iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 21篇
近 24 小時: 21篇
近 7 天: 121篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 14:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 116 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象3 家

路透社2筆關係
日經中文網1筆關係
彭博社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Fintech周報第94期：LINE預計招募50位開發工程師，瞄準金融服務釋出多項職缺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">04/06-04/12</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> LINE </span> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 人才招募 </span></strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">LINE預計招募50位開發工程師，瞄準金融服務釋出多項職缺</span></strong><br /><span style="vertical-align: top; font-size: 18.6667px;">LINE臺灣前陣子承諾2019年將針對開發者社群投入更多資源，近期便宣布將於5月18日，舉辦首屆LINE Developers Recruitment Day工程師招募活動，預計招募超過50位開發工程師，釋出職缺包含資安工程師、資料工程、前端與後端工程師等。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">LINE表示，此次徵才將針對近期LINE推出的服務，來招募開發人才。LINE積極在臺布局純網銀、LINE Pay等金融服務，此次在金融服務部分，釋出職缺包括了金融科技與區塊鏈相關內容，還有支付與虛擬貨幣等。而電商與旅遊導購平臺的串接，則釋出前端與後端工程師的職缺。LINE表示，資料工程團隊也是此次的招募重點，是為了協助LINE各服務，能運用資料科學與機器學習技術。此外，LINE也提到資安團隊也持續招募新血中。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 星展銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 企業帳戶即時管理 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">星展銀行推企業帳戶即時管理服務，助提升現金管理流程效率</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%98%9F%E5%B1%95%E9%8A%80%E8%A1%8C_%E6%94%9D%E5%BD%B1_%E6%B4%AA%E6%94%BF%E5%81%89.JPG" style="font-size: 14pt;" /></p> <p><span style="font-size: 18.6667px;">星展銀行（臺灣）於4月2日宣布，推出創新API方案DBS Ideal Rapid企業帳戶即時管理服務，協助企業快速掌握帳款交易資訊。星展銀行總經理林鑫川表示，現金管理是影響企業營運效能的關鍵，這項服務是透過API技術，提升企業現金管理流程效率，讓企業客戶在營運資源分配上能更靈活。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">星展銀行環球金融交易服務處處長陶曉昀則提到，對帳戶與金流的即時掌握，是企業維持競爭力不可或缺的一環。DBS Ideal Rapid企業帳戶即時管理服務，是透過API技術，自動整合不同通路的匯款資訊，並主動發送入帳通知，讓企業隨時掌握帳務狀態。同時透過串連財務系統與ERP系統，取得相關交易資訊，讓客戶不再需要登入網銀，即可查詢帳戶餘額及歷史交易記錄，節省對帳作業流程。此外，DBS Ideal Rapid還提供臺幣即時轉帳匯款功能，能快速執行各項應收或應付帳款動作，滿足企業日常交易需求。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 新光金控 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Fintech </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">新光金控揭露子公司2019年Fintech發展新規畫</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E6%96%B0%E5%85%89%E9%87%91%E6%8E%A7_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%96%B0%E5%85%89%E9%87%91%E6%8E%A7.jpg" /></span></strong></p> <p><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">新光金控在3月28日舉辦2018年第四季法說會，針對旗下的新光人壽、新光銀行與元富證券等子公司，也提出2019年的發展規畫。主打外幣保單與保障型商品銷售的新光人壽，將會聚焦同一方向，並精實自有通路與發展夥伴多元通路。他們也要持續推廣數位服務，讓客戶能自主在網路通路，使用保險相關服務或進行交易。此外，新光人壽也將升級智能客服，希望能提高客戶滿意度。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">而新光銀行，則將整合共同客戶，精進數位金融業務，目標是讓數位金融活戶與數位收益成長。而作為新光金控第三大獲利引擎的元富證券，則將結合金控資源，提升經紀業務市佔率。也將持續與新光人壽、新光銀行共同行銷，強化業務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 玉山銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 聲控 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">玉山行動銀行App支援Siri語音服務，可聲控開啟即期匯率或即時轉帳功能</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E7%8E%89%E5%B1%B1%E8%A1%8C%E5%8B%95%E9%8A%80%E8%A1%8CApp_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%8E%89%E5%B1%B1%E9%8A%80%E8%A1%8C.jpg" /></p> <p><span style="font-size: 18.6667px;">玉山銀行於4月8日宣布，玉山行動銀行App推出支援Siri語音服務，用戶只要透過聲控呼叫開啟功能，就可以查看即期匯率或即時轉帳。而玉山銀行也是國內首家推出此項服務的金融業。玉山銀行表示，只要是使用iOS 12或以上版本的iPhone用戶，即可開啟玉山行動銀行App，進入外匯匯率與即時轉帳功能後，點選加入Siri，即可自訂錄製呼叫語音，往後即可用此錄製下來的語音，呼叫Siri開啟即時轉帳功能或進入外匯匯率功能。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 洗錢防制法 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 虛擬貨幣事業 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">洗防法納管虛擬通貨事業，最快本月底敲定納管範圍</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣在去年11月正式三讀通過了洗錢防制法第五條修正案，將虛擬通貨平臺及交易業務，正式納入洗錢防制的一環。然而，洗防法修正案三讀通過後已5個月，相關子法卻還沒訂定出來，以至於法令無法上路。引述經濟日報報導，法務部與金管會，預計最快4月底前敲定虛擬貨幣業者的納管範圍，接著才會訂定子法，將虛擬貨幣業者納入反洗錢管理。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 永豐銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 開放API </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">永豐銀開放出四大類API，包括消費支付、生活繳費、身分認證與金融資訊服務</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965_%E6%B0%B8%E8%B1%90%E9%8A%80%E8%A1%8C.jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">永豐銀行2019年推出Partner APIs四大藍圖，要力推開放銀行，包括消費支付、生活繳費、身分認證與金融資訊服務API，讓企業透過串接API的方式，加速創新以滿足市場需求，也要讓銀行服務無所不在。永豐銀行舉例，如果是消費支付應用的企業，例如支付業者，導入消費支付API後，永豐銀行的客戶就可直接綁定帳戶，在業者端進行消費、儲值。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">若企業有定期性收款需求或提供繳費服務，即可運用生活繳費API，即能支援34項生活帳單及捐款服務。若企業需要身分認證功能，例如證券商在開戶功能導入身分認證API，民眾在開立證券戶後，也能直接線上驗證銀行帳戶，不用再跑一趟分行或券商。若企業經營旅遊或跨國購物相關服務，也可導入金融資訊服務相關API，提供即時金融匯率資訊。永豐銀也預計未來，身分認證除傳統的金融卡或帳號、密碼外，也將加入生物辨識技術，讓服務更為安全、便利。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 加密貨幣 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 詐騙 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> AI </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">韓國警方以AI糾出加密貨幣龐氏騙局首腦</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">韓國當地媒體報導，韓國警方在人工智慧（AI）的協助下，成功逮捕到一宗加密貨幣龐氏騙局的首腦及其下線。韓國警方指出，李姓及Bae姓主嫌成立會員制的購物網站及加密貨幣M-Coin的交易平臺，從去年5月起的6個月間成功吸收到5.6萬名會員，透過會員費和出售M-Coin總共吸金高達約212億韓圜（約1,870萬美元）。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">這次行動很特別的是動用到AI技術。這家「公司」十分狡猾，會計系統設立於境外避免追查，去年南韓警方啟動調查後還轉入地下，將系統藏於私人家中甚至汽車行李箱。警方以龐氏騙局相關用語，包括「借貸」、「保證收入」、「風險因子」等字詞來訓練AI演算法。警方表示，配合消息人士提供的證據，這套AI系統還能辨識出吸收下線的廣告特徵及可疑公司。最後AI系統成功循線糾出一干人等及其伺服器和電腦。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">圖片來源：</span><span style="vertical-align: top; font-size: 14pt;">攝影／</span><span style="vertical-align: top; font-size: 18.6667px;">洪政偉；</span>LINE、新光金控、玉山銀行、永豐銀行<br style="vertical-align: top;" /><br /><span style="vertical-align: top; font-size: 18.6667px;">責任編輯／李靜宜</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1. </strong><strong style="font-size: 14pt;">比特幣價格回升，截至4月9日已衝破5,300美元</strong><br /><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;"><strong style="vertical-align: top; font-size: 14pt;">2. </strong></strong></strong><strong style="font-size: 14pt;">財金公司開放API研究諮詢小組，除原有的10席金融機構成員，另5席金融機構代表為華銀、兆豐銀、彰銀、板信商銀、合作金庫</strong><br /><strong style="font-size: 14pt; vertical-align: top;">3. </strong><strong style="font-size: 14pt;">AWS推出預配置的深度學習容器</strong><br /><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;"><strong style="vertical-align: top; font-size: 14pt;">資料來源：iThome整理，2019年4月</strong></strong></strong></p> </div></div></div>
2019/4/10 11:58作者李靜宜https://www.ithome.com.tw/news/129878
臉書開源程式碼推薦工具Aroma
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/aroma-ml-for-code-recommendation/">臉書開源應用機器學習的程式碼推薦工具Aroma</a>，能以程式碼搜尋程式碼的方式，幫助開發者針對特定任務，查詢其他開發者的處理方法，Aroma可以搜尋大型程式碼庫，並提供程式碼推薦結果，以加速開發者的開發效率。</p> <p>臉書提到，過去沒有任何工具可以良好的解決程式碼推薦問題，無論是文件搜尋工具還是程式碼搜尋工具，取得的結果都不夠精準，難以找到適合可立即使用的程式碼撰寫模式。Aroma可以讓開發者直接以程式碼片段進行搜尋，Aroma則會回傳程式碼建議，而這些建議來自程式碼儲存庫中，找到的程式碼片段匯總。</p> <p>臉書舉例，當Android開發者想要了解其他人撰寫點陣圖解碼的寫法，就能使用原本的程式碼（下圖）進行搜尋，Aroma回傳的每個程式碼建議結果，是匯總儲存庫中數個程式碼片段而成，能夠呈現點陣圖解碼常用的程式碼寫法。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/refine1_FireShot%20Capture%20255%20-%20Aroma_%20Using%20ML%20for%20code%20recommendation%20-%20aifacebookcom.jpg" style="width: 600px;" /></p> <p>Aroma從儲存庫中找到五個類似的方法，合成為最終的程式碼建議結果，下圖這個建議結果簡化了各個方法的具體細節，但是依照結果可以知道，這五個參考的程式碼方法，開發者們在解碼點陣圖的時候，都設置了額外的Options，並且設定了SampleSize以減少解碼大型點陣圖時的記憶體使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/refine2_FireShot%20Capture%20255%20-%20Aroma_%20Using%20ML%20for%20code%20recommendation%20-%20aifacebookcom.jpg" style="width: 600px;" /></p> <p>與其他搜尋解決方案不同的是，Aroma並非以字串或是Token進行匹配，而是找出能類似查詢程式碼的例子，並且修剪不相關的程式碼，以突顯需要強調的部分。而且Aroma所產生的程式碼建議，是匯總相似程式碼的結果，這些推薦結果代表著慣用寫法，因此比起單一搜尋結果，更具代表性也更容易使用。</p> <p>臉書也強調，Aroma的執行速度非常快，可以即時的提供結果，即便在非常龐大的程式碼儲存庫，也只要幾秒鐘的時間創建建議，不需要進行預先的模式探勘，而且Aroma的核心演算法與語言無關，臉書在內部的Hack、JavaScript、Python和Java程式碼褲都部署了Aroma。</p> </div></div></div>
2019/4/10 10:25作者李建興https://www.ithome.com.tw/news/129869
歐盟施壓，迫使臉書將明文告知他們利用消費者個資發送廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>迫於歐盟壓力，歷經多次重大資料外洩事件的臉書同意修改其服務條款，明白解釋蒐集用戶資料發送精準廣告以換取免費服務。</p> <p><a href="http://europa.eu/rapid/press-release_IP-19-2048_en.pdf" target="_blank">歐盟指出</a>，新的服務條款將將以簡單易懂的語言，向使用者說明臉書提供給消費者（使用者）的哪些服務中，有哪些是根據其使用者資料而來、消費者要如何關閉帳號，以及哪些理由下可關閉帳號。</p> <p>歐盟法律、消費者與性別平等委員會主席Vera Jourova表示，臉書終於在服務條款中展現透明度及淺白語言，未來用戶將能明白他們的資料會被臉書用來銷售精準廣告。</p> <p>去年臉書爆發劍橋分析（Cambridge Analytica）高達8700萬筆用戶個資外洩事件，歐盟及歐洲各國消費者保護主管機關啟動調查，要求臉書需清楚告知用戶他們的商業模式、哪些營收是來自使用用戶的資料，也要求這家社群平台未來服務條款需遵守歐盟消費者法規。</p> <p>因此未來臉書將在其新版服務條款中，解釋他們免費提供消費者服務的代價是將其資料分享給廣告主，也會說明其商業模式仰賴依據使用者的資料分析，以銷售精準廣告給廠商。</p> <p>此外，臉書也將修改過去條款中不合理的部份，包括像個資遭誤用等事件發生時，臉書規避責任（現在將負起責任）、單方面變更服務條款的權利（除非是基於合理原因且考慮用戶的變更）、暫時保留用戶已刪除的內容（現在僅能因法規才能這麼做，且最長只能保留90天）。此外，也會說明用戶內容遭臉書移除時，應明白告知用戶其申訴的權利。</p> <p>臉書需在2019年6月底完成上述變更，如果臉書未能做到，則各國主管機關可能決定啟動執法，包括禁用令。</p> <p><a href="https://techcrunch.com/2019/04/09/its-free-youre-the-product/" target="_blank">Techcrunch引述</a>臉書發言人指出，雖然更新服務條款是與歐洲消費者保護主管機關的協議結果，但上述變更將適用於全球臉書網站。</p> </div></div></div>
2019/4/10 10:30作者林妍溱https://www.ithome.com.tw/news/129876
【iThome 2019 CIO大調查】轉型領先企業CIO今年優先目標為何？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/915_feng_mian_gu_shi_2shu_wei_zhuan_xing_qi_ye_-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/915%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B2(%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E4%BC%81%E6%A5%AD)-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/915%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B2(%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E4%BC%81%E6%A5%AD)-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/915%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B2(%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E4%BC%81%E6%A5%AD)-600-3(1).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/915%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B2(%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E4%BC%81%E6%A5%AD)-600-4.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/915%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B2(%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E4%BC%81%E6%A5%AD)-600-5.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>問卷執行說明</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>調查對象涵蓋了臺灣2千大企業，搭配iThome歷屆CIO大調查企業中的資訊部門最高主管，及政府一級機構、大專院校資訊主管和資安主管等，來進行線上問卷調查。調查從2019年1月21日到2月19日結束，有效問卷數382份。其中已經完成數位轉型或正在執行中的企業，有206家，定義為數位轉型領先者，其餘則仍處於規畫中（規畫中者)，或甚至是自認不需要或還沒有任何轉型作為者（落後者）。有76.7％填答者是企業IT部門最高主管。</strong></span></p> </div></div></div>
2019/4/10 09:00作者王宏仁https://www.ithome.com.tw/article/129826
美國總務管理局釋出聯邦政府網頁設計系統USWDS 2.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總務管理局（U.S. General Services Administration，GSA）的技術轉型服務（Technology Transformation Services）底下的專案<a href="https://v2.designsystem.digital.gov/whats-new/updates/2019/04/08/introducing-uswds-2-0/">美國網頁設計系統（U.S. Web Design System，USWDS）釋出了2.0版本</a>，現在於<a href="https://github.com/uswds/">GitHub</a>中開源。USWDS由程式碼函式庫、工具程式和設計指南集合而成，目的是要幫助美國聯邦政府團隊，設計和建構出快速無障礙，適合行動裝置存取的政府網站。</p> <p>USWDS已經被200多個美國聯邦政府網站採用，過去兩年，官方收集設計與開發人員對USWDS專案的使用意見，並在研究了使用者回饋後，現在改版推出USWDS 2.0，強調模組化與使用者中心設計，加強無障礙設計與行動裝置的支援，提供設計人員一致的溝通語言簡化溝通工作，這個版本推出了功能強大的工具包，還開源了無襯線適合閱讀與表格資料的字體<a href="https://github.com/uswds/public-sans">Public Sans</a>。</p> <p>官方提到，開發者可以在原來的網站逐漸加入USWDS元件，不用為了要採用USWDS 2.0而從頭建置網頁，USWDS 2.0提供增量更改，以類別的方式提供獨立的樣式，不會影響網頁原有樣式，其模組化元件讓開發者可以靈活的新增功能，而設計人員也使用自定義字體以及設定大小。USWDS 2.0提供了專案共享的視覺設計決策模組Design tokens，以一組離散的顏色、大小與距離等選項，簡化設計人員的選擇以及溝通工作，解決因選擇太多造成的選擇或溝通困難，標準化調色盤、基本間距單位以及Type Scale都能幫助加速設計規格制定。</p> <p>USWDS 2.0的顏色系統讓設計人員能簡單的挑選無障礙設計顏色組合，每個USWDS系統顏色都有數字等級，任兩個數字間的差距越大則代表對比度越大，數字差40以上達AA Large對比，50以上就達到AA對比，而70以上則符合AAA對比，設計人員可依數字差簡單地選擇出可預測效果的顏色。</p> <p>為了讓開發人員更快開發出網站原型，官方為USWDS加入工具程式類別，這是基於Design tokens的現代設計方法，可以讓開發人員快速修改生產元件，在不需要撰寫專用CSS的情況下，輕鬆地建立可操作原型。USWDS 2.0提供簡化的12欄布局網格，這是一種基於Flexbox的網格，為設計與開發人員提供可以預測的控制，由於網格的巢狀結構，設計人員可以簡易的設計出適合各種螢幕大小的布局。</p> <p>USWDS還開源了免費的字體Public Sans，USWDS 2.0開始支援自定義字體，而當開發者需要一個簡單且中立的字體，則可以選擇使用Public Sans，Public Sans是由USWDS專案設計和維護的字體，從Libre Franklin改編而來的無襯線字體，專為易讀性設計，並且還有為表格資料設計的數字。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/public-overlay-libre-franklin.png" style="width: 600px;" /></p> </div></div></div>
2019/4/10 09:39作者李建興https://www.ithome.com.tw/news/129867
Android間諜程式Exodus現身iOS平台
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.lookout.com/esurv-research" target="_blank">資安業者Lookout指出</a>，過去在Android平台上肆虐的間諜程式Exodus已被移植到iOS平台上，且利用蘋果專為大型企業設計的Apple Developer Enterprise Program誘導使用者下載及安裝，儘管iOS版的Exodus不如Android版的強大，但它依然能夠竊取iOS裝置上的通訊錄、照片、GPS位置、裝置資訊，甚至是遠端竊聽。</p> <p>安全無疆界（Security Without Borders）組織率先在去年6月揭露了Exodus，當時它主要鎖定Android裝置，偽裝成各式電信營運商的服務程式，還成功登上了Google Play，但受害者全都位於義大利。</p> <p>Lookout則說，Exodus不僅使用憑證綁定、以公鑰加密與遠端控制暨命令伺服器的傳輸、特定階段設有區域限制，而且還具備完整的監控能力。</p> <p>不管是<a href="https://securitywithoutborders.org/blog/2019/03/29/exodus.html" target="_blank">安全無疆界</a>或Lookout都追蹤到Exodus是源自於義大利的eSurv及Connexxa，前者是一家提供視訊監控軟體及影像辨識系統的業者，且這兩家業者擁有同樣的創辦人。Google已在去年下半年移除了Google Play上與Exodus有關的行動程式，但它現在卻重新現身於iOS平台。</p> <p>不過，Exodus並非透過App Store散布，而是濫用了蘋果的Apple Developer Enterprise Program，該專案允許企業打造私有程式以供員工使用，而且只需要滿足諸如是家真正的企業、具備Apple ID及擁有D-U-N-S號碼等規定就能申請。</p> <p>於是，駭客偽造了義大利與土庫曼的電信業者網站，在網站上提供了假冒為電信服務的IPA（iOS App Store Package）程式，相關的IPA程式皆含有具備企業憑證的行動供應配置文件，因而得以透過App Store以外的網站散布。</p> <p>雖然iOS版的Exodus不如Android版強大，也只具備Android版的部份功能，但它依舊能竊取使用者裝置上的通訊錄、錄音、照片、影片、GPS位置、裝置資訊，或是執行遠端竊聽等，同時它也能在使用者毫無察覺的情況下自行啟動。</p> <p>蘋果在收到Lookout的通知後已撤銷了相關程式所採用的憑證。</p> </div></div></div>
2019/4/10 09:45作者陳曉莉https://www.ithome.com.tw/news/129873
兩名高中生為了逃避考試摧毀學校的Wi-Fi網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國紐澤西州高中Secaucus School的兩名學生最近遭到警方逮捕，原因是<a href="https://newyork.cbslocal.com/2019/04/02/police-secaucus-high-school-freshmen-hacked-schools-wi-fi-made-life-difficult-for-teachers-for-week/" target="_blank">這兩名學生為了幫助同學逃避上課及考試，摧毀了學校的Wi-Fi網路</a>。</p> <p>根據外電報導，這兩名學生都只有14歲，他們遞送龐大的流量至學校的路由器，造成路由器當機，也讓校方的Wi-Fi網路不通，使得仰賴網路的師生們無法登入學校系統、沒法作功課、沒法上課，也無法考試，而且持續了一周。</p> <p>警方則說他們是利用其它公司的服務駭進並關閉學校的Wi-Fi網路，且在今年3月便執行了多次攻擊。</p> <p>這兩名學生的同學透露，他們應該是在其他同學的要求下才發動攻擊，原因只是有的同學不想上課及考試。不管他們有沒有成為同學心目中的英雄，都已被控告參與電腦犯罪及共謀電腦犯罪。</p> </div></div></div>
2019/4/10 10:05作者陳曉莉https://www.ithome.com.tw/news/129874
Visual Studio 2019鮮為人知的小功能更新，現可為Git拉取設置快捷鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟剛釋出了Visual Studio 2019，這個版本簡化了程式碼開發工作的起始流程，同時也更新了使用者介面，整體顏色主題更加銳利，也更新了許多程式碼開發功能，並且開始內建遠端程式碼協作服務Live Share等。除了這些官方主打的功能之外，<a href="https://devblogs.microsoft.com/visualstudio/little-great-things-about-visual-studio-2019/">Visual Studio 2019也更新了一些有用的小功能</a>。</p> <p>Visual Studio之前的版本，會在解決方案關閉之後，保存使用狀態以便在下一次開啟時，可以在解決方案資源管理器中，恢復專案和文件夾的折疊與展開狀態，但對於喜歡每次開啟解決方案時都能擁有乾淨面板的使用者，這樣的設計就不那麼友善了，而現在Visual Studio 2019原生加入清理解決方案載入的功能。</p> <p>這項功能由兩個獨立的複選框控制，使用者可以在Ctrl+Q搜尋Load，並在專案與解決方案中的一般選項頁面，反勾選解決方案載入時重新開啟文件，以及反勾選解決方案載入時，恢復解決方案資源管理器的階層狀態兩個選項，這樣不只可以讓介\面更加簡潔，也會因為減少了Visual Studio回復狀態的時間，專案載入的速度更快。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/solution-load-perf-settings.png" style="width: 600px;" /></p> <p>開發者現在也可以為Git拉取動作加入快捷鍵，過去使用者可以在團隊資源管理器、命令列或使用外部工具執行Git拉取，但是複雜的手續常讓開發者忘記在提交之前，先執行Git拉取動作而產生程式碼衝突，而現在Visual Studio 2019讓開發者可以在鍵盤快捷鍵設置拉取命令，只要以Ctrl+Q搜尋Keyboard，並在環境的鍵盤選項頁面，找到Team.Git.Pull命令，並且指定任意快捷組合，就能快速執行Git拉取。</p> <p>Visual Studio 2019還支援了C#程式碼清理功能，幫助開發者保持程式碼整齊，以及維持一致的程式碼風格。開發者可以在編輯器底部的程式碼清理選單中，點擊配置程式碼清理按鈕，在開啟的對話框中，將下方的可用修復規則，加入到上方的已包含的規則中，這樣每次開發者執行程式碼清理的時候，都會自動應用自這些程式碼風格規則。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/clipboard-preview.png" style="width: 600px;" /></p> <p>開發者常用的剪貼簿功能現在更加方便，由於開發者在Visual Studio使用Ctrl+C複製程式碼時，都會被儲存在剪貼簿堆疊（Clipboard Ring）中，使用Ctrl+Shift+V可以循環剪貼簿堆疊中的項目，並貼上開發者選擇的項目，而在Visual Studio 2019中，當開發者按下Ctrl+Shift+V時，現在會顯示剪貼簿堆疊內容的視覺預覽，而這將讓開發者夠容易的在歷史複製中，瀏覽並且選擇正確的項目。</p> <p>除此之外，Visual Studio 2019也提供開發者快速收藏程式碼的功能，Git Stash就像是TFS中的Shelveset功能一樣，不需要創建分支，就能儲存專案程式碼，開發者可以在團隊資源管理器視窗中管理這些收藏，現在這個功能內建於Visual Studio 2019中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/git-stash.png" style="width: 600px;" /></p> </div></div></div>
2019/4/10 10:12作者李建興https://www.ithome.com.tw/news/129868
微軟更新抓漏政策，所舉報的漏洞就算內部已知情，也能獲得全額獎金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.technet.microsoft.com/msrc/2019/04/02/microsoft-bounty-program-updates-faster-bounty-review-faster-payments-and-higher-rewards/" target="_blank">微軟宣布</a>抓漏獎勵專案（Microsoft Bounty Program）將與HackerOne平台合作以加速抓漏獎金的發送，同時提高獎金及抓漏範圍，還變更了重覆提交漏洞的獎勵政策，舉凡是第一個提交的安全人員，都能獲得全額的獎金，不管微軟內部是否已經抓到該漏洞。</p> <p>微軟在2018年總計發出了超過200萬美元的抓漏獎金，從今年1月起，微軟即開始加速獎金的發放流程，在Cloud、Windows及Azure DevOps抓漏專案中，只要微軟完成漏洞的評估或重製即會發送獎金，而不必再等到修補完成。</p> <p>此外，未來微軟將與HackerOne平台合作以加速獎金支付程序，因此可提供更多的支付選項，涵蓋PayPal、加密貨幣、或多達30種法定貨幣的轉帳，也能拆分獎金並把它們捐給不同的慈善機構。</p> <p>目前微軟與HackerOne的合作只限於抓漏獎金的發放，漏洞報告仍然是由微軟安全回應中心（Microsoft Security Response Center）負責。</p> <p>今年微軟也將把Windows Insider Preview抓漏專案的最高獎金從1.5萬美元提高到5萬美元，將Microsoft Cloud抓漏專案的獎金從1.5萬美元提高到2萬美元，也將擴大Cloud專案與其它專案的抓漏範圍。</p> <p>另一方面，過去當安全研究人員所舉報的漏洞是內部已知漏洞時，微軟僅會象徵性地提供10%的漏洞獎金，但微軟現在認為，光是得知外部研究人員所具備的發現能力就是有價值的，因此決定變更該政策，只要是第一個回報符合資格之漏洞的研究人員，就算是微軟內部已知的漏洞，也能獲得全額獎金。</p> </div></div></div>
2019/4/10 10:15作者陳曉莉https://www.ithome.com.tw/news/129875
