iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 18:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Salesforce服務雲加入AI功能以及協作服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.salesforce.com/company/news-press/press-releases/2019/03/190319/">Salesforce擴充了服務雲（Service Cloud）中的客戶服務</a>，加入新的智慧推薦以及路由功能，不只能提供業務最佳的回覆建議，還能推薦需要的知識文章，而案件路由（Case Routing）功能可以按造規則，將案件分配給適合的業務處理。</p> <p>Salesforce這幾年一直在服務雲中加入Einstein人工智慧功能，包括聊天機器人以及案件分類功能，目的讓業務控制臺更加智慧，使業務的工作能越來越自動化，而現在Salesforce再次對服務雲增加三項人工智慧功能。</p> <p>現在新的Einstein回覆建議（Reply Recommendations）功能可以使用自然語言，透過聊天或是訊息的方式，即時提供業務最佳回應，Salesforce提到，這樣不只能夠節省時間，還能提高客戶查詢的回覆品質。而使用機器學習模型能夠方便取用過去累積的知識，Einstein文章推薦（Article Recommendations）功能可以為業務推薦最佳知識文章，並提供快速解決案例所需要的訊息。</p> <p>而Einstein最佳行動（Next Best Action）能夠利用商業規則以及預測智慧，在業務與客戶互動的期間建議最佳行動方案，幫助提高客戶滿意度，並發現交叉銷售的機會。另外，Einstein案件路由（Case Routing）則是透過機器學習完全自動化路由過程，根據預設標準將案例分配給正確的佇列或是業務，可以根據專業或是過去成果，找出最有資格解決問題的人選。</p> <p>Salesforce還提到，由於業務經常花費太多的時間找答案，但比起找答案，專注在客戶參與上更加重要，而現在Quip服務將可以改善這項問題，能向多個團隊收集答案或是協作檔案，業務可以直接在控制臺中嵌入生產力以及協作工具。</p> <p>Quip是Salesforce在2016年以7.5億美元收購的公司，而現在Quip被嵌入到控制臺中，讓業務互相通訊，共同協作檔案，企業也可以讓相關主題的專家，加入案件幫忙解決複雜的問題，並直接在案例紀錄中進行即時的對話，而管理員可以在業務控制臺中建構和發布Quip模板，並根據不同使用案例和特殊組織需求，對其進行客製化。</p> <p>Salesforce認為這些新功能將會完全改變業務的工作方式，當企業接到裝置故障維修的要求時，Einstein案件路由能自動完成案件資訊紀錄，並將案件分配給能最快提供服務的業務，而Einstein文章推薦功能則會自動提供業務需要的知識，Einstein回覆建議也能回答客戶問題。</p> </div></div></div>
2019/3/22 11:40作者李建興https://www.ithome.com.tw/news/129501
抗議歐盟《著作權指令》！德語等四語言維基百科暫停服務一天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了向歐盟抗議目前版本的《著作權指令》（Copyright Directive），<a href="https://wikimediafoundation.org/2019/03/20/four-wikipedias-to-black-out-over-eu-copyright-directive/">3月21日德語、捷克語、丹麥語和斯洛伐克語四個語言的維基百科將阻擋外部存取</a>，並顯示反對《著作權指令》的全版廣告。</p> <p>歐盟《著作權指令》中爭議最大的第13以及第11兩條。第13條為上傳過濾器協議，要求讓使用者發布內容的商業網站，以最大程度的努力購買需要的版權，並且要求少部分的網站需要部署過濾器，以防止使用者上傳有版權的內容。另外，第11條連結稅條款，要求搜尋引擎、新聞聚合器還有個人、小型企業甚至是非營利組織的服務，其使用新聞連結與一同出現的文字，都需要授權許可。</p> <p>維基百科顯然為受影響的服務之一，而《著作權指令》又即將在3月26日進行最後的表決，因此來自德語、捷克語、丹麥語和斯洛伐克語的志願者編輯社群決定在3月21日，阻擋這幾種語言的維基百科內容24小時，並將使用者流量導向反對《著作權指令》的蓋板廣告，以對《著作權指令》表達抗議。</p> <p>這些獨立社群是經過討論並達成共識後，做出阻擋維基百科存取的決定，在德國維基百科社群中的聲明提到，這幾個獨立維基社群都經過公開的線上討論，對行動的方針以及抗議的方式，都進行了投票，社群們根據治理規則完成了決議。</p> <p>然而這也不是志願者編輯第一次對可能影響維基百科，或是更廣泛的網際網路自由開發政策發聲抗議，在2011年和2012年，義大利、英國和俄羅斯的維基百科就曾分別抗議過義大利、英國和俄羅斯的法律提案。雖然這樣的事件很少發生，但通常是意圖明確且有充分理由，志願者編輯才會採取這樣的行動。</p> <p>維基媒體提到，社群通常最能理解當地政策背景，並就網站參與方式做出決策，而維基媒體基金會的責任就是尊重每個社群的決策，並努力確保他們的行動獲得支援，而這種社群治理的方法，是維基百科和維基媒體專案之所以強大和獨特的部分。</p> </div></div></div>
2019/3/22 11:40作者李建興https://www.ithome.com.tw/news/129496
AWS Direct Connect託管連線新增GB級連接選項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/new-gigabit-connectivity-options-for-amazon-direct-connect/">AWS Direct Connect現在提供更高容量的託管連線（Hosted Connections）</a>，支援1、2、5與10 Gbps的選擇。AWS Direct Connect讓企業可以在資料中心、辦公室和託管環境，與AWS之間建立專用網路連線，跟網際網路連接相比，能夠以更低的價格取得更高的吞吐量，企業需要與AWS Direct Connect合作夥伴配合才能建立連接。</p> <p>AWS Direct Connect包含了三種不同的模型，分別是專用連線（Dedicated Connections）、託管連線（Hosted Connections）以及托管虛擬介面（Hosted Virtual Interfaces）。專用連接提供1 Gbps 與10 Gbps的容量，企業可以在管理控制臺中申請，是一個專用物理的乙太連接埠</p> <p>而託管連線原本僅提供50到500 Mbps，並由AWS Direct Connect合作夥伴提供，在企業建立網路迴路後，AWS Direct Connect容量可以透過按需新增或是移除託管連線調整，每個託管連線都支援單一虛擬介面（Virtual Interfaces，VIF），企業可以透過或許多個託管連線以獲得多個虛擬介面。</p> <p>AWS宣布即日起，透過特別的AWS Direct Connect合作夥伴，企業能夠取得高容量的託管連線，現在提供的容量為1、2、5與10 Gbps。AWS提到，大多數的AWS Direct Connect合作夥伴都支援按需新增或是刪除託管連線，企業可以在需要的時候創建託管連線，並在使用完畢時移除。官方舉例，當企業在每個季度結束，都需要將大量的資料存檔到Amazon Glacier，就能在每個季度末創建託管連線，上傳資料結束後再移除。</p> </div></div></div>
2019/3/22 11:41作者李建興https://www.ithome.com.tw/news/129502
臉書再出包！數百萬用戶密碼以明文儲存長達7年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安部落格<a href="https://krebsonsecurity.com/2019/03/facebook-stored-hundreds-of-millions-of-user-passwords-in-plain-text-for-years/" target="_blank">Krebs On Security引述消息人士報導</a>，臉書數百萬用戶帳號密碼早從2012年起就以明文儲存，且至少有數千名員工已經搜尋過，但臉書表示沒有證據顯示這些密碼遭到存取。</p> <p>這也獲得<a href="https://newsroom.fb.com/news/2019/03/keeping-passwords-secure/" target="_blank">臉書證實</a>。臉書是在今年一月進行內部調查時，發現大批密碼以明文儲存在臉書內部資料儲存系統。臉書原本透過雜湊及加鹽，包括使用scrypt算法及加密金鑰來隱藏用戶密碼。Krebs On Security引述消息人士指出，因為「一連串的安全行為失當」，讓某些員工撰寫了可紀錄用戶未經加密處理的密碼、且讓這些資料且以明文格式儲存。</p> <p>有「數億Facebook Lite用戶、數千萬臉書用戶及數萬IG用戶」受到影響。臉書聲稱該公司一發現上述情形已修補問題。臉書也認為這批資料外人都看不到，迄今也沒有證據顯示內部有人濫用或不當存取，不過為以防萬一臉書仍將會通知所有受影響的用戶。</p> <p>消息人士透露，臉書粗估有2億到6億筆臉書用戶的密碼以明文儲存，有權限搜尋的臉書員工超過2萬名。初步調查顯示，確有2000名左右的臉書工程師或開發人員已經對包含這些密碼的資料做過查詢，且次數將近900萬次。雖然還未確定曝光的密碼總數及曝光時間，但現階段得知曝光密碼最早可追溯到2012 年。</p> <p>Krebs On Security引述臉書工程師Scott Renfro回應指出，公司計畫通知受影響的臉書用戶，但不需要重設密碼。他並表示，員工撰寫的app是不小心紀錄到用戶密碼，沒有明確風險。</p> <p>此事可能再讓臉書資安問題浮上檯面。歷經去年的多次大規模資料外洩，已重創臉書形象，臉書執行長<a href="https://www.ithome.com.tw/news/129156" target="_blank">祖克柏（Mark Zuckerberg）今年發表宣言</a>，昭告未來臉書將建構以隱私、加密及資料安全為中心的通訊平台為宗旨。然而之後的事件仍然讓人質疑它的決心，包括它<a href="https://www.ithome.com.tw/news/128483" target="_blank">打算整合</a>Facebook Messenger、WhatsApp、IG為共通傳訊平台，引發個資隱私疑慮。本月又有<a href="https://www.ithome.com.tw/news/129101" target="_blank">研究人員發現</a>，臉書要用戶輸入作用雙因素驗證（2 Factor Authentication，2FA）的電話號碼，反而可讓其他人搜尋到，而且這項功能想關也關不掉。</p> </div></div></div>
2019/3/22 11:45作者林妍溱https://www.ithome.com.tw/news/129511
傳Nokia手機將用戶資訊傳送給中國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nrkbeta.no/2019/03/21/norske-telefoner-sendte-personopplysninger-til-kina/" target="_blank">芬蘭媒體NRK報導</a>有Nokia 7 Plus手機用戶發現到其手機暗中將資料傳送到中國。芬蘭資料保護主管機關已經介入調查。</p> <p>報導指出，一名Nokia 7 Plus的用戶Henrik Austad今年2月發現這支手機經常與一台伺服器連線並傳送資料未加密的封包。他檢視封包內容，發現連線目的地是中國，而且包含很敏感的資訊，包括他的所在位置、SIM卡號碼及手機序號、電話號碼以及連接的基地台。</p> <p>只要Nokia 7 Plus手機一開啟，不論螢幕是否開啟，這些資料都會傳送到位於中國位於vnet.cn網域的伺服器。接到封包及一路上可存取流量資訊的所有人都能追蹤手機的動向。</p> <p>Nokia 7 Plus是HMD Global去年第一季在中國上市，相當受到歡迎。報導指出，曾創下5分鐘內賣出25萬支的佳績。</p> <p>媒體根據連線的URL判斷連線彼端的伺服器所在網域是向中國互聯網中心（CNNIC）註冊，它也是主管中國頂級網域.cn的單位。而透過CNNIC，媒體也追查出該網域屬於中國最大電信公司<a href="https://w ww.engadget.com/2019/03/21/finland-investigating-nokia-data-china/" target="_blank">中國電信</a>。</p> <p>報導指出，GitHub上流傳的一段註冊程序的程式碼，包含可蒐集手機資料的程式碼，這段程式碼及資訊格式都和Nokia 7 Plus相當類似。這段程式碼也正好位於「中國電信」的資料夾，似乎2014年即已存在。</p> <p>媒體判斷可能原本只用於中國，不知為何卻被用在Nokia 7 Plus手機上。但報導引述另一名<a href="https://twitter.com/drwetter/status/1081267425637814273" target="_blank">安全研究人員Dirk Wetter指出</a>，程式碼也可能是刻意被置入手機內。不過HMD Global並未回應，是否這是該公司為交換在中國開賣手機而和中國方面做的協議。</p> <p>芬蘭資料主管機關：芬蘭資料保護委員會對此已著手調查。若調查屬實，也會是違反歐洲隱私法GDPR的重大事件。</p> </div></div></div>
2019/3/22 11:56作者林妍溱https://www.ithome.com.tw/news/129512
【臺灣資安大會直擊】亞馬遜4大資安防禦層作法首度在臺公開，亞馬遜日本資安官親自揭露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業的資安漏洞在黑市裡被兜售，防不勝防，或許企業無法阻止資安漏洞被賣到黑市，但也許可藉漏洞獎勵計畫（Bug Bounty Program）形成一股與黑市競爭的力道，在臺灣資安大會的最後一天（3/21），亞馬遜日本資安官陳浩在臺首度揭露亞馬遜資安防禦機制，更點出參與漏洞獎勵計畫的白帽駭客，在防護機制上，有著舉足輕重的地位。此外，除了擔綱亞馬遜日本的資安負責人，陳浩維還是亞馬遜全球漏洞獎勵計劃的負責人，因此他也在演說中分享，亞馬遜如何把白帽駭客當成自己的夥伴，一同聯手強化資安防護的戰力。</p> <p>亞馬遜零售事業的資安防禦機制，陳浩維表示，可由上而下，畫分為4層。首先是審查層，為了有效地審查程式碼與架構的安全性，亞馬遜從教育訓練著手，不只軟體開發者須接受資安相關訓練，全體員工每年也都必須參加資安訓練課程，以確保每位員工都具備嚴謹，且最新的資安思維和認識。有了著實的訓練後，每個開發者所設計的程式碼，都需通過同儕審查機制，才可進行部署。</p> <p>而為有效管理不同類型的應用程式，亞馬遜還按應用的資安風險程度，將它們畫分進不同的類別，以進行不同的審查流程，包含了模擬攻擊，及審查架構設計等程序。陳浩維舉例，管理客戶資料的相關應用，就歸屬於最高級風險的類別，需要經歷最嚴謹的批准程序，才可通過審查。</p> <p>但陳浩維指出，即使經過分類，需要審查的軟體數量仍十分龐大，為解決人力不足的問題，軟體開發部門於是在各地招募駐地的外部開發人員，經過訓練後，賦予他們資安大使的認證資格，協助參與程式設計的功能審查。審查層的最後一道關卡，則是針對已發覺有漏洞，但尚未修復的應用，進行部署控制，確保應用在未完成漏洞修復工作前，不可上架或更新版本。</p> <p>審查層所設下的多道關卡，其實是為篩選出需進入第二階層防禦機制，進行實際安全測試的應用，陳浩維解釋。第二層的測驗由亞馬遜資訊部負責，除了透過靜態程式碼分析，確保程式碼的品質，亦藉由估算攻擊者可蒐集的資訊量，測試者會對僅知名稱的應用，進行黑箱滲透測試，另外，對完整了解其環境的應用，進行白箱滲透測試。且此階層不只涵蓋手動的測試方式，也採取自動化的方式，掃描應用存有的弱點。</p> <p>下一階層則為紅隊測試，內部資訊人員以攻擊者的角度出發，針對滲透測試無法完整盤點資安風險的關鍵產品，以及安全係數較高的應用，模擬駭客各種可能入侵的手段，通過探查作業，找出產品和應用的弱點，以實際了解它們可能遭受攻擊的漏洞，來對照出防禦能力上的缺陷，進而快速防堵並採取因應措施。 </p> <p>最後一階層的資安防禦機制，亞馬遜則透過與外部的白帽駭客合作，借助他們的攻擊思維，找出應用與產品被遺漏的弱點，強化防禦能量，並有效減少投入的資安成本。陳浩維還進一步說明，白帽駭客協助防禦，更是為了要確保客戶對亞馬遜服務信任，且因白帽駭客來自於全世界各地，所在地為不同的時區，而能24小時不中斷地進行大範圍的測試，以幫助亞馬遜發覺其忽略的漏洞。集結白帽駭客戰力的亞馬遜全球漏洞獎勵計劃（Vulnerability Reporting Program），目前分為邀請制和公開參與制兩種模式，陳浩維透漏，亞馬遜也正考慮未來開放內部員工一同參與。</p> <p>亞馬遜也用以客為尊的服務思維，來與白帽駭客合作，陳浩維解釋，不只是提供獎勵，從去年開始，亞馬遜更頒發感謝證書給邀請制中的白帽駭客，這也是亞馬遜創立20多年來，頭一回頒發證書給駭客。為表最高的尊重之意，證書還附上手寫卡片及管理高層的親筆簽名，以示亞馬遜對參與者的重視，而這些巧思就是由該計畫幕後的主力推手陳浩維所提出。透過這些舉動，亞馬遜期望建立與白帽駭客間的信任，成為一同對抗惡意攻擊的夥伴。</p> <p>陳浩維強調，不管是透過內部紅隊模擬惡意攻擊者的行為，或是邀請外部白帽駭客參與滲透測試，都是望提高攻擊者的成本，在真實攻擊發生前，做好防禦，並且創造不只對企業，也對網路社會有益的生態圈，讓大眾能安心使用網路服務。</p> </div></div></div>
2019/3/21 23:42作者黃郁芸https://www.ithome.com.tw/news/129507
【臺灣資安大會直擊】金管會大談四大金融資安監理，顧立雄更要金融業將資安視為業務創新的基石
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「金融資安，是金融業務創新發展的基石。」金管會主委顧立雄在臺灣資安大會金融安全論壇中開場時強調，金融業在發展科技創新時，勢必會帶來新的資安風險，所以仍須兼顧風險管理。尤其要面對越來越全球化和專業化的駭客攻擊，他進一步指出，金融業要發展以風險為導向的資安防護機制，來建立更完善的資安防護機制。</p> <p>在2019臺灣資安大會特別安排了一場金融安全論壇，不只金管會副主委黃天牧揭露金管會金融政策中與資安防禦相關的四大金融資安監理作為，金管會主委顧立雄也親自開場致詞，來凸顯金融業主管機關對資安的重視。</p> <p>而金融業界也齊聚一堂，包括永豐金控資安長李相臣、台北富邦銀行數位金融顧問李維斌、玉山銀行暨玉山金控資訊長謝萬禮、第一銀行資訊長劉培文、台新金控資訊長孫一仕，與將來銀行籌備處策略長吳建頤。</p> <p>此外，勤業眾信聯合會計師事務所董事萬幼筠，也針對金融機構在創新的同時，該如何強化企業的資安韌性進行演說。戴夫寇爾（DEVCORE）執行長翁浩正，也以駭客觀點看金融業情資，並分享企業如何在紅隊演練後，最佳化資安的資源、預算等投資。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5299.jpg" /></p> <p>金管會主委顧立雄。</p> </blockquote> <p>顧立雄也提到，金融機構面對來自全球的資安攻擊，如何化被動為主動，全面分析預防系統性風險的發生，是金融資安管理的首要課題。</p> <p>金管會副主委黃天牧也表示，「資安是所有人都要關心的議題，雖然資安不可能百分百做好，但金管會有責任要將資安環境做好。」</p> <p><strong><span style="font-size:24px;"><span style="color:#0000FF;">金融領域資安防護痛點</span></span></strong></p> <p>但，金融資安體系有四個防護痛點，黃天牧指出，第一是風險高，組織型駭客不斷試圖攻擊或勒索金融產業，一是為了錢，二是為了個資。第二是威脅多，金融產業快速發展新興技術時，就會與外界有更多接觸，進入金融體系的機會就越大．資安的威脅也就會增多。</p> <p>第三是溝通少，金融機構的資安防護各自獨立，跨行間缺少訊息溝通管道，所以需要協調平臺讓大家分享資安訊息。但是，金融機構本身不希望將自己遭受資安的問題，讓主管機關知道，主要是擔心受到名譽的損傷，以及害怕主管機關對它做更多的監理。「我們必須驅除這心賊，讓大家知道一起討論資安問題，才能對資安做更好的維護。」黃天牧強調。</p> <p>第四則是金融資安專業人才短缺，不止金融業缺乏金融科技與資安人才，金管會也做了臨時性的編組，把人力調整，在金融科技與資安上做了些著墨。</p> <p><strong><span style="font-size:24px;"><span style="color:#0000FF;">金管會推動金融資安監理的四項策略方向</span></span></strong></p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5333.jpg" /></p> <p>金管會副主委黃天牧。</p> </blockquote> <p>黃天牧表示，為了要推動金融資安監理，金管會也有四大推動策略方向，包括強化政策驅動、完備資安規範，提升資安能量以及落實資安執行，要藉由這四方向，完善金融資安制度，並推動業者落實執行。</p> <p>他提到，在強化政策驅動上，不是強制要求金融機構做資安，應該是要給個誘因，讓金融經營業者有動能去重視資安。</p> <p>金管會的作法是給出經濟誘因，然而，經濟誘因得與金融機構的業務有所連結。黃天牧舉例，金融業者申請開辦業務案件時，金管會就會檢視業者資安管理做得好不好，「資安會被列為業務准駁的重要考量因素之一」</p> <p>金管會也會將資安，納為存保費率計提的因素，讓資安做得好的銀行，適用較低的存保費率等，透過降低業者經營成本，作為鼓勵。而未落實資訊安全的金融機構，就會提高其作業風險法定資本的計提，讓兩者有所區別。</p> <p>「在金融監理，主管機關扮演的是推動者的角色，最重要的還是金融機構的董事會要負責資安的維護。」黃天牧強調，許多董事會其實不知道該如何監理資安，常常是知其然，不知其所以然。所以透過教育訓練，去強化企業董事會對資安的認知，以及對金融監理的能力，變得相當重要，因為董事會是營運公司最重要的決策族群。</p> <p>黃天牧表示，金管會也會在約談金融機構負責人時，將資安納入約談議題，要求負責人對資安有充分認知，換言之，金融機構董事會和負責人對資安的態度，會決定這個金融機構重不重視資安。</p> <p>而在完備資安規範部分，金管會認為，資安問題是與各金融機關的業務有關，而公會又是最清楚銀行、保險、證券做了哪些業務的組織，所以金管會會去要求公會訂定並定期檢討資安自律規範，因為他們才知道金融機構的業務，在現有的IT技術水準上，應該要做到什麼樣的資安規範。</p> <p>「金融機構資安做不好，等於內控做得不好，就會有處分的規定。」黃天牧透露，近期銀行法與證交法會有新的修正，將會強化處分範圍與法度，對於因資安做不好而違反內控，將來會有更強的處分機制，藉此進行節制。</p> <p>再來是提升資安能量，過往，資安可能是資訊的一部分，所以金管會規定銀行業與保險業資產總額達1兆元以上，需設置獨立的資安專責單位。「有專責單位，就會有更多的資源，有資源就會好好做資安，因為資安是花錢的。」他說。</p> <p>黃天牧表示，「資安不是口頭說說，而是要真正去做。」金管會每年也會配合行政院規畫，選擇部分金融機構作實際的跨域情境演練、DDoS演練、電子郵件社交工程、外網滲透測試與內網滲透測試。他也透露，金管會今年將規畫金融核心系統實驗場域，以及紅藍軍對抗等攻防演練，要用更逼真、挑戰的情境去測試金融機構，是否擁有抵禦資安的能力。</p> <p>最後是落實資安的執行，金融業得強化內部資安稽核功能。黃天牧提到，金管會的檢查局從去年開始，不只是做一般性的檢查而已，而是針對資安議題辦理專案檢查，藉此督促金融機構改進。未來，金管會也規畫辦理對網路銀行與行動銀行的專案審查，同時也正在準備，當未來純網銀成立後，將以何種機制進行審查。</p> </div></div></div>
2019/3/22 01:24作者李靜宜https://www.ithome.com.tw/news/129508
【臺灣資安大會直擊】4家國產資安大談海外拓銷經驗，要讓更多臺灣資安產品也能走向國際
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">在2019臺灣資安大會第三天有一場特別的</span>「臺灣資安國際拓銷論壇」<span class="s1">，找來國內多位資安企業代表，分別是精品科技董事長劉振漢、網擎資訊（Openfind）行銷處協理林家正、TeamT5 CEO蔡松廷、尚承科技CEO兼創辦人賴育承，而4位講者也就不同面向的產品與服務型態，分享向外國拓銷的經驗與面臨的挑戰。</span></p> <p class="p1"><span class="s1">劉振漢表示，當初會與日本最大SI公司NTT DATA合作，是因為日本2005年實施「個人情報保護法」，使當時各大政府、企業開始尋找相關產品以保護資料，也讓精品科技的X-FORT電子資料控管系統有機會被相中、獲得NTT DATA青睞而採用。</span></p> <p class="p1"><span class="s1">「但比機緣更重要的是，持續不斷的努力。」劉振漢強調，例如當時他們馬上就遇到不少挑戰，例如原有英文版操作手冊與介面得全面換成日文；遇到有顧客打給客服要諮詢問題時，因資安疑慮不能使用過去慣用的遠端連線作法，來協助解決顧客問題，而得耗費更多時間成本來了解顧客的狀況；也曾遇到大型企業用戶的導入規模太大，不只從決策到導入的時程非常久，一次部署上萬台電腦的模擬，也常與實際執行時的情況有出入，這都是他們進軍日本市場時真實遇到的挑戰。</span></p> <p class="p1"><span class="s1">進軍日本的國產業者不只</span>精品科技<span class="s1">，Openfind也在2000年進入了日本市場，開設了日本分公司，根據Openfind數據，2018年時，他們旗下</span>MailBase郵件歸檔產品的市占率達到26.2%，連續十年勝過所有日本當地業者的同類產品。除此之外，Openfind也搶在Gmail之前，就進軍奈及利亞市場，推出結合雲端功能的郵件服務，目前，全球市場上已有逾百萬的雲端用戶，使用者授權數超過2,500萬以上。</p> <p class="p1"><span class="s1">林家正表示，Openfind的海外策略是，偏好與ISP、CSP或電信業者合作，並歸納出三種</span>接觸<span class="s1">目標客戶的方法，分別是結合IaaS與PaaS廠商，加值對方的服務與產品；找當地的行銷公司，請對方協尋相對應的窗口；或積極加入參訪團，尋找合作機會。等到找到當地客戶後，Openfind再以共同品牌（Co-brand）或白牌產品（White Label)的策略，提供在地業者客製化的服務。</span></p> <p class="p1"><span class="s1">「小廠要生存，就要做到他們（大品牌）不能做的東西。」</span>林家正強調，像<span class="s1">Openfind以中價位做中高規格的服務，讓產品彈性符合當地法規、客製化滿足客戶需求，就是要做出差異化的產品，以自身優勢打入中小型企業的市場。</span></p> <p class="p1"><span class="s1">TeamT5是2014年成立的臺灣資安新創公司，主要販售兩項商品，分別是Threat hunting的技術與威脅情資的報告，因兩項商品的目標客群不同，考量代理商的銷售經驗與技術支援能力，而選擇兩家不同性質的代理商協助銷售。</span></p> <p class="p1"><span class="s1">蔡松廷在論壇中提出幾個問題。「技術能力很強？然後呢？」臺灣許多新創團隊行銷包裝、海外拓展能力有限，光有技術人才卻無法開拓國外市場。「怎麼保有具國際競爭力的產品？」日本的國際品牌競爭激烈，如何讓客戶選擇自家的產品是一大挑戰。「是否有打國際戰能力的團隊？」在地化非常重要，必須以客戶的思維去說服購買商品，語言能力也是關鍵。透過幾個問題的反思，提供國內業者開拓海外市場的方向。</span></p> <p class="p1"><span class="s1">最後，尚承科技以IoT Lifecycle Security技術，從晶片下手解決資安問題，也陸續與國際品牌AWS、NXP、Microchip合作。賴育承說明，尚承科技不需要建立太多自己的代理體系，反而積極與生產IoT、IC的原廠合作，「因為他們的客戶也是我們的潛在客戶。」從原廠客戶的產業鏈著手，尋找潛在客戶的銷售通路，以降低尋找代理商的成本，也是企業可參考的方向。</span></p> </div></div></div>
