iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 31篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 18:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Deloitte英國分公司驚傳遭勒索軟體Brain Cipher攻擊，駭客聲稱竊得1 TB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://cybersecuritynews.com/deloitte-hacked/">Cyber Security News</a>、<a href="https://www.linkedin.com/pulse/deloitte-allegedly-hacked-notorious-ransomware-smade/">Cyber Security Hub</a>、<a href="https://www.redhotcyber.com/en/post/brain-chiper-claims-computer-attack-on-deloitte-1-tera-byte-of-data/">Red Hot Cyber</a>等資安新聞網站報導，12月4日惡名昭彰的勒索軟體駭客組織Brain Cipher聲稱，他們成功入侵四大會計師事務所之一的德勤（Deloitte）英國分公司，並竊得超過1 TB敏感資料。不過，德勤並未對此公開說明。</p> <p>這些駭客揚言，假若德勤不予理會，他們將在10天後提供部分資料下載，以及透露如何成功入侵的細節。</p> <p>他們也嘲笑大公司資安防護不足，認為該公司忽略資訊安全的基本要點（elementary points），而讓他們能夠得逞。</p> <p>勒索軟體Brain Cipher從今年6月開始活動，這些駭客使用LockBit 3.0製作工具打造勒索軟體，並使用多重勒索手法向受害組織施壓，脅迫他們支付贖金。該組織攻擊範圍涵蓋醫療、教育、製造業等多種產業，其中一起最受到矚目的攻擊事故，是針對印尼國家資料中心的攻擊，導致該國公共服務運作遭到嚴重破壞。</p> </div></div></div>
2024/12/5 13:21作者周峻佑https://www.ithome.com.tw/news/166356
MOVEit漏洞攻擊事故出現新的受害者，駭客公布數家公司的76萬筆員工資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年5月，勒索軟體駭客組織Clop利用檔案傳輸系統MOVEit Transfer零時差漏洞CVE-2023-34362發動大規模攻擊「MOVEit Hack」，根據研究機構KonBriefing彙整的資料，<a href="https://konbriefing.com/en-topics/cyber-attacks-moveit-victim-list.html">截至去年底有超過2,611個企業組織受害</a>，約有8,510萬至8,990萬人個資流出，駭客的攻擊範圍橫跨32個國家。事隔一年半，仍有相關外洩資料流出。</p> <p>根據資安新聞網站SecurityWeek的報導，<a href="https://www.securityweek.com/760000-employee-records-from-several-major-firms-leaked-online/">12月2日ID為Nam3l3ss的人士於駭客論壇BreachForums公布一批新的資料</a>，而此人過往曾聲稱握有MOVEit Hack相關資料，因此這批資料也很可能來自這起資安事故。</p> <p>該新聞網站看到這批資料屬於美國銀行、橋水基金（Bridgewater）、仲量聯行（JLL）、科氏工業（Koch）、摩根史坦利（Morgan Stanley）、Nokia、全錄（Xerox）。</p> <p>他們尋求隱私保護業者Atlas Privacy協助，該公司表示，他們研判資料來自發動MOVEit Hack的Clop，Nam3l3ss很有可能從數TB資料進行挖掘，然後重新打包尋求更為廣泛的銷售。</p> <p>研究人員進一步分析，美國銀行員工資料有288,297筆、科氏工業員工237,487筆、Nokia有94,253筆、仲量聯行62,349筆、全錄42,735筆、摩根史坦利32,861筆，以及橋水基金2,141筆，總數為760,123筆。</p> <p>值得留意的是，這批並非近期Nam3l3ss公布的遭竊資料，3個星期前，<a href="https://www.ithome.com.tw/news/165980">此人也聲稱握有雲端服務業者Amazon共280萬筆資料</a>，該公司表示，是其中一家合作的物產管理業者遭駭所致。</p> </div></div></div>
2024/12/5 14:33作者周峻佑https://www.ithome.com.tw/news/166359
SailPoint IdentityIQ存在風險10分重大漏洞，恐洩漏敏感配置檔案、用戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週一（12月2日）資安業者SailPoint針對旗下身分驗證管理（IAM）系統IdentityIQ發布資安公告，指出<a href="https://www.sailpoint.com/security-advisories/identityiq-improper-access-control-vulnerability-cve-2024-10905">此系統存在不當存取控制弱點CVE-2024-10905</a>，CVSS風險評分達到10分（滿分10分）相當危險，該公司發布8.4p2、8.3p5、8.2p8版修補程式修補。</p> <p>這項漏洞起因是IdentityIQ的存取控制不當，攻擊者有機會在未經授權的情況下，透過HTTP連線存取應用程式資料夾當中，原本應該受到保護的靜態內容。<a href="https://securityonline.info/cve-2024-10905-cvss-10-critical-vulnerability-in-sailpoint-identityiq-exposes-sensitive-data/">資安新聞網站Cybersecurity News指出</a>，這些靜態內容包含敏感的配置檔案、應用程式的程式碼，甚至還有使用者的資料。</p> <p>附帶一提的是，SailPoint提及這項漏洞也可能影響已終止支援的舊版，呼籲IT人員應儘速套用相關更新因應。</p> </div></div></div>
2024/12/5 15:08作者周峻佑https://www.ithome.com.tw/news/166360
伺服器管理介面CyberPanel存在風險值10分漏洞，美國政府證實已被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月底<a href="https://www.ithome.com.tw/news/165767">資安新聞網站Bleeping Computer報導</a>，資安研究員DreyAnd在伺服器網頁主控臺系統CyberPanel發現弱點CVE-2024-51567、CVE-2024-51568，隨後威脅情資搜尋引擎LeakIX指出，勒索軟體Psaux鎖定這些漏洞展開攻擊，如今這樣的情況得到美國政府證實。</p> <p>12月4日美國網路安全暨基礎設施安全局（CISA）表示，<a href="https://www.cisa.gov/news-events/alerts/2024/12/04/cisa-adds-one-known-exploited-vulnerability-catalog">他們將CVE-2024-51568列入已遭利用漏洞列表（KEV）</a>，要求聯邦機構限期在12月25日前完成修補。</p> <p>值得留意的是，這項漏洞CVSS風險評為10分（滿分10分），相當危險。此為不正確預設權限弱點，一旦攻擊者利用在statusfile屬性當中的Shell元文字（metacharacter），就有機會繞過身分驗證流程，或是執行任意命令。</p> </div></div></div>
2024/12/5 15:44作者周峻佑https://www.ithome.com.tw/news/166363
備戰OpenAI影片生成模型Sora，Google新推影像生成模型Veo、Imagen 3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應OpenAI影片生成模型Sora，Google搶先在昨（4）日<a href="https://cloud.google.com/blog/products/ai-machine-learning/introducing-veo-and-imagen-3-on-vertex-ai" target="_blank">測試</a>影片生成模型Veo，以及圖片生成模型Imagen 3在Google Cloud全球上線。</p> <p>Veo目前在Google Cloud Vertex AI平臺提供限量測試，而Imagen 3則是繼<a href="https://www.ithome.com.tw/news/164516" target="_blank">8月</a>在美國向企業和一般用戶開放後，下周在Vertex AI正式上線。</p> <p>Veo首於今年Google I/O上亮相，是由Google DeepMind研發，能接受圖片和文字輸入生成短影片。Veo可用來生成1080p且超過1分鐘的高解析度影片，並支援不同電影與視覺風格。在輸入圖片方面，它能接受真實圖片，或是AI生成的圖片為提示。而在文字上，Veo可準確理解用戶輸入文字的細微差別及語氣，還能理解各種電影效果的提示，例如延遲攝影或空拍。Google強調AI可解決影片產製過程中繁瑣或重覆性事務，是人類的夥伴。</p> <p>其次是圖片生成模型Imagen 3全球在Vertex AI上線。Imagen 3是Google最高品質的文字轉圖片生成模型，輸入長串文字它都能理解，並產出有如相片、栩栩如生的圖片，且圖片中的視覺噪點等元素也遠少於之前模型。下周起，所有Google Cloud訂閱用戶即可在Vertex AI上存取Imagen 3模型。</p> <p>Google也開放Imagen 3圖片編輯和客製化，但用戶需加入<a href="https://docs.google.com/forms/d/e/1FAIpQLScN9KOtbuwnEh6pV7xjxib5up5kG_uPqnBtJ8GcubZ6M3i5Cw/viewform" target="_blank">申請清單</a>等候開放。圖片編輯功能包括產品背景、圖片品質提升。客製化功能則允許圖片生成時加入想要的特徵，例如公司品牌、風格、Logo、主題或產品特色。圖片客製化有助於加速企業廣告和行銷素材的生成。</p> <p>為免於AI圖片引發的版權或Deepfake倫理問題，Google也為Veo和Imagen 3加入安全技術，包括DeepMind研發的SynthID浮水印、安全過濾器、Google保證不使用用戶資料來訓練模型，以及版權保護，為使用Veo和Imagen 3生成影片和圖片的客戶提供版權保護，不用擔心未來被告。</p> <p>目前Agoda已用Google模型包括Veo、Gemini和Imagen加速影片式廣告生成。其他透過Vertex AI使用Veo和Imagen的知名企業，包括生產Milka巧克力、Oreo的食品業巨人Mondelez International。</p> </div></div></div>
2024/12/5 14:14作者林妍溱https://www.ithome.com.tw/news/166357
Firstory不怕每月PB級流量，四年練成團隊FinOps思維
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣Podcast市場從2020年開始蓬勃，節目收聽量大幅增加，成立才1年的Podcast託管服務新創Firstory搭上熱潮，獲得不少資金挹注，初期重要合作對象《唐陽雞酒屋》節目，更衝上蘋果全臺播客節目排行榜第一，帶來了不少曝光度。</p> <p>隨著Podcast爆紅，聽眾變多，也為Firstory帶來意外之外的甜蜜負擔。「原本每月幾千元，一下漲到幾萬塊。」2020年10月底，第一次收到暴增數倍的雲端費用帳單，Firstory共同創辦人暨技術長翁子皓至今還印象深刻。隔年，臺灣Podcast浪潮持續發威，Firstory經手的節目在該年底11月左右的下載數，比年初多了三、四倍。聽眾高峰時，一周，就讓他們的荷包失血將近32萬元。</p> <p>至今，Firstory一個月要處理的Podcast音檔串流流量，甚至高達PB級的資料巨量，雲端費用也是Firstory營運最大宗的成本，占了6、7成。扣除人事與辦公室租金等開銷，其餘營運花費，幾乎9成用於雲端。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>收聽量大幅成長，雲端成本跟著隨之爆漲</strong></span></span></p> <p>「一開始，先衝高用戶數和使用量，不以營利為目標。」翁子皓回憶，草創時期，以擴大用戶規模為主，再尋找可營利的商業模式。用戶少時，費用問題不明顯，但在搭上播客熱潮後，收聽量大幅成長，雲端流量成本也在短時間內暴增。</p> <p>翁子皓回憶，當時尚未建立防護或監控機制，等到月底收到帳單時，才驚覺成本飆升。更糟的是，還遇到雲端供應商漲價，更讓不算寬裕的營運費用雪上加霜。</p> <p>雲端成本過高不僅影響營運，甚至拖慢了產品開發迭代速度。翁子皓坦言，草創時期團隊人數較少，整個月忙於處理費用問題，就會延宕了當月的新功能開發進度，迭代時間從1到2周，甚至拉長到1個月以上。</p> <p>為了尋找成本問題解決方案，Firstory向音樂串流平臺請教，將串流服務搬遷到費用更符合自己需求的雲端供應商，也開始用「提前承諾用量」作法，來獲得更多折扣。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>走過一段試錯，才建立輔助成本控管的監控機制</strong></span></span></p> <p>更關鍵的是，Firstory開始設立成本預估和監控機制，靠著每月、每季檢視帳單，嘗試分析功能和雲端服務使用量的關聯，慢慢摸索出一套預估雲端成本的方式。</p> <p>「像是剖析前後兩個月中，特定雲端服務費用的變化，來對照自身產品使用量的成長。」翁子皓舉例。</p> <p>一開始，Firstory團隊只靠IT維運常用的基本監控指標，例如CPU用量和機器使用量，「這些指標和使用者缺乏直接相關，無法看出功能和雲端服務用量的關聯性。」翁子皓表示，光是蒐集這些雲端服務使用數據還不夠，為了提升預估成本的能力，團隊接著開始蒐集產品功能和使用者行為之間的相關數據，再來分析雲端服務用量和使用者數據的關聯性。</p> <p>例如，當創作上傳音檔次數增加時，託管平臺需要啟用更多虛擬機器，而收聽量上升時，流量費用也會隨之增加。音檔上傳行為和收聽行為，是明顯會影響雲端成本的情況。</p> <p>翁子皓表示，為了找出更多影響成本的情況，團隊會討論不同情況的假設命題，來進行觀察，分析特定功能使用量是否與雲端用量存在關聯。「這是一個試錯過程。」翁子皓提到，觀察每個月的數據，若某項假設的關聯性不大，便會轉而分析其他數據。</p> <p>透過這樣反覆假設、觀察和驗證個過程，慢慢提升成本預估能力。</p> <p>從眾多數據中尋找關聯性，猶如大海撈針。翁子皓不諱言地說，分析過程中難免會出現錯誤假設。</p> <p>例如，他們曾經有一項假設是，若創作者集中在特定時段上傳節目，託管平臺需要加開機器來支應，可能導致成本上升。</p> <p>實際觀察一個月後，Firstory團隊發現，創作者不會集中在特定時段上傳，甚至，隨著創作者數量逐漸增加，上傳音檔的時機，反而更加平均分布在不同的時段。這也證明了這項假設的錯誤，可以排除在後續的觀察名單中。</p> <p>除了逐月觀察使用量與公雲服務用量的關聯性，Firstory團隊也設計了一項通訊軟體的預警通知機制。</p> <p>若有一項公雲服務的用量突然增加，預警機制會立即透過通訊軟體發送通知，提醒團隊檢查自身產品功能的使用情況。</p> <p>並且，Firstory團隊會格外注意新服務上線前後，像是發現租用的虛擬機器用量暴增時，先確認使用人數的變化，若聽眾沒有大增，就可能是新上線的功能出現故障所致。</p> <p>但若有多項自家產品功能，同時都用了單一公雲服務，如何判斷出具體影響這項服務用量的因素？翁子皓解釋，團隊會檢視多個平臺功能每日用量變化，逐一對照所用公雲服務的每日用量，如此一來，團隊就可以逐步找出影響費用的主要因素。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>將創作者分群，依據節目音檔使用率分級儲存來省錢</strong></span></span></p> <p>蒐集足夠的數據後，Firstory開始採取分級儲存的策略，依據節目音檔的使用情況，使用不同價格和功能的雲端儲存服務。</p> <p>主要策略是按照上傳時間來劃分，例如，一年前上傳的節目，可能會放置到讀取速度較慢、但成本較低的雲端儲存空間。</p> <p>另外一項策略是以收聽量為準來對創作者分群，收聽量較低者的節目檔案，實測讀取速度在可接受範圍內，也會改放到較便宜的冷儲存空間。</p> <p>不過，團隊會同步關注客服回饋，確認沒有收到讀取速度過慢的抱怨訊息。</p> <p>由於Firstory的託管平臺採用K8S架構，可以透過設定CPU指標，自動開啟或關閉機器。因此，團隊也善用這項機制，達到最佳資源利用率和成本效益。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>新功能開發階段就納入雲端財務管理思維</strong></span></span></p> <p>走過Podcast市場爆發的2019年至2021年，Firstory的創作者用戶數和大眾收聽數，皆達到一定規模，經營團隊開始尋找可營利的商業模式。</p> <p>2022年，Firstory開始協助創作者進行內容變現，迎來關鍵的商模轉捩點：導入動態廣告插播，和提供訂閱會員制服務方案。</p> <p>新的商模不只帶來了新的技術挑戰，同時，也增加了另一筆可觀的雲端服務成本。</p> <p>行動裝置平臺對於這類串流音檔，原本就會提供本地端的暫存機制。聽眾在收聽節目時，會下載一份音檔暫存到聽眾所用的裝置上，若平臺線上的節目音檔版本沒有更新，當聽眾在一定時間對同一個節目多次按下播放鍵，會直接播放裝置上的本地音檔版本，來避免增加串流的流量費用。</p> <p>但是為了推出動態廣告插播服務，Firstory託管平臺不只需要額外加開虛擬機器，即時處理不同媒體格式的廣告素材，並將這些廣告素材即時嵌入至原本的節目音檔中。</p> <p>每一次只要有新的廣告素材，就會產生一份新的節目音檔，在聽眾裝置端就得重新下載帶有新廣告的一整份節目音檔，因此，「新商模讓收聽流量費用跟著變高了。」翁子皓說。</p> <p>不過，有了2年的成本管理經驗，Firstory團隊在開發動態廣告插播服務時，就將雲端財務管理納入考量，在開發階段，團隊就考慮到音檔合成服務對流量費用的影響，一併增加了更多觀察指標的設計。每次廣告自動配對系統改版後，Firstory團隊也會追蹤更新帶來的費用變化，作為後續優化雲端費用控管的參考。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>導入FinOps思維，高峰用量甚至可以節費破5成</strong></span></span></p> <p>從2020年，團隊收到了爆漲雲端帳單那一刻起，Firstory就開始將雲端財務管理思維納入營運，至今，也已經走了4個年頭。</p> <p>起初，FinOps這項概念尚未在臺灣引起討論，並沒有太多前例可參考，所以，Firstory團隊除了向音樂串流平臺和雲端供應商諮詢，大多靠著摸索自身的產業型態，慢慢建立一套自己的財務管理模式。</p> <p>幾年下來，Firstory也累積了一系列的節費措施，根據翁子皓估計，以最高峰的用量來看，採用節費措施後，公雲費用減少了5至6成。</p> <p>「雲端節費是持續性的課題，不是做完一次，就能一勞永逸。」翁子皓表示，每一次最佳化，都只能降低部分成本，甚至，有些問題會等到用量變大才會浮現。因此，隨著用戶量成長，團隊依舊得不斷尋找更好的最佳化方法，嘗試降低成本。</p> <p>「看過很多案例，是帳單在一夜間爆漲」，翁子皓認為，建立完善監控機制是最關鍵的一步。這類監控措施看似平凡，無法直接降低公雲成本，卻能在例外情況出現時，為Firstory產品團隊提供一顆定心丸，在關鍵時刻，間接找到節流的關鍵。</p> <p><span style="font-size:28px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 為何Podcast託管服務的雲端成本這麼高？</span></strong></span></span></p> <p><span style="color:#696969;"><strong>對為Firstory提供的Podcast託管服務來說，首先，創作者上傳的每一集音檔資訊，都得儲存在雲端環境中，因此，光是儲存費用，就是一筆大開銷。另外，每當創作者上傳音檔至託管平臺，系統得進行轉檔，將檔案轉換成適合廣告合成和串流平臺讀取的格式。意味著，創作者每一次上傳節目，Firstory就得負擔一筆處理費用。若有眾多創作者同時上傳音檔，團隊還得多開機器支應瞬發流量。</strong></span></p> <p><span style="color:#696969;"><strong>當聽眾按下了播放鍵，播放平臺會從雲端下載音檔至裝置，每一次過程，都會計為一次流量費用。以Firstory經手的熱門節目為例，每檔節目日均下載次數高達數千甚至數萬次，若加總所有節目的流量，每月累計的收聽次數更突破2億次。甚至，Firstory光是每月處理的podcast音檔串流流量，就達到PB等級。如此龐大的流量也需要付出一筆相當可觀的費用。</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><strong>翁子皓</strong></p> <p><strong>Firstory共同創辦人暨技術長</strong></p> <p>學歷：清華大學資訊工程系</p> <p>經歷：大學時曾和系上同學前往美國參加超級計算機競賽奪冠，畢業後和同為清大畢業的于子軒、劉德政共同創業，起初經營聲音社群平臺，後來團隊改為瞄準Podcast託管服務。從公司創立開始，一路擔任技術長至今。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1211_Firstory_300_PNG.png" style="width: 350px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>吉爾科技（Firstory）</strong></p> <p>●地址：臺北市松山區民生東路四段133號6樓</p> <p>●成立時間：2019年</p> <p>●主要業務：Podcast託管服務、數據分析服務，DAI動態廣告</p> <p>●業務規模：每月收聽數超過2億次、節目總數超過1.4萬</p> <p>●員工數：10人</p> <p>●共同創辦人：于子軒、翁子皓、劉德政</p> <p>●執行長：于子軒</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事記 </span></strong></span></p> <p>●2019年8月：Firstory 成立公司，推出第一版面對Podcast創作者的工具，開始提供Podcast託管服務</p> <p>●2020年10月：完成種子輪投資，獲得包含臺灣最大音樂串流平臺KKBOX資金挹注</p> <p>●2020年11月：收聽量大增，團隊漸漸將串流服務轉移至其它雲端供應商、開始嘗試建立輔助成本控管的監控機制</p> <p>●2020年12月：提供單集多平臺連結</p> <p>●2021年7月：推出訂閱制贊助功能</p> <p>●2021年9月：宣布進軍全球市場、推出平臺付費加值訂閱方案，提供創作者更多加值服務</p> <p>●2022年5月：推出動態廣告插入工具、動態插播廣告系統上線</p> <p>●2022年8月：與 Spotify 合作，開始提供創作者能製作專屬會員的單集節目</p> <p>●2023年3月：推出新的流量計費方案，提供大量下載數需求的企業用戶或大型創作者額外專業功能</p> <p>●2024年6月：串接 Firstory 與 Apple Podcast Subscription，提供創作者上傳訂閱制單集節目至蘋果Podcast</p> <p>●2024年10月：與 Spotify的API完成獨家串接，創作者能更快取得Spotify 播客的收聽數據</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1211_firstory_960.jpg" width="960" height="420" alt="" title="Firstory共同創辦人暨技術長翁子皓" /></div></div></div>
2024/12/5 11:45作者李昀璇https://www.ithome.com.tw/people/166355
Kotlin 2.1.0添加Guard Conditions語言功能，並強化跨平臺支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains發布<a href="https://blog.jetbrains.com/kotlin/2024/11/kotlin-2-1-0-released/">Kotlin 2.1.0</a>版本帶來多項重大升級，包括語言功能的進一步強化、新增功能預覽、編譯器最佳化及跨平臺開發等改進。這次更新不僅提升開發體驗，也替Kotlin多元應用場景提供更多的支援，再次擴展Kotlin作為現代開發工具的地位。</p> <p>在語言功能方面，Kotlin 2.1.0加入了守護條件（Guard Conditions）預覽功能，目的在於強化when表示式的靈活性和可讀性。該功能讓開發者在分支條件中，添加額外的布林值判斷，並以if關鍵字作為輔助，使程式碼結構更為簡潔。這項改動對於複雜控制流程來說，可以有效提升程式碼的清晰度和可維護性，大幅簡化傳統冗長的巢狀邏輯。</p> <p>K2編譯器在這個版本也有多方面升級，特別是加入更多編譯器檢查，以及全域警告抑制功能，開發者有更多手段改善程式碼品質。開發者可以啟用額外檢查項目，像是檢測多餘可空型別、未使用的變數或是多餘的模版字串等，雖然這些檢查並非必要，卻可以協助最佳化程式碼結構。此外，全域警告抑制功能，避免不必要的警告干擾，使警告不顯示提升專案管理的靈活性。</p> <p>跨平臺應用的改進是Kotlin 2.1.0的另一大亮點，在多平臺支援方面，Kotlin引入穩定版Gradle DSL，如此便簡化了跨平臺專案的編譯器選項配置，另外，Kotlin/Wasm首次加入增量編譯支援，大幅減少重新編譯的時間成本，特別是對大型專案來說，能夠進一步改善開發效率。</p> <p>Kotlin/Native則新增對Swift匯出的基礎支援，對於希望能深度整合iOS平臺的開發者來說是一項福音，藉由強化多平臺函式庫的發布流程與工具鏈，JetBrains擴展並推進Kotlin跨平臺版圖。Kotlin 2.1.0也提升Java生態系的整合，提升JSpecify標註的相容性，並強化了空值安全檢查，提升跨語言開發的穩定性與安全性。</p> </div></div></div>
2024/12/5 08:39作者李建興https://www.ithome.com.tw/news/166351
Amazon公布Amazon Q Developer新代理人功能、.NET、主機程式、VMware程式轉換功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在re:Invent大會上公布開發工具Amazon Q Developer最新版本，<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-q-developer-agent-capabilities-include-generating-documentation-code-reviews-and-unit-tests/" target="_blank">增加代理人能力</a>及轉換舊程式的功能。</p> <p>Amazon Q Developer首先是今年<a href="https://www.ithome.com.tw/news/162610" target="_blank">4月</a>正式推出，陸續加入AWS CLI、SageMaker Studio、CloudShell及內嵌聊天（<a href="https://www.ithome.com.tw/news/165816" target="_blank">inline chat</a>）等能力。Q Developer的代理人可即時提供程式碼建議、輸入提示生成程式碼（/dev）、轉換（/transform）舊Java程式等開發協助。AWS今天宣布為Q Developer代理人新增3項代理人（agent）功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1205-Amazon%20Q%20Developer-agent.png" style="width: 528px;" /></p> <p>3項代理人功能分別是文件（/doc）、品質審查（/review）和測試（/review）。首先，開發人員可以Q Developer在屬意的IDE中生成文件，像是readme檔或資料流程圖。其次，他們可用Q Developer偵測及修正IDE或GitLab儲存庫中程式品質的問題，包括程式碼異味（code smells）、反模式（anti-patterns）、違反命名規則、臭蟲、邏輯錯誤、程式碼重覆、不良文件檔或安全漏洞。在檢視建議後開發人員可選擇接受或拒絕。</p> <p>最後，Q Developer還能自動生成單元測試，修正測試涵蓋範圍。它會生成簡單用例，例如邊界條件、空值、差1（off-by-1）情況以及檢查多個輸入類型。Amazon Q Developer生成的單元測試會加入相關的測試檔進行除錯。開發人員可以先預覽差別，再決定是接受或拒絕產出的單元測試。Amazon Q Developer 3種開發代理人功能，現在已於所有有Q Developer的AWS區域上線。</p> <p>Q Developer還新增<a href="https://aws.amazon.com/tw/blogs/aws/announcing-amazon-q-developer-transformation-capabilities-for-net-mainframe-and-vmware-workloads-preview/" target="_blank">轉換（transform）</a>舊應用程式的功能。最新支援的舊應用程式類型包括.NET、大型主機和VMware VM程式．方便企業將本地部署的.NET應用和VMware負載搬移到AWS雲端，或將大型主機程式現代化（modernization）。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1205-Amazon%20Q%20Developer-_NET%20modernization.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1205-Amazon%20Q%20Developer-_NET%20modernization-600.png" style="width: 600px;" /></a></p> <p>它會自動化帶領用戶走完程式碼現代化的每個步驟，包括資產發現、codebase分析、波浪（wave）分析、程式重構、解決不相容及實作網路自動化。例如用戶要求Q Developer建立大型主機程式現代化過程，Q Developer在規劃時，建立了4個階段，包括啟動現代化、分析程式碼、拆解程式、規劃搬移波浪（migration wave）、反覆式規劃及重構（refactoring）。它還會主動要求開發人員從提示提供特殊資訊，像是輸入.NET版本，以及選擇想轉換的程式庫。Q Developer還提供儀表板，以便追蹤整體轉換的過程，包括網路部署和特定臺伺服器狀態。</p> <p>Q Developer 3個轉換功能現在已經以預覽版在AWS上線，但欲試用的用戶必須具備Amazon Q Developer Pro訂閱。<span style="color:#696969;"><span style="font-size:14px;">圖片來源／AWS</span></span></p> </div></div></div>
2024/12/5 09:02作者林妍溱https://www.ithome.com.tw/news/166353
【re:Invent 2024現場直擊】SageMaker轉型成資料與AI通用大平臺，Amazon Q助手則開始能輔助…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS執行長Matt Garman在今年度re:Invent 2024技術年會中揭露Amazon Bedrock、Amazon SageMaker和生成式AI助手Amazon Q重大更新，Bedrock不只能開發和管理多代理的協作，還將SageMaker重新定位為，集結資料、分析和AI的通用平臺。</p> <p>另外，Amazon Q也有更多自動化和整合新功能，比如Amazon Q Developer開發助手多了3款AI自動化代理功能、整合GitLab等第三方平臺，更重要的是，Q Developer能協助.NET、VMware和大型主機（Mainframe）轉換等IT現代化工作了。</p> <p><span style="font-size:22px;"><strong>Bedrock可以開發多代理協作的應用</strong></span></p> <p>Matt Garman在今日主題演講中點出，AI推論，是AWS發展策略的4大重要基石之一。「生成式AI（GAI）將是所有應用程式的核心元件，」他直言。這是AWS推出Amazon Bedrock的原因，不僅支援自家和第三方模型，還兼具安全、易上手等優點，目前有數十萬家組織使用。</p> <p>在這個基礎上，Matt Garman宣布Amazon Bedrock新添模型蒸餾功能預覽版，能將大模型的知識快速轉移到小模型上，能以更實惠的成本加速模型開發。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%A8%A1%E5%9E%8B%E8%92%B8%E9%A4%BE.JPG" /></p> <p>操作也很簡單，使用者只要將應用程式裡的提示範例，輸入給Bedrock，就能快速打造出客製化的蒸餾模型。</p> <p>再來，為避免AI產生幻覺，Amazon Bedrock還新添了自動推理（Automated Reasoning）檢查功能預覽版，來檢視模型產出的答案是否符合邏輯。（如下圖）Matt Garman還透露，AWS自己有許多服務，就用自動推理功能來檢查，像是S3、程式碼檢查工具Amazon Codeguru等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/automated%20reasoning.JPG" /></p> <p>不只如此，面對越來越多的生成式AI代理管理和調度問題，Amazon Bedrock也新添了多代理協作功能預覽版，來簡化AI代理調度任務、不必再寫複雜的程式嗎，還能平行化分配代理工作，加速任務的執行。</p> <p><span style="font-size:22px;"><strong>新一代Amazon SageMaker是一套集結資料、分析和AI的通用平臺</strong></span></p> <p>同樣是AI平臺，Amazon SageMaker專門提供模型訓練、微調、部署和機器學習維運等功能，而今年AWS賦予SageMaker新定位，成為集結資料、分析和AI的通用平臺。</p> <p>在這個大放下，SageMaker有幾個新特色，其一是Unified Studio預覽版，整合SQL分析（Amazon Redshift）、資料處理（Amazon EMR、AWS。Glue和Amazon Athena）、機器學習（Amazon SageMakerAI）、生成式AI管理（Amazon Bedrock）、串流（Amazon MSK、Amazon Kinesis）和商業智慧（Amazon QuickSight）等多種服務，使用者在單一平臺就能存取，打造所需AI分析應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/studio.JPG" /></p> <p>另一個新亮點是SageMaker Lakehouse資料湖倉，是一套存取資料的統一平臺，使用者可用來存取跨Amazon S3、Amazon Redshift、SaaS服務等平臺的資料，還與Iceberg開源資料表格式相容。</p> <p>這套資料湖倉還提供細緻的資料存取權限控管，方便落實資料治理。</p> <p>與治理相關，這次還推出一套治理工具SageMaker Catalog，管理者可用來設定細緻的資料、模型和存取權限。</p> <p>新一代SageMaker還有一個與SaaS應用程式整合的零ETL新亮點，使用者可在SageMaker Lakehouse或Redshift中，存取Zendesk、SAP等SaaS應用程式的資料，來進行分析和AI應用。如此一來，使用者不必再自己建立、管理資料管線了。</p> <p><span style="font-size:22px;"><strong>Amazon Q Developer程式碼助手能協助IT現代化了</strong></span></p> <p>去年年會，AWS揭露了生成式AI助手Amazon Q，可分為Developer和Business兩個版本。Q Developer專門用來處理程式碼相關工作，Business則接收自然語言指令，來處理組織業務。</p> <p>在今年年會中，Matt Garman揭露了Q Developer的幾個新進展，包括正式新添3款AI代理，分別能自動產生和套用單元測試、產出準確的程式碼文件，以及自動進行Code review。（如下圖）其中，產出程式碼文件的功能，針對新、舊程式碼都有用，可找出不足之處和漏洞。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3%E5%80%8B%E4%BB%A3%E7%90%86.JPG" /></p> <p>不只如此，為加強可用性，除了原本既有的Slack等第三方合作平臺，Q Developer現在也能在GitLab上使用了，接下來還會整合至更多第三方平臺。</p> <p>今年的Q Developer新亮點，還包括協助IT現代化，特別是針對.NET、VMware和大型主機的現代化工作。Matt Garman表示，之前，Amazon自己就用Q Developer來升級內部Java程式為Java 17，不只省下大把時間，也因為使用了現代化Java程式，進而省下年度2.6億美元的IT成本。於是他們思考，Q Developer是否也能用於其他IT現代化任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/java%E7%AF%80%E7%9C%81.JPG" /></p> <p>後來，他們與企業客戶詳談，鎖定出3個現代化領域，並打造出Q Developer協助IT現代化的新功能。首先是將Windows.NET轉換為Linux，轉換時間得到4倍加速，還能省下40%的許可費用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NET.JPG" /></p> <p>再來是將VMware工作流程轉換到雲原生架構，將地端網路配置轉換為AWS同等配置，幾個小時就能完成，而非純人工的幾個禮拜。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VMware.JPG" /></p> <p>第三個是加速大型主機現代化，Q Developer能加速原本人工吃重的大型主機現代化工作，如程式碼分析、文件建檔、重新建構應用程式等，甚至還能根據使用者系統狀況，來給出IT現代化策的略規畫。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Mainframe%20cover.JPG" /></p> <p>這三個功能皆為預覽版。</p> <p></p> </div></div></div>
