iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 17:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟發布年度資安回顧報告，提醒臺灣偷渡式下載攻擊在亞太最嚴重
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼賽門鐵克、趨勢科技、Check Point等資安廠商，揭露對於2018年整體資安態勢的觀察，最近微軟也公布了《智慧資安報告》（Security Intelligence Report，SIR），表示他們的看法大致如同其他業者，包含過去2017年好發的勒索軟體攻擊與加密貨幣挖礦手法，在2018年顯著降低，而軟體供應鏈和網路釣魚攻擊事件則是大幅增長。除此之外，微軟指出，亞太地區的資安威脅情勢，較全球整體來得嚴重，特別是偷渡式下載（Drive-by Download，DBD）攻擊的現象，出現再度氾濫的趨勢。</p> <p>微軟指出，亞太地區的偷渡式下載攻擊的頻率，比起全球高出22%，其中，亞太地區最為嚴重的國家是臺灣，平均Bing索引的網址中，每1,000個URL裡，就有2.54個含有偷渡式下載攻擊，相較於全球或亞太地區的平均，分別為0.09個和0.11個，都高出非常多。</p> <p>所謂的偷渡式下載，指的是在使用者瀏覽網站的時候，暗中將惡意程式碼下載到電腦裡，即使使用者沒有下載來路不明的檔案，還是因為瀏覽網路就遭受攻擊，值得留意的是，這種手法已經存在多年，並非新興手法，但近年來卻成為駭客散播勒索軟體與挖礦軟體的管道之一。</p> </div></div></div>
2019/4/7 19:10作者周峻佑https://www.ithome.com.tw/news/129806
一周大事：前91APP資深副總周旺暾轉戰純網銀。LINE即將在臺推出多項新服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>純網銀候選者「</strong></span><span style="font-size:28px;"><strong>將來銀行」，由前91APP資深副總周旺暾一手打造IT新團隊</strong></span></p> <p>金管會開出2張純網銀執照，目前正在審查階段，待6月將公布花落誰家。然而，純網銀有別於一般銀行，在IT的布局又更為關鍵。<br /> 而候選者之一的將來銀行（Next Bank），其籌備處資訊長兼技術長，由前91APP資深副總周旺暾於4月正式接任。</p> <p>周旺暾畢業於交大學應數系、臺大資工所，擁有25年的網路經驗，是臺灣第一個網際網路入口網站蕃薯藤（yam）公司化後的第3號員工。</p> <p>周旺暾在2004年進入微軟，一待就是長達將近13年的時間，主要負責微軟雲端與資安等產品線的事業發展，而微軟雲端運算平臺Azure Platform，也是於他任內在臺推出。</p> <p>2017年，周旺暾接任91APP人資長，協助重新調整91APP的內部組織，並找尋一個更好的方式招募人才。周旺暾更在2018年5月接手了91APP拓張海外市場的事務，擔任資深副總經理，藉由他過去在微軟的跨國經驗，重新設定91APP在東南亞的海外市場策略與作法，直至今年3月。<a href="https://www.ithome.com.tw/news/129735" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>LINE一舉在臺推出多項新服務，落地7年終於上線LINE客服機器人，更喊出LINE Bank要成為臺灣金融獨角獸</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E6%AA%941%EF%BC%9AIMG_9556_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%9D%8E%E9%9D%9C%E5%AE%9C.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(128, 128, 128);">攝影_</span><span style="color: rgb(105, 105, 105);">李靜宜</span></p> <p>LINE在CONVERGE 2019活動上，宣布即將在臺推出的各項新服務與計畫。包括設立LINE謠言查證官網與官方帳號、擴大LINE開發社群計畫規模、推出新版LINE官方帳號、LINE樂兌服務、LINE SPOT、LINE客服小幫手、個人化即時訊息推播服務，以及LINE Bank的最新進展。<a href="https://ithome.com.tw/news/129652" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Google推出BigQuery資料倉儲搬遷服務</strong></span></p> <p>Google宣布提供資料倉儲搬遷服務，降低企業從Teradata或是Netezza等傳統資料倉儲，將資料搬遷到Google旗下無伺服器分析資料倉儲BigQuery的障礙。</p> <p>傳統的資料倉儲主要是讓企業將資料儲存在本地端的資料倉儲中，而Google提到，傳統的資料倉儲價格昂貴，缺乏靈活性，企業資料容易被特定廠商規格綁住不易搬遷，BigQuery則是相對於傳統資料倉儲的新選擇，Google現在提供資料倉儲搬遷公用程式，讓企業能夠更容易地轉換資料倉儲。<a href="https://ithome.com.tw/news/129653" target="_blank">更多內容</a></p> <p> </p> <p><strong style="font-size: 28px;">3位深度學習先鋒科學家獲頒2018年圖靈獎</strong></p> <p class="rtecenter"><strong style="font-size: 28px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%9C%96%E9%9D%88%E7%8D%8E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_ACM.png" style="width: 500px;" /></strong></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_</span><span style="color:#696969;"> ACM</span></p> <p>2018年圖靈獎頒發給三位對深度神經網路有重大貢獻的科學家，分別是蒙特婁大學教授Yoshua Bengio、Google副總裁兼工程研究員Geoffrey Hinton以及臉書副總裁暨首席人工智慧科學家Yann LeCun。這三個人的研究對現在的深度學習技術有重大的影響，也是近年在電腦視覺或是自然語言處理等深度神經網路應用，可以快速突破的關鍵人物。<a href="https://www.ithome.com.tw/news/129650" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>英國安檢華為電信設備，發現含有重大安全缺陷，但並非來自中國政府的干預</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E8%8B%B1%E5%9C%8B%E5%AE%89%E6%AA%A2%E8%8F%AF%E7%82%BA.png" style="width: 500px;" /></p> <p>英國政府於三月底公布了華為電信設備的安檢報告，指出華為產品的軟體工程與網路安全品質含有許多重大缺陷，且尚無證據顯示華為具備解決這些缺陷的能力，此報告也認為，華為這些缺陷應非中國政府的干預。<a href="https://www.ithome.com.tw/news/129669" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Azure認知服務新增辨識異常事件的能力</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Azure%E8%AA%8D%E7%9F%A5_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_</span><span style="color: rgb(105, 105, 105);"> 微軟</span></p> <p>微軟更新雲端人工智慧服務Azure認知服務（Azure Cognitive Services），加入了異常檢測器（Anomaly Detector）預覽版本，幫助企業以人工智慧識別特殊事件，也改進了自定義視覺（Custom Vision）功能，讓使用者打造的自定義圖像分類器能更準確地辨識圖像中的物件。<a href="https://www.ithome.com.tw/news/129631" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Canonical發布最新企業版Charmed Kubernetes 1.14</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%20K8s_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Canonical%E3%80%81GitHub.png" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_</span><span style="color:#696969;"> Canonical、GitHub</span></p> <p>Kubernetes最新版1.14剛推出不久，Canonical也隨之宣布提供企業級Kubernetes 1.14解決方案，釋出使用kubeadm進行管理部署的最新版Charmed Kubernetes 1.14，以及單節點版MicroK8s 1.14。<a href="https://www.ithome.com.tw/news/129632" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Google加碼投資臺灣，明年啟用臺灣新辦公室，可容納超過4千人</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Google%E5%8F%B0%E7%81%A3%E5%9C%92%E5%8D%80_%E6%94%9D%E5%BD%B1_%E9%BB%83%E9%83%81%E8%8A%B8.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(128, 128, 128);">攝影_</span><span style="color:#696969;">黃郁芸</span></p> <p>近期Google裝置與服務資深副總裁Rick Osterloh在臺宣布，要於新北市台北遠東通訊園區Tpark打造全新Google台灣的辦公園區，今年也將在臺擴大招募人才，增加數百名員工。</p> <p>新的辦公園區將作為Google在臺的研發基地，Google於去年1月完成宏達電手機代工部門的併購案後，使臺灣成為亞洲地區Google最大的工程研發基地，屆時Google的臺灣工程研發團隊將擁有一個獨立的據點，而Google團隊預計從2020年底開始，分批進駐。<a href="https://www.ithome.com.tw/news/129594" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Google智慧臺灣計畫的下一步，砸百萬美元消弭中小學城鄉資源落差，引進求職搜尋加強人才橫向流動</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E8%B0%B7%E6%AD%8C%E6%99%BA%E6%85%A7%E5%8F%B0%E7%81%A3_%E6%94%9D%E5%BD%B1_%E9%BB%83%E9%83%81%E8%8A%B8.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);">攝影_</span><span style="color: rgb(105, 105, 105);">黃郁芸</span></p> <p>谷歌智慧台灣計劃邁入第二年，Google將繼續從人才、經濟、生態系三大面向拓展計畫，並預告今年要在臺灣推展的行動及產品服務。Google非營利機構Google.org也在今年首度在臺灣執行專案，將提供100萬美金給均一平台教育基金會，消弭臺灣教育資源的落差。<a href="https://www.ithome.com.tw/news/129594" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>微軟釋出超融合解決方案Azure Stack HCI，讓企業在本地端執行虛擬化應用程式</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Azure%20Stack%20HCI_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_</span><span style="color: rgb(105, 105, 105);"> 微軟</span></p> <p>微軟在其混合雲平臺Azure Stack上，推出超融合基礎架構解決方案Azure Stack HCI（Hyperconverged Infrastructure），企業現在可以在本地端（On-premises）超融合基礎架構上執行虛擬化應用程式，並且還能無縫整合使用Azure雲端服務。<a href="https://www.ithome.com.tw/news/129629" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>LINE謠言查證官方帳號預計六月底上線，要聯手行政院、民間組織打擊假消息</strong></span></p> <p>假消息的議題在近幾年迅速發酵，社群媒體在加速資訊傳遞的同時，也不可避免的為不實消息提供散播的管道。有鑑於在國內累積超過1900萬活躍用戶的影響力，LINE在2019年著手進行「數位當責計畫」，要聯手行政院及民間力量，對假消息展開反擊。<a href="https://www.ithome.com.tw/news/129633" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>HITCON Girls揭露演練工具被攻擊者濫用的情況</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/MetasploitBuildMalware_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_YCY.png" style="width: 500px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_</span><span style="color: rgb(105, 105, 105);"> YCY</span></p> <p> </p> <p>這幾年來，企業防範網路攻擊的思維，已經從試圖築起牢不可破的堡壘，開始有所轉變，取而代之的是假定會遭到駭客滲透，因此更強調需要找出可能隱而未現的攻擊跡象。</p> <p>在此同時，駭客也試圖採取更隱密的方式，透過合法的工具作案：像是利用作業系統內建的PowerShell、常見的壓縮工具WinZip等。然而，HITCON Girls成員YCY表示，實際上，駭客還會利用防守方用來演練的公開工具，在企業內部的網路環境中，為所欲為，因此，她特別在2019臺灣資安大會上，呼籲企業要嚴加防範這樣的威脅。</p> <p>面臨公開演練工具遭惡意濫用的現象，YCY認為，企業應該從駭客的攻擊過程與手法，加以剖析之後，才能採取有效的因應措施。<a href="https://www.ithome.com.tw/news/129486" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>網路攝影機資安認驗證的安全要求大公開</strong></span></p> <p>為了提升臺灣製造商的產品資安，在2017年召開的資安產業策略會議（SRB）當中，政府決定推動資安產業標準及認證制度的方式，來擴展國內外市場，而在2018年政府也實際推動了物聯網資安標準，期許透過標準與制度，帶動國內的資安水準，並強化本土產品的國際競爭力。</p> <p>對於臺灣自行制訂物聯網資安產業標準，有人質疑此類標章，是否只是一個低標準線的強制性標章？在今年的臺灣資安大會上，我們有了進一步的答案，資策會資安所聯網安全檢測組組長高傳凱，特別針對目前進度最快的影像監控系統系列資安標準，揭露其詳細的安全要求與最新的發展現況。<a href="https://www.ithome.com.tw/news/129548" target="_blank">更多內容</a></p> </div></div></div>
2019/4/7 10:00未署名https://www.ithome.com.tw/news/129724
小米手機預裝的安全程式Guard Provider暗藏中間人攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://blog.checkpoint.com/2019/04/04/xiaomi-vulnerability-when-security-is-not-what-it-seems/" target="_blank">Check Point最近發現</a>，小米手機中所預裝、理應用來保護手機免受惡意程式攻擊的安全程式Guard Provider竟然含有安全漏洞，允許與手機用戶位於同一Wi-Fi網路的駭客執行中間人（Man-in-the-Middle，MiTM）攻擊，追究其原因則是源自於「SDK疲勞」（SDK Fatigue）。</p> <p>Check Point的安全研究人員Slava Makkaveev<a href="https://research.checkpoint.com/vulnerability-in-xiaomi-pre-installed-security-app/" target="_blank">解釋</a>，所有主流的小米手機都預裝了Guard Provider，而Guard Provider則採用許多第三方的軟體開發套件（SDK），包括3款不同的防毒軟體品牌：Avast、AVL與騰訊，並以Avast作為預設值。</p> <p>Makkaveev指出，由於Avast的更新機制採用不安全的HTTP傳輸，使得駭客得以偵測更新時間及猜測該APK檔案的名稱，進而阻擋手機與Avast伺服器之間的連結，在促使用戶將防毒工具切換至AVL之後，AVL除了同樣也採用不安全的HTTP傳輸之外，其解壓縮程序更含有路徑跨越（Path Traversal）漏洞，允許駭客竄改Guard Provider程式沙箱中的任何檔案，包括其它SDK的檔案。</p> <p>於是，駭客只要再阻攔AVL與伺服器的連線，讓使用者再切換回Avast，此時Avast的SDK就能載入及執行駭客所植入的惡意程式。</p> <p>Check Point認為此一案例彰顯了「SDK疲勞」的問題，軟體開發套件（SDK）原本是要簡化開發人員打造程式的流程，但在同一程式中使用多種不同的SDK固然能強化程式功能，卻也會衍生更多問題，涵蓋當機、惡意程式、隱私外洩、讓裝置變成吃電怪獸或效能變差等。</p> <p>根據統計，現在每個行動程式平均使用了18個SDK，但只要其中一個SDK出現問題，就會危及其它所有SDK的安全性，此外，單一SDK的私有儲存資料並無法被隔離，也因此能被其它SDK存取。</p> <p>IDC的調查顯示，小米現為全球第四大手機製造商，去年第四季的佔有率為7.1%，僅次於三星、蘋果及華為。意謂著全球有為數眾多的小米手機都曝露在Guard Provider的安全風險中，小米在收到Check Point的通知之後很快就修補了該漏洞。</p> </div></div></div>
2019/4/7 08:45作者陳曉莉https://www.ithome.com.tw/news/129805
【資安大師觀點】Bruce Schneier：萬物都是電腦，所有事也都變成了資安事
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>他是國際知名的資安大師，也是密碼學大師，更是紐約時報暢銷書作者，資安著作多達14本，臺灣不少資訊主管大學密碼學課程的教科書，就是讀他的密碼學代表作《Applied Cryptography》。近年他更投身公益科技風潮，希望讓美國國家政策可以和科技發展更緊密結合。他就是IBM資安事業部特別顧問Bruce Schneier，以下整理自他在臺灣資安大會的開場演講。</p> <p>我們的世界開始變成每一件事都是電腦。手機是可打電話的電腦、冰箱是冷卻用的電腦，而加熱用電腦是微波爐、ATM則是裡面有錢的電腦。汽車則是1百多套分散式系統裝上了4個輪子和引擎。</p> <p>當每一件事都連上網路後，代表了2件事，網路安全影響了每一件事，而每一件事都變成了網路安全。我們從電腦安全學到的6堂課，很快會影響到每一件事、每一個地方。</p> <h3><strong><span style="color:#FF8C00;">電腦安全的6堂教訓</span></strong></h3> <p><strong>第1堂課是：大多數軟體都寫的很不安全</strong>。所有軟體都有漏洞，高品質的軟體很貴，我們不想付錢，所以，多數人只買剛好夠用品質的軟體。只有例外，如太空梭或飛機上的軟體。凡有漏洞就有弱點，市場力量作用的結果就是，到處是有弱點的軟體。</p> <p><strong>第2堂課是：網際網路不是為安全設計的</strong>。1980年，上網的工作都不是很重要，甚至你也必須是特定機構成員才能上網。因此，網際網路發明人，不用擔心安全問題，而讓想要安全的人自己動手。這個決定大大影響了現在的我們，從DNS，路由，Email到封包傳輸，用的都是沒有安全考量的協定。現在，我們得拼命應付當初這項安全決策的後果。</p> <p>從電腦學到的<strong>第3堂課是電腦具有擴充性</strong>，換句話說，電腦上你所能用的任何功能，都能用來對付你。擴充性是一種電腦功能，這意味著，你不可能限制一個電腦的「功能」，尤其這是軟體，軟體無法管制。</p> <p>小時候，我家裡有一個能和世界聯繫的黑色設備，稱為電話，但它只能打電話，沒有其他功能。可是，手機這個可以打電話的電腦，還可以做任何你想要的事，Apple初代iPhone的口號是「App內建」，只要可以下載App，你就無法限制其功能。不像舊式電話，可以限制它應有的功能性。</p> <p>對資安來說，擴充性帶來的挑戰有二，一是很難做到安全，軟體會持續演化，總是在改變，測試安全性很難，安全地開發也很難。其次是，人可以在手機下載惡意程式，這可說是一種「新功能」，只是有時不用授權就能自動增加。這正是為何冰箱能發送垃圾郵件，監視攝影機會變成殭屍電腦的緣故。因為它們都是電腦，凡有擴充能力，就能這樣用。</p> <p>再來是<strong>第4堂課，電腦系統很複雜</strong>。這意味著，攻擊比防禦簡單多了。越複雜，就越不安全。功能越多，越複雜，程式碼越多，就越容易出錯，入侵方法也越多。就像TICC國際會議中心的出入口，遠比你家複雜，就更難做好保全。不是不可能防禦，但攻擊者占優勢。至少技術上，在網路上，攻擊者比防禦者更占優勢，因為複雜度。</p> <p><strong>第5堂課是，互連之後會帶來新弱點</strong>。當我們將萬事萬物串連在一起時，一件事情的弱點，會影響另一件事。例如2016年Dyn遭殭屍網路的大規模攻擊事件，攻擊者透過資安漏洞，控制了大量Web攝影機，監視器，打造出一套大型殭屍網路，用來攻擊DNS服務，讓25%的全球知名網站消失了。2013年，賓夕法尼亞州幾間加盟店的網路弱點，卻導致知名美國零售業Target整個支付系統遭駭。去年，一份報告說，拉斯維加斯有間賭場，資料庫中的常客資料遭竊，因為大廳那個連網魚缸被駭了。</p> <p>這些弱點都很難修補，你不知道弱點發生在何處，有時是串連到高安全系統的相關網路不夠安全。</p> <p><strong>最後一堂課是，要發動資安攻擊，總是越來越容易、越厲害、也越快速，這就是我們面對的真實世界</strong>。電腦越快，意味著，10年前夠安全的密碼，現在不再安全的了，不是密碼破解技術變厲害了，而是破解速度變快了。</p> <p>但更多時候是，攻擊者會越來越聰明，因為他們會適應局勢而演化。這跟大自然的情況很不一樣，像美國颶風很多，政府也打造很多系統來對抗颶風，如天氣預報系統，颶風不會因為這些人造系統而變得更聰明，可是，在資安世界，攻擊者越來越聰明卻是一種常態。</p> <p>這就形成了一股軍備競賽的局勢。垃圾郵件和反垃圾郵件，ATM駭客和銀行資安人員，最新的競爭則是深度學習造假技術（Deep Fake）和DeepFake偵測技術。攻擊者會不斷地適應，發明出新攻擊手法和新的攻擊系統，來對抗各種安全反制。</p> <p>而且這件事進展的腳步很快，今天是美國國安局的秘密計畫，明天會變成了一篇博士論文，接著就會出現駭客攻擊工具。過去這個過程得花上2年、5年，但現在只需要6個月，而且越來越短。</p> <p>這些情況都不是新鮮事，我們已經和這樣的處境相處了好幾年，也會繼續相處很久。</p> <h3><span style="color:#FF8C00;"><strong>資安變成了一項管理議題</strong></span></h3> <p>但是，現在的資安，變成了一項管理議題。雖然電腦的本質沒有改變，可以當每一件事都變成了電腦之後，我們如何使用電腦的方式，將會有所不同，電腦能做的事也會非常不一樣。電腦對3件事帶來不一樣的衝擊：自動化、自主性和實體機構，也因此而真的改變了安全這件事。</p> <p>傳統上談到安全，其實是指機密性（Confidentiality），隱私，資料偷竊、資料濫用，大多數新聞中的資安就屬這類， Target、Equifax、Facebook、萬豪飯店的事件都是這類。入侵後偷了資料後濫用，這是一種關於機密性的攻擊。</p> <p>大家都熟悉CIA理論，所謂的安全，可以分成3類：機密性（Confidentiality）、完整性（Integrity）和可用性（Availability）的安全。不只針對第一種類安全的攻擊，其餘兩者都有相關的攻擊手法，例如DDoS攻擊、勒索軟體都是一種可用性攻擊。而惡意程式入侵銀行資料庫竄改資料，就是完整性攻擊。</p> <p>但是，今天若你有一臺可以直接影響到實體世界的電腦，在完整性和可用性的上的攻擊，影響會比機密性的攻擊更顯而易見。前兩者帶來的衝擊更大，因為這將帶來生命和財產的真實風險。</p> <p>舉例來說，一旦有人入侵醫院，相較於有人偷走我的病歷資料，我更擔心，我的血型資料遭竄改，因為這項完整性攻擊，會危急我的生命。儘管我不希望有人入侵我車上的藍芽麥克風，竊聽我的對話，但我更不願意有人關閉我的煞車。前者是機密性攻擊，但後者是性命交關的可用性攻擊。</p> <p>考慮到萬物聯網，舉凡汽車、醫療設備、無人機、武器系統、溫度控制器、智慧城市系統、發電廠。過去已經出現過DDoS攻擊可讓這些系統當機，儘管臺灣沒有遇到，但在其他國家發生過。像是溫控暖氣設備遭駭，導致水管凍結，影響了全家生活。挪威也有汽車遭遇DDoS攻擊而停擺，幸好，攻擊沒有發生在野外。</p> <p>這些新威脅，攻擊同樣的系統，卻有非常大的差別。電腦受到攻擊，你損失了資料，但車輛遭到攻擊，你失去的是生命。這兩者可能用的都是同樣的CPU、OS、應用系統和攻擊工具，只是發生地點不同，就造成了極大的差別。</p> <p>這就帶出了一個新的資安議題，同樣的電腦錯誤會有不同的影響。電腦這種特性和尋常事物截然不同。以車子為例，車子用久了會故障，我們也理解車子的零件會因損耗而故障，所以，業界也有相關的維修服務，甚至發展成整套汽車維修體系，來解決汽車故障的情況。但電腦卻是天天運作正常，卻突然就不能動了，這是日常世界少見的故障模式。</p> <p>2014年，140萬臺克萊斯勒汽車因軟體漏洞而召修，得鑽開外殼才能更新軟體，別無他法。或像Onity電子鎖後來發現了弱點，駭客不用門鑰就能打開任意一間房間的門，影響了全球400萬間客房，飯店業者得一扇門接著一扇門，一一用螺絲起子打開門鎖才能手動更新，這幾乎是不可能的任務。過去門鎖壞了，飯店只要找來鎖匠就能搞定，但電腦世界的故障不一樣。</p> <h3><strong><span style="color:#FF8C00;">傳統的安全系統開始弱化，新的安全有三大挑戰</span></strong></h3> <p>我們過去長期倚賴的安全系統開始弱化，所以，我們會面臨三項挑戰，一是<strong>「更新」，這是唯一維持安全的方法</strong>，例如，手機OS廠商的開發團隊，也得負責修補，你的手機也得像電腦一樣，經常更新才會安全。儘管這個安全模式可行，但在低價的嵌入式產品時，例如監視器、家用路由器，毛利微薄又代工生產，就沒有這樣的團隊負責寫程式修補弱點，甚至有些產品無法更新，唯一更新方法是直接買新的。</p> <p>幸好我們每2、3年就會換手機或電腦，所以，汰舊換新還算是是個不錯的安全機制，新款也的確更安全。但在嵌入式系統也不見得能做到，內有嵌入式電腦的汽車，經過好幾手很多年都會繼續開上路。但你家若有1979年老電腦，現在幾乎沒人知道要維護上面的軟體了。</p> <p><strong>第二是認證機制，這是一個勉強可用的機制</strong>，很多情況密碼一點都沒有用，雙因素也只能有時有效。但現在的驗證是會授權給一項裝置或是一項服務，未來會出現越來越多的物對物的驗證授權，若你生活中擁有1百個IoT裝置，就會有1萬次相互驗證的請求，但是，現有的物-物驗證技術，仍無法規模化。</p> <p>所以，當你的手機和要汽車藍芽串接時，還是得有手動設定的過程，同樣動作重複25次容易，但若要重複上千次，就會是一大挑戰，可是，在自駕車上，可能隨時有上千次與其他汽車或道路系統裝置彼此相互驗證的需求。</p> <p><strong>第三項挑戰是供應鏈問題，這是一個非常複雜的跨國問題</strong>，一項美國產品，但所用的晶片可能生產地和軟體開發地，都位在不同的地點、國家。一個地方的安全會影響到其他地方，如何防範？目前沒有真正的解法。</p> <p>當萬物都連線在一起，安全體系已經開始弱化，這不只是技術問題，更像是政策問題。我們欠缺的不是技術，而是政府。</p> <p>我建議，安全體系要思考2大基本原則，第一是防禦至上，系統設計要優先考慮防禦，不能設計攻擊用或監控用的功能，像幾年前國家機構要求蘋果開後門就得阻止。這些系統太重要了，不能那樣設計，要將防禦作為最高原則。第二個原則是韌性，如果萬物聯網，萬事都需要安全，就需要一個能夠自行維持安全度的設計，這是個工程問題，就是改用「韌性」思維，來設計系統。文⊙王宏仁</p> </div></div></div>
2019/4/7 05:28作者王宏仁https://www.ithome.com.tw/news/129804
Amazon證實正在發展低軌寬頻衛星專案Kuiper
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.geekwire.com/2019/amazon-project-kuiper-broadband-satellite/" target="_blank">GeekWire</a>在國際電信聯盟（ITU）的官網上，發現了有關Amazon正著手開發低軌衛星專案Kuiper的文件，顯示Amazon計畫部署3,236顆低軌衛星，可望覆蓋全球95%的人口，且已獲得Amazon的證實。</p> <p>最近不少知名業者都投入了低軌通訊衛星市場，例如美國聯邦通訊委員會（FCC）<a href="https://www.ithome.com.tw/news/127100" target="_blank">已核准SpaceX</a>部署約1.2萬個低軌通訊衛星，臉書的<a href="https://www.ithome.com.tw/news/124697" target="_blank">通訊衛星專案Athena</a>亦準備在今年發射首個衛星。</p> <p>Amazon則是以聲明稿證實了Kuiper專案的存在，指出這是一個長期專案，可望造福那些缺乏寬頻網路的數千萬人口。</p> <p>這項專案在通過ITU的審核之後，還必須經過FCC與全球其它監管機關的同意才能放行，而Amazon也尚未公布Kuiper專案的時程。</p> </div></div></div>
2019/4/6 22:00作者陳曉莉https://www.ithome.com.tw/news/129803
十多個Apache HTTP Server版本含有允許駭客取得最高權限漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apache軟體基金會（Apache Software Foundation）近日<a href="https://httpd.apache.org/security/vulnerabilities_24.html#CVE-2019-0211" target="_blank">修補</a>了Apache HTTP Server上的一個嚴重漏洞，此一編號為<a href="https://cfreal.github.io/carpe-diem-cve-2019-0211-apache-local-root.html" target="_blank">CVE-2019-0211的安全漏洞</a>屬於本地端權限擴張漏洞，將允許駭客取得系統的最高權限以執行任意程式，從2015年10月發表的2.4.17到今年2月發表的2.4.38的十多個版本都遭殃，用戶應儘快升級到4月1日釋出的2.4.39。</p> <p>此一漏洞可在Apache HTTP Server執行Gracefully Restart時被觸發，允許在較低權限的子程序中運作的Event、Worker及Prefork等多工處理模組（MPM），藉由擺布Scoreboard而能以父程序的權限執行任意程式。</p> <p>雖然CVE-2019-0211僅影響UNIX類型的系統，但大多數的Apache HTTP Server都運作在UNIX系統上，特別是網路伺服器。</p> <p>資安業者Rapid7指出，此一權限擴張漏洞對於依然提供共享網路代管服務的供應商而言風險更高，因為這類的服務允許不同的網站共用同一個父Apache伺服器。</p> <p>因此，假設有駭客成功開採了該漏洞，他將取得伺服器的最高權限，得以讀取、寫入或刪除其它客戶的檔案或資料庫。</p> <p>Rapid7估計至少有200萬個獨立系統含有CVE-2019-0211漏洞，有19.3%位於AWS，8.6%位於Digital Ocean，還有5.9%位於OVH。若以區域來看，有77萬的系統座落於美國，22.4萬位於德國，並有11.1萬位於法國。</p> </div></div></div>
2019/4/6 14:45作者陳曉莉https://www.ithome.com.tw/news/129802
【透視國家層級的資安政策制定方向】中國網軍鎖定攻擊臺灣的經驗，反成政府資安防護優勢
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/13_li_de_cai_guo_an_hui_zi_xun_wei_yuan_20190226_hong_zheng_wei_she_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">總統府國家安全會議諮詢委員李德財</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣不只在地理位置具有戰略地位，連面對詭譎多變的網路戰爭中，臺灣也同樣扮演關鍵的角色。從這麼多年推動政府、企業重視資安的經驗，我們可以發現，長期面對中國網軍鎖定攻擊的臺灣政府部門，也逐漸「從做中學」，彙整多年遭到攻擊的經驗，「三折肱而成良醫」，逐步累積相關攻擊手法與防禦方式，現在，臺灣政府或許是全世界最懂得中國網軍攻擊手法、也知道該如何防禦的被鎖定攻擊對象，而這樣的經驗，成為臺灣在面對來自中國網路攻擊的優勢。</p> <p><span style="font-size:28px;"><strong>臺灣發展資安的重要機會，在於能否累積足夠的攻防經驗</strong></span></p> <p>根據行政院資安處公布的2018年政府服務網路（GSN）監看及防護資料，當中顯示，每個月有大約2億次的網路掃描（Port Scan），駭客企圖探測政府網路的各種弱點；在此同時，每個月則有2千萬次到4千萬次的網路攻擊，全年合計有超過3億6千萬次對政府網路的攻擊，目的則是希望透過入侵臺灣政府網路、取得政府相關重要機敏資訊。</p> <p>從統計結果來看，實際上，有成功突圍的攻擊行為，全年大約為360起左右，其中有12起資安攻擊事件，列為資安等級三級以上的重大資安事件，其他的則是資安等級一級、二級的輕微資安事件，像是網<span lang="zh-TW" xml:lang="zh-TW">頁</span>置換等狀況。也就是說，平均每一天，網軍會成功攻擊一次，若以每個月而言，會有一次三級以上的資安攻擊事件，這也顯示，臺灣政府對於資安防護的成功率高達99.9999％。</p> <p>當然，資安沒有百分之百的安全，只要有其中0.0001％的風險，都有可能成為駭客成功入侵的破口，對於相關的網路攻防，我們絕對不能掉以輕心，所以，政府每年都會做各種資安稽核，以及相關的攻防演練，透過模擬來強化政府的資安防護能力，並分享與累積機關資安管理及網路安全的防護經驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/15-%E4%BF%AE_%E6%9D%8E%E5%BE%B7%E8%B2%A1_%E5%9C%8B%E5%AE%89%E6%9C%83%E8%AB%AE%E8%A9%A2%E5%A7%94%E5%93%A1_20190226_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D(1).jpg" style="text-align: center; width: 500px;" /></p> <p><span style="color:#696969;"><strong>總統府國家安全會議諮詢委員李德財：</strong></span><span style="color:#696969;"><strong>從現有的國安會、行政院資安處，以及國家通訊傳播委員會（NCC）等機構，已經形成臺灣資安鐵三角，透過彼此合作，也讓政府有能力更快速因應並處理各種資安事件，對於所轄機關及全民資安意識的宣傳與提升，也不遺餘力。</strong>　攝影／洪政偉</span></p> <p><span style="font-size:28px;"><strong>中美貿易戰開打，臺灣遭到的網路攻擊也升溫</strong></span></p> <p>近期中美貿易大戰開打後，臺灣並沒有從中缺席。</p> <p>中國網軍接受到中國政府高層的任務指派，大幅度提升竊取資通訊敏感科技的情報蒐集，根據國內與國外知名的資安監控與預警中心（SOC）的研究報告指出，光是在2018年下半，疑似中國網軍攻擊的頻率明顯增加，採取的攻擊方式也有所不同，從以往的跳板攻擊轉向直接攻擊，到了去年8月後，又轉回使用跳板攻擊，並且租用東歐國家等第三國雲服務作為跳板攻擊。關於這種種手法的彈性轉變，都使得資安防護的難度更加提升。</p> <p>事實上，網路戰爭是實體戰爭的前哨戰，當中國網軍攻擊與入侵的行為升溫時，也代表兩國情勢趨於緊張，因此，國安會資安辦與行政院資安處、通傳會、國防部資通電軍及國安局等，都持續強化偵防能量，並提高關鍵基礎設施的資安防護等級與作為，以便因應中國網軍帶來的網路威脅。</p> <p>以目前我國的資安發展態勢來看，行政院以「資安即國安」作為上位概念，在2017年通過第五期106年至109年的「國家資通安全發展方案」，並提出「完備資安基礎環境、建構國家資安聯防體系、提升資安產業自主能量、孕育優質資安菁英人才」等四大策略。</p> <p>更重要的是，「資安管理法」正式於今年1月1日生效，明定政府機關及指定的關鍵基礎設施業者（CIIP）都受「資安管理法」管轄，讓資安管理法成為政府要求機關單位落實資安的根本母法。</p> <p><span style="font-size:28px;"><strong>公私協力，提升資安防護力</strong></span></p> <p>從現有的國安會、行政院資安處，以及國家通訊傳播委員會（NCC）等機構，已經形成臺灣資安鐵三角，透過彼此合作，也讓政府有能力更快速因應並處理各種資安事件，對於所轄機關及全民資安意識的宣傳與提升，也不遺餘力。</p> <p>一般而言，要打好網路戰，分成多種層次。以政府和大企業來看，我國優先從關鍵基礎設施建置SOC等基礎建設；然後鎖定高科技與金融產業，例如，針對半導體協會溝通，建立公私協力（Public Private Partnership，PPP）的概念，協助做好產業資安，並透過資安聯防的方式，成立資安服務體系，把能量介接到民間，整合做聯合監控機制。</p> <p>我國的資安鐵三角也透過公私協力的方式，來強化資安聯防機制。首先，由行政院資安處要求八大關鍵基礎設施業者，建立資安長制度，同時，也設立ISAC（資訊資安情資分享與分析中心）、SOC，以及CERT（資安緊急應變回應中心），並透過TWCERT/CC連結全球資安聯防體系，落實強化資安通報及緊急應變的能量，確保數位國家的安全。</p> <p>至於國家通訊傳播委員會的部分，經過一年的努力，已經完成建置「國家通訊暨網際安全中心（NCCSC）」，透過維護八大關鍵資訊基礎設施領域的資訊網路骨幹，強化早期預警、持續控管與維運、通報應變和協助處理與改善等四大面向的運作，藉以確保該資通訊業者可以「持續營運」，並讓民眾可以安心與便利享受各項資訊服務。</p> <p><span style="font-size:28px;"><strong>推動關鍵基礎設施的測試場域，鼓勵臺灣資安業者投入</strong></span></p> <p>在此同時，政府也投入更多的資源在推動「資安旗艦計畫」，以及「前瞻基礎建設計畫」，不僅要強化關鍵基礎設施業者的資安防護能力，也要積極做到區域資安聯防及服務整合的概念，將地方政府納入國家資安防護網，並提升智慧城市的資安防護能量。</p> <p>同時，政府也積極提升資安產業的自主能量，希望有更多本土資安業者可以投入關鍵基礎設施的防護，因此，從2016年開始，政府希望透過油、水、電等關鍵基礎設施業者，將汰換的工控系統釋出，作為本土資安業者練兵的測試場域（Test Bed），參與的資安業者，也從2017年的三家，增加到2018年的七家。</p> <p>未來，<span lang="zh-TW" xml:lang="zh-TW">政府</span>也會加速推動資安工業合作案，由政府釋放更多的測試場域，結合國外工控設備大廠，以及民間資安產業的力量，透過公私協力的方式，提升臺灣資安創新與創業的能量。</p> <p>當然，在2018年9月正式對外公布的《資安戰略報告》也是公私協力的最佳展現，透過座談會集思廣益，加上納入近八十位民間產業專家與學者意見所得出的成果，最終希望可以強化全民資安意識、凝聚各界共識，真正做到<span lang="zh-TW" xml:lang="zh-TW">為「</span>數位國家、創新經濟<span lang="zh-TW" xml:lang="zh-TW">」</span>奠定堅實的基礎。</p> <p>為了確保資安稽核的有效性，政府也會開始逐步推動第三方驗證（Independent Verification and Validation，IV&V）。在這項工作的初期，會先以金融業為主，針對資安滲透測試，做第三方獨立驗證，確認資安滲透測試的結果是否真正達到目標。</p> <p>最後，沒有信任就沒有安全的前提下，臺灣多年的民主自由及信任，是臺灣推動資安時的最大優勢，先前推動IP Cam監控攝影設備的安全標準，許多已經遵循相關規範的臺灣業者，整體財報都有很大的成長，而這就是產品獲得信任的最佳例證。口述⊙李德財、文⊙黃彥棻　<strong><a href="http://www.eslite.com/product.aspx?pgid=10099161842746130" target="_blank"><span style="color: rgb(178, 34, 34);">本文出自《iThome 2019臺灣資安年鑑》</span></a></strong></p> </div></div></div>
