報告後，AWS即著手改善，包括在初始化時添增一個新條件，確保它只信任用戶帳戶中的S3儲存桶，以避免CDK將資料傳送到不屬於初始化程序帳戶擁有的儲存桶；另也更新文件，鼓勵使用者客製化初始化時的資源，以客製化的Qualifier取代預設的hnb659fds。值得注意的是，使用今年7月發表的CDK v2.148.1或是更早的CDK版本仍然受到上述漏洞的影響。</p> <p>Aqua建議開發人員應將自己的AWS帳戶ID視為機密，以免遭到鎖定或利用；使用IAM政策中的條件，來避免用戶或服務存取不可靠的儲存桶；以及不要使用可預測的儲存桶名稱。</p> </div></div></div>
2024/10/28 12:18作者陳曉莉https://www.ithome.com.tw/news/165714
Claude.ai推JavaScript分析工具，強化資料處理與視覺化能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic在Claude.ai加入<a href="https://www.anthropic.com/news/analysis-tool">全新資料分析工具</a>，內建JavaScript程式碼編寫和執行功能，使Claude能編寫JavaScript程式碼，並利用沙箱環境處理資料、執行計算，並生成即時分析結果，協助各種領域的使用者，有效挖掘資料中的資訊。此功能目前已經在預覽功能中開放所有用戶使用。</p> <p>Claude.ai的分析工具讓用戶可以載入、清理並分析大規模資料，例如CSV檔案中的資料集。Claude.ai藉由編寫JavaScript程式碼，企業可快速處理客戶互動資料，或是深入了解不同市場的銷售績效，甚至是分析終端用戶參與度資料。JavaScript分析工具的優勢之一，在於JavaScript這個語言的即時互動性和高相容性，讓用戶可以直接在瀏覽器中執行程式碼，快速處理和視覺化資料。</p> <p>此JavaScript資料分析工具解決傳統資料處理中，繁瑣的手動步驟與跨平臺作業限制，過去企業的資料常需要先在其他工具中經過處理後再匯入進行分析，這過程不僅耗時且容易出現錯誤，而現在Claude.ai內建功能讓用戶可在同一個平臺中，完成資料清理、探索和運算，獲得更加精確可驗證的結果，提升分析效率。</p> <p>雖然Claude一直以來都能夠編寫程式碼，但是這個JavaScript分析工具，可在Claude.ai平臺內直接執行這些程式碼，進而支援各種資料分析任務。這代表Claude不僅能提供有邏輯且經過推敲的答案，還能透過實際運算產生數學上精確且可重現的結果，讓分析更加可靠。</p> <p>用戶現在登入Claude.ai平臺，在設定中啟用分析工具預覽，即可開始使用JavaScript分析功能，進行各種資料處理和分析操作。此一工具不僅提升Claude應用深度，也拓展了企業應用人工智慧分析資料和視覺化的選擇。</p> </div></div></div>
2024/10/27 03:42作者李建興https://www.ithome.com.tw/news/165704
DeepMind公布整合2種思維模式的Talker-Reasoner AI代理人框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google DeepMind<a href="https://arxiv.org/abs/2410.08328v1" target="_blank">上周公布</a>具備2種思維模式的系統框架，可讓AI代理人（agent）能兼具快、慢思考的效益。</p> <p>現有大型語言模型能以自然語言和使用者互動，具有二種能力，包括對話和規劃／思考。DeepMind團隊設計的一種由雙系統組成的Talker-Reasoner代理人框架，能同時執行對話及多步驟推理任務，一如由以色列諾貝爾經濟學家Daniel Kahneman提倡的「快思慢想」（之後也被翻譯成多國語言版本，包括<a href="https://www.books.com.tw/products/0010962486" target="_blank">繁中版</a>）的人類一樣。</p> <p>DeepMind設計的雙系統代理人框架中，系統1 Talker LLM能執行快速、直覺及合成語言回應，負責感知觀察外界、獲得用戶回應，並且以自然對話和用戶互動。系統2 Reasoner LLM負責解決複雜的問題，這牽涉從外界取得資訊增強其知識，像是呼叫工具、從外部資料庫獲取資訊。相較Talker LLM的快速回應，Reasoner的運行更為緩慢、深刻及具邏輯性，包含多階段推理和規劃、呼叫、執行行為等動作。Talker和Reasoner之間經由共同記憶體互動。Reasoner獲得知識後，除了執行行為，也更新其（記憶體中的）知識信仰，並提供Talker產生新的說話內容。在接獲使用者互動輸入問題時，Talker可以以現有知識為基礎、提供直覺回應，也可以等待Reasoner代理人產出知識，延遲回應使用者。</p> <p>DeepMind團隊利用Gemini 1.5 Flash設計出包含雙系統AI代理人，在測試中，讓該系統扮演使用者睡眠指導顧問，在聽取使用者說明後，提供改善睡眠的建議。研究團隊發現，系統在「理解」使用者問題階段，其代理人（Talker）直覺化、流暢回應使用者，但當Reasoner未能理解其指導是哪個階段時，會提供較直覺化而無用的建議。例如使用降噪窗帘及隔音板。為解決此問題，研究團隊加入「指導」階段說明，Talker一旦讀取到指導階段時，就會等待Reasoner提供的資訊，而非直覺回應用戶。這時系統2就取得主導，而非只給系統1產出的回應，例如為房間換顏色柔和的壁紙。</p> <p>研究人員指出，本研究是首個使用雙系統的代理人，欲改善其效用，未來可以讓Talker-Reasoner框架中的Talker自動判斷是否加入System 2的資訊作為回應，或是System 2加入更多Reasoner，以多元化其輸入的記憶資訊。</p> </div></div></div>
2024/10/27 03:56作者林妍溱https://www.ithome.com.tw/news/165705
害停機多天，達美航空正式控告CrowdStrike求償5億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月間安全廠商Crowdstrike更新軟體元件導致全球數百萬Windows PC當機，受累的達美航空（Delta Airlines）上周正式提告，要求至少5億美元的賠償。</p> <p><a href="https://www.reuters.com/legal/delta-sues-crowdstrike-over-software-update-that-prompted-mass-flight-2024-10-25/" target="_blank">路透社</a>等多家<a href="https://www.aol.com/delta-sues-crowdstrike-over-software-012219252.html" target="_blank">媒體</a>報導，達美航空向喬治亞州富爾頓（Fulton）郡高等法院提告，指Crowdstrike強迫將未測試的錯誤更新部署給客戶，導致850萬臺Windows電腦崩潰，引發災難性後果，要求5億美元損失以及利潤損失、律師費、商譽損失和未來營收損失。</p> <p>7月中Crowdstrike部署軟體更新到用戶電腦過程中引發Windows系統暫停運作，影響多個產業客戶。微軟估計事件影響850萬臺Windows PC。達美航空聲稱，若Crowdstrke有測試問題更新，就不會發生此事，此錯誤更新無法遠端移除，危及公司業務，造成大量班次延遲。該公司說受Windows當機影響，40,000臺Windows伺服器必須手動重啟，其中一個和追蹤機組人員相關的工具受創最鉅，因其無法處理這次變更造成的系統負荷。該公司估計，停機的5天期間達美和Delta Connection航空超過7,000個航班取消，影響超過130萬旅客。</p> <p>達美航空除了退費外，也必須賠償7月19日到28日的旅客損失。此外，達美航空因賠償爭議，8月間還<a href="https://edition.cnn.com/2024/08/07/business/delta-passengers-sue-crowdstrike-meltdown/index.html" target="_blank">引發</a>旅客集體控告。</p> <p>不過Crowdstrike上周回應，達美航空說法是基於沒有根據的錯誤資訊，顯示不理解現代化網路安全運作方式，反映其推卸未能現代化老舊系統的責任。事實上只要刪除更新的Crowdstrike檔案重開機就能排除問題。這家資安業者說，事發時表示願提供到府協助，但遭到達美航空拒絕，推論可能是因為達美部署的不是現代化的Windows系統。</p> <p>美國運輸部已於7月底<a href="https://edition.cnn.com/2024/07/24/tech/crowdstrike-outage-cost-cause/index.html?cid=external-feeds_iluminar_yahoo" target="_blank">啟動調查</a>。</p> </div></div></div>
2024/10/27 04:19作者林妍溱https://www.ithome.com.tw/news/165706
【資安日報】10月25日，Fortinet零時差漏洞4個月前就遭駭客組織UNC5820利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週最受到矚目的漏洞，應該就屬網路設備管理平臺FortiManager零時差漏洞CVE-2024-47575（也被稱做FortiJump），在Fortinet對外發布資安公告之後，有資安業者證實已有企業遭遇相關攻擊。</p> <p>資安業者Mandiant指出，他們看到駭客組織UNC5820在今年6月就開始利用這項漏洞，但對於攻擊者的身分，以及運用漏洞的目的，迄今仍無法掌握。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165689"><strong style="font-size: 22px;">針對Fortinet本週揭露的網路設備管理平臺零時差漏洞，研究人員指出6月就已遭到利用</strong></a></p> <p>資安業者Fortinet週三（10月23日）發布公告，揭露網路設備管理平臺FortiManager重大漏洞CVE-2024-47575（也被稱做FortiJump），並警告已有實際利用的情況，有資安業者Mandiant在公告後隔天揭露，他們在4個月前就掌握到駭客攻擊行動。</p> <p>他們發現名為UNC5820的駭客組織，於6月27日就開始嘗試利用上述漏洞攻擊FortiManager，從而將受到管理的FortiGate防火牆組態資料流出。這些詳細資料包含使用者名稱及經過雜湊處理的密碼，攻擊者有機會進一步對FortiManager下手，並對受到管理的其他Fortinet裝置進行橫向移動，進而對企業環境發動進一步攻擊。</p> <p>不過，根據研究人員取得的情報，他們尚未發現駭客利用漏洞進行橫向移動的跡象，而且也沒有後續活動，對於攻擊者的意圖或是地理位置，目前仍不得而知。</p> <p><a href="https://www.ithome.com.tw/news/165669"><strong style="font-size: 22px;">北韓駭客Lazarus假借DeFi遊戲為誘餌，利用Chrome零時差漏洞發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Lazarus_APT_for_SAS_11.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Lazarus_APT_for_SAS_11.png" style="width: 300px; float: right;" /></a>5月15日Google發布Chrome 125更新（125.0.6422.60、61），修補零時差漏洞CVE-2024-4947，通報此弱點的資安業者卡巴斯基表示，當時他們看到北韓駭客組織Lazarus假借提供電玩遊戲的名義，並利用這項漏洞企圖控制受害者的電腦。</p> <p>這起攻擊行動之所以曝光，起初是在5月13日，該廠牌防毒軟體在俄羅斯個人用戶的電腦，偵測到後門程式Manuscrypt感染的情況，由於使用該惡意程式的Lazarus鮮少針對個人用戶下手，這樣的情況引起研究人員的注意，進一步調查發現，detankzone[.]com網站利用瀏覽器弱點發動攻擊。</p> <p>研究人員進一步指出，攻擊者架設的網站以TypeScript及React打造而成，他們將漏洞利用程式碼埋在名為index.tsx的檔案，但值得留意的是，這些程式碼不光利用CVE-2024-4947，還運用另一個近期才揭露的V8沙箱弱點。</p> <p><a href="https://www.ithome.com.tw/news/165679"><strong style="font-size: 22px;">北韓IT人員到歐美企業遠距任職引發危機，可能導致商業機密遭竊、勒索</strong></a></p> <p>最近2到3年美國政府多次提出警告，要企業防範北韓駭客假借謀取遠距辦公職務的名義，取得企業內部網路環境的存取權限，從事間諜活動並偷取機密資料的情況，今年美國更是二度查緝協助這些「IT人員」犯案的筆電農場（Laptop Farm），自資安意識教育訓練業者KnowBe4公布他們不慎雇用北韓駭客差點資料外流的事故，有資安業者針對這種威脅態勢進行調查，並指出近期相關攻擊已出現顯著變化。</p> <p>資安業者Secureworks指出，他們針對專門從事這類攻擊的駭客組織Nickel Tapestry（也被稱做Famous Chollima、UNC5267）進行追蹤，結果發現這些駭客在得手企業內部資料後，開始會向雇主進行勒索，要求付錢換取不將資料外流。研究人員指出，這樣的手法過往未曾出現。</p> <p>在其中一起事故裡，受害企業因該員工表現不佳終止僱傭關係，不久就收到一系列電子郵件，其中一封挾帶聲稱竊得內部機密資料的ZIP檔案，另一封則是要求受害企業支付數十萬美元的加密貨幣贖金，後來駭客從另一個電子郵件信箱寄信，以Google Drive共享檔案來表明，他們握有更多內部資料，藉此施壓。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/new-rust-based-embargo-ransomware-threatens-us-companies-with-advanced-attack-techniques/">以Rust打造的Embargo勒索軟體鎖定美國企業而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/misconfigured-un-database-gender-violence-victims-data/">聯合國資料庫配置不當，曝露228 GB性暴力受害者資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/cisa-warns-of-active-exploitation-of.html">美國警告SharePoint漏洞CVE-2024-38094出現實際攻擊行動</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165693"><strong style="font-size: 22px;">思科針對網路防火牆產品線的多個軟體平臺發布更新，總共修補51個弱點</strong></a></p> <p>10月23日思科針對旗下防火牆系統Adaptive Security Appliance（ASA）、Firepower Threat Defense（FTD），以及集中控管軟體Firewall Management Center（FMC）發布一系列資安公告，揭露51項漏洞，並發布更新軟體修補。</p> <p>根據CVSS風險評分，這次有3項被列為重大層級的漏洞CVE-2024-20329、CVE-2024-20412、CVE-2024-20424最為危險，資安風險評為9.9至9.3分。</p> <p>除了上述的重大層級漏洞，另一個中度風險的漏洞CVE-2024-20481也值得留意，因為，該公司產品安全事件回應團隊（PSIRT）已經發現有人利用的跡象。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/nvidia-patches-high-severity-flaws-in-windows-linux-graphics-drivers/">針對顯示晶片驅動程式，Nvidia修補8項高風險漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/chrome-patches-multi-vulnerabilities-in-latest-stable-release/">Google發布Chrome 130更新，修補高風險漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165690"><strong style="font-size: 22px;">為強化Apple Intelligence雲端運算安全，蘋果祭出抓漏獎勵</strong></a></p> <p>蘋果於本周四（10月24日）公開邀請所有安全及隱私研究人員，或者是任何有興趣的人存取Private Cloud Compute（PCC），並提供抓漏獎勵，最高可獲得100萬美元的獎金。為了實現此一宣布，蘋果提供了PCC的安全指南，PCC的虛擬研究環境（Virtual Research Environment，VRE），以及PCC的某些關鍵原始碼。</p> <p>什麼是PCC？這是蘋果AI服務Apple Intelligence的一環，使用者可於Mac、iPhone及iPad上直接執行AI任務，更複雜的任務將會移至PCC執行。值得一提的是，這是蘋果第一次將裝置的安全及隱私能力擴展至雲端，以確保發送到PCC的個人資料無法被使用者之外的任何人存取，包括蘋果在內。蘋果號程PCC是雲端大規模AI運算史上最先進的安全架構。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165683"><strong>【10月24日】FortiManager零時差漏洞已被用於實際攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165652"><strong>【10月23日】中國駭客組織IcePeony對亞洲國家網頁伺服器發動SQL注入攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165631"><strong>【10月22日】資安業者ESET以色列合作夥伴驚傳遭駭，駭客冒名從事網釣攻擊</strong></a></p> </div></div></div>
2024/10/25 16:38作者周峻佑https://www.ithome.com.tw/news/165697
針對Fortinet本週揭露的網路設備管理平臺零時差漏洞，研究人員指出6月就已遭到利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Fortinet週三（10月23日）發布公告，揭露<a href="https://www.ithome.com.tw/news/165661">網路設備管理平臺FortiManager重大漏洞CVE-2024-47575（也被稱做FortiJump</a>），並警告已有實際利用的情況，有資安業者著手進行調查，表示在4個月前就有駭客掌握並用於攻擊行動。</p> <p>資安業者Mandiant表示，<a href="https://cloud.google.com/blog/topics/threat-intelligence/fortimanager-zero-day-exploitation-cve-2024-47575">他們發現名為UNC5820的駭客組織，於6月27日就開始嘗試利用上述漏洞攻擊FortiManager</a>，從而將受到管理的FortiGate防火牆組態資料流出。這些詳細資料包含使用者名稱及經過雜湊處理的密碼，攻擊者有機會進一步對FortiManager下手，並對受到管理的其他Fortinet裝置進行橫向移動，進而對企業環境發動進一步攻擊。</p> <p>不過，根據研究人員取得的情報，他們尚未發現駭客利用漏洞進行橫向移動的跡象，而且也沒有後續活動，對於攻擊者的意圖或是地理位置，目前仍不得而知。</p> <p>他們先後看到兩次漏洞利用的情況，第一次發生在6月27日，多臺FortiManager裝置收到來自特定IP位址及541埠通訊協定的流量，幾乎在同一時間，攻擊者將多種Fortinet設備的組態配置檔案，打包成Gzip壓縮檔/tmp/.tm。</p> <p>到了9月23日，研究人員再度於相同組織看到漏洞利用的跡象，而且，這兩次事故有個奇怪的模式，納就是駭客在壓縮檔打包完成不久，就產生對外流量。</p> <p>其中，在第2次利用漏洞的時候，攻擊者將自己的裝置向FortiManager進行註冊。研究人員提及，一旦攻擊者利用這項漏洞對FortiManager下手，該設備的管理主控臺就有可能出現未經授權的「裝置」。</p> <p>雖然攻擊者的動機仍不明朗，但Mandiant與Fortinet仍持續合作，針對各行各業超過50個可能會出現大規模攻擊的FortiManager裝置著手調查，並呼籲將FortiManager曝露在網際網路的企業，應著手調查是否有遭到入侵的跡象。</p> </div></div></div>
2024/10/25 12:08作者周峻佑https://www.ithome.com.tw/news/165689
美國發布首個AI國家安全備忘錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統拜登（Joe Biden）周四（10/24）<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2024/10/24/fact-sheet-biden-harris-administration-outlines-coordinated-approach-to-harness-power-of-ai-for-u-s-national-security/" target="_blank">發布了</a>首個與人工智慧（Artificial Intelligence，AI）有關的<a href="https://www.whitehouse.gov/briefing-room/presidential-actions/2024/10/24/memorandum-on-advancing-the-united-states-leadership-in-artificial-intelligence-harnessing-artificial-intelligence-to-fulfill-national-security-objectives-and-fostering-the-safety-security/" target="_blank">國家安全備忘錄</a>（National Security Memorandum，NSM），其三大重點為確保美國引領全球的AI發展，利用尖端的AI技術推動美國國家安全，以及推動AI的國際治理。</p> <p>備忘錄在美國政府中並不具備法律約束力，但擁有指導性地位，提供明確的政策方向與原則。此一AI備忘錄將確保採用AI的同時反映民主價值，而且保護人權、公民權利、公民自由及隱私，亦尋求國際上的AI使用規範，也將採取行動追蹤並防禦對手在AI上的發展與應用。</p> <p>簡而言之，美國希望自己成為全球的AI領導者，在利用AI技術來促進國家安全的同時，也將觀察並防禦對手的AI發展，希望擁有同樣價值觀的國家共同建立AI規範。</p> <p>上述三大重點支柱的細項包括：拜登簽署《晶片法案》（CHIPS Act）以投資開發AI系統所需的大量高階晶片；將競爭對手針對美國AI產業的間諜行動的情報列為最高優先等級；指定AI安全研究所（AI Safety Institute）作為美國AI產業的主要聯繫窗口；加強對National AI Research Resource的支持，以讓大學、民間與小企業的研究人員可進行有意義的AI研究，而非只仰賴大企業。</p> <p>其它細項則包括有效地將AI應用於國家安全任務，同時遵循民主價值觀；在國家安全領域建立一個AI治理及風險管理的框架；已有56個國家簽署《軍事使用AI與自主武器的政治宣言》（Political Declaration on the Military Use of AI and Autonomy）建立軍事AI能力的原則；以及指示美國與盟國合作建立一個負責任且尊重人權的AI治理框架等。</p> </div></div></div>
2024/10/25 14:28作者陳曉莉https://www.ithome.com.tw/news/165692
思科針對網路防火牆產品線的多個軟體平臺發布更新，總共修補51個弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月23日思科針對旗下防火牆系統Adaptive Security Appliance（ASA）、Firepower Threat Defense（FTD），以及集中控管軟體Firewall Management Center（FMC）<a href="https://sec.cloudapps.cisco.com/security/center/viewErp.x?alertId=ERP-75300">發布一系列資安公告</a>，揭露51項漏洞，並發布更新軟體修補。</p> <p>根據CVSS風險評分，這次有3項被列為重大層級的漏洞<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asa-ssh-rce-gRAuPEUF">CVE-2024-20329</a>、<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ftd-statcred-dFC8tXT5">CVE-2024-20412</a>、<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fmc-cmd-inj-v3AWDqN7">CVE-2024-20424</a>最為危險，資安風險評為9.9至9.3分。</p> <p>其中最嚴重的是CVE-2024-20329與CVE-2024-20424。CVE-2024-20329存在於ASA系統，為SSH遠端命令注入漏洞，攻擊者可在未經授權的情況下，遠端以root的權限執行作業系統層級的命令。</p> <p>這項漏洞發生的原因，在於未充分驗證使用者輸入內容，導致攻擊者有機會在透過SSH遠端執行命令的過程中，藉由提出偽造的輸入利用漏洞。一旦成功觸發，攻擊者就能以root等級的權限在作業系統底層執行命令，CVSS風險值為9.9。</p> <p>另一個同樣被評為9.9分的漏洞是CVE-2024-20424，這項漏洞發生在管理平臺FMC，屬於命令注入類型的弱點，同樣也能讓未通過身分驗證的攻擊者，遠端在作業系統底層以root執行任意命令。</p> <p>造成這項漏洞的原因在於，FMC的特定HTTP請求的輸入驗證不夠充分，攻擊者可藉由發送偽造的HTTP請求，在網頁管理介面進行身分驗證來觸發漏洞。一旦漏洞觸發，攻擊者就能掌握root權限，對FMC或納入此系統進行管理的FTD防火牆執行命令。不過，利用這項漏洞必須搭配特定條件，那就是攻擊者必須先取得被授與資安分析師角色的有效使用者帳密。</p> <p>第3個被列為重大層級的漏洞是CVE-2024-20412，這項漏洞影響執行FTD系統的Firepower 1000、2100、3100、4200系列防火牆，未經身分驗證的攻擊者可利用靜態的帳密資料，存取受到影響的系統。</p> <p>此漏洞涉及多個固定帳號密碼被寫死（hard-coded passwords）在系統的狀況，攻擊者可利用該漏洞於命令列介面（CLI）登入系統，成功利用漏洞有機會截取敏感資訊、執行有限的除錯作業、竄改部分組態，或是導致設備無法正常開機啟動作業系統，CVSS風險評為9.3分。</p> <p>除了上述的重大層級漏洞，另一個中度風險的漏洞<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-bf-dos-vDZhLqrW">CVE-2024-20481</a>也值得留意，因為，該公司產品安全事件回應團隊（PSIRT）已經發現有人利用的跡象。</p> <p>這項漏洞是在今年4月威脅情報團隊Talos調查<a href="https://www.ithome.com.tw/news/162367">大規模鎖定SSL VPN、SSH系統暴力破解攻擊</a>的過程發現，影響啟用Remote Access VPN（RAVPN）服務的ASA、FTD防火牆系統，未經身分驗證的攻擊者可遠端發動阻斷服務（DoS）攻擊，CVSS風險評為5.8。</p> <p>值得留意的是，思科坦承，想要緩解CVE-2024-20481漏洞，目前只能套用軟體更新，用戶應儘速處理。</p> </div></div></div>
2024/10/25 15:40作者周峻佑https://www.ithome.com.tw/news/165693
Meta釋出Llama 3.2 1B/3B模型的量化版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於今年9月<a href="https://www.ithome.com.tw/news/165241" target="_blank">開源</a>Llama 3.2的1B與3B模型之後，Meta周四（10/24）釋出了<a href="https://ai.meta.com/blog/meta-llama-quantized-lightweight-models/" target="_blank">1B與3B模型的量化版</a>，讓模型大小平均減少了56%，記憶體使用量平均減少了41%，模型速度提高了2~4倍，還能降低功耗，以讓這些模型能夠部署到更多的行動裝置上。</p> <p>Meta說明，他們使用量化感知訓練（Quantization-Aware Training，QAT）與後訓練量化（SpinQuant）兩種方法來量化這兩個模型。前者使用LoRA調節器，於訓練過程中即考慮量化的影響，著重的是模型的準確性，後者則是在模型完成訓練後再進行量化，強調模型的可移植性。</p> <p>不管是Llama 3.2的1B或3B模型都各自有兩個量化版本，因此總計有4個量化模型，分別是Llama 3.2 1B QLoRA、Llama 3.2 1B SpinQuant，以及Llama 3.2 3B QLoRA與Llama 3.2 3B SpinQuant。</p> <p>Meta指出，這些量化的模型比非量化（Llama BF16）模型快得多，佔用更少的記憶體，使用更低的功耗，同時還保持與Llama BF16版本幾乎相同的精度。</p> <p>量化後的Llama 3.2 1B/3B模型儘管只支援8,000個Token的脈絡（原本支援12.8萬個Token），但Meta的評測卻發現，不管是Llama QLoRA或Llama SpinQuant等量化版本的各項基準測試，都與原來的Llama BF16版本相去不遠。</p> <p>Meta是與合作夥伴共同開發了量化模型，並將這些模型提供給搭載Arm CPU的高通與聯發科的系統單晶片。除了CPU之外，Meta亦計畫透過神經處理單元（NPU）來提升這些量化模型的性能，其合作夥伴已經於開源的行動裝置推論解決方案ExecuTorch上整合了可利用NPU的基礎元件，也正努力於NPU執行這些量化模型。</p> <p>迄今Meta已於Android OnePlus 12、三星S24+/S22及iOS裝置上測試過這些量化模型，確定它們都可達到相當的準確性。</p> </div></div></div>
2024/10/25 16:13作者陳曉莉https://www.ithome.com.tw/news/165694
蘋果開放研究人員存取Apple Intelligence的Private Cloud Compute，祭出抓漏獎勵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於本周四（10/24）<a href="https://security.apple.com/blog/pcc-security-research" target="_blank">公開邀請</a>所有安全及隱私研究人員，或者是任何有興趣的人存取Private Cloud Compute（PCC），並將抓漏獎勵延伸到PCC，最高可獲得100萬美元的獎金。為了實現此一宣布，蘋果提供了PCC的<a href="https://security.apple.com/documentation/private-cloud-compute/navigation" target="_blank">安全指南</a>，PCC的<a href="https://security.apple.com/documentation/private-cloud-compute/vresetup" target="_blank">虛擬研究環境</a>（Virtual Research Environment，VRE），以及PCC的<a href="https://github.com/apple/security-pcc" target="_blank">某些關鍵原始碼</a>。</p> <p>Private Cloud Compute是蘋果AI服務Apple Intelligence的一環，使用者可於Mac、iPhone及iPad上直接執行AI任務，更複雜的任務便移至PCC執行。這也是蘋果第一次將裝置的安全及隱私能力擴展至雲端，以確保發送到PCC的個人資料無法被使用者之外的任何人存取，包括蘋果在內。蘋果還將PCC稱作是雲端大規模AI運算史上最先進的安全架構。</p> <p>先前蘋果已開放第三方稽核人員及安全研究人員存取包括VRE在內的PCC資源，以驗證PCC的安全及隱私承諾，現在則開放所有人存取，包括PCC安全指南、VRE及PCC原始碼。</p> <p>其中，PCC安全指南含有各種元件的技術資訊，以及這些元件如何協作以維護隱私與安全，例如PCC的認證機制是建立在硬體層級的安全性上，不容易被竄改；PCC如何驗證使用者請求，以及如何分發它們以避免使用者遭到鎖定；或是PCC的隱私及安全功能在不同攻擊場景中的表現。</p> <p>蘋果首次替一個蘋果平臺建立的虛擬研究環境就是PCC VRE。該VRE是一套工具，讓研究人員得以在自己的Mac電腦上針對PCC進行安全分析。</p> <p>此一VRE是在虛擬機器中執行PCC節點軟體；用戶空間的軟體執行方式與PCC節點完全相同，僅為了適應虛擬化而變更啟動過程與核心；它包含一個虛擬的安全隔離處理器，以供研究人員探查此一元件；還可利用macOS內建的半虛擬化繪圖支援來實現推論功能。</p> <p>研究人員可利用VRE來列出及檢查PCC的軟體版本，驗證透明度日誌的一致性，下載每個版本對應的二進位檔，於虛擬化環境中啟動一個版本，針對示範模型執行推論，修改或調試PCC軟體以展開更深入的調查。</p> <p>執行VRE的系統需求為蘋果晶片、16GB或以上的記憶體，以及macOS Sequoia 15.1 開發者預覽版。</p> <p>至於透過GitHub釋出的PCC原始碼則有負責建構與驗證PCC節點的CloudAttestation專案；於用戶裝置上執行守護程序，以確保所有雲端AI運算安全性的Thimble專案；防止資料意外洩露的splunkloggingd守護程式；以及可在虛擬環境中研究與分析PCC系統的srd_tools專案。</p> <p>在透過VRE開放了PCC之後，蘋果也將PCC納入Apple Security Bounty抓漏專案中，獎金從5萬美元至100萬美元不等，找到因部署或配置不當而造成的資料外洩漏洞即可獲得5萬美元的獎金，若是找到能夠執行任意程式碼並完全控制系統的遠端攻擊漏洞，便能得到100萬美元的抓漏獎金。</p> </div></div></div>
