iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 14篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 09:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【快閃儲存全面進入QLC時代】QLC快閃記憶體應用的新階段
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1209-feng_mian_1-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WD、Micron</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>具備容量密度高、成本低，但效能與耐用性有限的特性，QLC SSD幾年前曾被認為難堪重任，只能憑藉低成本在特定領域使用，現在卻正在包括AI在內的各式各樣應用，大舉擴張版圖。</p> <p>當我們從2016年開始追蹤QLC快閃記憶體的發展時，一開始也是認為QLC SSD並不適合多數儲存應用情境使用，而僅適合用於長期保存大量資料的冷儲存應用。</p> <p>但隨著QLC快閃記憶體製程與控制器技術的進步，QLC SSD無論在效能、壽命或可靠性等方面，過去幾年已有顯著的改善，與早期的產品不可同日而語，進而也大幅擴展應用範圍，逐步滲透到企業儲存應用的各個層面。我們在2023年7月的封面故事<a href="https://www.ithome.com.tw/tech/157837" target="_blank"><span style="color:#3366ff;">《QLC大舉進入企業儲存應用》</span></a>，便曾介紹QLC快閃記憶體在企業儲存開始獲得廣泛應用的趨勢。</p> <p>時隔1年半之後的現在，QLC快閃記憶體的應用又有進一步的發展。</p> <p>首先，最新一代QLC SSD產品的各方面規格，幾乎已經與TLC SSD產品不分軒輊，不僅適合多數通用儲存服務情境，還挾著成本優勢，在入門級儲存應用領域開始有了取代TLC快閃記憶體的趨勢。</p> <p>其次，憑藉QLC的高儲存密度優勢，再結合3D堆疊技術，促使SSD容量規格在日前一舉突破100TB大關，遠遠拋開了硬碟與磁帶，穩居當前最大容量儲存媒體地位。</p> <p>第3，QLC快閃記憶體的高儲存密度、低單位容量成本，以及擅長循序讀取等特性，也能在近年來最熱門的生成式AI應用中，發揮關鍵的作用，進而讓QLC SSD成為AI訓練基礎設施建置的重要環節。</p> <p>最後，QLC SSD在企業級儲存設備中的滲透也進一步加深。最初只有少數廠商嘗試推出基於QLC SSD的儲存陣列產品，後來跟進的廠商逐漸增加，到了2024年底，所有一線大廠終於在支援QLC SSD的行列全部到齊，包括一些原本不看好QLC SSD的儲存廠商，也在這段期間改變了態度，將QLC SSD引進產品線。</p> <p>而這一系列新發展，也促使我們再次回到QLC快閃記憶體應用這個議題，檢視QLC SSD應用的的最新情況。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>後發居上的新世代QLC SSD產品</strong></span></span></p> <p>QLC快閃記憶體的每個儲存單元（Cell）可記錄4個位元的資料，儲存單元的容量密度較TLC高出1/3，但是，連帶也需要區分與控制16種閾值電壓狀態，為QLC帶來更複雜、困難的存取程序，最終導致抹寫耐用性更差，更困難的讀取作業與資料保存，以及更不可靠的寫入程序等問題。</p> <p>然而，如同我們在先前封面故事提過的，QLC快閃記憶體晶片先天的效能、壽命與可靠性問題，可以透過SSD裝置層級，以及儲存陣列系統層級的種種措施，獲得緩解與改善。</p> <p>例如SSD裝置層級的超額配置（over-provisioning）、SLC快取，改進的損耗均衡與錯誤修正演算法，以及平行存取處理，還有儲存陣列層級的快取與緩衝，以及跨SSD裝置的損耗均衡等。</p> <p>所以，在快閃記憶體與SSD產品技術發展歷程中，呈現相當特別的「背反」趨勢，從快閃記憶體層次來看，隨著快閃記憶體儲存單元的多級化發展，新一代記憶體的效能與耐用性，可說每況愈下，MLC不如SLC，TLC不如MLC，QLC又不如TLC。但從SSD產品與快閃儲存陣列產品層次來說，效能與耐用性仍持續提升。</p> <p>憑藉技術進步的「後發優勢」，在最新一代的QLC SSD產品中，效能與壽命規格，已能與1、2年前的上代TLC SSD比擬，除了特別寫入負載特別高、或追求極致隨機存取效能的應用情境，TLC SSD仍佔有優勢之外，對於大多數的應用環境，QLC SSD已足以承擔工作需求，而這也改變了QLC SSD產品的定位。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 世代交替的起步 </span></strong></span></p> <p>在QLC SSD問世早期，由於效能與耐用性的限制，因而被定位為訴求大容量、低單位成本的產品線，被視為硬碟的替代者，所針對的應用情境，也與一般TLC SSD之間，彼此涇渭分明。</p> <p>而到了現在，隨著QLC SSD的進步，QLC SSD不僅已經侵入TLC SSD的應用領域，我們這幾個月來還注意到，WD、美光（Micron）等廠商，甚至在部分個人端消費級SSD產品線，都開始以新推出的QLC SSD，接替既有的TLC SSD產品。</p> <p>舉例來說，WD在今年3月新推出的M.2規格QLC SSD產品SN5000S（基於BiCS6 162層3D製程），便是用於取代2022年5月發表的TLC SSD產品SN740（基於BiCS5 112層3D製程）。</p> <p>在效能方面，基於QLC的SN5000S，隨機讀取與寫入IOPS效能，分別比基於TLC的SN740提高1.4％與12.5％，循序讀取與寫入速率則分別快了16.5％與15.5％。</p> <p>而在耐用性方面，以總寫入資料量（TBW）為基準，SN5000S的512 GB與1 TB容量版本，TBW比SN740同容量版本的TBW低了50％與25％，但2TB版本的TBW則反超出20％，整體來說，兩者的耐用性屬於同一級距。</p> <p>類似的例子，還有美光今年4月推出的新款M.2 QLC SSD產品2500系列（232層3D製程），將用於取代2021年底到2022年底推出的上一代M.2 SSD產品，包括基於QLC的2550（176層3D製程）與2400（232層3D製程），還有基於TLC的2450（176層3D製程）。</p> <p>比起上一代的M.2 QLC SSD產品2550與2400，2500的最大隨機讀取與寫入效能比前者高出80％與66％，比後者高出53％與42％，至於循序讀取與寫入速度則比前者提高42％與50％，較後者提高57％與50％。</p> <p>而比起基於TLC的2450，2500的讀取與寫入效能也分別高出24％與31％，整體效能已接近美光M.2 SSD產品線最高階的3400與3450（分別基於176層3D TLC與232層3D TLC）。而在耐用性方面，2500則略遜於2450，同容量規格下的TBW為後者的2/3到一半。</p> <p>雖然這個QLC SSD接替TLC SSD的現象，目前只發生在部份廠商的M.2 SSD產品，卻是重要信號，意味中低階SSD領域，QLC取代TLC的腳步已開始。</p> <p>儘管許多用戶仍對QLC存在負面印象，但對供應商來說，當QLC SSD進步到能提供與TLC同級的效能與耐用性，考慮到QLC能以更低的成本達到相同的容量，也代表著更大的利潤空間，自然會更傾向於推出基於QLC的SSD產品。從這樣的情況來看，或許在幾年內，除了最高階的SSD產品外，QLC恐怕將會席捲中、低階SSD產品領域。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>QLC推動SSD容量邁向極限</strong></span></span></p> <p>今年是SSD容量發展歷程中的又一新里程碑，繼2015年達到15.36 TB，2018年提高到30.72 TB，2023年達到61.44 TB後，緊接著便在今年一舉突破100 TB大關，WD、三星、Solidigm，群聯（Phison）等廠商，先後在下半年發表容量122.88 TB的新一代商用SSD產品。</p> <p>也就是說，SSD的容量規格在10年內提升了足足8倍，而且增長的速度越來越快，從15.36 TB提高到30.72 TB花了3年多，從30.72 TB到61.44 TB花了5年多，但接下來不到2年，就達到122.88 TB。</p> <p>近年來快閃記憶體迅速的容量增長，是QLC快閃記憶體與3D堆疊技術共同合力的結果，我們可以注意到，在61.44 TB以上超高容量層次產品的場合，QLC扮演了更為關鍵的角色——隨著SSD容量等級的提高，採用QLC的產品比重也越來越高。</p> <p>在61.44 TB SSD產品領域，還是TLC與QLC參半局面，目前已有的4款61.44 TB SSD產品——Solidigm的D5-P5336、三星的BM1743、WD的SN655，以及美光的6550 ION，正好各占一半，兩款採用TLC（WD與美光），兩款採用QLC（Solidigm與三星）。</p> <p>不過往上到了122.88TB產品領域，便是清一色採用QLC的局面。目前已發表的5款122.88TB SSD產品——三星BM1743的122 TB版，Solidigm D5-P5336的122 TB版、WD的High-Capacity QLC Enterprise SSD，群聯的Pascari D200V與D205V，全部都是基於QLC快閃記憶體。</p> <p>若把檢視範圍擴大到非標準規格的大容量型SSD產品，同樣還是QLC的天下。例如，IBM用於搭配FlashSystem儲存陣列的FCM模組（FlashCore Modules），自2020年的第2代FCM模組起，到2024年最新的第4代FCM模組，都一直採用QLC，最大容量達到38.4TB。另外，Pure Storage用於搭配FlashArray儲存陣列的DFM模組（DirectFlash Module），去年推出的48TB、75TB版本模組，還有即將推出的150TB容量模組，也都採用QLC。</p> <p>唯一例外是Nimbus Data，該公司在2018年發表、2020年正式上市的ExaDrive DC SSD，是世界上最早的100TB等級SSD，但採用的是TLC快閃記憶體。然而Nimbus Data其實是以空間來換取高容量，這系列產品採用標準2.5吋規格的款式，最大容量只達到16 TB與32 TB，並沒有超過其他廠商的同級產品；至於容量較大的64 TB與100 TB款式，都是採用外形較大的3.5吋規格，容量密度其實沒有進步，與新一代的100TB等級SSD產品，有著本質上的區別。</p> <p>由這樣的發展情勢看來，100 TB等級以上的高容量SSD產品，目前已經是以QLC為主的情況，日後QLC也將成為持續推升SSD容量的關鍵角色。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>QLC SSD的AI應用</strong></span></span></p> <p>QLC SSD的效能特性是循序與隨機讀取效能佳，循序寫入效能稍低，傳輸率大約是循序讀取的30％到40％，至於隨機寫入效能則頗為低落，IOPS效能只有隨機讀取的幾十分之一，所以QLC SSD經常被定位為讀取負載取向型應用，而較不適合寫入I/O負載應用。</p> <p>相較下，TLC SSD一般也是讀取效能較寫入效能更佳，但兩者落差較小，循序讀取與循序寫入傳輸率之間，可達到十分接近的程度，而隨機寫入與隨機讀取之間的落差，則為4、5倍。與同等儲存容量與傳輸介面的QLC SSD相比，TLC SSD的循序讀取與隨機讀取效能並沒有甚麼優勢，循序寫入效能略佳，因此，TLC SSD真正的優勢是在隨機寫入方面。</p> <p>不過，QLC SSD這樣的效能特性，卻恰好對應了AI應用的儲存存取特性，因而將能在AI應用中大展所長。</p> <p>儲存裝置在AI應用中的主要任務，是負責向運算單元饋入訓練資料集、寫入、保存運算內容，最後輸出推論結果。典型的生成式AI運作過程，一開始是將訓練資料集從儲存裝置，分批讀取、載入GPU伺服器的記憶體，由GPU進行訓練運算工作，期間還會向儲存裝置執行寫入檢查點（checkpointing）等工作，訓練完成後，在推論應用過程，也會從模型中讀取資料，產生與輸出推論結果。</p> <p>前述AI應用涉及的I/O存取負載，基本上是以循序讀取、隨機讀取，以及循序寫入為主，很少涉及隨機寫入。例如AI訓練（Training）與推論（Inference）是循序讀取為主，資料攝入（Data ingest）、預處理（Pre-processing），寫入檢查點等作業，是以循序寫入為主，圖像化神經網路（Graph neural networks）則屬於隨機讀取。</p> <p>這也意味著，QLC SSD在生成式AI應用中，將能迴避隨機寫入這個最大弱點，在滿足絕大多數存取需求的同時，還能憑藉單位容量成本低、容量密度高的優勢，提供更低的建置成本，以及更少的空間與功耗需求，可說是理想的AI應用儲存媒體。</p> <p>事實上，不久前有一篇極受矚目的AI應用儲存環境建置新聞，便是圍繞QLC SSD展開。10月底韓國經濟日報（Korea Economic Daily）傳出消息，表示特斯拉公司（Tesla）與韓國快閃記憶體供應商SK-hynix，正在洽談潛在總值高達1兆韓圓（約合7.25億美元）的高容量SSD採購合約，準備用於其AI訓練環境的資料儲存需求。</p> <p>掌握相關消息的人士指出，雙方洽談的採購標的，正是SK-hynix旗下Solidigm公司的QLC SSD產品，也就是我們前面提到的61.44 TB容量D5-P5336。以前述合約金額計算，這份合約可能涵蓋多達9.9萬臺或20萬臺SSD（標準售價或50％折扣），總容量將高達12.3 EB。</p> <p>儘管特斯拉與SK-hynix都未證實前述合約洽談，但從這則新聞當中仍能看出：大容量QLC SSD在當前AI基礎設施建置與應用中，已佔有重要地位，未來還可望持續提高。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>QLC在企業儲存產品的持續滲透</strong></span></span></p> <p>最早將QLC快閃記憶體應用於企業級儲存陣列的廠商，是VAST Data與Pure Storage，分別在2019年初與2019年中推出基於QLC的儲存陣列產品。</p> <p>稍後到了2020年，又有Nexsan、StorOne，以及IBM、NetApp等兩大廠，陸續加入QLC應用行列，推出採用QLC的儲存陣列產品。</p> <p>QLC在企業級儲存陣列的應用風潮，在2021年停滯一年後，在2022年有新的進展，儲存業界龍頭Dell正式為旗下產品線引進QLC SSD，Weka與Scality等2家分散式儲存平臺軟體商，也開始支援QLC SSD。</p> <p>隨後在2023年，長年耕耘高效能運算（HPC）領域的儲存供應商DDN，也推出基於QLC SSD的儲存陣列產品。</p> <p>我們上次在2023年7月<a href="https://www.ithome.com.tw/article/157866" target="_blank"><span style="color:#3366ff;">封面故事探討QLC快閃記憶體應用</span></a>時，主要的QLC儲存陣列供應商大致就是以上這些。</p> <p>在這個時間點之後， QLC在企業級儲存陣列產品的應用，又有重要的進展，又有4家一線大廠先後推出支援QLC SSD的產品。</p> <p>首先是華為，2023年下半年將QLC SSD引進儲存陣列產品線；進入2024年後，HPE，以及日系的2大廠Hitachi Vantara、富士通（Fujitsu），也陸續發表支援QLC SSD的儲存陣列產品，其中，HPE與Hitachi Vantara都是在最近一個月內發表QLC相關產品應用。至此，所有一線儲存陣列大廠在QLC SSD的應用行列終於全部到齊，也是QLC應用邁向全面普及的一個重要信號。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>QLC普遍應用的時代終將到來</strong></span></span></p> <p>QLC與TLC快閃記憶體技術其實問世時間差不多，都是在2009年前後開始獲得實際應用，不過在完整的SSD產品方面，TLC SSD則比QLC SSD早了3、4年進入市場。</p> <p>第1批TLC SSD是在2014到2015年間上市，儘管TLC面臨效能、可靠性與壽命方面不如MLC快閃記憶體的質疑，但憑藉成本與容量密度的優勢，仍然很快取代MLC SSD的地位，到了2018、2019年間，基本上就完成TLC SSD取代MLC SSD的世代交替。</p> <p>現在歷史又將重演，第一批QLC SSD於2018年上市後，同樣也是飽受效能、可靠性與壽命等方面的抨擊，但經過6年後，也終於走到普及應用的階段。</p> <p>事實上，每一世代多級化快閃記憶體問世之初，都同樣受到效能、耐用性不如上一代的批評，從MLC開始、到TLC，以至QLC莫不如此，以致於早期有些廠商還發明了eMLC、eTLC一詞，表明他們使用的MLC、TLC記憶體是足夠可靠的「企業級」顆粒，因而可以用來取代上一代的SLC與MLC。但隨著技術的進步，MLC與TLC曾為人詬病的問題逐一克服，現在已沒人再提eMLC、eTLC這種多餘的講法。</p> <p>我們相信QLC未來也將如此，當前固然仍有許多用戶不能接受QLC（特別是效能取向的消費端高階用戶），但QLC的進步有目共睹，而其成本、功耗與密度方面的優勢也顯而易見，更重要的是對廠商更有利可圖。事實上，從IBM FlashSystem這種二十多年歷史的老牌全快閃儲存陣列，都全面支援QLC，就能看出市場走向。</p> <p>就我們來看，除了極端傾向隨機寫入I/O，或是寫入負載非常大的應用情境外，其餘大多數的應用情境，已經沒有「非TLC SSD不可」的必要，最新一代的QLC SSD已能滿足需求。</p> <p> </p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 取代TLC SSD的新世代QLC SSD </span></strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-%E5%B0%81%E9%9D%A21-600-1.png" style="width: 500px;" /></p> <p><span style="color:#3366ff;"><strong>在中低階M.2規格SSD產品領域，已開始出現QLC SSD取代TLC SSD的情況，左圖為WD與美光今年上半發表的新款M.2 SSD產品：WD的SN5000與美光的2500系列，都是採用QLC快閃記憶體，將分別取代基於TLC的上一代M.2 SSD產品。</strong></span></p> <p><span style="color:#3366ff;"><strong>憑藉記憶體製程與控制器技術的持續進步，這些最新一代推出的QLC SSD產品，無論效能、可靠性，或是耐用性等方面，比起同等級的上一代TLC SSD產品都不遜色，而且還有所超越。</strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／WD、Micron</span></span></p> <p> </p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 回顧10年以來的SSD儲存容量成長趨勢 </span></strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-%E5%B0%81%E9%9D%A21-600-3.png" style="width: 600px;" /></p> <p><span style="color:#3366ff;"><strong>憑藉半導體技術的進步，SSD的容量在過去10年內提高了8倍，而且增長速度在近2年來有了明顯加速。在30.72 TB這個容量規格停滯5年後，於2023年下半年一舉提高到61.44 TB，隨後緊接著在2024年底又翻倍達到122.88 TB（各廠商的122.88 TB SSD產品，實際出貨時間是2025年初）。</strong></span></p> <p><span style="color:#3366ff;"><strong>而SSD容量規格之所以能有如此迅速的增長，則是QLC快閃記憶體與3D堆疊技術共同促進的結果，特別是QLC的應用，目前60 TB以上的超大容量SSD產品，是由QLC主導的領域。</strong></span><span style="font-size:14px;"><span style="color:#696969;">（資料來源：iThome整理，2024年11月）</span></span></p> <p> </p> <p><span style="font-size:24px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 60 TB以上超大容量SSD產品的記憶體型式 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-%E5%B0%81%E9%9D%A21-600-4.png" style="width: 600px;" /></p> <p><strong><span style="color:#3366ff;">在30TB容量以下的SSD產品領域，目前仍是基於TLC快閃記憶體居多，QLC主要用在訴求成本效益的特定產品線。到了60TB等級以上的超大容量SSD領域，則由QLC快閃記憶體主導，特別是最新發表的122TB等級容量SSD產品，清一色都是採用QLC。</span></strong><span style="font-size:14px;"><span style="color:#696969;">（資料來源：iThome整理，2024年11月）</span></span></p> <p> </p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> QLC SSD新戰場：AI訓練的儲存應用 </span></strong></span></span></p> <p><span style="color:#FFFFFF;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%8E%E5%BE%B7-QLC%E4%B8%BB%E5%9C%963-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%20MLCommons.png" style="width: 600px;" /></strong></span></p> <p><span style="color:#3366ff;"><strong>AI應用涉及的儲存存取需求，是特別適合QLC SSD發揮的場合。AI訓練、推論、預處理等作業執行中的I/O存取負載，多屬於連續的循序讀取與寫入，很少有隨機寫入負載。而這樣的應用型態，恰好對應QLC SSD擅長循序存取的特點，而避開了QLC SSD不擅長隨機寫入的弱點，並能讓QLC SSD發揮單位成本低、容量密度高、單位功耗需求低的優勢。</strong></span></p> <p><span style="color:#3366ff;"><strong>上圖為MLPerf Storage Benchmark模擬的AI訓練存取架構，可以看出資料的載入與預處理，都是以連續的批次方式進行，I/O負載以循序方式為主。</strong></span><span style="font-size:14px;"><span style="color:#696969;">（圖片來源／MLCommons）</span></span></p> <p> </p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> SSD記憶體技術的世代交替 </span></strong></span></span></p> <p><span style="color:#FFFFFF;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-%E5%B0%81%E9%9D%A21-600-5.png" style="width: 600px;" /></strong></span></p> <p><span style="color:#3366ff;"><strong>SLC SSD大約在2001年左右上市，但2010年以前就為MLC SSD取代。第一批MLC SSD是在2007年前後問世，2010年代成為主流，在2018、2019年左右開始為TLC SSD取代。最早的TLC SSD產品是在2015年前後推出，短短3、4年就成為主流的快閃記憶體型式，並一直延續至今。QLC SSD是在2018年推出市場，2021、2022年間逐步擴大應用面向，2023、2024年開始進入各種不同層面的企業儲存應用領域。</strong></span><span style="color:#696969;"><span style="font-size:14px;">（資料來源：iThome整理，2024年11月）</span></span></p> <p><a href="https://www.ithome.com.tw/article/166156" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><span style="background-color:#B22222;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1209-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=39bM2jNR" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/qlc%E5%BF%AB%E9%96%83%E8%A8%98%E6%86%B6%E9%AB%94">QLC快閃記憶體</a></div><div class="field-item odd"><a href="/tags/%E5%9B%BA%E6%85%8B%E5%84%B2%E5%AD%98%E6%87%89%E7%94%A8">固態儲存應用</a></div><div class="field-item even"><a href="/tags/%E5%BF%AB%E9%96%83%E5%84%B2%E5%AD%98">快閃儲存</a></div><div class="field-item odd"><a href="/tags/qlc-ssd">QLC SSD</a></div><div class="field-item even"><a href="/tags/ai">AI</a></div><div class="field-item odd"><a href="/tags/tlc-ssd">TLC SSD</a></div><div class="field-item even"><a href="/tags/60-tb">60 TB</a></div></div></div>
2024/11/22 14:04作者張明德https://www.ithome.com.tw/tech/166154
【快閃儲存產品全面進入QLC時代】迅速擴展中的QLC SSD企業儲存產品
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1209-feng_mian_2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Pure Storage、IBM</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一種新的儲存媒體能否獲得普遍應用，大型儲存系統廠商的採用與支援，往往是不可或缺的前提，也是我們觀察這種新儲存媒體應用成熟度的關鍵指標。</p> <p>第1批QLC SSD產品是2018年中上市，很快的，在2019年，就有儲存陣列廠商嘗試推出支援QLC SSD的產品，其中還包括身為一線大廠的Pure Storage。</p> <p>至於其他大廠的態度比較保守，到了2020年底，才又有NetApp與IBM等2家大廠，加入支援QLC SSD的行列。</p> <p>接下來經過1年的空窗期後，到了2022年，業界龍頭Dell才跟進，將QLC SSD引進旗下產品線。然後在2023年下半年，華為也導入QLC SSD。接著到了2024年，剩餘的幾家大廠，包括富士通（Fujitsu）、HPE、Hitachi Vantara，先後發表支援QLC SSD的儲存陣列產品，至此所有一線大廠全都加入支援QLC SSD的行列。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>QLC滲透儲存陣列產品的3階段</strong></span></span></p> <p>我們可以將QLC SSD在儲存陣列產品的應用與普及，大致分為3個階段。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 第1波QLC儲存陣列產品 </span></strong></span></p> <p>首先，是2019到2020年中問世的首波QLC儲存陣列產品，包括VAST Data的Universal Storage平臺，Pure Storage的FlashArray//C儲存陣列，還有，Nexsan的E系列的18F與32F，Beast Elite系列的Beast Elite F，以及StorOne的S1 : AFAn。其中當數Pure Storage表現最為積極，接連在2019年中與2020年下半年，推出2個世代的FlashArray//C。</p> <p>這些第一波QLC儲存陣列產品，可分為兩種技術路線：</p> <p>首先，是以低價與大容量為訴求。在這個時間點，由於QLC快閃記憶體在壽命、可靠性與效能上的限制，因此基於QLC的儲存陣列產品，大都是定位為硬碟或混合式儲存陣列的替代者，例如Pure Storage、Nexsan的產品，都屬於這種類型，應用的領域也有限制：主要作為二線儲存角色。</p> <p>其次，是與高效能的儲存級記憶體（SCM）構成混合架構。如VAST Data與StorOne的平臺，都是將QLC SSD與相互結合，由SCM承擔寫入I/O，迴避QLC SSD的寫入效能弱點，而由QLC提供低價的儲存空間，主要的I/O負載與輸出則由SCM來承擔，藉此兼顧效能與成本。</p> <p>我們在2020年的技術專題《<a href="https://www.ithome.com.tw/tech/137324" target="_blank"><span style="color:#3366ff;">QLC快閃記憶體開始進入企業儲存應用</span></a>》，便曾介紹此時的QLC應用概況。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 第2波QLC儲存陣列產品 </span></strong></span></p> <p>自2020年底開始，到2022年中的這段期間，又湧現第2波QLC儲存陣列產品。3家業界重鎮大廠——IBM、NetApp與Dell，先後發表支援QLC的儲存陣列產品。</p> <p>IBM為其FlashSystem系列引進基於QLC的FCM儲存模組（FlashCore Module），NetApp推出基於QLC SSD的FAS500f，Dell也為其PowerScale家族中的F900與F600，引進QLC SSD的配置選項。</p> <p>另外，一直非常積極支援QLC應用的Pure Storage，在這個時候也動作連連，先是在2021年初推出第3代FlashArray//C，接著在2022年中為FlashBlade物件儲存家族，新增基於QLC的FlashBlade//S系列。</p> <p>無獨有偶，Weka的WekaFS，以及Scality RING這兩種分散式儲存平臺，也在2022年下半年推出的新版本中，開始支援QLC SSD。</p> <p>在這個階段，QLC的儲存應用出現兩項新的發展：</p> <p>首先，是開始進入主流儲存平臺。包括NetApp ONTAP、Dell OneFS（PowerScale），以及IBM FlashSystem等3種用戶十分廣泛的平臺，都是在這個階段開始支援QLC。</p> <p>其次，是開始走出低成本的定位，轉為承擔第一線儲存角色。這個階段問世的QLC儲存陣列，有些仍是走低價大容量的硬碟替代者路線，如NetApp的FAS500f，或是將QLC SSD作為混合架構中的低成本儲存層，如Weka WekaFS與Scality RING。</p> <p>然而，IBM、Dell、Pure Storage則不同，他們直接讓QLC承擔主要的I/O負載，承擔第一線主儲存的重任，訴求在保持充分效能表現的前提下，提供更高的儲存密度、儲存容量，以及更低的成本、空間與功耗需求。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 第3波QLC儲存陣列產品 </span></strong></span></p> <p>自2023到最近的2024年間，市場上出現第3波基於QLC的儲存陣列產品。</p> <p>首先是2023年上半年，NetApp發表AFF系列全快閃儲存陣列QLC版本C系列，Pure Storage也增設3款基於QLC的新產品，包括FlashBlade//E、FlashArray//E等2個新系列，以及FlashArray//C的第4代機型。</p> <p>高效能運算領域重要的儲存供應商DDN，也在這個時候推出旗下AI應用儲存陣列AI400X2的QLC版。</p> <p>我們2023年7月曾發表封面故事《<a href="https://www.ithome.com.tw/article/157866" target="_blank"><span style="color:#3366ff;">QLC大舉進入企業儲存應用</span></a>》，當時市場上的企業級QLC儲存陣列產品，大致便是以上這些。</p> <p>接著從2023年下半年起，又有一系列新的QLC儲存陣列產品問世。</p> <p>首先華為發表基於QLC SSD的OceanStor Pacific 9920，稍後NetApp也推出ASA系列SAN儲存陣列的QLC版本ASA C系列。</p> <p>然後到了2024年，先是富士通在上半年推出基於QLC SSD的ETERNUS AC系列，當時間來到下半年後，HPE在10月為Alletra MP儲存陣列新增QLC SSD配置選項，到了11月，NetApp推出第2代AFF C系列，並為StorageGRID系列新增支援QLC SSD，緊接著Hitachi Vantara也發表VSP One Block系列支援全QLC SSD組態的款式，這也是目前最新的幾款QLC儲存陣列產品。</p> <p>在這波新加入支援QLC SSD的廠商中，HPE的態度轉變特別值得一提。</p> <p>過去HPE曾是少數否定引進QLC SSD需求的廠商之一，聲稱與其採用QLC SSD，維持原有SSD搭配硬碟的混合架構，會更為有利，於是，他們以QLC SSD的成本仍不夠便宜為由，否定引進QLC的必要，認為維持使用硬碟更具成本效益，結合專屬的快取演算法技術，就能滿足效能需求。</p> <p>不過，時至今日，HPE最終還是加入採用QLC的行列，換句話說，這也從反向證明一件事：今日的QLC SSD已具備取代硬碟的能力。</p> <p>相較於先前的QLC儲存陣列產品，我們從這一波產品中，還可以觀察到幾個新特色：</p> <p>首先，一些廠商開始將入門級與容量型產品角色，交給基於QLC的儲存陣列所擔任，如NetApp的AFF C系列與ASA C系列，Pure Storage的FlashArray//C、FlashBlade//E等。</p> <p>其次，專門的QLC儲存陣列產品線，數量也逐漸增加。相較於為既有產品額外提供選配QLC SSD的選項，越來越多廠商提供專門支援QLC SSD的儲存陣列款式，或是專門的QLC產品線。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>QLC儲存陣列的類型區分</strong></span></span></p> <p>我們可以將當前的QLC儲存陣列，依不同面向區分為幾種類型。</p> <p>首先，從產品的發展脈絡來看，當前的QLC儲存陣列可分為兩種類型：</p> <p><strong> <span style="color:#FFFFFF;"><span style="background-color:#000000;">（1）基於QLC而打造的儲存平臺 </span></span></strong></p> <p>如VAST Data的Universal Storage，以及StorOne的S1 : AFAn，一開始就是基於QLC SSD搭配SCM的架構打造而成，而且，QLC是這些儲存平臺固有的基本組成之一。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;">（2）既有平臺延伸支援QLC SSD </span></strong></span></p> <p>除了前述VAST Data與StorOne等兩種晚近發展的儲存平臺，是一開始就基於QLC打造，大部分儲存平臺的問世時間，都早於QLC SSD上市時間，因而都屬於日後延伸增加支援QLC的類型。</p> <p>而第2種類型的產品，又可細分為兩種形式：</p> <p>一為全快閃產品線的擴展，在原本全快閃儲存產品架構引進QLC，藉此提高容量、密度，並增強成本競爭力。例如：Pure Storage的FlashArray與FlashBlade系列、Dell的PowerScale系列、IBM的FlashSystem、NetApp的AFF與ASA，HPE的Alletra MP，以及DDN的AI400X2等。</p> <p>另一為混合陣列的快閃化，在原本的SSD搭配硬碟的混合架構中，以QLC SSD取代硬碟，藉此改善儲存密度與效能，如NetApp FAS系列、Nexsan 的E系列與Beast系列，還有Weka與Scality等分散式儲存平臺等。</p> <p>而從產品提供型態來看，我們則可將當前的QLC儲存陣列產品，區分為兩種類型：</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;">（1）專門的QLC儲存陣列產品線 </span></strong></span></p> <p>專門只提供QLC SSD的儲存陣列產品線，或是專門的QLC版本，這類型產品中，最著名的，便是問世最早的Pure Storage FlashArray//C系列，迄今已更新4個世代。另外，NetApp的AFF C與ASA C系列，富士通Eternus AC系列，DDN AI400X2 QLC版，華為OceanStor Pacific 9920，Hitachi Vantara VSP One Block的QLC版等產品，也都屬於這種類型。