iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 33篇
近 7 天: 130篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/10 02:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 130 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

金管會將持續要求金融業營運不中斷，多家金融機構已啟動異地辦公來防疫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心在3月5日發布<a href="https://www.ithome.com.tw/news/136189">企業因應嚴重特殊傳染性肺炎（COVID-19）疫情持續營運指引</a>，給了臺灣所有企業一份疫情應變準則，包括銀行、保險、證券等金融業者，其實也可以參考該指引，做出相關應變對策。</p> <p>目前，這份指引，將疫情情境區分為現階段（零星社區感染）及發生持續性或廣泛性社區傳播這2大情境，建議企業依照當前疫情進行應變，來維持業務營運持續，儘量將損失減至最低。</p> <p>對此，金管會則回應，在2月中時已對銀行祭出5大營運不中斷要求，要求銀行遵守，金管會也會依照該原則，要求銀行繼續進行必要的防疫措施。此外，金管會也提到，會持續依照中央流行疫情指揮中心的發布，來配合辦理。</p> <p>其實，5大營運不中斷要求中，已經要求國內銀行研擬防疫應變措施，且需保持疫情訊息即時傳遞，若國內外從業人員有確診情形，使得該機構的辦公方式改變，就必須立即電話通報金管會。金管會也要求各銀行、總行、各分支機構，應經常實施辦公環境及營業場所的消毒工作。另外還要研擬人力調度機制，來分散員工感染風險。</p> <p>各銀行也應依照疫情等級，確實依據「金融事業機構災害防救作業要點」，來訂定災害緊急應變措施，建立指揮中心來監測各種可能情況、即時作出應變。銀行局副局長黃光熙先前也曾說明，銀行面對緊急事件時，本來就有制定災難應變計畫，力求在法規允許範圍內維持營運持續，比如平時就設置異地備援機制，來確保核心系統不中斷等。</p> <p>金管會也在3月3日宣布，金融業已有36家金融機構正式啟動異地辦公。在銀行業的部分，根據銀行局統計到2月27日的數據，共有13家銀行回報銀行公會，該總行部分部門已經開始採取異地辦公，包括台北富銀銀行、王道銀行、新光銀行、遠東銀行、永豐銀行、玉山銀行、台新銀行、日盛銀行、京城銀行、板信銀行、三信銀行、瑞興銀行、台中商銀等。</p> <p>保險業部分，根據保險局統計到3月3日數據，已有14家保險公司啟動異地辦公。壽險業有國泰人壽、富邦人壽、南山人壽、三商美邦人壽、台灣人壽、中國人壽、新光人壽、康健人壽、遠雄人壽、法國巴黎人壽、友邦人壽、保誠人壽等12家。產險業則有明台產險、台壽保產險。</p> <p>而證券期貨投信投顧業者部分，根據證期局統計到2月27日的數據，則有9家已啟動異地辦公。包括了香港滙豐證券、摩根大通證券、摩根史坦利證券、玉山證券、法銀巴黎證券、野村證券、永豐金證券、滙豐中華投信、摩根投信等。</p> <p>金管會說明，國內各金融機構皆已啟動營運不中斷計畫，不過，關於啟動時間點還有作法，各家也有所不同，像是異地辦公也只是其中一項而已，這部分主管機關給予業者高度尊重。此外，金管會也表示，其他未在名單上的金融機構，接下來也都會陸續啟動。</p> </div></div></div>
2020/3/6 13:55作者李靜宜https://www.ithome.com.tw/news/136196
Go加入新版協定緩衝區API，但會無限期支援舊版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.golang.org/a-new-go-api-for-protocol-buffers">Go官方宣布釋出新的協定緩衝區（Protocol Buffers）API版本</a>，其主要提供了反射（Reflection）功能，讓開發者能夠檢視協定緩衝區類型系統的數值。協定緩衝區是獨立於任何開發語言的資料交換格式，為序列化結構資料的擴充機制，與XML類似，但是更小更簡單。</p> <p>Go原本的協定緩衝區套件已經釋出了十年，但是隨著使用者需求的成長，該套件也越來越不敷使用，Go官方提到，不少開發者使用Go反射套件，撰寫程式來檢查協定緩衝區的訊息，但是因為反射套件只可檢視Go的類型和數值，會忽略來自協定緩衝區類型系統的資訊。官方舉例，當開發者撰寫一個走訪日誌項目，並且清除所有註釋欄位中敏感資料的函式，但是因為註釋欄位並非Go類型系統的一部分，所以處理起來就比較麻煩。</p> <p>除此之外，開發者也有使用動態訊息類型這類，非由協定緩衝區編譯器產生的資料結構的需求。官方還提到，proto.Message介面也常是問題的來源，雖然該介面會辨識生成訊息類型的值，但是卻幾乎沒有描述這些類型的行為，因此當用戶創建實作介面的類型，並將類型數值傳遞給函式，想要取得生成訊息值時，便常出現程式崩潰或是不可預期的行為。</p> <p>官方表示，造成這三個問題的原因相同，而共同的解決方法，就是Message介面應該完全指定訊息的行為，而且操作Message值的函式，應該接受任何正確實作該介面的類型。由於無法在不改動Message類型現有定義的情況下，維持套件API的相容性，因此Go官方決定釋出全新協定緩衝區模組，且新版本不與舊版本相容。</p> <p>而這個新版本的旗艦功能便是反射，提供類似反射套件檢視Go類型和數值的功能，協定緩衝區的反射功能，則能根據協定緩衝區的類型，提供系統數值檢視的能力，該套件包含了類型描述符，描述了來源文件和數值介面中定義的類型結構，其提供了檢查和操作訊息內容的能力。</p> <p>官方把Go協定緩衝區原來的版本稱為APIv1，而新版本稱為APIv2，由於APIv1和APIv2不相容，因此使用不同的模組路徑。官方提到，因為每個開發者搬遷到新版本的速度不同，且部分程式可能會持續的使用舊版本，甚至在同一個程式中，也有可能會使用不同API版本，因此官方目前打算無限期地支援APIv1。</p> </div></div></div>
2020/3/6 11:15作者李建興https://www.ithome.com.tw/news/136182
指揮中心今發布企業持續營運指引，將疫情分為兩大情境提供防疫參考建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">目前臺灣武漢肺炎疫情已累積44例確診，不僅本土病例數已經超過境外移入病例數，也出現了零星社區感染案例，對企業來說，員工被隔離的可能性提升，人力資源可能因疫情出現變動。為此，中央流行疫情指揮中心也在今日發布一份由經濟部、交通部、勞動部、衛福部等共同研擬的「<a href="https://www.cdc.gov.tw/File/Get/l53t2OP2wfHGqwEjISd4vw" target="_blank">企業因應嚴重特殊傳染性肺炎（COVID-19）疫情持續營運指引</a>」，將疫情情境區分為「現階段（零星社區感染）」及「發生持續性或廣泛性社區傳播」二大情境，建議企業依照當前疫情進行應變，來維持業務營運持續，儘量將損失減至最低。</p> <p dir="ltr">這份指引指出，現在臺灣處於「零星社區感染」階段，可能對企業營運造成的風險及衝擊狀況，體現在人員出勤部分，凡是有旅遊史或接觸史的員工，若出現發燒或呼吸道症狀，會因隔離而導致人力不足問題。而在業務推展部分，則可能因旅遊警示無法出差，或受交通運輸減班或停飛影響，因此延遲出貨造成損失。在生產營運部分，公司營運也會因交通運輸減班或停止，導致原物料來源斷貨、收貨延遲，而員工出勤也將影響交貨，甚至造成財務調度困難，這段時間可能將持續2-3個月。</p> <p dir="ltr">對此，指引中建議，在這個階段中，第一，企業可以主動鼓勵有呼吸道症狀的員工在家休息，並以彈性的請假措施為配套，允許員工留在家照顧生病家人，同時也應加強個人及工作場所的衛生管理，比如宣導戴口罩、保持手部清潔的衛生觀念，並在工作場所提供肥皂、清水或酒精性乾洗手乳，定期也應清潔環境、保持室內空氣流通。</p> <p dir="ltr">第二，企業應制定員工上班、出差的彈性措施，遵守疾管署國際旅遊疫情建議等級表，了解要前往國家的最新指引和建議，避免前往疫區，以視訊、電傳等方式來維持營運。</p> <p dir="ltr">第三，企業可參考「<a href="http://www.tami.org.tw/sp1/bulletin/government/government_1030514.pdf" target="_blank">中小企業持續營運教戰手冊</a>」擬定營運持續對策，並對員工進行教育訓練。其中細項，包括應擬定關鍵技術人員的替代機制，遠距辦公、異地備援、替代供應鏈、原料零件分散來源等方案，以及符合重要客戶需求等方案，並善用政府相關紓困措施與資源，來維持基本營運，或甚至進行營運與競爭力的提升。</p> <p dir="ltr">不過，若疫情已經出現疫情進入「持續性或廣泛性社區傳播階段」，可能對企業營運造成的風險及衝擊狀況，會更加嚴峻。在這個情境中，當企業內出現疑似案例，使員工因確診而無法上班，甚至因群聚感染，使得大量同事及員工家屬需被隔離而無法出勤時，不僅公司人力將嚴重不足，辦公、工作地點或營運場所也必須封閉，無法營運。</p> <p dir="ltr">在業務推展與生產營運方面，公司業務會因交通運輸工具停飛或減班而停擺，產線也會因原料供應不足而停擺，進而被罰款或引發長期轉單，而基本營運的水、電、油、空調等基礎設施也可能無法穩定供應，加上物流停擺影響出貨等問題，均可能衝擊公司財務，影響時間可能持續2-3個月或半年。</p> <p dir="ltr">在這個階段中，指引中也有更進一步的建議措施。第一，在個人及工作場所衛生管理方面，應落實員工健康監測計畫以及異常追蹤機制，每日量測體溫、詢問員工是否有急性呼吸道症狀，並做成紀錄，或定期回收健康管理表單，訪客也能不例外。</p> <p dir="ltr">若員工在上班期間出現發燒、呼吸道症狀，應主動向主管報告，並將員工安置於獨立空間，再協助安排鄰近醫療院所就醫，同時，也應消毒工作場所，至少每日清潔一次地面。除了必須居家隔離的員工之外，與確診個案同一辦公空間、或有共同活動範圍的員工，未來上班應戴外科口罩，並加強落實洗手等個人衛生管理。</p> <p dir="ltr">第二，應調整辦公、出勤或出差方式，減少員工間交互傳染的可能性，比如彈性調配人力，建立異地辦公機制，或研議在家上班辦公的可行方案，同時，也應進行空間調整，讓人員座位保持適當間距。其他作法，包括取消前往其他國家的非必要商務差旅、取消或延期與工作相關的大型會議或活動，進行人員交叉培訓來解決關鍵成員無法上班的問題等。</p> <p dir="ltr">第三，在企業持續營運因應措施方面，可善用數位工具來對外推展業務、傳達公司正確營運訊息，並透過視訊會議或遠協作方式，來維持客戶信賴關係，或與客戶協調延長交期、與銀行協調利息展延或寬限。為了維持生產營運，企業也應規劃辦理員工線上培訓，或改為進行研發等工作，讓疫情結束能快速恢復營運，並促使產業升級。</p> <p dir="ltr">指引最後也提到，企業在面對這次疫情，應成立專責單位來處理整個企業的組織應變及業務，讓企業的核心任務能持續營運並快速復原。再者，應指定人員擔任應變負責人來統籌應變事宜，同時確認上下游廠商、銀行、融資與貸款、報關、物流等與營運有關單位之緊急聯繫窗口。</p> <p dir="ltr">而且，企業擬訂營運持續計畫後，也需確認持續營運計畫的可行性，定期辦理演練，確保持續營運計畫在不同情境下，能依照原先預定的計畫內容來發揮效用。例如：以企業發現確定個案為情境，來演練公司的消毒方式、員工健康監測、部分員工無法上班時重要的任務調整、辦公室空間規劃等。此外，企業也需在疫情過後，從不同面向檢討此次防疫中是否有待改進的問題，來更新持續營運計畫。</p> <p dir="ltr">指揮中心也進一步說明，由於企業種類及營運模式差異性大，該指引主要提供大方向的原則性建議，讓企業參考後制定公司內部持續營運計畫。指揮中心也請各部會，轉達轄下單位及相關產業公會，來鼓勵各企業研擬適用的持續營運計畫，讓企業受疫情影響的衝擊降至最低，病疫情結束後，具備儘速恢復核心或優先項目的營運能力。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1583424082121.jpg" style="width: 600px;" /></p> <blockquote><p dir="ltr">今天晚上7點多，中央流行疫情指揮中心發布了一份企業持續營運指南教戰帖，依據現在零星社區感染，和後續但若發生持續性社區感染兩種情境，提供了一個五大階段因應對策，還包括實際可行的演練建議。</p> </blockquote> </div></div></div>
2020/3/5 23:43作者翁芊儒https://www.ithome.com.tw/news/136189
中央發布千人集會防疫風險評估對策，文化部更啟動表演展場所防疫原則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心昨（5日）晚間10點10分召開緊急記者會，宣布澳洲確診武漢肺炎（COVID-19）個案為國際知名音樂家，在臺與國家表演藝中心所屬的國家交響樂團演出，分別於2月28日晚上以及3月1日下午，於國家音樂廳和演奏廳舉辦演奏會。</p> <p>中央流行疫情指揮中心指揮官陳時中指出，該個案入境臺灣時，自稱有咳嗽症狀，但現場檢查並未出現症狀，也無相關旅遊史，因此放行入境。然而，昨日掌握確診消息後，已鎖定個案接觸的21人，要來進行居家隔離，並要進一步透過監視影像，掌握確切接觸史。</p> <p>他也表示，由於演奏會觀眾席離舞臺超過2公尺距離，民眾無需擔心傳染。反而是同團、近距離接觸的團員、後臺人員，以及參與該名音樂家記者會的8名臺灣記者，需進行採檢。陳時中補充，民眾若有不適，也可通報採檢。</p> <p>文化部部長鄭麗君指出，為落實藝文相關防疫措施，目前已取消國家交響樂團近期演出及活動，並關閉國家音樂廳及相關展演場地，進行消毒；「期間及後續演出安排，將由國家表演藝術中心進一步說明。」</p> <p>她也指出，除了國家表演藝術中心所屬的國家交響樂團，文化部所屬的其他樂團，若出現國際邀演者有不確定旅遊史，應當延期舉辦；「目前3月份國際邀演，確定延後舉行。」至於民間樂團，也應確認國際邀演者旅遊史，並建立風險評估。</p> <p><span style="color:#FF8C00;"><span style="font-size:22px;"><strong>指揮中心發布公眾集會指引，文化部進一步制定指引原則</strong></span></span></p> <p>另一方面，就在昨日稍早，指揮中心針對公眾集會，<a href="https://www.cdc.gov.tw/File/Get/jp6pAJa7lDRIB6AbRO_-cg">頒布因應指引與6項風險評估</a>。首先，集會定義可分為狹義的1,000人以上之群眾集會，或是廣義的多人同時聚會，比如法人、社團政府或非政府組織性質的群聚活動，或是開學或畢業典禮、節慶祭典、運動賽事、宗教、政治、文化、學術、藝文、旅遊等。</p> <p>再來，主辦單位需評估6項集會風險，包括：是否能事先掌握參加者情形、參加者位置是否固定、活動持續時間，以及活動空間是否通風換氣、參加者之間的距離、可否落實手部衛生和戴口罩。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B5%A6%E5%A6%A4%E7%8F%8A_%E9%A0%81%E9%9D%A2_2.jpg" /><br /> 此外，指引也建議，主辦單位需考量活動的必要性，若風險較高，則建議取消或延期。如要舉辦，則須在活動前，擬定防疫應變計畫，建立應變機制，像是安排疑似個案暫時隔離或安置空間、後送醫院、後送流程，以及通報流程等，並且在集會前與進行期間，提供衛生防護措施，做好人員健康管理宣導。</p> <p>有鑑於此，鄭麗君宣布，文化部針對因應指引頒布原則，來供地方政府與民間團體參考，且即刻生效。</p> <p>首先，所有藝文活動主辦單位，應根據因應指引中的6項風險評估指標，來建立防疫應變計畫；必要時，主辦單位「可請地方政府或衛生單位協助，文化部也將開設窗口，協助地方政府因應。」</p> <p>第二，文化部及其所屬場館，除了維持春節展開的防疫措施，如入場量體溫、消毒，以及空調改為通風、換氣模式等，即刻起，還將針對表演型場館，於入口處先量體溫、乾洗手，要是體溫超過37.5度，則不予以入場，主辦單位將協助退票、建議送醫。而入場人員，全程皆須戴口罩。</p> <p>再來，為保持適當距離，座位應採梅花座或隔排座。此外，活動進場前和散場後，應進行場地消毒，並於活動前規畫動線、控制人流。</p> <p>至於靜態型展覽活動，除了於入口處量體溫、乾洗手，還應控管「同一時段、同一人流的人數，」也就是掌管每個時段進場的人數，符合因應指引建議的適當距離，「保持參與者距離一公尺以上。」</p> <p>最後，鄭麗君指出，在防疫措施提升的同時，政府也擬定了15億元，來協助藝文產業紓困。文◎王若樸</p> <p> </p> </div></div></div>
2020/3/6 00:34作者王若樸https://www.ithome.com.tw/news/136190
關貿網路今年聚焦雲端加值服務及企業客戶端行動服務，將在臺中設新IDC機房
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供通關、報稅等政府資訊化服務的關貿網路，今年將加強發展企業客戶端領域及行動化服務，同時也將擴展企業雲端加值服務，將在臺中設置新的IDC雲端機房。</p> <p>關貿網路過去業務主要以B2G（企業對政府）、B2B（企業對企業）為主，現在要將業務擴大至B2B2C（企業對企業對客戶/消費者），今年營運重點之一為對C端領域（對企業客戶端）、行動化及金流領域。</p> <p>關貿網路董事長許建隆表示，今年將投入雲端加值服務，並正式走入C端領域，將服務能量從企業端，擴大到對企業的客戶。他強調過去關貿在商流、物流、資訊流三方面很強，未來將善用優勢，開始進入貿易流、跨境流、金流服務。</p> <p>在對企業的客戶端方面，去年關貿網路和中國附醫合作，提供民眾就醫使用的行動聚合支付App；還有看準跨境購物的報關需求，關貿結合行動身分驗證技術，推出民眾跨境購物，通過實名認證的報關委任的App，讓民眾利用App就能驗證身分，委託報關行進出口貨品。</p> <p>對貿易流部份，關貿網路先前宣布和紐西蘭通關服務公司合作，將區塊鏈應用在跨境貿易資料交換上，並和泰國、新加坡、菲律賓等地業者建立跨境貿易區塊鏈技術合作關係。</p> <p>至於雲端加值服務則是該公司在今年另一個側重的業務。目前關貿在總公司所在的臺北南港軟體園區機房提供IDC業務，並提供同地備援，在安碁在桃園龍潭渴望園區提供異地備援機房，依IDC機房客戶的備援需求提供不同等級的異地備援服務。</p> <p>今年看準旗下不少客戶有降低自身機房維運的需求，關貿將花費6000萬元，選擇在遠傳電信的臺中IDC，設置比安碁桃園規模更大的IDC雲端機房，並準備將桃園龍潭的異地備援機房遷到臺中。這個新的IDC機房將在6月完成。</p> <p> </p> <p> </p> </div></div></div>
2020/3/6 00:09作者蘇文彬https://www.ithome.com.tw/news/136188
McAfee：有接近一半的Android惡意程式屬於隱藏程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者McAfee在本周<a href="https://www.mcafee.com/content/dam/consumer/en-us/docs/2020-Mobile-Threat-Report.pdf" target="_blank">公布了2020年的行動威脅報告</a>，指出隱藏程式（hidden Apps），不只是Android平台上最常見的行動威脅形式，而且幾乎有一半的Android惡意程式皆為隱藏程式，數量比去年增加了30%。</p> <p>根據McAfee的定義，所謂的隱藏程式是會在手機上藏匿自己的蹤跡，並在適當時機將使用者導至廣告頁面，以詐騙廣告營收。</p> <p>這些隱藏程式先是偽裝成其它合法程式，像是Call of Duty遊戲或照片編輯工具FaceApp，這些假冒的程式並未登上Google Play，而是藉由YouTube影片的連結或是搜尋結果來散布，主要針對那些尋找破解版的使用者，而且使用了類似正版程式的圖示。</p> <p>不過，一旦使用者在手機上安裝了這些程式，它的圖示就會變成設定圖示，點擊之後，出現的卻是錯誤訊息，顯示該程式並未支援該地區，並提供反安裝的選項，只是使用者按下反安裝之後，反而是完成了惡意程式的安裝，同時隱藏了此一設定圖示。</p> <p>於是，使用者以為已經反安裝的程式則在背景繼續運作，但它會設定開始引導使用者流量的時機與頻率，以避免被察覺。</p> <p>McAfee警告，除了擾人的廣告之外，這些隱藏程式還可蒐集裝置及使用者資訊，或是散布其它惡意程式。</p> <p>這一年來的行動惡意程式除了繼續假冒為合法程式之外，也會濫用Android上的無障礙功能來建立帳號、下載程式或張貼評論。McAfee還發現另一個特別的駭客手法，有駭客入侵了一名信譽良好的南韓開發人員的Google Play帳號，並在該名開發人員所建立的南韓大眾運輸程式中，嵌入了MalBus惡意程式碼，以用來竊取受害者裝置上的機密檔案。</p> </div></div></div>
2020/3/5 18:40作者陳曉莉https://www.ithome.com.tw/news/136187
Cloud周報第56期：Paypal決定將部分支付基礎設施搬遷上雲，以處理季節性的激增交易量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2020/02/27～2020/03/04）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 上雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 支付服務商 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>Paypal要利用雲端服務面對交易激增時期的挑戰</strong></span></p> <p>Paypal近日宣布，將把支付基礎設施的關鍵部分搬遷上雲端雲，而考量自家資料中心的所在地，他選擇的上雲位置是Google位於鹽湖城市，近日才剛啟用的雲端地區。Paypal表示，該地區的位置可讓其低延遲存取自家資料中心，以便未來隨著業務的成長，將更多資源搬遷上雲。同時，Paypal將可把工作負載分配在Google另兩個美國西部雲端地區：洛杉磯和俄勒岡州，來提高雲端服務使用的可靠性。Paypal員工技術體驗及資料中心副總監Dan Torunian表示，他們將借助雲端服務管理支付交易，特別是面對季節性的交易高峰期，用以處理激增的交易量，並且將藉此降低擴張業務版圖時，管理各地交易所衍伸的成本和複雜度。<a href="https://cloud.google.com/press-releases/2020/0227/paypal-googlecloud-slc">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:rgb(51, 153, 255);"> K8s </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:rgb(51, 153, 255);"> 虛擬化 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:rgb(51, 153, 255);"> VMware </span></strong></span> </p> <p><strong style="font-size: 22px;">VMware大動作將舉辦發布會揭露vSphere如何支援K8s </strong></p> <p>VMware突然大動作要在3月10日舉辦全球產品發布會，儘管，其未揭露將發布的內容，但是該活動的官網已預告將聚焦vSphere如何支援K8s。從去年年度大會VMworld上發布的各項新戰略來看，一般預期VMware將發表擁抱K8s的全新產品線VMware Tanzu，以及vSphere 7的動向。VMware新的Tanzu產品線中，最受矚目的即是代號太平洋計畫的新版vSphere，因現有的vSphere需搭配Pivotal的PKS來建置K8s叢集，但未來，新版vSphere能直接建置和部署K8s叢集。VMware在去年VMworld上就預告，將把vSphere的核心ESXi，換成一個超級K8s叢集，來將K8s API整合到vSphere的API中，讓企業維運團隊可以用像ESXi管理VM的方式，來運用K8s的能力，而vSphere也將變成一款K8s原生產品。 <a href=" https://www.vmware.com/company/events.html">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英國 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 企業雲端調查 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 上雲挑戰 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>調查：近6成英國企業發現雲端使用成本超出預期</strong></strong></p> <p>諮詢公司Capita於2月底發布了一份雲端調查報告，該報告顯示，58%企業認為，上雲成本超出原先的預期。Capita以200位英國企業的IT決策者，作為此次報告的調查對象，他們發現每十位受訪者中就有9位表示，企業的上雲工程因面臨預料之外的因素，已推遲進度。根據調查，就促使上雲的因素，61%企業答覆為降低成本，57%企業是為加快應用交付的速度，52%企業則是為提高IT安全性。另外，以採用雲端服務所面對的挑戰來說，43%企業有安全性的挑戰，其次，34%企業欠缺雲端技術的能力，還有32%企業的IT遭遇預算壓力，最後，有32%企業面對舊系統遷移的挑戰。Capita的研究人員建議企業，謹記促使他們轉向雲端的最初目標，擬定戰略，包含改變公司的治理模式，還有提升雲端技能，才可最大程度獲得雲端的好處。<a href=" https://www.capita.com/news/cloud-has-been-more-costly-than-expected-capita-research-shows">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 武漢肺炎 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 產業衝擊 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端需求</span></strong></span><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>IDC：雲端業者將增加IT支出，以滿足疫情帶來的雲端需求</strong></span></p> <p>武漢肺炎（COVID-19）疫情持續擴散，全球已逾70國出現確診病例。面對疫情的不確定性因素，企業對雲端服務的需求大為增長，市場調查機構IDC日前發布了一份報告，提到了近期雲端需求的變化，對產業帶來的影響。IDC預測，雲端基礎設施、數位服務提供商等超大規模服務提供商，將繼續增加IT支出，以滿足企業對雲端和數位服務的強勁需求。而隨著越來越多企業將IT預算轉移至IT即服務模式，IDC則預期，雲端和數位服務的收益將繼續以兩位數的速度增長。 <a href=" https://www.idc.com/getdoc.jsp?containerId=prAP46077620">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 產品經銷計畫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 實作認證 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料中心虛擬化 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>VMware翻新產品經銷計畫增實作部署認證，臺灣現有4家經銷商獲部署能力驗證</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Partner%20Connect_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_VMware.jpg" style="width: 600px; height: 214px;" /></strong></strong></p> <p>VMware新的合作夥伴計畫Partner Connect於3月2日正式啟用，新計畫採單套框架涵蓋全產品的模式，目標讓毎一家經銷商都能賣所有VMware的產品。VMware改變過去以經銷、服務、技術類型，各自劃分不同級別的方式，現全面統一為相同的3個等級，分別是Partner、Advanced Partner和Principal Partner，再藉此訂定合作夥伴於各級別可獲得的權益，以及需達到的標準。除了3級別的框架，VMware還將產品劃分為7大領域，包含資料中心虛擬化、雲端管理自動化、VMC on AWS、雲端供應商、現代化應用、網路安全和數位工作空間，進而依級別對合作夥伴設有各領域銷售業績、技術和能力驗證的標準。</p> <p>現階段，臺灣有逾150家的Partner Connect合作夥伴，其中有2家取得Principal Partner級別，逾50家被認證為Advanced Partner，其餘則屬Partner級別。此外，臺灣有4家新計畫的合作夥伴取得了大師級服務能力認證，這是一項VMware的新認證，需具特定領域的成功部署經驗才可獲取，該認證也是成為Principal Partner的必要條件，而他們取的認證屬資料中心虛擬化和雲端管理自動化領域。<a href=" https://www.vmware.com/company/news/releases/vmw-newsfeed.VMware-Partner-Connect-Launches-to-Deliver-Simplified-Engagement-With-VMware-Based-on-Partners-Business-Models.f58a082c-d0d1-476c-90b4-dd3a0bef79ca.html">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端地區 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美國 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>Google於美國鹽湖城啟用新雲端地區，鎖定新創與科技聚集地矽坡的上雲需求</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%E9%B9%BD%E6%B9%96%E5%9F%8E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google%E9%9B%B2%E7%AB%AF.JPG" style="width: 600px; height: 338px;" /></p> <p>Google於去年度Next大會就預告，將於美國鹽湖城添加新的雲端營運中心，近日，Google宣布該雲端地區正式啟用。這個新地區是Google在美國西部的第3個雲端地區，他將與其他兩個位在洛杉磯和俄勒岡州的地區，協同作業。而該地區具有3個可用區域，企業可以分散工作負載和應用在不同的區域，來降低服務中斷的可能性，減少風險。</p> <p>Google鎖定鄰近鹽湖城的高科技業聚集地矽坡（Silicon Slope），對雲端的高度需求，他會在該地區提供標準的服務項目，包含Compute Engine、GKE、Bigtable、Spanner和BigQuery。Google雲在該地區的用戶包含了PayPal、家具電商Overstock、製藥大廠Recursion，還有系統備份軟體商StorageCraft。隨著本次新雲端地區的發布，Google全球雲端地區達22個，可用區域則有64個，遍及16個國家。Google計畫啟用的下一個新地區也將在美國境內，那就是同樣位處西部地區的拉斯維加斯，另外，Google還計畫陸續於印尼雅加達和波蘭華沙，新增地區。<a href=" https://cloud.google.com/blog/topics/infrastructure/google-cloud-region-in-salt-lake-city-now-open">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料中心 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 用電量 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>《科學》期刊：2010年到2018年之間，資料中心的運算能力提升5倍，但電力使用只增加6%</strong></span></strong></p> <p>《科學》期刊日前刊登了一篇名為《重新校準全球資料中心電力使用估計》的文章，該文指出超大型的資料中心通常比小型及本地端的資料中心更具能源效益，這也代表著個人或企業若切換到基於雲端的運算服務就能減少電力損耗。根據該文5名科學家所掌握的數據顯示，2010年至2018年間，資料中心的運算能力提升5倍，但電力使用只增加6%。這樣的電力使用增長量，低於過去的預估值，要歸因於近年處理器的效能獲改善，以及空載功率減少了，儲存需使用的電力也變少，每台伺服器上安裝的運算實例則增加了，再加上資料中心的電力使用效率亦穩定下滑等因素。Google近日也公布了自家資料中心節省用電量的細節，他們透過機器學習來自動化資料中心的冷卻系統，以減少用電量，Google預期，未來本地端及雲端運算之間的能源效益差距，將會愈來愈大。<a href=" https://science.sciencemag.org/content/367/6481/984.full">（詳全文）</a><a href=" https://www.blog.google/outreach-initiatives/sustainability/data-centers-energy-efficient/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料庫服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SQL Server </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>Google雲端資料庫服務Cloud SQL現推出SQL Server正式版</strong></span></p> <p>Google雲端資料庫服務Cloud SQL近日開始提供SQL Server正式版服務，該服務與其他Cloud SQL資料庫服務相同，為一個全託管的服務，並與SQL Server 2017相容，讓企業可將關鍵的SQL Server工作負載遷移到GCP上。且微軟已在去年7月終止SQL Server 2008的支援，然而，許多企業使用SQL Server 2008建立的重要應用程式，還未跟進升級，Google此舉便是想趁機吸引部分需搬遷SQL Server 2008的用戶。另外，Google還提供了一套簡單搬遷的方法，讓企業可通過5個步驟把SQL Server 2008搬到Cloud SQL上的SQL Server。<a href=" https://cloud.google.com/blog/products/databases/migrate-your-microsoft-sql-server-workloads-to-google-cloud">（詳全文）</a></p> <p><strong>圖片來源／</strong><strong>Paypal</strong><strong>、VMware</strong><strong>、</strong><strong>Google雲端</strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1. Google雲端資料庫服務Cloud SQL現推出SQL Server正式版，並提供5步驟的簡易搬遷方法</strong><a href=" https://aws.amazon.com/tw/blogs/aws/savings-plan-update-save-up-to-17-on-your-lambda-workloads/">（詳全文）</a></p> <p><strong>2. Office 365支援臺灣教育雲帳號，250萬中小學生能快速申請免費教育版</strong><a href=" https://www.ithome.com.tw/news/135987 ">（詳全文）</a></p> <p><strong>3. 微軟安全物聯網平臺Azure Sphere正式上線，能同時提供新生產與既有物聯網設備的連網安全解決方案</strong><a href="https://www.microsoft.com/security/blog/2020/02/24/azure-sphere-microsoft-answer-iot-threats-reaches-general-availability/">（詳全文）</a></p> <p><strong>4. Google更新專案使用GCP API的方法，開發者現可在Cloud Code中瀏覽API並新增至函式庫</strong><a href="https://cloud.google.com/blog/products/application-development/how-cloud-code-improves-app-dev-on-gcp">（詳全文）</a></p> <p><strong>5. Google雲端公布今年度在美投資計畫，將投資100億美元低於去年金額，與重組部門轉強化全球部署有關</strong><a href=" https://blog.google/inside-google/company-announcements/continuing-grow-invest-across-america-2020/">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2020年3月</strong></p> </div></div></div>
2020/3/5 18:24作者黃郁芸https://www.ithome.com.tw/news/136185