2024/10/25 12:21作者陳曉莉https://www.ithome.com.tw/news/165690
可搭16臺E3.S SSD與4張GPU卡，Dell推2U2路Xeon 6伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_poweredge_r770_csp_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾<a href="https://www.ithome.com.tw/news/163298">今年6月發表Xeon 6伺服器處理器平臺</a>，先提供配備E-core的款式（代號Sierra Forest），多家廠商也響應推出伺服器產品，我們先前曾介紹的<a href="https://www.ithome.com.tw/review/163763">雲達QuantaGrid D55X-1U</a>，就是一例。</p> <p>對於另一家伺服器廠商Dell而言，他們在5月舉行的自家全球用戶大會，就已提前預告將推出兩款採用Xeon 6處理器的伺服器機型，分別是<a href="https://www.ithome.com.tw/review/164102">PowerEdge R670 CSP Edition</a>、PowerEdge R770 CSP Edition，強調效能可提升至前代產品的2.3倍，並且配備架構在OpenBMC而成的Dell伺服器管理平臺Open Server Manager，可用於大型異質資料中心環境，提供兼顧簡化管理與開放生態系的特色。</p> <p>而在6月舉行的2024台北國際電腦展期間，我們在英特爾展示的眾多Xeon 6伺服器，看到Dell提供的PowerEdge R670 CSP，採用1U、2路配置；</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon%206-2024-06-04-1(1).jpg" style="width: 398px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20R670%20CSP-2024-06.jpg" style="width: 198px;" /></p> <p>到了7月底，Dell終於公開這兩款機型的細部規格與主要特色，我們也趁機介紹先在臺灣亮相的PowerEdge R670 CSP。</p> <p>現在讓我們看看Dell另一款Xeon 6伺服器：PowerEdge R770 CSP，採用2U、2路配置。</p> <p>單就處理器、記憶體的規格而言，R770 CSP與R670 CSP如出一轍，皆搭配兩個Xeon 6處理器，單個處理器最多內建144顆核心，並且可安裝32支32GB或64GB的DDR5-6400 RDIMM記憶體，總容量最大達2 TB。不過，R770 CSP的機箱為2U尺寸，空間較大，可擴充4張PCIe 5.0 x16規格的介面卡，兩張OCP 3.0外形的網路卡（從機箱的前沿與背部均可進行抽換），以及16臺E3.S外形的NVMe固態硬碟。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dell-per770-16x2-5-internal.jpg" style="width: 198px;" /> <a href="https://s4.itho.me/sites/default/files/images/Dell R770 CSP-storage.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20R770%20CSP-storage.jpg" style="width: 398px;" /></a></p> <p>對比之下，我們稍早介紹的<a href="https://www.ithome.com.tw/review/164102">R670 CSP</a>，機箱為1U尺寸，空間相當局促，雖然能藉此實現超高運算密度（1U提供288顆處理器核心），但伺服器本身只能擴充2張PCIe 5.0 x16規格的介面卡，兩張OCP 3.0外形的網路卡（從機箱的前沿與背部均可進行抽換），以及8臺E3.S外形的NVMe固態硬碟。</p> <p>關於Dell早先預告的2.3倍效能增長效益，他們在7月下旬公布運算效能測試細部組態與結果。</p> <p>受測的主角R770 CSP，配備兩個144核心、熱設計功耗為330瓦的Xeon 6780E，以及DDR5-6400記憶體，代表Xeon 6 E-Core世代的處理器平臺，對上Dell同樣主打雲端服務供應商市場的既有2U、2路伺服器：HS5620，由於這款產品處理器最高可搭配32核心的第四代Scalable（代號Sapphire Rapids）或第五代Xeon Scalable（代號Emerald Rapids），因此Dell設置兩臺HS5620，一臺搭配32核心、64個執行緒、熱設計功耗為225瓦的Xeon Gold 6448Y，以及DDR5-4800記憶體，代表第四代Xeon Scalable處理器平臺，另一臺搭配32核心、64個執行緒，熱設計功耗為250瓦的Xeon Gold 6548N，以及DDR5-5600記憶體，代表第五代Xeon Scalable處理器平臺。</p> <p>而在SPEC CPU 2017測試之下，搭配Xeon 6 E-Core處理器的R770 CSP運算效能，均可達到前代平臺的2.3倍與2.2倍；</p> <p><a href="https://s4.itho.me/sites/default/files/images/R770-SPECCPU vs 4th Xeon SP.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/R770-SPECCPU%20vs%204th%20Xeon%20SP.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/R770-SPECCPU vs 5th Xeon SP.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/R770-SPECCPU%20vs%205th%20Xeon%20SP.png" style="width: 298px;" /></a></p> <p>若以每瓦效能而言，R770 CSP為1.58倍與1.68倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/R770-SPECCPU vs 4th Xeon SP Perf-per-watt.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/R770-SPECCPU%20vs%204th%20Xeon%20SP%20Perf-per-watt.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/R770-SPECCPU vs 5th Xeon SP Perf-per-watt.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/R770-SPECCPU%20vs%205th%20Xeon%20SP%20Perf-per-watt.png" style="width: 298px;" /></a></p> <p>到了9月中，Dell揭露R770 CSP與同樣搭配Xeon 6 E-Core處理器的Supermicro SYS-222H-TN，這次比較的效能測試項目是SPEC Power，<a href="https://www.spec.org/power_ssj2008/results/res2024q3/">第三季SPECpower_ssj 2008測試結果也在這個月出爐</a>，R770 CSP拿下20,516分，略勝SYS-222H-TN，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell Specpower-R770.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Specpower-R770.jpg" style="width: 600px;" /></a></p> <p>而在100％運作與閒置（Active Idle）狀態下，平均耗電量能夠再低1成——根據SPEC Power揭露的組態，我們猜測，耗電量差異可能在於搭配的硬碟儲存，R770 CSP設置1臺480 GB容量的M.2外形NVMe固態硬碟，這應該是Dell為其伺服器專門提供的BOSS-N1，而SYS-222H-TN設置1臺6.4TB容量的美光7450 NVMe固態硬碟，外形是2.5吋U.3。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-09-Comparing Dell Technologies and Supermicro on power efficiency-r770.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-09-Comparing%20Dell%20Technologies%20and%20Supermicro%20on%20power%20efficiency-r770.png" style="width: 400px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">Dell PowerEdge R770 CSP</span></strong><br /> ●原廠：Dell<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U（482 x 86.8 x 814.52公釐）<br /> ●處理器：2顆，Intel Xeon 6系列（單顆最多144核心）<br /> ●記憶體：32個DDR5插槽，RDIMM可支援32支6400 MT/s（最大總共2 TB）<br /> ●儲存配置：8臺或16臺E3.S外形NVMe固態硬碟（最大總共122.4 TB、244.8 TB）、2臺M.2外形NVMe固態硬碟（BOSS-N1 DC-MHS）<br /> ●I/O介面：PCIe 5.0 x16（4個）<br /> ●電源供應器：2臺800瓦/1100瓦/1500瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/10/25 13:01作者李宗翰https://www.ithome.com.tw/review/165642
Container快報第160期：CNCF成員來臺揭露K8s三大發展，多家臺灣金融和服務業分享第一手K8s實戰經驗，D…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>2024/9/21～10/25 精選容器新聞：</strong></span></h3> <p><strong><span style="color:#FF0000;">#K8s Summit #第一手K8s實戰 #雲原生永續</span><br /> 多家金融、高科技和服務業分享第一手K8s實戰和踩雷經驗，雲原生永續議題也在臺發酵</strong></p> <p>iThome主辦的K8s Summit，十月底一連兩天在臺北舉行，超過8百人報名，第一天主題演講由凱基證券亞太區資訊長黃榮林開場，分享凱基證券正在進行的核心轉型歷程，這項轉型計畫稱為天空計畫，要用K8s和微服務架構來重新打造證券核心，取代原本用了40年，以大型專有系統如AS400，使用COBOL、RPG等老舊程式語言開發的證券核心系統。</p> <p>參與了最新K8s碳排追蹤專案Kepler的IBM東京實驗室的科學家Marcelo Amaral也在第二天主題演講中分享最新的雲原生永續和K8s能耗追蹤技術，例如專案團隊正在強化eBPF探測技術的強化，也開始訓練VM能源模型，也持續重構和驗證專案程式品質。CNCF技術委員會成員Katie Gamanji和推廣大使太田航平則分享了K8s未來三大新進展，尤其強調WebAssembly對雲原生發展的重要性，可以提供一個獨立的環境，不受限於任何開發語言、作業系統和CPU，提供了一個安全、輕便而且可以在任何地方執行的技術。</p> <p>更有金控、銀行、證券、支付、高科技製造業、廣告服務業、人力銀行、房仲業者分享自家K8s實戰經驗，從核心架構改造、架構搬遷、雲端費用控管、大規模部署、K8s維運和故障排除、安全和金鑰控管、災難復原，甚至如何用來打資料工作流程等。</p> <p><strong><span style="color:#FF0000;">#WebAssembly #eBPF</span><br /> CNCF成員來臺揭露K8s三大重要發展，包括WebAssembly、eBPF和IT永續新工具</strong></p> <p>CNCF技術委員會成員Katie Gamanji和推廣大使太田航平在K8s Summit研討會中分享了K8s未來三大新進展。第一項是WebAssembly。為何這項技術對雲原生的發展，非常重要？太田航平解釋，WebAssembly可以提供一個獨立的環境，不受限於任何開發語言、作業系統和CPU。WebAssembly是一個二進位檔案，可以用不同的開發語言編譯成這種格式的檔案，再部署到瀏覽器或非瀏覽器的環境中執行。「WebAssembly提供了一個安全、輕便而且可以在任何地方執行的環境。」</p> <p>第二個重要新發展是eBPF，這項技術於本只是用來過濾網路封包，但現在的應用越來越多元，太田航平指出，eBPF有三大應用場景，資安監控，網路路由和過濾，以及可觀察性中的矩陣數據搜集，都各有不少知名的開源專案。這三類應用都是雲原生環境運作需要的核心能力。例如像New Relic的Pixie可觀察性工具，就是用eBPF技術來取得K8s運作的矩陣數據。<br /> 最後一項發展方向是永續性。「如何讓技術部門可以觀察，紀錄和評估他們自己的碳排放，在雲原生環境中，需要新的工具來解決這個課題。」Katie Gamanji指出。目前有兩項重要工具，Kepler專案可以用來追蹤K8s的能耗，另一個是碳察覺KEDA工具，可以依據碳排量數據變化來調度的自動擴充機制。例如可以設計系統使用「碳排密度」指標來調整規模，在配置檔中定義不同碳排密度事件的層級，當密度高時，自動降低應用系統的副本數量，來達到減少碳排的效果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/K8s-CNCF%E5%88%86%E4%BA%AB.JPG" /></p> <p><strong><span style="color: rgb(255, 0, 0);">#雲原生省錢 #K8s省錢 #SRE</span><br /> 阿物科技SRE分享雲端省錢術，揭露20%節費的關鍵策略</strong></p> <p>來自嘉義的臺灣行銷科技業者阿物科技，主力開發團隊在南臺灣總部，卻能服務全臺，甚至是日本到全球的上萬家企業，就是善用了公雲基礎架構，來提供各種行銷自動化的服務。</p> <p>不過，如何更有效管理上雲的費用卻是一大挑戰，阿物科技SRE經理謝明宏在幾今年K8s Summit上也分享了阿物科技能夠節省20%雲端費用的關鍵，就是靠雲端節費地圖（CLoud Cosy Optimization Map）。</p> <p>他在這張節費地圖中，盤點5種雲端成本的來源，像是雲算資源、穩路資源、儲存資源、軟體授權和訂閱費用等常見項目，也納入容易忽略的人為失誤的成本。並歸納出6大節費核心策略，從資源成本優化、儲存成本優化、網路成本優化到善用價格便宜的Spot VM（現貨虛擬機器），另外還包括了成本監控和擁抱FinOps/DevOps文化等六項。<br /> 謝明宏更分別針對雲原生環境與K8s環境，各自如何落實這六項節費核心策略，一一說明更多細節。</p> <p>例如，K8s可以透過Pod資源請求與限制的設置，以及調整Cluster Autoscaler來優化資源成本，或是進行Ingress流量優化和調整叢集設計，可以優化網路成本。在開發與測試環境或針對非核心服務善用Spot虛擬機器，甚至混用現貨虛擬機器和按需提供的虛擬機器，也有利於成本控管。而在雲原生環境的節費實作上，例如透過VM規模調整、自動化開關機、CUR/RI購買都能優化資源的成本，進行資料生命週期管理或優化資料庫也能改善儲存成本等。</p> <p>謝明宏也分享了阿物科技如何在不同情境中，運用雲端節費地圖中節費策略的實作案例，像是在電商網站站內搜尋使用Spot虛擬機器的經驗，或是導入IaC、GItOps來降低SRE團隊維運成本等。</p> <p>他建議企業要善用架構和工具來降低維運成本，也利用架構設計提高服務可用性，並藉助節費地圖來降低雲端成本，同時考量三者來兼顧高可用性又能節省成本。他更大方公開了雲端節費地圖的心智圖，供大家按圖參考，來設計符合自家企業雲原生環境和K8s維運的雲端節費地圖。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%9B%B2%E7%AB%AF%E7%AF%80%E8%B2%BB%E5%9C%B0%E5%9C%96-big.png" /></p> <p><strong><span style="color:#0000FF;">#</span><span style="color:#FF0000;">AI訓練框架 #微服務 </span><br /> 瞄準AI模型訓練需求，GKE開始提供Nvidia微服務框架NIM</strong></p> <p>最近Google雲宣布，開是在GKE上提供Nvidia的AI框架NIM，這是一個可以用來訓練大型語言模型的微服務框架，以微服務架構的形式，提供了一整套的大型語言訓練元件，可以讓企業使用現成的元件，就可以自行打造出自己的訓練平臺，來簡化大型語言模型訓練的複雜度。像是臺大與產學合作打造的Porject TAME繁中LLM模型，就使用了NIM來建立訓練基礎架構。NIM框架也針對不少現有模型提供了最佳化版本，企業可以在GKE控制臺上直接使用NIM微服務來部署模型，例如幾個點擊就可以部署出LLama 3.1版700億參數的NIM最佳化版的模型。另外，也更容易用GKE來協調部署搭載Nvidia GPU的GKE叢集來執行NIM版模型。</p> <p><strong><span style="color:#FF0000;">#容器工具 #Linux容器管理</span><br /> AWS容器工具Finch終於支援Linux，可跨三大作業系統管理容器 </strong></p> <p>日前，AWS宣布自家容器工具Finch開始支援Linux。這款開源的命令列工具，可以供開發者在多個作業系統中建構並執行Linux容器，提供跨平臺一致的體驗，現在無論在macOS、Windows還是Linux上，都能使用相同的工具和工作流程，另外，這次改版還加入對Docker API的支援，方便開發者延續現有Docker容器工作流程。<br /> 新版最大重點是，可以直接在Linux上建置和執行容器映像檔，而不再需要虛擬化技術，可以原生支援的容器技術包括Docker和containerd可直接使用Linux核心功能。新版Finch與Finch Daemon整合，還提供了Docker API的部分功能，讓習慣Docker工作流程的開發者，能夠使用熟悉的命令和工具來管理容器。<br /> 不過，這個做法與Finch在macOS和Windows上的運作方式不同，在這兩個作業系統中，則是使用中繼元件Lima提供虛擬化技術，透過macOS的QEMU或Virtualization Framework模擬Linux所需要的核心功能，而Windows則使用WSL2（Windows Subsystem for Linux 2）來提供類似的虛擬化支援，讓Windows用戶也可以執行Linux容器。</p> <p><strong>#H<span style="color:#FF0000;">elm Chart #GitOps</span><br /> 快速掃描Python和Java程式碼，StackGen能生成Helm Chart封裝檔加速部署</strong></p> <p>最近StackGen（前身是appCD釋出了自動生成部署檔，來強化對 Argo CD的整合支援，利用靜態分析技術，可以自動分析Python和Java程式碼的意圖，元件相依性，來剖析API介面、服務配置、網路配置或其他必要變數的設置，用AI自動生成Terraform部署程式碼，或是Helm Charts封裝檔。根據StrackGen宣稱，可以將軟體部署過程從數天，縮短到數分鐘。</p> <p><span style="color:#FF0000;"><strong>#基礎架構程式碼化 #Terraform</strong></span><br /> <strong>基礎架構自動化工具大更新，HashiCorp多項工具改版，要簡化大規模擴張的複雜度</strong></p> <p>IaC知名自動化軟體工具廠HashiCorp最近一口氣更新多項基礎設施生命周期管理產品，從Terraform、Packer、Nomad到Waypoint，要來簡化大規模基礎設施管理流程，尤其新功能聚焦減少使用者手動操作的繁瑣，改進使用者在不同基礎設施階段的操作，讓建構、部署和持續管理基礎設施能夠更簡潔方便。</p> <p>例如，HCP Packer提供映像檔管理功能，新增的CI/CD工作管線後設資料管理能夠追蹤每個映像檔的生成過程，確保用戶使用的映像檔皆經過驗證且符合規範，這是大型企業管理開源基礎架構環境時常見的需求。HCP Packer加入了儲存桶層級的RBAC（Role-Based Access Control），進一步加強對映像檔的存取控制，確保不同角色的用戶只能存取必要的部分。<br /> 另外在Terraform基礎設施部署工具上，則增加了HCP Terraform Stacks，可將多個Terraform模組整合成單一操作，避免基礎設施部署繁瑣的手動相依管理。大規模Kubernetes部署時，HCP Terraform Stacks新增的推延變更（Deferred Change）功能，可以讓用戶應對未知的變化來避免部署中斷。</p> <p>分散式負載調度工具Nomad新增加GPU支援，能夠靈活配置高效能運算資源，而應用部署執行管理工具Waypoin新功能則提供自動化應用部署流程，讓平臺營運團隊可以利用標準化模版和附加元件，簡化內部開發流程提升基礎設施和應用開發之間的協作效率。</p> <p><strong><span style="color:#FF0000;">#部署容器化應用 #DHH</span><br /> RoR之父打造的容器化Web應用部署工具Kamal大改版，2.0新版不只支援大量主機部署，也能快速將多套AP部署到一臺主機</strong></p> <p>專案管理平臺業者37signals在2023年大舉下雲，一年可以省下2百萬美元上雲費用的關鍵，正是RoR之父打造的一套大規模的容器化Web應用部署工具Kamal，主要利用Docker來部署和管理Web應用。Kamal在2024年初時推出1.3版，不只可以在裸機上部署Web應用，也可以用來部署雲端環境中的Web應用，這是一款可以通吃本地端和雲端的通用部署工具。</p> <p>這套讓37signals下雲的關鍵工具在10月釋出了Kamal 2新版，原本1.0版主要針對跨大量主機搭配外部負載平衡器來部署同一套應用，支援數百萬人等大規模的用戶。新推出的2.0版則有另一個大升級，可以將多個Web應用，快速部署到單一臺伺服器，來提高伺服器的AP密度，並且可以用Let’s Encrypt來實作自動HTTPS，還大幅簡化了部署管理最煩人的秘密管理。</p> <p>Kamal 2.0預設部署在Rails 8.0，但不只可用於Rails應用，也可以部署到任何語言或框架開發的Web應用。DHH強調，不需要用到像Kubernetes如此複雜的工具，用Kamal 2也能快速將容器化應用部署到雲端或地端的各種基礎架構環境，從便宜VPC，雲端虛擬機器叢集到本地端的硬體都可以使用，來降低部署和後續維運的複雜度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DHH%E5%88%86%E4%BA%AB.jpeg" /></p> <p><strong><span style="color:#FF0000;">#K8s資安 #映像檔工具</span><br /> 小心K8s映像檔製作工具發現重大漏洞，恐曝露虛擬機器root權限，官方先釋出緩解工具</strong></p> <p>最近Kubernetes資安回應團隊公布了一項映像檔建置工具（Image Builder）漏洞CVE-2024-9486、CVE-2024-9594，攻擊者有可能藉此得到虛擬機器（VM）的root權限，而這些漏洞發生的原因，源於映像檔建置過程中，使用了預設的帳密資料。較為嚴重的是CVE-2024-9486漏洞，CVSS評分達到6.3分，這是當用Proxmox提供者（provider）建置而成的虛擬機器映像，無法停用當中的預設帳號，若用這些映像檔建置節點，後續有心人士可透過這些預設帳密進行存取，藉此取得root權限，CVSS風險評分達到9.8。</p> <p>這些漏洞影響0.1.37版以前的Kubernetes Image Builder，開發團隊發布0.1.38版緩解上述弱點。Kubernetes資安回應團隊呼籲用戶，應透過這些已解決上述問題的工具，重建具有潛在風險的映像檔。</p> <p><strong>更多新聞：</strong></p> <ul> <li>Docker新價格方案將於11月中上路，Hub用量限制則於明年2月生效，企業得開始準備</li> <li>資安業者Group-IB提醒，新興勒索軟體Cicada3301鎖定多平臺攻擊，包括VMware ESXi環境。</li> </ul> <p><strong>責任編輯：王宏仁</strong></p> </div></div></div>
2024/10/25 13:09作者王宏仁https://www.ithome.com.tw/news/165691
美國防部將以三年、四階段推動CMMC規則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓美國國防工業產業（DIB）的供應鏈業者，有足夠的時間準備、理解和實施CMMC規則（CMMC Rule）的各種要求，以及解決任何CMMC評估、啟動過程中遭遇到的各種問題，並提供培訓所需的評估人員時間，美國國防部為CMMC規則制定了三年、四階段的推動計畫。</p> <p>美國德州KLC諮詢顧問公司也是被Cyber AB授權，授權可以執行美國國防部CMMC第三方認證（C3PAO）的公司。KLC諮詢顧問公司執行長暨資安長Kyle Lai（賴弘偉）表示，CMMC規則包含兩大部分，分別是專注政府採購程序和合約要求的48 CFR Part 204，以及針對相關國防供應鏈承包商與分包商所有CMMC規範的32 CFR Part 170。其中，32 CFR Part 170的最終版（final 32 CFR part 170 CMMC Program rule）已經在今年10月15日正式公布，預計60天後生效實施（今年12月16日）</p> <p>但另外針對美國國防採購相關的《48 CFR CMMC Acquisition Proposed Rule》，先是在今年8月15日公布48 CFR草案，Kyle Lai（賴弘偉）：「美國國防部預計CMMC規則的實施日期，是在最終的《48 CFR part 204 CMMC Acquisition rule》發布後的60天內實施。」至此，CMMC對業者及對政府的規範才算完備。</p> <h2><strong>推動CMMC四個階段的重點</strong></h2> <p>美國國防部會分成四個階段推動CMMC規則（CMMC Rule），第一階段也就是初步實施階段（Initial Implementation），自《48 CFR規則》（48 CFR Rule）生效日期開始；在適用的情況下，招標將要求CMMC認證等級第一級（Level 1）或第二級（Level 2）認證的自我評估（Self - Assessment）。</p> <p>企業需要針對基本的安全保護措施進行自我評估，並在相關系統中進行記錄。該階段為期一年。</p> <p>第二階段在第一階段開始後的12個月啟動，在適用的情況下，美國美國國防部國防部的招標，將要求CMMC認證等級第二級的第三方認證（C3PAO）。</p> <p>這表示，除了自我評估之外，部分企業需要聘請經過認證的第三方評估機構（C3PAO），對其進行正式的安全合規評估。</p> <p>第三階段則是在第一階段開始後的24個月啟動，在適用的情況下，美國國防部的招標，將要求CMMC第三級由國防部國防合約管理局（DCMA）網路安全評估中心（DIBCAC）主導的CMMC第三級認證。</p> <p>這個階段將逐步引入CMMC第三等級認證（Level 3）的要求，並將其應用於部分國防部的招標和合同中，第三級認證的要求，可能作為合約選擇期內的條件，而並不是初始合約授予的必要條件。</p> <p>第四階段就是全面實施（Full Implementation）階段，在第一階段開始後的36個月啟動，所有招標和合約都將包含適用的CMMC認證等級要求，作為合約簽訂的條件。也就是說，在第四階段，CMMC要求將全面實施，適用於新合約和選擇期授予的合約。</p> <p>美國國防部可根據需要，通過談判對CMMC實施前授予的合約進行修改，將CMMC的認證要求，添加到這些合約中。這項規則不需要進行任何更改，來反映現有的合約管理流程；關於具體合約事務的問題，包括合約成本和資金，不在此規則的範疇內。</p> <p>隨著 32 CFR第170部分「CMMC計畫規則」和48 CFR第204部分「CMMC採購規則」《48 CFR CMMC Acquisition Final Rule》的最終實施，潛在的國防部承包商和分包商，應積極準備好應對國防部的合約機會，當合約要求承包商或分包商處理、存儲或傳輸FCI（聯邦合約資訊）或CUI（受控未分類資訊）時，這些合約將包括CMMC各級認證的要求。</p> <h2><strong>以模擬方式，理解推動CMMC四個階段的時間點</strong></h2> <p>由於許多人很難理解CMMC規則的實施時間的計算，Kyle Lai就以一個模擬的方式，讓大家更清楚該如何計算CMMC各階段實施的時間。</p> <p>首先，他表示，對國防供應鏈業者應該如何理解CMMC規則的內涵，主要是在於要清楚，國防工業產業（DIB）的業者對於CMMC規則的規範與要求，都要參考32 CFR Part 170的最終版的內容；但國防部對於是否納入CMMC作為標案和國防採購案的相關規範，則必須參考最終版的48 CFR part 204 CMMC Acquisition rule。</p> <p>美國國防部會在48 CFR part 204 CMMC Acquisition rule最終版公布後60天正式生效實施，Kyle Lai假設該規則是2025年3月1日生效實施，這天就是國防部正式開始推動CMMC第一階段。</p> <p>在第一階段，國防供應鏈業者可以開始執行CMMC第一級和第二級認證中的自評（Self-Assessment），美國國防部也開始會把對於CMMC要求自評的規定，放在國防採購合約中。</p> <p>第二階段的推動時間點則是第一階段開始後的一年，就是2026年3月1日啟動，這時候國防業者可以開始執行CMMC由第三方評估（C3PAO）進行的第二級認證，國防部也開始會把需要C2PAO認證的要求，放在國防部的採購合約中。</p> <p>第三階段就是第二階段開始後的一年，就是2027年3月1日啟動，這時候執行由美國國防部國防合約管理局（DCMA）網路安全評估中心（DIBCAC）主導的CMMC第三級認證，就可以開始放在採購合約中執行。</p> <p>第四階段就是2028年3月1日開始啟動，也是第三階段開始後的一年，此時國防部會把對CMMC認證的要求，全數放入相關的採購合約中。</p> <p>Kyle Lai指出，這些國防業者究竟應該要取得CMMC哪一個等級的認證，主要都是看國防採購合約上的規定，這不會是任憑業者的自由意志決定，而是看當時的合約中，簽約的業者是否會傳輸、處理或儲存相關FCI（聯邦合約資訊）或CUI（受控非分類資訊）的機密性或重要性，在國防採購合約中明定業者應該取得的CMMC認證等級。</p> <p>在32 CFR第170部分CMMC計畫規則（32 CFR Part 170 CMMC Program Rule）公布在《聯邦公報》時，美國國防部也指出，將有8,350家中型和大型實體機構或單位，需要符合CMMC第二級第三方評估（C3PAO）的認證要求，這是簽訂合約的必要條件。</p> <p>CMMC第二級的要求將適用於所有處理、存儲或傳輸受控未分類信息（CUI）的承包商，並為國防部提供一種手段，來評估是否已滿足《32 CFR》第2002部分中規定的對CUI（受控未分類資訊）的保護要求。</p> <p>美國國防部估計，在第一年將完成135次由第三方評估機構（C3PAO）主導的認證評估，第二年將完成673次，第三年將完成2252次，第四年將完成4452次。</p> <p> </p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/10/25 11:10作者黃彥棻https://www.ithome.com.tw/news/165688