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;">（2）提供QLC SSD配置選項 </span></strong></span></p> <p>在原有儲存陣列的SSD配置選項中，額外提供QLC SSD的搭配選擇。例如：Dell PowerScale的F900與F600，HPE的Alletra MP，還有NetApp的StorageGRID等產品，都是以這種形式提供QLC SSD的支援。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>迅速擴展中的QLC應用環境</strong></span></span></p> <p>5年來，我們見證QLC SSD在企業儲存應用的擴散與普及歷程。早在2019年，當時只有VAST Data與Pure Storage這2家先驅廠商，提供採用QLC SSD的儲存陣列產品。到了今日，全部一線大廠都已將QLC SSD引進旗下產品線。</p> <p>其中Pure Storage與IBM這兩家大廠，更是將主力產品線的未來，都押注在QLC上。</p> <p>Pure Storage的FlashArray與FlashBlade等兩大主力產品，除主打高效能應用路線的FlashArray//X與FlashArray//XL，仍維持採用TLC，其餘產品線都已全面採用QLC。</p> <p>而IBM的FlashSystem系列，雖然也能支援一般的標準TLC NVMe SSD，但作為核心的FCM儲存模組，自2020年的第2代模組，到最新的第4代模組，都已轉向採用QLC。</p> <p>目前較重要的廠商中，仍堅持不採用QLC者，大概只剩下Infinidat。該公司宣稱藉由他們專屬的快取演算法，只須採用SSD搭配硬碟的混合架構，就能提供同等甚至超過全快閃陣列的效能，因而沒有以QLC SSD取代硬碟的必要。不過，在商言商，廠商沒必要一直自我設限，當初持相同論調的HPE，已在不久前棄守原有立場，轉為引進QLC SSD，我們預期Infinidat最終應該也會轉變態度，加入支援QLC SSD的行列。</p> <p> </p> <p><span style="font-size:26px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 大力支援QLC的Pure Storage與IBM </span></strong></span></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%8E%E5%BE%B7-QLC%E7%94%A2%E5%93%81%E4%B8%BB%E5%9C%961-1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Pure%20Storage.png" style="width: 600px;" /></span></span></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%8E%E5%BE%B7-QLC%E7%94%A2%E5%93%81%E4%B8%BB%E5%9C%961-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-IBM.jpg" style="width: 600px;" /></span></span></p> <p><span style="color: rgb(51, 102, 255);"><strong>上圖分別為Pure Storage的DFM儲存模組，與IBM的FCM儲存模組解剖圖。Pure Storage與IBM這兩家廠商，堪稱在所有一線儲存大廠中，對於支援QLC快閃記憶體的著力最深。例如，Pure Storage自2019年就推出基於QLC的DFM儲存模組，並逐步引進到旗下FlashArray與FlashBlade儲存產品線；IBM FlashSystem系列儲存陣列專屬的FCM模組，也自2020年的第2代起，便全面改用QLC。</strong></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">（圖片來源／Pure Storage、IBM）</span></span></p> <p> </p> <p><span style="font-size:26px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 主要大廠的QLC儲存陣列產品 </span></span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-%E5%B0%81%E9%9D%A22-600-1.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">資料來源：iThome整理，2024年11月</span></p> <p><a href="https://www.ithome.com.tw/article/166156" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(178, 34, 34);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1209-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=39bM2jNR" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/qlc%E5%BF%AB%E9%96%83%E8%A8%98%E6%86%B6%E9%AB%94">QLC快閃記憶體</a></div><div class="field-item odd"><a href="/tags/%E5%9B%BA%E6%85%8B%E5%84%B2%E5%AD%98%E6%87%89%E7%94%A8">固態儲存應用</a></div><div class="field-item even"><a href="/tags/%E5%BF%AB%E9%96%83%E5%84%B2%E5%AD%98">快閃儲存</a></div><div class="field-item odd"><a href="/tags/qlc-ssd">QLC SSD</a></div><div class="field-item even"><a href="/tags/ai">AI</a></div><div class="field-item odd"><a href="/tags/tlc-ssd">TLC SSD</a></div><div class="field-item even"><a href="/tags/60-tb">60 TB</a></div><div class="field-item odd"><a href="/tags/pure-storage">Pure Storage</a></div><div class="field-item even"><a href="/tags/ibm">IBM</a></div></div></div>
2024/11/22 14:04作者張明德https://www.ithome.com.tw/tech/166155
快修補！2千臺Palo Alto Networks防火牆已遭漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週一（11月18日）資安業者Palo Alto Networks修補PAN-OS管理介面身分驗證旁路漏洞CVE-2024-0012、權限提升漏洞CVE-2024-9474，<a href="https://www.ithome.com.tw/news/166075">當時，他們就提及有一定數量（Limited Number）的防火牆已經遭到攻擊</a>，但究竟有多少防火牆受害？這幾天，有研究人員公布相關的觀察現況。</p> <p>11月21日Shadowserver基金會指出，<a href="https://x.com/Shadowserver/status/1859532378508570931">他們發現全球約有2千臺防火牆遭遇漏洞攻擊</a>，其中美國、印度、泰國最多，分別有554、461、80臺。值得留意的是，臺灣也有58臺遭到入侵。</p> <p>另一方面，該基金會警告，<a href="https://x.com/Shadowserver/status/1859524801913573461">全球約有2,700臺防火牆尚未修補這些漏洞</a>，數量最多的仍是美國、印度、泰國，分別有932、484、96臺，至於臺灣，則有57臺未修補漏洞，數量排行全球第6。</p> </div></div></div>
2024/11/22 10:51作者周峻佑https://www.ithome.com.tw/news/166149
【發揮顧客、餐廳、外送員的數據及消費場景特性】富胖達如何實現外送媒體聯播網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「同樣行銷模式，我們打不贏Google、Meta。RMN必須強調自己特有的競爭力。」富胖達（Foodpanda臺灣）行銷總監陳嘉孟點出他們發展廣告業務的方針。</p> <p>今年9月，Foodpanda臺灣推出自家零售媒體聯播網，不只在App上對數百萬消費者投放數位廣告，更圍繞著外送平臺特性來打造整合行銷服務──將數百萬消費者、10萬外送夥伴及10萬合作商家，作為聯播網行銷對象，同時也作為行銷用數據來源。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>靠通路特性來變現平臺上交易與外送流量</strong></span></span></p> <p>陳嘉孟說，Foodpanda臺灣收到許多商業合作邀約，希望將外送平臺的交易流量和外送流量轉為行銷機會，讓他們決定積極發展廣告業務。</p> <p>他們設立了經營RMN的廣告部門，設計RMN功能，及執行後續行銷專案。陳嘉孟解釋，母公司產品團隊打造外送App上的數位廣告版位及底層投放系統，其他現成通路的行銷模式則靠人，由臺灣廣告部門負責經營。</p> <p>Foodpanda臺灣深知，只靠數位廣告難與其他同類業者直接競爭。他們採取的策略是，不和廣告巨頭比拚演算法，而是圍繞著平臺特性打造整合行銷服務，創造差異優勢。</p> <p>廣告團隊分析，自家業務獨特之處，是和數百萬消費者、10萬外送夥伴及10萬合作商家都有密切互動。</p> <p>這三個族群，分別在外送App、餐廳，以及送餐目的地等不同通路和場域，留下足跡和互動紀錄，可以產生行銷機會，跟可以用來強化行銷精準度的數據。這些特性，讓Foodpanda決定採取多通路、多行銷模式、多行銷族群的整合行銷服務。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Foodpanda如何利用外送業務特有數據來行銷</strong></span></span></p> <p>Foodpanda可整合的廣告通路十分多樣，包括外送App、餐廳、外送商品袋、社群媒體、電子報、自家倉庫、線下活動，甚至外送機車車廂。這些通路中，可以投放數位廣告，像是App各種廣告圖文、行動呼籲（Call to action）、特殊餐點組合行銷等。也可以進行線下行銷，包括多通路戶外廣告、商品派樣和線下舉辦行銷活動等。</p> <p>Foodpanda臺灣也將廣告主產業常見需求，組合特定通路和作法，建立了一套整合行銷模板。例如行動呼籲型廣告模板可供金融保險業蒐集潛在客戶聯繫名單，餐飲類商品則可以和餐廳合作，推出套餐組合促銷。</p> <p>廣告部門行銷人員以專案方式執行，以模板為基礎來設計客製化整合行銷企畫。行銷人員可以利用手中消費者、餐廳及外送員數據，來支援廣告投放策略。</p> <p>這些數據包括常見的消費者手機號碼、Email、位置、性別、支付方式、信用卡銀行、裝置作業系統、裝置型號、電信業者、客單價、消費時段等基礎資訊。</p> <p>不只如此，廣告部門行銷人員還可以取得不少外送平臺獨有的數據維度，例如消費者的餐廳和食物偏好、生鮮百貨商品需求、取餐習慣，外送員送餐時段及地區，以及餐廳菜系、價位、客單價、營業時段、常見顧客分眾等，來進行分眾行銷。</p> <p>不只線上投廣可以分眾，線下行銷時，也能利用不同數據，來達到一定程度的分眾行銷。例如，根據外送員排班時段和區域，來投放廣告到外送機車車廂。或者，針對消費者特性及訂餐內容，來決定商品派樣對象。</p> <p>分析數據時，行銷人員主要靠BI工具Tableau，而沒有採用套裝的Martech產品或服務。</p> <p>Foodpanda會定期綜合各通路行銷結果，以報表形式提供成效數據給廣告主，線上行銷數據包括數位廣告點擊、曝光和轉換等常見指標，以及是否有達到行銷KPI。目前還沒有提供廣告主儀表板等自助式即時監控功能。</p> <p>至於線下數據，陳嘉孟坦言，線下廣告確實較難以追蹤行銷成效，商業模式多為以曝光為計價標準，類似於公車廣告等戶外廣告，因此報表上的數據以推估曝光數為主。</p> <p>除了由Foodpanda廣告部門操作的行銷活動，他們還有另一個將自家數據用於廣告的做法。他們與全球最大獨立DSP （廣告需求方平臺）The Trade Desk合作，用去識別化技術匹配平臺消費者資料。廣告主除了透過Panda Ads，還可以透過TTD的DSP，來對Foodpanda消費者投放廣告，並即時追蹤廣告活動成效。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>發展RMN廣告業務的前提是不影響核心外送業務</strong></span></span></p> <p>雖然Foodpanda也算是電商，但其RMN與電商常見模式大不相同。</p> <p>常見電商RMN做法是，用手中大量商品及顧客數據優勢來打造推薦演算法，搭配自動化競標、投放等機制，來進行高度自動化的即時精準行銷。</p> <p>這類RMN，廣告主通常是零售業者的供應商，且行銷活動與顧客的商品探索和購買環節緊密結合。用意是，在顧客實際購買階段傳遞行銷訊息，期望提升行銷轉換為平臺交易的比例。Momo、PChome等電商，就是採取這種在既有核心商務加入廣告元素的模式。</p> <p>Foodpanda RMN更貼近於OMO零售業者的RMN做法，行銷操作和數據作業常須仰賴人工，在線上通路發展數位廣告，同時發揮線下通路特性來提供多元行銷選項。</p> <p>這類RMN的行銷通路與形式，圍繞著零售通路和商業模式特性來設計，廣告主未必是供應商，行銷時機也不限於顧客探索商品與購買商品的環節。超商雙雄旗下的RMN，便屬於這類，圍繞著自家零售特性，打造一套與零售業務並行的廣告業務。</p> <p>但是，Foodpanda整合行銷服務，則是環繞在核心外送業務的周邊，必須與外送業務有關聯，但又不能影響核心業務，以維持消費者使用App的體驗。</p> <p>例如以廣告主來說，平臺上商家的行銷服務由外送業務部門負責，廣告部門則負責想要在Foodpanda通路上打廣告的其他品牌廣告主。</p> <p>在外送App上，Foodpanda臺灣更限制廣告部門可操作的廣告版位與行銷模式，只能使用與「外送點餐」核心業務流程關聯性較低的版面，例如App內輪播廣告、下單後廣告、支付方式更換呼籲等。但在廣告內容上，就算是非平臺用戶的品牌，也得與外送服務有一定程度關聯。</p> <p>陳嘉孟表示，App上廣告最高原則是，「不可以影響外送點餐體驗，否則外送轉單率只要掉1%，就是天文數字的虧損。」</p> <p>不只要避免RMN行銷活動對外送業務的衝擊，為了進一步保護核心業務，廣告部門也不許提供任何可能影響到外送核心業務的行銷數據，尤其不能透露可回推外送業務規模的數據。並且，所有廣告主都必須簽署NDA，所有行銷數據都不可外傳。</p> <p>這種RMN廣告業務與外送核心業務有點黏又不能太黏的模式，帶來了Foodpanda廣告部門3大限制──行銷模式必須以消費者體驗優先、廣告版位有限，以及可與廣告主揭露數據有限。</p> <p>陳嘉孟進一步說明，行銷模式必須以消費者體驗優先，不能用太過搶眼的作法，但又必須顧及成效。</p> <p>這帶來第二個限制，外送App上可用的廣告版位種類和數量都有限制，固定時間內的廣告總曝光量較低，造成不同廣告主的行銷內容在曝光度及價格上互相競爭、排擠。</p> <p>前兩項限制，為Foodpanda RMN可承接的行銷案件數量設限。事後能與廣告主揭露數據種類不多，則容易使廣告主對行銷成效產生疑慮。</p> <p>這三項限制，使Foodpanda廣告團隊必須花許多功夫來說服廣告主。</p> <p>陳嘉孟坦言，魚與熊掌不可兼得，以他們廣告版位數量，總曝光量和精準度必須取捨。目前，Foodpanda RMN處於發展初期，客戶數還不多，且仍多著重於總曝光量。未來有更多廣告主競爭同一批版位時，他們計畫更細緻地圈選受眾，來更精準地投放廣告給更小群的適當消費者。這樣一來，同一個版位，就能同時用來刊登更多廣告主的行銷內容。</p> </div></div></div>
2024/11/22 11:08作者郭又華https://www.ithome.com.tw/news/166150
【靠MA、CDP、智慧客服系統，改善四大行銷痛點】易遊網如何靠Martech每月多賺千萬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當易遊網行銷長林怡誠被問到Martech帶來的效益，只是拿出計算機，眼睛轉了一圈，按了兩下，「以CDP再行銷，單是機票跨售飯店的促銷，每月提升至少百萬營收。」</p> <p>這只是其中一項行銷活動。每個月，臺灣本土首間線上旅行社易遊網導入的Martech產品，總共為他們帶來上千萬元的額外營收，每一塊錢收益，都可以清楚歸因到特定行銷通路和Martech產品。這是易遊網ezTravel近5、6年，歷經一系列行銷組織、流程及科技改革，累積而來的成果。</p> <p>早在24年前就發展純線上旅行社的易遊網，一直以來相當注重IT。從網站、行動應用到不少其他內部系統，都是由內部IT團隊自行開發。林怡誠說，易遊網許多數位做法，都是臺灣旅遊業先行者，舉凡開出電子機票、完成線上刷卡、數位會員回饋，以及串接三大國際支付工具，他們都是第一家。2015年，他們就開始經營手機App，至今已經是營收占比最大的通路。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>行銷數位轉型鎖定4大痛點，向金融業取經</strong></span></span></p> <p>林怡誠指出，易遊網數位轉型不是受疫情所迫，而是在國內旅遊高峰期的2018、2019年時，觀察到多項挑戰及痛點，而自主發起。</p> <p>首先是競爭加劇。國內外比價平臺、住宿平臺、票券平臺等強力競爭者紛紛加入臺灣市場戰局，使易遊網必須持續強化自身競爭力。</p> <p>其二是數據難以投入應用。易遊網坐擁3、400百萬會員分散在不同接觸點的數據，難以用來進行個人化、自動化行銷。</p> <p>第三是不同行銷通路未整合。內外部行銷通路都需要在個別系統操作，難以整合數據並量化追蹤行銷成效。</p> <p>最後，則是IT部門資源有限。易遊網高度數位化的文化，產品、業務、行銷等不同部門都有高度IT需求。6、70人規模的IT部門在旅遊業不算小，但仍分身乏術。</p> <p>林怡誠是金融業十幾年行銷老將，加入易遊網後，他用3個金融業行銷原則，來改造易遊網的行銷模式。這3個原則是數據化、標準化和以人為本的行銷。</p> <p>易遊網不只擴大了對數位廣告的投資，成立廣告投放部門，來進行標準化和數據化行銷。在內外部行銷通路都埋了自家開發的追蹤程式碼，以統一追蹤不同行銷通路的狀態和成效。還成立會員行銷部門，行銷方針從原本以訂單或產品為出發點，改為以會員行為和喜好出發。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>導入MA及CDP系統，打造標準化、自動化的會員行銷流程</strong></span></span></p> <p>隨著易遊網增加數位廣告投放規模，他們也發展出更多行銷邏輯及做法。隨之而生的需求是，要處理更多會員、廣告及產品數據，以及要有管理和自動化執行大量行銷流程的機制。</p> <p>於是，他們導入了MA系統，來一站式管理和執行行銷邏輯和流程，不須仰賴IT部門頻繁手動撈取數據，也能實驗並發展出更多數據驅動的行銷做法。</p> <p>疫後，旅遊需求大爆發，帶來更多數據處理需求，以及前所未有的競爭局勢，他們導入疫前開始評估的CDP，來進一步強化會員數據分析，以支援精準行銷，在這波旅遊消費浪潮抓住更多營收。</p> <p>例如，他們分析出顧客購買機票後，預定飯店的時機和行為模式。結合會員個人喜好，對剛購買機票的顧客推銷飯店。將飯店跨售轉換率從原本8%提升到超過10%，估計每個月帶來百萬元以上營收。「國外大型線上旅行社這項轉換率約20%，我們還有進步空間。」林怡誠坦言。</p> <p>另一個例子是，從顧客行為模式中分析出購買機票的猶豫客，來進行推銷，每個月促成500名消費者購買機票，以平均機票價12,000元來算，就是5、6百萬元額外營收。</p> <p>林怡誠表示，利用CDP綜合分析顧客數位足跡和行為模式，讓易遊網的行銷慢慢從「點」延展到「線」，能根據顧客行為模式來決定行銷時機和方法。未來，希望分析出更多中長期顧客旅遊消費模式，找到更多行銷機會。</p> <p>他們也會比對來訪流量與CDP資料，來判斷出非會員的顧客，會員權益，平均每個月吸引5,000名新會員。另一個做法是，辨認出自有通路難以觸及或轉換的顧客，在投放外部廣告時，加強鎖定這些族群。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>導入智慧客服系統輔助售後服務及行銷，未來還要利用生成式AI進一步強化</strong></span></span></p> <p>因應旅遊需求暴增而導入的另一個科技是客服系統。林怡誠說明，疫情衝擊導致機票住宿改動需求增加，到疫情過後，許多旅遊活動復甦，都大幅提升了客服人力的負荷。借助客服系統，用簡單QA功能預先過濾部分進線，並更有效率的排序進線案件，以增加案件的消化量。下一步，他們計畫導入生成式AI，用聊天機器人處理機票改動等較複雜的客服案件。林怡誠說，線上改機票機制處理了75%需求，不過，仍有不少顧客希望透過對話來完成退改票需求而打電話給客服。「用生成式AI來支援，有望進一步降低客服負荷。」</p> <p>目前，客服系統是易遊網CDP資料來源之一，從對話內容擷取顧客特徵，再歸戶到CDP會員資料中。他們希望，未來可以反過來透過CDP支援客服，以打造個人化客服體驗。</p> <p> </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E6%98%93%E9%81%8A%E7%B6%B2martech%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Appier.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>易遊網Martech架構及數據流簡圖。透過導入CDP及MA等Martech，他們能一站式整合不同通路的數據，並從企業高度來管理和操作數位行銷。</strong></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Appier</span></span></p> <p> </p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>行銷成效評估及歸因能力的關鍵是自建追蹤機制</strong></span></span></p> <p>導入外部Martech對易遊網行銷模式帶來許多改變，具體帶來哪些效益，得靠易遊網內部開發的追蹤機制。</p> <p>早在2018、19年，易遊網啟動行銷數位轉型時，就在內外部各個行銷通路都埋了追蹤程式碼。「我們常常覺得，Google或Meta這些平臺的成效數據好像跟實際訂單增加情況不符，決定靠自己來追蹤成效。」林怡誠回憶，要在許多不同個行銷節點埋追蹤點，工程浩大。這是行銷部門第一次和IT部門共同推行大規模專案，雖然過程艱辛，成果是，可以用自定義的標準，來統一追蹤全行銷通路的成效。</p> <p>導入外部Martech之後，在新的行銷模式、通路及系統上，易遊網也持續埋入自家追蹤碼。這樣一來，不但能知道不同通路的行銷成效，更能觀察哪些Martech產品，為這些行銷成效帶來貢獻。</p> <p>行銷部門能細緻且具體追蹤行銷成效，不只有助於擬定行銷策略，更帶來財務面效益。</p> <p>「導入MA之初，公司就嚴格要求行銷部門，產生的營收要大於費用。」林怡誠說，正是有這套追蹤碼，易遊網才能準確評估，投資Martech是否能帶來正面收益。甚至，後續投資更多系統，如CDP、客服時，也更容易用數據說服老闆。易遊網自家追蹤數據顯示，MA和CDP系統很快產生效益，導入半年就打平相關費用。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>導入套裝Martech產品的挑戰</strong></span></span></p> <p>在易遊網導入套裝Martech產品過程中，林怡誠分享了他們遇到的3個挑戰。</p> <p>首先，導入MA和CDP等系統時，資料清洗與整合工程浩大，需要花上數月到半年時間。行銷部門應該向IT部門充分說明，數位行銷做法調整，會如何提升數據撈取的需求量跟複雜度。對原本開IT工單逐次手動撈取資料的作法，負擔很大。相對來說，一次性的導入作業雖然龐大，但能大幅降低後續IT支援行銷資料存取的需求。「長痛不如短痛。」林怡誠直言。</p> <p>第二是得降低第三方系統的數據安全疑慮。易遊網做法包括嚴格劃分數據存取權限，以及額外設立一個雲端環境，用來上傳給Martech系統的資料。這個設計可以確保，易遊網只提供自己願意分享的資料，也避免廠商的存取行為，直接連結到易遊網系統。分別設有雲端環境的管理帳號，以及易遊網主IT環境存取帳號，更容易劃分權限。</p> <p>第三則是需要確保數據自主權。易遊網會將廠商平臺上的分析數據所得出的洞察，例如會員標籤、會員分眾等，都回存到自家資料庫，來降低廠商綁定風險。這樣一來，轉移到其他Martech廠商產品時，仍能保留部分數據及洞察。</p> <p>易遊網行銷轉型下一步，是開始評估利用生成式AI來支援行銷。例如，隨著易遊網發展出越多行銷做法，且行銷模式更加個人化，他們希望用生成式AI來支援行銷人員產出更多行銷素材，如宣傳圖、折扣碼等。</p> <p>其他易遊網正在探索的生成式AI應用情境，包括顧客貼標、顧客旅程規畫、即時對話式行銷、解決進階客服需求等。「我們希望利用生成式AI，更精準預測顧客行為，並快速迭代推薦內容。」林怡誠說。</p> </div></div></div>
2024/11/22 11:20作者郭又華https://www.ithome.com.tw/news/166151
美國司法部提議Google出售Chrome業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部周三<a href="https://storage.courtlistener.com/recap/gov.uscourts.dcd.223205/gov.uscourts.dcd.223205.1062.0.pdf" target="_blank">提議</a>法院，應要求Google出售Chrome業務，以有效解決Google搜尋市場的壟斷。</p> <p>哥倫比亞特區聯邦地方法院法官Amit P.Meht今年8月<a href="https://www.ithome.com.tw/news/164309" target="_blank">判決</a>，Google利用不當通路手段維持非法壟斷搜尋及搜尋廣告市場。美國司法部這份提交法院的建議最終判決文件，是對法官建議懲處及矯正措施。但最終決定權仍是在Meht法官手上。</p> <p>這份23頁的文件和<a href="https://www.ithome.com.tw/news/165427" target="_blank">10月份</a>司法部的提議大致雷同，但用詞更為明確。內容主要說明Google是透過和裝置、瀏覽器業者簽定獨家合約、集中及獨攬用戶使用分析資料等方法，而獲致搜尋引擎及搜尋廣告的獨大地位。美國司法部指出，Google持有及控制Chrome及Android將減弱矯正措施的效果，因此必須讓Google放棄（divest）Chrome，後者是鞏固其壟斷地位的重要因素，以實現競爭者通路合作的可能。</p> <p>司法部也認為Android是支持Google壟斷的因素，但說要求出售該業務可能引發Google和其他市場參與者的強烈反對，因此建議行為矯治手段來削弱Google對Android生態系的控制。但美國政府說，一旦矯治措施無效，也會建議要求Google出售這個作業系統。</p> <p>為解決Google壟斷對搜尋服務及搜尋文字廣告市場的損害，且確保Google無法再維持壟斷或閃避法院判決，司法部提議法院禁止Google和第三方廠商如裝置製造商或瀏覽器業者簽定獨家合約、禁止它擁有和控制搜尋相關產品（如Chrome）、禁止Google收購、少量投資或合作以免扼殺新興業者，也要求Google將搜尋分析資訊和業界共享、提高廣告投放的透明度，以及成立技術委員會每月向政府報告Google搜尋及廣告拍賣改革的進度等。</p> <p>Google法務長Ken Walker周三<a href="https://blog.google/outreach-initiatives/public-policy/doj-search-remedies-nov-2024/" target="_blank">回應</a>，這份建議已無限上綱，範疇遠超越法院決定，也會摧毁Google眾多產品，不只是搜尋，最終損及美國民眾利益。</p> <p>Google認為，出售Chrome和Android，以及公開用戶分析內容將危及美國用戶的安全和隱私，影響用戶使用Google搜尋、也會傷害仰賴Google搜尋的業者如Mozilla Firefox，且使Google對AI的投資卻步。Google並說，政府要求技術委員會，是對Google搜尋和其他科技過度的微管理。</p> <p>Google將在12月提交自有版本提議。本案預計於2025年由法院作出最終判決。</p> </div></div></div>
2024/11/22 11:37作者林妍溱https://www.ithome.com.tw/news/166148
48天全院IT火速上線，高醫岡山醫院下一步邁向智能化
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為一位IT人，從無到有幫忙開一家醫院，是個怎樣的體驗？</p> <p>準備將近10個年頭，坐落在高雄捷運紅線上的高雄醫學大學附設高醫岡山醫院，今年4月試營運、8月全面啟動。一樓大門一進來，旁邊就立著柱狀機臺，員工可以刷臉辨識或感應卡片，來打卡上下班。大廳正前方，還有面260吋的LED電視牆，管理者動動手指就能設定播放內容、即時秀出重要資訊，方便民眾認識醫院，比傳統用USB傳檔更快更靈活。</p> <p>甚至在民眾看不到的地下一樓，還配有高科技製造業專用的智慧倉儲機，來精準管理藥庫。它連接了醫院最重要的醫療資訊系統（HIS），能根據領藥單上的品項，自動彈出藥品收納盒。或是，只要刷新購入的藥品條碼，就會打開相對應的料盤，來準確記錄和收納。</p> <p>這是高醫岡山醫院智慧醫院的部分成果，來自高醫岡山醫院資訊室主任蔡文宗與團隊的巧思。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>階段1：建築規畫</strong></span></span></p> <p>作為醫院營運的幕後推手之一，他指出，IT輔助開院，分為4大階段，包括建築規畫、籌設討論、基礎建設和智能發展。蔡文宗從第一階段的建築規畫，就開始參與。</p> <p>高醫大附設中和紀念醫院（簡稱高醫附醫）籌畫高醫岡山醫院時，就定下目標，要打造出一家「智能醫院」，需要智慧醫療開發經驗的人才。當時，蔡文宗是高醫附醫資訊室智能研發組組長，開發過不少智慧醫療應用，於是2019年，他被找來擔任新醫院籌設的諮詢委員，提供軟體建置建議。</p> <p>第一階段的焦點是空間運用和預算規畫，比如哪些單位需要多少空間，或網路該如何布建等。高醫附醫做了幾項攸關日後智慧醫院發展的關鍵決定，比如要求委外的資訊廠商，不帶主機進醫院資訊機房，釋放實體空間。這是因為，高醫岡山醫院成立之初，就立下「建立私有雲」的目標，自建虛擬雲端空間、全面雲端化，因此要求廠商使用院內雲端資源，而不像一般醫院預留機房空間，來部署廠商的實體主機。</p> <p>同時，他們也要求醫療儀器廠商，將儀器產出的資料直接上傳到醫院系統，有別於傳統做法，得手動用USB來存取儀器數據。</p> <p>「現在是大數據時代，」蔡文宗點出，各類儀器累積的數據，就是未來醫療AI的養分，得從設備源頭直接收集、留存原始資料。這是籌設團隊做的另一個關鍵決定。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>階段2：籌設討論</strong></span></span></p> <p>到了2022年8月，進入第二階段，蔡文宗從諮詢委員的角色，正式轉為籌設團隊中全職的資訊團隊辦公室主任，和高醫附醫的工程師們，一起展開IT建置工作。</p> <p>因為開始動手，蔡文宗直言，這個階段的難度變高了。尤其，硬體部分，要先搞定不同設備複雜的網路設定，才能讓各處室順利啟用。他形容：「IT就像是神經網路，許多醫療儀器、設備都得靠IT來傳送資訊。」蔡文宗於是向長官提議，先完成資訊室的建置，才能協助其他單位快速上線。</p> <p>獲得支持後，高醫附醫IT團隊全員動起來，在他們的努力下，資訊室成為高醫岡山醫療大樓第一個落成且通電的處室，為後續開院打下重要基礎。</p> <p>不只硬體，軟體部分也得與時間賽跑。為了在最短時間內上線，他們一開始就決定，先在高醫附醫中建置虛擬環境，來打造新醫院需要的各類系統。等到新醫院通電、可搬遷系統後，再將這些系統從高醫附醫轉移到新醫院，來降低系統搬遷的困難度。</p> <p>為做到這一點，蔡文宗請工程師們先盤點出需要自建與委外的系統，約3、400套。自建的系統，一方面與高醫體系的資料串聯，另一方面也與各單位討論，如何建置新醫院的基本檔案，如物料、藥物、醫令等。委外系統部分，同時要求廠商提前建置新醫院系統的後臺和資料庫，以利後續測試和上線。</p> <p>蔡文宗補充，整個高醫體系的各分院，使用同一套程式，但部署在各自的伺服器和資料庫。好處是，對外網路斷線時，分院能照常營運，再加上系統都在分院內，搭配新醫院的光纖骨幹網路，其反應速度比靠連線存取總院資源還要快。</p> <p>「能做的，我們盡量在前期做，」這是蔡文宗在第二階段工作的重要原則。</p> <p>在發展軟體應用的期間，他們也開始思考，「什麼是智慧醫院？」他點出，高醫岡山醫院的成立初衷，是要成為一家智慧醫院，但每個人對智慧醫院的想像不盡相同，團隊花了非常多時間跨部門討論，更走訪北中南多家醫院借鏡學習，如長庚土城分院、中附醫新竹分院、中榮到屏榮等院。</p> <p>最後，他們聚焦出，融合在地需求的智慧醫院發展方向，包括了少紙化、減少人力作業和優化病人就醫體驗等三大方向。其中，考量就醫族群中不善3C操作的長者，病患端的掛號單、藥單仍保留紙本，少紙化策略先鎖定院內流程來落實。</p> <p>再來，高醫岡山醫院地理位置，離市中心有段距離，人才招募不易，因此，新醫院導入了更多自動化應用，如導入程式輔助和機器人應用，來減少人力需求、分擔既有人力負荷。</p> <p>至於優化病人就醫體驗，則聚焦流程優化，「讓病人不要感覺冷冰冰的，」蔡文宗強調。於是，籌設團隊盤點高醫體系流程，從中挑出部分流程重新改造，要跳脫歷史包袱，嘗試新應用。</p> <p> </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-CIO-%E6%8A%BD%E8%A8%80.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">（攝影／洪政偉）</span></span></p> <p> </p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>階段3：基礎建設</strong></span></span></p> <p>蔡文宗坦言，第三階段的基礎建設，才是真正的大挑戰。因為，相較於第二階段、IT有1年多時間準備和測試，第三階段只有短短不到2個月的時間可用。</p> <p>「今年2月才接電，4月醫院就要開幕！」蔡文宗記憶猶新：「扣掉過年，只剩下40多個工作天，那時每天開會拼進度，就是把全院IT設置好。」</p> <p>這些IT工作，不只要將虛擬環境轉為正式環境，部署約500臺地端電腦，還要建置內網環境、無線AP、對外光纖、健保VPN和儲存設備等，甚至IT還要負責安裝條碼掃描機、條碼列印機等醫院常見設備。</p> <p>「我們每天追蹤進度，要是哪邊落後了，就要想辦法提前。」蔡文宗透露，好在高醫附醫IT團隊一如既往的支援，讓這些基礎建設工程順利趕工。甚至，高醫附醫還撥出40名IT人力，在3月底到新醫院現場，一起進行系統上線前測試，實際模擬整套病人就醫的流程。</p> <p>為因應上線時可能發生的突發狀況，不少部門同步進行流程沙盤推演和演練，像是護理部就制定病人動線，來避免狀況發生時的擁擠。就連IT自己也準備了備用計畫，由高醫附醫設置一套單機版開藥和開醫令系統，來因應雲端系統出事時，還有單機系統能營運。</p> <p>後來，高醫岡山醫院順利開幕，上線至今沒出現大麻煩。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>階段4：智能發展</strong></span></span></p> <p>開幕後，高醫岡山醫院IT團隊集中火力，發展智能醫院應用。第一步先導入醫事人員行動憑證，讓醫護人員用行動裝置簽核資料，不必再找桌機、插卡才能作業。</p> <p>高醫附醫幾年前就導入醫事人員行動憑證，蔡文宗非常熟悉整套流程，今年5月取得醫事憑證管理中心發出的許可後，他們快速打造醫事人員行動憑證應用，不只用於電子病歷簽核，也可用來簽核電子處方箋。</p> <p>解放醫護人員的行動力之後，高醫岡山醫院全力發展智能醫院3大目標。在少紙化目標上，改以平板簽署同意書，取代紙本，也將衛教單張和自我健康評估表等表單電子化，還提供QR Code掃描、顯示病人衛教資訊，減少紙張使用。</p> <p>針對減少人力作業的目標，團隊也做了不少努力，比如打造診間檢查報到叫號系統，透過系統連接廣播，自動叫號下一位病人，護理師不必再自己動口。</p> <p>高醫岡山醫院也導入手術器械運輸機器人，搭配醫院設計之初就劃定的專用走道，來運輸手術使用過的器械，送去消毒。其他應用，還有藥庫管理的智慧倉儲機、管理藥物調劑的智能調劑臺，以及行動化的醫學影像PACS管理系統。</p> <p>至於優化病人就醫體驗目標，高醫岡山醫院引進不少智慧裝置，例如設置在小兒科診間的大型互動裝置，兒童患者可以跟螢幕中的卡通動物玩遊戲、互動，又或是特別引進的智慧輪椅，使用民眾可在輪椅配置的螢幕中，點選想去的目的地，再根據指示操控輪椅移動。</p> <p>開頭介紹的大廳電視牆、支援虛擬健保卡的叫號燈和醫院360度環境導覽等，也都是優化病人流程體驗的實例。蔡文宗說，目前只是萌芽階段，還有更多智能化任務進行中。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>下一步瞄準混合雲和GAI</strong></span></span></p> <p>要朝智能醫院更進一步，高醫岡山醫院IT還有許多工作要做。</p> <p>其一是發展混合雲架構。目前，高醫岡山醫院大大小小的HIS系統，已在自建的私有雲執行，蔡文宗規畫，短期少用的冷資料、備份資料，還有醫院承接計畫案的資料，如政府健康福祉計畫等，未來要改儲存到公有雲。</p> <p>高醫岡山醫院也看好AI應用。蔡文宗回顧，在IT架構上，不論是高醫體系這幾年新開發的Web架構系統，還是舊有的主從式架構系統，已經用Web API串聯AI推論或用於對外交換資料，串接第三方應用也不難。在易串接的基礎上，高醫岡山醫院將配合高醫體系的AI政策和專案，來落地新應用。近期，他們正研究，要透過GenAI將非結構化資料轉為結構化病歷，方便後續分析運用。</p> <p>蔡文宗透露，接下來1年，高醫岡山醫院IT還要聚焦醫院及教學醫院評鑑，同時準備ISO 27001和27701兩大資訊系統認證，建立好IT體質。更重要的是，要持續導入臨床和教學研究智慧專案，「智慧醫療對高醫岡山醫院來說，現在只是起點，不是終點。」</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>高雄醫學大學附設高醫岡山醫院資訊室主任蔡文宗</strong></p> <p>學歷：淡江大學資訊工程研究所碩士畢業</p> <p>經歷：曾任職於科技業、中鋼集團，2012年跨域進入高醫附醫資訊室擔任資訊工程師，2018年擔任資訊室技術支援組組長，隔年轉型為智能研發組。2022年借調至高醫岡山醫院籌設營運處協助籌設營運、資訊建置與規畫之業務，並於高醫岡山醫院試營運後擔任資訊室主任</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-%E9%AB%98%E9%86%AB%E5%B2%A1%E5%B1%B1%E9%86%AB%E9%99%A2.jpg" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫院檔案 </span></strong></span></p> <p><strong>高雄醫學大學附設高醫岡山醫院</strong></p> <p>●地址：高雄市岡山區捷安路8號</p> <p>●成立時間：2024年4月22日</p> <p>●主要業務：提供醫療照護服務</p> <p>●網址：<a href="http://www.kmugh.org.tw">www.kmugh.org.tw</a></p> <p>●員工數：約500人</p> <p>●院長：黃炫廸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：資訊室主任</p> <p>●資訊部門主管姓名：蔡文宗</p> <p>●直屬主管：副院長李經家</p> <p>●部門分工：分為基礎建設維運、資訊安全管理、資訊發展策略及臨床智能推動</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2016年：高醫岡山醫院籌設營運處資訊團隊辦公室成立</p> <p>●2022年：高醫岡山醫院展開為期1年多的籌設討論階段，IT開始招標、建置機房，同時建置醫院系統虛擬環境、盤點與測試系統；制定智能醫院發展3大目標</p> <p>●2023年：與高醫附醫及高市府聯手組隊，獲總統盃黑客松卓越團隊 8R+「融心匯智道平安」；獲「醫事人員行動憑證之申請方法及電子病歷簽核方法」專利</p> <p>●2024年：2月高醫岡山醫院資訊機房送電與資訊設備進駐；3月沙盤推演、上線前演練；4月高醫岡山醫院試營運；5月取得「急重症患者到院前警示方法」專利；11月完成ISO 27001資訊安全管理系統外部稽核</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1209-cio-960.jpg" width="960" height="420" alt="" title="高雄醫學大學附設高醫岡山醫院資訊室主任蔡文宗。　（攝影／洪政偉）" /></div></div></div>