2019/4/6 12:00作者黃彥棻https://www.ithome.com.tw/article/129423
國家級資安長揭露施政方針，持續強化整體資安與推動產業自主
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/chen_qi_mai_960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">行政院副院長／國家資安長　陳其邁</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>總統蔡英文自從上任後，鑑於網路攻防的日益複雜，以及難以防範，加上深受中國網軍的頻繁攻擊，便揭櫫「資安即國安」的政策方針，不僅成立行政院資安處專責的資安防護機關，更積極推動「資通安全管理法」的立法，且該法已經於去年6月6日公布、今年1月1日正式實施，就是希望透過立法的手段，將政府部門、公法人，以及相關的關鍵基礎設施服務提供者，全都納入資安管理法的規範之中。</p> <p>行政院身為最高的行政機關，包括相關的人、事、物等，自然也是中國駭客鎖定攻擊的目標。以往院內也曾多次發生下列事件：只要各個部會，有「報派」的新任正副首長消息在媒體揭露後，該部會就會收到該名報派長官秘書的來信，而附件夾檔往往都是一個惡意程式，在收件人不知不覺中，就被安裝在收件人的電腦，等待日後伺機而動，目的往往都是竊取政府相關的機敏資料等等。</p> <p>因此，為了確保政府的資安，乃至全國的資安，相關的工作都必須持續推動，並且由專人來主持這些業務。<span lang="zh-TW" xml:lang="zh-TW">而在</span>「資通安全管理法」第11條便規定，公務機關皆應設置資通安全長，由機關首長指派副首長或適當人員兼任，而身為資通安全管理法正式實施後的第一位國家資安長，最重要的任務就是：協助各個部會、機關甚至是關鍵基礎設施提供者等，都能真正從制度、規範，以及相關的專案中，進一步落實資通安全管理法的管理規範與措施，並讓政府資源可以做最有效的運用。</p> <p><span style="font-size:28px;"><strong>政府重視資安，已推出第五期資通安全發展方案</strong></span></p> <p>基本上，臺灣政府重視資安，並不是這一、兩年才開始跟風的事情，早在2001年的時候，當時的行政院就已經定期、每4年提出一套國家資通安全發展方案，作為政府資安推動工作的上位政策。</p> <p>迄今，最新的版本就是第五期的「106年至109年國家資通安全發展方案」，最終的目的就是希望以「打造安全可信賴的數位國家」為願景，「厚植自我防護能量、保衛數位國家安全」為目標，並從「完備資安基礎環境」、「建構國家資安聯防體系」、「推升資安產業自主能量」和「孕育優質資安人才」等四個策略面向，來推動國家資安防護工作。</p> <p>其中，針對資安聯防，就是希望從縱深防禦、跨域聯防，以及防制新型態網路犯罪等層面，建構國家資安聯防體系；另外，藉由資安旗艦計畫，以及前瞻基礎建設計畫中，也規畫以六個直轄市為領頭羊的六都聯防，藉此逐步強化關鍵基礎設施業者，以及地方政府的資安防護能量。</p> <p>另外，我們也必須積極提升臺灣資安產業的市場規模與產值，唯有資安產業成為一個有利可圖、有發展前景的產業時，相關的資安產業生態鏈，才可以創造經濟產值，之後，則要透過需求鏈結、產業升級、關鍵技術研發等面向，更進一步提升資安產業發展的能量。</p> <p><span style="font-size:28px;"><strong>政府資安人力需求一倍，民間需求十倍以上</strong></span></p> <p>今年資通安全管理法正式施行後，所有公務機關都面臨到一個共通的問題，那就是：資安人力明顯不足。</p> <p>根據資通安全管理法的規定，所有的政府機關都有資安責任等級的區分，其中，如果是名列資安等級A、B和C級單位，在資安法實施後，就必須要分別配置4人、2人和1人的專職資安人力。但現在的問題是，資安法雖然明文規定要有專職的資安人員，但各個機關的大小規模不一，加上受限於總員額法，有許多機關目前並沒有多餘的人力可以補足資安人力缺口。</p> <p>然而，因為資安很重要，行政院也已經請各機關首長盡可能在總員額的範圍中，優先補足資安人力。在初期的兩年過渡期中，各機關可以採用約聘僱或者是委外人力的配置方式，但在兩年後，仍必須補足正式公務人員的正職資安人力。</p> <p>由於政府營運本身也像是一個大型企業，在資安方面，可以扮演領頭羊的角色。例如，政府需求是一倍的話，會帶動民間資安需求至少十倍以上，以政府資安人力需求一千多人為例，至少帶動民間資安人立需求一萬人起跳。金融業界因為有強烈的法規遵循要求，許多金融單位甚至直接從政府既有的高階資安人才挖角，這麼一來，也形成一種人才的正向流動。</p> <p>事實上，目前政府專責的資安人力並不多，在資安法通過後，甚至還有五百多個資安人力缺口待補，然而，一個好的資安人力，就像是一個專案經理（PM），而一個好的專案經理，就像是一個好的將軍，針對配合的委外廠商，他可以指揮若定，達到相互幫襯的效果。</p> <p>目前來看，資安人力的市場相當競爭，全球對資安人才都需求孔急，不只是國家、企業，連許多犯罪組織、駭客組織也都積極爭取資安人才，舉例來說，美國因為是資本市場，有許多退役的軍官退伍後，就直接高薪聘用到企業任職。</p> <p>但對臺灣而言，如何提升資安產業、擴大資安市場？現今，行政院本身設立的技術服務中心，除了提供相關的資安訓練課程外，對於政府資安人力素質的確保，有專業證照和一定時數定期教育訓練的要求，同時，也會搭配相關的稽核，落實整個資安流程的PDCA循環。</p> <p>現階段，政府也已經有資安服務團的成立，從策略、管理和技術等面向，以實地訪視及顧問的方式，到政府各個A級機關常駐兩個月的時間，協助機關建立相關的資安防護、管理機制、聯防機制，以及緊急通報應變程序與實作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/32_%E9%99%B3%E5%85%B6%E9%82%81_%E8%A1%8C%E6%94%BF%E9%99%A2_%E5%89%AF%E9%99%A2%E9%95%B7_20190305_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D-2.png" style="width: 500px;" /></p> <p><strong style="color: rgb(128, 128, 128);">身為資通安全管理法正式實施後的第一位國家資安長，最重要的任務就是：協助各個部會、機關甚至是關鍵基礎設施提供者等，都能真正從制度、規範，以及相關的專案中，落實資通安全管理法的管理規範與措施，並讓政府資源可以做最有效的運用</strong><strong><span style="color: rgb(105, 105, 105);">。</span></strong><span style="color: rgb(105, 105, 105);">　攝影／洪政偉</span></p> <p><span style="font-size:28px;"><strong>臺灣民主政府是信任基礎，協助政府與產業更密切交流</strong></span></p> <p>關於資安產業的自主，臺灣資安產品能否走向全球是關鍵。因為長年民主政治的推動，我國資安產品也獲得許多國家的信任，但要真正做到行銷國際，仍有一段努力的空間。</p> <p>同時，資安產業是政府健全資安體系很重要的一個環節，資安法通過後，政府在思考的則是，如何帶動資安產業發展、落實資安人才培訓，並建構一個空間，讓公務部門和民間企業之間能有更多的合作與參與，也是政府當前在思考的方向。</p> <p>未來，面對臺灣資安產業，政府該扮演何種角色？舉例來說，可擔任投資者、提供市場這種類似產業加速器的角色，協助資安產業快速發展，政府甚至可以讓加速器在獲利後，制定一套分潤機制，讓整個加速器有更正向循環，形成活潑的商業模式。這或許也是政府未來在協助臺灣資安產業發展時，另外一種可以思考的角度。</p> <p>此外，臺灣整體產業這幾年來，積極在物聯網、金融科技及大數據的發展應用，而在這樣的前景之下，資安都是不可或缺的重要環節。以政府而言，目前正在打造去識別化的國家資安資訊分享與分析中心（N-ISAC），希望進一步做到不同產業的資安情資分享以及落實聯防機制外。</p> <p>同時，目前的行政院技術服務中心，也扮演政府機關資安服務專案辦公室（SPMO）的角色，透過簡化資安服務採購程序，建立資安廠商能力評鑑機制，協助各機關導入適合的資安服務，以強化政府整理資安防護能量，則是SPMO主要努力達成的方向。</p> <p>不管是社交工程演練、弱點掃描、資安健診等，其實，都是臺灣政府推動資訊安全的工作日常，然而，由於目前公務機關所採用的核心系統，絕大多數是使用國際大廠的產品或元件，接下來，該如何提升臺灣資安自主能力，確保系統防護不會受制於他國提供的技術，仍是政府未來不間斷的努力目標。口述⊙陳其邁、文⊙黃彥棻　<strong><a href="http://www.eslite.com/product.aspx?pgid=10099161842746130" target="_blank"><span style="color: rgb(178, 34, 34);">本文出自《iThome 2019臺灣資安年鑑》</span></a></strong></p> </div></div></div>
2019/4/6 12:00作者黃彥棻https://www.ithome.com.tw/article/129424
機車化身城市大數據源頭，威摩靠車聯網實現機車共享
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臺北市如果要從一個地點移動到另一個地點，沒有自己的汽車、機車或是腳踏車，你會選擇什麼交通工具？</p> <p>兩年多前，這個問題的回答，可能是公車、捷運或小黃，若距離不長還可以租YouBike，但今天的選擇多了一個，若有機車駕照，你現在可以租一輛威摩科技（WeMo Scooter）的電動機車，除了環保減碳、行駛產生的噪音低，最大的特色是不用到特定站點，打開App，附近哪裡有車就能租，還車也只需找到任何一處合法停車位就行，不論租、還都直接在App線上完成。</p> <p>仿效YouBike，威摩科技也以U-Motor公共機車概念打響名號，但是和只能定點租還車的YouBike不同，威摩的電動機車24小時都可以任意地點租還，關鍵就是將物聯網技術結合了機車租賃服務。</p> <p>威摩科技在2015年創立之初有4位共同創辦人，其中一手主導技術研發的是威摩科技技術長鄭捷。</p> <p>他觀察，儘管政府投入大筆經費建設大眾交通工具，但仍有不少人選擇以機車作為通勤交通工具，以臺北市來看，有36％的人使用機車作為交通工具，而使用公車、捷運等大眾運輸工具的人則只有32%。但是，在2015年當時，對環境較友善的電動機車還不普及，因此，威摩決定投入電動機車共享服務，後來選定光陽Candy 3.0電動機車。</p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 150px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/42_WeMo_%E9%9B%BB%E5%8B%95%E6%A9%9F%E8%BB%8A_20190220_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="text-align: center; width: 200px;" /></td> </tr><tr><td><span style="font-size:16px;"><span style="color: rgb(105, 105, 105);">威摩推出的電動機車共享服務，在每輛機車上加裝了自行開發的智慧黑盒，結合4G行動通訊技術，標榜無站點、免充換電池、24小時隨租隨還的便利服務。</span></span></td> </tr></tbody></table><p><strong><span style="font-size:28px;">以科技打造車聯網，撐起共享電動機車服務</span></strong></p> <p>鄭捷表示，威摩科技一開始就決定要以科技打造一個對使用者最友善的共享服務。其中最大特色是任意地點App租還車，落實這項服務的關鍵技術是車聯網，才讓威摩科技可以在後臺隨時掌握每輛電動機車的位置、運作狀態，確保使用者找到機車時，已處於可以上路的狀態，來維持良好的使用體驗。</p> <p>在每輛電動機車中都裝了一個智慧黑盒，可以追蹤機車位置，讓用戶在大街小巷中找到前一位使用者停放的機車。當用戶按下租用鍵後，威摩科技則從遠端啟動機車，或是在還車時遙控機車熄火，這一切都靠這個智慧黑盒達成。</p> <p><span style="font-size:28px;"><strong>自行開發智慧黑盒，遠端遙控車輛、蒐集數據</strong></span></p> <p>無固定租還車站點、線上隨租隨還的商業模式，可能會讓人聯想到另一個交通工具租借服務oBike，不過，使用者租用oBike須以手機上的藍牙解鎖腳踏車，而威摩科技是透過4G通訊來遠端控制車輛，不論是找車、租還車、啟動或熄火，甚至最基本的打開車廂，一切都可以靠管理後臺來開關。本來，威摩科技想要採用現成的機車外部控制系統，但沒有找到合適的產品，因而決定依照自己服務的需求自行開發。</p> <p>例如顧客還車後不小心遺留物品在車廂中，客服就能從遠端遙控解鎖車廂，不用啟動車輛也能讓消費者取出物品。或像機車發生故障或是電量不足，威摩科技也能從後臺掌握車況，將該輛機車自服務中暫時下架，等待維修後再重新開放租借。</p> <p>另外，若是機車在租用時發生交通事故，智慧黑盒還可以即時紀錄當時的車速、車輛傾斜度，甚至是撞擊力道有多大，發揮如同飛機的黑盒子角色。</p> <p>這個智慧黑盒會主動蒐集紀錄電動機車的數據，不論是停放在路邊，或是租用行駛中，除了以GPS定位追蹤機車位置資訊，還包括電動機車上的電池剩餘電量及馬達轉速。</p> <p>威摩服務的另一個特色是使用者不需自行充換電，甚至消費者租車前也能得知附近每輛機車的剩餘電量，若需要長距離移動，則可選擇電量較多的機車。為了做到這件事，後臺必須精確掌握每一臺車的電池狀態，一旦出現電池剩餘電力不足，或是異常放電的情形，後端的管理人員就能馬上安排人員前往更換，即使電池離開機車，被送到威摩自己的充電站充電，仍能掌握每顆電池的充電情形。</p> <p>這個智慧黑盒最初的原型是以樹莓派電腦開發而成，再接上手機提供連網能力，不過，參與原型開發工作的鄭捷笑著說，當初向股東展示這個電動機車車聯網的概念時，按下App的啟動鍵，要等上一兩分鐘，才能遠端啟動機車，現在不用2秒就能啟動。</p> <p>由於樹莓派並未提供車規版本，後來威摩改用ARM架構的晶片重新設計，才打造出現在普設在每一臺機車內的智慧黑盒。而且多次改版，剛開始時因為定位不夠精準，導致使用者找不到機車位置，後來不斷測試天線位置、改善軟體設計，才慢慢提升了定位精準度。</p> <p>隨著車隊規模越來越大，租借次數也逐漸增加，威摩還陸續開發了租借管理系統、電池管理系統、車隊管理、付款系統及客服系統等。</p> <p>以車隊管理系統為例，主要用途是管理車輛及維護。例如管理人員可以從車隊管理系統後臺得知是否有機車出現GPS定位錯誤的異常，可以先下架異常車輛，並派出維修人員。</p> <p>威摩科技以智慧黑盒架構起整套車聯網，但如何蒐集數據是接下來的問題。</p> <p>鄭捷表示，物聯網雖然能夠蒐集大量數據，但也會帶來儲存成本、網路流量負擔增加，如果要將所有數據都回傳，一輛車上約有60至70個感測器，一天就有高達數GB的數據量，除了最基本的數據必需回傳外，哪些數據只需儲存在機車上？哪些應該回傳到後臺？多久回傳一次？都是車聯網蒐集數據的難題。</p> <p>目前威摩電動機車在停放沒有移動的期間，隔一兩個小時就會回傳車輛位置、電池電量資訊，一旦使用者開始租用電動機車，租用期間則改為每秒回傳必要的車況數據。為了讓數據傳輸更為即時，威摩科技直接選擇4G作為為車聯網通訊技術，而非LoRa等其他IoT通訊技術。後來3G電信服務中止，這個直上4G的決定，也讓威摩省下上千輛電動機車的升級作業。</p> <p><span style="font-size:28px;"><strong>蒐集數據優化營運</strong></span></p> <p>要達成這樣的目標，威摩科技想辦法將蒐集到的數據用於優化營運，例如根據租借熱門的地區或時間，預測使用需求，在使用需求較多的地區，安排人員儘快前往更換電池，確保該電動機車隨時保持在可服務的狀態。<br /> 「威摩科技設定了2大服務目標，首先是使用者在10分鐘路程內可找到一輛車，其次是，當使用者需要車時，附近有夠多的車可以租用。」，鄭捷表示。</p> <p>威摩科技也趕上機器學習熱潮，和第三方合作以機器學習預測機車的使用需求。鄭捷提到，未來也希望能在電池管理工作上借重機器學習，讓電池管理作業能夠自動化，不過，目前所累積的電池壽命耗用數據還不夠多。</p> <p>這些數據不僅用於優化營運，還可能是新服務的基石，鄭捷表示，智慧黑盒能夠根據數據判斷車輛是否發生倒車，回報給後臺的管理系統，若能結合其他數據，如車輛租用狀況、車速資料，便可推測出使用者是否發生了車禍，早一步主動通知警察或保險人員前往處理。</p> <p><span style="font-size:28px;"><strong>電動機車化身為智慧城市大數據新來源</strong></span></p> <p>不只蒐集車輛的馬達、電池等數據，威摩在黑盒子中還蒐集了更多種數據，像是結合機車行駛的位置及震動變化，目前正和臺北市政府的道管中心洽談合作，要利用電動機車在大街小巷移動時蒐集到的震動數據，來協助臺北市政府找出道路不平整的地區。</p> <p>另外，在部份車輛中還部署了特殊的空氣感應器，可以偵測空氣中的細懸浮微粒（PM2.5），和路平偵測的道理一樣，當這些機車在城市各處中行駛時，可以即時偵測到城市各處的空氣品質，即時呈現到網站上的空氣品質圖表中。甚至威摩的電動機車還能偵測是否路面有積水，在颱風季節來時，可以協助市政府掌握道路的淹水災情。</p> <p><span style="font-size:28px;"><strong>仰賴雲端服務，靠快速開發滿足業務需求</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 250px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/11_(%E6%8A%BD)%E9%84%AD%E6%8D%B7_WeMo_%E6%8A%80%E8%A1%93%E9%95%B7_20190220_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 300px;" /></td> </tr><tr><td><span style="font-size:16px;"><strong><span style="color: rgb(105, 105, 105);">快速開發原則是，先求有再求好，先滿足業務單位的需要，並根據實際使用結果進行小調整，後續再將需求轉到正式開發環境，循正規開發方式來改善規模化的問題。──威摩科技技術長鄭捷</span></strong></span></td> </tr></tbody></table><p>目前威摩科技在臺北市約有2,000輛電動機車，今年將增加到3,000輛，每輛機車傳送數據到後端系統，由於沒有包袱，威摩科技一開始便選擇使用公有雲服務。</p> <p>「許多人質疑公有雲的安全性，但企業在考慮使用公有雲服務時，可以試想自己招募的員工，會不會比成為全球攻擊對象的Google或Amazon安全團隊還要厲害，」鄭捷表示。</p> <p>不過，由於國內使用AWS必需連到日本的資料中心，為了縮短本地的系統回應時間，威摩科技去年將自家系統從AWS，搬到在臺灣設有資料中心的GCP，也能避免突發地震導致海纜中斷的風險。</p> <p>原先威摩科技使用虛擬機器來部署應用，現在約有3到4成則改部署於容器及Kubernetes調度平臺上，也早在2015年即開始採用AWS的Lambda無伺服器運算服務。鄭捷指出，Container是他們下一步的主要部署環境，但長期目標則是要朝微服務架構前進，他解釋，微服務架構才能夠確保服務品質，降低系統停機的風險。</p> <p>除了正式開發環境，為了因應市場快速變化及競爭，威摩科技也採用了一個非正規的開發方法，他們設立了一個快速開發團隊，運用免程式碼（Low Code）開發工具如Google的App Maker，犧牲開發彈性及大規模部署能力，來縮短開發時程，盡快滿足內部營運上的迫切需求。過去要花費2到3個月才能開發完成的功能，現在，只要3、4天或1個星期就能做出來。</p> <p>同時鄭捷也善用許多現成的Google小工具。像是可以每5分鐘更新一次的用戶租用數據儀表版，傳統上，可能需要3、4位工程師花上2、3個月時間開發，他們則用Google Script開發，透過API串接自家用戶資料庫，再在Google Sheet上自動繪製出各項營運報表，再共享給其他人參考。執行Google Script就像微服務，能定時產出即時的圖表報告。「整個過程只需要1個人負責開發API。」鄭捷表示。</p> <p>鄭捷認為，快速開發原則是，先求有再求好，先滿足業務單位的需要，並根據實際使用結果進行小調整，後續再將需求轉到正式開發環境，循正規開發方式來改善規模化的問題。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><strong>威摩科技技術長鄭捷</strong></p> <p>學歷：南加大電機工程學系</p> <p>經歷：1997年創立捷辰科技，產品銷售對象包括國內外大廠（在美國工作經歷1998-2006），1999年起擔任捷辰科技董事長至今，2015年10月參與創立威摩科技股份有限公司，擔任技術長至今。運用20年以上的網路通訊產業經驗，參與智慧黑盒開發，以車聯網打造電動機車共享服務。</p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(51, 153, 255);"> 公司檔案 </span></strong></p> <p><strong>威摩科技</strong></p> <p>● 地址：臺北市南京東路三段303巷三弄八號二樓</p> <p>● 成立時間：2015年10月</p> <p>● 主要業務：共享智慧機車即時租借服務</p> <p>● 員工數：110人</p> <p>● 董事長：吳東明</p> <p>● 資訊部門主管職稱：技術長</p> <p>● 資訊部門主管姓名：鄭捷</p> <p>● 資訊部門人數：40人以上</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 公司大事記 </span></strong></p> <p>● 2015年：威摩科技成立</p> <p>● 2015年4月：第一版共享機車原形與系統完成</p> <p>● 2015年6月：研發成功/導入生產</p> <p>● 2015年10月：車聯網服務上線</p> <p>● 2017年：臺北市投車1,000輛</p> <p>● 2018年：臺北市投車2,000輛</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/02_nei_ye_zheng_jie_wemo_ji_shu_chang_20190220_hong_zheng_wei_she_.jpg" width="960" height="420" alt="" title="威摩科技技術長鄭捷" /></div></div></div>
2019/4/6 10:00作者蘇文彬https://www.ithome.com.tw/people/129725
Google擴大Duplex AI支援，iOS與更多Android裝置都能用了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在2018 Google I/O上展示的AI語音助理Duplex，先是去年10月在Pixel裝置上線，現在<a href="https://9to5google.com/2019/04/03/google-duplex/" target="_blank">要進一步擴大支援包含iOS與其他非Pixel但執行Android 5.0以上的裝置</a>。</p> <p>在2018 Google I/O大會上，Google讓以Duplex技術為基礎的人工智慧語音助理，代人類打電話給餐廳以及美容院預訂服務，語音助理可以自然地與店家談話協調時間，還會刻意在句子加上「嗯哼」或「哦」等語助詞，讓店家完全沒發現來電者是電腦，幾乎與人類說話一樣的效果嚇壞不少人。</p> <p>在去年10月底，Google發布Pixel 3及3 XL等裝置，同時也開始在這些裝置上支援Google Duplex，提供電腦代為打電話訂位的服務。而現在Google在其以智慧助理撥打電話的支援頁面上，將iPhone列為支援的裝置，使用者只要安裝Google智慧助理就可以開始使用，而Android裝置也只需要安裝5.0或更高版本，即可使用自動撥打電話服務，不過，目前服務的地方仍只有美國特定的43個州。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/-qCanuYrR0g" width="560px"></iframe></div> <p> </p> </div></div></div>
2019/4/5 22:03作者李建興https://www.ithome.com.tw/news/129795
只存活了一周，Google解散AI外部顧問團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google甫於3月26日宣布成立<a href="https://www.ithome.com.tw/news/129625" target="_blank">「先進技術外部顧問委員會」</a>（Advanced Technology External Advisory Council，ATEAC），延攬業界的8名專家來協助規範Google內部的AI發展方向，但根據<a href="https://www.vox.com/future-perfect/2019/4/4/18295933/google-cancels-ai-ethics-board" target="_blank">美國新創媒體Vox</a>在4月4日的報導，由於該委員會成員的資格備受爭議而約莫只存活了一周便遭到解散。</p> <p>先是有超過2千名Google員工在4月1日連署要求Google將Kay Coles James自ATEAC中剔除，原因是她是名反跨性別、反同志，且反移民的鼓吹者，這些Google員工認為James的立場直接違反了Google的價值觀。</p> <p>再者ATEAC成員之一的Dyan Gibbens為無人機公司Trumbull的創辦人，最近又重建協助軍方使用AI技術的部門，再度引發類似<a href="https://www.ithome.com.tw/news/126339" target="_blank">Google Maven專案</a>的爭論。</p> <p>另一名受邀的成員<a href="https://twitter.com/ssnstudy/status/1112099054551515138" target="_blank">Alessandro Acquisti則說</a>他已拒絕ATEAC的邀請。Acquisti解釋，雖然他致力於研究人工智慧中有關公平、權利與包容性等倫理問題，但他覺得這並不是個正確的論壇。</p> <p>Google則對外證實已經解散了ATEAC，指出於現在的氛圍中，ATEAC顯然無法如Google預期般地運作，於是Google決定終止ATEAC並重頭來過。未來Google將持續承擔AI所衍生的各種重要議題，也會透過其它管道來尋求外界的意見。</p> </div></div></div>
2019/4/5 22:15作者陳曉莉https://www.ithome.com.tw/news/129800
Visual Studio Enterprise 2019現提供時間旅行除錯功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/visualstudio/introducing-time-travel-debugging-for-visual-studio-enterprise-2019/">微軟在其Visual Studio Enterprise 2019上的快照除錯器（Snapshot Debugger）整合時間旅行除錯（Time Travel Debugging，TTD）功能</a>，讓開發者可以紀錄應用程式執行路徑，並能來回重新播放，更容易地找出僅會出現在生產環境的程式臭蟲。</p> <p>微軟提到，程式最容易除錯的形式是在內部循環（Inner Loop），也就是在開發者把程式碼推送到版本控制系統前，在本機端執行審查和除錯程式碼的時候，在內部循環遇到的問題，通常都是可存取且可重複的問題，因此容易理解診斷，而在生產環境除錯，則需要更詳細的資訊才能快速定位問題。</p> <p>現在的偵錯器通常會讓開發者設置中斷點，開發者可以選擇暫停或繼續執行，而這樣的方式只能紀錄離散時刻的事件以及資料，包括快照、日誌記錄和崩潰傾印檔案等方法，都無法提供失敗時的詳細執行路徑細節。</p> <p>而TTD則可以提供更詳細的除錯資訊，是一種逆向除錯解決方案，讓開發者紀錄應用程式或是程序的程式碼執行，並且能以向前或是向後的方式，重新播放Visual Studio中的執行路徑，讓開發者可以更全面地掌握導致特定錯誤的條件，就像是在本地端的內部循環偵錯一樣。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/visualstudio/wp-content/uploads/sites/4/2019/04/snapshot-collected-step-forward-backward.gif" style="width: 600px;" /></p> <p>現在微軟在快照除錯器中整合TTD，讓開發者可以紀錄應用程式執行，並在Visual Studio 2019 Enterprise中播放錄製的內容，由於TTD針對快照點（Snappoint）配對的執行緒紀錄，因此會執行到方法（Method）結束為止。</p> <p>開發者可以在具有ASP.NET 4.8以上，在Azure虛擬機器上的Windows作業系統，使用最新版Visual Studio Enterprise 2019啟用TTD預覽。開發者在Visual Studio Enterprise中，打開想要使用TTD的專案，並且確保Azure虛擬機器上存在一份相同版本的程式碼。選擇偵錯選項中的附加快照除錯器，接著選擇專案部署具有Azure儲存帳號的Azure虛擬機器。而要執行這個動作，開發者需要安裝快照除錯器網站擴充套件。</p> <p>在附加快照除錯器的視窗中選取TTD選項，一旦點選附加之後，Visual Studio就會進入快照除錯器模式，開始可以使用TTD紀錄應用程式執行。開發者可以創建快照點觸發TTD，而在快照收集完成之後，就能使用命令列工具檢視快照。</p> <p>由於現在TTD還在預覽階段，只支援Azure虛擬機器上執行的AMD64網頁應用程式，微軟提到，這個錄製的過程，會影響程序的執行效能，影響的程度根據程序的大小與活動執行緒的數量而不同，而TTD的使用體驗，也會在像是垃圾回收壓縮階段等不同情況受到影響，由於程式執行紀錄只會由快照點的執行緒觸發，因此之後交替的執行緒記錄狀況也會有所變化。</p> <p>目前預覽版本TTD產生的檔案大小，從MB到GB都有可能，取決於對話執行的時間以及網頁應用程式運作的時間，而TTD產生的檔案會在快照除錯器對話結束時被移除，微軟建議至少應該要在具有8 GB記憶體的虛擬機器上，TTD才能順利執行。</p> </div></div></div>
2019/4/5 22:23作者李建興https://www.ithome.com.tw/news/129796
Google釋出Cloud Healthcare API助醫療資料上雲端
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/healthcare-life-sciences/announcing-the-cloud-healthcare-api-beta-improving-data-access-and-shareability-across-organizations">Google發布一套Cloud Healthcare API</a>，其提供標準介面提高健保系統資料的互通性，使得醫療組織能夠擷取健保到Google雲端，在雲端管理並且分析這些的資料，也可以利用這些資料於雲端訓練機器學習模型，再部署回原本的醫療工作流程中。</p> <p>Google提到，Cloud Healthcare API能夠橋接健保系統，以及建構在Google雲端的應用程式，透過標準格式以及現有醫療技術協定，Cloud Healthcare API可以將健保相關資料介接到Google雲端功能。由於Cloud Healthcare API簡化了應用程式開發以及裝置整合，能夠加速醫療相關組織數位化，並實現與健保網路即時整合。</p> <p>Cloud Healthcare API支援醫療健保新興標準FHIR（Fast Healthcare Interoperability Resources）以及醫學圖像和雲資料標準DICOM。Google雲端可以將其他格式的資料轉換成FHIR，簡化資料擷取工作，讓這些資料方便用於分析或是機器學習目的。</p> <p>DICOM則是放射學、心臟病學以及皮膚病學等醫療影像既定標準，能夠方便的進行儲存與交換圖像，DICOMweb則是一個REST API，提供存儲、查詢和檢索圖像功能，而Cloud Healthcare API支援DICOMweb，讓使用者得以操作既存的影像裝置、醫療影像儲傳系統或是影像瀏覽器。</p> <p>對於敏感的病患醫療資料，Cloud Healthcare API對數種資料類型提供去識別化的功能，去除能夠辨識個人的資料。使用者可以透過Cloud Healthcare API資料儲存在不同地理區域，並透過Cloud Audit Logging追蹤資料的處理過程，服務預設會紀錄資料集的修改、儲存以及IAM政策。</p> <p>Cloud Healthcare API能夠將資料傳輸到雲端平臺上，使用者能應用Cloud Dataflow處理串流資料，或是使用雲端資料倉儲BigQuery進行資料分析，也能利用視覺化機器學習服務Cloud Datalab，甚至式以第三方工具Tableau視覺化分析資料。Google提到，使用者可以將醫療資料，以機器學習解決方案AutoML和Cloud ML Engine訓練自定義的模型，再將這些模型透過Cloud Healthcare API，部署到現有臨床工作流程中。</p> </div></div></div>
2019/4/5 22:29作者李建興https://www.ithome.com.tw/news/129797
Windows 10 May 2019 Update將允許用戶延後更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2019/04/04/improving-the-windows-10-update-experience-with-control-quality-and-transparency/#J0sSe2Pz1Hd5KWhD.97" target="_blank">微軟宣布</a>，下一個Windows的更新版本將命名為Windows 10 May 2019 Update，而且自May 2019 Update起，微軟將不再強迫Windows 10用戶立即展開更新，而是允許用戶延後升級，最久可延遲35天。</p> <p>新一代Windows 10版本的內部代號為19H1，<a href="https://www.ithome.com.tw/news/128514" target="_blank">原本外界以為它的正式名稱為April 2019 Update</a>，不過微軟為了避免再發生<a href="https://www.ithome.com.tw/news/127023" target="_blank">前一代October 2018 Update所出現的憾事</a>，決定拉長19H1的預覽階段，把19H1的發表時程推遲至5月，而將正式名稱順勢改為May 2019 Update。</p> <p>另一方面，自May 2019 Update起，微軟將賦予Windows 10用戶更彈性的升級選項，將允許使用者暫停功能性及每月的非安全性更新，每次可暫停7天，最多可暫停5次，因此最久可延遲35天再執行更新。</p> <p>此一可暫緩更新的機制仍有例外，即是當使用者的Windows 10版本已經或即將到達服務終止日時，微軟仍會自動展開更新，以確保使用者的系統可持續被支援。</p> <p>May 2019 Update也將支援智慧型活躍時間（Intelligent active hours），微軟於Anniversary Update中新增的活躍時間是讓使用者設定一般的電腦運作時間，以避免電腦在此一時段自動安裝更新並重新啟動，它的預設值為早上8點到下午5點，但許多Windows 10用戶的工作時間可能不只這個時段，加入了人工智慧能力的活躍時間則會根據裝置的使用型態自動調整活躍時間，以免更新活動妨礙了電腦使用。</p> <p>May 2019 Update將具備一個新的「下載及安裝」（Download and install now）選項，在收到微軟的更新通知之後，讓使用者主動選擇何時要下載或安裝更新。該選項除了會出現在May 2019 Update中之外，亦會在5月底現身於1803（April 2018 Update）及1809（October 2018 Update）中。</p> <p>微軟預計於未來一至二周釋出May 2019 Update至Release Preview Ring進行測試，而微軟的商用客戶，或是主動選擇「檢查更新」（check for updates）的使用者，以及那些Windows 10版本瀕臨支援終止的用戶則可在5月底收到May 2019 Update。</p> <p>負責Windows的微軟企業副總裁Mike Fortin表示，這次微軟將更加嚴謹地進行May 2019 Update的預覽階段，不管是微軟、OEM合作業者或是軟體供應商都會在此一階段於內部部署May 2019 Update，還會鼓勵員工在個人裝置上安裝此一版本，以協助改善May 2019 Update的品質。</p> <p>此外，微軟也將利用自然語言處理與機器學習技術優先偵測May 2019 Update所出現的重大問題，打算揪出也許只有少數人回報卻影響重大的問題，並將偵測重大問題的時程從數天縮短至數小時。</p> </div></div></div>
2019/4/5 22:35作者陳曉莉https://www.ithome.com.tw/news/129801
