iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/9 02:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【iThome CIO大調查（下）】2019一般製造業IT投資戰略分析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/912_diao_cha_-yi_ban_zhi_zao_-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div id="_idContainer113"> <p>向來IT投資保守的一般製造業，今年呈現兩極化的發展。儘管整體IT投資成長率是7.3%，看似不如去年的11%，但從分布來看，仍有2.2%一般製造業者的IT預算翻倍，成長幅度超過10%者也有33.2%。</p> </div> <div id="_idContainer114"> <p>過去7成一般製造業CIO們年度目標之一是確保IT穩定，但今年將這項工作列為目標的CIO們只有54.1％，反而是將數據分析和商業分析支援、數位轉型列入年度重點的CIO們，多了1到2成。這意味著，跨入數位轉型之路的一般製造業的CIO們更多了，不過，有意要促進業務變革的比例仍只有13.3％，遠低於其他產業。</p> <p>過去，一般製造業的IT預算多用於維運或IT基礎設施的更新，但近幾年，物聯網成了新的投資重點，今年也不例外，連續2年投資規模都相當於IT預算的一成多。不過，今年特別的是，一般製造業者開始加碼AI投資，幅度一口氣翻了4倍，達到約IT預算的8%之多。機器學習、臉部辨識、AIoT、深度學習，甚至是行動AI應用，都是一般製造業今年的AI應用焦點。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/912%20%E8%AA%BF%E6%9F%A5-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A0-600.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/912%20%E8%AA%BF%E6%9F%A5-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A0-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/912%20%E8%AA%BF%E6%9F%A5-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A0-600-3.png" style="width: 600px;" /></p> <p class="rteleft"><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>iThome 2019年CIO大調查問卷執行說明</strong></span></span></p> <p class="rteleft"><span style="color: rgb(105, 105, 105);"><strong>調查對象涵蓋了臺灣2千大企業，搭配iThome歷屆CIO大調查企業中的資訊部門最高主管，及政府一級機構、大專院校資訊主管和資安主管等，來進行線上問卷調查。調查從2019年1月21日到2月19日結束，回收488份問卷，有效問卷數382份。其中有76.7％填答者是企業IT部門最高主管。</strong></span></p> <p class="rteleft"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> </strong></span></p> <p class="rteleft"><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/129350" target="_blank">【iThome 2019企業CIO大調查（上）】</a></strong></span></p> <p class="rteleft"><a href="https://www.ithome.com.tw/article/129515" target="_blank"><strong><span style="font-size: 20px;">【iThome CIO大調查（下）】2019金融業IT投資戰略分析</span></strong></a></p> <p class="rteleft"><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/129516" target="_blank">【iThome CIO大調查（下）】2019服務業IT投資戰略分析</a></strong></span></p> <p class="rteleft"><a href="https://www.ithome.com.tw/article/129517" target="_blank"><strong style="font-size: 20px;">【iThome CIO大調查（下）】2019高科技製造業IT投資戰略分析</strong></a></p> </div> </div></div></div>
2019/3/25 10:00未署名https://www.ithome.com.tw/article/129518
一周大事：2019臺灣資安大會登場，蔡英文強調資安3戰略。工研院視網膜病變AI診斷技術獨步全球
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size: 28px;"><strong>2019臺灣資安大會登場，蔡英文：強化政府資安聯防能量、培育產業及資安人才</strong></span></p> <p>由iThome主辦的2019臺灣資安大會於3月19日正式展開三天活動，總統蔡英文親自蒞臨致詞，並表示未來政府會繼續投入完備資安基礎環境、強化中央及地方聯防體驗，提升國內資安產業能量以及培育資安人才。</p> <p>iThome總編輯暨臺灣資安大會主席吳其勳表示，今年是臺灣資安大會成立的第五年，從一開始千人規模的會議，到如今來自20多個國家，超過8千人報名參加的盛況，特別是今年邀請到總統到場，給予國內資安產業鼓勵，今年資安大會也擴大為資安週，有超過250場演講，探討資安的各個面向，還有超過80家全球資安品牌，展示最新資安防禦技術，成為亞洲地區受注目的資安會議。</p> <p>今年臺灣資安大會也邀請到國際知名資安專家Bruce Schneier以及亞馬遜全球漏洞獎勵計畫兼亞馬遜日本資安長陳浩維等知名資安專家擔任主講。<a href="https://ithome.com.tw/news/129439" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>工研院領先Google一步！國產糖尿病視網膜病變AI診斷技術獨步全球</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image_from_ios_2_1.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(128, 128, 128);">攝影_王若樸</span></p> <p>近年來，世界各地吹起一波醫療影像AI浪潮。隨著這波風潮，工研院更在2年前，就著手打造國產糖尿病視網膜病變AI輔助診斷系統，這套系統，不僅能將視網膜病變的嚴重程度分為5級，讓醫生能依此進行恰當的治療方式，還可以標示出4種肉眼難以辨識的初期病徵位置，讓病患及早發現問題、及早治療。<a href="https://www.ithome.com.tw/news/129368" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>總統盃黑客松開跑，邀全民一起來許願</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B8%BD%E7%B5%B1%E7%9B%83%E9%BB%91%E5%AE%A2%E6%9D%BE.png" style="width: 500px;" /></p> <p>第二屆總統盃黑客松在3月17日到4月14日開放報名，這次競賽在官網設立「公民許願池」，開放民眾提出待解決的問題，鼓勵參賽的高手運用政府開放資料幫大家解決問題。<a href="https://www.ithome.com.tw/news/129381" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>2018年度十大網站攻擊技法出爐，臺灣資安專家研究再獲全球肯定，連續兩年蟬聯第一</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/zhu_tu_2018_web_hacking_techniques_660x420_portswigger.jpg" style="width: 500px;" /></strong></span></p> <p>2018年度網站攻擊技術的前十名，已經正式公布，共有59項提名，歷經兩個月的社群投票活動，產生去年最值得關注的新研究。這項活動不僅是讓滲透測試的安全人員，可以從中獲得啟發，而網站安全人員，也能關注到最新的攻擊趨勢。值得注意的是，獲得2017年度第一的網站攻擊技術，是由臺灣的安全研究人員Orange Tsai（蔡政達）提出，更難得的是，他在2018年新的成果──「打破解析器邏輯，繞過路徑正規化並發現零時差漏洞」，再次獲得全球網站安全研究人員的青睞與肯定，達成二連霸。<a href="https://ithome.com.tw/news/129314" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>GraphQL基金會與聯合開發基金會合推GraphQL開源規範標準化</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/refine_ying_mu_kuai_zhao_2019-03-15_xia_wu_43112.png" style="width: 500px;" /></strong></span></p> <p><span style="color:#808080;">圖片來源_ GraphQL</span></p> <p>Linux基金會旗下的GraphQL基金會要與聯合開發基金會（Joint Development Foundation）聯手，共同推動開源標準的採用，並且持續發展GraphQL規範。<a href="https://ithome.com.tw/news/129372" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Verizon的行動5G服務4月上路，每月吃到飽費率比4G貴10美元</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/verizon5g-960.jpg" style="width: 500px;" /></p> <p><span style="color:#808080;">圖片來源_ Verizon</span></p> <p>美國最大電信業者Verizon將於4月11日在芝加哥與明尼亞波利斯正式推出5G超寬頻網路（5G Ultra Wideband Network）服務，且今年就會擴大部署到全美逾30個城市，至於5G行動網路的每月費率將比既有的4G網路多上10美元。<a href="https://www.ithome.com.tw/news/129336" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>反擊Nvidia，英特爾攜手科技業者建立CXL快速互連標準</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/cxl0314-960.png" style="width: 500px;" /></p> <p><span style="color:#808080;">圖片來源_ CXL Consortium</span></p> <p>在與Nvidia爭搶資料中心晶片製造商Mellanox敗下陣的英特爾（Intel），宣布與Google、思科、HPE及微軟等重量級業者共同成立一標準組織，以發展開放互連技術 Compute Express Link（CEL），並已釋出CXL 1.0規格。<a href="https://ithome.com.tw/news/129321" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Linux基金會發布全新開源孵化平臺CommunityBridge，可提供募資、資安、人才媒合三大功能</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/refine_fireshot_capture_194_-_fueling_open_source_innovation_and_sustainability_-_communitybridge_-_communitybridgeorg.jpg" style="width: 500px;" /></p> <p>日前Linux基金會宣布為開源開發者社群建立CommunityBridge平臺，為選定的專案、成員或是組織，提供資金、安全以及人力上的協助。而且為了獎勵早期申請者，使用該平臺不只不需要支付任何費用，且Linux基金會將吸收任何平臺以及運算資源費用，直到該平臺成功募集到第一個1,000萬美元資金為止。<a href="https://www.ithome.com.tw/news/129382" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>美國官司第一勝：蘋果被判侵權，賠償高通3100萬美元</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/qualcomm-960.png" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_ Google地圖</span></p> <p>高通與蘋果官司在美國市場第一回合結果揭曉，美國聖地牙哥法院判決蘋果侵犯高通3項專利，需賠償3100萬美元。<a href="https://ithome.com.tw/news/129401" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Android Q首個預覽版問世，強化隱私與安全機制</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/adroidq-960.png" style="width: 500px;" /></strong></span></p> <p>Google釋出新一代Android平台Android Q的首個預覽版，包括可供所有早期採用者試用的Android Q Beta 1，以及供開發人員下載的SDK預覽版。<a href="https://ithome.com.tw/news/129334" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>基於區塊鏈技術的身分驗證方興起，強調零信任與去識別化</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/960x420zhu_tu_qu_kuai_lian_baasid.jpg" style="width: 500px;" /></p> <p>關於身分識別的資安議題，近年不斷受到各界討論，隨著集中化的帳號資料庫外洩事件頻傳、簡訊OTP驗證不夠安全等，如何因應這樣的課題，全球都在關注，而相關的技術也不斷在演進與發展。<a href="https://www.ithome.com.tw/news/129143" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>微軟修補64個安全漏洞，當中兩個已遭開採</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0314patch_tuesday-960.png" style="width: 500px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_ 微軟</span></p> <p>微軟發布三月Patch Tuesday，有17個重大（Critical）漏洞，另有2個已遭到駭客開採，資安專家呼籲使用者最好立即修補。已被開採的CVE-2019-0797是由卡巴斯基實驗室在今年2月所發現的Windows本地端權限擴張漏洞，當Win32k無法適當處理記憶體中的物件時就會觸發漏洞，允許駭客於核心模式執行任意程式，包括安裝程式、變更或刪除資料，也能建立具備完整使用者權限的新帳號。<a href="https://www.ithome.com.tw/news/129323" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>臺灣是全球受Botnet攻擊最多的國家</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/zhu_tu_check_pointtai_wan_wei_xie_960x420.jpg" style="width: 500px;" /></strong></span></p> <p>全球的資安威脅情勢不斷轉變，從前些年的勒索軟體的威脅，到去年上半的挖礦攻擊，現在2019年已經過了兩個月，去年一整年到現在，又有哪些新的重點值得關注呢？資安業者Check Point特別針對臺灣惡意程式攻擊企業組織的態勢，提供了他們所偵測分析的相關數據。<a href="https://www.ithome.com.tw/news/129187" target="_blank">更多內容</a></p> </div></div></div>
2019/3/24 12:00未署名https://www.ithome.com.tw/news/129467
【iThome CIO大調查（下）】2019高科技製造業IT投資戰略分析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/912_diao_cha_-gao_ke_ji_-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div id="_idContainer115"> <p>高科技製造業今年IT投資創新高，平均金額突破1億元大關，成長率更達到11%。IT投資翻倍的高科技製造業者比例也居各產業之冠，達到4.4%，也就是說，2千大企業中的高科技業者，每22家，就有1家的IT投資翻倍。</p> </div> <div id="_idContainer116"> <p>為何今年高科技製造業者今年願意大力投資IT？先從CIO年度目標來看，以推動數位轉型為目標的高科技CIO們達到38.1%，比服務業的比例還高。</p> <p>重視數據分析和商業分析的IT主管從去年的26.8%，提高到39.2%，更有2成高科技業CIO們今年首重業務變革和商業變革，他們期待IT可以在其中扮演一定的角色，而不只是旁觀或支援。也因此，對於數據分析和商業分析的重視程度也更勝往年，有四成IT主管將此項目標視為年度重要工作。</p> <p>AI是近兩年高科技製造業大力投入的重點投資，大數據分析技術的投資今年也再加碼，今年將有16.5%的高科技製造業將採用AIoT技術和深度學習技術。值得觀察的是，邊緣運算風潮也開始吹進臺灣高科技業者，今年將有11.3%的企業想要採用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/912%20%E8%AA%BF%E6%9F%A5-%E9%AB%98%E7%A7%91%E6%8A%80-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/912%20%E8%AA%BF%E6%9F%A5-%E9%AB%98%E7%A7%91%E6%8A%80-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/912%20%E8%AA%BF%E6%9F%A5-%E9%AB%98%E7%A7%91%E6%8A%80-600-3.png" style="width: 600px;" /></p> <p class="rteleft"><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>iThome 2019年CIO大調查問卷執行說明</strong></span></span></p> <p class="rteleft"><span style="color: rgb(105, 105, 105);"><strong>調查對象涵蓋了臺灣2千大企業，搭配iThome歷屆CIO大調查企業中的資訊部門最高主管，及政府一級機構、大專院校資訊主管和資安主管等，來進行線上問卷調查。調查從2019年1月21日到2月19日結束，回收488份問卷，有效問卷數382份。其中有76.7％填答者是企業IT部門最高主管。</strong></span></p> <p class="rteleft"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> </strong></span></p> <p class="rteleft"><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/129350" target="_blank">【iThome 2019企業CIO大調查（上）】</a></strong></span></p> <p class="rteleft"><a href="https://www.ithome.com.tw/article/129515" target="_blank"><strong><span style="font-size: 20px;">【iThome CIO大調查（下）】2019金融業IT投資戰略分析</span></strong></a></p> <p class="rteleft"><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/article/129516" target="_blank">【iThome CIO大調查（下）】2019服務業IT投資戰略分析</a></strong></span></p> </div> </div></div></div>
2019/3/24 10:00未署名https://www.ithome.com.tw/article/129517
安聯先培養混合型IT數位人才，再靠AI和敏捷搶攻保險科技未來
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「保險科技的崛起，將對保險產業產生顛覆性的影響，未來也將成為各家保險公司競爭的新利器。」安聯人壽副總經理暨資訊長張維亨眼神堅定地說道。</p> <p>儘管臺灣幾年前，就開始發展金融科技，但保險科技的發展相對較慢，直到今年，金管會才決定要開始力推。不過，保險業者早就開始布局，像是安聯人壽（簡稱安聯），早從2010年開始，花了整整5年的時間，先進行壽險核心系統升級轉換。</p> <p>隨著系統完成升級轉換，臺灣正逢保險科技興起之際，尤其是行動化趨勢吹近金融圈，也促使安聯決定將行動投保、客戶服務等應用，列入未來發展重點之一。</p> <p>安聯接連展開了各項數位化專案，不僅為保險業務員開發了行動投保工具「安聯i探索」、保經代數位保險銷售工具「安聯行動王」等數位工具，藉此提升業務員銷售效率；去年更推出智能客服機器人「Allie」，要提升客戶體驗。</p> <p>「當安聯人壽內部有數位化專案的需求時，第一時間要找的就是IT。」張維亨表示，IT扮演的角色是新技術導入評估與引進。</p> <p>不過，每次遇到數位化專案的需求，安聯IT並不急著重新打造一套系統，而是先盤點後臺的核心系統的功能，檢視現有功能可支援專案哪些需求，再直接透過API串接到前臺系統。張維亨的原則就是，「核心系統現有功能，一定要拿出來再利用，不要重複開發、疊床架物，這樣才是更有效率。」</p> <p>像在智能客服Allie中所提供的保險服務，如保單貸款、基金轉換、增加保額等，都是中後臺的保險核心系統現有功能，安聯IT會來開發後臺的對外API串接機制，讓中後臺也能變成是API Ready的系統。不過，他提醒：「中後臺保險核心系統的穩定性、功能完整性，以及快速反應外部需求的敏捷性，反而成為關鍵。」張維亨點出。</p> <p>所以，張維亨也訂出了API Ready系統的五大原則，他要求，安聯人壽系統必須講究模組化、參數化、靈活性、可再利用性與可擴展性等原則。這也是安聯自行開發的自我共通標準，也有助於加快將服務或模組包成API，來提供不同的用戶端通路使用，包括了網站、App或智能客服等。不只新專案，這五項原則也是張維亨長期以來，對自家IT團隊的堅持和要求。</p> <p><span style="font-size: 28px;"><strong>敏捷已成為開發數位化專案的標準，訓練人員成為混合型人才</strong></span></p> <p>除了中、後臺的系統開發與維運，API中介機制開發之外，安聯IT另一個重要的工作是，參與專案前期規畫。張維亨說，使用單位提出數位化專案提案後，在開始進入商業分析（BA）階段時，IT就會加入討論，直到找出更明確的開發或功能需求。</p> <p>為了讓這樣跨部門合作更有效率，在安聯「敏捷已經成為重要數位化專案標準必備作法。」張維亨指出，專案開發人員是以混編的形式組成，不只前臺人員，IT的中、後臺人員都要參與，特別是與客戶服務、銷售、CS管理這類的數位專案開發。</p> <p>而安聯會將原本整套式龐大的開發需求，依照特定順序拆解成小規模或小範圍的「小包需求」，張維亨這樣形容，再針對小包需求進行開發與測試，來提升開發效率，這能讓產品更符合使用者需求，這是敏捷開發的目標。另外，也會製作大量的雛形設計（Prototype），讓開發團隊與使用單位之間溝通更順暢。不只敏捷，安聯內部還導入了設計思考（Design Thinking）方法論，改以客戶為中心，來規畫如何讓產品與服務更符合客戶需求。</p> <p>為了落實這些方法論，張維亨特別點出團隊的能力是關鍵，「在數位化專案中的專案經理、商業分析與IT開發團隊的人才，都要具備敏捷、Design Thinking的概念，在團隊合作時，才能更有效率。」而且，他強調，數位化需要混合型人才，商業分析者得懂一點IT，而IT略懂商業分析，讓雙方隨著專案一起成長，才能讓他們鍛鍊出數位化混合型人才所需的能力。</p> <p>不過，「改變人很難，」張維亨的策略是「先做再說，不對就調整，而且速度一定要夠快。他會將數位化專案直接指派給IT人員，藉此訓練敏捷作法，嘗試之後IT也會體會到其中的好處。」</p> <p><span style="font-size: 28px;"><strong>發展ML、DL與大數據分析的挑戰與解方</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:250px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/P2%E4%B8%AD%E9%96%93%E5%9C%96%E6%AA%94%E7%B7%A8%E8%99%9F%EF%BC%9A08_(%E6%8A%BD)%E5%BC%B5%E7%B6%AD%E4%BA%A8_%E5%AE%89%E8%81%AF%E4%BA%BA%E5%A3%BD_%E8%B3%87%E8%A8%8A%E9%83%A8%20%E5%89%AF%E7%B8%BD%E7%B6%93%E7%90%86_20190225_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 250px;" /></td> </tr><tr><td> <p><span style="color:#808080;"><strong>安聯人壽資訊長張維亨表示，專案經理、商業分析與IT成員，都要具備敏捷和設計思考思維，團隊合作才能更有效率。(攝影／洪政偉)</strong></span></p> </td> </tr></tbody></table><p>安聯人壽今年上半發展策略是，專注在機器學習與深度學習，張維亨已將其列為內部未來的核心技術，目前也找來外部廠商進行訓練。但他認為：「ML、DL的技術還有機會克服，最大問題是資料，包括資料是否數位化、資料量是否足夠、資料品質是否夠好等，都是關鍵。」</p> <p>要訓練機器學習得先有大量資料，不過，張維亨表示，過去安聯多數保險資料都是紙本文件，光是要數位化紙本文件的工夫就非常大，儘管也有不少已掃描完成的影像檔或PDF檔案，可加快轉成數位化資料的速度，但仍需要花時間清理，這對安聯來說都是一個大挑戰。</p> <p>另外，資料的品質也是課題，例如有些既有表單重要的欄位資料漏填，或是資料庫中部分欄位的資料有缺損，也可能會導致AI模型訓練所需的資料量還是不足。</p> <p>張維亨透露，安聯現在開始嘗試不同的解法，試圖用很少量的資料來訓練AI模型，初步發現，辨識度可以到達一定程度，雖然距離商業應用還有一段距離，但安聯也願意先花時間與成本，來累積資料量與改善品質，就是為了日後有機會達到靠電腦來判讀文件的程度。</p> <p>其實，安聯在2016年上線的行動投保工具「安聯i探索」，就是要在取得保戶資料之初，就先一併完成數位化，不只為了要取代紙本文件，也能節省後續要數位化文件的麻煩。張維亨說，這些年來我們一直朝這方向努力，儘管要花一些時間改變客戶、銷售人員的習慣，但這對於未來發展機器學習、深度學習、大數據分析等，都是正面的作法。</p> <p>為了確保行動投保工具所蒐集資料的品質，安聯IT還利用程式檢核，讓資料能到達一定的水準與程度。張維亨解釋，在保戶資料要輸入系統時，就先透過規則引擎（Rule Engine），強制要求保戶或業務員必填此這些欄位，以避免日後缺資料。</p> <p><span style="font-size: 28px;"><strong>下一步是語意分析結合RPA</strong></span></p> <p>然而，文件辨識仍是一個大問題。張維亨解釋，安聯內部在執行保險的例行作業時，雖然能夠做到自動化辨識文件了，但遇到在要保書中的健康告知項目的其中一欄，要求詳述的欄位，通常上面寫了很多保戶的資訊，這些文字內容還得靠人腦來判斷，才能決定下一步的動作，「一般的自動化流程走到這就斷了。」他坦言。</p> <p>「如果已經數位化的資料，能夠讓電腦直接讀懂它，整體自動化的斷點就未必會產生。」張維亨認為，這得用語意分析技術（Semantic Analysis）來解決。</p> <p>另外，不只需要分析文字的內容語意，還要能採取後續的動作，若是下一個動作是在核心系統內的操作，原有的自動化腳本程式可以繼續執行，但若得跨出核心系統，張維亨表示，這時就需要機器人流程自動化（Robotic Process Automation，RPA）工具來幫忙。</p> <p>舉例來說，內部人員在進行反洗錢（AML）作業時，得由人力逐一查詢許多網站，或是反洗錢資料庫，對應欲查詢的姓名，在過去是否有需要注意的交易記錄，而這樣的動作，其實已經跳出核心系統涵蓋範圍了。得透過RPA，讓機器人程式自動在搜尋引擎逐頁搜尋姓名，搭配語意分析來判讀，就能協助反洗錢人員是否該注意特定人的過去記錄。