2024/11/22 11:44作者王若樸https://www.ithome.com.tw/people/166153
微軟更新WSL加入RHEL官方發行版並強化企業安全管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布多項有關WSL（Windows Subsystem for Linux）的<a href="https://devblogs.microsoft.com/commandline/whats-new-in-the-windows-subsystem-for-linux-in-november-2024/">更新</a>，當中值得關注的是RHEL將成為官方支援的WSL發行版本。此外，微軟針對企業用戶推出Entra ID整合功能，進一步提升WSL的實用性與安全性。</p> <p>微軟表示，RHEL將會在未來數月內，正式成為WSL官方發行版本。雖然目前使用者已能在WSL上執行任意各種Linux發行版本，但是在成為官方支援版本後，RHEL的安裝與管理將變得更為便利。使用者可透過wsl --list --online指令，快速查看所有可用的發行版本清單，不需要手動搜尋或設定，或直接使用wsl --install指令進行安裝，不需要額外的步驟或是設定。</p> <p>在架構設計方面，微軟宣布引入全新的格式架構，WSL新架構以tar為核心，可以簡化發行版的開發和發布流程。過去建立WSL發行版需要將.tar檔案封裝成.appxbundle，並透過Microsoft Store發布，但是新架構讓開發者僅需調整.tar檔案，並且添加必要的設定檔案，即可完成設計。這不僅降低了技術門檻，也讓企業用戶能透過內部網路共享自定義發行版，強化部署靈活性。</p> <p>針對企業需求，微軟推出了Intune與Entra ID的整合功能。Intune目前已經全面支援WSL，IT管理人員可以藉由條件式存取政策，限制企業內部使用的WSL發行版與版本號，強化安全性，並提升Linux發行版的可見性。</p> <p>同時，WSL整合Entra ID功能則進入私有預覽階段，其強調零信任架構，提升企業資源存取的安全性。該功能改進憑證傳遞的方式，避免憑證透過網路封包傳送，同時也替Linux程序提供自動化的Windows身分認證。</p> </div></div></div>
2024/11/22 08:21作者李建興https://www.ithome.com.tw/news/166146
展望2025國際治理趨勢，BSI揭露董事會「義務」成新主軸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著生成式AI應用的高速發展，企業在面對數位與永續轉型浪潮，以及AI風險快速竄升之際，我們該如何解決與因應這些風險與挑戰？</p> <p>在11月舉行的英國標準協會（BSI）數位信任國際資安標準年會上，該公司東北亞區董事總經理蒲樹盛強調，今年一項備受關注的國際趨勢，就是對「董事會義務」的高度重視，這是國內企業在公司治理上需關切的重要發展，他共歸納4大重點。</p> <p>首先，當今的公司法正強化受託人義務，從治理層面全面提升應對能力。他解釋，所謂受託人指的就是公司董事、獨立董事、高階經理人，這些都是受託來管理公司組織的人，更重要的是，現今重點是放在「義務」，也就是應符合利害關係人的期待，包含客戶、員工、股東認為公司應該要做到的事。</p> <p>換言之，從國際上公司法都在修法的趨勢來看，目的不僅是強化董事會責任，更要強化董事會義務。近年臺灣企業設立資安長、永續長，其實也是類似狀況。</p> <p>第二個重點是風險治理，所謂治理（Governance），就是管理（Management）＋領導力（leadership），而風險治理就是企業內部要有風險管理系統、風險管理框架，才能足以識別及管理風險。</p> <p>蒲樹盛以資料外洩情況為例，說明現在一家企業要如何判斷法官的見解，不僅是從企業是否符合利害關係人期望，做到上述所提的義務，另一重點就是公司是否有治理架構，董事會成員是否有具備風險管理的專家，以及公司內部是否建立風險管理框架。</p> <p>像是國內證交所在資安事件重訊的規範，不論是次一營業日的開盤前2小時要公告重訊，或是損失3億元或股本20%應召開重訊記者會，如果一家企業連這些發布規範都不清楚，外界也很難相信該公司會有風險治理的框架，因此法官也就會做出對企業不利的判決，導致企業訴訟風險大增。</p> <p>第三個重點，是董事會成員必須具備4大核心能力與義務，不僅包括所有公司均應具備的「謹慎（Duty of Care）」，現行規範更進一步強調「忠實（Duty of Loyalty）」的承諾，以及「勤勉用功（Diligence）」與「專業技能（Skill）」的履行。在國際間，這些義務已是公司法改革的重點。</p> <p>最後一個重點在於，解決風險與確保組織韌性的能力。事實上，確保組織韌性已是近年資安防護不斷強調的主軸，這方面的能力已成不可或缺的一環。</p> <h3><strong>違反合規的罰則最高來到全球營業額7％，比GDPR更高</strong></h3> <p>對於公司經營層與董事會而言，在應對前述科技與環境風險之下，合規風險的層面也不容輕忽，蒲樹盛指出，近年來全球罰則正不斷升高。</p> <p>回顧多年前被譽為最嚴格個資法的GDPR，最多罰全球營業額4%，現在這樣的比例，其實已經算低。</p> <p>例如，2023年11月底正式施行的歐盟數位服務法（DSA），此法針對社群平臺等數位服務提供者加以規範，以打擊線上非法服務或內容，其違反者最高可罰全球營業額6%；預計明年實施的歐盟人工智慧法案（EU AI Act），不只是建立AI全面監管框架，本質上更是一個產品安全的規範，違反者可罰全球營業額7%。</p> <h3><strong>永續資訊揭露明年實施，尚未行動的上市櫃公司需及早準備</strong></h3> <p>在永續方面也有重要進展，不僅是歐盟在2023年實施的企業永續發展報告指令（CSRD），還有國際上IFRS永續揭露準則的出現，以及溫室氣體排放量盤查與查證（GHGEV）。</p> <p>此外，永續發展資訊揭露的規範也愈加嚴格。對於臺灣企業而言，明年2025更要注意一件事──永續資訊揭露納入證交法，也就是明年全體上市公司均需編製永續報告書，而且所有相關內稽內控全部列為必查項目，避免有資訊不實或誇大的情形。以上這些新變化，都是企業在合規風險上需要留意的，董事會與經營層需要有所掌握，才能及早做好準備。</p> <p> </p> <h2 class="rtecenter"><span style="color: rgb(0, 153, 255);"><strong>從資安治理、治理架構到文化的推動</strong></span></h2> <p>大家近年可能時常聽到，要形塑資安文化才有助推動，但這樣的企業文化要如何建立，仍然有許多組織處於一頭霧水的狀況。</p> <p>在這場演說當中，針對資安文化與永續文化的推動，蒲樹盛特別闡釋了「我們該如何建立文化」這件事，幫助國內企業可以有更好的理解方式。</p> <p>特別的是，蒲樹盛為了促進大眾理解，用上了不同的詮釋方式，他從文化（Culture）一詞起源的角度出發，指出該字是由古羅馬哲學家西賽羅首次使用拉丁文「cultura animi」定義，其原意是指靈魂的培養。</p> <p>因此若是我們要培養企業組織的人，能夠具備資安、永續的靈魂，可以有3個步驟：（一）要提供給這些人相關知識與觀念，（二）不能只是說而不做的上課，還要讓員工透過實際體驗，才能做到靈魂的培養，（三）要給予時間讓組織內的人可以將觀念知識內化，變成潛意識的舉動，這時文化才會真正形成。</p> <p>「如果沒有文化，很多事沒有辦法做。」蒲樹盛指出，這就像大家從小獲得的教育一樣，很多觀念不必要求就會做得到，這就會變成普世價值。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）2024BSI數位信任國際標準年會_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%892024BSI%E6%95%B8%E4%BD%8D%E4%BF%A1%E4%BB%BB%E5%9C%8B%E9%9A%9B%E6%A8%99%E6%BA%96%E5%B9%B4%E6%9C%83_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p> </p> </div></div></div>
2024/11/22 09:00作者羅正漢https://www.ithome.com.tw/news/166133
【資安日報】11月21日，中國駭客鎖定南亞及非洲一帶一路國家的電信業者從事間諜活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這2個月，中國駭客Salt Typhoon鎖定美國電信業者發動攻擊，從而竊取特定政治人物的通話內容，不斷有消息浮出檯面，但值得留意的是，中國駭客並非只針對美國而來，其他國家也有電信業者受害的情形。</p> <p>例如，中國駭客Liminal Panda針對南亞、非洲電信業者下手，活動已長達4年。值得留意的是，受害電信業者所屬國家，都剛好參與中國的一帶一路計畫，因此研究人員認為，這些攻擊很可能與國家利益有關。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166128"><strong style="font-size: 22px;">中國駭客Liminal Panda入侵南亞、非洲電信業者</strong></a></p> <p>中國駭客鎖定電信業者發動攻擊，從而進行間諜活動的情況，這幾個星期以來不斷浮出檯面，最近一波是Salt Typhoon針對美國電信業者的事故，傳出受害電信業者涵蓋AT&T、Lumen、T-Mobile、Verizon，但有知情人士透露，受害的國家並不只是美國，其他國家的電信業者也有遭受中國駭客攻擊的情況，如今有研究人員證實此事。</p> <p>資安業者CrowdStrike揭露從2020年開始活動的中國駭客組織Liminal Panda，這些駭客擁有廣泛的電信網路知識，甚至相當熟悉各家電信業者之間如何互相連結，而能夠在成功滲透部分電信伺服器後，進一步對其他地區的供應商下手。</p> <p>究竟這些駭客的目的為何？研究人員認為，很有可能是從事情報收集。由於這群駭客過往專門針對南亞和非洲的電信業者，他們推測這些區域將是主要的攻擊目標。研究人員也特別提及，這些駭客的攻擊目標與國家利益一致的情況，因為，受害電信業者都位於中國推動一帶一路（縮寫為B&R或BRI）的國家。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=170006&SPOKE_DATE=20241120&COMPANY_ID=3631"><strong style="font-size: 22px;">焊鍚業者晟楠科技外部伺服器遭遇網路攻擊</strong></a></p> <p></p> <p>11月20日傍晚上櫃焊鍚業者晟楠科技於股市公開觀測站發布重大訊息，表示他們發現有外部伺服器遭到攻擊的情況，並在察覺事故後啟動相關防護機制，並進行隔離處理因應。</p> <p>而對於這起事故可能會帶來的影響，該公司表示，根據他們的初步評估，無個資及內部文件、資料外流的情況，這起事故對於公司的營運，以及服務供應，並無影響。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=193757&SPOKE_DATE=20241120&COMPANY_ID=5388"><strong style="font-size: 22px;">網通業者中磊電子傳出菲律賓子公司遭受駭客攻擊</strong></a></p> <p>網通業者中磊電子於11月20日晚間發布重大訊息，指出旗下子公司Sercomm Philippines Inc.部分資訊系統遭受網路攻擊，資訊部門在發現遭到攻擊後全面啟動防禦機制，他們與外部資安專家協同進行回應，針對相關系統全面掃描及檢測，確保資訊安全。</p> <p>該公司強調，菲律賓子公司的系統運作正常，根據評估，這起事故對於營運無重大影響。他們未來將持續提升網路及資訊基礎架構的安全管控，並強化資安防護機制因應。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/oracle-warns-of-agile-plm-file-disclosure-flaw-exploited-in-attacks/">Oracle針對產品生命週期管理系統Agile用戶提出警告，其零時差漏洞已傳出被用於攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/water-barghest-botnet-hijacks-20000-iot-devices-for-profit/">殭屍網路Water Barghest綁架逾2萬臺物聯網裝置</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-10924-cvss-9-8-authentication-bypass-in-really-simple-security-plugin-affects-4-million-sites/">WordPress安全外掛Really Simple Security存在重大漏洞，4百萬網站曝險</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/vulnerable-jupyter-servers-targeted-for-sports-piracy/">體育節目遭到鎖定，攻擊者鎖定錯誤配置的Jupyter Notebook下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-space-tech-giant-maxar-discloses-employee-data-breach/">美國太空科技業者Maxar傳出員工資料外洩</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166136"><strong style="font-size: 22px;">Ubuntu元件Needrestart存在漏洞，攻擊者有機會藉此得到root權限</strong></a></p> <p>資安業者Qualys指出，伺服器版Ubuntu預載的公用程式Needrestart存在5項本機權限提升（LPE）漏洞，未獲取足夠權限的攻擊者，可藉此得到完整的root存取權限，過程裡無需使用者互動。研究人員強調，利用這些漏洞相當容易，很快就可能會有人將其用於實際攻擊。</p> <p>這些漏洞分別是CVE-2024-10224、CVE-2024-11003、CVE-2024-48990、CVE-2024-48991、CVE-2024-48992，CVSS風險評為5.3至7.8分。附帶一提的是，這些漏洞從2014年4月發布的0.8版就存在，換言之，已存在超過10年。對此，開發者接獲通報後，推出3.8版修補。</p> <p><a href="https://www.ithome.com.tw/news/166141"><strong style="font-size: 22px;">老舊產品的資安漏洞問題陰魂不散！D-Link揭露已終止支援的VPN路由器存在RCE漏洞</strong></a></p> <p>11月18日D-Link發布資安公告，指出有研究人員向他們通報漏洞，此為記憶體緩衝區溢位弱點，未經授權的攻擊者有機會遠端於設備上執行任意程式碼，影響DSR-150、DSR-150N、DSR-250、DSR-250N、DSR-500N、DSR-1000N等多款VPN路由器，值得留意的是，由於這些設備已於今年5月生命週期結束（EOL），該公司不予修補，呼籲用戶要儘速汰換設備。</p> <p>不過，這次與過往有所不同的是，該公司並未公布漏洞的CVE編號，僅有提及由研究人員delsploit通報，並指出研究人員在搭配特定版本韌體的DSR-250、DSR-250N當中，發現這項漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166037"><strong style="font-size: 22px;">思科擴大雲端保護方案布局，揭露Hypershield與eBPF將是未來發展重點</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cloud-Protection-Suite.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cloud-Protection-Suite.jpg" style="width: 300px; float: right;" /></a>近兩年來，思科在資安產品上的重要發展路線，聚焦於打造思科資安雲Cisco Security Cloud，將旗下多款產品整合於一個開放式平臺，在11月上旬於澳洲墨爾本舉行的Cisco Live 2024 Melbourne用戶大會上，思科公布資安雲的最新進展。</p> <p>在這次大會上，思科提到兩個重要的進展，一是Cisco Security Cloud Control正式發布，強調這是全新的原生AI管理架構，以取代過去的Cisco Defense Orchestrator；另一是「雲端防護」產品組合的變化，不只涵蓋Secure Firewall、Secure Workload，最近更是新增了Cillium、Hypershield這兩項解決方案。</p> <p>這當中以Hypershield最受矚目，這是思科在數個月前才公布的產品，如今不只是正式併入雲端保護的產品組合，思科更將其視為保護資料中心與雲端的全新方式，以對應AI時代的IT基礎架構需求。在這場活動中，思科資深副總裁暨資安商業部總經理Tom Gillis更是以「Hypershield is changing the game」來形容。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166119"><strong>【11月20日】勒索軟體Helldown潛入受害組織，管道是兆勤防火牆的弱點</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166099"><strong>【11月19日】中國駭客鎖定想趁機撿便宜的黑色星期五購物者發動網釣攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166067"><strong>【11月18日】中國駭客利用FortiClient零時差漏洞存取VPN，入侵受害組織網路環境</strong></a></p> </div></div></div>
2024/11/21 16:47作者周峻佑https://www.ithome.com.tw/news/166142
BSI呼籲重視AI科技風險，強調臺灣企業要提升AI治理力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球都在聚焦的數位信任、AI、永續發展議題，臺灣企業同樣十分關注，隨著2024年即將結束，在今年英國標準協會（BSI）舉辦的數位信任國際標準管理年會上，他們不僅點出企業這一年來必須掌握的重要變化，更是強調AI治理及永續治理，對於未來的重要性。</p> <p>BSI東北亞區董事總經理蒲樹盛指出，繼200年前第一次工業革命後，當前正迎來兩場新革命。一是數位工業革命，例如黃仁勳所提的AI工業革命，另一則是永續綠色工業革命，不論歐洲、英國都將之視為人類未來30年發展的新契機。</p> <p>然而，儘管數位信任持續被強調，加上科技的進步與教育的提升，理應促進全球信任，但現實卻顯示出，社會對立與信任流失日益嚴重。尤其是在強人工智慧（Strong AI）的出現，錯誤資訊與假消息的傳播將使情勢更加複雜，眼見不再為憑，甚至威脅到數位信任的基礎。</p> <p>蒲樹盛特別引用了2024世界經濟論壇（WEF）全球風險報告，指出今年有一項非常重要的變化：WEF將「錯誤資訊與假消息」列為短期全球首要風險，與往年排名相比躍升幅度相當之大，他指出這背後就是AI風險所帶來的影響，也意味著AI風險躍居第一。</p> <p>這也是首次由科技類型風險躍居榜首，亦反映出AI引發的錯假消息，對近代社會的可能衝擊之大。</p> <p>若以未來十年來看，全球有兩大類型風險最要關注，一類是環境風險，因為10大風險有一半屬於這類型，持續突顯出永續議題的重要性，另一類是科技風險，佔10大風險的3項，包含錯誤資訊與假訊息、AI技術的不良後果，以及網路不安全（Cyber inSecurity）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）WEF 2024 Global risks_圖片來源WEF.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89WEF%202024%20Global%20risks_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90WEF.jpg" style="width: 600px;" /></a><br /> <span style="color: rgb(128, 128, 128);"><strong>圖片來源／世界經濟論壇（WEF）</strong></span></p> <h3><strong>強化AI管理與AI治理成最新挑戰，企業需要積極應對</strong></h3> <p>從今年BSI年會來看，在數位信任與資安議題之下，AI當屬重要焦點之一，不僅是上述提及的AI風險，成為近兩年來最大風險挑戰，另從國際標準組織（ISO）的發展來看，AI也是主角。</p> <p>以國際標準動向而言，過去一年的最大焦點在於：全球首部AI治理國際標準的推出，ISO 42001的人工智慧管理系統標準（AIMS），正式在2023年12月出爐。</p> <p>蒲樹盛指出，ISO 42001將縮小我們對AI信任的差距，而這項標準的關鍵就是AI的風險管理，這其實與國際上的公司法或許多管理系統框架一致，強調了風險管理，並要達到透明公開、可以解釋、能夠當責等條件，解決個資、隱私、倫理、歧視、未成年等各方面問題。換言之，ISO 42001是企業在AI轉型過程中的重要參考。</p> <p>AI治理同樣是國內企業需要正視的議題，蒲樹盛指出這是臺灣不足之處。他從近期的臺灣現況調查來看，指出國內在AI應用發展上，儘管大多數企業都認為AI很重要，可是實際導入可能仍不到3成，顯然還有很多國內企業仍處於觀望階段。</p> <p>再從先行導入者來看，他認為，雖然臺灣在AI的數據力、技術力、創新力都表現不錯，運算力也不差，但治理力卻是相當欠缺。企業該如何強化AI治理力？他強調，AI治理應從董事會層級出發，不是AI部門負責就好，同時也要建立明確的責任分工與問責機制，若一旦出事卻找不到人負責，這樣的AI治理架構顯然有問題，無法確保AI技術的安全與可持續應用，同樣會面對很高的訴訟風險。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%892024BSI%E6%95%B8%E4%BD%8D%E4%BF%A1%E4%BB%BB%E5%9C%8B%E9%9A%9B%E6%A8%99%E6%BA%96%E5%B9%B4%E6%9C%83_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <h3><strong>臺灣需跟上AI應用腳步，重視提高生產力與改善客戶關係</strong></h3> <p>無論如何，AI應用風潮已是全球進行式，上述提及國內還有7成企業未能導入AI，我們還有很多可以進步的空間。</p> <p>蒲樹盛特別引用去年BSI與富比士的調查指出，當前全球AI應用最多的兩大目標為：第一是提高生產力，第二是改善客戶關係。因此，若臺灣企業未能將AI應用於這兩個關鍵目標，會是相當可惜的事，恐錯失重要的發展契機。</p> <p>而臺灣已有企業成功落實生成式AI應用的案例，為其他企業提供了寶貴的參考。他舉例，有金控業運用AI技術優化銀行授信流程，大幅節省人力時間；製造業則利用AI進行產品布局（Product Layout）設計，好處是可以快速優化整體配置，並可以帶來更好的良率。</p> <p>在這場BSI年會上，還有兩位AI領域專家發表探討AI應用機遇與挑戰的演說。例如歐洲在臺商務協會科技委員會曾更瑩律師，她剖析了歐盟AI法案的企業挑戰與因應，當中聚焦的是產品安全，只要產品屬於AI系統，會輸出到歐盟境內使用，就會受其規範；還有台灣人工智慧學校校務長蔡明順，他闡述了百工百業用AI的最新態勢，不只強調用AI的人將淘汰不用AI的人，就像農耕機取代農夫的情形一樣，還有AI Safety治理與安全的重要性，不論是在法案、標準與聯盟的發展上，都已經成為先進國家爭相競取話語權的關鍵。</p> <p>由於AI將深刻影響了未來的競爭格局，但在發展過程中，我們可能容易輕忽一些議題與面向，因此，喚起大家對AI治理與安全的討論，也是相當必要的事。</p> </div></div></div>
2024/11/21 12:30作者羅正漢https://www.ithome.com.tw/news/166130
Ubuntu元件Needrestart存在漏洞，攻擊者有機會藉此得到root權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Qualys指出，伺服器版Ubuntu預載的<a href="https://blog.qualys.com/vulnerabilities-threat-research/2024/11/19/qualys-tru-uncovers-five-local-privilege-escalation-vulnerabilities-in-needrestart">公用程式Needrestart存在5項本機權限提升（LPE）漏洞</a>，未獲取足夠權限的攻擊者，可藉此得到完整的root存取權限，過程裡無需使用者互動。研究人員強調，利用這些漏洞相當容易，很快就可能會有人將其用於實際攻擊。</p> <p>這些漏洞分別是CVE-2024-10224、CVE-2024-11003、CVE-2024-48990、CVE-2024-48991、CVE-2024-48992，CVSS風險評為5.3至7.8分。附帶一提的是，這些漏洞從2014年4月發布的0.8版就存在，換言之，已存在超過10年。對此，開發者接獲通報後，推出3.8版修補。</p> <p>什麼是Needrestart？這項公用程式會偵測系統是否有需要重新啟動的服務，之所以需要進行這項作業的原因，在於更新共用程式庫的過程中，Needrestart會察覺服務仍在使用舊版檔案，自動將其重新啟動，作業系統無需為此關機、重新啟動。自21.04版Ubuntu Server開始，Needrestart成為預設安裝的元件，因此這些弱點的影響範圍，有可能會相當廣泛。</p> <p>若是IT人員無法及時更新這項元件，Qualys提出臨時緩解措施，那就是調整Needrestart的組態檔案，停用啟發式解譯器的功能。</p> </div></div></div>
2024/11/21 14:54作者周峻佑https://www.ithome.com.tw/news/166136
老舊產品的資安漏洞問題陰魂不散！D-Link揭露已終止支援的VPN路由器存在RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月18日D-Link發布資安公告，<a href="https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10415">指出有研究人員向他們通報漏洞</a>，此為記憶體緩衝區溢位弱點，未經授權的攻擊者有機會遠端於設備上執行任意程式碼，影響DSR-150、DSR-150N、DSR-250、DSR-250N、DSR-500N、DSR-1000N等多款VPN路由器，值得留意的是，由於這些設備已於今年5月生命週期結束（EOL），該公司不予修補，呼籲用戶要儘速汰換設備。</p> <p>不過，這次與過往有所不同的是，該公司並未公布漏洞的CVE編號，僅有提及由研究人員delsploit通報，並指出研究人員在搭配特定版本韌體的DSR-250、DSR-250N當中，發現這項漏洞。</p> <p>附帶一提的是，該公司今天更新公告內容，他們針對願意購買新設備汰換的美國用戶促銷，提供第2代DSR-250八折優惠，線上商城將會在結帳的時候，自動從209.99美元降為168美元。這樣的公告內容，過往並不常見。</p> <p>除了最新揭露的VPN舊款路由器產品漏洞，近期研究人員揭露D-Link生命週期結束設備的漏洞消息，已累積好幾起，突顯用戶淘汰老舊網路設備的腳步太慢，導致這些無藥可救治新病的裝置，成為攻擊者得以輕易進行滲透與綁架的目標。例如，研究人員Netsecfish找到的<a href="https://www.ithome.com.tw/news/165945">重大層級漏洞CVE-2024-10914</a>，事隔一週，<a href="https://www.ithome.com.tw/news/166015">Shadowserver基金會證實出現攻擊行動</a>。</p> </div></div></div>
2024/11/21 16:23作者周峻佑https://www.ithome.com.tw/news/166141
紅帽揭露明年在臺GAI策略，以RHEL AI和OpenShift AI兩大GAI平臺為核心，加速企業GAI應用落地
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽近日揭露2025年在臺策略三大方向，將加速推動AI導入，結合容器化和虛擬化技術，以及發展CI/CD自動化中臺2.0，拓展臺灣在地業務成長。<br /> 紅帽臺灣總經理孫媛音表示，紅帽明年第一項發展重點聚焦GAI，以RHEL AI和OpenShift AI兩大GAI平臺為核心，協助企業加速GAI應用落地。一方面，透過RHEL AI，提供Granite系列在內的LLM開源模型和模型對齊工具InstructLab，幫助企業快速開發、測試與部署，貼近內部業務應用情境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20241105_070747131.jpg" style="width: 600px; height: 243px;" /></p> <p>企業在小規模試驗階段完成後，可利用OpenShift AI在各種混合雲環境中實現大規模GAI部署，包括地端、雲端，或是邊緣環境等，來發展各種GAI應用。OpenShift AI本身提供了模型訓練、微調和擴展的能力，可以用更有效方式降低訓練每個模型所需使用的資源。</p> <p>紅帽第二項重點發展策略是，可以開始使用OpenShift介面管理在VM中的工作負載，讓OpenShift可以延伸支援Hypervisor中的VM管理。孫媛音表示，這樣做的好處是，提供了企業走向雲原生的另一種並存做法，除了將老舊應用重構，重新打造翻新成雲原生架構之外，也可以用OpenShift管理不容易容器化的老舊應用。</p> <p>企業在邁向雲原生後，越來越多採用自動化方式來進行IT維運和管理。近兩年，不少臺灣企業開始運用基礎架構即程式碼軟體工具Ansible來自動化管理OS、網路和DevOps實踐，甚至將服務遷移至雲端。她表示，接下來，將朝向自動化中臺2.0來發展，這也是紅帽第三項重點發展策略。</p> <p>她表示，新版本Ansible中將提供跨部門的自動化中臺的功能，例如當發生事件時，可以透過自動化中臺更快做到故障排除，或是提供EDA（ Event Driven Ansible ）事件驅動反應機制，可以針對不同類型的事件快速反應，回應每個事件的處置方式。</p> <p>紅帽也分享近期採用的企業案例，例如將來銀行為推動數位轉型，使用了自己的數據中臺結合OpenShift打造新一代輕量級的雲原生架構，在新專案中也導入了微服務和建立開放混合雲，推動數位轉型。另一家南山人壽則是去年年中採用OpenShift建立一個微服務平臺，一致化核心周邊的系統，提供更好的擴展性。</p> </div></div></div>
2024/11/21 15:27作者余至浩https://www.ithome.com.tw/news/166137
Snowflake強化AI布局，收購Datavolo，與Anthropic合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端資料儲存服務供應商Snowflake本周三（11/20）公布該公司第二季<a href="https://www.snowflake.com/news/snowflake-reports-financial-results-for-the-third-quarter-of-fiscal-2025/" target="_blank">財報</a>，<a href="https://www.snowflake.com/news/snowflake-agrees-to-acquire-open-data-integration-platform-datavolo/" target="_blank">收購</a>開發多模態資料管道平臺的Datavolo，並<a href="https://investors.snowflake.com/news/news-details/2024/Snowflake-and-Anthropic-Team-Up-to-Bring-Claude-Models-Directly-to-the-AI-Data-Cloud/default.aspx" target="_blank">宣布</a>與Anthropic簽署多年策略合作，將於產品中採用Anthropic所開發的Claude模型。</p> <p>Snowflake成立於2012年，主要協助企業於雲端儲存與分析各種來源的資料，它在2021年便推出原生的AI與機器學習工具Snowpark，支援客戶於Snowflake平臺上使用大型語言模型與AI工具，去年也買下了採用AI技術的企業搜尋開發商Neva，現已自稱為AI資料雲端（AI Data Cloud）公司。</p> <p>本周被Snowflake納入麾下的Datavolo，主要開發可自動管理不同組織之間的結構化及非結構化資料的平臺，該平臺是基於美國國安局（National Security Agency，NSA）所開源的Apache NiFi專案。Snowflake表示，一旦將Datavolo整合至Snowflake平臺上，將可強化Snowflake在資料生命周期中、代表初始資料的Bronze Layer服務。</p> <p>而與Anthropic的合作則是將Claude模型整合至Snowflake資料雲平臺，讓使用者可透過Snowflake的Cortex AI，存取包括Claude 3.5在內的各種AI模型，旗下的代理AI產品也會採用Claude模型，包括Snowflake Intelligence與Cortex Analyst。</p> <p>Snowflake也在同一天，公布了截至今年10月底的2025財年第三季財報，該季Snowflake創下9.42億美元的營收，成長28%，淨虧損3.28億美元，還高於去年所虧損的2.15億美元。</p> <p>不過，有鑑於Snowflake的該季財報高於華爾街分析師的預期，並對未來展望樂觀，再加上強化了AI布局，使得Snowflake當天的盤後大漲19.8%，將股價推升至154.7美元。</p> </div></div></div>
