iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 16篇
近 24 小時: 17篇
近 7 天: 131篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/12
最近更新: 11/12 16:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 131 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】11月26日，軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，客戶受到波及
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>供應鏈攻擊事故頻傳，最近軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，傳出已對客戶的運作造成影響，目前已有連鎖咖啡店星巴克、英國兩大超市證實受到波及。</p> <p>值得留意的是，11月21日Blue Yonder證實因資安事故導致代管服務中斷，但目前尚未確認復原的時間，相關災情與影響範圍有待後續觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166196"><strong style="font-size: 22px;">軟體供應鏈Blue Yonder遭勒索軟體攻擊，波及星巴克等業者</strong></a></p> <p>美國軟體供應鏈Blue Yonder在上周四（11月21日）遭到勒索軟體攻擊，並傳出已波及星巴克（Starbucks），以及英國連鎖超市Sainsbury、Morrisons等客戶。</p> <p>知名連鎖咖啡品牌星巴克（Starbucks）向華爾街日報（WSJ）透露，Blue Yonder的服務中斷，影響他們的員工管理，只能手動追蹤人員工時與計算工資，波及約1.1萬家北美門市。</p> <p>英國專門報導消費者商品的The Grocer則說，當地的兩大連鎖超市Sainsbury與Morrisons，也都因Blue Yonder被駭而遭到波及，其中，Morrisons主要利用Blue Yonder的需求預測及補貨解決方案，來處理新鮮的農產品及冷凍食品，事件發生後已改為手動處理。</p> <p><a href="https://www.ithome.com.tw/news/166197"><strong style="font-size: 22px;">趨勢科技揭露Salt Typhoon攻擊電信業者的惡意程式GhostSpider</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EarthEstries-Fig08.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/EarthEstries-Fig08.png" style="width: 300px; float: right;" /></a></p> <p>華爾街日報自9月底開始，多次針對中國駭客組織Salt Typhoon（也被稱為Earth Estries、GhostEmperor、FamousSparrow）攻擊美國電信業者的情況進行報導，受害業者包含AT&T、Lumen、T-Mobile、Verizon，傳出美國政府已著手調查此事，而且，這些駭客的目標還包含其他國家的電信業者。但究竟這些駭客如何發動攻擊？最近有研究人員公布調查結果。</p> <p>資安業者趨勢科技指出，根據他們自2020年開始的追蹤，這些駭客持續針對政府機關及網際網路服務供應商（ISP）進行長期攻擊，並指出2022年也開始針對電信公司。研究人員認為，駭客從事攻擊行動的目的，是為了更有效收集相關情報。</p> <p>他們發現對方主要鎖定的標的，包含電信公司使用的資料庫、雲端伺服器等重要服務，以及服務供應商的網路環境，駭客會試圖植入名為Demodex的rootkit程式，目的是希望藉此增加存取受害電信業者的管道。在近期攻擊東南亞電信業者的事故裡，這些駭客使用多款後門程式，其中包含未被揭露的GhostSpider。</p> <p><a href="https://www.ithome.com.tw/news/166202"><strong style="font-size: 22px;">圖博新聞媒體、大學網站遭中國駭客TAG-112攻擊，用網站漏洞與紅隊測試工具進行滲透</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ElonFCaiFb.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ElonFCaiFb.jpg" style="width: 300px; float: right;" /></a>資安業者Recorded Future揭露中國駭客組織TAG-112的攻擊行動，駭客先是入侵國際西藏郵報（Tibet Post）及Gyudmed Tantric University的網站，目的是在瀏覽網站的使用者電腦植入Cobalt Strike，從而進行情報收集，或是運用受害電腦進行其他間諜活動。</p> <p>駭客於網站上嵌入惡意JavaScript指令碼，藉此欺騙使用者TLS憑證錯誤，以要求下載新的憑證為由，引誘使用者上當。</p> <p>這起事故發生在今年5月下旬，攻擊者利用內容管理系統Joolma的漏洞，在上述2個網站植入惡意JavaScript指令碼。究竟駭客使用那些漏洞，研究人員沒有說明。值得留意的是，這起攻擊行動直到10月上旬，仍處於活動的狀態。</p> <p><a href="https://www.ithome.com.tw/news/166200"><strong style="font-size: 22px;">防毒軟體Avast的驅動程式元件遭到濫用，駭客企圖停用受害電腦防護機制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/when-guardians-become-predators-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/when-guardians-become-predators-1.jpg" style="width: 300px; float: right;" /></a></p> <p>為了迴避端點防護的偵測，駭客濫用防毒軟體元件從事自帶驅動程式（BYOVD）攻擊的手法，今年可說是越來越頻繁，如今甚至出現有人針對多家廠牌的端點防護系統進行破壞的情形。</p> <p>例如，資安業者Trellix近期揭露的攻擊行動，就是典型的例子。研究人員發現由檔名kill-floor.exe開始的惡意程式感染鏈，一旦該執行檔啟動，就會於受害電腦部署Avast的Anti-Rootkit驅動程式aswArPot.sys，接著，攻擊者再植入另一個合法的核心驅動程式，檔名為ntfs.bin。</p> <p>然後，kill-floor.exe就會比對受害電腦上的處理程序，若出現攻擊者認定的142種資安工具處理程序名稱，就會藉由Avast驅動程式，以核心層級來終止處理程序，導致受害電腦的防毒軟體或EDR停止運作。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/lazarus-group-exploits-xattr-with-rustyattr-to-evade-detection/">北韓駭客Lazarus鎖定macOS用戶，意圖散布木馬程式RustyAttr</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/russian-hackers-deploy-hatvibe-and.html">俄羅斯駭客鎖定歐洲、亞洲，散布惡意軟體HatVibe、CherrySpy</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/apt-k-47-uses-hajj-themed-lures-to.html">南亞駭客組織APT-K-47以伊斯蘭教朝聖活動為誘餌，散布惡意軟體Asyncshell</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.zscaler.com/blogs/security-research/unraveling-raspberry-robin-s-layers-analyzing-obfuscation-techniques-and">對抗資安人員駭客出奇招，惡意軟體Raspberry Robin在測試環境會部署誘餌擾亂調查</a></strong></p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166195"><strong style="font-size: 22px;">威聯通修補路由器OS與NAS加值軟體重大漏洞</strong></a></p> <p>11月23日臺灣網路設備業者威聯通（QNAP）發布資安公告，針對旗下產品修補超過30項漏洞，其中，路由器作業系統QuRouter、NAS協作應用程式Notes Station 3存在重大層級漏洞，相當值得留意。</p> <p>根據CVSS風險評分，最嚴重的是CVE-2024-48860，此漏洞出現於QuRouter，為作業系統命令注入漏洞，一旦攻擊者成功利用，就有機會遠端執行命令，4.0版CVSS評分為9.5。</p> <p>另外2個重大漏洞CVE-2024-38643、CVE-2024-38645，出現在Notes Station 3，其中較嚴重的是CVE-2024-38645，此為伺服器請求偽造（SSRF）漏洞，若是攻擊者成功利用漏洞，有機會在通過身分驗證的情況下，遠端讀取應用程式資料，風險值為9.4。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/php-patches-multi-flaws-including-cve-2024-8932-cvss-9-8-urges-immediate-update/">PHP修補重大層級的記憶體越界存取、緩衝區過度讀取漏洞</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166190"><strong>【11月25日】俄羅斯駭客在軍事行動前夕，藉由跳版入侵目標組織的無線網路環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166161"><strong>【11月22日】駭客疑似利用零時差漏洞入侵2千臺Palo Alto Networks防火牆</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166142"><strong>【11月21日】中國駭客鎖定南亞及非洲一帶一路國家的電信業者從事間諜活動</strong></a></p> </div></div></div>
2024/11/26 16:25作者周峻佑https://www.ithome.com.tw/news/166203
IBM Granite AI模型在AWS上架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM和AWS<a href="https://newsroom.ibm.com/blog-ibm-and-aws-accelerate-partnership-to-scale-responsible-generative-ai" target="_blank">宣布</a>強化AI合作，包括IBM大語言模型家族Granite將在Amazon雲端平臺推出，雙方也強化整合AWS及watsonx雲端平臺的功能，提升安全及效能管理。</p> <p>這項消息是為下周AWS re: Invent技術大會打頭陣。IBM繼上個月<a href="https://www.ithome.com.tw/news/165605" target="_blank">開源</a>Granite 3.0 2B、8B模型後，Granite程式模型將在Amazon Bedrock及機器學習平臺Amazon SageMaker JumpStart上架。IBM最新的Granite 3.0模型系列已經先一步在Sagemaker JumpStart<a href="https://aws.amazon.com/marketplace/pp/prodview-vweaesrobaglk" target="_blank">提供</a>。</p> <p>透過這項合作，Granite模型現在獲得AWS Neuron開發套件支援，可在AWS Inferentia及AWS Trainium晶片的雲端執行個體上執行。IBM並計畫其watsonx未來將支援AWS最新一代AI晶片Trainium2。</p> <p>雙方雲端平臺也將擴大整合或合作。首先，12月IBM AI模型生命周期管理watsonx.governance將進一步整合Amazon SageMaker，雙方開發一個全新介面，直接以watsonx.governance管理介面管理SageMaker。SageMaker Model Registry的模型資訊可分享給watsonx，使AI運作管理透明化。</p> <p>其次IBM管理機敏AI數據與AI模型安全風險的Guardium AI Security，現在在AWS Marketplace上架。這工具能發現「影子AI」（即員工私下建的AI模型），能和watsonx.governance整合，確保AI治理。</p> <p>最後，雲端應用管理工具Instana Generative AI Observability on AWS現在已預覽版推出，可透通管理Amazon Bedrock及Amazon SageMaker，確保AWS生成式AI應用的穩定性和運作正常。此外，IBM Instana也將支援Amazon Elastic Kubernetes Services和Elastic Cloud Services，提供雲端微服務的管理。</p> <p>其他新宣布方面，IBM預覽了IBM Concert新功能。IBM Concert利用生成式AI技術提供AWS平臺上應用程式的風險管理，預計將於2025年初上線。此外有IBM Autonomous Security for Cloud（ASC）這項新技術是IBM顧問服務開發的AI解決方案，可利用Amazon Bedrock生成AI技術，加強雲端安全自動化管理，預計12月全球推出。</p> </div></div></div>
2024/11/26 15:22作者林妍溱https://www.ithome.com.tw/news/166201
圖博新聞媒體、大學網站遭中國駭客TAG-112攻擊，用網站漏洞與紅隊測試工具進行滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客鎖定圖博發動攻擊的情況，每隔一段時間就有事故傳出，而最近一起事故揭露，再度引起外界關注。</p> <p>資安業者Recorded Future揭露<a href="https://www.recordedfuture.com/research/china-nexus-tag-112-compromises-tibetan-websites">中國駭客組織TAG-112的攻擊行動</a>，駭客先是入侵國際西藏郵報（Tibet Post）及Gyudmed Tantric University的網站，目的是在瀏覽網站的使用者電腦植入Cobalt Strike，從而進行情報收集，或是運用受害電腦進行其他間諜活動。</p> <p>駭客於網站上嵌入惡意JavaScript指令碼，藉此矇騙使用者、謊稱TLS的憑證出錯，以要求下載新的憑證為由，引誘使用者上當。</p> <p>這起事故發生在今年5月下旬，攻擊者利用內容管理系統Joolma的漏洞，在上述2個網站植入惡意JavaScript指令碼。究竟駭客使用那些漏洞，研究人員沒有說明。值得留意的是，這起攻擊行動直到10月上旬，仍處於活動的狀態。</p> <p>研究人員也提及駭客的基礎設施相當複雜，他們濫用Cloudflare服務遮掩伺服器的IP位址，使得追蹤攻擊的來源變得更加困難。</p> </div></div></div>
2024/11/26 15:41作者周峻佑https://www.ithome.com.tw/news/166202
防毒軟體Avast的驅動程式元件遭到濫用，駭客企圖停用受害電腦防護機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了迴避端點防護的偵測，駭客濫用防毒軟體元件從事自帶驅動程式（BYOVD）攻擊的手法，今年可說是越來越頻繁，如今甚至出現有人針對多家廠牌的端點防護系統進行破壞的情形。</p> <p>例如，<a href="https://www.trellix.com/blogs/research/when-guardians-become-predators-how-malware-corrupts-the-protectors/">資安業者Trellix近期揭露的攻擊行動</a>，就是典型的例子。研究人員發現由檔名kill-floor.exe開始的惡意程式感染鏈，一旦該執行檔啟動，就會於受害電腦部署Avast的Anti-Rootkit驅動程式aswArPot.sys，接著，攻擊者再植入另一個合法的核心驅動程式，檔名為ntfs.bin。</p> <p>在完成上述投放驅動程式的步驟，此惡意軟體就會濫用公用程式sc.exe，產生名為aswArPot.sys的服務，目的是向系統註冊ntfs.bin。</p> <p>然後，kill-floor.exe就會比對受害電腦上的處理程序，若出現攻擊者認定的142種資安工具處理程序名稱，就會加入Avast驅動程式的參照資料，並呼叫名為DeviceIoControl的API，傳送特定的IOCTL碼，藉由Avast驅動程式，以核心層級來終止處理程序，導致受害電腦的防毒軟體或EDR停止運作。</p> </div></div></div>
2024/11/26 14:47作者周峻佑https://www.ithome.com.tw/news/166200
Anthropic開源可用來連結AI助理與資料的Model Context Protocol
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>打造Claude大型語言模型的Anthropic周一（11/25）<a href="https://www.anthropic.com/news/model-context-protocol" target="_blank">開源</a>了模型脈絡協定（Model Context Protocol，MCP），這是一個可用來連結AI助理及資料系統的新標準，使AI助理可透過單一協定存取所有的資料來源，讓模型能產生更好與更相關的回應。</p> <p>Anthropic表示，隨著AI助理獲得主要的採用，業界於模型功能上投入了大量資金，於推論及品質上取得了快速進展，然而，就算是最複雜的模型也會受到與資料隔離的限制，每一個新的資料來源都需要專屬的客製化實現，而讓真正互連的系統難以擴展。</p> <p>而MCP則解決了上述挑戰，允許開發人員在資料來源及AI工具之間建立安全的雙向連接，這是個非常簡單的架構，開發人員可透過MCP伺服器來公開資料，或者是建立可連結這些MCP伺服器的AI應用程式。它有3個主要元件，一是模型脈絡協定的規範與各種SDK，二是Claude桌面程式對本機MCP伺服器的支援，三為MCP伺服器的開源儲存庫。</p> <p>此外，Claude 3.5 Sonnet擅長快速建置MCP伺服器，讓企業和個人可輕鬆連結重要的資料與各種AI工具，為了協助開發人員啟動探索，Anthropic將分享替Google Drive、Slack、GitHub、Git、Postgres及Puppeteer等熱門系統預先建置的MCP伺服器。</p> <p>另一方面，Block與Apollo等早期採用者也已將MCP整合到它們的系統中，Zed、Replit、Codeium及Sourcegraph等開發工具公司，亦打算利用MCP來強化其平臺，讓AI代理可更好地檢索資訊以理解程式碼任務的脈絡，並生成更實用的程式碼。</p> <p>總之，現在開發人員可以根據標準協定來建置連接器，而不必再替各別的資料來源打造各自的連接器，Anthropic相信隨著此一生態體系的成熟，AI系統就算是在不同的工具及資料集之間移動，都能維持脈絡，以更永續的架構來取代當前零散的整合方式。</p> </div></div></div>
2024/11/26 14:14作者陳曉莉https://www.ithome.com.tw/news/166199
軟體供應鏈Blue Yonder遭勒索軟體攻擊，波及星巴克等業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國軟體供應鏈Blue Yonder在上周四（11/21）遭到勒索軟體<a href="https://blueyonder.com/customer-update" target="_blank">攻擊</a>，並傳出已波及<a href="https://www.wsj.com/livecoverage/stock-market-today-dow-sp500-nasdaq-live-11-25-2024/card/exclusive-starbucks-wrestles-with-ransomware-attack-on-software-supplier-cZJuRHR4rUCg8rOc9LJQ?mod=article_inline" target="_blank">星巴克</a>（Starbucks），以及英國連鎖超市<a href="https://www.thegrocer.co.uk/news/blue-yonder-software-hack-impacting-supermarket-supply-chains/698211.article" target="_blank">Sainsbury與Morrisons</a>等客戶。</p> <p>Blue Yonder是松下電器（Panasonic Corporation）百分之百持有的<a href="https://www.ithome.com.tw/news/144043" target="_blank">子公司</a>，主要提供各種供應鏈與商業解決方案，如供應鏈管理、退貨管理、人力資源管理、零售業目錄管理或倉儲管理等解決方案，支援服飾、汽車、雜貨、製造、消費者商品及物流等領域，客戶涵蓋DML、拜耳、星巴克、雀巢及7-Eleven等。</p> <p>Blue Yonder上周指出，該公司受到勒索軟體攻擊，使其代管環境的中各種託管服務在21日中斷了，它們正與多個外部的網路安全公司合作，首要任務是確保安全地復原，但直至24日都沒有恢復的時間表。</p> <p>知名連鎖咖啡品牌星巴克（Starbucks）向華爾街日報（WSJ）透露，Blue Yonder的服務中斷，影響了員工管理其工作時間的能力，而讓星巴克只能手動追蹤員工工作時數與計算工資，波及星巴克約1.1萬家的北美門市。</p> <p>英國專門報導消費者商品的The Grocer則說，當地的兩大連鎖超市Sainsbury與Morrisons，也都因Blue Yonder被駭而遭到波及，其中，Morrisons主要利用Blue Yonder的需求預測及補貨解決方案，來處理新鮮的農產品及冷凍食品，事件發生後已改為手動處理。</p> <p>有媒體分析，駭客或許是故意選在感恩節的前一周發動攻擊，因為Blue Yonder有許多零售業客戶，而此時正是它們的銷售旺季，以迫使Blue Yonder支付贖金。迄今尚未有勒索集團出面承認責任。</p> </div></div></div>
2024/11/26 12:33作者陳曉莉https://www.ithome.com.tw/news/166196
趨勢科技揭露Salt Typhoon攻擊電信業者的惡意程式GhostSpider
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華爾街日報自9月底開始，多次針對<a href="https://www.ithome.com.tw/news/166096">中國駭客組織Salt Typhoon（也被稱為Earth Estries、GhostEmperor、FamousSparrow）攻擊美國電信業者</a>的情況進行報導，受害業者包含AT&T、Lumen、T-Mobile、Verizon，傳出美國政府已著手調查此事，而且，這些駭客的目標還包含其他國家的電信業者。但究竟這些駭客如何發動攻擊？最近有研究人員公布調查結果。</p> <p>資安業者<a href="https://www.trendmicro.com/en_us/research/24/k/earth-estries.html">趨勢科技指出</a>，根據他們自2020年開始的追蹤，這些駭客持續針對政府機關及網際網路服務供應商（ISP）進行長期攻擊，並指出2022年也開始針對電信公司。研究人員認為，駭客從事攻擊行動的目的，是為了更有效收集相關情報。</p> <p>他們發現對方主要鎖定的標的，包含電信公司使用的資料庫、雲端伺服器等重要服務，以及服務供應商的網路環境，駭客會試圖植入名為Demodex的rootkit程式，目的是希望藉此增加存取受害電信業者的管道。</p> <p>在近期攻擊東南亞電信業者的事故裡，這些駭客使用多款後門程式，其中包含未被揭露的GhostSpider、模組化的SnappyBee（Deed RAT）、跨平臺的Masol RAT。根據他們的追蹤，駭客的攻擊行動，根據鎖定的產業類型，大致上可區分為兩種類型Alpha、Beta，其中的Beta攻擊是針對電信業者及政府機關而來。</p> <p>無論是那一種攻擊行動，駭客取得初始入侵管道的方法，主要都是針對曝露於網際網路的應用程式伺服器，並利用已知漏洞來達到目的，這些包含Ivanti Connect Secure漏洞CVE-2023-46805和CVE-2024-21887、FortiClient EMS的SQL注入漏洞CVE-2023-48788、Sophos防火牆漏洞CVE-2022-3236，以及ProxyLogon（CVE-2021-26855、CVE-2021-26857、CVE-2021-26858、CVE-2021-27065）。</p> <p>在Beta攻擊行動裡，駭客初期利用網頁伺服器或是ProxyLogon，取得相關帳密然後控制目標電腦。</p> <p>接著，他們主要使用Demodex長期埋伏於受害組織的網路環境，在近期的攻擊行動裡，對方透過DLL挾持手法載入GhostSpider，此後門程式使用TLS通訊協定，從C2接收藏匿於HTTP標頭及cookie的命令，而能將攻擊流量混入合法流量。</p> <p>而對於攻擊行動Alpha的部分，研究人員提及是針對臺灣的政府機關及化學公司而來，駭客從C2伺服器下載惡意工具，並透過寄生攻擊進行橫向移動。</p> </div></div></div>
2024/11/26 12:43作者周峻佑https://www.ithome.com.tw/news/166197
美超微推出新型JBOF，搭36臺E3.S固態硬碟與BF3資料處理器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/supermicro_ssg-229j-5be36jbf_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了追求更高的固態儲存密度配置，這兩年來，出現越來越多可搭配EDSFF E3.S外形NVMe固態硬碟的伺服器，若以純固態儲存的組態而言，我們過去曾介紹幾款產品，像是<a href="https://www.ithome.com.tw/review/156122">Supermicro（美超微），在2023年發表1U機箱安裝16臺E3.S固態硬碟的X13或H13世代伺服器，以及2U機箱安裝32臺E3.S固態硬碟的X13或H13世代伺服器</a>，<a href="https://www.ithome.com.tw/review/159695">HPE Alletra Storage Server 4110</a>與<a href="http://D:\Dropbox\__New Product\Supermicro SSG-229J-5BE36JBF\雲達QuantaGrid D55X-1U">雲達QuantaGrid D55X-1U</a>，都是1U機箱可安裝20臺E3.S固態硬碟的伺服器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20X13-H13-All-Flash-2024-08.jpg" style="width: 600px;" /></p> <p>8月初2024 FMS大會召開，Supermicro預告將推出X14世代的高密度固態儲存伺服器，而在他們的網站目前已列出兩款機型，分別是：1U機箱安裝16臺E3.S固態硬碟的伺服器SSG-122B-NE316R，以及2U機箱安裝32臺E3.S固態硬碟的伺服器SSG-222B-NE3X24R。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20X14-All-Flash-2024-08.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20X14-All-Flash-2024-08-2.jpg" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20X14%20All-Flash%20NVMe.jpg" style="width: 600px;" /></p> <p>到了10月中適逢2024 OCP高峰會舉行，多家伺服器廠商趁機發表或展出支援大量E3.S固態硬碟的產品，像是永擎電子（ASRock Rack），就展出2U尺寸32臺E3.S固態硬碟的Xeon 6伺服器2U32E3S-GNR2FLW。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2U32E3S-GNR2FLW-1732077874981-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2U32E3S-GNR2FLW-1732077874981-web.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/ASRock Rack Xeon 6700E-series servers.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ASRock%20Rack%20Xeon%206700E-series%20servers.jpg" style="width: 298px;" /></a></p> <p>Supermicro此時推出的產品是兩款快閃儲存櫃（JBOF），其中之一是安裝24臺2.5吋U.2外形固態硬碟的SSG-229J-5BU24JBF，若搭配30.72 TB容量的固態硬碟，整臺設備的原生儲存容量為737 TB，若搭配61.44 TB容量的固態硬碟，整臺設備的原生儲存容量將可達到1.44 PB；另一款是安裝36臺E3.S固態硬碟的SSG-229J-5BE36JBF，若搭配30.72 TB容量的固態硬碟，整臺設備的原生儲存容量將超過1 PB，若搭配61.44 TB容量的固態硬碟，整臺設備的原生儲存容量將可達到2 PB。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20BF3-based%20JBOF.jpg" style="width: 600px;" /></p> <p>相較於一般的硬碟櫃（JBOD）或快閃儲存櫃，Supermicro這兩款產品最大的特色，在於機箱內建兩臺控制器節點模組（Canister），提供雙埠連接的儲存系統（dual-ported system）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20Gen5%20NVMe%20JBOF-Canisters.jpg" style="width: 600px;" /></p> <p>基本上，每臺模組內建1個嵌入式PCIe交換器（原為PLX公司的PCIe交換器，現為Broadcom公司的產品線），最多可支援兩個<a href="https://www.ithome.com.tw/review/156209">Nvidia BlueField-3資料處理器</a>，以及1個Nvidia GPU，不需沿用傳統搭配中央處理器、記憶體，作為子系統（subsystem），而是改用BlueField-3替代，由資料處理器上面的16顆Arm處理器執行儲存應用，同時，還能運用資料處理器的儲存加速功能，可代為處理糾刪碼（erasure coding）、解壓縮、加密演算法，加速處理NVMe/TCP與NVMe-over-Fabric（NVMe-oF）目標端（Target）的卸載，以及硬體支援RoCE、GPUDirect Storage，獲得網路加速處理與GPU直連儲存的能力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20Gen5%20NVMe%20JBOF-expansion.jpg" style="width: 600px;" /></p> <p>整體而言，Supermicro這批JBOF的機箱之所以設置兩個控制器模組，是為了提供雙主動（Active-Active）或主動－被動（Active-Passive）的高可用性機制，可針對雲端儲存的應用需求，提供橫跨多臺JBOF設備的軟體備援與故障切換，當然企業也可只啟用其中一個控制器模組，以節省成本開支。</p> <p>除此之外，單就固態硬碟這一層而言，用戶也能在這批JBOF當中搭配具有雙埠配置的商用產品，例如，可搭配通過Supermicro認證的鎧俠（Kioxia）CM7，若無這方面考量，可搭配的市售PCIe 5.0固態硬碟選擇更多，有鎧俠的CM7、<a href="https://www.ithome.com.tw/review/158091">CD8P</a>，以及<a href="https://www.ithome.com.tw/review/164160">美光（Micron）的9550</a>。 </p> <p>基於上述的高密度配置，Supermicro與Nvidia認為，對於需要縱向擴展（scale-up）與橫向擴展（scale-out）的檔案與物件儲存應用，相當適合，可提供高速的網路與儲存吞吐量——每臺JBOF可達800 Gb/s，並且針對PCIe 5.0固態硬碟提供超過250 GB/s的I/O頻寬，因應AI訓練與高效能運算的工作負載需求。</p> <p>根據Nvidia的測試，若在安裝1個BlueField-3資料處理器的組態下，執行儲存工作負載，這款JBOF的網路連線速度可達到400 Gb/s，總吞吐量為50 GB/s；若用於4KB這類小區塊的隨機讀取工作負載，相較於傳統基於x86處理器而成的JBOF，存取延遲為100微秒，Supermicro新推出的JBOF，存取延遲為86微秒，領先幅度為13％。</p> <p>關於耗電量的部分，由於資料處理器不只是取代JBOF的中央處理器、記憶體，也能涵蓋網路卡及基板控制器（BMC），若以子系統而言，相較於一般硬碟儲存櫃，可節省50％電力，若以整臺快閃儲存櫃（包含固態硬碟）而言，對比傳統架構的快閃儲存櫃，Supermicro新推出的JBOF省電幅度為10％至15％，積少成多，若用於大型、橫向擴展規模的部署，能替整座資料中心節省數千瓦電力。Supermicro表示，若匯集超過100臺快閃儲存櫃系統，最多能節省20千瓦電力，對於資料中心散熱而言，可額外省下10千瓦電力，對於資料中心的電力使用效率（PUE）而言，可達到1.5的水準。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20Gen5%20NVMe%20JBOF.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/jbof-design-simpler.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/jbof-design-simpler.jpg" style="width: 600px;" /></a></p> <p>關於儲存系統、資料管理軟體的搭配上，此批JBOF設備目前有兩款解決方案支援，一款是物件儲存系統Cloudian HyperStore，支援S3物件儲存協定與NFS、SMB檔案儲存協定，另一款是平行檔案系統Hammerspace Global Data Platform，支援單一全域命名空間與資料調度服務，可儲存物件與檔案型態的資料，Supermicro表示，還有幾款儲存解決方案正在測試其支援度。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Supermicro SSG-229J-5BE36JBF</strong></span><br /> ●原廠：Supermicro<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U（449.4 x 88 x 762公釐）<br /> ●儲存媒體容量：36臺E3.S 1T外形NVMe固態硬碟<br /> ●系統組成：2臺節點<br /> ●每臺節點的網路介面：2個GbE埠（Nvidia ConnectX-7或BlueField-3），作為共用LAN埠；1個GbE埠（Realtek）作為IPMI LAN埠<br /> ●每臺節點的擴充介面：3個PCIe 5.0 x16全高全長，可安裝2張DPU與1張GPU<br /> ●電源供應器：2臺2000瓦<br /> ●散熱風扇：6臺</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/11/26 12:54作者李宗翰https://www.ithome.com.tw/review/166177
Nvidia公布可生成混合音樂、人聲音效的AI模型Fugatto
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia本周<a href="https://blogs.nvidia.com/blog/fugatto-gen-ai-sound-model/" target="_blank">發表</a>一個能依文字或音樂檔案提示，生成或修改一首混合音樂、人聲和音效的AI模型，名為Fugatto。</p> <p>現今已有多家廠商，包括Google、Meta推出可生成短曲、音效、或修改現有音樂的AI模型，但Nvidia公布的Fugatto模型號稱生成技巧超越前者。Fugatto可依據用戶輸入的文字，或上傳的音訊檔案，生成或修改音樂、人聲或聲音的元素組合。例如它可以根據使用者文字提示生成音樂片段、在現有歌曲加入一種樂器聲音（或移除），或是改變人聲腔調或是情感，甚至發展出全新的表現方式。</p> <p>Fugatto全名為「Foundational Generative Audio Transformer Opus 1」，是一個基礎生成式transformer模型，為Nvidia在之前語音模型、音訊編碼及音訊理解等基礎上的研發成果。模型本身包含25億參數，是在32顆H100 GPU的DGX系統，在一年多期間，以數百萬音訊樣本及文字資料訓練而成。</p> <p>Fugatto訓練團隊涵括印度、巴西、中國、南韓和約旦。Nvidia指出，研究團隊使用多面向策略產生資料和指令，以確保模型能勝任多種不同任務，他們也審視現有資料集，找出資料間的新關聯性，在不需額外新資料集情況下，使模型學習到新任務且獲致高準確性。</p> <p>例如Fugatto使用名為ComposableART的技術，把原本個別使用的指令組合起來，像是組合多個指令，例如用戶可要求它用悲傷情緒以法語腔說一段文字，還允許插入不同指令的功能，方便使用者微調，像是腔調濃重或是悲傷程度。</p> <p>Nvidia貼出了一段<a href="https://www.youtube.com/watch?v=qj1Sp8He6e4&t=1s" target="_blank">影片</a>，展現Fugatto可為電影創造出震撼的配音。</p> <p>Fugatto還具備時序插入（temporal interpolation）能力，可生成隨時間改變的聲音，像是暴風雨中由近而遠傳遞的雷聲，也提供聲音地景的微調功能。此外，有別於其他多數模型只能重建模型團隊輸入的訓練資料，Fugatto還讓使用者新創造全新的聲音地景，像是風雨過後隨著鳥鳴來到的清晨。</p> <p>各家業者目前皆積極開發生成音樂、人聲及音效的AI技術。<a href="https://www.ithome.com.tw/news/163263" target="_blank">ElevenLabs</a>、<a href="https://www.ithome.com.tw/news/163510" target="_blank">DeepMind</a>都在開發幫影片配音的技術、Meta去年公布可同時接受文字和音訊輸入的<a href="https://www.ithome.com.tw/news/160146" target="_blank">AudioBox</a>。<a href="https://www.ithome.com.tw/news/162049" target="_blank">OpenAI</a>也在今年稍早公布了以15秒樣本生成人聲的模型。</p> </div></div></div>
2024/11/26 13:03作者林妍溱https://www.ithome.com.tw/news/166198
