iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 05:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】11月27日，攻擊者串連Firefox與Windows的零時差漏洞，能在使用者毫無察覺的狀況下植入惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者利用瀏覽器零時差漏洞的情況不時傳出，但多半會針對較多人使用的Chrome而來，發生在今年10月上旬的Firefox零時差漏洞攻擊相當引人關注，如今通報漏洞的研究人員更多細節。</p> <p>他們提及這波攻擊行動由俄羅斯駭客RomCom發起，在過程裡還會運用Windows零時差漏洞CVE-2024-49039，使得攻擊者無須與使用者互動，就能將後門程式散布到受害電腦。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166215"><strong style="font-size: 22px;">俄羅斯駭客RomCom利用Firefox、Windows零時差漏洞發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RomCom-figure-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RomCom-figure-1.png" style="width: 300px; float: right;" /></a>今年10月Mozilla基金會修補Firefox零時差漏洞CVE-2024-9680（CVSS風險評分為9.8），並表明他們掌握實際利用的活動情資，通報此事的資安業者ESET本週公布這起事故的細節。</p> <p>研究人員表示，他們在10月8日看到廣泛利用CVE-2024-9680的跡象，駭客運用這項當時尚未公開的零時差漏洞，對Mozilla開發的應用程式下手。值得留意的是，攻擊者在活動當中，串連11月例行更新修補的Windows零時差漏洞CVE-2024-49039（CVSS風險評分為8.8），而有機會在使用者登入作業系統的狀態下，執行任意程式碼。</p> <p>對於發起這波攻擊行動的駭客身分，研究人員表示是代號為Storm-0978、Tropical Scorpius、UNC2596的俄羅斯駭客RomCom。一旦成功利用上述漏洞，這些駭客就會在受害電腦植入後門程式RomCom，以便進行後續的網路間諜活動。</p> <p><a href="https://www.ithome.com.tw/news/166218"><strong style="font-size: 22px;">Array Networks、Fortinet SSL VPN漏洞被用於散布後門程式，臺灣、日本有企業受害</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Spot the difference fig1-01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Spot%20the%20difference%20fig1-01.png" style="width: 300px; float: right;" /></a></p> <p>中國駭客組織Earth Kasha近日以後門程式，攻擊包括Array Networks、Fortinet等品牌SSL VPN設備，已有臺灣、日本，以及印度等地的企業受害。</p> <p>趨勢科技指出，這些駭客原本主要在日本活動，但他們今年初發現，Earth Kasha發展出新的攻擊策略和技倆，從2023年起開始運用企業防火牆軟體漏洞植入後門程式Lodeinfo。研究人員發現，駭客利用SSL VPN漏洞取得初始入侵管道，包括存在於Array AG及vxAG的漏洞CVE-2023-28461、Fortinet防火牆作業系統FortiOS與上網安全閘道FortiProxy的漏洞CVE-2023-27997，此外，駭客也濫用檔案共用系統Proself漏洞CVE-2023-45727。</p> <p>在多起事故中，Earth Kasha成功駭入企業組織的網域管理員帳號，並植入Cobalt Strike、Lodeinfo及Noopdoor，藉此建立長期滲透管道，並從事資料蒐集。</p> <p><a href="https://www.ithome.com.tw/news/166220"><strong style="font-size: 22px;">兆勤證實防火牆漏洞遭到勒索軟體利用的情況</strong></a></p> <p>11月19日資安業者Sekoia針對勒索軟體Hellodown的攻擊行動提出警告，並提及這些駭客入侵受害組織的管道，就是利用兆勤科技（Zyxel Networks）防火牆的弱點而得逞。事隔數日，該公司坦承情況確實如研究人員揭露，呼籲IT人員要儘速採取行動，升級韌體並更換管理員密碼。</p> <p>21日兆勤發布資安公告表示，他們掌握近期有人試圖利用已知漏洞攻擊該廠牌防火牆，而這項漏洞就是Sekoia在部落格提及的CVE-2024-42057。經過確認，防火牆在套用9月3日發布的5.39版韌體後，將不受這項漏洞影響。</p> <p>對此，他們呼籲IT人員要更新防火牆的韌體，若是無法及時套用，最好先停用遠端存取的功能因應。此外，該公司也建議IT人員重新檢視防火牆組態，確認是否遵循最佳實務的建議進行配置。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/nodestealer-malware-targets-facebook-ad.html">竊資軟體NodeStealer透過臉書廣告散布，利用Windows公用程式竊取瀏覽器資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/iranian-hackers-deploy-wezrat-malware.html">以色列企業組織遭伊朗駭客鎖定，被散布惡意軟體WezRat</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.infosecurity-magazine.com/news/black-friday-spam-emails-scams/">逾四分之三黑色星期五垃圾信涉及詐騙</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166230"><strong style="font-size: 22px;">PHP修補重大層級的記憶體越界寫入漏洞</strong></a></p> <p>11月21日PHP開發團隊發布8.3.14、8.2.26、8.1.31版，主要修補一項重大層級的漏洞CVE-2024-8932，這項弱點可被用於越界寫入（OBW），CVSS風險評為9.8。</p> <p>開發團隊指出，這項弱點存在於32位元的系統，起因是在名為ldap_escape()的功能裡，若是輸入不受控制的長字串，就有可能導致整數溢位的情形。</p> <p>他們也提及這項弱點影響4.56.2及以前版本的HipHop Virtual Machine（HHVM）虛擬機器，此外，介於4.57.0與4.83.0之間多個版本HHVM，也會曝險。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/critical-vulnerabilities-found-in-anti-spam-plugin-used-by-200000-wordpress-sites/">WordPress網站防護外掛存在重大漏洞，逾20萬網站曝險</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-9511-cvss-9-8-critical-flaw-in-fluentsmtp-plugin-exposes-over-300000-wordpress-sites-to-potential-takeover/">WordPress寄信外掛FluentSMTP存在重大漏洞，恐導致網站遭挾持</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166222"><strong style="font-size: 22px;">國際執法單位與非洲刑警組織聯手，逮捕上千名參與網路犯罪的嫌犯</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/c40a332460f6-23COM002986-CYBER_-Africa-Cyber-Surge-II-Operation_Infographic_2023-08_infographic_HR-1-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/c40a332460f6-23COM002986-CYBER_-Africa-Cyber-Surge-II-Operation_Infographic_2023-08_infographic_HR-1-1.jpg" style="width: 300px; float: right;" /></a>國際刑警組織Interpol及非洲刑警組織Afripol本周宣布，他們聯手於19個非洲國家逮捕1,006名涉及網路犯罪的嫌犯，摧毀了134,089個惡意基礎設施及網路。</p> <p>此執法行動稱為Operation Serengeti，是針對勒索軟體、商業電子郵件詐騙、數位勒索，以及網路詐騙背後的犯罪份子，受害者多達3.5萬名，造成近1.93億美元的經濟損失。</p> <p>Interpol秘書長Valdecy Urquiza表示，從多層次行銷詐騙到大規模的信用卡詐欺，網路犯罪的攻擊數量與複雜程度不斷增加，光是此一逮捕行動就能使無數的潛在受害者免受真正的損失，同時他們也知道這只是冰山一角，將繼續鎖定全球的犯罪集團。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166133"><strong style="font-size: 22px;">展望2025國際治理趨勢，BSI揭露董事會「義務」成新主軸</strong></a></p> <p>隨著生成式AI應用的高速發展，企業在面對數位與永續轉型浪潮，以及AI風險快速竄升之際，我們該如何解決與因應這些風險與挑戰？</p> <p>在11月舉行的英國標準協會（BSI）數位信任國際資安標準年會上，該公司東北亞區董事總經理蒲樹盛強調，今年一項備受關注的國際趨勢，就是對「董事會義務」的高度重視，這是國內企業在公司治理上需關切的重要發展，他共歸納4大重點。</p> <p>首先，當今的公司法正強化受託人義務，從治理層面全面提升應對能力。他解釋，所謂受託人指的就是公司董事、獨立董事、高階經理人，這些都是受託來管理公司組織的人，更重要的是，現今重點是放在「義務」，也就是應符合利害關係人的期待，包含客戶、員工、股東認為公司應該要做到的事。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166203"><strong>【11月26日】軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，客戶受到波及</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166190"><strong>【11月25日】俄羅斯駭客在軍事行動前夕，藉由跳版入侵目標組織的無線網路環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166161"><strong>【11月22日】駭客疑似利用零時差漏洞入侵2千臺Palo Alto Networks防火牆</strong></a></p> </div></div></div>
2024/11/27 17:27作者周峻佑https://www.ithome.com.tw/news/166236
Fintech周報第257期：日本三菱日聯金融集團要建立金融專業LLM，計畫2026年向其他金融業者推出模型服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#8B4513;">11/18~11/27金融科技精選新聞</span></h3> <h4><span style="color:#0000CD;"> #三菱日聯金融集團 #金融LLM </span></h4> <h3>日本三菱日聯金融集團要建立金融專業LLM，計畫2026年向其他金融業者推出模型服務</h3> <p>日本三菱日聯金融集團（MUFG）和日本大型電信業者KDDI近日宣布，透過策略性合作，共同發展生成式AI。例如，未來MUFG會運用KDDI開發出的LLM，發展成金融專業LLM。MUFG表示，計畫分成三個階段，第一階段會專注在發展金融專業LLM，讓LLM學習MUFJ員工擁有的經驗和專業知識，並且讓模型讀取大量MUFG內部文件。第一階段計畫預計在今年實現。</p> <p>計畫第二階段，則是讓這個金融專業LLM能擔任客戶的顧問，提供個人化的財務建議，預計在2025年實現。計畫的第三階段，預計在2026年，兩間集團會向其他金融行業推出金融專業LLM模型服務。</p> <h4><span style="color:#0000CD;"> #生成式AI #預測通膨 </span></h4> <h3>BIS和歐洲央行計畫運用GenAI處理大量消費數據，協助提升通膨預測能力</h3> <p>國際清算銀行（BIS）近日表示，他們正在和歐洲央行、德意志聯邦銀行合作，探索如何透過生成式AI，將大量可參考的非結構化數據化為可用資訊，用來提升通膨的預測能力。BIS提到，通膨預測人員需要採用大量數據，才能從數據中形成見解。但是，和消費者相關的數據大多是非結構化資料，且資料量過於龐大，導致通膨預測人員難以手動處裡，需要自動化工具來協助處理大量消費者數據。</p> <p>因此，BIS希望透過生成式AI，自動將數十億個商品描述和價格進行分類，將非結構化資料轉為結構化資料，再用來提升通膨預測能力。BIS表示，他們首先會運用歐洲每日價格資料集進行測試，將這些數據自動對應到聯合國的消費分類標準（COICOP）。BIS也表示，未來可以透過嵌入技術，讓研究結果可以適用於歐洲以外的地區。</p> <h4><span style="color:#0000CD;"> #生成式AI #聊天機器人 </span></h4> <h3>麥格理集團對全球員工推出GenAI聊天機器人，每週約有5,000名活躍用戶</h3> <p>麥格理集團數位長Matthew Ellis近日在社群媒體上透露，內部的AI團隊已對全球的員工推出GenAI聊天機器人Macquarie AI Chat，能協助提升員工生產力和創造力。截至目前，這個平臺每週約有5,000名活躍使用者。目前，麥格理集團在全球則擁有超過兩萬名員工。</p> <p>Matthew Ellis表示，內部正在投入大量資金培訓員工使用GenAI。近期，麥格理舉辦了全球性的AI黑客松活動，共有超過800位業務部門和行政部門員工參與。</p> <h4><span style="color:#0000CD;"> #打詐 #共享情報 </span></h4> <h3>澳洲多間領先銀行合作建立詐欺情報共享網路，在交易發生前即時偵測、攔阻可疑交易</h3> <p>澳洲澳盛銀行、國民銀行、聯邦銀行、西太平洋銀行和Suncorp銀行合作建立一個詐欺情報共享網路，能即時評估線上轉帳的交易風險，並在發現可疑收款帳戶時，即時通知匯款方的銀行，讓銀行能在交易發生前提前一步審核交易資訊。</p> <p>這個詐欺情報共享網路主要瞄準人頭戶的偵測，除了偵測收款帳戶是否已被其他參與銀行標記為高風險帳戶，也會偵測使用者在設備上的行為模式，例如，收款帳戶使用者在手機或電腦上的打字模式，來判斷是否為異常帳戶。</p> <h4><span style="color:#0000CD;"> #CFPB #數位支付 </span></h4> <h3>美國金融監理機構加強監管推出數位支付服務的科技公司</h3> <p>美國消費者金融保護局（CFPB）近日宣布一項新規定，加強監管推出數位錢包應用和數位轉帳服務的大型科技公司，每年處理超過5,000萬筆美元交易的非銀行公司，例如蘋果或Google，都得接受監管。雖然CFPB一直對這類公司擁有執法權，但這項新規定，賦予CFPB主動檢查的權力，包括能主動檢查科技公司收集消費者交易數據的方式，或是要求科技公司自行處理消費爭議，而不是將爭議推給銀行處理。這項規定將在30天後生效。</p> <p>代表美國數位支付業者的金融科技協會批評這項新規定存在缺陷，呼籲CFPB撤回這項提案。這個協會成員包括科技巨頭亞馬遜和PayPal。不過，在CFPB發布的新聞稿中，尚未提及哪些科技公司會受到監管。</p> <h4><span style="color:#0000CD;"> #VASP #金管會 </span></h4> <h3>金管會加強對虛擬資產業的監管力道，洗錢防制聲明制改採登記制，違者可處刑事罰</h3> <p>針對虛擬資產業，金管會表示，將從既有的洗錢防制法遵聲明改採登記制，預計在11月底正式上線。未來，若業者未完成登記，卻繼續經營虛擬資產業務，將承擔刑事責任。</p> <p>現行業者從事虛擬資產業務，須先向金管會完成洗錢防制法遵聲明，若未完成聲明，金管會可處業者行政罰。未來登記制上路後，業者若未完成洗錢防制登記，則會背上刑事責任。</p> <p>目前，已完成洗錢防制聲明的虛擬資產業者共有26家，但新制上路後，這26家業者仍要重新申請洗錢防制登記，最晚須於明年3月31日前向金管會辦理登記，並須於明年9月30日前正式完成登記。</p> <h4><span style="color:#0000CD;"> #集保 #數位簽章 </span></h4> <h3>集保eCounter平臺PC版預計明年5月中上線</h3> <p>金管會近日宣布，核准臺灣集中保管結算所（以下簡稱集保）經營eCounter平臺服務，當投資人通過身分驗證登入eCounter平臺，使用數位簽章遞交基本資料變更書件，平臺就會將書件資料送到各個股務單位審查、辦理變更。投資人不用臨櫃申辦相關業務，只要透過單一平臺就能完成資料變更。</p> <p>證期局副局長高晶萍表示，集保後續將開發手機版功能，並滾動檢討、盤點其他股務作業或項目放入eCounter平臺的可能性。</p> <h3>其他重要Fintech新聞：</h3> <ul> <li>英國財政部將在明年初公布加密貨幣及穩定幣的規範</li> <li>瑞典央行計畫對零售支付基礎設施進行現代化改造</li> <li>Revolut宣布推出新的AI助理和ATM</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">圖片來源／</span>日本三菱日聯金融集團</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年11月</p> <p> </p> <p></p> </div></div></div>
2024/11/27 15:57作者李昀璇https://www.ithome.com.tw/news/166227
Line推出RMN服務，結合第一方生態圈與統一OpenPoint等第三方消費數據來支援精準行銷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今（11/27）Line宣布推出Line RMN Solution數位廣告服務，利用Line購物、Line Beacon等第一方數據，以及統一集團1,800萬名Open Point會員數據，來支援廣告精準投放。</p> <p>這是Line廣告平臺上的一個新服務，主打利用Line Beacon地理數據、Line Cross Buy線上銷售數據，以及第三方DMP聯盟數據，來支援精準廣告投放。支援投放通路包括Line生態圈App、廣告主電商官網、第三方電商平臺等。</p> <p>此服務使用的第一方數據來源中，Line Beacon是一種LBS服務，利用安裝在捷運、高鐵、便利商店等高人流地區的藍芽發訊機，根據地理位置推播行銷訊息和優惠券等內容，並記錄人流與地理相關數據。Cross Buy是一個交叉銷售服務，根據Line購物等零售消費數據來比對行銷對象，投放廣告並蒐集相關數據。</p> <p>Line還預計與外部零售商、發票載具、支付工具、電商平臺營運商等第三方夥伴結成DMP聯盟，來進一步補齊Line自身服務無法蒐集到的會員行為數據，深化對會員理解，以提升行銷精準度。目前DMP聯盟一個重要成員是統一數網，手握統一生態圈1,800萬名Open Point會員。與統一等聯盟夥伴交換數據時，會利用手機號碼等ID，作為比對依據，來找出雙方共同會員。Line會定期重新比對和更新這些會員數據，來確保數據時效性。</p> <p>Line還宣布了其他新功能，包括：用生成式AI技術支援的官方帳號多語言自動客服機器人、根據行銷素材圖生成行銷文案的文案生成機器人，以及官方帳號分析工具升級，將能依照年齡與性別來分析訊息成效。</p> <p></p> </div></div></div>
2024/11/27 16:38作者郭又華https://www.ithome.com.tw/news/166228
PHP修補重大層級的記憶體越界寫入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月21日PHP開發團隊發布8.3.14、8.2.26、8.1.31版，主要修補一項<a href="https://github.com/php/php-src/security/advisories/GHSA-g665-fm4p-vhff">重大層級的漏洞CVE-2024-8932</a>，這項弱點可被用於越界寫入（OBW），CVSS風險評為9.8。</p> <p>開發團隊指出，這項弱點存在於32位元的系統，起因是在名為ldap_escape()的功能裡，若是輸入不受控制的長字串，就有可能導致整數溢位的情形。</p> <p>他們也提及這項弱點影響4.56.2及以前版本的HipHop Virtual Machine（HHVM）虛擬機器，此外，介於4.57.0與4.83.0之間多個版本HHVM，也會曝險。</p> </div></div></div>
2024/11/27 16:42作者周峻佑https://www.ithome.com.tw/news/166230
兆勤證實防火牆漏洞遭到勒索軟體利用的情況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月19日資安業者Sekoia針對<a href="https://www.ithome.com.tw/news/166117">勒索軟體Hellodown的攻擊行動</a>提出警告，並提及這些駭客入侵受害組織的管道，就是利用兆勤科技（Zyxel Networks）防火牆的弱點而得逞。事隔數日，該公司坦承情況確實如研究人員揭露，呼籲IT人員要儘速採取行動，升級韌體並更換管理員密碼。</p> <p>21日兆勤<a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-protecting-against-recent-firewall-threats-11-21-2024">發布資安公告</a>表示，他們掌握近期有人試圖利用已知漏洞攻擊該廠牌防火牆，而這項漏洞就是Sekoia在部落格提及的CVE-2024-42057。經過確認，防火牆在套用<a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-firewalls-09-03-2024">9月3日發布的5.39版韌體</a>後，將不受這項漏洞影響。</p> <p>對此，他們呼籲IT人員要更新防火牆的韌體，若是無法及時套用，最好先停用遠端存取的功能因應。此外，該公司也建議IT人員重新檢視防火牆組態，是否有遵循最佳實作進行配置。</p> <p>針對研究人員提及遭到利用的CVE-2024-42057，此弱點存在於IPSec VPN的功能，為命令注入漏洞，未經身分驗證的攻擊者可發送特定的使用者名稱觸發，CVSS風險為8.1分。兆勤指出，利用這項漏洞存在必要條件，那就是防火牆必須設置為特定的身分驗證模式，而且，其中有使用者的名稱長度超過28個字元。</p> </div></div></div>
2024/11/27 14:31作者周峻佑https://www.ithome.com.tw/news/166220
美國證實Array Networks旗下SSL VPN系統重大漏洞已出現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月25日美國網路安全暨基礎設施安全局（CISA）發布公告，<a href="https://www.cisa.gov/news-events/alerts/2024/11/25/cisa-adds-one-known-exploited-vulnerability-catalog">他們將重大層級的漏洞CVE-2023-28461列入已遭利用漏洞（KEV）清單</a>，要求聯邦機構必須在12月16日完成修補。</p> <p>這項漏洞存在於安瑞科技（Array Networks）Array AG系列SSL VPN設備，以及虛擬化版本vxAG，原因是重要功能缺乏身分驗證機制造成，攻擊者有機會利用漏洞讀取SSL VPN閘道的本機檔案，或是執行任意程式碼，CVSS風險達到9.8，影響9.4.0.481以前版本的作業系統。</p> <p>一旦攻擊者利用這項漏洞，就有機會遠端執行任意程式碼，他們可在未經身分驗證的情況下，藉由HTTP標頭特定標籤屬性，瀏覽閘道的檔案系統。安瑞於去年3月9日公布這項漏洞，並於同月17日提供修補程式。</p> <p>雖然CISA並未透露攻擊者如何利用這項漏洞，不過這項資安公告發布的前幾天，趨勢科技公布<a href="https://www.ithome.com.tw/news/166218">中國駭客組織Earth Kasha的最新一波攻擊行動</a>裡，其中一項用來取得初始入侵管道的SSL VPN漏洞，就是CVE-2023-28461。</p> </div></div></div>
2024/11/27 15:26作者周峻佑https://www.ithome.com.tw/news/166225
俄羅斯駭客RomCom利用Firefox、Windows零時差漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年10月<a href="https://www.ithome.com.tw/news/165442">Mozilla基金會修補Firefox零時差漏洞CVE-2024-9680</a>（CVSS風險評分為9.8），並表明他們掌握實際利用的活動情資，通報此事的資安業者ESET本週公布這起事故的細節。</p> <p>研究人員表示，<a href="https://www.welivesecurity.com/en/eset-research/romcom-exploits-firefox-and-windows-zero-days-in-the-wild/">他們在10月8日看到廣泛利用CVE-2024-9680的跡象</a>，駭客運用這項當時尚未公開的零時差漏洞，對Mozilla開發的應用程式下手。</p> <p>值得留意的是，攻擊者在活動當中，串連<a href="https://www.ithome.com.tw/news/165982">11月例行更新</a>修補的Windows零時差漏洞CVE-2024-49039（CVSS風險評分為8.8），而有機會在使用者登入作業系統的狀態下，執行任意程式碼。研究人員提及，受害者若是正在瀏覽能觸發漏洞的網頁，無須與使用者互動，攻擊者就能執行任意程式碼。</p> <p>對於發起這波攻擊行動的駭客身分，研究人員表示是代號為Storm-0978、Tropical Scorpius、UNC2596的俄羅斯駭客RomCom。一旦成功利用上述漏洞，這些駭客就會在受害電腦植入後門程式RomCom，以便進行後續的網路間諜活動。</p> <p>針對整個資安事故發生的流程，駭客先是利用假網站將受害者重新導向特定伺服器，並對使用者的瀏覽器進行漏洞利用攻擊，一旦得逞，電腦就會執行Shell Code，下載、執行後門程式RomCom。</p> <p>究竟駭客如何散布假網站？研究人員表示不清楚。但他們強調，一旦攻擊者的網頁接觸到含有漏洞的瀏覽器，有效酬載就會投放到受害電腦並執行，過程完全不需使用者互動。</p> <p>根據10月10日至11月4日的遙測資料顯示，大多受害者位於北美及歐洲，研究人員提及，其中部分國家的受害者數量多達250位。</p> <p>對於RomCom利用的這些零時差漏洞，Mozilla基金會、微軟先後於10月9日、11月12日完成修補。他們特別提及，Mozilla在獲報的25小時內就完成修補，如此迅速的因應讓他們印象相當深刻。</p> </div></div></div>
2024/11/27 12:20作者周峻佑https://www.ithome.com.tw/news/166215
OpenAI影片生成器Sora遭故意外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">一群被OpenAI邀請來測試文字轉影片AI模型Sora的藝術家，因為認為自己被OpenAI免費用來行銷Sora，而在Hugging Face上釋出了Sora的存取權限。不過，OpenAI在3小時後就關閉了針對藝術家所提供的早期存取權限。</p> <p dir="ltr">OpenAI是在今年2月發表短影片生成模型<a href="https://www.ithome.com.tw/news/161312" target="_blank">Sora</a>，該模型允許使用者輸入場景或內容的描述，生成最長1分鐘的高畫質影片，當時便已邀請紅隊演練測試人員，以及少部分視覺設計、攝影師、製片人員試用Sora，以取得專業反饋意見。</p> <p dir="ltr">而該藝術社群則在本周二（11/26）發表一封<a href="https://openletter.earth/dear-corporate-ai-overlords-90668a95" target="_blank">公開信</a>，指出約有300名藝術家獲得了Sora的存取權限，以成為早期測試者、紅隊成員及創意合作夥伴，然而，他們卻認為自己是被OpenAI引誘以替其展開藝術漂白，向全世界說明Sora對藝術家來說是個有用的工具。</p> <p dir="ltr">公開信中闡述，藝術家們使用Sora所生成的影片，在對外分享之前都必須獲得OpenAI團隊的批准，此一早期存取計畫似乎不太關心創意表達與批評，而更在意公關及廣告。他們藉由臭蟲測試、反饋與實驗來替一家價值1,500億美元的企業免費勞動，儘管貢獻人數多達數百人，但僅有少數人的作品可以被展示，相較於OpenAI因此獲得的公關與行銷價值，該報酬相形見絀。</p> <p dir="ltr">這群藝術家們憤怒地說，藝術家並不是OpenAI的免費研發人員，亦非免費的除錯工程師、行銷傀儡、訓練資料，或是驗證工具。因此，他們釋出了可無限制存取Sora工具的權限，讓一般使用者跟藝術家一樣，都可隨意探索及實驗Sora的潛力。</p> <p dir="ltr">不過，在該存取權限被公開的3小時後，OpenAI便暫時關閉了該權限。</p> <p dir="ltr">該公開信已獲得超過140名藝術家的連署，而且有96名已通過身分驗證，強調他們並不反對以AI作為藝術創作工具，反對的是此一藝術家計畫實施的方式，以及該工具在公開釋出前的發展方向，希望OpenAI能因此更加開放，對藝術家更為友善，以超越作秀的方式來支持藝術。</p> </div></div></div>
2024/11/27 14:51作者陳曉莉https://www.ithome.com.tw/news/166221
國際及非洲刑警組織聯手於非洲逮捕上千名參與網路犯罪的嫌犯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">國際刑警組織Interpol及非洲刑警組織Afripol本周<a href="https://www.interpol.int/en/News-and-Events/News/2024/Major-cybercrime-operation-nets-1-006-suspects" target="_blank">宣布</a>，它們已聯手於19個非洲國家逮捕了1,006名涉及網路犯罪的嫌犯，摧毀了134,089個惡意基礎設施及網路。</p> <p dir="ltr">此一被命名為Operation Serengeti的行動，是針對勒索軟體、商業電子郵件詐騙、數位勒索，以及網路詐騙背後的犯罪份子，受害者多達3.5萬名，造成近1.93億美元的經濟損失。</p> <p dir="ltr">Interpol秘書長Valdecy Urquiza表示，從多層次行銷詐騙到大規模的信用卡詐欺，網路犯罪的攻擊數量與複雜程度不斷增加，光是此一逮捕行動就能使無數的潛在受害者免受真正的損失，同時他們也知道這只是冰山一角，將繼續鎖定全球的犯罪集團。</p> <p dir="ltr">有些案例令人瞠目，例如肯亞破獲的一起涉及860萬美元的網路信用卡詐騙案中，駭客是藉由修改銀行系統的安全協議，執行惡意腳本程式以盜走資金，之後迅速透過SWIFT系統轉移到阿拉伯聯合大公國、奈及利亞與中國的公司，接著再移轉至散布於多國司法管轄區、提供交易與金融服務的數位資產機構。</p> <p dir="ltr">塞內加爾則破獲一起網路龐氏騙局，8名嫌犯布局欺騙了1,811名受害者，取得了600萬美元的不當款項；喀麥隆的詐騙則是與工作有關，宣稱繳交會員費就可提供就業或培訓機會，但受害者會直接被俘虜，必須找到下一個受害者才能獲得自由。</p> </div></div></div>
2024/11/27 15:04作者陳曉莉https://www.ithome.com.tw/news/166222
Android版Google Gemini可外掛連結Spotify
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Google Gemini AI助理再添擴充功能的外掛。繼WhatsApp後，9to5Google<a href="https://9to5google.com/2024/11/26/spotify-gemini-extension/" target="_blank">發現</a>Android版Google Gemini將能以外掛再整合Spotify，提供更直覺而連貫的服務。</p> <p dir="ltr">報導是在今年稍早有用戶<a href="https://www.androidauthority.com/spotify-google-gemini-extension-coming-soon-apk-teardown-3448585/" target="_blank">發現</a>Google App執行Spotify的設定程式碼後，Google進一步拓展第三方服務外掛。這讓用戶可以口說或文字提示，要求Android版Gemini App使用這個線上串流音樂服務。</p> <p dir="ltr">根據Gemini App的<a href="https://support.google.com/gemini/answer/15300097" target="_blank">設定</a>，要用使用這功能，必須先建立Gemini和Spotify連結。用戶可按指示建立兩者的連結。完成後，就可叫Gemini搜尋Spotify歌曲、歌單並播放。用戶可以選擇前一次使用的音樂服務，或是連結一種以上的音樂服務但不指定特定一種（其他如Yahoo Music）。但只有Spotify Premium訂閱戶才能指定播放特定歌曲。</p> <p dir="ltr">目前僅Android版Gemini App有Spotify外掛，Web版、iOS版及Google Gemini in Messages都還沒有。Android版Gemini App上的Spotify外掛只在Gemini設定使用英文、以及啟用Gemini Apps Activity時才能使用。雖然外掛可使用口說提示，但用戶必須記得要先設定好Hey Google及Voice Match才能使用Hey Google提示。</p> <p dir="ltr">Gemini App第一個<a href="https://support.google.com/gemini/answer/15574928?hl=en" target="_blank">外掛</a>是WhatsApp。Android用戶可叫Gemini App在WhatsApp撥打電話和發送訊息，或叫它編寫和編輯訊息。Google正漸次將本功能部署到全球。</p> </div></div></div>
2024/11/27 14:02作者林妍溱https://www.ithome.com.tw/news/166219
Array Networks、Fortinet SSL VPN漏洞遭駭植入後門程式臺灣、日本企業受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">駭客組織Earth Kasha近日以後門程式，攻擊包括Array Networks、Fortinet等多家品牌SSL VPN設備，已有臺灣、日本及印度等地企業受害。</p> <p dir="ltr">這波攻擊背後的駭客組織是中國駭客組織Earth Kasha，之前曾以精準釣魚信件攻擊公立機構和學術單位，主要活動地區在日本。趨勢科技今年初<a href="https://www.trendmicro.com/en_us/research/24/k/lodeinfo-campaign-of-earth-kasha.html" target="_blank">發現</a>，Earth Kasha發展出新的攻擊策略和技倆，從2023年起開始運用企業防火牆軟體漏洞植入後門程式Lodeinfo。研究人員發現，遭到濫用的SSL VPN防火牆漏洞包括Array AG/vxAG（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-28461" target="_blank">CVE-2023-28461</a>）、Fortinet的FortiOS/FortiProxy（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-27997" target="_blank">CVE-2023-27997</a>），此外，駭客也濫用了FTP系統Proself漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-45727" target="_blank">CVE-2023-45727</a>。</p> <p dir="ltr">除了使用新手法，Earth Kasha的攻擊目標也更廣，從原本的日本擴大到臺灣和印度。趨勢科技兩地都有知名組織用戶，包括先進科技和政府單位受害。多數案例中，Earth Kasha成功駭入企業組織的網域管理員帳號，並在多臺網路機器內植入Cobalt Strike、Lodeinfo及<a href="https://www.ithome.com.tw/news/164009" target="_blank">Noopdoor</a>，藉此建立長期滲透管道，並從事資料蒐集，其中他們使用自製惡意程式MirrorStealer取得儲存在郵件用戶端、瀏覽器、群組政策偏好，以及SQL Server Managemen Studio中的憑證。</p> <p dir="ltr">Earth Kasha於2019年首先使用後門程式Lodeinfo作案，今年另一個中國駭客組織<a href="https://www.ithome.com.tw/news/157037" target="_blank">Volt Typhoon</a>又攻擊FortiOS/FortiGate的零時差漏洞CVE-2023-27997。但有於其他廠商，趨勢科技認為從手法、工具等線索來看，兩者並非同一群人。因此從兩者都濫用FortiOS漏洞資訊及使用Lodeinfo，顯示駭客之間也會共享零時差漏洞及攻擊資源。</p> <p dir="ltr">Fortinet已在今年6月<a href="https://www.fortiguard.com/psirt/FG-IR-23-097" target="_blank">修補</a>CVE-2023-27997，而Array Networks也在今年3月<a href="https://support.arraynetworks.net/prx/001/http/supportportal.arraynetworks.net/documentation/FieldNotice/Array_Networks_Security_Advisory_for_Remote_Code_Execution_Vulnerability_AG.pdf" target="_blank">發布</a>最新版ArrayOS AG 9.4.0.484解決漏洞。</p> </div></div></div>