2024/11/21 15:40作者陳曉莉https://www.ithome.com.tw/news/166138
Nvidia財報出爐，Q3營收成長94%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球AI晶片龍頭Nvidia周三（11/20）<a href="https://nvidianews.nvidia.com/news/nvidia-announces-financial-results-for-third-quarter-fiscal-2025" target="_blank">公布</a>該公司截至10月27日的2025財年第三季財報，顯示該季Nvidia創下351億美元的營收，比去年同期成長94%。其中，資料中心營收便占了308億美元，成長112%，並占了該公司總營收的87.8%。</p> <p>Nvidia原本是全球繪圖晶片龍頭，在<a href="https://www.ithome.com.tw/news/144697" target="_blank">2021年</a>時，遊戲還是該公司最大的營收來源，AI的興起讓Nvidia的資料中心業務大幅成長，不僅快速超越遊戲，更讓Nvidia的營收<a href="https://www.ithome.com.tw/news/163047" target="_blank">翻倍</a>，亦令它從繪圖晶片龍頭搖身一變成為AI晶片龍頭。</p> <p>根據財報，除了資料中心的308億美元營收之外，該季Nvidia賺進33億美元的遊戲營收，成長14%，專業視覺化營收為4.86億美元，成長17%，汽車營收為4.49億美元，成長30%。</p> <p>Nvidia創辦人暨執行長黃仁勳表示，AI時代正如火如荼地推動全球向Nvidia運算轉型，市場對Hopper的需求與對Blackwell的期待，正隨著基礎模型開發商擴大預訓練、後訓練與推論而令人嘆為觀止；AI正在改變每一個產業、公司與國家，企業正在採用代理AI來革新工作流程，工業機器人領域的投資亦因實體AI的突破而快速增加，各國並已意識到發展國家級AI與基礎設施的重要性。</p> <p>基於新一代Blackwell架構的GPU已全面投產，Nvidia財務長Colette Kress 於財報會議上透露，已送出1.3萬個晶片樣本，明年Blackwell晶片出貨量也會繼續成長。</p> <p>不過，就算Nvidia該季的表現以及對下一季的展望都超越分析師期待，當天Nvidia的盤後股價還是下滑了2.5%，停在142.25美元。</p> </div></div></div>
2024/11/21 15:54作者陳曉莉https://www.ithome.com.tw/news/166139
Google發表能夠糾出量子運算錯誤的AI解碼器AlphaQubit
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google DeepMind及Quantum AI團隊周三（11/20）共同發表了<a href="https://blog.google/technology/google-deepmind/alphaqubit-quantum-error-correction/" target="_blank">AlphaQubit</a>，這是一個基於人工智慧的解碼器，能夠準確地辨識量子運算的錯誤，宣稱優於目前領先的各種解碼器，著眼於解決量子運算所面臨的最大挑戰之一。自然（Nature）期刊亦於同一天出版了此一<a href="https://www.nature.com/articles/s41586-024-08148-8" target="_blank">研究報告</a>。</p> <p>量子電腦是利用物質在最小尺度上的獨特性質，如疊加或糾纏，以比傳統電腦少很多的步驟來解決特定類型的複雜問題，該技術仰賴可同時表示0與1的量子位元，藉由量子干涉來強化正確答案，快速篩選出大量可能性中的正確解答。</p> <p>不過，量子位元的自然量子態很脆弱，可能會受到各種因素的影響，從硬體的極小缺陷、熱、振動、電磁干擾或無所不在的宇宙射線都有可能破壞它，使得各界嘗試替它糾錯。一般的量子糾錯概念為冗餘編碼，它並不使用單個量子位元來儲存訊息，而是將多個物理量子位元編碼成一個邏輯量子位元，因此就算個別的物理量子位元出現錯誤，整體邏輯量子位元的資訊仍可被保護，之後再透過解碼器對當中的物理量子位元定期進行一致性檢查，檢測發生錯誤的量子位元，並修復它們。</p> <p>而AlphaQubit即是一款基於神經網路的解碼器，它奠基在Google所開發的深度學習架構Transformers，輸入各種一致性的檢查，即可準確預測量子位元的狀態是否已被改變。</p> <p>Google研究人員解釋，量子糾錯的一個關鍵挑戰，在於如何準確解碼自冗餘檢查中所提取的具雜訊的綜合資訊，並恢復正確編碼的邏輯資訊，為此，他們開發了一個基於Transformers的循環神經網路AlphaQubit，專門學習如何解碼Surface Code（目前領先的量子糾錯技術），在Google的Sycamore量子處理器的真實資料上，它於distance-3及distance-5的Surface Code表現優於其它解碼器，即使在距離更大的模擬條件下（如distance-11），面對複雜的實際噪音，AlphaQubit依舊能夠保持優勢，意味著未來它也將適用於中型量子裝置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1121-Google%20DeepMind-AlphaQubit-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>即使AlphaQubit代表了以機器學習進行量子糾錯的里程碑，但Google坦承還是面臨速度及可擴展性上的挑戰，例如在高速超導量子處理器中，每秒需要進行100萬次的一致性檢查，雖然AlphaQubit在準確辨識錯誤方面表現出色，卻因速度太慢而無法滿足即時更正的需求。</p> <p>Google表示，隨著量子運算逐漸發展到，可能需要數百萬個量子位元才能支持商業應用，他們需要找到更具資料效益的途徑來訓練AI解碼器，以因應未來的需求。</p> </div></div></div>
2024/11/21 13:38作者陳曉莉https://www.ithome.com.tw/news/166132
中國駭客Liminal Panda入侵南亞、非洲電信業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客鎖定電信業者發動攻擊，從而進行間諜活動的情況，這幾個星期以來不斷浮出檯面，最近一波是<a href="https://www.ithome.com.tw/news/166096">Salt Typhoon針對美國電信業者的事故</a>，傳出受害電信業者涵蓋AT&T、Lumen、T-Mobile、Verizon，但有知情人士透露，受害的國家並不只是美國，其他國家的電信業者也有遭受中國駭客攻擊的情況，如今有研究人員證實此事。</p> <p>資安業者CrowdStrike揭露<a href="https://www.crowdstrike.com/en-us/blog/liminal-panda-telecom-sector-threats/">從2020年開始活動的中國駭客組織Liminal Panda</a>，這些駭客擁有廣泛的電信網路知識，甚至相當熟悉各家電信業者之間如何互相連結，而能夠在成功滲透部分電信伺服器後，進一步對其他地區的供應商下手。</p> <p>該組織使用支援電信行動網路的通訊協定，像是模擬GSM通訊協定來啟用C2，或是透過開發工具接收行動用戶資訊、通話中繼資料，以及簡訊文字。</p> <p>究竟這些駭客的目的為何？研究人員認為，很有可能是從事情報收集。由於這群駭客過往專門針對南亞和非洲的電信業者，他們推測這些區域將是主要的攻擊目標。研究人員也特別提及，這些駭客的攻擊目標與國家利益一致的情況，因為，受害電信業者都位於中國推動一帶一路（縮寫為B&R或BRI）的國家。</p> <p>附帶一提的是，2021年，CrowdStrike揭露<a href="https://www.ithome.com.tw/news/147381">駭客組織LightBasin（UNC1945）針對電信業者的攻擊行動</a>，根據最新出爐的調查結果，CrowdStrike認為當初的攻擊其實是Liminal Panda所為，為何會出現不同的攻擊者身分判斷？原因是當時有多組人馬在同一個遭到入侵的網路環境從事惡意活動，使得相關攻擊行為難以判斷責任歸屬。</p> <p>當時CrowdStrike表示，攻擊者專門針對Linux及Solaris伺服器下手，先是透過密碼噴灑（password-spraying）手法，入侵電信業者外部的DNS伺服器（eDNS），並部署後門程式PingPong竊取帳密資料，以及進行橫向移動。</p> <p>此外，對方也使用公開能取得的後門程式TinyShell，以及Serving GPRS Support Node（SGSN）模擬軟體，建立C2通訊，目的是偽裝成合法流量來隱匿行蹤。</p> </div></div></div>
2024/11/21 12:13作者周峻佑https://www.ithome.com.tw/news/166128
ChatGPT進階語音模式也支援Web版，數周內推向免費用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI<a href="https://x.com/kevinweil/status/1858950061637419167" target="_blank">宣布</a>，能讓ChatGPT流暢對答的進階語音模式（Advanced Voice Mode），現在也支援Web版。目前只提供給付費版用戶，不過免費用戶再等幾周就可以用了。</p> <p>進階語音模式是在最新的GPT-4o語音合成模型上開發而成，具備更快的語音輸入、輸出回應能力，賦予ChatGPT和用戶流暢來回對談的能力。<a href="https://www.ithome.com.tw/news/158968" target="_blank">9月</a>OpenAI將進階語音模式部署到Android及iOS版ChatGPT，並提供5種聲音選擇。最近OpenAI將這個新功能<a href="https://t.co/vVRYHXsbPD" target="_blank">推向</a>Windows和Mac桌機版App，而且聲音選擇增加為9種。</p> <p>在最新宣布下，以桌機版瀏覽器使用ChatGPT的用戶，也可以啟用進階語音模式了。現階段提供給付費方案，包括Plus/Teams/Enterprise/Edu用戶，但OpenAI說，預計再幾個禮拜會推向免費用戶。</p> <p>在Web版使用進階語音模式，需從ChatGPT提示視窗右下角的Voice圖示開啟，並且需開啟瀏覽器存取電腦麥克風的權限。啟用後，用戶會被帶向有藍色圓球圖示的<a href="https://techcrunch.com/2024/09/24/openai-rolls-out-advanced-voice-mode-with-more-voices-and-a-new-look/" target="_blank">介面</a>展開對談。</p> </div></div></div>
2024/11/21 12:53作者林妍溱https://www.ithome.com.tw/news/166131
馬斯克要X用戶上傳健康資訊協助訓練Grok AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技大亨馬斯克本周公開<a href="https://twitter.com/elonmusk/status/1851206080564773344" target="_blank">要求</a>X用戶上傳其健康資料，以便幫忙訓練Grok AI判讀病症的AI模型，用戶也踴躍回應。</p> <p>馬斯克本周透過X公布他另一間公司xAI發展Grok的開發進展。他要求用戶上傳X光片、MRI（斷層掃瞄）、PET（正子斷層造影）或其他醫療影像到Grok試用其分析。馬斯克說Grok現在還在開發初期，但已經相當準確，而且之後會變得非常厲害。</p> <p>以AI輔助醫師從斷層掃瞄、X光片等醫學影像判讀病症，是現今AI在醫學界的主要應用。健康資訊是高度敏感的資訊，一般AI模型開發商必須遵守嚴格的隱私和資料保護要求，包括如何使用或儲存，才能取得臨床資料，且資料還必須經過匿名化程序才可用於AI模型訓練。像馬斯克公開要求用戶上傳自己的醫學影像幫助自家AI開發，不是完全無知，就是藐視資料隱私權。</p> <p>更令人驚訝的是，許多用戶竟然也欣然配合。評價好壞參半：有用戶讚揚Grok正確診斷出用戶有腦瘤，但也有用戶反映，Grok將其鎖骨骨折誤判為肩膀脫臼。</p> <p>如同其他AI模型，Grok現在會誤判可想而知，但專家更在意的是資料隱私風險。一名專家<a href="https://www.msn.com/en-us/health/other/elon-musk-asked-people-to-upload-their-health-data-x-users-obliged/ar-AA1ukoy8" target="_blank">指出</a>，在美國，病患資訊的使用受到《美國健康保險流通與責任法案》（HIPAA）保護，但是HIPAA僅規範了少數實體，包括醫院和保險公司。X並不在HIPAA規範之列。雖然X的隱私政策提及不會出售用戶資料給第三方單位，但是卻說會將資訊分享給「相關公司」。</p> <p>專家提醒，用戶健康資訊外洩，可能被用於廣告、行銷宣傳，或造成就業或保險的不平等待遇，若資訊不慎外洩到歹徒手上，則可能引發釣魚信件或其他網路攻擊。</p> </div></div></div>
2024/11/21 12:13作者林妍溱https://www.ithome.com.tw/news/166129
Google提前發布Android 16預覽版，調整更新策略加速裝置與系統上市腳步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了縮短硬體裝置與系統的同步時程，Google現在就推出<a href="https://android-developers.googleblog.com/2024/11/the-first-developer-preview-android16.html">Android 16開發者第一預覽版</a>，並調整年度更新策略，帶來嵌入式照片選擇器等新功能。Android 16預計會在2025年正式發布，將比以往第三季發布主要版本提早一季，藉此縮短硬體裝置與作業系統推出的等待時間。</p> <p>開發者預覽版提供了測試平臺，供開發者與製造商提早適應新系統，同時進行相容性測試。Android 16的主要更新包含多項新API，以及影響應用行為的系統更新。Google表示，提前發布的目的是要讓其合作夥伴能在裝置上市初期，即可提供用戶最新的Android系統操作體驗。</p> <p>另外，Google也宣布在2025年，將首次採用一年兩次的API發布策略，除了第二季的主要版本之外，第四季還將推出次要更新，並把重點放在功能強化與最佳化，但不會包含影響應用程式行為的變更。這些變化使得開發者需要提前進行年度相容性測試，以迎接版本變化。</p> <p>除了更新時程調整，Android 16開發者預覽版還釋出多項新功能，其中嵌入式照片選擇器，讓應用程式能高效存取媒體，並且提升使用者的隱私保障。嵌入式照片選擇器提供一個安全的內建方式，讓應用程式只能夠存取本地和雲端儲存中選定的圖像和影片，而非整個媒體庫。</p> <p>同時，嵌入式照片選擇器可直接嵌入應用程式的視圖層級，使其成為應用介面的一部分，減少視覺切換，提升使用者體驗。開發者要整合嵌入式照片選擇器，則需要使用即將推出的Android Jetpack函式庫。</p> <p>Android 16也首次加入健康紀錄相關API，採用FHIR格式支援醫療資料的讀寫。隱私沙箱功能（Privacy Sandbox）自 Android 13引入後，在Android 16中進一步強化，新增了SDK獨立執行環境的應用，提供進階使用者資料安全保護。</p> </div></div></div>
2024/11/21 08:42作者李建興https://www.ithome.com.tw/news/166126
Momo南區儲配運輸物流中心正式啟用，公開智慧物流設備及流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今（11/20）Momo正式啟用位於臺南的南區儲配運輸物流中心。此物流中心有地下1樓和地上6樓，總樓板面積約24,500坪，可容納超過340萬件商品庫存。結合自動化倉儲設備到物流流程，南區物流中心每日商品吞吐量達16萬件商品，超過北區物流中心。</p> <p>Momo於2017年啟用北區物流中心，作為層級在主倉、衛星倉之上的大型物流中心。南區物流中心則是2021年動工，今日啟用後，將分擔南部物流作業，加速雲嘉南和高屏地區的物流速度。他們也於揭露了南區物流中心中，智慧物流設備如何支援從進貨到出貨的流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG20241120111226.jpg" style="width: 600px;" /></p> <blockquote><p>Momo南區物流中心各層功能及設備。攝影-郭又華</p> </blockquote> <p>貨物從進貨碼頭來到一樓，小尺寸商品會經過DWS（體積重測量系統）測量尺寸及重量，並經過跨樓層的螺旋輸送機，送至倉儲存放。大尺寸商品，會堆疊在棧板上，透過快速棧板升降機，送進不同樓層的AS/RS（自動倉儲系統）儲存。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PG_F5211_0.jpg" style="width: 600px;" /></p> <blockquote><p>測量並登錄商品尺寸和重量的DWS系統。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">攝影-洪政偉</span></p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PG_F5202_0.jpg" style="height: 500px;" /></p> <blockquote><p>跨樓層的螺旋式輸送機。攝影-洪政偉</p> </blockquote> <p>此物流中心使用兩種AS/RS系統，棧板式及穿梭式，前者主要用於存放和取用需要堆疊於棧板上的商品，水平行走速度每分鐘180公尺，升降速度每分鐘55公尺，每小時支援110板進貨和120板出貨量。後者則是處理較小且高周轉率的商品，水平行走速度每分鐘210公尺，升降速度每分鐘60公尺，儲存及分揀作業更快速。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PG_F5230_0.jpg" style="width: 600px;" /></p> <blockquote><p>大尺寸貨物會送進棧板式AS/RS系統。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">攝影-洪政偉</span></p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PG_F5262_0.jpg" style="width: 600px;" /></p> <blockquote><p>穿梭式AS/RS系統負責快速儲存和取用周轉率較高的商品。攝影-洪政偉</p> </blockquote> <p>出貨時，Momo採用一次能同時處理360張訂單的DAS（自動分貨系統）系統，結合AS/RS系統，來執行訂單商品合併及分貨，快速匯集同一張訂單中的商品，並透過輸送帶將這些商品運到DAS播種臺。接著，播種臺工作人員根據DAS給予的燈號提示，從輸送帶上揀取商品，將同一訂單商品放到對應物流箱，交由緊鄰播種臺的分裝人員來完成包裝。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PG_F5329_0.jpg" style="width: 600px;" /></p> <blockquote><p>DAS播種臺處，揀貨人員會根據DAS的提示快速將同一訂單商品放進物流箱，並推到貨架對面，由包裝人員接手。攝影-洪政偉</p> </blockquote> <p>商品分裝完後，空的物流箱會透過輸送帶集中到機械手臂作業區，由機械手臂快速整理、堆疊，以利後續再利用。此機械手臂每小時能堆疊360個物流箱，用途看似平凡無奇，但人工堆疊物流箱是非常消耗體力、人力的工作，平時一個班需要4至8個人，雙11等巔峰時段甚至需要超過20個人。採用機械手臂，能簡單但有效省下大量人力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PG_F5313_0.jpg" style="height: 500px;" /></p> <blockquote><p>機械手臂負責堆疊空的物流箱，簡單但確實省下大量人力。攝影-洪政偉</p> </blockquote> <p>商品分裝完，會再透過輸送帶運回1樓理貨、出貨區。這裡設有感應門，每小時能掃描7,500個紙箱上的QR Code，依據訂單資訊，將商品導流到推送速度每分鐘135公尺的14條輸送帶上，由工作人員理貨、載貨上車。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PG_F5362_0.jpg" style="width: 600px;" /></p> <blockquote><p>此感應門會快速掃描紙箱QR Code，並根據訂單資訊將紙箱分配到不同輸送帶上，供工作人員理貨、載貨上車。攝影-洪政偉</p> </blockquote> <p>為了支援自動化物流設備及物流相關數據的應用，此物流中心除了物流專業人員，現場還設有數據分析人員、資訊研發人員、倉儲系統應用人員等IT相關職位。</p> <p></p> </div></div></div>
2024/11/20 18:47作者郭又華https://www.ithome.com.tw/news/166125
【資安日報】11月20日，勒索軟體Helldown潛入受害組織，管道是兆勤防火牆的弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週資安業者Sekoia針對勒索軟體Helldown的攻擊行動提出警告，指出這些駭客從原本針對Windows進行加密，如今也開發了破壞VMware ESXi虛擬化平臺的檔案加密工具。</p> <p>值得留意的是，這些駭客潛入受害組織的方法，是利用兆勤防火牆的漏洞，駭客聲稱他們也成功入侵該公司的歐洲分公司，對此我們試圖聯繫兆勤科技，但在今天資安日報截稿之前，我們尚未得到他們的回應，目前無法進一步證實此事。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166117"><strong style="font-size: 22px;">勒索軟體Helldown藉由兆勤防火牆弱點入侵受害組織，攻擊Windows電腦及VMware虛擬化平臺</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/helldown-ttps.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/helldown-ttps.png" style="width: 300px; float: right;" /></a></p> <p>今年10月兆勤（Zyxel Networks）針對旗下USG Flex、ATP系列防火牆用戶提出警告，他們在歐洲、中東、非洲地區（EMEA）偵測到鎖定該廠牌設備的攻擊行動，這幾天有其他資安業者發布相關報告，指出此類威脅很可能與勒索軟體攻擊有關。針對上述情況我們也向兆勤進行確認，在截稿之前尚未得到回應。</p> <p>19日資安業者Sekoia針對近期出現的勒索軟體Helldown提出警告，他們發現這些駭客最早從8月5日開始活動，截至11月7日，攻擊者聲稱有31家企業組織受害，而且大部分是中小企業、位於美國，部分受害企業組織位於歐洲。值得留意的是，這群駭客也將兆勤的歐洲分公司（Zyxel Europe）列於受害者名單。</p> <p>原本的攻擊活動主要是針對Windows電腦而來，但到了10月底，駭客進一步打造Linux版變種，用於攻擊VMware ESXi虛擬化平臺，使得該勒索軟體破壞範圍更為廣泛。</p> <p><a href="https://www.ithome.com.tw/news/166108"><strong style="font-size: 22px;">駭客兜售福特逾4萬名顧客資料，該公司表示起因是第三方業者遭駭</strong></a></p> <p>有人在地下論壇聲稱竊自美國汽車大廠福特（Ford）的4萬多筆顧客資料，尋求買家兜售。對此福特汽車表示，這批資料是從第三方業者流出，公司系統未被駭。</p> <p>此次風波的造成，一開始，是名為EnergyWeaponUser的駭客在地下論壇張貼公告，聲稱於11月初夥同初始入侵管道掮客IntelBroker駭入福特的內部系統。他們取得4.4萬筆客戶資料，包括姓名、住家地址、購買產品型號、帳號、銷售數量等，以及國別等。駭客並張貼部分資料證實資料的真實性。雖然顧客資料不少，但駭客僅僅要求約合2美元的論壇點數。</p> <p>根據資安新聞網站CyberDaily的報導，外流資料的客戶，分布於美國、中國、西班牙、辛巴威、莫三比克等國。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=183621&SPOKE_DATE=20241119&COMPANY_ID=3494"><strong style="font-size: 22px;">印表機製造商誠研傳出部分資訊系統遭受網路攻擊</strong></a></p> <p>在11月19日晚間，印表機製造商誠研於股市公開觀測站發布重大訊息，表示部分資訊系統遭到駭客攻擊，資訊部門在事發當下已全面啟動相關防禦機制，並著手復原，該公司也尋求外部資安業者協同處理，並指出將對所有網域、網頁，以及相關檔案進行徹底檢測，再以備份資料恢復運作。</p> <p>而對於這起事故可能帶來的影響，該公司表示，根據他們的初步評估，對公司的運作無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.prnewswire.com/il/news-releases/new-threat-report-from-cato-networks-reveals-ransomware-gangs-recruiting-penetration-testers-to-improve-effectiveness-of-attacks-302309226.html">為增加攻擊成功的機會，多個勒索軟體組織向滲透測試人員招手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cyberint.com/blog/research/akira-ransomware-what-soc-teams-need-to-know/">勒索軟體Akira威脅加劇，一天裡列出超過30個受害組織</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://cyberint.com/blog/research/akira-ransomware-what-soc-teams-need-to-know/"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/ransomware-attack-on-oklahoma-medical-center-impacts-133000/">美國奧克拉荷馬州醫療中心遭遇勒索軟體攻擊，影響13.3萬人</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/babbleloader-the-polyglot-malware-evading-both-traditional-and-ai-defenses/">多語言惡意程式BabbleLoader採用複雜回避偵測手法，有機會躲過AI打造的資安防護系統</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/north-korean-hackers-target-job-seekers-with-malware-laced-video-apps/">北韓駭客針對求職者下手，利用挾帶惡意程式的視訊會議軟體感染受害電腦</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166107"><strong style="font-size: 22px;">Intel處理器的Mac電腦遭到鎖定，駭客利用零時差漏洞從事攻擊行動</strong></a></p> <p>11月19日蘋果針對旗下多種裝置作業系統發布新版，包含macOS Sequoia 15.1.1、iOS 18.1.1與17.7.2、iPadOS 18.1.1與17.7.2、visionOS 2.1.1，並對於macOS Ventura與Sonoma用戶提供瀏覽器更新Safari 18.1.1，目的是為了修補2項已被用於實際攻擊行動的零時差漏洞。</p> <p>這些漏洞是CVE-2024-44308、CVE-2024-44309，分別存在於JavaScriptCore框架，以及瀏覽器排板引擎WebKit。一旦電腦或行動裝置處理惡意的網頁內容，就有可能觸發上述漏洞，從而導致攻擊者能夠執行任意程式碼，或是發動跨網站指令碼（XSS）攻擊。</p> <p><a href="https://www.ithome.com.tw/news/166109"><strong style="font-size: 22px;">GitHub命令列存在高風險漏洞，攻擊者有機會遠端執行任意程式碼</strong></a></p> <p>11月15日GitHub開發團隊指出，該程式碼儲存庫存在高風險漏洞CVE-2024-52308，這項漏洞出現於其命令列介面（CLI），一旦遭到利用，在使用者連線到惡意的Codespace SSH伺服器，並下達gh codespace ssh或gh codespace logs指令的情況下，攻擊者就有機會遠端執行任意程式碼（RCE），CVSS風險評為8.1，GitHub發布2.62.0版修補。</p> <p>對於這項弱點發生的原因，GitHub表示，這項弱點的起因是命令列介面在執行指令的過程中，處理SSH連線導致。當開發人員連線到遠端的Codespace，通常會使用執行開發容器（devcontainer）的SSH伺服器來存取，而這類容器的建置，大多使用預設的映像檔。</p> <p>一旦外部的惡意開發容器在SSH伺服器注入，並透過相關參數帶入SSH連線詳細資料，此時攻擊者就有機會藉由gh codespace ssh或gh codespace logs指令執行，於使用者的工作站電腦執行任意程式碼，甚至有可能藉此存取系統上使用者的資料。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166111"><strong style="font-size: 22px;">微軟舉行獎金提高50至100%的資安漏洞攻防賽Zero Day Quest</strong></a></p> <p>微軟19日舉行駭客任務競賽，邀請全球安全研究人員提交有關微軟AI、Microsoft Azure、Microsoft Identity、M365、Microsoft Dynamics 365及Power Platform等服務的安全漏洞研究，加碼50%至100%漏洞獎勵，活動期間至明年的1月19日。排行前45名的研究人員，將會獲邀參加明年於微軟華盛頓總部舉行的實體駭客活動（Onsite Hacking Event）。</p> <p>微軟安全回應中心（MSRC）工程副總裁Tom Gallagher表示，此活動不僅是為了尋找漏洞，也能強化MSRC、產品團隊及外部研究人員之間的關係，提高安全門檻。另一方面，微軟亦鼓勵開發人員在漏洞緩解後，於微軟的支持下透過部落格、播客或影片公開討論其發現。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166099"><strong>【11月19日】中國駭客鎖定想趁機撿便宜的黑色星期五購物者發動網釣攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166067"><strong>【11月18日】中國駭客利用FortiClient零時差漏洞存取VPN，入侵受害組織網路環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166052"><strong>【11月15日】中國駭客APT41打造惡意軟體框架，鎖定政治人物與記者的電腦而來</strong></a></p> </div></div></div>
2024/11/20 16:40作者周峻佑https://www.ithome.com.tw/news/166119
勒索軟體Helldown藉由兆勤防火牆弱點入侵受害組織，攻擊Windows電腦及VMware虛擬化平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年10月兆勤（Zyxel Networks）<a href="https://www.ithome.com.tw/news/165487">針對旗下USG Flex、ATP系列防火牆用戶提出警告</a>，他們在歐洲、中東、非洲地區（EMEA）偵測到鎖定該廠牌設備的攻擊行動，近期有資安業者指出，很可能與勒索軟體攻擊有關。</p> <p>資安業者Sekoia針對<a href="https://blog.sekoia.io/helldown-ransomware-an-overview-of-this-emerging-threat/">近期出現的勒索軟體Helldown提出警告</a>，這些駭客最早從8月5日出現活動，截至11月7日，攻擊者聲稱有31家企業組織受害，這些大部分是中小企業，多半位於美國，部分位於歐洲。值得留意的是，這些駭客也將兆勤的歐洲分公司（Zyxel Europe）列於受害者名單。</p> <p>而對於這些駭客攻擊的標的，原本主要是針對Windows電腦而來，但到了10月底，這些駭客進一步打造Linux版變種，用於攻擊VMware ESXi虛擬化平臺，使得該勒索軟體破壞範圍更為廣泛。</p> <p>研究人員對於勒索軟體程式進行分析，指出Windows版勒索軟體是以外流的LockBit 3.0建置工具開發而成，能在執行檔案前進行一系列作業，以便加密工作順利執行。</p> <p>其中包括透過指令碼終止特定處理程序，並刪除磁碟區陰影複製（Shadow Copy）的備份資料，並檢查是否取得特殊權限，以便後續將檔案加密並留下勒索訊息，最終清理作案痕跡，將指令碼及勒索軟體刪除，然後將電腦關機。</p> <p>至於Linux版變種，研究人員指出，駭客並未如同Windows版採用高度混淆處理，以及防除錯等反分析的機制。再加上這種針對虛擬化平臺的勒索軟體當中，通常會具備的終止虛擬機器（VM）功能，並未實際提供，因此他們推測，Linux版勒索軟體仍在開發的階段。</p> <p>針對攻擊者鎖定兆勤防火牆做為入侵受害組織的管道，研究人員提出他們掌握的線索。首先，他們在11月4日確認至少有8家企業受害，其中一家在8月受害的企業，當時利用該廠牌防火牆架設IPSec VPN，另有2家企業在遇害後，換成其他品牌的防火牆。</p> <p>他們也提及9月下旬兆勤論壇有許多防火牆用戶通報，搭配5.38版韌體的防火牆遭到入侵，駭客植入名為zzz1.conf的檔案，並建立名為OKSDW82A的帳號。研究人員針對上述CONF檔案進行分析，指出他們經過Base64編碼解密，取得針對MIPS架構系統打造的ELF執行檔，研究人員推測，此檔案可能與兆勤歐洲分公司遭入侵有關。</p> <p>再加上10月9日兆勤發布的資安公告當中，提及有駭客針對該廠牌防火牆發動攻擊，藉由特定弱點建立SUPPOR87、SUPPOR817，或是VPN的使用者帳號，根據上述資訊，研究人員認為勒索軟體Helldown入侵受害組織網路環境的管道，就是利用兆勤防火牆的弱點而得逞。</p> <p>他們提及另一家資安業者Truesec經手的勒索軟體Helldown攻擊事件回應，駭客利用兆勤防火牆漏洞入侵，並指出其戰術、手法、流程（TTP），與他們從兆勤論壇用戶得知的一致。攻擊者利用SSL VPN存取名為OKSDW82A的帳號，濫用網域控制器的LDAP同步機制取得相關帳密，並進一步偵察，直到遭到EDR系統攔截才被中斷。</p> <p>針對上述情況我們也向兆勤進行確認，在截稿之前尚未得到回應。</p> </div></div></div>
2024/11/20 16:21作者周峻佑https://www.ithome.com.tw/news/166117