威聯通修補路由器OS與NAS加值軟體重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月23日臺灣網路設備業者威聯通（QNAP）發布資安公告，針對旗下產品修補超過30項漏洞，其中，<a href="https://www.qnap.com/go/security-advisory/qsa-24-44">路由器作業系統QuRouter</a>、<a href="https://www.qnap.com/go/security-advisory/qsa-24-36">NAS協作應用程式Notes Station 3</a>存在重大層級漏洞，相當值得留意。</p> <p>根據CVSS風險評分，最嚴重的是<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-48860">CVE-2024-48860</a>，此漏洞出現於QuRouter，為作業系統命令注入漏洞，一旦攻擊者成功利用，就有機會遠端執行命令，4.0版CVSS評分為9.5。</p> <p>另外2個重大漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-38643">CVE-2024-38643</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-38645">CVE-2024-38645</a>，出現在Notes Station 3，其中較嚴重的是CVE-2024-38645，此為伺服器請求偽造（SSRF）漏洞，若是攻擊者成功利用漏洞，有機會在通過身分驗證的情況下，遠端讀取應用程式資料，風險值為9.4。</p> <p>至於CVE-2024-38643則與重要功能缺乏身分驗證有關，一旦攻擊者觸發漏洞，就可能遠端存取並執行特定的功能，CVSS風險為9.3。</p> </div></div></div>
2024/11/26 11:31作者周峻佑https://www.ithome.com.tw/news/166195
微軟AI開發工具包Semantic Kernel推出OpenAPI擴充，提升智慧功能開發靈活性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布其人工智慧開發工具包<a href="https://devblogs.microsoft.com/semantic-kernel/announcing-the-ga-release-of-the-openapi-plugin-for-net-and-python-in-semantic-kernel/">Semantic Kernel的OpenAPI擴充功能</a>，進入一般可用階段，全面支援.NET與Python。該項更新讓開發者將現有API轉換為擴充套件，進一步強化人工智慧代理的應用能力，更容易實作多元人工智慧解決方案。</p> <p>Semantic Kernel是由微軟開發的開源軟體開發套件，目的是將諸如OpenAI、Azure OpenAI和Hugging Face等大型語言模型，與C#、Python和Java等語言編寫的程式整合，開發者可以更簡單地在應用程式中引入語言模型，大幅降低人工智慧應用的開發門檻。</p> <p>OpenAPI則是一個開源標準規範，藉由利用機器可讀格式，像是JSON或是YAML，描述RESTful API的結構與行為，其詳細定義了API端點、請求參數、回應格式與認證方式等細節，讓開發者能夠清晰地了解和使用API。OpenAPI專案由OpenAPI Initiative管理，其前身為Swagger，致力於促進API標準化和互通性，被廣泛用於生成文件、自動化測試和模擬服務。</p> <p>微軟這次針對Semantic Kernel的OpenAPI擴充功能，讓開發者可以利用企業現有的API基礎，將其轉換成為人工智慧代理可以使用的擴充套件，提升整體效率和功能靈活性。例如智慧家電場景，開發者就可以依據OpenAPI規範建立擴充套件，讓人工智慧代理能夠控制燈光開關。這樣的方式不僅降低系統整合的難度，也擴展了人工智慧代理的實際應用規範。</p> <p>微軟同時還推出簡單易用的整合工具，無論是.NET還是Python開發者，只需要透過幾行程式碼，即可完成套件匯入。微軟同時建議開發者，使得開發者的OpenAPI的規範更容易被人工智慧代理理解，例如簡化端點數量、清晰的命名參數，以及提供範例請求與回應資料，進一步提升規範的可讀性，最佳化人工代理的執行結果。</p> <p>除此之外，<a href="https://devblogs.microsoft.com/semantic-kernel/announcing-the-ga-release-of-filters-for-net-and-python-in-semantic-kernel/">Semantic Kernel的.NET和Python也新增過濾器（Filters）功能</a>，這項更新替開發者提供更多的控制和透明度，確保人工智慧函式執行的每個環節，都能符合負責任的人工智慧應用實務。Filters包括函式呼叫過濾器、提示詞渲染過濾器以及自動函式呼叫過濾器，支援參數驗證、例外處理、提示詞修改，和執行流程中斷等功能。每種過濾器都提供上下文物件和回呼機制，協助開發者實現敏感資料清理、錯誤恢復和效率最佳化，使企業級人工智慧解決方案更加安全可信。</p> </div></div></div>
2024/11/26 08:19作者李建興https://www.ithome.com.tw/news/166193
【資安日報】11月25日，俄羅斯駭客在軍事行動前夕，藉由跳版入侵目標組織的無線網路環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年，有研究人員揭露利用Wi-Fi無線網路從事近距離、非接觸式的攻擊手法，但這樣的手段鮮少在實際的資安事故曝光，如今有研究人員公布此種類型攻擊行動。</p> <p>資安業者Volexity指出，2年前俄羅斯駭客組織APT28就是利用類似的策略，先攻擊目標組織鄰近的企業，再藉由這些跳板存取目標組織的Wi-Fi網路，從而進行相關的情報收集。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166183"><strong style="font-size: 22px;">俄羅斯駭客APT28發動Nearest Neighbor攻擊，目的是收集烏克蘭情報</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/nearest-neighbor-attack001-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/nearest-neighbor-attack001-1.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Volexity上周揭露了俄羅斯駭客組織APT28精心設計的攻擊行動「Nearest Neighbor Attack」，由於APT28打算攻擊的組織，在各個公共服務採用了多因素身分驗證（MFA），使得APT28最終選擇攻陷該組織的各個「鄰居」，再藉由鄰近電腦入侵未執行MFA的Wi-Fi網路。</p> <p>這起攻擊事件發生在2022年2月，正巧是俄羅斯入侵烏克蘭的前夕，APT28的目的是蒐集該組織中涉及烏克蘭的個人或專案資料。</p> <p>調查發現，APT28先針對目標組織外部服務發動密碼潑灑攻擊，儘管已經取得了帳號及密碼，卻無法通過這些服務的多因素驗證，於是轉向較少採用MFA的Wi-Fi網路，然而，APT28與目標組織之間有半個地球的距離，使得駭客決定從目標的鄰居著手。</p> <p><a href="https://www.ithome.com.tw/news/166188"><strong style="font-size: 22px;">出現命名意圖與兩大AI平臺混淆的可疑開發套件，目的是散播竊資軟體JarkaStealer</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/JarkaStealer-in-pypi-packages-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/JarkaStealer-in-pypi-packages-01.jpg" style="width: 300px; float: right;" /></a></p> <p>生成式AI當紅，許多開發者加入運用這類工具的行列，但駭客也伺機而動，企圖假借相關名目散布惡意軟體。</p> <p>資安業者卡巴斯基指出，他們在PyPI套件庫當中，發現2個惡意套件，提供這些套件的人士聲稱，一旦安裝之後，開發人員就能使用這些程式庫與熱門的大型語言模型（LLM）協同合作。但實際上，對方其實是濫用展示版本的ChatGPT掩人耳目，真正的目的，就是要在開發人員的電腦植入竊資軟體JarkaStealer。</p> <p>而對於這款竊資軟體的來歷，研究人員指出是由慣用俄文的開發者製作，具備從各種瀏覽器竊取資料的能力，或是從Telegram、Discord、Steam等應用程式盜竊連線階段（Session）的Token。此外，攻擊者還能中斷受害電腦的瀏覽器運作，以便搜尋瀏覽器存放的特定資料。</p> <p><a href="https://www.ithome.com.tw/news/166191"><strong style="font-size: 22px;">北捷AI客服遭網友測試發現可代寫程式碼，北捷緊急斷開Azure Open AI回應功能</strong></a></p> <p>台北捷運提供的AI智慧客服，協助真人客服減輕工作壓力，提供旅客24小時AI客服，不過，近期有網友測試後發現，北捷AI智慧客服竟然可以提供程式碼範例，引發其他網友測試，事件發生後，台北捷運接獲通報，已緊急要求廠商斷開串接Azure Open AI，讓AI客服回到旅客搭乘捷運相關問題的應答功能。</p> <p>對此，台北捷運初步研判原因為，網友以程式語言測試捷運AI智慧客服，超出原先設定的資料庫範圍，系統透過Azure OpenAI回應，因此台北捷運立即要求廠商斷開串接功能，回到北捷已建置的旅客常見問題應答。</p> <p>由於沒有對民眾提出的問題請求設限，擋掉和台北捷運旅客服務以外的無關問題，如果長時間遭到外界濫用，可能導致生成式AI鉅額的收費外，有心人士可能測試各種提問方式，還可能設法騙取AI客服回應企業內的敏感資料，可能衍生出資安的風險。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/google-exposes-glassbridge-pro-china.html">中國Storm-2077架設影響力網路GlassBridge，意圖對美國政府機關、非政府組織散布假新聞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/k/lodeinfo-campaign-of-earth-kasha.html">中國駭客Earth Kasha發起LodeInfo攻擊，將範圍從日本延伸到臺灣、印度</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cyber-espionage-campaign-north-korean-actors-deploy-beavertail-and-invisibleferret/">北韓駭客鎖定開發人員而來，藉由NPM套件散布惡意程式BeaverTail、InvisibleFerret</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/hamas-affiliated-wirte-employs-samecoin.html">哈馬斯駭客Wirte鎖定以色列企業組織，散布資料破壞軟體SameCoin</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/librenms-vulnerability-cve-2024-51092-mitigating-the-risk-of-server-compromise/">網路流量監控系統LibreNMS存在重大漏洞，攻擊者有機會執行作業系統層級命令</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166164"><strong style="font-size: 22px;">資安新創Wiz買下雲端安全業者Dazz</strong></a></p> <p></p> <p>今年傳出拒絕Google收購的雲端資安業者Wiz上周四（11月21日）宣布，將買下另一資安新創Dazz，以強化該公司的風險緩解能力。雙方並未公布交易細節，但外傳此交易價值約4.5億美元。</p> <p>Wiz共同創辦人暨執行長Assaf Rappaport指出，Dazz的修復引擎能幫助安全團隊連結不同來源的資料，並透過一個統一平臺有效管理應用程式風險；其先進的映射功能可精準找出問題根源，使工程師能直接在程式碼中修復安全漏洞，同時將重要的雲端環境無縫整合至安全工作流程中。Rappaport 強調，在徹底改變修復流程與應用程式安全的旅程中，Dazz是最理想的合作夥伴。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166161"><strong>【11月22日】駭客疑似利用零時差漏洞入侵2千臺Palo Alto Networks防火牆</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166142"><strong>【11月21日】中國駭客鎖定南亞及非洲一帶一路國家的電信業者從事間諜活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166119"><strong>【11月20日】勒索軟體Helldown潛入受害組織，管道是兆勤防火牆的弱點</strong></a></p> </div></div></div>
2024/11/25 16:54作者周峻佑https://www.ithome.com.tw/news/166190
北捷AI客服遭網友測試發現可代寫程式碼，北捷緊急斷開Azure Open AI回應功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台北捷運提供的AI智慧客服，協助真人客服減輕工作壓力，提供旅客24小時AI客服，不過，近期有網友測試後發現，北捷AI智慧客服竟然可以提供程式碼範例，引發其他網友測試，事件發生後，台北捷運接獲通報，已緊急要求廠商斷開串接Azure Open AI，讓AI客服回到旅客搭乘捷運相關問題的應答功能。</p> <p>台北捷運是在2022年11月推出AI智慧客服，提供乘車旅客即問即答的客服服務，後續還提供事件通報功能，讓旅客可以通報飲料打翻、車站或車廂內有髒污等事件，北捷估計每月使用量超過10萬人次。今年3月，北捷AI智慧客服升級，串接Azure Open AI，讓旅客可以和AI智慧客服對話，提供搭乘台北捷運相關資訊。</p> <p>然而，有民眾近日測試後發現，北捷AI智慧客服功能遠不只如此，該民眾要求AI協助提供程式碼範例，AI客服雖然沒有提供完整程式碼，但仍提供一段程式碼範例，該民眾在Threads發文後，在網路上發酵，吸引不少網友跟進測試，以各種不同請求測試AI客服，甚至釣出AI客服的應答規則，更有人調侃網友熱心幫台北捷運AI客服除錯。</p> <p>下圖截自Threads：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Threads-600.jpg" style="width: 600px; height: 711px;" /></p> <p>台北捷運表示，接到通報後，已要求廠商立即斷開串接Azure Open AI功能，回歸到提供旅客常見問答題庫，以回應旅客詢問，目前旅客詢問捷運相關資訊，像是首末班車諮詢、遺失物協尋服務等等皆正常服務。</p> <p>由於事件發生後，吸引大批網友測試，導致該服務使用的Token量爆增，可能導致使用生成式AI費用激增，對此，台北捷運強調，接到通報後已立即要求廠商斷開串接Azure Open AI，因發現異常即立即處置，並無明顯費用產生。</p> <p>台北捷運初步研判原因為，網友以程式語言測試捷運AI智慧客服，超出原先設定的資料庫範圍，系統透過Azure OpenAI回應，因此台北捷運立即要求廠商斷開串接功能，回到北捷已建置的旅客常見問題應答。</p> <p>由於沒有對民眾提出的問題請求設限，擋掉和台北捷運旅客服務以外的無關問題，如果長時間遭到外界濫用，可能導致生成式AI鉅額的收費外，有心人士可能測試各種提問方式，還可能設法騙取AI客服回應企業內的敏感資料，可能衍生出資安的風險。</p> <p>對此，台北捷運回應，此次雖然一發現異常就立即處置，所幸沒有明顯費用產生，但後續將邀請相關單位召開會議，研議AI智慧客服精進做法，並請廠商提出檢討報告，由台北捷運公司的資安長督導應用單位建立檢核機制。</p> <p>生成式AI帶動一波AI應用浪潮後，不少公司期待運用生成式AI帶來的效益，特別是在客戶服務方面，因少子化缺工問題，為減輕真人客服的工作壓力，導入生成式AI精進AI客服能力，此次台北捷運AI智慧客服，反映企業使用生成式AI對外提供服務，類似應用在上線前應該謹慎檢測，避免使用者提出服務以外的請求，可能導致被濫用，甚至產生資安的風險。</p> </div></div></div>
2024/11/25 17:36作者蘇文彬https://www.ithome.com.tw/news/166191
GovTech月報第35期：政府以微波、非同步軌道衛星強化離島通訊韌性；美國底特律市擬開放民眾使用加密貨幣付稅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1022~1122)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位韌性</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">衛星</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>政府以海纜、微波、衛星多元通訊加強金門等離島通訊韌性</strong></span></p> <p>數位部推動我國通訊數位韌性，近期在金門展示成果，除了繼續拓展海纜通訊之外，還結合微波、非同步軌道衛星來強化離島地區的通訊韋韌性，降低天災或緊急狀態造成通訊服務中斷的風險。</p> <p>相較於臺灣本島，金門、馬祖等離島因距離臺灣較遠，常因為地震、颱風或是漁船等人為原因造成海纜發生故障，影響當地的網路通訊服務，例如去年馬祖就曾因為與臺灣間的兩條海纜發生故障，影響當地民眾生活，金門也曾因為海纜發生異常，影響民眾生活。</p> <p>政府通過經費補助鼓勵電信業者加強離島地區建置多元通訊網路，以金門為例，除了寬頻海纜建置之外，還結合無線微波，微波容量達3.5Gbps，數位部並且和金門縣政府合作，測試以OneWeb低軌衛星通訊，在緊急狀態導致一般通訊服務中斷下，提供縣府基本、安全的通訊服務。</p> <p>以寬頻網路為基礎，發展數位應用，以縮短離島與本島間的數位落差，例如運用高速寬頻網路、5G，展示遠距AI診間、5G遠距醫療，以強化醫療資源不足的外島地區就醫需求，還發展古蹟智慧導覽、智慧教育等應用。</p> <p>利用寬頻通訊網路展示古蹟智慧導覽服務：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(4).jpg" style="width: 600px; height: 505px;" /></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">加密貨幣</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">稅費</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>美國底特律市開放民眾以加密貨幣付稅</strong></span></p> <p>美國的底特律市近期宣布將開放民眾透過PayPal管理的安全平臺，以加密貨幣來支付政府的稅款或其他規費，加上近期美國各州指控聯邦政府干預加密貨幣過嚴，以及即將上臺的川普政府支持加密貨幣，預示美國可能大力擁抱加密貨幣。</p> <p>底特律市政府財政辦公室近期指出，民眾可以選擇使用加密貨幣繳納市政府稅費，這項新政策將使這座密西根州最大城市，成為美國至今接受加密貨幣繳交政府稅費的最大城市，底特律市政府計畫在2025年中開始推出，伴隨該服務的開放，也需要更新市政府的支付服務。</p> <p>隨著拜登政府即將下臺，川普政府即將上位，新舊政府即將交替之際，美國18個州日前組成聯盟，狀告美國證券交易委員會（SEC）過度監管各州推動加密貨幣法令；與此同時，外傳川普上任後，將會在聯邦政府設立加密貨幣相關的管理單位，種種跡向顯示美國可能改變對加密貨幣的政策立場，轉而擁抱加密貨幣。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">5G</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AIoT</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>臺南市污水處理廠導入5G及AIoT，以水質智慧化管理強化供水韌性</strong></span></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/a-600.jpg" style="width: 600px; height: 400px;" /></strong></span></p> <p>臺南市政府在水資源管理積極導入新科技，近期市府與國發會合作，以永康水資源回收中心作為水資源智慧管理的示範場域，結合5G專頻專網及AIoT，強化水質即時監控管理，以提供南科園區半導體產業穩定的水資源。</p> <p>永康水資源回收中心將民生污水處理廠與再生水廠合併設計，位於臺南市永康地區，佔地約9.67公頃，民生使用過的污水經過處理後，再生水再透過管道提供南科園區使用，為臺南市建立水資源管理及供水韌性的重要一環。</p> <p>該座水質源回收中心利用5G專頻專網來建置IoT網路，在水質監控的「前哨」，於關鍵位置建置感測器，以提前30分鐘預先感測水質變化，並建立相關的辨識系統，以辨識大型垃圾或是油脂、水位高低，以掌握進水狀況，當發現異常時，立即向管理單位發送警示，此外，也利用生成式AI學習專家知識，提供相關的處理建議，加快應變速度；感測數據上傳至區塊鏈，確保數據的真實性。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">生產效率</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>澳洲政府測試導入生成式AI，平均可為公務人員每天節省1個小時</strong></span></p> <p>澳洲政府去年開始測試公共服務部門使用生成式AI，測試為期半年時間，近期評估報告指出，參與測試的公務人員每天平均可節省1個小時，提升行政效率。</p> <p>澳洲公共服務部門（APS）是在去年11月開始測試計畫，導入Microsoft Copilot 365，約有60多個政府部門，共7,600名公務人員參加測試，經過6個月的測試使用，參與的公務人員運用生成式AI工具，所節省的時間主要在於任務型的工作，例如作筆記、製作會議記錄，以及其他行政作業上的工作。</p> <p>另外，超過7成的參與者對使用AI工具感到滿意，近7成的人認為使用AI工具加速他們的工作，約6成的人則認為提升工作品質；不過，該報告也發現雖然帶來節省時間的好處，但也需要花費時間檢視AI產生的內容是否有錯誤，同時在測試中也發現在AI訓練中社會偏見影響政府服務，AI模型可能複製偏見，導致產生不公平的內容或建議，例如可能偏向西方價值觀，錯誤運用原住民文化及資訊。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">詐騙</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>行政院明年將提出打詐行動綱領2.0，加強運用AI工具防詐</strong></span></p> <p>為遏止詐欺盛行，行政院繼完成打詐專法「詐欺犯罪危害防治條例」，加重詐欺刑責，並配套修法三法，從源頭加強管理，防止詐騙集團利用金融、網路、電信進行詐騙，行政院透露明年計畫提出新世代打擊詐欺策略行動綱領2.0，其中一項手段是運用AI工具防止詐騙，預計於明年1月實施。</p> <p>研擬中的打詐行動綱領2.0將交由數位部統籌，聚焦在數位經濟產業治理，包括運用AI、深化跨境合作、監管關鍵產業、加強被害保護等重點，並建立提升防詐意識、減少發生數、降低財損數3大目標。</p> <p>事實上在今年，政府已開始運用AI技術投入防詐工作，例如數位部資安院研發運用AI技術的廣告自動化巡檢技術，用以自動巡檢大量的廣告，每月可檢測超過50萬筆廣告，當偵測到詐騙廣告，後續通報處理，宣稱其AI偵測詐騙廣告準確度達93％。行政院明年提出新世代打詐行動綱領2.0，預期將加速發展AI工具投入防詐工作。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">區塊鏈</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位債券</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>英國以區塊鏈技術推動數位政府債券試驗</strong></span></p> <p>英國政府正計畫運用區塊鏈技術推動數位政府債券，運用分散式帳本技術來提升英國政府金融部門的透明度及效率。</p> <p>該國正在諮詢相關專家，嘗試以區塊鏈為基礎打造數位債券，將分散式帳本技術整合到政府的財務運作，英國政府希望以此探索創新的公共債務管理方式，並且提高交易的自動化、透明度，該項試驗由英格蘭銀行與金融監管部門在數位證券的沙盒中進行。</p> <p>在此之前，英國央行原本對加密貨幣提出質疑的態度，然而在新的數位債券試驗中，可以看到英國央行對區塊鏈技術的應用抱持興趣，此舉也呼應世銀、歐洲投資銀行對採用區塊鏈發行債券的趨勢。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">管理</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size: 22px;"><strong>紐西蘭提出數位身分服務信賴框架</strong></span></p> <p>紐西蘭政府近期確定該國的數位身分服務信賴框架，明確提出可被信賴的數位身分服務應遵守的規範，涵蓋個人隱私及安全，以增加民眾對於使用數位身分服務的信賴，自主管理他們的個人身分資訊。</p> <p>紐西蘭的數位化政府部表示，民眾希望能夠透過線上，以安全可靠的方式來完成他們每天的工作。該信賴框架為未來紐西蘭政府推動數位身分服務預先鋪路，未來預期可能出現的數位身分服務包括數位駕照、銀行ID或特定的產業證照。</p> <p>紐西蘭政府指出，數位身分服務可以讓人們不再需要提供重要紙本證件的掃描或影本，民眾自主選擇分享哪些資訊，與哪些服務提供者分享。而透過該信賴框架，透過數位皮夾或App來使用第三方服務，分享的身分資訊受到加密保護，且服務提供者取得身分資訊的前提是要取得民眾的同意。另外，數位憑證由民眾持有，發行憑證單位不會知道或監控民眾如何使用憑證。</p> <p> </p> <p>圖片來源／金門縣政府、臺南市政府、台灣大哥大</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.波蘭計畫投入2.3億歐元發展AI，包括在地化LLM</strong></p> <p><strong>2.阿拉伯將導入IoT技術，為政府機關大樓節省用電、用水</strong></p> <p>資料來源：iThome整理，2024年11月</p> </div></div></div>
2024/11/25 17:36作者蘇文彬https://www.ithome.com.tw/news/166170
出現命名意圖與兩大AI平臺混淆的可疑開發套件，目的是散播竊資軟體JarkaStealer
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI當紅，許多開發者加入運用這類工具的行列，但駭客也伺機而動，企圖假借相關名目散布惡意軟體。</p> <p>資安業者卡巴斯基指出，他們在PyPI套件庫當中，<a href="https://www.kaspersky.com/blog/jarkastealer-in-pypi-packages/52640/">發現2個惡意套件</a>，提供這些套件的人士聲稱，一旦安裝之後，開發人員就能使用這些程式庫與熱門的大型語言模型（LLM）協同合作。但實際上，對方其實是濫用展示版本的ChatGPT掩人耳目，真正的目的，就是要在開發人員的電腦植入竊資軟體JarkaStealer。</p> <p>值得留意的是，這些套件上架超過一年，約有逾30國、1,700個使用者下載、安裝。</p> <p>其中一個套件名為gptplus，開發者號稱能從OpenAI存取名為GPT-4 Turbo的API；另一個稱做claudeai-eng，開發者宣稱能從Anthropic PBC存取Claude AI的API。</p> <p>雖然兩者聲稱的功能有所不同，但研究人員發現，對方都提供了範本，解釋如何與語言模型建立聊天頻道並傳送訊息。然而實際上，這些套件將會與ChatGPT的展示代理伺服器進行互動，使得受害者誤以為套件具備開發者標榜的功能。</p> <p>將套件的__init__.py檔案內容進行解析，他們發現這些套件執行後，會解密特定的內部資料，從程式碼儲存庫GitHub下載JavaUpdater.jar，最終解開得到惡意軟體JarkaStealer。特別的是，駭客還會檢查電腦是否部署了Java執行環境（JRE），假如沒有，還會自動從雲端儲存空間Dropbox下載、安裝，而目的就是要執行埋藏於JAR檔案裡的竊資軟體JarkaStealer，以便在無法偵測的狀態下竊取資料。</p> <p>而對於這款竊資軟體的來歷，研究人員指出是由慣用俄文的開發者製作，具備從各種瀏覽器竊取資料的能力，或是從Telegram、Discord、Steam等應用程式盜竊連線階段（Session）的Token。此外，攻擊者還能中斷受害電腦的瀏覽器運作，以便搜尋瀏覽器存放的特定資料。</p> </div></div></div>
2024/11/25 16:12作者周峻佑https://www.ithome.com.tw/news/166188
英國將在明年訂定加密貨幣的監管框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>彭博社（Bloomberg）上周<a href="https://www.bloomberg.com/news/articles/2024-11-21/uk-to-unveil-long-awaited-crypto-stablecoin-rules-early-in-2025?embedded-checkout=true" target="_blank">報導</a>，英國財政部經濟事務大臣Tulip Siddiq 在上周舉行的代幣化高峰會（The Tokenisation Summit）上透露，英國將在明年初公布外界期待已久的加密貨幣及穩定幣的規範，制定單一的加密貨幣監管框架。</p> <p>Siddiq說，前保守黨政府原本預計在今年夏天，通過與穩定幣及質押有關的加密貨幣法案，但因大選而延後。保守黨在英國今年7月的大選中敗給了工黨，工黨指派的財政大臣為Rachel Reeves，Siddiq則是經濟事務大臣，負責金融相關政策的制定與推行。</p> <p>根據新政府的規畫，穩定幣不再被納入現有的支付服務法規中，因為現有法令並不適用於穩定幣，而是要建立一個統一的加密貨幣監督框架，以跟上美國與歐盟的行動，並吸引相關產業。</p> <p>英國國會在今年9月便曾<a href="https://www.gov.uk/government/news/new-bill-introduced-in-parliament-to-clarify-cryptos-legal-status" target="_blank">提出</a>一項納入了數位資產的財產法案，是英國首次將加密貨幣、數位藝術等非同質化代幣（NFT），以及碳權等數位資產視為個人財產。</p> </div></div></div>
2024/11/25 14:27作者陳曉莉https://www.ithome.com.tw/news/166185
「零信任博士」的實踐觀察，揭示零信任挑戰與應用未來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>零信任架構（ZTA）在美國政府的推動下，已經成為全球政府與企業積極推動的網路安全架構，臺灣從政府到企業也非常認同零信任架構。在這個理論推動的過程中，除了有零信任架構的提出者、現任Illumio傳道士John Kindervag，各界稱之為「零信任之父」外，另外也有被譽為「零信任博士」（Dr. Zero Trust）的Dr. Chase Cunningham。</p> <p>Chase Cunningham不僅是零信任架構的支持者，也同時是推動零信任架構的實踐者，而其軍事背景出身，曾經在美國國家安全局（NSA）、海軍、聯邦調查局（FBI）等單位累積實戰經驗，並陸續在許多企業擔任網路安全顧問，有利於將零信任架構轉化成為實際可用的策略框架。</p> <p>Chase Cunningham日前來臺參加「零信任架構實踐高峰論壇」的媒體專訪時表示，零信任架構的核心原則是「永不信任，始終驗證」（Never Trust、Always Verify），這一原則徹底顛覆了傳統網路安全模型中對內部邊界的信任假設。他指出，隨著數位化轉型、雲端技術的普及以及第三方供應商的依賴，對傳統的「信任邊界」模式已經不再適用，企業需要重新定義網路安全的基石。</p> <h2><strong>零信任架構改變傳統資安對內部邊界的信任</strong></h2> <p>面對網路威脅日益複雜，零信任架構成為一項革命性的安全框架，Chase Cunningham表示，零信任的基礎原則「永不信任，始終驗證」則打破傳統網路安全的信任假設，也徹底改變傳統資安模型──側重於保護明確的內部邊界、假設外部威脅為主要風險的理念。</p> <p>Chase Cunningham認為，零信任架構是「重新定義網路安全的基石」，取消對任何內部或外部用戶、設備的預設信任，顛覆了企業對「信任」的傳統認知，強調所有的存取操作，都必須基於客觀驗證和持續的風險評估。</p> <p>而隨著企業數位化轉型、遠距辦公的普及、雲端技術的使用，以及第三方供應商的普遍，Chase Cunningham指出，傳統的「信任邊界」（Trust Boundary）模式已經變得越來越模糊，甚至難以識別。</p> <p>他進一步解釋，零信任架構的基本原則有三點，「永不信任，始終驗證」指的是：所有進入網路的請求都必須經過驗證和授權，無論來源是內部還是外部；「最小權限原則」僅允許用戶和設備存取完成任務所需要的最低權限，防止多餘權限導致安全風險；而「動態調整與持續監控」則意味著：通過即時檢測和動態調整存取策略，快速應對潛在威脅。</p> <p>Chase Cunningham也觀察到，內部攻擊和員工疏忽所造成的安全事件頻率，已經遠遠高於外部攻擊；加上勒索軟體和社交工程攻擊手段的進步，傳統防火牆早已無法應對日益增加的進階持續性威脅（APT）；而攻擊者一旦進入內部網路，可以在未隔離的系統中橫向移動，更容易獲取敏感的資料。</p> <p>加上，許多企業依賴外部供應商，但這些供應商的安全防護能力參差不齊；甚至於，許多監管機構已將零信任納入其標準，例如，美國的行政命令則要求，所有政府機構都要採用零信任架構，特別針對重要關鍵基礎設施領域。</p> <h2><strong>推動零信任架構面臨的四大挑戰</strong></h2> <p>對於推動零信任架構的過程中，Chase Cunningham坦言，其中的確面臨一些挑戰。首先，他表示，零信任架構需要整合多種技術，像是身分驗證、網路分割、即時威脅監控等，最明顯的就是，許多企業現有的基礎設施並不支持這些功能。</p> <p>例如：身份驗證系統的不足，部分企業仍依賴弱密碼和單因子驗證，無法滿足零信任的高標準；加上網路架構的複雜性，導致企業內部缺乏清晰的資產分段與隔離，導致橫向攻擊無法被及時阻止。</p> <p>而許多關鍵基礎設施內部的系統老舊，許多小型企業缺乏足夠資源等，加上許多企業內部的系統缺乏互通性，都使得系統整合愈形困難，這也造成零信任政策難以全面實施推動。</p> <p>其次，零信任的實施方法不僅需要技術支持，更需要企業文化的配合，Chase Cunningham特別提到，零信任強調的雖然是「不預設信任」，這並不意味著企業對員工不信任，而是基於風險管理的必要性。</p> <p>他強調，零信任是一種風險管理工具，並不涉及對員工的道德或能力評價，而是針對行為的安全管理策略，所以，為了避免引發員工牴觸零信任推動的情緒，成功的零信任實施，需要高層領導的支持和全體員工的協作，企業應通過教育和溝通，幫助員工理解零信任的真正價值。</p> <p>他也將零信任比喻作一艘船的防水艙設計，船艙之間的隔離，能防止單個船艙破損後則導致整艘船沉沒，這種類比，強調零信任架構可以防止整個企業在網路攻擊中「沉沒」，展現了在保持企業營運完整性的同時，也做到隔離脆弱性的必要性。「這種分隔設計，很精準詮釋了零信任的精髓。」他說。</p> <p>第三點則是，零信任架構的部署往往需要投入大量資金，特別是對於需要升級基礎設施、或重新設計網路架構的企業來說，這是一項長期投資，許多中小型企業在資金和專業知識方面的匱乏，更使得實施進程更加緩慢。</p> <p>因此，Chase Cunningham建議，企業需要在現有預算下尋找成本與效益的平衡點，可以從高風險領域（如資料存取）入手，逐步擴展零信任的覆蓋範圍。</p> <p>最後，Chase Cunningham認為，外界將零信任視為產品而非全面的安全架構，是最大的誤解，也是最難的挑戰。他進一步表示，許多企業將零信任視為一種「產品」或單一解決方案，但事實上，零信任其實是一個綜合性的安全架構，並無法通過購買單一工具來實現。「企業需要根據自身需求設計適合的零信任策略，並選擇合適的技術進行實施。」他說。</p> <h2><strong>實施零信任架構的五步驟</strong></h2> <p>為了幫助企業成功部署零信任架構，Chase Cunningham提出了五步驟的實施框架，從身份驗證到數據保護，涵蓋了零信任的所有核心要素，作為實施零信任的必要措施。</p> <p>因為實施零信任是一個系統性工程，透過分步驟的實施框架，也可以幫助企業按照清晰的策略逐步推進。他強調，零信任不是一種單一技術，而是一種持續演進的安全模式，因此企業需要根據自身情況，靈活設計部署計劃。</p> <p><strong>步驟 1：身份驗證與存取控制（IAM）</strong></p> <p>身份驗證是實施零信任架構的核心起點，目的是確保每個存取請求，都是來自經過驗證的用戶或設備。</p> <p>目前常見的身分驗證技術可以使用多因素認證（MFA），使用密碼加上另外的生物識別技術（例如指紋或是臉部識別），為傳統的密碼身分驗證方式，增加額外的驗證機制；另外，FIDO（Fast Identity Online，FIDO）網路身分識別技術，減少對傳統密碼的依賴，提升身分驗證效率和安全性。</p> <p>此外，也要針對設備進行驗證，不僅驗證人員身份，還要確保設備的合法性及設備健康狀態，以防止被感染的設備進入企業內部網路。</p> <p><strong>步驟 2：網路分割（Segmentation）</strong></p> <p>網路分割是限制威脅擴散的有效手段，Chase Cunningham指出，可以透過微分割（Micro-segmentation）的方式，將網路切分為小範圍的隔離區域，限制橫向移動，例如，敏感數據伺服器可以單獨隔離，確保即使某一區域被攻陷，其他部分仍然安全，可以防止攻擊者在系統內部進一步擴散。</p> <p>另外，也可以使用基於角色的存取控制（Role-based Access Control，RBAC），這是一種基於用戶的角色（Role）來分配存取權限，這些角色通常與用戶的職責或工作職位相關，而不是直接分配給個別用戶的作法，限制系統或網路中的用戶存取權限，確保用戶僅能存取其職責範圍內的資源，做到細粒度的存取控制</p> <p>RBAC是零信任架構中不可或缺的一部分，它的角色導向存取控制方法為組織提供了一種既高效又安全的權限管理方式，可以做到支持動態以及更精細化的資源保護。</p> <p><strong>步驟 3：即時監控與動態策略</strong></p> <p>零信任要求持續監控所有存取操作，根據風險情況動態的即時調整存取控制策略，並能即時回應異常行為，可以使用AI和機器學習技術來分析行為模式，做到快速識別和阻止潛在攻擊。</p> <p>例如，利用人工智慧和機器學習分析行為異常，快速識別可能的攻擊行為，做到即時威脅檢測；另外，也可以結合NIST SP800-207標準框架，根據存取行為、地點和時間的變化，動態更新調整存取權限。</p> <p><strong>步驟 4：資料保護</strong></p> <p>資料是企業的核心資產，Chase Cunningham認為，資料保護是零信任的最終目標，但也是最具挑戰性的部分。因此，他建議企業應該對資料進行分類，並且根據資料的敏感度採取不同的加密和存取策略。</p> <p>像是對於動態和靜態資料進行加密，可以確保資料傳輸和儲存的安全性外，也要做到將資料分類與標籤，針對機敏資料採取更嚴格的保護措施。</p> <p><strong>步驟 5：協作與自動化</strong></p> <p>Chase Cunningham強調協作（Orchestration）是零信任成功的關鍵之一，企業需要整合不同的安全技術，要透過自動化流程減少人為錯誤，藉由自動化工具實現高效的協同操作。</p> <p>他表示，可以利用遙測技術（Telemetry）收集和分析網路活動資訊，利用可視化工具掌握整體環境；更可以利用自動化技術，快速回應安全事件，減少攻擊損害。Chase Cunningham強調協作（Orchestration）的重要性，指出多層面的安全整合若未能有效協同，將導致防護失敗，而有效的協作依賴於適當解決方案的實施、可視性分析和遙測。其中，NIST SP800-207框架的一個關鍵要素是：確保安全政策如預期運作，進一步突顯了協作在網路安全策略中的重要性。</p> <h2><strong>推動零信任，有助深化各行業資料和系統安全</strong></h2> <p>隨著技術的發展，零信任的應用不再局限於少數高風險行業，而是成為普遍適用的框架。Chase Cunningham提到，美國聯邦政府已經將零信任作為政策核心，要求各機構遵守零信任架構，而且企業和政府機構正在逐步理解零信任的全貌，將其從單純的概念轉變為可實施的安全戰略。</p> <p>不過，他也觀察到，零信任架構在臺灣仍然處於初步推動的階段，關鍵原因在於，企業高層（例如董事會、執行長）對於零信任架構的理解有限、對其重要性認識不足，才會導致實施的過程進展緩慢。</p> <p>然而，臺灣的高科技製造業與金融業因為遭受到頻繁的網路攻擊，對資安的需求也較其他產業急切，Chase Cunningham建議，這些行業都是可以率先落實零信任架構的產業，也可以通過示範案例，帶動其他行業的跟進應用；政府的支持同樣重要，尤其是在政策與資源分配上，也可以對推廣零信任架構提供更多助力。</p> <p>Chase Cunningham舉例，金融行業是零信任應用的典範，因為涉及大量的敏感資訊，例如客戶個資、交易記錄等，其中，銀行和支付機構也需要更高的安全標準。</p> <p>所以上述這些單位也會在每次教疫後採用動態身分驗證，結合多因素驗證以及行為與生物識別方式，以防止未經授權的交易。另外，也會採用微分割（Micro - segmentation）技術，隔離不同類型的交易，以降低高風險交易的影響範圍。</p> <p>因為醫療行業有更多病人的敏感性個資，落實零信任架構則可以保護病患隱私。例如，透過零信任架構，協助醫院針對電子病歷（EMR）採取更嚴格的存取控制，只有經過授權的醫生和相關人員，可以檢視病患的個資；再者，當醫院的社辦開始連網後，也可以透過零信任架構檢查設備的健康狀態，可以防止被惡意程式感染。</p> <p>另外就是可以在政府機構落實零信任架構，他表示，美國聯邦政府已經在行政命令中要求，所有政府機構都要採用零信任架構，以應對關鍵基礎設施（CI）面臨的安全威脅。</p> <p>而且，落實零信任架構還可以促進不同政府部門之間的信任度，例如，國防部和內政部需要共享資料時，因為已經嚴格限制只有經過授權人員可以存取，也同時確保資料的安全性。</p> <p>此外，政府也可以透過零信任架構，隔離敏感資料並作分割處理，這樣的作法也可以確保，即便有一部分系統遭到駭客攻擊時，仍可以確保其他資料的安全性。</p> <h2><strong>零信任與AI結合是未來發展趨勢</strong></h2> <p>Chase Cunningham預測，零信任的未來將與人工智慧（AI）深度結合，將在技術與應用層面持續深化。</p> <p>他表示，AI技術能即時分析網路流量和行為模式，快速檢測並回應異常活動；AI技術也可以根據用戶行為、自動化判斷風險等級，動態更新存取政策，減少人為干預；機器學習將提高威脅檢測的準確性，尤其是針對資料流的監控。</p> <p>隨著更多國家接受零信任的理念，其框架將逐步成為國際標準，他說：「特別是在高科技製造業以及跨國企業，零信任架構將成為抵禦供應鏈攻擊的標配。」隨著技術成本下降，他也強調，未來零信任的普及範圍將不再侷限於大型企業，許多中小企業也可以選擇更具性價比的解決方案。</p> <p>此外，包括美國、澳洲等國家都將零信任架構，列為國家級的安全策略核心，政策推動更將朝向全球化；隨著全球更多國家採用零信任，其標準化進程將進一步加快，讓更多企業和機構受益。</p> <p>隨著AI和自動化技術的進一步發展，零信任將變得更加智能、高效，並將成為不可或缺的資安基石。Chase Cunningham指出，零信任不僅是一種技術框架，更是一種改變企業安全文化的工具，而零信任的核心則在於：通過更精細的身份驗證和存取控制，創造一個風險最小化的安全環境。</p> <div id="haloword-content"> </div> <div class="ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/11/25 14:44作者黃彥棻https://www.ithome.com.tw/news/166187