2024/11/27 14:09作者林妍溱https://www.ithome.com.tw/news/166218
歷經多年醞釀PHP 8.4終於引入屬性掛勾
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PHP社群正式發布最新版本<a href="https://thephp.foundation/blog/2024/11/21/php-core-roundup-20-php84/">PHP 8.4</a>，多項重要更新包括添加<a href="https://thephp.foundation/blog/2024/11/01/how-hooks-happened/">屬性掛勾（Property Hooks）與非對稱可見性（Asymmetric Visibility）</a>，這兩項功能可以帶來明顯的效能提升和開發靈活性。</p> <p>屬性掛勾是這個版本的代表性新功能，讓開發者可以為屬性定義特定的行為邏輯，像是存取或是設定屬性時，可以直接加入檢查或是轉換的過程，而不需要編寫額外的輔助方法。過去開發者需要藉由魔術方法，例如__get和 __set實現類似的功能，但這種特殊的方法不僅難以閱讀，還會對效能造成負面影響。</p> <p>而屬性掛勾的加入不僅解決這些問題，也能夠被用於更多創新場景中，像是開發者可以簡單定義虛擬屬性，讓程式邏輯更直覺且接近自然語言表達，進一步改進程式碼的可維護性和協作效率。</p> <p>另一個受到關注的新功能是非對稱可見性，提供屬性存取控制更大的靈活性，允許開發者區分屬性的讀取和寫入權限，例如在部分應用中，屬性可設為公開讀取但限制寫入，現在透過簡單語法即可實現，無需額外的輔助方法。非對稱可見性簡化了程式碼邏輯，並且提升資料完整性和安全性，可對API開發和用戶資料保護等場景提供更細緻的控制。</p> <p>官方指出，這些功能的實作歷經數年的技術與設計探索。屬性掛勾的構想甚至可溯及2009年，該功能經過多次提案都未獲足夠的支持，一直到PHP基金會的資助與協作才成功實現。在開發過程也經過多次修改和討論，並且從C#、Swift和Kotlin等現代語言的設計汲取靈感，使該功能更加符合PHP生態。而非對稱可見性的提案也是在2023年投票失敗後，於2024年重新來過，終於取得壓倒性票數，成為PHP語法重要的現代化功能。</p> <p>除了屬性掛勾與非對稱可見性，PHP 8.4在效能和相容性也大有進展，像是DOM擴展全面支援HTML5，提升解析準確性並加入CSS選擇器功能。BCMath擴充新增運算子多載支援，使得代數運算更加直覺。同時，PHP 8.4中OpenSSL等底層相依套件也進一步升級，強化了安全性和穩定性。</p> <p>PHP 8.4能夠順利實現多項重要更新，很大程度是因為PHP基金會的支援。PHP基金會是2021年成立的非營利組織，專注向PHP語言開發提供長期穩定的資金和技術支援，其透過資助Ilija Tovilo等核心開發者，解決過去因資源匱乏而導致功能開發中斷的問題。</p> </div></div></div>
2024/11/27 09:39作者李建興https://www.ithome.com.tw/news/166207
【資安日報】11月26日，軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，客戶受到波及
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>供應鏈攻擊事故頻傳，最近軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，傳出已對客戶的運作造成影響，目前已有連鎖咖啡店星巴克、英國兩大超市證實受到波及。</p> <p>值得留意的是，11月21日Blue Yonder證實因資安事故導致代管服務中斷，但目前尚未確認復原的時間，相關災情與影響範圍有待後續觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166196"><strong style="font-size: 22px;">軟體供應鏈Blue Yonder遭勒索軟體攻擊，波及星巴克等業者</strong></a></p> <p>美國軟體供應鏈Blue Yonder在上周四（11月21日）遭到勒索軟體攻擊，並傳出已波及星巴克（Starbucks），以及英國連鎖超市Sainsbury、Morrisons等客戶。</p> <p>知名連鎖咖啡品牌星巴克（Starbucks）向華爾街日報（WSJ）透露，Blue Yonder的服務中斷，影響他們的員工管理，只能手動追蹤人員工時與計算工資，波及約1.1萬家北美門市。</p> <p>英國專門報導消費者商品的The Grocer則說，當地的兩大連鎖超市Sainsbury與Morrisons，也都因Blue Yonder被駭而遭到波及，其中，Morrisons主要利用Blue Yonder的需求預測及補貨解決方案，來處理新鮮的農產品及冷凍食品，事件發生後已改為手動處理。</p> <p><a href="https://www.ithome.com.tw/news/166197"><strong style="font-size: 22px;">趨勢科技揭露Salt Typhoon攻擊電信業者的惡意程式GhostSpider</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EarthEstries-Fig08.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/EarthEstries-Fig08.png" style="width: 300px; float: right;" /></a></p> <p>華爾街日報自9月底開始，多次針對中國駭客組織Salt Typhoon（也被稱為Earth Estries、GhostEmperor、FamousSparrow）攻擊美國電信業者的情況進行報導，受害業者包含AT&T、Lumen、T-Mobile、Verizon，傳出美國政府已著手調查此事，而且，這些駭客的目標還包含其他國家的電信業者。但究竟這些駭客如何發動攻擊？最近有研究人員公布調查結果。</p> <p>資安業者趨勢科技指出，根據他們自2020年開始的追蹤，這些駭客持續針對政府機關及網際網路服務供應商（ISP）進行長期攻擊，並指出2022年也開始針對電信公司。研究人員認為，駭客從事攻擊行動的目的，是為了更有效收集相關情報。</p> <p>他們發現對方主要鎖定的標的，包含電信公司使用的資料庫、雲端伺服器等重要服務，以及服務供應商的網路環境，駭客會試圖植入名為Demodex的rootkit程式，目的是希望藉此增加存取受害電信業者的管道。在近期攻擊東南亞電信業者的事故裡，這些駭客使用多款後門程式，其中包含未被揭露的GhostSpider。</p> <p><a href="https://www.ithome.com.tw/news/166202"><strong style="font-size: 22px;">圖博新聞媒體、大學網站遭中國駭客TAG-112攻擊，用網站漏洞與紅隊測試工具進行滲透</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ElonFCaiFb.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ElonFCaiFb.jpg" style="width: 300px; float: right;" /></a>資安業者Recorded Future揭露中國駭客組織TAG-112的攻擊行動，駭客先是入侵國際西藏郵報（Tibet Post）及Gyudmed Tantric University的網站，目的是在瀏覽網站的使用者電腦植入Cobalt Strike，從而進行情報收集，或是運用受害電腦進行其他間諜活動。</p> <p>駭客於網站上嵌入惡意JavaScript指令碼，藉此欺騙使用者TLS憑證錯誤，以要求下載新的憑證為由，引誘使用者上當。</p> <p>這起事故發生在今年5月下旬，攻擊者利用內容管理系統Joolma的漏洞，在上述2個網站植入惡意JavaScript指令碼。究竟駭客使用那些漏洞，研究人員沒有說明。值得留意的是，這起攻擊行動直到10月上旬，仍處於活動的狀態。</p> <p><a href="https://www.ithome.com.tw/news/166200"><strong style="font-size: 22px;">防毒軟體Avast的驅動程式元件遭到濫用，駭客企圖停用受害電腦防護機制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/when-guardians-become-predators-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/when-guardians-become-predators-1.jpg" style="width: 300px; float: right;" /></a></p> <p>為了迴避端點防護的偵測，駭客濫用防毒軟體元件從事自帶驅動程式（BYOVD）攻擊的手法，今年可說是越來越頻繁，如今甚至出現有人針對多家廠牌的端點防護系統進行破壞的情形。</p> <p>例如，資安業者Trellix近期揭露的攻擊行動，就是典型的例子。研究人員發現由檔名kill-floor.exe開始的惡意程式感染鏈，一旦該執行檔啟動，就會於受害電腦部署Avast的Anti-Rootkit驅動程式aswArPot.sys，接著，攻擊者再植入另一個合法的核心驅動程式，檔名為ntfs.bin。</p> <p>然後，kill-floor.exe就會比對受害電腦上的處理程序，若出現攻擊者認定的142種資安工具處理程序名稱，就會藉由Avast驅動程式，以核心層級來終止處理程序，導致受害電腦的防毒軟體或EDR停止運作。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/lazarus-group-exploits-xattr-with-rustyattr-to-evade-detection/">北韓駭客Lazarus鎖定macOS用戶，意圖散布木馬程式RustyAttr</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/russian-hackers-deploy-hatvibe-and.html">俄羅斯駭客鎖定歐洲、亞洲，散布惡意軟體HatVibe、CherrySpy</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/apt-k-47-uses-hajj-themed-lures-to.html">南亞駭客組織APT-K-47以伊斯蘭教朝聖活動為誘餌，散布惡意軟體Asyncshell</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.zscaler.com/blogs/security-research/unraveling-raspberry-robin-s-layers-analyzing-obfuscation-techniques-and">對抗資安人員駭客出奇招，惡意軟體Raspberry Robin在測試環境會部署誘餌擾亂調查</a></strong></p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166195"><strong style="font-size: 22px;">威聯通修補路由器OS與NAS加值軟體重大漏洞</strong></a></p> <p>11月23日臺灣網路設備業者威聯通（QNAP）發布資安公告，針對旗下產品修補超過30項漏洞，其中，路由器作業系統QuRouter、NAS協作應用程式Notes Station 3存在重大層級漏洞，相當值得留意。</p> <p>根據CVSS風險評分，最嚴重的是CVE-2024-48860，此漏洞出現於QuRouter，為作業系統命令注入漏洞，一旦攻擊者成功利用，就有機會遠端執行命令，4.0版CVSS評分為9.5。</p> <p>另外2個重大漏洞CVE-2024-38643、CVE-2024-38645，出現在Notes Station 3，其中較嚴重的是CVE-2024-38645，此為伺服器請求偽造（SSRF）漏洞，若是攻擊者成功利用漏洞，有機會在通過身分驗證的情況下，遠端讀取應用程式資料，風險值為9.4。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/php-patches-multi-flaws-including-cve-2024-8932-cvss-9-8-urges-immediate-update/">PHP修補重大層級的記憶體越界存取、緩衝區過度讀取漏洞</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166190"><strong>【11月25日】俄羅斯駭客在軍事行動前夕，藉由跳版入侵目標組織的無線網路環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166161"><strong>【11月22日】駭客疑似利用零時差漏洞入侵2千臺Palo Alto Networks防火牆</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166142"><strong>【11月21日】中國駭客鎖定南亞及非洲一帶一路國家的電信業者從事間諜活動</strong></a></p> </div></div></div>
2024/11/26 16:25作者周峻佑https://www.ithome.com.tw/news/166203
IBM Granite AI模型在AWS上架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM和AWS<a href="https://newsroom.ibm.com/blog-ibm-and-aws-accelerate-partnership-to-scale-responsible-generative-ai" target="_blank">宣布</a>強化AI合作，包括IBM大語言模型家族Granite將在Amazon雲端平臺推出，雙方也強化整合AWS及watsonx雲端平臺的功能，提升安全及效能管理。</p> <p>這項消息是為下周AWS re: Invent技術大會打頭陣。IBM繼上個月<a href="https://www.ithome.com.tw/news/165605" target="_blank">開源</a>Granite 3.0 2B、8B模型後，Granite程式模型將在Amazon Bedrock及機器學習平臺Amazon SageMaker JumpStart上架。IBM最新的Granite 3.0模型系列已經先一步在Sagemaker JumpStart<a href="https://aws.amazon.com/marketplace/pp/prodview-vweaesrobaglk" target="_blank">提供</a>。</p> <p>透過這項合作，Granite模型現在獲得AWS Neuron開發套件支援，可在AWS Inferentia及AWS Trainium晶片的雲端執行個體上執行。IBM並計畫其watsonx未來將支援AWS最新一代AI晶片Trainium2。</p> <p>雙方雲端平臺也將擴大整合或合作。首先，12月IBM AI模型生命周期管理watsonx.governance將進一步整合Amazon SageMaker，雙方開發一個全新介面，直接以watsonx.governance管理介面管理SageMaker。SageMaker Model Registry的模型資訊可分享給watsonx，使AI運作管理透明化。</p> <p>其次IBM管理機敏AI數據與AI模型安全風險的Guardium AI Security，現在在AWS Marketplace上架。這工具能發現「影子AI」（即員工私下建的AI模型），能和watsonx.governance整合，確保AI治理。</p> <p>最後，雲端應用管理工具Instana Generative AI Observability on AWS現在已預覽版推出，可透通管理Amazon Bedrock及Amazon SageMaker，確保AWS生成式AI應用的穩定性和運作正常。此外，IBM Instana也將支援Amazon Elastic Kubernetes Services和Elastic Cloud Services，提供雲端微服務的管理。</p> <p>其他新宣布方面，IBM預覽了IBM Concert新功能。IBM Concert利用生成式AI技術提供AWS平臺上應用程式的風險管理，預計將於2025年初上線。此外有IBM Autonomous Security for Cloud（ASC）這項新技術是IBM顧問服務開發的AI解決方案，可利用Amazon Bedrock生成AI技術，加強雲端安全自動化管理，預計12月全球推出。</p> </div></div></div>
2024/11/26 15:22作者林妍溱https://www.ithome.com.tw/news/166201
圖博新聞媒體、大學網站遭中國駭客TAG-112攻擊，用網站漏洞與紅隊測試工具進行滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客鎖定圖博發動攻擊的情況，每隔一段時間就有事故傳出，而最近一起事故揭露，再度引起外界關注。</p> <p>資安業者Recorded Future揭露<a href="https://www.recordedfuture.com/research/china-nexus-tag-112-compromises-tibetan-websites">中國駭客組織TAG-112的攻擊行動</a>，駭客先是入侵國際西藏郵報（Tibet Post）及Gyudmed Tantric University的網站，目的是在瀏覽網站的使用者電腦植入Cobalt Strike，從而進行情報收集，或是運用受害電腦進行其他間諜活動。</p> <p>駭客於網站上嵌入惡意JavaScript指令碼，藉此矇騙使用者、謊稱TLS的憑證出錯，以要求下載新的憑證為由，引誘使用者上當。</p> <p>這起事故發生在今年5月下旬，攻擊者利用內容管理系統Joolma的漏洞，在上述2個網站植入惡意JavaScript指令碼。究竟駭客使用那些漏洞，研究人員沒有說明。值得留意的是，這起攻擊行動直到10月上旬，仍處於活動的狀態。</p> <p>研究人員也提及駭客的基礎設施相當複雜，他們濫用Cloudflare服務遮掩伺服器的IP位址，使得追蹤攻擊的來源變得更加困難。</p> </div></div></div>
2024/11/26 15:41作者周峻佑https://www.ithome.com.tw/news/166202
防毒軟體Avast的驅動程式元件遭到濫用，駭客企圖停用受害電腦防護機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了迴避端點防護的偵測，駭客濫用防毒軟體元件從事自帶驅動程式（BYOVD）攻擊的手法，今年可說是越來越頻繁，如今甚至出現有人針對多家廠牌的端點防護系統進行破壞的情形。</p> <p>例如，<a href="https://www.trellix.com/blogs/research/when-guardians-become-predators-how-malware-corrupts-the-protectors/">資安業者Trellix近期揭露的攻擊行動</a>，就是典型的例子。研究人員發現由檔名kill-floor.exe開始的惡意程式感染鏈，一旦該執行檔啟動，就會於受害電腦部署Avast的Anti-Rootkit驅動程式aswArPot.sys，接著，攻擊者再植入另一個合法的核心驅動程式，檔名為ntfs.bin。</p> <p>在完成上述投放驅動程式的步驟，此惡意軟體就會濫用公用程式sc.exe，產生名為aswArPot.sys的服務，目的是向系統註冊ntfs.bin。</p> <p>然後，kill-floor.exe就會比對受害電腦上的處理程序，若出現攻擊者認定的142種資安工具處理程序名稱，就會加入Avast驅動程式的參照資料，並呼叫名為DeviceIoControl的API，傳送特定的IOCTL碼，藉由Avast驅動程式，以核心層級來終止處理程序，導致受害電腦的防毒軟體或EDR停止運作。</p> </div></div></div>
2024/11/26 14:47作者周峻佑https://www.ithome.com.tw/news/166200
Anthropic開源可用來連結AI助理與資料的Model Context Protocol
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>打造Claude大型語言模型的Anthropic周一（11/25）<a href="https://www.anthropic.com/news/model-context-protocol" target="_blank">開源</a>了模型脈絡協定（Model Context Protocol，MCP），這是一個可用來連結AI助理及資料系統的新標準，使AI助理可透過單一協定存取所有的資料來源，讓模型能產生更好與更相關的回應。</p> <p>Anthropic表示，隨著AI助理獲得主要的採用，業界於模型功能上投入了大量資金，於推論及品質上取得了快速進展，然而，就算是最複雜的模型也會受到與資料隔離的限制，每一個新的資料來源都需要專屬的客製化實現，而讓真正互連的系統難以擴展。</p> <p>而MCP則解決了上述挑戰，允許開發人員在資料來源及AI工具之間建立安全的雙向連接，這是個非常簡單的架構，開發人員可透過MCP伺服器來公開資料，或者是建立可連結這些MCP伺服器的AI應用程式。它有3個主要元件，一是模型脈絡協定的規範與各種SDK，二是Claude桌面程式對本機MCP伺服器的支援，三為MCP伺服器的開源儲存庫。</p> <p>此外，Claude 3.5 Sonnet擅長快速建置MCP伺服器，讓企業和個人可輕鬆連結重要的資料與各種AI工具，為了協助開發人員啟動探索，Anthropic將分享替Google Drive、Slack、GitHub、Git、Postgres及Puppeteer等熱門系統預先建置的MCP伺服器。</p> <p>另一方面，Block與Apollo等早期採用者也已將MCP整合到它們的系統中，Zed、Replit、Codeium及Sourcegraph等開發工具公司，亦打算利用MCP來強化其平臺，讓AI代理可更好地檢索資訊以理解程式碼任務的脈絡，並生成更實用的程式碼。</p> <p>總之，現在開發人員可以根據標準協定來建置連接器，而不必再替各別的資料來源打造各自的連接器，Anthropic相信隨著此一生態體系的成熟，AI系統就算是在不同的工具及資料集之間移動，都能維持脈絡，以更永續的架構來取代當前零散的整合方式。</p> </div></div></div>
2024/11/26 14:14作者陳曉莉https://www.ithome.com.tw/news/166199
軟體供應鏈Blue Yonder遭勒索軟體攻擊，波及星巴克等業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國軟體供應鏈Blue Yonder在上周四（11/21）遭到勒索軟體<a href="https://blueyonder.com/customer-update" target="_blank">攻擊</a>，並傳出已波及<a href="https://www.wsj.com/livecoverage/stock-market-today-dow-sp500-nasdaq-live-11-25-2024/card/exclusive-starbucks-wrestles-with-ransomware-attack-on-software-supplier-cZJuRHR4rUCg8rOc9LJQ?mod=article_inline" target="_blank">星巴克</a>（Starbucks），以及英國連鎖超市<a href="https://www.thegrocer.co.uk/news/blue-yonder-software-hack-impacting-supermarket-supply-chains/698211.article" target="_blank">Sainsbury與Morrisons</a>等客戶。</p> <p>Blue Yonder是松下電器（Panasonic Corporation）百分之百持有的<a href="https://www.ithome.com.tw/news/144043" target="_blank">子公司</a>，主要提供各種供應鏈與商業解決方案，如供應鏈管理、退貨管理、人力資源管理、零售業目錄管理或倉儲管理等解決方案，支援服飾、汽車、雜貨、製造、消費者商品及物流等領域，客戶涵蓋DML、拜耳、星巴克、雀巢及7-Eleven等。</p> <p>Blue Yonder上周指出，該公司受到勒索軟體攻擊，使其代管環境的中各種託管服務在21日中斷了，它們正與多個外部的網路安全公司合作，首要任務是確保安全地復原，但直至24日都沒有恢復的時間表。</p> <p>知名連鎖咖啡品牌星巴克（Starbucks）向華爾街日報（WSJ）透露，Blue Yonder的服務中斷，影響了員工管理其工作時間的能力，而讓星巴克只能手動追蹤員工工作時數與計算工資，波及星巴克約1.1萬家的北美門市。</p> <p>英國專門報導消費者商品的The Grocer則說，當地的兩大連鎖超市Sainsbury與Morrisons，也都因Blue Yonder被駭而遭到波及，其中，Morrisons主要利用Blue Yonder的需求預測及補貨解決方案，來處理新鮮的農產品及冷凍食品，事件發生後已改為手動處理。</p> <p>有媒體分析，駭客或許是故意選在感恩節的前一周發動攻擊，因為Blue Yonder有許多零售業客戶，而此時正是它們的銷售旺季，以迫使Blue Yonder支付贖金。迄今尚未有勒索集團出面承認責任。</p> </div></div></div>
2024/11/26 12:33作者陳曉莉https://www.ithome.com.tw/news/166196
趨勢科技揭露Salt Typhoon攻擊電信業者的惡意程式GhostSpider
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華爾街日報自9月底開始，多次針對<a href="https://www.ithome.com.tw/news/166096">中國駭客組織Salt Typhoon（也被稱為Earth Estries、GhostEmperor、FamousSparrow）攻擊美國電信業者</a>的情況進行報導，受害業者包含AT&T、Lumen、T-Mobile、Verizon，傳出美國政府已著手調查此事，而且，這些駭客的目標還包含其他國家的電信業者。但究竟這些駭客如何發動攻擊？最近有研究人員公布調查結果。</p> <p>資安業者<a href="https://www.trendmicro.com/en_us/research/24/k/earth-estries.html">趨勢科技指出</a>，根據他們自2020年開始的追蹤，這些駭客持續針對政府機關及網際網路服務供應商（ISP）進行長期攻擊，並指出2022年也開始針對電信公司。研究人員認為，駭客從事攻擊行動的目的，是為了更有效收集相關情報。</p> <p>他們發現對方主要鎖定的標的，包含電信公司使用的資料庫、雲端伺服器等重要服務，以及服務供應商的網路環境，駭客會試圖植入名為Demodex的rootkit程式，目的是希望藉此增加存取受害電信業者的管道。</p> <p>在近期攻擊東南亞電信業者的事故裡，這些駭客使用多款後門程式，其中包含未被揭露的GhostSpider、模組化的SnappyBee（Deed RAT）、跨平臺的Masol RAT。根據他們的追蹤，駭客的攻擊行動，根據鎖定的產業類型，大致上可區分為兩種類型Alpha、Beta，其中的Beta攻擊是針對電信業者及政府機關而來。</p> <p>無論是那一種攻擊行動，駭客取得初始入侵管道的方法，主要都是針對曝露於網際網路的應用程式伺服器，並利用已知漏洞來達到目的，這些包含Ivanti Connect Secure漏洞CVE-2023-46805和CVE-2024-21887、FortiClient EMS的SQL注入漏洞CVE-2023-48788、Sophos防火牆漏洞CVE-2022-3236，以及ProxyLogon（CVE-2021-26855、CVE-2021-26857、CVE-2021-26858、CVE-2021-27065）。</p> <p>在Beta攻擊行動裡，駭客初期利用網頁伺服器或是ProxyLogon，取得相關帳密然後控制目標電腦。</p> <p>接著，他們主要使用Demodex長期埋伏於受害組織的網路環境，在近期的攻擊行動裡，對方透過DLL挾持手法載入GhostSpider，此後門程式使用TLS通訊協定，從C2接收藏匿於HTTP標頭及cookie的命令，而能將攻擊流量混入合法流量。</p> <p>而對於攻擊行動Alpha的部分，研究人員提及是針對臺灣的政府機關及化學公司而來，駭客從C2伺服器下載惡意工具，並透過寄生攻擊進行橫向移動。</p> </div></div></div>
2024/11/26 12:43作者周峻佑https://www.ithome.com.tw/news/166197
美超微推出新型JBOF，搭36臺E3.S固態硬碟與BF3資料處理器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/supermicro_ssg-229j-5be36jbf_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了追求更高的固態儲存密度配置，這兩年來，出現越來越多可搭配EDSFF E3.S外形NVMe固態硬碟的伺服器，若以純固態儲存的組態而言，我們過去曾介紹幾款產品，像是<a href="https://www.ithome.com.tw/review/156122">Supermicro（美超微），在2023年發表1U機箱安裝16臺E3.S固態硬碟的X13或H13世代伺服器，以及2U機箱安裝32臺E3.S固態硬碟的X13或H13世代伺服器</a>，<a href="https://www.ithome.com.tw/review/159695">HPE Alletra Storage Server 4110</a>與<a href="http://D:\Dropbox\__New Product\Supermicro SSG-229J-5BE36JBF\雲達QuantaGrid D55X-1U">雲達QuantaGrid D55X-1U</a>，都是1U機箱可安裝20臺E3.S固態硬碟的伺服器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20X13-H13-All-Flash-2024-08.jpg" style="width: 600px;" /></p> <p>8月初2024 FMS大會召開，Supermicro預告將推出X14世代的高密度固態儲存伺服器，而在他們的網站目前已列出兩款機型，分別是：1U機箱安裝16臺E3.S固態硬碟的伺服器SSG-122B-NE316R，以及2U機箱安裝32臺E3.S固態硬碟的伺服器SSG-222B-NE3X24R。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20X14-All-Flash-2024-08.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20X14-All-Flash-2024-08-2.jpg" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20X14%20All-Flash%20NVMe.jpg" style="width: 600px;" /></p> <p>到了10月中適逢2024 OCP高峰會舉行，多家伺服器廠商趁機發表或展出支援大量E3.S固態硬碟的產品，像是永擎電子（ASRock Rack），就展出2U尺寸32臺E3.S固態硬碟的Xeon 6伺服器2U32E3S-GNR2FLW。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2U32E3S-GNR2FLW-1732077874981-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2U32E3S-GNR2FLW-1732077874981-web.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/ASRock Rack Xeon 6700E-series servers.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ASRock%20Rack%20Xeon%206700E-series%20servers.jpg" style="width: 298px;" /></a></p> <p>Supermicro此時推出的產品是兩款快閃儲存櫃（JBOF），其中之一是安裝24臺2.5吋U.2外形固態硬碟的SSG-229J-5BU24JBF，若搭配30.72 TB容量的固態硬碟，整臺設備的原生儲存容量為737 TB，若搭配61.44 TB容量的固態硬碟，整臺設備的原生儲存容量將可達到1.44 PB；另一款是安裝36臺E3.S固態硬碟的SSG-229J-5BE36JBF，若搭配30.72 TB容量的固態硬碟，整臺設備的原生儲存容量將超過1 PB，若搭配61.44 TB容量的固態硬碟，整臺設備的原生儲存容量將可達到2 PB。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20BF3-based%20JBOF.jpg" style="width: 600px;" /></p> <p>相較於一般的硬碟櫃（JBOD）或快閃儲存櫃，Supermicro這兩款產品最大的特色，在於機箱內建兩臺控制器節點模組（Canister），提供雙埠連接的儲存系統（dual-ported system）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20Gen5%20NVMe%20JBOF-Canisters.jpg" style="width: 600px;" /></p> <p>基本上，每臺模組內建1個嵌入式PCIe交換器（原為PLX公司的PCIe交換器，現為Broadcom公司的產品線），最多可支援兩個<a href="https://www.ithome.com.tw/review/156209">Nvidia BlueField-3資料處理器</a>，以及1個Nvidia GPU，不需沿用傳統搭配中央處理器、記憶體，作為子系統（subsystem），而是改用BlueField-3替代，由資料處理器上面的16顆Arm處理器執行儲存應用，同時，還能運用資料處理器的儲存加速功能，可代為處理糾刪碼（erasure coding）、解壓縮、加密演算法，加速處理NVMe/TCP與NVMe-over-Fabric（NVMe-oF）目標端（Target）的卸載，以及硬體支援RoCE、GPUDirect Storage，獲得網路加速處理與GPU直連儲存的能力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20Gen5%20NVMe%20JBOF-expansion.jpg" style="width: 600px;" /></p> <p>整體而言，Supermicro這批JBOF的機箱之所以設置兩個控制器模組，是為了提供雙主動（Active-Active）或主動－被動（Active-Passive）的高可用性機制，可針對雲端儲存的應用需求，提供橫跨多臺JBOF設備的軟體備援與故障切換，當然企業也可只啟用其中一個控制器模組，以節省成本開支。</p> <p>除此之外，單就固態硬碟這一層而言，用戶也能在這批JBOF當中搭配具有雙埠配置的商用產品，例如，可搭配通過Supermicro認證的鎧俠（Kioxia）CM7，若無這方面考量，可搭配的市售PCIe 5.0固態硬碟選擇更多，有鎧俠的CM7、<a href="https://www.ithome.com.tw/review/158091">CD8P</a>，以及<a href="https://www.ithome.com.tw/review/164160">美光（Micron）的9550</a>。 </p> <p>基於上述的高密度配置，Supermicro與Nvidia認為，對於需要縱向擴展（scale-up）與橫向擴展（scale-out）的檔案與物件儲存應用，相當適合，可提供高速的網路與儲存吞吐量——每臺JBOF可達800 Gb/s，並且針對PCIe 5.0固態硬碟提供超過250 GB/s的I/O頻寬，因應AI訓練與高效能運算的工作負載需求。</p> <p>根據Nvidia的測試，若在安裝1個BlueField-3資料處理器的組態下，執行儲存工作負載，這款JBOF的網路連線速度可達到400 Gb/s，總吞吐量為50 GB/s；若用於4KB這類小區塊的隨機讀取工作負載，相較於傳統基於x86處理器而成的JBOF，存取延遲為100微秒，Supermicro新推出的JBOF，存取延遲為86微秒，領先幅度為13％。</p> <p>關於耗電量的部分，由於資料處理器不只是取代JBOF的中央處理器、記憶體，也能涵蓋網路卡及基板控制器（BMC），若以子系統而言，相較於一般硬碟儲存櫃，可節省50％電力，若以整臺快閃儲存櫃（包含固態硬碟）而言，對比傳統架構的快閃儲存櫃，Supermicro新推出的JBOF省電幅度為10％至15％，積少成多，若用於大型、橫向擴展規模的部署，能替整座資料中心節省數千瓦電力。Supermicro表示，若匯集超過100臺快閃儲存櫃系統，最多能節省20千瓦電力，對於資料中心散熱而言，可額外省下10千瓦電力，對於資料中心的電力使用效率（PUE）而言，可達到1.5的水準。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20Gen5%20NVMe%20JBOF.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/jbof-design-simpler.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/jbof-design-simpler.jpg" style="width: 600px;" /></a></p> <p>關於儲存系統、資料管理軟體的搭配上，此批JBOF設備目前有兩款解決方案支援，一款是物件儲存系統Cloudian HyperStore，支援S3物件儲存協定與NFS、SMB檔案儲存協定，另一款是平行檔案系統Hammerspace Global Data Platform，支援單一全域命名空間與資料調度服務，可儲存物件與檔案型態的資料，Supermicro表示，還有幾款儲存解決方案正在測試其支援度。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Supermicro SSG-229J-5BE36JBF</strong></span><br /> ●原廠：Supermicro<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U（449.4 x 88 x 762公釐）<br /> ●儲存媒體容量：36臺E3.S 1T外形NVMe固態硬碟<br /> ●系統組成：2臺節點<br /> ●每臺節點的網路介面：2個GbE埠（Nvidia ConnectX-7或BlueField-3），作為共用LAN埠；1個GbE埠（Realtek）作為IPMI LAN埠<br /> ●每臺節點的擴充介面：3個PCIe 5.0 x16全高全長，可安裝2張DPU與1張GPU<br /> ●電源供應器：2臺2000瓦<br /> ●散熱風扇：6臺</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/11/26 12:54作者李宗翰https://www.ithome.com.tw/review/166177