微軟發表整合AI解決方案的Azure AI Foundry與兩款客製化晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於周二（11/19）展開的Microsoft Ignite大會上，發表了整合企業AI解決方案的<a href="https://techcommunity.microsoft.com/blog/AIPlatformBlog/ignite-2024-announcing-the-azure-ai-foundry-sdk/4295862" target="_blank">Azure AI Foundry</a>，以及首個客製化的資料處理單元<a href="https://techcommunity.microsoft.com/blog/azureinfrastructureblog/enhancing-infrastructure-efficiency-with-azure-boost-dpu/4298901" target="_blank">Azure Boost DPU</a>，與安全晶片<a href="https://techcommunity.microsoft.com/blog/azureinfrastructureblog/securing-azure-infrastructure-with-silicon-innovation/4293834" target="_blank">Azure Integrated HSM</a>。</p> <p>Azure AI Foundry是個統一的微軟AI平臺，它的兩大元件是原名為Azure AI Studio的Azure AI Foundry入口，以及Azure AI Foundry SDK，目的是協助開發人員於企業級平臺上建置生成式AI應用，使用尖端的AI工具及機器學習模型來探索、建置與部署，以及與團隊共同完成應用程式開發的整個生命周期。</p> <p>根據微軟對該平臺的<a href="https://learn.microsoft.com/en-us/azure/ai-studio/what-is-ai-studio" target="_blank">說明</a>，當使用造訪Azure AI Foundry入口網站時，所有的路徑都是朝向一個專案，它是個易於管理的容器，也是協作、組織，以及連結各式服務與資料的關鍵，在使用者建立一個專案以前，可先探索來自不同供應商的各種模型，測試各種AI服務與能力，一旦確定所要的模型及服務，便可由AI Foundry引導專案的建置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1120-Azure%20AI%20Foundry-ai-studio-home(1).png" style="width: 600px;" /></p> <p>Azure AI Foundry SDK則是一個用來簡化AI程式開發的完整工具鏈，它整合了多種模型、資料來源及AI服務，可支援從模型選擇到應用部署的全部開發過程。例如它支援使用者選擇微軟或其它第三方模型；內建聊天機器人、生成式AI應用及內容推薦系統等範本；具備可整合模型、資料或服務的工具；並支援跨開發、測試及生產環境的應用開發。</p> <p>Azure AI Foundry SDK目前支援Python與C#程式語言，並準備支援JavaScript，現在已可存取OpenAI的各種模型，提供一致的推論介面，亦可使用Azure AI Search及Azure AI Agent Service等服務。</p> <p>近年來微軟積極投入客製化晶片的開發，<a href="https://www.ithome.com.tw/news/159884" target="_blank">去年11月</a>首次發表了專為AI而設計的Azure Maia AI，以及雲端運算處理器Azure Cobalt CPU，至於Azure Boost DPU則是微軟首款自製的資料處理單元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1120-Azure%20Boost%20DPU%20v2.png" style="width: 600px;" /></p> <p>微軟解釋，傳統CPU雖然能夠處理通用運算任務，但在面對數百萬網路連結的高度複雜資料流時，表現卻不盡理想，而GPU儘管專注於AI運算，卻不適用於資料密集的工作負載，因而設計專為資料處理進行優化的Azure Boost DPU，它整合了多個伺服器元件，提供高效能與低功耗的解決方案。相較於傳統CPU， Azure Boost DPU處理雲端儲存任務時，只使用1/3的電力，卻可達到4倍的效能。</p> <p>Azure Integrated HSM（Hardware Security Module，硬體安全模組）則是專為保護雲端資料及應用所設計的安全晶片。微軟說明，傳統雲端HSM通常仰賴網路連結，可能造成存取金鑰時的延遲問題，也降低了自遠端HSM釋出金鑰的安全性，而Azure Integrated HSM則是採用本地化設計，將HSM直接整合至伺服器環境，徹底解決上述的限制。</p> <p>微軟亦計畫自明年便要把Azure Integrated HSM安裝在Azure資料中心的每一臺新伺服器上，以同時強化對一般及機密任務的保護。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> </div></div></div>
2024/11/20 16:37作者陳曉莉https://www.ithome.com.tw/news/166118
臺灣IBM揭露在臺GAI發展策略，要將輕量級GAI模型Granite帶進企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="_block_oewjo_1" data-node-id="eec3fd38-839f-406f-88ff-e912671e3bbf" data-node-type="paragraph" data-pm-slice="0 0 []">在公雲巨頭的GAI技術競賽中，IBM今年5月終於發表了自家開源LLM模型Granite，到了十月時更在年度產品大會上推出3.0新版模型。臺灣IBM最近也開始在臺介紹Granite新版模型，要搶攻企業GAI落地部署的需求，更揭露了在臺發展GAI的兩大策略。</p> <p class="_block_oewjo_1" data-node-id="1e1e2b5a-c819-4711-9756-2c01226419be" data-node-type="paragraph">臺灣IBM技術長莊士逸表示，剛發表的Granite 3.0新版是一款輕量級的基礎模型，包括了1B、2B、3B和8B參數量的版本，採用可商用的Apache 2.0開源授權，可以部署到企業內部環境，也能在硬體資源較低的環境中執行，來瞄準企業落地部署的需求。3.0版可以支援12種語言，包括中文，臺灣IBM內部也正在進行繁體中文的測試。</p> <p class="_block_oewjo_1" data-node-id="64753134-0fea-41fc-817e-bc187da1793b" data-node-type="paragraph">Granite 3.0包括了一系列的模型，包括了大型語言模型，還有強化輸入和回應內容過濾的安全護欄模型，另外還有推測解碼模型、程式碼開發模型、時間序列模型和地理空間模型，目前先釋出的是大型語言模型系列和安全護欄系列模型，陸續再推出其餘模型。企業可到Hugging Face等網站自行下載，也能在IBM的AI開發平臺Watsonx或Google Vertex AI等平臺上選用。</p> <p class="_block_oewjo_1" data-node-id="04089f4d-59b9-485b-9ae3-713dffb38c6a" data-node-type="paragraph">除了多語言支援，3.0版也開始提供企業打造代理人需要的工具調用能力，目前可支援Function Call功能，在LLM模型呼叫外部的第三方函式庫。後續將釋出3.1版，預計可支援到128Ｋ上下文長度的資料輸入輸出，還會強化程式碼生成的能力，以及代理人應用的邏輯推理功能。IBM在Watsonx平臺上提供了調度工具，可用來組合LLM模型和第三方元件，打造AI代理人應用。</p> <p class="_block_oewjo_1" data-node-id="44462487-025b-4a13-98c0-23548b31512e" data-node-type="paragraph">臺灣IBM透露，明年要發布的Granite 3.2版將是一款多模態LLM，將釋出Granite-3.0-vision-instruct模型，可理解圖像，後續還會推出支援聲音的模型版本。</p> <p class="_block_oewjo_1" data-node-id="6ecad48a-4e23-4644-a2d8-97754bea154b" data-node-type="paragraph">莊士逸表示，IBM已經用Granite模型打造多款內部的AI代理人，包括了後勤HR、後勤IT HelpDesk、後勤IT系統申請、後勤ERP、員工績效管理、銷售、業務績效、合作夥伴管理等名為Ask系列的AI代理人助手。例如他就曾收到員工績效管理AI助理的通知，提醒他有名員工表現優異，GAI彙整了市場上同類職務的薪水水準供他參考，詢問莊士逸是否要幫這名員工加薪，若他按下同意鍵，就會自動完成相關調薪申請，自動實施到這名員工下個月的薪水匯款。這是由GAI彙整外部市場資訊，結合內部流程自動化工具而成的AI代理人應用。</p> <p class="_block_oewjo_1" data-node-id="5d094964-0b57-480c-a8bf-167d14bbd22c" data-node-type="paragraph">IBM在年度大會上也公布了最新的產品戰略架構，底層是各種基礎架構和混合雲平臺產品，包括了OpenShift、企業級Linux、Ansible，再上一層則是Data與AI層，以Watsonx平臺服務，還有多款AI助理服務和安全護欄服務。莊士逸表示，新版戰略架構有一項改變是，在資料與AI層之上，IBM將自動化工具產品獨立成一個平臺層，可用來和AI工具整合。最上面一層則是各項顧問服務與合夥夥伴。</p> <p class="_block_oewjo_1" data-node-id="5d094964-0b57-480c-a8bf-167d14bbd22c" data-node-type="paragraph"><img alt="" src="https://s4.itho.me/sites/default/files/images/IBM%E7%94%A2%E5%93%81%E6%9E%B6%E6%A7%8B%E5%9C%96%E6%96%B0%E7%89%88-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90IBM.jpg" /></p> <p class="_block_oewjo_1" data-node-id="d1f57a5d-b313-474b-9b6f-d62577295592" data-node-type="paragraph">臺灣IBM的客戶工程團隊從2023年至今，完成了數百個GAI客戶PoC案例，已有高科技製造和金融的GAI應用實例，例如有金融業者用GAI來搜尋內部知識文件，或是用來整理語音會議的文字記錄。也有高科技業者用RAG作法來檢核ESG報告的內容，是否符合不同ESG標準的各項要求。</p> <p class="_block_oewjo_1" data-node-id="e51a404d-b5a7-445d-9bec-9ba245889963" data-node-type="paragraph">莊士逸表示，臺灣IBM的GAI發展策略，主要分為兩大作法，一是針對有意採用GAI但需求還不明確的企業，IBM將扮演顧問來協助，找來有大型企業客戶經驗的資料科學家，協助這些企業評估和試驗LLM模型的應用。另一項作法則瞄準需求明確的企業，提供設計思考工作坊，也以4～8周時間打造出目標應用場景的PoC驗證，或是最小可行產品（MVP），供企業評估是否正式導入。</p> <p class="_block_oewjo_1" data-node-id="e51a404d-b5a7-445d-9bec-9ba245889963" data-node-type="paragraph">他觀察，過去一年，臺灣企業大多處於試驗、尋找使用情境或是驗證RAG作法，接下來會開始往IT自動化、程式碼模型開發、智慧助理等方向發展。不過，目前採落地部署的案例多以LLaMA模型為主，臺灣IBM未來也計畫引薦自家Granite模型給臺灣企業。</p> </div></div></div>
2024/11/20 16:59作者王宏仁https://www.ithome.com.tw/news/166120
Meta挖角Salesforce AI執行長Clara Shih領軍新的AI部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Salesforce AI執行長Clara Shih今天（11/20）於她的LinkedIn上<a href="https://www.linkedin.com/posts/clarashih_the-past-four-years-at-salesforce-have-activity-7264709174326886401-rZVL/" target="_blank">透露</a>，她已經加入了Meta並領導一個新的商業AI（Business AI）部門。Meta則已向TechCrunch<a href="https://techcrunch.com/2024/11/19/meta-hires-salesforces-ceo-of-ai-clara-shih-to-lead-new-business-ai-group/" target="_blank">證實</a>了此事。</p> <p>現年42歲的Shih來自香港，牛津大學畢業後先進入Google，於2006年加入Salesforce，在2009年與同學共同創辦了專為金融及保險業設計的社交媒體管理平臺Hearsay Social，在2021年重新回到Salesforce，之後成為Salesforce AI執行長，曾被Gold House評為最具影響力的亞洲人之一。</p> <p>Shih表示，新Business AI產品部門的願景，是讓每個商家都能夠存取尖端的AI應用，讓它們於AI時代取得成功並找到自己的未來。</p> <p>Meta副總裁John Hegeman向TechCrunch表示，最近的AI進展替企業帶來了重要的機會，包括提高效率及改善提供給客戶的經驗，由Shih帶領的新產品團隊將協助Meta實現此一願景。</p> <p>在AI領域崇尚開源的Meta主要開發Llama模型，最新版為今年9月釋出的Llama 3.2，有90B、11B、3B及1B等不同規格的版本，並免費支援許多商業用例。Meta還推出基於Llama模型的聊天機器人Meta AI，並將它整合到WhatsApp、Instagram、Messenger及Facebook等平臺，支援文字、圖像及語音輸入，可生成文字、圖像與動畫，已支援英文、法文、德文等及22個國家，但尚未支援中文與臺灣市場。</p> </div></div></div>
2024/11/20 15:31作者陳曉莉https://www.ithome.com.tw/news/166116
微軟發動獎金提高50~100%的駭客任務Zero Day Quest
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周二（11/19）<a href="https://msrc.microsoft.com/blog/2024/11/securing-ai-and-cloud-with-the-zero-day-quest/" target="_blank">發表駭客任務競賽</a>，邀請全球安全研究人員提交有關微軟AI、Microsoft Azure、Microsoft Identity、M365、Microsoft Dynamics 365及Power Platform等服務的安全漏洞研究，並提供50%~100%增幅的漏洞獎勵，活動期間為11月19日至明年的1月19日。前45名的研究人員還會獲邀參加，明年於微軟華盛頓總部舉行的實體駭客活動（Onsite Hacking Event）。</p> <p>其中，所有有關AI安全漏洞的獎金都是加倍的，涵蓋推論操縱、模型操縱或是推論資訊揭露之各種等級的安全漏洞，例如提交高品質的重大漏洞報告可得到的獎金，從原本的1.5萬美元增加到3萬美元，除了AI之外，其它類別的獎金也都有50%的漲幅。</p> <p>微軟也列出此一研究挑戰賽中被禁止的行為，包括存取不完全屬於自己的資料；在研究伺服器端執行漏洞時，不得超出概念性驗證範圍；不得執行任何類型的服務阻斷測試；禁止會產生大流量的自動化測試；使用服務時不得違反微軟服務條款。此外，該活動僅限於微軟線上服務的技術漏洞，因此微軟也禁止研究人員企圖對他們（包括微軟員工）進行網路釣魚等社交工程的攻擊行動。</p> <p>在Zero Day Quest競賽中，所獲得的獎金位於前45名的安全研究人員，將可獲邀參與微軟於明年舉行的Onsite Hacking Event現場活動，得以參與Onsite Hacking Event的，還包括2024年在Azure、Dynamics 和Office抓漏排行榜上前10名的研究人員。微軟將提供價值5,000美元的往返交通及5晚飯店。</p> <p>微軟安全回應中心（Microsoft Security Response Center，MSRC）工程副總裁Tom Gallagher表示，此一活動不僅僅是為了尋找漏洞，也能強化MSRC、產品團隊及外部研究人員之間的關係，提高安全門檻。另一方面，微軟亦鼓勵開發人員在漏洞緩解後，於微軟的支持下透過部落格、播客或影片公開討論其發現。</p> </div></div></div>
2024/11/20 14:40作者陳曉莉https://www.ithome.com.tw/news/166111
台灣大哥大發表多項企業AI應用方案，展示可聽懂國、台、英、客語言混用的在地化ASR模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著LLM大語言模型、AI語音辨識技術發展愈來愈成熟，看準企業導入AI應用需求增加，台灣大哥大結合LLM、ASR語音辨識、知識庫GenAIus等技術，發表AI語音客服、AI文字客服、客服助手、AI Agent員工助理等多種企業AI應用。</p> <p>台灣大哥大資訊長蔡祈岩表示，資訊科技從1940年進入計算機時代，隨著摩爾定律的發展，每隔20年進入新的周期，1960年進入企業商用時代，1980年進入個人電腦時代，需2000年到2020年為行動裝置時代，展望2020年到2040年為AI的時代，可以稱為它時代。</p> <p>蔡祈岩引用一份調查，全球約45%的CEO認為AI將衝擊他們的產業，但在台灣的比例更高，約7成6的CEO認為AI衝擊所處產業，顯示台灣企業有更高的危機感及焦慮，然而，可能因台灣CIO們沒有提供比較可行的方案，因此相較於全球約有3成2企業已導入這波AI應用，但是台灣的企業在過去一年採用的比例只有14%，代表台灣企業對採用AI感到焦慮，找不到切入點。</p> <p>因此，台灣大哥大看準這方面需求，結合LLM模型、AI語音、AI智庫等技術，發展多項企業AI應用，對外宣示這些應用現在就能使用。</p> <p><span style="color:#B22222;"><strong>展示華、台、客、英混用的語音辨識開源模型</strong></span></p> <p>在各種AI應用中，AI語音辨識技術是基礎，他們展示了號稱國內首個可辨識華語、台語、英語、客語4種本地常用語言混用的ASR開源模型，該模型順應民眾的說話特性，例如可能混合華語、台語或客語，依國人在對話裡常見混用語言的特色，針對華、台、英、客語混用進行AI語音辨識訓練。</p> <p>例如民眾撥打電話到醫院服務專線，混合國語、台語或客語詢問住院訊息，AI客服通過ASR模型正確辨識各種語言，理解民眾的意圖、尋找合適的答案，並通過TTS語音生成技術，準確回覆民眾的問題。</p> <p>ASR產業聯盟協同計畫主持人陳又碩表示，台灣人在生活中常混合使用華、台語，或是華語及客語，一般語音辨識難以處理，因此特別蒐集台語、客語的語音資料，共蒐集1.8萬小時的語音資料，經過清理及標註後訓練而成。台灣必需要有在地化的語音辨識模型，可以理解「歐兜賣」、「沙必思」等台灣在地生活用語，企業應用方面，可將專用術語、企業內專有的語言建立詞庫，讓生成式AI能夠理解特定商務場景的用語。</p> <p>目前台灣大哥大的客服已採用這套在地化語音辨識模型，辨識率超過96%。基於資訊安全考量，該模型除了可在私有雲部署，也可以在企業內落地部署，並且開源語音辨識模型供外界使用。</p> <p><span style="color:#B22222;"><strong>建立AI智庫</strong></span></p> <p>在AI的知識庫方面，台灣大哥大也展示AI智庫GenAIus，可分為知識庫管理、AI應答能力兩個模組。</p> <p>知識庫管理可以管理企業內各種知識庫，根據既有知識庫新增知識點，例如新增「Google Play代繳」的知識點，拆分為Google Play及代繳，再通過演算法找出知識庫中與其相關的內容，像是App Store、帳單代繳、小額付費等，後續再延伸其他內容，建立且豐富化新的「Google Play代繳」知識點。</p> <p>台灣大哥大資訊群資料分析技術處副處長蔡宜秀指出，知識庫管理可以舉一反三，點石成金，企業可將手邊累積的許多客服語音對話資料，透過ASR語音辨識模型，將語音轉為文字，再使用LLM整理對話資料，來自動生成知識點。</p> <p>至於AI應答，可根據客戶的問題需求，通過多輪對話方式，引導客戶解決問題或申辦服務，由於客戶所提出的需求可能來自不同管道，例如文字客服或語音客服，AI應答甚至可依照不同管道提供適合的應答方式，文字客服以多輪對話解決客戶的問題，語音客服則無法像文字客服那樣多輪對話，簡單扼要的語音應答，或是直接發送服務申請簡訊給客戶。</p> <p><strong><span style="color:#B22222;">發展AI客服、員工AI Agent代理人</span></strong></p> <p>基於LLM、ASR語音辨識、TTS語音生成、AI智庫等基礎，發展出相關的AI應用，像是AI語音客服、AI文字客服、客服助手、AI Agent員工助理等等。</p> <p>在這些AI應用中，AI客服運用在地化的LLM、ASR語音辨識模型、TTS、NLP等技術，可辨識中、英、台、客等不同語言，結合台灣大哥大每天超過百萬語言資料庫及1,500席客服，可依企業不同情境需求客製化調整AI客服。</p> <p>在醫療場景中，當民眾撥打醫院語音客服專線，以國、台語混合方式詢問住院資訊，AI語音客服可以理解不同語言的意思，查詢相關資訊後應對民眾的問題。</p> <p>至於AI Agent員工助理，為員工個人的AI代理人的概念，主要協助員工解決工作上的瑣事，提高工作效率，以員工請假為例，過去員工請假如果遇到疑義，需要自己查找企業內的請假規定，透過AI Agent，員工能以自然語言向AI Agent詢問企業內相關請假規定，或是進一步詢問個人特休剩餘時數，甚至指定某天請假，由AI Agent代理人向出勤系統提出假單，並回覆員工假單編號等等。</p> <p>台灣大哥大指出，AI Agent可和企業ERP、HR、QA等系統介接，根據資料來主動發出會議提醒、相關人的生日祝福等資訊，員工可以要求AI Agent根據生日人的背景資訊來推薦生日禮物，AI Agent也能辨識圖片，例如維護人員上傳圖片報修、查詢問題，AI Agent可以根據報修圖片或問題來提供相關維修資訊或建議。</p> </div></div></div>
2024/11/20 15:15作者蘇文彬https://www.ithome.com.tw/news/166112
Intel處理器的Mac電腦遭到鎖定，駭客利用零時差漏洞從事攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月19日蘋果針對旗下電腦、行動裝置、虛擬實境裝置發布<a href="https://support.apple.com/en-us/121752">macOS Sequoia 15.1.1</a>、iOS <a href="https://support.apple.com/en-us/121752">18.1.1</a>與<a href="https://support.apple.com/en-us/121754">17.7.2</a>、iPadOS 18.1.1與17.7.2、<a href="https://support.apple.com/en-us/121755">visionOS 2.1.1</a>，並對於macOS Ventura與Sonoma用戶提供瀏覽器更新<a href="https://support.apple.com/en-us/121756">Safari 18.1.1</a>，目的是為了修補2項已被用於實際攻擊行動的零時差漏洞。</p> <p>這些漏洞是CVE-2024-44308、CVE-2024-44309，分別存在於JavaScriptCore框架，以及瀏覽器排板引擎WebKit。一旦電腦或行動裝置處理惡意的網頁內容，就有可能觸發上述漏洞，從而導致攻擊者能夠執行任意程式碼，或是發動跨網站指令碼（XSS）攻擊。</p> <p>而對於漏洞被用於攻擊的情況，蘋果透露有人在搭配Intel處理器的Mac電腦上，積極利用這些漏洞，但除此之外並未多做說明。</p> </div></div></div>
2024/11/20 11:24作者周峻佑https://www.ithome.com.tw/news/166107
GitHub命令列存在高風險漏洞，攻擊者有機會遠端執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月15日GitHub開發團隊指出，該程式碼儲存庫<a href="https://github.com/cli/cli/security/advisories/GHSA-p2h2-3vg9-4p87">存在高風險漏洞CVE-2024-52308</a>，這項漏洞出現於其命令列介面（CLI），一旦遭到利用，在使用者連線到惡意的Codespace SSH伺服器，並下達gh codespace ssh或gh codespace logs命令的情況下，攻擊者就有機會遠端執行任意程式碼（RCE），CVSS風險評為8.1，GitHub發布2.62.0版修補。</p> <p>對於這項弱點發生的原因，GitHub表示起因是命令列介面在執行命令的過程當中，處理SSH連線導致。當開發人員連線到遠端的Codespace，通常會使用執行開發容器（devcontainer）的SSH伺服器來存取，而這類容器的建置，通常是使用預設的映象檔來進行。</p> <p>一旦外部的惡意開發容器在SSH伺服器注入，並透過相關參數帶入SSH連線詳細資料，此時攻擊者就有機會藉由gh codespace ssh或gh codespace logs命令，於使用者的工作站電腦執行任意程式碼，甚至有可能藉此存取系統上使用者的資料。</p> <p>對此，開發團隊發布新版修補上述漏洞，若是無法及時更新，IT人員應該在導入開發容器映像檔的過程特別留意，最好採用受信任來源的映像檔。</p> </div></div></div>
2024/11/20 12:21作者周峻佑https://www.ithome.com.tw/news/166109
最強超級電腦換人當，臺灣7座超級電腦入榜
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2024年下半全球五百大超級電腦名單<a href="https://top500.org/news/el-capitan-achieves-top-spot-frontier-and-aurora-follow-behind/" target="_blank">公布</a>，美國國家勞倫斯利佛摩國家實驗室（Lawrence Livermore National Laboratory，LLNL）的El Capitan以浮點運算效能HPL評分1.742 Exaflop/s成為全球第一快。而臺灣也有7座系統擠入500大。</p> <p>El Capitan來自HPE Cray系統，搭載4萬多顆AMD第4代EPYC核心處理器及AMD MI300A加速器，CPU和GPU總共11,039,616核心，每瓦運算效能也達到58.89 Gigaflop/s，使其在Green500超級電腦也躋身第18名。</p> <p>被El Capitan超越的是前任冠軍，橡樹嶺國家實驗室（Oak Ridge National Laboratory）的Frontier，HPL評分達1.3 Exaflop/s居次。第三名則是隷屬於美國阿貢國家實驗室（Argonne National Laboratory）的Aurora，HPL score為1.012 Exaflop/s。這使得今年前三名都突破了1 Exaflop/s大關。3座超級電腦都是使用AMD處理器的HPE Cray系統，且同屬美國能源部。</p> <p>微軟Azure雲端系統Eagle，以561.2 petaflop/s排名第4，也是雲端超級電腦全球最快。其餘5到10名分別位於義大利、日本、瑞士、芬蘭及美國。</p> <p>臺灣今年也有7座超級電腦進入500大。擠入百大的有二家，正崴電腦與日本優必達合資的友崴超級運算雲端系統Ublink（HPL Score: 45 petaflop/s）居31名，以及57名的Nvidia的Taipei 1（22.3 petaflop/s）。</p> <p>氣象局有二座PRIMEHPC系統入榜，分居110名和194名（HPL Score: 11.16 petaflop/s和5.6 petaflop/s）。國家高速運算中心也有二座入榜，分別是134名的臺灣杉二號Taiwania 2（9 petaflop/s）以及293名的Forerunner 1（3.53 petaflop/s）。鴻海超級AI運算中心1號以HPL score 6.12 petaflop/s，名列183名。</p> <p>以國家而言，前500大系統中，美國以172座系統居冠，其次為中國（62）、德國（41）、日本（34）居次。</p> </div></div></div>
2024/11/20 13:01作者林妍溱https://www.ithome.com.tw/news/166110
駭客兜售福特逾4萬名顧客資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名駭客在地下論壇兜售據稱竊自美國汽車大廠福特（Ford）的4萬多筆顧客資料。福特汽車聲稱資料是第三方業者流出，公司系統未被駭。</p> <p>一名為EnergyWeaponUser的駭客本周在地下論壇張貼公告，聲稱於11月初連同另一知名駭客IntelBroker駭入福特的內部系統。他們取得4.4萬筆客戶資料，包括姓名、住家地址、購買產品型號、帳號、銷售數量等，以及國別等。駭客並張貼了少部份資料證實資料的真實性。雖然顧客資料不少，但駭客僅僅要求約合2美元的論壇點數。</p> <p>媒體<a href="https://www.cyberdaily.au/security/11367-ford-motor-company-allegedly-breached-by-threat-actors" target="_blank">報導</a>外流資料的客戶分布於美國、中國、西班牙、辛巴威、莫三比克等國。</p> <p>雖然駭客都貼出車主資料，但在經過二天的調查後，福特汽車<a href="https://www.cyberdaily.au/security/11378-exclusive-ford-says-systems-not-breached-data-exfiltrated-from-third-party" target="_blank">周三說</a>，外洩資料源自一家第三方供應商，僅波及一小批公開的經銷商公司地址。福特聲稱公司系統及客戶資料都沒有被駭。</p> <p>疑似涉案的IntelBroker今年不久前，已接連公開兜售多家知名公司或機構的資料，包括<a href="https://www.ithome.com.tw/news/163551" target="_blank">AMD</a>、<a href="https://www.ithome.com.tw/news/165858" target="_blank">Nokia</a>和<a href="https://www.ithome.com.tw/news/165635" target="_blank">思科</a>、歐洲刑警組織（Europol）、五角大厦、電信業者T-Mobile、英國家具裝修零售業者Home Depot等。其中思科表示，外流的資料來自對外公開的資源網站，而非公司系統。Nokia的資料也是自外包商系統流出。</p> </div></div></div>
2024/11/20 11:47作者林妍溱https://www.ithome.com.tw/news/166108
微軟公布Windows 365 Link精簡終端，主打安全、易管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Ignite大會上，微軟<a href="https://www.youtube.com/watch?v=BQpNTDgzIn8&t=61s" target="_blank">公布</a>一款精簡型終端裝置Windows 365 Link，強調將Windows 11由雲端串流到用戶端，主打安全、效能及好管理。定價349美元，預計明年上半年上市。</p> <p><a href="https://www.microsoft.com/en-us/windows-365/link" target="_blank">Windows 365 Link</a>主打輕巧、安全，主機為無風扇裝置，大小為12 cm x 12cm x 3cm，和Mac Mini差不多，外接螢幕、鍵盤及滑鼠、喇叭、攝影機使用。其設計核心是整合推出數年的雲端桌機<a href="https://www.ithome.com.tw/news/145637" target="_blank">Windows 365概念</a>，將Windows 11由微軟Azure雲端串流到用戶端，應用程式以雲端VM（Cloud PC）執行，如Microsoft Teams視訊或Microsoft 365生產力應用，主機具小型硬碟，但資料及檔案則設計以儲存在微軟雲端為主。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1120-Windows%20365%20Link%20(2).png" style="width: 350px;" /></p> <p>Windows 365 Link定位為特定商務應用，像是客服中心、銀行櫃臺、實驗室等單一應用、共享裝置的場景，主打高效能、安全及容易管理等效益。首先，它可在數秒間連上雲端，提供快速回應效能及高畫質使用體驗。用戶需以Microsoft Entra ID（即Azure Active Directory）以無密碼驗證登入使用，也沒有管理員身份的使用者，可降低PC的攻擊表面（attack surface）。Windows 365 Link連同其他Windows PC都可以由Microsoft Intune統一管理。微軟並強調Windows 365 Link機身超過50%使用回收材質打造，使用紙質包材，符合節能標準，而且耐用、可維修，亦符合現今永續性要求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1120-Windows%20365%20Link%20sign%20in%20screen.png" style="width: 500px;" /></p> <p>The Verge<a href="https://www.theverge.com/2024/11/19/24299789/microsoft-windows-365-link-device-cloud-pc" target="_blank">引述</a>微軟Windows暨Surface部門主管Pavan Davuluri指出，Windows 365 Link目的是在裝置本身儘可能透明化，將設定、登入、交班或轉移等工作步驟減至最少。</p> <p>Windows 365 Link定價349美元。但HP、Dell、或聯想，也都有價格相當或更便宜的類似產品。</p> <p>基於其適用的商務應用場景，Windows 365 Link支援的OS版本包含Windows 365 Enterprise、Frontline、Business，但目前不支援Windows 365 Government。而作為精簡型PC，Windows 365 Link也不支援對硬體要求較多的虛擬化應用如Azure Virtual Desktop及Microsoft Dev Box。</p> <p>Windows 365 Link預計2025年上半推出，但現在預覽版可在數個國家提供，包括美國、加拿大、英國、德國、日本、澳洲、紐西蘭等地。但用戶需連繫微軟業務。</p> <p>至於規格，這臺PC本身搭載一款Intel處理器、8GB RAM及內建64GB儲存空間。連外接口包含3個USB-A 3.2傳輸埠、1個USB-C 3.2埠，以及DisplayPort和HDMI、乙太網路連接埠。它並支援Wi-Fi 6E、Bluetooth 5.3無線網路標準。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> </div></div></div>
2024/11/20 10:35作者林妍溱https://www.ithome.com.tw/news/166104
AWS Lambda SnapStart支援Python、.NET，函式啟動時間低於1秒
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布<a href="https://aws.amazon.com/tw/blogs/aws/aws-lambda-snapstart-for-python-and-net-functions-is-now-generally-available/">Lambda SnapStart技術開始支援Python與.NET函式</a>，以大幅提升啟動效能。該功能可透過快取和重用函式初始化後的記憶體和磁碟狀態，將函式啟動時間從數秒縮短至低於1秒，並允許開發者在多數情況下不需要修改程式碼，即可從SnapStart功能獲益。</p> <p>AWS Lambda最早在2022年的時候推出SnapStart技術，最初僅支援Java，適用於Spring Boot、Quarkus和Micronaut等框架，用於解決JVM啟動過程的效能瓶頸。而這次的更新擴展至Python與.NET，不僅進一步降低初始化延遲，也提升了這兩種語言在Lambda平臺的執行效率和穩定性。</p> <p>根據AWS釋出的資料，Python函式在載入大型相依套件或是進行機器學習模型推理時，通常需要耗費數秒鐘的初始化時間，載入較大型的機器學習模型甚至可能長達數十秒，而SnapStart則能有效縮短這段等待時間。對於.NET來說，技術重點則在於解決JIT（Just-in-Time）編譯帶來的變動延遲，讓函式效能表現更加一致。</p> <p>SnapStart的運作原理在於首次函式啟動時，將初始化完成的執行環境進行快照，將其加密並快取，後續啟動時直接重用快照內容，而不需要再次執行初始化過程。這種機制特別適合需要頻繁啟動的函式或是低延遲應用場景，諸如即時資料分析、高頻率API呼叫，甚至是進行即時機器學習推理。</p> <p>此外，AWS也針對Python和.NET SnapStart提供Runtime Hooks功能，讓開發者在快照建立前後執行特定邏輯，進一步強化應用的靈活性和控制性。開發者可以在快照建立前進行資料初始化，或在快照恢復後更新動態配置，使得應用程式能夠更好地使用外部資源。</p> <p>AWS Lambda SnapStart已經在多個AWS區域支援Python與.NET函式，包括美國東部、歐洲和亞太地區。AWS提醒用戶，啟用SnapStart的函式會產生額外的快取和還原成本，可以定期清理未使用的版本降低相關費用。</p> </div></div></div>
2024/11/20 09:28作者李建興https://www.ithome.com.tw/news/166100