2024/12/5 01:32作者王若樸https://www.ithome.com.tw/news/166352
【re:Invent 2024現場直擊】AWS執行長揭2款資料庫服務新進展，兼顧高可用、低延遲、無需管理基礎設施等優勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS執行長Matt Garman在今年度re:Invent 2024技術年會中揭露資料庫服務新進展，推出兩款預覽版功能，包括Amazon Aurora DSQL和Amazon DynamoDB Global Tables，號稱兼顧99.999%多區域可用性、高度一致、低延遲且無需管理任何基礎設施等優點。這樣的資料庫功能，可讓使用者的應用程式一直讀取最新數據，不必更改程式碼。</p> <p><span style="font-size:22px;"><strong>要兼顧高可用、多地區、低延遲和儲存一致性等優勢的資料庫服務</strong></span></p> <p>AWS的資料庫服務歷史，最早可追溯到雲端資料庫服務Amazon RDS，後來發展出Amazon DynamoDB和Amazon Aurora，尤其後者近來新添自動擴展、支援向量資料等功能，更好地協助使用者發展生成式AI（GAI）應用。</p> <p>「完美的資料庫服務應該長怎樣？」Matt Garman認為，應該要具備高可用性、多地區、低延遲、無需額外操作、儲存一致、懂SQL語意等優勢。</p> <p>也因此，AWS團隊針對低延遲，就開發一種新方法，來減少不同地區資料庫引擎同步所需的資料交易量，進而提高一致性。</p> <p>但如何讓這些資料交易，按照時序進行，又是另一個難題。於是，AWS自己開發了Amazon Time Sync時間同步服務，來在世界各地的每個EC2執行個體中，加入硬體參考時鐘，並且與衛星原子時鐘同步。這意味著，世界各地的執行個體時間同步精確度到微秒等級。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/sync%20time(1).JPG" /></p> <p><span style="font-size:22px;"><strong>推出兩款資料庫預覽版新功能</strong></span></p> <p>在這些技術支援下，AWS打造出2款資料庫服務新功能，包括Amazon Aurora DSQL和Amazon DynamoDB Global Tables。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dsql.JPG" /></p> <p>他們號稱Amazon Aurora DSQL是最快的無伺服器分散式SQL資料庫，使用者可建立99.999%多區域可用、高度一致且PostgreSQL相容的應用程式，而且不必管理基礎設施。而且，與Google Spanner資料庫服務相比，Matt Garmana稱Aurora DSQL的讀寫速度快上4倍，適合用來打造全球性的分散式應用程式。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4x.JPG" /></p> <p>就Amazon DynamoDB來說，是AWS第一款全託管的無伺服器NoSQL資料庫，而今天發表的預覽版新功能也提供全球多區域高可用、低延遲、高度一致性，且不需管理任何基礎設施。</p> <p>AWS說明，這個DynamoDB Global Tables可用來建立和現代化企業的關鍵應用程式，還能確保客戶的多區域應用程式能一直讀取最新數據，不需要更改任何應用程式程式碼。</p> <p></p> </div></div></div>
2024/12/4 17:45作者王若樸https://www.ithome.com.tw/news/166349
【re:Invent 2024現場直擊】S3雲端儲存兩大新功能瞄準AI需求，Iceberg超大型資料表查詢能快3倍，還…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS執行長Matt Garman在今年度re:Invent 2024技術年會中，宣布幾項雲端儲存服務Amazon S3的重要新功能，包括原生支援資料湖資料格式Iceberg的Amazon S3 Tables，大型資料表查詢速度可以提高3倍，以及能自動產生物件Metadata的Amazon S3 Metadata預覽版，這兩大新功能都是為因應AI需求而設計。</p> <p><span style="font-size:22px;"><strong>要讓雲端儲存服務貼近AI需求</strong></span></p> <p>在今日主題演講中，Matt Garman點出，運算、儲存、資料庫和AI推論，是AWS新戰略的4大重要基石。</p> <p>就儲存來說，隨著新技術推陳出新，「儲存模式也改變了。」Matt Garman回顧，AWS最早推出Amazon S3雲端儲存服務，至今已有18年，擁有上百萬名使用者，處理了400兆個物件。Amazon S3服務在這18年間，也發展出幾代新服務，比如前幾年推出的S3 Intelligent-Tiering，能自動化協助處理PB級甚至是EB級的巨量資料，幫所有使用者省下了40億美元。</p> <p>然而，「S3團隊一直在思考，如何讓S3更好。」儲存產品線出身的Matt Garman指出，隨著AI越來越融入各行各業的業務，團隊後來聚焦，要讓S3更符合目前的AI需求。</p> <p>如何讓雲端儲存服務貼近AI需求？Matt Garman解釋，S3專門用來執行資料湖，而AI分析大都仰賴資料湖。其中，絕大多數的分析資料是表格形式，用來查詢非常有效率，而這些資料表大多採Apache Parquet資料格式，「這類Parquet資料，也是S3中成長速度最快的資料類型。」</p> <p>他進一步指出，有些S3客戶擁有數百萬、數十億的Parquet檔案，要有效率查詢這些資料，一種主流做法是使用Apache Iceberg資料表格式，來簡化資料湖中巨量資料集的資料處理。但，用Iceberg擴展管理巨量資料，還是很有挑戰性，甚至安全性、存取權限等管控也是難題。</p> <p><strong><span style="font-size:22px;">2大新功能加速Iceberg資料查詢和交易量，還能自動產生Metadata</span></strong></p> <p>在今年年會中，AWS正式推出Amazon S3 Tables新功能，能3倍加速Iceberg表格的查詢效能，每秒還能提高10倍交易量。而且，該功能還能自動管理表維護工作，就算使用者的資料湖不斷擴展，也是如此。再來，S3 Tables還提供表格級存取控制，使用者可自己定義權限。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/tables.JPG" /></p> <p>不過，「要找到所需資料，還是有挑戰性。」但要是有後設資料（Metadata）輔助，就能更好地找到所需資料，或是理解資料。</p> <p>於是，AWS推出另一個儲存服務的新功能：Amazon S3 Metadata預覽版，能近乎即時，自動產生可供查詢的物件Metadata，來幫助使用者更快找尋資料、用於AI分析等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/metadata.JPG" /></p> <p></p> </div></div></div>
2024/12/4 16:45作者王若樸https://www.ithome.com.tw/news/166347
【資安日報】12月4日，伊朗駭客APT35鎖定航太及半導體產業發動網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著國際政治局勢日益緊張，在國防產業占有重要地位的航太領域，這兩年也成為攻擊目標，而這些駭客多半是鎖定美國而來，但如今，有駭客廣泛針對多個國家攻擊航太產業。</p> <p>例如，近期伊朗駭客組織APT35的攻擊行動，就是典型的例子，這些駭客針對航太及半導體產業，架設冒牌徵才網站來引誘特定人士上當，從而於受害電腦植入惡意程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166340"><strong style="font-size: 22px;">伊朗駭客APT35鎖定航太及半導體產業，利用假徵才網站發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/af666d8ddd6cf76c43edd2ce8f412b329a329545e48e781fc0d13ce6ab1dac08.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/af666d8ddd6cf76c43edd2ce8f412b329a329545e48e781fc0d13ce6ab1dac08.png" style="width: 300px; float: right;" /></a></p> <p>擁有Charming Kitten、Mint Sandstorm等匿稱的伊朗駭客組織APT35，自2014年出沒以來，主要的攻擊範圍在中東及美國，針對能源、政府機關、科技服務單位下手，但在最近一起攻擊行動裡，這些駭客因為擴大活動的範圍，而引起資安研究人員的注意。</p> <p>威脅情報業者ThreatBook指出，他們發現APT35最新一波攻擊，鎖定航太及半導體產業而來，攻擊範圍橫跨美國、泰國、阿拉伯聯合大公國（UAE）、以色列。駭客運用假造的徵才網站及公司網站，並要求使用者必須透過VPN存取為由，誘騙他們下載惡意程式並執行。過程中對方濫用合法雲端服務，例如：OneDrive、Google Cloud、GitHub，從而隱匿行蹤。</p> <p>針對這起資安事故的發現，研究人員表示是發現專門針對航太產業的冒牌徵才網站，該網站提供授權存取的應用程式，當中摻入了黑、白兩種惡意軟體元件（研究人員對於APT35使用的惡意軟體歸納為兩種型態，但並未說明相關定義），主要的攻擊目標，他們推測是泰國專精無人機設計的專家。經過一系列的分析，研究人員確認攻擊者的身分就是APT35。</p> <p><a href="https://www.ithome.com.tw/news/166343"><strong style="font-size: 22px;">思科證實10年前公布的ASA設備XSS漏洞被用於攻擊行動</strong></a></p> <p>11月12日美國網路安全暨基礎設施安全局（CISA）發布漏洞濫用的產品資安警示，其中一個是關於思科ASA防火牆設備，他們確認跨網站指令碼（XSS）漏洞CVE-2014-2120已被用於攻擊行動，並將其加入已遭利用漏洞列表（KEV），要求聯邦機構必須在12月3日完成修補，如今思科也證實這項漏洞遭到利用的現象。</p> <p>思科12月2日更新公告內容，表示他們的產品事件回應團隊（PSIRT）於11月得知情報，確認有人嘗試在實際攻擊利用這項漏洞，因此呼籲用戶應升級軟體，以緩解這項弱點。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=190626&SPOKE_DATE=20241203&COMPANY_ID=8940"><strong style="font-size: 22px;">餐飲集團新天地傳出遭遇DDoS攻擊</strong></a></p> <p></p> <p>12月3日上市餐飲集團新天地於股市公開觀測站發布重大訊息，公告他們遭受DDoS攻擊的情況。事發當下，該公司立即啟動相關防禦機制因應。</p> <p>對於這起事故可能會造成的影響，新天地指出，目前評估未有個資或內部文件資料外洩的情況，對於公司的營運，沒有重大影響。他們將持續提升網路及資訊基礎架構的安全管控，以確保資訊安全。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/l/gafgyt-malware-targeting-docker-remote-api-servers.html">配置錯誤的Docker API成目標，攻擊者企圖部署惡意軟體Gafgyt，並發動DDoS攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/revc2-and-venom-loader-exploit-maas-in-advanced-campaigns/">惡意程式RevC2、Venom Loader攻擊行動升溫</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cloudflares-developer-domains-increasingly-abused-by-threat-actors/">Cloudflare Pages、Workers服務遭到駭客濫用的情況大幅增加</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166344"><strong style="font-size: 22px;">Veeam發布新版備份集中管理工具，修補遠端執行程式碼重大漏洞</strong></a></p> <p>備份與資料保護軟體廠商Veeam，於12月3日發布Veeam Service Provider Console（VSPC）遠端管理控制臺的2個漏洞，這些漏洞會影響8.1.0.21377版以前，以及更早8.x與7.x版的VSPC，該公司釋出修補版本8.1.0.21999。</p> <p>首先，是嚴重性高達9.9分的重大漏洞CVE-2024-42448，當VSPC管理代理程式在Veeam管理伺服器上獲得執行的授權時，將能在伺服器遠端任意執行各種程式碼。</p> <p>其次，是嚴重性7.1分的低風險漏洞CVE-2024-42449，當VSPC管理代理程式在伺服主機上獲得授權時，有可能導致洩漏VSPC伺服器主機服務帳戶的NTLM雜湊，並刪除伺服器上的檔案。</p> <p><a href="https://www.ithome.com.tw/news/166345"><strong style="font-size: 22px;">Progress於9月修補的WhatsUp Gold重大層級漏洞，發現問題的資安研究人員公布細節</strong></a></p> <p>今年9月軟體業者Progress發布24.0.1版網管軟體WhatsUp Gold，修補6項漏洞，其中有2項CVE-2024-8785、CVE-2024-46909為重大層級，但當時該公司僅有列出CVE編號、通報者，以及漏洞的風險評分，並未對漏洞進一步說明，如今通報漏洞的研究人員透露CVE-2024-8785的細節。</p> <p>CVE-2024-8785是由資安業者Tenable通報，他們在12月2日公開這個嚴重程度為9.8分的漏洞，發生在名為NmAPI.exe的元件，為能夠竄改Windows機碼的遠端程式碼執行（RCE）漏洞，未經授權的攻擊者有機會利用這項弱點，於目標系統遠端執行任意程式碼。對於漏洞濫用的概念性驗證作法，研究人員也提出說明，幫助大家理解這項漏洞的嚴重性。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/trellix-enterprise-security-manager-patches-critical-flaws-including-cve-2024-11482-cvss-9-8/">Trellix公告資安管理平臺ESM重大漏洞，用戶若不處理攻擊者可執行RCE攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-11980-cvss-10-critical-flaw-in-billion-electric-routers/">盛達電業無線基地臺存在高風險漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166342"><strong style="font-size: 22px;">韓國警方逮捕執行長及5名員工，起因是在生產的衛星接收器埋入DDoS攻擊功能</strong></a></p> <p>為他人打造網路攻擊工具，很有可能會吃上官司。11月28日韓國國家警察局宣布，他們逮捕1名執行長及5名員工，原因是這些人涉嫌製造含有DDoS攻擊能力的衛星接收器，而被買家用於攻擊競爭對手。</p> <p>這些人所屬的公司自2017年與買家往來，向他們銷售衛星接收器，到了2018年11月，買家要求設備必須含有DDoS攻擊能力，該製造商從2019年1月至2024年9月向他們賣出24萬臺衛星接收器，其中9.8萬臺預載DDoS攻擊模組，其餘則是透過韌體更新引入相關功能。</p> <p>上述6人被控違反《促進資訊和通訊網路利用暨資訊保護法》，法院批准沒收該公司資產，並沒收銷售這批設備的不法所得610億韓元（相當於約435萬美元）。韓國警方將尋求國際合作，追蹤並逮捕購買設備的廣播公司。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166328"><strong>【12月3日】惡意軟體SmokeLoader假借報價名義攻擊臺灣多個領域的企業</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166298"><strong>【12月2日】網釣工具包Rockstar 2FA針對汽車相關主題網站而來，意圖竊取用戶的M365帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166281"><strong>【11月29日】駭客利用CleverSoar惡意程式於中國、越南電腦散布多種惡意軟體</strong></a></p> </div></div></div>
2024/12/4 16:42作者周峻佑https://www.ithome.com.tw/news/166346
Progress於9月修補的WhatsUp Gold重大層級漏洞，發現問題的資安研究人員公布細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年9月軟體業者Progress<a href="https://www.ithome.com.tw/news/165247">發布24.0.1版網管軟體WhatsUp Gold</a>，修補6項漏洞，其中有2項CVE-2024-8785、CVE-2024-46909為重大層級，但當時該公司僅列出CVE編號、通報者，以及漏洞的風險評分，並未對漏洞進一步說明，如今通報漏洞的研究人員透露CVE-2024-8785的細節。</p> <p>CVE-2024-8785是由資安業者Tenable通報，<a href="http://www.tenable.com/security/research/tra-2024-48">他們在12月2日公開這個嚴重程度為9.8分的漏洞</a>，發生在名為NmAPI.exe的元件，為能夠竄改Windows機碼的遠端程式碼執行（RCE）漏洞，未經授權的攻擊者有機會利用這項弱點，於目標系統遠端執行任意程式碼。</p> <p>研究人員進一步提出概念性驗證，說明這項漏洞的嚴重性。他們指出，攻擊者可透過netTcpBinding呼叫UpdateFailoverRegistryValues工作，從而對HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Ipswitch\的機碼進行竄改數值，或是新增機碼。</p> <p>附帶一提的是，攻擊者也能竄改HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Ipswitch\Network Monitor\WhatsUp Gold\Setup\InstallDir機碼，將其指向攻擊者控制的主機。</p> <p>一旦Ipswitch Service Control Manager（ServiceControlManager.exe）服務重新啟動，WhatsUp Gold就會從攻擊者的伺服器讀取特定的manifest檔案，並經由ServiceControlManager.exe啟動。此時攻擊者便能在特定XML檔案加入惡意程式執行檔，從而在WhatsUp Gold載入、運作。</p> </div></div></div>
2024/12/4 16:25作者周峻佑https://www.ithome.com.tw/news/166345
伊朗駭客APT35鎖定航太及半導體產業，利用假求職網站發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>擁有Charming Kitten、Mint Sandstorm等匿稱的伊朗駭客組織APT35，自2014年出沒以來，主要的攻擊範圍在中東及美國，針對能源、政府機關、科技服務單位下手，但在最近一起攻擊行動裡，這些駭客擴大了活動的範圍而引起研究人員的注意。</p> <p>威脅情報業者ThreatBook指出，<a href="https://threatbook.io/blog/id/1095">他們發現APT35最新一波攻擊</a>，鎖定航太及半導體產業而來，攻擊範圍橫跨美國、泰國、阿拉伯聯合大公國（UAE）、以色列。駭客運用假造的徵才網站及公司網站，並要求使用者必須透過VPN存取為由，誘騙他們下載惡意程式並執行。過程中對方濫用合法雲端服務，例如：OneDrive、Google Cloud、GitHub，從而隱匿行蹤。</p> <p>針對這起資安事故的發現，研究人員表示是發現專門針對航太產業的冒牌徵才網站，該網站提供授權存取的應用程式，當中摻入了黑白兩種惡意軟體元件，主要的攻擊目標，他們推測是泰國專精無人機設計的專家。經過一系列的分析，研究人員確認攻擊者的身分就是APT35。</p> <p>特別的是，這個徵才網站為了引誘目標人士上當，，駭客不僅標記航太相關職缺的薪水遠高於其他工作，還甚至製作授權存取應用程式的使用教學影片，企圖降低受害者的戒心。</p> <p>若是求職者依照指示下載駭客提供的檔案，其中包含合法的OneDrive元件SignedConnection.exe，以及第一階段、第二階段的惡意程式secur32.dll、Qt5Core.dll。</p> <p>其中的第一階段惡意工具是以C#打造而成，主要的功能包含提供SignedConnection.exe的圖形介面，並將前述提及的黑白惡意軟體元件複製到電腦，並竄改登錄檔，讓這些惡意軟體隨著電腦開機載入。</p> <p>至於另一個惡意程式Qt5Core.dll，則是由secur32.dll改名後，再透過FileCoAuth.exe載入，並透過GitHub、Google Drive，取得C2伺服器位址並建立通訊。</p> <p>研究人員後來看到另一個冒牌的半導體公司網站，駭客對於目標人士佯稱有存取限制，必須安裝VPN應用程式，然而一旦照做，電腦就會被植入前述的惡意酬載。</p> </div></div></div>
2024/12/4 14:52作者周峻佑https://www.ithome.com.tw/news/166340
【re:Invent 2024現場直擊】AWS執行長揭運算服務新亮點，專為GAI設計推P6、Trn2和Trn2 Ult…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS執行長Matt Garman在今年度re:Invent 2024技術年會中揭露運算新亮點，包括由Nvidia Blackwell GPU驅動的P6系列EC2執行個體、Amazon EC2 Trn2執行個體、Trn2 UltraServer執行個體，都是為生成式AI（GAI）專門設計，可提供更快更有效率的算力。</p> <p>Matt Garman還透露，AWS正與AI新創Anthropic共同開發Project Rainier，也就是由數十萬顆Trainium2組成的UltraServer運算叢集。他也預告，明年將推出新一代Trainium3自研GAI加速晶片。</p> <p><span style="font-size:22px;"><strong>專為生成式AI設計的執行個體和下一代GAI加速晶片</strong></span></p> <p>在今日主題演講中，Matt Garman點出，運算、儲存、資料庫和AI推論，是AWS發展策略的4大重要基石。而就運算來說，AWS每年都有新進展，比如最早推出的EC2執行個體（編按：執行個體是指在雲端環境中執行的虛擬機器）、去年年會揭露的Nitro系統、後來問世的Graviton4處理器，但，「今日，運算面臨的最大問題是AI，特別是生成式AI。」</p> <p>Matt Garman說明，目前絕大多數的AI應用，都仰賴GPU算力，而AWS又是提供執行GPU工作負載的環境。「AWS與Nvidia已合作14年，開發不少算力強大的執行個體，」在這個基礎上，Matt Garman今日揭露與Nvidia聯手開發的P6系列EC2執行個體，採用Nvidia最新Blackwell GPU，將於2025年上市，預計提供比目前GPU執行個體快上2.5倍的運算能力。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-12-03%20at%2010_58_10%20PM.png" /></p> <p>不只P6，AWS今日也正式推出採用自研AI加速晶片Trainuim2的EC2執行個體：Amazon EC2 Trn2 Instances，專為生成式AI和深度學習設計。這個執行個體的效能，可比目前的GPU EC2執行個體好上3到4成。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Trn2.JPG" /></p> <p>其中，單一個Trn2執行個體由16個Trainium2晶片組成，由NeuronLink高頻寬高速連接，可提供低延遲的20.8 pflops算力，適合用來訓練和部署數十億參數的模型。</p> <p>但如果AI模型更大，需要更多算力呢？</p> <p>Matt Garman說，今日揭露的Amazon EC2 Trn2 UltraServers執行個體預覽版，就能滿足大模型訓練和部署需求。這個Trn2 UltraServers由4個Trn2執行個體組成，一樣以NeuronLink高速連接，搭載64顆Trainium2晶片，可提供83.2 pflops和332.8 pflops的密集與稀疏運算效能。（如下圖）</p> <p><img alt="" src="https://assets.aboutamazon.com/dims4/default/7199a2d/2147483647/strip/true/crop/2160x2160+0+0/resize/767x767!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2Fc5%2F72%2F6de9d5184d3fa17530d6c9ebd064%2Famazon-ec2-trn2-ultraservers.png" /><br /> （圖片來源：AWS）</p> <p>這個Trn2 UltraServer執行個體，適合用來訓練兆級參數的大模型。</p> <p>Matt Garman也揭露，AWS聯手AI新創Anthropic，正共同打造名為Project Rainier的Trainium2 UltraServer運算叢集，預計使用數十萬顆Trainium2晶片，將提供5倍Anthropic目前用來訓練模型的算力。AWS預計，Project Rainier屆時將成為世界上最大的AI運算叢集。</p> <p>關於AWS運算基石的更新，還不只如此。</p> <p>Matt Garman預告，明年AWS將推出新一代自研AI加速晶片Trainium3，專門為GAI設計。「這將是AWS第一款採用3奈米製程節點，將提供比Trainuim2高出2倍的算力，效能還提高40%。」</p> <p></p> </div></div></div>
2024/12/4 15:06作者王若樸https://www.ithome.com.tw/news/166341
韓國警方逮捕執行長及5名員工，起因是在生產的衛星接收器埋入DDoS攻擊功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為他人打造網路攻擊工具，很有可能會吃上官司。11月28日韓國國家警察局宣布，<a href="https://www.police.go.kr/user/bbs/BD_selectBbs.do?q_bbsCode=1002&q_bbscttSn=20241128120629043">他們逮捕1名執行長及5名員工</a>，原因是這些人涉嫌製造含有DDoS攻擊能力的衛星接收器，而被買家用於攻擊競爭對手。</p> <p>這些人所屬的公司自2017年與買家往來，向他們銷售衛星接收器，到了2018年11月，買家要求設備必須含有DDoS攻擊能力，該製造商從2019年1月至2024年9月向他們賣出24萬臺衛星接收器，其中9.8萬臺預載DDoS攻擊模組，其餘則是透過韌體更新引入相關功能。</p> <p>這起事故的發現，主要是今年7月國際刑警組織（Interpol）接獲相關情資，一家外國非法廣播公司向韓國公司進口具有DDoS攻擊功能的衛星接收器，他們將情資提供給韓國警方，使得這起事故被公開。</p> <p>上述被捕6人被控違反《促進資訊和通訊網路利用暨資訊保護法》，法院批准沒收該公司資產，並沒收銷售這批設備的不法所得610億韓元（相當於約435萬美元）。韓國警方將尋求國際合作，追蹤並逮捕購買設備的廣播公司。</p> </div></div></div>
2024/12/4 15:23作者周峻佑https://www.ithome.com.tw/news/166342
思科證實10年前公布的ASA設備XSS漏洞被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月12日美國網路安全暨基礎設施安全局（CISA）指出，<a href="https://www.cisa.gov/news-events/alerts/2024/11/12/cisa-adds-five-known-exploited-vulnerabilities-catalog">他們掌握思科ASA防火牆設備跨網站指令碼（XSS）漏洞CVE-2014-2120被用於攻擊行動的情報</a>，並將其加入已遭利用漏洞列表（KEV），要求聯邦機構必須在12月3日完成修補，如今思科也證實這項漏洞遭到利用的現象。</p> <p>這項漏洞存在於ASA設備的WebVPN登入網頁，一旦攻擊者利用，就有機會在未經授權的情況下，對部分WebVPN用戶發動跨網站指令碼攻擊，CVSS風險為4.3分，為中度風險漏洞。</p> <p>思科12月2日更新<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-CVE-2014-2120">公告內容</a>，表示他們的產品事件回應團隊（PSIRT）於11月得知有人嘗試在實際攻擊利用這項漏洞的現象，呼籲用戶應升級軟體緩解這項弱點。</p> </div></div></div>
2024/12/4 15:42作者周峻佑https://www.ithome.com.tw/news/166343
Amazon公布多模態AI模型家族Nova
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在re:Invent大會上，Amazon Web Services（AWS）<a href="https://www.aboutamazon.com/news/aws/amazon-nova-artificial-intelligence-bedrock-aws" target="_blank">公布</a>自有多模態AI模型家族Amazon Nova。</p> <p>Amazon Nova家族是AWS首次推出涵括文字、圖片和影片的多模態AI模型，包含6款模型，於Amazon Bedrock平臺上提供給企業用戶。這些模型包括Amazon Nova Micro，為純文字模型，價格也最便宜。Amazon Nova Lite能處理文字、圖片和影片輸入。Amazon Nova Pro強調是整合高準確率、速度及成本效益的多模態模型。Amazon Nova Canvas及Amazon Nova Reel分別為state-of-the-art圖片及影像生成模型。Nova Reel只需在提示中輸入一幀圖片，即可生成一段短影片。</p> <p>其次還有具備處理複雜理解任務，可作為蒸餾自製模型的教師模型Amazon Nova Premier，是AWS最強大的多模態模型，預計2025年問世。</p> <p>目前Nova已在美國東岸的Amazon Bedrock平臺提供。而Micro、Lite、Pro則在另二個美國AWS區域（regions）上線。價格則視<a href="https://aws.amazon.com/bedrock/pricing/" target="_blank">Bedrock</a>而定。最便宜（Nova Micro）為每千字詞輸入/輸出$0.000035及$0.00014美元。</p> <p>AWS指出，Nova家族支援200種語言，其中Micro、Lite、Pro版比Amazon Bedrock的其他同等級模型價格便宜至少75%，也是該平臺上速度最快的模型。</p> <p>在Bedrock平臺上，AWS用戶可透過API存取這些以及早先提供的其他模型。Nova模型也支援微調及蒸餾。用戶可以自有資料提供範例，藉此訓練並提升模型準確度，或是當成教師模型，以蒸餾出專門用途的小模型。</p> <p>此外，Nova模型可和Bedrock知識庫（Knowledge Bases）整合，且具備優異的擷取增強生成（Retrieval Augmented Generation，RAG）能力，讓企業用戶以公司自有資料為grounding基礎，確保模型生成內容的準確性。另外，企業也能將Nova模型與代理人程式串聯，透過API存取公司內部系統和資料，完成工作流程自動化。</p> <p>AWS預計2025年再推出二款Nova成員模型，包括一款口語輸出／輸入（speech-to-speech）及原生的多模態輸出／輸入（multimodal-to-multimodal）模型。</p> </div></div></div>
2024/12/4 12:49作者林妍溱https://www.ithome.com.tw/news/166338