逾5.4億筆臉書用戶紀錄在AWS上曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>澳洲資安新創UpGuard最近在Amazon S3雲端儲存服務上，<a href="https://www.upguard.com/breaches/facebook-user-data-leak" target="_blank">發現</a>兩個可公開存取的儲存貯體，當中一個來自墨西哥的媒體公司Cultura Colectiva，存放了與臉書用戶有關的5.4億筆紀錄，另一個則來自臉書程式At the Pool，亦存放臉書用戶的帳號、友人名單、按讚數及At the Pool程式的密碼，只是容量遠不及Cultura Colectiva。</p> <p>Cultura Colectiva在Amazon S3上存放的資料多達146GB，涉及臉書用戶在該站的各種行為，從帳號名稱、回應、評論、按讚到其它等。</p> <p>至於At the Pool的資料庫亦含有臉書用戶的帳號、按讚的內容、友人、音樂、電影、照片、打卡，以及2.2萬名At the Pool程式用戶的明文密碼，雖然該密碼與臉書無關，但使用者可能在不同的服務上採用一致的密碼，造成其它帳號遭駭的風險。</p> <p>有趣的是，UpGuard早在今年1月初就通知Cultura Colectiva，卻未收到回應，於是繼之在1月底通知AWS，AWS也只能再通知Cultura Colectiva，但Cultura Colectiva依然毫無行動，一直到今年的4月，當彭博社為了報導此一新聞而聯繫臉書時，Cultura Colectiva才終於保全了該資料庫。</p> <p>至於At the Pool程式早在2014年就無法運作，母公司亦已關門大吉，在UpGuard發現其公開資料庫並追蹤其來源時，資料庫剛好同時被撤下。</p> <p>UpGuard指出，Cultura Colectiva與At the Pool資料庫之間的共通點，是它們都存放了與臉書用戶有關的資料，從他們的興趣、關係到互動等；受到外界嚴格檢視的臉書正在緊縮第三方程式所能存取的用戶資料，然而，此次曝光的兩個資料庫卻意味著，臉書用戶資料的外洩早就超過臉書所能控制的範圍了。</p> <p>因為當臉書允許第三方程式蒐集用戶資料的同時，這些資料的控制權已被轉交到第三方開發者手上，因此，光仰賴臉書來保全用戶資料是不夠的，還得冀望數百萬的程式開發者都能一起捍衛臉書用戶的資料安全。</p> </div></div></div>
2019/4/5 21:55作者陳曉莉https://www.ithome.com.tw/news/129798
貝佐斯夫妻離婚協議出爐，Jeff保有75%股權與全部股份的投票權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon創辦人Jeff Bezos的妻子MacKenzie Bezos在4月4日<a href="https://twitter.com/mackenziebezos" target="_blank">公布了雙方的離婚協議</a>，表示MacKenzie將取得雙方25%的Amazon股票，Jeff則擁有75%的股票，且MacKenzie將把所持有股權的投票權讓給Jeff，也放棄華盛頓郵報與Blue Origin的股權，解決了外界對貝佐斯夫妻的離婚事件可能會影響Amazon營運的疑慮。</p> <p>根據Amazon提交給美國證券交易委員會（SEC）的<a href="https://www.sec.gov/Archives/edgar/data/1018724/000119312519097640/d697549d8k.htm" target="_blank">8-K文件</a>，貝佐斯夫妻的離婚協議將讓MacKenzie握有4%的Amazon股權，而Jeff則將持續持有12%的Amazon股權，但16%股份的投票權皆屬Jeff所有。此一協議也讓MacKenzie躍升為Amazon的第三大股東，僅次於Jeff的12%與Vanguard Group的6.1%。</p> <p>以Amazon在4月4日收盤時的8,934億美元的市值來計算，離婚後的MacKenzie將擁有357億美元的身價。</p> <p>在雙方於4月4日提出離婚申請之後，正式的離婚判決可望於90天內發出。不管是MacKenzie或<a href="https://twitter.com/jeffbezos" target="_blank">Jeff都強調</a>期待彼此進入下一個成為朋友及共同家長的新關係。</p> </div></div></div>
2019/4/5 22:05作者陳曉莉https://www.ithome.com.tw/news/129799
Cloud周報第18期：1分鐘都不能多等，新北救護車將啟用雲端動態救護系統，讓指揮中心與醫院更即時取得患者資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2019/03/28～2019/04/03）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新北市 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 消防局 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 動態救護系統 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>新北救護車將啟用雲端動態救護系統，望提升OHCA康復率</strong></span></p> <p>新北市消防局日前宣布，完成「智慧雲端動態救護系統」建置，整合了行動急診室及緊急救護智慧系統，讓局內110輛救護車能即時連線指揮中心和醫院端。指揮中心會比對救護地址，自動調閱患者過去的救護記錄，將患者病史、禁忌症、過敏症狀等資訊，即時傳送至系統，供急救員了解，以給予患者最適合的急救處置。系統3月試運至今，新北市到院前心肺功能喪失（OHCA）患者的康復率，由過去的8%提升至8.44%。市政會議上，新北市市長侯友宜期許，有了此系統建置及加強人員培訓後，能讓新北市OHCA康復率達到9%。</p> <p>另一方面，透過此系統，救護員將利用平板電腦，把車內生理監視器所測量的患者生理資訊，包含生命徵象、12導程心電圖、急救員評估處置等，即時同步傳輸到救災指揮中心，以及醫院。醫院在病人送達前，即獲得病患的生理資訊，便能及早整合照護機制，採取相關應變措施，並在病患到院時，馬上啟動診治，省下到院後的診察時間，以提升救護效能。<a href=" https://www.fire.ntpc.gov.tw/home.jsp?id=f5819bb65919966a&act=be4f48068b2b0031&dataserno=331e682c747cda5f8e93339c17f58d58">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 金融機構 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 雲端開放 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 管理原則 </span></strong> </p> <p><span style="font-size: 22px;"><strong>金管會揭露開放銀行上雲端的3大管理原則</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%87%91%E7%AE%A1%E6%9C%83_%E6%94%9D%E5%BD%B1_%E6%B4%AA%E6%94%BF%E5%81%89%20.jpg" style="width: 600px; height: 400px;" /></p> <p>金管會主委顧立雄近日出席一場活動時，就金融機構採用雲端服務，提出了3大雲端開放的管理原則，首先，金融機構若使用境外的雲端資料中心，必須要求機房所在地的監理機關，開放金管會前往，行使實地查核的權利；其次，因涉及個資保護範疇，雲端業者僅限提供服務，不可具有控制資料存取的權利；最後，金融機構要訂立退場機制，當雲端服務退場時，要遵循退場要件，採取必要措施，包含刪除儲存於雲端的資料，以利資訊防護。</p> <p>金管會於3月初時，召開過「金融機構作業委託他人處理內部作業制度及程序辦法」修正草案公聽會，目前進入研擬開放管理辦法的階段，而上述3大原則將為規範的主軸。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端產業 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 中國自貿區 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 中美貿易戰 </span></strong></p> <p><strong style="font-size: 22px;"><strong>中國擬放寬雲端規範，開放外資在自貿區運營雲端資料中心</strong></strong></p> <p>中美貿易戰正在進行新一輪的談判，根據《華爾街日報》的報導，近日，中國國務院總理李克強會見了多名外資企業高層，透露正考慮開放外國的雲端業者，在自由貿易區獨立經營雲端資料中心，作為自由化試點。中國此舉被視為就中美貿易談判，做出的新一項讓步。</p> <p>報導更進一步指出，目前中美雙方就中國開放雲端市場，仍有些關鍵問題待磋商，像是自貿區與中國其他地區間，是否可自由地雙向傳輸資料，還有外國雲端業者可在自貿區提供哪些服務項目，以及外國雲端業者可向哪些客戶提供服務等。而該雲端自由化試行點可能落腳在貴陽。目前，各家非中國的雲端業者，像是亞馬遜和微軟等，必須採取與中國公司合資，以共同營運的模式，才可進入中國雲端市場。<a href="https://www.datacenterknowledge.com/regulation/china-weighs-letting-us-cloud-providers-operate-their-own-data-centers">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 福斯集團 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 串聯工廠 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>福斯集團與AWS結盟，打造福斯工業雲，要串聯全球122座工廠</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/T_VW_IndustrialCloud_R_v02_200dpi.jpg_x_1163_y_1900.jpg" style="width: 600px; height: 337px;" /></strong></strong></p> <p>汽車龍頭福斯集團近期宣布，與AWS結盟，打造「福斯工業雲」（Volkswagen Industrial Cloud），要借助AWS雲端技術，串聯全球122座工廠，透過工業物聯網的架構，提升生產力。此雲端平臺將串聯各工廠所有的機器和系統，並藉由AWS雲端服務，像是機器學習、數據分析平臺等，改善工廠製造流程，例如運用於物流作業，可藉由數據分析，從而更有效地管控，並及早發現供應瓶頸和流程中斷處，以盡早排除問題，提升車輛生產效率和品質。該平臺更會發揮串聯的影響力，使單一工廠作業流程的改善點，可跨工廠應用，以達到標準化的規模。</p> <p>除了122座工廠，未來，平臺也將把福斯集團旗下超過3萬個據點、逾1,500家供應商，甚至其他車廠，都納入該平臺串聯對象的名單上，福斯集團強調，該平臺為開放性質，可提供其他車廠使用其服務。另外，福斯集團與AWS兩方更計畫在德國柏林，成立工業雲創新中心。<a href="https://www.volkswagen-newsroom.com/en/press-releases/volkswagen-and-amazon-web-services-to-develop-industrial-cloud-4780">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BigQuery </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> 資料倉儲 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 搬遷服務 </span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>為吸引企業將資料搬上雲，Google推出BigQuery資料倉儲搬遷服務</strong></span></strong></p> <p><strong style="color: rgb(51, 51, 51); font-family: sans-serif, Arial, Verdana, "Trebuchet MS"; font-size: 22px; background-color: rgb(255, 255, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/images/benefits_of_BigQuery_max-1500x1500(1).png" style="cursor: default; width: 600px; height: 238px;" /></strong></p> <p>Google最近推出BigQuery資料倉儲搬遷服務，企業若想將資料從傳統資料倉儲，搬遷到Google資料倉儲服務BigQuery，Google可提供搬家工程的相關技術服務。典型的資料倉儲搬遷工程有3個階段，分別是將資料、架構和工作負載，依序由舊的資料倉儲系統遷至新系統，架構搬遷需轉換原資料定義與拓墣，而工作負載搬遷，則須將舊資料倉儲上使用的ETL工作管線、資料處理工作、儲存程序，以及儀表板等，轉移到新系統上。Google現提供的BigQuery搬遷服務，可自動完成資料和架構兩階段至的遷移工程，能節省企業用戶的搬遷時間。除了提供搬遷支援，Google也提供用戶架構設計指導、概念性驗證與免費訓練等服務。<a href="https://cloud.google.com/blog/products/data-analytics/migrating-your-traditional-data-warehouse-platform-to-bigquery-announcing-the-data-warehouse-migration-offer">（詳全文）</a></p> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 防護計畫 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> </span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 物聯網裝置 </span></strong> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>微軟擴大專利防護計畫，再免費捐贈500項Azure物聯網專利</strong></span></strong></p> <p>微軟於3月28日宣布，Azure專利防護計畫Azure IP Advantage保護對象的範疇，將延伸觸及IoT裝置，包含連接Azure的IoT裝置，以及使用微軟Azure Sphere專案和Windows IoT的裝置，並捐贈500項專利給LOT Network組織，供新創公司免費使用。微軟於2017年時，首次通過Azure IP Advantage計畫，提供1萬項專利，保護使用Azure服務的客戶及開發商，讓他們跑在Azure雲端的服務，不會受到專利訴訟。此次，微軟則是將計畫的保護對象，擴大到連接Azure的IoT裝置。</p> <p>另外，微軟於去年加入非營利組織LOT Network，與Google、SAP、Amazon、臉書、福特、通用汽車及Uber等成員，一同對抗專利蟑螂，而符合資格的新創公司，將可免費使用微軟這次捐贈的500項專利。<a href="https://blogs.microsoft.com/blog/2019/03/28/manufacturing-a-better-future-microsoft-announces-intelligent-industry-innovations/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> 微服務 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 監控通訊 </span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>AWS釋出App Mesh正式版，助企業監控微服務應用程式</strong></span></strong></p> <p>AWS宣布，網狀網路服務App Mesh推出正式版，讓用戶可監視與控制AWS上，構成應用程式與微服務之間的通訊。透過此服務，用戶可以監控在Amazon ECS、Amazon EKS，還有在Amazon EC2的Kubernetes上執行的微服務。當應用程式由多個微服務組成時，App Mesh使用的新架構模式，可讓開發者辨識並隔離問題，並提供一致且動態的方法，管理微服務間的通訊。而該服務並非內建在微服務中，為獨立的服務，被實作為與微服務平行運作的代理伺服器。<a href="https://aws.amazon.com/tw/about-aws/whats-new/2019/03/aws-app-mesh-is-now-generally-available/?nc1=h_ls">（詳全文）</a></p> <p><strong>攝影／洪政偉圖片來源／新北市消防局、福斯集團、Google </strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></p> <p><strong>1. 甲骨文5月將裁員300多位負責雲端業務的員工</strong></p> <p><strong>2. Azure資訊安全中心的測量單位從每月改為每小時</strong></p> <p><strong>3. Google發表未來10年企業雲端運算趨勢，超過一半受訪者認為，雲端將會結合邊緣運算技術</strong></p> <p><strong>4. 微軟雲端安全資訊管理平台Azure Sentinel現可支援IoT裝置</strong></p> <p><strong>5. 西澳州政府財政廳宣布，其本地端約850臺伺服器已全數由微軟Azure上的虛擬伺服器取代</strong></p> <p><strong>資料來源：iThome整理，2019年4月</strong></p> </div></div></div>
2019/4/5 09:10作者黃郁芸https://www.ithome.com.tw/news/129792
【2019勒索軟體防護指南】擺脫勒索軟體威脅，落實端點防護與資料備份仍是關鍵
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/sep1402mr1tu_1.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">【防毒軟體是保護個人端點電腦的重要防線】在防範勒索軟體的措施中，防毒軟體的角色舉足輕重，因此我們認為，使用者應該考慮選擇一套功能較為完善的解決方案，最簡單的判斷標準，在於防火牆功能（圖中的防網路和主機刺探）與進階的主動防護機制的有無。</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>論及這幾年來，最讓人倍感威脅的攻擊，就是以加密使用者電腦檔案，並要使用者支付贖金，才能復原檔案的勒索軟體（Ransomware），。遭受這類攻擊的使用者，為了電腦裡的重要資料，可能選擇付錢，希望駭客能夠還原，或者只能認栽，接受檔案無法使用所帶來的損失。</p> <p>而這類攻擊手法，對於企業帶來的災害也相當顯著，包含了俗稱為「想哭」的WannaCry蠕蟲病毒，因濫用美國國家安全局（NSA）的漏洞利用工具「永恆之藍（EternalBlue）」，藉由微軟的SMBv1漏洞，於2017年5月大肆發動攻擊。由於暴發時間適逢周末，大多使用者隔周一上班時，都戰戰兢兢先將電腦的網路線拔除後，才敢開機使用，以免電腦可能遭受這個蠕蟲橫向感染波及。</p> <p>去年臺灣史上最為嚴重的攻擊事件，莫過於8月台積電產線受到病毒攻擊，迫使該公司廠房大當機，必須中斷生產進度，報廢大量晶圓，損失超過50億元，而進場機臺出現的病毒，據聞就是WannaCry的變種。</p> <p><span style="font-size:28px;"><strong>作業系統與應用程式必須定期安裝修補軟體</strong></span></p> <p>然而，於WannaCry滲透的管道，竟是一個微軟2個月前發布修補程式防堵的漏洞，但即便是如此，還是有許多電腦因為沒有定期執行系統更新，成為這次攻擊的受害者。因此，除了定時備份重要的資料，並且安裝防毒軟體保護電腦，作業系統與應用程式的軟體漏洞修補，其實也是防範這類攻擊的重要措施。</p> <p>基本上，較新版本的作業系統，還有許多連網應用程式，幾乎都會預設採用自動更新的機制。但也有少數軟體，需要使用者自行手動檢查，像是解壓縮軟體WinRAR和7-Zip，就沒有內建相關的更新功能。</p> <p>值得留意的是，由於Windows作業系統中，並未針對常見的Win32應用程式提供軟體市集，若是使用者逐一確認是否需要更新，部署之後還要檢查確實安裝完成，相當耗時費力，因此，採用能管理常見軟體版本的小工具或是平臺，就能省下不少功夫。像是免安裝的Patch My PC和Ninite，或是偏向開發者的Chocolatey，都能提供類似的機制。再者，有些防毒廠商也有推出類似的附屬軟體，可供選用。</p> <p>除了倚賴廠商的修補程式，以及軟體自動更新機制之外，使用者也應該適時了解自己安裝的軟體，處理了那些弱點，還有可能會帶來的影響等資訊。因此我們認為，使用者應該至少每個月一次，閱讀相關公告，最起碼要看作業系統廠商的安全性公告。</p> <p>當然，採取良好的使用習慣，也是預防受到這類攻擊的重要管道──包含避免瀏覽可能潛藏危險的網站，勿點選來路不明的電子郵件連結。</p> <p><span style="font-size:28px;"><strong>安裝防毒軟體</strong></span></p> <p>對於一般使用者而言，想要對抗勒索軟體攻擊，防毒軟體還是最重要的防護措施。</p> <p>只是在很多使用者的觀念上，可能還是認為防毒軟體可能占用過多的系統資源等因素，或是覺得裝了沒有用，甚至是認為自己的使用習慣非常良好，駭客攻擊不會找上門，抱持著僥倖心態，選擇不使用任何的防毒軟體。殊不知這樣的做法，在現今的資安情勢中，缺乏這種類型的防護，又遇上駭客濫用作業系統的軟體漏洞，電腦就很容易被植入惡意程式，遭到入侵。</p> <p>若要挑選一套防毒軟體，對於許多使用者可能是個難題──不僅是廠牌相當多元，許多廠牌也同時提供免費與付費版本。再者，較新版本的Windows 10和macOS作業系統本身，都內建了相關的防護機制。</p> <p>不過，在解決方案眾多之下，很多人可能會問，免費版防毒軟體的保護能力足夠嗎？攔不攔得住勒索軟體？需要購買付費版本嗎？還是使用作業系統內建的就好？</p> <p>基本上，自Windows 8開始，內建在視窗作業系統的防毒軟體Windows Defender，隨著多年來的發展，如今也得到AV-Test、AV Comparatives等評測單位，給予中上評價的肯定。因此，相較於未內建防毒軟體的Windows 7，採用較新版本的Windows 10，安全性便高出不少。</p> <p>再者，免費版的軟體，通常只具備基本的防毒功能，缺乏付費版本常見的進階保護機制，像是防火牆、上網防護，或是線上交易防護的措施等。而且，在這些資安業者所列出的功能比較表中，幾乎都會強調，付費版本才提供進階的勒索軟體保護能力，以現在勒索軟體不斷出現變種的態勢來看，購買付費防毒軟體有其必要性。</p> <p>但使用者就算願意花錢購買防毒軟體，也會面臨在廠商提供的多種套餐中抉擇──這些功能是否自己需要，還是多花錢呢？一般而言，個人端防毒產品線裡，大部分會包含3種版本：單純提供防毒功能的Antivirus、整合防火牆功能的Internet Security，以及由網路防護版延伸提供更多進階功能，甚至整合多臺授權的Total Security等。</p> <p>以保護電腦不受勒索軟體威脅的前提下，至少應該購買具備防火牆功能的Internet Security版本，所提供的保護較為完整，較能防範現在許多勒索軟體會橫向感染的現象。</p> <p>假如電腦會在多個不同的網路環境上網，那麼，防火牆的作用便顯得格外重要；另一方面，若是需要同時保護多臺PC、筆電、手機、平板電腦等裝置，則可考慮購買能提供多臺防護的組合套裝，許多廠商不只額外提供了集中控管的平臺，以便消費者管理，而且，平均每臺電腦所取得相關防護的費用，還可能比個別採買Internet Security要來得便宜。</p> <p>另外，若是在家中的網路環境，未了提升安全性，使用者也可以考慮部署強調防毒防駭功能的無線路由器。</p> <p>一般來說，防毒軟體不僅擁有即時監控的能力，也會排程定期掃描整臺電腦。不過，除了避免執行掃描時，可能占用較多的系統資料，而影響我們使用電腦，也應該避免把排程設定到電腦不會開機的時間點，導致這樣例行檢測的機制無法發揮效用。而一般來說，我們應該讓電腦至少每星期就執行一次上述的檔案檢測工作。</p> <p>對於可疑的檔案或是電子郵件附件，我們可以點選右鍵功能選單，讓防毒軟體檢查後才放行，若是還不放心，則可以上傳到VirusTotal網站，由超過60家防毒引擎進行檢測，協助判斷。</p> <p><span style="font-size:28px;"><strong>備份重要資料</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/TrueImage_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Acronis%EF%BC%88%E5%9C%962%EF%BC%89(1).png" style="width: 500px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>善用備份軟體維持資料的可用性</strong></span></p> <p><span style="color: rgb(128, 128, 128);"><strong>若是資料平時有了充足的備份，電腦裡的檔案就算不幸被勒索軟體加密，使用者的損失程度比不備份的狀況要少，若能善用備份軟體提供的資料保護機制，可減少電腦復原所需的時間。</strong></span></p> <p>除了電腦基礎的防護措施使用之外，維持資料的可用性，也是讓使用者遭遇勒索軟體的攻擊時，能將損失大幅降低的手段，換言之，若是擁有檔案的副本，即使電腦上的內容遭到加密而無法復原，使用者還是可以存取備份的資料，毋需面臨支付高昂的贖金，卻擔心駭客未必會解密的情況。</p> <p>一般而言，比較完善的備份概念，稱為「三二一原則」，也就資料至少要備份3份，並且存放在2種以上的儲存裝置，其中1份必須保存在異地。針對存放裝置而言，例如分別備份於電腦本機與外接式硬碟，就符合上述第2個要件，而對於大多數個人使用環境來說，雲端儲存空間算是最容易做到的異地備份措施。</p> <p>在備份檔案的做法上，最直接且沒有執行門檻的，便是搭配外接式硬碟，將其定時連接到電腦上備份資料，但平時，這個硬碟並不會與電腦連接，以免受到勒索軟體攻擊時，裡面的資料也同時被加密。不過，這種方式便非常仰賴使用者自律，抽空執行相關的作業。</p> <p>若是採用專用的備份軟體，由電腦自動執行備份，會是比較可靠的措施。</p> <p>在資料儲存空間的配置上，一般使用者也許可以考慮在家中網路環境裡，建置網路儲存系統（NAS）。</p> <p>由於NAS是設置在內部網路環境，儲存空間也較有餘裕，同時，也能將資料儲存的風險，從經常連網的個人電腦當中區隔開來。<strong><span style="color: rgb(178, 34, 34);"><a href="http://www.eslite.com/product.aspx?pgid=10099161842746130" target="_blank">本文出自《iThome 2019臺灣資安年鑑》</a></span></strong></p> </div></div></div>
2019/4/5 09:00作者周峻佑https://www.ithome.com.tw/article/129425
【防制資料竄改，阻擋勒索軟體的終極手段】WORM一寫多讀技術的資安新應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/worm.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一寫多讀（Write Once Read Many，WORM）技術，最初是為了法規遵循與資料長期歸檔保存而誕生，但憑藉著防止資料竄改的能力，在今日的資安防護應用中，也能扮演要角。</p> <p>舉例來說，近年來，勒索軟體已成為企業最主要的資安威脅之一，備份雖然被視為因應這類威脅的重要手段，當線上資料遭到勒索軟體侵害後，仍能透過備份複本還原資料，但如果企業的備份架構未能擁有適當的防謢措施，備份複本也可能一同遭到勒索軟體的感染，以致備份複本也不可用。</p> <p>在勒索軟體威脅下，為求保住作為企業資料最後命脈的備份複本，資安廠商與備份軟體廠商，也提出了各式各樣幫助企業保護備份複本的反勒索軟體措施，例如引進離線備份儲存架構（磁帶或可移動的外接磁碟）、為備份軟體引進反勒索軟體的偵測與阻擋加密功能等，不過，這些手段大都是從備份作業的前端來著手，如離線備份是透過實體隔離方式，減少備份複本接觸病毒的機率；備份軟體的反勒索措施則透過監控備份過程，阻擋可疑的資料加密動作。</p> <p>現在則有廠商提出了不同的思路，直接從備份儲存媒體本身著手，利用一寫多讀（WORM）技術防止資料竄改的特性，從根本上防止備份資料遭到勒索軟體的侵害。</p> <p><span style="font-size:28px;"><strong>防制勒索加密的新思路</strong></span></p> <p>顧名思義，一寫多讀（WORM）技術只允許對儲存媒體寫入一次資料，然後，儲存媒體便成為無法複寫、修改或刪除的唯讀屬性。</p> <p>最初，WORM技術是為了長期資料保存或法規遵循應用而誕生，透過儲存媒體的物理性質特性，或是儲存系統底層軟體、韌體功能，確保寫入儲存媒體或指定儲存區的資料，無法再被更改或刪除，以提供法律與訴訟上的有效性。</p> <p>而利用WORM技術保存資料的特性，對於保障資安也能發揮作用。由於WORM能保證寫入後的資料，狀態不再變化——既不可刪除，也不可更改，徹底「鎖住」了資料狀態，那麼自然也不會遭到勒索軟體的加密。當WORM用於備份儲存時，即使備份複本已感染勒索軟體，但由於WORM機制已經「鎖住」了資料狀態，先天上就遏止了勒索軟體發作、加密或刪除資料的可能性。</p> <p>所以在勒索軟體危害盛行的今日，WORM技術也展現出應用於法規遵循以外領域的潛力，開始有廠商推出結合了WORM技術的備份防護解決方案。</p> <p><span style="font-size:28px;"><strong>WORM技術的基本類型</strong></span></p> <p>WORM是一項歷史悠久的技術，光學式WORM技術早在30年前就已問世，磁碟式WORM產品推出市場，也已經超過15年。</p> <p>一般來說，WORM技術可以依照儲存媒體的類型，分為光學媒體式與磁性媒體式兩大類型，不過我們認為更邏輯的區分方式，是依照WORM「鎖住」資料的方式，依此可以將WORM概分為物理型、韌體型與軟體型等三大類，分別透過物理特性或機構，儲存裝置韌體，或是儲存系統軟體，來提供WORM能力，這三種形式各自利用不同原理運作，從而擁有不同層次的保存資料能力，以及使用特性。</p> <p><span style="color:#B22222;"><strong>物理型的WORM技術</strong></span></p> <p>利用儲存媒體本身的物理性質，或是物理機構方面的設計，來提供一寫多讀的能力。</p> <p>許多光學儲存媒體如CD-R、DVD-R等，都能透過材料本身的特性，提供只允許寫入一次，資料從此成為唯讀的能力。物理型WORM最大優點是極為可靠，其防寫措施是建立在儲存媒體的物理性質上，從根本防止了刪改資料的可能性。</p> <p>例如，光學儲存媒體的WORM機制，是透過加熱光碟片染料產生的化學變化，帶來光碟片反射率的變化來實現，而這個過程是不可逆的，只要物理法則沒有被推翻，任何人也無法違逆物理法則、刪改光學WORM媒體的資料，唯有物理破壞手段才能銷毀其中的資料，因而是最可靠的一種WORM技術。</p> <p>光學式WORM的主要缺點，是使用較為不便。首先，光學媒體的容量較小，如BD-R的單碟片容量最大只有50GB，需要很大數量的光學媒體，才能完整保存前端主機的資料。其次，光學式WORM儲存媒體屬於離線儲存裝置，因而也難以因應經常讀取或檢索的需求。</p> <p>除了光學媒體外，磁帶、軟碟片之類的磁性儲存媒體，也能透過遮蓋防寫孔，來達到資料寫入後便不再允許更改的能力，同樣算是一種物理的防寫手段——當寫入資料後，隨即遮蓋防寫孔，便構成了一寫多讀應用。但這種防寫能力是可逆的，只要解除防寫孔就能寫入資料，不能算是真正WORM媒體。</p> <p>類似的，有些SD記憶卡雖然也提供了防寫開關，但同樣是可逆的，而且防寫機制也很容易遭到繞過，防刪改的可靠性並不充份。</p> <p>所以，磁帶與SD卡的WORM應用需求，必須由專門的WORM磁帶與WORM SD卡來提供，而這兩種WORM裝置都是依靠微控制器韌體來提供WORM能力，屬於我們後面介紹的韌體型WORM技術。</p> <p><span style="color:#B22222;"><strong>韌體型的WORM技術</strong></span></p> <p>利用儲存裝置的韌體，將儲存媒體設定為一寫多讀，適用於磁帶、SD卡與SSD在內的儲存媒體。</p> <p>幾乎所有主流磁帶系統都能提供專用的WORM卡匣，透過磁帶機的微碼控制功能，與磁帶卡匣上的識別微碼配合運作。當磁帶機識別出磁帶是WORM形式時，便會禁止更改或刪除已寫入該磁帶中的資料。</p> <p>如當前最普遍的LTO磁帶，只要是LTO 3以後的規格，都有對應的WORM磁帶版本。另外Sony的AIT、IBM的3592，SotrageTek T10000等磁帶，也都有WORM版本可供選購。</p> <p>不過，即使是WORM磁帶，理論上，也能透過從外部施加強力磁場的方式，透過消磁來強制刪除這類磁性儲存媒體中的資料，所以，必須同時搭配實體管制措施，才能完整保證資料的完整性。</p> <p>類似的，當前也有一些SD卡與SSD提供了WORM功能，透過儲存裝置的微控制器，鎖住Flash記憶體的刪除功能，只剩下寫入與讀取功能，所以特定記憶體區塊被寫入資料後，就無法再刪除與複寫，只能讀取。</p> <p>比起WORM磁帶，WORM SD卡或WORM SSD的防刪改能力更為可靠，雖然依靠微控制器韌體所實現的資料防刪改能力，不像光學WORM裝置那樣絕對不可逆，但是在實務上，繞過微控制器韌體的可能性很低，可認為擁有接近光學WORM技術的可靠性，只有物理破壞手段能銷毀其中的資料。</p> <p><span style="color:#B22222;"><strong>軟體型的WORM技術</strong></span></p> <p>在儲存陣列設備上，也能利用儲存作業系統的軟體功能，將指定的儲存區設定為一寫多讀，只要設定了WORM，即使是系統管理者，也無法刪改該儲存區的資料。</p> <p>為了保證WORM功能的強固性，多數軟體實作時都會依循一些相關的官方資料保存與資料完整性監控規範，例如美國證券交易委員會的SEC 17a-4(f)（針對證券交易業者的電子資料保存規範），或是美國聯邦政府的FDA 21 CFR Part 11（針對醫療業的電子紀錄保存規範）等。</p> <p>不過，與物理型或韌體型WORM技術比起來，軟體型WORM技術的防刪改能力，仍相對較不可靠，由於是依靠儲存控制器的軟體來提供WORM功能，只要將磁碟機移出儲存設備之外，該磁碟機就連帶失去WORM特性，所以需要搭配實體管制，才能保證完整WORM能力。</p> <p>而軟體型WORM技術的優勢，則是使用便利。首先，是可透過CIFS/SMB、NFS等標準傳輸協定存取，便於因應快速讀取與檢索的需求。</p> <p>其次，可透過設定保存期限，提供「有管制」的可逆機制。一般來說，WORM軟體功能都會提供設定保存期限的選項，讓管理者選擇「鎖住」特定檔案或物件的時間，到期後，便會解除該檔案或物件的WORM狀態，此後便能將資料刪除，回收儲存空間；如果將將保存期設為無限大，則被鎖定的檔案或物件，就成為與WORM光碟或WORM磁帶一樣的永久性WORM。</p> <p>而軟體型WORM技術落實到實際產品上時，又可分為專用型WORM儲存設備，以及通用儲存設備的WORM功能等兩大類型。</p> <p><span style="color:#3399ff;"><strong>● 專用型WORM儲存設備</strong></span></p> <p>如名稱所示，是專門針對法規遵循的資料保存需求、以提供WORM功能為目的設計的儲存設備，這類產品中，最知名的便是Dell EMC的歸檔儲存系統Centera，還有IBM的Total Storage Data Retention 450等。</p> <p>GreenTec USA在這方面也著力甚深，該公司旗下提供了CYBERdisk WORM軟體，以及專供WORM應用的WORMdisk系列外接磁碟，與Ninja系列WORM 儲存伺服器產品，最特別的是，該公司還提供搭配雲端環境應用的WORMcloud服務。</p> <p><span style="color:#3399ff;"><strong>● 通用型儲存設備的WORM功能</strong></span></p> <p>是在NAS類型通用儲存設備系統中，提供WORM軟體功能選項，可將指定的儲存區設定為WORM。</p> <p>目前許多中高階NAS儲存平臺，都提供了WORM功能選項。例如NetApp ONTAP儲存系統的SnapLock功能；Dell EMC旗下Isilon系列NAS的SmartLock功能，PowerMax與Unity儲存陣列NAS應用功能中的File-Level Retention，Data Domain平臺DD OS儲存系統的Retention Lock功能；還有HPE 3PAR儲存陣列 FilePersona軟體套件中的File Lock功能等。</p> <p>另外一些高階的虛擬磁帶櫃（Virtual Tape Library，VTL）產品，也能提供軟體形式的WORM功能選項，如IBM TS7700、富士通ETERNUS CS8000與CS High End等。</p> <p>除了前述高階儲存設備外，有些中、低階或入門級NAS的儲存作業系統，也提供WORM功能選項，如國產廠商QSAN的XCubeNAS，以及商丞（Proware）的Unified Storage，還有3Gen的Unified Platform等，這些產品可為資源有限的用戶，提供低成本的WORM儲存應用。</p> <p>另外，部份公有雲儲存服務的物件儲存環境，目前也提供了WORM功能選項，例如Amazon S3的S3 Object Lock功能，以及Google Cloud Storage的Bucket Lock，可為雲端環境上儲存物件，提供WORM屬性設定。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/915-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-big-1002X415.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=1002,height=415'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/915-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-hyper-550.png" style="width: 550px;" /></a></p> <p><span style="font-size:28px;"><strong>WORM的資安延伸應用</strong></span></p> <p>WORM雖能保證資料的完整性，但畢竟只是一種消極的保護，作為把守最後一關的防止資料竄改手段。不過，以WORM技術為基礎，再結合其他儲存與資安技術，便能提供更豐富的資安防護應用。</p> <p>例如Dell EMC的Cyber Recovery，便藉由結合WORM、遠端複製、快照、與資安分析等技術，提供了一種嶄新的資安解決方案概念。先經由遠端複製獲得用戶資料的複本，然後透過WORM技術，確保獲得的用戶資料可靠性與不可竄改，再透過快照產生不同時間點、具備或不具備WORM特性的複本，最後將這些複本用於資安掃描、分析或測試等用途。</p> <p>如此一來，便能在保障用戶資料不可刪改的同時，將用戶資料複本用於不同目的，不僅提高複本的可利用性，也擴展了WORM的附加價值。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>【結合WORM、遠端複製與快照的資安應用】Dell EMC Cyber Recovery</strong></span></span></p> <p>儲存業界龍頭Dell EMC推出的Cyber Recovery，是一款應用了一寫多讀（WORM）技術、具備資安防護功能的資料備份歸檔儲存套件。