IDC和微軟聯手發布亞太AI大調查的臺灣數據，僅3成臺灣企業擁抱AI，保守文化是最大阻力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究機構IDC亞太團隊和微軟今天在臺公開了一份針對亞太15個市場的亞太AI大調查結果，IDC台灣區總經理江芳韻指出，台灣目前只有32%的企業開始擁抱AI，低於亞太地區的41%，阻力包括普遍保守的企業文化、習慣規避風險的思維以及缺乏穩健的導入計畫。</p> <p>IDC調查了亞太國家1,605位企業CXO等級高階主管和1,585位第一線員工，其中包括了台灣100家企業的決策者，以及104個第一線員工，最後在2月發布了一份《未來預備式：借助AI掌握亞洲的增長潛能》報告（Future Ready Business: Assessing Asia’s Growth Potential Through AI）。其中，IDC臺灣特別針對台灣調查結果與亞太區結果進行比較。全亞太區調查對象所屬產業遍布金融服務、政府部門、醫療照護、製造、教育、服務、電信和零售等，以線上問卷、電訪或面對面訪談的方式進行。</p> <p>IDC指出，AI對企業的影響可從三個面向來看，分別是創新力、生產力與競爭力。創新力是企業因AI技術而發展的新產品／新服務佔所有產品或服務的比例。亞太區的比例是22%，IDC預估2021年預測可以達到42%，但台灣則只有13%，2021年也預計達到31%，不過，臺灣區的成長幅度以2.4倍高於亞太區的1.9倍，IDC指出，雖然臺灣遠低於亞太區平均值，但反過來說，台灣擁抱AI後將帶來更高的效益與機會。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0036.JPG" style="width: 600px;" /></p> <blockquote><p>亞太地區（左）與台灣（右）創新力的比較。</p> </blockquote> <p>第二項是生產力指標，跟根據IDC調查，台灣企業導入AI後，生產力從現今的12%到2021年預測可達30%，預估可成長2.5倍，也高於亞太地區的1.9倍；在在競爭力指標上，71%的台灣企業認為，AI未來3年將與公司的競爭力高度相關，對已經導入AI的領先企業來說，3年後的競爭力將有2.2倍的成長。江芳韻指出，企業的競爭力將取決於創新的速度與營運的效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0042.JPG" style="width: 600px;" /></p> <blockquote><p>亞太地區（左）與台灣（右）生產力的比較。</p> </blockquote> <p>研究報告中也揭示了5個驅動企業導入AI的因素，包括與顧客更好的互動（Better Customer Engagements）、更多創新（Accelerated Innovation）、更多獲利（Higher Margins）、更有競爭力（Higher Competitiveness）、生產力的提升（Productive Employees）。</p> <p>不過，台灣與亞太區擁抱AI的理由差異很大。44%的台灣企業認為，「與顧客更好的互動」是導入AI最重要的因素，遠高於亞太區的26%，江芳韻解釋：「對台灣企業來講，怎麼樣去經營跟客戶的關係、得到客戶的支持、提升客戶的滿意度與忠誠度，在目前是有很高的需求與期待。」</p> <p>雖然台灣企業對於AI前景樂觀，但也非所有企業都具備了擁抱AI的體質或思維。IDC設計了一個AI準備度模型，來衡量企業是否已經準備好要擁抱AI，衡量指標包括了企業對AI的發展策略（Strategy）、投資程度與回報率（Investment）、開發、部署、管理、監控AI的能力（Capabilities）、基礎設備（Infrastructure）、資料的品質、可用性與即時性（Data），以及企業文化（Culture）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0048(1).JPG" style="width: 600px;" /></p> <p>在上述模型中，台灣的綜合準備度指數與亞太平均差不多，但在投資項目的準備度指數，台灣以2.6高於亞太平均2.43，代表台灣企業對AI的重要性有一定程度的認知，並且願意投資；不過在企業文化的部分，大部分的台灣企業比較保守，還是容易選擇規避風險，江芳韻表示，「台灣中大型企業的創新還是由上而下（Top Down）發動，由員工自己由下而上（Bottom Up）發動的創新比例，仍比亞太區情況更低。」</p> <p>江芳韻也提到，不論是台灣決策者與員工填答者都一致認為，台灣缺乏發展AI的企業文化。如高達63%臺灣作答者認為，企業沒有賦權給員工做決策、承擔風險、快速敏捷的做出反應（Empowerment），另有56%臺灣作答者認為，企業並無提供創新的環境（Innovation），更有47%臺灣填答者認為，企業不鼓勵員工垂進行直或水平的合作（Collaboration），這些數據都反映出，台灣的企業文化還有進步的空間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0051.JPG" style="width: 600px;" /></p> <blockquote><p>由左到右的研究項目分別為：賦權（Empowerment）、創新（Innovation）、超越（Going Beyond）、合作（Collaboration），每個項目的左側為決策者的想法，右側為第一線員工的想法。</p> </blockquote> <p>不過，決策者與員工也有對AI態度分歧的地方，主要是AI的工作影響性（AI will augment jobs），員工們多認為，AI可以協助員工更完善的完成工作與減少重複性工作，但決策者支持這項的比例較低。有趣的是，當被詢問到AI是否會取代員工工作的問題，只有2%的員工認同此說法，遠低於決策者的22%，這數據反映出，員工對AI的接受度比決策者想像的更高，江芳韻也因此鼓勵企業大膽擁抱AI。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0052.JPG" style="width: 600px;" /></p> <blockquote><p>每一個項目的上方為決策者想法，下方為第一線員工的想法。</p> </blockquote> <p>目前已有32%的台灣企業導入AI，其餘68%的企業在導入AI時面臨了不少困難，第一是缺乏相關技術、資源與學習計畫，第二是找不到適合、能解決問題的合作夥伴，第三則是缺乏進一步的分析能力與完善的基礎設施來發展組織需要的技術。江芳韻對此鼓勵台灣企業，要改變過去的心態、把創新與可能帶來的風險列入常態，並將AI作為長期戰略，才能在未來充滿變動的環境中維持競爭力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0050.JPG" style="width: 600px;" /></p> <blockquote><p>左側為亞太地區導入AI時面臨的挑戰，右側為台灣的數據。</p> </blockquote> </div></div></div>
2019/4/10 00:21作者翁芊儒https://www.ithome.com.tw/news/129871
【臺灣資安大會直擊】臺灣工控資安實驗平臺首度大公開，從模擬環境與真實現況來認識OT的資安風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>工業控制系統的資安問題，攸關國家的穩定與安危而備受重視。為了提升工控資安風險研究，臺灣已有資安業者積極投入，例如，在去年下半，安碁資訊仿效國外打造工業控制系統實驗測試平臺（Testbed），針對實際攻擊進行驗證與漏洞挖掘，未來並可用於資安產品測試與教育訓練實作。</p> <p>在今年的臺灣資安大會上，他們特別展示打造的小型資安工控系統實驗平臺，同時發表最新的研究成果，包括臺灣工控設備暴露於外的現況，以及工控系統漏洞問題的探討等。</p> <p>為了突顯工控系統遭人控制的風險，該公司技術副總黃瓊瑩也藉由Testbed來展示駭客如何入侵至工業控制環境，並取得ICS設備的操控權限。目的是要讓大家都能更清楚工控資安的問題與現況，並要有所重視與行動。</p> <p><strong>鑑於安全研究人員在OT研究上的困難，國內已有資安業者建置OT實驗平臺</strong></p> <p>這個Testbed模樣如何？看起來就如同迷你火車鐵道模型，上面有著鐵路相關的鐵軌、隧道、火車站、各式號誌，以及布置好的山林景色。更關鍵的是，這個模型採用的是與真實世界相同的工業控制協定，一旁並有PLC／HMI與SCADA的系統設備。</p> <p>為何要打造這樣的工業控制系統？黃瓊瑩表示，在OT領域中，因為資安研究人員欠缺相應的實作環境，而且設備不易取得且十分昂貴──若要打造一個發電、煉油系統，在實務上其實有很大的困難。此外，工業控制系統在資安方面的資料，相較於IT領域，相當稀有。因此，他更強調實驗平臺對於資安業者的價值，較容易盡情的發揮與研究，能提供練習、測試與驗證的環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）臺灣工控資安實驗平臺首度大公開960x420.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%87%BA%E7%81%A3%E5%B7%A5%E6%8E%A7%E8%B3%87%E5%AE%89%E5%AF%A6%E9%A9%97%E5%B9%B3%E8%87%BA%E9%A6%96%E5%BA%A6%E5%A4%A7%E5%85%AC%E9%96%8B960x420.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961B%EF%BC%89%E8%87%BA%E7%81%A3%E5%B7%A5%E6%8E%A7%E8%B3%87%E5%AE%89%E5%AF%A6%E9%A9%97%E5%B9%B3%E8%87%BA%E9%A6%96%E5%BA%A6%E5%A4%A7%E5%85%AC%E9%96%8B960x420.jpg" style="width: 600px;" /></p> <blockquote><p>為了突顯工業控制系統被入侵的風險，安碁資訊以交通運輸情境，打造了可類比於真實環境所需的模型場景，並連接OT環境使用的SCADA（左側機器）與PLC／HMI（右側機器）的系統設備。</p> </blockquote> <p>基本上，這次安碁展示的實驗平臺，是以交通運輸為情境，包含了隧道、平交道與斷軌區等真實環境所需要的場景，以及15個感測器與3個換軌器，並藉由此Testbed展示駭客入侵火車的手法研究。黃瓊瑩說，入侵過程主要分為四大步驟，包括滲透至內網、中間人攻擊、封包測錄與解析，以及封包重放與竄改。</p> <p>舉例來說，若是攻擊者要操弄火車行駛，首先可透過Angry IP Scanner這樣的IP檢查工具，找出各設備的MAC位置，進而得知使用的設備類型，像是發現實驗環境中的192.168.250.1是Omron的PLC，192.168.250.161是SCADA系統。</p> <p>接下來，將可利用ARP Spoofing監聽SCADA與PLC之間連線，然後開啟封包分析Wireshark工具，將測錄封包的結果解析，並對照暫存器與運行狀態，以掌握暫存器的內容值。</p> <p>之後，他們再嘗試透過網路的節點直接下達指令，透過重送攻擊更改設備狀態，藉由Modbus攻擊套件，設定攻擊主機IP位置，進而更改軌道閘門狀態，就可以讓火車駛向正常狀況下不會走到的斷軌區。</p> <p>從這樣的攻擊過程演示，不僅說明了當攻擊者可以接觸到裡面的控制網路時，怎麼執行攻擊，黃瓊瑩更是提醒，操弄這樣的工業控制系統並不難，因為工業控制協定在本質設計上，就沒有加密、身分認證等機制，因此只要掌握設備間的溝通，就可播放同樣的封包去操弄。</p> <p>實驗平臺的作用不僅如此，黃瓊瑩指出，他們還要用來研究工業控制系統存在的各種問題。而且，他們也從現實面的工控安全問題與漏洞現況來探討。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）臺灣工控資安實驗平臺首度大公開(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%87%BA%E7%81%A3%E5%B7%A5%E6%8E%A7%E8%B3%87%E5%AE%89%E5%AF%A6%E9%A9%97%E5%B9%B3%E8%87%BA%E9%A6%96%E5%BA%A6%E5%A4%A7%E5%85%AC%E9%96%8B(1).jpg" style="width: 600px;" /></a></p> <blockquote><p>關於OT與IT環境連結的現況，若缺乏有效隔離將增加入侵風險。黃瓊瑩表示，IT環境很多的基本控制要件，在OT世界沒辦法實作。他以畫面鎖定這樣的小功能來舉例，OT隨時都有值班人員，顯然情境大不相同。更關鍵的是在密碼定期變更，以及現場生場環境的更新修補，實務上其實會有很多困難。當然，如果環境是真的完全隔離，安全問題較少，但只要一個點被突破，不論是USB等可攜式裝置進入廠區、網路入侵等各種可能，整個工控環境就容易暴露重大安全風險。</p> </blockquote> <p><strong>從工控環境的現實面來看，設備暴露於外的風險需要正視</strong></p> <p>首先，工控系統暴露在網際網路的問題，是他們研究的一大課題。其實，去年底安碁就已經向我們透露相關資訊，這次則是他們首度於大型公開場合公布。在去年下半，他們已經發現有10,546個臺灣的工控設備暴露於網際網路。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）臺灣工控資安實驗平臺首度大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E8%87%BA%E7%81%A3%E5%B7%A5%E6%8E%A7%E8%B3%87%E5%AE%89%E5%AF%A6%E9%A9%97%E5%B9%B3%E8%87%BA%E9%A6%96%E5%BA%A6%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a></p> <blockquote><p>從這些暴露於外的工控設備來看，以工控協議而言，以Siemens S7專有通訊協定最高（40％），Modbus公開協定次之（7％），Ethernet/IP公開協定為第三（4％）。此外，可能便於維運管理，以啟用的服務而言，HTTP最高（41％），HTTPS次之（10％），接下來是Telnet（8％）、FTP（6％）與SSH（5％）。</p> </blockquote> <p>值得關注的是，以暴露的工控設備其產業別而言，包括了政府機關、學校、停車場、飯店大廈管理、鑄造製造等，甚至能源業也在其中。同時，黃瓊瑩也在簡報中放上一張臺灣某關鍵基礎設施的施耐得PLC控制器介面截圖，並提及這是他們找到暴露最多的一款。</p> <p>對於這樣的現況，他們也已通報相關能源單位處理。黃瓊瑩說明，他們這幾年也參與了國家關鍵基礎設施的專案，在通知單位機關後，對方也提供了一千多的IP位址來比對是否在暴露於外的名單中，經清查後，果然發現有10個IP位址符合，後續安碁也從提供的資料中，再找到100個IP位址也有相同問題。</p> <p>＠小標：工控系統的漏洞問題也將成無法迴避的挑戰</p> <p>另一個不可忽視的風險，是工控系統的漏洞問題。從國際上的弱點資料庫來看，根據ICS-CERT的統計數據顯示，安全漏洞的數量逐年增加，特別是自2010年Stuxnet病毒攻擊伊朗核電廠後，遭揭露的弱點有倍增的趨勢，例如，從2009年的19個漏洞，到2015年的212個，這其實意味著駭客對OT的興趣提升。兩百多個漏洞似乎還好？對此，他特別提醒，因為OT環境在一般狀況下，不是那麼容易接觸到，不像IT世界動輒幾萬個漏洞，因此數量上會有相當的落差。</p> <p>目前，挖掘工控設備系統漏洞的國內資安業者，其實並不多，黃瓊瑩因此也說明了他們在這方面的研究與進展。</p> <p>黃瓊瑩表示，在最近幾個月，他們就發現了Rockwell Automation一款設備的兩個漏洞，並提報到MITRE與ICS-CERT。MITRE也在去年11月底發布了CVE-2018-19615與CVE-2018-19616，CVSS 3.0的嚴重等極為5.1分與8.1分，而ICS-CERT在今年2月發布了ICSA-19-050-04、ICSA-19-050-04，CVSS 3.0評分為6.1分與9.8分。後續，Rockwell Automation在今年2月20日也已公開確認此漏洞。</p> <p>顯然，兩者相較之下，第二個漏洞具重大風險。而黃瓊瑩也說問題是出在驗證機制上，雖然系統具有基本的登入與密碼要求，但其檢查機制是設計在用戶端，而不是在伺服器端，因此相當容易被操弄而通過驗證，若要修補這樣的問題並不難。</p> <p>從上述這些真實的案例，黃瓊瑩更是探討了更多工業控制系統面臨的現況。舉例來說，該公司直到3月中仍未提供修補程式，因此風險其實並未受到控制，而就算更新修補出來，全球使用該設備的組織，在實務上也不一定能馬上完成更新。他並提醒，如果挖掘出工控系統的漏洞，如果不幸該工控設備又暴露在網際網路，更是立即可見的問題。</p> <p>最後，黃瓊瑩也針對工業控制網路防護的自我檢查，提供了三個重要的建議，包括資產盤點與網路架構檢視、OT網路隔離性檢視，以及ICS系統帳號管理。同時他也強調，在研究臺灣工控設備的狀況時，幾乎都發現預設密碼的問題，也就是說，用戶只要在網路下載該系統使用手冊，就可以得到密碼並通過驗證，這點更是需要特別注意。</p> </div></div></div>
2019/4/9 23:08作者羅正漢https://www.ithome.com.tw/news/129872
台灣微軟與高雄市聯手，以AI助學校打造數位雙語教學環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>傳統教育不僅要數位化，還要開始借重AI工具，讓學生能以更智慧、有效率的方式學習外語能力。</p> <p>高雄市政府今天（4/9）和台灣微軟合作，為培育雙語人才，鼓勵學校在雙語教學中使用微軟的AI工具，幫助學生以更智慧化的方式學習外語，培養更多雙語人才。</p> <p>高雄市長韓國瑜表示，高雄市府今年推動的三大教育主軸，是雙語教育、回歸教育基本面，以及照顧弱勢，高雄不只是港灣城市，也聚集重工業，高雄市與台灣微軟合作數位雙語教育，期望雙語教育能夠盡快扎根，在五到十年後開花結果。</p> <p>微軟已將AI應用在旗下的產品中，此次和高雄市的合作，將鼓勵學校的雙語課程使用微軟Office 365提供的AI工具，例如在OneNote裡的「沈浸式閱讀模式」，幫助學生專注閱讀，另外，透過AI朗讀工具，學生便能依照個人的學習狀況，調整朗讀的速度，並學習正確的發音。</p> <p>學生可以利用不同顏色標註詞性，加強對單字的印象，或是對英語文章的段落及單字進行翻譯，節省逐字查詢字典的時間，提升學習效率；PowerPoint也支援微軟翻譯功能，為英語簡報提供輔助字幕，讓學生更容易瞭解授課內容。</p> <p>台灣微軟也會培養教師的數位教學能力，配合相關工具開發數位雙語教學。目前高雄苓雅區的成功國小、茄萣國小已加入這項AI雙語計畫，高雄市府和台灣微軟的合作，未來將以12年國教課程為目標，擴大到其他教育層級單位。</p> <p>除了AI雙語教學，高雄市也將和台灣微軟投入軟硬體資源，分階段以500台Surface電腦結合AI工具，建置500間智慧教室，鼓勵老師開發出多元化、互動性的數位教學課程。</p> <p>為解決高雄學校教育資源上的城鄉落差，台灣微軟也將把在全球推行的雲端未來學校計畫、微軟學校計畫、微軟創新老師計畫帶到高雄，引進國外的教育資源，消彌教育資源分配上的落差。</p> <p>另外，台灣微軟也承諾以其AI技術、平臺服務及專業認證課程，扶植高雄的產學合作，加速AI的產業發展；而在去年底，台灣微軟和高雄科技大學商業智慧學校合作的AI金融科技中心也將在最近落成，結合物聯網、AI、機器學習、大數據分析技術，培養符合國際市場的智慧商務人才。</p> </div></div></div>
2019/4/9 19:42作者蘇文彬https://www.ithome.com.tw/news/129870
【臺灣資安大會直擊】維持企業恢復力是資安重要的一環，妥善運用合適的開源工具也能予以強化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面臨想要做資安卻沒有經費的情況，開源軟體為企業帶來了一線生機。然而，許多資安人員嘗試自己導入開源軟體，可能會遇到各式的問題，例如，使用之後才發現不合己用，或是缺乏某些功能，以及部分關鍵的套件必須花費購買，甚至是軟體本身存在很多漏洞，還有開發者終止維護等等，如何在茫茫的開源軟體大海中，找到符合企業需求的軟體，便成為資訊人員的難題。耀達電腦技術總監鄭郁霖以自己使用經驗，在2019臺灣資安大會上，推薦多款解決方案，並分享他挑選開源軟體的技巧。</p> <p>鄭郁霖指出，臺灣中小企業資訊人員經常面臨的情況，就是企業缺乏能投入資安領域的資金，往往背後也伴隨著政策與人力支援極為不足。鄭郁霖說：「錢能解決的問題都不是問題，真正的問題是沒有錢」，但資訊人員又不能坐以待斃，因此，導入開源解決方案，就是最務實的策略。鄭郁霖認為，資訊人員在挑選各式軟體或是系統的時候，不只要評估實務應用上的需求，也要將資安防護納入考量，他也依據自己推薦企業採用的順序，列出了12款開源軟體──先從透過虛擬化平臺統合現有資訊系統，再進行事件記錄的監控，接著，就要針對災害復原，保護企業重要資料，更進一步，則是網路流量與行動裝置的控管，最後，則是黑箱與白箱檢測機制的導入。</p> <p>雖然鄭郁霖與博格讀書會創辦人X1，兩人都是以資訊人員兼任資安工作為題，介紹開源或是免費的工具，但相較於<a href="https://www.ithome.com.tw/news/129457">X1推薦的解決方案</a>，是從駭客的攻擊過程著手反思企業需求，鄭郁霖則是依據網路管理的層面提出建議，較為偏重企業面臨攻擊時，仍能維持正常運作的能力，也就是現在資安上常會提到的「恢復力（Resilience）」。不過對於中小企業的資訊人員而言，我們認為，兩種面向的開源與免費工具，都算是一時之選。</p> <p>整體來說，鄭郁霖介紹的工具中，缺乏防火牆一類的網路防護機制，我們也向鄭郁霖確認，他表示，由於這種類型的解決方案中，仰賴大量的即時更新與技術支援，商業產品較能做到有關的維護層面，因此他沒有特別推薦有關的開源工具。</p> <h2><strong>透過虛擬化平臺彙整現有的資訊系統，降低管理難度</strong></h2> <p>在鄭郁霖所推薦與資安有關的開源軟體中，他特別先提到的是虛擬化平臺Proxmox Virtual Environment（PVE）。鄭郁霖指出，透過虛擬化統合企業裡各種重要的資訊系統後，能改善備份、復原、遷移，以及環境建置所面臨的不便，因此比起導入各式的管理工具，他認為要改善企業資安的第一步，就是要先透過虛擬化平臺，統整環境中現有的資訊系統。</p> <p>鄭郁霖表示，與其他各式的虛擬化平臺比較，PVE雖然是開源軟體，但是功能相當完整，不只內建備份還原、快照、高可用性等機制，也支援Linux容器（LXC），企業能用來做為隔離的測試環境之用。而在虛擬環境網路管理的部分，鄭郁霖特別提到PVE本身內建的防火牆，資訊人員可從主機端進行集中配置與管理，或是以群組為單位設定防火牆政策、套用相同的巨集指令集等，除了企業無須為每個VM額外購買防火牆軟體，由於PVE的防火牆是由主機端上運作，少了由客體端到主機端這一層，也較在客體端執行的防火牆效能要來得好。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PVE-firewall-settings.png" /></p> <blockquote><p>Proxmox VE虛擬平臺內建防火牆功能，管理者可集中以群組和巨集的方式，大量套用VM的網路政策。</p> </blockquote> <p>再者，漏洞修補即時，而且軟體版本能直接就地升級，也是PVE的一大特色。鄭郁霖指出，今年2月11日公布的容器執行元件runC的重大漏洞（CVE-2019-5736），Proxmox在隔天就納入有關元件的修補程式，算是相當迅速。而根據鄭郁霖自己的經驗，他在7年前建置的PVE系統3.4版，僅透過內建的升級機制，便一路順利更新到現在最新的5.3版本，而不需重新安裝。</p> <h2><strong>針對可能面臨的攻擊行為，建立預警措施</strong></h2> <p>在統整了現有的資訊系統之後，接著，資訊人員便要建立事件警示機制，鄭郁霖推薦的是LibreNMS與Graylog，前者可監控裝置的網路使用率、溫度等狀態，讓資訊人員能得知伺服器主機的健康程度，後者則提供進一步事件記錄分析的能力，進而找出攻擊的徵兆。藉由上述2款系統做為資安事件的情報站，並建立有關的規則，一旦出現異常狀況時，就即時通知管理者，排除可能導致服務停止運作的事件，進而降低服務被迫中斷的時間。</p> <p>鄭郁霖舉例他如何運用LibreNMS──像是針對網頁伺服器監控，檢測網頁的內容是否遭到置換，由於某些入侵攻擊手法裡，會暗中植入惡意程式碼或是竄改網站的檔案，透過這樣的監控機制，就有機會及早發現攻擊事件。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LibreNMS.png" /></p> <blockquote><p>鄭郁霖藉由LibreNMS監控企業的網站伺服器，圖中LibreNMS呈現了該網站受到存取的趨勢，管理者便能進一步確認是否出現異常。</p> </blockquote> <p>另一種應用情境，鄭郁霖則是用LibreNMS來檢查網路設備的組態設定檔案，藉由定期檢測設備中的組態自動備份，可進行差異比對，以及版本控制。若是面臨網路設備的組態遺失，就能快速回復，網管人員也能從中找出可能的錯誤。</p> <p>而在應用程式服務的可用性上，也可以藉由LibreNMS降低管理負擔。鄭郁霖提到用來維持SSL憑證與網域的有效性，在到期日的90日前，在LibreNMS主控臺上顯示為警告，有效期剩下30天時，則列為重大事件，並通知管理者，以免忘記續約導致服務中斷。</p> <p>對於事件記錄的分析上，鄭郁霖運用了Graylog，並在這套系統的儀表板上，快速判斷AD網域裡，帳號遭到攻擊者鎖定的情況，同時得知那些主機成為攻擊目標，透過Graylog顯示的圖表，也能了解攻擊的趨勢。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-ADanalysis.png" style="width: 550px;" /></p> <blockquote><p>圖中鄭郁霖透過Graylog分析AD網域的存取事件記錄，該系統統整了異常登入次數最多的使用者帳號與伺服器名稱。</p> </blockquote> <h2><strong>面臨檔案可能遭到綁架的威脅，資料備份與快速復原機制重要性也隨之提升</strong></h2> <p>有了內部網路的監控機制後，接著，鄭郁霖認為，資訊人員要確保資料的可用性。由於近年來勒索軟體攻擊猖獗，一旦企業的重要資料受到加密而無法使用，輕則導致營運中斷，嚴重者可能迫使公司關門。因此，鄭郁霖推薦了2款開源解決方案，能協助企業快速復原資料，進而回復正常運作，分別是FreeNAS和Duplicati，其共通點是都提供備份資料加密的保護功能，增加備份資料的安全。鄭郁霖表示，他在利用FreeNAS異地備份IDC機房主機的資料時，便會利用上述資料加密的功能，避免公司機密遭到外洩。</p> <p>而這2種備份軟體各有其應用的面向，FreeNAS提供快照與內建資料檢查機制，由於採用ZFS檔案儲存系統與軟體定義儲存（SDS）架構，一旦主機出現故障，企業將磁碟移轉到新的FreeNAS主機上就能繼續運作，因此這套備份系統不致被特定的硬體限制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/FreeNAS-pool-encryption.png" /></p> <blockquote><p>針對資料池存放的檔案保護，FreeNAS提供了加密保護機制。</p> </blockquote> <p>對於許多中小型企業，往往難以再建置外部的備份伺服器，透過雲端儲存空間達到異地備份，便是一時之選。在這種備份的需求下，能廣泛支援將資料備份到多種雲端空間Duplicati，就是相當合適的解決方案，鄭郁霖表示，幾乎是Linux能夠運用的雲端空間，這套備份系統都能使用──包含了常見的Amazon S3、Box、Dropbox、Google Drive，以及微軟OneDrive等，盡在Duplicati支援之列。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Duplicati.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Duplicati.png" style="width: 550px;" /></a></p> <blockquote><p>想要將雲端儲存空間做為重要資料異地備份的地方，企業可透過Duplicati執行，其支援的服務相當多，如圖中所列，也包含了常見的FTP和WebDAV資料夾。</p> </blockquote> <h2><strong>進一步掌握網路進出流量，並擴及行動裝置與物聯網設備的管理與弱點檢測</strong></h2> <p>有了基礎建設，以及內部網路環境的監控機制，也確保了企業重要資料的可用性之後，鄭郁霖才建議IT人員更進一步，著手網路與行動裝置的管理，還有弱點掃描等面向。</p> <p>在網路流量的控管上，鄭郁霖推薦了網路存取控管（NAC）解決方案PacketFence，它同時能將無線網路納入管理，並結合了使用者的身分驗證機制，以及控管能夠存取企業網路環境的裝置等功能。而安全性的部分，PacketFence則可結合OpenVAS弱點檢測工具，檢查連網裝置的安全性，也能透過Snort套件，檢測網路行為，進一步發現異常跡象。</p> <p>除了企業網路的存取，現在相當普及的行動裝置，也是企業需要納入管理的項目之一。鄭郁霖建議採用WSO2 IoT這套行動裝置管理系統（MDM），進行控管。而對於這種裝置的應用程式安全性，他推薦用Mobile Security Framework（MobSF），檢查APK和IPA應用程式是否存在潛在的風險。</p> <p>附帶一帶的是，若是企業開發應用程式，鄭郁霖表示，則能運用SonarQube進行程式碼掃描，減少自行研發軟體的弱點。</p> <h2><strong>挑選開源軟體有訣竅，更新頻繁程度是指標</strong></h2> <p>基本上，許多提供開放原始碼軟體的開發者，最初研發的動機，便是出自於自身的需求，因此，很有可能在自己不再使用之後，便停止開發，或是交由他人維護，導致日後的軟體品質堪慮。雖然原始碼公開之後，任何人都能加以改寫、改進，但缺乏有志之士挺身而出延續軟體維護的情況，也不時發生，甚至還有在專案移交之後，新任維護者從供應鏈下手攻擊的現象。因此，許多的資訊人員，對於開源解決方案，心裡總有一份擔憂，畢竟，商業軟體出錯，或許可以找廠商負責弄到好，但開放原始碼的軟體，出現各種異常通常得自行處理，很多原本躍躍欲試的資訊人員，可能因此打退堂鼓。</p> <p>鄭郁霖指出，IT人員想要挑選合適的開源軟體，不只要從自身的需求面評估，也要考量軟體開發者的支援能力，減少導入之後一旦遇到開發者停止維護，便求助無門的情形。資訊人員想要確認這件事，可從3個面向著手，首先，是這款軟體的更新頻率，假如一款軟體好幾年都沒有更新，那麼要是使用之後遇到臭蟲，或是與其他應用程式不相容的情形，可能就得要自行想辦法解決。</p> <p>再者，則是有關這款軟體受到採用的程度。假如一款開源軟體有許多人採用，那麼出現錯誤時，除了開發者能夠處理，也比較有機會出現有志之士，協助提出修正檔案或是其他解決方案。</p> <p>若是擔憂個人開發者可能因為自身各式的狀態，而終止軟體維護，鄭郁霖認為，也可以選擇由商業公司提供的開源軟體。由於這種型態的廠商，通常以提供技術支援與軟體進階功能獲利，開源版本的口碑會影響其商譽，因此，由他們推出的開源軟體，可靠性與後續的支援較有保障。</p> <p>除了軟體開發者支援的能力，開源軟體的授權和安全性，也是必須納入評估的部分。不過，雖說資訊人員可透過前述指標，確保自己不會變成軟體孤兒，但是開源軟體的授權種類繁多，會不會存在什麼限制沒有留意到，而導致企業不小心違反相關授權條款？軟體的安全性又要如何評估？有沒有工具能協助我們判斷呢？</p> <p>答案其實是有的。鄭郁霖提出了Open Hub平臺──IT人員只要輸入開源軟體的名稱，該平臺就會顯示有關這套軟體專案的情況，包含所採用的授權模式、漏洞出現的頻率與修補因應的可靠程度指標、專案的活躍程度，以及具有高度同質性的替代開源軟體等資訊，可供參考。Open Hub由老牌開源套件檢測解決方案業者Black Duck（現被Synopsys併購）推出，統整了47萬款開源軟體專案的資料，對於想要採用開放原始碼解決方案的IT人員而言，Open Hub可說是相當實用的資訊平臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/OpenHub-PVE-details.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenHub-PVE-details.png" style="width: 550px;" /></a></p> <blockquote><p>想要了解開源軟體的評價，老牌開源套件檢測解決方案業者Black Duck所推出的Open Hub，可讓IT人員快速掌握所需資訊，以圖中Proxmox VE為例，包含頁面上方的專案概略介紹，以及性質相近的解決方案，還有中間對於所採用的授權方式說明，而下方則是呈現了軟體的發展情形，包含程式碼數量的增長趨勢、每個月提交的項目與貢獻者人數等資訊。</p> </blockquote> </div></div></div>
2019/4/9 15:48作者周峻佑https://www.ithome.com.tw/news/129866