支援AI加速器品牌坐二望三，聯想推出8U、8加速模組的伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/lian_xiang_thinksystem_sr680a_v3_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月Nvidia舉行的年度GTC大會期間，聯想在旗下的伺服器產品線ThinkSystem系列，推出兩款8U尺寸8-GPU組態的2路伺服器系統：SR680a V3與SR685a V3，均可搭配多種資料中心GPU：Nvidia HGX H100 8-GPU、HGX H200 8-GPU，或<a href="https://www.amd.com/zh-tw/products/accelerators/instinct/mi300/platform.html">AMD Instinct MI300X Platform（8個OAM外形的Instinct MI300X）</a>；</p> <p><a href="https://www.intel.com/content/www/us/en/newsroom/resources/computex-2024.html">在6月台北國際電腦展期間</a>，英特爾展出多款採用<a href="https://www.ithome.com.tw/review/162428">Gaudi 3加速器</a>的伺服器，聯想SR680a V3正是其中一款機型；</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-06-Intel-Computex-Keynote-03-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-Intel-Computex-Keynote-03-web.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-06-Computex-Lenovo SE680a v3-P1420391-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-Computex-Lenovo%20SE680a%20v3-P1420391-web.jpg" style="width: 298px;" /></a></p> <p>到了9月舉行的2024 Lenovo TW Accelerate 通路展望大會，聯想再度展出SR680a V3，而在現場擺設的產品資訊規格的標示看板當中，他們增列尚未推出的Blackwell架構次世代GPU產品B100。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Lenovo%20AI%20Server-2024-09-13-web.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/SR680a-2024-09-13-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SR680a-2024-09-13-2.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Lenovo%20AI%20servers-2024-09-13-1-680.jpg" style="width: 600px;" /></p> <p>聯想這兩款8U、8-GPU伺服器的主要差異，在於採用不同廠商推出的運算平臺。例如：SR680a V3搭配英特爾第五代Xeon Scalable系列處理器，可安裝32支DDR5-5600記憶體；SR685a V3搭配AMD第四代EPYC系列處理器，可安裝24支DDR5-4800記憶體。</p> <p>若以企業級軟體相容性而言，<a href="https://docs.nvidia.com/certification-programs/nvidia-certified-systems/index.html">這兩款機型均通過Nvidia-Certified Systems的驗證</a>，可支援Nvidia彙整的AI整合軟體套餐Nvidia AI Enterprise，能用於裸機、虛擬化，以及雲端環境的部署。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Qualified System Catalog-SR680a v3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualified%20System%20Catalog-SR680a%20v3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Qualified System Catalog-SR685a v3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualified%20System%20Catalog-SR685a%20v3.jpg" style="width: 298px;" /></a></p> <p>在今年公開的AI效能測試項目當中，聯想也提交這兩款8U尺寸8-GPU伺服器的紀錄。例如，在8月底揭露的MLPerf Inference 4.1，以及11月中揭露的MLPerf Training 4.1，SR680a V3與SR685a V3都各有一筆紀錄，搭配的GPU均為內建141 GB HBM3e記憶體的Nvidia H200。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MLPerf Inference v4_1-Lenovo.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLPerf%20Inference%20v4_1-Lenovo.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/MLPerf%20Training%20v4_1-Lenovo.jpg" style="width: 298px;" /></p> <p>關於Nvidia H200的支援，SR685a V3在產品指南文件加入相關敘述是在7月，10月底宣告支援AMD第四代EPYC處理器96核心款式9654；而在AMD Instinct MI300X Platform的搭配上，AMD在2024第二季認證伺服器型錄，列入SR685a V3。至於Intel Gaudi 3的搭配選項，截至11月底為止，聯想仍未在SR680a V3與SR685a V3產品指南與技術規格，列入相關描述。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Instinct MI300X Platform-Accelerated Servers-2024-Q2(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Instinct%20MI300X%20Platform-Accelerated%20Servers-2024-Q2(1).jpg" style="width: 500px;" /></a></p> <p>以產品設計概念而言，聯想這批AI加速伺服器主打可支援多種AI加速器，令人想到市面上另一款更早推出的產品Dell PowerEdge XE9680，這款伺服器採用6U尺寸機箱，最初可搭配8個Nvidia A100或H100，後續擴增支援更多加速器選項，截至目前為止，XE9680可搭配Nvidia HGX H100 8-GPU、HGX H200 8-GPU，或AMD Instinct MI300X Platform，也能改用Intel Gaudi 3 HLB-325（8個OAM外形的Gaudi 3）。</p> <p>事實上，Dell XE9680這些AI加速器搭配是陸續提供的。首先，以Nvidia的產品而言，<a href="https://www.ithome.com.tw/review/156425">XE9680去年可支援Nvidia HGX H100 8-GPU與HGX A100 8-GPU</a>，<a href="https://www.dell.com/zh-tw/blog/dell-poweredge-xe9680-ai-acceleration-announcements-at-nvidia-gtc/">Dell今年3月宣布支援HGX H200</a>，10月宣布搭配HGX H200與HGX H100的HPL Benchmark效能測試數據；第二，是AMD的產品，<a href="https://infohub.delltechnologies.com/en-au/p/silicon-diversity-deploy-genai-on-the-poweredge-xe9680-with-amd-instinct-mi300x-accelerators/">Dell今年5月宣布可搭配AMD Instinct MI300X Platform</a>，以及Dell Validated Design for Generative AI with AMD，7月XE9680搭載AMD Instinct MI300X開始出貨，Dell Validated Design for Generative AI with AMD也正式供應，<a href="https://infohub.delltechnologies.com/fr-fr/p/amd-instinct-mi300x-accelerators-on-poweredge-xe9680-serving-cohere-s-command-r-model-using-vllm/">10月揭露用於大型語言模型Command R+的AI處理效能數據</a>；至於Intel的產品，<a href="https://www.dell.com/zh-tw/blog/experience-choice-in-ai-with-poweredge-and-gaudi3/">Dell在今年4月宣布XE9680將可搭載Intel Gaudi 3</a>，<a href="https://www.dell.com/zh-tw/blog/exciting-dell-intel-ai-updates-from-dell-technologies-world/">5月舉行的Dell年度用戶大會預告將在下半年推出</a>，<a href="https://infohub.delltechnologies.com/en-us/p/introducing-dell-poweredge-xe9680-with-intel-gaudi-3-ai-accelerator/">9月宣布這樣的搭配將在第三季量產</a>，到了9月底英特爾正式發表Xeon 6 P-core處理器的同時，<a href="https://www.intel.com/content/www/us/en/newsroom/news/next-generation-ai-solutions-xeon-6-gaudi-3.html#gs.idk9ou">也預告兩款10月供應Gaudi 3的伺服器產品</a>，其中之一正是Dell XE9680。</p> <p>反觀聯想，根據在他們網站公布的<a href="https://lenovopress.lenovo.com/lp1909-thinksystem-sr680a-v3-server">SR680a V3</a>與<a href="https://lenovopress.lenovo.com/lp1909-thinksystem-sr680a-v3-server">SR685a V3</a>產品指南文件，最近一次改版日期是11月18日，上面並未提到Intel Gaudi 3，僅在文末的商標使用聲明提到Intel Gaudi，或許未來會對這部分支援明確交代相關資訊。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>聯想ThinkSystem </strong><strong>SR680a V3與SR685a V3</strong></span><br /> ●原廠：聯想<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：8U<br /> ●處理器：SR680a V3搭配2顆Intel第五代Xeon Scalable系列（最高搭配350瓦TDP機型、64核心），SR685a V3搭配2顆AMD第四代EPYC系列（最高搭配400瓦TDP機型、96核心）<br /> ●記憶體：SR680a V3搭配32個DDR5-5600插槽，最大可擴充至4 TB，SR685a V3搭配24個DDR5-4800插槽，最大可擴充至3 TB<br /> ●儲存配置：16臺2.5吋NVMe固態硬碟+2臺M.2 NVMe固態硬碟<br /> ●搭配GPU：Nvidia HGX H100 8-GPU，8個SXM5形式GPU，或是Nvidia HGX H200 8-GPU，8個SXM5形式GPU，或是AMD Instinct MI300X 8-GPU，8個OAM形式GPU<br /> ●I/O擴充介面：10個PCIe 5.0 x16全高半長介面卡<br /> ●電源供應器：8臺2600瓦（N+N備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/12/4 11:33作者李宗翰https://www.ithome.com.tw/review/165032
AWS公布資料中心AI節能技術，新增支援液冷的多模態冷卻系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI以高耗能著稱，周二在re:Invent大會上，AWS<a href="https://www.aboutamazon.com/news/aws/aws-reinvent-2024-keynote-live-news-updates" target="_blank">公布</a>新的資料中心基礎架構元件，包括簡化電子電機設計和多模態冷卻系統，提高AWS執行AI的能源效率。</p> <p>有鑒於生成式AI應用日益普及，對能源及運算容量需求有增無減，AWS發展了新的節能技術，許多已部署在AWS全球新的資料中心，也逐步部署到現有資料中心。這些新元件<a href="https://press.aboutamazon.com/2024/12/aws-announces-new-data-center-components-to-support-ai-innovation-and-further-improve-energy-efficiency" target="_blank">整合</a>了能源、冷卻及硬體方面的技術。首先是更簡化的電子電機設計，可降低耗能，同時減低失靈風險，使基礎架構可用性達到99.9999%，使受電子問題影響的機架數量減少89%，而且使可能的失敗點（failure point）數量減少20%。AWS並將備援電源設置離機架近一點，減少風扇數，並使用自然壓力差來排放伺服器熱風，提升伺服器可用電力。</p> <p>其次，AWS也使用新的冷卻、機架設計及控制系統。其中，AWS新的AI伺服器將使用液冷技術來冷卻高密度運算晶片。他們發展了機械式冷卻方案，現有和新資料中心都已使用liquid-to-chip冷卻系統。但因應某些AWS系統如儲存不支援液冷，新的冷卻系統可同時為AI晶片組提供氣冷和液冷，像是AWS Trainium 2和機架式AI超級電腦方案如Nvidia GB200 NVL 72，以及AWS網路交換機、儲存伺服器等。</p> <p>最後，AWS新資料中心架構支援高密度AI方案。AWS運用資料和生成式AI優化資料中心機架架設的方式，藉此預測伺服器最有效率的設置方法，現在得以減少浪費的能源量。</p> <p>AWS說，新資料中心設計可支援AI執行需要的次世代硬體和高密度機架需求，又能彈性支援其他類硬體。現有AWS基礎架構提供750多種Amazon EC2執行個體可以選擇。除了多模態冷卻設計，AWS還有供電系統，可在未來20年支援機架密度成長6倍，之後還能支援3倍成長。</p> <p>在今年re:Invent大會上，AWS也公布有史以來第一次資料中心的能源使用效率（Power Use Efficiency，PUE）。PUE是資料中心用電效率量測值，1.0為完美，表示所有能源全數用於運算。2023年AWS全球PUE為1.15，最好的站點為1.04。</p> <p>AWS預期使用簡化電子電機設計，採用新的多模態冷卻系統，以及更有效率的機架設置方法後，AWS的資料中心PUE可望降到1.08。</p> </div></div></div>
2024/12/4 08:24作者林妍溱https://www.ithome.com.tw/news/166331
Rust 1.83擴充const上下文功能，強化其編譯時期靈活性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust團隊推出最新的<a href="https://blog.rust-lang.org/2024/11/28/Rust-1.83.0.html">Rust 1.83版</a>本，該版本更新主要聚焦在const上下文（const Contexts）功能進行強化。這項更新不僅能夠增加編譯時期程式的靈活性，也替開發者提供更多的工具，進一步增強程式效能和穩定性。</p> <p>const在Rust中扮演編譯常數的角色，其優勢在於允許開發者定義在編譯期間即可確定值的變數，大幅強化程式的執行效率。雖然在不少程式語言中，常數通常被認為是一個固定不變的值，但在Rust中，const不僅定義不可變的值，還要求其值必須在編譯期間完成計算。</p> <p>不過，以往const上下文存在許多限制，像是無法直接引用靜態變數或使用可變參照，而Rust 1.83打破了這些限制，替const上下文帶來了多項重要更新。const上下文指得是所有需要在編譯期間執行的程式碼環境。</p> <p>在Rust 1.83中，允許在const上下文中引用靜態變數（Static），這代表開發者可以更靈活地處理靜態資料，雖然還是需要遵守不可變的限制，以確保程式執行的一致性，例如雖然const可以指向靜態變數的記憶體位址，但如果該靜態變數具備可變性，就不能讀取其值。這樣的限制維持了Rust語言一貫的安全性設計，同時避免多執行緒環境中出現的競爭條件。</p> <p>其次，Rust 1.83支援在上下文中使用可變參照與原始指標，替開發者在編譯時運算中提供更大的靈活性。這項功能特別適合需要在編譯期間，進行更複雜邏輯處理的用例，像是動態運算陣列長度或進行狀態改變。</p> <p>這次Rust更新還帶來多項API穩定化，開發者可以在const上下文中使用更多標準函式庫的功能，進一步提升程式的靈活性與可用性。這些變更對語言核心帶來積極影響，官方希望透過這些變更，鼓勵第三方函式庫採用const功能進行最佳化。</p> </div></div></div>
2024/12/4 08:16作者李建興https://www.ithome.com.tw/news/166330
【re:Invent 2024現場直擊】AWS揭Bedrock AI推論加速功能，Anthropic共同創辦人現身說法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS re:Invent 2024技術年會於美西時間12月1日展開，其公用運算部門（Utility Computing）資深副總裁Peter DeSantis在晚間首場主題演講中，揭露全託管AI平臺Amazon Bedrock的AI推論加速新功能，主打降低延遲、提高效能，比如使用自家AI加速晶片Trainium 2驅動的Trn 2執行Llama 3.1 405B模型推論，只需3.9秒就能處理1萬個Token的輸入值、產出100個Token，號稱比Google的13.9秒、微軟的6.2秒還要快。</p> <p>不只Llama 3.1模型可加速，AI新創Anthropic共同創辦人暨運算長Tom Brown也現身說法，他們與AWS聯手設計Bedrock推論加速功能，能將Anthropic最新模型Claude 3.5 Haiku的推論時間加速60%，比其他任何平臺都還要快，即日起使用者即可透過API使用該功能。他也揭露，接下來將以數十萬顆Trainium 2訓練下一代Claude模型。</p> <p><span style="font-size:22px;"><strong>瞄準大語言模型需求，優化硬體打造預覽版Bedrock AI推論低延遲功能</strong></span></p> <p>進一步來說，AWS Bedrock是一款無伺服器的全託管AI平臺，使用者可透過API，存取Amazon自家和Meta、Anthropic或Stability AI等第三方基礎模型，來滿足業務需求。</p> <p>Bedrock加速AI推論的關鍵，離不開硬體優化。在去年re:Invent大會中，AWS揭露自研AI加速晶片Trainium 2和Arm架構的Graviton 4處理器，現在還進一步發展出Trainium 2 UltraServer主機，包括了2個機櫃、4臺伺服器和64個以NeronLink高速連接的Trainium 2加速器，來提供單一高效能執行個體。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A6%8F%E6%A0%BC.JPG" /></p> <p>DeSantis補充，這臺Trainium 2 UltraServer能分別提供高達83.2 pflops和332.8 pflops的密集與稀疏運算效能，且具6TB的高頻寬記憶體（HBM），並在現場展示。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ultra.JPG" /></p> <p>他還表示，這臺主機適合用來訓練兆級參數的大模型。</p> <p>除了訓練需要強大算力，大模型的推論也需要強大算力支援，尤其目前出現越來越多仰賴多AI代理的工作流程，需要更快產出結果。</p> <p>於是，在AWS的硬體優勢上，他們今年推出Bedrock AI推論低延遲功能（預覽版），能加速Llama 3.1 70B和405B等2種參數模型。他們測試，使用自家Trainium 2加速晶片執行405B參數的Llama 3.1模型推論，只需3.9秒就能對1萬個Token的輸入值，產出100個Token，號稱比Google的13.9秒、微軟的6.2秒還要快。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BF%AB%E9%80%9F.JPG" /></p> <p><span style="font-size:22px;"><strong>Claude 3.5 Haiku模型也加速推論，Anthropic還要用數十萬顆Trainium 2訓練新模型</strong></span></p> <p>不只是Llama模型，Anthropic也與AWS聯手開發推論加速功能，將Claude 3.5 Haiku小模型的推論時間加快了60%，「比其他任何平臺都還要快，」Tom Brown說。</p> <p>他說明，要加速模型推論，不只是硬體規格要夠好，關鍵是主機中的收縮陣列（Systolic Arrays）要時時發揮作用。也就是說，收縮陣列要能持續依序接收模型輸入值，而不是卡住、得等待輸入值從記憶體或其他地方送進來，「就好比玩俄羅斯方塊一樣，方塊結合得越緊密就越有效率、成本也越低，」他比喻。</p> <p>在與AWS解決這個問題的過程中，Anthropic發現，Trainium 2晶片的設計，非常適合執行低階程式語言，而且還能記錄系統中每條指令的執行時間。這意味著，開發者可以清楚知道，收縮陣列何時工作、何時卡住，以及為何卡住，讓核心（Kernel）程式的開發更快更簡單。</p> <p>也因為Trainium 2晶片的這個優點，Tom Brown更透露，他們新一代的Claude模型，將用包含數十萬個Trainium 2晶片的Project Rainer來訓練，「這個叢集規模是我們所使用過的5倍之大。」這意味著，Anthropic的開發速度將更快，而Claude模型使用者，則能以更便宜的價格使用更聰明的模型，甚至是AI代理，來執行更重要的專案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/rainier.JPG" /></p> <p></p> </div></div></div>
2024/12/3 18:47作者王若樸https://www.ithome.com.tw/news/166329
國際刑警組織與40個國家聯手執行大規模掃蕩，逮捕逾5千人、查獲4億美元不法所得
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週國際刑警組織（Interpol）宣布，他們與40個國家及地區的執法單位聯手，<a href="https://www.interpol.int/en/News-and-Events/News/2024/INTERPOL-financial-crime-operation-makes-record-5-500-arrests-seizures-worth-over-USD-400-million">從今年7月至11月執行名為Operation Haechi-V的執法行動</a>，結果逮捕超過5,500名從事金融犯罪的嫌犯，並沒收超過4億美元的不法所得。</p> <p>這波執法行動他們針對7種透過網路從事的詐欺行為進行調查，這些包含：語音網路釣魚（vishing）、愛情騙局、色情勒索、投資詐騙、非法賭博、商業郵件詐騙（BEC），以及電子商城詐欺。</p> <p>他們提及韓國與中國聯手破獲大型語音網路釣魚集團，迄今已有超過1,900人受害，造成11億美元的損失。此犯罪組織的作案手法相當複雜，他們可能會假扮執法人員，或是使用偽造的身分來行騙。兩國執法單位逮捕至少27人，其中19人已遭到起訴。</p> <p>值得留意的是，國際刑警組織也發布紫色警戒，呼籲對於穩定幣相關的加密貨幣騙局提高警覺。他們提及名為泰達幣憑證核可詐欺（USDT Token Approval Scam）事故，這種手法最終會導致受害者的加密貨幣錢包落入歹徒手裡，對方先會透過愛情詐騙手法引誘使用者上當，然後指示他們透過合法管道購買泰達幣。</p> <p>一旦歹徒取得受害者的信任，就會藉由釣魚連結，聲稱受害者可建置新的投資帳號，但要是照做，受害者將會授予歹徒完整的存取權限，使得對方能在他們不知情的情況下移轉資產。</p> </div></div></div>
2024/12/3 16:38作者周峻佑https://www.ithome.com.tw/news/166326
【資安日報】12月3日，惡意軟體SmokeLoader假借報價名義攻擊臺灣多個領域的企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客組織在執法單位從事執法行動，破壞基礎設施之後，另起爐灶再度從事攻擊行動的情況不時傳出，而最近一波惡意軟體SmokeLoader再度出沒的攻擊行動相當值得留意，因為這是在遭執法單位查緝之後，該惡意程式的最新活動。</p> <p>值得留意的是，這波攻擊行動針對臺灣的企業而來，駭客的目標涵蓋製造業、醫療保健、資訊科技等多個產業。特別的是，攻擊者竟使用內容幾乎一模一樣的釣魚信，對不同公司下手。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166324"><strong style="font-size: 22px;">收到報價相關電子郵件請注意！可能是釣魚！惡意軟體SmokeLoader鎖定臺灣企業下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig02-smokeloader-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig02-smokeloader-1.jpg" style="width: 300px; float: right;" /></a></p> <p>今年5月，歐洲刑警組織與十多個國家的執法單位聯手，針對包含SmokeLoader在內的多款惡意程式載入工具（Loader）、殭屍網路，摧毀相關基礎設施，並逮捕嫌犯、凍結不法所得，但事隔數個月，這些駭客又再度從事攻擊行動，而且，這次疑似針對臺灣而來。</p> <p>資安業者Fortinet指出，他們在今年9月看到新一波的SmokeLoader攻擊行動，駭客針對臺灣的製造業、醫療保健、資訊科技，以及其他領域的公司而來。值得留意的是，過往攻擊者將SmokeLoader作為散布其他惡意程式的管道，但在這波資安事故裡，駭客從C2伺服器下載其他的SmokeLoader外掛程式，以便進行後續的惡意活動。</p> <p>攻擊者先是透過釣魚信對目標下手，他們假借提供報價的名義，要求收信人依照指示進行確認、回覆，一旦收信人開啟附件的報價資料檔案，電腦就有可能執行VBS指令碼，啟動惡意程式載入工具AndeLoader，最終載入SmokeLoader的有效酬載。</p> <p><a href="https://www.ithome.com.tw/news/166325"><strong style="font-size: 22px;">Word檔案修復功能遭到濫用！攻擊者藉此繞過電腦資安防護機制，假借公司人資與員工福利的名義從事網路釣魚</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/corrupted-word-doc-attachment.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/corrupted-word-doc-attachment.png" style="width: 300px; float: right;" /></a></p> <p>提供惡意軟體分析沙箱的資安業者Any.run指出，他們發現疑似利用零時差漏洞的攻擊行動，駭客在過程中不僅能迴避防毒軟體的偵測，還能繞過收信軟體Outlook的垃圾信過濾機制，並防有人上傳到沙箱進行檢查。</p> <p>針對攻擊者接觸受害者的管道，研究人員提及是透過釣魚信來進行，一旦收信人打開附件Word檔案，Word就會顯示警告視窗，表示偵測到檔案已經損壞，並指出內含無法讀取的內容，詢問使用者是否嘗試進行修復。資安新聞網站Bleeping Computer取得Any.run找到的惡意檔案，指出攻擊者假借人力資源部門，使用薪資、員工福利、獎金為誘餌，寄送挾帶ZIP檔或Word檔案附件的電子郵件，而且，這些檔案名稱皆包含以Base64編碼的字串。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/ransomware-roundup-interlock">勒索軟體Interlock疑從9月出現，對8個國家企業組織發動攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/spyloan-android-malware-on-google-play-installed-8-million-times/">安卓惡意軟體SpyLoan透過Google Play市集散布，已被下載800萬次</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/smokedham-backdoor-unc2465s-stealth-weapon-for-extortion-and-ransomware-campaigns/">駭客組織UNC2465佯稱提供合法工具，散布後門程式Smokedham以從事勒索軟體攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/ai-powered-fake-news-campaign-targets.html">俄羅斯影響力活動Undercut鎖定烏克蘭及美國選舉而來</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166305"><strong style="font-size: 22px;">Windows Server 2012、2012 R2存在MotW零時差漏洞</strong></a></p> <p>11月28日專門提供微修補的資安業者0patch指出，他們在伺服器作業系統Windows Server 2012、2012 R2發現零時差漏洞，一旦遭到利用，電腦對於來自網際網路的特定類型檔案，執行Mark of Web（MotW）安全檢查的流程，就有可能被攻擊者繞過。</p> <p>根據該公司的調查，這項弱點很可能是在2年前引入Windows Server 2012，目前尚未登記CVE編號，他們已通報此事，但截至目前為止，微軟並未提供更新軟體。</p> <p>而對於這項漏洞影響範圍，研究人員表示，Windows Server 2012與2012 R2已於去年10月終止支援，但即便用戶已購買延伸安全性更新（ESU）並套用，還是會曝露在這項漏洞的危險。</p> <p><a href="https://www.ithome.com.tw/news/166327"><strong style="font-size: 22px;">針對資安業者公布的工業用無線基地臺漏洞，研華科技提出進一步說明</strong></a></p> <p>上週資安業者Nozomi揭露研華科技（Advantech）EKI工業用無線基地臺一系列漏洞，並指出攻擊者有機會透過空中下載（Over-the-Air，OTA）的管道用於攻擊。雖然研華已於11月20日發布新版韌體修補漏洞，但並未在公告裡列出Nozomi公布的20項漏洞。對此，我們進一步向研華進行確認。</p> <p>該公司表示，他們在8月5日接獲Nozomi的通報，隨即指派軟體團隊著手分析，並進行修復。經過多輪測試，他們完成新版韌體並經由Nozomi進行驗證，11月25日確認完全修復所有漏洞，並符合業界的資安標準。</p> <p>針對客戶修補的情況，研華表示他們的產品團隊已陸續通知所有使用EKI-6333系列的客戶，提供相關韌體更新資訊與指引，並建議根據實際使用需求，更新至最新版韌體。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166326"><strong style="font-size: 22px;">國際刑警組織與40個國家聯手執行大規模掃蕩，逮捕逾5千人、查獲4億美元不法所得</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/74cfea33bb9d-1-Timor-Leste.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/74cfea33bb9d-1-Timor-Leste.jpeg" style="width: 300px; float: right;" /></a>上週國際刑警組織（Interpol）宣布，他們與40個國家及地區的執法單位聯手，從今年7月至11月執行名為Operation Haechi-V的執法行動，結果逮捕超過5,500名從事金融犯罪的嫌犯，並沒收超過4億美元的不法所得。</p> <p>這波執法行動他們針對7種透過網路從事的詐欺行為進行調查，這些包含：語音網路釣魚（vishing）、愛情騙局、色情勒索、投資詐騙、非法賭博、商業郵件詐騙（BEC），以及電子商城詐欺。</p> <p>他們提及韓國與中國聯手破獲大型語音網路釣魚集團，迄今已有超過1,900人受害，造成11億美元的損失。此犯罪組織的作案手法相當複雜，他們可能會假扮執法人員，或是使用偽造的身分來行騙。兩國執法單位逮捕至少27人，其中19人已遭到起訴。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://finance.ettoday.net/news/2866164"><strong style="font-size: 20px;">台新銀行加入國際資安事件應變小組論壇FIRST，為臺灣第一家參與該組織的金融機構</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166298"><strong>【12月2日】網釣工具包Rockstar 2FA針對汽車相關主題網站而來，意圖竊取用戶的M365帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166281"><strong>【11月29日】駭客利用CleverSoar惡意程式於中國、越南電腦散布多種惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166259"><strong>【11月28日】第一款針對Linux主機的UEFI Bootkit現身</strong></a></p> </div></div></div>
2024/12/3 17:33作者周峻佑https://www.ithome.com.tw/news/166328
Word檔案修復功能遭到濫用！攻擊者藉此繞過電腦資安防護機制，假借公司人資與員工福利的名義從事網路釣魚
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路釣魚攻擊事故頻傳，其中駭客在釣魚信挾帶惡意文件的手法相當常見，如今這類攻擊出現新的方法，引起研究人員注意。</p> <p>提供惡意軟體分析沙箱的資安業者Any.run指出，<a href="https://x.com/anyrun_app/status/1861024527779541304">他們發現疑似利用零時差漏洞的攻擊行動</a>，駭客在過程中不僅能迴避防毒軟體的偵測，還能繞過收信軟體Outlook的垃圾信過濾機制，並防有人上傳到沙箱進行檢查。</p> <p>研究人員提及，這些駭客刻意將惡意軟體包裝成會中斷執行的檔案類型，從而導致資安防護工具難以察覺有異。不過，他們透過沙箱與這些惡意軟體互動，利用對應的應用程式開啟遭到破壞的檔案，從而察覺攻擊者的惡意行為。</p> <p>值得留意的是，他們也提及大部分資安系統無法察覺有害的現象，原因是檔案類型並未正確對應到正確的應用程式造成。這些檔案已被研究人員上傳到VirusTotal，但截至目前為止，所有的防毒引擎的分析結果，都指出此檔案無害。</p> <p>針對攻擊者接觸受害者的管道，研究人員提及是透過釣魚信來進行，一旦收信人打開附件Word檔案，Word就會顯示警告視窗，表示偵測到檔案已經損壞，並指出內含無法讀取的內容，詢問使用者是否嘗試進行修復。資安新聞網站Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/novel-phishing-campaign-uses-corrupted-word-documents-to-evade-security/">取得Any.run找到的惡意檔案</a>，指出攻擊者假借人力資源部門，使用薪資、員工福利、獎金為誘餌，寄送挾帶ZIP檔或Word檔案附件的電子郵件，而且，這些檔案名稱皆包含以Base64編碼的字串。</p> <p>若是使用者同意修復，Word就會顯示看似正常的文件，要求使用者掃描QR Code存取進一步的內容。假如他們照做，就會被帶往冒牌的微軟登入網頁，而有可能導致微軟帳號被挾持。</p> </div></div></div>
2024/12/3 15:50作者周峻佑https://www.ithome.com.tw/news/166325
針對資安業者公布的工業用無線基地臺漏洞，研華科技提出進一步說明
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週資安業者Nozomi<a href="https://www.ithome.com.tw/news/166291">揭露研華科技（Advantech）EKI工業用無線基地臺一系列漏洞</a>，並指出攻擊者有機會透過空中下載（Over-the-Air，OTA）的管道用於攻擊。雖然研華已於11月20日發布新版韌體修補漏洞，但並未在公告裡列出Nozomi公布的20項漏洞。對此，我們進一步向研華進行確認。</p> <p>該公司表示，他們在8月5日接獲Nozomi的通報，隨即指派軟體團隊著手分析，並進行修復。經過多輪測試，他們完成新版韌體並經由Nozomi進行驗證，11月25日確認完全修復所有漏洞，並符合業界的資安標準。</p> <p>針對客戶修補的情況，研華表示他們的產品團隊已陸續通知所有使用EKI-6333系列的客戶，提供相關韌體更新資訊與指引，並建議根據實際使用需求，更新至最新版韌體。</p> <p>此外，為了讓客戶能更容易取得更新，研華也將新版韌體上傳到網站。他們表示客戶若有任何安裝與技術需求，技術支援團隊將提供協助。</p> <p>而對於漏洞相關揭露，研華表示，他們正著手規畫製作公告頁面。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PPsxXhiswt.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/PPsxXhiswt.jpg" style="width: 580px;" /></a></p> </div></div></div>
2024/12/3 17:07作者周峻佑https://www.ithome.com.tw/news/166327