【資安週報】1118~1122，中國駭客組織持續攻擊全球，發起間諜行動與零時差漏洞利用等攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月第3周的資安新聞中，在威脅態勢方面，最重要是中國駭客鎖定電信業者的間諜行動，後續消息不斷，不只是多家美國電信業受害，其他國家電信業也傳出遭攻擊，如今資安業者CrowdStrike公布最新研究證實此事，指出中國駭客Liminal Panda也入侵南亞、非洲電信業者。</p> <p>此外，11月中旬適逢黑色星期五行銷活動前夕，以這項活動為誘耳、騙取信用卡及個資的網釣威脅揭露，一直是每年這個時間的新聞焦點，而最近一起攻擊行動的發現中，顯現是中國駭客SilkSpecter主導。</p> <p>另要關注的是，中國駭客組織是近期零時差利用的主要威脅來源之一。繼上星期我們報導資安業者BlackBerry揭露APT41的近期行動，後續資安業者Volexity揭露該群駭客組織的最新手法，指出發現利用FortiClient零時差利用情形並通報對方（尚未登記CVE），用戶需多加偵測並注意廠商的修補與緩解。</p> <p>在漏洞消息方面，有多達6個零時差漏洞利用情形，涵蓋資安產品、企業產品，與消費端裝置，這些漏洞已被攻擊者利用，用戶應儘速更新並清查是否遭入侵，尤其Palo Alto Networks的漏洞，Shadowserver基金會追查發現全球約有2千臺防火牆疑似遭入侵，臺灣也有58臺。<br /> ●Palo Alto Networks針對旗下防火牆修補2個已出現攻擊行動的零時差漏洞，分別是CVE-2024-0012 、CVE-2024-9474。<br /> ●Oracle針對旗下產品生命週期管理Agile PLM產品，修補已遭利用的零時差漏洞CVE-2024-21287。<br /> ●臺廠奇偶科技多款已終止支援的視訊監控設備，發現零時差漏洞CVE-2024-11120被鎖定利用的情形，用戶應汰換設備因應。<br /> ●蘋果修補2個已遭利用的零時差漏洞CVE-2024-44309、CVE-2024-44308，尤其Intel處理器的Mac電腦用戶最要注意。</p> <p>還有3個已知漏洞，近期被發現有駭客鎖定利用，包括Progress今年2月修補Kemp LoadMaster負載平衡設備的CVSS滿分重大漏洞CVE-2024-1212，以及VMware今年9月修補vCenter Server的漏洞CVE-2024-38812、CVE-2024-38813。</p> <p>至於資安事件方面，這一星期國內有3家上市櫃公司資安重訊，涵蓋網通、電腦周邊設備與電子零組件業。<br /> ●電信寬頻設備大廠中磊代子公司Sercomm Philippines發布重訊，說明該菲律賓公司有部份資訊系統遭受駭客網路攻擊。<br /> ●印表機製造商誠研發布資安重訊，說明部份資訊系統遭受駭客網路攻擊。<br /> ●電子零組件業晟楠發布資安重訊，說明外部伺服器遭受駭客攻擊。<br /> ●上星期國巨代美國子公司發布資安重訊，由於事故發生日是在10月12日，等於事發相隔一個月才公布，證交所開罰5萬元。<br /> ●美國汽車大廠福特傳出4萬多筆顧客資料外洩，先是有駭客在地下論壇兜售，後續該公司表示資料是從第三方業者流出。</p> <p>在資安防護發展方面，我們看到AI治理與個資法的議題，分別是全球與臺灣關注資安風險的重點。首先，BSI揭露國際趨勢與展望，指出AI引發的「錯誤資訊與假消息」，已經被世界經濟組織（WEF）列為近兩年10大風險之首，同時強調AI系統管理標準ISO 42001與AI治理力的重要性，以及國內企業需掌握到國際間對「董事會義務」的高度重視。</p> <p>其次，在臺灣，關於個人資料檔案安全維護管理辦法有新重要變動，過去政府已規範多個產業，包括數位經濟相關產業、製造業及技術服務、綜合商品零售業等。近日焦點在於「綜合零售業」更名「零售業」，且擴大列管的範圍，涵蓋所有資本額達到1千萬元的零售業，包含服飾業者Uniqlo、NET，以及全國電子等約有6,800家零售業者。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/166067"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月18日】中國駭客利用FortiClient零時差漏洞存取VPN，入侵受害組織網路環境洞</span></strong></a></h3> <p>上週二資安業者BlackBerry揭露對於間諜軟體LightSpy攻擊行動的最新調查結果，指出攻擊者的身分是中國駭客APT41，並提及另一款模組化的惡意程式框架DeepData Framework，事隔3日，有研究人員透露更多關於該框架的外掛模組功能細節，其中最引起他們注意的是，專門針對FortiClient用戶端程式零時差漏洞而來的外掛元件。</p> <p>值得留意的是，這項漏洞的修補狀態並不明朗，後續發展相當值得觀察。</p> <h3><a href="https://www.ithome.com.tw/news/166099"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月19日】中國駭客鎖定想趁機撿便宜的黑色星期五購物者發動網釣攻擊</span></strong></a></h3> <p>經過雙11購物潮，緊接著由歐美國家發起的黑色星期五（Black Friday）也即將於月底展開，但在此同時，駭客盯上想要藉此買到大幅折扣商品的購物者，企圖偷取他們的信用卡與詳細個資。</p> <p>威脅情報業者EclecticIQ揭露中國駭客發起的網釣攻擊行動，就是典型的例子。駭客聲稱商品只需2折就能買到，一旦購物者依照指示下單，就會將自己的資料傳送給駭客。</p> <p><a href="https://www.ithome.com.tw/news/166119"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月20日】勒索軟體Helldown潛入受害組織，管道是兆勤防火牆的弱點</span></strong></a></p> <p>本週資安業者Sekoia針對勒索軟體Helldown的攻擊行動提出警告，指出這些駭客從原本針對Windows進行加密，如今也開發了破壞VMware ESXi虛擬化平臺的檔案加密工具。</p> <p>值得留意的是，這些駭客潛入受害組織的方法，是利用兆勤防火牆的漏洞，駭客聲稱他們也成功入侵該公司的歐洲分公司，對此我們試圖聯繫兆勤科技，但在今天資安日報截稿之前，我們尚未得到他們的回應，目前無法進一步證實此事。</p> <h3><a href="https://www.ithome.com.tw/news/166142"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月21日】中國駭客鎖定南亞及非洲一帶一路國家的電信業者從事間諜活動</span></strong></a></h3> <p>這2個月，中國駭客Salt Typhoon鎖定美國電信業者發動攻擊，從而竊取特定政治人物的通話內容，不斷有消息浮出檯面，但值得留意的是，中國駭客並非只針對美國而來，其他國家也有電信業者受害的情形。</p> <p>例如，中國駭客Liminal Panda針對南亞、非洲電信業者下手，活動已長達4年。值得留意的是，受害電信業者所屬國家，都剛好參與中國的一帶一路計畫，因此研究人員認為，這些攻擊很可能與國家利益有關。</p> <h3><a href="https://www.ithome.com.tw/news/166161"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月22日】駭客疑似利用零時差漏洞入侵2千臺Palo Alto Networks防火牆</span></strong></a></h3> <p>資安業者Palo Alto Networks在2週前發出不尋常的警告，指出他們得知有人掌握一項漏洞，呼籲用戶要限縮管理介面的存取管道因應，到了本週，該公司公布漏洞細節，並指出有一定數量的防火牆遭到攻擊。</p> <p>但究竟有多少防火牆受害？這幾天Shadowserver基金會表示，約有2千臺防火牆疑似遭到入侵，值得留意的是，雖然多數受害設備位於美國、印度，但臺灣也有災情。</p> </div></div></div>
2024/11/25 09:55作者羅正漢https://www.ithome.com.tw/news/166180
資安業者揭露俄羅斯駭客APT28的Nearest Neighbor攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Volexity上周<a href="https://www.volexity.com/blog/2024/11/22/the-nearest-neighbor-attack-how-a-russian-apt-weaponized-nearby-wi-fi-networks-for-covert-access/" target="_blank">揭露</a>了俄羅斯駭客組織APT28一起精心設計的攻擊行動「Nearest Neighbor Attack」，由於APT28打算要攻擊的A組織在各個公共服務採用了多因素身分驗證（MFA），使得APT28最終選擇攻陷A組織的各個鄰居，再藉由鄰居的電腦入侵A組織未執行MFA的Wi-Fi網路。</p> <p>這起攻擊事件發生在2022年2月，正巧是俄羅斯入侵烏克蘭的前夕，APT28的目的是蒐集A組織中涉及烏克蘭的個人或專案資料。</p> <p>調查發現，APT28先針對A組織的對外服務發動密碼潑灑攻擊，儘管已經取得了帳號及密碼，卻無法通過這些服務的多因素身分驗證，於是轉向較少採用MFA的Wi-Fi網路，然而，APT28與A組織之間有半個地球的距離，使得APT28決定從A組織的鄰居們著手。</p> <p>APT28成功入侵了A組織附近的多個組織，這些組織的辦公室離A組織很近，而且可以連到A組織的Wi-Fi 網路，在控制其鄰居的某臺電腦之後，就能以已知的憑證登入A組織的Wi-Fi 網路。</p> <p>APT28的手法既複雜且精細，它們破壞了A組織附近的至少2個組織，以便串連使用這些組織的Wi-Fi網路及VPN連線，最終成功滲透到A組織的網路。</p> <p>Volexity指出，此一攻擊展現了物理上的鄰近性，如何成為網路滲透的重要工具，企業需要重新審視Wi-Fi網路的安全性，並採取更嚴格的控制措施，建議組織可以實施Wi-Fi 的MFA驗證，或是分隔Wi-Fi 網路及乙太網路，強化日誌紀錄，以及監控異常行為。</p> </div></div></div>
2024/11/25 11:27作者陳曉莉https://www.ithome.com.tw/news/166183
AWS再砸40億美元投資Anthropic
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon Web Services上周<a href="https://www.aboutamazon.com/news/aws/amazon-invests-additional-4-billion-anthropic-ai" target="_blank">宣布</a>，再投資AI新創業者Anthropic 40億美元以擴大合作，開發和部署進階AI系統，成為最主要投資法人。</p> <p>這是AWS繼今年3月<a href="https://www.ithome.com.tw/news/162016" target="_blank">完成</a>40億美元資金挹注後，再一次大手筆投資被視為OpenAI競爭對手的Anthropic。這次投資意謂Anthropic已獲得AWS 80億美元的資金，不過後者目前仍在Anthropic維持少數股東的地位。在其股東，另一科技大廠Google，也投資了Anthropic超過20億美元。</p> <p>AWS表示，這次擴大合作使AWS成為Anthropic主要訓練合作夥伴，AWS持續擔任Anthropic主要的雲端供應商，以及Amazon Bedrock持續提供Anthropic Claude AI模型外，在最新的合作下，Anthropic將運用AWS Trainium及Inferentia晶片，來訓練和部署未來的基礎模型。</p> <p>Anthropic<a href="https://www.anthropic.com/news/anthropic-amazon-trainium" target="_blank">說明</a>雙方合作Trainium軟、硬體研發的內容。目前Anthropic和AWS的Annapurna實驗室開發下一代Trainium加速器、以及專用機器學習硬體的能力。Anthropic正在撰寫低階核心，以便和Trainium晶片直接介接，並可偕同AWS Neuron軟體堆疊最佳化Trainium晶片效能，藉此訓練自家進階基礎模型。</p> <p>多家企業透過Amazon Bedrock平臺使用Claude。這些客戶包括藥廠輝瑞（Pfizer）、軟體公司Intuit、AI搜尋引擎開發商Perplexity、歐洲議會。此外，雙方本月稍早也<a href="https://www.ithome.com.tw/news/165912" target="_blank">宣布</a>合作，以AWS GovCloud提供美國政府Claude AI服務，並在AWS Secret及Top Secret Cloud Regions等高度控管環境下，提供Amazon SageMaker機器學習平臺。</p> <p>在AI實力競賽中，大廠持續加碼投資AI新創公司，其中OpenAI 10月才又<a href="https://www.ithome.com.tw/news/165304" target="_blank">獲得</a>來自微軟、軟銀及Nvidia等公司的資金66億美元。Mistral AI則分別獲得Databricks、<a href="https://www.ithome.com.tw/news/163305" target="_blank">思科</a>的投資。思科也另外投資了Cohere AI及Scale AI。Perplexity則有<a href="https://www.mobileworldlive.com/ai-cloud/telefonica-joins-big-hitters-with-perplexity-investment/" target="_blank">Telefonica</a>、Databricks和<a href="https://www.telecomtv.com/content/telcos-and-ai-channel/sk-telecom-invests-in-genai-search-startup-perplexity-50606/" target="_blank">SK Telecom</a>的投資。</p> </div></div></div>
2024/11/25 10:57作者林妍溱https://www.ithome.com.tw/news/166181
WebGPU邁向標準化，推動AI技術與圖形渲染效能升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WebGPU身負下一代高效能繪圖與運算API重任，吸引了企業與開發者的廣泛關注。由多家科技公司共組的WebGPU工作小組<a href="https://developer.chrome.com/blog/next-for-webgpu">會議</a>中，人工智慧應用技術被明確列為未來核心開發計畫重點。此行動不僅展現WebGPU在滿足現有需求上的技術支援，也顯示了其面對未來運算和人工智慧應用的前瞻應用性。</p> <p>WebGPU發展進度目前重點在於Milestone 0的推進工作，這是標準化過程中重要的一步，目的是要解決剩餘的技術問題，並為進入W3C候選推薦（Candidate Recommendation）作準備。要成為候選推薦，穩定性、跨平臺支援和智慧財產全保護皆需達到一定水準，根據與會成員的共識，目前進度顯示WebGPU所需條件預期能在短期內解決，標準化程序正穩步推進，WebGPU已非常接近W3C候選推薦階段。</p> <p>在最近的一次會議中，強調了人工智慧相關功能在WebGPU規範中的重要性，幾項技術被認為是人工智慧應用的重點發展方向。Subgroups和Subgroup Matrices為重要改進之一，這些功能將進一步提升GPU執行緒之間的本地通訊效率，並最佳化矩陣運算硬體的利用，替機器學習和推理場景提供高效的運算基礎。</p> <p>同時，Texel Buffers被提出作為處理小型資料，諸如16位元和8位元的解決方案，對於影像處理演算法特別重要。此外，UMA Buffer Mapping縮短資料上傳過程的同步與複製延遲，減少記憶體瓶頸，提升人工智慧計算效能。</p> <p>除了人工智慧功能，WebGPU小組也擴展圖形渲染的能力，Bindless技術突破目前資源使用的數量限制，使得著色器資源更加靈活，替實作大型場景資源管理提供技術基礎。同時Multi-draw Indirect和64-bit Atomics的引入，進一步擴展GPU驅動渲染的能力，提供多元運算和繪圖解決方案。</p> <p>WebGPU在網頁技術的整合也有所加強，包括相容模式的開發，提升WebGPU在只支援OpenGL ES 3.1裝置上的相容性，以擴大應用範圍。而與WebXR深度整合，使WebGPU在虛擬實境與增強實境領域也能發揮功能。還有，WebGPU也針對Canvas 2D效能和可用性強化，以解決用戶體驗方面的問題。</p> <p>WebGPU小組的會議也討論了WGSL（WebGPU Shading Language）擴充計畫，提出WESL（WGSL Extended Shading Language），並期望藉由社群的力量發展專案，滿足更廣泛的開發需求。</p> </div></div></div>
2024/11/24 14:22作者李建興https://www.ithome.com.tw/news/166168
Angular 19提升效能與開發體驗，開始預覽漸增式Hydration
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布推出<a href="https://blog.angular.dev/meet-angular-v19-7b29dfd05b84">Angular 19</a>，強調效能與開發體驗的提升，並持續推進強化框架的現代化更新。這個新版本帶來了新的技術預覽功能，同時也進一步強化核心架構，使得應用程式能夠在效能敏感的場景仍然仍穩定運作。</p> <p>此次更新的最大亮點是漸增式Hydration（Incremental Hydration）的開發者預覽功能。該項功能特別針對伺服器端渲染（Server-Side Rendering，SSR）應用設計，供開發者能以熟悉的語法，替特定元件設定條件式載入與Hydration，也就是說，元件會在需要時才下載並啟用，延後不必要的資源載入，並根據使用者的互動逐步載入內容。如此不僅大幅減少初始JavaScript的下載量，還能大幅提升應用程式回應速度，同步提升效能與使用體驗。</p> <p>Angular 19進一步改進SSR的靈活性，新增路由渲染模式設定介面。透過ServerRoute介面，開發者可以自由選擇各URL路徑的渲染模式，包括伺服器端渲染、客戶端渲染甚至是預渲染，並在預渲染過程中解析路由參數，生成高效的動態內容。該項功能整合既有的路由宣告格式，減少重複配置的麻煩，適應不同場景的渲染需求。</p> <p>在工具與自動化更新方面，Angular 19的Schematics工具進一步提升現代化API的整合，包括Inputs、Outputs、Queries等功能，並採用基於仰賴注入的設計模式。Schematics是一套用來自動化程式碼更新與最佳化的工具，協助開發者快速採用Angular的新功能和最佳實踐，而新增的建置系統則能有效簡化遷移流程，減少手動調整的時間成本。</p> <p>此外，Angular 19在核心反應式系統的發展上更加成熟了。核心API進入穩定階段，並且加入兩個新的反應式原語（Reactivity Primitives），分別為linkedSignal與resource。linkedSignal針對需要追蹤狀態變化的用例，像是UI的使用者選擇等，而resource則是第一個替非同步操作設計的API，允許開發者將非同步請求整合到訊號系統，大幅簡化資料管理和狀態追蹤。</p> </div></div></div>
2024/11/24 14:25作者李建興https://www.ithome.com.tw/news/166171
傳OpenAI考慮開發自有瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Google可能神經要更繃緊了，因為根據The Information<a href="https://www.theinformation.com/articles/openai-considers-taking-on-google-with-browser" target="_blank">報導</a>，OpenAI正在考慮開發能結合AI優勢的自有瀏覽器。</p> <p dir="ltr">報導指出，這個瀏覽器將整合ChatGPT，使其AI聊天機器人和用戶有更全面的互動介面，可提供更多服務內容，包括即時網頁搜尋。此外，OpenAI還考慮和多家電商平臺合作，這合作能強化ChatGPT鎖定的用戶區隔提供的回應內容。</p> <p dir="ltr">如果瀏覽器開發計畫成真，將是OpenAI繼本月初<a href="https://www.ithome.com.tw/news/165807" target="_blank">公布</a>具備即時網頁搜尋後，挑戰網路巨人Google的最新行動。報導指出，這項計畫還在很初期，不一定確定成行，也可能中途叫停。</p> <p dir="ltr">OpenAI並未回應這份報導。</p> <p dir="ltr">不過瀏覽器和搜尋、AI的結合相當合理，近來也有多個開發案例。微軟Edge、Google Chrome都整合了自有AI聊天機器人Copilot和Gemini。此外，新創公司則有The Browser Company<a href="https://www.ithome.com.tw/news/161131" target="_blank">開發出</a>標榜AI搜尋的瀏覽器Arc。若以OpenAI的財務實力來看，更可能挑戰Google。</p> </div></div></div>
2024/11/24 14:41作者林妍溱https://www.ithome.com.tw/news/166176
Martech雙周報第65期：Tiktok推出免費AI影片生成平臺，能自製AI影片主持人還能根據品牌特性全自動生成影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(1110~1123)</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#生成式AI #AI虛擬人物生成 #AI影片編輯 #AI影片翻譯 #全自動影片生成 </span> </strong> </span><br /> <strong>Tiktok推出免費AI影片生成平臺，能自製AI影片主持人還能根據品牌特性全自動生成影片</strong></p> <p>Tiktok推出免費生成式AI影片生成平臺<a href="https://ads.tiktok.com/business/en-US/blog/symphony-creative-studio?redirected=1&ab_version=experiment_2">Symphony Creative Studio</a>，這個平臺有影片生成、編輯、翻譯、語音生成等基礎功能，還可以在影片中加入人物動作、姿勢和語音。甚至，一個指令都不下，就能全自動生成行銷用短影音。</p> <p>廣告主可以上傳品牌相關素材及資訊，透過URL讓此平臺讀取品牌資訊，來生成並編輯短影音。甚至，平臺上有一個「每日生成影片」欄位，會直接根據已知品牌訊息及過往在平臺上的操作，每天全自動生成多部短影音，供廣告主挑選。</p> <p>影片編輯功能除了基礎剪輯功能，還能利用生成式AI快速加入字幕、人物、語音、音樂、貼圖、特效和轉場。</p> <p>此平臺翻譯功能也十分強大，能翻譯並自動修改影片字幕，甚至翻譯影片內語音。語音翻譯功能，可以利用影片原始聲線或其他素材庫內聲線，翻譯並生成不同語言的語音，再修改影片內人物脣形來達成對嘴效果。翻譯功能支援30多種語言。</p> <p>廣告主還能在影片內生成人物來主持影片。人物生成功能分為加入素材庫既有人物，以及客製化品牌人物兩種。加入素材庫內的人物時，廣告主能選擇不同演員，調整演員姿勢、服裝、背景、來自的產業、聲線等細節，並輸入臺詞。若要使用客製化人物，品牌能上傳自家發言人或代言人的授權文件及訓練用影音到平臺上。通過審查後，使用此客製化人物來生成他們在影片中講話的影像和語音。</p> <p> <video alt="Bring content to life with Symphony Digital Avatars" autoplay="autoplay" class="relative max-w-full h-full object-cover lozad" contenttype="video/mp4" data-loaded="true" data-src="https://lf-tt4b.tiktokcdn.com/obj/i18nblog/tt4b_cms/en-US/tipdilz7wysq-5rOKONwSzq8EBVjh29hCtY.mp4" height="auto" id="html5_video_3bw61nhpgvr" loop="loop" muted="muted" playsinline="true" src="https://lf-tt4b.tiktokcdn.com/obj/i18nblog/tt4b_cms/en-US/tipdilz7wysq-5rOKONwSzq8EBVjh29hCtY.mp4" title="Bring content to life with Symphony Digital Avatars" type="video/mp4" width="600px"> </video> </p> <p> </p> <p>未來，此平臺還預計加入微調既有短影音來做出不同版本的功能，以及品牌專用廣告臺詞功能。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AI代理人 #沙盒測試環境</span> </strong> </span><br /> <strong>Salesforce推出AI代理人測試及監控功能</strong></p> <p>推出AI代理人功能Agentforce後，<a href="https://www.salesforce.com/news/press-releases/2024/11/20/agentforce-testing-center-announcement/">Salesforce推出多個可以測試和監控這些代理人的工具</a>，讓企業在上線前代理人功能前，能對代理人的有效性、效率及花費有更大把握。</p> <p>第一個工具是Agentforce Testing Center，可用AI批量生成上百種真人與Agentforce可能互動場景，來測試代理人如何選擇回應主題與後續動作。企業可利用測試數據來優化指令，確保代理人能更準確應對客戶需求。</p> <p>第二是Salesforce Sandbox，可以將Agentforce和Data Cloud上的數據與設定複製到沙盒環境中，在不影響既有業務和數據的情況下，建立、使用和測試AI代理人。</p> <p>第三則是Salesforce AI平臺Einstein中的生成式AI測試工具Einstein Trust Layer，可以結合Salesforce Sandbox來測試並微調給AI代理人的提示及代理人回應內容。</p> <p>另外，代理人的採用率、準確度及用量支出，則可以透過Agentforce Analytics、 Utterance Analysis和Digital Wallet工具來追蹤，並支援自動化警報設定。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#數據無塵室 #數據隱私 #第一方數據 #第二方數據</span></strong></span><br /> <strong>美國FTC警告數據無塵室不保證等於隱私合規，且可能帶來資安疑慮</strong></p> <p>隨著隱私法規環境逐漸完善，數據無塵室（DCR）近兩年非常火紅，功能是在安全環境下，讓資料交換雙方上傳數據，並根據預先設定好的規則，來有限度交換數據。一個業界常見用法是，兩造企業上傳有經過授權可用作行銷的會員數據，比對出重疊會員後，交換各自對同一會員的紀錄，豐富既有會員數據同時，也不會揭露彼此完整會員名單。</p> <p>不過，<a href="https://www.ftc.gov/policy/advocacy-research/tech-at-ftc/2024/11/data-clean-rooms-separating-fact-fiction">美國FTC近日祭出警告</a>，指出單靠數據無塵室本身，並不能完全確保數據隱私合規，或數據安全受到充分保護。甚至，DCR可能變成支援非法數據販售的利器。他們並針對DCR的功能和迷思作出警告。</p> <p>FTC寫道，DCR核心功能是用來結合和分析不同企業數據，並輸出這些數據的子集，或這些數據的綜合分析結果。不過，DCR本身並不保證數據隱私或品質。</p> <p>要讓DCR發揮維護數據隱私的功能，數據來源本身必須合乎數據使用相關法規，且DCR使用者從隱私出發，來設定、套用、監控一系列的數據共用規則。「DCR只會維護使用者注重的原則。如果使用者不注重數據隱私，DCR不會讓數據使用變得合乎隱私規範。」甚至，DCR也可以用來更細緻的控制數據交易流程，淪為強化非法數據買賣的工具。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#數位轉型 #數位成效追蹤 #套裝Martech導入 #MA #CDP #智慧客服</span></strong></span><br /> <strong>易遊網的行銷數位轉型之路，靠Martech每月多賺千萬</strong></p> <p>臺灣本土首間線上旅行社易遊網揭露自家導入數位行銷做法及Martech的歷程。為了用數位行銷提升競爭力，他們必須在IT資源有限的情況下，整合不同數據來源及行銷通路，因而開始導入套裝Martech產品。</p> <p>成立廣告投放部門後，他們先導入MA系統，來一站式管理和執行行銷邏輯和流程。疫後，導入CDP，來進一步強化會員數位足跡和行為模式分析，在旅遊消費回升之際靠更精準的行銷，抓住更多營收。接著，他們還導入智慧客服系統，協助消化大量客服需求同時，從另一個面向蒐集會員數據。</p> <p>導入套裝Martech產品為易遊網解鎖了更多數位行銷做法，不過如何追蹤這些產品帶來的成效，還是得靠易遊網自家行銷與IT部門合作打造的全通路行銷數據追蹤機制。他們在的各行銷環節埋下追蹤碼，不靠廣告平臺或Martech產品提供的成效數據，就能掌握不同通路和系統對行銷成效的貢獻。（<a href="https://www.ithome.com.tw/news/166151">詳全文</a>）</p> <p>#生成式AI #</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#B2B行銷 #潛在客戶調查 #生成式AI</span></strong></span><br /> <strong>LinkedIn推出B2B生成式AI資料蒐集工具，可以彙整潛在客戶公開資訊及產品特性來建議行銷角度</strong></p> <p>LinkedIn在自家B2B行銷工具Lead IQ中<a href="https://www.linkedin.com/business/sales/blog/product-updates/introducing-the-new-lead-iq-and-enhanced-account-iq-features-for-sales-navigator">加入了一個提供行銷切入角度的工具。</a>此功能可以彙整潛在客戶的經驗、成就、興趣、活動、所在產業、與業務共通點等數據，並結合業務要推銷的解決方案特性，來推薦業務行銷角度。例如強調產品特色，或是針對該公司所在產業的常見痛點提供解方等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1732042951114.png" style="width: 600px;" /></p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#生成式AI</span> <span style="background-color:#FFFFFF;"> </span> <span style="background-color:#0099ff;">#聊天機器人</span> <span style="background-color:#FFFFFF;"> </span> <span style="background-color:#0099ff;">#AI廣告代投</span> </strong> </span><br /> <strong>Appier新增用AI動態調整廣告投放策略等GenAI功能</strong></p> <p><a href="https://example.com">Appier近日在自家產品線中新增兩項生成式AI功能，包括對話式廣告及銷售型對話機器人功能。</a></p> <p>對話式廣告功能整合於廣告雲，利用生成式AI，根據用戶互動情境來即時調整廣告內容，提升用戶參與度與轉換率。例如，在早晨推送簡潔的通勤廣告，晚間則以產品輪播內容觸及用戶，以求像對話般強化品牌與消費者互動。</p> <p>銷售型對話機器人功能則是在個人化雲產品線下，以生成式AI打造銷售型對話機器人，能識別不同情境下消費者的需求，來決定行銷形式與內容，例如新品推薦、限時折扣、禮品介紹等。</p> <p>Appier旗下全部產品線都已經應用，現有功能包括廣告雲下的口號生成、圖像生成與智慧圖像編輯，個人化雲下的行銷旅程生成、推播訊息A/B測試、知識型對話機器人，以及數據雲下的數據分析與報表產出功能等。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">更多Martech動態</span></strong></p> <p>Meta推出Flexible Media選項，由系統根據廣告投放版位來自動挑選廣告創意素材。</p> <p><a href="https://www.thetradedesk.com/us/news/press-room/the-trade-desk-announces-ventura">The Trade Desk推出自家CTV作業系統Ventura，垂直整合廣告供應鏈並支援OpenPath 和 Unified ID 2.0等數位廣告投放技術。</a></p> <p><a href="https://blog.google/products/ads-commerce/youtube-brand-engagement-shorts-creators/">Youtube推出新短影音廣告格式、AI投放選項及創作者管理工具。</a></p> <p><a href="https://www.ithome.com.tw/news/166150">Foodpanda臺灣如何利用外送平臺的零售特性，來打造零售媒體聯播網。</a></p> <p>資料來源：iThome整理，2024年11月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Tiktok、LinkedIn</p> </div></div></div>
2024/11/23 19:17作者郭又華https://www.ithome.com.tw/news/166175
搭配超低延遲FPGA晶片，AMD推出新款短版高頻交易加速卡