Fintech周報第254期：知名銀行AI成熟度指標Evident AI公布今年評比結果，多數銀行積極發表AI策略和應…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">9/24~10/24金融科技精選新聞</span></span></h3> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 全球50大銀行</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><strong style="color: rgb(255, 255, 255); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"><span style="background-color: rgb(51, 153, 255);">AI成熟度評比</span></strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></p> <h3>知名銀行AI成熟度指標Evident AI公布今年評比結果，多數銀行積極發表AI策略和應用，但極少能揭露投資報酬率數據</h3> <p>Evident AI近期公布今年度全球50大銀行AI成熟度排名，摩根大通連續三年拿下第一，第一資本排名第二，加拿大皇家銀行排名第三。在今年調查結果中，Evident AI表示，全球50大銀行中，有41間銀行的AI成熟度分數提高，顯示大多數領先者金融業仍積極發展AI。此外，報告顯示，今年全球50大銀行在領導力指標和透明度指標的分數顯著上升，因為，越來越多金融業者將AI發展策略列入年度報告中，並在今年公布自家的負責任AI原則。</p> <p>不過，Evident AI表示，雖然金融業者積極發表AI應用成果，但大多數沒有揭露AI投資報酬率。50間銀行中，僅有2間銀行嘗試估算AI投資回報。這兩間銀行分別是摩根大通和星展銀行。摩根大通營運長Daniel Pinto曾在今年五月表示，他們估算內部的AI應用價值，大約落在10億美元至15億美元間，這些應用涉及個人化服務、交易、營運效率、防詐和信貸決策等場景。星展銀行則在今年2月表示，2023年，AI幫助星展實現了3.7億新元的價值，是2022年的兩倍多。</p> <p><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國泰金控</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><strong style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="background-color: rgb(51, 153, 255);">GAIA</span></strong><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></p> <h3>國泰金控公開生成式AI技術發展框架GAIA</h3> <p>國泰金控近日在自家技術年會上，首度公開生成式AI技術發展框架GAIA，也揭露了內部AI評測機制。GAIA包含三個核心模組，分別是知識庫、Model Hub，和護欄。GAIA的知識庫類型可分為對內和對外，對內包含HR知識庫、授信知識庫、洗防知識庫等，對外則包含貸款產品知識、壽險產險產品知識、理財產品知識等。</p> <p>Model Hub是國泰GAIA架構中的另一個核心，能提供多種模型選擇，包含雲端、地端、開源或閉源模型，也提供標準化API接口，能介接各種服務。最後一個核心，是國泰自行開發的護欄，包含複合式規格護欄和多層抽換模組護欄。前者是在知識庫連接模型時進行資訊過篩，後者則是在既有模型護欄上，再加上防護措施，例如增加業務專屬的業務護欄，實現多層次過濾機制。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 集保</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><strong style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="background-color: rgb(51, 153, 255);">數位簽章</span></strong><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>超過500萬集保App用戶明年將可用數位簽章免臨櫃辦理股務事務</h3> <p>配合電子簽章法修法在今年5月開始施行，臺灣集中保管結算所（以下簡稱集保）規畫明年推出eCounter，讓股務事務結合數位簽章，投資人免臨櫃辦理資訊變更，提供股民更大的便利性。未來，當投資人通過身分驗證登入eCounter平臺，使用數位簽章遞交基本資料變更書件，平臺就會將書件資料送到各個股務單位審查、辦理變更。投資人不用臨櫃申辦相關業務，只要透過單一平臺就能完成資料變更。</p> <p>明年3月，集保預計推出PC版eCounter網站，提供使用者修改基本資料，例如戶名、ID、戶籍資料、通訊地址、連絡電話、股利配發集保帳號、銀行款項帳號等等。明年年底，eCounter功能會擴大至集保App中，超過500萬名集保e手掌握App用戶，能透過手機線上申辦資料變更。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬資產保管業務試辦</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>金管會計畫開放金融機構申請虛擬資產保管業務試辦</h3> <p>近期，金管會公布虛擬資產保管業務試辦初步規畫，邀請外界提供相關建議。在金管會的初步規畫中，金融機構若要申請虛擬資產保管業務試辦，須提供保管模式、向客戶提供的服務資訊、法規遵循、組織分工及管理制度、安全性規畫、資產隔離，和財務會計制度共七大項目資訊。</p> <p>今年七月，金管會主委彭金隆發表金融科技發展規畫，其中一項措施便是要開放金融業辦理虛擬資產保管業務。當時，彭金隆表示，希望從開放虛擬資產保管業務開始，讓銀行涉入虛擬資產，「在技術到位的情況下，我們就會開放銀行開始參與這一項業務。」</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 業務試辦作業要點</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>金管會公布「金融業申請業務試辦作業要點」，對擴大業務試辦範圍的作業規範更明確</h3> <p>今年七月，金管會主委彭金隆宣布五大金融科技策略，涵蓋近20項措施，其中一項措施是要大幅放寬銀證保業務試辦範圍。近日，金管會因應這項推動措施，公布「金融業申請業務試辦作業要點」，讓業務試辦範圍擴大更有明確的作業規範可循，更清楚列出開放公會和周邊單位的自律規範，以及金管會發布的行政規則、函釋作為試辦範圍，並增加可申請試辦的金融業業別。</p> <p>此外，在作業要點中，金管會也因應業務試辦範圍擴大，同步調整業者申請業務試辦時應提供的申請文件。並且，金管會也鼓勵金融業者能與其他非金融業合作申請業務試辦，發展創新應用。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FIDO</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 聯卡中心</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>聯合信用卡處理中心將在ACS平臺導入FIDO機制，聯邦銀行最先在明年第一季採用</h3> <p>聯合信用卡處理中心（以下簡稱聯卡中心）近日宣布，將在ACS平臺導入FIDO機制，讓既有的EMV 3DS網路交易安全認證服務，支援以生物識別機制進行身分驗證。意味著，未來持卡人在網站刷卡購物時，除了採用OTP方式，輸入簡訊提供的密碼進行身分驗證，也可以採用生物識別的方式驗證身分，完成刷卡購物。</p> <p>聯卡中心表示，這項機制將由聯邦銀行率先導入，預計在明年第一季上線。未來，持有聯邦銀行信用卡的消費者在網站刷卡購物時，能透過聯邦銀行網銀App進行身分驗證，例如使用指紋或臉部辨識。完成驗證後，網銀App會將固定識別值傳送給聯卡中心，讓聯卡中心根據識別值驗證持卡人身分。確認身分無誤，就能授權持卡人進行線上刷卡交易。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新加玻</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OTP</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>新加坡銀行計畫三個月內淘汰OTP驗證機制，改用SingPass取代</h3> <p>為了預防釣魚攻擊，今年七月，新加坡金融管理局及新加坡銀行公會宣布，新加坡主要零售銀行將在未來3個月內淘汰使用OTP驗證方式。近期，新加坡金融管理局和新加坡銀行公會選定Singpass取代OTP驗證機制，未來三個月，新加坡銀行將逐步採用Singpass作為使用數位憑證的身分驗證機制。這意味著，未來，新加坡銀行客戶若要使用數位憑證登入行網銀，須要使用Singpass進行身份驗證，才能順利登入。</p> <p>新加坡政府從2003年就開始推動SingPass，這是當地民眾的數位身分證，SingPass用戶可透過人臉辨識認證身分，使用上百個政府或商用組織提供的數位服務。</p> <h3>其他重要Fintech新聞：</h3> <ul> <li>澳洲麥格理集團完成核心交易和結算系統上雲</li> <li>跨境支付平臺HIVEX和韓國電子支付Zero Pay合作，未來臺灣電子支付品牌將能在韓國店家完成支付</li> <li>金管會擬於2025年增設金融市場發展與創新處</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年10月</p> <p></p> </div></div></div>
2024/10/25 09:37作者李昀璇https://www.ithome.com.tw/news/165687
Arm將取消對高通晶片技術授權，恐影響全球手機、Copilot+ PC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國晶片設計業者Arm計畫年底終止對高通（Qualcomm）技術授權。一旦成真，可能影響數以億計的手機、微軟Copilot+ PC及Arm筆電的晶片供應。</p> <p><a href="https://www.bloomberg.com/news/articles/2024-10-23/arm-to-cancel-qualcomm-chip-design-license-in-escalation-of-feud" target="_blank">彭博本周報導</a>，Arm近日通知高通，將在60天後取消晶片技術授權。Arm技術是高通賴以生產Oryon CPU的關鍵，這個CPU又是高通多款Snapdragon晶片的一部份。一旦無法取得授權，將影響眾多使用Snapdragon的裝置，包括智慧型手機、連網電視，以及微軟和高通合推的Copilot+ PC。<a href="https://www.pcworld.com/article/2497912/arm-will-cancel-qualcomms-license-to-make-the-snapdragon-x-elite.html" target="_blank">PCWorld</a>已向業者證實此事。</p> <p>雙方爭執源自高通2021年收購晶片業者Nuvia引發Arm的不滿。Nuvia原先也取得Arm授權生產晶片，並使用Arm商標，高通在收購Nuvia後仍持續這行為，但是Arm認為Nuvia並無權轉讓該授權。<a href="https://www.ithome.com.tw/news/152821" target="_blank">2022年Arm控告高通</a>違反授權協議且侵犯Arm的商標權。高通也反告Arm。雙方官司預定12月開庭。</p> <p>高通向來是手機晶片主要供應商。本周高通才公布號稱效能全球最快的<a href="https://www.ithome.com.tw/news/165604" target="_blank">Snapdragon 8 Elite</a>，即採用Oryon CPU，預定2025年內建三星Galaxy S25或OnePlus等智慧型手機。此外，今年微軟偕同高通推出的Copilot+ PC及Surface Pro，則是使用包含Oryon的Snapdragon X Elite與X Plus。也就是說，一旦Arm真的取消授權，將影響全球智慧型手機的晶片版圖。</p> <p>對於Arm在開庭前夕取消授權，高通對媒體<a href="https://www.windowscentral.com/microsoft/report-arm-is-sensationally-canceling-qualcomms-chip-license-oct-2024" target="_blank">發出聲明指出</a>，此舉是Arm的一貫技倆，是旨在搶奪長年合作夥伴、干擾其效能領先的CPU與增加權利金的「毫無勝算的威脅」。高通認為在12月開庭前Arm狗急跳牆的作法，突顯Arm企圖干擾法律程序，Arm終止授權的理由完全沒有根據。高通說有信心其權利將透過官司獲得確認，而Arm打壓競爭的行為也不會被容忍。</p> <p>Arm則認為自己佔上風。<a href="https://www.pcworld.com/article/2497912/arm-will-cancel-qualcomms-license-to-make-the-snapdragon-x-elite.html" target="_blank">這家英國晶片業者聲明</a>，取消授權一舉是高通多次違反Arm授權協議，Arm不得已採取正式行動要求高通修正其違約行為，或是終止合約。該公司也說有信心12月的判決結果對自己有利。</p> </div></div></div>
2024/10/25 09:23作者林妍溱https://www.ithome.com.tw/news/165685
OpenAI圖片生成AI新方法sCM，速度是傳統擴散模型的50倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI研發了一種稱為<a href="https://openai.com/index/simplifying-stabilizing-and-scaling-continuous-time-consistency-models/">sCM（Continuous-Time Consistency Model）</a>的生成方法，能夠大幅提升取樣速度，相比傳統的擴散模型，sCM只需要兩步驟取樣即可生成高品質樣本。研究顯示，sCM在生成效率提升約50倍，且樣本品質與最佳擴散模型相當，適合用於即時生成應用。</p> <p>擴散模型已廣泛用於生成圖片、3D模型、音訊和影片，但是傳統擴散模型取樣過程緩慢，通常需要數十到數百個逐步降噪的過程，才能生成一個高品質樣本，因此，這類模型在即時應用和大規模資料生成方面效率很低且難以擴展，雖然現在已經有一些技術能夠加快擴散模型的速度，但是通常伴隨複雜訓練過程，甚至是樣本品質下降的副作用。</p> <p>為了解決擴散模型的既有問題，OpenAI研究團隊開發了sCM。sCM這種經過改良的生成模型方法，只需要兩個取樣步驟即可生成與擴散模型品質相當的高解析度樣本，大幅縮短生成樣本的時間。由於sCM可實現約50倍的速度提升，因此特別適合用於即時應用，像是圖片、音訊和影片生成。</p> <p>sCM也具有高可擴展性和穩定性，該模型可以處理大規模資料集，並能擴展至擁有15億參數的模型，而且在該規模下，sCM仍可保持高品質生成效果。sCM訓練過程利用預訓練擴散模型蒸餾出來的知識，在縮短了取樣時間的同時，保持高品質樣本生成。</p> <p>研究人員使用ImageNet 512x512資料集訓練的sCM，能夠生成細節豐富且高品質的圖像，展現其在高解析度生成方面的能力。雖然sCM只有兩個取樣步驟，但是生成的樣本品質依然可接近最佳擴散模型，研究人員使用FID（Fréchet Inception Distance）分數進行評估，sCM樣本品質與需要數百步驟取樣的擴散模型相比，差異不到10％。</p> </div></div></div>
2024/10/25 08:27作者李建興https://www.ithome.com.tw/news/165684
【AI應用不可或缺的儲存傳輸加速架構】持續擴展中的GDS儲存應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1025-cover1-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Nvidia的一系列GPUDirect傳輸技術中，GPUDirect Storage（GDS）是作為儲存裝置與GPU之間的傳輸加速用途，在AI應用的資料流框架中，原本是最後端、外圍的角色，只在最初的資料饋入，與最終的寫入保存運算結果時派上用場，但隨著AI應用的資料量持續暴漲，也讓GDS的重要性跟著水漲船高。</p> <p>為此，<a href="https://www.ithome.com.tw/article/160493" target="_blank"><span style="color:#3366ff;">我們去年（2023）12月的封面故事「GPU直連I/O傳輸架構的崛起」</span></a>，曾初步介紹GDS傳輸加速架構的運作概念，與當時儲存業界的支援情況，如今GDS的相關應用又有一連串顯著進展。</p> <p>首先，過去幾個月以來，又有多家重要儲存廠商加入GDS支援行列，或是發表支援GDS的新產品，使得力挺GDS的廠商與儲存產品數量一舉超過20個，涵蓋所有一線大廠與重要新創廠商，以及不同層級的儲存產品與裝置。其次，各儲存廠商也紛紛以GDS模式下的傳輸效能數字，標榜自身產品的AI應用效能，因此，GDS儼然成為衡量AI應用中的儲存效能基準。這些新發展，也促使我們再次回到這個議題。</p> <p>在檢視GDS應用的新發展之前，我們首先簡單回顧GDS的基本概念，以及運作方式。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>克服GPU運算時代的I/O瓶頸</strong></span></span></p> <p>GDS這項技術誕生的遠因，是為了因應GPU運算時代，效能瓶頸從運算力轉移到I/O的現象。</p> <p>過去基於CPU為核心的運算環境中，資料處理的主要瓶頸在於CPU的運算能力，I/O相對不是大問題；而在今日基於GPU的運算環境中，由於GPU的運算能力提升幅度，大於I/O吞吐能力的提升，反而讓I/O成為整個資料處理過程中的效能瓶頸所在。必須同步提高I/O效能，才能有效改善整體處理能力。</p> <p>GDS這項技術誕生的近因，則是AI應用資料量持續暴漲的結果。</p> <p>儲存裝置在AI應用中的主要任務，是負責向運算單元饋入訓練資料集，以及寫入與保存運算結果。但隨著AI訓練的資料集容量持續增加，從儲存裝置將資料載入到GPU，所需時間也越來越長。</p> <p>如此一來，從本地端儲存裝置到GPU之間的資料傳輸，以及從外部儲存設備到GPU伺服器之間的資料傳輸，成為制約AI應用的效能瓶頸所在，如果儲存設備向GPU載入資料的速度過慢，將會大大拖累整體處理速度。這也促使Nvidia在2019年推出GDS架構，以提高從儲存設備到GPU伺服器之間的傳輸效率。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>AI應用環境的I/O需求</strong></span></span></p> <p>大語言模型、1080P高畫質影像訓練的資料集，動輒就能達到TB或數十TB等級，不可能完全預先載入GPU伺服器的記憶體，而需多次從內部或外部儲存裝置讀取，因而會對儲存裝置帶來龐大的讀取流量需求；為了確保訓練過程中的容錯需求，也需要定期寫入檢查點，從而為儲存裝置產生TB等級資料的龐大寫入流量。</p> <p>所以，儲存裝置也必須確保足夠的傳輸效能，才能讓AI訓練工作有效率的執行，這也正是GDS的目的。</p> <p>在Nvidia的DGX SuperPOD參考架構文件《NVIDIA DGX SuperPOD: Next Generation Scalable Infrastructure for AI Leadership Reference Architecture Featuring NVIDIA DGX H100》，就針對資料集較龐大、無法直接載入快取記憶體的AI訓練工作，建議應啟用GDS架構，提供更高的持續傳輸速度，從而發揮最佳的AI訓練效能。</p> <p>事實上，上述這份文件，推薦適用於大型AI模型訓練所需的「最佳」（Best）儲存效能指標——單一節點可提供40GB/s以上讀取效率，以及20GB/s寫入效率，理想目標是盡可能接近80GB/s的網路最佳效能，然而，目前也只有在GDS架構的幫助下，才能有效率地實現這個目標。</p> <p><span style="font-size:20px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 效能瓶頸的轉移：CPU運算 vs. GPU運算 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(2)-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:20px;"><span style="color: rgb(51, 153, 255);"><strong>關於資料處理的過程，我們可以簡單分解為資料的讀取載入、運算，以及寫入運算結果等3個步驟。</strong></span></span></p> <p><span style="font-size:20px;"><span style="color: rgb(51, 153, 255);"><strong>在以往基於CPU的運算環境，資料處理過程的大部分時間，都耗費在運算，資料讀取與寫入占用的時間比重有限，瓶頸往往落在運算這一環節，I/O相對不是大問題。</strong></span></span></p> <p><span style="font-size:20px;"><span style="color: rgb(51, 153, 255);"><strong>而在今日基於GPU的運算環境中，依靠GPU大幅縮減運算處理時間，也使得整個資料處理過程中，I/O耗費時間的比重大幅增加，成為新的瓶頸所在。</strong></span></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Nvidia</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>GDS打破傳統傳輸架構的限制</strong></span></span></p> <p>在傳統的伺服器I/O架構下，如果我們要從GPU伺服器的本地端儲存裝置，將資料傳送給GPU當中處理時，資料會先經由GPU伺服器的PCIe交換器，複製到伺服器CPU記憶體的回彈緩衝區（Bounce Buffer），後續再複製到GPU記憶體。</p> <p>若要從外部儲存設備傳送資料到GPU，則會經由GPU伺服器的網路卡與PCIe交換器，先將資料複製到伺服器主機CPU記憶體的回彈緩衝區，再複製到GPU記憶體。</p> <p>在這樣的資料傳輸路徑中，存在2個效能瓶頸：</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 延遲增加 </span></strong></span></p> <p>將資料從儲存裝置傳送到GPU的過程，需要經過至少3到4個環節的中介，內接SSD會經過PCIe交換器、主機CPU、與系統記憶體等3個環節，外部儲存設備還會多經過網路卡這個環節。而這整個過程中，還須進行至少2次記憶體資料複製——先複製到主機CPU記憶體回彈緩衝區，再複製到GPU記憶體，資料才能為GPU存取，因而增加了延遲，也會耗費許多CPU操作週期，增加CPU負荷。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 傳輸頻寬受限 </span></strong></span></p> <p>儲存裝置將資料傳送到GPU的過程中，傳輸率會受到GPU與CPU之間的PCIe傳輸通道頻寬制約。</p> <p>這個問題主要是出現在一些較舊款的GPU伺服器，如搭配A100、V100等GPU平臺的伺服器，主機CPU連接PCIe交換器的傳輸頻寬，只有GPU的PCIe傳輸頻寬一半，因而若資料傳輸路徑通過CPU，那麼傳輸率就會受限於CPU的PCIe傳輸頻寬。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#000000;"> 直接記憶體存取（DMA）技術突破效能瓶頸 </span></span></strong></p> <p>從儲存裝置向GPU傳送資料的過程中，須經由主機CPU與記憶體的中介，正是形成效能瓶頸的原因所在，解決辦法就是盡量不讓資料繞經這個環節，而是直接讓儲存設備將資料傳送到GPU，亦即應用直接記憶體存取（Direct Memory Access，DMA）技術。</p> <p>而Nvidia的GDS傳輸加速架構的基本概念，就是儲存裝置透過直接記憶體存取（DMA）技術，直接經由PCIe交換器晶片將資料寫入GPU記憶體，繞開GPU伺服器主機CPU。如此一來，既能減少延遲，又能利用到GPU的最大傳輸頻寬。</p> <p>GDS省略將資料複製到主機記憶體（即回彈緩衝區）的過程，因而能顯著減少延遲。另一方面，由於主機CPU不參與資料傳輸作業，也能減輕主機CPU的負荷。最後，儲存裝置到GPU之間的傳輸效能，也不會受到主機CPU的PCIe傳輸通道頻寬限制。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> GDS傳輸架構的價值 </span></strong></span></p> <p>Nvidia宣稱，透過GDS可獲得2倍以上的資料傳輸頻寬提升，並降低存取延遲與CPU負荷。而相關廠商的實測報告，也印證GDS的效能提升效果。</p> <p>如VAST Data所提供的測試數據顯示，他們的儲存平臺透過8個InfiniBand埠將資料載入Nvidia DGX-2，啟用GDS可讓持續傳輸率提高近3倍（從33 GB/s提高到94 GB/s），CPU負荷減輕將近85%（CPU利用率從99%降到15%），證實GDS提高傳輸率、減少主機CPU負荷的效果。</p> <p>美光的測試報告，進一步突顯GDS在高負載環境的效能改善效益。</p> <p>該公司以9400 NVMe SSD搭配Nvidia DGX A100系統進行的實測顯示，比起傳統I/O架構，GDS在4KB小區塊傳輸下，可提升33%的傳輸率，並減少25%回應時間，在1024KB大區塊傳輸測試中，則有16%的傳輸率與回應時間改善。數字雖然看來不錯，但似乎不如Nvidia宣稱那樣大幅度的提升，然而美光的報告顯示，GDS的真正價值，其實是在主機處於高負載的繁忙情境。</p> <p>前述測試數字是在主機處於閒置狀態、沒有其他工作負載的效能表現，但實際應用並不會如此，用戶往往必須在主機處於訓練工作的高負載情況下，同時讓儲存裝置向主機傳送資料，資料傳輸工作會面臨與其他工作負載爭搶主機CPU與記憶體資源的困境，導致效能大受衝擊。此時若有GDS這種繞過主機CPU與記憶體的存取架構，便能維持一定程度的傳輸能力。</p> <p>美光模擬了主機CPU處於86%的高利用率，CPU的記憶體頻寬利用率也達到50%的情境，此時利用傳統I/O架構進行傳輸作業，效能將變得極為低落，GDS則仍能維持相當程度的運作。在最消耗主機資源的4KB小區塊傳輸測試中，GDS仍能提供相當於理想狀態一半的傳輸率與回應延遲表現，相較同樣環境中的傳統I/O架構，GDS的效能與傳輸率足足高出7.3倍與6.4倍。而在相對較不消耗主機資源的1024KB大區塊傳輸測試，GDS的回應時間雖然增加2倍，但傳輸率幾乎不受影響，比起傳統I/O架構，傳輸率與回應延遲都改善1.5倍。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>迅速擴展中的GDS應用環境</strong></span></span></p> <p>Nvidia是在2019年中發表GDS技術架構，2020年底推出正式的第1版軟體，隨後便在2021年湧現了第一波儲存廠商支援熱潮，DDN、Dell、Hitachi Vantara、HPE、IBM、VAST Data、Weka、ScaleFlux等儲存廠商，都是在這個時期，將GDS納入自身產品平臺的傳輸架構支援。</p> <p>到了2022與2023年，GDS支援產品的擴展速度稍有減緩。2022年只增加NetApp、Kioxia，但NetApp是先後以2種平臺參與對GDS的支援，2023年有華為、美光、PEAK:AIO，HPE也在此時增加了第2種支援GDS的平臺。</p> <p>在我們去年底首次介紹GDS時，市場上支援GDS的廠商大致就是以上這些。不過在這個時間點之後，GDS的產品支援擴展速度又開始加快。</p> <p>首先是Pure Storage在2023年底宣布支援GDS，並獲得Nvidia認證。當時間進入2024年後，Hammerspace、WD分別在年初與年中，加入支援GDS的行列，HPE也在2024年中時、新增旗下第3種支援GDS的儲存平臺，Nutanix亦在7月預告，他們的儲存平臺也即將加入GDS的支援。</p> <p>最晚近發布的GDS相關產品消息，則是Pure Storage在9月底發布的新產品FlashBlade//S100規格，也列入GDS的支援，是目前最新一款支援GDS架構的產品。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>躋身AI應用的標準儲存傳輸架構</strong></span></span></p> <p>儘管儲存界支援GDS的聲浪浩大，然而，並非所有儲存廠商都認同GD這項技術，例如高效能物件儲存系統供應商MinIO便聲稱，他們的平臺利用標準乙太網路，就能提供足夠的傳輸效能，無需使用GDS，從而避免使用InfiniBand或RDMA架構所帶來的複雜性。</p> <p>MinIO認為自身的部署經驗顯示，GPU應用環境的I/O瓶頸在於網路通道頻寬，而不在於傳輸路徑是否使用回彈緩衝區，因而GDS並非是必要的架構。</p> <p>但MinIO只是少數派，多數主要儲存廠商都認同GDS的價值，並積極支援GDS技術，持續增加的GDS支援廠商便是證明，也讓GDS逐漸成為AI應用必備的傳輸架構。</p> <p>當前AI應用的熱潮仍持續不減，考慮到Nvidia GPU在AI應用中的關鍵地位，以及GDS所能提供的傳輸效能提升效果，我們可以很肯定地認為：任何想要在AI應用中扮演重要角色的儲存廠商，都必須支援這套傳輸架構，才能具備足夠的競爭力。</p> <p><strong style="font-size: 36px; color: rgb(255, 255, 0);"><span style="background-color:#000000;"> GPUDirect Storage的適用場合 </span></strong></p> <p><strong>藉由GPUDirect Storage（GDS）所帶來的I/O傳輸加速效益，並非所有場合都有效，必須是在I/O密集型環境，以及不涉及CPU處理的情境中，才能發揮作用。</strong></p> <p><strong>首先，GDS針對的是儲存設備到GPU之間的I/O瓶頸問題，如果I/O不是應用環境的瓶頸，GDS自然沒有幫助。例如在不涉及大量資料傳輸的運算密集型環境，運算耗費的時間遠大於資料傳輸時間，或運算工作無須等待I/O完成的非同步I/O環境，由於I/O並不是這些應用的瓶頸，GDS便無法發揮效益。</strong></p> <p><strong>其次，GDS僅有助於儲存裝置到GPU之間的傳輸，GPU必須是應用程式資料傳輸過程第1個或最後1個接觸的環節，GDS才能發揮助益。若應用程式在GPU運算之前或之後，還需使用主機CPU處理或分析資料，將會消除GDS的效益。</strong></p> <p><strong>反之，如果是涉及大量資料傳輸，且能卸載給GPU執行的應用情境，GDS便能發揮顯著的加速效果，AI模型訓練便是這種情境的典型。</strong></p> <p><strong><span style="font-size:22px;"><span style="color:#FFFFFF;"><span style="background-color:#ff0066;"> </span></span><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color:#FFFFFF;"><span style="background-color:#ff0066;">相關報導</span></span></a><span style="color:#FFFFFF;"><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="background-color:#ff0066;"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/gpudirect-storage">GPUDirect Storage</a></div><div class="field-item even"><a href="/tags/gds">GDS</a></div><div class="field-item odd"><a href="/tags/ai%E5%84%B2%E5%AD%98%E7%94%9F%E6%85%8B%E5%9C%88">AI儲存生態圈</a></div></div></div>
2024/10/25 06:00作者張明德https://www.ithome.com.tw/tech/165665
GPUDirect Storage（GDS）的基本概念