Nvidia公布可生成混合音樂、人聲音效的AI模型Fugatto
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia本周<a href="https://blogs.nvidia.com/blog/fugatto-gen-ai-sound-model/" target="_blank">發表</a>一個能依文字或音樂檔案提示，生成或修改一首混合音樂、人聲和音效的AI模型，名為Fugatto。</p> <p>現今已有多家廠商，包括Google、Meta推出可生成短曲、音效、或修改現有音樂的AI模型，但Nvidia公布的Fugatto模型號稱生成技巧超越前者。Fugatto可依據用戶輸入的文字，或上傳的音訊檔案，生成或修改音樂、人聲或聲音的元素組合。例如它可以根據使用者文字提示生成音樂片段、在現有歌曲加入一種樂器聲音（或移除），或是改變人聲腔調或是情感，甚至發展出全新的表現方式。</p> <p>Fugatto全名為「Foundational Generative Audio Transformer Opus 1」，是一個基礎生成式transformer模型，為Nvidia在之前語音模型、音訊編碼及音訊理解等基礎上的研發成果。模型本身包含25億參數，是在32顆H100 GPU的DGX系統，在一年多期間，以數百萬音訊樣本及文字資料訓練而成。</p> <p>Fugatto訓練團隊涵括印度、巴西、中國、南韓和約旦。Nvidia指出，研究團隊使用多面向策略產生資料和指令，以確保模型能勝任多種不同任務，他們也審視現有資料集，找出資料間的新關聯性，在不需額外新資料集情況下，使模型學習到新任務且獲致高準確性。</p> <p>例如Fugatto使用名為ComposableART的技術，把原本個別使用的指令組合起來，像是組合多個指令，例如用戶可要求它用悲傷情緒以法語腔說一段文字，還允許插入不同指令的功能，方便使用者微調，像是腔調濃重或是悲傷程度。</p> <p>Nvidia貼出了一段<a href="https://www.youtube.com/watch?v=qj1Sp8He6e4&t=1s" target="_blank">影片</a>，展現Fugatto可為電影創造出震撼的配音。</p> <p>Fugatto還具備時序插入（temporal interpolation）能力，可生成隨時間改變的聲音，像是暴風雨中由近而遠傳遞的雷聲，也提供聲音地景的微調功能。此外，有別於其他多數模型只能重建模型團隊輸入的訓練資料，Fugatto還讓使用者新創造全新的聲音地景，像是風雨過後隨著鳥鳴來到的清晨。</p> <p>各家業者目前皆積極開發生成音樂、人聲及音效的AI技術。<a href="https://www.ithome.com.tw/news/163263" target="_blank">ElevenLabs</a>、<a href="https://www.ithome.com.tw/news/163510" target="_blank">DeepMind</a>都在開發幫影片配音的技術、Meta去年公布可同時接受文字和音訊輸入的<a href="https://www.ithome.com.tw/news/160146" target="_blank">AudioBox</a>。<a href="https://www.ithome.com.tw/news/162049" target="_blank">OpenAI</a>也在今年稍早公布了以15秒樣本生成人聲的模型。</p> </div></div></div>
2024/11/26 13:03作者林妍溱https://www.ithome.com.tw/news/166198
威聯通修補路由器OS與NAS加值軟體重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月23日臺灣網路設備業者威聯通（QNAP）發布資安公告，針對旗下產品修補超過30項漏洞，其中，<a href="https://www.qnap.com/go/security-advisory/qsa-24-44">路由器作業系統QuRouter</a>、<a href="https://www.qnap.com/go/security-advisory/qsa-24-36">NAS協作應用程式Notes Station 3</a>存在重大層級漏洞，相當值得留意。</p> <p>根據CVSS風險評分，最嚴重的是<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-48860">CVE-2024-48860</a>，此漏洞出現於QuRouter，為作業系統命令注入漏洞，一旦攻擊者成功利用，就有機會遠端執行命令，4.0版CVSS評分為9.5。</p> <p>另外2個重大漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-38643">CVE-2024-38643</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-38645">CVE-2024-38645</a>，出現在Notes Station 3，其中較嚴重的是CVE-2024-38645，此為伺服器請求偽造（SSRF）漏洞，若是攻擊者成功利用漏洞，有機會在通過身分驗證的情況下，遠端讀取應用程式資料，風險值為9.4。</p> <p>至於CVE-2024-38643則與重要功能缺乏身分驗證有關，一旦攻擊者觸發漏洞，就可能遠端存取並執行特定的功能，CVSS風險為9.3。</p> </div></div></div>
2024/11/26 11:31作者周峻佑https://www.ithome.com.tw/news/166195
微軟AI開發工具包Semantic Kernel推出OpenAPI擴充，提升智慧功能開發靈活性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布其人工智慧開發工具包<a href="https://devblogs.microsoft.com/semantic-kernel/announcing-the-ga-release-of-the-openapi-plugin-for-net-and-python-in-semantic-kernel/">Semantic Kernel的OpenAPI擴充功能</a>，進入一般可用階段，全面支援.NET與Python。該項更新讓開發者將現有API轉換為擴充套件，進一步強化人工智慧代理的應用能力，更容易實作多元人工智慧解決方案。</p> <p>Semantic Kernel是由微軟開發的開源軟體開發套件，目的是將諸如OpenAI、Azure OpenAI和Hugging Face等大型語言模型，與C#、Python和Java等語言編寫的程式整合，開發者可以更簡單地在應用程式中引入語言模型，大幅降低人工智慧應用的開發門檻。</p> <p>OpenAPI則是一個開源標準規範，藉由利用機器可讀格式，像是JSON或是YAML，描述RESTful API的結構與行為，其詳細定義了API端點、請求參數、回應格式與認證方式等細節，讓開發者能夠清晰地了解和使用API。OpenAPI專案由OpenAPI Initiative管理，其前身為Swagger，致力於促進API標準化和互通性，被廣泛用於生成文件、自動化測試和模擬服務。</p> <p>微軟這次針對Semantic Kernel的OpenAPI擴充功能，讓開發者可以利用企業現有的API基礎，將其轉換成為人工智慧代理可以使用的擴充套件，提升整體效率和功能靈活性。例如智慧家電場景，開發者就可以依據OpenAPI規範建立擴充套件，讓人工智慧代理能夠控制燈光開關。這樣的方式不僅降低系統整合的難度，也擴展了人工智慧代理的實際應用規範。</p> <p>微軟同時還推出簡單易用的整合工具，無論是.NET還是Python開發者，只需要透過幾行程式碼，即可完成套件匯入。微軟同時建議開發者，使得開發者的OpenAPI的規範更容易被人工智慧代理理解，例如簡化端點數量、清晰的命名參數，以及提供範例請求與回應資料，進一步提升規範的可讀性，最佳化人工代理的執行結果。</p> <p>除此之外，<a href="https://devblogs.microsoft.com/semantic-kernel/announcing-the-ga-release-of-filters-for-net-and-python-in-semantic-kernel/">Semantic Kernel的.NET和Python也新增過濾器（Filters）功能</a>，這項更新替開發者提供更多的控制和透明度，確保人工智慧函式執行的每個環節，都能符合負責任的人工智慧應用實務。Filters包括函式呼叫過濾器、提示詞渲染過濾器以及自動函式呼叫過濾器，支援參數驗證、例外處理、提示詞修改，和執行流程中斷等功能。每種過濾器都提供上下文物件和回呼機制，協助開發者實現敏感資料清理、錯誤恢復和效率最佳化，使企業級人工智慧解決方案更加安全可信。</p> </div></div></div>
2024/11/26 08:19作者李建興https://www.ithome.com.tw/news/166193
【資安日報】11月25日，俄羅斯駭客在軍事行動前夕，藉由跳版入侵目標組織的無線網路環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年，有研究人員揭露利用Wi-Fi無線網路從事近距離、非接觸式的攻擊手法，但這樣的手段鮮少在實際的資安事故曝光，如今有研究人員公布此種類型攻擊行動。</p> <p>資安業者Volexity指出，2年前俄羅斯駭客組織APT28就是利用類似的策略，先攻擊目標組織鄰近的企業，再藉由這些跳板存取目標組織的Wi-Fi網路，從而進行相關的情報收集。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166183"><strong style="font-size: 22px;">俄羅斯駭客APT28發動Nearest Neighbor攻擊，目的是收集烏克蘭情報</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/nearest-neighbor-attack001-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/nearest-neighbor-attack001-1.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Volexity上周揭露了俄羅斯駭客組織APT28精心設計的攻擊行動「Nearest Neighbor Attack」，由於APT28打算攻擊的組織，在各個公共服務採用了多因素身分驗證（MFA），使得APT28最終選擇攻陷該組織的各個「鄰居」，再藉由鄰近電腦入侵未執行MFA的Wi-Fi網路。</p> <p>這起攻擊事件發生在2022年2月，正巧是俄羅斯入侵烏克蘭的前夕，APT28的目的是蒐集該組織中涉及烏克蘭的個人或專案資料。</p> <p>調查發現，APT28先針對目標組織外部服務發動密碼潑灑攻擊，儘管已經取得了帳號及密碼，卻無法通過這些服務的多因素驗證，於是轉向較少採用MFA的Wi-Fi網路，然而，APT28與目標組織之間有半個地球的距離，使得駭客決定從目標的鄰居著手。</p> <p><a href="https://www.ithome.com.tw/news/166188"><strong style="font-size: 22px;">出現命名意圖與兩大AI平臺混淆的可疑開發套件，目的是散播竊資軟體JarkaStealer</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/JarkaStealer-in-pypi-packages-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/JarkaStealer-in-pypi-packages-01.jpg" style="width: 300px; float: right;" /></a></p> <p>生成式AI當紅，許多開發者加入運用這類工具的行列，但駭客也伺機而動，企圖假借相關名目散布惡意軟體。</p> <p>資安業者卡巴斯基指出，他們在PyPI套件庫當中，發現2個惡意套件，提供這些套件的人士聲稱，一旦安裝之後，開發人員就能使用這些程式庫與熱門的大型語言模型（LLM）協同合作。但實際上，對方其實是濫用展示版本的ChatGPT掩人耳目，真正的目的，就是要在開發人員的電腦植入竊資軟體JarkaStealer。</p> <p>而對於這款竊資軟體的來歷，研究人員指出是由慣用俄文的開發者製作，具備從各種瀏覽器竊取資料的能力，或是從Telegram、Discord、Steam等應用程式盜竊連線階段（Session）的Token。此外，攻擊者還能中斷受害電腦的瀏覽器運作，以便搜尋瀏覽器存放的特定資料。</p> <p><a href="https://www.ithome.com.tw/news/166191"><strong style="font-size: 22px;">北捷AI客服遭網友測試發現可代寫程式碼，北捷緊急斷開Azure Open AI回應功能</strong></a></p> <p>台北捷運提供的AI智慧客服，協助真人客服減輕工作壓力，提供旅客24小時AI客服，不過，近期有網友測試後發現，北捷AI智慧客服竟然可以提供程式碼範例，引發其他網友測試，事件發生後，台北捷運接獲通報，已緊急要求廠商斷開串接Azure Open AI，讓AI客服回到旅客搭乘捷運相關問題的應答功能。</p> <p>對此，台北捷運初步研判原因為，網友以程式語言測試捷運AI智慧客服，超出原先設定的資料庫範圍，系統透過Azure OpenAI回應，因此台北捷運立即要求廠商斷開串接功能，回到北捷已建置的旅客常見問題應答。</p> <p>由於沒有對民眾提出的問題請求設限，擋掉和台北捷運旅客服務以外的無關問題，如果長時間遭到外界濫用，可能導致生成式AI鉅額的收費外，有心人士可能測試各種提問方式，還可能設法騙取AI客服回應企業內的敏感資料，可能衍生出資安的風險。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/google-exposes-glassbridge-pro-china.html">中國Storm-2077架設影響力網路GlassBridge，意圖對美國政府機關、非政府組織散布假新聞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/k/lodeinfo-campaign-of-earth-kasha.html">中國駭客Earth Kasha發起LodeInfo攻擊，將範圍從日本延伸到臺灣、印度</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cyber-espionage-campaign-north-korean-actors-deploy-beavertail-and-invisibleferret/">北韓駭客鎖定開發人員而來，藉由NPM套件散布惡意程式BeaverTail、InvisibleFerret</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/hamas-affiliated-wirte-employs-samecoin.html">哈馬斯駭客Wirte鎖定以色列企業組織，散布資料破壞軟體SameCoin</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/librenms-vulnerability-cve-2024-51092-mitigating-the-risk-of-server-compromise/">網路流量監控系統LibreNMS存在重大漏洞，攻擊者有機會執行作業系統層級命令</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166164"><strong style="font-size: 22px;">資安新創Wiz買下雲端安全業者Dazz</strong></a></p> <p></p> <p>今年傳出拒絕Google收購的雲端資安業者Wiz上周四（11月21日）宣布，將買下另一資安新創Dazz，以強化該公司的風險緩解能力。雙方並未公布交易細節，但外傳此交易價值約4.5億美元。</p> <p>Wiz共同創辦人暨執行長Assaf Rappaport指出，Dazz的修復引擎能幫助安全團隊連結不同來源的資料，並透過一個統一平臺有效管理應用程式風險；其先進的映射功能可精準找出問題根源，使工程師能直接在程式碼中修復安全漏洞，同時將重要的雲端環境無縫整合至安全工作流程中。Rappaport 強調，在徹底改變修復流程與應用程式安全的旅程中，Dazz是最理想的合作夥伴。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166161"><strong>【11月22日】駭客疑似利用零時差漏洞入侵2千臺Palo Alto Networks防火牆</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166142"><strong>【11月21日】中國駭客鎖定南亞及非洲一帶一路國家的電信業者從事間諜活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166119"><strong>【11月20日】勒索軟體Helldown潛入受害組織，管道是兆勤防火牆的弱點</strong></a></p> </div></div></div>
2024/11/25 16:54作者周峻佑https://www.ithome.com.tw/news/166190
北捷AI客服遭網友測試發現可代寫程式碼，北捷緊急斷開Azure Open AI回應功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台北捷運提供的AI智慧客服，協助真人客服減輕工作壓力，提供旅客24小時AI客服，不過，近期有網友測試後發現，北捷AI智慧客服竟然可以提供程式碼範例，引發其他網友測試，事件發生後，台北捷運接獲通報，已緊急要求廠商斷開串接Azure Open AI，讓AI客服回到旅客搭乘捷運相關問題的應答功能。</p> <p>台北捷運是在2022年11月推出AI智慧客服，提供乘車旅客即問即答的客服服務，後續還提供事件通報功能，讓旅客可以通報飲料打翻、車站或車廂內有髒污等事件，北捷估計每月使用量超過10萬人次。今年3月，北捷AI智慧客服升級，串接Azure Open AI，讓旅客可以和AI智慧客服對話，提供搭乘台北捷運相關資訊。</p> <p>然而，有民眾近日測試後發現，北捷AI智慧客服功能遠不只如此，該民眾要求AI協助提供程式碼範例，AI客服雖然沒有提供完整程式碼，但仍提供一段程式碼範例，該民眾在Threads發文後，在網路上發酵，吸引不少網友跟進測試，以各種不同請求測試AI客服，甚至釣出AI客服的應答規則，更有人調侃網友熱心幫台北捷運AI客服除錯。</p> <p>下圖截自Threads：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Threads-600.jpg" style="width: 600px; height: 711px;" /></p> <p>台北捷運表示，接到通報後，已要求廠商立即斷開串接Azure Open AI功能，回歸到提供旅客常見問答題庫，以回應旅客詢問，目前旅客詢問捷運相關資訊，像是首末班車諮詢、遺失物協尋服務等等皆正常服務。</p> <p>由於事件發生後，吸引大批網友測試，導致該服務使用的Token量爆增，可能導致使用生成式AI費用激增，對此，台北捷運強調，接到通報後已立即要求廠商斷開串接Azure Open AI，因發現異常即立即處置，並無明顯費用產生。</p> <p>台北捷運初步研判原因為，網友以程式語言測試捷運AI智慧客服，超出原先設定的資料庫範圍，系統透過Azure OpenAI回應，因此台北捷運立即要求廠商斷開串接功能，回到北捷已建置的旅客常見問題應答。</p> <p>由於沒有對民眾提出的問題請求設限，擋掉和台北捷運旅客服務以外的無關問題，如果長時間遭到外界濫用，可能導致生成式AI鉅額的收費外，有心人士可能測試各種提問方式，還可能設法騙取AI客服回應企業內的敏感資料，可能衍生出資安的風險。</p> <p>對此，台北捷運回應，此次雖然一發現異常就立即處置，所幸沒有明顯費用產生，但後續將邀請相關單位召開會議，研議AI智慧客服精進做法，並請廠商提出檢討報告，由台北捷運公司的資安長督導應用單位建立檢核機制。</p> <p>生成式AI帶動一波AI應用浪潮後，不少公司期待運用生成式AI帶來的效益，特別是在客戶服務方面，因少子化缺工問題，為減輕真人客服的工作壓力，導入生成式AI精進AI客服能力，此次台北捷運AI智慧客服，反映企業使用生成式AI對外提供服務，類似應用在上線前應該謹慎檢測，避免使用者提出服務以外的請求，可能導致被濫用，甚至產生資安的風險。</p> </div></div></div>
2024/11/25 17:36作者蘇文彬https://www.ithome.com.tw/news/166191
GovTech月報第35期：政府以微波、非同步軌道衛星強化離島通訊韌性；美國底特律市擬開放民眾使用加密貨幣付稅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1022~1122)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位韌性</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">衛星</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>政府以海纜、微波、衛星多元通訊加強金門等離島通訊韌性</strong></span></p> <p>數位部推動我國通訊數位韌性，近期在金門展示成果，除了繼續拓展海纜通訊之外，還結合微波、非同步軌道衛星來強化離島地區的通訊韋韌性，降低天災或緊急狀態造成通訊服務中斷的風險。</p> <p>相較於臺灣本島，金門、馬祖等離島因距離臺灣較遠，常因為地震、颱風或是漁船等人為原因造成海纜發生故障，影響當地的網路通訊服務，例如去年馬祖就曾因為與臺灣間的兩條海纜發生故障，影響當地民眾生活，金門也曾因為海纜發生異常，影響民眾生活。</p> <p>政府通過經費補助鼓勵電信業者加強離島地區建置多元通訊網路，以金門為例，除了寬頻海纜建置之外，還結合無線微波，微波容量達3.5Gbps，數位部並且和金門縣政府合作，測試以OneWeb低軌衛星通訊，在緊急狀態導致一般通訊服務中斷下，提供縣府基本、安全的通訊服務。</p> <p>以寬頻網路為基礎，發展數位應用，以縮短離島與本島間的數位落差，例如運用高速寬頻網路、5G，展示遠距AI診間、5G遠距醫療，以強化醫療資源不足的外島地區就醫需求，還發展古蹟智慧導覽、智慧教育等應用。</p> <p>利用寬頻通訊網路展示古蹟智慧導覽服務：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(4).jpg" style="width: 600px; height: 505px;" /></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">加密貨幣</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">稅費</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>美國底特律市開放民眾以加密貨幣付稅</strong></span></p> <p>美國的底特律市近期宣布將開放民眾透過PayPal管理的安全平臺，以加密貨幣來支付政府的稅款或其他規費，加上近期美國各州指控聯邦政府干預加密貨幣過嚴，以及即將上臺的川普政府支持加密貨幣，預示美國可能大力擁抱加密貨幣。</p> <p>底特律市政府財政辦公室近期指出，民眾可以選擇使用加密貨幣繳納市政府稅費，這項新政策將使這座密西根州最大城市，成為美國至今接受加密貨幣繳交政府稅費的最大城市，底特律市政府計畫在2025年中開始推出，伴隨該服務的開放，也需要更新市政府的支付服務。</p> <p>隨著拜登政府即將下臺，川普政府即將上位，新舊政府即將交替之際，美國18個州日前組成聯盟，狀告美國證券交易委員會（SEC）過度監管各州推動加密貨幣法令；與此同時，外傳川普上任後，將會在聯邦政府設立加密貨幣相關的管理單位，種種跡向顯示美國可能改變對加密貨幣的政策立場，轉而擁抱加密貨幣。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">5G</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AIoT</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>臺南市污水處理廠導入5G及AIoT，以水質智慧化管理強化供水韌性</strong></span></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/a-600.jpg" style="width: 600px; height: 400px;" /></strong></span></p> <p>臺南市政府在水資源管理積極導入新科技，近期市府與國發會合作，以永康水資源回收中心作為水資源智慧管理的示範場域，結合5G專頻專網及AIoT，強化水質即時監控管理，以提供南科園區半導體產業穩定的水資源。</p> <p>永康水資源回收中心將民生污水處理廠與再生水廠合併設計，位於臺南市永康地區，佔地約9.67公頃，民生使用過的污水經過處理後，再生水再透過管道提供南科園區使用，為臺南市建立水資源管理及供水韌性的重要一環。</p> <p>該座水質源回收中心利用5G專頻專網來建置IoT網路，在水質監控的「前哨」，於關鍵位置建置感測器，以提前30分鐘預先感測水質變化，並建立相關的辨識系統，以辨識大型垃圾或是油脂、水位高低，以掌握進水狀況，當發現異常時，立即向管理單位發送警示，此外，也利用生成式AI學習專家知識，提供相關的處理建議，加快應變速度；感測數據上傳至區塊鏈，確保數據的真實性。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">生產效率</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>澳洲政府測試導入生成式AI，平均可為公務人員每天節省1個小時</strong></span></p> <p>澳洲政府去年開始測試公共服務部門使用生成式AI，測試為期半年時間，近期評估報告指出，參與測試的公務人員每天平均可節省1個小時，提升行政效率。</p> <p>澳洲公共服務部門（APS）是在去年11月開始測試計畫，導入Microsoft Copilot 365，約有60多個政府部門，共7,600名公務人員參加測試，經過6個月的測試使用，參與的公務人員運用生成式AI工具，所節省的時間主要在於任務型的工作，例如作筆記、製作會議記錄，以及其他行政作業上的工作。</p> <p>另外，超過7成的參與者對使用AI工具感到滿意，近7成的人認為使用AI工具加速他們的工作，約6成的人則認為提升工作品質；不過，該報告也發現雖然帶來節省時間的好處，但也需要花費時間檢視AI產生的內容是否有錯誤，同時在測試中也發現在AI訓練中社會偏見影響政府服務，AI模型可能複製偏見，導致產生不公平的內容或建議，例如可能偏向西方價值觀，錯誤運用原住民文化及資訊。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">詐騙</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>行政院明年將提出打詐行動綱領2.0，加強運用AI工具防詐</strong></span></p> <p>為遏止詐欺盛行，行政院繼完成打詐專法「詐欺犯罪危害防治條例」，加重詐欺刑責，並配套修法三法，從源頭加強管理，防止詐騙集團利用金融、網路、電信進行詐騙，行政院透露明年計畫提出新世代打擊詐欺策略行動綱領2.0，其中一項手段是運用AI工具防止詐騙，預計於明年1月實施。</p> <p>研擬中的打詐行動綱領2.0將交由數位部統籌，聚焦在數位經濟產業治理，包括運用AI、深化跨境合作、監管關鍵產業、加強被害保護等重點，並建立提升防詐意識、減少發生數、降低財損數3大目標。</p> <p>事實上在今年，政府已開始運用AI技術投入防詐工作，例如數位部資安院研發運用AI技術的廣告自動化巡檢技術，用以自動巡檢大量的廣告，每月可檢測超過50萬筆廣告，當偵測到詐騙廣告，後續通報處理，宣稱其AI偵測詐騙廣告準確度達93％。行政院明年提出新世代打詐行動綱領2.0，預期將加速發展AI工具投入防詐工作。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">區塊鏈</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位債券</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>英國以區塊鏈技術推動數位政府債券試驗</strong></span></p> <p>英國政府正計畫運用區塊鏈技術推動數位政府債券，運用分散式帳本技術來提升英國政府金融部門的透明度及效率。</p> <p>該國正在諮詢相關專家，嘗試以區塊鏈為基礎打造數位債券，將分散式帳本技術整合到政府的財務運作，英國政府希望以此探索創新的公共債務管理方式，並且提高交易的自動化、透明度，該項試驗由英格蘭銀行與金融監管部門在數位證券的沙盒中進行。</p> <p>在此之前，英國央行原本對加密貨幣提出質疑的態度，然而在新的數位債券試驗中，可以看到英國央行對區塊鏈技術的應用抱持興趣，此舉也呼應世銀、歐洲投資銀行對採用區塊鏈發行債券的趨勢。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">管理</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size: 22px;"><strong>紐西蘭提出數位身分服務信賴框架</strong></span></p> <p>紐西蘭政府近期確定該國的數位身分服務信賴框架，明確提出可被信賴的數位身分服務應遵守的規範，涵蓋個人隱私及安全，以增加民眾對於使用數位身分服務的信賴，自主管理他們的個人身分資訊。</p> <p>紐西蘭的數位化政府部表示，民眾希望能夠透過線上，以安全可靠的方式來完成他們每天的工作。該信賴框架為未來紐西蘭政府推動數位身分服務預先鋪路，未來預期可能出現的數位身分服務包括數位駕照、銀行ID或特定的產業證照。</p> <p>紐西蘭政府指出，數位身分服務可以讓人們不再需要提供重要紙本證件的掃描或影本，民眾自主選擇分享哪些資訊，與哪些服務提供者分享。而透過該信賴框架，透過數位皮夾或App來使用第三方服務，分享的身分資訊受到加密保護，且服務提供者取得身分資訊的前提是要取得民眾的同意。另外，數位憑證由民眾持有，發行憑證單位不會知道或監控民眾如何使用憑證。</p> <p> </p> <p>圖片來源／金門縣政府、臺南市政府、台灣大哥大</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.波蘭計畫投入2.3億歐元發展AI，包括在地化LLM</strong></p> <p><strong>2.阿拉伯將導入IoT技術，為政府機關大樓節省用電、用水</strong></p> <p>資料來源：iThome整理，2024年11月</p> </div></div></div>
2024/11/25 17:36作者蘇文彬https://www.ithome.com.tw/news/166170
出現命名意圖與兩大AI平臺混淆的可疑開發套件，目的是散播竊資軟體JarkaStealer
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI當紅，許多開發者加入運用這類工具的行列，但駭客也伺機而動，企圖假借相關名目散布惡意軟體。</p> <p>資安業者卡巴斯基指出，他們在PyPI套件庫當中，<a href="https://www.kaspersky.com/blog/jarkastealer-in-pypi-packages/52640/">發現2個惡意套件</a>，提供這些套件的人士聲稱，一旦安裝之後，開發人員就能使用這些程式庫與熱門的大型語言模型（LLM）協同合作。但實際上，對方其實是濫用展示版本的ChatGPT掩人耳目，真正的目的，就是要在開發人員的電腦植入竊資軟體JarkaStealer。</p> <p>值得留意的是，這些套件上架超過一年，約有逾30國、1,700個使用者下載、安裝。</p> <p>其中一個套件名為gptplus，開發者號稱能從OpenAI存取名為GPT-4 Turbo的API；另一個稱做claudeai-eng，開發者宣稱能從Anthropic PBC存取Claude AI的API。</p> <p>雖然兩者聲稱的功能有所不同，但研究人員發現，對方都提供了範本，解釋如何與語言模型建立聊天頻道並傳送訊息。然而實際上，這些套件將會與ChatGPT的展示代理伺服器進行互動，使得受害者誤以為套件具備開發者標榜的功能。</p> <p>將套件的__init__.py檔案內容進行解析，他們發現這些套件執行後，會解密特定的內部資料，從程式碼儲存庫GitHub下載JavaUpdater.jar，最終解開得到惡意軟體JarkaStealer。特別的是，駭客還會檢查電腦是否部署了Java執行環境（JRE），假如沒有，還會自動從雲端儲存空間Dropbox下載、安裝，而目的就是要執行埋藏於JAR檔案裡的竊資軟體JarkaStealer，以便在無法偵測的狀態下竊取資料。</p> <p>而對於這款竊資軟體的來歷，研究人員指出是由慣用俄文的開發者製作，具備從各種瀏覽器竊取資料的能力，或是從Telegram、Discord、Steam等應用程式盜竊連線階段（Session）的Token。此外，攻擊者還能中斷受害電腦的瀏覽器運作，以便搜尋瀏覽器存放的特定資料。</p> </div></div></div>
2024/11/25 16:12作者周峻佑https://www.ithome.com.tw/news/166188
英國將在明年訂定加密貨幣的監管框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>彭博社（Bloomberg）上周<a href="https://www.bloomberg.com/news/articles/2024-11-21/uk-to-unveil-long-awaited-crypto-stablecoin-rules-early-in-2025?embedded-checkout=true" target="_blank">報導</a>，英國財政部經濟事務大臣Tulip Siddiq 在上周舉行的代幣化高峰會（The Tokenisation Summit）上透露，英國將在明年初公布外界期待已久的加密貨幣及穩定幣的規範，制定單一的加密貨幣監管框架。</p> <p>Siddiq說，前保守黨政府原本預計在今年夏天，通過與穩定幣及質押有關的加密貨幣法案，但因大選而延後。保守黨在英國今年7月的大選中敗給了工黨，工黨指派的財政大臣為Rachel Reeves，Siddiq則是經濟事務大臣，負責金融相關政策的制定與推行。</p> <p>根據新政府的規畫，穩定幣不再被納入現有的支付服務法規中，因為現有法令並不適用於穩定幣，而是要建立一個統一的加密貨幣監督框架，以跟上美國與歐盟的行動，並吸引相關產業。</p> <p>英國國會在今年9月便曾<a href="https://www.gov.uk/government/news/new-bill-introduced-in-parliament-to-clarify-cryptos-legal-status" target="_blank">提出</a>一項納入了數位資產的財產法案，是英國首次將加密貨幣、數位藝術等非同質化代幣（NFT），以及碳權等數位資產視為個人財產。</p> </div></div></div>
2024/11/25 14:27作者陳曉莉https://www.ithome.com.tw/news/166185