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/amd_alveo_ul3422_main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於金融科技（FinTech）應用領域的加速運算產品，AMD過去曾陸續推出<a href="https://ithome.com.tw/review/156717">Alveo X3522 PV</a>、<a href="https://ithome.com.tw/review/160143">Alveo UL3524</a>，因應低延遲存取的電子金融交易應用需求，今年10月他們發表新款金融科技加速卡Alveo UL342，基於採用與Alveo UL3524相同的FPGA晶片Virtex UltraScale+ VU2P，以及同樣的產品特性，具備與Alveo UL3524相當的效能，身形卻只需要一半（全高半長對上全高3/4長），占用的機箱空間更少，而且，成本更低，對於交易商、造市商（market makers）、金融機構而言，能夠快速部署到各式各樣的伺服器當中，也適用於代管型的交易資料中心。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Trading products-en.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Trading%20products-en.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/UL3422-UL3524-EN.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/UL3422-UL3524-EN.jpg" style="width: 600px;" /></a></p> <p>Alveo UL342目前已進入正式上市狀態，可量產供貨給全球金融服務客戶使用，AMD也宣布3家率先採用的用戶。</p> <p>首先是專供前臺交易解決方案的供應商Exegy，他們發展的軟硬體開發環境nxFramework，原本就是用於組建與維護金融產業的FPGA超低延遲應用系統，現在可支援UL3422（該公司網站支援平臺提及多個AMD FPGA加速卡產品，但尚未將Alveo UL342列入）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Exegy%20Support%20platform.jpg" style="width: 400px;" /></p> <p>第二家是Hypertec，是針對金融服務產業供應硬體、雲端服務與加值解決方案的廠商，旗下的高頻交易伺服器HF X410R-G6，已通過支援UL34222的認證。</p> <p>第三家是Xelera，是開發高速網路技術與機器學習應用系統的廠商，他們與AMD合作解決高頻交易機器學習演算法的延遲瓶頸，而在該公司供應的AI推論加速解決方案Xelera Silva，也藉此運用XGBoost、 LightGBM、CatBoost等多種進階AI模型，獲得即時、機器基於學習而成的交易決策輔助機制。</p> <p><a href="https://s4.itho.me/sites/default/files/images/UL3422-server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/UL3422-server.jpg" style="width: 600px;" /></a></p> <p>回歸金融科技加速卡產品的探討，單就硬體架構而言，Alveo UL342搭配的FPGA晶片Virtex UltraScale+ VU2P（XCVU2P），本身內建78萬張查找表（LUTs）、1,680個數位運算處理器（DSP）切片，具有新穎的收發器架構、經過強化、調校的網路連線核心，是專為高速交易而組建的FPGA晶片，能實現超低延遲的交易執行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/UL3422-overview-en.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/UL3422-overview-en.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/UL3422 High-Level Block Diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/UL3422%20High-Level%20Block%20Diagram.png" style="width: 400px;" /></a></p> <p>而且，由於這款FPGA晶片搭配的GTF收發器，可促使存取延遲低於3奈米以下（2.34奈秒），AMD表示，採用標準現成的FPGA晶片，很難能提供如此卓越的即時交易（tick-to-trade）效能，例如，若是Virtex UltraScale+ VU9P搭配的GTY收發器，存取延遲需要16奈秒，相較之下，VU2P 足足領先了7倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/UL3422-trans%20latency.jpg" style="width: 600px;" /></p> <p>透過可衡量即時交易系統效能的STAC-T0測試結果紀錄，同樣歷經乙太網路協定、收發器、媒體存取控制（MAC）、演算法邏輯（Algo）的處理，<a href="https://www.stacresearch.com/news/XLX200514">VU9P最低需要27.8奈秒</a>，而<a href="https://stacresearch.com/news/AMD240422">VU2P最低只需13.9奈秒</a>，表現明顯優異，而縱觀這4道處理程序，收發器是影響延遲的最主要因素。</p> <p><a href="https://s4.itho.me/sites/default/files/images/UL3422-FGPA letency.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/UL3422-FGPA%20letency.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Tick-to-trade-Arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tick-to-trade-Arch.jpg" style="width: 600px;" /></a></p> <p>相較於既有的Alveo UL3524，最新發表的Alveo UL3422的差異不只是外形較短，也縮減網路埠（4個QSFP DD埠降為2個QSFP DD埠）、用來連接多張加速卡的連接埠（4個ARF6埠降為2個ARF6埠），並且移除板卡內建的QDR II記憶體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/UL3422-UL3524.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/UL3422-UL3524.jpg" style="width: 600px;" /></a></p> <p>在軟體開發應用上，企業可透過AMD Vivado Design Suite套件的搭配，支援傳統的FPGA處理流程——暫存器傳輸層級（RTL）流程的開發，此套工具內建一整包的參考設計，以及效能基準的衡量，可供FPGA設計人員快速探索關鍵量測指標，並且根據不斷進步的演算法，以及新興的交易法規遵循要求，發展自定的交易策略。</p> <p><a href="https://s4.itho.me/sites/default/files/images/UL3422-SW Partners.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/UL3422-SW%20Partners.jpg" style="width: 600px;" /></a></p> <p>若要在高頻交易系統支援低延遲的AI模型部署，AMD也補充說明，表示他們提供開放原始碼的<a href="https://xilinx.github.io/finn/">FINN開發框架</a>，這當中運用PyTorch與神經網路量化技術，可協助縮減AI模型的大小，同時還能維持精準度，實現AI輔助的交易策略，而且，FINN編譯器能夠產生量化神經網路（QNN）的硬體智財區塊，可用於AMD FPGA晶片當中。</p> <p><a href="https://s4.itho.me/sites/default/files/images/FPGA-tading accel.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FPGA-tading%20accel.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>AMD Alveo UL3422</strong></span><br /> ●原廠：AMD<br /> ●建議售價：廠商未提供<br /> ●外形：全高半長<br /> ●內建運算晶片：Virtex UltraScale+ FPGA（XCVU2P-FSVJ2104-3-E）、16奈米製程<br /> ●內建記憶體：16 GB DDR4-2400，搭配64位元資料加上8位元ECC（64b + 8b）<br /> ●提供網路埠：2個QSFP-DD埠，可分接16個10/25GbE埠<br /> ●連接介面：PCIe 4.0 x8<br /> ●擴充插槽：2個ARF6接頭，可分接16個10/25 GbE埠，再以此連接多張介面卡<br /> ●熱設計功耗：125瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/11/22 18:09作者李宗翰https://www.ithome.com.tw/review/165909
【資安日報】11月22日，駭客疑似利用零時差漏洞入侵2千臺Palo Alto Networks防火牆
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Palo Alto Networks在2週前發出不尋常的警告，指出他們得知有人掌握一項漏洞，呼籲用戶要限縮管理介面的存取管道因應，到了本週，該公司公布漏洞細節，並指出有一定數量的防火牆遭到攻擊。</p> <p>但究竟有多少防火牆受害？這幾天Shadowserver基金會表示，約有2千臺防火牆疑似遭到入侵，值得留意的是，雖然多數受害設備位於美國、印度，但臺灣也有災情。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166149"><strong style="font-size: 22px;">快修補！2千臺Palo Alto Networks防火牆疑似已遭漏洞攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/kxDjVxCgCB.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/kxDjVxCgCB.png" style="width: 300px; float: right;" /></a>本週一（11月18日）資安業者Palo Alto Networks修補PAN-OS管理介面身分驗證旁路漏洞CVE-2024-0012、權限提升漏洞CVE-2024-9474，當時，他們就提及有一定數量（Limited Number）的防火牆已經遭到攻擊，但究竟有多少防火牆受害？這幾天，有研究人員公布相關的觀察現況。</p> <p>11月21日Shadowserver基金會指出，他們發現全球約有2千臺防火牆疑似遭遇漏洞攻擊，其中美國、印度、泰國最多，分別有554、461、80臺。值得留意的是，臺灣也有58臺遭到入侵。</p> <p>另一方面，該基金會警告，全球約有2,700臺防火牆尚未修補這些漏洞，數量最多的仍是美國、印度、泰國，分別有932、484、96臺，至於臺灣，則有57臺未修補漏洞，數量排行全球第6。</p> <p><a href="https://www.ithome.com.tw/news/166159"><strong style="font-size: 22px;">中國駭客Gelsemium改寫Windows版本的後門程式，對Linux主機發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/WolfsBane-figure-4.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WolfsBane-figure-4.jpeg" style="width: 300px; float: right;" /></a>過往駭客的主要標的往往是Windows電腦，但隨著企業有許多應用系統採用Linux作業系統，不少駭客團體也針對這種作業系統開發相關工具。</p> <p>例如，中國駭客Gelsemium原先使用惡意軟體Gelsevirine攻擊Windows電腦，但近期資安業者ESET看到名為WolfsBane的Linux變種版本。會有這樣的變化，研究人員認為，很有可能是Windows端點防護已有所改進，使得駭客轉向可透過網際網路存取的應用系統，而這些系統大多以Linux建置。</p> <p>這些惡意程式之所以曝光，源於惡意程式分析平臺VirusTotal，去年收到從臺灣、菲律賓、新加坡上傳的WolfsBane，由於Gelsemium原先的主要攻擊目標，是東亞與中東的企業組織，這樣的情況相當不尋常。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/frostygoop-malware-analysis/">針對工控惡意軟體FrostyGoop影響烏克蘭暖氣供應事故，研究人員公布進一步調查結果</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.huntress.com/blog/its-not-safe-to-pay-safepay">勒索軟體SafePay利用寄生攻擊停用內建防毒，繞過UAC提升權限</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.threatfabric.com/blogs/ghost-tap-new-cash-out-tactic-with-nfc-relay">研究人員揭露Ghost Tap攻擊手法，濫用NFC及行動支付偷錢</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fintech-giant-finastra-investigates-data-breach-after-sftp-hack/">金融軟體業者Finastra證實檔案傳輸平臺遭駭，傳出有人兜售竊得的內部資料</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166160"><strong style="font-size: 22px;">Oracle針對產品生命週期管理系統Agile用戶提出警告，其零時差漏洞已傳出被用於攻擊</strong></a></p> <p>本週Oracle修補產品生命週期管理（PLM）系統Agile的高風險漏洞CVE-2024-21287，值得留意的是，這項弱點已傳出被用於攻擊行動。</p> <p>該公司先是發布資安公告，表示他們針對9.3.6版Agile PLM框架修補CVE-2024-21287，並指出攻擊者無需通過身分驗證，就能遠端利用這項弱點，一旦成功利用，就有可能導致檔案洩露，CVSS風險評為7.5分。</p> <p>雖然在前述資安公告當中，Oracle並未進一步說明漏洞是否遭到利用，但該公司安全保證副總裁Eric Maurice透過部落格提出警告，資安業者CrowdStrike向他們通報此事時，已出現積極且廣泛利用的現象，呼籲IT人員應儘速取得修補程式並套用。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-10220-kubernetes-vulnerability-allows-arbitrary-command-execution/">Kubernetes存在高風險漏洞，恐被用於執行任意命令</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166130"><strong style="font-size: 22px;">BSI呼籲重視AI科技風險，強調臺灣企業要提升AI治理力</strong></a></p> <p>全球都在聚焦的數位信任、AI、永續發展議題，臺灣企業同樣十分關注，隨著2024年即將結束，在今年英國標準協會（BSI）舉辦的數位信任國際標準管理年會上，他們不僅點出企業這一年來必須掌握的重要變化，更是強調AI治理及永續治理，對於未來的重要性。</p> <p>從今年BSI年會的內容來看，在數位信任與資安議題之下，AI當屬重要焦點之一，不僅是上述提及的AI風險，成為近兩年來最大風險挑戰，另從國際標準組織（ISO）的發展來看，AI也是主角，過去一年的最大焦點在於：全球首部AI治理國際標準的推出，ISO 42001的人工智慧管理系統標準（AIMS），正式在2023年12月出爐。</p> <p>BSI東北亞區董事總經理蒲樹盛指出，ISO 42001將縮小我們對AI信任的差距，而這項標準的關鍵就是AI的風險管理，這其實與國際上的公司法或許多管理系統框架一致，換言之，ISO 42001是企業在AI轉型過程中的重要參考。</p> <p><a href="https://www.ithome.com.tw/news/166104"><strong style="font-size: 22px;">Thin Client搭上雲端運算特快車，微軟公布混合式雲端PC裝置Windows 365 Link</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/windws365link.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/windws365link.png" style="width: 300px; float: right;" /></a>在本週二舉行的Ignite大會上，微軟公布精簡型終端裝置Windows 365 Link，主打安全、效能、易於管理。定價為349美元，預計明年上半上市。</p> <p>此裝置定位為特定商務應用，像是客服中心、銀行櫃臺、實驗室等單一應用、多人共享裝置的場景，用戶需以Microsoft Entra ID（即Azure Active Directory）存取、使用。由於此裝置無管理員身分的使用者，可有效降低攻擊面。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166142"><strong>【11月21日】中國駭客鎖定南亞及非洲一帶一路國家的電信業者從事間諜活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166119"><strong>【11月20日】勒索軟體Helldown潛入受害組織，管道是兆勤防火牆的弱點</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166099"><strong>【11月19日】中國駭客鎖定想趁機撿便宜的黑色星期五購物者發動網釣攻擊</strong></a></p> </div></div></div>
2024/11/22 15:29作者周峻佑https://www.ithome.com.tw/news/166161
中國駭客Gelsemium改寫Windows版本的後門程式，對Linux主機發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往駭客的主要標的往往是Windows電腦，但隨著企業有許多應用系統採用Linux作業系統，不少駭客團體也針對這種作業系統開發相關工具。</p> <p>例如，中國駭客Gelsemium原先使用惡意軟體Gelsevirine攻擊Windows電腦，但近期資安業者ESET看到<a href="https://www.welivesecurity.com/en/eset-research/unveiling-wolfsbane-gelsemiums-linux-counterpart-to-gelsevirine/?&web_view=true">名為WolfsBane的Linux變種版本</a>。會有這樣的變化，研究人員認為，很有可能是Windows端點防護已有所改進，使得駭客轉向可透過網際網路存取的應用系統，而這些系統大多以Linux建置。</p> <p>這些惡意程式之所以曝光，源於惡意程式分析平臺VirusTotal，去年收到從臺灣、菲律賓、新加坡上傳的WolfsBane，由於Gelsemium原先的主要攻擊目標，是東亞與中東的企業組織，這樣的情況相當不尋常。</p> <p>這個後門程式的攻擊鏈，主要是從惡意程式載入工具（Dropper）開始，執行後門程式WolfsBane，這樣的做法與Windows版後門程式Gelsevirine雷同。值得一提的是，駭客也運用修改過的Userland Rookit，這麼一來，攻擊者就有機會藉此隱匿行蹤。</p> <p>他們也看到Gelsemium使用的另一個後門程式FireWood，這個後門也是從Windows版衍生而來，但似乎與這些駭客無直接關聯。研究人員推測，Gelsemium很有可能與多個中國駭客組織共用此後門程式。</p> <p>究竟這些駭客如何入侵受害組織？研究人員表示尚缺乏相關證據能夠證明，但根據這些駭客過往的戰略、手段、流程（TTP），他們認為，駭客很有可能透過未知的網頁應用程式漏洞，取得伺服器的存取權限。</p> <p>接著，攻擊者將偽裝成工作排程公用工具cron的惡意程式載入工具執行，一旦啟動，就會建立隱藏資料夾$HOME/.Xl1，並埋入惡意軟體啟動工具（Launcher）及後門程式。而這個資料夾名稱，顯然是模仿X Window系統的名稱「X11」。</p> <p>攻擊者將以root權限執行惡意軟體啟動工具，停用SELinux防護機制，竄改系統配置以便維持在受害主機活動。</p> <p>完成後攻擊就會進入下個階段，執行惡意軟體啟動工具，駭客將其偽裝成桌面環境KDE的元件來掩人耳目。</p> <p>最後，就是正式啟動後門程式的有效酬載。此後門程式的執行過程，先是載入嵌入的程式庫libMainPlugin.so，然後利用另外兩個程式庫libUdp.so、libHttps.so建立網路通訊，然後從C2接收命令。</p> <p>研究人員指出，這批Linux作案工具，代表Gelsemium攻擊目標出現變化，而這個駭客組織並非唯一這麼做的網路罪犯，因為，研究人員發現，惡意軟體轉移到Linux平臺的情況，有逐漸上升的趨勢。</p> </div></div></div>
2024/11/22 14:46作者周峻佑https://www.ithome.com.tw/news/166159
Oracle針對產品生命週期管理系統Agile用戶提出警告，其零時差漏洞已傳出被用於攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週Oracle修補產品生命週期管理（PLM）系統Agile的高風險漏洞CVE-2024-21287，值得留意的是，這項弱點已傳出被用於攻擊行動。</p> <p>該公司先是<a href="https://www.oracle.com/security-alerts/alert-cve-2024-21287.html">發布資安公告</a>，表示他們針對9.3.6版Agile PLM框架修補CVE-2024-21287，並指出攻擊者無需通過身分驗證，就能遠端利用這項弱點，一旦成功利用，就有可能導致檔案洩露，CVSS風險評為7.5分。</p> <p>而在提交給美國國家漏洞資料庫（NVD）的說明裡，<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-21287">他們還提到</a>這項漏洞相當容易利用，攻擊者可透過HTTP連線入侵此生命週期管理系統，而且，若是成功利用漏洞，攻擊者將能在未經授權的情況下，完整存取Agile所有能夠存取的資料。</p> <p>雖然在前述資安公告當中，Oracle並未進一步說明漏洞是否遭到利用，但該公司安全保證副總裁Eric Maurice<a href="https://blogs.oracle.com/security/post/alert-cve-2024-21287">透過部落格提出警告</a>，資安業者CrowdStrike向他們通報此事時，已出現積極且廣泛利用的現象，呼籲IT人員應儘速取得修補程式並套用。</p> </div></div></div>
2024/11/22 15:16作者周峻佑https://www.ithome.com.tw/news/166160
資安新創Wiz買下Dazz
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年<a href="https://www.ithome.com.tw/news/164092" target="_blank">傳出</a>拒絕Google收購的雲端資安業者Wiz周四（11/21）<a href="https://www.wiz.io/blog/wiz-to-acquire-dazz-transforming-risk-remediation-from-cloud-to-code" target="_blank">宣布</a>，將買下另一資安新創Dazz，以強化該公司的風險緩解能力。雙方並未公布交易細節，但外傳此一交易價值4.5億美元。</p> <p>成立於2020年的Wiz主要開發雲端原生應用保護平臺（Cloud-Native Application Protection Platform，CNAPP），該平臺可分析託管在AWS、Azure、Google Cloud、Oracle OCI，以及Kubernetes等雲端基礎設施中的資源，辨識可被駭客利用的風險因子，協助企業強化安全。</p> <p>同屬資安新創的Dazz則成立於2021年，專注於開發跨程式碼、雲端、基礎設施及應用程式的統一安全緩解平臺Dazz Remediation Cloud，標榜可快速辨識安全盲點，確定問題的優先等級，在開發人員友好的工作流程中簡化修復過程，將風險窗口所持續的時間從數周縮短至數小時。Dazz還曾在官網上強調，必須先採用Dazz，才能部署CNAPP。</p> <p>Wiz共同創辦人暨執行長 Assaf Rappaport指出，Dazz的修復引擎能幫助安全團隊連結不同來源的資料，並透過一個統一平臺有效管理應用程式風險；其先進的映射功能可精準找出問題根源，使工程師能直接在程式碼中修復安全漏洞，同時將重要的雲端環境無縫整合至安全工作流程中。Rappaport 強調，在徹底改變修復流程與應用程式安全的旅程中，Dazz是最理想的合作夥伴。</p> <p>Rappaport與Dazz共同創辦人暨執行長Merav Bahat是舊識，他們於2015年微軟收購雲端資安公司Adallom時相識。當時Rappaport是Adallom的共同創辦人，而Bahat則是微軟的員工，兩人曾在微軟共事，之後不僅投資了彼此的公司，也擁有許多共同的投資者。</p> <p>近來Wiz積極透過併購擴張自己的能力，包括在去年底<a href="https://www.wiz.io/blog/wiz-acquires-raftt" target="_blank">買下</a>了專注於開發者工具的Raftt團隊，以及在今年3月以3.5億美元，<a href="https://www.wiz.io/blog/wiz-acquires-gem-security-to-reinvent-threat-detection-in-the-cloud" target="_blank">買下</a>專注於雲端威脅偵測及回應的Gem Security。外傳Google對Wiz的開價高達230億美元，但依然遭拒。</p> </div></div></div>
2024/11/22 15:54作者陳曉莉https://www.ithome.com.tw/news/166164
適者生存
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾個月以來，多個強烈颱風接連來襲，到處都出現樹木傾倒的嚴重狀況，甚至連樹根都全部暴露在外，可見風力之大，更令人惋惜的是，倒塌的樹木當中，有不少結實纍纍，卻因颱風而傾倒。</p> <p>為了盡快恢復環境與道路交通運作，政府公務單位大多直接鋸樹，很少會大費周章地將整棵樹扶正，相當遺憾。許多新聞媒體也報導多項檢討意見，有專家認為，原因在於行道樹多為樹根較淺的品種，再加上植入的樹穴太小、太淺，以及未適當修剪等緣故。</p> <p>相對地，還是有不少樹木屹立不搖，為什麼？臺灣有個大家耳熟能詳的俗語：「樹頭徛予在，毋驚樹尾做風颱」，根基要打好、穩固，才能抵擋狂風暴雨的侵襲，這正是最簡單的解釋。有些樹木倚靠一般民宅擋住強風而躲過一劫，有些樹冠大到方圓好幾公尺，能夠籠罩整棵樹，再加上樹幹夠粗、樹根扎得深，使得強大風勢無法輕易撼動。</p> <p>這讓我想起昔年臺大校長遴選爭議，當選人管中閔引用金庸小說《倚天屠龍記》一段話表明心跡：「他強由他強，清風拂山崗；他橫任他橫，明月照大江。」，時任行政院長的總統賴清德，以此書同脈絡的另一段話回應：「他自狠來他自惡，我自一口真氣足。」無論如何，這些比喻強調的重點都在於打好基礎，也令人聯想到《孫子兵法 ● 九變》所言：「故用兵之法，無恃其不來，恃吾有以待之；無恃其不攻，恃吾有所不可攻也。」做好準備，嚴陣以待。</p> <p>的確！端詳這些被颱風吹倒而底部外露的樹木，其根部大多是橫向發展，並非深深地向下扎根，可能是樹木本身的生長特性，也有可能是生長環境不良、土質較堅硬等因素，造成樹木的根部無法深入地底，單靠抓住淺層土壤，顯然無法抵禦大風大雨。</p> <p>木本植物若要在這樣的天災之下安穩度過，需要很多條件的配合，對於風吹兩面倒的草本植物而言，相較之下，強風可能就沒有那麼大威脅，在本身能隨風搖擺的狀況下，很少會被吹斷，但如果遇到暴雨、積水不退、土石流等狀況，可能就要投降了。</p> <p>在金庸小說裡面有許多武功的描寫，也呈現柔弱未必被欺凌，甚至能夠致勝的局面。例如，《射雕英雄傳》與《神鵰俠侶》出現的道家武功「空明拳」，主旨就是「以虛擊實，以不足勝有餘」，拳力若有若無，導致對手掌力無法全然使實或使虛；《笑傲江湖》談論恆山派武功的要訣「綿裡藏針」，對手不冒犯則已，若用力進逼就會被針刺，反擊力道的強弱取決於對手進犯的力道，另一段劇情描寫武當派太極劍的實戰，用劍畫出大量光圈防護自身，由大量劍鋒組成難以進犯的移動堡壘，但又能「以數十招劍法混成的守勢，同時化為攻勢」。金庸在多本小說一再寫出「以柔克剛」、「以守為攻」的論述，倒也呼應許多讀者的人生體驗。</p> <p>透過這些顛覆大眾刻板印象的說法，我希望提醒大家反思的是，無論身處充斥多極化衝突的國際局勢，或是看待日新月異的技術競爭潮流，強大者固然有其難以超越的競爭優勢，但也面臨各式各樣的包袱拖累，而難以敏捷，弱小者還是有可圖之處、可乘之機，發揮自身的強項、不斷累積與拓展各種利基、持續調校與改良，擇優避劣，仍能確保我們得以有尊嚴地在這世界生存。</p> <p>而<a href="https://www.ithome.com.tw/article/166156" target="_blank"><span style="color:#3366ff;">這期封面故事我們探討的QLC快閃記憶體</span></a>，其崛起與普及也顛覆強者、具有高耐久度才能稱霸市場的迷思，QLC過去因耐用性不如現行的TLC快閃記憶體技術，而被質疑無法承擔重任，但經過整個業界的努力，現在接棒態勢越來越明顯。</p> <p>因為越來越多新一代固態硬碟產品都採用QLC快閃記憶體，而且，現在有更多企業級儲存系統支援QLC固態硬碟的搭配，實現更低單位儲存成本、存取效能更佳、能源使用效率更理想的儲存基礎架構，並將以此迎接人工智慧引爆的下一波大數據浪潮。</p> <p><a href="https://www.ithome.com.tw/article/166156" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(178, 34, 34);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1209-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=39bM2jNR" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/qlc%E5%BF%AB%E9%96%83%E8%A8%98%E6%86%B6%E9%AB%94">QLC快閃記憶體</a></div><div class="field-item odd"><a href="/tags/%E5%9B%BA%E6%85%8B%E5%84%B2%E5%AD%98%E6%87%89%E7%94%A8">固態儲存應用</a></div><div class="field-item even"><a href="/tags/%E5%BF%AB%E9%96%83%E5%84%B2%E5%AD%98">快閃儲存</a></div><div class="field-item odd"><a href="/tags/qlc-ssd">QLC SSD</a></div></div></div>
2024/11/22 14:09作者李宗翰https://www.ithome.com.tw/voice/166157
AWS與Rust基金會攜手驗證Rust標準函式庫的安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS（Amazon Web Services）與Rust基金會周三（11/20）共同發動一項<a href="https://aws.amazon.com/tw/blogs/opensource/verify-the-safety-of-the-rust-standard-library/" target="_blank">新競賽</a>，期望號召社群的力量來驗證Rust標準函式庫的安全性。</p> <p>Rust為一通用程式語言，強調效能、類型安全與並行性，它強制執行記憶體安全，並被廣泛應用在嵌入式作業系統、網路服務及區塊鏈專案上，多次在Stack Overflow的開發者調查中<a href="https://www.ithome.com.tw/news/137978" target="_blank">獲選</a>為「最愛程式語言」。</p> <p>儘管Rust語言以安全性著稱，但開發者可透過unsafe宣告來繞過安全機制，以執行作業系統等級的功能調用或記憶體操作等低階或高效能任務，同時在官方文件中提醒開發者要小心使用unsafe。</p> <p>AWS表示，由core、alloc與std等套件組成的Rust標準函式庫，替開發者提供了許多常用的功能，這些功能在外部看起來是安全的，但它們在內部可能使用了unsafe區塊來實現一些低階的高效能操作或硬體互動，而且並未經過真正的安全驗證。</p> <p>因此，AWS與Rust基金會共同推出一系列的挑戰賽，專注於驗證記憶體安全，以及Rust標準函式庫中未定義行為的子集，參與者可以透過指定合約、驗證函式庫元件，或是開發新的驗證工具來作出貢獻，而且每一項成功的挑戰都可獲得獎勵。此一活動的最終目標，是要讓驗證成為Rust語言持續整合過程中不可或缺的一部分。</p> <p>目前Rust標準函式庫總計包含約3.5萬個函式，當中有7,500個為標記為unsafe的不安全函式，另有3,000個為封裝unsafe操作的安全抽象函式。</p> <p>過去3年來，Rust標準函式庫報告了57個健全性問題，以及20個CVE漏洞編號，其中有28%的健全性問題是在今年被發現的，意謂著標準函式庫的變化愈來愈快，健全性問題也隨之增加，而且基於Rust的產品或服務中，有超過9成都仰賴其標準函式庫，顯現其重要性。</p> </div></div></div>
2024/11/22 14:25作者陳曉莉https://www.ithome.com.tw/news/166158
QLC快閃記憶體成為企業主流儲存
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1209-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=39bM2jNR" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著製程與控制器技術的改善，QLC快閃記憶體逐漸擺脫效能與可靠性的疑慮，大幅擴展了應用面向，更憑藉低成本與高密度的特性，不僅已進入各種不同層面的企業儲存應用，還可望在AI儲存應用扮演重要角色。</p> </div></div></div>
2024/11/22 14:04作者張明德https://www.ithome.com.tw/article/166156
【快閃儲存全面進入QLC時代】QLC快閃記憶體應用的新階段