</p> <p>張維亨透露，安聯預計今年下半，會開始專注在語意分析技術結合RPA的應用，並持續引進相關技術與人才，來實現更深一層的自動化。他自己更預測，未來保險應用上，語意分析技術或RPA將會是新一代自動化的利器。</p> <p><span style="font-size: 28px;"><strong>安聯未來戰略要靠DevOps、雲端和微服務</strong></span></p> <p>除了積極找尋AI的應用場景，安聯人壽也已經開始導入DevOps，而且將會是他們今年的一大重點。張維亨透露，目前安聯臺灣正主導執行一個重要的跨國性數位化專案，就是要運用DevOps相關工具與方法論，進行導入來提升開發與維運的效率。未來，也計畫將DevOps導入在更多數位資產的開發與維運上。</p> <p>從初期導入經驗中，他指出，DevOps在開發面的問題較小，而是在維運面，尤其遇上需處理到客戶資料時，就得考慮是否能放上雲端環境的法令規範。所以，第一階段，安聯會先從開發開始導入DevOps，維運面則再評估。他認為，若法令沒有鬆綁，就得將資料落地到私有雲中，不過落地成本較高，他還是期待，政府能進一步的開放保險業上雲，才能降低降低、應用面也更廣。</p> <p>另一個，他正在密切關注的挑戰是微服務。張維亨觀察，隨著安聯各種數位化工具的使用量越來越高，對系統硬體、資料庫效能、整體網路架構與頻寬的衝擊，將會是未來得逐漸重視的地方。尤其，那些在內部開發與維運效能不錯的系統，一旦介接外部需求，遇到爆量資料後，系統效能會造成問題。</p> <p>「系統需擴充性，才能支撐更大量的客戶進來使用安聯的服務，得有和過去不同的思考角度。」為了應付不可預期的用量，他已開始評估硬體升級，也考慮將基礎架構微服務化，他認為長遠來看，微服務化是必走之路。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> CIO小檔案 </span></span></strong></p> <p><strong>安聯人壽資訊長張維亨</strong></p> <p>學歷：中原大學數學系畢業</p> <p>經歷：在壽險領域長達30年的豐富經歷，先後待過國泰人壽電腦部、遠雄人壽資訊部，1997年加入在臺落地不久的安聯人壽，負責建置壽險核心系統，1999年升任安聯人壽資訊長，帶領資訊部門至今，長達整整20年，期間曾兼任安聯人壽營運長一職。</p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(51, 153, 255);"> 機關檔案 </span></strong></p> <p><strong>安聯人壽</strong></p> <p>● 成立時間：1995年3月27日</p> <p>● 主要業務：屬於德國安聯集團旗下成員，為臺灣第一大外資壽險公司，也是臺灣投資型保險商品的領導品牌之一</p> <p>● 地址：臺北市信義路五段100號5樓</p> <p>● 董事長：薛傅睿</p> <p>● 總經理：林順才</p> <p>● 員工數：514人</p> <p>● 年營收：約703.5億元（2017年）</p> <p>● 網址：<a href="http://www.allianz.com.tw">www.allianz.com.tw</a></p> <p>● 地址：臺北市信義路五段100號5樓</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 資訊部門檔案 </span></strong></p> <p>● 資訊部門名稱：資訊部</p> <p>● 資訊部門主管：張維亨</p> <p>● 直屬主管：陳俊宏</p> <p>● 資訊部門人數：45人</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IT大事記 </span></strong></span></p> <p>● 1995年：安聯人壽開業（壽險核心系統：CAPSIL）</p> <p>● 1996年：壽險核心系統：CAPSIL退役</p> <p>● 1997年～1999年：建置壽險核心系統</p> <p>● 2000年～2003年：建置多元通路系統、投資型商品系統、投資型GMIB商品導入等核心系統。以及銀行保經代內部使用系統、保戶會員網站系統、銷售人員網站系統</p> <p>● 2004年～2009年：建置保戶會員網站投資型線上變更功能、新契約線上受理網站系統、投資型GMDB商品導入系統</p> <p>● 2010年～2015年：壽險核心系統升級轉換；同期，合併臺灣匯豐人壽，進行系統整合</p> <p>● 2016年～2018年：安聯人壽部分傳統保單業務至中國人壽交易案，進行系統及保單資料拆分、系統TSA服務提供、買方系統整合配合作業。同期，建置業務員行動投保系統「安聯i探索」、保經代行動投保暨電子簽署系統「安聯行動王」、銀行行動投保API介接服務，以及AI智能客服系統「Allie艾莉」</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/p1zhu_tu_tu_dang_bian_hao_02_nei_ye_zhang_wei_heng_an_lian_ren_shou_zi_xun_bu_fu_zong_jing_li_20190225_hong_zheng_wei_she_.jpg" width="960" height="420" alt="" title="安聯人壽資訊長張維亨　(攝影／洪政偉)" /></div></div></div>
2019/3/23 12:00作者李靜宜https://www.ithome.com.tw/people/129418
AI趨勢周報第79期：臉書大方開源自家3款AI硬體設計
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0315～0322)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">臉書 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 硬體 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>臉書大方開源自家3款AI硬體設計，要優化AI模型訓練和部署</strong></span></p> <p>臉書日前開源自家3項硬體設計，包括用來加速AI模型訓練的硬體平臺Zion、用來優化AI推理的伺服器解決方案Kings Canyon，以及用於影片轉碼的專用ASIC晶片Mount Shasta，希望解決不斷增長的AI訓練、推理和部署的工作量需求。Zion平臺由3個部分組成，包括有8個NUMA架構CPU插槽的伺服器、可支援8張加速卡的平臺設計，以及可支援多廠牌的OCP加速卡模組（OAM）。臉書表示，Zion可提高訓練神經網路模型的效率，比如CNN、LSTM和SparseNN。而Kings Canyon由4部分組成，包括Kings Canyon M2推理模組、Twin Lakes單插槽伺服器、Glacier Point v2載板和Yosemite v2機架，只要透過適當的模型分割（Model Partitioning），就能執行大型深度學習模型的運算。至於Mount Shasta，臉書期待它能比現有伺服器更有效率，達到在10 W功率內至少能處理2x4k解析度、60FPS的輸入串流，而臉書未來也將用於自家資料中心。<a href="https://code.fb.com/data-center-engineering/accelerating-infrastructure/">（詳全文）</a></p> <p><img alt="" src="https://code.fb.com/wp-content/uploads/2019/03/animation4_5.gif" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺大 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧醫療 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 傷口判讀 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>該不該看醫生？臺大傷口判讀App 10秒告訴你</strong></span></p> <p>臺大生醫電資所聯手臺大醫院，歷時3年打造一款傷口智慧判讀App：AI-SWAS，使用者只要將傷口照片上傳，系統就會在10秒內偵測傷口狀況，比如紅、腫、壞死或感染，並給予是否就醫的建議。為打造AI-SWAS，研究團隊首先針對46位病患，拍攝了術後每一天的傷口照片，再由醫生選出具代表性的131張照片，來訓練AI模型。另一方面，AI-SWAS也內建照片編修軟體，可自動校正傷口照片的明暗、色差等問題，也能排除刺青的影響，減少誤判率。</p> <p>經試驗，AI-SWAS在判斷傷口狀態（即是否正常）的準確度為90%，而傷口症狀（腫、壞死、出血、膿）的準確度則是91%。臺大醫院表示，AI-SWAS可幫助術後病人在家追蹤傷口狀況，方便遠端照護。未來，臺大醫院也計畫擴大該系統的運用至各類傷口的照護。<a href="https://www.ntuh.gov.tw/information/Lists/latest_news/DispForm.aspx?ID=758&Source=/ntuh_chinese.aspx">（詳全文）</a></p> <p><img alt="" src="https://www.ntuh.gov.tw/image/News/20190313%E8%87%BA%E5%A4%A7AI_SWAS%E5%8F%AF%E4%BB%A5%E5%88%A4%E6%96%B7%E7%B4%85%E8%85%AB%E7%86%B1%E5%A3%9E%E6%AD%BB%E6%84%9F%E6%9F%934%E7%A8%AE%E5%82%B7%E5%8F%A3%E7%8B%80%E6%85%8B.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 工研院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療影像AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 糖尿病 </span></strong></span></p> <p><span style="font-size:22px;"><strong>工研院最新成果：國產糖尿病視網膜病變AI診斷技術獨步全球</strong></span></p> <p>工研院打造國產糖尿病視網膜病變AI輔助診斷系統，要協助非眼科醫生判讀糖尿病患的眼底圖。2017年時，工研院向國內3家醫學中心取得31萬張眼底圖，經過資料預處理之後，工研院便請了50位眼科醫生來標註剩餘的10多萬張影像。這套AI系統，可偵測4種主要病徵，包括微細血管瘤、出血、軟滲出物、硬滲出物，而且能標示出這些病徵的位置，方便醫生與病患解釋病變情況。李雅文強調，自家研發的糖尿病視網膜病變AI系統，可說是目前國際上唯一一個能標示出病徵位置的糖尿病視網膜病變AI系統。</p> <p>偵測病徵後，這套系統也會依此來分類病變程度，包括0至4級，準確率已達85％以上。此外，該AI系統也有2分類模型，根據病變程度來建議是否要應轉診至眼科。<a href="https://www.itri.org.tw/Chi/Content/techTransfer/tech_tran_cont.aspx?&SiteID=1&MmmID=621026736466753142&ST=D&TD=B&OZ=&MSid=5898">（詳全文）</a></p> <p><img alt="" src="https://www.itri.org.tw/chi/WebTools/Thumbnail.ashx?Siteid=1&MmmID=620605426112545320&fd=MsgPic01_Pics&Pname=AI%20%e7%b3%96%e5%b0%bf%e7%97%85%e7%9c%bc%e5%ba%95%e5%bd%b1%e5%83%8f%e8%be%a8%e8%ad%98%e6%8a%80%e8%a1%93_20180808103407.jpg&nw=600" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Seeing AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 視障輔助 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟強化視障輔助程式Seeing AI，點選照片就能聽見物件描述</strong></span></p> <p>微軟更新了專供視障人士使用的Seeing AI行動程式，新版Seeing AI讓使用者只要點選照片中的物件，就能聽到關於該物件的描述與其空間關係，讓視障人士更能理解照片中的物件排列方式。Seeing AI運用了電腦視覺、文件辨識、機器學習及自然語言等AI技術，也利用了iOS中的螢幕朗讀（VoiceOver）功能，能語音讀出使用者用Seeing AI拍下的文件、人像、菜單或者是掃描產品條碼內容，甚至還能猜測人像的年紀及情緒。</p> <p>現在Seeing AI還能辨識照片上的不同物件，此一新功能是利用微軟近來力推的自訂視覺服務（Custom Vision Service），該服務具備影像分類與物件偵測功能，可在影像中加入標籤，還能回傳標籤坐標。因此，當Seeing AI用戶點選照片中的各個物件時，就能聽到語音描述與它們之間的空間關係。<a href="https://blogs.msdn.microsoft.com/accessibility/2019/03/12/seeingai/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Mozilla </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資料科學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Iodide </span></strong></span></p> <p><span style="font-size:22px;"><strong>Mozilla發表資料科學用的網頁工具Iodide，能同時檢視程式碼以及報告文件</strong></span></p> <p>Mozilla釋出一套工具Iodide，不只可以為非技術讀者輸出最終報告文件，資料科學家也可以深入探索原始碼。Iodide不僅是程式開發環境，也一併把文書編輯工具綁來，以減少溝通性工作流程的摩擦，受邀查看報告的使用者，可以隨時深入底層，存取程式碼和編輯環境。</p> <p>Iodide提供了探索和報告視圖功能。探索視圖為一系列窗格，包括供使用者撰寫程式碼的編輯器、可查看程式碼輸出的控制臺、檢查變數的工作區域瀏覽器，以及預覽報告的預覽窗格。而在Iodide中，還能執行Python，透過編譯Python科學堆疊成為WebAssembly應用程式。Iodide支援Numpy、Pandas和Matplotlib等熱門函式庫，也包括資料科學家很常用的Scipy和scikit-learn。目前，Iodide仍在Alpha測試中。<a href="https://hacks.mozilla.org/2019/03/iodide-an-experimental-tool-for-scientific-communicatiodide-for-scientific-communication-exploration-on-the-web/">（詳全文）</a></p> <p><img alt="" src="https://2r4s9p1yi1fa2jd7j43zph8r-wpengine.netdna-ssl.com/files/2019/03/lorenz-final-loop.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ML </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 離線語音 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google直接在手機部署機器學習模型，離線也能使用語音輸入文字</strong></span></p> <p>Google最新的語音辨識技術，能直接在裝置上放置機器學習模型，讓語音轉文字辨識功能離線作業，以解決網路限制造成的服務延遲。Google新的語音辨識技術，採用RNN換能器（RNN-T）訓練的模型，可連續處理輸入的樣本，並串流輸出字符。</p> <p>為提高語音辨識的用處，Google在裝置放上新模型，直接在裝置上進行語音辨識分析。Google訓練的RNN-T模型只有450MB，就能提供與傳統伺服器模型相同的精準度，但450MB對行動裝置來說仍太過龐大，Google透過自家壓縮技術，最終壓縮的模型只有80MB，模型參數化擁有比起訓練的浮點數模型高4倍的壓縮率，執行速度快4倍，可提供離線語音辨識服務。<a href="https://ai.googleblog.com/2019/03/an-all-neural-on-device-speech.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">健保署 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大數據 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>健保資料庫最快6月適度開放，可望創造更多醫療AI應用</strong></span></p> <p>中央健保署署長李伯璋日前在一場生技醫療產業趨勢論壇中首度揭露健保資料庫開放時程，承諾去識別化後的健保資料，最快可在今年六月讓業界企業與學術單位聯合申請，鬆綁以往只開放學術單位使用的規定，讓大數據獲得更有效的應用。</p> <p>健保於1995年開辦至今，已累積20多年資料，加上衛福部2009年起投入電子病歷系統的建置工作，將國內醫療單位所有的病歷、檢驗報告與醫學影像全面e化，已累積大量資料。如健保署至今收載超過1,700萬件（約7.7億張）醫療影像，若能將此巨量資料應用於機器學習，訓練AI病理師輔助醫生進行疾病判讀，則可大幅降低誤診機率。<a href="https://www.ithome.com.tw/news/129290">（詳全文）</a></p> <p>圖片來源／臉書、臺大醫院、工研院、Mozilla</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. 中華電信聯手軟銀，要靠AIoT來發展智慧城市和智慧資產追蹤</strong></p> <p><strong>2. 蘋果買下前Google工程師創立的機器學習新創</strong></p> <p><strong>3. AI2：中國AI論文數量早就超越美國，品質即將迎頭趕上</strong></p> <p>資料來源：iThome整理，2019年3月</p> </div></div></div>
2019/3/22 18:46作者王若樸https://www.ithome.com.tw/news/129543
降低網路攻擊或災損從事前防範做起，澳洲政府實施八大減緩策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了降低各種網路威脅，所引發的網路安全事件，許多政府也在積極採取行動。例如，為了因應網路威脅，澳洲國家安全局在2010年提出網路攻擊減緩策略的指導方針，而這也成為日後政府單位、企業都能夠參考的依據。</p> <p>舉例而言，為降低網路入侵的影響，澳州政府共規畫了35項的減緩策略，以及，便於政府機關可以依據相對應的技術手冊，供單位完成相關評估與執行作業。在此當中，負責該國國防安全的澳洲通訊情報局（Australian Signals Directorate，ASD），評估出最重要的前四大網路安全減緩策略，包括應用程式白名單、應用程式漏洞修補、作業系統漏洞修補與限制管理者權限等，這是他們根據網路威脅環境現況，所規畫出最有效的安全控制措施，並認為將可以阻擋或降低85％的網路攻擊威脅機率。</p> <p>在2017年，他們並更新了四大減緩策略，以及四項額外的控制，也就是所謂的Essential Eight，在上述四項策略之外，還包含關閉不信任的微軟 Office巨集、使用者應用程式管控、實施多因素驗證與每日備份。簡單來說，上述這些減緩策略已經被視為8個最基本的要求。</p> <h2><span style="color:#0099ff;"><strong>藉由遵循8大基本策略，以降低網路安全的威脅 </strong></span></h2> <p>在2018年7月，澳洲網路安全中心（ACSC）納入至ASD旗下，該組織成立於2014年，前身為獨立的網路安全運行中心（CSOC），包含對政府機構提供全面的網路態勢情報。現在， ACSC不僅成為法定機構，並吸收了來自 CERT Australia與數位轉型局的專家，在對應時下的資安情勢，他們的職責是著重在網路攻擊發生之後的恢復能力（Resilience），不論是關鍵基礎設施、政府機構、中小企業、學術界，以及非營利部門、社群等。 </p> <p>對於Essential Eight，ACSC也提出解釋，由於沒有單一的緩解策略，可以保證防止網路安全事件發生，而Essential Eight可以視為一個基準，更重要的是，實施這八項基本的緩解略，可以比回應大規模網路安全事件，更具成本效益。同時，他們未來也將不斷更新這些策略，以因應網路威脅環境現況的改變。</p> <p>最初公布於2017年的Essential Eight，最新版本在今年1月發布，內容僅有微幅調整，以最新的「Essential Eight Explained」報告來看，這8項緩解策略原本歸納為兩大類別，現在則分成三大類別，包括避免惡意程式傳送與執行、限制網路安全事件的範圍，以及資料復原與系統可用性。同時，ACSC也針對這8項做初步的解釋。</p> <h3><span style="color:#B22222;"><strong>第一類：避免惡意程式傳送與執行 </strong></span></h3> <p>● <strong>應用程式白名單（Application Whitelisting）</strong>：僅允許已知的應用程式執行，以防止執行未經授權的惡意程式，包括：EXE檔、DLL檔、Script （Windows Script Host、PowerShell、 HTA）與安裝程式。</p> <p>● <strong>更新修補應用程式（Patching Applications）</strong>：包括Flash、瀏覽器、微軟Office、Java與PDF檢視器，對於嚴重風險漏洞的更新修補，需在48小時內完成，並要使用最新版的應用程式。也就是說，要儘速修補這些應用程式的已知安全漏洞。 </p> <p>●<strong>管控微軟Office巨集的相關設定（Configuring Microsoft Office macro settings）</strong>：封鎖文件中來自網際網路的巨集，並且只允許信任位置的巨集，而它們本身也就是受到權限控管與審查，或是使用憑證數位簽署的巨集。簡單而言，就是要封鎖不信任的巨集。 </p> <p>●<strong>使用者應用程式控管強化（User Application hardening）</strong>：禁止Flash、廣告與Java在瀏覽器上執行，禁用微軟Office的OLE功能，以及封鎖網頁瀏覽器與PDF檢視器中不需要的功能。目的是為了避免這些易受攻擊的功能被利用。</p> <h3><span style="color:#B22222;"><strong>第二類：限制網路安全事件的範圍 </strong></span></h3> <p>●<strong>限制系統管理的權限（Restrict administrative privileges）</strong>：對於作業系統與應用程式的執行，需基於用戶職責來提供對應的權限，並要定期重新驗證特權帳號的適當性。此外，不要使用特權帳號監控電子郵件與網頁瀏覽的行為。</p> <p>●<strong>執行作業系統更新修補（Patch operating systems）</strong>：不只是電腦作業系統，還包括網路設備等，對於嚴重風險漏洞的更新修補，需在48小時內完成。建議使用最新版的系統版本，並且不要使用已經終止支援的版本。</p> <p>●<strong>實施多因素驗證（Multi-factor authentication）</strong>：對於遠端存取連線行為，如VPN、RDP、SSH等，以及所有用戶執行特權操作，或存取重要資料時，應該要以多因素驗證的機制來強化保護。</p> <h3><span style="color:#B22222;"><strong>第三類：資料復原與系統可用性</strong></span></h3> <p>●<strong>每日備份（Daily backups）</strong>：對於重要資料的新增或變更，以及軟體與配置設定的備份，需要保留至少3個月。關於備份工作的驗證，不僅要在一開始就進行，也要每年執行，每當IT基礎架構變動時也要測試，以保持重要資料的可用性。</p> <h2><strong><span style="color:#0099ff;">藉助Essential Eight的成熟度模式，幫助組織單位落實 </span></strong></h2> <p>另一方面，為了幫助組織單位實施 Essential Eight，ACSC在2018年還公布了Essential Eight Maturity Model，為這 8種網路安全減緩策略，定義了5個成熟度（Maturity）層級，包含了Level 0∼Level 4，來代表各項策略落實的程度。例如：</p> <p><span style="color:#000000;">Level 0：不符合緩解策略的意圖 <br /> Level 1：部分符合緩解策略的意圖 <br /> Level 2：大多與緩解策略意圖一致<br /> Level 3：完全符合緩解策略的意圖 <br /> Level 4：適合高風險環境 </span></p> <p>簡單來說，Level 0是完全沒做到緩解策略的訴求，他們認為最起碼的安全基準來看，要達到Level 3才是完全符合，而Level 4將適合高風險環境採用。因此，企業應以力求達到成熟度級別3為目標。</p> <p>舉例而言，以使用者應用程式控管強化的策略來說，若是組織內的網頁瀏覽器可自動播放Adobe Flash的內容，或是瀏覽器的Flash設定能被使用者變更，就是屬於成熟度Level 0，完全沒達到緩解策略的要求。</p> <p>若是已限制瀏覽器的Flash設定不能被使用者更改，但網頁瀏覽器上的Flash內容，使用者還是可以按一下就播放，則是屬於成熟度Level 1。</p> <p>更進一步的強化管控，就是要讓瀏覽器封鎖或不支援播放Flash內容，且封鎖廣告與來自網路的Java程式，這是成熟度Level 2。</p> <p>若要能完全符合緩解策略的意圖，做到成熟度Level 3的要求，還必須要關閉微軟Office的Flash與OLE功能，以及關閉瀏覽器、微軟Office與PDF檢視器的非必要功能。</p> <p>此外，未來ACSC將不斷更新Essential Eight的內容，以因應最新的網路威脅局勢。例如，在今年2月底，為了簡化組織評估與執行Essential Eight，ACSC只列出Level 1、Level 2、Level 3成熟度級別，方便一般組織在每種緩解策略，都能朝向完全符合緩解策略意圖的Level 3邁進。</p> <p>而ACSC也提醒，在實施這些緩解策略之前，組織單位也應先識別那些系統需要保護，分析那些攻擊者最有可能鎖定自己的系統，以及確定需要何種級別的防護，並要持續提高目標，最終以符合每個緩解策略的意圖。</p> </div></div></div>
2019/3/22 18:27作者羅正漢https://www.ithome.com.tw/news/129541
微軟Windows Defender ATP端點安全軟體改名，開始支援Mac
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/Windows-Defender-ATP/Announcing-Microsoft-Defender-ATP-for-Mac/ba-p/378010" target="_blank">微軟宣佈</a>端點安全產品Windows Defender進階威脅防護（Advanced Threat Protection，ATP）將開始測試支援Mac平台，並改名Microsoft Defender ATP。</p> <p>Windows Defender ATP是微軟整合型端點防護解決方案。它透過內建於作業系統中的端點行為感測器，蒐集電腦行為訊號傳送到企業雲中個別的雲端執行個體（instance），配合微軟雲端分析服務及威脅情報提供安全分析，協助企業掃瞄、偵測、防堵及回應網路威脅。</p> <p>微軟表示一直和夥伴合作希望讓Windows Defender ATP防護對象能擴及非Windows平台，以便讓IT管理人員在單一介面中控管多種平台系統。繼二月將Windows Defender ATP支援Windows 7/8.1後，微軟再度將這套安全軟體的支援範圍擴及Mac，使IT部門可同時管理涵括Windows和Mac系統的企業環境。原本的Windows Defender ATP產品名稱也將改名為Microsoft Defender ATP。</p> <p>Mac版將具備和Windows 10版Defender類似的介面設計。它會將蒐集到的Mac電腦行為資訊則會匯整到<a href="https://techcommunity.microsoft.com/t5/Windows-Defender-ATP/Announcing-Microsoft-Defender-ATP-for-Mac/ba-p/378010">Microsoft Defender ATP入口網站</a>。</p> <p>新產品可支援管理的端點Mac版本包括macOS Mojave、macOS High Sierra及macOS Sierra。微軟也開始提供限量企業測試版供企業<a href="https://www.microsoft.com/en-us/wdsi/support/macpreviewsignup" target="_blank">申請下載</a>。</p> <p>在最新企業測試版中，目前只提供惡意程式掃瞄、隔離、移除病毒、以及調整設定的功能，微軟表示日後還會陸續加入其他功能。</p> <p><a href="https://techcommunity.microsoft.com/t5/Windows-Defender-ATP/Introducing-a-risk-based-approach-to-threat-and-vulnerability/ba-p/377845" target="_blank">微軟同時宣佈Microsoft Defender ATP加入威脅與弱點管理</a>，它是利用風險值協助企業發現、排序和修正端點弱點和組態不當情形的服務，預計4月底隨公共預覽版釋出。</p> </div></div></div>
2019/3/22 16:25作者林妍溱https://www.ithome.com.tw/news/129523