【臺灣資安大會直擊】創新與資安如何兼顧？5家銀行高階主管揭露各自秘訣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/129508">在2019臺灣資安大會的一場金融安全論壇，金管會主委顧立雄親自開場致詞，金管會副主委黃天牧也揭露金管會金融政策中，與資安防禦相關的四大金融資安監理作為</a>。</p> <p>不只金融業主管機關對資安重視，金融業者包括玉山銀行暨玉山金控資訊長謝萬禮、第一銀行資訊長劉培文、將來銀行籌備處策略長吳建頤、台北富邦銀行數位金融顧問李維斌、台新金控資訊長孫一仕，也在這場論壇，針對金融產業的創新與資安防護，進行對談。</p> <p>「金融創新的同時，還得顧及金融資安，對資訊主管來說，是很大的挑戰。」玉山銀行暨玉山金控資訊長謝萬禮點出關鍵。他解釋，銀行資訊單位被賦予的責任是金融創新發展與各方應用，然而要創新就要快速迭代開發，同樣也會因應很大的資安風險。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5747.JPG" /></p> <p><span style="font-size:14px;"><span style="color:#808080;"><strong><span style="font-family:arial,helvetica,sans-serif;"><em>玉山銀行暨玉山金控資訊長謝萬禮</em></span></strong></span></span></p> </blockquote> <p>謝萬禮也認為，與其應外部壓力而做金融創新與資安，倒不如思考如何透過機制，導入方法，用更開放的思維擁抱改變。因為，「當我們不改變，別人也會來改變我們，世界不斷前進，若不踏入未來的領域，遲早會被顛覆。」</p> <p>然而，在金融創新上，心態的改變才是關鍵。他舉例，一家企業若期許要讓資訊科技，成為企業最重要的核心競爭力，引領企業變革與數位轉型，這樣的思維與格局，就會大大不同。但挑戰是如何把理念，說服老闆們與經營團隊。</p> <p>在資安議題上，謝萬禮認為，駭客的企圖與想法與過往完全不一樣，過往駭客是要練功夫展現實力，接著要偷走個資拿去賣，現階段是要從企業把金錢轉出去。然而，一次的資安事件，會讓企業過去建立的品牌信用與聲譽受損，而且可能是無法預估的損失。但，他也認為，有些資安現象，可以改變老闆對資安投資的看法，當他們了解到資安風險，以及可能會對企業造成的損失，就會更加願意投資資安。</p> <p><span style="color:#0066cc;"><strong><span style="font-size:24px;">做好資安得先盤點企業資訊資產，並落實全體人員資安意識</span></strong></span></p> <p>「資安已經變成金融業基本的條件與要求。」但是，金融業內部的網站是否能終生防禦？謝萬禮指出，得下不少苦工夫，企業要做好資安，得先盤點自有的資訊系統、資訊資產，以及資料的重要性，也只有踏踏實實地全面盤點過後，才知道哪些東西要放在最重要的保險箱。而在資安投資上，得依據企業的系統環境，面臨的風險，逐步編列中長期預算。</p> <p>然而，謝萬禮也強調，最重要的是落實銀行人員的資安意識，包含第一線營業單位的人員，尤其是手上握有高權限帳號的特殊人員、IT人員。他坦言，資安意識若沒有在內部建立起來，企業即便做再多資安投資，都是沒有效果的。</p> <p>過去，人人期待駭客不要找上門，謝萬禮認為，企業現階段得要轉變的觀念是，假設病毒、駭客、木馬程式已經進來自家了，要做的事就是在他們潛伏的活動時間內，早一步阻攔他們偷走資料或把錢轉出，「這就代表我們資安的成功。」他說。</p> <p>謝萬禮也強調，資安聯防很重要，靠單一銀行的力量很難面對外部挑戰，怎麼讓更多人共同分享資訊，是一大課題。他也建議主管機關，除了懲罰外，也要有正面鼓勵，例如有金融業者在駭客達到目的前，完成阻攔動作，並把這樣的機制分享出來，主管機關可以給出鼓勵，業者就會更願意把資訊分享出來。</p> <p><strong><span style="color:#0066cc;"><span style="font-size:24px;">金融創新與資安都是風險，最難是企業價值體系與文化，決定你不能做什麼事</span></span></strong></p> <p>「董事會看金融科技對傳統銀行帶來的威脅，就像是全球暖化，而資安則是像颱風或地震，短暫的時間就可以感受到衝擊。」這是第一銀行資訊長劉培文的觀察，他提到，就像2016年一銀ATM遭駭事件，因為曾經發生過資安事件，所以一銀從上到下在推動資安是更通順的，也包括成立數位安全處。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5809.JPG" /></p> <p><em><span style="font-size:14px;"><span style="color:#808080;"><strong>第一銀行資訊長劉培文</strong></span></span></em></p> </blockquote> <p>他也指出，金融創新與資安，對於銀行的經營階層來說，都是風險，只是規模不一。談到資安，許多第一個喊出的就是需要資源，但劉培文可不這麼想，他認為，有資源就能決定要做的事情，「但最難的是企業的價值體系與文化，決定你不能做什麼事情」。</p> <p>劉培文提到，以企業經營的角度來說，傳統銀行進行數位轉型的挑戰更大，因為過往的經營模式已經很成功，所以認為發展金融科技帶來的獲益不夠。當養成了這樣的價值觀，就不會選擇做創新的事情。不過，他也觀察到，這樣的價值觀與文化已經在銀行逐漸改變，可能也會讓創新與資安的資源與SOP開始轉變。</p> <p>「資安單位人員絕對不能只懂資安，必須要懂金融業務，了解金融創新在做什麼，又如何與外部跨業合作。」劉培文強調，銀行得要有一個機制，讓資訊安全單位的人員加入IT單位、業務單位、創新單位的作業。</p> <p><strong><span style="color:#0066cc;"><span style="font-size:24px;">金融創新得小步快跑，實踐資安需是生態系思維</span></span></strong></p> <p>台北富邦銀行數位金融顧問李維斌表示，因為銀行業是高度監管的產業，所以要從老舊系統（legacy）的觀念，轉到創新（innovation）是困難的。而創新也代表不確定性，根本無法預測導入服務後，會帶來什麼影響。我們得要小步、快跑，才能應付現在的變化，這樣的作法會讓不確定性漸漸降低。</p> <p>李維斌表示，現在的金融服務不是一次到位，而是一步步去擴充規模(scale)。而銀行的基礎設施能否應付未來的需求，就很重要。此外，他也談到資安、個資隱私很重要，複雜度也很高，不是單一家銀行就可以解決的，得由民眾、政府監管單位的認知做起，讓整個生態系都必須起來，才能實踐資安。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5813.JPG" /></p> <p><span style="font-size:14px;"><em><strong><span style="color:#696969;">台北富邦銀行數位金融顧問李維斌</span></strong></em></span></p> </blockquote> <p><strong><span style="color:#0066cc;"><span style="font-size:24px;">金融創新與資安，得在風險、方便性與成本間取得平衡</span></span></strong></p> <p>台新金控資訊長孫一仕談到，金融創新較偏向在業務模式上，科技的應用則是讓業務模式創新的工具，對於底層的技術，他相對沒那麼擔心。在金融創新部分，他個人認為，未來銀行的趨勢會是異業結盟，也就是開放API，因為異業結盟會帶來更多連結，不管是人或是應用。</p> <p>而在資安的觀察，孫一仕提到，銀行通常都是發生了資安事件，高層的關注度就會變得非常高。他也揭露台新在金融科技與資安的方向，雖然「做資安是沒有止境的，也沒有辦法保證百分百安全。」但台新會持續在風險、方便性與成本間取得平衡，讓科技工具發揮效果，也要讓台新全行的人員都有資安意識，例如，台新在內部常做社交工程演練，就是希望持續提升人員資安意識。</p> <p>孫一仕也強調，資安聯防很重要，沒有一家金融機構能保證資安能夠做到百分百安全，彼此資訊通知、聯防才是上策。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5827.JPG" /></p> <p><span style="font-size:14px;"><em><strong><span style="color:#808080;">台新金控資訊長孫一仕</span></strong></em></span></p> </blockquote> <p><strong><span style="color:#0066cc;"><span style="font-size:24px;">推進金融服務時，資安防護如何與便利性平衡是將來銀行的思考方向</span></span></strong></p> <p>將來銀行籌備處策略長吳建頤則是觀察到，使用者的行為在轉換，金融服務在推進的時候，資安防護要如何與便利性平衡，是重要課題。對於有機會重新打造一家純網銀的將來銀行籌備處來說，如何在手機上做到相對安全，又能讓便利性達到一定程度，會是他們思考的問題。</p> <p>吳建頤更認為，資安這件事情不一定只是企業資安團隊的責任，或許用戶也可以為自己的資安把關。他舉例，去年線上信用卡偽冒交易，臺灣就損失了21億臺幣，或許客戶可以在信用卡的App上，把信用卡電子商務相關的交易直接關掉，或是客戶明明不出國，就可以直接把國外的交易關掉。「用戶可以用自己的力量，去控管他認為是資訊安全匯流的漏洞。」若能做到安全又兼顧便利性，會是將來銀行要去嘗試的方向，吳建頤說。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5847.JPG" /></p> <p><span style="font-size:14px;"><em><span style="color:#808080;"><strong>將來銀行籌備處策略長吳建頤</strong></span></em></span></p> </blockquote> <p><strong><span style="color:#0066cc;"><span style="font-size:24px;">金融業數位化過程，最後一哩路是身分驗證</span></span></strong></p> <p>在現今的零信任時代，金融業如何保全自身與顧客？李維斌表示，信任是一段旅程，也是讓社會更容易往前走的重要因素，建立信任需要時間，而且禁不起打擊。而銀行要從交易（transation）到與顧客建立關係（relation），要經營的就是信任。李維斌也直言，大家都不喜歡銀行，但是銀行還是相對被信任的單位，所以銀行要繼續走到下一步，就是要與年輕族群建立關係。</p> <p>謝萬禮則認為，顧客對企業的信任是日積月累，金融創新與資安佈建與意識也一樣，只有累積、沒有奇蹟。他也指出，金融業在數位化過程，遇到最大挑戰就是身分驗證，這是最後一哩路，若有好的機制可以實踐，相信對臺灣金融業對數位線上服務，會有大的變革與不同的樣貌。</p> <p>最後，謝萬禮也提到，不管是金融創新或是資安議題，企業經營還是要回到初衷，了解外在世界環境的改變、顧客行為的改變，以及顧客遇到的痛點，而企業是否有解決顧客的問題。文⊙李靜宜</p> </div></div></div>
2019/4/9 17:04作者李靜宜https://www.ithome.com.tw/news/129857
歐盟將調查微軟產品是否侵犯GDPR
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲資料保護監管機關（European Data Protection Supervisor，EDPS）最近<a href="https://edps.europa.eu/press-publications/press-news/press-releases/2019/edps-investigates-contractual-agreements_en" target="_blank">開始調查</a>微軟與歐盟各組織之間的協議，以及歐盟組織所使用的微軟產品與服務，是否違反當地的資料保護規定，包括《歐盟通用資料保護規則》（GDPR）與Regulation 2018/1725。</p> <p>在去年5月上線的GDPR被稱為史上最嚴格的資料保護法案，它明確規範了企業蒐集用戶資料的行為，且一旦違法，可能被判罰2,000萬歐元或企業全球營收的4%。在GDPR之後，歐洲也訂出專供歐盟政府機關使用的資料保護規定Regulation 2018/1725，Regulation 2018/1725與GDPR的內容相當一致，另也要求不管是政府機關或承包商都必須承擔合規責任。</p> <p>此次EDPS的行動主要是受到荷蘭的啟發。去年荷蘭政府委託<a href="https://www.privacycompany.eu/en/impact-assessment-shows-privacy-risks-microsoft-office-proplus-enterprise/" target="_blank">Privacy Company評估</a>政府員工所使用的Office ProPlus（Office 2016及Office 365）對於資料保護的影響，發現微軟在未知會使用者的情況下，蒐集了大量的用戶資料，還把資料傳送到微軟的美國伺服器上。</p> <p>EDPS說，任何使用微軟Office產品的歐盟組織都可能面臨同樣的問題，將替個人權利及自由帶來風險。</p> <p>此外，歐盟的各組織都仰賴微軟的服務與產品來執行日常的任務，包括以它們來處理大量的個人資料，考量到此一資料處理的性質、範圍、目的與脈絡，更因採取適當的合約保障及降低風險的措施來確保它們可遵守上述法規。</p> <p>上述種種都促使EDPS準備全面評估目前歐盟組織所使用的各項微軟服務與產品，以及微軟與這些組織所簽署的合約是否符合資料保護規定。</p> <p>EDPS的舉動對微軟而言應該不會太意外，而且在經過與荷蘭政府的協商之後，微軟已經承諾將致力保護用戶的隱私，確保Office ProPlus及其它的微軟產品及服務都能符合GDPR及其它相關法令的規範。</p> </div></div></div>
2019/4/9 15:25作者陳曉莉https://www.ithome.com.tw/news/129865
英國政府擬要求網站平臺負責移除有害內容，違者將處以天價罰金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.uk/government/consultations/online-harms-white-paper/online-harms-white-paper-executive-summary--2" target="_blank">英國政府於4月8日公佈</a>，臉書、Google等社群網站及搜尋業者需負責移除線上有害內容或連結，未遵守者將處以如同<a href="https://www.ithome.com.tw/article/123464" target="_blank">GDPR</a>同等級的天價罰金。</p> <p>英國數位文化媒體暨體育部（DCMS）與內政部公佈《線上傷害白皮書Online Harms Whitepaper》，建議成立專責主管單位，監督社群網站內容平臺移除「具傷害性」的網路內容，包括散佈恐怖主義、兒童色情、仇恨犯罪、霸凌他人、製造假新聞或銷售不法商品。有鑑於目前雖已有相關法規，但仍不足以確保民眾網路安全，因此白皮書旨在推動政府針對傷害網路使用者（尤其是兒童），以及顛覆國家安全、破壞信任與危及社會穩定的行為加重處罰。</p> <p>白皮書建議上述獨立主管機關，可撰寫社群網站和網路公司的管理規範、定義「最佳典範」，並要求業者負責移除平臺上的有害內容，搜尋引擎則需移除網站連結，違者可處以罰金。</p> <p>本法適用於臉書、Google、推特、或是Snapchat等通訊平臺及雲端業者。</p> <p>這份白皮書已獲得英國首相梅伊（Theresa May）的公開支持。她透過聲明表示，網路公司對線上用戶，特別是兒童免於線上有害內容的保護不力為時已久，她認為政府做的還不夠，現在是做出改變的時候了，英國已聽到業界及家長的心聲，將對網路公司施以法律責任。</p> <p>白皮書甚至考慮建議賦予該主管機關權限，針對網路內容平臺的高層主管處以罰金，或要求ISP封鎖這些網站。至於罰金內容，<a href="https://www.bbc.com/news/technology-47826946" target="_blank">英國文化部長Jeremy Wright接受BBC訪問時說</a>，英國可能參考歐盟隱私法GDPR，最高可處以業者年營收4%的罰金。</p> <p><a href="https://www.gov.uk/government/consultations/online-harms-white-paper" target="_blank">本白皮書已上線</a>廣邀外界意見為期12個月。不過批評者憂心此舉將傷害網路言論自由。</p> </div></div></div>
2019/4/9 11:12作者林妍溱https://www.ithome.com.tw/news/129858
基於Chromium的Microsoft Edge預覽版來了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2019/04/08/microsoft-edge-preview-builds-the-next-step-in-our-oss-journey/#6KCH7vvvP27Ayk7U.97">微軟發表了Microsoft Edge Insider網站</a>，並<a href="https://blogs.windows.com/msedgedev/2019/04/08/microsoft-edge-preview-channel-details/#CMHkSdcfyQCVbl4M.97" target="_blank">釋出基於Chromium開源專案的兩款Microsoft Edge預覽版</a>：Canary及Developer（Dev），以供開發人員於Windows 10上展開測試。</p> <p>由於它們是微軟首個採用Chromium的Microsoft Edge的預測版，因此主要著重在基本功能，尚未納入眾多功能，現在也只支援英文。</p> <p>其中，自Canary頻道下載的版本將會每日更新，這是微軟內部工程師每天使用的版本，在該版本上測試新功能或驗證臭蟲的修補，適用於那些不在乎遭遇臭蟲，也迫不及待想測試Chromium版Microsoft Edge的開發人員。</p> <p>至於自Dev頻道下載的版本則是每周更新一次，由微軟選出這一周以來效能與風評最好的Canary版本供應給開發人員，預期多數開發人員都會選擇Dev版本。</p> <p>未來微軟還會提供予企業或IT專家使用的Beta頻道，以及支援一般使用者的Stable頻道。</p> <p>不管是Canary、Dev都能與電腦上既有的Microsoft Edge共同運作而不影響瀏覽器的正常效能，之後微軟也將陸續釋出Beat版，支援其它Windows平台或macOS的版本，也會擴大對其它語言的支持。</p> <p>微軟表示，開發人員在首批基於Chromium的Microsoft Edge測試版上可發現大量的介面變更，因為微軟企圖讓它看起來更像Microsoft Edge，而下一個測試版則會開始整合微軟功能，包含Bing搜尋、Windows Defender SmartScreen、Microsoft Account service與Azure AD、Microsoft Activity Feed Service及Microsoft News等。</p> <p>另一方面，微軟也將回饋Chromium專案，包括貢獻各種無障礙技術、讓Chromium可在基於ARM的Windows 10上運作、讓Chromium可支援Windows觸控鍵盤，以及整合Windows Hello等。</p> </div></div></div>
2019/4/9 12:55作者陳曉莉https://www.ithome.com.tw/news/129859
Windows 10新政策：外接儲存裝置直接移除就好，不必再安全移除了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於Windows 10 1809（Windows 10 October 2018 Update）<a href="https://support.microsoft.com/en-us/help/4495263/windows-10-1809-change-in-default-removal-policy-for-external-media" target="_blank">變更了外接儲存媒體的移除政策</a>，將預設值從「更佳效能」（Better performance）切換成「快速移除」（Quick removal），意謂著<a href="https://www.theverge.com/2019/4/8/18300734/microsoft-safely-remove-eject-usb-flash-drive-not-needed-windows-10" target="_blank">Windows 10 1809用戶未來可隨時地直接移除外接的儲存裝置，不必再經由「安全移除硬體」（Safely Remove Hardware）程序</a>。</p> <p>過去當Windows用戶要移除USB或Thunderbolt等任何外接儲存裝置時，都必須先在工作列上點選「安全移除硬體」的圖示，它的目的是為了保護外接裝置上的資料完整性，確保所有的快取操作都已完成。</p> <p>事實上，它也是為了改善系統的效能，讓Windows能夠快取外部磁碟的寫入作業。</p> <p>而當切換至「快速移除」時，Windows無法再快取磁碟寫入作業，以確保它隨時可被移除，因而可能造成系統效能下滑。</p> <p>使用者還是能根據需求變更每個外部裝置的移除政策，但微軟提醒，若切換至「更佳效能」政策時，最好允許寫入快取，而且一定要執行「安全移除硬體」，否則將面臨資料遺失的風險。</p> </div></div></div>
2019/4/9 13:05作者陳曉莉https://www.ithome.com.tw/news/129860
微軟將Skype群組視訊人數上限提高到50人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>未來Skype的群組通訊將會更熱鬧了！<a href="https://blogs.skype.com/news/2019/04/04/call-up-to-50-people-at-once-with-skype/" target="_blank">微軟近日更新了Skype，將群組視訊及語音通訊服務的人數上限從25人提高到50人</a>，雖然不及Line的200人，但將與Facebook Messenger所支援的群組通訊人數相當，也勝過Google Hangouts的25人及WhatsApp的4人。</p> <p>不過，為了避免吵到被邀請參與群組通訊的親友或同事，新版的Skype在召開群組通訊時，將以通知訊息來取代鈴響，也能個別選擇不同的對象傳遞鈴聲，若與會人士原本就低於25人，則可選擇全數採用鈴聲。</p> <p>要使用此一最新功能必須安裝最新版的Skype。</p> </div></div></div>
2019/4/9 10:20作者陳曉莉https://www.ithome.com.tw/news/129851
Mozilla發布美國消費者隱私法案指南，要求終止企業全面收集和使用資料的時代
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/netpolicy/files/2019/04/Mozilla-U.S.-Consumer-Privacy-Bill-Blueprint-4.4.19-2.pdf">Mozilla針對美國聯邦隱私法案發布了立法建議指南</a>，該指南以消費者為中心，要求隱私法規範企業對使用者隱私承擔更多的責任。這份立法指南也獲得隱私法草案以及隱私倡議者的支持，包括美國民主與技術中心以及數位參議員。</p> <p>Mozilla提到，這份法案指南的目標很明確，就是讓使用者重獲掌控自己資料的權利，為需要使用資料的一方，訂立明確可執行的規則，而這些規則最好能夠與全球趨勢接軌，讓企業在管理資料上可以更加的一致。Mozilla認為，美國在資料的實踐以及公共政策執行上都是失敗的，雖然使用者資料帶來了許多創新的產品，但是「通知並同意」的隱私資料授權方法，顯然大有問題，缺乏真正對於使用者的保障。</p> <p>有鑒於全球隱私和資料保護的進展，以及美國在這方面的落後，不少科技公司開始喊話，要求國會訂立企業可遵循的法案，而美國國會也因此動了起來，而Mozilla發表這一個隱私法案框架，希望可以影響國會制訂出更佳完善的隱私法案。</p> <p>Mozilla要求法律賦予美國人民足夠強大，能夠確實保護自己隱私資料的權利。為企業提供明確的規則，限制資料收集和使用的方式。給予執法單位足夠的權力、程序和補救機制，主動把關使用者隱私安全。</p> <p>Mozilla認為，應該結束企業全面收集和使用資料的風氣，也不應該把為了A目的收集的資料用於B用途，應該是有目的和有限制地收集和使用個人資料，在資料安全性上，明確要求企業應安全且小心的維護資料，並明確公開地處理非活動帳戶資料。</p> <p>在人民的權利方面，隱私法案應賦予使用者查看自己被收集或是產生的資訊，並了解資料被使用的方式，也能夠在帳戶或是服務轉為非活動狀態，合理地刪除資料，使用者應該有足以依循的機制，處理屬於自己的資料，另外，使用者也應該具備細緻且可撤銷的授權選項，而且不應該所有使用者都應用相同的資料收集以及使用授權。</p> <p>Mozilla還提到，隱私法應該給予FTC足夠的權力與資源，以跟上不斷進步的技術，以及不斷變化的隱私威脅，也應該簡化FTC的執法程序，簡化其加強民事調查以及懲罰效率，避免浪費不必要的時間和資源在訴訟上。FTC應該具有主動保護義務，主動限制可能傷害使用者的資料使用方式。</p> </div></div></div>
2019/4/9 10:30作者李建興https://www.ithome.com.tw/news/129843
韓國警方以AI糾出加密貨幣龐氏騙局首腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://koreajoongangdaily.joins.com/news/article/Article.aspx?aid=3061537" target="_blank">韓國當地媒體報導</a>，韓國警方在人工智慧（AI）的協助下，成功逮捕到一宗加密貨幣龐氏騙局的首腦及其下線。</p> <p>韓國警方指出，李姓及Bae姓主嫌成立會員制的購物網站及加密貨幣M-Coin的交易平台，從2018年5月開始招募會員。會員享有住宿、購物及結婚喪禮費用的折扣，但需先繳交33萬韓圜成為10個月會員，或繳費99萬韓圜成為頂級會員。</p> <p>這些騙徒除了違法吸金外，還成立201個營業處，透過各處「經理」吸收下線。每當成功吸收到一名新會員，這些經理就能獲得600個尚未發行的M-coin作為獎勵，每滿20名會員還能再獲得一筆獎金。他們另外也以1:100到1:500韓圜的匯率出售M-coin，宣稱M-coin的價格未來會從200漲到600韓圜以吸引會員吸收更多下線。</p> <p>兩嫌專門鎖定對加密貨幣不了解的民眾，包括長者、家庭主婦及退休人士下手，從去年5月起的6個月間成功吸收到5.6萬名會員，透過會員費和出售M-Coin總共吸金高達約212億韓圜（約1870萬美元）。</p> <p>這次行動很特別的是動用到AI技術。這家「公司」十分狡猾，會計系統設立於境外避免追查，去年南韓警方啟動調查後還轉入地下，將系統藏於私人家中甚至汽車行李箱。警方以龐氏騙局相關用語，包括「借貸」、「保證收入」、「風險因子」等字詞來訓練AI演算法。警方表示，配合消息人士提供的證據，這套AI系統還能辨識出吸收下線的廣告特徵及可疑公司。最後AI系統成功循線糾出一干人等及其伺服器和電腦。</p> <p>過去兩年間加密貨幣炒得火熱，也成為犯罪溫床。<a href="https://www.ithome.com.tw/news/128539" target="_blank">安全公司CryptoTrace報告指出</a>，歹徒透過ICO（initial coin offering）退場詐騙、駭入交易平台及龐氏騙局已騙走投資人將近7.5億美元。例如去年越南Modern Tech向3.2萬人透過ICO募了6.6億後即惡性關閉，捲走投資人血汗錢。</p> </div></div></div>
2019/4/9 10:40作者林妍溱https://www.ithome.com.tw/news/129856
GCP開始支援基礎設施即程式碼IaC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/devops-sre/want-repeatable-scale-adopt-infrastructure-as-code-on-gcp">Google現在為GCP使用者提供完整基礎設施即程式碼（Infrastructure as code，IaC）服務</a>，讓使用者能以程式碼開發的方式，測試、自動應用以及審核雲端環境變更，現在GCP整合了熱門的IaC工具，使用者可以簡單地開始使用，Google提到，採用IaC原則能夠為大量成長的應用程式需求，打下穩固的基礎。</p> <p>IaC是一個讓使用者以處理應用程式程式碼的方式，配置基礎設施的過程，使用者可以將基礎設施配置邏輯以程式碼控制系統進行管理，並且加入進持續整合（CI）和持續部署（CD）的工作管線中，共享給組織的其他成員使用。IaC流程可以在不同類型的基礎設施中使用，像是虛擬機器或是裸機系統，也能應用在部署於Kubernetes叢集上的容器，或是在混合環境也沒問題。</p> <p>使用者可以在程式碼控制系統中管理IaC的相關檔案，包括YAML描述檔、Dockerfiles、shell腳本以及其他相依檔案，Google提到，無論使用哪一種工具管理基礎設施配置，重點是必須建立一套可重複且自動化的IaC檔案捕捉流程。</p> <p>在專案中執行IaC流程，組織能夠更好的控制基礎設施的設計，開發團隊跟營運團隊都能簡單的對基礎設施進行審核，而且透過部署到CI/CD工作管線中，使用者可以簡單地更改程式碼儲存庫，在幾分鐘內應用測試。</p> <p>GCP支援了Deployment Manager、Terraform、Chef、Puppet、Ansible以及Packer等自動化工具，幫助組織建立IaC流程。Google提醒，要在組織中實行IaC，就跟開始執行DevOps一樣，需要從思維上進行根本的改變，IaC自動化需要更改流程和組織治理，當部分程序還需要手動執行時，則會造成檔案版本不一致，因此在IaC的相關程序，不應該允許任一步驟手動執行。</p> <p>另外，Google認為，並非所有組織都適合執行IaC，建構IaC流程需要付出相當的時間成本，因此當組織認為花費的時間過多，那就沒必要堅持採用，因為流程建立完，還需要訓練沒有IaC概念和工具使用經驗的成員。</p> </div></div></div>
2019/4/9 10:40作者李建興https://www.ithome.com.tw/news/129844
【iThome 2019 CIO大調查】數位轉型領先企業三大重點：加碼IT、擁抱敏捷和深化AI
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/915_feng_mian_gu_shi_1shu_wei_zhuan_xing_qi_ye_-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對企業高層而言，數位轉型已不需問Why，他們最想知道的是怎麼做？如何做？才能順利轉型。但數位轉型沒有捷徑，更沒有保證成功的公式可遵循，只有從大量企業實際經驗中，來挖掘可供自身借鏡的發展策略。</p> <p>因此，<a href="https://www.ithome.com.tw/article/129350" target="_blank">iThome從今年CIO大調查中</a>，特別挑出了206家已經完成數位轉型或正在執行轉型的臺灣大型企業，進一步分析其IT策略與科技採用，來了解這群正在數位轉型之路上的領先者怎麼想？怎麼做？並和自認沒有數位轉型需求或還沒展開任何轉型作為的落後者相比，試圖找出可供更多企業借鏡的轉型發展參考。</p> <p>從IT投資來看，領先者今年IT投資成長了11%，幾乎是落後者成長力道的兩倍，IT預算占營收的比例也達到了3.6%，遠高於落後者的2.1%。這意味著，這些數位轉型領先群，比起落後者更加重視IT投資。企業高層多半知道，數位轉型不是「省錢」或「便宜」之計，的確是得加碼投入資源才行，但要花多少錢？以這群領先者的經驗來看，以企業年營收的3.6%作為推動轉型所需的IT投資，可視為臺灣企業參考指標。</p> <p>不過，不是花錢就能順利轉型，領先企業更大力培養自家IT團隊，以IT人力占比來看，領先企業的IT人力比重相當高，每100個員工，就有2.7名是IT成員，但落後者卻只有0.3名，一般企業平均值也只有1.4名，自有IT戰力的培養是數位轉型的關鍵。另外一點值得觀察的是，領先企業中，今年想要大力擁抱敏捷文化的CIO，多達16.5%，這個比例反映出，數位轉型不只需要有更充沛的人力，還要改變團隊，大力擁抱敏捷文化，企業才能順利邁進下一階段發展。</p> <p><span style="font-size:28px;"><strong>轉型成功不只需要足夠投資，更需要有好人才</strong></span></p> <p>除了資源，人才也是轉型關鍵，更可以從領先企業今年的AI策略看出來。不少企業都將AI視為轉型關鍵技術，領先群也不例外，但是，從近兩年AI投資金額來看，領先企業今年沒有持續提高AI投資，反而是減少了1成多。但是，想採用AI的領先企業，從去年的44.2%，在今年增加到57.8%。更多數位轉型領先企業要導入AI，但是，他們不再一昧花大錢，甚至不需要到與去年相當的投資，卻要做更多AI應用。關鍵就是，領先企業在AI策略上，轉而聚焦於AI人才的招募，迫切度僅次於對開發人力的需求。</p> <p>從CIO年度重點目標來看，領先者企業的CIO偏愛主動、開創型的發展方向。不論是在促進商業與業務變革、開發創新產品和服務、與新創公司合作、靠商業模式超越對手等，將這些更主動性的高要求，視為年度重要目標的領先者CIO比例，遠高於落後者。例如22.3%領先者CIO今年要促進業務變革，但只有8.1%的落後企業CIO列入自己的工作目標。相差了2倍多。</p> <p>而落後企業的年度目標是什麼呢？確保IT穩定、降低成本、風險管理和法規遵循等防守型的策略上，落後者都比領先者更偏重這些要求。例如37.4%的落後企業CIO今年要降低成本，但只有27.2%的領先者CIO決定要這麼做。年度目標相比，正反映出這兩個族群在IT策略上的根本差異，主動出擊是數位轉型企業領先者偏愛的策略。</p> <p>進一步來看領先者的新興科技採用策略，大數據分析、機器學習、雲端儲存、資料科學、深度學習、多雲混合雲架構（最後兩項比例相同）是前五大重點。進一步聚焦在AI，領先者偏愛機器學習、深度學習和臉部辨識，不過，今年想擁抱AIoT的領先企業也有17.5％。</p> <p>若單看新一代開發技術的採用上，容器技術和微服務架構是兩大重點，其次是敏捷開發、Open API架構、Kubernetes和DevOps，這些也都是國外當紅的新興開發技術或新一代IT架構。數位轉型領先企業，擁抱各式新興科技的腳步，一點都不輸全球科技產業的前進速度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/915%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B1(%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E4%BC%81%E6%A5%AD)-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/915%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B1(%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E4%BC%81%E6%A5%AD)-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/915%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B1(%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E4%BC%81%E6%A5%AD)-600-3.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/915%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B1(%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E4%BC%81%E6%A5%AD)-600-4.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>問卷執行說明</strong></span></p> <p><span style="color:#696969;"><strong>調查對象涵蓋了臺灣2千大企業，搭配iThome歷屆CIO大調查企業中的資訊部門最高主管，及政府一級機構、大專院校資訊主管和資安主管等，來進行線上問卷調查。調查從2019年1月21日到2月19日結束，有效問卷數382份。其中已經完成數位轉型或正在執行中的企業，有206家，定義為數位轉型領先者，其餘則仍處於規畫中（規畫中者)，或甚至是自認不需要或還沒有任何轉型作為者（落後者）。有76.7％填答者是企業IT部門最高主管。</strong></span></p> </div></div></div>
2019/4/9 09:00作者王宏仁https://www.ithome.com.tw/article/129825
Google更新機器學習開發套件ML Kit，新增支援智慧回覆與語言辨識功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google拓展了機器學習套件ML Kit的可應用情境，現在不僅提供圖像辨識功能，開始加入自然語言處理，提供智慧回覆（Smart Reply）與文字語言識別兩個新的API。</p> <p>ML Kit是Google在2018的I/O大會上釋出的人工智慧SDK，目的是要降低行動應用程式使用人工智慧的技術門檻，ML Kit被整合進行動應用程式開發平臺Firebase，其提供了一系列開箱即用的API，開發者不需要擁有機器學習領域的知識，馬上就可以為應用程式加入臉部辨識或是文字辨識等功能。Google提到，原本ML Kit只專注提供圖片與影片處理功能，但現在進一步擴展ML Kit支援範圍，開始提供自然語言處理解決方案。</p> <p>現在ML Kit提供了智慧回覆與語言識別兩個API，前者可以在聊天應用程式中產生回覆建議，後者則可以辨識文字的語言。聊天應用程式現在也可以為使用者提供方便的回覆建議，就像是Google之前智慧電子郵件信箱Inbox的信件回覆建議功能一樣，可以根據對方的訊息提供數個回覆建議，Google表示，智慧回覆建議可以幫助使用者在忙碌時快速回應訊息，或是更快速地輸入長訊息。</p> <p>開發者可以使用智慧回覆API在自己的應用程式中，實作出訊息回覆建議功能，API會依照對話中最新的10條訊息提供回覆建議，雖然如此，但即使對話中沒有10條訊息，該功能仍可以正常運作。回覆建議功能是只會在裝置上運作的無狀態API，歷史紀錄不會被存在記憶體，也不會被上傳到伺服器中，使用者毋須擔心個人隱私安全。</p> <p>Google提到，除了建議回覆功能，他們還增加一個模型來檢測敏感言論，避免給出不洽當的回覆建議，也提供語言識別功能，確保程式不會給出核心模型沒有訓練過的語言建議，目前智慧回覆只提供英文建議。</p> <p>不只是智慧回覆，不少應用程式還提供文字拼寫檢查或是翻譯等的功能，而現在使用者使用這些功能之前，不再需要先行指定文字語言，開發者可以使用辨識文字語言API，自動辨識目標文字語言，ML Kit能夠辨識103種語言的文字，只需要給定幾個單詞，ML Kit就能回傳精準的判斷結果，在iOS和Android只需要1到2毫秒的回應時間。當ML Kit無法確定語言，則會提供可能的語言列表。</p> </div></div></div>
2019/4/9 10:09作者李建興https://www.ithome.com.tw/news/129829
被行星家族的勒索軟體纏住了？別怕，Emsisoft釋出解密工具了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>來自奧地利的<a href="https://decrypter.emsisoft.com/planetary" target="_blank">防毒軟體業者Emsisoft最近釋出了行星（Planetary）勒索家族的解密工具</a>，以協助受害者免受檔案遭到加密或被勒索之苦。</p> <p>該勒索軟體家族之所以聞名是因為它以行星作為加密檔案的副檔名，例如在遊戲中出現的米拉行星（.mira）、海王星（.Neptune）、冥王星（. Pluto）或.yum等。</p> <p>駭客採用AES-256來加密使用者的檔案，並向使用者要求贖金，最早的版本是以. Planetary作為加密後的副檔名，之後陸續出現各種以行星命名的變種。</p> <p><a href="https://decrypter.emsisoft.com/howtos/emsisoft_howto_planetary.pdf" target="_blank">Emsisoft強調</a>，在執行解密程式之前必須先確定已移除勒索軟體，同時必須保留勒索文件，此一文件通常使用一致的 !!!READ_IT!!!.txt名稱。</p> <p>此外，為了以防萬一，該解密程式的預設值並不會刪除遭到加密的檔案，若使用者擔心硬碟容量不夠，可變更該設定以在解密時順便移除遭到加密的檔案。</p> </div></div></div>