2019/3/21 22:34作者翁芊儒https://www.ithome.com.tw/news/129505
【臺灣資安大會直擊】開創臺灣資安新契機要找出痛點及機會，4臺新創籌資、選題經驗談
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為帶動國內資安產業發展，鼓勵資安新創也是政府所寄望的一大重點環節。那麼，臺灣資安新創所面臨的發展的痛點及機會是什麼呢？</p> <p>在20日舉行的資安新創交流論壇中，邀集了4家臺灣資安新創業者，包括Datiphy、尚承科技、CYBAVO與奧義智慧科技，分享其自身的經驗，透過交流方式相互學習，並期望能為臺灣新創發展提供不同的參考意見。</p> <p>基本上，一間新創公司所需要的資金，以及想要發展的面向，是所有資安新創業者就都會需要面對的問題，而資安領域面向相當廣，要在資安這條路上創業，其實有相當多條路可走。</p> <p>像是隨著各式新技術的發展，包括物聯網、區塊鏈技術，以及機器學習與AI等，全球有各式新興的資安解決方案不斷提出，像是這次4家臺灣資安新創中，所走的道路也都不一樣。如何選出自己想要發展的資安方向，就是資安創業者的一大挑戰，而好的開始，也就是成功的一半。</p> <p><strong>臺灣資安新創資金取得大不易，從矽谷引進創業投資</strong></p> <p>首先，由Datiphy創辦人暨技術長林益正登場，他以身為資安技術人員的角色，說明他是如何從臺灣開始，再借助國際合作伙伴的力量，開創自己的資安新事業。</p> <p>關於Datiphy，公司成立於2015年，總部位於矽谷，在美國、臺灣都有設立研發中心，以及技術支援窗口，主要產品為資料庫稽核。過去，林益正在臺灣資安領域，以玄力科技較為人所熟知，現場他也談到了自己的過去，他是在台大畢業、當完兵後，去美國念書，之後就在當地進入HP工作非常多年，並接觸了相當早期的資安產品開發，之後適逢全球不景氣的時代回臺灣創業，鎖定的技術領域是與資料、蒐集相關，包含資料庫分析、合規、資安風險模型等方面。</p> <p>在林益正的經驗中，他認為創業好處在於，可以省去大公司下的很多與技術研究非關的工作。只是，雖然他懂技術，可以花很多時間在技術上，但他自認沒法面對找資金找人的問題，不像別人能夠賣房子來創業。因此他的想法是，把公司搬到國外，第一件事就是要找一個合作伙伴投資人，不過他也承認，找創業投資（Venture Capital，VC）也是一件可遇不可求的事。</p> <p>在此，他其實點出了國際與臺灣創業在投資面的現況。在美國工作多年的林益正，回臺後才發現在臺灣創業資金不容易獲得，而在美國矽谷這樣新創公司蓬勃發展的地方，只要題目夠好、團隊夠強，就容易受到投資人關注。</p> <p>他並舉例，一間公司在臺灣可能只取得一兩千萬的資金，但在美國卻都是上億。因此，如果自己新創公司有龐大的資金需求，他會建議一開始就去國外尋找。</p> <p>關於資安創業上的經驗，林益正分享了4個新創科技的成功要素，分別是遠見與機會、熱忱、技術，以及團隊。而在新創的過程中，他認為，新創公司選題很重要，好的題目就先成功了一半，並強調有要興趣才能讓公司稱下去，進而有可能找到資金。另外他也提醒，新創公司也應重視透過專利，保護自己的技術，而這也是創業投資方會看的項目。</p> <p><strong>看重IoT安全領域，因為物聯網裝置變更多但</strong><strong>人力不足</strong></p> <p>接著，由尚承科技股份有限公司創辦人暨執行長賴育承，道出他在資安新創的心路歷程。</p> <p>關於尚承科技，成立於2014年，是發展物聯網安全服務的新創公司。賴育承表示，過去他在工研院服務超過10年，這是他第二次創業，而他也坦承，資金問題確實也是尚承科技所面對的一大難題。</p> <p>那麼他是如何解決呢？雖然不到賣房子的地步，但他這次回臺創業，可是將自己與老婆的房都拿去抵押。另外，他還提到曾經在中國找資金時，有一家公司提出翻倍的價格，但想要取得51%的股權，後來他拒絕了。這樣的狀況，其實是各類型新創公司都會面臨的情況。</p> <p>對於資安創業時的選題過程，首先，他看到國內產業對軟體人才不公平的問題，同時他也提到市場已經蓬勃發展，但人才培育進度來不及跟上，而他看好未來最多的裝置就是IoT裝置，因此他創立公司所選定的題目是IoT Lifecycle Security。</p> <p>他並指出，現在IOT Security還是很多沒被解決的問題，然而又沒有人有辦法去做IoT安全方面的Coding，因此他將目標，放在不需要寫任何程式（0 Coding），又要能幫助IoT享有資訊安全的面向，同時針對IoT攻擊背後鎖定的IC，提供服務，期許讓IOT的安全，變得不費力。</p> <p><strong>首次創業就鎖定區塊鏈安全，早期市場切入挑戰大</strong></p> <p>第三個分享的臺灣資安新創業者，是CYBAVO執行長范紀鍠。相較於其他3家臺灣資安新創，CYBAVO成立時間最晚，去年2018年剛剛成立，不過范紀鍠的過去資安經驗也有16年，在趨勢科技任職8年，後來在北京奇虎360工作，這是他首次創業。</p> <p>現場，他也提供了區塊鏈的創業選題經驗。范紀鍠表示，他們團隊是由一群區塊鏈、加密貨幣與資訊安全等各領域專家組成，當初對於區塊鏈金鑰管理有一些想法，因此相中加密錢包的安全。</p> <p>對於區塊鏈上的資安選題，他說明了有兩個方向可以討論，一是區塊鏈上本身的安全問題，另一是可用區塊鏈來解決已有的資安問題。前者包含像是智能合約、DApp安全審計，安全錢包、共識演算法設計、交易安全、KYC/AML、情資分析，NODE節點安全、密碼演算法開發等，後者則有將區塊鏈用在身分識別、設備准入、IoT管理，防毒、單點登入、DNS、隱私與防DDoS。</p> <p>他坦承，這兩個方面題目的挑戰都很大，畢竟區塊鏈本身還沒有很成熟，他們在一個相當早期的階段進入市場，也算是提早準備的階段，但這也是他們在資安創業上很大的挑戰。而他們也希望相關法規認證的成熟，企業為了合規就會願意投資這方面的安全，例如，目前他們相準的是Semi-Code Wallet的方案，希望能結合冷熱錢包的優點，又有</p> <p><strong>廣泛盤點資安市場所有類型，發現共同缺少的部分是自動化</strong></p> <p>最後，則是由奧義智慧科技共同創辦人吳明蔚，來分享他們的資安新創經驗。奧義智慧是在2017年成立，三位創辦人都是知名的網路安全專家，分別是邱銘彰（Birdman）、吳明蔚（Benson）和叢培侃（PK），由於他們前面的資安創業經驗，也讓他們在市場上的新動向，備受多方關注。</p> <p>吳明蔚表示，這是他個人第二次創業。在這次的創業過程中，他們的想法很簡單，離開先前公司時，儘管然還不知道要做哪一方面，但已經有一定要出來的決心。他並秀出他離職時的月薪是18萬元，表示離職前就有背水一戰的想法。</p> <p>關於再次創業，他們一開始也是有資金與選題上的問題。在資金方面，當時他們5人共同也只湊出了295萬元，有車庫創業的感覺。談到國外併購，他認為臺灣缺乏通路品牌、企業招牌，這是新創業者會需要面對的狀況，而這次創業，他們希望能發展臺灣公司，並能夠自己掌握技術。</p> <p>關於當時資安創業他們是如何選題，吳明蔚表示，他們先是透過Momentum Cyber Security Landscape去盤點，但也發現每個資安領域都有很多缺點，最共同的部分就是不夠自動化，爾後他們從資安鑑識、AI這個面向切入，主要也是他們看到過去調查鑑識所花的時間太久。</p> <p>在他們的發展過程中，還遭遇的一個抉擇是，身為一家新創到底要決定只要一個產品走天下，還是願意投資更多將產品補齊去滿足客戶。另外，他們也鼓勵臺灣打團體戰，並抱持樂觀角度鼓勵臺灣資安創業。</p> <p><strong>資安新創打團體戰</strong>，<strong>找到</strong><b>互補可能是不錯選擇</b></p> <p>從這4家臺灣新創的經驗來看，在資金與資安創業選題方面，都給出了他們自身的經驗。不僅如此，言談之間其實還有很多小故事，較值得注意的是，會談中還提到一點建議是，資安新創要打團體戰，並獲得不少贊同意見。因此，在這場資安新創交流論壇中，主持人iThome電腦報總編輯吳其勳，也在接續的座談會中，針對這方面進一步詢問他們這方面的看法。</p> <p>當中，林益正也給出一些意見，他認為，再大的企業資源也有限，為了打團體戰而打團體戰，可能無疾而終，通常比較好的契機點，像是互補性的產品就有機會，只要行得通，就可以再做第二層的整合，通常會帶來比較好的合作成果。</p> <p>雖然，他認為可能10個裡面才有1個成功，而且一開始可能沒有直接能結合互補的公司，因為臺灣公司做的比較散，不過，他認為慢慢還是會發現，同時也提醒要保持開放的態度，全球的公司都可以試試看。</p> <p>而范紀鍠也提到相關經驗，他指出區塊鏈領域，曾經發現有丹麥公司跟自己做得很類似，原本以為是競爭對手，但接觸後才發現，原來雙方目標沒有那麼衝突，反而有了彼此合作的機會。</p> </div></div></div>
2019/3/21 23:23作者羅正漢https://www.ithome.com.tw/news/129506
【臺灣資安大會直擊】世足賽期間資安威脅大公開，趨勢：小心社交平臺、惡意網站及文件讓你惡意程式上身
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">去年對足球迷來說，可能是狂熱的一年，因為每4年一次的世界盃足球賽在俄羅斯舉行，各國球迷齊聚一堂，為自己的國家隊加油，也是足球巨星們展現精湛球技較勁的全球競技場。</span></p> <p class="p1"><span class="s1">不過，世足賽期間不僅足球場上球員表現精采，網路上也出現各種安全威脅，趨勢科技在臺灣資安大會上分享了他們對去年世足賽(6/14-7/15)期間的網路威脅研究。他們從開幕前兩週就先展開觀察，威脅的定義包含了針對世足賽官方舉辦單位及相關組織的惡意程式或惡意網站，未經授權商品及詐欺行為，還有影響實體世足賽安全。</span></p> <p class="p1"><span class="s1">趨勢科技利用自家的Smart Protection Network，加上線上檢測工具Virus Total、新聞媒體，以及Twitter、Instagram等SNS平臺。</span></p> <p class="p1"><span class="s1">趨勢科技研究員Hsiaoyu Shih表示，從我們的觀察來看，這些威脅的大多數是非官方授權的商品販售，例如票券、球衣或球帽，威脅類型主要是以惡意的電子郵件及網站為大宗。在世足賽開始的前兩週就可以看到整體的威脅上升的趨勢，惡意網站數量從世足賽開始的6月14日逐漸下降，推測可能是買到假商品的人通報，使得這類惡意網站被查封。</span></p> <p class="p1"><span class="s1">「這類的網路威脅通常利用人們關心的事件，相信不只會出現在世足賽，也可能發生在2020年將舉行的東京奧運上，或是大型選舉活動，這些都是吸引受害者上當很好的題材」，Hsiaoyu Shih表示。</span></p> <p class="p1"><span class="s1"><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC03338%20(1).jpg" style="width: 600px; height: 399px;" /></span></p> <p class="p1"><strong><span class="s1">SNS成為駭客散佈攻擊的良好管道</span></strong></p> <p class="p1"><span class="s1">趨勢也對Twitter與Instagram等貼文進行威脅分析，以Twitter為例，他們先利用Twitter API鎖定12個賽場方圓1公里內的貼文，再從和世足賽相關的關鍵字如FIFA、Worldcup等過濾這些貼文，蒐集和世足賽有關的內容，其他國家語言的貼文利用Google API翻譯為英文後再蒐集，之後再對較危險的關鍵字如Weapon、Kill、Theaf等標示為紅色，其他如worldcup、bad、fifa等則標為黃色。</span></p> <p class="p1"><span class="s1">沒買到入場票的球迷通常會到賽館現場找找看有沒有黃牛票可買，一則推文表示可提供購票的管道，實際點入後連結到Instagram，再連到非官方的售票網頁；另一例子則是在推文中散佈賭博的訊息，要求使用者點入連結到一個陌生的網站，這個網站可能因為限制造訪者的IP位置，因此無法進入。</span></p> <p class="p1"><span class="s1">「SNS雖然是很好的社交平臺，同時也是駭客散佈攻擊很好的平臺」，她以販售假球衣的訊息為例，球迷進入陌生網站，最遭的可能不是買到假商品，球迷還可能被騙取信用卡資料，蒙受財產上的損失。</span></p> <p class="p1"><span class="s1">趨勢科技也發現疑似從FIFA內部外洩的文件，內容和FIFA官方網站開發有關，被上傳到Virus Total，趨勢科技推測可能是人員失誤，不小心將內部文件流出。</span></p> <p class="p1"><strong><span class="s1">駭客以世足賽免費視訊、預測賽事文件為名散佈惡意程式</span></strong></p> <p class="p1"><span class="s1">在世足賽的研究期間，趨勢發現種種的惡意攻擊手法，其中是一個惡意網站，以知名球星的圖像吸引球迷，宣稱能免費提供觀看球賽的即時串流影像，要求受害者下載一個Android app，實際上這是一個竊取資料的惡意app，安裝後就會開始要求各種裝置的權限，竊取的資料包含使用者的裝置名稱、位置及IP，還有SMS訊息、文件檔案等等。從app利用Google Drive散佈、程式碼訊息中隱含阿拉伯文資訊，種種手法和在中東地區的APT駭客組織APT-C-23極為相似。</span></p> <p class="p1"><span class="s1">另一個攻擊的手法則是以世足賽的賽事結果預測為名散佈惡意的Word文件，當受害者感興趣而點開文件，會顯示文件受到保護，要求啟動文件，啟動後就會看到駭客隨意截取自媒體報導的比賽預測訊息，但同時這個動作也會開始執行惡意巨集程式碼，並從C&C伺服器下載以JPG為副檔名的檔案。</span></p> <p class="p1"><span class="s1">有趣的是，趨勢科技檢視C&C伺服器，發現Image資料匣內的檔案都存放JPG的檔案(下圖)，看起來很合理，打開這些JPG檔案也會看到普通的圖像，實際上這些圖檔掩藏.exe或.dll的可執行檔，一旦執行後便會下載後門程式，竊取受害者的電腦螢幕截圖、側錄鍵盤輸入，或是搜尋特定的檔案，再將竊取的資料上傳到受企業信賴的雲端儲存服務，例如Dropbox。駭客也利用這些受信賴的雲端服務儲存下一階段攻擊的檔案。</span></p> <p class="p1"><span class="s1"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-03-21%20%E4%B8%8B%E5%8D%8810_12_21.jpg" style="width: 600px; height: 403px;" /></span></p> <p class="p1"><span class="s1">趨勢科技解析這份惡意文件，發現先前的文件內容和北韓有關，顯示駭客先前可能曾利用北韓為議題，吸引其他關心這類議題的受害者上當，這代表駭客只要變換題材內容，就能吸引其他目標的注意。從攻擊手法和針對韓語使用者為目標來看，趨勢科技研判和駭客團體Group 123手法相似。</span></p> <p class="p1"><span class="s1">「讓大家為之瘋迷的活動，一定是駭客吸引使用者上當的很好題材，不論是個人或是舉辦賽事等各種大型活動的組織都應該特別小心」，Hsiaoyu Shih表示，個人或組織都應該具備網路安全的知識，對這類吸引人的文件，應該要知道以正確、安全方式處理，她也提醒，即使在活動結束後也要保持警覺，因為駭客的目標可能不是這次的活動，另外，企業也應該要有充足的準備因應攻擊，才能將傷害降到最低。</span></p> </div></div></div>
2019/3/21 22:36作者蘇文彬https://www.ithome.com.tw/news/129504
【臺灣資安大會直擊】行政院資通安全處：政府部門資安治理評鑑新系統將建置完成，最快今年5月上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月，資通安全管理法正式施行後，該法依照機關業務分成A、B、C、D、E等5個資通安全等級，不同級別對應到的資安執行事項也不同，其中針對資通安全要求更高的A、B級機關，依法規定得要完成資安治理的成熟度評估，希望透過自我評量的方式，讓各機關可以持續強化資安自主與管理能力。</p> <p>行政院資通安全處高級分析師林春吟在今日最後一天的臺灣資安大會上也預告，這套新的資安治理評鑑系統，不久即將上線，預計今年5月就會開始實施，屆時，機關就能進到系統來做自我評審，並依據評量的結果，掌握自身資安治理的成熟度，進而針對還不足的資安管理面向，持續改善精進。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20190321_161911.jpg" style="width: 600px; height: 338px;" /></p> <p>在整個評審制度上，可依正三角架構分三層，分別是技術層（如存取管理、通訊管理等）、管理層（如資產管理、資訊委外管理等），以及最頂端的策略層（如資安治理架構、資安資源管理），總共11個管理流程構面，多達40道問項，來做為評分基準。</p> <p>另外，還依據資安治理成熟度建立分級制度，分成0～5共6級，第0級代表未成熟，不具資安治理能力;第1級則是開始具備基本資安治理執行能力。當來到第2級，則是加入流程管理機制，包括治理規劃、執行與監督等;第3級則是更進一步將治理流程作業標準化;第4級更開始運用歷史資料蒐集與分析建立可預策流程，持續改善治理流程。最後，第5級則是創新型，透過各種新技術，來優化治理各流程構面。</p> <p>林春吟表示，今年設定的目標是至少30個A級機關要達到2級，長遠目標更是全部都達到3級，也就是能夠將資安治理納入機關日常作業流程。</p> <p>不只是建立完善的資安基礎環境，在國家資安聯防體系的推動上，她指出，繼國家級N-ISAC資安資訊分享與分析中心、N-CERT電腦網路危機處理中心先後設置完成後，今年上半年也將會建置完成更複雜的國家級N-SOC資安監控中心，接著在下半年就會與全臺六都的SOC中心系統串接，藉此來建構國家層級的資安感知能力，以實現自動化情資共享。</p> </div></div></div>
2019/3/21 19:13作者余至浩https://www.ithome.com.tw/news/129503
Oculus Rift S改用Inside-out位置追蹤技術，預計春季上市售價399美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.oculus.com/blog/announcing-oculus-rift-s-our-new-pc-vr-headset-launching-spring-2019/">臉書在GDC 2019上發布了最新款的Oculus頭戴裝置Rift S</a>，更新了螢幕以及控制系統，官方預告將在2019年春天發布，售價為399美元。Rift S為原本Oculus Rift系列的最新替代產品，因此應用程式與遊戲都與前代完全相容，而且依然僅支援個人電腦平臺。</p> <p>Rift S的螢幕獲得大幅的更新，改進了光學和顯示技術，Rift S的螢幕有更高的畫素密度，能顯示更清楚的影像。之前的版本Rift使用了雙PenTile OLED面板，解析度為2160×1200，而Rift S則是與Oculus Go一樣，使用同一塊解析度為2560×1440的LCD面板，由於畫素增加了不少，因此可以顯示更多圖像細節。</p> <p>Rift S跟Oculus Quest一樣使用了Oculus Insight技術的Inside-out追蹤，不再需要使用外部感測器，Oculus Rift S使用電腦視覺演算法即時捕捉、追蹤和導覽物理空間，並且搭載了5個感測器，能提供最大程度的追蹤空間，以支援現存的Rift函式庫。Oculus Touch控制器也經過重新設計，能夠支援Inside-out追蹤，執行熟悉的動作包括抓取等姿勢。</p> <p>Oculus Rift S還加入了Passthrough+技術，可以提供真立體校正透視，幫助使用者設定Guardian邊界，而當使用者在虛擬世界走出了邊界，則Passthrough+會自動啟動，避免使用者碰到周邊物品。Passthrough+利用了Oculus Runtime核心，以電腦視覺演算法產生黑白的視圖，供玩家透視周遭環境，官方表示，當使用者需要離開或是看一下遊戲外時特別有用。</p> <p>官方提到，他們與聯想合作設計Rift S，採納他們在VR和AR領域的經驗以及來自社群的回饋，他們改善Rift S整體裝置的配重，並且改進光線阻擋，減少外部光對畫面的干擾，也使用單線系統，減少線材干擾使用體驗。Rift S整合了聲音系統但仍附有耳機孔，使用者可以使用自己喜歡的耳機。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/3vPz9KFXWTk" width="560px"></iframe></div> <p> </p> </div></div></div>
2019/3/21 17:30作者李建興https://www.ithome.com.tw/news/129494
南韓發現首起偷拍還在網路上直播的案例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去南韓玩可能要小心一些了，南韓警方在本周<a href="https://gizmodo.com/spy-cam-ring-recorded-1-600-hotel-guests-for-a-subscrip-1833446406" target="_blank">逮捕了兩名涉及在南韓各大城市的汽車旅館（Motel）安裝隱藏式攝影機的嫌犯</a>，而且還在自己架設的網站上提供直播串流服務。</p> <p><a href="https://edition.cnn.com/2019/03/20/asia/south-korea-hotel-spy-cam-intl/index.html" target="_blank">根據外電報導</a>，這些嫌犯總計在南韓10個城市的30家汽車旅館中的42個房間安裝了隱藏式攝影機，這些攝影機可能被藏匿在機上盒或牆上的插座上，從去年11月24日到今年的3月2日間，總計盜錄了約1,600支影片，並在所經營的國外網站上提供串流服務，假設想要重覆播放就得支付每月44.95美元的訂閱費用。在該站的4,000名會員中，只有97名付費訂閱。</p> <p>盜錄行為在南韓日益猖獗，在2012年時，當地的非法盜錄案件數量只有2,400起，2017年已成長到6,400起。而且偷拍的地點不只限於摩鐵、公廁，警方還發現了有人特地利用遠鏡頭拍攝住家中的裸露女性，這名女性住在首爾一座大廈的22樓。</p> <p>南韓警方則坦承，過去也有不少類似的偷拍案件，但這是首次有人在網路上公開直播。</p> <p>不論如何，這些案件已讓南韓的女性充滿不安全感，這一年來已有數萬名南韓女性走上街頭，以「我的生活不是你的色情影片」（My Life is Not Your Porn）為口號，呼籲政府採取更積極的整治行動。這兩名嫌犯最多可被判處5年的有期徒刑。</p> </div></div></div>
2019/3/21 17:32作者陳曉莉https://www.ithome.com.tw/news/129500
Opera釋出內建免費VPN的Opera for Android 51
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>挪威瀏覽器業者<a href="https://press.opera.com/2019/03/20/opera-launches-built-in-vpn/" target="_blank">Opera於本周更新支援Android平台的行動瀏覽器</a>，此一新的Opera for Android 51內建了免費的私人虛擬網路（Virtual Private Network，VPN）服務，以期改善用戶的線上隱私與安全。</p> <p>VPN採用加密的隧道協定（Tunneling Protocol）以阻止竊聽與嗅探來提供機密性，也能進行傳送者的身分驗證，預防身分偽造，或確保訊息的完整性。當Android用戶執行新版Opera瀏覽器時，不用額外下載程式，也無需登入，直接切換至VPN模式即可。</p> <p>負責Android平台的Opera副總裁Peter Wallman表示，當使用者在缺乏VPN保護的狀態下使用公共Wi-Fi網路時便很容易曝露自己的通訊，VPN將讓第三方更難竊取使用者資訊，也可避免被追蹤。而Opera則企圖讓VPN的採用變得更容易及友善，以幫助那些想要更多安全卻不知從何著手的使用者。</p> <p>Opera引用Global World Index的統計指出，全球約有6.5億的VPN使用者，且透過VPN連網的行動裝置用戶也愈來愈多，行動VPN用戶每天使用的比例高達42%，桌面VPN用戶每天使用的比例也有35%。</p> <p>有鑑於其它行動瀏覽器業者並未內建VPN功能，市場猜測Opera此舉是為了提振該瀏覽器於行動市場的佔有率。根據Net Applications的調查，Opera的市佔率只有0.35%，遠遠落後Chrome的63.21%、Safari的26.38%，也輸給百度、UC Browser、QQ、舊版的Android Browser及Firefox。</p> </div></div></div>
2019/3/21 16:25作者陳曉莉https://www.ithome.com.tw/news/129497
Google要讓歐盟Android用戶自由選擇搜尋引擎和瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在3月20日歐盟針對Google以第三方網站AdSense for Search合約，排擠搜尋競爭對手的事件<a href="https://www.ithome.com.tw/news/129489）前夕，Google宣佈（https://blog.google/around-the-globe/google-europe/supporting-choice-and-competition-europe/" target="_blank">公佈判決結果</a>前夕，<a href="https://blog.google/around-the-globe/google-europe/supporting-choice-and-competition-europe/" target="_blank">Google宣佈</a>讓歐盟Android用戶自由選擇瀏覽器及搜尋服務，以「支持歐洲用戶選擇及產業自由競爭」。</p> <p>過去十年來，Google受到歐盟反競爭委員會的多次「關照」，以及天價金額的處罰。包括2017年以Google濫用搜尋優勢排擠比價購物競爭網站<a href="https://www.ithome.com.tw/news/115162" target="_blank">判罰24.2億歐元</a>，2018年再以強迫Android手機及平板業者安裝搜尋、地圖等自家服務，<a href="https://www.ithome.com.tw/news/124652" target="_blank">重罰43.4億歐元</a>，以及今年3月以AdSense for Search合約條款排擠微軟、Yahoo等競爭對手，<a href="https://www.ithome.com.tw/news/129489" target="_blank">罰款14.9億歐元</a>。</p> <p>Google全球事務資深副總裁Kent Walker指出，每一次Google都「虛心接受」外界包括歐盟及其他人的「意見」，也順應要求修改其服務。最近Google開始<a href="https://support.google.com/google-ads/answer/9262823" target="_blank">測試Google Shopping</a>的新格式，提供使用者直接連結到購物比價網站，搭配廠商提供的特定優惠。</p> <p>針對Android手機綁Google apps的案件，去年Google已經<a href="https://www.ithome.com.tw/news/126465" target="_blank">透過個別授權的方式</a>，將Google Play、Google Chrome和Google Search個別提供給歐盟Android手機用戶，也就是要用戶額外付費才能下載這些app。</p> <p>Google預計會再提供進一步措施，確保歐洲的Android手機用戶知道他們可自由下載瀏覽器和搜尋引擎，但目前並未說明會怎麼做及詳細時程，只透露這包括詢問歐盟現有及新的Android 手機用戶想使用哪一款瀏覽器和搜尋app。</p> <p>Google主管最後表示，該公司向來致力於提供用戶最快、最好的答案，最新措施則彰顯Google以開放而嚴謹的態度實現承諾。</p> </div></div></div>
