iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 21:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

傳蘋果月付AWS 3000萬美元，躍升最大客戶之一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然蘋果和Amazon在影片、音樂服務及AI助理等產品相互競爭，不過CNBC<a href="https://www.cnbc.com/2019/04/22/apple-spends-more-than-30-million-on-amazon-web-services-a-month.html" target="_blank">報導</a>，蘋果其實也是Amazon旗下雲端業務Amazon Web Services（AWS）的最大客戶之一，讓後者每月進帳3000萬美元。</p> <p>報導引述消息來源指出，最近蘋果和AWS簽了一個大單，計畫未來5年內至少支付AWS 15億美元，以AWS平台營運自家iCloud，支援全球每個月10億支iPhone的雲端資料儲存。截至三月底，蘋果平均每個月付給AWS 3000萬美元。若按照這個數字計算，2019年全年AWS將可從這家手機大廠賺到3.6億美元。</p> <p>去年以前蘋果的iCloud是採用微軟Azure及AWS，不過2月蘋果<a href="https://www.ithome.com.tw/news/121503" target="_blank">終止</a>和Azure續約，而改用Google Cloud Platform。但蘋果只透露以AWS作為iCloud的底層，不過未說明是否其他服務已經或未來會使用AWS。</p> <p>這個數字也讓蘋果超過AWS其他客戶，包括Lyft、Pinterest與Snap。CNBC報導，三家公司一年可能分別付給AWS 1億、1.25及1.5億美元。</p> <p>手機市場逐漸邁向飽和之際，蘋果近年除了另闢新產品戰線，如智慧喇叭HomePod以及功能更強大的智慧手錶Apple Watch，也積極開發利潤更高的服務項目，例如Apple Pay、Apple Music、以及甫於三月宣佈的<a href="https://www.ithome.com.tw/news/129591" target="_blank">Apple內容服務 News+、TV+及遊戲頻道Apple Arcade等</a>。在去年12月截止的一季中，<a href="https://www.ithome.com.tw/news/128535" target="_blank">蘋果服務營收已經突破109億美元</a>。</p> </div></div></div>
2019/4/23 16:20作者林妍溱https://www.ithome.com.tw/news/130177
華為公布首季財報：已與全球40家電信業者簽署5G合約
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國電信設備製造商華為近日<a href="https://www.huawei.com/en/press-events/news/2019/4/huawei-q1-2019-business-results" target="_blank">公布</a>了今年第一季的財報，顯示該公司第一季創造了1,797億元人民幣的營收，比前一年成長39%，銷售淨利率（net profit margin）則是8%，同時華為也公布截至今年3月底，已與全球40家電信業者簽署5G的商業合約，5G基地台的出貨量超過7萬台。華為表示，今年將是全球大規模部署5G的一年，可望替華為的電信業者事業部帶來空前的成長機會。</p> <p>這是華為首次揭露該公司的季報，由於華為並未上市，因此並不需要發表每季財報，過去華為一向只發表半年及全年財報。<a href="https://www.cnbc.com/2019/04/22/huawei-first-quarter-results-q1-revenue-jumps-39-percent.html" target="_blank">有媒體認為</a>，華為的季報是為了彰顯就算美國號召全球抵制該公司的產品，特別是5G，也抵擋不住華為業務的成長力道。</p> <p>至於專門替企業或組織打造數位化平台的大型企業事業部，則已部署全球首款支援5G的Wi-Fi 6無線基地台，並宣稱截至今年第一季，華為已身為全球Wi-Fi 6產品出貨量第一的業者。</p> <p>Wi-Fi 6是最新的Wi-Fi規格，它的原名為802.11ax，在Wi-Fi聯盟變更了Wi-Fi無線標準的命名規則之後變成了Wi-Fi 6，去年D-Link所展示的Wi-Fi 6路由器每秒最多可傳輸11 Gb的資料量，正式標準預計於今年出爐。</p> <p>至於在消費者事業部方面，華為在該季也創造了5,900萬支的智慧型手機出貨量。華為已在去年第二季超越蘋果，成為全球第二大智慧型手機製造商，現則坐二望一，緊追三星電子。</p> </div></div></div>
2019/4/23 16:35作者陳曉莉https://www.ithome.com.tw/news/130178
微軟4月安全更新與多款防毒軟體相衝
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows暨防毒軟體用戶在部署微軟於4月9日釋出的Patch Tuesday安全更新之後，也許會發現<a href="https://www.ithome.com.tw/news/129970" target="_blank">系統的效能變差了、反應遲頓，甚至是凍結了</a>，那是因為此一更新與多個品牌的防毒軟體相衝，涵蓋McAfee、Avast、Sophos、Avira與ArcaBit。</p> <p>受到波及的資安產品涵蓋McAfee Endpoint Security (ENS) Threat Prevention、McAfee Host Intrusion Prevention 、McAfee VirusScan Enterprise、Avast CloudCare、AVG Business Edition防毒軟體、Sophos Endpoint Protection、Sophos Central or Sophos Enterprise Console、Avira防毒軟體與ArcaBit防毒軟體。</p> <p>所涉及的Windows版本則有Microsoft Windows 7、Microsoft Windows 8.1、Windows Server 2012 R2及Microsoft Windows 10不等。</p> <p>安裝這些防毒軟體的Windows用戶在部署微軟的4月安全更新並重新開機之後，可能會發現系統效能變差、反應遲鈍或根本動彈不得。</p> <p>目前微軟正在與<a href="https://kc.mcafee.com/corporate/index?page=content&id=KB91465" target="_blank">McAfee</a>共同調查此一問題，而Avast已經釋出了<a href="https://kb.support.business.avast.com/GetPublicArticle?title=Windows-machines-running-Avast-for-Business-and-Cloud-Care-Freezing-on-Start-up" target="_blank">緊急更新</a>來解決，<a href="https://community.sophos.com/kb/en-us/133945" target="_blank">Sophos也發出聲明</a>以通知客戶，微軟亦暫時禁止安裝Sophos Endpoint 、Avira及ArcaBit等防毒軟體的Windows裝置接受4月更新。</p> </div></div></div>
2019/4/23 16:45作者陳曉莉https://www.ithome.com.tw/news/130179
傳微軟悄悄關閉Windows 10中分頁顯示程式的Sets功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ZDNet周一<a href="https://www.zdnet.com/article/windows-10s-sets-feature-is-gone-and-not-expected-to-return/" target="_blank">報導</a>，讓許多人期待的Windows 10新功能Sets，微軟已經悄悄從Windows10更新計畫中拿掉了。</p> <p>Sets 是微軟2017年宣佈的一項分頁功能，可像瀏覽器的頁籤一樣，讓Windows上執行的程式、網頁及文件以分頁方式開啟及集結。原本微軟<a href="https://www.ithome.com.tw/news/125636" target="_blank">預計</a>要將之加入去年10月的1809版更新，不過後來又延到下個月要釋出的1903版中。</p> <p>ZDNet引述消息來源指出，微軟之所以決定中止Sets開發計畫，原因可能在於複雜度頗高。微軟的確透過1903早期測試版提供給Insider 開發人員測試過Sets，但反應不佳，例如光是要讓Office等app和Sets整合就要多一番工夫。最新一項導火線是，微軟採Chromium引擎的新Edge無法順利整合到Sets中，必須大幅修改新瀏覽器。團隊必須面臨是延後Edge發表，或是讓Edge上市幾個月都無法整進Sets。這迫使微軟做出最後決定。消息人士指出，Windows Console團隊仍希望在控制台（Console）加入分頁功能，但不能用Sets作為底層。</p> <p>最近幾個月的1903版預覽版都已經看不到Sets的蹤影，微軟高層也不再提及。</p> <p>微軟Windows Console部門資深計畫經理Rich Turner，在推特上被問到Tabbed Console是否無法如期在1903版Windows 10更新推出，他終於<a href="https://twitter.com/richturn_ms/status/1119646566782910464" target="_blank">透露</a>（Windows 10）不再有分頁式的使用經驗，但加入分頁仍然是Windows Console團隊的重要待辦事項。</p> </div></div></div>
2019/4/23 15:10作者林妍溱https://www.ithome.com.tw/news/130175
資安英雄也曾是駭客，成功攔阻WannaCry的研究人員坦承打造及散布金融木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在資安社群名聲響亮、成功減緩WannaCry蠕蟲肆虐的安全研究人員Marcus Hutchins在上周坦承曾撰寫金融木馬程式Kronos，並協助進行散布，最多可能面臨10年的牢獄之災。</p> <p>現年25歲的Hutchins來自英國，也是資安部落格Malwaretech的作者，當WannaCry勒索蠕蟲在2017年5月造成全球災情時，Hutchins即時發現WannaCry的勒索元件有一個「銷毀」機制，它會連至一個網域名稱，如果未發現就會加密電腦資料，而且該網域名稱竟然沒人註冊，隨後Hutchins便註冊了該網域，並維持該網域的運作，成功阻止了WannaCry的勒索能力，此事也令他聲名大噪，成為資安社群的英雄。</p> <p>不過，當時美國已經在調查Hutchins的駭客事蹟，趁著Hutchins於同年8月前往美國拉斯維加斯參加黑帽（Black Hat）與Def Con安全會議，並準備返回英國時在機場將他逮捕。</p> <p>根據美國司法部的調查，Hutchins在2014年時打造了Kronos金融木馬，該木馬程式在成功進駐受害者電腦之後，可蒐集使用者所造訪金融網站的帳號及密碼，並將它們傳送到由駭客控制的伺服器上，受害者遍布美國、加拿大、德國、波蘭、法國及英國等。</p> <p>Kronos不但透過地下論壇銷售，後來也成為Kelihos殭屍網路的攻擊元件之一，危害不小，使得美國針對Hutchins列出了10項罪名，包括電腦詐欺、散布可攔截電子通訊的設備、未經授權存取電腦，以及向FBI作出不實陳述等。</p> <p>原本Hutchins一直宣稱自己無罪，但上周他認了兩項罪名，分別是打造惡意程式及協助散布，每項罪名最多可判處5年刑期與25萬美元的罰款，代表他面臨了最高達10年的牢獄之災。</p> <p>認罪之後的Hutchins也在自己的網站上<a href="https://www.malwaretech.com/public-statement" target="_blank">發表了聲明</a>，他說那是他在進入資安職業生涯之前的行為，他為此感到後悔也將承擔所有責任，隨著年紀漸長，他已把多年前誤用的同樣技能用來建設，未來也將致力於協助人們免受惡意程式攻擊。</p> <p>即使認罪了，Hutchins依然受到資安社群的龐大支持。Bleeping Computer分析，這是因為過去網路上的資安學習資源不如現在完整，再加上過去的資安法令相對模糊，使得不少安全研究人員多少涉足了網路犯罪活動，許多白帽駭客偶爾也會戴上黑帽。</p> <p><a href="https://twitter.com/MalwareTechBlog/status/1119694262440882176?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1119694262440882176&ref_url=https%3A%2F%2Fwww.bleepingcomputer.com%2Fnews%2Fsecurity%2Fsecurity-researcher-pleads-guilty-to-malware-writing-charges%2F" target="_blank">Hutchins亦於Twitter上表示</a>，要成為安全專家必須涉足黑暗是項誤解，現在人們已經能夠合法學習必須了解的一切，堅持良善的一面。</p> <p>現在的Hutchins則將靜待法院的判決。</p> </div></div></div>
2019/4/23 15:35作者陳曉莉https://www.ithome.com.tw/news/130176
AWS利用喚醒詞語音資料過濾背景音，使Alexa辨識錯誤率降低15%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://developer.amazon.com/blogs/alexa/post/94539149-2d4f-4033-9a7d-7d77ae87b1f3/using-wake-word-acoustics-to-filter-out-background-speech-improves-speech-recognition-by-15">AWS發布一項提升Alexa語音辨識率的技術</a>，透過喚醒詞聲音快照，並將接隨後的語音與之比對，接收到的語音若與喚醒詞吻合，則將該語音視為Alexa要接收的語句，若不相符，則視為背景噪音。</p> <p>與其額外訓練另一個神經網路，來區別用戶的聲音和背景噪音，AWS將喚醒詞比對機制整合至現有的標準自動語音辨識系統中，接著，將整個模型進行訓練，來辨識系統接收到的語音，在實驗中，這項方法能夠將語音辨識錯誤率減少15％。</p> <p>AWS如何實現這項技術？首先，AWS團隊建立了2種不同的神經網路架構，2種網路架構都是Seq2seq的變化版，加入了注意力（attention）機制，也就是保留了輸入序列的中間輸出結果，訓練一個模型來針對這些輸入進行選擇性的學習，該網路架構都是encoder-decoder框架，編譯器會將語音輸入資料整理成固定長度的向量序列，通常向量會比原本輸入資料更小，而解碼器則會將該向量轉換為輸出，整個網路是一起訓練的，因此，編譯器可以學習如何產生適合解碼器任務的總結向量。</p> <p>最後，再透過注意力機制來告訴解碼器在生成輸出結果時，要注意編譯器產生的向量中哪一個元素，在Seq2seq的模型中，注意力機制的決定通常都是根據現有編譯和解碼器網路的狀態。</p> <p>AWS對於基本的網路模型做了一些調整，在注意力機制中加入了一個輸入資料，除了從現有的編譯器和解碼網路中接收資料，AWS調整過的注意力機制還接收了與喚醒詞相符的原始資料，在訓練的過程中，注意力機制會自動學習需要特別注意哪個喚醒詞的聲音特徵，用於辨識隨後的語音資料。</p> <p>在另一個實驗中，AWS訓練了一套更明確的模型，來強調與喚醒詞相符的輸入語音資料，首先，AWS加入了一個直接比對喚醒詞和隨後語音輸入資料的機制，接著，利用比對的結果當作學習遮蔽語音向量機制的輸入資料，原本AWS預期該方法的結果會更勝於第一種方式，但是結果顯示，遮蔽方式的模型效果稍差，只將語音辨識的錯誤率降低13％，AWS懷疑是因為遮蔽編譯器輸出的結果，只有根據編碼器網路的狀態來決定，而注意力機制的模型則是參考了編譯器和解碼器的狀態，因此，未來，AWS預計遮蔽機制也要將解碼器的網路狀態納入考量。</p> </div></div></div>
2019/4/23 15:35作者何維涓https://www.ithome.com.tw/news/130173
美國知名房地產網站用電腦視覺模型自動將圖片編輯為3D看房導覽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://itunes.apple.com/us/app/zillow-3d-home/id1265223425?mt=8">美國知名房地產網站Zillow最近在美國和加拿大推出AI虛擬看房服務應用程式3D Home</a>，買家透過Zillow的應用程式，就可以用3D導覽的方式查看房屋，而針對賣家，3D Home利用iPhone相機或是相容的外部相機，像是Ricoh360度夜拍機Theta V或是Z1，來捕捉影像，應用程式中的動作偵測演算法會用螢幕上的標誌，來指引賣家要在什麼地點和什麼時候按下快門，當整間房屋的照片都拍攝完成之後，會透過電腦視覺模型調整曝光度、選擇最適合代表該房屋的縮圖，並將這些照片拼接成3D導覽，Zillow表示，製作過程大約20分鐘。</p> <p>對於正在找房子的買家而言，傳統的看屋方式需要耗費許多交通時間，還要查看每個房屋的文件和照片，而Zillow推出用AI打造的3D Home服務，則可以讓潛在的買家在應用程式中，查看房屋360度的照片和導覽，省去傳統看屋繁雜的流程，而賣家也能夠透過該應用程式，打造房屋的3D的導覽，完成編輯的導覽會出現在My 3D Home的控制版中，賣家可以再對該導覽進行編輯修改、私下分享或是直接添加到主頁的房屋列表中，提供買家查看。</p> </div></div></div>
2019/4/23 16:00作者何維涓https://www.ithome.com.tw/news/130174
特斯拉預計2020年推出自駕出租車服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://www.engadget.com/2019/04/22/tesla-elon-musk-self-driving-robo-taxi/">根據外媒報導</a>，特斯拉最近<a href="https://livestream.tesla.com/">在向投資者說明自主技術的活動Autonomy day中</a>，宣布預計將在2020年推出上百萬輛的自駕出租車，特斯拉表示，從2016年開始，特斯拉就為自駕車建置自家的電腦和神經網路晶片，每臺電腦都備有備用晶片，若一個晶片失效，另一個備用晶片會接手，這是特斯拉第一次自己打造晶片，特斯拉的執行長Elon Musk宣稱，雖然特斯拉從未設計過晶片，但是設計出的晶片是全世界最好的。</p> <p>Elon Musk重申，現在所有特斯拉汽車已經具備所有自駕車所需的硬體設備，唯一要做的就是改善軟體，這些硬體包含該公司開發的攝影鏡頭和雷達裝置，Elon Musk承諾，特斯拉將會在今年年底之前推出自駕車，並且預計自駕出租車服務要在2020年上路，此外，在兩年內，該公司還要打造沒有方向盤或是踏板的自駕汽車，Elon Musk希望自駕出租車服務能夠與Uber和Lyft競爭，自駕出租車的計費將會是每英里少於18分美元，而通常共享汽車的計費每英里落在2～3美元之間。</p> </div></div></div>
2019/4/23 12:17作者何維涓https://www.ithome.com.tw/news/130170
Google發布用於自動語音辨識的資料增強新方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://ai.googleblog.com/2019/04/specaugment-new-data-augmentation.html">Google AI研究團隊發布用於自動語音辨識的資料增強新方法SpecAugment</a>，該新方法是將語音資料增強視為視覺的問題，而不是語音的問題，因此，Google並不用傳統資料增強的方式，針對語音音波輸入資料增強，SpecAugment是直接對聲學音譜圖（spectrogram）輸入資料進行增強，Google指出，這個方法是個簡單又便宜的方法，此外，也不需要額外的資料，同時還能有效地改善自動語音辨識模型的效能。</p> <p>自動語音辨識是將語音輸入轉為文字的過程，也因為深度神經網路的進展，語音辨識技術應用在許多現代設備和產品中，像是Google語音助理、Google Home智慧音響和YouTube，但是在開發以深度學習為基礎的語音辨識系統時，還是有許多重要的挑戰要解決，其中一項含有很多參數的語音辨識模型挑戰，就是會有訓練資料過度學習（overfit）的問題，若訓練資料集不夠廣泛，模型很難處理未識別過的資料。</p> <p>在缺乏足夠訓練樣本的情況下，可以透過資料增強的方法，來增加有效訓練資料，這個方法有助於大幅提升圖像分類領域的深度網路表現，一般來說，在語音辨識的案例中，資料增強的方式是靠著改變聲音音波，像是加快、減緩語音速度，或是加入背景噪音，來使得資料集有效地變大，讓神經網路模型學習更多相關特徵，來幫助模型變得更穩固、準確，不過，現有增強語音資料的傳統方法會帶來更多的運算成本，有時候還需要更多額外的資料。</p> <p>傳統的自動語音辨識模型，在將資料輸入網路模型之前，通常會將音波編譯為視覺的代表值，像是聲學音譜圖，而訓練資料增強工作通常是在音波轉換為音譜圖之前，但是，Google團隊是直接針對音譜圖的資料進行增強，並不是用音波資料，且因為SpecAugment方法是直接針對模型輸入資料的特徵進行增強，因此，可以在訓練的過程中在線上執行，並不會顯著地影響訓練速度。</p> <p>SpecAugment是在時間方向上，利用改變音譜圖的方式來修改、屏蔽連續頻率通道的區塊和時間內的語句區塊，這些增強工作能夠幫神經網路模型，在時間方向上的分解、部分頻率資訊遺失和小片段語音輸入的遺失等過程，變得更加穩固。</p> <p>為了測試SpecAugment方法，Google用語音資料集LibriSpeech來進行一些實驗，再透過語音辨識評估標準Word Error Rate（WER），比對模型生成的文字與目標文字的差異，實驗執行的過程中，Google將所有的超參數固定，只有改變輸入網路模型的資料，結果顯示SpecAugment方法能夠改善網路的效能，且不需要額外調整模型或是訓練參數。</p> <p>更重要的是，SpecAugment能夠防止模型因為給予模型特定訓練資料，而產生過度學習的問題，此外，用SpecAugment方法訓練出來的模型，意外地超越先前所有方法的結果，甚至不需要語言模型的協助，語言模型在改善自動語音辨識網路中，扮演重要的角色，但是通常語言模型和自動語音辨識模型是分開訓練的，且語言模型因為需要大量記憶體，很難應用在小的裝置中，像是手機，因此，該研究結果能夠實際運用在訓練模型中，並且不需要語言模型的協助。</p> </div></div></div>
2019/4/23 11:20作者何維涓https://www.ithome.com.tw/news/130160
【臺灣資安大會直擊】想買資安險，不能只靠資安成熟度詢問表，企業還要主動揭露資安健康才有利降保費
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業資安事件頻繁，對管理階層來說，需要為企業策略擬定以風險為導向的資安策略，讓資安策略走在企業策略的前面，減少曝險的比例。不過，即便資安再怎麼規畫，仍不可預期潛在的風險或威脅有多大，近幾年，企業有一個新選擇，購買資安保險來分擔部分的資安風險。資誠（PwC）智能風險管理諮詢執行董事張晉睿日前在2019臺灣資安大會一場演講中，指出企業購買資安保險要注意的幾件事。</p> <p>不過，張晉睿認為，企業對購買資安保險仍有不少疑慮。像是資安險很貴，自家的資安風險小，已有不少資安投資為何需要再買資安險。</p> <p>昂貴和資安風險之間的拿捏，是影響企業購買保險的兩難，尤其後者衡量不易。張晉睿解釋，對保險公司來說，要承保資安保險產品之前，也想辦法先掌握企業資安風險的曝險程度。因為這也是影響保費高低的關鍵。</p> <p>保險公司如何評估企業的資安風險，進而計算保費？張晉睿指出，現行臺灣資安險核保時，多半透過一份詢問表，來界定企業在資安上的成熟度。成熟度越高，意味著風險越低，保費也就可以較低。</p> <p>詢問表上，大致會有公司所屬產業、公司規模、公司系統化程度、公司是否具有對外網站或對外網路服務。另外，保險公司也想了解企業已投資的資安設備與框架，但詢問表大多只會問及企業是否有使用防火牆、防毒軟體等項目，此外，詢問表也會問到，企業近年是否發生過資安事件等問題。</p> <p>但這樣的詢問表，張晉睿認為還有不少不足之處，他舉例，以企業系統化程度高或低，來評估資安風險高低，其實沒有那麼準確。對社交工程攻擊來說，不管企業系統化程度高低，只要有電子郵件的功能，就可能造成企業鉅額損失。</p> <p>或像是詢問表上所列的資安解決方案完整度不足，保險公司評估時，就難以全盤了解企業的資安成熟度，進而高估了企業的風險而影響保費。或像詢問表也沒有蒐集到資安事件發生之後，企業的回應和機制，比如說投入多少心力去調查資安事件，或是接下來如何去提升資訊安全，這些都沒有顯示在保險公司的詢問表中。</p> <p><strong><span style="color:#008080;"><span style="font-size:24px;">企業可向保險公司揭露自家資安健康狀況，提高信任度以獲得優惠保費</span></span></strong></p> <p>要讓保險公司更清楚自家資安現況來降低保費，張晉睿建議，不要只透過詢問表來評估自家資安成熟度，企業還能主動揭露自家的資安健康狀況給保險公司，讓資安投資的價值能充分展現。他舉例，保險公司可以把企業的資訊資產安全防護作為、資安防護產品的日誌、資安處理事件的記錄與潛在資安攻擊的可能等，納入考量技術的指標。</p> <p>他認為，企業這麼做的話，能讓保險公司對企業的資安管理，有一定程度的信心，這樣一來，大家能互蒙其利，企業可以獲得優惠保費之外，保險公司也能降低重大風險的理賠金額，雙方可以在合理的程度上，思考企業剩餘的資安風險，要如何透過購買資安險來轉移掉。</p> <p>張晉睿建議，企業以誘捕系統（Honey Pot）來蒐集資安情資，可能更為準確。他提到，若透過系統蒐集，假如駭客攻擊誘捕系統，就可以蒐集到第一手的內外部攻擊事件，也能針對攻擊誘捕系統的事件，分析駭客的攻擊手法。而企業可以透過誘捕系統蒐集情資，讓自家資安提升之外，同時也能把情資分享給保險公司，這也是一種計算資訊安全風險的方式。</p> <p>對保險公司而言，若單靠詢問表，遇到企業為降低保費，而隱瞞資安事件或是不積極調查資安事件，保險公司也無法全盤了解投保公司的資安風險。</p> <p>「保險公司如何衡量企業資安風險的水平，是一大挑戰。」他認為：「得有一套一致的標準或方法論，來評估企業資安的成熟度。」甚至要建立一致的產業標準，避免不同保險公司的評估結果不一樣，也才有助於企業購買保險或評估未來資安採購之用。</p> </div></div></div>
2019/4/23 11:26作者李靜宜https://www.ithome.com.tw/news/130156
螢幕有瑕疵，Galaxy Fold要延後上市了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星在4月23日宣布，全球首款摺疊螢幕手機<a href="https://news.samsung.com/global/samsung-to-postpone-the-launch-of-the-galaxy-fold" target="_blank">Galaxy Fold已確定要延後推出</a>，且正式上市日期要數周後才會確定。</p> <p>售價高達1,980美元的Galaxy Fold原本預計要在本月底於美國及台灣等市場推出，上市前先行送交給各媒體評測，結果紛紛傳出<a href="https://www.ithome.com.tw/news/130067" target="_blank">測試者一下子就把螢幕弄壞了</a>，包括在螢幕轉軸附近發現凸起物、螢幕閃爍，甚至是完全無法使用。</p> <p>三星表示，這些螢幕問題可能與曝露在外的上下方螢幕轉軸有關，也有個例子是因裝置內部的某些元件影響了螢幕效能。</p> <p>為了全面評估測試者的回饋意見，並於內部展開進一步的測試，使得三星決定延後Galaxy Fold的上市，但正式上市日期也要幾周後才能確定。</p> <p>三星強調，該公司將採用各種措施來強化對Galaxy Fold螢幕的保護，也會加強對螢幕使用與保養的指導，包含螢幕上的保護膜，以讓客戶能夠充份利用Galaxy Fold。</p> </div></div></div>
2019/4/23 11:35作者陳曉莉https://www.ithome.com.tw/news/130171
知名熱點搜尋app可能曝露200萬用戶Wi-Fi密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果你手機中有Wi-Fi Finder這款app，或許是移除app並變更Wi-Fi網路密碼的時候了。Techcrunch<a href="https://techcrunch.com/2019/04/22/hotspot-password-leak/" target="_blank">報導</a>Wi-Fi Finder app蒐集超過200萬筆用戶Wi-Fi密碼、地點等資料的資料庫未設密碼公開於網路上，可能讓企業及家用Wi-Fi網路門戶洞開。</p> <p>Wi-Fi Finder為一名為<a href="https://www.amazon.com/JiWire-Inc-Wi-Fi-Finder/dp/B005ANBI9Y" target="_blank">JiWire</a>的開發商開發。JiWire 2014年改名為<a href="https://www.ninthdecimal.com/jiwire-rebrands-as-ninthdecimal-illuminating-its-precise-audience-intelligence/" target="_blank">Ninthdecimal</a>。</p> <p>Wi-Fi Finder 可讓手機用戶快速搜尋到、並連上鄰近Wi-Fi熱點的app，也讓使用者分享他們Wi-Fi熱點供他人使用。<a href="https://play.google.com/store/apps/details?id=org.speedspot.wififinder&hl=zh_TW" target="_blank">中文版Google Play網頁顯示</a>這款app號稱收藏了全球數十萬個Wi-Fi熱點，下載人次超過50萬。</p> <p>Wi-Fi Finder開發商將用戶上傳的Wi-Fi資料集結儲存在統一資料庫內，而GDI安全研究人員Sanyam Jain日前在網路上發現這個資料庫未設密碼掛在網路上。他進一步發現資料庫內含超過200萬筆記錄，每筆記錄都包含Wi-Fi網路名稱、精確地點、基礎服務設定識別碼（Basic Service Set Identifier，BSSID）、以及明碼儲存的網路密碼。</p> <p>值得注意的是，雖然該app聲稱只提供公共Wi-Fi熱點的密碼，但研究人員分析熱點的地點資料，發現其中有大量是來自住宅區，顯然為一般家用Wi-Fi基地台。</p> <p>這款app雖提醒手機用戶不要隨意連上來路不明的Wi-Fi熱點，但未設密碼的資料庫反而也讓眾多企業、家用或個人Wi-Fi網路資料曝險。一旦這個資料庫遭駭客存取，即可能造成入侵公司與家用網路竊取資料、或修改DNS設定導引用戶連上惡意網站等後果。</p> <p>Techcrunch試圖連絡據信位於中國的JiWire，但二個星期下來連絡未果，最後通知代管ISP DigitalOcean才將這公開資料庫移除。 </p> </div></div></div>