2019/4/9 10:11作者陳曉莉https://www.ithome.com.tw/news/129842
【舊金山Next直擊】如何迎戰AWS和微軟，Google Cloud新任CEO即將揭曉新戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google一年一度的雲端大會Next明天即將在舊金山登場，這是Google Cloud第四度舉辦Next雲端大會，但最大不同是，過去帶頭開場的雲端女王Diane Greene，換成了去年11月才加入Google的Google Cloud新任執行長Thomas Kurian。上個月，Thomas Kurian才首度以新職務公開透露，將擴大銷售團隊，採取更積極的銷售布局。在Thomas Kurian第一次的Next大會，也預料將揭露他對Google Cloud最新的發展戰略。 </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%E6%96%B0CEO_TK_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google(2).jpg" style="float: right;" /></p> <p>今年59歲的Thomas Kurian，1996年離開麥肯習顧問公司後進入甲骨文，從產品經理做起，幾乎三分之一的人生在甲骨文度過，2008年開始率領甲骨文產品開發團隊，這是一個分散在全球32國的3萬5千人團隊，研發預算高達40億美元。他也負責甲骨文伺服器技術和知名的Fusion中介軟體產品線，可說是軟硬體技術兼具，後者是甲骨文成長速度最快的產品，更讓他成為甲骨文產品團隊的最高主管。他也從2008年開始負責推動甲骨文所有產品的雲端轉型，一手打造出Oracle Cloud。</p> <p>Thomas Kurian在甲骨文所領導開發的產品，創造了350億美元年營收，包括了55億美元的雲端收入。不只是產品研發，他還負責管理甲骨文全球45座資料中心的團隊和甲骨文企業內部IT，甚至還有一個每年創造8億美元營收的250人規模甲骨文雲端服務銷售部門，更主導了60次甲骨文的軟體併購案。</p> <p>新任Google CEO的挑戰很大。根據RightScale今年1月公布的2019雲端大調查報告，Google在企業雲端採用率上，微幅增加了1個百分比，從去年的19％，增加到今年的20％，依舊排名第三，遠遠落後於排名第一的AWS（67%）和第二的Azure（60%）。儘管正在試用或未來有意採用Google Cloud的比例，遠高於其他兩家業者，但最終，企業用戶沒有真的實際採用，反倒是推出不到2年WMware Cloud on AWS，就以18％採用率緊追在後，名列第四。</p> <p>Google早在2015年中展開了激烈的組織重組，當時就決定全力發展雲端，期望雲端可以成為取代Google原本龐大的廣告營收來源。當時，Google找來了VMware創辦人Diane Greene領軍雲端部門。<br /> 創業型的Diane Greene當時就指出，Google的雲端技術力，是她認為最能和競爭對手拉開差距的關鍵。</p> <p>從過去幾屆Next大會，也可以看出Diane Greene大秀Google雲端技術力，來追趕AWS和微軟Azure等領先的雲端競爭者。在2016年Next大會演講中，Diane就點出了Google雲端平臺的三大發展方向，包括了雲端安全、機器學習雲，以及NoOps全自動化IT，目標是提供可以讓企業加速上雲端的雲端產品。</p> <p>在具體策略上，2016年，Google Cloud祭出了三大戰略，第一就是推廣無伺服器新架構，用Kubernetes加速企業上雲端，將Google用了10年的大規模Container管理技術，變成了商用產品，也就是Kubernetes。第二項戰略是跨大全球資料中心布局，2年至少增設10座雲端機房，尤其是亞太雲端機房的布局。第三項戰略是將機器學習上雲讓人人能用，更強化雲端資料平臺瞄準4大應用。Google將2015年開源的機器學習引擎TensorFlow，變成了機器學習雲端服務。</p> <p>隔年，2017年，Google Cloud全力衝刺下，根據RightScale調查，2017年，Google在大型企業雲端採用率中，提高到了15％，那一年排名第二的微軟Azure採用率也只有43％，只有起步甚早的AWS的雲端採用率過半達到59％。</p> <p>第二屆Next大會，一口氣擴大為3天的萬人研討會，多家財金五百大企業如Verizon電信、HSBC匯豐銀行、全美第二大零售業家得寶Home Depot、迪士尼、高露潔－棕欖和eBay等公司的IT主管都紛紛站臺揭露GCP產品的導入經驗。Alphabet執行董事長Eric Schmidt更直言，Google也有大型企業用戶了！</p> <p>不只開始有大型企業案例，Google Cloud在2017年Next期間，一口氣發布了58項雲端產品或服務的更新，25項與合作夥伴的新計畫，更揭露了四大策略：策略1、積極結盟企業級IT同業，強化雲端生態系；策略2、主打大型標竿企業案例，建立業界口碑；策略3：打造全套式分析平臺服務，來擴大AI平臺吸引力；最後一項策略是G Suite辦公室協作平臺成主角，更要搶攻實體會議室</p> <p>到了2018年，第三屆Next大會時，Diane Greene在開場時強調，我們2年來拼命工作，要追趕對手花了10年的發展腳步，讓Google Cloud成為企業可用的產品。去年成果是，Google Cloud在三個Gartner企業級產品魔力象限中，進入了領先群，包括了IaaS公雲、API全生命周期管理和內容協作這三類產品。<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%E5%89%8DCEO.jpg" /></p> <p><strong>Google Cloud前執行長Diane Greene花了3年時間，要將GCP發展到企業可用的等級。</strong></p> <p>Diane Greene再度調整Google Cloud發展策略，這是目標是要將雲端落地到企業中。最出人意料的「落地」策略，就是把雲端GKE服務（Google Kubernetes Engine，K8s代管服務）變成了一套可以部署在企業機房內的套裝軟體GKE On-Prem。Google Cloud也開始進軍混合雲或業私有雲需求。</p> <p>去年第二項落地策略是推出AI專用晶片，來搶攻IoT邊緣運算市場。來自三星的Google Cloud物聯網副總裁李仁鍾（Injong Rhee)，發表了Google第一款邊緣運算晶片Edge TPU，還推出了Edge TPU 開發版。第三項落地策略是，GCP開始因應企業應用差異，新推出了自助式的客製AI，也就是AutoML系列服務。而最後一項落地策略則是開始瞄準垂直產業需求，新增整套式AI方案</p> <p>不過，主打技術力的Diane Greene沒有忘記，銷售是Google Cloud最大的弱點，在過去三年中，她也從無到有，建立了一整個在總部的全球銷售團隊，並且開始將銷售計畫、雲端經銷體系擴大到全球各地，但這一步還沒有完成，她就離開了。</p> <p>不同於創業型的Diane Greene，長年專注在企業產品研發和銷售的Thomas Kurian，已經預告了攻擊式的銷售戰略是他的新目標，但具體要怎麼做？即將在4月9日的Next大會開場演講中揭曉。</p> </div></div></div>
2019/4/9 05:26作者王宏仁https://www.ithome.com.tw/news/129845
三星開始量產5G晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.samsung.com/global/samsungs-multi-mode-exynos-chipsets-help-bring-the-5g-era-to-mobile-consumers?awc=8330_1554709193_2b733bca10899907f09a099ae711817f" target="_blank">三星宣布已經開始量產該公司的5G晶片</a>，涵蓋數據機晶片Exynos Modem 5100、無線射頻收發晶片Exynos RF 5500，以及電源控制晶片Exynos SM 5800，這3款晶片皆同時支援5G NR的sub-6 GHz頻段及舊有的無線存取技術，宣稱可替行動裝置製造商提供5G時代的最佳通訊解決方案。</p> <p>當中的Exynos Modem 5100是三星最早發表的5G晶片，除了支援5G-NR R15規格中的sub-6GHz與毫米波（mmWave）頻段之外，也支援2G的GSM/CDMA，3G的WCDMA、TD-SCDMA、HSPA，以及4G LTE。</p> <p><a href="https://www.zdnet.com/article/samsung-begins-mass-production-of-its-own-5g-chips/" target="_blank">根據外電報導</a>，在南韓銷售的Galaxy S10 5G即採用了Exynos Modem 5100，但海外的Galaxy S10 5G有些可能會採用高通的X50數據機晶片。</p> <p>至於Exynos RF 5500無線射頻收發器則是智慧型手機透過行動網路傳遞資料的關鍵元件之一，它具備14個下載接收路徑，支援4×4 MIMO與256 QAM以最大化5G網路的傳輸速率。</p> <p>Exynos SM 5800則能根據數據機的射頻輸入訊號動態調整供應電壓，最多可減少30%的電力使用。</p> </div></div></div>
2019/4/8 17:10作者陳曉莉https://www.ithome.com.tw/news/129836
【臺灣資安大會直擊】水利署水資源IoT安全對策大揭露，告訴你公共物聯網如何對抗駭客攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>拜物聯網帶來的資料加值與創新應用所賜，近年來，各國也紛紛將IoT技術運用在民生相關的公共建設推動上，大力推行民生公共物聯網的發展。然而，這些民生基礎設施連網的同時，也帶來了新的資安威脅與挑戰，成為政府推動公共物聯網面臨的一大資安難題。前水利署水資源物聯網雲端平臺的主要負責人，也是現任臺灣體育運動大學圖書資訊處資訊服務組組長何丁武近日在臺灣資安大會上，也以水資源物聯網安全為例，來說明推動民生公共物聯網應落實的幾大資安要求。</p> <p>一般來說，民生公共物聯網共有4大功能，各是優質水資源供需、空氣品質監測、地震預警以及防救災。其中，水資源物聯網，在於利用IoT感測技術，打造更聰明且易於管理的水資源設施環境，將水資源資料透過通訊網路回傳後端系統，再透過資料交叉分析，提高水資源在防汛、安防、灌溉、調控(水供需)，以及自來水水網的作業與管理效率。</p> <p>但是，水資源物聯網的安全，也不容忽視。因為是屬於公共IoT設備，憂關民生用水，因此，對於設備資安要求標準更高，但是如何在不大幅增加IoT安全維護成本的同時，又能確保符合必要的資安行事要求，也成為推動公共物聯網的一大安全挑戰。例如感測器可用性得要達到97%（代表一年不能中斷60分鐘），但相對來說，IoT設備成本也就因此提高，另外電力與使用效能也是另一個棘手問題。甚至於，針對公共工控系統（ICS）的資安挑戰更大，由於設計之初，往往就沒有加入資安考量，只強調可靠與可用性，更容易成為駭客覬覦的目標。</p> <p>若以現行水資源物聯網的作業規範為例，何丁武表示，從感測層開始、網路層，到最上面的應用層，包括感知設備、閘道器、監控設備，又或是針對資料傳送加解密、日誌，安全性更新，與資訊安全驗證等，各有不同安全要求。並分有水庫與堰壩兩種水利建造物感測標的，在資料蒐集時也都要符合加密，以及安全連線的要求，包括基礎水位、流量、開度(水閘門)、雨量、水量、濕度、流速、濁度、水壓以及加速度等。</p> <p>另在資料交換上，同樣得要符合更高安全的資料傳送、可用性監控的目標，以確保整個資料流（Data Flow）傳輸過程安全無虞，從感測資料開始，包括感測設備傳送的觀測結果、地理座標或運作狀態等，也不分是採用NB-IoT或LoRa 無線通訊網路傳送感測資料，都得通過MQTT協定，與OAuth2驗證，才將量測或讀值寫入資料庫，並且皆採用SensorThings資料模型格式。而使用者則以HTTPS加密協定來存取資料，以確跑保傳輸安全。</p> <p>在設計新系統時，也得將資安思維納入系統設計環節，提前進行各項必要的安全防護措施，例如符合對於安全系統發展生命週期（SSDLC）的要求等，以降低遭受攻擊的損失。此外，亦需要落實安全檢測的項目，必須針對系統進行源碼檢測、弱點掃描，及滲透測試，並明訂風險值，且於系統上線前提供測試報告，以證明系統的安全性無虞。</p> <p>對於訊息加解密、認證的安全要求上，何丁武也指出，應針對IoT資訊系統的重要性進行分級，規範對應的加密強度。對於安全性要求更高的設備或服務，應採雙因子認證功能強化資安，若使用金鑰也需建立安全的金鑰管理機制，包含產生、儲存、使用、備份等，並且也得落實日誌與稽核的安全管理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20190319_151013.jpg" style="width: 600px; height: 338px;" /></p> <p>又以水資源關鍵基礎設施的安全防護來看。去年下半年，水利署也提出了水庫關鍵基礎設施安全防護管理計畫，針對設施設備安全與功能正常、人員安全，供水穩定以及資訊安全來加強防護。若從制度面來看，包括落實實體隔離與管制、水庫相關系統營運確保，以及營運持續等三大面向。其次，在危機處理面上，也需設置訊息回應窗口、建置情蒐蒐集聯繫平臺、結合外部機關支援系統，以及建置水資源資安資訊分享與分析中心（W-ISAC），以達到資安資訊分享、通報、資安事件應變等。</p> <p>何丁武表示，去年水利署的W-ISAC已經設立完成，並且已經實際運作中，做為全臺北中南水資源資安情資的發布之用，還將這些資安情資用於深度研究與分析，包括OT威脅趨勢分析、OT攻擊行為分析，以及防範策略的擬定。該平臺也能依據風險程度高低以燈號顏色來表示。例如綠色燈燈號代表低度警戒，並不構成威脅，紅色燈號代表高度警戒，需立即採取行動等。除了W-ISAC的建置完成以外，水利署也計畫逐步來完成W-CERT與W-SOC中心的設置。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20190319_153010.jpg" style="width: 600px; height: 338px;" /></p> </div></div></div>
2019/4/8 14:50作者余至浩https://www.ithome.com.tw/news/129821
思科：臉書暗藏由74個社團與38萬名成員組成的網路犯罪市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.talosintelligence.com/2019/04/hiding-in-plain-sight.html" target="_blank">思科（Cisco）旗下的威脅情報組織Talos近日揭露</a>，網路犯罪份子不只在地下論壇活動，也把個人資料、垃圾訊息服務或其它駭客服務的銷售行為光明正大地搬到臉書上，在臉書建立了74個社團，總計吸引了38.5萬名成員。</p> <p>而且這些社團多數毫不避諱地採用非常明顯的名稱，例如專業的垃圾訊息（Spam Professional）、專業駭客（Spammer & Hacker Professional），或者是直接擺明要銷售信用卡的驗證碼（Buy Cvv On THIS SHOP PAYMENT BY BTC），以及提供臉書的網釣服務（Facebook hack--Phishing）等，使用者只要利用spam、carding或CVV等關鍵字在臉書上搜尋，就能找到駭客社團。</p> <p>Talos指出，臉書似乎只仰賴使用者的檢舉來清除這些駭客社團，因為有的社團在臉書上甚至已存活8年之久，且短短幾個月的時間他們就追蹤到74個駭客社團與38.5萬名社團成員。</p> <p>當Talos向臉書檢舉時，臉書很快就移除了大多數的駭客社團，但Talos卻也發現新社團依然不斷開張。</p> <p>由於社交媒體的定位就是為了協助全球民眾能夠聚集與分享，但臉書似乎還無法準確區分非法及合法社團，而是仰賴社團的自我監管與用戶的檢舉，Talos除了認為臉書應強化防禦惡意社團的能力之外，也呼籲臉書用戶應主動向臉書檢舉非法社團的存在，以共同維護社交平台上的安全。</p> </div></div></div>
2019/4/8 14:00作者陳曉莉https://www.ithome.com.tw/news/129820
遊戲商禁止歐盟消費者到其它成員國購買遊戲，歐盟：違法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://europa.eu/rapid/press-release_IP-19-2010_en.htm" target="_blank">歐盟執委會（European Commission，EC）上周指出</a>，已針對Steam遊戲平台的母公司Valve及5家遊戲出版商發出異議聲明，認為這些業者聯手禁止玩家在其它歐盟國家購買遊戲違反了當地的反壟斷法令。</p> <p>接到異議聲明的5家遊戲出版商分別是Bandai Namco、Capcom、Focus Home、Koch Media與ZeniMax，這些出版商與Valve合作，在遊戲中嵌入了啟動金鑰，使用者購買遊戲之後，若要在Steam上執行，就必須輸入啟動金鑰。</p> <p>然而，有鑑於歐盟各國的生活水平不同，每個國家的遊戲售價也不同，為了避免歐盟玩家到其它國家購買便宜的遊戲，Valve與這5家出版商擬定了地域封鎖策略，禁止使用者於Steam上啟動於其它國家所購買的遊戲金鑰。</p> <p>遊戲售價較低廉的歐盟國家包括捷克、愛沙尼亞、匈牙利、拉脫維亞、波蘭、斯洛伐克及羅馬尼亞等。換句話說，如果你住在德國，卻到隔壁的波蘭買了上述出版商所發行的遊戲，那麼回到德國之後並無法在Steam上啟動該遊戲。</p> <p>EC委員Margrethe Vestager指出，在真正的數位單一市場中，歐盟消費者不管住在哪裡，都有權利購買及執行任何他們所選擇的遊戲，不應阻止消費者在各個歐盟成員國中尋找最佳交易。</p> <p>EC允許被指控的Valve及5家出版商替自己辯護，但若EC認為業者違法的證據明確，除了將禁止業者的行為之外，也會祭出最高10%年度營收的罰款。</p> <p>歐盟是在2018年的12月正式禁止不合理的地域封鎖策略，但當時只規範了以CD或DVD格式銷售的遊戲，或是其它實體商品，並未包括下載，不過，EC準備在明年3月重新評估該規定的範圍，打算納入其它數位內容，涵蓋音樂、電子書、軟體或線上遊戲等。</p> </div></div></div>
2019/4/8 14:50作者陳曉莉https://www.ithome.com.tw/news/129823
駭客濫用Google平臺鎖定路由器展開DNS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://badpackets.net/ongoing-dns-hijacking-campaign-targeting-consumer-routers/" target="_blank">Bad Packets</a>及網路測試業者<a href="https://www.ixiacom.com/company/blog/paypal-netflix-gmail-and-uber-users-among-targets-new-wave-dns-hijacking-attacks" target="_blank">Ixia</a>最近幾個月相繼偵測到大規模鎖定家用路由器的DNS挾持攻擊，受到波及的路由器品牌涵蓋D-Link、TOTOLINK、Secutech及ARG-W4等品牌，且相關攻擊全是利用Google Cloud Platform（GCP）的資源。</p> <p>DNS如同網路上的電話號碼簿，可將使用者所輸入的網域名稱直接轉成IP位址，家用路由器上通常會有內建的DNS伺服器，亦允許使用者指定DNS伺服器，當駭客竄改了路由器的DNS伺服器設定時，就能將使用者的流量導至駭客所掌控的惡意伺服器，也許是為了執行廣告點選詐騙，更多的是進行網釣攻擊以竊取用戶憑證。</p> <p>Bad Packets率先偵測到3波的DNS挾持攻擊，它們先後出現在去年的12月、今年的2月，以及今年的3月，Ixia緊接著在4月發現新一波的路由器DNS挾持攻擊，駭客先藉由GCP開採使用者家中的路由器，把路由器中的DNS設定改為駭客所掌控的版本，並透過在OVH或GCP上所架設的惡意DNS伺服器，將使用者的流量導至惡意網站。</p> <p>Ixia發現駭客鎖定了Paypal、Gmail、Uber及Netflix等知名網站，以及巴西的代管服務供應商與巴西金融組織，以惡意DNS伺服器將受害者導至假冒的上述網站並騙取使用者的登入憑證，這些偽造的網站在外觀上與正牌網站一模一樣，但卻採用未加密的HTTP傳輸協定。</p> <p>Bad Packets認為，相較於其它的競爭對手，GCP似乎更容易遭到濫用，只要具備Google帳號就能以瀏覽器存取Google Cloud Shell，再透過指令使用雲端資源，有鑑於這些虛擬機器的短暫特質，再加上Google對於濫用檢舉的反應並不快，皆使得這類的惡意行為難以防範。</p> <p>不過，<a href="https://arstechnica.com/information-technology/2019/04/ongoing-dns-hijackings-target-unpatched-consumer-routers/" target="_blank">Google回應了Ars Technica的詢問</a>，表示正在建立可辨識任何新興威脅的規則，也會偵測並移除那些違反Google服務條款的帳號，或是暫時關閉有疑慮的帳號。</p> <p>安全研究人員則建議使用者應定期更新路由器韌體，或是檢查路由器上的DNS設定是否曾被竄改。</p> </div></div></div>
2019/4/8 13:25作者陳曉莉https://www.ithome.com.tw/news/129819
【臺灣資安大會直擊】臺灣大型組織破千臺主機紅隊演練細節首次大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「這是我們做過最大規模的紅隊演練，實施組織的主機群超過4位數，且資安做得相當完善。」戴夫寇爾執行長翁浩正在2019臺灣資安大會上，首次揭露了臺灣企業委外執行紅隊演練（Red Team Assessment）的實際案例。</p> <p>「全世界，包括臺灣，資安最大困境，就是戰場超乎你想像的大。」翁浩正解釋，不管是政府單位、金融機構、電商業者等組織，他們的網站、伺服器非常多，加上個人化的行動裝置、雲端，因此只要有接上網路，不管是內部網路或外部網路上的任何裝置、主機，駭客都有機會攻擊。</p> <p>在戰場無限擴張的時代，翁浩正認為，百分之百的全面防禦很難做到，從駭客角度看，任何主機都是有機會入侵，現今不可能全面防禦。「戰場那麼大，只能針對駭客的思維做重點防禦，且在被入侵後能立刻做反應。」</p> <p>翁浩正指出，對企業來說，企業的主網站與資料庫向來是重點防禦區，企業主會投入極高資安預算與資源，像是買防火牆、網路應用程式防火牆（WAF）等各種防禦設備與資安服務。正因如此，對於以利益為導向的駭客來說，對這一區攻擊的成功率較低，成本較高，所以，駭客通常不會先攻擊這部分，「網路邊界才是駭客攻擊的重點」，翁浩正點出關鍵。</p> <p>他解釋，企業這麼大，有些主機雖然由企業管控，但其實不在資安管轄範圍之內。例如極少有企業將測試機、開發機納入資安檢測範圍，「光是主網站都顧不完，沒有太多餘力去顧到次要網站。」</p> <p>因此，駭客會從企業網路邊界中，找尋資安防禦較弱的網站，從攻擊成本較低的次要網站下手，透過這類次要網站進入企業的內部網路，進而得到企業最近的資料，甚至有機會從企業內部來攻擊企業的主要網站，「這是駭客最常見的攻擊手法。」翁浩正說。</p> <p>他更提醒，企業愛用的雲端服務如Gmail、Slack、GitHub，只要有任何一名員工沒有開啟二步驟驗證（2FA），並且還在使用遭外洩的帳號密碼，此員工的帳號就會成為企業的防禦缺口。駭客組織或是網軍能透過此帳號，取得企業GitHub原始碼，再來進行原始碼分析，就能得到企業最近的資料。這正是紅隊演練中常見的演練項目之一。</p> <p><span style="font-size:26px;"><span style="color:#008080;"><strong>從紅隊演練找出資料外洩路徑，優先修補高風險漏洞</strong></span></span></p> <p>翁浩正指出，紅隊演練是最真實的攻擊演練，在不損及企業利益的前提下，對企業進行模擬入侵攻擊，並且是無所不用其極的方式，從各種進入點執行攻擊，嘗試達成企業指定的測試任務。像是個資、金流、信用卡號等各種機密資料，這些企業最在意的資料，也會是駭客有興趣的資料，都會成為紅隊演練的攻擊目標。</p> <p>「若企業能在紅隊演練中，找到機密資料如何外洩，封閉這條路徑，讓駭客難以利用，企業就會變得更加安全。」翁浩正說。</p> <p>不過，他強調：「紅隊演練不是滲透測試。」滲透測試只是檢測單一系統的各種風險，在固定範圍內盡可能找出各種漏洞。紅隊演練則是針對企業所屬的所有主機，找出各種可入侵的路徑，利用漏洞來達成攻擊目標，「企業授權演練的範圍越大，紅隊演練的效果會更好。」他舉例，金融機構舉辦紅隊演練時，設定竊取客戶個資為攻擊目標，紅隊的任務就是用各種方法潛入來取得個資。</p> <p>在技術上，相較於滲透測試，翁浩正比較，紅隊演練會組合多種入侵路徑和手法來擴大攻擊面。例如先透過情資蒐集，找出管理者信箱，利用跨站腳本攻擊（XXS）搭配社交工程手法，取得管理者權限。再找出企業網路邊界中防護不佳的主機，利用已知漏洞進行攻擊，來獲取更多控制權，以便進入內部網路。甚至，紅隊會盤點企業所用的第三方雲端服務，針對員工帳號採用撞庫攻擊來竊取權限，登入企業的雲端主機，從中取得更多的資料，來輔助更多攻擊行為。</p> <p>翁浩正也以一場實際紅隊演練來說明。他指出，實施演練的大型組織擁有數千臺的主機，對外服務的網站，包括了主網站、次要網站與非主網站三類，內部網路則有7x24小時的監控機制，也要求不同的伺服器主機須使用不同的密碼才能登入。</p> <p>這個組織主網站的資安防護強度很高，在核心防護區實施了白名單管制，只有名單上的主機才能連線到企業最核心的系統。虛擬主機上的網路硬碟，也套用了政府部門所用的政府組態基準GCB規則來設定組態以強化防護，甚至帳號驗證的AD控制器都使用RSA TOKEN來保護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E6%AA%941%EF%BC%9AIMG_0566(1).JPG" /></p> <p>然而，即便這家企業所用的資安設備與服務相當齊全，但因次要網站的防護不足，沒有實施過滲透測試，也未納入WAF防火牆中，所以，戴夫寇爾先找出了次要網站上的漏洞，成了率先遭攻擊的防禦弱點。接著，在演練時，戴夫寇爾從次要網站下手，以撞庫攻擊的方式，成功地竊取到下一臺主機的登入權限，翁浩正解釋，成功駭入的關鍵，正是次要網站用了已外洩的帳號密碼。</p> <p>紅隊循此路徑，就進入了企業的內部網路，運用已知漏洞，進一步控制了行政系統與檔案管理系統的主機。翁浩正指出，這可能是內部主機監控機制的涵蓋率不足、存取權限不夠嚴謹、通報嚴重度偏低等所造成的漏洞。</p> <p>此外，進行紅隊演練時，翁浩正還發現，這個組織儘管每一臺主機都有特權帳號，但卻使用了同樣的密碼規則，破解出一組後，就可以推算出每一臺主機的密碼。透過這方式因此而登入了大量的主機，甚至有臺是VMware的vCenter伺服器，也由於vCenter管理了上百臺虛擬主機，所以，當他們控制了這家企業2臺vCenter的權限，就等於控制了1千多臺的主機。翁浩正強調，密碼設定不能有規則，否則就有機會遭破解。</p> <p>最後，他們發現AD控制器也部署在VMware上，仿效先前vCenter的攻擊手法，也得到了AD的密碼，此時，扮演攻擊方的紅隊，已經有機會登入這家企業每一個員工的電腦，甚至可以透過白名單主機，連接到企業最核心的系統。翁浩正認為，像是vCenter、AD這類高敏感的核心系統，若未納入盤點，將會是企業資安防禦上的大盲點。</p> <p>這組織最擔心的事情，都在紅隊演練中發生了。但翁浩正強調，這不是一件壞事，企業能在真實資安事件發生前，先用紅隊演練發現最大威脅，補完漏洞、落實防禦措施，等到真有駭客要循同樣的手法來入侵時，就會變得很困難。</p> <p><span style="font-size:26px;"><strong><span style="color:#008080;">紅隊演練得靠多人編制團隊實施攻擊分工</span></strong></span></p> <p>不過，因為紅隊演練中，往往需要大規模的攻擊和嘗試，紅隊必須採取多人編制的團隊作戰，翁浩正透露，在執行每次紅隊演練前，都會經過縝密的戰鬥規畫，分析目標組織的規模、攻擊目標可能位置、擁有哪些主機等，也會先評估哪些是可攻擊的弱點主機，再來擬定攻擊戰略，分組進行紅隊演練。有能力實施紅隊演練的團隊，還得經常挖掘並發表漏洞研究，還要具備強大的情報收集能力，並且高度熟悉駭客思維及各種多樣攻擊手法。「紅隊演練就是情報戰，掌握情報就能左右戰爭。」他說。</p> <p>以戴夫寇爾的紅隊演練編制來說，共分為5個小組，分別是情資小組（Intel Team）、特種部隊（Special Force）、正規軍（Regular Army）、支援小組（Support Team）與研究小組（Research Team）。</p> <p>先出動的是情資小組，負責情報偵察，以及收集企業外洩的帳號密碼。接著，由特種部隊負責取得最初的存取權限，尋找企業第一個可攻擊的爆破點，取得控制權後，再利用漏洞想辦法進入企業內網或取得更高的主機權限。翁浩正指出，前線防禦設備也可能是攻擊目標，所以企業在採購對外的第一線資安設備，千萬要小心。</p> <p>入侵內網後，下一步則由正規軍出面掃蕩，尋找企業有哪些主機有類似的漏洞，並建置C2中繼站，開始橫向或是垂直的移動，入侵更多主機。除了攻擊部隊外，支援小組的任務則是觀察與記錄戰況，翁浩正解釋，由於紅隊演練規模太大，委外的攻擊團隊進駐到企業內部後，企業也很擔心，所以，得記錄下攻擊團隊的重點攻擊行為。研究小組則是負責漏洞的挖掘，並尋找哪些漏洞可以取得最初控制權，甚至是開發漏洞利用程式。</p> <p><span style="font-size:26px;"><span style="color:#008080;"><strong>可用紅隊演練結果重分配資安預算</strong></span></span></p> <p>翁浩正認為，資安的重要性是全企業級的影響，所以，資安預算應從風險角度來評估，而不是屬於IT預算中的一部分。資源足夠的企業都進行風險評鑑，再以評鑑結果來安排資安預算。他認為，企業除了金預算用於高遭攻擊機率且高影響的部分之外，也應保留部分預算給低機率但高影響的部分，甚至要投資一些控制措施，讓低影響的情境不會增加風險。文⊙李靜宜</p> </div></div></div>
2019/4/8 11:41作者李靜宜https://www.ithome.com.tw/news/129815
沒有假議題，只有處理不了的議題
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺北市政府副發言人日前在電視政論節目當中，表示統獨是「假議題」，並且強調民生經濟才是當前人民最關切的議題，引發全國熱議。然而，在IT的領域裡面，大家其實對於現今當紅的許多技術應用浪潮，可能也有類似的論調，然而，這些真的都是廠商在炒作議題嗎？</p> <p>以雲端服務為例，一般企業現在的接受度和採用率已逐漸提升，在我們的2019年CIO大調查當中，絕大多數產業的重點投資項目，它都名列前三大（只有高科技製造業是第四大），綜合所有企業來看，對於雲端服務的平均投資金額為696萬元，僅次於資訊安全（739萬元）和物聯網（732萬元）。所以，雲端服務對投入大量資金的臺灣企業而言，是個假議題嗎？</p> <p>如果你還是堅持雲端服務是個假議題，那麼，最近傳出裁員消息的甲骨文，以及這幾年來也傳出裁員，並高喊Cloud First、Mobile First的IT大廠，像是IBM、微軟，應該都不需要為此屢屢大幅調整人力配置。</p> <p>那麼，當前熱門的人工智慧（機器學習）呢？在今年的臺灣企業IT的重點投資項目當中，它已擠入前五大，平均投資金額為616萬元，而對於各大IT廠商而言，在既有產品當中，也都爭相整合這方面的技術，企圖提供更理想的分析與預測能力。</p> <p>而今年臺灣企業最大的IT投資項目是什麼？無庸置疑是資訊安全，近年來，兩岸關係處於持續緊繃狀態、北韓遭到經濟封鎖，以及中美貿易戰等多種因素作祟，以臺灣作為主要目標的網路攻擊接連不斷而來，同時，也充斥著各種假新聞的操作，若有人仍然認為資安是庸人自擾的假議題，或抱持駭客與資安廠商串通起來矇騙市場的陰謀論，也只會讓人恥笑。</p> <p>因為，就連全世界最知名的臺灣大企業，去年都因為惡意軟體的攻擊而導致產線大規模停擺，蒙受嚴重損失，而為數眾多的臺灣中小企業，原本就處於資安預算、專業防護人力明顯不足的困境，又怎能無視這樣的威脅，認為自己擋得住、防得了呢？許多公司至今仍以為一定要有錢有勢，才可能會成為攻擊目標，事實上，無差別的加密勒索軟體攻擊，以及有特定目標的網路攻擊，兩者都是同時存在的，就算有此消彼長的態勢，以及單筆受害金額的高低落差，我們都無法輕易排除自己被鎖定、被滲透的可能性，因為，即使你不是主要受害者，仍有可能因為手上的連網設備遭到駭客的惡意程式劫持，而在自己不知情的狀況下，去傷害他人。</p> <p>整體而言，每當看到有人輕率地批評某件事是假議題，此時，我們應該反思，仔細審視對方的論點是否站得住腳，當我們指責他人總是喜歡舊事重提、「炒冷飯」、翻舊帳，認為這些狀況只是特定利益團體為了煽動對立而提出的訴求，但現在情勢已明顯不同，因為，國家主權的危機就在眼前，任何政治團體若不能認知到這樣的處境，企圖透過「假議題」的比喻來轉移大眾的注意力，這是罔顧現實，我們更期待的是要有人來承擔這份重任，做出改善，而非一再擱置，導致最後變成真正的問題。</p> <p>或許在過去兩岸關係較為平緩、相互包容的狀態下是如此，然而，在2014年因立法院審查海峽兩岸服務貿易協議爆發爭議，引發318學運之後，再加上中國這幾年極力打壓我國的外交，壓縮臺灣的國際交流空間，各種文攻武赫的動作變本加厲，都是實實在在面臨的國家處境，朝野都應該意識到這樣的局面而有所回應，表達守護主權的堅定立場。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%81%87%E8%AD%B0%E9%A1%8C">假議題</a></div></div></div>
2019/4/8 11:50作者李宗翰https://www.ithome.com.tw/voice/129817
【臺灣資安大會直擊】不只資安產品能用AI，趨勢利用AI輔助沙箱偵測每年數十萬PDF檔，以降低資安維運成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「未來的AI技術，就像是一個Excel表格功能，可以節省許多整理表格的力氣與時間。」趨勢科技全球研發部資深副總周存貹近日參加臺灣資安大會時表示，對於資安公司來說，AI也像是一種製作資安表格的工具，可以幫助許多資安公司加強資安產品的防護。周存貹認為，資安整合AI能力，已成為必然的發展趨勢，因此，真正的關鍵在於，如何運用AI來解決現有資安產品面臨的難題。</p> <p>因為AI技術最近幾年的大躍進，也帶來資安防護技術的演進，開始有越來越多的資安公司，將AI能力融入自家資安防護產品之中，試圖解決一些傳統資安產品面臨的問題，例如病毒碼更新管理難題、無法偵測未知病毒，以及容易出現誤判的情況等。趨勢科技也是其中一家。</p> <p>周存貹表示，目前該公司與資安及營運相關的AI專案多達50個。以資安為例，至今，趨勢已實際將AI技術應用在電子郵件詐騙阻擋、垃圾郵件阻擋以及惡意巨集偵測等方面。以目前常見的變臉詐騙(BEC)來說，他們利用500多封電子郵件的書信內容當作訓練樣本，讓AI學習公司主管的書寫風格，以判斷信件內容是否為詐騙，一旦發現內容與本人的書寫風格不符，就會發送警告，提醒收／寄件者注意。趨勢在內部使用一段時間後發現成果高於預期，如今也把這項技術運用在自家資安產品中。另外，在阻擋釣魚郵件上，趨勢也同樣利用AI對於圖像辨識能力，來教導它學習判別釣魚網站，使用至今也獲得不錯的辨識成果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20190319_163742.jpg" style="width: 600px; height: 338px;" /></p> <p>不只有資安產品會用到AI，趨勢也利用AI輔助沙箱偵測內含巨集惡意程式的PDF文件檔案，來降低資安維運成本。過去趨勢是利用沙箱模擬分析技術（sandbox）來進行偵測，將所有信件附加的PDF檔案放進沙箱環境做檢測，以確保電腦安全。但是，以前光是每天要處理的郵件多達上百萬到千萬封，用在處理全部PDF檔案，事前可能需要準備數十萬臺沙盒才夠用，不僅耗費許多運算成本，甚至每次處理<br /> 至少需要3到5秒的等待時間，要過濾完所有PDF檔相當費時。</p> <p>後來，趨勢決定改用AI來替他們解決這個營運難題。他們利用將近1年蒐集來的數十萬個PDF檔案當作訓練資料，來建立ML模型，用來判別PDF檔案的好壞，僅針對AI沒辦法分辨的問題檔案，再丟進沙箱內進一步檢測。經過半年併行測試後，也幫助他們大幅降低了沙箱的使用數量，而且同樣能發揮到相同防護的效果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20190319_164324.jpg" style="width: 600px; height: 277px;" /></p> <p>不過，周存貹坦言，AI在提高病毒偵測率、降低誤判率，以及減少更新病毒碼的頻率方面，雖然能發揮到不錯的效果，但是純用AI來防毒，現階段還是存在一定程度風險。首先，AI技術的先天特性，目前還難以解釋病毒偵測成功或失敗與否的原因，所以當AI發生誤判或抓不到病毒時，不容易找到真正的原因，並且也很難立即反應，得要重新餵資料訓練模型，這段時間，等於是讓企業重要系統成為駭客的囊中物；再者，對已知病毒的偵測率，AI反而不如傳統資安產品。最後，不只只有資安公司會想到用AI，駭客攻擊也開始用AI來反制，利用對抗式攻擊（Adversarial Attacks）技術，誘騙AI產生錯誤的判斷，藉此規避AI資安產品的偵測。</p> <p>周存貹建議，企業在選用資安產品時，AI固然是重要的參考指標，但是更重要的是，這個資安產品是不是有做到多層的保護，也就是在伺服器、端點、閘道器或防火牆，加入多種不同的資安保護，以及這個資安產品是不是搭配多樣的技術，如AI、行為分析偵測等，從各個資安層面對企業提供全面的保護；再者，也要將單一資安產品的整合能力納入考量，能與其他資安產品整合，可以協調合作。這些都具備了，才是完整的資安解決方案。</p> <p>以趨勢的X-GEN防護產品為例。他表示，當有一個惡意檔案進到企業，除了會先經過幾道安全機制過濾，包括WEB Reputation、Application Control與census check，同時也會搭配兩種ML引擎的資安防護，一個是pre-execution ML，先針對還沒執行前的檔案做ML推論，以判別是否屬於惡意檔案，另一個則是 Runtime ML，可在檔案或程式值執行過程中，用於偵測或捕捉惡意病毒，並將其擋下。如此一來，這才能達到多層次、多產品、多功能的保護。</p> </div></div></div>