Mistral AI更新聊天機器人Le Chat，採用全新多模態模型Pixtral Large並支援網路搜尋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國AI業者Mistral AI周一（11/18）發表了全新的多模態模型<a href="https://mistral.ai/news/pixtral-large/" target="_blank">Pixtral Large</a>，以及採用Pixtral Large的新一代聊天機器人<a href="https://mistral.ai/news/mistral-chat/" target="_blank">Le Chat</a>，它能理解文件與圖像，得以生成影像，還能替使用者搜尋網路。</p> <p>Pixtral Large奠基在Mistral AI所開發的大型語言模型Mistral Large上，是個具備1,240億個參數的開放權重多模態模型，除了擁有Mistral Large強大的文字理解能力之外，也能理解文字、圖表與自然圖像。</p> <p>在各種基準測試中，Pixtral Large於評估複雜數學推論的MathVista達到了69.4%，在評估複雜圖表與文件的推論測試ChartQA 與DocVQA，則分別達到88.1%與93.3%，皆凌駕Llama-3.2 90B、GPT-4o與Gemini-1.5 Pro的表現。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1119-Pixtral%20Large%20evals.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Mistral AI</span></span></p> <p>Mistral AI提供兩種授權模式，一是供研究及教育使用的Mistral Research License （MRL），另一則是可供實驗、測試與生產的商用授權Mistral Commercial License（MCL）。</p> <p>Mistral AI還更新其聊天機器人Le Chat，將底層模型從Mistral Large變更為Pixtral Large。新版的Le Chat除了可理解文字、文件與圖像外，也能在Black Forest Labs Flux Pro模型的支援下生成圖像。</p> <p>Mistral AI比較了Le Chat與ChatGPT、Perplexity與Claude等4款聊天機器人，發現Le Chat是唯一一款支援任務代理、文件/圖像分析、圖像生成，以及具備引用資料之網路搜尋功能的免費機器人。Le Chat還擁有新的Canvas，這是一個讓使用者與AI協作的介面，以用來建立文件、簡報、程式碼及模型等，允許使用者直接修改內容而無需重新產生回應。</p> <p>Le Chat現在仍為測試版，已開放外界<a href="https://chat.mistral.ai/chat" target="_blank">免費試用</a>。</p> </div></div></div>
2024/11/20 09:16作者陳曉莉https://www.ithome.com.tw/news/166103
經濟部修法強化零售業者個資保護義務，適用業者擴增6,800家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年微風百貨發生個資外洩的資安事件，有九十萬名會員權益遭到損害，為了打擊詐騙並保護消費者個資，並要求相關零售業者都需負起個資保護的責任，經濟部進行修法，升級零售業者相關的個資保護相關法規。</p> <p>經濟部於2024年11月13日修訂發布《零售業個人資料檔案安全維護管理辦法》，並於11月15日正式生效，本次修訂擴大了該辦法的適用範圍，適用對象從原本的「綜合商品零售業」，擴大適用對象至所有資本額達新臺幣1,000萬元以上，且有招募會員或能取得交易對象個人資料的零售業者。</p> <p>新增擴大適用的對象約6,800家零售業者，較原先690家增加近十倍，涵蓋多家知名品牌如UNIQLO、NET與全國電子等，特許行業或需專門法令規範的業者，例如中藥、西藥、化妝品零售業等，則依其目的事業主管機關制定的相關規範執行，將不在適用範圍之內。</p> <p>而該辦法從13日發布日算起6個月內（2025年5月12日前），受規範業者必須依照該辦法第四條規定，訂定「個人資料檔案安全維護計畫」，落實個人資料檔案的安全維護及管理，業者對於個人資料有加密、備份必要時，或傳輸個人資料時，及以資通系統直接或間接蒐集、處理或利用個人資料時，應實施資料安全管理措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。</p> <h2><strong>修訂法規基礎與擴大適用範圍，強化企業資安責任</strong></h2> <p>根據《個人資料保護法》第27條第3項規定，由零售業的中央目的事業主管機關經濟部訂定《零售業個人資料檔案安全維護管理辦法》，適用各類實體店面或兼營網路銷售的零售業者，但排除由其他中央主管機關管理的行業，例如：康是美藥妝店的中央目的事業主管機關是衛福部，蝦皮或是MoMo網路購物的中央目的事業主管機關則是數位發展部。</p> <p>該辦法第三條明確定義，零售業者為資本額達新台幣1,000萬元以上，且從事會員招募或收集個人資料的公司、有限合夥或商業登記業者。經濟部此次修法，就是為了應對零售行業多元化服務帶來的個資管理挑戰，並防止消費者個資因蒐集或處理不當而遭到洩漏。 </p> <p>回顧過去，經濟部在2023年8月1日已經公布實施《綜合商品零售業個人資料檔案安全維護管理辦法》，適用對象約690家，今年經濟部商業署也依據行政量能進行個資行政檢查的抽查，接受抽查的12家業者都符合相關的個資檔案安全維護計畫。</p> <p>新修訂後的《零售業個人資料檔案安全維護管理辦法》要求符合條件的業者，必須在法規生效後6個月內完成個資安全維護計畫，經濟部商業署也會研擬抽查頻率，若企業對於個資維護不符規定，也會依照《個人資料保護法》規定，第一次開罰2萬元至200萬元，第二次開罰金額提高至15萬元至1500萬元，屆期未改正者，也會按次處罰。經濟部也希望，藉由較高的罰款給予零售業者警示外，更希望可以驅動業者提高法遵意識，積極投入資安建設，有效降低因資安事件帶來的商譽損失。</p> <h2><strong>落實零售業者的加密備份與通報管理機制</strong></h2> <p>經濟部修法時，在該辦法中，也新增多項針對資料加密、備份及安全管理的具體要求。</p> <p>依據修正條文第九條規定，便藉由強化資料加密與備份措施的手段，加強個資保護要求，包括：在蒐集、處理或利用個資時，必須採取加密措施，確保資料在存儲或處理過程中不被竄改或洩露；備份資料時，需對備份內容採取適當的保護機制，避免因設備故障或意外造成資料滅失；以及傳輸個資時，應根據傳輸方式選擇適當的安全措施，例如加密通訊或安全協議，防止資料洩漏。</p> <p>修正條文第十條的規定，則針對使用資通系統蒐集、處理或利用個資的業者，新增一系列資通系統管理的安全升級強化要求。首先，落實帳號與密碼管理，所有資通系統內的帳號需設定認證機制，密碼都需要達到一定的複雜度，並定期更新。</p> <p>其次，在資料呈現時，必須要採用資料隱碼或遮蔽技術，避免敏感資料直接暴露：第三，執行惡意程式檢測與防護，針對資通系統定期執行惡意程式檢測，並確保防毒軟體和防火牆的即時更新；最後，必須監控異常行為，針對資料的存取行為，設置異常偵測與應變機制，並進行定期演練。</p> <p>此外，為了強化消費者保護與市場信任機制，修正條文第十二條也規定，一旦發生個資外洩或其他安全事故，業者需在72小時內通報主管機關，並通知受影響的當事人，提供事件處理及補救措施；若向地方主管機關通報，須同步知會中央主管機關。</p> <p>根據該辦法第十一條與第十四條規定，相關零售業者需定期對員工進行個資保護教育與訓練，確保每位員工了解其責任範圍與相關法令；此外，企業也需設置資料安全稽核人員，定期檢查安全維護計畫的執行情況，並針對缺失進行改善。</p> <p>該辦法第十七條則要求，零售業者必須每年檢視安全維護計畫的合宜性，並根據技術發展或法令變更進行必要修正，確保計畫不斷優化。 </p> <p>此外，若發生個資外洩事件，主管機關（經濟部、直轄市或地方縣市政府）可依《個人資料保護法》第二十二條規定，對相關的零售業者進行行政調查，要求相關人員配合說明或提供證據，並依調查結果採取必要後續措施。</p> <p>經濟部此次修法主要目的是希望提升零售業者對於個資保護的責任和義務，提升零售業者本身的競爭力，不僅增加消費者對品牌的信任度，透過法規監督，也可以降低資安與個資外洩事件發生頻率，打造更安全的零售環境。</p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/11/19 20:53作者黃彥棻https://www.ithome.com.tw/news/166102
老牌本土ERP業者鼎新轉型GAI平臺商，揭露最新AI產品戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瞄準生成式AI浪潮，老牌臺灣ERP廠商鼎新電腦在11月初更名為鼎新數智，要轉型為平臺供應商，今天（11/19)進一步發表了GAI產品戰略和六款新AI助理服務。 </p> <p>鼎新去年就發表了用Azure OpenAI服務打造的METIS數智平臺，推出一款AI助理，可用自然語言方式來彙整跨文件知識、進度追蹤等特定任務。鼎新今天更詳細揭露了如何將GAI技術整合到鼎新ERP產品線的布局。</p> <p>鼎新數智WorkFlow暨ERPII方案中心總經理黃盈彰指出，鼎新AI產品戰略分為三層，最一層是AI模型建置，可提供以產業領域知識預訓練的LLM模型，也可供企業自行微調，及落地部署的軟硬體設備。</p> <p>除了使用微軟的OpenAI服務上的模型，鼎新也以開源商用模型LLaMA的2.5版（也就是Code LLaMA)的 34B參數量版本，最新的LLaMA 3.2版的90B參數量版本為作為基礎模型，用自行搜集的產業領域知識（以製造業為主）、專業術語的素材，微調出一個鼎新大模型，也強化LLaMA繁中語言能力較弱的問題。鼎新PaaS服務所用的模型主要是90B參數量的模型版本，而落地部署設備所用的模型則是34B參數量的版本。</p> <p>接著，鼎新再用LoRA架構的作法，以不同領域知識，訓練出不同領域、功能的小模型，以外掛模型的形式，來搭配鼎新大模型，強化對特定領域的能力。</p> <p> 第二層是應用開發平臺層，提供助理設計工具、外掛程式等，可供企業客制AI應用。第三層則是訂閱式的生成式AI應用服務，先推出6款AI助手服務，包括了知識助理、行政助理、生單助理、設備助理、數智助理和決策助理。</p> <p>黃盈彰表示，他們希望將生成式AI的三項能力，封裝到ERP的核心，包括了訂單生成、文件總結和報表分析能力。例如，AI 數智助理可以快速回應重點數據，像是讀取營運報表和資料庫的數據，提供高階主管或員工想要查詢的關鍵數據，也能生成對比式的表格圖表。</p> <p>或是，另一款訂單生成助手或差旅報銷助手工具，則利用多模態LLM（目前用的是GPT-4o）的圖片理解能力，取代傳統的OCR技術，可以不受限於單據中的欄位格式，取得數據來自動輸入，自動生成訂單或報銷用的申請表單，減少人工輸入的麻煩。而知識助理則是利用了RAG作法來進行跨文件的搜尋，還能兼顧不同職位的存取權限控管。</p> <p>為了提高LLM模型對於結構化數據的讀取能力，鼎新會先將資料庫中的數據，製作成各種不同主題的情報文件，而非讓LLM直接存取資料庫中的數字，再以提示工程指令，讓LLM模型讀取這些情報文件，來回答使用者的問題，例如產能利用率多少，接單是否成長等問題。黃盈彰解釋，這個方法可以提高不少LLM對數據、數字的解讀和分析準確度。</p> <p>黃盈彰解釋，採取微調的基礎模型搭配LoRA架構小模型的作法，企業可以用自己的資料來訓練自己的外掛小模型，來搭配鼎新大模型使用。另外，採取這樣的大小模型搭配作法，日後基礎模型若有新版，只需重新微調基本的鼎新大模型，即可搭配企業原有的外掛小模型來使用。</p> <p>目前，鼎新正在開發一款用生成式AI打造的ERP程式碼助手，整合了鼎新過往開發各產業ERP的知識，已經可以用來檢查ERP程式碼的錯誤，甚至可以分辨出多種業務邏輯的問題，來協助ERP工程師加速開發。鼎新內部ERP產品開發輔助已開始試用這款程式碼助手，日後計畫發展成對外的產品功能。</p> <p>鼎新數智製造事業群臺灣副總裁梅祥雲表示，未來會朝平臺生態圈的方向發展，甚至連手其他軟體開發商，在鼎新的GAI平臺上提供服務。</p> <p> </p> </div></div></div>
2024/11/19 19:24作者王宏仁https://www.ithome.com.tw/news/166101
【資安日報】11月19日，中國駭客鎖定想趁機撿便宜的黑色星期五購物者發動網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過雙11購物潮，緊接著由歐美國家發起的黑色星期五（Black Friday）也即將於月底展開，但在此同時，駭客盯上想要藉此買到大幅折扣商品的購物者，企圖偷取他們的信用卡與詳細個資。</p> <p>威脅情報業者EclecticIQ揭露中國駭客發起的網釣攻擊行動，就是典型的例子。駭客聲稱商品只需2折就能買到，一旦購物者依照指示下單，就會將自己的資料傳送給駭客。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166095"><strong style="font-size: 22px;">中國駭客SilkSpecter以黑色星期五為誘餌，發動網釣攻擊，騙取信用卡與個資</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SilkSpecter3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/SilkSpecter3.png" style="width: 300px; float: right;" /></a></p> <p>今年的黑色星期五（Black Friday）即將於11月29日到來，各家電商購物網站無不磨拳擦掌，打算藉此衝高業績。但在此同時，駭客也伺機而動，企圖從中騙取信用卡及個資。</p> <p>威脅情報業者EclecticIQ自10月上旬，發現針對歐洲及美國的網路購物者而來的網路釣魚攻擊，駭客針對尋找黑色星期五折扣的購物者而來，假借提供折扣商品為誘餌，從而引誘受害者交出持卡人資料（Cardholder Data，CHD）、敏感身分驗證資料（Sensitive Authentication Data，SAD），以及個人可識別資訊（PII）。</p> <p>而對於攻擊者的身分，研究人員指出他們來自中國，並稱呼這些駭客為SilkSpecter，研判是基於經濟利益發起這波攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/166096"><strong style="font-size: 22px;">中國駭客入侵美國多家電信業者，T-Mobile傳出也受害</strong></a></p> <p>華爾街日報先後於9月底至10月初報導，中國駭客Salt Typhoon成功入侵美國多家網際網路服務供應商（ISP），目的是滲透美國政府的竊聽系統並收集情報，並指出受害的電信業者包含AT&T、Verizon、Lumen，如今傳出有其他電信業者遇害的情況。</p> <p>11月15日華爾街日報引述知情人士的說法，T-Mobile的網路環境也在這波攻擊當中遭到入侵，與中國軍情單位有關的駭客發動長達數個月的間諜行動，鎖定高價值的情資標的，對於行動電話通訊進行監控。但究竟駭客取得那些資訊，目前仍不明朗。</p> <p>對此，T-Mobile的發言人表示，他們與同業及相關執法單位合作，緊密監控這波廣泛針對電信產業的攻擊行動，根據他們掌握的情況，該公司的系統及資料尚未受到影響，客戶資訊也並未出現受到影響的跡象。</p> <p><a href="https://www.ithome.com.tw/news/166098"><strong style="font-size: 22px;">9月揭露的VMware vCenter重大漏洞快修補！已出現被用於攻擊的情形</strong></a></p> <p>今年9月博通公告VMware vCenter伺服器的記憶體緩衝區堆疊溢位漏洞CVE-2024-38812、權限提升漏洞CVE-2024-38813，本週這份公告內容更新，當中提到有人實際將這些漏洞用於攻擊行動。</p> <p>值得留意的是，博通曾在10月表示，他們最初提供的更新軟體，對於CVE-2024-38812的修補並不完全，已套用9月更新程式的IT人員，仍須下載最新版軟體，才能獲得更完善的修補。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-bitwarden-ads-on-facebook-push-info-stealing-chrome-extension/">駭客透過臉書推送冒牌Bitwarden密碼管理工具的廣告，意圖散布惡意Chrome外掛</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-ai-video-generators-infect-windows-macos-with-">竊資軟體透過假AI影片產生工具散布，鎖定Windows與macOS用戶而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/phishing-emails-increasingly-use-svg-attachments-to-evade-detection/">釣魚郵件利用SVG圖檔迴避偵測的情況日趨頻繁</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166075"><strong style="font-size: 22px;">Palo Alto Networks修補已出現攻擊行動的防火牆零時差漏洞</strong></a></p> <p>11月8日資安業者Palo Alto Networks針對防火牆用戶發布相當不尋常的公告，編號為PAN-SA-2024-0015，表示他們得知有人掌握一項防火牆漏洞，呼籲用戶應限縮管理介面的存取管道因應，如今該公司對此情況提出進一步說明。</p> <p>11月18日該公司更新PAN-SA-2024-0015公告，指出此為網頁管理介面的身分驗證旁路漏洞，登記的通用漏洞揭露編號為CVE-2024-0012，而且，已出現一定數量的漏洞利用情形。未經身分驗證的攻擊者存取網頁管理介面，就有機會得到防火牆作業系統PAN-OS的管理員權限，並執行管理行為，像是竄改防火牆組態，或是利用其他漏洞（如同日公布的CVE-2024-9474）進行權限提升。</p> <p>而對於利用漏洞的攻擊行動，Palo Alto Networks將其命名為Operation Lunar Peek，並指出有一定數量的管理介面遭到駭客鎖定，相關攻擊來自已知的代理伺服器及隧道IP位址，研判對方利用匿名VPN服務從事相關活動。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/librenms-vulnerability-cve-2024-51092-mitigating-the-risk-of-server-compromise/">網路流量監控系統LibreNMS存在重大漏洞，攻擊者有機會執行作業系統層級命令</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-52308-github-cli-vulnerability-could-allow-remote-code-execution/">GitHub命令列存在高風險漏洞，攻擊者有機會藉此遠端執行任意程式碼</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.cna.com.tw/news/afe/202411130389.aspx"><strong style="font-size: 22px;">針對零售業個資保護範圍擴大，經濟部納管6800家業者</strong></a></p> <p>為防堵店家洩露個資的情況，經濟部去年8月針對百貨超商等綜合零售業者，根據個資法訂定「綜合商品零售業個人資料檔案安全維護管理辦法」，針對資本額達到新臺幣1千萬元以上、並有招募會員或可取得交易對象個人資料的綜合商品零售業者，在頒布施行的6個月內，訂定個人資料檔案安全維護計畫。如今經濟部調整這項管理辦法，擴大列管的範圍。</p> <p>11月13日經濟部發布「零售業個人資料檔案安全維護管理辦法」，將原本僅針對「綜合商品零售業者」的個資保護要求，擴及所有資本額達到1千萬元、並有招募會員或可取得交易對象個人資料的所有零售業者，估計約有6,800家零售業者，包含服飾業者Uniqlo、NET，以及全國電子，皆為納管對象。</p> <p><a href="https://www.soft-world.com/News/NewsDetail?Sn=20356"><strong style="font-size: 22px;">臺灣遊戲業者智冠導入FIDO身分驗證機制，上線3個月使用量突破百萬人次</strong></a></p> <p>今年7月臺灣遊戲業者智冠取得FIDO認證，他們在11月14日至17日舉行的2024資訊月活動裡，公布導入之後的使用情形。</p> <p>該公司表示，他們從7月下旬正式導入FIDO，截至10月18日透過生物辨識進行身分驗證的次數已經突破100萬人次。他們也指出在導入FIDO後，客訴案件減少、用戶滿意度顯著提升、系統運作效率提高。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166067"><strong>【11月18日】中國駭客利用FortiClient零時差漏洞存取VPN，入侵受害組織網路環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166052"><strong>【11月15日】中國駭客APT41打造惡意軟體框架，鎖定政治人物與記者的電腦而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166020"><strong>【11月14日】NTLM雜湊洩露欺騙漏洞5個月前被用於攻擊烏克蘭企業組織</strong></a></p> </div></div></div>
2024/11/19 16:58作者周峻佑https://www.ithome.com.tw/news/166099
中國駭客入侵美國多家電信業者，T-Mobile傳出也受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華爾街日報先後於9月底至10月初報導，<a href="https://www.ithome.com.tw/news/165354">中國駭客Salt Typhoon成功入侵美國多家網際網路服務供應商（ISP）</a>，目的是滲透美國政府的竊聽系統並收集情報，並指出受害的電信業者包含AT&T、Verizon、Lumen，如今傳出有其他電信業者遇害的情況。</p> <p>11月15日華爾街日報引述知情人士的說法，<a href="https://www.wsj.com/politics/national-security/t-mobile-hacked-in-massive-chinese-breach-of-telecom-networks-4b2d7f92">T-Mobile的網路環境也在這波攻擊當中遭到入侵</a>，與中國軍情單位有關的駭客發動長達數個月的間諜行動，鎖定高價值的情資標的，對於行動電話通訊進行監控。但究竟駭客取得那些資訊，目前仍不明朗。</p> <p>對此，T-Mobile的發言人表示，他們與同業及相關執法單位合作，緊密監控這波廣泛針對電信產業的攻擊行動，根據他們掌握的情況，該公司的系統及資料尚未受到影響，客戶資訊也並未出現受到影響的跡象。</p> <p>T-Mobile也成為這波攻擊的受害公司，擴大了這起事故的受害範圍。部分美國官員認為，此資安事故的範圍及嚴重性都超越以往，是極為災難性的網路攻擊事故。</p> <p>上週美國聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）發布聲明，<a href="https://www.ithome.com.tw/news/165750">證實有多家電信業者受害</a>，並提及攻擊者的意圖，就是針對特定參與政府及政治事務人士，滲透私人通訊內容。但究竟駭客如何入侵這些電信業者的網路環境？FBI與CISA並未提及。而在這次華爾街日報的報導當中，他們取得了進一步的消息。</p> <p>知情人士透露，駭客使用相當複雜的方法滲透美國電信基礎設施，其中一種便是利用思科路由器的漏洞，調查人員認為，對方仰賴人工智慧及機器學習，來從事網路間諜活動，並在部分基礎設施活動長達8個月以上的時間。</p> <p>值得留意的是，這波攻擊行動受害的不光是美國電信業者，知情人士提及，有其他國家的電信業者也遭到入侵，這些電信業者所在的地區，包含與美國有情資往來的國家。</p> </div></div></div>
2024/11/19 16:09作者周峻佑https://www.ithome.com.tw/news/166096
9月揭露的VMware vCenter重大漏洞快修補！已出現被用於攻擊的情形
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年9月博通公告VMware vCenter伺服器的<a href="https://www.ithome.com.tw/news/165072">記憶體緩衝區堆疊溢位漏洞CVE-2024-38812、權限提升漏洞CVE-2024-38813</a>，本週<a href="http://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24968">這份公告</a>內容更新，當中提到有人實際將這些漏洞用於攻擊行動。</p> <p>這兩個漏洞影響vCenter Server、Cloud Foundation，其中又以CVE-2024-38812較為嚴重，CVSS風險為9.8（滿分10分）；另一個漏洞CVE-2024-38813為高風險層級，CVSS風險為7.5。這些漏洞之所以被發現，是來自6月底中國舉行的漏洞挖掘競賽矩陣杯（Matrix Cup），由當時參賽隊伍TZL找到這些弱點。</p> <p>值得留意的是，博通曾在10月表示，他們最初提供的更新軟體，對於CVE-2024-38812的修補並不完全，已套用9月更新程式的IT人員，仍須下載最新版軟體，才能獲得更完善的修補。</p> </div></div></div>
2024/11/19 16:51作者周峻佑https://www.ithome.com.tw/news/166098
中國駭客SilkSpecter以黑色星期五為誘餌，發動網釣攻擊，騙取信用卡與個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年的黑色星期五（Black Friday）即將於11月29日到來，各家電商購物網站無不磨拳擦掌，打算藉此衝高業績。但在此同時，駭客也伺機而動，企圖從中騙取信用卡及個資。</p> <p>威脅情報業者EclecticIQ自10月上旬，<a href="https://blog.eclecticiq.com/inside-intelligence-center-financially-motivated-chinese-threat-actor-silkspecter-targeting-black-friday-shoppers">發現針對歐洲及美國的網路購物者而來的網路釣魚攻擊</a>，駭客針對尋找黑色星期五折扣的購物者而來，假借提供折扣商品為誘餌，從而引誘受害者交出持卡人資料（Cardholder Data，CHD）、敏感身分驗證資料（Sensitive Authentication Data，SAD），以及個人可識別資訊（PII）。</p> <p>而對於攻擊者的身分，研究人員指出他們來自中國，並稱呼這些駭客為SilkSpecter，研判是基於經濟利益發起這波攻擊行動。</p> <p>根據相關調查，這些駭客使用了中國SaaS平臺「oemapps」架設讓人難以察覺異狀的假電子商務網站，並運用top、shop、store、vip等名稱的頂級網域名稱（TLD），來假冒實際的電商網站來行騙。</p> <p>這些駭客宣稱提供黑色星期五購物2折優惠，讓消費者以為有獨家優惠而上當。一旦購物者存取這些釣魚網頁，駭客使用的網釣套件便會透過OpenReplay、TikTok Pixel、Meta Pixel等多種追蹤器，捕捉購物者的一舉一動。</p> <p>究竟網釣套件會收集那些資料？其中包含瀏覽器的中繼資料，像是IP位址、地理位置、瀏覽器類型、作業系統資訊等。攻擊者利用這些資訊，並透過Google翻譯的API，自動將釣魚網頁翻譯成受害者使用的語言，而讓購物者更覺得貼近他們實際採買的電商網站。</p> <p>附帶一提的是，這些網站右下角還會顯示Trust Store的圖案，讓購物者以為是在安全的電商網站進行交易。</p> <p>當購物者下單，輸入相關的個資，網站就會透過合法的交易處理平臺Stripe傳送購物資料，但實際上，這些資料也會同步送到攻擊者控制的伺服器。研究人員特別提及駭客要求在完成購物前必須輸入電話號碼，很有可能是為了進一步利用竊得的信用卡及借記卡資料，對受害者詐欺，引誘他們提供更多敏感資料，像是多因素驗證（MFA）驗證碼，或是網路銀行的帳密等。</p> <p>那麼攻擊者如何尋找下手目標，研究人員推測，很有可能是透過社群網站，或是搜尋引擎最佳化下毒（SEO Poisoning）等管道，來散布相關的URL。</p> </div></div></div>
2024/11/19 15:09作者周峻佑https://www.ithome.com.tw/news/166095
川普提名Brendan Carr為FCC主席
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>剛當選的美國總統川普（Donald Trump）周日（11/17）<a href="https://truthsocial.com/@realDonaldTrump/posts/113501214659806466" target="_blank">提名</a>Brendan Carr擔任美國聯邦通訊委員會（FCC）主席，這被外界視為是川普重塑美國網路監管政策的重要一步。</p> <p>Carr自2017年以來便是FCC的5名委員之一，他以反對網路中立（Net Neutrality）並支持自由市場而聞名，認為市場力量足以解決網路優先權問題，無需過度干預，立場與川普一致，還被川普譽為言論自由的戰士。網路中立政策主要要求ISP業者應該平等對待網路上的資料，將ISP業者納入公用事業規範，建立FCC對寬頻供應商的管轄權。</p> <p>此外，Carr也曾公開<a href="https://x.com/BrendanCarrFCC/status/1857419658812440927" target="_blank">批評</a>蘋果、微軟、Google及Meta等大型科技業者，指責它們藉由支持NewsGuard等事實查核工具來限制言論自由，還說必須拆解此一審查壟斷聯盟，才能恢復美國人的言論自由權利。</p> <p>川普在上一任的任期中<a href="https://www.ithome.com.tw/news/123822" target="_blank">廢除</a>了美國的網路中立政策，之後的拜登（Joe Biden）上任後再將其<a href="https://www.ithome.com.tw/news/162556" target="_blank">恢復</a>，而今該政策可能隨著川普的重新當選再度面臨被推翻的命運。</p> <p>美國總統所提名的FCC主席必須再經過參議院的表決才能確認，但<a href="https://x.com/BrendanCarrFCC/status/1858311955024400868" target="_blank">Carr</a>已經向川普表達感謝之意。</p> </div></div></div>
2024/11/19 16:19作者陳曉莉https://www.ithome.com.tw/news/166097
Palo Alto Networks修補已出現攻擊行動的防火牆零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月8日資安業者Palo Alto Networks針對防火牆用戶發布相當不尋常的公告，編號為PAN-SA-2024-0015，<a href="https://www.ithome.com.tw/news/165950">表示他們得知有人掌握一項防火牆漏洞</a>，呼籲用戶應限縮管理介面的存取管道因應，如今該公司對此情況提出進一步說明。</p> <p>11月18日該公司更新PAN-SA-2024-0015公告，<a href="https://security.paloaltonetworks.com/CVE-2024-0012">指出此為網頁管理介面的身分驗證旁路漏洞</a>，登記的通用漏洞揭露編號為CVE-2024-0012，而且，已出現一定數量的漏洞利用情形。未經身分驗證的攻擊者存取網頁管理介面，就有機會得到防火牆作業系統PAN-OS的管理員權限，並執行管理行為，像是竄改防火牆組態，或是利用其他漏洞（如同日公布的CVE-2024-9474）進行權限提升。</p> <p>這項漏洞影響10.2、11.0、11.1、11.2版PAN-OS作業系統，CVSS風險評為9.3分，該公司認為嚴重性為重大層級，並建議以最為緊急的優先程度進行處理。不過，10.1版PAN-OS，以及雲端版次世代防火牆（Cloud NGFW）、SASE系統Prisma Access不受影響。</p> <p>值得一提的是，Palo Alto Networks也特別提及，限縮存取管理介面的管道能夠大幅降低這項漏洞帶來的危險，原因是攻擊必須透過特定IP位址進行。若是IT人員限制僅能透過受信任的內部IP位址來存取管理介面，CVSS風險大幅降至5.9分。</p> <p>另一個也被用於攻擊行動的漏洞是<a href="https://security.paloaltonetworks.com/CVE-2024-9474">CVE-2024-9474</a>，此漏洞也同樣出現於PAN-OS網頁管理介面，屬於權限提升漏洞，攻擊者在已經取得管理員權限的情況下，就有機會藉此以root權限操作防火牆，CVSS風險為6.9分，影響搭配10.1、10.2、11.0、11.1、11.2版PAN-OS作業系統的防火牆設備。</p> <p>雖然這項漏洞的危險程度僅評為中度，但由於惡意管理員能藉此竄改防火牆，進而影響系統的完整性，再加上已出現實際的利用行動，Palo Alto Networks還是認為，IT人員要以最高優先順序處理這項漏洞。</p> <p>該公司也提及，若是能限縮能夠存取管理介面的來源IP位址，能夠降低該漏洞造成的資安風險，此時的CVSS風險評分將降為5.9。</p> <p>而對於利用上述漏洞的攻擊行動，Palo Alto Networks將其命名為Operation Lunar Peek，並指出有<a href="https://unit42.paloaltonetworks.com/cve-2024-0012-cve-2024-9474/">一定數量的管理介面遭到駭客鎖定</a>，相關攻擊來自已知的代理伺服器及隧道IP位址，研判對方利用匿名VPN服務從事相關活動。</p> <p>一旦攻擊者成功利用漏洞，就有可能在防火牆執行命令，或是植入惡意程式及Web Shell。</p> </div></div></div>
2024/11/19 12:09作者周峻佑https://www.ithome.com.tw/news/166075
Nvidia公布CAE軟體專用的即時物理運動數位分身方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia本周<a href="https://nvidianews.nvidia.com/news/nvidia-announces-omniverse-real-time-physics-digital-twins-with-industry-software-leaders" target="_blank">發表</a>Omniverse Blueprint方案，能為電腦輔助工程（computer-aided engineering，CAE）軟體增加即時物理（real time physics）運動能力，提供製造業設計過程的數位分身（digital twin）方案。</p> <p>Nvidia本周在SC24大會上宣布這項方案，CAE軟體開發商將可使用Nvidia Omniverse Blueprint產生具即時及互動能力的數位分身，像是虛擬風洞應用，以提供給航太、汽車、製造、能源等其他工業客戶。</p> <p>Omniverse Blueprint是一個參考工作流程套件，是為了提供即時物理數位分身需要的二種基礎能力，一是即時物理解題（physics solver）的效能，二是大規模資料集的即時視覺化。這方案整合了Nvidia CUDA-X AI及HPC函式庫、用於訓練和部署流場（flow fields）AI模型的Modulus物理AI框架、以及以RTX繪圖卡為基礎的3D應用開發平臺Omniverse API，Nvidia指出，能使工程模擬及視覺化速度提升1,200倍。</p> <p>Omniverse Blueprint的首批應用之一是計算流體力學（CFD）。傳統工程工作流程，從物理模擬、視覺化、到設計優化，整個過程可能耗時幾個星期到數個月。而工程模擬軟體業者Ansys在其德州進階運算中心，以其Fluent應用的系統，執行一個25億單元的超大型汽車模擬運算，在傳統x86 CPU 2048核伺服器上，完成CFD運算需耗時一個月，而在使用320顆 Nvidia GH200 Grace Hopper Superchip平臺上，則縮短為6小時，隔天就能完成CFD分析。</p> <p>雲端業者Luminary Cloud則使用Omniverse Blueprint製作虛擬風洞。該公司以Nivida Modulus模型為基礎，開發新的模擬AI模型，根據CFD solver生成的訓練資料學習氣流場和汽車幾何關係，即時模擬空氣動力流，並以Omniverse API視覺化。</p> <p>目前其他CAE軟體商包括Altair、Beyond Math、Cadence、Hexagon、Neural Concept、Siemens、SimScale和Trane Technologies，也正在試用評估將Omniverse Blueprint整合到其系統環境中。</p> </div></div></div>
2024/11/19 12:19作者林妍溱https://www.ithome.com.tw/news/166076
Exchange Server修補程式造成系統停止運作，微軟暫停發送