「零信任博士」的實踐觀察，揭示零信任挑戰與應用未來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>零信任架構（ZTA）在美國政府的推動下，已經成為全球政府與企業積極推動的網路安全架構，臺灣從政府到企業也非常認同零信任架構。在這個理論推動的過程中，除了有零信任架構的提出者、現任Illumio傳道士John Kindervag，各界稱之為「零信任之父」外，另外也有被譽為「零信任博士」（Dr. Zero Trust）的Dr. Chase Cunningham。</p> <p>Chase Cunningham不僅是零信任架構的支持者，也同時是推動零信任架構的實踐者，而其軍事背景出身，曾經在美國國家安全局（NSA）、海軍、聯邦調查局（FBI）等單位累積實戰經驗，並陸續在許多企業擔任網路安全顧問，有利於將零信任架構轉化成為實際可用的策略框架。</p> <p>Chase Cunningham日前來臺參加「零信任架構實踐高峰論壇」的媒體專訪時表示，零信任架構的核心原則是「永不信任，始終驗證」（Never Trust、Always Verify），這一原則徹底顛覆了傳統網路安全模型中對內部邊界的信任假設。他指出，隨著數位化轉型、雲端技術的普及以及第三方供應商的依賴，對傳統的「信任邊界」模式已經不再適用，企業需要重新定義網路安全的基石。</p> <h2><strong>零信任架構改變傳統資安對內部邊界的信任</strong></h2> <p>面對網路威脅日益複雜，零信任架構成為一項革命性的安全框架，Chase Cunningham表示，零信任的基礎原則「永不信任，始終驗證」則打破傳統網路安全的信任假設，也徹底改變傳統資安模型──側重於保護明確的內部邊界、假設外部威脅為主要風險的理念。</p> <p>Chase Cunningham認為，零信任架構是「重新定義網路安全的基石」，取消對任何內部或外部用戶、設備的預設信任，顛覆了企業對「信任」的傳統認知，強調所有的存取操作，都必須基於客觀驗證和持續的風險評估。</p> <p>而隨著企業數位化轉型、遠距辦公的普及、雲端技術的使用，以及第三方供應商的普遍，Chase Cunningham指出，傳統的「信任邊界」（Trust Boundary）模式已經變得越來越模糊，甚至難以識別。</p> <p>他進一步解釋，零信任架構的基本原則有三點，「永不信任，始終驗證」指的是：所有進入網路的請求都必須經過驗證和授權，無論來源是內部還是外部；「最小權限原則」僅允許用戶和設備存取完成任務所需要的最低權限，防止多餘權限導致安全風險；而「動態調整與持續監控」則意味著：通過即時檢測和動態調整存取策略，快速應對潛在威脅。</p> <p>Chase Cunningham也觀察到，內部攻擊和員工疏忽所造成的安全事件頻率，已經遠遠高於外部攻擊；加上勒索軟體和社交工程攻擊手段的進步，傳統防火牆早已無法應對日益增加的進階持續性威脅（APT）；而攻擊者一旦進入內部網路，可以在未隔離的系統中橫向移動，更容易獲取敏感的資料。</p> <p>加上，許多企業依賴外部供應商，但這些供應商的安全防護能力參差不齊；甚至於，許多監管機構已將零信任納入其標準，例如，美國的行政命令則要求，所有政府機構都要採用零信任架構，特別針對重要關鍵基礎設施領域。</p> <h2><strong>推動零信任架構面臨的四大挑戰</strong></h2> <p>對於推動零信任架構的過程中，Chase Cunningham坦言，其中的確面臨一些挑戰。首先，他表示，零信任架構需要整合多種技術，像是身分驗證、網路分割、即時威脅監控等，最明顯的就是，許多企業現有的基礎設施並不支持這些功能。</p> <p>例如：身份驗證系統的不足，部分企業仍依賴弱密碼和單因子驗證，無法滿足零信任的高標準；加上網路架構的複雜性，導致企業內部缺乏清晰的資產分段與隔離，導致橫向攻擊無法被及時阻止。</p> <p>而許多關鍵基礎設施內部的系統老舊，許多小型企業缺乏足夠資源等，加上許多企業內部的系統缺乏互通性，都使得系統整合愈形困難，這也造成零信任政策難以全面實施推動。</p> <p>其次，零信任的實施方法不僅需要技術支持，更需要企業文化的配合，Chase Cunningham特別提到，零信任強調的雖然是「不預設信任」，這並不意味著企業對員工不信任，而是基於風險管理的必要性。</p> <p>他強調，零信任是一種風險管理工具，並不涉及對員工的道德或能力評價，而是針對行為的安全管理策略，所以，為了避免引發員工牴觸零信任推動的情緒，成功的零信任實施，需要高層領導的支持和全體員工的協作，企業應通過教育和溝通，幫助員工理解零信任的真正價值。</p> <p>他也將零信任比喻作一艘船的防水艙設計，船艙之間的隔離，能防止單個船艙破損後則導致整艘船沉沒，這種類比，強調零信任架構可以防止整個企業在網路攻擊中「沉沒」，展現了在保持企業營運完整性的同時，也做到隔離脆弱性的必要性。「這種分隔設計，很精準詮釋了零信任的精髓。」他說。</p> <p>第三點則是，零信任架構的部署往往需要投入大量資金，特別是對於需要升級基礎設施、或重新設計網路架構的企業來說，這是一項長期投資，許多中小型企業在資金和專業知識方面的匱乏，更使得實施進程更加緩慢。</p> <p>因此，Chase Cunningham建議，企業需要在現有預算下尋找成本與效益的平衡點，可以從高風險領域（如資料存取）入手，逐步擴展零信任的覆蓋範圍。</p> <p>最後，Chase Cunningham認為，外界將零信任視為產品而非全面的安全架構，是最大的誤解，也是最難的挑戰。他進一步表示，許多企業將零信任視為一種「產品」或單一解決方案，但事實上，零信任其實是一個綜合性的安全架構，並無法通過購買單一工具來實現。「企業需要根據自身需求設計適合的零信任策略，並選擇合適的技術進行實施。」他說。</p> <h2><strong>實施零信任架構的五步驟</strong></h2> <p>為了幫助企業成功部署零信任架構，Chase Cunningham提出了五步驟的實施框架，從身份驗證到數據保護，涵蓋了零信任的所有核心要素，作為實施零信任的必要措施。</p> <p>因為實施零信任是一個系統性工程，透過分步驟的實施框架，也可以幫助企業按照清晰的策略逐步推進。他強調，零信任不是一種單一技術，而是一種持續演進的安全模式，因此企業需要根據自身情況，靈活設計部署計劃。</p> <p><strong>步驟 1：身份驗證與存取控制（IAM）</strong></p> <p>身份驗證是實施零信任架構的核心起點，目的是確保每個存取請求，都是來自經過驗證的用戶或設備。</p> <p>目前常見的身分驗證技術可以使用多因素認證（MFA），使用密碼加上另外的生物識別技術（例如指紋或是臉部識別），為傳統的密碼身分驗證方式，增加額外的驗證機制；另外，FIDO（Fast Identity Online，FIDO）網路身分識別技術，減少對傳統密碼的依賴，提升身分驗證效率和安全性。</p> <p>此外，也要針對設備進行驗證，不僅驗證人員身份，還要確保設備的合法性及設備健康狀態，以防止被感染的設備進入企業內部網路。</p> <p><strong>步驟 2：網路分割（Segmentation）</strong></p> <p>網路分割是限制威脅擴散的有效手段，Chase Cunningham指出，可以透過微分割（Micro-segmentation）的方式，將網路切分為小範圍的隔離區域，限制橫向移動，例如，敏感數據伺服器可以單獨隔離，確保即使某一區域被攻陷，其他部分仍然安全，可以防止攻擊者在系統內部進一步擴散。</p> <p>另外，也可以使用基於角色的存取控制（Role-based Access Control，RBAC），這是一種基於用戶的角色（Role）來分配存取權限，這些角色通常與用戶的職責或工作職位相關，而不是直接分配給個別用戶的作法，限制系統或網路中的用戶存取權限，確保用戶僅能存取其職責範圍內的資源，做到細粒度的存取控制</p> <p>RBAC是零信任架構中不可或缺的一部分，它的角色導向存取控制方法為組織提供了一種既高效又安全的權限管理方式，可以做到支持動態以及更精細化的資源保護。</p> <p><strong>步驟 3：即時監控與動態策略</strong></p> <p>零信任要求持續監控所有存取操作，根據風險情況動態的即時調整存取控制策略，並能即時回應異常行為，可以使用AI和機器學習技術來分析行為模式，做到快速識別和阻止潛在攻擊。</p> <p>例如，利用人工智慧和機器學習分析行為異常，快速識別可能的攻擊行為，做到即時威脅檢測；另外，也可以結合NIST SP800-207標準框架，根據存取行為、地點和時間的變化，動態更新調整存取權限。</p> <p><strong>步驟 4：資料保護</strong></p> <p>資料是企業的核心資產，Chase Cunningham認為，資料保護是零信任的最終目標，但也是最具挑戰性的部分。因此，他建議企業應該對資料進行分類，並且根據資料的敏感度採取不同的加密和存取策略。</p> <p>像是對於動態和靜態資料進行加密，可以確保資料傳輸和儲存的安全性外，也要做到將資料分類與標籤，針對機敏資料採取更嚴格的保護措施。</p> <p><strong>步驟 5：協作與自動化</strong></p> <p>Chase Cunningham強調協作（Orchestration）是零信任成功的關鍵之一，企業需要整合不同的安全技術，要透過自動化流程減少人為錯誤，藉由自動化工具實現高效的協同操作。</p> <p>他表示，可以利用遙測技術（Telemetry）收集和分析網路活動資訊，利用可視化工具掌握整體環境；更可以利用自動化技術，快速回應安全事件，減少攻擊損害。Chase Cunningham強調協作（Orchestration）的重要性，指出多層面的安全整合若未能有效協同，將導致防護失敗，而有效的協作依賴於適當解決方案的實施、可視性分析和遙測。其中，NIST SP800-207框架的一個關鍵要素是：確保安全政策如預期運作，進一步突顯了協作在網路安全策略中的重要性。</p> <h2><strong>推動零信任，有助深化各行業資料和系統安全</strong></h2> <p>隨著技術的發展，零信任的應用不再局限於少數高風險行業，而是成為普遍適用的框架。Chase Cunningham提到，美國聯邦政府已經將零信任作為政策核心，要求各機構遵守零信任架構，而且企業和政府機構正在逐步理解零信任的全貌，將其從單純的概念轉變為可實施的安全戰略。</p> <p>不過，他也觀察到，零信任架構在臺灣仍然處於初步推動的階段，關鍵原因在於，企業高層（例如董事會、執行長）對於零信任架構的理解有限、對其重要性認識不足，才會導致實施的過程進展緩慢。</p> <p>然而，臺灣的高科技製造業與金融業因為遭受到頻繁的網路攻擊，對資安的需求也較其他產業急切，Chase Cunningham建議，這些行業都是可以率先落實零信任架構的產業，也可以通過示範案例，帶動其他行業的跟進應用；政府的支持同樣重要，尤其是在政策與資源分配上，也可以對推廣零信任架構提供更多助力。</p> <p>Chase Cunningham舉例，金融行業是零信任應用的典範，因為涉及大量的敏感資訊，例如客戶個資、交易記錄等，其中，銀行和支付機構也需要更高的安全標準。</p> <p>所以上述這些單位也會在每次教疫後採用動態身分驗證，結合多因素驗證以及行為與生物識別方式，以防止未經授權的交易。另外，也會採用微分割（Micro - segmentation）技術，隔離不同類型的交易，以降低高風險交易的影響範圍。</p> <p>因為醫療行業有更多病人的敏感性個資，落實零信任架構則可以保護病患隱私。例如，透過零信任架構，協助醫院針對電子病歷（EMR）採取更嚴格的存取控制，只有經過授權的醫生和相關人員，可以檢視病患的個資；再者，當醫院的社辦開始連網後，也可以透過零信任架構檢查設備的健康狀態，可以防止被惡意程式感染。</p> <p>另外就是可以在政府機構落實零信任架構，他表示，美國聯邦政府已經在行政命令中要求，所有政府機構都要採用零信任架構，以應對關鍵基礎設施（CI）面臨的安全威脅。</p> <p>而且，落實零信任架構還可以促進不同政府部門之間的信任度，例如，國防部和內政部需要共享資料時，因為已經嚴格限制只有經過授權人員可以存取，也同時確保資料的安全性。</p> <p>此外，政府也可以透過零信任架構，隔離敏感資料並作分割處理，這樣的作法也可以確保，即便有一部分系統遭到駭客攻擊時，仍可以確保其他資料的安全性。</p> <h2><strong>零信任與AI結合是未來發展趨勢</strong></h2> <p>Chase Cunningham預測，零信任的未來將與人工智慧（AI）深度結合，將在技術與應用層面持續深化。</p> <p>他表示，AI技術能即時分析網路流量和行為模式，快速檢測並回應異常活動；AI技術也可以根據用戶行為、自動化判斷風險等級，動態更新存取政策，減少人為干預；機器學習將提高威脅檢測的準確性，尤其是針對資料流的監控。</p> <p>隨著更多國家接受零信任的理念，其框架將逐步成為國際標準，他說：「特別是在高科技製造業以及跨國企業，零信任架構將成為抵禦供應鏈攻擊的標配。」隨著技術成本下降，他也強調，未來零信任的普及範圍將不再侷限於大型企業，許多中小企業也可以選擇更具性價比的解決方案。</p> <p>此外，包括美國、澳洲等國家都將零信任架構，列為國家級的安全策略核心，政策推動更將朝向全球化；隨著全球更多國家採用零信任，其標準化進程將進一步加快，讓更多企業和機構受益。</p> <p>隨著AI和自動化技術的進一步發展，零信任將變得更加智能、高效，並將成為不可或缺的資安基石。Chase Cunningham指出，零信任不僅是一種技術框架，更是一種改變企業安全文化的工具，而零信任的核心則在於：通過更精細的身份驗證和存取控制，創造一個風險最小化的安全環境。</p> <div id="haloword-content"> </div> <div class="ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/11/25 14:44作者黃彥棻https://www.ithome.com.tw/news/166187
【資安週報】1118~1122，中國駭客組織持續攻擊全球，發起間諜行動與零時差漏洞利用等攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月第3周的資安新聞中，在威脅態勢方面，最重要是中國駭客鎖定電信業者的間諜行動，後續消息不斷，不只是多家美國電信業受害，其他國家電信業也傳出遭攻擊，如今資安業者CrowdStrike公布最新研究證實此事，指出中國駭客Liminal Panda也入侵南亞、非洲電信業者。</p> <p>此外，11月中旬適逢黑色星期五行銷活動前夕，以這項活動為誘耳、騙取信用卡及個資的網釣威脅揭露，一直是每年這個時間的新聞焦點，而最近一起攻擊行動的發現中，顯現是中國駭客SilkSpecter主導。</p> <p>另要關注的是，中國駭客組織是近期零時差利用的主要威脅來源之一。繼上星期我們報導資安業者BlackBerry揭露APT41的近期行動，後續資安業者Volexity揭露該群駭客組織的最新手法，指出發現利用FortiClient零時差利用情形並通報對方（尚未登記CVE），用戶需多加偵測並注意廠商的修補與緩解。</p> <p>在漏洞消息方面，有多達6個零時差漏洞利用情形，涵蓋資安產品、企業產品，與消費端裝置，這些漏洞已被攻擊者利用，用戶應儘速更新並清查是否遭入侵，尤其Palo Alto Networks的漏洞，Shadowserver基金會追查發現全球約有2千臺防火牆疑似遭入侵，臺灣也有58臺。<br /> ●Palo Alto Networks針對旗下防火牆修補2個已出現攻擊行動的零時差漏洞，分別是CVE-2024-0012 、CVE-2024-9474。<br /> ●Oracle針對旗下產品生命週期管理Agile PLM產品，修補已遭利用的零時差漏洞CVE-2024-21287。<br /> ●臺廠奇偶科技多款已終止支援的視訊監控設備，發現零時差漏洞CVE-2024-11120被鎖定利用的情形，用戶應汰換設備因應。<br /> ●蘋果修補2個已遭利用的零時差漏洞CVE-2024-44309、CVE-2024-44308，尤其Intel處理器的Mac電腦用戶最要注意。</p> <p>還有3個已知漏洞，近期被發現有駭客鎖定利用，包括Progress今年2月修補Kemp LoadMaster負載平衡設備的CVSS滿分重大漏洞CVE-2024-1212，以及VMware今年9月修補vCenter Server的漏洞CVE-2024-38812、CVE-2024-38813。</p> <p>至於資安事件方面，這一星期國內有3家上市櫃公司資安重訊，涵蓋網通、電腦周邊設備與電子零組件業。<br /> ●電信寬頻設備大廠中磊代子公司Sercomm Philippines發布重訊，說明該菲律賓公司有部份資訊系統遭受駭客網路攻擊。<br /> ●印表機製造商誠研發布資安重訊，說明部份資訊系統遭受駭客網路攻擊。<br /> ●電子零組件業晟楠發布資安重訊，說明外部伺服器遭受駭客攻擊。<br /> ●上星期國巨代美國子公司發布資安重訊，由於事故發生日是在10月12日，等於事發相隔一個月才公布，證交所開罰5萬元。<br /> ●美國汽車大廠福特傳出4萬多筆顧客資料外洩，先是有駭客在地下論壇兜售，後續該公司表示資料是從第三方業者流出。</p> <p>在資安防護發展方面，我們看到AI治理與個資法的議題，分別是全球與臺灣關注資安風險的重點。首先，BSI揭露國際趨勢與展望，指出AI引發的「錯誤資訊與假消息」，已經被世界經濟組織（WEF）列為近兩年10大風險之首，同時強調AI系統管理標準ISO 42001與AI治理力的重要性，以及國內企業需掌握到國際間對「董事會義務」的高度重視。</p> <p>其次，在臺灣，關於個人資料檔案安全維護管理辦法有新重要變動，過去政府已規範多個產業，包括數位經濟相關產業、製造業及技術服務、綜合商品零售業等。近日焦點在於「綜合零售業」更名「零售業」，且擴大列管的範圍，涵蓋所有資本額達到1千萬元的零售業，包含服飾業者Uniqlo、NET，以及全國電子等約有6,800家零售業者。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/166067"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月18日】中國駭客利用FortiClient零時差漏洞存取VPN，入侵受害組織網路環境洞</span></strong></a></h3> <p>上週二資安業者BlackBerry揭露對於間諜軟體LightSpy攻擊行動的最新調查結果，指出攻擊者的身分是中國駭客APT41，並提及另一款模組化的惡意程式框架DeepData Framework，事隔3日，有研究人員透露更多關於該框架的外掛模組功能細節，其中最引起他們注意的是，專門針對FortiClient用戶端程式零時差漏洞而來的外掛元件。</p> <p>值得留意的是，這項漏洞的修補狀態並不明朗，後續發展相當值得觀察。</p> <h3><a href="https://www.ithome.com.tw/news/166099"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月19日】中國駭客鎖定想趁機撿便宜的黑色星期五購物者發動網釣攻擊</span></strong></a></h3> <p>經過雙11購物潮，緊接著由歐美國家發起的黑色星期五（Black Friday）也即將於月底展開，但在此同時，駭客盯上想要藉此買到大幅折扣商品的購物者，企圖偷取他們的信用卡與詳細個資。</p> <p>威脅情報業者EclecticIQ揭露中國駭客發起的網釣攻擊行動，就是典型的例子。駭客聲稱商品只需2折就能買到，一旦購物者依照指示下單，就會將自己的資料傳送給駭客。</p> <p><a href="https://www.ithome.com.tw/news/166119"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月20日】勒索軟體Helldown潛入受害組織，管道是兆勤防火牆的弱點</span></strong></a></p> <p>本週資安業者Sekoia針對勒索軟體Helldown的攻擊行動提出警告，指出這些駭客從原本針對Windows進行加密，如今也開發了破壞VMware ESXi虛擬化平臺的檔案加密工具。</p> <p>值得留意的是，這些駭客潛入受害組織的方法，是利用兆勤防火牆的漏洞，駭客聲稱他們也成功入侵該公司的歐洲分公司，對此我們試圖聯繫兆勤科技，但在今天資安日報截稿之前，我們尚未得到他們的回應，目前無法進一步證實此事。</p> <h3><a href="https://www.ithome.com.tw/news/166142"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月21日】中國駭客鎖定南亞及非洲一帶一路國家的電信業者從事間諜活動</span></strong></a></h3> <p>這2個月，中國駭客Salt Typhoon鎖定美國電信業者發動攻擊，從而竊取特定政治人物的通話內容，不斷有消息浮出檯面，但值得留意的是，中國駭客並非只針對美國而來，其他國家也有電信業者受害的情形。</p> <p>例如，中國駭客Liminal Panda針對南亞、非洲電信業者下手，活動已長達4年。值得留意的是，受害電信業者所屬國家，都剛好參與中國的一帶一路計畫，因此研究人員認為，這些攻擊很可能與國家利益有關。</p> <h3><a href="https://www.ithome.com.tw/news/166161"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月22日】駭客疑似利用零時差漏洞入侵2千臺Palo Alto Networks防火牆</span></strong></a></h3> <p>資安業者Palo Alto Networks在2週前發出不尋常的警告，指出他們得知有人掌握一項漏洞，呼籲用戶要限縮管理介面的存取管道因應，到了本週，該公司公布漏洞細節，並指出有一定數量的防火牆遭到攻擊。</p> <p>但究竟有多少防火牆受害？這幾天Shadowserver基金會表示，約有2千臺防火牆疑似遭到入侵，值得留意的是，雖然多數受害設備位於美國、印度，但臺灣也有災情。</p> </div></div></div>
2024/11/25 09:55作者羅正漢https://www.ithome.com.tw/news/166180
資安業者揭露俄羅斯駭客APT28的Nearest Neighbor攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Volexity上周<a href="https://www.volexity.com/blog/2024/11/22/the-nearest-neighbor-attack-how-a-russian-apt-weaponized-nearby-wi-fi-networks-for-covert-access/" target="_blank">揭露</a>了俄羅斯駭客組織APT28一起精心設計的攻擊行動「Nearest Neighbor Attack」，由於APT28打算要攻擊的A組織在各個公共服務採用了多因素身分驗證（MFA），使得APT28最終選擇攻陷A組織的各個鄰居，再藉由鄰居的電腦入侵A組織未執行MFA的Wi-Fi網路。</p> <p>這起攻擊事件發生在2022年2月，正巧是俄羅斯入侵烏克蘭的前夕，APT28的目的是蒐集A組織中涉及烏克蘭的個人或專案資料。</p> <p>調查發現，APT28先針對A組織的對外服務發動密碼潑灑攻擊，儘管已經取得了帳號及密碼，卻無法通過這些服務的多因素身分驗證，於是轉向較少採用MFA的Wi-Fi網路，然而，APT28與A組織之間有半個地球的距離，使得APT28決定從A組織的鄰居們著手。</p> <p>APT28成功入侵了A組織附近的多個組織，這些組織的辦公室離A組織很近，而且可以連到A組織的Wi-Fi 網路，在控制其鄰居的某臺電腦之後，就能以已知的憑證登入A組織的Wi-Fi 網路。</p> <p>APT28的手法既複雜且精細，它們破壞了A組織附近的至少2個組織，以便串連使用這些組織的Wi-Fi網路及VPN連線，最終成功滲透到A組織的網路。</p> <p>Volexity指出，此一攻擊展現了物理上的鄰近性，如何成為網路滲透的重要工具，企業需要重新審視Wi-Fi網路的安全性，並採取更嚴格的控制措施，建議組織可以實施Wi-Fi 的MFA驗證，或是分隔Wi-Fi 網路及乙太網路，強化日誌紀錄，以及監控異常行為。</p> </div></div></div>
2024/11/25 11:27作者陳曉莉https://www.ithome.com.tw/news/166183
AWS再砸40億美元投資Anthropic
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon Web Services上周<a href="https://www.aboutamazon.com/news/aws/amazon-invests-additional-4-billion-anthropic-ai" target="_blank">宣布</a>，再投資AI新創業者Anthropic 40億美元以擴大合作，開發和部署進階AI系統，成為最主要投資法人。</p> <p>這是AWS繼今年3月<a href="https://www.ithome.com.tw/news/162016" target="_blank">完成</a>40億美元資金挹注後，再一次大手筆投資被視為OpenAI競爭對手的Anthropic。這次投資意謂Anthropic已獲得AWS 80億美元的資金，不過後者目前仍在Anthropic維持少數股東的地位。在其股東，另一科技大廠Google，也投資了Anthropic超過20億美元。</p> <p>AWS表示，這次擴大合作使AWS成為Anthropic主要訓練合作夥伴，AWS持續擔任Anthropic主要的雲端供應商，以及Amazon Bedrock持續提供Anthropic Claude AI模型外，在最新的合作下，Anthropic將運用AWS Trainium及Inferentia晶片，來訓練和部署未來的基礎模型。</p> <p>Anthropic<a href="https://www.anthropic.com/news/anthropic-amazon-trainium" target="_blank">說明</a>雙方合作Trainium軟、硬體研發的內容。目前Anthropic和AWS的Annapurna實驗室開發下一代Trainium加速器、以及專用機器學習硬體的能力。Anthropic正在撰寫低階核心，以便和Trainium晶片直接介接，並可偕同AWS Neuron軟體堆疊最佳化Trainium晶片效能，藉此訓練自家進階基礎模型。</p> <p>多家企業透過Amazon Bedrock平臺使用Claude。這些客戶包括藥廠輝瑞（Pfizer）、軟體公司Intuit、AI搜尋引擎開發商Perplexity、歐洲議會。此外，雙方本月稍早也<a href="https://www.ithome.com.tw/news/165912" target="_blank">宣布</a>合作，以AWS GovCloud提供美國政府Claude AI服務，並在AWS Secret及Top Secret Cloud Regions等高度控管環境下，提供Amazon SageMaker機器學習平臺。</p> <p>在AI實力競賽中，大廠持續加碼投資AI新創公司，其中OpenAI 10月才又<a href="https://www.ithome.com.tw/news/165304" target="_blank">獲得</a>來自微軟、軟銀及Nvidia等公司的資金66億美元。Mistral AI則分別獲得Databricks、<a href="https://www.ithome.com.tw/news/163305" target="_blank">思科</a>的投資。思科也另外投資了Cohere AI及Scale AI。Perplexity則有<a href="https://www.mobileworldlive.com/ai-cloud/telefonica-joins-big-hitters-with-perplexity-investment/" target="_blank">Telefonica</a>、Databricks和<a href="https://www.telecomtv.com/content/telcos-and-ai-channel/sk-telecom-invests-in-genai-search-startup-perplexity-50606/" target="_blank">SK Telecom</a>的投資。</p> </div></div></div>
2024/11/25 10:57作者林妍溱https://www.ithome.com.tw/news/166181
WebGPU邁向標準化，推動AI技術與圖形渲染效能升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WebGPU身負下一代高效能繪圖與運算API重任，吸引了企業與開發者的廣泛關注。由多家科技公司共組的WebGPU工作小組<a href="https://developer.chrome.com/blog/next-for-webgpu">會議</a>中，人工智慧應用技術被明確列為未來核心開發計畫重點。此行動不僅展現WebGPU在滿足現有需求上的技術支援，也顯示了其面對未來運算和人工智慧應用的前瞻應用性。</p> <p>WebGPU發展進度目前重點在於Milestone 0的推進工作，這是標準化過程中重要的一步，目的是要解決剩餘的技術問題，並為進入W3C候選推薦（Candidate Recommendation）作準備。要成為候選推薦，穩定性、跨平臺支援和智慧財產全保護皆需達到一定水準，根據與會成員的共識，目前進度顯示WebGPU所需條件預期能在短期內解決，標準化程序正穩步推進，WebGPU已非常接近W3C候選推薦階段。</p> <p>在最近的一次會議中，強調了人工智慧相關功能在WebGPU規範中的重要性，幾項技術被認為是人工智慧應用的重點發展方向。Subgroups和Subgroup Matrices為重要改進之一，這些功能將進一步提升GPU執行緒之間的本地通訊效率，並最佳化矩陣運算硬體的利用，替機器學習和推理場景提供高效的運算基礎。</p> <p>同時，Texel Buffers被提出作為處理小型資料，諸如16位元和8位元的解決方案，對於影像處理演算法特別重要。此外，UMA Buffer Mapping縮短資料上傳過程的同步與複製延遲，減少記憶體瓶頸，提升人工智慧計算效能。</p> <p>除了人工智慧功能，WebGPU小組也擴展圖形渲染的能力，Bindless技術突破目前資源使用的數量限制，使得著色器資源更加靈活，替實作大型場景資源管理提供技術基礎。同時Multi-draw Indirect和64-bit Atomics的引入，進一步擴展GPU驅動渲染的能力，提供多元運算和繪圖解決方案。</p> <p>WebGPU在網頁技術的整合也有所加強，包括相容模式的開發，提升WebGPU在只支援OpenGL ES 3.1裝置上的相容性，以擴大應用範圍。而與WebXR深度整合，使WebGPU在虛擬實境與增強實境領域也能發揮功能。還有，WebGPU也針對Canvas 2D效能和可用性強化，以解決用戶體驗方面的問題。</p> <p>WebGPU小組的會議也討論了WGSL（WebGPU Shading Language）擴充計畫，提出WESL（WGSL Extended Shading Language），並期望藉由社群的力量發展專案，滿足更廣泛的開發需求。</p> </div></div></div>
2024/11/24 14:22作者李建興https://www.ithome.com.tw/news/166168
Angular 19提升效能與開發體驗，開始預覽漸增式Hydration
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布推出<a href="https://blog.angular.dev/meet-angular-v19-7b29dfd05b84">Angular 19</a>，強調效能與開發體驗的提升，並持續推進強化框架的現代化更新。這個新版本帶來了新的技術預覽功能，同時也進一步強化核心架構，使得應用程式能夠在效能敏感的場景仍然仍穩定運作。</p> <p>此次更新的最大亮點是漸增式Hydration（Incremental Hydration）的開發者預覽功能。該項功能特別針對伺服器端渲染（Server-Side Rendering，SSR）應用設計，供開發者能以熟悉的語法，替特定元件設定條件式載入與Hydration，也就是說，元件會在需要時才下載並啟用，延後不必要的資源載入，並根據使用者的互動逐步載入內容。如此不僅大幅減少初始JavaScript的下載量，還能大幅提升應用程式回應速度，同步提升效能與使用體驗。</p> <p>Angular 19進一步改進SSR的靈活性，新增路由渲染模式設定介面。透過ServerRoute介面，開發者可以自由選擇各URL路徑的渲染模式，包括伺服器端渲染、客戶端渲染甚至是預渲染，並在預渲染過程中解析路由參數，生成高效的動態內容。該項功能整合既有的路由宣告格式，減少重複配置的麻煩，適應不同場景的渲染需求。</p> <p>在工具與自動化更新方面，Angular 19的Schematics工具進一步提升現代化API的整合，包括Inputs、Outputs、Queries等功能，並採用基於仰賴注入的設計模式。Schematics是一套用來自動化程式碼更新與最佳化的工具，協助開發者快速採用Angular的新功能和最佳實踐，而新增的建置系統則能有效簡化遷移流程，減少手動調整的時間成本。</p> <p>此外，Angular 19在核心反應式系統的發展上更加成熟了。核心API進入穩定階段，並且加入兩個新的反應式原語（Reactivity Primitives），分別為linkedSignal與resource。linkedSignal針對需要追蹤狀態變化的用例，像是UI的使用者選擇等，而resource則是第一個替非同步操作設計的API，允許開發者將非同步請求整合到訊號系統，大幅簡化資料管理和狀態追蹤。</p> </div></div></div>
2024/11/24 14:25作者李建興https://www.ithome.com.tw/news/166171
傳OpenAI考慮開發自有瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Google可能神經要更繃緊了，因為根據The Information<a href="https://www.theinformation.com/articles/openai-considers-taking-on-google-with-browser" target="_blank">報導</a>，OpenAI正在考慮開發能結合AI優勢的自有瀏覽器。</p> <p dir="ltr">報導指出，這個瀏覽器將整合ChatGPT，使其AI聊天機器人和用戶有更全面的互動介面，可提供更多服務內容，包括即時網頁搜尋。此外，OpenAI還考慮和多家電商平臺合作，這合作能強化ChatGPT鎖定的用戶區隔提供的回應內容。</p> <p dir="ltr">如果瀏覽器開發計畫成真，將是OpenAI繼本月初<a href="https://www.ithome.com.tw/news/165807" target="_blank">公布</a>具備即時網頁搜尋後，挑戰網路巨人Google的最新行動。報導指出，這項計畫還在很初期，不一定確定成行，也可能中途叫停。</p> <p dir="ltr">OpenAI並未回應這份報導。</p> <p dir="ltr">不過瀏覽器和搜尋、AI的結合相當合理，近來也有多個開發案例。微軟Edge、Google Chrome都整合了自有AI聊天機器人Copilot和Gemini。此外，新創公司則有The Browser Company<a href="https://www.ithome.com.tw/news/161131" target="_blank">開發出</a>標榜AI搜尋的瀏覽器Arc。若以OpenAI的財務實力來看，更可能挑戰Google。</p> </div></div></div>
2024/11/24 14:41作者林妍溱https://www.ithome.com.tw/news/166176
Martech雙周報第65期：Tiktok推出免費AI影片生成平臺，能自製AI影片主持人還能根據品牌特性全自動生成影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(1110~1123)</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#生成式AI #AI虛擬人物生成 #AI影片編輯 #AI影片翻譯 #全自動影片生成 </span> </strong> </span><br /> <strong>Tiktok推出免費AI影片生成平臺，能自製AI影片主持人還能根據品牌特性全自動生成影片</strong></p> <p>Tiktok推出免費生成式AI影片生成平臺<a href="https://ads.tiktok.com/business/en-US/blog/symphony-creative-studio?redirected=1&ab_version=experiment_2">Symphony Creative Studio</a>，這個平臺有影片生成、編輯、翻譯、語音生成等基礎功能，還可以在影片中加入人物動作、姿勢和語音。甚至，一個指令都不下，就能全自動生成行銷用短影音。</p> <p>廣告主可以上傳品牌相關素材及資訊，透過URL讓此平臺讀取品牌資訊，來生成並編輯短影音。甚至，平臺上有一個「每日生成影片」欄位，會直接根據已知品牌訊息及過往在平臺上的操作，每天全自動生成多部短影音，供廣告主挑選。</p> <p>影片編輯功能除了基礎剪輯功能，還能利用生成式AI快速加入字幕、人物、語音、音樂、貼圖、特效和轉場。</p> <p>此平臺翻譯功能也十分強大，能翻譯並自動修改影片字幕，甚至翻譯影片內語音。語音翻譯功能，可以利用影片原始聲線或其他素材庫內聲線，翻譯並生成不同語言的語音，再修改影片內人物脣形來達成對嘴效果。翻譯功能支援30多種語言。</p> <p>廣告主還能在影片內生成人物來主持影片。人物生成功能分為加入素材庫既有人物，以及客製化品牌人物兩種。加入素材庫內的人物時，廣告主能選擇不同演員，調整演員姿勢、服裝、背景、來自的產業、聲線等細節，並輸入臺詞。若要使用客製化人物，品牌能上傳自家發言人或代言人的授權文件及訓練用影音到平臺上。通過審查後，使用此客製化人物來生成他們在影片中講話的影像和語音。</p> <p> <video alt="Bring content to life with Symphony Digital Avatars" autoplay="autoplay" class="relative max-w-full h-full object-cover lozad" contenttype="video/mp4" data-loaded="true" data-src="https://lf-tt4b.tiktokcdn.com/obj/i18nblog/tt4b_cms/en-US/tipdilz7wysq-5rOKONwSzq8EBVjh29hCtY.mp4" height="auto" id="html5_video_3bw61nhpgvr" loop="loop" muted="muted" playsinline="true" src="https://lf-tt4b.tiktokcdn.com/obj/i18nblog/tt4b_cms/en-US/tipdilz7wysq-5rOKONwSzq8EBVjh29hCtY.mp4" title="Bring content to life with Symphony Digital Avatars" type="video/mp4" width="600px"> </video> </p> <p> </p> <p>未來，此平臺還預計加入微調既有短影音來做出不同版本的功能，以及品牌專用廣告臺詞功能。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AI代理人 #沙盒測試環境</span> </strong> </span><br /> <strong>Salesforce推出AI代理人測試及監控功能</strong></p> <p>推出AI代理人功能Agentforce後，<a href="https://www.salesforce.com/news/press-releases/2024/11/20/agentforce-testing-center-announcement/">Salesforce推出多個可以測試和監控這些代理人的工具</a>，讓企業在上線前代理人功能前，能對代理人的有效性、效率及花費有更大把握。</p> <p>第一個工具是Agentforce Testing Center，可用AI批量生成上百種真人與Agentforce可能互動場景，來測試代理人如何選擇回應主題與後續動作。企業可利用測試數據來優化指令，確保代理人能更準確應對客戶需求。</p> <p>第二是Salesforce Sandbox，可以將Agentforce和Data Cloud上的數據與設定複製到沙盒環境中，在不影響既有業務和數據的情況下，建立、使用和測試AI代理人。</p> <p>第三則是Salesforce AI平臺Einstein中的生成式AI測試工具Einstein Trust Layer，可以結合Salesforce Sandbox來測試並微調給AI代理人的提示及代理人回應內容。</p> <p>另外，代理人的採用率、準確度及用量支出，則可以透過Agentforce Analytics、 Utterance Analysis和Digital Wallet工具來追蹤，並支援自動化警報設定。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#數據無塵室 #數據隱私 #第一方數據 #第二方數據</span></strong></span><br /> <strong>美國FTC警告數據無塵室不保證等於隱私合規，且可能帶來資安疑慮</strong></p> <p>隨著隱私法規環境逐漸完善，數據無塵室（DCR）近兩年非常火紅，功能是在安全環境下，讓資料交換雙方上傳數據，並根據預先設定好的規則，來有限度交換數據。一個業界常見用法是，兩造企業上傳有經過授權可用作行銷的會員數據，比對出重疊會員後，交換各自對同一會員的紀錄，豐富既有會員數據同時，也不會揭露彼此完整會員名單。</p> <p>不過，<a href="https://www.ftc.gov/policy/advocacy-research/tech-at-ftc/2024/11/data-clean-rooms-separating-fact-fiction">美國FTC近日祭出警告</a>，指出單靠數據無塵室本身，並不能完全確保數據隱私合規，或數據安全受到充分保護。甚至，DCR可能變成支援非法數據販售的利器。他們並針對DCR的功能和迷思作出警告。</p> <p>FTC寫道，DCR核心功能是用來結合和分析不同企業數據，並輸出這些數據的子集，或這些數據的綜合分析結果。不過，DCR本身並不保證數據隱私或品質。</p> <p>要讓DCR發揮維護數據隱私的功能，數據來源本身必須合乎數據使用相關法規，且DCR使用者從隱私出發，來設定、套用、監控一系列的數據共用規則。「DCR只會維護使用者注重的原則。如果使用者不注重數據隱私，DCR不會讓數據使用變得合乎隱私規範。」甚至，DCR也可以用來更細緻的控制數據交易流程，淪為強化非法數據買賣的工具。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#數位轉型 #數位成效追蹤 #套裝Martech導入 #MA #CDP #智慧客服</span></strong></span><br /> <strong>易遊網的行銷數位轉型之路，靠Martech每月多賺千萬</strong></p> <p>臺灣本土首間線上旅行社易遊網揭露自家導入數位行銷做法及Martech的歷程。為了用數位行銷提升競爭力，他們必須在IT資源有限的情況下，整合不同數據來源及行銷通路，因而開始導入套裝Martech產品。</p> <p>成立廣告投放部門後，他們先導入MA系統，來一站式管理和執行行銷邏輯和流程。疫後，導入CDP，來進一步強化會員數位足跡和行為模式分析，在旅遊消費回升之際靠更精準的行銷，抓住更多營收。接著，他們還導入智慧客服系統，協助消化大量客服需求同時，從另一個面向蒐集會員數據。</p> <p>導入套裝Martech產品為易遊網解鎖了更多數位行銷做法，不過如何追蹤這些產品帶來的成效，還是得靠易遊網自家行銷與IT部門合作打造的全通路行銷數據追蹤機制。他們在的各行銷環節埋下追蹤碼，不靠廣告平臺或Martech產品提供的成效數據，就能掌握不同通路和系統對行銷成效的貢獻。（<a href="https://www.ithome.com.tw/news/166151">詳全文</a>）</p> <p>#生成式AI #</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#B2B行銷 #潛在客戶調查 #生成式AI</span></strong></span><br /> <strong>LinkedIn推出B2B生成式AI資料蒐集工具，可以彙整潛在客戶公開資訊及產品特性來建議行銷角度</strong></p> <p>LinkedIn在自家B2B行銷工具Lead IQ中<a href="https://www.linkedin.com/business/sales/blog/product-updates/introducing-the-new-lead-iq-and-enhanced-account-iq-features-for-sales-navigator">加入了一個提供行銷切入角度的工具。</a>此功能可以彙整潛在客戶的經驗、成就、興趣、活動、所在產業、與業務共通點等數據，並結合業務要推銷的解決方案特性，來推薦業務行銷角度。例如強調產品特色，或是針對該公司所在產業的常見痛點提供解方等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1732042951114.png" style="width: 600px;" /></p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#生成式AI</span> <span style="background-color:#FFFFFF;"> </span> <span style="background-color:#0099ff;">#聊天機器人</span> <span style="background-color:#FFFFFF;"> </span> <span style="background-color:#0099ff;">#AI廣告代投</span> </strong> </span><br /> <strong>Appier新增用AI動態調整廣告投放策略等GenAI功能</strong></p> <p><a href="https://example.com">Appier近日在自家產品線中新增兩項生成式AI功能，包括對話式廣告及銷售型對話機器人功能。</a></p> <p>對話式廣告功能整合於廣告雲，利用生成式AI，根據用戶互動情境來即時調整廣告內容，提升用戶參與度與轉換率。例如，在早晨推送簡潔的通勤廣告，晚間則以產品輪播內容觸及用戶，以求像對話般強化品牌與消費者互動。</p> <p>銷售型對話機器人功能則是在個人化雲產品線下，以生成式AI打造銷售型對話機器人，能識別不同情境下消費者的需求，來決定行銷形式與內容，例如新品推薦、限時折扣、禮品介紹等。</p> <p>Appier旗下全部產品線都已經應用，現有功能包括廣告雲下的口號生成、圖像生成與智慧圖像編輯，個人化雲下的行銷旅程生成、推播訊息A/B測試、知識型對話機器人，以及數據雲下的數據分析與報表產出功能等。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">更多Martech動態</span></strong></p> <p>Meta推出Flexible Media選項，由系統根據廣告投放版位來自動挑選廣告創意素材。</p> <p><a href="https://www.thetradedesk.com/us/news/press-room/the-trade-desk-announces-ventura">The Trade Desk推出自家CTV作業系統Ventura，垂直整合廣告供應鏈並支援OpenPath 和 Unified ID 2.0等數位廣告投放技術。</a></p> <p><a href="https://blog.google/products/ads-commerce/youtube-brand-engagement-shorts-creators/">Youtube推出新短影音廣告格式、AI投放選項及創作者管理工具。</a></p> <p><a href="https://www.ithome.com.tw/news/166150">Foodpanda臺灣如何利用外送平臺的零售特性，來打造零售媒體聯播網。</a></p> <p>資料來源：iThome整理，2024年11月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Tiktok、LinkedIn</p> </div></div></div>