川普拔擢32歲的Michael Kratsios為美國技術長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國技術長之位懸缺兩年之後，美國總統川普（Donald Trump）終於在3月21日宣布將<a href="https://www.whitehouse.gov/presidential-actions/president-donald-j-trump-announces-intent-nominate-personnel-key-administration-post-12/" target="_blank">任命現為副技術長的Michael Kratsios擔任技術長一職</a>。</p> <p>1986年出生的Kratsios現年只有32歲，畢業於普林斯頓大學的政治系，目前是川普科技政策的副助理，也是美國的副技術長，在加入川普團隊之前，Kratsios曾擔任資產管理公司Thiel Capital的投資總監，也曾是知名創投家Peter Thiel的參謀。</p> <p><a href="https://www.whitehouse.gov/people/michael-kratsios/" target="_blank">白宮的新聞稿</a>僅扼要地宣布川普有意任命Kratsios成為美國的技術長，並無其它的描述。</p> <p>第一任的美國技術長為美國前任總統歐巴馬（Barack Obama）所任命的Aneesh Chopra，歐巴馬就任的8年間總計任名了3名技術長，還包括Todd Park與Megan Smith，而自川普於2017年上任以來，美國技術長一職一直懸缺著。</p> <p>觀察<a href="https://en.wikipedia.org/wiki/Chief_Technology_Officer_of_the_United_States" target="_blank">歷屆美國技術長</a>的背景，Chopra主修的是公共政策，Park的專長為經濟學，Smith大學主修機械工程，並在麻省理工學院的媒體實驗室完成碩士學位。</p> </div></div></div>
2019/3/22 16:30作者陳曉莉https://www.ithome.com.tw/news/129524
駭客開採WordPress外掛程式漏洞以進行技術支援詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://blog.nintechnet.com/critical-0day-vulnerability-fixed-in-wordpress-easy-wp-smtp-plugin/" target="_blank">NinTechNet日前揭露知名WordPress外掛程式Easy WP SMTP含有重大的零時差攻擊漏洞</a>，將允許駭客接管WordPress網站，隨後另一資安業者Wordfence則發現，已有不同的駭客針對該漏洞展開攻擊，其中一組利用它來執行技術支援詐騙。</p> <p>Easy WP SMTP可讓WordPress用戶藉由SMTP伺服器配置及傳送電子郵件，以避免自該站寄出的郵件被歸類為垃圾郵件，估計全球有超過30萬個WordPress網站安裝了此一外掛。</p> <p>相關漏洞主要涉及Easy WP SMTP 1.3.9版新增的匯入/匯出功能，它可用來匯入或匯出外掛程式的配置，並更新WordPress資料庫的選項，然而，它並未檢查使用者的權限，於是任何登入的使用者或訂閱用戶都能夠觸發它，允許未經授權的使用者傳送AJAX請求以執行任何程式。</p> <p>NinTechNet的研究人員打造了一個概念性驗證程式，藉由匯入設定上傳了一個含有惡意程式的檔案，啟用使用者註冊功能並把使用者的預設身分設為資料庫的管理員。同時NinTechNet也發現駭客已開採該漏洞，但駭客並非只建立一個管理員帳號，而是讓所有使用者都具備管理員權限，這意味著只要一個單純的訂閱用戶就能執行管理功能。</p> <p>隨後<a href="https://www.wordfence.com/blog/2019/03/hackers-abusing-recently-patched-vulnerability-in-easy-wp-smtp-plugin/" target="_blank">Wordfence更發現至少有兩組駭客已針對該漏洞展開攻擊</a>。其中一組駭客只利用該漏洞來新增管理員帳號，以備不時之需，但另一組駭客則進一步將使用者流量導至技術支援詐騙網頁，企圖展開詐騙行動。</p> <p>Easy WP SMTP是在3月15日得知此一漏洞的存在，並於3月17日釋出了修補該漏洞的<a href="https://tw.wordpress.org/plugins/easy-wp-smtp/" target="_blank">Easy WP SMTP 1.3.9.1版</a>，有鑑於駭客仍在搜尋尚未修補相關漏洞的WordPress網站，資安專家們呼籲Easy WP SMTP用戶應儘快部署最新版本。</p> </div></div></div>
2019/3/22 16:45作者陳曉莉https://www.ithome.com.tw/news/129525
【iThome CIO大調查（下）】2019金融業IT投資戰略分析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/912_diao_cha_-jin_rong_-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金融業數位轉型需求持續上揚，今年有半數IT主管，將數位轉型視為年度重要目標，僅次於向來重視的資訊安全和IT穩定。儘管金融業IT投資成長力道和去年相當，今年達到6.7%，金額也以6.7億元居各產業之冠，大數據和機器學習仍是三大技術發展重心之一，然而，這兩者預算占IT投資的比例卻些微下滑，反而是數位行銷的占比，大大提高到IT預算的7.3%。開放銀行趨勢開始吹進臺灣，保險科技也開始在臺熱絡，金管會已經開始著手推動相關法規的鬆綁和規範，金融業IT投資的焦點開始擴大到更多議題，Open API架構成了金融業三大新興科技採用重點之一，而相對應的微服務架構需求比去年更高，從23.3%提高到33.3%，多了一成業者擁抱微服務架構。</p> <p>行動AI應用將是金融業新亮點，有意採用的業者比例是去年的4倍多，帶動更多進階AI應用需求，深度學習技術的，採用從去年的13.3%，提高到23.3%。從進階分析到新興基礎架構的導入，這些跡象都反映出，今年金融業者不只加速建置高彈性IT體質的建置，也開始往AI深化應用邁進。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/912%20%E8%AA%BF%E6%9F%A5-%E9%87%91%E8%9E%8D-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/912%20%E8%AA%BF%E6%9F%A5-%E9%87%91%E8%9E%8D-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/912%20%E8%AA%BF%E6%9F%A5-%E9%87%91%E8%9E%8D-600-3.png" style="width: 600px;" /></p> </div></div></div>
2019/3/22 15:00未署名https://www.ithome.com.tw/article/129515
Pwn2Own：研究人員揭露兩種攻陷Safari手法，其中之一可用來接管Mac
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.thezdi.com/blog/2019/3/20/pwn2own-vancouver-2019-day-one-results">趨勢科技旗下的零時差倡議（Zero-Day Initiative，ZDI）公布了2019年Pwn2Own駭客競賽的首日成績</a>，指出參賽的研究人員總計執行4次完整的攻擊，抱走24萬美元的獎金，當中有兩次攻擊是鎖定蘋果的Safari，其中一項攻擊更直接接管了Mac電腦。</p> <p>在由Amat Cama與Richard Zhu組成的Fluoroacetate鎖定Safari瀏覽器的攻擊行動中，他們利用瀏覽器的整數溢位漏洞與堆積溢位漏洞成功地執行了沙箱逃逸，獲得5.5萬美元的獎賞。</p> <p>同樣鎖定Safari展開攻擊的phoenhex & qwerty團隊，則成功示範了如何藉由攻陷Safari接管Mac系統。他們設計了一個惡意網站，當以Safari造訪該站時，他們執行了兩次的越界讀取（Out-of-Bounds Read）攻擊，以觸發一個即時編譯（JIT）漏洞，再利用「檢查至使用的時間差」（"Time of Check" to "Time of Use"）漏洞擴張權限，得以接管受害者的Mac系統。由於蘋果已得知該團隊所利用的其中一個安全漏洞，使得phoenhex & qwerty僅贏得了4.5萬美元的獎金。</p> <p>Pwn2Own競賽的首日成果，還包括Fluoroacetate與STAR Labs成功攻陷甲骨文的VirtualBox，雙雙抱走3.5萬美元的獎金，Fluoroacetate也破解了VMware Workstation的安全機制而得以在主要作業系統上執行任意程式而贏得7萬美元的大獎。</p> <p>當天光是Fluoroacetate就抱回16萬美元的獎金，為首日的大贏家，是角逐「破解大師」（Master of Pwn）最熱門的團隊。</p> </div></div></div>
2019/3/22 12:10作者陳曉莉https://www.ithome.com.tw/news/129513
Salesforce服務雲加入AI功能以及協作服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.salesforce.com/company/news-press/press-releases/2019/03/190319/">Salesforce擴充了服務雲（Service Cloud）中的客戶服務</a>，加入新的智慧推薦以及路由功能，不只能提供業務最佳的回覆建議，還能推薦需要的知識文章，而案件路由（Case Routing）功能可以按造規則，將案件分配給適合的業務處理。</p> <p>Salesforce這幾年一直在服務雲中加入Einstein人工智慧功能，包括聊天機器人以及案件分類功能，目的讓業務控制臺更加智慧，使業務的工作能越來越自動化，而現在Salesforce再次對服務雲增加三項人工智慧功能。</p> <p>現在新的Einstein回覆建議（Reply Recommendations）功能可以使用自然語言，透過聊天或是訊息的方式，即時提供業務最佳回應，Salesforce提到，這樣不只能夠節省時間，還能提高客戶查詢的回覆品質。而使用機器學習模型能夠方便取用過去累積的知識，Einstein文章推薦（Article Recommendations）功能可以為業務推薦最佳知識文章，並提供快速解決案例所需要的訊息。</p> <p>而Einstein最佳行動（Next Best Action）能夠利用商業規則以及預測智慧，在業務與客戶互動的期間建議最佳行動方案，幫助提高客戶滿意度，並發現交叉銷售的機會。另外，Einstein案件路由（Case Routing）則是透過機器學習完全自動化路由過程，根據預設標準將案例分配給正確的佇列或是業務，可以根據專業或是過去成果，找出最有資格解決問題的人選。</p> <p>Salesforce還提到，由於業務經常花費太多的時間找答案，但比起找答案，專注在客戶參與上更加重要，而現在Quip服務將可以改善這項問題，能向多個團隊收集答案或是協作檔案，業務可以直接在控制臺中嵌入生產力以及協作工具。</p> <p>Quip是Salesforce在2016年以7.5億美元收購的公司，而現在Quip被嵌入到控制臺中，讓業務互相通訊，共同協作檔案，企業也可以讓相關主題的專家，加入案件幫忙解決複雜的問題，並直接在案例紀錄中進行即時的對話，而管理員可以在業務控制臺中建構和發布Quip模板，並根據不同使用案例和特殊組織需求，對其進行客製化。</p> <p>Salesforce認為這些新功能將會完全改變業務的工作方式，當企業接到裝置故障維修的要求時，Einstein案件路由能自動完成案件資訊紀錄，並將案件分配給能最快提供服務的業務，而Einstein文章推薦功能則會自動提供業務需要的知識，Einstein回覆建議也能回答客戶問題。</p> </div></div></div>
2019/3/22 11:40作者李建興https://www.ithome.com.tw/news/129501
抗議歐盟《著作權指令》！德語等四語言維基百科暫停服務一天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了向歐盟抗議目前版本的《著作權指令》（Copyright Directive），<a href="https://wikimediafoundation.org/2019/03/20/four-wikipedias-to-black-out-over-eu-copyright-directive/">3月21日德語、捷克語、丹麥語和斯洛伐克語四個語言的維基百科將阻擋外部存取</a>，並顯示反對《著作權指令》的全版廣告。</p> <p>歐盟《著作權指令》中爭議最大的第13以及第11兩條。第13條為上傳過濾器協議，要求讓使用者發布內容的商業網站，以最大程度的努力購買需要的版權，並且要求少部分的網站需要部署過濾器，以防止使用者上傳有版權的內容。另外，第11條連結稅條款，要求搜尋引擎、新聞聚合器還有個人、小型企業甚至是非營利組織的服務，其使用新聞連結與一同出現的文字，都需要授權許可。</p> <p>維基百科顯然為受影響的服務之一，而《著作權指令》又即將在3月26日進行最後的表決，因此來自德語、捷克語、丹麥語和斯洛伐克語的志願者編輯社群決定在3月21日，阻擋這幾種語言的維基百科內容24小時，並將使用者流量導向反對《著作權指令》的蓋板廣告，以對《著作權指令》表達抗議。</p> <p>這些獨立社群是經過討論並達成共識後，做出阻擋維基百科存取的決定，在德國維基百科社群中的聲明提到，這幾個獨立維基社群都經過公開的線上討論，對行動的方針以及抗議的方式，都進行了投票，社群們根據治理規則完成了決議。</p> <p>然而這也不是志願者編輯第一次對可能影響維基百科，或是更廣泛的網際網路自由開發政策發聲抗議，在2011年和2012年，義大利、英國和俄羅斯的維基百科就曾分別抗議過義大利、英國和俄羅斯的法律提案。雖然這樣的事件很少發生，但通常是意圖明確且有充分理由，志願者編輯才會採取這樣的行動。</p> <p>維基媒體提到，社群通常最能理解當地政策背景，並就網站參與方式做出決策，而維基媒體基金會的責任就是尊重每個社群的決策，並努力確保他們的行動獲得支援，而這種社群治理的方法，是維基百科和維基媒體專案之所以強大和獨特的部分。</p> </div></div></div>
2019/3/22 11:40作者李建興https://www.ithome.com.tw/news/129496
AWS Direct Connect託管連線新增GB級連接選項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/new-gigabit-connectivity-options-for-amazon-direct-connect/">AWS Direct Connect現在提供更高容量的託管連線（Hosted Connections）</a>，支援1、2、5與10 Gbps的選擇。AWS Direct Connect讓企業可以在資料中心、辦公室和託管環境，與AWS之間建立專用網路連線，跟網際網路連接相比，能夠以更低的價格取得更高的吞吐量，企業需要與AWS Direct Connect合作夥伴配合才能建立連接。</p> <p>AWS Direct Connect包含了三種不同的模型，分別是專用連線（Dedicated Connections）、託管連線（Hosted Connections）以及托管虛擬介面（Hosted Virtual Interfaces）。專用連接提供1 Gbps 與10 Gbps的容量，企業可以在管理控制臺中申請，是一個專用物理的乙太連接埠</p> <p>而託管連線原本僅提供50到500 Mbps，並由AWS Direct Connect合作夥伴提供，在企業建立網路迴路後，AWS Direct Connect容量可以透過按需新增或是移除託管連線調整，每個託管連線都支援單一虛擬介面（Virtual Interfaces，VIF），企業可以透過或許多個託管連線以獲得多個虛擬介面。</p> <p>AWS宣布即日起，透過特別的AWS Direct Connect合作夥伴，企業能夠取得高容量的託管連線，現在提供的容量為1、2、5與10 Gbps。AWS提到，大多數的AWS Direct Connect合作夥伴都支援按需新增或是刪除託管連線，企業可以在需要的時候創建託管連線，並在使用完畢時移除。官方舉例，當企業在每個季度結束，都需要將大量的資料存檔到Amazon Glacier，就能在每個季度末創建託管連線，上傳資料結束後再移除。</p> </div></div></div>
2019/3/22 11:41作者李建興https://www.ithome.com.tw/news/129502
臉書再出包！數百萬用戶密碼以明文儲存長達7年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安部落格<a href="https://krebsonsecurity.com/2019/03/facebook-stored-hundreds-of-millions-of-user-passwords-in-plain-text-for-years/" target="_blank">Krebs On Security引述消息人士報導</a>，臉書數百萬用戶帳號密碼早從2012年起就以明文儲存，且至少有數千名員工已經搜尋過，但臉書表示沒有證據顯示這些密碼遭到存取。</p> <p>這也獲得<a href="https://newsroom.fb.com/news/2019/03/keeping-passwords-secure/" target="_blank">臉書證實</a>。臉書是在今年一月進行內部調查時，發現大批密碼以明文儲存在臉書內部資料儲存系統。臉書原本透過雜湊及加鹽，包括使用scrypt算法及加密金鑰來隱藏用戶密碼。Krebs On Security引述消息人士指出，因為「一連串的安全行為失當」，讓某些員工撰寫了可紀錄用戶未經加密處理的密碼、且讓這些資料且以明文格式儲存。</p> <p>有「數億Facebook Lite用戶、數千萬臉書用戶及數萬IG用戶」受到影響。臉書聲稱該公司一發現上述情形已修補問題。臉書也認為這批資料外人都看不到，迄今也沒有證據顯示內部有人濫用或不當存取，不過為以防萬一臉書仍將會通知所有受影響的用戶。</p> <p>消息人士透露，臉書粗估有2億到6億筆臉書用戶的密碼以明文儲存，有權限搜尋的臉書員工超過2萬名。初步調查顯示，確有2000名左右的臉書工程師或開發人員已經對包含這些密碼的資料做過查詢，且次數將近900萬次。雖然還未確定曝光的密碼總數及曝光時間，但現階段得知曝光密碼最早可追溯到2012 年。</p> <p>Krebs On Security引述臉書工程師Scott Renfro回應指出，公司計畫通知受影響的臉書用戶，但不需要重設密碼。他並表示，員工撰寫的app是不小心紀錄到用戶密碼，沒有明確風險。</p> <p>此事可能再讓臉書資安問題浮上檯面。歷經去年的多次大規模資料外洩，已重創臉書形象，臉書執行長<a href="https://www.ithome.com.tw/news/129156" target="_blank">祖克柏（Mark Zuckerberg）今年發表宣言</a>，昭告未來臉書將建構以隱私、加密及資料安全為中心的通訊平台為宗旨。然而之後的事件仍然讓人質疑它的決心，包括它<a href="https://www.ithome.com.tw/news/128483" target="_blank">打算整合</a>Facebook Messenger、WhatsApp、IG為共通傳訊平台，引發個資隱私疑慮。本月又有<a href="https://www.ithome.com.tw/news/129101" target="_blank">研究人員發現</a>，臉書要用戶輸入作用雙因素驗證（2 Factor Authentication，2FA）的電話號碼，反而可讓其他人搜尋到，而且這項功能想關也關不掉。</p> </div></div></div>
2019/3/22 11:45作者林妍溱https://www.ithome.com.tw/news/129511
傳Nokia手機將用戶資訊傳送給中國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nrkbeta.no/2019/03/21/norske-telefoner-sendte-personopplysninger-til-kina/" target="_blank">芬蘭媒體NRK報導</a>有Nokia 7 Plus手機用戶發現到其手機暗中將資料傳送到中國。芬蘭資料保護主管機關已經介入調查。</p> <p>報導指出，一名Nokia 7 Plus的用戶Henrik Austad今年2月發現這支手機經常與一台伺服器連線並傳送資料未加密的封包。他檢視封包內容，發現連線目的地是中國，而且包含很敏感的資訊，包括他的所在位置、SIM卡號碼及手機序號、電話號碼以及連接的基地台。</p> <p>只要Nokia 7 Plus手機一開啟，不論螢幕是否開啟，這些資料都會傳送到位於中國位於vnet.cn網域的伺服器。接到封包及一路上可存取流量資訊的所有人都能追蹤手機的動向。</p> <p>Nokia 7 Plus是HMD Global去年第一季在中國上市，相當受到歡迎。報導指出，曾創下5分鐘內賣出25萬支的佳績。</p> <p>媒體根據連線的URL判斷連線彼端的伺服器所在網域是向中國互聯網中心（CNNIC）註冊，它也是主管中國頂級網域.cn的單位。而透過CNNIC，媒體也追查出該網域屬於中國最大電信公司<a href="https://w ww.engadget.com/2019/03/21/finland-investigating-nokia-data-china/" target="_blank">中國電信</a>。</p> <p>報導指出，GitHub上流傳的一段註冊程序的程式碼，包含可蒐集手機資料的程式碼，這段程式碼及資訊格式都和Nokia 7 Plus相當類似。這段程式碼也正好位於「中國電信」的資料夾，似乎2014年即已存在。</p> <p>媒體判斷可能原本只用於中國，不知為何卻被用在Nokia 7 Plus手機上。但報導引述另一名<a href="https://twitter.com/drwetter/status/1081267425637814273" target="_blank">安全研究人員Dirk Wetter指出</a>，程式碼也可能是刻意被置入手機內。不過HMD Global並未回應，是否這是該公司為交換在中國開賣手機而和中國方面做的協議。</p> <p>芬蘭資料主管機關：芬蘭資料保護委員會對此已著手調查。若調查屬實，也會是違反歐洲隱私法GDPR的重大事件。</p> </div></div></div>
2019/3/22 11:56作者林妍溱https://www.ithome.com.tw/news/129512
【臺灣資安大會直擊】亞馬遜4大資安防禦層作法首度在臺公開，亞馬遜日本資安官親自揭露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業的資安漏洞在黑市裡被兜售，防不勝防，或許企業無法阻止資安漏洞被賣到黑市，但也許可藉漏洞獎勵計畫（Bug Bounty Program）形成一股與黑市競爭的力道，在臺灣資安大會的最後一天（3/21），亞馬遜日本資安官陳浩在臺首度揭露亞馬遜資安防禦機制，更點出參與漏洞獎勵計畫的白帽駭客，在防護機制上，有著舉足輕重的地位。此外，除了擔綱亞馬遜日本的資安負責人，陳浩維還是亞馬遜全球漏洞獎勵計劃的負責人，因此他也在演說中分享，亞馬遜如何把白帽駭客當成自己的夥伴，一同聯手強化資安防護的戰力。</p> <p>亞馬遜零售事業的資安防禦機制，陳浩維表示，可由上而下，畫分為4層。首先是審查層，為了有效地審查程式碼與架構的安全性，亞馬遜從教育訓練著手，不只軟體開發者須接受資安相關訓練，全體員工每年也都必須參加資安訓練課程，以確保每位員工都具備嚴謹，且最新的資安思維和認識。有了著實的訓練後，每個開發者所設計的程式碼，都需通過同儕審查機制，才可進行部署。</p> <p>而為有效管理不同類型的應用程式，亞馬遜還按應用的資安風險程度，將它們畫分進不同的類別，以進行不同的審查流程，包含了模擬攻擊，及審查架構設計等程序。陳浩維舉例，管理客戶資料的相關應用，就歸屬於最高級風險的類別，需要經歷最嚴謹的批准程序，才可通過審查。</p> <p>但陳浩維指出，即使經過分類，需要審查的軟體數量仍十分龐大，為解決人力不足的問題，軟體開發部門於是在各地招募駐地的外部開發人員，經過訓練後，賦予他們資安大使的認證資格，協助參與程式設計的功能審查。審查層的最後一道關卡，則是針對已發覺有漏洞，但尚未修復的應用，進行部署控制，確保應用在未完成漏洞修復工作前，不可上架或更新版本。</p> <p>審查層所設下的多道關卡，其實是為篩選出需進入第二階層防禦機制，進行實際安全測試的應用，陳浩維解釋。第二層的測驗由亞馬遜資訊部負責，除了透過靜態程式碼分析，確保程式碼的品質，亦藉由估算攻擊者可蒐集的資訊量，測試者會對僅知名稱的應用，進行黑箱滲透測試，另外，對完整了解其環境的應用，進行白箱滲透測試。且此階層不只涵蓋手動的測試方式，也採取自動化的方式，掃描應用存有的弱點。</p> <p>下一階層則為紅隊測試，內部資訊人員以攻擊者的角度出發，針對滲透測試無法完整盤點資安風險的關鍵產品，以及安全係數較高的應用，模擬駭客各種可能入侵的手段，通過探查作業，找出產品和應用的弱點，以實際了解它們可能遭受攻擊的漏洞，來對照出防禦能力上的缺陷，進而快速防堵並採取因應措施。 </p> <p>最後一階層的資安防禦機制，亞馬遜則透過與外部的白帽駭客合作，借助他們的攻擊思維，找出應用與產品被遺漏的弱點，強化防禦能量，並有效減少投入的資安成本。陳浩維還進一步說明，白帽駭客協助防禦，更是為了要確保客戶對亞馬遜服務信任，且因白帽駭客來自於全世界各地，所在地為不同的時區，而能24小時不中斷地進行大範圍的測試，以幫助亞馬遜發覺其忽略的漏洞。集結白帽駭客戰力的亞馬遜全球漏洞獎勵計劃（Vulnerability Reporting Program），目前分為邀請制和公開參與制兩種模式，陳浩維透漏，亞馬遜也正考慮未來開放內部員工一同參與。</p> <p>亞馬遜也用以客為尊的服務思維，來與白帽駭客合作，陳浩維解釋，不只是提供獎勵，從去年開始，亞馬遜更頒發感謝證書給邀請制中的白帽駭客，這也是亞馬遜創立20多年來，頭一回頒發證書給駭客。為表最高的尊重之意，證書還附上手寫卡片及管理高層的親筆簽名，以示亞馬遜對參與者的重視，而這些巧思就是由該計畫幕後的主力推手陳浩維所提出。透過這些舉動，亞馬遜期望建立與白帽駭客間的信任，成為一同對抗惡意攻擊的夥伴。</p> <p>陳浩維強調，不管是透過內部紅隊模擬惡意攻擊者的行為，或是邀請外部白帽駭客參與滲透測試，都是望提高攻擊者的成本，在真實攻擊發生前，做好防禦，並且創造不只對企業，也對網路社會有益的生態圈，讓大眾能安心使用網路服務。</p> </div></div></div>
2019/3/21 23:42作者黃郁芸https://www.ithome.com.tw/news/129507
【臺灣資安大會直擊】金管會大談四大金融資安監理，顧立雄更要金融業將資安視為業務創新的基石
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「金融資安，是金融業務創新發展的基石。」金管會主委顧立雄在臺灣資安大會金融安全論壇中開場時強調，金融業在發展科技創新時，勢必會帶來新的資安風險，所以仍須兼顧風險管理。尤其要面對越來越全球化和專業化的駭客攻擊，他進一步指出，金融業要發展以風險為導向的資安防護機制，來建立更完善的資安防護機制。</p> <p>在2019臺灣資安大會特別安排了一場金融安全論壇，不只金管會副主委黃天牧揭露金管會金融政策中與資安防禦相關的四大金融資安監理作為，金管會主委顧立雄也親自開場致詞，來凸顯金融業主管機關對資安的重視。</p> <p>而金融業界也齊聚一堂，包括永豐金控資安長李相臣、台北富邦銀行數位金融顧問李維斌、玉山銀行暨玉山金控資訊長謝萬禮、第一銀行資訊長劉培文、台新金控資訊長孫一仕，與將來銀行籌備處策略長吳建頤。</p> <p>此外，勤業眾信聯合會計師事務所董事萬幼筠，也針對金融機構在創新的同時，該如何強化企業的資安韌性進行演說。戴夫寇爾（DEVCORE）執行長翁浩正，也以駭客觀點看金融業情資，並分享企業如何在紅隊演練後，最佳化資安的資源、預算等投資。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5299.jpg" /></p> <p>金管會主委顧立雄。</p> </blockquote> <p>顧立雄也提到，金融機構面對來自全球的資安攻擊，如何化被動為主動，全面分析預防系統性風險的發生，是金融資安管理的首要課題。</p> <p>金管會副主委黃天牧也表示，「資安是所有人都要關心的議題，雖然資安不可能百分百做好，但金管會有責任要將資安環境做好。」</p> <p><strong><span style="font-size:24px;"><span style="color:#0000FF;">金融領域資安防護痛點</span></span></strong></p> <p>但，金融資安體系有四個防護痛點，黃天牧指出，第一是風險高，組織型駭客不斷試圖攻擊或勒索金融產業，一是為了錢，二是為了個資。第二是威脅多，金融產業快速發展新興技術時，就會與外界有更多接觸，進入金融體系的機會就越大．資安的威脅也就會增多。</p> <p>第三是溝通少，金融機構的資安防護各自獨立，跨行間缺少訊息溝通管道，所以需要協調平臺讓大家分享資安訊息。但是，金融機構本身不希望將自己遭受資安的問題，讓主管機關知道，主要是擔心受到名譽的損傷，以及害怕主管機關對它做更多的監理。「我們必須驅除這心賊，讓大家知道一起討論資安問題，才能對資安做更好的維護。」黃天牧強調。</p> <p>第四則是金融資安專業人才短缺，不止金融業缺乏金融科技與資安人才，金管會也做了臨時性的編組，把人力調整，在金融科技與資安上做了些著墨。</p> <p><strong><span style="font-size:24px;"><span style="color:#0000FF;">金管會推動金融資安監理的四項策略方向</span></span></strong></p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5333.jpg" /></p> <p>金管會副主委黃天牧。</p> </blockquote> <p>黃天牧表示，為了要推動金融資安監理，金管會也有四大推動策略方向，包括強化政策驅動、完備資安規範，提升資安能量以及落實資安執行，要藉由這四方向，完善金融資安制度，並推動業者落實執行。</p> <p>他提到，在強化政策驅動上，不是強制要求金融機構做資安，應該是要給個誘因，讓金融經營業者有動能去重視資安。</p> <p>金管會的作法是給出經濟誘因，然而，經濟誘因得與金融機構的業務有所連結。黃天牧舉例，金融業者申請開辦業務案件時，金管會就會檢視業者資安管理做得好不好，「資安會被列為業務准駁的重要考量因素之一」</p> <p>金管會也會將資安，納為存保費率計提的因素，讓資安做得好的銀行，適用較低的存保費率等，透過降低業者經營成本，作為鼓勵。而未落實資訊安全的金融機構，就會提高其作業風險法定資本的計提，讓兩者有所區別。</p> <p>「在金融監理，主管機關扮演的是推動者的角色，最重要的還是金融機構的董事會要負責資安的維護。」黃天牧強調，許多董事會其實不知道該如何監理資安，常常是知其然，不知其所以然。所以透過教育訓練，去強化企業董事會對資安的認知，以及對金融監理的能力，變得相當重要，因為董事會是營運公司最重要的決策族群。</p> <p>黃天牧表示，金管會也會在約談金融機構負責人時，將資安納入約談議題，要求負責人對資安有充分認知，換言之，金融機構董事會和負責人對資安的態度，會決定這個金融機構重不重視資安。</p> <p>而在完備資安規範部分，金管會認為，資安問題是與各金融機關的業務有關，而公會又是最清楚銀行、保險、證券做了哪些業務的組織，所以金管會會去要求公會訂定並定期檢討資安自律規範，因為他們才知道金融機構的業務，在現有的IT技術水準上，應該要做到什麼樣的資安規範。</p> <p>「金融機構資安做不好，等於內控做得不好，就會有處分的規定。」黃天牧透露，近期銀行法與證交法會有新的修正，將會強化處分範圍與法度，對於因資安做不好而違反內控，將來會有更強的處分機制，藉此進行節制。</p> <p>再來是提升資安能量，過往，資安可能是資訊的一部分，所以金管會規定銀行業與保險業資產總額達1兆元以上，需設置獨立的資安專責單位。「有專責單位，就會有更多的資源，有資源就會好好做資安，因為資安是花錢的。」他說。</p> <p>黃天牧表示，「資安不是口頭說說，而是要真正去做。」金管會每年也會配合行政院規畫，選擇部分金融機構作實際的跨域情境演練、DDoS演練、電子郵件社交工程、外網滲透測試與內網滲透測試。他也透露，金管會今年將規畫金融核心系統實驗場域，以及紅藍軍對抗等攻防演練，要用更逼真、挑戰的情境去測試金融機構，是否擁有抵禦資安的能力。</p> <p>最後是落實資安的執行，金融業得強化內部資安稽核功能。黃天牧提到，金管會的檢查局從去年開始，不只是做一般性的檢查而已，而是針對資安議題辦理專案檢查，藉此督促金融機構改進。未來，金管會也規畫辦理對網路銀行與行動銀行的專案審查，同時也正在準備，當未來純網銀成立後，將以何種機制進行審查。</p> </div></div></div>
