iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 14:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

強化安全性與軟體開發支援，紅帽RHEL發布2024年度改版
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/rhel_9.5_web_console-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月舉行的KubeCon + CloudNativeCon北美年度大會，紅帽正式發布9.5版企業級Linux作業系統Red Hat Enterprise Linux（RHEL），針對AI、邊緣運算等多種IT創新應用的快速支援，提供多種強化功能，同時他們也釋出RHEL 10.0 Beta，開放大家測試新版作業系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL 9_5-lifecyucle-2024-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%209_5-lifecyucle-2024-11.jpg" style="width: 500px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL 10-2024-11-21.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%2010-2024-11-21.jpg" style="width: 600px;" /></a></p> <h3><strong><span style="color:#0000FF;">新增統一設定Sudo指令的系統角色，提供更多機密運算支援</span></strong></h3> <p>首先是安全性與政策遵循的管理，RHEL增添多種系統角色（system roles）。基本上，每一種系統角色其實是模組化的<a href="https://www.redhat.com/en/technologies/management/ansible/content-collections">Ansible自動化套件（Ansible Content Collection）</a>，能夠自動處理重要的RHEL系統任務與流程。</p> <p>例如，對於透過超級使用者（superueser）權限執行程式的sudo指令，紅帽在此提供自動與大量設定sudo組態的功能，獲得權限提升的使用者能運用自動處理機制，即能以安全方式建置sudo設定，確保作業系統環境的配置更為一致，並且減少整體業務處理的複雜度。</p> <p>透過sudo系統角色，系統管理者能夠橫跨整個企業IT環境，針對命令列介面的操作，以適當的方式設定一致的sudo執行個體，因此，可將許多需反覆執行的工作，像是系統安裝、網路管理，委派其他使用者操作，以安全方式實現責任分攤。</p> <p>RHEL 9.5還支援另一個系統角色ha_cluster，可協助設定節點與原始資源的使用率屬性，以及運用ha_cluster_node_options變數設置節點位址與SBD選項，所謂的SBD，是指STONITH(Shoot The Other Node In The Head) Block Device，或Storage-Based Death，與叢集的節點隔離機制有關。</p> <p><a href="https://s4.itho.me/sites/default/files/images/rhel 9_5-system roles-2024-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/rhel%209_5-system%20roles-2024-11.jpg" style="width: 600px;" /></a></p> <p>第二是RHEL擴充<a href="https://www.redhat.com/en/blog/confidential-computing-primer">機密運算平臺的支援</a>，可促成AI工作負載的防護，減少內部威脅可能受攻擊的面向。這類功能目前是以技術預覽形式提供，其中之一，是針對KVM環境的虛擬機器。</p> <p>RHEL 9提供AMD EPYC處理器多種機密運算指令集的支援，像是：安全加密虛擬化（SEV），能對虛擬機器存取的記憶體進行加密，以便防護來自伺服器主機端的存取；安全加密虛擬化－強化加密狀態（SEV-ES），能在虛擬機器處於停止執行的狀態時，能對處理器的所有暫存器內容進行加密，預防伺服器主機端修改或讀取處理器的全部暫存器內容。</p> <p>到了RHEL 9.5，紅帽開始提供安全加密虛擬化－巢狀虛擬化記憶體分頁（SEV-SNP）支援，此項機制能透過改善記憶體完整性防護，預防Hypervisor層級的資料再利用攻擊（data replay），或是記憶體重新對應攻擊（memory re-mapping），強化SEV與SEV-ES的安全性。</p> <p>若企業與組織的系統採用英特爾Xeon Scalable處理器，RHEL 9.2之後的版本開始支援信任領域延伸（TDX），用戶可部署硬體隔離型態的RHEL 9虛擬機器，以便設置信任區域（TDs）。</p> <p>為了強化系統登入安全性，以及因應政府與企業積極導入零信任架構的安全模式，<a href="https://www.redhat.com/en/blog/passkey-with-rhel">紅帽今年5月推出的RHEL 9.4，終於正式提供Passkey無密碼身分認證機制</a>。</p> <p>用戶可以在系統安全服務常駐程式（System Security Services Daemon，SSSD），啟用與設定相關功能，例如，必須事先到RHEL IdM、Active Directory，或是某種LDAP身分儲存庫等身分管理系統，進行FIDO2（Fast Identity Online 2）憑證的註冊，以便在使用者帳號當中儲存註冊資訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHIDM1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHIDM1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHIDM2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHIDM2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/RHIDM3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHIDM3.jpg" style="width: 298px;" /></a></p> <p>後續使用者若要登入RHEL系統，進行無密碼身分認證與多因素身分認證，即可搭配相容於FIDO2規格的生物辨識裝置，或是Yubico YubiKey這類硬體金鑰裝置。紅帽表示，RHEL本身之所以能實作FIDO2的相容，主要是因為搭配libfido2程式庫，而這個元件目前僅支援USB連接的硬體裝置。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHIDM5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHIDM5.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/RHIDM6.jpg" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RHIDM4.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/RHIDM7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHIDM7.jpg" style="width: 298px;" /></a></p> <h3><strong><span style="color:#0000FF;">提供預先強化安全的映像組建，也能簡化多平臺容器管理</span></strong></h3> <p>系統映像的防護，也是RHEL 9.5主打的安全性特色之一，紅帽更新了映像組建工具Image Builder，提供預先強化的映像組態設定，簡化雲端身分管理，並且強化硬體安全，以符合業界隱私防護標準的要求，為作業系統增添防護層級，可協助企業節省處理時間與增進安全性。</p> <p>紅帽表示，有了Image Builder，可持續協助企業推動資安左移（shift left）的策略，使得用戶能在軟體開發流程的早期階段，整合安全性測試與資安漏洞修正。</p> <p><a href="https://s4.itho.me/sites/default/files/images/rhel 9_5-image-2024-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/rhel%209_5-image-2024-11.jpg" style="width: 600px;" /></a></p> <p>針對雲端原生應用的支援，RHEL 9.5完整支援開放原始碼容器引擎Podman最新版5.0，例如開發者可運用podman farm這個組建指令，建立多個架構的容器映像。</p> <p>透過Podman的運用，開發者能在Linux系統當中，以單一工具對遠端的伺服器與工作站，進行多個容器的系統映像組建、管理、執行，並且能橫跨多種平臺進行高效率的應用程式測試與部署，縮短開發時間，提升可移植至其他環境的能力。</p> <p>而在搭配Podman 5.0使用之後，RHEL系統能加快開機速度，若要重新設置系統的運作（reset），也能更有效率地進行，能減少開發作業的延遲、加快部署上線的腳步。</p> <p>在系統的操作方式上，RHEL除了透過命令列介面，同時提供基於開放原始碼軟體套件Cockpit而成的網頁主控臺介面，RHEL 9.5也針對這個圖形介面提供檔案管理功能，紅帽在此增添cockpit-files套件，用戶可直接在此對能存取的檔案系統，執行日常作業，像是檔案與資料夾的瀏覽、複製、刪除、搬移、改名、依據不同條件排序、依關鍵字列出符合名稱的檔案，檔案的上傳、變更存取權限許可，以及資料夾的新增。</p> <p><a href="https://s4.itho.me/sites/default/files/images/rhel 9_5-File Browser-2024-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/rhel%209_5-File%20Browser-2024-11.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL 9_5 File Management-image1_195.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%209_5%20File%20Management-image1_195.png" style="width: 400px;" /></a></p> <h3><span style="color:#0000FF;"><strong>強化SAP記憶體資料庫系統支援，並且更新多種開發工具版本</strong></span></h3> <p>對於多種商用軟體的工作負載執行，RHEL 9.5也予以強化。</p> <p>首先是記憶體內資料庫系統SAP HANA，RHEL新版可加快資料庫叢集環境的索引伺服器當機與重新啟動，無論橫向擴展或縱向擴展叢集，均可幫忙自動切換至備援的SAP HANA節點，紅帽表示，他們打算將這項功能擴大相容至舊版RHEL（8.1至9.4版）。若企業採用Red Hat Enterprise Linux High Availability叢集環境，並以此支撐SAP HANA與S 4/HANA應用系統的持續運作，RHEL最新版加入叢集健康檢查機制，能在這兩種系統停擺前，標示潛在問題，用戶可主動執行這套工具及早辨識與修正問題。</p> <p>在開發者工具的整合提供方面，RHEL 9.5也更新多種程式語言相關工具，像是Java開發者套件第17版，以及內建JavaScript引擎V8的Node.js 22。</p> <p>以JDK為例，紅帽的應用軟體儲存庫RHEL 9 AppStream，目前提供的OpenJDK有8、11、17等三種版本，其中的OpenJDK 17預設為作業系統的Java工具套件，具有改善應用系統效能、加速程式碼執行，以及順暢進行縱向擴展應用程式規模等功能特色。</p> <p>關於編譯器工具套件，RHEL 9.5也予以更新，提供GCC Toolset 14、LLVM Toolset 18.1.8、Rust Toolset 1.79.0，以及Go Toolset 1.22。</p> <p>在開放原始碼資料庫軟體的部分，RHEL 9.4支援的PostgreSQL 16，到了RHEL 9.5，也開始提供pgvector外掛，用戶可透過這項功能的提供，在PostgreSQL資料庫儲存與查詢高維度的向量嵌入（high-dimensional vector embeddings），並且執行向量相似度查詢，能以更有效率的方式在PostgreSQL資料庫當中，執行AI工作負載與任務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL 9_5-developertools-2024-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%209_5-developertools-2024-11.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Red Hat Enterprise Linux 9.5</strong></span><br /> ●原廠：Red Hat<br /> ●建議售價：廠商未提供<br /> ●安裝方式：圖形介面安裝、系統或雲端映像安裝、進階安裝<br /> ●支援運算平臺：64位元x86架構（x86-64-v2）、64位元Arm架構（Armv8.0-A）、IBM Power Systems Little Endian（Power9）、64位元IBM Z（z14）<br /> ●記憶體需求：1.5 GiB<br /> ●硬碟空間與分割區需求：10 GiB，x86與Arm架構需建立root、swap分割區，IBM Power Systems需root分割區、swap分割區、PReP boot分割區<br /> ●系統基礎核心版本：5.14.0-503.11.1版</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/12/11 12:58作者李宗翰https://www.ithome.com.tw/review/162868
微軟發布12月例行更新，修補已遭利用的零時差CLFS漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>12月10日微軟發布<a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Dec">本月份例行更新（Patch Tuesday）</a>，總共修補72個漏洞，較<a href="https://www.ithome.com.tw/news/165982">上個月</a>數量（89個）有所減少。其中，有27個提升權限漏洞、30個遠端程式碼執行（RCE）漏洞、7個資訊洩漏洞、5個阻斷服務（DoS）漏洞，以及1個可被用於詐欺的漏洞。值得留意的是，其中一個漏洞已被發現遭到利用的跡象。</p> <p>這個被用於實際攻擊行動的漏洞，是<a href="https://msrc.microsoft.com/update-guide/advisory/CVE-2024-49138">Windows通用事件記錄檔案系統（CLFS）權限提升漏洞CVE-2024-49138</a>，一旦遭到利用，攻擊者就有機會得到SYSTEM權限，CVSS評分為7.8。美國網路安全暨基礎設施安全局（CISA）也將其<a href="https://www.cisa.gov/news-events/alerts/2024/12/10/cisa-adds-one-known-exploited-vulnerability-catalog">納入已遭利用的漏洞名冊（KEV）</a>，要求聯邦機構於12月31日前完成修補。</p> <p>雖然微軟並未說明進一步細節，但<a href="https://www.rapid7.com/blog/post/2024/12/10/patch-tuesday-december-2024/">資安業者Rapid7指出</a>，微軟透露該漏洞的弱點類型是記憶體堆疊緩衝區溢位（CWE-122），通常會導致服務當機，或是服務阻斷的情況，甚至有機會讓攻擊者執行任意程式碼。</p> <p><a href="https://www.zerodayinitiative.com/blog/2024/12/10/the-december-2024-security-update-review">漏洞懸賞專案Zero Day Initiative（ZDI）認為</a>，微軟透露這個弱點涉及權限提升，攻擊者很有可能會搭配程式碼執行臭蟲控制整個系統，而這樣的手段，往往會在勒索軟體攻擊或是網路釣魚攻擊當中運用。</p> <p>除了已遭利用的零時差漏洞，Rapid7指出本次公布的重大層級漏洞相當多，也值得留意。這些包含風險評分最高的CVE-2024-49112，此漏洞出現在LDAP，CVSS風險值為9.8。</p> <p>再者，涉及LSASS的CVE-2024-49126、Hyper-V容器逃逸漏洞CVE-2024-49117同樣值得關注。從數量來看，遠端桌面服務存在14個重大漏洞，其中9個為RCE漏洞。</p> </div></div></div>
2024/12/11 11:08作者周峻佑https://www.ithome.com.tw/news/166452
【資安日報】12月10日，資安業者揭露用QR Code突破瀏覽器隔離防線的攻擊手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上網威脅日益嚴重，有些企業會採用遠端瀏覽器隔離（Remote Browser Isolation，RBI）系統，將威脅隔離在遠端的伺服器，使得用戶裝置能夠得到保護，這種看似能夠「隔岸觀火」的防護機制，如今有新的手法能夠突破，對使用者電腦進行滲透。</p> <p>資安業者Mandiant找到一種方法，那就是利用帶有QR Code的網頁來傳遞C2的命令，從而在無需建立正常C2連線的情況下，達到遠端控制的目的。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166448"><strong style="font-size: 22px;">瀏覽器隔離被人找出滲透方法！資安廠商揭露用QR Code傳遞C2命令的攻擊手法</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/qr-browser-isolation-fig2_max-1300x1300.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/qr-browser-isolation-fig2_max-1300x1300.png" style="width: 300px; float: right;" /></a></p> <p>為了避免員工上網遭到惡意網站感染，有些企業會採用遠端瀏覽器隔離（Remote Browser Isolation，RBI）系統，這種機制通常在雲端伺服器或是虛擬機器執行瀏覽器，然後在網頁顯示的內容，藉由影像的串流機制傳送到使用者電腦，而能夠將使用者裝置與外部威脅隔離。但如今有研究人員發現，攻擊者有機會藉此機制，對使用者的電腦下達命令。</p> <p>資安業者Mandiant指出，一般而言，攻擊者往往使用命令與控制（Command & Control，C&C或C2）機制，控制植入受害電腦的惡意軟體，而這種機制通常會採用HTTP連線運作，若是使用者的電腦在導入RBI的環境裡，攻擊者從遠端C2伺服器下達的命令，只會在遠端實際進行網頁內容渲染的瀏覽器發揮作用，使用者的電腦得以不受影響。</p> <p>但該公司的紅隊團隊發現，若是C2伺服器傳送有效的網頁內容，當中顯示特定的QR Code，使得RBI採用的無介面瀏覽器（headless browser）處理與呈現網頁內容的過程中，取得螢幕畫面的內容並讀取二維碼嵌入的資料。這麼一來，攻擊者就能在遠端瀏覽器呈現網頁內容的過程中，將特定資料傳送到在受害電腦上的惡意程式。</p> <p><a href="https://www.ithome.com.tw/news/166437"><strong style="font-size: 22px;">安卓木馬DroidBot鎖定77家銀行客戶而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/674ef2ec9c5dda0b347b3dac_674ef140838377589424cbae_f1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/674ef2ec9c5dda0b347b3dac_674ef140838377589424cbae_f1.png" style="width: 300px; float: right;" /></a></p> <p>電腦惡意程式生態圈已經出現分工，開發團隊透過租用的方式提供打手使用，並給予相關技術支援，使得從事這類網路攻擊的門檻大幅降低，打手不需具備開發技能就能參與相關活動。如今這樣的情況，也出現在行動裝置的惡意軟體活動。</p> <p>資安業者Cleafy在10月下旬發現名為DroidBot的安卓遠端存取木馬（RAT），並指出駭客將其用於攻擊行動，最早可追溯到今年6月。攻擊者鎖定遍及英國、義大利、法國、西班牙、葡萄牙的77家銀行及加密貨幣交易所客戶，並有意將攻擊範圍延伸到美國和拉丁美洲。</p> <p>值得留意的是，雖然這些駭客的手法與已知惡意軟體相當類似，但是他們透過租用服務吸引打手上門使用的做法，在安卓惡意軟體界並不常見，而有可能大幅增加防守端的判斷負擔，若缺乏有效的即時監控機制，很有可能導致金融機構反詐欺團隊被龐大資訊壓垮。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/black-basta-ransomware-evolves-with.html">勒索軟體Black Basta攻擊手法出現轉變，利用電子郵件轟炸、QR Code、社交工程手法入侵目標組織</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/socks5systemz-botnet-powers-illegal.html">8.5萬臺裝置遭殭屍網路Socks5Systemz擺布，駭客藉此提供非法代理伺服器服務</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-attack-hits-leading-heart-surgery-device-maker/">心臟醫療器材製造商Artivion傳出遭遇勒索軟體攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166427"><strong style="font-size: 22px;">視窗作業系統出現NTLM零時差漏洞，使用者若被誘導以Windows檔案總管檢視惡意檔案，就有機會觸發</strong></a></p> <p>12月5日專門提供微修補的資安業者0patch指出，他們發現新的URL檔案NTLM雜湊值洩露漏洞，一旦攻擊者成功利用，引誘使用者透過Windows檔案總管檢視惡意檔案，就有機會得到使用者的NTLM帳密資料。這項漏洞影響所有工作站及伺服器版本的Windows作業系統，涵蓋Windows 7至Windows 11 24H2，以及Windows Server 2008 R2至Windows Server 2022。</p> <p>0patch向微軟通報此事，並表明他們在微軟正式發布修補之前，將會免費提供微修補程式。這項弱點目前尚未登記CVE編號，為了避免漏洞遭到攻擊者利用，他們也暫時不會公布相關細節。</p> <p>令人憂心的是，0patch也提到攻擊者引誘使用者觸發漏洞的難度並不高，例如：說服使用者打開含有惡意檔案的共享資料夾、隨身碟，或是先利用惡意網頁進行偷渡式下載，再「提醒」使用者檢視下載資料夾，就能達到觸發漏洞的目的。</p> <p><a href="https://www.ithome.com.tw/news/166428"><strong style="font-size: 22px;">思科網路設備作業系統NX-OS存在漏洞，攻擊者有機會繞過映像檔檢核流程</strong></a></p> <p>12月4日思科發布資安公告，指出旗下網路設備作業系統NX-OS存在映像檔案驗證繞過弱點CVE-2024-20397，這項漏洞存在於開機載入工具（Bootloader），攻擊者可透過兩種方式繞過NX-OS映像檔簽章驗證的驗證流程，一種是實際接觸交換器，就有機會在未經授權的情況下進行存取；另一種是攻擊者已通過身分驗證並取得本機的管理員帳密。</p> <p>針對這項漏洞發生的原因，思科表示是因為不安全的開機載入工具組態造成，攻擊者可藉由執行一系列的開機載入工具命令觸發。一旦成功利用漏洞，攻擊者就能繞過NX-OS映像檔簽章的驗證流程，從而載入未經驗證的軟體，CVSS風險評分為5.2，該公司提供更新軟體，並表明沒有其他緩解措施可用。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/openwrt-sysupgrade-flaw-let-hackers-push-malicious-firmware-images/">物聯網裝置作業系統OpenWrt系統更新模組存在弱點，攻擊者有機會植入惡意映像檔</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/researchers-uncover-prompt-injection.html">DeepSeek、Claude AI存在提示注入漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166449"><strong style="font-size: 22px;">國家實驗研究院與資安社群聯手舉辦CGGC網路守護者挑戰賽，生成式AI與虛實整合實體設備均列入競賽考題</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024CGGC實體機器計分車的高速穿梭於競賽會場3.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024CGGC%E5%AF%A6%E9%AB%94%E6%A9%9F%E5%99%A8%E8%A8%88%E5%88%86%E8%BB%8A%E7%9A%84%E9%AB%98%E9%80%9F%E7%A9%BF%E6%A2%AD%E6%96%BC%E7%AB%B6%E8%B3%BD%E6%9C%83%E5%A0%B43.jpg" style="width: 300px; float: right;" /></a>國家科學及技術委員會（國科會）旗下的國家實驗研究院國家高速網路與計算中心與資安社群NDS次世代創新數位安全協會聯手，舉辦「2024 CGGC網路守護者挑戰賽（Cyber Guardian Grand Challenge）」，總共吸引近150支隊伍、500名參賽者報名，主辦單位將AI應用與虛實整合系統（Cyber-Physical Systems，CPS）導入搶旗賽（CTF），12月6日於臺南沙崙資安基地舉行決賽，結果由「海狗再打十年」隊奪冠，抱走10萬元獎金。</p> <p>特別的是，本次競賽他們首度注入生成式AI大型語言模型對話，在比賽中帶來新型態的互動方式，參賽者藉由與平臺對話，有機會找出隱藏的題目，並體驗生成式AI帶來的資安挑戰，例如：提示注入（prompt injection）、資料下毒（data poisoning）等。</p> <p> </p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166414"><strong style="font-size: 22px;">歐洲警方關閉網路犯罪市集Manson Market，逮捕兩名主要經營者</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Splash page fraudulent shopping.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Splash%20page%20fraudulent%20shopping.jpg" style="width: 300px; float: right;" /></a>12月5日歐洲刑警組織（Europol）宣布，由德國漢諾威警察局（Polizeidirektion Hannover）、Verden檢察官辦公室（Staatsanwaltschaft Verden）帶頭的跨國執法行動當中，成功破獲網路犯罪市集Manson Market（manson-market[.]pw），總共沒收超過50臺伺服器、收集逾200 TB證據，並於德國和奧地利逮捕現年27歲、37歲的主嫌，兩人目前遭到拘留。</p> <p>這起執法行動從2022年秋季開始，由德國、奧地利、捷克、芬蘭、荷蘭、波蘭的執法單位共同參與調查。</p> <p>除此之外，執法人員還發現冒牌的線上商店網路，這些店家引誘消費者輸入付款資料，歹徒再從中截錄相關資訊並用於銷售。德國漢諾威警察局透露，約有57人受害，損失金額超過25萬歐元。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166419"><strong>【12月9日】AI模型PyPI套件Ultralytics成駭客散布挖礦軟體的管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166404"><strong>【12月6日】與中國駭客組織Daggerfly有關的駭客對美國大型企業從事4個月的情報收集</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166370"><strong>【12月5日】勒索軟體Brain Cipher聲稱攻擊Deloitte英國分公司並竊得大批資料</strong></a></p> </div></div></div>
2024/12/10 17:53作者周峻佑https://www.ithome.com.tw/news/166450
瀏覽器隔離被人找出滲透方法！資安廠商揭露用QR Code傳遞C2命令的攻擊手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了避免員工上網遭到惡意網站感染，有些企業會採用遠端瀏覽器隔離（Remote Browser Isolation，RBI）系統，這種機制通常在雲端伺服器或是虛擬機器執行瀏覽器，然後在網頁顯示的內容，藉由影像的串流機制傳送到使用者電腦，而能夠將使用者裝置與外部威脅隔離。但如今有研究人員發現，攻擊者有機會藉此機制，對使用者的電腦下達命令。</p> <p>資安業者Mandiant指出，一般而言，攻擊者往往使用命令與控制（Command & Control，C&C或C2）機制，控制植入受害電腦的惡意軟體，而這種機制通常會採用HTTP連線運作，若是使用者的電腦在導入RBI的環境裡，攻擊者從遠端C2伺服器下達的命令，只會在遠端實際進行網頁內容渲染的瀏覽器發揮作用，使用者的電腦得以不受影響。</p> <p>但<a href="https://cloud.google.com/blog/topics/threat-intelligence/c2-browser-isolation-environments/">該公司的紅隊團隊發現</a>，若是C2伺服器傳送有效的網頁內容，當中顯示特定的QR Code，使得RBI採用的無介面瀏覽器（headless browser）處理與呈現網頁內容的過程中，取得螢幕畫面的內容並讀取二維碼嵌入的資料。這麼一來，攻擊者就能在遠端瀏覽器呈現網頁內容的過程中，將特定資料傳送到在受害電腦上的惡意程式。</p> <p>另一方面，惡意程式解析C2下達命令的做法也有所不同，攻擊者並非直接解析HTTP流量，而是對RBI系統呈現網頁內的QR Code進行解讀，然後執行攻擊者下達的命令。</p> <p>但究竟惡意程式如何向C2伺服器進行回報工作？研究人員指出，攻擊者利用受害電腦本機的瀏覽器，將命令經過編碼處理後透過URL參數傳送，此命令將利用遠端瀏覽器回傳，C2伺服器再經過解密處理還原回傳的內容。</p> <p>研究人員強調，這種手法能夠突破市面上常見的三大類型瀏覽器隔離防護機制包含採用雲端環境的RBI，以及企業內部環境透過容器或虛擬機器架設的RBI，或是類似RBI機制的本機沙箱瀏覽器。</p> <p>為了證明這種手法可行，他們利用JavaScript程式庫Puppeteer，以及無介面的Chrome瀏覽器進行概念性驗證，從而讓植入受害電腦的惡意程式及Cobalt Strike Beacon，能在RBI環境透過網頁上的QR Code，接收C2下達的命令。</p> <p>雖然QR Code能夾帶的資料有限（2,953 bytes），以及C2命令可能因此間接傳遞方式而面臨延遲的情況（傳送一個Beacon酬載費時超過12分鐘），但研究人員指出，這突顯企業組織上網安全保護不應完全仰賴RBI，還要搭配網路流量監控、縱深防禦的策略，來強化整體資安防護能力來因應相關威脅。</p> </div></div></div>
2024/12/10 17:08作者周峻佑https://www.ithome.com.tw/news/166448
國家實驗研究院與資安社群聯手舉辦CGGC網路守護者挑戰賽，生成式AI與虛實整合實體設備均列入競賽考題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國家科學及技術委員會（國科會）旗下的國家實驗研究院國家高速網路與計算中心與資安社群NDS次世代創新數位安全協會聯手，舉辦「2024 CGGC網路守護者挑戰賽（Cyber Guardian Grand Challenge）」，總共吸引近150支隊伍、500名參賽者報名，主辦單位將AI應用與虛實整合系統（Cyber-Physical Systems，CPS）導入搶旗賽（CTF），<a href="https://www.narlabs.org.tw/xmdoc/cont?sid=0O344350550260684681&xsmsid=0I148622737263495777">12月6日於臺南沙崙資安基地舉行決賽</a>，結果由「海狗再打十年」隊奪冠，抱走10萬元獎金。</p> <p>特別的是，本次競賽他們首度注入生成式AI大型語言模型對話，在比賽中帶來新型態的互動方式，參賽者藉由與平臺對話，有機會找出隱藏的題目，並體驗生成式AI帶來的資安挑戰，例如：提示注入（prompt injection）、資料下毒（data poisoning）等。</p> <p>這場比賽的流程大致分為初賽及決賽，初賽以線上的型式，於國研院國網中心的「雲端資安攻防平臺（CDX）」進行，為期36小時，採Jeopardy CTF賽制，取積分前10名的隊伍晉級實體決賽。</p> <p>本次決賽的參賽隊伍不只需較勁攻擊技巧，也要迅速掌握系統漏洞並加以防護。當日主辦單位也同步舉行CTF技術交流活動，邀請資深CTF出題者及參賽者分享技術經驗，促進技術社群的知識交流。</p> </div></div></div>
2024/12/10 17:46作者周峻佑https://www.ithome.com.tw/news/166449
安卓木馬DroidBot鎖定77家銀行客戶而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電腦惡意程式生態圈已經出現分工，開發團隊透過租用的方式提供打手使用，並給予相關技術支援，使得從事這類網路攻擊的門檻大幅降低，打手不需具備開發技能就能參與相關活動。如今這樣的情況，也出現在行動裝置的惡意軟體活動。</p> <p>資安業者Cleafy在10月下旬發現<a href="https://www.cleafy.com/cleafy-labs/droidbot-insights-from-a-new-turkish-maas-fraud-operation">名為DriodBot的安卓遠端存取木馬（RAT）</a>，並指出駭客將其用於攻擊行動，最早可追溯到今年6月。攻擊者鎖定遍及英國、義大利、法國、西班牙、葡萄牙的77家銀行及加密貨幣交易所客戶，並有意將攻擊範圍延伸到美國和拉丁美洲。</p> <p>研究人員推測DroidBot仍處於積極開發階段，因為根據他們掌握的多個惡意軟體樣本，當中存在許多不一致的地方，像是臨時替代元素（placeholder）功能、檢查root帳號權限、不同程度的混淆處理、多階段打包等。這些均代表攻擊者可能試圖針對特定環境進行惡意程式的調整，強化攻擊成效。</p> <p>關於惡意程式開發者的身分，研究人員指出對方很有可能慣用土耳其語，而且服務已有17組人馬租用。</p> <p>對於這款惡意軟體的特質，他們提到攻擊者同時結合了VNC匿蹤的能力、螢幕覆蓋能力，以及間諜軟體相關功能，能夠側錄鍵盤輸入的內容、監控處理程序，甚至攔截使用者互動的內容，使得DroidBot變成監控用戶及竊取憑證的強大工具。</p> <p>DroidBot另一項特色，在於採用兩種通訊機制。這當中先用MQTT通訊協定從受害裝置傳出資料，然後透過HTTPS通訊協定將命令傳入C2，這樣的進出流量分離做法，使得攻擊活動更加靈活。</p> <p>相較於其他安卓木馬，DroidBot的類似之處，在於極度仰賴輔助服務來執行惡意功能，並且具備攔截簡訊、側錄帳密資料、覆蓋畫面，甚至能讓攻擊者遠端進行操作。</p> <p>值得留意的是，雖然這些駭客的手法與已知惡意軟體相當類似，但是他們透過租用服務吸引打手上門使用的做法，在安卓惡意軟體界並不常見，而有可能大幅增加防守端的判斷負擔，若缺乏有效的即時監控機制，很有可能導致金融機構反詐欺團隊被龐大資訊壓垮。</p> </div></div></div>
2024/12/10 16:07作者周峻佑https://www.ithome.com.tw/news/166437
Google量子晶片Willow突破錯誤校正極限，效能已壓倒性超越當前超級電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google公開其在量子運算技術的重大突破，發表最新的量子晶片<a href="https://blog.google/technology/research/google-willow-quantum-chip/">Willow</a>，該晶片的重點在於首度達成低於臨界值的量子錯誤校正能力，隨著量子位元數量增加而指數降低錯誤率。該項技術增加了量子運算技術的實用性，Willow晶片在運算效能基礎測試中壓倒性地超越古典電腦。</p> <p>量子運算技術發展以來，面臨的主要挑戰之一是如何有效降低錯誤率，由於量子位元易受環境影響而導致計算過程的資訊流失，因此錯誤校正技術被視為實用量子運算的突破重點。但是隨著量子位元數量的增加，錯誤率往往以指數成長，因此如果沒有有效的錯誤校正機制，錯誤便會逐漸累積，使得系統失去量子疊加和量子糾纏等量子特性，也就無法進行量子運算，退化為普通的古典電腦，僅能處理傳統的資料運算。</p> <p>而Google推出的量子晶片Willow，首次實現低於臨界值的量子錯誤校正能力，使得量子系統更穩定且可擴展。所謂的量子錯誤校正臨界值，是指量子錯誤校正碼能夠穩定運作的最大容錯率。量子錯誤校正碼的目的是透過額外的量子位元結構，在不破壞量子態本身進行檢測並且校正錯誤。總而言之，Google在量子錯誤校正技術的突破，證明了量子錯誤校正的可行性，同時也替大規模量子運算的實現，提供明確的技術路徑。</p> <p>Google在其最新的研究論文公開Willow的技術細節，並揭露了實驗結果。研究團隊測試不同大小的量子位元陣列，包括3x3、5x5和7x7編碼量子位元網格，在每次擴展陣列規模後，透過先進的量子錯誤校正技術，Willow便能夠將錯誤率減半，而且量子位元陣列相較單個量子位元擁有更長的壽命，展現了超越古典運算系統的能力。Google認為，這項突破是建構穩定、可擴展量子邏輯位元的有力技術證明，表示Google有能力製造實用的超大型量子電腦。</p> <p>除了錯誤校正領域，Willow晶片在運算能力也達到新的高度，在隨機電路採樣（RCS）基準測試中，Willow在不到5分鐘就完成一項複雜運算，而該運算使用目前最快的超級電腦，將需要10^25（Septillion）年才能完成，展現了量子運算在處理複雜運算問題的潛力。</p> <p>Google Willow晶片發表是量子運算領域的技術突破，也替未來量子商業應用開啟了更多可能性。Google的目標是提升量子運算系統的實用性，並開發超越古典運算能力的演算法，將量子運算推進到可以解決現實問題的階段。</p> </div></div></div>
2024/12/10 16:04作者李建興https://www.ithome.com.tw/news/166434