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1209-feng_mian_1-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WD、Micron</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>具備容量密度高、成本低，但效能與耐用性有限的特性，QLC SSD幾年前曾被認為難堪重任，只能憑藉低成本在特定領域使用，現在卻正在包括AI在內的各式各樣應用，大舉擴張版圖。</p> <p>當我們從2016年開始追蹤QLC快閃記憶體的發展時，一開始也是認為QLC SSD並不適合多數儲存應用情境使用，而僅適合用於長期保存大量資料的冷儲存應用。</p> <p>但隨著QLC快閃記憶體製程與控制器技術的進步，QLC SSD無論在效能、壽命或可靠性等方面，過去幾年已有顯著的改善，與早期的產品不可同日而語，進而也大幅擴展應用範圍，逐步滲透到企業儲存應用的各個層面。我們在2023年7月的封面故事<a href="https://www.ithome.com.tw/tech/157837" target="_blank"><span style="color:#3366ff;">《QLC大舉進入企業儲存應用》</span></a>，便曾介紹QLC快閃記憶體在企業儲存開始獲得廣泛應用的趨勢。</p> <p>時隔1年半之後的現在，QLC快閃記憶體的應用又有進一步的發展。</p> <p>首先，最新一代QLC SSD產品的各方面規格，幾乎已經與TLC SSD產品不分軒輊，不僅適合多數通用儲存服務情境，還挾著成本優勢，在入門級儲存應用領域開始有了取代TLC快閃記憶體的趨勢。</p> <p>其次，憑藉QLC的高儲存密度優勢，再結合3D堆疊技術，促使SSD容量規格在日前一舉突破100TB大關，遠遠拋開了硬碟與磁帶，穩居當前最大容量儲存媒體地位。</p> <p>第3，QLC快閃記憶體的高儲存密度、低單位容量成本，以及擅長循序讀取等特性，也能在近年來最熱門的生成式AI應用中，發揮關鍵的作用，進而讓QLC SSD成為AI訓練基礎設施建置的重要環節。</p> <p>最後，QLC SSD在企業級儲存設備中的滲透也進一步加深。最初只有少數廠商嘗試推出基於QLC SSD的儲存陣列產品，後來跟進的廠商逐漸增加，到了2024年底，所有一線大廠終於在支援QLC SSD的行列全部到齊，包括一些原本不看好QLC SSD的儲存廠商，也在這段期間改變了態度，將QLC SSD引進產品線。</p> <p>而這一系列新發展，也促使我們再次回到QLC快閃記憶體應用這個議題，檢視QLC SSD應用的的最新情況。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>後發居上的新世代QLC SSD產品</strong></span></span></p> <p>QLC快閃記憶體的每個儲存單元（Cell）可記錄4個位元的資料，儲存單元的容量密度較TLC高出1/3，但是，連帶也需要區分與控制16種閾值電壓狀態，為QLC帶來更複雜、困難的存取程序，最終導致抹寫耐用性更差，更困難的讀取作業與資料保存，以及更不可靠的寫入程序等問題。</p> <p>然而，如同我們在先前封面故事提過的，QLC快閃記憶體晶片先天的效能、壽命與可靠性問題，可以透過SSD裝置層級，以及儲存陣列系統層級的種種措施，獲得緩解與改善。</p> <p>例如SSD裝置層級的超額配置（over-provisioning）、SLC快取，改進的損耗均衡與錯誤修正演算法，以及平行存取處理，還有儲存陣列層級的快取與緩衝，以及跨SSD裝置的損耗均衡等。</p> <p>所以，在快閃記憶體與SSD產品技術發展歷程中，呈現相當特別的「背反」趨勢，從快閃記憶體層次來看，隨著快閃記憶體儲存單元的多級化發展，新一代記憶體的效能與耐用性，可說每況愈下，MLC不如SLC，TLC不如MLC，QLC又不如TLC。但從SSD產品與快閃儲存陣列產品層次來說，效能與耐用性仍持續提升。</p> <p>憑藉技術進步的「後發優勢」，在最新一代的QLC SSD產品中，效能與壽命規格，已能與1、2年前的上代TLC SSD比擬，除了特別寫入負載特別高、或追求極致隨機存取效能的應用情境，TLC SSD仍佔有優勢之外，對於大多數的應用環境，QLC SSD已足以承擔工作需求，而這也改變了QLC SSD產品的定位。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 世代交替的起步 </span></strong></span></p> <p>在QLC SSD問世早期，由於效能與耐用性的限制，因而被定位為訴求大容量、低單位成本的產品線，被視為硬碟的替代者，所針對的應用情境，也與一般TLC SSD之間，彼此涇渭分明。</p> <p>而到了現在，隨著QLC SSD的進步，QLC SSD不僅已經侵入TLC SSD的應用領域，我們這幾個月來還注意到，WD、美光（Micron）等廠商，甚至在部分個人端消費級SSD產品線，都開始以新推出的QLC SSD，接替既有的TLC SSD產品。</p> <p>舉例來說，WD在今年3月新推出的M.2規格QLC SSD產品SN5000S（基於BiCS6 162層3D製程），便是用於取代2022年5月發表的TLC SSD產品SN740（基於BiCS5 112層3D製程）。</p> <p>在效能方面，基於QLC的SN5000S，隨機讀取與寫入IOPS效能，分別比基於TLC的SN740提高1.4％與12.5％，循序讀取與寫入速率則分別快了16.5％與15.5％。</p> <p>而在耐用性方面，以總寫入資料量（TBW）為基準，SN5000S的512 GB與1 TB容量版本，TBW比SN740同容量版本的TBW低了50％與25％，但2TB版本的TBW則反超出20％，整體來說，兩者的耐用性屬於同一級距。</p> <p>類似的例子，還有美光今年4月推出的新款M.2 QLC SSD產品2500系列（232層3D製程），將用於取代2021年底到2022年底推出的上一代M.2 SSD產品，包括基於QLC的2550（176層3D製程）與2400（232層3D製程），還有基於TLC的2450（176層3D製程）。</p> <p>比起上一代的M.2 QLC SSD產品2550與2400，2500的最大隨機讀取與寫入效能比前者高出80％與66％，比後者高出53％與42％，至於循序讀取與寫入速度則比前者提高42％與50％，較後者提高57％與50％。</p> <p>而比起基於TLC的2450，2500的讀取與寫入效能也分別高出24％與31％，整體效能已接近美光M.2 SSD產品線最高階的3400與3450（分別基於176層3D TLC與232層3D TLC）。而在耐用性方面，2500則略遜於2450，同容量規格下的TBW為後者的2/3到一半。</p> <p>雖然這個QLC SSD接替TLC SSD的現象，目前只發生在部份廠商的M.2 SSD產品，卻是重要信號，意味中低階SSD領域，QLC取代TLC的腳步已開始。</p> <p>儘管許多用戶仍對QLC存在負面印象，但對供應商來說，當QLC SSD進步到能提供與TLC同級的效能與耐用性，考慮到QLC能以更低的成本達到相同的容量，也代表著更大的利潤空間，自然會更傾向於推出基於QLC的SSD產品。從這樣的情況來看，或許在幾年內，除了最高階的SSD產品外，QLC恐怕將會席捲中、低階SSD產品領域。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>QLC推動SSD容量邁向極限</strong></span></span></p> <p>今年是SSD容量發展歷程中的又一新里程碑，繼2015年達到15.36 TB，2018年提高到30.72 TB，2023年達到61.44 TB後，緊接著便在今年一舉突破100 TB大關，WD、三星、Solidigm，群聯（Phison）等廠商，先後在下半年發表容量122.88 TB的新一代商用SSD產品。</p> <p>也就是說，SSD的容量規格在10年內提升了足足8倍，而且增長的速度越來越快，從15.36 TB提高到30.72 TB花了3年多，從30.72 TB到61.44 TB花了5年多，但接下來不到2年，就達到122.88 TB。</p> <p>近年來快閃記憶體迅速的容量增長，是QLC快閃記憶體與3D堆疊技術共同合力的結果，我們可以注意到，在61.44 TB以上超高容量層次產品的場合，QLC扮演了更為關鍵的角色——隨著SSD容量等級的提高，採用QLC的產品比重也越來越高。</p> <p>在61.44 TB SSD產品領域，還是TLC與QLC參半局面，目前已有的4款61.44 TB SSD產品——Solidigm的D5-P5336、三星的BM1743、WD的SN655，以及美光的6550 ION，正好各占一半，兩款採用TLC（WD與美光），兩款採用QLC（Solidigm與三星）。</p> <p>不過往上到了122.88TB產品領域，便是清一色採用QLC的局面。目前已發表的5款122.88TB SSD產品——三星BM1743的122 TB版，Solidigm D5-P5336的122 TB版、WD的High-Capacity QLC Enterprise SSD，群聯的Pascari D200V與D205V，全部都是基於QLC快閃記憶體。</p> <p>若把檢視範圍擴大到非標準規格的大容量型SSD產品，同樣還是QLC的天下。例如，IBM用於搭配FlashSystem儲存陣列的FCM模組（FlashCore Modules），自2020年的第2代FCM模組起，到2024年最新的第4代FCM模組，都一直採用QLC，最大容量達到38.4TB。另外，Pure Storage用於搭配FlashArray儲存陣列的DFM模組（DirectFlash Module），去年推出的48TB、75TB版本模組，還有即將推出的150TB容量模組，也都採用QLC。</p> <p>唯一例外是Nimbus Data，該公司在2018年發表、2020年正式上市的ExaDrive DC SSD，是世界上最早的100TB等級SSD，但採用的是TLC快閃記憶體。然而Nimbus Data其實是以空間來換取高容量，這系列產品採用標準2.5吋規格的款式，最大容量只達到16 TB與32 TB，並沒有超過其他廠商的同級產品；至於容量較大的64 TB與100 TB款式，都是採用外形較大的3.5吋規格，容量密度其實沒有進步，與新一代的100TB等級SSD產品，有著本質上的區別。</p> <p>由這樣的發展情勢看來，100 TB等級以上的高容量SSD產品，目前已經是以QLC為主的情況，日後QLC也將成為持續推升SSD容量的關鍵角色。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>QLC SSD的AI應用</strong></span></span></p> <p>QLC SSD的效能特性是循序與隨機讀取效能佳，循序寫入效能稍低，傳輸率大約是循序讀取的30％到40％，至於隨機寫入效能則頗為低落，IOPS效能只有隨機讀取的幾十分之一，所以QLC SSD經常被定位為讀取負載取向型應用，而較不適合寫入I/O負載應用。</p> <p>相較下，TLC SSD一般也是讀取效能較寫入效能更佳，但兩者落差較小，循序讀取與循序寫入傳輸率之間，可達到十分接近的程度，而隨機寫入與隨機讀取之間的落差，則為4、5倍。與同等儲存容量與傳輸介面的QLC SSD相比，TLC SSD的循序讀取與隨機讀取效能並沒有甚麼優勢，循序寫入效能略佳，因此，TLC SSD真正的優勢是在隨機寫入方面。</p> <p>不過，QLC SSD這樣的效能特性，卻恰好對應了AI應用的儲存存取特性，因而將能在AI應用中大展所長。</p> <p>儲存裝置在AI應用中的主要任務，是負責向運算單元饋入訓練資料集、寫入、保存運算內容，最後輸出推論結果。典型的生成式AI運作過程，一開始是將訓練資料集從儲存裝置，分批讀取、載入GPU伺服器的記憶體，由GPU進行訓練運算工作，期間還會向儲存裝置執行寫入檢查點（checkpointing）等工作，訓練完成後，在推論應用過程，也會從模型中讀取資料，產生與輸出推論結果。</p> <p>前述AI應用涉及的I/O存取負載，基本上是以循序讀取、隨機讀取，以及循序寫入為主，很少涉及隨機寫入。例如AI訓練（Training）與推論（Inference）是循序讀取為主，資料攝入（Data ingest）、預處理（Pre-processing），寫入檢查點等作業，是以循序寫入為主，圖像化神經網路（Graph neural networks）則屬於隨機讀取。</p> <p>這也意味著，QLC SSD在生成式AI應用中，將能迴避隨機寫入這個最大弱點，在滿足絕大多數存取需求的同時，還能憑藉單位容量成本低、容量密度高的優勢，提供更低的建置成本，以及更少的空間與功耗需求，可說是理想的AI應用儲存媒體。</p> <p>事實上，不久前有一篇極受矚目的AI應用儲存環境建置新聞，便是圍繞QLC SSD展開。10月底韓國經濟日報（Korea Economic Daily）傳出消息，表示特斯拉公司（Tesla）與韓國快閃記憶體供應商SK-hynix，正在洽談潛在總值高達1兆韓圓（約合7.25億美元）的高容量SSD採購合約，準備用於其AI訓練環境的資料儲存需求。</p> <p>掌握相關消息的人士指出，雙方洽談的採購標的，正是SK-hynix旗下Solidigm公司的QLC SSD產品，也就是我們前面提到的61.44 TB容量D5-P5336。以前述合約金額計算，這份合約可能涵蓋多達9.9萬臺或20萬臺SSD（標準售價或50％折扣），總容量將高達12.3 EB。</p> <p>儘管特斯拉與SK-hynix都未證實前述合約洽談，但從這則新聞當中仍能看出：大容量QLC SSD在當前AI基礎設施建置與應用中，已佔有重要地位，未來還可望持續提高。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>QLC在企業儲存產品的持續滲透</strong></span></span></p> <p>最早將QLC快閃記憶體應用於企業級儲存陣列的廠商，是VAST Data與Pure Storage，分別在2019年初與2019年中推出基於QLC的儲存陣列產品。</p> <p>稍後到了2020年，又有Nexsan、StorOne，以及IBM、NetApp等兩大廠，陸續加入QLC應用行列，推出採用QLC的儲存陣列產品。</p> <p>QLC在企業級儲存陣列的應用風潮，在2021年停滯一年後，在2022年有新的進展，儲存業界龍頭Dell正式為旗下產品線引進QLC SSD，Weka與Scality等2家分散式儲存平臺軟體商，也開始支援QLC SSD。</p> <p>隨後在2023年，長年耕耘高效能運算（HPC）領域的儲存供應商DDN，也推出基於QLC SSD的儲存陣列產品。</p> <p>我們上次在2023年7月<a href="https://www.ithome.com.tw/article/157866" target="_blank"><span style="color:#3366ff;">封面故事探討QLC快閃記憶體應用</span></a>時，主要的QLC儲存陣列供應商大致就是以上這些。</p> <p>在這個時間點之後， QLC在企業級儲存陣列產品的應用，又有重要的進展，又有4家一線大廠先後推出支援QLC SSD的產品。</p> <p>首先是華為，2023年下半年將QLC SSD引進儲存陣列產品線；進入2024年後，HPE，以及日系的2大廠Hitachi Vantara、富士通（Fujitsu），也陸續發表支援QLC SSD的儲存陣列產品，其中，HPE與Hitachi Vantara都是在最近一個月內發表QLC相關產品應用。至此，所有一線儲存陣列大廠在QLC SSD的應用行列終於全部到齊，也是QLC應用邁向全面普及的一個重要信號。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>QLC普遍應用的時代終將到來</strong></span></span></p> <p>QLC與TLC快閃記憶體技術其實問世時間差不多，都是在2009年前後開始獲得實際應用，不過在完整的SSD產品方面，TLC SSD則比QLC SSD早了3、4年進入市場。</p> <p>第1批TLC SSD是在2014到2015年間上市，儘管TLC面臨效能、可靠性與壽命方面不如MLC快閃記憶體的質疑，但憑藉成本與容量密度的優勢，仍然很快取代MLC SSD的地位，到了2018、2019年間，基本上就完成TLC SSD取代MLC SSD的世代交替。</p> <p>現在歷史又將重演，第一批QLC SSD於2018年上市後，同樣也是飽受效能、可靠性與壽命等方面的抨擊，但經過6年後，也終於走到普及應用的階段。</p> <p>事實上，每一世代多級化快閃記憶體問世之初，都同樣受到效能、耐用性不如上一代的批評，從MLC開始、到TLC，以至QLC莫不如此，以致於早期有些廠商還發明了eMLC、eTLC一詞，表明他們使用的MLC、TLC記憶體是足夠可靠的「企業級」顆粒，因而可以用來取代上一代的SLC與MLC。但隨著技術的進步，MLC與TLC曾為人詬病的問題逐一克服，現在已沒人再提eMLC、eTLC這種多餘的講法。</p> <p>我們相信QLC未來也將如此，當前固然仍有許多用戶不能接受QLC（特別是效能取向的消費端高階用戶），但QLC的進步有目共睹，而其成本、功耗與密度方面的優勢也顯而易見，更重要的是對廠商更有利可圖。事實上，從IBM FlashSystem這種二十多年歷史的老牌全快閃儲存陣列，都全面支援QLC，就能看出市場走向。</p> <p>就我們來看，除了極端傾向隨機寫入I/O，或是寫入負載非常大的應用情境外，其餘大多數的應用情境，已經沒有「非TLC SSD不可」的必要，最新一代的QLC SSD已能滿足需求。</p> <p> </p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 取代TLC SSD的新世代QLC SSD </span></strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-%E5%B0%81%E9%9D%A21-600-1.png" style="width: 500px;" /></p> <p><span style="color:#3366ff;"><strong>在中低階M.2規格SSD產品領域，已開始出現QLC SSD取代TLC SSD的情況，左圖為WD與美光今年上半發表的新款M.2 SSD產品：WD的SN5000與美光的2500系列，都是採用QLC快閃記憶體，將分別取代基於TLC的上一代M.2 SSD產品。</strong></span></p> <p><span style="color:#3366ff;"><strong>憑藉記憶體製程與控制器技術的持續進步，這些最新一代推出的QLC SSD產品，無論效能、可靠性，或是耐用性等方面，比起同等級的上一代TLC SSD產品都不遜色，而且還有所超越。</strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／WD、Micron</span></span></p> <p> </p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 回顧10年以來的SSD儲存容量成長趨勢 </span></strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-%E5%B0%81%E9%9D%A21-600-3.png" style="width: 600px;" /></p> <p><span style="color:#3366ff;"><strong>憑藉半導體技術的進步，SSD的容量在過去10年內提高了8倍，而且增長速度在近2年來有了明顯加速。在30.72 TB這個容量規格停滯5年後，於2023年下半年一舉提高到61.44 TB，隨後緊接著在2024年底又翻倍達到122.88 TB（各廠商的122.88 TB SSD產品，實際出貨時間是2025年初）。</strong></span></p> <p><span style="color:#3366ff;"><strong>而SSD容量規格之所以能有如此迅速的增長，則是QLC快閃記憶體與3D堆疊技術共同促進的結果，特別是QLC的應用，目前60 TB以上的超大容量SSD產品，是由QLC主導的領域。</strong></span><span style="font-size:14px;"><span style="color:#696969;">（資料來源：iThome整理，2024年11月）</span></span></p> <p> </p> <p><span style="font-size:24px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 60 TB以上超大容量SSD產品的記憶體型式 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-%E5%B0%81%E9%9D%A21-600-4.png" style="width: 600px;" /></p> <p><strong><span style="color:#3366ff;">在30TB容量以下的SSD產品領域，目前仍是基於TLC快閃記憶體居多，QLC主要用在訴求成本效益的特定產品線。到了60TB等級以上的超大容量SSD領域，則由QLC快閃記憶體主導，特別是最新發表的122TB等級容量SSD產品，清一色都是採用QLC。</span></strong><span style="font-size:14px;"><span style="color:#696969;">（資料來源：iThome整理，2024年11月）</span></span></p> <p> </p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> QLC SSD新戰場：AI訓練的儲存應用 </span></strong></span></span></p> <p><span style="color:#FFFFFF;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%8E%E5%BE%B7-QLC%E4%B8%BB%E5%9C%963-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%20MLCommons.png" style="width: 600px;" /></strong></span></p> <p><span style="color:#3366ff;"><strong>AI應用涉及的儲存存取需求，是特別適合QLC SSD發揮的場合。AI訓練、推論、預處理等作業執行中的I/O存取負載，多屬於連續的循序讀取與寫入，很少有隨機寫入負載。而這樣的應用型態，恰好對應QLC SSD擅長循序存取的特點，而避開了QLC SSD不擅長隨機寫入的弱點，並能讓QLC SSD發揮單位成本低、容量密度高、單位功耗需求低的優勢。</strong></span></p> <p><span style="color:#3366ff;"><strong>上圖為MLPerf Storage Benchmark模擬的AI訓練存取架構，可以看出資料的載入與預處理，都是以連續的批次方式進行，I/O負載以循序方式為主。</strong></span><span style="font-size:14px;"><span style="color:#696969;">（圖片來源／MLCommons）</span></span></p> <p> </p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> SSD記憶體技術的世代交替 </span></strong></span></span></p> <p><span style="color:#FFFFFF;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-%E5%B0%81%E9%9D%A21-600-5.png" style="width: 600px;" /></strong></span></p> <p><span style="color:#3366ff;"><strong>SLC SSD大約在2001年左右上市，但2010年以前就為MLC SSD取代。第一批MLC SSD是在2007年前後問世，2010年代成為主流，在2018、2019年左右開始為TLC SSD取代。最早的TLC SSD產品是在2015年前後推出，短短3、4年就成為主流的快閃記憶體型式，並一直延續至今。QLC SSD是在2018年推出市場，2021、2022年間逐步擴大應用面向，2023、2024年開始進入各種不同層面的企業儲存應用領域。</strong></span><span style="color:#696969;"><span style="font-size:14px;">（資料來源：iThome整理，2024年11月）</span></span></p> <p><a href="https://www.ithome.com.tw/article/166156" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><span style="background-color:#B22222;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1209-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=39bM2jNR" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/qlc%E5%BF%AB%E9%96%83%E8%A8%98%E6%86%B6%E9%AB%94">QLC快閃記憶體</a></div><div class="field-item odd"><a href="/tags/%E5%9B%BA%E6%85%8B%E5%84%B2%E5%AD%98%E6%87%89%E7%94%A8">固態儲存應用</a></div><div class="field-item even"><a href="/tags/%E5%BF%AB%E9%96%83%E5%84%B2%E5%AD%98">快閃儲存</a></div><div class="field-item odd"><a href="/tags/qlc-ssd">QLC SSD</a></div><div class="field-item even"><a href="/tags/ai">AI</a></div><div class="field-item odd"><a href="/tags/tlc-ssd">TLC SSD</a></div><div class="field-item even"><a href="/tags/60-tb">60 TB</a></div></div></div>
2024/11/22 14:04作者張明德https://www.ithome.com.tw/tech/166154
【快閃儲存產品全面進入QLC時代】迅速擴展中的QLC SSD企業儲存產品
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1209-feng_mian_2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Pure Storage、IBM</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一種新的儲存媒體能否獲得普遍應用，大型儲存系統廠商的採用與支援，往往是不可或缺的前提，也是我們觀察這種新儲存媒體應用成熟度的關鍵指標。</p> <p>第1批QLC SSD產品是2018年中上市，很快的，在2019年，就有儲存陣列廠商嘗試推出支援QLC SSD的產品，其中還包括身為一線大廠的Pure Storage。</p> <p>至於其他大廠的態度比較保守，到了2020年底，才又有NetApp與IBM等2家大廠，加入支援QLC SSD的行列。</p> <p>接下來經過1年的空窗期後，到了2022年，業界龍頭Dell才跟進，將QLC SSD引進旗下產品線。然後在2023年下半年，華為也導入QLC SSD。接著到了2024年，剩餘的幾家大廠，包括富士通（Fujitsu）、HPE、Hitachi Vantara，先後發表支援QLC SSD的儲存陣列產品，至此所有一線大廠全都加入支援QLC SSD的行列。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>QLC滲透儲存陣列產品的3階段</strong></span></span></p> <p>我們可以將QLC SSD在儲存陣列產品的應用與普及，大致分為3個階段。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 第1波QLC儲存陣列產品 </span></strong></span></p> <p>首先，是2019到2020年中問世的首波QLC儲存陣列產品，包括VAST Data的Universal Storage平臺，Pure Storage的FlashArray//C儲存陣列，還有，Nexsan的E系列的18F與32F，Beast Elite系列的Beast Elite F，以及StorOne的S1 : AFAn。其中當數Pure Storage表現最為積極，接連在2019年中與2020年下半年，推出2個世代的FlashArray//C。</p> <p>這些第一波QLC儲存陣列產品，可分為兩種技術路線：</p> <p>首先，是以低價與大容量為訴求。在這個時間點，由於QLC快閃記憶體在壽命、可靠性與效能上的限制，因此基於QLC的儲存陣列產品，大都是定位為硬碟或混合式儲存陣列的替代者，例如Pure Storage、Nexsan的產品，都屬於這種類型，應用的領域也有限制：主要作為二線儲存角色。</p> <p>其次，是與高效能的儲存級記憶體（SCM）構成混合架構。如VAST Data與StorOne的平臺，都是將QLC SSD與相互結合，由SCM承擔寫入I/O，迴避QLC SSD的寫入效能弱點，而由QLC提供低價的儲存空間，主要的I/O負載與輸出則由SCM來承擔，藉此兼顧效能與成本。</p> <p>我們在2020年的技術專題《<a href="https://www.ithome.com.tw/tech/137324" target="_blank"><span style="color:#3366ff;">QLC快閃記憶體開始進入企業儲存應用</span></a>》，便曾介紹此時的QLC應用概況。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 第2波QLC儲存陣列產品 </span></strong></span></p> <p>自2020年底開始，到2022年中的這段期間，又湧現第2波QLC儲存陣列產品。3家業界重鎮大廠——IBM、NetApp與Dell，先後發表支援QLC的儲存陣列產品。</p> <p>IBM為其FlashSystem系列引進基於QLC的FCM儲存模組（FlashCore Module），NetApp推出基於QLC SSD的FAS500f，Dell也為其PowerScale家族中的F900與F600，引進QLC SSD的配置選項。</p> <p>另外，一直非常積極支援QLC應用的Pure Storage，在這個時候也動作連連，先是在2021年初推出第3代FlashArray//C，接著在2022年中為FlashBlade物件儲存家族，新增基於QLC的FlashBlade//S系列。</p> <p>無獨有偶，Weka的WekaFS，以及Scality RING這兩種分散式儲存平臺，也在2022年下半年推出的新版本中，開始支援QLC SSD。</p> <p>在這個階段，QLC的儲存應用出現兩項新的發展：</p> <p>首先，是開始進入主流儲存平臺。包括NetApp ONTAP、Dell OneFS（PowerScale），以及IBM FlashSystem等3種用戶十分廣泛的平臺，都是在這個階段開始支援QLC。</p> <p>其次，是開始走出低成本的定位，轉為承擔第一線儲存角色。這個階段問世的QLC儲存陣列，有些仍是走低價大容量的硬碟替代者路線，如NetApp的FAS500f，或是將QLC SSD作為混合架構中的低成本儲存層，如Weka WekaFS與Scality RING。</p> <p>然而，IBM、Dell、Pure Storage則不同，他們直接讓QLC承擔主要的I/O負載，承擔第一線主儲存的重任，訴求在保持充分效能表現的前提下，提供更高的儲存密度、儲存容量，以及更低的成本、空間與功耗需求。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 第3波QLC儲存陣列產品 </span></strong></span></p> <p>自2023到最近的2024年間，市場上出現第3波基於QLC的儲存陣列產品。</p> <p>首先是2023年上半年，NetApp發表AFF系列全快閃儲存陣列QLC版本C系列，Pure Storage也增設3款基於QLC的新產品，包括FlashBlade//E、FlashArray//E等2個新系列，以及FlashArray//C的第4代機型。</p> <p>高效能運算領域重要的儲存供應商DDN，也在這個時候推出旗下AI應用儲存陣列AI400X2的QLC版。</p> <p>我們2023年7月曾發表封面故事《<a href="https://www.ithome.com.tw/article/157866" target="_blank"><span style="color:#3366ff;">QLC大舉進入企業儲存應用</span></a>》，當時市場上的企業級QLC儲存陣列產品，大致便是以上這些。</p> <p>接著從2023年下半年起，又有一系列新的QLC儲存陣列產品問世。</p> <p>首先華為發表基於QLC SSD的OceanStor Pacific 9920，稍後NetApp也推出ASA系列SAN儲存陣列的QLC版本ASA C系列。</p> <p>然後到了2024年，先是富士通在上半年推出基於QLC SSD的ETERNUS AC系列，當時間來到下半年後，HPE在10月為Alletra MP儲存陣列新增QLC SSD配置選項，到了11月，NetApp推出第2代AFF C系列，並為StorageGRID系列新增支援QLC SSD，緊接著Hitachi Vantara也發表VSP One Block系列支援全QLC SSD組態的款式，這也是目前最新的幾款QLC儲存陣列產品。</p> <p>在這波新加入支援QLC SSD的廠商中，HPE的態度轉變特別值得一提。</p> <p>過去HPE曾是少數否定引進QLC SSD需求的廠商之一，聲稱與其採用QLC SSD，維持原有SSD搭配硬碟的混合架構，會更為有利，於是，他們以QLC SSD的成本仍不夠便宜為由，否定引進QLC的必要，認為維持使用硬碟更具成本效益，結合專屬的快取演算法技術，就能滿足效能需求。</p> <p>不過，時至今日，HPE最終還是加入採用QLC的行列，換句話說，這也從反向證明一件事：今日的QLC SSD已具備取代硬碟的能力。</p> <p>相較於先前的QLC儲存陣列產品，我們從這一波產品中，還可以觀察到幾個新特色：</p> <p>首先，一些廠商開始將入門級與容量型產品角色，交給基於QLC的儲存陣列所擔任，如NetApp的AFF C系列與ASA C系列，Pure Storage的FlashArray//C、FlashBlade//E等。</p> <p>其次，專門的QLC儲存陣列產品線，數量也逐漸增加。相較於為既有產品額外提供選配QLC SSD的選項，越來越多廠商提供專門支援QLC SSD的儲存陣列款式，或是專門的QLC產品線。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>QLC儲存陣列的類型區分</strong></span></span></p> <p>我們可以將當前的QLC儲存陣列，依不同面向區分為幾種類型。</p> <p>首先，從產品的發展脈絡來看，當前的QLC儲存陣列可分為兩種類型：</p> <p><strong> <span style="color:#FFFFFF;"><span style="background-color:#000000;">（1）基於QLC而打造的儲存平臺 </span></span></strong></p> <p>如VAST Data的Universal Storage，以及StorOne的S1 : AFAn，一開始就是基於QLC SSD搭配SCM的架構打造而成，而且，QLC是這些儲存平臺固有的基本組成之一。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;">（2）既有平臺延伸支援QLC SSD </span></strong></span></p> <p>除了前述VAST Data與StorOne等兩種晚近發展的儲存平臺，是一開始就基於QLC打造，大部分儲存平臺的問世時間，都早於QLC SSD上市時間，因而都屬於日後延伸增加支援QLC的類型。</p> <p>而第2種類型的產品，又可細分為兩種形式：</p> <p>一為全快閃產品線的擴展，在原本全快閃儲存產品架構引進QLC，藉此提高容量、密度，並增強成本競爭力。例如：Pure Storage的FlashArray與FlashBlade系列、Dell的PowerScale系列、IBM的FlashSystem、NetApp的AFF與ASA，HPE的Alletra MP，以及DDN的AI400X2等。</p> <p>另一為混合陣列的快閃化，在原本的SSD搭配硬碟的混合架構中，以QLC SSD取代硬碟，藉此改善儲存密度與效能，如NetApp FAS系列、Nexsan 的E系列與Beast系列，還有Weka與Scality等分散式儲存平臺等。</p> <p>而從產品提供型態來看，我們則可將當前的QLC儲存陣列產品，區分為兩種類型：</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;">（1）專門的QLC儲存陣列產品線 </span></strong></span></p> <p>專門只提供QLC SSD的儲存陣列產品線，或是專門的QLC版本，這類型產品中，最著名的，便是問世最早的Pure Storage FlashArray//C系列，迄今已更新4個世代。另外，NetApp的AFF C與ASA C系列，富士通Eternus AC系列，DDN AI400X2 QLC版，華為OceanStor Pacific 9920，Hitachi Vantara VSP One Block的QLC版等產品，也都屬於這種類型。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;">（2）提供QLC SSD配置選項 </span></strong></span></p> <p>在原有儲存陣列的SSD配置選項中，額外提供QLC SSD的搭配選擇。例如：Dell PowerScale的F900與F600，HPE的Alletra MP，還有NetApp的StorageGRID等產品，都是以這種形式提供QLC SSD的支援。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>迅速擴展中的QLC應用環境</strong></span></span></p> <p>5年來，我們見證QLC SSD在企業儲存應用的擴散與普及歷程。早在2019年，當時只有VAST Data與Pure Storage這2家先驅廠商，提供採用QLC SSD的儲存陣列產品。到了今日，全部一線大廠都已將QLC SSD引進旗下產品線。</p> <p>其中Pure Storage與IBM這兩家大廠，更是將主力產品線的未來，都押注在QLC上。</p> <p>Pure Storage的FlashArray與FlashBlade等兩大主力產品，除主打高效能應用路線的FlashArray//X與FlashArray//XL，仍維持採用TLC，其餘產品線都已全面採用QLC。</p> <p>而IBM的FlashSystem系列，雖然也能支援一般的標準TLC NVMe SSD，但作為核心的FCM儲存模組，自2020年的第2代模組，到最新的第4代模組，都已轉向採用QLC。</p> <p>目前較重要的廠商中，仍堅持不採用QLC者，大概只剩下Infinidat。該公司宣稱藉由他們專屬的快取演算法，只須採用SSD搭配硬碟的混合架構，就能提供同等甚至超過全快閃陣列的效能，因而沒有以QLC SSD取代硬碟的必要。不過，在商言商，廠商沒必要一直自我設限，當初持相同論調的HPE，已在不久前棄守原有立場，轉為引進QLC SSD，我們預期Infinidat最終應該也會轉變態度，加入支援QLC SSD的行列。</p> <p> </p> <p><span style="font-size:26px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 大力支援QLC的Pure Storage與IBM </span></strong></span></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%8E%E5%BE%B7-QLC%E7%94%A2%E5%93%81%E4%B8%BB%E5%9C%961-1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Pure%20Storage.png" style="width: 600px;" /></span></span></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%8E%E5%BE%B7-QLC%E7%94%A2%E5%93%81%E4%B8%BB%E5%9C%961-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-IBM.jpg" style="width: 600px;" /></span></span></p> <p><span style="color: rgb(51, 102, 255);"><strong>上圖分別為Pure Storage的DFM儲存模組，與IBM的FCM儲存模組解剖圖。Pure Storage與IBM這兩家廠商，堪稱在所有一線儲存大廠中，對於支援QLC快閃記憶體的著力最深。例如，Pure Storage自2019年就推出基於QLC的DFM儲存模組，並逐步引進到旗下FlashArray與FlashBlade儲存產品線；IBM FlashSystem系列儲存陣列專屬的FCM模組，也自2020年的第2代起，便全面改用QLC。</strong></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">（圖片來源／Pure Storage、IBM）</span></span></p> <p> </p> <p><span style="font-size:26px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 主要大廠的QLC儲存陣列產品 </span></span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-%E5%B0%81%E9%9D%A22-600-1.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">資料來源：iThome整理，2024年11月</span></p> <p><a href="https://www.ithome.com.tw/article/166156" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(178, 34, 34);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1209-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=39bM2jNR" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/qlc%E5%BF%AB%E9%96%83%E8%A8%98%E6%86%B6%E9%AB%94">QLC快閃記憶體</a></div><div class="field-item odd"><a href="/tags/%E5%9B%BA%E6%85%8B%E5%84%B2%E5%AD%98%E6%87%89%E7%94%A8">固態儲存應用</a></div><div class="field-item even"><a href="/tags/%E5%BF%AB%E9%96%83%E5%84%B2%E5%AD%98">快閃儲存</a></div><div class="field-item odd"><a href="/tags/qlc-ssd">QLC SSD</a></div><div class="field-item even"><a href="/tags/ai">AI</a></div><div class="field-item odd"><a href="/tags/tlc-ssd">TLC SSD</a></div><div class="field-item even"><a href="/tags/60-tb">60 TB</a></div><div class="field-item odd"><a href="/tags/pure-storage">Pure Storage</a></div><div class="field-item even"><a href="/tags/ibm">IBM</a></div></div></div>
2024/11/22 14:04作者張明德https://www.ithome.com.tw/tech/166155
快修補！2千臺Palo Alto Networks防火牆已遭漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週一（11月18日）資安業者Palo Alto Networks修補PAN-OS管理介面身分驗證旁路漏洞CVE-2024-0012、權限提升漏洞CVE-2024-9474，<a href="https://www.ithome.com.tw/news/166075">當時，他們就提及有一定數量（Limited Number）的防火牆已經遭到攻擊</a>，但究竟有多少防火牆受害？這幾天，有研究人員公布相關的觀察現況。</p> <p>11月21日Shadowserver基金會指出，<a href="https://x.com/Shadowserver/status/1859532378508570931">他們發現全球約有2千臺防火牆遭遇漏洞攻擊</a>，其中美國、印度、泰國最多，分別有554、461、80臺。值得留意的是，臺灣也有58臺遭到入侵。</p> <p>另一方面，該基金會警告，<a href="https://x.com/Shadowserver/status/1859524801913573461">全球約有2,700臺防火牆尚未修補這些漏洞</a>，數量最多的仍是美國、印度、泰國，分別有932、484、96臺，至於臺灣，則有57臺未修補漏洞，數量排行全球第6。</p> </div></div></div>