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1025-cover2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美光Micron</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>下圖是從SSD向GPU傳送資料的傳統I/O路徑，資料會經由PCIe交換器、經過主機CPU、複製，寫入主機記憶體的回彈緩衝區（bounce buffer），再經由CPU、PCIe交換器，複製寫入GPU的記憶體，供GPU存取。這整個過程需要經過6個環節，以及2次資料複製作業。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(2)-600--1.png" style="text-align: center; width: 452px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／美光Micron</span></span></p> <p>之所以必須採用這種繁瑣的傳輸路徑，是一系列原因造成的。</p> <p>在儲存裝置與GPU之間的資料移動，是透過CPU運行的系統軟體驅動程式來管理，並可由下列3種方式來執行傳輸作業，但各有限制：</p> <p>（1）經由GPU的直接記憶體存取（DMA）引擎執行資料傳輸工作，但是，第3方周邊裝置通常不會公開其記憶體給其他裝置的DMA引擎定址，因而GPU無法以其DMA引擎直接存取第3方的周邊裝置，只有主機CPU的記憶體可供GPU DMA引擎存取。這也導致第3方周邊裝置向GPU的資料傳輸路徑，必須經過主機CPU記憶體中的回彈緩衝區，來作為中介。</p> <p>（2）經由CPU的載入與儲存指令來執行資料傳輸，但CPU無法在2個周邊裝置之間直接複製資料，而須經由CPU記憶體回彈緩衝區的中介。</p> <p>（3）經由周邊裝置的DMA引擎來執行資料傳輸，如NVMe SSD、網路卡或RAID卡的DMA引擎，而GPU的PCIe基底位址暫存器（PCIe Base Address Register，BAR）的定址，是可以提供給其他周邊裝置DMA引擎存取的，Nvidia的GPUDirect RDMA技術，就是利用這點來實現GPU與網路卡之間的直連存取。</p> <p>問題在於，若存取的目標是檔案系統層級的儲存裝置，就必須由作業系統介入存取過程，但作業系統並不支援將GPU的虛擬定址傳遞給檔案系統，因而無法執行DMA存取。</p> <p>傳統I/O路徑會帶來下列3個副作用：（1）延遲增加；（2）傳輸效率受CPU的PCIe通道頻寬限制；（3）傳輸作業需耗費CPU週期，增加CPU與主機記憶體負擔，並與其他工作負載爭搶CPU資源與主機記憶體頻寬，導致傳輸率的抖動與不穩定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(2)-600--2.png" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／美光Micron</span></p> <p>上圖是在GDS架構，從SSD向GPU傳送資料的I/O路徑，可以繞過（Bypass）主機CPU與記憶體，讓SSD直接透過PCIe交換器，以DMA方式將資料複製寫入GPU的記憶體，整個過程只需經過2個環節，以及1次資料複製，從而帶來3項直接效益：（1）避開主機CPU的PCIe通道頻寬限制；（2）減少傳輸過程的環節，降低延遲；（3）降低主機CPU與記憶體的負擔，減少資料傳輸作業對於其他工作負載的影響。</p> <p>除此之外，GDS架構還能帶來幾項附帶的效益：</p> <p>（1）透過額外的PCIe傳輸通道提高傳輸頻寬：當資料傳輸無須繞經主機CPU與記憶體，只需在PCIe交換器與周邊裝置之間進行時，若搭配採用多層PCIe交換器，同時啟用多條傳輸通道，將能顯著提高伺服器整體傳輸頻寬。</p> <p>而在傳統I/O架構下，由於資料傳輸必須經由主機CPU與記憶體，頻寬會被主機CPU的PCIe通道給綁住，即便有多層PCIe交換器，也無法獲得頻寬提高的效果。</p> <p>（2）解放主機記憶體的占用：資料傳輸使用的回彈緩衝區，會占用到相當可觀的主機記憶體容量，有時候甚至多達1TB，GDS則能解除資料傳輸作業對寶貴主機記憶體空間的占用。</p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);"> </span></span><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);">相關報導</span></span></a><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="background-color: rgb(255, 0, 102);"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/gpudirect-storage">GPUDirect Storage</a></div><div class="field-item even"><a href="/tags/gds">GDS</a></div><div class="field-item odd"><a href="/tags/ai%E5%84%B2%E5%AD%98%E7%94%9F%E6%85%8B%E5%9C%88">AI儲存生態圈</a></div></div></div>
2024/10/25 06:00作者張明德https://www.ithome.com.tw/tech/165666
GPUDirect Storage的部署與啟用條件需求
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1025-cover3-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome整理製表，2024年10月</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>藉由GPUDirect Storage（GDS），可以讓GPU伺服器本機的NVMe SSD，或是外部第3方的檔案儲存系統，透過DMA或RDMA方式，繞過GPU主機CPU與系統記憶體，直接將資料傳送到GPU的記憶體，從而大幅提高儲存裝置與GPU之間的資料傳輸效率。但要啟用這套架構，必須有硬體與軟體方面的配合。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>● 硬體需求</strong></span></span></p> <p>在GPU伺服器端，只有較新款的Data Center等級GPU平臺，與Quadro等桌上型等級GPU平臺，可以支援與運行GDS（詳見Nvidia網站公布的清單），若要透過GDS連結外部儲存設備，GPU伺服器還需要搭配支援RDMA架構的網路卡，如InfiniBand或RDMA乙太網路卡。</p> <p>至於儲存裝置端則分為兩種，一為區塊類型，另一為網路附加型儲存裝置。</p> <p>區塊類型儲存裝置分兩種，一為GPU伺服器本機儲存裝置，能透過PCIe連結GPU的NVMe SSD即可。二為外部儲存設備從遠端掛載的區塊儲存區（Volume），需支援NVMe-oF形式的外部儲存設備。</p> <p>對於網路附加型儲存裝置，基本上都是外部遠端掛載的檔案系統，檔案系統必須支援RMDA網路介面才能運行GDS。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>● 軟體需求</strong></span></span></p> <p>要在GPU伺服器端啟用GDS，首先，必須安裝Nvidia的MLNX_OFED與nvidia-fs.ko這兩個軟體元件，前者用於為InfiniBand與RDMA乙太網路卡建立跨遠端的RDMA存取，後者用於為儲存裝置提供對於GPU記憶體的DMA直接存取。</p> <p>其次，是必須安裝內含GDS軟體元件的CUDA 11.4版以後軟體套件。</p> <p>在儲存裝置端，GDS對儲存裝置的存取，是在GDS的CuFile API控制下，透過nvidia-fs.ko驅動程式，經由Linux的虛擬檔案系統（Virtual Filesystem，VFS）介面的中介，在檔案系統層級上進行。</p> <p>所以對於GPU伺服器連接的區塊型儲存裝置，包括本機的NVMe SSD，或是遠端掛載的外部儲存裝置邏輯儲存區（如EBOF儲存櫃），必須格式化為EXT4或XFS檔案系統的形式，再掛載到GPU伺服器使用。</p> <p>對於檔案系統型儲存裝置，第3方檔案系統若要支援GDS，必須能支援RDMA遠端存取，通常採取2種實作方式，一為透過修改的NFS協定（例如NFS over RDMA），另一為透過OFED（OpenFabrics Enterprise Distribution）介面，藉此將檔案系統空間掛載給GPU伺服器使用，採取前者作法的平臺，例如Dell PowerScale 9.2版以後版本，後者則有DDN的EXAScaler 5.2以後版本，Weka的WekaFS 3.13以後版本等。</p> <p>這些GDS相容檔案儲存平臺，多是第3方廠商專屬儲存設備的檔案系統，因而只能跟著這些廠商的儲存產品硬體一同提供。不過，也有部分平臺例外，可以單獨提供檔案系統軟體套件，供用戶自行建置儲存系統，如BeeGFS與Weka FS，都提供這種建置模式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(3)-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">資料來源：iThome整理，2024年10月</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>GDS使用的儲存裝置分為2大類型、一共3種形式：</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>第1大類是區塊型儲存裝置，包括GPU伺服器本機的NVMe SSD，以及外部儲存設備透過NVMe-oF掛載的Volume儲存區，這一類儲存裝置將被格式化為EXT4或XFS檔案系統形式後，經由Linux的VFS介面連結nvidia-fs.ko軟體元件，藉此讓儲存裝置能以DMA引擎存取GPU的記憶體。</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>第2大類是檔案型儲存裝置，相容GDS的第3方檔案系統，可透過nvidia-fs.ko軟體元件，以DMA方式存取GPU記憶體。</strong></span></span></p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);"> </span></span><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);">相關報導</span></span></a><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="background-color: rgb(255, 0, 102);"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/gpudirect-storage">GPUDirect Storage</a></div><div class="field-item even"><a href="/tags/gds">GDS</a></div><div class="field-item odd"><a href="/tags/ai%E5%84%B2%E5%AD%98%E7%94%9F%E6%85%8B%E5%9C%88">AI儲存生態圈</a></div></div></div>
2024/10/25 06:00作者張明德https://www.ithome.com.tw/tech/165668
【AI直連儲存加速時代來臨】GPUDirect Storage產品生態總覽
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1025-cover4-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NetApp</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>憑藉AI應用持續興盛，以及輝達在GPU與加速運算的龐大影響力，用於改善GPU應用環境I/O傳輸效率的GPUDirect Storage（GDS），短短幾年內，就成為GPU領域標準的傳輸架構之一，也是有意在AI應用扮演重要角色的儲存廠商，必須支援的I/O技術架構。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>支援GDS的儲存裝置形式</strong></span></span></p> <p>從儲存裝置的存取層級來說，GDS支援2種類型的儲存裝置：</p> <p>（1）GPU伺服器本機掛載的區塊型（Block）儲存裝置，又分為兩種類型，一為透過NVMe介面直連的NVMe SSD，另一為外部儲存設備經由NVMe-oF架構連接的儲存區（Volume），這類裝置將格式化為EXT4或XFS檔案系統，再提供給GDS建立連結。</p> <p>（2）GPU伺服器遠端掛載的外部檔案系統，也就是支援RDMA傳輸架構，且相容於GDS技術的第3方檔案層級儲存設備。</p> <p>所以從儲存裝置的型態來說，GDS一共支援3種儲存裝置：（1）GPU伺服器內接的NVMe SSD，（2）經由NVMe-oF掛載的外部區塊型儲存裝置，（3）經由RDMA網路連結的外部檔案型儲存裝置。</p> <p>在這3類儲存裝置中，GPU伺服器內接NVMe SSD的規格限制條件最少，幾乎適用所有相容於GPU伺服器的NVMe SSD產品（包括ScaleFlux的運算型儲存裝置產品），存取延遲最低，但在容量與傳輸頻寬擴展能力方面，會受到相當大的限制，取決於GPU伺服器能支援的NVMe SSD數量，一般而言，最多搭配十多臺NVMe SSD。</p> <p>考慮到AI相關應用的規模擴展需求，更實用的GDS儲存應用架構，將是搭配外部儲存設備的型式，也就是藉由NVMe-oF掛載的外部區塊型儲存設備，以及經由RDMA網路連結的外部檔案型儲存設備。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 典型的GDS應用架構：NetApp EF系列與BeeGFS的組合 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(4)-600--2.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>這是後端NVMe-oF搭配前端InfiniBand/RDMA的GDS應用架構。由NetApp的EF600儲存陣列，以NVMe over InfiniBand協定經由200Gb IfiniBand網路介面，將儲存區直接掛載到運行BeeGFS檔案系統的SR655伺服器上，後者再經由InfiniBand交換器，將檔案系統空間以InfiniBand/RDMA方式連到GPU伺服器，構成GDS連接。</strong></span></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／NetApp</span></span></p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong>支援GDS的儲存平臺</strong></span></span></p> <p>目前支援GDS的外部儲存設備，以檔案型儲存設備占大多數，總共有十多家廠商的產品，幾乎涵蓋當前市場上多數常見的檔案儲存平臺，包括：在高效能運算領域常見的知名老牌檔案儲存平臺，例如DDN的EXAScaler，HPE Cray ClusterStor，IBM Spectrum Scale（現在已改稱Storage Scale），ThinkParQ的BeeGFS，還有兩大分散式高效能檔案平臺新秀——VAST Data的Universal Storage，Weka的WekaFS，以及知名的通用檔案儲存平臺，如Dell的PowerScale、NetApp的ONTAP，PureStorage的FlashBlade，以及華為的GFS（Global File System）等。</p> <p>前述這些平臺，又可依照支援GDS的傳輸架構型式，分為直接透過RDMA網路連接（InfiniBand或RoCE乙太網路），以及透過NFS over RDMA協定（NFSoRDMA）等2大類。前者有EXAScaler、Spectrum Scale、BeeGFS、WekaFS等平行檔案系統，後者則有PowerScale、ONTAP等通用型平臺。</p> <p>至於區塊型儲存設備，原則上任何支援NVMe-oF架構的產品都適用GDS，但實際確實標示支援GDS的產品，我們目前已知的，有Excelero的NVMesh，以及WD的OpenFlex Data24這2款外接NVMe儲存櫃，其中Excelero已於2022年併入Nvidia。</p> <p>接下來，我們檢視其中較具代表性的平臺。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> Dell </span></strong></span></p> <p>Dell算是最早支援GDS的廠商之一，9.2版以後的PowerScale OneFS檔案系統，能透過基於NFS v3的NFS over RDMA協定，搭配Mellanox的CX系列RDMA乙太網路卡支援GDS傳輸架構。稍後推出的OneFS 9.5版，又進一步改善了GDS傳輸效率，Dell實測顯示提升幅度可達36%。</p> <p>Dell宣稱最小規模的3節點組態PowerScale F600儲存叢集，透過GDS可提供24 GB/s的傳輸率，若擴展到最大252節點規模時，將能擁有高達2 TB/s的龐大傳輸能力。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> DDN </span></strong></span></p> <p>長年致力於高效能運算儲存服務的DDN，當然也沒有在GDS支援上缺席，是首批支援廠商之一。DDN基於Lustre平行檔案系統發展的EXAScaler檔案系統，包括基於Lustre 2.12的EXAScaler 5.2以後版本，以及基於Lustre 2.4的EXAScaler 6以後版本，都能透過InfiniBand支援GDS，適用的DDN硬體產品，包括DDN AI200X、AI400X與AI7990X。</p> <p>DDN以4節點AI400X的實測為例宣稱，啟用GDS可獲得多達57%的傳輸率提升，提供高達162 GB/s讀取與143 GB/s的寫入速率。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> IBM </span></strong></span></p> <p>源自GPFS平行檔案系統、在高效能運算儲存領域耕耘已久的IBM Spectrum Scale平臺，也就是今日的IBM Storage Scale平臺，同樣是第一批支援GDS的儲存平臺，自5.1.2以後的版本，都支援經由InfiniBand或RMDA乙太網路介面，建立GDS傳輸架構（5.1.2版只支援InfiniBand，5.1.3版以後額外支援RoCE乙太網路）。</p> <p>IBM以兩臺ESS 3200儲存陣列（運行Spectrum Scale 5.1.2版）搭配兩臺Nvidia DGX A100，進行實測的結果顯示，藉由GDS可獲得196 GB/s的總傳輸頻寬，相當於兩臺ESS 3200網路介面線速的95%以上。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> NetApp </span></strong></span></p> <p>NetApp目前有兩個平臺支援GDS，一是由NetApp EF600儲存陣列搭配ThinkParQ BeeGFS檔案系統的組合，一是NetApp自身的ONTAP儲存平臺。</p> <p>在NetApp EF600與BeeGFS的組合中，NetApp其實是配角，EF600僅扮演單純提供儲存空間的角色，將自身的儲存區經由InfiniBand HCA網路卡，以NVMe over InfiniBand協定，掛載到負責執行BeeGFS檔案系統的Lenovo SR655伺服器，再由後者以InfiniBand HCA網路卡經由InfiniBand交換器，以RDMA/InfiniBand協定掛載給GPU伺服器使用，並由SR655伺服器運行的BeeGFS檔案系統，負責建立GDS連接。</p> <p>而在NetApp所提出的參考架構中，是使用在RHEL 7.8作業系統上運行的7.2或7.3版BeeGFS檔案系統。而在實測中，這個組合架構搭配Nvidia DGX A100後，可獲得74 GB/s的傳輸率（基於8U的組態）。</p> <p>NetApp的ONTAP儲存平臺，9.10.1版以後也提供透過NFS over RDMA協定，支援GDS傳輸架構的能力，適用於AFF A400、A700與A800等儲存陣列產品，可搭配Nvidia / Mellanox CX-5或CX-6等支援RDMA架構的乙太網路卡，使用經修改的NFS v4.0協定來運作。</p> <p>後來在9.14.1以後版本的ONTAP平臺上，NetApp將搭配的NFS版本擴展到NFS v3與NFS v4.1，支援的儲存陣列機型也增加AFF C系列與AFF A900。</p> <p>在GDS實測上，NetApp以4臺AFF A800儲存陣列搭配2臺DGX A100與2臺DGX-1，在使用2組、4組、8組A800控制器的情況下，分別可得到45.6 GB/s、86.5 GB/s與171 GB/s的傳輸率，總傳輸頻寬高於EF600與BeeGFS的組合，不過，若換成每節點或每U空間的平均頻寬，則略遜於後者。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> HPE </span></strong></span></p> <p>HPE算是一線大廠最積極支援GDS架構的一家，旗下共有3個儲存平臺可支援GDS，包括Ezmeral Data Fabric（5.5版以後）、Cray ClusterStor（4.2版以後）、GreenLake File Storage（3.0版以後）。</p> <p>它們其實都不是HPE原生開發的產品。例如：Ezmeral Data Fabric來自2019年HPE併購MapR取得的MapR Data Platform，一開始改稱HPE Data Fabric，2021年後名稱才換成現在的Ezmeral Data Fabric，應該是透過修改的NFS協定來支援GDS。</p> <p>ClusterStor是HPE於2019年併購Cray取得的產品線，核心其實就是Cray修改版的Lustre平行檔案系統，應該是以InfiniBand支援GDS；GreenLake File Storage是由Alletra MP硬體執行的VAST Data分散式檔案系統，透過NFS over RDMA支援GDS。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> Hitachi Vantara </span></strong></span></p> <p>身為老牌大廠之一的Hitachi Vantara，目前是透過源自Weka的分散式檔案系統產品——Hitachi Content Software for File（HCSF），提供對於GDS的支援。</p> <p>回顧過去，Hitachi Vantara是在2021年中，以OEM形式引進Weka的WekaFS平行檔案系統，搭配自身的伺服器硬體，組成新的HCSF產品線，因而也跟Weka本家一樣，具備支援GDS的能力。</p> <p>除了以獨立產品線銷售，Hitachi Vantara在7月正式推出的BasePOD整合套件Hitachi iQ 中，也搭配HCSF作為套件中的儲存單元。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> Pure Storage </span></strong></span></p> <p>Pure Storage是從2023年10月開始支援GDS，適用於FlashBlade家族中的效能取向款式FlashBlade//S，需搭配4.3.4版以後的Purity//FB作業系統（目前最新版本是4.5.x版），採用的連接架構是基於乙太網路的NFS over RDMA。</p> <p>至於FlashBlade家族中成本取向的FlashBlade//E系列，目前則不提供GDS的支援。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> Weka </span></strong></span></p> <p>就時間點來看，Weka的WekaFS是最早支援GDS架構的第3方儲存平臺，2020年便與Nvidia進行驗證測試，自3.13版以後的WekaFS（現在稱作WEKA Data Platform），便能透過InfiniBand來建立GDS連接。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> VAST Data </span></strong></span></p> <p>VAST Data也是第一波支援GDS的儲存廠商，其Universal Storage平臺在4.1版以後，支援以NFS over RDMA建立GDS連接。</p> <p>Universal Storage平臺採用特別的「解構與共享一切」（Disaggregated Shared Everything，DASE）架構，由負責儲存服務的運算節點，與提供儲存空間的儲存節點組成叢集，搭配Nvidia GPU環境時，VAST Data所建議的參考架構，是採用新的高效能LightSpeed儲存機箱，透過100GbE乙太網路將空間掛載到VAST Data的檔案服務節點，再由VAST Data的檔案伺服器節點，以InfiniBand將儲存空間掛載給GPU伺服器。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 尚未通過Nvidia認證的GDS支援產品 </span></strong></span></p> <p>除了前述名列Nvidia認證的GDS支援廠商與平臺，還有幾家廠商雖然尚未列入Nvidia的認證名單，但也已發表支援GDS的解決方案，包括Hammerspace、PEAK:AIO、華為。</p> <p>以平行NFS儲存系統打出名號的Hammerspace，是在今年初加入支援GDS行列。Hammerspace的口號是讓用戶現有的儲存設備，透過他們Hyperscale NAS介接，從而支援GDS架構。基本概念是將用戶原有的NVMe-oF儲存陣列、或是沒有RDMA連網能力的NAS，掛載到Hammerspace的Data Services（DSX）節點上，然後由後者藉由NFS over RDMA與GPU伺服器建立GDS連接。</p> <p>英國新創公司PEAK:AIO的AI Data Server軟體平臺，同時具備NFS檔案存取與NVMe/TCP區塊存取支援能力，也能透過NFS與NVMe/TCP這兩種方式支援GDS架構，在2023年底與HPE合作的測試中，驗證了這項能力。</p> <p>至於華為，是在2023年8月發布OceanStor A310儲存陣列的GDS測試結果，當中顯示他們的GFS（Global File System）平行檔案系統具備支援GDS的能力，但華為並未說明GFS是以何種底層傳輸架構支援GDS。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>不同傳輸架構帶來的效能差異</strong></span></span></p> <p>迄今已有超過15種第3方檔案儲存平臺支援GDS，我們在10月檢視各廠商發布的GDS實測報告，以及儲存新聞網站「Block & Files」收集的GDS測試結果，發現各種平臺達到的GDS傳輸效率，有著很大的差距，而且其中還存在一些共同的傾向。</p> <p>依照當前各種不同平臺支援GDS時，所採用的傳輸架構，我們可以大致分為3個群組——基於NVMe-oF，基於InfiniBand RDMA，以及基於NFS over RDMA架構。</p> <p>參照Block & Files將各廠商測試結果標準化以後的平均單位節點輸出效能，我們發現IBM、DDN、Weka這些廠商，利用InfiniBand建立GDS傳輸架構的平行檔案系統，還有WD基於NVMe-oF連接架構的平臺，效能要比Dell、NetApp這些採用NFS over RDMA的平臺，高出一個層次。不過也有例外，例如Pure Storage與PEAK:AIO，都透過NFS over RDMA獲得不錯的讀取效能，但寫入效能仍不能與前述平臺相比。</p> <p>這顯示NVMe-oF與InfiniBand RDMA具備一定的效能優勢，但從另一方面來看，NFS over RDMA雖然效能上受到較大限制，也有著運用簡便，與低成本的優點。</p> <p>由於傳輸架構只是影響傳輸效能的眾多因素之一，加上各廠商的測試環境設定差異，前述比較並不精確，不過仍能作為我們衡量在GDS應用中使用不同傳輸架構時，一個粗略的參考依據。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(4)-600-PNG.png" style="width: 600px;" /></p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);"> </span></span><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);">相關報導</span></span></a><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="background-color: rgb(255, 0, 102);"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/gpudirect-storage">GPUDirect Storage</a></div><div class="field-item even"><a href="/tags/gds">GDS</a></div><div class="field-item odd"><a href="/tags/ai%E5%84%B2%E5%AD%98%E7%94%9F%E6%85%8B%E5%9C%88">AI儲存生態圈</a></div></div></div>
2024/10/25 06:00作者張明德https://www.ithome.com.tw/tech/165670
企業儲存市場新動能：GPU直連儲存系統
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>構成AI運算能力來源的GPU，已成為IT基礎架構升級新動能，而在儲存系統領域當中，Nvidia打造的GPUDirect Storage（GDS）直連傳輸架構，也成為影響AI應用效能的關鍵，獲得眾多儲存廠商的積極支援，從而形成一個基於GDS架構的AI儲存生態圈</p> </div></div></div>
2024/10/25 06:00作者張明德https://www.ithome.com.tw/article/165672
一家廠商主導的AI硬體生態系統
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年來，Nvidia堪稱最活躍、最受各界矚目的企業級加速運算平臺廠商，隨著伺服器虛擬化、大數據分析、生成式AI技術浪潮一波波襲來，Nvidia都在其中扮演重要角色，他們不斷打破既有市場規則，開創許多新的典範。</p> <p>以及今年發表的Blackwell架構資料中心GPU為例，截至目前為止，Nvidia在尚未推出基於這個GPU晶片而成的運算模組或加速卡之際，居然就已開始主推新一代融合晶片GB200 Grace Blackwell Superchip（結合自研Arm處理器Grace與Blackwell架構GPU），基於36個GB200的整櫃式系統GB200 NVL72，以及預載8個Blackwell架構GPU的加速運算基板：HGX B200、HGX B100，而非按部就班地推廣各種GPU解決方案。</p> <p>先前Nvidia在Ampere架構與Hopper架構的作法，是先解說與強調單個A100或H100 GPU的性能與效益，同時帶入匯集4或8個GPU的加速運算基板／GPU伺服器，展示整個伺服器廠商生態的支持與響應，後續再擴及搭配更大量GPU的單櫃或多櫃型系統。不過，隨著Nvidia去年完成融合晶片GH200 Grace Hopper Superchip的設計，以及多家廠商這兩年陸續推出基於GH200的伺服器，像是：雲達、Supermicro、技嘉、華碩、永擎、和碩、Nvidia、Amax、立端、HPE，或許是因為這些廠商的熱烈響應，使Nvidia對這類採用「超級晶片」的伺服器更有信心，因此，今年3月GTC大會與6月台北國際電腦展，他們更是開門見山、直接主推基於GB200而成的伺服器與整櫃型系統。至於Blackwell架構GPU的主要技術特色介紹，並不像前幾代資料中心GPU架構發表時那樣詳盡，目前只能仰賴Nvidia網站的介紹，而且，上面公布的技術架構簡介文件，聚焦Blackwell架構的部分，嚴格來說只有5頁篇幅，相較之下，現行Hopper架構技術白皮書，在架構設計、規格、效能的總覽與深度解析有近50頁之多。</p> <p>在Blackwell架構GPU的效能展現上，今年8月底公布的AI推論測試結果MLPerf Inference v4.1，首度以第三方機構的角度，揭露基於此架構而成的產品B200能耐（單臺伺服器、單個GPU），從中可看出同樣使用Llama 2 70B的模型時，B200均大幅領先AMD Instinct MI300X、Nvidia GH200、Nvidia H200。</p> <p>若就網路與儲存的產品技術搭配與合作廠商來看，Nvidia更是遙遙領先其他競爭對手。就網路技術而言，英特爾、AMD、Nvidia都能同時提供超高速網路介面卡，以及資料處理器（DPU）、基礎架構處理器（IPU），幫忙分攤伺服器的加解密處理，以及具備可程式化能力的調度指揮機制。然而，截至目前為止，只有Nvidia很果決地將這樣的解決方案，與他們的AI加速運算系統進行搭配，而且不僅提供乙太網路與InfiniBand這兩種技術的支援，也將旗下的資料處理器、網路交換器、網路線、軟體定義網路系統，統合為新的網路平臺，名為Spectrum-X與Quantum-X，再加上Nvidia的網路解決方案先前就已陸續支援GPUDirect系列技術，並且將原本他們想要發展的網內運算（In-Network Computing），更聚焦在如何加速AI工作負載，藉此提供更有效率、更少損耗、更低延遲的資料中心網路環境。</p> <p>相較之下，其他兩家廠商的網路卸載／加速解決方案，並未與他們的資料中心GPU或AI加速器連成一氣、形成互相支援的技術堆疊架構，仍是各行其是。不過，AMD本月發表新的資料處理器Pensando Pollara 400，或許後續能帶來更多技術整合層面的突破，因為在這當中，AMD提供同樣稱為GPUDirect的GPU橫跨乙太網路的直連通訊功能。</p> <p>在儲存方面，Nvidia已拉攏不少廠商加入支援與合作陣營。近年來，越來越多企業級儲存系統廠商支援Nvidia發展的GPUDirect Storage（GDS），根據Nvidia在他們網站文件區公布的GPUDirect Storage Release Notes，8月份的分散式檔案系統產品支援矩陣，有多達9個廠牌、15個儲存系統平臺，被認可的時間最早是2021年6月（WekaIO），最近的是2023年12月（Pure Storage），除此之外，還有其他廠商陸續宣布支援，<a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color:#3366ff;">在1205期週刊的封面故事當中</span></a>，我們的技術主筆張明德會有更完整的報導。</p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);"> </span></span><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);">相關報導</span></span></a><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="background-color: rgb(255, 0, 102);"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/ai%E7%94%9F%E6%85%8B%E7%B3%BB">AI生態系</a></div><div class="field-item even"><a href="/tags/%E5%84%B2%E5%AD%98%E7%B3%BB%E7%B5%B1">儲存系統</a></div><div class="field-item odd"><a href="/tags/gpudirect-storage">GPUDirect Storage</a></div><div class="field-item even"><a href="/tags/gds">GDS</a></div></div></div>