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於上周釋出的Exchange Server修補程式引發部份系統停止收發信件，迅即遭微軟撤回待日後重發。</p> <p>上周包含在11月Patch Tuesday<a href="https://techcommunity.microsoft.com/discussions/exchange_general/cve-2024-49040-mitigating-a-critical-microsoft-exchange-server-vulnerability/4297113" target="_blank">釋出</a>的Exchange Server安全更新版，是為了解決編號CVE-2024-49040的冒名漏洞，影響Exchange Server 2016及2019。不過在釋出隔天微軟就<a href="https://techcommunity.microsoft.com/blog/exchange/released-november-2024-exchange-server-security-updates/4293125" target="_blank">宣布</a>暫停部署，原因是部份管理員<a href="https://www.reddit.com/r/exchangeserver/comments/1graot8/mail_not_flowing_all_of_the_sudden/" target="_blank">反映</a>，安裝更新後郵件完全暫停收發。</p> <p>微軟<a href="https://techcommunity.microsoft.com/blog/exchange/released-november-2024-exchange-server-security-updates/4293125" target="_blank">解釋</a>，該公司注意到用戶在安裝本更新後，發生傳輸（Transport）規則不時暫停的問題。初步調查顯示，這發生在使用自有Transport或DLP規則的用戶身上。</p> <p>微軟已啟動調查，並在上周暫停經由Windows Update或Microsoft Update發布這個版本的Exchange Server更新，預定之後重新發送新版更新。在此之前，微軟建議出現上述情形的企業移除11月的軟體更新，但未使用Transport或DLP規則，也未發生郵件停擺情形者，微軟說不影響11月安全更新的使用</p> <p>本更新修補的CVE-2024-49040為CVSS 3.1版風險評分7.5的冒名漏洞，能讓攻擊者在惡意郵件中冒用合法寄送者。它是起於郵件傳輸中，Exchange Server對P2 FROM header的驗證不當，使得不符合RFC 5322 header格式的信件也能通過，並以合法郵件的樣貌出現在Microsoft Outlook之中。</p> <p>上周微軟警告，CVE-2024-49040已經發生濫用情形。因此，若企業未使用Transport或DLP規則，也未發生郵件停擺情形者，仍應保留11月安全更新。</p> </div></div></div>
2024/11/19 10:59作者林妍溱https://www.ithome.com.tw/news/166071
Rust基金會正式啟動C++互通計畫，打破語言障礙促進雙向整合
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust基金會正式啟動了強化<a href="https://github.com/rustfoundation/interop-initiative/blob/main/problem-statement.md">C++互通計畫</a>，目的在於加強兩種系統語言之間的互通性，以支援雙語言的應用程式開發。該計畫希望透過技術改進和社群協作，讓開發人員在同一專案中，更自由地選擇使用Rust或C++，並減少因為操作限制所產生的開發負擔。</p> <p>C++是發展歷史長久的系統語言，其足夠成熟且具有良好的資源管理能力，長期被應用於嵌入式系統和高效能運算等用例。而Rust則因其記憶體安全，以及對並行運算支援等特性為人所知，成為實作高效能且減少未定義行為的選擇。</p> <p>但是隨著產業對安全性和效能的共同要求，混合兩者使用成為系統穩定性和開發效率的重要策略之一，但是因為當前C++與Rust的互通性技術還不夠成熟，無法使兩者良好整合。Rust基金會認為，互通性瓶頸使得現有C++系統無法順利整合Rust，同時也限制Rust程式碼在C++既有框架中的靈活應用。為此，Rust基金會運用各組織捐獻的資源，啟動C++互通計畫，希望在短期內改善現有工具，並在長期發展上深化語言層面的支援，同時促進雙方社群的合作。</p> <p>短期計畫將針對目前市場上被廣泛使用的互通工具進行強化，包括cxx、bindgen與cbindgen，這三個專案將成為短期計畫的核心。bindgen功能是讓Rust直接呼叫C函式，cbindgen工具則反過來讓C程式可以呼叫Rust函式，而cxx則是目前C++和Rust互通的主力工具。</p> <p>Rust基金會表示，雖然這些工具一定程度上解決了互通性問題，但是卻沒辦法處理更進階的需求，像是C++中複雜的類型系統和特殊功能。C++互通計畫短期目標要解決這些工具的效能和安全性，降低開發者在Rust與C++間呼叫函式和傳遞資料的困難度。Rust基金會將動員組織人力和資源，優先解決一些因為缺乏負責人或是合作，而導致長期停滯的技術問題。</p> <p>長期策略方面，計畫會從根本提升兩個語言的操作基礎，這牽涉到語言設計、編譯器的支援，以及標準函式庫的變更。Rust基金會正在與C++標準委員會建立更緊密的合作關係，針對更高層次的問題進行討論，以找到雙方皆認可的解決方案。</p> <p>這些問題例如是否能夠建立更豐富的介面層，以支援兩個語言間的類型轉換和資源管理，降低資料丟失的風險。由於這類的基礎設施議題需要廣泛的專業知識和支援，基金會將招集社群和專案團隊的主要成員共同參與，以加速推動發展過程。</p> <p>Rust基金會強調C++互通計畫社群合作的重要性。當初Rust被設計為C++的替代選項，但是現在基金會認為，兩個語言的角色應該是互補而非競爭。透過在標準委員會層級的交流與合作，可使開發者同時受惠於Rust的安全性和C++的效能。</p> </div></div></div>
2024/11/19 08:33作者李建興https://www.ithome.com.tw/news/166065
NetApp提供1U高密度物件儲存設備，可搭12臺60TB QLC SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/netappstoragegrid_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.netapp.com/newsroom/press-releases/news-rel-20230207-701929/">去年2月</a>NetApp發表<a href="https://www.ithome.com.tw/review/155754">AFF C系列</a>的NAS快閃儲存系統，搭配QLC快閃記憶體的固態儲存裝置，鎖定大容量的資料儲存應用需求市場，時隔3個月之後，他們宣布推出ASA A系列的SAN快閃儲存系統的同時，也發表物件儲存系統軟體<a href="https://www.ithome.com.tw/tags/storagegrid">StorageGRID</a>的新版本（11.7），以及本篇報導的主角：採用全快閃儲存組態的整合設備機型StorageGRID SGF6112。</p> <p>相較於過往StorageGRID硬體設備，這款機型命名的字首多了F，代表Flash快閃記憶體，採用1U尺寸的機箱，能安裝12臺2.5吋NVMe固態硬碟，並且運用軟體RAID 5的組態（2組5+1叢集），提供單機（節點）層級的物件儲存資料備援能力，兼具高效能、高密度，以及價位考量，滿足小型資料擷取作業的物件儲存用途。</p> <p>一開始推出時，SGF6112可搭配1.9 TB、3.8 TB、15.3 TB容量的固態硬碟，並選用支援自我加密硬碟（SED）規格，或非SED類型的固態硬碟，能因應快速成長的全快閃物件儲存環境建置需求，像是人工智慧、機器學習、資料分析類型的工作負載，以及資料湖，</p> <p>對比NetApp先前推出的<a href="https://docs.netapp.com/us-en/storagegrid-116/sg6000/sgf6024-overview.html#sgf6024-components">StorageGRID全快閃儲存設備SGF6024</a>，搭配1U尺寸的SG6000-CN運算控制器，以及2U尺寸的EF570儲存陣列（內建兩個EF570控制器與24臺固態硬碟），SGF6112不需要仰賴EF系列搭配的專屬儲存裝置與控制器，由StorageGRID軟體負責本機硬碟防護，也就是上述的軟體RAID 5組態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/StorageGRID Appliance Models-2024-04.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/StorageGRID%20Appliance%20Models-2024-04.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-02-VishnuVardhan_0-1708026602268.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-02-VishnuVardhan_0-1708026602268.jpg" style="width: 600px;" /></a></p> <p>根據<a href="https://docs.netapp.com/us-en/storagegrid-117/installconfig/hardware-description-sg6100.html#sgf6112-front-view">NetApp公布的文件</a>指出，SGF6112在StorageGRID系統主要扮演儲存節點的角色，可用於混合網格環境——結合設備型儲存節點，以及虛擬（基於軟體而成的）儲存節點。</p> <p>就架構而言，SGF6112包含12臺NVMe固態硬碟、整合的運算控制器與儲存控制器、簡化儲存節點部署與設定的軟體安裝程式StorageGRID Appliance Installer、協助監控與診斷運算控制器硬體的基板控制器（BMC），以及4個10GbE/25GbE網路埠，提供StorageGRID網格系統與個人端存取的網路。而在此處揭露的產品照片與技術規格來看，還可看出NetApp在此搭配的伺服器硬體，應該是雲達的1U2路機型。</p> <p><a href="https://s4.itho.me/sites/default/files/images/sgf6112_front_with_ssds.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/sgf6112_front_with_ssds.png" style="width: 600px;" /></a></p> <p>到了<a href="https://community.netapp.com/t5/Tech-ONTAP-Blogs/Introducing-StorageGRID-11-8/ba-p/450762">今年2月，StorageGRID軟體發布11.8版</a>，支援QLC固態硬碟，NetApp也提及SGF6112搭配StorageGRID軟體11.7版，已針對搭配非NVMe固態硬碟的StorageGRID設備機型，像是SG5760、SG5712、 SG6060、SG6024，增添註冊加密金鑰管理員（onboard encryption key manager）的功能，SGF6112已整合外部的金鑰管理系統（KMS），支援Thales的解決方案，而在這時SGF6112新增本機金鑰管理員的功能，可用於自我加密硬碟（SED），若企業想採用外部KMS，可搭配StorageGRID新支援的另一款產品HashiCorp Vault。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SGF6112-Grid Manager-11_8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SGF6112-Grid%20Manager-11_8.jpg" style="width: 600px;" /></a></p> <p>3個月後，NetApp主打5款StorageGRID設備新機型，強調這些產品能強化非結構資料儲存的價值，以及降低總持有成本，SGF6112正是其中之一，並開始提供搭配30 TB容量QLC固態硬碟的選項，能在實現具有市場競爭優勢的單位儲存成本之餘，達到3倍的效能增長，而且因為採用高密度的大容量固態硬碟配置，相較於搭配較低容量的傳統硬碟，能夠大幅減少實體空間占用（降至五分之一），耗電量最高可節省70％（其餘新設機型為SG6160、SG5860、SG5812、SG1100/SG110）。</p> <p>到了11月中，<a href="https://www.netapp.com/blog/storagegrid-updates-11-9-release/">StorageGRID軟體推出11.9版</a>，NetApp也在此時宣布SGF6112支援60 TB容量的QLC固態硬碟，企業現在可開始訂購，預計12月出貨，透過這樣的規格搭配，將硬體設備的單位儲存空間（儲存密度）提升至新的境界，整體提供的物件儲存最大容量，可增加1倍，需要的機架空間與連帶而來的電力與散熱成本，也能大幅降低。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NetApp StorageGRID portfolio-2024-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20StorageGRID%20portfolio-2024-10.jpg" style="width: 600px;" /></a></p> <p>基本上，1臺只占1U機架空間、裝滿12臺61.4 TB容量固態硬碟SGF6112，相當於1臺占4U機架空間、裝滿60臺12 TB容量傳統硬碟的儲存伺服器；若同樣裝滿4U機架空間的配置而言，設置4臺裝滿61.4 TB容量固態硬碟的SGF6112（每臺設備可安裝12臺固態硬碟），原始儲存空間總量可達3 PB。</p> <p>有了SGF6112這樣的儲存設備，企業能將其用於AI/ML預先處理，以及Hadoop大數據處理的基本儲存層架構，也能用於<a href="https://www.ithome.com.tw/tech/127796">NetApp ONTAP的儲存分層功能FabricPool</a>，作為介於熱資料層與冷資料層的暖資料層（warm tier），能將NetApp AFF A系列儲存系統的冷資料，卸載到SGF6112，獲得增加資料儲存密度與降低資料儲存成本的效益。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>NetApp StorageGRID SGF6112</strong></span><br /> ●原廠：NetApp<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U/12Bay<br /> ●可支援的儲存裝置類型與儲存容量：NVMe固態硬碟，1.9 TB、3.8 TB、15.3 TB、30.7 TB、61.4 TB。<br /> TLC快閃記憶體，SED產品提供1.9 TB、3.8 TB、15.3 TB，FIPS產品提供3.8 TB、15.3 TB；<br /> QLC快閃記憶體，非SED產品提供30.7 TB，SED產品提供61.4 TB</p> <p>●處理器：48核心（2.6或2.1GHz、熱設計功耗165瓦處理器，2個）<br /> ●記憶體：256 GB<br /> ●系統啟動儲存裝置：1臺256 GB容量的儲存裝置，存放StorageGRID軟體<br /> ●擴展能力：每節點最大原生容量368.4TB<br /> ●連接介面：4個10/25/40/100GbE</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/11/19 01:16作者李宗翰https://www.ithome.com.tw/review/166029
【資安日報】11月18日，中國駭客利用FortiClient零時差漏洞存取VPN，入侵受害組織網路環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週二資安業者BlackBerry揭露對於間諜軟體LightSpy攻擊行動的最新調查結果，指出攻擊者的身分是中國駭客APT41，並提及另一款模組化的惡意程式框架DeepData Framework，事隔3日，有研究人員透露更多關於該框架的外掛模組功能細節，其中最引起他們注意的是，專門針對FortiClient用戶端程式零時差漏洞而來的外掛元件。</p> <p>值得留意的是，這項漏洞的修補狀態並不明朗，後續發展相當值得觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166066"><strong style="font-size: 22px;">中國駭客BrazenBamboo利用FortiClient零時差漏洞，開發能擷取VPN帳密的惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BrazenBamboo002.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/BrazenBamboo002.png" style="width: 300px; float: right;" /></a>11月12日資安業者BlackBerry指出，他們發現使用iOS間諜軟體LightSpy的攻擊者身分，就是惡名昭彰的中國駭客組織APT41，並指出這些駭客也鎖定政治人物及記者的電腦，打造Windows惡意程式框架DeepData Framework，事隔數日，有其他研究人員公布新的調查結果。</p> <p>資安業者Volexity指出，他們在今年7月，於執行Fortinet的VPN用戶端的Windows電腦裡，察覺零時差漏洞（目前尚未登記CVE編號），此為可導致帳密洩漏的弱點，攻擊者可藉由用戶端FortiClient的處理程序，從記憶體內竊取帳密資料。</p> <p>針對惡意程式的來歷，研究人員認為開發者是中國國家級駭客組織BrazenBamboo，這組人馬與LightSpy、DeepData、DeepPost惡意軟體家族有所聯繫。他們也揭露駭客設計的部分攻擊流程，包含如何利用FortiClient漏洞，以及得逞後透過DeepPost外傳資料的手段。</p> <p><a href="https://www.ithome.com.tw/news/166063"><strong style="font-size: 22px;">已終止支援的GeoVision視訊監控設備存在重大漏洞，傳出被用於攻擊行動</strong></a></p> <p>11月15日台灣電腦網路危機處理暨協調中心（TWCERT/CC）發布資安公告，指出奇偶科技（GeoVision）旗下有多款已停止維護設備存在作業系統層級的命令注入漏洞CVE-2024-11120，而且，他們已經掌握該漏洞已遭到利用的跡象。</p> <p>對於這項漏洞帶來的影響，TWCERT/CC表示涵蓋視訊主機GV-VS11、GV-VS12，車牌辨識系統GV-DSP LPR V3，以及第2、第3代的GVLX 4移動式攝影機。攻擊者一旦利用這項漏洞，就有機會在未經身分驗證的情況下，遠端注入系統指令，並於設備上執行，CVSS風險評為9.8分。由於這些設備奇偶已終止支援，TWCERT/CC建議用戶應汰換設備因應。</p> <p>針對已經出現的漏洞利用情況，通報此事的Shadowserver基金會表示，他們看到該零時差漏洞有殭屍網路廣泛利用，鎖定該廠牌已終止支援（EOL）的設備而來。究竟有多少設備受害，研究人員並未進一步說明。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/chinese-threat-actor-silkspecter-exploits-black-friday-frenzy-with-sophisticated-phishing-campaign/">中國駭客SilkSpecter以黑色星期五為誘餌，發動網釣攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/t-mobile-confirms-it-was-hacked-in-recent-wave-of-telecom-breaches/">中國駭客入侵美國多家電信業者，T-Mobile傳出也受害</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/new-melofee-backdoor-variant-targets-linux-systems-with-advanced-stealth-tactics/">惡意程式Melofee鎖定RHEL作業系統而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/vietnamese-hacker-group-deploys-new-pxa.html">越南駭客鎖定歐洲、亞洲，企圖部署竊資軟體PXA</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166062"><strong style="font-size: 22px;">PostgreSQL發布安全性更新，修補高風險任意程式碼執行漏洞</strong></a></p> <p>11月14日關聯式資料庫軟體平臺PostgreSQL開發團隊發布17.1、16.5、15.9、14.14、13.17，以及12.21版一系列更新，本次修補4項資安漏洞，以及35項程式臭蟲。</p> <p>其中，最值得留意的是被列為高風險層級的CVE-2024-10979，此為PL與Perl環境變數變更造成的弱點，使得攻擊者有機會執行任意程式碼，CVSS風險達到8.8（滿分10分）。</p> <p>這項漏洞發生的原因，在於PL與Perl環境變數出現不正確控制的現象，導致不具特權的資料庫使用者，有機會改變敏感處理程序的環境變數（如PATH）。開發團隊進一步指出，即使攻擊者並未具備資料庫作業系統的使用者身分，還是有可能藉此執行任意程式碼。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166054"><strong style="font-size: 22px;">Python供應鏈信任措施升級，PyPI導入數位見證機制</strong></a></p> <p>Python軟體生態系近期迎來重要功能，PyPI正式啟用數位見證（Digital Attestations），讓套件維護者可以在發布時，加入經過身分驗證的數位簽章，進一步強化軟體供應鏈安全性。此項新措施將可提高套件的可信度並強化整體安全性。根據官方資料，目前已經有超過2萬筆數位見證上傳至PyPI，而這樣大量採用的趨勢，也顯示出業界對軟體安全的高度需求。</p> <p>PyPI推出兩個新工具供使用者方便驗證檔案的數位見證資訊，使用者可以透過新設計的Integrity API程式化存取數位見證，或直接在PyPI網站的新介面，檢視每個檔案的詳細資訊，包含所有相關數位見證。這些工具提供更高的透明度，讓開發者和使用者能夠即時查證所使用套件的安全性。</p> <p>符合條件的專案將能夠自動生成數位見證，不需要額外配置即可啟用。使用GitHub Actions發布並依循可信發布原則，且採用pypa/gh-action-pypi-publish發布的套件，已經自動啟用數位見證。之後PyPI計畫逐步推展至其他可信發布環境，讓更多發布環境均可自動生成見證，擴大數位見證的覆蓋範圍。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.soft-world.com/News/NewsDetail?Sn=20356">臺灣遊戲業者智冠導入FIDO身分驗證機制，上線3個月使用量突破百萬人次</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166052"><strong>【11月15日】中國駭客APT41打造惡意軟體框架，鎖定政治人物與記者的電腦而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166020"><strong>【11月14日】NTLM雜湊洩露欺騙漏洞5個月前被用於攻擊烏克蘭企業組織</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166004"><strong>【11月13日】微軟本月例行更新揭露4項零時差漏洞</strong></a></p> </div></div></div>
2024/11/18 17:34作者周峻佑https://www.ithome.com.tw/news/166067
Fintech周報第256期：英國公布國家支付願景，統一國家的支付政策發展方向；花旗集團宣布推動應用程式上雲計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">11/4~11/15金融科技精選新聞</span></span></h3> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英國金融行為監理署 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 支付政策</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>英國公布國家支付願景，統一國家的支付政策發展方向，指定單一監理機構負責監管支付相關產業</h3> <p>英國政府近期發布了國家支付願景（National Payments Vision,NPV）報告，要藉由一系列措施，包括成立支付願景策略執行委員會，負責對既有的監理制度進行改革，解決支付產業面臨到的監管問題。</p> <p>為什麼英國要訂定國家支付願景？金融科技趨勢發展評論家Chris Skinner在部落格中解釋，過去幾年，印度藉由協調各政府機關，成功推動數位身分系統Aadhaar和國家級支付平臺UPI。八年內，印度將國內的數位支付人口，從35%提升至82%。這項成功經驗轉變了英國政府對支付政策的態度。「英國政府認為，缺乏明確的支付方向，讓他們錯失了不少機會。」Chris Skinner剖析。因此，英國發布的這份國家支付願景報告，其中一項目標，便是要協調各政府機關，建立一致性的支付產業發展方向。</p> <p>這份報告點出了許多措施，其中一項措施，是重新定義了英國支付產業的監理機構。報告中提到，英國過去有2個單位涉及支付產業監管，分別是英國金融行為監理總署（FCA）和支付系統監管機構（PSR），兩個單位經常各自為政，對支付產業的監管態度並不一致。因此，報告指定由英國金融行為監理總署（FCA）負責所有和支付產業相關的監管事項。</p> <p>此外，FCA也將接管開放銀行執行機構（OBIE），負責開放銀行產業相關的監管事項。支付相關的打詐政策，也會由FCA負責主導。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 花旗集團 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>花旗集團宣布推動應用程式上雲計畫，還要運用HPC設備支持業務運作</h3> <p>美國花旗集團近期宣布，將透過雲端技術和AI來支持數位轉型計畫，包括要將多個應用程式遷移至雲端，並運用雲端供應商的AI平臺發展生成式AI應用。花旗銀行表示，他們將運用雲端技術改善工作流程、提供更完善的數位產品。並且，他們還會運用高效能運算（HPC）設備提升運算效率，以每日執行數百萬次運算的效率支持業務市場運作。</p> <p>今年七月，美國聯準會和貨幣監理署認為，花旗集團長年未修復內部的資料品質管理缺陷，違反了過往向監管機構提出的改善承諾，因此對花旗集團開罰共1.36億美元。這項裁罰促使花旗集團更積極推動數位轉型。當時，花旗集團執行長范潔恩（Jane Fraser）在財報會議上針對財閥回應，將繼續投資技術和數位轉型，推動營運現代化，並投入更多資金在資料治理，提升資料品質管理。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 澳新銀行 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 組織變革</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>為提高營運績效，澳洲澳盛銀行展開一系列組織變革，包括設立CDAO</h3> <p>澳洲澳盛銀行近期宣布，為了提高營運績效，內部將進行一系列組織變革，包括要設立首席數據與分析長，同時成立數據與分析部門。</p> <p>澳盛銀行過去曾任命數據長，隨著數據長在2022年離職後，管理數據的責任落到集團風險長身上。如今，新設立的首席數據與分析長要接手管理數據的任務，負責制定數據策略和架構，並帶領數據部門在集團內發展生成式AI應用。澳盛銀行預計在明年3月成立新部門和設立新CDAO。</p> <p>澳盛銀行近期積極佈局生成式AI，包括成立AI中心，要在未來一年內，讓全行3,000名高層領導者接受AI技術培訓。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 東京證交所 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新一代交易系統</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>東京證交所新一代交易系統正式上線，強化了營運韌性能力</h3> <p>日本交易所集團宣布，東京證券交易所已在11月5日上線新一代交易系統Arrowhead4.0。2010年，東證所啟用第一代證券交易系統Arrowhead，後續分別在2015年和2019年進行兩次改版。時隔五年，東證所完成第三次改版，將Arrowhead升級至第四代。這次更版，源自於四年前的一場重大IT事故。</p> <p>2010年10月，東京證券交易所發生系統大當機，中止了一整天東證所有股票的交易服務，是日本股市電子化交易20年來，第一次全日交易停擺。因應這場重大IT事故，東證所在打造第四代Arrowhead時，強化了Arrowhead從故障中恢復的能力，包括提供一個強制停止交易的機制，讓系統能在緊急情況下迅速中斷交易，防止系統和市場受到損害。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 騰訊 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 掌紋支付</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>騰訊宣布掌紋支付正式出海，首先在新加坡落地</h3> <p>近日，中國騰訊宣布自家的掌紋支付正式出海，將透過和Visa合作，首先在新加坡試驗掌紋支付。騰訊表示，他們將透過子公司Tencent SenseTech，在新加坡提供掌紋支付服務。在第一波試驗計畫中，新加坡星展銀行、華僑銀行和大華銀行部分信用卡用戶，將能在新加坡連鎖咖啡店AIchemist使用掌紋支付。用戶在刷掌設備完成資料綁定後，只需讓設備隔空識別手掌，就能完成支付。</p> <p>騰訊旗下的微信支付在去年五月開始在中國境內推出掌紋支付。目前，掌紋支付已應用在中國的零售、餐飲、交通、充電器租借等場景。例如，在廣東，就有超過1,500家便利商店支援掌紋支付。今年九月，微信支付近一步在澳門推出掌紋支付，首先在賭場、度假村，和表演場地等60間店家上線。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 螞蟻國際 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 外匯模型</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>螞蟻國際將數百個模型整合為單一模型，能按小時預測貨幣匯率</h3> <p>螞蟻國際近日表示，為了幫助企業客戶降低交易成本，內部歷經多年開發出一個整合數百個模型的外匯模型，不僅能按日或按週預測貨幣匯率，還可以按小時預測匯率，能在商品出境和入境時進行精準外匯預測。此外，螞蟻國際也表示，為了因應生成式AI技術進步，內部花費兩年開發一個e-KYC工具，能攔截由深度偽造技術進行的網路攻擊。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 加密貨幣 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融監管</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></h3> <h3>美國18個州控告SEC過度監管加密貨幣</h3> <p>美國肯塔基州的檢察總長Russell Coleman近期宣布，將帶領一個由18個州組成的聯盟，控告美國證券交易委員會（SEC）越權，阻止各州執行自己的加密貨幣法令。</p> <p>目前，美國各州政府已針對數位資產建立多元化的監管制度，例如允許以數位資產支付稅金，或是修定涵蓋數位資產的無主財產法令。不過，SEC傾向將加密貨幣歸類為如股票或債券的投資合約，讓加密貨幣成為SEC的監管範圍。這個由18個州組成的聯盟認為，SEC對加密貨幣的認定，超越了國會的授權，無視州政府的監管權限。</p> <h3>其他重要Fintech新聞：</h3> <ul> <li>新加坡金管局計畫明年將永續資料整合平臺Gprnt推往亞洲其他地區</li> <li>南山人壽投入數位轉型，導入容器化平臺和DevOps 流程</li> <li>計畫發展生成式AI，富邦金控邀請33間新創參與對內的創新科技媒合會</li> <li>微軟宣布在臺啟用首座Azure區域級資料中心</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年11月</p> <p></p> </div></div></div>
2024/11/18 18:51作者李昀璇https://www.ithome.com.tw/news/166069
中國駭客BrazenBamboo利用FortiClient零時差漏洞，開發能擷取VPN帳密的惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月12日資安業者BlackBerry指出，他們發現使用iOS間諜軟體LightSpy的攻擊者身分，<a href="https://www.ithome.com.tw/news/166040">就是惡名昭彰的中國駭客組織APT41</a>，並指出這些駭客也鎖定政治人物及記者的電腦，打造Windows惡意程式框架DeepData Framework，事隔數日，有其他研究人員公布新的調查結果。</p> <p>資安業者Volexity指出，<a href="https://www.volexity.com/blog/2024/11/15/brazenbamboo-weaponizes-forticlient-vulnerability-to-steal-vpn-credentials-via-deepdata/">他們在今年7月</a>，於執行Fortinet的VPN用戶端的Windows電腦裡，察覺零時差漏洞（目前尚未登記CVE編號），此為可導致帳密洩漏的弱點，攻擊者可藉由用戶端FortiClient的處理程序，從記憶體內竊取帳密資料。</p> <p>研究人員從分析惡意程式DeepData的過程裡，發現駭客利用這項漏洞竊取FortiClient帳密資料，而這項工作他們是透過其中一項外掛程式達成。研究人員將這項漏洞利用的情況，於7月18日通報，Fortinet於24日確認漏洞，但截至目前為止，研究人員不確定Fortinet是否已經著手修補。</p> <p>針對惡意程式的來歷，研究人員認為開發者是中國國家級駭客組織BrazenBamboo，這組人馬與LightSpy、DeepData、DeepPost惡意軟體家族有所聯繫。他們也揭露駭客設計的部分攻擊流程，包含如何利用FortiClient漏洞，以及得逞後透過DeepPost外傳資料的手段。</p> <p>研究人員注意到DeepData的原因，主要是發現名為deepdata.zip的壓縮檔，當中包含了惡意程式載入工具data.dll、DeepData的虛擬檔案系統（VPS）檔案mod.dat，以及使用說明檔案readme.txt。值得留意的是，攻擊者必須使用命令列才能執行惡意程式。</p> <p>其中，DeepData的核心元件，就在上述的VPS檔案裡面，攻擊者一旦下達命令，惡意程式載入工具就會將存放於VPS的元件解開並執行。而這些核心元件的內容，包含能載入外掛程式的Shell Code、事件記錄收集工具，以及收集微信、飛書等即時通訊平臺資料的程式庫。此外，DeepData也透過偽裝成DirectX元件的程式庫，監控受害電腦的Line、飛書、微信應用程式是否在運作。</p> <p>而對於駭客使用的外掛元件，研究人員一共確認了其中的12個，最特別應該就屬前述提及針對FortiClient而來的工具，他們提及，駭客針對此VPN系統打造外掛的情況，並不常見。</p> <p>附帶一提的是，研究人員發現BrazenBamboo也開發Window版LightSpy，但與macOS版有所不同，Windows版大部分的程式碼都直接在記憶體內執行，而能避免於電腦磁碟留下痕跡。</p> </div></div></div>
2024/11/18 17:24作者周峻佑https://www.ithome.com.tw/news/166066
PostgreSQL發布安全性更新，修補高風險任意程式碼執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月14日關聯式資料庫軟體平臺PostgreSQL開發團隊<a href="https://www.postgresql.org/about/news/postgresql-171-165-159-1414-1317-and-1221-released-2955/">發布17.1、16.5、15.9、14.14、13.17，以及12.21版一系列更新</a>，本次修補4項資安漏洞，以及35項程式臭蟲。</p> <p>其中，最值得留意的是被列為高風險層級的CVE-2024-10979，此為PL與Perl環境變數變更造成的弱點，使得攻擊者有機會執行任意程式碼，CVSS風險達到8.8（滿分10分）。</p> <p>這項漏洞發生的原因，在於PL與Perl環境變數的控制方式不良，導致不具特權的資料庫使用者，有機會改變敏感處理程序的環境變數（如PATH）。開發團隊進一步指出，即使攻擊者並未具備資料庫作業系統的使用者身分，還是有可能藉此執行任意程式碼。</p> <p>這是針對PostgreSQL 12系統進行修補的最後一次更新，開發團隊呼籲用戶盡快規畫更新，將採用此版本的正式環境資料庫升級到較新的已支援版本。</p> </div></div></div>
2024/11/18 14:59作者周峻佑https://www.ithome.com.tw/news/166062