思科網路設備作業系統NX-OS存在漏洞，攻擊者有機會繞過映像檔檢核流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>12月4日思科發布資安公告，指出旗下網路設備作業系統NX-OS存在<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-nxos-image-sig-bypas-pQDRQvjL?vs_f=Cisco%20Security%20Advisory%26vs_cat=Security%20Intelligence%26vs_type=RSS%26vs_p=Cisco%20NX-OS%20Software%20Image%20Verification%20Bypass%20Vulnerability%26vs_k=1">映像檔案驗證繞過弱點CVE-2024-20397</a>，這項漏洞存在於開機載入工具（Bootloader），攻擊者可透過兩種方式繞過NX-OS映像檔簽章驗證的驗證流程，一種是實際接觸交換器，就有機會在未經授權的情況下進行存取；另一種是攻擊者已通過身分驗證並取得本機的管理員帳密。</p> <p>針對這項漏洞發生的原因，思科表示是因為不安全的開機載入工具組態造成，攻擊者可藉由執行一系列的開機載入工具命令觸發。一旦成功利用漏洞，攻擊者就能繞過NX-OS映像檔簽章的驗證流程，從而載入未經驗證的軟體，CVSS風險評分為5.2，該公司提供更新軟體，並表明沒有其他緩解措施可用。</p> <p>對於該漏洞的曝險範圍，思科指出包含MDS 9000、Nexus 3000、Nexus 7000、Nexus 9000、UCS 6400、UCS 6500系列交換器機種，若是設備執行存在弱點的BIOS，就有可能曝險。該公司強調，這項弱點與企業組織設置的裝置組態完全無關。</p> <p>其中，對於Nexus 9000系列的部分，無論是執行應用程式中心基礎架構（ACI）模式，還是獨立的NX-OS模式，都有可能受到CVE-2024-20397影響。</p> <p>思科也提及此弱點出現需要搭配特定條件，那就是MDS、Nexus，以及UCS Fabric Interconnect平臺支援安全開機（secure boot）的情況下，才會曝險。</p> </div></div></div>
2024/12/10 12:33作者周峻佑https://www.ithome.com.tw/news/166428
微軟可理解網頁內容的Copilot Vision在美開放部分用戶測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周<a href="https://www.microsoft.com/en-us/microsoft-copilot/blog/2024/12/05/copilot-vision-now-in-preview-a-new-way-to-browse/" target="_blank">公布</a>整合於Edge瀏覽器，可理解網頁內容並提供用戶協助的AI工具Copilot Vision開放部分付費用戶測試。</p> <p>Copilot Vision是微軟10月<a href="https://www.ithome.com.tw/news/165293" target="_blank">公布</a>的實驗性AI功能之一。現在在Copilot Labs以預覽版形式，<a href="https://www.microsoft.com/en-us/microsoft-copilot/for-individuals/copilot-labs" target="_blank">開放</a>美國部分Copilot Pro用戶試用，作為全面上線前的評估。</p> <p>Copilot Vision為Edge瀏覽器專屬的AI助理，設計目的是扮演用戶上網時的夥伴。它平常是位於Edge瀏覽器下方待命，使用者啟用後，有如用戶的第二雙眼睛。它能閱讀用戶正在閱讀的網頁、理解使用者線上活動的完整情境，用戶若碰上問題也能跟它交談來解決，例如解答詢問、摘錄，翻譯、提供分析洞見，或是協助某些任務。</p> <p>例如用戶可請它規畫博物館一天行程、或是在你造訪前提供你需要知道的資訊。又或者你可以請它指出你看的網頁上有哪些符合你的需求或喜好，幫你加速假日購物的決策。它甚至可幫你介紹怎麼入手玩一款新遊戲，如Geoguessr。</p> <p>微軟強調Copilot Vision著重安全、控制和隱私。Vision是隨選（opt-in）功能，用戶啟用才會作用。而且一旦你和它互動告一段落，所有你說的話和你分享的資訊都會刪除。每次使用Vision的資料都會獲得微軟隱私宣言保護。在互動過程中，只有Copilot的回應內容會被紀錄，不過目的是用以改善安全系統。</p> <p>不過現在Vision還在早期實驗階段，除了部署區域和用戶有限，這個AI助理一開始也只會和一部分網站互動。微軟說會逐漸擴大能作用的網站。微軟同時強調Vision不會蒐集、儲存和利用內容出版商網站的資料來訓練其模型。</p> <p>有興趣的Copilot Pro用戶還可以在<a href="https://www.microsoft.com/en-us/microsoft-copilot/for-individuals/copilot-labs" target="_blank">Copilot Labs</a>加入其他實驗中的Copilot功能，包括能回答更複雜問題的Think Deeper。</p> </div></div></div>
2024/12/10 14:06作者林妍溱https://www.ithome.com.tw/news/166429
Windows作業系統出現NTLM零時差漏洞，影響所有工作站、伺服器版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>12月5日專門提供微修補的資安業者0patch指出，他們發現新的<a href="https://blog.0patch.com/2024/12/url-file-ntlm-hash-disclosure.html">URL檔案NTLM雜湊值洩露漏洞</a>，一旦攻擊者成功利用，引誘使用者透過Windows檔案總管檢視惡意檔案，就有機會得到使用者的NTLM帳密資料。這項漏洞影響所有工作站及伺服器版本的Windows作業系統，涵蓋Windows 7至Windows 11 24H2，以及Windows Server 2008 R2至Windows Server 2022。</p> <p>0patch向微軟通報此事，並表明他們在微軟正式發布修補之前，將會免費提供微修補程式。這項弱點目前尚未登記CVE編號，為了避免漏洞遭到攻擊者利用，他們也暫時不會公布相關細節。</p> <p>令人憂心的是，0patch也提到攻擊者引誘使用者觸發漏洞的難度並不高，例如：說服使用者打開含有惡意檔案的共享資料夾、隨身碟，或是先利用惡意網頁進行偷渡式下載，再「提醒」使用者檢視下載資料夾，就能達到觸發漏洞的目的。</p> <p>回顧近期0patch向微軟通報漏洞狀況，自10月底起算，這是他們向微軟通報的第3個零時差漏洞，另外兩個漏洞分別是<a href="https://blog.0patch.com/2024/10/we-patched-cve-2024-38030-found-another.html">Windows佈景主題檔案弱點CVE-2024-38030</a>，以及存在於Windows Server 2012、2012 R2的<a href="https://www.ithome.com.tw/news/166305">MotW漏洞</a>（尚未登記CVE編號），目前微軟尚未提供相關更新軟體。</p> </div></div></div>
2024/12/10 11:51作者周峻佑https://www.ithome.com.tw/news/166427
OpenAI公布影片生成模型Sora，Plus、Pro方案可用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>業界長久等待下，OpenAI昨（9）日終於<a href="https://openai.com/index/sora-is-here/" target="_blank">公布</a>影片生成AI模型Sora，可讓用戶生成最多20秒1080p的擬真影像。</p> <p>Sora是一個能理解和模擬真實世界的AI基礎模型，10個月前首度<a href="https://www.ithome.com.tw/news/161312" target="_blank">展示</a>時驚豔世人，而隨著推出正式版，OpenAI也打造了速度更快的新版本Sora模型，稱為Sora Turbo。</p> <p>這是OpenAI上周預告將有12項消息公布後的最重要訊息之一。周末OpenAI執行<a href="https://x.com/sama/status/1865261578574336226" target="_blank">長Sam Altman說</a>第3天公布的消息無比興奮。</p> <p>Sora Turbo已以獨立產品在<a href="https://sora.com/" target="_blank">sora.com網站</a>上線，提供給月費分別為20美元和200美元的ChatGPT Plus和Pro用戶。本方案不包含在ChatGPT Enterprise、Edu、Teams方案中，此外，本方案暫時不開放給18歲以下用戶，也未在歐洲經濟區（EEA）、英國和瑞士等地上線，OpenAI說預計未來幾個月內會推向這些市場。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1210-Sora%20interface_OpenAI.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／OpenAI</span></span></p> <p>利用正式版Sora，用戶可輸入文字提示生成5到20秒影片，最高可生成1080p解析度的高畫質影片，支援寬螢幕、垂直或正方形比例。用戶也可以上傳現成影片，讓它延伸、揉和、混合原有影片產生新作品。</p> <p>使用Sora需要點數（credit）。根據OpenAI提供的<a href="https://help.openai.com/en/articles/10245774-sora-billing-credits-faq" target="_blank">價格方案</a>，20點可提供480 1:1影片5秒。720p 1:1影片5秒就需30點。最高等級1080p影片20秒要價200點。要求不同版本的影片需個別計價，若牽涉混合、循環及重覆剪輯，OpenAI也提供不同秒數的價目。</p> <p>為了防範Deepfake、版權爭議，所有以Sora生成的影片都會預設加入可見的浮水印，OpenAI內部也建了個搜尋工具，可利用生成的技術屬性來辨別特定影片是否來自Sora。該公司也內建過濾器防範Sora被濫用來生成不當影片，像是兒童性剝削、色情deepfake影片，同時，OpenAI目前也限制上傳人像內容，但計畫等deepfake防範技術更健全後再開放。</p> <p>雖然Sora Turbo效能已經較年初版本快，OpenAI坦承還是有許多限制，像是經常生成不合實際的物理運動，長時間影片中表現較複雜行為也會有困難。OpenAI還在努力強化改進。</p> <p>如果你已迫不及待，請注意最高等級影片生成只提供給Pro方案用戶。Plus方案用戶可以原帳號不需額外付費獲得服務，每月最多可生成480p解析度（priority）的影片50則，或是數量較少的720p影片5秒。Pro方案用戶則提供最高500則priority影片、最高1080p及最長20秒影像及5次同時生成要求，還可下載無浮水印的影片。OpenAI說正在規劃不同類別用戶量身定製的收費方案，預計明年初公布。</p> <p>為了迎戰Sora，競爭者已搶先公布影片生成模型，像是Meta的<a href="https://www.ithome.com.tw/news/165349" target="_blank">Movie Gen</a>，以及Google上周公布的<a href="https://www.ithome.com.tw/news/166357" target="_blank">Veo</a>。Google還<a href="https://www.ithome.com.tw/node/165350" target="_blank">找來</a>Sora共同領導人之一的Tim Brooks加入DeepMind。</p> </div></div></div>
2024/12/10 10:26作者林妍溱https://www.ithome.com.tw/news/166426
OpenAI推出強化微調技術，降低專業模型客製門檻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在連續12天更新直播中，於第2天發布了<a href="https://openai.com/form/rft-research-program/">強化微調（Reinforcement Fine-Tuning，RFT）</a>功能，該技術的目的是協助開發者和機器學習工程師，打造出針對特定領域或複雜任務的專家級模型，藉由降低強化學習實作技術門檻，推進人工智慧模型的客製化發展。</p> <p>強化微調技術與傳統的監督式學習微調方法不同。傳統的監督式學習微調主要仰賴模型學習自參考答案，而強化微調則更注重模型推理過程，透過提供任務及其參考答案，讓模型在解決這些任務時進行學習，並透過評分機制來指導模型的表現，逐步提升其在類似問題中的推理能力與準確性。</p> <p>該技術特別適用於具備客觀正確答案且大多數專家能達成共識的任務，明顯提升人工智慧在法律、保險、醫療、金融及工程等專業領域的實用價值。</p> <p>OpenAI目前開放強化微調研究計畫，鼓勵研究機構、大學和企業參與。該計畫提供RFT API的Alpha測試版本，讓參與者可以將技術應用於其領域中的專業任務，並回饋測試經驗供OpenAI改進技術細節。</p> <p>OpenAI這項功能有助於人工智慧技術的普及，藉由友善的介面供使用者應用強化微調技術，使得一般企業與開發者，也能夠用到過去僅有專業人工智慧研究團隊才可使用的強化學習技術，並有助於縮短人工智慧在專業領域的應用周期。</p> <p> </p> </div></div></div>
2024/12/9 22:41作者李建興https://www.ithome.com.tw/news/166422
AWS推出Buy with AWS，在合作夥伴網站就可直接購買Marketplace解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS推出<a href="https://aws.amazon.com/tw/blogs/aws/introducing-buy-with-aws-an-accelerated-procurement-experience-on-aws-partner-sites-powered-by-aws-marketplace/">Buy with AWS</a>新功能，讓用戶可以在其合作夥伴網站上探索並採購AWS Marketplace解決方案。由於該功能讓使用者可以直接使用自己的AWS帳戶，快速購買AWS Marketplace中的產品，因此簡化了整個採購流程。</p> <p>藉由Buy with AWS，用戶在瀏覽合作夥伴網站時，可以在標示為Available in AWS Marketplace的產品，快速進行免費試用、申請演示以及獲取報價。當用戶決定購買時，只要點擊Buy with AWS按鍵登入AWS帳號，就可以快速進行交易。所有透過該功能完成的購買，都會由AWS Marketplace統一管理，並集中處理AWS帳單、訂閱和成本最佳化工具等功能。</p> <p>而對於AWS的合作夥伴來說，Buy with AWS提供了一個全新的方法，吸引網站訪客並加速用戶購買決策的過程。合作夥伴可以在網站中添加Buy with AWS、Try free with AWS、Request private offer與Request demo等行動呼籲按鍵，讓用戶直接透過AWS帳號進行免費試用、購買或是申請報價。</p> <p>另外，藉由整合AWS Marketplace的API，AWS的合作夥伴可在其網站上展示AWS Marketplace目錄中的產品，並讓用戶進行排序和篩選，進而提供更加個人化的購買體驗。</p> <p>Buy with AWS的推出，除了讓用戶可以更方便地進行採購，也擴展了AWS Marketplace雲端解決方案採購平臺的範圍，更多供應商能夠採用Buy with AWS來簡化繁瑣流程，簡化軟體採購流程中的人事物，大幅縮短採購周期與提升效率。</p> <p>由於所有透過Buy with AWS完成的交易，都可以在AWS Billing and Cost Management控制臺集中管理，因此企業用戶能夠更方便地追蹤並處理AWS相關購買，並利用AWS提供的成本管理工具進行預算控制和支出管理。官方表示， Buy with AWS進一步滿足企業在採購雲端解決方案的需求，提供更加集中化的體驗，同時也替其合作夥伴創造更多銷售機會。</p> </div></div></div>
2024/12/9 21:41作者李建興https://www.ithome.com.tw/news/166418
【資安日報】12月9日，AI模型PyPI套件Ultralytics成駭客散布挖礦軟體的管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體供應鏈攻擊事故日益頻繁，上週一共發生了兩起，先是傳出JavaScript軟體開發套件Solana Web3.js遭駭，開發人員若是不慎部署有問題的套件，開發環境就會被植入竊資軟體，到了週末，又有AI模型PyPI套件Ultralytics遇竊的情形。</p> <p>值得留意的是，雖然兩起事故開發團隊都迅速做出處置，撤下有問題的惡意套件，但Ultralytics後續還是有新的惡意套件出現，這起資安事故的進展相當值得留意。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166417"><strong style="font-size: 22px;">AI模型套件Ultralytics遭駭，數千用戶的開發環境恐遭植入挖礦軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GeCeRO_WkAAsEkD.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GeCeRO_WkAAsEkD.jpg" style="width: 300px; float: right;" /></a>軟體供應鏈資安事故頻傳，上週有JavaScript軟體開發套件Solana Web3.js遭駭的情況，導致有部分開發人員的加密貨幣資產遭竊，如今又有類似的資安事故出現。</p> <p>12月5日電腦工程博士Furkan Gözükara提出警告，擁有數百萬用戶的PyPI套件Ultralytics被入侵，導致用戶的環境被用於挖掘加密貨幣，由於此套件被用於訓練名為You Only Look Once（YOLO）的模型，因此已有許多用戶的Google Colab帳號，因為出現了濫用的跡象而被停用。</p> <p>Ultralytics創始人暨執行長Glenn Jocher證實此事，並表示他們已提供8.3.43版因應。該公司也在察覺此事後，隨即將有問題的版本下架，並表示他們的團隊正進行完整的資安稽核，以及導入進行防護措施，來避免類似事故再度發生。值得留意的是，這起事故似乎尚未結束，12月8日，有使用者發現新的惡意版本8.3.45、8.3.46版上架到PyPI，若是不慎安裝，開發環境會被植入挖礦軟體。</p> <p><a href="https://www.ithome.com.tw/news/166416"><strong style="font-size: 22px;">Blue Yonder遭駭導致多家零售業者停擺事故，勒索軟體Termite聲稱是元凶</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Termite-ransomware-Blue-Yonder-entry.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Termite-ransomware-Blue-Yonder-entry.png" style="width: 300px; float: right;" /></a></p> <p>11月21日松下電器旗下的SaaS軟體服務供應商Blue Yonder（原JDA Software）傳出遭到勒索軟體攻擊，導致客戶營運受到波及的情況，有駭客組織表明是他們所為。</p> <p>這起資安事故相當引人注目，原因在於Blue Yonder提供各種供應鏈與商業解決方案，涵蓋供應鏈管理、退貨管理、人力資源管理、零售業目錄管理、倉儲管理等領域，而且該公司客戶有不少是知名企業。事隔不到一週，已有星巴克、英國連鎖超市Sainsbury與Morrisons證實受到波及，營運部分流程被迫改以手動處理因應。</p> <p>根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織Termite聲稱這起事故是他們所為，並竊走了680 GB內部資料，其中包含電子郵件清單1.6萬筆，以及逾20萬份保險報告文件。但對於駭客的說法，Blue Yonder並未出面進一步發表公開說明。</p> <p><a href="https://www.ithome.com.tw/news/166391"><strong style="font-size: 22px;">英國電信龍頭BT Group傳出遭遇勒索軟體Black Basta攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/telecom-giant-bt-group-black-basta-ransomware-attack.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/telecom-giant-bt-group-black-basta-ransomware-attack.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站HackRead本月5日報導，勒索軟體駭客Black Basta近日聲稱對大型英國電信業者BT Group下手，攻擊其視訊會議業務分公司BT Conferencing，導致該公司部分主機暫停運作，駭客握有500 GB內部資料。對此，BT Group證實遭到攻擊，但強調受害範圍僅限於會議平臺，核心服務不受影響。</p> <p>為了證明成功入侵BT Group，駭客公布部分竊得檔案，以及檔案資料夾列表的螢幕截圖，並指出這批檔案包含財務資料、內部資料、使用者資料及個人文件、保密協議（NDA）與機密資料，並揚言若是BT Group不願支付贖金，他們將公開所有竊得的資料。不過，究竟駭客索討多少贖金？該篇報導並未提及。</p> <p><a href="https://www.ithome.com.tw/news/166386"><strong style="font-size: 22px;">親俄駭客對臺DDoS手法大公開，安碁資訊解析HTTP洪水攻擊防禦之道</strong></a></p> <p>自今年9月以來，臺灣遭遇兩波親俄駭客組織NoName057的DDoS攻擊，該組織不只是攻擊臺灣的政府單位與民間企業，另也輪流鎖定不同目標，包括捷克、法國、烏克蘭、奧地利、英國、羅馬尼亞等國，以及歐盟的多個關鍵CI網站服務，都是他們的攻擊對象。</p> <p>儘管先前的事件新聞報導後，已讓大家注意此次威脅，但實際DDoS攻擊手法的解析，國內鮮少有這方面的資訊，最近安碁資訊在其年末舉辦的資安講堂活動上，揭露了這次DDoS攻擊的不同之處。該公司指出，駭客發動的洪水攻擊與往常不同，一般DDoS防護與清洗機制無法防禦，因為這次洪水攻擊主要是用慢速耗盡資源且大量連線存取的方式。</p> <p>安碁資訊數位鑑識資安維運處處長蔡東霖指出，今年9月親俄駭客NoName057對臺發動的DDoS攻擊，主要攻擊型態是採「資源型攻擊」的HTTP洪水攻擊（HTTP Flood Attack），這樣的情況，與2022年裴洛西訪臺的DDoS攻擊型態明顯不同。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cloud-security/russias-bluealpha-apt-cloudflare-tunnels">俄羅斯駭客BlueAlpha透過Cloudflare Tunnels隱匿攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-android-spyware-found-on-phone-seized-by-russian-fsb/">遭俄羅斯軍方逮捕的軟體開發人員手機被植入間諜軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/browser-isolation-bypassed-qr-codes-used-in-novel-c2-attacks/">瀏覽器隔離機制可被濫用！研究人員揭露利用QR Code將C2命令傳送到受害電腦的攻擊手法</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-windows-zero-day-exposes-ntlm-credentials-gets-unofficial-patch/">Windows作業系統出現NTLM零時差漏洞，影響所有工作站、伺服器版本</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166336"><strong style="font-size: 22px;">AI帶動資安市場加速成長，Fortinet揭露自我轉型最新進度</strong></a></p> <p>生成式AI對資安產業帶來重大的影響，但是AI發展對資安產業的發展而言，不僅是危機卻也是轉機，更直接迫使資安業者必須積極轉型，以因應AI世代的來臨。</p> <p>Fortinet全球發言人暨執行副總裁Joe Sarno日前訪臺接受媒體訪問時表示，隨著數位化腳步的加速，網路安全威脅日益複雜多樣，Joe Sarno強調，人工智慧（AI）技術已成為資安領域的核心驅動力，未來也將協助企業更有效應對新興威脅，該公司並推動全球資安教育與平臺整合策略，致力於打造更安全的數位未來。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.narlabs.org.tw/xmdoc/cont?sid=0O344350550260684681&xsmsid=0I148622737263495777">國家實驗研究院與資安社群聯手舉辦CGGC網路守護者挑戰賽，由「海狗再打十年」隊奪冠</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166404"><strong>【12月6日】與中國駭客組織Daggerfly有關的駭客對美國大型企業從事4個月的情報收集</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166370"><strong>【12月5日】勒索軟體Brain Cipher聲稱攻擊Deloitte英國分公司並竊得大批資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166346"><strong>【12月4日】伊朗駭客APT35鎖定航太及半導體產業發動網釣攻擊</strong></a></p> </div></div></div>
2024/12/9 16:50作者周峻佑https://www.ithome.com.tw/news/166419
AI模型套件Ultralytics遭駭，數千用戶的開發環境恐遭植入挖礦軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體供應鏈資安事故頻傳，上週有<a href="https://www.ithome.com.tw/news/166400">JavaScript軟體開發套件Solana Web3.js遭駭</a>的情況，導致有部分開發人員的加密貨幣資產遭竊，如今又有類似的資安事故出現。</p> <p>12月5日電腦工程博士Furkan Gözükara提出警告，<a href="https://x.com/GozukaraFurkan/status/1864664278428450889">擁有數百萬用戶的PyPI套件Ultralytics被入侵</a>，導致用戶的環境被用於挖掘加密貨幣，由於此套件被用於訓練名為You Only Look Once（YOLO）的模型，因此已有許多用戶的Google Colab帳號，因為出現了濫用的跡象而被停用。</p> <p>Ultralytics是專精人工智慧（AI）領域的軟體開發公司，其中在開發人員較為有名的技術，就是前面提到的YOLO進階物件偵測模型，號稱能即時且準確地偵測及識別串流影片當中的物件。而這次遭到攻擊的PyPI套件，於GitHub得到超過3.3萬個星號、被分叉6,500次，並在一天之內就被下載超過26萬次。</p> <p>根據資安新聞網站Bleeping Computer的報導，<a href="https://www.bleepingcomputer.com/news/security/ultralytics-ai-model-hijacked-to-infect-thousands-with-cryptominer/">有問題的8.3.41、8.3.42版Ultralytics套件是在5日上傳</a>，一旦開發人員的電腦套用，就會一併被植入挖礦軟體，若是開發人員透過Google Colaboratory（Colab）建置這種開發環境，就有可能因為執行挖礦軟體而導致帳號被停用。</p> <p>由於Ultralytics也是SwarmUI和ComfyUI的相依性套件，這兩款套件的開發者也證實，若是使用者全新部署相關程式庫，就有可能導致開發環境被植入挖礦軟體。</p> <p>Ultralytics創始人暨執行長Glenn Jocher證實此事，<a href="https://github.com/ultralytics/ultralytics/issues/18030#issuecomment-2521580233">並表示他們已提供8.3.43版因應</a>。該公司也在察覺此事後，隨即將有問題的版本下架，並表示他們的團隊正進行完整的資安稽核，以及導入進行防護措施，來避免類似事故再度發生。</p> <p>對於攻擊的來源，Glenn Jocher透露很有可能來自香港。但究竟駭客的目的為何，是否洩露使用者的資料，目前仍不清楚。</p> <p>值得留意的是，這起事故似乎尚未結束，12月8日，有使用者發現<a href="https://github.com/ultralytics/ultralytics/issues/18027#issuecomment-2524853952">新的惡意版本8.3.45、8.3.46版上架到PyPI</a>，若是不慎安裝，開發環境會被植入挖礦軟體。</p> </div></div></div>
2024/12/9 16:41作者周峻佑https://www.ithome.com.tw/news/166417
Google DeepMind AI模型GenCast可提供15天氣象預報，比權威機構還準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Google DeepMind部門近日<a href="https://deepmind.google/discover/blog/gencast-predicts-weather-and-the-risks-of-extreme-conditions-with-sota-accuracy/" target="_blank">發表</a>AI模型GenCast，可提供未來15天的氣象預報，宣稱比歐洲權威機構還準，也準備不久後將相關資料開源。</p> <p dir="ltr">GenCast是高解析度（0.25°）AI整體模型（AI ensemble model）。所謂整體學習模型是指多個不同的機器學習模型（稱為基礎學習器）組合在一起，以便提高預測準確度和效能。GenCast是以DeepMind去年公布的氣象模擬模型<a href="https://www.ithome.com.tw/news/159834" target="_blank">GraphCast</a>為基礎，前者是以單一模型提供未來天氣最佳預測，並且是決定論（deterministic），指模型行為完全可預測，在相同的輸入條件下，每次執行的結果都是一樣。</p> <p dir="ltr">但GenCast的預測則是集結50個或更多預測而成，每種預測都代表一種可能的天氣發展軌跡。</p> <p dir="ltr">GenCast為一個擴散模型。許多圖片、影片和音樂生成模型的底層都是擴散模型。但GenCast差別在於它已融入地球的球形幾何，而且若能給它最近天氣狀態，它就能準確生成未來氣象的複雜機率分布。</p> <p dir="ltr">DeepMind團隊為它輸入歐洲氣象預報龍頭歐洲中期天氣預報中心（European Centre for Medium-Range Weather Forecasts，ECMWF）的ERA5檔案2018年以前的40年歷史資料。這批資料涵括不同海拔的溫度、風速、壓力。這個模型直接以這些天氣資料以0.25°解析度學習全球氣象樣態。</p> <p dir="ltr">在評估效能時，研究人員利用ECMWF 2019年後的資料來評估預練好的GenCast模型。研究團隊比較總共1320種組合的預測，涵括不同預測天數（如1、3、5、7天）、不同變數，結果顯示GenCast在97.2%的數據預測準確率超過歐洲官方的ENS模型，而在36小時以上的預測中，則有99.8%的數據超過ENS模型。GenCast在多種決策情境，預測極端氣候的價值超越現有運作最頂級的ENS模型。</p> <p dir="ltr">以整體預測作為氣象預報，如果大部份預測顯示熱帶氣旋襲擊地區相同，不確定性就低。如果預測的襲擊地點各式各樣，表示高度不確定。GenCast則可取得折衷，防止高估或低估預測的信心水準。研究小組以2019年侵襲日本東南的強烈颱風哈吉貝（Hagibis）為例說明，雖然GenCast在7天前的預測路徑很分散，但接下來就越來愈集中。</p> <p dir="ltr">GenCast的整體預測（ensemble）在單一顆Google Cloud TPUv5上只用了8分鐘即產生15天預測。每種預測皆可同時產生。相較之下，傳統整體預測，像是ENS以0.2°或0.1°解析度產生的預測工作，則需要在一臺數萬顆CPU的超級電腦上運算數小時。</p> <p dir="ltr">GenCast是Google AI氣象預測研發的最新進展。連同DeepMind的GraphCast、Google Research的NeuralGCM、SEEMS、洪水預測模型等，都將逐漸整合在Google搜尋和地圖中，增加對降雨、野火、洪水及熱浪等預測能力。</p> <p dir="ltr">DeepMind承諾很快會開放GenCast的即時和歷史預測資料，以及之前的模型，讓其他研究團隊將之整合到自有研究和模型中，也期望能和學術、氣象、資料科學家、再生能源業者及食物安全與災難回應組織合作，以利模型的實證研究。</p> </div></div></div>
2024/12/9 15:42作者林妍溱https://www.ithome.com.tw/news/166415
Blue Yonder遭駭導致多家零售業者停擺事故，勒索軟體Termite聲稱是元凶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月21日松下電器旗下的SaaS軟體服務供應商Blue Yonder（原JDA Software）<a href="https://www.ithome.com.tw/news/166196">傳出遭到勒索軟體攻擊</a>，導致客戶營運受到波及的情況，有駭客組織表明是他們所為。</p> <p>這起資安事故相當引人注目，原因在於Blue Yonder提供各種供應鏈與商業解決方案，涵蓋供應鏈管理、退貨管理、人力資源管理、零售業目錄管理、倉儲管理等領域，而且該公司客戶有不少是知名企業。事隔不到一週，已有星巴克、英國連鎖超市Sainsbury與Morrisons證實受到波及，營運部分流程被迫改以手動處理因應。</p> <p>根據資安新聞網站Bleeping Computer的報導，<a href="https://www.bleepingcomputer.com/news/security/blue-yonder-saas-giant-breached-by-termite-ransomware-gang/">勒索軟體駭客組織Termite聲稱這起事故是他們所為</a>，並竊走了680 GB內部資料，其中包含電子郵件清單1.6萬筆，以及逾20萬份保險報告文件。但對於駭客的說法，Blue Yonder並未出面進一步發表公開說明。</p> <p>值得留意的是，Termite也是近期出現的新興勒索軟體，最早是<a href="https://www.cyjax.com/resources/blog/the-devil-and-the-termite-data-leak-sites-emerge-for-chort-and-termite-extortion-groups/">資安業者Cyjax於11月下旬揭露</a>，當時研究人員指出，這些駭客宣稱已對全球5家企業組織進行攻擊，涵蓋汽車零件供應商、水處理公司、石油公司、教育組織、非政府組織，其中一個受害組織證實於10月17日遭到攻擊，導致IT系統運作中斷，研究人員不排除是該組織犯案所致。</p> </div></div></div>
2024/12/9 15:54作者周峻佑https://www.ithome.com.tw/news/166416
歐洲警方關閉網路犯罪市集Manson Market，逮捕兩名主要經營者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>12月5日<a href="https://www.europol.europa.eu/media-press/newsroom/news/fraudulent-shopping-sites-tied-to-cybercrime-marketplace-taken-offline">歐洲刑警組織（Europol）宣布</a>，由德國漢諾威警察局（Polizeidirektion Hannover）、Verden檢察官辦公室（Staatsanwaltschaft Verden）帶頭的跨國執法行動當中，成功破獲網路犯罪市集Manson Market（manson-market[.]pw），總共沒收超過50臺伺服器、收集逾200 TB證據，並於德國和奧地利逮捕現年27歲、37歲的主嫌，兩人目前遭到拘留。</p> <p>這起執法行動從2022年秋季開始，由德國、奧地利、捷克、芬蘭、荷蘭、波蘭的執法單位共同參與調查。</p> <p>當時就傳出有人佯裝銀行員工撥打詐騙電話，企圖進一步騙取用戶的敏感資料。執法人員根據歹徒濫用的個資進行調查，結果發現是來自特定的線上非法交易市集。此市集能讓買家根據地區及帳號類型，來購買外流的帳號資料。</p> <p>除此之外，執法人員還發現冒牌的線上商店網路，這些店家引誘消費者輸入付款資料，歹徒再從中截錄相關資訊並用於銷售。<a href="https://www.presseportal.de/blaulicht/pm/66841/5924114">德國漢諾威警察局透露</a>，約有57人受害，損失金額超過25萬歐元。</p> <p>德國漢諾威警察局進一步說明這起執法行動的成果，他們也沒收超過80臺數位裝置、手機、電腦，以及價值超過6.3萬歐元的現金及加密貨幣。此外，他們也提到執法過程當中，得到非營利資安機構Shadowserver基金會的支援。</p> </div></div></div>
2024/12/9 15:03作者周峻佑https://www.ithome.com.tw/news/166414
X平臺聊天機器人Grok開放給免費用戶，增加擬真圖片生成模型Aurora
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">社群平臺X的Grok聊天機器人周末開放所有用戶使用，且加入能生成高擬真相片的圖片生成模型Aurora。</p> <p dir="ltr">X原本只提供Premium方案用戶使用Grok，<a href="https://www.ithome.com.tw/news/165960" target="_blank">上個月</a>媒體發現X已在紐西蘭等地測試免費Grok。而在上周五，X<a href="https://x.com/blankspeaker/status/1864826210951307330" target="_blank">宣布</a>免費Grok已在全球上線。不過功能十分有限：一天只能分析3幀圖片，2小時只能訊息互動10次，涵括圖片在內。</p> <p dir="ltr">另一批X用戶周末<a href="https://x.com/blankspeaker/status/1864826210951307330" target="_blank">發現</a>xAI在周末發布全新的圖片生成模型Aurora，為X聊天機器人Grok加入文字回應之外的新功能。X員工證實此事，<a href="https://x.com/chrisparkX/status/1865406193776074965" target="_blank">說明</a>用戶現在可透過X應用程式的模型選擇器使用Grok2+Aurora。</p> <p dir="ltr">X或xAI並未提供關於Aurora的標竿測試評分或細節，不過顯然這個<a href="https://x.com/altryne/status/1865409776307376270" target="_blank">新模型</a>應該主打以假亂真的圖片生成能力。另一名用戶則<a href="https://x.com/EnsoMatt/status/1865413187740303628" target="_blank">展示</a>Aurora生成高品質的深偽圖片。</p> <p dir="ltr">X同時宣布Grok 3即將推出。配合新版聊天機器人的推出，X移除了Grok mini，用戶現在只能使用Grok 2。</p> <p dir="ltr">X動作頻頻，顯然是回應OpenAI上周宣布將有產品訊息12連發，包含影片生成AI模型Sora的推出。</p> </div></div></div>