這款產品最初在2016年問世時，稱為Isolated Recovery Solution，2018年以後改稱為Cyber Recovery，目前最新版本是18.1版，其中的18代表2018年，.1代表版本編號，18.1表示這是2018年的第1個主要版本。</p> <p><span style="color:#B22222;"><strong>Cyber Recovery的組成與運作</strong></span></p> <p>一個Cyber Recovery環境稱作Cyber Recovery Vault（CR Vault），包含了下列元件：</p> <p><strong>● Dell EMC的Data Domain儲存伺服器</strong>：負責提供儲存空間，以及WORM、遠端複製與快照等功能。</p> <p><strong>● Cyber Recovery管理伺服器</strong>：執行Cyber Recovery軟體，提供系統管理，與對外連接的資料傳輸。</p> <p><strong>● 應用分析伺服器</strong>：整合了稱作CyberSense的自動分析功能，提供資安分析服務。</p> <p><strong>● 備份應用還原伺服器</strong>：運行Avamar、Networker等備份軟體，負責還原CR Vault內保存的備份資料。</p> <p><strong>● 應用程式還原伺服器</strong>：作為應用程式還原的目標裝置。</p> <p>CR Vault最多支援10套Data Domain系統，至於4種應用伺服器，則可安裝在專用的實體伺服器，不過，一般是由1臺Dell EMC VxRail超融合伺服器，透過VMware ESXi HA Cluster平臺以VM型式來部署。</p> <p>CR Vault構成了一個對外實體隔離的環境，用於保存關鍵資料，並提供資安分析與資料還原等應用功能。</p> <p>在標準的Cyber Recovery架構中，要求前端生產環境也要有一套Data Domain儲存設備。基本運作過程可以分為3個階段：</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%963%20CR%20Vault%20Concept.jpg" style="width: 500px;" /></p> <p><strong style="color: rgb(128, 128, 128);">Cyber Recovery的運作過程可分為3個階段：</strong><strong style="color: rgb(128, 128, 128);">（1）資料同步：生產環境的Data Domain儲存設備，透過MTree Replication遠端複製功能，在Air Gap管制下將資料複製到CR Vault的Data Domain儲存設備。</strong><strong style="color: rgb(128, 128, 128);">（2）建立不可刪改的還原點複本：透過Retention Lock與快照功能，建立不可刪改的多個還原點複本。</strong><strong style="color: rgb(128, 128, 128);">（3）建立資安分析用複本：透過快照建立可讀寫的複本，用於資安分析、測試等目的。 </strong><span style="color: rgb(105, 105, 105);">圖片來源／Dell EMC</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 階段1 </span> </strong></span>在生產環境，前端主機將資料寫入生產環境的Data Domain儲存設備，然後利用Data Domain的MTree Replication遠端複製功能，將資料同步到CR Vault內的Data Domain儲存設備上。從生產環境到CR Vault的複製作業，是透過管制的Air Gap機制來進行，只有在進行複製時，CR Vault的傳輸埠才會開啟，複製結束後就關閉，維持CR Vault的隔離。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 階段2 </span> </strong>當CR Vault的Data Domain儲存設備接收到前端生產環境的資料後，透過Data Domain的Retention Lock鎖住備份資料的狀態，成為一份不可刪改的黃金複本（Golden Copy），接下來再利用Data Domain的快照功能，從黃金複本產生多份不同時間點的快照複本，這些快照複本也具備不可刪改的特性。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 階段3 </span> </strong>在CR Vault建立可寫的複本，然後掛載給分析伺服器或備份應用還原伺服器，用於資安分析、資料還原演練或是測試等情境。</p> <p>Cyber Recovery保護資料的單位，是以Data Domain儲存設備的Mtree儲存區為基準，在生產環境的Data Domain儲存設備上，每一個被保護的Mtree，在CR Vault還鏡的Data Domain儲存設備上，都會產生3個以上對應的Mtree複本，其中1個是作為遠端複製目的地的MTree複本，1或多個透過Retention Lock保存的Mtree複本，還有1個可讀寫、掛載給CyberSense用於資安分析的Mtree複本。</p> <p><span style="color:#B22222;"><strong>WORM扮演的角色</strong></span></p> <p>整個CR Vault是與外部實體隔離的，唯一的對外通道是Air Gap管制下的傳輸埠，只在資料同步傳輸作業時開啟。而Data Domain的Retention Lock功能，則能確保CR Vault收到的黃金複本不可刪改。透過Air Gap的實體隔離管理，與Retention Lock功能的防止資料刪改能力，共同確保了CR Vault的安全性。</p> <p>Cyber Recovery使用的Retention Lock功能，可以是Governance或Compliance等兩種版本，兩者都能提供個別檔案層級的資料保存時間設定，其中Governance版允許系統管理員調整資料保存設定，Compliance版則需要更高的雙重用戶授權（如系統管理員+資安長），才允許調整資料保存設定，防護等級更高，可符合SEC 17a-4(f)、FDA 21 CFR Part 11、CFTC Rule 1.31b、Sarbanes-Oxley Act、ISO Standard 15489-1等資料安全規範。</p> <p>透過Retention Lock可提供個別檔案層級的資料鎖定與保存期限設定，不過在Cyber Recovery中，是以鎖住整個MTree儲存區為原則。此外，CR Vault也不以長期保存資料為目的，所以建議的Retention Lock設定期限是7～45天。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/worm">WORM</a></div><div class="field-item odd"><a href="/tags/%E4%B8%80%E5%AF%AB%E5%A4%9A%E8%AE%80%E6%8A%80%E8%A1%93">一寫多讀技術</a></div><div class="field-item even"><a href="/tags/%E5%8B%92%E7%B4%A2%E5%8A%A0%E5%AF%86">勒索加密</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E4%BF%9D%E8%AD%B7">資料保護</a></div></div></div>
2019/4/5 09:00作者張明德https://www.ithome.com.tw/tech/129616
2019 企業資安大調查
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/913-28-feng_mian_gu_shi_-p1_open-960x420.jpg?itok=Q9iUy-tS" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這是臺灣最大規模的企業資安大調查，382家臺灣兩千大或知名企業參與，涵蓋企業今年第一手資安投資動向、資安編制現況，更披露臺灣資安災情和企業防護水準現況</p> </div></div></div>
2019/4/5 09:00未署名https://www.ithome.com.tw/article/129719
2019臺灣資安大調查重點整理
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果想了解臺灣企業資安現況，iThome年度的臺灣資安大調查可說是一份相當具有參考性的資料，而在這個月，我們終於<a href="https://www.ithome.com.tw/article/129719" target="_blank">完成了今年的版本，在iThome電腦報週刊</a>、<a href="http://www.eslite.com/product.aspx?pgid=10099161842746130" target="_blank">2019臺灣資安年鑑</a>等兩本刊物公布內容，同時，也在2019臺灣資安大會現場，由主持這項調查的副總編輯王宏仁，親自向所有與會者報告我們的問卷統計結果。</p> <p>就重大資安風險的比例而言，2019年前兩名分別是「員工疏忽、欠缺資安意識」，以及「惡意程式」，均比2018年略高，值得注意的是惡意程式從第3名升至第2名，比去年增加了1.3％，釣魚攻擊則下降一個名次。</p> <p>接下來，「系統老舊」與「駭客攻擊導致企業受影響」分別拿下第6名（26.2％），以及第7名（20.2％）。但這兩項去年都並未進入前十大企業資安風險，顯示今年的臺灣企業已經察覺到系統老舊可能帶來的風險，以及對於駭客攻擊可能帶來的衝擊。</p> <p>而在企業資安事件的主要攻擊來源當中，前五名的類型不變，仍是駭客最多，其次是內部員工，第三是組織型犯罪，比例都降低了，但離職的前員工的比例則增加了0.2％。</p> <p>而關於企業無法阻擋資安攻擊的原因當中，排名前五大的因素，比例大多比去年低，但居首的「員工資安意識不足」不動如山，仍是63.1％，顯見企業必須持續進行相關的宣導，不能鬆懈！</p> <p>而在第6名到第11名當中，「需要分析的資料太多」今年突然空降到前十名，直奔第7。</p> <p>同時，我們也發現「管理高層的資安意識不足」與「缺乏管理階層的支持」都比去年增加了1％以上。面對上述狀況，企業應該要多多注意高階主管的資安意識，不應讓管理階層成為推動資安的阻礙。</p> <p>而提升比例更小、但不能忽視的部份是「市場上缺乏有效的資安產品」，以及「部門間缺乏合作」，解決方案供應商與企業本身應該持續改善這些因素，避免讓資安防護產生死角。</p> <p>就各個產業的企業而言，對於遭遇資安攻擊的狀況，以及災後復原的能力，我們想特別提醒一般製造業，需要特別當心！</p> <p>首先，因為在去年遭遇50次以上攻擊事件的比例，一般製造業是18.5％，僅次於金融業（20.8%）；其次，在察覺自身受到攻擊的時間當中，一般製造業最為遲鈍，平均需23.7天，也就是超過三週才會發現（整體平均值為11.5天，慢了1倍以上）；若就復原時間來看，一般製造業需6.3天，幾乎快要一週才能恢復正常運作，處理時間過久（整體平均值為4.3天，慢了45％）！</p> <p>此外，對於資安防護信心偏低的企業比例，一般製造業也是高達23.9％，排名第二。在年度資安投資金額上，一般製造業更是敬陪末座，平均只有136萬元，低於臺灣企業整體平均的20％。若再將這筆預算除以12個月，一般製造業每個月花在資安的比例只有11萬元，相當令人擔憂。</p> <p>讓我們再來看看今年的企業資安投資重點項目。其中，針對「網路安全」的企業比例最高，達到57.9％，顯示企業非常關切這方面的保護是否夠完備；而去年身為榜首的IT基礎架構防護，今年退居第二，比例也減少了一些。</p> <p>另一個讓人意外的部份是災難復原，拿下第三名。</p> <p>至於其他名列前茅的投資項目，比例都有減少的趨勢，但差距最大的是「強化權限存取控管」，去年是40.6％，今年是19.6％，其次是資料外洩防護（DLP），今年為23％，接著是端點安全、員工意識教育訓練。或許這樣的反差，代表著企業採用或導入相關機制的情況，已經變得更普遍，所以，資安投資的重心有所調整。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div></div></div>
2019/4/5 09:00作者李宗翰https://www.ithome.com.tw/voice/129723
臉書開源能快速處理超大型圖嵌入的工具PyTorch-BigGraphs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/open-sourcing-pytorch-biggraph-for-faster-embeddings-of-extremely-large-graphs">臉書開源了專為超大型圖設計，支援多重關係圖嵌入訓練的工具PyTorch-BigGraph</a>，PyTorch-BigGraph為一分散式系統，可用於學習大型圖嵌入，特別適合應付具有數十億個節點以及數兆個邊的超大型圖，而由於PyTorch-BigGraph是以開源深度學習框架PyTorch開發，因此開發者可以自行替換損失函數、模型以及其他元件。</p> <p>圖是表達許多資料類型的核心工具，圖嵌入是非監督式學習的一種形式，但現在的圖可能非常巨大，具有數十億個節點以及數兆個邊，標準的圖嵌入方法擴展性不佳，無法應用在超大型圖上。臉書提到，超大嵌入圖主要有兩個挑戰，第一個，嵌入系統必須夠快，才能應用在實際研究與生產上，第二個挑戰，記憶體的限制也是個大問題，臉書舉例，嵌入二十億個節點，每個節點有128個浮點數參數，這樣便需要1 TB的容量，而這個量級超過一般商用伺服器記憶體的容量。</p> <p>而PyTorch-BigGraph能從大規模圖結構的資料產生嵌入，其以邊的列表形式將圖資料集作為輸入，每個邊由來源節點、目標節點以及可選的關鍵類型組成，PyTorch-BigGraph會對節點以及邊進行分片（Shard），以多執行緒進行訓練，並輸出成嵌入列表，這些嵌入可以當作各種任務的輸入，像是大規模地進行最鄰近搜索。PyTorch-BigGrap讓人工智慧開發人員，不需要專用計算資源，就能進行超大型圖的嵌入訓練，</p> <p>臉書提到，PyTorch-BigGraph經高度最佳化，其高度擴展的特性比起常用的嵌入式軟體，速度還要快數個量級，其產生嵌入的品質在基準測試當中，與最先進的模型相當，臉書釋出PyTorch-BigGraph鼓勵開發人員試驗更大型的資料集，以取得更好的非監督式機器學習結果。</p> </div></div></div>
2019/4/4 21:17作者李建興https://www.ithome.com.tw/news/129790
廢棄的finalize？
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Java繼承體系中，最頂層是Object類別，當中定義了各式物件的基礎行為，然而，其中的finalize方法問題重重，絕大多數情況下應避免使用。到了Java 9，斷然廢棄了finalize方法，這動作對基礎類別來說，絕不尋常，而且引發的問題是，當資源清除不得不依賴在物件生命週期結束之時，到底該怎麼做呢？</p> <p><span style="font-size:28px;"><strong>惡名昭彰的finalize</strong></span></p> <p>早在2001年《Effective Java》第一版的條款六，就談到「避免使用finalize方法」，這方法的規範聲稱，若開發者定義了該方法，在垃圾收集打算清除物件之前，會被執行，然而，JVM啟動垃圾收集的時機不定，因此，finalize執行的時機也就不定，這是多數Java開發者被告誡避免使用finalize方法時，最常用的理由之一。</p> <p>實際上，finalize方法還有更多問題，finalize只會執行一次，而在finalize被執行時，若物件自身因故被其他執行緒參考了，這時就會終止回收物件，之後就算該物件又有了被回收的時機，finalize也不會再執行了；finalize中拋出例外會終止方法的執行，然而例外會被忽略，令除錯發生困難；在實作繼承時，子類也可能疏忽，忘了呼叫父類的finalize方法，導致資源清理不完全等問題。</p> <p>話雖如此，Java SE標準API卻也有類別，定義了finalize方法，例如，java.io的FileInputStream等。若查看Java 8或早期的API原始碼，可看到實作中呼叫了本身定義的close方法；第三方程式庫實作，也可見到定義了finalize的類別，例如MySQL JDBC驅動程式的Connection介面實作中，就可見到定義finalize來清除資源。</p> <p>顯然地，這類API是將finalize作為資源清理的最後安全網，畢竟，有時資源慢一點清除，總比不清除來得好，是吧！問題就在於定義了finalize之後，垃圾收集的時機可能被一再推延，甚至沒有機會執行，而且，垃圾收集需要的時間會拉長，不少開發者甚至會發現，只不過加了個finalize方法，就導致了OutOfMemoryError。</p> <p>這是因為，如果定義了finalize的物件，會被排入一個終結佇列（finalization queue），而且，可能在主垃圾收集（Major GC）發生時，才執行finalize，若物件產生的速度快於清除的速度，就會發生記憶體不足的問題（可參考〈The Secret Life Of The Finalizer〉（<a href="https://bit.ly/2tDvfGA">https://bit.ly/2tDvfGA</a>））。</p> <p><span style="font-size:28px;"><strong>物件回收時自動執行？</strong></span></p> <p>當涉及系統資源或非本地資源（資料庫之類），不使用相關資源時，應主動將之關閉，這是開發者的基本常識。然而，關閉資源的邏輯在實作上，遠比許多開發者想像的還要麻煩（特別是使用Java時）且容易出錯，為了有個最後的安全網，FileInputStream、Connection等實作類別時，選擇了finalize作為最後防線，若開發者忘了或者實作錯誤時，至少還有個finalize可以在物件回收時，自動執行資源清理動作。</p> <p>資源的清理和物件的生命週期，實際上，應該是兩個不同階段的概念，為了鼓勵、簡化與正確地實作資源清理邏輯，Java 7引進了try-with-resources語法，以及AutoCloseable介面，對於涉及資源清理職責的物件，都應該實作AutoCloseable，並善用try-with-resources語法，而不是依賴於物件生命週期。</p> <p>然而，資源清理非得考慮與物件生命週期掛勾的時機，還是有的。若不定義finalize方法的話，在Java 8或早期版本中，PhantomReference會是個解法，建構PhantomReference時，必須指定參考物件（referent）與ReferenceQueue實例，若某物件只剩PhantomReference參考著，那麼，垃圾收集時可以回收該物件，PhantomReference實例則會移入ReferenceQueue。</p> <p>因此，可以繼承PhantomReference，並自定義清理資源的方法（例如close），在受控的邏輯下，來實作定時或不定時對ReferenceQueue的查詢（像是透過poll方法），在能夠從ReferenceQueue取得PhantomReference實例時，呼叫自定義的清理資源方法，並從ReferenceQueue當中，移除PhantomReference（可參考〈Phantom References in Java〉（<a href="https://bit.ly/2SZkz3X">https://bit.ly/2SZkz3X</a>））。</p> <p>儘管透過PhantomReference，清理資源的執行時機仍是不確定的，然而，開發者無法取得PhantomReference參考的物件（PhantomReference的get方法總是傳回null），清理資源的方法執行時，也不會私吞例外，不致於強制客戶端，只能無從選擇地順從finalize的實作。</p> <p>PhantomReference運用的實際案例，存在於JDK內部API，例如，內部API中的sun.misc.Cleaner，是PhantomReference子類，在DirectByteBuffer當中，擔當釋放記憶體的職責。</p> <p><span style="font-size:28px;"><strong>Java 9的Cleaner</strong></span></p> <p>在Java 9中，正式將finalize標示為廢棄（Deprecated），對於物件回收時自動執行指定邏輯的這件事，則提供了java.lang.ref.Cleaner類別，這有很大的程度是sun.misc.Cleaner公開移植版本，不過，並非PhantomReference子類，不能繼承、也沒有公開建構式，必須透過工廠方法create建立Cleaner實例，開發者透過Cleaner實例的register註冊物件，以及一個Runnable實例。</p> <p>此時，被註冊的物件，在內部的實作上，會被PhantomReference的子類實例持有，若那時物件只剩PhantomReference參考，就會執行註冊時提供的Runnable實例之run方法，並從Cleaner取消註冊，因此，可以實作Runnable來進行資源清理。</p> <p>透過Cleaner實例的register註冊時，會傳回Cleaner.Cleanable實例，它具有clean方法，呼叫的話，會執行Runnable的run方法。並從Cleaner取消註冊，因此，API客戶端也可以自行呼叫clean方法來清理資源，在Cleaner的API文件上，就有個結合AutoCloseable的範例，若需要提供主動關閉資源的時機，同時，也希望有個最後清理資源的安全網，可以考慮採用該模式。</p> <p>這時，開發者會想問了：過去，Java標準API中FileInputStream等的finalize相容性，怎麼辦呢？Java 9後FileInputStream等類別，清空了finalize方法的實作，而且標示了@Deprecated(since="9", forRemoval = true)，不過，就這麼清掉其中邏輯，是否會造成依賴在finalize的物件，在Java 9之後無法清理資源呢？</p> <p>對此，FileInputStream等在內部實作上，預設會改用PhantomReference機制，作為最後呼叫close方法的防線，如果有子類且自定義了close方法，實例化時，會有個內部的AltFinalizer實例產生，作用就是等著被回收時，呼叫AltFinalizer定義的finalize方法（被加了@SuppressWarnings("deprecation")），並且在其中進行相關資源的清理。</p> <p><span style="font-size:28px;"><strong>避免使用Cleaner</strong></span></p> <p>儘管Cleaner在使用上，可以避免掉finalize的一些問題，然而在《Effective Java》第三版條款八中，依舊建議避免使用。因為「仍然是不可預測、運行緩慢」，而且，在System.exit之類結束應用程式的情況下，規範上並沒有指明是否一定要執行清理。</p> <p>總而言之，真正重要的是，我們\必須分別看待資源清理和物件生命週期。對於資源，應優先考慮實現AutoCloseable，明確地關閉資源或者搭配try-with-resources，非不得已，才能將Cleaner或PhantomReference當成最後的手段。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/finalize">finalize</a></div><div class="field-item odd"><a href="/tags/java">Java</a></div><div class="field-item even"><a href="/tags/cleaner">Cleaner</a></div></div></div>
2019/4/4 21:42作者林信良https://www.ithome.com.tw/voice/129618
Google雲端記憶體資料庫服務Cloud Memorystore現支援Redis 4.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/databases/cloud-memorystore-now-with-redis-version-4-0-support-and-manual-failover-api">Google在其雲端Redis記憶體資料庫服務Cloud Memorystore支援Redis 4.0</a>，改善了快取和記憶體的使用，還加入手動故障轉移API，讓使用者能夠測試Cloud Memorystore故障轉移的行為。</p> <p>Cloud Memorystore能夠自動管理Redis實例，執行配置、擴展和監控的任務，適合低延遲且高可用性要求的使用案例，像是遊戲與零售應用。現在最新版本的Cloud Memorystore開始支援Redis 4.0，主要的功能更新包括快取改善以及活躍記憶體去碎片化。</p> <p>Redis 4.0在快取檔案置換機制上，開始採用最近最少使用（Least Frequently Used，LFU）演算法，這可以比之前使用的最久未使用（Least Recently Used，LRU）演算法，更加精確測量快取使用，Redis的LFU使用逼近演算法實作，不會大量增加記憶體使用。除此之外，Redis現在可以線上對記憶體進行去碎片化工作，這將能主動回收未使用的記憶體，防止不必要的系統崩潰。</p> <p>Google也為Cloud Memorystore增加手動故障轉移API，讓使用者測試應用程式故障轉移的行為。Google提到，測試Cloud Memorystore在產品階段，當發生錯誤時的服務轉移行為非常重要，使用者可以使用這個API，主動觸發故障轉移並觀察其行為，供使用者規畫系統備份以及還原功能。</p> <p>為了讓使用者方便對Redis應用程式除錯，Google在前一個Cloud Memorystore版本，對Stackdriver開放Redis指標，而現在為了進一步讓使用者能更簡單地在客戶端除錯，Google與OpenCensus合作，讓系統自動收集應用程式的追蹤資料以及指標，並可使用各種後端監控工具，包括Stackdriver，以更詳細暸解Redis的效能表現。OpenCensus為一遙測資料收集函式庫，能夠對使用者服務進行分散式追蹤收集指標。</p> </div></div></div>
2019/4/4 20:34作者李建興https://www.ithome.com.tw/news/129787
Google推出為計算密集工作最佳化的C2 VM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/compute/introducing-compute-and-memory-optimized-vms-for-google-compute-engine">Google為計算密集工作負載推出計算最佳化虛擬機器C2系列</a>，使用最新的第二代英特爾Xeon可擴充處理器（Intel Xeon Scalable Processor），比起一般GCP虛擬機器能提供超過40％的效能，另外，Google也預告將推出新的記憶體最佳化虛擬機器M2系列，記憶體配置最高將達12TB。</p> <p>Google提到，絕大多數的工作負載都可以在一般的GCP虛擬機器上執行，但是隨著企業將越來越多的應用搬上雲端，對於特定類型的工作負載來說，在經最佳化的虛擬機器上執行會更加適合，像是HPC、電子設計自動化、遊戲或是單執行緒應用程式。</p> <p>計算最佳化虛擬機器是GCP上新的C2計算系列，不只單個執行緒效能較高，記憶體速度也非常快，因此適合用來處理大多數計算密集的工作，可以比現有的虛擬機器額外提供超過40％效能，其使用了第二代英特爾Xeon可擴充處理器，能以時脈3.8 GHz的高效能速度進行計算。Google提到，計算最佳化虛擬機器對外公開底層伺服器平臺架構，因此使用者能夠進一步調校虛擬機器效能。使用者最多可以選擇使用60個vCPU，240 GB記憶體以及最多3 TB的本地端儲存。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Compute-Optimized_Machine_Types_max-900x900.png" style="width: 600px;" /></p> <p>另外，Google更新針對記憶體最佳化的虛擬機器產品線，預計推出M2系列。這類虛擬機器能滿足高記憶體配置需求，可以用來執行像是大型記憶體資料庫SAP HANA，或是記憶體分析工作負載等記憶體密集的任務。在去年Google就發布了配置最高4TB記憶體的虛擬機器，現在M2系列讓使用者能配置達12TB的記憶體以及416個vCPU，這些虛擬機器同樣將會使用第二代英特爾Xeon可擴充處理器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Memory-Optimized_Machine_Types_W1nX8QL_max-800x800.png" style="width: 600px;" /></p> <p>C2仍在測試階段，該系列有5個等級，最基本的規格c2-standard-4每小時0.209美元，最高等的c2-standard-60實體則每小時收費3.13美元，C2虛擬機器也提供先占式（Preemptible ）虛擬機器類型，每小時0.0505美元起，而記憶體最佳化虛擬機器M2系列將會在這一季上線，目前價格未定，會在晚些時候公開。</p> </div></div></div>
2019/4/4 20:37作者李建興https://www.ithome.com.tw/news/129784
Chromium版的Microsoft Edge仍將支援4K串流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你可能不知道，Microsoft Edge現為市場上唯一支援4K串流的主流瀏覽器，而且外界正擔心若微軟改採Chromium作為Microsoft Edge的瀏覽器核心，將讓Edge錯失此一優勢，然而，眼尖的開發人員卻發現Chromium版的Microsoft Edge正在實驗PlayReady DRM及PlayReady HEVC Decoding兩項功能，可望延續其支援4K串流的能力。</p> <p>PlayReady為微軟所開發的DRM技術，已被嵌入在電視、手機、平板及個人電腦等硬體裝置上，亦被部署於應用程式及作業系統中，根據微軟的估計，全球已有數千種服務及超過40億台的裝置採用PlayReady。</p> <p>當使用者在電腦上串流影片時，可串流的影片解析度除了得參考螢幕與處理器的能力之外，還必須仰賴瀏覽器及其所使用的數位版權管理（Digital Rights Management，DRM）技術。</p> <p><a href="https://blogs.windows.com/windowsexperience/2016/07/13/get-better-quality-video-with-microsoft-edge/#4EYCj5e1eEdvRHDF.97" target="_blank">根據微軟的說法</a>，內容供應商在網路上串流高階影片時，必須在提供最佳品質及確保內容受到保護之間取得平衡，隨著內容的品質愈來愈好，市場也愈來愈需要強大的DRM技術，這些系統必須能夠保護媒體串流以讓它們只能允許取得授權的用戶播放，當業者質疑影片可被輕易儲存或分享時，就不會提供高階影片串流。</p> <p>微軟的言下之意是該公司所開發的DRM技術PlayReady符合業者的需求，因此在2016年時，當其它瀏覽器都只能執行720p解析度的影片串流服務時，Edge已支援1080p的影片串流，而<a href="https://help.netflix.com/en/node/23742" target="_blank">現在Edge也是唯一可執行Netflix 4K影片串流服務的瀏覽器</a>。</p> <p>相較於Edge所具備的4K串流能力，目前透過Chrome、IE或Safari所能串流的Netflix影片最高解析度為1080p，而Firefox或Opera最高都只能達到720p。</p> <p>因此，當微軟宣布Edge將改採Chromium核心時，即有人擔心Edge將喪失對4K串流影片的支援。不過，現身於Chromium版Microsoft Edge中的PlayReady DRM選項，代表它將允許Edge使用PlayReady的DRM技術，PlayReady HEVC Decoding則是以HEVC技術，來解碼PlayReady內容，定位為高效率的HEVC編解碼技術可支援4K解析度、超高畫質電視（UHDTV），甚至是8K解析度。但不論是PlayReady DRM或PlayReady HEVC Decoding設定都只會出現在Windows 10的Edge上。</p> <p>市場預期微軟很快就會釋出Chromium版Edge的預覽版，也推測Google未來也會在Chromium的專案中嵌入類似功能，不讓Edge專美於前。</p> </div></div></div>
2019/4/4 20:50作者陳曉莉https://www.ithome.com.tw/news/129791
Android Q第二測試版能限制App存取外部儲存
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在3月中的時候發布了最新行動裝置作業系統Android Q預覽版，強調使用者隱私，現在<a href="https://android-developers.googleblog.com/2019/04/android-q-beta-2-update.html">發布了第二個測試版</a>，啟用Scoped Storage隱私政策，還新增支援多重任務操作的對話泡泡，而Android Q也開始支援可折疊裝置，並在最新的Android Studio 3.5增加了專門的模擬器。</p> <p>無論是在硬體還是軟體上的設計，Google從Android P開始應用了不少隱私機制，也持續更新Google Play應用程式的政策，目的就是為了拉高整體Android生態系的隱私安全性。而Android Q的設計也圍繞著這個中心思想，提高系統透明度為用戶提供更多的控制，在平臺以及應用程式保護使用者的個人資料。</p> <p>Android Q第二測試版啟用Scoped Storage功能，未經授權的應用程式只能在私有沙盒中執行，如果要存取照片、影片或是音訊等集合檔案，則需要新的授權，Android Q會為每個應用程式創建一個獨立的儲存沙盒，限制應用程式互相存取儲存在外部儲存的檔案，Android Q將以更精細的媒體權限，替換原本的外部儲存權限。</p> <p>Google提到，這項更改將會影響使用共享媒體集合的應用程式，像是照片、影片、媒體瀏覽或是檔案儲存等應用，都可能因為Scoped Storage而使行為改變，開發者應該提早測試自家應用程式在Scoped Storage隱私功能下的變化，並做出相對應的更改。</p> <p>對多重任務的支援，Android Q新增對話泡泡功能，讓使用者以新的互動方式進行多重任務。應用程式可以將通知以對話泡泡的形式發送，當使用者在使用應用程式時，可以透過點擊對話泡泡以執行額外的工作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image2a.png" style="width: 250px;" /></p> <p>Google提到，泡泡功能對於訊息傳遞特別有用，可以讓使用者持續進行手上的工作，還能輕鬆的存取與其他聯絡人的對話訊息。開發者只要在應用程式中呼叫setBubbleMetadata新增BubbleMetadata，就能以對話泡泡的形式發送通知，在元資料中，開發者可以提供欲呈現在泡泡內容的活動。</p> <p>為了滿足可折疊裝置的需求，Android Q第二測試版開始支援可折疊裝置，而新發布的可折疊裝置模擬器，開發者可以在金絲雀頻道發布的Android Studio 3.5中，以Android虛擬裝置啟用。在平臺端，Google改進了onResume以及onPause上的行為，以支援多重恢復，系統會在應用程式取得焦點時，對應用程式發送通知，另外，Google還更新了resizeableActivity的manifest屬性，以幫助應用程式在可折疊或是大型螢幕上顯示的方式。</p> <p class="rtecenter"><img alt="" src="https://2.bp.blogspot.com/-DZx0iTv5254/XKTW4EczNeI/AAAAAAAAHY8/hU5dHRaCgF02Loxvuyi2VGt1-MFftnLIwCLcBGAs/s1600/image3.gif" style="width: 343px;" /></p> <p>使用者可以使用Android Studio 3.5創建可折疊虛擬裝置，目前在第二預覽版支援兩種配置，分別是4.6吋的摺疊螢幕打開變7.3吋的規格，以及6.6吋摺疊螢幕打開變成8吋的規格，模擬器可以讓使用者在螢幕上，觸發折疊、展開、改變朝向等裝置控制。</p> <p>Android Q第二測試版還提供了全新MicrophoneDirection API，以支援指向性可縮放麥克風，應用程式現在可以在啟用錄音功能時，對麥克風設定偏好的方向，像是使用者在自拍時，就能呼叫setMicrophoneDirection將屬性設為MIC_DIRECTION_FRONT，要求前置麥克風錄音，另外，這個API還提供標準化的方法控制縮放麥克風，使用者可以用來調整紀錄場域維度。</p> </div></div></div>
2019/4/4 21:09作者李建興https://www.ithome.com.tw/news/129788
虛幻引擎 4.22釋出，正式支援即時光線追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.unrealengine.com/en-US/blog/unreal-engine-4-22-released">Epic Games釋出最新版遊戲引擎虛幻引擎（Unreal Engine） 4.22</a>，除了正式加入即時光線追蹤（Real-Time Ray Tracing）技術，以精確呈現即時光照與陰影效果之外，也加入即時程式碼開發（Live Coding），並且加速建置時間，在程式碼開發工具上，開始支援微軟最新Visual Studio 2019。</p> <p>Epic Games去年5月宣布要在其虛幻引擎中支援即時光線追蹤特效，還與Lucasfilm合作，展示了使用即時光線追蹤技術的星際大戰動畫片段，而現在該特效正式在虛幻引擎 4.22提供，除了光線追蹤，還同時增加了路徑追蹤（Path Tracing）。</p> <p>這個版本的光線追蹤支援平行光、點光源、聚光燈以及矩形光，該特效能精確計算物體位在相機成像平截頭體（Camera Frustum）的內部還是外部，也能計算場景中地面物體的柔和環境遮蔽（Soft Ambient Occlusion），甚至是複雜的半透明表面，最新的光線追蹤也能正確算出光線折射與反射結果。</p> <p>除了光線追蹤，虛幻引擎 4.22還加入了路徑追蹤特效，可以用來計算間接照明的全域照明路徑，在引擎中產生參考標準的參照渲染，可用於直接改進場景中的工作流程內容，使用者不再需要輸出到第三方路徑追蹤器中進行比較。</p> <p>這個版本也改進即時虛擬生產工作管線（Virtual Production Pipeline），合成工具Composure現支援即時合成，使用者可以直接在虛幻引擎中合成圖像、影片以及CG元素，即時合成綠幕與引擎內容，官方提到，這對於預視覺化很有幫助，導演可以更直覺地了解綠幕加上最終場景的樣子。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/youtu_be-ui-uUB56U78.jpg" style="width: 600px;" /></p> <p>現在所有虛幻引擎 4.22的開發者都可以使用Molecular Matters的Live++元件，該元件支援C/C++應用程式熱重載，Live++會在背景編譯程式碼變更，並直接修補到正在執行的機器碼中，以大幅提升程式碼迭代速度，官方提到，Live++現在整合到虛幻引擎新的即時程式碼開發功能中，與傳統熱重載機制不同，即時程式碼開發修補單一函式，不需針對物件重新實例化進行特殊考量，對於大型專案來說更可靠也更具可擴展性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/youtu_be-zdw32spo4IM.jpg" style="width: 655px; height: 368px;" /></p> <p>官方還最佳化了UnrealBuildTool以及UnrealHeaderTool工具，讓C++迭代速度上升了三倍，根據官方提供的數據，在相同專案範例下，虛幻引擎 4.21的總增量建置（Incremental Build）時間為7.47秒，而4.22版本只有2.14秒，速度改善了340%，另外，官方還改進了增量建置的相依性檢查的準確性，包括偵測專案的檔案新增刪除，以及由編譯器執行的相依性檢查。</p> <p>在虛幻引擎 4.22中，開發者可以在編輯器的原始碼管理設定中，將Visual Studio 2019設定成預設IDE，開發者現在還可以更新專案支援的C++標準版本，只要在專案的.target.cs檔案更改CppStandard屬性即可，而在支援最新版Visual Studio的同時，虛幻引擎也停止支援Visual Studio 2015，官方不再於內部對Visual Studio 2015進行測試。</p> </div></div></div>