安全「遠低於應有水準」，國泰航空資料外洩案遭英政府罰50萬英鎊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國資訊委員會辦公室（Information Commissioner Office，ICO）本周<a href="https://ico.org.uk/media/action-weve-taken/mpns/2617314/cathay-pacific-mpn-20200210.pdf" target="_blank">公布2018年的國泰航空資料外洩案懲處</a>，由於業者多項缺失突顯安全遠不及格，判罰國泰航空50萬英鎊。</p> <p>國泰航空2018年遭到攻擊，駭客經由其IT外包商系統駭入Microsoft AD，國泰航空2018年3月發現後啟動了一連串調查，進而發現長達4年、波及近千萬客戶的資料外洩。</p> <p>調查發現，事件牽涉二組駭客攻擊行動及國泰航空4個系統。第一組駭客入侵其報表系統，不過怎麼駭入的尚不得而知。第二組駭客於2017年8月，經由連外伺服器植入惡意程式後，竊取國泰航空員工帳密，然後取得VPN、管理員控制台及對外App的平台，最後第二組駭客一連駭入會員管理系統、亞洲萬里通（Asia Miles）交易系統及一個網站後台資料庫。</p> <p>總結而言，國泰航空系統於2014年10月首度遭駭入，資料外洩時間從2015年7月持續到2018年5月。近940萬客戶的姓名、生日、護照號碼、地址、電話、電子郵件、會員號碼等個資外洩。其中包括超過23萬及11萬名歐洲經濟區及英國公民。也有香港及台灣地區客戶受到影響。事後有12萬名客戶通報資料外洩，像是信用卡被盜刷。</p> <p><a href="http://www.ithome.com.tw/news/131161" target="_blank">去年香港政府相關調查便發現</a>，國泰航空有多項漏洞管理、資安措施不當。像是一年才做一次漏洞掃瞄，以致於未能及時發現漏洞，有IT系統權限的遠端用戶未實施多因素驗證，資料中心搬移時也未加密資料備份檔，用戶資料分散儲存沒有統一管理，以致於無法在最快時間掌握被駭災情。</p> <p>英國ICO則指出，客戶把個資交給一家公司時，期待資料會被妥善保存，不受損害或欺詐，但顯然不是如此，國泰航空基本安全措施之不足，使本案格外令人憂心，ICO認為上述多項重大缺失，突顯國泰航空的安全措施遠低於應有水準。但因事件發在GDPR上路（2018年5月）之前，故依據舊版資料保護法，判罰最高金額50萬英鎊（約1,920萬台幣）。</p> <p>去年英國政府，也分別就<a href="https://www.ithome.com.tw/news/131739" target="_blank">英國航空</a>及飯店集團<a href="https://www.ithome.com.tw/news/131759" target="_blank">萬豪國際</a>的重大資料外洩做出處份，在GDPR上路後，兩者分別被重罰1.8億及9,900萬英鎊。</p> </div></div></div>
2020/3/5 16:50作者林妍溱https://www.ithome.com.tw/news/136184
印度最高法院解除當地加密貨幣交易禁令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>印度儲存銀行（印度央行）在2018年的4月，宣布禁止境內的加密貨幣交易，不過，印度最高法院在本周<a href="https://www.bloomberg.com/news/articles/2020-03-04/india-s-top-court-strikes-down-curbs-on-cryptocurrency-trade" target="_blank">推翻了此一禁令</a>，將讓當地的加密貨幣交易中心業務重生。</p> <p>當時印度央行先是公開提出警告，要求消費者、加密貨幣持有人或交易中心，應該要小心加密貨幣所帶來的風險，隨之在2018年4月，要求境內所有的銀行不得提供任何與加密貨幣相關的服務，也不得跟與加密貨幣交易有關的帳戶進行往來。而該項禁令已讓許多加密貨幣交易中心退出印度市場。</p> <p>不過，印度最高法院認為，印度央行不僅是個法定機構，且在印度經濟上具有特殊地位與作用，擁有非常廣泛的權力，這些權力既可採取預防措施，也可採行治療措施，然而，加密貨幣的案件並非如此，因為加密貨幣交易並未直接或間接對當地銀行造成任何損失，因此將暫時擱置印度央行的禁令。</p> <p><a href="https://cms.iamai.in/Content/MediaFiles/20107944-f82e-4a78-bc0e-832ab6fdf206.pdf" target="_blank">印度加密貨幣交易中心WazirX創辦人Nischal Shetty表示</a>，此一判決將替印度市場的加密貨幣採用開啟了大門，代表整個國家都能參與區塊鏈革命，超過10億人口的印度市場是個沈睡的巨人，未來可望對全球加密生態系統產生積極的影響。</p> <p>當地媒體則預期，在此一禁令解除之後，那些先前退出印度的加密貨幣交易中心將會陸續回歸該市場。</p> </div></div></div>
2020/3/5 16:30作者陳曉莉https://www.ithome.com.tw/news/136181
Corellium在iPhone 7上裝了Android 10
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2010年時，David Wang花了一年多的時間，才在iPhone 2G及iPhone 3G上部署了Android作業系統，而本周，由Wang共同創辦的<a href="https://corellium.com/" target="_blank">Corellium</a>，發表了沙堡專案<a href="https://projectsandcastle.org/" target="_blank">（Project Sandcastle）</a>，只花了不到一個月就把Android 10移植到iPhone 7上，同時釋出了Android for the iPhone測試版。</p> <p>Android for the iPhone是奠基在早期的checkra1n越獄程式上，因此它只能在iPhone 7、iPhone 7 Plus與iPod Touch 7G上運作，且它<a href="https://projectsandcastle.org/status" target="_blank">目前只支援部份的iPhone硬體功能</a>，像是CPU、USB、螢幕、多重觸控或WALN等，並不支援電信網路、藍牙或相機。此外，儘管它是Android，但它並無法透過Google Play安裝程式。</p> <p>不過，Corellium認為，Android for the iPhone依舊存在許多應用，像是鑑識研究、雙重開機，也能避免電子浪費，也正努力將Android for the iPhone，擴充到更多的iPhone型號上。</p> <p>Android for the iPhone最大的成就，是把Android移植到封閉的iPhone裝置上，雖然遺失了不少iPhone或Android作業系統的功能，但<a href="https://www.forbes.com/sites/thomasbrewster/2020/03/04/exclusive-this-hack-runs-android-on-your-iphone/#52c514ec50cc" target="_blank">根據Forbes的報導</a>，它可用來在iPhone上建立一個暫時的手機環境，因為所有在Android 10上從事的活動，只要重開機就會回到iOS，例如使用者在該平台上以Signal，進行各種機密的通訊與對話，並在重開機之後全然不留痕跡。</p> <p>Corellium為一可在雲端或就地部署的ARM上，提供iOS、Android與Linux等虛擬化平台，且在去年遭到蘋果提告，蘋果宣稱Corellium所開發的產品，複製了蘋果的iOS、iTunes與圖像使用者介面，並允許使用者建立虛擬化的iOS裝置以執行未經授權的iOS。</p> </div></div></div>
2020/3/5 16:00作者陳曉莉https://www.ithome.com.tw/news/136180
遭傳加密貨幣專案Libra調整方向，臉書否認
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>二家美國媒體周二報導，臉書加密貨幣專案Libra在主管機關壓力下，將調整方向。不過臉書對此否認。</p> <p><a href="https://www.theinformation.com/articles/facebook-scales-back-libra-plans-bowing-to-regulators" target="_blank">The Information</a>周二引述3名未具名消息人士報導，原定今年6月上路的Libra貨幣，將延後數個月重新推出，而且方向也經過調整。改成Libra用戶除了可使用Libra幣之外，也能使用政府發行的貨幣，像是美元及歐元進行支付。</p> <p><a href="https://www.bloomberg.com/news/articles/2020-03-03/facebook-weighs-libra-revamp-to-win-over-reluctant-regulators" target="_blank">彭博</a>則引述消息人士報導，Libra將重新定位成支付網路，提供消費者以歐元、美元或其他貨幣付款，基本上就是類似PayPal的服務。</p> <p>不過臉書否認上述報導所言，指出描述該公司不打算發行Libra幣的報導，完全不正確，臉書仍然全力投注於這項計畫。</p> <p><a href="https://arstechnica.com/tech-policy/2020/03/facebook-denies-reports-it-is-backing-away-from-libra-cryptocurrency/" target="_blank">Ars Technica 引述</a>Libra協會發言人說法，表示Libra專案發行全球支付網路的目標維持不變，其基本設計也不會改變。</p> <p>臉書和27家銀行、發卡公司及網路公司合組Libra協會計畫的Libra貨幣，被批評可能助長恐怖主義、洗錢、侵犯隱私及挑戰貨幣秩序，而遭各國政府和央行反對。此外，<a href="https://www.ithome.com.tw/news/135095" target="_blank">部份國家也反對</a>Libra和美元、歐元、英鎊、日圓及新加坡幣等連動的「一籃子貨幣」設計，揚言如果不改革等同失敗。</p> <p>去年以來已有PayPal、eBay、Visa、Mastercard等創始會員退出Libra協會。上個月<a href="https://www.ithome.com.tw/news/135661" target="_blank">Mastercard執行長Ajay Banga解釋他們之所以退出</a>，主要是因為Libra並未承諾不做違法的事，而且臉書疑似想把原本應該無私、中立的Libra貨幣，連結到自己的Calibra電子錢包，並不太對。</p> </div></div></div>
2020/3/5 14:30作者林妍溱https://www.ithome.com.tw/news/136179
【網通業抗疫實例：群暉科技】IT不只要建立VPN備援機制支撐爆量遠距辦公需求，更要有人員的HA思維，因應IT遠距維運更…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>面對武漢肺炎疫情在全球持續延燒，現在即使是大企業也難以倖免，像是Amazon、Google 在美國與瑞士皆有員工相繼確診，使得與其接觸的員工也得採取預防性措施改在家辦公，而目前災情僅次於中國的韓國，更有不少當地企業受到了更大殃及。例如韓國三星、LG Display半導體廠區，皆有員工確診染疫後，導致整個工廠停工，造成產線停擺，面臨龐大營運的損失。</p> <p>臺灣疫情雖然沒有像韓國來得嚴重，但近來在臺中也有出現兩家工廠受到疫情波及，迫使其所有員工都得在家隔離無法進廠工作的例子。這也反應出了，面對這次嚴峻疫情，企業不只要有因應防疫的IT對策，甚至更要進一步做「最壞的打算」，萬一公司大樓封鎖，導致所有員工必須在家遠距辦公時，這段期間IT該如何因應？</p> <p>例如，國內NAS廠商群暉科技（ Synology）的作法，不只是透過既有的VPN服務，讓公司上百名員工可以在家連線到公司內部系統來使用，甚至還提前建立VPN熱備援的機制，以便於在一臺VPN設備發生問題時，還有另一臺備援機器可以接手繼續提供原有服務。</p> <p>群暉科技資訊管理部資深經理黃怡霖就表示，該公司原本就有規劃相對應的IT應變措施，來因應臺灣天災人禍，帶來許多停水、停電等災情，例如，3年前 815 全台大停電發生之後，他們也加強UPS不斷電系統與設置臨時發電機來提供足夠的電力供電，確保服務不會因電力的關係而中斷。另以大地震為例，他們也有建立異地備援機制，在進行資料備分時，也能透過備援機房來存放所有備分資料。「以這次的疫情來說，當前的首要IT任務，就是確保員工居家隔離時，依然有能力在家連線到公司內網的系統使用。」他表示。</p> <p>由於群暉在全球有近千名員工，其中海外分公司員工就占了300名，所以，該公司平時就有建立自己使用的VPN服務，來提供這些海外員工或在外業務同仁來使用。因此，他表示，若員工因故被隔離，現在也能透過這項服務，讓該員工可以在家連線到公司內部系統來辦公。他也強調，現有資訊架構，平時已可應付海內外300位員工的VPN連線需求，甚至必要時，也能提供翻倍的連線數，讓位於臺灣總部大樓近700名員工也能在家辦公。不僅如此，為了防患未然，他們還提前部署了VPN hot-spare 備援設備，除了確保該服務能正常穩定運作，一旦需要時該設備也能馬上派上用場，來因應更大量VPN連線的使用需求。</p> <p>他也指出，若員工需在家辦公時，現在只須透過VPN連線登入網頁，就能使用該公司內部的各項服務，從檔案存取、文件編輯、試算表、簡報、到通訊平臺，以及郵件系統等。由於，這些資訊服務大多支援網頁使用，這也讓這些服務較不容易受到工作地點的影響。以檔案存取系統為例，黃怡霖就表示，不論是海內外員工都能用它來隨時存取檔案或協作，甚至目前超過8成以上的檔案存取，都是透過網路瀏覽器連線來取得相關工作用的資料。</p> <p>他也補充表示，待取得使用權限後，使用者就能透過該公司VPN的WebVPN功能連到公司內所有工作上會用到的內部網站，甚至，只需要開啟瀏覽器就可在家工作。而且針對各部門也有提供不同遠距工作需求，例如針對研發部門在家辦公，就提供了SSLVPN 安全連線，讓他們能使用如遠端桌面連線到公司自己的電腦或NAS來進行相關作業。但相對在資安防護上，他也更要求落實 VPN 韌體的安全升級，並也啟用自動封鎖功能，來增加駭客暴力破解員工帳密的難度，另外針對已離職員工也會自動偵測停用其權限，不讓非授權的使用者進到公司內網，以降低被駭風險。</p> <p>不只各部門員工辦公使用，對於資訊人員的遠距IT維運，群暉IT幾年前也有建立一套監控系統，可用來負責監控各種服務狀況，包含硬體設備、網路品質、Web網站監控等，並可在遇到異常狀況時能立即通報給 IT 人員，另針對IT人員也有定期執行相關的演練，以便於當有任何服務中斷的情況時，依然可以在遠端處理，且優先採用具有遠端處理支援能力的軟硬體設備，例如軟體皆透過虛擬化的平臺架構，讓服務能在最短的時間遠端恢復，硬體部分也選用了具備援能力的設備，可以在故障時自動切換，盡量減少人員需進機房的非必要的情況。</p> <p>甚至於，針對IT人員銳減的狀況，群暉資訊團隊也有相應的作法，那就是建立一套人員互相備援的機制，「簡單說，就是人員的 HA」黃怡霖也舉例，像是現在每一臺伺服器設備，都會指派兩名IT人員共同負責維護和管理，所以，即使其中一人染疫被隔離，當該機器發生問題時，至少還有另一個人能夠即時處理。目前該公司機房內共有幾十臺實體設備以及上百臺虛擬機，都採用這樣的作法。</p> <p>另外，為了讓遠距辦公同仁溝通更順暢，群暉公司內部原來就有自行開發一套內部通訊平臺 Chat ，這回也剛好派上用場，可讓公司員工即便在家，也能透過網頁、桌機、行動裝置等傳遞訊息，來進行內部溝通或小組討論，在疫情發生後，群暉IT團隊也持續確保該服務在海內外員工之間都能正常被使用。</p> <style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></div></div></div>
2020/3/5 09:46作者余至浩https://www.ithome.com.tw/news/136161
因應當局消音，中國網友發起保存武漢肺炎言論活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎（COVID-19）疫情延燒，導致中國官方出手禁止或過濾，有關武漢肺炎的相關網路批評、轉發新聞及言論。對此中國網友則在GitHub，發起保存武漢肺炎相關新聞、非虛構和個人故事的行動。</p> <p>由於武漢肺炎一月底在中國爆發，相關言論也開始在微博、新浪等網路部落格、社交平臺及通訊軟體傳播。中國網路主管機關<a href="https://www.cac.gov.cn/2020-02/05/c_1582443270836195.htm" target="_blank">網信辦2月公布指導原則</a>，說明當局已對傳播COVID-19疫情有害短影片、散布恐慌情緒等資訊內容進行處理，包括下架「皮皮搞笑」App，就散布「違規」疫情新聞，或放任使用者上傳資訊的百度、虎嗅網站進行約談。也要求新浪微博、騰訊、字節跳動（ByDance），停止發布肺炎相關主題內容。</p> <p>本周加拿大研究機構公民實驗室（Citizen Lab），<a href="https://citizenlab.ca/2020/03/censored-contagion-how-information-on-the-coronavirus-is-managed-on-chinese-social-media/" target="_blank">公開一項研究報告</a>，整理出微信（WeChat）及YY等通訊軟體平臺自2月開始，新增過濾武漢肺炎相關資訊的關鍵字數量。YY自2月起增加45個和武漢肺炎有關的關鍵字，包括「武漢不明肺炎」、「武漢海鮮市場、「沙士（SARS）變異」、「p4病毒實驗室」等。</p> <p>微信則是以關鍵字，如「習近平」、「李克強」、「武漢」、「冠狀病毒」、「肺炎」、「美國疾控中心」、「口罩」等的組合為基礎，來過濾訊息。研究人員發現，1月底之前，微信過濾的關鍵字組合只有132組，但單單2月1日到15日，就新增384組。</p> <p>研究人員結論，舉凡涉及中國領導人對武漢肺炎處理的批評或中性描述，用戶對臺灣及港澳疫情的反應，以及關於武漢肺炎的猜測或事實資訊，武漢醫師李文亮和集體行動的資訊，在微信及YY等通訊軟體，都會被過濾。</p> <p>有鑒於中國官方出手消音，中國也有網友努力不讓武漢肺炎記憶消失。<a href="https://qz.com/1811018/chinese-citizens-use-github-to-save-coronavirus-memories/" target="_blank">Quartz首先報導</a>，網友在GitHub上發起<a href="https://2019ncovmemory.github.io/nCovMemory/" target="_blank">「2020新冠肺炎記憶」專案</a>，收錄COVID-19相關新聞報導、非虛構文章，和有親身經歷的個人故事的連結，連結的媒體及部落格超過70個。此外也加入截圖、歸檔。該專案目的是建立方便網友取用，並提供自然語言或疫情防治等研究用的資料庫。目前已有7千多人加入訂閱。</p> </div></div></div>
2020/3/5 13:20作者林妍溱https://www.ithome.com.tw/news/136177
年度會議改形式又一家，IBM年會Think 2020跟進全面改為線上直播
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎（COVID-19）疫情在美國愈演愈烈。IBM在本周三（3/4）宣布，基於冠狀病毒的全球預防措施，並根據世界衛生組織（WHO）的建議，決定取消原訂5月5日到7日於舊金山舉辦的年度大會Think 2020實體活動，改為線上活動形式。此外，IBM也對員工的出差、旅遊行程，祭出了新的限制。</p> <p>IBM Think主要是IBM客戶與開發人員的年度大會，去年吸引了3萬名與會者，可謂是科技巨頭年度盛會之一。雖然今年改為線上舉辦，但IBM表示，IBM Think 2020將重新創造一個全球性的數位優先活動，且仍會在原訂時間照常舉辦。</p> <p>關於線上活動的形式，IBM表示，Think 2020大會將採取現場直播的內容、線上互動會議、線上認證等方式。IBM新任執行長Arvind Krishna，將在現任執行長Virginia (Ginni) Rometty於4月退位後接棒，他在Think 2020大會如何登場演說，宣告IBM的未來關鍵戰略，將值得關注。</p> <p>不只IBM，科技巨頭紛紛取消了年度重大會議，像是臉書直接取消了F8開發者大會；Google也在本周接連宣布取消在舊金山舉辦的年度雲端產品大會Next，以及年度開發者大會Google I/O 2020等實體活動，Next大會則改為全線上活動。Nvidia也宣布，因擔心疫情影響，將GTC 2020大會改為線上發布會。</p> <p>IBM更進一步對旗下員工的出差、旅遊行程，祭出新的限制。包括暫停因內部會議而有的國內旅行，並減少國際旅行，該公司還禁止員工參加人數超過1千名與會者的所有外部活動。IBM表示，這些限制將一直持續到3月底。</p> <p>而如果IBM員工有個人的旅遊到受限制的地點，則必須按照衛生組織的建議，在旅程結束後進行14天的自我隔離。文⊙李靜宜</p> </div></div></div>
2020/3/5 13:33作者李靜宜https://www.ithome.com.tw/news/136176
Google Assistant將能在Android手機上朗讀網頁，可翻譯成42種語言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在手機上看文章很累嗎？<a href="https://www.blog.google/products/assistant/easier-access-web-pages-let-assistant-read-it-aloud/" target="_blank">Google於本周宣布</a>，Android手機上的數位語音助理Google Assistant將能讀出網頁內容，不管相關內容是出現在Chrome瀏覽器、Google程式或Google News程式，只要說出「Hey Google，read it 」，它就能自動讀出網頁上的內容，而且可即時翻譯成包括中文在內的42種語言。</p> <p>當使用者是在瀏覽器上要求Google Assistant讀出內容時，瀏覽器上的網頁會自動滾動，也會突顯正讀到的地方，亦允許使用者設定讀出的速度及聲音，並以自然的口吻唸出，而無機器的僵硬感。</p> <p>假設使用者所存取的內容並非自己的母語，那麼Google Assistant也可即時翻譯成使用者所指定的語言，目前支援包括中文、希臘文、法文、德文等42種語言。</p> <p>Google表示，該服務預計於今年稍後推出，將支援Android 5及以上的版本。</p> <p>內容網站不需要執行任何動作，就能讓造訪的Android用戶以Google Assistant唸出內容，但可以透過nopagereadaloud標籤拒絕該功能，同時Google也鼓勵開發人員在自己的程式中添增此一功能。</p> </div></div></div>
2020/3/5 13:50作者陳曉莉https://www.ithome.com.tw/news/136178
AI趨勢周報第122期：機器界ImageNet！史丹佛開源最大機器人操作影片資料集RoboTurk
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0229～0305)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">RoboTurk </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料集 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>機器界ImageNet！史丹佛開源最大機器人操作影片資料集RoboTurk </strong></span></p> <p>史丹佛大學日前釋出號稱最大、最豐富且多樣的機器人操作影片資料集RoboTurk Real Robot Dataset，要推進機器人決策等相關研究。2年前，史丹佛大學AI實驗室負責人李飛飛與團隊展開一項專案，建立了RoboTurk和Surreal兩大平臺，以群眾外包方式來收集高品質的機器手臂任務示範資料。</p> <p>首先，透過RoboTurk平臺，使用者可用手機或瀏覽器，在遠端即時操控模擬的機器手臂，來抓取物件。後來，史丹佛大學團隊利用3支實體的Sawyer機器手臂，讓使用者透過該平臺，在遠端操作實體機器手臂，並同時收集操作數據。操作的使用者有三個任務要解決，包括物件搜尋分類、物件堆塔、衣物摺疊等。而Surreal則是開源的強化學習框架，可加速機器手臂的學習。</p> <p>經過兩年運作，近日，團隊宣布任務完成，免費釋出RoboTurk資料集，包括來自54個業餘者的111.25小時示範影片。團隊表示，這些資料可用於策略學習和多種應用，如多模態密度預估、影片預測、獎勵功能學習，以及階層任務計畫等。<a href="http://roboturk.stanford.edu/realrobotdataset.html">（詳全文）</a></p> <p><img alt="" src="http://roboturk.stanford.edu/assets/setup.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Amazon </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ReStGAN </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 影像生成 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>望文生景！Amazon發表ReStGAN輸入文字就能產生商品圖片</strong></span></p> <p>Amazon發表一套ReStGAN模型，能根據商品文字描述，產生相應的服裝範例，目的是要消費者透過視覺導引，一步步找出自己想要的產品。比如，使用者輸入黑褲女，再輸入小號和七分，一旁的服裝圖片就會隨之調整。</p> <p>團隊指出，該模型的特別之處，在於新文字輸入時，服裝範例依然保有舊的特徵，再隨之調整。ReStGAN是以StackGAN為基礎，StackGAN專門處理文字轉圖片的任務，可分為兩部分，首先是根據文字，直接產生一張低解析度的圖片，接著再從這張圖片上採樣，產生一張紋理和顏色更清晰的圖片。不過，Amazon團隊額外加入了一個遞迴歸網路LSTM，可處理序列型任務，讓模型可隨文字的新增順序，來調整產出的圖片。經測試，團隊的改良版StackGAN模型，皆比目前四款常見的GAN基準模型表現要好。<a href="https://www.amazon.science/blog/converting-text-to-images-for-product-discovery">（詳全文）</a></p> <p><img alt="" src="https://assets.amazon.science/dims4/default/487c847/2147483647/strip/true/crop/4000x2250+0+0/resize/1200x675!/quality/90/?url=http%3A%2F%2Famazon-topics-brightspot.s3.amazonaws.com%2Fscience%2F64%2F19%2Fd02e632847b99b2b211671ea4743%2Frestgan.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 英特爾 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 潛在客戶搜尋 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行銷 </span></strong></span></p> <p><span style="font-size:22px;"><strong>英特爾用AI過濾百萬家企業網頁，尋覓潛在客戶更有效率</strong></span></p> <p>英特爾日前公開自家尋找潛在客戶的方法，由分析團隊打造一款客戶分類AI系統，可挖掘數百萬個公開的企業網頁，並從現有和潛在客戶中網頁中，抽取可分析的部分。該系統可針對兩層面來分類，一是產業領域，另一是職能角色，像是製造業者或零售商等。</p> <p>而這套AI系統由兩部分組成，首先是負責採集大規模資料的引擎，要從公開來源收集企業網頁資訊，並將這些資訊結合內部數據，形成知識圖譜，並即時更新。再來是一組細分潛在客戶的機器學習和NLP模型，網頁資訊會先輸入至用來分類文字的多重標籤CNN，接著，團隊再用BERT來優化文字分析，並用維基百科上的文字資料，來擴展模型的認知。</p> <p>英特爾表示，以往，業務單位都得手動或透過其他工具，來尋找潛在的產業領頭羊，但這些工具不符合英特爾內部使用的語言，因此難以制訂行銷計畫。英特爾指出，透過新的AI系統，比傳統方法更精準也更快速。<a href="https://www.intel.ai/ai-identifies-sales-marketing-opportunities/#gs.yxhjts">（詳全文）</a></p> <p><img alt="" src="http://simplecore.intel.com/ai/wp-content/uploads/sites/69/Picture1-3.jpg" style="width: 789px; height: 366px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 二階梯度優化 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 模型訓練 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google發表超強深度學習二階梯度優化法，機器翻譯模型實測能讓訓練時間少4成</strong></span></p> <p>深度學習訓練資料越多，模型預測力越高，但運算資源就越龐大，如何優化訓練效率是熱門的AI議題，一階梯度優化是目前主流作法，例如Adam、AdaGrad等，儘管也出現了不少優化效果更好的二階梯度作法，但因需要龐大的運算力和記憶體，而難以實用。Google Brain、普林斯頓大學和以色列特拉維夫大學團隊發表一個可以減少運算成本的二階梯度優化法，甚至官方宣稱，比所有一階梯度優化器要快。</p> <p>這個團隊以兩年前發表的優化器Shampoo為基礎，以節約型的迭代演算法Schur-Newton來取代原本耗費運算資源的SVD，並利用閒置的CPU進行自動雙精度演算法，來降低運算成本。此外，團隊也分離步長（Step）大小、方向，並跳過大維度的預處理。團隊也實際應用到英法機器翻譯的應用上，利用Transformer模型來測試，發現二階梯度優化法可達到一階優化器一樣的成效，但所需步驟的長度少了一半，且收斂速度在迭代數上快了1.95倍，整體時間減少40％。<a href="https://arxiv.org/pdf/2002.09018.pdf">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4(8).JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Mesh-TensorFlow </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療影像 </span></strong></span></p> <p><span style="font-size:22px;"><strong>AI分析超高解析度影像有解，Google釋出Mesh-TensorFlow框架</strong></span></p> <p>Google日前發表空間資料分區技術，可在保有解析度的前提下，來分析超高解析度圖像，如醫療上常見的3D斷層掃描等。首先，團隊用Halo Exchange演算法，來跨空間分區處理卷積運算，保留相鄰分區的關係。過程中，Google以分散式深度學習架構Mesh-TensorFlow為基礎，可根據用戶定義的影像布局（Layout），分割張量到裝置Mesh網路中，來執行高效能資料與模型平行運算。</p> <p>現在，團隊也將這個框架用於肝腫瘤斷層掃瞄上，證明可行性。同時Google也釋出Mesh-TensorFlow框架，供研究社群使用。<a href="https://ai.googleblog.com/2020/02/ultra-high-resolution-image-analysis.html">（詳全文）</a></p> <p><img alt="" src="https://1.bp.blogspot.com/-7ghEZDPzj3M/XllZudK6bgI/AAAAAAAAFYg/7cw45j4ftawKm7tJHZGeOSD-2ods0HesACLcBGAsYHQ/s640/image1.png" style="width: 592px; height: 244px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Gmail</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 惡意文件偵測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 深度學習 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Gmail強化惡意文件偵測能力，用深度學習掃Office惡意文件</strong></span></p> <p>Google在Gmail中部署了深度學習加持的文件掃描器，可改善惡意文件偵測率。Google指出，團隊利用惡意程式掃描軟體來把關Gmail安全，每周處理3千多億個附件，其中每天被攔截到的惡意程式，63％都與前一天不同。</p> <p>為此，團隊導入新的文件掃描器，由兩部分組成，首先是用TensorFlow Extended訓練出來的TensorFlow深度學習模型，以及為每種檔案類型客製的文件分析器。文件分析器的功能包括解析文件、辨識一般的攻擊模式，並進行特徵擷取等工作，提高了Gmail對惡意文件的偵測率，達150％。不過，目前這項新技術仍僅用在掃描Office文件。新的掃描程式與原有的偵測功能會平行運作。<a href="https://security.googleblog.com/2020/02/improving-malicious-document-detection.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">fastMRI</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 對抗學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臉書 </span></strong></span></p> <p><span style="font-size:22px;"><strong>影像品質不只高且更清楚，fastMRI用對抗學習消除偽影</strong></span></p> <p>臉書和紐約大學2年前展開fastMRI專案，最新成果不只能將磁共振成像（MRI）掃描的速度提升10倍，還能以深度學習解決MRI偽影問題。團隊指出，深度學習從少量原始資料產生高精準MRI時，容易產生帶狀或條紋狀的偽影，會影響放射科醫師判讀。</p> <p>為此，團隊利用定向對抗訓練來產生深度學習模型，要從加速過的MRI中獲取原始資料，來產生無偽影的MRI。定向對抗學習的原理是，訓練目標會新增額外的損失函數，來鼓勵模型騙過對抗網路。而團隊採用這個方法，藉由在影像重建前後，隨機轉換輸入值，來產生水平和垂直的帶狀條紋，並同時訓練對抗網路和重建模型，隨著重建結果越來越好，對抗網路也會逐漸適應，直到最後沒有條紋產生為止。<a href="https://ai.facebook.com/blog/fastmri-leverages-adversarial-learning-to-remove-image-artifacts/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe7-3.fna.fbcdn.net/v/t39.2365-6/87424862_485910548955634_4976256530572640256_n.jpg?_nc_cat=102&_nc_sid=ad8a9d&_nc_ohc=O__oRx3YbtoAX_Me687&_nc_ht=scontent.ftpe7-3.fna&oh=a037a67c1c36efb3d63185ff28481558&oe=5E813464" style="width: 720px; height: 239px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Open Images </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資料集 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 局部敘述 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google釋出Open Images資料集第六版，新增局部敘述註解</strong></span></p> <p>Google日前發布新版大型影像資料集Open Images V6，特別新增局部敘述（Localized Narrative），可隨著鼠標在圖像上的移動，同步顯示該物件的文字描述，並以語音讀出。局部敘述由註釋者提供，包含了註釋者以滑鼠在圖片上移動時，一邊說出的語音描述。Google表示，局部敘述打破了過去圖說的限制，讓圖片中的物件也有相對應的敘述。</p> <p>此外，Google也在這次新版資料集中，增加了視覺關係註解，像是男人踩著滑板、狗接住飛盤等範例，另外還新增了2,350萬個人工驗證的影像等級標籤。<a href="https://ai.googleblog.com/2020/02/open-images-v6-now-featuring-localized.html">（詳全文）</a></p> <p><img alt="" src="https://1.bp.blogspot.com/-yuodfZa6gyM/XlbQfiAzbzI/AAAAAAAAFYA/QSTnuZksQII2PaRON2mqHntZBHL-saniACLcBGAsYHQ/s640/Figure1.png" /></p> <p>圖片來源／史丹佛大學、Google、Amazon、英特爾、臉書</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. Kubeflow 1.0正式發布</strong></p> <p><strong>2. 論文投稿數創新高！IEEE頂級電腦視覺會議CVPR 2020如期舉辦</strong></p> <p><strong>3. 微軟Power Automate的RPA功能將於4月正式發表</strong></p> <p><strong>4. Postgres.ai推SQL查詢最佳化機器人Joe </strong></p> <p>資料來源：iThome整理，2020年3月</p> <div id="gtx-anchor" style="position: absolute; visibility: hidden; left: 491.111px; top: 230.486px; width: 202.111px; height: 15.5556px;"> </div> <div aria-describedby="bubble-20" class="jfk-bubble gtx-bubble" role="alertdialog" style="visibility: visible; left: -87px; top: 109px; opacity: 1;"> <div class="jfk-bubble-content-id" id="bubble-20"> <div id="gtx-host" style="min-width: 200px; max-width: 400px;"> </div> </div> <div aria-label="Close" class="jfk-bubble-closebtn-id jfk-bubble-closebtn" role="button" tabindex="0"> </div> <div class="jfk-bubble-arrow-id jfk-bubble-arrow jfk-bubble-arrowdown" style="left: 572.111px;"> <div class="jfk-bubble-arrowimplbefore"> </div> <div class="jfk-bubble-arrowimplafter"> </div> </div> </div> </div></div></div>