2019/3/21 16:50作者林妍溱https://www.ithome.com.tw/news/129499
臺鐵第四代票務系統4月開放個人訂票，憑手機就能搭火車
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">臺灣鐵路管理局(簡稱臺鐵)宣佈第四代票務系統將在4月9日上線，未來民眾搭火車透過App訂票，不再需要到超商付款取票，憑手機上的QR Code就能搭車。</span></p> <p class="p1"><span class="s1">臺鐵局長張政源表示，第四代的票務系統有許多特色，過去臺鐵車票40年來都是橫的，未來將會改為直的，以符合驗票機規格。新的系統還提供一站購足，能夠節省民眾的時間，購票的同時可預訂臺鐵便當，車票及購買便當金額一次付款，臺鐵服務人員會將便當送到座位上。</span></p> <p class="p1"><span class="s1">第四代票務系統已在2月21日先開放給團體票訂票，個人訂票部份將會在4月9日開放訂票，臺鐵將在4月23日汰換舊有系統，而配合新的票務系統上線，現在的臺鐵e訂通app將會改版更新，除了採用新的使用者介面，民眾在app上可以查詢時刻、訂票及便當，完成線上訂票付款後，出發日只要憑app上的QR Code就能通過驗票閘口，不再需要到超商付款、領取紙本車票。</span></p> <p class="p1"><span class="s1">新系統也強調更為智慧化，例如以往民眾想要搭火車從臺北到花蓮，一票難求，民眾可能會改為分段訂票，先查看臺北到宜蘭是否有空位，再購買宜蘭到花蓮的車票，新系統提供了「自動分段湊票」的功能，設定好起迄站「臺北-花蓮」，可交由系統幫你查看同班次火車的不同車廂，臺北到宜蘭、宜蘭到花蓮是否有空位，自動執行分段湊票。</span></p> <p class="p1">臺鐵表示，民眾訂位除了快速購票，也能進階設定座位的偏好，像是選擇靠窗或靠走道座位，如果是和親友四人搭火車出遊，也能選擇預訂前後兩排雙人座位，或是四人一排的座位。</p> <p class="p1"><span class="s1">準備在4月23日退役的現有第三代票務系統是在民國94年上線，核心的票務系統由NEC建置，網路訂票系統則由中華電信負責，第四代票務系統由中華電信協助打造，包括雲端技術及資安防護。</span></p> <p class="p1"><span class="s1">針對民眾在連假返鄉的「搶票」問題，新票務系統導入了智慧配座機制，改善現有固定配位模式，提高單筆訂票效率，中華電信表示，新系統訂票成功率提高5到10%，同時因應大量購票需求，也運用雲端技術，預估最高每分鐘可完成60萬筆交易，是舊系統的3倍。</span></p> <p class="p1"><span class="s1">另外，為了防止機器人搶票，在訂票部份原本會要求訂票者辨識扭曲的文字，以排除機器人訂票的做弊行為，但仍可能被破解，新系統則導入Google的CAPTCHA識別機制，只要勾選「我不是機器人」就能通過驗證，但如果懷疑為機器人訂票，會進一步要求通過圖像識別驗證。</span></p> <p class="p1"><span class="s1">為了讓民眾先一步體驗，臺鐵在3月18日到3月29日，在臺北、臺中、高雄、花蓮、臺東五個車站設置體驗區，蒐集民眾對這套訂票系統的使用意見，未來再依使用意見調整系統。</span></p> </div></div></div>
2019/3/21 16:51作者蘇文彬https://www.ithome.com.tw/news/129495
微軟發出有警告倒數計時的Windows 7 安全更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows 7將在明年1月14日截止技術支援，而Windows 7 PC用戶可能會無時無刻接到微軟的提醒，就連安全更新公告也不會例外。</p> <p><a href="https://www.ithome.com.tw/news/129295" target="_blank">微軟上周公告將從4月起開始發出通知</a>，提醒Windows 7用戶快點升級。不過3月還沒過完，微軟在3月20日釋出的<a href="https://www.ithome.com.tw/news/129295" target="_blank">Windows 7 SP1的安全公告</a>就已經先啟動通知。除了告知用戶開啟Windows Update即可自動下載更新外，這次的公告還增加了Windows 7支援將屆的訊息：「在服務10年之後，2020年1月14日將是微軟提供執行Windows 7 SP1電腦安全更新的最後一天。本次更新啟用了Windows支援終止的提醒。」此外也附上<a href="https://support.microsoft.com/en-us/help/4493132/windows-7-update-kb4493132" target="_blank">Windows 7終止支援的相關網頁連結</a>。</p> <p>同時間，代號19H1的Windows 10 April Update也即將來到最終階段。<a href="https://blogs.windows.com/windowsexperience/2019/03/12/announcing-windows-10-insider-preview-build-18356/#Jh8sBQ6bH72tdQHu.97" target="_blank">微軟宣佈Windows 10 Insider 開者預覽版Build 18356.16 (19 H1)</a>已經透過穩定通道（Slow ring）釋出給開發人員，意謂著釋出給大眾的正式版本為期不遠了。</p> </div></div></div>
2019/3/21 14:30作者林妍溱https://www.ithome.com.tw/news/129492
【臺灣資安大會直擊】脫口秀突顯臺灣資安市場亂象，需要買賣雙方一同成長、茁壯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在歷年的臺灣資安大會中，大會的各項議程多半以演講為主，在2019臺灣資安大會進行到了第3天，3月21日上午的大會Keynote有了很大的不同，包含了2場以實際現場展示為主的議程，還有頭一遭採用脫口秀形式討論的議程，而這場脫口秀，分別講出了在企業選購資安解決方案的難處，以及業者與企業溝通所面臨的現象，希望藉由這樣的各自表述，讓雙方能夠建立互信，引領臺灣的資安向前邁進。</p> <p>在這場臺灣資安大會首創的脫口秀裡，由iThome資安主筆黃彥棻代表買方，提出有關企業資安人員面臨的情況，而銷售資安產品的廠商，則是奧義智慧共同創辦人邱銘彰（Birdman）出席，道出業者的經驗談。</p> <p>Keynote一開始的時候，邱銘彰向黃彥棻詢問這次臺灣資安大會的規模。黃彥棻說，本次估計至少有7千人報名，而且有20多個國家的業者和媒體與會，比起前幾屆的人數，都要來得踴躍。</p> <p>邱銘彰說，在上星期參與的RSA大會，他認為自己變強了，黃彥棻進一步詢問，究竟學到什麼，邱銘彰開玩笑說，他留意到會場裡有很多形而上的演講，但黃彥棻馬上回擊，認為這種打高空的做法，大家都聽不懂，在臺灣吃不開。</p> <p>邱銘彰回歸正題，提到他最深刻的感受，就是今年臺灣資安大會的資安101分堂議程裡，許多講題都探討MITRE提出的ATT&CK資安框架，在RSA大會上也同樣熱烈討論，而且已經算是成為一種標準，他發現，無論在藍隊研發產品，還是紅隊模擬演練上，都開始相當倚賴這套資安框架所提供的情境，因此，邱銘彰認為，現在企業必須跳脫比較資安產品的規格，而是要了解自己的需求是什麼。</p> <h2><strong>信任危機是資安架構最大的問題</strong></h2> <p>邱銘彰說，其實我們的防火牆等資安產品中，早就有所謂的自動防禦機制，但現實是，沒有人敢開啟使用，問題就在於大家根本無從判斷，資安設備的決策是否可靠？反過來說，企業長久以來，為了確保不會出錯，反倒在這方面付出了相當高的成本，即使是時下常見的機器學習技術，資安系統往往只有提供分析結果的可靠程度百分比，這樣的輔助指標，企業還是很難確認分析結果是否符合預期。所以，資安產品分析的依據若是能對企業透明，才能讓企業信任。</p> <p>黃彥棻也認同這樣的看法，因此也表示長年以來，企業相當仰賴資安業者提供的資訊，然而，邱銘彰卻說，企業還是需要做功課，確實了解自身資安需求才行。他以自己遇到某家製造業的資安主管為例，這位資安主管從公司草創做電腦文書小妹，後來公司購置了印表機，這臺設備就交由她管理，後來，印表機連上網路之後，這個資安主管便接下了管理內部網路的責任，隨著公司導入資安，她就掌管該公司的資安部門，而像這位主管從IT踏入資安領域，而非擁有相關背景的人員，邱銘彰表示，他在實務上遇到不少這樣的資安人員，造成需要更多的溝通。</p> <p>由於買方不曉得如何挑選，邱銘彰說，結果最常看到的做法，就是要求每間廠商各拿出幾個病毒，大家來比畫一番，看誰的產品偵測率比較好。而且，更雪上加霜的是，邱銘彰說，甚至他看過有些企業最後採購決定因素，竟是該廠商的業務小姐長得最漂亮，出乎許多參與競標的預期。</p> <p>黃彥棻問：「可是，難道廠商就沒有需要檢討或改進的部分嗎？」</p> <p>邱銘彰回道，其實，好的資安政策或是技術，也必須能讓使用者容易理解，進而信任並使用，這就是廠商的責任；相反的，一套資安系統若是太過複雜，確實會帶來難以運用的風險。他也舉出許多人認為「實體隔離就是安全」，便是因為這樣的訴求極為簡單易懂－－儘管事實上這個論點是一種迷思，卻也代表技術和做法必須讓用戶理解，才能進一步贏得信任。</p> <p>當然，邱銘彰重申，企業還是要了解自己的資安態勢與需求，雖然與會的資安人員努力參與各式議程，這3天來像海綿般廣泛吸收大量知識，但是缺乏互動，因此，他也鼓勵與會者也要多逛攤位，跟廠商進行一對一的討論，能夠進一步深入了解，學到更多。</p> <p>其實就這場脫口秀的討論下來，資安市場的發展，有賴企業與資安業者再精進，好的買家和好的賣家同等重要，這樣才能一同攜手向前，也呼應了這次的大會標題「Together, We Become Stronger.」</p> </div></div></div>
2019/3/21 14:42作者周峻佑https://www.ithome.com.tw/news/129493
Google在Coursera上架網站可靠性工程課程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.coursera.org/learn/site-reliability-engineering-slos">Google在Coursera上公開了最新的線上課程</a>，課程主題為網站可靠性工程（Site Reliability Engineering，SRE），所有人都可以在Coursera上，學習到來自Google的網站可靠度工程經驗。</p> <p>整個課程學習時間大約只有19個小時，4個星期就能夠學習完成，課程會從SRE的基本開始，介紹SRE的概念，並且教導SRE、CRE以及SLO等各種觀念。課程參與者還可以學到描述和測量服務可靠性的方法，SLI和SLA的意義，並且學會設定錯誤預算（Error Budget）與使用方式，也會知道怎麼評估指標。</p> <p>上完這個課程，參與者可以學習到基礎知識，以及SRE如何成為Google工程的一部分，也能學習使用SRE中用於決策的工具，參與者除了能夠了解可靠性系統的目標以及使用者期望間的關係外，還可以知道常見監控實作，以及各種測量策略的優缺點，並有能力選擇適合自己指標。</p> <p>課程也會透過使用案例，帶參與者深入了解SLI以及SLO，學習到執行風險分析的方法，並且將這些知識應用在企業長期可靠性目標上。</p> </div></div></div>
2019/3/21 13:35作者李建興https://www.ithome.com.tw/news/129477
蘋果發行新一代AirPods，增長通話時間還推出無線充電盒
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://www.apple.com/tw/airpods/">蘋果發行第二代無線耳機AirPods</a>，搭載全新的H1耳機晶片，標榜增加50%的通話時間、直接聲控語音助理Siri，還推出無線版的充電盒，搭配標準版充電盒的AirPods售價為5,290元，而無線充電盒的AirPods是6,490元，使用者也能單獨購買適用於兩個版本的AirPods無限充電盒，售價為2,690元，目前已於美國地區販售，但是臺灣開賣時間尚未確定。</p> <p>第二代的AirPods的H1耳機晶片，能夠使無線耳機與各裝置更快且穩定地連結，根據蘋果官網指出，在已開啟的裝置間切換速度快2倍，通話的連接速度也增加了1.5 倍，此外，該晶片也能夠用聲控的方式驅動Siri，因此，用戶不再像以前需要點擊耳機兩下才能喚醒Siri，透過聲控的方式就能完成更改曲目、撥打電話、調節音量等功能，大幅地提升了使用的便利性，且用戶在玩遊戲的時候，AirPods能夠減少30%的聲音延遲。</p> </div></div></div>
2019/3/21 13:36作者何維涓https://www.ithome.com.tw/news/129481
Google用ML使自創旋律加入巴哈風格生成複音音樂
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>機器學習也能應用在音樂上嗎？<a href="https://www.google.com/doodles/celebrating-johann-sebastian-bach">Google AI部門的Magenta研究專案PAIR計畫團隊打造出第一個由AI驅動的Doodle服務</a>，Doodle為一項互動式體驗，讓用戶自行創造一段旋律，按下和聲演奏（Harmonized）的按鈕後，Doodle會透過機器學習技術，將用戶自創旋律加入德國作曲家約翰·克里斯蒂安·巴哈的風格，重新呈現創作作品，生成帶有巴哈風格的複音（polyphonic）音樂，用戶還能將該段旋律下載儲存。</p> <p>要開發Doodle服務的第一步驟就是要打造一個機器學習模型，Doodle現行的ML模型是由Magenta團隊成員Anna Huang所打造，Anna Huang建立了一套名為Coconet的多功能模型，該模型可用於廣泛範圍的音樂型任務中，像是合奏旋律、作曲等，特別的是，Coconet模型是透過306首聖詠曲訓練而成，巴哈的聖詠曲大部分採取四聲部的寫法，每一個聲部都具有個別的旋律線，同時四個聲部一起演奏時，又能產生豐富的合奏。</p> <p>Google研究團隊表示，巴哈簡潔的作曲架構就成了機器學習模型很好的訓練資料。而PAIR計畫團隊則是使用瀏覽器開發ML模型韓式庫TensorFlow.js，使機器學習模型能夠在網頁中運行。</p> </div></div></div>
2019/3/21 13:38作者何維涓https://www.ithome.com.tw/news/129484
AWS針對吵雜環境場景，用半監督式學習提升語音辨識模型準確度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://developer.amazon.com/blogs/alexa/post/d6e559c4-ac00-45a1-97ee-fde845e99202/machine-labeled-data-artificial-noise-better-speech-recognition">AWS近日利用半監督式學習方法，來提升語音辨識系統效能</a>，特別是在吵雜的環境中，AWS表示，雖然現在深度神經網路能夠準確地辨識大量詞彙的對話，訓練工作還是需要長達數千個小時的標註資料，收集這些龐大資料不但耗時且成本昂貴，因此，過去AWS的科學家不斷在研究能夠在人工干預最小化的情況下，讓Alexa學習正確辨識語音的技術，大致上分為非監督式和半監督式學習。</p> <p>AWS採用半監督式學習方法，首先，用800小時標註過的語音資料，訓練了一套語音辨識模型，該辨識模型擔任老師的角色，並用該模型「輕微地」標記另外尚未標記的7,200小時語音資料，接著，AWS手動在一些數據集中加入雜訊，再將這些帶有雜訊的資料集和被第一個模型標記的資料，一起用來訓練第二個辨識模型，而這個模型則是擔任學生的角色，藉由這樣的設計，AWS期望創在學生模型是用具有噪音的資料訓練，而老師模型則是乾淨的語音資料，如此一來，就能改善語音辨識系統處理噪音的穩定度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/T-S_architecture.jpg__CB467865187_.jpg" style="width: 500px;" /></p> <p>圖片來源：AWS</p> <p>在一項測試實驗中，AWS同時播放錄製的語音和用音響播放多媒體聲音，相比只有用無噪音和標註資料訓練的語音辨識模型，AWS半監督式的辨識模型錯誤率減少了20%。</p> </div></div></div>
2019/3/21 13:45作者何維涓https://www.ithome.com.tw/news/129485
Google在AdSense搜尋廣告排擠對手遭歐盟罰款14.9億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟反托拉斯委員會以Google濫用市場獨大地位，在與第三方網站的AdSense廣告合約中，採行多項限制性的條款，阻撓Google競爭者在這些網站上投放搜尋廣告，違反歐盟反托拉斯法規，在3月20日宣布<a href="http://europa.eu/rapid/press-release_IP-19-1770_en.htm" target="_blank">判罰Google 14.9億歐元</a>（約520億台幣）。</p> <p>歐盟競爭委員會主席Margrethe Vestager指出，歐盟以Google在線上搜尋廣告中介市場上非法不當運用其獨大地位，判罰14.9億歐元。Google透過對第三方施加反競爭的合約限制來鞏固其線上搜尋廣告的優勢，時間超過10年，扼殺了競爭者在同等地位上競爭及創新的可能性，間接損害消費者利益。</p> <p>這裏討論的不是Google一般的搜尋廣告，而是AdSense for Search服務廣告，後者是顯示在第三方網站，像新聞媒體網站、部落格或旅遊網站內建的Google客製化搜尋（Custom Search）結果頁中的廣告。歐盟在2010年啟動調查，認為Google透過AdSense for Search扮演線上搜尋廣告中，廣告主和第三方網站之間的中介平台角色，而在Google獨佔近90%搜尋的市場中，對競爭者如微軟、Yahoo等而言，第三方網站是他們取得線上搜尋廣告營收的重要途徑。</p> <p><a href="https://www.ithome.com.tw/news/107134" target="_blank">2016年7月歐盟發出二項異議聲明書</a>，對Google做出二項指控。其中一項就是指控Google 利用AdSense for Search和第三方網站的合約，排擠搜尋競爭對手。3月20日的宣佈就是歐盟委員會近二年調查的結果。</p> <p>歐盟調查後，相信Google從2006年就在合約中加入獨家條款，禁止這些出版商網站在其搜尋結果頁展示競爭搜尋引擎的廣告。2009年3月起Google放棄獨家條款，改採名為「優先投放」（Premium Placement）的合約條款，要求出版商保留最賺錢的廣告版位給Google的廣告，並要求Google廣告的投放基本量，使競爭者廣告無法投放在明顯且容易點擊到的版位，而在另一條款中，Google 也要求如果出版商想變更競爭者廣告展示位置，必須取得Google的書面同意。</p> <p>歐盟認為Google先是施加了「獨家供應義務」使搜尋競爭者無法在最知名的網站上投放搜尋廣告，後來又以「鬆綁獨家策略」確保自家搜尋廣告的優勢，且控制競爭者廣告的績效，認定Google行為違反了歐盟反托拉斯法。</p> <p>在2016年歐盟提出異議聲明書後數月，Google停止了所有非法行為。總結Google違法期間及嚴重性，歐盟判罰Google 2018年在歐盟區內線上搜尋廣告總營收的1.29%，即1.49億歐元。Google也可能在歐盟會員國內被個人或企業分別提出民事訴訟。</p> <p>Google尚未對此作出回應。</p> <p>這是歐盟近兩年第三度對這家搜尋巨擘因壟斷業務行為開罰。2017年，<a href="https://www.ithome.com.tw/news/115162" target="_blank">歐盟針對Google濫用搜尋優勢排擠比價購物競爭網站判罰24.2億歐元</a>，<a href="https://www.ithome.com.tw/news/124652" target="_blank">2018年再以Android強制搭售自家服務，重罰43.4億歐元</a>。</p> </div></div></div>
2019/3/21 14:00作者林妍溱https://www.ithome.com.tw/news/129489
快升級到Chrome 72！舊版行動Chrome爆有讓駭客竊取帳密的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你的Chrome升級到最新的72版沒？如果沒有最好快點，因為<a href="https://www.ptsecurity.com/ww-en/about/news/high-risk-vulnerability-in-android-devices-discovered-by-positive-technologies/" target="_blank">安全公司揭露從Android 4.4版以來的Chrome就存在的漏洞</a>，可能讓駭客竊取Android手機用戶上網紀錄、登入資訊等重要資料。</p> <p>這項漏洞是由俄國資安業者Positive Technologies研究員Sergey Toshin在今年一月發現並已通報Google。<a href="https://chromereleases.googleblog.com/2019/01/stable-channel-update-for-desktop.html" target="_blank">Google已在一月釋出修補該漏洞的Chrome 72.0.3626.81版</a>，但當時Google只是輕描淡寫為「瀏覽器中政策執行不足」。</p> <p>這項編號為<a href="https://nvd.nist.gov/vuln/detail/CVE-2019-5765" target="_blank">CVE-2019-5765的漏洞</a>是位在Android 4.4版本以後的Chromium引擎中，後者是Android的WebView一項元件，允許網頁在Android app內顯示網頁。所有使用Chromium為核心的行動版瀏覽器，包括Google Chrome、Samsung Internet Browser、Yandex Browser都會受到影響。</p> <p>研究人員指出，項漏洞可經由Instant app引發安全風險。這類app讓手機用戶不必下載也能試用。用戶點選瀏覽器連結後，智慧型手機會下載一個小檔案可像原生app般執行，它能存取手機硬體但不佔用儲存空間。當攻擊者以instant app執行，就可在用戶點選連結惡意app後攔截資料。</p> <p>該項漏洞可讓駭客從程序記憶體中取得敏感資訊，包括上網紀錄、app登入需要的驗證權杖和標頭，以及其他資料。由於大部份Android app都有WebView，也使這項漏洞變得非常危險，被Google列為高風險漏洞。</p> <p>從Android 7.0後，WebView已經由Google Chrome實作，因此只要更新瀏覽器即可修補漏洞。但早期版本的Android的WebView則必須經由Google Play安裝。若Android手機用戶沒有Google Play服務，則需等手機業者釋出WebView更新。</p> </div></div></div>
2019/3/21 14:05作者林妍溱https://www.ithome.com.tw/news/129490
Google Photos含有可洩露拍照時間與地點的臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.imperva.com/blog/now-patched-google-photos-vulnerability-let-hackers-track-your-friends-and-location-history/" target="_blank">Imperva的安全研究人員Ron Masas最近揭露了Google Photos服務的臭蟲</a>，指出該臭蟲將允許第三方惡意網站汲取Google Photos用戶所存放的照片資訊，包括拍照時間、地點或對象等。</p> <p>整合了人工智慧能力的Google Photos可利用照片的元資源替照片加上標籤，包括地理坐標或日期等；還能自動以文字描述照片，或是偵測照片中的物件與活動；另也具備了人臉辨識能力以判斷照片中的人物。</p> <p><a href="https://venturebeat.com/2019/03/20/security-firms-detail-android-and-google-photos-vulnerabilities-that-exposed-user-data/" target="_blank">Masas則找到了可讓第三方網站透過旁路攻擊擷取上述資料的方法</a>，他說Google Photos的搜尋終端容易受到基於瀏覽器的時序攻擊（timing attack），或稱跨站搜尋（Cross-Site Search）攻擊。</p> <p>駭客只要誘導使用者造訪惡意網站，令他們同時登入Google Photos，就能向Google Photos的搜尋終端送出多種搜尋請求，先找到結果為零的回應時間作為基準線，再與其它的查詢進行比較，以用來推斷使用者是否曾造訪某地。例如Masas查詢了「我在冰島的照片」，假設回應時間比基準線還久，可判斷該使用者應曾到過冰島，也能在查詢字串中加入日期，重覆測試不同的時間點，即可得知該使用者在大約什麼時候去過冰島。</p> <p>其實這類的攻擊行動有些繁瑣，因此並不普及，但Masas認為基於瀏覽器的旁路攻擊行動一直被忽視，迄今大概只有Google或臉書等大型科技業者會把它當作一回事，大多數的業者並未意識到它的風險。在Masas發文的當時，Google也已修補了此一臭蟲。</p> </div></div></div>
2019/3/21 14:15作者陳曉莉https://www.ithome.com.tw/news/129491