2024/12/8 21:31作者林妍溱https://www.ithome.com.tw/news/166406
Meta公布輕巧版多語言模型Llama 3.3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Meta上周<a href="https://x.com/Ahmad_Al_Dahle/status/1865071436630778109" target="_blank">公布</a>700億參數的Llama 3.3，強調輕巧、更具成本效益，但保有Llama 3.1 4050億參數大語言模型的高效能。</p> <p dir="ltr">Llama 3.3是多語言大語言模型（multilinguistic large language model），分成預訓練及指令調校模型，前者是以15兆以上字詞訓練，而微調用的資料包含公開指令資料集及超過2,500萬筆合成範例。它可接受文字輸入提示生成文字或程式碼，脈絡長度為128k。Llama 3.3已在Llama 3.3社群授權協議（community license agreement）下開源於<a href="https://github.com/meta-llama/llama-models/blob/main/models/llama3_3/LICENSE" target="_blank">GitHub</a>及<a href="https://huggingface.co/meta-llama/Llama-3.3-70B-Instruct" target="_blank">Hugging Face</a>上。</p> <p dir="ltr">在模型技術上，Llama 3.3使用最佳化Transformer架構的自我廻歸（auto-regressive）語言模型。其調校版本使用監督式微調（supervised fine-tuning，SFT），並以人類回饋強化學習（reinforcement learning with human feedback，RLHF）以符合人類喜好，而提升其用處和安全性。所有模型都使用群組查詢注意力（Grouped-Query Attention，GQA）提升推論的擴充性。</p> <p dir="ltr">Meta說明，Llama 3.3為多語言對話應用場景優化，在許多常見產業標竿的效能表現，超越許多現有開源或封閉式對話模型。根據Meta公布的資料，Llama 3.3在多任務語言理解、財務、數學、多任務學習推理等標竿測試中，效能超越Llama 3.1 70B、Amazon Nova、Gemini Pro 1.5、GPT-4o，甚至Llama 3.1 405B。</p> <p dir="ltr">在適用情境上，Llama 3.3適用於多語言的商用及研究情境。Llama 3.3指令調校的純文字語言模型適合作為助理聊天機器人，而預訓練模型版本則可用於多種自然語言生成任務。其輸出還可用於改良其他模型，包括生成合成資料以及蒸餾，其使用的Llama 3.3社群授權也允許這麼做。但Meta也說明，違反相關法律或法規、或違反「可接受用途政策」、Llama 3.3社群授權的使用都會被禁止。</p> <p dir="ltr">目前Llama 3.3支援8種語言，包括英文、德語、西語、葡語、義語、法語、泰文和北印度語（Hindi）。但開發人員還是可以在符合授權協議及使用政策之下微調，以用於其他語言。</p> </div></div></div>
2024/12/8 22:01作者林妍溱https://www.ithome.com.tw/news/166407
MLCommons推出第一個LLM安全基準，促進AI風險評估標準化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開放工程聯盟MLCommons發布<a href="https://mlcommons.org/2024/12/mlcommons-ailuminate-v1-0-release/">AILuminate</a>，這是一款針對大型語言模型的安全性測試新工具，而這也是第一個由人工智慧研究人員和產業專家，共同合作設計的人工智慧安全基準，目的是要對當前受廣泛使用的大語言模型進行科學且獨立的風險分析，供企業整合人工智慧技術時參考。</p> <p>企業逐漸在業務或是產品中融入人工智慧，但是目前市場上卻缺乏針對人工智慧產品安全性的標準化工具，MLCommons創辦人Peter Mattson指出，人工智慧技術如同汽車或飛機等複雜技術一樣，需要有產業標準測試，以指引負責任的開發過程。而AILuminate的推出，不僅替開發者改善系統安全性提供了方向，也讓企業能夠更清楚自家系統的安全性評分。</p> <p>AILuminate安全評估涵蓋12類潛在危險，如煽動暴力犯罪、兒童性剝削、仇恨言論和智慧財產權侵害等，並藉由超過24,000條測試提示詞分析模型的回應表現。為了維持評估的科學嚴謹性，所有參與測試的模型事前均未得知測試內容，也無法使用被評估模型進行交叉驗證。這種設計避免了非嚴格基準測試中常見的偏差問題，確保測試過程的獨立性、客觀性與可信度。</p> <p>MLCommons已經使用AILuminate對多款大型語言模型進行安全性評估，並提供<a href="https://ailuminate.mlcommons.org/benchmarks/">詳細的結果分析</a>。在測試中，Anthropic Claude 3.5 Haiku和Claude 3.5 Sonnet、Google Gemma2 9B、微軟Phi 3.5 MoE Instruct皆達到非常好（Very Good）的等級。OpenAI GPT-4o與Meta Llama 3.1 405B Instruct模型被評為良好（Good）。</p> <p>Ministral 8B違反回應的數量是參考系統的1.5倍以上，並評為尚可（Fair），而Allen Institute for AI科學研究用的OLMo 7b 0724 Instruct模型則被評為差（Poor）。</p> <p>MLCommons的人工智慧風險與可靠性工作組負責AILuminate的開發工作，參與者有來自史丹佛大學、哥倫比亞大學與恩荷芬理工大學的研究學者，還有Google、英特爾、Nvidia、Meta與微軟等科技公司的專家。AILuminate目前已提供英文版本，將於2025年初推出法文、中文及印地文版本，工作組也會持續更新基準，確保人工智慧技術不斷改進的同時，AILuminate能應對未來的安全挑戰。</p> </div></div></div>
2024/12/8 21:16作者李建興https://www.ithome.com.tw/news/166405
首度用自研CPU，效能增4成，微軟第二批Arm運算服務登場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/azure_epsv6_series-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在<a href="https://azure.microsoft.com/en-us/blog/azure-virtual-machines-with-ampere-altra-arm-based-processors-generally-available/">2022年9月</a>，微軟正式推出基於<a href="https://www.ithome.com.tw/review/157971">Arm架構的執行個體服務</a>，當中採用的處理器是Ampere公司的Altra系列，<a href="https://azure.microsoft.com/en-us/blog/microsoft-azure-delivers-purpose-built-cloud-infrastructure-in-the-era-of-ai/">隔年11月，該公司宣布將推出多款自行研發的晶片</a>，其中之一，是基於Arm架構的處理器Azure Cobalt 100，強調這是雲端原生晶片（cloud-native chip），可針對一般用途的運算工作負載，提供最佳效能、能源使用效率，以及成本效益。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Cobalt-2023-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Cobalt-2023-1.jpg" style="width: 258px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Azure Cobalt-2023-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Cobalt-2023-2.jpg" style="width: 258px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Cobalt-2023-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Cobalt-2023-3.jpg" style="width: 600px;" /></a></p> <p>經過將近一年的發展與試用推廣，今年10月採用微軟自行研發處理器的第一批雲端運算服務，<a href="https://azure.microsoft.com/en-us/blog/azure-cobalt-100-based-virtual-machines-are-now-generally-available/">終於宣告正式上線</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Coblat VM-2024-11-21-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Coblat%20VM-2024-11-21-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cobalt100-based VM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cobalt100-based%20VM.png" style="width: 600px;" /></a></p> <p>何以微軟能夠自行研發Arm架構處理器？矽智財公司<a href="https://newsroom.arm.com/news/microsoft-custom-silicon-on-arm">Arm當時曾透露</a>，這款產品採用<a href="https://newsroom.arm.com/news/arm-neoverse-subsystems">同年8月發表的新型態矽智財平臺</a>：Neoverse運算子系統（Neoverse CSS），而<a href="https://www.servethehome.com/microsoft-azure-cobalt-100-128-core-arm-neoverse-n2-cpu-launched/">根據一些媒體的報導</a>指出是用了CSS N2平臺；<a href="https://newsroom.arm.com/news/enabling-ai-infrastructure-on-arm">到了今年2月</a>，Arm發表<a href="https://www.ithome.com.tw/tech/161699">CSS N3與CSS V3</a>之際，重申Azure Cobalt就是基於這個平臺而成的其中一個例子，而且明確提到它採用Neoverse CSS N2。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse CSS N2-Azure Cobalt-2024-02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20CSS%20N2-Azure%20Cobalt-2024-02.jpg" style="width: 600px;" /></a></p> <p>微軟在3個月後舉行的年度開發者大會<a href="https://azure.microsoft.com/en-us/blog/unleashing-innovation-the-new-era-of-compute-powering-azure-ai-solutions/">Build，宣布採用Azure Cobalt 100處理器的虛擬機器服務</a>，進入開放預覽試用階段，強調這批雲端服務可提供能源效率最高的運算環境，相較於前代Arm架構虛擬機器服務，效能領先幅度可達到40％，他們提到已有先期採用的客戶，像是：Elastic、MongoDB、Siemens、Snowflake、Teradata，微軟內部也有採用案例，像是Microsoft Teams使用的IT基礎架構平臺IC3（Intelligent Conversation and Communications Cloud），也採用Cobalt 100，運算效能提升45％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Cobalt VM-2024-05-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Cobalt%20VM-2024-05-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Cobalt VM-2024-05-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Cobalt%20VM-2024-05-3.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Build 2024-05-Cobalt 100.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Build%202024-05-Cobalt%20100.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Build 2024-05-Cobalt 100-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Build%202024-05-Cobalt%20100-2.jpg" style="width: 298px;" /></a></p> <p>若用於Java類型工作負載，Azure Cobalt 100處理器的虛擬機器服務，<a href="https://techcommunity.microsoft.com/blog/azurecompute/announcing-the-preview-of-new-azure-vms-based-on-the-azure-cobalt-100-processor/4146353">可提供50％的效能增長</a>，若用於網站伺服器、.NET應用程式、記憶體內快取應用，可獲得兩倍效能。除此之外，新的虛擬機器在本機儲存配置採用NVMe direct配置，儲存IOPS效能可達4倍，網路頻寬的部分，也增加50％。</p> <p>關於這批新推出的Arm架構雲端運算服務，微軟區分為3個系列的虛擬機器／執行個體，其中兩個是鎖定一般用途的Dpsv6系列與Dpdsv6系列，以及Dplsv6系列與Dpldsv6系列，另一個是記憶體最佳化的Epsv6系列與Epdsv6系列。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Cobalt VM-2024-05-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Cobalt%20VM-2024-05-2.jpg" style="width: 600px;" /></a></p> <p>就Dpsv6系列與Dpdsv6系列而言，用戶最大可配置96顆處理器與384 GiB記憶體的虛擬機器，每顆處理器對應的記憶體容量比例為1比4，適合執行橫向擴展規模的工作負載，以及雲端原生解決方案，像是Azure Kubernetes Service（AKS）上面執行的系統，可用於建置中小型開放原始碼資料庫、應用程式伺服器、網站伺服器，以及容器化應用程式，支援CI/CD流程、軟體開發與測試等情境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dpsv6 and Dplsv6-series-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dpsv6%20and%20Dplsv6-series-1.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Dpdsv6 and Dpldsv6-series-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dpdsv6%20and%20Dpldsv6-series-1.png" style="width: 298px;" /></a></p> <p>在Dplsv6系列與Dpldsv6系列中，用戶最大可配置96顆處理器與192 GiB記憶體的虛擬機器，每顆處理器對應的記憶體容量比例為1比2，適合多媒體編碼、小型資料庫、遊戲伺服器、微服務，以及記憶體不需要大容量配置的工作負載。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dpsv6 and Dplsv6-series-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dpsv6%20and%20Dplsv6-series-2.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Dpdsv6 and Dpldsv6-series-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dpdsv6%20and%20Dpldsv6-series-2.png" style="width: 298px;" /></a></p> <p>至於Epsv6系列與Epdsv6系列，用戶最大可配置96顆處理器與672 GiB記憶體的虛擬機器，每顆處理器對應的記憶體容量比例為1比8，由於虛擬機器的記憶體容量較大，可因應大型資料庫、記憶體內快取應用，以及資料分析工作負載。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Epsv6 and Epdsv6-series-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Epsv6%20and%20Epdsv6-series-1.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Epsv6 and Epdsv6-series-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Epsv6%20and%20Epdsv6-series-2.png" style="width: 298px;" /></a></p> <p>到了今年10月，微軟宣布採用Azure Cobalt 100的虛擬機器服務全面推出，組態配置與相關效益都與先前所揭露的相同，此時他們額外強調性價比可提升50％，優於既有的Arm架構虛擬機器服務，可吸引更多用戶廣泛支援各種雲端原生工作負載，像是資料分析、網站與應用程式伺服器、開放原始碼資料庫、快取等。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Cobalt100-VM-2024-11-27-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Cobalt100-VM-2024-11-27-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Cobalt100-VM-2024-11-27-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Cobalt100-VM-2024-11-27-2.jpg" style="width: 600px;" /></a></p> <p>而在導入用戶案例的部分，微軟列出Cadence、Databricks、Rescale、Siemens、Snowflake、Synopsys、Templafy等公司的證言。關於效能提升的部分，Elastic提到搭配Cobalt 100處理器的虛擬機器，提供更好的吞吐量，效能比前代Arm虛擬機器改善37％；Rescale表示，這批新推出的Arm虛擬機器的效能改善40％；Templafy 表示，Azure Cobalt 100虛擬機器吞吐量高出25％，處理器使用率減少35％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Cobalt 100 Arm-based VMs momentum-2024-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Cobalt%20100%20Arm-based%20VMs%20momentum-2024-11.jpg" style="width: 600px;" /></a></p> <p>而在合作廠商的部分，<a href="https://techcommunity.microsoft.com/blog/azurecompute/announcing-the-preview-of-new-azure-vms-based-on-the-azure-cobalt-100-processor/4146353">Arm此時也針對採用Azure Cobalt 100的虛擬機器服務提出說明</a>，他們公開在前後代Neoverse N系列平臺執行不同工作負載的效能差異，涵蓋網站伺服器、Java應用程式、資料庫，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Cobalt 100-Screenshot-2024-10-14-at-10_23_16 AM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Cobalt%20100-Screenshot-2024-10-14-at-10_23_16%E2%80%AFAM.jpg" style="width: 600px;" /></a></p> <p>以及高效能運算（HPC）、電子設計自動化（EDA）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Cobalt 100-Screenshot-2024-10-14-at-10_25_30 AM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Cobalt%20100-Screenshot-2024-10-14-at-10_25_30%E2%80%AFAM.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Arm Cobalt 100-Screenshot-2024-10-14-at-10_25_49 AM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Cobalt%20100-Screenshot-2024-10-14-at-10_25_49%E2%80%AFAM.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">微軟Azure Cobalt 100虛擬機器</span></strong><br /> ●原廠：微軟<br /> ●建議售價：東南亞區域，Dpsv6系列的D2ps v6（2顆虛擬處理器、8 GiB記憶體）隨用隨付方案每月63.8020美元<br /> ●執行個體服務選擇：Dpsv6系列與Dpdsv6系列、Dplsv6系列與Dpldsv6系列、Epsv6系列與Epdsv6系列<br /> ●搭配的處理器平臺：Azure Cobalt 100第一代，3.4 GHz、128顆Arm Neoverse CSS N2核心<br /> ●運算資源最大配置：<br /> Dpsv6系列與Dpdsv6系列提供96顆vCPU、384 GiB記憶體<br /> Dplsv6系列與Dpldsv6系列提供96顆vCPU、192 GiB記憶體<br /> Epsv6系列與Epdsv6系列提供96顆vCPU、672 GiB記憶體</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/12/7 01:24作者李宗翰https://www.ithome.com.tw/review/166337
【資安日報】12月6日，與中國駭客組織Daggerfly有關的駭客對美國大型企業從事4個月的情報收集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客從事網路間諜活動的情況，在今天出現兩起事故，一起是針對美國大型企業而來，而另一起則是針對維吾爾族和圖博人士的攻擊行動。</p> <p>其中，發生在美國企業的資安事故相當值得留意，因為揭露此事的資安業者賽門鐵克指出，他們僅能確認駭客至少從事4個月的活動，但推測對方入侵的時間點，應早於他們看到的攻擊活動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166390"><strong style="font-size: 22px;">美國大型企業組織遭到中國駭客入侵，鎖定Exchange伺服器發動攻擊，目的是收集情報</strong></a></p> <p>中國駭客對美國企業及政府機關發動攻擊的情況不時傳出，最近有研究人員公布8個月前開始出現的資安事故，並指出駭客活動期間為今年4月至8月，持續進行4個月之久，疑似進行情報收集。</p> <p>資安業者賽門鐵克揭露一起鎖定美國大型企業組織的網路間諜活動，並指出受害企業在中國具有相當重要的影響力。駭客疑似為了進行情報收集，於受害組織的網路環境持續活動。根據這波攻擊行動使用的工具，研究人員推測，攻擊者應該來自中國。根據掌握的證據，加上該企業也曾於去年遭到攻擊，研究人員認為，攻擊者很可能與中國駭客組織Daggerfly有所關連。</p> <p>研究人員表示，從4月11日起，他們開始看到這些駭客於受害企業網路環境活動的跡象，不排除對方更早就開始進行活動的可能。因為，當時這些駭客透過WMI在其中一臺電腦下達可疑命令，並透過另一臺電腦的執行滲透測試工具Impacket。由此看來，當時駭客至少已成功占領兩臺電腦，因此研究人員推測，攻擊行動很有可能在此之前就已經開始。</p> <p><a href="https://www.ithome.com.tw/news/166396"><strong style="font-size: 22px;">維吾爾族及圖博人士遭鎖定，駭客搭配漏洞利用攻擊包MoonShine、後門程式DarkNimbus進行滲透</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EarthMinotaur-Fig01.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/EarthMinotaur-Fig01.png" style="width: 300px; float: right;" /></a>中國駭客針對圖博及維吾爾族的攻擊行動不時傳出，而最近研究人員公布的攻擊行動當中，駭客暗中從事間諜活動長達5年，直到如今才被揭露。</p> <p>趨勢科技揭露名為Earth Minotaur的駭客組織，駭客使用名為MoonShine的漏洞利用攻擊套件，並針對安卓行動裝置與Windows電腦，部署名為DarkNimbus的後門程式，主要目標是圖博與維吾爾族人，意圖藉此進行長時間的監控。</p> <p>研究人員指出，他們從2019年就開始利用MoonShine相關攻擊行動，並在調查的過程當中，發現未以安全方式運作而「露餡」的MoonShine伺服器，掌握該漏洞利用工具及相關事件記錄資料，進而得知攻擊者使用的技倆，以及駭客鎖定的標的。</p> <p><a href="https://www.ithome.com.tw/news/166391"><strong style="font-size: 22px;">英國電信龍頭BT Group傳出遭遇勒索軟體Black Basta攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/telecom-giant-bt-group-black-basta-ransomware-attack.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/telecom-giant-bt-group-black-basta-ransomware-attack.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站HackRead本月5日報導，勒索軟體駭客Black Basta近日聲稱對大型英國電信業者BT Group下手，攻擊其視訊會議業務分公司BT Conferencing，導致該公司部分主機暫停運作，駭客握有500 GB內部資料。對此，BT Group證實遭到攻擊，但強調受害範圍僅限於會議平臺，核心服務不受影響。</p> <p>為了證明成功入侵BT Group，駭客公布部分竊得檔案，以及檔案資料夾列表的螢幕截圖，並指出這批檔案包含財務資料、內部資料、使用者資料及個人文件、保密協議（NDA）與機密資料，並揚言若是BT Group不願支付贖金，他們將公開所有竊得的資料。不過，究竟駭客索討多少贖金？該篇報導並未提及。</p> <p><a href="https://www.ithome.com.tw/news/166400"><strong style="font-size: 22px;">JavaScript軟體開發套件Solana Web3.js遭駭，從開發人員電腦竊走18萬美元加密貨幣</strong></a></p> <p>12月4日傳出JavaScript軟體開發套件（SDK）Solana遭遇供應鏈攻擊，導致部分版本程式庫被植入後門程式碼，開發人員的加密貨幣錢包私鑰將會遭竊，使得資產被洗劫一空。對此，Solana開發團隊也證實確有此事，並在1.95.8版發行公告進行相關說明。</p> <p>這起事故的揭露，最早是由專門研究及開發Solana相關工具的軟體業者Anza揭露，該公司主管Trent.sol最先提出警告，指出1.95.6及1.95.7版的Solana SDK「solana-web3.js（或寫成@solana/web3.js）」被植入竊資軟體，將會導致私鑰流出。若是使用上述版本的SDK，應儘速升級至1.95.8版。此外，他強調1.95.5版不受影響。</p> <p>雲端程式監控業者Datadog研究員Christophe Tafani-Dereeper指出，攻擊者在SDK當中植入名為addToQueue的功能，並利用看似合法的Cloudflare標頭來洩露私鑰。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=165809&SPOKE_DATE=20241205&COMPANY_ID=2609"><strong style="font-size: 22px;">陽明海運傳出部分資訊系統遭遇網路攻擊</strong></a></p> <p></p> <p>12月5日陽明海運於股市公開觀測站發布重大訊息，指出他們察覺有部分資訊系統遭遇網路攻擊的情況，該公司資安團隊查知此事，已全面啟動相關防禦機制，委請外部資安業者及技術專家共同處理，並依法向相關部門進行通報。</p> <p>針對此事可能會造成的損失或影響，陽明表示，根據他們的初步評估，營運尚無重大影響。他們未來將持續提升網路與資訊基礎架構的安全管控，確保資訊安全。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://iverify.io/blog/iverify-mobile-threat-investigation-uncovers-new-pegasus-samples">資安業者iVerify揭露新的間諜軟體Pegasus威脅</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/this-3000-android-trojan-targeting.html">安卓木馬DroidBot鎖定77家銀行客戶而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cloud-security/russias-bluealpha-apt-cloudflare-tunnels">俄羅斯駭客BlueAlpha透過Cloudflare Tunnels隱匿攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/anel-and-noopdoor-backdoors-weaponized.html">MirrorFace攻擊行動鎖定日本而來，散布Anel、NoopDoor惡意程式</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166393"><strong style="font-size: 22px;">以AI對付詐騙展現絕佳創意！英國電信業者O2祭出反詐騙新招，推出AI阿嬤和詐騙電話「過招」</strong></a></p> <p>詐騙電話橫行，有電信業者想出奇招，利用AI科技牽制歹徒，讓他們無法對一般民眾行騙。</p> <p>上個月英國電信業者O2發表AI阿嬤（AI Granny）Daisy，這個「阿嬤」結合各種AI模型，這些模型進行協同合作，而能夠即時接聽詐騙電話，並跟歹徒聊天。該公司號稱Daisy栩栩如生，不少歹徒一口氣就跟AI阿嬤通話40分鐘。</p> <p>這項詐欺誘餌（Scambaiter）的製作，是該公司「讓詐騙者轉彎（Swerve the Scammers）」活動的一部分。Daisy採用一系列最先進的AI技術打造而成，並由專門對抗詐騙的北愛爾蘭YouTuber吉姆·布朗寧（Jim Browning）進行訓練，可以在無人介入的情況下，全天候與歹徒進行閒聊。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/mitel-micollab-zero-day-flaw-gets-proof-of-concept-exploit/">Mitel視訊協作平臺MiCollab存在零時差漏洞，研究人員公布相關細節</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166370"><strong>【12月5日】勒索軟體Brain Cipher聲稱攻擊Deloitte英國分公司並竊得大批資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166346"><strong>【12月4日】伊朗駭客APT35鎖定航太及半導體產業發動網釣攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166328"><strong>【12月3日】惡意軟體SmokeLoader假借報價名義攻擊臺灣多個領域的企業</strong></a></p> </div></div></div>
2024/12/6 18:00作者周峻佑https://www.ithome.com.tw/news/166404
【資安月報】2024年11月，身分安全與AI成資安熱點，電信業滲透事件敲響警鐘