2020/3/5 12:46作者王若樸https://www.ithome.com.tw/news/136175
資安一周83期：兩大廠牌無線晶片驚傳漏洞，用戶應透過各類加密連線措施自保
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0226-0304 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃無線網路</strong></span></h3> <h2><strong style="vertical-align: top;">無線網路晶片漏洞導致十億裝置流量可被解密</strong></h2> <p>隨著各種裝置都要連上網路，一旦無線網路晶片出現漏洞，影響的範圍恐怕會相當地廣。例如，資安廠商ESET發現名為Kr00k的安全漏洞，存在於採用博通或Cypress無線晶片的設備裡，估計數量超過十億臺，兩家公司獲報後都已提供修補程式。</p> <p>這項漏洞編號是CVE-2109-15126，若是連網裝置的無線網路晶片出現Kr00k漏洞，攻擊者便能使用全為0的加密金鑰，來加密流量，進而輕易解密裝置傳輸的網路封包內容。假如用戶要避免遭受攻擊，無線網路採用WPA 3協定加密，或者是藉由HTTPS連線、VPN，以及加密通訊軟體等，都能減緩該漏洞所產生的問題。<a href="https://www.ithome.com.tw/news/136066"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊 #Exchange</strong></span></h3> <h2><strong style="vertical-align: top;">甫修補的漏洞被盯上，駭客大肆掃描Exchange的控制版元件</strong></h2> <p>才剛被修補的漏洞，企業往往還在評估安裝更新軟體帶來的影響，駭客已經打算利用漏洞朝尚未修補的企業下手。資安研究人員Kevin Beaumont於2月26日指出，他發現網路上出現大量掃描CVE-2020-0688漏洞的行為，由於這個漏洞存在於微軟Exchange各版本裡，他呼籲用戶要趕快安裝修補程式。</p> <p>雖然Kevin Beaumont並未察覺利用這項漏洞的攻擊行為，但是Zero Day Initiative（ZDI）已經揭露漏洞的細節，並且公布濫用的途徑。即使微軟只將CVE-2020-0688列為重要等級，不過Kevin Beaumont認為，只要Exchange伺服器連上了網際網路，風險等級就會變為重大，他也預期，將會有勒索軟體集團大肆濫用這項漏洞。<a href="https://www.ithome.com.tw/news/136043"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/83-1-cve2020-0688.png" style="width: 400px;" /></p> <p>圖片來源：Zero Day Initiative</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞攻擊＃RCE</strong></h3> <h2><strong style="vertical-align: top;">合勤網路設備驚傳指令注入漏洞</strong></h2> <p>網路設備網頁管理介面出現重大漏洞，而導致攻擊者能夠遠端任意存取的情況時有所聞。Hold Security研究人員Alex Holden發現，臺灣網通廠商合勤（Zyxel）多款網路設備的韌體，存在驗證前指令注入的高風險漏洞CVE-2020-9054，可能給駭客遠端執行任意程式碼（RCE）的機會，該漏洞CVSS v3.0風險評分為最高的10分。</p> <p>合勤也於自家網站公告受該漏洞影響的範圍，產品線涵蓋網路儲存設備（NAS）、次世代防火牆，以及VPN設備，他們已提供20多款設備的新版韌體，至於部分已終止支援的型號，該公司則建議不要直接與網際網路連接，或者是關閉TCP的80埠與443埠。<a href="https://www.ithome.com.tw/news/136038"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/83-2-zyxel-weblogincgi.png" style="width: 400px;" /></p> <p>圖片來源：合勤科技</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞攻擊＃行動支付</strong></h3> <h2><strong style="vertical-align: top;">綁Google Pay的PayPal帳戶遭盜刷，傳與未修補漏洞有關</strong></h2> <p>行動支付的浪潮銳不可擋，同時也成為駭客鎖定的攻擊目標。多名PayPal用戶表示，他們的帳戶遭到盜刷購物，金額從上百到上千歐元不等。這些受害者以德國用戶為最大宗，但也包含美國與俄羅斯用戶，共同點都是綁定Google Pay服務。至於盜刷的犯罪地點，皆位於美國。PayPal獲通報後，已經退款給受影響的消費者。</p> <p>目前PayPal尚未查出駭客如何入侵受害人帳戶，但德國安全研究人員Markus Fenske在推特上指出，此起事件與他們一年前通報的漏洞有關，然而PayPal迄今仍沒有著手修補。<strong><a href="https://www.ithome.com.tw/news/135997">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃應用程式市集亂象</strong></span></h3> <h2><strong style="vertical-align: top;">新型惡意程式滲透Google Play市集的8款App</strong></h2> <p>能暗中點擊手機螢幕內容的惡意軟體，竟被攻擊者埋藏在官方應用程式市集裡的合法App。Check Point揭露新的惡意程式家族Haken，能夠掌控受害裝置並點選螢幕上的任意內容，然而駭客散布的管道，是將這個惡意程式植入Google Play市集的合法App，具估計有5萬臺Android裝置安裝了受感染的應用程式。</p> <p>這些被植入Haken的多半是公用程式及兒童程式，包括羅盤程式、QRCode程式，以及多款兒童遊戲程式。Haken既能自動點選螢幕上出現的任何訂閱服務，也能自裝置上取得各種機密資料。獲報後，Google已經將受感染應用程式全數移除。<a href="https://www.ithome.com.tw/news/135983"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/83-3-goog-figure-1.png" style="width: 400px;" /></p> <p>圖片來源：Check Point</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">明文憑證隨意存放！以色列行銷公司逾5千萬通訊錄門戶大開</strong></h2> <p>因沒有設置密碼保護而造成機密資料公開，是企業使用公有雲最常見的缺失，但有了密碼保護就安全嗎？一名DevOps工程師無意間發現以色列行銷公司Straffic資料庫的憑證，其中包含了明文密碼，可用來存取這個資料庫近5千萬筆通訊錄。而這名工程師找到上述憑證的原因，竟只是近2年受到垃圾簡訊騷擾，遂而從簡訊連結的網域追查源頭，才揭露這起事件。</p> <p>Straffic在消息曝光後，僅發表簡短聲明，指出旗下其中一個網站含有安全漏洞，證實漏洞的確存在後就進行修補，但除此之外，該公司並未說明產生安全漏洞的原因，也沒有公布資料外洩的細節與數量。<strong><a href="https://www.ithome.com.tw/news/136095">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資安產業動態＃OpenDXL</strong></span></h3> <h2><strong style="vertical-align: top;">資安產品共通訊息語言OpenDXL Ontology正式發布</strong></h2> <p>資安產品之間的訊息互通，近年逐漸受到廠商的重視。繼McAfee於2017年公開OpenDXL（Open Data Exchange Layer）資安通訊協定之後，由IBM與McAfee等資安廠商組成的開放網路安全聯盟（Open Cybersecurity Alliance，OCA），最近公開OpenDXL Ontology專案的程式碼，能讓各種工具使用OpenDXL，以此作為串連及整合不同資安產品的共通訊息框架。</p> <p>OCA指出，OpenDXL Ontology是業界第一個透過共通訊息框架的使用，同時能夠連結眾多資安產品的開源語言。有了這種訊息框架，便能將警示通知、威脅資訊，以及回應行動等資訊，自動派送給跨品牌與跨類型的資安產品。<strong><a href="https://www.ithome.com.tw/news/136014">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資安產業動態＃Azure AD ＃FIDO2</strong></span></h3> <h2><strong style="vertical-align: top;">混合式Azure AD環境FIDO2支援來了！微軟提供公開測試</strong></h2> <p>訴求取代密碼的快速身分驗證機制標準FIDO2日漸盛行，微軟正逐步增加能夠支援這種標準的產品。自去年11月預告之後，該公司在2月24日宣布，推出FIDO2協定的Azure Active Directory（Azure AD）公開預覽，讓企業可以用FIDO2硬體金鑰，登入Windows 10電腦，或者是存取公有雲與私有雲環境。微軟Alex Simons指出，這是自去年7月AD支援FIDO2後，用戶呼聲最高的無密碼登入功能。</p> <p>該公司認為，藉由將FIDO2支援擴大到混合雲環境，用戶將可利用加密硬體金鑰登入Windows裝置，也可以存取公司網路和雲端資源，而不怕連上釣魚網站。<strong><a href="https://www.ithome.com.tw/news/136041">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/136028">McAfee買下遠端瀏覽器隔離技術新創Light Point Security</a><br /> ●<a href="https://www.ithome.com.tw/news/136075">勒索軟體受害者6年來付出1.4億美元比特幣</a><br /> ●<a href="https://www.ithome.com.tw/news/135978">Safari將拒絕效期超過398天的新網站SSL憑證</a><br /> ●<a href="https://www.ithome.com.tw/news/136018">DNS over HTTPS成為美國Firefox用戶的預設</a><br /> ●<a href="https://www.ithome.com.tw/news/136002">RSA大會2020創新沙盒競賽結果出爐，自動化隱私法遵新創業者奪冠</a></h3> </div></div></div>
2020/3/5 10:10作者周峻佑https://www.ithome.com.tw/news/136162
武漢肺炎衝擊美國科技業，Amazon西雅圖總部一員工確診，Google、微軟允許員工在家上班
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎（COVID-19）在美國感染擴大，許多高科技公司群聚的華盛頓州西雅圖市，也拉起警報。Amazon證實一名總部員工確診感染，而Google和微軟也允許員工在家上班。</p> <p><a href="https://www.cnet.com/news/amazon-employee-at-seattle-headquarters-tests-positive-for-coronavirus/" target="_blank">Amazon周三證實</a>，西雅圖總部一名員工發出公司信件，告知西雅圖及Bellevue分公司員工此事。Amazon指出，這名員工於2月25日身體不舒服而請病假，迄今未再回公司上班，並於3月3日確診感染COVID-19。Amazon也已經通知和這名員工有密切接觸的同仁，並表示若和該員工沒有密切接觸，遭感染的機率應該很低。</p> <p>目前該員工已經被隔離，而其所在的西雅圖南湖聯合社區（South Lake Union）的Amazon公司大樓，也進行「進階的徹底清潔」。</p> <p><a href="https://www.reuters.com/article/us-health-coronavirus-amazon-com/amazon-confirms-two-employees-in-italy-have-contracted-coronavirus-idUSKBN20P04M" target="_blank">路透社本周稍早也報導</a>，Amazon有2名位於義大利米蘭分公司的員工，也因感染COVID-19而隔離中。</p> <p>此外，Amazon總部出現感染個案，也讓其他科技巨人提高警戒。總部位於華盛頓Redmond市的微軟，周二也公布擴大防疫措施。微軟執行副總裁Kurt DelBene透過公司信件及部落格，<a href="https://news.microsoft.com/2020/03/04/kurt-delbenes-march-4-guidance-to-king-county-employees/" target="_top">通知西雅圖和舊金山辦公室員工</a>，即日起到3月25日非必要到公司的話，可以在家上班。</p> <p><a href="https://www.geekwire.com/2020/google-bars-visitors-seattle-allows-employees-work-remotely-amid-coronavirus-outbreak/" target="_blank">Geekwire指出</a>，Google的西雅圖分公司距離Amazon總部僅一街區，Google已允許當地約4,500名員工在家上班，分公司仍然營運供員工進入，但禁止員工讓訪客進入。</p> <p>西雅圖所在的華盛頓州，是美國COVID-19疫情最嚴重的州，迄今已有9名死亡案例。</p> <p>Google上周證實一名蘇黎世分公司員工感染COVID-19，另外，由於愛爾蘭都柏林分公司一名員工有「疑似流感」的症狀，Google決定讓當地8千名員工，可以選擇在家上班。</p> </div></div></div>
2020/3/5 10:30作者林妍溱https://www.ithome.com.tw/news/136167
靠雲加速跨國布局邁向智慧物流，萬泰物流全球IT架構有一套
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣有家20年老字號本土物流業者，5年前，決定整併包括臺灣在內全球近百家分公司的IT系統，甚至不惜全面翻新IT架構，還要改用雲端來打造集團全球IT系統架構，就連關鍵系統也要搬上雲，來擴大服務全球80萬家客戶。這家公司就是萬泰國際物流（以下簡稱萬泰物流），不僅以IT作為在全球迅速布點、提高營運成長的關鍵，未來還要更進一步用IT推動智慧物流。</p> <p><strong><span style="font-size:28px;">舊有IT架構過於分散不集中，成為集團在全球迅速擴張的挑戰</span></strong></p> <p>有別於一般物流業，萬泰物流資訊化發展很早，10多年前就開始推行e化，發展創新物流業務，包括海運、空運等，還導入貨況查詢追蹤等各項數位化服務，就連在IT架構上，也大力採用伺服器虛擬化技術整併機房IT架構。到了2010年，萬泰超過9成資訊設備都已虛擬化，包括海空運承攬等關鍵系統。</p> <p>萬泰物流目前在全球累積80萬個企業用戶，就連台積電也在其中。然而，近幾年，面對全球化的競爭，萬泰不只要面對物流業的廝殺競爭，服務對象也更加多元，運送的貨物更加多樣，才能滿足不同市場需求，甚至為了讓物流服務遍布全球，萬泰近年迅速於全球擴點，成立海外分公司，光是臺灣、中國和歐美等地，合計就有多達90家分公司。</p> <p>但是，萬泰物流現有的資訊架構，已無法滿足集團在全球快速布局的需求，甚至因為這些分公司的資訊系統各自獨立，導致資料難以串接整合，也阻礙了萬泰朝向智慧物流發展。</p> <p>為了解決這個難題，萬泰物流於2015年決定先從全球IT架構整併著手，將原本各分公司的全球IT系統加以集中來整併，甚至轉而擁抱雲端，翻新舊有的IT架構。而推動與執行這項重要IT任務的角色，就是萬泰國際物流資訊部經理許倉豪。</p> <p><strong><span style="font-size:28px;">打造全球IT架構第一步，就是變成一個全球雲端架構</span></strong></p> <p>以往，萬泰在海外各分公司隸屬不同地理區域，許倉豪表示，當初在建置應用系統時，因為缺乏完整IT規畫，使得許多分公司只能與當地配合的系統商合作來建置，然而，多年下來，造成了物流、財務等營運資料分散各地，需要耗費不少人力來整合，更使得整體運作效率不彰。</p> <p>也因此，2015年時，萬泰首先整合了臺灣的資訊系統，接著，再擴大整併全球IT架構。</p> <p>許倉豪指出，除了臺北總公司，當時在北中南皆設有營業據點，資訊系統也各自獨立，包括海運、空運等，為了讓這些系統可以統一集中管理，萬泰資訊部門當時的第一要務，就是要翻新舊有IT架構，改採用雲端架構整併這些資訊系統，「建構全球IT架構的第一步，就是要變成一個全球雲端架構。」他說。在經過評估後，萬泰物流採用了公有雲架構來建構該集團的全球物流雲。</p> <p>但一開始上雲，萬泰臺灣總公司資訊團隊就做了一個大膽決定，那就是，先讓重要系統上雲，之後才是次要系統，甚至更將核心業務如海運、空運系統搬上雲端。</p> <p>許倉豪解釋，這麼做的用意，就是為了幫助公司加快全球布局。他也舉例，以前要成立一間海外分公司，系統從無到建置完成至少須要花上一個多月，這樣的速度，對於萬泰的全球布局來說，還是太慢，尤其為了因應跨境電商多變的消費需求，如果沒辦法很快布點，新服務推出比別人慢，就很難跟人競爭。</p> <p>關鍵系統上雲之後，他指出，透過採用統一集中式雲端架構，現在想要在海外開設分公司，不用一週就能完成核心系統的部署，讓該分公司能馬上對外營運，且員工透過網際網路連線，也能直接使用雲端提供的海運、空運等操作系統，來向客戶提供服務。</p> <p>也就是說，核心系統的建置時間從原先要花一個月，現在縮短到一週內就能完成，這意味著，萬泰能搶先對手一步掌握市場先機，甚至因為所有關鍵系統都搬上雲，分公司現在也不需要設立獨立機房，能替IT節省不少維運人力。</p> <p>不過，為了將這些重要系統搬上雲，萬泰臺灣資訊團隊當初也費了不少功夫。他們不僅要確保這些關鍵系統，可以在雲端維持同樣效能與穩定性，還要經過長達半年多的PoC測試、併行測試，甚至為了支援雲端執行環境，後來，還翻新採用新一代海運、空運承攬系統，等到確認系統能穩定運作，再正式將系統轉換為雲端架構。</p> <p>直到2016年底，萬泰才完成臺灣的IT架構整併，並將重要系統皆放上雲端——一開始，他們將海運、空運系統先放上雲，之後再擴大到其他系統，甚至未來導入新系統都以雲端建置為主。另外，考量到再可靠的雲端服務都有中斷的可能，該公司也同時採用多套備援機制來降低風險。</p> <p><strong><span style="font-size:28px;">WMS倉儲物流系統也上雲，客戶也能跨區即時追蹤所有貨況</span></strong></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:350px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A8%B1%E5%80%89%E8%B1%AA_%E8%90%AC%E6%B3%B0%E7%89%A9%E6%B5%81_%E8%B3%87%E8%A8%8A%E9%95%B7_350.jpg" style="height: 350px; width: 350px;" /></td> </tr><tr><td><span style="color:#696969;"><strong><span style="font-size:18px;">萬泰國際物流資訊部經理許倉豪表示，面對全球化競爭，物流業IT不單服務內部使用者，也要變成提供服務的資訊業者，貼近使用需求。</span></strong></span><span style="font-size:16px;">（攝影／洪政偉）</span></td> </tr></tbody></table><p>除了海空運系統外，後來，就連WMS倉儲物流系統也跟著上雲。許倉豪表示，該系統上雲的最大好處是，現在所有倉庫進出貨盤點、庫存資料，都可以在同一個雲端操作介面上來呈現，甚至還可以提供跨倉查詢。</p> <p>他舉例，以前，企業用戶想從客戶查詢系統查看自己的貨物資訊時，若這些貨物分別存放到不同地區的物流倉儲中心，有時就要登入好幾套系統來查詢，因為每個倉儲中心的資訊系統各自獨立、缺乏整合，因此，企業想查看所有貨況，須先等到各地貨況資料全部匯整到總公司貨物追蹤平臺，不僅使用相當不便，也難以即時追蹤貨件狀態。</p> <p>但改用雲端整合以後，現在，只須輸入提單號碼，企業就能即時看到貨物在全球所有倉儲的庫存情況，無須多次登入，甚至還能進一步查看每日貨物進出倉狀況，更能即時掌握貨件配送進度。</p> <p><strong><span style="font-size:28px;">8成全球資訊系統都上雲，讓公司高層更早掌握決策資訊</span></strong></p> <p>有了臺灣導入的成功經驗之後，隔年，萬泰物流更擴大到全球來實施，陸續將中國上海、東南亞分公司的核心系統也搬上雲。許倉豪表示，到2018年底，萬泰全球IT已逐漸轉換為雲端架構。就連財務系統，現在也是改上雲端，負責整合全球各分公司財務等營運資料，並與臺灣總公司的同一套系統互為備援。「截至目前，整家集團已有8成系統皆上雲」許倉豪驕傲地說。</p> <p>在全球IT架構集中整併之後，許倉豪認為最大改變，就是資料整合速度變得更快。他也提到，以往，因為分公司的營運資訊難以迅速流通，因此，必須先花兩到三天，將全球各地資訊回傳匯整成報表後，公司管理者才能根據報表內容制定對策，但現在，因為所有資料都統一匯整到雲端平臺管理，因此，資訊取得變得更即時，也可以即時呈現各地業績，「甚至從原本以天為單位縮短到每小時，也讓公司高層決策能更早一步，來因應全球市場變化。」</p> <p>許倉豪還提到了另一個好處，那就是能因應資料整合的迫切需求，來協助萬泰物流朝向智慧物流發展。因為許多智慧分析應用，需要仰賴大量資料整合，反之，若沒有取得足夠資料來分析，公司就沒辦法加速創新，而如今透過雲端架構的幫忙，可以替他們解決這個問題，來協助總公司更快取得資料，用於數據分析。</p> <p>為此，萬泰自2017年也開始規畫建立自己的數據分析平臺，甚至還在資訊部門另設立系統分析組，專門負責全球營運數據的分析，並持續翻新系統，以便蒐集更多可用資訊，藉此掌握產業趨勢與客戶行為。許倉豪的更大目標，則是要做到主動掌握客戶需求、何時下單，甚至可以提前預測哪個運送貨件類型最夯。</p> <p><strong><span style="font-size:28px;">物流業IT也變成提供服務的資訊業者</span></strong></p> <p>萬泰去年更將整個資訊部門獨立出來，成立一家資訊服務公司，許倉豪也同時兼任該公司資訊長，負責對外IT業務，「目的就是為了要更貼近客戶的使用需求，」他表示，身為物流業IT，現在不單是要服務內部使用者，也要變成提供服務的資訊業者，來滿足企業用戶提出的客製需求，例如，單獨替企業建立一個資料交換中心，與其派送系統進行資料串接和整合，比如串接快遞公司和卡車、便利商店等系統，而不影響萬泰原有IT流程或架構。他表示，目前也與一家日本拼圖業者展開相關合作。</p> <p>不過，由於萬泰物流集團所有營運相關資料，幾乎都存放到雲端，2年多下來，也讓雲端成為了IT維運成本一筆不小的支出。目前該公司整年的公有雲費用將近400萬元，約占總IT預算近一成，儘管還在可預估的範圍，但為了避免雲端費用逐年增長，許倉豪也決定開始控制雲端用量，尤其是在資料儲存方面，未來所有涉及物流的相關資料，將不會全部存放在雲端，而會將這些歷史資料定期回傳到臺北總公司機房，來長期保存或分析使用；至於雲端，則保留近幾年的資料，以免因儲存空間用盡或不敷使用，使得雲端成本不斷提升。</p> <p>展望未來，許倉豪表示，今年有兩大IT目標。其一，是加強落實大數據分析，來協助公司高層加快商業決策，未來也會變成對外銷售的產品服務提供企業來使用。其二，則是在AI人工智慧方面，將會有更多投入，他表示，初期會先在車隊管理流程導入AI，提供司機最佳化派送路線的建議，或是針對交通狀況做到提前預警等，未來，他們也將更進一步導入倉儲物流流程，來提前預估客戶貨物進出倉到派車的時間，讓企業客戶能準確地掌握貨件配送資訊。</p> <p>不過，儘管許倉豪看好物流AI發展，但也不貿然採用新技術，而是採取穩扎穩打策略。例如，關於電商倉儲AGV物流搬運機器人，他就認為，這僅適用於產品多樣、體積小的搬運場景，與萬泰主要客群不符，因此暫不考慮配置。另外，他也曾評估區塊鏈在物流行業的相關應用，即使在金融業已有不少應用實例，但他認為，在尚未有明確的金流、認證標準規範可供物流業參考前，現在進場時機太早。</p> <div id="_idContainer009"> <p><span style="color: rgb(51, 153, 255);"><strong>CIO小檔案</strong></span></p> <p><strong>許倉豪</strong></p> <p><strong>萬泰國際物流資訊部經理</strong></p> </div> <div id="_idContainer010"> <p>學歷：景文科大電子工程學士</p> <p>經歷：在萬泰物流IT任職長達17年，從資訊工程師做起，一路擔任過資訊部門副理、經理多項職位，曾負責推動集團全球IT架構整併上雲端，去年集團內部成立新的資訊服務公司時，他也同時身兼資訊長，負責對外IT業務，未來更將扛起整個集團轉型邁向智慧物流的IT重任</p> <p><span style="color: rgb(51, 153, 255);"><strong>公司檔案</strong></span></p> <p><strong>萬泰國際物流集團</strong></p> <p>● 地址：臺北市中山區八德路2段308號5樓</p> <p>● 網址：<a href="http://www.dolphin-gp.com">www.dolphin-gp.com</a></p> <p>● 成立時間：1995年</p> <p>● 主要業務：國際海運、空運、國際快遞物流貨運承攬</p> <p>● 員工數：約5,000人</p> <p>● 資本額：3,000萬元</p> <p>● 年營收：約200億元（2018年全球集團營收）</p> <p>● 創辦人：鄭毓文</p> <p>● 董事長：王成發</p> <p><strong style="color: rgb(51, 153, 255);">資訊部門檔案</strong></p> <p>● 資訊部門主管職稱：資訊部經理</p> <p>● 資訊部門主管姓名：許倉豪</p> <p>● 資訊部門人數：50人</p> <p>● 資訊部門分工：網路資安策略組、系統技術分析組、程式開發組、專案行銷組</p> <p>● IT預算：約5千萬元</p> <p><strong style="color: rgb(51, 153, 255);">公司大事紀</strong></p> <p>● 2016年：導入雲端與資安系統整合、完成全球海運、空運、報關系統整合</p> <p>● 2017年：完成整合全球快遞系統、全球貨況查詢追蹤系統推出上線</p> <p>● 2018年：推出行動版貨況查詢追蹤服務、完成全球倉儲物流系統整合</p> <p>● 2019年：財務系統整合完成、導入全球EDIHUB整合系統、車隊運輸管理系統上線、建置物流供應鏈整合平臺</p> <p> </p> </div> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/xu_cang_hao_wan_tai_wu_liu_zi_xun_chang_960.png" width="960" height="420" alt="" title=" 萬泰國際物流資訊部經理許倉豪（攝影／洪政偉）" /></div></div></div>
2020/3/5 09:00作者余至浩https://www.ithome.com.tw/people/136027
從C++看一級函式
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現代潮語言愛談一級函式，然而，對於C++來說，傳遞函式並不是什麼新鮮事，端視我們傳遞函式的目的是為了什麼，因此，函式指標、函子（Functor）、lambda運算式，都可以是選擇之一。</p> <p><strong><span style="font-size:28px;">函式指標與函子</span></strong></p> <p>關於函式可以傳遞的概念，已存在不少現代語言之中，然而，應該是JavaScript令許多開發者都知道了這件事。</p> <p>記得過去有幾次看過C/C++開發者，以略帶不屑的口氣說到：「啊！這不就是函式指標？！」單就這句話來看，可以說對，也可以說不對。</p> <p>說對的原因是：C++中若以函式名稱作為指定來源時，我們可以求得位址設置給函式指標，透過函式指標也可以呼叫函式，因此，傳遞函式不是什麼新鮮事。</p> <p>就算是類別函式成員，也都可以傳遞，只不過函數指標的型態，往往難以閱讀或撰寫，開發者經常要停下來搜尋查閱語法，才能寫得正確。幸而到了C++ 11以後，我們可以使用auto、decltype，或者是function模版來減輕這類負擔。</p> <p>而說不對的原因是：只談函式指標，不足以涵蓋JavaScript這類語言中談到的一級函式功能。</p> <p>例如，外部變數的捕捉，想達到這類功能，我們可以定義函子，或稱為函式物件（function object），開發者能自定類別定義呼叫運算子「()」，實作內容為任務的函式流程，至於想捕捉的變數，我們可以在建構函子實例時指定，而當下要捕捉變數本身或是值，就看建構式接受的參數是採傳參，或是傳值。</p> <p>從技術上來說，函子不等於C++函式，然而對C++來說，「函式」的概念有進一步的擴充。從比較簡化的說法來說，可以透過()調用並傳送引數的對象，都可視為<a href="https://en.cppreference.com/w/cpp/named_req/Callable" target="_blank">Callable</a>的實例，C++函式是其中之一，函子也是。</p> <p>函子實例就是個自定類別的實例，既然如此，就有了附加的價值，可以令函式帶有狀態，也可以攜帶方法。就像JavaScript中的Function實例，可以取得參數長度，也可以有call、apply等方法。</p> <p><strong><span style="font-size:28px;">lambda運算式</span></strong></p> <p>如果要臨時建立一個函式呢？我們是可以臨時定義一個匿名的類別並用來建立實例，然而可讀性不佳。不過，C++ 11以後提供了lambda運算式，大幅增加了可讀性，想想看，你會想寫auto ascending = [](int n1, int n2) { return n2 - n1; }，還是如下使用函子？</p> <pre> struct { int operator() (int n1, int n2) { return n2 - n1; } } ascending;</pre><p>就技術而言，lambda運算式並不等於C++函式，很大程度是函子的語法糖，它會建立匿名類別（稱為closure type）並用來建構實例，因為無法取得匿名類別的名稱，也就無法宣告其型態，而必須透過auto來自動推斷，或者透過function模版來宣告參數與傳回型態。</p> <p>如果lambda運算式被指定給函式指標，那麼，lambda運算式會退化為函式位址，因此，既有的函式若參數定義為函式指標型態，也可以接受lambda運算式。</p> <p>若與其他語言中的一級函式相比，lambda運算式必須帶有捕捉列[]，而顯得與眾不同。空白的[]，表示lambda不得捕捉任何外部變數，然而可以在捕捉列中指明哪些變數可以捕捉，而且，該捕捉變數本身，或者是變數的值，開發者都可以自行決定。</p> <p>如此一來，雖然會令lambda運算式變得冗長一些，卻可以令變數捕捉這件事，不若其他語言中那麼神祕難解。</p> <p>單看功能而論，lambda運算式能夠做到的，函子幾乎都能做到；然而，lambda運算式可以是匿名的，也可以在建立匿名的lambda運算式後，直接進行呼叫，也就是可建立所謂的IIFE（Immediately Invoked Functions Expression）。</p> <p>當然，函子也能做到lambda運算式無法達成的一些功能，例如，攜帶額外的狀態或方法等。</p> <p><strong><span style="font-size:28px;">高階函式</span></strong></p> <p>現今有許多開發者將C++ 11以後，視為現代C++（Modern C++），而令其具有現代感的元素之一，就是lambda運算式。已經在其他程式語言中熟悉一級函式特性的開發者，此時，可能會想到高階函式這類設計，也就是，函式可以設計為接受函式並傳回函式。</p> <p>不過，如果在C++中，使用lambda運算式實現高階函式，可要留意了！</p> <p>我們可以將lambda運算式從函式中傳回，然而在函式中建立的lambda運算式，其生命週期就是區域性、暫時性，亦即在函式執行後就沒了，因此傳回型態必須是傳值，不能是傳參。</p> <p>若我們試圖以傳參方式傳回lambda運算式，編譯器會提出警訊，像是：參考了區域變數（傳回型態為lvalue參考時），或是傳回了暫時性參考（傳回型態為rvalue參考時）。</p> <p>另一方面，lambda運算式不會擴展變數的生命週期，如果在捕捉列指定以參考方式捕捉外部變數，從函式傳回lambda運算式後，被捕捉的變數生命週期已經結束，此時，如果變數的位址已經變得無效了，lambda運算式所捕捉的參考，就會形成懸空參考（Dangling references），也就是參考了不合法的位址。</p> <p>關於捕捉後的變數是否懸空這件事，有時不是那麼顯而易見，例如，lambda運算式可以形成遞迴：</p> <pre> function<int(int)> factorial = [&](int n) -> int { return n == 0 ? 1 : n * factorial(n-1); };</pre><p>若想在函式中以factorial(10)呼叫是沒有問題，然而，如果將factorial從函式中傳回然後再呼叫，此時，因為factorial是區域變數，捕捉到的factorial已經懸空，因而會造成函式呼叫錯誤。</p> <p>而談到擴展變數生命週期這件事，視需求而定，我們可以有不同的解法。例如，lambda運算式形成遞迴後，若又想從函式傳回，我們可以將之包裹在另一個lambda運算式後傳回（參考<a href="https://bit.ly/39OE8AY">https://bit.ly/39OE8AY</a>）。</p> <p><strong><span style="font-size:28px;">傳遞函式的目的是？</span></strong></p> <p>現代不少程式語言強調其具有一級函式，真正的目的是能以函式的粒度來思考，也就是，可以用一個函式，而不是用一組函式（物件攜帶一組方法）的粒度來思考。單就這點而言，函式指標是可以解決問題。</p> <p>然而，傳遞函式還會涉及如何捕捉變數、可否臨時創建函式，或者匿名函式、捕捉的變數生命週期，以及程式碼撰寫、維護是否方便等問題。基於這種種不同的考量，將會決定當時應該使用函子，或lambda運算式。</p> <p>因此，傳遞函式這件事在C++中，看似囉嗦許多，實際上，開發者在傳遞函式時就該考量這些因素，並且搞清楚不同語言在這些因素上，有哪些必須注意的地方，如此才能在適當的需求上，採用適當的函式傳遞方式。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80">程式語言</a></div><div class="field-item even"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item even"><a href="/tags/c">C++</a></div><div class="field-item odd"><a href="/tags/%E5%82%B3%E9%81%9E%E5%87%BD%E5%BC%8F">傳遞函式</a></div><div class="field-item even"><a href="/tags/%E5%87%BD%E5%AD%90">函子</a></div><div class="field-item odd"><a href="/tags/functor">Functor</a></div><div class="field-item even"><a href="/tags/lambda%E9%81%8B%E7%AE%97%E5%BC%8F">lambda運算式</a></div><div class="field-item odd"><a href="/tags/%E5%87%BD%E5%BC%8F%E7%89%A9%E4%BB%B6">函式物件</a></div></div></div>