2019/4/8 12:12作者余至浩https://www.ithome.com.tw/news/129816
傳微軟電子病歷管理平台HealthVault將於11月20日關閉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/129056" target="_blank">關掉Health app</a>後，微軟可能又將關閉推展許久的電子病歷管理平台HealthVault。</p> <p><a href="https://www.zdnet.com/article/microsoft-is-closing-its-healthvault-patient-records-service-on-november-20/" target="_blank">ZDNet報導</a>，有HealthVault用戶接獲微軟以電子郵件通知，該公司HealthVault服務將從2019年11月20日關閉。微軟表示希望告知此事以便用戶能提前準備。</p> <p>HealthVault於2009年上線，長期以來微軟積極以之與主要醫院合作，作為大眾用戶健康資料的儲存與管理平台。</p> <p>在11月20日之後，所有用戶儲存在HealthVault帳號下的資料將會被刪除。如果用戶希望保存帳號下的資料，必須及早行動從HealthVault帳號下將資料搬移。微軟也建議想將資料匯出的使用者，可以聯絡同業包括Get Real Health及FollowMyHealth。</p> <p>此外，任何仰賴HealthVault服務運作的行動及網頁app也會在其關閉後無法運作。微軟提醒用戶向app廠商詢問未來計畫。</p> <p>這是微軟最新一次關閉與健康有關業務。今年三月初微軟才<a href="https://www.ithome.com.tw/news/129056" target="_blank">宣佈</a>5月31日起不再支援Health app及Band健康手環。微軟同時也允諾將款項退回給新加入的用戶。去年這家軟體巨人也關閉了HealthVault Insights app。</p> <p>但微軟仍有多項健康管理的新計畫，包括健康聊天機器人以及為Azure和協同平台Teams加入病歷整合功能。ZDNet推測微軟可能是想退出面對一般消費者的健康照護服務，專注在B2B（企業對企業）市場或軟體開發。</p> </div></div></div>
2019/4/8 10:18作者林妍溱https://www.ithome.com.tw/news/129810
微軟擴大Windows 10 20H1的早期開發者測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/129801" target="_blank">微軟宣佈</a>代號19H1/ 1903的重大Windows 10更新，將發佈給Release Preview 通道的開發人員，預告即將釋出給大眾。配合此一進度，微軟<a href="https://insider.windows.com/en-us/articles/check-your-windows-insider-program-settings/" target="_blank">計畫將代號20H1的Windows 10更新釋出給Fast ring通道的Insider開發人員</a>。</p> <p>同時微軟也宣佈把加入Skip Ahead選項的一小群開發人員與Fast Ring通道合併，預計未來幾周內就會開始。微軟還提醒開發人員確認自己屬於哪個通道，如果只想停留在May 2019 Update（19H1）的開發商，可以轉到Slow ring或Release Preview通道，因為20H1將會是功能不穩定或漏洞很多的版本。</p> <p>事實上，<a href="https://www.ithome.com.tw/news/128784" target="_blank">微軟早在2月14日就針對加入Skip Ahead的Insider開發人員釋出20H1測試版</a>，這次的宣佈使更多開發人員得以測試20H1，而非19H2。</p> <p>通常依據微軟的設計，Fast Ring開發人員只會比Slow Ring早一個版本，但這次宣佈卻使Fast Ring早了二個版本（跳過19H2），當時微軟並未多做解釋，只說是因為部份功能需要較多測試期，卻引發外界猜測19H2是不是就沒有了。</p> <p>不過媒體報導仍然會有。<a href="https://www.ithome.com.tw/news/129044" target="_blank">ZDNet 2月間根據內部消息指出</a>，把20H1測試提前理由是因應Windows及Azure開發工作整合引發的過度期，而這也導致19H2只會是小改版。果真如此，企業IT部門一定會很高興，因為他們就有理由跳過一次重大升級了。</p> <p>總之，<a href="https://twitter.com/brandonleblanc/status/1114224385777225729" target="_blank">微軟高層Brandon LeBlanc於４月５日透過推特說明</a>，仍然會有19H2，但要過幾周微軟才會說清楚對19H2的規劃。</p> </div></div></div>
2019/4/8 10:45作者林妍溱https://www.ithome.com.tw/news/129813
MIT從嚴審查和中、俄、沙國合作，暫停與華為、中興的計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到美中外交關係緊繃影響，美國麻省理工學院（MIT）公告會從嚴審查中國、俄羅斯及沙烏地阿拉伯三國與MIT的合作專案，而自即日起，暫停與廠商華為與中興的合作計畫。</p> <p><a href="http://orgchart.mit.edu/node/27/letters_to_community/new-review-process-elevated-risk-international-proposals" target="_blank">MIT研究副總裁Maria Zuber對內部職員發佈公開信說明該校做出的新決定。</a>她說，MIT常有很多國際合作機會，由於這些合作可能帶來風險或問題，因此MIT向來對可能的合作專案有繁複的評核流程。但因為國際合作的量與範疇近年愈來愈大，MIT於是在2017年秋天啟動強化評估流程。近期MIT公佈新的審核流程，並決定三類專案需要比一般國際合作專案接受更嚴格的審核。</p> <p>根據MIT的新審核流程，任何專案都要經過合規審查、學術審查及專案風險審查。至於需要更嚴格審查的三類專案則包括由中國（包括香港）、俄羅斯和沙烏地阿拉伯的個人和公司實體贊助、在這些國家由MIT員工與師生執行、以及和這三個國家的個人及公司實體合作的專案。</p> <p>MIT會特別關注這些國家的合作專案是否有與智財、技術輸出控管、資料安全與取用、經濟競爭性、國家安全、政治公民權或人權風險，以及是否影響MIT社群、及和MIT核心價值與使命是否一致。MIT會依國際情勢變化調整黑名單的國家。</p> <p>此外，因應美國政府針對兩公司違反對特定國家（伊朗）的國際制裁令進行調查，此時MIT也將暫停與華為、中興及其子公司之間締結新合作，既有合作也暫時不再更新。她表示俟情況改變，MIT會再重視審視。</p> <p>MIT的決定可說是美國川普政府運用國家之力防堵華為及中興產品的結果。<a href="https://www.ithome.com.tw/news/122478" target="_blank">2018年春天美國政府發出禁令禁止電信設備商輸出技術給中興</a>，一度危及中興生存。2018年美國國會更以危害國家安全為由，通過《國防授權法案》889節禁止電信業者採購華為及中興5G網路產品，且美國除了自己不買華為產品，也要求盟邦包括英國、德國及日本加入其抵制行動，引發<a href="https://www.ithome.com.tw/news/129192" target="_blank">華為在美控告此法違憲</a>，風波迄今仍未平息。</p> </div></div></div>
2019/4/8 11:09作者陳曉莉https://www.ithome.com.tw/news/129814
Yahoo分出來的Altaba出售阿里巴巴股權後關門大吉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>還記得Altaba嗎？<a href="https://www.businesswire.com/news/home/20190402006082/en/Altaba-Announces-Board-Approval-Plan-Complete-Liquidation" target="_blank">Altaba宣佈</a>出售中國電商巨人阿里巴巴的股權，同時關閉營運。</p> <p>若你不記得Altaba也很正常。2017年Verizon收購Yahoo的主要業務，包括搜尋、Yahoo Mail、Yahoo Messenger、Tumblr、Flickr及媒體品牌Huffington Post、Engadget、TechCrunch等，<a href="https://www.ithome.com.tw/news/111018" target="_blank">改名為Oath後成為加入子公司</a>。不過今年初<a href="https://www.verizon.com/about/news/introducing-verizon-media-group" target="_blank">Oath再度改名為Yahoo媒體事業群</a>。剩下來的業務包括阿里巴巴與日本Yahoo股權，持有非Yahoo非核心專利的實體Excalibur IP，則改名為Altaba，但已經從網際網路世界主要舞台退場。2018年9月，Altaba出清手中的日本Yahoo 股權。而原本在此前2個月，它也擬出售部份阿里巴巴股票，隨後又買回以挽救股價。</p> <p>今年四月初，Altaba宣佈其公司基金董事會表決通過出售持有剩下的阿里巴巴股權及Excalibur IP的股份，並完全結束公司。這次出售為股東產生的利益估計在398億到411億美元之間，其中一半將等股東大會通過後執行。</p> <p>Altaba執行長Thomas McInerney指出，2017年6月該公司已經採取積極作為激發股東價值，並產生可觀效果…而對股東來說正確的下一步是該公司於四月初宣佈的計畫，代表公司能力範圍內最具決定性的一步，以保護資產價值在損失最少的程度。</p> <p><a href="https://techcrunch.com/2019/04/03/altaba-alibaba-sale/?utm_medium=TCnewsletter&tpcc=TCdailynewsletter" target="_blank">Techcrunch引述</a>阿里巴巴發言人表示，很高興Yahoo過去曾投資阿里巴巴，並看到現在這筆投資能帶來強勁回報。而隨這次股權出售，也正式宣示Yahoo的獨立運作部份告終。</p> </div></div></div>
2019/4/8 10:00作者林妍溱https://www.ithome.com.tw/news/129809
微軟發布年度資安回顧報告，提醒臺灣偷渡式下載攻擊在亞太最嚴重
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼賽門鐵克、趨勢科技、Check Point等資安廠商，揭露對於2018年整體資安態勢的觀察，最近微軟也公布了《智慧資安報告》（Security Intelligence Report，SIR），表示他們的看法大致如同其他業者，包含過去2017年好發的勒索軟體攻擊與加密貨幣挖礦手法，在2018年顯著降低，而軟體供應鏈和網路釣魚攻擊事件則是大幅增長。除此之外，微軟指出，亞太地區的資安威脅情勢，較全球整體來得嚴重，特別是偷渡式下載（Drive-by Download，DBD）攻擊的現象，出現再度氾濫的趨勢。</p> <p>微軟指出，亞太地區的偷渡式下載攻擊的頻率，比起全球高出22%，其中，亞太地區最為嚴重的國家是臺灣，平均Bing索引的網址中，每1,000個URL裡，就有2.54個含有偷渡式下載攻擊，相較於全球或亞太地區的平均，分別為0.09個和0.11個，都高出非常多。</p> <p>所謂的偷渡式下載，指的是在使用者瀏覽網站的時候，暗中將惡意程式碼下載到電腦裡，即使使用者沒有下載來路不明的檔案，還是因為瀏覽網路就遭受攻擊，值得留意的是，這種手法已經存在多年，並非新興手法，但近年來卻成為駭客散播勒索軟體與挖礦軟體的管道之一。</p> </div></div></div>
2019/4/7 19:10作者周峻佑https://www.ithome.com.tw/news/129806
一周大事：前91APP資深副總周旺暾轉戰純網銀。LINE即將在臺推出多項新服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>純網銀候選者「</strong></span><span style="font-size:28px;"><strong>將來銀行」，由前91APP資深副總周旺暾一手打造IT新團隊</strong></span></p> <p>金管會開出2張純網銀執照，目前正在審查階段，待6月將公布花落誰家。然而，純網銀有別於一般銀行，在IT的布局又更為關鍵。<br /> 而候選者之一的將來銀行（Next Bank），其籌備處資訊長兼技術長，由前91APP資深副總周旺暾於4月正式接任。</p> <p>周旺暾畢業於交大學應數系、臺大資工所，擁有25年的網路經驗，是臺灣第一個網際網路入口網站蕃薯藤（yam）公司化後的第3號員工。</p> <p>周旺暾在2004年進入微軟，一待就是長達將近13年的時間，主要負責微軟雲端與資安等產品線的事業發展，而微軟雲端運算平臺Azure Platform，也是於他任內在臺推出。</p> <p>2017年，周旺暾接任91APP人資長，協助重新調整91APP的內部組織，並找尋一個更好的方式招募人才。周旺暾更在2018年5月接手了91APP拓張海外市場的事務，擔任資深副總經理，藉由他過去在微軟的跨國經驗，重新設定91APP在東南亞的海外市場策略與作法，直至今年3月。<a href="https://www.ithome.com.tw/news/129735" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>LINE一舉在臺推出多項新服務，落地7年終於上線LINE客服機器人，更喊出LINE Bank要成為臺灣金融獨角獸</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E6%AA%941%EF%BC%9AIMG_9556_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%9D%8E%E9%9D%9C%E5%AE%9C.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(128, 128, 128);">攝影_</span><span style="color: rgb(105, 105, 105);">李靜宜</span></p> <p>LINE在CONVERGE 2019活動上，宣布即將在臺推出的各項新服務與計畫。包括設立LINE謠言查證官網與官方帳號、擴大LINE開發社群計畫規模、推出新版LINE官方帳號、LINE樂兌服務、LINE SPOT、LINE客服小幫手、個人化即時訊息推播服務，以及LINE Bank的最新進展。<a href="https://ithome.com.tw/news/129652" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Google推出BigQuery資料倉儲搬遷服務</strong></span></p> <p>Google宣布提供資料倉儲搬遷服務，降低企業從Teradata或是Netezza等傳統資料倉儲，將資料搬遷到Google旗下無伺服器分析資料倉儲BigQuery的障礙。</p> <p>傳統的資料倉儲主要是讓企業將資料儲存在本地端的資料倉儲中，而Google提到，傳統的資料倉儲價格昂貴，缺乏靈活性，企業資料容易被特定廠商規格綁住不易搬遷，BigQuery則是相對於傳統資料倉儲的新選擇，Google現在提供資料倉儲搬遷公用程式，讓企業能夠更容易地轉換資料倉儲。<a href="https://ithome.com.tw/news/129653" target="_blank">更多內容</a></p> <p> </p> <p><strong style="font-size: 28px;">3位深度學習先鋒科學家獲頒2018年圖靈獎</strong></p> <p class="rtecenter"><strong style="font-size: 28px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%9C%96%E9%9D%88%E7%8D%8E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_ACM.png" style="width: 500px;" /></strong></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_</span><span style="color:#696969;"> ACM</span></p> <p>2018年圖靈獎頒發給三位對深度神經網路有重大貢獻的科學家，分別是蒙特婁大學教授Yoshua Bengio、Google副總裁兼工程研究員Geoffrey Hinton以及臉書副總裁暨首席人工智慧科學家Yann LeCun。這三個人的研究對現在的深度學習技術有重大的影響，也是近年在電腦視覺或是自然語言處理等深度神經網路應用，可以快速突破的關鍵人物。<a href="https://www.ithome.com.tw/news/129650" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>英國安檢華為電信設備，發現含有重大安全缺陷，但並非來自中國政府的干預</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E8%8B%B1%E5%9C%8B%E5%AE%89%E6%AA%A2%E8%8F%AF%E7%82%BA.png" style="width: 500px;" /></p> <p>英國政府於三月底公布了華為電信設備的安檢報告，指出華為產品的軟體工程與網路安全品質含有許多重大缺陷，且尚無證據顯示華為具備解決這些缺陷的能力，此報告也認為，華為這些缺陷應非中國政府的干預。<a href="https://www.ithome.com.tw/news/129669" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Azure認知服務新增辨識異常事件的能力</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Azure%E8%AA%8D%E7%9F%A5_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_</span><span style="color: rgb(105, 105, 105);"> 微軟</span></p> <p>微軟更新雲端人工智慧服務Azure認知服務（Azure Cognitive Services），加入了異常檢測器（Anomaly Detector）預覽版本，幫助企業以人工智慧識別特殊事件，也改進了自定義視覺（Custom Vision）功能，讓使用者打造的自定義圖像分類器能更準確地辨識圖像中的物件。<a href="https://www.ithome.com.tw/news/129631" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Canonical發布最新企業版Charmed Kubernetes 1.14</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%20K8s_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Canonical%E3%80%81GitHub.png" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_</span><span style="color:#696969;"> Canonical、GitHub</span></p> <p>Kubernetes最新版1.14剛推出不久，Canonical也隨之宣布提供企業級Kubernetes 1.14解決方案，釋出使用kubeadm進行管理部署的最新版Charmed Kubernetes 1.14，以及單節點版MicroK8s 1.14。<a href="https://www.ithome.com.tw/news/129632" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Google加碼投資臺灣，明年啟用臺灣新辦公室，可容納超過4千人</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Google%E5%8F%B0%E7%81%A3%E5%9C%92%E5%8D%80_%E6%94%9D%E5%BD%B1_%E9%BB%83%E9%83%81%E8%8A%B8.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(128, 128, 128);">攝影_</span><span style="color:#696969;">黃郁芸</span></p> <p>近期Google裝置與服務資深副總裁Rick Osterloh在臺宣布，要於新北市台北遠東通訊園區Tpark打造全新Google台灣的辦公園區，今年也將在臺擴大招募人才，增加數百名員工。</p> <p>新的辦公園區將作為Google在臺的研發基地，Google於去年1月完成宏達電手機代工部門的併購案後，使臺灣成為亞洲地區Google最大的工程研發基地，屆時Google的臺灣工程研發團隊將擁有一個獨立的據點，而Google團隊預計從2020年底開始，分批進駐。<a href="https://www.ithome.com.tw/news/129594" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Google智慧臺灣計畫的下一步，砸百萬美元消弭中小學城鄉資源落差，引進求職搜尋加強人才橫向流動</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E8%B0%B7%E6%AD%8C%E6%99%BA%E6%85%A7%E5%8F%B0%E7%81%A3_%E6%94%9D%E5%BD%B1_%E9%BB%83%E9%83%81%E8%8A%B8.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);">攝影_</span><span style="color: rgb(105, 105, 105);">黃郁芸</span></p> <p>谷歌智慧台灣計劃邁入第二年，Google將繼續從人才、經濟、生態系三大面向拓展計畫，並預告今年要在臺灣推展的行動及產品服務。Google非營利機構Google.org也在今年首度在臺灣執行專案，將提供100萬美金給均一平台教育基金會，消弭臺灣教育資源的落差。<a href="https://www.ithome.com.tw/news/129594" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>微軟釋出超融合解決方案Azure Stack HCI，讓企業在本地端執行虛擬化應用程式</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Azure%20Stack%20HCI_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_</span><span style="color: rgb(105, 105, 105);"> 微軟</span></p> <p>微軟在其混合雲平臺Azure Stack上，推出超融合基礎架構解決方案Azure Stack HCI（Hyperconverged Infrastructure），企業現在可以在本地端（On-premises）超融合基礎架構上執行虛擬化應用程式，並且還能無縫整合使用Azure雲端服務。<a href="https://www.ithome.com.tw/news/129629" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>LINE謠言查證官方帳號預計六月底上線，要聯手行政院、民間組織打擊假消息</strong></span></p> <p>假消息的議題在近幾年迅速發酵，社群媒體在加速資訊傳遞的同時，也不可避免的為不實消息提供散播的管道。有鑑於在國內累積超過1900萬活躍用戶的影響力，LINE在2019年著手進行「數位當責計畫」，要聯手行政院及民間力量，對假消息展開反擊。<a href="https://www.ithome.com.tw/news/129633" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>HITCON Girls揭露演練工具被攻擊者濫用的情況</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/MetasploitBuildMalware_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_YCY.png" style="width: 500px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_</span><span style="color: rgb(105, 105, 105);"> YCY</span></p> <p> </p> <p>這幾年來，企業防範網路攻擊的思維，已經從試圖築起牢不可破的堡壘，開始有所轉變，取而代之的是假定會遭到駭客滲透，因此更強調需要找出可能隱而未現的攻擊跡象。</p> <p>在此同時，駭客也試圖採取更隱密的方式，透過合法的工具作案：像是利用作業系統內建的PowerShell、常見的壓縮工具WinZip等。然而，HITCON Girls成員YCY表示，實際上，駭客還會利用防守方用來演練的公開工具，在企業內部的網路環境中，為所欲為，因此，她特別在2019臺灣資安大會上，呼籲企業要嚴加防範這樣的威脅。</p> <p>面臨公開演練工具遭惡意濫用的現象，YCY認為，企業應該從駭客的攻擊過程與手法，加以剖析之後，才能採取有效的因應措施。<a href="https://www.ithome.com.tw/news/129486" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>網路攝影機資安認驗證的安全要求大公開</strong></span></p> <p>為了提升臺灣製造商的產品資安，在2017年召開的資安產業策略會議（SRB）當中，政府決定推動資安產業標準及認證制度的方式，來擴展國內外市場，而在2018年政府也實際推動了物聯網資安標準，期許透過標準與制度，帶動國內的資安水準，並強化本土產品的國際競爭力。</p> <p>對於臺灣自行制訂物聯網資安產業標準，有人質疑此類標章，是否只是一個低標準線的強制性標章？在今年的臺灣資安大會上，我們有了進一步的答案，資策會資安所聯網安全檢測組組長高傳凱，特別針對目前進度最快的影像監控系統系列資安標準，揭露其詳細的安全要求與最新的發展現況。<a href="https://www.ithome.com.tw/news/129548" target="_blank">更多內容</a></p> </div></div></div>
2019/4/7 10:00未署名https://www.ithome.com.tw/news/129724
小米手機預裝的安全程式Guard Provider暗藏中間人攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://blog.checkpoint.com/2019/04/04/xiaomi-vulnerability-when-security-is-not-what-it-seems/" target="_blank">Check Point最近發現</a>，小米手機中所預裝、理應用來保護手機免受惡意程式攻擊的安全程式Guard Provider竟然含有安全漏洞，允許與手機用戶位於同一Wi-Fi網路的駭客執行中間人（Man-in-the-Middle，MiTM）攻擊，追究其原因則是源自於「SDK疲勞」（SDK Fatigue）。</p> <p>Check Point的安全研究人員Slava Makkaveev<a href="https://research.checkpoint.com/vulnerability-in-xiaomi-pre-installed-security-app/" target="_blank">解釋</a>，所有主流的小米手機都預裝了Guard Provider，而Guard Provider則採用許多第三方的軟體開發套件（SDK），包括3款不同的防毒軟體品牌：Avast、AVL與騰訊，並以Avast作為預設值。</p> <p>Makkaveev指出，由於Avast的更新機制採用不安全的HTTP傳輸，使得駭客得以偵測更新時間及猜測該APK檔案的名稱，進而阻擋手機與Avast伺服器之間的連結，在促使用戶將防毒工具切換至AVL之後，AVL除了同樣也採用不安全的HTTP傳輸之外，其解壓縮程序更含有路徑跨越（Path Traversal）漏洞，允許駭客竄改Guard Provider程式沙箱中的任何檔案，包括其它SDK的檔案。</p> <p>於是，駭客只要再阻攔AVL與伺服器的連線，讓使用者再切換回Avast，此時Avast的SDK就能載入及執行駭客所植入的惡意程式。</p> <p>Check Point認為此一案例彰顯了「SDK疲勞」的問題，軟體開發套件（SDK）原本是要簡化開發人員打造程式的流程，但在同一程式中使用多種不同的SDK固然能強化程式功能，卻也會衍生更多問題，涵蓋當機、惡意程式、隱私外洩、讓裝置變成吃電怪獸或效能變差等。</p> <p>根據統計，現在每個行動程式平均使用了18個SDK，但只要其中一個SDK出現問題，就會危及其它所有SDK的安全性，此外，單一SDK的私有儲存資料並無法被隔離，也因此能被其它SDK存取。</p> <p>IDC的調查顯示，小米現為全球第四大手機製造商，去年第四季的佔有率為7.1%，僅次於三星、蘋果及華為。意謂著全球有為數眾多的小米手機都曝露在Guard Provider的安全風險中，小米在收到Check Point的通知之後很快就修補了該漏洞。</p> </div></div></div>
2019/4/7 08:45作者陳曉莉https://www.ithome.com.tw/news/129805
【資安大師觀點】Bruce Schneier：萬物都是電腦，所有事也都變成了資安事
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>他是國際知名的資安大師，也是密碼學大師，更是紐約時報暢銷書作者，資安著作多達14本，臺灣不少資訊主管大學密碼學課程的教科書，就是讀他的密碼學代表作《Applied Cryptography》。近年他更投身公益科技風潮，希望讓美國國家政策可以和科技發展更緊密結合。他就是IBM資安事業部特別顧問Bruce Schneier，以下整理自他在臺灣資安大會的開場演講。</p> <p>我們的世界開始變成每一件事都是電腦。手機是可打電話的電腦、冰箱是冷卻用的電腦，而加熱用電腦是微波爐、ATM則是裡面有錢的電腦。汽車則是1百多套分散式系統裝上了4個輪子和引擎。</p> <p>當每一件事都連上網路後，代表了2件事，網路安全影響了每一件事，而每一件事都變成了網路安全。我們從電腦安全學到的6堂課，很快會影響到每一件事、每一個地方。</p> <h3><strong><span style="color:#FF8C00;">電腦安全的6堂教訓</span></strong></h3> <p><strong>第1堂課是：大多數軟體都寫的很不安全</strong>。所有軟體都有漏洞，高品質的軟體很貴，我們不想付錢，所以，多數人只買剛好夠用品質的軟體。只有例外，如太空梭或飛機上的軟體。凡有漏洞就有弱點，市場力量作用的結果就是，到處是有弱點的軟體。</p> <p><strong>第2堂課是：網際網路不是為安全設計的</strong>。1980年，上網的工作都不是很重要，甚至你也必須是特定機構成員才能上網。因此，網際網路發明人，不用擔心安全問題，而讓想要安全的人自己動手。這個決定大大影響了現在的我們，從DNS，路由，Email到封包傳輸，用的都是沒有安全考量的協定。現在，我們得拼命應付當初這項安全決策的後果。</p> <p>從電腦學到的<strong>第3堂課是電腦具有擴充性</strong>，換句話說，電腦上你所能用的任何功能，都能用來對付你。擴充性是一種電腦功能，這意味著，你不可能限制一個電腦的「功能」，尤其這是軟體，軟體無法管制。</p> <p>小時候，我家裡有一個能和世界聯繫的黑色設備，稱為電話，但它只能打電話，沒有其他功能。可是，手機這個可以打電話的電腦，還可以做任何你想要的事，Apple初代iPhone的口號是「App內建」，只要可以下載App，你就無法限制其功能。不像舊式電話，可以限制它應有的功能性。</p> <p>對資安來說，擴充性帶來的挑戰有二，一是很難做到安全，軟體會持續演化，總是在改變，測試安全性很難，安全地開發也很難。其次是，人可以在手機下載惡意程式，這可說是一種「新功能」，只是有時不用授權就能自動增加。這正是為何冰箱能發送垃圾郵件，監視攝影機會變成殭屍電腦的緣故。因為它們都是電腦，凡有擴充能力，就能這樣用。</p> <p>再來是<strong>第4堂課，電腦系統很複雜</strong>。這意味著，攻擊比防禦簡單多了。越複雜，就越不安全。功能越多，越複雜，程式碼越多，就越容易出錯，入侵方法也越多。就像TICC國際會議中心的出入口，遠比你家複雜，就更難做好保全。不是不可能防禦，但攻擊者占優勢。至少技術上，在網路上，攻擊者比防禦者更占優勢，因為複雜度。</p> <p><strong>第5堂課是，互連之後會帶來新弱點</strong>。當我們將萬事萬物串連在一起時，一件事情的弱點，會影響另一件事。例如2016年Dyn遭殭屍網路的大規模攻擊事件，攻擊者透過資安漏洞，控制了大量Web攝影機，監視器，打造出一套大型殭屍網路，用來攻擊DNS服務，讓25%的全球知名網站消失了。2013年，賓夕法尼亞州幾間加盟店的網路弱點，卻導致知名美國零售業Target整個支付系統遭駭。去年，一份報告說，拉斯維加斯有間賭場，資料庫中的常客資料遭竊，因為大廳那個連網魚缸被駭了。</p> <p>這些弱點都很難修補，你不知道弱點發生在何處，有時是串連到高安全系統的相關網路不夠安全。</p> <p><strong>最後一堂課是，要發動資安攻擊，總是越來越容易、越厲害、也越快速，這就是我們面對的真實世界</strong>。電腦越快，意味著，10年前夠安全的密碼，現在不再安全的了，不是密碼破解技術變厲害了，而是破解速度變快了。</p> <p>但更多時候是，攻擊者會越來越聰明，因為他們會適應局勢而演化。這跟大自然的情況很不一樣，像美國颶風很多，政府也打造很多系統來對抗颶風，如天氣預報系統，颶風不會因為這些人造系統而變得更聰明，可是，在資安世界，攻擊者越來越聰明卻是一種常態。</p> <p>這就形成了一股軍備競賽的局勢。垃圾郵件和反垃圾郵件，ATM駭客和銀行資安人員，最新的競爭則是深度學習造假技術（Deep Fake）和DeepFake偵測技術。攻擊者會不斷地適應，發明出新攻擊手法和新的攻擊系統，來對抗各種安全反制。</p> <p>而且這件事進展的腳步很快，今天是美國國安局的秘密計畫，明天會變成了一篇博士論文，接著就會出現駭客攻擊工具。過去這個過程得花上2年、5年，但現在只需要6個月，而且越來越短。</p> <p>這些情況都不是新鮮事，我們已經和這樣的處境相處了好幾年，也會繼續相處很久。</p> <h3><span style="color:#FF8C00;"><strong>資安變成了一項管理議題</strong></span></h3> <p>但是，現在的資安，變成了一項管理議題。雖然電腦的本質沒有改變，可以當每一件事都變成了電腦之後，我們如何使用電腦的方式，將會有所不同，電腦能做的事也會非常不一樣。電腦對3件事帶來不一樣的衝擊：自動化、自主性和實體機構，也因此而真的改變了安全這件事。</p> <p>傳統上談到安全，其實是指機密性（Confidentiality），隱私，資料偷竊、資料濫用，大多數新聞中的資安就屬這類， Target、Equifax、Facebook、萬豪飯店的事件都是這類。入侵後偷了資料後濫用，這是一種關於機密性的攻擊。</p> <p>大家都熟悉CIA理論，所謂的安全，可以分成3類：機密性（Confidentiality）、完整性（Integrity）和可用性（Availability）的安全。不只針對第一種類安全的攻擊，其餘兩者都有相關的攻擊手法，例如DDoS攻擊、勒索軟體都是一種可用性攻擊。而惡意程式入侵銀行資料庫竄改資料，就是完整性攻擊。</p> <p>但是，今天若你有一臺可以直接影響到實體世界的電腦，在完整性和可用性的上的攻擊，影響會比機密性的攻擊更顯而易見。前兩者帶來的衝擊更大，因為這將帶來生命和財產的真實風險。</p> <p>舉例來說，一旦有人入侵醫院，相較於有人偷走我的病歷資料，我更擔心，我的血型資料遭竄改，因為這項完整性攻擊，會危急我的生命。儘管我不希望有人入侵我車上的藍芽麥克風，竊聽我的對話，但我更不願意有人關閉我的煞車。前者是機密性攻擊，但後者是性命交關的可用性攻擊。</p> <p>考慮到萬物聯網，舉凡汽車、醫療設備、無人機、武器系統、溫度控制器、智慧城市系統、發電廠。過去已經出現過DDoS攻擊可讓這些系統當機，儘管臺灣沒有遇到，但在其他國家發生過。像是溫控暖氣設備遭駭，導致水管凍結，影響了全家生活。挪威也有汽車遭遇DDoS攻擊而停擺，幸好，攻擊沒有發生在野外。</p> <p>這些新威脅，攻擊同樣的系統，卻有非常大的差別。電腦受到攻擊，你損失了資料，但車輛遭到攻擊，你失去的是生命。這兩者可能用的都是同樣的CPU、OS、應用系統和攻擊工具，只是發生地點不同，就造成了極大的差別。</p> <p>這就帶出了一個新的資安議題，同樣的電腦錯誤會有不同的影響。電腦這種特性和尋常事物截然不同。以車子為例，車子用久了會故障，我們也理解車子的零件會因損耗而故障，所以，業界也有相關的維修服務，甚至發展成整套汽車維修體系，來解決汽車故障的情況。但電腦卻是天天運作正常，卻突然就不能動了，這是日常世界少見的故障模式。</p> <p>2014年，140萬臺克萊斯勒汽車因軟體漏洞而召修，得鑽開外殼才能更新軟體，別無他法。或像Onity電子鎖後來發現了弱點，駭客不用門鑰就能打開任意一間房間的門，影響了全球400萬間客房，飯店業者得一扇門接著一扇門，一一用螺絲起子打開門鎖才能手動更新，這幾乎是不可能的任務。過去門鎖壞了，飯店只要找來鎖匠就能搞定，但電腦世界的故障不一樣。</p> <h3><strong><span style="color:#FF8C00;">傳統的安全系統開始弱化，新的安全有三大挑戰</span></strong></h3> <p>我們過去長期倚賴的安全系統開始弱化，所以，我們會面臨三項挑戰，一是<strong>「更新」，這是唯一維持安全的方法</strong>，例如，手機OS廠商的開發團隊，也得負責修補，你的手機也得像電腦一樣，經常更新才會安全。儘管這個安全模式可行，但在低價的嵌入式產品時，例如監視器、家用路由器，毛利微薄又代工生產，就沒有這樣的團隊負責寫程式修補弱點，甚至有些產品無法更新，唯一更新方法是直接買新的。</p> <p>幸好我們每2、3年就會換手機或電腦，所以，汰舊換新還算是是個不錯的安全機制，新款也的確更安全。但在嵌入式系統也不見得能做到，內有嵌入式電腦的汽車，經過好幾手很多年都會繼續開上路。但你家若有1979年老電腦，現在幾乎沒人知道要維護上面的軟體了。</p> <p><strong>第二是認證機制，這是一個勉強可用的機制</strong>，很多情況密碼一點都沒有用，雙因素也只能有時有效。但現在的驗證是會授權給一項裝置或是一項服務，未來會出現越來越多的物對物的驗證授權，若你生活中擁有1百個IoT裝置，就會有1萬次相互驗證的請求，但是，現有的物-物驗證技術，仍無法規模化。</p> <p>所以，當你的手機和要汽車藍芽串接時，還是得有手動設定的過程，同樣動作重複25次容易，但若要重複上千次，就會是一大挑戰，可是，在自駕車上，可能隨時有上千次與其他汽車或道路系統裝置彼此相互驗證的需求。</p> <p><strong>第三項挑戰是供應鏈問題，這是一個非常複雜的跨國問題</strong>，一項美國產品，但所用的晶片可能生產地和軟體開發地，都位在不同的地點、國家。一個地方的安全會影響到其他地方，如何防範？目前沒有真正的解法。</p> <p>當萬物都連線在一起，安全體系已經開始弱化，這不只是技術問題，更像是政策問題。我們欠缺的不是技術，而是政府。</p> <p>我建議，安全體系要思考2大基本原則，第一是防禦至上，系統設計要優先考慮防禦，不能設計攻擊用或監控用的功能，像幾年前國家機構要求蘋果開後門就得阻止。這些系統太重要了，不能那樣設計，要將防禦作為最高原則。第二個原則是韌性，如果萬物聯網，萬事都需要安全，就需要一個能夠自行維持安全度的設計，這是個工程問題，就是改用「韌性」思維，來設計系統。文⊙王宏仁</p> </div></div></div>