2019/4/23 11:45作者林妍溱https://www.ithome.com.tw/news/130172
美國曾向盟友透露華為接受中國官方金援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國泰晤士報（The Times）本周引述消息來源<a href="https://www.thetimes.co.uk/article/cia-warning-over-huawei-rz6xc8kzk" target="_blank">報導</a>，美國中央情報局（CIA）在今年曾向五眼聯盟（澳洲、加拿大、英國、紐西蘭及美國）的同盟國出示證據，顯示華為曾經接受來自中國人民解放軍、中國國家安全委員會，以及中國情報網路的金援。</p> <p>美國政府試圖<a href="https://www.theverge.com/2019/4/20/18508915/cia-huawei-china-security-agencies-funds-report" target="_blank">說服</a>同盟國華為是一個危險的合作對象，指稱中國政府隨時能夠要求華為與官方合作，藉由在全球所安裝的設備替中國執行間諜行動，呼籲同盟國拒絕採用華為的5G設備。</p> <p>迄今一直未有華為從事間諜活動的明確證據，華為除了否認美國的說法之外，也質疑美國的作法是為了阻擋全球部署華為5G技術。</p> <p>並非所有的國家都相信美國的判斷，例如德國在上個月就曾公開表示，將會提高嚴格境內電信設備的安全標準，也將嚴格審核，但並<a href="https://www.ithome.com.tw/news/128862" target="_blank">不打算直接封鎖華為的產品</a>。</p> <p>華為則說，該公司拒絕回應沒有任何證據且取自匿名來源的報導。</p> </div></div></div>
2019/4/23 10:45作者陳曉莉https://www.ithome.com.tw/news/130159
微軟正開發沒有迴圈的程式語言Bosque
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/research/project/bosque-programming-language/">微軟研究院正在開發全新程式語言Bosque</a>，以簡單易懂為訴求，降低程式開發過程的意外複雜度（Accidental Complexity），還支援一系列新的編譯器與開發工具，最終目的是要在提高開發人員生產力的同時，又能讓程式擁有良好的品質。Bosque作者為微軟首席研究軟體設計工程師Mark Marron，其最近主要的工作還有開發<a href="https://www.ithome.com.tw/news/129796">時間旅行除錯工具</a>。</p> <p>Mark Marron發表的<a href="https://www.microsoft.com/en-us/research/uploads/prod/2019/04/beyond_structured_report_v2.pdf">論文</a>提到，1970年代結構化程式語言和抽象資料類別，為程式語言開發模型帶來了一波改變，讓開發者不需要這麼在意底層基礎結構，把心力放在功能的實現上，因此開發人員的想法更容易實現，程式也更不容易出錯，而現在Mark Marron順著這個開發模型的想法，進一步提升開發體驗，發表了使用規範化程式開發方法的程式語言Bosque。</p> <p>Bosque參考了TypeScript的語法，並綜合了語意機器學習和Node/JavaScript，Mark Marron提到，由於在過去結構化程式開發模型中，流程控制是由迴圈、條件和子程式所組成，而Mark Marron列出了迴圈、參照相等和可變狀態等五個造成程式碼意外複雜度的來源，開發人員可能為了解決問題，而又為自己創造了更複雜的問題。</p> <p>Bosque去除了這些可能產生意外複雜度的概念，以迴圈（下圖左）來說，Bosque不再使用for、while和do while等迴圈，使用稱為Functors（下圖右）的概念，可以完成相同的工作，但是卻能有效降低程式複雜度。Functors是一系列高階迭代處理結構，Mark Marron表示，開發人員不需要重複撰寫相同迴圈的樣板，能夠消除一系列像是邊界算數類的錯誤，並讓開發者使用描述性命名Functors，而非一組共用迴圈模式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/refine_FireShot%20Capture%20289%20-%20%20-%20wwwmicrosoftcom.png" style="width: 600px;" /></p> <p>Mark Marron提到，Bosque消除現有結構化程式開發模型中的主要錯誤來源，讓程式碼更加容易理解與修改，發展出規範化程式開發方法（Regularized Programming），而論文證明了規範化程式開發方法可以直接提升軟體品質以及開發人員生產力。</p> <p>目前Mark Marron將Bosque相關程式碼開源於<a href="https://github.com/Microsoft/BosqueLanguage">GitHub</a>，以利學術界與開發社群合作，但這個專案目前仍在早期階段，不只存在錯誤且功能有限，開發者不應該用於正式的生產環境。</p> </div></div></div>
2019/4/23 10:45作者李建興https://www.ithome.com.tw/news/130153
美國機場到2023年將可辨識97%的離境旅客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由美國國土安全部旗下海關和邊境保護局（Customs and Border Protection，CBP）主導的<a href="https://www.dhs.gov/sites/default/files/publications/19_0417_fy18-entry-and-exit-overstay-report.pdf" target="_blank">「離境生物辨識」（Biometric Exit）計畫</a>因成效卓著，使得<a href="https://thehill.com/policy/technology/439481-dhs-wants-to-use-facial-recognition-on-97-percent-of-departing-air" target="_blank">CBP準備展開大規模部署，讓它在2023年可辨識97%的離境旅客</a>。</p> <p>CBP是於2017年開始試行「離境生物辨識」，當時美國許多機場都已採用指紋或人臉辨識來驗證入境旅客，但卻無法證明這些旅客在簽證到期時就離開了美國。根據美國國土安全部的估計，每年造訪美國的旅客中，約有50萬名是逾期居留，但藉由「離境生物辨識」就能確認是哪些人逾期居留。</p> <p>「離境生物辨識」主要是在旅客離境時，透過人臉辨識系統來比對這些旅客的長相與簽證上的資料，此一計畫必須與機場及航空公司合作，在登機前拍下旅客的照片。</p> <p>截至2018年年底，CBP已在15個地點採用「離境生物辨識」，迄今已比對過1.5萬個航班的逾200萬名乘客，準確率為98%，光是在2018年12月就發現了超過7,000名的逾期居留旅客。</p> <p>因此，CBP準備在未來的4年內全面部署「離境生物辨識」，預計到2023年就能覆蓋從美國機場離境的97%旅客。</p> </div></div></div>
2019/4/23 10:48作者陳曉莉https://www.ithome.com.tw/news/130161
資安新法正式上路4個月，醫院如何落實醫療資安？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年元旦資安法正式上路，面對更嚴謹的資安規範，醫院也採取不同作法來因應。臺大醫院資訊室協理尚榮基表示，面對醫療資安威脅，資訊室能做的、能擋的都已處理了，「真正的問題，是那些看不到的、未知的威脅。」他坦言，這也是為什麼每次被問及醫院資安落實的程度時，他的回答總是「不知道。」</p> <p>他舉例，就好比防毒軟體每天偵測出的問題，究竟是越多越好，還是越少越安全？「這其實沒有標準答案。」他指出，重點是那些沒被揪出的問題，所以難以衡量安全程度。對他來說，最困難的挑戰莫過於「先知先覺」。</p> <p>尚榮基指出，現有的資安防護，大都在於系統介面，比如Email或防火牆。而要實際從各個系統和設備中尋找資安問題，挑戰性非常高，他比喻，這種難度就好比在玩「尋找威利」這個遊戲一樣，在各個身穿花襯衫、人滿為患的沙灘上，尋找同樣穿著花襯衫的「威利」。</p> <p>即便困難重重，他還是提出了醫院資安防護的因應方法。第一是必須執行ISO27001的PDCA流程，包括了計畫、執行、檢查、評估等4個步驟，而他特別強調，其中的「檢查尤為重要，必須詳細定義出受檢項目，」才能確保資安落實的程度。</p> <p>再來則是執行資安防護的流程，包括了防護、監控、分析、排除、復原等5個步驟。尚榮基表示，監控和分析為最重要但也最困難的2個環節，因為要抓出潛在的資安威脅，就得靠監控與分析。</p> <p>為何這兩個環節格外困難？第一，「資料太多，但資訊太少。」他解釋，要做到監控，必須靠大量記錄（Log）來分析，而全院高達數百臺伺服器、數千臺電腦，產生龐大的資料量，要從中找出有用的資訊來監控，就是一個問題。</p> <p>第2個困難，則是「缺乏整合。」他指出，資訊部門建置、安裝到醫院的每個系統，都視為一個獨立的單位，但「最後都是靠人來整合，」比如在A系統發現問題，必須進入B系統來查詢，「這部分廠商很難整合。」</p> <p>第3個困難則是「Top Event V.S. Rare Event。」尚榮基表示，在醫院所有設備中，防毒系統報告顯示的往往是發生次數最多、流量最高的事件，也就是常見事件（Top event）。「但實務經驗告訴我，真正有問題的往往不是常見事件，而是Rare event，也就是罕見事件。」他指出，到目前為止，還未見到任何能夠匯報罕見事件的設備。</p> <p>舉例來說，異常連線（Unusual connection）、多重連線（Multi-connection）和異常來源（Unusual source）屬於罕見事件，比如一臺POS機在某個時間點連線到管理員個人電腦，「這件事沒道理，但有沒有設備可以偵測到這個資訊、告訴管理員？」或是一個高權限使用者，比如系統管理員，在半夜3點從美國連線至電腦系統。「這種訊息，才是資安管理要來檢查的。」</p> <p>他表示，雖然目前還難以定義「異常」，但他希望藉助機器學習技術，從歷史活動中學習異常的罕見事件，可望能自動抓出罕見事件，而不需要靠人力一一檢測。</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>醫療資安範圍不再只是IT，還包括OT</strong></span></span></p> <p>中國醫藥大學附設醫院資訊室主任楊榮林也提到，每當醫院長官問及資安落實程度時，他也不敢拍胸脯回答100％沒問題。</p> <p>他進一步解釋，單就中國附醫臺中總部來說，就有多棟大樓，比如兒童醫療大樓、第一醫療大樓，光是伺服器就有上百臺，再加上各式設備更達上萬臺，光是管理這些設備，就耗費許多力氣；而在網路架構方面，則包括了院區網路、無線網路、聯外網路、終端網路和體系VPN，要如何把關這些網路的資安，就是個挑戰。而最基本的處理，楊榮林指出，不外乎是防火防駭、Email防護、網路流量監測和活動監控，以及網路簽入管理等。</p> <p>不過，醫院該注重的資安範圍不只是IT，還包括操作型技術（Operation Technology，OT）的安全，也就是醫療儀器。楊榮林提到，近年來各家醫院紛紛發展智慧醫療4.0，利用大數據、AI、雲端和IoT技術來分析醫療資料、開發新服務，中國附醫也不例外，甚至發展遠距照護和個人化基因分析。</p> <p>但為了推動智慧醫療、加速醫療資料的傳輸與分析，醫院勢必採用可連線的醫療儀器，但這也成為資安隱憂。楊榮林更強調，這2年來，醫療資安防護不只要把個人電腦和伺服器管理好，還要注重醫療儀器的資安檢測，比如護理工作車、電腦斷層掃描設備、醫療檢測儀器等。</p> <p>他指出，衛福部自去年開始推動醫療OT資安檢測，將醫療儀器依風險程度分為17類，而中國附醫也已根據這些類別，完成了醫院OT盤點與風險評鑑，包括麻醉機、呼吸機、心電圖儀器、數位X光攝影、核子醫學設備、透析機等。</p> <p>楊榮林以過來人經驗建議，雖然一些醫療儀器的廠商認為，具中央站架構的OT不需安裝防毒軟體，但他指出，具連線功能的OT中毒風險高，還是得安裝防毒軟體，並定期監測活動狀況，才能確保醫療資訊安全。「這對我們醫院來說，是當務之急。」</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>落實醫療資安，北市聯醫從組織改造開始</strong></span></span></p> <p>資通安全管理法自今年元旦上路，對醫院來說，資安把關不再是整體資訊（IT）範圍，而是擴大為整體資通範圍，除了原有的資訊機房、骨幹網路和醫療資訊系統的管理外，還涵蓋了事務機、醫療儀器、工程電腦等OT設備，也就是說，資通法監管的是「整個醫療機構」。</p> <p>為因應資安新法，臺北市立聯合醫院先從組織下手。去年11月，北市聯醫成立了資通安全管理委員會和資通安全諮詢委員會，其下更設置了資安長職位，由原資訊室副資訊長許世欣擔任臺北市立聯合醫院資安長，掌管全院資安事宜。</p> <p>許世欣提到，北市聯醫資安長之下設置了3大單位，包括負責訂定資安計畫的資通安全管理中心、負責執行資安計畫的執行單位，以及機動小組（如情資因應小組、緊急應變小組和稽核小組）。</p> <p>而執行單位除了把關IT安全，也掌管了醫院各種OT檢驗。許世欣指出，北市聯醫將OT定義為「所有連接到網路的設備，」除了醫工OT、工務OT，北市聯醫也將人資、總務和秘書列入OT檢查單位，「因為這3個單位管理了監視器、影印機和卡鐘。」另外，由於執行單位負責檢核IT系統和OT設備，也因此需要把關這些設備的使用單位、保管單位，甚至是供應商；許世欣指出，北市聯醫更打算朝第三方資安認證發展，更嚴格地控管供應設備。</p> <p>而資通安全管理中心，負責了資安預防作業和管理作業，比如辦理資通系統防護分級、資通事件通報及應變管理，以及擬訂資安政策與目標、辦理內部稽核等。要是發生資安事件，該中心也將向衛生局和資訊局報告。</p> <p>另一方面，北市聯醫也訂立了資通安全維護計畫書，以「全機關」為中心，作為今年執行重點。</p> <p>該計畫書分為3個層面，包括了管理面、技術面、認知與訓練層面。在管理層面，除了分級資通系統和設立防護基準，還有一個重要工作，也就是將資訊安全管理系統導入全數的核心資通系統，而且要在3年內完成第三方驗證。另一方面，北市聯醫也要聘請4名資通安全專職人員，來執行資安管理。</p> <p>在技術層面，則包括了資通安全健診（如網路架構檢視、網路惡意活動檢視）、資安防護（如安裝及更新防毒軟體、網路防火牆、APT攻擊防禦等），以及完成政府組態基準導入作業。</p> <p>至於認知與訓練層面，北市聯醫聚焦於資安教育訓練、頒發資安專業證照和職能訓練證書。許世欣指出，資安教育訓練對象為資安專員和一般使用者，分別要接受12小時的專業課程，以及3小時的一般資安教育訓練課程。而資安專業證照和職能訓練證書，則是北市聯醫資安專員必須持有的，以維持專業程度。北市聯醫計畫透過這些做法，來全面強化醫療資安管理。文◎王若樸</p> </div></div></div>
2019/4/23 11:03作者王若樸https://www.ithome.com.tw/news/130157
Windows 7中止支援通知已開始釋出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果你是Windows 7用戶，可能上周已經接到微軟提醒你Windows 7即將在2020年1月14日支援截止。繼今年３月發出<a href="https://www.ithome.com.tw/news/129295" target="_blank">通知</a>後，4月18日起微軟正式啟動支援到期的系統通知。</p> <p>微軟於三月底<a href="https://www.ithome.com.tw/news/129492" target="_blank">釋出</a>代號KB4493132的Windows 7更新，內有名為C:\Windows\System32\sipnotify.exe的執行檔。當更新版安裝後，這項程式就會從今年4月18日到明年1月15日之間每天啟動，跳出通知訊息：「在服務10年之後，2020年1月14日將是微軟提供執行Windows 7 SP1電腦安全更新的最後一天。我們知道改變可能很難，因此我們提早通知您以協助您檔案備份，並為下一版做好準備。」此外並<a href="https://support.microsoft.com/en-us/help/4493132/windows-7-update-kb4493132" target="_blank">附上</a>Windows 7終止支援的相關網頁連結。</p> <p>所幸這次微軟似乎不再強迫用戶。不想再看到本通知的用戶只要勾選通知中的「不要再提醒我」，上述訊息就不會再出現了。如果想完全終止所有提醒，BleepingComputer網站<a href="https://www.bleepingcomputer.com/news/microsoft/windows-7-now-showing-end-of-support-warnings/" target="_blank">建議</a>可以到 Microsoft\Windows\End Of Support目錄下，刪掉名為Notify1和Notify2的排程。</p> <p>不過在明年1月14日後，微軟就不再提供Window 7安全修補程式，個人電腦用戶可能面臨各種惡意程式入侵的風險。堅持不升級且簽有大量授權合約的企業用戶，微軟則提供付費的Windows 7延伸安全更新服務到2023年1月。</p> </div></div></div>
2019/4/23 11:10作者林妍溱https://www.ithome.com.tw/news/130167
數位轉型既要瞻前，也要顧後
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於持續追趕最新應用潮流，同時要盡力維持現況穩定、將既有投資價值發揮到最大的IT人而言，這幾年應該會有很深的感慨，彷彿採用新技術才是主流，而秉持守成不變、觀望的審慎態度者，則可能被視為怠惰、自視甚高。</p> <p>而這樣的態勢，在前幾年盛行而今成為常態的伺服器虛擬化，尚不明顯。那時，企業還有許多時間評估適用性，因此，部分公司會初期將新開發的應用系統或是周邊的系統，建置到那樣的環境，之後，再考量是否能承擔關鍵業務應用系統的工作負載，再決定與規畫後續的遷移（Migration）事宜。</p> <p>到了現在，隨著大型雲端服務業者的親自投入發展與提倡，關於雲端服務、大數據，乃至於容器與微服務架構、機器學習等技術的可行性，以及敏捷開發（Agile）、持續整合／持續交付（CI/CD）、DevOps等新型IT觀念的崛起，受到許多公司的認可，似乎已無庸置疑是未來IT的主流，這也使得越來越多企業為了加速應用程式的開發與部署，為了儘快達到數位轉型的業務目標，而決定開始採用。</p> <p>然而，基於上述新興技術浪潮的IT現代化（IT Modernization），或者所謂的現代化應用程式（Modern Apps）或許真的能夠因應新的挑戰，但企業既有的IT服務該怎麼辦？全部將其虛擬化，甚至容器化、微服務化？還是部分採取這些技術，部分維持現況，並設法讓兩邊可以交互運作？</p> <p>面對這樣進退失據的局面，過去主要有企業級系統軟體廠商，以及伺服器虛擬化軟體廠商，提出對應的解法，不過，隨著這些公司也被這一波波現代化浪潮逼迫著轉型，高喊雲端優先、行動優先之後，不斷強調自己具有前瞻性，已成為這些公司不被技術主流所淘汰的萬靈丹，至於如何「顧後」、「善後」這類也相當困難的黑手級工作，但仍是企業關注的重點，似乎很少有廠商願意主動跳出來承擔。</p> <p>最近，我們看到開始有廠商願意來談這方面工作該如何進行。舉例來說，先前因為併購HPE軟體事業群而聲名大噪的<a href="https://www.ithome.com.tw/tags/micro-focus" target="_blank">Micro Focus</a>，4月終於來臺辦了全球巡迴研討會，他們提到了幾個發展願景，對於目前這種往而不復、前浪只能死在沙灘上的IT態勢，提出一個更為周延的策略，倒是讓我們覺得耳目一新。例如，該公司期許自己能協助用戶兼顧日常維運與數位轉型，並希望讓企業能夠在更低的風險之下，更快進行業務創新。</p> <p>具體而言，Micro Focus會有三大核心原則：為新舊IT世界搭起橋樑、在既有產品當中提供企業級的創新特色與功能、支援豐富的部署選項與商業模式，而這麼做之後，他們認為，企業既有軟硬體設施，可因此延長使用壽命、提供更多效益，不需更換到其他系統，而且能夠根據本身的營運規模與預算規畫來選擇適合的解決方案。</p> <p>而在解決方案的提供上，Micro Focus有4大主軸：企業DevOps、混合IT管理、預測分析和安全、風險和治理，對應下列業務要求：速度（應用程式更好、更快交付）、敏捷（系統靈活應變）、洞察（即時分析、更快採取行動），以及安全（保護身分、應用程式和資料安全）。</p> <p>對於IT廠商提出這樣的策略發展目標，我們樂觀其成，也期許其他雲端服務業者與軟硬體廠商，在持續往前衝刺、滿足各種創新需求之際，也不忘提攜既有應用系統，讓它們與新技術接軌。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B">數位轉型</a></div></div></div>
2019/4/23 09:00作者李宗翰https://www.ithome.com.tw/voice/130139
【工業4.0雲端戰情中心提供即時營運數據】新漢3千坪智慧工廠首度大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣老牌工業電腦硬體商新漢，去年底啟用了首間工業4.0智慧工廠，近日也對外公開內部細節，結合智慧機械、工業物聯網與雲端技術整合工廠OT資訊，打造出自動化雲端戰情中心，可即時呈現工廠生產與營運資訊，更利用工廠自動化、智慧化幫助工廠提高多達3成生產效率，而且更省人力。新漢更要借助這次建廠實戰經驗，要從傳統工業硬體代工，變身工業4.0解決方案商。</p> <p><span style="font-size:28px;"><strong>3千坪工業4.0示範工廠首度曝光</strong></span></p> <p>新漢智慧工廠，就在林口的華亞科技園區、位於新漢承租辦公大樓的2樓，占地將近3千坪。新漢去年砸了2億元，共花了3個月打造成首座工業4.0示範工廠，並建置有兩條SMT產線與一條DIP產線，去年10月正式投產，主要以網通與網安設備代工生產為主。</p> <p>不同於其他生產工廠，新漢這座智慧工廠已全面導入自動化生產，來取代傳統人工作業，從零件備料、電路元件焊接、DIP插件，到硬體組裝、功能測試及產品裝箱，皆改由自動化生產、檢測，再搭配人工目檢，因此，只需要配置原先工廠一半的人力，大約180名作業員，就能完成相同作業，或甚至獲得更高的生產效率。</p> <p>不只自動化生產，新漢工廠內所有製程機臺或檢測設備，也都全面導入IoT感測技術，以取得這些設備的即時運作資料，再回傳到新漢自行開發的雲端戰情中心，方便管理者或決策者即時掌握全廠生產資訊。新漢在這座雲端戰情中心，整合了9大應用模組、11項功能，可以實現即時掌握工廠製造資訊、預知維護、會統4.0管理決策、廠務視訊、資訊安全、網路管理、設施監控、產線監控，以及電力監控。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%942%EF%BC%9ADSC_0003_%E6%94%9D%E5%BD%B1%E4%BD%99%E8%87%B3%E6%B5%A9.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>新漢自行開發一套工業4.0雲端戰情中心，提供有9大應用模組、11項功能，可以即時呈現工廠生產與營運資訊細節。</strong>(攝影／余至浩)</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%943%EF%BC%9ADSC_0064%20_%E6%94%9D%E5%BD%B1%E4%BD%99%E8%87%B3%E6%B5%A9.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>為實現工業物聯網應用，新漢採用開放架構，讓工廠產線上不同機臺可以相連互通，可以自行檢測與調整製程步驟，以提高製程品質。</strong>(攝影／余至浩)</span></p> <p><span style="font-size:28px;"><strong>工業4.0發展的兩大關鍵：智慧機械、工業物聯網</strong></span></p> <p>新漢董事長林茂昌表示，工業4.0有重要的兩隻腳，第一隻腳是透過機臺、製程自動化與協作機器人，來達到機械智慧化功能；而第2隻腳則是工業物聯網，藉助開放架構，讓所有智慧機械可以相連互通，再加上各種必要的感測器與裝置蒐集產線數據，將這些數據送上雲，加以分析與應用，才是一個完整的工業4.0解決方案。這正是新漢打造工業4.0戰情中心的關鍵心法。</p> <p>首先，在製造產線端，該戰情中心整合ERP與MES製造執行系統，除了可以將當月訂單和出貨進度以視覺化圖表在螢幕上來呈現，也能呈現MES系統上的即時生產資訊，所有生產數據也都能在產線組裝區的資訊看板上看得到。</p> <p>其次，從戰情中心的螢幕上，也能夠即時監控SMT與DIP產線設備的運作情況，包括稼動率、爐溫和良率等，可提供現場產線人員做為即時的參數調整，以提高生產良率或針對異常事件自動通報處理。</p> <p>尤其，為了確保工廠產線可以正常運作，避免因機臺故障造成產線停擺帶來的嚴重財產損失，新漢也特別針對產線的重要機臺，加入預防性診斷維護機制，搭配機器學習以偵測設備健康狀況，如今已經能做到機臺還沒發生異常之前，就能提前通知廠房執行維護動作，以避免產線非預期性停機發生。並也強化OT資安防護。</p> <p>甚至為了縮短營運決策時間，新漢更導入一套管理決策系統，能依據物料生產成本、生產工單及作業時間，自動計算當日生產的毛利成本，並自動產出相關報表，不需要等到隔月才知道，讓決策者下達決策可再早一步。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%944%EF%BC%9A%20DSC_0078%20_%E6%94%9D%E5%BD%B1%E4%BD%99%E8%87%B3%E6%B5%A9.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>新漢針對重要產線生產設備，也加入預防性診斷維護機制，還搭配機器學習模型以預測設備健康狀況，可提前通知廠房進行維護，以避免產線無預警停機。</strong>(攝影／余至浩)</span></p> <p class="rtecenter"><strong style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%945%EF%BC%9ADSC_0087%20_%E6%94%9D%E5%BD%B1%E4%BD%99%E8%87%B3%E6%B5%A9.jpg" style="width: 500px;" /></strong></p> <p><span style="color:#696969;"><strong>在組裝作業區，現場管理者可從螢幕面板上查看MES系統上的生產資訊，包含預期生產數量、目標數量以及即時生產力，以便於更快掌握生產進度。</strong>(攝影／余至浩)</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%B0%E6%BC%A2-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>在最後產品組裝流程上，還導入RFID標籤，自動感測記錄每一站完成的組裝項目，以取代每站人員都要以掃描器掃描條碼的動作，以節省作業員換件的工時。</strong>(攝影／余至浩)</span></p> </div></div></div>
2019/4/23 09:00作者余至浩https://www.ithome.com.tw/news/130148