去年10個最常被駭客開採的漏洞中，有8個是微軟漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>威脅情報業者<a href="https://www.recordedfuture.com/top-vulnerabilities-2018/" target="_blank">Recorded Future本周公布了2018年基於安全漏洞的網路攻擊分析報告</a>，指出在最常被駭客開採的10個安全漏洞中，就有8個漏洞來自微軟。</p> <p>有不少業者都會定期在每個月或每季修補產品中的安全漏洞，但對企業的資安團隊而言，漏洞的優先修補順序一向是個艱難的挑戰，這激發了Recorded Future對此展開研究的靈感。</p> <p>Recorded Future分析了去年一整年的攻擊套件、網釣攻擊及遠端存取木馬所瞄準的漏洞，顯示出2018年最常被駭客鎖定的十大漏洞中，有8個屬於微軟漏洞，另外兩個則分別是Adobe漏洞及Android漏洞。</p> <p>第一名是微軟在去年5月修補的CVE-2018-8174漏洞，此一當時就已被開採的漏洞藏匿在Windows VBScript Engine中，使用者只要透過IE造訪惡意網站，或是透過任何基於IE描繪引擎的微軟產品開啟惡意檔案，就會觸發漏洞，允許駭客自遠端取得使用者權限。</p> <p>根據Recorded Future的分析，與CVE-2018-8174漏洞有關的攻擊套件主要是藉由網釣攻擊來散布金融木馬程式Trickbot，也有攻擊套件利用它來遞送勒索軟體Magniber，至少受到7款攻擊套件的青睞。</p> <p>居次的則是存在於Adobe Flash Player中的CVE-2018-4878，它是個「釋放後使用」（Use-after-free）漏洞，成功的開採將允許駭客掌控被駭電腦，於遠端執行任意程式，<a href="https://www.ithome.com.tw/news/121072" target="_blank">曾被北韓駭客用來攻擊南韓民眾</a>，Adobe也是在該漏洞遭到開採之後才緊急修補。</p> <p>值得注意的是，在其它位於前10名的7個微軟漏洞中，有4個是在2017年修補的，1個是在2016年修補的，甚至在2012年修補的<a href="https://docs.microsoft.com/en-us/security-updates/securitybulletins/2012/ms12-027" target="_blank">CVE-2012-0158</a>都還在排行榜上名列第九。</p> <p>CVE-2012-0158漏洞藏匿在ActiveX控制模組mscomctl.ocx中，因而影響了大量的微軟產品，從Microsoft Office、SQL Server、BizTalk Server、Commerce Server、Visual FoxPro到Visual Basic 6.0等，攻擊的形式可以是惡意網站、惡意Office檔案或惡意RTF檔案，成功的開採將允許遠端駭客執行任意程式。</p> <p>此外，排名第六的CVE-2016-0189已連續3年進入前十名。這是一個指令碼引擎記憶體毀損漏洞，允許遠端駭客進行阻斷服務攻擊或執行任意程式，殃及IE 9至IE 11，已被整合到5個攻擊套件中。</p> <p>至於排行榜上位居第十的Android漏洞為CVE-2015-1805，這是Google在2016年修補的本地權限擴張漏洞，主要遭到刷機程式開採。</p> </div></div></div>
2019/3/21 12:25作者陳曉莉https://www.ithome.com.tw/news/129487
微軟釋出用於PostgreSQL的GUI編輯器Azure Data Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟為幫助PostgreSQL使用者管理資料庫，釋出開源編輯器<a href="https://azure.microsoft.com/zh-tw/blog/azure-data-studio-an-open-source-gui-editor-for-postgres/">Azure Data Studio</a>，讓不習慣使用命令列工具psql的使用者，可以選擇使用圖形化介面工具管理資料庫，Azure Data Studio也整合了終端機，開發者在需要的時候還是能使用psql。</p> <p>Azure Data Studio是一個專注於資料開發的跨平臺編輯器，可用於Linux、MacOS和Windows，支援多數Visual Studio Code，像是Python、R和Kubernetes，微軟提到，當使用者的使用情境偏向處理資料，則可以選擇使用Azure Data Studio，方便管理多個資料庫連接、瀏覽資料庫物件階層或是設定儀表板等，而當使用者的需求較靠近應用程式開發，可以選用Visual Studio Code的PostgreSQL擴充套件就可以了。</p> <p>使用者可以直接利用Azure Data Studio連結PostgreSQL伺服器，PostgreSQL伺服器可以設置在本地端、虛擬機器中或是託管在任何的雲端供應商。Azure Data Studio能夠方便地管理多個資料庫伺服器，微軟提到，使用者通常擁有多個PostgreSQL伺服器，除了生產伺服器外，還會有分段伺服器（Staging Server）以及其他開發用測試伺服器，Azure Data Studio提供伺服器分類功能，以視覺區別不同用途的伺服器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/08681d62-cf7d-4c4c-8280-40843c062c10.png" style="width: 500px;" /></p> <p>Azure Data Studio還新增了追蹤資料庫物件的功能，能夠清楚呈現每個資料庫和表格，所新增的資料列、索引或是函式，微軟提到，這項功能在多人使用的PostgreSQL實例上特別有用，Azure Data Studio在側欄中提供分層導覽，使用者可以用來瀏覽和追蹤伺服器的資料庫、表格、視圖和其他物件。</p> <p>Azure Data Studio加入Peek Definition和Go to Definition功能，方便對物件進行查詢，使使用者能更快地編寫出查詢語法，像是要查詢pg_stat_activity內建統計資料，Go to Definition功能可以讓使用者查看所有欄位以及相關資料。SQL用IntelliSense也被內建在Azure Data Studio中，IntelliSense的程式碼完成功能，可以讓使用者少按幾下鍵盤，幫助使用者快速地撰寫查詢。</p> <p>對於常用的SQL語法，無論是CREATE或是複雜的SELECT語法，使用者可以善用程式碼片段功能，模板化SQL程式碼片段，如此便不需要一再重新輸入重複的字詞。程式碼片段功能是Azure Data Studio從Visual Studio Code繼承而來的功能，可以幫助使用者在重新輸入程式碼時，加速工作進行並減少錯誤發生。</p> <p>在外觀顯示上，Azure Data Studio提供自定義主題的功能，使用者可以選擇現在應用程式流行的暗黑模式、高對比主題或是任何配色主題。另外，可以客製化的選項不只有外觀主題，還包括了快捷鍵，在鍵盤捷徑編輯器中，使用者可以改變預設綁定的快捷鍵組合。</p> </div></div></div>
2019/3/21 12:37作者李建興https://www.ithome.com.tw/news/129472
Khronos發布OpenXR 0.90臨時版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由多家軟硬體公司組成的開發聯盟Khronos，<a href="https://www.khronos.org/news/press/khronos-releases-openxr-0.90-provisional-specification-for-high-performance-access-ar-vr-platforms-and-devices">公開OpenXR 0.9規範的臨時版本</a>，提供統一的跨平臺API，簡化各平臺XR應用程式的開發工作。</p> <p>XR指的便是由電腦透過人機互動，所產生真實和虛擬的組合環境，包括虛擬實境（VR）、增強實境（AR）和混合實境（MR）等相關技術。Khronos OpenXR工作小組在2017年的時候成立，而OpenXR則是一個免授權金的XR開放標準，其扮演應用程式和XR Runtime系統的介面。Runtime功能包括處理影格組合、外圍裝置管理以及原始的追蹤訊息等功能，還能夠支援裝置層級的插件。</p> <p>OpenXR 0.90臨時版本訂定了一個跨平臺API，使XR硬體平臺供應商能夠公開其Runtime系統的功能，透過存取應用程式生命週期，渲染、追蹤、影格時序以及輸入等相關的一組通用物件和功能，開發人員能用最少的工作，將應用程式移植到多個XR系統上，Khronos提到，現在不同供應商的API差異非常大，缺乏共同標準要在多平臺間移植XR應用程式，必須花費大量的時間與資源。</p> </div></div></div>
2019/3/21 12:38作者李建興https://www.ithome.com.tw/news/129474
臉書與ACLU就廣告歧視一案達成和解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://newsroom.fb.com/news/2019/03/protecting-against-discrimination-in-ads/" target="_blank">臉書（Facebook）本周宣布</a>已與美國公平住房聯盟（National Fair Housing Alliance，NFHA）、美國公民自由聯盟（American Civil Liberties Union，ACLU）、美國傳播工會Communication Workers of America（CWA）及其它人權機構達成和解，將替人力招募、住房及信貸類別的廣告主另闢一個平台，以阻止這些廣告主利用臉書的過濾機制從事廣告歧視活動。</p> <p>去年8月美國住房及城市發展部（U.S. Department of Housing and Urban Development，HUD）曾指責臉書的目標式廣告允許地主或房屋仲介過濾受眾的種族、性別、宗教或國籍，違反《公平住房法案》；<a href="https://www.aclu.org/blog/womens-rights/womens-rights-workplace/facebook-settles-civil-rights-cases-making-sweeping" target="_blank">ACLU</a>則於9月指控臉書上的人力招募廣告排除了女性；不只是住房與人力招募，美國的《公平信貸機會法》（Equal Credit Opportunity Act）也規定人們的信貸權利不得因種族、膚色、性別或婚姻狀況而有差別待遇。</p> <p>臉書表示，他們原本就禁止廣告主利用該站的工具進行歧視，現在將進一步阻止這些廣告主的行為，舉凡是要執行住房、人力招募或是信貸的廣告主，都不准以年齡、性別或郵遞區號等選項來過濾可看到廣告的受眾。</p> <p>因此，這些廣告主將擁有比其它廣告主更少的目標廣告過濾選項，臉書也會要求廣告主承諾遵循各種反歧視的法令，並建立一個可偵測有否違法行為的自動化及人工審核系統，也同意了3年的監控期。</p> <p>ACLU表示，隨著愈來愈多人在網路上尋找工作、住房或信貸機會，目標式廣告不只能複製社會上既有的種族或性別偏見，還有可能加劇這樣的現象。因為當廣告主執行了有歧視的廣告之後，其他的使用者根本看不見這些廣告，無從得知相關廣告的存在，也更難抑制這樣的行為。</p> <p>因此，除了替上述3類廣告主打造特製的過濾選項之外，臉書未來也將允許美國使用者搜尋所有的住房廣告，不管這些廣告是鎖定哪些區域的民眾。</p> </div></div></div>
2019/3/21 12:45作者陳曉莉https://www.ithome.com.tw/news/129488
【臺灣資安大會直擊】GDPR上路一年衝擊多大？KPMG深入剖析最嚴個資規範新趨勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟最嚴格個資法《通用資料保護規則》（General Data Protection Regulation，GDPR）自去年上路後成效如何？</p> <p>歐盟執委會（European Commission）今年1月，公布了GDPR隱私法案自2018年5月25日實施8個月以來的成果，顯示民眾已提出超過9.5萬個投訴案件，並有3家業者因違反GDPR而遭到懲處。</p> <p>GDPR也規定業者，必須在發生資料外洩事件的72小時內，向當地的主管機關報告。根據英國一家名為DLA Piper的法律事務所，於今年2月公布的調查顯示，截至今年1月，主管機關所收到的資料外洩揭露件數超過5.9萬件。</p> <p>歐盟執委會指出，歐盟民眾主要投訴的三大類別為電話行銷、電子郵件行銷，以及監視器。而且通常主管機關的調查，都是起因於當事人的申訴。</p> <p>KPMG數位科技安全部門副總經理邱述琛，在今天（20日）的臺灣資安大會上，揭露了他對2019年GDPR關注重點與趨勢觀察。</p> <p>邱述琛表示，自GDPR生效後，也加速了全球隱私法規的發展。去年年底，繼美國、墨西哥、日本、加拿大、南韓與新加坡後，臺灣與澳洲同時成為APEC跨境隱私保護規則（Cross-Border Privacy Rules, CBPR）體系的成員。</p> <p>根據國發會的公告，APEC CBPR體系對企業及組織的隱私保護．是較低程度的要求。而APEC也正在力推與歐盟GDPR接軌互通。</p> <p>「未來隱私在做跨境傳輸的時候，若沒有加入聯盟作為護身符的話，一定會受到許多限制。」邱述琛觀察，各國家與區域基於保護人民，以及維持競爭優勢，透過頒布隱私保護法規，也將成為趨勢。</p> <p><span style="color:#0000FF;"><strong><span style="font-size:24px;">IoT安全防護目標與重點</span></strong></span></p> <p>「資安與隱私保護，是智慧聯網應用的重點。」邱述琛點出，IoT安全防護的重點，分為三個方向，包括裝置安全、設備上資料的安全與個人隱私安全。</p> <p>他進一步指出，裝置本身的安全，需防止裝置被用於惡意攻擊行為，企業要做好資產管理、弱點管理、存取管理與裝置安全事件監控。而設備上資料的安全，則是要確保其機密性、完整性與可用性，針對IoT裝置對於資料的收集、儲存、處理與傳遞，都得做到資料保護與資訊安全事件監控。</p> <p>邱述琛表示，像是能監測心跳、監控GPS位置的智慧手錶，就是涉及個人隱私。然而，若是在橋墩下放了測量水位的感測器，就沒有涉及個人隱私問題。</p> <p>而個人隱私安全，就是要在IoT設備處理個人識別資訊（Personally identifiable information ，PII）的安全，保護的作法包括資訊流管理、PII處理許可管理、知情決策、個資去識別化以及個資隱私洩露監控。邱述琛特別解釋知情決策，指的是使用者到底知不知道你會做這些事，以及他可不可以決定要不要做。</p> <p>邱述琛也分享了丹麥的案例，解釋知情決策。為了合規，網站會在使用者到訪網站時跳出cookie，讓使用者選擇接受或不接受，但有些網站在使用者點選不接受時，結束網站，不讓使用者繼續瀏覽或使用服務。丹麥個資保護主管機關在收到民眾的投訴後，決議這樣的作法是違反GDPR，因為迫使使用者在壓力下，做出接受的選擇。</p> <p><strong><span style="font-size:24px;"><span style="color:#0000FF;">IoT隱私防護建議</span></span></strong></p> <p>隱私防護到底要做什麼？邱述琛建議，要建立告知用戶方式，利用系統告知。而在個資處理上，他也提出控制措施的建議，包括事先確認隱私屬性與安全需求，並取得隱私資料收集的授權，以及訂定隱私資訊使用目的規範。</p> <p>而在資料流的管理，邱述琛也建議，企業要盤點個人識別資訊，並確認蒐集來的個人識別資訊與來源是正確的。</p> <p>GDPR很大的一個概念是要將資料所有權，還歸於民。「隱私保護將翻轉服務型態。」邱述琛解釋，當資料所有權在人民手上，就能以人民為主體，選擇應用、服務，以及要選擇哪些組織來提供服務。</p> <p>邱述琛個人也猜測，美國會出現聯邦隱私法，來對抗歐盟GDPR，也只有這樣才會夠力。他指出，美國參議院的一份調查報告顯示，國會應通過立法建立國家統一標準，要求收集和存儲PII的私人企業，採取合理與適當措施，以防止網路攻擊和資訊洩露。</p> <p><span style="font-size:24px;"><strong><span style="color:#0000FF;">隱私工程與SSDLC</span></strong></span></p> <p>「隱私工程是達成目標的具體方法，但得先弄清楚目標。」邱述琛表示，企業得先把風險搞清楚，也就是根據風險評估的結果，判斷去識別化的技術類型與程度。首先，要評估有哪些型態的資料、對外提供資料的方式，以及是否引發他人重新識別的意圖，他說，選擇了哪種釋出模型，會決定資料風險狀態。應該做完這些評估，才去選擇最適當的方法。</p> <p>「只要在資安上去強化隱私，就可以解決GDPR的問題，這是很多人的盲點，只運用資訊技術是不足夠的。」邱述琛強調。</p> <p>在落實隱私工程時，一定要把隱私保護納入智慧系統開發需求。首先，要做系統安全與隱私保護分析，分析完後要做威脅建模，以攻擊者角度，識別可能影響軟體系統的威脅，並進行評估。</p> <p>後續，才能執行隱私工程，以威脅特性所對應的控制方針，並依據系統特性，設計可行控制措施。接著，進行安全測試，依據系統特性與原始安全需求分析結果，以黑、白、灰箱等方法進行安全測試。到了維運狀態時，就得進行元件更新與組態強化。「這整個生命週期都要做，而且不要跳關。」他強調。</p> <p>邱述琛也提到，在專案初期的安全規畫，就要啟動營運衝擊分析與隱私衝擊評估，不能等到系統建置完成才啟動。</p> <p>「去識別化可以大幅降低GDPR合規成本，因為GDPR不管去識別化的資料。」不過，邱述琛提醒，個人識別資料去識別化後，還是會有風險，例如不同的資料集之間，可能可以進行比對，所以，企業每一年都應不斷檢查釋出的資料，是否有增加風險。</p> <p>最後，他也提到，GDPR最終的目的，是以加值應用與去識別化等互斥指標，取得最大交集，也就是企業建立競爭優勢的地方。他解釋，去識別化的程度越高，資料的運用價值就越低。「GDPR把全球的競爭拉回起跑點，誰跑得快，就是贏家。」邱述琛說。</p> </div></div></div>
2019/3/21 01:05作者李靜宜https://www.ithome.com.tw/news/129482
【臺灣資安大會直擊】IBM資安長：面對無所不在網路攻擊威脅，CISO在推動資安防護上有五大生存攻略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在活動第2天的2019臺灣資安大會上，IBM資安長Koos Lodewijkx也以自身經驗，點出當前企業資安長（CISO）推動資安防護有五大常見的錯誤招式，並且也提出攸關資安長生存的五大資安防護攻略。</p> <p>最近幾年，網路威脅帶來的資安挑戰，比以往更加嚴峻，成為所有企業想要做好資安防護的一大挑戰，Koos Lodewijkx在會中表示，網路安全（ Cyber Security ）已逐漸成為全球趨勢，許多企業資安長都想盡辦法嘗試透過運用各種資安防禦手段，強化資安防護，來防止各種可能出現的駭客網路攻擊，以保護企業的重要資產。</p> <p>Koos Lodewijkx總結過去長年在資安防禦上學到的經驗與教訓，提出資安長推動資安防護存在的5大常見錯誤，提醒資安長，應小心避免犯同樣錯誤。首先，即是資安長對於自身所處技術環境，缺乏全面認識與了解，如雲端，或容器管理服務K8s等新技術，因為無法立即掌握所有可能的資安問題，資安防護就很容易會出現缺口。其次，資安長在推動資安上，很容易會受到根深柢固的組織文化影響，這時想要改變就很難，得花很長時間，讓組織人員學習改變既有工作習慣，以合乎資安要求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20190320_131823.jpg" style="width: 600px; height: 338px;" /></p> <p>Koos Lodewijkx提到第3個常見錯誤，則是資安長多以工具性目的，來部署不同資安防禦機制，卻沒有從最終目的（end game）思考這個技術能夠用來解決何種資安威脅，以及其帶來何種資安價值。再者，雖然很多資安長在自己擅長領域的資安防護可以做到滴水不漏，可是一旦超出他們所熟悉的資安防護範疇時，就顯得力不從心，沒有辦法做到同樣的防護強度。最後，資安長總是親力親為，什麼事都要親自參與，有時也不見得是好事，如要做的資安防護項目太多，不暇顧及時，就很容易犯錯。</p> <p>另從資安防護策略來看，Koos Lodewijkx也提出了攸關資安長生存的5大資安防護攻略，讓資安長能夠在駭客猛烈發動攻勢下，依然能夠存活起身對抗，而不被這些威脅擊倒。首先，資安長必需先了解什麼是自身最重要的資產，才能用對資安防護手段。其次是洞悉自己的對手，透過情蒐先了解你的敵人攻擊動機及接下來可能的發展情勢後，幫助企業提前擬定防護策略，以便當發生資安事件時，能夠早一步反應，將損害降到最低。</p> <p>第3個生存策略，則是確保建立一個更安全且穩定可靠的資安基礎設施環境，以便能隨時監控企業內部網路的即時運作狀況，例如有無異常流量等，才能保護企業重要資產；再者，資安長平時也能經由各種資安訓練及測試來練兵，幫助資安團隊做好能夠針對各種威脅因應的準備。最後，他也指出，資安防護是打團隊戰，不是單打獨鬥，資安長必須要找到自己的盟友，不論是與各種資安社群合作，或是尋找強而有力的資安合作夥伴，聯合一起對抗網路威脅。</p> </div></div></div>
2019/3/21 02:51作者余至浩https://www.ithome.com.tw/news/129483
【臺灣資安大會直擊】防範攻擊要從駭客思維出發！HITCON GIRLS成員揭露演練工具濫用的因應對策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年來，企業防範網路攻擊的思維，已經從試圖築起牢不可破的堡壘，開始有所轉變，取而代之的是假定會遭到駭客滲透，因此更強調企業需要找出可能隱而未現的跡象。在此同時，駭客也試圖採取更隱密的方式，透過合法的工具作案－－像是利用PowerShell、常見的壓縮工具WinZip等，然而，HITCON Girls成員YCY表示，實際上，駭客還會利用防守方用來演練的公開工具，在企業內部的網路環境中，為所欲為，因此，她特別在2019臺灣資安大會第2天（3月20日）議程中，呼籲企業要防範這樣的威脅。</p> <p>YCY說，一如小偷想要闖空門，打破窗戶的方式，遠比奮力鋸開大門要來得務實，然而，大多數民眾想要保護家中的財產，卻經常會選擇安裝更難撬開的大門，或是換上更難破解的門鎖。由上述的例子，YCY指出攻擊者與防守者的思維，存在著完全不同的邏輯，因此，企業想要防範網路攻擊，勢必要從駭客的角度，換位思考，了解他們會如何發動攻擊才行。</p> <p>這也突顯近年來檢查企業環境弱點的方法，多半執行的是紅隊演練，而非以往常見的滲透測試。因為，紅隊演練是由駭客攻擊的思維出發，目的是企圖竊取企業的內部資料，涵蓋的範圍較為全面；相較之下，滲透測試著重挖掘系統的漏洞，通常僅限制在指定的範圍，並且針對特定的目標進行測試。另一方面，YCY說，知名的滲透工具Metasploit和紅隊演練工具Cobalt Strike，近2到3年來遭到濫用，駭客拿來在受害者的環境中大開後門的情況，也時有所聞。</p> <h2><strong>從攻擊鏈檢視駭客如何濫用公開工具</strong></h2> <p>那麼，我們要防範駭客的攻擊，就要從他們攻擊的流程－－攻擊鏈各個階段，加以了解、分析。大致上從探查到得手，攻擊鏈共可區分多個階段，首先是對於目標的環境調查，YCY以網路偵察框架Recon-Ng示範，便能收集到攻擊目標裡的電子郵件帳號與網域等資訊。</p> <p>Recon-Ng是一套由Python開發而成的開源網路偵察工具，能在網路環境或網站中，以主動爬行的方式，尋找人名、帳號、電子郵件信箱，還有網頁伺服器的資訊，這套網路偵察框架，也被知名的滲透測試專用的Kali Linux作業系統納為內建的套件。</p> <p>得知企業內部的狀態之後，接著駭客會準備所需的武器，然後發動攻擊。YCY利用滲透測試框架Metasploit示範，直接產生了一個含有惡意巨集的Word文件檔案，然後，交由VirusTotal檢測，約有60款防毒引擎中，有34套識別為有毒。</p> <p>因此，YCY又透過Macro_pack，針對上述產生的檔案進行程式碼混淆，處理之後的Word文件再傳送到VirusTotal分析，就只有15款防毒引擎判斷存在威脅。YCY強調，她所示範的混淆手法算是相當基本，對於駭客真實規避防毒軟體的方式，所利用的工具遠遠不僅於此，完成的武器很有可能交由VirusTotal分析之後，連一家防毒引擎都檢測不出異常。</p> <p>再者，不只產生惡意軟體極為容易，就連漏洞的概念性驗證（PoC）攻擊，YCY說，往往在漏洞遭到公開後的短短幾天就出現，因此駭客也能快速拿來開發變種病毒。</p> <h2><strong>橫向移動與攜出資料的手法，更加隱密</strong></h2> <p>攻擊成功之後，駭客會橫向移動找尋企業重要機密，並滲透內部網路環境，YCY先透過BloodHound，便能以關連圖呈現AD上的物件，而且顯示可能攻擊的途徑。但BloodHound原本開發的目的，是要使紅隊與藍隊能針對AD環境的特權帳帳，進行研究。</p> <p>YCY也提到Responder這套能用來橫向移動的軟體，駭客會利用本機多點傳送名稱解析（LLMNR）、網路基本輸入輸出系統名稱服務（NBT-NS），以及多重廣播網域名稱系統（mDNS）等協定，進行欺騙攻擊，藉由受害電腦無法解析伺服器名稱，進一步駭客電腦能收到受害電腦NTLMv2的權杖，存取這臺電腦。</p> <p>至於駭客得手後想要將企業的機密資料傳出去，YCY表示他們會利用DNS或是ICMP隧道後門，像是DNSCat2、ICMPSH等，藉此躲避企業的網路資安設施，而駭客還會利用線上的免費服務做為中繼站，YCY舉出了APT37駭客組織為例，他們曾經以AOL即時通訊軟體、Dropbox、pCloud等，回避資安人員的追查。</p> <h2><strong>重新因應威脅態勢</strong></h2> <p>針對上述的攻擊鏈分析，YCY表示，企業主要可從檔案管理和網路環境的調整，減少遭受攻擊的危險。在檔案的管理而言，YCY認為企業必須禁止使用不安全的巨集和指令碼，像是HTA、VBS等。</p> <p>而對於網路的部分，YCY認為，企業可以利用公開工具檢查網路環境，並關閉未使用到的功能（例如LLMNR），或是找出不安全的ACL設定等。此外，她也認為資安團隊應該要研究上述的公開工具，而業者也應該將其特徵碼，加入到資安環境之中。</p> </div></div></div>
2019/3/21 03:10作者周峻佑https://www.ithome.com.tw/news/129486