2019/4/7 05:28作者王宏仁https://www.ithome.com.tw/news/129804
Amazon證實正在發展低軌寬頻衛星專案Kuiper
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.geekwire.com/2019/amazon-project-kuiper-broadband-satellite/" target="_blank">GeekWire</a>在國際電信聯盟（ITU）的官網上，發現了有關Amazon正著手開發低軌衛星專案Kuiper的文件，顯示Amazon計畫部署3,236顆低軌衛星，可望覆蓋全球95%的人口，且已獲得Amazon的證實。</p> <p>最近不少知名業者都投入了低軌通訊衛星市場，例如美國聯邦通訊委員會（FCC）<a href="https://www.ithome.com.tw/news/127100" target="_blank">已核准SpaceX</a>部署約1.2萬個低軌通訊衛星，臉書的<a href="https://www.ithome.com.tw/news/124697" target="_blank">通訊衛星專案Athena</a>亦準備在今年發射首個衛星。</p> <p>Amazon則是以聲明稿證實了Kuiper專案的存在，指出這是一個長期專案，可望造福那些缺乏寬頻網路的數千萬人口。</p> <p>這項專案在通過ITU的審核之後，還必須經過FCC與全球其它監管機關的同意才能放行，而Amazon也尚未公布Kuiper專案的時程。</p> </div></div></div>
2019/4/6 22:00作者陳曉莉https://www.ithome.com.tw/news/129803
十多個Apache HTTP Server版本含有允許駭客取得最高權限漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apache軟體基金會（Apache Software Foundation）近日<a href="https://httpd.apache.org/security/vulnerabilities_24.html#CVE-2019-0211" target="_blank">修補</a>了Apache HTTP Server上的一個嚴重漏洞，此一編號為<a href="https://cfreal.github.io/carpe-diem-cve-2019-0211-apache-local-root.html" target="_blank">CVE-2019-0211的安全漏洞</a>屬於本地端權限擴張漏洞，將允許駭客取得系統的最高權限以執行任意程式，從2015年10月發表的2.4.17到今年2月發表的2.4.38的十多個版本都遭殃，用戶應儘快升級到4月1日釋出的2.4.39。</p> <p>此一漏洞可在Apache HTTP Server執行Gracefully Restart時被觸發，允許在較低權限的子程序中運作的Event、Worker及Prefork等多工處理模組（MPM），藉由擺布Scoreboard而能以父程序的權限執行任意程式。</p> <p>雖然CVE-2019-0211僅影響UNIX類型的系統，但大多數的Apache HTTP Server都運作在UNIX系統上，特別是網路伺服器。</p> <p>資安業者Rapid7指出，此一權限擴張漏洞對於依然提供共享網路代管服務的供應商而言風險更高，因為這類的服務允許不同的網站共用同一個父Apache伺服器。</p> <p>因此，假設有駭客成功開採了該漏洞，他將取得伺服器的最高權限，得以讀取、寫入或刪除其它客戶的檔案或資料庫。</p> <p>Rapid7估計至少有200萬個獨立系統含有CVE-2019-0211漏洞，有19.3%位於AWS，8.6%位於Digital Ocean，還有5.9%位於OVH。若以區域來看，有77萬的系統座落於美國，22.4萬位於德國，並有11.1萬位於法國。</p> </div></div></div>
2019/4/6 14:45作者陳曉莉https://www.ithome.com.tw/news/129802
【透視國家層級的資安政策制定方向】中國網軍鎖定攻擊臺灣的經驗，反成政府資安防護優勢
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/13_li_de_cai_guo_an_hui_zi_xun_wei_yuan_20190226_hong_zheng_wei_she_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">總統府國家安全會議諮詢委員李德財</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣不只在地理位置具有戰略地位，連面對詭譎多變的網路戰爭中，臺灣也同樣扮演關鍵的角色。從這麼多年推動政府、企業重視資安的經驗，我們可以發現，長期面對中國網軍鎖定攻擊的臺灣政府部門，也逐漸「從做中學」，彙整多年遭到攻擊的經驗，「三折肱而成良醫」，逐步累積相關攻擊手法與防禦方式，現在，臺灣政府或許是全世界最懂得中國網軍攻擊手法、也知道該如何防禦的被鎖定攻擊對象，而這樣的經驗，成為臺灣在面對來自中國網路攻擊的優勢。</p> <p><span style="font-size:28px;"><strong>臺灣發展資安的重要機會，在於能否累積足夠的攻防經驗</strong></span></p> <p>根據行政院資安處公布的2018年政府服務網路（GSN）監看及防護資料，當中顯示，每個月有大約2億次的網路掃描（Port Scan），駭客企圖探測政府網路的各種弱點；在此同時，每個月則有2千萬次到4千萬次的網路攻擊，全年合計有超過3億6千萬次對政府網路的攻擊，目的則是希望透過入侵臺灣政府網路、取得政府相關重要機敏資訊。</p> <p>從統計結果來看，實際上，有成功突圍的攻擊行為，全年大約為360起左右，其中有12起資安攻擊事件，列為資安等級三級以上的重大資安事件，其他的則是資安等級一級、二級的輕微資安事件，像是網<span lang="zh-TW" xml:lang="zh-TW">頁</span>置換等狀況。也就是說，平均每一天，網軍會成功攻擊一次，若以每個月而言，會有一次三級以上的資安攻擊事件，這也顯示，臺灣政府對於資安防護的成功率高達99.9999％。</p> <p>當然，資安沒有百分之百的安全，只要有其中0.0001％的風險，都有可能成為駭客成功入侵的破口，對於相關的網路攻防，我們絕對不能掉以輕心，所以，政府每年都會做各種資安稽核，以及相關的攻防演練，透過模擬來強化政府的資安防護能力，並分享與累積機關資安管理及網路安全的防護經驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/15-%E4%BF%AE_%E6%9D%8E%E5%BE%B7%E8%B2%A1_%E5%9C%8B%E5%AE%89%E6%9C%83%E8%AB%AE%E8%A9%A2%E5%A7%94%E5%93%A1_20190226_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D(1).jpg" style="text-align: center; width: 500px;" /></p> <p><span style="color:#696969;"><strong>總統府國家安全會議諮詢委員李德財：</strong></span><span style="color:#696969;"><strong>從現有的國安會、行政院資安處，以及國家通訊傳播委員會（NCC）等機構，已經形成臺灣資安鐵三角，透過彼此合作，也讓政府有能力更快速因應並處理各種資安事件，對於所轄機關及全民資安意識的宣傳與提升，也不遺餘力。</strong>　攝影／洪政偉</span></p> <p><span style="font-size:28px;"><strong>中美貿易戰開打，臺灣遭到的網路攻擊也升溫</strong></span></p> <p>近期中美貿易大戰開打後，臺灣並沒有從中缺席。</p> <p>中國網軍接受到中國政府高層的任務指派，大幅度提升竊取資通訊敏感科技的情報蒐集，根據國內與國外知名的資安監控與預警中心（SOC）的研究報告指出，光是在2018年下半，疑似中國網軍攻擊的頻率明顯增加，採取的攻擊方式也有所不同，從以往的跳板攻擊轉向直接攻擊，到了去年8月後，又轉回使用跳板攻擊，並且租用東歐國家等第三國雲服務作為跳板攻擊。關於這種種手法的彈性轉變，都使得資安防護的難度更加提升。</p> <p>事實上，網路戰爭是實體戰爭的前哨戰，當中國網軍攻擊與入侵的行為升溫時，也代表兩國情勢趨於緊張，因此，國安會資安辦與行政院資安處、通傳會、國防部資通電軍及國安局等，都持續強化偵防能量，並提高關鍵基礎設施的資安防護等級與作為，以便因應中國網軍帶來的網路威脅。</p> <p>以目前我國的資安發展態勢來看，行政院以「資安即國安」作為上位概念，在2017年通過第五期106年至109年的「國家資通安全發展方案」，並提出「完備資安基礎環境、建構國家資安聯防體系、提升資安產業自主能量、孕育優質資安菁英人才」等四大策略。</p> <p>更重要的是，「資安管理法」正式於今年1月1日生效，明定政府機關及指定的關鍵基礎設施業者（CIIP）都受「資安管理法」管轄，讓資安管理法成為政府要求機關單位落實資安的根本母法。</p> <p><span style="font-size:28px;"><strong>公私協力，提升資安防護力</strong></span></p> <p>從現有的國安會、行政院資安處，以及國家通訊傳播委員會（NCC）等機構，已經形成臺灣資安鐵三角，透過彼此合作，也讓政府有能力更快速因應並處理各種資安事件，對於所轄機關及全民資安意識的宣傳與提升，也不遺餘力。</p> <p>一般而言，要打好網路戰，分成多種層次。以政府和大企業來看，我國優先從關鍵基礎設施建置SOC等基礎建設；然後鎖定高科技與金融產業，例如，針對半導體協會溝通，建立公私協力（Public Private Partnership，PPP）的概念，協助做好產業資安，並透過資安聯防的方式，成立資安服務體系，把能量介接到民間，整合做聯合監控機制。</p> <p>我國的資安鐵三角也透過公私協力的方式，來強化資安聯防機制。首先，由行政院資安處要求八大關鍵基礎設施業者，建立資安長制度，同時，也設立ISAC（資訊資安情資分享與分析中心）、SOC，以及CERT（資安緊急應變回應中心），並透過TWCERT/CC連結全球資安聯防體系，落實強化資安通報及緊急應變的能量，確保數位國家的安全。</p> <p>至於國家通訊傳播委員會的部分，經過一年的努力，已經完成建置「國家通訊暨網際安全中心（NCCSC）」，透過維護八大關鍵資訊基礎設施領域的資訊網路骨幹，強化早期預警、持續控管與維運、通報應變和協助處理與改善等四大面向的運作，藉以確保該資通訊業者可以「持續營運」，並讓民眾可以安心與便利享受各項資訊服務。</p> <p><span style="font-size:28px;"><strong>推動關鍵基礎設施的測試場域，鼓勵臺灣資安業者投入</strong></span></p> <p>在此同時，政府也投入更多的資源在推動「資安旗艦計畫」，以及「前瞻基礎建設計畫」，不僅要強化關鍵基礎設施業者的資安防護能力，也要積極做到區域資安聯防及服務整合的概念，將地方政府納入國家資安防護網，並提升智慧城市的資安防護能量。</p> <p>同時，政府也積極提升資安產業的自主能量，希望有更多本土資安業者可以投入關鍵基礎設施的防護，因此，從2016年開始，政府希望透過油、水、電等關鍵基礎設施業者，將汰換的工控系統釋出，作為本土資安業者練兵的測試場域（Test Bed），參與的資安業者，也從2017年的三家，增加到2018年的七家。</p> <p>未來，<span lang="zh-TW" xml:lang="zh-TW">政府</span>也會加速推動資安工業合作案，由政府釋放更多的測試場域，結合國外工控設備大廠，以及民間資安產業的力量，透過公私協力的方式，提升臺灣資安創新與創業的能量。</p> <p>當然，在2018年9月正式對外公布的《資安戰略報告》也是公私協力的最佳展現，透過座談會集思廣益，加上納入近八十位民間產業專家與學者意見所得出的成果，最終希望可以強化全民資安意識、凝聚各界共識，真正做到<span lang="zh-TW" xml:lang="zh-TW">為「</span>數位國家、創新經濟<span lang="zh-TW" xml:lang="zh-TW">」</span>奠定堅實的基礎。</p> <p>為了確保資安稽核的有效性，政府也會開始逐步推動第三方驗證（Independent Verification and Validation，IV&V）。在這項工作的初期，會先以金融業為主，針對資安滲透測試，做第三方獨立驗證，確認資安滲透測試的結果是否真正達到目標。</p> <p>最後，沒有信任就沒有安全的前提下，臺灣多年的民主自由及信任，是臺灣推動資安時的最大優勢，先前推動IP Cam監控攝影設備的安全標準，許多已經遵循相關規範的臺灣業者，整體財報都有很大的成長，而這就是產品獲得信任的最佳例證。口述⊙李德財、文⊙黃彥棻　<strong><a href="http://www.eslite.com/product.aspx?pgid=10099161842746130" target="_blank"><span style="color: rgb(178, 34, 34);">本文出自《iThome 2019臺灣資安年鑑》</span></a></strong></p> </div></div></div>
2019/4/6 12:00作者黃彥棻https://www.ithome.com.tw/article/129423
國家級資安長揭露施政方針，持續強化整體資安與推動產業自主
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/chen_qi_mai_960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">行政院副院長／國家資安長　陳其邁</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>總統蔡英文自從上任後，鑑於網路攻防的日益複雜，以及難以防範，加上深受中國網軍的頻繁攻擊，便揭櫫「資安即國安」的政策方針，不僅成立行政院資安處專責的資安防護機關，更積極推動「資通安全管理法」的立法，且該法已經於去年6月6日公布、今年1月1日正式實施，就是希望透過立法的手段，將政府部門、公法人，以及相關的關鍵基礎設施服務提供者，全都納入資安管理法的規範之中。</p> <p>行政院身為最高的行政機關，包括相關的人、事、物等，自然也是中國駭客鎖定攻擊的目標。以往院內也曾多次發生下列事件：只要各個部會，有「報派」的新任正副首長消息在媒體揭露後，該部會就會收到該名報派長官秘書的來信，而附件夾檔往往都是一個惡意程式，在收件人不知不覺中，就被安裝在收件人的電腦，等待日後伺機而動，目的往往都是竊取政府相關的機敏資料等等。</p> <p>因此，為了確保政府的資安，乃至全國的資安，相關的工作都必須持續推動，並且由專人來主持這些業務。<span lang="zh-TW" xml:lang="zh-TW">而在</span>「資通安全管理法」第11條便規定，公務機關皆應設置資通安全長，由機關首長指派副首長或適當人員兼任，而身為資通安全管理法正式實施後的第一位國家資安長，最重要的任務就是：協助各個部會、機關甚至是關鍵基礎設施提供者等，都能真正從制度、規範，以及相關的專案中，進一步落實資通安全管理法的管理規範與措施，並讓政府資源可以做最有效的運用。</p> <p><span style="font-size:28px;"><strong>政府重視資安，已推出第五期資通安全發展方案</strong></span></p> <p>基本上，臺灣政府重視資安，並不是這一、兩年才開始跟風的事情，早在2001年的時候，當時的行政院就已經定期、每4年提出一套國家資通安全發展方案，作為政府資安推動工作的上位政策。</p> <p>迄今，最新的版本就是第五期的「106年至109年國家資通安全發展方案」，最終的目的就是希望以「打造安全可信賴的數位國家」為願景，「厚植自我防護能量、保衛數位國家安全」為目標，並從「完備資安基礎環境」、「建構國家資安聯防體系」、「推升資安產業自主能量」和「孕育優質資安人才」等四個策略面向，來推動國家資安防護工作。</p> <p>其中，針對資安聯防，就是希望從縱深防禦、跨域聯防，以及防制新型態網路犯罪等層面，建構國家資安聯防體系；另外，藉由資安旗艦計畫，以及前瞻基礎建設計畫中，也規畫以六個直轄市為領頭羊的六都聯防，藉此逐步強化關鍵基礎設施業者，以及地方政府的資安防護能量。</p> <p>另外，我們也必須積極提升臺灣資安產業的市場規模與產值，唯有資安產業成為一個有利可圖、有發展前景的產業時，相關的資安產業生態鏈，才可以創造經濟產值，之後，則要透過需求鏈結、產業升級、關鍵技術研發等面向，更進一步提升資安產業發展的能量。</p> <p><span style="font-size:28px;"><strong>政府資安人力需求一倍，民間需求十倍以上</strong></span></p> <p>今年資通安全管理法正式施行後，所有公務機關都面臨到一個共通的問題，那就是：資安人力明顯不足。</p> <p>根據資通安全管理法的規定，所有的政府機關都有資安責任等級的區分，其中，如果是名列資安等級A、B和C級單位，在資安法實施後，就必須要分別配置4人、2人和1人的專職資安人力。但現在的問題是，資安法雖然明文規定要有專職的資安人員，但各個機關的大小規模不一，加上受限於總員額法，有許多機關目前並沒有多餘的人力可以補足資安人力缺口。</p> <p>然而，因為資安很重要，行政院也已經請各機關首長盡可能在總員額的範圍中，優先補足資安人力。在初期的兩年過渡期中，各機關可以採用約聘僱或者是委外人力的配置方式，但在兩年後，仍必須補足正式公務人員的正職資安人力。</p> <p>由於政府營運本身也像是一個大型企業，在資安方面，可以扮演領頭羊的角色。例如，政府需求是一倍的話，會帶動民間資安需求至少十倍以上，以政府資安人力需求一千多人為例，至少帶動民間資安人立需求一萬人起跳。金融業界因為有強烈的法規遵循要求，許多金融單位甚至直接從政府既有的高階資安人才挖角，這麼一來，也形成一種人才的正向流動。</p> <p>事實上，目前政府專責的資安人力並不多，在資安法通過後，甚至還有五百多個資安人力缺口待補，然而，一個好的資安人力，就像是一個專案經理（PM），而一個好的專案經理，就像是一個好的將軍，針對配合的委外廠商，他可以指揮若定，達到相互幫襯的效果。</p> <p>目前來看，資安人力的市場相當競爭，全球對資安人才都需求孔急，不只是國家、企業，連許多犯罪組織、駭客組織也都積極爭取資安人才，舉例來說，美國因為是資本市場，有許多退役的軍官退伍後，就直接高薪聘用到企業任職。</p> <p>但對臺灣而言，如何提升資安產業、擴大資安市場？現今，行政院本身設立的技術服務中心，除了提供相關的資安訓練課程外，對於政府資安人力素質的確保，有專業證照和一定時數定期教育訓練的要求，同時，也會搭配相關的稽核，落實整個資安流程的PDCA循環。</p> <p>現階段，政府也已經有資安服務團的成立，從策略、管理和技術等面向，以實地訪視及顧問的方式，到政府各個A級機關常駐兩個月的時間，協助機關建立相關的資安防護、管理機制、聯防機制，以及緊急通報應變程序與實作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/32_%E9%99%B3%E5%85%B6%E9%82%81_%E8%A1%8C%E6%94%BF%E9%99%A2_%E5%89%AF%E9%99%A2%E9%95%B7_20190305_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D-2.png" style="width: 500px;" /></p> <p><strong style="color: rgb(128, 128, 128);">身為資通安全管理法正式實施後的第一位國家資安長，最重要的任務就是：協助各個部會、機關甚至是關鍵基礎設施提供者等，都能真正從制度、規範，以及相關的專案中，落實資通安全管理法的管理規範與措施，並讓政府資源可以做最有效的運用</strong><strong><span style="color: rgb(105, 105, 105);">。</span></strong><span style="color: rgb(105, 105, 105);">　攝影／洪政偉</span></p> <p><span style="font-size:28px;"><strong>臺灣民主政府是信任基礎，協助政府與產業更密切交流</strong></span></p> <p>關於資安產業的自主，臺灣資安產品能否走向全球是關鍵。因為長年民主政治的推動，我國資安產品也獲得許多國家的信任，但要真正做到行銷國際，仍有一段努力的空間。</p> <p>同時，資安產業是政府健全資安體系很重要的一個環節，資安法通過後，政府在思考的則是，如何帶動資安產業發展、落實資安人才培訓，並建構一個空間，讓公務部門和民間企業之間能有更多的合作與參與，也是政府當前在思考的方向。</p> <p>未來，面對臺灣資安產業，政府該扮演何種角色？舉例來說，可擔任投資者、提供市場這種類似產業加速器的角色，協助資安產業快速發展，政府甚至可以讓加速器在獲利後，制定一套分潤機制，讓整個加速器有更正向循環，形成活潑的商業模式。這或許也是政府未來在協助臺灣資安產業發展時，另外一種可以思考的角度。</p> <p>此外，臺灣整體產業這幾年來，積極在物聯網、金融科技及大數據的發展應用，而在這樣的前景之下，資安都是不可或缺的重要環節。以政府而言，目前正在打造去識別化的國家資安資訊分享與分析中心（N-ISAC），希望進一步做到不同產業的資安情資分享以及落實聯防機制外。</p> <p>同時，目前的行政院技術服務中心，也扮演政府機關資安服務專案辦公室（SPMO）的角色，透過簡化資安服務採購程序，建立資安廠商能力評鑑機制，協助各機關導入適合的資安服務，以強化政府整理資安防護能量，則是SPMO主要努力達成的方向。</p> <p>不管是社交工程演練、弱點掃描、資安健診等，其實，都是臺灣政府推動資訊安全的工作日常，然而，由於目前公務機關所採用的核心系統，絕大多數是使用國際大廠的產品或元件，接下來，該如何提升臺灣資安自主能力，確保系統防護不會受制於他國提供的技術，仍是政府未來不間斷的努力目標。口述⊙陳其邁、文⊙黃彥棻　<strong><a href="http://www.eslite.com/product.aspx?pgid=10099161842746130" target="_blank"><span style="color: rgb(178, 34, 34);">本文出自《iThome 2019臺灣資安年鑑》</span></a></strong></p> </div></div></div>
2019/4/6 12:00作者黃彥棻https://www.ithome.com.tw/article/129424
機車化身城市大數據源頭，威摩靠車聯網實現機車共享
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臺北市如果要從一個地點移動到另一個地點，沒有自己的汽車、機車或是腳踏車，你會選擇什麼交通工具？</p> <p>兩年多前，這個問題的回答，可能是公車、捷運或小黃，若距離不長還可以租YouBike，但今天的選擇多了一個，若有機車駕照，你現在可以租一輛威摩科技（WeMo Scooter）的電動機車，除了環保減碳、行駛產生的噪音低，最大的特色是不用到特定站點，打開App，附近哪裡有車就能租，還車也只需找到任何一處合法停車位就行，不論租、還都直接在App線上完成。</p> <p>仿效YouBike，威摩科技也以U-Motor公共機車概念打響名號，但是和只能定點租還車的YouBike不同，威摩的電動機車24小時都可以任意地點租還，關鍵就是將物聯網技術結合了機車租賃服務。</p> <p>威摩科技在2015年創立之初有4位共同創辦人，其中一手主導技術研發的是威摩科技技術長鄭捷。</p> <p>他觀察，儘管政府投入大筆經費建設大眾交通工具，但仍有不少人選擇以機車作為通勤交通工具，以臺北市來看，有36％的人使用機車作為交通工具，而使用公車、捷運等大眾運輸工具的人則只有32%。但是，在2015年當時，對環境較友善的電動機車還不普及，因此，威摩決定投入電動機車共享服務，後來選定光陽Candy 3.0電動機車。</p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 150px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/42_WeMo_%E9%9B%BB%E5%8B%95%E6%A9%9F%E8%BB%8A_20190220_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="text-align: center; width: 200px;" /></td> </tr><tr><td><span style="font-size:16px;"><span style="color: rgb(105, 105, 105);">威摩推出的電動機車共享服務，在每輛機車上加裝了自行開發的智慧黑盒，結合4G行動通訊技術，標榜無站點、免充換電池、24小時隨租隨還的便利服務。</span></span></td> </tr></tbody></table><p><strong><span style="font-size:28px;">以科技打造車聯網，撐起共享電動機車服務</span></strong></p> <p>鄭捷表示，威摩科技一開始就決定要以科技打造一個對使用者最友善的共享服務。其中最大特色是任意地點App租還車，落實這項服務的關鍵技術是車聯網，才讓威摩科技可以在後臺隨時掌握每輛電動機車的位置、運作狀態，確保使用者找到機車時，已處於可以上路的狀態，來維持良好的使用體驗。</p> <p>在每輛電動機車中都裝了一個智慧黑盒，可以追蹤機車位置，讓用戶在大街小巷中找到前一位使用者停放的機車。當用戶按下租用鍵後，威摩科技則從遠端啟動機車，或是在還車時遙控機車熄火，這一切都靠這個智慧黑盒達成。</p> <p><span style="font-size:28px;"><strong>自行開發智慧黑盒，遠端遙控車輛、蒐集數據</strong></span></p> <p>無固定租還車站點、線上隨租隨還的商業模式，可能會讓人聯想到另一個交通工具租借服務oBike，不過，使用者租用oBike須以手機上的藍牙解鎖腳踏車，而威摩科技是透過4G通訊來遠端控制車輛，不論是找車、租還車、啟動或熄火，甚至最基本的打開車廂，一切都可以靠管理後臺來開關。本來，威摩科技想要採用現成的機車外部控制系統，但沒有找到合適的產品，因而決定依照自己服務的需求自行開發。</p> <p>例如顧客還車後不小心遺留物品在車廂中，客服就能從遠端遙控解鎖車廂，不用啟動車輛也能讓消費者取出物品。或像機車發生故障或是電量不足，威摩科技也能從後臺掌握車況，將該輛機車自服務中暫時下架，等待維修後再重新開放租借。</p> <p>另外，若是機車在租用時發生交通事故，智慧黑盒還可以即時紀錄當時的車速、車輛傾斜度，甚至是撞擊力道有多大，發揮如同飛機的黑盒子角色。</p> <p>這個智慧黑盒會主動蒐集紀錄電動機車的數據，不論是停放在路邊，或是租用行駛中，除了以GPS定位追蹤機車位置資訊，還包括電動機車上的電池剩餘電量及馬達轉速。</p> <p>威摩服務的另一個特色是使用者不需自行充換電，甚至消費者租車前也能得知附近每輛機車的剩餘電量，若需要長距離移動，則可選擇電量較多的機車。為了做到這件事，後臺必須精確掌握每一臺車的電池狀態，一旦出現電池剩餘電力不足，或是異常放電的情形，後端的管理人員就能馬上安排人員前往更換，即使電池離開機車，被送到威摩自己的充電站充電，仍能掌握每顆電池的充電情形。</p> <p>這個智慧黑盒最初的原型是以樹莓派電腦開發而成，再接上手機提供連網能力，不過，參與原型開發工作的鄭捷笑著說，當初向股東展示這個電動機車車聯網的概念時，按下App的啟動鍵，要等上一兩分鐘，才能遠端啟動機車，現在不用2秒就能啟動。</p> <p>由於樹莓派並未提供車規版本，後來威摩改用ARM架構的晶片重新設計，才打造出現在普設在每一臺機車內的智慧黑盒。而且多次改版，剛開始時因為定位不夠精準，導致使用者找不到機車位置，後來不斷測試天線位置、改善軟體設計，才慢慢提升了定位精準度。</p> <p>隨著車隊規模越來越大，租借次數也逐漸增加，威摩還陸續開發了租借管理系統、電池管理系統、車隊管理、付款系統及客服系統等。</p> <p>以車隊管理系統為例，主要用途是管理車輛及維護。例如管理人員可以從車隊管理系統後臺得知是否有機車出現GPS定位錯誤的異常，可以先下架異常車輛，並派出維修人員。</p> <p>威摩科技以智慧黑盒架構起整套車聯網，但如何蒐集數據是接下來的問題。</p> <p>鄭捷表示，物聯網雖然能夠蒐集大量數據，但也會帶來儲存成本、網路流量負擔增加，如果要將所有數據都回傳，一輛車上約有60至70個感測器，一天就有高達數GB的數據量，除了最基本的數據必需回傳外，哪些數據只需儲存在機車上？哪些應該回傳到後臺？多久回傳一次？都是車聯網蒐集數據的難題。</p> <p>目前威摩電動機車在停放沒有移動的期間，隔一兩個小時就會回傳車輛位置、電池電量資訊，一旦使用者開始租用電動機車，租用期間則改為每秒回傳必要的車況數據。為了讓數據傳輸更為即時，威摩科技直接選擇4G作為為車聯網通訊技術，而非LoRa等其他IoT通訊技術。後來3G電信服務中止，這個直上4G的決定，也讓威摩省下上千輛電動機車的升級作業。</p> <p><span style="font-size:28px;"><strong>蒐集數據優化營運</strong></span></p> <p>要達成這樣的目標，威摩科技想辦法將蒐集到的數據用於優化營運，例如根據租借熱門的地區或時間，預測使用需求，在使用需求較多的地區，安排人員儘快前往更換電池，確保該電動機車隨時保持在可服務的狀態。<br /> 「威摩科技設定了2大服務目標，首先是使用者在10分鐘路程內可找到一輛車，其次是，當使用者需要車時，附近有夠多的車可以租用。」，鄭捷表示。</p> <p>威摩科技也趕上機器學習熱潮，和第三方合作以機器學習預測機車的使用需求。鄭捷提到，未來也希望能在電池管理工作上借重機器學習，讓電池管理作業能夠自動化，不過，目前所累積的電池壽命耗用數據還不夠多。</p> <p>這些數據不僅用於優化營運，還可能是新服務的基石，鄭捷表示，智慧黑盒能夠根據數據判斷車輛是否發生倒車，回報給後臺的管理系統，若能結合其他數據，如車輛租用狀況、車速資料，便可推測出使用者是否發生了車禍，早一步主動通知警察或保險人員前往處理。</p> <p><span style="font-size:28px;"><strong>電動機車化身為智慧城市大數據新來源</strong></span></p> <p>不只蒐集車輛的馬達、電池等數據，威摩在黑盒子中還蒐集了更多種數據，像是結合機車行駛的位置及震動變化，目前正和臺北市政府的道管中心洽談合作，要利用電動機車在大街小巷移動時蒐集到的震動數據，來協助臺北市政府找出道路不平整的地區。</p> <p>另外，在部份車輛中還部署了特殊的空氣感應器，可以偵測空氣中的細懸浮微粒（PM2.5），和路平偵測的道理一樣，當這些機車在城市各處中行駛時，可以即時偵測到城市各處的空氣品質，即時呈現到網站上的空氣品質圖表中。甚至威摩的電動機車還能偵測是否路面有積水，在颱風季節來時，可以協助市政府掌握道路的淹水災情。</p> <p><span style="font-size:28px;"><strong>仰賴雲端服務，靠快速開發滿足業務需求</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 250px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/11_(%E6%8A%BD)%E9%84%AD%E6%8D%B7_WeMo_%E6%8A%80%E8%A1%93%E9%95%B7_20190220_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 300px;" /></td> </tr><tr><td><span style="font-size:16px;"><strong><span style="color: rgb(105, 105, 105);">快速開發原則是，先求有再求好，先滿足業務單位的需要，並根據實際使用結果進行小調整，後續再將需求轉到正式開發環境，循正規開發方式來改善規模化的問題。──威摩科技技術長鄭捷</span></strong></span></td> </tr></tbody></table><p>目前威摩科技在臺北市約有2,000輛電動機車，今年將增加到3,000輛，每輛機車傳送數據到後端系統，由於沒有包袱，威摩科技一開始便選擇使用公有雲服務。</p> <p>「許多人質疑公有雲的安全性，但企業在考慮使用公有雲服務時，可以試想自己招募的員工，會不會比成為全球攻擊對象的Google或Amazon安全團隊還要厲害，」鄭捷表示。</p> <p>不過，由於國內使用AWS必需連到日本的資料中心，為了縮短本地的系統回應時間，威摩科技去年將自家系統從AWS，搬到在臺灣設有資料中心的GCP，也能避免突發地震導致海纜中斷的風險。</p> <p>原先威摩科技使用虛擬機器來部署應用，現在約有3到4成則改部署於容器及Kubernetes調度平臺上，也早在2015年即開始採用AWS的Lambda無伺服器運算服務。鄭捷指出，Container是他們下一步的主要部署環境，但長期目標則是要朝微服務架構前進，他解釋，微服務架構才能夠確保服務品質，降低系統停機的風險。</p> <p>除了正式開發環境，為了因應市場快速變化及競爭，威摩科技也採用了一個非正規的開發方法，他們設立了一個快速開發團隊，運用免程式碼（Low Code）開發工具如Google的App Maker，犧牲開發彈性及大規模部署能力，來縮短開發時程，盡快滿足內部營運上的迫切需求。過去要花費2到3個月才能開發完成的功能，現在，只要3、4天或1個星期就能做出來。</p> <p>同時鄭捷也善用許多現成的Google小工具。像是可以每5分鐘更新一次的用戶租用數據儀表版，傳統上，可能需要3、4位工程師花上2、3個月時間開發，他們則用Google Script開發，透過API串接自家用戶資料庫，再在Google Sheet上自動繪製出各項營運報表，再共享給其他人參考。執行Google Script就像微服務，能定時產出即時的圖表報告。「整個過程只需要1個人負責開發API。」鄭捷表示。</p> <p>鄭捷認為，快速開發原則是，先求有再求好，先滿足業務單位的需要，並根據實際使用結果進行小調整，後續再將需求轉到正式開發環境，循正規開發方式來改善規模化的問題。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><strong>威摩科技技術長鄭捷</strong></p> <p>學歷：南加大電機工程學系</p> <p>經歷：1997年創立捷辰科技，產品銷售對象包括國內外大廠（在美國工作經歷1998-2006），1999年起擔任捷辰科技董事長至今，2015年10月參與創立威摩科技股份有限公司，擔任技術長至今。運用20年以上的網路通訊產業經驗，參與智慧黑盒開發，以車聯網打造電動機車共享服務。</p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(51, 153, 255);"> 公司檔案 </span></strong></p> <p><strong>威摩科技</strong></p> <p>● 地址：臺北市南京東路三段303巷三弄八號二樓</p> <p>● 成立時間：2015年10月</p> <p>● 主要業務：共享智慧機車即時租借服務</p> <p>● 員工數：110人</p> <p>● 董事長：吳東明</p> <p>● 資訊部門主管職稱：技術長</p> <p>● 資訊部門主管姓名：鄭捷</p> <p>● 資訊部門人數：40人以上</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 公司大事記 </span></strong></p> <p>● 2015年：威摩科技成立</p> <p>● 2015年4月：第一版共享機車原形與系統完成</p> <p>● 2015年6月：研發成功/導入生產</p> <p>● 2015年10月：車聯網服務上線</p> <p>● 2017年：臺北市投車1,000輛</p> <p>● 2018年：臺北市投車2,000輛</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/02_nei_ye_zheng_jie_wemo_ji_shu_chang_20190220_hong_zheng_wei_she_.jpg" width="960" height="420" alt="" title="威摩科技技術長鄭捷" /></div></div></div>