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2024年11月資安新聞，身分安全與AI的最新進展是廣泛關注的焦點，同時，臺灣上市櫃公司本月發布了7起資安事件重大訊息，而全球電信業面臨的滲透攻擊與零時差漏洞利用的狀況，更是持續引發各界高度重視。在此我們彙整7大資安焦點，帶大家快速回顧本月的關鍵新聞與趨勢。</p> <p><strong style="color: rgb(255, 0, 0);">身分安全強化有新進展</strong></p> <p>身分安全是本月國內資安防護新聞的一大焦點，有多項消息與此有關。例如，我們在11月發布的一篇封面故事，就是介紹國內近期出現首批導入Passkey的網路服務業者；還有數發部將要求廣告平臺業者，實證驗證刊播廣告者的身分，以及NCC要求電信事業強化商業簡訊風險管控機制，如含有URL、短網址或電話號碼，需檢查發送者身分，要與登錄資料相符才能協助發送。此外，在國際間，也有Google Cloud預告明年強制啟用MFA的消息。</p> <p><strong style="color: rgb(255, 0, 0);">AI熱度不減，帶來的挑戰與機會持續受關注</strong></p> <p>面對AI能力進步顯著的今日，有哪些最新態勢值得留意？我們列舉以下重要消息：以AI帶來的資安挑戰而言，資安業者Palo Alto Networks本月在臺灣年度用戶大會上，指出攻擊者出手速度越來越快，滲透與外洩資料間隔越來越短，從3年前的平均是9天，隨著AI和其他技術的不斷興起，去年已縮短至兩天，最近的調查更是縮短至4小時內，大幅壓縮防守方調查應變時間；以AI帶來的資安機會而言，Google公布AI抓漏專案Big Sleep受矚目，因為這是利用LLM模仿人類安全專家找出漏洞的突破，當中找出SQLite的堆疊緩衝區下溢漏洞，成為這類應用的第一個公開實例。</p> <p>關於企業這一年來必須掌握的重要變化，英國標準協會（BSI）在這個月舉行的2024年會上，不僅強調百工百業用AI的最新態勢，也提醒大家關注AI風險，因為今年這議題已被世界經濟論壇（WEF）列為近年最重大風險，臺灣企業應提升AI治理力。</p> <p><strong style="color: rgb(255, 0, 0);">eBPF技術、聯合學習發展成焦點</strong></p> <p>10月有CNCF技術委員會成員來臺，揭露eBPF是K8s未來3大重要進展之一，本月舉行的思科亞太區用戶大會，同樣展現這方面的應用，指出併購Isovalent後帶來Cilium這項技術，並指出eBPF就是Cilium的核心技術，讓思科能強化網路可觀測性，顯現eBPF技術正被看好；另一是國內的科技防詐創新研發態勢上，11月初臺北金融科技展中有3項聯合自主實證計畫亮相，都是關於用AI聯合學習提升防詐能力，顯現聯合學習正受看重。</p> <p><strong style="color: rgb(255, 0, 0);">臺灣重大資安事件</strong></p> <p>關於上市櫃公司遭遇網路資安事件，發布資安重訊的業者有6家，涵蓋紡織業、汽機車製造業、印表機製造業，以及電子零組件業，同時還有被動元件大廠與電信寬頻設備大廠，分別代美國與菲律賓子公司公告遭駭。<br /> ●第一星期有1起，力鵬表示楊梅廠部分主機遭受加密攻擊。<br /> ●第二星期有2起，三陽工業說明部份資訊系統遭受駭客網路攻擊。<br /> ●第三星期有1起，國巨代子公司KEMET補公告網路資安事件。 <br /> ●第四星期有3起資安重訊，包括誠研、晟楠，中磊代子公司Sercomm Philippines公告。</p> <p>還有2起與臺灣有關的威脅與風險揭露，同樣值得留意，包括：中國駭客Evasive Panda開發可攔截Session及Cookie的惡意軟體工具包，資安業者ESET指出前兩年有臺灣政府機關與宗教團體遇害；中華電信提供寬頻網路用戶的D-Link數據機被發現漏洞，由於該設備年初已終止支援、目前仍有近6萬臺正在使用，引發外界高度關注。</p> <p><strong style="color: rgb(255, 0, 0);">重訊揭露具體損失展現透明度</strong></p> <p>在上述國巨發布的重大訊息中，具體公布了美國子公司基美電子（KEMET）的取消訂單金額與閒置產能損失，相當難得。其實，這方面的透明度，對於證券市場投資者而言，相當重要，因為美國證券市場近年已經要求企業揭露相關資訊，必須揭露生產力損失、可能的聲譽損失或事件應變損失。在國內，2018年台積電的重訊記者會，曾具體公開這方面資訊，今年11月國巨在臺灣證券交易市場，也主動公開子公司的這方面資訊，未來希望有更多國內上市櫃公司跟進，展現資安處理的透明度。</p> <p>值得注意的是，雖然主動揭露資安重大訊息相當難能可貴，可惜國巨這次仍受罰，為什麼會這樣？臺灣對於上市櫃企業資安大訊息發布的規定，在於發現資安事件後於次一營業日開盤前2小時發布。也就是第一時間就要發布資安重訊，但由於這些損失可能無法第一時間算出，可能需要第二次重訊來說明。以國巨這次發布而言，由於忽略了前者，被證交所依違反重訊規定開罰5萬元。</p> <p><strong style="color: rgb(255, 0, 0);">多國電信業者遭中國駭客鎖定</strong></p> <p>美電信業遭中國駭客組織Salt Typhoon滲透的後續消息不斷，更受外界關注的是，還有更多全球電信業也是中國駭客的目標，這個月就有不同資安業者相繼揭露這方面的狀況。例如，趨勢科技揭露Salt Typhoon近期攻擊東南亞電信業者的事故中，使用多款後門程式，包含未被揭露的GhostSpider、模組化的SnappyBee、跨平臺的Masol RAT；資安業者CrowdStrike則公布中國駭客Liminal Panda多年來持續鎖定南亞、非洲電信業者從事網路間諜活動。</p> <p><span style="color:#FF0000;"><strong>攻擊者持續發展新攻擊手法與挖掘新漏洞</strong></span></p> <p>在威脅與攻擊手法方面，有2則新聞顯露出新的攻擊態勢，例如有研究人員發現第一個鎖定Linux主機的惡意UEFI Bootkit，並認為這個名為Bootkitty的惡意程式很可能在早期開發階段；有資安業者對近期興起的ZIP檔案串接手法（ZIP Concatenation）示警，指出此手法只有在某些解壓縮工具執行下才會現身，相當具隱蔽性。此外，攻擊者使用自帶驅動程式（BYOVD）攻擊的手法越來越多，這個月又有兩起行動是鎖定Avast、Palo Alto Networks的狀況。</p> <p>至於駭客發動零時差漏洞利用攻擊的情形，這個月依然嚴峻，包括微軟有兩個（CVE-2024-43451、CVE-2024-49039）、蘋果有兩個（CVE-2024-44309、CVE-2024-44308）、Palo Alto Networks有兩個（CVE-2024-0012 、CVE-2024-9474），Oracle有1個（CVE-2024-21287），還有臺廠奇偶科技的EOL設備也有1個（CVE-2024-11120）。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/165831"><span style="color: rgb(178, 34, 34);">【資安週報】1028~1101，中國駭客組織動作頻頻，打造可攔截Session及Cookie的惡意工具，挖掘產品未知漏洞並用於攻擊行動</span></a></strong></h2> <p>10月最後一星期的資安消息中，在國家級駭客威脅態勢上，有3起關於中國駭客組織攻擊的重要消息，其中兩起備受重視，一是中國駭客組織Evasive Panda打造惡意軟體工具包CloudScout的情形被資安業者揭露，而且已被用於針對臺灣政府機關和宗教團體的實際攻擊行動，由於該工具包可攔截Session及Cookie，將能存取Google Drive、Gmail、Outlook等公有雲服務；另一是資安業者Sophos揭露有駭客在四川地區從事漏洞的研究、利用與開發，再提供給中國政府資助的多個駭客組織進行使用，除此之外，中國政府支持的攻擊者也針對其他品牌的網路與資安設備，同樣是近年多家資安業者不斷警告的嚴重威脅。</p> <p>●中國駭客Evasive Panda開發可攔截Session及Cookie的惡意軟體工具包，資安業者ESET發現臺灣政府機關與宗教團體在前兩年成為其攻擊目標。<br /> ●中國駭客近5年鎖定多家廠牌的網路設備、資安設備，挖掘零時差漏洞從事攻擊行動，資安業者Sophos揭露最新研究報告Pacific Rim。<br /> ●前兩個月殭屍網路Quad7的威脅大幅提升，微軟揭露最新調查結果，指出中國駭客Storm-0940所為，並有多組中國駭客使用該殭屍網路所竊得的帳密資料。</p> <p>還有俄羅斯駭客Midnight Blizzard（APT29）的威脅，需關注其大規模攻擊活動，因為根據微軟威脅情報中心釋出的最新消息顯示，APT29正寄送內含惡意RDP組態檔案且高度針對性的釣魚郵件，英國、歐洲、澳洲、日本等數十國的政府、學術界、國防、非政府組織都是目標。</p> <p>勒索軟體也是主要的威脅焦點，有多家資安業者揭露不同勒索軟體的最新動向。例如，SonicWall在8月下旬修補的SonicOS漏洞CVE-2024-40766，如今有資安業者指出勒索軟體Fog、Akira的攻擊行動在初期入侵時，就是利用SonicWall防火牆設備的SSL VPN帳號；10月底資安研究人員發現CyberPanel伺服器管理平臺存在3種弱點，後續發現已有攻擊者鎖定可公開存取的CyberPanel發動攻擊，並部署勒索軟體Psaux；有資安業者揭露勒索軟體駭客Black Basta使用新的戰術，先透過網釣郵件，再透過微軟Teams進行社交工程攻擊引誘使用者上當。</p> <p>還有兩個威脅態勢同樣值得留意，包括有研究人員展示新的Windows安全降級手法，可在Windows核心植入Rootkit，以及有資安業者揭露香港、巴基斯坦關鍵基礎設施遭遇Cobalt Whisper攻擊，發現濫用紅隊演練工具Cobalt Strike並使用超過30個誘餌檔案。</p> <p>在資安事件方面，當中許多是先前公眾已知事故的後續消息，涵蓋國內外的紡織業、電信與ISP業者、醫療業。</p> <p>●臺灣上市紡織纖維業力鵬在28日發布重訊，說明楊梅廠部分主機於凌晨遭受加密攻擊，本地備份資料亦遭刪除，現正自異地備援資料還原中。<br /> ●美國多家ISP業者先前傳出中國駭客Salt Typhoon入侵，美國FBI與CISA證實這項消息，說明已通知受影響的公司，並鼓勵潛在受害者與政府機關共同應對。<br /> ●法國大型ISP業者Free先前傳出資料被兜售於駭客論壇，該公司證實資料遭到外流，並說明是管理工具被鎖定而遇害，導致部分個資遭到未經授權存取。<br /> ●美國醫療服務供應商UnitedHealth今年2月遭勒索軟體攻擊，該公司半年多後通報美國衛生及公共服務部的資料顯示新的消息，外洩的用戶資料高達1億筆。</p> <p>在資安防護上，我們認為有3個消息最要注意，分別是：找出產品未知漏洞的競賽、攻破駭客網路基礎設施的行動，以及面對AI時代發展的國安政策。首先，Pwn2Own Ireland 2024幫助提前找出逾70個零時差漏洞，其次歐盟與荷蘭執法單位搗毀竊資軟體RedLine、Meta的基礎設施，第三是美國政府發布首個AI國家安全備忘錄。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/165936"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1104~1108，用戶身分安全受矚目，焦點涵蓋Passkey無密碼登入、金融Fast-ID、強制啟用MFA清</span></strong></a></h2> <p>11月第一週的資安消息中，在防護動向上，以身分安全為主要焦點，有3起消息都與此有關，其焦點涵蓋Passkey無密碼登入、金融Fast-ID，以及強制啟用MFA。</p> <p>例如：我們最近發布的封面故事，就是關於臺灣網路服務業者至少已有3家業者，包括：露天市集、可樂旅遊、智冠科技，均在大力宣傳「Passkey無密碼登入」，或是「FIDO生物識別登入」，這不僅代表開始跟上國際業者腳步，也讓用戶能有更安全簡便的登入方式；關於金融Fast-ID驗證轉接中心的進度，先前金管會已透露將於明年6月上線，11月初台北金融科技展上更是公布先導機構預計達20家，不只銀行、保險、證券期貨，也擴及投信投顧與政府機構；Google Cloud宣布明年強制啟用MFA的消息中，提到目前仍有3成帳號未啟用MFA，打破眾人對IT人員早就啟用MFA、重視帳號安全的想像，因此引發外界關注。</p> <p>還有兩則新聞突顯資安防護上的新技術焦點，我們認為同樣值得關注，一是聯合學習，一是AI抓漏。前者是在科技防詐的發展中，臺灣金融業正聚焦聯合學習技術的應用，目前已有3項實證計畫都在檢驗其有效性，並要促進應用落地；後者是涉及LLM模仿人類安全專家找出漏洞的發展，Google的Project Zero團隊與DeepMind共同研發的AI抓漏專案Big Sleep，已有首個公開實例出現。</p> <p>另外值得一提的是，臺灣駭客年會企業場在11月登場，副總統蕭美琴也到場支持並給予鼓勵，不只推動產官學研與社群力量的持續合作，更強調確保供應鏈的穩定，將能增強外商對臺灣的信心。</p> <p>在威脅態勢方面，有一起針對臺灣的攻擊最值得留意，思科Talos指出今年7月出現針對臺灣的臉書企業用戶及廣告帳號的攻擊，其手法是以侵犯版權為由，或假冒企業的法律部門，企圖散布竊資軟體LummaC2、Rhadamanthys。還有兩則駭客攻擊活動揭露，都與資安產品被鎖定有關。</p> <p>●臺灣企業臉書粉專管理員遭鎖定，駭客聲稱收信人的公司盜用他們的圖片及影片，揚言採法律行動，誘騙收信人開啟偽冒為PDF的可執行檔，以植入竊資軟體。<br /> ●英國國家網路安全中心（NCSC）揭露有攻擊者鎖定Sophos XG防火牆設備植入Pygmy Goat的後門程式，資安業者Mandiant分析攻擊者與與中國駭客有關。<br /> ●有攻擊者將舊版的Cortex XDR代理程式部署到企業，資安業者Palo Alto Networks指出這是藉由自帶驅動程式（BYOVD）手法。<br /> ●繼上月美國多家電信業者電信業者傳出遭中國駭客Salt Typhoon入侵，新加坡電信也傳出受駭，並且疑為同一駭客所為。<br /> ●安卓惡意軟體FakeCall的攻擊手法有新招，不僅藉由網路釣魚以植入惡意程式，還可將通話重新導向至攻擊者控制的詐騙號碼。<br /> ●研究人員揭露可濫用ChatGPT-4o的新手法，將惡意指令編寫成16進位可繞過原有安全護欄的防護。</p> <p>至於資安事件方面，在國內，以生產汽機車聞名的上市公司三陽工業，發布資安重訊說明部份資訊系統遭受駭客網路攻擊；國際間，則有2起消息受關注，包括：施耐德電機傳出Jira伺服器資料外洩、駭客聲稱從Nokia合作廠商竊得原始碼。</p> <p>在漏洞消息方面，這一星期有4大漏洞利用狀況，其中CyberPanel伺服器管理平臺的漏洞最受關注，因為在研究人員揭露相關漏洞資訊後出現攻擊行動，這可能突顯安全研究人員與供應商之間溝通不良，造成用戶需要為此買單的狀況。</p> <p>●CyberPanel上月修補經研究人員通報的安全漏洞，後續發現攻擊者鎖定並布署勒索軟體Psaux，美國CISA將CVE-2024-51567列入已知漏洞利用清單。<br /> ●11月Android例行安全更新中，修補已遭利用的安卓框架元件零時差漏洞CVE-2024-43093，以及高通上月修補的零時差漏洞CVE-2024-43047。<br /> ●Palo Alto Networks在7月修補Expedition轉移工具的漏洞CVE-2024-5910，11月8日該業者接獲CISA通知，已有證據顯示該漏洞正被積極利用。<br /> ●開源Web伺服器Nostromo nhttpd在2019年修補的老舊漏洞CVE-2019-16278，如今仍有攻擊者鎖定未修補用戶發動攻擊。</p> <p>至於其他漏洞修補動向，還可以留意的包括：HPE Aruba Networking的Wi-Fi基地臺系統軟體、思科的工控無線URWB路由器、以及ABB的智慧建築能源管理系統的漏洞修補。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/166056"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1111~1115，國巨代子公司發布資安事件公告，主動揭露損失金額成新榜樣</span></strong></a></h2> <p>11月第2周的資安新聞中，在資安事件方面，以上市公司國巨代子公司發布資安事件重訊最特別，該公司不僅是揭露資安事故，也公布該事故對財務的影響，對資安透明度起到示範作用。</p> <p>這是因為，過去我們看到近年國外公司遭遇資安事件，有時都會揭露該事件帶來的損失金額，但很少國內公司這麼做，如今國巨在針對子公司基美電子（KEMET）資安事件的損失揭露上，提出具體金額與占比的說明。根據其公告的損失包括：取消訂單金額約60萬美元（約1,800萬元），占2022年度銷貨收入約0.04%，以及閒置產能損失約310萬美元（約1億元），占2022年度營業利益約0.75%。</p> <p>在漏洞消息方面，這一星期適逢多家IT廠商釋出每月例行安全更新，其中微軟修補修補的CVE-2024-43451最要注意，因為該漏洞至少從今年4月起就被利用，後續是在ClearSky研究人員在烏克蘭CERT-UA的幫助下，拼湊出今年6月疑似俄羅斯入侵烏克蘭學術伺服器的攻擊事件，進而發現這個漏洞並通報微軟。<br /> ●微軟修補4個零時差漏洞，其中2個已遭利用，分別是涉及Windows NTLMv2的CVE-2024-43451，以及有關Windows工作排程器的CVE-2024-49039。<br /> ●Palo Alto Networks在10月初修補兩個漏洞<span data-testid="page-header-vuln-id">CVE-2024-9463、</span>CVE-2024-9465，一個月後，發現攻擊者開始鎖定這些已知漏洞利用於攻擊行動。<br /> ●3個老舊漏洞持續遭攻擊者鎖定利用，包括Atlassian在2021年修補Jira Server與Data Center的漏洞CVE-2021-26086，Metabase在2021年修補GeoJSON API的漏洞CVE-2021-41277，思科在2014年修補ASA的漏洞CVE-2014-2120。</p> <p>其他重要漏洞消息方面，包括D-Link已停止支援的老舊NAS設備被發現重大漏洞，研究人員呼籲用戶盡速汰換設備；有資安業者揭露物聯網裝置雲端控管平臺Ovrc的10個漏洞，指出物聯網裝置越來越廣泛，這類平臺的安全更顯重要。</p> <p>在威脅態勢上，有3個態勢值得留意，包括網攻資料竊取速度加快、攻擊者濫用SEO的現況，以及新興的ZIP檔案串接手法（ZIP Concatenation），這不僅是利用多個ZIP檔案串接成單一檔案，使惡意軟體得以隱藏在檔案結構中，而且一起攻擊活動中，以7-Zip開啟會是無害PDF檔，用WinRAR或是Windows檔案總管開啟則會讓惡意檔案現身，容易對使用者產生更大的威脅。<br /> ●Palo Alto Networks在臺灣年度用戶大會指出網路攻擊者出手速度越來越快，從3年前平均9天縮短至去年的2天，最近的調查更是縮短至4小時內。<br /> ●近年冒牌電子商務網站數量暴增，資安業者趨勢科技與日本警界等聯手調查，發現攻擊者先對合法網站植入SEO惡意軟體，僅而讓搜尋結果出現駭客廣告。<br /> ●惡意軟體GootLoader不僅利用搜尋引擎最佳化中毒的手法來入侵，近期還特別鎖定澳洲，針對愛貓人士而來。<br /> ●中國駭客APT41利用惡意軟體框架DeepData Framework跟蹤政治人物與記者，東南亞多國被鎖定。<br /> ●資安業者對近期興起的ZIP檔案串接手法（ZIP Concatenation）示警，此手法正被攻擊者積極利用，有些解壓縮工具才會讓惡意檔案就會現身，相當具隱蔽性。</p> <p>另外值得警惕的是，駭客透過假冒方式散布惡意軟體的情形有兩起，顯示這類假冒與社交工程的手法依然活躍，包括有攻擊者利用偽裝成Windows版GitHub應用程式，散布惡意軟體Fickle Stealer，以及以取名相近的方式假冒熱門Python套件SSH自動化函式庫fabric。</p> <p>在資安防護方面，本星期有兩大重要新聞，一是為了防範詐騙、網釣連結等問題，多家簡訊商因應NCC祭出的新規範，開始實施建立商業簡訊的白名單機制；另一是思科近期宣布擴大雲端保護方案布局，新增Cillium與Hypershield，當中顯現出該公司對於eBPF技術的重視，由於上個月CNCF技術委員會成員來臺揭露K8s未來3大發展焦點時，其中一項也就是eBPF，突顯這項發展多年的eBPF技術，如今正被資安界看到更多可能性。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/166180"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1118~1122，中國駭客組織持續攻擊全球，發起間諜行動與零時差漏洞利用等攻擊</span></strong></a></h2> <p>11月第3周的資安新聞中，在威脅態勢方面，最重要是中國駭客鎖定電信業者的間諜行動，後續消息不斷，不只是多家美國電信業受害，其他國家電信業也傳出遭攻擊，如今資安業者CrowdStrike公布最新研究證實此事，指出中國駭客Liminal Panda已鎖定南亞、非洲電信業者多年。</p> <p>此外，11月中旬適逢黑色星期五行銷活動前夕，以這項活動為誘餌、騙取信用卡及個資的網釣威脅揭露，一直是每年這個時間的新聞焦點，而最近一起攻擊行動的發現中，顯現是中國駭客SilkSpecter主導。</p> <p>另要關注的是，中國駭客組織是近期零時差利用的主要威脅來源之一。繼上星期我們報導資安業者BlackBerry揭露APT41的近期行動，後續資安業者Volexity揭露該群駭客組織的最新手法，指出發現利用FortiClient零時差利用情形，先前已經通報業者（尚未登記CVE），用戶需多加偵測並注意廠商的回應與緩解。</p> <p>在漏洞消息方面，有多達6個明確的零時差漏洞利用的情形，涵蓋資安產品、企業產品，與消費端裝置，這些漏洞已被攻擊者利用，用戶應儘速更新並清查是否遭入侵，尤其Palo Alto Networks的漏洞，Shadowserver基金會追查發現全球約有2千臺防火牆疑似遭入侵，臺灣也有58臺。<br /> ●Palo Alto Networks針對旗下防火牆修補2個已出現攻擊行動的零時差漏洞，分別是CVE-2024-0012 、CVE-2024-9474。<br /> ●Oracle針對旗下產品生命週期管理Agile PLM產品，修補已遭利用的零時差漏洞CVE-2024-21287。<br /> ●臺廠奇偶科技多款已終止支援的視訊監控設備，發現零時差漏洞CVE-2024-11120被鎖定利用的情形，用戶應汰換設備因應。<br /> ●蘋果針對旗下多個作業系統與Safari瀏覽器修補2個已遭利用的零時差漏洞CVE-2024-44309、CVE-2024-44308，尤其Intel處理器的Mac電腦用戶最要注意。</p> <p>還有3個已知漏洞，近期被發現有駭客鎖定利用，包括Progress今年2月修補Kemp LoadMaster負載平衡設備的CVSS滿分重大漏洞CVE-2024-1212，以及VMware今年9月修補vCenter Server的漏洞CVE-2024-38812、CVE-2024-38813。</p> <p>至於資安事件方面，這一星期國內有3家上市櫃公司資安重訊，涵蓋網通、電腦周邊設備與電子零組件業。<br /> ●電信寬頻設備大廠中磊代子公司Sercomm Philippines發布重訊，說明該菲律賓公司有部份資訊系統遭受駭客網路攻擊。<br /> ●印表機製造商誠研發布資安重訊，說明部份資訊系統遭受駭客網路攻擊。<br /> ●電子零組件業晟楠發布資安重訊，說明外部伺服器遭受駭客攻擊。<br /> ●上星期國巨代美國子公司發布資安重訊，由於事故發生是在10月12日，等於事發相隔一個月才公布，違反重訊發布規範，證交所開罰5萬元。<br /> ●美國汽車大廠福特傳出4萬多筆顧客資料外洩，先是有駭客在地下論壇兜售，後續該公司表示資料是從第三方業者流出。</p> <p>在資安防護發展方面，我們看到AI治理與個資法的議題，分別是全球與臺灣關注資安風險的重點。首先，BSI揭露國際趨勢與展望，指出AI引發的「錯誤資訊與假消息」，已經被世界經濟組織（WEF）列為近兩年10大風險之首，同時強調AI系統管理標準ISO 42001與AI治理力的重要性，以及國內企業需掌握到國際間對「董事會義務」的高度重視。</p> <p>其次，在臺灣，關於個人資料檔案安全維護管理辦法有新重要變動，過去政府已規範多個產業，包括數位經濟相關產業、製造業及技術服務、綜合商品零售業等。近日焦點在於「綜合零售業」更名「零售業」，且擴大列管的範圍，涵蓋所有資本額達到1千萬元的零售業，從原本600多家，擴大至包含服飾業者Uniqlo、NET，以及全國電子等6,800多家零售業者。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/166286"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1125~1129，中華電信提供寬頻網路用戶的D-Link數據機被發現漏洞，該設備年初已終止支援，近6萬臺仍在使用</span></strong></a></h2> <p>11月最後一周的資安新聞中，在漏洞消息方面，有2大漏洞利用消息與1項漏洞警訊需要優先關注，都與邊緣裝置安全有關，涵蓋Array Networks、Zyxel Networks與D-Link的網路產品。</p> <p>●大宇集團旗下Array Networks去年3月修補的SSL VPN系統漏洞CVE-2023-28461，如今發現有駭客開始利用此已知漏洞發動攻擊。<br /> ●兆勤科技（Zyxel Networks）今年9月修補防火牆漏洞CVE-2024-42057，隨著資安業者Sekoia示警，後續兆勤警告攻擊者開始鎖定這項已知漏洞。<br /> ●中華電信提供許多個人及政府機關的D-Link數據機DSL-6740C，本月被國內資安研究人員揭露存在8個漏洞。</p> <p>值得注意的是，這2項漏洞利用的幕後凶手已被資安業者查出，趨勢科技揭露中國駭客組織Earth Kasha最新攻擊行動，就是利用上述Array的漏洞與另一Fortinet已知漏洞作為入侵起始點，臺灣與日本的企業均有受害案例；資安業者Sekoia揭露勒索軟體Hellodown的攻擊行動，指出是利用上述兆勤漏洞入侵。由於已出現攻擊行動，我們要提醒的是，還沒修補的用戶需盡速更新與清查是否已受影響。</p> <p>而D-Link數據機的DSL-6740C漏洞揭露亦是一大警訊，因為該設備今年初已終止支援，加上臺灣現在還有多達57,945臺仍在運作，顯示出中華電信處理EOL設備的速度太慢，以及還有很多人並不知道這類設備需要中華電信更換。</p> <p>在資安事件上，11月底感恩節前夕有一起勒索軟體攻擊事件受矚目。美國供應鏈管理業者Blue Yonder遭攻擊後導致服務中斷，影響北美1.1萬家星巴克門市與英國2家連鎖超市等系統，使其員工只能手動作業，且3天後系統仍未恢復。</p> <p>國內也發生一起事件值得我們警惕，就是北捷AI客服被測試發現可代寫程式碼。過去ChatGPT等生成式AI常因提示注入攻擊（Prompt Injection）被誘導，超出違反原本的安全或使用限制，因此後續各界不斷強調提高AI安全護欄能力。雖然此次未達惡意濫用程度，但已暴露國內可能輕忽系統AI安全護欄的問題。</p> <p>在資安威脅態勢上，有多個中國與俄羅斯駭客組織的攻擊活動被揭露，其攻擊目標相關廣泛，涵蓋瀏覽器、作業系統，也有鎖定電信業者，以及針對圖博（西藏）民眾等：<br /> ●近兩個月Firefox與微軟分別修補的零時差漏洞（CVE-2024-9680、2024-49039），如今資安業者ESET公布幕後攻擊者是名為俄羅斯駭客Tropical Scorpius（又名UNC2596）所串連利用，並會植入後門程式RomCom。<br /> ●電信業注意！關於中國駭客組織Salt Typhoon攻擊全球電信業又有後續消息，趨勢科技揭露攻擊者會植入名為Demodex的rootkit程式，而近期攻擊東南亞電信業者的事故中，還使用先前未曾揭露的GhostSpider等多款後門程式。<br /> ●中國駭客TAG-112新一波鎖定圖博新聞媒體、大學網站的攻擊被揭露，目的是針對瀏覽網站的使用者電腦植入Cobalt Strike，目前尚不知駭客利用那些漏洞。<br /> ●鄰居被駭也是自家被攻擊的前奏，最近資安業者Volexity公布俄羅斯駭客APT28在俄烏戰爭前夕藉由Wi-Fi管道的攻擊方式－－Nearest Neighbor Attack。<br /> ●駭客濫用防毒軟體元件從事自帶驅動程式（BYOVD）攻擊的手法越來越多，最近一起是針對Avast的驅動程式元件而來，以停用受害電腦防護機制。</p> <p>在資安防禦新聞中，我們觀察到兩個關鍵議題備受關注，包括：促進民間資安情報的聯防合作以及打擊網路犯罪，分別是臺灣與全球關注資安風險的重點。</p> <p>首先是今年台灣資安通報應變年會，透露了TWCERT/CC的日後新方向，指出為了讓聯防更有效果，將以情資角度作為向企業溝通的方式，而不像過去從事件通報角度向企業溝通，目標是讓企業回報的內容，可以更聚焦在聯防需要的情資，意即：何種類型攻擊、可能攻擊標的、入侵指標（IoC）、攻擊手法等關鍵資訊。</p> <p>另一個是全球在查緝網路犯罪方面取得新成果。國際刑警與非洲刑警聯手行動，在19個非洲國家逮捕了千餘名嫌犯。其中部分犯罪行動涉及高技術含量，例如在肯亞破獲的一起網路信用卡詐騙案中，駭客利用修改銀行系統安全協議的方式，執行惡意腳本竊取資金，並流向多國司法管轄區內的金融相關機構。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/165787">【2024年10月資安月報】關切資安法修法、零信任、CMMC 2.0與資訊作戰，迎向不斷變化的資安威脅考驗</a></h3> <h3><a href="https://www.ithome.com.tw/news/165258">【2024年9月資安月報】數十個臺灣政府機關、企業的網站服務遭受DDoS攻擊</a></h3> <h3><a href="https://www.ithome.com.tw/news/165169">【2024年8月資安月報】</a></h3> <h3><a href="https://www.ithome.com.tw/news/164223">【2024年7月資安月報】</a></h3> <h3><a href="https://www.ithome.com.tw/news/164110">【2024年6月資安月報】</a></h3> <h3><a href="https://www.ithome.com.tw/news/163420">【2023年5月資安月報】</a></h3> <p> </p> </div></div></div>
2024/12/6 15:22作者羅正漢https://www.ithome.com.tw/news/166394
Martech雙周報第66期：Meta揭露自家個人化廣告機制中的超大規模資料檢索系統Andromeda
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(1124~1207)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Meta廣告 #ML #AI廣告代投</span></span></strong><br /> <strong>Meta揭露個人化廣告檢索系統Andromeda</strong></p> <p>全球各大廣告平臺積極發展AI廣告代投，廣告二哥Meta也不例外，近月不斷推出Advantage+廣告代投新功能，佐以各式生成式AI圖文素材生成功能，要用AI自動化數位廣告流程的絕大多數流程。</p> <p>Meta揭露Advantage+背後的技術之一，Andromeda。這是一個機器學習系統，主要工作是根據使用者特性、廣告主目標等廣告需求，初步檢索出適合的廣告候補。這個階段中，Andromeda要從上千萬則廣告中，挑選出幾千則廣告，提供給後續更精細的排序模型來逐步篩選出最終應呈現廣告。初步檢索階段須處理的數據規模最大，且需要為後續排序演算法爭取計算時間，才能在不影響Meta使用者體驗的情況下，快速呈現廣告。</p> <p>為此，他們專門針對Nvidia Grace Hopper和自家AI晶片MTIA來打造深度神經網路，同時設計了根據當下資源動態調整運算複雜度的機制，來確保運算效率和穩定性。同時，他們不用常見的雙塔或ANN（近似最鄰近檢索）檢索法，而是採用分層式索引法（Hierarchical indexing），先將廣告數據分成不同層次和群組，來快速檢索出最具相關性的廣告數據。</p> <p>他們也揭露了部分AI廣告代投成效。Advantage+ Creative為廣告主平均提升22%ROAS。使用AI圖像生成技術的廣告主提升了7%轉換率。在Instagram和 Facebook部署Andromeda後，廣告檢索能力提升了6%，廣告品質分數增加了8%。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI類Martech #AI代理人 #Martech之父</span></span></strong><br /> <strong>Martech之父新調查：企業如何應用</strong><strong>AI類Martech，AI行銷代理人如何影響企業IT治理？</strong></p> <p><a href="https://chiefmartec.com/2024/12/martech-for-2025-a-brand-new-108-page-report-on-ai-use-cases-stack-foundations-and-market-structure/">Martech之父Scott Brinker發布了一篇關於AI如何影響Martech業界的調查報告，並指出了其中幾項他認為值得關注的觀察。</a></p> <p>首先是企業如何應用AI類Martech。調查將AI類應用分為新工具，以及嵌入既有Martech中的嵌入類工具。企業應用新工具的場景多為單純的內容生成，前三常見用法是文章發想、文章撰寫、影像生成；嵌入類工具則更多元，包含資訊整理、內容優化與測試、個人化體驗呈現等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11ai-martech-imbedded-new-to.png" style="height: 550px;" /></p> <p>商業模式上，開始有更多AI類服務從以使用者帳號為收費單位的軟體即服務（Software as a service），走到以服務使用次數為收費單位的服務即軟體（Service as a software）。這個現象，在需要動用廠商自家雲端基礎建設資源的聊天機器人類服務尤其顯著。</p> <p>Scott Brinker還寫到，隨著生成式AI類Martech普及，企業內部會出現超大量的AI生成程式。舉例來說，光是請ChatGPT整理並圖表化一段資料，背後就是一串Python程式碼。不過，人類員工對於AI自主產生的程式碼，掌控度甚至比用Low code/no code工具產生的程式碼還要低。長期來說，會對於企業程式碼治理和調度帶來考驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/111martech-hypertail-ai-agents-1024x511.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN #DMP #LBS</span></span></strong><br /> <strong>Line推出結合第一方數據與統一OpenPoint等第三方消費數據的廣告投放選項</strong></p> <p>Line宣布推出Line RMN Solution數位廣告服務，這是Line廣告平臺上的一個新服務，支援投放通路包括Line生態圈App、廣告主電商官網、第三方電商平臺等。</p> <p>此服務所使用的數據包括Line Beacon地理數據、Line Cross Buy線上銷售數據，以及第三方DMP聯盟數據，來支援精準廣告投放。其中，DMP聯盟成員包括統一數網，手握統一生態圈1,800萬名Open Point會員。未來Line還計畫將更多外部零售商、發票載具、支付工具、電商平臺營運商等第三方數據來源納入DMP聯盟。</p> <p>Line還宣布了其他新功能，包括：用生成式AI技術支援的官方帳號多語言自動客服機器人、根據行銷素材圖生成行銷文案的文案生成機器人，以及官方帳號分析工具升級，將能依照年齡與性別來分析訊息成效。（<a href="https://www.ithome.com.tw/news/166228">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI代理人 #聊天機器人 #企業數據整合</span></span></strong><br /> <strong>Super 8推出可以調度MA、數據處理及各式生成式AI功能的AI代理人產品</strong></p> <p>臺灣Martech廠商雲發互動科技Super 8發表兩個生成式AI Martech產品，第一是InsightArk ，將企業數據轉化為洞察，第二則是MessageHero，根據這些洞察快速生成具備情境智能、可以執行客服等任務的AI代理人。兩產品預計明年一二季陸續推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/super8.jpg" style="width: 600px;" /></p> <p>這些產品背後，有由多個負責不同任務的AI代理人協作，包括資料查閱、數據洞察、內容生成等代理人。為了降低幻覺並提升回答精準度，他們混合使用不同模型，並讓代理人相互監督、審查彼此的作業，搭配RAG等技術，來打造專屬企業的生成式AI代理人及功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#金融第一方數據 #廣告聯播網</span></span></strong><br /> <strong>西聯匯款推出廣告聯播網，主打從第一方金流數據發掘顧客文化背景來強化行銷精準度</strong></p> <p><a href="https://corporate.westernunion.com/2024/11/11/western-union-launches-media-network-business-offering-brands-unparalleled-reach-and-engagement-with-globally-diverse-audiences/">國際金流公司西聯匯款（Western Union）推出廣告聯播網服務</a>，在官網、行動應用程式，以及部分零售商的數位戶外廣告（DOOH）投放廣告。廣告主也能透過此服務，在數位平面廣告、數位影片、OTT及CTV等外部通路投放廣告。廣告購買模式包括自助式和專案式。</p> <p>西聯匯款表示，自家數據特色在於，跨國金流數據可以解析出許多獨特的顧客特徵面向，例如匯款者的故鄉、文化背景、給薪頻率等，有助於他們劃分出有別於其他數據來源的受眾分類。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#短影音行銷 #創作工具</span></span></strong><br /> <strong>Youtube短影音新策略，將3分鐘內影音自動轉為Shorts以提升短影音廣告規模</strong></p> <p>Youtube<a href="https://www.youtube.com/watch?v=RvGWn4XfF2Q">持續強打短影音</a>，最新拓展Shorts廣告規模的策略是，把1至3分鐘的影片自動歸類為叫作Longer Shorts的影片類型，在頻道及主頁上以Shorts形式呈現，而非一般影音。</p> <p>這意味著，行銷人員可以把握Youtube新做法，使更多中短長度的影片獲得較高曝光。若依然想要以一般影音形式呈現3分鐘內影片，則可以用16比9等較寬的影片比例上傳，來避免影片自動被轉換為Shorts。</p> <p>另外，Youtube將與更多第三方行動App整合，新增直接上傳Shorts的功能，來進一步降低創作者上傳Shorts的門檻，以提升平臺上短影音數量。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#智慧客服 #AI代理人</span></span></strong><br /> <strong>Amazon推出客服服務代理人等新客服類生成式AI功能</strong></p> <p><a href="https://www.businesswire.com/news/home/20241201681975/en/Amazon-Connect-Puts-Generative-AI-to-Work-Improving-End-to-End-Customer-Experiences">AWS於re:Invent活動中宣布多個旗下客服服務Amazon Connect的生成式AI新功能。</a>首先，此服務開始支援自動化分群功能，在主動接觸客戶時，能根據個別用戶或具有相似特徵的群體，透過多種通訊通路對話。</p> <p>他們整合到Connect的聊天機器人服務Amazon Q，現在開始支援企業打造客服用聊天機器人，甚至是可以執行特定業務的客服代理人，例如全自動協助顧客更改機票的機器人。Amazon Q in Connect也新增了更多AI安全措施的自定義選項，讓企業能更細緻掌控AI生成內容。</p> <p>Connect還新增了生成式AI驅動的客服表現評估工具，可以快速分析大量語音和文字客服互動，來提供客服人員改善建議，甚至協助客服主管製作教育訓練素材。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態</span></strong></span></p> <p>1. Meta將關閉身心健康、政治等相關敏感主題的精準投放功能，並關閉相關主題Conversions API功能</p> <p>2 <a href="https://www.ithome.com.tw/news/166277">加拿大政府要求Google售出SSP和Ad Exchange的廣告業務</a></p> <p>3. <a href="https://www.youtube.com/watch?v=RvGWn4XfF2Q">Youtube強化創作者與廣告主媒合原生廣告內容的平臺功能</a></p> <p>4. <a href="https://newsroom.spotify.com/2024-12-04/your-spotify-wrapped-ai-podcast-is-here-to-help-you-reconnect-with-the-music-that-defined-your-year/">今年Spotify個人年度回顧是利用NotebookLM打造而成</a></p> <p>資料來源：iThome整理，2024年12月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Chief Martec、郭又華攝</p> <p></p> </div></div></div>
2024/12/6 17:24作者郭又華https://www.ithome.com.tw/news/166395
JavaScript軟體開發套件Solana Web3.js遭駭，從開發人員電腦竊走18萬美元加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>12月4日傳出JavaScript軟體開發套件（SDK）Solana遭遇供應鏈攻擊，導致部分版本程式庫被植入後門程式碼，開發人員的加密貨幣錢包私鑰將會遭竊，使得資產被洗劫一空。</p> <p>這起事故的揭露，最早是由專門研究及開發Solana相關工具的軟體業者Anza揭露，<a href="https://x.com/trentdotsol/status/1864053347461771321">該公司主管Trent.sol最先提出警告</a>，指出1.95.6及1.95.7版的Solana SDK「solana-web3.js（或寫成@solana/web3.js）」被植入竊資軟體，將會導致私鑰流出。若是使用上述版本的SDK，應儘速升級至1.95.8版。此外，他強調1.95.5版不受影響。</p> <p>後來<a href="https://x.com/anza_xyz/status/1864085236432134264">Anza透露</a>，這起事故發生的原因，是@solana/web3.js其中一個能夠具備發布軟體權限的帳號遭駭，導致攻擊者能在未經授權的情況下發布惡意套件。一旦開發人員安裝這些惡意套件，攻擊者就有可能竊取他們的私鑰，從而榨乾加密貨幣資產。不過，該公司認為，未受到代管的錢包應不受影響。</p> <p>Anza認為，這起事故發生的原因並非源自Solana本身的通訊協定，而是特定的JavaScript程式庫導致，他們研判只會影響直接處理私鑰的流程，以及其他在世界協調時間（UTC）12月2日下午3月20分至晚間8時25分更動的內容。</p> <p>他們提及Solana開發團隊已察覺此事，並撤下1.95.6及1.95.7版，Anza除呼籲開發人員升級新版，若是懷疑自己可能受到這起事故影響，應該輪替疑似遭到竄改的授權金鑰因應。</p> <p>雲端程式監控業者Datadog<a href="https://bsky.app/profile/did:plc:zwlpsxw2udovqf4mbfi4ibqf/post/3lcgt6l7s4c2a">研究員Christophe Tafani-Dereeper指出</a>，攻擊者在SDK當中植入名為addToQueue的功能，並利用看似合法的Cloudflare標頭來洩露私鑰。</p> <p>供應鏈資安業者Socket<a href="https://socket.dev/blog/supply-chain-attack-solana-web3-js-library">彙整了整起事故的發生經過</a>，並免費提供他們的工具讓開發人員檢測。</p> <p>對此，Solana開發團隊也證實確有此事，並<a href="https://github.com/solana-labs/solana-web3.js/releases/tag/v1.95.8">在1.95.8版發行公告</a>進行相關說明。</p> <p>針對這起事故的受害範圍，資安新聞網站Bleeping Computer根據研究人員提供的加密貨幣錢包位址進行調查，<a href="https://www.bleepingcomputer.com/news/security/solana-web3js-library-backdoored-to-steal-secret-private-keys/">約有18.4萬美元的加密貨幣遭竊</a>。</p> </div></div></div>
2024/12/6 17:51作者周峻佑https://www.ithome.com.tw/news/166400