2020/3/5 09:00作者林信良https://www.ithome.com.tw/voice/136030
【廣泛掌握網路活動狀態，減少資安威脅偵測與反應的盲點】保護企業資訊環境，透視網路流量的威脅跡象是關鍵
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0305_revealx1566288016925_tu_pian_lai_yuan_yi_ying_ke_ji_.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【透視網路資源的存取關係】從網路找出使用者與設備之間存取行為的關連，建立常態的基準線，是專屬NDR系統裡重要的功能，如圖中ExtraHop Reveal(x)便將企業的網站與資料庫之間的存取關係，彙整成拓撲圖。圖片來源／逸盈科技</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業想要防範資訊環境裡的資安威脅，近年來已經不再只是兵來將擋、水來土掩，而是要找出疑似攻擊徵兆的可疑跡象，才能在駭客使用越來越隱密的手法之際，採取適當的因應措施，執行反制行動。這種防護策略，也使得資訊安全解決方案的發展上，開始強調偵測（Detection）與回應（Response）的重要性，特別是從網路流量的層面來著手。</p> <p>之所以訴求這種策略，還是因為現今的資安威脅，與過往攻擊手法存在顯著差異。</p> <p>例如，我們時常會聽到的無檔案式（Fileless）攻擊過程裡，駭客經常會借用資訊系統裡的合法工具，像是Windows裡的Power Shell，來進行惡意軟體等作案工具的偷渡，藉此達到規避如防火牆、防入侵偵測系統（IDS），以及防毒軟體等偵測機制，使得企業更加難以防範，若是藉由網路流量的解析，能掌握較為全面的攻擊事件樣貌。</p> <p>這種新興資安威脅的態勢，就如同現實人類環境裡，在今年年初爆發的武漢肺炎（COVID-19）疫情，極為難以捉摸──這種新型冠狀病毒，不像近20年前大爆發的SARS，一般人能夠依據是否出現發燒等症狀，來判斷是否疑似感染這種病毒。</p> <p>換言之，即使沒有可能是武漢肺炎的症狀，並不代表就沒有遭受感染，再加上這種病毒的潛伏期又很長，導致人人自危，生怕一不小心就被傳染，不少人也因此瘋狂搶購口罩與消毒用品來自保。</p> <p>事實上，如同武漢肺炎的態勢，其實已經在數位環境發生過類似情形。例如，於2017年5月的周末發動攻擊，造成全球出現大規模災情的WannaCry勒索蠕蟲，攻擊行動自星期五開始出現之後，隔日災情便從十多個國家，迅速蔓延。</p> <p>這種可能埋藏許久、一旦發生便難以防範的攻擊態勢，導致大多數民眾必須在星期一回到工作崗位的時候，在電腦開機前拔除網路線，避免因為這個勒索蠕蟲橫向感染，使得自己的電腦遇害，影響生產力。</p> <p>除此之外，資安威脅的局面，如今也變得更加嚴峻。以上述提及的勒索軟體攻擊來說，由於一般使用者逐漸有備份資料的意識，即使電腦遭到勒索軟體攻擊，很可能不願意支付贖金，使得這幾年駭客不再採取類似WannaCry的無差別攻擊，而是針對特定的公司行號下手，因此攻擊手法越來越難以捉摸，也變得更加難以防堵。</p> <p>而在前述提到的無檔案式攻擊，駭客也可能將作案的工具分割，每次傳送一小部分，於目的地再行組裝。由於拆解之後的特徵與原本的惡意軟體不同，導致企業也很難藉由端點防護機制，來發現這種攻擊，從網路流量留下的跡象加以分析，也成為一種察覺的管道。</p> <p class="rtecenter"><img alt="" src="file:///C:/Users/SU/Pictures/962/962-20-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-2-web-resources/image/%E5%9C%961_Revealx1566288016925_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%80%B8%E7%9B%88%E7%A7%91%E6%8A%80.png" /><strong><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_DDNA_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80.png" style="width: 600px;" /></span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">提供事件攻擊途徑解析</span></strong></p> <p><span style="color: rgb(105, 105, 105);"><strong>從流量歸納出攻擊事件的來龍去脈，也是整合式網路偵防系統所提供的特色，以圖中趨勢Deep Discovery呈現的事件態勢而言，不只依據企業內外環境列出攻擊途徑，也提供依據時間軸查詢的機制。</strong>圖片來源／趨勢科技</span></p> <p><span style="font-size:28px;"><strong>視野更全面，透過NDR來增加透視網路的能力</strong></span></p> <p>這在現行資安防護系統採取的策略中，不少解決方案採取的角度，是藉由採集更多的跡證，藉由人工智慧的分析，來增加判斷看似無害的攻擊手段能力，無論是針對端點的次世代防毒軟體、EDR，或是從網路層面著手的防入侵偵測系統，都陸續開始採用這種類型的技術來識別威脅。</p> <p>這種向下鑽研，深入探究疑似攻擊的特徵，而端點型態防護系統更能藉由代理程式的部署，從系統底層來追蹤行為。然而，這種做法最大的缺點，就是局限在特定的防守位置，而難以擴及企業整個資訊系統的環境。</p> <p>另一方面，則是資安資訊事件管理平臺廣泛收集了各式的資料，卻因為資料來源不同，使得能夠共通的資料較為有限。而透過網路流量偵測與回應的NDR系統，正好從中以網路環境的層面，來涵蓋整個資訊環境的資安情勢掌握。縱使從端點的角度來說，NDR可能難以偵測沒有網路活動的行為，而論及資料的豐富程度或許也不及SIEM，但是NDR在廣泛收集流量加分析的同時，也透過深度解析封包（DPI），並且能拆解加密流量，來識別網路流量保留的跡象，仍有一定判別威脅的效果。</p> <p>從上述NDR的特性，與端點防禦系統、SIEM平臺互補的情況，我們也發現到不同型態的網路流量偵防系統出現，包含了獨立的NDR系統，以及基於現有防護產品延伸提供的產品，我們將在後面進一步介紹它們的特性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-3_4-peers2_0_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%87%BA%E7%81%A3%E4%BA%8C%E7%89%88.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>【以環狀圖顯示關連的連線存取】針對相關的異常連線存取事件，呈現發生類似狀況的內部網路端點，以及它們存取了那些網域，也是專屬NDR系統著重的能力。以圖中的GreyCortex Mendel為例，能將存取的端點電腦與網域進以環狀排列，再連結存取的關係。</strong>圖片來源／臺灣二版</span></p> <p><a href="https://www.ithome.com.tw/article/136072" target="_blank"><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span> <span style="color:#3399ff;">NDR全面透視網路威脅</span></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ndr">NDR</a></div><div class="field-item odd"><a href="/tags/%E7%B6%B2%E8%B7%AF%E5%A8%81%E8%84%85">網路威脅</a></div><div class="field-item even"><a href="/tags/%E7%AB%AF%E9%BB%9E">端點</a></div><div class="field-item odd"><a href="/tags/%E7%B6%B2%E8%B7%AF%E6%B5%81%E9%87%8F">網路流量</a></div><div class="field-item even"><a href="/tags/%E7%B6%B2%E8%B7%AF%E5%81%B5%E6%B8%AC%E8%88%87%E5%9B%9E%E6%87%89">網路偵測與回應</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div></div></div>
2020/3/5 09:00作者周峻佑https://www.ithome.com.tw/tech/136059
【透視IT與OT環境的網路威脅，透過專用系統串連攻擊事件樣貌】NDR從網路層面防護資安威脅
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-tu_2-memdel-dashboard_tu_pian_lai_yuan_tai_wan_er_ban_.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【易於判讀的網路環境威脅態勢】讓企業能一目了然資訊環境存在的網路威脅情勢，也是NDR與NTA系統的重要功能，像是GreyCortex Mendel的儀表板，便陳列了風險最高的端點，管理者可透過左側過濾指定的環境條件來進一步檢查。圖片來源／臺灣二版</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業想要防範資安攻擊，近年來的策略，偏重於透過端點的層面下手，找出異常的行為，並且採用相關的因應措施。然而，許多端點裝置基於各式的考量，難以部署代理程式來記錄及監控其運作的行為，像是重要的伺服器主機，基於安裝端點偵測與回應（Endpoint Detection and Response，EDR）系統的代理程式後，企業可能難以承受帶來的效能降低；或者，有些連網裝置根本沒有對應的代理程式可用，像是辦公環境常見的印表機，企業很難以這種監控設備的方式，來防範網路攻擊。因此，透過解析網路流量，來找出異常行為的做法，就變成一種新興的防護措施。</p> <p>這種型態的解決方案，我們稱之為網路偵測與回應（Network Detection and Response，NDR）。誠如前述的EDR，NDR在概念上同樣強調要做到「偵測」與「回應」，因此對於即時側錄或是截取下來的網路流量，NDR也透過機器學習或是人工智慧的機制，來加以解析流量的中繼資料（Metadata），從而揪出不尋常的行為。</p> <p>在NDR之外，市場調查機構Gartner也在近期的報告裡，提到這種型態的系統，他們稱為網路流量分析（Network Traffic Analysis，NTA），並且於2019年2月，提出第一份產品市場調查報告。該機構認為，廠商未來研發NTA的方向，仍會朝向「偵測」與「回應」兩大領域加以強化。再者，則是這種系統目前已經大多都具備有關事件回應的功能，差別在於能否自動化處置，或是顯示有關的回應措施建議，讓資安人員可以了充分解情勢之後，手動執行有關的工作。若要指出前述這兩種解決方案之間的關係，不少人認為，NDR就是NTA現今的發展趨勢，它們是同一種產品類型，只是系統功能先後發展階段的重點不同，而產生名稱上的差異。</p> <p>但無論是NDR還是NTA，兩種系統都會透過機器學習或是人工智慧，來解析網路流量潛在的異常行為跡象，這些類型的系統也需要對應的運算資源，才能更為即時提供有關的警示通知，甚至是藉由分析結果來執行因應措施，若是與其他系統共用運算資源，很可能導致分析的效率不符預期，因此，而在企業疊床架屋的資訊環境裡，採用獨立產品的解決方案，能減少與其他設施帶來干擾的現象，也能避免需要重覆投資，或者是建置同類型系統的情形。</p> <p>而這種專屬網路流量偵測與回應系統的興起，我們也可以從前面提到Gartner的報告裡，特別鎖定專屬NTA系統來列舉代表性產品的現象，而看出端倪。在這份報告裡，該公司總共提及了17款解決方案，不乏來自於知名的IT系統廠商與資安業者，例如Cisco Stealthwatch，或者是FireEye SmartVision等。值得留意的是，有別於前面許多人可能都聽過的廠牌，產品線多半跨足多種防護領域，這些被列出的解決方案裡，有幾個是專門提供NDR系統的業者，像是最近兩年才被引進臺灣的新品牌，如ExtraHop和GreyCortex，分別由逸盈科技和臺灣二版代理相關產品，並且大力推廣這種防護機制。</p> <p>由於這兩家代理商於去年積極推廣NDR，並且在各種研討會上多次介紹他們所代理的解決方案，再加上ExtraHop和GreyCortex兩個廠牌，也以這種型態的產品為主力，同時他們受到Gartner青睞，將其推出的NDR系統列為代表性的NTA解決方案，因此我們透過這兩款系統，來一探NDR系統的特性。</p> <p>大致上來說，我們可以發現這類系統以IT網路為防護的出發點，並且採用專用的收取設備來截取網路流量，而對於事件的回應，則能與自動化調度與回應機制（SOAR）、網路防火牆，以及資安事件管理系統（SIEM）等，透過API介接的方式，來執行相關的因應措施。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><img alt="" src="file:///E:/962/962-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-3+4-web-resources/image/%E5%9C%963-Memdel-graph_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%87%BA%E7%81%A3%E4%BA%8C%E7%89%88.png" /> <img alt="" src="file:///E:/962/962-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-3+4-web-resources/image/%E5%9C%961-ExtraHop-killchain_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%80%B8%E7%9B%88%E7%A7%91%E6%8A%80.png" /><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-SmartVision-joblist_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_FireEye.png" style="width: 600px;" /></span></p> <p><strong><span style="color: rgb(105, 105, 105);">列出需要優先處理的資安事件</span></strong></p> <p><span style="color: rgb(105, 105, 105);"><strong>在網路事件分析上，NDR陳列資安人員需要優先調查的攻擊事件，減少資安人員需自行過濾的不便。FireEye SmartVision列出圖中最為重大的項目，是將EXE可執行檔案傳送檔案到內部共享資料夾的異常行為。</strong>圖片來源／FireEye</span></p> <p><span style="font-size:28px;"><strong>採用專屬收集器採集網路流量中繼資料，支援加密流量解析</strong></span></p> <p>從NDR與NTA系統的整體架構來看，它們有幾個共通點，首先是普遍具備自有的即時流量收集感測器，並且將收集而來的資料，傳送到分析後臺，以便加以統整、分析之後，關連出整個攻擊事件的影響範圍，以及事件發生的經過等資訊，再透過易於判讀的圖表呈現。</p> <p>從我們前面提到的兩款NDR系統而言，網路流量收集設備都主打能藉由專屬的特徵資料，做為分析的來源，並且宣稱系統能透視東西向的網路流量，解析常見的網路傳輸協定，識別數百或是數千種的應用程式流量，而且範圍能涵蓋到網路應用層等，這些特性在許多的NDR與NTA系統裡，可算是普遍具備的特質。</p> <p>針對現今網路流量半數以上都透過加密保護的情況，兩款NDR系統都能直接拆解，而且支援TLS 1.3。</p> <p>以ExtraHop Reveal(x)而言，原廠宣稱採用鏡像複製的方式，來側錄網路流量，並且使用線路資料（Wire Data）為資料分析來源。該系統可解析超過70種網路傳輸協定，並且拆解逾4,800種功能，至於他們解析網路流量的層面，則是從網路的第2層涵蓋到第7層。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-ExtraHop-killchain_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%80%B8%E7%9B%88%E7%A7%91%E6%8A%80.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">NDR從流量串連事件過程</span></strong></p> <p><span style="color: rgb(105, 105, 105);"><strong>統整出攻擊事件的樣貌，也是NDR重要特色，圖中ExtraHop Reveal(x)便從筆電的資料外洩行為追溯，2星期前SMB共享資料夾出現暴力破解存取的攻擊，並推測接下來攻擊者可能會再度行動的時間點。</strong>圖片來源／逸盈科技</span></p> <p>而GreyCortex Mendel收集流量的方式，也是透過鏡像或是流量複製的方式進行，原廠強調支援進階安全網路評量（Advanced Security Network Metrics，ASNM）協定，收集網路流量裡的數百種特徵，來做為資料分析的來源，同時這套系統能處理比NetFlow多出6倍的功能，擁有應用程式感測及使用者身分識別的能力，並且可區別網路流量的事件，是由機器人或者是一般人類所為。該系統解析網路流量的範圍，則是第3層到第7層。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-Memdel-graph_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%87%BA%E7%81%A3%E4%BA%8C%E7%89%88.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">能歸納各種來源的流量資料</span></strong></p> <p><span style="color: rgb(105, 105, 105);"><strong>NDR系統也提供流量趨勢圖表，讓管理者能得知不同網域，或是從使用者、重要伺服器，以及IPv6協定的網路流量使用情況，GreyCortex Mendel呈現依據流量、封包、資料的傳輸情形。</strong>圖片來源／臺灣二版</span></p> <p>特別值得留意的是，由於NDR系統仰賴鏡像與複製的方式取得流量，因此感測器能夠處理流量的多寡，也企業導入時要注意的地方。若是需要將NDR部署流量較高的環境，除了必須了解感測器所能支援的頻寬大小，要是企業將NDR感測器建置於虛擬環境，也必須分配對應的運算資源和網路資源，以免影響感測器的執行效果。</p> <p>論及這方面的部署需求，前述Gartner的NTA市場指南裡，也特別將其列為首要評估項目。而在產品的發展態勢上，廠商也因此添加新的設備或是功能，像是ExtraHop提供吞吐量達100Gbps的感測器設備EDA 10200，而GreyCortex Mendel也自3.5版開始，支援多層部署架構，不再只有感測器和分析伺服器兩層流量處理機制。</p> <p><span style="font-size:28px;"><strong>主要防護範圍是IT網路，並擴及工控環境或雲端</strong></span></p> <p>企業想要導入NDR，也需要針對防護的範圍，來選擇適合的產品。基本上，大部分的系統是對於內部IT網路環境設計，其中有些偏向工業控制系統（ICS）等操作科技領域，特別支援常見的通訊協定，能解析這種網路環境的流量。</p> <p>另一方面，有些NDR廠商也針對公有雲環境，像是AWS、Azure，以及GCP等環境，推出對應的流量收集服務，因此企業在異常事件的調查上，便能同時從內部網路擴及到公有雲。</p> <p>以我們前述提到的兩款新興產品而言，IT環境裡網路設施的識別，也是這種系統的特色。像是ExtraHop Reveal(x)便針對資產管理的部分，提供各種資產自動歸類的管理介面，讓管理者能夠快速得知資訊環境裡已列管的設備，像是DNS伺服器、DHCP伺服器、VPN閘道，以及負載平衡設備等。此外，該公司也在2019年底推出的7.9版中，新增IP監視器與Wi-Fi路由器等，這些在辦公環境常見連網設備的辨別能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-ExtraHop-Assets_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%80%B8%E7%9B%88%E7%A7%91%E6%8A%80.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">自動歸納網路環境的資產</span></strong></p> <p><span style="color: rgb(105, 105, 105);"><strong>NDR也兼具網路效能管理（NPM）的部分功能，其中之一就是資產盤點自動化，ExtraHop Reveal(x)會定期偵測網路環境裡的連網裝置、檔案伺服器，以及防火牆等，然後比對近期是否出現新的裝置。</strong>圖片來源／逸盈科技</span></p> <p>而GreyCortex Mendel的一大賣點，就是對於工業控制環境的支援。從最近推出的3.5.0版軟體為例，GreyGortex新增支援電量表的標準通訊協定DLMS（又稱COSEM），以及運用於Omron可程式化邏輯控制器（PLC）的FINS協定。</p> <p>此外，該系統能支援離線更新模式，以便在沒有連線到網際網路的環境下運作。這種特性與許多NDR廠商的做法相當不同──一般而言，不少NDR系統透過雲端服務的運算能力，來分析流量，同時整合威脅情資的比對工作，而Mendel則是採取內部建置的方式執行，企業能選擇採用硬體或虛擬設備架設。</p> <p>至於ExtraHop Reveal(x)的部署型態算是相當多元，該公司不只能針對內部環境進行流量的偵測與回應，同時他們也對於AWS和Azure，提供公有雲的專屬防護服務。而對於內部資訊環境的防護，ExtraHop推出多種建置選項，除了透過虛擬設備和硬體設備之餘，對於中型企業，也提供雲端代管分析平臺的服務，同時，Reveal(x)也具備專家代管機制ExtraHop Spotlight，可供缺乏資安人力的企業選購。</p> <p><span style="font-size:28px;"><strong>回應機制需藉助其他網路設備執行</strong></span></p> <p>基於NDR的感測器是透過側錄或是複製，來得到需要分析的流量，雖然這種方式對於資訊系統影響程度較輕微，但是也使得感測器無法像EDR直接執行回應的工作。從ExtraHop Reveal(x)和GreyCortex Mendel的回應措施來看，它們負責的部分偏向發號施令，也就是真正執行遠端攔截或是封鎖連線等工作，還是必須搭配其他的防護系統。因此，這類系統與企業內部環境的有關防護措施串連，廠商也提供API介接，來做為執行回應機制的管道。</p> <p>而NDR系統能與什麼防護機制協同防禦呢？我們從ExtraHop提供能原生支援的清單來看，Reveal(x)能與4種面向的系統介接，像是資安維運、雲端安全、應用程式，以及網路效能控管等類型。</p> <p>以資安維運而言，這套系統可將分析結果傳送到Palo Alto的網路防火牆，藉此調整防火牆的過濾政策；或是將識別出疑似的惡意檔案，交給Cylance的端點防護系統進一步掃描。再者，企業想要透過SOAR來執行回應行動，也可以將Reveal(x)與Splunk Phantom串接。</p> <p>除此之外，該系統也能將線路資料的分析結果，傳送到SIEM平臺上進一步分析，可支援IBM QRadar、Splunk，以及Micro Focus ArcSight等。或者，企業也能將其與協作系統Slack整合，讓資安工作小組能從這個協作平臺中，獲得有關資料，甚至是進一步來分派工作。</p> <p class="rtecenter"><span style="color:#696969;"><img alt="" src="file:///E:/962/962-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-3+4-web-resources/image/%E5%9C%964-SmartVision-joblist_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_FireEye.png" /> <img alt="" src="file:///E:/962/962-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-3+4-web-resources/image/%E5%9C%965-ExtraHop-Assets_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%80%B8%E7%9B%88%E7%A7%91%E6%8A%80.png" /> <img alt="" src="file:///E:/962/962-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-3+4-web-resources/image/%E5%9C%966-ExtraHop-DeviceAnalysis_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%80%B8%E7%9B%88%E7%A7%91%E6%8A%80.png" /><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%966-ExtraHop-DeviceAnalysis_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%80%B8%E7%9B%88%E7%A7%91%E6%8A%80.png" style="width: 600px;" /></span></p> <p><strong><span style="color:#696969;">透視端點的網路動態</span></strong></p> <p><span style="color:#696969;"><strong>在進行事件調查時，NDR能展現單一設備的網路流量資訊，並且顯示有那些經常通訊的裝置。圖中ExtraHop Reveal(x)顯示的檔案伺服器詳細資訊裡，有32臺鄰近裝置會常與之連線進行資料的傳輸。</strong>圖片來源／逸盈科技</span></p> <p class="rtecenter"><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/962-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-3%2B4-graph.png" style="width: 600px;" /></span></p> <p><a href="https://www.ithome.com.tw/article/136072" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <span style="color: rgb(51, 153, 255);">NDR全面透視網路威脅</span></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ndr">NDR</a></div><div class="field-item odd"><a href="/tags/%E7%B6%B2%E8%B7%AF%E5%A8%81%E8%84%85">網路威脅</a></div><div class="field-item even"><a href="/tags/%E7%AB%AF%E9%BB%9E">端點</a></div><div class="field-item odd"><a href="/tags/%E7%B6%B2%E8%B7%AF%E6%B5%81%E9%87%8F">網路流量</a></div><div class="field-item even"><a href="/tags/%E7%B6%B2%E8%B7%AF%E5%81%B5%E6%B8%AC%E8%88%87%E5%9B%9E%E6%87%89">網路偵測與回應</a></div><div class="field-item odd"><a href="/tags/%E6%A9%9F%E5%99%A8%E5%AD%B8%E7%BF%92">機器學習</a></div><div class="field-item even"><a href="/tags/ai">AI</a></div><div class="field-item odd"><a href="/tags/%E4%BA%BA%E5%B7%A5%E6%99%BA%E6%85%A7">人工智慧</a></div></div></div>
2020/3/5 09:00作者周峻佑https://www.ithome.com.tw/tech/136070
【擴增網路流量的偵測與回應，使得資安防護範圍更為全面】XDR、SIEM跨足網路威脅解析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-tu_1-3rdpartyfw_tu_pian_lai_yuan_palo_alto_networks.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【從端點防護系統與網路防火牆整合的偵測與回應機制】近期有廠商主打由端點出發，同時涵蓋網路層面的偵測及回應系統XDR，並能支援其他廠牌防火牆，像是圖中Palo Alto Cortex XDR可整合Check Point防火牆，來發現異常行為。圖片來源／Palo Alto Networks</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過網路流量來掌握企業資訊環境的需求，不只使得專屬的研發網路偵測與回應系統（NDR）受到關注，也讓許多資安廠商跟進，在產品組合裡整合有關功能，來加強競爭力。而率先響應的廠商，主要是提供以下兩種面向產品的業者：端點防護與資安資訊事件管理平臺（SIEM），因為NDR的主要訴求之一，就是補足與強化它們防護缺乏的面向。</p> <p>從防護的角度來看，雖然NDR無法直接取代這些防護機制，但是能夠達成互補的效果。例如，資安業者提供整合端點與網路的偵測與回應解決方案（即EDR和NDR），這兩種系統便能互通有無，補上另一種平臺缺乏的機制。像是有了NDR的功能，偵測範圍能夠涵蓋EDR沒有支援的裝置或是網路設備，而EDR能藉由端點電腦上的代理程式，執行NDR所下達的因應措施，來封鎖端點電腦的連線能力或是刪除檔案，因此，開始有多家資安廠商投入這種領域。</p> <p>而無論是端點防護還是SIEM廠商，將網路偵測與回應納入現有的解決方案之後，不少業者便稱呼新的產品型態為XDR，訴求在涵蓋網路流量的解析能力之後，擴增為能防護企業各種資訊環境與系統。</p> <p>此外，有些資安廠商能透過旗下多種產品來搭配，達到NDR的效果，透視流量加密產品的業者也加入行列，於他們的平臺上推出NDR系統。從許多資安業者陸續投入網路流量偵測與回應領域，不難想像這種做法將會越來越普及。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-LogRhythm-Netmon-Alert_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%BC%A2%E9%A0%98%E5%9C%8B%E9%9A%9B.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">SIEM搭配網路流量偵測找出威脅</span></strong></p> <p><span style="color: rgb(105, 105, 105);"><strong>透過網路流量監控系統，為資安事件平臺收集網路流量，也成為資安事件平臺發展的方向。例如，LogRhythm NetworkXDR便採用圖中的Network Monitor，來收集與初步識別異常的網路流量。</strong>圖片來源／漢領國際</span></p> <p><span style="font-size:28px;"><strong>可結合網路流量偵查、串連相關事件，端點防護不再只是單兵奮戰</strong></span></p> <p>從端點防護產品的發展來看，這幾年出現了重大變化。先是次世代端點防毒（NGAV）的崛起，後續又出現著重內部威脅層面的UEBA，還有訴求事件發生之後的回應系統EDR，這幾種型態的防護機制，目的都是為了因應未知及針對性的攻擊手法，其特色也是藉由監控行為，來找出可能有害的舉動。</p> <p>不過，對於企業來說，這些方案還是偏重個別端點的事件，難以藉由每個端點電腦來串連攻擊的整個樣貌。意識到這種現象的廠商，開始將旗下的EDR解決方案，與旗下網路端的防護措施加以結合。其中較早使用XDR一詞的業者，有Palo Alto Networks和趨勢科技，他們的解決方案都橫跨端點、網路，以及雲端的工作負載等層面。</p> <p>Palo Alto Networks旗下的解決方案名為Cortex XDR，將次世代端點防護系統Traps與防火牆整合。從系統架構上來看，端點上EDR收集的事件記錄，和防火牆收集的流量中繼資料，都要後送到該公司的雲端資料湖，經過分析後，再採取自動或是手動回應的措施。</p> <p>相較於Palo Alto Networks以端點防護為出發點，另一家主打XDR系統的趨勢科技，是將XDR視為整體防護的框架，用來整合旗下的多種領域的防護產品，涵蓋端點、網路、雲端服務，以及電子郵件等層面，分別對應該公司的多種產品，像是：Apex One、Deep Discovery Inspector、Cloud App Security，以及Deep Security等。</p> <p>對於網路流量分析工作，趨勢科技結合了隸屬於網路APT防禦的產品線，例如，Deep Discovery Inspector、Deep Discovery Network Analytics，以及Deep Discovery Director，至於自動化回應，則需由XDR平臺傳到SOAR系統執行。</p> <p><span style="font-size:28px;"><strong>SIEM也能延伸提供網路流量收集，結合SOAR執行自動回應工作</strong></span></p> <p>在網路流量的收集與分析，不光是端點防護業者投入，SIEM的廠商也開始跟進，提供NDR解決方案。其特點是挾帶自身能夠收取各式事件記錄的優勢，進而取得更為完整的網路威脅分析結果。</p> <p>號稱次世代SIEM平臺的LogRhythm，就針對NDR與XDR的潮流，推出名為NetworkXDR的解決方案，結合旗下網路流量分析的模組Network Monitor、資安事件管理平臺，以及資安事件自動化調度與回應模組SmartResponse，提供網路流量偵測異常行為，以及回應、處理這類事件的功能。</p> <p>為了讓資安人員更容易理解攻擊事件的樣貌，代理商漢領國際表示，原廠打算在新版LogRhythm中，增加資安事件的拓撲圖，以圖像化的方式呈現事件裡，受到影響的電腦及使用者，以及當中存取的關連等。</p> <p>除了主打SIEM的廠商，我們也看到其他資安廠商搭配多款資安產品，組合成XDR解決方案。像是Fortinet的作法，是運用自家的端點防護系統FortiEDR與FortiInsight，以及網路防火牆FortiGate，結合資安事件管理平臺FortiSIEM，再加上SOAR系統FortiSOAR等產品的搭配，也能提供XDR有關的防護能力。</p> <p>此外，目前還有其他資安廠商，也投入NDR，像是：提供加密流量管理解決方案的Gigamon，也推出NDR雲端服務，他們的Gigamon ThreatINSIGHT，便是基於網路流量加解密平臺提供的延伸服務；另一家廠商是積極發展雲端服務的微軟，他們的Azure Advanced Threat Protection（Azure ATP），可藉由網域控制器來收集流量，偵測網路應用程式與流量的異常行為，並且將可疑事件交由Azure ATP，後續再進一步處置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/962-23-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-5-1-graph-V2.png" style="width: 600px;" /></p> <p><a href="https://www.ithome.com.tw/article/136072" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <span style="color: rgb(51, 153, 255);">NDR全面透視網路威脅</span></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ndr">NDR</a></div><div class="field-item odd"><a href="/tags/%E7%B6%B2%E8%B7%AF%E5%A8%81%E8%84%85">網路威脅</a></div><div class="field-item even"><a href="/tags/%E7%AB%AF%E9%BB%9E">端點</a></div><div class="field-item odd"><a href="/tags/%E7%B6%B2%E8%B7%AF%E6%B5%81%E9%87%8F">網路流量</a></div><div class="field-item even"><a href="/tags/%E7%B6%B2%E8%B7%AF%E5%81%B5%E6%B8%AC%E8%88%87%E5%9B%9E%E6%87%89">網路偵測與回應</a></div><div class="field-item odd"><a href="/tags/xdr">XDR</a></div><div class="field-item even"><a href="/tags/siem">SIEM</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div></div></div>