Windows Server 2012、2012 R2存在MotW零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月28日專門提供微修補的資安業者0patch指出，他們在<a href="https://blog.0patch.com/2024/11/windows-server-2012-mark-of-web.html">伺服器作業系統Windows Server 2012、2012 R2發現零時差漏洞</a>，一旦遭到利用，電腦對於來自網際網路的特定類型檔案，執行Mark of Web（MotW）安全檢查的流程，就有可能被攻擊者繞過。</p> <p>根據該公司的調查，這項弱點很可能是在2年前引入Windows Server 2012，目前尚未登記CVE編號，他們已通報此事，但截至目前為止，微軟並未提供更新軟體。</p> <p>而對於這項漏洞影響範圍，研究人員表示，Windows Server 2012與2012 R2已於去年10月終止支援，但即便用戶已購買延伸安全性更新（ESU）並套用，還是會曝露在這項漏洞的危險。</p> <p>對此，他們在微軟正式發布修補程式之前，免費為所有使用者提供對應的0patch修補程式。不過，為了避免漏洞遭到惡意利用，研究人員暫時沒有公布進一步的細節。</p> </div></div></div>
2024/12/3 11:18作者周峻佑https://www.ithome.com.tw/news/166305
收到報價相關電子郵件請注意！可能是釣魚！惡意軟體SmokeLoader鎖定臺灣企業下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月，<a href="https://www.ithome.com.tw/news/163217">歐洲刑警組織與十多個國家的執法單位聯手</a>，針對包含SmokeLoader在內的多款惡意程式載入工具（Loader）、殭屍網路，摧毀相關基礎設施，並逮捕嫌犯、凍結不法所得，但事隔數個月，這些駭客又再度從事攻擊行動，而且，這次疑似針對臺灣而來。</p> <p>資安業者Fortinet指出，他們在<a href="https://www.fortinet.com/blog/threat-research/sophisticated-attack-targets-taiwan-with-smokeloader">今年9月看到新一波的SmokeLoader攻擊行動</a>，駭客針對臺灣的製造業、醫療保健、資訊科技，以及其他領域的公司而來。值得留意的是，過往攻擊者將SmokeLoader作為散布其他惡意程式的管道，但在這波資安事故裡，駭客從C2伺服器下載其他的SmokeLoader外掛程式，以便進行後續的惡意活動。</p> <p>攻擊者先是透過釣魚信對目標下手，他們假借提供報價的名義，要求收信人依照指示進行確認、回覆，一旦收信人開啟附件的報價資料檔案，電腦就有可能執行VBS指令碼，啟動惡意程式載入工具AndeLoader，最終載入SmokeLoader的有效酬載。</p> <p>值得留意的是，雖然駭客對多家公司發動攻擊，但他們似乎使用幾乎一模一樣的釣魚信，甚至連收信人都相同。研究人員提及，攻擊者在簽名檔的文字及電話號碼，與內文的字體及顏色有所不同，他們認為這些文字很有可能從其他地方剪貼而來。</p> <p>針對釣魚信挾帶的惡意附件Excel檔，攻擊者先是利用RCE漏洞CVE-2017-0199，觸發埋在試算表的惡意連結，自動下載另一個惡意檔案並開啟。</p> <p>攻擊者下載的檔案大致分成2種，其中一種是Word檔案，此時攻擊者會觸發Office方程式編輯器的RCE漏洞CVE 2017-11882執行Shell Code，然後藉由特定API下載VBS檔案，執行AndeLoader。</p> <p>而另一種則是HTML應用程式檔案（HTA），該檔案內含經過演算法處理的VBS程式碼，一旦執行，電腦就會解密VBS並執行PowerShell程式碼，下載與AndeLoader有關的VBS檔案。附帶一提的是，攻擊者為了擾亂研究人員分析，他們在VBS檔的符號及參數當中，加入大量空白。</p> <p>但無論是那一種攻擊鏈，最終都是透過AndeLoader載入SmokeLoader，並載入對應的外掛程式竊取電腦的各式帳密資料。研究人員總共發現有9款外掛程式，可供攻擊者從瀏覽器挖掘帳密資料、自動填寫的內容，也可從Outlook和Thunderbird找尋特定的信件資料，此外，這些外掛也可從FileZilla、WinSCP收集帳密資料。</p> </div></div></div>
2024/12/3 12:42作者周峻佑https://www.ithome.com.tw/news/166324
英特爾宣布執行長Pat Gelsinger退休，即日生效
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾昨（1）日<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-ceo-news-dec-2024.html" target="_blank">宣布</a>執行長Pat Gelsinger加入公司40年後正式退休，自執行長位置及董事會席位下臺，人事命令從2024年12月1日起生效。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1203-Intel-Pat%20Gelsinger(2021).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Pat Gelsinger（圖片來源／英特爾）</span></span></p> <p>這意謂著Gelsinger執掌英特爾大位僅僅3年時間。Gelsinger在英特爾任職30年後，於2009年離開。成功領導VMware的經驗使他在<a href="https://www.ithome.com.tw/news/142228" target="_blank">2021年</a>被英特爾延攬為執行長，接任Bob Swan，希望他們挽救因技術落後流失蘋果等客戶的公司。</p> <p>但Gelsinger的領導卻沒能扳回頹勢，反而接連遭遇多項重大挑戰，包括13、14代處理器出包、晶圓代工業務虧損及歐洲晶圓廠計畫擱置，以及產品推出時程延後市占拱手讓人，錯失AI熱潮，以致於未能搭上微軟推出AI PC的列車。英特爾上季虧損16億美元後，宣布百億美元支出削減計畫，將晶圓代工業務<a href="https://www.ithome.com.tw/news/165051" target="_blank">分拆</a>為獨立子公司，以及最新一波裁員，預定今年底前<a href="https://www.ithome.com.tw/news/164272" target="_blank">裁減</a>1.5萬人。市場一度盛傳高通將收購英特爾，雖然目前本消息已經平息，不過英特爾股價今年以來下跌54%，上個月遭到道瓊工業指數<a href="https://edition.cnn.com/2024/11/01/business/intel-dow-nvidia/index.html" target="_blank">除名</a>，由Nvidia取代。</p> <p>Gelsinger退休後，將由執行副總裁暨財務長David Zinsner和Intel Products事業群執行長Michelle Johnston Holthaus共同擔任臨時執行長。Intel Products事業群主管英特爾終端運算事業群、資料中心和AI事業群、以及網路與邊緣事業群。而英特爾獨立董事會主席也會擔任臨時董事長。英特爾董事會已成立委員會以尋找接任執行長。</p> </div></div></div>
2024/12/3 08:58作者林妍溱https://www.ithome.com.tw/news/166300
Visual Studio新增Debug with Copilot功能，提升單元測試除錯效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在<a href="https://devblogs.microsoft.com/visualstudio/transform-your-debugging-experience-with-github-copilot/" target="_blank">Visual Studio 2022最新版本</a>中，加了一項新的除錯功能Debug with Copilot，藉助GitHub Copilot的支援，解決開發者在單元測試中的除錯難題，提升除錯效率並減少開發流程所耗費的時間。</p> <p>單元測試的重點在於驗證程式碼的正確性，但是當測試失敗時，尋找問題的根源卻是一個耗時且繁瑣的過程。開發者需要手動設定中斷點、檢查變數狀態，並逐步追蹤程式碼的執行情況，才能鎖定問題的確切位置。而微軟針對這些除錯挑戰，推出Debug with Copilot功能，希望透過智慧工具加速除錯效率。</p> <p>Debug with Copilot的主要功能入口在Visual Studio的Test Explorer，開發者只需點擊按鈕，GitHub Copilot便會根據測試失敗的狀況，提供一份詳細的除錯計畫。計畫內容包括自動設置中斷點、觀察重要變數，並啟動除錯流程。當除錯過程觸發中斷點時，Copilot會分析當前變數的數值，並根據分析結果向開發者提供接下來的操作建議，像是繼續偵錯抑或是修復程式碼。</p> <p>使用Debug with Copilot的除錯過程，開發者可以和Copilot持續進行對話，除了快速理解錯誤發生的原因，還能在修復問題的過程獲得建議與技巧。微軟提到，該功能不僅有效節省除錯時間，開發者也能在與Copilot實際互動操作的過程提升除錯能力。</p> </div></div></div>
2024/12/2 21:52作者李建興https://www.ithome.com.tw/news/166293
Windows 11工作列新檔案搜尋功能，可搜尋Microsoft 365、OneDrive檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Windows Latest引述<a href="https://www.windowslatest.com/2024/12/01/microsoft-wants-to-integrate-microsoft-365-recent-files-into-windows-11-taskbar/" target="_blank">報導</a>，微軟最近在Windows 11的工作列新增檔案搜尋（File Search）功能，讓用戶從OS工作列直接搜尋並開啟最近使用，或他人分享的Microsoft 365（M365）檔案。</p> <p dir="ltr">之前Windows放大鏡圖示的檔案探索（File Explorer）功能，僅可找到Windows電腦的檔案，當然也可搜尋網頁，但無法搜尋存在自己M365帳號的檔案。某些用戶上周<a href="https://x.com/EpicbP/status/1862539944893227425" target="_blank">發現</a>的新檔案搜尋功能，則可串接OneDrive和M365服務，允許Windows 11 PC用戶搜尋M365文件或最近存取的檔案，只要點選工作列上的圖示就會跳出簡潔介面，使用者可下條件如人名或關鍵字搜尋文件，或由其列出的檔案類型（Word、PowerPoint、Excel）尋找。用戶最近編輯的檔案也會列出。</p> <p dir="ltr">根據Windows Latest擷圖，用戶還可以設定通知偏好，要求有人在檔案中提及用戶、有人分享檔案時發送通知、或是在即將召開的會議中發檔案通知。此外，按右鍵還會出現選單，提供另存新檔、分享、擷圖與列印等也功能。</p> <p dir="ltr">這檔案搜尋功能和之前的桌機搜尋工具不同，它不是App而是一個Webviewer，是以Microsoft Edge WebView功能為基礎，基本上是長得很像App的Edge外掛功能。獨立網路論壇WindowsForum<a href="https://windowsforum.com/threads/explore-microsofts-new-file-search-feature-for-windows-11.346921/#google_vignette" target="_blank">分析</a>，這個設計承襲微軟在WebView2等技術上發展Windows 11功能的理念，所以不論用戶愛不愛用Edge，都會讓Windows 11和Edge更深切整合在一起。</p> </div></div></div>
2024/12/2 22:09作者林妍溱https://www.ithome.com.tw/news/166299
【資安日報】12月2日，網釣工具包Rockstar 2FA針對汽車相關主題網站而來，意圖竊取用戶的M365帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路釣魚攻擊可說是相當泛濫，相關工具包也接連出現，資安業者Trustwave揭露最新一波的攻擊行動相當引人注意，駭客運用名為Rockstar 2FA的網釣工具包，而能在突破多種資安防護下發動攻擊。</p> <p>研究人員強調，駭客在攻擊流程搭配多種合法服務，而能成功迴避資安系統的偵測，其中一種是Cloudflare去年底正式開放、可免費使用的圖靈驗證服務Turnstile。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166295"><strong style="font-size: 22px;">網釣攻擊套件Rockstar 2FA鎖定M365帳號而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure 6_ Email attack flow of Rockstar 2FA phishing campaigns.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%206_%20Email%20attack%20flow%20of%20Rockstar%202FA%20phishing%20campaigns.jpg" style="width: 300px; float: right;" /></a></p> <p>網釣工具包橫行，近期有不少研究人員公布駭客打造的新工具，但也有駭客更換名稱持續活動的情況。資安業者Trustwave揭露的Rockstar 2FA網釣工具包，就是典型的例子，這個工具包的前身，其實是去年5月出沒的DadSec，而到了去年底，駭客先後更名為Phoenix、Rockstar 2FA，然後持續從事攻擊行動。</p> <p>研究人員在今年8月看到使用此網釣工具包的大規模網釣攻擊，駭客組織Storm-1575發動對手中間人（AiTM）攻擊，從而攔截受害者的帳密資料，以及連線階段（Session）的cookie，而有機會繞過多因素驗證機制，進而挾持Microsoft 365帳號。</p> <p>根據他們的觀察，這次對方的主要目標，很可能是想要瀏覽與汽車有關網站的使用者，研究人員從5月開始，發現逾5千個與車輛相關的網域名稱。</p> <p><a href="https://www.ithome.com.tw/news/166285"><strong style="font-size: 22px;">一年前揭露的UEFI漏洞LogoFAIL遭到利用，駭客企圖在Linux電腦植入Bootkitty</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/674a29add97eead6c8b5da5b_674a1f83d060f4a92874983c_image3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/674a29add97eead6c8b5da5b_674a1f83d060f4a92874983c_image3.png" style="width: 300px; float: right;" /></a></p> <p>資安業者ESET揭露第一個針對Linux電腦的UEFI Bootkit「Bootkitty」，但不久後有人結合已知的UEFI韌體漏洞，打造具有實際破壞性的惡意程式。</p> <p>11月29日專精韌體安全的資安業者Binarly指出，他們近日發現名為logofail.bmp的圖檔，大小為16MB，一旦傳送給Linux電腦，就會在圖片解析過程注入Shell Code，並在UEFI韌體的MokList變數注入惡意帳密，從而套用新的GRUB組態檔案。此檔案能成功繞過安全開機（Secure Boot）防護機制，並將後門程式植入受害電腦。</p> <p>值得留意的是，這支惡意程式針對具有特定漏洞LogoFAIL（CVE-2023-40238）的韌體而來，若是IT人員並未套用新版韌體，就有可能曝險。</p> <p><a href="https://www.ithome.com.tw/news/166243"><strong style="font-size: 22px;">配置臭蟲釀禍，Cloudflare遺失逾半數客戶事件記錄檔案</strong></a></p> <p>提供內容傳遞網路及安全服務的Cloudflare坦承，在11月14日因為內部系統一連串的臭蟲，在短短5分鐘的錯誤配置中，遺失了55%客戶事件記錄。</p> <p>在11月14日，為了支援新的資料集以處理額外的事件記錄類型，Cloudflare更新Logpush的配置，系統需要將此配置傳送給Logfwdr，但配置系統傳送給Logfwdr的檔案卻是空白的，因而觸發了Logfwdr內部的「故障開放」（Fail Open）機制。</p> <p>儘管Cloudflare很快就發現此事，並在5分鐘內恢復了該變更，但Logfwdr已根據Fail Open發送事件記錄給大量客戶，而Buftee原本有防護機制，卻因配置問題而未被正確啟用，導致Buftee所管理的事件記錄緩衝區數量，很快就從一百多萬個快速增加到4,000萬個。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-11667-critical-vulnerability-in-zyxel-firewalls-actively-exploited/">德國針對兆勤防火牆漏洞提出警告，證實至少有5家企業受害</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securitylabs.datadoghq.com/articles/mut-8964-an-npm-and-pypi-malicious-campaign-targeting-windows-users/">駭客組織MUT-8694同時針對NPM、PyPI開發者下手，意圖向Windows用戶散布竊資軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://socket.dev/blog/malicious-npm-packages-inject-ssh-backdoors-via-typosquatted-libraries">惡意NPM套件鎖定Linux開發人員，偽裝熱門套件散布後門程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://krebsonsecurity.com/2024/11/hacker-in-snowflake-extortions-may-be-a-u-s-soldier/">犯下Snowflake大規模勒索案的主嫌疑為美國軍人</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166291"><strong style="font-size: 22px;">研華工控無線基地臺存在重大漏洞，若不修補恐被用於繞過身分驗證、執行任意程式碼</strong></a></p> <p>資安業者Nozomi揭露研華科技（Advantech）旗下EKI工控無線基地臺20個漏洞，一旦遭到利用，有可能導致攻擊者在未經身分驗證的情況下，使用root權限遠端執行任意程式碼，從而影響網路設備的機密性、完整性、可用性。</p> <p>這些漏洞影響EKI-6333AC-2G、EKI-6333AC-2GD、EKI-6333AC-1GPO等3款機型，對此研華針對EKI-6333AC-2G、EKI-6333AC-2GD發布1.6.5版韌體，以及針對EKI-6333AC-1GPO發布1.2.2版韌體，修補相關漏洞。</p> <p>根據漏洞嚴重程度來看，有6個被評為重大層級，其餘多為高風險層級，僅有1個為中度風險等級。其中，CVE-2024-50370、CVE-2024-50371、CVE-2024-50372、CVE-2024-50373、CVE-2024-50374、CVE-2024-50375皆為CVSS評分達到9.8的危險漏洞，除了CVE-2024-50375與重要功能缺乏身分驗證有關，其他漏洞的成因，則是涉及作業系統命令當中，特定元素的處理不正確。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://thehackernews.com/2024/11/microsoft-fixes-ai-cloud-and-erp.html"><strong style="font-size: 20px;">微軟修補AI、雲端服務、ERP漏洞，已有部分出現攻擊行動</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166281"><strong>【11月29日】駭客利用CleverSoar惡意程式於中國、越南電腦散布多種惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166259"><strong>【11月28日】第一款針對Linux主機的UEFI Bootkit現身</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166236"><strong>【11月27日】攻擊者串連Firefox與Windows的零時差漏洞，能在使用者毫無察覺的狀況下植入惡意程式</strong></a></p> </div></div></div>
2024/12/2 17:56作者周峻佑https://www.ithome.com.tw/news/166298
網釣攻擊套件Rockstar 2FA鎖定M365帳號而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網釣工具包橫行，近期有不少研究人員公布駭客打造的新工具，但也有駭客更換名稱持續活動的情況。</p> <p>資安業者Trustwave揭露的<a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/rockstar-2fa-a-driving-force-in-phishing-as-a-service-paas/">Rockstar 2FA網釣工具包</a>，就是典型的例子，這個工具包的前身，其實是去年5月出沒的DadSec，而到了去年底，駭客先後更名為Phoenix、Rockstar 2FA，然後持續從事攻擊行動。</p> <p>研究人員在今年8月看到使用此網釣工具包的大規模網釣攻擊，駭客組織Storm-1575發動對手中間人（AiTM）攻擊，從而攔截受害者的帳密資料，以及連線階段（Session）的cookie，而有機會繞過多因素驗證機制，進而挾持Microsoft 365帳號。</p> <p>根據他們的觀察，這次對方的主要目標，很可能是想要買賣車輛的使用者，研究人員從5月開始，發現逾5千個與車輛相關的網域名稱。</p> <p>開發者透過即時通訊軟體ICQ、Telegram，以及電子郵件平臺Mail.ru進行宣傳，尋求買家租用。賣家標榜此套件能繞過雙因素驗證（2FA）、挖掘相關的cookie、防止機器人爬蟲、多種登入網頁主題，並且強調其搭配的URL具有防毒完全無法被視為有害（FUD）特性。</p> <p>分析該網釣套件之後，研究人員指出，駭客的手法先是濫用電子郵件行銷平臺，假借共享檔案、密碼重設、IT部門通知、工資單等名義做為誘餌，過程中使用QR Code、合法短網址服務、PDF附件等手法迴避偵測。</p> <p>接著，在收信人被引導到釣魚網頁之前，會進行過濾，然後要求進行Cloudflare Turnstile圖靈驗證，而這麼做的目的，便是要排除網路爬蟲機器人及研究人員。</p> </div></div></div>
2024/12/2 17:37作者周峻佑https://www.ithome.com.tw/news/166295
研華工控無線基地臺存在重大漏洞，若不修補恐被用於繞過身分驗證、執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Nozomi揭露研華科技（Advantech）旗下<a href="https://www.nozominetworks.com/blog/over-the-air-vulnerabilities-discovered-in-advantech-eki-access-points">EKI工控無線基地臺20個漏洞</a>，一旦遭到利用，有可能導致攻擊者在未經身分驗證的情況下，使用root權限遠端執行任意程式碼，從而影響網路設備的機密性、完整性、可用性。</p> <p>這些漏洞影響EKI-6333AC-2G、EKI-6333AC-2GD、EKI-6333AC-1GPO等3款機型，對此研華針對EKI-6333AC-2G、EKI-6333AC-2GD<a href="https://www.advantech.com/en/support/details/firmware?id=1-1Y1Q6G7">發布1.6.5版韌體</a>，以及針對EKI-6333AC-1GPO<a href="https://www.advantech.com/en/support/details/firmware?id=1-2NPZ6GU">發布1.2.2版韌體</a>，修補相關漏洞。</p> <p>可惜的是，雖然研華發布了新版韌體因應，但他們在公告當中，僅有提及修補部分臭蟲，並未列出Nozomi公布的20項漏洞。</p> <p>根據漏洞的嚴重程度來看，有6個為重大層級、其餘多為高風險層級，僅有1個為中度風險等級。其中，CVE-2024-50370、CVE-2024-50371、CVE-2024-50372、CVE-2024-50373、CVE-2024-50374、CVE-2024-50375皆為CVSS評分達到9.8的危險漏洞，除了CVE-2024-50375與重要功能缺乏身分驗證有關，其他則是涉及作業系統命令當中，特定元素的處理不正確所致。</p> <p>除了上述重大層級漏洞，跨網站指令碼（XSS）漏洞CVE-2024-50376也相當值得留意，因為研究人員特別提及，這項漏洞可以與CVE-2024-50359串連。攻擊者可在靠近無線基地臺的情況下，有機會利用基地臺廣播「Beacon框架」訊號，並擷取周邊裝置的狀態。攻擊者若是要確保基地臺能存取相關訊號，還可以將自己的裝置靠近基地臺，或是利用專屬的天線將訊號傳送到更遠的距離。</p> <p>研究人員認為，這些漏洞若是遭到利用相當危險，因為攻擊者有機會搭配其他手法形成攻擊鏈，透過空中下載（Over-the-Air，OTA）的管道進行攻擊。</p> <p>為了說明漏洞的危險性，研究人員提到較為詳細的漏洞利用流程，並指出必須搭配附帶的條件才能成功利用。攻擊者先是在靠近無線基地臺的地方試圖利用基地臺廣播「Beacon框架」訊號，並擷取周邊裝置的狀態，接著，他們透過網路釣魚或社交工程手法，從而以管理員的身分，存取無線基地臺管理工具當中，分析無線網路訊號的Wi-Fi Analyzer模組，而正當此時，網頁管理介面會自動嵌入前述Beacon框架接收的訊號，從而利用偽造的無線基地臺SSID插入JavaScript惡意酬載，從而觸發CVE-2024-50376。</p> <p>一旦攻擊者得逞，就能在受害者的瀏覽器注入JavaScript架設C2中繼站，並濫用瀏覽器利用框架（Browser Exploitation Framework，BeEF）執行各式工作。此時他們就能串連CVE-2024-50359進一步提升權限，而有機會得到root權限的Shell，從而遠端完全控制設備、執行命令並滲透網路環境、竊取資料，或是部署其他惡意指令碼。</p> </div></div></div>
2024/12/2 16:06作者周峻佑https://www.ithome.com.tw/news/166291
馬斯克請求法院阻止OpenAI轉型為營利機構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">馬斯克上周向法院<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.433688/gov.uscourts.cand.433688.46.0.pdf" target="_blank">聲請</a>，請求法官阻止OpenAI轉為營利機構，及和微軟合作鞏固市場壟斷等行為。</p> <p dir="ltr">這是繼今年3月馬斯克<a href="https://www.ithome.com.tw/news/161593" target="_blank">控告</a>曾經投資的OpenAI及執行長Sam Altman，宣稱他們違反了創立以非營利機構開發AI造福人類的初衷後，最新的法律行動。Techcrunch上周首先<a href="https://techcrunch.com/2024/11/30/elon-musk-files-for-injunction-to-halt-openais-transition-to-a-for-profit/" target="_blank">報導</a>此事。</p> <p dir="ltr">本周馬斯克透過律師向加州地方法院提出禁制令申請動議，要求法官阻止OpenAI多項造成他和自家xAI公司、以及產業、人類損害的行為。本次訴訟被告包括Altman、Greg Brockman、微軟高層Reid Hoffman及Dee Templeton。他要求法院以禁制令阻止OpenAI非法行為，包括阻止投資者支持馬斯克自有AI公司xAI等競爭對手、透過和Microsoft的合作從「非法獲得的競爭敏感資訊」中獲利。</p> <p dir="ltr">此外，馬斯克並要求禁止OpenAI將治理結構轉變為營利性結構、轉讓重大資產，包括OpenAI、子公司或附屬公司持有或控制的智慧財產權，並且禁止OpenAI與任何之有重大經濟利益的組織企業做生意。他說若禁制令未獲准，將造成難以彌補的傷害。</p> <p dir="ltr">這位科技大亨11月又控告OpenAI、Altman外加微軟等公司，<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.433688/gov.uscourts.cand.433688.32.0_1.pdf" target="_blank">宣稱</a>兩公司合作壟斷市場，企圖消滅其競爭者，包括馬斯克的xAI。他並且說，OpenAI利用他對AI的疑懼心理，騙走他4,400萬美元投資。</p> <p dir="ltr">對曾經的盟友及投資人反控，OpenAI之前說，馬斯克可能只是懊悔退出和該公司的合作。Techcrunch上周引述OpenAI官方說法，<a href="https://techcrunch.com/2024/11/30/elon-musk-files-for-injunction-to-halt-openais-transition-to-a-for-profit/" target="_blank">表示</a>馬斯克第四度控告，只是再一次重述毫無根據的論點，一樣也完全無的放矢。微軟則皆未對此評論。</p> <p dir="ltr">這些請求都只是建議，最後仍需由加州法院法官做出定奪。</p> <p> </p> </div></div></div>
2024/12/2 16:10作者林妍溱https://www.ithome.com.tw/news/166292
熱門前端建置工具新版Vite 6.0，添加環境API並擴展生態系支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>前端建置工具Vite團隊推出最新版本<a href="https://vite.dev/blog/announcing-vite6">Vite 6.0</a>，這次重大更新新增了實驗性環境API（Environment API），進一步擴展生態系的支援。Vite是一個快速高效的建置工具，其核心優勢在於開發伺服器啟動速度，有別於傳統建置工具，例如Webpack或Parcel需要耗費大量時間進行打包，才能啟動開發伺服器，Vite直接運用瀏覽器對ES模組的原生支援，以接近即時的啟動速度，大幅提升開發者的迭代速度和開發體驗。</p> <p>Vite 6.0最大的更新亮點是環境API，這是一個針對框架開發者設計的工具。該API目的是要讓開發者能夠更精確地管理和模擬不同環境的行為，無論是在瀏覽器端還是伺服器端，都能根據需求動態調整模組的載入方式。在傳統開發中，開發環境與生產環境的差異常導致問題發生，而Environment API試圖藉由改進環境管理機制，解決這個痛點。</p> <p>Environment API對於需要自定義開發流程的框架開發者特別有用，開發者能夠在自定義SSR（Server-Side Rendering）應用中精準模擬生產環境的行為，提升環境之間的一致性。該API的設計也與Vite執行環境API相互搭配，簡化模組載入過程。目前Environment API仍在實驗測試階段。</p> <p>此外，Vite 6.0針對Node.js支援進行調整，現在支援Node.js 18、20和22+版本，並終止Node.js 21的支援，以因應Node.js官方更新終止政策。另一個值得關注的改進是JSON處理邏輯的強化，Vite 6.0將json.stringify預設值更改為自動模式，能夠自動處理大型JSON檔案，減少多餘的序列化操作，對於需要傳統行為的開發者，則提供手動設定選項，以確保向下相容性。</p> <p>官方提到，從Vite 5.0更新以來，其採用率就持續攀升，NPM每周下載量從750萬成長到了1,700萬。而隨著使用者越來越多，除了原有持續發展的Nuxt、SvelteKit、Astro等主流框架，還有更多框架加入Vite生態，包括TanStack Start、One和Ember等。</p> </div></div></div>
2024/12/2 16:17作者李建興https://www.ithome.com.tw/news/166290
【資安週報】1125~1129，中華電信提供寬頻網路用戶的D-Link數據機被發現漏洞，該設備年初已終止支援，近6萬多…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月最後一周的資安新聞中，在漏洞消息方面，有2大漏洞利用消息與1項漏洞警訊需要優先關注，都與邊緣裝置安全有關，涵蓋Array Networks、Zyxel Networks與D-Link的網路產品。</p> <p>●大宇集團旗下Array Networks去年3月修補的SSL VPN系統漏洞CVE-2023-28461，如今發現有駭客開始利用此已知漏洞發動攻擊。<br /> ●兆勤科技（Zyxel Networks）今年9月修補防火牆漏洞CVE-2024-42057，隨著資安業者Sekoia示警，後續兆勤警告攻擊者開始鎖定這項已知漏洞。<br /> ●中華電信提供許多個人及政府機關的D-Link數據機DSL-6740C，本月被國內資安研究人員揭露存在8個漏洞。</p> <p>值得注意的是，這2項漏洞利用的幕後凶手已被資安業者查出，趨勢科技揭露中國駭客組織Earth Kasha最新攻擊行動，就是利用上述Array的漏洞與另一Fortinet已知漏洞作為入侵起始點，臺灣與日本的企業均有受害案例；資安業者Sekoia揭露勒索軟體Hellodown的攻擊行動，指出是利用上述兆勤漏洞入侵。</p> <p>而D-Link數據機的DSL-6740C漏洞揭露亦是一大警訊，因為該設備今年初已終止支援，加上臺灣現在還有多達57,945臺仍在運作，顯示出中華電信處理EOL設備的速度太慢，以及還有很多人不知道要請中華電信更換。</p> <p>在資安事件上，11月底感恩節前夕有一起勒索軟體攻擊事件受矚目。美國供應鏈管理業者Blue Yonder遭攻擊後導致服務中斷，影響北美1.1萬家星巴克門市與英國2家連鎖超市等系統，使其員工只能手動作業，且3天後系統仍未恢復。</p> <p>國內也發生一起事件值得我們警惕，就是北捷AI客服被測試發現可代寫程式碼。過去ChatGPT等生成式AI常因提示注入攻擊（Prompt Injection）被誘導，超出違反原本的安全或使用限制，因此後續各界不斷強調提高AI安全護欄能力。雖然此次未達惡意濫用程度，但已暴露國內可能輕忽系統AI安全護欄的問題。</p> <p>在資安威脅態勢上，有多個中國與俄羅斯駭客組織的攻擊活動被揭露，其攻擊目標相關廣泛，涵蓋瀏覽器、作業系統，也有鎖定電信業者，以及針對圖博（西藏）民眾等：<br /> ●近兩個月Firefox與微軟分別修補的零時差漏洞（CVE-2024-9680、2024-49039），如今資安業者ESET公布幕後攻擊者是名為俄羅斯駭客Tropical Scorpius（又名UNC2596）所串連利用，並會植入後門程式RomCom。<br /> ●電信業注意！關於中國駭客組織Salt Typhoon攻擊全球電信業又有後續消息，趨勢科技揭露攻擊者會植入名為Demodex的rootkit程式，而近期攻擊東南亞電信業者的事故中，還使用先前未曾揭露的GhostSpider等多款後門程式。<br /> ●中國駭客TAG-112新一波鎖定圖博新聞媒體、大學網站的攻擊被揭露，目的是針對瀏覽網站的使用者電腦植入Cobalt Strike，目前尚不知駭客利用那些漏洞。<br /> ●鄰居被駭也是自家被攻擊的前奏，最近資安業者Volexity公布俄羅斯駭客APT28在俄烏戰爭前夕藉由Wi-Fi管道的攻擊方式－－Nearest Neighbor Attack。<br /> ●駭客濫用防毒軟體元件從事自帶驅動程式（BYOVD）攻擊的手法越來越多，最近一起是針對Avast的驅動程式元件而來，以停用受害電腦防護機制。</p> <p>在資安防禦新聞中，我們觀察到兩個關鍵議題備受關注，包括：促進民間資安情報的聯防合作以及打擊網路犯罪，分別是臺灣與全球關注資安風險的重點。</p> <p>首先是今年台灣資安通報應變年會，透露了TWCERT/CC的日後新方向，指出為了讓聯防更有效果，將以情資角度作為向企業溝通的方式，而不像過去從事件通報角度向企業溝通，目標是讓企業回報的內容，可以更聚焦在聯防需要的情資，意即：何種類型攻擊、可能攻擊標的、入侵指標（IoC）、攻擊手法等關鍵資訊。</p> <p>另一個是全球在查緝網路犯罪方面取得新成果。國際刑警與非洲刑警聯手行動，在19個非洲國家逮捕了千餘名嫌犯。其中部分犯罪行動涉及高技術含量，例如在肯亞破獲的一起網路信用卡詐騙案中，駭客利用修改銀行系統安全協議的方式，執行惡意腳本竊取資金，並流向多國司法管轄區內的金融相關機構。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/166190"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月25日】俄羅斯駭客在軍事行動前夕，藉由跳版入侵目標組織的無線網路環境</span></strong></a></h3> <p>最近幾年，有研究人員揭露利用Wi-Fi無線網路從事近距離、非接觸式的攻擊手法，但這樣的手段鮮少在實際的資安事故曝光，如今有研究人員公布此種類型攻擊行動。</p> <p>資安業者Volexity指出，2年前俄羅斯駭客組織APT28就是利用類似的策略，先攻擊目標組織鄰近的企業，再藉由這些跳板存取目標組織的Wi-Fi網路，從而進行相關的情報收集。</p> <h3><a href="https://www.ithome.com.tw/news/166203"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月26日】軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，客戶受到波及</span></strong></a></h3> <p>供應鏈攻擊事故頻傳，最近軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，傳出已對客戶的運作造成影響，目前已有連鎖咖啡店星巴克、英國兩大超市證實受到波及。</p> <p>值得留意的是，11月21日Blue Yonder證實因資安事故導致代管服務中斷，但目前尚未確認復原的時間，相關災情與影響範圍有待後續觀察。</p> <p><a href="https://www.ithome.com.tw/news/166236"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月27日】攻擊者串連Firefox與Windows的零時差漏洞，能在使用者毫無察覺的狀況下植入惡意程式</span></strong></a></p> <p>攻擊者利用瀏覽器零時差漏洞的情況不時傳出，但多半會針對較多人使用的Chrome而來，發生在今年10月上旬的Firefox零時差漏洞攻擊相當引人關注，如今通報漏洞的研究人員更多細節。</p> <p>他們提及這波攻擊行動由俄羅斯駭客RomCom發起，在過程裡還會運用Windows零時差漏洞CVE-2024-49039，使得攻擊者無須與使用者互動，就能將後門程式散布到受害電腦。</p> <h3><a href="https://www.ithome.com.tw/news/166259"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月28日】第一款針對Linux主機的UEFI Bootkit現身</span></strong></a></h3> <p>埋藏在UEFI韌體的惡意啟動工具UEFI Bootkit相當神秘，攻擊者藉此隱匿行蹤，並能從開機階段就挾持整臺電腦，讓執行於作業系統之上的防護機制失效，這樣的情況最近有了新的變化。</p> <p>本週資安業者ESET揭露新的惡意啟動工具Bootkitty，並指出雖然這支程式很可能仍在開發階段，但是第一個專門針對Linux作業系統的UEFI Bootkit，後續發展相當值得留意。</p> <h3><a href="https://www.ithome.com.tw/news/166281"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月29日】駭客利用CleverSoar惡意程式於中國、越南電腦散布多種惡意軟體</span></strong></a></h3> <p>惡意軟體框架Winos 4.0的攻擊行動，最近半年已出現數起相關事故，但值得留意的是，過往駭客的主要攻擊目標，都是使用簡體中文的使用者，而在最近一起事故當中，慣用越南文的用戶也是目標。</p> <p>不只攻擊的範圍擴大，散布該惡意程式的駭客也搭配其他新工具來進行，其中一種引起研究人員關注的是惡意程式部署工具CleverSoar。</p> </div></div></div>