【每日吞吐16萬件商品，儲存貨量超過340萬件的關鍵】Momo南臺最大智慧物流中心作業圖解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:20px;"><strong>Momo新啟用的南區儲配運輸物流中心最新公開智慧物流內部作業流<span style="color:#000000;">程，包括了進貨（流程1~5）、揀貨（流程6~8）、理貨（流程11~12）、出貨（流程13）等4大類、13項作業。這是Momo用自動化物流設備和軟體，讓340萬件存貨的物流中心，創造出每天16萬件商品出貨能力的關鍵。</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1211-cover-2-600.jpg" style="width: 600px;" /></p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#696969;"> 流程1 </span><span style="background-color:#B22222;"> 進貨 </span></span> <span style="color:#B22222;">大材積商品驗貨</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B1.jpg" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>Momo大材積商品會直接堆疊到棧板上。貨物運到物流中心時，必須先登錄商品品項、數量及存放的棧板。</strong></span></p> <p> </p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 流程2 </span><span style="background-color: rgb(178, 34, 34);"> 進貨 </span></span> </strong><span style="color:#B22222;"><span style="font-size:28px;"><strong>大材積商品入庫</strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B2.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>棧板入庫棧板式AS/RS前，會經過地板上感應器，掃描棧板上條碼。系統讀取棧板資訊後，發布倉儲派令、登錄儲存情況。</strong></span></p> <p> </p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 流程3 </span><span style="background-color: rgb(178, 34, 34);"> 進貨 </span></span> </strong><span style="color:#B22222;"><span style="font-size:28px;"><strong>多樓層棧板式AS/RS</strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B3.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>貫穿多樓層的棧板式AS/RS負責儲存箱裝商品，南區物流中心的棧板位數較北區物流中心高，約15,000位。此系統存取主機的水平行走速度每分鐘180公尺，升降速度每分鐘55公尺，每小時支援110板進貨和120板出貨量。</strong></span></p> <p> </p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 流程4 </span><span style="background-color: rgb(178, 34, 34);"> 進貨 </span></span> </strong><span style="color:#B22222;"><span style="font-size:28px;"><strong>小材積商品驗貨</strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B4.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>小材積商品進貨與大材積進貨流程不同。進貨時，人員從粉色物流箱拿出商品，刷條碼驗貨、登錄商品。不在資料庫的新商品，會用一旁DWS（體積重測量系統）測量尺寸及重量。</strong></span></p> <p> </p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 流程5 </span><span style="background-color: rgb(178, 34, 34);"> 進貨 </span></span> </strong><span style="color:#B22222;"><span style="font-size:28px;"><strong>跨樓層螺旋式輸送機</strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B5(2).png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>小材積商品驗貨完畢，會透過一旁跨樓層的螺旋式輸送機，運到不同樓層，進行後續處理。這包括進入專門儲存小尺寸商品的穿梭式AS/RS，或是裝上棧板存入特定倉儲區。</strong></span></p> <p> </p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 流程6 </span></span></strong><span style="font-size:28px;"><span style="color:#FFFFFF;"><span style="background-color:#008000;"> </span></span><strong><span style="color:#FFFFFF;"><span style="background-color:#008000;">揀貨 </span></span> <span style="color:#008000;">穿梭式AS/RS支援揀貨</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B6.jpg" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>穿梭式AS/RS存取主機的水平行走速度每分鐘210公尺，升降速度每分鐘60公尺，較棧板式快速，使其能更好支援揀貨。除了儲存小尺寸商品，穿梭式AS/RS還會儲存高周轉率商品。箱裝商品拆箱後，零散商品也會暫存於穿梭式AS/RS，供之後訂單須併件時取出。</strong></span></p> <p> </p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 流程7 </span></span></strong><span style="font-size:28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 128, 0);"> </span></span><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 128, 0);">揀貨 </span></span> <span style="color:#008000;">初步揀貨</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B7.jpg" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>商品從穿梭式AS/RS取出，會運到緊鄰的揀貨站。工作人員依照系統指示揀出訂單所須商品，放進灰色物流箱。若該訂單還須匯集來自其他箱的商品，則物流箱會放到人員後方的合流輸送帶上，到下一站暫存，或到播種臺合併到同一箱。</strong></span></p> <p> </p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 流程8 </span></span></strong><span style="font-size:28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 128, 0);"> </span></span><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 128, 0);">揀貨 </span></span> <span style="color:#008000;">播種臺匯集同訂單商品</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B8.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>來到播種臺，Momo採用一次能同時處理360張訂單的DAS（自動分貨系統）系統，來輔助訂單商品合併及分貨。揀貨人員會根據DAS系統燈號指示，從灰色物流箱揀取商品，將同一訂單商品放到對應的粉紅色物流箱。按下完成燈後，將物流箱交給緊鄰播種臺的分裝人員來完成包裝（播種台因作業區無法進入拍攝，Momo用影片展示，後兩張圖為影片截圖）</strong></span></p> <p> </p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 流程9 </span></span></strong><span style="font-size:28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color:#ff6600;"> </span><strong><span style="background-color:#ff6600;">包</span></strong></span><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#ff6600;">貨</span></strong><span style="background-color:#ff6600;"> </span></span> <span style="color:#ff6600;">分工分流包貨臺</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B9.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>包貨臺會依據不同包裹類型和送貨型態來分工。舉例來說，標籤格式不同的宅配單件和超商單件，就會有分到不同包貨臺作業。也有些包貨臺不緊鄰播種臺，所處理的商品由推車送至。包貨人員會將有訂單資訊的條碼貼到紙箱上，供理貨階段讀取。</strong></span></p> <p> </p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 流程10</span></span></strong><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> </span></span></strong><span style="font-size:28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color:#3399ff;"> </span><strong><span style="background-color:#3399ff;">回收 </span></strong></span><strong> <span style="color:#3399ff;">機械手臂堆疊物流空箱</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B10.jpg" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>商品分裝完後，空的物流箱由機械手臂快速整理、堆疊，以利後續再利用。此機械手臂每小時能堆疊360個物流箱，用途看似平凡無奇，但能有效省下一個班4至8個人，甚至雙11等巔峰時段20個人份的大量人力。</strong></span></p> <p> </p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 流程11</span></span></strong><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> </span></span></strong><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#cc33ff;"> 理貨 </span></span> <span style="color:#cc33ff;">感應系統分流貨物</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B11.jpg" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>商品在樓上分裝完畢，會再透過輸送帶，從各樓層一路運回1樓理貨、出貨區。這裡設有一座搭載感應器的關卡，負責掃描紙箱上標籤的QR Code，帶入負責物流公司、送貨區域等訂單資訊，將裝箱好的商品分配到14條理貨區輸送帶上，再由理貨人員根據對應的不同物流公司及車次，將商品裝載到貨車上。此感應門掃描速度相當快，一道門就能負責整座南區物流中心全部出貨包裹的讀取、登記和分配。在一般時期，感應門每小時掃描約6,000箱包裹，以一定程度增加掃描精確度。到了雙11節等訂單暴增的大型檔期，則會火力全開，最快每小時能掃描7,500個紙箱上的QR Code，並搭配輸送帶區域的防錯機制來彌補掃描異常情況。</strong></span></p> <p> </p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 流程12</span></span></strong><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> </span></span></strong><span style="font-size:28px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color:#cc33ff;"> 理貨 </span></span> <span style="color:#cc33ff;">商品從輸送帶裝上籠車</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B12.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>商品經過感應關卡後，會根據訂單資訊，分別送到理貨區的14條輸送帶。其中，第14條輸送帶是防錯機制，未掃出訂單資訊等異常狀態的包裹會送至此區，由理貨人員人工檢查訂單資訊。此處區域輸送帶速度為每分鐘移動135公尺，末端有大量理貨人員，根據系統算好的送貨路線、貨車可裝載體積重量，將輸送帶上的商品裝載到籠車上，再推到待命於出貨區的各家、各式貨車，裝載貨品上車。上貨時，會依照送貨順序，來安排包裹在貨車車廂內的前後位置。出貨區位於南區物流中心東側，與理貨區相鄰，與位於南面的進貨區互不干擾。Momo也有利用碼頭管理系統，來確保進出車輛動線順暢。</strong></span></p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#696969;"> 流程13 </span><span style="background-color:#ff33ff;"> 出貨 </span></span> <span style="color:#ff33ff;">履行訂單或調貨到周圍倉儲</span></strong></span></p> <p><span style="font-size:20px;"><strong>裝載商品上車後，從這裡，貨物會送到雲嘉南和高屏地區的宅配收貨點、超商，以及其他主倉、衛星艙等次級倉儲。</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B13.jpg" style="width: 600px;" /></p> <hr /> <p><span style="font-size:26px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> Momo南區儲配運輸物流中心 </span><span style="background-color:#696969;"> 小檔案 </span></strong></span></span></p> <p><span style="font-size:20px;"><strong>● Momo倉儲總數：</strong>物流中心2座，主倉21座，衛星倉儲36座，共59座，倉儲總面積580千平方米（統計到2024年11月）</span></p> <p><span style="font-size:20px;"><strong>● Momo年訂單數：</strong>53.8百萬件（2023年第3季到2024年第2季）</span></p> <p><span style="font-size:20px;"><strong>● 南區物流中心地址：</strong>臺南市新市區大營里大營1之8號</span></p> <p><span style="font-size:20px;"><strong>● 啟用時間：</strong>2024年11月20日</span></p> <p><span style="font-size:20px;"><strong>● 樓層數：</strong>地上6樓、地下1樓</span></p> <p><span style="font-size:20px;"><strong>● 總樓板面積：</strong>24,500坪</span></p> <p><span style="font-size:20px;"><strong>● 儲貨量：</strong>340萬件以上</span></p> <p><span style="font-size:20px;"><strong>● 每日商品吞吐量：</strong>16萬件</span></p> <p><span style="font-size:20px;"><strong>● 現場員工數：</strong>預計500人</span></p> <p><span style="font-size:20px;"><strong>● 預計綠能發電量：</strong>1,000kWp（100%用電自給）</span></p> <p><span style="font-size:20px;"><strong>● 樓層功能說明：</strong>1樓為進出貨區，3至5樓為儲存、揀貨、包裝區。棧板式AS/RS、穿梭式AS/RS、螺旋式輸送機、輸送帶等設備，則橫跨了多層樓，聯合調度貨物進出</span></p> <p><span style="color:#696969;"><span style="font-size:18px;">資料來源：iThome整理，2024年12月</span></span></p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 102, 255);"> </span></strong></span></span><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 102, 255);"><a href="https://www.ithome.com.tw/article/166392" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><a href="https://www.ithome.com.tw/article/166392" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1211-feng_mian_gu_shi_-p1-you_hua_-open-960x420_kao_bei_0.jpg?itok=r1ovRZds" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/12/6 16:32作者郭又華https://www.ithome.com.tw/news/166388
如何強化南臺灣快物流能力，Momo新物流中心的三大價值
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電商龍頭Momo富邦媒11月底正式啟用坐落臺南的南區儲配運輸物流中心。這座物流中心斥資30億元、費時2年多建造，南臺灣目前最大規模的物流中心。這一步，更拉開了他們與酷澎、PChome等競爭對手在南臺灣的物流布局強度。</p> <p>Momo用一句話來形容這座新物流中心可以創造的戰略價值，「大型物流中心存放品的項更多、能支撐大規模自動化設備運作。他們將以南區物流中心為核心，搭配中南區主倉及衛星倉形成中南倉群，來均分訂單量，豐富多元化商品。」</p> <p>這樣不只能降低消費者訂單分箱出貨機率，也能增加南貨南送的情況，讓更多南部消費者能當日收到訂單所有商品。這些效益，於大型活動檔期時，如每年雙11購物節，尤其顯著。</p> <p>北部地狹人稠，電商界的物流建設，一直以來都重北輕南。舉凡PChome林口物流園區、酷澎桃園三座物流中心，乃至Momo 2017年就啟用的北區物流中心，都是在鄰近新北和桃園的市郊選址。不只大型物流中心先北再南，就連主倉、衛星倉、衛星站等次級倉儲，Momo的建設順序也是北部優先，密度更是遠超過中、南部。</p> <p>2018年起，Momo開始大力投資南部物流布局，2019年後半購入南區物流中心建地、2021年啟用永康物流中心作為南區物流中心前哨站，終於在2024年底，正式啟用了南區物流中心，作為Momo南臺灣智慧物流核心。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>專家剖析Momo南區物流中心的3大價值</strong></span></span></p> <p>Momo向來看重短鏈物流，尤其，廣布鄰近消費者的小型衛星倉儲，成為他們在疫情間能在訂單履行能力上贏過競爭對手的關鍵。不過，Momo在2024年只有新增一座衛星倉，以及這一座南區物流中心。</p> <p>將大部分的物流資源，集中投入到南臺灣設置一座大型物流中心，對Momo物流能力創造了哪些價值？</p> <p>高科大行銷與流通管理系教授吳師豪剖析，大型物流中心關鍵優勢，就是可以容納巨量商品，能創造3大重要價值。</p> <p>首先是訂單履行能力。衛星倉等小型倉儲容量有限，必須仰賴演算法和大量零售經驗，來決定存放商品種類與數量，且難以完全準確。當訂單需要從多座小倉儲調貨、出貨，甚至臨時向廠商進貨，都會大幅提高物流成本與費時。反之，大型物流中心備有足夠貨品，從單一倉儲出貨訂單的能力就會強於小型倉儲。</p> <p>不只自行履行訂單的能力強，存貨容量大帶來的第二個價值是提升進貨效率。Momo向廠商進貨時，若要直接配送到全臺近60座倉儲，加上數個轉運用衛星站點來調度，不只管理複雜，物流成本也很高。電商常見做法是，先將全臺各地廠商貨品進到大型物流中心，再由電商統一調貨到不同物流據點。</p> <p>過往，南部廠商出貨到Momo北部物流中心，再調度回南部次級倉儲出貨，光是交通時間，就得花上至少十幾小時，而且路徑計算、商品調度模式、回頭車管理，難度都非常高。有了南部物流中心，廠商能就近出貨，交通時間有望降到個位數小時，物流管理難度也大幅減少。甚至，就算回頭車正好沒貨可載，效率損耗也較原先模式小。</p> <p>作為主要進貨據點，南區物流中心可以發揮第三個價值，調貨到鄰近次級倉儲的能力。當次級倉儲缺貨，需要調度時，可以從就近從大型物流中心調貨，且能一站補完所需品項，降低從更遠、更多座物流中心調貨的需求。</p> <p>吳師豪比喻：「南區物流中心就像是南臺灣次級倉儲的航空母艦，」自身可以成為強大的訂單履行中心，還能連帶增加南臺灣其他次級倉儲的訂單履行能力，同時降低Momo整理物流成本、費時及管理難度。</p> <p>也就是說，大型物流中心不但能強化短鏈物流能力，還能帶來更多價值，是規模較小的倉儲無法提供。而這三大價值，最終都是為了一個字：快。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E9%AB%98%E7%A7%91%E5%A4%A7%E8%A1%8C%E9%8A%B7%E7%B3%BB%E5%90%B3%E5%B8%AB%E8%B1%AA-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%90%B3%E8%A9%A9%E8%B1%AA_WEB.jpg" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>高科大行銷系教授吳師豪表示，快物流服務範圍相當於商圈的概念，Momo靠南區物流中心強化南臺灣物流能力，是他們在南部拓展業務的重要一步。</strong><span style="font-size: 14px;">圖片來源／吳詩豪</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>快物流是電商核心競爭力</strong></span></span></p> <p>吳師豪直言：「快物流能力，就是電商拓展商業規模的核心競爭力。」他以近年全球零售龍頭Walmart舉例，從實體零售起家的他們，如今已經快速躍升美國電商老二，僅次於Amazon。他說，拓展物流服務範圍，就是Walmart快速發展電商事業的關鍵──近2年，他們也了啟用4座專門用於電商的超大型物流中心。</p> <p>即使在遠比美國地狹人稠的臺灣，訂單履行能力也同樣是電商關鍵競爭力，甚至，對「快」的要求會更加嚴格。吳師豪回憶，去年他在臺灣其他網路書店上架了一本教科書，卻被學生告知，他們已經都用Momo，「只因為他們對Momo的印象是到貨更快。」</p> <p>他進一步解釋，快物流的服務範圍之於電商，好比商圈之於實體零售。兩者共通處是，在這些範圍內，消費者能在可接受時間內取得商品。以電商來說，有效率的配送範圍約為50公里，隨著物流中心的訂單履行能力越強，快物流服務範圍越廣，也就能越有效拓展商業規模。</p> <p>至於多快算快？吳詩豪指出，快是比較性概念。如果是跨國電商，數天到貨也算快；如果電商對手24小時到貨，就要低於24小時才算快。甚至，如果要和實體零售競爭，就要比消費者從產生購物意願，到出門購物的來回時間，更加快速。「進一步說，Momo強化快物流能力，也是跟實體零售競爭的重要做法。」尤其，統一、全聯等實體零售巨頭，也都覬覦電商市場，且同樣大力投資物流，更顯快物流布局重要性。</p> <p>物流要快，不只物流中心要大、位子要好，還要內部運作效率高。這得高度仰賴IT，如何在軟硬體上，盡可能優化物流流程。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>廣招IT人才，來強化南部物流中心的物流科技力</strong></span></span></p> <p>Momo南區物流中心的自動化設備大多照搬北區物流中心。吳詩豪認為，這並不代表南區物流技術過時，反而是Momo追求效率的策略。「物流中心先追求效率化，再追求自動化。」與其導入更多新自動化設備，他們選擇複製已經證明有效率的做法，降低工作人員學習曲線。這也讓南區物流中心試營運期間，能支援今年雙11大檔期。</p> <p>既然硬體和流程大致相同，Momo需要在軟體及流程設計上不斷優化，來降低缺貨率、提升從訂單進來到實際出貨的迴轉率，並確保揀貨和送貨準確率。</p> <p>Momo對物流IT的重視，從南區物流中心招募的人才類別，可見一斑。除了倉儲管理員和機電工程師，c0他們還開出許多IT職缺，包括物流自動化應用企畫師及工程師、物流物聯網應用企畫師與工程師、物流大數據分析師等物流科技人才，以及AI、深度學習、自動化技術、雲端運算等各式IT人才，持續用發展和應用物流科技。</p> <p>近五年來，Momo發展的物流科技包括根據訂單預測來決定各地倉儲的商品儲存方法、導入物流電話代碼化轉接服務、在各倉儲基地中逐步加入自動化設施、開發商品裝箱建議系統、導入物流路徑規畫和即時路況建議等。目前Momo有揭露的南區物流中心IT應用，包括AI大數據存貨品項挑選、庫存水位追蹤、路線最佳化，以及接下來會介紹的各式自動化物流設備、系統和機制。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 102, 255);"> </span></strong></span></span><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 102, 255);"><a href="https://www.ithome.com.tw/article/166392" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><a href="https://www.ithome.com.tw/article/166392" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1211-feng_mian_gu_shi_-p1-you_hua_-open-960x420_kao_bei_0.jpg?itok=r1ovRZds" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/12/6 16:32作者郭又華https://www.ithome.com.tw/news/166364
直擊Momo南臺智慧物流核心
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1211-feng_mian_gu_shi_-p1-you_hua_-open-960x420_kao_bei_0.jpg?itok=r1ovRZds" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這座南臺灣最大規模的物流中心，一天能吞吐16萬件商品，全面提升Momo南臺灣物流系統的進貨、出貨及調貨能力，讓更多南部顧客能當天就收到商品</p> </div></div></div>
2024/12/6 16:33作者郭又華https://www.ithome.com.tw/article/166392
效率是IT永遠的課題
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端龍頭AWS這周舉辦年度大會re:Invent，我們記者王若樸也飛到美國現場，不到24小時，<a href="https://tinyurl.com/2bukyt89" target="_blank"><span style="color:#3366ff;">就發出4篇直擊報導</span></a>。我也看了AWS公用運算部門資深副總裁Peter DeSantis周一的晚間秀直播，不少值得介紹的亮點。其中，最讓我覺得有意思的是，一項小小的光纖插頭的改良。</p> <p>在LLM大型語言模型的訓練中，需要將大量資料送到數萬，甚至十萬顆GPU上來進行計算，因此，需要一套具有龐大傳輸能力的網路架構，AWS發展了一套稱為10p10u的AI專用網路架構，可以在上千臺伺服器之間，提供數十PB網路傳輸能力，而且延遲時間不到10微秒，相當驚人。</p> <p>要達到這樣的頻寬和速度，當然得靠光纖，但就算如此，也需要超級複雜的光纖網路線的密集配線，單一個機櫃就要用到數百條光纖來串聯，要部署上千臺伺服器來訓練模型，密集光纖網路的配置更是曠日費時。AWS將16條獨立的光纖整合成一把預製的光纖組件（Fiber optical trunk cable），直接在工廠先組裝，不只減少了6成的連結器數量，也大幅減少接錯線的情況，可以縮短近一半的部署時間。</p> <p>不只如此，他們還重新設計了客製化的專用光纖插頭（Firefly Optic Plug），這個小小的橘色插頭，可以在工廠事先進行迴路測試，提前驗證網路連線情況，還有防塵密封設計，避免小灰塵跑進光纖接頭中，影響了傳輸品質。「即使是一顆小灰塵，也會影響網路效能。光是改良這樣簡單的裝置，就能提高整體網路的效能。」Peter DeSantis強調。</p> <p>連一顆小灰塵都不能放過（放進光纖），這種極度講究的態度，讓我敬佩，不惜自己重新改良看似簡單的光纖插頭。一點一滴的改良累加起來，才能創造出數十PB等級傳輸能力的AI專用網路架構。</p> <p><a href="https://www.ithome.com.tw/article/166392" target="_blank"><span style="color:#3366ff;">1211期封面故事「直擊Momo南臺智慧物流核心」</span></a>，同樣也談到了用IT創造效率的課題。</p> <p>我們另一位同事郭又華，11月下旬，南下參訪Momo剛啟用的南區智慧物流中心。這棟6層樓建築，單日可進出16萬件商品，一年吞吐量能達到5,800萬件貨品。他在現場，親自走一趟，從進貨、揀貨、包貨、理貨到出貨的作業流程，再以圖解方式，一一說明Momo南部短鏈物流關鍵基地的運作關鍵。</p> <p>Momo南區這座物流中心，直接複製了北區物流中心的自動化設備和作業流程，但是不一樣的是，他們這次特別要招募IT、AI、自動化技術、雲端運算的人才到這座中心的團隊，Momo透露招募這批人才的目的，就是為了不斷優化軟體和流程設計，來降低缺貨率，改善從訂單到出貨流程間的迴轉率，甚至希望能確保揀貨和送貨的準確率。換句話說，就是要用IT來優化智慧物流、倉儲的效率。</p> <p>對於效率的追求，是IT最基本，也是永遠的課題，雖然不見得每一家企業，都有足夠的規模和資源，可以如AWS這樣設計自己的網路架構、設備、甚至是網路線插頭，或能像Momo大砸30億元、籌組500人團隊，來打造智慧物流中心。但是，不論是AWS或是Momo，他們用IT追求更高效率的態度，值得尊敬，更值得仿效。</p> <p><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><span style="background-color:#3366ff;"> </span></strong></span></span><span style="font-size:22px;"><strong><span style="background-color:#3366ff;"><a href="https://www.ithome.com.tw/article/166392" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong></span><a href="https://www.ithome.com.tw/article/166392" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1211-feng_mian_gu_shi_-p1-you_hua_-open-960x420_kao_bei_0.jpg?itok=r1ovRZds" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/aws">AWS</a></div><div class="field-item odd"><a href="/tags/reinvent">re:Invent</a></div><div class="field-item even"><a href="/tags/momo">momo</a></div><div class="field-item odd"><a href="/tags/%E6%99%BA%E6%85%A7%E7%89%A9%E6%B5%81">智慧物流</a></div><div class="field-item even"><a href="/tags/%E5%8D%97%E5%8D%80%E6%99%BA%E6%85%A7%E7%89%A9%E6%B5%81%E4%B8%AD%E5%BF%83">南區智慧物流中心</a></div></div></div>
2024/12/6 16:33作者王宏仁https://www.ithome.com.tw/voice/166369
維吾爾族及圖博人士遭到鎖定，駭客組織利用MoonShine漏洞利用工具、後門程式DarkNimbus從事攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客針對圖博及維吾爾族的攻擊行動不時傳出，而最近研究人員公布的攻擊行動當中，駭客暗中從事間諜活動長達5年，直到如今才被揭露。</p> <p>趨勢科技揭露<a href="https://www.trendmicro.com/en_us/research/24/l/earth-minotaur.html">名為Earth Minotaur的駭客組織</a>，駭客使用名為MoonShine的漏洞利用工具，並針對安卓行動裝置與Windows電腦，部署名為DarkNimbus的後門程式，主要目標是圖博與維吾爾族人，意圖藉此進行長時間的監控。</p> <p>研究人員指出，他們從2019年就開始利用MoonShine相關攻擊行動，並在調查的過程發現操作安全不當的MoonShine伺服器，掌握該漏洞利用工具及相關事件記錄資料，進而得知攻擊者使用的技倆，以及駭客鎖定的標的。</p> <p>駭客主要利用此漏洞利用工具對安卓裝置的即時通訊軟體漏洞發動攻擊，主要目標是微信（WeChat），由於這類應用程式不少是採用Chromium框架開發而成，駭客得逞的管道，都是利用已知的漏洞來進行。對此，研究人員呼籲，使用者應定期更新應用程式，來防範這類攻擊手法。</p> <p>針對駭客發動攻擊的流程，研究人員指出，對方通常透過即時通訊軟體發送特製訊息，引誘使用者點選內嵌的惡意連結，一旦他們上當，就會被帶往MoonShine伺服器，而導致裝置被植入後門程式。</p> <p>這些駭客使用的誘誀，研究人員大致歸納為4種，分別是政府公告、與COVID-19有關的中國新聞、和圖博與維吾爾族或宗教有關的新聞，以及旅遊資訊。</p> <p>此外，他們也提及上述攻擊鏈受害者的IP位址，幾乎都是來自中國，但這些駭客還有另一種發動攻擊的管道，那就是將使用者重新導向圖博或維吾爾族音樂及舞蹈的網路影片，而這種受害者的範圍，遍及全球。</p> <p>但無論上述那一種管道，一旦使用者點選連結，駭客便會將他們重新導向漏洞利用工具伺服器對裝置下手，結束後又會將使用者導向看似合法的網頁。</p> <p>在攻擊過程裡，漏洞利用工具伺服器會檢查HTTP標頭的資訊，確認使用者裝置上的特定應用程式或瀏覽器存在某些漏洞，才會進行漏洞利用。</p> <p>值得留意的是，這些被利用的漏洞針對多個版本的Chrome，以及騰訊瀏覽器伺服器（Tencent Browser Server，TBS），而這個軟體也是採用Chromium瀏覽器引擎打造而成。</p> <p>附帶一提的是，攻擊者利用的漏洞多半都已公開一段時日，其中最新的是針對微信的CVE-2023-3420。除此之外，其他漏洞都是在2016年至2020年公布。</p> <p>究竟駭客鎖定那些應用程式？涵蓋Chrome、臉書，以及即時通訊軟體微信、QQ、Line、Messenger、Zalo，此外，駭客也鎖定電商網站應用程式Lazada、韓國搜尋引擎Naver下手。</p> <p>若是漏洞利用套件並未發現可利用的漏洞，還會佯稱使用者的應用程式太舊，要求依照指示升級。但假如照做，使用者將安裝含有特定漏洞的舊版程式，而讓駭客能夠進行攻擊。</p> <p>一旦駭客的伺服器成功觸發漏洞，就會經由惡意程式碼執行Shell Code，將後門DarkNimbus植入目標裝置。此後門程式透過XMPP通訊協定與C2通訊，並能收集受害裝置的各式資訊並進行回傳。再者，攻擊者也濫用輔助服務，而能在特定即時通訊軟體或協作平臺於前景執行時，藉由文字辨識功能竊取對話內容。</p> </div></div></div>
2024/12/6 16:37作者周峻佑https://www.ithome.com.tw/news/166396
英國電信業者O2祭出反詐騙新招，推出AI阿嬤和詐騙電話「過招」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>詐騙電話橫行，有電信業者想出奇招，利用AI科技牽制歹徒，讓他們無法對一般民眾行騙。</p> <p>上個月英國電信業者O2<a href="https://news.virginmediao2.co.uk/o2-unveils-daisy-the-ai-granny-wasting-scammers-time/">發表AI阿嬤（AI Granny）Daisy</a>，這個「阿嬤」結合各種AI模型，這些模型進行協同合作，而能夠即時接聽詐騙電話，並跟歹徒聊天。該公司號稱Daisy栩栩如生，不少歹徒一口氣就跟AI阿嬤通話40分鐘。</p> <p>這項詐欺誘餌（Scambaiter）的製作，是該公司「讓詐騙者轉彎（Swerve the Scammers）」活動的一部分。Daisy採用一系列最先進的AI技術打造而成，並由專門對抗詐騙的北愛爾蘭YouTuber吉姆·布朗寧（Jim Browning）進行訓練，可以在無人介入的情況下，全天候與歹徒進行閒聊。</p> <p>由於年長者往往是歹徒行騙的主要目標，Daisy的人設自然就是慈詳和藹的老婆婆。在11月17日至23日的國際詐欺意識週的前幾個星期，Daisy在通話裡告訴歹徒她蜿蜒曲折的家人故事，談論對於編織的熱情，然後提供虛假的個人資料，以及銀行帳戶資訊，來愚弄他們。</p> <p>該公司找來真人實境秀明星艾米·哈特（Amy Hart）合作，<a href="https://www.youtube.com/watch?v=RV_SdCfZ-0s">製作影片來展示Daisy如何對待這類行騙的歹徒</a>。由於艾米·哈特也曾是詐騙電話的受害者，因此她熱衷參與反詐騙的行列，並公開相關的做法避免他人上當。</p> <p><iframe width="560" height="315" src="https://www.youtube.com/embed/RV_SdCfZ-0s?si=qLrOnp8hpTA8fKRL" title="YouTube video player" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" referrerpolicy="strict-origin-when-cross-origin" allowfullscreen=""></iframe></p> <p>英國民眾假若接獲可疑電話，可以將來電號碼以簡訊傳送到7726，讓Daisy阿嬤消耗歹徒的精力。O2指出，由於歹徒的手法日益複雜，他們鼓勵民眾將詐騙留給AI專家來處理。該公司也設置<a href="https://news.virginmediao2.co.uk/fraud/">專屬的Swerve the Scammers網頁</a>，提供民眾因應詐騙電話的一系列指引。</p> </div></div></div>