政院公布危害資通安全產品使用原則，3個月內將公布禁用產品清單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院發言人Kolas Yotaka（谷辣斯‧尤達卡）在4月19日召開記者會對外公布，一項由行政院院長蘇貞昌4月18日同意通過的行政命令「各機關對危害國家資通安全產品限制使用原則」，並以電子公文發函給各機關。而這項原則原本應該在一月底公布，但因為外界有諸多疑慮，所以在綜合多方考量下，遲至4月中旬才對外公布。</p> <p>Kolas Yotaka表示，這項行政命令的母法來自「資通安全管理法」，包括受該法規範的中央與地方政府以及關鍵基礎設施的提供者等，都必須在未來3個月內，優先盤點機關內已經採購的、來自危險地區的產品清單送交行政院，行政院也會彙整一份正面表列、禁止採購品牌的產品清單，給受資安法規範的機關參考；該份使用原則將溯及既往，適用先前已經採購的資安產品。</p> <p>但她也強調，這個使用原則只適用於政府各機關，並不涉及民間私人企業採購以及民間消費行為。</p> <p><span style="color:#0000FF;"><strong>受規範產品囊括網路攝影機及雲端服務在內</strong></span></p> <p>Kolas Yotaka表示，未來受資安法規範的機關單位，包括：中央政府的機關（構），各地方縣市政府，公立學校，公營事業、行政法人，還有關鍵基礎設施的提供者和政府捐助的財團法人在內，其中，後兩者則必須由該單位的中央目的事業主管機關進行相關的督導。</p> <p>政府目前由國土安全辦公室制定的關鍵基礎設施提供者規定有八類，包括：水資源、能源、通訊傳播、交通、金融、高科技園區、政府機關與緊急醫療等，但各個類別中，有哪些單位確認為受資安法規範的單位，目前根據資安法的規定，正在進行相關的指定程序中。</p> <p>為了避免不必要的誤會，Kolas Yotaka表示，在該原則中，不使用中國或陸資等敏感字眼，「因為可能產生危害臺灣資安通安全產品的來源不一定只有中國，還有其他國家，不點名特定國家別，也可避免疏漏。」</p> <p>受到規範的產品範圍則囊括：伺服器主機、網路攝影機、遙測定點設備、無人機、雲端服務、電信業的核心骨幹網路設備電腦軟體、防毒軟體、機關委外開發的軟體系統、委外通訊設備顧問，以及委外企業開發資訊系統等，都被視為資通安全產品。</p> <p><span style="color:#0000FF;"><strong>採購危害資安產品需經主管機關核可並列冊管理</strong></span></p> <p>在「各機關對危害國家資通安全產品限制使用原則」的條文中，也清楚規定，「各機關除因業務需求且無其他替代方案外，不得採購及使用危害國家資通安全的產品」，也要求採購的機關必須說明理由且經過主管機關核可後，才能以專案方式購置，相關產品也應該列冊管理，以及遵守「指定特地區域及特定人員使用」、「不得與公務網路環境介接」、「不得處理或儲存機關公務資訊」、「測試或檢驗結果應產出報告」、「購置理由消失時，或使用年限界滿應立即銷毀」等五項規定。</p> <p>因為這項使用原則溯及既往，所以在條文中也規定，各機關應該要定期辦理資產盤點，在4月19日該使用原則公布前，就已經採購的危害國家資通安全產品，應該要在廠商清單提供後3個月內列冊管理，並不得與公務網路環境介接，也應該一致非敏感或非重要環境；如果該產品已經屆滿使用年限的話，則在廠商清單提供後，編列預算於該年度汰除；未達使用年限者，則明定汰除的期限。</p> <p>由於這項使用原則適用對象包括中央與地方政府在內，加上關鍵基礎設施服務提供者以及政府捐助的財團法人，例如工研院、資策會等，也同樣在該法的規範範圍中。但高科技園區有內有許多民間企業在內，哪些單位是被資安法指定的關鍵基礎設施提供者，還有待相關清單出爐，但未來科技部與經濟部也將透過科學園區管理局，進一步和民間業者建立合作溝通的機制。</p> <p><span style="color:#0000FF;"><strong>公務機關不遵守該使用原則，將依照資安法進行懲處</strong></span></p> <p>政府這項「各機關對危害國家資通安全產品限制使用原則」的行政命令，原訂在一月底就要公告，為了更周延內容故延後公布。</p> <p>身兼國家安長得行政院副院長陳其邁在接受媒體訪問時也強調，如果未來縣市政府不遵守「各機關對危害國家資通安全產品限制使用原則」的規定，也將依據資安法第19條的規定，針對公務機關所屬人員未遵守資安法規定者，依照情結輕重予以懲戒或懲處。</p> <p>但像是臺南市政府在一月下旬時，就已經發佈新聞稿公布，全面盤點所屬資通訊設備，並配合中央資安政策，全面禁用包括華為在內等危害國家資安產品。</p> <p>臺南市政府更公告，為了避免潛在的資安風險，硬體採購除了配合採用政府共同供應契約外，更全面禁止提供中國產品；機關網路連線因採用政府網路網路服務（GSN），無法連上中國網站、可以防止機敏資料外流外；在資訊作業委外管理規範則要求業者進行「委外契約及需求規格書製作」時，應註明資訊安全保密條款，必要時，臺南市政府也會與委外廠商簽訂保密協定，以明確告知委外廠商應遵循事項。</p> <p> </p> </div></div></div>
2019/4/22 18:05作者黃彥棻https://www.ithome.com.tw/news/130155
美國氣象電視台也成勒索軟體受害者，導致節目無法準時開播
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國氣象電視台（The Weather Channel）每天早上開播的America's Morning Headquarters（AMHQ）晨間新聞暨氣象節目在4月18日開了天窗，原因是遭到駭客植入了勒索軟體，讓節目延宕了一個半小時才開播。</p> <p>AMHQ會在美東時間每天的6點到10點報導當天的新聞、氣象與商業資訊，但在4月18日卻未準時開播，而是以重播帶代替，一直到7點半才恢復正常。</p> <p><a href="https://twitter.com/weatherchannel/status/1118849699388248064" target="_blank">The Weather Channel繼之在Twitter上發表聲明</a>，表示該電視台的網路遭到惡意軟體攻擊，它們已儘速藉由備份機制恢復直播，且已有執法機關介入調查。</p> <p><a href="https://www.wsj.com/articles/weather-channel-knocked-off-air-for-over-an-hour-11555611840" target="_blank">美國聯邦調查局（FBI）發言人則向華爾街日報透露</a>，所謂的惡意軟體攻擊其實是勒索軟體，藉由加密系統上的檔案以向受害人勒索贖金，FBI正在進行調查。</p> <p>The Weather Channel原本為<a href="https://en.wikipedia.org/wiki/The_Weather_Company" target="_blank">The Weather Company</a>所擁有的品牌名稱，同時提供數位資產與電視台，但<a href="https://www.ithome.com.tw/news/100490" target="_blank">The Weather Company在2015年將大多數的資產出售給IBM</a>，只留下The Weather Channel電視台，又在去年將電視台賣給了 Entertainment Studios，此次發生勒索軟體事件的，即為已轉手給Entertainment Studios的The Weather Channel電視台。</p> </div></div></div>
2019/4/22 15:34作者陳曉莉https://www.ithome.com.tw/news/130147
Drupal釋出新版，修補jQuery與Symfony的跨站腳本攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p class="p1">開源內容管理框架Drupal對其Drupal 7、Drupal 8.5以及Drupal 8.6釋出新建置版本，以<a href="https://www.drupal.org/sa-core-2019-006">修補JavaScript函式庫jQuery和網頁應用程式框架Symfony中跨站腳本攻擊（Cross-Site Scripting，XSS）漏洞等其他問題</a>，Drupal官方建議網站管理員立即更新。</p> <p>由於jQuery官方在4月中時釋出新版<a href="https://blog.jquery.com/2019/04/10/jquery-3-4-0-released/">jQuery 3.4.0</a>，並於文件提到，之前版本存在跨站腳本攻擊的漏洞，因此Drupal抽換了其整合的jQuery版本。jQuery的這個漏洞可能導致跨站腳本攻擊，當開發者使用jQuery.extend(true, {}, ...)時，會發生意料之外的行為，未過濾的來源物件包含可列舉的__proto__屬性，則可能擴展污染原生Object.prototype。</p> <p>jQuery官方提到，jQuery是一個DOM操作函式庫，在一般情況下會依照使用者的指示動作，雖然jQuery會盡量保護使用者安全，但是開發者也應該把關使用者輸入的內容，以規則過濾危險的資料。由於使用部分Drupal模組也會受該漏洞影響，因此為了安全起見，這個安全修補將往前向舊版本推送，包括Drupal 7和Drupal 8，但是不涵蓋Drupal 8.5.x或是其他停止支援的版本。</p> <p>同一個Drupal更新，也修復了Drupal核心Symfony框架所發現的三個漏洞，分別是PHP模板引擎的跳脫驗證訊息<a href="https://symfony.com/blog/cve-2019-10909-escape-validation-messages-in-the-php-templating-engine">CVE-2019-10909</a>、驗證服務ID有效性<a href="https://symfony.com/blog/cve-2019-10910-check-service-ids-are-valid">CVE-2019-10910</a>以及Cookie雜湊的問題<a href="https://symfony.com/blog/cve-2019-10911-add-a-separator-in-the-remember-me-cookie-hash">CVE-2019-10911</a>。第一個漏洞是開發者在使用PHP模板引擎的表單主題時，當驗證的訊息格式未跳脫又可能包含使用者輸入的時候，可能會與jQuery漏洞一樣，有遭受跨站腳本攻擊的風險。</p> <p>Symfony的第二個驗證服務ID有效性漏洞與第一個漏洞類似，也是一個跟輸入格式驗證有關的漏洞，當使用未過濾的使用者輸入，衍生新的服務ID，則可能允許執行任意程式碼，導致遠端程式碼執行攻擊。第三個Cookie雜湊漏洞則讓攻擊者可以記錄使用者的Cookie，並用做不同身份驗證，這對於使用單點登入（SSO）的系統特別危險，駭客可能假冒其他用戶存取服務。</p> </div></div></div>
2019/4/22 15:55作者李建興https://www.ithome.com.tw/news/130149
印度有超過320萬張支付卡資訊流落在外，僅次於美、英
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門分析網路犯罪並替受駭組織制定安全解決方案的Gemini Advisory<a href="https://geminiadvisory.io/india-rising-cybercrime-frontier/" target="_blank">指出</a>，隨著印度經濟的崛起，該國也逐漸成為網路犯罪的目標，去年在暗網中銷售的支付卡資訊超過320萬張，躍升為全球第三大，僅次於美國及英國，且相信印度的支付卡詐騙規模會在今年超越英國。</p> <p>擁有13億人口的印度是全球第二大人口國，還建立了納入生物辨識資料的Aadhaar數位身分證系統，已有超過12億印度民眾採用。</p> <p>不過，印度的資安措施似乎未跟上發展的腳步，印度論壇報在去年初曾成功買下Aadhaar資料庫的10分鐘存取權，且售價只有500盧比（約222元新台幣），若要列印僅需額外支付300盧比（133元新台幣）。</p> <p>而Gemini Advisory則發現，去年已有超過320萬筆的印度支付卡資訊在暗網中銷售，包含有卡（Card Present ，CP）及無卡支付資訊（Card Not Present，CNP），並以CNP資料比例較高。此一數字比2017年增加了219%，而且售價水漲船高，2017年相關資料的中位數價格為6.9美元，但去年就提高到17美元。</p> <p>根據估計，全球最多支付卡遭盜的國家為美國，而且遠遠領先其它國家，約有7,400萬筆的支付卡資訊被竊，居次的是英國的350萬筆，印度以320萬筆排名第三。</p> <p>研究人員分析，網路的普及、印度中等階級的崛起，再加上防護措施不足，都讓印度成為網路犯罪份子的新天堂。例如曾有駭客在去年8月入侵印度的Cosmos Bank銀行，盜轉了9.4億盧比（逾新台幣4億美元），並於全球28個國家的ATM提領。</p> <p>Gemini Advisory認為，即使印度儲備銀行已規定所有的ATM及POS裝置自今年1月1日起都必須支援EMV晶片卡，但他們相信在印度的支付卡詐騙規模，特別是CNP詐騙將在今年超越英國。</p> </div></div></div>
2019/4/22 15:01作者陳曉莉https://www.ithome.com.tw/news/130141
恐怖攻擊讓斯里蘭卡緊急封鎖境內社交平台
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在4月21日的復活節當天，斯里蘭卡當地的教堂與飯店傳出8起爆炸案，造成逾200人死亡，<a href="https://techcrunch.com/2019/04/21/sri-lanka-social-media-explosions/" target="_blank">斯里蘭卡政府為此緊急封鎖了境內的社交平台</a>，包括Facebook、Whatsapp、Instagram及YouTube等，以避免暴力、仇恨與不實內容的散布。</p> <p>此一措施對於斯里蘭卡而言雖然不常見，但也曾發生過，去年斯里蘭卡政府也曾為了抑制不實內容的散布而暫時封鎖Facebook。不過，在此次的恐怖攻擊中，有不少民眾抱怨當地政府的作法，讓他們無從確認親友是否安然無恙。</p> <p><a href="https://www.washingtonpost.com/world/2019/04/21/sri-lankan-government-blocks-social-media-imposes-curfew-following-deadly-blasts/?utm_term=.bd8df9c1ac21" target="_blank">斯里蘭卡政府則表示</a>，一旦完成相關攻擊的調查，就會恢復上述服務。目前當地政府已成立特別調查委員會以調查復活節的恐怖攻擊事件，並準備在兩周內向總統Maithripala Sirisena報告。</p> <p>不只是斯里蘭卡，其它國家也曾因政治因素或大型抗議活動而暫時封鎖境內的社交網站，諸如土耳其或伊朗。</p> </div></div></div>
2019/4/22 15:26作者陳曉莉https://www.ithome.com.tw/news/130146
微軟開源自家Spark資料串流工作管線建置工具Data Accelerator
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/zh-tw/blog/microsoft-open-sources-data-accelerator-an-easy-to-configure-pipeline-for-streaming-at-scale/">微軟開源了一個原為內部使用的大資料專案Data Accelerator</a>，能進行大規模資料處理，簡化在Apache Spark上串流傳輸的工作，支援SQL以及即時查詢，不需要撰寫程式碼就能設定處理規則與設定警報。從2017年開發以來，已經大規模應用在各種微軟產品工作管線上，現在於GitHub上開源。</p> <p>微軟在2017年開始發展Data Accelerator專案，為的是要處理多來源串流資料，將這些資料重新組合後，路由到不同的輸出資料池（Output Sink），以方便進行後續的分析。微軟提到，在這過程中，正規化是一個負擔沈重的工作，要在異構事件環境，捕捉和調整事件解析器，需要花費不少時間與資源。</p> <p>而Data Accelerator可以幫助使用者簡化這項工作，從事件資料樣本中推斷資料的結構，並將串流中的事件寫出到各種資料儲存。微軟提到，Data Accelerator不只可以被當作事件擷取服務Event Hubs以及資料庫間的管線，還能在進行串流傳輸的時候，重塑傳入的事件，將同一事件的不同部分路由到不同的資料庫。</p> <p>Data Accelerator能大幅加速在Spark上的串流工作管線建置，其隨插即用的簡單設計，使用者只要設定輸入來源以及輸出資料池，在數分鐘內就能完成管線建置。Data Accelerator支援從Eventhub和IoThub讀取資料，並將資料寫入到Azure blob、CosmosDB、Eventhub等服務。</p> <p>綜合應用事件與結構，Data Accelerator可以在事件流經工作管線的時候，辨識並進行修改，分割、合併甚至是丟棄事件不需要的部分。Data Accelerator提供了配置使用者介面，以及好用的查詢和規則設計工具，讓使用者無需撰寫任何程式碼，就能設置警示或是處理資料的規則。另外，Data Accelerator還支援串流資料的複雜處理任務，不論是依變動的時間視窗處理資料，還是隨時間累加資料，用戶都能以簡單的方法操作這些進階功能。</p> <p>微軟提到，Data Accelerator支援dev-test循環的快速驗證周期，讓事件查詢的實作，在部署之前就能迭代修正到可用，這可以節省大量測試工作管線處理的時間，Data Accelerator還支援SQL查詢，使用者不需要使用Scala，光用SQL就能進行複雜的查詢工作。</p> </div></div></div>
2019/4/22 14:40作者李建興https://www.ithome.com.tw/news/130115
微軟將釋出Google G Suite到Office 365的搬移工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一如Google G Suite希望吸引Office 365用戶轉檯，<a href="https://docs.microsoft.com/en-us/Exchange/mailbox-migration/perform-g-suite-migration" target="_blank">微軟本周也宣佈釋出協助企業將文件從Google G Suite搬移到Office 365的工具</a>。</p> <p><a href="https://docs.microsoft.com/zh-tw/office365/admin/get-help-with-domains/set-up-your-domain-host-specific-instructions?view=o365-worldwide" target="_blank">希望從G Suite搬移者需先具備已驗證的Office 365網域及設定好一切TXT紀錄</a>。之後再指定要搬移的用戶對象。企業可以選擇設定Office 365目錄同步服務（Office 365 Directory Synchronization，DirSync）、或是手動輸入所有MailUser的使用者。<a href="https://docs.microsoft.com/zh-tw/office365/enterprise/deploy-office-365-directory-synchronization-dirsync-in-microsoft-azure" target="_blank">微軟也提供線上文件</a>，提供沒有DirSync者在Microsoft Azure中部署DirSync，以及<a href="https://docs.microsoft.com/zh-tw/Exchange/recipients-in-exchange-online/manage-mail-users#use-directory-synchronization-to-manage-mail-users-in-exchange-online" target="_blank">如何手動輸入郵件使用者</a>。</p> <p>完成上述準備工作後，企業管理員即可在Exchange 管理員工中心（EAC）循指示輸入收信者、建立搬移批次作業及其他程序，將G Suite（Gmail）的信件、行事曆和聯絡人資訊搬到Exchange Online上。<a href="https://www.zdnet.com/article/microsoft-starts-rolling-out-google-g-suite-to-office-365-migration-tools/" target="_blank">ZDNet引述微軟指出</a>，這項工具未來幾周內會部署完成。</p> <p><a href="https://tools.google.com/dlpage/exchangemigration" target="_blank">Google當然也提供了類似的工具</a>，可以將Exchange的郵件、行事曆、公用資料匣等文件搬到G Suite上。</p> </div></div></div>
2019/4/22 14:46作者林妍溱https://www.ithome.com.tw/news/130140
紐約否認在地鐵站裝設臉部辨識系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紐約大都會運輸管理局（Metropolitan Transportation Authority，MTA）上周否認有在地鐵站裝置具臉部辨識能力的攝影機，只是用來嚇唬有逃票念頭的人。</p> <p>MTA是在推特上<a href="https://twitter.com/aliceafung/status/1118958655397875719" target="_blank">回覆</a>紐約時報記者的提問時做出上述說明。該名記者在紐約地鐵時代廣場站拍攝到播放監視攝影機影像的監視器畫面，上面除了清楚拍攝到進出車廂的旅客臉孔，並有類似臉部辨識的綠色標示框格，似乎在分析人臉特徵，同時還有「正在錄影」的字句，以及顯示為韓國保全攝影機Wisenet的字樣。紐時記者向MTA提問將這些影像分享給了誰。</p> <p>Wisenet隷屬於韓國韓華集團（Hanwha）。韓華集團業務遍及化工、建築、保險、金融、醫藥、零售、飯店等，2017年買下三星影像監控分析子公司Techwin，並取得Wisenet品牌攝影機。Techwin以提供影像的臉部辨識分析知名。</p> <p>The Verge<a href="https://www.theverge.com/2019/4/19/18507552/mta-nyc-subway-times-square-fare-evasion-cameras-facial-recognition" target="_blank">引述</a>MTA發言人Maxwell Young聲明指出，時代廣場的監視器畫面，只是為了嚇唬那些想逃票的旅客，如果民眾看到自己上了螢幕，就比較不敢放肆。他重申，紐約地鐵的攝影機絕對沒有任何臉部辨識元件、軟體或任何可用來自動辨識民眾身份的技術，而且未來也沒有計畫為這些攝影機加入臉部辨識軟體。</p> <p>不過，媒體發現紐約當局已在紐約廣布數千台攝影機。上周刊出的<a href="https://www.nytimes.com/interactive/2019/04/16/opinion/facial-recognition-new-york-city.html" target="_blank">紐時專題報導</a>，中曼哈頓的布萊恩公園一家餐廳屋頂有三台攝影機不間斷拍攝在那吃午餐的人、路過的上班族和觀光客，影像也被公開播映，只要花100美元改造，即可變成一部臉部辨識監控系統。紐時只需搭配網站公開相片，利用這些影像就可以查出一名路人的身分是某大學教授。報導還引述一份研究宣稱，美國成人有50%的機會已經被合法收錄在美國警方的臉部辨識資料庫中。</p> <p>近來各界擔心臉部辨識成為國家濫用權力的手段。微軟上周<a href="https://www.ithome.com.tw/news/130062" target="_blank">表示</a>曾拒絕把臉部辨識技術賣給警方，理由是因為技術訓練的偏差，可能對女性及有色人種造成誤判而損及人權。此外微軟也基於可能戕害集會自由，而回絕掉臉部辨識技術整合在城市街頭攝影機的案子。另外，AWS股東也<a href="https://www.ithome.com.tw/news/129877" target="_blank">計畫</a>在5月股東大會上否決AWS將臉部辨識技術Rekognition 賣給政府。</p> </div></div></div>
2019/4/22 12:10作者林妍溱https://www.ithome.com.tw/news/130138
英國政府資訊現在問Alexa和Google Assistant也行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://www.gov.uk/government/news/government-uses-alexa-and-google-home-to-make-services-easier-to-access">英國政府宣布利用Alexa和Google語音助理，來讓民眾更容易取得數位服務資訊</a>，6個月前，來自英國政府數位服務部門的專家團隊，開始開發讓民眾能夠不用電腦就能取得政府資訊的測試計畫，這項計畫的目標即是要幫助民眾更容易取得政府服務，民眾可以用家中的智慧音響，透過搭載的AI語音助理，詢問與政府機關相關的問題，像是「我要如何辦理護照」、「我幾歲可以退休」等問題。</p> <p>英國民眾可以詢問Alexa許多問題，例如，銀行下一個休假日期、國家基本薪資多少，民眾也能詢問Google Assistant像是如何得到免費兒童照護等問題，英國政府網站的負責人Jennifer Allum表示，英國政府期望簡化民眾與政府的互動，並且使政府資訊變得更加明確、更容易取得，這項計畫將能夠提供民眾非常簡便取得資訊的方式，特別是針對不太會使用電腦和手機的使用者。未來還會有更多政府服務支援語音取得的方式，包含更新汽車税、結婚流程的細節等資訊。</p> </div></div></div>
2019/4/22 11:23作者何維涓https://www.ithome.com.tw/news/130117
墨西哥大使館近5000份公民護照等文件遭駭客公佈於網路上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>墨西哥駐瓜地馬拉大使館4870份關於墨西哥公民的機密資訊，包括護照、出生證明及大使館員工資料<a href="https://www.engadget.com/2019/04/19/mexico-embassy-guatemala-hack-leaked-documents/" target="_blank">遭駭客公佈於網路上</a>，只為了警告系統有漏洞。</p> <p>代號為Taylor（0x55Taylor）的駭客，透過推特<a href="https://twitter.com/0x55Taylor/status/1117702896752181248" target="_blank">公開</a>記錄了墨西哥公民資料及數千份紀錄的網址。雖然文件已經由代管網站移除，但駭客隨後向TechCrunch<a href="https://techcrunch.com/2019/04/19/mexican-embassy-hack/" target="_blank">公佈</a>這批文件。</p> <p>Techcrunch引述這名駭客指出，這批文件是來自墨西哥大使館位於瓜地馬拉一台有漏洞的伺服器。他入侵伺服器後下載了「所有文件和資料」並通知墨西哥大使館，但後者並不理會。他說為了警告大使館方面絕對不要輕易有能力存取機密資料的人而公布這批文件。</p> <p>遭洩露的文件中有許多被標為「機密」，包括上千份墨西哥公民的簽證、護照掃瞄檔、出生、死亡證明及和墨西哥公民入監有關的資料、信用卡正反面掃瞄檔、也有部份瓜地馬拉公民的文件。此外，駭客也洩露了數十份大使館的文件，包括告知外交權、特權及豁免權等權利的文件、與其他大使館往來文件檔案，以及員工的醫療支出、年假、請假與車牌號碼等資訊。</p> <p>此外駭客宣稱他也公佈了可能是屬於大使館員工的電子郵件信箱和密碼。駭客將所有資料包在一個壓縮檔供大眾下載，不過這個檔案已經由雲端代管業者移除。</p> <p>由於事發期間遇到墨西哥節日，因此報導並未取得墨西哥官方說法。</p> </div></div></div>
2019/4/22 11:40作者林妍溱https://www.ithome.com.tw/news/130137
微軟買下即時作業系統開發商Express Logic
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2019/04/18/microsoft-acquires-express-logic-accelerating-iot-development-for-billions-of-devices-at-scale/" target="_blank">微軟宣布</a>已買下即時作業系統開發商Express Logic，可望協助微軟壯大IoT版圖並與Azure Sphere互補。</p> <p>成立於23年前的Express Logic，專門替嵌入式與IoT裝置打造即時作業系統（real time operating systems，RTOS）與中介軟體，該公司所打造的ThreadX RTOS 迄今被部署在62億個裝置上，這些裝置可能是燈泡感應器、溫度感應器、醫療裝置或是網路裝置。RTOS主要被應用在資源有限的環境中，就算是電池容量很低或是只有不到64K的記憶體都能採用Express Logic的解決方案。</p> <p>負責Azure IoT的微軟總監Sam George表示，併購Express Logic將允許微軟存取數十億個連網終端，擴大可無縫連至Azure的裝置數量，繼而啟用新的智慧能力，而ThreadX RTOS的加入同時也能壯大Azure Sphere生態體系。</p> <p>根據微軟的規畫，未來ThreadX RTOS將成為Azure Sphere裝置即時處理需求的選項之一，且在IoT解決方案呼叫邊緣運算能力時，也能允許ThreadX RTOS裝置連結Azure IoT Edge裝置。</p> <p>此外，儘管微軟把Azure Sphere稱作最安全的雲端連結管道，但它並不支援資源高度受限的裝置，屆時微軟就會直接推薦具備額外認證及可直接連結Azure IoT Hub的ThreadX RTOS。</p> <p>雙方並未公布交易金額，僅說ThreadX RTOS、相關軟體技術與Express Logic工程團隊將即刻加入微軟。</p> </div></div></div>
2019/4/22 10:35作者陳曉莉https://www.ithome.com.tw/news/130118