2019/4/4 21:12作者李建興https://www.ithome.com.tw/news/129789
【臺灣資安大會直擊】企業CIO也必懂的營業祕密法衝擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年國內一家知名的半導體公司控告其人資主管，私下將員工及應徵者資料以電子郵件送到自己的私人信箱，再和丈夫聯手透過獵人頭公司挖角這家半導體公司的人才，遭該公司以違反營業祕密法提告，但法院以未侵害營業祕密判決無罪。</p> <p>到底什麼樣的企業資訊屬於營業祕密，而談到營業祕密又容易和資訊安全聯想在一起，兩者間的關係如何？曾經擔任臺灣臺北地方法院檢察署智慧財產權及電腦犯罪專組主任檢察官，現為中華民國電腦稽核協會理事長的張紹斌，在今年的臺灣資安大會中解釋了什麼是營業祕密，為什麼企業認為的重要資訊，卻不被法院所認定。</p> <p>「營業祕密和資訊安全有直接或間接的關係」，張紹斌表示，營業祕密目的是在確保所有人穩佔市場競爭優勢，肯德基的炸雞調味香料，可口可樂的配方。除了技術資訊外，未上市的手機、新款籃球鞋、服務模式也能被視為營業祕密，但仍有判斷上的空間，不一定是營業祕密。</p> <p><strong>營業祕密的法制起源</strong></p> <p>為什麼有些資訊屬於營業祕密，而有些看似重要的資訊卻不是？張紹斌從營業祕密的立法源談起。</p> <p>營業祕密的法制起源，大約從1994年的WTO規範開始，在與貿易有關的智慧財產權協定中TRIPS首先將營業祕密納入國際公約中。美國則以統一營業祕密法，統合各州相關法律。雖然營業祕密被視為有經濟價值，保密性的資訊，但在不同的法系，對營業祕密的看法其實是有差異的。</p> <p>他以英美法系為例，將營業祕密視為私權的一種，是一種智慧財產，擁有者可以拋棄、處份或授權，是和商標權、著作權、專利權近似的一種權利。然而，在日本、德國、臺灣在內的大陸法制國家，則是將營業祕密放在反不正當競爭法中，即反托拉斯法，營業祕密是花費時間及金錢辛苦得來的成果，若是以不正當手段，例如竊取、欺騙等方式取得，就是不正當競爭。英美法系和大陸法系對營業祕密保護的立法體制上的差異。</p> <p>「智慧財產權法是獨佔法，反不正當競爭是反獨佔法，這是兩種相抵觸的思維邏輯」，張紹斌說。他認為以美國為體制的法律會慢慢將對營業祕密的保護，逐漸從公平競爭轉為智慧財產權的法制觀點。</p> <p>既然將營業祕密視為智慧財產權，屬私權的一種，那麼又和著作權、商標權、專利權又有什麼差異? 從法律來看，著作權必須具有原創性，重表達的形式，不需登記，採創作保護主義，商標權必須可證明其商品來源、表彰其價值、具有識別性，採註冊保護主義，同樣以註冊保護其權利的專利權，是以公開換取法律保護獨佔，缺點是專利保護期一過即失效，營業祕密則是不公開，但具有實質或潛在的經濟價值，所有人以合理的保密措施，不需登記。</p> <p>專利和營業祕密都在保護企業的智慧財產權，但張紹斌指出，專利權是以公開換取受法律一定時間的保護，如果別人在不知道專利下，開發出相同的產品或技術，有侵犯專利的風險，其缺點是專利保護時間一過即不再受保護；至於營業祕密則是不公開，乍聽之下，營業祕密似乎比較有利於所有者，但因為不公開，他人只要不是以非正當方法獲得，例如自行研發出相同技術或商品，不會有違反營業祕密法的疑慮。</p> <p>「企業營業祕密提出告訴也有風險，在法庭的攻防裡，主張具有營業祕密特質的資訊會受到質疑，在訴訟的過程中勢必揭露一些資訊，還可能導致機密資訊的外洩。」張紹斌表示。</p> <p>臺灣營業祕密法為獨立立法，當初是政府為了加入WTO而立。依營業祕密法的定義，營業祕密包括了方法、技術、製程、配方、程式、設計或是其他可用於生產、銷售或經營的資訊，還必須具備三項要件：不是涉及該類資訊的人所知，因其保密而存在經濟價值，所有人已採取合理保密措施。</p> <p><strong>資訊安全大過營業祕密</strong></p> <p>營業祕密因保密而具有經濟上的價值，和資訊安全息息相關，但張紹斌指出，資訊安全涵蓋範圍卻遠大於營業祕密，他以受公開帳號及密碼保護的企業內部資訊為例，即便以帳號及密碼保護，因為員工人人都可以看到，不一定能被視為營業祕密。</p> <p>張紹斌解釋，資訊保護的目的在維護資訊的機密、完整、可用，資訊保密的目的在防止外洩，造成組織的損失，而應該保護的資訊未必需要保密，例如公司的財務計畫、安全維護計畫等等，屬於組織的資訊，雖是組織的資產，卻未必具有財產交換的價值，像是員工的健康檢查紀錄。屬於財產資料又需要保密的，最重要的就是營業祕密。</p> <p>他建議，當企業發生資訊外洩，先別急著尋求法律救濟，應該先區分洩露資訊的性質，屬財產權的資訊亦或是人格權的資訊(如個資)，在排除職場倫理、業界慣例、不成文感受、政治偏好之下，再理解應受營業祕密法或是個人資料保護法保護。</p> </div></div></div>
2019/4/4 12:10作者蘇文彬https://www.ithome.com.tw/news/129765
【臺灣資安大會直擊】如何培育企業實戰資安人才？全新資安防禦競賽來了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我們需要更多的資安人才，才能幫助我們的產業作好資安」，HITCON創辦人徐千洋在今年臺灣資安大會的演說中，一開始就點出了國內企業在資安上的痛點，缺乏資安人才，也因此HITCON在過去舉辦了多次的CTF競賽，去年12月還舉辦了HITCON Defense大賽，這些競賽背後的目的，都在培育國內資安人才。</p> <p>但是，傳統CTF競賽，儘管可以讓資安人才學習到很多駭客攻擊技巧，但徐千洋也坦言，這些競賽中學得的技巧能否實際在企業中用於防禦，可能每個人有不同的解答。許多的企業資安人才和IT、稽核有關，但這些人未必很懂駭客攻防技巧，即便他們學習了，在IT的資安維運實務上可能會發現派不上用場。當企業發生資安事件時，他們在CTF競賽中學習解題未必能幫上忙。</p> <p>可是，面對資安攻擊的威脅，企業更迫切需要的是資源的統合利用，不只是企業自己的資源，還需要來自外部廠商的資源整合，內外部的資源整合來解決企業的安全問題。</p> <p>他認為，企業資安團隊培育人才時，有兩大課題，如何讓資安人才具備資安威脅應變能力，以及能體認到情資分享的重要性。</p> <p><strong>防禦競賽來模擬企業遭遇攻擊的真實情境</strong></p> <p>因此，為了讓培育人才的資安競賽更貼近企業的真實情況，去年底舉行的HITCON Defense大賽決定將企業的IT環境搬到競賽中。</p> <p>「這完全是個大工程，距離決定要辦只有兩個月」，徐千洋一語道出當初籌辦HITCON Defense的艱辛之處，不僅籌備的時間緊迫，資源也嚴重不足。</p> <p>首先，過去HITCON資安競賽隊伍多達十多隊，HITCON Defense大賽最初規劃是十四隊，雖然後來降低到十隊，但舉辦時間在年底，他們很快發現全臺無法湊出十套DDoS防禦設備，而每個隊伍需要的伺服器機櫃也是如此，最終只能湊出7套設備，1套給主辦單位扮演的紅隊(攻擊者)使用，6套提供給參賽團隊(藍隊)使用。由於這些借來的設備價格高昂，他們還保了鉅額的保險。</p> <p>每個隊伍會分配到雲端主機、實體主機若干臺，還有數臺桌上型電腦，模擬小型企業的內部網路環境，每個參賽隊伍會被分配到帳號密碼，讓他們登入自己的設備系統，如同企業真實的IT維運環境般，讓他們自行操作、設定這些設備，檢測系統上的漏洞並將其修補。</p> <p>而主辦單位則扮演紅隊，每隔一段時間對每個隊伍發動攻擊，若因為沒修補漏洞而被入侵，積分就會被扣分，直到扣完分數為止，而只要伺服器服務未被中斷，就會不斷累積積分。真實世界的一分鐘相當於比賽中的一小時，依日間、夜間還有不同的計分方式，而評分的標準包括了網路是否正常，是否在預定時間內解決問題，排除駭客攻擊引發的危機、是否可以合作。</p> <p>徐千洋表示，「我們希望競賽的目的從人才擴大到團隊，不只是一個人的力量，而是整個團隊，而是整個資源的力量。」企業面對資安攻擊，需要具備快速應變、找出問題的能力，Defense競賽中參賽隊伍扮演藍隊，實際面對紅隊的各種攻擊，如木馬、DDoS等，從中學習應變的能力。</p> <p>競賽設計也引入情資分享的概念，「傳統的競賽，每個隊伍為了解決對手，解出題目不可能讓別人知道，但在Defense競賽中，我們鼓勵隊伍分享出來。」他說。只要分享解題方法給主辦方，就能獲得積分獎勵，同時有30分鐘的休息時間，不會受到主辦單位紅隊攻擊，其他隊伍若是卡關也能以積分，向主辦單位換取解題線索。</p> <p>甚至，競賽現場還有藍隊廠商進駐，每個隊伍也能用積分換取所需要的軟體工具，立即用於解決問題。</p> <p>另外，過去企業被DDoS攻擊，工程師可能會選擇關閉主機，但會造成服務停擺，使企業營業蒙受損失，所以在Defense的競賽中，隊伍如果遭受攻擊仍能保持服務不中斷就能累積積分，相反地，如果服務中斷，積分便不會增加。</p> <p>還有一個特別之處，那就是每個競賽隊伍都可以向外求援，不論是透過電話或是網路，甚至走出去求援都可以，相比之一，傳統的資安競賽設計，隊伍必須在固定的封閉場所，斷絕對外的通訊。「這和企業遭遇資安攻擊的真實情境相同，企業以各種方式尋求外部的援助，不論是朋友、找社群高手或是廠商。」。</p> <p>主辦單位也安排了另類的社交攻擊，由正妹拿著USB隨身碟，在比賽現場和參賽者交談，趁其不備之時，伺機插入隨身碟至參賽隊伍的設備上，一旦被插上主辦單位的紅隊就會偵測到，參賽隊伍就會被扣分。以此提高各個隊伍對實體設備的安全意識。</p> <p>對於國內企業的資安人員缺乏學習的管道，徐千洋建議現在坊間已有不少的資安訓練課程，在學費上也有政府的補助，可供想要學習的企業資安人員利用，HITCON也同時歡迎資安人員參加競賽。</p> </div></div></div>
2019/4/4 12:40作者蘇文彬https://www.ithome.com.tw/news/129766
【不只掌控能源，駭客更試圖操控金融及媒體】關鍵基礎設施面臨更險峻的威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>論及關鍵基礎設施，許多人可能會先想到的部分，大多與民生需求相關，像是供應油、水、電力的單位，一旦遭受攻擊，便會嚴重影響社會整體功能的運作，並且造成人民的財產損失，甚至是重大傷亡。</p> <p>然而，不只有形的關鍵基礎設施受到駭客覬覦，對於一般民眾獲得重大資訊的管道，也成為攻擊者下手的主要目標。</p> <p>趨勢科技資安研究群核心技術部資深協理張裕敏（Ziv）認為，接下來2年內，散播假消息或是假新聞的攻擊手法，將會更加氾濫，因此，在2019臺灣資安大會中，張裕敏特別針對關鍵基礎設施所面臨的威脅，進行演講，探討這些設施遭受攻擊時，所帶來的影響。</p> <p>到底，關鍵基礎設施遭受攻擊帶來的影響，會有多嚴重？張裕敏以委內瑞拉為例，供應該國8成電力的古里（Guri）水力發電廠出現異常，疑似遭受網路攻擊，委內瑞拉全國頓時陷入大停電，至今原因不明。</p> <p>雖然張裕敏表示，這起水力發電廠遭受攻擊的事件原因有待釐清，因此目前發生的因素眾說紛紜──有人說是人為疏失，也有人認為是恐怖攻擊，而委內瑞拉總統則是直接定調為網路攻擊事件。</p> <p>但我們從許多媒體報導來看，委內瑞拉因此攻擊發生大停電之後，隨之而來的影響已經逐漸擴大：首先是公部門與醫療院所停擺，民眾也因馬達無法運作，導致沒有水可用；再者，冰箱內的食物只能任其腐敗，但即使當地居民想要購買食物，由於收銀機不能使用，商店交易竟要求以美金交易，隨著該國一個多星期電力時好時壞，情況變得更加惡化，嚴重影響該國民生。</p> <p><strong><span style="font-size:28px;">駭客攻擊關鍵基礎設施門檻極低，資源隨手可得</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%94%BB%E6%93%8A%E8%B7%AF%E5%BE%91_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>駭客想要攻擊關鍵基礎設施的控制設備，難度比以往可說是大幅降低，張裕敏以美國能源局攻擊途徑的示意資料為例，駭客可從網際網路打到進入的破口，成功滲透之後再進行控制或是加以破壞。圖片來源／趨勢科技</strong></span></p> <p>張裕敏指出，光是水利設施遭受攻擊，古里水力發電廠並非首例。自西元2000年至今，水利設施受害的情況可說是不斷發生，他也舉出了近年來多起發電廠、石油公司等，被駭或是遭到控制的事件。</p> <p>一如現今的資安情勢攻防不對等，張裕敏說，駭客想要攻擊關鍵基礎設施，無論是所需的作案工具、攻擊手法、可利用的漏洞，乃至於尋找目標，都有現成的資源可用。</p> <p>以作案的工具而言，駭客在GitHub上，就能取得Industrial Exploitation Framework等軟體；而攻擊手法的部分，ICS ATT&CK Matrix則提供了各式能運用的方式。</p> <p>由於許多關鍵基礎設施裡的控制設備，普遍缺乏定期安裝修補軟體，駭客可從美國的ICS-CERT，或趨勢科技旗下的漏洞懸賞單位Zero Day Initiative（ZDI），找到已經被公開的漏洞加以濫用；最後是攻擊的目標，攻擊者可從物聯網搜尋引擎Shodan找尋，甚至，這個搜尋引擎還分門別類，能讓駭客尋找指定廠牌的設備下手。</p> <p><span style="font-size:28px;"><strong>媒體、金融、網路基礎設施成攻擊者的新目標</strong></span></p> <p>針對關鍵基礎設施的範圍，張裕敏說，其實相當的廣泛。他引用了我國行政院《國家關鍵基礎設施安全防護計畫指導綱要》的定義，不光是水資源和能源，還包含了政府機關、高科技園區、金融單位、醫療院所、交通，以及通訊傳播等方面。因此，雖然許多能源設施受到駭客攻擊，是與工業控制的操作科技（OT）安全有關，但其實與大眾「知」有關的通訊傳播，也同樣面臨嚴重的威脅。</p> <p>上述的8大類型關鍵基礎設施中，通訊媒體與其他型態所面臨的攻擊，相當不同。張裕敏指出，針對這種類型的關鍵基礎設施攻擊，駭客可能會針對電視臺、網路媒體，以及社群媒體下手之外，其實最容易聽到的，莫過於所謂的假新聞、假資訊，藉由資料再加工的作法──例如張冠李戴、過度解讀等，進而操控特定資訊，不只可能會導致錯誤決策，還會造成大眾的恐慌，甚至是引發民眾對政府的不信任危機，換言之，後續帶來影響程度最廣泛的，其實是這種通訊傳播基礎設施威脅。近期影響最大的事件之一，就是2016年美國總統大選期間，出現了大量濫發假消息的推特帳號。</p> <p>由於這種攻擊會摧毀人民對於政府的信任，因此包含臺灣在內的許多國家，都打算祭出相關的法規，但是，新聞媒體和社群網路的內容，又牽涉到人民的言論自由，各國政府想要加以防範假消息的推波助瀾，就變得更加困難。</p> <p>再者，張裕敏指出，金流與網路基礎設施，也是駭客近期下手的重要目標。前者駭客可鎖定後端的資訊系統或ATM，導致無法正常交易；由於現代人幾乎不能沒有網路，因此從DNS、路由器、無線網路、4G或5G網路下手，同樣是駭客入侵、竊取隱私的管道。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9C%AA%E5%91%BD%E5%90%8D-1(1).jpg" style="width: 500px;" /></p> <p><span style="font-size:28px;"><strong>關鍵基礎設施安全提升，同時仰賴全民視為己任</strong></span></p> <p>張裕敏舉出了一個關鍵基礎設施接連受到攻擊，導致無法運作的情境──自己下班之後，原本不想開車，打算改以搭乘大眾運輸系統回家，到車站發現停止運作而無法乘坐。但想要開車回家，加油時卻發現加油站的油價飆漲了2萬倍，利用僅存的汽油返家，路上的交通號誌全部變成綠燈，導致大家爭先恐後，想要使用平時倚賴的導航回家，此時手機和GPS完全沒有任何訊號。</p> <p>好不容易回到了家，卻發現自家的智慧門禁因為沒電而無法開門，找出備用鑰匙進到家裡，廣播沒有聲音，電視也沒有任何畫面。到附近商店採買食物，信用卡與各種支付方式都無法使用，導致所有人臨櫃提領現金，隊伍大排長龍。</p> <p>終於，家裡的電力恢復，可是一打開電視，卻淨是怪異的報導，表示有目擊者看到，前述的異常事件是外星人所為。張裕敏說，上述的一連串情境，大多人可能會認為相當離譜，但實際上，在2013年發生的一起攻擊事件裡，就涵蓋其中8成的內容，因此，張裕敏認為，若是有一天真的接連發生，並非不可能，希望大家正視關鍵基礎設施的安全議題。</p> <p>至於因應關鍵基礎設施攻擊涉及範圍如此廣大、駭客又容易發動攻擊的情勢，張裕敏則提出了心法，包含了關鍵基礎設施單位與一般民眾的層面──針對上述的單位而言，他認為要參考各國制訂的綱要、指引文件，還有防護的措施，並且尋求資安公司的協助等，進而強化資訊安全；而對於一般民眾而言，若是能在發現不尋常的現象時，提高警覺，並進行通報，或許能及時阻止一場攻擊關鍵基礎設施的事件。</p> <p>張裕敏舉例，像是臺北市的智慧公車站中，可能預備了提供維護所用的USB埠，若是發現有不明人士連接了USB隨身碟，民眾通報警方到場關切，很可能就避免了這類交通系統遭受入侵的情況。</p> </div></div></div>
2019/4/4 10:00作者周峻佑https://www.ithome.com.tw/news/129721
【關鍵資安議題：容器安全】剖析容器的資安風險與防護
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wei_ming_ming_-4.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">Docker容器技術將應用程序虛擬化，比起傳統熟知的虛擬器技術更加輕量，具備檔案小、執行效能高、服務啟用及部署速度高等優點，我們可以在相同的主機資源下，建立大量的容器服務。</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近來，在各大資訊媒體中，經常可見到一隻藍色鯨魚載著一堆方塊的標誌圖案，這隻火紅的鯨魚商標是Docker公司，也成為現今廣為關注的容器技術（Container）代表標誌。</p> <p><span style="font-size:28px;"><strong>崛起中的容器技術</strong></span></p> <p>容器技術的存在時間不算短，但直至Docker平臺問世，將容器技術以更成熟且簡單方便的模式，帶入應用市場中，解決傳統在應用程式服務的開發、運行和部署之間的鴻溝瓶頸，進而提供一套有效完善的解決方案。</p> <p>也因此，容器技術開拓了很多新的層面，例如：系統部署方式（輕量虛擬化、雲端應用、微服務、無伺服器、邊際運算等）以及應用開發方法（DevOps、CI/CD等）的改變，有如加裝噴射引擎般的推動，而獲得不少幫助。</p> <p>除此之外，在2015年，微軟公司正式加入Docker容器技術的支援，過往在系統應用開發上，須面臨Linux與Windows這二大系統派別的選擇難題，如今得以解決，更遑論該項技術對於雲端平臺的相容性，而使其更加有彈性，這讓服務應用的設計、開發上，能免除以往諸多的執行環境限制與困擾。</p> <p>簡而言之，容器技術是一種輕量的虛擬化方式，它將運行一個系統或應用程式所需的必要作業系統核心、程式編譯及函式庫等，進行打包封裝，而其餘的部分，則共用底層作業系統資源，至於Docker平臺本身，則是銜接各個容器與主機作業系統之間的控制器。</p> <p>基本上，容器技術跟市場熟知的VM（Virtual Machine）虛擬器技術，是不一樣的技術概念跟應用情境。我認為，若以簡單的界分方式來看，對於以應用服務為主要任務目標，Container容器技術是最佳的選擇方案，而對於以基礎架構為主要需求的使用場景，VM虛擬器則是比較好的選擇。</p> <p>透過圖解，我們可看到VM虛擬器與Docker容器技術的架構差異，基本上，VM虛擬器的結構是比較能夠被理解的，可簡單認知為：把一臺實體模式的伺服器主機，轉換成邏輯的虛擬系統主機，因此，在諸多資安風險、攻擊威脅、甚至修補防護機制的運用上，多半可以直接套用思考模式；但容器技術的架構，則是應用服務環境虛擬化的概念，可視作依據特定應用程式為主的安全固化（Harden）、且系統環境可經過優化包裝，甚至更為單純。</p> <p><span style="font-size:28px;"><strong>Docker容器可能的資安風險</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/C2_OWASP-%20Docker%20Security%202017.png" style="width: 500px;" /></p> <p><span style="color: rgb(128, 128, 128);"><strong>Docker容器技術是將既有的應用程序及系統模式重新建構的新模式，因此，仍舊可能遭受來自不同維度的已知資安攻擊威脅。對此，OWASP組織建立OWASP Docker Top 10的安全控制建議。　</strong>資料來源<span lang="zh-TW" xml:lang="zh-TW">／</span>OWASP- Docker Security 2017</span></p> <p>Docker所引領出的容器技術，確實帶來許多的革新與方便，但是其存在的安全風險則仍被持續發現探索中。接下來，僅以Docker為容器技術代表，分析容器技術應用的資安風險。</p> <p>如前面所提到，容器技術也是虛擬化的一種方式，但由於容器的技術架構有別於傳統作業系統及VM虛擬器，因此，對於相同類型的資安風險及威脅手法，則必須以容器技術結構來審視思考。</p> <p>我們可以OWASP於2017年的一份Docker Security報告中，看到可能的攻擊維度，大致可從Docker容器技術的主要結構來分析，包括：基礎層的系統主機（Host）、運行的主體Docker系統、封裝的容器檔、以及系統應用程序之間的溝通運行，共四個層面；但Docker容器技術的應用，並不單單只是提供另一種虛擬化方式，而是因為Docker容器技術的可控性及可標準化，進而應用在持續性整合與交付（CI/CD）及軟體敏捷開發流程（DevOps），因此，Docker容器的系統結構一旦發生安全問題，將嚴重影響整個應用服務的安全可靠性。以下我將從4大層面，逐一討論存在的資安風險威脅。</p> <p><span style="font-size:22px;"><span style="color:#3399ff;"><strong>1.基礎架構及作業系統層的保護</strong></span></span></p> <p>Docker容器系統與服務，仍需在基礎架構以，及作業系統（Linux或Windows）上建立，以及運行，因此，對於傳統的網路通訊管控、漏洞掃描修補、系統存取控制及帳號權限管控等，都是基本必要的安全項目，否則駭客一旦「放大絕」，將運行Docker容器服務的整個基礎架構，以及作業系統，進行提權控制或毀損侵害，結果就如同整個機房毀損故障的慘狀。</p> <p>不過，如同前述所言，Docker容器是將應用程序為主的輕量虛擬化方式執行，換句話說，作業系統本身就不需要安裝，以及存在該支應用程序，所以，在安全檢測與管控上，將可以更明確的界分。</p> <p>舉例來說，過往建立一個網站應用服務時，必須在作業系統上安裝Apache程式或啟用IIS元件，所以，當作Apache或IIS存在安全風險時，就會發生對作業系統交互影響的威脅。但是，如果改為利用Docker容器服務時，Apache及IIS是以應用程序虛擬化的方式存在，此時，對於作業系統的安全性影響有限。</p> <p><span style="font-size:22px;"><span style="color:#3399ff;"><strong>2.Docker平臺的保護</strong></span></span></p> <p>由於Docker是容器掛載運行的控制平臺，因此，Docker系統本身的安全性更顯重要。以今年初揭露的相關新聞「容器執行元件runC含有容器逃逸漏洞（CVE-2019-5736）」為例，包括：Docker、containerd及CRI-O等支援runC標準化的容器平臺，都受到波及，同時，也影響多個雲端服務平臺（GCP、AWS、Red Hat），以及數個Linux發行版。</p> <p>在這個漏洞當中，允許惡意容器透過該漏洞覆蓋runC的二進位檔案，並取得容器主機端的最高權限而得以執行命令。此外，這個漏洞的POC（概念性驗證）也已經出現漏洞利用的程式碼，並發布在GitHub，這意謂已是可被實作的攻擊威脅。</p> <p>除了Docker系統本身的安全外，管理者也必須避免將root權限共用於容器服務，因此，需將容器的root使用者，改對應到本機上的非root使用者，並且只允許Docker系統在非root權限下執行，僅限縮在特定的操作設定方面（例如：虛擬網路設定、檔案系統管理、配置操作等）。</p> <p><span style="font-size:22px;"><span style="color:#3399ff;"><strong>3.容器資源的保護</strong></span></span></p> <p class="rtecenter"><span style="color: rgb(128, 128, 128);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/C3_Docker%20Hub.png" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);"><strong>Docker Hub為Docker官方維護的公開映像檔倉庫，已有超過100,000個容器映像檔可供利用。它們來自各大型商業軟體廠商、開源軟體及社群組織，除了Linux 版本的作業系統及應用程式外，也包括Microsoft版本的多項企業主要應用程式（例如，MS SQL、IIS、ASP.NET等）；使用時，建議選擇官方釋出或經過驗證的容器映像檔版本為佳。</strong></span></p> <p>容器資源所指的部分，是將特定應用程式系統封裝好的映像檔。這些映像檔的來源，除了使用者自己建立之外，目前絕大多數會取用來自於外界已經封裝好的版本使用。一般而言，我們可以到Docker Hub搜尋資源，並佈建於Docker平臺上使用，也可以再加工封裝成自己所需要的版本。</p> <p>不過，根據Snyk資安公司於2019年所發布的《The State of Open source Security Report》」當中提到，他們掃描了Docker Hub中10個最受歡迎的Docker映像檔，結果發現當中的每一個映像檔，都包含了存在不少漏洞的系統函式庫。</p> <p>因此，我建議各位在選擇容器資源時，應以DockerCertified或是已經被驗證過的發布者（Verified Publisher）及官方公布的容器映像檔為佳，並且是取得最近更新的版本。</p> <p>此外，如果企業是自建容器映像的Private docker registry登錄，加以管理，本身除了做好對此的存取權限管控外，對容器映像檔進行弱點掃描及惡意程式檢測的作業，應該透過自動化的方式來進行，以確保容器遭受竄改，並避免有問題的容器被啟用服務。</p> <p><span style="font-size:22px;"><span style="color:#3399ff;"><strong>4.操作權限的保護：</strong></span></span></p> <p>Docker容器的操作權限，可概分為二者：Docker系統自身及容器服務。Docker系統自身的操作權限安全，我在上述第二點已經提到；而容器服務的部份，本身則是一個應用程序的虛擬體，所以自身除了已封裝在內的應用程序及相關系統資源以外，基本上，不需要真正的root權限。舉例來說：</p> <ul><li><span style="font-size:18px;"><strong>ssh存取是由系統主機的ssh服務管理，所以，容器並不特別需要root權限。</strong></span></li> <li><span style="font-size:18px;"><strong>cron是用作排程執行，其權限是交由主要使用cron服務的應用程式處理，所以，容器並不特別需要root權限。</strong></span></li> <li><span style="font-size:18px;"><strong>Syslogd服務為日誌系統，主要由Docker系統或第三方服務管理，所以，容器並不特別需要root權限。</strong></span></li> <li><span style="font-size:18px;"><strong>硬體管理及網路設定等部分與容器無關，所以，容器也不需要執行udevd或類似的服務。</strong></span></li> </ul><p>因此，容器真正要做好的部分，就是自身的應用程序服務，對於Docker容器管理者及使用者而言，應該盡量避免不必要的權限。我建議，應注意以下的容器權限管制：</p> <ul><li><span style="font-size:18px;"><strong>限制任何檔案掛載操作（可利用Data Volumes及Data Volumes Containers）</strong></span></li> <li><span style="font-size:18px;"><strong>限制直接存取本機的Socket通訊</strong></span></li> <li><span style="font-size:18px;"><strong>限制檔案系統操作、新增裝置、修改檔案屬性等</strong></span></li> <li><span style="font-size:18px;"><strong>限制載入核心模組</strong></span></li> </ul><p>實施上述作法的目的，是為了避免駭客取得容器中的root權限時，仍無法取得本機系統的最高權限，藉此降低威脅風險。當然，在一些特殊的容器應用下，還是需要開放部分的特殊權限，不過，容器的權限設計上，的確比傳統模式更容易區隔。</p> <p>以Oracle、MySQL、MS SQL等資料庫系統為例，在傳統使用模式下，往往DBA要求系統管理者提供系統最高權限，以確保資料庫系統運行的各種情況；但在容器服務的環境下，則能夠提供一個更妥適的方式。</p> <p>此外，由於容器服務之間，主要透過API的方式來相互溝通，以構成完整的應用服務，所以，我們也必須確保，容器服務之間是以TLS v1.1以上安全驗證方式來通訊。整體而言，這些都是強化權限安全的方法。</p> <p><strong>快速認識容器技術與Docker</strong></p> <p>容器的概念，可追溯於1979年時Unix系統中的Chroot功能設計，發展至LXC（Linux Container）做為容器技術概念的實現。隨著Linux CGroups及Namespace等技術的發展而變得更完整。</p> <p>之後，在2013年DotCloud（即Docker公司前身）所推出的開源容器Docker後，開始點燃容器技術的熱潮。</p> <p>雖然最初容器技術以Linux系統環境為主，但在2015年，微軟也在Windows Server加入容器技術，並且正式提供Windows系統環境的容器支援。</p> <p><span style="font-size:28px;"><strong>建立更敏捷快速的資安反應</strong></span></p> <p>Docker容器技術是個非常有趣的新趨勢，幾乎對於近幾年所討論的議題，如SDN、Cloud Services、IoT、Micro Services、DevOps，以及Serverless、Edge Computing，似乎都可以利用容器技術，設計出更敏捷、方便、好操控的架構。</p> <p>因此，在Docker容器的「創建階段」到「交付上線」過程中，我建議，以系統發展生命周期（SDLC）來確保應用服務的安全可靠性，但由於容器技術更著眼於敏捷速度（畢竟，應用程式開發跟環境設定條件已經由開發者配置好，而維運單位則是提供容器運行的基礎資源配置）所以，前端及後端的作業如果都依照前述方式準備好，此時，唯一必須要確認的部分，就是交付上線前的安全檢測。</p> <p>為了避免此一作業過程耗時費工（以傳統方式而言，需進行弱點及安全檢測後，再由開發者、系統及網路管理者，進行多方討論與改善修正），所以，檢測作業也必須具備敏捷快速的方式，以自動化整合在SDLC流程中，發現容器映像檔存在問題元件及惡意程式，則自動通報或退回開發者，進行重新調整封裝；當完成交付上線後，則持續針對啟用的容器服務進行安全監測，一旦後續又發現新暴露的漏洞利用，則自動通報與進行政策控制。</p> <p><span style="font-size:28px;"><strong>駭客攻佔目標時間越來越短，防守端的資安反應須更敏捷</strong></span></p> <p>由於Docker容器技術是應用程序的虛擬化，在程式碼更換異動時，可確保應用服務持續可用，並且不會與底層系統核心及相依服務元件有太多的瓜葛，所以，對於版本更新汰換作業上，可提供更便利的作業方式。</p> <p>過往大多數的資安事件都是肇始於「存在安全問題的版本更新修補不易」的因素，因而讓駭客有充足時間執行。更可怕的是，根據近期美國資安業者CrowdStrike的資料，各國駭客從外部入侵目標系統至成功達陣所需時間，俄羅斯駭客集團Bear，僅用了18分鐘，次者為北韓駭客集團，也僅需2小時多，而這樣的攻擊速度，非常值得我們再次深思自身的資安反應敏捷性。<strong>文☉創泓科技資深技術顧問Jim Huang</strong>、<strong><a href="http://www.eslite.com/product.aspx?pgid=10099161842746130" target="_blank"><span style="color: rgb(178, 34, 34);">本文出自《iThome 2019臺灣資安年鑑》</span></a></strong></p> </div></div></div>
2019/4/4 09:00未署名https://www.ithome.com.tw/article/129426
【關鍵資安議題：弱點管理】當資安成為顯學，產品安全應成企業必要投資
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wei_ming_ming_-5.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">透過執行事件應變既定 SOP，Synology PSIRT成功在 24 小時內修復源於開放原始碼、針對蘋果通訊協定 AFP 實作上的漏洞，有效降低被攻擊的可能。</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年國際資安事件頻傳，加上日趨多元的勒索病毒型態防不勝防，越來越多企業的資訊安全意識開始抬頭，同時，也進一步啟動相關配套措施，資安的重要性逐漸浮上檯面。</p> <p>對於群暉科技（Synology）而言，更是如此。在強化產品資訊安全的工作上，我們是臺灣第一家獲得 CNA 認證的公司，因此可為自家產品指派 CVE ID權限。</p> <p>過去兩年以來，群暉科技投注不少資源在精進產品安全的部份。除了於 2016 年特別成立產品安全事件應變團隊（PSIRT），專職負責 Synology 產品安全事件的緊急應變外，也積極參與 CNA、FIRST 等國際資安組織，以及推出安全性弱點獎金計畫，透過與外部研究人員、資安社群的協作，持續布局前瞻性系統架構，為企業的產品資訊安全把關。</p> <p>回顧Synology PSIRT 兩年的具體成績，在SambaCry、Dnsmasq 與 WPA2 等嚴重問題爆發時，不僅在24小時內修復漏洞，更能於第一時間發出安全性諮詢（Security Advisory）通知使用者，並發布 DSM （Diskstation Manager）與 SRM （Synology Router Manager）安全性更新。</p> <p>我們也因為仰賴這些實戰經驗的累積，得以逐步建立資安危機處理的SOP，讓事件應變流程更臻完善。</p> <p>整體而言，「產品安全」和「事件應變」為Synology PSIRT的兩大主要業務，當中也包含：在產品研發過程中，檢視系統設計之安全性，並即時監看資安社群揭露的弱點，例如新的 CVE、來自其他廠商與第三方平臺的安全性訊息，以及國際資安新聞監測等，藉此蒐集所有跟 Synology 產品相關的情報，一旦發生資安事件，便能立即進行危機處理。</p> <p>除了因應來自外部的風險，作為一家產品線涵蓋 NAS 、網通、監控產品的公司，我們也在內部產品的開發上，極力做到事前的資安風險控管。</p> <p>例如，我們的PSIRT 在 2017年，開始推動產品安全保證流程，秉持風險最小化原則，在軟體開發的設計上，導入Security by Design 和 Security by Default的概念，從最初的產品設計環節即落實資安控管。以系統設計而言，明確規範Input / Output 的輸入指令來清楚定義執行動作，避免產生多餘邏輯或額外程式碼，也能有效降低具資安疑慮之行為被觸發的機會。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%BE%A4%E6%9A%89PSIRT-3.png" style="width: 500px;" /></p> <p><span style="color: rgb(128, 128, 128);"><strong>接軌國際資安社群<span lang="zh-TW" xml:lang="zh-TW">，</span>實質上能帶給企業許多幫助，讓企業得以在漏洞揭露前即著手進行修補，因此<span lang="zh-TW" xml:lang="zh-TW">，</span> Synology PSIRT 積極參與 CNA、FIRST 等國際資安社群<span lang="zh-TW" xml:lang="zh-TW">，</span>以強化風向觀測。</strong></span></p> <p><span style="font-size:28px;"><strong>產品安全事件及時因應四步驟</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%BE%A4%E6%9A%89PSIRT-2.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>以 Synology PSIRT 執行事件應變的經驗出發，建議以發現問題、評估問題的安全等級、修補問題，以及揭露問題等四個步驟，在事件觸發當下，盡快採取相對應行動，防止傷害擴大。</strong></span></p> <p>在資安事件應變方面，接下來，我們就以去年 12 月底發生的「Synology-SA-18:62 Netatalk」事件為例，說明處理方式。</p> <p>這個出於開放原碼、針對蘋果通訊協定 Apple Filing Protocol（AFP）實作的漏洞，讓攻擊者能夠直接侵入群暉的DSM、SRM 系統，取得可執行任意動作的最高管理權限。</p> <p>由於直接危害到系統安全，此漏洞的安全性等級被評為「危險（Critical）」。而我們透過 PSIRT 執行事件應變時的既定 SOP：發現問題、評估問題的安全等級、修補問題，以及揭露問題等四個步驟，在事件觸發當下採取行動，於是，成功在 24 小時內完成修復，我們也在這類攻擊的概念驗證程式被廣泛流傳前，完成修補，有效降低被攻擊的可能。</p> <p>這支漏洞如果處理不好，其影響足以比擬群暉科技先前面臨的SambaCry重大資安事件。而這也驗證了一件事：在企業內部建立產品安全事件團隊，以及相對應的跨部門組織協作支援，能有效為企業的資訊安全把關。</p> <p>對於一般企業的資安工作而言，以 Synology PSIRT 執行事件應變經驗出發，我們建議，企業應建立回報問題的管道，以做到第一個步驟：「發現問題」。</p> <p>對此，目前相關的資安研究員可透過下列電子郵件信箱：<a href="mailto:[email protected]">[email protected]</a>或<a href="mailto:[email protected]">[email protected]</a>，向我們回報與 Synology 產品相關弱點。而這次 Netatalk事件即是研究人員主動通報，讓我們在第三方平臺發布漏洞前掌握先機，並於接獲通報的 3 小時內，迅速進入第二步：「評估問題的安全等級」階段。</p> <p>在此階段當中，產品安全團隊需釐清問題發生的原因，並依問題嚴重程度決定後續的因應措施，例如，修補問題時所涉及的部門與所需修復時間，並即刻知會組織內部的所有利益關係人，以開始後續應對流程。</p> <p>而關鍵第三步：「修補問題」則相當倚賴跨部門的組織協作。以這次事件所組成的緊急安全小組為例，該小組即包括負責修改與檢驗程式碼的 PSIRT、負責產品功能的研發部門、負責檢驗修補的品質控管（QC）團隊、處理後續技術問題的後勤支援部門、需掌握整體修補上線時程的產品管理部門，以及軟體更新後負責後台上架的 MIS 部門，甚至行銷部門也必須掌握最新進度，方能透過發送電子報向用戶溝通並更新資訊。</p> <p>總結來說，每起資安事件的應對，都是不斷學習優化的過程。除了回頭檢視整體產品線的安全性，我們也在每起事件發生後，重新檢討流程的運作邏輯。</p> <p>比方說，如何將漏洞的修改範圍縮到最小，並在最不影響使用者的情況下完成問題修補。</p> <p>以這次的事件而言，因重啟 Netatalk 的中斷時間極短，只要能避免系統重新啟動，使用者就不會感覺到服務中斷。</p> <p>最後，企業要確保各部門隨時準備好應對突發事件、縮短部門間工作輪替產生的時間落差等，都能使企業在面對資安事件時的溝通更加順暢，讓應變一步到位。</p> <p><span style="font-size:28px;"><strong>盤點內部資源，培養資安意識</strong></span></p> <p>然而，並非每家企業都有資源組成 PSIRT 這樣的資安團隊，但即便沒有專屬的安全團隊，在進行企業整體資安架構盤點時，仍有一些通用準則可以遵循。例如，由美國國家標準與技術研究所（NIST）提出的資安框架，就是十分值得企業參考的資安架構。</p> <p>CSF 列舉出企業資安架構的注意清單，主要探討資安的 5 大面向，包含識別與列管資產、採取的防禦措施、偵測威脅機制、攻擊因應，以及災害復原等，企業可以重新檢視現況，找出自身弱點並逐步加強。</p> <p>平時，企業就應針對內部資安架構，進行防範未然的措施。若依循以上的資安架構，首先，我們可盤點目前現有資源，執行災難復原演練，事前規畫發生問題時的應對方式，評估有無修補能力，並與原廠及系統整合商維繫順暢溝通管道，才能在事件發生時立即取得支援。</p> <p>事實上，我們也從過去處理經驗，學到重點，那就是：資安情報的取得十分關鍵。</p> <p>對於一個完善的企業資安架構而言，並不是在 2013 年做到 100 分，而到了 2018 年還能適用。唯有隨時保持彈性，才能面對日新月異的威脅攻擊。這也是為什麼 Synology PSIRT 這兩年積極參與 CNA、FIRST 等國際資安社群的原因。</p> <p>而就一般企業的角度來看，須積極觀測風向以確保情報來源暢通。以這兩年發生的 KRACKs 與 Meltdown / Spectre 為例，這兩起事件皆是由主導資安事件揭露的國際資安組織 ICASI與OASIS 所揭露，但只有這兩個組織的會員可以在第一時間獲得相關情報。由此可見，與國際資安社群接軌，能為企業帶來許多實質幫助，讓企業在漏洞揭露前便能搶先進行修補。</p> <p>「沒有百分之百安全的產品，但我們可以做到最好的風險控管」是群暉持續強調的概念。除事前過濾風險，資安事件發生時，企業也應做到最快且確實的因應。</p> <p>目前，Synology PSIRT 已從 2016 年最初的兩人團隊，成長到現在的五人編制，並持續與 AIS3 合作，尋找優秀資安人才。我們認為，如果一間公司在意自身產品，並將安全性視作產品品質的重要一環，資安將是絕對必要的投資。<strong>文⊙群暉科技產品事件安全應變組經理李宜謙、<a href="http://www.eslite.com/product.aspx?pgid=10099161842746130" target="_blank"><span style="color: rgb(178, 34, 34);">本文出自《iThome 2019臺灣資安年鑑》</span></a></strong></p> </div></div></div>