2024/12/6 15:20作者周峻佑https://www.ithome.com.tw/news/166393
美國大型企業組織遭到中國駭客入侵，鎖定Exchange伺服器從事情報收集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客對美國企業及政府機關發動攻擊的情況不時傳出，最近有研究人員公布在8個月前出現的資安事故，並指出駭客的活動自今年4月至8月，持續了4個月，疑似進行情報收集。</p> <p>資安業者賽門鐵克揭露一起<a href="https://www.security.com/threat-intelligence/us-china-espionage">鎖定美國大型企業組織的網路間諜活動</a>，並指出受害企業在中國具有相當重要的影響力。駭客疑似為了進行情報收集，於受害組織的網路環境持續活動。根據這波攻擊行動使用的工具，研究人員推測，攻擊者應該來自中國。</p> <p>究竟駭客如何入侵？研究人員表示不清楚，但他們從4月11日看到這些駭客開始於受害企業的網路環境活動的跡象，不排除對方更早就開始進行活動的可能。因為，當時這些駭客透過WMI在其中一臺電腦下達可疑命令，並透過另一臺電腦的執行滲透測試工具Impacket。由此看來，當時駭客至少已成功占領兩臺電腦，因此研究人員推測，攻擊行動很有可能在此之前就已經開始。</p> <p>接著，攻擊者下達net use命令，掛載網路共用磁碟，然後利用reg.exe挖掘帳密資料。然後，他們執行PowerShell指令碼，查詢AD的服務主體名稱（Service Principal Names，SPN）帳號，以及Kerberos使用的Token，從而發動Kerberoasting攻擊。</p> <p>事隔近2個月，6月2日駭客在網頁伺服器從事另一波攻擊，他們濫用FTP軟體Filezilla外傳竊得的資料，到了6月27日，攻擊者再度下達命令，過程中利用ibnettle-6.dll、textinputhost.dat兩個惡意檔案，用途很有可能是為了側載惡意程式。研究人員提及，textinputhost.dat先前曾出現在<a href="https://www.ithome.com.tw/news/163333">中國駭客攻擊行動Operation Crimson Palace</a>。</p> <p>駭客在6月初入侵另外兩臺電腦，很有可能是為了進行監控，或是進行橫向移動使用。過程裡駭客針對特定Exchange伺服器感興趣，因此研究人員認為，這些駭客試圖從郵件伺服器當中，收集含有機敏資料的電子郵件。</p> <p>另一方面，這些駭客在6月13日利用特定資料夾啟動iTunesHelper.exe，藉此側載名為CoreFoundation.dll的惡意程式。</p> <p>根據掌握的證據，加上該企業也曾於去年遭到攻擊，研究人員認為，攻擊者很可能與中國駭客組織Daggerfly有所關連。</p> </div></div></div>
2024/12/6 12:11作者周峻佑https://www.ithome.com.tw/news/166390
英國電信龍頭BT Group傳出遭遇勒索軟體Black Basta攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據資安新聞網站HackRead的報導，<a href="https://hackread.com/telecom-giant-bt-group-black-basta-ransomware-attack/">勒索軟體駭客Black Basta近日聲稱對大型英國電信業者BT Group下手</a>，攻擊其會議部門，導致該公司部分主機暫停運作，駭客握有500 GB內部資料。對此，BT Group證實遭到攻擊，但強調受害範圍僅限於會議平臺，核心服務不受影響。</p> <p>為了證明成功入侵BT Group，駭客公布部分竊得檔案，以及檔案資料夾列表的螢幕截圖，並指出這批檔案包含財務資料、內部資料、使用者資料及個人文件、保密協定（NDA）與機密資料，並揚言若是BT Group不願支付贖金，他們將公開所有竊得的資料。不過，究竟駭客索討多少贖金？他們並未提及。</p> <p>對此，BT Group透露他們正積極調查此事，並與有關當局合作。該公司強調受害範圍僅限會議平臺的特定物件，他們的核心服務正常運作。他們也將遭受攻擊的伺服器下線，並進行隔離。</p> <p>值得留意的是，近期鎖定英國關鍵基礎設施的事故頻傳，上個月底當地國民保健署（NHS）旗下醫院Alder Hey Children’s and Liverpool Heart、Chest NHS Foundation Trusts，<a href="https://hackread.com/nhs-ransomware-attack-russia-inc-ransom-steal-patient-data/">才遭到勒索軟體INC Ransom攻擊</a>，駭客從中得手病人資料。</p> </div></div></div>
2024/12/6 12:43作者周峻佑https://www.ithome.com.tw/news/166391
親俄駭客對臺DDoS手法大公開，安碁資訊解析HTTP洪水攻擊防禦之道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自今年9月以來，<a href="https://www.ithome.com.tw/news/165356">臺灣遭遇兩波親俄駭客組織NoName057的DDoS攻擊</a>，該組織不只是攻擊臺灣的政府單位與民間企業，另也輪流鎖定不同目標，包括捷克、法國、烏克蘭、奧地利、英國、羅馬尼亞等國，以及歐盟的多個關鍵CI網站服務，都是他們的攻擊對象。</p> <p>儘管先前的事件新聞報導後，已讓大家注意此次威脅，但實際DDoS攻擊手法的解析，國內鮮少有這方面的資訊，最近安碁資訊在其年末舉辦的資安講堂活動上，揭露了這次DDoS攻擊的不同之處。該公司指出，駭客發動的洪水攻擊與往常不同，一般DDoS防護與清洗機制無法防禦，因為這次洪水攻擊主要是用慢速耗盡資源且大量連線存取的方式。</p> <p>這樣的手法，就有如針對售票窗口發動大量奧客拖慢每回售票時間一般，也能達到發動上萬人在售票窗口排隊，以癱瘓整體服務的效果。</p> <h3><strong>此次DDoS針對第七層而來，主要採消耗資源的洪水攻擊方式</strong></h3> <p>安碁資訊數位鑑識資安維運處處長蔡東霖指出，2022年裴洛西訪臺，中國駭客當時對臺發動的DDoS攻擊，具體攻擊型態是採「洪水型攻擊」，主要針對的是應用層Layer 7，發動像是DNS Query洪水攻擊、DNS NXDomain洪水攻擊，利用大量查詢方式癱瘓DNS伺服器，進而造成網域無法連線。</p> <p>今年9月親俄駭客NoName057對臺發動的DDoS攻擊，同樣是針對應用層Layer 7的攻擊，但攻擊型態卻是採「資源型攻擊」，也就是慢速消耗資源的方式來大量連線存取。</p> <p>換言之，雖然同是針對第七層的攻擊，兩者攻擊型態其實完全不同。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）安碁解析親俄駭客DDoS攻擊(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E5%AE%89%E7%A2%81%E8%A7%A3%E6%9E%90%E8%A6%AA%E4%BF%84%E9%A7%AD%E5%AE%A2DDoS%E6%94%BB%E6%93%8A(1).jpg" style="width: 600px;" /></a></p> <p>為了幫助大家理解其差異，安碁資訊用一張圖表來分類DDoS攻擊，方便大家能夠快速了解不同的手法。</p> <p>基本上，駭客發動的DDoS攻擊，可分成兩大攻擊型態，一種是「洪水型攻擊」，也就是用流量塞爆頻寬，設法消耗頻寬，或稱為頻寬消耗型；一種是「資源型攻擊」，則是設法耗盡資源，像是讓CPU負載過高而當機，或稱為資源消耗型。</p> <p>在這兩種攻擊型態之下，還有針對網路層（Layer 3）、傳輸層（Layer 4）與應用層（Layer 7）的不同攻擊方式，也就是流量攻擊、針對通訊協定攻擊，以及針對應用層攻擊，當中並有多種不同攻擊手法：</p> <p><span style="color:#0099ff;"><strong>消耗頻寬的洪水型攻擊</strong></span></p> <p>針對網路層主要是ICMP/IGMP洪水攻擊，針對傳輸層攻擊的具體手法，則有TCP洪水攻擊、SYN洪水攻擊等7種，在我們過去資安新聞報導中，這類手法也經常可見。</p> <p>針對應用層的攻擊也不少，這方面手法包含DNS Query洪水攻擊、DNS NXDomain洪水攻擊、DNS放大／反射攻擊，其他還有針對SNMP與NTP的放大／反射攻擊。前述提到DNS放大攻擊，利用DNS的特性來放大流量，進而癱瘓目標伺服器或網路資源，就是屬於這類。</p> <p><span style="color:#0099ff;"><strong>消耗資源的資源型攻擊</strong></span></p> <p>針對傳輸層的攻擊方式，有Sockstress攻擊與THC SSL DOS這兩種手法。蔡東霖進一步解釋，前者這種慢速的資源耗盡手法，像是可以一次傳送1個Byte，用很慢的方式大量佔用網站服務的資源，進而讓新的連線無法建立；後者主要是利用建立連線時SSL需要加解密金鑰的交換，耗用這方面的運算資源，以大量連線讓整體處理變慢。</p> <p>在針對應用層的攻擊方式中，則有HTTP洪水攻擊（HTTP/HTTPS連線攻擊、POST/GET大量請求）、ReDoS等DDoS攻擊手法。最近親俄駭客的攻擊，最主要就是使用此類手法。</p> <h3><strong>同時發動3種DDoS攻擊手法，主要以HTTP洪水攻擊為主</strong></h3> <p>親俄駭客這波攻擊有何特殊之處？蔡東霖指出，這兩波攻擊目標範圍廣泛，涵蓋多個政府與地方機構，以及部分民間企業，不過影響程度算小，主要就是干擾網站服務的正常運作。</p> <p>更準確來說，對方只是要讓目標網站的服務短暫無法運作，即使僅幾秒鐘，攻擊者只要能夠取得服務中斷的畫面，作為其攻擊成功的證據，以宣揚其行動已達預期效果。</p> <p>他們從實際遭受攻擊的組織中觀察到，NoName057混用了3種DDoS手法，包括針對Layer 7的HTTP洪水攻擊、ReDoS（Regular expression Denial of Service），以及針對Layer 4的TCP、SYN洪水攻擊。而且攻擊者不是輪流使用這些手法，而是針對同一目標同時發動這些攻擊。</p> <p>值得注意的是，在這3種DDoS手法中，NoName057最主要是使用HTTP洪水攻擊，針對網站上需花運算資源去處理的網頁，發動大量HTTP請求，企圖網站伺服器資源耗盡，進而造成阻斷服務。</p> <p>他進一步解釋，這種攻擊並不會塞爆頻寬，但可以造成伺服器因無法及時處理所有請求，而使網站運作速度顯著變慢，甚至完全無法回應用戶請求。當伺服器超過負荷時，可能出現錯誤狀態碼500，表示伺服器遇到未預期的情況，無法完成請求，或是出現錯誤狀態碼503，表示伺服器可能因資源不足暫時無法處理請求。</p> <h3><strong>攻擊者鎖定4到10個特定網頁就可奏效！安碁解析五大原因</strong></h3> <p>這樣的HTTP洪水攻擊之所以奏效，安碁資訊有重要發現。在攻擊過程中，此親俄駭客利用VPS虛擬主機或VPN隱匿其IP位址，因此幾乎都是利用跳板從其他國家的IP位址發動攻擊，攻擊來源來自北美、歐洲、澳洲等國，只有1%是臺灣的IP位址，特別的是，攻擊者在鎖定目標企業組織網站後，只集中針對網站上的4到10個關鍵網頁，發動DDoS攻擊。</p> <p>原因在於，這些頁面能消耗大量伺服器資源，適合他們發動HTTP洪水攻擊。換言之，攻擊者在發動攻擊之前，其實是會先對目標網站進行探索，以找出合適的攻擊目標頁面。</p> <p>有哪些是HTTP洪水攻擊的可能目標頁面？安碁資訊進一步剖析5種手段：</p> <p><a href="https://s4.itho.me/sites/default/files/images/安碁解析親俄駭客DDoS攻擊_HTTP Flood攻擊.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%89%E7%A2%81%E8%A7%A3%E6%9E%90%E8%A6%AA%E4%BF%84%E9%A7%AD%E5%AE%A2DDoS%E6%94%BB%E6%93%8A_HTTP%20Flood%E6%94%BB%E6%93%8A.gif" style="width: 600px;" /></a></p> <p><span style="color: rgb(178, 34, 34);"><strong>（一）鎖定新聞資訊查詢機制</strong></span></p> <p>這類攻擊主要針對網站中提供新聞主題與日期查詢的功能，細分為以下三種方式：</p> <p>輸入亂碼查詢：當伺服器將請求送交資料庫檢查時，若缺乏查詢次數限制或效能不足，像是一次可查詢10年的資料，網站伺服器就要從後端資料庫拉出大量資料，便可能導致網站伺服器超過負荷。</p> <p>反向日期查詢：設定不合理的查詢起迄日期，例如起始日期晚於結束日期，使系統需要額外檢查。</p> <p>錯誤日期格式：輸入無效日期格式，增加伺服器檢查的運算負擔。</p> <p><strong><span style="color:#B22222;">（二）鎖定電子報訂閱頁面</span></strong></p> <p>攻擊者透過大量HTTP POST請求來訂閱電子報，讓伺服器處理大量訂閱請求，而每次請求都會導致伺服器進行資料庫登錄、運算及跳出視窗等操作，以消耗伺服器資源。</p> <p><span style="color:#B22222;"><strong>（三）鎖定新聞導覽頁面的顯示機制</strong></span></p> <p>這類攻擊針對多筆新聞顯示的頁面，駭客透過指定URL分頁參數方式，如指定顯示第幾頁、每頁顯示筆數，甚至設定不存在的頁面，迫使伺服器需要大量運算，導致效能下降。</p> <p><span style="color:#B22222;"><strong>（四）鎖定大型檔案下載</strong></span></p> <p>駭客藉由下載網站上存放的大型檔案（例如內嵌影片或高容量文件），以此讓網路流量暴增，此為較傳統的手法，但仍有效的攻擊方式。</p> <p><strong><span style="color:#B22222;">（五）鎖定Email格式驗證機制</span></strong></p> <p>這類攻擊主要針對網站的Email輸入驗證功能，利用網站開發者使用了設計不良的正規表示式，發送大量錯誤輸入請求。例如，提供超長或複雜的字元串，導致伺服器需進行繁瑣的字元檢查，以大量耗用網站伺服器的CPU使用率。</p> <h3><strong>面對不同DDoS攻擊要有對應之道，應對HTTP洪水攻擊重點在WAF與應用程式設定</strong></h3> <p>面對這種不同於消耗頻寬，而是消耗資源的攻擊手法，我們可以如何因應？</p> <p>蔡東霖說明，以廣泛的DDoS攻擊防範而言，有6種防護機制可以運用，包括DDoS流量清洗、DDoS防護設備，網頁應用程式防火牆（WAF）、應用程式設定，以及防火牆、CDN等，但各自都有需要注意的面向。</p> <p>值得注意的是，以這次NoName057發動的HTTP洪水攻擊而言，DDoS防護設備與DDoS流量清洗，其實是防不住的，重點反而是在WAF與應用程式設定。蔡東霖對此一一解析：</p> <p>以DDoS流量清洗而言，這通常針對Layer 4的消耗頻寬型洪水攻擊效果顯著。然而，要能對應此次HTTP洪水攻擊，還需結合其他手段，至於能擋多少可能要視各家廠商能提供什麼樣的檢測機制，例如可以擋第7層防護（如WAF，但會有SSL憑證問題），或有機器人檢測機制( 比如reCAPTCHA )，才能阻擋。</p> <p>至於DDoS防護設備，與DDoS流量清洗相似，只是一個設備在用戶端，一個在廠商端。這方面要注意的是，若是設備買來都沒有調整過，幾乎是擋不住的。</p> <p>也就是說，設備使用上需注意，要在單位連線數方面做針對性的參數調整，像是每秒連接數或每秒連線來源的CPS值。在這次遭受攻擊的組織中，就有已部署DDoS防護設備，網站仍然被打掛的情形，因為CPS值大於攻擊者發出的每秒連線來源。</p> <p>WAF是應對這次HTTP洪水攻擊的有效方法。這部分要注意的是，由於攻擊來源IP位址難以在第一時間找出並阻擋，因此重點是要找出攻擊者的特徵值，再加以阻擋。</p> <p>在應用程式設定上，也算是應對這次HTTP洪水攻擊的關鍵之一，因此在程式開發上，應設定合理的查詢的條件與次數，否則攻擊者能夠利用查詢功能，發起無限制的大量無效或隨機查詢，造成主機運作問題。</p> <p>關於防火牆的應對上，算是治標的方法，像是這次攻擊有9成8以上是國外IP位址，可以先藉由阻擋國外的連線來暫時因應。而在DDoS防護設備上，同樣也可設定連線IP位址的來源地區。</p> <p>關於CDN的應對上，以CDN的作用來說，主要是針對來源IP位址，將流量導向最近的點並提供快取，這的確是可以讓DDoS流量難以集中，可緩解DDoS攻擊，但是若攻擊者的目標頁面是沒有快取或無法快取的情況，最終還是會由本地端主機處理，因此CDN無法提供防護。</p> <h3><strong>解析兩起實際案例，駭客使用近千IP位址發動百萬次連線</strong></h3> <p>為了幫助大家進一步理解這次攻擊的特性，蔡東霖特別以9月遭受攻擊單位的兩個實際案例來說明。</p> <p>攻擊者首先找出目標網站中較慢的頁面，主要DDoS攻擊手法就是前述提到的HTTP洪水攻擊，透過大量存取4或6個特定網頁，以耗盡伺服器資源。</p> <p>當攻擊開始時，網站立即受到影響，可能與網站伺服器的性能與程式寫法有關，因此可以看到網頁回應時間，以及伺服器錯誤數會明顯上升。</p> <p>從攻擊來源IP位址來看，攻擊者分別使用了1,344個與5,000個IP位址。而且，這兩起事件的攻擊時間相差兩天，攻擊來源有高度重疊情形，像是攻擊A單位的IP位址屬於169個網段，其中128個網段之後也用於攻擊B單位。這些攻擊來源IP位址分散於全球，都是透過VPS虛擬主機或VPN來隱匿。</p> <p>進一步從整體攻擊次數來看，A單位是在6個半小時內，遭遇142萬次的HTTPS連線，攻擊帶來的最高連線數量來到每秒8,633次，平均每秒148次連線，雖然這樣的數據這不算特別高，但與日常未遭受攻擊時相比（平均每秒僅連線1次），明顯可看出連線次數瞬間被拉升。</p> <p>B單位是在1天半時間內，遭遇至少200萬次以上HTTPS連線，攻擊帶來平均每秒48次連線，之所以比A單位低，是因為B單位處理上已有利用WAF擋住一部分的攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）安碁解析親俄駭客DDoS攻擊_HTTP Flood攻擊960.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E5%AE%89%E7%A2%81%E8%A7%A3%E6%9E%90%E8%A6%AA%E4%BF%84%E9%A7%AD%E5%AE%A2DDoS%E6%94%BB%E6%93%8A_HTTP%20Flood%E6%94%BB%E6%93%8A960.jpg" style="width: 600px;" /></a></p> </div></div></div>
2024/12/6 11:09作者羅正漢https://www.ithome.com.tw/news/166386
數位部展示數位皮夾功能雛型，強調數位身分自主權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為趕上歐洲、加拿大、美國等國家開始推動數位皮夾、數位身分自主管理及應用趨勢，數位部正在推動我國的數位皮夾（Digital Wallet），以作為我國數位公共基礎建設的一部分，本周四數位部舉辦產業應用座談會為數位皮夾暖身，蒐集產業界意見，並展示正在測試中的數位皮夾功能雛型，讓外界一窺未來可能的應用情境。 </p> <p>數位部數位國際司多元宇宙科長李岳寅表示，數位皮夾預期將是未來的浪潮，因此數位部今年推動數位公共基礎建設中，數位皮夾為其中一項重要的數位公共基礎建設之一。 </p> <p>數位部指出，國際上加拿大、美國、歐盟、新加坡、印度等相繼發展數位身分、數位皮夾服務，以歐盟為例，今年已通過eIDAS 2.0法規，歐盟要求所有會員國需在2026年提供免費的數位皮夾，無論是國家或廠商開發數位皮夾，目標為歐盟公民都可以獲得這項免費的公共服務。 </p> <p><span style="color:#B22222;"><strong>發展以人為中心的數位自主權 </strong></span></p> <p>過去身分的核發以權威機關為主，機關核發身分給民眾，作為使用各項服務的基礎，目前國際上發展的數位皮夾標準，則是以人為本作為設計的目標，各種服務不再圍繞在權威機關作為中心，而是各種服務圍繞著以人為中心；身分核發管理從過去集中式，以權威機關為中心，向分散式以個人為中心的數位皮夾發展，權威機關識別個人的身分後，將個人的證件核發到個人使用的手機裡，個人使用手機裡的證件申請服務，政府不可能、也不應該知道民眾使用證件做什麼事，只有授權的對象知道民眾的用途。</p> <p>數位部強調數位時代以人為本的數位自主權，以個人為主，滿足安全、隱私的需求，數位部描繪數位皮夾的目標，未來民眾可在有需要時，打開手機就能使用各種證件證明其身分，獲得各種安全、便利服務。確保數位近用的權利，數位部的規畫是沒有強制民眾必需使用數位皮夾，民眾仍能使用傳統的身分證明方式。</p> <p>作為數位公共基礎建設，數位皮夾如同高速公路，不會只有政府機關使用，未來也會開放民間企業採用，數位今年8月開始推動數位皮夾計畫，目前開發數位皮夾的雛型進行測試外，也希望蒐集外界的意見，目標是在2027年以前完成一定的階段。未來不只是政府核發證件可放進數位皮夾，民間企業可將核發證件置入數位皮夾，民眾使用數位皮夾收到各種證件後，完成各種身分驗證滿足生活的需求，因此未來數位皮夾也會開放原始碼，成為公共程式之一。</p> <p>儘管民眾可能不信任政府，但政府仍決定帶頭建立開源的數位皮夾App，在確保安全及隱私之下，採用國際開放標準，採用全球資訊網協會的可驗證憑證（VC）及分散式識別符（DID），來建立以人為本的身分識別、自主授權，以數位皮夾為基礎，在基礎上發展各種應用。</p> <p>數位部表示，未來我國的數位皮夾開源之後，不只可將證件卡片放進數位皮夾，甚至可將數位皮夾的身分驗證機制嵌入企業既有的服務系統，例如電子支付或是與個人身分驗證關的服務。 </p> <p>數位皮夾採用可驗證憑證及分散式識別符，目的是建立信任三角，使用者、發行者、驗證者三者之間，讓使用者信任發行者，讓驗證者相信使用者，讓發行者與驗證者之間無法隨時連通追蹤使用足跡。因此推動數位皮夾的相關配套措施，需建立可信任的核發單位、驗證單位的信任清單，促成數位信任的產業發展，建立數位身分的多方治理。</p> <p>今年初數位部在草擬數位皮夾的設計規畫，參考國外推動數位皮夾的作法，提出國內推動數位皮夾的高層次設計原則，如何兼顧確保隱私、便利性。</p> <p><span style="color:#B22222;"><strong>展示數位皮夾功能雛型</strong></span></p> <p>數位部也展示未來數位皮夾的功能，以剛畢業的畢業生(使用者)為例，傳統上提供紙本的畢業證書或學位證明給畢業生，未來數位皮夾推出後，學校(發行者)可透過發行端介面製作數位皮夾的卡片，再以電子郵件通知畢業生收取卡片，只要點入通知郵件內的連結，就會開啟手機上的數位皮夾App，通過身分驗證後，將畢業或學位證明卡片加入數位皮夾。</p> <p>除了點進郵件內連結加入卡片，未來依情境的不同，也可以掃描方式加入新卡片，民眾就能在數位皮夾App檢視所有已加入卡片，其中畢業證明卡片可能包含學校名稱、系所、姓名及出生年月日，當民眾向企業(驗證者)求職，收到企業通知錄取郵件，郵件內可能包含QR Code，開啟數位皮夾App掃描該QR Code，就能看到該企業需要民眾提供哪些資料，例如學歷證明、語言能力證明等等，民眾可使用數位皮夾內新加入的學位證明卡片，只要提供卡片持有者的姓名給企業，證明確實獲得該學校學位，至於語言能力證明方面，通過數位皮夾內的語言能力證明卡片，民眾可以設定只提供語言能力證明卡片持有者姓名、測驗分數，提供給企業進一步驗證。</p> <p>不論是學位證明或語言能力證明，民眾通過數位皮夾可選擇使用哪張卡片，授權第三方(企業或政府機關)存取哪些卡片上的資料，也就是最小身分資料揭露原則，避免曝露過多其他個人隱私資料，如此一來，可避免傳統提供身分證件或學位證書影印複本，第三方取得過多不必要的資料，負資料管理責任，以及可能被駭竊取資料的風險。</p> </div></div></div>
2024/12/6 12:04作者蘇文彬https://www.ithome.com.tw/news/166389
打造Google NotebookLM的核心成員宣布出走自立門戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為Google開發出NotebookLM的三名關鍵成員，將自立門戶投入新創事業。</p> <p>NotebookLM是Google 2023年推出的<a href="https://www.ithome.com.tw/news/157776" target="_blank">實驗性AI工具</a>，推出後大受企業及個人用戶歡迎。只要將文件上傳，NotebookLM就可以整理出重點摘要、回答用戶詢問，或是根據內容整理成podcast。</p> <p>從頭到尾催生NotebookLM的成員部門主管Raiza Martin，本周透過<a href="https://www.linkedin.com/feed/update/urn:li:activity:7269411457195225089/" target="_blank">LinkedIn</a>宣布，自己將在5.5年的Google生涯後離開公司。她將連同另二名團隊成員，包括產品設計的Jason Spielman和程式設計師Stephen Hughes成立新創公司。</p> <p>Martin對Techcrunch<a href="https://techcrunch.com/2024/12/04/key-leaders-behind-googles-viral-notebooklm-are-leaving-to-create-their-own-startup/" target="_blank">透露</a>，其新創公司將運用最新AI模型，針對一般用戶提供有用服務。</p> <p>這是最新一批離開Google創業的員工。上個月Google開源出來的知名機器學習程式庫Keras創辦<a href="https://developers.googleblog.com/en/farewell-and-thank-you-for-the-continued-partnership-francois-chollet/" target="_blank">人Francois Chollet</a>宣布<a href="https://x.com/fchollet/status/1857012265024696494" target="_blank">離開</a>，和朋友成立新事業。</p> </div></div></div>
2024/12/6 09:32作者林妍溱https://www.ithome.com.tw/news/166380
OpenAI新增最高階ChatGPT Pro方案，每月200美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI昨（5）日<a href="https://openai.com/index/introducing-chatgpt-pro/" target="_blank">公布</a>新增200美元月費的ChatGPT Pro方案，能享有其他方案沒有的最強版本o1模型。</p> <p>ChatGPT Pro月費高達200美元，遠高於Plus和Team（月費各為20及30美元）方案。方案內容包括無上限存取OpenAI模型及工具。除了OpenAI-o1、GPT-4o和進階語音（Advance Voice）外，這方案還可提供o1 pro模式，是使用最大運算量，能為最困難問題提供最佳答案。OpenAI未來還會再為本方案加入更強大、更大用量的功能。由於問題需要較長時間回應，ChatGPT也會加入進度顯示條及應用中的通知，方便用戶同時進行其他對話。</p> <p>OpenAI表示，ChatGPT Pro是為研究、工程等人員提供的強大資源，穩定提供精準而完整的回應，能加速生產力及獲得領先的AI成果，對資料科學、程式和判例法分析等領域尤其有助益。</p> <p>OpenAI昨日也宣布9月<a href="https://www.ithome.com.tw/news/165026" target="_blank">釋出</a>預覽版的OpenAI-o1模型，推出正式版。該公司說，正式版o1模型在數學及程式碼生成的速度、效能、準確性都優於預覽版，且具備更優異的圖片理解能力。ChatGPT Pro方案用戶可在模型選項中，選擇能力最強的o1-pro版模型直接使用。</p> <p>OpenAI還宣布了ChatGPT Pro Grant方案，龍頭醫療機構的研究人員可獲得ChatGPT Pro 10點grant點數，而特定學科的研究人員還可獲得額外點數。這方案先在美國推出，但會再推向其他區域和學術領域。</p> </div></div></div>
2024/12/6 10:10作者林妍溱https://www.ithome.com.tw/news/166381
Meta將投入開發核能發電機支援資料中心用電
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta本周<a href="https://sustainability.atmeta.com/blog/2024/12/03/accelerating-the-next-wave-of-nuclear-to-power-ai-innovation/" target="_blank">發布</a>招標書（request for proposal，RFP）準備為資料中心引進核能，以支援AI應用，加入Google、微軟、Meta的行列。</p> <p>Meta說，推動AI等科技革新，需要電網持續擴張並擁抱穩定的新可再生能源，Meta相信核能可為電網提供穩定能源，以支援Meta資料中心及其周圍社區所需。核能也在未來電網向多元化潔淨能源過程中扮演要角。Meta將透過招標，協助該公司找到開發商設計新的核能發電機。</p> <p>根據最新的招標書，Meta目標是自2030年代前半起，在美國增加1至4GW的核能。該公司希望尋找開發商加速開發新式核能發電機，並且藉由多機組部署，提供未來Meta電力需求、有效降低成本，並且減少碳排。</p> <p>Meta十年前就找開發商合作投入開發再生能源技術。Meta藉由在合約設計早期介入，得以和開發商協同開發以達成各自目標。Meta相信核能專案的資金需求，比起Meta已投入的太陽和和風能更龐大、研發期間更長、面臨更多法規要求，但營運壽命也更長，這意謂更有必要在產品開發生命周期早期投入，和合作夥伴在設計合約時考量營運要求。而且擴大部署有助降低成本，在專案各階段及地區尋找夥伴，能確保Meta有效部署。</p> <p>隨著減碳成為主流，大廠們不但採購核能，也直接投入生產。Meta之前，<a href="https://www.ithome.com.tw/news/165538" target="_blank">Amazon</a>和<a href="https://www.ithome.com.tw/news/165494" target="_blank">Google</a>都投入小型模組化核子反應爐的廠商投資。<a href="https://www.reuters.com/markets/deals/constellation-inks-power-supply-deal-with-microsoft-2024-09-20/" target="_blank">微軟</a>則是和一家廠商Constellation Energy合作重啟三哩島核能電廠一座機組。</p> </div></div></div>
2024/12/6 08:41作者林妍溱https://www.ithome.com.tw/news/166379
AWS推出自動化推理檢查，強化生成式AI安全性與準確性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布在其生成式人工智慧安全解決方案Amazon Bedrock Guardrails中，新增<a href="https://aws.amazon.com/tw/blogs/aws/prevent-factual-errors-from-llm-hallucinations-with-mathematically-sound-automated-reasoning-checks-preview/">自動化推理檢查（Automated Reasoning checks）</a>功能，目前以預覽版形式推出，避免生成式人工智慧回應中的事實性錯誤，尤其是來自模型的幻覺問題。</p> <p>Amazon Bedrock Guardrails整合內容過濾、個資去除與上下文檢查等功能，目的是要提升生成技術的安全性與可信度，而新增的自動化推理檢查進一步強化了該工具的準確性防護能力。</p> <p>自動化推理檢查是一項基於數學與邏輯的技術，主要用於檢查系統行為是否符合預期，而這與機器學習仰賴資料進行預測的方式不同，自動化推理運用數學和邏輯方法進行驗證，確保系統回應符合已定義的規則。AWS提到，他們已經將自動化推理應用於儲存、網路、虛擬化和加密等領域，而現在進一步擴展至生成式人工智慧，提供準確性保證。</p> <p>該技術的核心在於透過政策規則的形式化（Formal）建置與驗證，檢查生成式人工智慧是否遵循特定的事實與邏輯，例如在企業內部的應用，自動化推理檢查可用於檢驗與人力資源政策、產品資訊和操作流程相關的回應，確保輸出的內容與組織內部規範一致。</p> <p>企業可以將操作手冊等文件上傳至Amazon Bedrock，系統會自動分析文件內容並生成相應的邏輯規則。這些規則會被轉換成精確且結構化的數學或邏輯表達方式，也就是形式邏輯，使系統能夠有效理解並加以運用，以驗證生成式人工智慧輸出的準確性。</p> <p>當系統發現回應內容違背政策規則，則系統會標示為無效，並提供詳細的邏輯解釋與改進建議。這套機制也可以與提示詞工程、檢索增強生成（RAG）和上下文檢查結合使用，執行多層次安全防護。</p> <p>AWS表示，這項技術使得生成式人工智慧應用案例，能夠具有更高的準確性與可解釋性，特別適用於需要高度事實性的業務應用，而且該技術不僅提供防護功能，還能協助用戶分析並改進回應，逐步提升整體系統可靠性。</p> <p>自動化推理檢查目前已經在美西奧勒岡地區Amazon Bedrock Guardrails提供預覽版服務，官方計畫在未來數周內，將會在Amazon Bedrock控制臺開放註冊表單，供更多使用者測試。</p> </div></div></div>
2024/12/6 09:04作者李建興https://www.ithome.com.tw/news/166378
【re:Invent 2024現場直擊】從模型訓練算力配置自動化、提示快取管理到RAG結構化資料支援，AWS揭一系列A…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年度re:Invent技術年會中，AWS資料與人工智慧資深副總裁Swami Sivasubramanian揭露AI服務重大更新，不論是機器學習平臺SageMaker還是生成式AI平臺Bedrock，都聚焦生成式AI（即GAI）帶來的更大算力和資料檢索需求，推出相應新功能。</p> <p><span style="font-size:22px;"><strong>SageMaker瞄準生程式AI更大的算力需求，新添算力支援和任務管理</strong></span></p> <p>比如，他們在專為GAI推出的快速擴展服務Amazon SageMaker Hyperpod中，正式新添了能自動化彈性支援模型訓練的計畫功能（Amazon SageMaker Hyperpod Flexible Training Plans），能自動設置模型訓練所需的基礎設施和運算叢集，而且還符合使用者預期的訓練時間和成本。Sivasubramanian說，這個新功能可提高訓練效率，省下好幾周的模型訓練時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A8%93%E7%B7%B4%E8%A8%88%E7%95%AB.JPG" /></p> <p>再來，「有效管理訓練資源，也是很複雜的任務，」Sivasubramanian表示，對Amazon自己來說也是如此。於是他們開發一套功能，提高超過90%的加速運算運用率。「當我們與不同產業的資訊長、執行長們分享這個成功經驗，他們都表示這是他們需要的。」</p> <p>於是，AWS今日正式推出Amazon SageMaker Hyperpod Task Governance任務治理功能，使用者能定義自己的優先任務，來最大化運用加速器運算資源，降低模型訓練、微調和推論的成本。甚至，使用者還能即時監控模型任務的執行洞察，來減少等待時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BB%BB%E5%8B%99%E6%B2%BB%E7%90%86.JPG" /></p> <p>另一方面，為顧及使用者希望操作第三方AI應用程式、管理模型的需求，Sivasubramanian也揭露另一款更新，只要是AWS合作夥伴的AI Apps，都能在SageMaker中使用了。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%AC%AC%E4%B8%89%E6%96%B9ai.JPG" /></p> <p><strong><span style="font-size:22px;">Bedrcok也有模型市集了，還有提示管理新功能</span></strong></p> <p>不只如此，AWS還針對Amazon Bedrcok平臺，也就是優化GAI應用程式建置和擴展的服務，正式推出Amazon Bedrock Marketplacae市集，提供100多個模型，來讓使用者測試、使用。</p> <p>再來，為了更有效管理提示所衍生的成本，AWS分別推出2項預覽版功能，首先是Bedrcok提示快取（Prompt caching）支援功能，可以針對跨API呼叫的重複性提示進行快取，來避免不斷重複的提示產生的Token成本。「這是降低延遲和節省成本的關鍵，你可以降低85%延遲、節省90%成本。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8F%90%E7%A4%BAcaching.JPG" /></p> <p>另一項功能是智慧提示分配（Bedrock Intelligent Prompt Routing），也就是能根據提示內容，自動分配給最適合的模型來處理、回答問題。Sivasubramanian說，有了這個功能，開發者不必再花大把時間測試哪個模型最適合回答哪些問題，可節省3成開發成本。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8F%90%E7%A4%BArouting.JPG" /></p> <p><span style="font-size:22px;"><strong>針對RAG痛點，推出更好的資料來源配對功能和Bedrock結構化資料檢索功能</strong></span></p> <p>RAG是透過搜尋外接資料庫知識，來避免大型語言模型（LLM）幻覺的重要手段。AWS先前就推出Bedrock Knowledge Bases知識庫來簡化RAG工作流程的管理，同時，為了讓使用者更容易在企業或組織中找到正確資料，AWS之前也推出Amazon Kendra服務，能透過機器學習支援來快速找到最相關的資料。</p> <p>這次，AWS推出了Kendra GAI Index預覽版，使用者能連結40多個資料來源、對其索引，來讓企業更有效率打造數位助理和智慧搜尋體驗。這個功能，還能與Bedrock Knowlege Bases和其他工具整合，來開發RAG支援的AI助理，或是與Amazon Q Business整合使用，打造全託管的數位助理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/kendra%E6%8C%87%E5%BC%95.JPG" /></p> <p>接著，AWS也針對RAG所需的資料類型，正式推出了Bedrock Knowledge Bases結構化資料檢索功能，Sivasubramanian還揭露其他資料處理新功能，像是Amazon Bedrock Data Automation預覽版，能自動從非結構化的多模態資料中抽取內容，來轉換、生成結構化資料；以及Bedrock Knowledge Bases支援GraphRAG的預覽版功能，使用者可以打造使用知識圖譜的GAI應用程式了。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/data%E8%87%AA%E5%8B%95%E8%A9%B1.JPG" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B5%90%E6%A7%8B%E5%8C%96%E8%B3%87%E6%96%99.JPG" /></p> <p></p> </div></div></div>