2020/3/5 09:00作者周峻佑https://www.ithome.com.tw/tech/136071
NDR全面透視網路威脅
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/962-19-feng_mian_gu_shi_-1_open-960x420_gong_zuo_qu_yu_1.jpg?itok=KauJ-HxV" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新興威脅攻擊手法變化多端，我們除了針對端點進行偵測與防護，也要藉由網路流量來找尋跡象，拼湊事件更為完整的樣貌，以便能採取適當的因應措施。近期許多廠商爭相推出稱為網路偵測與回應（NDR）型態的系統，讓我們來一探究竟</p> </div></div></div>
2020/3/5 09:00作者周峻佑https://www.ithome.com.tw/article/136072
聰明企業的資安準則叫做零信任
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0305-shu_zhai_shu_wei_po_fa_dian_.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">金融研訓院</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位安全的概念並不存在任何堅不可摧的措施，你必須預期你所做的一切都會被駭客入侵攻擊。有關安全性的一個重要過程是對每種產品進行風險評估或風險審核。風險評估還應包括如果產品或平台受損的復原計畫。安全的另一個重要面向是，必須可以容易地獲取有關企業裡所有關於風險控制的所有文件。了解流程如何運作非常重要，因為有這層理解，可以對流程進行弱點稽核。如果沒有適當的文件，永遠無法對其進行全面的滲透測試。那麼在新的數位世界裡，我們該如何處理安全問題呢？好消息是在數位領域中有關安全的一些技術不斷演化，讓我們足以應對得更好。智者是預期被駭客攻擊並制定因應計畫，愚者是被駭客攻擊後才訂定相應的安全計畫。</p> <p><span style="font-size:28px;"><strong>駭客與人工智慧的威脅</strong></span></p> <p>很快地，駭客將開始利用人工智慧演算法來對付金融機構，而不會浪費人力，試圖攻擊你的網站、你的網路銀行或行動銀行網站，駭客將利用人工智慧來嘗試侵入。駭客的人工智慧應用程式已經接受了數千種技術的培訓，而且與人類不同的是，它永遠不會放棄，將從每次嘗試中汲取教訓，並改變方法，甚至比世界級最好的駭客更有效，因為它將從自己所犯的每一個錯誤中學習。</p> <p><span style="color:#B22222;"><strong>做最壞的打算</strong></span></p> <p>變更控制是記錄整個系統中每項更動的概念。我曾多次進入金融機構，那裡沒有任何變更控制。沒有變更控制流程的癥狀是，當某些事件發生中斷時，你不知道是因為什麼而導致中斷。更重要的是，異常發生就不可能檢測到，因為沒有某種基線（Baseline）可供對照。對營運系統（Production System）或接近營運系統的任何更改，都必須經過變更控制流程。</p> <p>透過使用變更控制，可以知道問題所在，把所做的事情恢復原狀，系統即恢復正常。那時候，透過檢視所發生過的事情，然後將更改重新放回，提交它，修復問題，然後再繼續。假使我們沒有記錄當天前後所做的每一項更動，那麼就很難理解，到底是什麼導致問題的發生。</p> <p>駭客在沒有變更控制的企業中蓬勃發展。這意味著如果沒有關於變更控制的流程或管理，駭客就會透過找到設定不善的系統，發現駭入企業的方法。這些設定不良的系統通常會留下漏洞，使其能夠危害你的平台。「變更控制」將幫助你解決此問題。</p> <p><span style="color:#B22222;"><strong>事情發生時要害怕，但當事情進展順利時更該擔心</strong></span></p> <p>許多技術長遇到在系統中看似隨機發生的異常事件時，就會開始緊張，他們經常驟下斷語，認為有人試圖侵入他們的系統。這也許是真的，但根據TJ Maxx事件，當時系統看起來運作十分正常，因為優秀的駭客最不想做的事情就是透過在系統中觸發警報來引起人們的注意。當然那些想要執行分散式阻斷服務或破壞網站的破壞性駭客會留下他們的印記，但這些只是蓄意破壞者。真正的網路竊賊，實際上想竊取金錢或其他有價值資訊的罪犯，將盡其所能地不留下任何痕跡或觸發任何警報。所以，當事情發生時你不必驚慌失措，而應該更擔心系統是如何神奇地自行修復。如果你的用戶突然能夠進入以前無法使用的網站，或者如果防火牆問題導致無法傳輸大量檔案的異常狀況，卻突然自行修復，而且你找不到任何人知道它為什麼突然開始正常運作，那麼我會更加懷疑是否有駭客入侵。</p> <p>安全是一項關鍵功能，必須在所有專案中占有一席之地。話雖如此，安全部門也應該有制衡機制，以確保它不會延宕專案進度。我認識一位有超級創新精神的安全官員，她不會因安全考慮而阻止新的構想，會積極與團隊共同合作，提出解決安全問題的方案。我認為，根據安全專家所推出的想法來執行專案是很有用的，領導階層應以連貫一致的流程和創新來衡量安全部門。創造性思維將成為未來安全專業人士的熱門特質。</p> <p>在開發你自己的平台時，資訊安全其實又有全新的意義。當一家機構在內部開發產品時，雖然員工需遵循許多監督程序，但有些步驟在專業的金融科技創新公司行之有年的程序，在內部開發專案時卻常常被忽視。隨著金融機構持續完善其開發能力時，應注意三個重要的安全考慮因素：</p> <p><strong>1. 由於內部正在撰寫的程式碼將暴露於一般的網際網路，因此執行程式碼審核至關重要。</strong></p> <p><strong>2. 任何產品首次發布之前，應完成Web應用程式和網路滲透測試，並修正所有問題。</strong></p> <p><strong>3. 任何產品或專案上線前，應進行壓力測試，尤其是當專案執行出現效能延遲問題時，更顯重要。</strong></p> <p><strong>4. 應該有一個流程來審查你所使用的軟體平台的資訊安全，無論是自行開發或從供應商處採購，對所有平台進行風險評估也很重要，萬一發生駭客入侵事件時，才能知道可能造成什麼損害。</strong></p> <p><span style="color:#B22222;"><strong>擬定情境應變計畫</strong></span></p> <p>擬定一些應變計畫是對於數位安全觀念進行學習和思考的好方法。接下來是一些受到關注的情境，在某些情況下，還有些稀奇古怪的情節。</p> <p><strong>情境一：美國國家安全局後門事件</strong></p> <p><strong>情境二：勒索軟體事件</strong></p> <p><strong>情境三：網路基礎設施攻擊事件</strong></p> <p><strong>情境四：物聯網破壞事件</strong></p> <p>這些是你需要設想的情境，我已經注意到金融機構將這些裝置放在他們的分支機構和總部。假設發生另一次攻擊，並且發現攻擊中涉及位於防火牆內的某些裝置。一旦發現這些裝置是攻擊的一部分，你接下來會如何行動？</p> <p><span style="font-size:28px;"><strong>資料治理（Data Governance）</strong></span></p> <p>在不斷發展的數位世界中，一個企業將資料轉換為資訊的能力將是其生存與消失的區別。如果資料就是金錢，那麼它也必須被治理和管理，儘管這看起來像是數位治理委員會將要處理的事情，但這是一個完全不同的專業，它涉及瞭解有關資料的監管條例和隱私法律，並應該擁有自己的小組。</p> <p>資料治理小組應該由你的分析長或最相近的同等職位者主持，該小組應包括各部門的特定領域專家們。重要的是，該小組由能夠共同做出決策，並具備識別企業的資料，以及這些資訊對其他流程意味著什麼的專業知識人員所組成。在每個部門，都有一個「關鍵人物」，在會議上，當團隊中有人要求提供資料時，經常就會提到他，這些就是你需要的資料治理委員會成員。</p> <p>隨著我們進入包括人工智慧和商業智慧在內的未來，資料將成為推動這些重要服務的動能。一個資料治理委員會應首先查明並審查該企業的所有資料，這可能需要一些時間，企業可能值得聘請專門從事資料對應的人。初始的資料對應將成為你企業的基線（Baseline），對企業今後的發展將是無價的，委員會的第二步是審查第一階段所發現的資料之安全性。所有資料的儲存和傳輸模式是否都符合法規監管標準？若尚未符合，讓資料合規的計畫是什麼？同時，該委員會將製定適用於任何新的產品或服務的政策和標準，並添加到主資料目錄中。如上所述，這將減少未來的問題，並使建置更加順利。</p> <p><strong>‧資料品質</strong></p> <p>資料品質是評估每個資料要素的流程，以確定它是否可用於報告和分析功能。</p> <p><strong>‧資料安全</strong></p> <p>資料安全是根據企業的政策、程序以及合規來評估資料的行為，以確保資料是否得到適當的儲存、處理和傳輸。在每天都有新的漏洞和網路威脅的世界裡，這一點極其重要。</p> <p><strong>‧資料複製</strong></p> <p>基於方便，資料在系統中經常被複製。雖然資料複製的目的，是讓客戶服務代表能夠與客戶共享信用評分資料，但有時候一個新的流程卻可能發現這筆資料再被用於別的地方。如果你不知道資料的來源，那麼這是個糟糕的方法。</p> <p><strong>‧資料工程</strong></p> <p>資料工程是確定流程屬性的工作，貫穿整個生態系統中擷取、更新、刪除或歸檔資料。</p> <p>你的企業獲取必要資料通常不太容易，需要整個企業的跨部門協調和一份全面的專案計畫，這個過程往往是成本昂貴且耗時的。資料治理的另一個副產品是，在為你的企業所參與的每種產品、專案或服務設定成功指標時，將變得容易得多，而且透過監控這些指標，企業可以決定何時放棄或何時投入，以及如何轉向以創造成功。「資料」將是推動企業前進的新燃料。資料是推動企業內創新的最重要因素，創新本質上是有風險的，但沒人知道風險有多大。資料有助於驗證你的假設，從而幫助你推動創新。</p> <p><span style="font-size:28px;"><strong>大數據與殭屍末日</strong></span></p> <p>在這個新的末日般的世界，我們要如何生存？我開始想像用僵屍電影和電視劇中的角色來說明如何存活。首先，它們常是瞬息萬變的，這類似於我們將要學習如何更能應對瞬息萬變，更具行動性，特別是在資料和服務方面，這也就是雲端興起原因。你可能想知道大數據與殭屍末日劫難有什麼關係。當我思索世界末日的規則時，然後以同樣的思維邏輯思考著新數位世界的規則，特別是在銀行業。</p> <p>在稀少性成為新法則的世界，銀行無法指望像抓住一隻大象般的大客戶獲得暴利，那些設法抓住大象的銀行必須想辦法在未來留住大象，這樣它才能維持，更重要的是，你也必須弄清楚如何仰賴兔子生存，並且需要很多的兔子才足以供養銀行。</p> <p>在末日世界裡，還要記住另外一件事，法律並非社會規則的主要因素。舊的規則已經不再適用，特別是關於彼此友善和公平競爭的規則，銀行將不得不為自己的地盤而戰，這個特別的行業正面臨一些巨大困難，基於監管規則，我們必須確實學會為自己規畫業務模式，以確保我們的陣地不會輸給金融科技公司和其他競爭者。</p> <p>我們需要快速識別風險，重要的是要注意識別風險和不惜一切代價規避風險之間的區別。有些風險是可以承擔的，要想永遠避開風險是辦不到的，然而，如果金融機構能夠迅速識別風險並做出反應，那麼他們就有生存能力，「資料」將是識別風險和決定如何回應的關鍵。資料分析可以為我們帶來新的參與機會，幫助我們最大化獲利能力、創造成本效益高的服務、找到新的收益來源、幫助我們深化關係和建立數位關係，更重要的是幫助我們了解消費者的習慣、趨勢和需求。</p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 350px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/0305-quote-2.png" style="width: 452px;" /></td> </tr><tr><td> <p><span style="color: rgb(105, 105, 105);"><strong>知人善任將使金融機構在未來處於有利的地位。金融界應儲</strong></span><span style="color: rgb(105, 105, 105);"><strong>備充足資料並擁有知道如何使用的人才。銀行必須與一些人</strong></span><span style="color: rgb(105, 105, 105);"><strong>合作，無論是與金融科技公司，還是志同道合的同業，我們</strong></span><span style="color: rgb(105, 105, 105);"><strong>都必須能夠協同合作。</strong></span>（圖片來源／iThome）</p> </td> </tr></tbody></table><p><span style="color:#B22222;"><strong>末日中的人員配置</strong></span></p> <p>知人善任將使金融機構在未來處於有利的地位，在人力和其他資源方面，企業需要儲備充足，在金融界應儲備充足資料並擁有知道如何使用的人才。能夠協同合作的人對企業的成功也極為重要。在銀行界，我們必須與一些人合作，無論是與其他金融科技公司合作，還是與其他志同道合的金融機構合作，我們都必須能夠協同合作。</p> <p><span style="color:#B22222;"><strong>數位洞察和直覺（Digital Insight and Intuition）</strong></span></p> <p>當我們談論洞察時，通常指的是直覺，即你對於擁有關於一些資料或正在發生的事情有某種直覺。</p> <p>當你擁有大量資訊是非常有價值的，這可以回到協同合作這部分，由於中型或小型銀行可能沒有足夠的資料給予它們所需要的直覺或洞察，他們必須與其他人合作，以確保他們擁有足夠的多樣性，以便洞察他們在尋找什麼。</p> <p>當我們觀察社區銀行、信用合作社、地區銀行時，它們最大的差距是在分析，我喜歡這樣比喻，當擁有分析能力的金融機構出現並與當地金融機構展開競爭時，他們會比大多數其他企業對客戶瞭解得更多，對業務的瞭解也更多。</p> <p><span style="color:#B22222;"><strong>資料是有價值的</strong></span></p> <p>你知道作為金融機構，我們坐在世界上那些最有價值的、最受歡迎的資料上面嗎？我們可以告訴你某人有什麼樣的房屋，我們可以告訴你他們喜歡使用哪種信用卡，我們可以告訴你他們買了什麼，我們可以告訴你他們何時購買，我們可以告訴你他們如何購買產品，或有什麼趨勢可循，我們可以使用行動應用程式來告訴你他們在哪裡買的，我們可以告訴你他們使用什麼樣的手機，我們可以給你他們的信用報告，我們可以告訴你他們用帳單支付定期付款給哪類帳單。在某些情況下，對於我們這些擁有預算軟體或個人理財管理平台的人，我們甚至可以知道他們與哪些金融機構往來。這些資訊極其珍貴，但卻還沒有被金融機構組織起來。</p> <p>不僅如此，你還在刪除資料嗎？是否定期從網站中刪除日誌？是否定期刪除行動的統計資料？那你可能就是在撒錢。你得立刻停止刪除並開始計畫囤積。囤積是在東西變得稀少缺乏時，我們會做的事情，在新世界裡，東西將變得稀少缺乏。因此，請坐下與你的團隊一起確定你擁有什麼樣的資料，然後查明所有資料有什麼關聯。開始囤積資料吧，儲備充足的人將會變得非常出色，而且你需要知道，你的團隊對自己的資料瞭解有多深。</p> <p>讓我們談一些拖累進展的事情。</p> <p><strong>第一件事，我們有太多的資料，但沒有人知道所有資料在哪裡。</strong></p> <p><strong>第二件事，我看到很多在資料分析領域拖垮企業的，是他們覺得自己沒有足夠的處理能力。</strong></p> <p>我們該做些什麼來處理這個問題呢？第一，我們可以協同合作。第二，這是雲端計算的用武之地，你也可以購買一台超級大電腦，只使用它幾分鐘，或者不管執行資料需要多長時間，使用完之後就關閉它。在當今世界，有許多方法都可以解決處理能力的問題，關鍵是我們必須想要這麼做，我們必須尋找這些方法，而不是在遇到這些問題時就直接承認失敗。</p> <p><span style="color:#B22222;"><strong>資料是一門專業</strong></span></p> <p>如果我們要在這個世界上生存，我們必須明白分析不是一項產品，而是一門專業。作為一個生存在新世界的企業，當務之急是我們執行分析的能力。</p> <p>對於金融機構隱私問題，其實只要資料有利於消費者而且所做的事情都是公開透明，那麼銀行界的資料應該可以做任何你想做的事情。如果你是誠實坦率的，並且正在做一些事情來幫助別人省錢、賺錢、或者做出好的財務決策，那麼想做什麼就做什麼吧。金融機構必須克制使用他們擁有的大量資料來操縱客戶的衝動，隨著企業對資料的熟練程度越來越高，做令人不寒而慄的事和做正確的事之間的界限將越來越難以分辨。</p> <p>在歐洲，他們對隱私問題特別敏感，通過保護人們線上和數位隱私的法律。新法律被稱為《一般資料保護規範》（GDPR），自2018年5月25日起生效。法律有兩大支柱，即被遺忘權和知情同意權。</p> <p>金融機構擁有大量資料，我們能夠接觸到對的人，我們有良好的意圖，對於大多數人來說，像GDPR這樣的法律不會影響我們。我們使用資料來驅動結果，可以代表我們服務的客戶使用資料來驅動結果，提供更好的服務。</p> <p><span style="color:#B22222;"><strong>分析的種類</strong></span></p> <p>大多數人談論的分析有三類。</p> <p>第一種是<strong>「描述性分析（Descriptive Analytics）」</strong>，告訴我們已發生什麼事，而不是將會發生什麼事，這是歷史性的資料。</p> <p>第二種是<strong>「預測性分析（Predictive Analytics）」</strong>，獲取歷史資料、添加其他資料和直覺，然後提出未來趨勢的一門藝術。</p> <p>最後一類是<strong>「指示性分析（Prescriptive Analytics）」</strong>，關於情境方案規畫，為你提供可操作的資料，當你在兩種方案之間做選擇時，可以使用這些資料來進行決策。指示性分析也可用於降低未來潛在風險。指示性分析將成為建置機器學習或人工智慧的催化劑。</p> <p>提供越多資料給模型，它越能瞭解哪些是先決條件（Prerequisites），開始能分辨出什麼是前瞻性趨勢，但也有可能不太明顯。唯一可能看到這些趨勢過程的是人工智慧，因為人類的思維無法理解或感知這些資料的能力，這些資料分析將成為金融服務未來的遊戲改變者。</p> <p>接著，談談資料本身，以及需要哪些工具才能成功地進行資料分析。我們喜歡把它們看成三個V。第一個是數量（Volume），你擁有的數量越多，你的企業就越有可能推演出可行的結果。下一個就是資料的多樣性（Variety）。最後一個是速度（Velocity），資料速度正迅速成為分析最重要的面向。因此，我們看到分析模型在未來將轉變為使用即時資料（或接近即時資料），以避免從過時資料中作出報價或假設。</p> <p>那我們有什麼機會？我們將不得不成為數位服務的殺手。我們需要建立數位流，使金融服務機構能夠提供我們如此多資料，並利用這些資料改善我們客戶的財務健全狀況。</p> <p>最後，我們必須將自己的資料貨幣化（Monetize）。如果你想到所有登入並透過我們的平台抓取客戶資料的人，其他人已經在將我們消費者的資料貨幣化，客戶也已選擇加入並允許這些第三方廠商這樣做，將資料貨幣化可能意味著與數位行銷商合作。</p> <p>總而言之，以下是在僵屍末日仍能夠存活的關鍵點：</p> <p><strong>• 行動化</strong></p> <p>不要在任何一處停留太久，總是在找下一個安全港。</p> <p><strong>• 囤積</strong></p> <p>確保沒有刪除重要資料。評估你擁有的東西，今天就開始囤積！</p> <p><strong>• 仔細挑選你的隊友</strong></p> <p>確保你的文化將支援資料驅動的方法。</p> <p><strong>• 資料分析是一門專業，而不是一項產品</strong></p> <p><strong>• 快速果斷地使用資料來驗證你的方法</strong></p> <p>幾分鐘之前在這裡的東西，可能會在接下來的五分鐘內消失，機會正在變小。</p> <p><strong>• 了解如何使用交換工具</strong></p> <p>如果你無法射擊，那麼只有一把手槍是無法保護你的。</p> <p><strong>• 確定你的能力</strong></p> <p>瞭解你企業的營運是基於哪一種資料分析模型：描述性、預測性和指示性。</p> <p><strong>• 將資料貨幣化</strong></p> <p>如果你不這麼做，別人也會這麼做。（摘錄整理自第8、14、16章）</p> <p> </p> <p><span style="color:#3399ff;"><strong>數位破發點（Breaking Digital Gridlock）</strong></span></p> <p>John Best／著；孫一仕、蕭俊傑／審訂；方慧媛／譯</p> <p>台灣金融研訓院出版</p> <p>售價：500元</p> <p> </p> <p><span style="color:#3399ff;"><strong>作者簡介</strong></span></p> <p><strong>John Best</strong></p> <p>金融科技公司Best Innovation Group (BIG)創辦人兼執行長，在本書分享金融機構進行數位轉型經驗，如何專注關鍵破發點，協助暫時卡關的銀行尋找解方。</p> </div></div></div>
2020/3/5 09:00未署名https://www.ithome.com.tw/article/136121
HPE首季營收下滑8%，伺服器營收衰退16%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Hewlett Packard Enterprise（HPE）周二（3/3）公布截至今年1月底的<a href="https://www.businesswire.com/news/home/20200303005982/en/HPE-Reports-Q1-Results" target="_blank">2020財年第一季財報</a>，顯示該季HPE創下了69億美元的營收，比去年同期衰退了8%，當中擔當HPE營收主角、以伺服器為主的運算營收則為30億美元，下滑了16%；儲存營收為13億美元，亦下滑7%；金融服務營收為8.59億美元，下滑6%；高效能運算系統創下8.23億美元的營收，成長6%；智慧邊緣則帶進7.2億美元營收，成長4%；顧問營收為2.43億美元，與去年持平。</p> <p>從財報上可看出，支撐HPE的前三大營收，包括運算、儲存與金融服務都是下滑的。HPE表示，伺服器的營收在該季受到不確定的商業環境、零件供應受限及北美生產力受限等因素的影響。不過，外界則分析，除了整體的經濟環境以外，企業逐漸轉移到雲端運算，也對伺服器的銷售造成衝擊。</p> <p>由於財報低於分析師預期，HPE周二的股價下滑了2.33%，以12.59美元作收。</p> </div></div></div>
2020/3/5 00:10作者陳曉莉https://www.ithome.com.tw/news/136160
Google研究：新手常誤會ML學不懂，是因為不會高級數學
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.googleblog.com/2020/03/toward-human-centered-design-for-ml.html">Google研究TensorFlow.js使用者，探討其學習機器學習的動機、困難以及願景</a>，Google提到，大多數的開發人員都誤以為無法掌握機器學習技術，是因為缺乏高階數學能力，但事實上缺乏的是機器學習的概念。這篇研究論文在IEEE VL/HCC研討會上發表，並且獲得最佳論文獎。</p> <p>由於機器學習的技術越來越普及，更多的開發人員也必須使用機器學習技術來解決原領域的問題，而近年來有越來越多的函式庫，將複雜的模型行為抽象為高階的API，以降低機器學習的使用障礙。Google開源的TensorFlow.js函式庫，便可讓開發人員使用JavaScript，開發在瀏覽器上執行的機器學習功能，儘管Google下了許多功夫，盡可能使API容易使用，但他們還是不知道沒有機器學習背景的開發人員，在使用這些框架所遭遇的問題。</p> <p>因此Google調查了645個TensorFlow.js用戶，這些受訪者大多數都是軟體和網頁開發人員，但是不熟悉機器學習技術，平常也並未把機器學習用在主要工作上。Google研究了這些人員使用機器學習框架遇到的障礙，並且了解受訪者認為最有助於他們應用框架的功能與工具。</p> <p>Google發現這些受訪者應用框架遇到的困難，並非是框架提供的API不夠清楚，而是本身欠缺對機器學習概念的理解，這阻礙了他們學習使用框架，並且誤以為需要擁有高階數學能力，才能學會使用框架。且由於缺乏機器學習的概念性理解，開發人員無法挑選出一個好問題，來應用TensorFlow.js解決該問題，也無法區分機器學習成果的好壞，在創建神經網路架構時，也無法適當地配置模型的細節或是調整參數。</p> <p>而且開發人員也難以從基本的hello world教學範例中學習，無法將學到的經驗轉移到自己的案例上使用，Google提到，雖然API範例會提供實作特定模型的語法，但是不足的知識基礎，讓開發人員難以一般化這些知識，應用到特定的問題上。</p> <p>有趣的是，開發人員通常把這些學習機器學習遇到的障礙，歸因於自己缺乏高階數學能力，Google表示，API文件中的數學專有名詞可能加深了這樣的錯誤印象，事實上掌握概念並將其應用到實際問題，並不需要高級數學能力，機器學習框架並非為線性代數或是微積分專家設計。</p> <p>受訪者希望框架不只能提供預訓練模型，而且還需要帶有明確修改提示，Google提到，雖然當前包括TensorFlow.js在內的機器學習平臺，都有提供預訓練模型，但是這些模型並非為新手設計，因此在缺乏明確操作指示的情況下，新手會難以修改現有模型，更別說用在自己的案例上。</p> <p>再來，受訪者還希望框架可以提供最佳實踐，以即時提示的方式，在流程中引導開發者。機器學習專家可能對調整參數具有豐富的經驗，但對於新手來說，可能連決定第一個要調整的參數，都會不知所錯，Google提到，將最佳實踐嵌入到開發流程中，可以縮小開發者的決策空間。</p> <p>而受訪者也期待機器學習框架，可以提供做中學的資源，也就是開發人員希望在開發機器學習應用程式的同時，能夠看到更多的範例和資源，對此，Google表示，機器學習框架可能需要區分不同程度，在特定時機提供不同的學習資源。</p> </div></div></div>
2020/3/5 00:30作者李建興https://www.ithome.com.tw/news/136157
微軟更新ML.NET模型建置器現可利用Azure訓練圖片分類器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/dotnet/ml-net-model-builder-updates/">微軟更新.NET跨平臺機器學習框架ML.NET模型建置器</a>，模型建置器是ML.NET在Visual Studio中的使用者介面工具。現在能夠使用Azure雲端運算資源快速訓練圖像分類模型，並且還加入推薦情境功能，可訓練用於推薦產品或是電影等各種項目上的ML.NET模型。</p> <p>去年微軟在模型建置器加入了圖像分類功能，讓開發者使用自己的圖像，在本地端訓練圖像分類模型，但由於受限本機的運算資源，在訓練上有諸多限制，特別是訓練時間也會比較長。</p> <p>因此針對圖像分類模型，模型建置器現在讓開發者可將訓練工作發布到Azure機器學習服務中，一旦在Azure的訓練完成，模型建置器會同時將ML.NET與ONNX兩種格式的模型下載回電腦，開發者可以利用評估功能測試模型，並生成模型應用程式碼，以使用ML.NET模型進行預測，用法與在本機訓練的模型一樣。</p> <p>除此之外，模型建置器還加入了推薦情境功能，可在本機訓練ML.NET模型以推薦商品或電影等項目。微軟舉例，推薦模型能根據歷史商品的評分資料，預測使用者對特定商品的評分，並且為使用者推薦評分最高的商品。</p> <p>模型建置器使用矩陣分解演算法，而矩陣分解有不同的演算法選項，模型建置器會嘗試不同的選項，找出最佳的效能組合。而模型訓練結束之後，開發者同樣也可以使用評估功能測試模型。</p> </div></div></div>
2020/3/5 00:40作者李建興https://www.ithome.com.tw/news/136158
Amazon利用AI將文字描述轉成圖片以強化產品探索能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.amazon.science/blog/converting-text-to-images-for-product-discovery">Amazon</a>利用生成對抗網路（Generative Adversarial Networks，GAN）依據文字產品描述，來產生相匹配的產品範例，讓購物者可以依視覺指引，逐漸修正文字查詢，直到能夠檢索出正在尋找的產品為止。</p> <p>Amazon提到，生成對抗網路能夠良好地處理圖像合成任務。生成對抗網路由兩個網路組成，一個為生成網路，目標是盡可能的產生仿真的虛假樣本，而另一個為判別網路，試圖辨識出生成網路所產生的虛假樣本，並區分出真實樣本，這兩個網路一起訓練，之間的競爭可收斂在一個有用的生成模型上。</p> <p>將生成對抗網路用在Amazon的這個案例上，可讓購買者更簡單地探索出想像中的服裝，像是購物者可用文字描述「女性的黑色長褲」搜尋長褲商品，並且根據搜尋出來的結果，後續添加「嬌小」和「卡普里褲」等特徵，系統根據新的單詞調整顯示的圖片。Amazon這個系統特別之處，在於添加新特徵後還能夠保留舊視覺特徵，並產生與文字描述相符的顏色。</p> <p class="rtecenter"><img alt="" src="https://assets.amazon.science/dims4/default/487c847/2147483647/strip/true/crop/4000x2250+0+0/resize/1200x675!/quality/90/?url=http%3A%2F%2Famazon-topics-brightspot.s3.amazonaws.com%2Fscience%2F64%2F19%2Fd02e632847b99b2b211671ea4743%2Frestgan.gif" style="width: 580px;" /></p> <p>Amazon應用的新方法稱為ReStGAN，是修改自常用的文字轉圖像生成對抗網路StackGAN模型。StackGAN將合成圖像簡化成兩部分，其一是從文字產生低解析度的圖像，接著在圖像上進行採樣，以進一步產生具有材質和自然色彩的高解析度圖像。這兩個程序各有其生成對抗網路，將兩個生成對抗網路堆疊在一起就成了StackGAN。</p> <p>而Amazon在StackGAN增加了長短期記憶（Long Short-Term Memory，LSTM）元件，長短期記憶是一款依序處理序列輸入的神經網路，Amazon提到，將長短期記憶與生成對抗網路一起訓練，這個網路將可隨著相繼輸入的單詞，逐漸修改圖像。由於LSTM是一種時間循環神經網絡（Recurrent Neural Network，RNN），因此新網路名稱為遞迴StackGAN，縮寫為ReStGAN。</p> <p>由於從文字敘述合成圖像這項任務仍然非常困難，為了降低複雜度，Amazon將應用限縮在長褲、牛仔褲和短褲三種類似的產品，並且標準化用於訓練模型的圖像，除了移除背景之外，也進行剪裁和調整大小，使其比例與形狀都相同。</p> <p>新模型的訓練大多使用無監督式學習，也就是訓練資料主要由產品名稱和經標準化的圖片組成，沒有任何的人工註解，不過為了提高系統的穩定度，Amazon使用了輔助分類器，根據褲子類型、顏色以及適合的性別三個屬性進行分類。</p> <p>在顏色合成上，Amazon提到，傳統單詞嵌入將顏色名詞分在同一群，但是並沒有結合人類感知經驗，因此Amazon開發了新方法對顏色編碼，他們在LAB色彩空間中對顏色進行分組，這個色彩空間的特性，是顏色點之間的距離，與人類感知到的顏色差異相符。Amazon利用分組的顏色建立查詢表格，將視覺相似的顏色，對應到文字描述相同的特徵中，而建立顏色查詢表格附帶的好處是，模型更能夠合成出具自然顏色的圖像。</p> <p>Amazon以可辨識度和多樣性作為指標，計算類型、顏色以及性別三個屬性的分數，以比較ReStGAN和StackGAN模型，在類型和性別上，前者比後者分數提高了22％和27％，而顏色分數則改進100％，Amazon提到，這代表使用新的顏色模型效果明顯。</p> </div></div></div>
2020/3/4 23:55作者李建興https://www.ithome.com.tw/news/136150
VMware翻新產品經銷計畫，臺灣現有4家經銷商獲產品實作部署的新認證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>VMware新的合作夥伴計畫Partner Connect於3月2日正式啟用了，VMware今日（3/4）首度在臺對外介紹新計畫。新計畫採單套框架涵蓋全產品的模式，目標是毎一家經銷商都能買所有VMware的產品。</p> <p>VMware坦言，因舊有模式太複雜，有多套夥伴計畫的框架，所以，他們早在去年4月初就預告，要在今年第一季換掉已沿用9年的Partner Network模式，讓該模式走入歷史。VMware以合作夥伴形容參與計畫的經銷廠商。新計畫採單一套框架的作法，改變了過去以經銷、服務、技術類型，各自劃分不同級別的方式，現全面統一為相同的3個等級，分別是Partner、Advanced Partner和Principal Partner，再藉此來訂定合作夥伴於各級別可獲得的權益，以及需達到的標準，都透過單一份合約來規範。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/vmw-partner-connect-program-at-glance.jpg" style="width: 600px; height: 214px;" /></p> <blockquote><p>圖片來源：VMware</p> </blockquote> <p>除了有3級別的單一套合作夥伴框架， VMware還將旗下產品劃分為7大領域，包含資料中心虛擬化、雲端管理自動化、VMC on AWS、雲端供應商、現代化應用、網路安全和數位工作空間，VMware進而再依3級別，對合作夥伴設有各領域銷售業績、技術和能力驗證的標準。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/vmw-partner-connect-.JPG" style="width: 600px; height: 318px;" /></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">圖片來源：VMware</span></p> </blockquote> <p>合作夥伴若要取得最高級別Principal Partner的資格，除了銷售業績需達到積分的條件外，也需獲得至少1項領域的大師級服務能力（Master Services Competencies）認證，才可符合資格。</p> <p>這個大師級服務能力是VMware新增加的認證，合作夥伴需要提出成功部署的案例，才可取得。VMware臺灣工商業務暨合作夥伴事業部副總經理謝國東提到，過去，合作夥伴僅通過考試，來獲得認證，而這個認證增加了實作經驗的要求，他進一步說明，實際部署經驗需符合多項要求，像是部署建置、技術分析和專案規畫等能力。</p> <p>VMware臺灣總經理陳學智表示，該認證相當於VMware驗證了合作夥伴在該領域的部署能力。未來，企業可依需求所屬的領域，評估具該領域大師級服務能力認證的VMware經銷商是否合適選用。</p> <p>現階段，臺灣共有逾150家合作夥伴參與新計畫。謝國東表示，原先Partner Network模式之下，約150家合作夥伴皆已轉換至新計畫，另外，新計畫還包含了VCPP、新併購公司之經銷商等。VMware未具體訂定該計畫在臺合作夥伴數將達到的目標，不過，根據他們的估算，VMware在臺的生態系規模超過500家。</p> <p>臺灣逾150家的Partner Connect合作夥伴中，有4家已經取得大師級服務能力認證，分別是精誠資訊、晉泰科技、創鑫資訊和大同世界科技，取得的認證屬於資料中心虛擬化和雲端管理自動化領域。</p> <p>此外，這4家通過大師級服務能力認證的廠商，其中有2家已取得Principal Partner級別的認證，另兩家則因尚未達到銷售業績的條件，屬於Advanced Partner級別。目前臺灣共有逾50家合作夥伴被認證為Advanced Partner，其餘屬Partner級別。</p> <p>對於新合作夥伴計畫帶給企業的影響，陳學智表示，過去合作夥伴需獲取各領域專屬的銷售資格，現可透過單一合約獲取，可更快對外銷售不同領域的產品。文⊙黃郁芸</p> </div></div></div>
2020/3/4 20:37作者黃郁芸https://www.ithome.com.tw/news/136159