2019/4/4 09:00未署名https://www.ithome.com.tw/article/129570
【iThome 企業資安大調查】為何企業資安防護擋不住攻擊？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/913_feng_mian_-p34-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div id="_idContainer056"> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 28px;"><strong>iThome 2019年資安大調查問卷執行說明</strong></span></span></p> </div> <div id="_idContainer136"> <p><span style="color: rgb(105, 105, 105);"><strong>調查對象涵蓋了臺灣2千大企業，搭配iThome歷屆CIO大調查企業中的資訊部門最高主管，及政府一級機構、大專院校資訊主管和資安主管等，來進行線上問卷調查。調查從2019年1月21日到2月19日結束，回收488份問卷，有效問卷數382份。其中有72.1％填答者是企業資安最高主管。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P34-600-1(1).jpg" style="width: 660px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P34-600-2(2).jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P34-600-3(1).jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P34-600-4(1).jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P34-400-5.jpg" style="width: 400px;" /></p> <p><strong>資安防護信心分數計算方式：</strong><br /> 按企業CIO 和IT 主管自評，對自家資安防護分為極有信心（100 分）、非常有信心（80分）、大致上有信心（60 分）、只有一點點信心（40 分）、沒有信心（20 分），再依作答人數百分比作為權重相乘，計算出總分為61.4 分。</p> </div> </div></div></div>
2019/4/4 09:00未署名https://www.ithome.com.tw/article/129627
【臺灣資安大會直擊】IBM以知識圖譜技術重建APT攻擊者痕跡，更要推論出企業未來容易受攻擊的潛在弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「當你的公司遭到入侵的時候，你怎麼在最快的速度找到攻擊者？」2019臺灣資安大會中，IBM軟體研發中心台北實驗室、研創團隊負責人林俊叡指出，未來進階持續性威脅（Advanced Persistent Threat, APT）將越來越常見，如何掌握攻擊者的犯罪手法（Tactics, Techniques, and Procedures, TTP）、發掘潛在的危機，甚至防堵未來的攻擊，AI將扮演重要角色。</p> <p>他引述世界經濟論壇2019全球風險調查結果，資料詐欺或竊取（Data fraud or theft）、網路攻擊（Cyber-attacks）的發生率分別是第4、5名；網路攻擊、重要資訊基礎建設故障（Critical information infrastructure breakdown）的衝擊力也佔據第7、8名，由此可知，網路攻擊是2019年需要慎防的問題。</p> <p>而網路攻擊的動機又可大致分為4種，分別是獲取資訊（Access to information）、獲取財物（Financial profit）、駭客行為（Hacktivism）、網路戰（Cyberwar）。2018年獲取資訊（45%）的案例勝過獲取財物（33%），但在金融界，網路攻擊的目的仍以獲取財物為主。</p> <p>以搶銀行組織APT 38為例，這個駭客組織的任務動機是財務導向，他們使用網路間諜攻擊手法，曾經部署26支客製化的惡意軟體在目標對象的網路與系統架構，更能隨著防毒軟體的更新而進階修正、不被偵測；從威脅情資報告中，也難以察覺攻擊者的目的與身分。</p> <p>林俊叡更表示，等到對方要撤退時，可能先大規模癱瘓硬體設備，讓銀行顧此失彼無暇抓人，更甚者還留下其他Malware來誤導調查。因此，未來APT的威脅將更難以預測，「如何在對方達成目的之前，先用犯罪的線索找到幕後黑手，就是IBM在資安引進AI技術想要實現的目標」。</p> <p><strong>靠AI自動產生資安報，引進Knowledge Graph推論潛在危機</strong></p> <p>「找出攻擊者為什麼重要？」林俊叡表示，市面上的防毒軟體功能，大多僅為了掃描入侵威脅、阻擋問題IP、修補安全漏洞等，無法更積極地推論出攻擊者的目的、找到他是誰，進而阻擋新型態的APT攻擊；就連IBM持續針對內部的攻擊（Offenses）進行分析，也有高達99%在現有威脅情資報告中找不出攻擊者。</p> <p>因此，IBM開始在產品中使用了知識圖譜技術（Knowledge Graph）技術來偵查網路犯罪的痕跡，先蒐集企業內部的「疑似攻擊資訊」後，將可疑的IP、檔案雜湊值（Hash）以及網域（Domain）等資料，與知識圖譜資料庫內的資訊來比對，不只可以找出這些來自企業內疑似攻擊資訊間的關連，甚至可以擴大找出更多情報，例如從可疑 IP的相關知識圖譜資訊，可以進一步找出此IP背後相關的攻擊者或病毒家族（Malware Family），再從這些攻擊者過去手法的情報，進一步推測駭客這次攻擊這家企業的可能目的。過去得透過資安研究員層層人工解讀、比對才能繪製出來的攻擊脈絡痕跡，IBM首次應用知識圖譜技術後，現在可以自動完成一份資安報告，來推論潛在威脅供企業或資安人員參考。</p> <p>IBM先利用文字處理AI技術，大量擷取各種非結構化的資料，包括資安新聞、最新研究報告、資安通報等，來建構一套資安知識圖譜，例如繪製出一個攻擊木馬excel檔，背後相關的攻擊者、攻擊事件、類似攻擊木馬或手法等脈絡情靠，再利用AI技術來推論潛在威脅，並自動產生一份結構化的情資威脅報告。</p> <p>為了先建立一套可用來推論潛在威脅用的資安知識圖譜模型，IBM資安實驗室先利用US-CERT網路安全情報（Cyber Security Intelligence, CSI）的入侵指標（Indicators of Compromise, IOC）進行ML訓練，將訓練用的資料分出十分之一，作為測試驗證效果用的資料，反覆訓練與測試後，目前這個知識圖譜已有超過80%的正確率；IBM也用於分析IBM內部發生過的攻擊事件資訊，過去99%的情況下都無法辨認攻擊者，現在採用知識圖譜模型可以找出93%事件背後的攻擊者。</p> <p>林俊叡說明：「從駭客所部署在企業內的小東西，可以推測出到底是誰在攻擊你。」就像警察尋找連鎖犯罪一樣，同一個犯罪組織、或相似攻擊目的的攻擊程式可以找出共同性。但是各種情報資料非常龐大，透過AI自動產生威脅情資報告，就可以在可能遭駭客攻擊的途徑中進行防禦。例如透過重新調整網路架構，有效避開特定類型的網路攻擊等。</p> <p>至於為何不用ML技術，林俊叡解釋，採用ML會有黑箱方法的疑慮，可能產出無法解釋的結果，但若使用Knowledge Graph來推論攻擊痕跡，則較容易解釋推論過程。</p> </div></div></div>
2019/4/3 16:19作者翁芊儒https://www.ithome.com.tw/news/129549
微軟正式發布Visual Studio 2019，內建程式碼協作功能Live Share
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/visualstudio/visual-studio-2019-code-faster-work-smarter-create-the-future/">微軟正式發布Visual Studio 2019</a>。Visual Studio 2019重新設計了圖標以及起始頁面，程式碼編輯功能也大幅更新，在去年12月釋出第一個預覽版，現在終於釋出正式版。</p> <p>微軟檢討了Visual Studio 2017開發程式的流程，針對打開專案到真正撰寫第一行程式碼中間的過程進行簡化，Visual Studio 2019改進Git的操作，不論在複製程式碼儲存庫，或是打開既有專案和資料夾，都更加方便簡單，在模板選擇介面也做出更新，讓開發者用更直覺的方式開啟新專案。</p> <p>在使用者介面上，Visual Studio 2019使用了新的藍色主題並提高對比度，整體介面更加清楚，微軟為程式碼導覽增加視窗左下方的文件健康指示器，會顯示文件中錯誤與警告的數量，點擊圖標可以取得錯誤列表，而程式碼清理功能，則能應用多個重構規則，更簡單地修復錯誤與警告。</p> <p>程式碼除錯功能部分，新增了.NET Core應用程式資料中斷點，讓開發者可以在變數數值改變時才中斷應用程式，方便開發者對資料流進行除錯，而程式碼導師Visual Studio IntelliCode也提供人工智慧輔助，加速程式碼撰寫，並減少錯誤發生。</p> <p>另外，在去年5月Build 2018推出的遠端程式碼協作服務Live Share，隨著Visual Studio 2019正式發布Live Share也釋出正式版，而<a href="https://devblogs.microsoft.com/visualstudio/live-share-now-included-with-visual-studio-2019/">Visual Studio 2019將直接內建Live Share</a>。Live Share可以讓開發者與其他團隊成員進行即時協作開發，遠端共享程式碼、協作編輯以及進行除錯，而且不需要複製程式碼或是麻煩地重新配置環境，Live Share能分享專案的完整環境，而不僅是Visual Studio中的程式碼，還包括擴充套件。</p> <p>Live Share從去年發布以來，進行了不少更新，包括新增唯讀模式，支援C++與Python程式語言，也讓訪客能開啟除錯對話（Session）。微軟也與第三方擴充套件合作，開發者於Live Share正式版開始，能使用擴充套件強化即時共享功能，像是擴充套件OzCode能提供視覺化C#除錯功能，CodeStream可以讓開發者為任意一行程式碼增加註解，方便團隊討論。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/visualstudio/wp-content/uploads/sites/4/2019/04/word-image-1.gif" style="width: 600px;" /></p> </div></div></div>
2019/4/3 15:10作者李建興https://www.ithome.com.tw/news/129770
新加坡立法打擊假新聞，被政府認定觸法者最高判處10年徒刑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為打擊假新聞，<a href="https://www.parliament.gov.sg/docs/default-source/default-document-library/protection-from-online-falsehoods-and-manipulation-bill10-2019.pdf" target="_blank">新加坡一項新法草案</a>計畫讓政府可全權認定網路上的訊息是否為假新聞，散佈假新聞的個人及平台皆可判處重刑，引發箝制言論自由的疑慮。</p> <p>新加坡政府向立法局遞交一份名為《防止網路虛假與操弄法案》（Protections From Online Falsehood and Manipulation Act 2019）的草案</p> <p>該法案開宗明義指出旨在防止假言論以電子通訊形式傳播，打擊傳播此類內容的網路帳號與提升網路政治廣告的透明度。法令禁止人民在星國內外散佈假消息危害國家安全、公共健康、社會及經濟穩定性、總統與議員選舉及星國外交關係，激化不同族群的人民仇恨、打擊國人對政府信心，且政府有權可出手干預。違者可處以個人最高5 萬元新加坡元或／及5年以下徒刑，但牽涉使用帳號或機器人軟體散佈假新聞，最高可判10年徒刑。</p> <p>另外，製作網路機器人軟體或提供通訊服務支持散佈假訊息者，該法也擬處以個人最高6萬新加坡元或／及6年以下徒刑，但團體最高可處以100萬新加坡元罰金。</p> <p>此法顯然也使Google、臉書、推特等社群媒體必須為假新聞負上責任。<a href="https://www.aicasia.org/wp-content/uploads/2019/04/AIC-statement-Singapore-Protection-from-Online-Falsehoods-and-Manipulation-Bill-1-April-2019-1.pdf" target="_blank">由Yahoo、Google及eBay組成的亞洲線上聯盟（Asia Online Coalition，AIC）抨擊</a>本法可能傷害網路言論自由。AIC表示，雖然該聯盟支持星國政府確保社會凝聚、和諧及機構與政治運作完整性的目標，但基於本法對星國產業、媒體及公民社會，以及對國際影響層面之廣，AIC對法案草擬期間未能提供公眾廣泛討論「感到失望」。</p> <p>AIC重申，頭痛醫頭式的立法並非解決複雜議題的最佳方案，而且本草案賦予新加坡政府全權判定什麼是真新聞、什麼是假新聞也令該組織感到擔憂。AIC稱本法是同類中權力最大的法律，對言論和表達自由有重大風險，也可能對新加坡甚至世界帶來嚴重影響。</p> <p><a href="http://theindependent.sg/impending-bill-gives-sg-govt-full-discretion-to-decide-what-is-fake-news-and-what-is-not/" target="_blank">新加坡版《The Independent》引述</a>臉書公共政策副總裁Simon Milner的郵件指出，這項法案給了新加坡行政機關廣泛權力，迫使臉書移除他們認定是假新聞的內容，並需推播政府政令給他人。</p> <p>臉書強調提供人民自由與安全表達言論是臉書的重要價值，該公司有責任以謹慎態度處理任何政府提出移除不實訊息的要求。</p> <p><a href="https://www.nytimes.com/2019/04/01/world/asia/singapore-fake-news-law.html" target="_blank">紐約時報報導</a>，一般預料，由於獲得新加坡總理李顯龍領導的人民行動黨支持，因此本法案未來幾個星期內就會完成三讀通過成為正式法令。</p> <p>無獨有偶，臉書執行長祖克柏近期也支持政府介入網路內容平台的管理，<a href="https://www.ithome.com.tw/news/129690" target="_blank">呼籲</a>國會立法規範網路有害內容、公正的選舉、隱私、資料可攜等議題。 </p> </div></div></div>
2019/4/3 15:15作者林妍溱https://www.ithome.com.tw/news/129771
微軟Azure AD Password Protection正式上線，設定密碼門檻更高了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/Azure-Active-Directory-Identity/Azure-AD-Password-Protection-is-now-generally-available/ba-p/377487" target="_blank">微軟宣布</a>從去年6月就邁入公開預覽的Azure AD Password Protection功能正式上線了，當Azure管理人員啟用該功能之後，它就會自動拒絕使用者設定薄弱密碼，以預防密碼噴灑（Password Spraying）攻擊。</p> <p>所謂的密碼噴灑攻擊是以同一組密碼去測試大量的帳號，與鎖定特定帳號、以大量密碼進行配對的暴力破解（Brute Force）攻擊手法剛好相反。不管是哪一種，都有可能讓企業網路因特定員工的帳號遭到入侵而受到危害，而Azure AD Password Protection即是針對密碼噴灑攻擊的安全解決方案。</p> <p>Azure AD（Azure Active Directory）是Azure平台上負責身分驗證與存取管理的服務，在啟用Azure AD Password Protection之後，它將不許使用者設定逾500個最常用的密碼，再加上超過1萬個相關密碼的變種。</p> <p>負責身分管理的微軟副總裁Alex Simons解釋，這逾500個最常用的密碼是從數十億筆的外洩憑證分析而得，微軟將會定期更新此一禁止使用的密碼資料庫。Simons還舉例說明了所謂的密碼變種，以「Password」密碼為例，有不少人會將它改成「P@$$w0rd」，以@取代a、$取代s，以及0取代o，這類的密碼同樣會遭到Azure AD Password Protection的攔阻。</p> <p>伴隨著Azure AD Password Protection而來的，還有<a href="https://techcommunity.microsoft.com/t5/Azure-Active-Directory-Identity/Azure-AD-Password-Protection-and-Smart-Lockout-are-now-in-Public/ba-p/245423" target="_blank">智慧封鎖（Smart Lockout）功能</a>，透過雲端智慧來封鎖那些企圖猜測使用者密碼的歹徒，它能夠辨識來自有效用戶或歹徒的登錄而採取不同的作法。</p> <p>智慧封鎖為Azure AD的預設值，亦允許管理員設定輸入錯誤密碼的次數、或允許下次重新輸入密碼的時間。</p> <p>此外，AD Password Protection功能不僅適用於Azure，也適用於就地部署的Windows Server Active Directory，以同時保障雲端環境及混合環境的帳號安全。</p> </div></div></div>
2019/4/3 15:40作者陳曉莉https://www.ithome.com.tw/news/129773
美多家航空公司外包商系統異常，一度造成航班延宕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月1日美國多家航空公司因外包廠商的系統出問題導致航班一度延宕。</p> <p>美國聯邦航空總署（FAA）<a href="https://twitter.com/FAANews/status/1112681600788119553" target="_blank">公告</a>多家航空公司在４月１日當天早上發生電腦系統問題。根據<a href="https://www.cnbc.com/2019/04/01/southwest-delta-united-airlines-say-they-are-experiencing-systemwide-outages.html" target="_blank">CNBC</a>、<a href="https://chicago.cbslocal.com/2019/04/01/airlines-aerodata-computer-software-glitch-flight-delays/" target="_blank">CBS</a>等美國媒體報導，問題起因於航空公司外包商Aerodata系統故障，造成全面系統（system-wide）停機。<a href="https://www.aerodata.aero/Official/" target="_blank">Aerodata</a>專門提供航空公司的飛機效能資料、跑道分析、起飛重量控制及負載規劃系統，每天支援將近2.1萬次航班。</p> <p>媒體報導，受到影響的航空公司包括西南航空、美航、聯航、達美、阿拉斯加及捷藍（JetBlue）航空等。上述航空公司皆公告班機因系統停機而延遲。CNBC報導，西南航空有些已行駛到跑道上的班機，還因此需回到閘門口。</p> <p><a href="http://fortune.com/2019/04/01/flight-delays-aerodata/" target="_blank">財星雜誌引述</a>航班追蹤網站<a href="https://zh-tw.flightaware.com/live/cancelled/today" target="_blank">FlightAlert的紀錄</a>，顯示當天早上有2900多班次延誤。此外芝加哥當地媒體報導，二個主要機場各約有20航班取消。不過有多少是起因於Aerodata系統故障則不得而知。</p> <p>所幸系統問題很快就解決。FAA也在事發一小時後<a href="https://twitter.com/FAANews/status/1112694617684803585" target="_blank">公告問題排除</a>。</p> </div></div></div>
2019/4/3 14:25作者林妍溱https://www.ithome.com.tw/news/129767
微軟與BMW共創開放製造平台
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.co.uk/news-releases/microsoft-and-the-bmw-group-launch-the-open-manufacturing-platform-859672858.html" target="_blank">微軟與BMW在4月2日攜手成立開放製造平台</a>（Open Manufacturing Platform，OMP），以發展可供汽車產業或其它製造領域的各種智慧工廠解決方案。</p> <p>相關的解決方案將奠基於微軟的Azure工業IoT雲端平台上，將由OMP負責提供基於開發工業標準與開放資料模型的開源元件作為參考架構。雖然OMP目前的成員只有微軟與BMW，但預計在今年底可達成4到6名成員，並供應15種使用案例。</p> <p>OMP旨在解決製造業間諸如機器互連與就地部署系統整合的難題，一旦OMP得以成形，將允許OEM業者、製造商或其它業者重覆利用各種軟體解決方案，可望大幅減少履行成本。</p> <p>根據OMP的規畫，此一平台打算釋放那些原本只於私有系統上運作的資料，將它們整合為標準化的資料模型，以利未來進行資料分析或機器學習，OMP成員則能利用工業使用案例與樣本程式碼來打造自己的服務及解決方案。</p> <p>此外，OMP將相容於既有的工業4.0參考架構，採用OPC UA工業互通標準。OPC基金會主席Stefan Hoppe認為，採用開放的國際工業標準將使製造商、機制建置商及供應商能夠安全且有效率地整合它們既有的設備與系統，過去企業傾向於使用私有且封閉的生態系統，強調開放的OMP將形塑未來的製造業。</p> <p><a href="https://www.press.bmwgroup.com/global/article/detail/T0294085EN/the-bmw-group-and-microsoft-launch-the-open-manufacturing-platform" target="_blank">BMW</a>已準備貢獻該公司於德國雷根斯堡工廠的自主運輸系統案例，該案例透過運輸系統的中央協調簡化了物流程序，提高物流效率，未來BMW也會貢獻諸如數位供應鏈管理及預測維護等使用案例，並號召各界加入OMP以共同發展相關案例。</p> </div></div></div>
2019/4/3 14:45作者陳曉莉https://www.ithome.com.tw/news/129768
英特爾挖角高通財務長George Davis
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.intel.com/news-releases/intel-appoints-george-s-davis-evp-cfo/#gs.3ld7mt" target="_blank">英特爾（Intel）於4月2日宣布</a>，已任命George Davis為該公司的執行副總裁及財務長。Davis原為高通（Qualcomm）財務長，且<a href="https://www.qualcomm.com/news/releases/2019/04/02/qualcomm-announces-chief-financial-officer-george-davis-leave-company-today" target="_blank">高通</a>在同一天才宣布Davis離職，並將由David Wise暫代高通財務長一職。</p> <p>現年61歲的Davis是在美國克萊蒙特麥肯納學院取得經濟學與政治學的學士學位，再於加州大學取得管理碩士學位，他擁有豐富的財務長經驗，包括先是在應用材料公司（Applied Materials）當了6年的財務長，再於2013年成為高通的財務長。</p> <p>英特爾表示，未來Davis將掌管該公司的全球金融組織，包括財務、會計、稅賦、資金、內部審計與投資人關係等，也會負責監督英特爾的資訊科技組織，並直接向執行長Bob Swan彙報。</p> <p>Davis並未說明離開高通並投入競爭對手懷抱的原因，只說有鑑於市場上對於資料分析、傳輸及儲存的需求飛快成長，英特爾已成為市場上最有機會的企業，期待在英特爾的轉型中發揮作用。</p> <p>Swan亦表示，Davis未來將協助英特爾追求以資料為主的市場機會，英特爾的股東將可繼續期待嚴格的資本配置方式，且英特爾也會不斷創造股東價值。</p> <p>至於高通僅簡短地感謝過去Davis對該公司的貢獻，也祝福他未來的努力能夠成功，並宣布將由該公司的資深副總裁David Wise暫代Davis的職務直至找到繼任人選。</p> </div></div></div>
2019/4/3 15:00作者陳曉莉https://www.ithome.com.tw/news/129769
2019年3月十大資安新聞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本月份出現兩種同樣鎖定軟體更新機制，卻完全不同面向的重大攻擊手法，一種是駭客從更新系統下手，暗中散布後門，另一種則是針對缺乏自動更新機制的應用程式，大肆發動已知漏洞攻擊。這樣的現象，代表著軟體更新機制已是當今應用程式的必需品，同時這種更新系統也需要嚴謹的機制保護，以免成為攻擊者濫用的對象。</p> <p>這也突顯了普遍存在於我們環境之中，有可能是極為不起眼或是司空見慣的軟體、系統，竟變成有心人士的可趁之機－－軟體更新機制遭到攻擊的並不是別人，而是全球筆電5大廠商之一的華碩；至於受到已知漏洞攻擊，但因為有賴使用者自己手動安裝新版軟體修補，導致態勢日益惡化的，則是許多人電腦裝機必備的壓縮軟體WinRAR。這樣的現象顯然有待受到重視，雖然軟體供應者的態度很重要，不過使用者的部分，也應該試圖設法採取一些措施，以求自保，減緩上述情況所帶來的衝擊。</p> <h2><strong><span style="color:#B22222;">01.</span><a href="https://www.ithome.com.tw/news/129588">華碩電腦的軟體更新主機遭入侵，駭客藉由Live Update偷偷散布後門，恐影響上百萬用戶</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/960x420hua_shuo_geng_xin_zhu_ji_zao_hai_tu_pian_lai_yuan_qia_ba_si_ji_.jpg?itok=Ma6s9to3" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">02.</span><a href="https://www.ithome.com.tw/news/129402">WinRAR漏洞被揭露的第一周就有超過100個攻擊行動</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/winrar_570-960.png?itok=SsPvwKDp" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">03.</span><a href="https://www.ithome.com.tw/news/129366">臉書、IG同時當機，只因變更伺服器配置</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/fbdown-960.png?itok=E1CeIq5D" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">04.</span><a href="https://www.ithome.com.tw/news/129102">用來存放中國監控民眾資料的MongoDB資料庫遭到曝光</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/chinamonitor-960.png?itok=ffZB4mtK" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">05.</span><a href="https://www.ithome.com.tw/news/129551">HMD證實Nokia 7 Plus的確把用戶資料傳到中國</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/nokia7plus-960.png?itok=_p7KNsQj" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">06.</span><a href="https://www.ithome.com.tw/news/129001">Supermicro主機板元件驚傳漏洞，可能導致裸機運算服務被植入後門</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/supermicro-960.png?itok=RT81Ks8-" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">07.</span><a href="https://www.ithome.com.tw/news/129021">Thunderclap漏洞允許周邊裝置竊取記憶體機密資訊</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/thunderclaps-960.png?itok=Ax3oCZlM" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">08.</span><a href="https://www.ithome.com.tw/news/129314">2018年度十大網站攻擊技法出爐，臺灣資安專家研究再獲全球肯定，連續兩年蟬聯第一</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_2018_web_hacking_techniques_660x420_portswigger.jpg?itok=wZcapZzc" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">09.</span><a href="https://www.ithome.com.tw/news/129607">Pwn2Own：研究人員成功入侵Tesla Model 3</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Pwn2Own-Tesla.jpg" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">10.</span><a href="https://www.ithome.com.tw/news/129417">2019臺灣資安大會擴大登場，以資安週再創臺灣資安新高峰</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/cybersec_2019_day1_press_photo1.jpg?itok=O6WXipI-" style="width: 600px;" /></p> </div></div></div>
2019/4/3 10:50作者周峻佑https://www.ithome.com.tw/news/129761
微軟Android版Skype也爆自動接聽功能的臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一月底傳出iPhone上的FaceTime有隱私漏洞，在電話未接通時，發話方即可接獲接話方的影像與聲音。而Android版的Skype也爆出這個問題，所幸微軟已經修復。</p> <p>事情源起為Skype的自動來電接聽功能，它原本是設計作為行動不方便人士的輔助支援功能，或是用於看顧獨自在家中的寵物。這項功能也可以選擇開啟或關閉。但<a href="https://answers.microsoft.com/en-us/skype/forum/all/how-to-stop-skype-on-mobile-to-automatically/b68e0762-b032-4eb5-a3b6-c749a4903eba?page=2" target="_blank">一月間有Skype用戶在微軟論壇上反映</a>，他Android手機的Skype會在來電數秒後自動接聽，即使關閉這項功能後卻仍然無法掛斷電話。其他用戶也表示有相同問題，而且如果曾設定過Skype的相機app使用權限，Skype也會自動開啟影像通話。</p> <p>這些使用者另一個共通點是都將Android手機連結智慧型手錶，有人連智慧型手錶未開啟的情況下，自動接聽也會啟動。用戶實測發現當手機和智慧型手錶配對連線情況下，會複製發生這個狀況，並推測本隱私漏洞出現在2018年11月之後版本的Skype 8。</p> <p>微軟並未說明此事，但似乎已經修補該漏洞。3月間論壇上有Skype Insider開發人員指出，問題可能起於手錶組態與Skype某項新功能變更共同作用的結果，建議用戶試試Android版Skype最新預覽版本，這意謂修補好漏洞的正式版即將釋出。</p> </div></div></div>
2019/4/3 11:15作者林妍溱https://www.ithome.com.tw/news/129762
微軟結束電子書業務，將退還曾於Microsoft Store購買電子書的所有款項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/help/4497396" target="_blank">微軟近日宣布</a>將結束Microsoft Store的電子書業務，等同於退出電子書市場，不再與Amazon、Apple Books及Google Play Books等服務競爭，也決定退款給曾在Microsoft Store購入電子書的用戶。</p> <p>從今年的4月2日起，電子書類別就會在Microsoft Store上消失，而且自今年的7月初起，消費者也無法再讀取曾於該站所購買的電子書，微軟將會退還所有的購書款項，同時建議消費者至其它電子書商店購買所需的書籍。</p> <p>微軟準備在今年7月根據消費者當初的付款方式展開退款流程，若所使用的付款方式已失效，微軟則會將款項退至其Microsoft Store帳號，以用來購買其它產品。</p> <p>此外，倘若消費者曾在電子書上作筆記或下註解，為了補償這些人的損失，微軟會再額外補貼25美元。</p> <p>微軟並未說明關閉電子書服務的原因，但<a href="https://www.zdnet.com/article/microsoft-removes-the-books-category-from-the-microsoft-store/" target="_blank">根據ZDNet的報導</a>，微軟的官方原因是為了簡化Microsoft Store的策略聚焦。</p> </div></div></div>
2019/4/3 11:35作者陳曉莉https://www.ithome.com.tw/news/129763
紐約州阿巴尼市遭勒索軟體攻擊，致部份服務中斷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體已成公部門夢魘。三月底美國紐約州阿巴尼（Albany）市系統遭勒索軟體劫持，導致部份服務中斷。</p> <p>阿巴尼市市長Kathy Sheehan於3月30日透過<a href="https://twitter.com/MayorSheehan/status/1112032981227573248?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1112032981227573248" target="_blank">推特公告</a>該市於當天早上發現勒索軟體攻擊事件。該市並未說明詳細受災情況，但表示阿巴尼市政府員工4月1日即正常上班，市府大樓及法院也照常開放，大部份市政服務也維持營運，信用卡報稅、警消機關等皆可正常運作。不過確有數項市民服務受到影響，包括出生、死亡及結婚證明謄本無法由網路辦理，市民必須親自前往地區公務機關申請。此外該市系統也無法受理結婚登記，要結婚的伴侶必須到其鄰近市鎮辦理。目前系統是否恢復則不得而知。</p> <p>阿巴尼市拒絕透露關於勒索軟體入侵調查的細節，包括惡意軟體如何進入市府網路，<a href="https://www.apnews.com/66279fdbbefc444a8d511b8180aaad10" target="_blank">美聯社</a>引述市長說法，表示勒索軟體並未造成個資外洩。</p> <p>這是半年來美國地方政府最新一起勒索軟體襲擊事件。期間<a href="https://www.ithome.com.tw/news/123793" target="_blank">亞特蘭大市</a>及<a href="https://www.ithome.com.tw/news/129226" target="_blank">喬治亞州傑克森郡</a>相繼遭勒索軟體攻擊，遭成網路或系統中斷，皆花上好幾天才能回復正常作業。</p> </div></div></div>