2024/11/22 10:51作者周峻佑https://www.ithome.com.tw/news/166149
【發揮顧客、餐廳、外送員的數據及消費場景特性】富胖達如何實現外送媒體聯播網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「同樣行銷模式，我們打不贏Google、Meta。RMN必須強調自己特有的競爭力。」富胖達（Foodpanda臺灣）行銷總監陳嘉孟點出他們發展廣告業務的方針。</p> <p>今年9月，Foodpanda臺灣推出自家零售媒體聯播網，不只在App上對數百萬消費者投放數位廣告，更圍繞著外送平臺特性來打造整合行銷服務──將數百萬消費者、10萬外送夥伴及10萬合作商家，作為聯播網行銷對象，同時也作為行銷用數據來源。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>靠通路特性來變現平臺上交易與外送流量</strong></span></span></p> <p>陳嘉孟說，Foodpanda臺灣收到許多商業合作邀約，希望將外送平臺的交易流量和外送流量轉為行銷機會，讓他們決定積極發展廣告業務。</p> <p>他們設立了經營RMN的廣告部門，設計RMN功能，及執行後續行銷專案。陳嘉孟解釋，母公司產品團隊打造外送App上的數位廣告版位及底層投放系統，其他現成通路的行銷模式則靠人，由臺灣廣告部門負責經營。</p> <p>Foodpanda臺灣深知，只靠數位廣告難與其他同類業者直接競爭。他們採取的策略是，不和廣告巨頭比拚演算法，而是圍繞著平臺特性打造整合行銷服務，創造差異優勢。</p> <p>廣告團隊分析，自家業務獨特之處，是和數百萬消費者、10萬外送夥伴及10萬合作商家都有密切互動。</p> <p>這三個族群，分別在外送App、餐廳，以及送餐目的地等不同通路和場域，留下足跡和互動紀錄，可以產生行銷機會，跟可以用來強化行銷精準度的數據。這些特性，讓Foodpanda決定採取多通路、多行銷模式、多行銷族群的整合行銷服務。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Foodpanda如何利用外送業務特有數據來行銷</strong></span></span></p> <p>Foodpanda可整合的廣告通路十分多樣，包括外送App、餐廳、外送商品袋、社群媒體、電子報、自家倉庫、線下活動，甚至外送機車車廂。這些通路中，可以投放數位廣告，像是App各種廣告圖文、行動呼籲（Call to action）、特殊餐點組合行銷等。也可以進行線下行銷，包括多通路戶外廣告、商品派樣和線下舉辦行銷活動等。</p> <p>Foodpanda臺灣也將廣告主產業常見需求，組合特定通路和作法，建立了一套整合行銷模板。例如行動呼籲型廣告模板可供金融保險業蒐集潛在客戶聯繫名單，餐飲類商品則可以和餐廳合作，推出套餐組合促銷。</p> <p>廣告部門行銷人員以專案方式執行，以模板為基礎來設計客製化整合行銷企畫。行銷人員可以利用手中消費者、餐廳及外送員數據，來支援廣告投放策略。</p> <p>這些數據包括常見的消費者手機號碼、Email、位置、性別、支付方式、信用卡銀行、裝置作業系統、裝置型號、電信業者、客單價、消費時段等基礎資訊。</p> <p>不只如此，廣告部門行銷人員還可以取得不少外送平臺獨有的數據維度，例如消費者的餐廳和食物偏好、生鮮百貨商品需求、取餐習慣，外送員送餐時段及地區，以及餐廳菜系、價位、客單價、營業時段、常見顧客分眾等，來進行分眾行銷。</p> <p>不只線上投廣可以分眾，線下行銷時，也能利用不同數據，來達到一定程度的分眾行銷。例如，根據外送員排班時段和區域，來投放廣告到外送機車車廂。或者，針對消費者特性及訂餐內容，來決定商品派樣對象。</p> <p>分析數據時，行銷人員主要靠BI工具Tableau，而沒有採用套裝的Martech產品或服務。</p> <p>Foodpanda會定期綜合各通路行銷結果，以報表形式提供成效數據給廣告主，線上行銷數據包括數位廣告點擊、曝光和轉換等常見指標，以及是否有達到行銷KPI。目前還沒有提供廣告主儀表板等自助式即時監控功能。</p> <p>至於線下數據，陳嘉孟坦言，線下廣告確實較難以追蹤行銷成效，商業模式多為以曝光為計價標準，類似於公車廣告等戶外廣告，因此報表上的數據以推估曝光數為主。</p> <p>除了由Foodpanda廣告部門操作的行銷活動，他們還有另一個將自家數據用於廣告的做法。他們與全球最大獨立DSP （廣告需求方平臺）The Trade Desk合作，用去識別化技術匹配平臺消費者資料。廣告主除了透過Panda Ads，還可以透過TTD的DSP，來對Foodpanda消費者投放廣告，並即時追蹤廣告活動成效。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>發展RMN廣告業務的前提是不影響核心外送業務</strong></span></span></p> <p>雖然Foodpanda也算是電商，但其RMN與電商常見模式大不相同。</p> <p>常見電商RMN做法是，用手中大量商品及顧客數據優勢來打造推薦演算法，搭配自動化競標、投放等機制，來進行高度自動化的即時精準行銷。</p> <p>這類RMN，廣告主通常是零售業者的供應商，且行銷活動與顧客的商品探索和購買環節緊密結合。用意是，在顧客實際購買階段傳遞行銷訊息，期望提升行銷轉換為平臺交易的比例。Momo、PChome等電商，就是採取這種在既有核心商務加入廣告元素的模式。</p> <p>Foodpanda RMN更貼近於OMO零售業者的RMN做法，行銷操作和數據作業常須仰賴人工，在線上通路發展數位廣告，同時發揮線下通路特性來提供多元行銷選項。</p> <p>這類RMN的行銷通路與形式，圍繞著零售通路和商業模式特性來設計，廣告主未必是供應商，行銷時機也不限於顧客探索商品與購買商品的環節。超商雙雄旗下的RMN，便屬於這類，圍繞著自家零售特性，打造一套與零售業務並行的廣告業務。</p> <p>但是，Foodpanda整合行銷服務，則是環繞在核心外送業務的周邊，必須與外送業務有關聯，但又不能影響核心業務，以維持消費者使用App的體驗。</p> <p>例如以廣告主來說，平臺上商家的行銷服務由外送業務部門負責，廣告部門則負責想要在Foodpanda通路上打廣告的其他品牌廣告主。</p> <p>在外送App上，Foodpanda臺灣更限制廣告部門可操作的廣告版位與行銷模式，只能使用與「外送點餐」核心業務流程關聯性較低的版面，例如App內輪播廣告、下單後廣告、支付方式更換呼籲等。但在廣告內容上，就算是非平臺用戶的品牌，也得與外送服務有一定程度關聯。</p> <p>陳嘉孟表示，App上廣告最高原則是，「不可以影響外送點餐體驗，否則外送轉單率只要掉1%，就是天文數字的虧損。」</p> <p>不只要避免RMN行銷活動對外送業務的衝擊，為了進一步保護核心業務，廣告部門也不許提供任何可能影響到外送核心業務的行銷數據，尤其不能透露可回推外送業務規模的數據。並且，所有廣告主都必須簽署NDA，所有行銷數據都不可外傳。</p> <p>這種RMN廣告業務與外送核心業務有點黏又不能太黏的模式，帶來了Foodpanda廣告部門3大限制──行銷模式必須以消費者體驗優先、廣告版位有限，以及可與廣告主揭露數據有限。</p> <p>陳嘉孟進一步說明，行銷模式必須以消費者體驗優先，不能用太過搶眼的作法，但又必須顧及成效。</p> <p>這帶來第二個限制，外送App上可用的廣告版位種類和數量都有限制，固定時間內的廣告總曝光量較低，造成不同廣告主的行銷內容在曝光度及價格上互相競爭、排擠。</p> <p>前兩項限制，為Foodpanda RMN可承接的行銷案件數量設限。事後能與廣告主揭露數據種類不多，則容易使廣告主對行銷成效產生疑慮。</p> <p>這三項限制，使Foodpanda廣告團隊必須花許多功夫來說服廣告主。</p> <p>陳嘉孟坦言，魚與熊掌不可兼得，以他們廣告版位數量，總曝光量和精準度必須取捨。目前，Foodpanda RMN處於發展初期，客戶數還不多，且仍多著重於總曝光量。未來有更多廣告主競爭同一批版位時，他們計畫更細緻地圈選受眾，來更精準地投放廣告給更小群的適當消費者。這樣一來，同一個版位，就能同時用來刊登更多廣告主的行銷內容。</p> </div></div></div>
2024/11/22 11:08作者郭又華https://www.ithome.com.tw/news/166150
【靠MA、CDP、智慧客服系統，改善四大行銷痛點】易遊網如何靠Martech每月多賺千萬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當易遊網行銷長林怡誠被問到Martech帶來的效益，只是拿出計算機，眼睛轉了一圈，按了兩下，「以CDP再行銷，單是機票跨售飯店的促銷，每月提升至少百萬營收。」</p> <p>這只是其中一項行銷活動。每個月，臺灣本土首間線上旅行社易遊網導入的Martech產品，總共為他們帶來上千萬元的額外營收，每一塊錢收益，都可以清楚歸因到特定行銷通路和Martech產品。這是易遊網ezTravel近5、6年，歷經一系列行銷組織、流程及科技改革，累積而來的成果。</p> <p>早在24年前就發展純線上旅行社的易遊網，一直以來相當注重IT。從網站、行動應用到不少其他內部系統，都是由內部IT團隊自行開發。林怡誠說，易遊網許多數位做法，都是臺灣旅遊業先行者，舉凡開出電子機票、完成線上刷卡、數位會員回饋，以及串接三大國際支付工具，他們都是第一家。2015年，他們就開始經營手機App，至今已經是營收占比最大的通路。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>行銷數位轉型鎖定4大痛點，向金融業取經</strong></span></span></p> <p>林怡誠指出，易遊網數位轉型不是受疫情所迫，而是在國內旅遊高峰期的2018、2019年時，觀察到多項挑戰及痛點，而自主發起。</p> <p>首先是競爭加劇。國內外比價平臺、住宿平臺、票券平臺等強力競爭者紛紛加入臺灣市場戰局，使易遊網必須持續強化自身競爭力。</p> <p>其二是數據難以投入應用。易遊網坐擁3、400百萬會員分散在不同接觸點的數據，難以用來進行個人化、自動化行銷。</p> <p>第三是不同行銷通路未整合。內外部行銷通路都需要在個別系統操作，難以整合數據並量化追蹤行銷成效。</p> <p>最後，則是IT部門資源有限。易遊網高度數位化的文化，產品、業務、行銷等不同部門都有高度IT需求。6、70人規模的IT部門在旅遊業不算小，但仍分身乏術。</p> <p>林怡誠是金融業十幾年行銷老將，加入易遊網後，他用3個金融業行銷原則，來改造易遊網的行銷模式。這3個原則是數據化、標準化和以人為本的行銷。</p> <p>易遊網不只擴大了對數位廣告的投資，成立廣告投放部門，來進行標準化和數據化行銷。在內外部行銷通路都埋了自家開發的追蹤程式碼，以統一追蹤不同行銷通路的狀態和成效。還成立會員行銷部門，行銷方針從原本以訂單或產品為出發點，改為以會員行為和喜好出發。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>導入MA及CDP系統，打造標準化、自動化的會員行銷流程</strong></span></span></p> <p>隨著易遊網增加數位廣告投放規模，他們也發展出更多行銷邏輯及做法。隨之而生的需求是，要處理更多會員、廣告及產品數據，以及要有管理和自動化執行大量行銷流程的機制。</p> <p>於是，他們導入了MA系統，來一站式管理和執行行銷邏輯和流程，不須仰賴IT部門頻繁手動撈取數據，也能實驗並發展出更多數據驅動的行銷做法。</p> <p>疫後，旅遊需求大爆發，帶來更多數據處理需求，以及前所未有的競爭局勢，他們導入疫前開始評估的CDP，來進一步強化會員數據分析，以支援精準行銷，在這波旅遊消費浪潮抓住更多營收。</p> <p>例如，他們分析出顧客購買機票後，預定飯店的時機和行為模式。結合會員個人喜好，對剛購買機票的顧客推銷飯店。將飯店跨售轉換率從原本8%提升到超過10%，估計每個月帶來百萬元以上營收。「國外大型線上旅行社這項轉換率約20%，我們還有進步空間。」林怡誠坦言。</p> <p>另一個例子是，從顧客行為模式中分析出購買機票的猶豫客，來進行推銷，每個月促成500名消費者購買機票，以平均機票價12,000元來算，就是5、6百萬元額外營收。</p> <p>林怡誠表示，利用CDP綜合分析顧客數位足跡和行為模式，讓易遊網的行銷慢慢從「點」延展到「線」，能根據顧客行為模式來決定行銷時機和方法。未來，希望分析出更多中長期顧客旅遊消費模式，找到更多行銷機會。</p> <p>他們也會比對來訪流量與CDP資料，來判斷出非會員的顧客，會員權益，平均每個月吸引5,000名新會員。另一個做法是，辨認出自有通路難以觸及或轉換的顧客，在投放外部廣告時，加強鎖定這些族群。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>導入智慧客服系統輔助售後服務及行銷，未來還要利用生成式AI進一步強化</strong></span></span></p> <p>因應旅遊需求暴增而導入的另一個科技是客服系統。林怡誠說明，疫情衝擊導致機票住宿改動需求增加，到疫情過後，許多旅遊活動復甦，都大幅提升了客服人力的負荷。借助客服系統，用簡單QA功能預先過濾部分進線，並更有效率的排序進線案件，以增加案件的消化量。下一步，他們計畫導入生成式AI，用聊天機器人處理機票改動等較複雜的客服案件。林怡誠說，線上改機票機制處理了75%需求，不過，仍有不少顧客希望透過對話來完成退改票需求而打電話給客服。「用生成式AI來支援，有望進一步降低客服負荷。」</p> <p>目前，客服系統是易遊網CDP資料來源之一，從對話內容擷取顧客特徵，再歸戶到CDP會員資料中。他們希望，未來可以反過來透過CDP支援客服，以打造個人化客服體驗。</p> <p> </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E6%98%93%E9%81%8A%E7%B6%B2martech%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Appier.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>易遊網Martech架構及數據流簡圖。透過導入CDP及MA等Martech，他們能一站式整合不同通路的數據，並從企業高度來管理和操作數位行銷。</strong></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Appier</span></span></p> <p> </p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>行銷成效評估及歸因能力的關鍵是自建追蹤機制</strong></span></span></p> <p>導入外部Martech對易遊網行銷模式帶來許多改變，具體帶來哪些效益，得靠易遊網內部開發的追蹤機制。</p> <p>早在2018、19年，易遊網啟動行銷數位轉型時，就在內外部各個行銷通路都埋了追蹤程式碼。「我們常常覺得，Google或Meta這些平臺的成效數據好像跟實際訂單增加情況不符，決定靠自己來追蹤成效。」林怡誠回憶，要在許多不同個行銷節點埋追蹤點，工程浩大。這是行銷部門第一次和IT部門共同推行大規模專案，雖然過程艱辛，成果是，可以用自定義的標準，來統一追蹤全行銷通路的成效。</p> <p>導入外部Martech之後，在新的行銷模式、通路及系統上，易遊網也持續埋入自家追蹤碼。這樣一來，不但能知道不同通路的行銷成效，更能觀察哪些Martech產品，為這些行銷成效帶來貢獻。</p> <p>行銷部門能細緻且具體追蹤行銷成效，不只有助於擬定行銷策略，更帶來財務面效益。</p> <p>「導入MA之初，公司就嚴格要求行銷部門，產生的營收要大於費用。」林怡誠說，正是有這套追蹤碼，易遊網才能準確評估，投資Martech是否能帶來正面收益。甚至，後續投資更多系統，如CDP、客服時，也更容易用數據說服老闆。易遊網自家追蹤數據顯示，MA和CDP系統很快產生效益，導入半年就打平相關費用。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>導入套裝Martech產品的挑戰</strong></span></span></p> <p>在易遊網導入套裝Martech產品過程中，林怡誠分享了他們遇到的3個挑戰。</p> <p>首先，導入MA和CDP等系統時，資料清洗與整合工程浩大，需要花上數月到半年時間。行銷部門應該向IT部門充分說明，數位行銷做法調整，會如何提升數據撈取的需求量跟複雜度。對原本開IT工單逐次手動撈取資料的作法，負擔很大。相對來說，一次性的導入作業雖然龐大，但能大幅降低後續IT支援行銷資料存取的需求。「長痛不如短痛。」林怡誠直言。</p> <p>第二是得降低第三方系統的數據安全疑慮。易遊網做法包括嚴格劃分數據存取權限，以及額外設立一個雲端環境，用來上傳給Martech系統的資料。這個設計可以確保，易遊網只提供自己願意分享的資料，也避免廠商的存取行為，直接連結到易遊網系統。分別設有雲端環境的管理帳號，以及易遊網主IT環境存取帳號，更容易劃分權限。</p> <p>第三則是需要確保數據自主權。易遊網會將廠商平臺上的分析數據所得出的洞察，例如會員標籤、會員分眾等，都回存到自家資料庫，來降低廠商綁定風險。這樣一來，轉移到其他Martech廠商產品時，仍能保留部分數據及洞察。</p> <p>易遊網行銷轉型下一步，是開始評估利用生成式AI來支援行銷。例如，隨著易遊網發展出越多行銷做法，且行銷模式更加個人化，他們希望用生成式AI來支援行銷人員產出更多行銷素材，如宣傳圖、折扣碼等。</p> <p>其他易遊網正在探索的生成式AI應用情境，包括顧客貼標、顧客旅程規畫、即時對話式行銷、解決進階客服需求等。「我們希望利用生成式AI，更精準預測顧客行為，並快速迭代推薦內容。」林怡誠說。</p> </div></div></div>
2024/11/22 11:20作者郭又華https://www.ithome.com.tw/news/166151
美國司法部提議Google出售Chrome業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部周三<a href="https://storage.courtlistener.com/recap/gov.uscourts.dcd.223205/gov.uscourts.dcd.223205.1062.0.pdf" target="_blank">提議</a>法院，應要求Google出售Chrome業務，以有效解決Google搜尋市場的壟斷。</p> <p>哥倫比亞特區聯邦地方法院法官Amit P.Meht今年8月<a href="https://www.ithome.com.tw/news/164309" target="_blank">判決</a>，Google利用不當通路手段維持非法壟斷搜尋及搜尋廣告市場。美國司法部這份提交法院的建議最終判決文件，是對法官建議懲處及矯正措施。但最終決定權仍是在Meht法官手上。</p> <p>這份23頁的文件和<a href="https://www.ithome.com.tw/news/165427" target="_blank">10月份</a>司法部的提議大致雷同，但用詞更為明確。內容主要說明Google是透過和裝置、瀏覽器業者簽定獨家合約、集中及獨攬用戶使用分析資料等方法，而獲致搜尋引擎及搜尋廣告的獨大地位。美國司法部指出，Google持有及控制Chrome及Android將減弱矯正措施的效果，因此必須讓Google放棄（divest）Chrome，後者是鞏固其壟斷地位的重要因素，以實現競爭者通路合作的可能。</p> <p>司法部也認為Android是支持Google壟斷的因素，但說要求出售該業務可能引發Google和其他市場參與者的強烈反對，因此建議行為矯治手段來削弱Google對Android生態系的控制。但美國政府說，一旦矯治措施無效，也會建議要求Google出售這個作業系統。</p> <p>為解決Google壟斷對搜尋服務及搜尋文字廣告市場的損害，且確保Google無法再維持壟斷或閃避法院判決，司法部提議法院禁止Google和第三方廠商如裝置製造商或瀏覽器業者簽定獨家合約、禁止它擁有和控制搜尋相關產品（如Chrome）、禁止Google收購、少量投資或合作以免扼殺新興業者，也要求Google將搜尋分析資訊和業界共享、提高廣告投放的透明度，以及成立技術委員會每月向政府報告Google搜尋及廣告拍賣改革的進度等。</p> <p>Google法務長Ken Walker周三<a href="https://blog.google/outreach-initiatives/public-policy/doj-search-remedies-nov-2024/" target="_blank">回應</a>，這份建議已無限上綱，範疇遠超越法院決定，也會摧毁Google眾多產品，不只是搜尋，最終損及美國民眾利益。</p> <p>Google認為，出售Chrome和Android，以及公開用戶分析內容將危及美國用戶的安全和隱私，影響用戶使用Google搜尋、也會傷害仰賴Google搜尋的業者如Mozilla Firefox，且使Google對AI的投資卻步。Google並說，政府要求技術委員會，是對Google搜尋和其他科技過度的微管理。</p> <p>Google將在12月提交自有版本提議。本案預計於2025年由法院作出最終判決。</p> </div></div></div>
2024/11/22 11:37作者林妍溱https://www.ithome.com.tw/news/166148
48天全院IT火速上線，高醫岡山醫院下一步邁向智能化
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為一位IT人，從無到有幫忙開一家醫院，是個怎樣的體驗？</p> <p>準備將近10個年頭，坐落在高雄捷運紅線上的高雄醫學大學附設高醫岡山醫院，今年4月試營運、8月全面啟動。一樓大門一進來，旁邊就立著柱狀機臺，員工可以刷臉辨識或感應卡片，來打卡上下班。大廳正前方，還有面260吋的LED電視牆，管理者動動手指就能設定播放內容、即時秀出重要資訊，方便民眾認識醫院，比傳統用USB傳檔更快更靈活。</p> <p>甚至在民眾看不到的地下一樓，還配有高科技製造業專用的智慧倉儲機，來精準管理藥庫。它連接了醫院最重要的醫療資訊系統（HIS），能根據領藥單上的品項，自動彈出藥品收納盒。或是，只要刷新購入的藥品條碼，就會打開相對應的料盤，來準確記錄和收納。</p> <p>這是高醫岡山醫院智慧醫院的部分成果，來自高醫岡山醫院資訊室主任蔡文宗與團隊的巧思。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>階段1：建築規畫</strong></span></span></p> <p>作為醫院營運的幕後推手之一，他指出，IT輔助開院，分為4大階段，包括建築規畫、籌設討論、基礎建設和智能發展。蔡文宗從第一階段的建築規畫，就開始參與。</p> <p>高醫大附設中和紀念醫院（簡稱高醫附醫）籌畫高醫岡山醫院時，就定下目標，要打造出一家「智能醫院」，需要智慧醫療開發經驗的人才。當時，蔡文宗是高醫附醫資訊室智能研發組組長，開發過不少智慧醫療應用，於是2019年，他被找來擔任新醫院籌設的諮詢委員，提供軟體建置建議。</p> <p>第一階段的焦點是空間運用和預算規畫，比如哪些單位需要多少空間，或網路該如何布建等。高醫附醫做了幾項攸關日後智慧醫院發展的關鍵決定，比如要求委外的資訊廠商，不帶主機進醫院資訊機房，釋放實體空間。這是因為，高醫岡山醫院成立之初，就立下「建立私有雲」的目標，自建虛擬雲端空間、全面雲端化，因此要求廠商使用院內雲端資源，而不像一般醫院預留機房空間，來部署廠商的實體主機。</p> <p>同時，他們也要求醫療儀器廠商，將儀器產出的資料直接上傳到醫院系統，有別於傳統做法，得手動用USB來存取儀器數據。</p> <p>「現在是大數據時代，」蔡文宗點出，各類儀器累積的數據，就是未來醫療AI的養分，得從設備源頭直接收集、留存原始資料。這是籌設團隊做的另一個關鍵決定。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>階段2：籌設討論</strong></span></span></p> <p>到了2022年8月，進入第二階段，蔡文宗從諮詢委員的角色，正式轉為籌設團隊中全職的資訊團隊辦公室主任，和高醫附醫的工程師們，一起展開IT建置工作。</p> <p>因為開始動手，蔡文宗直言，這個階段的難度變高了。尤其，硬體部分，要先搞定不同設備複雜的網路設定，才能讓各處室順利啟用。他形容：「IT就像是神經網路，許多醫療儀器、設備都得靠IT來傳送資訊。」蔡文宗於是向長官提議，先完成資訊室的建置，才能協助其他單位快速上線。</p> <p>獲得支持後，高醫附醫IT團隊全員動起來，在他們的努力下，資訊室成為高醫岡山醫療大樓第一個落成且通電的處室，為後續開院打下重要基礎。</p> <p>不只硬體，軟體部分也得與時間賽跑。為了在最短時間內上線，他們一開始就決定，先在高醫附醫中建置虛擬環境，來打造新醫院需要的各類系統。等到新醫院通電、可搬遷系統後，再將這些系統從高醫附醫轉移到新醫院，來降低系統搬遷的困難度。</p> <p>為做到這一點，蔡文宗請工程師們先盤點出需要自建與委外的系統，約3、400套。自建的系統，一方面與高醫體系的資料串聯，另一方面也與各單位討論，如何建置新醫院的基本檔案，如物料、藥物、醫令等。委外系統部分，同時要求廠商提前建置新醫院系統的後臺和資料庫，以利後續測試和上線。</p> <p>蔡文宗補充，整個高醫體系的各分院，使用同一套程式，但部署在各自的伺服器和資料庫。好處是，對外網路斷線時，分院能照常營運，再加上系統都在分院內，搭配新醫院的光纖骨幹網路，其反應速度比靠連線存取總院資源還要快。</p> <p>「能做的，我們盡量在前期做，」這是蔡文宗在第二階段工作的重要原則。</p> <p>在發展軟體應用的期間，他們也開始思考，「什麼是智慧醫院？」他點出，高醫岡山醫院的成立初衷，是要成為一家智慧醫院，但每個人對智慧醫院的想像不盡相同，團隊花了非常多時間跨部門討論，更走訪北中南多家醫院借鏡學習，如長庚土城分院、中附醫新竹分院、中榮到屏榮等院。</p> <p>最後，他們聚焦出，融合在地需求的智慧醫院發展方向，包括了少紙化、減少人力作業和優化病人就醫體驗等三大方向。其中，考量就醫族群中不善3C操作的長者，病患端的掛號單、藥單仍保留紙本，少紙化策略先鎖定院內流程來落實。</p> <p>再來，高醫岡山醫院地理位置，離市中心有段距離，人才招募不易，因此，新醫院導入了更多自動化應用，如導入程式輔助和機器人應用，來減少人力需求、分擔既有人力負荷。</p> <p>至於優化病人就醫體驗，則聚焦流程優化，「讓病人不要感覺冷冰冰的，」蔡文宗強調。於是，籌設團隊盤點高醫體系流程，從中挑出部分流程重新改造，要跳脫歷史包袱，嘗試新應用。</p> <p> </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-CIO-%E6%8A%BD%E8%A8%80.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">（攝影／洪政偉）</span></span></p> <p> </p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>階段3：基礎建設</strong></span></span></p> <p>蔡文宗坦言，第三階段的基礎建設，才是真正的大挑戰。因為，相較於第二階段、IT有1年多時間準備和測試，第三階段只有短短不到2個月的時間可用。</p> <p>「今年2月才接電，4月醫院就要開幕！」蔡文宗記憶猶新：「扣掉過年，只剩下40多個工作天，那時每天開會拼進度，就是把全院IT設置好。」</p> <p>這些IT工作，不只要將虛擬環境轉為正式環境，部署約500臺地端電腦，還要建置內網環境、無線AP、對外光纖、健保VPN和儲存設備等，甚至IT還要負責安裝條碼掃描機、條碼列印機等醫院常見設備。</p> <p>「我們每天追蹤進度，要是哪邊落後了，就要想辦法提前。」蔡文宗透露，好在高醫附醫IT團隊一如既往的支援，讓這些基礎建設工程順利趕工。甚至，高醫附醫還撥出40名IT人力，在3月底到新醫院現場，一起進行系統上線前測試，實際模擬整套病人就醫的流程。</p> <p>為因應上線時可能發生的突發狀況，不少部門同步進行流程沙盤推演和演練，像是護理部就制定病人動線，來避免狀況發生時的擁擠。就連IT自己也準備了備用計畫，由高醫附醫設置一套單機版開藥和開醫令系統，來因應雲端系統出事時，還有單機系統能營運。</p> <p>後來，高醫岡山醫院順利開幕，上線至今沒出現大麻煩。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>階段4：智能發展</strong></span></span></p> <p>開幕後，高醫岡山醫院IT團隊集中火力，發展智能醫院應用。第一步先導入醫事人員行動憑證，讓醫護人員用行動裝置簽核資料，不必再找桌機、插卡才能作業。</p> <p>高醫附醫幾年前就導入醫事人員行動憑證，蔡文宗非常熟悉整套流程，今年5月取得醫事憑證管理中心發出的許可後，他們快速打造醫事人員行動憑證應用，不只用於電子病歷簽核，也可用來簽核電子處方箋。</p> <p>解放醫護人員的行動力之後，高醫岡山醫院全力發展智能醫院3大目標。在少紙化目標上，改以平板簽署同意書，取代紙本，也將衛教單張和自我健康評估表等表單電子化，還提供QR Code掃描、顯示病人衛教資訊，減少紙張使用。</p> <p>針對減少人力作業的目標，團隊也做了不少努力，比如打造診間檢查報到叫號系統，透過系統連接廣播，自動叫號下一位病人，護理師不必再自己動口。</p> <p>高醫岡山醫院也導入手術器械運輸機器人，搭配醫院設計之初就劃定的專用走道，來運輸手術使用過的器械，送去消毒。其他應用，還有藥庫管理的智慧倉儲機、管理藥物調劑的智能調劑臺，以及行動化的醫學影像PACS管理系統。</p> <p>至於優化病人就醫體驗目標，高醫岡山醫院引進不少智慧裝置，例如設置在小兒科診間的大型互動裝置，兒童患者可以跟螢幕中的卡通動物玩遊戲、互動，又或是特別引進的智慧輪椅，使用民眾可在輪椅配置的螢幕中，點選想去的目的地，再根據指示操控輪椅移動。</p> <p>開頭介紹的大廳電視牆、支援虛擬健保卡的叫號燈和醫院360度環境導覽等，也都是優化病人流程體驗的實例。蔡文宗說，目前只是萌芽階段，還有更多智能化任務進行中。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>下一步瞄準混合雲和GAI</strong></span></span></p> <p>要朝智能醫院更進一步，高醫岡山醫院IT還有許多工作要做。</p> <p>其一是發展混合雲架構。目前，高醫岡山醫院大大小小的HIS系統，已在自建的私有雲執行，蔡文宗規畫，短期少用的冷資料、備份資料，還有醫院承接計畫案的資料，如政府健康福祉計畫等，未來要改儲存到公有雲。</p> <p>高醫岡山醫院也看好AI應用。蔡文宗回顧，在IT架構上，不論是高醫體系這幾年新開發的Web架構系統，還是舊有的主從式架構系統，已經用Web API串聯AI推論或用於對外交換資料，串接第三方應用也不難。在易串接的基礎上，高醫岡山醫院將配合高醫體系的AI政策和專案，來落地新應用。近期，他們正研究，要透過GenAI將非結構化資料轉為結構化病歷，方便後續分析運用。</p> <p>蔡文宗透露，接下來1年，高醫岡山醫院IT還要聚焦醫院及教學醫院評鑑，同時準備ISO 27001和27701兩大資訊系統認證，建立好IT體質。更重要的是，要持續導入臨床和教學研究智慧專案，「智慧醫療對高醫岡山醫院來說，現在只是起點，不是終點。」</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>高雄醫學大學附設高醫岡山醫院資訊室主任蔡文宗</strong></p> <p>學歷：淡江大學資訊工程研究所碩士畢業</p> <p>經歷：曾任職於科技業、中鋼集團，2012年跨域進入高醫附醫資訊室擔任資訊工程師，2018年擔任資訊室技術支援組組長，隔年轉型為智能研發組。2022年借調至高醫岡山醫院籌設營運處協助籌設營運、資訊建置與規畫之業務，並於高醫岡山醫院試營運後擔任資訊室主任</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-%E9%AB%98%E9%86%AB%E5%B2%A1%E5%B1%B1%E9%86%AB%E9%99%A2.jpg" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫院檔案 </span></strong></span></p> <p><strong>高雄醫學大學附設高醫岡山醫院</strong></p> <p>●地址：高雄市岡山區捷安路8號</p> <p>●成立時間：2024年4月22日</p> <p>●主要業務：提供醫療照護服務</p> <p>●網址：<a href="http://www.kmugh.org.tw">www.kmugh.org.tw</a></p> <p>●員工數：約500人</p> <p>●院長：黃炫廸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：資訊室主任</p> <p>●資訊部門主管姓名：蔡文宗</p> <p>●直屬主管：副院長李經家</p> <p>●部門分工：分為基礎建設維運、資訊安全管理、資訊發展策略及臨床智能推動</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2016年：高醫岡山醫院籌設營運處資訊團隊辦公室成立</p> <p>●2022年：高醫岡山醫院展開為期1年多的籌設討論階段，IT開始招標、建置機房，同時建置醫院系統虛擬環境、盤點與測試系統；制定智能醫院發展3大目標</p> <p>●2023年：與高醫附醫及高市府聯手組隊，獲總統盃黑客松卓越團隊 8R+「融心匯智道平安」；獲「醫事人員行動憑證之申請方法及電子病歷簽核方法」專利</p> <p>●2024年：2月高醫岡山醫院資訊機房送電與資訊設備進駐；3月沙盤推演、上線前演練；4月高醫岡山醫院試營運；5月取得「急重症患者到院前警示方法」專利；11月完成ISO 27001資訊安全管理系統外部稽核</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1209-cio-960.jpg" width="960" height="420" alt="" title="高雄醫學大學附設高醫岡山醫院資訊室主任蔡文宗。　（攝影／洪政偉）" /></div></div></div>
2024/11/22 11:44作者王若樸https://www.ithome.com.tw/people/166153
微軟更新WSL加入RHEL官方發行版並強化企業安全管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布多項有關WSL（Windows Subsystem for Linux）的<a href="https://devblogs.microsoft.com/commandline/whats-new-in-the-windows-subsystem-for-linux-in-november-2024/">更新</a>，當中值得關注的是RHEL將成為官方支援的WSL發行版本。此外，微軟針對企業用戶推出Entra ID整合功能，進一步提升WSL的實用性與安全性。</p> <p>微軟表示，RHEL將會在未來數月內，正式成為WSL官方發行版本。雖然目前使用者已能在WSL上執行任意各種Linux發行版本，但是在成為官方支援版本後，RHEL的安裝與管理將變得更為便利。使用者可透過wsl --list --online指令，快速查看所有可用的發行版本清單，不需要手動搜尋或設定，或直接使用wsl --install指令進行安裝，不需要額外的步驟或是設定。</p> <p>在架構設計方面，微軟宣布引入全新的格式架構，WSL新架構以tar為核心，可以簡化發行版的開發和發布流程。過去建立WSL發行版需要將.tar檔案封裝成.appxbundle，並透過Microsoft Store發布，但是新架構讓開發者僅需調整.tar檔案，並且添加必要的設定檔案，即可完成設計。這不僅降低了技術門檻，也讓企業用戶能透過內部網路共享自定義發行版，強化部署靈活性。</p> <p>針對企業需求，微軟推出了Intune與Entra ID的整合功能。Intune目前已經全面支援WSL，IT管理人員可以藉由條件式存取政策，限制企業內部使用的WSL發行版與版本號，強化安全性，並提升Linux發行版的可見性。</p> <p>同時，WSL整合Entra ID功能則進入私有預覽階段，其強調零信任架構，提升企業資源存取的安全性。該功能改進憑證傳遞的方式，避免憑證透過網路封包傳送，同時也替Linux程序提供自動化的Windows身分認證。</p> </div></div></div>
2024/11/22 08:21作者李建興https://www.ithome.com.tw/news/166146
展望2025國際治理趨勢，BSI揭露董事會「義務」成新主軸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著生成式AI應用的高速發展，企業在面對數位與永續轉型浪潮，以及AI風險快速竄升之際，我們該如何解決與因應這些風險與挑戰？</p> <p>在11月舉行的英國標準協會（BSI）數位信任國際資安標準年會上，該公司東北亞區董事總經理蒲樹盛強調，今年一項備受關注的國際趨勢，就是對「董事會義務」的高度重視，這是國內企業在公司治理上需關切的重要發展，他共歸納4大重點。</p> <p>首先，當今的公司法正強化受託人義務，從治理層面全面提升應對能力。他解釋，所謂受託人指的就是公司董事、獨立董事、高階經理人，這些都是受託來管理公司組織的人，更重要的是，現今重點是放在「義務」，也就是應符合利害關係人的期待，包含客戶、員工、股東認為公司應該要做到的事。</p> <p>換言之，從國際上公司法都在修法的趨勢來看，目的不僅是強化董事會責任，更要強化董事會義務。近年臺灣企業設立資安長、永續長，其實也是類似狀況。</p> <p>第二個重點是風險治理，所謂治理（Governance），就是管理（Management）＋領導力（leadership），而風險治理就是企業內部要有風險管理系統、風險管理框架，才能足以識別及管理風險。</p> <p>蒲樹盛以資料外洩情況為例，說明現在一家企業要如何判斷法官的見解，不僅是從企業是否符合利害關係人期望，做到上述所提的義務，另一重點就是公司是否有治理架構，董事會成員是否有具備風險管理的專家，以及公司內部是否建立風險管理框架。</p> <p>像是國內證交所在資安事件重訊的規範，不論是次一營業日的開盤前2小時要公告重訊，或是損失3億元或股本20%應召開重訊記者會，如果一家企業連這些發布規範都不清楚，外界也很難相信該公司會有風險治理的框架，因此法官也就會做出對企業不利的判決，導致企業訴訟風險大增。</p> <p>第三個重點，是董事會成員必須具備4大核心能力與義務，不僅包括所有公司均應具備的「謹慎（Duty of Care）」，現行規範更進一步強調「忠實（Duty of Loyalty）」的承諾，以及「勤勉用功（Diligence）」與「專業技能（Skill）」的履行。在國際間，這些義務已是公司法改革的重點。</p> <p>最後一個重點在於，解決風險與確保組織韌性的能力。事實上，確保組織韌性已是近年資安防護不斷強調的主軸，這方面的能力已成不可或缺的一環。</p> <h3><strong>違反合規的罰則最高來到全球營業額7％，比GDPR更高</strong></h3> <p>對於公司經營層與董事會而言，在應對前述科技與環境風險之下，合規風險的層面也不容輕忽，蒲樹盛指出，近年來全球罰則正不斷升高。</p> <p>回顧多年前被譽為最嚴格個資法的GDPR，最多罰全球營業額4%，現在這樣的比例，其實已經算低。</p> <p>例如，2023年11月底正式施行的歐盟數位服務法（DSA），此法針對社群平臺等數位服務提供者加以規範，以打擊線上非法服務或內容，其違反者最高可罰全球營業額6%；預計明年實施的歐盟人工智慧法案（EU AI Act），不只是建立AI全面監管框架，本質上更是一個產品安全的規範，違反者可罰全球營業額7%。</p> <h3><strong>永續資訊揭露明年實施，尚未行動的上市櫃公司需及早準備</strong></h3> <p>在永續方面也有重要進展，不僅是歐盟在2023年實施的企業永續發展報告指令（CSRD），還有國際上IFRS永續揭露準則的出現，以及溫室氣體排放量盤查與查證（GHGEV）。</p> <p>此外，永續發展資訊揭露的規範也愈加嚴格。對於臺灣企業而言，明年2025更要注意一件事──永續資訊揭露納入證交法，也就是明年全體上市公司均需編製永續報告書，而且所有相關內稽內控全部列為必查項目，避免有資訊不實或誇大的情形。以上這些新變化，都是企業在合規風險上需要留意的，董事會與經營層需要有所掌握，才能及早做好準備。</p> <p> </p> <h2 class="rtecenter"><span style="color: rgb(0, 153, 255);"><strong>從資安治理、治理架構到文化的推動</strong></span></h2> <p>大家近年可能時常聽到，要形塑資安文化才有助推動，但這樣的企業文化要如何建立，仍然有許多組織處於一頭霧水的狀況。</p> <p>在這場演說當中，針對資安文化與永續文化的推動，蒲樹盛特別闡釋了「我們該如何建立文化」這件事，幫助國內企業可以有更好的理解方式。</p> <p>特別的是，蒲樹盛為了促進大眾理解，用上了不同的詮釋方式，他從文化（Culture）一詞起源的角度出發，指出該字是由古羅馬哲學家西賽羅首次使用拉丁文「cultura animi」定義，其原意是指靈魂的培養。</p> <p>因此若是我們要培養企業組織的人，能夠具備資安、永續的靈魂，可以有3個步驟：（一）要提供給這些人相關知識與觀念，（二）不能只是說而不做的上課，還要讓員工透過實際體驗，才能做到靈魂的培養，（三）要給予時間讓組織內的人可以將觀念知識內化，變成潛意識的舉動，這時文化才會真正形成。</p> <p>「如果沒有文化，很多事沒有辦法做。」蒲樹盛指出，這就像大家從小獲得的教育一樣，很多觀念不必要求就會做得到，這就會變成普世價值。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）2024BSI數位信任國際標準年會_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%892024BSI%E6%95%B8%E4%BD%8D%E4%BF%A1%E4%BB%BB%E5%9C%8B%E9%9A%9B%E6%A8%99%E6%BA%96%E5%B9%B4%E6%9C%83_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p> </p> </div></div></div>