2024/11/23 19:17作者郭又華https://www.ithome.com.tw/news/166175
搭配超低延遲FPGA晶片，AMD推出新款短版高頻交易加速卡
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/amd_alveo_ul3422_main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於金融科技（FinTech）應用領域的加速運算產品，AMD過去曾陸續推出<a href="https://ithome.com.tw/review/156717">Alveo X3522 PV</a>、<a href="https://ithome.com.tw/review/160143">Alveo UL3524</a>，因應低延遲存取的電子金融交易應用需求，今年10月他們發表新款金融科技加速卡Alveo UL342，基於採用與Alveo UL3524相同的FPGA晶片Virtex UltraScale+ VU2P，以及同樣的產品特性，具備與Alveo UL3524相當的效能，身形卻只需要一半（全高半長對上全高3/4長），占用的機箱空間更少，而且，成本更低，對於交易商、造市商（market makers）、金融機構而言，能夠快速部署到各式各樣的伺服器當中，也適用於代管型的交易資料中心。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Trading products-en.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Trading%20products-en.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/UL3422-UL3524-EN.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/UL3422-UL3524-EN.jpg" style="width: 600px;" /></a></p> <p>Alveo UL342目前已進入正式上市狀態，可量產供貨給全球金融服務客戶使用，AMD也宣布3家率先採用的用戶。</p> <p>首先是專供前臺交易解決方案的供應商Exegy，他們發展的軟硬體開發環境nxFramework，原本就是用於組建與維護金融產業的FPGA超低延遲應用系統，現在可支援UL3422（該公司網站支援平臺提及多個AMD FPGA加速卡產品，但尚未將Alveo UL342列入）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Exegy%20Support%20platform.jpg" style="width: 400px;" /></p> <p>第二家是Hypertec，是針對金融服務產業供應硬體、雲端服務與加值解決方案的廠商，旗下的高頻交易伺服器HF X410R-G6，已通過支援UL34222的認證。</p> <p>第三家是Xelera，是開發高速網路技術與機器學習應用系統的廠商，他們與AMD合作解決高頻交易機器學習演算法的延遲瓶頸，而在該公司供應的AI推論加速解決方案Xelera Silva，也藉此運用XGBoost、 LightGBM、CatBoost等多種進階AI模型，獲得即時、機器基於學習而成的交易決策輔助機制。</p> <p><a href="https://s4.itho.me/sites/default/files/images/UL3422-server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/UL3422-server.jpg" style="width: 600px;" /></a></p> <p>回歸金融科技加速卡產品的探討，單就硬體架構而言，Alveo UL342搭配的FPGA晶片Virtex UltraScale+ VU2P（XCVU2P），本身內建78萬張查找表（LUTs）、1,680個數位運算處理器（DSP）切片，具有新穎的收發器架構、經過強化、調校的網路連線核心，是專為高速交易而組建的FPGA晶片，能實現超低延遲的交易執行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/UL3422-overview-en.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/UL3422-overview-en.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/UL3422 High-Level Block Diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/UL3422%20High-Level%20Block%20Diagram.png" style="width: 400px;" /></a></p> <p>而且，由於這款FPGA晶片搭配的GTF收發器，可促使存取延遲低於3奈米以下（2.34奈秒），AMD表示，採用標準現成的FPGA晶片，很難能提供如此卓越的即時交易（tick-to-trade）效能，例如，若是Virtex UltraScale+ VU9P搭配的GTY收發器，存取延遲需要16奈秒，相較之下，VU2P 足足領先了7倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/UL3422-trans%20latency.jpg" style="width: 600px;" /></p> <p>透過可衡量即時交易系統效能的STAC-T0測試結果紀錄，同樣歷經乙太網路協定、收發器、媒體存取控制（MAC）、演算法邏輯（Algo）的處理，<a href="https://www.stacresearch.com/news/XLX200514">VU9P最低需要27.8奈秒</a>，而<a href="https://stacresearch.com/news/AMD240422">VU2P最低只需13.9奈秒</a>，表現明顯優異，而縱觀這4道處理程序，收發器是影響延遲的最主要因素。</p> <p><a href="https://s4.itho.me/sites/default/files/images/UL3422-FGPA letency.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/UL3422-FGPA%20letency.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Tick-to-trade-Arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tick-to-trade-Arch.jpg" style="width: 600px;" /></a></p> <p>相較於既有的Alveo UL3524，最新發表的Alveo UL3422的差異不只是外形較短，也縮減網路埠（4個QSFP DD埠降為2個QSFP DD埠）、用來連接多張加速卡的連接埠（4個ARF6埠降為2個ARF6埠），並且移除板卡內建的QDR II記憶體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/UL3422-UL3524.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/UL3422-UL3524.jpg" style="width: 600px;" /></a></p> <p>在軟體開發應用上，企業可透過AMD Vivado Design Suite套件的搭配，支援傳統的FPGA處理流程——暫存器傳輸層級（RTL）流程的開發，此套工具內建一整包的參考設計，以及效能基準的衡量，可供FPGA設計人員快速探索關鍵量測指標，並且根據不斷進步的演算法，以及新興的交易法規遵循要求，發展自定的交易策略。</p> <p><a href="https://s4.itho.me/sites/default/files/images/UL3422-SW Partners.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/UL3422-SW%20Partners.jpg" style="width: 600px;" /></a></p> <p>若要在高頻交易系統支援低延遲的AI模型部署，AMD也補充說明，表示他們提供開放原始碼的<a href="https://xilinx.github.io/finn/">FINN開發框架</a>，這當中運用PyTorch與神經網路量化技術，可協助縮減AI模型的大小，同時還能維持精準度，實現AI輔助的交易策略，而且，FINN編譯器能夠產生量化神經網路（QNN）的硬體智財區塊，可用於AMD FPGA晶片當中。</p> <p><a href="https://s4.itho.me/sites/default/files/images/FPGA-tading accel.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FPGA-tading%20accel.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>AMD Alveo UL3422</strong></span><br /> ●原廠：AMD<br /> ●建議售價：廠商未提供<br /> ●外形：全高半長<br /> ●內建運算晶片：Virtex UltraScale+ FPGA（XCVU2P-FSVJ2104-3-E）、16奈米製程<br /> ●內建記憶體：16 GB DDR4-2400，搭配64位元資料加上8位元ECC（64b + 8b）<br /> ●提供網路埠：2個QSFP-DD埠，可分接16個10/25GbE埠<br /> ●連接介面：PCIe 4.0 x8<br /> ●擴充插槽：2個ARF6接頭，可分接16個10/25 GbE埠，再以此連接多張介面卡<br /> ●熱設計功耗：125瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/11/22 18:09作者李宗翰https://www.ithome.com.tw/review/165909
【資安日報】11月22日，駭客疑似利用零時差漏洞入侵2千臺Palo Alto Networks防火牆
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Palo Alto Networks在2週前發出不尋常的警告，指出他們得知有人掌握一項漏洞，呼籲用戶要限縮管理介面的存取管道因應，到了本週，該公司公布漏洞細節，並指出有一定數量的防火牆遭到攻擊。</p> <p>但究竟有多少防火牆受害？這幾天Shadowserver基金會表示，約有2千臺防火牆疑似遭到入侵，值得留意的是，雖然多數受害設備位於美國、印度，但臺灣也有災情。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166149"><strong style="font-size: 22px;">快修補！2千臺Palo Alto Networks防火牆疑似已遭漏洞攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/kxDjVxCgCB.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/kxDjVxCgCB.png" style="width: 300px; float: right;" /></a>本週一（11月18日）資安業者Palo Alto Networks修補PAN-OS管理介面身分驗證旁路漏洞CVE-2024-0012、權限提升漏洞CVE-2024-9474，當時，他們就提及有一定數量（Limited Number）的防火牆已經遭到攻擊，但究竟有多少防火牆受害？這幾天，有研究人員公布相關的觀察現況。</p> <p>11月21日Shadowserver基金會指出，他們發現全球約有2千臺防火牆疑似遭遇漏洞攻擊，其中美國、印度、泰國最多，分別有554、461、80臺。值得留意的是，臺灣也有58臺遭到入侵。</p> <p>另一方面，該基金會警告，全球約有2,700臺防火牆尚未修補這些漏洞，數量最多的仍是美國、印度、泰國，分別有932、484、96臺，至於臺灣，則有57臺未修補漏洞，數量排行全球第6。</p> <p><a href="https://www.ithome.com.tw/news/166159"><strong style="font-size: 22px;">中國駭客Gelsemium改寫Windows版本的後門程式，對Linux主機發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/WolfsBane-figure-4.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WolfsBane-figure-4.jpeg" style="width: 300px; float: right;" /></a>過往駭客的主要標的往往是Windows電腦，但隨著企業有許多應用系統採用Linux作業系統，不少駭客團體也針對這種作業系統開發相關工具。</p> <p>例如，中國駭客Gelsemium原先使用惡意軟體Gelsevirine攻擊Windows電腦，但近期資安業者ESET看到名為WolfsBane的Linux變種版本。會有這樣的變化，研究人員認為，很有可能是Windows端點防護已有所改進，使得駭客轉向可透過網際網路存取的應用系統，而這些系統大多以Linux建置。</p> <p>這些惡意程式之所以曝光，源於惡意程式分析平臺VirusTotal，去年收到從臺灣、菲律賓、新加坡上傳的WolfsBane，由於Gelsemium原先的主要攻擊目標，是東亞與中東的企業組織，這樣的情況相當不尋常。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/frostygoop-malware-analysis/">針對工控惡意軟體FrostyGoop影響烏克蘭暖氣供應事故，研究人員公布進一步調查結果</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.huntress.com/blog/its-not-safe-to-pay-safepay">勒索軟體SafePay利用寄生攻擊停用內建防毒，繞過UAC提升權限</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.threatfabric.com/blogs/ghost-tap-new-cash-out-tactic-with-nfc-relay">研究人員揭露Ghost Tap攻擊手法，濫用NFC及行動支付偷錢</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fintech-giant-finastra-investigates-data-breach-after-sftp-hack/">金融軟體業者Finastra證實檔案傳輸平臺遭駭，傳出有人兜售竊得的內部資料</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166160"><strong style="font-size: 22px;">Oracle針對產品生命週期管理系統Agile用戶提出警告，其零時差漏洞已傳出被用於攻擊</strong></a></p> <p>本週Oracle修補產品生命週期管理（PLM）系統Agile的高風險漏洞CVE-2024-21287，值得留意的是，這項弱點已傳出被用於攻擊行動。</p> <p>該公司先是發布資安公告，表示他們針對9.3.6版Agile PLM框架修補CVE-2024-21287，並指出攻擊者無需通過身分驗證，就能遠端利用這項弱點，一旦成功利用，就有可能導致檔案洩露，CVSS風險評為7.5分。</p> <p>雖然在前述資安公告當中，Oracle並未進一步說明漏洞是否遭到利用，但該公司安全保證副總裁Eric Maurice透過部落格提出警告，資安業者CrowdStrike向他們通報此事時，已出現積極且廣泛利用的現象，呼籲IT人員應儘速取得修補程式並套用。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-10220-kubernetes-vulnerability-allows-arbitrary-command-execution/">Kubernetes存在高風險漏洞，恐被用於執行任意命令</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166130"><strong style="font-size: 22px;">BSI呼籲重視AI科技風險，強調臺灣企業要提升AI治理力</strong></a></p> <p>全球都在聚焦的數位信任、AI、永續發展議題，臺灣企業同樣十分關注，隨著2024年即將結束，在今年英國標準協會（BSI）舉辦的數位信任國際標準管理年會上，他們不僅點出企業這一年來必須掌握的重要變化，更是強調AI治理及永續治理，對於未來的重要性。</p> <p>從今年BSI年會的內容來看，在數位信任與資安議題之下，AI當屬重要焦點之一，不僅是上述提及的AI風險，成為近兩年來最大風險挑戰，另從國際標準組織（ISO）的發展來看，AI也是主角，過去一年的最大焦點在於：全球首部AI治理國際標準的推出，ISO 42001的人工智慧管理系統標準（AIMS），正式在2023年12月出爐。</p> <p>BSI東北亞區董事總經理蒲樹盛指出，ISO 42001將縮小我們對AI信任的差距，而這項標準的關鍵就是AI的風險管理，這其實與國際上的公司法或許多管理系統框架一致，換言之，ISO 42001是企業在AI轉型過程中的重要參考。</p> <p><a href="https://www.ithome.com.tw/news/166104"><strong style="font-size: 22px;">Thin Client搭上雲端運算特快車，微軟公布混合式雲端PC裝置Windows 365 Link</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/windws365link.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/windws365link.png" style="width: 300px; float: right;" /></a>在本週二舉行的Ignite大會上，微軟公布精簡型終端裝置Windows 365 Link，主打安全、效能、易於管理。定價為349美元，預計明年上半上市。</p> <p>此裝置定位為特定商務應用，像是客服中心、銀行櫃臺、實驗室等單一應用、多人共享裝置的場景，用戶需以Microsoft Entra ID（即Azure Active Directory）存取、使用。由於此裝置無管理員身分的使用者，可有效降低攻擊面。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166142"><strong>【11月21日】中國駭客鎖定南亞及非洲一帶一路國家的電信業者從事間諜活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166119"><strong>【11月20日】勒索軟體Helldown潛入受害組織，管道是兆勤防火牆的弱點</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166099"><strong>【11月19日】中國駭客鎖定想趁機撿便宜的黑色星期五購物者發動網釣攻擊</strong></a></p> </div></div></div>
2024/11/22 15:29作者周峻佑https://www.ithome.com.tw/news/166161
中國駭客Gelsemium改寫Windows版本的後門程式，對Linux主機發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往駭客的主要標的往往是Windows電腦，但隨著企業有許多應用系統採用Linux作業系統，不少駭客團體也針對這種作業系統開發相關工具。</p> <p>例如，中國駭客Gelsemium原先使用惡意軟體Gelsevirine攻擊Windows電腦，但近期資安業者ESET看到<a href="https://www.welivesecurity.com/en/eset-research/unveiling-wolfsbane-gelsemiums-linux-counterpart-to-gelsevirine/?&web_view=true">名為WolfsBane的Linux變種版本</a>。會有這樣的變化，研究人員認為，很有可能是Windows端點防護已有所改進，使得駭客轉向可透過網際網路存取的應用系統，而這些系統大多以Linux建置。</p> <p>這些惡意程式之所以曝光，源於惡意程式分析平臺VirusTotal，去年收到從臺灣、菲律賓、新加坡上傳的WolfsBane，由於Gelsemium原先的主要攻擊目標，是東亞與中東的企業組織，這樣的情況相當不尋常。</p> <p>這個後門程式的攻擊鏈，主要是從惡意程式載入工具（Dropper）開始，執行後門程式WolfsBane，這樣的做法與Windows版後門程式Gelsevirine雷同。值得一提的是，駭客也運用修改過的Userland Rookit，這麼一來，攻擊者就有機會藉此隱匿行蹤。</p> <p>他們也看到Gelsemium使用的另一個後門程式FireWood，這個後門也是從Windows版衍生而來，但似乎與這些駭客無直接關聯。研究人員推測，Gelsemium很有可能與多個中國駭客組織共用此後門程式。</p> <p>究竟這些駭客如何入侵受害組織？研究人員表示尚缺乏相關證據能夠證明，但根據這些駭客過往的戰略、手段、流程（TTP），他們認為，駭客很有可能透過未知的網頁應用程式漏洞，取得伺服器的存取權限。</p> <p>接著，攻擊者將偽裝成工作排程公用工具cron的惡意程式載入工具執行，一旦啟動，就會建立隱藏資料夾$HOME/.Xl1，並埋入惡意軟體啟動工具（Launcher）及後門程式。而這個資料夾名稱，顯然是模仿X Window系統的名稱「X11」。</p> <p>攻擊者將以root權限執行惡意軟體啟動工具，停用SELinux防護機制，竄改系統配置以便維持在受害主機活動。</p> <p>完成後攻擊就會進入下個階段，執行惡意軟體啟動工具，駭客將其偽裝成桌面環境KDE的元件來掩人耳目。</p> <p>最後，就是正式啟動後門程式的有效酬載。此後門程式的執行過程，先是載入嵌入的程式庫libMainPlugin.so，然後利用另外兩個程式庫libUdp.so、libHttps.so建立網路通訊，然後從C2接收命令。</p> <p>研究人員指出，這批Linux作案工具，代表Gelsemium攻擊目標出現變化，而這個駭客組織並非唯一這麼做的網路罪犯，因為，研究人員發現，惡意軟體轉移到Linux平臺的情況，有逐漸上升的趨勢。</p> </div></div></div>
2024/11/22 14:46作者周峻佑https://www.ithome.com.tw/news/166159
Oracle針對產品生命週期管理系統Agile用戶提出警告，其零時差漏洞已傳出被用於攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週Oracle修補產品生命週期管理（PLM）系統Agile的高風險漏洞CVE-2024-21287，值得留意的是，這項弱點已傳出被用於攻擊行動。</p> <p>該公司先是<a href="https://www.oracle.com/security-alerts/alert-cve-2024-21287.html">發布資安公告</a>，表示他們針對9.3.6版Agile PLM框架修補CVE-2024-21287，並指出攻擊者無需通過身分驗證，就能遠端利用這項弱點，一旦成功利用，就有可能導致檔案洩露，CVSS風險評為7.5分。</p> <p>而在提交給美國國家漏洞資料庫（NVD）的說明裡，<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-21287">他們還提到</a>這項漏洞相當容易利用，攻擊者可透過HTTP連線入侵此生命週期管理系統，而且，若是成功利用漏洞，攻擊者將能在未經授權的情況下，完整存取Agile所有能夠存取的資料。</p> <p>雖然在前述資安公告當中，Oracle並未進一步說明漏洞是否遭到利用，但該公司安全保證副總裁Eric Maurice<a href="https://blogs.oracle.com/security/post/alert-cve-2024-21287">透過部落格提出警告</a>，資安業者CrowdStrike向他們通報此事時，已出現積極且廣泛利用的現象，呼籲IT人員應儘速取得修補程式並套用。</p> </div></div></div>
2024/11/22 15:16作者周峻佑https://www.ithome.com.tw/news/166160
資安新創Wiz買下Dazz
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年<a href="https://www.ithome.com.tw/news/164092" target="_blank">傳出</a>拒絕Google收購的雲端資安業者Wiz周四（11/21）<a href="https://www.wiz.io/blog/wiz-to-acquire-dazz-transforming-risk-remediation-from-cloud-to-code" target="_blank">宣布</a>，將買下另一資安新創Dazz，以強化該公司的風險緩解能力。雙方並未公布交易細節，但外傳此一交易價值4.5億美元。</p> <p>成立於2020年的Wiz主要開發雲端原生應用保護平臺（Cloud-Native Application Protection Platform，CNAPP），該平臺可分析託管在AWS、Azure、Google Cloud、Oracle OCI，以及Kubernetes等雲端基礎設施中的資源，辨識可被駭客利用的風險因子，協助企業強化安全。</p> <p>同屬資安新創的Dazz則成立於2021年，專注於開發跨程式碼、雲端、基礎設施及應用程式的統一安全緩解平臺Dazz Remediation Cloud，標榜可快速辨識安全盲點，確定問題的優先等級，在開發人員友好的工作流程中簡化修復過程，將風險窗口所持續的時間從數周縮短至數小時。Dazz還曾在官網上強調，必須先採用Dazz，才能部署CNAPP。</p> <p>Wiz共同創辦人暨執行長 Assaf Rappaport指出，Dazz的修復引擎能幫助安全團隊連結不同來源的資料，並透過一個統一平臺有效管理應用程式風險；其先進的映射功能可精準找出問題根源，使工程師能直接在程式碼中修復安全漏洞，同時將重要的雲端環境無縫整合至安全工作流程中。Rappaport 強調，在徹底改變修復流程與應用程式安全的旅程中，Dazz是最理想的合作夥伴。</p> <p>Rappaport與Dazz共同創辦人暨執行長Merav Bahat是舊識，他們於2015年微軟收購雲端資安公司Adallom時相識。當時Rappaport是Adallom的共同創辦人，而Bahat則是微軟的員工，兩人曾在微軟共事，之後不僅投資了彼此的公司，也擁有許多共同的投資者。</p> <p>近來Wiz積極透過併購擴張自己的能力，包括在去年底<a href="https://www.wiz.io/blog/wiz-acquires-raftt" target="_blank">買下</a>了專注於開發者工具的Raftt團隊，以及在今年3月以3.5億美元，<a href="https://www.wiz.io/blog/wiz-acquires-gem-security-to-reinvent-threat-detection-in-the-cloud" target="_blank">買下</a>專注於雲端威脅偵測及回應的Gem Security。外傳Google對Wiz的開價高達230億美元，但依然遭拒。</p> </div></div></div>
2024/11/22 15:54作者陳曉莉https://www.ithome.com.tw/news/166164
適者生存
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾個月以來，多個強烈颱風接連來襲，到處都出現樹木傾倒的嚴重狀況，甚至連樹根都全部暴露在外，可見風力之大，更令人惋惜的是，倒塌的樹木當中，有不少結實纍纍，卻因颱風而傾倒。</p> <p>為了盡快恢復環境與道路交通運作，政府公務單位大多直接鋸樹，很少會大費周章地將整棵樹扶正，相當遺憾。許多新聞媒體也報導多項檢討意見，有專家認為，原因在於行道樹多為樹根較淺的品種，再加上植入的樹穴太小、太淺，以及未適當修剪等緣故。</p> <p>相對地，還是有不少樹木屹立不搖，為什麼？臺灣有個大家耳熟能詳的俗語：「樹頭徛予在，毋驚樹尾做風颱」，根基要打好、穩固，才能抵擋狂風暴雨的侵襲，這正是最簡單的解釋。有些樹木倚靠一般民宅擋住強風而躲過一劫，有些樹冠大到方圓好幾公尺，能夠籠罩整棵樹，再加上樹幹夠粗、樹根扎得深，使得強大風勢無法輕易撼動。</p> <p>這讓我想起昔年臺大校長遴選爭議，當選人管中閔引用金庸小說《倚天屠龍記》一段話表明心跡：「他強由他強，清風拂山崗；他橫任他橫，明月照大江。」，時任行政院長的總統賴清德，以此書同脈絡的另一段話回應：「他自狠來他自惡，我自一口真氣足。」無論如何，這些比喻強調的重點都在於打好基礎，也令人聯想到《孫子兵法 ● 九變》所言：「故用兵之法，無恃其不來，恃吾有以待之；無恃其不攻，恃吾有所不可攻也。」做好準備，嚴陣以待。</p> <p>的確！端詳這些被颱風吹倒而底部外露的樹木，其根部大多是橫向發展，並非深深地向下扎根，可能是樹木本身的生長特性，也有可能是生長環境不良、土質較堅硬等因素，造成樹木的根部無法深入地底，單靠抓住淺層土壤，顯然無法抵禦大風大雨。</p> <p>木本植物若要在這樣的天災之下安穩度過，需要很多條件的配合，對於風吹兩面倒的草本植物而言，相較之下，強風可能就沒有那麼大威脅，在本身能隨風搖擺的狀況下，很少會被吹斷，但如果遇到暴雨、積水不退、土石流等狀況，可能就要投降了。</p> <p>在金庸小說裡面有許多武功的描寫，也呈現柔弱未必被欺凌，甚至能夠致勝的局面。例如，《射雕英雄傳》與《神鵰俠侶》出現的道家武功「空明拳」，主旨就是「以虛擊實，以不足勝有餘」，拳力若有若無，導致對手掌力無法全然使實或使虛；《笑傲江湖》談論恆山派武功的要訣「綿裡藏針」，對手不冒犯則已，若用力進逼就會被針刺，反擊力道的強弱取決於對手進犯的力道，另一段劇情描寫武當派太極劍的實戰，用劍畫出大量光圈防護自身，由大量劍鋒組成難以進犯的移動堡壘，但又能「以數十招劍法混成的守勢，同時化為攻勢」。金庸在多本小說一再寫出「以柔克剛」、「以守為攻」的論述，倒也呼應許多讀者的人生體驗。</p> <p>透過這些顛覆大眾刻板印象的說法，我希望提醒大家反思的是，無論身處充斥多極化衝突的國際局勢，或是看待日新月異的技術競爭潮流，強大者固然有其難以超越的競爭優勢，但也面臨各式各樣的包袱拖累，而難以敏捷，弱小者還是有可圖之處、可乘之機，發揮自身的強項、不斷累積與拓展各種利基、持續調校與改良，擇優避劣，仍能確保我們得以有尊嚴地在這世界生存。</p> <p>而<a href="https://www.ithome.com.tw/article/166156" target="_blank"><span style="color:#3366ff;">這期封面故事我們探討的QLC快閃記憶體</span></a>，其崛起與普及也顛覆強者、具有高耐久度才能稱霸市場的迷思，QLC過去因耐用性不如現行的TLC快閃記憶體技術，而被質疑無法承擔重任，但經過整個業界的努力，現在接棒態勢越來越明顯。</p> <p>因為越來越多新一代固態硬碟產品都採用QLC快閃記憶體，而且，現在有更多企業級儲存系統支援QLC固態硬碟的搭配，實現更低單位儲存成本、存取效能更佳、能源使用效率更理想的儲存基礎架構，並將以此迎接人工智慧引爆的下一波大數據浪潮。</p> <p><a href="https://www.ithome.com.tw/article/166156" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(178, 34, 34);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1209-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=39bM2jNR" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/qlc%E5%BF%AB%E9%96%83%E8%A8%98%E6%86%B6%E9%AB%94">QLC快閃記憶體</a></div><div class="field-item odd"><a href="/tags/%E5%9B%BA%E6%85%8B%E5%84%B2%E5%AD%98%E6%87%89%E7%94%A8">固態儲存應用</a></div><div class="field-item even"><a href="/tags/%E5%BF%AB%E9%96%83%E5%84%B2%E5%AD%98">快閃儲存</a></div><div class="field-item odd"><a href="/tags/qlc-ssd">QLC SSD</a></div></div></div>
2024/11/22 14:09作者李宗翰https://www.ithome.com.tw/voice/166157
AWS與Rust基金會攜手驗證Rust標準函式庫的安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS（Amazon Web Services）與Rust基金會周三（11/20）共同發動一項<a href="https://aws.amazon.com/tw/blogs/opensource/verify-the-safety-of-the-rust-standard-library/" target="_blank">新競賽</a>，期望號召社群的力量來驗證Rust標準函式庫的安全性。</p> <p>Rust為一通用程式語言，強調效能、類型安全與並行性，它強制執行記憶體安全，並被廣泛應用在嵌入式作業系統、網路服務及區塊鏈專案上，多次在Stack Overflow的開發者調查中<a href="https://www.ithome.com.tw/news/137978" target="_blank">獲選</a>為「最愛程式語言」。</p> <p>儘管Rust語言以安全性著稱，但開發者可透過unsafe宣告來繞過安全機制，以執行作業系統等級的功能調用或記憶體操作等低階或高效能任務，同時在官方文件中提醒開發者要小心使用unsafe。</p> <p>AWS表示，由core、alloc與std等套件組成的Rust標準函式庫，替開發者提供了許多常用的功能，這些功能在外部看起來是安全的，但它們在內部可能使用了unsafe區塊來實現一些低階的高效能操作或硬體互動，而且並未經過真正的安全驗證。</p> <p>因此，AWS與Rust基金會共同推出一系列的挑戰賽，專注於驗證記憶體安全，以及Rust標準函式庫中未定義行為的子集，參與者可以透過指定合約、驗證函式庫元件，或是開發新的驗證工具來作出貢獻，而且每一項成功的挑戰都可獲得獎勵。此一活動的最終目標，是要讓驗證成為Rust語言持續整合過程中不可或缺的一部分。</p> <p>目前Rust標準函式庫總計包含約3.5萬個函式，當中有7,500個為標記為unsafe的不安全函式，另有3,000個為封裝unsafe操作的安全抽象函式。</p> <p>過去3年來，Rust標準函式庫報告了57個健全性問題，以及20個CVE漏洞編號，其中有28%的健全性問題是在今年被發現的，意謂著標準函式庫的變化愈來愈快，健全性問題也隨之增加，而且基於Rust的產品或服務中，有超過9成都仰賴其標準函式庫，顯現其重要性。</p> </div></div></div>