2019/4/3 11:40作者林妍溱https://www.ithome.com.tw/news/129764
IoT雙周報第60期：縮短樣本送測時間，全球快遞UPS開始以無人機替美大型醫院運送醫療樣本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>03/23~04/05精選IoT新聞</strong></span></h3> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧手錶</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蘋果 </span></strong></span></p> <p><span style="font-size:22px;"><strong>蘋果Apple Watch 4心電圖顯示功能擴大支援地區，現在歐洲和香港用戶也可使用</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961%EF%BC%9A%E5%9C%961_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(5).png" style="width: 600px; height: 263px;" /></p> <p>去年底，蘋果推出最新款內建心電圖（ECG）顯示功能的Apple Watch 4，原本這項功能只限美國地區能用，但是近日蘋果在最新釋出watchOS 5.2更新中，也公告Apple Watch的心電圖顯示功能可在歐洲19國及香港地區啟用，但未包含臺灣在內。由於心電圖的量測已屬於醫療器材的領域，礙於各國醫療法規的限制，才遲遲無法使用這項功能。目前除了美國的「創新而低風險」（De Novo）標章外，蘋果就ECG app及心律不整通知功能如今已取得CE Mark標章，獲准在歐洲經濟區上市。使用者戴上Apple Watch 4，開啟ECG/EKG app、食指壓在Apple Watch錶冠上，就能顯示用戶心電圖，同時將資料儲存在iPhone的Health app上，也可儲存成PDF傳送給醫師。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 無人機</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> UPS </span></strong></span></p> <p><span style="font-size:22px;"><strong>縮短醫療送測時間，美國UPS派出無人機替醫院載運醫療樣本</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962%EF%BC%9A%E5%9C%962_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(46).jpg" style="width: 600px; height: 318px;" /></p> <p>美國快遞巨頭UPS近日與美國北卡羅萊納州一家大型醫院WakeMed合作，開始以無人機在該院區內來運送醫療樣本，以縮短樣本送測時間。UPS採用的是無人機業者Matterne製造的無人機，可以每小時43英里的速度飛行，即使在途中遭遇逆風或下雪等惡劣天候，也不影響其飛行，並且一次能攜帶大約2公斤的醫療用品。UPS利用無人機來載運病人血液和其他送測樣本，無人機以袋子裝好樣本以後，便會沿著預定的飛行路徑飛行，抵達該中心病理實驗室，再由實驗室人員將這些測試樣本取下進行測試，整個運送過程不到5分鐘，讓病患可以更快取得檢驗測試報告。UPS未來更計畫要利用無人機來改善美國其他醫院和醫療機構的運輸服務。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自駕車模擬平臺 </span></strong></span></p> <p><span style="font-size:22px;"><strong>以自駕車軟體模擬累積開車經驗，Nvidia自駕車模擬平臺Drive Constellation推出上市</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%403%EF%BC%9A%E5%9C%963_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(2).jpg" style="width: 600px; height: 375px;" /></p> <p>Nvidia日前在年度GTC大會上宣布自駕車模擬平臺Drive Constellation正式推出上市，並已被日本豐田汽車用於自駕系統模擬訓練上。Nvidia是在去年GTC年會上發表這套自駕車模擬系統，但是直到隔年3月中才推出。此運算平臺可以在兩種不同規格的伺服器運算環境上執行，其中一個伺服器上可以執行Drive Sim軟體，可用於模擬如攝影機、光達與雷達等自駕車感測器，來進行密集測試及功能驗證。在另一臺運算效能更高的伺服器上，則內建Drive Pegasu自駕車硬體，可以結合完整自駕車軟體模擬實際路測環境，讓自駕車還沒正式上路前，能先透過軟體建構逼真的交通模擬環境，來訓練自駕系統，持續累積自駕車上路經驗。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自駕車 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 市調報告 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Navigant Research公布最新自動駕駛公司排名，Waymo奪冠，通用緊追在後望</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%964%EF%BC%9A%E5%9C%964_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(41).jpg" style="width: 600px; height: 399px;" /></p> <p>僅管無人美國調研機構Navigant Research近日公布了2019年自動駕駛公司能力排名，Waymo排名第一，其次是通用汽車的Cruise與福特。該報告主要針對自駕車製造商、供應商以及科技公司未來10年內開發出等級3到等級5全自駕的執行力，以及在市場戰略、合作夥伴、生產計畫、自駕技術等綜合策略比較，繪製成象限座標圖，並依進展程度分成領先者、競爭者、挑戰者以及跟隨者四大類。其中，Waymo、通用、福特在自駕車執行力與策略發展上，都被歸類於領先者，反倒是Uber則遠落到10名之外，僅被視為是競爭者，至於電動車特斯拉與蘋果排名更是墊底。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">IoT應用 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 日本機場 </span></strong></span></p> <p><span style="font-size:22px;"><strong>日本機場上廁所不用擠，成田機場打造智慧IoT廁所4月啟用</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%965%EF%BC%9A%E5%9C%965_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(37).jpg" style="width: 600px; height: 353px;" /></p> <p>日本成田機場近來與日本衛浴業者TOTO及電信公司聯手，利用IoT技術在機場內打造一個更聰明的智慧廁所設施，並將從本月3日起對外啟用，讓國內外旅客都能進來使用，以感受不同於以往的如廁體驗。像是在每間廁所及馬桶內皆裝有各種感測器，可以監測廁所使用情況，並將這些數據顯示在廁所入口處旁的兩側大型螢幕面板上，讓想要上廁所的人，可以即時透過它查看目前剩餘可用的間數，避開尖峰時段。並且也能將這些數據統計後以視覺化的方式來呈現，例如使用人數、頻率、滯留時間等，做為廁所管理或清潔人員維護的參考依據，提高公廁維護和管理效率。另外廁所內的每個馬桶也提供包含簡／繁中、英、韓共4國語言的語音導覽功能，讓外國旅客也能安心上廁所。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">5G網路 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 英國電信 </span></strong></span></p> <p><span style="font-size:22px;"><strong>英國電信巨頭也加入5G商用行列，Vodafone今年將在英國19個城市力推5G服務</strong></span></p> <p>繼美國、韓國之後，歐洲不少家大型電信公司也加入5G商用行列。英國電信巨頭Vodafone近日宣布今年內將於英國19城市推出商用5G服務。Vodafone表示，目前5G基地臺的布建範圍，已能涵蓋布里斯托、卡地夫、利物浦、伯明罕，接下來，也將在格拉斯哥與倫敦部署，並將透過Vodafone RedStream光纖網路連接所有的5G站點，並可提供最高10 Gbs的連線速度。而且不只英國，Vodafone也同樣宣布今年Q4將在愛爾蘭推出5G網路服務。另一家西班牙電信Telefonica旗下英國電信公司O2 UK，也計畫今年在英國推出5G商用，不過初期僅在少部分城市提供，包括貝爾法斯特、卡地夫、愛丁堡及倫敦等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">樹莓派 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影音應用 </span></strong></span></p> <p><span style="font-size:22px;"><strong>用樹莓派也能播放Netflix影視，樹莓派作業系統RaspEX Kodi釋出新版強化影音應用</strong></span></p> <p>樹莓派作業系統RaspEX Kodi日前釋出新版本Build 190321，新版加入了LXDE桌面，以及應用程式VLC Media Player和NetworkManager等。RaspEX Kodi與樹莓派官方作業系統Raspbian最大的差別是，RaspEX Kodi版本預裝了多媒體播放器Kodi，最新版RaspEX Kodi使用Kodi 18.1 Leia版本，還新增了Netflix、Plex與Amazon Video等實用外掛，可以樹莓派連接大電視觀看影片，新版還增加了NetworkManager配置無線網路功能，也可以使用Raspbian上約3萬個套件。此版本專為樹莓派3 Model B+打造，不過也可使用在前一版本。責任編輯⊙余至浩</p> <p>圖片來源／UPS、Apple、TOTO、Nvidia、raspex.exton、Waymo</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多IoT動態 </span></strong></span></p> <p><strong>1.智慧眼鏡也能很時尚，華為聯手韓國潮牌推出首款智慧眼鏡Eyewear</strong></p> <p><strong><strong><strong>2.為減少IoT應用開發及部署時間，德國軟體商Software AG大推自助式IoT分析服務</strong></strong></strong></p> <p><strong><strong><strong>3.微軟Azure IP Advantage防護擴及IoT裝置，捐贈500項專利</strong></strong></strong></p> <p><strong><strong><strong>4.ARM與澳洲電錶生產商EDMI合作，將自家物聯網平臺ARM Pelion整合公共智慧電錶應用方案</strong></strong></strong></p> <p><strong><strong>資料來源：iThome整理，2019年4月</strong></strong></p> </div></div></div>
2019/4/3 10:27作者余至浩https://www.ithome.com.tw/news/129760
我為什麼會看到這篇貼文？臉書告訴你動態牆如何挑選內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://newsroom.fb.com/news/2019/03/why-am-i-seeing-this/">臉書最近宣布推出「我為什麼會看到這篇貼文」工具</a>，這是臉書首次在App中，揭露動態牆貼文的排序顯示是如何運作，來協助用戶更了解動態牆的資訊，並控制動態牆上來自朋友、粉絲專頁和社團的貼文，動態牆一直都是為每個用戶量身打造的，而現在臉書期望透過該功能，讓用戶可以獲得更多動態牆的資訊和管理權力。</p> <p>臉書表示，動態牆的目標是要呈現與用戶最相關的貼文，用戶可以藉由這項工具了解自己過去在臉書上的互動，如何影響動態牆上的貼文，臉書將會提供為什麼出現這則貼文的原因，像是這篇貼文是來自用戶的朋友、已加入的社團或是用戶追蹤的粉絲專頁等，也會提供什麼樣的資訊對動態牆貼文順序影響最大，包含用戶與貼文的互動頻率、與特定類型貼文互動的頻率和貼文的受歡迎程度等。</p> <p>用戶查看貼文顯示的相關訊息後，臉書也提供用戶管理動態牆貼文的方式，像是優先觀看、取消追蹤、動態牆喜好、隱私權設定等，來協助用戶制定屬於自己的動態牆。</p> <p>除此之外，臉書也在改善「我為什麼會看到這則廣告」的工具，這項工具在2014年首次推出，協助用戶了解自己所看見的廣告，這兩項工具將能夠讓用戶在自己的動態牆上，直接點選貼文或是廣告，查看這些內容為何出現在動態牆上的資訊，並進一步自行更改動態牆的內容。</p> </div></div></div>
2019/4/3 10:17作者何維涓https://www.ithome.com.tw/news/129738
【iThome 企業資安大調查】去年企業資安災情多嚴重？多久時間才能復原？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/913_feng_mian_-p33-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div id="_idContainer056"> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 28px;"><strong>iThome 2019年資安大調查問卷執行說明</strong></span></span></p> </div> <div id="_idContainer136"> <p><span style="color: rgb(105, 105, 105);"><strong>調查對象涵蓋了臺灣2千大企業，搭配iThome歷屆CIO大調查企業中的資訊部門最高主管，及政府一級機構、大專院校資訊主管和資安主管等，來進行線上問卷調查。調查從2019年1月21日到2月19日結束，回收488份問卷，有效問卷數382份。其中有72.1％填答者是企業資安最高主管。</strong></span></p> <div class="rtecenter"> <img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P33-600-1.png" style="width: 600px;" /></div> <div class="rtecenter"> </div> <div class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P33-600-2.png" style="width: 600px;" /></div> <div class="rtecenter"> </div> <div class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P33-600-3.png" style="width: 600px;" /></div> <div class="rtecenter"> </div> <div class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P33-600-4.png" style="width: 600px;" /></div> </div> </div></div></div>
2019/4/3 09:00未署名https://www.ithome.com.tw/article/129718
AWS推出預配置的深度學習容器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/new-aws-deep-learning-containers/">AWS現在提供使用者預先配置的深度學習容器（Deep Learning Containers）</a>，使用者可以將預先訓練的模型，放置在ECS（Elastic Container Service）上，以在新的深度學習容器進行推理，使用者可以使用官方預先配置的映像檔，並根據需求自定義。</p> <p>AWS提到，不少使用者早已經使用Amazon EKS與ECS，在雲端部署TensorFlow工作負載，而現在AWS讓這項工作更加簡單，最佳化映像檔提供各種預設環境容器簡化環境設置的工作，以縮短訓練時間並提升推理效能。</p> <p>這些不同的深度學習容器，其命名基於使用不同的框架、環境以及硬體，使用者在框架有TensorFlow或MXNet兩種選擇，以執行模型訓練或是推理任務，工作負載可以在CPU或是GPU上運作，Python的版本有2.7或3.6可供選擇使用，使用者也可以選擇採用分散式訓練框架Horovod，並Ubuntu 16.04上執行。</p> <p>官方提到，這些映像檔都經過預先配置與驗證，因此使用者可以在數分鐘內完成客製化設定，開始在Amazon ECS和Amazon EC2上開始執行深度學習任務，這些映像檔免費釋出，可以在AWS Marketplace和Elastic Container Registry中找到這些映像檔，使用者可以直接使用官方提供的版本，或是根據需求選用其他函式庫或加入額外的套件。</p> </div></div></div>
2019/4/3 09:00作者李建興https://www.ithome.com.tw/news/129753
Linux發行版Ubuntu MATE開始支援樹莓派
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ubuntu-mate.org/blog/ubuntu-mate-bionic-beta1-raspberry-pi/">基於Ubuntu Bionic Beaver版本的Ubuntu MATE 18.04，釋出支援樹莓派版本測試版</a>，官方推薦在樹莓派3 Model B+模型上執行，樹莓派2 Model B和樹莓派3 Model B也沒問題，但其他較低階版本會因為記憶體不足而無法運作。</p> <p>Ubuntu MATE是Ubuntu的官方衍生版本，其與Ubuntu最大的不同，在於使用MATE桌面作為預設的使用者介面，Ubuntu使用的是GNOME 3，而MATE桌面則是GNOME 2的分岔。由於Ubuntu MATE的低硬體需求，因此無論是現代工作站或是單板電腦，甚至是較舊的機器都能適用。</p> <p>官方也釋出支援ARMv7 32位元的armhf以及ARMv8 64位元的arm64兩個獨立映像檔，官方提到，這個版本為樹莓派最佳化，以不犧牲個人電腦版本的功能為前提，盡可能提供完整的桌面環境。一般使用者可以用來執行日常的桌面應用，而裝置製造商也可以用來開發基於ARMv7或ARMv8的物聯網裝置雛型，當應用不需要視窗系統，使用者也可以停用X11顯示伺服器。</p> <p>Ubuntu MATE 18.04版本強化了樹莓派啟動時的效能，在初始第一次啟動設置完成之後，往後的啟動時間都約在3秒鐘左右，官方為樹莓派上的多媒體處理器VideoCore IV，更新了EGL/GLES/OpenVG函式庫，另外，官方還強化了對armhf架構的支援，為VLC和ffmpeg影音應用提供硬體加速。</p> <p>在硬體支援上，官方推薦以樹莓派3 Model B+進行安裝，雖然樹莓派3 Model A+也能夠執行Ubuntu MATE 18.04，但是效果並不好，通常第一次啟動會因為記憶體不足而失敗，使用者可以嘗試將安裝作業系統的記憶卡，先在其他樹莓派硬體啟動，則之後可以在樹莓派3 Model A+上運作。至於其他的模組的樹莓派，都會因為記憶體不足而無法順利執行Ubuntu MATE。</p> </div></div></div>
2019/4/3 09:00作者李建興https://www.ithome.com.tw/news/129755
Amazon Redshift現提供並行擴展功能，數秒就能提升叢集處理查詢的能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS的資料倉儲服務<a href="https://aws.amazon.com/tw/blogs/aws/new-concurrency-scaling-for-amazon-redshift-peak-performance-at-all-times/" target="_blank">Redshift提供並行擴展服務</a>，能以數秒的時間擴展處理能力，應付數百個並行查詢，不需要預熱或是預先配置運算支援，按需以秒計費。</p> <p>AWS提到，過去在應付Redshift的高負載查詢有兩種手段，超額配置（Overprovisioning）以及對典型工作負載進行叢集最佳化。超額配置是事先配置超過需求的運算資源，以滿足高峰需求，雖然可以解決高負載的問題，但是卻浪費資源與成本，而針對典型工作最佳化叢集，強迫使用者在高峰時期等待，但這可能會拖延重要的業務決策。</p> <p>而現在AWS為Redshift使用者提供另一種選項，根據查詢的需求配置處理能力，即便Redshift瞬間需要處理數百個並行查詢，並行擴展也能快速為這些查詢提供一致的處理效能。並行擴展不需要預熱，也不用預先配置，使用者可以在需要的時候啟用，並在非高峰時期移除額外的處理能力。</p> <p>使用者可以將新增額外的計算能力，指定給特定用戶或是佇列，並繼續使用現有的BI以及ETL應用程式，並行擴展適合用於處理唯讀查詢任務。並行擴展收費方式按秒計費，並且每累積24小時，主叢集還需要多支付一小時的並行擴展信用點。</p> </div></div></div>
2019/4/3 09:00作者李建興https://www.ithome.com.tw/news/129757
Fintech周報第93期：不只政府機關，金融業也要攜手臺網公司推線上身分驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">03/30-04/05</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 行動身分識別 </span> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融業 </span></strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">不只政府機關，金融業也要攜手臺網公司推線上身分驗證</span></strong><br /><span style="vertical-align: top; font-size: 18.6667px;">證交所旗下臺灣網路認證公司（臺網公司）的TWID身分識別中心，去年與五大電信商簽約，推動Mobile ID（MID）行動身分識別服務，讓用戶憑手機門號，就能通過實名身分驗證。臺網公司近期開始要與金融業合作，在一場「行動身分識別研討會」活動中，包括玉山銀行、台新銀行、新光人壽、遠東商銀，都表示將與臺網公司合作，研擬導入行動身分驗證機制，打造多元數位金融服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">新光人壽廖晨旭資深協理表示，將與臺網公司合作應用，新光人壽的保戶可以透過MID線上驗證身分，成為新光人壽網路會員，進行個人聯絡資料修改、保單內容變更、保單借款及線上理賠申請等網路服務。台新銀行數位金融處副總經理包國儀也表示，台新數位銀行Richart也將與臺網合作，研擬數位金融服務。而行動身分識別服務，目前已有健保署及關務署正式採用，且都是應用在App用戶身分認證。健保署的應用是全民健保快易通（健康存摺），而關務署的應用是進口快遞包裹實名認證（EZ Way）。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 純網銀 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> CIO</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">將來銀行籌備處CIO甫上任，由前91APP資深副總周旺暾擔綱</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%2015_%E6%B4%BB%E5%8B%95%E5%AE%A3%E5%82%B3%E4%BD%BF%E7%94%A8_%E5%91%A8%E6%97%BA%E6%9A%BE_%E5%B0%87%E4%BE%86%E9%8A%80%E8%A1%8C_%E8%B3%87%E8%A8%8A%E9%95%B7_20190401_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">將來銀行籌備處資訊長兼技術長，在4月1日正式上任，是由前91APP資深副總周旺暾，擔起將來銀行的IT建置。周旺暾擁有25年的網路經驗，是臺灣第一個網際網路入口網站蕃薯藤（yam）公司化後的第3號員工。他在2004年進入微軟，一待將近13年，負責微軟雲端與資安等產品線的事業發展。2017年，周旺暾接任91APP人資長，更在隔年5月接手91APP拓張海外市場的事務，擔任資深副總經理。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">將來銀行CIO兼CTO這個位子，需要擁有網路技術，又能結合網路商業思維的人來協助，而周旺暾過去的豐富資歷，成就了這職位的不二人選，也正是將來銀行籌備處多次力邀的原因。周旺暾提到，將來銀行籌備處在重新打造一家純網銀時的思維，其實是以網路的思維出發，而不是傳統的銀行思維。他解釋，銀行的概念不會消失，而是回到本質，可以在各種消費場景，即時提供各種金融服務給消費者。「我們不是要做銀行，而是要做金融服務。」他強調。<strong><a href="https://www.ithome.com.tw/news/129735">（更多內容...）</a></strong></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 北富銀 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 一鍵調額 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">北富銀日本旅遊信用卡推出一鍵調額新服務</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329%E6%96%B0%E8%81%9E%E7%85%A7%E7%89%87.jpg" /></span></strong></p> <p><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">台北富邦銀行與國際發卡組織JCB合作，推出的日本旅遊J卡，在3月29日開通一鍵調額功能。北富銀表示，J卡卡友只要綁定北富銀LINE官方帳號好友，點開一鍵調額功能，北富銀內部風險評核系統，就會自動核算出該卡可調高的額度上限，此時卡友可在此限額內選擇所需調高的額度，且能立刻生效，最多可持續60天。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">北富銀總經理程耀輝表示，相較於過往卡友出國旅遊，消費時發現信用卡額度不足，需要打電話回國，並等待審核確認的流程。一鍵調額的風險核算機制，是憑藉長期穩定審慎的風控經驗、新上線額度管理系統，以及大數據運算的結合運用，並對250多萬卡友進行持續的信用追蹤分析，才有辦法在安全穩定的前提下，即時提供調額空間。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> LINE Bank </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 黃以孟 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">LINE喊出LINE Bank要成為臺灣金融獨角獸</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_LINE%20Bank%E9%BB%83%E4%BB%A5%E5%AD%9F_%E6%94%9D%E5%BD%B1_%E6%9D%8E%E9%9D%9C%E5%AE%9C.JPG" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">LINE Bank籌備處執行長黃以孟，首度公開分享LINE Bank在臺發展願景，那就是打造臺灣第一隻本土金融獨角獸。他也提出了純網銀的未來樣貌，LINE Bank希望打造一個金融平臺，透過Open API與所有銀行對接，讓用戶一次掌握所有存款、消費金融、保險、基金投資等整合服務。黃以孟也提到，LINE Bank計畫打造個人信用分數，為信用記錄較不足的年輕族群，建立個人信用評級，而LINE Bank會主動去邀請用戶建立個人信用評級。且這些創新服務，也將與LINE平臺深度結合。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">LINE Bank籌備處也持續擴編臺灣團隊，需要科技、金融、資安、AI、大數據等人才。黃以孟指出，LINE Bank在人員的配置上，光是IT人員就會占總人數的一半以上。而針對初期的產品規畫，他也表示，會從簡單的金融產品如存款、個人信貸、銀行存放匯等開始做。而資安對純網銀很重要，所以，LINE Bank會導入日、韓總部資安防衛的能力和資源，藉此培養、訓練臺灣人才。他也宣布，若順利拿到純網銀執照，將會在銀行端成立人工智慧實驗室（AI Lab）。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 凱基銀 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> AI預測模型 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">凱基銀揭露開發AI預測模型的POC成果，下一步將商轉進而複製到開發金旗下子公司</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E5%91%A8%E9%83%AD%E5%82%91_%E6%94%9D%E5%BD%B1_%E6%9D%8E%E9%9D%9C%E5%AE%9C.JPG" style="font-size: 14pt;" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">凱基銀行、臺灣微軟與政治大學金融科技中心合作開發的「AI預測模型」，揭露了最新POC成果。在此次三方的合作下，他們發現小規模POC後的AI建模，成效可達人工建模標準，且AI建模所要花費的時間與人力，還可減少3分之2，而凱基銀行也認為，這表示AI演算法能突破人力處理資料量與複雜度的限制，增進預測模型的發展效率與準確度。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">凱基銀行創新科技金融處資深副總經理周郭傑表示，他們在發展AI的戰略，是採用小規模POC，再來是商轉，進而大規模複製等三個步驟，要運用AI技術串連起價值鏈。此次POC所展現的成果，讓凱基銀要展開AI建模的商轉運用，比如說利用AI建構信用評分模型，辨識出哪些客戶是從未與銀行往來的信用小白，並進一步評估個別信用小白客戶合適的貸款額度。待商轉成功，凱基銀就要開始大規模複製，推進開發金控旗下的子公司，形成創新文化生態體系。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> ATM </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 攻擊 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">研究：大多數ATM只要不到20分鐘就能攻陷</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">俄羅斯的漏洞安全解決方案供應商Positive Technologies近期公布一研究報告，該公司檢驗了市場上前三大ATM品牌—NCR、Diebold Nixdorf與GRGBanking，發現絕大多數的ATM（Automated Teller Machine，自動櫃員機）都能在20分鐘內，利用各種安全漏洞加以攻陷。Positive測試了上述三大品牌的10款ATM在不同配置下的安全性，總計測試了26臺ATM，發現有85％的ATM禁不起網路攻擊，69％的ATM可能遭受黑盒子（Black Box）攻擊，76％可被操縱以退出自助終端模式（kiosk）以便於作業系統上執行攻擊命令，還有92％的ATM允許駭客直接存取硬碟，另有42％可竄改開機模式，且所有的ATM都能被用來竊取金融卡資訊。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 安聯人壽 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位轉型 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">安聯人壽今年將全面發展數位化，兩大目標是業務流程再造與內部流程自動化工程</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">安聯人壽宣布2019年的數位化業務發展，一是未來營運轉型計畫與業務流程再造，安聯已開發了多項數位化工具，未來會加碼將金融科技全面應用到銷售系統上，另外也將計畫再次升級客戶服務。二是自動化工程，安聯人壽將著重於內部流程的自動化與優化，希望從後端開始改造，提供保戶更好體驗。安聯人壽營運長陳俊宏表示，安聯規畫將AI結合機器人流程自動化RPA，目前內部已開始進行POC，先測試在內部作業，如核保流程、理賠流程、反洗錢（AML）作業上，是否能否結合AI和RPA來提升自動化效果。他進一步揭露，DevOps將是安聯人壽今年一大重點，他們將透過安聯集團開發的標準，來建置敏捷式開發平臺，要運用DevOps相關工具與方法論，進行導入來提升開發與維運的效率，而總部也會派人來臺灣安聯，協助建置這個敏捷式開發平臺。安聯人壽過去自行開發了核心系統，當初設計時也保留很多彈性設計，更成了現在安聯數位轉型的重要基石。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">圖片來源：</span><span style="vertical-align: top; font-size: 14pt;">攝影／</span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">洪政偉、</span><span style="vertical-align: top; font-size: 14pt;">李靜宜</span><span style="vertical-align: top; font-size: 18.6667px;">；</span>臺灣網路認證公司、台北富邦銀行<br /><span style="vertical-align: top; font-size: 18.6667px;">責任編輯／李靜宜</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1. </strong><strong>超商龍頭7-ELEVEN加入台灣Pay通路，全臺四大超商通路共超過1萬個據點都能以掃碼方式完成支付</strong><br /><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;"><strong style="vertical-align: top; font-size: 14pt;">2.</strong></strong></strong><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;"><strong style="vertical-align: top; font-size: 14pt;"> </strong></strong></strong><strong>想成功擁抱區塊鏈得先衡量自己的數位成熟度，瑞典政府有方法能讓企業自評</strong><br /><strong style="font-size: 14pt; vertical-align: top;">3. </strong><strong>新款Android木馬程式Gustuff鎖定金融程式與加密貨幣程式</strong><br /><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;"><strong style="vertical-align: top; font-size: 14pt;">資料來源：iThome整理，2019年4月</strong></strong></strong></p> </div></div></div>
2019/4/2 19:12作者李靜宜https://www.ithome.com.tw/news/129758