已終止支援的GeoVision視訊監控設備存在重大漏洞，傳出被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月15日台灣電腦網路危機處理暨協調中心（TWCERT/CC）發布資安公告，指出<a href="https://www.twcert.org.tw/tw/cp-132-8236-d4836-1.html">奇偶科技（GeoVision）旗下有多款已停止維護設備存在作業系統層級的命令注入漏洞CVE-2024-11120</a>，而且，他們已經掌握該漏洞已遭到利用的跡象。</p> <p>對於這項漏洞帶來的影響，TWCERT/CC表示涵蓋視訊主機GV-VS11、GV-VS12，車牌辨識系統GV-DSP LPR V3，以及第2、第3代的GVLX 4移動式攝影機。攻擊者一旦利用這項漏洞，就有機會在未經身分驗證的情況下，遠端注入系統指令，並於設備上執行，CVSS風險評為9.8分。由於這些設備奇偶已終止支援，TWCERT/CC建議用戶應汰換設備因應。</p> <p>針對已經出現的漏洞利用情況，<a href="https://x.com/Shadowserver/status/1857356335605530952">通報此事的Shadowserver基金會表示</a>，他們看到該零時差漏洞有殭屍網路廣泛利用，鎖定該廠牌已終止支援（EOL）的設備而來。究竟有多少設備受害，研究人員並未進一步說明。</p> </div></div></div>
2024/11/18 15:35作者周峻佑https://www.ithome.com.tw/news/166063
【資安週報】1111~1115，國巨代子公司發布資安事件公告，主動揭露損失金額成新榜樣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月第2周的資安新聞中，在資安事件方面，以上市公司國巨公代子公司發布資安事件重訊最特別，該公司不僅是揭露資安事故，也公布該事故對財務的影響，對資安透明度起到示範作用。</p> <p>這是因為，過去我們看到近年國外公司遭遇資安事件，有時都會揭露該事件帶來的損失金額，但很少國內公司這麼做，如今國巨在針對子公司基美電子（KEMET）資安事件的損失揭露上，提出具體金額與占比的說明。根據其公告的損失包括：取消訂單金額約60萬美元（約1,800萬元），占2022年度銷貨收入約0.04%，以及閒置產能損失約310萬美元（約1億元），占2022年度營業利益約0.75%。</p> <p>在漏洞消息方面，這一星期適逢多家IT廠商釋出每月例行安全更新，其中微軟修補修補的CVE-2024-43451最要注意，因為該漏洞至少從今年4月起就被利用，後續是在ClearSky研究人員在烏克蘭CERT-UA的幫助下，拼湊出今年6月疑似俄羅斯入侵烏克蘭學術伺服器的攻擊事件，進而發現這個漏洞並通報微軟。<br /> ●微軟修補4個零時差漏洞，其中2個已遭利用，分別是涉及Windows NTLMv2的CVE-2024-43451，以及有關Windows工作排程器的CVE-2024-49039。<br /> ●Palo Alto Networks在10月初修補的兩個漏洞，<span data-testid="page-header-vuln-id">CVE-2024-9463、</span>CVE-2024-9465，一個月後，發現有攻擊者開始鎖定這些已知漏洞利用於攻擊行動的情形。<br /> ●3個老舊漏洞持續遭攻擊者鎖定利用，包括Atlassian在2021年修補Jira Server與Data Center的漏洞CVE-2021-26086，Metabase在2021年修補GeoJSON API的漏洞CVE-2021-41277，思科在2014年修補ASA的漏洞CVE-2014-2120。</p> <p>其他重要漏洞消息方面，包括D-Link已停止支援的老舊NAS設備被發現重大漏洞，研究人員呼籲用戶盡速汰換設備；有資安業者揭露物聯網裝置雲端控管平臺Ovrc的10個漏洞，指出物聯網裝置越來越廣泛，這類平臺的安全更顯重要。</p> <p>在威脅態勢上，有3個態勢值得留意，包括網攻資料竊取速度加快、攻擊者濫用SEO的現況，以及新興的ZIP檔案串接手法（ZIP Concatenation），這不僅是利用多個ZIP檔案串接成單一檔案，使惡意軟體得以隱藏在檔案結構中，而且一起攻擊活動中，以7-Zip開啟會是無害PDF檔，用WinRAR或是Windows檔案總管開啟則會讓惡意檔案現身，容易對使用者產生更大的威脅。<br /> ●Palo Alto Networks在臺灣年度用戶大會指出網路攻擊者出手速度越來越快，從3年前平均9天縮短至去年的2天，最近的調查更是縮短至4小時內。<br /> ●近年冒牌電子商務網站數量暴增，資安業者趨勢科技與日本警界等聯手調查，發現攻擊者先對合法網站植入SEO惡意軟體，僅而讓搜尋結果出現駭客廣告。<br /> ●惡意軟體GootLoader不僅利用搜尋引擎最佳化中毒的手法來入侵，近期還特別鎖定澳洲，針對愛貓人士而來。<br /> ●中國駭客APT41利用惡意軟體框架DeepData Framework跟蹤政治人物與記者，東南亞多國被鎖定。<br /> ●資安業者對近期興起的ZIP檔案串接手法（ZIP Concatenation）示警，此手法正被攻擊者積極利用，有些解壓縮工具才會讓惡意檔案就會現身，相當具隱蔽性</p> <p>另外值得警惕的是，駭客透過假冒方式散布惡意軟體的情形有兩起，顯示這類假冒與社交工程的手法依然活躍，包括有攻擊者利用偽裝成Windows版GitHub應用程式，散布惡意軟體Fickle Stealer，以及以取名相近的方式假冒熱門Python套件SSH自動化函式庫fabric。</p> <p>在資安防護方面，本星期有兩大重要新聞，一是為了因應詐騙、網釣連結等問題，多家簡訊商開始因應NCC祭出的新規範，開始實施建立商業簡訊的白名單機制；另一是思科近期宣布擴大雲端保護方案布局，新增Cillium與Hypershield，當中顯現出該公司對於eBPF技術的重視，由於上個月CNCF技術委員會成員來臺揭露K8s未來3大發展焦點時，其中一項也就是eBPF，突顯這項發展近十年的eBPF技術，如今正被資安界看到更多可能性。</p> <p style="margin: 0px;"> </p> <h3><a href="https://www.ithome.com.tw/news/165955"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月11日】6.1萬臺D-Link網路儲存設備存在重大層級命令注入漏洞</span></strong></a></h3> <p>今年4月研究人員揭露D-Link網路儲存設備（NAS）高風險漏洞，而且，這些機型生命週期都已結束，D-Link不提供修補程式，當時有超過9萬臺設備曝險，不久之後就出現相關資安事故。存在於該廠牌生命週期終結設備的弱點，如今再度出現。</p> <p>值得留意的是，上週研究人員公布的弱點CVE-2024-10914為重大層級，接下來很有可能會被攻擊者盯上，並將其實際嘗試利用。</p> <h3><a href="https://www.ithome.com.tw/news/165971"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月12日】多組駭客透過SEO下毒手法，將使用者導向冒牌電子商務網站擊</span></strong></a></h3> <p>駭客先對合法網站下手，再對瀏覽網站的使用者發動攻擊的情況，過往陸續傳出這類事故，但類似的攻擊出現新的手法：攻擊者先在合法網站植入惡意程式，從而影響搜尋引擎的結果，將上網搜尋的使用者導向駭客的惡意網站。資安業者趨勢科技指出，這樣的威脅有越來越嚴重的趨勢，截至目前為止，他們已看到6組人馬從事相關攻擊，甚至有共用部分基礎設施的情況。</p> <p><a href="https://www.ithome.com.tw/news/166004"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月13日】微軟本月例行更新揭露4項零時差漏洞</span></strong></a></p> <p>今天許多廠商發布11月份例行更新，微軟、Adobe、SAP、Citrix、西門子、施耐德電機等廠商，紛紛發布相關公告及更新軟體，IT人員應留意相關公告，規畫修補行程。</p> <p>其中，微軟發布的公告相當值得留意，因為這次有4個零時差漏洞，其中一個與MSHTML平臺有關的CVE-2024-43451，由於在公告前已遭公開，且有實際攻擊行動，後續影響有待觀察。</p> <h3><a href="https://www.ithome.com.tw/news/166020"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月14日】NTLM雜湊洩露欺騙漏洞5個月前被用於攻擊烏克蘭企業組織</span></strong></a></h3> <p>昨天我們報導微軟發布11月例行更新（Patch Tuesday），當中修補了已遭到利用的零時差漏洞CVE-2024-43451，此為NTLM雜湊值洩露欺騙漏洞，一旦遭到利用，攻擊者就能取得使用者的NTLM雜湊資料而能冒用其身分。隔天通報此事的資安業者ClearSky表示，俄羅斯駭客UAC-0194於5個月前將其用於網釣攻擊。</p> <p>值得留意的是，他們也特別強調使用者相當容易中招，無論是對駭客提供的檔案右鍵點選，或是刪除、拖曳到其他資料夾，都有可能觸發漏洞。</p> <h3><a href="https://www.ithome.com.tw/news/166052"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月15日】中國駭客APT41打造惡意軟體框架，鎖定政治人物與記者的電腦而來</span></strong></a></h3> <p>蘋果今年4月罕見對全球92個國家用戶提出傭兵間諜軟體（Mercenary Spyware）攻擊警告，資安業者BlackBerry指出這個間諜軟體就是曾在2020年出沒的LightSpy，事隔半年，研究人員公布新的調查結果，指出這些駭客從原本針對蘋果手機、電腦，如今也對Windows電腦打造間諜軟體。</p> <p>值得留意的是，研究人員也確認了攻擊者的身分，就是惡名昭彰的中國駭客APT41。</p> <p>●微軟修補4個零時差漏洞，其中有2個已遭攻擊者利用，分別是涉及Windows NTLMv2的CVE-2024-43451，以及涉及Windows工作排程器的CVE-2024-49039。<br /> ●Palo Alto Networks在10月初修補的兩個漏洞，<span data-testid="page-header-vuln-id">CVE-2024-9463、</span>CVE-2024-9465，一個月後發現遭攻擊者鎖定這些已知漏洞利用的跡象。<br /> ●3個老舊漏洞持續遭攻擊者鎖定利用，包括Atlassian在2021年修補Jira Server與Data Center的漏洞CVE-2021-26086，Metabase在2021年修補GeoJSON API的漏洞CVE-2021-41277，思科在2014年修補ASA的漏洞CVE-2014-2120。</p> <p>其他重要漏洞消息方面，包括D-Link已停止支援的老舊NAS設備被發現重大漏洞，研究人員呼籲用戶盡速汰換設備；有資安業者揭露物聯網裝置雲端控管平臺Ovrc的10個漏洞，指出物聯網裝置越來越廣泛下，這類平臺的安全防護更顯重要。</p> </div></div></div>
2024/11/18 10:08作者羅正漢https://www.ithome.com.tw/news/166056
美國18個州控告SEC過度監管加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國肯塔基州的檢察總長Russell Coleman上周<a href="https://www.kentucky.gov/Pages/Activity-stream.aspx?n=AttorneyGeneral&prId=1670" target="_blank">宣布</a>，該州將帶領一個由18個州組成的聯盟，挑戰拜登（Joe Biden）政府對加密貨幣的非法與全面監督，並控告美國證券交易委員會（SEC）越權並阻止各州執行自己的加密貨幣法令。</p> <p>外界相信此一訴訟案，源自於宣稱將擁抱加密貨幣的川普（Donald Trump）再度當選了美國總統，而提出訴訟的18個州全都是偏向川普的共和黨，包括德州、密西西比州、俄亥俄州、猶他州、奧克拉荷馬州、佛州等，再加上去中心化金融教育基金會（DeFi Education Fund）。</p> <p>它們在訴狀中<a href="https://www.ag.ky.gov/Press%20Release%20Attachments/2024-11-14%20FINAL%20DeFi%20States%20Complaint.pdf" target="_blank">指出</a>，SEC對加密貨幣公司發動監管攻擊，超越國會的授權，試圖將加密貨幣歸類為如股票或債券的投資合約，並應接受SEC的監管。</p> <p>其實各個州政府已針對數位資產建立了多元化的監管制度，例如允許以數位資產支付稅款，或是修定涵蓋數位資產的無主財產法令，然而，SEC卻幾乎將所有的數位資產交易都視為投資合約，認為它們適用於證券法令，無視於州政府的監管權限。</p> <p>這些州還認為，SEC試圖將舊法規應用在新興的數位資產領域，已經違反重大問題原則，因為國會並未賦予SEC如此廣泛的權力。</p> <p>根據統計，已有超過5,000萬美國人擁有數位資產，約占美國總人口的1/5，並有愈來愈多的美國企業接受比特幣或其它數位資產，以作為食品、雜貨、機票或房地產的支付方式。Coleman表示，不同年齡與背景的肯塔基州人都想獲得加密貨幣，以維護他們的財務自由，並防範歷史性的通貨膨脹，拜登政府非但沒有鼓勵這個新興的數位產業，反而非法打擊加密貨幣。</p> <p>風水輪流轉，美國媒體The Hill<a href="https://thehill.com/policy/technology/4991491-gary-gensler-crypto-enforcement/" target="_blank">報導</a>，隨著川普重新當選美國總統，SEC也打算變更包括數位資產等多個領域的政策以作為因應。</p> </div></div></div>
2024/11/18 14:06作者陳曉莉https://www.ithome.com.tw/news/166061
NASA與微軟攜手發表Earth Copilot，以方便使用者與複雜的地球科學資料互動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國家航空及太空總署（NASA）上周與微軟共同<a href="https://blogs.microsoft.com/blog/2024/11/14/from-questions-to-discoveries-nasas-new-earth-copilot-brings-microsoft-ai-capabilities-to-democratize-access-to-complex-data/" target="_blank">發表了Earth Copilot</a>，它利用微軟Azure雲端平臺的AI能力，來簡化NASA地球科學資料的存取與分析過程，目前已開放NASA科學家及研究人員進行測試，之後計畫整合到NASA旗下的視覺化、探索及資料分析平臺（Visualization, Exploration, and Data Analysis，VEDA），這是個開源的雲端地球科學平臺，能讓大眾透過自然語言來詢問及理解地球的奧妙。</p> <p>NASA地球科學資料系統計畫（Earth Science Data Systems Program）負責從太空中的感測器與儀器蒐集大量的資料，從大氣條件、土地覆蓋變化到海洋溫度等，只是，這些資料的規模與複雜度可能令人難以承受，要發現及找到見解需要一些瀏覽技術介面，還必須理解資料格式，並掌握複雜的地理空間分析，很少有非技術使用者具備上述的專業技能。</p> <p>微軟表示，這不僅僅是方便性的問題，它具備現實世界的影響，例如需要分析颶風歷史資料以改進預測模型的科學家，或是想要研究森林砍伐模型以實施環境法規的政策制定者；資料的不可及還可能影響農業、城市規畫或災害應對，在這些領域中，來自太空的資料與及時洞察可能產生重大影響。</p> <p>具體而言，現有的VEDA要求使用者具備一定的技術背景，熟悉地理空間資料格式，必須手動輸入資料範圍與格式要求，查詢後出現的會是原始資料，使用者必須自行分析與視覺化。而整合了Earth Copilot的VEDA，則允許使用者以自然語言詢問，系統透過AI來理解使用者的問題，並直接提供結果，例如「COVID-19 疫情期間美國的空氣品質有什麼變化？」或者是「從2000 年到2020年間亞馬遜雨林的森林砍伐趨勢如何？」</p> <p>Earth Copilot的關鍵在於使用了諸如Azure OpenAI等基於雲端的技術，以將AI整合到NASA現有的資料分析平臺VEDA上，AI簡化了從地球資料中獲取見解的過程，讓使用者以自然語言提問後的幾秒鐘，就能得到直接的答案。</p> <p>Earth Copilot是由專門推動地球資料管理、應用與創新的NASA IMPACT計畫與微軟的合作成果。微軟指出，該成果讓太空中的資料存取更為民主化，令更多的使用者能與NASA的科學資料互動，現在研究人員可花更少的時間來檢索資料，把更多的時間花在分析與發現上，例如氣候學家可以快速存取資料來研究趨勢，農業專家則能深入了解土壤的溼度水平，來改善作物管理。</p> <p>不過，Earth Copilot目前僅開放NASA科學家及研究人員存取，由NASA IMPACT負責評估此一AI部署，在確定資料與輸出不會遭到濫用之後，即會將它整合至VEDA。</p> </div></div></div>
2024/11/18 12:36作者陳曉莉https://www.ithome.com.tw/news/166059
HPE推AI、HPC專用液冷式超級電腦、伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">AI應用需求旺盛，其高耗能、高散熱特性帶動液冷式伺服器的需求。HPE上周<a href="https://www.hpe.com/us/en/newsroom/press-release/2024/11/hpe-expands-direct-liquid-cooled-supercomputing-solutions-introduces-two-ai-systems-for-service-providers-and-large-enterprises.html" target="_blank">宣布</a>液冷式超級電腦Cray Supercomputing EX系列，以及為大型語言模型（LLM）與多模態模型訓練、和自然語言處理（NLP）而設計的新ProLiant伺服器。</p> <p dir="ltr">Cray Supercomputing EX是HPE高效能運算（HPC）產品線，為執行AI計畫的研究單位及政府組織而設計的新產品線，採用100%無風扇直接液冷系統架構，且擴及運算節點、網路和儲存，外加新軟體。</p> <p dir="ltr">兩款Cray Supercomputing超級電腦，分別為EX 4252 Gen2 Compute Blade及EX154n Accelerator Blade。EX 4252 Gen2 Compute Blade搭載8顆第5代AMD EPYC處理器，在單一機櫃內含最多98,304核心，是1U系統中提供業界最大效能的機種。EX154n Accelerator Blade，主打Grace Hopper下一代的Nvidia GB200 Grace Blackwell NVL 4 Superchip GPU，單一機櫃安裝最多224顆。每片加速器刀鋒都包含4顆Blackwell GPU及2顆Grace CPU。EX 4252 Gen2 Compute Blade和EX154n Accelerator Blade，分別在2025年春天和年底上市。</p> <p dir="ltr">Cray Supercomputing並推出了儲存系統Storage Systems E2000，它是以開源Lustre檔案系統為基礎，可減少I/O運算的閒置時間，提升CPU和GPU運算節點利用率，預計明年初問世。此外也推出了管理軟體User Services Software，以最佳化系統效能、調節耗能，並彈性執行多種負載。軟體現已推出。</p> <p dir="ltr">HPE另外還公布適用於AI服務供應商，為AI模型訓練和調校打造的ProLiant家族伺服器，內建該系列獨有的存取管理軟體Integrated Lights-Out（iLO），可選擇特定人員賦予遠端控制存取權限，提升安全性。ProLiant新伺服器包含XD680及XD685伺服器。XD 680在單一小型機箱中內，配備8顆Intel Gaudi 3加速器，預定2024年12月問世。</p> <p dir="ltr">XD 685伺服器特色是使用了HPE液冷技術，作為5U機器，今年10月HPE推出內建AMD處理器的XD 685伺服器，搭載8顆AMD Instinct MI325 X加速器及2顆EPYC CPU。在最新更新下，XD685推出Nvidia GPU的機種，內建8顆Nvidia H200 SXM Tensor Core GPU或是Blackwell GPU。HPE表示2025年初還會推出8顆H200 SXM Tensor Core GPU的版本。</p> </div></div></div>
2024/11/18 07:41作者林妍溱https://www.ithome.com.tw/news/166055
PyPI導入數位認證強化安全防護，Python供應鏈信任機制再升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Python軟體生態系迎來一項重要功能，<a href="https://blog.pypi.org/posts/2024-11-14-pypi-now-supports-digital-attestations/">PyPI（Python Package Index）正式啟用數位認證（Digital Attestations）功能</a>，讓套件維護者可以在發布時，加入經過身分驗證的數位簽章，進一步強化軟體供應鏈安全性。此項新措施將可提高套件的可信度並強化整體安全性。根據官方資料，目前已經有超過2萬筆數位認證上傳至PyPI，而這樣大量採用的趨勢，也顯示出業界對軟體安全的高度需求。</p> <p>數位認證的正式實施，代表著Python PEP 740實作完成。PEP 740是PyPI供應鏈安全策略的一環，隨著可信發布（Trusted Publishing）的支援，PyPI正逐步淘汰傳統的PGP簽章機制。數位認證相比PGP簽章具有三大優點。首先，數位認證基於OIDC（OpenID Connect）身分驗證進行簽署，不再仰賴公私金鑰對，從根本解決了金鑰遺失或是遭竊的風險。這種身分導向的簽章，大幅降低傳統加密系統的安全風險，特別是當前供應鏈攻擊頻傳的環境，進一步強化了安全性。</p> <p>其次，數位認證可提供明確的上游原始碼程式庫連結，尤其是自動化發布流程，諸如GitHub Actions的專案。認證標示PyPI上檔案和來源庫、工作流程以及生成該檔案的提交紀錄之間的關聯，使每個發布套件都具有可追溯性。對於企業和使用者個人而言，這代表著PyPI上每個套件版本，都可被驗證來源，防範供應鏈劫持和假冒專案的風險。</p> <p>再者，數位認證在上傳時即需要完成驗證，確保所有發布到PyPI的證明皆為可被驗證。先前PGP簽章機制並不強制實行此相應要求，導致一些未經驗證的簽章出現在平臺上，影響使用者對簽章的信任，而隨著PEP 740的落實，PyPI便可徹底解決這個問題，使數位簽章成可靠的供應鏈保護機制。</p> <p>PyPI推出兩個新工具供使用者方便驗證檔案的數位認證資訊，使用者可以透過新設計的Integrity API程式化存取數位認證，或直接在PyPI網站的新介面，檢視每個檔案的詳細資訊，包含所有相關數位認證。這些工具提供更高的透明度，讓開發者和使用者能夠即時查證所使用套件的安全性。</p> <p>符合條件的專案將能夠自動生成數位認證，不需要額外配置即可啟用。使用GitHub Actions發布並依循可信發布原則，且採用pypa/gh-action-pypi-publish發布的套件，已經自動啟用數位認證。之後PyPI計畫逐步推展至其他可信發布環境，讓更多發布環境均可自動生成認證，擴大數位認證的覆蓋範圍。</p> </div></div></div>
2024/11/15 19:19作者李建興https://www.ithome.com.tw/news/166054
【資安日報】11月15日，中國駭客APT41打造惡意軟體框架，鎖定政治人物與記者的電腦而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果今年4月罕見對全球92個國家用戶提出傭兵間諜軟體（Mercenary Spyware）攻擊警告，資安業者BlackBerry指出這個間諜軟體就是曾在2020年出沒的LightSpy，事隔半年，研究人員公布新的調查結果，指出這些駭客從原本針對蘋果手機、電腦，如今也對Windows電腦打造間諜軟體。</p> <p>值得留意的是，研究人員也確認了攻擊者的身分，就是惡名昭彰的中國駭客APT41。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166040"><strong style="font-size: 22px;">中國駭客APT41鎖定東南亞而來，利用惡意軟體框架DeepData Framework跟蹤政治人物與記者</strong></a></p> <p>今年4月，蘋果罕見對全球92個國家對用戶發出傭兵間諜軟體（Mercenary Spyware）攻擊警告，他們向可能已遭到攻擊的用戶發出通知，當時資安業者BlackBerry表示，曾在2020年出沒的iOS間諜軟體LightSpy死灰復燃，駭客針對蘋果電腦開發變種版本F_Warehouse，攻擊者很有可能來自中國，如今他們揭露進一步的調查結果。</p> <p>根據BlackBerry本週公布的報告指出，他們發現使用LightSpy的歹徒，與中國駭客組織APT41有高度關聯，而且，這些駭客也針對Windows電腦打造名為DeepData Framework的惡意程式框架，進一步延伸他們的網路間諜活動。</p> <p>針對這個惡意程式框架，駭客採用模組化設計，目前具備12款能竊取各式資料的外掛程式，此外，該框架也強化跨平臺監控能力，並使用複雜的命令與控制基礎設施，使得攻擊者從事間諜活動的行蹤難以捉摸。</p> <p><a href="https://www.ithome.com.tw/news/166051"><strong style="font-size: 22px;">美國電信業者遭駭，當局證實中國駭客竊取部分政府官員的私密通訊內容</strong></a></p> <p>9月下旬、10月上旬有新聞媒體報導，中國駭客組織Salt Typhoon入侵多家美國網際網路服務供應商（ISP），並指出AT&T、Verizon、Lumen等電信業者都已受害，而駭客的主要目標，疑似為美國政府用於向業者要求資料的竊聽系統，後來當局證實中國駭客非法存取他們的電信基礎設施，這起事故如今出現新的進展。</p> <p>11月13日美國聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）發布聯合聲明，經過調查，他們確認與中國政府有關的駭客組織已經破壞多家電信業者的網路環境，竊取客戶的通話記錄資料，並針對有限數量的參與政府及政治事務人士，滲透他們的私人通訊內容。此外，這些駭客也對執法部門依法請求的部分資料下手。</p> <p><a href="https://www.ithome.com.tw/news/166003"><strong style="font-size: 22px;">駭客利用Office已知漏洞，透過網路釣魚散布Remcos RAT</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig03-remcos-excel-file.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig03-remcos-excel-file.jpeg" style="width: 300px; float: right;" /></a>資安業者Fortinet發現假借公司業務往來的網路釣魚攻擊，駭客聲稱寄送採購單（PO）的名義，寄送帶有Excel檔案附件的釣魚信，一旦收信人開啟附件檔案，就會看到這份文件受到保護的訊息，若要檢視內容，就必須依照指示啟用編輯功能及啟用內容，然而若是照做，就會觸發遠端程式碼執行漏洞CVE-2017-0199，攻擊者藉此於後臺下載HTML應用程式檔案（HTA），並於受害電腦執行。</p> <p>此執行檔會利用處理程序挖空（Process Hollowing）手法，將惡意程式碼注入新的處理程序Vaccinerende.exe，從而在記憶體內執行Remcos RAT有效酬載，然後向C2伺服器進行註冊、接收命令，而這麼做的目的，就是避免於磁碟上留下痕跡。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-glove-infostealer-malware-bypasses-google-chromes-cookie-encryption/">Chrome應用程式綁定機制被繞過，竊資軟體Glove竊取經加密處理的Cookie</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-use-macos-extended-file-attributes-to-hide-malicious-code/">木馬程式RustyAttr濫用macOS檔案延伸屬性，埋藏惡意程式碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chinese-hackers-target-tibetan-websites-in-malware-attack-cybersecurity-group-says/">圖博網站遭中國駭客鎖定，植入惡意軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityintelligence.com/x-force/strela-stealer-todays-invoice-tomorrows-phish/">竊資軟體Strela Stealer活動升溫，駭客組織Hive0145藉此對烏克蘭下手</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166045"><strong style="font-size: 22px;">Zoom針對旗下視訊會議及通訊平臺修補高風險漏洞</strong></a></p> <p>11月12日Zoom發布資安公告，表示他們修補旗下視訊會議及通訊平臺的6項漏洞，這些漏洞有2項被列為高風險層級，攻擊者有機會藉此提升權限或是洩露敏感資訊。</p> <p>其中，CVE-2024-45421為記憶體緩衝區溢位漏洞，通過身分驗證的攻擊者能藉由網路存取Zoom應用程式，從而提升權限，CVSS風險評分為8.5。</p> <p>另一個高風險漏洞CVE-2024-45419，涉及輸入驗證不當，攻擊者有機會在未經身分驗證的情況下，透過網路存取造成資訊洩露，CVSS風險為8.1。</p> <p><a href="https://www.ithome.com.tw/news/166043"><strong style="font-size: 22px;">物聯網裝置雲端管理平臺OvrC存在漏洞，攻擊者可用來挾持裝置，發動RCE攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/t82-graphics-03.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/t82-graphics-03.png" style="width: 300px; float: right;" /></a>隨著物聯網裝置越來越廣泛，有廠牌專門針對這類裝置提供雲端管理平臺，大幅降低使用者必須逐一維護的難處，然而這類平臺一旦出現弱點，很有可能連帶影響受到管理的裝置。</p> <p>資安業者Claroty指出，他們針對物聯網裝置雲端控管平臺Ovrc著手進行調查，結果發現10個漏洞，並指出一旦這些漏洞被串連，攻擊者就有機會經由雲端環境，在受到管理的連網裝置遠端執行程式碼，而且，OvrC Pro及OvrC Connect的用戶都會受到影響，4.0版CVSS風險評為9.2分。</p> <p>這些漏洞涉及輸入驗證不當、存取控制不當、明文傳輸敏感資訊、資料真實性驗證不足、開放重新導向、寫死密碼、未公開的隱藏功能、可藉由欺騙的方式繞過身分驗證，以及重要功能缺乏必須的身分驗證。而對於可能會造成的危害，研究人員表示，攻擊者可藉此存取、控制、破壞OrvC支援的裝置，影響的設備涵蓋智慧電源供應器、視訊攝影機、路由器，甚至是智慧家庭自動化系統。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/unpatched-microsoft-exchange-server-flaw-enables-spoofing-attacks/">微軟針對Exchange使用者提出警告，對於可疑郵件顯示警示訊息</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166006"><strong style="font-size: 22px;">微軟情報安全聯盟納入1Password，強化身分驗證與存取管理</strong></a></p> <p>密碼管理工具1Password宣布加入微軟情報安全聯盟（Microsoft Intelligent Security Association，MISA），並推出與微軟兩大安全解決方案的整合功能，提升企業對身分驗證與存取管理的控制能力。MISA是微軟針對安全生態系組建的聯盟，透過集結獨立軟體供應商（ISV）與管理安全服務供應商（MSSP），提供強健的網路威脅防護方案。</p> <p>在這項合作之下，1Password針對Microsoft Sentinel與Entra ID推出整合功能。透過1Password的Events API，用戶能將1Password企業密碼管理器的事件資料匯入至Sentinel，方便在單一平臺上監控與分析各種安全事件，進一步強化整體防護能力。1Password的Device Trust功能可與Entra ID協同運作，確保僅有符合健康與安全標準的裝置，才能存取敏感資料。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166020"><strong>【11月14日】NTLM雜湊洩露欺騙漏洞5個月前被用於攻擊烏克蘭企業組織</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166004"><strong>【11月13日】微軟本月例行更新揭露4項零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165971"><strong>【11月12日】多組駭客透過SEO下毒手法，將使用者導向冒牌電子商務網站</strong></a></p> </div></div></div>
2024/11/15 17:15作者周峻佑https://www.ithome.com.tw/news/166052
物聯網裝置雲端管理平臺OvrC存在漏洞，攻擊者可用來挾持裝置，發動RCE攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著物聯網裝置越來越廣泛，有廠牌專門針對這類裝置提供雲端管理平臺，大幅降低使用者必須逐一維護的難處，然而這類平臺一旦出現弱點，很有可能連帶影響受到管理的裝置。</p> <p>資安業者Claroty指出，他們針對物聯網裝置雲端控管平臺Ovrc著手進行調查，<a href="https://claroty.com/team82/research/the-problem-with-iot-cloud-connectivity-and-how-it-exposed-all-ovrc-devices-to-hijacking">結果發現10個漏洞</a>，並指出一旦這些漏洞被串連，攻擊者就有機會經由雲端環境，在受到管理的連網裝置遠端執行程式碼，而且，OvrC Pro及OvrC Connect的用戶都會受到影響，4.0版CVSS風險評為9.2分。</p> <p>這些漏洞涉及輸入驗證不當、存取控制不當、明文傳輸敏感資訊、資料真實性驗證不足、開放重新導向、寫死密碼、未公開的隱藏功能、可藉由欺騙的方式繞過身分驗證，以及重要功能缺乏必須的身分驗證。而對於可能會造成的危害，研究人員表示，攻擊者可藉此存取、控制、破壞OrvC支援的裝置，影響的設備涵蓋智慧電源供應器、視訊攝影機、路由器，甚至是智慧家庭自動化系統。</p> <p>值得留意的是，這些漏洞在研究人員通報後，大部分在去年5月就已經修補，但有2個是直到本月才得到解決。</p> <p>這個雲端物聯網裝置管理平臺主要的功能，就是提供使用者能透過行動應用程式或是以Web Socket打造的介面進行管理，而能夠遠端設定組態、監控運作情況，甚至是排除故障及異常。自動化業者SnapOne在2014年將其買下，他們在2020年的研討會透露，當時OvrC已監管約920萬臺裝置，因此，研究人員認為，他們發現的漏洞很可能影響全球超過1千萬臺的設備。</p> <p>研究人員指出，他們發現的許多弱點，起因都是忽視設備及雲端之間的介面造成，由於這些漏洞都能被用於存取雲端管理介面，使得攻擊者不僅能繞過防火牆、網路位址轉譯（NAT）與其他安全機制，還能列出所有代管的裝置，或是進行挾持、提升權限，以及執行任意程式碼。</p> <p>根據CVSS風險評分，被列為重大層級的漏洞有4個，分別是：不正確的輸入驗證漏洞CVE-2023-28649、不當存取控制漏洞CVE-2023-31241、資料真實性驗證不充分漏洞CVE-2023-28386，重要功能缺乏認證漏洞CVE-2024-50381，CVSS風險評分為9.2至9.1。</p> <p>而對於如何串連漏洞，研究人員指出，攻擊者可先透過CVE-2023-28412找出所有列管的設備，並使用另外2個漏洞CVE-2023-28649、CVE-2024-50381強制讓裝置變成無人持有（Unclaim）。</p> <p>接著，他們透過CVE-2023-31241，將MAC地址與裝置ID對應，然後使用裝置ID宣告裝置所有權，最終可從雲端操控裝置，或是利用CVE-2023-25183、CVE-2023-31240遠端執行任意程式碼。</p> </div></div></div>
2024/11/15 16:05作者周峻佑https://www.ithome.com.tw/news/166043