2019/4/6 10:00作者蘇文彬https://www.ithome.com.tw/people/129725
Google擴大Duplex AI支援，iOS與更多Android裝置都能用了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在2018 Google I/O上展示的AI語音助理Duplex，先是去年10月在Pixel裝置上線，現在<a href="https://9to5google.com/2019/04/03/google-duplex/" target="_blank">要進一步擴大支援包含iOS與其他非Pixel但執行Android 5.0以上的裝置</a>。</p> <p>在2018 Google I/O大會上，Google讓以Duplex技術為基礎的人工智慧語音助理，代人類打電話給餐廳以及美容院預訂服務，語音助理可以自然地與店家談話協調時間，還會刻意在句子加上「嗯哼」或「哦」等語助詞，讓店家完全沒發現來電者是電腦，幾乎與人類說話一樣的效果嚇壞不少人。</p> <p>在去年10月底，Google發布Pixel 3及3 XL等裝置，同時也開始在這些裝置上支援Google Duplex，提供電腦代為打電話訂位的服務。而現在Google在其以智慧助理撥打電話的支援頁面上，將iPhone列為支援的裝置，使用者只要安裝Google智慧助理就可以開始使用，而Android裝置也只需要安裝5.0或更高版本，即可使用自動撥打電話服務，不過，目前服務的地方仍只有美國特定的43個州。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/-qCanuYrR0g" width="560px"></iframe></div> <p> </p> </div></div></div>
2019/4/5 22:03作者李建興https://www.ithome.com.tw/news/129795
只存活了一周，Google解散AI外部顧問團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google甫於3月26日宣布成立<a href="https://www.ithome.com.tw/news/129625" target="_blank">「先進技術外部顧問委員會」</a>（Advanced Technology External Advisory Council，ATEAC），延攬業界的8名專家來協助規範Google內部的AI發展方向，但根據<a href="https://www.vox.com/future-perfect/2019/4/4/18295933/google-cancels-ai-ethics-board" target="_blank">美國新創媒體Vox</a>在4月4日的報導，由於該委員會成員的資格備受爭議而約莫只存活了一周便遭到解散。</p> <p>先是有超過2千名Google員工在4月1日連署要求Google將Kay Coles James自ATEAC中剔除，原因是她是名反跨性別、反同志，且反移民的鼓吹者，這些Google員工認為James的立場直接違反了Google的價值觀。</p> <p>再者ATEAC成員之一的Dyan Gibbens為無人機公司Trumbull的創辦人，最近又重建協助軍方使用AI技術的部門，再度引發類似<a href="https://www.ithome.com.tw/news/126339" target="_blank">Google Maven專案</a>的爭論。</p> <p>另一名受邀的成員<a href="https://twitter.com/ssnstudy/status/1112099054551515138" target="_blank">Alessandro Acquisti則說</a>他已拒絕ATEAC的邀請。Acquisti解釋，雖然他致力於研究人工智慧中有關公平、權利與包容性等倫理問題，但他覺得這並不是個正確的論壇。</p> <p>Google則對外證實已經解散了ATEAC，指出於現在的氛圍中，ATEAC顯然無法如Google預期般地運作，於是Google決定終止ATEAC並重頭來過。未來Google將持續承擔AI所衍生的各種重要議題，也會透過其它管道來尋求外界的意見。</p> </div></div></div>
2019/4/5 22:15作者陳曉莉https://www.ithome.com.tw/news/129800
Visual Studio Enterprise 2019現提供時間旅行除錯功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/visualstudio/introducing-time-travel-debugging-for-visual-studio-enterprise-2019/">微軟在其Visual Studio Enterprise 2019上的快照除錯器（Snapshot Debugger）整合時間旅行除錯（Time Travel Debugging，TTD）功能</a>，讓開發者可以紀錄應用程式執行路徑，並能來回重新播放，更容易地找出僅會出現在生產環境的程式臭蟲。</p> <p>微軟提到，程式最容易除錯的形式是在內部循環（Inner Loop），也就是在開發者把程式碼推送到版本控制系統前，在本機端執行審查和除錯程式碼的時候，在內部循環遇到的問題，通常都是可存取且可重複的問題，因此容易理解診斷，而在生產環境除錯，則需要更詳細的資訊才能快速定位問題。</p> <p>現在的偵錯器通常會讓開發者設置中斷點，開發者可以選擇暫停或繼續執行，而這樣的方式只能紀錄離散時刻的事件以及資料，包括快照、日誌記錄和崩潰傾印檔案等方法，都無法提供失敗時的詳細執行路徑細節。</p> <p>而TTD則可以提供更詳細的除錯資訊，是一種逆向除錯解決方案，讓開發者紀錄應用程式或是程序的程式碼執行，並且能以向前或是向後的方式，重新播放Visual Studio中的執行路徑，讓開發者可以更全面地掌握導致特定錯誤的條件，就像是在本地端的內部循環偵錯一樣。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/visualstudio/wp-content/uploads/sites/4/2019/04/snapshot-collected-step-forward-backward.gif" style="width: 600px;" /></p> <p>現在微軟在快照除錯器中整合TTD，讓開發者可以紀錄應用程式執行，並在Visual Studio 2019 Enterprise中播放錄製的內容，由於TTD針對快照點（Snappoint）配對的執行緒紀錄，因此會執行到方法（Method）結束為止。</p> <p>開發者可以在具有ASP.NET 4.8以上，在Azure虛擬機器上的Windows作業系統，使用最新版Visual Studio Enterprise 2019啟用TTD預覽。開發者在Visual Studio Enterprise中，打開想要使用TTD的專案，並且確保Azure虛擬機器上存在一份相同版本的程式碼。選擇偵錯選項中的附加快照除錯器，接著選擇專案部署具有Azure儲存帳號的Azure虛擬機器。而要執行這個動作，開發者需要安裝快照除錯器網站擴充套件。</p> <p>在附加快照除錯器的視窗中選取TTD選項，一旦點選附加之後，Visual Studio就會進入快照除錯器模式，開始可以使用TTD紀錄應用程式執行。開發者可以創建快照點觸發TTD，而在快照收集完成之後，就能使用命令列工具檢視快照。</p> <p>由於現在TTD還在預覽階段，只支援Azure虛擬機器上執行的AMD64網頁應用程式，微軟提到，這個錄製的過程，會影響程序的執行效能，影響的程度根據程序的大小與活動執行緒的數量而不同，而TTD的使用體驗，也會在像是垃圾回收壓縮階段等不同情況受到影響，由於程式執行紀錄只會由快照點的執行緒觸發，因此之後交替的執行緒記錄狀況也會有所變化。</p> <p>目前預覽版本TTD產生的檔案大小，從MB到GB都有可能，取決於對話執行的時間以及網頁應用程式運作的時間，而TTD產生的檔案會在快照除錯器對話結束時被移除，微軟建議至少應該要在具有8 GB記憶體的虛擬機器上，TTD才能順利執行。</p> </div></div></div>
2019/4/5 22:23作者李建興https://www.ithome.com.tw/news/129796
Google釋出Cloud Healthcare API助醫療資料上雲端
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/healthcare-life-sciences/announcing-the-cloud-healthcare-api-beta-improving-data-access-and-shareability-across-organizations">Google發布一套Cloud Healthcare API</a>，其提供標準介面提高健保系統資料的互通性，使得醫療組織能夠擷取健保到Google雲端，在雲端管理並且分析這些的資料，也可以利用這些資料於雲端訓練機器學習模型，再部署回原本的醫療工作流程中。</p> <p>Google提到，Cloud Healthcare API能夠橋接健保系統，以及建構在Google雲端的應用程式，透過標準格式以及現有醫療技術協定，Cloud Healthcare API可以將健保相關資料介接到Google雲端功能。由於Cloud Healthcare API簡化了應用程式開發以及裝置整合，能夠加速醫療相關組織數位化，並實現與健保網路即時整合。</p> <p>Cloud Healthcare API支援醫療健保新興標準FHIR（Fast Healthcare Interoperability Resources）以及醫學圖像和雲資料標準DICOM。Google雲端可以將其他格式的資料轉換成FHIR，簡化資料擷取工作，讓這些資料方便用於分析或是機器學習目的。</p> <p>DICOM則是放射學、心臟病學以及皮膚病學等醫療影像既定標準，能夠方便的進行儲存與交換圖像，DICOMweb則是一個REST API，提供存儲、查詢和檢索圖像功能，而Cloud Healthcare API支援DICOMweb，讓使用者得以操作既存的影像裝置、醫療影像儲傳系統或是影像瀏覽器。</p> <p>對於敏感的病患醫療資料，Cloud Healthcare API對數種資料類型提供去識別化的功能，去除能夠辨識個人的資料。使用者可以透過Cloud Healthcare API資料儲存在不同地理區域，並透過Cloud Audit Logging追蹤資料的處理過程，服務預設會紀錄資料集的修改、儲存以及IAM政策。</p> <p>Cloud Healthcare API能夠將資料傳輸到雲端平臺上，使用者能應用Cloud Dataflow處理串流資料，或是使用雲端資料倉儲BigQuery進行資料分析，也能利用視覺化機器學習服務Cloud Datalab，甚至式以第三方工具Tableau視覺化分析資料。Google提到，使用者可以將醫療資料，以機器學習解決方案AutoML和Cloud ML Engine訓練自定義的模型，再將這些模型透過Cloud Healthcare API，部署到現有臨床工作流程中。</p> </div></div></div>
2019/4/5 22:29作者李建興https://www.ithome.com.tw/news/129797
Windows 10 May 2019 Update將允許用戶延後更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2019/04/04/improving-the-windows-10-update-experience-with-control-quality-and-transparency/#J0sSe2Pz1Hd5KWhD.97" target="_blank">微軟宣布</a>，下一個Windows的更新版本將命名為Windows 10 May 2019 Update，而且自May 2019 Update起，微軟將不再強迫Windows 10用戶立即展開更新，而是允許用戶延後升級，最久可延遲35天。</p> <p>新一代Windows 10版本的內部代號為19H1，<a href="https://www.ithome.com.tw/news/128514" target="_blank">原本外界以為它的正式名稱為April 2019 Update</a>，不過微軟為了避免再發生<a href="https://www.ithome.com.tw/news/127023" target="_blank">前一代October 2018 Update所出現的憾事</a>，決定拉長19H1的預覽階段，把19H1的發表時程推遲至5月，而將正式名稱順勢改為May 2019 Update。</p> <p>另一方面，自May 2019 Update起，微軟將賦予Windows 10用戶更彈性的升級選項，將允許使用者暫停功能性及每月的非安全性更新，每次可暫停7天，最多可暫停5次，因此最久可延遲35天再執行更新。</p> <p>此一可暫緩更新的機制仍有例外，即是當使用者的Windows 10版本已經或即將到達服務終止日時，微軟仍會自動展開更新，以確保使用者的系統可持續被支援。</p> <p>May 2019 Update也將支援智慧型活躍時間（Intelligent active hours），微軟於Anniversary Update中新增的活躍時間是讓使用者設定一般的電腦運作時間，以避免電腦在此一時段自動安裝更新並重新啟動，它的預設值為早上8點到下午5點，但許多Windows 10用戶的工作時間可能不只這個時段，加入了人工智慧能力的活躍時間則會根據裝置的使用型態自動調整活躍時間，以免更新活動妨礙了電腦使用。</p> <p>May 2019 Update將具備一個新的「下載及安裝」（Download and install now）選項，在收到微軟的更新通知之後，讓使用者主動選擇何時要下載或安裝更新。該選項除了會出現在May 2019 Update中之外，亦會在5月底現身於1803（April 2018 Update）及1809（October 2018 Update）中。</p> <p>微軟預計於未來一至二周釋出May 2019 Update至Release Preview Ring進行測試，而微軟的商用客戶，或是主動選擇「檢查更新」（check for updates）的使用者，以及那些Windows 10版本瀕臨支援終止的用戶則可在5月底收到May 2019 Update。</p> <p>負責Windows的微軟企業副總裁Mike Fortin表示，這次微軟將更加嚴謹地進行May 2019 Update的預覽階段，不管是微軟、OEM合作業者或是軟體供應商都會在此一階段於內部部署May 2019 Update，還會鼓勵員工在個人裝置上安裝此一版本，以協助改善May 2019 Update的品質。</p> <p>此外，微軟也將利用自然語言處理與機器學習技術優先偵測May 2019 Update所出現的重大問題，打算揪出也許只有少數人回報卻影響重大的問題，並將偵測重大問題的時程從數天縮短至數小時。</p> </div></div></div>
2019/4/5 22:35作者陳曉莉https://www.ithome.com.tw/news/129801
逾5.4億筆臉書用戶紀錄在AWS上曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>澳洲資安新創UpGuard最近在Amazon S3雲端儲存服務上，<a href="https://www.upguard.com/breaches/facebook-user-data-leak" target="_blank">發現</a>兩個可公開存取的儲存貯體，當中一個來自墨西哥的媒體公司Cultura Colectiva，存放了與臉書用戶有關的5.4億筆紀錄，另一個則來自臉書程式At the Pool，亦存放臉書用戶的帳號、友人名單、按讚數及At the Pool程式的密碼，只是容量遠不及Cultura Colectiva。</p> <p>Cultura Colectiva在Amazon S3上存放的資料多達146GB，涉及臉書用戶在該站的各種行為，從帳號名稱、回應、評論、按讚到其它等。</p> <p>至於At the Pool的資料庫亦含有臉書用戶的帳號、按讚的內容、友人、音樂、電影、照片、打卡，以及2.2萬名At the Pool程式用戶的明文密碼，雖然該密碼與臉書無關，但使用者可能在不同的服務上採用一致的密碼，造成其它帳號遭駭的風險。</p> <p>有趣的是，UpGuard早在今年1月初就通知Cultura Colectiva，卻未收到回應，於是繼之在1月底通知AWS，AWS也只能再通知Cultura Colectiva，但Cultura Colectiva依然毫無行動，一直到今年的4月，當彭博社為了報導此一新聞而聯繫臉書時，Cultura Colectiva才終於保全了該資料庫。</p> <p>至於At the Pool程式早在2014年就無法運作，母公司亦已關門大吉，在UpGuard發現其公開資料庫並追蹤其來源時，資料庫剛好同時被撤下。</p> <p>UpGuard指出，Cultura Colectiva與At the Pool資料庫之間的共通點，是它們都存放了與臉書用戶有關的資料，從他們的興趣、關係到互動等；受到外界嚴格檢視的臉書正在緊縮第三方程式所能存取的用戶資料，然而，此次曝光的兩個資料庫卻意味著，臉書用戶資料的外洩早就超過臉書所能控制的範圍了。</p> <p>因為當臉書允許第三方程式蒐集用戶資料的同時，這些資料的控制權已被轉交到第三方開發者手上，因此，光仰賴臉書來保全用戶資料是不夠的，還得冀望數百萬的程式開發者都能一起捍衛臉書用戶的資料安全。</p> </div></div></div>
2019/4/5 21:55作者陳曉莉https://www.ithome.com.tw/news/129798
貝佐斯夫妻離婚協議出爐，Jeff保有75%股權與全部股份的投票權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon創辦人Jeff Bezos的妻子MacKenzie Bezos在4月4日<a href="https://twitter.com/mackenziebezos" target="_blank">公布了雙方的離婚協議</a>，表示MacKenzie將取得雙方25%的Amazon股票，Jeff則擁有75%的股票，且MacKenzie將把所持有股權的投票權讓給Jeff，也放棄華盛頓郵報與Blue Origin的股權，解決了外界對貝佐斯夫妻的離婚事件可能會影響Amazon營運的疑慮。</p> <p>根據Amazon提交給美國證券交易委員會（SEC）的<a href="https://www.sec.gov/Archives/edgar/data/1018724/000119312519097640/d697549d8k.htm" target="_blank">8-K文件</a>，貝佐斯夫妻的離婚協議將讓MacKenzie握有4%的Amazon股權，而Jeff則將持續持有12%的Amazon股權，但16%股份的投票權皆屬Jeff所有。此一協議也讓MacKenzie躍升為Amazon的第三大股東，僅次於Jeff的12%與Vanguard Group的6.1%。</p> <p>以Amazon在4月4日收盤時的8,934億美元的市值來計算，離婚後的MacKenzie將擁有357億美元的身價。</p> <p>在雙方於4月4日提出離婚申請之後，正式的離婚判決可望於90天內發出。不管是MacKenzie或<a href="https://twitter.com/jeffbezos" target="_blank">Jeff都強調</a>期待彼此進入下一個成為朋友及共同家長的新關係。</p> </div></div></div>
2019/4/5 22:05作者陳曉莉https://www.ithome.com.tw/news/129799
Cloud周報第18期：1分鐘都不能多等，新北救護車將啟用雲端動態救護系統，讓指揮中心與醫院更即時取得患者資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2019/03/28～2019/04/03）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新北市 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 消防局 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 動態救護系統 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>新北救護車將啟用雲端動態救護系統，望提升OHCA康復率</strong></span></p> <p>新北市消防局日前宣布，完成「智慧雲端動態救護系統」建置，整合了行動急診室及緊急救護智慧系統，讓局內110輛救護車能即時連線指揮中心和醫院端。指揮中心會比對救護地址，自動調閱患者過去的救護記錄，將患者病史、禁忌症、過敏症狀等資訊，即時傳送至系統，供急救員了解，以給予患者最適合的急救處置。系統3月試運至今，新北市到院前心肺功能喪失（OHCA）患者的康復率，由過去的8%提升至8.44%。市政會議上，新北市市長侯友宜期許，有了此系統建置及加強人員培訓後，能讓新北市OHCA康復率達到9%。</p> <p>另一方面，透過此系統，救護員將利用平板電腦，把車內生理監視器所測量的患者生理資訊，包含生命徵象、12導程心電圖、急救員評估處置等，即時同步傳輸到救災指揮中心，以及醫院。醫院在病人送達前，即獲得病患的生理資訊，便能及早整合照護機制，採取相關應變措施，並在病患到院時，馬上啟動診治，省下到院後的診察時間，以提升救護效能。<a href=" https://www.fire.ntpc.gov.tw/home.jsp?id=f5819bb65919966a&act=be4f48068b2b0031&dataserno=331e682c747cda5f8e93339c17f58d58">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 金融機構 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 雲端開放 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 管理原則 </span></strong> </p> <p><span style="font-size: 22px;"><strong>金管會揭露開放銀行上雲端的3大管理原則</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%87%91%E7%AE%A1%E6%9C%83_%E6%94%9D%E5%BD%B1_%E6%B4%AA%E6%94%BF%E5%81%89%20.jpg" style="width: 600px; height: 400px;" /></p> <p>金管會主委顧立雄近日出席一場活動時，就金融機構採用雲端服務，提出了3大雲端開放的管理原則，首先，金融機構若使用境外的雲端資料中心，必須要求機房所在地的監理機關，開放金管會前往，行使實地查核的權利；其次，因涉及個資保護範疇，雲端業者僅限提供服務，不可具有控制資料存取的權利；最後，金融機構要訂立退場機制，當雲端服務退場時，要遵循退場要件，採取必要措施，包含刪除儲存於雲端的資料，以利資訊防護。</p> <p>金管會於3月初時，召開過「金融機構作業委託他人處理內部作業制度及程序辦法」修正草案公聽會，目前進入研擬開放管理辦法的階段，而上述3大原則將為規範的主軸。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端產業 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 中國自貿區 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 中美貿易戰 </span></strong></p> <p><strong style="font-size: 22px;"><strong>中國擬放寬雲端規範，開放外資在自貿區運營雲端資料中心</strong></strong></p> <p>中美貿易戰正在進行新一輪的談判，根據《華爾街日報》的報導，近日，中國國務院總理李克強會見了多名外資企業高層，透露正考慮開放外國的雲端業者，在自由貿易區獨立經營雲端資料中心，作為自由化試點。中國此舉被視為就中美貿易談判，做出的新一項讓步。</p> <p>報導更進一步指出，目前中美雙方就中國開放雲端市場，仍有些關鍵問題待磋商，像是自貿區與中國其他地區間，是否可自由地雙向傳輸資料，還有外國雲端業者可在自貿區提供哪些服務項目，以及外國雲端業者可向哪些客戶提供服務等。而該雲端自由化試行點可能落腳在貴陽。目前，各家非中國的雲端業者，像是亞馬遜和微軟等，必須採取與中國公司合資，以共同營運的模式，才可進入中國雲端市場。<a href="https://www.datacenterknowledge.com/regulation/china-weighs-letting-us-cloud-providers-operate-their-own-data-centers">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 福斯集團 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 串聯工廠 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>福斯集團與AWS結盟，打造福斯工業雲，要串聯全球122座工廠</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/T_VW_IndustrialCloud_R_v02_200dpi.jpg_x_1163_y_1900.jpg" style="width: 600px; height: 337px;" /></strong></strong></p> <p>汽車龍頭福斯集團近期宣布，與AWS結盟，打造「福斯工業雲」（Volkswagen Industrial Cloud），要借助AWS雲端技術，串聯全球122座工廠，透過工業物聯網的架構，提升生產力。此雲端平臺將串聯各工廠所有的機器和系統，並藉由AWS雲端服務，像是機器學習、數據分析平臺等，改善工廠製造流程，例如運用於物流作業，可藉由數據分析，從而更有效地管控，並及早發現供應瓶頸和流程中斷處，以盡早排除問題，提升車輛生產效率和品質。該平臺更會發揮串聯的影響力，使單一工廠作業流程的改善點，可跨工廠應用，以達到標準化的規模。</p> <p>除了122座工廠，未來，平臺也將把福斯集團旗下超過3萬個據點、逾1,500家供應商，甚至其他車廠，都納入該平臺串聯對象的名單上，福斯集團強調，該平臺為開放性質，可提供其他車廠使用其服務。另外，福斯集團與AWS兩方更計畫在德國柏林，成立工業雲創新中心。<a href="https://www.volkswagen-newsroom.com/en/press-releases/volkswagen-and-amazon-web-services-to-develop-industrial-cloud-4780">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BigQuery </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> 資料倉儲 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 搬遷服務 </span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>為吸引企業將資料搬上雲，Google推出BigQuery資料倉儲搬遷服務</strong></span></strong></p> <p><strong style="color: rgb(51, 51, 51); font-family: sans-serif, Arial, Verdana, "Trebuchet MS"; font-size: 22px; background-color: rgb(255, 255, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/images/benefits_of_BigQuery_max-1500x1500(1).png" style="cursor: default; width: 600px; height: 238px;" /></strong></p> <p>Google最近推出BigQuery資料倉儲搬遷服務，企業若想將資料從傳統資料倉儲，搬遷到Google資料倉儲服務BigQuery，Google可提供搬家工程的相關技術服務。典型的資料倉儲搬遷工程有3個階段，分別是將資料、架構和工作負載，依序由舊的資料倉儲系統遷至新系統，架構搬遷需轉換原資料定義與拓墣，而工作負載搬遷，則須將舊資料倉儲上使用的ETL工作管線、資料處理工作、儲存程序，以及儀表板等，轉移到新系統上。Google現提供的BigQuery搬遷服務，可自動完成資料和架構兩階段至的遷移工程，能節省企業用戶的搬遷時間。除了提供搬遷支援，Google也提供用戶架構設計指導、概念性驗證與免費訓練等服務。<a href="https://cloud.google.com/blog/products/data-analytics/migrating-your-traditional-data-warehouse-platform-to-bigquery-announcing-the-data-warehouse-migration-offer">（詳全文）</a></p> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 防護計畫 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> </span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 物聯網裝置 </span></strong> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>微軟擴大專利防護計畫，再免費捐贈500項Azure物聯網專利</strong></span></strong></p> <p>微軟於3月28日宣布，Azure專利防護計畫Azure IP Advantage保護對象的範疇，將延伸觸及IoT裝置，包含連接Azure的IoT裝置，以及使用微軟Azure Sphere專案和Windows IoT的裝置，並捐贈500項專利給LOT Network組織，供新創公司免費使用。微軟於2017年時，首次通過Azure IP Advantage計畫，提供1萬項專利，保護使用Azure服務的客戶及開發商，讓他們跑在Azure雲端的服務，不會受到專利訴訟。此次，微軟則是將計畫的保護對象，擴大到連接Azure的IoT裝置。</p> <p>另外，微軟於去年加入非營利組織LOT Network，與Google、SAP、Amazon、臉書、福特、通用汽車及Uber等成員，一同對抗專利蟑螂，而符合資格的新創公司，將可免費使用微軟這次捐贈的500項專利。<a href="https://blogs.microsoft.com/blog/2019/03/28/manufacturing-a-better-future-microsoft-announces-intelligent-industry-innovations/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> 微服務 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 監控通訊 </span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>AWS釋出App Mesh正式版，助企業監控微服務應用程式</strong></span></strong></p> <p>AWS宣布，網狀網路服務App Mesh推出正式版，讓用戶可監視與控制AWS上，構成應用程式與微服務之間的通訊。透過此服務，用戶可以監控在Amazon ECS、Amazon EKS，還有在Amazon EC2的Kubernetes上執行的微服務。當應用程式由多個微服務組成時，App Mesh使用的新架構模式，可讓開發者辨識並隔離問題，並提供一致且動態的方法，管理微服務間的通訊。而該服務並非內建在微服務中，為獨立的服務，被實作為與微服務平行運作的代理伺服器。<a href="https://aws.amazon.com/tw/about-aws/whats-new/2019/03/aws-app-mesh-is-now-generally-available/?nc1=h_ls">（詳全文）</a></p> <p><strong>攝影／洪政偉圖片來源／新北市消防局、福斯集團、Google </strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></p> <p><strong>1. 甲骨文5月將裁員300多位負責雲端業務的員工</strong></p> <p><strong>2. Azure資訊安全中心的測量單位從每月改為每小時</strong></p> <p><strong>3. Google發表未來10年企業雲端運算趨勢，超過一半受訪者認為，雲端將會結合邊緣運算技術</strong></p> <p><strong>4. 微軟雲端安全資訊管理平台Azure Sentinel現可支援IoT裝置</strong></p> <p><strong>5. 西澳州政府財政廳宣布，其本地端約850臺伺服器已全數由微軟Azure上的虛擬伺服器取代</strong></p> <p><strong>資料來源：iThome整理，2019年4月</strong></p> </div></div></div>