【臺灣資安大會直擊】國際工控資安發展聚焦5大面向，臺灣7月將建立自來水處理測試平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年IT領域的資安的威脅正衝擊OT領域，不只是影響高科技製造業的自動化產線，也危急國家關鍵基礎設施，一旦運作中斷，必定帶來的極大影響。而工控的資安議題，也成為近年政府、產業，以及企業與民眾都會關心的議題。</p> <p>在上週舉行的臺灣資安大會，資策會資安科技研究所所長毛敬豪，也針對工控資安的議題，說明了國內外對此的關注焦點與現況，以及他們資安所的發展目標，同時也強調在國際上被廣泛採納的工控系統標準IEC 62443之重要性。</p> <p>為了點出臺灣在工控安全的重要性，毛敬豪談到臺灣產業結構，並以臺灣製造業對我國出口的衝擊面向來說明。例如，根據財政部統計處資料，2015年的臺灣總出口值達3,360億美元，其中電機電子業的出口值，佔了超過一半以上的比例，達1,741億美元。此外，臺灣工業總產值為4,603億美元，電機電子相關上下游產業的產值，也是超過一半。</p> <p>而且，近年臺灣政府為協助產業轉型，智慧製造也成為積極推動的項目。對於智慧製造的資安議題，毛敬豪提到了3個現況，像是製造業資安認知較弱，大多不知道為何或如何導入；其次，臺灣是ICT產品生產大國，但產品多未具備資安功能，也未符合國際標準規範；第三，資安業者在企業資安解決方案完整，但缺乏支援工控環境，需要跨領域更新發展。</p> <p>因此，在國內的工控資安推動上，毛敬豪指出，需要從人才、制度與技術這三大面向來推動。例如，提升工控業者資安意識、培養工控資安專業能力，還要制訂工控合規基準與協助導入，以及強化OT業者產品競爭力，與吋近資安業者發展工控資安解決方案。而要做到這些項目，還有一個重要的關鍵就是──工控實驗場域。</p> <p>「做工控安全的最大問題，也是第一個問題，就是沒有場域。」毛敬豪指出。這幾年，政府對於關鍵基礎設施的安全已經有所動作，舉例來說，前兩年資策會與工業局推動開放關鍵基礎設施場域，不僅協調水、電、油廠，並與資安業者合作到實際場域測試，以協助國內業者累積產品與技術研發經驗。</p> <p>而在開放實驗場域之外，國際上也有建構工控資安測試平臺（Testbed）實驗場域的案例。毛敬豪舉例，像是美國規畫了國家SCADA測試平臺（NSTB），是大型的室外實驗場域，由美國能源部旗下單位負責規畫與監督。在鄰近的亞洲地區，新加坡設計大學（SUTD）也設有小型的室內實驗場域，而日本也有設立日本控制系統安全中心（CSSC）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0238825_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 305px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/R0238826_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 285px;" /></p> <blockquote><p>關於國際上的工業控制資安測試場域規畫，目前美國、新加坡與日本都有可借鑒的案例。</p> </blockquote> <p>對此，毛敬豪揭露的今年的新目標，就是執行工控實驗場域計畫。預計將在今年7月，與日本CSSC共同合作，建立一個化工水位串級控制流程的測試平臺。</p> <p>然而，為何臺灣要打造這樣的模擬測試場域呢？毛敬豪說明，主要有兩大目標，首先，希望國內資安廠商可以在這樣的場域上做產品的萃煉，其次是要藉由這樣的環境來做教育訓練。以幫助國內製造業認識可能的風險，或是進行攻防演練。</p> <p>關於教育訓練的方向，他也進一步解釋，訓練對象將分別OT人員與高階主管。舉例來說，要讓OT的人員來瞭解威脅與資安的概念，而目前規畫了兩個攻擊場景，分別惡意命令注入關閉制水閥開關，以及偽冒監看數據回應，以認識如何滲透測試與修補；另一則是針對高階主管的教育，讓經營管理要懂得資安風險。</p> <p>毛敬豪指出，要能提供一個工控資安場域讓大家都能使用，Testbed扮演著重要的角色。而Testbed的建立也應與自身實際需求相關，目前他們以水力設施為主，將模擬水處理上下游3道液位控制，建置大型儲水槽、可變控制水閥、緊急洩水出水口、液位傳感器與揚程馬達等，相關規格也已經開出，將搭配Emerson Delta V DCS控制系統，以及人機介面、PLC程式設計與情境變因控制等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0238830_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p>對於工控資安的議題，在臺灣資安大會現場，毛敬豪也對外揭露他們最新的計畫，預計將在7月打造一個工控實驗場域，建置化工水位串級控制流程Test bed，而目前相關規格也都已經開出，當中並將包含兩項演訓情境。</p> </blockquote> <p>若從國際工控資安發展趨勢來看，毛敬豪整理了美歐日的工控資安發展趨勢，並從5大面向加以分析，包括人才培育、標準導入與合規、風險評估服務、IEC 62443認驗證輔導，以及工控資安產品與場域。這也將是，臺灣在工控資安發展上可借鑒之處。</p> <p>在國際上，毛敬豪指出，以人才培育與工控資安產品與場域方面而言，例如，美、日兩國都有Test bed與演訓上的規畫，也有工業控制系統原廠，而場域上則有美國的NSTB與日本的CSSC。而就臺灣來看，目前這兩個面向，是正要推動發展的一塊。</p> <p>至於其他方面，在標準導入與合規上，毛敬豪表示，在制度上，美、歐（德）、日等國均認可並採用IEC 61508、IEC 62443等國際標準；讚風險評估服務上，美國發展較為完備，已有風險評鑑與標準認驗證，他們看到日本最近有NEC正在推展；至於IEC 62443認驗證的輔導的檢測認證機構方面，在美國有ISASecure、Exida，德國有TUV Nord與TUV Sud，日本有CSSC。而目前臺灣在此三個面向的發展較缺乏，將是未來需關注的部分。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0238827_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p>針對國際主要國家的工控資安發展趨勢進行比較，<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">毛敬豪表示，</span>臺灣目前正堆動人才培育與工控資安產品與場域這兩大方面。</p> </blockquote> <p>對於工控資安的安全標準方面，毛敬豪特別強調IEC 62443工業控制安全標準的重要性，該標準提供了OT良好的工程管理指南，當中並分為四大部分，分別是一般性、政策和程序、系統與部件。對於資安需求等級高的高科技、大型製造業，應該要關注。他並提醒，工控資安不能只有ISO 27001，他指出，包括ISO 27001、NIST Cybersecurity框架，都是以風險管理的導入來看資安的問題，但這兩個框架用在工控裡面會有許多挑戰。不過，對於難以投入資安的小型製造業者而言，仍有一定的幫助。</p> <p>此外，對於IEC 62443符合性驗證，毛敬豪也補充說明，例如美國ISASecure認證是基於IEC 62443標準開發的合規性認證，當中包含了三大類，分別是嵌入設備安全保證、系統安全保證與安全開發生命周期保證。較特別的是，他們看到日本在這項國際技術標準的推動，已將ISASecure認驗證體系移植到日本，讓日本當地就可以對國內廠商產品做驗證，而不用送到國外。</p> <p>而為了幫助國內業者，因此，他們未來也將計畫推動臺灣的ISASecure認驗證，讓國內業者能以中文申請並在臺進行驗證。</p> <p>另外，他也提到IEC 62443與ICS網路安全生命週期的關連性，主要分為三大階段，分別是評估階段、執行階段與維護／維持階段。他也直言，近年很多工控資安解決方案都在提Security Monitoring，這是屬於維護／維持階段的部分，但企業組織該要注意的是，前面兩個階段做好了沒有。</p> <p>最後，對於工控資安的發展，毛敬豪也表示，工控資安也要建構生態系，整合像是產業及領域的專家、工控安全專業顧問、資安業者、學術機構、公協會與系統整合業者等，並希望推動垂直領域的技術整合。</p> </div></div></div>
2019/4/2 17:52作者羅正漢https://www.ithome.com.tw/news/129756
台灣大哥大拼轉型，新總座林之晨：終結電信市場零和競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">4月1日正式接任台灣大哥大總經理的林之晨，今天(4/2)首次和媒體公開座談，他提出了「超5G策略」，未來將帶領台灣大哥大轉型為科技公司，終結電信市場的零和競爭。</span></p> <p class="p1"><span class="s1">林之晨原為AppWorks之初創投董事長暨合夥人，先前擔任台灣大哥大獨立董事，今年1月台灣大哥大董事會通過，4月起由林之晨接任鄭俊卿，成為台灣大哥大新任總經理，41歲的他也成為國內最年輕的電信公司總經理。由於他過去沒有電信產業背景，更讓外界關注上任後，將為台灣大哥大這家國內前三大電信業者帶來什麼樣的新思維。</span></p> <p class="p1"><span class="s1">從創投圈跨入電信產業，他自嘲自己就像外星人，從一個星球(AppWorks)移民到另一個星球(台灣大哥大)，未來他將扮演指揮艇角色，希望能儘快整合這個星球的不同資源，和台灣大哥大這個無敵鐵金鋼完全合體。</span></p> <p class="p1"><span class="s1">對於今後的任務，他提出了「超5G策略」，但其中的5G並非指電信標準的5G，而是「Gift」、「Group」、「Grit」、「Green」和「GSEA」(Greater South East Asia)五個方面。</span></p> <p class="p1"><span class="s1">「Gift」部份意指天賦，善用台灣大哥大集團的大數據及700萬用戶基礎、800多家通路，結合創新能力積極轉型；「Group」則是要打群架，整合集團內的凱擘、momo，加上AppWorks的資源發揮綜效，「Grit」則是放眼未來10到15年，發展超5G生態，「Green」則指發展為愛台灣、人類及地球的永續企業為目標，最後，「GSEA」則是以台灣5G生態為基礎，向東南亞市場前進，以發展成為國際級企業為目標。</span></p> <p class="p2">他將「超5G策略」定位為中長期的轉型目標，未來將朝向數位、AI、IoT等產業前進，希望讓台灣大哥大的市值在10到15年，從120億美元成長至1000億美元。</p> <p class="p2">不過，林之晨表示，短期而言，他希望未來的幾年能夠先找出集團成長的第二個、第三個成長曲線，就他的觀察，他認為現在電商平臺momo已是集團成長的第二個曲線，將來將會找出第三個、第四個成長曲線。</p> <p class="p1"><strong><span class="s1">進入更大的數位市場，電信業者不再是競爭對手</span></strong></p> <p class="p1"><span class="s1">談到台灣大哥大的轉型目標，林之晨表示，過去的電信服務，電信商提供的是連線服務(connectivity)，投入大筆資金建設基礎網路，每個月向用戶收取連網的費用，他希望能帶領台灣大哥大從電信公司轉型為科技公司，跨入一個更大的戰場。</span></p> <p class="p1"><span class="s1">「過去我們和其他電信業者間的服務重疊性相當高，和競業間是零和關係，但在數位的領域中，台灣大哥大和其他電信不再是競爭對手，面對的可能是其他本土公司，或是更大的國際公司」，他也直言，在數位領域中，電信業者間不再是競爭關係，還要面對其他領域的對手，甚至電信業者可以成為夥伴，就像台灣大哥大和遠傳一起投資Line Bank，在金融科技的領域中可以成為夥伴。</span></p> <p class="p1"><span class="s1">他表示，台灣大哥大不想只是提供連線服務的角色，因為對用戶而言，未來吸引他們的可能不是連線服務，更多的是個人化的服務。透過大數據分析，找出用戶感興趣的服務，在對的時間提供用戶感興趣的服務。例如喜愛NBA美國職籃的球迷，透過5G提供球迷可觀看各種角度的賽事轉播服務，而對於喜歡流行時尚的用戶，提供他們國外時尚秀的內容。</span></p> <p class="p1"><span class="s1">儘管台灣大哥大跨入數位戰場，例如旗下的myVide服務可能面臨Netflix，甚至是和Line競爭，momo也身處在高度競爭的電商市場，但林之晨認為除了整合集團資源發揮綜效外，和其他異業的對手間也並非完全競爭關係，以Line為例，可能只有20%的服務重疊，其他80%的服務沒有競爭關係，就可能建立起合作關係。</span></p> <p class="p1"><span class="s1">雖然過去沒有電信產業的經歷，但他表示，自己在台灣大哥大擔任獨立董事已有半年多的時間，向同仁們學習電信產業相關的經驗，在電信公司採用SDN軟體定義網路等虛擬化的轉型過程中，他相信電信公司將會愈來愈像軟體公司，而自己所擁有的軟體產業經驗反而是一項優勢。</span></p> <p class="p1"><strong><span class="s1">藉創投資源加速台灣大哥大轉型</span></strong></p> <p class="p1"><span class="s1">由於林之晨本身也是之初創投的董事長，擔任台灣大哥大總經理後，理所當然，促成台灣大哥大和之初創投及其300多家新創公司的合作也是他的任務之一。藉由新創公司的協助，或許可以讓台灣大哥大注入創新的思維，加速轉型的發展。</span></p> <p class="p1"><span class="s1">林之晨表示，可以將台灣大哥大想成是1到100的加速器，而成立9年已有328家新創公司的AppWorks，透過台灣大哥大的資源、品牌、通路，每年可培養5家從1到100的公司，台灣大哥大扮演加速器的角色，也能從中找到第三或第四個成長曲線。</span></p> <p class="p1"><span class="s1">回歸電信市場近來關注的5G釋照議題，他建議5G可採共頻共網的政策，由於5G的建設成本是4G的3到5倍，站在資源的有效利用角度，國內電信市場是否需要投入許多資源建設兩條高鐵應該好好思考。而將來5G正式推出商業化服務，商業及工業應用是業者所寄望的，台灣大哥大也會運用AppWorks及新創公司的資源，鎖定企業客戶的垂直場域需求。</span></p> </div></div></div>
2019/4/2 17:55作者蘇文彬https://www.ithome.com.tw/news/129754
Cloudflare釋出使用WireGuard技術的VPN服務Warp，不只保護隱私還能加速連線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網際網路服務供應商Cloudflare宣布在其1.1.1.1行動裝置應用程式中，推出名為<a href="https://blog.cloudflare.com/1111-warp-better-vpn/">Warp的VPN服務</a>，該服務是建構在使用UDP協定的新型VPN技術WireGuard上，Cloudflare表示，Warp不只能夠保護用戶行動裝置的流量，還能加速網路連線並增加可靠性。即日起使用者可在1.1.1.1應用程式中申請加入Warp計畫。</p> <p>強調兼具速度以及隱私特性的公共DNS服務1.1.1.1，除了能提供DNS加密服務外，還能以極快的速度回應使用者的查詢，比目前思科、Google以及其他ISP業者提供的公共DNS服務都還要快。Cloudflare在2018年的11月，於Android與iOS平臺釋出1.1.1.1應用程式，讓使用者可以快速切換行動裝置的DNS設定。</p> <p>而現在使用者可以在1.1.1.1應用程式上，申請加入Cloudflare最新釋出的VPN服務Warp。Cloudflare提到，現在市面上的VPN服務存在許多問題，使用者安裝額外的應用程式，常獲得連線速度慢，而且還會增加裝置電量消耗的負面體驗，許多VPN服務更是打著保護使用者隱私的名義，卻背地收集使用者的資訊，販售定位廣告。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Warp-On.png" style="width: 600px;" /></p> <p>Cloudflare在2017年併購Neumob，Warp服務整合了該公司的行動裝置最佳化技術，並使用為行動網路進行最佳化的WireGuard技術，Warp利用Cloudflare的全球網路，讓使用者在毫秒內就能連上網際網路，Cloudflare表示，經他們測試證實，Warp確實可以明顯地提高網際網路效能，而且使用者網路連接品質越差，Warp能提供越明顯的網路改善效果。</p> <p>Warp還能增加行動網路的可靠性，其使用的協定可以快速地讓服務從訊號中斷狀態恢復，能有效減輕使用者在搭乘電車等旅途歷經的訊號損失，藉此提升網路使用體驗。Cloudflare提到，Warp使用的WireGuard技術，不會大幅增加裝置耗電量，而且Warp還能透過重送（Retransmit）最小化手機無線訊號使用，避免手機位在多基地臺覆蓋的地點時，快速消耗裝置的電量。</p> <p>Cloudflare積極在WireGuard技術上耕耘，他們剛<a href="https://www.ithome.com.tw/news/129674">開源了一個BoringTun專案</a>，這是一個以程式語言Rust開發的WireGuard使用者空間實作，Cloudflare提到，WireGuard使用UDP協定，在行動網路上有良好的效能表現，雖不能保證封包傳送以及封包的順序，但是WireGuard目的只在安全的封裝IP封包，那簡單的UDP協定更適合。</p> <p>延續1.1.1.1隱私保護的優點，Cloudflare也對Warp服務做出承諾，他們保證不會將任何用戶可識別資料寫入磁碟，不會出售使用者瀏覽的資料，也不會以廣告資料定位使用者，使用者無論使用1.1.1.1還是Warp服務，都不需要提供姓名、電話或是電子郵件等個人資料，並由外部審計師定期監督Cloudflare履行承諾的狀況。</p> <p>Cloudflare在1.1.1.1應用程式提供免費的Warp服務，不過目前由於服務才剛開始，因此對外分階段釋出，使用者可以在1.1.1.1應用程式上排隊，當服務可用時應用程式會通知使用者，另外，他們也預計在未來推出Warp+高級服務。Cloudflare計畫為Warp服務加入Cloudflare Railgun壓縮傳輸服務、進階標頭壓縮、智慧型壅塞控制以及多重路徑路由等技術。</p> </div></div></div>
2019/4/2 15:59作者李建興https://www.ithome.com.tw/news/129751
Firefox、Edge也能用WebAuthn硬體金鑰登入Google服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/christiaanbrand/status/1111370795324837888" target="_blank">Google宣佈</a>Google帳號開始轉換到WebAuthn標準，讓Firefox及Edge瀏覽器環境下，也能使用業界標準的硬體式安全金鑰來登入Gmail、Google Drive或G Suite等服務。</p> <p>在此之前，如果你想用USB安全金鑰登入Google旗下服務，只能使用Chrome瀏覽器。這是因為Google使用的是較早期的U2F（Universal Second Factor）協定，但Mozilla Firefox、Microsoft Edge和蘋果Safari並不支援這項協定。<a href="https://www.ithome.com.tw/news/122350" target="_blank">一年前Google、微軟及Mozilla承諾瀏覽器將支援FIDO 2身份驗證規格</a>，Google也啟動從U2F轉向以FIDO 2為基礎WebAuthn的過程。Google表示即日起，已經有實體驗證金鑰的Google用戶，就可以透過Edge和Firefox登入。</p> <p>不過目前只有登入（login）這段完成支援轉換。<a href="https://twitter.com/christiaanbrand/status/1111430192596025347" target="_blank">Google身份與安全產品經理Christiaan Brand指出</a>金鑰註冊需要「花一段時間」來轉換。這意謂著如果用戶要在Google帳號下新增加金鑰，仍需要透過Chrome瀏覽器進行。不過即使如此，完成初次的註冊後，在外使用沒有Chrome 的公用電腦收發Gmail仍變得安全許多。</p> <p>在眾瀏覽器及網路服務的支援下，<a href="https://www.ithome.com.tw/news/129100" target="_blank">上個月W3C宣佈硬體安全驗證協定FIDO 2已成為正式的WebAuthn業界標準</a>，向無密碼登入的願景再進一步。</p> </div></div></div>
2019/4/2 15:35作者林妍溱https://www.ithome.com.tw/news/129752
AR‧VR雙周報第29期：Tobii釋出最新眼球追蹤開發套件，要讓XR結合眼球控制虛擬物件更容易
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>03/16~03/29精選AR‧VR新聞</strong></span></h3> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臉書 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> VR </span></strong></span></p> <p><span style="font-size:22px;"><strong>臉書Oculus家族再添新成員！搭載位置追蹤技術的VR頭戴裝置Oculus Rift S登場</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E4%B8%BB%E5%9C%96%EF%BC%9AOculus%20Rift%20S.jpg" style="width: 600px; height: 338px;" /></p> <p>臉書近日在GDC 2019遊戲開發者大會上發布了最新款的Oculus頭戴裝置Rift S，更新了螢幕以及控制系統，針對螢幕改進了光學和顯示技術，Rift S的螢幕有更高的畫素密度，之前的版本Rift使用了雙PenTile OLED面板，解析度為2160×1200，而Rift S則是與Oculus Go一樣，搭配解析度為2560×1440的LCD面板，因此可以顯示更多圖像細節。另外Oculus Rift S改用Oculus Insight的Inside-out追蹤，如此便不用像前一代Rift還需要設置外部感測器，控制器也經過重新設計，能夠支援Inside-out追蹤，執行熟悉的動作包括抓取等姿勢。Oculus Rift S還加入了Passthrough+技術，可以提供真立體校正透視，幫助使用者設定Guardian邊界，而當使用者在虛擬世界走出了邊界，則Passthrough+會自動啟動，避免使用者碰到周邊物品。臉書官方預告Oculus Rift S將在2019年春天發布，售價為399美元。</p> <p><span style=" color:#ffffff;"><strong><span style="background-color:#3399ff;">HP </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 混合實境頭戴裝置 </span></strong></span></p> <p><span style="font-size:22px;"><strong>HP新款4K超高畫質的MR頭戴裝置HP Reverb亮相，售價599美元起</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962%EF%BC%9A%E5%9C%962_%20AR%E2%80%A7VR%E9%9B%99%E9%80%B1%E5%A0%B1(16).jpg" style="width: 600px;" /></p> <p>在平價版Windows MR頭戴裝置推出2年多後，HP日前發布最新款Windows MR頭戴裝置HP Reverb，能夠提供多達4K超高畫質的影像細膩呈現，不過使用時還是需要額外搭配一臺性能強大的PC，並無法獨立操作。HP Reverb VR左右各配備一塊單眼解析度達2160×2160的2.8寸螢幕，並可提供多達114度可視角度，以及90Hz的畫面更新率。HP Reverb VR還具備6度空間自由度（6DoF）的位置追蹤功能，因此不需要設置外部感測器。並且還配備專屬頭戴式耳機與兩個前置攝影鏡頭，可以用來實現混合實境應用；另外，操作上同樣配有一組WindowsVR控制器。HP Reverb VR預計將於4月底上市，並推出兩個版本，其中Reverb消費者版售價599美元，專業版則是649美元。</p> <p><span style=" color:#ffffff;"><strong><span style="background-color:#3399ff;">眼動追蹤 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> XR </span></strong></span></p> <p><strong><span style="font-size:22px;"><strong>要讓AR／VR更容易結合眼球控制，瑞典眼動追蹤公司Tobii釋出最新眼動追蹤開發者套件</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963%EF%BC%9A%E5%9C%963_%20AR%E2%80%A7VR%E9%9B%99%E9%80%B1%E5%A0%B1(24).jpg" style="width: 600px; height: 333px;" /></p> <p>以提供眼球追蹤控制PC功能的瑞典眼動追蹤廠商Tobii，近日在GDC遊戲開發大會上，釋出一套眼動追縱開發者套件Tobii XR SDK，要讓開發者更容易利用它來開發結合眼動追蹤功能的XR（含AR或VR等）設備。Tobii表示，該套件及其相關的函式庫可以被使用在能支援眼動追蹤的頭戴式裝置上，並也提供新的沉浸式互動及功能，讓用戶可以通過雙眼凝視，操控虛擬環境來提升使用者體驗。Tobii還為開發人員提供了可用的程式範例、教學和調試工具，可經由Unity及Unreal等VR遊戲引擎平臺來取用。</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Nvidia</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 伺服器 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>強化雲端AR與VR串流應用，Nvidia推出新款RTX刀鋒伺服器</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%964%EF%BC%9A%E5%9C%964_%20AR%E2%80%A7VR%E9%9B%99%E9%80%B1%E5%A0%B1(23).jpg" style="width: 600px; height: 600px;" /></p> <p>Nvidia日前在自家GTC大會推出最新款RTX刀鋒伺服器，鎖定正是雲端AR、VR串流應用需求，要讓雲端遊戲業者或影音平臺商能利用它來開發各種結合雲端的沉浸式VR與AR內容應用。這臺RTX伺服器高度為8U，每個刀鋒共可裝入40片圖靈GPU卡，並且最多可以串連多達32個刀鋒，總共可以容納高達1,280片GPU卡。Nvidia官方表示，該伺服器內建許多優化軟體堆疊，包括Optix RTX影像渲染、AR/VR、遊戲與專業視覺應用等都有，甚至還可以利用光線追蹤技術來呈現更逼真的光線和陰影效果，並且也可結合未來5G高速網路，來提供電影般細膩的視覺特效。</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">HTC </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> VR內容 </span></strong></span></strong></p> <p><strong><strong><span style="font-size:22px;"><strong>HTC將推線上VR內容訂閱服務Viveport Infinity，4月正式上線</strong></span></strong></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%965%EF%BC%9A%E5%9C%965_%20AR%E2%80%A7VR%E9%9B%99%E9%80%B1%E5%A0%B1(22).jpg" style="width: 600px; height: 314px;" /></p> <p>繼HTC在今年CES大展上發布全新線上VR內容訂閱服務Viveport Infinity後，該公司近日也宣布這項服務，將在4月2日正式上線，並將提供月費與年費兩種訂閱方案，讓使用者能以每月12.99美元（約臺幣419元）或每年99美元（約臺幣3,199元）價格，來使用Viveport平臺上超過600款VR軟體及遊戲。至於之前已經訂閱的用戶，也能以原價格續訂該服務，HTC表示，該項新服務也可做為跨機種與跨平臺的訂閱服務使用，不只適用HTC Vive頭戴裝置，也支援了臉書Oculus Rift裝置，或是搭載Vive Wave平臺的所有VR一體機裝置。</p> <p><span style=" color:#ffffff;"><strong><span style="background-color:#3399ff;">AR </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 阿里巴巴 </span></strong></span></p> <p><strong><span style="font-size:22px;"><strong>推動先進AR技術研究，阿里巴巴併購以色列AR新創Infinity AR</strong></span></strong></p> <p>阿里巴巴近日大舉收購以色列AR新創Infinity AR，未來該團隊將加入阿里巴巴達摩院在以色列成立的機器視覺實驗室，來做為推動先進AR技術研究。阿里巴巴自3年前開始與Infinity AR展開合作，相繼投入包括AR、AI與電腦視覺技術等相關研究，並也獲得優異成果，因為決定將Infinity AR納入該集團成為旗下一員。阿里巴巴以色列機器視覺實驗室負責人Lihi Zelnik-Manor表示，未來將借重Infinity AR在感測器融合、電腦視覺以及導航技術的經驗，持續探索新興基礎技術，包括AR、機器視覺與AI等。</p> <p><span style=" color:#ffffff;"><strong><span style="background-color:#3399ff;">Sony </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> VR </span></strong></span></p> <p><strong><span style="font-size:22px;"><strong>Sony：PSVR頭戴裝置全球已賣出420萬臺</strong></span></strong></p> <p> </p> <p>日本Sony近日公布最新Play Station VR（PSVR）頭戴裝置的全球銷量，截至今年3月3日，PSVR已經在全球賣出420萬臺。PSVR自2016年秋天開賣以來，不到1年全球銷量就達到100萬臺，去年8月，PSVR銷量更突破300萬臺，以及賣出及2千多萬套的VR遊戲。近來也傳出Sony趁勝追擊，今年將推出第二代PSVR頭戴裝置，拉開與競爭對手的市占差距，新款PSVR裝置除了性能獲得大幅提升外，也將搭配全新PlayStation Move控制器及採用新型感測器追蹤技術。不過，Sony官方並未證實。</p> <p><span style=" color:#ffffff;"><strong><span style="background-color:#3399ff;">高通 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> VR </span></strong></span></p> <p><strong><span style="font-size:22px;"><strong>跨入VR裝置市場，高通今年將推出首款無線VR頭戴裝置</strong></span></strong></p> <p>行動晶片大廠高通不只開發手機晶片，現在也要推出自己的VR頭戴裝置硬體，高通目前正在研發一個VR頭戴裝置，不需要有線，而是可無線連接PC來體驗VR內容。這個VR裝置的開發計畫，來自於高通的Boundless XR for PC專案。該硬體將採用高通的Snapdragon 845處理器，搭配802.11ad無線晶片組。根據該公司表示，這個VR裝置將在今年稍晚時候推出，將會在今年舊金山舉行的遊戲開發者大會上，會有相關應用成果展示。責任編輯／余至浩</p> <p><strong>圖片來源／HTC、Nvidia、Tobii、Oculus VR、HP</strong></p> <p><strong><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多AR‧VR動態 </span></strong></span></strong></strong></p> <p><strong><strong>1.不再製作原創VR動畫，Google關閉VR電影工作室Spotlight Stories</strong></strong></p> <p><strong><strong>2.HTC最新款VR頭戴裝置Vive Focus Plus將在4月中上市，售價799美元</strong></strong></p> <p><strong><strong>3.聯想為旗下VR頭戴裝置Mirage Solo新增現實觀看功能</strong></strong></p> <p><strong><strong>4.HTC虛擬實境訂閱服務Viveport今年稍晚將能支援Windows VR頭戴裝置了</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2019年03月</strong></strong></p> </div></div></div>
2019/4/2 14:03作者余至浩https://www.ithome.com.tw/news/129744
安全研究人員示範誤導特斯拉Model S駛入對向車道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>特斯拉三月大降價令許多人心動，但是資安業界擔心電動及自駕車系統可能遭駭引發安全問題。上周有<a href="https://www.youtube.com/watch?v=6QSsKy0I9LE" target="_blank">安全研究人員示範</a>，即使不是駭入系統，也可以用其他方法操弄特斯拉的車子，像是誤導它駛入對向車道。</p> <p>中國<a href="https://www.dailymail.co.uk/sciencetech/article-3799158/Tesla-fixes-security-bugs-claims-Model-S-hack.html" target="_blank">騰訊安全科恩實驗室（Keen Lab）在2016年即曾以Tesla Model S示範</a>如何駭入車輛輔助駕駛系統Autopilot，從遠端控制顯示螢幕、開車門天窗、甚至車輛煞車系統。在<a href="https://keenlab.tencent.com/en/2019/03/29/Tencent-Keen-Security-Lab-Experimental-Security-Research-of-Tesla-Autopilot/" target="_blank">這次的示範中</a>將目標轉向Tesla Model S 的視覺辨識。</p> <p>Tesla Autopilot可以透過影像識別技術辨識下雨的天氣，必要時啟動雨刷。但科恩實驗室研究人員在一台安裝Autopilot的2018.6.1版Model S攝影機前，以一平面電視播放雨滴打在車窗的影片，真的讓車子誤以為下雨而啟動雨刷，<a href="https://keenlab.tencent.com/en/2019/03/29/Tencent-Keen-Security-Lab-Experimental-Security-Research-of-Tesla-Autopilot/" target="_blank">指出</a>以在實體世界變造產生的假影像，系統會被干擾而回覆「不適當」的結果，進而啟動雨刷。</p> <p>另一項實驗中，研究人員設計了假車道來證實Autopilot的「車道識別瑕疵」。由於Autopilot是根據車道上刻意設計的不明顯小正方塊來偵測車道線，研究人員在交叉路口的車道上貼上干擾貼紙，讓Autopilot誤以為是直行道路，這讓Model S過了路口後就駛上對向車道。</p> <p>此外，研究人員再次駭入Autopilot，成功以無線遊戲遙控器操控Model S方向盤轉向，甚至在Autopilot未啟動情況下也辦得到。</p> <p>研究人員將測試結果通知特斯拉。這家車廠回覆指出，雨刷測試的情境並非真實世界會有，也不是安全性的問題。且一旦自動雨刷或道路辨識真的出問題，駕駛人都可以使用方向盤和煞車，輕易取代Autopilot。至於第三種情境，特斯拉公司表示漏洞早已在2017年以後的Autopilot版本修補。</p> </div></div></div>
2019/4/2 14:55作者林妍溱https://www.ithome.com.tw/news/129748
Google修補Android 11項重大及高風險安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://source.android.com/security/bulletin/2019-04-01#2019-04-01-details" target="_blank">Google發佈安全公告</a>，修補了包括2項遠端程式碼執行（remote code execution, RCE）等在內11項高風險與重大漏洞。</p> <p>Google 4月1日發佈的安全修補程式中，<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2027" target="_blank">CVE-2019-2027</a>及<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2028" target="_blank"> CVE-2019-2028</a>的漏洞位於Android 媒體框架（Media framework），可讓攻擊者傳送變造過的檔案，進而在有權限情況下從遠端執行任意程式碼，被Google 研究人員列為重大風險等級。</p> <p>Google團隊另外還修補了9項高（High）風險漏洞，包括6項權限升級（elevation of privilege）漏洞。其中CVE-2019-2026位於Android框架，其他5項（CVE-2019-2030、CVE-2019-2031、CVE-2019-2033、CVE-2019-2034及CVE-2019-2035）位於作業系統中，可在讓裝置端的攻擊者不需使用者互動而取得更高權限。此外作業系統核心還包括3項可導致資訊洩露的漏洞：CVE-2019-2038、CVE-2019-2039、CVE-2019-2040，皆被列為高風險。</p> <p>除了少數漏洞外，大部份漏洞影響包括Android 7.0（7.1.1、7.1.2）、8.0/ 8.1及9等版本。所幸Google表示尚未接獲有開採或濫用上述漏洞的受害通報。</p> <p>主要Android廠商已在至少一個月前就獲得通報，包括Google Pixel和Nexus裝置、Samsung、Sony、LG、HTC、Nokia等品牌手機用戶，理應近日會接到更新通知，Google也會在48小時內，將修補程式釋出給Android開源碼專案（Android Open Source Project, AOSP）資料庫。</p> <p>此外，Google並預計在4月5日發佈第二波安全修補程式，修補作業系統中1項遠端程式碼執行（RCE）漏洞，以及2項權限升級與1項資訊洩露漏洞。4月5日的修補更新則可解決上述所有漏洞。</p> </div></div></div>
2019/4/2 13:05作者林妍溱https://www.ithome.com.tw/news/129742
Fastly開源原生WebAssembly編譯器和Runtime專案Lucet
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fastly.com/blog/announcing-lucet-fastly-native-webassembly-compiler-runtime">雲端服務供應商Fastly釋出Lucet開源專案</a>，這是原生的WebAssembly編譯器和Runtime，目的是要將WebAssembly帶出瀏覽器，在開發者的應用程式中，安全地執行不受信任的WebAssembly程式。</p> <p>WebAssembly是新一代網頁格式，為C、C++以及Rust等高階程式語言的編譯，提供可移植性的優點，開發者可以選擇將WebAssembly網頁應用程式，部署在客戶端或是伺服器端，而且由於WebAssembly是為堆疊機器設計的二元格式，能夠在廣泛的平臺中，以原生速度執行程式碼。</p> <p>看上WebAssembly省資源且高執行效率的優點，Fastly現在擴充其雲端平臺，支援執行WebAssembly程式的能力，讓使用者不再受限使用Fastly VCL（Varnish Configuration Language）腳本語言，而是能以更多元的程式語言，像是Rust、TypeScript、C和C++等程式語言開發程式。為此Fastly即將推出WebAssembly邊緣運算平臺Terrarium，而Lucet則是其背後的引擎。</p> <p>Lucet使用Mozilla的Cranelift程式碼產生器建構而成，Cranelift專案被用於Firefox的WebAssembly和JavaScript的JIT引擎中，而Lucet還支援最新的WebAssembly模組化標準系統介面<a href="https://ithome.com.tw/news/129649">WASI</a>，WASI則是個新的標準，能將核心功能，像是檔案系統、網路或是其他系統裝置安全地開放給WebAssembly程式。Mozilla要以WASI擴展WebAssembly的可移植性，使其不靠瀏覽器也能在多個平臺執行，Fastly提到，在Lucet支援WASI可以讓使用者在任何平臺執行WebAssembly程式，包括雲端、邊緣、瀏覽器、電腦或是智慧型手機。</p> <p>Lucet可以讓邊緣雲端以同一個程序，在不會影響安全性的情況下，執行數以萬計的WebAssembly程式。Lucet有兩個元件編譯器以及Runtime，編譯器可以將WebAssembly模組編譯成為原生程式碼，而Runtime則可以管理資源並捕捉Runtime錯誤，編譯器與Runtime協同合作能夠確保每個WebAssembly程式僅能存取自己的資源。</p> <p>Lucet可以在50微秒內，使用KB大小的記憶體實例化WebAssembly模組，Chromium的V8引擎則需要花費約5毫秒和MB大小的記憶體，才能建置JavaScript或WebAssembly程式實例。Fastly提到，Lucet是專為將WebAssembly轉為原生執行機器碼設計的AOT（Ahead-Of-Time）編譯，比起為瀏覽器引擎設計的JIT（Just-In-Time）編譯，在Runtime設計上更簡單，執行起來也更省資源。</p> </div></div></div>
2019/4/2 10:33作者李建興https://www.ithome.com.tw/news/129736