2019/3/22 01:24作者李靜宜https://www.ithome.com.tw/news/129508
【臺灣資安大會直擊】4家國產資安大談海外拓銷經驗，要讓更多臺灣資安產品也能走向國際
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">在2019臺灣資安大會第三天有一場特別的</span>「臺灣資安國際拓銷論壇」<span class="s1">，找來國內多位資安企業代表，分別是精品科技董事長劉振漢、網擎資訊（Openfind）行銷處協理林家正、TeamT5 CEO蔡松廷、尚承科技CEO兼創辦人賴育承，而4位講者也就不同面向的產品與服務型態，分享向外國拓銷的經驗與面臨的挑戰。</span></p> <p class="p1"><span class="s1">劉振漢表示，當初會與日本最大SI公司NTT DATA合作，是因為日本2005年實施「個人情報保護法」，使當時各大政府、企業開始尋找相關產品以保護資料，也讓精品科技的X-FORT電子資料控管系統有機會被相中、獲得NTT DATA青睞而採用。</span></p> <p class="p1"><span class="s1">「但比機緣更重要的是，持續不斷的努力。」劉振漢強調，例如當時他們馬上就遇到不少挑戰，例如原有英文版操作手冊與介面得全面換成日文；遇到有顧客打給客服要諮詢問題時，因資安疑慮不能使用過去慣用的遠端連線作法，來協助解決顧客問題，而得耗費更多時間成本來了解顧客的狀況；也曾遇到大型企業用戶的導入規模太大，不只從決策到導入的時程非常久，一次部署上萬台電腦的模擬，也常與實際執行時的情況有出入，這都是他們進軍日本市場時真實遇到的挑戰。</span></p> <p class="p1"><span class="s1">進軍日本的國產業者不只</span>精品科技<span class="s1">，Openfind也在2000年進入了日本市場，開設了日本分公司，根據Openfind數據，2018年時，他們旗下</span>MailBase郵件歸檔產品的市占率達到26.2%，連續十年勝過所有日本當地業者的同類產品。除此之外，Openfind也搶在Gmail之前，就進軍奈及利亞市場，推出結合雲端功能的郵件服務，目前，全球市場上已有逾百萬的雲端用戶，使用者授權數超過2,500萬以上。</p> <p class="p1"><span class="s1">林家正表示，Openfind的海外策略是，偏好與ISP、CSP或電信業者合作，並歸納出三種</span>接觸<span class="s1">目標客戶的方法，分別是結合IaaS與PaaS廠商，加值對方的服務與產品；找當地的行銷公司，請對方協尋相對應的窗口；或積極加入參訪團，尋找合作機會。等到找到當地客戶後，Openfind再以共同品牌（Co-brand）或白牌產品（White Label)的策略，提供在地業者客製化的服務。</span></p> <p class="p1"><span class="s1">「小廠要生存，就要做到他們（大品牌）不能做的東西。」</span>林家正強調，像<span class="s1">Openfind以中價位做中高規格的服務，讓產品彈性符合當地法規、客製化滿足客戶需求，就是要做出差異化的產品，以自身優勢打入中小型企業的市場。</span></p> <p class="p1"><span class="s1">TeamT5是2014年成立的臺灣資安新創公司，主要販售兩項商品，分別是Threat hunting的技術與威脅情資的報告，因兩項商品的目標客群不同，考量代理商的銷售經驗與技術支援能力，而選擇兩家不同性質的代理商協助銷售。</span></p> <p class="p1"><span class="s1">蔡松廷在論壇中提出幾個問題。「技術能力很強？然後呢？」臺灣許多新創團隊行銷包裝、海外拓展能力有限，光有技術人才卻無法開拓國外市場。「怎麼保有具國際競爭力的產品？」日本的國際品牌競爭激烈，如何讓客戶選擇自家的產品是一大挑戰。「是否有打國際戰能力的團隊？」在地化非常重要，必須以客戶的思維去說服購買商品，語言能力也是關鍵。透過幾個問題的反思，提供國內業者開拓海外市場的方向。</span></p> <p class="p1"><span class="s1">最後，尚承科技以IoT Lifecycle Security技術，從晶片下手解決資安問題，也陸續與國際品牌AWS、NXP、Microchip合作。賴育承說明，尚承科技不需要建立太多自己的代理體系，反而積極與生產IoT、IC的原廠合作，「因為他們的客戶也是我們的潛在客戶。」從原廠客戶的產業鏈著手，尋找潛在客戶的銷售通路，以降低尋找代理商的成本，也是企業可參考的方向。</span></p> </div></div></div>
2019/3/21 22:34作者翁芊儒https://www.ithome.com.tw/news/129505
【臺灣資安大會直擊】開創臺灣資安新契機要找出痛點及機會，4臺新創籌資、選題經驗談
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為帶動國內資安產業發展，鼓勵資安新創也是政府所寄望的一大重點環節。那麼，臺灣資安新創所面臨的發展的痛點及機會是什麼呢？</p> <p>在20日舉行的資安新創交流論壇中，邀集了4家臺灣資安新創業者，包括Datiphy、尚承科技、CYBAVO與奧義智慧科技，分享其自身的經驗，透過交流方式相互學習，並期望能為臺灣新創發展提供不同的參考意見。</p> <p>基本上，一間新創公司所需要的資金，以及想要發展的面向，是所有資安新創業者就都會需要面對的問題，而資安領域面向相當廣，要在資安這條路上創業，其實有相當多條路可走。</p> <p>像是隨著各式新技術的發展，包括物聯網、區塊鏈技術，以及機器學習與AI等，全球有各式新興的資安解決方案不斷提出，像是這次4家臺灣資安新創中，所走的道路也都不一樣。如何選出自己想要發展的資安方向，就是資安創業者的一大挑戰，而好的開始，也就是成功的一半。</p> <p><strong>臺灣資安新創資金取得大不易，從矽谷引進創業投資</strong></p> <p>首先，由Datiphy創辦人暨技術長林益正登場，他以身為資安技術人員的角色，說明他是如何從臺灣開始，再借助國際合作伙伴的力量，開創自己的資安新事業。</p> <p>關於Datiphy，公司成立於2015年，總部位於矽谷，在美國、臺灣都有設立研發中心，以及技術支援窗口，主要產品為資料庫稽核。過去，林益正在臺灣資安領域，以玄力科技較為人所熟知，現場他也談到了自己的過去，他是在台大畢業、當完兵後，去美國念書，之後就在當地進入HP工作非常多年，並接觸了相當早期的資安產品開發，之後適逢全球不景氣的時代回臺灣創業，鎖定的技術領域是與資料、蒐集相關，包含資料庫分析、合規、資安風險模型等方面。</p> <p>在林益正的經驗中，他認為創業好處在於，可以省去大公司下的很多與技術研究非關的工作。只是，雖然他懂技術，可以花很多時間在技術上，但他自認沒法面對找資金找人的問題，不像別人能夠賣房子來創業。因此他的想法是，把公司搬到國外，第一件事就是要找一個合作伙伴投資人，不過他也承認，找創業投資（Venture Capital，VC）也是一件可遇不可求的事。</p> <p>在此，他其實點出了國際與臺灣創業在投資面的現況。在美國工作多年的林益正，回臺後才發現在臺灣創業資金不容易獲得，而在美國矽谷這樣新創公司蓬勃發展的地方，只要題目夠好、團隊夠強，就容易受到投資人關注。</p> <p>他並舉例，一間公司在臺灣可能只取得一兩千萬的資金，但在美國卻都是上億。因此，如果自己新創公司有龐大的資金需求，他會建議一開始就去國外尋找。</p> <p>關於資安創業上的經驗，林益正分享了4個新創科技的成功要素，分別是遠見與機會、熱忱、技術，以及團隊。而在新創的過程中，他認為，新創公司選題很重要，好的題目就先成功了一半，並強調有要興趣才能讓公司稱下去，進而有可能找到資金。另外他也提醒，新創公司也應重視透過專利，保護自己的技術，而這也是創業投資方會看的項目。</p> <p><strong>看重IoT安全領域，因為物聯網裝置變更多但</strong><strong>人力不足</strong></p> <p>接著，由尚承科技股份有限公司創辦人暨執行長賴育承，道出他在資安新創的心路歷程。</p> <p>關於尚承科技，成立於2014年，是發展物聯網安全服務的新創公司。賴育承表示，過去他在工研院服務超過10年，這是他第二次創業，而他也坦承，資金問題確實也是尚承科技所面對的一大難題。</p> <p>那麼他是如何解決呢？雖然不到賣房子的地步，但他這次回臺創業，可是將自己與老婆的房都拿去抵押。另外，他還提到曾經在中國找資金時，有一家公司提出翻倍的價格，但想要取得51%的股權，後來他拒絕了。這樣的狀況，其實是各類型新創公司都會面臨的情況。</p> <p>對於資安創業時的選題過程，首先，他看到國內產業對軟體人才不公平的問題，同時他也提到市場已經蓬勃發展，但人才培育進度來不及跟上，而他看好未來最多的裝置就是IoT裝置，因此他創立公司所選定的題目是IoT Lifecycle Security。</p> <p>他並指出，現在IOT Security還是很多沒被解決的問題，然而又沒有人有辦法去做IoT安全方面的Coding，因此他將目標，放在不需要寫任何程式（0 Coding），又要能幫助IoT享有資訊安全的面向，同時針對IoT攻擊背後鎖定的IC，提供服務，期許讓IOT的安全，變得不費力。</p> <p><strong>首次創業就鎖定區塊鏈安全，早期市場切入挑戰大</strong></p> <p>第三個分享的臺灣資安新創業者，是CYBAVO執行長范紀鍠。相較於其他3家臺灣資安新創，CYBAVO成立時間最晚，去年2018年剛剛成立，不過范紀鍠的過去資安經驗也有16年，在趨勢科技任職8年，後來在北京奇虎360工作，這是他首次創業。</p> <p>現場，他也提供了區塊鏈的創業選題經驗。范紀鍠表示，他們團隊是由一群區塊鏈、加密貨幣與資訊安全等各領域專家組成，當初對於區塊鏈金鑰管理有一些想法，因此相中加密錢包的安全。</p> <p>對於區塊鏈上的資安選題，他說明了有兩個方向可以討論，一是區塊鏈上本身的安全問題，另一是可用區塊鏈來解決已有的資安問題。前者包含像是智能合約、DApp安全審計，安全錢包、共識演算法設計、交易安全、KYC/AML、情資分析，NODE節點安全、密碼演算法開發等，後者則有將區塊鏈用在身分識別、設備准入、IoT管理，防毒、單點登入、DNS、隱私與防DDoS。</p> <p>他坦承，這兩個方面題目的挑戰都很大，畢竟區塊鏈本身還沒有很成熟，他們在一個相當早期的階段進入市場，也算是提早準備的階段，但這也是他們在資安創業上很大的挑戰。而他們也希望相關法規認證的成熟，企業為了合規就會願意投資這方面的安全，例如，目前他們相準的是Semi-Code Wallet的方案，希望能結合冷熱錢包的優點，又有</p> <p><strong>廣泛盤點資安市場所有類型，發現共同缺少的部分是自動化</strong></p> <p>最後，則是由奧義智慧科技共同創辦人吳明蔚，來分享他們的資安新創經驗。奧義智慧是在2017年成立，三位創辦人都是知名的網路安全專家，分別是邱銘彰（Birdman）、吳明蔚（Benson）和叢培侃（PK），由於他們前面的資安創業經驗，也讓他們在市場上的新動向，備受多方關注。</p> <p>吳明蔚表示，這是他個人第二次創業。在這次的創業過程中，他們的想法很簡單，離開先前公司時，儘管然還不知道要做哪一方面，但已經有一定要出來的決心。他並秀出他離職時的月薪是18萬元，表示離職前就有背水一戰的想法。</p> <p>關於再次創業，他們一開始也是有資金與選題上的問題。在資金方面，當時他們5人共同也只湊出了295萬元，有車庫創業的感覺。談到國外併購，他認為臺灣缺乏通路品牌、企業招牌，這是新創業者會需要面對的狀況，而這次創業，他們希望能發展臺灣公司，並能夠自己掌握技術。</p> <p>關於當時資安創業他們是如何選題，吳明蔚表示，他們先是透過Momentum Cyber Security Landscape去盤點，但也發現每個資安領域都有很多缺點，最共同的部分就是不夠自動化，爾後他們從資安鑑識、AI這個面向切入，主要也是他們看到過去調查鑑識所花的時間太久。</p> <p>在他們的發展過程中，還遭遇的一個抉擇是，身為一家新創到底要決定只要一個產品走天下，還是願意投資更多將產品補齊去滿足客戶。另外，他們也鼓勵臺灣打團體戰，並抱持樂觀角度鼓勵臺灣資安創業。</p> <p><strong>資安新創打團體戰</strong>，<strong>找到</strong><b>互補可能是不錯選擇</b></p> <p>從這4家臺灣新創的經驗來看，在資金與資安創業選題方面，都給出了他們自身的經驗。不僅如此，言談之間其實還有很多小故事，較值得注意的是，會談中還提到一點建議是，資安新創要打團體戰，並獲得不少贊同意見。因此，在這場資安新創交流論壇中，主持人iThome電腦報總編輯吳其勳，也在接續的座談會中，針對這方面進一步詢問他們這方面的看法。</p> <p>當中，林益正也給出一些意見，他認為，再大的企業資源也有限，為了打團體戰而打團體戰，可能無疾而終，通常比較好的契機點，像是互補性的產品就有機會，只要行得通，就可以再做第二層的整合，通常會帶來比較好的合作成果。</p> <p>雖然，他認為可能10個裡面才有1個成功，而且一開始可能沒有直接能結合互補的公司，因為臺灣公司做的比較散，不過，他認為慢慢還是會發現，同時也提醒要保持開放的態度，全球的公司都可以試試看。</p> <p>而范紀鍠也提到相關經驗，他指出區塊鏈領域，曾經發現有丹麥公司跟自己做得很類似，原本以為是競爭對手，但接觸後才發現，原來雙方目標沒有那麼衝突，反而有了彼此合作的機會。</p> </div></div></div>
2019/3/21 23:23作者羅正漢https://www.ithome.com.tw/news/129506
【臺灣資安大會直擊】世足賽期間資安威脅大公開，趨勢：小心社交平臺、惡意網站及文件讓你惡意程式上身
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">去年對足球迷來說，可能是狂熱的一年，因為每4年一次的世界盃足球賽在俄羅斯舉行，各國球迷齊聚一堂，為自己的國家隊加油，也是足球巨星們展現精湛球技較勁的全球競技場。</span></p> <p class="p1"><span class="s1">不過，世足賽期間不僅足球場上球員表現精采，網路上也出現各種安全威脅，趨勢科技在臺灣資安大會上分享了他們對去年世足賽(6/14-7/15)期間的網路威脅研究。他們從開幕前兩週就先展開觀察，威脅的定義包含了針對世足賽官方舉辦單位及相關組織的惡意程式或惡意網站，未經授權商品及詐欺行為，還有影響實體世足賽安全。</span></p> <p class="p1"><span class="s1">趨勢科技利用自家的Smart Protection Network，加上線上檢測工具Virus Total、新聞媒體，以及Twitter、Instagram等SNS平臺。</span></p> <p class="p1"><span class="s1">趨勢科技研究員Hsiaoyu Shih表示，從我們的觀察來看，這些威脅的大多數是非官方授權的商品販售，例如票券、球衣或球帽，威脅類型主要是以惡意的電子郵件及網站為大宗。在世足賽開始的前兩週就可以看到整體的威脅上升的趨勢，惡意網站數量從世足賽開始的6月14日逐漸下降，推測可能是買到假商品的人通報，使得這類惡意網站被查封。</span></p> <p class="p1"><span class="s1">「這類的網路威脅通常利用人們關心的事件，相信不只會出現在世足賽，也可能發生在2020年將舉行的東京奧運上，或是大型選舉活動，這些都是吸引受害者上當很好的題材」，Hsiaoyu Shih表示。</span></p> <p class="p1"><span class="s1"><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC03338%20(1).jpg" style="width: 600px; height: 399px;" /></span></p> <p class="p1"><strong><span class="s1">SNS成為駭客散佈攻擊的良好管道</span></strong></p> <p class="p1"><span class="s1">趨勢也對Twitter與Instagram等貼文進行威脅分析，以Twitter為例，他們先利用Twitter API鎖定12個賽場方圓1公里內的貼文，再從和世足賽相關的關鍵字如FIFA、Worldcup等過濾這些貼文，蒐集和世足賽有關的內容，其他國家語言的貼文利用Google API翻譯為英文後再蒐集，之後再對較危險的關鍵字如Weapon、Kill、Theaf等標示為紅色，其他如worldcup、bad、fifa等則標為黃色。</span></p> <p class="p1"><span class="s1">沒買到入場票的球迷通常會到賽館現場找找看有沒有黃牛票可買，一則推文表示可提供購票的管道，實際點入後連結到Instagram，再連到非官方的售票網頁；另一例子則是在推文中散佈賭博的訊息，要求使用者點入連結到一個陌生的網站，這個網站可能因為限制造訪者的IP位置，因此無法進入。</span></p> <p class="p1"><span class="s1">「SNS雖然是很好的社交平臺，同時也是駭客散佈攻擊很好的平臺」，她以販售假球衣的訊息為例，球迷進入陌生網站，最遭的可能不是買到假商品，球迷還可能被騙取信用卡資料，蒙受財產上的損失。</span></p> <p class="p1"><span class="s1">趨勢科技也發現疑似從FIFA內部外洩的文件，內容和FIFA官方網站開發有關，被上傳到Virus Total，趨勢科技推測可能是人員失誤，不小心將內部文件流出。</span></p> <p class="p1"><strong><span class="s1">駭客以世足賽免費視訊、預測賽事文件為名散佈惡意程式</span></strong></p> <p class="p1"><span class="s1">在世足賽的研究期間，趨勢發現種種的惡意攻擊手法，其中是一個惡意網站，以知名球星的圖像吸引球迷，宣稱能免費提供觀看球賽的即時串流影像，要求受害者下載一個Android app，實際上這是一個竊取資料的惡意app，安裝後就會開始要求各種裝置的權限，竊取的資料包含使用者的裝置名稱、位置及IP，還有SMS訊息、文件檔案等等。從app利用Google Drive散佈、程式碼訊息中隱含阿拉伯文資訊，種種手法和在中東地區的APT駭客組織APT-C-23極為相似。</span></p> <p class="p1"><span class="s1">另一個攻擊的手法則是以世足賽的賽事結果預測為名散佈惡意的Word文件，當受害者感興趣而點開文件，會顯示文件受到保護，要求啟動文件，啟動後就會看到駭客隨意截取自媒體報導的比賽預測訊息，但同時這個動作也會開始執行惡意巨集程式碼，並從C&C伺服器下載以JPG為副檔名的檔案。</span></p> <p class="p1"><span class="s1">有趣的是，趨勢科技檢視C&C伺服器，發現Image資料匣內的檔案都存放JPG的檔案(下圖)，看起來很合理，打開這些JPG檔案也會看到普通的圖像，實際上這些圖檔掩藏.exe或.dll的可執行檔，一旦執行後便會下載後門程式，竊取受害者的電腦螢幕截圖、側錄鍵盤輸入，或是搜尋特定的檔案，再將竊取的資料上傳到受企業信賴的雲端儲存服務，例如Dropbox。駭客也利用這些受信賴的雲端服務儲存下一階段攻擊的檔案。</span></p> <p class="p1"><span class="s1"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-03-21%20%E4%B8%8B%E5%8D%8810_12_21.jpg" style="width: 600px; height: 403px;" /></span></p> <p class="p1"><span class="s1">趨勢科技解析這份惡意文件，發現先前的文件內容和北韓有關，顯示駭客先前可能曾利用北韓為議題，吸引其他關心這類議題的受害者上當，這代表駭客只要變換題材內容，就能吸引其他目標的注意。從攻擊手法和針對韓語使用者為目標來看，趨勢科技研判和駭客團體Group 123手法相似。</span></p> <p class="p1"><span class="s1">「讓大家為之瘋迷的活動，一定是駭客吸引使用者上當的很好題材，不論是個人或是舉辦賽事等各種大型活動的組織都應該特別小心」，Hsiaoyu Shih表示，個人或組織都應該具備網路安全的知識，對這類吸引人的文件，應該要知道以正確、安全方式處理，她也提醒，即使在活動結束後也要保持警覺，因為駭客的目標可能不是這次的活動，另外，企業也應該要有充足的準備因應攻擊，才能將傷害降到最低。</span></p> </div></div></div>
2019/3/21 22:36作者蘇文彬https://www.ithome.com.tw/news/129504
【臺灣資安大會直擊】行政院資通安全處：政府部門資安治理評鑑新系統將建置完成，最快今年5月上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月，資通安全管理法正式施行後，該法依照機關業務分成A、B、C、D、E等5個資通安全等級，不同級別對應到的資安執行事項也不同，其中針對資通安全要求更高的A、B級機關，依法規定得要完成資安治理的成熟度評估，希望透過自我評量的方式，讓各機關可以持續強化資安自主與管理能力。</p> <p>行政院資通安全處高級分析師林春吟在今日最後一天的臺灣資安大會上也預告，這套新的資安治理評鑑系統，不久即將上線，預計今年5月就會開始實施，屆時，機關就能進到系統來做自我評審，並依據評量的結果，掌握自身資安治理的成熟度，進而針對還不足的資安管理面向，持續改善精進。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20190321_161911.jpg" style="width: 600px; height: 338px;" /></p> <p>在整個評審制度上，可依正三角架構分三層，分別是技術層（如存取管理、通訊管理等）、管理層（如資產管理、資訊委外管理等），以及最頂端的策略層（如資安治理架構、資安資源管理），總共11個管理流程構面，多達40道問項，來做為評分基準。</p> <p>另外，還依據資安治理成熟度建立分級制度，分成0～5共6級，第0級代表未成熟，不具資安治理能力;第1級則是開始具備基本資安治理執行能力。當來到第2級，則是加入流程管理機制，包括治理規劃、執行與監督等;第3級則是更進一步將治理流程作業標準化;第4級更開始運用歷史資料蒐集與分析建立可預策流程，持續改善治理流程。最後，第5級則是創新型，透過各種新技術，來優化治理各流程構面。</p> <p>林春吟表示，今年設定的目標是至少30個A級機關要達到2級，長遠目標更是全部都達到3級，也就是能夠將資安治理納入機關日常作業流程。</p> <p>不只是建立完善的資安基礎環境，在國家資安聯防體系的推動上，她指出，繼國家級N-ISAC資安資訊分享與分析中心、N-CERT電腦網路危機處理中心先後設置完成後，今年上半年也將會建置完成更複雜的國家級N-SOC資安監控中心，接著在下半年就會與全臺六都的SOC中心系統串接，藉此來建構國家層級的資安感知能力，以實現自動化情資共享。</p> </div></div></div>
2019/3/21 19:13作者余至浩https://www.ithome.com.tw/news/129503
Oculus Rift S改用Inside-out位置追蹤技術，預計春季上市售價399美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.oculus.com/blog/announcing-oculus-rift-s-our-new-pc-vr-headset-launching-spring-2019/">臉書在GDC 2019上發布了最新款的Oculus頭戴裝置Rift S</a>，更新了螢幕以及控制系統，官方預告將在2019年春天發布，售價為399美元。Rift S為原本Oculus Rift系列的最新替代產品，因此應用程式與遊戲都與前代完全相容，而且依然僅支援個人電腦平臺。</p> <p>Rift S的螢幕獲得大幅的更新，改進了光學和顯示技術，Rift S的螢幕有更高的畫素密度，能顯示更清楚的影像。之前的版本Rift使用了雙PenTile OLED面板，解析度為2160×1200，而Rift S則是與Oculus Go一樣，使用同一塊解析度為2560×1440的LCD面板，由於畫素增加了不少，因此可以顯示更多圖像細節。</p> <p>Rift S跟Oculus Quest一樣使用了Oculus Insight技術的Inside-out追蹤，不再需要使用外部感測器，Oculus Rift S使用電腦視覺演算法即時捕捉、追蹤和導覽物理空間，並且搭載了5個感測器，能提供最大程度的追蹤空間，以支援現存的Rift函式庫。Oculus Touch控制器也經過重新設計，能夠支援Inside-out追蹤，執行熟悉的動作包括抓取等姿勢。</p> <p>Oculus Rift S還加入了Passthrough+技術，可以提供真立體校正透視，幫助使用者設定Guardian邊界，而當使用者在虛擬世界走出了邊界，則Passthrough+會自動啟動，避免使用者碰到周邊物品。Passthrough+利用了Oculus Runtime核心，以電腦視覺演算法產生黑白的視圖，供玩家透視周遭環境，官方表示，當使用者需要離開或是看一下遊戲外時特別有用。</p> <p>官方提到，他們與聯想合作設計Rift S，採納他們在VR和AR領域的經驗以及來自社群的回饋，他們改善Rift S整體裝置的配重，並且改進光線阻擋，減少外部光對畫面的干擾，也使用單線系統，減少線材干擾使用體驗。Rift S整合了聲音系統但仍附有耳機孔，使用者可以使用自己喜歡的耳機。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/3vPz9KFXWTk" width="560px"></iframe></div> <p> </p> </div></div></div>
2019/3/21 17:30作者李建興https://www.ithome.com.tw/news/129494
南韓發現首起偷拍還在網路上直播的案例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去南韓玩可能要小心一些了，南韓警方在本周<a href="https://gizmodo.com/spy-cam-ring-recorded-1-600-hotel-guests-for-a-subscrip-1833446406" target="_blank">逮捕了兩名涉及在南韓各大城市的汽車旅館（Motel）安裝隱藏式攝影機的嫌犯</a>，而且還在自己架設的網站上提供直播串流服務。</p> <p><a href="https://edition.cnn.com/2019/03/20/asia/south-korea-hotel-spy-cam-intl/index.html" target="_blank">根據外電報導</a>，這些嫌犯總計在南韓10個城市的30家汽車旅館中的42個房間安裝了隱藏式攝影機，這些攝影機可能被藏匿在機上盒或牆上的插座上，從去年11月24日到今年的3月2日間，總計盜錄了約1,600支影片，並在所經營的國外網站上提供串流服務，假設想要重覆播放就得支付每月44.95美元的訂閱費用。在該站的4,000名會員中，只有97名付費訂閱。</p> <p>盜錄行為在南韓日益猖獗，在2012年時，當地的非法盜錄案件數量只有2,400起，2017年已成長到6,400起。而且偷拍的地點不只限於摩鐵、公廁，警方還發現了有人特地利用遠鏡頭拍攝住家中的裸露女性，這名女性住在首爾一座大廈的22樓。</p> <p>南韓警方則坦承，過去也有不少類似的偷拍案件，但這是首次有人在網路上公開直播。</p> <p>不論如何，這些案件已讓南韓的女性充滿不安全感，這一年來已有數萬名南韓女性走上街頭，以「我的生活不是你的色情影片」（My Life is Not Your Porn）為口號，呼籲政府採取更積極的整治行動。這兩名嫌犯最多可被判處5年的有期徒刑。</p> </div></div></div>
2019/3/21 17:32作者陳曉莉https://www.ithome.com.tw/news/129500
Opera釋出內建免費VPN的Opera for Android 51
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>挪威瀏覽器業者<a href="https://press.opera.com/2019/03/20/opera-launches-built-in-vpn/" target="_blank">Opera於本周更新支援Android平台的行動瀏覽器</a>，此一新的Opera for Android 51內建了免費的私人虛擬網路（Virtual Private Network，VPN）服務，以期改善用戶的線上隱私與安全。</p> <p>VPN採用加密的隧道協定（Tunneling Protocol）以阻止竊聽與嗅探來提供機密性，也能進行傳送者的身分驗證，預防身分偽造，或確保訊息的完整性。當Android用戶執行新版Opera瀏覽器時，不用額外下載程式，也無需登入，直接切換至VPN模式即可。</p> <p>負責Android平台的Opera副總裁Peter Wallman表示，當使用者在缺乏VPN保護的狀態下使用公共Wi-Fi網路時便很容易曝露自己的通訊，VPN將讓第三方更難竊取使用者資訊，也可避免被追蹤。而Opera則企圖讓VPN的採用變得更容易及友善，以幫助那些想要更多安全卻不知從何著手的使用者。</p> <p>Opera引用Global World Index的統計指出，全球約有6.5億的VPN使用者，且透過VPN連網的行動裝置用戶也愈來愈多，行動VPN用戶每天使用的比例高達42%，桌面VPN用戶每天使用的比例也有35%。</p> <p>有鑑於其它行動瀏覽器業者並未內建VPN功能，市場猜測Opera此舉是為了提振該瀏覽器於行動市場的佔有率。根據Net Applications的調查，Opera的市佔率只有0.35%，遠遠落後Chrome的63.21%、Safari的26.38%，也輸給百度、UC Browser、QQ、舊版的Android Browser及Firefox。</p> </div></div></div>