2024/12/5 18:52作者王若樸https://www.ithome.com.tw/news/166377
【資安日報】12月5日，勒索軟體Brain Cipher聲稱攻擊Deloitte英國分公司並竊得大批資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體攻擊行動與風險達到10分漏洞占據了今天的資安日報版面，其中，又以德勤（Deloitte）英國分公司傳出遭遇勒索軟體攻擊的事故，最令人震撼。</p> <p>雖然駭客聲稱從該公司竊得1 TB的內部資料，但並未透露他們掌握了那些資料，加上德勤並未發表公開說明，這起事故的真實性有待進一步確認。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166356"><strong style="font-size: 22px;">Deloitte英國分公司驚傳遭勒索軟體Brain Cipher攻擊，駭客聲稱竊得1 TB資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BRIAN CIPHER DELOITE HACK.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/BRIAN%20CIPHER%20DELOITE%20HACK.jpeg" style="width: 300px; float: right;" /></a></p> <p>根據Cyber Security News、Cyber Security Hub、Red Hot Cyber等資安新聞網站報導，12月4日惡名昭彰的勒索軟體駭客組織Brain Cipher聲稱，他們成功入侵四大會計師事務所之一的德勤（Deloitte）英國分公司，並竊得超過1 TB敏感資料。不過，德勤並未對此公開說明。</p> <p>這些駭客揚言，假若德勤不予理會，他們將在10天後提供部分資料下載，以及透露如何成功入侵的細節。</p> <p>他們也嘲笑大公司資安防護不足，認為該公司忽略資訊安全的基本要點（elementary points），而讓他們能夠得逞。</p> <p><a href="https://www.ithome.com.tw/news/166363"><strong style="font-size: 22px;">伺服器管理介面CyberPanel存在風險值10分漏洞，美國政府證實已被用於攻擊行動</strong></a></p> <p>10月底資安新聞網站Bleeping Computer報導，資安研究員DreyAnd在伺服器網頁主控臺系統CyberPanel發現弱點CVE-2024-51567、CVE-2024-51568，隨後威脅情資搜尋引擎LeakIX指出，勒索軟體Psaux鎖定這些漏洞展開攻擊，如今這樣的情況得到美國政府證實。</p> <p>12月4日美國網路安全暨基礎設施安全局（CISA）表示，他們將CVE-2024-51568列入已遭利用漏洞列表（KEV），要求聯邦機構限期在12月25日前完成修補。</p> <p>值得留意的是，這項漏洞CVSS風險評為10分（滿分10分），相當危險。此為不正確預設權限弱點，一旦攻擊者利用在statusfile屬性當中的Shell元文字（metacharacter），就有機會繞過身分驗證流程，或是執行任意命令。</p> <p><a href="https://www.ithome.com.tw/news/166367"><strong style="font-size: 22px;">日本警告IO-Data無線基地臺零時差漏洞已出現攻擊行動</strong></a></p> <p>12月4日日本電腦網路危機處理暨協調中心（JPCERT/CC）針對IO-Data無線基地臺用戶提出警告，UD-LT1、UD-LT1/EX兩款LTE無線基地臺存在3項漏洞CVE-2024-45841、CVE-2024-47133、CVE-2024-52564，他們已掌握漏洞利用攻擊的情況。</p> <p>這些漏洞最初在11月13日揭露，設備廠商IO-Data表示，它們涉及重要資源不正確的權限分配、作業系統命令注入，以及非文件功能包含（Inclusion of Undocumented Features，CWE-1242），CVSS風險介於6.5至7.5分。</p> <p>值值得留意的是，目前IO-Data僅修補CVE-2024-52564，先發布2.1.9版韌體解決這個問題，至於其餘兩個漏洞的處理，預計12月18日推出2.2.0版韌體修補。在新版韌體尚未推出之前，IO-Data呼籲用戶應依照公告網頁上的指示，採取緩解措施，限縮存取管理介面的管道、修改管理者及訪客帳號的密碼因應。</p> <p><a href="https://www.ithome.com.tw/news/166359"><strong style="font-size: 22px;">MOVEit漏洞攻擊事故出現新的受害者，駭客公布76萬筆員工資料</strong></a></p> <p>去年5月，勒索軟體駭客組織Clop利用檔案傳輸系統MOVEit Transfer零時差漏洞CVE-2023-34362發動大規模攻擊「MOVEit Hack」，根據研究機構KonBriefing彙整的資料，截至去年底有超過2,611個企業組織受害，約有8,510萬至8,990萬人個資流出，駭客的攻擊範圍橫跨32個國家。事隔一年半，仍有相關外洩資料流出。</p> <p>根據資安新聞網站SecurityWeek的報導，12月2日ID為Nam3l3ss的人士於駭客論壇BreachForums公布一批新的資料，而此人過往曾聲稱握有MOVEit Hack相關資料，因此，這批資料有可能來自該起資安事故。</p> <p>SecurityWeek的報導當中，也提到這批資料橫跨多家知名大型企業，像是美國銀行、橋水基金（Bridgewater）、仲量聯行（JLL）、科氏工業（Koch）、摩根史坦利（Morgan Stanley）、Nokia、全錄（Xerox）。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/white-house-salt-typhoon-hacked-telcos-in-dozens-of-countries/">美國針對中國駭客Salt Typhoon攻擊電信業者行動透露新的發現，指出範圍涵蓋數十個國家</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.theregister.com/2024/12/03/us_energy_contractor_englobal_ransomware/">美國能源業者ENGlobal坦承遭遇勒索軟體攻擊，IT系統部分資料遭到加密</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/fuji-electric-indonesia-suffers-ransomware-attack-business-partner-data-potentially-leaked/">富士電氣印尼子公司傳出遭遇勒索軟體攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166360"><strong style="font-size: 22px;">SailPoint IdentityIQ存在風險10分重大漏洞，恐洩漏敏感配置檔案、用戶資料</strong></a></p> <p>12月3日科技新聞網站The Register報導指出，資安業者SailPoint旗下的身分驗證管理（IAM）系統IdentityIQ當中，存在CVSS資安風險達到10分（滿分10分）的資料夾穿越漏洞CVE-2024-10905，並指出他們雖然看到美國國家漏洞資料庫（NVD）週一公布這項漏洞，卻沒有看到SailPoint發布相關公告，僅能得知該漏洞的類型為不當處理識別虛擬資源的檔案名稱（CWE-66）。對此，我們透過公關公司向SailPoint詢問此事。</p> <p>SailPoint資安長Rex Booth表示，他們已在12月2日發布資安公告，並將這項漏洞登記為CVE-2024-10905列管，並發布修補程式8.4p2、8.3p5、8.2p8版予以修補。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/mobsf-xss-vulnerability/">滲透測試框架MobSF存在跨網站指令碼漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-52338-critical-security-flaw-in-apache-arrow-r-package-allows-arbitrary-code-execution/">軟體框架Apache Arrow的R套件存在重大漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166346"><strong>【12月4日】伊朗駭客APT35鎖定航太及半導體產業發動網釣攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166328"><strong>【12月3日】惡意軟體SmokeLoader假借報價名義攻擊臺灣多個領域的企業</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166298"><strong>【12月2日】網釣工具包Rockstar 2FA針對汽車相關主題網站而來，意圖竊取用戶的M365帳號</strong></a></p> </div></div></div>
2024/12/5 17:04作者周峻佑https://www.ithome.com.tw/news/166370
日本警告IO-Data無線基地臺零時差漏洞已出現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>12月4日日本電腦網路危機處理暨協調中心（JPCERT/CC）針<a href="https://jvn.jp/en/jp/JVN46615026/index.html">對IO-Data無線基地臺用戶提出警告</a>，UD-LT1、UD-LT1/EX兩款LTE無線基地臺存在3項漏洞CVE-2024-45841、CVE-2024-47133、CVE-2024-52564，他們已掌握漏洞利用攻擊的情況。</p> <p>這些漏洞最初在<a href="https://www.iodata.jp/support/information/2024/11_ud-lt1/index.htm">11月13日揭露</a>，設備廠商IO-Data表示，它們涉及重要資源不正確的權限分配、作業系統命令注入，以及非文件功能包含（Inclusion of Undocumented Features，CWE-1242），CVSS風險介於6.5至7.5分。</p> <p>一旦攻擊者利用這些漏洞，就有機會利用訪客帳號存取含有帳密資料的檔案，或是利用已登入的管理者帳號執行任意作業系統命令，甚至能遠端停用防火牆的功能，並進一步執行任意作業系統命令，或是竄改裝置組態設定。</p> <p>值值得留意的是，目前IO-Data僅修補CVE-2024-52564，先發布2.1.9版韌體解決這個問題，至於其餘兩個漏洞的處理，預計12月18日推出2.2.0版韌體修補。在新版韌體尚未推出之前，IO-Data呼籲用戶應依照公告網頁上的指示，採取緩解措施，限縮存取管理介面的管道、修改管理者及訪客帳號的密碼因應。</p> </div></div></div>
2024/12/5 16:16作者周峻佑https://www.ithome.com.tw/news/166367
Deloitte英國分公司驚傳遭勒索軟體Brain Cipher攻擊，駭客聲稱竊得1 TB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://cybersecuritynews.com/deloitte-hacked/">Cyber Security News</a>、<a href="https://www.linkedin.com/pulse/deloitte-allegedly-hacked-notorious-ransomware-smade/">Cyber Security Hub</a>、<a href="https://www.redhotcyber.com/en/post/brain-chiper-claims-computer-attack-on-deloitte-1-tera-byte-of-data/">Red Hot Cyber</a>等資安新聞網站報導，12月4日惡名昭彰的勒索軟體駭客組織Brain Cipher聲稱，他們成功入侵四大會計師事務所之一的德勤（Deloitte）英國分公司，並竊得超過1 TB敏感資料。不過，德勤並未對此公開說明。</p> <p>這些駭客揚言，假若德勤不予理會，他們將在10天後提供部分資料下載，以及透露如何成功入侵的細節。</p> <p>他們也嘲笑大公司資安防護不足，認為該公司忽略資訊安全的基本要點（elementary points），而讓他們能夠得逞。</p> <p>勒索軟體Brain Cipher從今年6月開始活動，這些駭客使用LockBit 3.0製作工具打造勒索軟體，並使用多重勒索手法向受害組織施壓，脅迫他們支付贖金。該組織攻擊範圍涵蓋醫療、教育、製造業等多種產業，其中一起最受到矚目的攻擊事故，是針對印尼國家資料中心的攻擊，導致該國公共服務運作遭到嚴重破壞。</p> </div></div></div>
2024/12/5 13:21作者周峻佑https://www.ithome.com.tw/news/166356
MOVEit漏洞攻擊事故出現新的受害者，駭客公布數家公司的76萬筆員工資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年5月，勒索軟體駭客組織Clop利用檔案傳輸系統MOVEit Transfer零時差漏洞CVE-2023-34362發動大規模攻擊「MOVEit Hack」，根據研究機構KonBriefing彙整的資料，<a href="https://konbriefing.com/en-topics/cyber-attacks-moveit-victim-list.html">截至去年底有超過2,611個企業組織受害</a>，約有8,510萬至8,990萬人個資流出，駭客的攻擊範圍橫跨32個國家。事隔一年半，仍有相關外洩資料流出。</p> <p>根據資安新聞網站SecurityWeek的報導，<a href="https://www.securityweek.com/760000-employee-records-from-several-major-firms-leaked-online/">12月2日ID為Nam3l3ss的人士於駭客論壇BreachForums公布一批新的資料</a>，而此人過往曾聲稱握有MOVEit Hack相關資料，因此這批資料也很可能來自這起資安事故。</p> <p>該新聞網站看到這批資料屬於美國銀行、橋水基金（Bridgewater）、仲量聯行（JLL）、科氏工業（Koch）、摩根史坦利（Morgan Stanley）、Nokia、全錄（Xerox）。</p> <p>他們尋求隱私保護業者Atlas Privacy協助，該公司表示，他們研判資料來自發動MOVEit Hack的Clop，Nam3l3ss很有可能從數TB資料進行挖掘，然後重新打包尋求更為廣泛的銷售。</p> <p>研究人員進一步分析，美國銀行員工資料有288,297筆、科氏工業員工237,487筆、Nokia有94,253筆、仲量聯行62,349筆、全錄42,735筆、摩根史坦利32,861筆，以及橋水基金2,141筆，總數為760,123筆。</p> <p>值得留意的是，這批並非近期Nam3l3ss公布的遭竊資料，3個星期前，<a href="https://www.ithome.com.tw/news/165980">此人也聲稱握有雲端服務業者Amazon共280萬筆資料</a>，該公司表示，是其中一家合作的物產管理業者遭駭所致。</p> </div></div></div>
2024/12/5 14:33作者周峻佑https://www.ithome.com.tw/news/166359
SailPoint IdentityIQ存在風險10分重大漏洞，恐洩漏敏感配置檔案、用戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週一（12月2日）資安業者SailPoint針對旗下身分驗證管理（IAM）系統IdentityIQ發布資安公告，指出<a href="https://www.sailpoint.com/security-advisories/identityiq-improper-access-control-vulnerability-cve-2024-10905">此系統存在不當存取控制弱點CVE-2024-10905</a>，CVSS風險評分達到10分（滿分10分）相當危險，該公司發布8.4p2、8.3p5、8.2p8版修補程式修補。</p> <p>這項漏洞起因是IdentityIQ的存取控制不當，攻擊者有機會在未經授權的情況下，透過HTTP連線存取應用程式資料夾當中，原本應該受到保護的靜態內容。<a href="https://securityonline.info/cve-2024-10905-cvss-10-critical-vulnerability-in-sailpoint-identityiq-exposes-sensitive-data/">資安新聞網站Cybersecurity News指出</a>，這些靜態內容包含敏感的配置檔案、應用程式的程式碼，甚至還有使用者的資料。</p> <p>附帶一提的是，SailPoint提及這項漏洞也可能影響已終止支援的舊版，呼籲IT人員應儘速套用相關更新因應。</p> </div></div></div>
2024/12/5 15:08作者周峻佑https://www.ithome.com.tw/news/166360
伺服器管理介面CyberPanel存在風險值10分漏洞，美國政府證實已被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月底<a href="https://www.ithome.com.tw/news/165767">資安新聞網站Bleeping Computer報導</a>，資安研究員DreyAnd在伺服器網頁主控臺系統CyberPanel發現弱點CVE-2024-51567、CVE-2024-51568，隨後威脅情資搜尋引擎LeakIX指出，勒索軟體Psaux鎖定這些漏洞展開攻擊，如今這樣的情況得到美國政府證實。</p> <p>12月4日美國網路安全暨基礎設施安全局（CISA）表示，<a href="https://www.cisa.gov/news-events/alerts/2024/12/04/cisa-adds-one-known-exploited-vulnerability-catalog">他們將CVE-2024-51568列入已遭利用漏洞列表（KEV）</a>，要求聯邦機構限期在12月25日前完成修補。</p> <p>值得留意的是，這項漏洞CVSS風險評為10分（滿分10分），相當危險。此為不正確預設權限弱點，一旦攻擊者利用在statusfile屬性當中的Shell元文字（metacharacter），就有機會繞過身分驗證流程，或是執行任意命令。</p> </div></div></div>
2024/12/5 15:44作者周峻佑https://www.ithome.com.tw/news/166363
備戰OpenAI影片生成模型Sora，Google新推影像生成模型Veo、Imagen 3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應OpenAI影片生成模型Sora，Google搶先在昨（4）日<a href="https://cloud.google.com/blog/products/ai-machine-learning/introducing-veo-and-imagen-3-on-vertex-ai" target="_blank">測試</a>影片生成模型Veo，以及圖片生成模型Imagen 3在Google Cloud全球上線。</p> <p>Veo目前在Google Cloud Vertex AI平臺提供限量測試，而Imagen 3則是繼<a href="https://www.ithome.com.tw/news/164516" target="_blank">8月</a>在美國向企業和一般用戶開放後，下周在Vertex AI正式上線。</p> <p>Veo首於今年Google I/O上亮相，是由Google DeepMind研發，能接受圖片和文字輸入生成短影片。Veo可用來生成1080p且超過1分鐘的高解析度影片，並支援不同電影與視覺風格。在輸入圖片方面，它能接受真實圖片，或是AI生成的圖片為提示。而在文字上，Veo可準確理解用戶輸入文字的細微差別及語氣，還能理解各種電影效果的提示，例如延遲攝影或空拍。Google強調AI可解決影片產製過程中繁瑣或重覆性事務，是人類的夥伴。</p> <p>其次是圖片生成模型Imagen 3全球在Vertex AI上線。Imagen 3是Google最高品質的文字轉圖片生成模型，輸入長串文字它都能理解，並產出有如相片、栩栩如生的圖片，且圖片中的視覺噪點等元素也遠少於之前模型。下周起，所有Google Cloud訂閱用戶即可在Vertex AI上存取Imagen 3模型。</p> <p>Google也開放Imagen 3圖片編輯和客製化，但用戶需加入<a href="https://docs.google.com/forms/d/e/1FAIpQLScN9KOtbuwnEh6pV7xjxib5up5kG_uPqnBtJ8GcubZ6M3i5Cw/viewform" target="_blank">申請清單</a>等候開放。圖片編輯功能包括產品背景、圖片品質提升。客製化功能則允許圖片生成時加入想要的特徵，例如公司品牌、風格、Logo、主題或產品特色。圖片客製化有助於加速企業廣告和行銷素材的生成。</p> <p>為免於AI圖片引發的版權或Deepfake倫理問題，Google也為Veo和Imagen 3加入安全技術，包括DeepMind研發的SynthID浮水印、安全過濾器、Google保證不使用用戶資料來訓練模型，以及版權保護，為使用Veo和Imagen 3生成影片和圖片的客戶提供版權保護，不用擔心未來被告。</p> <p>目前Agoda已用Google模型包括Veo、Gemini和Imagen加速影片式廣告生成。其他透過Vertex AI使用Veo和Imagen的知名企業，包括生產Milka巧克力、Oreo的食品業巨人Mondelez International。</p> </div></div></div>
2024/12/5 14:14作者林妍溱https://www.ithome.com.tw/news/166357
Firstory不怕每月PB級流量，四年練成團隊FinOps思維
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣Podcast市場從2020年開始蓬勃，節目收聽量大幅增加，成立才1年的Podcast託管服務新創Firstory搭上熱潮，獲得不少資金挹注，初期重要合作對象《唐陽雞酒屋》節目，更衝上蘋果全臺播客節目排行榜第一，帶來了不少曝光度。</p> <p>隨著Podcast爆紅，聽眾變多，也為Firstory帶來意外之外的甜蜜負擔。「原本每月幾千元，一下漲到幾萬塊。」2020年10月底，第一次收到暴增數倍的雲端費用帳單，Firstory共同創辦人暨技術長翁子皓至今還印象深刻。隔年，臺灣Podcast浪潮持續發威，Firstory經手的節目在該年底11月左右的下載數，比年初多了三、四倍。聽眾高峰時，一周，就讓他們的荷包失血將近32萬元。</p> <p>至今，Firstory一個月要處理的Podcast音檔串流流量，甚至高達PB級的資料巨量，雲端費用也是Firstory營運最大宗的成本，占了6、7成。扣除人事與辦公室租金等開銷，其餘營運花費，幾乎9成用於雲端。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>收聽量大幅成長，雲端成本跟著隨之爆漲</strong></span></span></p> <p>「一開始，先衝高用戶數和使用量，不以營利為目標。」翁子皓回憶，草創時期，以擴大用戶規模為主，再尋找可營利的商業模式。用戶少時，費用問題不明顯，但在搭上播客熱潮後，收聽量大幅成長，雲端流量成本也在短時間內暴增。</p> <p>翁子皓回憶，當時尚未建立防護或監控機制，等到月底收到帳單時，才驚覺成本飆升。更糟的是，還遇到雲端供應商漲價，更讓不算寬裕的營運費用雪上加霜。</p> <p>雲端成本過高不僅影響營運，甚至拖慢了產品開發迭代速度。翁子皓坦言，草創時期團隊人數較少，整個月忙於處理費用問題，就會延宕了當月的新功能開發進度，迭代時間從1到2周，甚至拉長到1個月以上。</p> <p>為了尋找成本問題解決方案，Firstory向音樂串流平臺請教，將串流服務搬遷到費用更符合自己需求的雲端供應商，也開始用「提前承諾用量」作法，來獲得更多折扣。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>走過一段試錯，才建立輔助成本控管的監控機制</strong></span></span></p> <p>更關鍵的是，Firstory開始設立成本預估和監控機制，靠著每月、每季檢視帳單，嘗試分析功能和雲端服務使用量的關聯，慢慢摸索出一套預估雲端成本的方式。</p> <p>「像是剖析前後兩個月中，特定雲端服務費用的變化，來對照自身產品使用量的成長。」翁子皓舉例。</p> <p>一開始，Firstory團隊只靠IT維運常用的基本監控指標，例如CPU用量和機器使用量，「這些指標和使用者缺乏直接相關，無法看出功能和雲端服務用量的關聯性。」翁子皓表示，光是蒐集這些雲端服務使用數據還不夠，為了提升預估成本的能力，團隊接著開始蒐集產品功能和使用者行為之間的相關數據，再來分析雲端服務用量和使用者數據的關聯性。</p> <p>例如，當創作上傳音檔次數增加時，託管平臺需要啟用更多虛擬機器，而收聽量上升時，流量費用也會隨之增加。音檔上傳行為和收聽行為，是明顯會影響雲端成本的情況。</p> <p>翁子皓表示，為了找出更多影響成本的情況，團隊會討論不同情況的假設命題，來進行觀察，分析特定功能使用量是否與雲端用量存在關聯。「這是一個試錯過程。」翁子皓提到，觀察每個月的數據，若某項假設的關聯性不大，便會轉而分析其他數據。</p> <p>透過這樣反覆假設、觀察和驗證個過程，慢慢提升成本預估能力。</p> <p>從眾多數據中尋找關聯性，猶如大海撈針。翁子皓不諱言地說，分析過程中難免會出現錯誤假設。</p> <p>例如，他們曾經有一項假設是，若創作者集中在特定時段上傳節目，託管平臺需要加開機器來支應，可能導致成本上升。</p> <p>實際觀察一個月後，Firstory團隊發現，創作者不會集中在特定時段上傳，甚至，隨著創作者數量逐漸增加，上傳音檔的時機，反而更加平均分布在不同的時段。這也證明了這項假設的錯誤，可以排除在後續的觀察名單中。</p> <p>除了逐月觀察使用量與公雲服務用量的關聯性，Firstory團隊也設計了一項通訊軟體的預警通知機制。</p> <p>若有一項公雲服務的用量突然增加，預警機制會立即透過通訊軟體發送通知，提醒團隊檢查自身產品功能的使用情況。</p> <p>並且，Firstory團隊會格外注意新服務上線前後，像是發現租用的虛擬機器用量暴增時，先確認使用人數的變化，若聽眾沒有大增，就可能是新上線的功能出現故障所致。</p> <p>但若有多項自家產品功能，同時都用了單一公雲服務，如何判斷出具體影響這項服務用量的因素？翁子皓解釋，團隊會檢視多個平臺功能每日用量變化，逐一對照所用公雲服務的每日用量，如此一來，團隊就可以逐步找出影響費用的主要因素。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>將創作者分群，依據節目音檔使用率分級儲存來省錢</strong></span></span></p> <p>蒐集足夠的數據後，Firstory開始採取分級儲存的策略，依據節目音檔的使用情況，使用不同價格和功能的雲端儲存服務。</p> <p>主要策略是按照上傳時間來劃分，例如，一年前上傳的節目，可能會放置到讀取速度較慢、但成本較低的雲端儲存空間。</p> <p>另外一項策略是以收聽量為準來對創作者分群，收聽量較低者的節目檔案，實測讀取速度在可接受範圍內，也會改放到較便宜的冷儲存空間。</p> <p>不過，團隊會同步關注客服回饋，確認沒有收到讀取速度過慢的抱怨訊息。</p> <p>由於Firstory的託管平臺採用K8S架構，可以透過設定CPU指標，自動開啟或關閉機器。因此，團隊也善用這項機制，達到最佳資源利用率和成本效益。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>新功能開發階段就納入雲端財務管理思維</strong></span></span></p> <p>走過Podcast市場爆發的2019年至2021年，Firstory的創作者用戶數和大眾收聽數，皆達到一定規模，經營團隊開始尋找可營利的商業模式。</p> <p>2022年，Firstory開始協助創作者進行內容變現，迎來關鍵的商模轉捩點：導入動態廣告插播，和提供訂閱會員制服務方案。</p> <p>新的商模不只帶來了新的技術挑戰，同時，也增加了另一筆可觀的雲端服務成本。</p> <p>行動裝置平臺對於這類串流音檔，原本就會提供本地端的暫存機制。聽眾在收聽節目時，會下載一份音檔暫存到聽眾所用的裝置上，若平臺線上的節目音檔版本沒有更新，當聽眾在一定時間對同一個節目多次按下播放鍵，會直接播放裝置上的本地音檔版本，來避免增加串流的流量費用。</p> <p>但是為了推出動態廣告插播服務，Firstory託管平臺不只需要額外加開虛擬機器，即時處理不同媒體格式的廣告素材，並將這些廣告素材即時嵌入至原本的節目音檔中。</p> <p>每一次只要有新的廣告素材，就會產生一份新的節目音檔，在聽眾裝置端就得重新下載帶有新廣告的一整份節目音檔，因此，「新商模讓收聽流量費用跟著變高了。」翁子皓說。</p> <p>不過，有了2年的成本管理經驗，Firstory團隊在開發動態廣告插播服務時，就將雲端財務管理納入考量，在開發階段，團隊就考慮到音檔合成服務對流量費用的影響，一併增加了更多觀察指標的設計。每次廣告自動配對系統改版後，Firstory團隊也會追蹤更新帶來的費用變化，作為後續優化雲端費用控管的參考。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>導入FinOps思維，高峰用量甚至可以節費破5成</strong></span></span></p> <p>從2020年，團隊收到了爆漲雲端帳單那一刻起，Firstory就開始將雲端財務管理思維納入營運，至今，也已經走了4個年頭。</p> <p>起初，FinOps這項概念尚未在臺灣引起討論，並沒有太多前例可參考，所以，Firstory團隊除了向音樂串流平臺和雲端供應商諮詢，大多靠著摸索自身的產業型態，慢慢建立一套自己的財務管理模式。</p> <p>幾年下來，Firstory也累積了一系列的節費措施，根據翁子皓估計，以最高峰的用量來看，採用節費措施後，公雲費用減少了5至6成。</p> <p>「雲端節費是持續性的課題，不是做完一次，就能一勞永逸。」翁子皓表示，每一次最佳化，都只能降低部分成本，甚至，有些問題會等到用量變大才會浮現。因此，隨著用戶量成長，團隊依舊得不斷尋找更好的最佳化方法，嘗試降低成本。</p> <p>「看過很多案例，是帳單在一夜間爆漲」，翁子皓認為，建立完善監控機制是最關鍵的一步。這類監控措施看似平凡，無法直接降低公雲成本，卻能在例外情況出現時，為Firstory產品團隊提供一顆定心丸，在關鍵時刻，間接找到節流的關鍵。</p> <p><span style="font-size:28px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 為何Podcast託管服務的雲端成本這麼高？</span></strong></span></span></p> <p><span style="color:#696969;"><strong>對為Firstory提供的Podcast託管服務來說，首先，創作者上傳的每一集音檔資訊，都得儲存在雲端環境中，因此，光是儲存費用，就是一筆大開銷。另外，每當創作者上傳音檔至託管平臺，系統得進行轉檔，將檔案轉換成適合廣告合成和串流平臺讀取的格式。意味著，創作者每一次上傳節目，Firstory就得負擔一筆處理費用。若有眾多創作者同時上傳音檔，團隊還得多開機器支應瞬發流量。</strong></span></p> <p><span style="color:#696969;"><strong>當聽眾按下了播放鍵，播放平臺會從雲端下載音檔至裝置，每一次過程，都會計為一次流量費用。以Firstory經手的熱門節目為例，每檔節目日均下載次數高達數千甚至數萬次，若加總所有節目的流量，每月累計的收聽次數更突破2億次。甚至，Firstory光是每月處理的podcast音檔串流流量，就達到PB等級。如此龐大的流量也需要付出一筆相當可觀的費用。</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><strong>翁子皓</strong></p> <p><strong>Firstory共同創辦人暨技術長</strong></p> <p>學歷：清華大學資訊工程系</p> <p>經歷：大學時曾和系上同學前往美國參加超級計算機競賽奪冠，畢業後和同為清大畢業的于子軒、劉德政共同創業，起初經營聲音社群平臺，後來團隊改為瞄準Podcast託管服務。從公司創立開始，一路擔任技術長至今。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1211_Firstory_300_PNG.png" style="width: 350px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>吉爾科技（Firstory）</strong></p> <p>●地址：臺北市松山區民生東路四段133號6樓</p> <p>●成立時間：2019年</p> <p>●主要業務：Podcast託管服務、數據分析服務，DAI動態廣告</p> <p>●業務規模：每月收聽數超過2億次、節目總數超過1.4萬</p> <p>●員工數：10人</p> <p>●共同創辦人：于子軒、翁子皓、劉德政</p> <p>●執行長：于子軒</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事記 </span></strong></span></p> <p>●2019年8月：Firstory 成立公司，推出第一版面對Podcast創作者的工具，開始提供Podcast託管服務</p> <p>●2020年10月：完成種子輪投資，獲得包含臺灣最大音樂串流平臺KKBOX資金挹注</p> <p>●2020年11月：收聽量大增，團隊漸漸將串流服務轉移至其它雲端供應商、開始嘗試建立輔助成本控管的監控機制</p> <p>●2020年12月：提供單集多平臺連結</p> <p>●2021年7月：推出訂閱制贊助功能</p> <p>●2021年9月：宣布進軍全球市場、推出平臺付費加值訂閱方案，提供創作者更多加值服務</p> <p>●2022年5月：推出動態廣告插入工具、動態插播廣告系統上線</p> <p>●2022年8月：與 Spotify 合作，開始提供創作者能製作專屬會員的單集節目</p> <p>●2023年3月：推出新的流量計費方案，提供大量下載數需求的企業用戶或大型創作者額外專業功能</p> <p>●2024年6月：串接 Firstory 與 Apple Podcast Subscription，提供創作者上傳訂閱制單集節目至蘋果Podcast</p> <p>●2024年10月：與 Spotify的API完成獨家串接，創作者能更快取得Spotify 播客的收聽數據</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1211_firstory_960.jpg" width="960" height="420" alt="" title="Firstory共同創辦人暨技術長翁子皓" /></div></div></div>
2024/12/5 11:45作者李昀璇https://www.ithome.com.tw/people/166355
Kotlin 2.1.0添加Guard Conditions語言功能，並強化跨平臺支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains發布<a href="https://blog.jetbrains.com/kotlin/2024/11/kotlin-2-1-0-released/">Kotlin 2.1.0</a>版本帶來多項重大升級，包括語言功能的進一步強化、新增功能預覽、編譯器最佳化及跨平臺開發等改進。這次更新不僅提升開發體驗，也替Kotlin多元應用場景提供更多的支援，再次擴展Kotlin作為現代開發工具的地位。</p> <p>在語言功能方面，Kotlin 2.1.0加入了守護條件（Guard Conditions）預覽功能，目的在於強化when表示式的靈活性和可讀性。該功能讓開發者在分支條件中，添加額外的布林值判斷，並以if關鍵字作為輔助，使程式碼結構更為簡潔。這項改動對於複雜控制流程來說，可以有效提升程式碼的清晰度和可維護性，大幅簡化傳統冗長的巢狀邏輯。</p> <p>K2編譯器在這個版本也有多方面升級，特別是加入更多編譯器檢查，以及全域警告抑制功能，開發者有更多手段改善程式碼品質。開發者可以啟用額外檢查項目，像是檢測多餘可空型別、未使用的變數或是多餘的模版字串等，雖然這些檢查並非必要，卻可以協助最佳化程式碼結構。此外，全域警告抑制功能，避免不必要的警告干擾，使警告不顯示提升專案管理的靈活性。</p> <p>跨平臺應用的改進是Kotlin 2.1.0的另一大亮點，在多平臺支援方面，Kotlin引入穩定版Gradle DSL，如此便簡化了跨平臺專案的編譯器選項配置，另外，Kotlin/Wasm首次加入增量編譯支援，大幅減少重新編譯的時間成本，特別是對大型專案來說，能夠進一步改善開發效率。</p> <p>Kotlin/Native則新增對Swift匯出的基礎支援，對於希望能深度整合iOS平臺的開發者來說是一項福音，藉由強化多平臺函式庫的發布流程與工具鏈，JetBrains擴展並推進Kotlin跨平臺版圖。Kotlin 2.1.0也提升Java生態系的整合，提升JSpecify標註的相容性，並強化了空值安全檢查，提升跨語言開發的穩定性與安全性。</p> </div></div></div>
2024/12/5 08:39作者李建興https://www.ithome.com.tw/news/166351