2024/10/25 06:00作者李宗翰https://www.ithome.com.tw/voice/165674
【資安日報】10月24日，FortiManager零時差漏洞已被用於實際攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週研究人員揭露多起漏洞利用攻擊的資安事故，例如：Fortinet網路設備管理系統漏洞CVE-2024-47575、三星行動裝置處理器漏洞CVE-2024-44068、macOS作業系統漏洞CVE-2024-44133。</p> <p>其中，又以CVE-2024-47575相當值得留意，原因是這項漏洞在Fortinet尚未公開之前，已有研究人員提出警告，並有企業傳出遭受攻擊的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165625"><strong style="font-size: 22px;">勒索軟體Cicada3301鎖定VMware虛擬化平臺、NAS設備而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cicada3301-profile-min-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cicada3301-profile-min-1.png" style="width: 300px; float: right;" /></a>一般而言，勒索軟體的攻擊目標多半是Windows電腦，到了前幾年，陸續有駭客組織針對VMware虛擬化平臺ESXi開發Linux版勒索軟體，然而最近出現的新勒索軟體，更進一步做到可橫跨多個平臺運作，而引起研究人員的注意。</p> <p>資安業者Group-IB揭露從今年6月開始出沒的新興勒索軟體Cicada3301，3個月內已有30家企業組織遭受攻擊。特別的是，駭客以Rust打造勒索軟體，不只能在Windows、Linux電腦，以及VMware ESXi運作，罕見的是，網路儲存設備（NAS）、PowerPC架構的電腦，也無法倖免於難。</p> <p>此外，該勒索軟體還能終止虛擬化平臺的運作，不僅能用於前述的VMware ESXi，還能對微軟Hyper-V出手，將虛擬機器（VM）關機。</p> <p><a href="https://www.ithome.com.tw/news/165656"><strong style="font-size: 22px;">多款熱門行動程式直接將AWS與Azure帳密資料寫入程式碼</strong></a></p> <p>資安業者賽門鐵克警告，有多個熱門的Android及iOS行動程式直接在程式中寫入未加密的AWS或Azure憑證，將允許駭客破壞應用程式的後端基礎設施、竊取用戶資料，或是中斷服務。</p> <p>根據調查，有6款程式直接於程式碼庫中嵌入了未加密的AWS憑證，包括Google Play上的拼貼程式The Pic Stitch: Collage Maker，下載次數超過500萬；其他3款則是位於App Store上，包括連鎖甜點店的官方程式Crumbl，下載次數超過390萬；填寫問卷賺現金的調查應用程式Eureka: Earn money for surveys，有超過40萬次的下載；超過35萬下載量的影片編輯程式Videoshop - Video Editor Videoshop；超過24萬次下載的紙牌遊戲Solitaire Clash: Win Real Cash；以及超過23.5萬次下載量的填問卷賺現金的調查程式Zap Surveys - Earn Easy Money。</p> <p>另有6款程式嵌入的是微軟Azure憑證，包括Google Play上的叫車程式Meru Cabs，下載超過500萬次；一個針對印度市場的黃頁程式Sulekha Business，下載超過50萬次；以及可以用來緩解耳鳴的ReSound Tinnitus Relief；下載超過50萬次；超過10萬次下載的看病程式Saludsa；下載超過10萬次的車輛檢查程式Chola Ms Break In，以及另一個用來緩解耳鳴的Beltone Tinnitus Calmer，亦有逾10萬次下載。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/notlockbit-ransomware-can-target-macos-devices/">勒索軟體NotLockBit鎖定macOS電腦而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/ransomware-gangs-use-lockbits-fame-to.html">有人冒用LockBit名號發動勒索軟體攻擊，將竊得資料外傳AWS S3儲存桶</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/new-grandoreiro-banking-malware.html">金融木馬Grandoreiro變種鎖定墨西哥而來</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165661"><strong style="font-size: 22px;">Fortinet網路設備管理平臺API漏洞出現零時差攻擊</strong></a></p> <p>10月23日資安業者Fortinet發布資安公告，指出旗下的網路設備管理平臺FortiManager存在重大漏洞CVE-2024-47575，本地建置及雲端版本皆受到影響，而且，他們已掌握用於實際攻擊行動的情況，呼籲用戶儘速套用相關更新。</p> <p>這項漏洞存在於名為fgfmd的系統元件，起因是重要功能缺乏身分驗證，導致攻擊者有機會在未經身分驗證的情況下，藉由發送偽造請求，遠端執行任意程式碼或命令，CVSS風險評分達到9.8。該漏洞影響本地建置6.2.0至7.6.0版、雲端版6.4至7.4.4版的FortiManager，該公司推出新版程式修補。</p> <p>附帶一提的是，他們也提及，部分網路分析設備FortiAnalyzer提供的相關功能模組（FortiManager on FortiAnalyzer），也同樣存在這項弱點而曝險。</p> <p><a href="https://www.ithome.com.tw/news/165660"><strong style="font-size: 22px;">三星修補已遭濫用的Exynos行動裝置處理器漏洞</strong></a></p> <p>10月7日三星發布韌體更新，修補出現在三星手機與穿戴裝置搭配的Exynos處理器的高風險漏洞CVE-2024-44068，此漏洞涉及記憶體釋放後再行利用（Use After Free），攻擊者有機會藉此提升權限，搭載Exynos 9820、9825、980、990、850、W920等處理器的裝置受到影響，CVSS風險評為8.1分。</p> <p>本漏洞是由Google威脅分析小組Clement Lecigene，以及裝置與服務安全研究小組研究人員Xingyu Jin於7月發現，並向三星通報已遭到利用的情況。他們發現攻擊者將其用來進行提升權限，並確認相關攻擊鏈能在Galaxy S10手機發動。</p> <p><a href="https://www.ithome.com.tw/news/165640"><strong style="font-size: 22px;">蘋果修補macOS的HM Surf漏洞，目前已有嘗試利用的跡象</strong></a></p> <p>今年9月蘋果發布電腦作業系統大改版macOS Sequoia 15，當中修補中度風險漏洞CVE-2024-44133，這項漏洞影響由行動裝置管理平臺（MDM）控管的裝置，應用程式有可能藉由漏洞繞過特定的隱私權組態，CVSS風險評為5.5分，通報此事的微軟近日公布相關細節，並指出他們偵測到疑似漏洞利用的情況。</p> <p>微軟威脅情報中心指出，這項漏洞有機會讓攻擊者繞過macOS的Transparency, Consent, and Control（TCC）保護機制，進行在未經授權的情況下，存取受到保護的使用者資料。研究人員將這項漏洞稱為HM Surf，並指出該漏洞涉及移除Safari瀏覽器程式資料夾的TCC防護，以及更動特定資料夾的組態檔案，使得攻擊者有機會存取使用者資料，包含瀏覽過的網頁、裝置的視訊鏡頭、麥克風、地理位置。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/microsoft-windows-flaw-cve-2024-30090-poc-exploit-published-posing-system-privilege-threat/">針對微軟6月修補的一系列核心層級漏洞，資安業者Devcore警告可被用來提升權限</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-new-windows-server-winreg-ntlm-relay-attack/">微軟7月修補的遠端登錄檔漏洞WinReg，若不處理攻擊者可發動NTLM中繼攻擊</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165636"><strong style="font-size: 22px;">Sophos宣布以8.59億美元買下資安廠商Secureworks</strong></a></p> <p>英國防毒廠商Sophos於10月21日宣布，以8.59億美元現金收購美國資安業者Secureworks。Secureworks為網路安全服務供應商，提供安全監控、威脅偵測及SoC服務，該公司於2011年被Dell併購，2016年Dell將之分拆上市，並成為這家資安公司的最大股東。今年8月媒體報導，Dell有意出售Secureworks，直到本週才確定由Sophos接手。</p> <p>Sophos表示，Secureworks的Taegis平臺和Sophos代管服務與安全產品可相輔相成，提供進階延伸偵測回應（XDR）及代管偵測回應（MDR）解決方案。他們計畫整合二家公司產品，使Sophos新增身分威脅偵測與回應（identity threat detection and response，ITDR）、次世代安全資訊與事件管理（SIEM）、操作科技（OT）及進階弱點風險排序等，提供滿足大、中、小型企業的產品。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165652"><strong>【10月23日】中國駭客組織IcePeony對亞洲國家網頁伺服器發動SQL注入攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165631"><strong>【10月22日】資安業者ESET以色列合作夥伴驚傳遭駭，駭客冒名從事網釣攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165602"><strong>【10月21日】Internet Archive再傳遭駭</strong></a></p> </div></div></div>
2024/10/24 18:42作者周峻佑https://www.ithome.com.tw/news/165683
CNCF技術委員會成員來臺揭露K8s未來三大進展，包括WebAssembly、eBPF和IT永續新工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩位蘋果工程師Katie Gamanji和太田航平(Kohei Ota)，在今年Kubernetes Summit研討會第二天的主題演講中，回顧了K8s十年發展，並揭露了接下來三大發展方向。Katie Gamanji是CNCF技術監督委員會成員，她主導設立了雲原生證照KCNA認證制度和相關課程，而太田航平則是CNCF推廣大使，去年參與創立了日本雲原生社群，是日本開源社群的活躍者。</p> <p>Katie Gamanji指出，K8s是傑出的容器調度框架，關鍵是透過宣告式配置和各種自動化機制，提供了很好的移植性和適應力，今年是K8s誕生十周年，超過8萬8千人參與貢獻，橫跨8千家氣頁，超過4,200萬次上傳。十年來發展出了很完整的雲原生技術版圖（Cloud Native LandScape）。</p> <p>目前CNCF擁有190個開源專案，分布在三個不同成熟度的等級，127個處於創意解方嘗試階段的沙盒專案，37個開始有企業貢獻和採用的孵化專案，以及27個達到穩定和成熟，甚至成為業界標準的畢業專案。另外，還有些專案發展不如預期，會落入歸檔的專案，目前有9個。</p> <p>太田航平指出，因為跨不同作業系統和雲端供應商，推動了CRI（容器Runtime介面）和CNI（容器網路介面）這兩類專案的蓬勃發展，可以針對特定雲端業者量身克制，提供更多彈性，也支援更多樣化的容器執行環境。隨著大規模應用和有態工作流程的需求，帶動了CSI（容器儲存介面）和服務網格技術的興起，可用於管理超級複雜的網路流量。</p> <p>為了滿足多租戶架構，讓每個用戶可以有自己專屬的叢集，太田航平表示，K8s的叢集API成了關鍵標準化機制，可以將叢集的身分驗證功能，和底層的基礎設施脫離。透過叢集API，不論是本地端、公有雲或邊緣環境，都可以提供一致的K8s叢集建立和管理方式，也能建立一套涵蓋叢集生命周期的標準化管理方式。</p> <h3><span style="color:#FF0000;"><strong>未來K8s三大發展：WebAssembly、eBPF和永續性</strong></span></h3> <p>K8s的下一波發展，太田航平指出有三大重要機制，第一項就是WebAssembly。為何這項技術對雲原生的發展，非常重要？太田航平解釋，WebAssembly可以提供一個獨立的環境，不受限於任何開發語言、作業系統和CPU。換句話說，WebAssembly等於是提供了一個可以通吃任何開發環境、作業系統，甚至是CPU架構的執行程式。WebAssembly也是一個二進位檔案，可以用不同的開發語言編譯成這種格式的檔案，再部署到瀏覽器或非瀏覽器的環境中執行。「WebAssembly提供了一個安全、輕便而且可以在任何地方執行的環境。</p> <p>太田航平舉例說明如何用K8s開發者熟悉的GO語言、行動開發者慣用的Swift，甚至網頁開發者會用的Ruby語言，來編譯成WebAssembly的wasm格式檔，都可以很容易完成。也很容易用Docker來打包出一個可以執行WebAssembly二進位檔的容器映像檔。</p> <h3><strong><span style="color:#FF0000;">eBPF應用越來越廣，從網路處理，擴大到資安監控和可觀察性</span></strong></h3> <p>除了WebAssembly之外，第二個重要新發展是eBPF，這項技術原本只是一項用來過濾網路封包的技術，但現在的應用越來越多元，不只是網路處理，也擴大應用到資安監控和可觀察性工具上。</p> <p>太田航平指出，eBPF的威力是，在同一套一致的安全模式下，提供了低負載的過濾機制以及核心等級的程式化能力，主要透過JIT即時編譯技術和執行前驗證機制來實現。由於eBPF的程式碼具有Linux核心等級的執行能力，因此採取許多預先驗證機制，也採取了一些預防runtime時期出現意外行為的機制，例如限制可用的系統呼叫。另外，還會隨時監控資料型別和存取模式，來避免程式碼非法存取記憶體。</p> <p>目前，eBPF主要有三大應用場景，資安監控，網路路由和過濾，以及可觀察性中的矩陣數據搜集，都各有不少知名的開源專案。這三類應用都是雲原生環境運作需要的核心能力。例如像New Relic的Pixie可觀察性工具，就是用eBPF技術來取得K8s運作的矩陣數據。</p> <p>為了確保安全，eBPF二進位檔會先載入到用戶空間，經過各種執行前驗證檢查後，才會把檔案放入到核心空間，再用JIT編譯器完成編譯後，才允許連結到系統呼叫。<br /> 最後一項K8s的新發展方向是永續性。</p> <h3><span style="color:#FF0000;"><strong>技術部門若不行動，未來技術碳排不減反而會大增</strong></span></h3> <p>Katie Gamanji指出，根據調查，全球碳排放量有1.4%來自技術部門，如果將資料中心和資訊基礎架構改用再生能源來運作，可以減少80%的碳排，但是，目前技術部門的行動力不夠，導致技術部門未來十年產生碳排量，不但不會減少，反而預估還會增加了10%。</p> <p>「如何讓技術部門可以觀察，紀錄和評估他們自己的碳排放，在雲原生環境中，需要新的工具來解決這個課題。」Katie Gamanji指出。這正是K8s接下來在永續性的發展方向。目前K8s有兩項重要的永續工具，第一個Kepler專案，可以用來追蹤K8s的能耗，另一個工具則是碳察覺KEDA工具，可以依據碳排量數據變化來調度的自動擴充機制。</p> <p>Kepler利用了eBPF技術來探測K8s叢集在系統層級的能耗數據，再匯出到Prometheus中彙整，可以用Gafana來視覺化，這項專案是由IBM和紅帽在2022年發起，2023年捐給CNCF基金會，目前處於沙盒階段，意味著還是一項新興的創意嘗試解決專案，還沒有足夠多的企業案例，也很需要嘗試者來貢獻意見。Kepler可以追蹤到不同命名空間，甚至是每一個容器，每一天的碳排數據變化。若用命名空間來區分不同的應用，就可以找出碳排量特別高的應用系統。</p> <h3><strong><span style="color:#FF0000;">不只追蹤碳排數據，還可依碳排密度自動調度K8s叢集</span></strong></h3> <p>有了追蹤碳排數據的工具後，如何運用到K8s叢集的調度上，另一個關鍵工具就是具備碳察覺自動擴充操作器Carbon Aware KEDA Operator。KEDA（Kubernetes Event-driven Autoscaling）專案是一項K8s的自動擴充、縮小叢集規模工具，可以用事件驅動來觸發。碳察覺KEDA操作器則是可以讓KEDA工具，可以依據叢集外部的事件，來調整應用程式的規模，達到碳排放量調整的效果。</p> <p>例如可以設計系統使用「碳排密度」指標來調整規模，碳排放量密度是一個新興的綠色IT指標，以每千瓦小時排放多少二氧化碳量來計算。可以在配置檔中，透過KEDA Scaler CRD或自定義資源設定，來定義不同碳排密度事件的層級，當密度高時，自動降低應用系統的副本數量，來達到減少碳排的效果。</p> <p>Katie Gamanji表示，參與CNCF專案有很多種形式，不一定要貢獻程式碼，也可以參與白皮書制定，或加入工作小組。例如有不少中小企業參與了形形色色各種議題的技術諮詢小組，雲原生生態圈是一個隨著更多參與和互動，而不斷改變的環境，需要一個健康的社群來支持，社群也需要永續的發展。</p> </div></div></div>
2024/10/24 18:28作者王宏仁https://www.ithome.com.tw/news/165682
北韓IT人到歐美企業遠距任職引發危機，可能導致商業機密遭竊、勒索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近2到3年美國政府多次提出警告，要企業防範北韓駭客假借謀取遠距辦公職務的名義，取得企業內部網路環境的存取權限，從事間諜活動並偷取機密資料的情況，今年美國更是二度查緝協助這些「IT工作者」犯案的<a href="https://www.ithome.com.tw/news/164451">筆電農場（Laptop Farm）</a>，自資安意識教育訓練業者KnowBe4公布<a href="https://www.ithome.com.tw/news/164108">他們不慎雇用北韓駭客差點資料外流的事故</a>，有資安業者針對這種威脅態勢進行調查，並指出近期相關攻擊已出現顯著變化。</p> <p>資安業者Secureworks指出，<a href="https://www.secureworks.com/blog/fraudulent-north-korean-it-worker-schemes">他們針對專門從事這類攻擊的駭客組織Nickel Tapestry（也被稱做Famous Chollima、UNC5267）進行追蹤</a>，結果發現這些駭客在得手企業內部資料後，開始會向雇主進行勒索，要求付錢換取不將資料外流。研究人員指出，這樣的手法過往未曾出現。</p> <p>在其中一起事故裡，受害企業因該員工表現不佳終止僱傭關係，不久就收到一系列電子郵件，其中一封挾帶聲稱竊得內部機密資料的ZIP檔案，另一封則是要求受害企業支付數十萬美元的加密貨幣贖金，後來駭客從另一個電子郵件信箱寄信，以Google Drive共享檔案來表明，他們握有更多內部資料，藉此施壓。</p> <p>此外，他們也發現這些駭客往往還會更改公司寄送工作用筆電的地址，要求送到筆電農場，這意味著駭客通常不會在求職提供的個人所在地區資訊直接填寫筆電農場的地址，而有可能通過人資部門初期審查。</p> <p>在部分事故裡，IT工人會企圖要求受害企業同意使用自己的電腦辦公，並表達對虛擬桌面環境（VDI）組態的偏好。研究人員指出，駭客這麼做的目的，很可能是避免在公務電腦留下相關證據。</p> <p>再者，這些駭客還會使用Astrill VPN提供的IP位址及代理伺服器服務，來隱匿行蹤。研究人員在其中1起事故當中，看到駭客存取公司的VDI系統將內部資料傳送到私人Google Drive儲存空間。</p> <p>研究人員看到駭客存取企業內部環境的方式，包含了Chrome遠端桌面功能、AnyDesk，這對於IT工人謀得的職務而言並不尋常。</p> <p>基本上，北韓駭客為避免穿幫，通常會儘可能會在通話及視訊會議的過程當中，聲稱筆電的視訊鏡頭異常等理由，將鏡頭關閉。但在近期的資安事故中，這樣的態勢也出變化，研究人員根據鑑識取得的證據發現，對方疑似使用名為SplitCam的自媒體協作工具，在避免身分及地點被曝光的情況下開會，使得受害企業比較不會察覺有異。</p> <p>此外，他們還發現受到相同公司聘僱的IT工人會彼此互通有無，包含互相推薦、擔任類似的職務、使用類似的履歷與電子郵件格式。此外，這些工人也往往具備相同的寄送物品及領取工資的方式。研究人員發現，這些駭客還可能一人分飾多個角色──他們在駭客的往來信件當中，看到完全不同的寫作風格，研判這些駭客很可能經常聚集在相同地點，並且共同分擔工作。</p> <p>針對上述的發現，研究人員指出，向受害企業索討贖金的作法，顯然偏離這些駭客初期犯案的規畫，而且，駭客不再以維持就業賺取薪水為主要目的，並將其攻擊目標轉向剽竊智慧財產，使得企業不慎僱用到這些工人的資安風險變得更加嚴重。</p> </div></div></div>
2024/10/24 18:06作者周峻佑https://www.ithome.com.tw/news/165679
北韓駭客Lazarus假借DeFi遊戲為誘餌，利用Chrome零時差漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月15日Google發布Chrome 125更新（125.0.6422.60、61），<a href="https://www.ithome.com.tw/news/162904">修補零時差漏洞CVE-2024-4947</a>，通報此弱點的資安業者卡巴斯基表示，當時他們看到北韓駭客組織Lazarus假借提供電玩遊戲的名義，並利用這項漏洞企圖控制受害者的電腦。</p> <p>這起攻擊行動之所以曝光，起初是在5月13日，該廠牌防毒軟體在俄羅斯個人用戶的電腦，偵測到後門程式Manuscrypt感染的情況，由於使用該惡意程式的Lazarus鮮少針對個人用戶下手，這樣的情況引起研究人員的注意，進一步調查發現，detankzone[.]com網站利用瀏覽器弱點發動攻擊。</p> <p>基本上，這個網站看起來像是介紹多人線上競技（MOBA）的坦克電玩遊戲DeTankZone，該遊戲號稱以去中心化金融（De-Fi）及非同質化代幣（NFT）為基礎開發而成，該網站亦提供試用版下載。但研究人員指出，這其實是障眼法，駭客在網站後臺埋藏指令碼，一旦使用者透過Chrome存取就會觸發漏洞，攻擊者可藉此完全控制連入此網站的電腦。</p> <p>研究人員進一步指出，攻擊者架設的網站以TypeScript及React打造而成，他們將漏洞利用程式碼埋在名為index.tsx的檔案，但值得留意的是，這些程式碼不光利用CVE-2024-4947，還運用另一個近期才揭露的V8沙箱弱點。</p> <p>形成CVE-2024-4947漏洞的原因，在於Google去年底推出的Chrome 117，納入即時（JIT）編譯器Maglev，該元件能根據解譯器（Interpreter）回饋的內容進行最佳化，快速產生品質較好的程式碼，但Maglev由於具有這項弱點而釀禍。</p> <p>簡而言之，攻擊者的指令碼濫用Maglev、破壞Chrome使用的記憶體位址，並覆蓋該處理程序占用的區域，從而存取Cookie、Token、儲存的密碼，以及上網記錄。</p> <p>他們也發現這些駭客藉由人工智慧技術，產生幾可亂真的資料在社群網站X進行宣傳，並聯繫加密貨幣領域的有力人士，請他們協助宣傳。此外，這些駭客也透過專業設計網站、LinkedIn付費帳號，以及釣魚郵件從事相關活動。</p> <p>值得留意的是，這款遊戲確實能實際正常安裝，並具有實際登入畫面，但無法註冊帳號或是登入。研究人員發現，駭客很可能是竄改名為DeFiTankLand（DFTL）的遊戲製作而成。因為攻擊者於2月20日開始宣傳，3月2日DFTL傳出有開發者從其中1個冷錢包偷走2萬美元DFTL2加密貨幣，所以，研究人員根據這些跡象推測：Lazarus先是偷走了原始碼，再洗劫冷錢包。</p> <p>研究人員指出，雖然他們向Google通報後遵循漏洞揭露政策，當時並未公開具體細節，讓用戶能有更多時間套用修補程式，然而，這起事故其實在5月底就已露出端倪，因為當時微軟<a href="https://www.ithome.com.tw/news/163179">公布北韓駭客組織Moonstone Sleet的勒索軟體攻擊行動</a>，當中恰巧提及此事部分攻擊過程。</p> <p>根據微軟那時的描述，也可印證漏洞攻擊事件的經過。他們表示，駭客從2月開始，利用假的遊戲開發公司為幌子，以尋求投資者及開發人員支持為由發動網釣攻擊，導致電腦被植入惡意程式；攻擊者在4月對其中一家遭駭的公司植入勒索軟體FakePenny，並索討660萬美元比特幣。</p> </div></div></div>
2024/10/24 16:26作者周峻佑https://www.ithome.com.tw/news/165669
強化我國通訊數位韌性，數位部展示高空氣球建立緊急通訊網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當災害或因為緊急狀態，導致地面的光纖、行動網路出現異常時，當地用戶或救援團隊如何獲得通訊服務？數位部今天(10/24)與國內研究單位共同在臺東展示國產的高空通訊平臺技術，透過繫留的高空氣球建立緊急通訊網路，在災害地區可提供民眾、救援團隊使用。</p> <p>高空通訊平臺(High Altitude Platform Station)技術，主要利用近地的空中載具，從高空建立通訊服務，以提供地面使用，例如Meta曾以太陽能無人機，在高空中長時間滯留飛行，提供地面通訊服務，Google的母公司Alphabet的Loon專案，以高空氣球提供通訊服務，曾以此在肯亞提供商用連網服務。</p> <p>數位部展示國產高空通訊平臺技術，今天在臺東經常舉辦熱氣球活動的鹿野高臺，利用熱氣球升空飛行至800公尺高度，建立高空通訊平臺，可提供周遭11公里距離內通訊服務，以作為災害發生後，迅速建立緊急通訊網路，恢復當地基本通訊服務的應變措施。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/414642-1.jpg" style="width: 600px; height: 401px;" /></p> <p>數位部指出，高空氣球升空後，可上升至800公尺高度穩定滯留，在半徑11公里的範圍內提供緊急通訊服務，該高空氣球具備獨立的電源供應裝置，並使用氫燃料電池作為主要能源來源，確保氣球上的通訊設備能夠長時間運作，最長可以滯空超過14天的時間。</p> <p>高空氣球可載重50公斤，因應不同的情境需要，搭載不同的設備。數位部表示，高空氣球長時間滯空，可長時間穩定提供緊急通訊服務，可用於災區建立緊急通訊，或是用於提升偏遠地區的通訊服務，縮減數位落差，有助於提升面對天災或重大事件的應變能力。</p> <p>今天的展示也模擬災害發生時，通訊服務中斷下，利用高空氣球緊急恢復基本通訊服務，搭配無人機的空中搜救，提高災害的救援應變。</p> <p>事實上，在災害發生或因為緊急狀態導致當地通訊服務中斷，電信業者可調派行動通訊車前往災區建立緊急通訊網路，或是調度中、低軌衛星通訊設備或行動車前進災區，為當地建立緊急應變網路，例如今年403花蓮強震，業者就曾調派行動通訊車，數位部也緊急調派中低軌衛星通訊設備前往災區，建立衛星通訊鏈路，供災區民眾、救護救援團隊使用。</p> </div></div></div>
2024/10/24 17:11作者蘇文彬https://www.ithome.com.tw/news/165673
華為發表切割Android的HarmonyOS NEXT正式版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華為於本周三（10/23）<a href="https://www.huawei.com/cn/news/2024/10/harmonyos5" target="_blank">發表了</a>HarmonyOS NEXT正式版，同時宣布已開放HUAWEI Pura 70系列、HUAWEI Pocket 2系列，以及11吋的HUAWEI MatePad Pro平板電腦測試HarmonyOS NEXT。</p> <p>HarmonyOS NEXT是華為自製的原生作業系統，跟HarmonyOS最大的差異是它不再兼容Android，將完全與Android切割。</p> <p>華為表示，HarmonyOS NEXT採用全新的分散式軟總線，裝置之間只要靠近即可感知並連接；亦整合了AI，提供Harmony Intelligence服務；新版作業系統禁止9種不合理的權限，包括讀取應用程式列表及簡訊等，也針對包括相機、圖庫或通訊錄等7種使用場景推出安全存取機制；由於採用了自家的方舟引擎（MapleEngine），深度整合軟、硬體讓HarmonyOS NEXT的流暢度提升了30%，續航力增加56分鐘，執行時節省1.5GB的記憶體。</p> <p>Huawei Central<a href="https://www.huaweicentral.com/harmonyos-next-is-a-closed-operating-system-just-like-ios-developer/" target="_blank">指出</a>，如同蘋果的iOS，HarmonyOS NEXT是個封閉的作業系統，只適用於華為的裝置，無法支援其它品牌，此外，HarmonyOS NEXT已經不含任何來自美國的元件，不管是Linux、其它作業系統核心或程式語言。</p> <p>在HarmonyOS NEXT之前，華為裝置都是搭載仍相容於Android的HarmonyOS，華為常務董事余承東表示，目前的HarmonyOS含有1.1億行的程式碼，已有超過1.5萬款的HarmonyOS原生應用程式上架，採用HarmonyOS的裝置亦已突破10億個。</p> </div></div></div>
2024/10/24 14:38作者陳曉莉https://www.ithome.com.tw/news/165664
Google開源SynthID Text
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google DeepMind周三（10/23）<a href="https://x.com/GoogleDeepMind/status/1849110263871529114" target="_blank">宣布</a>，已透過Responsible Generative AI Toolkit的更新開源了SynthID Text浮水印工具，以用來辨識由AI生成的文字內容，可供開發人員及企業免費使用。</p> <p>SynthID同時具備建立浮水印，以及辨識AI生成內容的能力。它可在不危及原本內容的前提下，將數位浮水印直接嵌入由AI生成的圖像、聲音、文字及影片中，同時它也能掃描這些內容的數位浮水印，以辨識它們是否由AI生成。此次Google僅開源針對文字生成的SynthID Text。</p> <p>Google說明，大型語言模型（LLM）在生成文字時一次會生成一個Token，這個Token可能是一個字元、一個單字，或者是段落的一部分，為了建立連貫的文字，模型會預測下一個最可能生成的Token，相關的預測是基於先前的文字以及每個潛在Token的機率。</p> <p>例如當LLM要生成「我最喜歡的水果是...」時，可能會填入「芒果」、「荔枝」、「木瓜」或「榴槤」等Token，每個Token都會獲得一個機率分數，只要有許多不同的Token可供選擇，SynthID即會在不影響輸出品質及準確性的情況下，調整每個Token的機率分數（調整非常少）。</p> <p>在不斷重複上述程序之後，單一句子可能含有10個或更多經過SynthID調整的機率分數，一個頁面就可能含有數百個。模型最終選擇的Token機率分數，再結合該Token被SynthID所調整的機率分數，就形成了浮水印。這就像是一個隱形的數位簽名，它並不影響所生成的文字內容，人眼也看不出來，卻能夠利用特定工具來檢測與驗證。</p> <p>此一SynthID Text浮水印技術論文已於<a href="https://www.nature.com/articles/s41586-024-08025-4" target="_blank">《Nature》上出版</a>，並透過Google Responsible Generative AI Toolkit開源。此外，Google也已經在Gemini的應用程式及網頁版中整合了SynthID Text技術。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-SynthID%20for%20AI-generated%20text-google%20deepmind.png" style="width: 500px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Google</span></span></p> </div></div></div>