【臺灣資安大會直擊】趨勢研究員披露假訊息最新威脅，經濟目的造假新聞氾濫，假影片開始猖獗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">趨勢科技資深威脅架構師Fyodor Yarochkin，在2019臺灣資安大會座談中，揭</span>露<span class="s1">社交媒體中假訊息的內部運作，並更新去年的研究報告（What’s new in 2018：Fake news and social manipulations）對假新聞的分析，更以現下時事為例，說明假新聞的未來趨勢，以及對社會造成的負面影響。</span></p> <p class="p1"><span class="s1">Fyodor Yarochkin表示，真假新聞的界線模糊，可因政治立場產生不同解讀。如俄羅斯總統普丁3月18號簽署「禁止民眾散播假新聞」的法令，若因散布不實言論違反公共秩序，將被處以罰款或監禁。此舉也引起國際媒體質疑，假新聞的防範是否成為政治手段、侵害人民言論自由？</span></p> <p class="p1"><span class="s1">Fyodor Yarochkin更以委內瑞拉為例，說明假新聞為政治服務的情形。委國政府阻止一般民眾取得敏感資訊，使人民連不上特定網路，為此，Google母公司Alphabet旗下的孵化器Jigsaw去年10月底推出應用程式「Intra」，加密使用者的Android手機和DNS伺服器的連結，讓手機自動指向Google的公共DNS伺服器，人民才得以自由造訪被封鎖的網站，現今服務更已擴及全球。</span></p> <p class="p1"><span class="s1">但相較於政府對消息的封鎖，更常見的是流動於各社交群媒體中的假訊息。操作者可利用各國地下市場尋找交易平台，而地下業者常見操作方式，包括請社群網紅轉貼文章（Follows）、善用口碑或操控輿論以達成目的（Astroturfing）、創造有影響力的言論（Influencing opinion）、特定事件的推廣（News and Events promotions）、罐頭式行銷訊息（Spam and scam campaigns）等。</span></p> <p class="p1"><span class="s1">Fyodor Yarochkin也觀察，操作者會以各國受歡迎的社群媒體為平臺散播消息。如台灣人習慣使用Line、Facebook，巴西人以WhatsApp替政治人物的助選；近來更有加拿大網民發現，在美國網路流量排行第五的Reddit網站上，因華為CFO孟晚舟被加拿大政府逮捕事件，開始出現許多受中國贊助的用戶，以宣傳活動壓制任何反中國的輿論，顯示中國的酸民工廠（Troll Factory）已經入侵Reddit，試圖以煽動或挑釁的言論引起衝突。</span></p> <p class="p1"><span class="s1">除了以文字作為假消息傳播媒介，假照片與影片的傳播將更具影響力。如3月15日紐西蘭恐攻事件、槍手殺人的直播影片，據國內媒體報導，雖然Facebook在24小時內移除上傳影片超過150萬次，但相關影像仍以各種形式在網路上流傳。Fyodor Yarochkin指出，兇手真正的目的可能在於加深民族間的衝突、宣揚白人主義，惡意的行為可能因網路引起更大的負面效果，這與假新聞的傳播目的相同。</span></p> <p class="p1"><span class="s1">而為了經濟目的而產出的假新聞，數量可能又較政治性假新聞更多。Fyodor Yarochkin表示，透過假新聞炒作股票、或欺騙性的宣傳行為，會讓更多民眾受害，且操作者的獲利更高，也是各國需要嚴加防範的類型；而近期社群媒體中也出現各種網站的假聯絡資訊，如Twitter貼文發現偽造的趨勢科技電話，民眾可能因撥打錯誤客服專線尋求Tech Support，被騙錢而不自知。</span></p> <p class="p1"><span class="s1">最後，Fyodor Yarochkin也提到，雖然社群網站已經成為假新聞的溫床，但當遇到不可抗力的災難時，仍然能迅速協助救援。例如WhatsApp成功幫助印度南部的Tamil Nadu，在去年颶風Gaja侵襲後，成為資訊整合平台，使救援團隊有效率的分散救援。</span></p> </div></div></div>
2019/3/20 23:19作者翁芊儒https://www.ithome.com.tw/news/129480
【臺灣資安大會預告】臺灣資安大會3月21日大會Keynote首度提供Live Demo以及資安脫口秀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣資安大會來到第三天，3月21日（四）的大會Keynote有了新嘗試，首先，由臺灣資安新創業者奧義智慧展示資安航母自動巡航，簡單的說，就是「紅隊攻擊模擬Vs. AI藍隊自動機器人」的攻防演練。奧義智慧共同創辦人叢培侃表示，現在的資安威脅預警已經多到無法消化、更遑論分辨真假，如果有一套人工智慧系統可以協助分析哪些資安預警，可以大幅減輕資安人員的工作負擔。奧義智慧團隊將會在現場展示，獨家研發成果透過端點與行為軌跡分析技術，搭配後端人工智能推論案情，實現資安領域的 CyCraft Bot 系統，並可透過語音方式幫助蒐集各端點感知情報、優先化各種告警，能自動化調查案情找出根因，並精簡資安應變的作業與時間。只不過，奧義智慧的現場Live Demo無法直播，只有到現場才看得到的好料。</p> <p>現場Live Demo除了奧義智慧外，還有臺灣重要的SOC業者安碁資訊也在現場針對工控系統的安全性做Live Demo。安碁資訊副總經理黃瓊瑩表示，許多關鍵基礎設施，例如油、水、電、交通等都有工控系統，駭客資安攻擊都會帶來極大的營運損失，但要如何確定這些工控系統的安全防護的確到位呢？安碁資訊累積過往的經驗，打造一套工控資安系統的Testbed（測試平臺），並在資安大會的Live Demo中，展示如何藉由實際實施攻擊與漏洞挖掘並測試、驗證各種資安產品的功能性與防護性等，並且現場示範駭客是如何入侵至工控系統環境後，並取得包括PLC、SCADA、HMI等ICS設備的操控權限。這場Live Demo將會現場直播。</p> <p>第三場則由日本最大電子商務業者Amazon資安官陳浩維擔綱演出，陳浩維是臺灣出身的優秀的資安專家，輔仁大學畢業，到美國卡內基梅隆還擔任亞馬遜全球漏洞獎勵計劃兼亞馬遜日本的資安負責人，也是該公司首第一位對外招募的Incident Response Engineer，曾帶領亞馬遜資安監控中心導入數位鑑識相關技術，後加入內部菁英團隊 Attack and Research Team 參與滲透測試和協助 Red Team 的建立。他首度針對臺灣觀眾分享亞馬遜如何善用駭客思維，把白帽駭客當成自己的夥伴，共同加強資安防禦能量。這一個場次因為日本亞馬遜政策規定，也無法提供現場直播服務。</p> <p>臺灣資安大會創舉，由奧義智慧共同創辦人邱銘彰上臺講Talk Show，資安史上第一次的資安脫口秀，從企業用戶的角度和資安廠商的角度，分享資安常見的怪奇現象，希望可以獲得大家的共鳴。資安脫口秀有現場直播。</p> <p>3月21日上午9：30分開始的大會Keynote，第一場奧義智慧資安航母自動巡航展演的Live Demo不直播，第二場安碁資訊工業控制Testbed與資安攻防研究的Live Demo，則有提供直播；第三場由日本亞馬遜資安官陳浩維分享的，如何透過白帽駭客力量強化資安防禦能量的演講，不提供直播；第四場由奧義智慧創辦人邱銘彰上臺表演的資安脫口秀，則有直播。直播網址：<a href="https://www.facebook.com/ithomeonline/videos/2116840961941499/">https://www.facebook.com/ithomeonline/videos/2116840961941499/</a></p> <p>此外，3月21日（四)「由大話資安x臺灣資安大會」特別節目的訪談播出，集結不同資安專家的訪談，也有不同播出時段。</p> <p>下午1點30分，集結播出微軟全球資安技術長Diana Kelley、精品科技總經理黃文昌以及矅祥網技協理郭姿良的訪談，直播網址：<a href="https://www.facebook.com/ithomeonline/videos/560495764777089/">https://www.facebook.com/ithomeonline/videos/560495764777089/</a></p> <p>下午2點30分，將會彙集前一天重要的Keynote簡短的訪談分享，包括：資安公司Opswat創辦人兼執行長Benny Czarny、卡巴斯基實驗室威脅研究副總裁蒂莫爾•比亞庫耶夫、Polyswarm首席資安長Ben Schmidt。以及臺灣行政院副院長兼國家資安長陳其邁的訪談。直播網址：<a href="https://www.facebook.com/ithomeonline/videos/384101452414140/">https://www.facebook.com/ithomeonline/videos/384101452414140/</a></p> <p>下午3點30分，則是最後精選訪談的輪播，微軟全球資安技術長Diana Kelley、奧義智慧共同創辦人叢培侃以及趨勢科技臺灣區中大型企業業務協理楊肇謙的精采訪談。直播網址：<a href="https://www.facebook.com/ithomeonline/videos/2408473332706396/">https://www.facebook.com/ithomeonline/videos/2408473332706396/</a></p> <p> </p> </div></div></div>
2019/3/20 20:04作者黃彥棻https://www.ithome.com.tw/news/129478
【臺灣資安大會直擊】微軟靠嚴格管理存取權限、身份保護確保資訊安全，還以機器學習對抗網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">「大家覺得是開車還是搭飛機比較可怕」，微軟全球資安技術長Diana Kelley在臺灣資安大會的第二天以「20/20網路：聚焦混合雲安全性」的主題演說中，一開始便以這個問題詢問大家。</span></p> <p class="p1"><span class="s1">大多數人的答案可能是飛機，原因可能是對巨大金屬在空中飛翔的安全疑慮，但Diana認為另一個答案則是控制性，這是因為大多數人駕駛自己的車，有一定的掌控權，但是坐飛機時可能會因為缺乏掌控權，不清楚誰控制這架飛機，因而帶來恐懼。</span></p> <p class="p1"> <span class="s1">Diana表示，雖然我們不清楚飛機的駕駛者是誰，但是卻可以信賴飛機駕駛員擁有的執照，企業對雲端的資訊安全存疑，如同搭乘飛機因為無法自己控制的恐懼感，或許大家可以像信賴飛機駕駛員那樣，信任你的雲端夥伴。</span></p> <p class="p1"><span class="s1">相較於20多年前，今天的網路安全樣貌正在快速變動，許多的交易透過網路進行，網路也成為駭客攻擊的新戰場。仍有企業對雲端安全存疑，但換個角度想，雲端也對企業的資安管理帶來新的想像。</span></p> <p class="p1"><strong><span class="s1">以可控性、可視性降低企業對雲的疑慮</span></strong></p> <p class="p1">Diana表示，<span class="s1">混合雲提供各種工具，協助企業監控和管理混合雲上的資產，包括以身份為基礎的自動化監控機制提高對混合雲環境的可視性及控制性，可以更敏捷、有效地應對網路威脅，以有效率的方式找到智慧財產及敏感資料。</span></p> <p class="p1"><span class="s1">然而，企業擁抱多雲及混合雲的趨勢發展，「企業往往要面對不同的雲端服務者、多個團隊，缺乏整體的安全體驗」。她不忘舉</span>薦<span class="s1">自家的Azure，在微軟混合雲架構中，微軟以Intelligent Security Graph(下圖，來源：微軟)來建構整合性的安全體驗，支援身份安全、雲端應用及資料、雲端基礎架構、裝置的安全保護。</span></p> <p class="p1"><span class="s1"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-03-20%20%E4%B8%8B%E5%8D%888_50_00.jpg" style="width: 600px; height: 324px;" /></span></p> <p class="p1"><span class="s1">有些企業認為上雲後，安全、隱私及法遵的責任都落在雲端服務商的身上，但她認為雲端安全應是一種企業和雲端服務商在責任分擔上的夥伴關係，從企業機房、IaaS、PaaS到SaaS，責任可能是企業自己全部獨力承擔或是一部份和雲端服務供應商共同承擔。除了責任分擔外，雲端服務供應商為企業分擔基礎資源管理，讓企業可以重新規劃基礎資源的運用，同時也能以更智慧有效的方式管理資訊安全。</span></p> <p class="p1"><span class="s1">而談到資訊安全思維，Diana也順道說明了新興的Cyber Resilience思維，不同於過去資安偏向保護所有資訊，阻擋任何資安攻擊，Cyber Resilience強調企業面對攻擊，可以快速發現回應及回復。</span></p> <p class="p1"><strong><span class="s1">嚴格落實資安管控、靠機器學習技術抵擋網路攻擊</span></strong></p> <p class="p1"><span class="s1">在微軟的數位化轉型過程中，現在已有95%的工作轉到Azure，仰賴雲端的資訊安全管理保護，但是仍有剩下的工作是在微軟自己內部資料中心內執行，而為了確保內部資訊安全，Diana分享了</span><span class="s1">微軟自己的做法，針對存取權限採取嚴格管理，例如對雇用的員工嚴格執行背景調查、每年進行人員的安全訓練，使用多因素身份驗證，最小化權限存取或以時間限制存取權，每年還有一次紅隊藍隊的資安攻防演練。</span></p> <p class="p1"><span class="s1">目前微軟在全球有超過100個資料中心，蒐集全球各地安全數據，每天約有6.5兆的訊息送到Azure，由微軟Intelligent Security Graph研析出資安洞察，每個月掃描12億個裝置、分析超過4000億封電子郵件、掃描超過180億的Bing網頁，每月處理至少4500億的身份驗證等等。</span></p> <p class="p1"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-03-20%20%E4%B8%8B%E5%8D%8810_07_31.jpg" style="width: 600px; height: 317px;" /></p> <p class="p1"><span class="s1">微軟也利用多層式的機器學習模型對抗網路攻擊(下圖，微軟提供)，從最上一層的本地端機器學習模型、行為偵測演算法，逐漸往下到雲端以元資料為基礎的機器學習模型、樣本分析為基礎的機器學習模型、大數據分析等等。透過機器學習模型，在2017年10月首次發現Bad Rabbit惡意程式的14分鐘內識別出來，防止攻擊擴大。</span></p> <p class="p1"><span class="s1"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-03-20%20%E4%B8%8B%E5%8D%889_47_54.jpg" style="width: 600px; height: 233px;" /></span></p> <p class="p1"><span class="s1">在企業的資訊安全管理上，她提出了建議，包括最小權限控管及身份保護、部署網路防火牆及DDoS防護、保護靜止/傳輸/使用中的資料、開啟威脅防護，調整混合架構上的工作負載，並且持續評估、擬定政策，隨時依照合規調整內部指導策略。</span></p> </div></div></div>
2019/3/20 22:37作者蘇文彬https://www.ithome.com.tw/news/129479
【臺灣資安大會直擊】前美國國家安全局資安掌舵手Philip Quade：關鍵基礎設施正面臨危急緊迫的關頭，政府及企業須…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>臺灣最大規模的2019臺灣資安大會今日（3/2）正式邁入第2天，今天上午是由前美國最高情報單位國家安全局（NSA）的網路安全負責人，也是現任Fortinet資安長Philip Quade擔任大會上首場Keynote講者。他在會中提出警告，包含臺灣在內的亞太區，正成為關鍵基礎設施風險的溫床，若不及早防範，只會讓駭客或敵人長驅直入到自己國家的核心，造成嚴重毀滅性的打擊。</p> <p>過去30多年都在美國NSA從事情報技術開發與防禦的Philip Quade，長年協助美國國防部情報部門擬定情資戰略並為國家網路安全把關。擁有許多豐富網路安全防禦與作戰經驗的Philip Quade，不僅擔任過NSA局長網路特別助理，還是NSA網路特遣部隊的負責人，一手規畫與擬定國家網路安全方針，更曾替白宮制定國家網路戰略和政策。直到兩年前退休後，Philip Quade加入Fortinet擔任該公司資安長，不只協助該企業制定網路資安政策，更將過去多年累積的安全防禦經驗，用來協助政府及企業用戶運用於各種關鍵基礎設施的資安防護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20190320_094926.jpg" style="width: 600px; height: 338px;" /></p> <p>過去幾年，針對水力、電力、能源等民生關鍵基礎設施的網路攻擊事件頻傳，也促使各國政府將其列為首要優先處理的重大資安議題。Philip Quade就表示，企業或政府現在面臨的網路威脅和以前大不相同，駭客以往多基於金錢目的竊取企業機敏資料，現在攻擊的動機則是更加複雜許多，甚至連面對的對手攻擊方式，也和以前不同，不只是漫無目的、隨機式攻擊，更多是有著針對特定單一或複數國家或組織發動的目標式攻擊，藉此控制或癱瘓這些基礎設施，影響該國民生經濟，甚至造成經濟因此崩盤。</p> <p>Philip Quade更提出警告，現在正是危急緊迫的關頭，他呼籲，不論政府或企業都必須立刻採取行動，「確保基礎設施系統，可以提供更高可靠且具有更高安全防護措施，才能有效防止駭客攻擊」，甚至他也觀察到，亞太區正成為關鍵基礎設施風險的溫床，「尤其臺灣，因為以製造業為主，在生產線上配備許多工控OT系統或設備，一旦與IT網路相連，也很容易成為駭客攻擊的目標。</p> <p>然而，為何越來越多的關鍵基礎設施，都讓駭客可以如入無人之境，輕易取得系統的控制權呢？Philip Quade直言，這與關鍵基礎設施系統核心的OT（Operation Technology）系統有很大關係，例如SCADA監控及蒐集系統，或ICS控制系統等。他進一步說明，以往自成一個安全網路的工控OT系統，因為數位轉型浪潮，企業開始將IT與OT進行整合，以便從大量產線機臺資料蒐集做分析，提高營運與生產效率，「正因為OT網路開始連上IT網路，導致出現資安防護缺口，讓駭客有了可乘之機。」他說。</p> <p>甚至，也因為在機臺加入許多小型感測控制器，或是稱作工業IoT設備，用於蒐集或監控設備環境，但是這些裝置大多缺乏資安措施，駭客能夠輕易藉由這些裝置長驅直入進到OT系統，再由下向上感染整個基礎設施，甚至還反過來經由工控OT網路入侵企業IT網路取得資訊系統控制權。</p> <p>面對關鍵基礎設施的網路威脅，Philip Quade也提出他的因應之道，首先，在OT的安全策略上，他先將這些問題威脅分成三類，包括已知的已知威脅（known knowns）、已知的未知威脅（known unknowns），以及未知的未知威脅（unknown unknowns）。其中第一類如防毒產品上的已知惡意病毒;至於明知有攻擊但不知何時何地發生則屬第2種，最後一種，指的是這些還未曾發現過的未知風險，也是最難偵測得到。</p> <p>針對這幾類的資安風險，他也提出4種資安策略作法，像是建立能即時反應的新一代網路安全架構，以偵測更先進威脅，或是加入整合各種安全防護技術與工作流程的新機制，以及建立如軍事作戰常用的OODA Loop決策自動化機制，加快反應決策，做為持續性信任評估與立即反應。最後，第四個策略是，採用更先進威脅偵測技術或工具，如機器學習等，能經由大量惡意程式當作資料訓練，建立異常網路行為偵測的機器學習模型，來以解決更複雜網路安全問題，甚至是，這些還未曾發現過的未知的未知風險。</p> <p>在資安風險管理上，Philip Quade也提到企業可從威脅程度、漏洞大小、影響後果三個面向的風險指標，對自己的安全威脅風險程度進行分類，如低度風險、高風險，或是超高風險等，找出適合自己的緩解攻擊的最佳方案，將損害降到最低。</p> <p>另外，他也還舉了現在在OT界採用的一種風險判斷方式，就是基於後果基礎工程（ consequence based engingeering）方式，透過工程技術方式設計各種風險情境，用來判辨企業最容易受到哪類的攻擊威脅，以重點加強對這類威脅的防護及偵策能力。</p> <p>不只技術的整合，Philip Quade也同樣強調，OT人與IT人員之間的整合，他表示，人員不分網路安全、營運安全或是實體安全，都應彼此協同合作，才能以預防駭客趁虛而入。當然，他也指出，為了要達到這樣的協同作戰目的，得要有更好的IT與OT組織的管理作法。</p> <p>最後，Philip Quade也講到鞏固網路安全文化的重要性，他認為，每個國家都應有責任加以維護，建立友善的網路安全文化。他還進一步提出每個國家應遵循的三不一合的網路安全行為準則，包括，不應以經濟利益來竊取別國的機密、不能攻擊他國關鍵基礎設施、不應破壞供應鏈誠信，以及各國應就網路安全彼此合作。</p> <style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></div></div></div>
2019/3/20 17:03作者余至浩https://www.ithome.com.tw/news/129471
Fintech周報第91期：富邦人壽今年將力推保險科技，還要整合數位足跡追蹤保戶消費習慣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">03/16-03/22</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 富邦人壽 </span> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 保險科技</span></strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">富邦人壽今年將力推保險科技，還要整合數位足跡追蹤保戶消費習慣</span></strong><br /><span style="vertical-align: top; font-size: 18.6667px;">富邦人壽在3月18日表示，隨著消費者行為的轉變，以及消費習慣的養成，網路投保勢必成為趨勢，加上主管機關逐步開放保險法令，他們也將持續發展多元化的保險商品，並以電子商務模式，讓消費者在一站式的介面購買保險， 2019年將持續導入保險科技（Insurtech），優化顧客在網路投保的體驗。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">另外，富邦人壽也會整合使用者在線上的數位足跡，進行大數據的比對與分析，來掌握網路投保保戶的消費習慣。根據金管會先前公布的2018全年網路投保情況，壽險業網路投保合計投保保費收入達18.95億元，其中，富邦人壽去年以6.64億元居冠。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 信任</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">資安大師Bruce Schneier大批區塊鏈沒那麼值得信任，以太坊與萊特幣創辦人親自回應</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Vitalik%20%26%20Charlie_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%94%9D%E5%BD%B1%E6%9D%8E%E9%9D%9C%E5%AE%9C.JPG" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">國際知名資安大師Bruce Schneier在其部落格發表一篇專欄，以安全與信任的角度，質疑區塊鏈技術帶來的價值。他提到，區塊鏈要把對人與機構的信任，轉移到對技術的信任。但驗證與信任，是兩碼子事。加密貨幣交易所遭駭時有耳聞，Bruce Schneier認為，當區塊鏈沒那麼安全時，還是得回歸到傳統的信任機制。且區塊鏈並不能消除人們對中心化機構信任的需要，人們仍需掌控事物，並在區塊鏈系統以外進行治理。他更指出，任何區塊鏈系統，都須與其他傳統的系統共生共存。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">對此，以太坊創辦人Vitalik Buterin，以及萊特幣創辦人Charlie Lee在一場論壇中，回應了他們的觀點。Vitalik表示，區塊鏈基本上可解決部分信任問題，不過，一旦應用與實際世界的環境有相關時，區塊鏈是有它的限制或障礙存在，比如區塊鏈不會知道臺灣現在的幣值、溫度或其他實體環境中的事情，所以要看應用範圍而定。Charlie則認同Bruce Schneier的看法，他表示有些區塊鏈以外的資訊，的確需要由中心化系統，來輸入真實數據到區塊鏈上，到後來還是得相信中心化機構，確保資料的真實性。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 王道銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 大數據貼標</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">王道銀行用戶破26萬人，開始靠大數據貼標強化產品推薦</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E7%8E%8B%E9%81%93%E9%8A%80%E8%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%94%9D%E5%BD%B1%E6%9D%8E%E9%9D%9C%E5%AE%9C.JPG" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">全臺第一家數位銀行王道銀行最近揭露2年營運成果，目前已突破26萬用戶，在全臺數位銀行的市占率約3成。該公司董事長駱錦明表示，過去2年王道投資了20億元在軟體與硬體，以及招募數位人才，他的目標是今年營收增加5成。王道銀行數據經營部資深協理劉美美更揭露，王道從2018年中開始進行大數據貼標，數據來源包括客戶內部交易、數位通路、社群與客服的資料，不論是結構化或非結構化資料都能涵蓋。她指出，客戶貼標後，就像建立了Customer DNA，讓王道可以推薦適合客戶的金融產品或服務。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 樂天 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 點數</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">樂天市場擴大在臺生態系布局，臺日樂天點數下半年將可雙向轉換</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">台灣樂天市場宣布，臺日樂天市場的超級點數今年將可以雙向跨境交換，讓日本樂天超級點數可轉換在臺灣使用，強化兩地樂天生態圈，台灣樂天市場執行長羅雅薰透露，新的交換機制有望在今年下半年，正式上線，並會推出一個新的點數轉換介面。點數跨境交換更強化了O2O臺日生態圈，用戶兌換到的日本樂天點數，除了可用於線上的日本樂天自營服務，也可用於日本當地線下的實體店家，羅雅薰表示，目前已有超過120萬個通路據點可使用。等到臺日樂天點數實現雙向交換後，用戶在日本消費所累積的點數，也可轉換回臺使用，代表日本逾120萬個實體通路的影響力，將伸入臺灣。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">樂天發展點數機制不單只是為了提供客戶優惠，而是要累積點數背後的客戶行為資料，進而運用於設計種子型行銷策略。舉例來說，透過點數，樂天追蹤了用戶的消費習慣，以提供用戶個人化的樂天服務推薦，羅雅薰分享了一個樂天內部的調查數據，會員每多使用一個樂天服務，他的年貢獻就會增長2.5倍，她更進一步表示，樂天點數創造了縱向循環。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> ioeX </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈電視</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">新創ioeX與QUUBE合作開發具區塊鏈功能的電視，用戶可收看特定節目獲取獎勵</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_ioeX_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_ioeX.jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣區塊鏈新創ioeX宣布與QUUBE聯手打造的區塊鏈電視（QuuMoney TV），預計搭載在日本電視品牌JVC的智能電視產品上，2019年下半年將正式推出。