Amazon公布Amazon Q Developer新代理人功能、.NET、主機程式、VMware程式轉換功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在re:Invent大會上公布開發工具Amazon Q Developer最新版本，<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-q-developer-agent-capabilities-include-generating-documentation-code-reviews-and-unit-tests/" target="_blank">增加代理人能力</a>及轉換舊程式的功能。</p> <p>Amazon Q Developer首先是今年<a href="https://www.ithome.com.tw/news/162610" target="_blank">4月</a>正式推出，陸續加入AWS CLI、SageMaker Studio、CloudShell及內嵌聊天（<a href="https://www.ithome.com.tw/news/165816" target="_blank">inline chat</a>）等能力。Q Developer的代理人可即時提供程式碼建議、輸入提示生成程式碼（/dev）、轉換（/transform）舊Java程式等開發協助。AWS今天宣布為Q Developer代理人新增3項代理人（agent）功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1205-Amazon%20Q%20Developer-agent.png" style="width: 528px;" /></p> <p>3項代理人功能分別是文件（/doc）、品質審查（/review）和測試（/review）。首先，開發人員可以Q Developer在屬意的IDE中生成文件，像是readme檔或資料流程圖。其次，他們可用Q Developer偵測及修正IDE或GitLab儲存庫中程式品質的問題，包括程式碼異味（code smells）、反模式（anti-patterns）、違反命名規則、臭蟲、邏輯錯誤、程式碼重覆、不良文件檔或安全漏洞。在檢視建議後開發人員可選擇接受或拒絕。</p> <p>最後，Q Developer還能自動生成單元測試，修正測試涵蓋範圍。它會生成簡單用例，例如邊界條件、空值、差1（off-by-1）情況以及檢查多個輸入類型。Amazon Q Developer生成的單元測試會加入相關的測試檔進行除錯。開發人員可以先預覽差別，再決定是接受或拒絕產出的單元測試。Amazon Q Developer 3種開發代理人功能，現在已於所有有Q Developer的AWS區域上線。</p> <p>Q Developer還新增<a href="https://aws.amazon.com/tw/blogs/aws/announcing-amazon-q-developer-transformation-capabilities-for-net-mainframe-and-vmware-workloads-preview/" target="_blank">轉換（transform）</a>舊應用程式的功能。最新支援的舊應用程式類型包括.NET、大型主機和VMware VM程式．方便企業將本地部署的.NET應用和VMware負載搬移到AWS雲端，或將大型主機程式現代化（modernization）。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1205-Amazon%20Q%20Developer-_NET%20modernization.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1205-Amazon%20Q%20Developer-_NET%20modernization-600.png" style="width: 600px;" /></a></p> <p>它會自動化帶領用戶走完程式碼現代化的每個步驟，包括資產發現、codebase分析、波浪（wave）分析、程式重構、解決不相容及實作網路自動化。例如用戶要求Q Developer建立大型主機程式現代化過程，Q Developer在規劃時，建立了4個階段，包括啟動現代化、分析程式碼、拆解程式、規劃搬移波浪（migration wave）、反覆式規劃及重構（refactoring）。它還會主動要求開發人員從提示提供特殊資訊，像是輸入.NET版本，以及選擇想轉換的程式庫。Q Developer還提供儀表板，以便追蹤整體轉換的過程，包括網路部署和特定臺伺服器狀態。</p> <p>Q Developer 3個轉換功能現在已經以預覽版在AWS上線，但欲試用的用戶必須具備Amazon Q Developer Pro訂閱。<span style="color:#696969;"><span style="font-size:14px;">圖片來源／AWS</span></span></p> </div></div></div>
2024/12/5 09:02作者林妍溱https://www.ithome.com.tw/news/166353
【re:Invent 2024現場直擊】SageMaker轉型成資料與AI通用大平臺，Amazon Q助手則開始能輔助…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS執行長Matt Garman在今年度re:Invent 2024技術年會中揭露Amazon Bedrock、Amazon SageMaker和生成式AI助手Amazon Q重大更新，Bedrock不只能開發和管理多代理的協作，還將SageMaker重新定位為，集結資料、分析和AI的通用平臺。</p> <p>另外，Amazon Q也有更多自動化和整合新功能，比如Amazon Q Developer開發助手多了3款AI自動化代理功能、整合GitLab等第三方平臺，更重要的是，Q Developer能協助.NET、VMware和大型主機（Mainframe）轉換等IT現代化工作了。</p> <p><span style="font-size:22px;"><strong>Bedrock可以開發多代理協作的應用</strong></span></p> <p>Matt Garman在今日主題演講中點出，AI推論，是AWS發展策略的4大重要基石之一。「生成式AI（GAI）將是所有應用程式的核心元件，」他直言。這是AWS推出Amazon Bedrock的原因，不僅支援自家和第三方模型，還兼具安全、易上手等優點，目前有數十萬家組織使用。</p> <p>在這個基礎上，Matt Garman宣布Amazon Bedrock新添模型蒸餾功能預覽版，能將大模型的知識快速轉移到小模型上，能以更實惠的成本加速模型開發。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%A8%A1%E5%9E%8B%E8%92%B8%E9%A4%BE.JPG" /></p> <p>操作也很簡單，使用者只要將應用程式裡的提示範例，輸入給Bedrock，就能快速打造出客製化的蒸餾模型。</p> <p>再來，為避免AI產生幻覺，Amazon Bedrock還新添了自動推理（Automated Reasoning）檢查功能預覽版，來檢視模型產出的答案是否符合邏輯。（如下圖）Matt Garman還透露，AWS自己有許多服務，就用自動推理功能來檢查，像是S3、程式碼檢查工具Amazon Codeguru等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/automated%20reasoning.JPG" /></p> <p>不只如此，面對越來越多的生成式AI代理管理和調度問題，Amazon Bedrock也新添了多代理協作功能預覽版，來簡化AI代理調度任務、不必再寫複雜的程式嗎，還能平行化分配代理工作，加速任務的執行。</p> <p><span style="font-size:22px;"><strong>新一代Amazon SageMaker是一套集結資料、分析和AI的通用平臺</strong></span></p> <p>同樣是AI平臺，Amazon SageMaker專門提供模型訓練、微調、部署和機器學習維運等功能，而今年AWS賦予SageMaker新定位，成為集結資料、分析和AI的通用平臺。</p> <p>在這個大放下，SageMaker有幾個新特色，其一是Unified Studio預覽版，整合SQL分析（Amazon Redshift）、資料處理（Amazon EMR、AWS。Glue和Amazon Athena）、機器學習（Amazon SageMakerAI）、生成式AI管理（Amazon Bedrock）、串流（Amazon MSK、Amazon Kinesis）和商業智慧（Amazon QuickSight）等多種服務，使用者在單一平臺就能存取，打造所需AI分析應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/studio.JPG" /></p> <p>另一個新亮點是SageMaker Lakehouse資料湖倉，是一套存取資料的統一平臺，使用者可用來存取跨Amazon S3、Amazon Redshift、SaaS服務等平臺的資料，還與Iceberg開源資料表格式相容。</p> <p>這套資料湖倉還提供細緻的資料存取權限控管，方便落實資料治理。</p> <p>與治理相關，這次還推出一套治理工具SageMaker Catalog，管理者可用來設定細緻的資料、模型和存取權限。</p> <p>新一代SageMaker還有一個與SaaS應用程式整合的零ETL新亮點，使用者可在SageMaker Lakehouse或Redshift中，存取Zendesk、SAP等SaaS應用程式的資料，來進行分析和AI應用。如此一來，使用者不必再自己建立、管理資料管線了。</p> <p><span style="font-size:22px;"><strong>Amazon Q Developer程式碼助手能協助IT現代化了</strong></span></p> <p>去年年會，AWS揭露了生成式AI助手Amazon Q，可分為Developer和Business兩個版本。Q Developer專門用來處理程式碼相關工作，Business則接收自然語言指令，來處理組織業務。</p> <p>在今年年會中，Matt Garman揭露了Q Developer的幾個新進展，包括正式新添3款AI代理，分別能自動產生和套用單元測試、產出準確的程式碼文件，以及自動進行Code review。（如下圖）其中，產出程式碼文件的功能，針對新、舊程式碼都有用，可找出不足之處和漏洞。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3%E5%80%8B%E4%BB%A3%E7%90%86.JPG" /></p> <p>不只如此，為加強可用性，除了原本既有的Slack等第三方合作平臺，Q Developer現在也能在GitLab上使用了，接下來還會整合至更多第三方平臺。</p> <p>今年的Q Developer新亮點，還包括協助IT現代化，特別是針對.NET、VMware和大型主機的現代化工作。Matt Garman表示，之前，Amazon自己就用Q Developer來升級內部Java程式為Java 17，不只省下大把時間，也因為使用了現代化Java程式，進而省下年度2.6億美元的IT成本。於是他們思考，Q Developer是否也能用於其他IT現代化任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/java%E7%AF%80%E7%9C%81.JPG" /></p> <p>後來，他們與企業客戶詳談，鎖定出3個現代化領域，並打造出Q Developer協助IT現代化的新功能。首先是將Windows.NET轉換為Linux，轉換時間得到4倍加速，還能省下40%的許可費用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NET.JPG" /></p> <p>再來是將VMware工作流程轉換到雲原生架構，將地端網路配置轉換為AWS同等配置，幾個小時就能完成，而非純人工的幾個禮拜。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VMware.JPG" /></p> <p>第三個是加速大型主機現代化，Q Developer能加速原本人工吃重的大型主機現代化工作，如程式碼分析、文件建檔、重新建構應用程式等，甚至還能根據使用者系統狀況，來給出IT現代化策的略規畫。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Mainframe%20cover.JPG" /></p> <p>這三個功能皆為預覽版。</p> <p></p> </div></div></div>
2024/12/5 01:32作者王若樸https://www.ithome.com.tw/news/166352
【re:Invent 2024現場直擊】AWS執行長揭2款資料庫服務新進展，兼顧高可用、低延遲、無需管理基礎設施等優勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS執行長Matt Garman在今年度re:Invent 2024技術年會中揭露資料庫服務新進展，推出兩款預覽版功能，包括Amazon Aurora DSQL和Amazon DynamoDB Global Tables，號稱兼顧99.999%多區域可用性、高度一致、低延遲且無需管理任何基礎設施等優點。這樣的資料庫功能，可讓使用者的應用程式一直讀取最新數據，不必更改程式碼。</p> <p><span style="font-size:22px;"><strong>要兼顧高可用、多地區、低延遲和儲存一致性等優勢的資料庫服務</strong></span></p> <p>AWS的資料庫服務歷史，最早可追溯到雲端資料庫服務Amazon RDS，後來發展出Amazon DynamoDB和Amazon Aurora，尤其後者近來新添自動擴展、支援向量資料等功能，更好地協助使用者發展生成式AI（GAI）應用。</p> <p>「完美的資料庫服務應該長怎樣？」Matt Garman認為，應該要具備高可用性、多地區、低延遲、無需額外操作、儲存一致、懂SQL語意等優勢。</p> <p>也因此，AWS團隊針對低延遲，就開發一種新方法，來減少不同地區資料庫引擎同步所需的資料交易量，進而提高一致性。</p> <p>但如何讓這些資料交易，按照時序進行，又是另一個難題。於是，AWS自己開發了Amazon Time Sync時間同步服務，來在世界各地的每個EC2執行個體中，加入硬體參考時鐘，並且與衛星原子時鐘同步。這意味著，世界各地的執行個體時間同步精確度到微秒等級。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/sync%20time(1).JPG" /></p> <p><span style="font-size:22px;"><strong>推出兩款資料庫預覽版新功能</strong></span></p> <p>在這些技術支援下，AWS打造出2款資料庫服務新功能，包括Amazon Aurora DSQL和Amazon DynamoDB Global Tables。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dsql.JPG" /></p> <p>他們號稱Amazon Aurora DSQL是最快的無伺服器分散式SQL資料庫，使用者可建立99.999%多區域可用、高度一致且PostgreSQL相容的應用程式，而且不必管理基礎設施。而且，與Google Spanner資料庫服務相比，Matt Garmana稱Aurora DSQL的讀寫速度快上4倍，適合用來打造全球性的分散式應用程式。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4x.JPG" /></p> <p>就Amazon DynamoDB來說，是AWS第一款全託管的無伺服器NoSQL資料庫，而今天發表的預覽版新功能也提供全球多區域高可用、低延遲、高度一致性，且不需管理任何基礎設施。</p> <p>AWS說明，這個DynamoDB Global Tables可用來建立和現代化企業的關鍵應用程式，還能確保客戶的多區域應用程式能一直讀取最新數據，不需要更改任何應用程式程式碼。</p> <p></p> </div></div></div>
2024/12/4 17:45作者王若樸https://www.ithome.com.tw/news/166349
【re:Invent 2024現場直擊】S3雲端儲存兩大新功能瞄準AI需求，Iceberg超大型資料表查詢能快3倍，還…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS執行長Matt Garman在今年度re:Invent 2024技術年會中，宣布幾項雲端儲存服務Amazon S3的重要新功能，包括原生支援資料湖資料格式Iceberg的Amazon S3 Tables，大型資料表查詢速度可以提高3倍，以及能自動產生物件Metadata的Amazon S3 Metadata預覽版，這兩大新功能都是為因應AI需求而設計。</p> <p><span style="font-size:22px;"><strong>要讓雲端儲存服務貼近AI需求</strong></span></p> <p>在今日主題演講中，Matt Garman點出，運算、儲存、資料庫和AI推論，是AWS新戰略的4大重要基石。</p> <p>就儲存來說，隨著新技術推陳出新，「儲存模式也改變了。」Matt Garman回顧，AWS最早推出Amazon S3雲端儲存服務，至今已有18年，擁有上百萬名使用者，處理了400兆個物件。Amazon S3服務在這18年間，也發展出幾代新服務，比如前幾年推出的S3 Intelligent-Tiering，能自動化協助處理PB級甚至是EB級的巨量資料，幫所有使用者省下了40億美元。</p> <p>然而，「S3團隊一直在思考，如何讓S3更好。」儲存產品線出身的Matt Garman指出，隨著AI越來越融入各行各業的業務，團隊後來聚焦，要讓S3更符合目前的AI需求。</p> <p>如何讓雲端儲存服務貼近AI需求？Matt Garman解釋，S3專門用來執行資料湖，而AI分析大都仰賴資料湖。其中，絕大多數的分析資料是表格形式，用來查詢非常有效率，而這些資料表大多採Apache Parquet資料格式，「這類Parquet資料，也是S3中成長速度最快的資料類型。」</p> <p>他進一步指出，有些S3客戶擁有數百萬、數十億的Parquet檔案，要有效率查詢這些資料，一種主流做法是使用Apache Iceberg資料表格式，來簡化資料湖中巨量資料集的資料處理。但，用Iceberg擴展管理巨量資料，還是很有挑戰性，甚至安全性、存取權限等管控也是難題。</p> <p><strong><span style="font-size:22px;">2大新功能加速Iceberg資料查詢和交易量，還能自動產生Metadata</span></strong></p> <p>在今年年會中，AWS正式推出Amazon S3 Tables新功能，能3倍加速Iceberg表格的查詢效能，每秒還能提高10倍交易量。而且，該功能還能自動管理表維護工作，就算使用者的資料湖不斷擴展，也是如此。再來，S3 Tables還提供表格級存取控制，使用者可自己定義權限。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/tables.JPG" /></p> <p>不過，「要找到所需資料，還是有挑戰性。」但要是有後設資料（Metadata）輔助，就能更好地找到所需資料，或是理解資料。</p> <p>於是，AWS推出另一個儲存服務的新功能：Amazon S3 Metadata預覽版，能近乎即時，自動產生可供查詢的物件Metadata，來幫助使用者更快找尋資料、用於AI分析等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/metadata.JPG" /></p> <p></p> </div></div></div>
2024/12/4 16:45作者王若樸https://www.ithome.com.tw/news/166347
【資安日報】12月4日，伊朗駭客APT35鎖定航太及半導體產業發動網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著國際政治局勢日益緊張，在國防產業占有重要地位的航太領域，這兩年也成為攻擊目標，而這些駭客多半是鎖定美國而來，但如今，有駭客廣泛針對多個國家攻擊航太產業。</p> <p>例如，近期伊朗駭客組織APT35的攻擊行動，就是典型的例子，這些駭客針對航太及半導體產業，架設冒牌徵才網站來引誘特定人士上當，從而於受害電腦植入惡意程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166340"><strong style="font-size: 22px;">伊朗駭客APT35鎖定航太及半導體產業，利用假徵才網站發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/af666d8ddd6cf76c43edd2ce8f412b329a329545e48e781fc0d13ce6ab1dac08.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/af666d8ddd6cf76c43edd2ce8f412b329a329545e48e781fc0d13ce6ab1dac08.png" style="width: 300px; float: right;" /></a></p> <p>擁有Charming Kitten、Mint Sandstorm等匿稱的伊朗駭客組織APT35，自2014年出沒以來，主要的攻擊範圍在中東及美國，針對能源、政府機關、科技服務單位下手，但在最近一起攻擊行動裡，這些駭客因為擴大活動的範圍，而引起資安研究人員的注意。</p> <p>威脅情報業者ThreatBook指出，他們發現APT35最新一波攻擊，鎖定航太及半導體產業而來，攻擊範圍橫跨美國、泰國、阿拉伯聯合大公國（UAE）、以色列。駭客運用假造的徵才網站及公司網站，並要求使用者必須透過VPN存取為由，誘騙他們下載惡意程式並執行。過程中對方濫用合法雲端服務，例如：OneDrive、Google Cloud、GitHub，從而隱匿行蹤。</p> <p>針對這起資安事故的發現，研究人員表示是發現專門針對航太產業的冒牌徵才網站，該網站提供授權存取的應用程式，當中摻入了黑、白兩種惡意軟體元件（研究人員對於APT35使用的惡意軟體歸納為兩種型態，但並未說明相關定義），主要的攻擊目標，他們推測是泰國專精無人機設計的專家。經過一系列的分析，研究人員確認攻擊者的身分就是APT35。</p> <p><a href="https://www.ithome.com.tw/news/166343"><strong style="font-size: 22px;">思科證實10年前公布的ASA設備XSS漏洞被用於攻擊行動</strong></a></p> <p>11月12日美國網路安全暨基礎設施安全局（CISA）發布漏洞濫用的產品資安警示，其中一個是關於思科ASA防火牆設備，他們確認跨網站指令碼（XSS）漏洞CVE-2014-2120已被用於攻擊行動，並將其加入已遭利用漏洞列表（KEV），要求聯邦機構必須在12月3日完成修補，如今思科也證實這項漏洞遭到利用的現象。</p> <p>思科12月2日更新公告內容，表示他們的產品事件回應團隊（PSIRT）於11月得知情報，確認有人嘗試在實際攻擊利用這項漏洞，因此呼籲用戶應升級軟體，以緩解這項弱點。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=190626&SPOKE_DATE=20241203&COMPANY_ID=8940"><strong style="font-size: 22px;">餐飲集團新天地傳出遭遇DDoS攻擊</strong></a></p> <p></p> <p>12月3日上市餐飲集團新天地於股市公開觀測站發布重大訊息，公告他們遭受DDoS攻擊的情況。事發當下，該公司立即啟動相關防禦機制因應。</p> <p>對於這起事故可能會造成的影響，新天地指出，目前評估未有個資或內部文件資料外洩的情況，對於公司的營運，沒有重大影響。他們將持續提升網路及資訊基礎架構的安全管控，以確保資訊安全。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/l/gafgyt-malware-targeting-docker-remote-api-servers.html">配置錯誤的Docker API成目標，攻擊者企圖部署惡意軟體Gafgyt，並發動DDoS攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/revc2-and-venom-loader-exploit-maas-in-advanced-campaigns/">惡意程式RevC2、Venom Loader攻擊行動升溫</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cloudflares-developer-domains-increasingly-abused-by-threat-actors/">Cloudflare Pages、Workers服務遭到駭客濫用的情況大幅增加</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166344"><strong style="font-size: 22px;">Veeam發布新版備份集中管理工具，修補遠端執行程式碼重大漏洞</strong></a></p> <p>備份與資料保護軟體廠商Veeam，於12月3日發布Veeam Service Provider Console（VSPC）遠端管理控制臺的2個漏洞，這些漏洞會影響8.1.0.21377版以前，以及更早8.x與7.x版的VSPC，該公司釋出修補版本8.1.0.21999。</p> <p>首先，是嚴重性高達9.9分的重大漏洞CVE-2024-42448，當VSPC管理代理程式在Veeam管理伺服器上獲得執行的授權時，將能在伺服器遠端任意執行各種程式碼。</p> <p>其次，是嚴重性7.1分的低風險漏洞CVE-2024-42449，當VSPC管理代理程式在伺服主機上獲得授權時，有可能導致洩漏VSPC伺服器主機服務帳戶的NTLM雜湊，並刪除伺服器上的檔案。</p> <p><a href="https://www.ithome.com.tw/news/166345"><strong style="font-size: 22px;">Progress於9月修補的WhatsUp Gold重大層級漏洞，發現問題的資安研究人員公布細節</strong></a></p> <p>今年9月軟體業者Progress發布24.0.1版網管軟體WhatsUp Gold，修補6項漏洞，其中有2項CVE-2024-8785、CVE-2024-46909為重大層級，但當時該公司僅有列出CVE編號、通報者，以及漏洞的風險評分，並未對漏洞進一步說明，如今通報漏洞的研究人員透露CVE-2024-8785的細節。</p> <p>CVE-2024-8785是由資安業者Tenable通報，他們在12月2日公開這個嚴重程度為9.8分的漏洞，發生在名為NmAPI.exe的元件，為能夠竄改Windows機碼的遠端程式碼執行（RCE）漏洞，未經授權的攻擊者有機會利用這項弱點，於目標系統遠端執行任意程式碼。對於漏洞濫用的概念性驗證作法，研究人員也提出說明，幫助大家理解這項漏洞的嚴重性。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/trellix-enterprise-security-manager-patches-critical-flaws-including-cve-2024-11482-cvss-9-8/">Trellix公告資安管理平臺ESM重大漏洞，用戶若不處理攻擊者可執行RCE攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-11980-cvss-10-critical-flaw-in-billion-electric-routers/">盛達電業無線基地臺存在高風險漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166342"><strong style="font-size: 22px;">韓國警方逮捕執行長及5名員工，起因是在生產的衛星接收器埋入DDoS攻擊功能</strong></a></p> <p>為他人打造網路攻擊工具，很有可能會吃上官司。11月28日韓國國家警察局宣布，他們逮捕1名執行長及5名員工，原因是這些人涉嫌製造含有DDoS攻擊能力的衛星接收器，而被買家用於攻擊競爭對手。</p> <p>這些人所屬的公司自2017年與買家往來，向他們銷售衛星接收器，到了2018年11月，買家要求設備必須含有DDoS攻擊能力，該製造商從2019年1月至2024年9月向他們賣出24萬臺衛星接收器，其中9.8萬臺預載DDoS攻擊模組，其餘則是透過韌體更新引入相關功能。</p> <p>上述6人被控違反《促進資訊和通訊網路利用暨資訊保護法》，法院批准沒收該公司資產，並沒收銷售這批設備的不法所得610億韓元（相當於約435萬美元）。韓國警方將尋求國際合作，追蹤並逮捕購買設備的廣播公司。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166328"><strong>【12月3日】惡意軟體SmokeLoader假借報價名義攻擊臺灣多個領域的企業</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166298"><strong>【12月2日】網釣工具包Rockstar 2FA針對汽車相關主題網站而來，意圖竊取用戶的M365帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166281"><strong>【11月29日】駭客利用CleverSoar惡意程式於中國、越南電腦散布多種惡意軟體</strong></a></p> </div></div></div>
2024/12/4 16:42作者周峻佑https://www.ithome.com.tw/news/166346
Progress於9月修補的WhatsUp Gold重大層級漏洞，發現問題的資安研究人員公布細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年9月軟體業者Progress<a href="https://www.ithome.com.tw/news/165247">發布24.0.1版網管軟體WhatsUp Gold</a>，修補6項漏洞，其中有2項CVE-2024-8785、CVE-2024-46909為重大層級，但當時該公司僅列出CVE編號、通報者，以及漏洞的風險評分，並未對漏洞進一步說明，如今通報漏洞的研究人員透露CVE-2024-8785的細節。</p> <p>CVE-2024-8785是由資安業者Tenable通報，<a href="http://www.tenable.com/security/research/tra-2024-48">他們在12月2日公開這個嚴重程度為9.8分的漏洞</a>，發生在名為NmAPI.exe的元件，為能夠竄改Windows機碼的遠端程式碼執行（RCE）漏洞，未經授權的攻擊者有機會利用這項弱點，於目標系統遠端執行任意程式碼。</p> <p>研究人員進一步提出概念性驗證，說明這項漏洞的嚴重性。他們指出，攻擊者可透過netTcpBinding呼叫UpdateFailoverRegistryValues工作，從而對HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Ipswitch\的機碼進行竄改數值，或是新增機碼。</p> <p>附帶一提的是，攻擊者也能竄改HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Ipswitch\Network Monitor\WhatsUp Gold\Setup\InstallDir機碼，將其指向攻擊者控制的主機。</p> <p>一旦Ipswitch Service Control Manager（ServiceControlManager.exe）服務重新啟動，WhatsUp Gold就會從攻擊者的伺服器讀取特定的manifest檔案，並經由ServiceControlManager.exe啟動。此時攻擊者便能在特定XML檔案加入惡意程式執行檔，從而在WhatsUp Gold載入、運作。</p> </div></div></div>
2024/12/4 16:25作者周峻佑https://www.ithome.com.tw/news/166345
伊朗駭客APT35鎖定航太及半導體產業，利用假求職網站發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>擁有Charming Kitten、Mint Sandstorm等匿稱的伊朗駭客組織APT35，自2014年出沒以來，主要的攻擊範圍在中東及美國，針對能源、政府機關、科技服務單位下手，但在最近一起攻擊行動裡，這些駭客擴大了活動的範圍而引起研究人員的注意。</p> <p>威脅情報業者ThreatBook指出，<a href="https://threatbook.io/blog/id/1095">他們發現APT35最新一波攻擊</a>，鎖定航太及半導體產業而來，攻擊範圍橫跨美國、泰國、阿拉伯聯合大公國（UAE）、以色列。駭客運用假造的徵才網站及公司網站，並要求使用者必須透過VPN存取為由，誘騙他們下載惡意程式並執行。過程中對方濫用合法雲端服務，例如：OneDrive、Google Cloud、GitHub，從而隱匿行蹤。</p> <p>針對這起資安事故的發現，研究人員表示是發現專門針對航太產業的冒牌徵才網站，該網站提供授權存取的應用程式，當中摻入了黑白兩種惡意軟體元件，主要的攻擊目標，他們推測是泰國專精無人機設計的專家。經過一系列的分析，研究人員確認攻擊者的身分就是APT35。</p> <p>特別的是，這個徵才網站為了引誘目標人士上當，，駭客不僅標記航太相關職缺的薪水遠高於其他工作，還甚至製作授權存取應用程式的使用教學影片，企圖降低受害者的戒心。</p> <p>若是求職者依照指示下載駭客提供的檔案，其中包含合法的OneDrive元件SignedConnection.exe，以及第一階段、第二階段的惡意程式secur32.dll、Qt5Core.dll。</p> <p>其中的第一階段惡意工具是以C#打造而成，主要的功能包含提供SignedConnection.exe的圖形介面，並將前述提及的黑白惡意軟體元件複製到電腦，並竄改登錄檔，讓這些惡意軟體隨著電腦開機載入。</p> <p>至於另一個惡意程式Qt5Core.dll，則是由secur32.dll改名後，再透過FileCoAuth.exe載入，並透過GitHub、Google Drive，取得C2伺服器位址並建立通訊。</p> <p>研究人員後來看到另一個冒牌的半導體公司網站，駭客對於目標人士佯稱有存取限制，必須安裝VPN應用程式，然而一旦照做，電腦就會被植入前述的惡意酬載。</p> </div></div></div>
2024/12/4 14:52作者周峻佑https://www.ithome.com.tw/news/166340
【re:Invent 2024現場直擊】AWS執行長揭運算服務新亮點，專為GAI設計推P6、Trn2和Trn2 Ult…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS執行長Matt Garman在今年度re:Invent 2024技術年會中揭露運算新亮點，包括由Nvidia Blackwell GPU驅動的P6系列EC2執行個體、Amazon EC2 Trn2執行個體、Trn2 UltraServer執行個體，都是為生成式AI（GAI）專門設計，可提供更快更有效率的算力。</p> <p>Matt Garman還透露，AWS正與AI新創Anthropic共同開發Project Rainier，也就是由數十萬顆Trainium2組成的UltraServer運算叢集。他也預告，明年將推出新一代Trainium3自研GAI加速晶片。</p> <p><span style="font-size:22px;"><strong>專為生成式AI設計的執行個體和下一代GAI加速晶片</strong></span></p> <p>在今日主題演講中，Matt Garman點出，運算、儲存、資料庫和AI推論，是AWS發展策略的4大重要基石。而就運算來說，AWS每年都有新進展，比如最早推出的EC2執行個體（編按：執行個體是指在雲端環境中執行的虛擬機器）、去年年會揭露的Nitro系統、後來問世的Graviton4處理器，但，「今日，運算面臨的最大問題是AI，特別是生成式AI。」</p> <p>Matt Garman說明，目前絕大多數的AI應用，都仰賴GPU算力，而AWS又是提供執行GPU工作負載的環境。「AWS與Nvidia已合作14年，開發不少算力強大的執行個體，」在這個基礎上，Matt Garman今日揭露與Nvidia聯手開發的P6系列EC2執行個體，採用Nvidia最新Blackwell GPU，將於2025年上市，預計提供比目前GPU執行個體快上2.5倍的運算能力。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-12-03%20at%2010_58_10%20PM.png" /></p> <p>不只P6，AWS今日也正式推出採用自研AI加速晶片Trainuim2的EC2執行個體：Amazon EC2 Trn2 Instances，專為生成式AI和深度學習設計。這個執行個體的效能，可比目前的GPU EC2執行個體好上3到4成。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Trn2.JPG" /></p> <p>其中，單一個Trn2執行個體由16個Trainium2晶片組成，由NeuronLink高頻寬高速連接，可提供低延遲的20.8 pflops算力，適合用來訓練和部署數十億參數的模型。</p> <p>但如果AI模型更大，需要更多算力呢？</p> <p>Matt Garman說，今日揭露的Amazon EC2 Trn2 UltraServers執行個體預覽版，就能滿足大模型訓練和部署需求。這個Trn2 UltraServers由4個Trn2執行個體組成，一樣以NeuronLink高速連接，搭載64顆Trainium2晶片，可提供83.2 pflops和332.8 pflops的密集與稀疏運算效能。（如下圖）</p> <p><img alt="" src="https://assets.aboutamazon.com/dims4/default/7199a2d/2147483647/strip/true/crop/2160x2160+0+0/resize/767x767!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2Fc5%2F72%2F6de9d5184d3fa17530d6c9ebd064%2Famazon-ec2-trn2-ultraservers.png" /><br /> （圖片來源：AWS）</p> <p>這個Trn2 UltraServer執行個體，適合用來訓練兆級參數的大模型。</p> <p>Matt Garman也揭露，AWS聯手AI新創Anthropic，正共同打造名為Project Rainier的Trainium2 UltraServer運算叢集，預計使用數十萬顆Trainium2晶片，將提供5倍Anthropic目前用來訓練模型的算力。AWS預計，Project Rainier屆時將成為世界上最大的AI運算叢集。</p> <p>關於AWS運算基石的更新，還不只如此。</p> <p>Matt Garman預告，明年AWS將推出新一代自研AI加速晶片Trainium3，專門為GAI設計。「這將是AWS第一款採用3奈米製程節點，將提供比Trainuim2高出2倍的算力，效能還提高40%。」</p> <p></p> </div></div></div>
2024/12/4 15:06作者王若樸https://www.ithome.com.tw/news/166341
韓國警方逮捕執行長及5名員工，起因是在生產的衛星接收器埋入DDoS攻擊功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為他人打造網路攻擊工具，很有可能會吃上官司。11月28日韓國國家警察局宣布，<a href="https://www.police.go.kr/user/bbs/BD_selectBbs.do?q_bbsCode=1002&q_bbscttSn=20241128120629043">他們逮捕1名執行長及5名員工</a>，原因是這些人涉嫌製造含有DDoS攻擊能力的衛星接收器，而被買家用於攻擊競爭對手。</p> <p>這些人所屬的公司自2017年與買家往來，向他們銷售衛星接收器，到了2018年11月，買家要求設備必須含有DDoS攻擊能力，該製造商從2019年1月至2024年9月向他們賣出24萬臺衛星接收器，其中9.8萬臺預載DDoS攻擊模組，其餘則是透過韌體更新引入相關功能。</p> <p>這起事故的發現，主要是今年7月國際刑警組織（Interpol）接獲相關情資，一家外國非法廣播公司向韓國公司進口具有DDoS攻擊功能的衛星接收器，他們將情資提供給韓國警方，使得這起事故被公開。</p> <p>上述被捕6人被控違反《促進資訊和通訊網路利用暨資訊保護法》，法院批准沒收該公司資產，並沒收銷售這批設備的不法所得610億韓元（相當於約435萬美元）。韓國警方將尋求國際合作，追蹤並逮捕購買設備的廣播公司。</p> </div></div></div>
2024/12/4 15:23作者周峻佑https://www.ithome.com.tw/news/166342
思科證實10年前公布的ASA設備XSS漏洞被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月12日美國網路安全暨基礎設施安全局（CISA）指出，<a href="https://www.cisa.gov/news-events/alerts/2024/11/12/cisa-adds-five-known-exploited-vulnerabilities-catalog">他們掌握思科ASA防火牆設備跨網站指令碼（XSS）漏洞CVE-2014-2120被用於攻擊行動的情報</a>，並將其加入已遭利用漏洞列表（KEV），要求聯邦機構必須在12月3日完成修補，如今思科也證實這項漏洞遭到利用的現象。</p> <p>這項漏洞存在於ASA設備的WebVPN登入網頁，一旦攻擊者利用，就有機會在未經授權的情況下，對部分WebVPN用戶發動跨網站指令碼攻擊，CVSS風險為4.3分，為中度風險漏洞。</p> <p>思科12月2日更新<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-CVE-2014-2120">公告內容</a>，表示他們的產品事件回應團隊（PSIRT）於11月得知有人嘗試在實際攻擊利用這項漏洞的現象，呼籲用戶應升級軟體緩解這項弱點。</p> </div></div></div>
2024/12/4 15:42作者周峻佑https://www.ithome.com.tw/news/166343