卡位台灣5G市場，三星推Galaxy S20旗艦級5G手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內5G首波頻譜釋照剛落幕，看準各家電信業者將在下半年開通5G服務，台灣三星搶先卡位國內5G手機市場，預告3月20日將開始銷售年度旗艦手機Galaxy S20，支援5G通訊功能，空機售價3.29萬元起。</p> <p>三星Galaxy S20 5G系列共推出三款機型，6.2吋Quad HD+螢幕的S20，配備更大6.7吋螢幕的S20+，以及擁有最大6.9吋螢幕、1億800萬畫素相機及100倍變焦功能的超規格旗艦手機S20 Ultra。</p> <p>S20（12GB記憶體及128GB內存容量）空機售價3.29萬元，同樣記憶體及內存容量的S20+為3.69萬元，最高階的S20 Ultra則分為兩種版本，配備12GB記憶體及256GB版本定價為4.39萬元，而16GB記憶體及512GB的版本則是4.79萬元。</p> <p>S20與S20+支援了6400萬畫素相機，最高階的S20 Ultra更支援1億800萬畫素相機，高畫素照相功能，加上支援8K錄影，大容量影像檔案傳輸，未來將能透過5G或是Wi-Fi（上傳/下載速度達1.2Gbps）高速傳輸。</p> <p>Galaxy S20 5G系列均採用了高通S865八核心處理器，可支援Sub-6頻段的5G服務，並向下相容4G LTE。目前國內尚未開通5G服務，要等到第三季才會陸續開通，台灣三星也說明，S20 5G系列手機將等到國內的電信商5G開臺後，透過軟體更新開通手機上的5G通訊功能，用戶在國外也能使用Sub-6頻段的5G服務。</p> <p>中華電信、遠傳電信、亞太電信、台灣大哥大及台灣之星五家業者，不約而同宣佈了S20的購機資費方案，皆以4G資費方案搭配銷售手機，以電信三雄為例，三家業者資費多鎖定999以上，到最高2000多元的月租費。</p> <p>值得注意的是，S20在全球支援了Sub-6和毫米波（mmWave）頻段，但是會視各地區市場需求推出適合的版本，臺灣上市的S20僅支援Sub-6頻段，即支援3.5GHz頻段5G服務，並沒有支援28GHz，因此未標得3.5GHz的亞太電信用戶可能不適用。但亞太電信表示，未來將和其他電信業者合作，提供3.5GHz頻段5G，讓亞太用戶也能使用支援該頻段的5G手機。</p> <p>另外，國內電信商正在投入5G網路建設，5G的資費方案仍在規劃中，若消費者現在先以4G資費方案入手5G手機，到下半年電信商開通5G服務、公布資費方案，S20用戶是否需要再申請新的5G資費，或是如當初4G剛開臺時的升級資費方案，目前尚不得而知。</p> <p>三星在今年1月宣佈，去年全球已售出670萬支5G手機，包括Galaxy S10 5G、Note 10 5G等等，在全球5G手機市佔率超過5成，今年S20 5G系列手機挾高通S865處理器，最高1億800萬畫素、100倍變焦等進階功能搶市。</p> <p>不讓三星專美於前，LG上個月也在國外發表了5G旗艦手機V60 ThinQ 5G，而Sony也不甘示弱，發表旗下首款5G手機Xperia 1 II，展望台灣即將在下半年推出5G服務，其他業者也可能引進5G手機，國內5G手機市場競爭可能提前開打。</p> <p> </p> </div></div></div>
2020/3/4 19:00作者蘇文彬https://www.ithome.com.tw/news/136156
2020年2月十大資安新聞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎（COVID-19）疫情是全球關注焦點，本月不少資安議題與事件也與之有關，包括相關的網釣攻擊、假新聞，以及迫使國內外資安會議有異動，並為企業持續營運帶來挑戰。</p> <p>例如，自從2月初就有多家資安業者指出，有駭客利用社會大眾對於疫情的恐懼心理，寄送以官方感染數據或衛教資訊為題的惡意電子郵件，發動網釣攻擊。</p> <p>此外，疫情相關的假新聞也趁機作亂，臺灣法務部調查局與刑事警察局陸續查獲多起在社群媒體散布不實訊息的事件，後續並發現有許多來自中國與境外人頭帳號散布的造謠內容，影響國內防疫資訊的正確性。對此，國內執法機關呼籲，對於非官方的訊息應小心求證，切勿任意散播、轉傳，以免觸犯傳染病防治法、刑法或社會秩序維護法。</p> <p>不僅如此，在疫情衝擊下，今年上半多場大型科技與資安會議延期舉辦。另一方面，許多企業也取消海外出差，實施分區、分批或在家辦公等，都是為了因應疫情所採取的措施，而在企業風險評鑑與營運衝擊分析之下，持續營運管理（BCM）與遠端工作資安風險，就成為企業現階段關切的一大重點。</p> <p>在2月的其他重大資安新聞中，資安廠商Malwarebytes發布的Mac資安威脅首度超過Windows平臺，揭露了不同於以往的資安態勢，受到重視。同時，本月也有一些揭露惡意程式新能力的研究公布，其中，可竊取Google Authenticator一次性密碼的金融木馬，引發側目。</p> <p>網站密碼安全相關議題，也是本月關注焦點之一，包括了密碼原則與實體安全金鑰的面向。首先，FBI新公布關於密碼設定的原則，建議大眾改用由幾個字詞組成15個字元以上的密碼，例如：VoicesProtected2020WeAre，以取代複雜密碼可能難記而造成的反效果，並有多項密碼政策的建議，事實上，前幾年就已經有專家這樣呼籲。</p> <p>在網站服務登入安全的實體安全金鑰方面，也有新的進展，其中Google將可製作Securtiy Key的韌體專案OpenSK開源，有助於FIDO2實體安全金鑰普及，因此最受關注。此外，蘋果也在2月加入FIDO聯盟，成為另一推力。</p> <p>還有一個不容忽視的資安新聞議題，在於委外供應鏈安全管理。像是美國國防部宣布推出網路安全成熟度模型認證（CMMC），共分為5級，將開始要求IT承包商，需取得相應的安全等級認證。附帶一提的是，國內政府的資安服務廠商評鑑，往年評鑑等級是特優、優、甲的方式呈現，現改為A、B、C、D、E級。</p> <p>在國際新聞焦點上，有兩起較為重大，包括俄國研究人員揭露海思半導體晶片的後門漏洞，以及美國消費者信用報告公司Equifax的個資外外洩案後續，這起在2017年爆發的事件，現在美國司法部調查出爐，並指控是中國解放軍第54研究所的4人所為。</p> <p>最後，在安全漏洞修補方面，其中Linux的sudo指令再次修補一項高風險漏洞，最受關注。但其實2月還有不少漏洞修補事件，雖然不在本月十大新聞之列，但也是相關領域會重視的焦點。包括：微軟Exchange伺服器、合勤防火牆與NAS產品的漏洞修補，還有像是藍牙軟體開發套件的多項漏洞，影響7家半導體業者的系統單晶片，以及Broadcom與Cypress的藍牙晶片也被發現漏洞，影響10億裝置等。</p> <p> </p> <h2><strong><span style="color:#B22222;">01.</span> <a href="https://www.ithome.com.tw/news/135613">小心！利用武漢肺炎的病毒與網釣郵件已開始流竄<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)0203-wang_diao_-wu_han_fei_yan_.png" style="width: 600px;" /></a></strong><br /> </h2> <h2><strong><span style="color:#B22222;">02.</span> <a href="https://www.ithome.com.tw/news/135939">企業落實BCM是因應武漢肺炎最佳策略<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)0221-961-2425-feng_mian_gu_shi_-qi_ye_luo_shi_bcm-960.png" style="width: 600px;" /></a></strong></h2> <h2> </h2> <h2><strong>03. <a href="https://www.ithome.com.tw/news/135804">Mac資安威脅首度超過Windows平臺<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%963)0213-2020_state_of_malware_report.png" style="width: 600px;" /></a></strong></h2> <h2> </h2> <h2><strong>04. <a href="https://www.ithome.com.tw/news/135665">sudo爆可取得根帳號權限的漏洞<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%964)0205-sudo1831.png" style="width: 600px;" /></a></strong></h2> <h2> </h2> <h2><strong>05. <a href="https://www.ithome.com.tw/news/135658">美國國防部將開始要求承包商必須具備網路安全認證<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%965)0205-cmmc.png" style="width: 600px;" /></a></strong></h2> <h2> </h2> <h2><strong>06. <a href="https://www.ithome.com.tw/news/135993">FBI：以長密詞取代密碼、不應設定密碼變更期間或次數上限<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%966)0225-fbi_password.png" style="width: 600px;" /></a></strong></h2> <h2> </h2> <h2><strong>07. <a href="https://www.ithome.com.tw/news/135579">Google開源可製作硬體金鑰的韌體專案OpenSK<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%967)nordic-2.png" style="width: 600px;" /></a></strong></h2> <h2> </h2> <h2><strong>08. <a href="https://www.ithome.com.tw/news/136064">新版金融木馬Cerberus可竊取Google Authenticator所產生的一次性密碼<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%968)0228-googleauth.png" style="width: 600px;" /></a></strong></h2> <h2> </h2> <h2><strong>09. <a href="https://www.ithome.com.tw/news/135675">俄研究人員揭露海思半導體晶片的後門漏洞<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%969)0206-hai_si_-jing_pian_hou_men_.png" style="width: 600px;" /></a></strong></h2> <h2> </h2> <h2><strong>10. <a href="https://www.ithome.com.tw/news/135768">美國司法部：Equifax案是中國解放軍盜走1.5億名美國民眾個資<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%9610)1022-hacker_0.png" style="width: 600px;" /></a></strong><br /> </h2> </div></div></div>
2020/3/4 12:21作者羅正漢https://www.ithome.com.tw/news/136129
Fintech周報第135期：澳洲政府揭國家級區塊鏈藍圖，先著重農業、教育、金融應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0229～0306</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 澳洲政府 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈</span></strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">澳洲政府揭國家級區塊鏈藍圖，先著重農業、教育、金融應用</span></strong><br /><span style="font-size: 18.6667px;">澳洲政府的工業科學能源與資源部門（Department of Industry,Science,Energy and Resources）在2月初宣布了國家區塊鏈發展藍圖（<a href="https://www.industry.gov.au/sites/default/files/2020-02/national-blockchain-roadmap.pdf">National Blockchain Roadmap</a>），將透過使用區塊鏈技術實現該國新的經濟增長，並改善澳洲整體生產力。澳洲政府找來產業界和研究人員共同制定這項戰略，尤其聚焦農業、教育、金融服務業這3個主要產業在區塊鏈的應用。比如，在金融服務系統中，區塊鏈可以成為提供共享KYC資訊的解決方案，使KYC檢查流程快速且安全。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">這個戰略藍圖也要求，區塊鏈應用需要符合對應目的的監管框架與標準，以應對多項挑戰，包括了網路安全、信任維護、數據完整性，並且在隱私與透明度之間取得平衡，以及技術中立、智能合約的法律地位等。另一個關鍵挑戰是，區塊鏈教育和人才。區塊鏈仍是新興技術，澳洲政府認為，有必要建立一個可以轉化為驅動創新能力的技能基礎，也將對產業和政府進行有關區塊鏈潛力的教育。此外，擴大國際投資與合作，也是澳洲發展區塊鏈的關鍵之一。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">澳洲政府更明確訂出2020年到2025年的目標，包括建立國家級區塊鏈藍圖諮詢委員會，該委員會將就現有政府計畫提供建議，並建立產業、研究部門、政府的工作團隊，以促進對區塊鏈使用案例的分析。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Mastercard </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 人事異動</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">萬事達卡CEO換人，力推全球即時支付的產品長明年1月將接任</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Michael%20Miebach_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Mastercard.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">國際發卡組織萬事達卡（Mastercard）在2月25日<a href="https://newsroom.mastercard.com/press-releases/mastercard-announces-leadership-transition/">宣布了一項高層人事異動</a>，現任總裁暨執行長Ajay Banga將於今年底卸任，明年起改由現任產品長Michael Miebach正式接棒，後續還將兼任總裁。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Mastercard今年計畫完成以28.5億歐元買下北歐支付Nets旗下A2A事業的收購案，Michael Miebach正是主導這項全球支付布局計畫的推手。當時他就指出，即時支付的全球機會正在加速，結合Mastercard的Vocalink（英國支付系統）、Transfast（跨境支付）與2019年買下的Transactis帳單支付系統等資產，收購Nets的即時支付平臺將讓Mastercard成為銀行、商家或政府支付需求的一站購足合作夥伴。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">新任執行長Michael曾在歐洲、中東、非洲、美國等地區的支付、數據、金融服務與技術領域擔任過領導職務。2010年到2015年期間，擔任萬事達卡中東與非洲地區總裁，2016年升任萬事達卡產品長。Ajay表示，Michael在萬事達卡的這10年以來，一直是萬事達卡多軌戰略的主要架構師，包括領導萬事達卡對Vocalink與Nets即時支付平臺的收購案。進入萬事達卡前，Michael也曾在花旗銀行擔任總經理，在巴克萊銀行擔任常務董事等高階主管職位。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 證交所 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 盤中零股交易</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">散戶也可買高價股票，證交所將於10月實施盤中零股交易</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/19_%E9%BB%83%E4%B9%83%E5%AF%AC_%E8%87%BA%E7%81%A3%E8%AD%89%E5%88%B8%E4%BA%A4%E6%98%93%E6%89%80_%E5%89%AF%E7%B8%BD%E7%B6%93%E7%90%86%E5%85%BC%E8%B3%87%E8%A8%8A%E9%95%B7_20150518_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">目前零股交易全面是盤後交易，也就是下午1點40分到下午2點半才可進行零股交易，下午2點半後以集合競價一次撮合成交。若想在盤中交易，就必須累積到1000股（一張股票）才能交易，對於一般民眾仍有一定的交易門檻。為此，臺灣證券交易所（簡稱證交所）宣布，今年10月26日開始，可在普通交易時段買賣零股，以降低交易門檻，既有的盤後零股交易作法和機制則照舊。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">證交所表示，盤中零股交易上線後，交易時間提前到早上9點到下午1點半，於早上9點10分起第一次撮合，之後每3分鐘以集合競價撮合，依照價格與時間優先原則成交，撮合後才會對外揭露成交價格及數量等資訊，而零股交易未成交委託，則不會保留到盤後零股交易時段。證交所提到，不是每一家券商都會提供盤中零股交易服務，但若有提供該服務的券商，即規定下單方式須採用電子交易方式來委託，不過，專業機構投資人可不適用。此外，零股交易申報及成交與股票價格，皆不作為當日的開盤、收盤價格，也不作為最高、最低行情的記錄依據。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">不只盤中零股交易，證交所也將在3月23日正式實施逐筆交易制度，有別於現有盤中每5秒撮合一次的集合競價，未來逐筆交易上路後，將會是委託單隨到隨撮，提升交易效率。今年度臺股這兩大變革，想必將為證券市場帶來一番新風貌。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> LINE代幣經濟 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位貨幣交易所</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">LINE關閉新加坡交易所，轉戰美國開全球法幣交易所Bitfront</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_BITFRONT_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_LINE.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">為了持續擴張LINE代幣經濟版圖，<a href="https://linecorp.com/en/pr/news/global/2020/49">LINE宣布</a>，2月27日正式在美國啟用全球數位貨幣交易所Bitfront，並且已關閉2018年7月在新加坡成立的數位資產交易所Bitbox。LINE轉戰美國開設的交易所，將由LINE旗下經營加密貨幣及區塊鏈業務的LVC底下子公司LVC USA負責營運，提供法幣對加密貨幣，以及加密貨幣之間的美元交易，用戶綁定銀行帳戶後，就可用美元開始交易。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">LINE表示，Bitfront將成為LINE代幣經濟的主要數位貨幣交易平臺。比起Bitbox只能提供加密貨幣之間的交易，LINE決定擴大到法幣對加密貨幣間的交易服務，建立全方位交易所，希望藉由降低加密貨幣採用門檻，來提升區塊鏈的使用率。目前，Bitfront支援15種語言，5項加密貨幣，包括LINE的數位貨幣LINK(LN)、比特幣 (BTC)、以太幣 (ETH))、比特幣現金(BCH)、泰達幣 (USDT)。適用區域為全球，但日本與美國特定幾州除外。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> PayPal </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Google Pay</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 盜刷</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">PayPal帳號出包導致多國用戶遭盜刷，德國資安專家警告有漏洞沒補</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0225-paypal.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">近期多名PayPal用戶透過PayPal社群、Reddit及推特反映，他們的PayPal帳戶遭到盜刷購物，金額從上百到上千歐元不等。這些用戶以德國為最大宗，但也包含美國、俄羅斯用戶，他們的共同點都是綁Google Pay服務。盜刷的犯罪地點皆位於美國，像是3C賣場Target及星巴克的線上或實體商店。Paypal獲通報後，已經退款給受影響的消費者。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">駭客如何駭入Paypal帳戶不得而知，但代號iblue的德國安全研究人員懷疑，這和他與同事去年發現的PayPal漏洞有關。iBlue解釋，用戶把PayPal連結Google Pay時，PayPal以Paypal卡號、到期日和認證碼（CVC）建立了虛擬卡片。而當Google Pay 用戶刷卡以PayPal帳戶支付時，就是從該虛擬卡扣款。因此如果虛擬卡資訊被駭客取得，就能盜刷交易，而且輸入任何CVC碼都接受。這名安全人員說，去年他們就將漏洞通報給PayPal，而在180天的緘默期後，顯然PayPal並未修補，於是他決定公布出來。PayPal對BleepingComputer和ZDNet表示，他們正在調查這起盜刷事件。<a href="https://www.ithome.com.tw/news/135997"><strong>（更多內容）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 玉山銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> AI</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 全自動化貸款</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">玉山銀推自動化貸款平臺，運用AI打造無斷點數位貸款服務</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E7%8E%89%E5%B1%B1%E9%8A%80%E8%A1%8C_%E6%94%9D%E5%BD%B1%E6%B4%AA%E6%94%BF%E5%81%89.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">玉山銀行推出全自動化貸款平臺e速貸。玉山銀宣稱，運用AI技術打造無斷點數位貸款服務。首波將以名單邀請的方式讓顧客體驗，只要符合申辦資格，並完成線上身分驗證與申請書填寫，再於營業時間內完成線上對保，即可於58秒內取得所需資金，整體貸款體驗皆為線上自動化完成。玉山銀表示，可節省紙本作業及等待專人回覆的時間，提供顧客快速的數位貸款新體驗。然而，上線初期僅以邀請優質薪轉戶為主，玉山銀提到，未來會在兼具風險管控與顧客體驗下，持續擴大適用客群。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 雲端郵件</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊科技 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">鎖定BEC威脅，區塊科技發表區塊鏈雲端郵件存證與真偽驗證工具</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">近年關於商業電子郵件詐騙（BEC）的威脅不斷發生，一次就為企業帶來數百萬元的損失，臺灣新創區塊科技推出郵件存證與真偽驗證的解決方案「ChkSender」，鎖定雲端郵件平臺，並以Chrome瀏覽器外掛形式來執行，強調從使用者端的寄送與接收階段來驗證郵件真偽，特別的是，這樣的解決方案結合了區塊鏈技術，再加上全球詐騙情資，以及AI機器學習技術，提供進階防詐能力，協助Gmail用戶降低受詐騙郵件的機率。現階段，可針對的是Gmail使用者（包含G Suite用戶），目前他們也正開發相容Office 365郵件平臺的應用。<a href="https://www.ithome.com.tw/review/135973"><strong>（更多內容）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">圖片來源：</span>Mastercard、LINE<span style="font-size: 14pt; vertical-align: top;">；攝影／洪政偉</span><br /><span style="font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 14pt;">1</span></strong><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 14pt;">.</span></strong><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 14pt;"> </span></strong><a href="https://www.ithome.com.tw/news/136036"><strong>前微軟工程師盜走價值1千萬美元的數位資產，在網路上以比特幣等方式兜售，被判18項重罪</strong></a><br /><strong style="vertical-align: top; font-size: 18.6667px;">2. </strong><a href="https://www.ithome.com.tw/news/136075"><strong>FBI：勒索軟體受害者過去6年來已支付價值1.4億美元的比特幣</strong></a><br /><strong style="vertical-align: top; font-size: 18.6667px;">資料來源：iThome整理，2020年3月。</strong></p> </div></div></div>
2020/3/4 17:19作者李靜宜https://www.ithome.com.tw/news/136155
21年的SETI@Home尋找外星人專案本月結束
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以尋找外星智慧為宗旨的運算資源共享專案，在上線21年後，基於資料已足夠及管理太麻煩等原因，將在3月31日終止。</p> <p>SETI @ Home（search extraterrestrial intelligence at home）是加州大學柏克萊分校發起以搜尋外星智慧生物的運算資源共享計畫。它是透過分析位於波多黎各阿雷西博天文台和望遠鏡，以及位於維吉尼亞州的綠岸天文望遠鏡（Green Bank Telescope）所蒐集到的無線電訊號，來搜尋外星高等智慧生物存在的證據。為分析龐大的資料，SETI @ Home計畫將這些資料再透過網路分配運算任務，到自願參加這項計畫的PC上計算。運算任務只會在PC閒置時，以螢幕保護程式形式或背景運作，不會影響用戶的正常使用。SETI @ Home是在1999年5月17日啟動至今。不過到目前為止，本專案的分析結果，還沒有找到足以證明外星智慧存在的證據。</p> <p><a href="https://setiathome.berkeley.edu/" target="_blank">本周專案網站宣布將「休眠」</a>，SETI @ Home的自願者運算部份，將從3月31日起終止分配作業，進入休止期。</p> <p>專案小組解釋，終止分配運算的原因在於，從科學分析角度來說，本專案已經來到報酬遞減期，專案小組已經分析完所有需要的資料。另一個原因是，資料的分散式運算管理很費事，專案小組決定把心力放在完成資料的後端分析，以及撰寫科學論文上。</p> <p>但是專案小組表示SETI @ Home網站及留言板都還會留著，也期望會有其他太空研究，會再一次需要集結眾人的運算資源。</p> <p>SETI @ Home使用的柏克萊開放網路運算平台（Berkeley Open Infrastructure for Network Computing，BOINC），迄今全世界有超過71萬台活躍主機，每天提供約30PetaFLOPS的運算能力。如果自願者還是希望能貢獻自己的資源，SETI @ Home專案小組建議，可以改投入BOINC上其他約30項專案。</p> </div></div></div>
2020/3/4 16:40作者林妍溱https://www.ithome.com.tw/news/136152
Honeywell準備在3個月內推出量子電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2018年底才發表量子運算能力，並於2019年與微軟結盟，成為Azure Quantum量子運算雲端服務合作夥伴的Honeywell，<a href="https://www.honeywell.com/en-us/newsroom/pressreleases/2020/03/honeywell-achieves-breakthrough-that-will-enable-the-worlds-most-powerful-quantum-computer" target="_blank">在本周宣布</a>將於3個月內推出全球最強大的量子電腦。</p> <p>Honeywell的四大本業為航太、建築、性能材料，與安全及生產力解決方案，看起來跟量子電腦不太有關聯，不過，Honeywell說該公司在量子電腦的技術基礎已鑽研超過10年，且將採用突破性的技術，來打造全球最強大的量子電腦。</p> <p>Honeywell本周也發表了一篇論文，展示了該公司所使用的量子電腦架構。目前包括Google及IBM等業者，都是採用基於Transmon的量子技術，而Honeywell則是採用<a href="https://www.honeywell.com/content/dam/honeywell/files/Beta_10_Quantum_3_3_2020.pdf" target="_blank">量子感光耦合裝置（Quantum Charge Coupled Device，QCCD）離子阱（Trapped Ion）量子電腦架構</a>。</p> <p>Transmon量子位元是由使電流通過超導線環路來運作，該環路連結到諧振器，以控制及讀取電流的狀態，除了必須製造超導線與諧振器之外，相關硬體也必須保持在極冷的狀態。</p> <p>Honeywell表示，QCCD架構可用來加速量子的能力，而所採用的離子阱技術，則是利用多個個別的帶電離子來保存量子資訊，只要利用雷射脈衝就能操縱與編碼。與那些不直接使用離子的量子位元技術相較，離子阱量子位元能夠統一的產生，且錯誤也更容易理解。相關技術涉及原子物理學、光學、低溫物理學、雷射、磁學、超高真空與精密控制系統，而Honeywell在這些領域已有數十年的經驗。</p> <p>總之，Honeywell說該公司在3個月內就會發表量子體積（quantum volume）至少達64的全球最強大的量子電腦，其量子運算能力將是該產業下一代產品的兩倍，而且在QCCD架構的助益下，估計其量子電腦的量子體積，在未來的5年內，每年都會有10倍的成長速度。</p> <p>此外，Honeywell本周也宣布注資Cambridge Quantum Computing (CQC) 與Zapata Computing這兩家專門研發量子軟體與演算法的業者，前者的專長在於量子開發平台與化學／機器學習／網路安全上的企業應用，後者則是專門打造支援不同產業的量子軟體。</p> </div></div></div>
2020/3/4 16:55作者陳曉莉https://www.ithome.com.tw/news/136153
奇虎360：美國CIA自2008年就開始攻擊中國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國資安業者<a href="http://blogs.360.cn/post/APT-C-39_CIA_EN.html" target="_blank">奇虎360於本周指出</a>，有一駭客集團APT-C-39從2008年9月到2019年6月間，持續針對中國的航太組織、科學研究機構、石油產業、網路公司與政府部門發動網路攻擊，在分析了2016年自美國中情局（CIA）外洩的Vault 7文件之後，相信APT-C-39是由CIA所支持的國家級駭客集團。</p> <p>維基解密（WikiLeaks）在2016年對外公布了來自CIA的機密檔案，揭露了CIA的全球駭客計畫，以及各種CIA所研發及使用的網路攻擊工具。隨後涉嫌洩密的CIA員工Joshua Schulte，即遭到美國逮捕。</p> <p>研究人員表示，在APT-C-39針對航太與研究組織的攻擊行動中，主要鎖定相關領域的開發人員，這些開發人員負責的是民航機的資訊科技，包括飛機控制系統、貨運資訊系統或旅客資訊系統等，而且APT-C-39的攻擊行動，遍布全球數百個民航機業者。</p> <p>外洩的Vault 7文件，則讓奇虎360發現了APT-C-39與CIA之間的連結，包括APT-C-39使用了Vault 7中的獨家網路攻擊工具，且APT-C-39多數樣本的技術細節與Vault 7文件中所描述的一致，在Vault 7文件尚未外洩前，APT-C-39就已使用了該文件中的攻擊工具，而且有些APT-C-39所使用的工具，還與美國國安局（NSA）有關，再加上APT-C-39編譯武器的時間點符合美國時區等。</p> <p>奇虎360表示，Vault 7文件證實了美國已打造出全球最大網路武器軍工廠，不只對全球網路帶來嚴重的威脅，亦展現了美國APT組織的高技術能力與專業水平，顯示網路空間已然成為大國間另一重要戰場。</p> </div></div></div>
2020/3/4 17:15作者陳曉莉https://www.ithome.com.tw/news/136154
聯發科晶片漏洞CVE-2020-0069允許駭客取得裝置根權限，影響數百萬Android裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在本周<a href="https://source.android.com/security/bulletin/2020-03-01#asterisk" target="_blank">發表了今年3月的Android安全公告</a>，修補了71個安全漏洞，而行動軟體開發社群XDA Developers，則大篇幅地針對當中的CVE-2020-0069漏洞提出警告，這是一個存在於聯發科晶片中的安全漏洞，允許駭客直接取得裝置的根權限，波及逾20款聯發科晶片與數百萬Android裝置，而且已被開採。</p> <p>根據<a href="https://www.xda-developers.com/mediatek-su-rootkit-exploit/" target="_blank">XDA Developers的報導</a>，此一漏洞的攻擊細節在2019年4月時便已於該站曝光，且聯發科在去年5月就修補了該漏洞，只不過，由於相關晶片主要供中、低階的Adnroid手機、平板或機上盒使用，這些裝置製造商並無及時修補安全漏洞的習慣，再加上該漏洞已被駭客開採，才使得聯發科決定求助於Google，透過Google的安全公告督促業者修補。</p> <p>XDA Developers解釋了CVE-2020-0069漏洞的嚴重性。一般而言，若要取得Andorid裝置的根權限，首先得解鎖引導程序，關閉啟動區的驗證，使用者才能在Android系統上注入執行檔與管理程式，但有了CVE-2020-0069漏洞，使用者完全不需要執行上述程序，只要複製已在網路上流傳的攻擊腳本程式，再於Shell中執行即能取得根權限，而且不只是裝置用戶，任何手機上的應用程式，只要在程式中嵌入該腳本程式，同樣能取得該裝置的根權限。</p> <p>一旦取得了根權限，代表駭客就能安裝任何程式、賦予程式所有的許可，也能存取裝置上的所有資料。</p> <p>只是就算聯發科去年就修補了該漏洞，卻無法強迫所有的裝置製造商更新，目前XDA Developers僅確定Amazon已修補了相關裝置上的此一漏洞，但依然有數十家裝置製造商裝聾作啞。</p> <p>這使得聯發科在去年底告知Google此一漏洞，期望藉由Google的號召力來提醒製造商。Google則把CVE-2020-0069列為高度（High）嚴重漏洞，但並未進一步說明該漏洞的細節。</p> </div></div></div>
2020/3/4 16:10作者陳曉莉https://www.ithome.com.tw/news/136151