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">QuuMoney TV是採用Android TV Platform (Android 9.0) 運行的智能電視功能平臺，提供多項去中心化、點對點直連通訊的應用功能。觀眾可以藉由收看特定節目，來獲取獎勵，也就是QUUBE 發行的代幣Quu幣，而使用ioeX組網功能產生貢獻度時，還可獲得IOEX獎勵。用戶可利用Quu幣購買QUUBE的服務，比如觀看電影、折抵網路電視平臺月費等，未來也可到數位資產交易所兌換其他數位貨幣。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> PoS機 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 信用卡號</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">PoS惡意程式鎖定中小企業，潛藏至少4年</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">安全研究人員近日發現一隻終端機（PoS）的惡意程式，專門攻擊中小企業竊取信用卡資料，且至少已經流傳了4年之久。安全廠商Flashpoint近日發現到一隻名為DMSniff的惡意程式，已衍生出11隻變種，認為在此之前它可能最少從2016年就被大量用來攻擊餐廳、電影院等IT預算不豐，多數仍使用老舊及不被支援的系統，又有頻繁的信用卡交易休閒娛樂業，但直到最近才被發現。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">根據分析，DMSniff是藉由暴力破解SSH連線或掃瞄漏洞後加以開採，而植入這些企業的PoS機器中。之後它會持續觀察PoS機的交易，發現「目標」即開始爬梳終端機的記憶體，以尋找該筆資料的信用卡號。之後它會將這些資料連同周遭記憶體打包後，再傳送給外部C&C伺服器。此外，它還具有字串編碼（string-encoding）能力以躲避偵測。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Cosmos </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">定位為區塊鏈中樞的Cosmos Hub問世了</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">備受區塊鏈產業期待、定位為各種區塊鏈中樞的Cosmos Hub正式問世了。Cosmos Hub是全球首個基於權益證明（PoS）的公共拜占庭容錯（BFT）區塊鏈，它有3個階段性任務，先求網路穩定性，繼之支援交易，最終將允許跨鏈通訊。Cosmos網路專案是由瑞士非營利機構Interchain基金會委由Tendermint公司所建立的分散式網路，它由許多獨立且平行的區塊鏈所組成，每個區塊鏈都採用BFT協定，彼此間可透過共享的中樞互動，目標是建立一個區塊鏈網路，亦發行了自家的加密貨幣Atom。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Cosmos立志要解決區塊鏈在可用性、可擴展性及互動性上的問題。Cosmos Hub的任務則要藉高度可用性與安全性的驗證器，來強制執行區塊鏈的互動規則，以協調Cosmos區塊鏈網路萌芽時期的生態體系。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">圖片來源：</span>ioeX <span style="vertical-align: top; font-size: 14pt;">；攝影／</span>李靜宜</p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">責任編輯／李靜宜</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1. </strong><strong>全國商總區塊鏈應用及發展研究所推教育工作坊，欲培養國內區塊鏈人才</strong><strong style="font-size: 14pt; vertical-align: top;"><strong>　</strong></strong><br /><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;"><strong style="vertical-align: top; font-size: 14pt;">2. </strong></strong></strong><strong>實名制區塊鏈Maxonrow落地臺灣，先與師大亞洲流行音樂數位科技研究中心簽署合作協議</strong><br /><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;">資料來源：iThome整理，2019年3月</strong></strong></p> </div></div></div>
2019/3/20 17:15作者李靜宜https://www.ithome.com.tw/news/129434
Microsoft Teams用戶數超過50萬家，微軟以8項新功能慶賀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/microsoft-365/blog/2019/03/19/microsoft-teams-experiences-intelligent-workplace/" target="_blank">微軟於本周宣布</a>，旗下的Microsoft Teams團隊協作工具已被全球逾50萬家組織所採納，而且連續兩年奪下Enterprise Connect活動的「年度最佳大賞」（Best of Enterprise Connect ），微軟並趁勢發表了8項Microsoft Teams新功能。</p> <p>於2017年3月問世的Microsoft Teams允許組織的員工透過聊天、會議或通話等形式交流，它除了已直接整合在Office 365的各種應用中以外，也能整合到其它第三方應用。</p> <p>在短短的兩年內，全球已有超過50萬家組織採用了Microsoft Teams，包括Fortune 100中的91家，並有150家擁有1萬名以上的使用者，現今Microsoft Teams已支援全球181個市場的44種語言。IT社群Spiceworks去年的調查即顯示，Microsoft Teams已是全球最受歡迎的協作聊天程式，以21%的市佔率擊敗Slack的15%。</p> <p>微軟也發表了即將在今年推出或已邁入預覽階段的Microsoft Teams新功能，包括客製化背景、內容攝影機、數位白板、即時標題與字幕、私人頻道、資訊疆界、資料遺失預防政策，以及實況活動等。</p> <p>其中，客製化背景允許用戶以企業的商標或辦公室環境作為會議或視訊背景。另也將在會議室系統Microsoft Teams Rooms中支援額外的攝影機，只要利用任何的USB攝影機就能捕獲白板上的內容，再透過微軟所開發的智慧捕獲能力縮放或強調白板上的內容。</p> <p>Microsoft Teams Rooms也即將支援微軟的Whiteboard數位白板。</p> <p>為了解決Microsoft Teams的與會人員可能有聽力上的問題，或有一方在吵雜的環境中參加會議，微軟準備在Microsoft Teams提供即時字幕功能，首個語言版本將是英文。</p> <p>正在測試中的私人頻道能夠限制可看到該頻道內容的團隊成員，以用來討論或傳送不適合公開釋出的內容。微軟說，這是用戶最想要的功能之一，目前微軟已於內部及與特定客戶展開測試，預計於今年上線。</p> <p>資訊疆界則可限制Microsoft Teams成員的交流與協作對象，以迴避組織內部的利益衝突。資料遺失預防（Data Loss Prevention，DLP）政策允許管理人員偵測及監控聊天室與頻道中的對話，避免機密資訊外流，目前已現身於支援Office 365 Advanced Compliance的Office 365及Microsoft 365方案中。</p> <p>已經上線的Microsoft 365實況活動功能讓任何人都能建立即時或隨選的活動，以與員工、客戶或合作夥伴交流，最多可容納1萬名觀眾，此一功能同時相容於Teams、Stream與Yammer。</p> </div></div></div>
2019/3/20 17:23作者陳曉莉https://www.ithome.com.tw/news/129473
Instagram推出結帳服務，讓消費者直接在IG購買商品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到年輕族群青睞的照片分享平台<a href="https://instagram-press.com/blog/2019/03/19/instagram-checkout/" target="_blank">Instagram（IG）於本周發表了全新的購物服務Checkout</a>，當使用者在IG上看到各家品牌所發表的產品時，只要在產品頁面上點選「結帳」（Checkout on Instagram），就能在IG上完成購買的程序，而不必再像過去一樣必須連結至商家網頁進行結帳。</p> <p>各家品牌業者經常透過IG展示最新商品，直接於IG程式中提供購買服務可望提高消費者的購買率。當點選「結帳」之後，消費者可再選擇尺寸、顏色，若是第一次購買則必須輸入消費者的姓名、電子郵件、帳單資訊與遞送地址，之後IG即會儲存這些資訊以方便消費者下次購物。而消費者也能直接於IG中接到出貨或遞送通知。</p> <p>目前該服務僅在美國試行，現有逾20家業者參與IG的封閉測試，包括Adidas、Nike、Burberry、MAC Cosmetics、Prada與Zara等。</p> </div></div></div>
2019/3/20 15:58作者陳曉莉https://www.ithome.com.tw/news/129468
卡巴斯基在俄控告蘋果App Store以不公平規則排擠對手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼Spotify後，<a href="https://www.kaspersky.com/blog/apple-fas-complaint/26017/" target="_blank">安全廠商卡巴斯基周二也宣佈</a>在俄羅斯控告蘋果利用App Store不公平手段限制對手發展類似的產品功能，以便為自己的家長控管軟體護航。</p> <p>卡巴斯基表示去年接到蘋果通知說他們的iOS 版Kaspersky Safe Kids app違反了App Store的app管理政策2.5.1條款，要求移除其中兩項功能。蘋果指Kaspersky Safe Kids app的組態資料檔違反App Store政策，因此必須移除app控制及Safari瀏覽器內容封鎖兩項功能，以便通過蘋果的審查。</p> <p>第一項功能是讓家長根據App Store年齡限制，指定哪些app孩童不可以執行。第二項則可隱私iOS裝置上的所有瀏覽器，讓孩童只能利用該app內建的安全瀏覽器上網，以避免接觸到不安全的內容。</p> <p>除了卡巴斯基外，其他提供家長控制的app AdGuard和Kidslox也有類似遭遇，前者最近被從App Store下架，後者則是無法提供更新版。卡巴斯基指出，它的Kaspersky Safe Kids app代管於App Store上，推出近三年來完全符合平台所有規定，因此忽然發生變化相當耐人尋味。他們認為這極可能和蘋果於iOS 12加入了Screen Time功能有關，它讓使用者得以監控他們對特定app或網站的使用時間，進而設定時間限制，基本上就是一個家長控管功能。</p> <p>卡巴斯基認為蘋果正在利用其作為iOS app唯一平台擁有者及監督者的特權，以限制性規則對其他家長控管app開發商造成不公平競爭。如此一來，競爭者將流失使用者、導致收入下滑，更重要的是使用者可能因未能使用重要安全功能而受害。</p> <p>卡巴斯基指出，蘋果作為唯一通道的擁有者透過自定規則，將霸權擴大到鄰近其他市場，也就是蘋果才剛涉足的家長控管軟體領域，該公司相信蘋果對其軟體豎立起經營障礙及實行歧視性作法，這行為已經違反了反托拉斯法。卡巴斯基數度和蘋果溝通解決，卻沒有獲得回應，因而決定向俄羅斯的反壟斷主管機關Federal Antimonopoly Service提出控訴。</p> <p><a href="https://www.ithome.com.tw/news/114797" target="_blank">2017年卡巴斯基</a>也曾因為Windows 10搭載微軟自家防毒軟體，又對其搞小動作而在歐盟及德國控告微軟。<a href="https://www.ithome.com.tw/news/116188" target="_blank">二個月後微軟讓步</a>，卡巴斯基最後撤告。</p> <p>這項官司也是近來第二家業者控告蘋果App Store排擠對手。<a href="https://www.ithome.com.tw/news/129325" target="_blank">英國串流音樂平台Spotify也向歐盟控告</a>App Store收取蘋果稅，並以不公平的管理手段限制其對手的功能更新或業務行為。</p> </div></div></div>
2019/3/20 16:21作者陳曉莉https://www.ithome.com.tw/news/129469
蘋果更新iMac產品線，效能是前一代的兩倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2019/03/imac-gets-a-2x-performance-boost/" target="_blank">蘋果更新了一體成型的</a><a href="https://www.apple.com/newsroom/2019/03/imac-gets-a-2x-performance-boost/" target="_blank">iMac</a><a href="https://www.apple.com/newsroom/2019/03/imac-gets-a-2x-performance-boost/" target="_blank">桌上型電腦產品線</a>，新一代的21.5吋iMac採用了6核心的英特爾第8代處理器，效能比前一代快上60%，27吋iMac則搭載6核心或8核心的英特爾第9代處理器，效能最高可達前一代的2.4倍。</p> <p>此外，不管是21.5吋或27吋的iMac皆搭載了AMD的Radeon Pro Vega繪圖處理器，在21.5吋的iMac上最多可提高80%的繪圖效能，27吋iMac也能提升50%的繪圖效能，可支援3D內容開發、具複雜效果的影片編輯，或是高解析度的遊戲設計等應用。</p> <p>21.5吋的iMac配備Retina 4K螢幕，依照處理器與硬碟規格不同而有1,299美元及1,499美元兩種售價，台灣售價分別為41,900元新台幣與47,900元新台幣。</p> <p>27吋iMac全都配備Retina 5K螢幕，根據處理器、Turbo Boost及儲存空間的不同則有1,799美元、1,999美元及2,299美元3種售價，台灣售價分別為57,900元、63,900元及72,900元新台幣。</p> <p>新一代iMac即將於下周上架，台灣蘋果官網的售價雖已出爐，但尚未開放訂購，也未公布出貨時程。</p> <p>此次蘋果並未更新入門款的iMac，21.5吋的入門款是iMac家族中唯一未採用Retina螢幕的版本，且配備較舊的英特爾第7代雙核心處理器，但售價也相對親民，維持1,099美元的售價，台灣售價則是35,900元新台幣，且即日可出貨。</p> </div></div></div>
2019/3/20 16:51作者陳曉莉https://www.ithome.com.tw/news/129470
Google踩進遊戲市場，可支援各種螢幕的遊戲串流平台Stadia今年問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於本周舉行的遊戲開發者大會（Game Developers Conference）上展示了遊戲串流平台<a href="https://www.blog.google/products/stadia/stadia-a-new-way-to-play/" target="_blank">Stadia</a>，宣稱將把遊戲機品質的遊戲送到Chrome/Android裝置及電視上，且預計今年就會先行在美國、加拿大、英國與其它歐洲國家推出。</p> <p><a href="https://9to5google.com/2019/03/19/google-stadia-announced/" target="_blank">Stadia</a>奠基在Google的資料中心與網路架構上，它能立即將遊戲傳送到電視、筆電、桌上型電腦、平板電腦或是手機上，目標是可遞送具4K解析度、每秒60個高動態範圍（HDR）畫面與環繞音效等高品質的遊戲，宣稱可擺脫傳統遊戲機與個人電腦在資源上的限制。</p> <p>負責Stadia的Google副總裁Phil Harrison表示，Stadia將讓開發人員可利用幾乎無窮盡的資源來打造他們夢想中的遊戲，它是一個集結伺服器等級GPU、CPU、記憶體與儲存能力的硬體堆疊，若再加上Google的資料中心架構，Stadia的發展速度將能跟上遊戲創作者的想像力。</p> <p>此外，Stadia還能跟YouTube等Google服務整合，例如當玩家在YouTube上觀賞《刺客教條：奧德賽》（Assassin's Creed Odyssey）遊戲時，只要按下「馬上玩」（play now）按鍵，幾秒內就能進入遊戲，完全不需下載或安裝。</p> <p>Google也替Stadia設計了專用的遊戲控制器，該控制器可透過Wi-Fi連結Google資料中心，控制器上有可捕捉、儲存及分享遊戲畫面的按鍵，亦內建Google Assistant與麥克風。</p> <p>Google已經寄出逾100組Stadia開發硬體予全球的遊戲工作室，相關硬體搭載2.7GHz處理器與16GB記憶體，運算效能為10.7 teraflops，高於Xbox One X的6.0 teraflops或PS4 Pro的4.2 teraflops。</p> </div></div></div>
2019/3/20 12:45作者陳曉莉https://www.ithome.com.tw/news/129466
iThome 2019年CIO大調查（上）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/911-39-feng_mian_gu_shi_-1_open-960x420.jpg?itok=RXgks6d-" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>超過7成企業持續展開數位轉型，也帶動IT預算從2017年的低潮，開始爬升，今年是連續第二年的預算正成長，而且IT投資成長率達到兩位數的10.5％，與2016年相當。資安、IT穩定和提升營運效率是CIO今年最重要的三大目標</p> </div></div></div>
2019/3/20 12:00未署名https://www.ithome.com.tw/article/129350
Cloudflare開源能夠檢測HTTPS攔截的函式庫MITMEngine
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cloudflare.com/monsters-in-the-middleboxes/amp/?__twitter_impression=true">Cloudflare釋出新資安檢測工具</a>，方便網站檢查TLS連線是否遭到攔截，檢測易受攻擊的用戶端，並在安全性受威脅或是降級時通知他們。新工具為檢測HTTPS攔截（HTTPS interception）的開源函式庫<a href="https://github.com/cloudflare/mitmengine">MITMEngine</a>，以及Cloudflare使用MITMEngine打造，用來監控自家網路，顯示HTTPS攔截統計資料的儀表板<a href="https://malcolm.cloudflare.com/">MALCOLM</a>。</p> <p>在最單純的HTTPS連接情況下，客戶端瀏覽器和伺服器建立TLS連接，以發送請求和下載內容，但在網際網路上，許多連接並非直接從瀏覽器連線到網站的伺服器，而是經過許多中介，這些中介可能出於惡意或是良善的目的進行HTTPS攔截。</p> <p><a href="https://jhalderm.com/pub/papers/interception-ndss17.pdf">Cloudflare引用了2017年的研究指出</a>，HTTPS攔截在網際網路上普遍發生，而且62％的流量經過中介後安全性下降，因此現在Cloudflare提供HTTPS攔截偵測工具，讓使用者知道網站連線是否遭到攔截。Cloudflare提到，檢測HTTPS攔截可以幫助伺服器辨識，可疑或是易受攻擊的客戶端，伺服器可以使用這些資訊，通知用戶他們的連線可能遭到降級或是存在風險。</p> <p>另外，內容檢查系統也會削弱TLS連接的安全性，當使用者的連線通過較舊的中介，則其連線就可能被降級使用較舊的TLS版本，這樣即便在瀏覽器端跟伺服器端都支援較新版本，但當伺服器端無從得知連線遭HTTPS攔截，就無法使用較新TLS版本的功能。</p> <p>Cloudflare釋出的MITMEngine工具，能夠精確的偵測HTTPS攔截，還具有強健的TLS指紋辨識能力。Cloudflare提到。不少TLS客戶端實作能被以唯一客戶端Hello訊息辨識，因此要辨識遭到截獲的HTTPS請求，伺服器可以查詢與請求的HTTP用戶代理相對應簽章，並檢查客戶端Hello訊息與該簽章是否相符，簽章不符就表示可以能是欺騙代理或是遭攔截的HTTPS。</p> <p>MITMEngine是一個開源的HTTPS攔截偵測器，為Go語言撰寫的函式庫，可用取得用戶代理和TLS客戶端的指紋，並回傳HTTPS攔截的可能性，以及用於識別攔截的要素。透過比較資料的差異，MITMEngine能夠精確地偵測HTTPS攔截，還能判斷攔截的時間以及可能使用的軟體。</p> <p>另一個可供大眾存取的儀表板工具MALCOLM，則顯示使用MITMEngine收集的HTTPS攔截統計資料，而這些資料來自Cloudflare的網路，Cloudflare將MITMEngine應用在他們的網路上，觀察網路請求的HTTPS攔截。</p> <p>Cloudflare表示，他們使用MITMEngine和MALCOLM兩個工具，能夠持續追蹤超過網際網路10％流量的HTTPS攔截狀態，以作為部署新的安全功能或是協定上的參考，也能密切關注可疑軟體。</p> </div></div></div>
2019/3/20 12:20作者李建興https://www.ithome.com.tw/news/129455
Firefox 66可為自動播放的影片內容消音、支援Windows Hello
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla即將<a href="https://blog.mozilla.org/blog/2019/03/19/todays-firefox-aims-to-reduce-your-online-annoyances/#block-autoplay" target="_blank">釋出最新版瀏覽器Firefox 66版</a>，新增自動播放聲音的網頁影片消音、減少廣告下載導致網頁內容跳動、允許跨頁籤搜尋與隱私搜尋、支援Windows Hello等功能。</p> <p>Firefox 66最大的改進是加入Block Autoplay的功能，防止網頁自動播放有聲影片。Block Autoplay可以偵測網頁中自動播放出有聲音的影片，並使之暫停播放，使用者如果想看影片，必須按下播放鍵。但如果網頁自動播放的是無聲音的影片，這項功能就不會啟動。使用者可<a href="https://www.mozilla.org/en-US/firefox/66.0/releasenotes/" target="_blank">在此下載最新版Firefox</a>。</p> <p>使用者設定白名單就能使網站免於Block Autoplay的封鎖。若是Netflix、Hulu或YouTube等允許持續播放影片的網站，也必須將網站加入白名單中。使用者只要按下網址列上內含小寫英文字母i的圈圈，即可找到「白名單（Permission）」，按下下拉式選單的「允許」即可。</p> <p>Google Chrome於去年的66版即已<a href="https://www.ithome.com.tw/news/122019" target="_blank">加入自動為影片消音的功能</a>，但是較不完整。Chrome預設是允許播放1000多個網站的影音，其他的才會封鎖。如果想全部封鎖，則必須在網址列輸入chrome://flags/#autoplay-policy找到自動播放設定，再將設定值改成「Document user activation is required」。</p> <p>此外，過去由於網頁的圖片及廣告下載較慢，會在這些物件下載同時造成先載入文字上下跳動，讓用戶正在看的內容跑掉。Firefox 66將加入瀏覽錨點，使網頁文字固定，不再被廣告及圖片打斷閱讀。</p> <p>最後，Firefox還強化二項搜尋功能。一為跨頁籤搜尋，Firefox 66加入tab overflow menu，按下用於新開頁籤的「+」號右邊向下箭頭，即可讓使用者跨頁籤搜尋網頁上的特定文字，不需再逐一搜尋。第二為隱私搜尋；針對有些用戶不希望搜尋關鍵字被搜尋引擎記錄下來，最新版Firefox中，啟動「隱私瀏覽Private Browsing」時開新頁籤時會看到有預設搜尋引擎（如Google、Bing、DuckDuckGo、eBay、Wikipedia、Twitter）的搜尋列。用戶可到「偏好設定」、「搜尋」中設定「預設搜尋引擎」。</p> <p>Firefox 66其他新增功能包括更清楚顯示網頁安全憑證的警告、改善擴充程式設定儲存的方式以加速網頁載入。最後，在Windows 10版中，Firefox也將支援微軟Windows Hello生物辨識功能。在Windows 10 19H1釋出後，Firefox用戶就可以以非密碼的指紋、臉部辨識或剛剛成為<a href="https://www.ithome.com.tw/news/129100" target="_blank">業界標準WebAuthn的FIDO 2硬體安全金鑰</a>來完成身份驗證。</p> </div></div></div>
2019/3/20 12:25作者林妍溱https://www.ithome.com.tw/news/129464