2024/12/2 09:37作者羅正漢https://www.ithome.com.tw/news/166286
一年前的UEFI漏洞LogoFAIL被用於植入Bootkitty
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼上周Bootkitty<a href="https://www.ithome.com.tw/news/166255" target="_blank">現身</a>後，研究人員又<a href="https://www.binarly.io/blog/logofail-exploited-to-deploy-bootkitty-the-first-uefi-bootkit-for-linux" target="_blank">發現</a>，去年發現的一組UEFI韌體漏洞，已有人發展出濫用手法來植入Bootkitty這第一隻可在Linux執行的UEFI Bootkit程式。</p> <p>去年12月，資安廠商Binarly研究人員發現到的漏洞為LogoFAIL，<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-40238" target="_blank">編號CVE-2023-40238</a>。它是位於舊版Insyde InsydeH2O UEFI BIOS中的圖片解析器BmpDecoderDxe的圖片解析漏洞，影響5.2（05.28.47以前）、5.3（05.37.47以前）、5.4（05.45.47以前）、5.5（05.53.47以前）和5.6（05.60.47以前）版本。攻擊者可傳送惡意BMP logo，在開機過程影像解析過程中將資料複製到特定位址，濫用LogoFAIL漏洞最終會使基本的UEFI端點安全措施失效，使攻擊者得以對受影響的系統深度控制。BIOS廠商系微（Insyde）已經在去年12月釋出更新版，可解決該漏洞。</p> <p>今年Binarly又發現，有人發展出濫用LogoFAIL漏洞植入惡意程式的行為。他們發現一個名為16MB大小的logofail.bmp圖檔，當傳送給受害Linux機器時，能在圖片解析過程中注入shellcode，而在裝置UEFI韌體程式的MokList變量中注入惡意憑證，藉此允許一個GRUB配置檔在機器上執行。該檔內含後門程式的Linux核心圖檔，成功繞過安全開機（Secure Boot）防護，以便將後門程式植入受害系統。結果就是讓Bootkitty通過驗證，植入Linux裝置。</p> <p>研究顯示，本攻擊手法是針對特定硬體配置，受影響BIOS模組的電腦品牌涵括聯想等數家廠商。研究人員說明，系微一年前已釋出更新版，沒有安裝更新版的裝置就可能曝露於風險。</p> <p>必須說明的是，ESET研究人員發現的Bootkitty雖然可能只是概念性驗證（PoC）程式，而非已用於攻擊的惡意程式，但已顯示，Linux裝置不再能自外於UEFI惡意開機程式濫用風險。</p> </div></div></div>
2024/12/2 08:53作者林妍溱https://www.ithome.com.tw/news/166285
樹莓派推出Compute Module 5，CPU、GPU升級還提供更大記憶體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>樹莓派基金會推出最新硬體模組<a href="https://www.raspberrypi.com/news/compute-module-5-on-sale-now/">Compute Module 5</a>，該模組是以Raspberry Pi 5單板電腦為基礎所設計，進一步簡化成適用於工業與嵌入式應用的硬體形式。CM5起始售價為45美元，提供開發者一個靈活且低成本的開發模組選擇。</p> <p>Compute Module系列首次於2014年推出，目標是滿足對標準單板電腦設計有額外需求的開發者。Compute Module移除了許多功能，僅保留Raspberry Pi單板電腦的關鍵核心，諸如處理器、記憶體、儲存和電源管理，並採用更容易整合的SODIMM模組格式。</p> <p>最新的Compute Module 5採用與Raspberry Pi 5相同的硬體架構，具備2.4 GHz四核心64位元Arm Cortex-A76處理器，與VideoCore VII圖形處理單元，支援OpenGL ES 3.1和Vulkan 1.3。顯示輸出方面，模組支援雙4Kp60 HDMI輸出與4K HEVC硬體解碼功能，並配置PCIe 2.0介面以及高速外部裝置（Peripherals）。另外，Compute Module 5提供多種記憶體和儲存選項，包括2GB、4GB和8GB的LPDDR4X記憶體，以及最高64 GB的eMMC非揮發性儲存。</p> <p>Compute Module 5在設計上與前一代相容，訊號介面透過兩個高密度連接器，與用戶的載板連接，包括電源、資料、外部設備連接等所有訊號，都透過這兩個高密度連接器輸出，用戶只需要將這些連接器與自訂的載板對接，即可完成模組化整合，應用於不同用例。不過官方提到，Compute Module 5還是有部分有別於之前版本的變更，例如移除了雙路雙通道MIPI，並新增了USB 3.0。</p> <p>跟著Compute Module 5同步推出的還有一系列周邊配件，包括專用的IO板、散熱模組、外接天線套件和金屬外殼，開發者也可視需求直接選購包含IO板、模組和其他必要配件的開發套件包。</p> </div></div></div>
2024/11/30 21:39作者李建興https://www.ithome.com.tw/news/166282
強化身分安全，眾至郵件伺服器新型網頁信箱增設無密碼登入
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/sharetech_fido-2024-11-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>零信任是臺灣資安界近來最受重視的防護概念，許多廠商紛紛打造相關的產品，以網路防火牆與郵件伺服器產品著稱的眾至資訊（ShareTech），積極開發與拓展零信任解決方案，今年陸續在多場活動與展覽，如臺灣資安大會、臺灣國際半導體展、台中資訊月論壇，向大家宣導零信任、介紹他們響應政府提倡的零信任網路架構三大核心機制，以及因應這些需求而供應的多種防護功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-09-05-SEMICON-%E7%9C%BE%E8%87%B3%E9%9B%B6%E4%BF%A1%E4%BB%BBP1440104.jpg" style="width: 218px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/ShareTech-11-21-ZT.jpg" style="width: 298px;" /></p> <p>關於使用者身分辨識，<a href="https://www.sharetech.com.tw/zh-tw/epaper/241002">眾至資訊10月正式推出FIDO（Fast IDentity Online）無密碼登入解決方案</a>，針對郵件伺服器產品線的New Webmail網頁信箱功能，提供支援FIDO的身分驗證機制，若企業與組織使用該公司的郵件伺服器軟體版本，或是硬體機型，例如，MS-30X、MS-6400X、MS-6410X、MS-6420X、MS-6430X、MS-6440L，系統軟體或韌體可升級到3.1.5版，即可使用這項功能，無需加購。</p> <p>細部運作流程如何進行？首先，用戶需在自己的智慧型手機或平板電腦當中，安裝行動App軟體ShareTech Authenticator，接著以密碼登入眾至郵件伺服器的New Webmail，進到安全性設定完成綁定行動設備無密碼驗證的程序（再輸入一次密碼進行身分驗證、開啟ShareTech Authenticator掃描New Webmail網頁介面此時顯示的QR Code）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/眾至FIDO驗證設定步驟1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%9C%BE%E8%87%B3FIDO%E9%A9%97%E8%AD%89%E8%A8%AD%E5%AE%9A%E6%AD%A5%E9%A9%9F1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/眾至FIDO驗證設定步驟2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%9C%BE%E8%87%B3FIDO%E9%A9%97%E8%AD%89%E8%A8%AD%E5%AE%9A%E6%AD%A5%E9%A9%9F2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ShareTech MS-無密碼驗證安全設定.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ShareTech%20MS-%E7%84%A1%E5%AF%86%E7%A2%BC%E9%A9%97%E8%AD%89%E5%AE%89%E5%85%A8%E8%A8%AD%E5%AE%9A.jpg" style="width: 600px;" /></a></p> <p>當用戶登入New Webmail網頁介面時，會顯示一組提問碼（Challenge code），</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%80%8B%E4%BA%BA%E7%AB%AF%E7%9C%BE%E8%87%B3FIDO%E7%99%BB%E5%85%A5%E6%AD%A5%E9%A9%9F1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/New Webmail front11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Webmail%20front11.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/New Webmail front22.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Webmail%20front22.jpg" style="width: 298px;" /></a></p> <p>並對已預先完成綁定程序的智慧型手機或平板電腦，發出通知訊息，接著用戶的行動裝置會收到且顯示這個訊息，此時可立即點選或開啟ShareTech Authenticator，會看到驗證帳號的資訊清單，上面顯示被登入的帳號、提問碼、有效時間、登入者所在區域為內部網路或網際網路、登入New Webmail人員操作的裝置與瀏覽器類型，若綜合這些資訊而判斷這是你自己的登入動作，可點選「確認」，</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%80%8B%E4%BA%BA%E7%AB%AF%E7%9C%BE%E8%87%B3FIDO%E7%99%BB%E5%85%A5%E6%AD%A5%E9%A9%9F2.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/ShareTech App-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ShareTech%20App-2.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/ShareTech App-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ShareTech%20App-1.jpg" style="width: 398px;" /></a></p> <p>隨後會進行指紋、臉部這類生物辨識解開鎖定，在背景處理程序當中，行動裝置將使用私鑰對提問碼進行簽名，並將簽名傳回伺服器，伺服器收到簽名之後，會使用公鑰驗證簽名，比對無誤後即可登入，ShareTech Authenticator當下也會跳出身分驗證記錄的通知資訊，上面載明帳號名稱、New Webmail登入者網路位置、登入New Webmail所用的裝置與瀏覽器類型，以及最近一次（本次）驗證身分登入的時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%80%8B%E4%BA%BA%E7%AB%AF%E7%9C%BE%E8%87%B3FIDO%E7%99%BB%E5%85%A5%E6%AD%A5%E9%A9%9F3.jpg" style="width: 600px;" /></p> <p>眾至表示，導入FIDO之後，他們提供的郵件伺服器New Webmail登入，能夠使用公私鑰加密技術進行身分驗證，公鑰儲存在伺服器中，私鑰儲存在用戶的設備內部，不會傳送到伺服器，如此一來，可避免過往密碼式身分驗證的缺點，像是伺服器端儲存使用者密碼，一旦遭入侵，或是使用者因為網路釣魚手法，而將帳號、密碼輸入假網站進行身分驗證，都有可能導致帳號與密碼外流，因而無法抵擋帳密填充攻擊（撞庫）。</p> <p>對於為何要採用提問碼的互動方式，眾至表示，這主要是為了簽章和防止重送攻擊，目的是抵禦中間人複製封包的攻擊手法。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ShareTech FIDO Process2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ShareTech%20FIDO%20Process2.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，這項FIDO功能目前僅支援New Webmail信箱登入使用，行動裝置軟體ShareTech Mail App尚未支援。未來，這項功能也將擴大運用同廠牌其他產品，眾至預告，NU系列防火牆的管理介面、上網驗證，也將提供無密碼登入，目前尚在測試階段，<a href="https://www.sharetech.com.tw/zh-tw/epaper/241205">12月初將開始宣傳此項突破</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NU-passwordless-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NU-passwordless-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/NU-passwordless-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NU-passwordless-2.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">眾至FIDO</span></strong><br /> ●原廠：眾至資訊<br /> ●建議售價：廠商未提供<br /> ●適用產品：硬體設備涵蓋的機型MS-30X、MS-6400X、MS-6410X、MS-6420X、MS-6430X、MS-6440L，系統韌體更新至3.1.5版；軟體系統：ShareTech Mail Server 3.1.5<br /> ●適用功能項目：New Webmail信箱登入<br /> ●身分驗證方式：使用者智慧型手機或平板電腦安裝行動App軟體ShareTech Authenticator</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/11/30 15:30作者李宗翰https://www.ithome.com.tw/review/166279
惡意程式GodLoader迴避偵測出現新手法，駭客濫用遊戲引擎感染1.7萬臺電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近2年駭客利用合法元件癱瘓防毒軟體及EDR系統的情況，不斷有資安事故傳出，其中最常見的手法，便是使用過時的驅動程式，以作業系統核心層級來干擾這些資安防護機制的運作，但如今有人轉向其他工具來突破防線。</p> <p>資安業者Check Point指出，<a href="https://research.checkpoint.com/2024/gaming-engines-an-undetected-playground-for-malware-loaders/">他們發現名為GodLoader的惡意軟體</a>，從今年6月底開始透過開源遊戲引擎Godot，並執行特製的GDScript指令碼，駭客藉此觸發惡意指令，並於受害電腦載入惡意軟體，迄今約有1.7萬臺電腦遭到感染，而且，許多防毒軟體可能無法偵測攻擊者使用的惡意指令碼，因為將這些程式送到惡意軟體分析平臺VirusTotal檢測，鮮少有防毒引擎將其視為有害。</p> <p>值得留意的是，該惡意軟體散布的管道，是濫用程式碼儲存庫GitHub組成的<a href="https://www.ithome.com.tw/news/164161">Stargazers Ghost網路</a>，從9月至10月，約有200個儲存庫用於散布GodLoader。</p> <p>另一方面，這樣的手法能夠針對多種類型的裝置進行跨平臺攻擊，範圍涵蓋Windows、Linux、macOS電腦，以及安卓和iOS裝置。雖然研究人員這次只找到針對Windows電腦的惡意軟體，但他們也發現藉此將有效酬載傳到Linux及macOS環境的作法。</p> <p>針對這波攻擊的危險性，研究人員認為，遊玩以Godot開發遊戲的玩家都有可能曝險，他們估計超過120萬人會成為駭客下手的標的。攻擊者可假借提供遊戲修改器或其他工具，利用Godot在使用者電腦執行惡意指令碼。</p> <p>而被駭客用來夾帶攻擊程式的管道Godot，其實是開源的遊戲開發平臺，提供高度彈性、對使用者友善的操作介面，以及豐富的功能，開發者可用來打造2D或3D遊戲，並將成品輸出為各種平臺的版本，除了電腦、行動裝置版本，開發者也能以網頁的形式（HTML5）提供玩家遊玩。其中，Godot核心引擎使用類似Python的指令碼語言GDScript，以便開發人員用於打造遊戲。</p> <p>但功能如此全面的GDScript，也成為攻擊者利用的對象，研究人員提及，此語言能讓攻擊者迴避沙箱和虛擬機器，也可以遠端執行有效酬載，在此同時，攻擊者因為使用了這項合法工具，而能夠迴避偵測。</p> <p>針對遊戲開發工具被濫用的情況，Godot遊戲引擎維護團隊及資安團隊成員Rémi Verschelde<a href="https://www.bleepingcomputer.com/news/security/new-godloader-malware-infects-thousands-of-gamers-using-godot-scripts/">找上資安新聞網站Bleeping Computer，並提出說明</a>，他們表示，已經得知Check Point公布的調查結果，並認為這種型態的弱點也同樣可能會出現在其他遊戲開發引擎，而會遭到濫用。</p> <p>這種攻擊手法必須搭配特定條件，Rémi Verschelde表示，攻擊者必須將Godot的部分執行元件（runtime）與PCK檔案一起傳送，而且，使用者必須將執行元件與PCK檔放置於相同資料夾，並啟動相關元件。除非攻擊者搭配作業系統層級漏洞，否則他們無法讓使用者執行檔案就中招，Rémi Verschelde認為，由於還要將Godot元件帶到受害電腦上，這類方法並非駭客偏好的觸發作業系統漏洞管道。</p> </div></div></div>
2024/11/29 17:09作者周峻佑https://www.ithome.com.tw/news/166280
【資安日報】11月29日，駭客利用CleverSoar惡意程式於中國、越南電腦散布多種惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡意軟體框架Winos 4.0的攻擊行動，最近半年已出現數起相關事故，但值得留意的是，過往駭客的主要攻擊目標，都是使用簡體中文的使用者，而在最近一起事故當中，慣用越南文的用戶也是目標。</p> <p>不只攻擊的範圍擴大，散布該惡意程式的駭客也搭配其他新工具來進行，其中一種引起研究人員關注的是惡意程式部署工具CleverSoar。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166273"><strong style="font-size: 22px;">中國及越南遭到CleverSoar惡意部署工具鎖定，攻擊者意圖散布Winos 4.0、Nidhogg</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2024-11-25-at-2_49_06-PM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2024-11-25-at-2_49_06-PM.png" style="width: 300px; float: right;" /></a></p> <p>中國駭客運用惡意軟體框架Winos 4.0從事攻擊行動的情況，今年已發生數起資安事故，例如：6月趨勢科技揭露駭客組織Void Arachne的攻擊行動，假借提供AI應用程式的名義，向簡體中文用戶散布這款惡意軟體；到了11月初，另一家資安業者Fortinet指出，有人利用這款惡意程式框架疑似鎖定教育機構下手，如今相關的攻擊行動再度傳出。</p> <p>資安業者Rapid7指出，他們在11月初發現了名為CleverSoar的惡意程式部署工具（Installer），攻擊者的主要目標，是慣用簡體中文與越南文的使用者。駭客意圖利用這款部署工具在受害電腦植入多種惡意程式，並保護這些軟體的運作不受到干擾。</p> <p>而這些對方使用的惡意程式，包含了Winos 4.0進階版本，以及名為Nidhogg的Rootkit程式。攻擊者能夠用來側錄鍵盤輸入內容、資料外洩、繞過安全防護措施，甚至能進一步控制受害電腦。究竟攻擊者的目的為何？研究人員推測，主要很有可能是為了進行更深入的監控，並且截取特定的資料。</p> <p><a href="https://www.ithome.com.tw/news/166278"><strong style="font-size: 22px;">日本遭APT-C-60網釣攻擊，濫用StatCounter、Bitbucket並意圖散布SpyGlace後門</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/APT-C-60-fig1-ec9cbc65.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT-C-60-fig1-ec9cbc65.png" style="width: 300px; float: right;" /></a></p> <p>日本電腦網路危機處理暨協調中心（JPCERT/CC）指出，他們得知駭客組織APT-C-60於今年8月攻擊日本企業組織，對方佯裝成求職者向人資窗口寄送釣魚信，意圖散布惡意程式。</p> <p>在這波攻擊行動裡，駭客寄送含有Google Drive連結的釣魚信，一旦收信人點選連結，電腦就會下載含有惡意程式的VHDX虛擬磁碟檔案，該檔案內含誘餌及Windows捷徑檔（LNK）。</p> <p>收信人若是點選附件，電腦就會掛載虛擬磁碟並顯示偽製成自我介紹的LNK檔案，一旦開啟，電腦就會啟動檔名為IPML.txt的Shell檔案，此Shell程式就會下載惡意程式下載工具SecureBootUEFI.dat，並以COM挾持（Component Object Model Hijacking）的方式執行，藉此讓攻擊者在受害電腦持續活動，最終於受害電腦植入後門程式SpyGlace。</p> <p><a href="https://www.ithome.com.tw/news/166280"><strong style="font-size: 22px;">惡意程式GodLoader迴避偵測出現新手法，駭客濫用遊戲引擎感染1.7萬臺電腦</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GodLoader-6.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GodLoader-6.png" style="width: 300px; float: right;" /></a></p> <p>最近2年駭客利用合法元件癱瘓防毒軟體及EDR系統的情況，不斷有資安事故傳出，其中最常見的手法，便是使用過時的驅動程式，以作業系統核心層級來干擾這些資安防護機制的運作，但如今有人轉向其他工具來突破防線。</p> <p>資安業者Check Point指出，他們發現名為GodLoader的惡意軟體，從今年6月底開始透過開源遊戲引擎Godot，並執行特製的GDScript指令碼，駭客藉此觸發惡意指令，並於受害電腦載入惡意軟體，迄今約有1.7萬臺電腦遭到感染，而且，許多防毒軟體可能無法偵測攻擊者使用的惡意指令碼，因為將這些程式送到惡意軟體分析平臺VirusTotal檢測，鮮少有防毒引擎將其視為有害。</p> <p>值得留意的是，該惡意軟體散布的管道，是濫用程式碼儲存庫GitHub組成的Stargazers Ghost網路，從9月至10月，約有200個儲存庫用於散布GodLoader。</p> <p><a href="https://www.ithome.com.tw/news/166221"><strong style="font-size: 22px;">因不滿成為OpenAI宣傳影片生成器Sora的工具，受邀測試的藝術家洩露存取權限</strong></a></p> <p>一群被OpenAI邀請來測試文字轉影片AI模型Sora的藝術家，因為認為自己被OpenAI免費用來行銷Sora，而在Hugging Face上釋出了Sora的存取權限。不過，OpenAI在3小時後就關閉了針對藝術家所提供的早期存取權限。</p> <p>而該藝術社群在11月26日發表公開信，指出約有300名藝術家獲得了Sora的存取權限成為早期測試者、紅隊成員，以及創意合作夥伴，然而，他們卻認為自己是被OpenAI引誘以替其展開藝術漂白，向全世界說明Sora對藝術家來說是個有用的工具。</p> <p>公開信中闡述，藝術家們使用Sora所生成的影片，在對外分享之前都必須獲得OpenAI團隊的批准，此一早期存取計畫似乎不太關心創意表達與批評，而更在意公關及廣告。對此，他們公開取得的存取權限，讓一般使用者也能探索、實驗Sora的能力。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/k/return-of-anel-in-the-recent-earth-kasha-spearphishing-campaign.html">中國駭客Earth Kasha從事網釣攻擊，意圖對日本企業散布後門程式Anel</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.group-ib.com/blog/tracing-the-path-of-vietcredcare-and-ducktail/">越南駭客透過企業臉書帳號散布竊資軟體VietCredCare、DuckTail</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/chinese-hackers-breached-t-mobiles-routers-to-scope-out-network/">針對遭遇中國駭客Salt Typhoon入侵的事故，T-Mobile公布最新調查結果</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/chinese-hackers-breached-t-mobiles-routers-to-scope-out-network/"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.microsoft.com/en-us/security/blog/2024/11/22/microsoft-shares-latest-intelligence-on-north-korean-and-chinese-threat-actors-at-cyberwarcon/">北韓駭客半年內竊取逾1千萬美元加密貨幣、針對衛星與軍事系統從事網釣攻擊</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-nachovpn-attack-uses-rogue-vpn-servers-to-install-malicious-updates/">網路流量監控系統Zabbix存在重大層級漏洞，恐被用於SQL注入、RCE攻擊</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166264"><strong style="font-size: 22px;">行政院推打詐策略行動綱領2.0，提高產業防詐監管力度、AI科技防詐是關鍵</strong></a></p> <p>為遏止詐騙盛行，行政院推動新世代打擊詐欺策略行動綱領2.0版（後簡稱打詐策略行動綱領2.0），除強化金融、電信產業的防詐策略，也擴大納入數位經濟產業，提高對產業監管力度以對抗各種詐騙手法，並且積極運用AI以強化科技防詐。</p> <p>打詐策略行動綱領2.0，打詐辦公室轉型為打詐指揮中心，分為識詐、堵詐、防詐、阻詐、懲詐5個面向，分別由內政部、NCC、數發部、金管會、法務部負責，各自針對警政宣傳、電信產業、數位經濟產業、金融產業、偵查提出打詐對策，並由打詐指揮中心跨部會協調合作，2.0也加強中央政府和地方政府合作，取得通報、共同打詐防詐。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166158"><strong style="font-size: 22px;">AWS與Rust基金會攜手，驗證Rust標準函式庫的安全性</strong></a></p> <p>AWS與Rust基金會11月20日共同舉辦新競賽，期望號召社群的力量，來驗證Rust標準函式庫的安全性。</p> <p>AWS表示，由core、alloc與std等套件組成的Rust標準函式庫，替開發者提供了許多常用的功能，這些功能在外部看起來是安全的，但它們在內部可能使用了unsafe區塊來實現一些低階的高效能操作或硬體互動，而且並未經過真正的安全驗證。</p> <p>因此，AWS與Rust基金會共同推出一系列的挑戰賽，專注於驗證記憶體安全，以及Rust標準函式庫中未定義行為的子集，參與者可以透過指定合約、驗證函式庫元件，或是開發新的驗證工具來作出貢獻，而且每項成功的挑戰都可獲得獎勵。本競賽的最終目標，是要讓驗證成為Rust語言持續整合過程中不可或缺的一部分。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166259"><strong>【11月28日】第一款針對Linux主機的UEFI Bootkit現身</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166236"><strong>【11月27日】攻擊者串連Firefox與Windows的零時差漏洞，能在使用者毫無察覺的狀況下植入惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166203"><strong>【11月26日】軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，客戶受到波及</strong></a></p> </div></div></div>
2024/11/29 17:15作者周峻佑https://www.ithome.com.tw/news/166281
日本遭APT-C-60網釣攻擊，濫用StatCounter、Bitbucket並意圖散布SpyGlace後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本電腦網路危機處理暨協調中心（JPCERT/CC）指出，他們得知<a href="https://blogs.jpcert.or.jp/ja/2024/11/APT-C-60.html">駭客組織APT-C-60於今年8月攻擊日本企業組織</a>，對方佯裝成求職者向人資窗口寄送釣魚信，意圖散布惡意程式。</p> <p>在這波攻擊行動裡，駭客寄送含有Google Drive連結的釣魚信，一旦收信人點選連結，電腦就會下載含有惡意程式的VHDX虛擬磁碟檔案，該檔案內含誘餌及Windows捷徑檔（LNK）。</p> <p>收信人若是點選附件，電腦就會掛載虛擬磁碟並顯示偽製成自我介紹的LNK檔案，一旦開啟，電腦就會啟動檔名為IPML.txt的Shell檔案，此Shell程式就會下載惡意程式下載工具SecureBootUEFI.dat，並以COM挾持（Component Object Model Hijacking）的方式執行，藉此讓攻擊者在受害電腦持續活動。</p> <p>此DAT檔案接著存取網頁分析工具StatCounter，目的是確認受害電腦使用的HTTP參照區域內容，從而得知電腦名稱、使用者名稱等資訊，然後再從程式碼代管平臺Bitbucket下個階段的作案工具Service.dat，而這個檔案又會在受害電腦產生另外2個元件cn.dat、sp.dat，最終載入後門程式SpyGlace。</p> <p>研究人員指出，在今年8月至9月，有其他資安業者也察覺相關攻擊行動，其共通點就是濫用Bitbucket和StatCounter伺服器，而且，攻擊者會操弄COM物件以便持續活動。雖然他們發現的攻擊行動針對日本，但韓國、中國，以及其他東南亞國家，也可能會出現類似攻擊行動。</p> </div></div></div>
2024/11/29 15:12作者周峻佑https://www.ithome.com.tw/news/166278