視訊會議需求大增，思科、Google、Zoom提供免費版視訊服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎（COVID-19）疫情在各地蔓延，許多公司宣布暫停員工出差或改成在家工作，視訊會議需求大增。思科、Google、Zoom宣布擴大提供視訊會議服務，供有需求的企業、學校或組織使用。</p> <p>為防範武漢肺炎疫情擴散，企業禁止員工不必要的出差或鼓勵員工在家上班，日本、香港等國，也宣布延後開學或停課，促進了視訊會議的使用。<a href="https://blog.webex.com/video-conferencing/cisco-webex-supporting-customers-during-this-unprecedented-time/" target="_blank">思科指出</a>，其雲端視訊服務WebEx在中國的流量，自疫情爆發已成長22倍，而日本、南韓及新加坡的用戶數也成長4到5倍，WebEx視訊會議使用時間也成長1倍。總體而言，在疫情嚴重的國家，免費版WebEx新增用戶數較平時成長了7倍。</p> <p>去年才IPO上市的Zoom也反映需求大增。<a href="https://www.marketwatch.com/story/zoom-video-is-seeing-a-surge-in-downloads-amid-coronavirus-panic-analyst-says-2020-02-26" target="_blank">分析師估計</a>，該公司今年二月初新增用戶數222萬人，是2019年全年的64萬的3倍。</p> <p>因應可能有更多人有遠距開會和上課的需求，視訊會議業者包括思科、Zoom和Google都擴大免費版服務的功能。<a href="https://blog.zoom.us/wordpress/2020/02/26/zoom-commitment-user-support-business-continuity-during-coronavirus-outbreak/" target="_blank">Zoom率先於上周宣布</a>，2人以上的免費視訊服務，針對中國地區將移除40分鐘使用上限。</p> <p>思科則針對所有國家提供免費版WebEx不限時服務，最多支援100人。至於原本非WebEx的企業用戶，也提供90天免費授權。思科也承諾之後會再提高現有視訊會議支援容量，特別在歐、美，也會開放給學校使用。</p> <p>此外，<a href="https://cloud.google.com/blog/products/g-suite/helping-businesses-and-schools-stay-connected-in-response-to-coronavirus" target="_blank">Google也宣布</a>原本僅G Suite及G Suite for Education付費服務才有的Hangouts Meet視訊會議功能，將免費提供所有人使用到7月為止。每次視訊通訊可支援最多250人，而每個網域最多支援10萬人次的即時串流服務，還能將會議儲存在Google Drive中。</p> </div></div></div>
2020/3/4 12:10作者林妍溱https://www.ithome.com.tw/news/136134
Google愛爾蘭一員工出現類流感症狀，8千人被要求在家上班
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.irishpost.com/news/8000-google-employees-dublin-told-work-home-due-coronavirus-fears-180830" target="_blank">愛爾蘭媒體報導</a>，因一名員工疑似感染冠狀病毒，迫使Google愛爾蘭8千名員工在家上班。</p> <p>報導指出，一名員工本周出現類似流感的症狀，雖然還未確認，但為防患未然，Google愛爾蘭都柏林分公司要求所有員工「測試」在家上班的可能性。</p> <p>Google也證實，考量員工的健康與安全，該公司為謹慎起見，採取了預防措施，並要求都柏林的團隊周二在家上班，直到一切情況明朗。不過Google拒絕說明該名員工的狀況。</p> <p>武漢肺炎疫情在歐美擴大，上周六愛爾蘭首度出現確診案例。<a href="https://www.ithome.com.tw/news/136085" target="_blank">Google上周也證實</a>一名瑞士分公司員工已遭感染。</p> <p>為減低員工感染風險，<a href="https://www.ithome.com.tw/news/136116" target="_blank">推特周一率先公布</a>鼓勵全球各地員工在家上班的政策。</p> </div></div></div>
2020/3/4 12:40作者林妍溱https://www.ithome.com.tw/news/136138
Let's Encrypt因臭蟲而撤銷300萬個TLS憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>免費憑證發行機構Let's Encrypt<a href="https://community.letsencrypt.org/t/2020-02-29-caa-rechecking-bug/114591" target="_blank">本周指出</a>，由於該組織所使用的憑證機構軟體Boulder含有一臭蟲，誤發了許多憑證，使得它們必須撤銷已頒發的3百萬個TLS/SSL憑證，約占現行1.16億個憑證數量的2.6%。</p> <p>當使用者向Let's Encrypt申請網站憑證之後，Boulder會驗證使用者是否擁有該網域名稱的控制權，同時檢查憑證頒發機構授權（Certification Authority Authorization，CAA），CAA是用來確認使用者的確指定由Let's Encrypt負責頒發憑證。</p> <p>這兩項檢查的有效性存在著時間差，成功驗證網域的所有權之後，在30天之內都是有效的，而Boulder要正式頒發憑證之前的8小時，會再重新檢查一次CAA。</p> <p>這意味著倘若使用者在申請憑證並通過Boulder的雙重檢驗之後，沒有立即取得憑證，那麼Boulder在發行憑證前就會再檢查一次CAA。</p> <p>不過，就在Boulder重新檢查CAA時，如果使用者所申請的憑證是支援N個網域名稱的，Boulder並沒有檢查這N個網域名稱的CAA，而是只選擇其中一個網域名稱，然後檢查N次。於是就可能出現使用者的某些網域並未授權Let's Encrypt頒發憑證，但還是取得了來自Let's Encrypt的憑證。</p> <p>Let's Encrypt是在今年的2月29日發現該臭蟲，但相信此一臭蟲自去年的7月25日就存在了。</p> <p>於是Let's Encrypt決定撤銷這些受到影響的憑證，目前Let's Encrypt尚未公布撤銷憑證等時間點，但已確定會在世界標準時間（UTC）的3月5日凌晨3點（台北時間3月5日的上午11點），完成撤銷作業。</p> <p>Let's Encrypt已發出郵件通知受到影響的使用者，使用者亦可透過<a href="https://checkhost.unboundtest.com/" target="_blank">線上工具</a>檢查自己的網域是否受到波及。</p> </div></div></div>
2020/3/4 13:00作者陳曉莉https://www.ithome.com.tw/news/136139
K8s機器學習包Kubeflow釋出1.0，可簡化TensorFlow和PyTorch分散式訓練工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷經超過2年的發展，<a href="https://medium.com/kubeflow/kubeflow-1-0-cloud-native-ml-for-everyone-a3950202751">機器學習工具包Kubeflow終於發布了第一個主要版本</a>，Kubeflow是第一個針對Kubernetes，提供可移植與可擴展的機器學習解決方案，讓用戶利用機器學習工作管線，調度Kubernetes上執行的複雜工作流程。Kubeflow原本稱為TensorFlow Extended，是Google內部用來部署TensorFlow模型到Kubernetes的方法。</p> <p>Kubeflow初始專案的開發者來自Google、思科、IBM、紅帽、CoreOS以及CaiCloud，在2017年底在美國Kubecon中對外開源，之後專案便蓬勃發展，現在有來自30個組織上百位的貢獻者，參與Kubeflow專案的開發。</p> <p>官方提到，應用Kubeflow，用戶不需要學習新概念或是平臺來部署應用程式，也不需要處理Ingress或是網路憑證等問題。Kubeflow的目標是要讓機器學習工程師和資料科學家，能夠更容易地使用雲端資源，處理機器學習工作負載。</p> <p>Kubeflow 1.0提供了一組穩定版本的應用程式，提高開發者在Kubernetes上進行開發、建置、訓練和部署模型的效率（下圖）。這些應用程式包括Kubeflow的使用者介面Central Dashboard以及Jupyter筆記本控制器，還有用於分散式訓練的Tensorflow和PyTorch運算子，同時也提供管理多重使用者的配置文件管理器，和部署升級工具kfctl。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0_tBPpU3UqM_MeJ0-P.png" style="width: 580px;" /></p> <p>Jupyter筆記本是資料科學家重要工具，而且為了提升實驗效率，Jupyter筆記本需要與Kubernetes雲端運算資源整合，以使用GPU訓練更大的模型，或是平行執行多個實驗。Kubeflow簡化了以Kubernetes管理資源的方法，每個資料科學家或團隊都可以擁有自己的命名空間，執行各自的工作負載。命名空間提供了安全性與資源隔離，在使用Kubernetes資源配額時，管理員還可以限制個人或是團隊使用量。</p> <p>Kubeflow還讓用戶能夠簡單地進行分散式訓練，官方提到，當他們啟動Kubeflow這個專案時，動機之一便是要利用Kubernetes簡化分散式訓練。Kubeflow提供了Kubernetes自定義資源，而這些資源會讓使用TensorFlow和PyTorch進行分散式訓練工作變得簡單，只要定義TFJob或是PyTorch資源，自定義控制器便會自動啟動並且管理所有獨立的程序，並且使這些程序能夠互相溝通。</p> <p>接下來還會有許多工具在Kubeflow中成熟，像是建置在無伺服器管理平臺Knative之上的自定義資源KFServing，可幫助用戶部署和管理機器學習模型，其模型可解釋性功能則正在Alpha測試中，另外，可用來定義複雜機器學習工作流程的工具Pipelines；可追蹤資料集、工作和模型的Metadata；超參數調校工具Katib，這些工具都正在beta測試中，在未來的發布版本會陸續加入Kubeflow 1.0。</p> </div></div></div>
2020/3/4 11:25作者李建興https://www.ithome.com.tw/news/136123
武漢肺炎疫情日愈嚴重，Google I/O也取消實體活動，將提供全額退費
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎（COVID-19）疫情在美愈演愈烈，矽谷科技巨人受到直接影響，繼臉書取消F8開發者大會，<a href="https://events.google.com/io/" target="_blank">Google也跟進宣佈</a>，取消5月12日到14日舉行的年度開發者大會Google I/O 2020實體活動。</p> <p>Google指出，基於冠狀病毒（COVID-19）的疑慮與美國疾病控管與防治中心（CDC）、世界衛生組織（WHO）及其他衛生主管機關的政策方針，Google決定取消Google I/O在Shoreline Amphitheatre會議中心的實體活動。</p> <p>所有已經購票者將可在5月13日前獲得全額退費。由於Google I/O必須中籤才能報名，受到今年活動取消影響，今年已報名者的資格，將可直接沿用到明年的Google I/O，無需再參加抽籤。</p> <p>至於活動會改採什麼樣的形式舉行，Google表示會在接下來幾周商討後決定。</p> <p>Google I/O是這家科技龍頭一年之中最重要的活動，Google執行長Sundar Pichai將發表具指標意義的開幕演說，Google下一代Android、Google Assistant、Google Home智慧喇叭、Pixel手機及Google Glass等重要產品，都是在I/O大會上發表。今年Android 11 Beta也預定會在I/O上發布Beta版。去年全球共有超過7千人參加。</p> <p>武漢肺炎在歐美爆發疫情，衝擊矽谷科技業。MWC 2020停辦。遊戲開發商大會（GDC）延後活動檔期。<a href="https://www.ithome.com.tw/news/136062" target="_blank">臉書取消開發者大會F8</a>。<a href="https://www.ithome.com.tw/news/136116" target="_blank">微軟MVP高峰會由實體活動改線上舉行</a>。Google 4月初舉行的雲端產品年會Next，也臨時<a href="https://www.ithome.com.tw/news/136100" target="_blank">改為全線上形式開放免費參加</a>。蘋果的年度開發者大會WWDC是否會舉行，引人關注。</p> </div></div></div>
2020/3/4 11:45作者林妍溱https://www.ithome.com.tw/news/136128
Waymo首度導入Alphabet以外的資金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>原本由Alphabet百分之百持有的自駕車公司<a href="https://blog.waymo.com/2020/03/waymo-raises-first-external-investment.html" target="_blank">Waymo在周一（3/2）宣布</a>，已完成該公司第一輪的外部投資，領投的是 Silver Lake、Canada Pension Plan Investment Board與Mubadala Investment，其它的投資者還包括美國私募基金Andreessen Horowitz、Alphabet、全球第三大汽車零件供應商Magna International，以及美國汽車零售商AutoNation，總計募得22.5億美元。</p> <p>Waymo並未公布此輪投資所採用的市值，但投資銀行摩根史坦利（Morgan Stanley）去年9月時指出，由於自駕車技術的準備度不足，因而Waymo的市值已從1,750億美元下滑到1,050億美元。</p> <p>Waymo執行長John Krafcik指出，這次Waymo的團隊擴張，除了增加財務上的投資者之外，也引進策略合作夥伴，將把發展革命性產品的經驗帶給Waymo。</p> <p>已被提名加入Waymo經營理事會（Operating Board）的Silver Lake執行長Egon Durban表示，Waymo已被證實為自駕車技術的領導者，也是唯一一家提供公共共乘服務的自駕車公司，正在擴展其完全無駕駛的經驗。</p> <p>根據美國加州的2018年自駕車解除自駕（disengagement）報告，在48家自駕車測試業者中，Waymo的測試者表現得最好，解除自駕的機率最低，而且加州截至去年底，僅頒布一張允許完全沒有駕駛人的自駕車測試執照，得主即為Waymo。</p> <p>目前Waymo已在美國推出兩項自駕車服務，一是自駕車共乘服務Waymo One，其次則是專注於運送各種貨物的Waymo Via。此外，Waymo也在底特律建造了全球第一個專門量產L4等級自駕車的工廠，已交付了第一批的車輛，包括電動車與15噸以上的重型卡車（Class 8 Truck）。</p> </div></div></div>
2020/3/4 10:20作者陳曉莉https://www.ithome.com.tw/news/136124
蘋果同意以5億美元來解決「電池門」集體訴訟案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果藉由更新iOS來削弱iPhone效能，以維持老舊電池之續航力的「電池門」事件迄今餘波盪漾，繼被義大利與法國分別判罰1,000萬歐元及2,500萬歐元之後，<a href="https://www.reuters.com/article/us-apple-iphones-settlement/apple-to-pay-up-to-500-million-to-settle-u-s-lawsuit-over-slow-iphones-idUSKBN20P2E7?il=0" target="_blank">上周傳出蘋果已同意</a>以最多5億美元的金額，與美國的消費者和解。</p> <p>美國的消費者在2017年底<a href="https://www.ithome.com.tw/news/119892" target="_blank">開始對蘋果提出集體訴訟</a>，指控蘋果藉由iOS 10.2.1或之後的版本來削弱iPhone的效能，雖然蘋果宣稱此舉是為了維持老舊電池的續航力，並避免手機突然沒電，進而損害零件，但消費者卻認為，蘋果是為了讓他們相信iPhone壽命已到盡頭，督促用戶購買新機的手法，當時蘋果為了安撫用戶，還<a href="https://www.ithome.com.tw/news/120016" target="_blank">大幅調降iPhone的電池更換費用</a>，不過仍然止不住訴訟浪潮。</p> <p>該「電池門」事件影響了iPhone 6/6 Plus、iPhone 6s/6s Plus、iPhone 7/ 7 Plus及 iPhone SE等機種。</p> <p>根據蘋果與原告的和解協議，蘋果將支付每個iPhone用戶25美元，此一價格將視符合賠償資格的iPhone數量而有所浮動，但最少要支付3.1億美元，若再加上律師費與其它支出，總和解費用可能高達5億美元。</p> <p>此一和解協議仍待法官同意。</p> </div></div></div>
2020/3/4 10:40作者陳曉莉https://www.ithome.com.tw/news/136125
研究人員把國家級macOS惡意程式納為己用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾在美國國安局（NSA）任職，之後擔任Jamf首席安全研究人員的Patrick Wardle，在上周於舊金山舉行的<a href="https://www.rsaconference.com/usa/agenda/repurposed-malware-a-dark-side-of-recycling" target="_blank">RSA安全會議</a>上，說明如何將利用國家資源開發的macOS惡意程式納為己用，只要花費少少的力氣，就能使用專家所打造的惡意程式。</p> <p>Wardle借用並改編了藝術家畢卡索的名言：「好的駭客（藝術家）抄襲，偉大的駭客（藝術家）剽竊」來闡明他的立場。他認為，與其問說為什麼要剽竊他人打造的惡意程式，不如問說「為何不？」（Why Not？）</p> <p>美國中情局、國安局與其它14家美國的情報組織在2018年的總經費為594億美元，而美國軍方的情報經費則是221億美元，在這麼多的預算下，它們所打造的macOS惡意程式不但具備豐富的功能，還經過完整的測試，不只是美國情報單位，擁有更多預算的APT及網路駭客集團，也都有能力撰寫出更好的惡意程式。</p> <p>事實上，由吹哨者<a href="https://theintercept.com/2015/06/22/nsa-gchq-targeted-kaspersky/" target="_blank">Edward Snowden公布的NSA文件顯示</a>，NSA持續監控諸如卡巴斯基等外國資安業者的流量，也攔截重要文件，包括由研究人員針對防毒軟體漏洞所撰寫的惡意程式，NSA即指示有關部門可重新利用這些惡意程式，同時以它們來檢查資安業者的防毒軟體，是否還存在相關漏洞。</p> <p>此外，在NSA的工具外流之後，中國的情報機關也利用這些工具，來攻擊美國的盟友。</p> <p>因此，<a href="https://published-prd.lanyonevents.com/published/rsaus20/sessionsFiles/17809/2020_USA20_HT-T11_01_Repurposed-Malware-A-Dark-Side-of-Recycling.pdf" target="_blank">Wardle指出</a>，政府機關能做這樣的事，那駭客也可以。即使缺乏惡意程式的原始碼，但從惡意程式的行為，可以找到所有有關的邏輯，進而理解命令暨控制（C&C）伺服器的協定，繼之拼湊它們，再建立自己的C&C伺服器，然後避免遭到防毒軟體的偵測，就能將這些由專家打造的惡意程式納為己用。</p> <p>經過初步的改造之後，惡意程式就會將情報回傳給Wardle所建立的C&C伺服器，等於接管了惡意程式的控制權，並可加載自己需要的惡意功能，節省從頭開發強大惡意程式的時間與成本。</p> <p>它還可能有兩個額外的好處，一是入侵已被另一方駭客嚴密控管的環境，二是當受害者逮到惡意程式時，追蹤到的也許是原始駭客，而非Wardle。</p> <p>由於Jamf主要開發蘋果平台的企業管理軟體，也使得Wardle的研究只著重於macOS平台。</p> </div></div></div>
2020/3/4 10:50作者陳曉莉https://www.ithome.com.tw/news/136126
2019年度網站攻擊技法公布，臺灣資安專家研究連三年獲肯定，再以兩項名列10大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年有無數安全研究人員，分享網站安全領域上的各式攻擊技巧發現，近日<a href="https://portswigger.net/research/top-10-web-hacking-techniques-of-2019">2019年10大網站駭客技法（Top 10 Web Hacking Techniques）結果</a>出爐，公布相關創新與重要攻擊技巧，是各大型資訊安全會議之外，每年網站安全研究人員關注的重要參考知識庫，當中藉由社群力量提名，再產生每年最值得關注的創新研究，方便日後安全研究人員閱覽，並可以從中獲得啟發。</p> <p>這項活動，今年持續由網站安全公司PortSwigger舉辦，特別的是，臺灣資安研究人員再以兩項研究入選。</p> <h3><strong>年度網站攻擊技法研究揭露，臺灣資安研究人員發表內容獲年度第四與第八</strong></h3> <p>在這次評選過程中，<a href="https://portswigger.net/research/top-10-web-hacking-techniques-of-2019-nominations-open">共有51項研究獲提名</a>，在1月13日透過網站安全社群投票，產生前15名入圍名單，接著，再於27日由專家小組投票選出前10名。</p> <p>在2月中旬，PortSwigger在網站公布結果。第一名是由Sajjad Arshad等專家所發表，內容是：Cached and Confused: Web Cache Deception in the Wild。簡單來說，這是基於Omer Gil在2017年的研究而起，新提出了5種利用Web Cache Deception的方式，當中並有相當嚴謹度與研究統計，包括了Alexa Top 5000的網站。</p> <p>值得我們關注的是，這是臺灣資安研究人員連續三年入榜，繼前兩年的提名都獲得年度第1名之後，今年再以兩項研究提名，獲選年度第4與第8。</p> <h4><span style="color:#0099ff;"><strong>挖掘Jenkins漏洞從Meta Programming下手，打破不執行就沒有漏洞的迷思</strong></span></h4> <p>其中年度排名第4的研究內容，是由身為臺灣資安公司戴夫寇爾（DEVCORE）資安研究員的Orange Tsai（蔡政達）所發表，揭露開源Jenkins持續整合工具的RCE漏洞。</p> <p>關於這項漏洞，身為PortSwigger首席研究員，也是這項活動幕後推手的James Kettle發表評論，他說，這項研究使用了Meta Programming來建立後門，是可以持續研究的一個案例。</p> <p>為何這項研究能夠擠身榜內前5名？蔡政達指出，他認為有兩大原因：一是Jenkins非常流行，現在使用Jenkins的開發人員很多，同時也有很多人在協助Jenkins的程式碼安全審核，因此近年較少看到嚴重的漏洞；另一是因為漏洞情境較為深入，使得以往關於Meta Programming的漏洞並不多。</p> <p>他進一步解釋，過去Jenkins的漏洞攻防，聚焦於序列化及反序列化，隨著2017年Jenkins重新改寫序列化機制，此後就沒有RCE漏洞出現，而他這次的發現是近來的首例。</p> <p>而且，這個漏洞不僅使用新的攻擊面──Meta Programming，同時這還打破了普遍認為「沒有執行就不會有漏洞產生」的迷思。</p> <p>具體而言，Jenkins團隊為了檢查使用者傳入的Pipeline是否有錯誤語法，因此使用了Groovy進行編譯，一旦語法有錯誤發生，編譯就會失敗，當開發者認為僅僅只是「編譯」不去「執行」，就不會有任何危險，這就是問題所在，而Meta-Programming就是在編譯時期是能被利用的技術。</p> <p>蔡政達強調，資訊安全不是單一學科的技術，而是各種資訊領域跨學科的結合，而他提出的這項研究，其實也展示了如何將電腦科學與程式語言的知識，應用到漏洞挖掘上。</p> <h4><span style="color:#0099ff;"><strong>發現SSL VPN漏洞，對企業安全具有極大影響層面</strong></span></h4> <p>另一項年度排名第8的研究成果，是由蔡政達與他同公司的Meh Chang（張亭儀）所共同揭露，這項在2019年8月於美國Black Hat與DEFCON大會發表的內容，當中介紹了大型企業所在用的SSL VPN，可以如何被駭客攻擊，由於影響層面廣又深，因此獲得極大關注，當時並獲得黑帽大會Pwnie Awards的年度最佳伺服器漏洞獎，獲得有如電影界奧斯卡金像獎的殊榮。</p> <p>為何這項研究能再次獲肯定，入選2019年度的十大駭客技法？根據James Kettle的說法，儘管當中大部分使用的是較經典的技術，但是研究人員使用了一些創造性的技巧。而且，這項研究還促進了安全審核SSL VPN的浪潮，像是近期有其他資安人員揭露一系列的SonicWall VPN漏洞。</p> <p>關於這項研究的創新之處，蔡政達表示，過去SSL VPN業者為了產品本身的安全，已經加上許多保護及加固，因此，即使產品出現一些漏洞，但攻擊者就也無法進一步利用，而這次他們在研究其弱點時，為了繞過既有的保護及加固，就使用到一些特殊的技巧。他解釋，例如，在Pulse Secure SSL VPN的研究中，他利用了命令解析器的解析錯誤，再配合模板引擎的特性，將錯誤訊息（STDERR）變成後門。</p> <p>這樣的發現給出不少研究人員一條新的思路。在他發表此漏洞之後，有不只一位國外研究者與他交流，表示他們過去也有發現這個瑕疵，只是一直沒有想出利用的方法。</p> <p>而在Fortigate SSL VPN的研究中，張亭儀是利用jemalloc及應用程式架構特性，進而偽造SSL結構，透過精妙的操作記憶體達到遠端執行漏洞（RCE），也被認為是相當精采的過程。</p> <h3><strong>新研究雖未能持續奪冠，但為企業安全找出更大隱憂</strong></h3> <p>另一個我們關切的話題是，蔡政達在前兩年的這項活動都獲得年度第一，已經備受全球專家肯定，這次很可惜沒能三連霸。對此，他並不感到意外，他表示，今年的研究主要著重在影響層面，因此在講求創新攻擊手法的這項活動上，已經可以預料不會獲選第一。</p> <p>確實，若是單論影響力的話，從上述的SSL VPN研究結果來看，已是年度最有影響力的研究之一，不僅發現企業所信任並用來提供保護的資安設備的弱點，並獲得黑帽大會Pwnie Awards的年度最佳伺服器漏洞獎，而在他們通報產品業者修補並對外揭露後，至今仍有許多駭客組織試圖利用這樣的漏洞，而這樣的狀況，也就能看出其影響性。前面提及的Jenkins的漏洞也是如此，揭露至今，也被很多殭屍網路利用來安裝挖礦程式。</p> <p>再從另一角度來看，每年獲提名的創新研究項目，約在50多個內，入選已是不易，還要能獲得社群投票與專家小組評選，才能入選前10名。事實上，與前兩年入選10大的研究者相比，也只有Orange能夠持續名列榜上。此外，雖然不像前兩年的提名，臺灣資安研究人員能在創新性上獲得最高認可，但今年研究成果的影響性更顯著。</p> <p>最後，對於臺灣資安研究人員而言，如果要像蔡政達一樣獲得全球研究人員肯定，有什麼祕訣呢？他認為，自己必須要有興趣與熱情，能夠24小時投入，就是最重要就是一點。</p> <p>此外，對於國內後起之秀的培育，他本身也有參與，例如，在2017年「教育部資訊安全人才培育計畫」中，蔡政達擔任「臺灣好厲駭」的導師，帶領國內有潛力的學生，現在一些學生也已取得不錯的成績，參與國內外的漏洞獎勵計畫，並挖掘CVE漏洞。</p> <p class="rtecenter"><span style="color: rgb(128, 0, 0);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 24px;">2019年度十大網站攻擊技術手法</strong></span></p> <table border="1" cellpadding="1" cellspacing="1" style="width:570px;"><tbody><tr><td> <table border="0" cellpadding="0" cellspacing="0" style="width:560px;" width="481"><colgroup><col /><br /></colgroup><tbody><tr height="22"><td height="22" style="height: 22px; width: 482px;"><span style="color: rgb(139, 69, 19);"><strong>Top 10 Web Hacking Techniques of 2019 </strong>（點擊連結前往提名項目）</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><strong>1.<span style="color:#000000;"> </span><a href="https://sajjadium.github.io/files/usenixsec2020wcd_paper.pdf"><span style="color:#000000;">Cached and Confused: Web Cache Deception in the Wild</span></a><span style="color:#000000;"> </span></strong><strong> </strong>- <span style="color:#0000FF;">Sajjad Arshad、Kaan Onarlioglu、Seyed Ali Mirheidari、Bruno Crispo、Engin Kirda、William Robertson</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><strong>2. <a href="https://sirdarckcat.blogspot.com/2019/03/http-cache-cross-site-leaks.html"><span style="color:#000000;">Cross-Site Leaks</span></a></strong> -<span style="color:#0000FF;"> Eduardo Vela</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><strong>3. <a href="https://www.youtube.com/watch?v=o-tL9ULF0KI"><span style="color:#000000;">Owning The Clout Through Server Side Request Forgery</span></a></strong> - <span style="color:#0000FF;">Ben Sadeghipour、Cody Brocious</span><span style="color: rgb(0, 0, 255);"> </span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><strong>4. <a href="https://blog.orange.tw/2019/02/abusing-meta-programming-for-unauthenticated-rce.html"><span style="color:#000000;">Abusing Meta Programming for Unauthenticated RCE</span></a></strong><strong> </strong>-<span style="color:#0000FF;"> Orange Tsai</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><strong>5. <a href="https://www.youtube.com/watch?v=gVrdE6g_fa8"><span style="color:#000000;">Google Search XSS</span></a></strong> - <span style="color:#0000FF;">Masato Kinugawa</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><strong>6. <a href="https://blog.isec.pl/all-is-xss-that-comes-to-the-net/"><span style="color:#000000;">All is XSS that comes to the .NET</span></a></strong> - <span style="color:#0000FF;">Paweł Hałdrzyński</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><strong>7. <a href="https://edoverflow.com/2019/ci-knew-there-would-be-bugs-here/"><span style="color:#000000;">Exploring CI Services as a Bug Bounty Hunter</span></a></strong> - <span style="color:#0000FF;">EdOverflow</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><strong>8. <a href="https://www.youtube.com/watch?v=1IoythC_pIY"><span style="color:#000000;">Infiltrating Corporate Intranet Like NSA: Pre-Auth RCE On Leading SSL VPNs</span></a></strong><strong> </strong>- <span style="color:#0000FF;">Orange Tsai、Meh Chang</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><strong>9. <a href="https://leucosite.com/Edge-Chromium-EoP-RCE/"><span style="color:#000000;">Microsoft Edge (Chromium) - EoP to Potential RCE</span></a></strong><a href="https://leucosite.com/Edge-Chromium-EoP-RCE/"><span style="color:#000000;"> </span></a>- <span style="color:#0000FF;">Abdulrhman Alqabandi</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><strong>10. <a href="https://samcurry.net/filling-in-the-blanks-exploiting-null-byte-buffer-overflow-for-a-40000-bounty/"><span style="color:#000000;">Exploiting Null Byte Buffer Overflow for a $40,000 bounty</span></a></strong><strong> </strong>- <span style="color:#0000FF;">Sam Curry與其友人</span></td> </tr></tbody></table></td> </tr></tbody></table><p>資料來源：PortSwigger，iThome整理，2020年3月</p> <p> </p> <p><a href="https://blog.orange.tw/2019/02/abusing-meta-programming-for-unauthenticated-rce.html"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%892019%E5%8D%81%E5%A4%A7%E7%B6%B2%E7%AB%99%E6%94%BB%E6%93%8A%E6%8A%80%E6%B3%95.jpg" style="width: 600px;" /></a></p> <blockquote><p>在<a href="https://blog.orange.tw/2019/02/abusing-meta-programming-for-unauthenticated-rce.html">2019年度10大駭客技法活動的第4名</a>，是關於Jenkins未經身份驗證RCE漏洞，由Orange在去年2月於自己的部落格與戴夫寇爾官方網站上揭露，當中描述了利用Meta Programming來產生新攻擊面的過程，並說明了他與Jenkins安全團隊在2018年5月以來的通報、CVE取得與修補的時間。(<a href="https://devco.re/blog/2019/02/19/hacking-Jenkins-part2-abusing-meta-programming-for-unauthenticated-RCE/">中文版</a>)</p> </blockquote> <p><a href="https://www.youtube.com/watch?v=1IoythC_pIY"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%892019%E5%8D%81%E5%A4%A7%E7%B6%B2%E7%AB%99%E6%94%BB%E6%93%8A%E6%8A%80%E6%B3%95.jpg" style="width: 600px;" /></a></p> <blockquote><p><a href="https://www.youtube.com/watch?v=1IoythC_pIY">2019年10大駭客技法的第8名</a>，是關於SSL VPN產品漏洞，以及入侵與利用手法，是臺灣資安公司戴夫寇爾資安研究員Orange Tsai與Meh Chang，在去年8月舉行的黑帽大會與DEFCON大會上所共同揭露。這項研究在2019年4、5月間已通報Pulse Secure、Fortinet等產品業者，對方已經完成修補，同時他們還參與漏洞懸賞計畫，利用此一漏洞成功駭入Twitter公司，獲得獎勵，以呼籲各企業應儘速修補。(圖片來源：DEFCON)</p> </blockquote> </div></div></div>