Ubuntu 19.04出爐！使用最新GNOME 3.32還支援豐富程式開發工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.ubuntu.com/2019/04/18/open-infrastructure-developer-desktop-and-iot-are-the-focus-for-ubuntu-19-04">Canonical宣布釋出最新的Ubuntu作業系統19.04（Disco Dingo）</a>，使用Linux 5.0核心，但是增加了Nvidia GPU驅動程式自動安裝機制，並且使用最新版本的GNOME 3.32。不過這個版本並非長期支援版本，支援只到2020年1月，要用於建構生產系統仍建議使用長期支援版本Ubuntu 18.04，其支援時間到2023年4月。</p> <p>GNOME 3.32的圖標類型以及GTK主題都有更多變化的顏色選擇。圖標樣式走平坦幾何風格，並且為順利支援第三方圖標，將不再內建陰影，而GNOME GTK主題不只在顏色圖標顏色改變，標題列以及按鈕的顏色更亮，按鈕的邊緣也不再是實線而是陰影。應用程式選單的概念也從Gnome應用程式核心移除，內容被移到應用程式內主選單。</p> <p>GNOME殼層運作的速度也更快了，由於其底層的資料結構更新，使得動畫、圖標網格和頂端面板顯示更快速，開發團隊也從軟體流程主迴圈中，拿掉了一些會造成可察覺停頓的阻擋性操作，使得介面操作更加流暢，整體CPU與GPU的工作負擔下降。</p> <p>Linux 5.0核心則提供了一些有用的更新，包括支援AMD Radeon RX Vega M GPU以及英特爾Cannonlake圖像處理，還改進了USB 3.2與Type-C介面的支援，在節能方面現在也表現得更好了。</p> <p>Ubuntu 19.04現在能提供Nvidia GPU用戶更好的使用體驗，當系統偵測到使用者的電腦裝有Nvidia GPU顯示卡，將會自動尋找並安裝最適合的Nvidia專有驅動程式，這項小改進將能提升使用Linux的電腦遊戲玩家體驗，這項更新在所有Ubuntu 19.04 Disco Dingo衍生發布版本都有，唯一例外是Lubuntu。</p> <p>不過，Ubuntu 19.04安裝第三方驅動程式有一個已知的臭蟲，在安裝程式啟動繼續安裝之前，需要等待的時間很長，目前官方尚未修復該問題。</p> <p>Canonical為Ubuntu 19.04添加豐富的開發工具，除了最近微軟的Visual Studio被打包成Snap可以使用外，Ubuntu還有一些新的開發工具，熱門開發語言支援Ruby 2.5.5、PHP 7.2.15、Python 3.7.3，而Go語言則支援到1.10.4，還有OpenJDK 11以及Rust 1.31等。而且在19.04中，還可以在CI/CD、測試和各階段，以相同的Snap安裝多個實例，也就是說，可以同時安裝兩個不同版本的同一資料庫，或是兩個版本的Go編譯器。</p> <p>在Ubuntu伺服器版本上，支援了剛發布的OpenStack版本Stein，而容器管理系統Kubernetes則支援1.14。Canonical在所有主要的公有雲服務上，提供了經最佳化的Ubuntu Server 19.04和Minimal Ubuntu 19.04映像檔。</p> </div></div></div>
2019/4/22 10:50作者李建興https://www.ithome.com.tw/news/130107
GCP一站式資安管理平臺Cloud SCC正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為幫助企業快速簡單地掌握GCP服務上的安全狀態，<a href="https://cloud.google.com/blog/products/identity-security/getting-started-with-cloud-security-command-center">Google發布了雲端安全指揮中心（Cloud Security Command Center，Cloud SCC），現在該平臺已進入正式版本</a>，加入了事件威脅偵測以及安全健康分析功能，提供用戶更多手段，可以在安全事件發生前，先行修補弱點。</p> <p>Cloud SCC能讓企業使用單一介面預防、偵測和回應安全威脅，找出配置錯誤的虛擬機器、網路、應用程式和儲存，並希望於損壞真正發生之前，得以先行修補。Cloud SCC內建的威脅偵測服務，可以快速顯示可疑活動，或是存在漏洞的資源，其保護的範圍包括App Engine、BigQuery、IAM政策與Compute Engine等GCP服務。</p> <p>現在Cloud SCC加入了一個Alpha測試功能安全健康分析（Security Health Analytics），可以讓企業用來評估虛擬機器、網路和儲存的整體安全狀態與活動，對公開儲存桶、開啟的防火牆或是老舊的加密金鑰進行詳細的查看。雲端安全掃描器（Cloud Security Scanner）也可以幫助用戶預先掌握程式碼的風險，該功能可以檢測App Engine應用程式中的跨站腳本、明文密碼和過時函式庫等風險，過去只支援App Engine，但現在擴展可以支援GKE和Compute Engine。</p> <p>另一個新功能事件威脅偵測（Event Threat Detection），則可以掃描用戶的Stackdriver安全日誌，抓出雲端環境中風險較高的指標，並對為數龐大的日誌進行排序，助使用者按風險等級修復問題。Google提到，他們在事件威脅偵測應用智慧偵測以及Google安全瀏覽技術，可以主動抓出惡意程式、挖礦程式、DDoS或是未經授權的GCP存取等安全威脅。</p> <p>Cloud SCC還整合了多項GCP安全工具，包括Access Transparency、Binary Authorization、Cloud DLP API與Forseti，企業釣魚防護的回報網址，除了會直接應用到Google安全瀏覽技術外，也會同時在Cloud SCC 儀表板顯示結果。</p> </div></div></div>
2019/4/22 10:55作者李建興https://www.ithome.com.tw/news/130110
法國打造政府機關專用傳訊程式Tchap，隔天就被找到漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國為了加強政府機關之間的通訊安全，採用開源的端對端加密通訊協定Matrix打造了<a href="https://www.numerique.gouv.fr/espace-presse/lancement-de-tchap-la-messagerie-instantanee-des-agents-de-letat/" target="_blank">Tchap傳訊程式</a>，同時規定只有使用政府機關的電子郵件帳號才能註冊，並在4月17日於App Store及Google Play上釋出了Tchap測試版，然而，法國的資安研究人員Baptiste Robert（網名Elliot Alderson‏）隔天就<a href="https://medium.com/@fs0c131y/tchap-the-super-not-secure-app-of-the-french-government-84b31517d144?sk=59e15e44ba75dd78d7248262a4c8f0b7" target="_blank">找到了Tchap的安全漏洞</a>，成功註冊了Tchap帳號，滲透Tchap的群組聊天室。</p> <p>Tchap專案的目的在於打造一個端對端加密的安全通訊平台，既有行動程式，也可自網頁登入，所分享的附加檔案需經防毒軟體掃描，而且存放在法國。該專案是由法國的國家數位訊息通訊部（DINSIC）主導，並在資訊系統安全局（ANSSI）、軍隊部與外交部的通力合作下完成，打算作為法國所有政府機關的專用傳訊程式，也會允許外部的合作單位加入，歷經了數月以及數千名官員的內部測試，甫於日前釋出了測試版。</p> <p>至於法國安全研究人員Baptiste Robert則是在隔天下載了Tchap，發現它必須要使用@gouv.fr或@elysee.fr等政府機構的郵件信箱才能註冊，於是他搜尋了某個政府官員的電子郵件信箱，再加上自己的電子郵件信箱，如「<a href="mailto:[email protected]">[email protected]</a>@<a href="mailto:[email protected]">[email protected]</a>」然後就在自己的郵件信箱收到註冊信了。</p> <p>成功註冊Tchap的Robert，還潛入了該平台上的多個公開聊天室。</p> <p>儘管接到Robert通知的Matrix，很快就<a href="https://matrix.org/blog/2019/04/18/security-update-sydent-1-0-2/" target="_blank">修補</a>了該協定用來驗證電子郵件位址的身分伺服器Sydent，但已讓法國政府臉上無光。</p> <p>法國政府則說將會持續改善Tchap測試版，也會聽取外部專家的意見，而且已準備推出針對Tchap的抓漏獎勵計畫。</p> </div></div></div>
2019/4/22 11:00作者陳曉莉https://www.ithome.com.tw/news/130136
Eclipse基金會IoT開發者大調查：安全性仍是開發者最關注議題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Eclipse基金會物聯網工作小組釋出第五年的<a href="https://drive.google.com/file/d/17WEobD5Etfw5JnoKC1g4IME_XCtPNGGc/view">全球物聯網開發人員調查</a>，參與調查的開發人員有1,717人，根據調查結果，Eclipse基金會認為，整體來說物聯網已經是更為實際的技術，企業開始投入人力發展物聯網專案，有三分之二的受訪者表示，自己的組織正在進行或是在未來18個月內，會開發或是部署物聯網解決方案，僅有9％的受訪者表示，組織目前沒有開發物聯網解決方案的計畫。</p> <p>受訪者關注物聯網的領域，第一名是物聯網平臺，接下來是家庭自動化以及工業自動化，在過去幾年，物聯網平臺也一直是物聯網開發人員的關注焦點，Eclipse基金會提到，這暗示著企業將投入資源建立自己的物聯網平臺，而由於企業要在自建機房運作物聯網解決方案，因此也代表著混合雲會在物聯網應用發光發熱。</p> <p>對於開發物聯網專案來說，開發人員最關心的議題仍然是安全，在通訊安全和資料加密兩項都有38％的受訪者覺得重要，而JWTs（JSON Web Tokens）則也有26％，另外，值得注意得是，虛擬化在物聯網應用的安全上也逐漸受到關注。</p> <p>從物聯網使用的作業系統與硬體來看，在閘道器上有76％受訪者使用Linux，Windows則有52％，而在物聯網閘道器使用的處理器上，Arm表現則強壓英特爾，Arm占70％，而英特爾則有42％。</p> <p>在通訊協定上，HTTP仍然是最大宗，有49％的受訪者在物聯網專案中使用，而輕量級訊息協定MQTT（Message Queuing Telemetry Transport）也有42％，Websockets為第三名26％。開發人員在物聯網專案使用的程式語言，依據使用的裝置有所區別，在受限裝置（Constrained Devices）最受歡迎的是C語言，而在閘道器或是雲端則是由Java贏得兩個類別的第一名，其他受歡迎的程式語言，還包括C++、JavaScript與Python。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/refine_FireShot%20Capture%20284%20-%20IoT%20Developer%20Survey%202019%20Reportpdf%20-%20Google%20%E9%9B%B2%E7%AB%AF%E7%A1%AC%E7%A2%9F%20-%20drivegooglecom.jpg" style="width: 600px;" /></p> <p>而開發環境則有46％的受訪者使用Eclipse桌面IDE，第二名是Visual Studio Code的32％，而第三名則是Notepad++ 26%，Eclipse基金會提到，Visual Studio Code的表現出色，受歡迎的程度年年上升，從最一開始的23％，成長到現在的32％。</p> <p>在雲端平臺的選擇上，34％的受訪者使用AWS，Azure為23％，GCP緊追在後20％，Eclipse基金會提到，如預期的，這個排名與去年相同，而且比例與這三個平臺在雲端市場的分布表現一致。</p> </div></div></div>
2019/4/22 11:00作者李建興https://www.ithome.com.tw/news/130113
如何確保自駕車上路的安全性？國際車輛安全認證商Ricardo：自駕車業者得落實產品與程序兩大安全性，以佐證自駕車安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣自駕車監理沙盒法2019年正式上路後，終於能讓自駕車業者合法上路測試自己的自駕車，但是該如何說服主管機關他們的自駕車是安全的，已經可以上路測試，同時也讓社會大眾也能夠接受自駕車的安全無虞，也成為了自駕車能不能上路的一大關鍵。</p> <p>「我們永遠無法保證自駕車已經百分之百安全。」專門提供交通運輸設備獨立認證與安全性評估的國際車輛安全認證商雷卡多（Ricardo）臺灣分公司顧問許有廷直言，即使是一般駕駛汽車都無法做到完全無風險，更何況是無人駕駛的自駕車，如何確保自駕車或系統安全性更是一大艱困挑戰。</p> <p>有別於傳統汽車的安全要求，許有廷指出，自駕車的安全挑戰在於，它是無人行駛，尤其必須在開放場域，或是實際道路試驗或駕駛，得面對各種複雜的交通環境，尤其是機車穿梭的臺灣，要把所有安全條件都考慮並且測試完是極其困難的。再加上目前仍缺乏一套自駕車專用的車規認證規範，如自駕車系統、地圖定位或感測器等，對於自駕車安全規範的挑戰難度更大。</p> <p>雖然目前國際還沒一套自駕車專用的安全規範，但是許有廷強調，自駕車安全性的建立，仍可採用一些現有車輛安全評估方式，來做為自駕車安全規範的參考依據，以降低自駕車上路測試可能帶來的安全風險。</p> <p>他也以現有大眾運輸產業已經被廣為採用的風險基礎方法（Risk-Based Approach, RBA），來說明透過風險分析，自駕車業者可排定風險的優先順序，以提供後續建立自駕車安全的行動基礎，例如將重大傷亡的高風險安全優先考慮完成，找出對應這些可能造成傷亡問題的關鍵解法，再確認這些方式有被正確的施行在設計之中，並逐一排除風險，透過這樣的方式可以有效降低自駕車上路風險帶來的安全危害。</p> <p>許有廷也建議，不論是政府或自駕車業者，在建立自駕車的安全規範時，仍可參考一些現行車輛安全規範的經驗，比如在汽車產業有汽車電子功能安全的ISO 26262標準，或在鐵路產業上則有歐盟鐵路應用標準EN 50126等，他表示，這些產業都對於車輛安全工作已提供完整且清楚的描述，可以做為自駕車安全的參考。</p> <p>他表示，目前自駕車上路的挑戰在於，自駕車的供應商必須說服主管機關他們的系統是安全的，而主管機關也得說服社會大眾自駕車的安全無虞，因此必須提出可信的證據，以佐證自駕系統的產品及安全性，包括產品與程序層面兩大證據。</p> <p>首先，在產品層面的證據上，他表示，優先得要確保自駕車系統內的危害已經能清楚辨識，並且能被適當的控制住，以及被驗證審查，並且在不同應用層面通過安全性測試，才能證明這個系統的安全性是可以被接受的，才算是達到將概念性的系統轉化為可靠、安全且機能完善的產品。</p> <p>另在程序層面的證據上，也得確保系統開發流程是合乎程序，包括自駕車製造商須具備開發自駕系統的專業技能，並採用汽車業界開發流程做為主要參考依據，如ISO 26262標準等，以及在流程的不同階段進行審查與評估等。</p> <p>不只是自駕車安全的保護，他也強調自駕車資安防護的重要性。因為自駕車本身會連網，因此也存在網路攻擊等資安風險，他表示，自駕車業者在設計自駕車產品時，也必須考量到如何保護自動駕駛車輛的各種脆弱安全介面，包括應設立更嚴格設計、製造與測試的安全流程架構，落實徹底定義、了解產品與應用環境，還須建立良好的危害辨識與風險風分析、完善的設計流程與品管架構，並逐步模擬與測試（如SIL、HIL、VEHIL等），同時也要逐步建立信心並增加環境的複雜性。</p> <p>他也以V-model系統發展生命周期為例，來說明建立自駕車系統安全的每一個步驟，都應基於對於前一步驟的理解，並且於不同的自動駕駛車輛的安全性進行確認，包括機能面、技術面以及測試面的，同時採行適合分階段模擬測試與驗證策略，以避免無止盡測試後，仍無法確認車輛安全性。</p> </div></div></div>
2019/4/22 08:47作者余至浩https://www.ithome.com.tw/news/130116
瀏覽器裡的3D建模師
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為一個3D列印及建模的業餘愛好者，關注不同建模軟體的特性是自然之事，最近發現一個能在瀏覽器上運行的3D雕塑軟體，畫面流暢性令人驚訝，我也留意到該網頁的標題為「A WebGL sculpting app」？為什麼是WebGL？</p> <p><span style="font-size:28px;"><span style="color:#000000;"><strong>瀏覽器中的建模軟體</strong></span></span></p> <p>玩弄3D列印與建模至今，不覺已經有近四年的時間，作為一名程式開發者，當初首選程式碼作為建模的表達方式，因而使用OpenSCAD作為建模軟體，但在建模軟體的光譜中，它是一個極端，因為它完全依賴程式碼來建立模型，使用者的滑鼠操作對於移動、調整模型而言，是沒有作用的。</p> <p>OpenSCAD適合基於立方體、圓柱體、球體等幾何體的組合建模，但如果想要建構柔軟的曲線面，找出相對應的數學公式會是比較困難的，因而近來我將目光望向了光譜的另一端──3D雕塑軟體。這類軟體的起點，通常是個代表泥塊的圓球，幾乎完全依賴滑鼠塑形為想要的模型。</p> <p>這類3D雕塑軟體的代表，包括了功能強大的商用軟體ZBrush，或者是開放自由的Sculptris，由於通常被泥塑的對象需要細緻的網格（Mesh），在這些部分逐漸龐多而複雜之後，在繪圖呈現上就會是個負擔。然而，不久前，我發現基於瀏覽器的SculptGL（<a href="https://bit.ly/2fur76q">https://bit.ly/2fur76q</a>），雖然也是個雕塑軟體，在瀏覽器中執行的流暢性，卻令人訝異。</p> <p>簡單來說，SculptGL是基於WebGL的網頁應用程式，實際上，OpenSCAD也有瀏覽器的移植版OpenJSCAD（<a href="https://openjscad.org">https://openjscad.org</a>），可使用JavaScript建模，同時，也有採用積木語言來建模的BlockSCAD（<a href="https://bit.ly/2tYKEBo">https://bit.ly/2tYKEBo</a>），我仔細調查了一下，它們在3D繪圖上也都是基於WebGL。</p> <p>在更專業的建模軟體部份，著名的SketchUp於2018年推出基於瀏覽器的免費版本；跨平臺2D/3D遊戲引擎Unity，在Unity5時，也延伸到基於WebGL技術的HTML5網頁平臺……我不禁好奇了，WebGL是什麼神器？目前瀏覽器的支援度，以及相關工具的成熟度到哪了？</p> <p><span style="font-size:28px;"><strong>瀏覽器裡的OpenGL？</strong></span></p> <p>根據維基百科的記載，WebGL在2011年3月首次發布規範，2017年1月完成2.0規範，至今各大主流瀏覽器的新版本都有支援，連IE11都有支援（儘管微軟官方已說IE只是個相容性方案了）。</p> <p>就功能而言，WebGL是基於OpenGL ES（OpenGL for Embedded Systems），是OpenGL的嵌入式系統特化版本。瀏覽器可以透過WebGL，將大部份的繪圖渲染運算，送進專司影像運算的圖形處理器（GPU），從而增加瀏覽器上的繪圖效率。</p> <p>就運用方式來說，WebGL常被誤解為一套JavaScript API，實際上，除了JavaScript語言，以及封裝OpenGL ES的JavaScript API之外，想要使用WebGL，同時還需要瞭解GLSL（OpenGL Shading Language）──這是一個類似C語言的著色語言，開發者需要使用GLSL撰寫著色器（Shader）程式，透過JavaScript API編譯並送入GPU，而JavaScript語言則負責繪圖以外的運算工作，並將繪圖需要的資料透過API送給著色器來渲染。</p> <p>實際上，WebGL本身不複雜，一般人初學這項技術時，主要是面對頂點著色器（Vertex shader），以及片段著色器（Fragment shader），前者主要負責頂點的運算，將頂點對應至畫面上的二維座標；後者則是計算出需要繪製的像素顏色值，最簡單的繪製是一個點，其次是線，然後是三角形，之後更複雜的圖形，就要自己想辦法用三角形組成了，而處理這類細節會比較麻煩，複雜的部份往往涉及艱深的圖學與數學。</p> <p>簡單來說，WebGL是個柵格化（Rasterization）引擎，它只關心兩件事：空間中的座標及顏色。例如，繪製三角形，必須計算出三個頂點於二維畫面上的位置，然後對這三個點圍起的三角形做像素填充，這就是頂點著色器與片段著色器的作用，想要認識WebGL，〈WebGL Fundamentals〉（<a href="https://bit.ly/1TgmSbk">https://bit.ly/1TgmSbk</a>）是個不錯而全面的網站。</p> <p>而在該網站第一篇文件中，就談到「WebGL實際上是個很簡單的API」，這並不誇大，它需要的部分，就是頂點著色器、片段著色器，以便繪製點、線、三角形。如果需要對整個圖形做平移、旋轉、變形等，開發者必須自己來，也就是說，要回歸到對電腦圖學的認識。</p> <p><span style="font-size:28px;"><strong>WebGL的夥伴們</strong></span></p> <p>當然，直接編寫WebGL相關程式碼，本身還是充滿細節而比較枯燥，對於常用的繪圖需求，封裝為程式庫是必要的，時至今日，確實有著不少封裝WebGL、提供高階操作的程式庫，而其中最有名的就是Three.js。</p> <p>雖然Three.js本身也有不少的類別與函式，其核心概念卻很簡單。程式庫本身的隱喻，就像是在搭建舞臺，有個場景作為容器，可以加入網格物件、燈光等，相機則決定了場景中哪些物件是可見的，渲染器則會根據相機看到的東西，計算出場景中的物件應當如何渲染，而最常使用的渲染器，就是WebGLRenderer（也有基於SVG等的渲染器）。</p> <p>Three.js中的網格物件，是由幾何（Geometry），以及材質（Material）物件組成──根據程式碼中指定的幾何物件資訊（例如立方體的長寬高），會自動計算出相關頂點；而材質會與燈光等物件結合，運算出應有的顏色；對於大量物件的高效率繪製，Three.js也提供了粒子系統的支援。掌握這些基本概念之後，剩下的就是挑選出Three.js中適當的API，例如，正交或投影相機、基礎或法向材質等來繪製出想要達到的效果。</p> <p>除了作為動畫、遊戲基礎之外，Three.js也可結合ThreeBSP的擴充，進行聯集、交集、減集等操作，而這可用來建立類似OpenSCAD，也就是一套可以運行於瀏覽器中的建模軟體。如果想要系統性地學習Three.js，可以參考《Learning Three.js: The JavaScript 3D Library for WebGL》。</p> <p>當然，WebGL可以繪製3D，要用來繪製2D圖形自然不成問題，基於WebGL的2D程式庫，最常見的是PixiJS。相較於直接基於Canvas API或SVG的程式庫（例如D3.js），PixiJS這類程式庫在大量資料呈現，會有效能優勢。</p> <p>除了Three.js、Pixi.js，還有其他基於WebGL的程式庫，有些進一步整合了動畫或遊戲的功能，有興趣的話，可以參考〈3D探索──Web 3D哪家強？〉（<a href="https://bit.ly/2XOoBei">https://bit.ly/2XOoBei</a>），其中針對了各家程式庫在2D/3D WebGL的支援等做了比較。</p> <p><span style="font-size:28px;"><strong>實踐圖學與數學</strong></span></p> <p>雖然不用處理細節，然而在運用Three.js這類封裝WebGL的程式庫時，有圖學與幾何數學作為基礎非常有用，實際上Three.js也允許自訂頂點，必要時也可基於三角形來定義更複雜的圖形，這讓我想到先前為OpenSCAD打造程式庫時，也曾自行定義三角形，來實作出貝茲曲面、路徑跟隨（Sweep）或者是處理頂點等功能。</p> <p>現今可選的WebGL程式庫繁多，但能從中實踐圖學與數學才是重點，就算直接面對WebGL也不例外，我在研究WebGL的過程中，意識到GLSL實作著色器，實際上就是操作點、線、三角形之後，雖然先前玩OpenSCAD是為了建模，然而累積的相關圖學與數學技巧，在理解與撰寫WebGL時就派上用場，而這類可過渡的知識才是真正有價值的地方！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/3d%E5%9C%96%E5%83%8F">3D圖像</a></div><div class="field-item odd"><a href="/tags/openscad">OpenSCAD</a></div><div class="field-item even"><a href="/tags/%E7%80%8F%E8%A6%BD%E5%99%A8">瀏覽器</a></div></div></div>
2019/4/21 12:00作者林信良https://www.ithome.com.tw/voice/129982
【資安框架】NIST CSF 1.1：英美各國政府和一般企業都相繼採用的網路安全框架
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nist.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">iThome</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於許多企業來說，資訊安全的工作，要從何做起，恐怕是個難題。若是有個淺顯易懂的指引，讓企業能夠參考，便能降低著手執行的門檻。為了強化關鍵基礎設施的資訊安全，美國政府制訂的網路安全框架（Cybersecurity Framework，CSF），其內容涵蓋一般網路環境中，需要執行資安防護的面向，雖然推出才5年，如今，不只美國聯邦政府自己廣泛應用，英國、義大利、以色列、日本等國的公部門與企業，也導入了這個框架，管控網路環境的資訊安全。</p> <p>這個網路安全框架的起源，來自於美國前總統歐巴馬2013年2月時，所發布的第13636號行政命令（EO），為了改善關鍵基礎設施的網路安全，下令國家標準暨技術研究院（NIST）根據現有的標準與指南，訂立一套可供相關單位採用的資安框架，能夠藉此強化網路安全。</p> <p><span style="font-size:28px;"><strong>不只關鍵基礎設施，企業也相繼採用</strong></span></p> <p>隨後，在2013年7月，NIST首度推出了該框架的草案，並於2014年2月發布1.0正式版本，接著在同年的12月，該國制訂了網路安全強化法案，使得NIST在執行前述歐巴馬發布的行政命令中，扮演了更加重要的角色。</p> <p>直到去年4月，NIST彙集已採用的企業與單位所回饋的意見後，發表了4年以來CSF的重大改版──1.1版，主要強化4大面向的內容，包含了身分驗證與識別，再者是資安風險的自我評估，以及管控供應鏈的網路安全，最後，則是有關弱點察覺的部分。</p> <p>雖然當初CSF所適用的對象，是針對美國關鍵基礎設施的資訊安全而來，不過，NIST制訂的這套網路安全框架，也同樣能運用於企業環境，因此，根據市場調查公司Gartner的研究，該框架自1.0版推出一年之後， 2015年美國約有三成組織導入，他們預估2020年時，會有一半的美國企業，使用CSF管理資訊安全的風險。</p> <p>嚴格來說，NIST這套網路安全框架並非具有強制性的法規，但在2017年時，現任美國總統川普頒布新的行政命令，要求聯邦政府必須導入，但對企業而言，CSF仍是選擇性採用。</p> <p>在導入資安框架的過程中，CSF提供了最重要的檢核範圍與項目，不過，實務上企業利用這套框架時，首先還是要重新觀察自身的資安態勢，找出需要改善的地方，並且設定階段性目標，最後執行相關的計畫，完成後，企業需要檢視成果，然後再進行第二階段的改善周期。</p> <p><span style="font-size:28px;"><strong>核心就是資安工作檢核表</strong></span></p> <p>從CSF的組成元素來看，主要包含了框架核心（Framework Core）、框架執行的層級（Framework Tiers），還有框架組態（Framework Profiles）等3種。以功能的角度來說，這些要素的意義，分別是資安防護檢核表、落實程度，以及現況的描述。其中，能讓企業盤點所有資安防護的範圍，就是要透過框架核心，根據所列出的各個項目，檢視自身的現況。</p> <p>這個檢核表，主要欄位包含功能（Function）、類別（Category）及子類別（Subcategory）。同時，NIST針對檢核表裡的每個子類別，列出參考資訊（Informative References），供企業能根據指定的標準和指南裡的章節，規畫與執行相關的資安工作。這些參考資訊的來源，涵蓋了NIST自己推出的SP 800-53，與常見的ISO 27001:2013，也包括來自非營利組織網路安全中心（CIS），及國際自動化社群（ISA）所推出的指南，還有資訊治理框架COBIT等，換言之，企業藉由CSF框架的索引，便能快速找到需要參考的資料。</p> <p>上述檢核表中所列出的盤點項目，主要可歸納成5大功能面向──識別（Identify）、防禦措施（Protect）、偵測威脅機制（Detect）、攻擊因應（Respond），以及災害復原（Recover）等。這些大方向，主要是針對企業遭受攻擊的各個階段，也就是事前（識別和防禦）、事中（偵測），以及事後（因應和復原），所需採取的措施，進行探討。</p> <p>框架核心當中，又再細分成多種所需執行的類別，以識別這項功能而言，便區分為下列類別：資產管理（Asset Management）、生產力環境（Business Environment）、治理（Governance）、風險評估（Risk Assessment）、風險管理策略（Risk Management Strategy），以及供應鏈的風險管理（Supply Chain Risk Management）等。</p> <p>以資產管理而言，總共有6個子項目，分別是實體裝置的清查、軟體平臺與應用程式的盤點、資料流量的管理、資訊系統編目列管、資源調度的優先順序，以及與外部合作夥伴之間的所扮演的資安任務等。企業可逐項依據框架核心裡所列出的參考資訊，檢視自己的網路安全現況。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/informativeref%20_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_NIST.png" style="width: 500px;" /></p> <p><span style="color:#808080;"><strong>在NIST網路安全框架中，從5大資安功能類型裡面，再區分「類別」與「子類別」，子類別指的是需做到的事項，企業若要執行這些部分，要根據參考資訊所列出的文件，以便達成子類別的要求。</strong>圖片來源／NIST</span></p> <p><span style="font-size:28px;"><strong>依據執行的成熟度盤點，再擬定改進計畫，周而復始執行</strong></span></p> <p>有了框架核心這個檢核表，企業就要將每個項目現況的組態（Profile）詳實描述後登錄，進而評估單一項目執行的成熟層級（Tier）。</p> <p>在CSF中，執行層級由低到高，NIST總共區分為4個等級，從最低的層級1為部分實行（Partial）；其次層級2是已發覺風險（Risk Informed）；而成熟度較佳的層級3，代表的是現在的措施能夠重復執行（Repeatable）；至於層級4是最成熟的階段，稱做完全適應（Adaptive），不只代表企業的做法相當成熟，同時持續推動改善計畫，成為相當良好的執行循環。</p> <p>簡單來說，企業的終極目標，便是需要將CSF框架核心裡的所有適用項目，從現有的層級，提升到層級4之後，持續執行下去。然而，考量到企業擁有的資源和人力，想要一步登天，把所有的需要改進的項目同時到位，往往變成多頭馬車，難以兼顧，因此，在這個框架裡，也強調企業必須階段性執行，一次只針對其中的1到2個項目，提升資安層級。</p> <p>因此，企業在盤點了各個面向的執行現況後，接著，就要評估需要優先改進的項目，進而達到持續改善的最終目的。</p> <p>當企業正式實施改善措施之前，必須要執行詳細的評估流程。在安排需要執行項目的優先須序與涉及範圍後，接著要辨別威脅與弱點會影響的系統與資產。再者，就是要將前述的檢核表拿出來檢視，決定需要處理的風險，並且設定目標（Target Profile）。</p> <p>目標訂立之後，就要分析執行前後的落差，是否可行，確認完成之後，才真正的履行改進計畫。到了當初預定完成的時間之後，企業就要再度檢視資安狀態，進行下一輪的改善周期，達到持續精進的循環。<strong><a href="http://www.eslite.com/product.aspx?pgid=10099161842746130" target="_blank"><span style="color: rgb(178, 34, 34);">本文出自《iThome 2019臺灣資安年鑑》</span></a></strong></p> </div></div></div>