2024/11/22 14:25作者陳曉莉https://www.ithome.com.tw/news/166158
QLC快閃記憶體成為企業主流儲存
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1209-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=39bM2jNR" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著製程與控制器技術的改善，QLC快閃記憶體逐漸擺脫效能與可靠性的疑慮，大幅擴展了應用面向，更憑藉低成本與高密度的特性，不僅已進入各種不同層面的企業儲存應用，還可望在AI儲存應用扮演重要角色。</p> </div></div></div>
2024/11/22 14:04作者張明德https://www.ithome.com.tw/article/166156
【快閃儲存全面進入QLC時代】QLC快閃記憶體應用的新階段
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1209-feng_mian_1-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WD、Micron</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>具備容量密度高、成本低，但效能與耐用性有限的特性，QLC SSD幾年前曾被認為難堪重任，只能憑藉低成本在特定領域使用，現在卻正在包括AI在內的各式各樣應用，大舉擴張版圖。</p> <p>當我們從2016年開始追蹤QLC快閃記憶體的發展時，一開始也是認為QLC SSD並不適合多數儲存應用情境使用，而僅適合用於長期保存大量資料的冷儲存應用。</p> <p>但隨著QLC快閃記憶體製程與控制器技術的進步，QLC SSD無論在效能、壽命或可靠性等方面，過去幾年已有顯著的改善，與早期的產品不可同日而語，進而也大幅擴展應用範圍，逐步滲透到企業儲存應用的各個層面。我們在2023年7月的封面故事<a href="https://www.ithome.com.tw/tech/157837" target="_blank"><span style="color:#3366ff;">《QLC大舉進入企業儲存應用》</span></a>，便曾介紹QLC快閃記憶體在企業儲存開始獲得廣泛應用的趨勢。</p> <p>時隔1年半之後的現在，QLC快閃記憶體的應用又有進一步的發展。</p> <p>首先，最新一代QLC SSD產品的各方面規格，幾乎已經與TLC SSD產品不分軒輊，不僅適合多數通用儲存服務情境，還挾著成本優勢，在入門級儲存應用領域開始有了取代TLC快閃記憶體的趨勢。</p> <p>其次，憑藉QLC的高儲存密度優勢，再結合3D堆疊技術，促使SSD容量規格在日前一舉突破100TB大關，遠遠拋開了硬碟與磁帶，穩居當前最大容量儲存媒體地位。</p> <p>第3，QLC快閃記憶體的高儲存密度、低單位容量成本，以及擅長循序讀取等特性，也能在近年來最熱門的生成式AI應用中，發揮關鍵的作用，進而讓QLC SSD成為AI訓練基礎設施建置的重要環節。</p> <p>最後，QLC SSD在企業級儲存設備中的滲透也進一步加深。最初只有少數廠商嘗試推出基於QLC SSD的儲存陣列產品，後來跟進的廠商逐漸增加，到了2024年底，所有一線大廠終於在支援QLC SSD的行列全部到齊，包括一些原本不看好QLC SSD的儲存廠商，也在這段期間改變了態度，將QLC SSD引進產品線。</p> <p>而這一系列新發展，也促使我們再次回到QLC快閃記憶體應用這個議題，檢視QLC SSD應用的的最新情況。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>後發居上的新世代QLC SSD產品</strong></span></span></p> <p>QLC快閃記憶體的每個儲存單元（Cell）可記錄4個位元的資料，儲存單元的容量密度較TLC高出1/3，但是，連帶也需要區分與控制16種閾值電壓狀態，為QLC帶來更複雜、困難的存取程序，最終導致抹寫耐用性更差，更困難的讀取作業與資料保存，以及更不可靠的寫入程序等問題。</p> <p>然而，如同我們在先前封面故事提過的，QLC快閃記憶體晶片先天的效能、壽命與可靠性問題，可以透過SSD裝置層級，以及儲存陣列系統層級的種種措施，獲得緩解與改善。</p> <p>例如SSD裝置層級的超額配置（over-provisioning）、SLC快取，改進的損耗均衡與錯誤修正演算法，以及平行存取處理，還有儲存陣列層級的快取與緩衝，以及跨SSD裝置的損耗均衡等。</p> <p>所以，在快閃記憶體與SSD產品技術發展歷程中，呈現相當特別的「背反」趨勢，從快閃記憶體層次來看，隨著快閃記憶體儲存單元的多級化發展，新一代記憶體的效能與耐用性，可說每況愈下，MLC不如SLC，TLC不如MLC，QLC又不如TLC。但從SSD產品與快閃儲存陣列產品層次來說，效能與耐用性仍持續提升。</p> <p>憑藉技術進步的「後發優勢」，在最新一代的QLC SSD產品中，效能與壽命規格，已能與1、2年前的上代TLC SSD比擬，除了特別寫入負載特別高、或追求極致隨機存取效能的應用情境，TLC SSD仍佔有優勢之外，對於大多數的應用環境，QLC SSD已足以承擔工作需求，而這也改變了QLC SSD產品的定位。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 世代交替的起步 </span></strong></span></p> <p>在QLC SSD問世早期，由於效能與耐用性的限制，因而被定位為訴求大容量、低單位成本的產品線，被視為硬碟的替代者，所針對的應用情境，也與一般TLC SSD之間，彼此涇渭分明。</p> <p>而到了現在，隨著QLC SSD的進步，QLC SSD不僅已經侵入TLC SSD的應用領域，我們這幾個月來還注意到，WD、美光（Micron）等廠商，甚至在部分個人端消費級SSD產品線，都開始以新推出的QLC SSD，接替既有的TLC SSD產品。</p> <p>舉例來說，WD在今年3月新推出的M.2規格QLC SSD產品SN5000S（基於BiCS6 162層3D製程），便是用於取代2022年5月發表的TLC SSD產品SN740（基於BiCS5 112層3D製程）。</p> <p>在效能方面，基於QLC的SN5000S，隨機讀取與寫入IOPS效能，分別比基於TLC的SN740提高1.4％與12.5％，循序讀取與寫入速率則分別快了16.5％與15.5％。</p> <p>而在耐用性方面，以總寫入資料量（TBW）為基準，SN5000S的512 GB與1 TB容量版本，TBW比SN740同容量版本的TBW低了50％與25％，但2TB版本的TBW則反超出20％，整體來說，兩者的耐用性屬於同一級距。</p> <p>類似的例子，還有美光今年4月推出的新款M.2 QLC SSD產品2500系列（232層3D製程），將用於取代2021年底到2022年底推出的上一代M.2 SSD產品，包括基於QLC的2550（176層3D製程）與2400（232層3D製程），還有基於TLC的2450（176層3D製程）。</p> <p>比起上一代的M.2 QLC SSD產品2550與2400，2500的最大隨機讀取與寫入效能比前者高出80％與66％，比後者高出53％與42％，至於循序讀取與寫入速度則比前者提高42％與50％，較後者提高57％與50％。</p> <p>而比起基於TLC的2450，2500的讀取與寫入效能也分別高出24％與31％，整體效能已接近美光M.2 SSD產品線最高階的3400與3450（分別基於176層3D TLC與232層3D TLC）。而在耐用性方面，2500則略遜於2450，同容量規格下的TBW為後者的2/3到一半。</p> <p>雖然這個QLC SSD接替TLC SSD的現象，目前只發生在部份廠商的M.2 SSD產品，卻是重要信號，意味中低階SSD領域，QLC取代TLC的腳步已開始。</p> <p>儘管許多用戶仍對QLC存在負面印象，但對供應商來說，當QLC SSD進步到能提供與TLC同級的效能與耐用性，考慮到QLC能以更低的成本達到相同的容量，也代表著更大的利潤空間，自然會更傾向於推出基於QLC的SSD產品。從這樣的情況來看，或許在幾年內，除了最高階的SSD產品外，QLC恐怕將會席捲中、低階SSD產品領域。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>QLC推動SSD容量邁向極限</strong></span></span></p> <p>今年是SSD容量發展歷程中的又一新里程碑，繼2015年達到15.36 TB，2018年提高到30.72 TB，2023年達到61.44 TB後，緊接著便在今年一舉突破100 TB大關，WD、三星、Solidigm，群聯（Phison）等廠商，先後在下半年發表容量122.88 TB的新一代商用SSD產品。</p> <p>也就是說，SSD的容量規格在10年內提升了足足8倍，而且增長的速度越來越快，從15.36 TB提高到30.72 TB花了3年多，從30.72 TB到61.44 TB花了5年多，但接下來不到2年，就達到122.88 TB。</p> <p>近年來快閃記憶體迅速的容量增長，是QLC快閃記憶體與3D堆疊技術共同合力的結果，我們可以注意到，在61.44 TB以上超高容量層次產品的場合，QLC扮演了更為關鍵的角色——隨著SSD容量等級的提高，採用QLC的產品比重也越來越高。</p> <p>在61.44 TB SSD產品領域，還是TLC與QLC參半局面，目前已有的4款61.44 TB SSD產品——Solidigm的D5-P5336、三星的BM1743、WD的SN655，以及美光的6550 ION，正好各占一半，兩款採用TLC（WD與美光），兩款採用QLC（Solidigm與三星）。</p> <p>不過往上到了122.88TB產品領域，便是清一色採用QLC的局面。目前已發表的5款122.88TB SSD產品——三星BM1743的122 TB版，Solidigm D5-P5336的122 TB版、WD的High-Capacity QLC Enterprise SSD，群聯的Pascari D200V與D205V，全部都是基於QLC快閃記憶體。</p> <p>若把檢視範圍擴大到非標準規格的大容量型SSD產品，同樣還是QLC的天下。例如，IBM用於搭配FlashSystem儲存陣列的FCM模組（FlashCore Modules），自2020年的第2代FCM模組起，到2024年最新的第4代FCM模組，都一直採用QLC，最大容量達到38.4TB。另外，Pure Storage用於搭配FlashArray儲存陣列的DFM模組（DirectFlash Module），去年推出的48TB、75TB版本模組，還有即將推出的150TB容量模組，也都採用QLC。</p> <p>唯一例外是Nimbus Data，該公司在2018年發表、2020年正式上市的ExaDrive DC SSD，是世界上最早的100TB等級SSD，但採用的是TLC快閃記憶體。然而Nimbus Data其實是以空間來換取高容量，這系列產品採用標準2.5吋規格的款式，最大容量只達到16 TB與32 TB，並沒有超過其他廠商的同級產品；至於容量較大的64 TB與100 TB款式，都是採用外形較大的3.5吋規格，容量密度其實沒有進步，與新一代的100TB等級SSD產品，有著本質上的區別。</p> <p>由這樣的發展情勢看來，100 TB等級以上的高容量SSD產品，目前已經是以QLC為主的情況，日後QLC也將成為持續推升SSD容量的關鍵角色。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>QLC SSD的AI應用</strong></span></span></p> <p>QLC SSD的效能特性是循序與隨機讀取效能佳，循序寫入效能稍低，傳輸率大約是循序讀取的30％到40％，至於隨機寫入效能則頗為低落，IOPS效能只有隨機讀取的幾十分之一，所以QLC SSD經常被定位為讀取負載取向型應用，而較不適合寫入I/O負載應用。</p> <p>相較下，TLC SSD一般也是讀取效能較寫入效能更佳，但兩者落差較小，循序讀取與循序寫入傳輸率之間，可達到十分接近的程度，而隨機寫入與隨機讀取之間的落差，則為4、5倍。與同等儲存容量與傳輸介面的QLC SSD相比，TLC SSD的循序讀取與隨機讀取效能並沒有甚麼優勢，循序寫入效能略佳，因此，TLC SSD真正的優勢是在隨機寫入方面。</p> <p>不過，QLC SSD這樣的效能特性，卻恰好對應了AI應用的儲存存取特性，因而將能在AI應用中大展所長。</p> <p>儲存裝置在AI應用中的主要任務，是負責向運算單元饋入訓練資料集、寫入、保存運算內容，最後輸出推論結果。典型的生成式AI運作過程，一開始是將訓練資料集從儲存裝置，分批讀取、載入GPU伺服器的記憶體，由GPU進行訓練運算工作，期間還會向儲存裝置執行寫入檢查點（checkpointing）等工作，訓練完成後，在推論應用過程，也會從模型中讀取資料，產生與輸出推論結果。</p> <p>前述AI應用涉及的I/O存取負載，基本上是以循序讀取、隨機讀取，以及循序寫入為主，很少涉及隨機寫入。例如AI訓練（Training）與推論（Inference）是循序讀取為主，資料攝入（Data ingest）、預處理（Pre-processing），寫入檢查點等作業，是以循序寫入為主，圖像化神經網路（Graph neural networks）則屬於隨機讀取。</p> <p>這也意味著，QLC SSD在生成式AI應用中，將能迴避隨機寫入這個最大弱點，在滿足絕大多數存取需求的同時，還能憑藉單位容量成本低、容量密度高的優勢，提供更低的建置成本，以及更少的空間與功耗需求，可說是理想的AI應用儲存媒體。</p> <p>事實上，不久前有一篇極受矚目的AI應用儲存環境建置新聞，便是圍繞QLC SSD展開。10月底韓國經濟日報（Korea Economic Daily）傳出消息，表示特斯拉公司（Tesla）與韓國快閃記憶體供應商SK-hynix，正在洽談潛在總值高達1兆韓圓（約合7.25億美元）的高容量SSD採購合約，準備用於其AI訓練環境的資料儲存需求。</p> <p>掌握相關消息的人士指出，雙方洽談的採購標的，正是SK-hynix旗下Solidigm公司的QLC SSD產品，也就是我們前面提到的61.44 TB容量D5-P5336。以前述合約金額計算，這份合約可能涵蓋多達9.9萬臺或20萬臺SSD（標準售價或50％折扣），總容量將高達12.3 EB。</p> <p>儘管特斯拉與SK-hynix都未證實前述合約洽談，但從這則新聞當中仍能看出：大容量QLC SSD在當前AI基礎設施建置與應用中，已佔有重要地位，未來還可望持續提高。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>QLC在企業儲存產品的持續滲透</strong></span></span></p> <p>最早將QLC快閃記憶體應用於企業級儲存陣列的廠商，是VAST Data與Pure Storage，分別在2019年初與2019年中推出基於QLC的儲存陣列產品。</p> <p>稍後到了2020年，又有Nexsan、StorOne，以及IBM、NetApp等兩大廠，陸續加入QLC應用行列，推出採用QLC的儲存陣列產品。</p> <p>QLC在企業級儲存陣列的應用風潮，在2021年停滯一年後，在2022年有新的進展，儲存業界龍頭Dell正式為旗下產品線引進QLC SSD，Weka與Scality等2家分散式儲存平臺軟體商，也開始支援QLC SSD。</p> <p>隨後在2023年，長年耕耘高效能運算（HPC）領域的儲存供應商DDN，也推出基於QLC SSD的儲存陣列產品。</p> <p>我們上次在2023年7月<a href="https://www.ithome.com.tw/article/157866" target="_blank"><span style="color:#3366ff;">封面故事探討QLC快閃記憶體應用</span></a>時，主要的QLC儲存陣列供應商大致就是以上這些。</p> <p>在這個時間點之後， QLC在企業級儲存陣列產品的應用，又有重要的進展，又有4家一線大廠先後推出支援QLC SSD的產品。</p> <p>首先是華為，2023年下半年將QLC SSD引進儲存陣列產品線；進入2024年後，HPE，以及日系的2大廠Hitachi Vantara、富士通（Fujitsu），也陸續發表支援QLC SSD的儲存陣列產品，其中，HPE與Hitachi Vantara都是在最近一個月內發表QLC相關產品應用。至此，所有一線儲存陣列大廠在QLC SSD的應用行列終於全部到齊，也是QLC應用邁向全面普及的一個重要信號。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>QLC普遍應用的時代終將到來</strong></span></span></p> <p>QLC與TLC快閃記憶體技術其實問世時間差不多，都是在2009年前後開始獲得實際應用，不過在完整的SSD產品方面，TLC SSD則比QLC SSD早了3、4年進入市場。</p> <p>第1批TLC SSD是在2014到2015年間上市，儘管TLC面臨效能、可靠性與壽命方面不如MLC快閃記憶體的質疑，但憑藉成本與容量密度的優勢，仍然很快取代MLC SSD的地位，到了2018、2019年間，基本上就完成TLC SSD取代MLC SSD的世代交替。</p> <p>現在歷史又將重演，第一批QLC SSD於2018年上市後，同樣也是飽受效能、可靠性與壽命等方面的抨擊，但經過6年後，也終於走到普及應用的階段。</p> <p>事實上，每一世代多級化快閃記憶體問世之初，都同樣受到效能、耐用性不如上一代的批評，從MLC開始、到TLC，以至QLC莫不如此，以致於早期有些廠商還發明了eMLC、eTLC一詞，表明他們使用的MLC、TLC記憶體是足夠可靠的「企業級」顆粒，因而可以用來取代上一代的SLC與MLC。但隨著技術的進步，MLC與TLC曾為人詬病的問題逐一克服，現在已沒人再提eMLC、eTLC這種多餘的講法。</p> <p>我們相信QLC未來也將如此，當前固然仍有許多用戶不能接受QLC（特別是效能取向的消費端高階用戶），但QLC的進步有目共睹，而其成本、功耗與密度方面的優勢也顯而易見，更重要的是對廠商更有利可圖。事實上，從IBM FlashSystem這種二十多年歷史的老牌全快閃儲存陣列，都全面支援QLC，就能看出市場走向。</p> <p>就我們來看，除了極端傾向隨機寫入I/O，或是寫入負載非常大的應用情境外，其餘大多數的應用情境，已經沒有「非TLC SSD不可」的必要，最新一代的QLC SSD已能滿足需求。</p> <p> </p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 取代TLC SSD的新世代QLC SSD </span></strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-%E5%B0%81%E9%9D%A21-600-1.png" style="width: 500px;" /></p> <p><span style="color:#3366ff;"><strong>在中低階M.2規格SSD產品領域，已開始出現QLC SSD取代TLC SSD的情況，左圖為WD與美光今年上半發表的新款M.2 SSD產品：WD的SN5000與美光的2500系列，都是採用QLC快閃記憶體，將分別取代基於TLC的上一代M.2 SSD產品。</strong></span></p> <p><span style="color:#3366ff;"><strong>憑藉記憶體製程與控制器技術的持續進步，這些最新一代推出的QLC SSD產品，無論效能、可靠性，或是耐用性等方面，比起同等級的上一代TLC SSD產品都不遜色，而且還有所超越。</strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／WD、Micron</span></span></p> <p> </p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 回顧10年以來的SSD儲存容量成長趨勢 </span></strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-%E5%B0%81%E9%9D%A21-600-3.png" style="width: 600px;" /></p> <p><span style="color:#3366ff;"><strong>憑藉半導體技術的進步，SSD的容量在過去10年內提高了8倍，而且增長速度在近2年來有了明顯加速。在30.72 TB這個容量規格停滯5年後，於2023年下半年一舉提高到61.44 TB，隨後緊接著在2024年底又翻倍達到122.88 TB（各廠商的122.88 TB SSD產品，實際出貨時間是2025年初）。</strong></span></p> <p><span style="color:#3366ff;"><strong>而SSD容量規格之所以能有如此迅速的增長，則是QLC快閃記憶體與3D堆疊技術共同促進的結果，特別是QLC的應用，目前60 TB以上的超大容量SSD產品，是由QLC主導的領域。</strong></span><span style="font-size:14px;"><span style="color:#696969;">（資料來源：iThome整理，2024年11月）</span></span></p> <p> </p> <p><span style="font-size:24px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 60 TB以上超大容量SSD產品的記憶體型式 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-%E5%B0%81%E9%9D%A21-600-4.png" style="width: 600px;" /></p> <p><strong><span style="color:#3366ff;">在30TB容量以下的SSD產品領域，目前仍是基於TLC快閃記憶體居多，QLC主要用在訴求成本效益的特定產品線。到了60TB等級以上的超大容量SSD領域，則由QLC快閃記憶體主導，特別是最新發表的122TB等級容量SSD產品，清一色都是採用QLC。</span></strong><span style="font-size:14px;"><span style="color:#696969;">（資料來源：iThome整理，2024年11月）</span></span></p> <p> </p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> QLC SSD新戰場：AI訓練的儲存應用 </span></strong></span></span></p> <p><span style="color:#FFFFFF;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%8E%E5%BE%B7-QLC%E4%B8%BB%E5%9C%963-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%20MLCommons.png" style="width: 600px;" /></strong></span></p> <p><span style="color:#3366ff;"><strong>AI應用涉及的儲存存取需求，是特別適合QLC SSD發揮的場合。AI訓練、推論、預處理等作業執行中的I/O存取負載，多屬於連續的循序讀取與寫入，很少有隨機寫入負載。而這樣的應用型態，恰好對應QLC SSD擅長循序存取的特點，而避開了QLC SSD不擅長隨機寫入的弱點，並能讓QLC SSD發揮單位成本低、容量密度高、單位功耗需求低的優勢。</strong></span></p> <p><span style="color:#3366ff;"><strong>上圖為MLPerf Storage Benchmark模擬的AI訓練存取架構，可以看出資料的載入與預處理，都是以連續的批次方式進行，I/O負載以循序方式為主。</strong></span><span style="font-size:14px;"><span style="color:#696969;">（圖片來源／MLCommons）</span></span></p> <p> </p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> SSD記憶體技術的世代交替 </span></strong></span></span></p> <p><span style="color:#FFFFFF;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-%E5%B0%81%E9%9D%A21-600-5.png" style="width: 600px;" /></strong></span></p> <p><span style="color:#3366ff;"><strong>SLC SSD大約在2001年左右上市，但2010年以前就為MLC SSD取代。第一批MLC SSD是在2007年前後問世，2010年代成為主流，在2018、2019年左右開始為TLC SSD取代。最早的TLC SSD產品是在2015年前後推出，短短3、4年就成為主流的快閃記憶體型式，並一直延續至今。QLC SSD是在2018年推出市場，2021、2022年間逐步擴大應用面向，2023、2024年開始進入各種不同層面的企業儲存應用領域。</strong></span><span style="color:#696969;"><span style="font-size:14px;">（資料來源：iThome整理，2024年11月）</span></span></p> <p><a href="https://www.ithome.com.tw/article/166156" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><span style="background-color:#B22222;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1209-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=39bM2jNR" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/qlc%E5%BF%AB%E9%96%83%E8%A8%98%E6%86%B6%E9%AB%94">QLC快閃記憶體</a></div><div class="field-item odd"><a href="/tags/%E5%9B%BA%E6%85%8B%E5%84%B2%E5%AD%98%E6%87%89%E7%94%A8">固態儲存應用</a></div><div class="field-item even"><a href="/tags/%E5%BF%AB%E9%96%83%E5%84%B2%E5%AD%98">快閃儲存</a></div><div class="field-item odd"><a href="/tags/qlc-ssd">QLC SSD</a></div><div class="field-item even"><a href="/tags/ai">AI</a></div><div class="field-item odd"><a href="/tags/tlc-ssd">TLC SSD</a></div><div class="field-item even"><a href="/tags/60-tb">60 TB</a></div></div></div>
2024/11/22 14:04作者張明德https://www.ithome.com.tw/tech/166154
【快閃儲存產品全面進入QLC時代】迅速擴展中的QLC SSD企業儲存產品
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1209-feng_mian_2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Pure Storage、IBM</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一種新的儲存媒體能否獲得普遍應用，大型儲存系統廠商的採用與支援，往往是不可或缺的前提，也是我們觀察這種新儲存媒體應用成熟度的關鍵指標。</p> <p>第1批QLC SSD產品是2018年中上市，很快的，在2019年，就有儲存陣列廠商嘗試推出支援QLC SSD的產品，其中還包括身為一線大廠的Pure Storage。</p> <p>至於其他大廠的態度比較保守，到了2020年底，才又有NetApp與IBM等2家大廠，加入支援QLC SSD的行列。</p> <p>接下來經過1年的空窗期後，到了2022年，業界龍頭Dell才跟進，將QLC SSD引進旗下產品線。然後在2023年下半年，華為也導入QLC SSD。接著到了2024年，剩餘的幾家大廠，包括富士通（Fujitsu）、HPE、Hitachi Vantara，先後發表支援QLC SSD的儲存陣列產品，至此所有一線大廠全都加入支援QLC SSD的行列。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>QLC滲透儲存陣列產品的3階段</strong></span></span></p> <p>我們可以將QLC SSD在儲存陣列產品的應用與普及，大致分為3個階段。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 第1波QLC儲存陣列產品 </span></strong></span></p> <p>首先，是2019到2020年中問世的首波QLC儲存陣列產品，包括VAST Data的Universal Storage平臺，Pure Storage的FlashArray//C儲存陣列，還有，Nexsan的E系列的18F與32F，Beast Elite系列的Beast Elite F，以及StorOne的S1 : AFAn。其中當數Pure Storage表現最為積極，接連在2019年中與2020年下半年，推出2個世代的FlashArray//C。</p> <p>這些第一波QLC儲存陣列產品，可分為兩種技術路線：</p> <p>首先，是以低價與大容量為訴求。在這個時間點，由於QLC快閃記憶體在壽命、可靠性與效能上的限制，因此基於QLC的儲存陣列產品，大都是定位為硬碟或混合式儲存陣列的替代者，例如Pure Storage、Nexsan的產品，都屬於這種類型，應用的領域也有限制：主要作為二線儲存角色。</p> <p>其次，是與高效能的儲存級記憶體（SCM）構成混合架構。如VAST Data與StorOne的平臺，都是將QLC SSD與相互結合，由SCM承擔寫入I/O，迴避QLC SSD的寫入效能弱點，而由QLC提供低價的儲存空間，主要的I/O負載與輸出則由SCM來承擔，藉此兼顧效能與成本。</p> <p>我們在2020年的技術專題《<a href="https://www.ithome.com.tw/tech/137324" target="_blank"><span style="color:#3366ff;">QLC快閃記憶體開始進入企業儲存應用</span></a>》，便曾介紹此時的QLC應用概況。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 第2波QLC儲存陣列產品 </span></strong></span></p> <p>自2020年底開始，到2022年中的這段期間，又湧現第2波QLC儲存陣列產品。3家業界重鎮大廠——IBM、NetApp與Dell，先後發表支援QLC的儲存陣列產品。</p> <p>IBM為其FlashSystem系列引進基於QLC的FCM儲存模組（FlashCore Module），NetApp推出基於QLC SSD的FAS500f，Dell也為其PowerScale家族中的F900與F600，引進QLC SSD的配置選項。</p> <p>另外，一直非常積極支援QLC應用的Pure Storage，在這個時候也動作連連，先是在2021年初推出第3代FlashArray//C，接著在2022年中為FlashBlade物件儲存家族，新增基於QLC的FlashBlade//S系列。</p> <p>無獨有偶，Weka的WekaFS，以及Scality RING這兩種分散式儲存平臺，也在2022年下半年推出的新版本中，開始支援QLC SSD。</p> <p>在這個階段，QLC的儲存應用出現兩項新的發展：</p> <p>首先，是開始進入主流儲存平臺。包括NetApp ONTAP、Dell OneFS（PowerScale），以及IBM FlashSystem等3種用戶十分廣泛的平臺，都是在這個階段開始支援QLC。</p> <p>其次，是開始走出低成本的定位，轉為承擔第一線儲存角色。這個階段問世的QLC儲存陣列，有些仍是走低價大容量的硬碟替代者路線，如NetApp的FAS500f，或是將QLC SSD作為混合架構中的低成本儲存層，如Weka WekaFS與Scality RING。</p> <p>然而，IBM、Dell、Pure Storage則不同，他們直接讓QLC承擔主要的I/O負載，承擔第一線主儲存的重任，訴求在保持充分效能表現的前提下，提供更高的儲存密度、儲存容量，以及更低的成本、空間與功耗需求。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 第3波QLC儲存陣列產品 </span></strong></span></p> <p>自2023到最近的2024年間，市場上出現第3波基於QLC的儲存陣列產品。</p> <p>首先是2023年上半年，NetApp發表AFF系列全快閃儲存陣列QLC版本C系列，Pure Storage也增設3款基於QLC的新產品，包括FlashBlade//E、FlashArray//E等2個新系列，以及FlashArray//C的第4代機型。</p> <p>高效能運算領域重要的儲存供應商DDN，也在這個時候推出旗下AI應用儲存陣列AI400X2的QLC版。</p> <p>我們2023年7月曾發表封面故事《<a href="https://www.ithome.com.tw/article/157866" target="_blank"><span style="color:#3366ff;">QLC大舉進入企業儲存應用</span></a>》，當時市場上的企業級QLC儲存陣列產品，大致便是以上這些。</p> <p>接著從2023年下半年起，又有一系列新的QLC儲存陣列產品問世。</p> <p>首先華為發表基於QLC SSD的OceanStor Pacific 9920，稍後NetApp也推出ASA系列SAN儲存陣列的QLC版本ASA C系列。</p> <p>然後到了2024年，先是富士通在上半年推出基於QLC SSD的ETERNUS AC系列，當時間來到下半年後，HPE在10月為Alletra MP儲存陣列新增QLC SSD配置選項，到了11月，NetApp推出第2代AFF C系列，並為StorageGRID系列新增支援QLC SSD，緊接著Hitachi Vantara也發表VSP One Block系列支援全QLC SSD組態的款式，這也是目前最新的幾款QLC儲存陣列產品。</p> <p>在這波新加入支援QLC SSD的廠商中，HPE的態度轉變特別值得一提。</p> <p>過去HPE曾是少數否定引進QLC SSD需求的廠商之一，聲稱與其採用QLC SSD，維持原有SSD搭配硬碟的混合架構，會更為有利，於是，他們以QLC SSD的成本仍不夠便宜為由，否定引進QLC的必要，認為維持使用硬碟更具成本效益，結合專屬的快取演算法技術，就能滿足效能需求。</p> <p>不過，時至今日，HPE最終還是加入採用QLC的行列，換句話說，這也從反向證明一件事：今日的QLC SSD已具備取代硬碟的能力。</p> <p>相較於先前的QLC儲存陣列產品，我們從這一波產品中，還可以觀察到幾個新特色：</p> <p>首先，一些廠商開始將入門級與容量型產品角色，交給基於QLC的儲存陣列所擔任，如NetApp的AFF C系列與ASA C系列，Pure Storage的FlashArray//C、FlashBlade//E等。</p> <p>其次，專門的QLC儲存陣列產品線，數量也逐漸增加。相較於為既有產品額外提供選配QLC SSD的選項，越來越多廠商提供專門支援QLC SSD的儲存陣列款式，或是專門的QLC產品線。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>QLC儲存陣列的類型區分</strong></span></span></p> <p>我們可以將當前的QLC儲存陣列，依不同面向區分為幾種類型。</p> <p>首先，從產品的發展脈絡來看，當前的QLC儲存陣列可分為兩種類型：</p> <p><strong> <span style="color:#FFFFFF;"><span style="background-color:#000000;">（1）基於QLC而打造的儲存平臺 </span></span></strong></p> <p>如VAST Data的Universal Storage，以及StorOne的S1 : AFAn，一開始就是基於QLC SSD搭配SCM的架構打造而成，而且，QLC是這些儲存平臺固有的基本組成之一。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;">（2）既有平臺延伸支援QLC SSD </span></strong></span></p> <p>除了前述VAST Data與StorOne等兩種晚近發展的儲存平臺，是一開始就基於QLC打造，大部分儲存平臺的問世時間，都早於QLC SSD上市時間，因而都屬於日後延伸增加支援QLC的類型。</p> <p>而第2種類型的產品，又可細分為兩種形式：</p> <p>一為全快閃產品線的擴展，在原本全快閃儲存產品架構引進QLC，藉此提高容量、密度，並增強成本競爭力。例如：Pure Storage的FlashArray與FlashBlade系列、Dell的PowerScale系列、IBM的FlashSystem、NetApp的AFF與ASA，HPE的Alletra MP，以及DDN的AI400X2等。</p> <p>另一為混合陣列的快閃化，在原本的SSD搭配硬碟的混合架構中，以QLC SSD取代硬碟，藉此改善儲存密度與效能，如NetApp FAS系列、Nexsan 的E系列與Beast系列，還有Weka與Scality等分散式儲存平臺等。</p> <p>而從產品提供型態來看，我們則可將當前的QLC儲存陣列產品，區分為兩種類型：</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;">（1）專門的QLC儲存陣列產品線 </span></strong></span></p> <p>專門只提供QLC SSD的儲存陣列產品線，或是專門的QLC版本，這類型產品中，最著名的，便是問世最早的Pure Storage FlashArray//C系列，迄今已更新4個世代。另外，NetApp的AFF C與ASA C系列，富士通Eternus AC系列，DDN AI400X2 QLC版，華為OceanStor Pacific 9920，Hitachi Vantara VSP One Block的QLC版等產品，也都屬於這種類型。