2024/10/24 13:46作者陳曉莉https://www.ithome.com.tw/news/165662
Amazon子公司eero發表戶外Wi-Fi路由器Outdoor 7
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon麾下的網狀網路Wi-Fi裝置製造商eero，在周三（10/23）<a href="https://www.aboutamazon.com/news/devices/eero-wifi-outdoor" target="_blank">發表了</a>全新的戶外Wi-Fi路由器Outdoor 7，它具備IP66防護等級，絕對地防塵，也能承受高壓強力水柱，可在攝氏負40度至54.4度的環境中運作，覆蓋範圍達1,5萬平方呎（約1,393平方公尺），售價為349.99美元。</p> <p>Amazon是在<a href="https://www.ithome.com.tw/news/128702" target="_blank">2019年</a>以9,700萬美元買下eero，eero專門開發網狀網路系統，這是個去中心化的網路架構，讓所有節點彼此連結以形成一個多點互通的網狀結構，而非傳統般地依賴單一的集中式路由器。</p> <p>Outdoor 7支援Wi-Fi 7並提供高達2.1 Gbps的無線網路速度，整合TrueMesh網路專利技術，可動態採用最快路徑來路由資料並限制干擾，再藉由TrueChannel與TrueRoam技術來提供無縫的連線能力，還能用來連結超過100個裝置。</p> <p>eero曾在亞利桑那州的高溫下、商用冰箱裡、海灘，以及風速每小時達160公里的隧道中測試過Outdoor 7，驗證它可在惡劣的環境中持續運作，不管是想在戶外提供Wi-Fi網路的咖啡廳，或是想在偏僻別墅安裝監視器，Outdoor 7都是個好選擇。</p> <p>使用者還可利用兩個Outdoor 7來拓展網路，兩個Outdoor 7之間的間距可達300公尺。Outdoor 7預計於11月13日開賣，將率先於美國及加拿大上市。</p> </div></div></div>
2024/10/24 14:12作者陳曉莉https://www.ithome.com.tw/news/165663
Fortinet網路設備管理平臺API漏洞出現零時差攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月23日資安業者Fortinet發布資安公告，<a href="https://www.fortiguard.com/psirt/FG-IR-24-423">指出旗下的網路設備管理平臺FortiManager存在重大漏洞CVE-2024-47575</a>，本地建置及雲端版本皆受到影響，而且，他們已掌握用於實際攻擊行動的情況，呼籲用戶儘速套用相關更新。</p> <p>這項漏洞存在於名為fgfmd的系統元件，起因是重要功能缺乏身分驗證，導致攻擊者有機會在未經身分驗證的情況下，藉由發送偽造請求，遠端執行任意程式碼或命令，CVSS風險評分達到9.8。該漏洞影響本地建置6.2.0至7.6.0版、雲端版6.4至7.4.4版的FortiManager，該公司推出新版程式修補。</p> <p>附帶一提的是，他們也提及，部分網路分析設備FortiAnalyzer提供的相關功能模組（FortiManager on FortiAnalyzer），也同樣存在這項弱點而曝險。</p> <p>若是IT人員無法即時套用更新，Foritnet也提出臨時緩解措施，IT人員可透過防止未知設備嘗試註冊，或是將防火牆設備FortiGate的IP位址列入白名單的方式因應。</p> <p>值得留意的是，<a href="https://www.bleepingcomputer.com/news/security/fortinet-warns-of-new-critical-fortimanager-flaw-used-in-zero-day-attacks/">根據資安新聞網站Bleeping Computer的報導</a>，Fortinet在10天前（10月13日）就透過電子郵件通知用戶此事，後續也有用戶反映，這項漏洞似乎已被利用一段時間，有企業收到Fortinet通知的前一週就遭到攻擊，當時IT人員推測這是零時差漏洞。</p> <p>資安專家Kevin Beaumont也於<a href="https://cyberplace.social/@GossiTheDog/113299762582288860">10月13日提出警告</a>，要IT人員留意Fortinet支援網站，以便在第一時間取得與該漏洞有關更新；若是FortiManager可透過網際網路存取，他認為最好先暫時中斷連線因應。</p> <p>後來Beaumont透過部落格文章<a href="https://doublepulsar.com/burning-zero-days-fortijump-fortimanager-vulnerability-used-by-nation-state-in-espionage-via-msps-c79abec59773">再度警告此事</a>，並將這項漏洞命名為FortiJump。</p> <p>根據調查，他認為該漏洞存在於防火牆與FortiManager之間的通訊協定FortiGate to FortiManager（FGFM），並指出透過該通訊協定使用的541埠，在物聯網搜尋引擎Shodan可以找到59,720臺能經由網際網路存取的FortiManager。而根據<a href="https://www.virustotal.com/gui/collection/23cb5f786e67f14aa7dd49e88e5b6e0301447919ea601c98bc760dfd4a6af2dc/iocs">惡意軟體分析平臺VirusTotal收到的通報</a>，已有3個IP位址嘗試利用漏洞，這些IP位址分別位於美國、韓國、日本。</p> <p>不過，想要利用這項漏洞還是有先決條件，Beaumont表示攻擊者必須事先取得有效的帳密資料，但難度不高，因為只要能透過防火牆設備就有機會取得並重覆利用。</p> <p>而對於這項漏洞的危害，他認為由於FGFM的運作方式能夠穿越NAT，若是攻擊者成功入侵受到控管的FortiGate，有機會穿越到FortiManager，並存取其他防火牆及網路環境。</p> </div></div></div>
2024/10/24 13:08作者周峻佑https://www.ithome.com.tw/news/165661
三星修補已遭濫用的行動處理器Exynos漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個出現在三星手機與穿戴裝置Exynos處理器的重大漏洞，已出現濫用情形。三星已在本月初完成修補。</p> <p>編號CVE-2024-44068的漏洞發生在三星行動處理器中的使用已釋放記憶體（Use-After-Free）漏洞，可能導致提權（privilege escalation）攻擊。受到本漏洞影響的產品包括Exynos 9820、9825、980、990、850和W920。三星在10月7日發布了韌體更新。</p> <p>本漏洞是由Google威脅分析小組Clement Lecigene，以及裝置與服務安全研究小組研究人員Xingyu Jin於7月發現並<a href="https://googleprojectzero.github.io/0days-in-the-wild/0day-RCAs/2024/CVE-2024-44068.html" target="_blank">通報</a>存在零時差漏洞。</p> <p>在漏洞細節方面，這漏洞位於處理器驅動程式IOCTL M2M1SHOT_IOC_PROCESS，它主要功能是提供JPEG解碼和圖形縮放等功能的硬體加速。在執行過程中會將使用者空間頁面（userspace page）對應到I/O頁，以執行韌體指令。</p> <p>在虛擬記憶體系統中，當應用程式訪問I/O設備時，I/O虛擬記憶體頁（virtual page）會被對應到物理記憶體頁（physical pages）。PFNMAP（Page Frame Number Map）作用是管理這些對應，確保虛擬頁面正確對應到物理頁。Google發現的攻擊手法，則是利用漏洞擾亂對應過程，而釋放出實體記憶體，最後透過IOCTL呼叫進行核心空間映射攻擊（Kernel Space Mirroring Attack），執行韌體指令。</p> <p>研究人員發現到零時差攻擊是提權攻擊鏈的一部份，攻擊者可在具有特權的cameraserver行程中執行任意程式碼，而且還將行程改名，可能是為了防止調查。研究人員發現的攻擊可在Galaxy S10手機上成功作用。</p> <p>三星透過官網<a href="https://semiconductor.samsung.com/support/quality-support/product-security-updates/cve-2024-44068/" target="_blank">發出了公告</a>。三星僅列出公告及顯示為高度嚴重性，並未列出風險值，不過多家媒體<a href="https://www.theregister.com/2024/10/24/samsung_phone_eop_attacks/" target="_blank">報導</a>風險值為CVSS 8.1。</p> <p> </p> </div></div></div>
2024/10/24 11:46作者林妍溱https://www.ithome.com.tw/news/165660
中鋼用AI驅動數位轉型，以4大對策克服少子化缺工、經驗傳承難題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內生育率低落，產業面臨少子化缺工問題如何解決？老牌鋼鐵業者在新興AI浪潮下如何推動數位轉型，中鋼近期分享如何運用AI加速數位轉型，並提出4大對策，包括研發人機協作技術，運用數位雙生及生成式AI等技術，來克服缺工、經驗難以傳承的挑戰。</p> <p>中鋼綠能與系統整合研發處研究員許朝詠表示，中鋼約從2014年開始導入AI，主要應用在產線、銷售端，然而儘管中鋼投入大量資源研發AI應用，並且實際落地使用，但卻發現這些AI技術很難為企業帶來明顯效益，因為企業發展AI多是以單一技術或單一產線為目標，以中鋼研發無人天車為例，目標是讓無人天車技術得以實現，但並不容易可以量化，難以呈現為公司帶來的效益。</p> <p>因此，2023年他們轉換方向，推動數位轉型不僅要讓AI技術能夠落地，而且不論是報表或是整體的營運績效上，最終要帶來實際效益。中鋼成立的數位轉型推動小組，前身為智能產銷委員會，目的是在生產及銷售兩個部門推動AI技術，研發部門則提供生產及銷售部門必要的技術支援。</p> <p>去年成立的中鋼數位轉型推動小組，他們將資訊及行政部門納入，其中資訊部門負責資訊流的串接整合，行政部門則負責數位轉型的教育訓練及管理，AI核心技術訓練、數位賦能等等。</p> <p>中鋼委託資策會以全球7大鋼廠為對象，歸納鋼鐵業者數位轉型的4大目標方向，提升生產效率、低碳化製造、智慧化營運、投資新產品，這些目標與中鋼推動數位轉型的目標不謀而合。</p> <p>如同其他產業在營運上所面臨的困境，鋼鐵業也受到少子化勞力短缺衝擊，並且面臨台積電等科技業者競爭人才，「對於中鋼而言，過去在南部招募人力並不是問題，現在招募人才除了要和同業競爭，還要和科技業競爭，過去聽到的是台積電要來了，現在最常聽到的是同仁要去台積電了」，許朝詠說。</p> <p>勞力短缺不只影響生產力，對員工高齡化的中鋼而言，人才招募不易，新血來不及補充，年輕的員工愈來愈少，衍生出經驗傳承難題，老員工的經驗難以交給新員工。</p> <p><span style="color:#B22222;"><strong>4大對策克服缺工難題</strong></span></p> <p>「中鋼導入數位技術的整體目標就是，達到2大目標，提升工作效率、加速經驗傳承」，許朝詠說。中鋼提出4大對策，包括提升人機協作程度、提升AI導入效率、建立高效訓練模式、提升經驗擴散速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(2).jpg" style="width: 600px; height: 333px;" /></p> <p>中鋼導入不同的數位技術來實現2大目標，例如提升人機協作程度，結合AI電腦視覺、遠端控制、低延遲通訊技術，讓人員可以在安全的環境下操控設備；基礎建設方面，導入混合雲架構，讓AI應用能在雲地協作式開發、維運，加速推動AI普及；導入數位雙生技術，以數位模擬真實的生產環境，以瞭解虛擬環境的變數對真實世界產生影響；運用生成式AI開發行政、操作、維護各方面的數位助理。</p> <p><span style="color:#B22222;"><strong>開發天車人機協作技術、遠端協作技術</strong></span></p> <p>在鋼鐵的生產環境中，不論原料或半成品，重量多達數噸，一般機械手臂難以搬運，因此中鋼多仰賴天車吊運物料，約有一千多部不同的天車，用於搬運不同的物料及設備，每天天車吊運作業成為鋼鐵產線的重要工作。</p> <p>為了提高人機協作方面，過去仰賴人工上下天車，在駕駛艙操控天車吊運物料，天車位於廠房的高架上，駕駛操控的天車手因吃飯、上廁所，經常需要上下天車，現場作業環境也有工安疑慮，為了推動自動化，幾年前中鋼研發AI無人天車，不需人工駕駛，讓天車透過電腦視覺及雷射測距，判定需要吊運的鋼捲位置，自動化吊運鋼捲作業。</p> <p>但是，由於AI難以完成細緻化的吊運作業，因此天車雖為三軸同動，中鋼僅在限制環境下讓AI操作天車，例如AI無人天車只能兩軸同動，無法執行三軸同動作更細緻化的操作，即使無人天車能夠24小時作業，難以完全取代人力。</p> <p>因此在無人天車之後，中鋼也開發天車的人機協作技術，他們在天車作業環境部署5G及Wi-Fi，並建立 5G及Wi-Fi網路備援，滿足天車遠端控制的低時延通訊需求，搭配大頻寬傳輸天車作業的即時影像，開發智能輔助夾取技術，包括改造天車防撞系統、人員安全辨識系統、天車半自動駕駛技術。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(3).jpg" style="width: 600px; height: 352px;" /></p> <p>以小鋼胚的天車吊運作業為例，傳統上，天車手和地面人員協作，天車手操作電磁吸盤吊運多個鋼胚，從A儲位吊運到B儲位，每次吊運的鋼胚數量由地面人員計算後，輸入到倉儲管理系統（WMS）。</p> <p>為克服缺工問題，中鋼在天車吊臂上架設攝影機，利用AI電腦視覺辨識天車所吊運的小鋼胚數量，然而，他們很快發現儲位大量的鋼胚，導致AI辨識吊運鋼胚數量容量誤判，因此他們在攝影機旁邊再加裝雷射線，每次天車吊起多個鋼胚，將雷射線打在被吊起的鋼胚上，由AI偵測雷射線區分被吊起的鋼胚和儲位的其他鋼胚，自動計算吊起的小鋼胚數量，利用這個方式，在天車多次吊運測試下，AI計算鋼胚數量的正確率提高到99%。</p> <p>許朝詠表示，AI落地經常發生的問題大多和環境有關，他認為AI專案應用有3個層次，第一個層次是單純使用AI技術，因為條件不可控，使得AI技術難以符合現場環境；第二個層次是限定環境使用AI，以天車吊運鋼胚為例，使用雷射線即是限定環境使用AI技術，但是容易因為環境變異造成AI辨識失準；第三個是精確設計環境後使用AI技術，控制雷射線只打在吊起的鋼胚上，在設計的環境中就能很好地使用AI技術。</p> <p>另外，中鋼也開發天車遠端協作技術，在第二熱軋鋼帶工廠，利用5G專網涵蓋鋼捲儲區，透過5G網路及Wi-Fi網路備援，建立低延遲網路來傳送控制命令，同時改造天車系統，將控制訊號拉到控制室，使其可以遠端控制，天車手不需登上高處的天車，只要在地面上安全的操作臺，透過多個螢幕呈現不同視角的天車操作即時影像，從遠端操控天車吊運鋼捲。</p> <p>天車手在地面的控制臺遠端操控天車，中鋼也盤點天車吊運鋼捲作業程序，評估哪些程序適合由人工操作，例如吊取鋼捲、放置鋼捲比較適合人工遠端操控，其他程序如電子圍籬、防撞系統、鋼捲號碼辨識、點到點移動控制則可由AI代勞，如此一來，每個天車的人工操作負擔大幅降低。</p> <p>如圖所示，天車手只需在地面控制臺，透過多個螢幕來遠端操控天車吊運鋼材：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240927_075021516-600.jpg" style="width: 600px; height: 338px;" /></p> <p>許朝詠表示，原本的人工操控天車程序，在導入人機協作後，人工操控只剩下夾取、放置鋼捲，其他則由AI自動化控制，天車手的工作負擔降到原本的20%，天車手剩餘時間可以切換操控其他天車，未來一個人可以遠端操控多臺天車，提高工作效率。</p> <p><span style="color:#B22222;"><strong>運用數位雙生技術模擬天車操控、高爐內佈料情形</strong></span></p> <p>為了訓練新手操控天車，中鋼打造模擬訓練系統，利用數位雙生技術打造鋼捲倉庫的數位分身，天車新手可以先在鋼捲倉庫的模擬環境中，練習操控天車吊運鋼捲，這套訓練系統支援駕駛艙操控及遠端遙控操作，讓天車手考照的同時，先熟悉未來的工作環境。</p> <p>在鋼鐵的生產過程中，高爐用於高溫熔煉原料產生鐵水，但是高爐內上千度高溫，高爐內操控在鋼鐵業的產線過程中如同盲盒，高爐內布料的情形不易被瞭解，中鋼運用數位雙生技術打造高爐的數位分身，</p> <p>許朝詠指出，中鋼透過Nvidia Omniverse建立高爐佈料的模擬，模擬高爐爐頂佈料到料面的情況，瞭解和真實高爐的佈料情況是否一致，從模擬系統的佈料變動，預測判斷真實高爐佈料的結果。</p> <p><strong><span style="color: rgb(178, 34, 34);">以生成式AI打造數位助理，加速經驗傳承、職能訓練</span></strong></p> <p>為了加速新舊員工的經驗傳承，以及新手員工的訓練，中鋼也運用生成式AI，以多年累積的既有知識庫結合ChatGPT，開發個人的數位助理。以生成式AI數位賦能員工，將他們不具備的技能、知識，讓他們具備或是能夠從系統中提取。</p> <p>許朝詠認為讓員工大量使用生成式AI，最終他們會從工作場域中找出合適的生成式AI應用，並且提出他們的需求。</p> <p>目前中鋼內部已有生成式AI應用，例如將設備、線路資料格式化後存於資料庫，傳統上，不會SQL語法的員工需要仰賴熟悉SQL語法的其他人協助，從資料庫中取得需要的資料，現在利用生成式AI，不會SQL語法的員工得以自然語言提出問題，由AI生成SQL語法從資料庫中取得資料，再以自然語言回答。</p> <p>中鋼運用生成式AI開發工程小管家，工程人員遇到問題，可以自然語言像系統提問，由小管家搜尋資料後回覆：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(1).jpg" style="width: 600px; height: 367px;" /></p> <p>另一個生成式AI的應用實例是在維修指引方面，資深員工多年從事維修工作所留下的文件，中鋼根據這些文件開發維護指引系統，結合生成式AI，維護人員遇到不熟悉的維護難題，可以自然語言向指引系統提問，由指引系統找尋資料答覆，讓新手員工學習如何維護設備。</p> <p>許朝詠指出，數位轉型過程中最重要的是，如何導入數位技術協助員工完成工作，中鋼在推動數位轉型中導入各種數位技術，例如導入AI來開發遠端操作人機協作，利用人工和AI各自的優點打造人機共同作業，以提升工作效率，其次是導入數位雙生技術，在建立數位分身的過程，藉此機會盤點內部的資訊流是否足以呈現實境情況，以及虛境模型能不能解釋實境的現象，「能夠做到這兩件事，數位雙生才能帶來效益」。另外，中鋼導入混合雲，結合低程式碼工具，讓員工可以快速建立AI應用，最後運用生成式AI建立專家詢問系統，活用過去員工的經驗資料，讓新進員工汲取知識，獲得經驗傳承，達到訓練效果。</p> </div></div></div>
2024/10/24 10:27作者蘇文彬https://www.ithome.com.tw/news/165653
高通、Google合推AI車上資訊系統開發平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>晶片大廠高通（Qualcomm）和Google本周<a href="https://www.qualcomm.com/news/releases/2024/10/qualcomm-announces-multi-year-strategic-collaboration-withgoogle" target="_blank">宣布簽定</a>多年技術合作，將共同打造數位駕駛艙開發框架，以提供車商開發結合AI與雲端技術的車聯網與車上資訊系統。</p> <p>雙方將結合高通的車用平臺Snapdragon Digital Chassis和Google技術，包括Android Automotive OS、Google Cloud與生成式AI打造汽車數位化系統，以及車聯網的標準化參考框架。高通Snapdragon Digital Chassis是高通今年初CES 2024宣布的數位化汽車平臺，由3種單系統晶片（SoC），包含自動駕駛（Ride）、座艙（Cockpit）、車聯網（Auto Connectivity）及Snapdragon車到雲服務（Car-to-Cloud Services）軟體組成。</p> <p>這項合作目標則以高通的數位汽車平臺為基礎，打造二款參考框架，加速汽車廠商開發。一是生成式AI驅動的數位座艙開發框架，內建Google Android Automotive OS（AAOS），提供使用者可客製化的Google AI語音使用者介面與即時驅動程式更新，簡而言之，可讓汽車業者能開發自有版本Gemini助理。二是整合式軟體定義車輛（Software-Defined Vehicle，SDV）車到雲（car-to-cloud）框架。Snapdragon Connected Services Platform是高通針對物聯網（IoT）推出的平臺，旨在提供安全連網服務。在此則是提供統一框架，允許汽車產業透過Google Cloud快速開發可彈性部署於車上AAOS或其他平臺的應用服務，並且可隨時更新。</p> <p>高通同時<a href="https://www.qualcomm.com/news/releases/2024/10/qualcomm-races-ahead-in-the-evolution-of-software-defined-vehicl" target="_blank">發表</a>Snapdragon Cockpit Elite及Snapdragon Ride Elite二款晶片。高通對媒體<a href="https://www.reuters.com/technology/artificial-intelligence/qualcomm-alphabet-team-up-automotive-ai-mercedes-inks-chip-deal-2024-10-22/" target="_blank">表示</a>，賓士汽車將在未來車款使用Snapdragon Cockpit Elite。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-Snapdragon%20Cockpit%20Elite-Snapdragon%20Ride%20Elite.png" style="width: 450px;" /></p> <p>這並非兩公司第一次合作。2021年雷諾汽車集團已曾在Mégane E-TECH Electric車款中<a href="https://www.qualcomm.com/news/releases/2021/09/qualcomm-works-google-bring-premium-and-intelligent-vehicle-experiences" target="_blank">使用</a>其Snapdragon Cockpit晶片，以執行Google車上服務，包括Google Maps、Google Assistant和Google Play。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／高通</span></span></p> </div></div></div>
2024/10/24 09:38作者林妍溱https://www.ithome.com.tw/news/165658
資安業者警告，多個熱門行動程式直接將AWS與Azure憑證寫入程式中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者賽門鐵克（Symantec）本周<a href="https://www.security.com/threat-intelligence/exposing-danger-within-hardcoded-cloud-credentials-popular-mobile-apps" target="_blank">警告</a>，有多個熱門的Android及iOS行動程式直接在程式中寫入未加密的AWS或Azure憑證，將允許駭客破壞應用程式的後端基礎設施、竊取用戶資料，或是中斷服務。</p> <p>根據調查，有6款程式直接於程式碼庫中嵌入了未加密的AWS憑證，包括Google Play上的拼貼程式The Pic Stitch: Collage Maker，下載次數超過500萬；其它3款則是位於App Store上，包括連鎖甜點店的官方程式Crumbl，下載次數超過390萬；填寫問卷賺現金的調查應用程式Eureka: Earn money for surveys，有超過40萬次的下載；超過35萬下載量的影片編輯程式Videoshop - Video Editor Videoshop；超過24萬次下載的紙牌遊戲Solitaire Clash: Win Real Cash；以及超過23.5萬次下載量的填問卷賺現金的調查程式Zap Surveys - Earn Easy Money。</p> <p>另有6款程式嵌入的是微軟Azure憑證，包括Google Play上的叫車程式Meru Cabs，下載超過500萬次；一個針對印度市場的黃頁程式Sulekha Business，下載超過50萬次；以及可以用來緩解耳鳴的ReSound Tinnitus Relief；下載超過50萬次；超過10萬次下載的看病程式Saludsa；下載超過10萬次的車輛檢查程式Chola Ms Break In，以及另一個用來緩解耳鳴的Beltone Tinnitus Calmer，亦有逾10萬次下載。</p> <p>還有一款摩托車追蹤暨社交程式EatSleepRIDE Motorcycle GPS是在程式碼中寫下了Twilio憑證，該程式亦有超過10萬次的下載。</p> <p>賽門鐵克表示，此一趨勢令人感到不安，這代表任何有權存取應用程式二進位檔或原始程式碼的使用者都能取得這些憑證，並濫用它們以擺布或竊取資料，帶來嚴重的安全威脅。</p> <p>該公司建議開發人員在建置程式時應該將敏感憑證儲存於環境變數中，而不是直接嵌入至程式碼；並應採用秘密管理工具以安全地儲存及存取憑證；如果憑證必須儲存於程式中，那麼至少要將其加密；應該定期檢查及審核程式碼以預防類似或其它漏洞；在CI/CD 管道中整合自動安全掃描工具，以及早檢測各種漏洞。</p> </div></div></div>
2024/10/24 08:36作者陳曉莉https://www.ithome.com.tw/news/165656
IBM推Guardium Data Security Center強化量子運算、AI與雲端資料安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM針對企業在生成式人工智慧、量子運算技術與雲端領域可能面臨的風險，推出<a href="https://www.ibm.com/products/guardium-data-security-center">Guardium Data Security Center</a>，協助企業在整個資料生命周期，於各種環境保護資料，並提供統一的控制中心。</p> <p>IBM Guardium是一套資料安全與法規遵循管理解決方案，目的是要在雲端和本地系統中，提供企業保護重要資料資產的工具。而現在IBM推出Guardium Data Security Center整合性平臺，專門負責統一管理資料安全，從資料探索、威脅偵測到補救行動，整合所有Guardium模組和功能，提供企業資安團隊統一的總覽和工作流程，進一步保護企業資料資產。</p> <p>IBM這次還公開了Guardium Quantum Safe和Guardium AI Security兩個新模組，分別針對量子運算以及生成式人工智慧安全風險。</p> <p>IBM Guardium Quantum Safe目標是應對量子運算技術可能帶來的加密風險。隨著量子電腦逐漸具備破解現有加密演算法的能力，該模組協助企業發現並優先處理系統中的加密漏洞，並提供加密安全態勢管理，協助企業保護敏感資料免受量子技術威脅。</p> <p>該模組整合政策執行、加密漏洞偵測和法遵監控，讓使用者可透過單一儀表板進行追蹤與管理。IBM表示，Guardium Quantum Safe模組結合了IBM Research和IBM Consulting的專業知識，同時融入美國NIST近期後量子加密演算法標準，提供強健的安全基礎。</p> <p>而IBM Guardium AI Security則用於管理生成式人工智慧的模型和資料。由於人工智慧模型應用越來越廣泛，官方提到，Guardium AI Security模組可以發現未經核准的影子人工智慧模型，並防止敏感資料在訓練人工智慧模型時遭到濫用。該模組協助偵測人工智慧模型漏洞，確保企業人工智慧系統符合法規要求，並且提供統一的資料總覽，促進資料和模型安全。</p> <p>除了針對量子技術與人工智慧的保護模組外，Guardium Data Security Center還包括其他模組，進一步強化企業資料安全，像是威脅偵測與回應模組Guardium DDR，Guardium DSPM模組則可自動發現、分類和保護雲端環境敏感資料，還有簡化法規管理需求、提升可視性與最佳化監控流程的Guardium Data Compliance模組。</p> </div></div></div>
2024/10/24 08:43作者李建興https://www.ithome.com.tw/news/165655