2019/4/21 09:00作者周峻佑https://www.ithome.com.tw/article/129614
一周大事：鴻海靠AI 找出含金量高的專利。小心研發工具成為機密洩露的管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size: 28px;"><strong>鴻海為何從一年三萬件專利銳減至六千件？要靠AI找出含金量高的專利來投資</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/ScienBiziP%20Japan%E6%9D%8E%E9%A6%99%E8%98%AD_%E7%BF%81%E8%8A%8A%E5%84%92%E6%94%9D.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(128, 128, 128);">攝影_</span><span style="color: rgb(105, 105, 105);">翁芊儒</span></p> <p>「以前都是拚量，但是發展AI大數據後，已經可以算出每件專利的品質跟價值，省掉很多浪費。」鴻海買下夏普後新創的日本子公司ScienBiziP Japan社長周延鵬，就專利研發分享未來布局與經驗時如此表示。專利的價值會在生命週期（Patent Life Cycle，PLC）的不同時間段中改變，從發明、申請維持到專利的產品化與貨幣化，透過大數據結合AI的分析，能讓PLC各階段的決策更精準。</p> <p>周延鵬指出，鴻海以前一年申請約3萬件專利，這幾年降到約6000件，但價值卻比以前提高很多。原因是用AI工具演算分析，呈現金額投入的成長，來減少獲利低的專利開發，並改變投資的配置。<a href="https://ithome.com.tw/news/129946" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>精品：高科技產業研發環境成為資料外洩的溫床</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/190320-RD%E5%A4%96%E6%B4%A9-%E7%B2%BE%E5%93%81%E7%A7%91%E6%8A%80%E9%99%B3%E4%BC%AF%E6%A6%86.jpg" style="width: 500px;" /></p> <p>針對現今以研發能量為後盾的高科技產業而言，公司核心價值面臨的各式威脅，可說是內憂外患，不只是來自外部駭客的攻擊，同時還有存在於內部的威脅。<a href="https://www.ithome.com.tw/news/129903" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Google將推出雲端託管AD服務，幫助用戶管理雲端Windows應用程式</strong></span></p> <p>Google在GCP推出新功能和服務，幫助開發者順利將Windows工作負載移到雲端，除了方便使用者可以使用既有的授權許可外，也以新的Managed Service支援AD存取管理，更提供免費的搬遷工具Velostrata。</p> <p>現在微軟的工作負載不一定要使用在Google雲端購買的按需授權許可，用戶可以使用原本的授權許可，對於單租戶節點來說，可以將Windows工作負載，放上專屬的實體Compute Engine伺服器上，在了解機器底層特徵後，再決定法遵與報告需要使用的授權許可。<a href="https://www.ithome.com.tw/news/129936" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>英國政府擬要求網站平臺負責移除有害內容，違者將處以天價罰金</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E7%B7%9A%E4%B8%8A%E5%82%B7%E5%AE%B3%E7%99%BD%E7%9A%AE%E6%9B%B8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%8B%B1%E5%9C%8B%E6%94%BF%E5%BA%9C.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_</span><span style="color:#696969;">英國政府</span></p> <p>英國政府於4月8日公佈，臉書、Google等社群網站及搜尋業者需負責移除線上有害內容或連結，未遵守者將處以如同GDPR同等級的天價罰金。<a href="https://www.ithome.com.tw/news/129858" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>微軟將Skype群組視訊人數上限提高到50人</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Skype%E7%BE%A4%E7%B5%84%E8%A6%96%E8%A8%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Skype.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_</span><span style="color:#696969;">Skype</span></p> <p>未來Skype的群組通訊將會更熱鬧了！微軟近日更新了Skype，將群組視訊及語音通訊服務的人數上限從25人提高到50人，雖然不及Line的200人，但將與Facebook Messenger所支援的群組通訊人數相當，也勝過Google Hangouts的25人及WhatsApp的4人。<a href="https://www.ithome.com.tw/news/129851" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>安碁實際展示Test Bed，打造OT實驗場域</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E5%AE%89%E7%A2%81%E5%B1%95%E7%A4%BA%E8%B3%87%E5%AE%89%E5%B7%A5%E6%A5%AD%E6%8E%A7%E5%88%B6%E6%B8%AC%E8%A9%A6%E5%B9%B3%E8%87%BA.jpg" style="width: 500px;" /></strong></span></p> <p>工業控制系統的資安問題，攸關國家的穩定與安危而備受重視。為了提升工控資安風險研究，臺灣已有資安業者積極投入，例如中華電信、趨勢科技、安碁資訊等，其中，安碁資訊在去年下半仿效國外打造工業控制系統實驗測試平臺（Testbed），針對實際攻擊進行驗證與漏洞挖掘，未來並可用於資安產品測試與教育訓練實作。<a href="https://www.ithome.com.tw/news/129872" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>臉書開源程式碼推薦工具Aroma</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Aroma_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%87%89%E6%9B%B8.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_</span><span style="color:#696969;">臉書</span></p> <p>臉書開源應用機器學習的程式碼推薦工具Aroma，能以程式碼搜尋程式碼的方式，幫助開發者針對特定任務，查詢其他開發者的處理方法，Aroma可以搜尋大型程式碼庫，並提供程式碼推薦結果，以加速開發者的開發效率。<a href="https://ithome.com.tw/news/129869" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Google更新機器學習開發套件ML Kit，新增支援智慧回覆與語言辨識功能</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_ML%20Kit_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_</span><font color="#696969">Google</font></p> <p>Google拓展了機器學習套件ML Kit的可應用情境，現在不僅提供圖像辨識功能，開始加入自然語言處理，提供智慧回覆（Smart Reply）與文字語言識別兩個新的API。<a href="https://www.ithome.com.tw/news/129829" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>GCP開始支援基礎設施即程式碼IaC</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_GCP_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google(1).jpg" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_</span><font color="#696969">Google</font></p> <p>Google現在為GCP使用者提供完整基礎設施即程式碼（Infrastructure as code，IaC）服務，讓使用者能以程式碼開發的方式，測試、自動應用以及審核雲端環境變更，現在GCP整合了熱門的IaC工具，使用者可以簡單地開始使用，Google提到，採用IaC原則能夠為大量成長的應用程式需求，打下穩固的基礎。<a href="https://www.ithome.com.tw/news/129844" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>歐盟將調查微軟產品是否侵犯GDPR</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%20GDPR%20_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%AD%90%E7%9B%9F.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_</span><font color="#696969">歐盟</font></p> <p>歐洲資料保護監管機關（European Data Protection Supervisor，EDPS）最近開始調查微軟與歐盟各組織之間的協議，以及歐盟組織所使用的微軟產品與服務，是否違反當地的資料保護規定，包括《歐盟通用資料保護規則》（GDPR）與Regulation 2018/1725。<a href="https://ithome.com.tw/news/129865" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>三星開始量產5G晶片</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_5G%E6%99%B6%E7%89%87_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E4%B8%89%E6%98%9F.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_</span><font color="#696969">三星</font></p> <p>三星宣布已經開始量產該公司的5G晶片，涵蓋數據機晶片Exynos Modem 5100、無線射頻收發晶片Exynos RF 5500，以及電源控制晶片Exynos SM 5800，這3款晶片皆同時支援5G NR的sub-6 GHz頻段及舊有的無線存取技術，宣稱可替行動裝置製造商提供5G時代的最佳通訊解決方案。<a href="https://www.ithome.com.tw/news/129836" target="_blank">更多內容</a></p> </div></div></div>
2019/4/21 09:00未署名https://www.ithome.com.tw/news/130047
近鐵倉儲IT二十年大改造，打通資料流迎戰多樣化客製難題
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2014年中秋夜，桃園機場旁近鐵運通新物流中心的機房燈火通明，人來人往，整夜都忙個不停。近鐵運通資訊部經理蔡文忠一點都不敢鬆懈，緊盯著作業人員和電腦螢幕。因為他們只有一個晚上的時間，就得將臺北總部資訊中心的所有系統，全都搬到桃園航空自由貿易港區內的新物流中心，還要順利上線，趕在隔天一早開始提供服務。</p> <p>以日商在臺經營跨國物流服務為主的近鐵運通（簡稱近鐵），需提供客戶24小時的服務，只有趁中秋節晚上，全臺客戶作業停歇之時，才能進行資訊系統大搬家，蔡文忠清楚記得，那年中秋夜，IT同仁遠端待命，以連線測試系統，而他就在廠區監工過夜，看月亮。</p> <p>近鐵很早即展開資訊化腳步，1986年日本母公司來臺設立據點，即在草創同年建立了電腦室，是現在近鐵資訊部的前身。1995年，蔡文忠進入近鐵任職，一加入便一肩擔起了近鐵在臺所有資訊業務，擔任電腦室主任，開始他超過20年執掌近鐵IT的旅程。</p> <p>日本近鐵海外各據點的核心系統及資訊架構，雖由日本母公司主導，但各據點的資訊單位需負責部署，母公司所規畫的系統及架構，並依在地性服物或物流需求，設計在地的資訊系統。蔡文忠回憶，加入時由於人手不多，事事他都得親自投入，實地參與。</p> <p>蔡文忠加入近鐵的那一年，正是近鐵系統關鍵的架構轉換階段。日本母公司決定，將核心的承攬系統從1987年開始導入的NEC迷你電腦系統，汰換成伺服器和個人電腦的新一代資訊架構。除了執行母公司的新資訊政策，蔡文忠同時也導入了幾項在地化的系統，包含報關系統、運務系統等，取代過去以人工輸入的報關作業。</p> <p>他表示，在地化報關系統就是為了因應臺灣在地的需求，財政部關務署從1990年開始，推動關務作業走向系統化發展，近鐵從空運報關開始轉換，後再推展到海運報關作業。</p> <p><span style="font-size: 28px;"><strong>近鐵各據點統一倉儲管理模式，供跨國存貨客戶線上掌握各倉儲貨況</strong></span></p> <p>2000年時，近鐵資訊化發展更朝全球化的階段邁進。日本近鐵在全球28國都設有倉儲中心，在這一年，包括日本、臺灣、美國、新加坡等據點，同步導入了統一倉儲系統 (Unified Warehouse System，UWS)。藉由UWS，日本近鐵各國倉儲管理模式走向統一，各據點開始採用相同的資料庫規格，相同的操作介面，只有資料庫仍採分散式架構，部署在各國，並自行管理。</p> <p>蔡文忠提到，其實，近鐵還有自行開發的倉儲管理系統（Warehouse Management System），但沒有開放給用戶遠端查詢庫存貨況，而是以紙本報表的形式，提供日報、周報、月報表供用戶管理庫存之用，但他坦言，這種紙本管理模式的確大大降低了時效性。</p> <p>日本近鐵統一各國倉儲管理的系統，便是為了滿足跨國物流客戶即時掌握各國倉儲貨物的需求，以因應貿易全球化的趨勢。UWS能產出同樣規格的倉儲報表，跨國型客戶只要進入近鐵提供的線上平臺，便能遠端查詢各倉儲據點裡貨物的現況，如貨物量、品項、批號等。蔡文忠表示，「一致性的多國庫存管理服務，可以讓客戶有效地管理倉儲作業，包含進貨、儲放、出貨等流程。」</p> <p>不過，UWS資料庫落地各國的作法仍有不足，也不易管理，所以，相隔15年，日本母公司在2015年時，決定全面升級統一倉儲系統的管理模式，推出第二代UWS，將過去分散於各據點的資料庫，都集合到日本母公司的資料庫中，改為集中式管理，而日本近鐵各國據點則走內部封閉網路，與母公司資料中心連線，來更新倉儲貨物的狀況。</p> <p>從此以後，蔡文忠表示，不論哪一國的用戶，都可以直接從同一套線上查詢頁面，掌握各國庫存貨物的現況。過去，若顧客在近鐵3個國家的倉儲中心有貨物，需要登入3套查詢系統，現在只需要進到第二代UWS的單一入口。</p> <p><span style="font-size: 28px;"><strong>高度客製化物流的挑戰，貨物規格難以標準化</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:250px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/14_(%E6%8A%BD)%E8%94%A1%E6%96%87%E5%BF%A0_%E8%BF%91%E9%90%B5%E9%81%8B%E9%80%9A_%E8%B3%87%E8%A8%8A%E9%83%A8%20%E7%B6%93%E7%90%86_20190308_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 250px;" /></td> </tr><tr><td><span style="color: rgb(105, 105, 105);"><strong>近鐵運通資訊部經理蔡文忠表示，對於第三方物流商來說，如何滿足在地且多樣化的客製需求，打通資料流是關鍵。</strong>攝影／洪政偉</span></td> </tr></tbody></table><p>隨著網路經濟越來越火紅，各家物流中心這幾年都不斷積極擴建，尤其導入自動化倉儲軟硬體最為熱門，但對近鐵而言，這卻是一個大難題。</p> <p>蔡文忠表示，進入近鐵倉儲的貨物規格不一，甚至連包裝都大不同，這也成了近鐵發展自動化倉儲最大的阻礙。</p> <p>有別於傳統物流以單一倉儲或運輸服務為主，近鐵屬於第三方物流服務商，在各項承攬、物流及報關管理作業流程中，涵蓋了進貨、理貨、儲放、打包、出貨等作業，近鐵皆提供高度的客製化服務，可以根據客戶對貨物管理方式的要求，來客製化不同的作業流程，這讓近鐵得以滿足多種產業的需求。</p> <p>但，也正因客戶所屬產業差異很大，蔡文忠表示，送到近鐵倉儲的貨物，五花八門，小到手機，大到床墊、大型機臺等幾千種品項。然而，要發展自動化倉儲，貨盤規格須一致，是近鐵所欠缺的條件。因此若要導入這類系統，近鐵須在貨物送達後，增加兩道作業程序，投入人力拆盤，再重新打盤，才能統一規格。蔡文忠直言，自動化倉儲是個美好願景，近鐵也曾想導入，但礙於投入成本，評估後，發覺現階段不可行。</p> <p>雖然倉儲無法全面自動化，但近鐵轉從其他方法下手，改善現場作業程序，讓部分作業流程，也能達到自動化的程度。像是貨物進出倉儲時，現場作業員會使用掃描機，讀取貨物上的條碼，以將貨物的序號、品項等資訊，直接存入資料庫，以利掌握貨架上貨物的資訊。</p> <p>透過條碼掃描，可防止貨物放置於錯誤的貨架，也能確保出倉貨物之批號的正確性，省下資料核對程序所需耗費的人力和時間。2014年時，近鐵也在貨架及貨物上，新增了QR Code條碼，讓作業人員不再需一一掃碼，即可通過單一QR Code，獲得完整的貨物資訊。</p> <p><span style="font-size: 28px;"><strong>開發200種資料介接機制，提高資料流自動化深度</strong></span></p> <p>各類型客戶帶給蔡文忠的另一項IT挑戰，則是如何消化不同資料格式的貨物報單。近鐵依照客戶貨物的類別和需求，開發客製的資料接收介面，以讀取不同類型的格式，蔡文忠表示，採異中求同的方法，從報單撈取所需的關鍵字和資料，再放入系統的對應欄位。</p> <p>他舉例，有些客戶的報單逾200頁，採傳統人工輸入的方式，需花上兩三個鐘頭，甚至半天的時間，後來直接利用自製讀取工具，將資料轉入系統後，人工只需花約20分鐘的時間，再逐行比對資料即可。「對於第三方物流商來說，如何滿足在地且多樣化的客製需求，打通資料流是關鍵。」蔡文忠表示。</p> <p>他進一步說明，自動化處理資料流不只能節省人工輸入時間，也能降低資料錯誤率，提高貨物庫存資料的精準度。正是因為打通資料流，目前近鐵約7成客戶的報單，可透過200多種資料讀取介面，將資料直接轉入系統。</p> <p>此外，近鐵建立了與海關間交換資料的接口，以獲得貨物通關的報單資料，掌握貨物進出口時間，以便依照客戶需求，例如「先進先出」或「後進後出」原則，來排定不同批號貨物的出倉先後順序。</p> <p>另一方面，與海關的資料交換是雙向的，當有客戶的貨物進出倉儲之時，近鐵IT部門會根據客戶指定的條件，從倉儲資料庫中彙整相關資料，以每天或甚至每小時一次的頻率，打包成一個資料交換包，再通過資料交換機制，傳輸到海關的資料庫，讓海關也能掌握當日進出倉儲的貨物及貨物數量，也使雙邊資料庫達一致性。</p> <p><span style="font-size: 28px;"><strong>擁抱新架構以支撐營運發展，導入超融合是第一步</strong></span></p> <p>隨著近鐵的業務不斷成長，舊有系統不敷使用，需持續翻新架構，以支撐營運發展。過去20多年，蔡文忠一路主導近鐵各階段資訊架構的部署，並於去年再度決定要擁抱新架構，於今年初先行導入超融合基礎架構，要讓IT架構更富彈性。</p> <p>蔡文忠提到，考量整個資料中心I/O傳輸需求不高，資料存取不到1萬IOPS，還用不到全快閃儲存陣列，所以，他反而看上了超融合架構的儲存橫向擴充性，因為每次要採購基礎架構相關設備時，最令他難抉擇的便是儲存設備的容量，買多了，浪費錢，買少了，又擔心後續容量不足。</p> <p>就像部署虛擬化伺服器時，蔡文忠表示，每採用一套資料庫，就需要多採購一套作為備援之用，也要同步部署高可用性的儲存架構，但資料庫的硬體設備價格不菲，一座就需要上百萬元，這也是促使他花了近一年，考察新一代的超融合架構之關鍵。</p> <p>迄今，蔡文忠已將近鐵所有的伺服器，及所有在地系統，像是進出口報關系統，全面都搬上了超融合架構中。該架構將主機、儲存和網路合而為一，除了省空間、省電，還可整套式部署外，他最看重的就是，往後近鐵儲存容量不足時，可以選擇橫向擴充，增加一櫃的儲存空間，不需要添購整座資料庫的設備，他表示，超融合技術的使用，解決了他們過去容量擴充缺乏彈性的痛點。</p> <p>另一個導入超融合架構的理由是為日後上雲端做準備。隨著系統虛擬化後容易搬遷，為進一步節省成本，蔡文忠考慮帶領近鐵走向雲端環境，計畫先將災難備援搬上雲。他評估，此種雲端應用模式的資料流不大，費用也不會太高，目前正在驗證階段。有了這第一步，蔡文忠預計2、3年後，近鐵就可大步往雲端化邁進了。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> CIO小檔案 </span></span></strong></p> <p><strong>蔡文忠　近鐵運通資訊部經理</strong></p> <p>學歷：淡水工商專校資訊科畢業</p> <p>經歷：1990年進入中國航運資訊部，擔任電腦中心主機操作員，之後，參與開發海運文件系統，及高雄63-64號貨櫃碼頭之貨櫃儲運的自動化系統。於1995年加入近鐵運通，擔任電腦室主任，改制後，接任資訊部經理，至今累積逾20年第三方物流IT管理經驗，面對多元客群及貨物，利用IT提供客製化服務</p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(51, 153, 255);"> 公司檔案 </span></strong></p> <p><strong>近鐵運通</strong></p> <p>● 地址：臺北市中山區長安東路二段99號3樓</p> <p>● 成立時間：1986年</p> <p>● 主要業務：為日商在臺據點，提供航空及海運貨運承攬，以及報關、國際物流倉儲、運輸等整合服務。</p> <p>● 總部：臺北市</p> <p>● 員工數：460人</p> <p>● 資本額：約5.8億元</p> <p>● 年營收：約24億元</p> <p>● 董事長：村上弘幸</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 資訊部門檔案 </span></strong></p> <p>● 資訊部門主管職稱：資訊部經理</p> <p>● 資訊部門主管姓名：蔡文忠</p> <p>● 直屬主管：青木泰司</p> <p>● 資訊部門人數：9人</p> <p>● IT預算：1900萬元</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> IT大事記 </span></strong></p> <p>● 1987年：承攬系統資訊化，採用NEC迷你電腦系統</p> <p>● 1996年：承攬系統由NEC Mini System轉為Netserver System，採用個人電腦和獨立伺服器，並配合關務署報關業務系統化，導入報關系統、運務系統等，取代人工輸入報關作業</p> <p>● 1997年：倉儲管理系統（WMS）上線</p> <p>● 2000年：第一代近鐵Unified Warehouse System上線，採分散式資料庫架構，由各據點自行管理，供跨國型客戶查詢各地倉儲的庫存</p> <p>● 2004年：國際物流倉儲管理系統（ILM）上線</p> <p>● 2008年：第二代ILM上線</p> <p>● 2014年：物流倉儲管理系統（FTZ）上線，及桃園國際物流中心落成，資訊部和資料中心由臺北總部遷移至新中心</p> <p>● 2015年：第二代UWS上線，改為集中式管理資料庫，並提供單一介面查詢跨國的庫存</p> <p>● 2016年：基礎架構採行虛擬化，導入VMware虛擬化伺服器</p> <p>● 2019年：導入超融合架構取代VMware虛擬伺服器</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/20_nei_ye_cai_wen_zhong_jin_tie_yun_tong_zi_xun_bu_jing_li_20190308_hong_zheng_wei_she_.jpg" width="960" height="420" alt="" title="近鐵運通資訊部經理蔡文忠" /></div></div></div>
2019/4/20 12:00作者黃郁芸https://www.ithome.com.tw/people/129896
【資安框架】CIS Controls V7針對網路攻擊的防禦，提供一套處理動作的建議