Windows 7、8防毒程式更新導致大規模當機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟自家的防毒及防惡意程式軟體疑似病毒定義檔升級出包，造成包括Windows 7、8電腦及少數Windows 伺服器上的Windows Defender Antivirus、Endpoint Protection及Microsoft Security Essentials當機。</p> <p>本周陸續有用戶在<a href="https://social.technet.microsoft.com/Forums/en-US/18ab60a3-3b26-4a07-b68d-84085ce66ce5/scep-crashing-pcs" target="_blank">微軟Technet論壇</a>、<a href="https://www.reddit.com/r/windows/comments/b2vfpy/security_essentials_error_code_0x800106ba/" target="_blank">Reddit</a>上反映，他們系統上的微軟防毒軟體升級後傳出當機災情，並顯示0x800106ba的錯誤代碼，理由是一個過濾的驅動程式意外被遺漏。根據<a href="https://www.bleepingcomputer.com/news/security/microsoft-antimalware-crashing-with-error-0x800106ba-on-windows-7-and-8/" target="_blank">BleepingComputer報導</a>，受影響的系統包括Windows 7、8，以及 Windows Server 2003、2008 與2012等。唯Windows 10不受影響。</p> <p>這些用戶共同特徵是為其微軟安全軟體<a href="https://www.microsoft.com/en-us/wdsi/definitions/antimalware-definition-release-notes?RequestVersion=1.289.1521.0&Release=Released&Package=AM" target="_blank">升級病毒及間諜程式特徵定義檔1.289.1521.0版本</a>。微軟證實各地都有用戶反映本情況，但強調問題僅限於Windows 7及Server 2008。微軟承諾儘量在幾小時內釋出<a href="https://www.microsoft.com/en-us/wdsi/definitions/antimalware-definition-release-notes?RequestVersion=1.289.1573.0&Release=Released&Package=AM" target="_blank">1.289.1573.0版本的病毒加間諜程式定義檔</a>。</p> <p>在解決問題的定義檔釋出前，使用者可以按微軟<a href="https://social.technet.microsoft.com/Forums/forefront/en-US/330eab2e-651d-4023-98c4-e5b2a949fb42/revert-an-endpoint-2012-definition-update?forum=FCSNext" target="_blank">說明</a>回覆舊版定義檔，並關閉更新功能以封鎖有問題的定義檔案。</p> </div></div></div>
2019/3/20 12:35作者林妍溱https://www.ithome.com.tw/news/129465
2019臺灣資安大會直擊
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/zi_an_da_hui_zhuan_ti_zhu_tu_.jpg?itok=uP2AkLCA" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>進入第五年的臺灣資安大會，超過8000人報名，參加者來自20多國，2800家企業、450位資安長、資訊長與會，蔡英文總統更親自站台支持國內資安產業，超過80家全球資安品牌，展示最新資安防禦技術，這也是亞洲地區最受注目的資安會議，臺灣資安館更有33家國產資安業者大秀實力</p> </div></div></div>
2019/3/20 11:46作者王宏仁https://www.ithome.com.tw/article/129461
Google開源C/C++函式庫沙盒專案Sandboxed API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2019/03/open-sourcing-sandboxed-api.html">Google對外開源了Sandboxed API專案</a>，Sandboxed API能夠自動為C/C++函式庫產生沙盒，在熱門軟體函式庫產生可重用且安全的功能實作，以保護剩餘軟體基礎設施。Google還創建核心沙盒子專案Sandbox2，提供低階沙盒原語，可以單獨使用於隔離任意Linux程序。</p> <p>由於許多軟體處理外部產生的資料，像是將用戶的圖片轉檔，或甚至執行使用者產生的程式碼，過程通常存在不少的風險，而且<span style="white-space:pre"> </span>Google提到，當處理這些外部資料的函式庫太過複雜時，就有機會出現特定類型的安全漏洞，像是記憶體破壞臭蟲或是解析邏輯相關的問題。</p> <p>因此開發者為了預防問題發生，會使用沙盒技術來隔離這些軟體，以確保解析外部資料的程式碼，只能存取必要的資源，即便在最糟的情況下，駭客取得遠端攻擊控制權時，沙盒技術還是能包住他們，保護其他軟體基礎設施。沙盒除了需要能有效抵禦攻擊保護作業系統外，還必須要易於開發人員使用，然而某些沙盒解決方案，卻要求使用者花時間為每個專案重新定義安全邊界。</p> <p>為此Google發表了簡單好用的Sandboxed API專案，講求沙盒化一次就能重複使用。Sandboxed API是針對C語言撰寫的軟體函式庫實作，以高階觀點來說，Sandboxed API把沙箱化的函式庫，以及其呼叫者（Caller）分為兩個獨立的作業系統程序，主機二進位檔案以及沙盒。實際上函式庫呼叫則是由主機端API物件編組（Marshalling），並透過中介程序傳送至沙盒，在沙盒中由RPC stub解編並轉送呼叫到原始函式庫。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/sapi-overview.png" style="width: 500px;" /></p> <p>API物件以及RPC stub都由Sandboxed API專案本身提供，前者由介面產生器自動產生，使用者只需要提供沙盒策略，允許低層函式庫進行一系列系統呼叫，並同時準備好供存取和使用的資源。以Sandboxed API沙盒化的函式庫，將可以簡單地被重複使用在其他專案中。</p> <p>在Google中，不少團隊已經大量使用Sandboxed API和Sandbox2，由於目前只支援Linux，Google正在研究Unix的系統如FreeBSD、OpenBSD和macOS支援的可能性。而Google提到，Windows的移植是更大的工程，需要完成更多基礎工作。</p> <p>他們也在思考新的沙盒技術，由於隨著硬體虛擬化普及，把程式碼限制在沙盒虛擬機器，開啟了更多應用的可能性。另外，Google在設法改善建置系統，由於Sandboxed API現在正在使用Bazel建置所有內容包含相依檔案，而CMake顯然是更為友善的選項，因此更換建置系統為Google的優先工作之一。</p> </div></div></div>
2019/3/20 11:54作者李建興https://www.ithome.com.tw/news/129450
Nvidia推出鎖定開發者及自造者的AI電腦，售價99美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繪圖晶片大廠Nvidia於本周<a href="https://nvidianews.nvidia.com/news/nvidia-announces-jetson-nano-99-tiny-yet-mighty-nvidia-cuda-x-ai-computer-that-runs-all-ai-models" target="_blank">發表</a>了鎖定嵌入式裝置開發者、研究人員、自造者（DIY Maker）及學生的迷你AI電腦：Jetson Nano，售價為99美元，以協助開發人員打造具備人工智慧能力的裝置，另也推出可支援商業應用的Jetson Nano模組，售價為129美元。</p> <p><a href="https://devblogs.nvidia.com/jetson-nano-ai-computing/">Jetson Nano</a>搭載了64位元的4核心ARM CPU，以及128核心的Nvidia GPU，並內建4GB的LPDDR4記憶體，尺寸為80x100mm，有4個USB 3.0傳輸埠、1個MIPI CSI-2相機連接埠、HDMI 2.0連接埠、DisplayPort 1.3連接埠、Gigabit Ethernet傳輸埠、M.2 Key-E模組、MicroSD插槽與40接腳的GPIO，且可支援完整的桌面版Linux。</p> <p>它能用來執行各種熱門的機器學習框架，涵蓋TensorFlow、PyTorch、Caffe/Caffe2、 Keras及MXNet等，藉由導入諸如影像辨識、物件偵測、定位、姿勢估計、語義切割、影片強化或智慧分析等能力來打造自動化機器與複雜的AI系統，包括行動機器人、無人機、數位助理或自動化裝置等。即日起開放購買，使用者可透過經銷售或各家自造者網站購得。</p> <p>Nvidia自主機器總經理Deepu Talla表示，Jetson Nano使得大家更容易存取AI的能力，而且它的底層架構與軟體與美國國家級的超級電腦一致，可望帶來更多的創新，激勵人們打造下一波的偉大事物。</p> <p>相較之下，Jetson Nano Module則是個體積更小的模組，只有45x70mm，它具備處理器、記憶體、電源管理電話，內建16GB的eMMC儲存空間，允許開發人員直接將它整合到生產系統上，售價為129美元，預計於明年6月出貨，最小訂購量為1,000個。</p> <p>除了Nvidia之外，市場上已有其它業者推出強調AI的入門級運算裝置，例如英特爾在2017年發表的<a href="https://www.ithome.com.tw/news/115719" target="_blank">神經運算棒Movidius Neural Compute Stick</a>，或者是Google於日前揭露的<a href="https://ithome.com.tw/news/129182" target="_blank">本地AI平台Coral</a>。</p> </div></div></div>
2019/3/20 12:10作者陳曉莉https://www.ithome.com.tw/news/129462
89%的歐洲政府網站遭到廣告追蹤機制滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供符合歐盟ePrivacy及GDPR法令的線上追蹤及Cookie解決方案的丹麥業者<a href="https://www.cookiebot.com/en/hidden-tracking-of-citizens-on-eu-government-and-health-sector-websites/" target="_blank">Cookiebot指出</a>，<a href="https://www.cookiebot.com/media/1136/cookiebot-report-2019-ad-tech-surveillance-2.pdf" target="_blank">歐盟地區有超過89%的政府網站含有來自第三方的廣告追蹤機制</a>，而這些第三方業者的數量則多達112家，當中的「追蹤之王」則是Google。</p> <p>Cookiebot掃描了28個位於歐盟內的政府網站，發現其中有25個網站含有廣告追蹤機制，更準確地說是184,683個網頁含有追蹤機制。</p> <p>這些第三方的廣告業者會盡可能地散播廣告追蹤機制，當使用者造訪這些頁面時，業者就能於使用者的瀏覽器上置入獨特的標識符，藉以紀錄使用者的瀏覽行為，包括使用者所造訪的網站、停留時間、滾動頁面的速度與模式、點擊或徘徊的內容，將這些行為資料與其它資訊結合就能建立個別使用者的檔案。此外，業者之間還會透過同步Cookie、來交換使用者的標識符，意謂著它們將擁有更多的使用者數據，也許還能篩選出使用者的電子郵件、社交媒體帳號或真實姓名等。</p> <p>而這些未徵求使用者同意即植入廣告追蹤機制的第三方業者有52家在法國的政府網站上出沒，27家聚集在拉脫維亞，分別有19家及18家位於比利時與希臘，只有西班牙、德國與荷蘭的政府網站上沒有出現廣告追蹤機制。</p> <p>Cookiebot分析，政府網站通常不必仰賴廣告營收，而且更有遵循GDPR的義務與責任，然而它們的網站卻依然被廣告追蹤器給滲透。</p> <p>除了政府機關的網站之外，業者的足跡也出現在歐盟地區的公共衛生服務網站，有52%的相關網站被植入了廣告追蹤機制，從這些追蹤機制的聚集狀態也可看出業者的興趣，例如法國有一關於墮胎單一網頁就吸引了21家業者，德國有一攸關產假的單一網頁更聚集了63家業者。</p> <p>Cookiebot發現，在政府網站的前五大追蹤機制中，有3個屬於Google，鎖定公共衛生服務的前兩大追蹤機制都是源自Google，估計Google總計追蹤了歐盟地區82%的政府網站及43%的公共衛生服務網站的使用者行為。</p> <p>然而，目前上述都處於ePrivacy與GDPR法令的「模糊合法」地帶，Cookiebot則認為使用者應該有知情的權利，呼籲業者在進行追蹤之前最好先徵求使用者同意。</p> </div></div></div>
2019/3/20 12:15作者陳曉莉https://www.ithome.com.tw/news/129463
【臺灣資安大會直擊】衛福部：今年要強化醫療資安聯防機制，首波瞄準國內64家CI醫院
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「醫院有多少院長記得去年資安法剛上路？」衛生福利部資訊處處長龐一鳴今（3/19）揭露醫療資安政策的挑戰，他指出，臺灣雖然在去年端出資通安全管理法（即資安法），政府也已推行醫院評鑑制度，來把關醫療環境與設備安全、風險分析和應變的能力，「但這些還不夠，」龐一鳴表示，今年要強化醫療業的資安聯防機制，以關鍵基礎設施為本，透過嚴格把關醫療儀器（OT），來達到更嚴格的資安要求，而第一波就瞄準臺灣64家CI醫院（意指提供關鍵基礎設施的醫院）為主。</p> <p>他指出，近幾年來隨著科技發展，醫療業也不斷進化，從網路掛號系統、門急診系統的出現，再到電子病歷、雲端藥歷，甚至是醫療AI，前景看似美好，卻也隱藏資安隱憂，比如先前英國國民健保（NHS）遭受惡意木馬軟體攻擊、新加坡醫療系統遭駭、導致百萬人個資外洩等。</p> <p>龐一鳴提到，美國一份資安事件報告顯示，有四分之一的資安事件就發生於醫療產業。不只如此，衛生福利部關鍵基礎設施資安工作推動專案辦公室主任范仲玫更進一步表示，隨著更多醫療e化儀器和設備的出現，資安風險也跟著提高，正如國際知名的美國急救醫學研究所（ECRI）所發布的年度醫療技術危害，2014年至2017年時都還聚焦於電子病歷問題，今年卻直指醫療系統遠端遭駭將是一大危害，在在顯示e化儀器是醫療資安不可忽視的課題。</p> <p>為了強化醫療資安，也為了配合行政院2017年至2020年的「國家資通安全發展方案」，衛福部計畫從從原本就在施行的「醫療評鑑制度」和去年開始執行的「聯防機制」下手。醫療評鑑制度的目標，是要確保病人權益與醫療服務品質，其評鑑基準，涵蓋了醫院環境與設備的安全性、醫院風險分析與緊急災害應變的能力。</p> <p>其中一項評鑑指標，就是ISO 27001資訊安全管理系統（ISMS）認證。范仲玫表示，自去年資安法上路後，這項ISO認證就成為醫院不得不做的資安檢驗，必須按照PDCA（規畫、執行、檢查、改善）來循環管理。雖然ISO 27001今年才開始成為醫院必做課題，但其實自2009年起，就已有醫院為了保護電子病歷，而開始導入ISO 27001。另一方面，針對醫院病歷資料和資安的法律規範，除了醫院要自行辦理各自保護法的稽核，衛福部也將辦理去年上路的資安法稽核事宜。</p> <p>另一項衛福部今年要大力推行的醫療資安計畫，就是聯防機制。該機制鎖定擁有連網關鍵基礎設施（也就是中斷或停頓會影響醫療核心業務或病人安全）的醫院，來進行OT風險評鑑，也就是醫療儀器風險管理。為方便管理數量龐雜的OT，衛福部自去年開始，先將這些關鍵OT進行分類，像是生理監視與系統、麻醉機、呼吸機、數位X光攝影系統、CT和MRI掃描儀、心電圖儀器等17類，同時也畫定OT範圍，讓醫院可以進行OT盤點、排定OT資安檢驗的優先順序，比如現階段以連網且需將資料上傳至HIS、NIS或RIS為範圍，之後再擴大到較早e化且檢查量高的儀器設備。</p> <p>聯防機制的另一個重點，還包括建立資安訊息分享（ISAC）、緊急應變處理（CERT）和聯合監控（SOC）機制。衛福部去年已完成這些機制的建置。龐一鳴表示，聯防機制的意義，就是希望將OT資產盤點與風險評估輔助系統所產生的資訊，送至情資和弱點資料庫來進行分析，之後再將這些醫療設備的資安情報，輸入至「資安聯防系統」，集結H-ISAC、H-CERT和H-SOC進行深入分析，再回饋給CI醫院。</p> <p>他指出，聯防機制的「分母越大，情資也就越大。」雖然衛福部希望所有醫療院所都能加入，但首波重點會從國內64家CI醫院開始。范仲玫提到，目前CI醫院中，已有42家加入H-ISAC機制，並完成IT資產資訊的安全防護，但就OT資產資訊安全防護部分，她坦言，目前還無法確認CI醫院的執行情形，而這也是衛福部今年的目標，除了與其餘22家CI醫院討論加入聯防機制，還要落實醫院對OT的盤點與風險評估。文◎王若樸</p> </div></div></div>
2019/3/20 01:03作者王若樸https://www.ithome.com.tw/news/129459
【臺灣資安大會直擊】臺科大特聘教授吳宗成：董事會與企業高階主管一定要具備資安思維，才能保護企業創造的利潤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資安很重要，不只是技術問題，還是涉及企業組織關鍵的一環。」這是臺灣科技大學資訊管理系特聘教授吳宗成，在今天（3/19）於2019臺灣資安大會演講的開場白。</p> <p>吳宗成認為，董事會與企業高階主管，都應該要具備同樣的資安思維，這樣與與第一線員工溝通時，彼此之間才會有完整的對話，才能真正解決資安問題。</p> <p>要建立資安思維，他建議，得先了解何謂「系統」與「資安」。系統有五大要件，包括資料、軟體、硬體、人員與程序。「人員與程序，在資安上最容易忽略。」吳宗成提到，許多資安問題，其實是發生在人員與程序這兩要件，從這兩項執行資安的防備，是這五大要件中，較為容易的切入點。</p> <p>舉例來說，在人員上，像是系統發展者、系統管理者、端末使用者等企業人員，都得有資安的心態。或像程序面，不管是正常程序（front-end）、例外程序（back-end），也都得有一套資安規範要遵循。</p> <p>董事會得了解，系統一般又分為三大類型，分別是資料導向（data-oriented）、服務導向（service-oriented）以及混合式（hybrid）。吳宗成解釋，以資料導向的系統，是以資料為核心主體，由人員遵循程序，執行軟體驅動硬體，對資料做存取。</p> <p>而服務導向的系統，則是以人員為核心主體，將儲存在不同硬體，以及散落在各地的資料，透過軟體分析，經由授權的程序，提供人員服務，這樣的系統就是所謂的大數據分析，他說。</p> <p>混合式系統，則是如資料即服務（DaaS）、資訊即服務（IaaS）。此外，現在的系統的架構，大多是虛實整合，且在萬物聯網的時代，都透過雲端連結在一起。</p> <p><strong><span style="color:#0000FF;"><span style="font-size:24px;">建置資安生態系統，保護創造的利潤</span></span></strong></p> <p>有了系統的概念，接下來，企業董事會與企業高階主管就可以來了解什麼是資安（Informtion security），最初的定義是保護資訊與資訊系統，之後才出現了Cybersecurity 一詞，將保護電腦與電腦系統，擴大到網路上所採取的方法。</p> <p>吳宗成表示，從2000年開始，大家談得是無線網路安全，包括3G的資安、雲端安全、行動安全。2010年到2015年，在談普及計算安全，包括4G資安、物聯網安全、隱私與個資保護、智財保護與數位鑑識。而從2015年2020年，要步入的是人工智慧安全與5G資安。</p> <p>「什麼都是跟資安有關，最後會抓不住它的邊，所以一定要找出它的範圍，而這範圍就是資安生態系統（Cybersecurity Ecosystem）。」吳宗成強調，資安生態系統最核心的是資料的安全，接下來是ICT安全，再來是Cybersecurity。</p> <p>而建置資安生態系統最大的兩項要件，就是先前提到的人員與程序。企業要經營資安，不只要投入對資料、軟體與硬體的保護，還得投入程序的保護，以及人員的資安教育。</p> <p>吳宗成也指出，資安生態系統的價值定位，「建構系統的目標，就是要創造最大利潤，但是建構資安的目標，不是創造利潤，而是保護創造的利潤，維護資料、資訊與服務價值性，讓損失降到最少。」這是投入資安工作的人員，要有的心態，因為在資安的世界裡，少輸就是贏家，他說。</p> <p><span style="color:#0000FF;"><strong><span style="font-size:24px;">決策、管理與操作層級，都是資安生態系統重要環節</span></strong></span></p> <p>然而，要如何建立資安生態系統？吳宗成建議，首先，一間企業包括決策層級（董事會成員、資安長）、管理層級到操作層級，都是資安生態系統的環節之一。他提到，決策層級在面對資安，不是給人、給錢就結束，而是要先了解資安，才能推動維護他們所創造出來的利潤。管理層級，則強調在人才的應用。操作層級，則是強調程序的遵循。</p> <p>不同層級的利害關係人，在這資安生態系各自扮演不同角色，並有安全、成本、效能三種不同的因素互相衝撞，不同層級的人，要考量的因素也不相同，所以也需要找到平衡點，經過互相妥協才能建構出資安生態系統。</p> <p>「資安是看不見的戰爭。」吳宗成認為，決策層級得思考資安部署的範圍有多大？而投入資安的必要成本，更包括了軟硬體、程序與人員，還有在企業內部推廣資安教育與訓練。</p> <p>許多企業決策者常問資安的投資報酬率有多少，但吳宗成認為，對於大多數的企業來說，「資安是無法量化的間接價值」，例如企業形象與信任度。企業長期以來形塑的信任度與賺取的利潤，可能會在一次的資安事件就足以消失。</p> <p><strong><span style="font-size:24px;"><span style="color:#0000FF;">如何落實資安三道防線，善用三類資安人</span></span></strong></p> <p>吳宗成也指出，資安有三道防線，第一道防線是技術問題，就需交由技術人員解決，通常他們可以解決70％～80％的資安問題。第二道防線是管理，可以解決20％～30％的資安問題。最後的第三道防線，則是透過企業內部的法令規範，訂定員工的責任歸屬問題，這樣的作法，是要去規範員工未能善盡責任的資安問題，以及遏止尚未發生的潛在資安問題。</p> <p>而談到資安的責任與信任，吳宗成提到，不同層級關注的部分也會不一樣。例如，決策層級關注的重點是成本，操作層級的關注點是安全。但不管是哪個層級，在遇上資安事件前，都得遵循規範，而有所作為。而為了確保是否落實作為，就得透過內部控管加上外部稽核。在發生資安事件後，則是要處理碰上的風險與衝擊分析。</p> <p>他更認為要善用資安人，例如在資安技術議題，就得善用技術型、應用型的資安人，前者是具備攻擊及防禦能力的資安技術專家，後者則是能善用既有的資安技術能量，強化與建構安全的應用場景，或是降低應用領域會面臨到的資安風險。而在資安非技術議題，則要善用應用型、政治型資安人才，吳宗成解釋，政治型資安人才能夠預知未來資安風險，引領政府、企業制定資安政策與戰略部署。這兩類型人才的協作，主要是能加強政策與法令的遵循性，以及異值參與角色之間的調和性。</p> </div></div></div>
2019/3/20 01:37作者李靜宜https://www.ithome.com.tw/news/129460
【臺灣資安大會直擊】臺灣資安產業標準發展現況大公開，已有5家認可實驗室正式上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府如何帶頭促進資安產業發展，是臺灣各界關注的一大焦點。在19日到21日舉行的2019「臺灣資安大會」，今年特別安排了一系列資安產業發展的主題論壇，包括資安產業標準發展、資安新創交流，與臺灣資安國際拓銷，並分別於大會中的臺灣資安館現場接連三天召開。</p> <p>今日（19日），首先進行的資安產品標準論壇中，全面揭露了政府在物聯網資安產業標準發展，以及檢測認驗證制度上的實際作為。</p> <p>事實上，在去年6月，經濟部與NCC已經共同發布了物聯網設備資安驗證標章制度，並先從網路攝影機切入，制定出相關資安規範與檢測制度。今日，經濟部工業局電子資訊組組長林俊秀公布了最新現況，國內現在有5家測試實驗室通過TAF認可，並已邀集16家安防業界廠商，參與資安檢測的輔導。</p> <p>對於物聯網資安產業標準的制訂，他們也預期將逐年增修，例如，在影像監控系統資安標準方面，去年不僅是發布第2版網路攝影機（IP CAM）的資安標準，也釋出了第1版的影像錄影機資安標準，以及網路儲存裝置的資安標準，並且還有智慧巴士車載資通訊系統資安標準（車載機、智慧站牌）。林俊秀並表示，今年預計將會再新增兩項物聯網標準。同時，他強調，需建構一個物聯網資安生態體系，才能一併推動資安檢測的產業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/R0238430s_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/R0238430s_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><strong>幫助臺灣電子網通產品提升資安品質</strong></p> <p>關於網路攝影機的資安問題，近年我們已經不時聽聞，包括像是殭屍惡意程式駭入數十萬支網路攝影機，更值得關注的是，前幾年還發生美國FTC控告臺灣網通大廠的網路監視器、攝影機等產品，具有嚴重的安全性漏洞。</p> <p>談到網路攝影機的資安事件，林俊秀也特別指出，像是2016年殭屍網路Mirai，臺灣名列被攻擊國家第8名，最近還有蘋果Mac電腦上發現有Fruitfly惡意程式，會自動開啟Webcam遠端竊錄截圖的狀況，以及民眾購買網路攝影機觀看家中情況，反被駭客入侵並偷窺隱私等。</p> <p>對此，林俊秀一開始也點出了產業議題與挑戰的三大面向，包括新興資安事件頻傳、物聯網資安拉警報，以及資通產品國際輸出受阻。在此局勢之下，物聯網設備資安產業標準與檢測認驗證，就成為了政府看重的一大焦點。</p> <p>畢竟，臺灣常是駭客攻擊熱點，但也造就我們成為資安實測場域，而且，臺灣製造生產的網路攝影機，其實占了全球產品比重達30%，若能透過標準、制度來帶動資安水準，也將進一步強化我國產品在國際上的競爭力。</p> <p>到底，臺灣在物聯網設備資安產業上，政府在推動策略與作法又是如何？林俊秀進一步解釋，他們主要分成三階段來進行，分別是規畫期、推廣期與成熟期。其中，推廣期的重要目標，首先就是要推動國內物聯網資安測試實驗室成立，以完備認驗證制度，同時也會輔導製造商產品取得認證，進而推動國內公部門、場域導入使用。未來，更希望的是，能夠推動產業標準逐步成為國家標準，並促成國際標準相互認證。</p> <p>就現況而言，關於物聯網資安測試實驗室的成立，以及輔導製造商產品取得認證，都已經有不小的進展。林俊秀指出，為建構物聯網資安檢測生態體系，目標是至2020年度至少有9家通過全國認證基金會（TAF）認可，而去年就已經有4家通過，包括電信技術中心、安華聯網、台灣電子檢驗中心與勤業眾信，在今年2月，行動檢測成為第五家通過。</p> <p>在製造商取得認證方面，去年底奇偶科技的兩款網路攝影機獲頒物聯網資安標章合格產品證書，型號分別是GV-BX2700-FD、GV-MD8710-FD。而政府為進一步推動這項資安標準，因此也計畫輔導製造商產品取得認證，主要透過安防協會與資安服務團輔導，以幫助取得資安標準認證，進而提升本土產品資安水準，目前也已輔導了20件影像監控系統，共16家業者，預計在上半年就會有新一波認證產品。</p> <p>當然，更值得關注的是，若是未來中央部會或地方政府，將影像監控系統資安標準，納入採購規範及共同供應契約，所創造出來的需求也勢必讓資安檢測生態體系變得完備。而且，後續也將公告出通過資安標準認證的產品，作為一般民眾採購時的參考，進一步提升民眾消費認知。</p> <p>至於最後的目標，林俊秀也表示，就是要打造臺灣物聯網資安檢測驗證機制，推動產業標準逐步成為國家標準，促成國際標準相互認證。</p> <p><a href="https://s4.itho.me/sites/default/files/images/R0238428s_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/R0238428s_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p> </p> </div></div></div>
2019/3/19 23:23作者羅正漢https://www.ithome.com.tw/news/129458