2019/3/21 16:25作者陳曉莉https://www.ithome.com.tw/news/129497
Google要讓歐盟Android用戶自由選擇搜尋引擎和瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在3月20日歐盟針對Google以第三方網站AdSense for Search合約，排擠搜尋競爭對手的事件<a href="https://www.ithome.com.tw/news/129489）前夕，Google宣佈（https://blog.google/around-the-globe/google-europe/supporting-choice-and-competition-europe/" target="_blank">公佈判決結果</a>前夕，<a href="https://blog.google/around-the-globe/google-europe/supporting-choice-and-competition-europe/" target="_blank">Google宣佈</a>讓歐盟Android用戶自由選擇瀏覽器及搜尋服務，以「支持歐洲用戶選擇及產業自由競爭」。</p> <p>過去十年來，Google受到歐盟反競爭委員會的多次「關照」，以及天價金額的處罰。包括2017年以Google濫用搜尋優勢排擠比價購物競爭網站<a href="https://www.ithome.com.tw/news/115162" target="_blank">判罰24.2億歐元</a>，2018年再以強迫Android手機及平板業者安裝搜尋、地圖等自家服務，<a href="https://www.ithome.com.tw/news/124652" target="_blank">重罰43.4億歐元</a>，以及今年3月以AdSense for Search合約條款排擠微軟、Yahoo等競爭對手，<a href="https://www.ithome.com.tw/news/129489" target="_blank">罰款14.9億歐元</a>。</p> <p>Google全球事務資深副總裁Kent Walker指出，每一次Google都「虛心接受」外界包括歐盟及其他人的「意見」，也順應要求修改其服務。最近Google開始<a href="https://support.google.com/google-ads/answer/9262823" target="_blank">測試Google Shopping</a>的新格式，提供使用者直接連結到購物比價網站，搭配廠商提供的特定優惠。</p> <p>針對Android手機綁Google apps的案件，去年Google已經<a href="https://www.ithome.com.tw/news/126465" target="_blank">透過個別授權的方式</a>，將Google Play、Google Chrome和Google Search個別提供給歐盟Android手機用戶，也就是要用戶額外付費才能下載這些app。</p> <p>Google預計會再提供進一步措施，確保歐洲的Android手機用戶知道他們可自由下載瀏覽器和搜尋引擎，但目前並未說明會怎麼做及詳細時程，只透露這包括詢問歐盟現有及新的Android 手機用戶想使用哪一款瀏覽器和搜尋app。</p> <p>Google主管最後表示，該公司向來致力於提供用戶最快、最好的答案，最新措施則彰顯Google以開放而嚴謹的態度實現承諾。</p> </div></div></div>
2019/3/21 16:50作者林妍溱https://www.ithome.com.tw/news/129499
臺鐵第四代票務系統4月開放個人訂票，憑手機就能搭火車
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">臺灣鐵路管理局(簡稱臺鐵)宣佈第四代票務系統將在4月9日上線，未來民眾搭火車透過App訂票，不再需要到超商付款取票，憑手機上的QR Code就能搭車。</span></p> <p class="p1"><span class="s1">臺鐵局長張政源表示，第四代的票務系統有許多特色，過去臺鐵車票40年來都是橫的，未來將會改為直的，以符合驗票機規格。新的系統還提供一站購足，能夠節省民眾的時間，購票的同時可預訂臺鐵便當，車票及購買便當金額一次付款，臺鐵服務人員會將便當送到座位上。</span></p> <p class="p1"><span class="s1">第四代票務系統已在2月21日先開放給團體票訂票，個人訂票部份將會在4月9日開放訂票，臺鐵將在4月23日汰換舊有系統，而配合新的票務系統上線，現在的臺鐵e訂通app將會改版更新，除了採用新的使用者介面，民眾在app上可以查詢時刻、訂票及便當，完成線上訂票付款後，出發日只要憑app上的QR Code就能通過驗票閘口，不再需要到超商付款、領取紙本車票。</span></p> <p class="p1"><span class="s1">新系統也強調更為智慧化，例如以往民眾想要搭火車從臺北到花蓮，一票難求，民眾可能會改為分段訂票，先查看臺北到宜蘭是否有空位，再購買宜蘭到花蓮的車票，新系統提供了「自動分段湊票」的功能，設定好起迄站「臺北-花蓮」，可交由系統幫你查看同班次火車的不同車廂，臺北到宜蘭、宜蘭到花蓮是否有空位，自動執行分段湊票。</span></p> <p class="p1">臺鐵表示，民眾訂位除了快速購票，也能進階設定座位的偏好，像是選擇靠窗或靠走道座位，如果是和親友四人搭火車出遊，也能選擇預訂前後兩排雙人座位，或是四人一排的座位。</p> <p class="p1"><span class="s1">準備在4月23日退役的現有第三代票務系統是在民國94年上線，核心的票務系統由NEC建置，網路訂票系統則由中華電信負責，第四代票務系統由中華電信協助打造，包括雲端技術及資安防護。</span></p> <p class="p1"><span class="s1">針對民眾在連假返鄉的「搶票」問題，新票務系統導入了智慧配座機制，改善現有固定配位模式，提高單筆訂票效率，中華電信表示，新系統訂票成功率提高5到10%，同時因應大量購票需求，也運用雲端技術，預估最高每分鐘可完成60萬筆交易，是舊系統的3倍。</span></p> <p class="p1"><span class="s1">另外，為了防止機器人搶票，在訂票部份原本會要求訂票者辨識扭曲的文字，以排除機器人訂票的做弊行為，但仍可能被破解，新系統則導入Google的CAPTCHA識別機制，只要勾選「我不是機器人」就能通過驗證，但如果懷疑為機器人訂票，會進一步要求通過圖像識別驗證。</span></p> <p class="p1"><span class="s1">為了讓民眾先一步體驗，臺鐵在3月18日到3月29日，在臺北、臺中、高雄、花蓮、臺東五個車站設置體驗區，蒐集民眾對這套訂票系統的使用意見，未來再依使用意見調整系統。</span></p> </div></div></div>
2019/3/21 16:51作者蘇文彬https://www.ithome.com.tw/news/129495
微軟發出有警告倒數計時的Windows 7 安全更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows 7將在明年1月14日截止技術支援，而Windows 7 PC用戶可能會無時無刻接到微軟的提醒，就連安全更新公告也不會例外。</p> <p><a href="https://www.ithome.com.tw/news/129295" target="_blank">微軟上周公告將從4月起開始發出通知</a>，提醒Windows 7用戶快點升級。不過3月還沒過完，微軟在3月20日釋出的<a href="https://www.ithome.com.tw/news/129295" target="_blank">Windows 7 SP1的安全公告</a>就已經先啟動通知。除了告知用戶開啟Windows Update即可自動下載更新外，這次的公告還增加了Windows 7支援將屆的訊息：「在服務10年之後，2020年1月14日將是微軟提供執行Windows 7 SP1電腦安全更新的最後一天。本次更新啟用了Windows支援終止的提醒。」此外也附上<a href="https://support.microsoft.com/en-us/help/4493132/windows-7-update-kb4493132" target="_blank">Windows 7終止支援的相關網頁連結</a>。</p> <p>同時間，代號19H1的Windows 10 April Update也即將來到最終階段。<a href="https://blogs.windows.com/windowsexperience/2019/03/12/announcing-windows-10-insider-preview-build-18356/#Jh8sBQ6bH72tdQHu.97" target="_blank">微軟宣佈Windows 10 Insider 開者預覽版Build 18356.16 (19 H1)</a>已經透過穩定通道（Slow ring）釋出給開發人員，意謂著釋出給大眾的正式版本為期不遠了。</p> </div></div></div>
2019/3/21 14:30作者林妍溱https://www.ithome.com.tw/news/129492
【臺灣資安大會直擊】脫口秀突顯臺灣資安市場亂象，需要買賣雙方一同成長、茁壯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在歷年的臺灣資安大會中，大會的各項議程多半以演講為主，在2019臺灣資安大會進行到了第3天，3月21日上午的大會Keynote有了很大的不同，包含了2場以實際現場展示為主的議程，還有頭一遭採用脫口秀形式討論的議程，而這場脫口秀，分別講出了在企業選購資安解決方案的難處，以及業者與企業溝通所面臨的現象，希望藉由這樣的各自表述，讓雙方能夠建立互信，引領臺灣的資安向前邁進。</p> <p>在這場臺灣資安大會首創的脫口秀裡，由iThome資安主筆黃彥棻代表買方，提出有關企業資安人員面臨的情況，而銷售資安產品的廠商，則是奧義智慧共同創辦人邱銘彰（Birdman）出席，道出業者的經驗談。</p> <p>Keynote一開始的時候，邱銘彰向黃彥棻詢問這次臺灣資安大會的規模。黃彥棻說，本次估計至少有7千人報名，而且有20多個國家的業者和媒體與會，比起前幾屆的人數，都要來得踴躍。</p> <p>邱銘彰說，在上星期參與的RSA大會，他認為自己變強了，黃彥棻進一步詢問，究竟學到什麼，邱銘彰開玩笑說，他留意到會場裡有很多形而上的演講，但黃彥棻馬上回擊，認為這種打高空的做法，大家都聽不懂，在臺灣吃不開。</p> <p>邱銘彰回歸正題，提到他最深刻的感受，就是今年臺灣資安大會的資安101分堂議程裡，許多講題都探討MITRE提出的ATT&CK資安框架，在RSA大會上也同樣熱烈討論，而且已經算是成為一種標準，他發現，無論在藍隊研發產品，還是紅隊模擬演練上，都開始相當倚賴這套資安框架所提供的情境，因此，邱銘彰認為，現在企業必須跳脫比較資安產品的規格，而是要了解自己的需求是什麼。</p> <h2><strong>信任危機是資安架構最大的問題</strong></h2> <p>邱銘彰說，其實我們的防火牆等資安產品中，早就有所謂的自動防禦機制，但現實是，沒有人敢開啟使用，問題就在於大家根本無從判斷，資安設備的決策是否可靠？反過來說，企業長久以來，為了確保不會出錯，反倒在這方面付出了相當高的成本，即使是時下常見的機器學習技術，資安系統往往只有提供分析結果的可靠程度百分比，這樣的輔助指標，企業還是很難確認分析結果是否符合預期。所以，資安產品分析的依據若是能對企業透明，才能讓企業信任。</p> <p>黃彥棻也認同這樣的看法，因此也表示長年以來，企業相當仰賴資安業者提供的資訊，然而，邱銘彰卻說，企業還是需要做功課，確實了解自身資安需求才行。他以自己遇到某家製造業的資安主管為例，這位資安主管從公司草創做電腦文書小妹，後來公司購置了印表機，這臺設備就交由她管理，後來，印表機連上網路之後，這個資安主管便接下了管理內部網路的責任，隨著公司導入資安，她就掌管該公司的資安部門，而像這位主管從IT踏入資安領域，而非擁有相關背景的人員，邱銘彰表示，他在實務上遇到不少這樣的資安人員，造成需要更多的溝通。</p> <p>由於買方不曉得如何挑選，邱銘彰說，結果最常看到的做法，就是要求每間廠商各拿出幾個病毒，大家來比畫一番，看誰的產品偵測率比較好。而且，更雪上加霜的是，邱銘彰說，甚至他看過有些企業最後採購決定因素，竟是該廠商的業務小姐長得最漂亮，出乎許多參與競標的預期。</p> <p>黃彥棻問：「可是，難道廠商就沒有需要檢討或改進的部分嗎？」</p> <p>邱銘彰回道，其實，好的資安政策或是技術，也必須能讓使用者容易理解，進而信任並使用，這就是廠商的責任；相反的，一套資安系統若是太過複雜，確實會帶來難以運用的風險。他也舉出許多人認為「實體隔離就是安全」，便是因為這樣的訴求極為簡單易懂－－儘管事實上這個論點是一種迷思，卻也代表技術和做法必須讓用戶理解，才能進一步贏得信任。</p> <p>當然，邱銘彰重申，企業還是要了解自己的資安態勢與需求，雖然與會的資安人員努力參與各式議程，這3天來像海綿般廣泛吸收大量知識，但是缺乏互動，因此，他也鼓勵與會者也要多逛攤位，跟廠商進行一對一的討論，能夠進一步深入了解，學到更多。</p> <p>其實就這場脫口秀的討論下來，資安市場的發展，有賴企業與資安業者再精進，好的買家和好的賣家同等重要，這樣才能一同攜手向前，也呼應了這次的大會標題「Together, We Become Stronger.」</p> </div></div></div>
2019/3/21 14:42作者周峻佑https://www.ithome.com.tw/news/129493
Google在Coursera上架網站可靠性工程課程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.coursera.org/learn/site-reliability-engineering-slos">Google在Coursera上公開了最新的線上課程</a>，課程主題為網站可靠性工程（Site Reliability Engineering，SRE），所有人都可以在Coursera上，學習到來自Google的網站可靠度工程經驗。</p> <p>整個課程學習時間大約只有19個小時，4個星期就能夠學習完成，課程會從SRE的基本開始，介紹SRE的概念，並且教導SRE、CRE以及SLO等各種觀念。課程參與者還可以學到描述和測量服務可靠性的方法，SLI和SLA的意義，並且學會設定錯誤預算（Error Budget）與使用方式，也會知道怎麼評估指標。</p> <p>上完這個課程，參與者可以學習到基礎知識，以及SRE如何成為Google工程的一部分，也能學習使用SRE中用於決策的工具，參與者除了能夠了解可靠性系統的目標以及使用者期望間的關係外，還可以知道常見監控實作，以及各種測量策略的優缺點，並有能力選擇適合自己指標。</p> <p>課程也會透過使用案例，帶參與者深入了解SLI以及SLO，學習到執行風險分析的方法，並且將這些知識應用在企業長期可靠性目標上。</p> </div></div></div>
2019/3/21 13:35作者李建興https://www.ithome.com.tw/news/129477
蘋果發行新一代AirPods，增長通話時間還推出無線充電盒
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://www.apple.com/tw/airpods/">蘋果發行第二代無線耳機AirPods</a>，搭載全新的H1耳機晶片，標榜增加50%的通話時間、直接聲控語音助理Siri，還推出無線版的充電盒，搭配標準版充電盒的AirPods售價為5,290元，而無線充電盒的AirPods是6,490元，使用者也能單獨購買適用於兩個版本的AirPods無限充電盒，售價為2,690元，目前已於美國地區販售，但是臺灣開賣時間尚未確定。</p> <p>第二代的AirPods的H1耳機晶片，能夠使無線耳機與各裝置更快且穩定地連結，根據蘋果官網指出，在已開啟的裝置間切換速度快2倍，通話的連接速度也增加了1.5 倍，此外，該晶片也能夠用聲控的方式驅動Siri，因此，用戶不再像以前需要點擊耳機兩下才能喚醒Siri，透過聲控的方式就能完成更改曲目、撥打電話、調節音量等功能，大幅地提升了使用的便利性，且用戶在玩遊戲的時候，AirPods能夠減少30%的聲音延遲。</p> </div></div></div>
2019/3/21 13:36作者何維涓https://www.ithome.com.tw/news/129481
Google用ML使自創旋律加入巴哈風格生成複音音樂
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>機器學習也能應用在音樂上嗎？<a href="https://www.google.com/doodles/celebrating-johann-sebastian-bach">Google AI部門的Magenta研究專案PAIR計畫團隊打造出第一個由AI驅動的Doodle服務</a>，Doodle為一項互動式體驗，讓用戶自行創造一段旋律，按下和聲演奏（Harmonized）的按鈕後，Doodle會透過機器學習技術，將用戶自創旋律加入德國作曲家約翰·克里斯蒂安·巴哈的風格，重新呈現創作作品，生成帶有巴哈風格的複音（polyphonic）音樂，用戶還能將該段旋律下載儲存。</p> <p>要開發Doodle服務的第一步驟就是要打造一個機器學習模型，Doodle現行的ML模型是由Magenta團隊成員Anna Huang所打造，Anna Huang建立了一套名為Coconet的多功能模型，該模型可用於廣泛範圍的音樂型任務中，像是合奏旋律、作曲等，特別的是，Coconet模型是透過306首聖詠曲訓練而成，巴哈的聖詠曲大部分採取四聲部的寫法，每一個聲部都具有個別的旋律線，同時四個聲部一起演奏時，又能產生豐富的合奏。</p> <p>Google研究團隊表示，巴哈簡潔的作曲架構就成了機器學習模型很好的訓練資料。而PAIR計畫團隊則是使用瀏覽器開發ML模型韓式庫TensorFlow.js，使機器學習模型能夠在網頁中運行。</p> </div></div></div>
2019/3/21 13:38作者何維涓https://www.ithome.com.tw/news/129484
AWS針對吵雜環境場景，用半監督式學習提升語音辨識模型準確度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://developer.amazon.com/blogs/alexa/post/d6e559c4-ac00-45a1-97ee-fde845e99202/machine-labeled-data-artificial-noise-better-speech-recognition">AWS近日利用半監督式學習方法，來提升語音辨識系統效能</a>，特別是在吵雜的環境中，AWS表示，雖然現在深度神經網路能夠準確地辨識大量詞彙的對話，訓練工作還是需要長達數千個小時的標註資料，收集這些龐大資料不但耗時且成本昂貴，因此，過去AWS的科學家不斷在研究能夠在人工干預最小化的情況下，讓Alexa學習正確辨識語音的技術，大致上分為非監督式和半監督式學習。</p> <p>AWS採用半監督式學習方法，首先，用800小時標註過的語音資料，訓練了一套語音辨識模型，該辨識模型擔任老師的角色，並用該模型「輕微地」標記另外尚未標記的7,200小時語音資料，接著，AWS手動在一些數據集中加入雜訊，再將這些帶有雜訊的資料集和被第一個模型標記的資料，一起用來訓練第二個辨識模型，而這個模型則是擔任學生的角色，藉由這樣的設計，AWS期望創在學生模型是用具有噪音的資料訓練，而老師模型則是乾淨的語音資料，如此一來，就能改善語音辨識系統處理噪音的穩定度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/T-S_architecture.jpg__CB467865187_.jpg" style="width: 500px;" /></p> <p>圖片來源：AWS</p> <p>在一項測試實驗中，AWS同時播放錄製的語音和用音響播放多媒體聲音，相比只有用無噪音和標註資料訓練的語音辨識模型，AWS半監督式的辨識模型錯誤率減少了20%。</p> </div></div></div>
2019/3/21 13:45作者何維涓https://www.ithome.com.tw/news/129485
Google在AdSense搜尋廣告排擠對手遭歐盟罰款14.9億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟反托拉斯委員會以Google濫用市場獨大地位，在與第三方網站的AdSense廣告合約中，採行多項限制性的條款，阻撓Google競爭者在這些網站上投放搜尋廣告，違反歐盟反托拉斯法規，在3月20日宣布<a href="http://europa.eu/rapid/press-release_IP-19-1770_en.htm" target="_blank">判罰Google 14.9億歐元</a>（約520億台幣）。</p> <p>歐盟競爭委員會主席Margrethe Vestager指出，歐盟以Google在線上搜尋廣告中介市場上非法不當運用其獨大地位，判罰14.9億歐元。Google透過對第三方施加反競爭的合約限制來鞏固其線上搜尋廣告的優勢，時間超過10年，扼殺了競爭者在同等地位上競爭及創新的可能性，間接損害消費者利益。</p> <p>這裏討論的不是Google一般的搜尋廣告，而是AdSense for Search服務廣告，後者是顯示在第三方網站，像新聞媒體網站、部落格或旅遊網站內建的Google客製化搜尋（Custom Search）結果頁中的廣告。歐盟在2010年啟動調查，認為Google透過AdSense for Search扮演線上搜尋廣告中，廣告主和第三方網站之間的中介平台角色，而在Google獨佔近90%搜尋的市場中，對競爭者如微軟、Yahoo等而言，第三方網站是他們取得線上搜尋廣告營收的重要途徑。</p> <p><a href="https://www.ithome.com.tw/news/107134" target="_blank">2016年7月歐盟發出二項異議聲明書</a>，對Google做出二項指控。其中一項就是指控Google 利用AdSense for Search和第三方網站的合約，排擠搜尋競爭對手。3月20日的宣佈就是歐盟委員會近二年調查的結果。</p> <p>歐盟調查後，相信Google從2006年就在合約中加入獨家條款，禁止這些出版商網站在其搜尋結果頁展示競爭搜尋引擎的廣告。2009年3月起Google放棄獨家條款，改採名為「優先投放」（Premium Placement）的合約條款，要求出版商保留最賺錢的廣告版位給Google的廣告，並要求Google廣告的投放基本量，使競爭者廣告無法投放在明顯且容易點擊到的版位，而在另一條款中，Google 也要求如果出版商想變更競爭者廣告展示位置，必須取得Google的書面同意。</p> <p>歐盟認為Google先是施加了「獨家供應義務」使搜尋競爭者無法在最知名的網站上投放搜尋廣告，後來又以「鬆綁獨家策略」確保自家搜尋廣告的優勢，且控制競爭者廣告的績效，認定Google行為違反了歐盟反托拉斯法。</p> <p>在2016年歐盟提出異議聲明書後數月，Google停止了所有非法行為。總結Google違法期間及嚴重性，歐盟判罰Google 2018年在歐盟區內線上搜尋廣告總營收的1.29%，即1.49億歐元。Google也可能在歐盟會員國內被個人或企業分別提出民事訴訟。</p> <p>Google尚未對此作出回應。</p> <p>這是歐盟近兩年第三度對這家搜尋巨擘因壟斷業務行為開罰。2017年，<a href="https://www.ithome.com.tw/news/115162" target="_blank">歐盟針對Google濫用搜尋優勢排擠比價購物競爭網站判罰24.2億歐元</a>，<a href="https://www.ithome.com.tw/news/124652" target="_blank">2018年再以Android強制搭售自家服務，重罰43.4億歐元</a>。</p> </div></div></div>
2019/3/21 14:00作者林妍溱https://www.ithome.com.tw/news/129489
快升級到Chrome 72！舊版行動Chrome爆有讓駭客竊取帳密的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你的Chrome升級到最新的72版沒？如果沒有最好快點，因為<a href="https://www.ptsecurity.com/ww-en/about/news/high-risk-vulnerability-in-android-devices-discovered-by-positive-technologies/" target="_blank">安全公司揭露從Android 4.4版以來的Chrome就存在的漏洞</a>，可能讓駭客竊取Android手機用戶上網紀錄、登入資訊等重要資料。</p> <p>這項漏洞是由俄國資安業者Positive Technologies研究員Sergey Toshin在今年一月發現並已通報Google。<a href="https://chromereleases.googleblog.com/2019/01/stable-channel-update-for-desktop.html" target="_blank">Google已在一月釋出修補該漏洞的Chrome 72.0.3626.81版</a>，但當時Google只是輕描淡寫為「瀏覽器中政策執行不足」。</p> <p>這項編號為<a href="https://nvd.nist.gov/vuln/detail/CVE-2019-5765" target="_blank">CVE-2019-5765的漏洞</a>是位在Android 4.4版本以後的Chromium引擎中，後者是Android的WebView一項元件，允許網頁在Android app內顯示網頁。所有使用Chromium為核心的行動版瀏覽器，包括Google Chrome、Samsung Internet Browser、Yandex Browser都會受到影響。</p> <p>研究人員指出，項漏洞可經由Instant app引發安全風險。這類app讓手機用戶不必下載也能試用。用戶點選瀏覽器連結後，智慧型手機會下載一個小檔案可像原生app般執行，它能存取手機硬體但不佔用儲存空間。當攻擊者以instant app執行，就可在用戶點選連結惡意app後攔截資料。</p> <p>該項漏洞可讓駭客從程序記憶體中取得敏感資訊，包括上網紀錄、app登入需要的驗證權杖和標頭，以及其他資料。由於大部份Android app都有WebView，也使這項漏洞變得非常危險，被Google列為高風險漏洞。</p> <p>從Android 7.0後，WebView已經由Google Chrome實作，因此只要更新瀏覽器即可修補漏洞。但早期版本的Android的WebView則必須經由Google Play安裝。若Android手機用戶沒有Google Play服務，則需等手機業者釋出WebView更新。</p> </div></div></div>
2019/3/21 14:05作者林妍溱https://www.ithome.com.tw/news/129490
Google Photos含有可洩露拍照時間與地點的臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.imperva.com/blog/now-patched-google-photos-vulnerability-let-hackers-track-your-friends-and-location-history/" target="_blank">Imperva的安全研究人員Ron Masas最近揭露了Google Photos服務的臭蟲</a>，指出該臭蟲將允許第三方惡意網站汲取Google Photos用戶所存放的照片資訊，包括拍照時間、地點或對象等。</p> <p>整合了人工智慧能力的Google Photos可利用照片的元資源替照片加上標籤，包括地理坐標或日期等；還能自動以文字描述照片，或是偵測照片中的物件與活動；另也具備了人臉辨識能力以判斷照片中的人物。</p> <p><a href="https://venturebeat.com/2019/03/20/security-firms-detail-android-and-google-photos-vulnerabilities-that-exposed-user-data/" target="_blank">Masas則找到了可讓第三方網站透過旁路攻擊擷取上述資料的方法</a>，他說Google Photos的搜尋終端容易受到基於瀏覽器的時序攻擊（timing attack），或稱跨站搜尋（Cross-Site Search）攻擊。</p> <p>駭客只要誘導使用者造訪惡意網站，令他們同時登入Google Photos，就能向Google Photos的搜尋終端送出多種搜尋請求，先找到結果為零的回應時間作為基準線，再與其它的查詢進行比較，以用來推斷使用者是否曾造訪某地。例如Masas查詢了「我在冰島的照片」，假設回應時間比基準線還久，可判斷該使用者應曾到過冰島，也能在查詢字串中加入日期，重覆測試不同的時間點，即可得知該使用者在大約什麼時候去過冰島。</p> <p>其實這類的攻擊行動有些繁瑣，因此並不普及，但Masas認為基於瀏覽器的旁路攻擊行動一直被忽視，迄今大概只有Google或臉書等大型科技業者會把它當作一回事，大多數的業者並未意識到它的風險。在Masas發文的當時，Google也已修補了此一臭蟲。</p> </div></div></div>
2019/3/21 14:15作者陳曉莉https://www.ithome.com.tw/news/129491