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisv7-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">iThome</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在資安防護的整體規畫上，早期較常見的作法，是參考美國系統與網路安全協會（SANS Institute）所提出的20個項目，他們會列出需要特別注意的弱點、網路安全風險（Internet Security Risks），以及控管方式，也就是知名的SANS Top 20。</p> <p>而在2008年，SANS Institute和美國國家安全局（NSA）、網路安全中心（CIS）等單位合作，發展一項計畫，名為CIS Critical Security Controls for Effective Cyber Defense，並且出版資安防護最佳實務與指南。</p> <p>主持該項計畫的機構，後來也有一些變動，先是在2013年轉移到網路安全理事會（CCS），到了2015年，改由網路安全中心推動，並且陸續改版，時至今日，這套資安管理架構的名稱，改為CIS Critical Security Controls（CIS CSC），或是CIS Controls，並於2015年、2016年陸續發布6.0版和6.1版，以及在2018年3月推出第7版。</p> <p>簡而言之，CIS Controls為網路攻擊的防禦，提供了一套處理動作的建議，透過更為針對的方法，以及各種可行的措施，幫助使用單位能夠阻撓廣泛的攻擊型態，當中列出了簡短的清單項目，讓每一家企業知道需要高度優先處理的部分，以及會帶來顯著防禦成效的動作，找到開始著手改良資安之處。</p> <p><span style="font-size:28px;"><strong>以5大核心概念為基礎，適用層面相當廣泛</strong></span></p> <p>基本上，CIS Controls是一種經由實際攻擊所通報的有效防禦手段，能夠反映企業、政府與個人等三種生態系統的專家知識。</p> <p>同時，它可以涵蓋各種角色，像是因應威脅變化的工作者與研究員、技術人員、揭發安全漏洞的人員、開發相關工具的人員、解決方案供應商、規畫與執行防禦的人員、一般使用者、決策制定者、稽核人員，以及不同的層面，例如政府部會、能源產業、防禦體系、財政、交通、學術、顧問、資安、IT等。將這些人員組合起來之後，就能建立、調整與支援需要的控管機制。</p> <p>而在CIS Controls的演進上，則會由各個組織的頂尖專家來負責訂定，以及調整，他們將會貢獻對抗實際網路攻擊的第一手知識，以此來提升這份控制清單的內容，當中所建議的各項措施，也代表了當前公認最佳的預防或追蹤方式。基於這樣持續更新作法的建構方式而成的CIS Controls，也能確保其提供的偵測、預防、反應、減緩傷害機制，能夠適用於最常見、以至於最複雜的攻擊行動。</p> <p>總而言之，針對網路防禦系統的建構，CIS Controls本身已納入了下列5大核心概念：</p> <p>●<strong>攻擊通知防禦（Offense informs defense）</strong>：分析現實世界發生的攻擊行動，對於實際導致系統遭到破壞的攻擊，進行充分的理解與掌握，接著，從這些事件當中，建立持續發展防禦機制的基礎，以便建立有效、實用的作法。當然，所提出的防禦方式，必須能夠阻止真實的攻擊行為。</p> <p>●<strong>訂定進行處理作業的優先順序（Prioritization）</strong>：簡而言之，就是：「付出最少的代價，獲得最多的獲益」在各種控制手段裡面，針對可抵禦最危險的威脅因素、降低風險幅度最高，而且是能在你現行的IT環境當中就能建置的部分，優先投入相關的資源進行發展。</p> <p>●<strong>量測（Metrics）</strong>：建立通用的量化機制，讓企業的高階主管、IT專家、稽核人員、資安人員能夠有相同的語言，來評估組織內部安全措施的有效程度，如此一來，對於現行環境需要進行的調整，可以快速被突顯出來，以及著手進行。</p> <p>●<strong>持續進行的診斷與減緩威脅（Continuous diagnostics and mitigation）</strong>：持續不斷地執行量測的工作，以便測試與驗證現有安全措施的有效性，協助推動下一個需優先進行的管制程序。</p> <p>●<strong>自動化處理（Automation）</strong>：將防禦的種種作法予以自動化，即可讓企業能夠透過可信賴、可擴充與不間斷的量測機制，堅持控制手段的實施，以及相關的衡量評估工作。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><span style="font-size: 16px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/CIS%20Controls%20V7-1(1).png" style="width: 600px;" /></span></span></p> <p><strong><span style="color:#696969;">CIS Controls 的第1 種到第6 種控制群組，是每個組織都應該實施的基本防禦方式，能夠具備基本的IT 基礎架構掌控能力，定期察看當中的變化，以獲得最起碼的網路安全，因此，它們被稱為基本型（Basic）控制。許多重大的資安事故會發生，往往是因為缺乏基本的控制，或是實施得太少。</span></strong></p> <p> </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/CIS%20Controls%20V7-2(1).png" style="width: 500px;" /></p> <p><span style="color:#808080;"><strong>實施基本型控制之後，下一步是建置基礎型（Foundational）控制，也就是CIS Controls的第7種到第16種控制群組，它們是技術層面的最佳實務，能提供顯著的安全效益。</strong></span></p> <p> </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/CIS%20Controls%20V7-3.png" style="width: 500px;" /></p> <p><span style="color: rgb(128, 128, 128);"><strong>有別於前16種控制群組，充滿了濃厚的技術性，CIS Controls的第17種到第20種控制群組，稱為組織型（Organizational）控制，主要針對的目標是與人員、流程相關的控制。</strong></span></p> <p><span style="font-size:28px;"><strong>提供20種控制群組，它們可區分為3大類型</strong></span></p> <p>就具體內容來看，CIS Controls列出的控制手段，分為下列3種：</p> <p>●<strong>基本型：</strong>包含第1項到第6項，是最為關鍵的控制方式，每個組織單位都應該實施這些作法，以符合網路防禦整備就緒的基本需求。同時，這些作法可視為「網路衛生（Cyber Hygiene）」，能為整體防禦機制奠定良好、強健的根基。</p> <p>●<strong>基礎型：</strong>包含第7項到第16項，都是屬於資安技術的最佳實務，可提供顯著的安全效益，對於所有單位而言，若能建置這些防禦機制，將是相當明智的決定。</p> <p>●<strong>組織型：</strong>包含第17項到第20項，相較於上述的控制層面均著重在「技術」，這四項更聚焦在與網路安全相關的「人」與「流程」。</p> <p>接下來，我們逐一檢視這20項控制手段的內容。</p> <p><span style="color:#3399ff;"><strong>1.硬體資產的盤點與控制</strong></span></p> <p>透過資產的盤點、追蹤與修正，主動管理網路環境當中的所有硬體設備，如此就能掌控通過授權的設備，以及未經授權、未列管的設備，並給予應有的權限，或收回權限、預防它們取得權限。</p> <p><span style="color:#3399ff;"><strong>2.軟體資產的盤點與控制</strong></span></p> <p>透過資產的盤點、追蹤與修正，主動管理網路環境當中的所有軟體系統，若是獲得授權的軟體，就能夠順利安裝、執行，至於未授權使用與未列管的軟體，則必須找出來，並預防被安裝與執行。</p> <p><span style="color:#3399ff;"><strong>3.持續執行的弱點管理</strong></span></p> <p>不間斷地接收新的資訊，並且進行評估與採取對應的動作，以便識別弱點、矯正問題，將攻擊者可能利用的範圍縮至最小</p> <p><span style="color:#3399ff;"><strong>4.控制系統管理權限的使用</strong></span></p> <p>在電腦、網路、應用程式所配置的系統管理權限上，針對用途、指派、組態的部份，搭配適當的流程與工具，執行追蹤、控制、預防，以及必要的修正。</p> <p><span style="color:#3399ff;"><strong>5.在行動裝置、筆電、工作站與伺服器的硬體與軟體，採行安全組態</strong></span></p> <p>運用精確的組態管理與變更控制流程，針對行動裝置、筆電、工作站與伺服器的安全組態，積極建立、實施相關的追蹤、統計與修正作業，以防止攻擊者濫用服務或設定的安全性漏洞而趁機潛入。</p> <p><span style="color:#3399ff;"><strong>6.維護、監督與分析稽核記錄</strong></span></p> <p>落實稽核記錄的收集、管理、分析事件，有助於攻擊行為的偵測、理解或災後復原。</p> <p><span style="color:#3399ff;"><strong>7.電子郵件與瀏覽器的存取保護</strong></span></p> <p>透過電子郵件系統與網頁瀏覽器，攻擊者往往可以操弄使用者的行為，因此，若做好這兩個層面的保護，可大大縮減受到攻擊的範圍。</p> <p><span style="color:#3399ff;"><strong>8.防禦惡意軟體</strong></span></p> <p>針對惡意程式碼的安裝、散播與執行，從企業環境中的多個系統存取環節，進行控制。同時，也要善用自動化機制，促使防禦機制、資料收集、修正動作能夠做到快速更新。</p> <p><span style="color:#3399ff;"><strong>9.對於網路的連接埠、通訊協定與服務，進行限制與控制</strong></span></p> <p>在企業環境使用的網路設備，幾乎都處於全天候不間斷運作的狀態，而其使用的連接埠、通訊協定與服務，很容易成為網路攻擊的目標，若要提升安全性，我們可透過追蹤、控制、修正等動作，妥善管理這些部分的使用，將攻擊者所能針對的弱點可能性降至最低。</p> <p><span style="color:#3399ff;"><strong>10.資料復原</strong></span></p> <p>關於重要資訊的備份，需要搭配適當的流程與工具，以及經過驗證的方法論，達到快速修復的效果。</p> <p><span style="color:#3399ff;"><strong>11.針對網路設備，像是防火牆、路由器與交換器，需採用安全組態</strong></span></p> <p>運用精確的組態管理與變更控制流程，而能透過追蹤、統計與修正的動作，積極管理網路基礎架構的設備。基於這樣的作法，能預防攻擊者經由具有弱點的服務和設定而闖入。</p> <p><span style="color:#3399ff;"><strong>12.邊界防禦</strong></span></p> <p>聚焦在那些足以破壞安全性的資料，在信任度不同的資訊傳送網路流程當中，執行偵測、預防、修正的作業。</p> <p><span style="color:#3399ff;"><strong>13.資料保護</strong></span></p> <p>運用流程與工具來預防資料外洩的狀況，以及減緩外洩資料所產生的效應，並能確保敏感資料的隱私，以及完整性。</p> <p><span style="color:#3399ff;"><strong>14.基於需要了解的部份來執行控制存取</strong></span></p> <p>對於資訊、資源、系統等重要IT資產的存取，由流程與工具來進行追蹤、控制、預防、修正，以便提供安全保護，當中所依據的部份，主要是組織對於人、電腦、應用程式需求的正式規定，以及基於公司許可分類而來的資產存取權限。</p> <p><span style="color:#3399ff;"><strong>15.無線網路存取控制</strong></span></p> <p>在使用無線區域網路（WLANs）、無線網路基地臺、無線網路用戶端系統等環境當中，透過流程和工具來進行追蹤、控制、預防、修正，提升安全性。</p> <p><span style="color:#3399ff;"><strong>16.帳號監督與控制</strong></span></p> <p>對於系統與應用程式的帳號生命週期，舉凡新增、日常使用、暫停使用、刪除等不同狀態，進行主動管理，能大幅減少攻擊者經此管道潛入的機會。</p> <p><span style="color:#3399ff;"><strong>17.實施安全意識與訓練計畫</strong></span></p> <p>將支援企業資安防禦的各種專門知識、技能，傳授給組織內部所有的功能性角色，尤其是關係到重大業務與安全性的人員，促使他們具備足夠的認知。作法上，我們可透過發展與執行整合計畫，進行相關的評估、安全缺口識別、透過政策實施矯正、組織性規畫、教育訓練、資安意識培養計畫。</p> <p><span style="color:#3399ff;"><strong>18.應用程式的軟體安全性</strong></span></p> <p>管理所有自行開發與取得的應用軟體安全週期，以便預防、偵測與修正安全弱點。</p> <p><span style="color:#3399ff;"><strong>19.突發事件的反應與管理</strong></span></p> <p>組織為了保護本身的資訊與信譽，而投入突發事件反應基礎架構的發展、建置。有了這樣的環境，組織能進行規畫、定義角色、教育訓練、協調溝通、管理疏失等工作，以便更快發現攻擊活動，進而有效控制損害的程度、消滅攻擊者的存在，並且恢復網路與系統的完整性。</p> <p><span style="color:#3399ff;"><strong>20.滲透測試與紅隊攻防演練</strong></span></p> <p>透過模擬攻擊者的目標與行動，測試組織目前防禦能力的整體強度，當中可驗證技術、流程、人員等因素。</p> <p><span style="font-size:28px;"><strong>內容調整與時俱進，反映當前網路攻擊的變化趨勢</strong></span></p> <p>整體而言，CIS Controls發展至今，對於幾項重大資安議題將會有更多著墨，像是身分認證、加密、應用程式白名單等，並且以更清楚、強化與持續的方式來提出建議。<strong><a href="http://www.eslite.com/product.aspx?pgid=10099161842746130" target="_blank"><span style="color: rgb(178, 34, 34);">本文出自《iThome 2019臺灣資安年鑑》</span></a></strong></p> </div></div></div>
2019/4/20 09:00作者李宗翰https://www.ithome.com.tw/article/129576
AI如何成為醫生第三眼
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/916-26-feng_mian_gu_shi_-p1_open-960x420.jpg?itok=PuCoRV8U" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，醫療影像AI浪潮席捲臺灣，各大醫院也紛紛擁抱。至今，已有5家醫院將醫療影像AI應用於臨床，更有2家推出AI門診，來幫醫生揪出腦瘤、乳癌和肺癌</p> </div></div></div>
2019/4/20 09:00作者王若樸https://www.ithome.com.tw/article/129980
AI將是企業數位轉型的重點技術
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據iThome的2019年CIO大調查結果，我們近期陸續發布了<a href="https://www.ithome.com.tw/article/129521" target="_blank">《各產業年度IT戰略》</a>、<a href="https://www.ithome.com.tw/article/129834" target="_blank">《數位轉型企業的抉擇》</a>封面故事，對於自認領先其他企業者的現況與發展目標，做了詳盡分析，我們在當中看到有54％的公司屬於領先企業，而正在規畫者為20％，至於落後者，則有26％，其中，處於領先狀態的公司採用各種新興科技的情況究竟如何？尤其是熱門的人工智慧（AI），特別引人注目。</p> <p>以導入狀況而言，57.8％的數位轉型領先企業，今年會採用AI（2018年尚未過半，相較之下，2019年將會成長13.6％）。</p> <p>而在數位轉型領先企業重點投入的科技類型當中，與AI密切相關的項目就占了一半，包括機器學習、深度學習、臉部辨識、Chatbot、行動AI應用，而名列榜首、將近52％企業採用的大數據分析，以及居於第四名、29.1％的資料科學，也可歸類於廣義的AI範圍。</p> <p>若純粹以AI細分，數位轉型領先企業採用的比例，由高至低排列，也是機器學習、深度學習、臉部辨識、Chatbot、行動AI應用，不過，名列第八的RPA流程自動化，比例已突破10％，比語音助理裝置的應用還高。</p> <p>從整體臺灣企業的狀況來看，AI也名列2019年第四大重點投資技術，平均將花費616萬元。人才需求的部分，對於AI專才（機器學習、深度學習）開出職缺的臺灣企業，比例已提升到12.3％（去年為11.5％），Big Data人才是11.5％（去年為15％）。</p> <p>而從不同產業來看，高科技製造業將AI列為首要投資項目，平均金額為717萬元，連續兩年的企業占比都維持在6.8％以上，而在多種AI技術當中，預估採用機器學習者為22.7％，採用深度學習者與AIoT（AI+IoT）的比例皆是16.5％；一般製造業則是將其列為第二大投資項目，金額為206萬元，但企業占比從2.4％躍升至8％，翻了3倍，而在多種AI技術當中，預估採用機器學習者為15.3％，採用臉部辨識的比例皆是11.2％。</p> <p>金融業雖然將AI列為第四大投資項目，但平均投入金額高達1,521萬元，企業占比為2.2％，稍微下滑（去年是2.9％），而在多種AI技術當中，預估採用機器學習者為36.7％，採用行動AI的比例皆是26.7％。</p> <p>值得注意的是，醫療業面對AI的投資金額，名列第5大項目，平均為411萬元，但企業占比為4.8％，呈現劇烈下滑（去年是21％）。不過，就今年新興科技預估採用項目與比例而言，在行動AI應用、機器學習、深度學習等技術上，都超過三分之一，AIoT的部分也有25％，在大數據分析上，甚至逼近6成，超越其他產業（其次是政府與學校48.5％、服務業44％、金融業43.3％）。</p> <p>從上述的統計結果來看，臺灣醫療業目前對於AI採用的成熟度，應該大幅領先其他產業，而我們<a href="https://www.ithome.com.tw/article/129980" target="_blank">製作的916期封面故事</a>，也正好呼應了這個趨勢，希望透過整理、報導現今各大醫院的AI應用現況，讓大家知道這項技術已經開始整合在院所的醫療影像診斷作業，也為日常的門診流程與未來的醫學研究帶來全新的變革。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai">AI</a></div><div class="field-item odd"><a href="/tags/%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B">數位轉型</a></div><div class="field-item even"><a href="/tags/%E5%BD%B1%E5%83%8F%E8%BE%A8%E8%AD%98">影像辨識</a></div><div class="field-item odd"><a href="/tags/%E9%86%AB%E7%99%82">醫療</a></div></div></div>
2019/4/20 09:00作者李宗翰https://www.ithome.com.tw/voice/129981
防堵網路釣魚攻擊，Google六月起將封鎖來自瀏覽器框架嵌入式的登入請求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>Google最近正在針對一種網路釣魚形式採取更行動，由於該形式的網路釣魚活動，在嵌入式瀏覽器框架或是被用來驗證的其他自動平臺中，是很難被偵測的，這種網路釣魚形式被稱為中間人（ma in the middle，MITM），MITM會即時攔截用戶和Google之間的溝通，並收集用戶的身分和登入資料，因為Google無法在這些平臺中，分辨該行為是合法的登入還是MITM攻擊，因此，<a href="https://security.googleblog.com/2019/04/better-protection-against-man-in-middle.html">Google從6月起，將封鎖來自嵌入式瀏覽器框架的登入請求</a>，這項政策與2016年4月宣布對webview登入的限制類似。</p> <p>Google一直以來持續改善網路釣魚防護機制，來確保用戶的資訊安全，去年，Google要求，用戶需要在瀏覽器中啟用JavaScript，以便Google執行風險評估，並在懷疑有潛在攻擊時阻止登入，另外，其他防護機制，像安全瀏覽警告、Gmail垃圾郵件過濾器和帳戶登入驗證等，Google今年2月表示，Gmail將主動測試改良過的網路釣魚和惡意軟體過濾模型，並宣稱目前每天已攔截超過1億則垃圾郵件。</p> </div></div></div>
2019/4/19 14:48作者何維涓https://www.ithome.com.tw/news/130097
挑戰Spotify免費版抗衡，Amazon真的發表了免費版Music方案了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>為了與Spotify音樂免費方案抗衡，<a href="https://blog.aboutamazon.com/entertainment/alexa-play-music">Amazon音樂最近在美國地區推出了有廣告的免費方案</a>，即日起在美國沒有訂閱無限使用方案或是Prime會員的用戶，都可以透過搭載語音助理Alexa的裝置，使用免費方案來收聽Amazon音樂平臺上的音樂，不過，免費版的音樂有限定曲目，並不是所有的歌曲都能夠收聽，且這項免費服務和Spotify推出的一樣，在播放中會安插廣告。</p> <p>若用戶購買每個月13美元的Prime會員，不但包含Amazon Prime會員的方案，還能成為Amazon音樂會員，會員可以免於廣告的干擾，平臺提供超過200萬首歌曲，而無限收聽音樂的方案則是包含5,000萬首歌曲，用戶可以在任何地方下載並收聽歌曲。</p> <p>Amazon音樂無限收聽的方案是在2016年10月在美國推出，之後陸續在英國、德國，墨西哥等地推出，Amazon並沒有對大眾透露現在付費的訂閱用戶人數，但是根據去年的報告大約是超過2,000萬名用戶，遠比Spotify的用戶少很多，Spotify付費用戶有9,600萬名，而使用免費方案的用戶也有1億1,600萬名。</p> </div></div></div>
2019/4/19 14:17作者何維涓https://www.ithome.com.tw/news/130094
IoT雙周報第61期：美零售龍頭Walmart將擴大導入4千名機器人雇員，將用機器人取代重複且瑣碎的店務工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>04/06~04/19精選IoT新聞</strong></span></h3> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 邊緣運算 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GCP </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google搶攻邊緣運算再祭新招，將雲端AutoML圖像識別ML能力帶進Android與iOS兩大行動平臺</strong></span></p> <p>Google在今年Google Cloud Next 年度大會上針對邊緣運算推出AutoML Vision Edge新服務，雖然只是Beta測試版，但已可將雲端AutoML Vision圖像識別ML能力帶進邊緣裝置，可在邊緣設備中部署AutoML Vision模型，進行即時處理。AutoML Vision是在2018年就發布的服務，讓開發者建立客製化的圖像識別機器學習模型，現在進一步推出AutoML Vision Edge，可簡化客製化機器學習模型在邊緣設備的部署工作，可支援Android與iOS裝置、TPU和容器執行環境，可自動產生這些環境中可執行的ML模型，來進行ML推理。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 無人機</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Wing </span></strong></span></p> <p><span style="font-size:22px;"><strong>Alphabet旗下Wing無人機送貨服務正式在澳洲上路，無人機可外送餐點到府</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961%EF%BC%9A%E5%9C%961_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(32).jpg" style="width: 600px; height: 399px;" /></p> <p>Alphabet旗下無人機公司Wing，近日獲准於澳洲正式提供無人機送貨服務。Wing自2014年起便在澳洲展開無人機送貨測試，在最近的18個月，Wing已於特定社區執行超過3,000次的無人機送貨服務。Wing無人機將先在澳洲北坎培拉的郊區社區開始提供無人機外送，Wing目前在當地的合作對象包含有餐廳、點心店、巧克力專賣店、麵包店、墨西哥快餐店、高爾夫運動用品店，以及藥局。消費者可以透過Wing行動程式點餐或訂購其它商品，再由無人機送到家中。在未來幾周則會擴大至其他社區。除了澳洲之外，Wing先前亦曾宣布將在今年春天於芬蘭首都赫爾辛基推出無人機送貨服務，惟迄今尚未發表。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Walmart </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機器人 </span></strong></span></p> <p><span style="font-size:22px;"><strong>美零售龍頭Walmart全美門市擴大導入4千臺機器人雇員，清潔、搬運與掃貨全面改由機器人代勞</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cdn_corporate_walmart_com%20-%20%E8%A4%87%E8%A3%BD.jpg" style="width: 600px; height: 322px;" /></p> <p>美國零售龍頭Walmart最近宣布將於全美實體商店擴大導入將近4千臺機器人雇員，將雇用大量機器人處理重複且瑣碎的工作，包括清潔地板或檢查庫存等。Walmart自2年前就開始在少數門市測試機器人，開始利用機器人流程自動化，來取代需要大量人力的例行性或反覆性作業，如今更進一步擴大在門市部署。Walmart預計今年將在全美分店導入1,500個Auto-C掃地機器人、300個Auto-S貨架掃描機器人、900個自助取貨機（pickup tower），以及1,200個自動卸貨機器人，用來處理店內清潔、貨架商品掃描、貨物裝卸等工作，以提高工作效率，讓員工可以專注在商品銷售，以及提供顧客更好的服務。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G頻譜</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 美國FCC </span></strong></span></p> <p><span style="font-size:22px;"><strong>美國史上規模最大頻譜釋出，FCC規畫5,000兆赫的頻譜將於12月競標以加速5G發展</strong></span></p> <p>美國聯邦通訊委員會（FCC）日前宣布，將在今年12月進行第三波的5G頻譜競標，這將是美國史上規模最大的頻譜競標，以推動及加速美國的5G發展。FCC在今年展開了可支援5G的頻譜競標，包括今年初結束的28 GHz頻段競標，目前正在進行中的24 GHz頻段競標，也計畫在今年12月開放競標37 GHz上段、39 GHz與47 GHz等頻段，第三波的競標涉及3,400兆赫，若加上28 GHz與24 GHz頻段，FCC總計規畫了近5,000兆赫的頻譜供商業使用。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">LoRa網路公用事業</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 日本機場 </span></strong></span></p> <p><span style="font-size:22px;"><strong>LoRa網路也能用DLMS公用電錶標準，LoRa聯盟聯手DLMS用戶協會力推互通協議</strong></span></p> <p>LoRa聯盟（LoRa Alliance）近日與推動智慧電錶資料交換標準的DLMS用戶協會（DLMS User Association）簽署一分互助協議，要讓雙方通訊標準能夠互通。DLMS是目前全球公用事業公認的電錶資料交換標準，LoRa則是物聯網最常用的LPWAN通訊協議。通過在LoRa網路上使用DLMS應用標準，將能讓水電等公用事業，能利用LoRa網路在建築物和地下布建能夠長久使用的IoT公用設備，不只能利用這些設備來改善原有服務，亦能跨許多不同的物聯網應用，替這些公用事業帶來新服務，包括智慧家庭、智慧建築、智慧工業，以及智慧城市等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">AMD處理器</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 邊緣運算 </span></strong></span></p> <p><span style="font-size:22px;"><strong>AMD再推新款Ryzen嵌入式APU ，搶攻4K影像加速處理與邊緣運算應用市場</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20190416_150131.jpg" style="width: 600px;" /></p> <p>繼首款AMD Ryzen嵌入式APU推出1年後，AMD近日再推AMD Ryzen R1000新系列，要來搶攻4K影像加速處理與邊緣運算應用市場。R1000系列除了同樣具備省電特性，甚至跟前一代V1000系列相比，更可提供高出3倍的每瓦效能表現，因此更省電，甚至不需要外加散熱風扇，在設計上，也可以有效節省硬體空間。雖然同樣採用低功耗設計，但R1000處理器亦可用於加速4K影像處理，以及邊緣運算應用所用，如電腦視覺、人臉辨識等，並能支援最多10Gb網路。AMD R1000系列同時也兼容與前一代相同的FP5 BGA封裝設計。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">調查 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧喇叭 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Canalys預測2019年全球智慧喇叭銷量將突破2億臺，兩年後超越平板</strong></span></p> <p>市場研究機構Canalys近日公布最新智慧喇叭市場報告，預測到2019年底前，全球智慧喇叭的安裝數將達到2.08億臺，比2018年成長高達82.4%。分析機構還預期智慧喇叭安裝率將在二年內超越平板。以區域來看，美國仍以超過8,000萬臺為最大智慧喇叭市場，占全球42.2%。但是論成長潛力，東亞地區特別是中國，因擁有大量新興中產階級家庭以及願意擁抱新科技的勞動人口，將成為成長火車頭。Canalys估計中國的智慧喇叭的安裝數將比2018年成長166%，數量來到6,000萬臺，不但是所有主要市場中成長最快的，也是僅次美國的第二大市場。包括南韓、日本、加拿大，也都被預估今年會成長132%、131%及80%。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">智慧工廠 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 新漢 </span></strong></span></p> <p><span style="font-size:22px;"><strong>老牌工業硬體商變身工業4.0服務整合商，新漢展示首座3千坪智慧工廠</strong></span></p> <p>臺灣工業電腦製造商新漢，去年底在臺啟用首座工業4.0示範工廠，近日也對外公開內部細節。新漢去年砸了2億元，共花了3個月打造這座智慧工廠，並建置有兩條SMT產線與一條DIP產線，而且全面採用自動化生產、組裝，更結合工業物聯網與雲端技術整合工廠OT資訊，打造出自動化雲端戰情中心，可即時呈現工廠生產與營運資訊，以提高管理效率。新漢這座智慧工廠自去年10月啟用至今，已替這家公司提升多達3成工廠效率。新漢更要借助這次建廠實戰經驗，要從傳統工業硬體代工，變身工業4.0解決方案商。責任編輯⊙余至浩</p> <p>攝影／余至浩　圖片來源／Wing、Walmart、GCP</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多IoT動態 </span></strong></span></p> <p><strong>1.消弭窮人歧視爭議，Amazon Go無人店也將增設現金交易了</strong></p> <p><strong><strong><strong>2.工人智慧？傳Amazon以數千員工聽取Echo用戶對話來訓練Alexa</strong></strong></strong></p> <p><strong><strong><strong>3.美電信巨頭Verizon正式在美國兩大城市推出5G商用服務</strong></strong></strong></p> <p><strong><strong><strong>4.三星首款5G手機Galaxy S10最快5月在美上市</strong></strong></strong></p> <p><strong><strong>資料來源：iThome整理，2019年4月</strong></strong></p> </div></div></div>