【臺灣資安大會直擊】缺乏資源怎麼做資安？博格企業資安讀書會創辦人：善用免費工具協助盤點與偵測威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>小型企業普遍缺乏資源，面臨當今不得不做資安的嚴峻情勢，負責IT的員工可能就要臨危受命，承接相關的工作，成為一個「資安人」。然而，此時企業的資訊安全，可能必須從零開始打造，能夠因應的預算卻極度有限的情況下，要如何架構起企業的資訊安全呢？博格（Borg）企業資安讀書會創辦人X1在3月18日舉辦的臺灣資安大會中，特別針對需要執行的層面，介紹實用的免費開源工具，指引IT人員踏入資安防護的領域。</p> <p>X1指出，開源或是免費的工具，與商用產品之間最大的差異，就是「壞了要自己修」。因此，想要導入這些工具來解決資安問題，首先，IT人員必須花時間研究如何使用與部署，而日後軟體更新時，也要自己留意開源工具與其他元件的相容性問題。此外，由於不像商業產品已經將常見應用系統的資料正規化，也沒有背後提供技術服務的團隊，因此，各種設備的事件記錄，勢必也要自己處理、分析。雖然許多開源工具沒有軟體授權的費用，然而IT人員要建構以這類軟體架設的資安防護網，必須要有自己耗費精力深入研究的心理準備。</p> <p>誠如前述開源工具存在上述應用的門檻，但X1表示，其實小型企業所要因應的資安問題，許多免費的開源工具就能做到。因此，找出企業需要解決的難題，並尋求能符合自身需求的軟體，便可在極低的預算之下解決難題。</p> <h2><strong>從攻擊階段歸納企業資安需求</strong></h2> <p>在企業中常見的資安需求，X1指出，可以從攻擊的事前預防、事中偵測，以及事後因應等3大階段來看－－從事前的預防措施而言，IT人員首要任務，就是必須盤點網路環境中應該列管的資產，再者，則是網際網路的出入口管制，以及企業的雲端服務整合等。而企業對外提供的服務又有那些，還有公司的伺服器狀態，是否出現異常登入的情形？</p> <p>一般來說，企業所需因應的攻擊，包含網站可能會面臨分散式阻斷服務（DDoS）攻擊，或是端點電腦遭到入侵，需要留下跡證的情況。再者，IT人員也可能會懷疑，網站是否成為內部環境被入侵的破口。</p> <p><a href="https://s4.itho.me/sites/default/files/images/X1-CyberSecurity-Problems.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/X1-CyberSecurity-Problems.jpg" style="width: 600px;" /></a></p> <p>更進一步，則是有關事件發生之後，資安事件的通報和處理，還有就是尚未收集的應用程式與資料庫事件記錄，日後要怎麼補救等等。</p> <h2><strong>盤點仍是資安的首要任務</strong></h2> <p>不過，在建置資安防護的架構時，還是應該從事前和事中開始著手，而這個部分的落實，企業能夠及早接收有相警示通知，相對的投資效益也比較高。X1指出，第一件事還是要界定需要管理和防禦的範圍，因此他提供的第一套實用工具，便是網管軟體OCS Inventory，IT人員透過這套軟體，進而了解所列管的電腦有多少、執行的作業系統種類，以及搭配的硬體等資訊。</p> <p>在設備的盤點之外，網路情形的清查也同樣重要，X1推薦The Dude，企業內部網路設備只要有啟用SNMP協定，就能列入管理，並且可自動產生網路拓撲圖。</p> <p><a href="https://s4.itho.me/sites/default/files/images/X1-CyberSecurity-TheDude.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/X1-CyberSecurity-TheDude.jpg" style="width: 600px;" /></a></p> <p>有了端點裝置和網路環境的盤查結果後，X1說，接下來要歸納資產的重要程度，像是與公司營運相關度極高的設施，其重要性也就較高，他認為企業可以參考新竹市稅務局在2009年制訂的範例Excel表單，藉此權衡每項資產的重要程度。X1舉例，像是含有個資的資料，一旦外洩企業所面臨的罰款極高，因此對於企業而言，也是要謹慎保護的資產。</p> <p><a href="https://s4.itho.me/sites/default/files/images/X1-CyberSecurity-Excel.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/X1-CyberSecurity-Excel.jpg" style="width: 600px;" /></a></p> <p>另外，企業對外部網路開放的連接埠，情況是否也在掌控之中？在這個部分，X1選用了知名的網路偵測軟體Nmap，他說自己在使用時，會讓Nmap每個月排程定期掃描，然後比對這個月與ACL表格，便能得知是否出現不當使用的情況。</p> <p><a href="https://s4.itho.me/sites/default/files/images/X1-CyberSecurity-Nmap.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/X1-CyberSecurity-Nmap.jpg" style="width: 600px;" /></a></p> <p>而對於伺服器狀態的掌握，X1特別推薦Zabbix，理由是唯一能做叢集式管理的免費解決方案。只是要留意的是，要從Windows事件記錄ID監控是否出現異常登入的情形，並非所有的開機事件ID都是使用者登入的行為，因此要特別小心，以免太多記錄與警示通知，造成自己麻木而失去原來監控的用意。若是自動化防範機器人暴力破解網頁應用程式或是遠端登入的現象，也可以選用Fail2ban（支援Linux作業系統）和Wail2ban（支援Windows作業系統）。</p> <p>若要防範網站遭受分散式阻斷服務攻擊，X1認為，Imperva Incapsula和Cloudflare等雲端服務，就是資安人員的好朋友，假如資料存放在企業內部，可採用Nginx建置網頁應用程式防火牆。</p> <p>要是企業無法購置防火牆，X1表示也有免費的可選，像是Endian UTM能夠支援企業環境常見的AD與LDAP。</p> <p>最後X1提醒一件事，一旦遇到攻擊，企業應該要先保留證據，再恢復電腦到正常狀態，而非馬上重灌。因此，他建議採用Helix數位鑑識包，進行採證。而在運用這些免費工具時，X1也鼓勵IT人員，可以與TDOHacker、UCCU，或是博格企業資安讀書會等社群交流，進而改善自己的做法。</p> </div></div></div>
2019/3/19 22:20作者周峻佑https://www.ithome.com.tw/news/129457
【臺灣資安大會直擊】前警政署資訊室主任分享培育人才秘訣，要實踐資安自主
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">前內政部警政署資訊室主任、現任金融機構顧問的蘇清偉，在2019臺灣資安大會座談中，分享一年來警政資安的人才培育與防護工作。他表示，警政單位以四個面向保護資訊安全，分別是成立警政資安團隊、培育資安人才、建立區域聯防體系與警政資安自主，目的要讓警政單位具備即時防護資安事件的能力，更要朝資安自主目標邁進。</span></p> <p class="p1"><span class="s1">在人才培育方面，為因應資通安全管理法的通過，以及資安即國安的政策趨勢，警政署整合內部資源成立資安團隊，共培訓18名分散各警局的資安人才，蘇清偉更以18銅人自稱，讓他們輔助網路犯罪偵查、處理與研析資安事件。重大資安事件的研析，包括勒索病毒WannaCry及Petya的防範、Fireball惡意程式的防護、無線網路WPA2加密協議的漏洞處置、國內使用連網DVR的資安問題預警等。</span></p> <p class="p1"><span class="s1">除了以國內外重大資安事件作為研析題材，防患於未然，警政署也舉辦資安研討會與國際交流、鼓勵培訓人員取得相關技術證照，將技術實際應用於各種資安威脅；此外，警政署也鼓勵團隊參加內外部比賽，包括2018台灣IBM科技論壇-駭客奪旗攻防賽、台灣雲端安全聯盟-資安攻防電競賽等，以比賽刺激創新思考。</span></p> <p class="p1"><span class="s1">蘇清偉表示，在專業人才的培育之外，也要對各機關建立區域聯防機制。警政署使用開源安全維運平臺OSSIM，每日派送偵測規則至各警察機關網路，針對威脅來進行告警，事件發生之後可以監控處理情形與結果。而根據統計資料，警局以一般木馬程式為最大宗的攻擊類型。</span></p> <p class="p1"><span class="s1">OSSIM平臺也可進行弱點掃描，由團隊成員執行，歸納出五大常見弱點，包括未關閉HTTP methods、使用有漏洞之網頁程式版本、Windows伺服器有未修補的漏洞、使用有漏洞之OpenSSL版本與未保護可能有機密資訊的備份檔，如.old、.bak等。</span></p> <p class="p1"><span class="s1">在發現資安攻擊事件後，更重要的是分析原因。蘇清偉表示，因為外勤單位常因辦案所需收取民眾提供資料，可能因民眾使用隨身碟而中毒；或瀏覽與偵辦案件相關網站（如網路援交、色情訊息等）而觸發偵測事件；又或者資訊系統遭外部攻擊、防火牆設定域名不當等。而警政署也將不定期分享防護內容，讓行政院各部會也能受惠。</span></p> <p class="p1"><span class="s1">在落實警政資安自主的部分，由團隊成員執行警察機關內部資安健診、網站滲透測試，並開發警政端點更新檢測軟體，目的將政府組態基準（GCB）設定至局內個人電腦，讓各機關的資通訊終端設備有一致性的安全設定（如：密碼長度、更新期限等）。而警政端點GCB系統，可查詢各電腦作業系統更新狀態、檢測瀏覽器設定狀況，是否有不合乎GCB規範的情形。</span></p> <p class="p1"><span class="s1">蘇清偉表示，四個面向中最重要的還是人才培育，「沒有人沒辦法做事情，也要有場域讓他們提升技能。」18個人散布在各警政單位中，以各自的專業解決各類型資安問題，未來更要走向資安自主，利用防護軟體蒐集資料、建立資料庫加以分析，或開發程式將資料加值運用。</span></p> </div></div></div>
2019/3/19 19:45作者翁芊儒https://www.ithome.com.tw/news/129453
臺灣資安大會3月20日大會Keynote，關注關鍵基礎設施以及企業內網安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:16px;">今年舉辦第五屆的「臺灣資安大會」，在3月20日（三）第二天大會議程上午9點30分則由Fortinet資安長Philip Quade打頭陣，主要是從我們日常生活中的各種關鍵基礎設施的安全性談起。不管是政府或企業，現在都已經是高度依賴各種數位化工具，不管是數位國家或者是數位商業模式，都必須高度仰賴實體的關鍵基礎設施所提供的各種服務。當越多人關注或依賴的服務，就是駭客鎖定攻擊的對象，這些關鍵基礎設施服務業者在面對這樣的挑戰時，因為不知道該從哪裡開始，所以也不知道該從哪裡結束；再加上，沒有任何單一個人或組織，可以解決這樣的問題，也使得，數位國家的致命弱點就是關鍵的基礎設施。而最新的則是，亞太地區已經成為關鍵基礎設施風險的溫床，唯有具備足夠的自保能力，才能夠面對來敵對國家對我們帶來的威脅。</span></p> <p><span style="font-size:16px;">不只是關鍵基礎設施的安全值得關注，當越來越多特定產業，例如醫療、製造業，以及關鍵基礎設施服務提供者等，也開始面臨傳統OT系統開始對外連網，除了帶來網路的便利，也同時帶來網路時代的資安風險。因此，中華資安國際副總經理游峯鵬則呼籲企業應該要更加關注IT與OT的安全性。</span></p> <p><span style="font-size:16px;">除了關鍵基礎設施以及OT環境所面臨的企業資安風險外，有更多企業必須將關注意從對外防護的角度，轉變成對內關注，就如何精品科技資訊安全部資安顧問陳柏榆所言，「只要有心，人人都可以是駭客」，像是，研發團隊利用IDE（整合開發環境）特殊工具和燒錄軟體，就可以把重要的公司機敏資料藏在工業開發板中，加上這樣的技術並不難學習的情況下，企業必須要更能精準掌握內賊（Insider）還是外部駭客（Hacker）入侵所帶來的損失。</span></p> <p><span style="font-size:16px;">企業營運除了各種法遵的要求外，資訊安全治理的落實程度，已經成為新型態評估企業社會責任的重要指標之一，曜祥網技技術經理黃士滄呼籲，企業可以透過資料的即時彙整與自動化的管理機制，進而在資安與人力成本中取得平衡。</span></p> <p><span style="font-size:16px;">不只如此，除了法遵要求外，企業如何在資安投資成效的ROI評估過程中，可以獲得最佳性價比，中芯數據技術長吳耿宏則觀察到，許多資安產品往往只能在企業遭到駭客入侵許久時間後，不小心才發現，原來早就被駭客入侵了，但這個企業被入侵到駭客被發現過程中，如何讓資安產品發揮「早期發現、早期預警」的成效，將是企業未來評估各種資安產品時的重要關鍵。</span></p> <p><span style="font-size:16px;">上述臺灣資安大會Keynote也會在iThome臉書粉絲專業直播，直播網址：<a href="https://www.facebook.com/ithomeonline/videos/805567933148341/">https://www.facebook.com/ithomeonline/videos/805567933148341/</a></span></p> <p><span style="font-size:16px;">除此之外，「大話資安x臺灣資安大會」也集結許多資安專家的訪談，從各種觀點來看現代企業面臨的風險與威脅。</span></p> <p><span style="font-size:16px;">在3月20日（三）下午1點30分，「大話資安x臺灣資安大會」特別節目將播出 Fortinet資安長Philip Quade的現場訪談，也會同時分享曜祥網際協理郭姿良和精品科技總經理黃文昌對於現在企業面臨資安威脅趨勢的觀察。直播網址：<a href="https://www.facebook.com/ithomeonline/videos/1083016115217730/">https://www.facebook.com/ithomeonline/videos/1083016115217730/</a></span></p> <p><span style="font-size:16px;">前一天精采的Keynote沒聽到沒關係，「大話資安x臺灣資安大會」在3月20日（三）下午2點半，也集結包括：資安神人Bruce Schneier、思科總工程師Sunil Amin、Polyswarm首席資安長Ben Schmidt以及趨勢科技全球核心技術部資深協理張裕敏的訪談分享，直播網址：<a href="https://www.facebook.com/ithomeonline/videos/378346816084776/">https://www.facebook.com/ithomeonline/videos/378346816084776/</a></span></p> <p><span style="font-size:16px;">到3月20日（三）下午3點30分，則有包括：卡巴斯基實驗室威脅研究副總裁蒂莫爾•比亞庫耶夫、Opswat創辦人兼執行長Benny Czarny、中芯數據技術長吳耿宏以及中華資安國際資深資安架構規劃師王信富等人精采的訪談分享，直播網址：<a href="https://www.facebook.com/ithomeonline/videos/375894103246327/">https://www.facebook.com/ithomeonline/videos/375894103246327/</a></span></p> <p> </p> <p> </p> <p> </p> <p> </p> <p> </p> </div></div></div>
2019/3/19 17:23作者黃彥棻https://www.ithome.com.tw/news/129448
新種Mirai殭屍網路死灰復燃，這次目標是企業級IoT裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2016及2017年屢次發動大規模分散式阻斷服務（DDoS）攻擊的Mirai殭屍網路病毒，在消失匿跡一段時間後被研究人員<a href="https://unit42.paloaltonetworks.com/new-mirai-variant-targets-enterprise-wireless-presentation-display-systems/" target="_blank">發現捲土重來</a>，而且這次目標是企業級的物聯網裝置，包括企業級投影機、智慧電視和Zyxel、Dlink及Netgear的多款路由器。</p> <p>Mirai以發動超大規模DDoS攻擊聞名，<a href="https://www.ithome.com.tw/news/109225" target="_blank">2016年</a>及<a href="https://www.ithome.com.tw/news/119202" target="_blank">2017年</a>利用數十萬台網路攝影機、家用路由器、網路儲存裝置，癱瘓了DNS供應商Dyn、ISP OVH及知名資安部落格Krebs on Security。</p> <p>安全公司Palo Alto Networks的Unit 42於今年初發現11隻新Mirai變種。和先前版本不同之處，這些變種不是在消費型物聯網裝置上發現，其中一隻攻擊WePresent WiPG-1000無線投影系統的WePresent WiPG-1000 Command Injection漏洞，另一隻則攻擊LG Supersign TV智慧電視的CVE-2018-17173。這二款都是商務型連網設備。這顯示駭客可能將目標轉向企業網路，藉以取得更大頻寬建立殭屍網路，方便日後發動DDoS攻擊。</p> <p>這已不是Mirai首度攻擊企業網路。<a href="https://www.ithome.com.tw/news/125267" target="_blank">去年九月</a>，Mirai也攻擊了Apache Struts及SonicaWall網路設備漏洞，前者也導致美國第三大消費者信用管理公司Equifax伺服器的重大資料外洩。</p> <p>但這次新一批Mirai變種有多種攻擊程式，分別攻擊不同裝置的漏洞，包括合勤Zyxel P660HN-T 路由器（Zyxel P660HN Remote Command Execution）、D-Link DIR-645、DIR-815 路由器（DLink diagnostic.php Command Execution）；DLink DCS-930L網路攝影機（DLink DCS-930L Remote Command Execution）；Netgear DGN2200 N300 Wireless ADSL2+ Modem Routers（CVE-2016-1555）；Netgear WG102, WG103, WN604, WNDAP350, WNDAP360, WNAP320（CVE-2017-6077, CVE-2017-6334）；及Netgear Prosafe WC9500、WC7600、WC7520 Wireless Controllers（Netgear Prosafe Remote Command Execution）等。所幸研究人員尚未觀察到已有發生攻擊的跡象。</p> <p>研究人員也發現Mirai從代管在哥倫比亞的一個受駭網站下載惡意程式。他們也在這批Mirai變種發現到用於暴力破解連網裝置的預設帳密。</p> <p>研究人員表示，這些趨勢也提醒企業必須注意公司網路上的IoT裝置，須變更預設密碼，並確保隨時更新修補程式。若有裝置無法修補程式，或許考慮最好從公司網路上移除。</p> </div></div></div>
2019/3/19 17:20作者林妍溱https://www.ithome.com.tw/news/129449
Google Play更新App圖標規格，開發者6月24日前須完成更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google為了讓App和遊戲圖標更適合Google Play商店中各種使用者介面布局、外形以及裝置，使整體看起來更加整齊一致，開始<a href="https://android-developers.googleblog.com/2019/03/introducing-new-google-play-app-and.html" target="_blank">分階段要求Android開發者更新圖標</a>。</p> <p>從4月開始，開發者就能開始將新規格的圖標上傳到Google Play控制臺，並在系統中確認圖標是否符合新規範，與此同時，Google Play商店仍然接受開發者上傳原始規格圖標。</p> <p>在5月1日之後，所有新上傳的圖標都必須要符合新規範，但是在Google Play商店中現有的原始圖標，可以繼續使用，而開發者已經更新的圖標，Google Play商店則會顯示新的圖標。Google要求所有的開發者更新的工作，需要在6月24日前完成，否則不符新規的舊圖標會以Legacy模式顯示。Legacy模式將原始圖標按比例縮小75％，套疊在新的格式形狀上。</p> <p>新的圖標規格大小仍然維持512 x 512的尺寸，但是不再允許透明背景，Android和Chrome作業系統上的Google Play，會為圖標添加圓角以及陰影效果，圓角半徑限制為20%的圖標大小，以確保在不同大小呈獻一致性，而電視、穿戴裝置以及車載系統上的Google Play則不會有任何改變，Google也提醒開發者，這項要求，不會影響Android的APK啟動器圖標。</p> </div></div></div>
2019/3/19 17:45作者李建興https://www.ithome.com.tw/news/129444
YouTube及臉書大規模移除基督城槍擊案影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紐西蘭基督城的努爾清真寺（Masjid Al Noor）及林伍德清真寺（Linwood Mosque）在3月15日遭到恐怖份子的掃射攻擊，造成逾100人傷亡的慘劇，其中一名澳洲籍槍手Brenton Tarrant甚至透過臉書進行現場直播，也讓臉書、YouTube與其它社交網站平台，開始大規模移除並封鎖這個在網路上四處流竄的兇殘影片。</p> <p><a href="https://newsroom.fb.com/news/2019/03/update-on-new-zealand/" target="_blank">臉書表示</a>在收到警方通知後幾分鐘就移除影片，根據統計，該影片在直播時的觀看次數不到200次，在臉書移除之前的觀看次數則約有4,000次。臉書也移除了可能是隸屬於槍手的臉書及Instagram帳號。</p> <p>此外，臉書也在所移除的影片上建立了指紋，用以自動偵測及封鎖上傳到臉書及Instagram的類似影片。在案件發生之後的前24小時，總計在全球移除了150萬則影片，當中有超過120萬則是在上傳前就被封鎖。</p> <p>至於YouTube雖然沒有公布移除數量，但卻<a href="https://www.washingtonpost.com/technology/2019/03/18/inside-youtubes-struggles-shut-down-video-new-zealand-shooting-humans-who-outsmarted-its-systems/?noredirect=on&utm_term=.45ecaffb3962" target="_blank">向媒體透露了該站針對此事所作的特殊因應</a>。YouTube產品長Neal Mohan在接受華盛頓郵報採訪時表示，他們在慘劇發生時立即號召各部門主管共同作戰，企圖辨識並移除成千上萬的槍擊影片，包括那些已被重新包裝過的影片，然而，當一組影片被移除時，下一秒就會出現另一組。</p> <p>這使得YouTube決定祭出非常手段。他們關閉了多項搜尋功能，包括避免使用者搜尋「最新上傳影片」，還暫時取消了人工審核機制，只仰賴AI系統的運作以加速影片的移除。</p> <p>其實YouTube也具備了可建立影片指紋的Hash技術，但Mohan說，相關技術也許可以辨識類似或只有一半長度的影片，卻拿那些已被剪裁成2、3秒的影片沒輒。</p> <p>此外，也有不少媒體拒絕於新聞中採用槍手所拍攝的畫面，或者不願寫出槍手的名字，以避免使用者以此為關鍵字來搜尋網路上的相關影片。</p> </div></div></div>
2019/3/19 18:10作者陳曉莉https://www.ithome.com.tw/news/129452
Internet Archive要幫忙備份即將消失的Google+資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google今年一月<a href="https://www.ithome.com.tw/news/128569" target="_blank">宣佈</a>將在4月2日關閉消費版Google+帳號及粉絲頁。對許多人來說，工作或生活上的重要記錄會從此消失。不過網頁備份計畫Internet Archive和名為Archive Team的組織本周<a href="https://www.reddit.com/r/plexodus/comments/az285j/saving_of_public_google_content_at_the_internet/" target="_blank">宣佈</a>已經出手把公開的Google+內容備份下來。</p> <p>Internet Archive是以保存並開放存取所有知識為使命的數位資料庫，它最為人所知的是<a href="https://web.archive.org" target="_blank">Wayback Machine網頁歸檔服務</a>，但這個計畫其實也保存文字、影像、音訊、軟體及其他格式的資訊。Archive Team則是一群由歸檔專業、程式開發人員、作者及倡議人士所組成，以拯救數位文物為宗旨的非正式組織，保留組織倒閉、合併或純粹刪除而消失的資料。他們在桌機或伺服器叢集上虛擬機器執行名為Warrior的grabber scripts來進行資料歸檔，曾參與拯救過包括Mozilla Addons、Tindeck及巴西ISP – UOL論壇的專案。</p> <p>Archive Team於去年12底就得知Google+要關閉，便與Google相關團隊於今年一月起展開合作規劃，著手下載Google+的資料。目前已完成下載超過360TB的資料，儲存於Internet Archive網站上，透過<a href="https://github.com/ArchiveTeam/googleplus-grab" target="_blank">GitHub專頁公開</a>。</p> <p>不過Archive Team也指出，由於資源有限，備份網頁的計畫仍有限制。只有現行在Google+上的公開內容才會被蒐集。不公開的或之前已刪除的內容，就會被刪除。本計畫也可能不會歸檔完整的貼文留言。雖然Google+每篇貼文允許高達500則留言回應，但在靜態HTML網頁只會顯示一小部份。本計畫不確定Google 是否會保留完整留言串，但過去經驗是不會。影片和相片都只會以較低解析度保存。此外，本計畫進度也可能因為其他不可抗力因素而有所延宕。</p> <p>但因為Internet Archive現行經費來自募款，估計1TB資料需要2,000美元，本計畫也公開尋求<a href="https://archive.org/donate/" target="_blank">捐款</a>。</p> <p>不想讓Internet Archive備份自己Google+的資料的人，也可以<a href="https://help.archive.org/hc/en-us/articles/360018138951-How-do-I-remove-an-item-page-from-the-site-" target="_blank">要求刪除</a>。使用者也可以自行到Google+網頁刪除自己的Google+帳號。</p> </div></div></div>
2019/3/19 16:35作者林妍溱https://www.ithome.com.tw/news/129445