2024/11/22 09:00作者羅正漢https://www.ithome.com.tw/news/166133
【資安日報】11月21日，中國駭客鎖定南亞及非洲一帶一路國家的電信業者從事間諜活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這2個月，中國駭客Salt Typhoon鎖定美國電信業者發動攻擊，從而竊取特定政治人物的通話內容，不斷有消息浮出檯面，但值得留意的是，中國駭客並非只針對美國而來，其他國家也有電信業者受害的情形。</p> <p>例如，中國駭客Liminal Panda針對南亞、非洲電信業者下手，活動已長達4年。值得留意的是，受害電信業者所屬國家，都剛好參與中國的一帶一路計畫，因此研究人員認為，這些攻擊很可能與國家利益有關。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166128"><strong style="font-size: 22px;">中國駭客Liminal Panda入侵南亞、非洲電信業者</strong></a></p> <p>中國駭客鎖定電信業者發動攻擊，從而進行間諜活動的情況，這幾個星期以來不斷浮出檯面，最近一波是Salt Typhoon針對美國電信業者的事故，傳出受害電信業者涵蓋AT&T、Lumen、T-Mobile、Verizon，但有知情人士透露，受害的國家並不只是美國，其他國家的電信業者也有遭受中國駭客攻擊的情況，如今有研究人員證實此事。</p> <p>資安業者CrowdStrike揭露從2020年開始活動的中國駭客組織Liminal Panda，這些駭客擁有廣泛的電信網路知識，甚至相當熟悉各家電信業者之間如何互相連結，而能夠在成功滲透部分電信伺服器後，進一步對其他地區的供應商下手。</p> <p>究竟這些駭客的目的為何？研究人員認為，很有可能是從事情報收集。由於這群駭客過往專門針對南亞和非洲的電信業者，他們推測這些區域將是主要的攻擊目標。研究人員也特別提及，這些駭客的攻擊目標與國家利益一致的情況，因為，受害電信業者都位於中國推動一帶一路（縮寫為B&R或BRI）的國家。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=170006&SPOKE_DATE=20241120&COMPANY_ID=3631"><strong style="font-size: 22px;">焊鍚業者晟楠科技外部伺服器遭遇網路攻擊</strong></a></p> <p></p> <p>11月20日傍晚上櫃焊鍚業者晟楠科技於股市公開觀測站發布重大訊息，表示他們發現有外部伺服器遭到攻擊的情況，並在察覺事故後啟動相關防護機制，並進行隔離處理因應。</p> <p>而對於這起事故可能會帶來的影響，該公司表示，根據他們的初步評估，無個資及內部文件、資料外流的情況，這起事故對於公司的營運，以及服務供應，並無影響。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=193757&SPOKE_DATE=20241120&COMPANY_ID=5388"><strong style="font-size: 22px;">網通業者中磊電子傳出菲律賓子公司遭受駭客攻擊</strong></a></p> <p>網通業者中磊電子於11月20日晚間發布重大訊息，指出旗下子公司Sercomm Philippines Inc.部分資訊系統遭受網路攻擊，資訊部門在發現遭到攻擊後全面啟動防禦機制，他們與外部資安專家協同進行回應，針對相關系統全面掃描及檢測，確保資訊安全。</p> <p>該公司強調，菲律賓子公司的系統運作正常，根據評估，這起事故對於營運無重大影響。他們未來將持續提升網路及資訊基礎架構的安全管控，並強化資安防護機制因應。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/oracle-warns-of-agile-plm-file-disclosure-flaw-exploited-in-attacks/">Oracle針對產品生命週期管理系統Agile用戶提出警告，其零時差漏洞已傳出被用於攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/water-barghest-botnet-hijacks-20000-iot-devices-for-profit/">殭屍網路Water Barghest綁架逾2萬臺物聯網裝置</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-10924-cvss-9-8-authentication-bypass-in-really-simple-security-plugin-affects-4-million-sites/">WordPress安全外掛Really Simple Security存在重大漏洞，4百萬網站曝險</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/vulnerable-jupyter-servers-targeted-for-sports-piracy/">體育節目遭到鎖定，攻擊者鎖定錯誤配置的Jupyter Notebook下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-space-tech-giant-maxar-discloses-employee-data-breach/">美國太空科技業者Maxar傳出員工資料外洩</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166136"><strong style="font-size: 22px;">Ubuntu元件Needrestart存在漏洞，攻擊者有機會藉此得到root權限</strong></a></p> <p>資安業者Qualys指出，伺服器版Ubuntu預載的公用程式Needrestart存在5項本機權限提升（LPE）漏洞，未獲取足夠權限的攻擊者，可藉此得到完整的root存取權限，過程裡無需使用者互動。研究人員強調，利用這些漏洞相當容易，很快就可能會有人將其用於實際攻擊。</p> <p>這些漏洞分別是CVE-2024-10224、CVE-2024-11003、CVE-2024-48990、CVE-2024-48991、CVE-2024-48992，CVSS風險評為5.3至7.8分。附帶一提的是，這些漏洞從2014年4月發布的0.8版就存在，換言之，已存在超過10年。對此，開發者接獲通報後，推出3.8版修補。</p> <p><a href="https://www.ithome.com.tw/news/166141"><strong style="font-size: 22px;">老舊產品的資安漏洞問題陰魂不散！D-Link揭露已終止支援的VPN路由器存在RCE漏洞</strong></a></p> <p>11月18日D-Link發布資安公告，指出有研究人員向他們通報漏洞，此為記憶體緩衝區溢位弱點，未經授權的攻擊者有機會遠端於設備上執行任意程式碼，影響DSR-150、DSR-150N、DSR-250、DSR-250N、DSR-500N、DSR-1000N等多款VPN路由器，值得留意的是，由於這些設備已於今年5月生命週期結束（EOL），該公司不予修補，呼籲用戶要儘速汰換設備。</p> <p>不過，這次與過往有所不同的是，該公司並未公布漏洞的CVE編號，僅有提及由研究人員delsploit通報，並指出研究人員在搭配特定版本韌體的DSR-250、DSR-250N當中，發現這項漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166037"><strong style="font-size: 22px;">思科擴大雲端保護方案布局，揭露Hypershield與eBPF將是未來發展重點</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cloud-Protection-Suite.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cloud-Protection-Suite.jpg" style="width: 300px; float: right;" /></a>近兩年來，思科在資安產品上的重要發展路線，聚焦於打造思科資安雲Cisco Security Cloud，將旗下多款產品整合於一個開放式平臺，在11月上旬於澳洲墨爾本舉行的Cisco Live 2024 Melbourne用戶大會上，思科公布資安雲的最新進展。</p> <p>在這次大會上，思科提到兩個重要的進展，一是Cisco Security Cloud Control正式發布，強調這是全新的原生AI管理架構，以取代過去的Cisco Defense Orchestrator；另一是「雲端防護」產品組合的變化，不只涵蓋Secure Firewall、Secure Workload，最近更是新增了Cillium、Hypershield這兩項解決方案。</p> <p>這當中以Hypershield最受矚目，這是思科在數個月前才公布的產品，如今不只是正式併入雲端保護的產品組合，思科更將其視為保護資料中心與雲端的全新方式，以對應AI時代的IT基礎架構需求。在這場活動中，思科資深副總裁暨資安商業部總經理Tom Gillis更是以「Hypershield is changing the game」來形容。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166119"><strong>【11月20日】勒索軟體Helldown潛入受害組織，管道是兆勤防火牆的弱點</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166099"><strong>【11月19日】中國駭客鎖定想趁機撿便宜的黑色星期五購物者發動網釣攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166067"><strong>【11月18日】中國駭客利用FortiClient零時差漏洞存取VPN，入侵受害組織網路環境</strong></a></p> </div></div></div>
2024/11/21 16:47作者周峻佑https://www.ithome.com.tw/news/166142
BSI呼籲重視AI科技風險，強調臺灣企業要提升AI治理力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球都在聚焦的數位信任、AI、永續發展議題，臺灣企業同樣十分關注，隨著2024年即將結束，在今年英國標準協會（BSI）舉辦的數位信任國際標準管理年會上，他們不僅點出企業這一年來必須掌握的重要變化，更是強調AI治理及永續治理，對於未來的重要性。</p> <p>BSI東北亞區董事總經理蒲樹盛指出，繼200年前第一次工業革命後，當前正迎來兩場新革命。一是數位工業革命，例如黃仁勳所提的AI工業革命，另一則是永續綠色工業革命，不論歐洲、英國都將之視為人類未來30年發展的新契機。</p> <p>然而，儘管數位信任持續被強調，加上科技的進步與教育的提升，理應促進全球信任，但現實卻顯示出，社會對立與信任流失日益嚴重。尤其是在強人工智慧（Strong AI）的出現，錯誤資訊與假消息的傳播將使情勢更加複雜，眼見不再為憑，甚至威脅到數位信任的基礎。</p> <p>蒲樹盛特別引用了2024世界經濟論壇（WEF）全球風險報告，指出今年有一項非常重要的變化：WEF將「錯誤資訊與假消息」列為短期全球首要風險，與往年排名相比躍升幅度相當之大，他指出這背後就是AI風險所帶來的影響，也意味著AI風險躍居第一。</p> <p>這也是首次由科技類型風險躍居榜首，亦反映出AI引發的錯假消息，對近代社會的可能衝擊之大。</p> <p>若以未來十年來看，全球有兩大類型風險最要關注，一類是環境風險，因為10大風險有一半屬於這類型，持續突顯出永續議題的重要性，另一類是科技風險，佔10大風險的3項，包含錯誤資訊與假訊息、AI技術的不良後果，以及網路不安全（Cyber inSecurity）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）WEF 2024 Global risks_圖片來源WEF.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89WEF%202024%20Global%20risks_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90WEF.jpg" style="width: 600px;" /></a><br /> <span style="color: rgb(128, 128, 128);"><strong>圖片來源／世界經濟論壇（WEF）</strong></span></p> <h3><strong>強化AI管理與AI治理成最新挑戰，企業需要積極應對</strong></h3> <p>從今年BSI年會來看，在數位信任與資安議題之下，AI當屬重要焦點之一，不僅是上述提及的AI風險，成為近兩年來最大風險挑戰，另從國際標準組織（ISO）的發展來看，AI也是主角。</p> <p>以國際標準動向而言，過去一年的最大焦點在於：全球首部AI治理國際標準的推出，ISO 42001的人工智慧管理系統標準（AIMS），正式在2023年12月出爐。</p> <p>蒲樹盛指出，ISO 42001將縮小我們對AI信任的差距，而這項標準的關鍵就是AI的風險管理，這其實與國際上的公司法或許多管理系統框架一致，強調了風險管理，並要達到透明公開、可以解釋、能夠當責等條件，解決個資、隱私、倫理、歧視、未成年等各方面問題。換言之，ISO 42001是企業在AI轉型過程中的重要參考。</p> <p>AI治理同樣是國內企業需要正視的議題，蒲樹盛指出這是臺灣不足之處。他從近期的臺灣現況調查來看，指出國內在AI應用發展上，儘管大多數企業都認為AI很重要，可是實際導入可能仍不到3成，顯然還有很多國內企業仍處於觀望階段。</p> <p>再從先行導入者來看，他認為，雖然臺灣在AI的數據力、技術力、創新力都表現不錯，運算力也不差，但治理力卻是相當欠缺。企業該如何強化AI治理力？他強調，AI治理應從董事會層級出發，不是AI部門負責就好，同時也要建立明確的責任分工與問責機制，若一旦出事卻找不到人負責，這樣的AI治理架構顯然有問題，無法確保AI技術的安全與可持續應用，同樣會面對很高的訴訟風險。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%892024BSI%E6%95%B8%E4%BD%8D%E4%BF%A1%E4%BB%BB%E5%9C%8B%E9%9A%9B%E6%A8%99%E6%BA%96%E5%B9%B4%E6%9C%83_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <h3><strong>臺灣需跟上AI應用腳步，重視提高生產力與改善客戶關係</strong></h3> <p>無論如何，AI應用風潮已是全球進行式，上述提及國內還有7成企業未能導入AI，我們還有很多可以進步的空間。</p> <p>蒲樹盛特別引用去年BSI與富比士的調查指出，當前全球AI應用最多的兩大目標為：第一是提高生產力，第二是改善客戶關係。因此，若臺灣企業未能將AI應用於這兩個關鍵目標，會是相當可惜的事，恐錯失重要的發展契機。</p> <p>而臺灣已有企業成功落實生成式AI應用的案例，為其他企業提供了寶貴的參考。他舉例，有金控業運用AI技術優化銀行授信流程，大幅節省人力時間；製造業則利用AI進行產品布局（Product Layout）設計，好處是可以快速優化整體配置，並可以帶來更好的良率。</p> <p>在這場BSI年會上，還有兩位AI領域專家發表探討AI應用機遇與挑戰的演說。例如歐洲在臺商務協會科技委員會曾更瑩律師，她剖析了歐盟AI法案的企業挑戰與因應，當中聚焦的是產品安全，只要產品屬於AI系統，會輸出到歐盟境內使用，就會受其規範；還有台灣人工智慧學校校務長蔡明順，他闡述了百工百業用AI的最新態勢，不只強調用AI的人將淘汰不用AI的人，就像農耕機取代農夫的情形一樣，還有AI Safety治理與安全的重要性，不論是在法案、標準與聯盟的發展上，都已經成為先進國家爭相競取話語權的關鍵。</p> <p>由於AI將深刻影響了未來的競爭格局，但在發展過程中，我們可能容易輕忽一些議題與面向，因此，喚起大家對AI治理與安全的討論，也是相當必要的事。</p> </div></div></div>
2024/11/21 12:30作者羅正漢https://www.ithome.com.tw/news/166130
Ubuntu元件Needrestart存在漏洞，攻擊者有機會藉此得到root權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Qualys指出，伺服器版Ubuntu預載的<a href="https://blog.qualys.com/vulnerabilities-threat-research/2024/11/19/qualys-tru-uncovers-five-local-privilege-escalation-vulnerabilities-in-needrestart">公用程式Needrestart存在5項本機權限提升（LPE）漏洞</a>，未獲取足夠權限的攻擊者，可藉此得到完整的root存取權限，過程裡無需使用者互動。研究人員強調，利用這些漏洞相當容易，很快就可能會有人將其用於實際攻擊。</p> <p>這些漏洞分別是CVE-2024-10224、CVE-2024-11003、CVE-2024-48990、CVE-2024-48991、CVE-2024-48992，CVSS風險評為5.3至7.8分。附帶一提的是，這些漏洞從2014年4月發布的0.8版就存在，換言之，已存在超過10年。對此，開發者接獲通報後，推出3.8版修補。</p> <p>什麼是Needrestart？這項公用程式會偵測系統是否有需要重新啟動的服務，之所以需要進行這項作業的原因，在於更新共用程式庫的過程中，Needrestart會察覺服務仍在使用舊版檔案，自動將其重新啟動，作業系統無需為此關機、重新啟動。自21.04版Ubuntu Server開始，Needrestart成為預設安裝的元件，因此這些弱點的影響範圍，有可能會相當廣泛。</p> <p>若是IT人員無法及時更新這項元件，Qualys提出臨時緩解措施，那就是調整Needrestart的組態檔案，停用啟發式解譯器的功能。</p> </div></div></div>
2024/11/21 14:54作者周峻佑https://www.ithome.com.tw/news/166136
老舊產品的資安漏洞問題陰魂不散！D-Link揭露已終止支援的VPN路由器存在RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月18日D-Link發布資安公告，<a href="https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10415">指出有研究人員向他們通報漏洞</a>，此為記憶體緩衝區溢位弱點，未經授權的攻擊者有機會遠端於設備上執行任意程式碼，影響DSR-150、DSR-150N、DSR-250、DSR-250N、DSR-500N、DSR-1000N等多款VPN路由器，值得留意的是，由於這些設備已於今年5月生命週期結束（EOL），該公司不予修補，呼籲用戶要儘速汰換設備。</p> <p>不過，這次與過往有所不同的是，該公司並未公布漏洞的CVE編號，僅有提及由研究人員delsploit通報，並指出研究人員在搭配特定版本韌體的DSR-250、DSR-250N當中，發現這項漏洞。</p> <p>附帶一提的是，該公司今天更新公告內容，他們針對願意購買新設備汰換的美國用戶促銷，提供第2代DSR-250八折優惠，線上商城將會在結帳的時候，自動從209.99美元降為168美元。這樣的公告內容，過往並不常見。</p> <p>除了最新揭露的VPN舊款路由器產品漏洞，近期研究人員揭露D-Link生命週期結束設備的漏洞消息，已累積好幾起，突顯用戶淘汰老舊網路設備的腳步太慢，導致這些無藥可救治新病的裝置，成為攻擊者得以輕易進行滲透與綁架的目標。例如，研究人員Netsecfish找到的<a href="https://www.ithome.com.tw/news/165945">重大層級漏洞CVE-2024-10914</a>，事隔一週，<a href="https://www.ithome.com.tw/news/166015">Shadowserver基金會證實出現攻擊行動</a>。</p> </div></div></div>
2024/11/21 16:23作者周峻佑https://www.ithome.com.tw/news/166141
紅帽揭露明年在臺GAI策略，以RHEL AI和OpenShift AI兩大GAI平臺為核心，加速企業GAI應用落地
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽近日揭露2025年在臺策略三大方向，將加速推動AI導入，結合容器化和虛擬化技術，以及發展CI/CD自動化中臺2.0，拓展臺灣在地業務成長。<br /> 紅帽臺灣總經理孫媛音表示，紅帽明年第一項發展重點聚焦GAI，以RHEL AI和OpenShift AI兩大GAI平臺為核心，協助企業加速GAI應用落地。一方面，透過RHEL AI，提供Granite系列在內的LLM開源模型和模型對齊工具InstructLab，幫助企業快速開發、測試與部署，貼近內部業務應用情境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20241105_070747131.jpg" style="width: 600px; height: 243px;" /></p> <p>企業在小規模試驗階段完成後，可利用OpenShift AI在各種混合雲環境中實現大規模GAI部署，包括地端、雲端，或是邊緣環境等，來發展各種GAI應用。OpenShift AI本身提供了模型訓練、微調和擴展的能力，可以用更有效方式降低訓練每個模型所需使用的資源。</p> <p>紅帽第二項重點發展策略是，可以開始使用OpenShift介面管理在VM中的工作負載，讓OpenShift可以延伸支援Hypervisor中的VM管理。孫媛音表示，這樣做的好處是，提供了企業走向雲原生的另一種並存做法，除了將老舊應用重構，重新打造翻新成雲原生架構之外，也可以用OpenShift管理不容易容器化的老舊應用。</p> <p>企業在邁向雲原生後，越來越多採用自動化方式來進行IT維運和管理。近兩年，不少臺灣企業開始運用基礎架構即程式碼軟體工具Ansible來自動化管理OS、網路和DevOps實踐，甚至將服務遷移至雲端。她表示，接下來，將朝向自動化中臺2.0來發展，這也是紅帽第三項重點發展策略。</p> <p>她表示，新版本Ansible中將提供跨部門的自動化中臺的功能，例如當發生事件時，可以透過自動化中臺更快做到故障排除，或是提供EDA（ Event Driven Ansible ）事件驅動反應機制，可以針對不同類型的事件快速反應，回應每個事件的處置方式。</p> <p>紅帽也分享近期採用的企業案例，例如將來銀行為推動數位轉型，使用了自己的數據中臺結合OpenShift打造新一代輕量級的雲原生架構，在新專案中也導入了微服務和建立開放混合雲，推動數位轉型。另一家南山人壽則是去年年中採用OpenShift建立一個微服務平臺，一致化核心周邊的系統，提供更好的擴展性。</p> </div></div></div>
2024/11/21 15:27作者余至浩https://www.ithome.com.tw/news/166137
Snowflake強化AI布局，收購Datavolo，與Anthropic合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端資料儲存服務供應商Snowflake本周三（11/20）公布該公司第二季<a href="https://www.snowflake.com/news/snowflake-reports-financial-results-for-the-third-quarter-of-fiscal-2025/" target="_blank">財報</a>，<a href="https://www.snowflake.com/news/snowflake-agrees-to-acquire-open-data-integration-platform-datavolo/" target="_blank">收購</a>開發多模態資料管道平臺的Datavolo，並<a href="https://investors.snowflake.com/news/news-details/2024/Snowflake-and-Anthropic-Team-Up-to-Bring-Claude-Models-Directly-to-the-AI-Data-Cloud/default.aspx" target="_blank">宣布</a>與Anthropic簽署多年策略合作，將於產品中採用Anthropic所開發的Claude模型。</p> <p>Snowflake成立於2012年，主要協助企業於雲端儲存與分析各種來源的資料，它在2021年便推出原生的AI與機器學習工具Snowpark，支援客戶於Snowflake平臺上使用大型語言模型與AI工具，去年也買下了採用AI技術的企業搜尋開發商Neva，現已自稱為AI資料雲端（AI Data Cloud）公司。</p> <p>本周被Snowflake納入麾下的Datavolo，主要開發可自動管理不同組織之間的結構化及非結構化資料的平臺，該平臺是基於美國國安局（National Security Agency，NSA）所開源的Apache NiFi專案。Snowflake表示，一旦將Datavolo整合至Snowflake平臺上，將可強化Snowflake在資料生命周期中、代表初始資料的Bronze Layer服務。</p> <p>而與Anthropic的合作則是將Claude模型整合至Snowflake資料雲平臺，讓使用者可透過Snowflake的Cortex AI，存取包括Claude 3.5在內的各種AI模型，旗下的代理AI產品也會採用Claude模型，包括Snowflake Intelligence與Cortex Analyst。</p> <p>Snowflake也在同一天，公布了截至今年10月底的2025財年第三季財報，該季Snowflake創下9.42億美元的營收，成長28%，淨虧損3.28億美元，還高於去年所虧損的2.15億美元。</p> <p>不過，有鑑於Snowflake的該季財報高於華爾街分析師的預期，並對未來展望樂觀，再加上強化了AI布局，使得Snowflake當天的盤後大漲19.8%，將股價推升至154.7美元。</p> </div></div></div>
2024/11/21 15:40作者陳曉莉https://www.ithome.com.tw/news/166138
Nvidia財報出爐，Q3營收成長94%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球AI晶片龍頭Nvidia周三（11/20）<a href="https://nvidianews.nvidia.com/news/nvidia-announces-financial-results-for-third-quarter-fiscal-2025" target="_blank">公布</a>該公司截至10月27日的2025財年第三季財報，顯示該季Nvidia創下351億美元的營收，比去年同期成長94%。其中，資料中心營收便占了308億美元，成長112%，並占了該公司總營收的87.8%。</p> <p>Nvidia原本是全球繪圖晶片龍頭，在<a href="https://www.ithome.com.tw/news/144697" target="_blank">2021年</a>時，遊戲還是該公司最大的營收來源，AI的興起讓Nvidia的資料中心業務大幅成長，不僅快速超越遊戲，更讓Nvidia的營收<a href="https://www.ithome.com.tw/news/163047" target="_blank">翻倍</a>，亦令它從繪圖晶片龍頭搖身一變成為AI晶片龍頭。</p> <p>根據財報，除了資料中心的308億美元營收之外，該季Nvidia賺進33億美元的遊戲營收，成長14%，專業視覺化營收為4.86億美元，成長17%，汽車營收為4.49億美元，成長30%。</p> <p>Nvidia創辦人暨執行長黃仁勳表示，AI時代正如火如荼地推動全球向Nvidia運算轉型，市場對Hopper的需求與對Blackwell的期待，正隨著基礎模型開發商擴大預訓練、後訓練與推論而令人嘆為觀止；AI正在改變每一個產業、公司與國家，企業正在採用代理AI來革新工作流程，工業機器人領域的投資亦因實體AI的突破而快速增加，各國並已意識到發展國家級AI與基礎設施的重要性。</p> <p>基於新一代Blackwell架構的GPU已全面投產，Nvidia財務長Colette Kress 於財報會議上透露，已送出1.3萬個晶片樣本，明年Blackwell晶片出貨量也會繼續成長。</p> <p>不過，就算Nvidia該季的表現以及對下一季的展望都超越分析師期待，當天Nvidia的盤後股價還是下滑了2.5%，停在142.25美元。</p> </div></div></div>
2024/11/21 15:54作者陳曉莉https://www.ithome.com.tw/news/166139
Google發表能夠糾出量子運算錯誤的AI解碼器AlphaQubit
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google DeepMind及Quantum AI團隊周三（11/20）共同發表了<a href="https://blog.google/technology/google-deepmind/alphaqubit-quantum-error-correction/" target="_blank">AlphaQubit</a>，這是一個基於人工智慧的解碼器，能夠準確地辨識量子運算的錯誤，宣稱優於目前領先的各種解碼器，著眼於解決量子運算所面臨的最大挑戰之一。自然（Nature）期刊亦於同一天出版了此一<a href="https://www.nature.com/articles/s41586-024-08148-8" target="_blank">研究報告</a>。</p> <p>量子電腦是利用物質在最小尺度上的獨特性質，如疊加或糾纏，以比傳統電腦少很多的步驟來解決特定類型的複雜問題，該技術仰賴可同時表示0與1的量子位元，藉由量子干涉來強化正確答案，快速篩選出大量可能性中的正確解答。</p> <p>不過，量子位元的自然量子態很脆弱，可能會受到各種因素的影響，從硬體的極小缺陷、熱、振動、電磁干擾或無所不在的宇宙射線都有可能破壞它，使得各界嘗試替它糾錯。一般的量子糾錯概念為冗餘編碼，它並不使用單個量子位元來儲存訊息，而是將多個物理量子位元編碼成一個邏輯量子位元，因此就算個別的物理量子位元出現錯誤，整體邏輯量子位元的資訊仍可被保護，之後再透過解碼器對當中的物理量子位元定期進行一致性檢查，檢測發生錯誤的量子位元，並修復它們。</p> <p>而AlphaQubit即是一款基於神經網路的解碼器，它奠基在Google所開發的深度學習架構Transformers，輸入各種一致性的檢查，即可準確預測量子位元的狀態是否已被改變。</p> <p>Google研究人員解釋，量子糾錯的一個關鍵挑戰，在於如何準確解碼自冗餘檢查中所提取的具雜訊的綜合資訊，並恢復正確編碼的邏輯資訊，為此，他們開發了一個基於Transformers的循環神經網路AlphaQubit，專門學習如何解碼Surface Code（目前領先的量子糾錯技術），在Google的Sycamore量子處理器的真實資料上，它於distance-3及distance-5的Surface Code表現優於其它解碼器，即使在距離更大的模擬條件下（如distance-11），面對複雜的實際噪音，AlphaQubit依舊能夠保持優勢，意味著未來它也將適用於中型量子裝置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1121-Google%20DeepMind-AlphaQubit-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>即使AlphaQubit代表了以機器學習進行量子糾錯的里程碑，但Google坦承還是面臨速度及可擴展性上的挑戰，例如在高速超導量子處理器中，每秒需要進行100萬次的一致性檢查，雖然AlphaQubit在準確辨識錯誤方面表現出色，卻因速度太慢而無法滿足即時更正的需求。</p> <p>Google表示，隨著量子運算逐漸發展到，可能需要數百萬個量子位元才能支持商業應用，他們需要找到更具資料效益的途徑來訓練AI解碼器，以因應未來的需求。</p> </div></div></div>
2024/11/21 13:38作者陳曉莉https://www.ithome.com.tw/news/166132
中國駭客Liminal Panda入侵南亞、非洲電信業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客鎖定電信業者發動攻擊，從而進行間諜活動的情況，這幾個星期以來不斷浮出檯面，最近一波是<a href="https://www.ithome.com.tw/news/166096">Salt Typhoon針對美國電信業者的事故</a>，傳出受害電信業者涵蓋AT&T、Lumen、T-Mobile、Verizon，但有知情人士透露，受害的國家並不只是美國，其他國家的電信業者也有遭受中國駭客攻擊的情況，如今有研究人員證實此事。</p> <p>資安業者CrowdStrike揭露<a href="https://www.crowdstrike.com/en-us/blog/liminal-panda-telecom-sector-threats/">從2020年開始活動的中國駭客組織Liminal Panda</a>，這些駭客擁有廣泛的電信網路知識，甚至相當熟悉各家電信業者之間如何互相連結，而能夠在成功滲透部分電信伺服器後，進一步對其他地區的供應商下手。</p> <p>該組織使用支援電信行動網路的通訊協定，像是模擬GSM通訊協定來啟用C2，或是透過開發工具接收行動用戶資訊、通話中繼資料，以及簡訊文字。</p> <p>究竟這些駭客的目的為何？研究人員認為，很有可能是從事情報收集。由於這群駭客過往專門針對南亞和非洲的電信業者，他們推測這些區域將是主要的攻擊目標。研究人員也特別提及，這些駭客的攻擊目標與國家利益一致的情況，因為，受害電信業者都位於中國推動一帶一路（縮寫為B&R或BRI）的國家。</p> <p>附帶一提的是，2021年，CrowdStrike揭露<a href="https://www.ithome.com.tw/news/147381">駭客組織LightBasin（UNC1945）針對電信業者的攻擊行動</a>，根據最新出爐的調查結果，CrowdStrike認為當初的攻擊其實是Liminal Panda所為，為何會出現不同的攻擊者身分判斷？原因是當時有多組人馬在同一個遭到入侵的網路環境從事惡意活動，使得相關攻擊行為難以判斷責任歸屬。</p> <p>當時CrowdStrike表示，攻擊者專門針對Linux及Solaris伺服器下手，先是透過密碼噴灑（password-spraying）手法，入侵電信業者外部的DNS伺服器（eDNS），並部署後門程式PingPong竊取帳密資料，以及進行橫向移動。</p> <p>此外，對方也使用公開能取得的後門程式TinyShell，以及Serving GPRS Support Node（SGSN）模擬軟體，建立C2通訊，目的是偽裝成合法流量來隱匿行蹤。</p> </div></div></div>
2024/11/21 12:13作者周峻佑https://www.ithome.com.tw/news/166128
ChatGPT進階語音模式也支援Web版，數周內推向免費用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI<a href="https://x.com/kevinweil/status/1858950061637419167" target="_blank">宣布</a>，能讓ChatGPT流暢對答的進階語音模式（Advanced Voice Mode），現在也支援Web版。目前只提供給付費版用戶，不過免費用戶再等幾周就可以用了。</p> <p>進階語音模式是在最新的GPT-4o語音合成模型上開發而成，具備更快的語音輸入、輸出回應能力，賦予ChatGPT和用戶流暢來回對談的能力。<a href="https://www.ithome.com.tw/news/158968" target="_blank">9月</a>OpenAI將進階語音模式部署到Android及iOS版ChatGPT，並提供5種聲音選擇。最近OpenAI將這個新功能<a href="https://t.co/vVRYHXsbPD" target="_blank">推向</a>Windows和Mac桌機版App，而且聲音選擇增加為9種。</p> <p>在最新宣布下，以桌機版瀏覽器使用ChatGPT的用戶，也可以啟用進階語音模式了。現階段提供給付費方案，包括Plus/Teams/Enterprise/Edu用戶，但OpenAI說，預計再幾個禮拜會推向免費用戶。</p> <p>在Web版使用進階語音模式，需從ChatGPT提示視窗右下角的Voice圖示開啟，並且需開啟瀏覽器存取電腦麥克風的權限。啟用後，用戶會被帶向有藍色圓球圖示的<a href="https://techcrunch.com/2024/09/24/openai-rolls-out-advanced-voice-mode-with-more-voices-and-a-new-look/" target="_blank">介面</a>展開對談。</p> </div></div></div>
2024/11/21 12:53作者林妍溱https://www.ithome.com.tw/news/166131
馬斯克要X用戶上傳健康資訊協助訓練Grok AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技大亨馬斯克本周公開<a href="https://twitter.com/elonmusk/status/1851206080564773344" target="_blank">要求</a>X用戶上傳其健康資料，以便幫忙訓練Grok AI判讀病症的AI模型，用戶也踴躍回應。</p> <p>馬斯克本周透過X公布他另一間公司xAI發展Grok的開發進展。他要求用戶上傳X光片、MRI（斷層掃瞄）、PET（正子斷層造影）或其他醫療影像到Grok試用其分析。馬斯克說Grok現在還在開發初期，但已經相當準確，而且之後會變得非常厲害。</p> <p>以AI輔助醫師從斷層掃瞄、X光片等醫學影像判讀病症，是現今AI在醫學界的主要應用。健康資訊是高度敏感的資訊，一般AI模型開發商必須遵守嚴格的隱私和資料保護要求，包括如何使用或儲存，才能取得臨床資料，且資料還必須經過匿名化程序才可用於AI模型訓練。像馬斯克公開要求用戶上傳自己的醫學影像幫助自家AI開發，不是完全無知，就是藐視資料隱私權。</p> <p>更令人驚訝的是，許多用戶竟然也欣然配合。評價好壞參半：有用戶讚揚Grok正確診斷出用戶有腦瘤，但也有用戶反映，Grok將其鎖骨骨折誤判為肩膀脫臼。</p> <p>如同其他AI模型，Grok現在會誤判可想而知，但專家更在意的是資料隱私風險。一名專家<a href="https://www.msn.com/en-us/health/other/elon-musk-asked-people-to-upload-their-health-data-x-users-obliged/ar-AA1ukoy8" target="_blank">指出</a>，在美國，病患資訊的使用受到《美國健康保險流通與責任法案》（HIPAA）保護，但是HIPAA僅規範了少數實體，包括醫院和保險公司。X並不在HIPAA規範之列。雖然X的隱私政策提及不會出售用戶資料給第三方單位，但是卻說會將資訊分享給「相關公司」。</p> <p>專家提醒，用戶健康資訊外洩，可能被用於廣告、行銷宣傳，或造成就業或保險的不平等待遇，若資訊不慎外洩到歹徒手上，則可能引發釣魚信件或其他網路攻擊。</p> </div></div></div>