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;">（2）提供QLC SSD配置選項 </span></strong></span></p> <p>在原有儲存陣列的SSD配置選項中，額外提供QLC SSD的搭配選擇。例如：Dell PowerScale的F900與F600，HPE的Alletra MP，還有NetApp的StorageGRID等產品，都是以這種形式提供QLC SSD的支援。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>迅速擴展中的QLC應用環境</strong></span></span></p> <p>5年來，我們見證QLC SSD在企業儲存應用的擴散與普及歷程。早在2019年，當時只有VAST Data與Pure Storage這2家先驅廠商，提供採用QLC SSD的儲存陣列產品。到了今日，全部一線大廠都已將QLC SSD引進旗下產品線。</p> <p>其中Pure Storage與IBM這兩家大廠，更是將主力產品線的未來，都押注在QLC上。</p> <p>Pure Storage的FlashArray與FlashBlade等兩大主力產品，除主打高效能應用路線的FlashArray//X與FlashArray//XL，仍維持採用TLC，其餘產品線都已全面採用QLC。</p> <p>而IBM的FlashSystem系列，雖然也能支援一般的標準TLC NVMe SSD，但作為核心的FCM儲存模組，自2020年的第2代模組，到最新的第4代模組，都已轉向採用QLC。</p> <p>目前較重要的廠商中，仍堅持不採用QLC者，大概只剩下Infinidat。該公司宣稱藉由他們專屬的快取演算法，只須採用SSD搭配硬碟的混合架構，就能提供同等甚至超過全快閃陣列的效能，因而沒有以QLC SSD取代硬碟的必要。不過，在商言商，廠商沒必要一直自我設限，當初持相同論調的HPE，已在不久前棄守原有立場，轉為引進QLC SSD，我們預期Infinidat最終應該也會轉變態度，加入支援QLC SSD的行列。</p> <p> </p> <p><span style="font-size:26px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 大力支援QLC的Pure Storage與IBM </span></strong></span></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%8E%E5%BE%B7-QLC%E7%94%A2%E5%93%81%E4%B8%BB%E5%9C%961-1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Pure%20Storage.png" style="width: 600px;" /></span></span></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%8E%E5%BE%B7-QLC%E7%94%A2%E5%93%81%E4%B8%BB%E5%9C%961-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-IBM.jpg" style="width: 600px;" /></span></span></p> <p><span style="color: rgb(51, 102, 255);"><strong>上圖分別為Pure Storage的DFM儲存模組，與IBM的FCM儲存模組解剖圖。Pure Storage與IBM這兩家廠商，堪稱在所有一線儲存大廠中，對於支援QLC快閃記憶體的著力最深。例如，Pure Storage自2019年就推出基於QLC的DFM儲存模組，並逐步引進到旗下FlashArray與FlashBlade儲存產品線；IBM FlashSystem系列儲存陣列專屬的FCM模組，也自2020年的第2代起，便全面改用QLC。</strong></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">（圖片來源／Pure Storage、IBM）</span></span></p> <p> </p> <p><span style="font-size:26px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 主要大廠的QLC儲存陣列產品 </span></span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-%E5%B0%81%E9%9D%A22-600-1.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">資料來源：iThome整理，2024年11月</span></p> <p><a href="https://www.ithome.com.tw/article/166156" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(178, 34, 34);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1209-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=39bM2jNR" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/qlc%E5%BF%AB%E9%96%83%E8%A8%98%E6%86%B6%E9%AB%94">QLC快閃記憶體</a></div><div class="field-item odd"><a href="/tags/%E5%9B%BA%E6%85%8B%E5%84%B2%E5%AD%98%E6%87%89%E7%94%A8">固態儲存應用</a></div><div class="field-item even"><a href="/tags/%E5%BF%AB%E9%96%83%E5%84%B2%E5%AD%98">快閃儲存</a></div><div class="field-item odd"><a href="/tags/qlc-ssd">QLC SSD</a></div><div class="field-item even"><a href="/tags/ai">AI</a></div><div class="field-item odd"><a href="/tags/tlc-ssd">TLC SSD</a></div><div class="field-item even"><a href="/tags/60-tb">60 TB</a></div><div class="field-item odd"><a href="/tags/pure-storage">Pure Storage</a></div><div class="field-item even"><a href="/tags/ibm">IBM</a></div></div></div>
2024/11/22 14:04作者張明德https://www.ithome.com.tw/tech/166155
快修補！2千臺Palo Alto Networks防火牆已遭漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週一（11月18日）資安業者Palo Alto Networks修補PAN-OS管理介面身分驗證旁路漏洞CVE-2024-0012、權限提升漏洞CVE-2024-9474，<a href="https://www.ithome.com.tw/news/166075">當時，他們就提及有一定數量（Limited Number）的防火牆已經遭到攻擊</a>，但究竟有多少防火牆受害？這幾天，有研究人員公布相關的觀察現況。</p> <p>11月21日Shadowserver基金會指出，<a href="https://x.com/Shadowserver/status/1859532378508570931">他們發現全球約有2千臺防火牆遭遇漏洞攻擊</a>，其中美國、印度、泰國最多，分別有554、461、80臺。值得留意的是，臺灣也有58臺遭到入侵。</p> <p>另一方面，該基金會警告，<a href="https://x.com/Shadowserver/status/1859524801913573461">全球約有2,700臺防火牆尚未修補這些漏洞</a>，數量最多的仍是美國、印度、泰國，分別有932、484、96臺，至於臺灣，則有57臺未修補漏洞，數量排行全球第6。</p> </div></div></div>
2024/11/22 10:51作者周峻佑https://www.ithome.com.tw/news/166149
【發揮顧客、餐廳、外送員的數據及消費場景特性】富胖達如何實現外送媒體聯播網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「同樣行銷模式，我們打不贏Google、Meta。RMN必須強調自己特有的競爭力。」富胖達（Foodpanda臺灣）行銷總監陳嘉孟點出他們發展廣告業務的方針。</p> <p>今年9月，Foodpanda臺灣推出自家零售媒體聯播網，不只在App上對數百萬消費者投放數位廣告，更圍繞著外送平臺特性來打造整合行銷服務──將數百萬消費者、10萬外送夥伴及10萬合作商家，作為聯播網行銷對象，同時也作為行銷用數據來源。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>靠通路特性來變現平臺上交易與外送流量</strong></span></span></p> <p>陳嘉孟說，Foodpanda臺灣收到許多商業合作邀約，希望將外送平臺的交易流量和外送流量轉為行銷機會，讓他們決定積極發展廣告業務。</p> <p>他們設立了經營RMN的廣告部門，設計RMN功能，及執行後續行銷專案。陳嘉孟解釋，母公司產品團隊打造外送App上的數位廣告版位及底層投放系統，其他現成通路的行銷模式則靠人，由臺灣廣告部門負責經營。</p> <p>Foodpanda臺灣深知，只靠數位廣告難與其他同類業者直接競爭。他們採取的策略是，不和廣告巨頭比拚演算法，而是圍繞著平臺特性打造整合行銷服務，創造差異優勢。</p> <p>廣告團隊分析，自家業務獨特之處，是和數百萬消費者、10萬外送夥伴及10萬合作商家都有密切互動。</p> <p>這三個族群，分別在外送App、餐廳，以及送餐目的地等不同通路和場域，留下足跡和互動紀錄，可以產生行銷機會，跟可以用來強化行銷精準度的數據。這些特性，讓Foodpanda決定採取多通路、多行銷模式、多行銷族群的整合行銷服務。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Foodpanda如何利用外送業務特有數據來行銷</strong></span></span></p> <p>Foodpanda可整合的廣告通路十分多樣，包括外送App、餐廳、外送商品袋、社群媒體、電子報、自家倉庫、線下活動，甚至外送機車車廂。這些通路中，可以投放數位廣告，像是App各種廣告圖文、行動呼籲（Call to action）、特殊餐點組合行銷等。也可以進行線下行銷，包括多通路戶外廣告、商品派樣和線下舉辦行銷活動等。</p> <p>Foodpanda臺灣也將廣告主產業常見需求，組合特定通路和作法，建立了一套整合行銷模板。例如行動呼籲型廣告模板可供金融保險業蒐集潛在客戶聯繫名單，餐飲類商品則可以和餐廳合作，推出套餐組合促銷。</p> <p>廣告部門行銷人員以專案方式執行，以模板為基礎來設計客製化整合行銷企畫。行銷人員可以利用手中消費者、餐廳及外送員數據，來支援廣告投放策略。</p> <p>這些數據包括常見的消費者手機號碼、Email、位置、性別、支付方式、信用卡銀行、裝置作業系統、裝置型號、電信業者、客單價、消費時段等基礎資訊。</p> <p>不只如此，廣告部門行銷人員還可以取得不少外送平臺獨有的數據維度，例如消費者的餐廳和食物偏好、生鮮百貨商品需求、取餐習慣，外送員送餐時段及地區，以及餐廳菜系、價位、客單價、營業時段、常見顧客分眾等，來進行分眾行銷。</p> <p>不只線上投廣可以分眾，線下行銷時，也能利用不同數據，來達到一定程度的分眾行銷。例如，根據外送員排班時段和區域，來投放廣告到外送機車車廂。或者，針對消費者特性及訂餐內容，來決定商品派樣對象。</p> <p>分析數據時，行銷人員主要靠BI工具Tableau，而沒有採用套裝的Martech產品或服務。</p> <p>Foodpanda會定期綜合各通路行銷結果，以報表形式提供成效數據給廣告主，線上行銷數據包括數位廣告點擊、曝光和轉換等常見指標，以及是否有達到行銷KPI。目前還沒有提供廣告主儀表板等自助式即時監控功能。</p> <p>至於線下數據，陳嘉孟坦言，線下廣告確實較難以追蹤行銷成效，商業模式多為以曝光為計價標準，類似於公車廣告等戶外廣告，因此報表上的數據以推估曝光數為主。</p> <p>除了由Foodpanda廣告部門操作的行銷活動，他們還有另一個將自家數據用於廣告的做法。他們與全球最大獨立DSP （廣告需求方平臺）The Trade Desk合作，用去識別化技術匹配平臺消費者資料。廣告主除了透過Panda Ads，還可以透過TTD的DSP，來對Foodpanda消費者投放廣告，並即時追蹤廣告活動成效。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>發展RMN廣告業務的前提是不影響核心外送業務</strong></span></span></p> <p>雖然Foodpanda也算是電商，但其RMN與電商常見模式大不相同。</p> <p>常見電商RMN做法是，用手中大量商品及顧客數據優勢來打造推薦演算法，搭配自動化競標、投放等機制，來進行高度自動化的即時精準行銷。</p> <p>這類RMN，廣告主通常是零售業者的供應商，且行銷活動與顧客的商品探索和購買環節緊密結合。用意是，在顧客實際購買階段傳遞行銷訊息，期望提升行銷轉換為平臺交易的比例。Momo、PChome等電商，就是採取這種在既有核心商務加入廣告元素的模式。</p> <p>Foodpanda RMN更貼近於OMO零售業者的RMN做法，行銷操作和數據作業常須仰賴人工，在線上通路發展數位廣告，同時發揮線下通路特性來提供多元行銷選項。</p> <p>這類RMN的行銷通路與形式，圍繞著零售通路和商業模式特性來設計，廣告主未必是供應商，行銷時機也不限於顧客探索商品與購買商品的環節。超商雙雄旗下的RMN，便屬於這類，圍繞著自家零售特性，打造一套與零售業務並行的廣告業務。</p> <p>但是，Foodpanda整合行銷服務，則是環繞在核心外送業務的周邊，必須與外送業務有關聯，但又不能影響核心業務，以維持消費者使用App的體驗。</p> <p>例如以廣告主來說，平臺上商家的行銷服務由外送業務部門負責，廣告部門則負責想要在Foodpanda通路上打廣告的其他品牌廣告主。</p> <p>在外送App上，Foodpanda臺灣更限制廣告部門可操作的廣告版位與行銷模式，只能使用與「外送點餐」核心業務流程關聯性較低的版面，例如App內輪播廣告、下單後廣告、支付方式更換呼籲等。但在廣告內容上，就算是非平臺用戶的品牌，也得與外送服務有一定程度關聯。</p> <p>陳嘉孟表示，App上廣告最高原則是，「不可以影響外送點餐體驗，否則外送轉單率只要掉1%，就是天文數字的虧損。」</p> <p>不只要避免RMN行銷活動對外送業務的衝擊，為了進一步保護核心業務，廣告部門也不許提供任何可能影響到外送核心業務的行銷數據，尤其不能透露可回推外送業務規模的數據。並且，所有廣告主都必須簽署NDA，所有行銷數據都不可外傳。</p> <p>這種RMN廣告業務與外送核心業務有點黏又不能太黏的模式，帶來了Foodpanda廣告部門3大限制──行銷模式必須以消費者體驗優先、廣告版位有限，以及可與廣告主揭露數據有限。</p> <p>陳嘉孟進一步說明，行銷模式必須以消費者體驗優先，不能用太過搶眼的作法，但又必須顧及成效。</p> <p>這帶來第二個限制，外送App上可用的廣告版位種類和數量都有限制，固定時間內的廣告總曝光量較低，造成不同廣告主的行銷內容在曝光度及價格上互相競爭、排擠。</p> <p>前兩項限制，為Foodpanda RMN可承接的行銷案件數量設限。事後能與廣告主揭露數據種類不多，則容易使廣告主對行銷成效產生疑慮。</p> <p>這三項限制，使Foodpanda廣告團隊必須花許多功夫來說服廣告主。</p> <p>陳嘉孟坦言，魚與熊掌不可兼得，以他們廣告版位數量，總曝光量和精準度必須取捨。目前，Foodpanda RMN處於發展初期，客戶數還不多，且仍多著重於總曝光量。未來有更多廣告主競爭同一批版位時，他們計畫更細緻地圈選受眾，來更精準地投放廣告給更小群的適當消費者。這樣一來，同一個版位，就能同時用來刊登更多廣告主的行銷內容。</p> </div></div></div>
2024/11/22 11:08作者郭又華https://www.ithome.com.tw/news/166150
【靠MA、CDP、智慧客服系統，改善四大行銷痛點】易遊網如何靠Martech每月多賺千萬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當易遊網行銷長林怡誠被問到Martech帶來的效益，只是拿出計算機，眼睛轉了一圈，按了兩下，「以CDP再行銷，單是機票跨售飯店的促銷，每月提升至少百萬營收。」</p> <p>這只是其中一項行銷活動。每個月，臺灣本土首間線上旅行社易遊網導入的Martech產品，總共為他們帶來上千萬元的額外營收，每一塊錢收益，都可以清楚歸因到特定行銷通路和Martech產品。這是易遊網ezTravel近5、6年，歷經一系列行銷組織、流程及科技改革，累積而來的成果。</p> <p>早在24年前就發展純線上旅行社的易遊網，一直以來相當注重IT。從網站、行動應用到不少其他內部系統，都是由內部IT團隊自行開發。林怡誠說，易遊網許多數位做法，都是臺灣旅遊業先行者，舉凡開出電子機票、完成線上刷卡、數位會員回饋，以及串接三大國際支付工具，他們都是第一家。2015年，他們就開始經營手機App，至今已經是營收占比最大的通路。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>行銷數位轉型鎖定4大痛點，向金融業取經</strong></span></span></p> <p>林怡誠指出，易遊網數位轉型不是受疫情所迫，而是在國內旅遊高峰期的2018、2019年時，觀察到多項挑戰及痛點，而自主發起。</p> <p>首先是競爭加劇。國內外比價平臺、住宿平臺、票券平臺等強力競爭者紛紛加入臺灣市場戰局，使易遊網必須持續強化自身競爭力。</p> <p>其二是數據難以投入應用。易遊網坐擁3、400百萬會員分散在不同接觸點的數據，難以用來進行個人化、自動化行銷。</p> <p>第三是不同行銷通路未整合。內外部行銷通路都需要在個別系統操作，難以整合數據並量化追蹤行銷成效。</p> <p>最後，則是IT部門資源有限。易遊網高度數位化的文化，產品、業務、行銷等不同部門都有高度IT需求。6、70人規模的IT部門在旅遊業不算小，但仍分身乏術。</p> <p>林怡誠是金融業十幾年行銷老將，加入易遊網後，他用3個金融業行銷原則，來改造易遊網的行銷模式。這3個原則是數據化、標準化和以人為本的行銷。</p> <p>易遊網不只擴大了對數位廣告的投資，成立廣告投放部門，來進行標準化和數據化行銷。在內外部行銷通路都埋了自家開發的追蹤程式碼，以統一追蹤不同行銷通路的狀態和成效。還成立會員行銷部門，行銷方針從原本以訂單或產品為出發點，改為以會員行為和喜好出發。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>導入MA及CDP系統，打造標準化、自動化的會員行銷流程</strong></span></span></p> <p>隨著易遊網增加數位廣告投放規模，他們也發展出更多行銷邏輯及做法。隨之而生的需求是，要處理更多會員、廣告及產品數據，以及要有管理和自動化執行大量行銷流程的機制。</p> <p>於是，他們導入了MA系統，來一站式管理和執行行銷邏輯和流程，不須仰賴IT部門頻繁手動撈取數據，也能實驗並發展出更多數據驅動的行銷做法。</p> <p>疫後，旅遊需求大爆發，帶來更多數據處理需求，以及前所未有的競爭局勢，他們導入疫前開始評估的CDP，來進一步強化會員數據分析，以支援精準行銷，在這波旅遊消費浪潮抓住更多營收。</p> <p>例如，他們分析出顧客購買機票後，預定飯店的時機和行為模式。結合會員個人喜好，對剛購買機票的顧客推銷飯店。將飯店跨售轉換率從原本8%提升到超過10%，估計每個月帶來百萬元以上營收。「國外大型線上旅行社這項轉換率約20%，我們還有進步空間。」林怡誠坦言。</p> <p>另一個例子是，從顧客行為模式中分析出購買機票的猶豫客，來進行推銷，每個月促成500名消費者購買機票，以平均機票價12,000元來算，就是5、6百萬元額外營收。</p> <p>林怡誠表示，利用CDP綜合分析顧客數位足跡和行為模式，讓易遊網的行銷慢慢從「點」延展到「線」，能根據顧客行為模式來決定行銷時機和方法。未來，希望分析出更多中長期顧客旅遊消費模式，找到更多行銷機會。</p> <p>他們也會比對來訪流量與CDP資料，來判斷出非會員的顧客，會員權益，平均每個月吸引5,000名新會員。另一個做法是，辨認出自有通路難以觸及或轉換的顧客，在投放外部廣告時，加強鎖定這些族群。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>導入智慧客服系統輔助售後服務及行銷，未來還要利用生成式AI進一步強化</strong></span></span></p> <p>因應旅遊需求暴增而導入的另一個科技是客服系統。林怡誠說明，疫情衝擊導致機票住宿改動需求增加，到疫情過後，許多旅遊活動復甦，都大幅提升了客服人力的負荷。借助客服系統，用簡單QA功能預先過濾部分進線，並更有效率的排序進線案件，以增加案件的消化量。下一步，他們計畫導入生成式AI，用聊天機器人處理機票改動等較複雜的客服案件。林怡誠說，線上改機票機制處理了75%需求，不過，仍有不少顧客希望透過對話來完成退改票需求而打電話給客服。「用生成式AI來支援，有望進一步降低客服負荷。」</p> <p>目前，客服系統是易遊網CDP資料來源之一，從對話內容擷取顧客特徵，再歸戶到CDP會員資料中。他們希望，未來可以反過來透過CDP支援客服，以打造個人化客服體驗。</p> <p> </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E6%98%93%E9%81%8A%E7%B6%B2martech%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Appier.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>易遊網Martech架構及數據流簡圖。透過導入CDP及MA等Martech，他們能一站式整合不同通路的數據，並從企業高度來管理和操作數位行銷。</strong></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Appier</span></span></p> <p> </p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>行銷成效評估及歸因能力的關鍵是自建追蹤機制</strong></span></span></p> <p>導入外部Martech對易遊網行銷模式帶來許多改變，具體帶來哪些效益，得靠易遊網內部開發的追蹤機制。</p> <p>早在2018、19年，易遊網啟動行銷數位轉型時，就在內外部各個行銷通路都埋了追蹤程式碼。「我們常常覺得，Google或Meta這些平臺的成效數據好像跟實際訂單增加情況不符，決定靠自己來追蹤成效。」林怡誠回憶，要在許多不同個行銷節點埋追蹤點，工程浩大。這是行銷部門第一次和IT部門共同推行大規模專案，雖然過程艱辛，成果是，可以用自定義的標準，來統一追蹤全行銷通路的成效。</p> <p>導入外部Martech之後，在新的行銷模式、通路及系統上，易遊網也持續埋入自家追蹤碼。這樣一來，不但能知道不同通路的行銷成效，更能觀察哪些Martech產品，為這些行銷成效帶來貢獻。</p> <p>行銷部門能細緻且具體追蹤行銷成效，不只有助於擬定行銷策略，更帶來財務面效益。</p> <p>「導入MA之初，公司就嚴格要求行銷部門，產生的營收要大於費用。」林怡誠說，正是有這套追蹤碼，易遊網才能準確評估，投資Martech是否能帶來正面收益。甚至，後續投資更多系統，如CDP、客服時，也更容易用數據說服老闆。易遊網自家追蹤數據顯示，MA和CDP系統很快產生效益，導入半年就打平相關費用。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>導入套裝Martech產品的挑戰</strong></span></span></p> <p>在易遊網導入套裝Martech產品過程中，林怡誠分享了他們遇到的3個挑戰。</p> <p>首先，導入MA和CDP等系統時，資料清洗與整合工程浩大，需要花上數月到半年時間。行銷部門應該向IT部門充分說明，數位行銷做法調整，會如何提升數據撈取的需求量跟複雜度。對原本開IT工單逐次手動撈取資料的作法，負擔很大。相對來說，一次性的導入作業雖然龐大，但能大幅降低後續IT支援行銷資料存取的需求。「長痛不如短痛。」林怡誠直言。</p> <p>第二是得降低第三方系統的數據安全疑慮。易遊網做法包括嚴格劃分數據存取權限，以及額外設立一個雲端環境，用來上傳給Martech系統的資料。這個設計可以確保，易遊網只提供自己願意分享的資料，也避免廠商的存取行為，直接連結到易遊網系統。分別設有雲端環境的管理帳號，以及易遊網主IT環境存取帳號，更容易劃分權限。</p> <p>第三則是需要確保數據自主權。易遊網會將廠商平臺上的分析數據所得出的洞察，例如會員標籤、會員分眾等，都回存到自家資料庫，來降低廠商綁定風險。這樣一來，轉移到其他Martech廠商產品時，仍能保留部分數據及洞察。</p> <p>易遊網行銷轉型下一步，是開始評估利用生成式AI來支援行銷。例如，隨著易遊網發展出越多行銷做法，且行銷模式更加個人化，他們希望用生成式AI來支援行銷人員產出更多行銷素材，如宣傳圖、折扣碼等。</p> <p>其他易遊網正在探索的生成式AI應用情境，包括顧客貼標、顧客旅程規畫、即時對話式行銷、解決進階客服需求等。「我們希望利用生成式AI，更精準預測顧客行為，並快速迭代推薦內容。」林怡誠說。</p> </div></div></div>
2024/11/22 11:20作者郭又華https://www.ithome.com.tw/news/166151
美國司法部提議Google出售Chrome業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部周三<a href="https://storage.courtlistener.com/recap/gov.uscourts.dcd.223205/gov.uscourts.dcd.223205.1062.0.pdf" target="_blank">提議</a>法院，應要求Google出售Chrome業務，以有效解決Google搜尋市場的壟斷。</p> <p>哥倫比亞特區聯邦地方法院法官Amit P.Meht今年8月<a href="https://www.ithome.com.tw/news/164309" target="_blank">判決</a>，Google利用不當通路手段維持非法壟斷搜尋及搜尋廣告市場。美國司法部這份提交法院的建議最終判決文件，是對法官建議懲處及矯正措施。但最終決定權仍是在Meht法官手上。</p> <p>這份23頁的文件和<a href="https://www.ithome.com.tw/news/165427" target="_blank">10月份</a>司法部的提議大致雷同，但用詞更為明確。內容主要說明Google是透過和裝置、瀏覽器業者簽定獨家合約、集中及獨攬用戶使用分析資料等方法，而獲致搜尋引擎及搜尋廣告的獨大地位。美國司法部指出，Google持有及控制Chrome及Android將減弱矯正措施的效果，因此必須讓Google放棄（divest）Chrome，後者是鞏固其壟斷地位的重要因素，以實現競爭者通路合作的可能。</p> <p>司法部也認為Android是支持Google壟斷的因素，但說要求出售該業務可能引發Google和其他市場參與者的強烈反對，因此建議行為矯治手段來削弱Google對Android生態系的控制。但美國政府說，一旦矯治措施無效，也會建議要求Google出售這個作業系統。</p> <p>為解決Google壟斷對搜尋服務及搜尋文字廣告市場的損害，且確保Google無法再維持壟斷或閃避法院判決，司法部提議法院禁止Google和第三方廠商如裝置製造商或瀏覽器業者簽定獨家合約、禁止它擁有和控制搜尋相關產品（如Chrome）、禁止Google收購、少量投資或合作以免扼殺新興業者，也要求Google將搜尋分析資訊和業界共享、提高廣告投放的透明度，以及成立技術委員會每月向政府報告Google搜尋及廣告拍賣改革的進度等。</p> <p>Google法務長Ken Walker周三<a href="https://blog.google/outreach-initiatives/public-policy/doj-search-remedies-nov-2024/" target="_blank">回應</a>，這份建議已無限上綱，範疇遠超越法院決定，也會摧毁Google眾多產品，不只是搜尋，最終損及美國民眾利益。</p> <p>Google認為，出售Chrome和Android，以及公開用戶分析內容將危及美國用戶的安全和隱私，影響用戶使用Google搜尋、也會傷害仰賴Google搜尋的業者如Mozilla Firefox，且使Google對AI的投資卻步。Google並說，政府要求技術委員會，是對Google搜尋和其他科技過度的微管理。</p> <p>Google將在12月提交自有版本提議。本案預計於2025年由法院作出最終判決。</p> </div></div></div>
2024/11/22 11:37作者林妍溱https://www.ithome.com.tw/news/166148
48天全院IT火速上線，高醫岡山醫院下一步邁向智能化
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為一位IT人，從無到有幫忙開一家醫院，是個怎樣的體驗？</p> <p>準備將近10個年頭，坐落在高雄捷運紅線上的高雄醫學大學附設高醫岡山醫院，今年4月試營運、8月全面啟動。一樓大門一進來，旁邊就立著柱狀機臺，員工可以刷臉辨識或感應卡片，來打卡上下班。大廳正前方，還有面260吋的LED電視牆，管理者動動手指就能設定播放內容、即時秀出重要資訊，方便民眾認識醫院，比傳統用USB傳檔更快更靈活。</p> <p>甚至在民眾看不到的地下一樓，還配有高科技製造業專用的智慧倉儲機，來精準管理藥庫。它連接了醫院最重要的醫療資訊系統（HIS），能根據領藥單上的品項，自動彈出藥品收納盒。或是，只要刷新購入的藥品條碼，就會打開相對應的料盤，來準確記錄和收納。</p> <p>這是高醫岡山醫院智慧醫院的部分成果，來自高醫岡山醫院資訊室主任蔡文宗與團隊的巧思。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>階段1：建築規畫</strong></span></span></p> <p>作為醫院營運的幕後推手之一，他指出，IT輔助開院，分為4大階段，包括建築規畫、籌設討論、基礎建設和智能發展。蔡文宗從第一階段的建築規畫，就開始參與。</p> <p>高醫大附設中和紀念醫院（簡稱高醫附醫）籌畫高醫岡山醫院時，就定下目標，要打造出一家「智能醫院」，需要智慧醫療開發經驗的人才。當時，蔡文宗是高醫附醫資訊室智能研發組組長，開發過不少智慧醫療應用，於是2019年，他被找來擔任新醫院籌設的諮詢委員，提供軟體建置建議。</p> <p>第一階段的焦點是空間運用和預算規畫，比如哪些單位需要多少空間，或網路該如何布建等。高醫附醫做了幾項攸關日後智慧醫院發展的關鍵決定，比如要求委外的資訊廠商，不帶主機進醫院資訊機房，釋放實體空間。這是因為，高醫岡山醫院成立之初，就立下「建立私有雲」的目標，自建虛擬雲端空間、全面雲端化，因此要求廠商使用院內雲端資源，而不像一般醫院預留機房空間，來部署廠商的實體主機。</p> <p>同時，他們也要求醫療儀器廠商，將儀器產出的資料直接上傳到醫院系統，有別於傳統做法，得手動用USB來存取儀器數據。</p> <p>「現在是大數據時代，」蔡文宗點出，各類儀器累積的數據，就是未來醫療AI的養分，得從設備源頭直接收集、留存原始資料。這是籌設團隊做的另一個關鍵決定。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>階段2：籌設討論</strong></span></span></p> <p>到了2022年8月，進入第二階段，蔡文宗從諮詢委員的角色，正式轉為籌設團隊中全職的資訊團隊辦公室主任，和高醫附醫的工程師們，一起展開IT建置工作。</p> <p>因為開始動手，蔡文宗直言，這個階段的難度變高了。尤其，硬體部分，要先搞定不同設備複雜的網路設定，才能讓各處室順利啟用。他形容：「IT就像是神經網路，許多醫療儀器、設備都得靠IT來傳送資訊。」蔡文宗於是向長官提議，先完成資訊室的建置，才能協助其他單位快速上線。</p> <p>獲得支持後，高醫附醫IT團隊全員動起來，在他們的努力下，資訊室成為高醫岡山醫療大樓第一個落成且通電的處室，為後續開院打下重要基礎。</p> <p>不只硬體，軟體部分也得與時間賽跑。為了在最短時間內上線，他們一開始就決定，先在高醫附醫中建置虛擬環境，來打造新醫院需要的各類系統。等到新醫院通電、可搬遷系統後，再將這些系統從高醫附醫轉移到新醫院，來降低系統搬遷的困難度。</p> <p>為做到這一點，蔡文宗請工程師們先盤點出需要自建與委外的系統，約3、400套。自建的系統，一方面與高醫體系的資料串聯，另一方面也與各單位討論，如何建置新醫院的基本檔案，如物料、藥物、醫令等。委外系統部分，同時要求廠商提前建置新醫院系統的後臺和資料庫，以利後續測試和上線。</p> <p>蔡文宗補充，整個高醫體系的各分院，使用同一套程式，但部署在各自的伺服器和資料庫。好處是，對外網路斷線時，分院能照常營運，再加上系統都在分院內，搭配新醫院的光纖骨幹網路，其反應速度比靠連線存取總院資源還要快。</p> <p>「能做的，我們盡量在前期做，」這是蔡文宗在第二階段工作的重要原則。</p> <p>在發展軟體應用的期間，他們也開始思考，「什麼是智慧醫院？」他點出，高醫岡山醫院的成立初衷，是要成為一家智慧醫院，但每個人對智慧醫院的想像不盡相同，團隊花了非常多時間跨部門討論，更走訪北中南多家醫院借鏡學習，如長庚土城分院、中附醫新竹分院、中榮到屏榮等院。</p> <p>最後，他們聚焦出，融合在地需求的智慧醫院發展方向，包括了少紙化、減少人力作業和優化病人就醫體驗等三大方向。其中，考量就醫族群中不善3C操作的長者，病患端的掛號單、藥單仍保留紙本，少紙化策略先鎖定院內流程來落實。</p> <p>再來，高醫岡山醫院地理位置，離市中心有段距離，人才招募不易，因此，新醫院導入了更多自動化應用，如導入程式輔助和機器人應用，來減少人力需求、分擔既有人力負荷。</p> <p>至於優化病人就醫體驗，則聚焦流程優化，「讓病人不要感覺冷冰冰的，」蔡文宗強調。於是，籌設團隊盤點高醫體系流程，從中挑出部分流程重新改造，要跳脫歷史包袱，嘗試新應用。</p> <p> </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-CIO-%E6%8A%BD%E8%A8%80.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">（攝影／洪政偉）</span></span></p> <p> </p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>階段3：基礎建設</strong></span></span></p> <p>蔡文宗坦言，第三階段的基礎建設，才是真正的大挑戰。因為，相較於第二階段、IT有1年多時間準備和測試，第三階段只有短短不到2個月的時間可用。</p> <p>「今年2月才接電，4月醫院就要開幕！」蔡文宗記憶猶新：「扣掉過年，只剩下40多個工作天，那時每天開會拼進度，就是把全院IT設置好。」</p> <p>這些IT工作，不只要將虛擬環境轉為正式環境，部署約500臺地端電腦，還要建置內網環境、無線AP、對外光纖、健保VPN和儲存設備等，甚至IT還要負責安裝條碼掃描機、條碼列印機等醫院常見設備。</p> <p>「我們每天追蹤進度，要是哪邊落後了，就要想辦法提前。」蔡文宗透露，好在高醫附醫IT團隊一如既往的支援，讓這些基礎建設工程順利趕工。甚至，高醫附醫還撥出40名IT人力，在3月底到新醫院現場，一起進行系統上線前測試，實際模擬整套病人就醫的流程。</p> <p>為因應上線時可能發生的突發狀況，不少部門同步進行流程沙盤推演和演練，像是護理部就制定病人動線，來避免狀況發生時的擁擠。就連IT自己也準備了備用計畫，由高醫附醫設置一套單機版開藥和開醫令系統，來因應雲端系統出事時，還有單機系統能營運。</p> <p>後來，高醫岡山醫院順利開幕，上線至今沒出現大麻煩。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>階段4：智能發展</strong></span></span></p> <p>開幕後，高醫岡山醫院IT團隊集中火力，發展智能醫院應用。第一步先導入醫事人員行動憑證，讓醫護人員用行動裝置簽核資料，不必再找桌機、插卡才能作業。</p> <p>高醫附醫幾年前就導入醫事人員行動憑證，蔡文宗非常熟悉整套流程，今年5月取得醫事憑證管理中心發出的許可後，他們快速打造醫事人員行動憑證應用，不只用於電子病歷簽核，也可用來簽核電子處方箋。</p> <p>解放醫護人員的行動力之後，高醫岡山醫院全力發展智能醫院3大目標。在少紙化目標上，改以平板簽署同意書，取代紙本，也將衛教單張和自我健康評估表等表單電子化，還提供QR Code掃描、顯示病人衛教資訊，減少紙張使用。</p> <p>針對減少人力作業的目標，團隊也做了不少努力，比如打造診間檢查報到叫號系統，透過系統連接廣播，自動叫號下一位病人，護理師不必再自己動口。</p> <p>高醫岡山醫院也導入手術器械運輸機器人，搭配醫院設計之初就劃定的專用走道，來運輸手術使用過的器械，送去消毒。其他應用，還有藥庫管理的智慧倉儲機、管理藥物調劑的智能調劑臺，以及行動化的醫學影像PACS管理系統。</p> <p>至於優化病人就醫體驗目標，高醫岡山醫院引進不少智慧裝置，例如設置在小兒科診間的大型互動裝置，兒童患者可以跟螢幕中的卡通動物玩遊戲、互動，又或是特別引進的智慧輪椅，使用民眾可在輪椅配置的螢幕中，點選想去的目的地，再根據指示操控輪椅移動。</p> <p>開頭介紹的大廳電視牆、支援虛擬健保卡的叫號燈和醫院360度環境導覽等，也都是優化病人流程體驗的實例。蔡文宗說，目前只是萌芽階段，還有更多智能化任務進行中。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>下一步瞄準混合雲和GAI</strong></span></span></p> <p>要朝智能醫院更進一步，高醫岡山醫院IT還有許多工作要做。</p> <p>其一是發展混合雲架構。目前，高醫岡山醫院大大小小的HIS系統，已在自建的私有雲執行，蔡文宗規畫，短期少用的冷資料、備份資料，還有醫院承接計畫案的資料，如政府健康福祉計畫等，未來要改儲存到公有雲。</p> <p>高醫岡山醫院也看好AI應用。蔡文宗回顧，在IT架構上，不論是高醫體系這幾年新開發的Web架構系統，還是舊有的主從式架構系統，已經用Web API串聯AI推論或用於對外交換資料，串接第三方應用也不難。在易串接的基礎上，高醫岡山醫院將配合高醫體系的AI政策和專案，來落地新應用。近期，他們正研究，要透過GenAI將非結構化資料轉為結構化病歷，方便後續分析運用。</p> <p>蔡文宗透露，接下來1年，高醫岡山醫院IT還要聚焦醫院及教學醫院評鑑，同時準備ISO 27001和27701兩大資訊系統認證，建立好IT體質。更重要的是，要持續導入臨床和教學研究智慧專案，「智慧醫療對高醫岡山醫院來說，現在只是起點，不是終點。」</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>高雄醫學大學附設高醫岡山醫院資訊室主任蔡文宗</strong></p> <p>學歷：淡江大學資訊工程研究所碩士畢業</p> <p>經歷：曾任職於科技業、中鋼集團，2012年跨域進入高醫附醫資訊室擔任資訊工程師，2018年擔任資訊室技術支援組組長，隔年轉型為智能研發組。2022年借調至高醫岡山醫院籌設營運處協助籌設營運、資訊建置與規畫之業務，並於高醫岡山醫院試營運後擔任資訊室主任</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-%E9%AB%98%E9%86%AB%E5%B2%A1%E5%B1%B1%E9%86%AB%E9%99%A2.jpg" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫院檔案 </span></strong></span></p> <p><strong>高雄醫學大學附設高醫岡山醫院</strong></p> <p>●地址：高雄市岡山區捷安路8號</p> <p>●成立時間：2024年4月22日</p> <p>●主要業務：提供醫療照護服務</p> <p>●網址：<a href="http://www.kmugh.org.tw">www.kmugh.org.tw</a></p> <p>●員工數：約500人</p> <p>●院長：黃炫廸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：資訊室主任</p> <p>●資訊部門主管姓名：蔡文宗</p> <p>●直屬主管：副院長李經家</p> <p>●部門分工：分為基礎建設維運、資訊安全管理、資訊發展策略及臨床智能推動</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2016年：高醫岡山醫院籌設營運處資訊團隊辦公室成立</p> <p>●2022年：高醫岡山醫院展開為期1年多的籌設討論階段，IT開始招標、建置機房，同時建置醫院系統虛擬環境、盤點與測試系統；制定智能醫院發展3大目標</p> <p>●2023年：與高醫附醫及高市府聯手組隊，獲總統盃黑客松卓越團隊 8R+「融心匯智道平安」；獲「醫事人員行動憑證之申請方法及電子病歷簽核方法」專利</p> <p>●2024年：2月高醫岡山醫院資訊機房送電與資訊設備進駐；3月沙盤推演、上線前演練；4月高醫岡山醫院試營運；5月取得「急重症患者到院前警示方法」專利；11月完成ISO 27001資訊安全管理系統外部稽核</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1209-cio-960.jpg" width="960" height="420" alt="" title="高雄醫學大學附設高醫岡山醫院資訊室主任蔡文宗。　（攝影／洪政偉）" /></div></div></div>