澳洲開全球先例，禁止16歲以下的青少年使用社交媒體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>澳洲參議院今日（11/29）<a href="https://www.aph.gov.au/Parliamentary_Business/Bills_Legislation/Bills_Search_Results/Result?bId=r7284" target="_blank">通過</a>了有關社交媒體最低年齡（Social Media Minimum Age）的《線上安全修正法》（Online Safety Amendment Bill），要求社交平臺應該阻止16歲以下的兒童註冊帳號，這是全球第一個將社交平臺使用年齡列入國家法規的案例，預計於12個月後生效，未能遵守規定的平臺，將面臨高達4,950萬澳元的罰款。</p> <p>澳洲議員<a href="https://www.aph.gov.au/Parliamentary_Business/Committees/Senate/Environment_and_Communications/SocialMediaMinimumAge/Report/Chapter_1_-_Introduction" target="_blank">認為</a>，雖然社交媒體已是現代社會不可或缺的一部分，但它們也是有害內容的所在地，而年輕人的社交媒體使用則是一個複雜的問題，因為沒有兩個孩子在社交媒體上的經驗是相同的；它們的主要目的與特色差異很大，因而會對用戶帶來不同程度的風險；兒童對社交媒體的使用也存在差異，包括他們所造訪的平臺，所參與的內容，或所接觸的數位功能。</p> <p>專門保護澳洲公民於網路空間之安全的eSafety Commissioner進行了一項調查，發現有95%的照顧者認為，兒童的網路安全是他們所面臨的最艱鉅的育兒挑戰。</p> <p>另外，就在此一法案表決的前夕，YouGov進行了一項公開投票，<a href="https://au.yougov.com/politics/articles/51000-support-for-under-16-social-media-ban-soars-to-77-among-australians" target="_blank">發現</a>有高達77%的澳洲人贊成此案。</p> <p>其實美國也曾制定《兒童線上隱私保護法》（Children’s Online Privacy Protection Act，COPPA），禁止網站在未取得明確同意前，蒐集13歲及以下兒童的資訊，但包括COPPA在內的多國法令，都只要求社交平臺必須於服務條款中明文禁止兒童註冊，而未像此一澳洲法令提出了具體法律責任及罰款。</p> <p>《線上安全修正法》要求社交媒體平臺必須採取合理措施來驗證使用者年紀，但禁止強制使用者提交個人身分資料，預計於明年中開始測試，明年底全面生效。</p> <p>此一法令適用於TikTok、Facebook、Snapchat、Reddit、Instagram及X等社交平臺。由於它的目的是防止受限年紀的使用者，存取社交平臺上登入帳戶者可使用的內容與功能，因此並不危及不必登入就能觀看的YouTube。</p> <p>該法案也惹來一些批評，反對者認為此一立法過於倉促，可能存在隱私問題；也有心理專家擔心，這可能導致脆弱的青少年被孤立；亦有人說這代表兒童不必負責，家長不必負責，卻由平臺負責；而社交平臺則懷疑此一規定的可執行性。</p> </div></div></div>
2024/11/29 14:24作者陳曉莉https://www.ithome.com.tw/news/166276
加拿大要求Google出售兩款廣告技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加拿大競爭局（Competition Bureau Canada）周四（11/28）<a href="https://www.canada.ca/en/competition-bureau/news/2024/11/competition-bureau-sues-google-for-anti-competitive-conduct-in-online-advertising-in-canada.html" target="_blank">指控</a>Google在加拿大的網路廣告技術服務，違反了當地的反競爭法令，要求Google出售其中的兩款廣告技術。</p> <p>競爭局解釋，許多出版商都仰賴數位廣告來支持它們的活動，數位廣告資源通常是透過平臺的拍賣來購買與銷售，所牽涉到的多種工具即被稱為廣告技術堆疊。在加拿大，Google即是網路廣告之技術堆疊最大的供應商，卻濫用其主導地位，限制市場參與者使用自己的廣告技術工具，阻止競爭對手利用其產品優勢進行競爭，還利用其它方式扭曲競爭過程。</p> <p>Google所擁有的技術堆疊包括，用來管理廣告庫存的賣方工具Google Ads及Display & Video 360，廣告商用來購買廣告空間的買方工具DoubleClick for Publishers，以及交易平臺Ad Exchange。</p> <p>具體而言，加拿大競爭局發現Google非法捆綁其各種廣告科技工具，以維持其市場主導地位，並讓自己的工具優先存取廣告資源，某些情況下還不惜虧本競爭，還列出允許客戶與競爭對手合作的條款，上述種種已足以阻礙競爭並抑制創新。</p> <p>於是該局要求Google出售買方工具DoubleClick for Publishers，與交易平臺Ad Exchange，支付Google反競爭行為得利的3倍或全球總收入的3%罰款，以及不准再從事反競爭行為。</p> <p>此一投訴將由加拿大獨立的競爭法庭（Competition Tribunal），根據當地的競爭法令定奪。</p> </div></div></div>
2024/11/29 14:52作者陳曉莉https://www.ithome.com.tw/news/166277
雲原生明日之星WebAssembly
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1210-feng_mian_p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=bh7pAHR_" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">這是今年雲原生生態圈最熱門的技術話題，更被視為K8s未來十年三大方向之一，Gartner直言影響力不輸GenAI。Google用來創造多款產品的流暢體驗，Adobe靠它才將Photoshop搬上雲端，更是Amazon影音服務通吃8千種裝置的秘訣，連高盛集團、德國Bosch、西門子、迪士尼、英國BBC都愛用。</p> </div></div></div>
2024/11/29 14:58作者王宏仁https://www.ithome.com.tw/article/166268
雲原生技術關鍵下一步
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2015年，剛好是JavaScript和PHP問世的20 周年，我們邀來這兩大語言的發明人，JavaScript之父Brendan Eich和PHP之父Rasmus Lerdorf，擔任Modern Web開發大會的主題講者。大家最好奇的問題是，這兩個語言下一個十年、二十年會怎麼發展？</p> <p>中午找來幾位開發社群成員，與兩大開發教父一起用餐，兩位大師除了大談爸爸經和開發圈秘辛之外，他倆不約而同地提到，效能，是網頁開發語言接下來最重要的課題。</p> <p>Rasmus Lerdorf演講中展示了當年最新發表的PHP 7（現在已經到8.4了），背後有哪些優化設計，可以讓大型網站服務的執行效能快一倍，也讓PHP更適合用來打造微服務架構的應用。</p> <p>Brendan Eich更絕，直接在演講中，在臺上玩起第一人稱射擊遊戲，全場觀眾大吃一驚，包括坐在前幾排的我。這款操作靈巧，畫面流暢的3D互動遊戲，竟然是跑在瀏覽器中的Web應用。秘訣就是這款應用用了支援Asm.js的遊戲引擎Unity與Unreal。透過編譯JavaScript子集合的作法，讓JavaScript執行效率幾乎跟Bytecode程式一樣。</p> <p>一個月後，JavaScript之父和四大瀏覽器平臺業者聯手，發起了W3C WebAssembly社群小組，想要重新發明JavaScript網頁應用，他以WebAssembly來命名這項新技術，顧名思義，就是Web的Assembly（組合語言）形式，要讓網頁應用也能擁有二進位Bytecode的執行格式。</p> <p>不過，WebAssembly的做法跟JavaScript子集合有本質上的不同，Brendan Eich指出，WebAssembly直接定義了一個新的網頁執行層，而非JavaScript子集合，讓瀏覽器能直接執行二進位檔案格式的WebAssembly檔案，來達桌面軟體般的速度。他更點出了一個趨勢，WebAssembly技術不限於JavaScript，而是任何語言都可以用的技術。</p> <p>兩年後，各大瀏覽器紛紛支援這項新的W3C標準，不少科技公司，都用WebAssembly來打造大型網頁應用，或是需要龐大運算的線上服務。Google就是其中一家。</p> <p>Google地球就是靠V8引擎的WebAssembly多執行緒支援，才在瀏覽器中實作出任意放大縮小的飛行視角操作。Google Sheets則是用Wasm封裝Java計算引擎，讓超大型試算表的計算速度提高了1.8倍。</p> <p>Adobe花了很多年，想要將設計圈最重要的軟體Photoshop搬上雲端，一直克服不了JavaScript的效能問題，後來找Google幫忙，改用Wasm技術，終於在2021年打造出Web版Photoshop測試版，去年正式推出。 </p> <p>2019年，Mozilla聯手雲端新創Fastly，將Wasm帶出瀏覽器以外的世界，發表了WASI（WebAssembly System Interface）專案，透過獨立執行的runtime程式和命令列工具，不需要瀏覽器，可以直接在桌機或伺服器端執行Wasm應用。</p> <p>這一步讓Wasm成了雲原生世界的要角。這個原本在瀏覽器中的安全沙盒技術，轉而可以在任何地方，提供一個輕量、快速、安全、跨平臺的應用程式執行環境。這兩年甚至開始具備跨語言能力，可以讓多個語言的Wasm檔案，只靠同一個runtime，在單一隻應用中互相互動，就像同款語言開發的元件一樣。</p> <p>生成式AI開發圈也看上Wasm的輕薄短小，高速冷啟動能力。現在若想用GPU來執行一隻AI推論程式，除了開發者自己的程式碼之外，還需要Nvidia的CUDA runtime、AI技術框架如PyTorch或TensorFlow函式庫，加起來的容器映像檔，最少也要4.8GB，若再加上所用的LLM模型檔案可能多達10GB，想要執行一隻容器化的AI推論應用，至少要15GB，冷啟動的時間往往得花上30秒，甚至好幾分鐘。常見做法是，提前啟動AI推論的服務來待命，這也限制了AI推論的部署和執行模式。</p> <p>但若改用Wasm技術來封裝AI推論應用，Wasm平臺新創Fermyon技術長Radu Matie指出，只需要數MB檔案大小，冷啟動可以大幅縮短到千分之幾秒，可以切割出短暫的GPU算力，來提供「剛好即時（Just in time）」的AI推論回應。</p> <p>甚至今年還出現了Wasm打包的AI推論框架LlamaEdge，包括了一套10億參數量的Llama 2模型，檔案大小只有30MB，可以提供GPU原生應用執行速度。Wasm可以成為GAI快速部署到不同環境、提供快速推論的關鍵基礎環境。</p> <p>也難怪，Gartner在2024年新興科技發展周期報告中，特別將WebAssembly和GenAI並列為唯二，跨出「期望過高的巔峰期」，即將進入技術成熟度曲線的「幻滅期」，意味著這兩項技術已經度過了炒作階段，接下來經過一段時間改善和優化，就會進入穩定發展的成熟期，最快2～5年，就會對全球帶來變革式的影響。</p> <p>11月剛在鹽湖城落幕的KubeCon北美大會，WebAssembly更成了這場容器與雲原生大會最熱門的技術話題，被視為K8s未來十年的三大發展方向之一，與eBPF、IT永續並列。</p> <p>國外也有企業開始採用這項技術，例如高盛集團有個每天數百萬次呼叫的開發者平臺，用不同種語言開發的API外掛，都全面改用Wasm來封裝，大幅簡化了部署和管理的工作。</p> <p>K8s、容器技術是許多臺灣企業數位轉型，推動IT現代化所用的主流、核心技術，但是，雲原生的下一波技術WebAssembly開始成熟，值得大家留意！</p> <p><a href="https://www.ithome.com.tw/article/166268" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(51, 102, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1210-feng_mian_p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=bh7pAHR_" style="width: 600px;" /></span></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/webassembly">WebAssembly</a></div><div class="field-item odd"><a href="/tags/wasm">wasm</a></div><div class="field-item even"><a href="/tags/bytecode">Bytecode</a></div><div class="field-item odd"><a href="/tags/cncf">CNCF</a></div><div class="field-item even"><a href="/tags/%E5%AE%B9%E5%99%A8">容器</a></div><div class="field-item odd"><a href="/tags/%E8%99%9B%E6%93%AC%E5%8C%96-0">虛擬化</a></div><div class="field-item even"><a href="/tags/ai">AI</a></div><div class="field-item odd"><a href="/tags/wasm%E5%A4%A7%E8%AA%BF%E6%9F%A5">Wasm大調查</a></div><div class="field-item even"><a href="/tags/wasm%E7%94%9F%E6%85%8B%E5%9C%B0%E5%9C%96">Wasm生態地圖</a></div><div class="field-item odd"><a href="/tags/wasm-landscape">Wasm Landscape</a></div><div class="field-item even"><a href="/tags/%E9%9B%B2%E5%8E%9F%E7%94%9F%E7%94%9F%E6%85%8B%E5%9C%B0%E5%9C%96">雲原生生態地圖</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E5%8E%9F%E7%94%9F">雲原生</a></div></div></div>
2024/11/29 14:59作者王宏仁https://www.ithome.com.tw/voice/166269
中國及越南遭到CleverSoar惡意部署工具鎖定，攻擊者意圖散布Winos 4.0、Nidhogg
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客運用惡意軟體框架Winos 4.0從事攻擊行動的情況，今年已發生數起資安事故，例如：6月趨勢科技揭露<a href="https://www.ithome.com.tw/news/163597">駭客組織Void Arachne的攻擊行動</a>，假借提供AI應用程式的名義，向簡體中文用戶散布這款惡意軟體；到了11月初，另一家資安業者Fortinet指出，有人利用這款惡意程式框架，<a href="https://www.ithome.com.tw/news/165897">疑似鎖定教育機構下手</a>，如今相關的攻擊行動再度傳出。</p> <p>資安業者Rapid7指出，他們在11月初<a href="https://www.rapid7.com/blog/post/2024/11/27/new-cleversoar-installer-targets-chinese-and-vietnamese-users/">發現了名為CleverSoar的惡意程式部署工具（Installer）</a>，攻擊者的主要目標，是慣用簡體中文與越南文的使用者。駭客意圖利用這款部署工具在受害電腦植入多種惡意程式，並保護這些軟體的運作不受到干擾。</p> <p>而這些對方使用的惡意程式，包含了Winos 4.0進階版本，以及名為Nidhogg的Rootkit程式。攻擊者能夠用來側錄鍵盤輸入內容、資料外洩、繞過安全防護措施，甚至能進一步控制受害電腦。究竟攻擊者的目的為何？研究人員推測，主要很有可能是為了進行更深入的監控，並且截取特定的資料。</p> <p>究竟攻擊者的身分為何，目前仍不明朗，但研究人員提及，這些駭客很可能曾經散布木馬程式ValleyRAT，並利用Winos 4.0攻擊教育機構。</p> <p>駭客最早可能在今年7月下旬打造CleverSoar，攻擊者提供MSI安裝程式，一旦受害者執行，電腦就會啟動該惡意程式部署工具。</p> <p>該部署工具首先會檢查電腦的語言設定，確認是否為簡體中文或越南文，若非這兩種語言，此工具就會終止運作，這樣的配置，也突顯這是一起針對性的攻擊行動。根據駭客散布的MSI安裝程式檔名，研究人員推測，很有可能是假借遊戲相關應用程式散布。</p> <p>值得留意的是，駭客在植入各式惡意程式的過程裡，CleverSoar還會停用受害電腦的防毒軟體，此外，為了避免於研究人員的虛擬機器環境運作，攻擊者還呼叫特定參數，運用SMBIOS韌體表來確認是否在真實的電腦執行。</p> <p>再者，攻擊者也會利用特定的功能涵數，檢查Microsoft Defender的模擬器狀態，來確認執行的環境狀態。</p> <p>為了讓惡意程式能正常運作，CleverSoar也運用特定的群組原則，防止第三方的DLL元件注入，這麼做是針對防毒軟體和EDR系統的掛鉤行為而來，使得這類系統無法於正在執行的處理程序當中，注入資安防護元件相關的DLL檔案。</p> </div></div></div>
2024/11/29 12:14作者周峻佑https://www.ithome.com.tw/news/166273
為何Wasm檔案超小執行速度極快？虛擬機器、容器、Wasm三大雲原生技術大比較
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1998年誕生的虛擬化技術的VM、2013年出現Docker容器技術和K8s，以及2019年開始走出瀏覽器Wasm，都是可以用來部署和建置雲原生基礎架構的根本技術，也都提供了一個沙盒般的獨立軟體執行環境，可以用來執行應用系統或程式。不過，這三者有很大的不同，尤其是Wasm技術，從一開始的技術創立目的，就和前兩者截然不同。</p> <p>Wasm技術發明之初，就是為了解決JavaScript效能問題，希望讓瀏覽器中的Web應用能像桌面原生軟體一樣的高速執行。而VM技術是為了更善用硬體資源，讓不同應用系統各自有自己完整的虛擬「實體主機資源」可用，而Docker則是為了解決應用程式相依性越來越複雜的挑戰，想要讓AP可以到處執行。</p> <p>不過，從技術實作背後的核心概念，VM是將實體環境的複雜度封裝到單一環境中，容器則是將AP的相依性複雜度，封裝到單一環境中，這兩者比較相似，但Wasm則是在瀏覽器環境中，創造一個Bytecode二進位執行格式的沙盒環境，來提高執行速度，技術實作的方向有很大的不同。但因瀏覽器本來就是一個與作業系統層隔離的獨立執行環境，也格外講究與實體資源的安全，以及瀏覽器內不同網頁程式之間的隔離性，這就讓Wasm先天帶有類似容器的將可以封裝AP複雜性的特色和隔離實體環境複雜度的特性。</p> <h3><span style="color:#B22222;"><strong>Wasm檔案為何遠比虛擬機器、容器映像檔小這麼多？</strong></span></h3> <p>因為技術實作的不同，VM等於模擬了一整個實體主機環境，有虛擬CPU、虛擬記憶體、虛擬儲存，因此可以安裝多套或大型的應用系統，映像檔案大小也最大，光是安裝一套作業系統，就可能需要好幾GB。<br /> 而容器不需要作業系統，只需要執行程式碼相關的必要元件，可取得記憶體資源、也可以配置本地端儲存給容器專用。容器常用來執行一隻應用程式，一隻微服務，執行同樣程式碼的容器映像檔大小比VM映像檔小了不少，冷啟動速度也快上許多。</p> <p>Wasm同樣不需要作業系統，目前也無法配置本地端儲存，常用來執行一隻應用、一隻程式或是一支元件。因為封裝到Wasm的程式碼，會經過編譯處理成二進位格式檔，而不是採取映像檔的形式來載入，因此，同樣功能程式碼的Wasm檔案，遠比容器映像檔格式小非常多。這也讓Wasm的冷啟動執行速度超短。</p> <p>技術特性、映像檔和執行檔大小，也影響了這三類技術可以部署的環境。VM大多部署於公雲環境、實體伺服器或是邊緣主機，需要有一定硬體規格的設備上。而容器除了上述三類基礎架構環境之外，也可部署到硬體規格較低階的行動裝置、邊緣裝置上。Wasm檔案的硬體規格需求最低，虛擬機器和容器可部署的環境之外，甚至可以部署到小型邊緣設備，IoT設備，甚至是IoT感測器上。</p> <p>這三者技術目前也可以混用在同一個執行環境中，Docker公司早在2022年就宣布開始支援Wasm，可以讓Docker容器的Runtime也能同時執行wasm檔案，而微軟則在去年發表了Hypervisor對Wasm的支援技術，可以在Hyperbisor平臺上，同時支援虛擬機器、容器和Wasm，甚至可以混用這三者，不過，還只是技術預覽功能。</p> <h3><span style="color:#B22222;"><strong>Wasm冷啟動速度可以比容器快上百倍</strong></span></h3> <p>冷啟動速度來說，雖然這個速度會受到執行程式碼規模和複雜度的影響，但大概來比較，以執行同樣功能的一隻應用程式來說，Wasm是最快，甚至可以說超快。虛擬機器的冷啟動速度，常見是數十分鐘，可說是分鐘級的冷啟動速度，而容器則可以縮短到數十秒，甚至數秒內，可說是秒級的冷啟動。</p> <p>由於Wasm是經過編譯後的Bytecode檔案，幾乎是載入就可以執行，再加上Wasm檔案極小。因此可以做到毫秒等級的冷啟動速度，這是千分之幾秒的程度，就能開始一支Wasm應用。</p> <p>對於開發語言的支援上，不論是在虛擬機器或是容器中，都需要該語言的runtime來執行，例如用了GO語言和Rust，就需要這兩種與言的runtime才能執行。但是在wasm的做法不一樣，經過事先編譯，可以將不同語言編譯成同樣的Bytecode執行格式，因此，只需要一隻wasm的runtime，就可以執行不同語言編譯過的wasm檔案，等於是用一隻runtime通吃各種語言，甚至WASI提出的新元件模式，可以讓不同程式語言的Wasm元件，彼此有一個標準的輸入輸出溝通方式，彷彿就像是用同一種語言開發的兩隻元件一樣。不過，目前不是所有開發語言都能支援Wasm，不同語言的支援程度也不盡相同，以Go、JavaScirpt、C#、Rust語言的支援度相對完整且穩定。其餘也有四、五十種語言提供部分程度的支援，使用時得留意支援度不足的地方。</p> <p>若以用GPU來執行AI推論的功能來比較，除了AI推論的程式碼之外，還需要Nvidiak的CUDA runtime，以及一套AI框架，像是PyTorch，光是這三者，最小的容器映像檔大小就接近5GB，LLM基礎模型的檔案大小也動輒數GB，甚至數十GB，整個加起來，至少要有15GB，以前，容器問世時，常有人打趣說，VM太肥，所以需要容器來解決，但是，LLM推論需要的容器映像檔也動輒是數GB或數十GB，就像是當年過於肥大的VM一樣。</p> <p>同樣功能，若改用Wasm，自製推論程式碼、CUDA runtime加上PyTorch框架和10GB的LLM基礎模型，編譯後可以大幅縮小到數MB，可以說比同樣功能的容器或VM映像檔，足足少了1千倍，這也正是Wasm冷啟動速度可以超級快的原因。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%89%E5%A4%A7%E9%9B%B2%E5%8E%9F%E7%94%9F%E6%8A%80%E8%A1%93%E6%AF%94%E8%BC%83%E8%A1%A8.jpeg" /></p> <p> </p> <p><span style="font-size: 20px;"><strong><span style="color: rgb(51, 102, 255);">後續報導請見：</span><a href="https://www.ithome.com.tw/news/166267" target="_blank"><span style="color: rgb(51, 102, 255);">WebAssembly生態圈有哪些重要專案？Wasm生態地圖重點剖析</span></a><span style="color: rgb(51, 102, 255);"> </span></strong></span></p> <p> </p> <p><a href="https://www.ithome.com.tw/article/166268" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(51, 102, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1210-feng_mian_p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=bh7pAHR_" style="width: 600px;" /></span></strong></span></a></p> </div></div></div>
2024/11/29 11:36作者王宏仁https://www.ithome.com.tw/news/166272
Wasm是雲原生技術的下一步發展，更是GAI實現快速推論關鍵助力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國際顧問公司Gartner每年都會發表一張新興科技發展周期報告，盤點2千項技術和應用框架，以未來2年到10年的變革和影響性為比較標準，選出當年最重要的25項新興技術，繪製成當年的新興技術成熟度曲線圖。全球爆紅的生成式AI，正是2023年進入這份清單，但是，在同一年，還有另一項技術和GAI一起入選，就是WebAssembly，簡稱Wasm。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>WebAssembly的影響力媲美GenAI和Docker</strong></span></span></p> <p>到了2024年的新興科技發展周期報告，Gartner甚至將WebAssembly和GenAI並列為唯二，跨出「期望過高的巔峰期」，即將進入技術成熟度曲線的「幻滅期」，這也代表了，Gartner認為，這兩項技術已經度過了炒作階段，接下來經過一段時間改善和優化，就會進入穩定發展的成熟期，最快2～5年，就會對全球帶來變革式的影響。</p> <p>Gartner對WebAssembly影響力的期待，僅次於GenAI，遠遠超過其他新興技術。Gartner特別看好WebAssembly的理由是，這項技術賦予網頁應用超高效能，特別適合微服務和無伺服器環境的應用。目前的缺點是，會提高複雜度，大規模導入的學習門檻也很高。</p> <p>不只跨國顧問公司看好這項技術，今年是K8s問世十年，因這項技術擴大成型的雲原生生態圈，回顧過去之際，也開始思考K8s和雲原生技術的下一個十年發展方向。有不少技術意見領袖，紛紛將WebAssembly視為K8s下一個十年最重要的發展，與eBPF、IT永續並列為雲原生技術未來三大關鍵發展方向。尤其到了今年11月，在美國鹽湖城舉辦的Kubecon北美場大會中，WebAssembly成了這場K8s生態圈年度大會中最熱門的話題。今年也首度將WebAssembly技術年會與Kubecon大會共同舉辦，不少科技公司和企業出來分享自己使用Wasm的經驗，例如美國高盛金融集團、德國製造大廠博世Bosch集團、工廠自動化設備大廠西門子等。</p> <p>CNCF推廣大使太田航平早在今年10月來臺參加K8s高峰會時，在主題演講中就強調，K8s的下一波發展有三大重要機制，第一項就是WebAssembly。為何這項技術對雲原生的發展，非常重要？他解釋，WebAssembly可以提供一個獨立的執行環境，不限任何開發語言、作業系統和CPU的執行環境。換句話說，WebAssembly可以提供一個通吃任何開發語言、作業系統，甚至是CPU架構的執行環境。他更現場展示後端工程師慣用的GO語言、網站開發語言Ruby和行動應用常用的Swift如何編譯成Wasm格式的二進會檔來執行，Docker容器也可以放進Wasm來執行。</p> <p>太田航平特別強調，WebAssembly技術，可以將不同的開發語言編譯成二進位格式的檔案，再部署到瀏覽器或非瀏覽器的環境中執行。「WebAssembly提供了一個安全、輕便而且可以在任何地方執行的環境。」</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>不只科技巨頭，跨國金融集團、製造大廠也開始嘗試</strong></span></span></p> <p>Google是參與WebAssembly標準的推動者，更是第一批採用這項技術的科技公司，許多知名的服務都靠WebAssembly來創造出流暢的使用體驗，像是用C++語言開發的Google地球，就是靠V8瀏覽器引擎的WebAssembly多執行緒支援，才在瀏覽器中實作出桌面版般的任意放大縮小、飛行視角般的瀏覽操作。線上版Google Sheets用Wasm封裝Java計算引擎，讓超大型試算表提高了1.8倍的計算速度。Google Photo團隊則靠Wasm，將用單一語言開發的照片編輯功能程式碼，部署到iOS、Android和Web等不同平臺上，開發一次，不用任何改寫就能到處部署。</p> <p>Google旗下開源機器學習框架TensorFlow的JS版本的核心，同樣用Wasm縮短了好幾倍的模型推論時間，甚至用Wasm結合多執行緒，比用GPU加速的JavaScrpit 2D/3D函式庫WebGL來執行相同推論，可以縮短好幾倍的時間，這個效能優化，讓沒有GPU的行動裝置，也能快速進行AI推論。</p> <p>Adobe是另一家大力擁抱Wasm的愛用者，像是Lightroom線上相片編輯和特效工具、Express（前身是Spark）線上相片設計工具，都採用了WebAssembly技術來優化操作體驗。甚至是他們旗下最知名的設計工具Photoshop，這是一套用C++語言開發的多執行緒軟體，Adobe花了很多年，想要將這款設計圈最重要的軟體搬上雲端，一直克服不了JavaScript的效能問題，後來找來Google幫忙，才在2021年，打造出Web版Photoshop測試版，去年正式推出，Adobe也用這項技術陸續將更多需要重度運算需求的軟體產品，也慢慢搬上雲端。 </p> <p>光是運用WebAssembly的SIMD（單指令流多資料流）處理能力，對大型圖檔中大量像素進行平行處理計算，平均就提高了3～4倍的處理速度，有些特效處理甚至可以加快80～160倍的速度。WebAssembly讓線上版Photoshop具有不輸桌面原生軟體版的流暢性和速度。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>高盛集團開發者平臺大幅改用Wasm封裝API</strong></span></span></p> <p>不只是科技巨頭愛用，也有大型企業開始嘗試Wasm，例如高盛銀行有一個每天數百萬次，甚至爆量到上億次呼叫請求的開發者API平臺，他們在2023年時，花了8、9個月驗證如何用Wasm來封裝不同語言，如Go、Java、Typescript開發的API外掛，統一這些外掛程式的部署和管理。高盛銀行第四季正式釋出了第一款用Wasm打包的API外掛，不出3個月，全部的API外掛程式在年底時都改用Wasm形式來提供。</p> <p>高盛集團早在好幾年前，就開始採用API優先戰略，也推出了一個開發者平臺，釋出各種類型的API給內部各部門和外部第三方合夥夥伴和合作開發者。</p> <p>他們也打造了一個完全用API架構的數位銀行交易平臺，同樣提供了大量API，可以將高盛金融服務嵌入到各種第三方應用中。這個開發者評平臺提供了包括三大類，資料類AP像是資料篩選、資料分析處理、資料管理等資料類API，也有用於風險分析和投資分析的工具服務，還有一大類是銀行金融交易類的API，像是銀行交易類API，如支付、財富管理API等，也包括了一套金融區塊鏈API，這些API會以外掛的彈性組合形式來對外提供。這個高盛集團的開發者平臺，每天的API呼叫次數加起來，高達數百萬次，甚至上億次。 </p> <p>這些外掛API部分來自開發者平臺團隊開發，更多是不同產品團隊各自開發。因為這些API是多年來陸續開發的成果，採用的開發語言涵蓋了Java、Go和TypeScript。不同團隊各有自己的開發實踐。<br /> 高盛平臺團隊想要找到一個技術，可以用來統一不同開發語言，使用單一獨立的runtime環境，來提高安全性，還要讓程式碼更容易重複使用。所以，他們先從一個重複帳號檢查功能開始進行PoC驗證，成效不錯。</p> <p>尤其，將Wasm編譯流程加入到原有的開發流程時，仍舊可以套用原本多數開發流程的工具和安全機制，像是程式碼掃描、套件管理、相依性管理工具，都不需要有太大變動，讓開發者可以繼續使用原本熟悉的工具。改用Wasm編譯後的API程式檔案，執行效能明顯提高，也更方便和其他部門共享不同程式語言開發的元件。</p> <p>高盛集團工程管理總監Rohan Deshpande指出，善用Wasm，可以提高API外掛生態圈品質和彈性的關鍵。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E9%AB%98%E7%9B%9Bapi%E5%B9%B3%E8%87%BA-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%AB%98%E7%9B%9B%E9%9B%86%E5%9C%98.png" style="width: 600px;" /></p> <p><span style="font-size:16px;"><span style="color:#696969;"><strong>高盛銀行有一個每天數百萬次呼叫請求的開發者API平臺，他們在2023年時開始驗證如何用Wasm，來封裝不同語言所開發的API外掛，統一這些外掛程式的部署和管理，最後讓全部的API外掛程式都改用Wasm形式來提供。</strong></span></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／高盛集團</span></span></p> <p>德國製造大廠Bosch有個研究團隊，則在2023年底時，分享了在自駕車軟體和工廠系統運用Wasm的經驗。他們用Wasm搭配容器技術，來部署汽車駕駛系統的嵌入式軟體元件，大幅簡化了電動車內不同類型異質裝置的安裝管理。他們還看上Wasm的毫秒級冷啟動能力，在工業自動化設備的邊緣主機上，用Wasm來部署監控軟體，可以幾乎即時的速度，來分析工控PLC系統回傳的資料，來判斷是否出現問題要發出預警，就算邊緣主機當機（製造工廠環境常見的故障風險），也能快速（毫秒等級）在另一臺邊緣主機啟用新的Wasm監控軟體，做到幾乎即時的故障自動切換能力，不會中斷對工廠自動化產線的持續監控。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Amazon影音服務靠Wasm支援8千種各類裝置</strong></span></span></p> <p>Amazon的Prime Video服務則看上了Wasm通吃各種裝置、平臺的能力。Amazon這項影音服務數百萬名顧客所用的裝置高達8千種類型，除了電腦、手機，還有遊戲主機、各類數位電視、機上盒、USB串流棒等。每次要改版，幾乎很難針對每一種環境提供專門的升級版本。所以，Amazon從2020年8月開始測試Wasm，發現同樣的功能，用Rust語言開發，再編譯成Wasm檔案格式執行，可以比用JavaScript開發的執行速度快上10到25倍，便決定在2021年大幅改用WebAssembly混用JavaScript，來簡化軟體版本升級的流程。</p> <p>Amazon會在裝置上預載兩種執行環境，一個是WebAssembly VM，另一個是JavaScript VM。需要大量運算的功能，例如動畫模擬、渲染計算等，就改用Wasm技術編譯成二進位檔，放到WebAssembly VM中執行，而Prime Video App則保留原本的JavaScript程式碼，載入到另一個JavaScript VM環境中來執行。這個做法，不只更容易靠一兩種語言，支援到更多類型的裝置，高運算負載的程式碼從JavaScript改為Wasm後，省下了30MB的記憶體，只需要7.5MB就能順暢執行，也降低了不少硬體規格的門檻，提高在低階或行動裝置上的執行效能。</p> <p>WebAssembly並非是這幾年隔空出現的新技術，而是問世十年的老技術，一開始是為了解決 JavaScript直譯式語言速度太慢的問題，尤其Web應用的功能越來越複雜，程式檔也越來越大，動輒數萬、數十萬行的Web應用程式碼，如何提高大型Web應用在瀏覽器中的執行速度成了一大挑戰。早在2010年時，有位軟體工程師Alon Zakai打造了一款工具Emscripten，可以將C/C++程式碼編譯成JavaScript可執行的形式，2012年更是釋出了asm.js技術，這是JavaScript的一項子集合，可以在瀏覽器中執行C和C++程式碼來加速。這是WebAssembly標準出現前的JavaScript應用優化嘗試。</p> <p>2015年5月，JavaScript之父Brendan Eich特別來臺參加iThome舉辦的Modern Web大會，回顧這項技術的開發幕後秘辛以及20年來的發展。在演講中，他特別展示了在瀏覽器中執行的第一人稱3D射擊遊戲，來展示當JavaScript執行效率跟Bytecode程式一樣時，可以做到的能耐。這個現場展示，震驚所有參加者，包括臺下的我。</p> <p>一個月後，JavaScript之父就和四大瀏覽器平臺，發起了W3C WebAssembly社群小組，想要重新發明JavaScript網頁應用，以WebAssembly來命名新技術，顧名思義，就是Web的Assembly（組合語言）形式，要讓網頁應用也能擁有二進位Bytecode的執行格式。</p> <p>Brendan Eich指出，WebAssembly格式標準將成為一個網站程式碼的新中介層，可以提供一個二進位檔案格式標準來執行網頁。