去年10個最常被駭客開採的漏洞中，有8個是微軟漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>威脅情報業者<a href="https://www.recordedfuture.com/top-vulnerabilities-2018/" target="_blank">Recorded Future本周公布了2018年基於安全漏洞的網路攻擊分析報告</a>，指出在最常被駭客開採的10個安全漏洞中，就有8個漏洞來自微軟。</p> <p>有不少業者都會定期在每個月或每季修補產品中的安全漏洞，但對企業的資安團隊而言，漏洞的優先修補順序一向是個艱難的挑戰，這激發了Recorded Future對此展開研究的靈感。</p> <p>Recorded Future分析了去年一整年的攻擊套件、網釣攻擊及遠端存取木馬所瞄準的漏洞，顯示出2018年最常被駭客鎖定的十大漏洞中，有8個屬於微軟漏洞，另外兩個則分別是Adobe漏洞及Android漏洞。</p> <p>第一名是微軟在去年5月修補的CVE-2018-8174漏洞，此一當時就已被開採的漏洞藏匿在Windows VBScript Engine中，使用者只要透過IE造訪惡意網站，或是透過任何基於IE描繪引擎的微軟產品開啟惡意檔案，就會觸發漏洞，允許駭客自遠端取得使用者權限。</p> <p>根據Recorded Future的分析，與CVE-2018-8174漏洞有關的攻擊套件主要是藉由網釣攻擊來散布金融木馬程式Trickbot，也有攻擊套件利用它來遞送勒索軟體Magniber，至少受到7款攻擊套件的青睞。</p> <p>居次的則是存在於Adobe Flash Player中的CVE-2018-4878，它是個「釋放後使用」（Use-after-free）漏洞，成功的開採將允許駭客掌控被駭電腦，於遠端執行任意程式，<a href="https://www.ithome.com.tw/news/121072" target="_blank">曾被北韓駭客用來攻擊南韓民眾</a>，Adobe也是在該漏洞遭到開採之後才緊急修補。</p> <p>值得注意的是，在其它位於前10名的7個微軟漏洞中，有4個是在2017年修補的，1個是在2016年修補的，甚至在2012年修補的<a href="https://docs.microsoft.com/en-us/security-updates/securitybulletins/2012/ms12-027" target="_blank">CVE-2012-0158</a>都還在排行榜上名列第九。</p> <p>CVE-2012-0158漏洞藏匿在ActiveX控制模組mscomctl.ocx中，因而影響了大量的微軟產品，從Microsoft Office、SQL Server、BizTalk Server、Commerce Server、Visual FoxPro到Visual Basic 6.0等，攻擊的形式可以是惡意網站、惡意Office檔案或惡意RTF檔案，成功的開採將允許遠端駭客執行任意程式。</p> <p>此外，排名第六的CVE-2016-0189已連續3年進入前十名。這是一個指令碼引擎記憶體毀損漏洞，允許遠端駭客進行阻斷服務攻擊或執行任意程式，殃及IE 9至IE 11，已被整合到5個攻擊套件中。</p> <p>至於排行榜上位居第十的Android漏洞為CVE-2015-1805，這是Google在2016年修補的本地權限擴張漏洞，主要遭到刷機程式開採。</p> </div></div></div>
2019/3/21 12:25作者陳曉莉https://www.ithome.com.tw/news/129487
微軟釋出用於PostgreSQL的GUI編輯器Azure Data Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟為幫助PostgreSQL使用者管理資料庫，釋出開源編輯器<a href="https://azure.microsoft.com/zh-tw/blog/azure-data-studio-an-open-source-gui-editor-for-postgres/">Azure Data Studio</a>，讓不習慣使用命令列工具psql的使用者，可以選擇使用圖形化介面工具管理資料庫，Azure Data Studio也整合了終端機，開發者在需要的時候還是能使用psql。</p> <p>Azure Data Studio是一個專注於資料開發的跨平臺編輯器，可用於Linux、MacOS和Windows，支援多數Visual Studio Code，像是Python、R和Kubernetes，微軟提到，當使用者的使用情境偏向處理資料，則可以選擇使用Azure Data Studio，方便管理多個資料庫連接、瀏覽資料庫物件階層或是設定儀表板等，而當使用者的需求較靠近應用程式開發，可以選用Visual Studio Code的PostgreSQL擴充套件就可以了。</p> <p>使用者可以直接利用Azure Data Studio連結PostgreSQL伺服器，PostgreSQL伺服器可以設置在本地端、虛擬機器中或是託管在任何的雲端供應商。Azure Data Studio能夠方便地管理多個資料庫伺服器，微軟提到，使用者通常擁有多個PostgreSQL伺服器，除了生產伺服器外，還會有分段伺服器（Staging Server）以及其他開發用測試伺服器，Azure Data Studio提供伺服器分類功能，以視覺區別不同用途的伺服器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/08681d62-cf7d-4c4c-8280-40843c062c10.png" style="width: 500px;" /></p> <p>Azure Data Studio還新增了追蹤資料庫物件的功能，能夠清楚呈現每個資料庫和表格，所新增的資料列、索引或是函式，微軟提到，這項功能在多人使用的PostgreSQL實例上特別有用，Azure Data Studio在側欄中提供分層導覽，使用者可以用來瀏覽和追蹤伺服器的資料庫、表格、視圖和其他物件。</p> <p>Azure Data Studio加入Peek Definition和Go to Definition功能，方便對物件進行查詢，使使用者能更快地編寫出查詢語法，像是要查詢pg_stat_activity內建統計資料，Go to Definition功能可以讓使用者查看所有欄位以及相關資料。SQL用IntelliSense也被內建在Azure Data Studio中，IntelliSense的程式碼完成功能，可以讓使用者少按幾下鍵盤，幫助使用者快速地撰寫查詢。</p> <p>對於常用的SQL語法，無論是CREATE或是複雜的SELECT語法，使用者可以善用程式碼片段功能，模板化SQL程式碼片段，如此便不需要一再重新輸入重複的字詞。程式碼片段功能是Azure Data Studio從Visual Studio Code繼承而來的功能，可以幫助使用者在重新輸入程式碼時，加速工作進行並減少錯誤發生。</p> <p>在外觀顯示上，Azure Data Studio提供自定義主題的功能，使用者可以選擇現在應用程式流行的暗黑模式、高對比主題或是任何配色主題。另外，可以客製化的選項不只有外觀主題，還包括了快捷鍵，在鍵盤捷徑編輯器中，使用者可以改變預設綁定的快捷鍵組合。</p> </div></div></div>
2019/3/21 12:37作者李建興https://www.ithome.com.tw/news/129472
Khronos發布OpenXR 0.90臨時版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由多家軟硬體公司組成的開發聯盟Khronos，<a href="https://www.khronos.org/news/press/khronos-releases-openxr-0.90-provisional-specification-for-high-performance-access-ar-vr-platforms-and-devices">公開OpenXR 0.9規範的臨時版本</a>，提供統一的跨平臺API，簡化各平臺XR應用程式的開發工作。</p> <p>XR指的便是由電腦透過人機互動，所產生真實和虛擬的組合環境，包括虛擬實境（VR）、增強實境（AR）和混合實境（MR）等相關技術。Khronos OpenXR工作小組在2017年的時候成立，而OpenXR則是一個免授權金的XR開放標準，其扮演應用程式和XR Runtime系統的介面。Runtime功能包括處理影格組合、外圍裝置管理以及原始的追蹤訊息等功能，還能夠支援裝置層級的插件。</p> <p>OpenXR 0.90臨時版本訂定了一個跨平臺API，使XR硬體平臺供應商能夠公開其Runtime系統的功能，透過存取應用程式生命週期，渲染、追蹤、影格時序以及輸入等相關的一組通用物件和功能，開發人員能用最少的工作，將應用程式移植到多個XR系統上，Khronos提到，現在不同供應商的API差異非常大，缺乏共同標準要在多平臺間移植XR應用程式，必須花費大量的時間與資源。</p> </div></div></div>
2019/3/21 12:38作者李建興https://www.ithome.com.tw/news/129474
臉書與ACLU就廣告歧視一案達成和解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://newsroom.fb.com/news/2019/03/protecting-against-discrimination-in-ads/" target="_blank">臉書（Facebook）本周宣布</a>已與美國公平住房聯盟（National Fair Housing Alliance，NFHA）、美國公民自由聯盟（American Civil Liberties Union，ACLU）、美國傳播工會Communication Workers of America（CWA）及其它人權機構達成和解，將替人力招募、住房及信貸類別的廣告主另闢一個平台，以阻止這些廣告主利用臉書的過濾機制從事廣告歧視活動。</p> <p>去年8月美國住房及城市發展部（U.S. Department of Housing and Urban Development，HUD）曾指責臉書的目標式廣告允許地主或房屋仲介過濾受眾的種族、性別、宗教或國籍，違反《公平住房法案》；<a href="https://www.aclu.org/blog/womens-rights/womens-rights-workplace/facebook-settles-civil-rights-cases-making-sweeping" target="_blank">ACLU</a>則於9月指控臉書上的人力招募廣告排除了女性；不只是住房與人力招募，美國的《公平信貸機會法》（Equal Credit Opportunity Act）也規定人們的信貸權利不得因種族、膚色、性別或婚姻狀況而有差別待遇。</p> <p>臉書表示，他們原本就禁止廣告主利用該站的工具進行歧視，現在將進一步阻止這些廣告主的行為，舉凡是要執行住房、人力招募或是信貸的廣告主，都不准以年齡、性別或郵遞區號等選項來過濾可看到廣告的受眾。</p> <p>因此，這些廣告主將擁有比其它廣告主更少的目標廣告過濾選項，臉書也會要求廣告主承諾遵循各種反歧視的法令，並建立一個可偵測有否違法行為的自動化及人工審核系統，也同意了3年的監控期。</p> <p>ACLU表示，隨著愈來愈多人在網路上尋找工作、住房或信貸機會，目標式廣告不只能複製社會上既有的種族或性別偏見，還有可能加劇這樣的現象。因為當廣告主執行了有歧視的廣告之後，其他的使用者根本看不見這些廣告，無從得知相關廣告的存在，也更難抑制這樣的行為。</p> <p>因此，除了替上述3類廣告主打造特製的過濾選項之外，臉書未來也將允許美國使用者搜尋所有的住房廣告，不管這些廣告是鎖定哪些區域的民眾。</p> </div></div></div>
2019/3/21 12:45作者陳曉莉https://www.ithome.com.tw/news/129488
【臺灣資安大會直擊】GDPR上路一年衝擊多大？KPMG深入剖析最嚴個資規範新趨勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟最嚴格個資法《通用資料保護規則》（General Data Protection Regulation，GDPR）自去年上路後成效如何？</p> <p>歐盟執委會（European Commission）今年1月，公布了GDPR隱私法案自2018年5月25日實施8個月以來的成果，顯示民眾已提出超過9.5萬個投訴案件，並有3家業者因違反GDPR而遭到懲處。</p> <p>GDPR也規定業者，必須在發生資料外洩事件的72小時內，向當地的主管機關報告。根據英國一家名為DLA Piper的法律事務所，於今年2月公布的調查顯示，截至今年1月，主管機關所收到的資料外洩揭露件數超過5.9萬件。</p> <p>歐盟執委會指出，歐盟民眾主要投訴的三大類別為電話行銷、電子郵件行銷，以及監視器。而且通常主管機關的調查，都是起因於當事人的申訴。</p> <p>KPMG數位科技安全部門副總經理邱述琛，在今天（20日）的臺灣資安大會上，揭露了他對2019年GDPR關注重點與趨勢觀察。</p> <p>邱述琛表示，自GDPR生效後，也加速了全球隱私法規的發展。去年年底，繼美國、墨西哥、日本、加拿大、南韓與新加坡後，臺灣與澳洲同時成為APEC跨境隱私保護規則（Cross-Border Privacy Rules, CBPR）體系的成員。</p> <p>根據國發會的公告，APEC CBPR體系對企業及組織的隱私保護．是較低程度的要求。而APEC也正在力推與歐盟GDPR接軌互通。</p> <p>「未來隱私在做跨境傳輸的時候，若沒有加入聯盟作為護身符的話，一定會受到許多限制。」邱述琛觀察，各國家與區域基於保護人民，以及維持競爭優勢，透過頒布隱私保護法規，也將成為趨勢。</p> <p><span style="color:#0000FF;"><strong><span style="font-size:24px;">IoT安全防護目標與重點</span></strong></span></p> <p>「資安與隱私保護，是智慧聯網應用的重點。」邱述琛點出，IoT安全防護的重點，分為三個方向，包括裝置安全、設備上資料的安全與個人隱私安全。</p> <p>他進一步指出，裝置本身的安全，需防止裝置被用於惡意攻擊行為，企業要做好資產管理、弱點管理、存取管理與裝置安全事件監控。而設備上資料的安全，則是要確保其機密性、完整性與可用性，針對IoT裝置對於資料的收集、儲存、處理與傳遞，都得做到資料保護與資訊安全事件監控。</p> <p>邱述琛表示，像是能監測心跳、監控GPS位置的智慧手錶，就是涉及個人隱私。然而，若是在橋墩下放了測量水位的感測器，就沒有涉及個人隱私問題。</p> <p>而個人隱私安全，就是要在IoT設備處理個人識別資訊（Personally identifiable information ，PII）的安全，保護的作法包括資訊流管理、PII處理許可管理、知情決策、個資去識別化以及個資隱私洩露監控。邱述琛特別解釋知情決策，指的是使用者到底知不知道你會做這些事，以及他可不可以決定要不要做。</p> <p>邱述琛也分享了丹麥的案例，解釋知情決策。為了合規，網站會在使用者到訪網站時跳出cookie，讓使用者選擇接受或不接受，但有些網站在使用者點選不接受時，結束網站，不讓使用者繼續瀏覽或使用服務。丹麥個資保護主管機關在收到民眾的投訴後，決議這樣的作法是違反GDPR，因為迫使使用者在壓力下，做出接受的選擇。</p> <p><strong><span style="font-size:24px;"><span style="color:#0000FF;">IoT隱私防護建議</span></span></strong></p> <p>隱私防護到底要做什麼？邱述琛建議，要建立告知用戶方式，利用系統告知。而在個資處理上，他也提出控制措施的建議，包括事先確認隱私屬性與安全需求，並取得隱私資料收集的授權，以及訂定隱私資訊使用目的規範。</p> <p>而在資料流的管理，邱述琛也建議，企業要盤點個人識別資訊，並確認蒐集來的個人識別資訊與來源是正確的。</p> <p>GDPR很大的一個概念是要將資料所有權，還歸於民。「隱私保護將翻轉服務型態。」邱述琛解釋，當資料所有權在人民手上，就能以人民為主體，選擇應用、服務，以及要選擇哪些組織來提供服務。</p> <p>邱述琛個人也猜測，美國會出現聯邦隱私法，來對抗歐盟GDPR，也只有這樣才會夠力。他指出，美國參議院的一份調查報告顯示，國會應通過立法建立國家統一標準，要求收集和存儲PII的私人企業，採取合理與適當措施，以防止網路攻擊和資訊洩露。</p> <p><span style="font-size:24px;"><strong><span style="color:#0000FF;">隱私工程與SSDLC</span></strong></span></p> <p>「隱私工程是達成目標的具體方法，但得先弄清楚目標。」邱述琛表示，企業得先把風險搞清楚，也就是根據風險評估的結果，判斷去識別化的技術類型與程度。首先，要評估有哪些型態的資料、對外提供資料的方式，以及是否引發他人重新識別的意圖，他說，選擇了哪種釋出模型，會決定資料風險狀態。應該做完這些評估，才去選擇最適當的方法。</p> <p>「只要在資安上去強化隱私，就可以解決GDPR的問題，這是很多人的盲點，只運用資訊技術是不足夠的。」邱述琛強調。</p> <p>在落實隱私工程時，一定要把隱私保護納入智慧系統開發需求。首先，要做系統安全與隱私保護分析，分析完後要做威脅建模，以攻擊者角度，識別可能影響軟體系統的威脅，並進行評估。</p> <p>後續，才能執行隱私工程，以威脅特性所對應的控制方針，並依據系統特性，設計可行控制措施。接著，進行安全測試，依據系統特性與原始安全需求分析結果，以黑、白、灰箱等方法進行安全測試。到了維運狀態時，就得進行元件更新與組態強化。「這整個生命週期都要做，而且不要跳關。」他強調。</p> <p>邱述琛也提到，在專案初期的安全規畫，就要啟動營運衝擊分析與隱私衝擊評估，不能等到系統建置完成才啟動。</p> <p>「去識別化可以大幅降低GDPR合規成本，因為GDPR不管去識別化的資料。」不過，邱述琛提醒，個人識別資料去識別化後，還是會有風險，例如不同的資料集之間，可能可以進行比對，所以，企業每一年都應不斷檢查釋出的資料，是否有增加風險。</p> <p>最後，他也提到，GDPR最終的目的，是以加值應用與去識別化等互斥指標，取得最大交集，也就是企業建立競爭優勢的地方。他解釋，去識別化的程度越高，資料的運用價值就越低。「GDPR把全球的競爭拉回起跑點，誰跑得快，就是贏家。」邱述琛說。</p> </div></div></div>
2019/3/21 01:05作者李靜宜https://www.ithome.com.tw/news/129482
【臺灣資安大會直擊】IBM資安長：面對無所不在網路攻擊威脅，CISO在推動資安防護上有五大生存攻略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在活動第2天的2019臺灣資安大會上，IBM資安長Koos Lodewijkx也以自身經驗，點出當前企業資安長（CISO）推動資安防護有五大常見的錯誤招式，並且也提出攸關資安長生存的五大資安防護攻略。</p> <p>最近幾年，網路威脅帶來的資安挑戰，比以往更加嚴峻，成為所有企業想要做好資安防護的一大挑戰，Koos Lodewijkx在會中表示，網路安全（ Cyber Security ）已逐漸成為全球趨勢，許多企業資安長都想盡辦法嘗試透過運用各種資安防禦手段，強化資安防護，來防止各種可能出現的駭客網路攻擊，以保護企業的重要資產。</p> <p>Koos Lodewijkx總結過去長年在資安防禦上學到的經驗與教訓，提出資安長推動資安防護存在的5大常見錯誤，提醒資安長，應小心避免犯同樣錯誤。首先，即是資安長對於自身所處技術環境，缺乏全面認識與了解，如雲端，或容器管理服務K8s等新技術，因為無法立即掌握所有可能的資安問題，資安防護就很容易會出現缺口。其次，資安長在推動資安上，很容易會受到根深柢固的組織文化影響，這時想要改變就很難，得花很長時間，讓組織人員學習改變既有工作習慣，以合乎資安要求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20190320_131823.jpg" style="width: 600px; height: 338px;" /></p> <p>Koos Lodewijkx提到第3個常見錯誤，則是資安長多以工具性目的，來部署不同資安防禦機制，卻沒有從最終目的（end game）思考這個技術能夠用來解決何種資安威脅，以及其帶來何種資安價值。再者，雖然很多資安長在自己擅長領域的資安防護可以做到滴水不漏，可是一旦超出他們所熟悉的資安防護範疇時，就顯得力不從心，沒有辦法做到同樣的防護強度。最後，資安長總是親力親為，什麼事都要親自參與，有時也不見得是好事，如要做的資安防護項目太多，不暇顧及時，就很容易犯錯。</p> <p>另從資安防護策略來看，Koos Lodewijkx也提出了攸關資安長生存的5大資安防護攻略，讓資安長能夠在駭客猛烈發動攻勢下，依然能夠存活起身對抗，而不被這些威脅擊倒。首先，資安長必需先了解什麼是自身最重要的資產，才能用對資安防護手段。其次是洞悉自己的對手，透過情蒐先了解你的敵人攻擊動機及接下來可能的發展情勢後，幫助企業提前擬定防護策略，以便當發生資安事件時，能夠早一步反應，將損害降到最低。</p> <p>第3個生存策略，則是確保建立一個更安全且穩定可靠的資安基礎設施環境，以便能隨時監控企業內部網路的即時運作狀況，例如有無異常流量等，才能保護企業重要資產；再者，資安長平時也能經由各種資安訓練及測試來練兵，幫助資安團隊做好能夠針對各種威脅因應的準備。最後，他也指出，資安防護是打團隊戰，不是單打獨鬥，資安長必須要找到自己的盟友，不論是與各種資安社群合作，或是尋找強而有力的資安合作夥伴，聯合一起對抗網路威脅。</p> </div></div></div>
2019/3/21 02:51作者余至浩https://www.ithome.com.tw/news/129483
【臺灣資安大會直擊】防範攻擊要從駭客思維出發！HITCON GIRLS成員揭露演練工具濫用的因應對策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年來，企業防範網路攻擊的思維，已經從試圖築起牢不可破的堡壘，開始有所轉變，取而代之的是假定會遭到駭客滲透，因此更強調企業需要找出可能隱而未現的跡象。在此同時，駭客也試圖採取更隱密的方式，透過合法的工具作案－－像是利用PowerShell、常見的壓縮工具WinZip等，然而，HITCON Girls成員YCY表示，實際上，駭客還會利用防守方用來演練的公開工具，在企業內部的網路環境中，為所欲為，因此，她特別在2019臺灣資安大會第2天（3月20日）議程中，呼籲企業要防範這樣的威脅。</p> <p>YCY說，一如小偷想要闖空門，打破窗戶的方式，遠比奮力鋸開大門要來得務實，然而，大多數民眾想要保護家中的財產，卻經常會選擇安裝更難撬開的大門，或是換上更難破解的門鎖。由上述的例子，YCY指出攻擊者與防守者的思維，存在著完全不同的邏輯，因此，企業想要防範網路攻擊，勢必要從駭客的角度，換位思考，了解他們會如何發動攻擊才行。</p> <p>這也突顯近年來檢查企業環境弱點的方法，多半執行的是紅隊演練，而非以往常見的滲透測試。因為，紅隊演練是由駭客攻擊的思維出發，目的是企圖竊取企業的內部資料，涵蓋的範圍較為全面；相較之下，滲透測試著重挖掘系統的漏洞，通常僅限制在指定的範圍，並且針對特定的目標進行測試。另一方面，YCY說，知名的滲透工具Metasploit和紅隊演練工具Cobalt Strike，近2到3年來遭到濫用，駭客拿來在受害者的環境中大開後門的情況，也時有所聞。</p> <h2><strong>從攻擊鏈檢視駭客如何濫用公開工具</strong></h2> <p>那麼，我們要防範駭客的攻擊，就要從他們攻擊的流程－－攻擊鏈各個階段，加以了解、分析。大致上從探查到得手，攻擊鏈共可區分多個階段，首先是對於目標的環境調查，YCY以網路偵察框架Recon-Ng示範，便能收集到攻擊目標裡的電子郵件帳號與網域等資訊。</p> <p>Recon-Ng是一套由Python開發而成的開源網路偵察工具，能在網路環境或網站中，以主動爬行的方式，尋找人名、帳號、電子郵件信箱，還有網頁伺服器的資訊，這套網路偵察框架，也被知名的滲透測試專用的Kali Linux作業系統納為內建的套件。</p> <p>得知企業內部的狀態之後，接著駭客會準備所需的武器，然後發動攻擊。YCY利用滲透測試框架Metasploit示範，直接產生了一個含有惡意巨集的Word文件檔案，然後，交由VirusTotal檢測，約有60款防毒引擎中，有34套識別為有毒。</p> <p>因此，YCY又透過Macro_pack，針對上述產生的檔案進行程式碼混淆，處理之後的Word文件再傳送到VirusTotal分析，就只有15款防毒引擎判斷存在威脅。YCY強調，她所示範的混淆手法算是相當基本，對於駭客真實規避防毒軟體的方式，所利用的工具遠遠不僅於此，完成的武器很有可能交由VirusTotal分析之後，連一家防毒引擎都檢測不出異常。</p> <p>再者，不只產生惡意軟體極為容易，就連漏洞的概念性驗證（PoC）攻擊，YCY說，往往在漏洞遭到公開後的短短幾天就出現，因此駭客也能快速拿來開發變種病毒。</p> <h2><strong>橫向移動與攜出資料的手法，更加隱密</strong></h2> <p>攻擊成功之後，駭客會橫向移動找尋企業重要機密，並滲透內部網路環境，YCY先透過BloodHound，便能以關連圖呈現AD上的物件，而且顯示可能攻擊的途徑。但BloodHound原本開發的目的，是要使紅隊與藍隊能針對AD環境的特權帳帳，進行研究。</p> <p>YCY也提到Responder這套能用來橫向移動的軟體，駭客會利用本機多點傳送名稱解析（LLMNR）、網路基本輸入輸出系統名稱服務（NBT-NS），以及多重廣播網域名稱系統（mDNS）等協定，進行欺騙攻擊，藉由受害電腦無法解析伺服器名稱，進一步駭客電腦能收到受害電腦NTLMv2的權杖，存取這臺電腦。</p> <p>至於駭客得手後想要將企業的機密資料傳出去，YCY表示他們會利用DNS或是ICMP隧道後門，像是DNSCat2、ICMPSH等，藉此躲避企業的網路資安設施，而駭客還會利用線上的免費服務做為中繼站，YCY舉出了APT37駭客組織為例，他們曾經以AOL即時通訊軟體、Dropbox、pCloud等，回避資安人員的追查。</p> <h2><strong>重新因應威脅態勢</strong></h2> <p>針對上述的攻擊鏈分析，YCY表示，企業主要可從檔案管理和網路環境的調整，減少遭受攻擊的危險。在檔案的管理而言，YCY認為企業必須禁止使用不安全的巨集和指令碼，像是HTA、VBS等。</p> <p>而對於網路的部分，YCY認為，企業可以利用公開工具檢查網路環境，並關閉未使用到的功能（例如LLMNR），或是找出不安全的ACL設定等。此外，她也認為資安團隊應該要研究上述的公開工具，而業者也應該將其特徵碼，加入到資安環境之中。</p> </div></div></div>
2019/3/21 03:10作者周峻佑https://www.ithome.com.tw/news/129486
【臺灣資安大會直擊】趨勢研究員披露假訊息最新威脅，經濟目的造假新聞氾濫，假影片開始猖獗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">趨勢科技資深威脅架構師Fyodor Yarochkin，在2019臺灣資安大會座談中，揭</span>露<span class="s1">社交媒體中假訊息的內部運作，並更新去年的研究報告（What’s new in 2018：Fake news and social manipulations）對假新聞的分析，更以現下時事為例，說明假新聞的未來趨勢，以及對社會造成的負面影響。</span></p> <p class="p1"><span class="s1">Fyodor Yarochkin表示，真假新聞的界線模糊，可因政治立場產生不同解讀。如俄羅斯總統普丁3月18號簽署「禁止民眾散播假新聞」的法令，若因散布不實言論違反公共秩序，將被處以罰款或監禁。此舉也引起國際媒體質疑，假新聞的防範是否成為政治手段、侵害人民言論自由？</span></p> <p class="p1"><span class="s1">Fyodor Yarochkin更以委內瑞拉為例，說明假新聞為政治服務的情形。委國政府阻止一般民眾取得敏感資訊，使人民連不上特定網路，為此，Google母公司Alphabet旗下的孵化器Jigsaw去年10月底推出應用程式「Intra」，加密使用者的Android手機和DNS伺服器的連結，讓手機自動指向Google的公共DNS伺服器，人民才得以自由造訪被封鎖的網站，現今服務更已擴及全球。</span></p> <p class="p1"><span class="s1">但相較於政府對消息的封鎖，更常見的是流動於各社交群媒體中的假訊息。操作者可利用各國地下市場尋找交易平台，而地下業者常見操作方式，包括請社群網紅轉貼文章（Follows）、善用口碑或操控輿論以達成目的（Astroturfing）、創造有影響力的言論（Influencing opinion）、特定事件的推廣（News and Events promotions）、罐頭式行銷訊息（Spam and scam campaigns）等。</span></p> <p class="p1"><span class="s1">Fyodor Yarochkin也觀察，操作者會以各國受歡迎的社群媒體為平臺散播消息。如台灣人習慣使用Line、Facebook，巴西人以WhatsApp替政治人物的助選；近來更有加拿大網民發現，在美國網路流量排行第五的Reddit網站上，因華為CFO孟晚舟被加拿大政府逮捕事件，開始出現許多受中國贊助的用戶，以宣傳活動壓制任何反中國的輿論，顯示中國的酸民工廠（Troll Factory）已經入侵Reddit，試圖以煽動或挑釁的言論引起衝突。</span></p> <p class="p1"><span class="s1">除了以文字作為假消息傳播媒介，假照片與影片的傳播將更具影響力。如3月15日紐西蘭恐攻事件、槍手殺人的直播影片，據國內媒體報導，雖然Facebook在24小時內移除上傳影片超過150萬次，但相關影像仍以各種形式在網路上流傳。Fyodor Yarochkin指出，兇手真正的目的可能在於加深民族間的衝突、宣揚白人主義，惡意的行為可能因網路引起更大的負面效果，這與假新聞的傳播目的相同。</span></p> <p class="p1"><span class="s1">而為了經濟目的而產出的假新聞，數量可能又較政治性假新聞更多。Fyodor Yarochkin表示，透過假新聞炒作股票、或欺騙性的宣傳行為，會讓更多民眾受害，且操作者的獲利更高，也是各國需要嚴加防範的類型；而近期社群媒體中也出現各種網站的假聯絡資訊，如Twitter貼文發現偽造的趨勢科技電話，民眾可能因撥打錯誤客服專線尋求Tech Support，被騙錢而不自知。</span></p> <p class="p1"><span class="s1">最後，Fyodor Yarochkin也提到，雖然社群網站已經成為假新聞的溫床，但當遇到不可抗力的災難時，仍然能迅速協助救援。例如WhatsApp成功幫助印度南部的Tamil Nadu，在去年颶風Gaja侵襲後，成為資訊整合平台，使救援團隊有效率的分散救援。</span></p> </div></div></div>
2019/3/20 23:19作者翁芊儒https://www.ithome.com.tw/news/129480