【資安日報】10月23日，中國駭客組織IcePeony對亞洲國家網頁伺服器發動SQL注入攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客的攻擊行動頻傳，我們昨天報導APT41針對賭博及遊戲業者<a href="https://www.ithome.com.tw/news/165606">進行為期接近9個月的網路間諜行動</a>，另一個過往未曾被發現的駭客組織IcePeony也相當值得留意，因為，這些駭客專門針對影響中國的海洋戰略趨勢，對特定亞洲國家發動攻擊。</p> <p>值得留意的是，這些駭客也似乎比照中國IT業者的「996」上班制度長時間活動，這意味著，他們可能持續對企業組織的網路環境發動攻擊，而且每天活動的期間涵蓋一般IT人員已經下班的時間。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165649"><strong style="font-size: 22px;">中國駭客組織IcePeony利用SQL注入手法，針對亞洲國家網頁伺服器下手</strong></a></p> <p>中國駭客發動攻擊的情況不時傳出，近期研究人員揭露多組過往未曾發現的駭客組織，如今有個組織因駭客的作業疏失，而讓研究人員有機會一探究竟。</p> <p>資安研究團隊Nao_sec揭露中國駭客組織IcePeony的攻擊行動，並推測這些駭客至少從2023年開始活動，針對印度、模里西斯、越南等國家的政府機構、學術單位、政治組織發動網路攻擊，根據他們取得的事件記錄資料，駭客試圖攻擊印度各個政府網站的情況相當頻繁，有超過200次的記錄。</p> <p>這些駭客會鎖定網頁伺服器發動SQL注入攻擊，一旦找到弱點，就會藉此注入Web Shell或惡意程式，其中一種是專門針對IIS伺服器的後門IceCache，最終目的是竊取帳密資料。研究人員認為，這些駭客的攻擊意圖，很有可能與中國的國家利益有關，尤其優先考慮海洋戰略層面的利益。</p> <p><a href="https://s4.itho.me/sites/default/files/images/IcePeony-12.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/IcePeony-12.png" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/165635"><strong style="font-size: 22px;">思科坦承客戶支援網站資料外流，強調公司內部並未遭駭</strong></a></p> <p>兩周前駭客在網路上兜售聲稱來自思科的資料，思科坦承確有部分公司資料流出，來自提供客戶支援的資源網站，而非公司內部系統。</p> <p>10月18日思科針對駭客IntelBroker宣稱駭入該公司系統取得資料的說法，公布初步調查結果。思科聲稱，有信心公司系統未被駭。在駭客論壇兜售的資料是從思科對外公開的資源DevHub網站流出，該網站提供軟體程式碼、腳本程式等資源，供客戶必要時下載。</p> <p>到目前為止，思科尚未觀察到這批資料包含任何機密資訊如個資或財務資料，但說會持續調查。為謹慎起見，思科已經預防性關閉外部存取管道。同時思科也預告，一旦調查發現客戶資訊外流，將會直接聯繫受影響的客戶。</p> <p><a href="https://www.ithome.com.tw/news/165644"><strong style="font-size: 22px;">日本馬達大廠尼得科傳出遭到勒索軟體攻擊，疑VPN帳密外流釀禍</strong></a></p> <p>今年8月上旬日本馬達大廠尼得科（Nidec）證實，越南子公司NPCV的網路環境遭到非法入侵，駭客竊取資料並向他們索討贖金，換取駭客不外流檔案。事隔兩個月，該公司公布更多細節。</p> <p>10月17日尼得科表示，他們在8月5日收到駭客的通知，對方聲稱成功滲透NPCV網路環境，並從伺服器竊得檔案，要他們付錢。該公司經過與外部專家進行調查，確實有部分資料被公布在暗網。但他們強調此事發生後，沒有出現新的攻擊事故，或是檔案遭到加密的情形。</p> <p>究竟事件發生的原因為何？該公司研判駭客是取得員工VPN帳密資料而能得逞。他們已對所有端點電腦進行掃描、重設密碼，以及重新審查伺服器的存取權限因應。</p> <p><a href="https://www.ithome.com.tw/news/165641"><strong style="font-size: 22px;">未妥善揭露2020年SolarWinds供應鏈攻擊，Unisys與Check Point等4家業者遭SEC罰款</strong></a></p> <p>SolarWinds旗下的IT監控平臺Orion在2020年12月遭到駭客滲透，駭客入侵了Orion的更新機制，於特定的Orion版本中植入Sunburst木馬程式，估計在3.3萬家Orion客戶中，有1.8萬家安裝了含有Sunburst的Orion，間接受害的企業或機構，除了眾多的美國聯邦組織，還包括FireEye、微軟、思科、英特爾與Nvidia等業者，這起事故最近出現新的發展。</p> <p>美國證券交易委員會（SEC）周二（10月22日）針對Unisys、Avaya、Check Point、Mimecast等4家業者祭出裁罰，原因是這些公司遭遇上述事故波及時，試圖對外淡化造成的影響（Downplaying the extent of a material cybersecurity breach），損及股東與投資人的權益。</p> <p>根據調查，這4家公司先後在2020年、2021年發現駭客循線入侵他們的內部系統，但卻在公開訊息淡化相關事故。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=170123&SPOKE_DATE=20241022&COMPANY_ID=5288"><strong style="font-size: 22px;">機車零配件廠豐祥遭受攻擊，傳出部分檔案遭到加密</strong></a></p> <p>10月22日晚間機車零配件廠豐祥發布重大訊息，指出他們當天早上資訊系統遭遇加密攻擊，該公司已找出源頭並阻斷加密行為，目前正著手恢復系統。該公司初步評估，這起事故對公司營運無重大影響。</p> <p>對於這起資安事故的因應，豐祥資訊團隊立即尋求外部資安咨詢業者合作，共同進行後續處理及復原作業，並全面強化相關防禦機制。該公司未來將持續强化網路與資訊基礎架構的管控，以確保資訊安全。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=142357&SPOKE_DATE=20241023&COMPANY_ID=2492"><strong style="font-size: 22px;">被動元件製造商華新科技遭到網路攻擊</strong></a></p> <p>今天下午被動元件製造商華新科技在股市公開觀測站指出，他們有部分資訊系統遭遇網路攻擊，在察覺事故的當下立即啟動相關防禦機制因應。</p> <p>針對這起事故可能帶來的影響，該公司表示目前評估尚未出現個資或內部文件外流的情況，對於公司營運尚無重大影響。 </p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/ducktail-quasar-rat-vietnamese-threat-actors-target-meta-ads-professionals/">越南駭客鎖定經營Meta廣告的從業人員，散布惡意程式Ducktail、Quasar RAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/exposed-docker-apis-under-attack-new-malware-campaign-deploys-perfctl/">惡意軟體Perfctl鎖定曝露的Docker API而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.elastic.co/security-labs/tricks-and-treats">惡意軟體Hijack Loader攻擊出現變化，駭客結合ClickFix社交工程手法引誘使用者上勾</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/endpoint-security/samsung-zero-day-vuln-under-active-exploit-google-warns">三星行動裝置SoC存在零時差漏洞，Google警告已遭到積極利用</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-21216-cvss-9-8-oracle-weblogic-flaw-that-could-give-attackers-full-control/">Oracle WebLogic伺服器存在重大漏洞，若不處理攻擊者有機會得到完整控制權</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165631"><strong>【10月22日】資安業者ESET以色列合作夥伴驚傳遭駭，駭客冒名從事網釣攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165602"><strong>【10月21日】Internet Archive再傳遭駭</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165573"><strong>【10月18日】紅隊演練工具EDRSilence遭濫用，16種EDR系統可能因此被「噤聲」</strong></a></p> </div></div></div>
2024/10/23 18:18作者周峻佑https://www.ithome.com.tw/news/165652
調查3千人！Google發布年度DORA報告，更公布AI對開發生產力的成效數據
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Cloud在<a href="https://dora.dev/research/2024/">十月下旬公布了</a>2024年度的DORA研究報告，除了持續公布全球DevOps能力指標的最新結果，卓越團隊（Elite）達到19%，比去年略高了1%。但是高階團隊的比例，從去年的31%，今年下滑到只有22%，發者所屬企業達到精英團隊的程度，還公布了AI對開發生產力的調查數據，高達75.9%開發者開始用AI寫程式碼，但只有3成開發者認為很有幫助。</p> <p>今年是Google旗下DevOps研究與評估組織（簡稱DORA組織）連續第十年，進行全球DevOps能力的大調查，累計近3萬9千人參加，其中，今年全球共有近3千人參與調查，來自104國，包括臺灣開發者。</p> <p>在今年DORA調查中，除了DevOps軟體交付績效指標的調查之外，今年更增加了不少AI對開發者生產力影響的調查題目。DORA調查去年就開始增加了開發者對AI影響力的態度研究，主要調查開發者預期，GAI對哪些技術工作最有幫助。到了今年，DORA調查更直接詢問，開發者在日常工作中如何採用AI技術，以及對開發生產力有多大的成效。</p> <h3><span style="color:#FF0000;"><strong>DORA四大軟體交付指標最新結果，全球19%企業達到卓越團隊水準</strong></span></h3> <p>先來看DORA四大軟體交付指標的最新調查結果，這四大指標包括了平均部署頻率、更新準備時間、平均復原時間和變更失敗率。DORA組織利用分群演算法，將參與作答的開發者，針對這四項指標的表現，分為四種DevOps能力等級的團隊，分為卓越、高階、中階到低階團隊共四級，並歸納出每一級能力水準的團隊，在DORA四項指標上的要求程度。這也成了各界用來衡量全球企業DevOps能力的分級指標。</p> <p>今年同樣也分為四個等級，達到卓越等級的作答者達到19%，比去年的18％，些微增加了一些。達到卓越等級的團隊，在四項指標上，可以做到按需部署的部署頻率，變更準備時間不能超過一天，變更失敗率則要低於5%，部署作業失敗後的復原時間則是能短於1小時。這個能力水準和去年的要求一樣。</p> <p>但是，今年達到高階團隊等級的比例大幅下滑，從去年的31%，今年下滑到只有22%，幾乎少了快一成。今年的中階團隊比例則些微增加，從去年的33%，今年增加到35%，而今年低階團隊水準的作答者更提高到25%，遠高於去年的17%。</p> <p>去年高階團隊的四項指標要求是，部署頻率介於每天一次到每周一次，更新準備時間同樣是一天到一周內，部署失敗的平均復原時間則要在一天內，變更失敗率得低於10%。但是，今年DORA報告對於高階團隊的變更失敗率要求，放寬到20%。</p> <p>DORA組織在報告中解釋，他們認為，速度快但品質穩定性稍差的團隊，和速度慢卻品質穩定的團隊相比，前者可以視為績效更好的團隊，他們更看重「團隊速度」的價值。所以，今年的高階團隊，雖然變更失敗率達到20%，遠比中階團隊的10%還要來得差。但其他準備時間，部署頻率，復原時間，高階團隊都比中階團隊的表現更快。</p> <h3><span style="color:#FF0000;"><strong>揭露AI對開發生產力的影響數據，7成5開發者的日常工作開始用AI</strong></span></h3> <p>今年DORA調查和過去最大的不同是，今年DORA報告花了很大的篇幅，介紹和探討AI對開發生產力的數據和影響。從今年調查中，高達81%企業開始把AI帶進自家應用和服務中，其中49.2%企業更大大提高了AI應用的優先程度。</p> <p>不只如此，在開發者的日常工作中，高達75.9%的填答者至少有一件工作開始用AI。最常用AI的開發日常工作排名中，程式碼撰寫是第一名，高達74.9%開發者已經用AI來輔助開發，排名第二的靠AI摘要資訊的比例也高達71.2%，這是開發者最常見的兩種GAI用法。</p> <p>用AI來解釋陌生程式碼、優化程式碼和轉寫程式碼文件這三項的比列也高達6成左右。另外還有三項比例超過5成，但略低於6成的則是用AI來撰寫測試、除錯和資料分析。上述8項是過半數開發者日常慣用AI來輔助的項目，每兩位開發者，至少有一位會用AI來輔助。</p> <p>這些工作所用的AI也大多是各種生成式AI工具和服務。開發者最常用GAI互動介面是Chatbot（78.2%），其次是透過外部網頁介面（73.9%），另外也有72.9%開發者是使用IDE工具中的內建GAI工具。另外，也有半數開發者是在自動化CI/CD流程中使用到AI。</p> <h3><span style="color:#FF0000;"><strong>對開發生產力提升效果不如預期，僅1成開發者認為明顯提升，也有5%開發者認為有負面影響</strong></span></h3> <p>雖然，大多數開發者在日常工作中開始運用AI，但在今年初舉辦的這項DORA調查結果顯示，實際帶來的開發生產力提升，卻不如預期得高。只有1成開發者認為，明顯可以提升生產力，25%則認為效果中等，另外也有2成開發者認為沒有效果。甚至有，不到5%的開發者認為，AI不但沒有幫助，還帶來負面影響，削弱了原本的生產力。</p> <p>從職務角色來看，資料科學家和ML工程師比其他角色更愛用AI，而硬體工程師則是最不愛用的技術職。AI對開發生產力提升效果顯著的職務，包括了資安類工程師、系統管理和全端工程師（Full-Stack）。認為對開發生產力提升效果較差的職務，則包括了行動開發者、SRE工程師和專案管理。</p> <p>對於AI生成的程式碼品質可用程度上，開發者多數認為只有部分可用，3成開發者覺得多數程式碼的品質夠好，27.3%則認為品質偏低，更有11.9%開發者認為完全不可相信GAI產生的程式碼。對於程式碼品質的看法，取決於不同的用途而會有很大的落差。</p> <p>DORA組織也透過訪談開發者，來了解對AI生成程式碼品質落差很大的情況。多數受訪者預期自己還需要對AI生成的程式碼進行調整，也願意做這些調整。也有受訪者形容，目前AI生成的程式碼大約相當於早期的StackOverflow，還需要修改。</p> <h3><strong><span style="color:#FF0000;">若全面導入AI，文件品質提升3成，程式碼品質提高1成，但也增加技術債和複雜度</span></strong></h3> <p>除了開發者AI採用調查，DORA組織還進行了AI採用成效的推估分析，DORA預估，若開發者將四分之一的工作量開始導入AI後，對文件品質、程式碼品質、程式碼審查（Review）速度會有比較明顯的提升，例如，DORA組織預估，開發者每將AI導入到25%的工作量，預估可以提高文件品質7.5%，程式碼品質改善3.4%，審查速度加快1.3%，換句話說，若開發者100%的工作量都採用AI，效果以翻四倍來計算，可以提高30%文件品質，提高13.4%程式碼品質，加快5.2%的審查速度。</p> <p>但是也伴隨著會帶來一些程式碼複雜度提高和技術債增加的負面影響。另外，導入AI對於軟體交付品質和速度也會造成一些負面影響，DORA預估，每25%工作量導入AI，會延緩交付速度1.5%，讓交付穩定性下滑7.2%，換句話說，若100%導入AI，交互速度會延緩6%，而穩定性則會下滑約3成。這是DORA依據今年調查數據推算的預估影響。</p> <p>DORA更從整體成效角度，來看導入AI後，對企業整體、開發團隊和軟體產品的整體效果，在報告中推估，對企業和團隊成效比較有明顯的幫助（100%導入開發工作上，可帶來5～10％的提升效果），但是，DORA結合了使用性、可用性、功能性、價值和效能和資安角度來整體衡量下，導入AI對於軟體產品的成效提升成效還不明顯。</p> <p> </p> </div></div></div>
2024/10/23 19:07作者王宏仁https://www.ithome.com.tw/news/165654
中國駭客組織IcePeony利用SQL注入手法，針對亞洲國家網頁伺服器下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客發動攻擊的情況不時傳出，近期研究人員揭露多組過往未曾發現的駭客組織，如今有個組織因駭客的作業疏失，而讓研究人員有機會一探究竟。</p> <p>資安研究團隊Nao_sec揭露<a href="https://nao-sec.org/2024/10/IcePeony-with-the-996-work-culture.html">中國駭客組織IcePeony的攻擊行動</a>，並推測這些駭客至少從2023年開始活動，針對印度、模里西斯、越南等國家的政府機構、學術單位、政治組織發動網路攻擊，根據他們取得的事件記錄資料，駭客試圖攻擊印度各個政府網站的情況相當頻繁，有超過200次的記錄。</p> <p>這些駭客會鎖定網頁伺服器發動SQL注入攻擊，一旦找到弱點，就會藉此注入Web Shell或惡意程式，其中一種是專門針對IIS伺服器的後門IceCache，最終目的是竊取帳密資料。研究人員認為，這些駭客的攻擊意圖，很有可能與中國的國家利益有關，尤其優先考慮海洋戰略層面的利益。</p> <p>研究人員調查該組織行蹤的原因，主要是意外發現駭客因操作錯誤不慎曝露了Cobalt Strike、SQLmap等攻擊資源。值得一提的是，他們發現駭客工作的時間相當長，幾乎每天都有新的進展，僅有週日沒有活動，研究人員推測，駭客很可能採取中國IT業界常見的996工作制度──即每天從上午9時工作到晚間9時，每週工作6天。</p> <p>對於駭客使用的工具，研究人員指出他們特別偏好開源軟體，其中包含由代理伺服器工具Stowaway改造而成的StaX、惡意程式IceCache與IceEvent。值得一提的是，這些駭客會在他們的工具加上簡體中文內容的註解，顯示該組織應該來自慣用此種語文的國家，也就是中國。</p> </div></div></div>
2024/10/23 17:25作者周峻佑https://www.ithome.com.tw/news/165649
OpenAI及微軟與新聞組織合作，利用AI來推動可持續性的地方新聞服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>非營利的新聞組織Lenfest Institute for Journalism周二（10/22）<a href="https://openai.com/index/lenfest-institute/" target="_blank">宣布</a>，將與微軟及OpenAI合作，藉由AI協作及獎學金計畫（Lenfest Institute AI Collaborative and Fellowship Program），來協助編輯室探索AI的應用，讓地方新聞業實現可持續發展與創新。</p> <p>Lenfest創立的唯一使命就是開發及支援地方新聞的可持續商業模式，此一計畫是針對美國都會區的新聞機構，提供價值1,000萬美元的資源，包括資金與使用AI的企業額度，首波將有5家新聞業者受惠，包括芝加哥公共媒體（Chicago Public Media）、新聞日報（Newsday）、明尼蘇達明星論壇報（The Minnesota Star Tribune）、費城詢問報（The Philadelphia Inquirer）與西雅圖時報（The Seattle Times）。該計畫還會遴選出第二波受惠的新聞機構，但名額只有3家。</p> <p>這1,000萬美元的資源是由OpenAI與微軟各自提供250萬美元的現金，以及價值250萬美元的軟體服務額度。第一輪的5家新聞業者都將獲得一筆贈款，以聘請一名為期2年的AI研究人員，專注於追求能夠改善業務可持續性，以及在組織內導入AI技術的專案，再加上可使用OpenAI及Microsoft Azure的額度，以讓這些新聞機構能夠實驗及開發可協助當地新聞的各種工具。</p> <p>每家新聞機構都已提出各自的AI專案，例如出版芝加哥太陽時報並經營公共廣播電臺的Chicago Public Media，將專注於利用AI進行轉錄、摘要與翻譯，以擴展內容產品並吸引新的受眾。The Minnesota Star Tribune打算利用AI替記者與讀者摘要、分析及發現內容。</p> <p>Newsday將替編輯室、讀者或企業開發AI公共資料摘錄及匯總工具，並把它們當作行銷服務產品。The Philadelphia Inquirer則將利用AI平臺替其存檔建置一個對話式的搜尋介面，並利用AI來監控與分析當地政府機構所發行的媒體。The Seattle Times打算以AI來協助其在廣告市場的推廣，銷售培訓支援，並進行銷售分析，之後再擴展至其它部門。</p> <p>OpenAI內容與IP主管Tom Rubin表示，儘管沒有什麼能夠取代記者的核心角色，但相信AI技術可在新聞的研究、調查、遞送與變現上派上用場，透過此一計畫來支持小型的獨立出版商，確保它們能夠獲得與大型組織同樣的先進工具及機會。Rubin認為，地方新聞是新聞產業特別脆弱的領域，但AI將能協助它們蓬勃發展。</p> </div></div></div>
2024/10/23 16:18作者陳曉莉https://www.ithome.com.tw/news/165647
蘋果修補macOS的HM Surf漏洞，目前已有嘗試利用的跡象
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年9月蘋果發布電腦作業系統大改版macOS Sequoia 15，當中修補中度風險漏洞CVE-2024-44133，這項漏洞影響由行動裝置管理平臺（MDM）控管的裝置，應用程式有可能藉由漏洞繞過特定的隱私權組態，CVSS風險評為5.5分，通報此事的微軟<a href="https://www.microsoft.com/en-us/security/blog/2024/10/17/new-macos-vulnerability-hm-surf-could-lead-to-unauthorized-data-access/">近日公布相關細節</a>，並指出他們偵測到疑似漏洞利用的情況。</p> <p>微軟威脅情報中心指出，這項漏洞有機會讓攻擊者繞過macOS的Transparency, Consent, and Control（TCC）保護機制，進行在未經授權的情況下，存取受到保護的使用者資料。研究人員將這項漏洞稱為HM Surf，並指出該漏洞涉及移除Safari瀏覽器程式資料夾的TCC防護，以及更動特定資料夾的組態檔案，使得攻擊者有機會存取使用者資料，包含瀏覽過的網頁、裝置的視訊鏡頭、麥克風、地理位置。</p> <p>對於這項漏洞發生的原因，他們提到Safari被作業系統賦予一種名為com.apple.private.tcc.allow的權限，而能夠繞過作業系統的TCC檢查，自由存取通訊錄、相機、麥克風等，但在預設情況下，此瀏覽器還是透過自己的TCC機制，管控、徵求每個網頁的存取權限。</p> <p>然而研究人員發現，他們仍有機會透過公用程式dscl變更使用者資料夾位置，從而移除~/Library/Safari的TCC保護，而能成功利用HM Surf。這樣的利用手法，類似涉及TCC的另一個弱點<a href="https://www.ithome.com.tw/news/148844">powerdir（CVE-2021-30970）</a>。</p> <p>為了驗證漏洞，他們藉此下載相機拍攝的畫面，但實際上，攻擊者不會這麼客氣，可能還會結合其他隱密手法洩漏資料，像是將照片埋藏起來，或是儲存攝影機串流影片，也有可能使用非常小的視窗啟動Safari來利用漏洞，而避免引起使用者注意。</p> </div></div></div>
2024/10/23 14:19作者周峻佑https://www.ithome.com.tw/news/165640
日本馬達大廠尼得科傳出遭到勒索軟體攻擊，疑VPN帳密外流釀禍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年8月上旬日本馬達大廠尼得科（Nidec）證實，<a href="https://www.nidec.com/jp/nidec-precision/corporate/news/2024%E5%B9%B4/20240812_%20incident/">越南子公司NPCV的網路環境遭到非法入侵</a>，駭客竊取資料並向他們索討贖金，換取駭客不外流檔案。事隔兩個月，該公司公布更多細節。</p> <p>10月17日尼得科<a href="https://www.nidec.com/jp/nidec-precision/corporate/news/2024%E5%B9%B4/20241017_%20incident_2/">表示</a>，他們在8月5日收到駭客的通知，對方聲稱成功滲透NPCV網路環境，並從伺服器竊得檔案，要他們付錢。該公司經過與外部專家進行調查，確實有部分資料被公布在暗網。但他們強調此事發生後，沒有出現新的攻擊事故，或是檔案遭到加密的情形。</p> <p>究竟事件發生的原因為何？該公司研判駭客是取得員工VPN帳密資料而能得逞。他們已對所有端點電腦進行掃描、重設密碼，以及重新審查伺服器的存取權限因應。</p> <p>這起資料外洩事故造成哪些災情？尼得科表示總共有50,694個檔案外流，涵蓋NPCV內部資料、商業夥件往來信件、合約、營運與供應鏈相關資料，以及訂單、發票、收據等交易文件。該公司表示，將個別通知受到影響的業務合作夥伴。</p> <p>究竟攻擊者的身分為何？根據<a href="https://www.bleepingcomputer.com/news/security/tech-giant-nidec-confirms-data-breach-following-ransomware-attack/">資安新聞網站Bleeping Computer的報導</a>，可能是勒索軟體駭客組織8Base或Everest。起初有個惡意團體8Base於6月中旬聲稱對尼得科發動攻擊，並於6月3日竊得其內部資料；隔月尼得科坦承遭遇勒索軟體攻擊，表示受害的是旗下的尼得科儀器（Nidec Instruments）。</p> <p>但到了8月8日，另一個勒索軟體駭客組織Everest發布從尼得科竊得的檔案。根據尼得科公布的調查結果，向他們勒索的駭客組織很有可能就是Everest。</p> </div></div></div>
2024/10/23 15:57作者周峻佑https://www.ithome.com.tw/news/165644
淡化SolarWinds遭駭影響，Unisys與Check Point等4家業者遭SEC罰款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國證券交易委員會（Securities and Exchange Commission，SEC）周二（10/22）針對4家業者<a href="https://www.sec.gov/newsroom/press-releases/2024-174" target="_blank">祭出了罰款</a>，原因是它們在遭到SolarWinds被駭事件的波及時，對外試圖淡化其影響，危害了股東與投資人的權益，包括Unisys、Avaya、Check Point與Mimecast。</p> <p>SolarWinds為一專門開發網路、系統與IT管理軟體的美國業者，旗下的IT監控平臺Orion在2020年12月遭到駭客滲透，駭客入侵了Orion的更新機制，於特定的Orion版本中植入Sunburst木馬程式，估計在3.3萬家Orion客戶中，有1.8萬家安裝了含有Sunburst的Orion，間接受害的除了眾多的美國聯邦組織之外，還包括FireEye、微軟、思科、英特爾與Nvidia等業者。</p> <p>不過，SEC發現，同樣受到SolarWinds被駭事件危害的Unisys、Avaya、Check Point與Mimecast，對外提供了誤導性的披露，而讓投資人對此一資安事件的真實影響範圍一無所知。</p> <p>調查顯示，Unisys、Avaya與Check Point是在2020年，而Mimecast是在2021年發現，滲透SolarWinds的駭客曾經入侵它們的系統，但它們在公開披露中全都淡化了此一資安事件。</p> <p>例如Unisys就算已經知道已被SolarWinds駭客入侵兩次，資料也外洩了，對外卻還是以假設性的口吻來描述該風險，原因之一是因Unisys的揭露控制含有缺陷。Avaya則僅對外宣稱駭客存取了有限的電子郵件，但事實上駭客還存取了其雲端檔案共享環境中的145個檔案。</p> <p>至於Check Point儘管知道自己被入侵，卻以籠統的術語描述了該網路入侵活動與相關風險；Mimecast則未充份披露駭客所竊取的程式碼性質，以及所存取的憑證數量，試圖淡化該攻擊的嚴重性。</p> <p>SEC加密資產及網路部門的代理負責人Jorge Tenreiro表示，淡化重大網路安全事件是一個糟糕的策略，上述的兩個案例中，就算企業已經知道風險已經發生時，竟然還用假設性的說法來描述，違反了聯邦證券法令。</p> <p>上述業者皆已同意支付罰款，其中，Unisys將支付400萬美元，Avaya為100萬美元，Check Point是99.5萬美元，而Mimecast也要支付99萬美元。</p> </div></div></div>
2024/10/23 15:08作者陳曉莉https://www.ithome.com.tw/news/165641
聯發科GAI應用發展聚焦智慧助理、個人化，下一步邁向多代理協作模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「未來AI 代理（Agents）將會無所不在。」聯發科人工智慧暨數據工程處本部協理葉家順近日在一場活動上分享自家內部生成式AI場景應用時這樣說道。</p> <p>葉家順表示，該公司已完成生成式AI 基礎設施，現階段發展重點聚焦智慧助理、個人化及任務管理，下一步將朝向多代理(multi-agent) 協作模式來發展。</p> <p>聯發科開始導入GAI（生成式AI）的目的，一方面是提升員工生產力，達到成本降低的目標；另一方面是讓現有產品或服務創造更高價值，替公司增加更多收益。</p> <p>為此，聯發科去年開發了自家的生成式AI服務平臺DaVinci，目標要打造像「Jarvis」這樣的AI助理，並先在內部導入，服務全球2萬多名員工，迄今推動跨部門超過50個生成式AI專案，集團內部的滲透率已達 97%。</p> <p>後來這套平臺發展成可供外部企業導入的生成式AI服務方案。目前已有上百家客戶在進行測試，數十家企業正式採用。</p> <p>透過DaVinci平臺，聯發科短短1年多已將生成式AI迅速應用於內部各單位，包括 IT、人資、法務、財務、產銷和稽核等。以IT部門為例，GAI被應用於軟體開發周期的各個階段，包括需求分析與規格設計、程式撰寫、測試與驗證，以及客戶支持等。並且先從OA環境中導入，之後再將AI逐步擴展到軟體開發和IC設計等高敏感性的工作環境。</p> <p>葉家順說，許多企業導入生成式AI時，往往會先購買算力並開始訓練模型，他建議，若企業希望在半年內取得顯著成效，以提升生產力或增加價值，可以優先在非核心業務中進行應用，例如生產、銷售、人力資源、財務和行政等部門，因為這些業務的機敏性相對較低，且所選擇的GAI模型不一定需要是經過微調或預訓練過程，因此可以很快拿來運用。</p> <p>聯發科的許多內部生成式AI 應用都是由各部門主導開發的，先由各單位確定業務場景和流程痛點後，再與AI專家討論應用的可行性，進而開發出相對應的應用，來解決自身的問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240927_084745966(1).jpg" style="width: 600px; height: 351px;" /></p> <p>以財務部門為例，財務人員可以用GAI協助交易處理，包括月季結算、合併報表及權利金報告的撰寫，也能進行採購單（PO）和非採購單、固定資產的核對與分類，並處理收付款項和撰寫金融商品報告。在企業決策支援方面，GAI可用於整理稅務申報及稅務優惠資料，撰寫非營運公司報告，以及整理和撰寫內外部報告，如法說會、ESG 報告和財務報告等。不僅如此，GAI還能用在經營財務管理上，進行多維報告的資料彙整。</p> <p>聯發科將DaVinci發展成一套生成式AI智慧助理No Code工具，讓每位員工都可以透過No Code方式建立個人助理，使用者只需選擇模型、外掛、提示範本和知識庫，就能快速建立適合不同任務的AI智慧助理，藉此來改善內部作業流程，進而提高生產力。</p> <p>聯發科員工在內部開發了多種不同的AI 助理，像是有財務客服助理，能夠協助財務人員快速查詢公司基本資料、營收、應收帳款、逾期帳款和DE比等訊息，還有費用分析師助理，能夠查詢<span>營運成本相關內容</span>並提供商業見解。以及論文分析助理，能夠幫助研發單位快速分析和總結arXiv期刊或Medium網站文章，以便快速學習和吸收新知識與技術。甚至還有擔任策略顧問的AI助理，能提供商業建議與分析。</p> <p>葉家順提到說，在GAI應用開發過程中，只有挑選GAI模型還不夠，如果直接使用模型而未整合公司內部的知識庫，容易出現「幻覺」問題。因此在聯發科的 DaVinci 中，他們開發了多個公版外掛（plugin），能夠與外部系統對接，包括SharePoint、ERP和資料庫等。目前模型庫中包含幾十個模型，並提供數百個plugin。在模型庫中，也能選擇聯發科自己的繁中LLM模型BreeXe，或是其他經過微調或預訓練的模型。</p> <p>他們也建立了提示優化引擎，優化提示流程，提升模型回答的準確性。在訓練過程中，會保留大量資料，以不斷優化這些提示引擎，目前該引擎已發展至第二版。此外，模型使用後所產生的Log日誌數據會集中在地端保存，用於稽核和計費。</p> <p>身為企業用的AI助理，葉家順強調，與其他生成式AI助理相比，DaVinci更加注重安全、彈性和易用性，「比起專注於AI建置，我們更重視如何有效運用AI。」</p> <p>他表示，在手機領域，像安卓或iOS這樣的開放平臺不僅強調安全性，還具備易用性，讓每個人都能使用工具解決自己的問題。這一經驗同樣適用於生成式AI助理，「我們的目標是，未來無論是2萬名員工，或5萬名員工的公司，每個人都能在半天內訓練並開發出AI助理，解決手邊的問題。」</p> <p>聯發科雖然在內部大量導入GAI應用，但也採取不少措施，加強GAI應用安全與管控，「資安控管比選擇基礎模型更為重要。」葉家順表示。</p> <p>像在資安管控上，聯發科會根據機敏性程度將工作環境分為OA環境、軟體開發環境和IC設計環境，來提供安全隔離的環境，並透過API介接DaVinci平臺中的模型庫。每個環境所能夠使用的模型有所不同，例如，OA和軟體開發環境可以使用VPC（Virtual Private Cloud） API串接部署在雲端上的GAI 模型，如Google Gemini和AWS Bedrock等，但如果是核心的業務，如IC設計，由於不能上網，僅能選擇本地模型，如Llama 3、Mistral和 DeepSeek，且必須在自家的機房中部署推論伺服器來執行模型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240927_085653978.jpg" style="width: 600px; height: 338px;" /></p> <p>除了導入GAI提高員工生產力，聯發科也用GAI也幫其創造更多收益，推出名為智慧助理即服務（Smart Assistant as a Service,SAaaS）的新服務模式，將智慧助理功能API化後迅速部署到包括手機平板智慧音箱智能家居、自駕車等各種終端設備中提供AI助理服務。甚至也能結合個人化功能，進一惡進步提升服務體驗。</p> <p>舉例來說，未來在自駕車應用上，智慧助理能將整合使用手冊及車廠資料庫，可以用中文、日文或英文等不同語言回答用戶提問。在智能家庭上，聯發科已投入大量AIoT產品的開發，過去多以聲控為主，未來則能透過智慧助理提供更多服務。在個人助理方面，無論是B2B或B2C應用，智慧助理都能發揮用處。</p> <p>聯發科的 GAI 發展未來將從智慧助理，進到多Agent協作模式的應用階段。葉家順表示，未來的GAI應用將以Agent與Agent之間的協作為核心，這些Agent不只存在於雲端上，也會不同大小的裝置和設備中分工協作，共同完成任務。例如使用者的個人助理Agent可以自動與其他裝置中的Agent協調活動，如安排會議、規劃旅遊行程、訂房和交通等，串聯多項服務。未來將是 Agent 的時代。」葉家順強調。</p> </div></div></div>
2024/10/23 14:16作者余至浩https://www.ithome.com.tw/news/165638