2019/4/19 18:29作者余至浩https://www.ithome.com.tw/news/130111
HITCON率先取得八月DEF CO CTF奪冠資格，期待臺灣有第二隊一起入圍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>預計在今年8月8日～11日舉辦的DEF CON CTF全球駭客搶旗攻防賽，臺灣代表隊HITCON已經在今年4月12日於美國卡內基美隆大學PPP團隊舉辦的PlaidCTF 2019種子賽事中，由臺灣217代表隊奪冠，成功為HITCON率先取得DEF CON CTF決賽資格。HITCON CTF領隊李倫銓表示，217團隊不負眾望，順利拿下冠軍外，這一次臺灣的另外一個代表隊伍Balsn，也拿下第四名的好成績，李倫銓預期，預計在今年5月11日～13日由DEF CON CTF主辦方舉辦的DEF CON CTF初賽中，在去年初試啼聲便拿下第12名好成績的臺灣聯隊BFS，也可望拿下好成績，有機會和HITCON團隊再度一起出國比賽。</p> <p>DEF CON CTF比賽中，當年度決賽冠軍隊伍就是明年比賽的當然成員之一，所以，去年冠軍隊伍韓國隊DEFKOR00T也是今年決賽的當然成員外，DEF CON CTF在去年10月舉辦的第一個種子賽事HITCON CTF的冠軍Dragon Sector，去年11月舉辦的種子賽事RuCTFE 冠軍隊伍saarsec，去年12月舉辦的種子賽事C3CTF冠軍隊伍mhackeroni，加上今年4月舉辦的種子賽事PlaidCTF的冠軍隊伍HITCON，已經有五隊當然成員，因此，五月的DEF CON CTF初賽將會是各隊入圍決賽的關鍵賽事。</p> <p>此次PlaidCTF比賽中，團隊成員之一DaDa也分享表示，只差一個題目的解題就可以All Kill（通殺」，DaDa表示，今年題目跟去年Plaid Adventure一樣是由inform 7寫成的互動式文字遊戲，最後一提在結束前10分鐘，已經和另外一名團隊成員Angelboy寫完exploit，並在本地端確認可以執行，只可惜，最後主辦方的遠端伺服器remote server 故障，導致金鑰無法上傳，以致於無法順利解完全部的題目，這是今年最可惜的一件事情。</p> <p>DEF CON CTF的比賽不只是一種比攻防、繞洞、寫Exploit技能的比賽，更重要的是，透過這樣的比賽，臺灣也逐步培養出高階的資安人才，並慢慢展現出培訓成果。如同李倫銓所言，期待今年臺灣會有第二個入圍DEF CON CTF決賽的隊伍，一起向世界一流選手挑戰。</p> <p> </p> <p> </p> <p> </p> </div></div></div>
2019/4/19 18:37作者黃彥棻https://www.ithome.com.tw/news/130112
微軟研究院打造輔助視力低落使用者的開發工具包SeeingVR
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://www.microsoft.com/en-us/research/blog/advancing-accessibility-on-the-web-in-virtual-reality-and-in-the-classroom/">微軟研究院最近為Unity開發人員打造一套包含14項工具的開發工具包SeeingVR</a>，讓Unity App開發者能為視力低落的用戶新增更多輔助功能，微軟指出，由於低視力包含了許多視覺能力的問題，像是隧道視覺、盲點、亮度敏感度和低敏銳度視力等，微軟開發了14個工具，使開發者能夠根據不同的應用的需求、任務，靈活整合多種不同的工具，開發新的輔助功能。</p> <p>根據世界衛生組織的報告指出，視力低落的問題影響了全球大約2.17億人，視力低落指的是無法透過眼鏡來矯正視力障礙，雖然目前桌機軟體有為視力低落的使用者，提供多種輔助功能，例如，螢幕放大，但是VR系統確尚未為這群使用者提供輔助，且多數VR開發者或是團隊，也沒有接受過任何開發VR輔助功能的訓練。</p> <p>Unity是目前最廣泛使用的VR開發平臺之一，微軟研究院期望透過提供開發工具包SeeingVR的方式，提升視力低落使用者的VR使用體驗，在一個實驗範例中，利用放大鏡和雙焦距檢視（bifocal views）、亮度、場景對比調整和邊緣強化等工具，能夠讓虛擬物體在上變得更跳出背景，深度測量工具和虛擬場景文字和物體指引，則可以方便視力低落的使用者閱讀，這些主要的功能都可以應用於現有的Unity應用。</p> <p>最後，微軟研究院讓11名視力低落的使用者在VR中完成多種任務，並進行評估，像是選取選單、抓取物體、射擊移動中的物體等，結果發現，透過SeeingVR工具，與預設的VR體驗相比，所有的參與者都能夠更快且更準確地完成任務。</p> </div></div></div>
2019/4/19 16:10作者何維涓https://www.ithome.com.tw/news/130100
思科：國家級駭客持續攻擊中東及北非國家的DNS系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科（Cisco）旗下的威脅情報組織Talos<a href="https://blog.talosintelligence.com/2019/04/seaturtle.html" target="_blank">揭露</a>一起名為「海龜」（Sea Turtle）攻擊行動，指稱該行動從2017年1月到今年第一季，持續鎖定中東及北非地區13個國家的逾40個組織發動DNS攻擊，而且相信此一攻擊是由國家支持的駭客所為。</p> <p>「海龜行動」以DNS挾持作為主要的攻擊手法，藉由非法竄改DNS名稱紀錄把造訪者導至駭客所掌控的伺服器。該行動的主要受害者為國家安全組織、外交部、知名能源組織，以及替這些組織提供服務的第三方業者發動；而次要受害者則是DNS註冊商、電信業者與ISP業者。</p> <p>值得注意的是，駭客通常以第三方業者作為跳板來攻擊目標對象。</p> <p>其實外界已經察覺了「海龜行動」。瑞典的中立網路基礎設施Netnod在<a href="https://www.netnod.se/news/statement-on-man-in-the-middle-attack-against-netnod" target="_blank">今年1月遭到駭客攻擊</a>，坦承Netnod並非駭客的終極目標，駭客只是藉由Netnod取得其它國家之網路服務的登入憑證，受害者遍布中東、北非、歐洲與北美。而資安業者FireEye也在1月公布一起<a href="https://www.fireeye.com/blog/threat-research/2019/01/global-dns-hijacking-campaign-dns-record-manipulation-at-scale.html" target="_blank">全球性的DNS挾持攻擊</a>，並推測駭客源自伊朗。</p> <p>Talos認為，「海龜行動」顯示出駭客的高度攻擊能力與「厚顏無恥」。因為大多數的攻擊行動在被公開揭露之後就會停止或放緩，但主導「海龜行動」的駭客卻不受阻撓地持續進行攻擊。研究人員估計設計精密的「海龜行動」至少開採了7個安全漏洞，這些漏洞涉及phpMyAdmin、GNU bash系統、思科交換器、思科路由器、思科安全裝置、執行Tomcat的Apache伺服器，以及Drupal等。</p> <p>此外，DNS挾持只是駭客達到目的的手段，研究人員相信駭客的目的是為了竊取可存取目標系統或網路的憑證；先控制了目標對象的DNS紀錄，再變更DNS紀錄以將使用者引導至駭客伺服器，進而騙取使用者憑證，並利用這些憑證長期存取受害網路或系統。</p> <p>Talos建議各大組織或企業可啟用註冊鎖住服務（registry lock service），以避免DNS紀錄遭到不明竄改，或是替DNS的存取設定多重身分認證機制，假設懷疑已遭到駭客入侵，則最好全面更換用戶密碼，並修補各種已被公開的安全漏洞。</p> </div></div></div>
2019/4/19 16:20作者陳曉莉https://www.ithome.com.tw/news/130106
Amazon與Google和好了，Fire TV將有官版YouTube程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon與Google在4月18日<a href="https://press.aboutamazon.com/news-releases/news-release-details/amazon-and-google-announce-official-youtube-apps-launch-fire-tv" target="_blank">宣布</a>，Google將發表支援Fire TV的YouTube程式，而Amazon的Prime Video也將支援Chromecast及Android TV，雖然這並不是什麼了不起的合作，卻彰顯了兩家業者之間關係的破冰。</p> <p>Google與Amazon之間的不合最早可追溯到2011年，當時Google正在推動Android Market（即現在的Google Play Store），並不鼓勵第三方建造自己的Android程式市集，但Amazon卻大張旗鼓地招兵買馬，建立自己的Amazon Appstore，除了供Amazon產品使用之外，也支援其他Android裝置，還推廣到全球逾200個市場。</p> <p>讓彼此之間的嫌隙浮上檯面，則是Amazon自2015年陸續停售了Chromecast、Nest，也不曾賣過Google Home喇叭，亦不讓Chromecast用戶使用Prime Video服務。</p> <p>Google的對策則是不准Echo Show與Fire TV裝置存取YouTube，不僅是不在這些裝置上供應YouTube程式，就算是這些裝置直接連至YouTube網站也會被封鎖，一度引來媒體的大肆報導。</p> <p>然而，雙方在去年底打破了僵局，Amazon讓Chromecast與Nest都重新登上了該市集，繼之於今年4月宣布合作。</p> <p>根據Google與Amazon的協議，Google將發表支援Fire TV裝置及Fire TV版智慧電視的官方YouTube程式，而Amazon的Prime Video程式將支援Chromecast、內建Chromecast的裝置，以及基於Android TV的裝置。今年Google還會發表支援Fire TV的YouTube TV與YouTube Kids程式。</p> <p>雙方並未說明破冰的理由，只說很高興能夠在對方的平台上提供自己的服務。</p> </div></div></div>
2019/4/19 15:10作者陳曉莉https://www.ithome.com.tw/news/130098
AWS研究團隊找到改善Alexa語音和聲音辨識的新方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>AWS<a href="https://developer.amazon.com/blogs/alexa/post/9436a0fd-34d1-4121-8479-074e6a8c7c0f/two-new-papers-discuss-how-alexa-recognizes-sounds" target="_blank">發表</a>改善Alexa語音和聲音辨識的兩篇論文，皆是透過機器學習技術，來處理Alexa語音辨識的問題。</p> <p>AWS第一個介紹的方法，是針對Alexa接收到來自電子媒體的干擾問題，像是電視或是收音機的聲音，AWS團隊開發出一套能夠更好地辨識媒體音頻的方法，且能夠長時間持續檢查音頻，幫助Alexa過濾掉非用戶語音的背景聲音訊號。</p> <p>另一個方法則是利用外部資料集，透過半監督式學習法，來訓練出語音事件偵測模型，半監督式學習法是採用小型已標註的訓練資料集，來對照到大型未標註的資料集，尤其是，AWS團隊是用Tri-training的模式，也就是用三種不同的模型來訓練同一個任務，但是使用些微不同的資料集，再用最終輸出的結果，來校正半監督式學習常見的問題，因此，模型的錯誤最終會變改正。</p> <p>AWS的媒體偵測系統是建立在對聲音特徵的觀察，不管電子媒體聲音的內容，系統能夠辨識出所有常見的媒體聲音，AWS的網路模型設計就是試圖要從特定的訓練樣本中萃取出聲音特徵，首先，先透過卷積式神經網路（CNN）作為特徵萃取器，接著，就像許多在口語理解領域的機器學習模型，AWS也是用遞歸神經網路（RNN），該網路能夠有序地處理序列輸入，而每一層網路的輸出都會影響著下一層的輸入。</p> </div></div></div>
2019/4/19 15:30作者何維涓https://www.ithome.com.tw/news/130093
Mozilla更名物聯網平臺專案為WebThings，新版閘道器提供日誌紀錄功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla將去年發布的物聯網專案Project Things，正式更名為<a href="https://hacks.mozilla.org/2019/04/introducing-mozilla-webthings/">Mozilla WebThings</a> ，並釋出WebThings Gateway 0.8版本，讓使用者得以私密記錄智慧型裝置的資料，強化監控能力，也<span style="background-color:#FFD700;">新增警報</span>功能與網路配置使用者介面。</p> <p>推出Project Things的目的，是Mozilla想要打破大廠只想綁架消費者使用自家路由器，造成物聯網生態系破碎的現狀，並進一步抑制市場物聯網裝置的售價，經過一年多的發展，逐漸受到社群與製造商重視，因此現在Mozilla宣布，Project Things脫離實驗階段正式改名為WebThings。</p> <p>WebThings是一個使用網頁介面操作的監控裝置開發平臺，包含了兩個部分，分別是WebThings Gateway以及WebThings Framework，WebThings Gateway是一個智慧家庭閘道器軟體，強調隱私、安全和互通性，而WebThings Framework是一組軟體開發元件，讓開發人員建構網頁物聯網應用。</p> <p>宣布Project Things更名的同時，WebThings Gateway也釋出了0.8版本，既有的WebThings Gateway裝置將會自動更新。使用者現在可以在系統配置中的實驗性功能啟用日誌功能，而這個功能是要幫助使用者，更全面掌握家中物聯網裝置的使用情況，像是智慧插頭的耗能狀況、或是門開關次數等，這些資料可以被私密記錄，並且以互動式圖形，將資料視覺化給使用者觀看。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/logging.png" style="width: 600px;" /></p> <p>日誌資料數量非常龐大，Mozilla提醒，在樹莓派上使用應該注意SD卡的耗損，另外，使用者也可以橋接第三方服務，與他人共享資料或是進一步分析資料。</p> <p>WebThings Gateway 0.8新的警報功能（下圖）支援煙霧警報器、一氧化碳警報器和防盜器，使用者可以檢查裝置的狀態並設置規則，當屋主離家且這些裝置觸發時，即時通知屋主。Mozilla同時也改善了閘道器的設定，過去閘道器在不同無線網路切換相當麻煩，現在則可以直接在網頁介面下的配置中設定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/alarm.png" style="width: 600px;" /></p> </div></div></div>
2019/4/19 15:45作者李建興https://www.ithome.com.tw/news/130096
金融服務如何走進各種消費場景，將來銀行IT發展戰略大公開
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣第一個入口網站蕃薯藤（yam），在1995年推出了中文搜尋引擎，要弭平資訊取得的落差，讓網路走進每個人家中。時隔25年，蕃薯藤公司化後的第3號員工周旺暾，重回破壞式創新的舞臺，要來挑戰另一個傳統巨人，這次要讓金融服務走進各式各樣的消費場景。</p> <p>「當年，我們發現，圖書館最終會被搜尋引擎消滅。現在，實體銀行的概念也應該被消滅，回到銀行的本質，也就是提供金融服務。」這位臺灣第一代網路拓荒者，今年4月1日剛接下將來銀行籌備處資訊長兼技術長的周旺暾，一句話道出了銀行當前最大的挑戰。</p> <p>2017年，周旺暾離開了任職十多年的微軟，投入了陌生的網路電商平臺，而且擔任非技術職的人資長，2018年5月更進一步接下海外市場擴張的新任務，但又不到一年，他再次站上新舞臺，原因就是一個全新的艱難挑戰。</p> <p>金管會決定釋出2張純網路銀行執照，即將在今年6月公布花落誰家，擁有開立純網銀的資格。臺灣這張純網銀執照，是一個完整的商業銀行執照，可以推動所有商業銀行的業務，唯一的不同是，不能設立任何實體分行。所以，IT布局是純網銀最大的關鍵挑戰。</p> <p>「純網銀看似少了陸軍（實體分行），通路遭到限縮，但其實是好事，任何產品規畫上，反而可以直接跳過這段（實體分行），將力氣百分百專注在網路。」周旺暾解釋，一般商業銀行就算推出線上服務，還得考量實體分行的配套設計，純網銀反而完全沒有這類困擾，無須滿足其他通路的需求。</p> <p>「網路不會消滅掉傳統銀行，但純網銀擁有全新的機會，可以重新打造一家銀行。」他直言，這或許能成為其他銀行的示範，告訴大家銀行也可這麼做。</p> <p>不少銀行為了推動轉型，重新打造了自家行動銀行App，但周旺暾坦言，這還是希望用戶主動打開行動App來使用金融服務，這樣的思維，無法真正實踐未來Bank 4.0的模樣。他認為：「銀行要數位轉型，得先放下它原有的習慣，否則沒有辦法從根本重新思考。」這個反思，讓周旺暾毅然決然離開91APP，一腳踏進還只是個籌備處的將來銀行。</p> <p>早年的蕃薯藤開創經驗，讓周旺暾體認到，金融業得跳脫傳統銀行的思維，改用網際網路的思維，來提供金融服務。尤其，銀行不該只是被動等待客戶主動上門，而要打破銀行的身分，直接走進消費者或目標族群的活動場景，來提供客戶各種形式的金融服務。</p> <p>「我們不是要做銀行，而是要做金融服務。甚至，將來銀行要塑造這種思維的文化。」他強調。不過，如何做到？周旺暾舉例，傳統銀行與電商或實體連鎖通路合作時，能做到最好的整合服務是，為那些能開放的金融服務內容設計出API，但也多半僅止於此。API後續如何串接，API運作是否符合實際用戶的需求，銀行將這些工作，都劃分成了合作夥伴、電商的責任，不歸銀行管。</p> <p>但，「API要靠提供者與消費者（API使用者）才能共同串起完整生態系。」周旺暾指出，API提供者若願意往前多做一些，把API推到購物或消費情境，讓消費者用更少的力氣接上金融服務，就能將應用更快和實際場景結合。</p> <p><strong><span style="font-size:28px;">IT策略是先打造一家銀行，在此基礎往上發展</span></strong></p> <p>儘管純網銀執照仍未定案，但周旺暾已經開始考慮，未來一拿到純網銀執照後，接踵而來的是限時開業的壓力。所以，在有能力將金融服務嵌入各式場景之前。他們首先得先建置出一家銀行，先完成銀行的基本服務，像是存款帳戶、支付等功能，再開發網路銀行、行動銀行App等通路，來發展數位客戶。</p> <p>「在IT系統建置上，採取兩階段進行，先打造可用的系統，再開始發展我們想要的理想系統，有一天再來淘汰現在打造的系統。」這是將來銀行的IT策略。然而，他們現在不急著決定技術架構的設計，先藉助廠商來建立開業需要的系統，等到真正能開業後，再開始把某些功能拆分出來。</p> <p><strong><span style="font-size:28px;">以雲端思維打造IT系統，未來將拆分核心系統提升可擴充性</span></strong></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 250px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/39-1(%E6%8A%BD)_%E5%91%A8%E6%97%BA%E6%9A%BE_%E5%B0%87%E4%BE%86%E9%8A%80%E8%A1%8C_%E8%B3%87%E8%A8%8A%E9%95%B7_20190401_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 250px;" /></td> </tr><tr><td> <p><strong style="color: rgb(128, 128, 128);">將來銀行籌備處資訊長兼技術長周旺暾表示，銀行得回到本質，將金融服務嵌入各種消費場景，即時提供給消費者。(攝影／洪政偉)</strong></p> </td> </tr></tbody></table><p>IT策略不只如此，周旺暾也透露，未來會慢慢將銀行核心系統拆成6大功能，讓它們各自獨立存在，以子系統方式運作，無法拆解的系統就砍掉重練，再用新系統取代。</p> <p>就像許多銀行一樣，現在的銀行核心系統都採單體架構，這個架構最大的麻煩就是，它想包山包海，反而限制了元件（component）與元件之間的溝通，事件定義溝通方式早就預先定案，後續得增加新欄位才能延伸功能，但架構也會因此而變得越來越髒亂，最後不知道如何收斂，甚至沒有人敢延伸它。這是老舊銀行常見的日久疊床架物難題。</p> <p>所以，周旺暾認為，拆開核心系統的好處是，每個子功能有各自固定的任務，不論是定義資料或介面都會更清楚，而且容易延伸自己的功能，不會受其他元件或子系統的影響。另一個好處是，一開始就採取可擴展性的設計，未來系統要提升容量時，只需增加更多運算能力，搭配分散式儲存能力就可以，而不用像單體架構要提升效能時，只能不斷升級資料庫。</p> <p>在系統建置上，將來銀行一開始就要採取雲端思維來打造，所用的系統都必須能夠虛擬化。周旺暾表示，目前先以虛擬機器為基礎，等到建立了CI/CD（持續整合與派送）流程與文化後，後續有需要，自然就會將應用從虛擬機器遷移到容器環境上。</p> <p><strong><span style="font-size:28px;">資安規畫三大方向</span></strong></p> <p>資安對於純網銀來說，挑戰又更大，將來銀行資安規畫主要有三大方向。周旺暾認為，取得資安合規認證只是基準，資安必須有更深的作為。將來銀行第一個資安策略是，要做到「就算駭客攻進主機，也不能偷走任何資料。」他進一步解釋，在資料儲存與加密形式上得有不同的思考。資料儲存重視拆分，比如說可以將私鑰儲存在互相隔離的區域，或是將客戶個資打散後儲存放在不同的區域，如此一來，即便駭客拿到片段資訊，也沒有作用。</p> <p>「系統本身不只要防護力，還要有預警能力，能在第一時間發現，把火苗撲滅。」這是將來銀行第二個資安策略。周旺暾指出，駭客攻擊銀行兩大手法是DDoS攻擊與ATP攻擊，尤其是運用社交工程混進企業的ATP攻擊，現有基礎建設或資安認證都無法抵擋，而且潛伏期很長，容易在企業不注意時透過漏洞竊取資料。「內部得要建立一套預警系統，在駭客開始活動，並出現異常存取行為時，就能靠電腦監控所有異常，再告警相關人員採取應變措施。」</p> <p>周旺暾更要讓資安攻防變成一種經常性的演練，除了確保系統安全之外，更要確保資安人員能做出正確的反應，「這必須要練習，否則下錯決定，可能會造成更多漏洞出現。」他也透露，將來銀行會建立24小時的資安監控中心（Security Operation Center），監控銀行網路上每臺機器的動態，例如特定機器某一支程式權限突然提高成管理員，機房就應該要立即閃紅燈警示，若不是「維護中」的狀況，這就表示駭客進來了。</p> <p>銀行須以保全資料為最後手段，所以，最快速度偵測出駭客從哪裡進來，每一層防護遭攻破時，也應該馬上發現，立刻做出適當反應，再想辦法將駭客推出去，在駭客深入到最後一層的敏感性資料之前，能夠將駭客擋下來，這正是周旺暾想在將來銀行實現的資安防護力。「資安是動態攻防，而不是靜態過程。」他強調。</p> <p>不過，周旺暾提到，系統與系統之間也必須採取橫向式隔離的設計，這樣一來，就算某一個系統遭到攻陷時，也不會擴散影響到其他應用。就像航空母艦的船艙破了一個洞，為了繼續往前作戰，它會立刻將周邊閘門全部封死。所以，設立類似船艙的隔離機制是資安防禦第一步，再搭配預警系統，才能及時偵測來因應。</p> <p><strong><span style="font-size:28px;">打破功能性組織，並採取敏捷作法</span></strong></p> <p>相較於大部分銀行過於重視功能性與組織架構，以至於專案從規畫到推出市場，可能需要9個月到1年的時間。他認為，需要改造這樣的流程，當專案確定要進入市場前，一開始就得交由IT主導規畫，編列出預算與相關人力，由IT人員協助打造原型，進行簡報和展示來驗證可行性，如此一來，「從產品規畫到推出市場，只需3個月就能完成，這正是網際網路公司的速度。」周旺暾強調，將來銀行也要如此，得讓IT與產品緊密結合，加快執行專案腳步，「失敗了就趕快跳到下個案子執行」。</p> <p>這個敏捷思維，不只運用在敏捷開發，周旺暾認為，應該擴大到公司高層，而且運用到商業決策上，「整間公司從設計、產品規畫到面對消費者市場，都得是敏捷的作法」。他指出，敏捷最大的阻礙是，功能性組織的框架，所以，將來銀行會重新以消費者市場為導向區分組織，再來安排組織需要何種人力，而不是以功能性來分組。</p> <p><strong><span style="font-size:28px;">仿效邊緣運算找出開放API新模式</span></strong></p> <p>將來銀行籌備處在建起一家銀行後，便要開始與生態系結盟，首先就是要開放出API，周旺暾強調，他們要做的是有消費場景的API。他觀察純網銀賴以生存的想像空間是大數據，但要讓大數據發揮效果，重點不在資料量多寡，而是資料是否能夠跨領域，發揮出價值。</p> <p>將來銀行背後的股東也會是這個生態系的重要成員，包含了中華電信、兆豐銀行、新光集團、全聯實業、凱基銀行與關貿網路都拉進來變成生態系的一份子。「與每個股東密切合作，是將來銀行籌備處被賦予的重要任務。」周旺暾提到，股東合作是我們被賦予的任務，但會由將來銀行主導合作，目前以長期跨界合作為主，以利益共享，達到雙贏為合作方向。</p> <p>但要如何實現，尤其每家銀行都想透過開放API，把資料放到自家口袋，卻沒有一家真正成功。他認為，一開始就該先從商業合作角度來談，找出合作方的哪些資料對銀行有意義，談攏後可將運算模型部署到合作方的雲端環境，讓合作方的資料先在自家環境進行運算處理後，再透過網路將結果分享給銀行。</p> <p>這就像是一種邊緣運算的概念，「才能跳脫個資法或是資料擁有權保護的談判，以合作代替資料的匯流。」這正是周旺暾兼顧技術與商業角度找出來的跨界合作新模式。文⊙李靜宜</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> CIO小檔案 </span></span></strong></p> <p><strong>將來銀行籌備處資訊長兼技術長周旺暾</strong></p> <p>學歷：臺灣大學資訊工程學系暨研究所碩士</p> <p>經歷：周旺暾是臺灣第一個網際網路入口網站蕃薯藤（yam）公司化後的第3號員工。2004年進入臺灣微軟，負責雲端與資安等產品線的事業發展。2017年接任91APP人資長，隔年5月接手91APP拓張海外市場事務，擔任資深副總。今年4月就任將來銀行籌備處資訊長兼技術長。</p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(51, 153, 255);"> 公司檔案 </span></strong></p> <p><strong>將來銀行籌備處</strong></p> <p>● 成立時間：2018年10月03日</p> <p>● 執行長：劉奕成</p> <p>● 總經理：梅驊</p> <p>● 員工數：40人（截至4月17日）</p> <p>● 股東組成：中華電信41.9％、兆豐國際商業銀行25.1％、新光集團14％（新光人壽10％、新光銀行2％、新光保全1％、大台北區瓦斯1％）、全聯實業9.9％、凱基銀行7％、關貿網路2.1％</p> <p>● 地址：臺北市信義路四段88號</p> <p>● 網址：<a href="http://www.nextbank.com.tw/">www.nextbank.com.tw/</a></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 資訊部門檔案 </span></strong></p> <p>● 資訊部門名稱：資訊部</p> <p>● 資訊部門主管：周旺暾</p> <p>● 資訊主管職稱：資訊長兼任技術長</p> <p>● 資訊部門人數：6人（截至4月17日）</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IT大事記 </span></strong></span></p> <p>● 2018年10月3日：將來銀行籌備處成立</p> <p>● 2019年2月14日：將來銀行籌備處向金管會遞送文件，完成純網銀執照申請作業</p> <p>● 2019年4月1日：將來銀行籌備處資訊長兼技術長周旺暾正式上任</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/05_nei_ye_zhou_wang_tun_jiang_lai_yin_xing_zi_xun_chang_20190401_hong_zheng_wei_she_.jpg" width="960" height="420" alt="" title="將來銀行籌備處資訊長兼技術長 (攝影／洪政偉)" /></div></div></div>