2019/4/5 09:10作者黃郁芸https://www.ithome.com.tw/news/129792
【2019勒索軟體防護指南】擺脫勒索軟體威脅，落實端點防護與資料備份仍是關鍵
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/sep1402mr1tu_1.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">【防毒軟體是保護個人端點電腦的重要防線】在防範勒索軟體的措施中，防毒軟體的角色舉足輕重，因此我們認為，使用者應該考慮選擇一套功能較為完善的解決方案，最簡單的判斷標準，在於防火牆功能（圖中的防網路和主機刺探）與進階的主動防護機制的有無。</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>論及這幾年來，最讓人倍感威脅的攻擊，就是以加密使用者電腦檔案，並要使用者支付贖金，才能復原檔案的勒索軟體（Ransomware），。遭受這類攻擊的使用者，為了電腦裡的重要資料，可能選擇付錢，希望駭客能夠還原，或者只能認栽，接受檔案無法使用所帶來的損失。</p> <p>而這類攻擊手法，對於企業帶來的災害也相當顯著，包含了俗稱為「想哭」的WannaCry蠕蟲病毒，因濫用美國國家安全局（NSA）的漏洞利用工具「永恆之藍（EternalBlue）」，藉由微軟的SMBv1漏洞，於2017年5月大肆發動攻擊。由於暴發時間適逢周末，大多使用者隔周一上班時，都戰戰兢兢先將電腦的網路線拔除後，才敢開機使用，以免電腦可能遭受這個蠕蟲橫向感染波及。</p> <p>去年臺灣史上最為嚴重的攻擊事件，莫過於8月台積電產線受到病毒攻擊，迫使該公司廠房大當機，必須中斷生產進度，報廢大量晶圓，損失超過50億元，而進場機臺出現的病毒，據聞就是WannaCry的變種。</p> <p><span style="font-size:28px;"><strong>作業系統與應用程式必須定期安裝修補軟體</strong></span></p> <p>然而，於WannaCry滲透的管道，竟是一個微軟2個月前發布修補程式防堵的漏洞，但即便是如此，還是有許多電腦因為沒有定期執行系統更新，成為這次攻擊的受害者。因此，除了定時備份重要的資料，並且安裝防毒軟體保護電腦，作業系統與應用程式的軟體漏洞修補，其實也是防範這類攻擊的重要措施。</p> <p>基本上，較新版本的作業系統，還有許多連網應用程式，幾乎都會預設採用自動更新的機制。但也有少數軟體，需要使用者自行手動檢查，像是解壓縮軟體WinRAR和7-Zip，就沒有內建相關的更新功能。</p> <p>值得留意的是，由於Windows作業系統中，並未針對常見的Win32應用程式提供軟體市集，若是使用者逐一確認是否需要更新，部署之後還要檢查確實安裝完成，相當耗時費力，因此，採用能管理常見軟體版本的小工具或是平臺，就能省下不少功夫。像是免安裝的Patch My PC和Ninite，或是偏向開發者的Chocolatey，都能提供類似的機制。再者，有些防毒廠商也有推出類似的附屬軟體，可供選用。</p> <p>除了倚賴廠商的修補程式，以及軟體自動更新機制之外，使用者也應該適時了解自己安裝的軟體，處理了那些弱點，還有可能會帶來的影響等資訊。因此我們認為，使用者應該至少每個月一次，閱讀相關公告，最起碼要看作業系統廠商的安全性公告。</p> <p>當然，採取良好的使用習慣，也是預防受到這類攻擊的重要管道──包含避免瀏覽可能潛藏危險的網站，勿點選來路不明的電子郵件連結。</p> <p><span style="font-size:28px;"><strong>安裝防毒軟體</strong></span></p> <p>對於一般使用者而言，想要對抗勒索軟體攻擊，防毒軟體還是最重要的防護措施。</p> <p>只是在很多使用者的觀念上，可能還是認為防毒軟體可能占用過多的系統資源等因素，或是覺得裝了沒有用，甚至是認為自己的使用習慣非常良好，駭客攻擊不會找上門，抱持著僥倖心態，選擇不使用任何的防毒軟體。殊不知這樣的做法，在現今的資安情勢中，缺乏這種類型的防護，又遇上駭客濫用作業系統的軟體漏洞，電腦就很容易被植入惡意程式，遭到入侵。</p> <p>若要挑選一套防毒軟體，對於許多使用者可能是個難題──不僅是廠牌相當多元，許多廠牌也同時提供免費與付費版本。再者，較新版本的Windows 10和macOS作業系統本身，都內建了相關的防護機制。</p> <p>不過，在解決方案眾多之下，很多人可能會問，免費版防毒軟體的保護能力足夠嗎？攔不攔得住勒索軟體？需要購買付費版本嗎？還是使用作業系統內建的就好？</p> <p>基本上，自Windows 8開始，內建在視窗作業系統的防毒軟體Windows Defender，隨著多年來的發展，如今也得到AV-Test、AV Comparatives等評測單位，給予中上評價的肯定。因此，相較於未內建防毒軟體的Windows 7，採用較新版本的Windows 10，安全性便高出不少。</p> <p>再者，免費版的軟體，通常只具備基本的防毒功能，缺乏付費版本常見的進階保護機制，像是防火牆、上網防護，或是線上交易防護的措施等。而且，在這些資安業者所列出的功能比較表中，幾乎都會強調，付費版本才提供進階的勒索軟體保護能力，以現在勒索軟體不斷出現變種的態勢來看，購買付費防毒軟體有其必要性。</p> <p>但使用者就算願意花錢購買防毒軟體，也會面臨在廠商提供的多種套餐中抉擇──這些功能是否自己需要，還是多花錢呢？一般而言，個人端防毒產品線裡，大部分會包含3種版本：單純提供防毒功能的Antivirus、整合防火牆功能的Internet Security，以及由網路防護版延伸提供更多進階功能，甚至整合多臺授權的Total Security等。</p> <p>以保護電腦不受勒索軟體威脅的前提下，至少應該購買具備防火牆功能的Internet Security版本，所提供的保護較為完整，較能防範現在許多勒索軟體會橫向感染的現象。</p> <p>假如電腦會在多個不同的網路環境上網，那麼，防火牆的作用便顯得格外重要；另一方面，若是需要同時保護多臺PC、筆電、手機、平板電腦等裝置，則可考慮購買能提供多臺防護的組合套裝，許多廠商不只額外提供了集中控管的平臺，以便消費者管理，而且，平均每臺電腦所取得相關防護的費用，還可能比個別採買Internet Security要來得便宜。</p> <p>另外，若是在家中的網路環境，未了提升安全性，使用者也可以考慮部署強調防毒防駭功能的無線路由器。</p> <p>一般來說，防毒軟體不僅擁有即時監控的能力，也會排程定期掃描整臺電腦。不過，除了避免執行掃描時，可能占用較多的系統資料，而影響我們使用電腦，也應該避免把排程設定到電腦不會開機的時間點，導致這樣例行檢測的機制無法發揮效用。而一般來說，我們應該讓電腦至少每星期就執行一次上述的檔案檢測工作。</p> <p>對於可疑的檔案或是電子郵件附件，我們可以點選右鍵功能選單，讓防毒軟體檢查後才放行，若是還不放心，則可以上傳到VirusTotal網站，由超過60家防毒引擎進行檢測，協助判斷。</p> <p><span style="font-size:28px;"><strong>備份重要資料</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/TrueImage_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Acronis%EF%BC%88%E5%9C%962%EF%BC%89(1).png" style="width: 500px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>善用備份軟體維持資料的可用性</strong></span></p> <p><span style="color: rgb(128, 128, 128);"><strong>若是資料平時有了充足的備份，電腦裡的檔案就算不幸被勒索軟體加密，使用者的損失程度比不備份的狀況要少，若能善用備份軟體提供的資料保護機制，可減少電腦復原所需的時間。</strong></span></p> <p>除了電腦基礎的防護措施使用之外，維持資料的可用性，也是讓使用者遭遇勒索軟體的攻擊時，能將損失大幅降低的手段，換言之，若是擁有檔案的副本，即使電腦上的內容遭到加密而無法復原，使用者還是可以存取備份的資料，毋需面臨支付高昂的贖金，卻擔心駭客未必會解密的情況。</p> <p>一般而言，比較完善的備份概念，稱為「三二一原則」，也就資料至少要備份3份，並且存放在2種以上的儲存裝置，其中1份必須保存在異地。針對存放裝置而言，例如分別備份於電腦本機與外接式硬碟，就符合上述第2個要件，而對於大多數個人使用環境來說，雲端儲存空間算是最容易做到的異地備份措施。</p> <p>在備份檔案的做法上，最直接且沒有執行門檻的，便是搭配外接式硬碟，將其定時連接到電腦上備份資料，但平時，這個硬碟並不會與電腦連接，以免受到勒索軟體攻擊時，裡面的資料也同時被加密。不過，這種方式便非常仰賴使用者自律，抽空執行相關的作業。</p> <p>若是採用專用的備份軟體，由電腦自動執行備份，會是比較可靠的措施。</p> <p>在資料儲存空間的配置上，一般使用者也許可以考慮在家中網路環境裡，建置網路儲存系統（NAS）。</p> <p>由於NAS是設置在內部網路環境，儲存空間也較有餘裕，同時，也能將資料儲存的風險，從經常連網的個人電腦當中區隔開來。<strong><span style="color: rgb(178, 34, 34);"><a href="http://www.eslite.com/product.aspx?pgid=10099161842746130" target="_blank">本文出自《iThome 2019臺灣資安年鑑》</a></span></strong></p> </div></div></div>
2019/4/5 09:00作者周峻佑https://www.ithome.com.tw/article/129425
【防制資料竄改，阻擋勒索軟體的終極手段】WORM一寫多讀技術的資安新應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/worm.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一寫多讀（Write Once Read Many，WORM）技術，最初是為了法規遵循與資料長期歸檔保存而誕生，但憑藉著防止資料竄改的能力，在今日的資安防護應用中，也能扮演要角。</p> <p>舉例來說，近年來，勒索軟體已成為企業最主要的資安威脅之一，備份雖然被視為因應這類威脅的重要手段，當線上資料遭到勒索軟體侵害後，仍能透過備份複本還原資料，但如果企業的備份架構未能擁有適當的防謢措施，備份複本也可能一同遭到勒索軟體的感染，以致備份複本也不可用。</p> <p>在勒索軟體威脅下，為求保住作為企業資料最後命脈的備份複本，資安廠商與備份軟體廠商，也提出了各式各樣幫助企業保護備份複本的反勒索軟體措施，例如引進離線備份儲存架構（磁帶或可移動的外接磁碟）、為備份軟體引進反勒索軟體的偵測與阻擋加密功能等，不過，這些手段大都是從備份作業的前端來著手，如離線備份是透過實體隔離方式，減少備份複本接觸病毒的機率；備份軟體的反勒索措施則透過監控備份過程，阻擋可疑的資料加密動作。</p> <p>現在則有廠商提出了不同的思路，直接從備份儲存媒體本身著手，利用一寫多讀（WORM）技術防止資料竄改的特性，從根本上防止備份資料遭到勒索軟體的侵害。</p> <p><span style="font-size:28px;"><strong>防制勒索加密的新思路</strong></span></p> <p>顧名思義，一寫多讀（WORM）技術只允許對儲存媒體寫入一次資料，然後，儲存媒體便成為無法複寫、修改或刪除的唯讀屬性。</p> <p>最初，WORM技術是為了長期資料保存或法規遵循應用而誕生，透過儲存媒體的物理性質特性，或是儲存系統底層軟體、韌體功能，確保寫入儲存媒體或指定儲存區的資料，無法再被更改或刪除，以提供法律與訴訟上的有效性。</p> <p>而利用WORM技術保存資料的特性，對於保障資安也能發揮作用。由於WORM能保證寫入後的資料，狀態不再變化——既不可刪除，也不可更改，徹底「鎖住」了資料狀態，那麼自然也不會遭到勒索軟體的加密。當WORM用於備份儲存時，即使備份複本已感染勒索軟體，但由於WORM機制已經「鎖住」了資料狀態，先天上就遏止了勒索軟體發作、加密或刪除資料的可能性。</p> <p>所以在勒索軟體危害盛行的今日，WORM技術也展現出應用於法規遵循以外領域的潛力，開始有廠商推出結合了WORM技術的備份防護解決方案。</p> <p><span style="font-size:28px;"><strong>WORM技術的基本類型</strong></span></p> <p>WORM是一項歷史悠久的技術，光學式WORM技術早在30年前就已問世，磁碟式WORM產品推出市場，也已經超過15年。</p> <p>一般來說，WORM技術可以依照儲存媒體的類型，分為光學媒體式與磁性媒體式兩大類型，不過我們認為更邏輯的區分方式，是依照WORM「鎖住」資料的方式，依此可以將WORM概分為物理型、韌體型與軟體型等三大類，分別透過物理特性或機構，儲存裝置韌體，或是儲存系統軟體，來提供WORM能力，這三種形式各自利用不同原理運作，從而擁有不同層次的保存資料能力，以及使用特性。</p> <p><span style="color:#B22222;"><strong>物理型的WORM技術</strong></span></p> <p>利用儲存媒體本身的物理性質，或是物理機構方面的設計，來提供一寫多讀的能力。</p> <p>許多光學儲存媒體如CD-R、DVD-R等，都能透過材料本身的特性，提供只允許寫入一次，資料從此成為唯讀的能力。物理型WORM最大優點是極為可靠，其防寫措施是建立在儲存媒體的物理性質上，從根本防止了刪改資料的可能性。</p> <p>例如，光學儲存媒體的WORM機制，是透過加熱光碟片染料產生的化學變化，帶來光碟片反射率的變化來實現，而這個過程是不可逆的，只要物理法則沒有被推翻，任何人也無法違逆物理法則、刪改光學WORM媒體的資料，唯有物理破壞手段才能銷毀其中的資料，因而是最可靠的一種WORM技術。</p> <p>光學式WORM的主要缺點，是使用較為不便。首先，光學媒體的容量較小，如BD-R的單碟片容量最大只有50GB，需要很大數量的光學媒體，才能完整保存前端主機的資料。其次，光學式WORM儲存媒體屬於離線儲存裝置，因而也難以因應經常讀取或檢索的需求。</p> <p>除了光學媒體外，磁帶、軟碟片之類的磁性儲存媒體，也能透過遮蓋防寫孔，來達到資料寫入後便不再允許更改的能力，同樣算是一種物理的防寫手段——當寫入資料後，隨即遮蓋防寫孔，便構成了一寫多讀應用。但這種防寫能力是可逆的，只要解除防寫孔就能寫入資料，不能算是真正WORM媒體。</p> <p>類似的，有些SD記憶卡雖然也提供了防寫開關，但同樣是可逆的，而且防寫機制也很容易遭到繞過，防刪改的可靠性並不充份。</p> <p>所以，磁帶與SD卡的WORM應用需求，必須由專門的WORM磁帶與WORM SD卡來提供，而這兩種WORM裝置都是依靠微控制器韌體來提供WORM能力，屬於我們後面介紹的韌體型WORM技術。</p> <p><span style="color:#B22222;"><strong>韌體型的WORM技術</strong></span></p> <p>利用儲存裝置的韌體，將儲存媒體設定為一寫多讀，適用於磁帶、SD卡與SSD在內的儲存媒體。</p> <p>幾乎所有主流磁帶系統都能提供專用的WORM卡匣，透過磁帶機的微碼控制功能，與磁帶卡匣上的識別微碼配合運作。當磁帶機識別出磁帶是WORM形式時，便會禁止更改或刪除已寫入該磁帶中的資料。</p> <p>如當前最普遍的LTO磁帶，只要是LTO 3以後的規格，都有對應的WORM磁帶版本。另外Sony的AIT、IBM的3592，SotrageTek T10000等磁帶，也都有WORM版本可供選購。</p> <p>不過，即使是WORM磁帶，理論上，也能透過從外部施加強力磁場的方式，透過消磁來強制刪除這類磁性儲存媒體中的資料，所以，必須同時搭配實體管制措施，才能完整保證資料的完整性。</p> <p>類似的，當前也有一些SD卡與SSD提供了WORM功能，透過儲存裝置的微控制器，鎖住Flash記憶體的刪除功能，只剩下寫入與讀取功能，所以特定記憶體區塊被寫入資料後，就無法再刪除與複寫，只能讀取。</p> <p>比起WORM磁帶，WORM SD卡或WORM SSD的防刪改能力更為可靠，雖然依靠微控制器韌體所實現的資料防刪改能力，不像光學WORM裝置那樣絕對不可逆，但是在實務上，繞過微控制器韌體的可能性很低，可認為擁有接近光學WORM技術的可靠性，只有物理破壞手段能銷毀其中的資料。</p> <p><span style="color:#B22222;"><strong>軟體型的WORM技術</strong></span></p> <p>在儲存陣列設備上，也能利用儲存作業系統的軟體功能，將指定的儲存區設定為一寫多讀，只要設定了WORM，即使是系統管理者，也無法刪改該儲存區的資料。</p> <p>為了保證WORM功能的強固性，多數軟體實作時都會依循一些相關的官方資料保存與資料完整性監控規範，例如美國證券交易委員會的SEC 17a-4(f)（針對證券交易業者的電子資料保存規範），或是美國聯邦政府的FDA 21 CFR Part 11（針對醫療業的電子紀錄保存規範）等。</p> <p>不過，與物理型或韌體型WORM技術比起來，軟體型WORM技術的防刪改能力，仍相對較不可靠，由於是依靠儲存控制器的軟體來提供WORM功能，只要將磁碟機移出儲存設備之外，該磁碟機就連帶失去WORM特性，所以需要搭配實體管制，才能保證完整WORM能力。</p> <p>而軟體型WORM技術的優勢，則是使用便利。首先，是可透過CIFS/SMB、NFS等標準傳輸協定存取，便於因應快速讀取與檢索的需求。</p> <p>其次，可透過設定保存期限，提供「有管制」的可逆機制。一般來說，WORM軟體功能都會提供設定保存期限的選項，讓管理者選擇「鎖住」特定檔案或物件的時間，到期後，便會解除該檔案或物件的WORM狀態，此後便能將資料刪除，回收儲存空間；如果將將保存期設為無限大，則被鎖定的檔案或物件，就成為與WORM光碟或WORM磁帶一樣的永久性WORM。</p> <p>而軟體型WORM技術落實到實際產品上時，又可分為專用型WORM儲存設備，以及通用儲存設備的WORM功能等兩大類型。</p> <p><span style="color:#3399ff;"><strong>● 專用型WORM儲存設備</strong></span></p> <p>如名稱所示，是專門針對法規遵循的資料保存需求、以提供WORM功能為目的設計的儲存設備，這類產品中，最知名的便是Dell EMC的歸檔儲存系統Centera，還有IBM的Total Storage Data Retention 450等。</p> <p>GreenTec USA在這方面也著力甚深，該公司旗下提供了CYBERdisk WORM軟體，以及專供WORM應用的WORMdisk系列外接磁碟，與Ninja系列WORM 儲存伺服器產品，最特別的是，該公司還提供搭配雲端環境應用的WORMcloud服務。</p> <p><span style="color:#3399ff;"><strong>● 通用型儲存設備的WORM功能</strong></span></p> <p>是在NAS類型通用儲存設備系統中，提供WORM軟體功能選項，可將指定的儲存區設定為WORM。</p> <p>目前許多中高階NAS儲存平臺，都提供了WORM功能選項。例如NetApp ONTAP儲存系統的SnapLock功能；Dell EMC旗下Isilon系列NAS的SmartLock功能，PowerMax與Unity儲存陣列NAS應用功能中的File-Level Retention，Data Domain平臺DD OS儲存系統的Retention Lock功能；還有HPE 3PAR儲存陣列 FilePersona軟體套件中的File Lock功能等。</p> <p>另外一些高階的虛擬磁帶櫃（Virtual Tape Library，VTL）產品，也能提供軟體形式的WORM功能選項，如IBM TS7700、富士通ETERNUS CS8000與CS High End等。</p> <p>除了前述高階儲存設備外，有些中、低階或入門級NAS的儲存作業系統，也提供WORM功能選項，如國產廠商QSAN的XCubeNAS，以及商丞（Proware）的Unified Storage，還有3Gen的Unified Platform等，這些產品可為資源有限的用戶，提供低成本的WORM儲存應用。</p> <p>另外，部份公有雲儲存服務的物件儲存環境，目前也提供了WORM功能選項，例如Amazon S3的S3 Object Lock功能，以及Google Cloud Storage的Bucket Lock，可為雲端環境上儲存物件，提供WORM屬性設定。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/915-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-big-1002X415.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=1002,height=415'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/915-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-hyper-550.png" style="width: 550px;" /></a></p> <p><span style="font-size:28px;"><strong>WORM的資安延伸應用</strong></span></p> <p>WORM雖能保證資料的完整性，但畢竟只是一種消極的保護，作為把守最後一關的防止資料竄改手段。不過，以WORM技術為基礎，再結合其他儲存與資安技術，便能提供更豐富的資安防護應用。</p> <p>例如Dell EMC的Cyber Recovery，便藉由結合WORM、遠端複製、快照、與資安分析等技術，提供了一種嶄新的資安解決方案概念。先經由遠端複製獲得用戶資料的複本，然後透過WORM技術，確保獲得的用戶資料可靠性與不可竄改，再透過快照產生不同時間點、具備或不具備WORM特性的複本，最後將這些複本用於資安掃描、分析或測試等用途。</p> <p>如此一來，便能在保障用戶資料不可刪改的同時，將用戶資料複本用於不同目的，不僅提高複本的可利用性，也擴展了WORM的附加價值。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>【結合WORM、遠端複製與快照的資安應用】Dell EMC Cyber Recovery</strong></span></span></p> <p>儲存業界龍頭Dell EMC推出的Cyber Recovery，是一款應用了一寫多讀（WORM）技術、具備資安防護功能的資料備份歸檔儲存套件。這款產品最初在2016年問世時，稱為Isolated Recovery Solution，2018年以後改稱為Cyber Recovery，目前最新版本是18.1版，其中的18代表2018年，.1代表版本編號，18.1表示這是2018年的第1個主要版本。</p> <p><span style="color:#B22222;"><strong>Cyber Recovery的組成與運作</strong></span></p> <p>一個Cyber Recovery環境稱作Cyber Recovery Vault（CR Vault），包含了下列元件：</p> <p><strong>● Dell EMC的Data Domain儲存伺服器</strong>：負責提供儲存空間，以及WORM、遠端複製與快照等功能。</p> <p><strong>● Cyber Recovery管理伺服器</strong>：執行Cyber Recovery軟體，提供系統管理，與對外連接的資料傳輸。</p> <p><strong>● 應用分析伺服器</strong>：整合了稱作CyberSense的自動分析功能，提供資安分析服務。</p> <p><strong>● 備份應用還原伺服器</strong>：運行Avamar、Networker等備份軟體，負責還原CR Vault內保存的備份資料。</p> <p><strong>● 應用程式還原伺服器</strong>：作為應用程式還原的目標裝置。</p> <p>CR Vault最多支援10套Data Domain系統，至於4種應用伺服器，則可安裝在專用的實體伺服器，不過，一般是由1臺Dell EMC VxRail超融合伺服器，透過VMware ESXi HA Cluster平臺以VM型式來部署。</p> <p>CR Vault構成了一個對外實體隔離的環境，用於保存關鍵資料，並提供資安分析與資料還原等應用功能。</p> <p>在標準的Cyber Recovery架構中，要求前端生產環境也要有一套Data Domain儲存設備。基本運作過程可以分為3個階段：</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%963%20CR%20Vault%20Concept.jpg" style="width: 500px;" /></p> <p><strong style="color: rgb(128, 128, 128);">Cyber Recovery的運作過程可分為3個階段：</strong><strong style="color: rgb(128, 128, 128);">（1）資料同步：生產環境的Data Domain儲存設備，透過MTree Replication遠端複製功能，在Air Gap管制下將資料複製到CR Vault的Data Domain儲存設備。</strong><strong style="color: rgb(128, 128, 128);">（2）建立不可刪改的還原點複本：透過Retention Lock與快照功能，建立不可刪改的多個還原點複本。</strong><strong style="color: rgb(128, 128, 128);">（3）建立資安分析用複本：透過快照建立可讀寫的複本，用於資安分析、測試等目的。 </strong><span style="color: rgb(105, 105, 105);">圖片來源／Dell EMC</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 階段1 </span> </strong></span>在生產環境，前端主機將資料寫入生產環境的Data Domain儲存設備，然後利用Data Domain的MTree Replication遠端複製功能，將資料同步到CR Vault內的Data Domain儲存設備上。從生產環境到CR Vault的複製作業，是透過管制的Air Gap機制來進行，只有在進行複製時，CR Vault的傳輸埠才會開啟，複製結束後就關閉，維持CR Vault的隔離。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 階段2 </span> </strong>當CR Vault的Data Domain儲存設備接收到前端生產環境的資料後，透過Data Domain的Retention Lock鎖住備份資料的狀態，成為一份不可刪改的黃金複本（Golden Copy），接下來再利用Data Domain的快照功能，從黃金複本產生多份不同時間點的快照複本，這些快照複本也具備不可刪改的特性。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 階段3 </span> </strong>在CR Vault建立可寫的複本，然後掛載給分析伺服器或備份應用還原伺服器，用於資安分析、資料還原演練或是測試等情境。</p> <p>Cyber Recovery保護資料的單位，是以Data Domain儲存設備的Mtree儲存區為基準，在生產環境的Data Domain儲存設備上，每一個被保護的Mtree，在CR Vault還鏡的Data Domain儲存設備上，都會產生3個以上對應的Mtree複本，其中1個是作為遠端複製目的地的MTree複本，1或多個透過Retention Lock保存的Mtree複本，還有1個可讀寫、掛載給CyberSense用於資安分析的Mtree複本。</p> <p><span style="color:#B22222;"><strong>WORM扮演的角色</strong></span></p> <p>整個CR Vault是與外部實體隔離的，唯一的對外通道是Air Gap管制下的傳輸埠，只在資料同步傳輸作業時開啟。而Data Domain的Retention Lock功能，則能確保CR Vault收到的黃金複本不可刪改。透過Air Gap的實體隔離管理，與Retention Lock功能的防止資料刪改能力，共同確保了CR Vault的安全性。</p> <p>Cyber Recovery使用的Retention Lock功能，可以是Governance或Compliance等兩種版本，兩者都能提供個別檔案層級的資料保存時間設定，其中Governance版允許系統管理員調整資料保存設定，Compliance版則需要更高的雙重用戶授權（如系統管理員+資安長），才允許調整資料保存設定，防護等級更高，可符合SEC 17a-4(f)、FDA 21 CFR Part 11、CFTC Rule 1.31b、Sarbanes-Oxley Act、ISO Standard 15489-1等資料安全規範。</p> <p>透過Retention Lock可提供個別檔案層級的資料鎖定與保存期限設定，不過在Cyber Recovery中，是以鎖住整個MTree儲存區為原則。此外，CR Vault也不以長期保存資料為目的，所以建議的Retention Lock設定期限是7～45天。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/worm">WORM</a></div><div class="field-item odd"><a href="/tags/%E4%B8%80%E5%AF%AB%E5%A4%9A%E8%AE%80%E6%8A%80%E8%A1%93">一寫多讀技術</a></div><div class="field-item even"><a href="/tags/%E5%8B%92%E7%B4%A2%E5%8A%A0%E5%AF%86">勒索加密</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E4%BF%9D%E8%AD%B7">資料保護</a></div></div></div>
2019/4/5 09:00作者張明德https://www.ithome.com.tw/tech/129616
2019 企業資安大調查
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/913-28-feng_mian_gu_shi_-p1_open-960x420.jpg?itok=Q9iUy-tS" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這是臺灣最大規模的企業資安大調查，382家臺灣兩千大或知名企業參與，涵蓋企業今年第一手資安投資動向、資安編制現況，更披露臺灣資安災情和企業防護水準現況</p> </div></div></div>
2019/4/5 09:00未署名https://www.ithome.com.tw/article/129719
2019臺灣資安大調查重點整理
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果想了解臺灣企業資安現況，iThome年度的臺灣資安大調查可說是一份相當具有參考性的資料，而在這個月，我們終於<a href="https://www.ithome.com.tw/article/129719" target="_blank">完成了今年的版本，在iThome電腦報週刊</a>、<a href="http://www.eslite.com/product.aspx?pgid=10099161842746130" target="_blank">2019臺灣資安年鑑</a>等兩本刊物公布內容，同時，也在2019臺灣資安大會現場，由主持這項調查的副總編輯王宏仁，親自向所有與會者報告我們的問卷統計結果。</p> <p>就重大資安風險的比例而言，2019年前兩名分別是「員工疏忽、欠缺資安意識」，以及「惡意程式」，均比2018年略高，值得注意的是惡意程式從第3名升至第2名，比去年增加了1.3％，釣魚攻擊則下降一個名次。</p> <p>接下來，「系統老舊」與「駭客攻擊導致企業受影響」分別拿下第6名（26.2％），以及第7名（20.2％）。但這兩項去年都並未進入前十大企業資安風險，顯示今年的臺灣企業已經察覺到系統老舊可能帶來的風險，以及對於駭客攻擊可能帶來的衝擊。</p> <p>而在企業資安事件的主要攻擊來源當中，前五名的類型不變，仍是駭客最多，其次是內部員工，第三是組織型犯罪，比例都降低了，但離職的前員工的比例則增加了0.2％。</p> <p>而關於企業無法阻擋資安攻擊的原因當中，排名前五大的因素，比例大多比去年低，但居首的「員工資安意識不足」不動如山，仍是63.1％，顯見企業必須持續進行相關的宣導，不能鬆懈！</p> <p>而在第6名到第11名當中，「需要分析的資料太多」今年突然空降到前十名，直奔第7。</p> <p>同時，我們也發現「管理高層的資安意識不足」與「缺乏管理階層的支持」都比去年增加了1％以上。面對上述狀況，企業應該要多多注意高階主管的資安意識，不應讓管理階層成為推動資安的阻礙。</p> <p>而提升比例更小、但不能忽視的部份是「市場上缺乏有效的資安產品」，以及「部門間缺乏合作」，解決方案供應商與企業本身應該持續改善這些因素，避免讓資安防護產生死角。</p> <p>就各個產業的企業而言，對於遭遇資安攻擊的狀況，以及災後復原的能力，我們想特別提醒一般製造業，需要特別當心！</p> <p>首先，因為在去年遭遇50次以上攻擊事件的比例，一般製造業是18.5％，僅次於金融業（20.8%）；其次，在察覺自身受到攻擊的時間當中，一般製造業最為遲鈍，平均需23.7天，也就是超過三週才會發現（整體平均值為11.5天，慢了1倍以上）；若就復原時間來看，一般製造業需6.3天，幾乎快要一週才能恢復正常運作，處理時間過久（整體平均值為4.3天，慢了45％）！</p> <p>此外，對於資安防護信心偏低的企業比例，一般製造業也是高達23.9％，排名第二。在年度資安投資金額上，一般製造業更是敬陪末座，平均只有136萬元，低於臺灣企業整體平均的20％。若再將這筆預算除以12個月，一般製造業每個月花在資安的比例只有11萬元，相當令人擔憂。</p> <p>讓我們再來看看今年的企業資安投資重點項目。其中，針對「網路安全」的企業比例最高，達到57.9％，顯示企業非常關切這方面的保護是否夠完備；而去年身為榜首的IT基礎架構防護，今年退居第二，比例也減少了一些。</p> <p>另一個讓人意外的部份是災難復原，拿下第三名。</p> <p>至於其他名列前茅的投資項目，比例都有減少的趨勢，但差距最大的是「強化權限存取控管」，去年是40.6％，今年是19.6％，其次是資料外洩防護（DLP），今年為23％，接著是端點安全、員工意識教育訓練。或許這樣的反差，代表著企業採用或導入相關機制的情況，已經變得更普遍，所以，資安投資的重心有所調整。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div></div></div>
2019/4/5 09:00作者李宗翰https://www.ithome.com.tw/voice/129723
臉書開源能快速處理超大型圖嵌入的工具PyTorch-BigGraphs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/open-sourcing-pytorch-biggraph-for-faster-embeddings-of-extremely-large-graphs">臉書開源了專為超大型圖設計，支援多重關係圖嵌入訓練的工具PyTorch-BigGraph</a>，PyTorch-BigGraph為一分散式系統，可用於學習大型圖嵌入，特別適合應付具有數十億個節點以及數兆個邊的超大型圖，而由於PyTorch-BigGraph是以開源深度學習框架PyTorch開發，因此開發者可以自行替換損失函數、模型以及其他元件。</p> <p>圖是表達許多資料類型的核心工具，圖嵌入是非監督式學習的一種形式，但現在的圖可能非常巨大，具有數十億個節點以及數兆個邊，標準的圖嵌入方法擴展性不佳，無法應用在超大型圖上。臉書提到，超大嵌入圖主要有兩個挑戰，第一個，嵌入系統必須夠快，才能應用在實際研究與生產上，第二個挑戰，記憶體的限制也是個大問題，臉書舉例，嵌入二十億個節點，每個節點有128個浮點數參數，這樣便需要1 TB的容量，而這個量級超過一般商用伺服器記憶體的容量。</p> <p>而PyTorch-BigGraph能從大規模圖結構的資料產生嵌入，其以邊的列表形式將圖資料集作為輸入，每個邊由來源節點、目標節點以及可選的關鍵類型組成，PyTorch-BigGraph會對節點以及邊進行分片（Shard），以多執行緒進行訓練，並輸出成嵌入列表，這些嵌入可以當作各種任務的輸入，像是大規模地進行最鄰近搜索。PyTorch-BigGrap讓人工智慧開發人員，不需要專用計算資源，就能進行超大型圖的嵌入訓練，</p> <p>臉書提到，PyTorch-BigGraph經高度最佳化，其高度擴展的特性比起常用的嵌入式軟體，速度還要快數個量級，其產生嵌入的品質在基準測試當中，與最先進的模型相當，臉書釋出PyTorch-BigGraph鼓勵開發人員試驗更大型的資料集，以取得更好的非監督式機器學習結果。</p> </div></div></div>
2019/4/4 21:17作者李建興https://www.ithome.com.tw/news/129790