【臺灣資安大會預告】臺灣資安大會3月21日大會Keynote首度提供Live Demo以及資安脫口秀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣資安大會來到第三天，3月21日（四）的大會Keynote有了新嘗試，首先，由臺灣資安新創業者奧義智慧展示資安航母自動巡航，簡單的說，就是「紅隊攻擊模擬Vs. AI藍隊自動機器人」的攻防演練。奧義智慧共同創辦人叢培侃表示，現在的資安威脅預警已經多到無法消化、更遑論分辨真假，如果有一套人工智慧系統可以協助分析哪些資安預警，可以大幅減輕資安人員的工作負擔。奧義智慧團隊將會在現場展示，獨家研發成果透過端點與行為軌跡分析技術，搭配後端人工智能推論案情，實現資安領域的 CyCraft Bot 系統，並可透過語音方式幫助蒐集各端點感知情報、優先化各種告警，能自動化調查案情找出根因，並精簡資安應變的作業與時間。只不過，奧義智慧的現場Live Demo無法直播，只有到現場才看得到的好料。</p> <p>現場Live Demo除了奧義智慧外，還有臺灣重要的SOC業者安碁資訊也在現場針對工控系統的安全性做Live Demo。安碁資訊副總經理黃瓊瑩表示，許多關鍵基礎設施，例如油、水、電、交通等都有工控系統，駭客資安攻擊都會帶來極大的營運損失，但要如何確定這些工控系統的安全防護的確到位呢？安碁資訊累積過往的經驗，打造一套工控資安系統的Testbed（測試平臺），並在資安大會的Live Demo中，展示如何藉由實際實施攻擊與漏洞挖掘並測試、驗證各種資安產品的功能性與防護性等，並且現場示範駭客是如何入侵至工控系統環境後，並取得包括PLC、SCADA、HMI等ICS設備的操控權限。這場Live Demo將會現場直播。</p> <p>第三場則由日本最大電子商務業者Amazon資安官陳浩維擔綱演出，陳浩維是臺灣出身的優秀的資安專家，輔仁大學畢業，到美國卡內基梅隆還擔任亞馬遜全球漏洞獎勵計劃兼亞馬遜日本的資安負責人，也是該公司首第一位對外招募的Incident Response Engineer，曾帶領亞馬遜資安監控中心導入數位鑑識相關技術，後加入內部菁英團隊 Attack and Research Team 參與滲透測試和協助 Red Team 的建立。他首度針對臺灣觀眾分享亞馬遜如何善用駭客思維，把白帽駭客當成自己的夥伴，共同加強資安防禦能量。這一個場次因為日本亞馬遜政策規定，也無法提供現場直播服務。</p> <p>臺灣資安大會創舉，由奧義智慧共同創辦人邱銘彰上臺講Talk Show，資安史上第一次的資安脫口秀，從企業用戶的角度和資安廠商的角度，分享資安常見的怪奇現象，希望可以獲得大家的共鳴。資安脫口秀有現場直播。</p> <p>3月21日上午9：30分開始的大會Keynote，第一場奧義智慧資安航母自動巡航展演的Live Demo不直播，第二場安碁資訊工業控制Testbed與資安攻防研究的Live Demo，則有提供直播；第三場由日本亞馬遜資安官陳浩維分享的，如何透過白帽駭客力量強化資安防禦能量的演講，不提供直播；第四場由奧義智慧創辦人邱銘彰上臺表演的資安脫口秀，則有直播。直播網址：<a href="https://www.facebook.com/ithomeonline/videos/2116840961941499/">https://www.facebook.com/ithomeonline/videos/2116840961941499/</a></p> <p>此外，3月21日（四)「由大話資安x臺灣資安大會」特別節目的訪談播出，集結不同資安專家的訪談，也有不同播出時段。</p> <p>下午1點30分，集結播出微軟全球資安技術長Diana Kelley、精品科技總經理黃文昌以及矅祥網技協理郭姿良的訪談，直播網址：<a href="https://www.facebook.com/ithomeonline/videos/560495764777089/">https://www.facebook.com/ithomeonline/videos/560495764777089/</a></p> <p>下午2點30分，將會彙集前一天重要的Keynote簡短的訪談分享，包括：資安公司Opswat創辦人兼執行長Benny Czarny、卡巴斯基實驗室威脅研究副總裁蒂莫爾•比亞庫耶夫、Polyswarm首席資安長Ben Schmidt。以及臺灣行政院副院長兼國家資安長陳其邁的訪談。直播網址：<a href="https://www.facebook.com/ithomeonline/videos/384101452414140/">https://www.facebook.com/ithomeonline/videos/384101452414140/</a></p> <p>下午3點30分，則是最後精選訪談的輪播，微軟全球資安技術長Diana Kelley、奧義智慧共同創辦人叢培侃以及趨勢科技臺灣區中大型企業業務協理楊肇謙的精采訪談。直播網址：<a href="https://www.facebook.com/ithomeonline/videos/2408473332706396/">https://www.facebook.com/ithomeonline/videos/2408473332706396/</a></p> <p> </p> </div></div></div>
2019/3/20 20:04作者黃彥棻https://www.ithome.com.tw/news/129478
【臺灣資安大會直擊】微軟靠嚴格管理存取權限、身份保護確保資訊安全，還以機器學習對抗網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">「大家覺得是開車還是搭飛機比較可怕」，微軟全球資安技術長Diana Kelley在臺灣資安大會的第二天以「20/20網路：聚焦混合雲安全性」的主題演說中，一開始便以這個問題詢問大家。</span></p> <p class="p1"><span class="s1">大多數人的答案可能是飛機，原因可能是對巨大金屬在空中飛翔的安全疑慮，但Diana認為另一個答案則是控制性，這是因為大多數人駕駛自己的車，有一定的掌控權，但是坐飛機時可能會因為缺乏掌控權，不清楚誰控制這架飛機，因而帶來恐懼。</span></p> <p class="p1"> <span class="s1">Diana表示，雖然我們不清楚飛機的駕駛者是誰，但是卻可以信賴飛機駕駛員擁有的執照，企業對雲端的資訊安全存疑，如同搭乘飛機因為無法自己控制的恐懼感，或許大家可以像信賴飛機駕駛員那樣，信任你的雲端夥伴。</span></p> <p class="p1"><span class="s1">相較於20多年前，今天的網路安全樣貌正在快速變動，許多的交易透過網路進行，網路也成為駭客攻擊的新戰場。仍有企業對雲端安全存疑，但換個角度想，雲端也對企業的資安管理帶來新的想像。</span></p> <p class="p1"><strong><span class="s1">以可控性、可視性降低企業對雲的疑慮</span></strong></p> <p class="p1">Diana表示，<span class="s1">混合雲提供各種工具，協助企業監控和管理混合雲上的資產，包括以身份為基礎的自動化監控機制提高對混合雲環境的可視性及控制性，可以更敏捷、有效地應對網路威脅，以有效率的方式找到智慧財產及敏感資料。</span></p> <p class="p1"><span class="s1">然而，企業擁抱多雲及混合雲的趨勢發展，「企業往往要面對不同的雲端服務者、多個團隊，缺乏整體的安全體驗」。她不忘舉</span>薦<span class="s1">自家的Azure，在微軟混合雲架構中，微軟以Intelligent Security Graph(下圖，來源：微軟)來建構整合性的安全體驗，支援身份安全、雲端應用及資料、雲端基礎架構、裝置的安全保護。</span></p> <p class="p1"><span class="s1"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-03-20%20%E4%B8%8B%E5%8D%888_50_00.jpg" style="width: 600px; height: 324px;" /></span></p> <p class="p1"><span class="s1">有些企業認為上雲後，安全、隱私及法遵的責任都落在雲端服務商的身上，但她認為雲端安全應是一種企業和雲端服務商在責任分擔上的夥伴關係，從企業機房、IaaS、PaaS到SaaS，責任可能是企業自己全部獨力承擔或是一部份和雲端服務供應商共同承擔。除了責任分擔外，雲端服務供應商為企業分擔基礎資源管理，讓企業可以重新規劃基礎資源的運用，同時也能以更智慧有效的方式管理資訊安全。</span></p> <p class="p1"><span class="s1">而談到資訊安全思維，Diana也順道說明了新興的Cyber Resilience思維，不同於過去資安偏向保護所有資訊，阻擋任何資安攻擊，Cyber Resilience強調企業面對攻擊，可以快速發現回應及回復。</span></p> <p class="p1"><strong><span class="s1">嚴格落實資安管控、靠機器學習技術抵擋網路攻擊</span></strong></p> <p class="p1"><span class="s1">在微軟的數位化轉型過程中，現在已有95%的工作轉到Azure，仰賴雲端的資訊安全管理保護，但是仍有剩下的工作是在微軟自己內部資料中心內執行，而為了確保內部資訊安全，Diana分享了</span><span class="s1">微軟自己的做法，針對存取權限採取嚴格管理，例如對雇用的員工嚴格執行背景調查、每年進行人員的安全訓練，使用多因素身份驗證，最小化權限存取或以時間限制存取權，每年還有一次紅隊藍隊的資安攻防演練。</span></p> <p class="p1"><span class="s1">目前微軟在全球有超過100個資料中心，蒐集全球各地安全數據，每天約有6.5兆的訊息送到Azure，由微軟Intelligent Security Graph研析出資安洞察，每個月掃描12億個裝置、分析超過4000億封電子郵件、掃描超過180億的Bing網頁，每月處理至少4500億的身份驗證等等。</span></p> <p class="p1"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-03-20%20%E4%B8%8B%E5%8D%8810_07_31.jpg" style="width: 600px; height: 317px;" /></p> <p class="p1"><span class="s1">微軟也利用多層式的機器學習模型對抗網路攻擊(下圖，微軟提供)，從最上一層的本地端機器學習模型、行為偵測演算法，逐漸往下到雲端以元資料為基礎的機器學習模型、樣本分析為基礎的機器學習模型、大數據分析等等。透過機器學習模型，在2017年10月首次發現Bad Rabbit惡意程式的14分鐘內識別出來，防止攻擊擴大。</span></p> <p class="p1"><span class="s1"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-03-20%20%E4%B8%8B%E5%8D%889_47_54.jpg" style="width: 600px; height: 233px;" /></span></p> <p class="p1"><span class="s1">在企業的資訊安全管理上，她提出了建議，包括最小權限控管及身份保護、部署網路防火牆及DDoS防護、保護靜止/傳輸/使用中的資料、開啟威脅防護，調整混合架構上的工作負載，並且持續評估、擬定政策，隨時依照合規調整內部指導策略。</span></p> </div></div></div>
2019/3/20 22:37作者蘇文彬https://www.ithome.com.tw/news/129479
【臺灣資安大會直擊】前美國國家安全局資安掌舵手Philip Quade：關鍵基礎設施正面臨危急緊迫的關頭，政府及企業須…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>臺灣最大規模的2019臺灣資安大會今日（3/2）正式邁入第2天，今天上午是由前美國最高情報單位國家安全局（NSA）的網路安全負責人，也是現任Fortinet資安長Philip Quade擔任大會上首場Keynote講者。他在會中提出警告，包含臺灣在內的亞太區，正成為關鍵基礎設施風險的溫床，若不及早防範，只會讓駭客或敵人長驅直入到自己國家的核心，造成嚴重毀滅性的打擊。</p> <p>過去30多年都在美國NSA從事情報技術開發與防禦的Philip Quade，長年協助美國國防部情報部門擬定情資戰略並為國家網路安全把關。擁有許多豐富網路安全防禦與作戰經驗的Philip Quade，不僅擔任過NSA局長網路特別助理，還是NSA網路特遣部隊的負責人，一手規畫與擬定國家網路安全方針，更曾替白宮制定國家網路戰略和政策。直到兩年前退休後，Philip Quade加入Fortinet擔任該公司資安長，不只協助該企業制定網路資安政策，更將過去多年累積的安全防禦經驗，用來協助政府及企業用戶運用於各種關鍵基礎設施的資安防護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20190320_094926.jpg" style="width: 600px; height: 338px;" /></p> <p>過去幾年，針對水力、電力、能源等民生關鍵基礎設施的網路攻擊事件頻傳，也促使各國政府將其列為首要優先處理的重大資安議題。Philip Quade就表示，企業或政府現在面臨的網路威脅和以前大不相同，駭客以往多基於金錢目的竊取企業機敏資料，現在攻擊的動機則是更加複雜許多，甚至連面對的對手攻擊方式，也和以前不同，不只是漫無目的、隨機式攻擊，更多是有著針對特定單一或複數國家或組織發動的目標式攻擊，藉此控制或癱瘓這些基礎設施，影響該國民生經濟，甚至造成經濟因此崩盤。</p> <p>Philip Quade更提出警告，現在正是危急緊迫的關頭，他呼籲，不論政府或企業都必須立刻採取行動，「確保基礎設施系統，可以提供更高可靠且具有更高安全防護措施，才能有效防止駭客攻擊」，甚至他也觀察到，亞太區正成為關鍵基礎設施風險的溫床，「尤其臺灣，因為以製造業為主，在生產線上配備許多工控OT系統或設備，一旦與IT網路相連，也很容易成為駭客攻擊的目標。</p> <p>然而，為何越來越多的關鍵基礎設施，都讓駭客可以如入無人之境，輕易取得系統的控制權呢？Philip Quade直言，這與關鍵基礎設施系統核心的OT（Operation Technology）系統有很大關係，例如SCADA監控及蒐集系統，或ICS控制系統等。他進一步說明，以往自成一個安全網路的工控OT系統，因為數位轉型浪潮，企業開始將IT與OT進行整合，以便從大量產線機臺資料蒐集做分析，提高營運與生產效率，「正因為OT網路開始連上IT網路，導致出現資安防護缺口，讓駭客有了可乘之機。」他說。</p> <p>甚至，也因為在機臺加入許多小型感測控制器，或是稱作工業IoT設備，用於蒐集或監控設備環境，但是這些裝置大多缺乏資安措施，駭客能夠輕易藉由這些裝置長驅直入進到OT系統，再由下向上感染整個基礎設施，甚至還反過來經由工控OT網路入侵企業IT網路取得資訊系統控制權。</p> <p>面對關鍵基礎設施的網路威脅，Philip Quade也提出他的因應之道，首先，在OT的安全策略上，他先將這些問題威脅分成三類，包括已知的已知威脅（known knowns）、已知的未知威脅（known unknowns），以及未知的未知威脅（unknown unknowns）。其中第一類如防毒產品上的已知惡意病毒;至於明知有攻擊但不知何時何地發生則屬第2種，最後一種，指的是這些還未曾發現過的未知風險，也是最難偵測得到。</p> <p>針對這幾類的資安風險，他也提出4種資安策略作法，像是建立能即時反應的新一代網路安全架構，以偵測更先進威脅，或是加入整合各種安全防護技術與工作流程的新機制，以及建立如軍事作戰常用的OODA Loop決策自動化機制，加快反應決策，做為持續性信任評估與立即反應。最後，第四個策略是，採用更先進威脅偵測技術或工具，如機器學習等，能經由大量惡意程式當作資料訓練，建立異常網路行為偵測的機器學習模型，來以解決更複雜網路安全問題，甚至是，這些還未曾發現過的未知的未知風險。</p> <p>在資安風險管理上，Philip Quade也提到企業可從威脅程度、漏洞大小、影響後果三個面向的風險指標，對自己的安全威脅風險程度進行分類，如低度風險、高風險，或是超高風險等，找出適合自己的緩解攻擊的最佳方案，將損害降到最低。</p> <p>另外，他也還舉了現在在OT界採用的一種風險判斷方式，就是基於後果基礎工程（ consequence based engingeering）方式，透過工程技術方式設計各種風險情境，用來判辨企業最容易受到哪類的攻擊威脅，以重點加強對這類威脅的防護及偵策能力。</p> <p>不只技術的整合，Philip Quade也同樣強調，OT人與IT人員之間的整合，他表示，人員不分網路安全、營運安全或是實體安全，都應彼此協同合作，才能以預防駭客趁虛而入。當然，他也指出，為了要達到這樣的協同作戰目的，得要有更好的IT與OT組織的管理作法。</p> <p>最後，Philip Quade也講到鞏固網路安全文化的重要性，他認為，每個國家都應有責任加以維護，建立友善的網路安全文化。他還進一步提出每個國家應遵循的三不一合的網路安全行為準則，包括，不應以經濟利益來竊取別國的機密、不能攻擊他國關鍵基礎設施、不應破壞供應鏈誠信，以及各國應就網路安全彼此合作。</p> <style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></div></div></div>
2019/3/20 17:03作者余至浩https://www.ithome.com.tw/news/129471
Fintech周報第91期：富邦人壽今年將力推保險科技，還要整合數位足跡追蹤保戶消費習慣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">03/16-03/22</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 富邦人壽 </span> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 保險科技</span></strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">富邦人壽今年將力推保險科技，還要整合數位足跡追蹤保戶消費習慣</span></strong><br /><span style="vertical-align: top; font-size: 18.6667px;">富邦人壽在3月18日表示，隨著消費者行為的轉變，以及消費習慣的養成，網路投保勢必成為趨勢，加上主管機關逐步開放保險法令，他們也將持續發展多元化的保險商品，並以電子商務模式，讓消費者在一站式的介面購買保險， 2019年將持續導入保險科技（Insurtech），優化顧客在網路投保的體驗。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">另外，富邦人壽也會整合使用者在線上的數位足跡，進行大數據的比對與分析，來掌握網路投保保戶的消費習慣。根據金管會先前公布的2018全年網路投保情況，壽險業網路投保合計投保保費收入達18.95億元，其中，富邦人壽去年以6.64億元居冠。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 信任</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">資安大師Bruce Schneier大批區塊鏈沒那麼值得信任，以太坊與萊特幣創辦人親自回應</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Vitalik%20%26%20Charlie_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%94%9D%E5%BD%B1%E6%9D%8E%E9%9D%9C%E5%AE%9C.JPG" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">國際知名資安大師Bruce Schneier在其部落格發表一篇專欄，以安全與信任的角度，質疑區塊鏈技術帶來的價值。他提到，區塊鏈要把對人與機構的信任，轉移到對技術的信任。但驗證與信任，是兩碼子事。加密貨幣交易所遭駭時有耳聞，Bruce Schneier認為，當區塊鏈沒那麼安全時，還是得回歸到傳統的信任機制。且區塊鏈並不能消除人們對中心化機構信任的需要，人們仍需掌控事物，並在區塊鏈系統以外進行治理。他更指出，任何區塊鏈系統，都須與其他傳統的系統共生共存。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">對此，以太坊創辦人Vitalik Buterin，以及萊特幣創辦人Charlie Lee在一場論壇中，回應了他們的觀點。Vitalik表示，區塊鏈基本上可解決部分信任問題，不過，一旦應用與實際世界的環境有相關時，區塊鏈是有它的限制或障礙存在，比如區塊鏈不會知道臺灣現在的幣值、溫度或其他實體環境中的事情，所以要看應用範圍而定。Charlie則認同Bruce Schneier的看法，他表示有些區塊鏈以外的資訊，的確需要由中心化系統，來輸入真實數據到區塊鏈上，到後來還是得相信中心化機構，確保資料的真實性。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 王道銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 大數據貼標</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">王道銀行用戶破26萬人，開始靠大數據貼標強化產品推薦</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E7%8E%8B%E9%81%93%E9%8A%80%E8%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%94%9D%E5%BD%B1%E6%9D%8E%E9%9D%9C%E5%AE%9C.JPG" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">全臺第一家數位銀行王道銀行最近揭露2年營運成果，目前已突破26萬用戶，在全臺數位銀行的市占率約3成。該公司董事長駱錦明表示，過去2年王道投資了20億元在軟體與硬體，以及招募數位人才，他的目標是今年營收增加5成。王道銀行數據經營部資深協理劉美美更揭露，王道從2018年中開始進行大數據貼標，數據來源包括客戶內部交易、數位通路、社群與客服的資料，不論是結構化或非結構化資料都能涵蓋。她指出，客戶貼標後，就像建立了Customer DNA，讓王道可以推薦適合客戶的金融產品或服務。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 樂天 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 點數</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">樂天市場擴大在臺生態系布局，臺日樂天點數下半年將可雙向轉換</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">台灣樂天市場宣布，臺日樂天市場的超級點數今年將可以雙向跨境交換，讓日本樂天超級點數可轉換在臺灣使用，強化兩地樂天生態圈，台灣樂天市場執行長羅雅薰透露，新的交換機制有望在今年下半年，正式上線，並會推出一個新的點數轉換介面。點數跨境交換更強化了O2O臺日生態圈，用戶兌換到的日本樂天點數，除了可用於線上的日本樂天自營服務，也可用於日本當地線下的實體店家，羅雅薰表示，目前已有超過120萬個通路據點可使用。等到臺日樂天點數實現雙向交換後，用戶在日本消費所累積的點數，也可轉換回臺使用，代表日本逾120萬個實體通路的影響力，將伸入臺灣。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">樂天發展點數機制不單只是為了提供客戶優惠，而是要累積點數背後的客戶行為資料，進而運用於設計種子型行銷策略。舉例來說，透過點數，樂天追蹤了用戶的消費習慣，以提供用戶個人化的樂天服務推薦，羅雅薰分享了一個樂天內部的調查數據，會員每多使用一個樂天服務，他的年貢獻就會增長2.5倍，她更進一步表示，樂天點數創造了縱向循環。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> ioeX </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈電視</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">新創ioeX與QUUBE合作開發具區塊鏈功能的電視，用戶可收看特定節目獲取獎勵</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_ioeX_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_ioeX.jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣區塊鏈新創ioeX宣布與QUUBE聯手打造的區塊鏈電視（QuuMoney TV），預計搭載在日本電視品牌JVC的智能電視產品上，2019年下半年將正式推出。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">QuuMoney TV是採用Android TV Platform (Android 9.0) 運行的智能電視功能平臺，提供多項去中心化、點對點直連通訊的應用功能。觀眾可以藉由收看特定節目，來獲取獎勵，也就是QUUBE 發行的代幣Quu幣，而使用ioeX組網功能產生貢獻度時，還可獲得IOEX獎勵。用戶可利用Quu幣購買QUUBE的服務，比如觀看電影、折抵網路電視平臺月費等，未來也可到數位資產交易所兌換其他數位貨幣。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> PoS機 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 信用卡號</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">PoS惡意程式鎖定中小企業，潛藏至少4年</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">安全研究人員近日發現一隻終端機（PoS）的惡意程式，專門攻擊中小企業竊取信用卡資料，且至少已經流傳了4年之久。安全廠商Flashpoint近日發現到一隻名為DMSniff的惡意程式，已衍生出11隻變種，認為在此之前它可能最少從2016年就被大量用來攻擊餐廳、電影院等IT預算不豐，多數仍使用老舊及不被支援的系統，又有頻繁的信用卡交易休閒娛樂業，但直到最近才被發現。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">根據分析，DMSniff是藉由暴力破解SSH連線或掃瞄漏洞後加以開採，而植入這些企業的PoS機器中。之後它會持續觀察PoS機的交易，發現「目標」即開始爬梳終端機的記憶體，以尋找該筆資料的信用卡號。之後它會將這些資料連同周遭記憶體打包後，再傳送給外部C&C伺服器。此外，它還具有字串編碼（string-encoding）能力以躲避偵測。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Cosmos </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">定位為區塊鏈中樞的Cosmos Hub問世了</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">備受區塊鏈產業期待、定位為各種區塊鏈中樞的Cosmos Hub正式問世了。Cosmos Hub是全球首個基於權益證明（PoS）的公共拜占庭容錯（BFT）區塊鏈，它有3個階段性任務，先求網路穩定性，繼之支援交易，最終將允許跨鏈通訊。Cosmos網路專案是由瑞士非營利機構Interchain基金會委由Tendermint公司所建立的分散式網路，它由許多獨立且平行的區塊鏈所組成，每個區塊鏈都採用BFT協定，彼此間可透過共享的中樞互動，目標是建立一個區塊鏈網路，亦發行了自家的加密貨幣Atom。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Cosmos立志要解決區塊鏈在可用性、可擴展性及互動性上的問題。Cosmos Hub的任務則要藉高度可用性與安全性的驗證器，來強制執行區塊鏈的互動規則，以協調Cosmos區塊鏈網路萌芽時期的生態體系。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">圖片來源：</span>ioeX <span style="vertical-align: top; font-size: 14pt;">；攝影／</span>李靜宜</p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">責任編輯／李靜宜</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1. </strong><strong>全國商總區塊鏈應用及發展研究所推教育工作坊，欲培養國內區塊鏈人才</strong><strong style="font-size: 14pt; vertical-align: top;"><strong>　</strong></strong><br /><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;"><strong style="vertical-align: top; font-size: 14pt;">2. </strong></strong></strong><strong>實名制區塊鏈Maxonrow落地臺灣，先與師大亞洲流行音樂數位科技研究中心簽署合作協議</strong><br /><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;">資料來源：iThome整理，2019年3月</strong></strong></p> </div></div></div>
2019/3/20 17:15作者李靜宜https://www.ithome.com.tw/news/129434