最大特色是，可以讓JavaScript程式的執行速度快20倍，讓網頁應用也能像桌面原生應用一樣的執行速度。因為，WebAssembly標準的作法是，直接定義了一個新的網頁執行層，而非如JavaScript子集合的作法，讓瀏覽器能直接執行二進位檔案格式的WebAssembly檔案，來達到像是執行Bytecode程式般的高效能。而且，當時JavaScript之父更指出一個未來的發展趨勢，這項技術不限於JavaScript這種語言，而是任何語言都可以用的技術。</p> <p>這項技術有多強？像是Adobe大砸200億美元收購的設計平臺Figma，正是靠WebAssembly技術才打造出操作流暢的線上工具，可以在瀏覽器上使用大量向量元件，組合成複雜、精美的網頁版面。正因為WebAssembly可以讓Web應用的執行速度，媲美桌面原生軟體般的執行速度，所以，不少人用「網頁組合語言技術」來形容。</p> <p>經過兩年努力，在2017年時，WebAssembly 發表了第一個版本，獲得Chrome、Safari、Edge、Firefox等主要瀏覽器的支持，也正式成了網頁標準之一。不過，這項技術，一開始只能在瀏覽器環境中執行，想要執行Wasm，還得先安裝一隻瀏覽器或瀏覽器引擎。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Wasm走出瀏覽器，連Docker之父都驚艷</strong></span></span></p> <p>直到2019年，這一年是 Wasm走出瀏覽器，邁向廣大雲原生世界的關鍵一年。Mozilla、雲端業者Fastly等聯手發表了WASI（WebAssembly System Interface）專案，提供了一個runtime程式和命令列工具，不需要瀏覽器，可以直接在桌機或伺服器端執行Wasm應用。同時，專案成員也發起了Bytecode聯盟，要將WebAssembly推廣到瀏覽器以外的世界。這也讓同一套Wasm封裝的程式碼，可以在瀏覽器或非瀏覽器的環境中執行，不需要維護兩套程式碼。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-WASI-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Fastly%E5%82%91%E5%87%BA%E5%B7%A5%E7%A8%8B%E5%B8%ABLuke%20Wagner.png" style="width: 547px;" /></p> <p><span style="font-size:16px;"><strong><span style="color: rgb(105, 105, 105);">2019年是 Wasm走出瀏覽器，邁向廣大雲原生世界的關鍵一年。Mozilla、雲端業者Fastly等聯手發表了WASI（WebAssembly System Interface）專案，透過獨立的runtime和命令列工具，不需要瀏覽器，也可以直接在桌機或伺服器端中執行Wasm應用。</span></strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Fastly傑出工程師Luke Wagner</span></span></p> <p>「如果WASM和WASI在2008年就出現，我們就不需要發明Docker技術了。」Docker之父Solomon Hykes這一句話點出了WebAssembly技術對雲原生生態圈的影響力，可以媲美Docker技術創造了整個雲原生技術浪潮的重要性。這句話也成了後來大家談到WebAssembly發展時，最常被引述的一句話，這是一項連Docker之父都讚嘆的新技術。</p> <p>跨出瀏覽器之後，橫跨到雲原生技術圈的WASM生態圈，從2020年開始茁壯，而且相關工具和技術專案數量越來越多，貢獻者規模越來越大，更多工具，更多開發語言開始支援，也開始出現大規模開發Wasm用的技術框架。</p> <p>WASI專案在2021年提出了新的元件模式（Component Model）草案，可以讓不同語言寫的程式碼，編譯成Wasm元件，此彼此有一套標準的元件輸入輸出方式來互動，舉例來說，用Go語言寫的Wasm元件，和用Rust語言寫的Was元件，有共同的標準輸入輸出方式，就像用同一種語言開發的元件一樣，甚至可以把這兩個元件，放入一個更大的Wasm元件中混用。這個元件模型，讓Wasm具備了跨各種語言的能力，這也是後來WASI專案0.2版的重要特色。Brendan Eich多年前提到的WebAssembly跨開發語言的能力，不只在瀏覽器中落實，更在瀏覽器外的廣大雲原生世界中實現了。</p> <p>到了2022年，已有超過40種語言支援Wasm，包括Rust, C, C++, JavaScript和GO語言。而且不只伺服器環境，還可以在邊緣裝置，甚至是IoT設備上執行Wasm程式。2022年10月，Docker公司更宣布加入Bytecode聯盟，要讓Docker引擎開始支援Wasm，直接在容器執行環境中，也能直接執行Wasm的二進位元件檔。</p> <p>Docker這一步，吸引了更多雲原生採用企業對這項技術的關注，雲原生組織CNCF在年度調查中觀察到，超過37%的企業開始試水溫嘗試WebAssembly，尤其可用於Serverless架構中的兩款Runtime，包括WasmEdge和WAMR開始受到關注。CNCF這份調查報告最後的結論是「容器已經成為新標準，而WebAssembly是未來。」這個雲原生生態圈最重要的組織，開始認真將WebAssembly視為接下來的重要發展方向。</p> <p>不只是容器技術指標廠商開始擁抱，虛擬化技術也開始向Wasm靠攏。微軟Azure技術長Mark Russinovich在2023年Build開發者大會上發表了Hyperlight，可以在Hypervisor上直接執行Wasm應用。Hyperlight可以產生一個微型VM（Micro-VM），比執行一個容器所用的資源更小，啟動速度超快，具有Hypervisor層隔離強度的執行環境，來執行Wasm元件。1秒鐘可以啟動1千個這種執行Wasm的微型VM ，延遲時間甚至只有250微秒，也就是一秒的四千分之一。微軟讓虛擬機器、容器和Wasm可以在同一個Hypervisor環境中並存。</p> <p><span style="font-size:20px;"><span style="color:#3366ff;"><strong>後續報導請見：</strong></span></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/166257" target="_blank"><span style="color:#3366ff;">WebAssembly如何成為雲原生生態圈關鍵技術</span></a></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/166267" target="_blank"><span style="color:#3366ff;">WebAssembly生態圈有哪些重要專案？Wasm生態地圖重點剖析</span></a></strong></span></p> <p><a href="https://www.ithome.com.tw/article/166268" target="_blank"><span style="font-size:20px;"><strong><span style="color:#3366ff;"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1210-feng_mian_p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=bh7pAHR_" style="width: 600px;" /></span></strong></span></a></p> </div></div></div>
2024/11/29 12:25作者王宏仁https://www.ithome.com.tw/news/166256
WebAssembly生態圈有哪些重要專案？Wasm生態地圖重點剖析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:20px;"><strong><span style="color: rgb(51, 102, 255);">前篇報導請見：</span></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/166256" target="_blank"><span style="color: rgb(51, 102, 255);">Wasm是雲原生技術的下一步發展，更是GAI實現快速推論關鍵助力 </span></a></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/166257" target="_blank"><span style="color: rgb(51, 102, 255);">WebAssembly如何成為雲原生生態圈關鍵技術</span></a></strong></span></p> <p>在2023年發表的Wasm生態地圖第一版，涵蓋了120個專案，包括了四類開發語言和11類相關專案，CNCF估計經濟產值達到594億美元。主要可以分為兩大類專案，包括了Dev（應用程式開發）和Ops（應用程式部署）。後續這份生態地圖則整合到CNCF官網上的雲原生生態地圖，成為了其中一類子技術地圖。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/%E5%9C%965-WASM%E7%94%9F%E6%85%8B%E5%9C%B0%E5%9C%96-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-CNCF.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1210-cover-4-600-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_CNCF.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／CNCF</span></span></p> <p>在應用程式開發類Wasm相關專案上，包括了四種不同Wasm支援型態的語言，分別是編譯語言、託管類語言、腳本語言、為Wasm優化的新語言，另外開發類專案則可分為Runtime、應用程式框架、邊緣和裸機、AI推論、嵌入式功能、工具鏈等6類專案。</p> <p>而在應用程式部署的Wasm相關專案上，則可分為調度與管理類專案、託管平臺、去中心化平臺、除錯和可觀察性專案、半成品儲存等5類Wasm相關專案。</p> <p>進一步來看可支援Wasm的語言，包括了提供一級支援的編譯語言，主要有C、C++、Rust和Zig，這類語言可以直接編譯成Wasm二進位檔，而託管類語言則Go、Dart、Kotlin、Java、C#和.Net等，則需要搭配具有管理能力（如記憶體垃圾蒐集能力）的runtime來執行wasm。可搭配的runtime專案像是WasmEdghe、Wasmtime或瀏覽器圈熟悉的V8引擎，或像Java與C#則需要把runtime和程式碼一起編譯才能執行，檔案大小會稍大，另外還有腳本語言如JavaScript、Ruby、PHP、Python可以在Wasm環境中執行，編譯成Wasm檔後，用Wasm的解釋器就可以執行。而Moonbit和Grain則是兩個正在發展，以Wasm優化為目標而誕生的開發語言。</p> <p>程式碼編譯成Wasm Bytecode之後，需要建立Wasm執行環境，這也是開發者最關心的Wasm類專案。可用來建立Wasm執行環境的專案，較受到關注的像是WasmEdge、Wasmtime、Wamr、WAVM、Wasmer、wasm3、Lunatic、wazero和V8。其中，WasmEdge適合用於雲端、邊緣應用和分散式應用，而Wasmtime則是一個獨立安裝，可支援WASI，只能執行wasm的runtime。</p> <p>對於想要打造大型雲原生應用的開發者，則需要功能更完整的Wasm應用框架上，來提供更多進階或複雜功能的元件，這類應用框架專案最受到關注的是WasmEdge專案。WasmEdge框架最大特色是提供了許多進階的POSIX API，也可以搭配支援許多知名Rust和JavaScript框架，像是可搭配node.js使用。另外還兩個值得關注的Wasm應用框架，包括了可用來打造Wasm微服務架構的Spin框架，以及可用於開發和管理分散式應用架構的WasmCloud專案。</p> <p>這兩年GenAI爆紅後，可以將Wasm建立AI推論環境的專案受到高度關注，較知名的則有Wasmtime、WasmEdge和WAMR。像是WasmEdge專案可支援不少知名AI技術框架，如OpenVINO、Pytorch、Tensorflow、MMGL/Llama2，也受到AI圈高度青睞。</p> <p><a href="https://www.ithome.com.tw/article/166268" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(51, 102, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1210-feng_mian_p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=bh7pAHR_" style="width: 600px;" /></span></strong></span></a></p> </div></div></div>
2024/11/29 12:26作者王宏仁https://www.ithome.com.tw/news/166267
WebAssembly如何成為雲原生生態圈關鍵技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:20px;"><strong><span style="color:#3366ff;">前篇報導請見：</span><a href="https://www.ithome.com.tw/news/166256" target="_blank"><span style="color:#3366ff;">Wasm是雲原生技術的下一步發展，更是GAI實現快速推論關鍵助力 </span></a></strong></span></p> <p>2023年是WebAssembly快速起飛的一年，CNCF和Wasm社群聯手，開始大力推廣這項技術，為了方便各界進行導入評估，他們盤點了相關專案和工具鏈，在第一屆WasmCon大會上正式發表了Wasm生態地圖（Wasm Landscape）第一版，後來也整合到原本的雲原生生態地圖中，成為其中一項子類別。</p> <p>CNCF在生態地圖中強調，WebAssembly的特性是一個安全的沙盒，可以提供一個輕量、快速、安全、跨語言、跨平臺的應用程式執行環境。這項技術快速成了雲原生技術的其中一項關鍵技術。</p> <p>Wasm的跨硬體環境、跨平臺和高效能計算能力，在這兩年爆紅的生成式AI浪潮中，也找到了新的應用場景，開始受到生成式AI開發社群和企業的重視。</p> <p>專門提供Wasm平臺服務的新創Fermyon技術長Radu Matie指出，許多AI開發者愛用容器技術來部署各式各樣的AI推論，就是希望能用更快的方式來回應模型推論的結果。但是，「容器化AI冷啟動最大的挑戰是，數GB的容器映像檔和LLM模型資料。」他強調。</p> <p>想要用GPU硬體來執行一隻AI推論程式，除了開發者自己的程式碼之外，還需要Nvidia的CUDA runtime，以及AI技術框架像是PyTorch、TensorFlow等函式庫，這樣的容器映像檔至少要4.8GB大小，再加上所用的LLM模型檔案大小可能高達10～50GB，想要建立一個容器化的AI推論應用，至少要15GB，也拖慢冷啟動的速度，往往需要30秒，甚至好幾分鐘，開發者多半得先啟動一隻AI推論服務來待命，這也限制了AI推論可部署和執行的模式。</p> <p>Radu Matie指出，若改用Wasm來封裝AI推論應用程式碼，只需要數MB檔案大小，而不需要數GB的容器映像檔，冷啟動速度可以大幅縮短到幾毫秒，也就千分之幾秒，可以切割出短暫的GPU算力，來提供「剛好即時（Just in time）」的AI推論回應。「不需要將GPU綁定到特定容器來待命，可以簡化和更善用GPU基礎架構的算力。」這正是吸引GAI開發者和相關技術專案開始嘗試Wasm的關鍵。</p> <p>甚至今年也出現了專門用Wasm打包的AI推論框架LlamaEdge，包括了一套10億參數量的Llama 2模型，檔案大小只有30ＭＢ，可以提供GPU原生應用執行速度，也能快速部署到Docker和K8s叢集中。 </p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>CNCF舉行首次Wasm大調查</strong></span></span></p> <p>CNCF在2023年底舉辦第一次的Wasm大調查，來了解開發者怎麼運用這項技術，調查了255位有Wasm實戰經驗的開發者。調查發現，Wasm應用範圍早已擴散到各類型的應用需求，不侷限於Web應用。6成開發用來打造Web應用，35%用於資料視覺化處理，也有3成2用於IoT環境，結合Wasm和AI應用的開發者也高達3成，這是最常見的四大類應用場景，也可以反映出Wasm技術目前最適合的四類場景。其他應用需求，像是遊戲、邊緣運算、加密、伺服器端服務也都有1～2成的採用比例。</p> <p>目前約有4成開發者高度願意繼續用於瀏覽器環境，而有2成6則願意用於非瀏覽器環境，不過，也有2成開發者擔心這項技術還在發展中，保持觀望態度，還沒決定未來是否要跟進採用。甚至有5~7％開發者更為謹慎，決定還沒有到可以採用的程度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1210-cover-3-600-1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-CNCF.png" style="width: 600px;" /></p> <p><span style="font-size:16px;"><strong><span style="color:#696969;">CNCF在2023年底公布首次Wasm大調查，顯示Wasm應用範圍已擴散到各類型的應用需求，6成開發者用來打造Web應用，35%用於資料視覺化處理，也有3成2用於IoT環境，結合Wasm和AI應用的開發者也高達3成。</span></strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／CNCF</span></span></p> <p>Wasm技術最吸引開發者的特色，包括了超快啟動速度，可以用於探索新應用，以及可跨專案共享程式碼、可提高JavaScript效能、滿足高運算任務的需求、可到處執行的二進位檔等等。這些都是吸引開發者，讓他們願意，甚至很想用的原因。</p> <p>開發者打造Wasm應用所用的開發語言排名，JavaScript理所當然是第一名，高達45%，幾乎有一半的Wasm應用採用了JavaScript，其次則是C#（31%）、C++（30%）、Python（29%）和Java（29%）。特別的是，用COBOL這個老牌語言來打造Wasm的開發者竟然也高達15%。超過34%的開發者在開發專案中開始採用WASI，另有34%開發者預計未來一年會採用。</p> <p>對於可以提供元件模式的WASI專案，多數Wasm開發者都知道這項專案，目前有34%的開發者正在用，也有3成預計未來一年會開始採用。吸引開發者採用WASI的主要原因，高達四成看上了WASI能讓Wasm程式碼具有可移動性（Portability），也能大幅簡化Wasm的部署。另外減少複雜度、提高WebAssembly原生能力和Runtime獨立性，都是WASI受到青睞的原因。目前WASI專案也計畫比照Wasm，申請成為W3C標準，正在提案討論過程中。Wasm開發者最期待WASI未來可以增加HTTP、IO/streams、SQL這三項能力。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1210-cover-3-600-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-CNCF.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1210-cover-3-600-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-CNCF.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><span style="font-size:16px;"><strong>根據CNCF在2023年底公布的Wasm大調查，開發者頭號痛點是除錯困難，像是現有除錯工具的支援還不夠，第二項困難是不同Runtime的效能差異很大，導致開發者得自行挑選適合自己應用場景的runtime，增加開發專案管理的複雜度。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／CNCF</span></p> <p>不過，從這次調查中，也可以看到目前Wasm開發的挑戰和相關工具還不夠成熟，有待發展之初。Wasm開發者最頭痛的三大困難，高達2成開發者認為除錯非常困難，像是現有除錯工具的支援還不夠或是得自己尋找除錯作法，第二項困難是不同Runtime的效能差異很大，這就導致開發者得自行挑選適合自己應用場景的runtime，或是針對不同場景採用不同的runtime，這也增加了開發專案管理的複雜度。第三個挑戰也是runtime的問題，高達15%的Wasm開發者認為現有Wasm runtime的開發者體驗落差太多，彼此的操作習慣，命令語法差異很大，得學習不同套的作法，提高了不少學習門檻和開發複雜度。其他開發挑戰還有像是，缺乏了更完整的工具、學習資源不足、特定瀏覽器有相容問題、需要不少程式碼客制等挑戰。</p> <p>這些困難都是Wasm目前技術發展的挑戰，也是相關Wasm工具鏈未來的機會。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>WASI小組加速發展元件模式，要讓不同語言的Wasm元件直接互動</strong></span></span></p> <p>Cosmonic技術長Bailey Hayes也是WASI小組共同主席。這位將Wasm推廣到瀏覽器以外世界的關鍵推手，在今年初KubeCon歐洲大會的演講中，她介紹了WASI最新的元件模式，目前是預覽第二版，也就是0.2版，吸引了雲原生社群的高度關注。這個WASI元件模式，可以讓不同開發語言所編譯的Wasm程式，有一套標準的輸入輸出方式，互相溝通，甚至放到同一個更大的Wasm元件中互動。舉例來說，用Go語言寫的Wasm元件，和用Rust語言寫的Wasm元件，有共同的標準輸入輸出方式，就像用同一種語言開發的元件一樣，甚至可以把這兩個元件，放入一個更大的Wasm元件中混用。這個元件模型，讓Wasm具備了跨各種語言的能力。</p> <p>Bailey Hayes指出，元件模式將會限制不同元件只能用標準輸入、輸出管道來確保安全性，但也可以在元件內部建立全域式變數和記憶體，用同一個runtime的跨元件間呼叫速度，甚至可以短到奈秒等級的超高速回應。她預告，新版WASI 0.2版草案標準即將完成，就會納入這個全新的元件模式。</p> <p>不只如此，WASI在0.2版中，也將開始支援網路能力，換句話說，Wasm元件不只是可以在單一應用環境中彼此溝通，未來也看好能與外部環境，甚至網際網路上的第三方應用元件相互溝通，有了網路溝通能力，也可以讓Wasm元件更適合用來打造一支支微服務程式碼，甚至建立一個全用Wasm元件組成的微服務架構。</p> <p>下一步，Bailey Hayes預告，WASI預覽第三版的0.3版，要進一步開始讓WASI支援原生的非同步能力，讓瀏覽器外的wasm元件，可以用非同步的方式，來彼此呼叫和協作，這是2025年接下來的發展重點。</p> <h3> </h3> <p><span style="font-size:20px;"><strong><span style="color:#3366ff;">後續報導請見：</span><a href="https://www.ithome.com.tw/news/166267" target="_blank"><span style="color:#3366ff;">WebAssembly生態圈有哪些重要專案？Wasm生態地圖重點剖析</span></a><span style="color:#3366ff;"> </span></strong></span></p> <p><a href="https://www.ithome.com.tw/article/166268" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(51, 102, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1210-feng_mian_p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=bh7pAHR_" style="width: 600px;" /></span></strong></span></a></p> </div></div></div>
2024/11/29 12:27作者王宏仁https://www.ithome.com.tw/news/166257
阿里巴巴釋出具備325億個參數的QwQ-32B-Preview模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>阿里巴巴的Qwen Team本周釋出了<a href="https://qwenlm.github.io/zh/blog/qwq-32b-preview/" target="_blank">QwQ-32B-Preview</a>，這是一個具備325億個參數，脈絡長度為32,768個Token，強調推論能力的實驗性研究模型，在AIME及MATH-500等數學能力基準測試上的表現，勝過了OpenAI的o1-preview，在程式生成及解決程式設計問題的LiveCodeBench測試上亦有出色的表現。開發人員已可透過Hugging Face<a href="https://huggingface.co/Qwen/QwQ-32B-Preview" target="_blank">存取</a>該模型。</p> <p>Qwen團隊指出，藉由深入探索及無數試驗，發現當模型有足夠的時間思考、質疑及反射時，它對數學與程式碼的理解就會深化，這種細致的反思與自我質疑的過程，令模型能夠取得解決複雜問題的突破性進展，並在許多測試上取得卓越的成績，像是評測高階科學問題解決能力的GPQA，涵蓋算數、代數、幾何與概率等中學數學的AIME，包含500個測試樣本的MATH-500，以及實際生成程式碼的LiveCodeBench。</p> <p>QwQ-32B-Preview在AIME與MATH-500的測試成績分別達到50與90，超越OpenAI o1-preview的44.6及85.5，而它在GPQA及LiveCodeBench的成績則是65.2及50，低於o1-preview的72.3及53.6。</p> <p>不過，QwQ-32B-Preview模型目前仍有許多問題，包括它可能會在回答中使用不同的語言，影響表達的連異性；在處理複雜的邏輯問題時，偶爾會落入無盡的循環；可能產生不恰當或具偏見的回答；除了數學及程式碼之外，它在其它領域仍有進步空間。</p> <p>此外，根據TechCrunch的<a href="https://techcrunch.com/2024/11/27/alibaba-releases-an-open-challenger-to-openais-o1-reasoning-model/" target="_blank">報導</a>，由於這是中國製的模型，因此已自行內建各種符合該國政策的審核機制，例如它不會回應針對天安門事件的詢問，還說臺灣是中國不可分割的一部分。先前TechCrunch也曾<a href="https://techcrunch.com/2024/07/24/a-new-chinese-video-generating-model-appears-to-be-censoring-politically-sensitive-topics/" target="_blank">發現</a>，由中國快手所建置的影片生成模型Kling，也會拒絕生成有關中國國家主席習近平的影片。</p> </div></div></div>
2024/11/29 12:32作者陳曉莉https://www.ithome.com.tw/news/166274
Google Gemini App開放Workspace企業及教育用戶下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://workspaceupdates.googleblog.com/2024/11/now-available-gemini-mobile-app-for-workspace-users.html" target="_blank">宣布</a>，Gemini Android及iOS版獨立應用程式已提供Workspace用戶下載，在行動裝置上作業更方便。</p> <p>Gemini App讓用戶可存取Workspace中的核心Gemini服務（core service）。利用App，企業用戶可在行動期間查詢資訊、研究，或利用手機拍攝手寫筆記、再匯入到Google Docs或Gmail，或將白板上的圖表轉成數位圖表。在App上的資料處理和傳輸，也都能獲得Workspace的資料保護。</p> <p>Google同時宣布手機版App擴大部署到教育方案用戶，可以核心或附加服務存取Gemini。用戶必須以企業和教育版帳號登入使用。</p> <p>Gemini App目前已支援150多國家地區及語言。但是部分Web版Workspace服務目前還未部署到Gemini App上，包括Workspace外掛、檔案上傳和客製化個人助理Gemini。Google日前再為Gemini加入超過13種檔案類型的支援，包括TXT、DOC、DOCX、PDF、XLSX及Google Sheets與Docs，最多一次可上傳10個檔案，每個檔案最大100MB。</p> <p>iOS版Google App並不支援以Google Workspace帳號驗證，因此想用Workspace帳號驗證的iOS用戶必須下載Gemini App。而在Android版Gemini App方面，目前尚不支援Work Profile。</p> <p>這次變更對以附加服務存取Gemini App的Workspace用戶不會有影響，他們可以持續存取Gemini App。</p> </div></div></div>
2024/11/29 10:26作者林妍溱https://www.ithome.com.tw/news/166271
零售IT雙周報第46期：統一資訊在小七門市推出程序化數位戶外廣告服務，拓展RMN生意同時吸引過客入店
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(1117~1130)</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#RMN #RTB #pDOOH</span></strong></span></p> <p><strong>統一RMN通路再加一，小七門市開始提供程序化數位戶外廣告服務</strong><strong>，行銷對象從店內顧客轉為為店外過客</strong></p> <p>統一資訊和Martech廠商TenMax合作，在統一超商門市架設數位看板，提供pDOOH（程序化數位戶外廣告）聯播網服務。廣告主可根據特定時間、地點、天氣、人流等數據，來選擇廣告投放時間地點。此服務支援即時競價和即時數據優化。此系統與統一集團既有的Presco RMN系統定位不同。Presco是針對店內消費者行銷，pDDOH則是透過面對店外的數位廣告看板，鎖定門市外過路消費者，期望同時達到溝通行銷訊息，以及吸引過客進店購物兩個目的。</p> <p>此服務透過總部線上系統統一管理廣告競標及投放，無須從各個門市端設定。每個廣告上線前都會即時競價，並依照廣告主設定的CPM預算上限、當下有哪些品牌正在競價、選擇的門市及時段，來廣告價格。</p> <p>廣告系統還有整合統一資訊的商家檔案智慧管理系統，廣告主可以用來檢視門市細緻數據，來調整投放組合。</p> <p>pDOOH螢幕上設有鏡頭，會追蹤並整合人流數據到廣告系統。統一資訊強調，系統僅會進行人流分析、不會辨識人臉，也不會與 POS 串接。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#視覺辨識 #OMO零售 #LBS</span></strong></p> <p><strong>Google Lens開始支援線下商店的商品搜尋，還可以即時跟附近商家比價</strong></p> <p><a href="https://blog.google/products/shopping/google-maps-lens-holiday-shopping/">Google圖像搜尋服務Google Lens開始支援更多線下購物的搜尋情境</a>。現在上傳實體門市中的商品照片，就能查詢商品資訊、類似商品的存貨情況、附近商家同款商品的比價，以及其他消費者評論。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gles.png" style="height: 506px;" /></p> <p>這與他們日前在Google Maps上新增的功能類似，差別是進一步搭配了AI圖像辨識技術。背後數據包含彙集450億件商品的Shopping Graph數據集、不同零售業者的存貨數據，以及使用者精確定位數據。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自動化倉儲 #ASRS #DWS #DAS</span></strong></span></p> <p><strong>Momo南區物流中心亮相，每日商品吞吐量達16萬件商品</strong></p> <p>Momo正式啟用位在臺南的南區儲配運輸物流中心，層級等同於桃園的北區物流中心，在主倉、衛星倉、衛星站之上。<a href="https://www.ithome.com.tw/news/166125">啟用當日，他們也揭露了智慧物流設備及流程。</a></p> <p>進貨階段，小尺寸商品會經過DWS（體積重測量系統）測量尺寸及重量，透過跨樓層的螺旋輸送機，送至倉儲存放。大尺寸商品則會堆疊在棧板上，透過快速棧板升降機，送進不同樓層的AS/RS（自動倉儲系統）儲存。</p> <p>揀貨階段，DAS（自動分貨系統）會從棧板式及穿梭式兩種AS/RS系統取出貨物，並用系統控制燈號來提示揀貨人員，將同一訂單商品快速放到同一物流箱給分裝人員。分裝完，空箱會由機械手臂堆疊，以利後續回收。商品則會透過輸送帶運回理貨、出貨區。由每小時能掃描7,500個紙箱上QR Code的感應門，依據訂單資訊，將商品導流到14條輸送帶上，由工作人員理貨、載貨上車。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自動化物流 #彈性包材尺寸 #環保包材</span></strong></span></p> <p><strong>Amazon如何改造物流中心，支援全紙質包材</strong></p> <p><a href="https://www.aboutamazon.com/news/sustainability/amazon-fulfillment-center-eliminates-plastic-packaging">Amazon宣布，已經成功將首間大型物流中心完全改造成支援0塑膠包材，全面利用紙質材料來包貨。</a>他們改造了既有設備，也打造了新型設備，來從塑膠和紙質包材混合的模式轉變為全紙質包材，同時降低紙質包材用量、強化易回收性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amaz.jpg" style="width: 600px;" /></p> <p>首先，他們改造了原本用塑膠袋來包裝小件商品貨的機器，增加了感應器，串聯到機器學習模型，來辨認衣物、廚具、運動用品等商品的尺寸及適合的紙質包材。接著，就會裁切出適當尺寸的可熱封紙，來打包商品。這種包裝方法所耗費的包材，最多會比固定尺寸的瓦楞紙箱輕上9成。這種可熱封紙，也是Amazon內部自行開發出的材料。</p> <p>他們還打造了新型包貨用機器，同樣能即時測量商品尺寸，並用輕型瓦楞紙來製作適當大小的紙箱。此機器在所有可以彈性調整包材大小的自動包貨機中，支援尺寸範圍最廣。另外，當易碎商品需要用緩衝時，他們改用紙質填充物來取代塑膠泡泡紙。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自動化物流 #短鏈物流 #訂單履行 #BOPIS</span></strong></span></p> <p><strong>Walmart訂單履行自動化幅度較去年增加1倍，降低40%物流成本</strong></p> <p><a href="https://seekingalpha.com/article/4738715-walmart-inc-wmt-q3-2025-earnings-call-transcript">近日法說會中，Walmart CFO John David Rainey表示</a>，自家訂單履行中心已有5成作業能自動化，幅度是去年同時的兩倍。這大幅降低了他們在美國的物流成本，平均訂單成本減少了4成。</p> <p>除了大力擁抱自動化物流，Walmart也積極布局以門市為履行中心的短鏈物流，利用AI物流平臺來優化訂單履行不同環節，並計算出每家分店的訂單履行能力，來最大化從門市出貨的服務範圍。他們還開始加大門市空間中，用來支援實體門市出貨及BOPIS（線上下單線下取貨）等電商功能的面積。截至11月底，Walmart由門市直接履行的電商訂單總數較去年多出了2成。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#百貨公司 #生成式AI #個人化推薦</span></strong></span></p> <p><strong>連鎖服飾百貨Nordstrom用生成式AI來強化搜尋及個人化時尚推薦功能</strong></p> <p><a href="https://www.prnewswire.com/news-releases/wonder-all-the-way-with-nordstrom-this-holiday-season-302302089.html">在美國有數百家分館的服飾百貨Nordstrom用生成式AI來強化會員App功能。</a>首先是搜尋功能，使用者可以用自然語言來描述商品，而不用根據商品名稱或關鍵字來搜尋。這對於商品取名規律較發散的服飾業來說，尤其重要。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/nordst.png" style="width: 600px;" /></p> <p>另外一個功能是個人化時尚商品推薦，由生成式AI結合Nordstrom造型師設計、時尚趨勢及個人消費紀錄等數據，來推薦使用者同時符合流行及自身喜好的商品。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態</span></strong></span></p> <p>1. <a href="https://walmartrealm.com/?trk=public_post-text#/viewer/mountain/chalet">Walmart自家沉浸式電商體驗Walmart Realm因應聖誕季增加了AR體驗、展示空間跟遊戲</a></p> <p>2. <a href="https://www.prnewswire.com/news-releases/kroger-celebrates-the-joy-of-connecting-with-food-this-holiday-season-302303572.html">大型連鎖超市Kroger在串流平臺的經典聖誕電影中加入QR Code，讓消費者可以購買劇中料理所需食材</a></p> <p>3. <a href="https://www.ithome.com.tw/news/166151">純線上旅遊電商如何應用Martech月賺千萬，還靠自建追蹤碼歸因行銷成效</a></p> <p>4. <a href="https://www.ithome.com.tw/news/166150">臺灣外送龍頭如何靠外送特色打造零售媒體聯播網服務</a></p> <p>資料來源：iThome整理，2024年11月</p> <p>責任編輯：郭又華</p> <p>圖片來源：統一資訊、Google、Amazon、Nordstrom</p> <p></p> </div></div></div>