2020/3/3 12:09作者羅正漢https://www.ithome.com.tw/news/136109
臉書重建iOS版Messenger，程式碼從170萬行縮減到36萬行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書在去年的F8開發者大會上揭露了光速（LightSpeed）專案，宣布將重新打造iOS版的Messenger，<a href="https://engineering.fb.com/data-infrastructure/messenger/" target="_blank">該專案的首個成果已於本周發表</a>，新版iOS Messenger的程式碼數量，從170萬行減少到36萬行，整整少了84%，而它的執行檔大小則只有原先的1/4，在Messenger功能未縮水的狀態下，光速專案還讓Messenger的啟用速度，達到舊版的兩倍快。</p> <p>臉書公布了光速專案的四大核心概念，分別是盡量利用原生作業系統的功能，藉由SQLite的動態範本重覆使用UI，以SQLite作為通用系統，以及建置一個能夠介接程式與伺服器功能的伺服器代理人。</p> <p>臉書表示，當Messenger在2011年成為獨立的程式時，他們的目標是建置一個功能最齊全的傳訊程式，導致Messenger的執行檔案大小一度高達130MB。</p> <p>最後臉書想開了，認為Messenger的核心功能應該是能夠很快傳遞文字，因而計畫把Messenger重新改建成一個簡單又輕量的實用程式。臉書對新一代Messenger的期望是能夠快速的下載、安裝、更新及啟動，而不必在乎裝置的新舊或網路狀態，而且一個小型的程式也更易於管理、更新、測試及最佳化，但當時Messenger已有多達170萬行的程式碼，於是提出光速專案，完全翻轉Messenger的架構，打造一個全新的程式。</p> <p>事實上，完全重寫一個程式庫是非常罕見的事，因為其投資報酬率多半不高，但臉書相信光速專案可帶來截然不同的結果，並調動了上百名工程師參與此一專案。</p> <p><span style="font-size:28px;"><strong>充份利用作業系統功能</strong></span></p> <p>為了搶快，傳統行動程式多半是在作業系統上建置抽象層來新增功能、提高工程的彈性與建立跨平台的使用經驗，但現在的行動作業系統已經先進到能夠滿足許多功能的需求，使得臉書決定充份利用iOS的能力，包括渲染、轉碼、執行緒處理或日誌，都由作業系統來負責，亦直接使用作業系統上的UI框架。</p> <p>這樣一來，即可避免快取或載入大型的客製化框架，減少程式的份量，也更精簡。同時臉書也採用了許多iOS既有的函式庫，包括JSON處理函式庫，而不再於程式庫中建置及儲存自己的函式庫。</p> <p>總之，只要作業系統能做的，臉書就把它們交給作業系統，只有在iOS無法滿足需求時，才會撰寫小程式來彌補。</p> <p><span style="font-size:28px;"><strong>重覆使用UI</strong></span></p> <p>過去的Messenger在同樣的UI經驗上有眾多的版本，例如在光速專案之前，Messenger有超過40種不同的聯絡人名單螢幕，每個螢幕的設計都有些微不同，而且每種螢幕都必須支援橫向模式、深色模式及無障礙模式，而這些就占了很大的程式空間。</p> <p>而現在Messenger的聯絡人名單，則是簡單的以一個動態範本來呈現，不必再額外撰寫程式來改變螢幕的樣貌。當有人載入螢幕來傳送訊息或讀取訊息時，Messenger就會連結SQLite資料庫來載入適當的名字或照片，而且還可支援諸如名單管理、群組建立或搜尋等豐富的功能。</p> <p><span style="font-size:28px;"><strong>以SQLite作為通用系統</strong></span></p> <p>大多數的行動程式都使用SQLite作為儲存資料庫，但隨著功能的新增，最後總是會變成，每個功能都有各自的儲存與存取資料的方式與邏輯，因此，臉書向桌面世界借鏡，與其讓每個功能都有自己的快取，臉書利用SQLite作為一個支援所有功能的通用系統。</p> <p>過去不同功能的資料分享，需要藉由開發客製化的資料快取與執行子系統來完成，但這些程序會拖慢程式速度，但新版Messenger則是讓SQLite直接處理快取與執行，不管是要顯示朋友的活動、更新友人的檔案照片、取回所接收的訊息，或是從資料庫中請求資料，所有的快取、篩選、執行或查詢，都在SQLite中完成。</p> <p>此外，臉書也以C語言打造了一個能夠整合所有功能的MSYS平台，來協調對SQLite資料庫的所有存取活動，包括佇列的變更、延遲或恢復任務，或是資料同步等。</p> <p><span style="font-size:28px;"><strong>全新的伺服器架構</strong></span></p> <p>為了配合新的Messenger客戶端，臉書亦建置了全新的伺服器架構，過去的Messenger採用傳統的客戶端與伺服器端互動模式，這意味著程式上的每個功能，在伺服器端都必須有大量相對應的客製化邏輯，而功能愈來愈多，它們之間的協調邏輯也會愈趨複雜，且容易出錯。</p> <p>臉書則替新的Messenger設計了一個通用的靈活同步系統，允許伺服器能夠定義及實施商業與同步邏輯，並確保客戶端與伺服器端的所有互動都是一致的。如同客戶端的MSYS平台，臉書在Messenger伺服器端也建立了一個代理人，作為Messenger與所有伺服器功能之間的統一閘道。</p> <p>既已打造了一個更輕盈也更快速的Messenger程式，臉書也立下了規定，未來若要在Messenger新增功能，除了必須符合上述架構之外，臉書也替每個功能設定了可使用的執行檔空間預算。</p> <p>此一基於光速專案的新版Messenger只支援iOS，將在未來幾周陸續部署至全球市場。</p> </div></div></div>
2020/3/3 17:15作者陳曉莉https://www.ithome.com.tw/news/136122
報導：華為出售HP電腦予伊朗企業，違反美國對伊朗的貿易制裁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/article/us-huawei-iran-sanctions-exclusive/exclusive-newly-obtained-documents-show-huawei-role-in-shipping-prohibited-u-s-gear-to-iran-idUSKBN20P1VA" target="_blank">路透社於本周報導</a>，該報獨家取得了華為的內部文件，顯示華為的確在2010年把HP生產的運算設備，賣給伊朗電信的子公司Mobile Telecommunication Co of Iran（MCI）。美國政府在今年正式指控華為透過其香港子公司Skycom Tech，出售含有美國業者技術的設備予伊朗，違反了美國對伊朗的貿易制裁，但華為一來否認與Skycom有關，二來也堅稱未違反美國制裁令。</p> <p>然而，路透社取得了華為在2010年12月的兩張裝箱單（Packing List），此一文件通常是用來描述出口貨物的內容，其中包含了HP的運算設備，而且將運往伊朗的電信業者。另一份文件出現在這兩張裝箱單之後的兩個月，顯示相關設備已抵達伊朗首都德黑蘭，正等待通關。</p> <p>路透社說，相關文件將是華為涉及違反美國貿易制裁迄今最有力的證據。</p> <p>根據報導，華為提供給伊朗的不只是HP所生產的伺服器、交換器或其它設備，也包括微軟、賽門鐵克與Novell所開發的軟體。此外，文件中也揭露另一家之前並未曝光的熊貓國際，主要負責替伊朗專案採購軟、硬體，路透社宣稱熊貓國際是中國官方企業的子公司，且與華為關係密切。</p> <p>其實先前路透社就曾取得華為透過子公司Skycom提供給伊朗的報價單，但當時華為辯稱只是報價，從未提供設備給伊朗。但裝箱單與路透社最新取得的文件則顯示，華為在伊朗電信子公司MCI的擴充專案上，扮演了重要的角色。</p> <p>目前美國司法部已控告華為數十項罪名，包括銀行欺詐、電信欺詐、洗錢、違反國際緊急狀態經濟權力法、妨礙司法公正，以及竊取商業機密等。</p> </div></div></div>
2020/3/3 15:20作者陳曉莉https://www.ithome.com.tw/news/136120
美國制裁兩名替北韓駭客集團Lazarus洗錢的中國人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國財政部外國資產管制局（Office of Foreign Assets Control，OFAC）<a href="https://home.treasury.gov/news/press-releases/sm924" target="_blank">本周宣布</a>，已制裁涉嫌幫北韓Lazarus駭客集團洗錢的兩名中國人，指稱Lazarus集團在2018年入侵一家加密貨幣交易中心，盜走了大量的加密貨幣，就是由田寅寅與李家東負責洗錢。</p> <p>根據資安業者Group-IB<a href="https://www.ithome.com.tw/news/126536" target="_blank">在2017年至2018年間的調查</a>，這期間總計有14起加密貨幣交易中心遭到駭客入侵的事件，駭客總計盜走了價值8.82億美元的加密貨幣，當中就有5起與Lazarus集團有關，占了不法所得中的5.71億美元。</p> <p>美國財政部亦指出，北韓政權的主要經濟來源就是仰賴惡意的駭客行動，該國政府訓練駭客入侵各大金融組織或加密貨幣交易中心，去年8月聯合國的安全理事會曾經估計，北韓企圖盜走高達20億美元的資金，其中的5.71億美元就是來自加密貨幣，與Group-IB的調查相符。北韓則利用這些資金來發展導彈與核專案。</p> <p>其中最大宗案件發生在2018年4月，當時某個加密貨幣交易中心的員工，不小心透過電子郵件安裝了由北韓政府所開發的惡意程式，因而允許駭客從遠端存取該交易中心並取得客戶的個人資訊，包括用來存取客戶加密貨幣錢包的私鑰，並自該交易中心盜走了價值2.5億美元的加密貨幣。</p> <p>在偷走了2.5億美元的加密貨幣之後，駭客把這些加密貨幣分別存入4個不同的交易中心，並把其中的9,100萬美元轉給了田寅寅與李家東，李家東把3,400萬美元存到自己在中國的銀行帳號，還購買了140萬美元的iTunes禮品卡，因為有些交易中心允許用戶以iTunes禮品卡來購買比特幣。田寅寅與李家東的角色，就是協助Lazarus集團模糊這些比特幣的來源。</p> <p>在遭到制裁後，田寅寅與李家東在美國的資產都將被凍結。</p> </div></div></div>
2020/3/3 15:00作者陳曉莉https://www.ithome.com.tw/news/136119
武漢肺炎疑慮延燒，微軟MVP大會改線上，推特鼓勵員工在家上班
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎（COVID-19）陰影籠罩，<a href="https://mvp.microsoft.com/zh-tw/Summit" target="_blank">微軟周一取消實體MVP開發人員大會</a>。推特則鼓勵員工在家上班，並退出今年SXSW。</p> <p><a href="https://twitter.com/gcaughey/status/1234582424304177152" target="_blank">微軟宣布</a>有鑒於COVID-19病毒近日在全球發展情形及可能的散布，今年最有價值專家（Most Valuable Professional，MVP）及區域主管高峰會，將改成純線上活動，維持原訂時間舉行。預定3月16到20日舉行的MVP高峰會，向來會有許多技術展示及產品發布。</p> <p>另一方面，<a href="https://blog.twitter.com/en_us/topics/company/2020/keeping-our-employees-and-partners-safe-during-coronavirus.html" target="_blank">推特也宣布一系列因應措施</a>，鼓勵全球員工如果可能最好在家上班。該公司表示，這是為了減少COVID-19病毒傳染可能性，以確保員工健康所採取的謹慎措施。</p> <p>至於疫情較嚴重的地區，包括香港、日本及南韓的推特分公司，則因應政府規定，強制要求在家上班。</p> <p>推特上周也禁止員工參加非必要的活動和出差。<a href="https://www.theverge.com/2020/3/2/21161169/twitter-sxsw-coronavirus-employee-travel-jack-dorsey" target="_blank">The Verge證實</a>，這項禁令也擴及預定本周舉行的音樂及科技節SXSW。推持執行長Jack Dorsey原本預定在SXSW發表開幕演說，該公司原先也規畫了許多活動，這些也都將取消。</p> <p><a href="https://www.sxsw.com/attendee-safety/" target="_blank">SXSW主辦單位周一則表示</a>，活動會如期舉行。</p> <p>武漢肺炎疫情已在歐美快速蔓延。周日臉書宣布取消5月舉行的F8開發者大會，而原本說會如期舉行的遊戲開發商大會，主辦方本周宣布延至夏天舉辦。</p> <p>截至3月3日，武漢肺炎疫情已<a href="https://edition.cnn.com/2020/03/02/health/us-coronavirus-cases-monday/index.html" target="_blank">造成美國境內6人死亡</a>。<a href="https://www.ithome.com.tw/news/136085" target="_blank">Google則證實有一名瑞士員工遭感染</a>，他曾在瑞士辦公室短暫停留。</p> </div></div></div>
2020/3/3 13:20作者林妍溱https://www.ithome.com.tw/news/136116
你的服務、遊戲或應用程式在2月29日出現問題了嗎？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是閏年，所以2月有29天，縱使閏年是可以計算的，但還是有許多服務或程式沒能妥善處理少見的2月29日，而出現各種情況，微軟軟體工程師Matt Johnson即在自己的部落格中<a href="https://codeofmatt.com/list-of-2020-leap-day-bugs/" target="_blank">整理了相關問題</a>，例如美國電信業者Sprint的用戶，在2月29日時，手機依然顯示2月28日。</p> <p>或者是遊戲串流服務Shadow的用戶，在世界標準時間（UTC）的2月29日凌晨時，無法透過Windows電腦登入該服務。</p> <p>其中，Sprint要求使用者手動將手機日期設定為2月29日，而Shadow則要求使用者關閉Windows的時間同步功能，並把時間往後設為3月1日。</p> <p>而零用錢管理程式Gohenry也出現了同樣的閏年臭蟲，家長原本定期要發給小孩的零用錢，在2月29日這一天竟然沒有入帳。</p> <p>以及TP-Link智慧插座原本有一個網頁版的電力使用監控儀表板，結果用戶在3月1日時發現，整個2月份的報表都不見了，猜測也是受到閏年的影響。</p> <p>還有Python的synapse、timestring及aioftp套件，C語言的日誌函式庫Stumpless，以及開源的Animal Shelter Manager軟體，也都因為無法處理2月29日而出現問題。而若在PHP程式語言中使用了DateTime::createFromFormat，並先寫日期再寫年份，就會直接跳過2月29日，此一臭蟲在2012年的閏年就出現過了，只是一直沒有被修補，不過它的解決方法很簡單，只要先寫年份再寫日期就好了。</p> <p>可能是受到閏年臭蟲的啟發，一名YouTuber <a href="https://www.youtube.com/watch?v=s-cCCnqWdBc" target="_blank">Carey Holzman在日前警告</a>，假設使用者在技嘉（Gigabyte）的主機板上安裝Windows 10 1909（Windows 10 November 2019 Update），並將主機板BIOS的現在時間設到3001年1月18日之後，那麼便無法完成Windows 10 1909的安裝，並會在重新啟動時鎖住；而且就算使用者更正了主機板上的BIOS時間，但Windows依然會把它改為原本設定的時間，於是開機時便會再度鎖住。</p> <p>該臭蟲同時影響支援AMD與Intel的技嘉主機板，也可能影響其它任何可將BIOS日期，設定到3001年1月18日以後的主機板。</p> <p>不過，除非使用者自行重新設定主機板的BIOS日期，否則並不會立即觸發此一被稱為Y3K的臭蟲，媒體則打趣，幸好微軟與技嘉還有980年的時間，可以修補該臭蟲。</p> </div></div></div>
2020/3/3 12:30作者陳曉莉https://www.ithome.com.tw/news/136114
Google最新射月計畫Tidal發展AI魚類辨識系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet旗下從事領先研究的X實驗室，<a href="https://blog.x.company/introducing-tidal-1914257962c3" target="_blank">推出新射月專案Tidal</a>，發展結合人工智慧（AI）的魚類追蹤辨識系統，以確保海洋資源不至因為人為破壞而枯竭。</p> <p>Tidal計畫主持人Neil Davé指出，現今海洋遭受重大危害，包括大量污染及塑膠微粒、海洋酸化造成珊瑚及生物死亡，而在生物鏈效應下，人類最終也將受害。這也是Tidal專案的目的，該專案將發展一套系統來保護海中生物以及魚類。</p> <p>Tidal初期目標，是發展能清楚了解海底環境及魚類行為的AI攝影系統，並把重點放在協助養殖漁業降低飼料浪費、及早偵測魚類疾病及減少化學藥劑的使用。</p> <p>Davé並指出，發展海中使用的科技面臨數種挑戰，包括水下高壓、GPS及Wi-Fi無法運作，且電子元件也易遭海水侵蝕，形成水下長時間觀測的挑戰。</p> <p>不過目前Tidal已經打造出一套海底攝影系統及機器視覺工具，能偵測和解讀人眼無法得見的魚類行為。Tidal的軟體可以長時間追蹤和監控數千隻個別魚隻，並且蒐集、紀錄魚類的覓食行為，同時蒐集海水溫度與含氧量等環境資訊。這些資訊將提供給養殖業者，作為追蹤魚群健康以及養殖的參考，像是箱網（pen）內應投放多少飼料，才不會浪費成本，同時也能減少海洋污染。</p> <p>在協助養殖漁業改良飼育技術，以降低對於海洋環境的衝擊後，Tidal專案計畫也將觸及延伸到其他海洋保育領域。</p> </div></div></div>
2020/3/3 12:45作者林妍溱https://www.ithome.com.tw/news/136115
Rust套件註冊表服務crates.io臭蟲致套件索引更新錯誤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2月20日時，Rust套件註冊表crates.io用戶回報，上傳Rust套件Crate十分鐘後，仍然在索引中無法使用，Rust官方表示，這是<a href="https://blog.rust-lang.org/inside-rust/2020/02/26/crates-io-incident-report.html">crates.io網頁應用程式的臭蟲，但意外地被GitHub服務中斷所觸發</a>。受影響的三個Crate，分別是kaze、wasmer-runtime-core以及wasmer-win-exception-handler，無法正確地在crates.io中發布新版本，目前Rust官方已經修復該臭蟲，受影響Crate也在重新上傳後，已經可以使用。</p> <p>官方提到，這個臭蟲在部分情況，使用者上傳新的提交到索引GitHub儲存庫中，即便推送本身失敗，但是系統仍然會回傳推送成功訊息，而錯誤的狀態使工作排程器誤以為上傳成功，將該工作從佇列中被移除，產生資料遺失的狀況。而觸發臭蟲的原因，正是因為GitHub服務發生中斷，所產生意料之外的回應所導致。</p> <p>至於為何意外事件發生時，負責人員沒有收到通知，官方解釋，因為監控系統沒有辦法發現這個錯誤，雖然系統會監控工作執行失敗的狀況，但因為在這個案例中，工作被標記為正確，而使監控系統沒有發揮應有的功能。官方表示，他們會實施定期檢查，以確保索引和資料庫間有正確同步。</p> <p>幸好在事件發生時，有兩名團隊成員仍在線上工作，因此能馬上解決問題，否則這個臭蟲將會對更多Crate造成影響。在事件調查過程中，Rust官方發現目前系統的日誌紀錄，並無法讓他們正確地診斷出問題，包括在提交推送到索引或是執行背景工作時，沒有任何訊息被紀錄，而且發布Crate的API呼叫，日誌中沒有紀錄Crate名稱，因此官方會強化日誌紀錄功能，以便日後能更快地確定意外事件發生原因。</p> </div></div></div>
2020/3/3 11:25作者李建興https://www.ithome.com.tw/news/136098
Postgres.ai推SQL查詢最佳化機器人Joe
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料庫最佳化廠商Postgres.ai，<a href="https://postgres.ai/blog/joe-0.5/" target="_blank">推出了Postgres資料庫查詢最佳化助理Joe</a>，能消除用戶開發和測試資料庫應用程式時，等待取得大型資料庫副本的時間，讓開發者只要利用對話機器人，就能了解SQL查詢的效能細節。</p> <p>Joe仰賴Database Lab運作，而Database Lab是可以在數秒鐘以數TB的Postgres資料庫，建構出獨立非生產環境副本的工具。開發者開始使用Joe時，便能取得全尺寸的資料庫副本，這個過程全自動化，官方提到，這樣的資料庫副本稱為精簡副本，且由於多個副本共享相同的資料塊，因此不只配置速度很快，磁碟使用空間也非常少。</p> <p>由於副本是完全獨立的，因此使用者在開發中可以直接修改資料庫，由於SQL執行計畫與生產環境完全相同，因此不需要操作生產環境資料庫，便能夠排除SQL查詢錯誤並最佳化查詢。用戶只要在Slack中，要求Joe對特定SQL查詢作出解釋，Joe便會根據實際的資料庫資料，產生查詢結果，並且分析SQL的執行效能。</p> <p class="rtecenter"><img alt="" src="https://postgres.ai/docs/assets/joe/demo.gif" style="width: 580px;" /></p> <p>官方現在釋出Joe 0.5.0版本，新增了對Slack API簽章秘密的支援，現在當Joe需要花比較多時間執行分析工作，會在完成後自動發出通知，新版本也對SQL解釋程序進行了多項改進。目前Joe僅以Slack聊天機器人的形式提供服務，在未來版本，官方還會採用其他通訊來提供服務。</p> </div></div></div>
2020/3/3 11:35作者李建興https://www.ithome.com.tw/news/136099
BMC收購老牌大型主機軟體商Compuware
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為力拚大型主機的管理市場，系統管理軟體供應商<a href="https://www.prnewswire.com/news-releases/bmc-to-acquire-compuware-301014174.html" target="_blank">BMC周一宣布</a>從私募基金業者Thoma Bravo手裏收購老牌主機應用開發、交付及支援軟體公司Compuware。</p> <p>2014年Thoma Bravo才以24億美元收購Compuware，當時雙方並未透露交易金額。</p> <p>這項交易將結合BMC的大型主機系統管理、儲存管理，包括自動化大型主機智慧（Automated Mainframe Intelligence，AMI）、Topaz套件與ISPW技術，及Compuware的主機軟體開發及生命週期管理產品線。BMC指出，新合併的公司將可協助客戶實踐DevOps策略，強化大型主機運作、安全、應用開發、資料及儲存，且無縫整合主機平台開發和管理流程。</p> <p>BMC總裁暨執行長Ayman Sayed也指出，現在整合Compuware產品是最佳時機，因為傳統大型主機AppDev（應用開發）市場，正逐漸轉向DevOps。</p> <p>BMC於2013年自公開股票交易市場下市，而在2018年自己也被私募基金公司<a href="https://www.prnewswire.com/news-releases/kkr-completes-acquisition-of-bmc-software-300723077.html" target="_blank">KKR以超過80億美元收購</a>。該公司目前擁有一萬多家企業客戶，包括航太大廠洛克希德馬丁、SAP及倫敦交通局等。</p> <p>BMC在收購市場上仍相當活躍。<a href="https://www.bmc.com/blogs/announcing-acquisition-of-correlog-delivering-real-time-mainframe-security-solutions/" target="_blank">去年底BMC先是買下</a>安全資訊及事件管理（Security Information and Event Management，SIEM）廠商CorreLog，上個月再<a href="https://newsroom.bmc.com/news-releases/news-release-details/bmc-announces-intent-acquire-rsm-partners" target="_blank">收購專攻IBM Z主機的軟體商RSM</a>。</p> <p>大型主機在企業市場上多年來一直屹立不搖，也成為新技術廠商爭相吸引的對象。<a href="https://www.ithome.com.tw/news/135920" target="_blank">Google最近收購Cornerstone</a>，以吸引主機客戶將應用搬上雲端，而IBM也推出適應多雲環境的最<a href="https://www.ithome.com.tw/news/133049" target="_blank">新一代主機z15</a>。</p> </div></div></div>
2020/3/3 11:50作者林妍溱https://www.ithome.com.tw/news/136105
研究：共乘服務並不比自己開車環保
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國的非營利組織憂思科學家聯盟（Union of Concerned Scientists，UCS）上周<a href="https://www.ucsusa.org/resources/ride-hailing-problem-climate" target="_blank">發表一研究報告</a>，指出最近在美國風行的共乘服務並不比自己開車環保，因為共乘服務還要計算空車在路上跑的碳排放量，因此，比自行開車還要多出50%的污染，若再計算共乘所取代的走路、騎腳踏車或大眾運輸等交通方式，那麼整體而言，共乘服務所帶來的碳排放量更多出69%。</p> <p>Lyft去年在美國已突破10億次的載客量，而Uber每天則執行1,400萬次的載客服務，現在共乘在美國已凌駕了計程車服務，此外，共乘服務的宗旨之一為降低人們自行購買汽車的需求。該聯盟表示，人們選擇共乘服務可能有很多原因，也許是因為要去機場不想自己開車，或者只是不想付停車費，也可能是要去陌生的地方，但如果是為了環保，共乘其實比其它的交通方式有更多的碳排放。</p> <p>主要是因為共乘車可能常常處於沒有乘客的狀態，這時它們的碳排放可能高達683公克，有乘客時是455公克，與自己開車差不多。但若是採用電動車，就算是在空車的狀態也只排放220公克，有乘客的電動車則只排放146公克，但若搭乘大眾運輸則只有130公克。由此可見，只要採用電動車，就能大幅減低共乘服務的碳排放問題。</p> <p>在此一報告出爐之後，Uber與Lyft皆發表了聲明，<a href="https://www.theverge.com/2020/2/25/21152512/uber-lyft-climate-change-emissions-pollution-ucs-study" target="_blank">認為該報告有誤導嫌疑</a>，因為Lyft正在大力推動電動車共乘服務，Uber則說該公司除了推廣多人共乘之外，也鼓勵人們以腳踏車、機車、電動車及大眾運輸作為交通工具。</p> </div></div></div>
2020/3/3 10:50作者陳曉莉https://www.ithome.com.tw/news/136101
可將Scala轉成JavaScript的編譯器Scala.js釋出1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷經7年開發之後，<a href="https://www.scala-js.org/news/2020/02/25/announcing-scalajs-1.0.0/">Scala.js終於推出了1.0正式版</a>，官方提到，Scala.js 1.0是從語言語義到內部API各方面，皆經過簡化與改良的成果。Scala.js為一款可將多範式開發語言Scala編譯成為JavaScript的工具，讓Scala程式能夠在瀏覽器和其他支援JavaScript的環境執行，可大幅提升Scala的可移植性，以及與JavaScript的互通性。</p> <p>Scala.js花了很長一段時間發展0.6.x版本，經過了5年提升其穩定性，終於現在走到了1.0，由於1.0版本刪除了所有0.6.x版本棄用的功能，因此無論是0.6.x版本，或是先前發布1.x系列的里程碑版本與候選版，二元檔都與最新的1.0正式版本不相容，開發者必須要使用1.0重新編譯和發布函式庫。部分Scala和Scala.js函式庫也已經開始提供與Scala.js 1.0相容版本。</p> <p>原本使用舊版本Scala.js的開發者，官方建議，要從舊版本升級至1.0，最好先至少升級到Scala.js 0.6.32或是更新版本，並且處理完所有棄用警示再進行升級，才能確保升級過程的順利。</p> <p>官方也提到，由於主要的JavaScript引擎都已經支援ECMAScript 2015一段時間，因此現在Scala.js在預設情況下，會輸出符合ECMAScript 2015規範的程式碼，比起舊版ES 5.1，除了產生的程式碼更短，JavaScript的Error也獲得擴充，多了一個ErrorData內部占位符，因此可以在JavaScript引擎收到適當的除錯資訊，使互動式除錯器將能良好地顯示堆疊追蹤和錯誤訊息。</p> </div></div></div>
2020/3/3 11:20作者李建興https://www.ithome.com.tw/news/136097
不取消但因應疫情改變形式，Google雲端產品年會Next改為免費全線上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著武漢肺炎疫情在美國升溫，美國疾管署CDC在3月2日統計，美國已有43例確診，出現2名死亡病患。美國總統川普更在2月29日召開白宮記者會，對外說明死亡首例的情況。許多全球性的大型科技研討會今年也因武漢肺炎紛紛取消或延期，不只巴塞隆納全球行動通訊大會MWC取消，遊戲開發者大會GDC也因多家廠商不參加而決定延期到夏天舉辦。Google今天（3/3)也緊急宣布，將4月6日在舊金山舉辦的年度雲端產品大會Next改為全線上活動。</p> <p>加洲、奧瑞岡、華盛頓州都出現無明確旅遊接觸史的社區感染病患，加州、華盛頓州州長更相繼宣布當地進入緊急狀態。美國科技公司年度大型會議多在加州舉辦，臉書直接取消今年的F8大會，微軟也決定取消西雅圖的年度MVP大會。而Google也在3日緊急通知報名者和媒體，維持同樣的4月6到8日活動時間，但緊急調整Next會議形式，改為全面免費的數位會議，包括主題演講、各場次演講，甚至是專家對談都改為線上進行，但活動中需面對面接觸的形式如bootcamp或主管聚會、廠商聚會等等都全部取消。</p> <p>不過，Google在5月中還有另一場大型年度會議I/O 2020，則還沒有任何變動的宣布，但也沒有公布報名者抽籤結果，也繼續提供參加者美簽申請的證明。不過，Google在I/O網站上已經宣布，有參加資格者若因擔心疫情而決定取消，也可以改用遠端串流方式來收看，這也透露了I/O已有全線上舉辦的備案了。</p> </div></div></div>
2020/3/3 08:17作者王宏仁https://www.ithome.com.tw/news/136100
以色列行銷公司Straffic外洩4,900萬筆通訊錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名代號為0m3n的DevOps工程師，在這幾天揭露了一家以色列行銷公司Straffic的資料庫外洩意外，該資料庫存放了140GB的通訊錄，內含4,900萬名使用者的姓名、電話號碼及地址，有趣的是，該資料庫雖有設定密碼保護，但Straffic卻在一個連結到該資料庫的隨機網域上，留下了明文的資料庫憑證。</p> <p><a href="https://www.bankinfosecurity.com/israeli-marketing-company-exposes-contacts-database-a-13785" target="_blank">0m3n向ISMG透露</a>，他是因為過去兩年一直受到垃圾簡訊的騷擾，而且這些簡訊都連結到一些奇怪的網域，使得他決定一探究竟，並在其中一個網域上找到了一個.env檔案，這是一個指向AWS Elasticsearch實例的配置檔，且這個配置檔上以明文存放了該Elasticsearch實例的存取憑證。</p> <p>因此，就算此一Elasticsearch實例設有密碼保護，但Straffic卻把密碼以明文置放在隨機網域上的檔案，而出現了安全漏洞。</p> <p>Straffic則在消息曝光後<a href="https://straffic.io/updates.php" target="_blank">發表了簡短的聲明</a>，指出他們所使用的其中一個網站含有安全漏洞，在證實漏洞的存在之後隨即修補了它，也強化了現有的安全機制。</p> <p>不過，Straffic既未說明產生安全漏洞的原因，也未公布資料外洩的細節與數量，還在聲明中表示「要打造一個完全免疫的系統是不可能的，這些事就是會發生。」而使得Have I Been Pwned的創辦人Troy Hunt批評，這真是他所見過的最糟糕的揭露通知之一。</p> </div></div></div>
2020/3/2 17:00作者陳曉莉https://www.ithome.com.tw/news/136095
Google應用Mesh-TensorFlow框架，讓CNN也能處理超高解析度圖像
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了要處理超高解析度醫療圖像資料，<a href="https://ai.googleblog.com/2020/02/ultra-high-resolution-image-analysis.html" target="_blank">Google開發了一種空間資料分區（Spatial Partition）技術</a>，在不犧牲圖像解析度的條件下，分析超高解析度圖像。Google使用Mesh-TensorFlow框架，大幅度推進極大量資料與模型平行化的處理能力。</p> <p>Google提到，雖然大型卷積神經網路（CNN）模型現在可以在數分鐘內，使用數百萬個圖像資料進行訓練，但是要在卷積神經網路上，處理3D斷層掃描這類超高解析度圖像，仍然充滿困難。使用現有技術，記憶體需要託管至少32GB的中介資料，但是單個GPU或是TPU通常只有12到32GB的記憶體，而典型的處理方式，是分開處理圖像的補丁，不過這種方式卻會因為部分資訊缺失，使得效能不佳且實作複雜。</p> <p>Google與Mayo Clinic合作發展的最新技術，能夠突破這些限制，研究人員實作了Halo Exchange演算法來跨空間分區處理卷積運算，以保留相鄰分區的關係。Google以Mesh-TensorFlow作為基礎，實作了高效能資料和模型平行運算。Mesh-TensorFlow是一個專門用於分散式深度學習的語言，可以根據用戶定義的圖像布局（Layout），分割張量到裝置網狀網路中。</p> <p>Google舉例，當用戶以256個處理器建立16乘16的計算網狀網路，每個處理器內建兩個核心，使用者可以定義布局，將圖像對應到計算網狀網路（下圖），圖像空間維度X對應到處理器列（Row）上，而將圖像的空間維度Y對應至處理器行（Column），批次處理的維度也就是要同時處理的圖像分割（Segment）數，則對應到核心上。不過，Google表示，由於分區和訓練批次的分布，是在張量層級實作，因此實際上用戶不需要擔心這些實作細節。</p> <p>在圖像執行卷積運算，通常會使用超出影格邊緣的過濾器，雖然在只處理單個圖像的時候，有需多方法可以解決這個問題，但是標準方法並沒有考慮，超出影格邊緣的分割圖像資訊，仍然是有用的資訊，Google提到，為了獲得準確的結果，對經空間分區且於處理器間重新分散的圖像，進行卷積運算，必須考慮每個圖像分割的鄰居。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image3(6).png" style="width: 400px;" /></p> <p>Google的解決方案是實作稱為Halo Exchange的演算法，來處理圖像分割鄰居間的資料交換；在每次卷積運算之前，每個空間分區都會與鄰居交換邊距，以便有效地在邊緣擴展圖像分割。接下來，卷積運算會局部地應用到每個裝置上，確保整個圖像的卷積網路結果，無論有沒有空間分區都是相同的。</p> <p>藉由這個技術，研究人員現在能以256向的模型平行化（Model Parallelism），使用每個維度超過512像素的3D圖像，來訓練3D U-Net，研究人員也已將這個框架用在肝腫瘤斷層掃瞄上，證明其可行性。同時Google也釋出基於Mesh-TensorFlow的框架，供研究社群使用。</p> </div></div></div>
2020/3/2 17:40作者李建興https://www.ithome.com.tw/news/136096