Microsoft Teams用戶數超過50萬家，微軟以8項新功能慶賀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/microsoft-365/blog/2019/03/19/microsoft-teams-experiences-intelligent-workplace/" target="_blank">微軟於本周宣布</a>，旗下的Microsoft Teams團隊協作工具已被全球逾50萬家組織所採納，而且連續兩年奪下Enterprise Connect活動的「年度最佳大賞」（Best of Enterprise Connect ），微軟並趁勢發表了8項Microsoft Teams新功能。</p> <p>於2017年3月問世的Microsoft Teams允許組織的員工透過聊天、會議或通話等形式交流，它除了已直接整合在Office 365的各種應用中以外，也能整合到其它第三方應用。</p> <p>在短短的兩年內，全球已有超過50萬家組織採用了Microsoft Teams，包括Fortune 100中的91家，並有150家擁有1萬名以上的使用者，現今Microsoft Teams已支援全球181個市場的44種語言。IT社群Spiceworks去年的調查即顯示，Microsoft Teams已是全球最受歡迎的協作聊天程式，以21%的市佔率擊敗Slack的15%。</p> <p>微軟也發表了即將在今年推出或已邁入預覽階段的Microsoft Teams新功能，包括客製化背景、內容攝影機、數位白板、即時標題與字幕、私人頻道、資訊疆界、資料遺失預防政策，以及實況活動等。</p> <p>其中，客製化背景允許用戶以企業的商標或辦公室環境作為會議或視訊背景。另也將在會議室系統Microsoft Teams Rooms中支援額外的攝影機，只要利用任何的USB攝影機就能捕獲白板上的內容，再透過微軟所開發的智慧捕獲能力縮放或強調白板上的內容。</p> <p>Microsoft Teams Rooms也即將支援微軟的Whiteboard數位白板。</p> <p>為了解決Microsoft Teams的與會人員可能有聽力上的問題，或有一方在吵雜的環境中參加會議，微軟準備在Microsoft Teams提供即時字幕功能，首個語言版本將是英文。</p> <p>正在測試中的私人頻道能夠限制可看到該頻道內容的團隊成員，以用來討論或傳送不適合公開釋出的內容。微軟說，這是用戶最想要的功能之一，目前微軟已於內部及與特定客戶展開測試，預計於今年上線。</p> <p>資訊疆界則可限制Microsoft Teams成員的交流與協作對象，以迴避組織內部的利益衝突。資料遺失預防（Data Loss Prevention，DLP）政策允許管理人員偵測及監控聊天室與頻道中的對話，避免機密資訊外流，目前已現身於支援Office 365 Advanced Compliance的Office 365及Microsoft 365方案中。</p> <p>已經上線的Microsoft 365實況活動功能讓任何人都能建立即時或隨選的活動，以與員工、客戶或合作夥伴交流，最多可容納1萬名觀眾，此一功能同時相容於Teams、Stream與Yammer。</p> </div></div></div>
2019/3/20 17:23作者陳曉莉https://www.ithome.com.tw/news/129473
Instagram推出結帳服務，讓消費者直接在IG購買商品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到年輕族群青睞的照片分享平台<a href="https://instagram-press.com/blog/2019/03/19/instagram-checkout/" target="_blank">Instagram（IG）於本周發表了全新的購物服務Checkout</a>，當使用者在IG上看到各家品牌所發表的產品時，只要在產品頁面上點選「結帳」（Checkout on Instagram），就能在IG上完成購買的程序，而不必再像過去一樣必須連結至商家網頁進行結帳。</p> <p>各家品牌業者經常透過IG展示最新商品，直接於IG程式中提供購買服務可望提高消費者的購買率。當點選「結帳」之後，消費者可再選擇尺寸、顏色，若是第一次購買則必須輸入消費者的姓名、電子郵件、帳單資訊與遞送地址，之後IG即會儲存這些資訊以方便消費者下次購物。而消費者也能直接於IG中接到出貨或遞送通知。</p> <p>目前該服務僅在美國試行，現有逾20家業者參與IG的封閉測試，包括Adidas、Nike、Burberry、MAC Cosmetics、Prada與Zara等。</p> </div></div></div>
2019/3/20 15:58作者陳曉莉https://www.ithome.com.tw/news/129468
卡巴斯基在俄控告蘋果App Store以不公平規則排擠對手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼Spotify後，<a href="https://www.kaspersky.com/blog/apple-fas-complaint/26017/" target="_blank">安全廠商卡巴斯基周二也宣佈</a>在俄羅斯控告蘋果利用App Store不公平手段限制對手發展類似的產品功能，以便為自己的家長控管軟體護航。</p> <p>卡巴斯基表示去年接到蘋果通知說他們的iOS 版Kaspersky Safe Kids app違反了App Store的app管理政策2.5.1條款，要求移除其中兩項功能。蘋果指Kaspersky Safe Kids app的組態資料檔違反App Store政策，因此必須移除app控制及Safari瀏覽器內容封鎖兩項功能，以便通過蘋果的審查。</p> <p>第一項功能是讓家長根據App Store年齡限制，指定哪些app孩童不可以執行。第二項則可隱私iOS裝置上的所有瀏覽器，讓孩童只能利用該app內建的安全瀏覽器上網，以避免接觸到不安全的內容。</p> <p>除了卡巴斯基外，其他提供家長控制的app AdGuard和Kidslox也有類似遭遇，前者最近被從App Store下架，後者則是無法提供更新版。卡巴斯基指出，它的Kaspersky Safe Kids app代管於App Store上，推出近三年來完全符合平台所有規定，因此忽然發生變化相當耐人尋味。他們認為這極可能和蘋果於iOS 12加入了Screen Time功能有關，它讓使用者得以監控他們對特定app或網站的使用時間，進而設定時間限制，基本上就是一個家長控管功能。</p> <p>卡巴斯基認為蘋果正在利用其作為iOS app唯一平台擁有者及監督者的特權，以限制性規則對其他家長控管app開發商造成不公平競爭。如此一來，競爭者將流失使用者、導致收入下滑，更重要的是使用者可能因未能使用重要安全功能而受害。</p> <p>卡巴斯基指出，蘋果作為唯一通道的擁有者透過自定規則，將霸權擴大到鄰近其他市場，也就是蘋果才剛涉足的家長控管軟體領域，該公司相信蘋果對其軟體豎立起經營障礙及實行歧視性作法，這行為已經違反了反托拉斯法。卡巴斯基數度和蘋果溝通解決，卻沒有獲得回應，因而決定向俄羅斯的反壟斷主管機關Federal Antimonopoly Service提出控訴。</p> <p><a href="https://www.ithome.com.tw/news/114797" target="_blank">2017年卡巴斯基</a>也曾因為Windows 10搭載微軟自家防毒軟體，又對其搞小動作而在歐盟及德國控告微軟。<a href="https://www.ithome.com.tw/news/116188" target="_blank">二個月後微軟讓步</a>，卡巴斯基最後撤告。</p> <p>這項官司也是近來第二家業者控告蘋果App Store排擠對手。<a href="https://www.ithome.com.tw/news/129325" target="_blank">英國串流音樂平台Spotify也向歐盟控告</a>App Store收取蘋果稅，並以不公平的管理手段限制其對手的功能更新或業務行為。</p> </div></div></div>
2019/3/20 16:21作者陳曉莉https://www.ithome.com.tw/news/129469
蘋果更新iMac產品線，效能是前一代的兩倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2019/03/imac-gets-a-2x-performance-boost/" target="_blank">蘋果更新了一體成型的</a><a href="https://www.apple.com/newsroom/2019/03/imac-gets-a-2x-performance-boost/" target="_blank">iMac</a><a href="https://www.apple.com/newsroom/2019/03/imac-gets-a-2x-performance-boost/" target="_blank">桌上型電腦產品線</a>，新一代的21.5吋iMac採用了6核心的英特爾第8代處理器，效能比前一代快上60%，27吋iMac則搭載6核心或8核心的英特爾第9代處理器，效能最高可達前一代的2.4倍。</p> <p>此外，不管是21.5吋或27吋的iMac皆搭載了AMD的Radeon Pro Vega繪圖處理器，在21.5吋的iMac上最多可提高80%的繪圖效能，27吋iMac也能提升50%的繪圖效能，可支援3D內容開發、具複雜效果的影片編輯，或是高解析度的遊戲設計等應用。</p> <p>21.5吋的iMac配備Retina 4K螢幕，依照處理器與硬碟規格不同而有1,299美元及1,499美元兩種售價，台灣售價分別為41,900元新台幣與47,900元新台幣。</p> <p>27吋iMac全都配備Retina 5K螢幕，根據處理器、Turbo Boost及儲存空間的不同則有1,799美元、1,999美元及2,299美元3種售價，台灣售價分別為57,900元、63,900元及72,900元新台幣。</p> <p>新一代iMac即將於下周上架，台灣蘋果官網的售價雖已出爐，但尚未開放訂購，也未公布出貨時程。</p> <p>此次蘋果並未更新入門款的iMac，21.5吋的入門款是iMac家族中唯一未採用Retina螢幕的版本，且配備較舊的英特爾第7代雙核心處理器，但售價也相對親民，維持1,099美元的售價，台灣售價則是35,900元新台幣，且即日可出貨。</p> </div></div></div>
2019/3/20 16:51作者陳曉莉https://www.ithome.com.tw/news/129470
Google踩進遊戲市場，可支援各種螢幕的遊戲串流平台Stadia今年問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於本周舉行的遊戲開發者大會（Game Developers Conference）上展示了遊戲串流平台<a href="https://www.blog.google/products/stadia/stadia-a-new-way-to-play/" target="_blank">Stadia</a>，宣稱將把遊戲機品質的遊戲送到Chrome/Android裝置及電視上，且預計今年就會先行在美國、加拿大、英國與其它歐洲國家推出。</p> <p><a href="https://9to5google.com/2019/03/19/google-stadia-announced/" target="_blank">Stadia</a>奠基在Google的資料中心與網路架構上，它能立即將遊戲傳送到電視、筆電、桌上型電腦、平板電腦或是手機上，目標是可遞送具4K解析度、每秒60個高動態範圍（HDR）畫面與環繞音效等高品質的遊戲，宣稱可擺脫傳統遊戲機與個人電腦在資源上的限制。</p> <p>負責Stadia的Google副總裁Phil Harrison表示，Stadia將讓開發人員可利用幾乎無窮盡的資源來打造他們夢想中的遊戲，它是一個集結伺服器等級GPU、CPU、記憶體與儲存能力的硬體堆疊，若再加上Google的資料中心架構，Stadia的發展速度將能跟上遊戲創作者的想像力。</p> <p>此外，Stadia還能跟YouTube等Google服務整合，例如當玩家在YouTube上觀賞《刺客教條：奧德賽》（Assassin's Creed Odyssey）遊戲時，只要按下「馬上玩」（play now）按鍵，幾秒內就能進入遊戲，完全不需下載或安裝。</p> <p>Google也替Stadia設計了專用的遊戲控制器，該控制器可透過Wi-Fi連結Google資料中心，控制器上有可捕捉、儲存及分享遊戲畫面的按鍵，亦內建Google Assistant與麥克風。</p> <p>Google已經寄出逾100組Stadia開發硬體予全球的遊戲工作室，相關硬體搭載2.7GHz處理器與16GB記憶體，運算效能為10.7 teraflops，高於Xbox One X的6.0 teraflops或PS4 Pro的4.2 teraflops。</p> </div></div></div>
2019/3/20 12:45作者陳曉莉https://www.ithome.com.tw/news/129466
iThome 2019年CIO大調查（上）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/911-39-feng_mian_gu_shi_-1_open-960x420.jpg?itok=RXgks6d-" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>超過7成企業持續展開數位轉型，也帶動IT預算從2017年的低潮，開始爬升，今年是連續第二年的預算正成長，而且IT投資成長率達到兩位數的10.5％，與2016年相當。資安、IT穩定和提升營運效率是CIO今年最重要的三大目標</p> </div></div></div>
2019/3/20 12:00未署名https://www.ithome.com.tw/article/129350
Cloudflare開源能夠檢測HTTPS攔截的函式庫MITMEngine
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cloudflare.com/monsters-in-the-middleboxes/amp/?__twitter_impression=true">Cloudflare釋出新資安檢測工具</a>，方便網站檢查TLS連線是否遭到攔截，檢測易受攻擊的用戶端，並在安全性受威脅或是降級時通知他們。新工具為檢測HTTPS攔截（HTTPS interception）的開源函式庫<a href="https://github.com/cloudflare/mitmengine">MITMEngine</a>，以及Cloudflare使用MITMEngine打造，用來監控自家網路，顯示HTTPS攔截統計資料的儀表板<a href="https://malcolm.cloudflare.com/">MALCOLM</a>。</p> <p>在最單純的HTTPS連接情況下，客戶端瀏覽器和伺服器建立TLS連接，以發送請求和下載內容，但在網際網路上，許多連接並非直接從瀏覽器連線到網站的伺服器，而是經過許多中介，這些中介可能出於惡意或是良善的目的進行HTTPS攔截。</p> <p><a href="https://jhalderm.com/pub/papers/interception-ndss17.pdf">Cloudflare引用了2017年的研究指出</a>，HTTPS攔截在網際網路上普遍發生，而且62％的流量經過中介後安全性下降，因此現在Cloudflare提供HTTPS攔截偵測工具，讓使用者知道網站連線是否遭到攔截。Cloudflare提到，檢測HTTPS攔截可以幫助伺服器辨識，可疑或是易受攻擊的客戶端，伺服器可以使用這些資訊，通知用戶他們的連線可能遭到降級或是存在風險。</p> <p>另外，內容檢查系統也會削弱TLS連接的安全性，當使用者的連線通過較舊的中介，則其連線就可能被降級使用較舊的TLS版本，這樣即便在瀏覽器端跟伺服器端都支援較新版本，但當伺服器端無從得知連線遭HTTPS攔截，就無法使用較新TLS版本的功能。</p> <p>Cloudflare釋出的MITMEngine工具，能夠精確的偵測HTTPS攔截，還具有強健的TLS指紋辨識能力。Cloudflare提到。不少TLS客戶端實作能被以唯一客戶端Hello訊息辨識，因此要辨識遭到截獲的HTTPS請求，伺服器可以查詢與請求的HTTP用戶代理相對應簽章，並檢查客戶端Hello訊息與該簽章是否相符，簽章不符就表示可以能是欺騙代理或是遭攔截的HTTPS。</p> <p>MITMEngine是一個開源的HTTPS攔截偵測器，為Go語言撰寫的函式庫，可用取得用戶代理和TLS客戶端的指紋，並回傳HTTPS攔截的可能性，以及用於識別攔截的要素。透過比較資料的差異，MITMEngine能夠精確地偵測HTTPS攔截，還能判斷攔截的時間以及可能使用的軟體。</p> <p>另一個可供大眾存取的儀表板工具MALCOLM，則顯示使用MITMEngine收集的HTTPS攔截統計資料，而這些資料來自Cloudflare的網路，Cloudflare將MITMEngine應用在他們的網路上，觀察網路請求的HTTPS攔截。</p> <p>Cloudflare表示，他們使用MITMEngine和MALCOLM兩個工具，能夠持續追蹤超過網際網路10％流量的HTTPS攔截狀態，以作為部署新的安全功能或是協定上的參考，也能密切關注可疑軟體。</p> </div></div></div>
2019/3/20 12:20作者李建興https://www.ithome.com.tw/news/129455
Firefox 66可為自動播放的影片內容消音、支援Windows Hello
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla即將<a href="https://blog.mozilla.org/blog/2019/03/19/todays-firefox-aims-to-reduce-your-online-annoyances/#block-autoplay" target="_blank">釋出最新版瀏覽器Firefox 66版</a>，新增自動播放聲音的網頁影片消音、減少廣告下載導致網頁內容跳動、允許跨頁籤搜尋與隱私搜尋、支援Windows Hello等功能。</p> <p>Firefox 66最大的改進是加入Block Autoplay的功能，防止網頁自動播放有聲影片。Block Autoplay可以偵測網頁中自動播放出有聲音的影片，並使之暫停播放，使用者如果想看影片，必須按下播放鍵。但如果網頁自動播放的是無聲音的影片，這項功能就不會啟動。使用者可<a href="https://www.mozilla.org/en-US/firefox/66.0/releasenotes/" target="_blank">在此下載最新版Firefox</a>。</p> <p>使用者設定白名單就能使網站免於Block Autoplay的封鎖。若是Netflix、Hulu或YouTube等允許持續播放影片的網站，也必須將網站加入白名單中。使用者只要按下網址列上內含小寫英文字母i的圈圈，即可找到「白名單（Permission）」，按下下拉式選單的「允許」即可。</p> <p>Google Chrome於去年的66版即已<a href="https://www.ithome.com.tw/news/122019" target="_blank">加入自動為影片消音的功能</a>，但是較不完整。Chrome預設是允許播放1000多個網站的影音，其他的才會封鎖。如果想全部封鎖，則必須在網址列輸入chrome://flags/#autoplay-policy找到自動播放設定，再將設定值改成「Document user activation is required」。</p> <p>此外，過去由於網頁的圖片及廣告下載較慢，會在這些物件下載同時造成先載入文字上下跳動，讓用戶正在看的內容跑掉。Firefox 66將加入瀏覽錨點，使網頁文字固定，不再被廣告及圖片打斷閱讀。</p> <p>最後，Firefox還強化二項搜尋功能。一為跨頁籤搜尋，Firefox 66加入tab overflow menu，按下用於新開頁籤的「+」號右邊向下箭頭，即可讓使用者跨頁籤搜尋網頁上的特定文字，不需再逐一搜尋。第二為隱私搜尋；針對有些用戶不希望搜尋關鍵字被搜尋引擎記錄下來，最新版Firefox中，啟動「隱私瀏覽Private Browsing」時開新頁籤時會看到有預設搜尋引擎（如Google、Bing、DuckDuckGo、eBay、Wikipedia、Twitter）的搜尋列。用戶可到「偏好設定」、「搜尋」中設定「預設搜尋引擎」。</p> <p>Firefox 66其他新增功能包括更清楚顯示網頁安全憑證的警告、改善擴充程式設定儲存的方式以加速網頁載入。最後，在Windows 10版中，Firefox也將支援微軟Windows Hello生物辨識功能。在Windows 10 19H1釋出後，Firefox用戶就可以以非密碼的指紋、臉部辨識或剛剛成為<a href="https://www.ithome.com.tw/news/129100" target="_blank">業界標準WebAuthn的FIDO 2硬體安全金鑰</a>來完成身份驗證。</p> </div></div></div>
2019/3/20 12:25作者林妍溱https://www.ithome.com.tw/news/129464
Windows 7、8防毒程式更新導致大規模當機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟自家的防毒及防惡意程式軟體疑似病毒定義檔升級出包，造成包括Windows 7、8電腦及少數Windows 伺服器上的Windows Defender Antivirus、Endpoint Protection及Microsoft Security Essentials當機。</p> <p>本周陸續有用戶在<a href="https://social.technet.microsoft.com/Forums/en-US/18ab60a3-3b26-4a07-b68d-84085ce66ce5/scep-crashing-pcs" target="_blank">微軟Technet論壇</a>、<a href="https://www.reddit.com/r/windows/comments/b2vfpy/security_essentials_error_code_0x800106ba/" target="_blank">Reddit</a>上反映，他們系統上的微軟防毒軟體升級後傳出當機災情，並顯示0x800106ba的錯誤代碼，理由是一個過濾的驅動程式意外被遺漏。根據<a href="https://www.bleepingcomputer.com/news/security/microsoft-antimalware-crashing-with-error-0x800106ba-on-windows-7-and-8/" target="_blank">BleepingComputer報導</a>，受影響的系統包括Windows 7、8，以及 Windows Server 2003、2008 與2012等。唯Windows 10不受影響。</p> <p>這些用戶共同特徵是為其微軟安全軟體<a href="https://www.microsoft.com/en-us/wdsi/definitions/antimalware-definition-release-notes?RequestVersion=1.289.1521.0&Release=Released&Package=AM" target="_blank">升級病毒及間諜程式特徵定義檔1.289.1521.0版本</a>。微軟證實各地都有用戶反映本情況，但強調問題僅限於Windows 7及Server 2008。微軟承諾儘量在幾小時內釋出<a href="https://www.microsoft.com/en-us/wdsi/definitions/antimalware-definition-release-notes?RequestVersion=1.289.1573.0&Release=Released&Package=AM" target="_blank">1.289.1573.0版本的病毒加間諜程式定義檔</a>。</p> <p>在解決問題的定義檔釋出前，使用者可以按微軟<a href="https://social.technet.microsoft.com/Forums/forefront/en-US/330eab2e-651d-4023-98c4-e5b2a949fb42/revert-an-endpoint-2012-definition-update?forum=FCSNext" target="_blank">說明</a>回覆舊版定義檔，並關閉更新功能以封鎖有問題的定義檔案。</p> </div></div></div>
2019/3/20 12:35作者林妍溱https://www.ithome.com.tw/news/129465
2019臺灣資安大會直擊
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/zi_an_da_hui_zhuan_ti_zhu_tu_.jpg?itok=uP2AkLCA" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>進入第五年的臺灣資安大會，超過8000人報名，參加者來自20多國，2800家企業、450位資安長、資訊長與會，蔡英文總統更親自站台支持國內資安產業，超過80家全球資安品牌，展示最新資安防禦技術，這也是亞洲地區最受注目的資安會議，臺灣資安館更有33家國產資安業者大秀實力</p> </div></div></div>
2019/3/20 11:46作者王宏仁https://www.ithome.com.tw/article/129461
Google開源C/C++函式庫沙盒專案Sandboxed API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2019/03/open-sourcing-sandboxed-api.html">Google對外開源了Sandboxed API專案</a>，Sandboxed API能夠自動為C/C++函式庫產生沙盒，在熱門軟體函式庫產生可重用且安全的功能實作，以保護剩餘軟體基礎設施。Google還創建核心沙盒子專案Sandbox2，提供低階沙盒原語，可以單獨使用於隔離任意Linux程序。</p> <p>由於許多軟體處理外部產生的資料，像是將用戶的圖片轉檔，或甚至執行使用者產生的程式碼，過程通常存在不少的風險，而且<span style="white-space:pre"> </span>Google提到，當處理這些外部資料的函式庫太過複雜時，就有機會出現特定類型的安全漏洞，像是記憶體破壞臭蟲或是解析邏輯相關的問題。</p> <p>因此開發者為了預防問題發生，會使用沙盒技術來隔離這些軟體，以確保解析外部資料的程式碼，只能存取必要的資源，即便在最糟的情況下，駭客取得遠端攻擊控制權時，沙盒技術還是能包住他們，保護其他軟體基礎設施。沙盒除了需要能有效抵禦攻擊保護作業系統外，還必須要易於開發人員使用，然而某些沙盒解決方案，卻要求使用者花時間為每個專案重新定義安全邊界。</p> <p>為此Google發表了簡單好用的Sandboxed API專案，講求沙盒化一次就能重複使用。Sandboxed API是針對C語言撰寫的軟體函式庫實作，以高階觀點來說，Sandboxed API把沙箱化的函式庫，以及其呼叫者（Caller）分為兩個獨立的作業系統程序，主機二進位檔案以及沙盒。實際上函式庫呼叫則是由主機端API物件編組（Marshalling），並透過中介程序傳送至沙盒，在沙盒中由RPC stub解編並轉送呼叫到原始函式庫。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/sapi-overview.png" style="width: 500px;" /></p> <p>API物件以及RPC stub都由Sandboxed API專案本身提供，前者由介面產生器自動產生，使用者只需要提供沙盒策略，允許低層函式庫進行一系列系統呼叫，並同時準備好供存取和使用的資源。以Sandboxed API沙盒化的函式庫，將可以簡單地被重複使用在其他專案中。</p> <p>在Google中，不少團隊已經大量使用Sandboxed API和Sandbox2，由於目前只支援Linux，Google正在研究Unix的系統如FreeBSD、OpenBSD和macOS支援的可能性。而Google提到，Windows的移植是更大的工程，需要完成更多基礎工作。</p> <p>他們也在思考新的沙盒技術，由於隨著硬體虛擬化普及，把程式碼限制在沙盒虛擬機器，開啟了更多應用的可能性。另外，Google在設法改善建置系統，由於Sandboxed API現在正在使用Bazel建置所有內容包含相依檔案，而CMake顯然是更為友善的選項，因此更換建置系統為Google的優先工作之一。</p> </div></div></div>
2019/3/20 11:54作者李建興https://www.ithome.com.tw/news/129450
Nvidia推出鎖定開發者及自造者的AI電腦，售價99美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繪圖晶片大廠Nvidia於本周<a href="https://nvidianews.nvidia.com/news/nvidia-announces-jetson-nano-99-tiny-yet-mighty-nvidia-cuda-x-ai-computer-that-runs-all-ai-models" target="_blank">發表</a>了鎖定嵌入式裝置開發者、研究人員、自造者（DIY Maker）及學生的迷你AI電腦：Jetson Nano，售價為99美元，以協助開發人員打造具備人工智慧能力的裝置，另也推出可支援商業應用的Jetson Nano模組，售價為129美元。</p> <p><a href="https://devblogs.nvidia.com/jetson-nano-ai-computing/">Jetson Nano</a>搭載了64位元的4核心ARM CPU，以及128核心的Nvidia GPU，並內建4GB的LPDDR4記憶體，尺寸為80x100mm，有4個USB 3.0傳輸埠、1個MIPI CSI-2相機連接埠、HDMI 2.0連接埠、DisplayPort 1.3連接埠、Gigabit Ethernet傳輸埠、M.2 Key-E模組、MicroSD插槽與40接腳的GPIO，且可支援完整的桌面版Linux。</p> <p>它能用來執行各種熱門的機器學習框架，涵蓋TensorFlow、PyTorch、Caffe/Caffe2、 Keras及MXNet等，藉由導入諸如影像辨識、物件偵測、定位、姿勢估計、語義切割、影片強化或智慧分析等能力來打造自動化機器與複雜的AI系統，包括行動機器人、無人機、數位助理或自動化裝置等。即日起開放購買，使用者可透過經銷售或各家自造者網站購得。</p> <p>Nvidia自主機器總經理Deepu Talla表示，Jetson Nano使得大家更容易存取AI的能力，而且它的底層架構與軟體與美國國家級的超級電腦一致，可望帶來更多的創新，激勵人們打造下一波的偉大事物。</p> <p>相較之下，Jetson Nano Module則是個體積更小的模組，只有45x70mm，它具備處理器、記憶體、電源管理電話，內建16GB的eMMC儲存空間，允許開發人員直接將它整合到生產系統上，售價為129美元，預計於明年6月出貨，最小訂購量為1,000個。</p> <p>除了Nvidia之外，市場上已有其它業者推出強調AI的入門級運算裝置，例如英特爾在2017年發表的<a href="https://www.ithome.com.tw/news/115719" target="_blank">神經運算棒Movidius Neural Compute Stick</a>，或者是Google於日前揭露的<a href="https://ithome.com.tw/news/129182" target="_blank">本地AI平台Coral</a>。</p> </div></div></div>
2019/3/20 12:10作者陳曉莉https://www.ithome.com.tw/news/129462