2024/11/21 12:13作者林妍溱https://www.ithome.com.tw/news/166129
Google提前發布Android 16預覽版，調整更新策略加速裝置與系統上市腳步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了縮短硬體裝置與系統的同步時程，Google現在就推出<a href="https://android-developers.googleblog.com/2024/11/the-first-developer-preview-android16.html">Android 16開發者第一預覽版</a>，並調整年度更新策略，帶來嵌入式照片選擇器等新功能。Android 16預計會在2025年正式發布，將比以往第三季發布主要版本提早一季，藉此縮短硬體裝置與作業系統推出的等待時間。</p> <p>開發者預覽版提供了測試平臺，供開發者與製造商提早適應新系統，同時進行相容性測試。Android 16的主要更新包含多項新API，以及影響應用行為的系統更新。Google表示，提前發布的目的是要讓其合作夥伴能在裝置上市初期，即可提供用戶最新的Android系統操作體驗。</p> <p>另外，Google也宣布在2025年，將首次採用一年兩次的API發布策略，除了第二季的主要版本之外，第四季還將推出次要更新，並把重點放在功能強化與最佳化，但不會包含影響應用程式行為的變更。這些變化使得開發者需要提前進行年度相容性測試，以迎接版本變化。</p> <p>除了更新時程調整，Android 16開發者預覽版還釋出多項新功能，其中嵌入式照片選擇器，讓應用程式能高效存取媒體，並且提升使用者的隱私保障。嵌入式照片選擇器提供一個安全的內建方式，讓應用程式只能夠存取本地和雲端儲存中選定的圖像和影片，而非整個媒體庫。</p> <p>同時，嵌入式照片選擇器可直接嵌入應用程式的視圖層級，使其成為應用介面的一部分，減少視覺切換，提升使用者體驗。開發者要整合嵌入式照片選擇器，則需要使用即將推出的Android Jetpack函式庫。</p> <p>Android 16也首次加入健康紀錄相關API，採用FHIR格式支援醫療資料的讀寫。隱私沙箱功能（Privacy Sandbox）自 Android 13引入後，在Android 16中進一步強化，新增了SDK獨立執行環境的應用，提供進階使用者資料安全保護。</p> </div></div></div>
2024/11/21 08:42作者李建興https://www.ithome.com.tw/news/166126
Momo南區儲配運輸物流中心正式啟用，公開智慧物流設備及流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今（11/20）Momo正式啟用位於臺南的南區儲配運輸物流中心。此物流中心有地下1樓和地上6樓，總樓板面積約24,500坪，可容納超過340萬件商品庫存。結合自動化倉儲設備到物流流程，南區物流中心每日商品吞吐量達16萬件商品，超過北區物流中心。</p> <p>Momo於2017年啟用北區物流中心，作為層級在主倉、衛星倉之上的大型物流中心。南區物流中心則是2021年動工，今日啟用後，將分擔南部物流作業，加速雲嘉南和高屏地區的物流速度。他們也於揭露了南區物流中心中，智慧物流設備如何支援從進貨到出貨的流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG20241120111226.jpg" style="width: 600px;" /></p> <blockquote><p>Momo南區物流中心各層功能及設備。攝影-郭又華</p> </blockquote> <p>貨物從進貨碼頭來到一樓，小尺寸商品會經過DWS（體積重測量系統）測量尺寸及重量，並經過跨樓層的螺旋輸送機，送至倉儲存放。大尺寸商品，會堆疊在棧板上，透過快速棧板升降機，送進不同樓層的AS/RS（自動倉儲系統）儲存。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PG_F5211_0.jpg" style="width: 600px;" /></p> <blockquote><p>測量並登錄商品尺寸和重量的DWS系統。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">攝影-洪政偉</span></p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PG_F5202_0.jpg" style="height: 500px;" /></p> <blockquote><p>跨樓層的螺旋式輸送機。攝影-洪政偉</p> </blockquote> <p>此物流中心使用兩種AS/RS系統，棧板式及穿梭式，前者主要用於存放和取用需要堆疊於棧板上的商品，水平行走速度每分鐘180公尺，升降速度每分鐘55公尺，每小時支援110板進貨和120板出貨量。後者則是處理較小且高周轉率的商品，水平行走速度每分鐘210公尺，升降速度每分鐘60公尺，儲存及分揀作業更快速。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PG_F5230_0.jpg" style="width: 600px;" /></p> <blockquote><p>大尺寸貨物會送進棧板式AS/RS系統。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">攝影-洪政偉</span></p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PG_F5262_0.jpg" style="width: 600px;" /></p> <blockquote><p>穿梭式AS/RS系統負責快速儲存和取用周轉率較高的商品。攝影-洪政偉</p> </blockquote> <p>出貨時，Momo採用一次能同時處理360張訂單的DAS（自動分貨系統）系統，結合AS/RS系統，來執行訂單商品合併及分貨，快速匯集同一張訂單中的商品，並透過輸送帶將這些商品運到DAS播種臺。接著，播種臺工作人員根據DAS給予的燈號提示，從輸送帶上揀取商品，將同一訂單商品放到對應物流箱，交由緊鄰播種臺的分裝人員來完成包裝。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PG_F5329_0.jpg" style="width: 600px;" /></p> <blockquote><p>DAS播種臺處，揀貨人員會根據DAS的提示快速將同一訂單商品放進物流箱，並推到貨架對面，由包裝人員接手。攝影-洪政偉</p> </blockquote> <p>商品分裝完後，空的物流箱會透過輸送帶集中到機械手臂作業區，由機械手臂快速整理、堆疊，以利後續再利用。此機械手臂每小時能堆疊360個物流箱，用途看似平凡無奇，但人工堆疊物流箱是非常消耗體力、人力的工作，平時一個班需要4至8個人，雙11等巔峰時段甚至需要超過20個人。採用機械手臂，能簡單但有效省下大量人力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PG_F5313_0.jpg" style="height: 500px;" /></p> <blockquote><p>機械手臂負責堆疊空的物流箱，簡單但確實省下大量人力。攝影-洪政偉</p> </blockquote> <p>商品分裝完，會再透過輸送帶運回1樓理貨、出貨區。這裡設有感應門，每小時能掃描7,500個紙箱上的QR Code，依據訂單資訊，將商品導流到推送速度每分鐘135公尺的14條輸送帶上，由工作人員理貨、載貨上車。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PG_F5362_0.jpg" style="width: 600px;" /></p> <blockquote><p>此感應門會快速掃描紙箱QR Code，並根據訂單資訊將紙箱分配到不同輸送帶上，供工作人員理貨、載貨上車。攝影-洪政偉</p> </blockquote> <p>為了支援自動化物流設備及物流相關數據的應用，此物流中心除了物流專業人員，現場還設有數據分析人員、資訊研發人員、倉儲系統應用人員等IT相關職位。</p> <p></p> </div></div></div>
2024/11/20 18:47作者郭又華https://www.ithome.com.tw/news/166125
【資安日報】11月20日，勒索軟體Helldown潛入受害組織，管道是兆勤防火牆的弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週資安業者Sekoia針對勒索軟體Helldown的攻擊行動提出警告，指出這些駭客從原本針對Windows進行加密，如今也開發了破壞VMware ESXi虛擬化平臺的檔案加密工具。</p> <p>值得留意的是，這些駭客潛入受害組織的方法，是利用兆勤防火牆的漏洞，駭客聲稱他們也成功入侵該公司的歐洲分公司，對此我們試圖聯繫兆勤科技，但在今天資安日報截稿之前，我們尚未得到他們的回應，目前無法進一步證實此事。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166117"><strong style="font-size: 22px;">勒索軟體Helldown藉由兆勤防火牆弱點入侵受害組織，攻擊Windows電腦及VMware虛擬化平臺</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/helldown-ttps.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/helldown-ttps.png" style="width: 300px; float: right;" /></a></p> <p>今年10月兆勤（Zyxel Networks）針對旗下USG Flex、ATP系列防火牆用戶提出警告，他們在歐洲、中東、非洲地區（EMEA）偵測到鎖定該廠牌設備的攻擊行動，這幾天有其他資安業者發布相關報告，指出此類威脅很可能與勒索軟體攻擊有關。針對上述情況我們也向兆勤進行確認，在截稿之前尚未得到回應。</p> <p>19日資安業者Sekoia針對近期出現的勒索軟體Helldown提出警告，他們發現這些駭客最早從8月5日開始活動，截至11月7日，攻擊者聲稱有31家企業組織受害，而且大部分是中小企業、位於美國，部分受害企業組織位於歐洲。值得留意的是，這群駭客也將兆勤的歐洲分公司（Zyxel Europe）列於受害者名單。</p> <p>原本的攻擊活動主要是針對Windows電腦而來，但到了10月底，駭客進一步打造Linux版變種，用於攻擊VMware ESXi虛擬化平臺，使得該勒索軟體破壞範圍更為廣泛。</p> <p><a href="https://www.ithome.com.tw/news/166108"><strong style="font-size: 22px;">駭客兜售福特逾4萬名顧客資料，該公司表示起因是第三方業者遭駭</strong></a></p> <p>有人在地下論壇聲稱竊自美國汽車大廠福特（Ford）的4萬多筆顧客資料，尋求買家兜售。對此福特汽車表示，這批資料是從第三方業者流出，公司系統未被駭。</p> <p>此次風波的造成，一開始，是名為EnergyWeaponUser的駭客在地下論壇張貼公告，聲稱於11月初夥同初始入侵管道掮客IntelBroker駭入福特的內部系統。他們取得4.4萬筆客戶資料，包括姓名、住家地址、購買產品型號、帳號、銷售數量等，以及國別等。駭客並張貼部分資料證實資料的真實性。雖然顧客資料不少，但駭客僅僅要求約合2美元的論壇點數。</p> <p>根據資安新聞網站CyberDaily的報導，外流資料的客戶，分布於美國、中國、西班牙、辛巴威、莫三比克等國。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=183621&SPOKE_DATE=20241119&COMPANY_ID=3494"><strong style="font-size: 22px;">印表機製造商誠研傳出部分資訊系統遭受網路攻擊</strong></a></p> <p>在11月19日晚間，印表機製造商誠研於股市公開觀測站發布重大訊息，表示部分資訊系統遭到駭客攻擊，資訊部門在事發當下已全面啟動相關防禦機制，並著手復原，該公司也尋求外部資安業者協同處理，並指出將對所有網域、網頁，以及相關檔案進行徹底檢測，再以備份資料恢復運作。</p> <p>而對於這起事故可能帶來的影響，該公司表示，根據他們的初步評估，對公司的運作無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.prnewswire.com/il/news-releases/new-threat-report-from-cato-networks-reveals-ransomware-gangs-recruiting-penetration-testers-to-improve-effectiveness-of-attacks-302309226.html">為增加攻擊成功的機會，多個勒索軟體組織向滲透測試人員招手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cyberint.com/blog/research/akira-ransomware-what-soc-teams-need-to-know/">勒索軟體Akira威脅加劇，一天裡列出超過30個受害組織</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://cyberint.com/blog/research/akira-ransomware-what-soc-teams-need-to-know/"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/ransomware-attack-on-oklahoma-medical-center-impacts-133000/">美國奧克拉荷馬州醫療中心遭遇勒索軟體攻擊，影響13.3萬人</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/babbleloader-the-polyglot-malware-evading-both-traditional-and-ai-defenses/">多語言惡意程式BabbleLoader採用複雜回避偵測手法，有機會躲過AI打造的資安防護系統</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/north-korean-hackers-target-job-seekers-with-malware-laced-video-apps/">北韓駭客針對求職者下手，利用挾帶惡意程式的視訊會議軟體感染受害電腦</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166107"><strong style="font-size: 22px;">Intel處理器的Mac電腦遭到鎖定，駭客利用零時差漏洞從事攻擊行動</strong></a></p> <p>11月19日蘋果針對旗下多種裝置作業系統發布新版，包含macOS Sequoia 15.1.1、iOS 18.1.1與17.7.2、iPadOS 18.1.1與17.7.2、visionOS 2.1.1，並對於macOS Ventura與Sonoma用戶提供瀏覽器更新Safari 18.1.1，目的是為了修補2項已被用於實際攻擊行動的零時差漏洞。</p> <p>這些漏洞是CVE-2024-44308、CVE-2024-44309，分別存在於JavaScriptCore框架，以及瀏覽器排板引擎WebKit。一旦電腦或行動裝置處理惡意的網頁內容，就有可能觸發上述漏洞，從而導致攻擊者能夠執行任意程式碼，或是發動跨網站指令碼（XSS）攻擊。</p> <p><a href="https://www.ithome.com.tw/news/166109"><strong style="font-size: 22px;">GitHub命令列存在高風險漏洞，攻擊者有機會遠端執行任意程式碼</strong></a></p> <p>11月15日GitHub開發團隊指出，該程式碼儲存庫存在高風險漏洞CVE-2024-52308，這項漏洞出現於其命令列介面（CLI），一旦遭到利用，在使用者連線到惡意的Codespace SSH伺服器，並下達gh codespace ssh或gh codespace logs指令的情況下，攻擊者就有機會遠端執行任意程式碼（RCE），CVSS風險評為8.1，GitHub發布2.62.0版修補。</p> <p>對於這項弱點發生的原因，GitHub表示，這項弱點的起因是命令列介面在執行指令的過程中，處理SSH連線導致。當開發人員連線到遠端的Codespace，通常會使用執行開發容器（devcontainer）的SSH伺服器來存取，而這類容器的建置，大多使用預設的映像檔。</p> <p>一旦外部的惡意開發容器在SSH伺服器注入，並透過相關參數帶入SSH連線詳細資料，此時攻擊者就有機會藉由gh codespace ssh或gh codespace logs指令執行，於使用者的工作站電腦執行任意程式碼，甚至有可能藉此存取系統上使用者的資料。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166111"><strong style="font-size: 22px;">微軟舉行獎金提高50至100%的資安漏洞攻防賽Zero Day Quest</strong></a></p> <p>微軟19日舉行駭客任務競賽，邀請全球安全研究人員提交有關微軟AI、Microsoft Azure、Microsoft Identity、M365、Microsoft Dynamics 365及Power Platform等服務的安全漏洞研究，加碼50%至100%漏洞獎勵，活動期間至明年的1月19日。排行前45名的研究人員，將會獲邀參加明年於微軟華盛頓總部舉行的實體駭客活動（Onsite Hacking Event）。</p> <p>微軟安全回應中心（MSRC）工程副總裁Tom Gallagher表示，此活動不僅是為了尋找漏洞，也能強化MSRC、產品團隊及外部研究人員之間的關係，提高安全門檻。另一方面，微軟亦鼓勵開發人員在漏洞緩解後，於微軟的支持下透過部落格、播客或影片公開討論其發現。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166099"><strong>【11月19日】中國駭客鎖定想趁機撿便宜的黑色星期五購物者發動網釣攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166067"><strong>【11月18日】中國駭客利用FortiClient零時差漏洞存取VPN，入侵受害組織網路環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166052"><strong>【11月15日】中國駭客APT41打造惡意軟體框架，鎖定政治人物與記者的電腦而來</strong></a></p> </div></div></div>
2024/11/20 16:40作者周峻佑https://www.ithome.com.tw/news/166119
勒索軟體Helldown藉由兆勤防火牆弱點入侵受害組織，攻擊Windows電腦及VMware虛擬化平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年10月兆勤（Zyxel Networks）<a href="https://www.ithome.com.tw/news/165487">針對旗下USG Flex、ATP系列防火牆用戶提出警告</a>，他們在歐洲、中東、非洲地區（EMEA）偵測到鎖定該廠牌設備的攻擊行動，近期有資安業者指出，很可能與勒索軟體攻擊有關。</p> <p>資安業者Sekoia針對<a href="https://blog.sekoia.io/helldown-ransomware-an-overview-of-this-emerging-threat/">近期出現的勒索軟體Helldown提出警告</a>，這些駭客最早從8月5日出現活動，截至11月7日，攻擊者聲稱有31家企業組織受害，這些大部分是中小企業，多半位於美國，部分位於歐洲。值得留意的是，這些駭客也將兆勤的歐洲分公司（Zyxel Europe）列於受害者名單。</p> <p>而對於這些駭客攻擊的標的，原本主要是針對Windows電腦而來，但到了10月底，這些駭客進一步打造Linux版變種，用於攻擊VMware ESXi虛擬化平臺，使得該勒索軟體破壞範圍更為廣泛。</p> <p>研究人員對於勒索軟體程式進行分析，指出Windows版勒索軟體是以外流的LockBit 3.0建置工具開發而成，能在執行檔案前進行一系列作業，以便加密工作順利執行。</p> <p>其中包括透過指令碼終止特定處理程序，並刪除磁碟區陰影複製（Shadow Copy）的備份資料，並檢查是否取得特殊權限，以便後續將檔案加密並留下勒索訊息，最終清理作案痕跡，將指令碼及勒索軟體刪除，然後將電腦關機。</p> <p>至於Linux版變種，研究人員指出，駭客並未如同Windows版採用高度混淆處理，以及防除錯等反分析的機制。再加上這種針對虛擬化平臺的勒索軟體當中，通常會具備的終止虛擬機器（VM）功能，並未實際提供，因此他們推測，Linux版勒索軟體仍在開發的階段。</p> <p>針對攻擊者鎖定兆勤防火牆做為入侵受害組織的管道，研究人員提出他們掌握的線索。首先，他們在11月4日確認至少有8家企業受害，其中一家在8月受害的企業，當時利用該廠牌防火牆架設IPSec VPN，另有2家企業在遇害後，換成其他品牌的防火牆。</p> <p>他們也提及9月下旬兆勤論壇有許多防火牆用戶通報，搭配5.38版韌體的防火牆遭到入侵，駭客植入名為zzz1.conf的檔案，並建立名為OKSDW82A的帳號。研究人員針對上述CONF檔案進行分析，指出他們經過Base64編碼解密，取得針對MIPS架構系統打造的ELF執行檔，研究人員推測，此檔案可能與兆勤歐洲分公司遭入侵有關。</p> <p>再加上10月9日兆勤發布的資安公告當中，提及有駭客針對該廠牌防火牆發動攻擊，藉由特定弱點建立SUPPOR87、SUPPOR817，或是VPN的使用者帳號，根據上述資訊，研究人員認為勒索軟體Helldown入侵受害組織網路環境的管道，就是利用兆勤防火牆的弱點而得逞。</p> <p>他們提及另一家資安業者Truesec經手的勒索軟體Helldown攻擊事件回應，駭客利用兆勤防火牆漏洞入侵，並指出其戰術、手法、流程（TTP），與他們從兆勤論壇用戶得知的一致。攻擊者利用SSL VPN存取名為OKSDW82A的帳號，濫用網域控制器的LDAP同步機制取得相關帳密，並進一步偵察，直到遭到EDR系統攔截才被中斷。</p> <p>針對上述情況我們也向兆勤進行確認，在截稿之前尚未得到回應。</p> </div></div></div>
2024/11/20 16:21作者周峻佑https://www.ithome.com.tw/news/166117
微軟發表整合AI解決方案的Azure AI Foundry與兩款客製化晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於周二（11/19）展開的Microsoft Ignite大會上，發表了整合企業AI解決方案的<a href="https://techcommunity.microsoft.com/blog/AIPlatformBlog/ignite-2024-announcing-the-azure-ai-foundry-sdk/4295862" target="_blank">Azure AI Foundry</a>，以及首個客製化的資料處理單元<a href="https://techcommunity.microsoft.com/blog/azureinfrastructureblog/enhancing-infrastructure-efficiency-with-azure-boost-dpu/4298901" target="_blank">Azure Boost DPU</a>，與安全晶片<a href="https://techcommunity.microsoft.com/blog/azureinfrastructureblog/securing-azure-infrastructure-with-silicon-innovation/4293834" target="_blank">Azure Integrated HSM</a>。</p> <p>Azure AI Foundry是個統一的微軟AI平臺，它的兩大元件是原名為Azure AI Studio的Azure AI Foundry入口，以及Azure AI Foundry SDK，目的是協助開發人員於企業級平臺上建置生成式AI應用，使用尖端的AI工具及機器學習模型來探索、建置與部署，以及與團隊共同完成應用程式開發的整個生命周期。</p> <p>根據微軟對該平臺的<a href="https://learn.microsoft.com/en-us/azure/ai-studio/what-is-ai-studio" target="_blank">說明</a>，當使用造訪Azure AI Foundry入口網站時，所有的路徑都是朝向一個專案，它是個易於管理的容器，也是協作、組織，以及連結各式服務與資料的關鍵，在使用者建立一個專案以前，可先探索來自不同供應商的各種模型，測試各種AI服務與能力，一旦確定所要的模型及服務，便可由AI Foundry引導專案的建置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1120-Azure%20AI%20Foundry-ai-studio-home(1).png" style="width: 600px;" /></p> <p>Azure AI Foundry SDK則是一個用來簡化AI程式開發的完整工具鏈，它整合了多種模型、資料來源及AI服務，可支援從模型選擇到應用部署的全部開發過程。例如它支援使用者選擇微軟或其它第三方模型；內建聊天機器人、生成式AI應用及內容推薦系統等範本；具備可整合模型、資料或服務的工具；並支援跨開發、測試及生產環境的應用開發。</p> <p>Azure AI Foundry SDK目前支援Python與C#程式語言，並準備支援JavaScript，現在已可存取OpenAI的各種模型，提供一致的推論介面，亦可使用Azure AI Search及Azure AI Agent Service等服務。</p> <p>近年來微軟積極投入客製化晶片的開發，<a href="https://www.ithome.com.tw/news/159884" target="_blank">去年11月</a>首次發表了專為AI而設計的Azure Maia AI，以及雲端運算處理器Azure Cobalt CPU，至於Azure Boost DPU則是微軟首款自製的資料處理單元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1120-Azure%20Boost%20DPU%20v2.png" style="width: 600px;" /></p> <p>微軟解釋，傳統CPU雖然能夠處理通用運算任務，但在面對數百萬網路連結的高度複雜資料流時，表現卻不盡理想，而GPU儘管專注於AI運算，卻不適用於資料密集的工作負載，因而設計專為資料處理進行優化的Azure Boost DPU，它整合了多個伺服器元件，提供高效能與低功耗的解決方案。相較於傳統CPU， Azure Boost DPU處理雲端儲存任務時，只使用1/3的電力，卻可達到4倍的效能。</p> <p>Azure Integrated HSM（Hardware Security Module，硬體安全模組）則是專為保護雲端資料及應用所設計的安全晶片。微軟說明，傳統雲端HSM通常仰賴網路連結，可能造成存取金鑰時的延遲問題，也降低了自遠端HSM釋出金鑰的安全性，而Azure Integrated HSM則是採用本地化設計，將HSM直接整合至伺服器環境，徹底解決上述的限制。</p> <p>微軟亦計畫自明年便要把Azure Integrated HSM安裝在Azure資料中心的每一臺新伺服器上，以同時強化對一般及機密任務的保護。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> </div></div></div>
2024/11/20 16:37作者陳曉莉https://www.ithome.com.tw/news/166118
臺灣IBM揭露在臺GAI發展策略，要將輕量級GAI模型Granite帶進企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="_block_oewjo_1" data-node-id="eec3fd38-839f-406f-88ff-e912671e3bbf" data-node-type="paragraph" data-pm-slice="0 0 []">在公雲巨頭的GAI技術競賽中，IBM今年5月終於發表了自家開源LLM模型Granite，到了十月時更在年度產品大會上推出3.0新版模型。臺灣IBM最近也開始在臺介紹Granite新版模型，要搶攻企業GAI落地部署的需求，更揭露了在臺發展GAI的兩大策略。</p> <p class="_block_oewjo_1" data-node-id="1e1e2b5a-c819-4711-9756-2c01226419be" data-node-type="paragraph">臺灣IBM技術長莊士逸表示，剛發表的Granite 3.0新版是一款輕量級的基礎模型，包括了1B、2B、3B和8B參數量的版本，採用可商用的Apache 2.0開源授權，可以部署到企業內部環境，也能在硬體資源較低的環境中執行，來瞄準企業落地部署的需求。3.0版可以支援12種語言，包括中文，臺灣IBM內部也正在進行繁體中文的測試。</p> <p class="_block_oewjo_1" data-node-id="64753134-0fea-41fc-817e-bc187da1793b" data-node-type="paragraph">Granite 3.0包括了一系列的模型，包括了大型語言模型，還有強化輸入和回應內容過濾的安全護欄模型，另外還有推測解碼模型、程式碼開發模型、時間序列模型和地理空間模型，目前先釋出的是大型語言模型系列和安全護欄系列模型，陸續再推出其餘模型。企業可到Hugging Face等網站自行下載，也能在IBM的AI開發平臺Watsonx或Google Vertex AI等平臺上選用。</p> <p class="_block_oewjo_1" data-node-id="04089f4d-59b9-485b-9ae3-713dffb38c6a" data-node-type="paragraph">除了多語言支援，3.0版也開始提供企業打造代理人需要的工具調用能力，目前可支援Function Call功能，在LLM模型呼叫外部的第三方函式庫。後續將釋出3.1版，預計可支援到128Ｋ上下文長度的資料輸入輸出，還會強化程式碼生成的能力，以及代理人應用的邏輯推理功能。IBM在Watsonx平臺上提供了調度工具，可用來組合LLM模型和第三方元件，打造AI代理人應用。</p> <p class="_block_oewjo_1" data-node-id="44462487-025b-4a13-98c0-23548b31512e" data-node-type="paragraph">臺灣IBM透露，明年要發布的Granite 3.2版將是一款多模態LLM，將釋出Granite-3.0-vision-instruct模型，可理解圖像，後續還會推出支援聲音的模型版本。</p> <p class="_block_oewjo_1" data-node-id="6ecad48a-4e23-4644-a2d8-97754bea154b" data-node-type="paragraph">莊士逸表示，IBM已經用Granite模型打造多款內部的AI代理人，包括了後勤HR、後勤IT HelpDesk、後勤IT系統申請、後勤ERP、員工績效管理、銷售、業務績效、合作夥伴管理等名為Ask系列的AI代理人助手。例如他就曾收到員工績效管理AI助理的通知，提醒他有名員工表現優異，GAI彙整了市場上同類職務的薪水水準供他參考，詢問莊士逸是否要幫這名員工加薪，若他按下同意鍵，就會自動完成相關調薪申請，自動實施到這名員工下個月的薪水匯款。這是由GAI彙整外部市場資訊，結合內部流程自動化工具而成的AI代理人應用。</p> <p class="_block_oewjo_1" data-node-id="5d094964-0b57-480c-a8bf-167d14bbd22c" data-node-type="paragraph">IBM在年度大會上也公布了最新的產品戰略架構，底層是各種基礎架構和混合雲平臺產品，包括了OpenShift、企業級Linux、Ansible，再上一層則是Data與AI層，以Watsonx平臺服務，還有多款AI助理服務和安全護欄服務。莊士逸表示，新版戰略架構有一項改變是，在資料與AI層之上，IBM將自動化工具產品獨立成一個平臺層，可用來和AI工具整合。最上面一層則是各項顧問服務與合夥夥伴。</p> <p class="_block_oewjo_1" data-node-id="5d094964-0b57-480c-a8bf-167d14bbd22c" data-node-type="paragraph"><img alt="" src="https://s4.itho.me/sites/default/files/images/IBM%E7%94%A2%E5%93%81%E6%9E%B6%E6%A7%8B%E5%9C%96%E6%96%B0%E7%89%88-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90IBM.jpg" /></p> <p class="_block_oewjo_1" data-node-id="d1f57a5d-b313-474b-9b6f-d62577295592" data-node-type="paragraph">臺灣IBM的客戶工程團隊從2023年至今，完成了數百個GAI客戶PoC案例，已有高科技製造和金融的GAI應用實例，例如有金融業者用GAI來搜尋內部知識文件，或是用來整理語音會議的文字記錄。也有高科技業者用RAG作法來檢核ESG報告的內容，是否符合不同ESG標準的各項要求。</p> <p class="_block_oewjo_1" data-node-id="e51a404d-b5a7-445d-9bec-9ba245889963" data-node-type="paragraph">莊士逸表示，臺灣IBM的GAI發展策略，主要分為兩大作法，一是針對有意採用GAI但需求還不明確的企業，IBM將扮演顧問來協助，找來有大型企業客戶經驗的資料科學家，協助這些企業評估和試驗LLM模型的應用。另一項作法則瞄準需求明確的企業，提供設計思考工作坊，也以4～8周時間打造出目標應用場景的PoC驗證，或是最小可行產品（MVP），供企業評估是否正式導入。</p> <p class="_block_oewjo_1" data-node-id="e51a404d-b5a7-445d-9bec-9ba245889963" data-node-type="paragraph">他觀察，過去一年，臺灣企業大多處於試驗、尋找使用情境或是驗證RAG作法，接下來會開始往IT自動化、程式碼模型開發、智慧助理等方向發展。不過，目前採落地部署的案例多以LLaMA模型為主，臺灣IBM未來也計畫引薦自家Granite模型給臺灣企業。</p> </div></div></div>
2024/11/20 16:59作者王宏仁https://www.ithome.com.tw/news/166120
Meta挖角Salesforce AI執行長Clara Shih領軍新的AI部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Salesforce AI執行長Clara Shih今天（11/20）於她的LinkedIn上<a href="https://www.linkedin.com/posts/clarashih_the-past-four-years-at-salesforce-have-activity-7264709174326886401-rZVL/" target="_blank">透露</a>，她已經加入了Meta並領導一個新的商業AI（Business AI）部門。Meta則已向TechCrunch<a href="https://techcrunch.com/2024/11/19/meta-hires-salesforces-ceo-of-ai-clara-shih-to-lead-new-business-ai-group/" target="_blank">證實</a>了此事。</p> <p>現年42歲的Shih來自香港，牛津大學畢業後先進入Google，於2006年加入Salesforce，在2009年與同學共同創辦了專為金融及保險業設計的社交媒體管理平臺Hearsay Social，在2021年重新回到Salesforce，之後成為Salesforce AI執行長，曾被Gold House評為最具影響力的亞洲人之一。</p> <p>Shih表示，新Business AI產品部門的願景，是讓每個商家都能夠存取尖端的AI應用，讓它們於AI時代取得成功並找到自己的未來。</p> <p>Meta副總裁John Hegeman向TechCrunch表示，最近的AI進展替企業帶來了重要的機會，包括提高效率及改善提供給客戶的經驗，由Shih帶領的新產品團隊將協助Meta實現此一願景。</p> <p>在AI領域崇尚開源的Meta主要開發Llama模型，最新版為今年9月釋出的Llama 3.2，有90B、11B、3B及1B等不同規格的版本，並免費支援許多商業用例。Meta還推出基於Llama模型的聊天機器人Meta AI，並將它整合到WhatsApp、Instagram、Messenger及Facebook等平臺，支援文字、圖像及語音輸入，可生成文字、圖像與動畫，已支援英文、法文、德文等及22個國家，但尚未支援中文與臺灣市場。</p> </div></div></div>
2024/11/20 15:31作者陳曉莉https://www.ithome.com.tw/news/166116
微軟發動獎金提高50~100%的駭客任務Zero Day Quest
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周二（11/19）<a href="https://msrc.microsoft.com/blog/2024/11/securing-ai-and-cloud-with-the-zero-day-quest/" target="_blank">發表駭客任務競賽</a>，邀請全球安全研究人員提交有關微軟AI、Microsoft Azure、Microsoft Identity、M365、Microsoft Dynamics 365及Power Platform等服務的安全漏洞研究，並提供50%~100%增幅的漏洞獎勵，活動期間為11月19日至明年的1月19日。前45名的研究人員還會獲邀參加，明年於微軟華盛頓總部舉行的實體駭客活動（Onsite Hacking Event）。</p> <p>其中，所有有關AI安全漏洞的獎金都是加倍的，涵蓋推論操縱、模型操縱或是推論資訊揭露之各種等級的安全漏洞，例如提交高品質的重大漏洞報告可得到的獎金，從原本的1.5萬美元增加到3萬美元，除了AI之外，其它類別的獎金也都有50%的漲幅。</p> <p>微軟也列出此一研究挑戰賽中被禁止的行為，包括存取不完全屬於自己的資料；在研究伺服器端執行漏洞時，不得超出概念性驗證範圍；不得執行任何類型的服務阻斷測試；禁止會產生大流量的自動化測試；使用服務時不得違反微軟服務條款。此外，該活動僅限於微軟線上服務的技術漏洞，因此微軟也禁止研究人員企圖對他們（包括微軟員工）進行網路釣魚等社交工程的攻擊行動。</p> <p>在Zero Day Quest競賽中，所獲得的獎金位於前45名的安全研究人員，將可獲邀參與微軟於明年舉行的Onsite Hacking Event現場活動，得以參與Onsite Hacking Event的，還包括2024年在Azure、Dynamics 和Office抓漏排行榜上前10名的研究人員。微軟將提供價值5,000美元的往返交通及5晚飯店。</p> <p>微軟安全回應中心（Microsoft Security Response Center，MSRC）工程副總裁Tom Gallagher表示，此一活動不僅僅是為了尋找漏洞，也能強化MSRC、產品團隊及外部研究人員之間的關係，提高安全門檻。另一方面，微軟亦鼓勵開發人員在漏洞緩解後，於微軟的支持下透過部落格、播客或影片公開討論其發現。</p> </div></div></div>
2024/11/20 14:40作者陳曉莉https://www.ithome.com.tw/news/166111