Anthropic更新Claude 3.5 Sonnet，新增操作電腦能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI模型開發業者Anthropic周二（10/22）<a href="https://www.anthropic.com/news/3-5-models-and-computer-use" target="_blank">更新了Claude 3.5 Sonnet</a>，新版Claude 3.5 Sonnet首度開放使用者測試其電腦操作能力，也特別改善了程式碼撰寫及工具使用任務，並宣布將在10月底釋出Claude 3.5 Haiku。</p> <p>Claude Sonnet為Anthropic所開發的中階模型，著重在取得智力與速度的平衡，Claude Haiku則是最小也最低階的模型，主打即時回應，而最大的模型Claude Opus則是用來處理更複雜的任務，目前Anthropic僅發表Sonnet 3.5及Haiku 3.5，並未提及Opus 3.5。</p> <p>為了訓練Claude使用電腦，Anthropic打造了一個API以讓Claude能夠感知電腦介面並與之互動，開發人員即可整合該API，要求Claude將指令（例如：利用我電腦上的資料來填入表格）轉成電腦命令（檢查試算表，移動游標以開啟瀏覽器，導航至最相關的頁面，以及填入表格等）。</p> <p>Anthropic說，現代的大量工作都是透過電腦進行的，令AI能夠像人類一樣與電腦互動，將解鎖這一代AI助手無法處理的大量應用。這幾年AI有許多重要的發展，像是執行複雜邏輯推理的能力，以及查看與理解圖像的能力，而下一個重要領域則是使用電腦，讓AI模型可直接按照指示使用各種軟體，而不必再透過特製的軟體與電腦互動。開發人員可利用此一功能來自動化重複的流程，建置與測試軟體，或是執行諸如研究等開放式任務。</p> <p>有一個OSWorld標準是用來評測模型使用電腦的能力，在理解螢幕截圖（Screenshot）上，Claude 3.5 Sonnet取得了14.9%的成績，雖然尚遠不及人類水準（70~75%），卻已高於第二名Cradle BAAI的7.8%，以及OpenAI GPT-4 Vision的7.7%，倘若可以執行更多的步驟，Claude 3.5 Sonnet還能達到22%。</p> <p>不過，Anthropic坦承Claude目前操作電腦的能力並不完美，人們可以輕鬆執行的滾動、拖曳或縮放對Claude而言都是挑戰，在實驗中，它還停止了正在長時間運作的螢幕錄製，導致所有內容都不見。</p> <p>目前包括Asana、Canva、Cognition、DoorDash、Replit與The Browser Company都已在測試Claude 3.5 Sonnet的電腦執行能力，其中，線上程式開發平臺Replit利用它來建置Replit Agent的新功能，可在開發人員建置應用程式的過程中，自動檢查並評估應用程式的表現。</p> <p>除了操作電腦的能力之外，Claude 3.5 Sonnet在許多評測都有長足的進步，包括GPQA、MMLU Pro、HummaEval、MATH、AIME 2024、MMMU、SWE-bench Verified及TAU-bench等，除了MATH略遜Gemini 1.5 Pro之外，其它評測都勝過Gemini 1.5 Pro、Gemini 1.5 Flash、GPT-4o與GPT-4o mini。</p> <p>在與撰寫程式相關的HummaEval及SWE-bench Verified評測中，Claude 3.5 Sonnet分別奪得了93.7%及49%的成績，高過前一個版本的88.1%與40.6%。</p> <p>另一個TAU-bench是用來測試AI代理工具於真實世界場景中的表現，衡量能否處理複雜且多步驟的任務，並與使用者進行自然對話，Claude 3.5 Sonnet在零售領域的表現達到69.2%，在航空領域的表現為46%，高於前一版的62.6%與36%。</p> <p>至於速度最快的Claude 3.5 Haiku特別擅長撰寫程式碼，它在HummaEval的得分為88.1%，而在評估解決實際軟體問題能力的SWE-bench Verified上得分亦有40.6%。</p> <p>Anthropic表示，Claude 3.5 Haiku具備低延遲，更好的指令遵循能力，以及更準確的工具使用，非常適合面向使用者的產品、專門的子代理任務，以及從大量資料生成個人體驗的服務，例如購買歷史紀錄、定價或庫存紀錄等。</p> <p>不管是Claude 3.5 Sonnet或Claude 3.5 Haiku都可藉由API、Amazon Bedrock及Google Cloud的Vertex AI存取，只是Claude 3.5 Haiku尚未上線，而且初期僅支援文字，之後才會支援圖像輸入。</p> </div></div></div>
2024/10/23 13:00作者陳曉莉https://www.ithome.com.tw/news/165639
Sophos收購Dell持股的資安廠商Secureworks
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國防毒廠商Sophos日前（10/21）<a href="https://news.sophos.com/en-us/2024/10/21/sophos-to-acquire-secureworks-to-accelerate-" target="_blank">宣布</a>，以8.59億美元全現金收購美國資安業者Secureworks。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1023-Sophos%20to%20Acquire%20Secureworks.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Sophos</span></span></p> <p>Secureworks為網路安全服務供應商，提供安全監控、威脅偵測及SoC服務，知名產品包括Taegis XDR和Taegis ManagedXDR（MDR）。Secureworks於2011年為Dell<a href="https://www.ithome.com.tw/news/65351" target="_blank">收購</a>，2016年Dell將之分拆<a href="https://www.nasdaq.com/articles/dell-spin-secureworks-sets-terms-149-million-ipo-2016-04-11" target="_blank">上市</a>，成為這家資安公司的最大股東。今年8月媒體<a href="https://www.reuters.com/markets/deals/dell-attempts-sell-cybersecurity-firm-secureworks-again-sources-say-2024-08-29/" target="_blank">報導</a>，Dell再次嘗試出售Secureworks。</p> <p>在此收購下Sophos以全現金8.59億美元買下Secureworks，為Secureworks過去90天成交量加權平均（volume-weighted average price）股價的溢價28%，而Dell則可獲得每股8.5美元現金。本案預定2025年完成。</p> <p>Sophos表示，Secureworks的Taegis平臺和Sophos代管服務與安全產品可相輔相成提供進階延伸偵測回應（XDR）及代管偵測回應（MDR）解決方案。Sophos計畫整合二家公司產品，使Sophos新增身份威脅偵測與回應（identity threat detection and response，ITDR）、次世代安全資訊與事件管理（Security Information and Event management，SIEM）、營運科技（operational technology，OT）及進階弱點風險排序等，提供滿足大、中、小型企業的產品。</p> <p>Sophos在2020年由私募資金公司Thoma Bravo買下。Thoma Bravo先後有過多起重大資安收購案，包括2021年曾以123億美元<a href="https://www.thomabravo.com/press-releases/thoma-bravo-completes-acquisition-of-proofpoint" target="_blank">買下</a>電子郵件和資料保護產品供應商Proofpoint，今年又斥資53億美元<a href="https://www.thomabravo.com/press-releases/thoma-bravo-announces-a-cash-offer-to-acquire-cybersecurity-leader-darktrace" target="_blank">買下</a>AI威脅偵測軟體業者Darktrace，<a href="https://www.thomabravo.com/press-releases/thoma-bravo-completes-acquisition-of-everbridge" target="_blank">以及</a>公共警報軟體供應商Everbridge。</p> </div></div></div>
2024/10/23 10:34作者林妍溱https://www.ithome.com.tw/news/165636
一雪前恥，Stability AI開源Stable Diffusion 3.5
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供AI圖片生成的新創公司Stability AI本周<a href="https://stability.ai/news/introducing-stable-diffusion-3-5" target="_blank">宣布</a>開源最新版模型Stable Diffusion 3.5，修正之前版本品質低落的問題。</p> <p>6月份Stability AI釋出第一個開源模型Stable Diffusion 3 Medium，但是<a href="https://the-decoder.com/stability-ai-apologizes-for-disappointing-stable-diffusion-3-promises-much-improved-model-soon/" target="_blank">未能滿足社群期望</a>，像是生成的人物身形怪異、手指變形、或是未能按照提示生成圖像等，迫使該公司為此致歉。<a href="https://www.yeschat.ai/blog-Stable-Diffusion-3-is-something-39324" target="_blank">原因</a>可能出於開源版本只有20億參數，效果遠不如付費版本。</p> <p>為此Stability AI決定重新開發一個版本，而非以修補方式強化原來的Stable Diffusion 3 Medium。該公司強調3.5版更能反映其以門檻低、多數應用場景免費的進階工具幫助開發人員和創作者的承諾，也鼓勵開發人員將之用於微調、優化、LoRA（Low-Rank Adaptation，深度學習模型的微調法）、應用或創作。</p> <p>最新版本模型包含二款多模態大型語言模型Stable Diffusion 3.5 Large（8B）及Stable Diffusion 3.5 Large Turbo（8B）。其中Stable Diffusion 3.5 Large為多模態擴散Transformer（MMDiT）文字轉圖片模型，使用三種預訓練固定式text encoder及QK-normalization（正規化）方法提升訓練穩定性。Stable Diffusion 3.5 Large Turbo則是在Stable Diffusion 3.5 Large基礎上，加上對抗性擴散蒸餾（adversarial diffusion distillation）方法，以提升圖片畫質、類別和複雜提示理解力，以及資源效率，而且可減少推論步驟。</p> <p>Stable Diffusion 3.5經由寬鬆Stability AI社群授權開源，開發人員可以從<a href="https://huggingface.co/collections/stabilityai/stable-diffusion-35-671785cca799084f71fa2838" target="_blank">Hugging Face下載</a>Stable Diffusion 3.5 Large及Large Turbo，並在<a href="https://github.com/Stability-AI/sd3.5" target="_blank">GitHub下載</a>推論程式碼。</p> </div></div></div>
2024/10/23 11:12作者林妍溱https://www.ithome.com.tw/news/165637
思科坦承客戶支援網站流出資料，強調未被駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩周前駭客在網路上兜售聲稱來自思科的資料，思科上周<a href="https://sec.cloudapps.cisco.com/security/center/resources/october_15_2024" target="_blank">坦承</a>確有部份公司資料流出，來自提供客戶支援的資源網站，不是公司系統被駭。</p> <p>思科針對駭客IntelBroker<a href="https://www.ithome.com.tw/news/165513" target="_blank">宣稱</a>駭入該公司系統取得資料公布初步調查結果。思科聲稱，有信心公司系統未被駭。在駭客論壇兜售的資料是從思科對外公開的資源DevHub網站流出，該網站提供軟體程式碼、腳本程式等供客戶必要時下載。</p> <p>到目前為止，思科尚未觀察到這批資料包含任何機密資訊如個資或財務資料，但說會持續調查。但為謹慎起見，思科已經預防性關閉外部存取管道。同時思科也預告，一旦調查發現客戶資訊外流，將會直接聯繫受影響的客戶。</p> <p>上周駭客宣稱掌握了思科GitHub專案、程式原始碼、產品檔案、憑證、token、公私鑰，以及客服資料。一名研究人員分析，受外洩資料影響的客戶包括AT&T、Verizon、T-Mobile US、Vodafone、微軟、SAP、及能源巨擘雪佛龍（Chevron）。思科並未證實此事。</p> </div></div></div>
2024/10/23 10:12作者林妍溱https://www.ithome.com.tw/news/165635
Rust 1.82更新強化套件管理與Apple Silicon支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.rust-lang.org/2024/10/17/Rust-1.82.0.html">Rust 1.82</a>版本正式發布，帶來多項重要更新，包括Cargo新增cargo info子命令強化套件管理，而Apple Silicon成為第一層級（Tier 1）支援目標，提升了Apple平臺支援的優先度，同時Rust 1.82也引入更精確的生命周期捕捉語法use<..>，並新增原始指標（Raw Pointer）操作語法。這些更新進一步強化了Rust跨平臺支援、安全性和開發效率。</p> <p>在這個版本中，Rust對套件管理工具Cargo進行重要強化，加入cargo info子命令，讓開發者可以快速檢視註冊表中的詳細資訊，包括版本、授權條款、文件和來源庫連結等，並且還會提示是否有更新版本可用。這個功能構想第一次<a href="https://github.com/rust-lang/cargo/issues/948">在2014年11月被提出</a>，在接近10年後官方終於實作完成。</p> <p>在本次更新中，Rust針對Apple Silicon，包括M1或更新的處理器提升至第一層級支援，這代表該平臺的支援度達到最高級，每一次Rust的變更，都會針對Apple Silicon平臺進行完整測試以確保其執行穩定度。Apple Silicon從Rust 1.49開始獲第二層級的支援，而這次的支援度提升，表示Rust對Apple M系列晶片有更高的優先度和可靠性承諾。</p> <p>Rust 1.82引入新的use<..>語法，讓開發者可以明確指定在泛型程式碼中，想要紀錄或是使用的生命周期，這樣可以避免過去程式中，因為生命周期推斷不夠明確而導致的錯誤，並讓開發者能夠更精確地控制變數的有效時間，提升程式的穩定性和可讀性。</p> <p>過去開發者需要使用捕捉技術來處理生命周期相關的問題，這使得生命周期的管理顯得複雜。而現在透過use<..>語法，特別是在impl Trait綁定中，開發者可以更有效地控制泛型生命周期參數的捕捉行為，讓程式碼生命周期管理變得更加直覺簡潔。</p> <p>新版本另一項重大改進是Rust現在提供新的原始指標操作語法，取代過去仰賴巨集的作法。開發者現在可以使用&raw const expr和&raw mut expr來創建原始指標，這在處理不安全程式碼，尤其是記憶體對齊問題的情況下，能夠明顯提升程式碼的可讀性和安全性，而這項改進也使得不安全程式碼中的指標操作更不容易出錯。</p> </div></div></div>
2024/10/23 08:36作者李建興https://www.ithome.com.tw/news/165630
衛福部資訊處揭次世代數位醫療平臺計畫進展，還自建LLM標準轉換器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部資訊處副處長王美珠日前在臺灣醫院資訊主管會議中，代表資訊處處長李建璋說明次世代數位醫療平臺計畫，包括要落實3大核心、5大願景，比如以採用國際醫療資料交換標準FHIR、建置規則庫（Rule library）、接軌FHIR智慧醫療應用程式市集SMART on FHIR等3大方法，來實現資料統一、規則統一、應用程式統一等3大願景。她還揭露，衛福部資訊處用大型語言模型（LLM）打造病歷資料標準轉換器，不只能除錯，還能將內容轉換為SNOMED CT、LOINC等國際標準。</p> <p><span style="font-size:22px;"><strong>衛福部推次世代數位醫療平臺計畫，鎖定3大核心、5大願景</strong></span></p> <p>王美珠表示，臺灣要打造智慧醫療護國神山，需要資料、算力和演算法，但臺灣各家醫院長年來發展出各自的醫療資訊系統（HIS）、資料格式與標準不一，再加上國內重要醫療資料庫彼此間也有資料邏輯不同、資料庫架構存在差異等資料互通問題，導致寶貴的醫療大數據無法好好被應用。</p> <p>而衛福部提出為期4年的次世代數位醫療平臺計畫，就是要解決這些問題。該計畫聚焦「一個平臺、三大核心、五大願景」，其中三大核心是指，確保不同平臺的「資料統一、規則統一、應用程式統一」，衛福部資訊處分別要以採用國際醫療資料交換標準FHIR、建置規則庫（Rule library），以及接軌FHIR智慧醫療應用程式市集SMART on FHIR等3大方法來實現。</p> <p>其中，採用FHIR是為了讓底層資料標準統一，規則庫則用來收集健保申報的FHIR程式，供醫院下載使用，並可延伸用於醫院品質監測、管理。至於SMART on FHIR，則是美國一款FHIR版的醫療App市集平臺，衛福部要鼓勵醫院和廠商發展符合SMART on FHIR規格的應用，並在該市集上架，跨出臺灣市場。</p> <p>衛福部資訊處希望透過這3大核心，發展出5大願景，也就是建立臺灣智慧醫療生態系、推動醫院品質管理數位化、發展智慧化臨床試驗平臺、成立真實世界電子病歷資料庫，以及實現個人化數位健康管理。</p> <p>針對第一項願景，衛福部資訊處也已聯手16家醫院，<a href="https://www.mohw.gov.tw/cp-16-80155-1.html">成立了3大類型AI中心</a>，包括負責任AI執行中心、臨床AI取證驗證中心、AI影響性研究中心，來落實AI模型透明和安全機制、加速TFDA智慧醫材取證、爭取健保給付等智慧醫療最後一哩路痛點，來塑造臺灣醫療AI生態系。</p> <p>之後，衛福部資訊處也將鼓勵這些智慧醫材上架到SMAR on FHIR市集，來拓展海外市場。甚至今年11月，衛福部資訊處將邀請SMART on FHIR創辦人暨哈佛醫學院教授Kenneth Mandl來臺簽約、舉辦相關工作坊，推動臺灣本地SMART on FHIR的應用開發。</p> <p><span style="font-size:22px;"><strong>次世代數位醫療平臺計畫瞄準醫中、區域地區醫院和衛生所，分3階層作法</strong></span></p> <p>再來，衛福部推動的次世代數位醫療平臺本身，分別針對醫學中心、區域/地區醫院、衛生所提出各自作法。</p> <p>比如針對醫學中心，衛福部資訊處決定各家維持各自的HIS系統，但資訊處要建置FHIR資料中臺／數據中臺，來讓醫學中心<strong>統一使用FHIR標準</strong>、促進資料互通，預計在接下來2年完成。（如下圖）</p> <p>接著是區域／地區醫院，衛福部希望逐步翻新這些醫院的HIS，要建置類似Android架構的數位醫療平臺（DHP）。也就是說，衛福部聯手工研院和醫資廠商，要打造一套共用的數位底盤PAUL（Platform Advancing Unified Healthcare），來將醫院原有系統升級為次世代電子病歷系統，並保留各醫院系統客製化開發的彈性。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E4%B8%89-%E6%AC%A1%E4%B8%96%E4%BB%A3%E6%95%B8%E4%BD%8D%E9%86%AB%E7%99%82%E5%B9%B3%E5%8F%B0%E4%B9%8B%E5%85%B1%E9%80%9A%E8%A6%8F%E5%8A%83.jpg" /></p> <p>至於衛生所，衛福部則要建置公版HIS，來讓衛生所直接使用，降低維運成本。</p> <p><span style="font-size:22px;"><strong>針對醫學中心，要導入國際標準、建置臺灣核心資料交換集</strong></span></p> <p>衛福部資訊處還針對醫學中心的資料互通發展，提出3種作法。首先是標準化電子病歷內容，包括導入國際實驗室數據標準LOINC、國際醫學名字標準SNOMED CT、國際處方藥物標準RxNorm，再來是採用國際標準工具FHIR來交換資料，最後是定義必須標準化的最小資料元素，如此才能真正確保資料標準統一、病歷能夠跨院互通。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%86%AB%E5%AD%B8%E4%B8%AD%E5%BF%83.JPG" /></p> <p>而這個最小資料元素，就是衛福部參考美國USCDI制定的臺灣核心資料交換集TW CDI（TW Core for Data Interoperability），目前可在衛福部TW Core IG網頁中查看。王美珠說明，這個資料集不只益於未來醫學研究，衛福部資訊處還希望，針對特定應用需求，醫療機構以聯盟形式制定TW CDI+實作指引，來發展更多元應用，形成臺灣超級醫學資料庫。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TWCDI.JPG" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TWIG.JPG" /></p> <p>她也解釋，導入上述這些國際標準，是因為早期臺灣發展健保代碼因費用計算而設計，顆粒度不夠細緻。而採用國際標準，不只能細緻描述疾病，這些資訊還能作為後續分析、AI研究使用。</p> <p><span style="font-size:22px;"><strong>衛福部打造LLM標準轉換器，要加速病歷資料標準化</strong></span></p> <p>另一方面，既然要推動病歷資料標準化，衛福部資訊處考量，此舉會涉及各大醫學中心過往累積的病歷資料，這些資料量非常龐大，要轉換標準不可能單靠人工完成。</p> <p>因此，衛福部資訊處打造了LLM標準轉換器，能將原始臺灣病歷按國際標準自動改寫，並且還能自動萃取SNOMED CT、LOINC、RxNorm等國際編碼，甚至自動列出編碼來比對，來讓人工確認。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LLM%E7%B7%A8%E7%A2%BC%E5%B7%A5%E5%85%B7.JPG" /></p> <p>衛福部資訊處希望繼續優化這款工具，之後供醫學中心使用。</p> <p>另一方面，衛福部資訊處也希望，結合LLM和一系列開源軟體來協助醫學中心，確保病歷資料標準化。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LLM%E5%B7%A5%E5%85%B7.JPG" /></p> <p>他們也建置一套Inferno平臺，可供醫學中心測試FHIR病歷資料是否完全標準化，要是通過，就會發給標章。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/api%E6%B8%AC%E8%A9%A6.JPG" /></p> <p></p> </div></div></div>
2024/10/22 20:40作者王若樸https://www.ithome.com.tw/news/165634
【資安日報】10月22日，資安業者ESET以色列合作夥伴驚傳遭駭，駭客冒名從事網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定合作廠商發動攻擊的情況，很難不讓人聯想到供應鏈攻擊。最近發生在資安業者ESET合作夥伴Comsecure的資安事故，就是這樣的例子。</p> <p>值得留意的是，駭客疑似透過Comsecure經營的網域，意圖打著ESET的名號，假借提供防護工具為由，向以色列人散布資料破壞軟體（Wiper），為何攻擊者能夠利用該網域寄信？該公司並未進一步說明。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165629"><strong style="font-size: 22px;">資安業者ESET以色列合作夥伴傳出遭攻擊，駭客企圖散布資料破壞軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot2024-10-09010631.png_6a221e3005390cedda85f19831ac93fa.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot2024-10-09010631.png_6a221e3005390cedda85f19831ac93fa.png" style="width: 300px; float: right;" /></a></p> <p>10月18日資安業者ESET的研究團隊指出，該公司以色列合作夥伴遭遇資安事故，根據的初步調查，在10分鐘內有限的惡意郵件攻擊就遭到封鎖。ESET強調，他們並未遭到入侵，正積極與合作夥伴緊密合作，進一步調查此事。</p> <p>在上述的公告裡，ESET並未透露相關細節，我們透過代理商台灣二版詢問該公司，他們表示這起事故主要的目標是以色列用戶，相關威脅已經成功攔截，而且不會對亞洲用戶造成影響。</p> <p>根據資安新聞網站Bleeping Computer的報導，這起資安事故發生在10月8日，帶有ESET商標的釣魚郵件從合法網域eset.co.il發送，這些釣魚郵件聲稱來自ESET進階威脅防禦團隊（ESET Advanced Threat Defense Team），國家級駭客打算對收信人的裝置下手，他們提供名為ESET Unleashed的工具來協助用戶因應。一旦收信人照做，就會取得ZIP檔案，其內容包含部分ESET防護軟體元件，以及偽裝成安裝程式（setup.exe）的資料破壞軟體（Wiper）。</p> <p><a href="https://www.ithome.com.tw/news/165606"><strong style="font-size: 22px;">中國駭客APT41鎖定賭博、遊戲產業發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/d03b6f_61b52f1fc0054a968fc81661ee3cb0ef~mv2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/d03b6f_61b52f1fc0054a968fc81661ee3cb0ef~mv2.png" style="width: 300px; float: right;" /></a></p> <p>最近中國駭客的攻擊行動頻頻，其中最惡名昭彰的APT41（又稱Winnti、Earth Baku、Brass Typhoon），有研究人員揭露長達9個月的攻擊行動，公布這些駭客隱密的手法供防守方參考。</p> <p>資安業者Security Joes揭露APT41最新一波攻擊，這些駭客鎖定一家賭博及遊戲業者，在維持秘密的行動下，企圖接管整個網路基礎設施，他們採取多階段攻擊，為期接近9個月，光是偵察活動花上半年，而在活動當中，駭客還根據受害公司資安團隊的回應調整工具。研究人員認為，上述活動，可能與資安業者Sophos揭露的Operation Crimson Palace攻擊有關。</p> <p>這波攻擊行動如何進行？研究人員目前無法確定駭客初始入侵的管道，但根據採集到的證據與過往該組織曾經運用的手段，研判可能藉由網路釣魚得到初期的存取權限，等到成功進入受害組織的基礎設施，就會執行DCSync攻擊，企圖取得服務及管理帳號的密碼雜湊資料，從而控制整個網路環境以便持續活動。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=155757&SPOKE_DATE=20241021&COMPANY_ID=9914"><strong style="font-size: 22px;">自行車業者美利達傳出電子郵件系統帳號遭到攻擊</strong></a></p> <p></p> <p>10月21日自行車業者美利達於股市公開觀測站發布重大訊息，指出他們有部分資訊系統遭遇網路攻擊的情況，這起攻擊行動是他們自行發現，部分郵件系統使用者的帳號被鎖定。對此，他們的資安部門在第一時間全面啟動相關防禦機制，並執行修改使用者帳號密碼的作業。</p> <p>而對於這起事故可能會造成的影響，該公司初步評估認為，對公司營運無重大影響。他們將持續提升網路與資訊基礎架構的安全，以及密碼的管控。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=160407&SPOKE_DATE=20241021&COMPANY_ID=2105"><strong style="font-size: 22px;">輪胎製造商正新加拿大子公司資訊系統遭到網路攻擊</strong></a></p> <p></p> <p>輪胎製造商正新於10月21日在股市公開觀測站發布重大訊息，表示他們加拿大子公司Cheng Shin Rubber Canada部分資訊系統遭到網路攻擊，事發當下資訊部門全面啟動相關防禦機制與復原作業，並協同外部資安業者進行後續處理。</p> <p>該公司指出，他們正對於所有網域、網頁，以及相關檔案執行徹底掃描，確保安全無虞，再以日常備份資料恢復運作。針對這起事故，他們初步評估對營運無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/bumblebee-malware-returns-after-recent-law-enforcement-disruption/">5月遭執法單位圍剿的惡意軟體Bumblebee傳出已捲士重來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/akira-ransomware-exploit-cve-2024-40766-in-sonicwall-sonicos/">SoincWall防火牆漏洞CVE-2024-40766傳出遭到勒索軟體Akira利用</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/new-malware-campaign-uses-purecrypter.html">木馬程式DarkVision RAT藉由載入工具PureCrypter Loader散布</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/over-6-000-wordpress-hacked-to-install-plugins-pushing-infostealers/">逾6千個WordPress網站遭到入侵，駭客用來從事ClickFix攻擊</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165628"><strong style="font-size: 22px;">5家雲端儲存平臺存在弱點，攻擊者可趁機濫用、洩露敏感資料</strong></a></p> <p>近年來全程加密（End-to-End Encryption，E2EE）受到重視，除了有許多即時通訊軟體採用，也有部分雲端檔案共享服務跟進強化資料安全，然而，有研究人員指出，這些雲端檔案共享平臺存在弱點，而有可能遭到利用。</p> <p>研究人員Jonas Hofmann、Kien Tuong Truong與蘇黎世聯邦理工學院應用密碼學團隊聯手，針對Sync、pCloud、Icedrive、Seafile、Tresorit等5家採用E2EE的檔案共享平臺進行分析，結果發現其伺服器組態設定存在漏洞，攻擊有機會用來隨意讀取、竄改、注入資料，研究人員認為，這樣的弱點很有可能會被國家級駭客盯上，破壞伺服器並對用戶下手。</p> <p>研究人員指出，這些漏洞的嚴重程度不盡相同，在大部分的情況下，攻擊者能藉由自己控制的惡意伺服器注入檔案、竄改資料，甚至能夠直接存取明文資料。他們強調，利用這些弱點進行攻擊的手法並非都很複雜，未必要精通密碼學才能達成；而且，不需大量資源就能發動攻擊。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://news.sophos.com/en-us/2024/10/21/sophos-to-acquire-secureworks-to-accelerate-cybersecurity-services-and-technology-for-organizations-worldwide">資安業者Sophos宣布以8.59億美元買下Secureworks</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165602"><strong>【10月21日】Internet Archive再傳遭駭</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165573"><strong>【10月18日】紅隊演練工具EDRSilence遭濫用，16種EDR系統可能因此被「噤聲」</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165552"><strong>【10月17日】Kubernetes映像檔製作工具存在重大漏洞</strong></a></p> </div></div></div>
2024/10/22 17:58作者周峻佑https://www.ithome.com.tw/news/165631