2024/11/29 10:08作者郭又華https://www.ithome.com.tw/news/166270
Google推開發者計畫Premium會員，供開發者付費取得額外資源與服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google針對其開發者計畫（Google Developer Program）推出<a href="https://developers.googleblog.com/en/introducing-the-google-developer-program-premium/">Premium付費會員服務</a>，目的是提供更全面的資源和個人化支援，進一步協助開發者推進專案開發、學習與部署。該付費計畫是建立在原有免費的計畫基礎上，並新增額外的工具和服務，進一步鞏固自家開發者生態系。</p> <p>Google在今年I/O大會發布免費開發者計畫，開放全球開發者加入，提供基本技術支援服務，像是技術文件中的Gemini人工智慧助理、Cloud Learning點數和專案工具的使用。該計畫已經吸引了數百萬開發者參與。</p> <p>而Premium付費會員，則進一步擴展原計畫的服務範圍，新增多項專屬資源，例如每年提供500美元的Google雲端點數，支援開發者啟動新專案並試驗新技術，並在開發者每年取得第一個Google雲端認證之後，再額外提供500美元點數。</p> <p>另外，Premium會員還包括無限制存取Google Cloud Skills Boost平臺上700項互動實驗和課程，供開發者學習和掌握新技術，同時，該服務還提供一對一專家諮詢，讓會員能夠針對特定專案需求獲得個人化建議。會員可以透過新增的福利儀表板（Benefits Dashboard），集中管理新功能。</p> <p>Google表示，Premium付費會員是根據Cloud Innovators Plus計畫的成功經驗，進一步整合並改進Google開發者生態系，提供開發者更多支援與工具。</p> </div></div></div>
2024/11/29 08:23作者李建興https://www.ithome.com.tw/news/166265
傳統水泥廠也能轉型智慧工廠，亞東預拌用IT革新生產流程
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一聯想水泥廠，多數人仍停留在3K（危險、辛苦、骯髒）的刻板印象，殊不知，臺灣本土一家混擬土製造商早已開始透過數位化工具、AI技術，對傳統水泥生產流程進行全面革新，推動工廠朝向更加數位化、智慧化的目標邁進。</p> <p>這一場數位科技革新，約自4年前展開，「我們不再只是傳統製造業，而要變成科技數位化產業，將傳統工廠轉型成智慧工廠。」亞東預拌混凝土公司資訊處副理潘誼聰這樣說道。</p> <p>亞東預拌混凝土公司（以下稱亞東預拌）前身是亞洲水泥的水泥製品廠，隨著營運規模擴大，在1999年自公司分割成立，專門生產預拌混凝土及水泥製品。目前，亞東預拌工廠遍布臺灣和越南，共有20多間廠，每年出貨量更超過500多萬立方米。隨著工廠增加、營運規模壯大，亞東預拌對於IT重視日益提升，期望透過數位科技提升生產效率並確保品質穩定。</p> <p>潘誼聰表示，混凝土產線有項獨特的時限考驗，從原料車進廠、將桶裝原料攪拌至車上，再由成品車出工廠，過程不能超過30分鐘，每一個環節都得把關物料品質，如果未能落實即時管控，一旦發生問題，就可能造成損失，甚至面臨出貨違約的罰款。</p> <p>亞東預拌很早就展開數位化，自有一套IT作法，來協助整個混凝土出貨。內部許多作業流程也陸續改用e化方式處理，例如導入進銷存系統、公文簽核系統、郵件系統、車輛排班刷卡系統等，持續沿用了很多年。然而，隨著工廠數量增加及公司規模成長，舊有的系統漸漸無法滿足公司營運發展的需求，必須全面升級甚至翻新。</p> <p>潘誼聰回憶，剛加入亞東預拌時，他大膽提出數位改革計畫，一口氣提出比以往多十倍的IT預算，近2千萬元，當時他擔心預算過高可能遭刪減和質疑，可是，最後順利通過預算，一毛都沒有少。「正因為亞東預拌高度重視IT改革，願意放手讓我推動這場資訊大轉型」他說。</p> <p>潘誼聰推動改革第一步，導入伺服器虛擬化技術，集中整併IT資源。資訊團隊花了3個月多完成10多套系統的虛擬化，包含銷售系統、發貨系統、薪工系統、物料系統等核心系統，來大幅優化IT運作效率並降低管理複雜度。</p> <p>同一時間，潘誼聰更以私有雲為基礎來打造新的IT架構，以滿足未來營運發展所需。他提到，私有雲的優勢是，可以根據需求彈性調度資源，例如每月結帳高峰期可優先分配更多資源給銷售系統使用，平日時則回收資源供其他系統運用。此外，若有臺機器發生故障，也可以透過動態遷移機制，迅速將負載轉移到私有雲中的其他機器，確保系統穩定運作。</p> <p>潘誼聰以下水道工程來比喻，沒有穩固地基，就無法建造大樓，「IT改革的過程，如同挖地基、下水道工程，是支撐未來發展的關鍵基礎。」而私有雲、虛擬化的導入，正是用來建造亞東預拌IT下水道工程的重要基底。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>用eTag標籤偵測預拌車的進出，作為排班依據</strong></span></span></p> <p>不只翻新IT架構，潘誼聰也著手優化內部生產作業環節。他上任後優先導入新一代排班系統，改用eTag感應標籤偵測預拌車的進出，取代過去排班刷卡的做法，進一步優化排班作業流程。</p> <p>eTag這項技術來自遠東集團旗下另一子公司遠通電收，在國道全線電子收費系統所採用的感測裝置。車輛只要安裝了eTag卡，通過eTag感應門架時，就能夠自動記錄車輛資訊，供計算通行費使用。亞東預拌IT部門與遠通電收合作，將這套技術延伸至排班作業，作為車輛調度的重要參考依據。</p> <p>潘誼聰表示，eTag最大好處在於，解決了過去刷卡流程導致的進出車流堵塞問題。過去排貨人員需下車刷卡，車輛數量一多便容易造成排隊與與延誤。改用新機制後，預拌車只需經過感應區域，eTag便可自動記錄進場順序及車牌號碼，不僅減少塞車情況，也能有效落實先進先出（FIFO）原則，進一步提升進出場流程的順暢度，確保產能穩定。</p> <p>亞東預拌在2017年開始導入eTag排班系統，潘誼聰採取漸進式的導入策略，先以高雄仁武新廠作為示範場，待系統運作穩定後，再逐步推廣至其他廠區。這項技術後來更擴大到更多作業場景，像是車輛下料檢核、過磅檢核流程，透過自動感應提升作業效率與準確性，方便調度中心人員迅速判斷車輛載重和運送配方是否正確。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1210-CIO-%E6%8A%BD%E8%A8%80-600.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>積極推動數位轉型，更訂定5年轉型方針</strong></span></span></p> <p>在2020年，亞東預拌高層做了一個重要決定，決定展開數位轉型，訂定了5年數位轉型方針，要徹底改變混凝土產業的營運模式，並透過數位科技革新，強化資訊安全與員工安全，有效提升整體營運效率和產品品質。</p> <p>亞東預拌數位轉型第一步，先在工廠中部署了大量IoT感測器和智慧電表，持續蒐集能耗、溫濕度和空氣品質等數據，並整合到戰情室儀表板上進行即時監控。為了分析各項營運數據，資訊部門於2022年導入BI商業智慧系統進行資料分析與商業分析，並建置EIS營運管理系統，納入國內20個廠及越南2個廠的經營績效進行管控。透過此系統，管理階層能即時查看各廠的生產資訊，包括當前產量、實際出貨量及預計出貨量，也能結合歷史資料，呈現依據不同時間區間的營運成果分析，例如年度、季度或去年同期的比較等，作為高層決策的參考依據。</p> <p>在品質管理上，亞東預拌不僅設立實驗中心，負責檢驗每批原料的品質，還開發出了一款專用App，便於記錄和追蹤原料的品質，進而提升作業效率與準確性。</p> <p>潘誼聰表示，過去，品管資訊先用紙本記錄，再輸入電腦，常因紙張髒污導致資訊模糊不清。如今，品管人員用App可以快速完成品質記錄，有助於掌握各項原料的入料狀況與庫存品質，並能統整分析檢驗數據，若發現問題，還能迅速追溯並識別出有問題的原料。</p> <p>不只用App記錄原料品質，亞東預拌在生產過程中也部署大量IoT感測器，用於蒐集生產數據，包括生產狀況與環境參數等資訊，以提升品質穩定性，甚至在2023年開始結合AI技術進行品質監控，透過數據分析與即時反饋，進一步優化生產流程與成品品質。</p> <p>為了讓IT部門能更專注於數位化推展，亞東預拌在2018進行IT組織調整，將原隸屬於財務處的資訊科獨立出來，升格為資訊處，滿足更多工廠轉型、營運發展需求。</p> <p>亞東預拌的IT部門雖僅有5人，卻需支援全臺20多個工廠的生產穩定運作，如何升作業效率是關鍵。潘誼聰擔任資訊主管後，先對總公司與各廠之間的網路專線進行全面升級，不僅汰換老舊專線，還將傳輸速度從2Mbps提升至百Mbps，使各廠的資料能快速回傳總公司，為往後更多轉型計畫奠定基礎。</p> <p>IT團隊也利用這個專線快速連線至各廠，遠端協助排除問題，並定期將各廠資訊設備的運作狀況回傳至總公司，一有異常就會通知相關人員處理，確保生產順暢。亞東預拌在每一個廠都有一套發貨系統，沿用多年，他上任後也一併汰換，改新系統取代。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>讓各部門自行開發RPA解決各自流程痛點</strong></span></span></p> <p>數位轉型第3年，亞東預拌導入RPA機器人流程自動化服務，將流程中重複的人工作業場景進行自動化，迄今已累積完成50多支RPA，其中17支RPA已推行到各廠，涵蓋外部環境、競爭者分析、財務報表、營運管理、銷售訂單、應收帳款、區廠損益成本分析、職安、行銷、人力資源、品質管理等項目。</p> <p>與一般企業通常由資訊部門主導開發RPA不同，亞東預拌採取了不同的策略，由IT部門提供工具，讓各單位能自行開發RPA。為此，亞東預拌不僅開設課程教導各部門如何開發RPA，還每年舉辦內部競賽，鼓勵員工發揮創意，找出業務或流程中的痛點，再由內部專家小組進行評選，選出最具實用性的應用，優先推行至各工廠。例如，有部門利用RPA解決每日廢棄物申報的問題，或是即時發送各區天氣狀況的通知，幫助工廠預防雨天對生產品質的影響。</p> <p>自RPA導入以來，為亞東預拌帶來不少效益，不僅年省5.4萬小時的工時，也替公司節省了近三千萬元的人事費用。</p> <p>亞東預拌的永續目標是朝向2030年碳減半、2050年零碳排目標邁進。亞東預拌早早透過IoT技術、智慧電表持續蒐集能耗、各項動力成本和用水數據，加強內部碳排放數據的蒐集和管理，也利用品質管理App記錄每批混凝土供應所產生的碳排放數據，用於範疇三供應鏈碳追蹤和管理。此外，自2021起先後取得ISO 14064組織型溫室氣體盤查、ISO 14067碳足跡和ISO 14046水足跡查證，成為國內首家通過BS 8001循環經濟查核的預拌混凝土企業。</p> <p>亞東預拌接下來將推動數位和永續雙軸轉型，更擬訂未來三年九大數位轉型方案，目標是在2024年走向AI數位執行階段、2025年進入數位優化與推廣階段、2026年進入數位大師階段。</p> <p>亞東預拌去年開始導入生成式AI技術，並開發出財務專用客服機器人，讓高層管理者可以用自然語言方式詢問營運上的相關問題，例如這個廠現在產量多少，或過去這個月某一天哪個廠產能表現最好等，幫助管理者快速了解各廠的營收、產能狀況等。他表示，未來將持續優化AI生成式語言模型架構，增加數據分析能力，提高營運績效。</p> <p>亞東預拌還計畫透過增強式AI演算法，發展智慧化生產計畫排程及運輸排程，未來也將AI應用於職安領域，結合無人機和AI影像辨識技術，即時偵測設備的銹蝕、污染和危險行為，進一步提升安全管控。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>亞東預拌混凝土公司資訊處副理潘誼聰</strong></p> <p>學歷：逢甲大學資訊工程碩士</p> <p>經歷：在上市櫃公司擔任IT主管多年，曾擔任過花仙子資訊副理、泰詠電子資訊課長、山富國際旅行社資訊經理，也具備有在供應商、客戶端等多方歷練，2016年進到亞東預拌混凝土公司擔任資訊主管，負責協助公司推動數位轉型，邁向智慧工廠</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1210-CIO-300.jpg" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>亞東預拌混凝土公司</strong></p> <p>地址：新北市汐止區大同路一段139號</p> <p>網址：<a href="http://www.yatung.com.tw">www.yatung.com.tw</a></p> <p>成立時間：1999年</p> <p>主要業務：水泥及混凝土製品生產</p> <p>員工數：500人</p> <p>董事長：李坤炎</p> <p>總經理：金崇仁</p> <p>資本額： 20億元</p> <p>年營收：約140億元（2023年）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：副理</p> <p>資訊部門主管姓名：潘誼聰</p> <p>資訊部門名稱：資訊處</p> <p>資訊部門人數：5人</p> <p>每年IT預算：2仟萬元</p> <p>資訊部門分工：系統維運、程式開發設計</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2016年：開始導入私有雲、資訊系統全面虛擬化</p> <p>●2017年：導入Exchange Server取代Lotus Notes Mail、導入郵件備份Mailbase</p> <p>●2018年：導入新人類公文簽核系統、導入電子發票系統</p> <p>●2020年：導入eTag排班系統，取代刷卡排班系統、建置IoT智慧能源管理系統、IoT溫溼度監控系統、空氣品質監測系統</p> <p>●2022年：導入商業智慧BI、導入品質管理App</p> <p>●2023年：ISO 27001 ISMS資訊安全管理系統上線、導入機器人流程自動化RPA、自行建置LLM高階管理專用財務客服機械人</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1210-cio-960.jpg" width="960" height="420" alt="" title="亞東預拌混凝土公司資訊處副理潘誼聰" /></div></div></div>
2024/11/29 06:00作者余至浩https://www.ithome.com.tw/people/166244
醫療科技新創AlleyPin專攻醫病整合系統，下一步考慮生成式AI優化回診追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今（11/28）醫療科技新創AlleyPin揭產品布局，他們專攻雲端醫病管理服務，其下3支主力產品包括整合預約和回診追蹤的醫病關係管理系統（PRM）、供病患線上掛號和預約諮詢的醫病媒合平臺，以及幫助院所經營品牌的醫療品牌顧問服務。其中，全臺已有1,200多家診所採用其系統，涵蓋牙醫、西醫、中醫和醫美等科別，今年9月也進軍日本，目前已有20家診所採用。接下來，他們也考慮用Google雲端平臺既有的生成式AI資源，來優化其下產品。</p> <p><span style="font-size:22px;"><strong>2017年起家，瞄準診所數位化管理痛點推3款產品</strong></span></p> <p>AlleyPin共同創辦人暨執行長周翊軒指出，團隊在2017年成立，2019年推出首支產品，是針對牙醫診所的Line客戶管理管理（CRM）服務，隔年則推出協助院所經營的醫療品牌顧問服務。</p> <p>2021年則是一大分水嶺，產品從牙醫擴展到其他科別，如醫美、中醫、西醫等，並針對全科別診所推出PRM服務1.Talk醫點通，客戶數也成長至500多家院所。2022年則推出數位醫病媒合平臺PinMed，目前已有5,000多位醫師在該平臺上架，至今也共有1,200多家診所使用他們的服務，占全臺診所約5%。</p> <p>AlleyPin共同創辦人暨營運長羅偉誠進一步說明，他們的產品以病人旅程為基礎，鎖定了看診前、看診中和看診後等三大流程，要來解決診所數位化管理和經營痛點。比如，他們的醫病媒合平臺今年整合Google地圖預約功能，民眾在看診前、透過地圖搜尋診所時，就能直接預約合作診所，該資訊也會與診所HIS同步串聯。</p> <p>再來，他們的醫病媒合平臺也結合Line提供線上約診功能，就算診所休診也能預約、掛號。民眾看診前，平臺也會發送提醒，並將看診與否的資訊同步到HIS中。</p> <p>到了看診階段，系統還整合Google商家評論，方便民眾直接評價，也利於診所好評累積。</p> <p>看診後，PRM服務還提供貼標分群、分眾管理功能，來讓診所掌握客群輪廓。此外，該服務也能結合Line，可發送個人化衛教資訊和回診提醒，如洗牙、領慢箋、疫苗注射等都包括在內，可增加回診率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6424.JPG" /></p> <p>內湖一家家醫科診所新明診所院長謝天仁在現場指出，使用系統服務2年多來，大幅提高回診率，也節省護理師大量的人工作業成本。尤其，以往每個月底，護理師都得查看HIS、找出慢性病人回診的名單，再一一打電話提醒，人數大約是400人，非常耗時耗力，回診率也不算好。</p> <p>但透過系統自動比對、發送提醒，將回診率從6成提高至9成，省下用簡訊、電話提醒3、400位患者的成本。</p> <p>他也分享，診所營業數年，Google評價一直只有60多條，但透過新服務介接評價，至今累積了982條，大多為正面評價，提供診所醫師正向回饋。</p> <p><span style="font-size:22px;"><strong>今年擴展到日本要整合在地EMR系統、電子處方箋和旅日臺人病歷資料</strong></span></p> <p>周翊軒透露，今年，AlleyPin獲得的A輪資金挹注，運用於3大方向發展。首先是海外拓展，他們以日本為海外第一站，因為日本醫療模式與臺灣相似，尤其日本有全民健保，需顧及健保與自費患者，與臺灣相似；再加上文化、地緣共通性，都習慣使用Line、Google地圖，產品調整門檻低。</p> <p>今年9月，他們也在日本成立子公司，並在11月獲得20家日本診所採用，還有50家正在洽談和試用，科別涵蓋牙科、內科、美容醫學、皮膚科等。</p> <p>另一個要發展的方向是強化對日產品研發，比如要將系統整合至日本診所的電子病歷系統。周翊軒解釋，日本約有50多家醫事管理系統廠商，大都具備標準化API，其生態圈模式已相當成熟，預計AlleyPin明年第一季可支援導入日本2萬6千多家診所。再來，他們也將產品連動電子處方箋，來提高領藥便利性。因為日本看診後，主要由院外藥局負責配藥，而透過電子處方箋連動，診所可在患者看診後，自動通知指定藥局來配藥，加速作業。另外，AlleyPin還要整合旅日臺人病歷系統資料，只要病人授權，未來在日本就醫時，就能同步查看病歷資料，提供更好的就醫體驗。</p> <p>第3個AlleyPin要發展的方向，則是組建日本團隊，來協助產品開發和行銷，滿足在地診所需求。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6418.JPG" /></p> <p>由於產品本身以Google雲平臺開發，羅偉誠也補充，他們正觀察Google生成式AI和一般AI的應用場景，未來可能用來優化回診追蹤，透過生成式AI提供更暖心的內容。又或是用AI來處理複雜的預約排班行程，來簡化診所作業。</p> <p></p> </div></div></div>
2024/11/28 19:17作者王若樸https://www.ithome.com.tw/news/166266
檔案共享伺服器ProjectSend存在重大漏洞，已被用於實際攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週資安業者VulnCheck針對<a href="https://vulncheck.com/blog/projectsend-exploited-itw">檔案共享平臺ProjectSend重大漏洞CVE-2024-11680提出警告</a>，並指出該漏洞雖然前幾天才正式登記CVE編號，但其實是去年就被發現、修補，而且，已有駭客將其用於攻擊行動。</p> <p>ProjectSend是開源檔案共享應用程式，該專案在GitHub得到1,500顆星，根據Censys威脅情報平臺的分析資料，全球約有超過4千套ProjectSend系統。但資安業者VulnCheck發現，大部分的伺服器仍在執行存在漏洞的舊版ProjectSend。</p> <p>為何會如此？原因可能與這項漏洞遲遲沒有登記CVE編號，開發團隊也並未發布相關資訊有關。這項漏洞起因是身分驗證不當，攻擊者可在未經身分驗證的情況下，向options.php發送偽造的HTTP請求，從而遠端觸發漏洞，一旦成功，攻擊者就能竄改應用程式組態、建立帳號、上傳Web Shell，或是嵌入惡意JavaScript指令碼，CVSS風險評為9.8，開發團隊發布r1720版修補。</p> <p>該漏洞最早是資安業者Synactiv去年1月通報，<a href="https://github.com/projectsend/projectsend/commit/193367d937b1a59ed5b68dd4e60bd53317473744">開發團隊5月嘗試修補</a>，到了今年7月，<a href="https://www.synacktiv.com/sites/default/files/2024-07/synacktiv-projectsend-multiple-vulnerabilities.pdf">Synactiv公開對這項漏洞提出警告</a>，開發團隊8月才正式提供修補程式。</p> <p>值得留意的是，到11月26日VulnCheck登記CVE編號之前，已有ProjectDiscovery、Rapid7兩家資安業者，將這項弱點的規則加入弱點掃描工具<a href="https://github.com/projectdiscovery/nuclei-templates/blob/main/http/vulnerabilities/projectsend-auth-bypass.yaml">Nuclei</a>、滲透測試工具<a href="https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/linux/http/projectsend_unauth_rce.rb">Metasploit</a>，而這樣的情況，使得攻擊者想要透過濫用這些工具鑽漏洞，變得更加容易。</p> <p>對於漏洞出現實際攻擊行動的情況，VulnCheck留意到從網際網路存取的ProjectSend伺服器約有208臺，自9月開始遭到竄改，入口網站的標題變成一長串的隨機字串，而這些字串的規則，正好與Nuclei與Metasploit加入的漏洞測試規則雷同，換言之，攻擊者很可能利用這些規則竄改伺服器。</p> <p>研究人員使用GreyNoise的威脅分析平臺進行搜尋，結果發現122個攻擊來源IP位址，大部分來自德國，但也有愛爾蘭、英國、澳洲、日本。這樣的情況，代表可能有多組人馬試圖利用漏洞。</p> <p>他們看到攻擊者一旦成功利用漏洞，就會接著啟動使用者註冊功能，從而取得特殊權限。此外，攻擊者很可能在網站根目錄（webroot）上傳Web Shell的情況。</p> <p>但在此同時，鮮少有ProjectSend伺服器完成更新。研究人員指出，僅有1%左右執行r1750版，採用2022年10月推出的r1605，佔了55%，而其餘（44%）執行去年4月發布的版本（未公布版號）。考慮到尚未修補的情況非常嚴重，研究人員推測，攻擊者很可能已經準備大肆對這種伺服器展開攻擊。</p> </div></div></div>
2024/11/28 17:15作者周峻佑https://www.ithome.com.tw/news/166258
【資安日報】11月28日，第一款針對Linux主機的UEFI Bootkit現身
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>埋藏在UEFI韌體的惡意啟動工具UEFI Bootkit相當神秘，攻擊者藉此隱匿行蹤，並能從開機階段就挾持整臺電腦，讓執行於作業系統之上的防護機制失效，這樣的情況最近有了新的變化。</p> <p>本週資安業者ESET揭露新的惡意啟動工具Bootkitty，並指出雖然這支程式很可能仍在開發階段，但是第一個專門針對Linux作業系統的UEFI Bootkit，後續發展相當值得留意。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166255"><strong style="font-size: 22px;">研究人員揭露名為Bootkitty的惡意UEFI Bootkit，專門鎖定Linux主機而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Bootkitty-figure-6-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Bootkitty-figure-6-1.png" style="width: 300px; float: right;" /></a></p> <p>最近幾年，駭客針對UEFI開機系統打造惡意啟動工具（UEFI Bootkit）的情況，約自2020年開始已有數起事故傳出，攻擊者利用這種工具竄改電腦的安全啟動機制，從而突破Windows作業系統的安全防護，甚至是停用防毒軟體與EDR系統。但如今，這類工具也出現專門針對Linux作業系統下手的情形。</p> <p>資安業者ESET指出，他們近期看到有人在VirusTotal上傳未知的UEFI應用程式，檔名是bootkit.efi，經過分析確認是惡意UEFI啟動工具，研究人員將其命名為Bootkitty，並指出與過往同類工具最大的不同，在於它是針對Ubuntu作業系統特定版本而開發。</p> <p>根據分析結果，研究人員認為Bootkitty很可能在早期開發階段，只是進行概念性驗證（PoC），而非積極活動的駭客用來作案的工具，僅管可能沒有實際的危害能力，但這代表執行Linux的電腦又多了一個可被侵入的管道，並顯示攻擊者正積極鎖定這類電腦開發相關工具。</p> <p><a href="https://www.ithome.com.tw/news/166258"><strong style="font-size: 22px;">檔案共享伺服器ProjectSend存在重大漏洞，已被用於實際攻擊行動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/shodan-victims.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/shodan-victims.png" style="width: 300px; float: right;" /></a></p> <p>本週資安業者VulnCheck針對檔案共享平臺ProjectSend重大漏洞CVE-2024-11680提出警告，並指出該漏洞雖然前幾天才正式登記CVE編號，但其實是去年就被發現、修補，而且，已有駭客將其用於攻擊行動。</p> <p>ProjectSend是開源檔案共享應用程式，該專案在GitHub得到1,500顆星，根據Censys威脅情報平臺的分析資料，全球約有超過4千套ProjectSend系統。但資安業者VulnCheck發現，大部分的伺服器仍在執行存在漏洞的舊版ProjectSend。</p> <p>對於漏洞出現實際攻擊行動的情況，VulnCheck留意到從網際網路存取的ProjectSend伺服器約有208臺，自9月開始遭到竄改，入口網站的標題變成一長串的隨機字串，而這些字串的規則，正好與Nuclei與Metasploit加入的漏洞測試規則雷同，換言之，攻擊者很可能利用這些規則竄改伺服器。</p> <p><a href="https://www.ithome.com.tw/news/166225"><strong style="font-size: 22px;">美國證實Array Networks旗下SSL VPN系統重大漏洞已出現攻擊行動</strong></a></p> <p>1月25日美國網路安全暨基礎設施安全局（CISA）發布公告，他們將去年一項重大層級的已知漏洞CVE-2023-28461新列入已遭利用漏洞（KEV）清單，要求聯邦機構必須在12月16日完成修補。</p> <p>這項漏洞存在於安瑞科技（Array Networks）Array AG系列SSL VPN設備，以及虛擬化版本vxAG，原因是重要功能缺乏身分驗證機制造成，攻擊者有機會利用漏洞讀取SSL VPN閘道的本機檔案，或是執行任意程式碼，CVSS風險達到9.8，影響9.4.0.481以前版本的作業系統。安瑞於去年3月9日公布這項漏洞，並於同月17日提供修補程式。</p> <p>雖然CISA並未透露攻擊者如何利用這項漏洞，不過這項資安公告發布的前幾天，趨勢科技公布中國駭客組織Earth Kasha的最新一波攻擊行動裡，其中一項用來取得初始入侵管道的SSL VPN漏洞，就是CVE-2023-28461。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/apt-c-60-exploits-wps-office.html">駭客組織APT-C-60鎖定StatCounter、Bitbucket伺服器，意圖散布惡意軟體SpyGlace</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-godloader-malware-infects-thousands-of-gamers-using-godot-scripts/">惡意程式GodLoader迴避偵測出現新手法，駭客濫用遊戲引擎感染1.7萬臺電腦</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/infostealers-vietcredcare-and-ducktail-fuel-facebook-business-account-exploitation/">越南駭客透過企業臉書帳號散布竊資軟體VietCredCare、DuckTail</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/chinese-hackers-breached-t-mobiles-routers-to-scope-out-network/">針對傳出遭遇中國駭客入侵，T-Mobile公布最新調查結果</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-godloader-malware-infects-thousands-of-gamers-using-godot-scripts/"></a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166245"><strong style="font-size: 22px;">已終止維護的D-Link數據機存在重大漏洞，近6萬臺設備曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/e9DooFv6gX.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/e9DooFv6gX.png" style="width: 300px; float: right;" /></a>11月11日台灣電腦網路危機處理暨協調中心（TWCERT/CC）發布公告，指出D-Link數據機DSL-6740C存在一系列漏洞，由於該設備今年初已達到終止支援（EoS）階段，D-Link將不會進行修補，呼籲使用者應汰換設備。由於使用這款設備的用戶絕大多數都位於臺灣，寬頻網路的使用者應特別提高警覺。</p> <p>對此，12日D-Link也發布公告證實此事，並指出這款設備在今年1月15日已經結束支援，強烈建議用戶停止使用。</p> <p>這些漏洞分別是特權API不正確使用漏洞CVE-2024-1108、路徑穿越漏洞CVE-2024-11067，以及作業系統命令注入漏洞CVE-2024-11062、CVE-2024-11063、CVE-2024-11064、CVE-2024-11065、CVE-2024-11066，CVSS風險評分介於7.2至9.8。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-nachovpn-attack-uses-rogue-vpn-servers-to-install-malicious-updates/">Palo Alto Networks、SonicWall旗下SSL VPN系統存在新型態漏洞NachoVPN，攻擊者有機會為用戶端安裝惡意更新</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166249"><strong style="font-size: 22px;">重塑對企業資安聯防的溝通模式，TWCERT/CC將逐步從傳統事件通報提升到關鍵情資共享</strong></a></p> <p>為了提升臺灣民間企業的資安能力，不僅依賴個資法對全體企業的規範，以及金管會對上市櫃公司提出的各項要求，政府在協助企業提升資安能力方面，台灣電腦網路危機處理暨協調中心（TWCERT/CC）扮演著重要角色。</p> <p>隨著2024年元旦資通安全研究院（資安院）接手TWCERT/CC，各界都關心他們後續如何進一步協助民間企業。4月他們公布發展計畫，預告將持續推廣共同參與，拉攏更多企業加入TWCERT/CC免費會員，時隔超過半年的此刻，資安院在2024台灣資安通報應變年會，揭露目前最新相關進展。</p> <p>關於深化情資分享的具體做法，TWCERT/CC最近更是有了全新的策略，強調將以情資為主的溝通，扭轉大家對於通報的刻板印象。</p> <p><a href="https://www.ithome.com.tw/news/166187"><strong style="font-size: 22px;">「零信任博士」的實踐觀察，揭示零信任挑戰與應用未來</strong></a></p> <p>零信任架構（ZTA）在美國政府的推動下，已經成為全球政府與企業積極推動的網路安全架構，臺灣從政府到企業也非常認同零信任架構。在這個理論推動的過程中，除了有零信任架構的提出者、現任Illumio傳道士John Kindervag，各界稱之為「零信任之父」外，另外也有被譽為「零信任博士」（Dr. Zero Trust）的Dr. Chase Cunningham。</p> <p>Chase Cunningham日前來臺參加「零信任架構實踐高峰論壇」的媒體專訪時表示，零信任架構的核心原則是「永不信任，始終驗證」（Never Trust、Always Verify），這一原則徹底顛覆了傳統網路安全模型中對內部邊界的信任假設。他指出，隨著數位化轉型、雲端技術的普及以及第三方供應商的依賴，對傳統的「信任邊界」模式已經不再適用，企業需要重新定義網路安全的基石。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166236"><strong>【11月27日】攻擊者串連Firefox與Windows的零時差漏洞，能在使用者毫無察覺的狀況下植入惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166203"><strong>【11月26日】軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，客戶受到波及</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166190"><strong>【11月25日】俄羅斯駭客在軍事行動前夕，藉由跳版入侵目標組織的無線網路環境</strong></a></p> </div></div></div>
2024/11/28 17:27作者周峻佑https://www.ithome.com.tw/news/166259