2019/4/19 14:14作者李靜宜https://www.ithome.com.tw/people/130092
Google正式提供歐盟Android用戶，有選擇第三方搜尋引擎及瀏覽器的權利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周四<a href="https://www.blog.google/around-the-globe/google-europe/presenting-search-app-and-browser-options-android-users-europe/" target="_blank">公佈</a>從未來幾周內正式實作，讓歐盟的Android裝置用戶可以自由選擇安裝Google 搜尋及Chrome瀏覽器以外的產品。</p> <p>去年7月歐盟針對Google以強迫Android手機及平板業者安裝搜尋、地圖等自家服務<a href="https://www.ithome.com.tw/news/124652" target="_blank">重罰</a>這家科技大廠43.4億歐元，今年3月Google<a href="https://www.ithome.com.tw/news/129499" target="_blank">宣佈</a>遵從歐盟判決定的新措施，並於4月18日通知歐盟Android用戶會看到的改變。未來幾周內，現有及新Android裝置更新到最新版Google Play後，在首次開啟時將出現2個視窗，分別提供搜尋引擎app和瀏覽器的選擇。每個視窗都包含5種選擇，其中包含裝置內已安裝的app，再依受歡迎度加入其他選擇，並以隨機順序顯示。</p> <p>例如搜尋引擎提供Google、Qwant、DuckDuck Go、Ecosia及Seznam，瀏覽器則有Chrome、Firefox、Microsoft Edge、Opera及Puffin等選擇。</p> <p>使用者可以任意安裝想要的app。用戶安裝其他搜尋app或瀏覽器時，會出現一個有新視窗顯示新app要怎麼設定（如產生圖標、widget或設定預設）。而用戶下載搜尋app時，也會有訊息問他是否要變更Chrome裏下次開啟時的預設搜尋引擎。</p> <p>Google表示，未來還會陸續加入更多遵從歐盟判決而實作的變更。</p> </div></div></div>
2019/4/19 12:15作者林妍溱https://www.ithome.com.tw/news/130089
駭客利用iOS上的Chrome漏洞傳遞惡意廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門攔截惡意廣告的Confiant近日<a href="https://blog.confiant.com/massive-egobbler-malvertising-campaign-leverages-chrome-vulnerability-to-target-ios-users-a534b95a037f" target="_blank">指出</a>，有一駭客集團eGobbler開採了iOS版Chrome瀏覽器的漏洞，向iOS用戶遞送惡意廣告，在6天之內發動8次攻擊，遞送30個惡意廣告，且受害用戶可能高達5億。</p> <p>Confiant的研究人員Eliya Stein說明，駭客通常是利用期間挾持（Session hijacking）來遞送惡意廣告，也許是將使用者的流量重新定向至其它網站，或者是跳出新的視窗，不過，這兩種手法可以透過沙箱或瀏覽器內建的跳出視窗攔截機制來防堵。</p> <p>儘管瀏覽器的視窗攔截機制非常有效，使得基於跳出視窗的期間挾持並不常見，但Confiant卻發現eGobbler依舊能在Chrome的瀏覽期間跳出惡意廣告。</p> <p><a href="https://twitter.com/eliyastein/status/1118250267148017665" target="_blank">Stein指出</a>，eGobbler是以跳出視窗而非重新定向來挾持瀏覽期間，從技術上來看它繞過了Chrome for iOS的跳出視窗攔截機制，但某種程度來說它卻是個沙箱旁路漏洞，因為沙箱成功封鎖了重新定向，卻放行了跳出視窗廣告。</p> <p>eGobbler所遞送的惡意廣告為常見的得獎詐騙，宣稱使用者只要輸入個人資料就有機會中大獎，但其實是用來蒐集個資的詐騙行動，相關攻擊鎖定iOS用戶，目前主要影響美國與歐洲市場。</p> <p>Confiant亦打造出該漏洞的概念性驗證攻擊程式，Google則已收到通知並正調查中。</p> </div></div></div>
2019/4/19 12:50作者陳曉莉https://www.ithome.com.tw/news/130090
打不過阿里巴巴、京東，Amazon將於7月關閉中國版網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電商巨人亞馬遜（Amazon）在中國打不過地頭蛇阿里巴巴、京東（JD.com）等業者，Amazon將在7月18日關閉中國版電商網站，未來專注在中國銷售雲端服務及外國商品。</p> <p><a href="http://fortune.com/2019/04/17/amazon-chinese-store-china-mainland/" target="_blank">《財星》</a>雜誌及<a href="https://www.reuters.com/article/us-amazon-com-china/amazon-to-close-domestic-marketplace-business-in-china-sources-idUSKCN1RT2A7" target="_blank">路透</a>分別引述消息來源報導，隨後Amazon也證實此事。</p> <p>Amazon的中國版網站Amazon.cn將在7月18日起停止營運，也不再提供中國本地賣家的銷售服務。Amazon將會就此通知賣家。該公司表示將與本地賣家合作確保順利轉換，確保最佳的客戶體驗。</p> <p>路透社<a href="https://www.reuters.com/article/us-amazon-com-china/amazon-to-close-domestic-marketplace-business-in-china-sources-idUSKCN1RT2A7" target="_blank">引述</a>市調公司iResearch的數據，顯示阿里巴巴的天貓及JD.com掌控了中國去年82%的電子商務交易量。分析師也說，Amazon關閉中國電子商務網站，原因是他們在中國業務既未成長，也沒賺到錢，</p> <p>在關閉中國版亞馬遜網站後，中國消費者仍然可以在美國、英、德及日本版Amazon下單購買商品。另一方面，中國賣家還是可以透過Amazon Global Selling平台外銷其產品。</p> <p>Amazon還表示，Kindle電子書裝置及AWS雲端服務仍然會持續在中國的銷售業務。</p> <p>除了電子商務平台，其他在全球熱賣的產品如<a href="https://www.ithome.com.tw/news/129995" target="_blank">智慧喇叭</a>及蘋果iPhone，來到中國幾乎全部都被本地產品打趴，智慧喇叭Amazon Echo、Google Home不敵阿里巴巴「天貓精靈」、小米「小愛」及百度「DuerOS」，而華為、Oppo、vivo等則強壓iPhone，根據Counterpoint公司的<a href="https://www.counterpointresearch.com/china-smartphone-share/" target="_blank">數據</a>，iPhone在2018年第4季市佔率為12%，居第4位。</p> </div></div></div>
2019/4/19 13:10作者林妍溱https://www.ithome.com.tw/news/130091
Rust釋出1.34支援crates.io以外的替代註冊表
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.rust-lang.org/2019/04/11/Rust-1.34.0.html">Mozilla釋出Rust最新版1.34</a>，最大亮點在於增加了替代Cargo註冊表，也增加了對文件測試？的支援，並改進#[attribute(..)]功能，讓客製化屬性接受任意令牌串流（Token Streams）。</p> <p>從Rust 1.0開始就開始提供服務的公共Cargo註冊表crates.io，這個註冊表雖然方便，但只能用於公共開源專案，維護閉源以及專有原始碼的開發者，得被迫使用git或其他路徑，這樣的替代方式僅適合小型專案，對大型組織來說，其大量的閉源程式碼Crate，將無法獲得crates.io版本控制的好處。</p> <p>而在Rust 1.34版中，Cargo可以使用替代註冊表，這些註冊表能夠與crates.io共存，開發者可以開發同時依賴crates.io和自定義註冊表的Crate，但需要注意的是，crates.io上的Crate不能相依於外部註冊表。</p> <p>另外，從這個版本開始，開發者已經可以於fn main()、#[test]函式以及文件測試doctests中使用？運算子，並獲得回傳結果Option <T>或Result <T，E>。fn main()和#[test]對？的支援已經在多個版本中實現，而在Rust 1.34中，則是提供在doctests完全支援？。doctests文件測試是rustdoc支援執行以文件範例作為測試，讓開發者確定自己的測試是最新且有用的，而？運算子則與C++中的try功能相似，用於錯誤處理。</p> <p>在Rust中，程序式巨集（Procedural Macros）可以定義使用的客製化屬性，而這些屬性僅限於特定語法構成的路徑樹以及文字，例如這些屬性無法寫成#[range(0..10)]，而是必須寫作#[range(“0..10")]，但在這個Rust版本，客製化屬性接受任意令牌串流，官方提醒開發者，程序式巨集Crate作者，需要檢查客製化屬性是否在語法中，含有不必要的字串，用令牌串流會是更好的表達方式。</p> </div></div></div>
2019/4/19 11:22作者李建興https://www.ithome.com.tw/news/130076
Visual Studio將棄用Coded UI Test，建議開發者轉使用開源測試工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣佈，他們將在<a href="https://devblogs.microsoft.com/devops/changes-to-coded-ui-test-in-visual-studio-2019/">Visual Studio中棄用跨瀏覽器測試解決方案Coded UI Test</a>，其最新發布的Visual Studio 2019，將是包含Coded UI Test功能的最後一個版本，開發者可以在新專案中，選擇開源工具Selenium和Appium作為替代。</p> <p>Coded UI Test適用網頁與桌面應用程式的使用者介面驅動自動化測試，在測試使用者介面驗證與邏輯上特別有用。隨著生態系的成熟，功能相似的開源工具諸如Selenium和Appium蓬勃發展，背後還有強大的社群支援，現在已經成為行業標準工具，且Selenium和Appium都能跨平臺工作，支援多種語言，而微軟的Coded UI Test本身就是基於Selenium開發的，因此功能重複性相當高。</p> <p>微軟提到，測試自動化的重心正在改變，從原本使用者介面驅動逐漸轉向單元測試以及API測試，他們發現比起使用Coded UI Test，開發者更傾向選擇使用Selenium和Appium，而且他們也只會使用一部分的測試功能，以減少不必要的冗餘工作。</p> <p>而微軟棄用Coded UI Test的替代方式，就是建議用戶開始轉向使用Selenium和Appium，Selenium適合用於測試網頁應用程式，Appium和WinAppDriver則可以用於測試桌面和UWP應用程式，而Dynamics 365應用程式，則建議使用基於Selenium建構的EasyRepro框架測試。</p> <p>微軟並不會馬上停止支援Coded UI Test，因此使用者仍然可以繼續使用，在接下來5年還是能獲得完整的支援，在部分情況支援還可以延長5年，但所謂的支援僅限於對特定錯誤的修補，微軟不會再為Coded UI Test增加任何新的功能。開發者也不需要擔心，因為系統中可以安裝多個版本的Visual Studio，也就是說，當未來新版本Visual Studio釋出後，使用者電腦仍然可以安裝Visual Studio 2019繼續使用Coded UI Test。</p> <p>在Azure DevOps中使用Coded UI Test，CI/CD工作管線中的測試會與安裝的Visual Studio版本綁定，較新版本的Azure DevOps Server仍繼續支援Visual Studio 2019到其生命周期結束，因此開發者不會需要在搬遷的過程，維護兩個版本的Azure DevOps Server。微軟沒有提供任何的搬遷工具，協助開發者把Coded UI Test的工作搬移到Selenium或Appium上，微軟建議開發任何的新產品，應該使用Coded UI Test的替代方案，以便在Visual Studio生命周期結束之前完成轉移。</p> </div></div></div>
2019/4/19 11:25作者李建興https://www.ithome.com.tw/news/130084
YouTube音樂可以在Google Home音響上免費播放了！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://youtube.googleblog.com/2019/04/enjoy-youtube-music-free-on-google-home.html">YouTube音樂可以在Google Home的音響上免費播放了</a>，使用者可以透過Google語音助理，讓Google Home音響播放自己喜好的音樂，且YouTube音樂不只支援Google Home音響，只要是備有Google語音助理的音響都有支援，不過，因為是免費方案，播放音樂時會有廣告出現，目前第一批於美國、加拿大、墨西哥、澳洲、英國、德國、法國、義大利、西班牙、荷蘭和日本等多個國家中推出，陸續還會支援更多國家。</p> <p>若用戶已經擁有Google Home音響，只要到Google Home應用程式的帳戶設定，點選服務和選擇音樂，接著選擇YouTube音樂作為預設的音樂服務，就能開始用Google Home音響播放YouTube音樂，而若用戶升級為每個月9.99美元的YouTube音樂Premium方案，將能夠從智慧音響上獲得更多控制音樂的功能，像是請求播放特定的專輯、音樂、歌手或是清單，還提供像是無限換曲和重播等有用的播放控制。</p> </div></div></div>
2019/4/19 11:30作者何維涓https://www.ithome.com.tw/news/130085
臉書說「不小心」蒐集了150萬用戶的郵件聯絡人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書被揭露2016年起在未經用戶同意下蒐集並上傳用戶電子郵件信箱的聯絡人資料。臉書說資料是不小心上傳到其平台，他們已經於上個月停止蒐集行為，且會刪除蒐集到聯絡人資料。臉書並更新三月間密碼以明碼儲存的IG用戶數，不是數萬而是數百萬。</p> <p>Business Insider周四<a href="https://www.businessinsider.in/Facebook-says-it-unintentionally-uploaded-1-5-million-peoples-email-contacts-without-their-consent/articleshow/68930320.cms" target="_blank">報導</a>在追蹤另一案件時發現此事。今年三月代號為e-sushi的安全研究人員3月時<a href="https://twitter.com/originalesushi/status/1112496649891430401" target="_blank">發現</a>，臉書要求新使用者輸入電子郵件信箱的密碼；臉書說，若想持續其服務，使用者必須驗證其郵件信箱並輸入密碼。這讓臉書可以自動登入用戶的郵件信箱。研究人員指出，這是很糟的主意，因為臉書「基本上是在竊取不應該知道的密碼」。此事也於3月由媒體The Daily Beast<a href="https://www.thedailybeast.com/beyond-sketchy-facebook-demanding-some-new-users-email-passwords" target="_blank">報導</a>。</p> <p>不過事情還沒結束。Business Insider在測試臉書上述行為時，發現到一旦用戶輸入密碼，臉書在未取得用戶同意前，就跳出一個訊息告知它正在「匯入」用戶聯絡人資料。重點是，用戶無法提前退出（opt out）、匯入途中也無法取消或中止。</p> <p>在被媒體求證時，臉書坦承從2016年5月起，提供了一個以用戶電子郵件密碼驗證帳號，並且上傳聯絡人的選項。臉書估計，有150萬名臉書用戶的聯絡人資料「不小心」被上傳到臉書。臉書後來修改了這項功能，也刪除告知聯絡人上傳的訊息，但底層的運作則仍然持續。</p> <p>這家社群平台稱，絕沒有藉此存取用戶的郵件內容，也未將聯絡人資料分享出去。至於總共有多少筆聯絡人電子郵件或個資因此被蒐集，臉書則不願說明。</p> <p>或許是因為3月間被研究人員發現且被媒體報導，臉書說上個月就停止了以電子郵件密碼驗證的功能，也修復了「底層」問題。他們表示會將蒐集到的聯絡人資料刪除，也會通知被蒐集到資料的使用者。臉書用戶們也可以在其設定中，一覽並管理他們「分享給」臉書的聯絡人資料。</p> <p>臉書資料有意或無意外洩的事件已經多到可用罄竹難書來形容。從去年劍橋分析外洩8700萬名用戶個資之後，9月間再<a href="https://www.ithome.com.tw/news/126162" target="_blank">發生</a>一個存在一年多的更新影片上傳功能，有程式碼漏洞未修補，導致該公司史上最大規模資料外洩事件，至少5,000萬名臉書帳戶資訊恐遭駭客竊取。</p> <p>3月間安全研究人員<a href="https://www.ithome.com.tw/news/129101" target="_blank">發現</a>臉書要求用戶提供雙因素驗證（2 Factor Authentication，2FA）用的電話號碼，反而使用戶曝露在被其他人搜尋到的風險。</p> <p>此外，同一個月內，臉書還<a href="https://www.ithome.com.tw/news/129511" target="_blank">被爆</a>數億Facebook Lite用戶、數千萬臉書用戶及「數萬名」IG用戶密碼從2012年起就以明文儲存，且至少有數千名員工已經搜尋過。但臉書4月18日更新部落格<a href="https://newsroom.fb.com/news/2019/03/keeping-passwords-secure/" target="_blank">指出</a>，它之後發現明碼儲存的IG用戶密碼不是數萬筆，而是數百萬筆。臉書將追加通知這些用戶，同時強調並未被公司員工濫用或不當存取。</p> </div></div></div>
2019/4/19 11:35作者林妍溱https://www.ithome.com.tw/news/130087
【臺灣資安大會直擊】企業應用系統開發流程轉型更要納入資安，從系統管理、程式碼、政策框架做好DevOps安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來應用系統開發的流程，可說是大幅變化，訴求整併開發與維運的DevOps，已經是大勢所趨，但在此同時，企業也面臨嚴峻的資安環境，因此，將資訊安全納入這樣的開發流程，相形更加重要，如今，不光只是保護系統不受資安威脅，而是要資安擴及DevOps的所有環節，從底層開始做起。在2019臺灣資安大會上，中國文化大學推廣教育部資訊長陳仁偉認為，企業在落實DevOps的過程中，資訊安全不只是要從系統層避免出錯（DevOpsSec），還要進一步透過程式碼編寫的過程就做好防範（DevSecOps），甚至更終極的目標，則是要由架構層面進行防呆（SecDevOps），讓資安從研發的底層就開始做起。</p> <p>陳仁偉說，DevOps的資安是要「向左走」，也就是從DevOpsSec做到SecDevOps，終極目標便是DevOpsSec、DevSecOps，以及SecDevOps三者兼顧，因此，前述涉及不同層面的DevOps資安，也有人統整寫成SecDevSecOpsSec。陳仁偉說，企業同時要調整開發流程，建立團隊合作的文化，並且充實開發人員的資訊安全知識，整體而言他認為是知難行易，越做越輕鬆，雖然看起來執行難度並不低，工作項目也很多，但以陳仁偉自身的經驗來說，隨著企業架構層面落實越徹底，後續運作上的問題也會減少。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DevOpsSec-to-SecDevOps.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DevOpsSec-to-SecDevOps.png" style="width: 580px;" /></a></p> <blockquote><p>陳仁偉指出，企業做好DevOps的資訊安全依照推動順序，共有3種層面，分別是系統安全（DevOpsSec）、程式碼安全（DevSecOps）、架構安全（SecDecOps）。</p> </blockquote> <p>在以往看待DevOps的角度上，大都是著眼於管理上的難題，也就是開發部門與維運部門合作，在兼顧產出的軟體品質的前題下，改善開發流程，因此，企業可能會覺得知易行難。陳仁偉想要藉由將資安視為核心價值，突破許多企業從管理層面檢視的盲點，使得公司開發流程轉型時，能夠更為順利。</p> <h2><strong>尋求外部單位監督，是落實開發安全的積極作為</strong></h2> <p>而做到落實有關的資安防護，陳仁偉以自身曾經擔任過大學入學考試中心處長的經驗，表示就是要透過監管機制。他說，考試的業務與資安有許多的共通之處，包含了涉及利害關係人眾多，且面臨各界近乎苛刻要求，主事者必須推動一套可行的作業程序，達到零缺失。因此，想要達成上述的目標，不只是要監管，陳仁偉認為，最好應該像國家安全會議諮詢委員李德財所提倡的方式，由獨立外部單位執行監管和驗證（Independent Verification and Validation，IV&V）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DevOps_CyberSecurity_scope.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DevOps_CyberSecurity_scope.png" style="width: 580px;" /></a></p> <blockquote><p>在DevOps納入資訊安全後，合作模式便有所變化，在既有的開發、維運，以及品保（QA與QC）之外，也要將外部單位監管及驗證（Independent Verification and Validation，IV&V），納入其中。</p> </blockquote> <p>在3種DevOps資安做法的規畫上，陳仁偉總共拆解成3種要素，分別是基本的要求、規定，或是法令，這是偏向消極作為的層次；再者，則是具體的運作機制，至於想要做到前述的零缺失，就要從監管著手，這是較為積極的態度。這樣的概念放到DevOps的資訊安全上，基本層面原則上都是遵循ISO 27001，運作機制則是各項管理作為，而積極面部分，就是由品質保證部門（QA）執行進一步的監督。</p> <h2><strong>落實管理是DevOps資安的基礎</strong></h2> <p>想要做好DevOps的資訊安全，陳仁偉說，企業要先從系統安全不出錯開始做起，也就是DevOpsSec的部分。針對系統安全運作的管理，他認為包含了要做到組態管理、程式碼簽章憑證、程式碼的版本控管、人員的職責要確實畫分、事件管理、使用者測試、弱點掃描、應用程式配置管理，以及行動版應用程式的安全管理等。</p> <p>其中，陳仁偉強調人員的職責區分要落實，包含系統設計師（SD）要依照操作人員（OP）提出的需求，開發出相關程式，且在獨立測試區通過測試後，由專人上線，操作人員再依照工單執行程式。而且，無論是系統設計師還是操作人員，都不應該直接接觸到公司的機敏資料。</p> <p>針對事件的管理上，陳仁偉提出他曾在大考中心建置的iSEC系統（IT Service and Security Enabling Capacity），整合IT服務管理、資訊安全，以及個資保護管理，將這些業務工單化，統一控管處理流程。</p> <p><a href="https://s4.itho.me/sites/default/files/images/iSEC-helpdesk.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/iSEC-helpdesk.png" style="width: 580px;" /></a></p> <blockquote><p>資安事件處理流程也採用IT維修中，常見的事件通報和指派機制，陳仁偉建置的iSEC系統（IT Service and Security Enabling Capacity）裡，就是以這樣的方式列管資安事件，以圖中的個資外洩事件為例，過程之間便有專責人員負責釐清、調查，再交由相關部門後續處置。</p> </blockquote> <p>再者，行動裝置應用程式也是陳仁偉認為特別需要防範的部分，尤其管理上又比起PC困難，因此在實務上，他的單位會限制員工只能在內部環境的特定網段使用，或者是透過VPN連線存取，進而掌握員工的使用者流量。</p> <p>至於監管的部分，陳仁偉則提出要定期由外部單位執行使用者測試、弱點掃描，以及滲透測試等。</p> <h2><strong>從程式碼檢核著手強化安全</strong></h2> <p>在做好DevOps管理的環節之後，陳仁偉認為，企業應該進階到DevSecOps，朝向程式碼安全進行提升。管理的方向包含了開發環境的管制，程式碼的單元與整合測試，還有上線管理等。而在品保的層面，則是要針對程式碼與有關的元件，進行審核。</p> <p>針對開發環境的管理，雖然型態上可區分成連線與離線環境，但管理上的共同點，都是要使用研發部門專屬的AD網域、程式碼的版本管理系統（如GitHub和Git），還有工作用和開發用的電腦必須有所區隔。</p> <p>而在程式碼的審核流程，這裡陳仁偉引用了Hands-On Security in DevOps一書中，所列的各種措施，包含要審查整合式開發環境（IDE）附加元件的程式碼，還有針對系統設計師產出的程式碼，執行靜態審核與最終的目標程式碼審核等。其中，靜態審核的類型又區分成4種：靜態應用系統安全測試（SAST）、動態應用系統安全測試（DAST）、互動式應用系統安全測試（IAST），以及執行期間應用系統自我防護（RSAP）等。</p> <h2><strong>不只做好還要防呆，從架構層級預防潛在的資安風險</strong></h2> <p>有了各式程式碼檢測與審核機制之後，陳仁偉認為，企業就該從架構層面著手，採取保守主義，提升為SecDevOps。像是程式開發過程中，只採用已經經過資安驗證的函式庫（Library）和指令樣式庫（Pattern），若是有新的函式庫與指令樣式庫，則要經理雛形資安驗證，才能納為可使用的模組。再者，則是對於開發人員採用的函式庫及指令樣式庫，也透過監管系統，定期稽核。</p> <p>陳仁偉強調，企業若是做到了SecDevOps，前述DevSecOps的程式碼問題也會大幅降低，只剩下組合、規則邏輯，以及流程有關的資安問題。</p> <p>再者，安全架構還包含了使用者端的軟硬體規畫，以及應用系統的軟體設計安全檢核，並且進一步納入主動偵防機制等。</p> <p>例如，在建議電商平臺時，許多網頁開發者偏好採用動態網頁，導致網頁很容易成為駭客下手的目標，因此，陳仁偉為了減少企業資料對外曝露，他在建置產品清單的網頁時，是採取靜態網頁，而網頁的內容則是每天半夜批次更新，雖然靜態網頁的內容容易遭到複製，卻比較不會成為攻擊目標。再者，則是在客戶下單之後，利用顧客的ID與產品ID，將交易的資料回傳，有心人士較難從中得知交易的明細。而這些都是落實前述的保守策略後，所帶來由架構上防禦的優點。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WebStore-dynamic-pricelistpage.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WebStore-dynamic-pricelistpage.png" style="width: 580px;" /></a></p> <blockquote><p>時下許多網頁設計師偏好採用的動態網頁，雖然使得開發更便利，但陳仁偉認為，這種做法在電商網站中，很容易成為駭客下手的目標，而且也會因為在使用者存取產品清單網頁時，即時透過網站伺服器向資料庫查詢，導致執行效率大幅降低。</p> </blockquote> <p>因此，在DevOps的資安防護上，陳仁偉認為，SecDevOps、DevSecOps，以及DevOpsSec三種防護策略，其實是相輔相成，陳仁偉也指出，為了避免相同的錯誤重覆出現，企業應該針對DevSecOps與DevOpsSec的部分，建立標準作業程序，同時也要納入稽核管理的範圍。像是經滲透測試後已修改上線的新版應用系統，若是因為沒有標準作業程序可遵循，導致遭到其他網管人員操作錯誤，以舊版本覆蓋，那麼實際上形同沒有修補相關的弱點。</p> </div></div></div>
2019/4/19 10:14作者周峻佑https://www.ithome.com.tw/news/130082