2024/11/22 11:44作者王若樸https://www.ithome.com.tw/people/166153
微軟更新WSL加入RHEL官方發行版並強化企業安全管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布多項有關WSL（Windows Subsystem for Linux）的<a href="https://devblogs.microsoft.com/commandline/whats-new-in-the-windows-subsystem-for-linux-in-november-2024/">更新</a>，當中值得關注的是RHEL將成為官方支援的WSL發行版本。此外，微軟針對企業用戶推出Entra ID整合功能，進一步提升WSL的實用性與安全性。</p> <p>微軟表示，RHEL將會在未來數月內，正式成為WSL官方發行版本。雖然目前使用者已能在WSL上執行任意各種Linux發行版本，但是在成為官方支援版本後，RHEL的安裝與管理將變得更為便利。使用者可透過wsl --list --online指令，快速查看所有可用的發行版本清單，不需要手動搜尋或設定，或直接使用wsl --install指令進行安裝，不需要額外的步驟或是設定。</p> <p>在架構設計方面，微軟宣布引入全新的格式架構，WSL新架構以tar為核心，可以簡化發行版的開發和發布流程。過去建立WSL發行版需要將.tar檔案封裝成.appxbundle，並透過Microsoft Store發布，但是新架構讓開發者僅需調整.tar檔案，並且添加必要的設定檔案，即可完成設計。這不僅降低了技術門檻，也讓企業用戶能透過內部網路共享自定義發行版，強化部署靈活性。</p> <p>針對企業需求，微軟推出了Intune與Entra ID的整合功能。Intune目前已經全面支援WSL，IT管理人員可以藉由條件式存取政策，限制企業內部使用的WSL發行版與版本號，強化安全性，並提升Linux發行版的可見性。</p> <p>同時，WSL整合Entra ID功能則進入私有預覽階段，其強調零信任架構，提升企業資源存取的安全性。該功能改進憑證傳遞的方式，避免憑證透過網路封包傳送，同時也替Linux程序提供自動化的Windows身分認證。</p> </div></div></div>
2024/11/22 08:21作者李建興https://www.ithome.com.tw/news/166146
展望2025國際治理趨勢，BSI揭露董事會「義務」成新主軸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著生成式AI應用的高速發展，企業在面對數位與永續轉型浪潮，以及AI風險快速竄升之際，我們該如何解決與因應這些風險與挑戰？</p> <p>在11月舉行的英國標準協會（BSI）數位信任國際資安標準年會上，該公司東北亞區董事總經理蒲樹盛強調，今年一項備受關注的國際趨勢，就是對「董事會義務」的高度重視，這是國內企業在公司治理上需關切的重要發展，他共歸納4大重點。</p> <p>首先，當今的公司法正強化受託人義務，從治理層面全面提升應對能力。他解釋，所謂受託人指的就是公司董事、獨立董事、高階經理人，這些都是受託來管理公司組織的人，更重要的是，現今重點是放在「義務」，也就是應符合利害關係人的期待，包含客戶、員工、股東認為公司應該要做到的事。</p> <p>換言之，從國際上公司法都在修法的趨勢來看，目的不僅是強化董事會責任，更要強化董事會義務。近年臺灣企業設立資安長、永續長，其實也是類似狀況。</p> <p>第二個重點是風險治理，所謂治理（Governance），就是管理（Management）＋領導力（leadership），而風險治理就是企業內部要有風險管理系統、風險管理框架，才能足以識別及管理風險。</p> <p>蒲樹盛以資料外洩情況為例，說明現在一家企業要如何判斷法官的見解，不僅是從企業是否符合利害關係人期望，做到上述所提的義務，另一重點就是公司是否有治理架構，董事會成員是否有具備風險管理的專家，以及公司內部是否建立風險管理框架。</p> <p>像是國內證交所在資安事件重訊的規範，不論是次一營業日的開盤前2小時要公告重訊，或是損失3億元或股本20%應召開重訊記者會，如果一家企業連這些發布規範都不清楚，外界也很難相信該公司會有風險治理的框架，因此法官也就會做出對企業不利的判決，導致企業訴訟風險大增。</p> <p>第三個重點，是董事會成員必須具備4大核心能力與義務，不僅包括所有公司均應具備的「謹慎（Duty of Care）」，現行規範更進一步強調「忠實（Duty of Loyalty）」的承諾，以及「勤勉用功（Diligence）」與「專業技能（Skill）」的履行。在國際間，這些義務已是公司法改革的重點。</p> <p>最後一個重點在於，解決風險與確保組織韌性的能力。事實上，確保組織韌性已是近年資安防護不斷強調的主軸，這方面的能力已成不可或缺的一環。</p> <h3><strong>違反合規的罰則最高來到全球營業額7％，比GDPR更高</strong></h3> <p>對於公司經營層與董事會而言，在應對前述科技與環境風險之下，合規風險的層面也不容輕忽，蒲樹盛指出，近年來全球罰則正不斷升高。</p> <p>回顧多年前被譽為最嚴格個資法的GDPR，最多罰全球營業額4%，現在這樣的比例，其實已經算低。</p> <p>例如，2023年11月底正式施行的歐盟數位服務法（DSA），此法針對社群平臺等數位服務提供者加以規範，以打擊線上非法服務或內容，其違反者最高可罰全球營業額6%；預計明年實施的歐盟人工智慧法案（EU AI Act），不只是建立AI全面監管框架，本質上更是一個產品安全的規範，違反者可罰全球營業額7%。</p> <h3><strong>永續資訊揭露明年實施，尚未行動的上市櫃公司需及早準備</strong></h3> <p>在永續方面也有重要進展，不僅是歐盟在2023年實施的企業永續發展報告指令（CSRD），還有國際上IFRS永續揭露準則的出現，以及溫室氣體排放量盤查與查證（GHGEV）。</p> <p>此外，永續發展資訊揭露的規範也愈加嚴格。對於臺灣企業而言，明年2025更要注意一件事──永續資訊揭露納入證交法，也就是明年全體上市公司均需編製永續報告書，而且所有相關內稽內控全部列為必查項目，避免有資訊不實或誇大的情形。以上這些新變化，都是企業在合規風險上需要留意的，董事會與經營層需要有所掌握，才能及早做好準備。</p> <p> </p> <h2 class="rtecenter"><span style="color: rgb(0, 153, 255);"><strong>從資安治理、治理架構到文化的推動</strong></span></h2> <p>大家近年可能時常聽到，要形塑資安文化才有助推動，但這樣的企業文化要如何建立，仍然有許多組織處於一頭霧水的狀況。</p> <p>在這場演說當中，針對資安文化與永續文化的推動，蒲樹盛特別闡釋了「我們該如何建立文化」這件事，幫助國內企業可以有更好的理解方式。</p> <p>特別的是，蒲樹盛為了促進大眾理解，用上了不同的詮釋方式，他從文化（Culture）一詞起源的角度出發，指出該字是由古羅馬哲學家西賽羅首次使用拉丁文「cultura animi」定義，其原意是指靈魂的培養。</p> <p>因此若是我們要培養企業組織的人，能夠具備資安、永續的靈魂，可以有3個步驟：（一）要提供給這些人相關知識與觀念，（二）不能只是說而不做的上課，還要讓員工透過實際體驗，才能做到靈魂的培養，（三）要給予時間讓組織內的人可以將觀念知識內化，變成潛意識的舉動，這時文化才會真正形成。</p> <p>「如果沒有文化，很多事沒有辦法做。」蒲樹盛指出，這就像大家從小獲得的教育一樣，很多觀念不必要求就會做得到，這就會變成普世價值。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）2024BSI數位信任國際標準年會_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%892024BSI%E6%95%B8%E4%BD%8D%E4%BF%A1%E4%BB%BB%E5%9C%8B%E9%9A%9B%E6%A8%99%E6%BA%96%E5%B9%B4%E6%9C%83_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p> </p> </div></div></div>
2024/11/22 09:00作者羅正漢https://www.ithome.com.tw/news/166133
【資安日報】11月21日，中國駭客鎖定南亞及非洲一帶一路國家的電信業者從事間諜活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這2個月，中國駭客Salt Typhoon鎖定美國電信業者發動攻擊，從而竊取特定政治人物的通話內容，不斷有消息浮出檯面，但值得留意的是，中國駭客並非只針對美國而來，其他國家也有電信業者受害的情形。</p> <p>例如，中國駭客Liminal Panda針對南亞、非洲電信業者下手，活動已長達4年。值得留意的是，受害電信業者所屬國家，都剛好參與中國的一帶一路計畫，因此研究人員認為，這些攻擊很可能與國家利益有關。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166128"><strong style="font-size: 22px;">中國駭客Liminal Panda入侵南亞、非洲電信業者</strong></a></p> <p>中國駭客鎖定電信業者發動攻擊，從而進行間諜活動的情況，這幾個星期以來不斷浮出檯面，最近一波是Salt Typhoon針對美國電信業者的事故，傳出受害電信業者涵蓋AT&T、Lumen、T-Mobile、Verizon，但有知情人士透露，受害的國家並不只是美國，其他國家的電信業者也有遭受中國駭客攻擊的情況，如今有研究人員證實此事。</p> <p>資安業者CrowdStrike揭露從2020年開始活動的中國駭客組織Liminal Panda，這些駭客擁有廣泛的電信網路知識，甚至相當熟悉各家電信業者之間如何互相連結，而能夠在成功滲透部分電信伺服器後，進一步對其他地區的供應商下手。</p> <p>究竟這些駭客的目的為何？研究人員認為，很有可能是從事情報收集。由於這群駭客過往專門針對南亞和非洲的電信業者，他們推測這些區域將是主要的攻擊目標。研究人員也特別提及，這些駭客的攻擊目標與國家利益一致的情況，因為，受害電信業者都位於中國推動一帶一路（縮寫為B&R或BRI）的國家。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=170006&SPOKE_DATE=20241120&COMPANY_ID=3631"><strong style="font-size: 22px;">焊鍚業者晟楠科技外部伺服器遭遇網路攻擊</strong></a></p> <p></p> <p>11月20日傍晚上櫃焊鍚業者晟楠科技於股市公開觀測站發布重大訊息，表示他們發現有外部伺服器遭到攻擊的情況，並在察覺事故後啟動相關防護機制，並進行隔離處理因應。</p> <p>而對於這起事故可能會帶來的影響，該公司表示，根據他們的初步評估，無個資及內部文件、資料外流的情況，這起事故對於公司的營運，以及服務供應，並無影響。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=193757&SPOKE_DATE=20241120&COMPANY_ID=5388"><strong style="font-size: 22px;">網通業者中磊電子傳出菲律賓子公司遭受駭客攻擊</strong></a></p> <p>網通業者中磊電子於11月20日晚間發布重大訊息，指出旗下子公司Sercomm Philippines Inc.部分資訊系統遭受網路攻擊，資訊部門在發現遭到攻擊後全面啟動防禦機制，他們與外部資安專家協同進行回應，針對相關系統全面掃描及檢測，確保資訊安全。</p> <p>該公司強調，菲律賓子公司的系統運作正常，根據評估，這起事故對於營運無重大影響。他們未來將持續提升網路及資訊基礎架構的安全管控，並強化資安防護機制因應。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/oracle-warns-of-agile-plm-file-disclosure-flaw-exploited-in-attacks/">Oracle針對產品生命週期管理系統Agile用戶提出警告，其零時差漏洞已傳出被用於攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/water-barghest-botnet-hijacks-20000-iot-devices-for-profit/">殭屍網路Water Barghest綁架逾2萬臺物聯網裝置</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-10924-cvss-9-8-authentication-bypass-in-really-simple-security-plugin-affects-4-million-sites/">WordPress安全外掛Really Simple Security存在重大漏洞，4百萬網站曝險</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/vulnerable-jupyter-servers-targeted-for-sports-piracy/">體育節目遭到鎖定，攻擊者鎖定錯誤配置的Jupyter Notebook下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-space-tech-giant-maxar-discloses-employee-data-breach/">美國太空科技業者Maxar傳出員工資料外洩</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166136"><strong style="font-size: 22px;">Ubuntu元件Needrestart存在漏洞，攻擊者有機會藉此得到root權限</strong></a></p> <p>資安業者Qualys指出，伺服器版Ubuntu預載的公用程式Needrestart存在5項本機權限提升（LPE）漏洞，未獲取足夠權限的攻擊者，可藉此得到完整的root存取權限，過程裡無需使用者互動。研究人員強調，利用這些漏洞相當容易，很快就可能會有人將其用於實際攻擊。</p> <p>這些漏洞分別是CVE-2024-10224、CVE-2024-11003、CVE-2024-48990、CVE-2024-48991、CVE-2024-48992，CVSS風險評為5.3至7.8分。附帶一提的是，這些漏洞從2014年4月發布的0.8版就存在，換言之，已存在超過10年。對此，開發者接獲通報後，推出3.8版修補。</p> <p><a href="https://www.ithome.com.tw/news/166141"><strong style="font-size: 22px;">老舊產品的資安漏洞問題陰魂不散！D-Link揭露已終止支援的VPN路由器存在RCE漏洞</strong></a></p> <p>11月18日D-Link發布資安公告，指出有研究人員向他們通報漏洞，此為記憶體緩衝區溢位弱點，未經授權的攻擊者有機會遠端於設備上執行任意程式碼，影響DSR-150、DSR-150N、DSR-250、DSR-250N、DSR-500N、DSR-1000N等多款VPN路由器，值得留意的是，由於這些設備已於今年5月生命週期結束（EOL），該公司不予修補，呼籲用戶要儘速汰換設備。</p> <p>不過，這次與過往有所不同的是，該公司並未公布漏洞的CVE編號，僅有提及由研究人員delsploit通報，並指出研究人員在搭配特定版本韌體的DSR-250、DSR-250N當中，發現這項漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166037"><strong style="font-size: 22px;">思科擴大雲端保護方案布局，揭露Hypershield與eBPF將是未來發展重點</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cloud-Protection-Suite.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cloud-Protection-Suite.jpg" style="width: 300px; float: right;" /></a>近兩年來，思科在資安產品上的重要發展路線，聚焦於打造思科資安雲Cisco Security Cloud，將旗下多款產品整合於一個開放式平臺，在11月上旬於澳洲墨爾本舉行的Cisco Live 2024 Melbourne用戶大會上，思科公布資安雲的最新進展。</p> <p>在這次大會上，思科提到兩個重要的進展，一是Cisco Security Cloud Control正式發布，強調這是全新的原生AI管理架構，以取代過去的Cisco Defense Orchestrator；另一是「雲端防護」產品組合的變化，不只涵蓋Secure Firewall、Secure Workload，最近更是新增了Cillium、Hypershield這兩項解決方案。</p> <p>這當中以Hypershield最受矚目，這是思科在數個月前才公布的產品，如今不只是正式併入雲端保護的產品組合，思科更將其視為保護資料中心與雲端的全新方式，以對應AI時代的IT基礎架構需求。在這場活動中，思科資深副總裁暨資安商業部總經理Tom Gillis更是以「Hypershield is changing the game」來形容。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166119"><strong>【11月20日】勒索軟體Helldown潛入受害組織，管道是兆勤防火牆的弱點</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166099"><strong>【11月19日】中國駭客鎖定想趁機撿便宜的黑色星期五購物者發動網釣攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166067"><strong>【11月18日】中國駭客利用FortiClient零時差漏洞存取VPN，入侵受害組織網路環境</strong></a></p> </div></div></div>
2024/11/21 16:47作者周峻佑https://www.ithome.com.tw/news/166142
BSI呼籲重視AI科技風險，強調臺灣企業要提升AI治理力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球都在聚焦的數位信任、AI、永續發展議題，臺灣企業同樣十分關注，隨著2024年即將結束，在今年英國標準協會（BSI）舉辦的數位信任國際標準管理年會上，他們不僅點出企業這一年來必須掌握的重要變化，更是強調AI治理及永續治理，對於未來的重要性。</p> <p>BSI東北亞區董事總經理蒲樹盛指出，繼200年前第一次工業革命後，當前正迎來兩場新革命。一是數位工業革命，例如黃仁勳所提的AI工業革命，另一則是永續綠色工業革命，不論歐洲、英國都將之視為人類未來30年發展的新契機。</p> <p>然而，儘管數位信任持續被強調，加上科技的進步與教育的提升，理應促進全球信任，但現實卻顯示出，社會對立與信任流失日益嚴重。尤其是在強人工智慧（Strong AI）的出現，錯誤資訊與假消息的傳播將使情勢更加複雜，眼見不再為憑，甚至威脅到數位信任的基礎。</p> <p>蒲樹盛特別引用了2024世界經濟論壇（WEF）全球風險報告，指出今年有一項非常重要的變化：WEF將「錯誤資訊與假消息」列為短期全球首要風險，與往年排名相比躍升幅度相當之大，他指出這背後就是AI風險所帶來的影響，也意味著AI風險躍居第一。</p> <p>這也是首次由科技類型風險躍居榜首，亦反映出AI引發的錯假消息，對近代社會的可能衝擊之大。</p> <p>若以未來十年來看，全球有兩大類型風險最要關注，一類是環境風險，因為10大風險有一半屬於這類型，持續突顯出永續議題的重要性，另一類是科技風險，佔10大風險的3項，包含錯誤資訊與假訊息、AI技術的不良後果，以及網路不安全（Cyber inSecurity）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）WEF 2024 Global risks_圖片來源WEF.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89WEF%202024%20Global%20risks_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90WEF.jpg" style="width: 600px;" /></a><br /> <span style="color: rgb(128, 128, 128);"><strong>圖片來源／世界經濟論壇（WEF）</strong></span></p> <h3><strong>強化AI管理與AI治理成最新挑戰，企業需要積極應對</strong></h3> <p>從今年BSI年會來看，在數位信任與資安議題之下，AI當屬重要焦點之一，不僅是上述提及的AI風險，成為近兩年來最大風險挑戰，另從國際標準組織（ISO）的發展來看，AI也是主角。</p> <p>以國際標準動向而言，過去一年的最大焦點在於：全球首部AI治理國際標準的推出，ISO 42001的人工智慧管理系統標準（AIMS），正式在2023年12月出爐。</p> <p>蒲樹盛指出，ISO 42001將縮小我們對AI信任的差距，而這項標準的關鍵就是AI的風險管理，這其實與國際上的公司法或許多管理系統框架一致，強調了風險管理，並要達到透明公開、可以解釋、能夠當責等條件，解決個資、隱私、倫理、歧視、未成年等各方面問題。換言之，ISO 42001是企業在AI轉型過程中的重要參考。</p> <p>AI治理同樣是國內企業需要正視的議題，蒲樹盛指出這是臺灣不足之處。他從近期的臺灣現況調查來看，指出國內在AI應用發展上，儘管大多數企業都認為AI很重要，可是實際導入可能仍不到3成，顯然還有很多國內企業仍處於觀望階段。</p> <p>再從先行導入者來看，他認為，雖然臺灣在AI的數據力、技術力、創新力都表現不錯，運算力也不差，但治理力卻是相當欠缺。企業該如何強化AI治理力？他強調，AI治理應從董事會層級出發，不是AI部門負責就好，同時也要建立明確的責任分工與問責機制，若一旦出事卻找不到人負責，這樣的AI治理架構顯然有問題，無法確保AI技術的安全與可持續應用，同樣會面對很高的訴訟風險。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%892024BSI%E6%95%B8%E4%BD%8D%E4%BF%A1%E4%BB%BB%E5%9C%8B%E9%9A%9B%E6%A8%99%E6%BA%96%E5%B9%B4%E6%9C%83_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <h3><strong>臺灣需跟上AI應用腳步，重視提高生產力與改善客戶關係</strong></h3> <p>無論如何，AI應用風潮已是全球進行式，上述提及國內還有7成企業未能導入AI，我們還有很多可以進步的空間。</p> <p>蒲樹盛特別引用去年BSI與富比士的調查指出，當前全球AI應用最多的兩大目標為：第一是提高生產力，第二是改善客戶關係。因此，若臺灣企業未能將AI應用於這兩個關鍵目標，會是相當可惜的事，恐錯失重要的發展契機。</p> <p>而臺灣已有企業成功落實生成式AI應用的案例，為其他企業提供了寶貴的參考。他舉例，有金控業運用AI技術優化銀行授信流程，大幅節省人力時間；製造業則利用AI進行產品布局（Product Layout）設計，好處是可以快速優化整體配置，並可以帶來更好的良率。</p> <p>在這場BSI年會上，還有兩位AI領域專家發表探討AI應用機遇與挑戰的演說。例如歐洲在臺商務協會科技委員會曾更瑩律師，她剖析了歐盟AI法案的企業挑戰與因應，當中聚焦的是產品安全，只要產品屬於AI系統，會輸出到歐盟境內使用，就會受其規範；還有台灣人工智慧學校校務長蔡明順，他闡述了百工百業用AI的最新態勢，不只強調用AI的人將淘汰不用AI的人，就像農耕機取代農夫的情形一樣，還有AI Safety治理與安全的重要性，不論是在法案、標準與聯盟的發展上，都已經成為先進國家爭相競取話語權的關鍵。</p> <p>由於AI將深刻影響了未來的競爭格局，但在發展過程中，我們可能容易輕忽一些議題與面向，因此，喚起大家對AI治理與安全的討論，也是相當必要的事。</p> </div></div></div>
2024/11/21 12:30作者羅正漢https://www.ithome.com.tw/news/166130
Ubuntu元件Needrestart存在漏洞，攻擊者有機會藉此得到root權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Qualys指出，伺服器版Ubuntu預載的<a href="https://blog.qualys.com/vulnerabilities-threat-research/2024/11/19/qualys-tru-uncovers-five-local-privilege-escalation-vulnerabilities-in-needrestart">公用程式Needrestart存在5項本機權限提升（LPE）漏洞</a>，未獲取足夠權限的攻擊者，可藉此得到完整的root存取權限，過程裡無需使用者互動。研究人員強調，利用這些漏洞相當容易，很快就可能會有人將其用於實際攻擊。</p> <p>這些漏洞分別是CVE-2024-10224、CVE-2024-11003、CVE-2024-48990、CVE-2024-48991、CVE-2024-48992，CVSS風險評為5.3至7.8分。附帶一提的是，這些漏洞從2014年4月發布的0.8版就存在，換言之，已存在超過10年。對此，開發者接獲通報後，推出3.8版修補。</p> <p>什麼是Needrestart？這項公用程式會偵測系統是否有需要重新啟動的服務，之所以需要進行這項作業的原因，在於更新共用程式庫的過程中，Needrestart會察覺服務仍在使用舊版檔案，自動將其重新啟動，作業系統無需為此關機、重新啟動。自21.04版Ubuntu Server開始，Needrestart成為預設安裝的元件，因此這些弱點的影響範圍，有可能會相當廣泛。</p> <p>若是IT人員無法及時更新這項元件，Qualys提出臨時緩解措施，那就是調整Needrestart的組態檔案，停用啟發式解譯器的功能。</p> </div></div></div>
2024/11/21 14:54作者周峻佑https://www.ithome.com.tw/news/166136
老舊產品的資安漏洞問題陰魂不散！D-Link揭露已終止支援的VPN路由器存在RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月18日D-Link發布資安公告，<a href="https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10415">指出有研究人員向他們通報漏洞</a>，此為記憶體緩衝區溢位弱點，未經授權的攻擊者有機會遠端於設備上執行任意程式碼，影響DSR-150、DSR-150N、DSR-250、DSR-250N、DSR-500N、DSR-1000N等多款VPN路由器，值得留意的是，由於這些設備已於今年5月生命週期結束（EOL），該公司不予修補，呼籲用戶要儘速汰換設備。</p> <p>不過，這次與過往有所不同的是，該公司並未公布漏洞的CVE編號，僅有提及由研究人員delsploit通報，並指出研究人員在搭配特定版本韌體的DSR-250、DSR-250N當中，發現這項漏洞。</p> <p>附帶一提的是，該公司今天更新公告內容，他們針對願意購買新設備汰換的美國用戶促銷，提供第2代DSR-250八折優惠，線上商城將會在結帳的時候，自動從209.99美元降為168美元。這樣的公告內容，過往並不常見。</p> <p>除了最新揭露的VPN舊款路由器產品漏洞，近期研究人員揭露D-Link生命週期結束設備的漏洞消息，已累積好幾起，突顯用戶淘汰老舊網路設備的腳步太慢，導致這些無藥可救治新病的裝置，成為攻擊者得以輕易進行滲透與綁架的目標。例如，研究人員Netsecfish找到的<a href="https://www.ithome.com.tw/news/165945">重大層級漏洞CVE-2024-10914</a>，事隔一週，<a href="https://www.ithome.com.tw/news/166015">Shadowserver基金會證實出現攻擊行動</a>。</p> </div></div></div>
2024/11/21 16:23作者周峻佑https://www.ithome.com.tw/news/166141
紅帽揭露明年在臺GAI策略，以RHEL AI和OpenShift AI兩大GAI平臺為核心，加速企業GAI應用落地
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽近日揭露2025年在臺策略三大方向，將加速推動AI導入，結合容器化和虛擬化技術，以及發展CI/CD自動化中臺2.0，拓展臺灣在地業務成長。<br /> 紅帽臺灣總經理孫媛音表示，紅帽明年第一項發展重點聚焦GAI，以RHEL AI和OpenShift AI兩大GAI平臺為核心，協助企業加速GAI應用落地。一方面，透過RHEL AI，提供Granite系列在內的LLM開源模型和模型對齊工具InstructLab，幫助企業快速開發、測試與部署，貼近內部業務應用情境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20241105_070747131.jpg" style="width: 600px; height: 243px;" /></p> <p>企業在小規模試驗階段完成後，可利用OpenShift AI在各種混合雲環境中實現大規模GAI部署，包括地端、雲端，或是邊緣環境等，來發展各種GAI應用。OpenShift AI本身提供了模型訓練、微調和擴展的能力，可以用更有效方式降低訓練每個模型所需使用的資源。</p> <p>紅帽第二項重點發展策略是，可以開始使用OpenShift介面管理在VM中的工作負載，讓OpenShift可以延伸支援Hypervisor中的VM管理。孫媛音表示，這樣做的好處是，提供了企業走向雲原生的另一種並存做法，除了將老舊應用重構，重新打造翻新成雲原生架構之外，也可以用OpenShift管理不容易容器化的老舊應用。</p> <p>企業在邁向雲原生後，越來越多採用自動化方式來進行IT維運和管理。近兩年，不少臺灣企業開始運用基礎架構即程式碼軟體工具Ansible來自動化管理OS、網路和DevOps實踐，甚至將服務遷移至雲端。她表示，接下來，將朝向自動化中臺2.0來發展，這也是紅帽第三項重點發展策略。</p> <p>她表示，新版本Ansible中將提供跨部門的自動化中臺的功能，例如當發生事件時，可以透過自動化中臺更快做到故障排除，或是提供EDA（ Event Driven Ansible ）事件驅動反應機制，可以針對不同類型的事件快速反應，回應每個事件的處置方式。</p> <p>紅帽也分享近期採用的企業案例，例如將來銀行為推動數位轉型，使用了自己的數據中臺結合OpenShift打造新一代輕量級的雲原生架構，在新專案中也導入了微服務和建立開放混合雲，推動數位轉型。另一家南山人壽則是去年年中採用OpenShift建立一個微服務平臺，一致化核心周邊的系統，提供更好的擴展性。</p> </div></div></div>
2024/11/21 15:27作者余至浩https://www.ithome.com.tw/news/166137
Snowflake強化AI布局，收購Datavolo，與Anthropic合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端資料儲存服務供應商Snowflake本周三（11/20）公布該公司第二季<a href="https://www.snowflake.com/news/snowflake-reports-financial-results-for-the-third-quarter-of-fiscal-2025/" target="_blank">財報</a>，<a href="https://www.snowflake.com/news/snowflake-agrees-to-acquire-open-data-integration-platform-datavolo/" target="_blank">收購</a>開發多模態資料管道平臺的Datavolo，並<a href="https://investors.snowflake.com/news/news-details/2024/Snowflake-and-Anthropic-Team-Up-to-Bring-Claude-Models-Directly-to-the-AI-Data-Cloud/default.aspx" target="_blank">宣布</a>與Anthropic簽署多年策略合作，將於產品中採用Anthropic所開發的Claude模型。</p> <p>Snowflake成立於2012年，主要協助企業於雲端儲存與分析各種來源的資料，它在2021年便推出原生的AI與機器學習工具Snowpark，支援客戶於Snowflake平臺上使用大型語言模型與AI工具，去年也買下了採用AI技術的企業搜尋開發商Neva，現已自稱為AI資料雲端（AI Data Cloud）公司。</p> <p>本周被Snowflake納入麾下的Datavolo，主要開發可自動管理不同組織之間的結構化及非結構化資料的平臺，該平臺是基於美國國安局（National Security Agency，NSA）所開源的Apache NiFi專案。Snowflake表示，一旦將Datavolo整合至Snowflake平臺上，將可強化Snowflake在資料生命周期中、代表初始資料的Bronze Layer服務。</p> <p>而與Anthropic的合作則是將Claude模型整合至Snowflake資料雲平臺，讓使用者可透過Snowflake的Cortex AI，存取包括Claude 3.5在內的各種AI模型，旗下的代理AI產品也會採用Claude模型，包括Snowflake Intelligence與Cortex Analyst。</p> <p>Snowflake也在同一天，公布了截至今年10月底的2025財年第三季財報，該季Snowflake創下9.42億美元的營收，成長28%，淨虧損3.28億美元，還高於去年所虧損的2.15億美元。</p> <p>不過，有鑑於Snowflake的該季財報高於華爾街分析師的預期，並對未來展望樂觀，再加上強化了AI布局，使得Snowflake當天的盤後大漲19.8%，將股價推升至154.7美元。</p> </div></div></div>
2024/11/21 15:40作者陳曉莉https://www.ithome.com.tw/news/166138
Nvidia財報出爐，Q3營收成長94%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球AI晶片龍頭Nvidia周三（11/20）<a href="https://nvidianews.nvidia.com/news/nvidia-announces-financial-results-for-third-quarter-fiscal-2025" target="_blank">公布</a>該公司截至10月27日的2025財年第三季財報，顯示該季Nvidia創下351億美元的營收，比去年同期成長94%。其中，資料中心營收便占了308億美元，成長112%，並占了該公司總營收的87.8%。</p> <p>Nvidia原本是全球繪圖晶片龍頭，在<a href="https://www.ithome.com.tw/news/144697" target="_blank">2021年</a>時，遊戲還是該公司最大的營收來源，AI的興起讓Nvidia的資料中心業務大幅成長，不僅快速超越遊戲，更讓Nvidia的營收<a href="https://www.ithome.com.tw/news/163047" target="_blank">翻倍</a>，亦令它從繪圖晶片龍頭搖身一變成為AI晶片龍頭。</p> <p>根據財報，除了資料中心的308億美元營收之外，該季Nvidia賺進33億美元的遊戲營收，成長14%，專業視覺化營收為4.86億美元，成長17%，汽車營收為4.49億美元，成長30%。</p> <p>Nvidia創辦人暨執行長黃仁勳表示，AI時代正如火如荼地推動全球向Nvidia運算轉型，市場對Hopper的需求與對Blackwell的期待，正隨著基礎模型開發商擴大預訓練、後訓練與推論而令人嘆為觀止；AI正在改變每一個產業、公司與國家，企業正在採用代理AI來革新工作流程，工業機器人領域的投資亦因實體AI的突破而快速增加，各國並已意識到發展國家級AI與基礎設施的重要性。</p> <p>基於新一代Blackwell架構的GPU已全面投產，Nvidia財務長Colette Kress 於財報會議上透露，已送出1.3萬個晶片樣本，明年Blackwell晶片出貨量也會繼續成長。</p> <p>不過，就算Nvidia該季的表現以及對下一季的展望都超越分析師期待，當天Nvidia的盤後股價還是下滑了2.5%，停在142.25美元。</p> </div></div></div>
2024/11/21 15:54作者陳曉莉https://www.ithome.com.tw/news/166139